(57)【要約】【課題】通信網の利用状況を低コストで、容易に推定することができる網利用推定装置、方法及びプログラムを提供すること。【解決手段】網利用推定装置１０は、予め、サーバのドメイン名と、通信網における通信トラヒックのパターンを特徴づける通信特徴量とを対応付けて記憶する教師用データＤＢ２６を備える。そして、網利用推定装置１０は、ユーザ端末５０からＤＮＳサーバ３０への名前解決リクエストを監視し、名前解決リクエストされたサーバ４０のドメイン名を抽出し、抽出したドメイン名に基づいて、教師用データＤＢ２６においてドメイン名に対応付けられた通信特徴量を取得し、取得した通信特徴量に基づいて、ユーザ端末５０とサーバ４０との間の通信トラヒックのパターンを推定し、ドメイン名を抽出するごとに、推定した通信トラヒックのパターンを重ね合わせる。【選択図】図２
2015149695.tif 000002
【特許請求の範囲】
【請求項１】
通信網を介して通信するサーバとユーザ端末とにおいて、前記ユーザ端末が前記通信網を利用する仕方を推定する網利用推定装置であって、
予め、前記サーバのドメイン名と、前記通信網における通信トラヒックのパターンを特徴づける通信特徴量とを対応付けて記憶する教師用データ記憶手段と、
前記ユーザ端末からＤＮＳサーバへの名前解決リクエストを監視し、前記名前解決リクエストされた前記サーバの前記ドメイン名を抽出するＤＮＳ監視手段と、
前記ＤＮＳ監視手段によって抽出された前記ドメイン名に基づいて、前記教師用データ記憶手段において前記ドメイン名に対応付けられた前記通信特徴量を取得し、取得した前記通信特徴量に基づいて、前記ユーザ端末と前記サーバとの間の前記通信トラヒックのパターンを推定するトラヒックパターン推定手段と、
前記ＤＮＳ監視手段によって前記ドメイン名が抽出されるごとに、前記トラヒックパターン推定手段によって推定された前記通信トラヒックのパターンを重ね合わせるパターン重ね合わせ手段と、
を備える網利用推定装置。
【請求項２】
前記ユーザ端末と前記ＤＮＳサーバとにおける名前解決リクエストのレスポンスに基づいて、前記ドメイン名とＩＰアドレスとを対応付けてＤＮＳマップ記憶手段に記憶させるＤＮＳ分析手段と、
前記ユーザ端末と前記サーバとの前記通信トラヒックを分析し、前記通信トラヒックのパターンを抽出し、前記通信特徴量を算出するトラヒックパターン抽出手段と、
前記トラヒックパターン抽出手段によって算出された前記通信特徴量と、前記サーバの前記ドメイン名とを前記ＤＮＳマップ記憶手段に基づいて対応付けて前記教師用データ記憶手段に記憶させる教師用データ作成手段と、をさらに備える請求項１に記載の網利用推定装置。
【請求項３】
前記教師用データ作成手段は、前記通信特徴量として前記通信特徴量の各項目ごとの度数分布を作成する、請求項２に記載の網利用推定装置。
【請求項４】
前記教師用データ作成手段は、前記通信特徴量の各項目が所定の確率分布に従うものとみなして前記確率分布を表わす確率パラメータを算出し、前記確率パラメータに基づいて算出される値を前記通信特徴量とする、請求項２に記載の網利用推定装置。
【請求項５】
請求項１に記載の網利用推定装置が実行する方法であって、
前記ＤＮＳ監視手段が、前記ユーザ端末からＤＮＳサーバへの名前解決リクエストを監視し、前記名前解決リクエストされた前記サーバの前記ドメイン名を抽出するＤＮＳ監視ステップと、
前記トラヒックパターン推定手段が、前記ＤＮＳ監視ステップによって抽出された前記ドメイン名に基づいて、前記教師用データ記憶手段において前記ドメイン名に対応付けられた前記通信特徴量を取得し、取得した前記通信特徴量に基づいて、前記ユーザ端末と前記サーバとの間の前記通信トラヒックのパターンを推定するトラヒックパターン推定ステップと、
前記重ね合わせ手段が、前記ＤＮＳ監視ステップによって前記ドメイン名が抽出されるごとに、前記トラヒックパターン推定ステップによって推定された前記通信トラヒックのパターンを重ね合わせるパターン重ね合わせステップと、
を備える方法。
【請求項６】
コンピュータに、請求項５に記載の方法の各ステップを実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、網利用推定装置、方法及びプログラムに関する。
