(57)【要約】【課題】複数サーバに渡るユーザの行動を解析するために、トラフィックデータから、ユーザによるサイトへの書込み行為に関するデータを解析できるように分離する。【解決手段】トラフィックデータ抽出装置１は、トラフィックデータからHTTP POSTメッセージおよびそれに対するレスポンスメッセージを抽出し、HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理を示すノード（Ｓ１３）と、HTTP POSTメッセージに対するレスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理を示すノード（Ｓ１４〜Ｓ１６，Ｓ２２）とを含みサイトの種類等に応じて予め作成された決定木を用いて、抽出したHTTP POSTメッセージを、ユーザの嗜好等を表すサイトへの投稿やコメント等の「書込み」と、ログインや検索等のための「単純入力行為」とに分類する分類ステップ（Ｓ３Ｂ）を実行する。【選択図】図５
2011170531.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上のアプリケーションを提供するサーバと、ユーザの操作により前記サーバにアクセスするクライアントと、ネットワークからデータを抽出するトラフィックデータ抽出装置とを備え、ネットワークにおける前記ユーザの行動を推測するユーザ行動推測システムにおける前記トラフィックデータ抽出装置が抽出したデータからサイトへの書込み行為に関するデータを分離するトラフィックデータ分離方法であって、
前記トラフィックデータ抽出装置は、通信手段と、演算手段と、記憶手段とを備え、
前記記憶手段は、ユーザによるネットワーク上の情報入力行為を、ユーザの入力目的またはサイトの種類に応じて、ユーザの嗜好、感情または意見を表すものとして入力するサイトへの書込み行為と、前記書込み行為以外で形式的に入力するサイトへの単純入力行為とに分類するために予め定められた判別処理を示す複数ノードと前記ノード間を接続するリンクとからなる決定木を記憶し、
前記演算手段は、
前記ネットワークからトラフィックデータを抽出するステップと、
前記抽出されたトラフィックデータからHTTP POSTメッセージおよび当該HTTP POSTメッセージに対するレスポンスメッセージを抽出するメッセージ抽出ステップと、
HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理を示すノードと、前記HTTP POSTメッセージに対するレスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理を示すノードとを含む前記決定木を用いて、前記抽出されたHTTP POSTメッセージを、前記書込み行為と前記単純入力行為とに分類する分類ステップとを含んで実行する、
ことを特徴とするトラフィックデータ分離方法。
【請求項２】
前記トラフィックデータ抽出装置の前記演算手段は、前記分類ステップにて、
HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最小値以上か否かを判別し、
前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値より小さい場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、
前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値以上の場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、
ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、
キャッシュ制御を示すヘッダ情報の値が、前記単純入力行為を特定するために予め定められた値と同一か否かを判別する第２レスポンス判別処理と、
当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、を予め定められた順序で実行し、
前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第２レスポンス判別処理にて前記キャッシュ制御を示すヘッダ情報の値が前記予め定められた値と異なる場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１ないし第３レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定する、
ことを特徴とする請求項１に記載のトラフィックデータ分離方法。
【請求項３】
前記トラフィックデータ抽出装置の前記演算手段は、前記分類ステップにて、
HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、当該リクエストヘッダにSOAP Action ヘッダが存在するか否かを判別し、
前記リクエストヘッダにSOAP Action ヘッダが存在しない場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、
前記リクエストヘッダにSOAP Action ヘッダが存在する場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、
ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、
キャッシュ制御を示すヘッダ情報の値が、前記単純入力行為を特定するために予め定められた値と同一か否かを判別する第２レスポンス判別処理と、
当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、を予め定められた順序で実行し、
前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第２レスポンス判別処理にて前記キャッシュ制御を示すヘッダ情報の値が前記予め定められた値と異なる場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１ないし第３レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定する、
ことを特徴とする請求項１に記載のトラフィックデータ分離方法。
【請求項４】
前記トラフィックデータ抽出装置の前記演算手段は、前記分類ステップにて、
HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最小値以上か否かを判別し、
前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値より小さい場合に、前記レスポンスメッセージのレスポンスヘッダにおいてコンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別し、前記ヘッダ情報の値が前記予め定められた値と同じである場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記ヘッダ情報の値が前記予め定められた値と異なる場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、
前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値以上の場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、
ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、
キャッシュ制御を示すヘッダ情報の値が、前記単純入力行為を特定するために予め定められた値と同一か否かを判別する第２レスポンス判別処理と、
当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、を予め定められた順序で実行し、
前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第２レスポンス判別処理にて前記キャッシュ制御を示すヘッダ情報の値が前記予め定められた値と異なる場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１ないし第３レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定する、
ことを特徴とする請求項１に記載のトラフィックデータ分離方法。
【請求項５】
前記トラフィックデータ抽出装置の前記演算手段は、前記分類ステップにて、
HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最小値以上か否かを判別し、
前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値より小さい場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、
前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値以上の場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、
ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、
当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、
コンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別する第４レスポンス判別処理と、を予め定められた順序で実行し、
前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、かつ、前記第４レスポンス判別処理にて前記ヘッダ情報の値が前記予め定められた値と同一である場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１、第３および第４レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定する、
ことを特徴とする請求項１に記載のトラフィックデータ分離方法。
【請求項６】
前記トラフィックデータ抽出装置の前記演算手段は、前記分類ステップにて、
HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、当該リクエストヘッダにSOAP Action ヘッダが存在するか否かを判別し、
前記リクエストヘッダにSOAP Action ヘッダが存在しない場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、
前記リクエストヘッダにSOAP Action ヘッダが存在する場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、
ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、
当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、
コンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別する第４レスポンス判別処理と、を予め定められた順序で実行し、
前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、かつ、前記第４レスポンス判別処理にて前記ヘッダ情報の値が前記予め定められた値と同一である場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１、第３および第４レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定する、
ことを特徴とする請求項１に記載のトラフィックデータ分離方法。
【請求項７】
前記トラフィックデータ抽出装置の前記演算手段は、前記分類ステップにて、
HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最小値以上か否かを判別し、
前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値より小さい場合に、前記レスポンスメッセージのレスポンスヘッダにおいてコンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別し、前記ヘッダ情報の値が前記予め定められた値と同じである場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記ヘッダ情報の値が前記予め定められた値と異なる場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、
前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値以上の場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、
ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、
当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、
コンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別する第４レスポンス判別処理と、を予め定められた順序で実行し、
前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、かつ、前記第４レスポンス判別処理にて前記ヘッダ情報の値が前記予め定められた値と同一である場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１、第３および第４レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定する、
ことを特徴とする請求項１に記載のトラフィックデータ分離方法。
【請求項８】
前記トラフィックデータ抽出装置の前記記憶手段は、前記書込み行為を特定するために予め作成されたURLリストをさらに記憶し、
前記演算手段は、前記分類ステップにて、
前記HTTP POSTメッセージの宛先のURLが前記URLリストに存在するか否かを判別する判別処理を前記決定木のノードとして実行し、
当該HTTP POSTメッセージの宛先のURLが前記URLリストに存在しない場合に、前記HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理を実行することを特徴とする請求項１ないし請求項７のいずれか一項に記載のトラフィックデータ分離方法。
【請求項９】
請求項１ないし請求項８のいずれか一項に記載の方法をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上のトラフィックからデータを抽出し、ユーザの振る舞い（行動）を推測する技術に関する。
【背景技術】
【０００２】
従来、サーバに蓄積されたアクセスログ等をサーバで解析したり、クライアント側に専用ソフトをインストールしたりすることで、ユーザの行動履歴を推測するシステムが知られている（例えば、特許文献１参照）。
従来のユーザ行動推測システムには、例えば、ユーザがＰＣ上で行ったWebやSNS（Social Network Service）の閲覧行動の記録（閲覧履歴）から、閲覧行動をカテゴリに分類するというものがある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−１２８９３７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来のユーザ行動推測システムにおいて、ユーザの行動解析は、サーバ側またはクライアント側で行われていた。そのため、例えばサーバ側での行動解析結果は、その単一サーバにおけるユーザの行動解析であるという問題があった。また、ユーザの行動をクライアント側で解析するには、クライアントに専用ソフトをインストールする必要があった。
【０００５】
また、従来のユーザ行動推測システムは、主としてユーザのWeb等の閲覧履歴をもとにしたユーザの行動解析において、HTTP GETリクエストのリクエスト行のURLからリクエストパラメータを取得していた。このHTTP GETメッセージから得られるデータは、主として、ユーザの閲覧したページのURLであった。したがって、従来の閲覧履歴をもとにユーザの行動履歴を推測するシステムは、ユーザの書込み行動を推測することができないという問題があった。
【０００６】
本発明は、前記した問題を解決するために成されたものであり、複数のサーバに渡るユーザの行動を解析するために、ネットワークより抽出したトラフィックデータの中から、ユーザによるサイトへの書込み行為に関するデータを解析できるように分離することを課題とする。
【課題を解決するための手段】
【０００７】
前記目的を達成するために、本発明に係るトラフィックデータ分離方法は、ネットワーク上のアプリケーションを提供するサーバと、ユーザの操作により前記サーバにアクセスするクライアントと、ネットワークからデータを抽出するトラフィックデータ抽出装置とを備え、ネットワークにおける前記ユーザの行動を推測するユーザ行動推測システムにおける前記トラフィックデータ抽出装置が抽出したデータからサイトへの書込み行為に関するデータを分離するトラフィックデータ分離方法であって、前記トラフィックデータ抽出装置が、通信手段と、演算手段と、記憶手段とを備え、前記記憶手段が、ユーザによるネットワーク上の情報入力行為を、ユーザの入力目的またはサイトの種類に応じて、ユーザの嗜好、感情または意見を表すものとして入力するサイトへの書込み行為と、前記書込み行為以外で形式的に入力するサイトへの単純入力行為とに分類するために予め定められた判別処理を示す複数ノードと前記ノード間を接続するリンクとからなる決定木を記憶し、前記演算手段が、前記ネットワークからトラフィックデータを抽出するステップと、前記抽出されたトラフィックデータからHTTP POSTメッセージおよび当該HTTP POSTメッセージに対するレスポンスメッセージを抽出するメッセージ抽出ステップと、HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理を示すノードと、前記HTTP POSTメッセージに対するレスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理を示すノードとを含む前記決定木を用いて、前記抽出されたHTTP POSTメッセージを、前記書込み行為と前記単純入力行為とに分類する分類ステップとを含んで実行することを特徴とする。