【背景技術】
【０００２】
従来より、通信網の利用状況の調査には、例えば、キャプチャサーバを調査対象網に設置して、流れるパケット情報を収集し、トラヒックペイロードを詳細に分析するＤＰＩ（Ｄｅｅｐ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎ）分析という手法が取られている。
【０００３】
このような技術について、ネットワーク通信のトラヒックを監視して、監視するトラヒックの特徴を抽出し、暗号の方式及び使用したアプリケーションの種類を推定するトラヒック監視装置を開示する特許文献１が知られている。
【０００４】
特許文献１のトラヒック監視装置は、トラヒックを入力し、入力したトラヒックを観測すべきトラヒック、教師トラヒック及び制御信号に分類し、観測すべきトラヒック及び教師トラヒックから抽出する複数の特徴量をそれぞれ特徴情報及び教師用情報として獲得し、獲得した教師用情報を評価用の教師用情報に変換し、複数の特徴量を特徴ベクトルとして用いると共に、特徴情報及び評価用の教師用情報を基に種別を推定し、推定した種別で分類したトラヒック情報を出力する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１３−１２７５０４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１の技術は、通信網の利用状況について、サーバが提供するサービスとの関連における利用状況を調査する技術ではない。
また、従来技術のように、通信網を流れる全パケットをＤＰＩ分析対象とし、通信網がどのようなサービスに、どのように利用されているかを調査するのは、高コストである。
【０００７】
そこで、通信網の利用状況を低コストで、容易に調査する技術が望まれている。
【０００８】
本発明は、通信網の利用状況を低コストで、容易に推定することができる網利用推定装置、方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
具体的には、以下のような解決手段を提供する。
（１）  通信網を介して通信するサーバとユーザ端末とにおいて、前記ユーザ端末が前記通信網を利用する仕方を推定する網利用推定装置であって、予め、前記サーバのドメイン名と、前記通信網における通信トラヒックのパターンを特徴づける通信特徴量とを対応付けて記憶する教師用データ記憶手段と、前記ユーザ端末からＤＮＳサーバへの名前解決リクエストを監視し、前記名前解決リクエストされた前記サーバの前記ドメイン名を抽出するＤＮＳ監視手段と、前記ＤＮＳ監視手段によって抽出された前記ドメイン名に基づいて、前記教師用データ記憶手段において前記ドメイン名に対応付けられた前記通信特徴量を取得し、取得した前記通信特徴量に基づいて、前記ユーザ端末と前記サーバとの間の前記通信トラヒックのパターンを推定するトラヒックパターン推定手段と、前記ＤＮＳ監視手段によって前記ドメイン名が抽出されるごとに、前記トラヒックパターン推定手段によって推定された前記通信トラヒックのパターンを重ね合わせるパターン重ね合わせ手段と、を備える網利用推定装置。
【００１０】
（１）の構成によれば、（１）に係る網利用推定装置は、予め、サーバのドメイン名と、通信網における通信トラヒックのパターンを特徴づける通信特徴量とを対応付けて記憶する教師用データ記憶手段を備える。そして、網利用推定装置は、ユーザ端末からＤＮＳサーバへの名前解決リクエストを監視し、名前解決リクエストされたサーバのドメイン名を抽出し、抽出したドメイン名に基づいて、教師用データ記憶手段においてドメイン名に対応付けられた通信特徴量を取得し、取得した通信特徴量に基づいて、ユーザ端末とサーバとの間の通信トラヒックのパターンを推定し、ドメイン名を抽出するごとに、推定した通信トラヒックのパターンを重ね合わせる。
【００１１】
すなわち、（１）に係る網利用推定装置は、ユーザ端末からＤＮＳサーバへの名前解決リクエストを監視し、名前解決リクエストされたサーバのドメイン名に基づいて、教師用データ記憶手段においてドメイン名に対応付けられた通信トラヒックのパターンを特徴づける通信特徴量を用いて、通信トラヒックのパターンを推定し、ドメイン名を抽出するごとに、推定した通信トラヒックのパターンを重ね合わせる。
したがって、（１）に係る網利用推定装置は、通信網の利用状況を、ＤＰＩ分析のために設置されるＤＰＩ装置を必要とすることなく低コストで、容易に推定することができる。その結果、（１）に係る網利用推定装置は、網設備の障害抑止や障害発生原因調査、網設備の計画等に有効な情報を提供することができる。
【００１２】
（２）  前記ユーザ端末と前記ＤＮＳサーバとにおける名前解決リクエストのレスポンスに基づいて、前記ドメイン名とＩＰアドレスとを対応付けてＤＮＳマップ記憶手段に記憶させるＤＮＳ分析手段と、前記ユーザ端末と前記サーバとの前記通信トラヒックを分析し、前記通信トラヒックのパターンを抽出し、前記通信特徴量を算出するトラヒックパターン抽出手段と、前記トラヒックパターン抽出手段によって算出された前記通信特徴量と、前記サーバの前記ドメイン名とを前記ＤＮＳマップ記憶手段に基づいて対応付けて前記教師用データ記憶手段に記憶させる教師用データ作成手段と、をさらに備える（１）に記載の網利用推定装置。
【００１３】
すなわち、（２）に係る網利用推定装置は、さらに、ドメイン名と、通信トラヒックのパターンを特徴づける通信特徴量とを対応付けた教師用データを作成する。
したがって、（２）に係る網利用推定装置は、作成した教師用データに基づいて通信網の利用状況を容易に推定することができる。また、（２）に係る網利用推定装置は、ＤＰＩ装置を必要とすることなく、あるいはＤＮＳ通信を分析するための最小限のＤＰＩ装置を用いるだけで通信網の利用状況を低コストで容易に推定することができるように、作成した教師用データを提供することができる。その結果、（２）に係る網利用推定装置は、網設備の障害抑止や障害発生原因調査、網設備の計画等に有効な情報を提供することができる。
【００１４】
（３）  前記教師用データ作成手段は、前記通信特徴量として前記通信特徴量の各項目ごとの度数分布を作成する、（２）に記載の網利用推定装置。
【００１５】
したがって、（３）に係る網利用推定装置は、作成した教師用データに基づいて通信網の利用状況を容易に推定することができる。
【００１６】
（４）  前記教師用データ作成手段は、前記通信特徴量の各項目が所定の確率分布に従うものとみなして前記確率分布を表わす確率パラメータを算出し、前記確率パラメータに基づいて算出される値を前記通信特徴量とする、（２）に記載の網利用推定装置。
【００１７】
したがって、（４）に係る網利用推定装置は、作成した教師用データに基づいて通信網の利用状況を容易に推定することができる。
【００１８】
（５）  （１）に記載の網利用推定装置が実行する方法であって、前記ＤＮＳ監視手段が、前記ユーザ端末からＤＮＳサーバへの名前解決リクエストを監視し、前記名前解決リクエストされた前記サーバの前記ドメイン名を抽出するＤＮＳ監視ステップと、前記トラヒックパターン推定手段が、前記ＤＮＳ監視ステップによって抽出された前記ドメイン名に基づいて、前記教師用データ記憶手段において前記ドメイン名に対応付けられた前記通信特徴量を取得し、取得した前記通信特徴量に基づいて、前記ユーザ端末と前記サーバとの間の前記通信トラヒックのパターンを推定するトラヒックパターン推定ステップと、前記重ね合わせ手段が、前記ＤＮＳ監視ステップによって前記ドメイン名が抽出されるごとに、前記トラヒックパターン推定ステップによって推定された前記通信トラヒックのパターンを重ね合わせるパターン重ね合わせステップと、を備える方法。
【００１９】
したがって、（５）に係る方法は、通信網の利用状況を、詳細なＤＰＩ分析のために設置されるＤＰＩ装置を必要とすることなく低コストで、容易に推定することができる。その結果、（５）に係る方法は、網設備の障害抑止や障害発生原因調査、網設備の計画等に有効な情報を提供することができる。
【００２０】
（６）  コンピュータに、（６）に記載の方法の各ステップを実行させるためのプログラム。
【００２１】
したがって、（６）に係るプログラムは、コンピュータに実行させて、通信網の利用状況を、ＤＰＩ分析のために設置されるＤＰＩ装置を必要とすることなく低コストで、容易に推定することができる。その結果、（６）に係るプログラムは、コンピュータに実行させて、網設備の障害抑止や障害発生原因調査、網設備の計画等に有効な情報を提供することができる。