【０００８】
かかる手順によれば、トラフィックデータ分離方法は、トラフィックデータ抽出装置がトラフィックデータから抽出したHTTP POSTメッセージおよびそのレスポンスメッセージのヘッダ情報と、トラフィックデータ抽出装置の記憶手段に予め記憶した決定木とを利用して、抽出したHTTP POSTメッセージを、書込み行為と単純入力行為とに分類する。ここで、決定木は、リクエストヘッダ情報およびレスポンスヘッダ情報に係るサイト毎の特徴を反映して予め作成したものである。本発明のトラフィックデータ分離方法は、リクエストヘッダ情報およびレスポンスヘッダ情報を解析するので、メッセージボディを解析する場合に比べて高速に判別して、トラフィックデータから書込みを示すメッセージを高速に分離することができる。
【０００９】
また、本発明に係るトラフィックデータ分離方法は、前記分類ステップにて、リクエストヘッダ側の第１の観点の判別手順（以下、手順Ａという）と、レスポンスヘッダ側の第１の観点の判別手順（以下、手順Ｘという）との組み合わせ（以下、組み合わせ手順Ａ−Ｘという）により、判定することが好ましい。すなわち、本発明に係るトラフィックデータ分離方法は、組み合わせ手順Ａ−Ｘとして、前記トラフィックデータ抽出装置の前記演算手段が、前記分類ステップにて、HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最小値以上か否かを判別し、前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値より小さい場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値以上の場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、キャッシュ制御を示すヘッダ情報の値が、前記単純入力行為を特定するために予め定められた値と同一か否かを判別する第２レスポンス判別処理と、当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、を予め定められた順序で実行し、前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第２レスポンス判別処理にて前記キャッシュ制御を示すヘッダ情報の値が前記予め定められた値と異なる場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１ないし第３レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定することが好ましい。
【００１０】
かかる手順によれば、トラフィックデータ分離方法は、組み合わせ手順Ａ−Ｘにより、抽出メッセージから書込み行為を分類することができる。この組み合わせ手順Ａ−Ｘのトラフィックデータ分離方法は、リクエストヘッダ側の第１の観点の判別手順（手順Ａ）にて、リクエストヘッダにおいてボディの長さが許容最小値以上であってレスポンスヘッダにおいてボディの長さが許容最大値以下であるHTTP POSTメッセージを書込み行為の候補として抽出することができる。
【００１１】
また、組み合わせ手順Ａ−Ｘのトラフィックデータ分離方法は、レスポンスヘッダ側の第１の観点の判別手順（手順Ｘ）にて、キャッシュ制御を示すヘッダ情報において、書込み以外（単純入力行為）を特定する値を予め設定しておいて第２レスポンス判別処理を実行するので、この判別により、抽出したHTTP POSTメッセージから書込み以外（単純入力行為）を除外し、書込み行為の候補を抽出することができる。
【００１２】
また、組み合わせ手順Ａ−Ｘのトラフィックデータ分離方法は、レスポンスヘッダ側の第１の観点の判別手順（手順Ｘ）にて、レスポンスメッセージに含まれるヘッダ情報において、書込みの候補を残すためのヘッダ情報を予め設定しておいて第３レスポンス判別処理を実行するので、この判別により、抽出したHTTP POSTメッセージから書込み以外（単純入力行為）を除外し、書込み行為の候補を抽出することができる。
【００１３】
また、本発明に係るトラフィックデータ分離方法は、分類ステップにて、リクエストヘッダ側の第２の観点の判別手順（以下、手順Ｂという）と、レスポンスヘッダ側の第１の観点の判別手順Ｘとの組み合わせ（以下、組み合わせ手順Ｂ−Ｘという）により、判定することが好ましい。すなわち、本発明に係るトラフィックデータ分離方法は、組み合わせ手順Ｂ−Ｘとして、前記トラフィックデータ抽出装置の前記演算手段が、前記分類ステップにて、HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、当該するか否かを判別し、前記リクエストヘッダにSOAP Action ヘッダが存在しない場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、前記リクエストヘッダにSOAP Action ヘッダが存在する場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、キャッシュ制御を示すヘッダ情報の値が、前記単純入力行為を特定するために予め定められた値と同一か否かを判別する第２レスポンス判別処理と、当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、を予め定められた順序で実行し、前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第２レスポンス判別処理にて前記キャッシュ制御を示すヘッダ情報の値が前記予め定められた値と異なる場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１ないし第３レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定することが好ましい。
【００１４】
かかる手順によれば、トラフィックデータ分離方法は、組み合わせ手順Ｂ−Ｘにより、抽出メッセージから書込み行為を分類することができる。この組み合わせ手順Ｂ−Ｘのトラフィックデータ分離方法は、リクエストヘッダ側の第２の観点の判別手順（手順Ｂ）にて、リクエストヘッダにSOAP Action ヘッダが存在し、レスポンスヘッダにおいてボディの長さが許容最大値以下であるHTTP POSTメッセージを書込み行為の候補として抽出することができる。なお、組み合わせ手順Ｂ−Ｘのトラフィックデータ分離方法において、レスポンスヘッダ側の第１の観点の判別手順（手順Ｘ）は、前記した通りである。
【００１５】
また、本発明に係るトラフィックデータ分離方法は、分類ステップにて、リクエストヘッダ側の第３の観点の判別手順（以下、手順Ｃという）と、レスポンスヘッダ側の第１の観点の判別手順Ｘとの組み合わせ（以下、組み合わせ手順Ｃ−Ｘという）により、判定することが好ましい。すなわち、本発明に係るトラフィックデータ分離方法は、組み合わせ手順Ｃ−Ｘとして、前記トラフィックデータ抽出装置の前記演算手段が、前記分類ステップにて、HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最小値以上か否かを判別し、前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値より小さい場合に、前記レスポンスメッセージのレスポンスヘッダにおいてコンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別し、前記ヘッダ情報の値が前記予め定められた値と同じである場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記ヘッダ情報の値が前記予め定められた値と異なる場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値以上の場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、キャッシュ制御を示すヘッダ情報の値が、前記単純入力行為を特定するために予め定められた値と同一か否かを判別する第２レスポンス判別処理と、当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、を予め定められた順序で実行し、前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第２レスポンス判別処理にて前記キャッシュ制御を示すヘッダ情報の値が前記予め定められた値と異なる場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１ないし第３レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定することが好ましい。
【００１６】