【発明の効果】
【００２２】
本発明によれば、ＤＮＳサーバからの名前解決のレスポンスを監視するだけで、監視対象となる通信網の利用状況を推定することができる。
その結果、本発明は、低コストで、網設備の障害抑止や障害発生原因調査、網設備の計画等に有効な情報を提供することができる。
【図面の簡単な説明】
【００２３】
【図１】本発明の一実施形態に係る網利用推定装置が通信網の利用状況を推定する概要を説明するための図である。
【図２】本発明の一実施形態に係る網利用推定装置の構成を示す図である。
【図３】本発明の一実施形態に係る網利用推定装置によるＤＮＳマップの例を示す図である。
【図４】本発明の一実施形態におけるＤＮＳサーバによる名前解決の例を示す図である。
【図５】本発明の一実施形態に係る網利用推定装置による教師用データＤＢの例を示す図である。
【図６】本発明の一実施形態に係る網利用推定装置による教師用データＤＢに記憶された通信特徴量のうち発呼間隔の度数分布表の例を示す図である。
【図７】通信トラヒックのパターンについて説明するための図である。
【図８】通信トラヒックのパターンの例を示す図である。
【図９】通信トラヒックのパターンの重ね合わせの例を示す図である。
【図１０】本発明の一実施形態に係る網利用推定装置の教師用データ作成処理を示すフローチャートである。
【図１１】本発明の一実施形態に係る網利用推定装置の網利用推定処理を示すフローチャートである。
【発明を実施するための形態】
【００２４】
以下、本発明の実施形態について、図を参照しながら説明する。図１は、本発明の一実施形態に係る網利用推定装置（教師用データＤＢ２６を作成する網利用推定装置１０ａと、教師用データＤＢ２６に基づいて網利用を推定する網利用推定装置１０ｂとを区別しない場合、以下、網利用推定装置１０と言う。）が、通信網の利用状況を推定する概要を説明するための図である。なお、図１は、１台のＤＮＳサーバ３０、サーバ４０、ユーザ端末５０を示すがこれに限られず、複数台のＤＮＳサーバ３０、サーバ４０、ユーザ端末５０により構成されていてもよい。サーバ４０は、例えば、メールサービスを提供するメールサーバや、アプリケーション処理を提供するアプリケーションサーバ、コンテンツ（文章や画像等）を提供するコンテンツサーバやＷｅｂサーバ等のように、ユーザ端末５０に対してサービスを提供するサーバである。
【００２５】
（１）教師用データを作成する網利用推定装置１０ａについて説明する。
最初に、ユーザ端末５０は、通信網７０を介して、サーバ４０との通信を開始するために、ＤＮＳサーバ３０に、サーバ４０のＩＰアドレスを調べるための名前解決リクエストを通知する。ＤＮＳサーバ３０は、該リクエストに対し、サーバ４０のＩＰアドレスを取得し、名前解決レスポンスとしてユーザ端末５０に返答する。
網利用推定装置１０ａは、ＤＮＳサーバ３０との該リクエスト及びレスポンスに基づいて、ドメイン名とＩＰアドレスとを抽出し、ドメイン名とＩＰアドレスとを対応付けて、ＤＮＳマップ２５として記憶する。
【００２６】
次に、ユーザ端末５０とサーバ４０との間で、通信セッションが開始される。
網利用推定装置１０ａは、通信セッションにおける通信トラヒックを分析し、通信トラヒックのパターンを抽出し、通信特徴量（例えば、発呼間隔、保留時間、無通信間隔等や、受信又は送信の通信量等をそれぞれ計測し統計的に処理した値であり、ＴＣＰ／ＵＤＰ／プロトコル番号や、利用ポート等も含む。）を算出する。
次に、網利用推定装置１０ａは、通信セッションに用いられているＩＰアドレスに基づいて、ＤＮＳマップ２５において対応付けられたドメイン名を取得し、取得したドメイン名に、通信トラヒックのパターンとしてのそれぞれの通信特徴量を対応付け、教師用データＤＢ２６に記憶させる。
【００２７】
（２）教師用データに基づいて網利用を推定する網利用推定装置１０ｂについて説明する。
網利用推定装置１０ｂは、ユーザ端末５０からＤＮＳサーバ３０への名前解決リクエストを監視し、名前解決リクエストされたサーバ４０のドメイン名を抽出する。網利用推定装置１０ｂは、抽出したドメイン名に基づいて、教師用データＤＢ２６においてドメイン名に対応付けられた通信特徴量を取得し、取得した通信特徴量に基づいて、ユーザ端末５０とサーバ４０との間の通信トラヒックのパターンを推定する。すなわち、網利用推定装置１０ｂは、通信特徴量に基づいて、通信トラヒックが発生したものと推定し、推定した通信トラヒックのパターンを記憶する。網利用推定装置１０ｂは、名前解決リクエストされたサーバ４０のドメイン名を抽出するごとに、推定した通信トラヒックのパターンを重ね合わせて記憶する。
このようにして、網利用推定装置１０は、ＤＮＳサーバ３０への名前解決リクエストに基づいて、教師用データＤＢ２６により監視対象となっている通信網の利用状況を推定することができる。
【００２８】
図２は、本発明の一実施形態に係る網利用推定装置１０の構成を示す図である。図２が示す網利用推定装置１０の構成は、教師用データを作成する網利用推定装置１０ａの構成と、教師用データに基づいて網利用を推定する網利用推定装置１０ｂの構成とを含む。
網利用推定装置１０は、教師用データに基づいて網利用を推定するために、教師用データ記憶手段としての教師用データＤＢ２６と、ＤＮＳ監視手段１１と、トラヒックパターン推定手段１２と、パターン重ね合わせ手段１３とを備える。以下、各手段について詳述する。
【００２９】
教師用データＤＢ２６は、予め、サーバ４０のドメイン名と、そのドメイン名に対応する通信トラヒックのパターンを特徴づける通信特徴量とを対応付けて記憶する。具体的には、後述する図５のように、教師用データＤＢ２６は、ドメイン名に対応付けて、通信特徴量を記憶している。教師用データＤＢ２６は、網利用推定装置１０によって作成され、網利用推定装置１０によって用いられるとしてもよいし、網利用推定装置１０ａによって作成され、網利用推定装置１０ｂに送信され、網利用推定装置１０ｂによって用いられるとしてもよい。
【００３０】
ＤＮＳ監視手段１１は、ユーザ端末５０からＤＮＳサーバ３０への名前解決リクエストを監視し、名前解決リクエストされたサーバ４０のドメイン名を抽出する。具体的には、ＤＮＳ監視手段１１は、ユーザ端末５０がサーバ４０の名前解決のために行うＤＮＳサーバ３０との名前解決リクエスト又は名前解決レスポンスのみを監視し、名前解決リクエスト又は名前解決レスポンスに含まれるドメイン名を抽出する。
【００３１】
トラヒックパターン推定手段１２は、ＤＮＳ監視手段１１によって抽出されたドメイン名に基づいて、教師用データＤＢ２６においてドメイン名に対応付けられた通信特徴量を取得し、取得した通信特徴量に基づいて、ユーザ端末５０とサーバ４０との間の通信トラヒックのパターンを推定する。
具体的には、図５の例を参照すると、トラヒックパターン推定手段１２は、抽出されたドメイン名（例えば、ｗｗｗ．ｅｘａｍｐｌｅ．ｊｐ）に基づいて、教師用データＤＢ２６においてドメイン名に対応付けられた通信特徴量を取得し、取得した通信特徴量に従った通信トラヒックのパターンが発生したものと推定する。
【００３２】
パターン重ね合わせ手段１３は、ＤＮＳ監視手段１１によってドメイン名が抽出されるごとに、トラヒックパターン推定手段１２によって推定された通信トラヒックのパターンを重ね合わせる。具体的には、パターン重ね合わせ手段１３は、後述する図９のように、通信トラヒックのパターンを重ね合わせる。
なお、網利用推定装置１０は、パターン重ね合わせ手段１３によって重ね合わせられた通信トラヒックのパターンを、ディスプレイや他の装置に出力するパターン出力手段（図示せず）をさらに備えるとしてもよい。
【００３３】
このようにして、網利用推定装置１０は、ドメイン名によって表わせるサービスごとに、通信網の利用状況を推定し、推定した情報を記憶し、出力（例えば、通信トラヒックのパターンを視覚化して表示）することにより、網設備の障害抑止や障害発生原因調査、網設備の計画等に有効な情報を提供する。
【００３４】
次に、教師用データを作成する機能をさらに有する網利用推定装置１０について説明する。
網利用推定装置１０は、教師用データを作成するために、ＤＮＳ分析手段２１と、トラヒックパターン抽出手段２２と、教師用データ作成手段２３と、ＤＮＳマップ記憶手段としてのＤＮＳマップ２５とをさらに備える。
【００３５】
ＤＮＳ分析手段２１は、ユーザ端末５０とＤＮＳサーバ３０との名前解決リクエスト及び名前解決レスポンスに基づいて、ドメイン名とＩＰアドレスとを対応付けてＤＮＳマップ２５として記憶させる。