かかる手順によれば、トラフィックデータ分離方法は、組み合わせ手順Ｃ−Ｘにより、抽出メッセージから書込み行為を分類することができる。この組み合わせ手順Ｃ−Ｘのトラフィックデータ分離方法は、リクエストヘッダ側の第３の観点の判別手順（手順Ｃ）にて、リクエストヘッダにおいてボディの長さが許容最小値より小さい場合に、単純入力行為であると即断するのではなく、この場合に、レスポンスヘッダ情報を解析する。そして、この場合、組み合わせ手順Ｃ−Ｘのトラフィックデータ分離方法は、レスポンスヘッダのコンテンツの種類を示すヘッダ情報において、書込み行為を特定する値を予め設定しておいて判別処理を実行するので、この判別により、抽出したHTTP POSTメッセージから書込み以外（単純入力行為）を除外し、書込み行為の候補を抽出することができる。なお、組み合わせ手順Ｃ−Ｘのトラフィックデータ分離方法において、レスポンスヘッダ側の第１の観点の判別手順（手順Ｘ）は、前記した通りである。
【００１７】
また、本発明に係るトラフィックデータ分離方法は、分類ステップにて、リクエストヘッダ側の第１の観点の判別手順Ａと、レスポンスヘッダ側の第２の観点の判別手順（以下、手順Ｙという）との組み合わせ（以下、組み合わせ手順Ａ−Ｙという）により、判定することが好ましい。すなわち、本発明に係るトラフィックデータ分離方法は、組み合わせ手順Ａ−Ｙとして、前記トラフィックデータ抽出装置の前記演算手段が、前記分類ステップにて、HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最小値以上か否かを判別し、前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値より小さい場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値以上の場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、コンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別する第４レスポンス判別処理と、を予め定められた順序で実行し、前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、かつ、前記第４レスポンス判別処理にて前記ヘッダ情報の値が前記予め定められた値と同一である場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１、第３および第４レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定することが好ましい。
【００１８】
かかる手順によれば、トラフィックデータ分離方法は、組み合わせ手順Ａ−Ｙにより、抽出メッセージから書込み行為を分類することができる。この組み合わせ手順Ａ−Ｙのトラフィックデータ分離方法において、リクエストヘッダ側の第１の観点の判別手順（手順Ａ）は、前記した通りである。
【００１９】
また、組み合わせ手順Ａ−Ｙのトラフィックデータ分離方法は、レスポンスヘッダ側の第２の観点の判別手順（手順Ｙ）にて、コンテンツの種類を示すヘッダ情報において、書込み行為を特定する値を予め設定しておいて第４レスポンス判別処理を実行するので、この判別により、抽出したHTTP POSTメッセージから書込み以外（単純入力行為）を除外し、書込み行為の候補を抽出することができる。
【００２０】
また、組み合わせ手順Ａ−Ｙのトラフィックデータ分離方法は、レスポンスヘッダ側の第２の観点の判別手順（手順Ｙ）にて、レスポンスメッセージに含まれるヘッダ情報において、書込みの候補を残すためのヘッダ情報を予め設定しておいて第３レスポンス判別処理を実行するので、この判別により、抽出したHTTP POSTメッセージから書込み以外（単純入力行為）を除外し、書込み行為の候補を抽出することができる。
【００２１】
また、本発明に係るトラフィックデータ分離方法は、分類ステップにて、リクエストヘッダ側の第２の観点の判別手順Ｂと、レスポンスヘッダ側の第２の観点の判別手順Ｙとの組み合わせ（以下、組み合わせ手順Ｂ−Ｙという）により、判定することが好ましい。すなわち、本発明に係るトラフィックデータ分離方法は、組み合わせ手順Ｂ−Ｙとして、前記トラフィックデータ抽出装置の前記演算手段が、前記分類ステップにて、HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、当該リクエストヘッダにSOAP Action ヘッダが存在するか否かを判別し、前記リクエストヘッダにSOAP Action ヘッダが存在しない場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、前記リクエストヘッダにSOAP Action ヘッダが存在する場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、コンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別する第４レスポンス判別処理と、を予め定められた順序で実行し、前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、かつ、前記第４レスポンス判別処理にて前記ヘッダ情報の値が前記予め定められた値と同一である場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１、第３および第４レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定することが好ましい。
【００２２】
かかる手順によれば、トラフィックデータ分離方法は、組み合わせ手順Ｂ−Ｙにより、抽出メッセージから書込み行為を分類することができる。この組み合わせ手順Ｂ−Ｙのトラフィックデータ分離方法において、リクエストヘッダ側の第２の観点の判別手順（手順Ｂ）は、前記した通りである。また、組み合わせ手順Ｂ−Ｙのトラフィックデータ分離方法において、レスポンスヘッダ側の第２の観点の判別手順（手順Ｙ）は、前記した通りである。
【００２３】
また、本発明に係るトラフィックデータ分離方法は、分類ステップにて、リクエストヘッダ側の第３の観点の判別手順Ｃと、レスポンスヘッダ側の第２の観点の判別手順Ｙとの組み合わせ（以下、組み合わせ手順Ｃ−Ｙという）により、判定することが好ましい。すなわち、本発明に係るトラフィックデータ分離方法は、組み合わせ手順Ｃ−Ｙとして、前記トラフィックデータ抽出装置の前記演算手段が、前記分類ステップにて、HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最小値以上か否かを判別し、前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値より小さい場合に、前記レスポンスメッセージのレスポンスヘッダにおいてコンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別し、前記ヘッダ情報の値が前記予め定められた値と同じである場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記ヘッダ情報の値が前記予め定められた値と異なる場合に、当該HTTP POSTメッセージを前記単純入力行為であると判定し、前記リクエストヘッダにおいてボディの長さを示すヘッダ情報の値が前記許容最小値以上の場合に、前記レスポンスメッセージのレスポンスヘッダのヘッダ情報の値を判別する判別処理として、ボディの長さを示すヘッダ情報の値が、前記書込み行為を特定するために予め定められた許容最大値以下か否かを判別する第１レスポンス判別処理と、当該レスポンスヘッダに、クッキーの付与を示すヘッダおよびリクエストによって作られた新しいリソースの場所を示すヘッダの少なくとも１つが存在するか否かを判別する第３レスポンス判別処理と、コンテンツの種類を示すヘッダ情報の値が前記書込み行為を特定するために予め定められた値と同一か否かを判別する第４レスポンス判別処理と、を予め定められた順序で実行し、前記第１レスポンス判別処理にて前記ボディの長さを示すヘッダ情報の値が前記許容最大値以下である場合、かつ、前記第３レスポンス判別処理にて当該レスポンスヘッダに前記クッキーの付与を示すヘッダおよび前記新しいリソースの場所を示すヘッダのいずれかが存在する場合、かつ、前記第４レスポンス判別処理にて前記ヘッダ情報の値が前記予め定められた値と同一である場合に、当該HTTP POSTメッセージを前記書込み行為であると判定し、前記第１、第３および第４レスポンス判別処理にてそれ以外の判別結果の場合、当該HTTP POSTメッセージを前記単純入力行為であると判定することが好ましい。
【００２４】
かかる手順によれば、トラフィックデータ分離方法は、組み合わせ手順Ｃ−Ｙにより、抽出メッセージから書込み行為を分類することができる。この組み合わせ手順Ｃ−Ｙのトラフィックデータ分離方法において、リクエストヘッダ側の第３の観点の判別手順（手順Ｃ）は、前記した通りである。また、組み合わせ手順Ｃ−Ｙのトラフィックデータ分離方法において、レスポンスヘッダ側の第２の観点の判別手順（手順Ｙ）は、前記した通りである。
【００２５】