具体的には、ＤＮＳ分析手段２１は、ユーザ端末５０とＤＮＳサーバ３０との通信における名前解決リクエスト及び名前解決レスポンスを取得し、取得した名前解決リクエスト及び名前解決レスポンスに基づいて、ドメイン名とＩＰアドレスとを抽出する。次に、ＤＮＳ分析手段２１は、抽出したドメイン名とＩＰアドレスとを対応付けて、ＤＮＳマップ２５に記憶させる。
【００３６】
さらに、ＤＮＳ分析手段２１は、ドメイン名とＩＰアドレスとの対応付けが有効である時間を示す有効時間であって名前解決レスポンスに含まれる有効時間が、所定の閾値（例えば、１２０秒）以下である場合に、ドメイン名とＩＰアドレスとを対応付けてＤＮＳマップ２５に記憶させてもよい。
【００３７】
トラヒックパターン抽出手段２２は、ユーザ端末５０とサーバ４０との通信トラヒックを分析し、通信トラヒックのパターンを抽出し、通信特徴量を算出する。具体的には、トラヒックパターン抽出手段２２は、ユーザ端末５０とサーバ４０との間の通信セッション情報を取得し、取得した通信セッション情報を分析し、通信特徴量（例えば、発呼間隔、保留時間、無通信間隔等や、受信又は送信の通信量等をそれぞれ計測し、統計的に処理した値であり、ＴＣＰ／ＵＤＰ／プロトコル番号、利用ポート等も含む。）を算出する。例えば、トラヒックパターン抽出手段２２は、当該ドメイン（サービス）へ発呼した端末について、ＤＰＩ装置によって計測された発呼間隔（例えば、当該呼終了から次回発呼までの間隔）の計測値を抽出し、通信特徴量を算出する。同様に、トラヒックパターン抽出手段２２は、計測された保留時間（例えば、当該呼の保留時間）、無通信間隔（例えば、通信が行われない間隔）、受信又は送信の通信量（例えば、データ転送量）の計測値を抽出し、通信特徴量を算出する。
【００３８】
教師用データ作成手段２３は、トラヒックパターン抽出手段２２によって算出された通信特徴量と、サーバ４０のドメイン名とをＤＮＳマップ２５に基づいて対応付けて教師用データ記憶手段に記憶させる。具体的には、教師用データ作成手段２３は、通信セッションにおいて抽出したＩＰアドレスに対応するドメイン名を、ＤＮＳマップ２５に基づいて取得し、取得したドメイン名に、算出された通信特徴量を対応付けて教師用データＤＢ２６に記憶させる。
【００３９】
さらに、教師用データ作成手段２３は、通信特徴量が所定の確率分布（例えば、正規分布やポアソン分布等）に従うものとみなして当該確率分布を表わす確率パラメータ（正規分布とみなした場合、平均値及び標準偏差）を算出するとしてもよい。
具体的には、教師用データ作成手段２３は、トラヒックパターン抽出手段２２によって通信トラヒックが抽出されるごとに、その通信特徴量として、例えば、通信特徴量を構成する各項目ごとに確率分布の確率パラメータを算出し、ドメイン名に対応付けて教師用データＤＢ２６に記憶させる。
また、教師用データ作成手段２３は、通信特徴量として通信特徴量を構成する各項目ごとの度数分布を作成するとしてもよい。
このようにして作成した教師用データＤＢ２６を用いて、網利用推定装置１０は、通信網の利用状況を推定する。
【００４０】
なお、網利用推定装置１０は、取得した通信トラヒックのパターンのサンプル数が閾値以上になるまで、教師用データＤＢ２６と異なる教師データ作成用ＤＢ（図示せず）に通信トラヒックのパターンを記憶させ、サンプル数が閾値以上になると確率パラメータを算出し、算出した確率パラメータをドメインに対応付けて教師用データＤＢ２６に記憶させるとしてもよい。網利用推定装置１０は、十分な母数による統計量を記憶した教師用データＤＢ２６に基づいて通信トラヒックのパターンを精度よく推定することができる。
【００４１】
図３は、本発明の一実施形態に係る網利用推定装置１０によるＤＮＳマップ２５の例を示す図である。図３に示すように、ＤＮＳマップ２５は、ユーザ端末５０のＩＰアドレスごとに、サーバ４０のドメイン名と、サーバ４０のＩＰアドレスとを対応付けて記憶する。ユーザ端末５０のＩＰアドレス、サーバ４０のドメイン名及びサーバ４０のＩＰアドレスは、ＤＮＳ分析手段２１によって抽出される。さらに、ＤＮＳマップ２５は、ドメイン名とＩＰアドレスとの対応付けが有効である時間を示す有効時間（ＤＮＳレスポンス時刻及びＴＴＬ）を記憶するとしもよい。