また、本発明に係るトラフィックデータ分離方法は、前記分類ステップを含んで実行する方法、または、組み合わせ手順Ａ−Ｘ、Ｂ−Ｘ、Ｃ−Ｘ、Ａ−Ｙ、Ｂ−Ｙ、Ｃ−Ｙのいずれかの方法において、前記トラフィックデータ抽出装置の前記記憶手段が、前記書込み行為を特定するために予め作成されたURLリストをさらに記憶し、前記演算手段が、前記分類ステップにて、前記HTTP POSTメッセージの宛先のURLが前記URLリストに存在するか否かを判別する判別処理を前記決定木のノードとして実行し、当該HTTP POSTメッセージの宛先のURLが前記URLリストに存在しない場合に、前記HTTP POSTメッセージのリクエストヘッダのヘッダ情報の値を判別する判別処理を実行することが好ましい。
【００２６】
かかる手順によれば、トラフィックデータ分離方法は、トラフィックデータ抽出装置に書込み行為を特定するための所望のURLを予め登録しておくことで、抽出されたトラフィックデータのURLを、登録情報と照合することにより、抽出メッセージから書込み行為を分類することができる。したがって、このようにリクエストヘッダの解析前に分類可能な書込み行為を除いておくことで、リクエストヘッダおよびレスポンスヘッダの解析処理の負荷を低減することができる。
【００２７】
また、本発明に係るプログラムは、前記いずれかのトラフィックデータ分離方法をコンピュータに実行させるためのプログラムである。このように構成されることにより、このプログラムをインストールされたコンピュータは、このプログラムに基づいた各機能を実現することができる。
【発明の効果】
【００２８】
本発明によれば、トラフィックデータから抽出したHTTP POSTメッセージのボディを解析することなく、決定木を利用してヘッダ情報を解析することで、書込みを示すメッセージを抽出することができる。その結果、本発明によれば、トラフィックデータから、書込みを示すメッセージを高速に分離することができる。また、本発明によれば、ネットワークから抽出したトラフィックデータを用いて、書込みを含むユーザの行動を推定することができる。また、本発明によれば、ネットワーク上のトラフィックデータ抽出装置の処理によりユーザの行動を解析することができるので、複数のサーバにおけるユーザの行動を解析することができる。
【図面の簡単な説明】
【００２９】
【図１】本発明の実施形態に係るユーザ行動推測システムの一例を示す構成図である。
【図２】本発明の実施形態に係るトラフィックデータ抽出装置の一例を示すブロック図である。
【図３】本発明の実施形態に係るトラフィックデータ抽出装置の全体動作を示すフローチャートである。
【図４】図３に示すHTTP POST分類処理の第１のパターンを示すフローチャートである。
【図５】図３に示すHTTP POST分類処理の第２のパターンを示すフローチャートである。
【図６】図３に示すHTTP POST分類処理の第３のパターンを示すフローチャートである。
【発明を実施するための形態】
【００３０】
［ユーザ行動推定システムの構成］
ユーザ行動推定システムの構成について図１を参照して説明する。
ユーザ行動推定システム１０は、図１に示すように、ネットワークＮ（インターネット）上に、トラフィックデータ抽出装置１を備えている。また、ユーザ行動推定システム１０は、ユーザ側に、複数のクライアント１１（１１Ａ，１１Ｂ，１１Ｃ）を備え、サーバ側に、複数のサーバ１２（１２Ａ、１２Ｂ，１２Ｃ）を備えることとした。
【００３１】
クライアント１１は、ユーザによって使用され、例えば、インターネット接続機能を有したパーソナルコンピュータや携帯情報端末等から構成される。
サーバ１２は、例えば、インターネット上のＷｅｂサーバやアプリケーションサーバ等から構成される。
サーバ１２Ａは、音楽情報提供事業者が運営する音楽情報サイトとして機能する。
サーバ１２Ｂは、ニュース提供事業者が運営するニュースサイトとして機能する。
サーバ１２Ｃは、商品やサービスの販売者が運営するＥＣ（Electronic Commerce）サイトとして機能する。なお、クライアント１１及びサーバ１２の台数や、サイトの種類は一例であって、この限りではない。
【００３２】
通常、ユーザは、まずネットワーク（インターネット）Ｎに接続されているサーバ上のアプリケーションにHTTP（Hypertext Transfer Protocol）リクエスト（以下、単にリクエストともいう）をして、アクセスする。これに対してアプリケーションからのレスポンス（HTTPレスポンス）がユーザに返る。そこで、トラフィックデータ抽出装置１は、ネットワークＮ上のデータトラフィック１３から、ユーザのHTTPリクエストやそのレスポンスを抽出する。トラフィックデータ抽出装置１は、この抽出したHTTPリクエストやレスポンスを解析することで、ユーザの行動を推定する。そして、トラフィックデータ抽出装置１は、特にユーザの書込行動を推定する。そのために、トラフィックデータ抽出装置１は、抽出したデータからサイトへの書込み行為に関するデータを分離する。なお、トラフィックデータ抽出装置１が抽出したデータのことをトラフィックデータと呼び、ネットワークＮ上のデータのことをデータトラフィック１３と呼ぶ。
【００３３】
［トラフィックデータ分離方法の概要］
トラフィックデータ抽出装置１は、抽出したデータからサイトへの書込み行為に関するデータを分離するために、取得したリクエストがHTTP POST以外のものは除外し、HTTP POSTのパケットのみを抽出し、抽出したHTTP POSTパケットを元に、ユーザの情報入力行為を以下の（Ｗ１）〜（Ｗ６）のいずれかに分類して、（Ｗ２）のみを識別して抽出する。
【００３４】
（Ｗ１）サーバへのログイン
（Ｗ２）サーバへの書込み（投稿、コメント、口コミ、アンケートなど）
（Ｗ３）Web APIの利用
（Ｗ４）ブログ内検索
（Ｗ５）翻訳サイト等の利用
（Ｗ６）旅行検索等の利用
【００３５】
（Ｗ２）のサーバへの書込みとは、ユーザの嗜好、感情または意見を表すものとしてユーザが入力するものであり、ユーザによるサイトへの書込み行為を示す。
ここで、投稿とは、ユーザが、ブログ等自らのサイトへ書込みを行うことを示す。
また、コメントとは、ユーザが、他者のブログ等へコメントを書き込むことを示す。
口コミとは、ユーザが、口コミサイトや掲示板等の複数人（不特定多数）によって構成されるサイトへ書き込むことを示す。
アンケートとは、ユーザが、アンケートや質問への回答を書き込むことを示す。
【００３６】
以下では、サーバへの書込みのことを、書込み行為または書込みという。これに対して、前記した（Ｗ１）および（Ｗ３）〜（Ｗ６）は、書込み行為以外にユーザがネットワークＮ上のサーバに形式的に入力する行為等を示す。したがって、以下では、これらを総称して単純入力行為と呼ぶ。
【００３７】
（Ｗ１）は、例えば、サーバで提供するサイトへの入り口のログインの入力フォームに合わせたユーザIDやパスワード等の入力を示す。一般的に、リクエスト（ユーザID等）のデータ長は書込みのデータ長よりも小さい。
【００３８】
（Ｗ３）は、例えば、Web APIの利用申込書の入力フォームに合わせた個人情報等の入力や、Web APIの利用時のユーザIDやパスワード等の入力を示す。一般的に、そのレスポンス（登録内容確認結果やAPI利用画面）のデータ長は、リクエスト（入力個人情報やユーザID等）のデータ長よりも格段に大きい。
【００３９】
（Ｗ４）は、例えば、Web上の検索入力フォームや検索式に合わせた検索キーワード等の入力を示す。一般的に、検索結果候補は多数あるのでレスポンス（検索結果）のデータ長はリクエスト（検索キーワード等）のデータ長よりも大きく、リクエスト（検索キーワード等）のデータ長はいわゆる書込みのデータ長よりも小さい。
【００４０】
（Ｗ５）は、例えば、翻訳サイトの翻訳元原稿の入力フォームに合わせた文章等の入力を示す。翻訳はほぼ一対一に対応させるものなので、一般に、そのレスポンス（翻訳結果）のデータ長は、リクエスト（翻訳元原稿）のデータ長と同等とみなすことができる。
【００４１】
（Ｗ６）は、例えば、旅行検索サイトの旅行プランの条件入力フォームに合わせたキーワードや数値等の入力を示す。一般に、そのレスポンス（条件一致プラン検索結果）のデータ長は、リクエスト（条件のキーワードや数値等）よりも大きい。特に、レスポンスに旅行先の見所の風景や宿泊施設等の画像データが含まれると、そのレスポンスのデータ長は、リクエストよりも格段に大きくなる。
【００４２】
前記のように、書込み行為はユーザの嗜好等を表すものとしてユーザが入力するものであり、単純入力行為とは、ユーザの入力目的が全く異なる。また、サイトの種類によって、ユーザによる入力情報のデータ長とそのレスポンスのデータ長との関係は異なっている。本実施形態に係るトラフィックデータ分離方法は、ユーザによるネットワーク上の情報入力行為を、ユーザの入力目的またはサイトの種類に応じて、書込み行為と単純入力行為とに分類するために予め作成された決定木（decision tree）を用いることとした。また、本実施形態に係るトラフィックデータ抽出装置１は、このトラフィックデータ分離方法を実現する装置である。
【００４３】
［決定木］
本実施形態に係るトラフィックデータ分離方法は、トラフィックデータ中の前記した（Ｗ１）〜（Ｗ６）に係るHTTP POSTメッセージを利用するユーザの情報入力行為の中から、（Ｗ２）の書込み行為を抽出するために、リクエストヘッダ情報およびレスポンスヘッダ情報を利用する。決定木は、リクエストヘッダ情報およびレスポンスヘッダ情報に係るサイト毎の特徴を反映して作成したものである。この決定木により、本実施形態に係るトラフィックデータ分離方法は、前記した（Ｗ１）〜（Ｗ６）を分類し、（Ｗ１）〜（Ｗ６）に係るHTTP POSTメッセージの中から（Ｗ２）の書込み行為を抽出する。
【００４４】
ヘッダ情報には、リクエスト専用のヘッダ情報、レスポンス専用のヘッダ情報、リクエストとレスポンスに共通に用いる汎用のヘッダ情報等がある。ヘッダ情報の一例を以下の（Ｈ１）〜（Ｈ５）に示す。
【００４５】
（Ｈ１）Content-lengthは、ボディの長さを示す汎用のヘッダである。
（Ｈ２）Content-typeは、コンテンツの種類を示す汎用のヘッダである。
（Ｈ３）Cache-Controlは、キャッシュへの保存／非保存設定の制御を示す汎用のヘッダである。Cache-Controlは、例えば以下（Ｖ１）〜（Ｖ５）の値を有する。
【００４６】
（Ｖ１）private：Webサーバから返されるコンテンツがただ一人のユーザのためのものであることを示す。Cache-Controlにて、この値が指定されると、共有(プロキシサーバ)キャッシュには保存されない。
（Ｖ２）no-store：Webサーバから返されてくるコンテンツをキャッシュに記録してはならないことを示す。
（Ｖ３）no-cache：一度キャッシュに記録されたコンテンツは、現在でも有効か否かを本来のWebサーバに問い合わせて確認がとれない限り再利用してはならないことを示す。
（Ｖ４）must-revalidate：キャッシュに記録されているコンテンツが現在も有効であるか否かをWebサーバに必ず問い合わすように強制することを示す。
（Ｖ５）public：Cache-Controlにて、この値が指定されると、応答をクライアントのキャッシュと共有（プロキシサーバ）キャッシュに保存することができる。
【００４７】
（Ｈ４）Set-Cookieは、クッキーの付与を示すレスポンス専用のヘッダである。
（Ｈ５）Locationは、リクエストによって作られた新しいリソースの場所（URI：Uniform Resource Identifier）を示すレスポンス専用のヘッダである。
【００４８】
本実施形態に係るトラフィックデータ分離方法で利用する決定木の構成には、いくつかのパターンがある。図４〜図６のフローチャートは、HTTP POST分類処理のための決定木の一例をそれぞれ示す。このHTTP POST分類処理については後記する。
【００４９】
［トラフィックデータ抽出装置の構成］
次に、トラフィックデータ抽出装置１の構成について図２を参照（適宜図１参照）して説明する。トラフィックデータ抽出装置１は、図２に示すように、バスライン７で接続された演算手段２と、記憶手段３と、通信手段４と、入力手段５と、出力手段６とを備えている。
【００５０】
演算手段２は、例えば、ＣＰＵ（Central Processing Unit）及びＲＡＭ（Random Access Memory）から構成される主制御装置である。この演算手段２は、図２に示すように、パケット抽出手段２１と、メッセージ判別手段２２と、書込行為分類手段２３と、書込内容抽出手段２４と、メモリ２５とを備える。
【００５１】
演算手段２は、記憶手段３から、トラフィックキャプチャプログラム３１を読み込み、メモリ２５に格納し、実行することで、前記したパケット抽出手段２１と、メッセージ判別手段２２とを実現する。また、演算手段２は、記憶手段３から、書込行為分類プログラム３２および書込内容抽出プログラム３３をそれぞれ読み込み、メモリ２５に格納し、実行することで、前記した書込行為分類手段２３と書込内容抽出手段２４とをそれぞれ実現する。なお、演算手段２の各部については、このトラフィックデータ抽出装置１の全体動作と共に説明する。
【００５２】
記憶手段３は、例えば、一般的なハードディスク装置等から構成される。
記憶手段３には、演算手段２で用いられるプログラムとして、トラフィックキャプチャプログラム３１、書込行為分類プログラム３２および書込内容抽出プログラム３３を記憶させておくことが可能である。また、記憶手段３には、演算手段２で用いられる各種データとして、URLリスト３４と、決定木３５とを記憶する。ここで、URLリスト３４と決定木３５とは入力手段５を介して入力され、記憶手段３に記憶される構成とすることが可能である。
【００５３】
URLリスト３４は、ユーザによる書込みがなされるサイト（サーバ）のURLのリストである。URLリスト３４には、例えば、有名なサイトのURLや、ユーザが自らのブログに投稿するためのURL（ブログ投稿URL）のユーザ毎のリストや、ユーザが他者のブログにコメントをするためのURL（コメント用URL）のブログ毎のリスト等が含まれる。URLリスト３４は、例えば、トラフィックデータ抽出装置１の利用者が推測したいユーザの行動に応じて予め作成され、登録されている。登録されたURLは、設定ファイルによって変更が可能である。URLリスト３４は、ユーザによるサイトへの書込み行為を特定するために、書込行為分類手段２３によって利用される。
【００５４】
決定木３５は、ユーザによるネットワークＮ上の情報入力行為を、ユーザの入力目的またはサイトの種類に応じて、サイトへの書込み行為と単純入力行為とに分類するためのグラフであって、予め定められた判別処理を示す複数ノードとノード間を接続するリンクとからなる。決定木３５は、例えば、トラフィックデータ抽出装置１の利用者が推測したいユーザの行動に応じて予め作成され、登録されている。決定木３５は、ユーザによるサイトへの書込み行為を特定するために、書込行為分類手段２３によって利用される。
【００５５】
通信手段４は、ネットワークＮ（インターネット）上のデータトラフィック１３（図１参照）から、ユーザのリクエストやそのレスポンスを抽出する通信インタフェースである。入力手段５は、例えば、キーボード、マウス、ディスクドライブ装置等から構成される。出力手段６は、例えば、グラフィックボード（出力インタフェース）及びそれに接続されたモニタから構成される。モニタは、例えば、液晶ディスプレイ等から構成され、処理結果等を表示する。
【００５６】
［トラフィックデータ抽出装置の全体動作］
次に、トラフィックデータ抽出装置１の全体動作について、図３を参照（適宜図１及び図２参照）して説明する。まず、トラフィックデータ抽出装置１は、パケット抽出手段２１によって、ネットワークＮ上を流れるデータトラフィック１３からHTTPメッセージ（パケット）を抽出する（ステップＳ１）。そして、トラフィックデータ抽出装置１は、メッセージ判別手段２２によって、メッセージの種別を判別して、HTTPリクエスト（リクエスト・メッセージ）を抽出し（ステップＳ２：メッセージ抽出ステップ）、書込行為分類手段２３によって、HTTP POST分類処理を実行する（ステップＳ３：分類ステップ）。なお、ステップＳ２にて、メッセージ判別手段２２がHTTP POSTメッセージを抽出した場合、当該HTTP POSTメッセージに対するレスポンスメッセージも抽出する。
【００５７】
ステップＳ３のHTTP POST分類処理は、詳細は後記するが、書込行為分類手段２３が、抽出メッセージのヘッダの内容に基づいて、当該メッセージを「書込み」、「単純入力行為」、「その他」に分類する処理である。ここで、「その他」とは、例えば、HTTP GET等の非POSTメッセージや、SSL（Secure Sockets Layer）で暗号化されたメッセージを示す。HTTP POSTメッセージであってもSSLで暗号化されている場合、公開鍵を持たない限り5層（プレゼンテーション層）以上を判読することはできないからである。
【００５８】
ステップＳ３において、トラフィックデータ抽出装置１は、書込行為分類手段２３によって、抽出メッセージを「書込み」であると判定した場合に、書込内容抽出手段２４によって、メッセージボディに記載された内容を解析する（ステップＳ４）。ここで、メッセージボディに記載された内容を解析する方法は、従来公知のパケットキャプチャーによる内容解析表示法を用いることができる。
【００５９】
また、ステップＳ３において、トラフィックデータ抽出装置１は、書込行為分類手段２３によって、抽出メッセージを「単純入力行為」であると判定した場合に、抽出メッセージを消去する（ステップＳ５）。
また、ステップＳ３において、トラフィックデータ抽出装置１は、書込行為分類手段２３によって、抽出メッセージを「その他」であると判定した場合に、そのまま処理を終了する。
【００６０】
［HTTP POST分類処理］
次に、HTTP POST分類処理の典型的な具体例を決定木の第１〜第３パターンとして、図４ないし図６を参照（適宜図２および図３参照）して説明する。
【００６１】
＜第１パターン＞
HTTP POST分類処理の決定木の第１パターンを図４に示す。この決定木は、ステップＳ１１〜ステップＳ１６の判別処理を示すノードと、各ノードからの分岐を示すリンクとを有し、（Ｗ２）書込み（書込み行為）と、（Ｗ１），（Ｗ３）〜（Ｗ６）の書込み以外（単純入力行為）とを分類するためのものである。
【００６２】
図４に示す決定木の概要は、次の通りである。すなわち、分類対象のHTTP POSTのURLが登録されていない場合に、まず、そのリクエストヘッダ情報に基づいて書込み以外を除外し、次いで、そのレスポンスヘッダ情報に基づいて書込み以外を除外し、最終的に書込みを抽出する。なお、URLが登録されていれば、書込みであると判定することができる。以下、その詳細を説明する。