【００４２】
図４は、本発明の一実施形態におけるＤＮＳサーバ４０による名前解決の例を示す図である。図４の例は、ユーザ端末５０が、ＤＮＳサーバ３０への名前解決リクエスト（ＤＮＳ問合）により取得した名前解決レスポンス（ＤＮＳ回答）に基づいて、サービスを提供するサーバ４０との通信を行うことを示す図である。図４において、ユーザ端末５０は、ＤＮＳサーバ３０に名前解決リクエストを通知し、ＤＮＳサーバ３０から返答された名前解決レスポンスによりサービスを提供するサーバ４０のＩＰアドレスを取得し、取得したＩＰアドレスに基づいて、サービスを提供するサーバ４０に接続し、サーバ４０からサービスの提供を受ける。
【００４３】
図５は、本発明の一実施形態に係る網利用推定装置１０による教師用データＤＢ２６の例を示す図である。図５に示すように、教師用データＤＢ２６は、ドメイン名と、通信特徴量とを対応付けて記憶する。
通信トラヒックのパターンを特徴づける通信特徴量は、通信特徴量の項目（例えば、発呼間隔、保留時間、受信通信量ＲＸ、送信通信量ＴＸ等、ＴＣＰ／ＵＤＰ／プロトコル番号、利用ポート）ごとに算出される。
通信特徴量の各項目は、正規分布や対数正規分布等の確率分布に従うと仮定し、確率パラメータ（例えば、正規分布の場合、平均値及び標準偏差）として表現してもよい。特に、発呼間隔は、ポアソン分布に従うとしてもよい。
通信特徴量の各項目は、通信特徴量の項目ごとに計測されて度数分布表（後述する図６参照）として記憶されるとしてもよい。
【００４４】
図６は、本発明の一実施形態に係る網利用推定装置１０による教師用データＤＢ２６に記憶された通信特徴量のうち発呼間隔の度数分布表の例を示す図である。
図６の表は、通信トラヒックのパターンが抽出されるごとに、通信特徴量の各項目（例えば、発呼間隔）について計測された値に基づいて、計測された値に対応する階級の度数がカウントされた表の例である。この表（この表に基づくヒストグラム）は、ドメインごとに計測された値の実際の分布を表わしている。このようなドメインごとの通信特徴量が教師用データとして予め記憶された教師用データＤＢ２６を用いて、網利用推定装置１０は、ドメインごとの通信トラヒックのパターンを推定してもよい。
【００４５】
図７は、通信トラヒックのパターンについて説明するための図である。
図７は、ユーザ端末５０とドメインＸとの通信トラヒックが、時間間隔をおいて、パターン１０１ａ、１０１ｂのように発生していることを示している。また、図７は、ユーザ端末５０とドメインＹとの通信トラヒックが、パターン１０２のように発生していることを示している。
【００４６】
図８は、通信トラヒックのパターンの例を示す図である。図８の例は、教師用データＤＢ２６に記憶されている通信特徴量に基づいて、横軸を時間、縦軸を単位時間あたりの通信量として、通信トラヒックのパターンを表わした例である。
【００４７】
図９は、通信トラヒックのパターンの重ね合わせの例を示す図である。図９（ａ）は、容量の少ないデータが周期的な時間間隔をおいて送受信されるような通信網の利用状況（例えば、端末上の通信アプリのサーバ上のデータ更新チェック）において、抽出される通信トラヒックのパターンの例を示す図である。図９（ｂ）は、容量の少ないデータと、容量が比較的多いデータとが時間間隔をおいて送受信されるような通信網の利用状況（例えば、メール等において大容量のデータが添付されている場合）において、抽出される通信トラヒックのパターンの例を示す図である。図９（ｃ）は、容量の多いデータが送受信されるような通信網の利用状況（例えば、動画データの配信等）において、抽出される通信トラヒックのパターンの例を示す図である。図９（ｄ）の例は、図９（ａ）の通信トラヒックのパターンと、図９（ｂ）の通信トラヒックのパターンと、図９（ｃ）の通信トラヒックのパターンとを重ね合わせた例を示している。図９（ｄ）は、複数のユーザ端末５０の通信網の利用の仕方が、それぞれ、図９（ａ）、図９（ｂ）、図９（ｃ）のような通信トラヒックのパターンで表わせる場合に、複数のユーザ端末５０での通信網の利用状況を表わしている。
【００４８】