【００６３】
図４に示すように、このHTTP POST分類処理（ステップＳ３）では、書込行為分類手段２３は、まず、POST判別処理として、抽出メッセージにHTTP POSTメッセージがあるか否かを判別する（ステップＳ１１）。抽出メッセージにHTTP POSTメッセージがある場合（ステップＳ１１：Ｙｅｓ）、書込行為分類手段２３は、URLリスト登録判別処理として、HTTP POSTメッセージの宛先のURLがURLリスト３４に登録済みであるか否かを判別する（ステップＳ１２）。
【００６４】
ステップＳ１２において、HTTP POSTメッセージの宛先のURLがURLリスト３４に登録されていない場合（ステップＳ１２：Ｎｏ）、書込行為分類手段２３は、リクエストヘッダの判別処理として、当該HTTP POSTメッセージのリクエストヘッダの「Content-length」の値が“100”以上であるか否かを判別する（ステップＳ１３）。
【００６５】
ここで、「Content-length」の値は、書込みを特定するためのリクエスト側の許容最小値を示す。この許容最小値は、例えば、トラフィックデータ抽出装置１の利用者が推測したいユーザの行動に応じて予め決定され、登録されている。ここでは、許容最小値を一例として100としたが、これに限定されるものではない。
【００６６】
ステップＳ１３において、当該HTTP POSTメッセージのリクエストヘッダの「Content-length」の値が“100”以上の場合（ステップＳ１３：Ｙｅｓ）、書込行為分類手段２３は、第１レスポンス判別処理として、当該HTTP POSTメッセージに対するレスポンスメッセージのレスポンスヘッダの「Content-length」の値が“20000”以下であるか否かを判別する（ステップＳ１４）。
【００６７】
この第１レスポンス判別処理は、書込みの候補を残すための判別処理である。ここで、「Content-length」の値は、書込みを特定するためのレスポンス側の許容最大値を示す。この許容最大値は、例えば、トラフィックデータ抽出装置１の利用者が推測したいユーザの行動に応じて予め決定され、登録されている。ここでは、許容最大値を一例として20000としたが、これに限定されるものではない。
【００６８】
なお、図４の例では、レスポンス側の「Content-length」の値が、リクエスト側の「Content-length」の値の200倍であるものとしたが、この倍率も適宜設計変更することができる。
【００６９】
ステップＳ１４において、レスポンスメッセージのレスポンスヘッダの「Content-length」の値が“20000”以下である場合（ステップＳ１４：Ｙｅｓ）、書込行為分類手段２３は、第２レスポンス判別処理として、レスポンスヘッダの「Cache-control」の値が“private”または“public”であるか否かを判別する（ステップＳ１５）。
【００７０】
この第２レスポンス判別処理は、書込み以外（単純入力行為）を除外するための判別処理である。ここで、「Cache-control」の値は、書込み以外（単純入力行為）を特定するための値を示す。この「Cache-control」の値は、例えば、トラフィックデータ抽出装置１の利用者が推測したいユーザの行動に応じて予め決定され、登録されている。ここでは、「Cache-control」の値を一例として“private”または“public”としたが、これに限定されるものではない。
【００７１】
ステップＳ１５において、レスポンスヘッダの「Cache-control」の値が“private”や“public”ではない場合（ステップＳ１５：Ｎｏ）、書込行為分類手段２３は、第３レスポンス判別処理として、当該レスポンスメッセージに、Set-CookieヘッダまたはLocationヘッダがあるか否かを判別する（ステップＳ１６）。
【００７２】
この第３レスポンス判別処理は、書込みの候補を残すための判別処理である。ここで、レスポンスヘッダは、書込みを特定することのできるヘッダ情報を示す。このヘッダ情報は、例えば、トラフィックデータ抽出装置１の利用者が推測したいユーザの行動に応じて予め決定され、登録されている。ここでは、ヘッダ情報を一例としてSet-CookieヘッダまたはLocationヘッダとしたが、これに限定されるものではない。
【００７３】
ステップＳ１６において、レスポンスメッセージに、Set-CookieヘッダまたはLocationヘッダがある場合（ステップＳ１６：Ｙｅｓ）、書込行為分類手段２３は、トラフィックデータから抽出した当該HTTP POSTメッセージが「書込み」を示すメッセージであると判定する（ステップＳ１７）。つまり、書込行為分類手段２３は、Set-CookieヘッダとLocationヘッダのうちどちらか片方でもあることが認められれば、「書込み」と見なす。
【００７４】
前記第３レスポンス判別処理（ステップＳ１６）において、レスポンスメッセージに、Set-CookieヘッダもLocationヘッダもない場合（ステップＳ１６：Ｎｏ）、書込行為分類手段２３は、トラフィックデータから抽出した当該HTTP POSTメッセージが、書込み以外の（Ｗ５）翻訳サイト等の利用、（Ｗ６）旅行検索等の利用、（Ｗ３）Web APIの利用等（翻訳・旅行検索等その他）を示すメッセージであると判定する（ステップＳ１８）。
【００７５】
前記第２レスポンス判別処理（ステップＳ１５）において、レスポンスヘッダの「Cache-control」の値が“private”や“public”である場合（ステップＳ１５：Ｙｅｓ）、書込行為分類手段２３は、ステップＳ１８に進み、書込み以外であると判定する。
【００７６】
前記第１レスポンス判別処理（ステップＳ１４）において、レスポンスメッセージのレスポンスヘッダの「Content-length」の値が“20000”より大きい場合（ステップＳ１４：Ｎｏ）、書込行為分類手段２３は、トラフィックデータから抽出した当該HTTP POSTメッセージが、書込み以外の（Ｗ６）旅行検索等の利用を示すメッセージであると判定する（ステップＳ１９）。
【００７７】
前記リクエストヘッダの判別処理（ステップＳ１３）において、当該HTTP POSTメッセージのリクエストヘッダの「Content-length」の値が“100”より小さい場合（ステップＳ１３：Ｎｏ）、書込行為分類手段２３は、トラフィックデータから抽出した当該HTTP POSTメッセージが、書込み以外の（Ｗ１）サーバへのログインや、（Ｗ４）ブログ内検索（ログイン・検索）を示すメッセージであると判定する（ステップＳ２０）。
【００７８】
前記URLリスト登録判別処理（ステップＳ１２）において、HTTP POSTメッセージの宛先のURLがURLリスト３４に登録済みである場合（ステップＳ１２：Ｙｅｓ）、ステップＳ２１に進み、トラフィックデータから抽出した当該HTTP POSTメッセージが「書込み」を示すメッセージであると判定する。
【００７９】
前記POST判別処理（ステップＳ１１）において、抽出メッセージにHTTP POSTメッセージがない場合（ステップＳ１１：Ｎｏ）、書込行為分類手段２３は、メッセージを分類せずにHTTP POST分類処理を終了する。
【００８０】
なお、書込行為分類手段２３は、前記各判別処理において、該当するヘッダそのものが存在しない場合に、当該パケットを除去せずに、次の処理へ進む。ただし、第３レスポンス判別処理（ステップＳ１６）のように「ヘッダの有無」で条件分岐する場合を除く。
また、「書込み」と判断されなかったものは、前記したステップＳ５にて消去する。
【００８１】
＜第２パターン＞
HTTP POST分類処理の決定木の第２パターンを図５に示す。この決定木は、リクエストヘッダの判別処理（ステップＳ１３）で分岐して、「書込み」を抽出するようにした点が第１パターンとは異なる。したがって、第１パターンと同じ処理については、同じ符号を付して説明を省略し、異なる部分を説明する。
【００８２】
図５に示すように、このHTTP POST分類処理（ステップＳ３Ｂ）では、前記リクエストヘッダの判別処理（ステップＳ１３）において、当該HTTP POSTメッセージのリクエストヘッダの「Content-length」の値が“100”より小さい場合（ステップＳ１３：Ｎｏ）、書込行為分類手段２３は、書込判別処理として、当該HTTP POSTメッセージに対するレスポンスメッセージのレスポンスヘッダの「Content-type」の値が“javascript”または“plain”であるか否かを判別する（ステップＳ２２）。
【００８３】
この書込判別処理は、書込みの候補を残すための判別処理である。ここで、「Content-type」の値は、例えば、トラフィックデータ抽出装置１の利用者が推測したいユーザの行動に応じて予め決定され、登録されている。ここでは、一例として“javascript”または“plain”としたが、これに限定されるものではない。
【００８４】
ステップＳ２２において、レスポンスヘッダの「Content-type」の値が“javascript”または“plain”である場合（ステップＳ２２：Ｙｅｓ）、書込行為分類手段２３は、トラフィックデータから抽出した当該HTTP POSTメッセージが「書込み」を示すメッセージであると判定する（ステップＳ２１）。一方、レスポンスヘッダの「Content-type」の値が“javascript”や“plain”ではない場合（ステップＳ２２：Ｎｏ）、書込行為分類手段２３は、ステップＳ１９に進み、旅行検索であると判定する。
【００８５】
＜第３パターン＞
HTTP POST分類処理の決定木の第３パターンを図６に示す。この決定木は、URLリスト登録判別処理（ステップＳ１２）に続く判別処理（リクエストヘッダの判別処理（ステップＳ１３Ｃ））と、第１レスポンス判別処理（ステップＳ１４）に続く判別処理（第４レスポンス判別処理（ステップＳ１５Ｃ））とが第１パターンとは異なる。したがって、第１パターンと同じ処理については、同じ符号を付して説明を省略し、異なる部分を説明する。
【００８６】
図６に示すように、このHTTP POST分類処理（ステップＳ３Ｃ）では、前記URLリスト登録判別処理（ステップＳ１２）において、HTTP POSTメッセージの宛先のURLがURLリスト３４に登録されていない場合（ステップＳ１２：Ｎｏ）、書込行為分類手段２３は、リクエストヘッダの判別処理として、当該リクエストヘッダにSOAP Action ヘッダが存在するか否かを判別する（ステップＳ１３Ｃ）。
【００８７】
このリクエストヘッダの判別処理は、書込みの候補を残すための判別処理である。なお、クライアント（ユーザ）は、SOAP（ソープ）プロトコルを利用してHTTP POSTメソッドを用いてWeb上のアプリケーション（サイト）にリクエストを送信する場合に、リクエストヘッダにSOAP Action ヘッダを付加する。
【００８８】
ステップＳ１３Ｃにおいて、当該リクエストヘッダにSOAP Action ヘッダがある場合（ステップＳ１３Ｃ：Ｙｅｓ）、書込行為分類手段２３は、第１レスポンス判別処理（ステップＳ１４）に進む。一方、当該リクエストヘッダにSOAP Action ヘッダが無い場合（ステップＳ１３Ｃ：Ｎｏ）、書込行為分類手段２３は、ステップＳ２０に進み、抽出HTTP POSTメッセージが、書込み以外のログイン・検索を示すメッセージであると判定する。
【００８９】
また、このHTTP POST分類処理（ステップＳ３Ｃ）では、前記第１レスポンス判別処理（ステップＳ１４）において、レスポンスメッセージのレスポンスヘッダの「Content-length」の値が“20000”以下である場合（ステップＳ１４：Ｙｅｓ）、書込行為分類手段２３は、第４レスポンス判別処理として、レスポンスヘッダの「Content-type」の値が“text/html”であるか否かを判別する（ステップＳ１５Ｃ）。
【００９０】
この第４レスポンス判別処理は、書込みの候補を残すための判別処理である。ここで、「Content-type」の値は、例えば、トラフィックデータ抽出装置１の利用者が推測したいユーザの行動に応じて予め決定され、登録されている。ここでは、「Content-type」の値を一例として“text/html”としたが、これに限定されるものではない。なお、この第４レスポンス判別処理は、書込みを抽出する場合にtwitterを除いてもよい場合に適用することが好ましい。
【００９１】
ステップＳ１５Ｃにおいて、レスポンスヘッダの「Content-type」の値が“text/html”である場合（ステップＳ１５Ｃ：Ｙｅｓ）、書込行為分類手段２３は、第３レスポンス判別処理（ステップＳ１６）に進む。一方、レスポンスヘッダの「Content-type」の値が“text/html”ではない場合（ステップＳ１５Ｃ：Ｎｏ）、書込行為分類手段２３は、ステップＳ１８に進み、書込み以外であると判定する。
【００９２】
この第３パターンにおいて、ステップＳ１３Ｃの処理とステップＳ１５Ｃの処理とを両方とも実行することとしたが、いずれか一方の処理を次のように置き換えてもよい。すなわち、ステップＳ１３Ｃの処理を、第１パターンのステップＳ１３の処理に置き換えてもよい。また、前記第３パターンにおいて、ステップＳ１５Ｃの処理を、第１パターンのステップＳ１５の処理に置き換えてもよい。
【００９３】
＜各パターンの変形例＞
前記第２パターンは、第１パターンにおいて、ステップＳ２２の処理を付加したものであるが、前記第３パターンにおいて、同様にステップＳ２２の処理を付加してもよい。
【００９４】
また、図４ないし図６に示す決定木は適宜組み合わせることができる。例えば、各決定木をリクエストヘッダ側の処理手順と、レスポンスヘッダ側の処理手順とに大別して、組み合わせを変更することができる。例えば、各決定木において、リクエストヘッダ側の処理手順を手順Ａ〜手順Ｃとする。すなわち、図４のステップＳ１３までの処理を特徴とする手順を手順Ａとし、図６のステップＳ１３Ｃまでの処理を特徴とする手順を手順Ｂとし、図５のステップＳ２２までの処理を特徴とする手順を手順Ｃとする。また、例えば、図４および図５の決定木においてレスポンスヘッダ側の処理手順を手順Ｘ、図６の決定木においてレスポンスヘッダ側の処理手順を手順Ｙとする。この場合、手順Ａ〜手順Ｃのいずれかと、手順Ｘ，Ｙのいずれかとを組み合わせた６通りの組み合わせ手順が可能であり、このうち図示した３種類の決定木（組み合わせ手順Ａ−Ｘ、Ｃ−Ｘ、Ｂ−Ｙ）以外に、さらに３種類（組み合わせ手順Ａ−Ｙ、Ｃ−Ｙ、Ｂ−Ｘ）の決定木が可能である。
【００９５】
また、例えば、図４および図５において、第１ないし第３レスポンス判別処理（ステップＳ１４〜ステップＳ１６）の各処理の順序、およびヘッダ情報とその値は変更可能である。例えば、各処理の順序は６通りある。また、図６において、第１、第４および第３レスポンス判別処理（ステップＳ１４，Ｓ１５Ｃ，Ｓ１６）の順序、およびヘッダ情報とその値は変更可能である。この場合も各処理の順序は６通りある。
【００９６】
本実施形態に係るユーザ行動推定システムは、トラフィックデータ抽出装置１を設置することで、複数サーバにおけるユーザの行動解析を行うことができる。また、本実施形態に係るトラフィックデータ抽出装置１は、従来からユーザの行動解析で使用していたHTTP GETだけでなく、HTTP POSTも行動解析に使用することで、これまでの「閲覧」という行為に加えて、「書込み」というユーザのより積極的な行為を取得することができる。
【００９７】
また、本実施形態に係るトラフィックデータ分離方法によれば、トラフィックデータから書込み行為を示すメッセージを抽出する際に、HTTP POSTのボディを解析することなく、決定木を利用してヘッダ情報を解析することで、書込みを示すメッセージを抽出することができる。そのため、トラフィックデータ分離方法は、メッセージボディを解析する場合に比べて高速に判別して、トラフィックデータから書込みを示すメッセージを高速に分離することができる。
【００９８】
ユーザの書込み行為が取得できれば、以下のようなサービスに利用ができる。すなわち、例えば、書込みの多いユーザに、無料サンプルや映画の試写会の情報を配信し、ユーザがそれを使用すれば、ブログや口コミサイトで商品を宣伝してくれることが期待できる。また、Ｑ＆Ａサイト等で、ユーザに対して質問を出題する際に、書込みの多いユーザに対して質問を出題することで、積極的な回答が得られることが期待できる。
【００９９】
以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく、その趣旨を変えない範囲で実施することができる。例えば、トラフィックデータ抽出装置１は、書込内容抽出手段２４を備えるものとして説明したが、本発明は、抽出したHTTP POSTメッセージを書込み行為と単純入力行為とに分類した後の書込内容の解析処理を必須とするものではない。また、書込みの内容を解析する処理は、分類後に逐一行う必要はなく、予め定めた期間蓄積した後、別のタイミングで解析するようにしてもよい。
【０１００】
また、トラフィックデータ抽出装置１に、ユーザによるサイトの閲覧行動を推測する閲覧行動推測処理部を設けた場合、ステップＳ３のHTTP POST分類処理にて「その他」であると判定したメッセージが、例えば、HTTP GETメッセージであれば、閲覧履歴をもとにユーザの行動履歴を推測する処理を行うようにしてもよい。また、トラフィックデータ抽出装置１は、ステップＳ３にて「その他」であると判定したメッセージを消去するようにしてもよいし、蓄積するようにしてもよい。
【符号の説明】
【０１０１】
１０    ユーザ行動推定システム
１１（１１Ａ、１１Ｂ、１１Ｃ）  クライアント
１２（１２Ａ、１２Ｂ、１２Ｃ）  サーバ
１      トラフィックデータ抽出装置
２      演算手段
２１    パケット抽出手段
２２    メッセージ判別手段
２３    書込行為分類手段
２４    書込内容抽出手段
３      記憶手段
３１    トラフィックキャプチャプログラム
３２    書込行為分類プログラム
３３    書込内容抽出プログラム
３４    URLリスト
３５    決定木
４      通信手段
５      入力手段
６      出力手段
７      バスライン
Ｎ      ネットワーク
【図１】
2011170531.tif 000003
【図２】
2011170531.tif 000004
【図３】
2011170531.tif 000005
【図４】
2011170531.tif 000006
【図５】
2011170531.tif 000007
【図６】
2011170531.tif 000008