図１０は、本発明の一実施形態に係る網利用推定装置１０の教師用データ作成処理を示すフローチャートである。網利用推定装置１０は、コンピュータ及びその周辺装置が備えるハードウェア並びに該ハードウェアを制御するソフトウェアによって構成され、以下の処理は、制御部（例えば、網利用推定装置１０のＣＰＵ）が所定のソフトウェアに従い実行する処理である。
【００４９】
ステップＳ１０１において、ＣＰＵ（ＤＮＳ分析手段２１）は、ＤＮＳ分析を行い、ドメイン名とＩＰアドレスとを対応付けて、ＤＮＳマップ２５に記憶させる。
【００５０】
ステップＳ１０２において、ＣＰＵ（トラヒックパターン抽出手段２２）は、ユーザ端末５０とサーバ４０との通信トラヒックを分析し、通信トラヒックのパターンを抽出し、通信特徴量を算出する。
【００５１】
ステップＳ１０３において、ＣＰＵ（教師用データ作成手段２３）は、通信トラヒックにおいて抽出したＩＰアドレスに、ＤＮＳマップ２５において対応するドメイン名を取得する。
【００５２】
ステップＳ１０４において、ＣＰＵ（教師用データ作成手段２３）は、通信トラヒックが抽出されるごとに、通信トラヒックのパターンを特徴づける通信特徴量を算出し、算出した通信特徴量（例えば、通信特徴量の項目が正規分布に従うとした場合であれば、平均値及び標準偏差）を、取得したドメイン名に対応付けて、教師用データＤＢ２６に記憶させる。
【００５３】
図１１は、本発明の一実施形態に係る網利用推定装置１０の網利用推定処理を示すフローチャートである。
【００５４】
ステップＳ２０１において、ＣＰＵ（ＤＮＳ監視手段１１）は、ＤＮＳ監視を行う。より具体的には、ＣＰＵは、ユーザ端末５０とサーバ４０との間の名前解決リクエストに対する名前解決レスポンスを監視する。
【００５５】
ステップＳ２０２において、ＣＰＵ（ＤＮＳ監視手段１１）は、名前解決レスポンスに基づいてドメイン名を抽出する。
【００５６】
ステップＳ２０３において、ＣＰＵ（トラヒックパターン推定手段１２）は、教師用データＤＢ２６より、抽出したドメイン名に対応する通信特徴量を取得する。
【００５７】
ステップＳ２０４において、ＣＰＵ（トラヒックパターン推定手段１２）は、取得した通信特徴量に基づいて通信トラヒックのパターンを推定する。
【００５８】
ステップＳ２０５において、ＣＰＵ（パターン重ね合わせ手段１３）は、推定した通信トラヒックのパターンを重ね合わせ、通信網の利用状況を推定する。
【００５９】
本実施形態によれば、網利用推定装置１０は、ユーザ端末５０とＤＮＳサーバ３０とにおける名前解決リクエストのレスポンスに基づいて、ドメイン名とＩＰアドレスとを対応付けてＤＮＳマップ２５に記憶させ、ユーザ端末５０とサーバ４０との通信トラヒックを分析し、通信トラヒックのパターンを抽出し、通信トラヒックを抽出するごとに、通信トラヒックのパターンを特徴づける通信特徴量を算出し、算出した通信特徴量をドメイン名に対応付けて教師用データＤＢ２６に記憶させる。
このように作成された教師用データＤＢ２６を備える網利用推定装置１０は、ユーザ端末５０からＤＮＳサーバ３０への名前解決リクエストを監視し、名前解決リクエストされたサーバ４０のドメイン名を抽出し、抽出したドメイン名に基づいて、教師用データＤＢ２６においてドメイン名に対応付けられた、通信トラヒックのパターンを特徴づける通信特徴量を取得し、取得した通信特徴量に基づいて、ユーザ端末５０とサーバ４０との間の通信トラヒックのパターンを推定し、ドメイン名を抽出するごとに、推定した通信トラヒックのパターンを重ね合わせる。
したがって、網利用推定装置１０は、通信網の利用状況を容易に推定することができる。予め教師用データを記憶させた教師用データＤＢ２６を備える網利用推定装置１０ｂは、ＤＰＩ分析のために設置されるＤＰＩ装置を必要とすることなく低コストで、容易に通信網の利用状況を推定することができる。その結果、網利用推定装置１０は、網設備の障害抑止や障害発生原因調査、網設備の計画等に有効な情報を提供することができる。
【００６０】
以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。
【符号の説明】
【００６１】
１０、１０ａ、１０ｂ  網利用推定装置
１１    ＤＮＳ監視手段
１２    トラヒックパターン推定手段
１３    パターン重ね合わせ手段
２１    ＤＮＳ分析手段
２２    トラヒックパターン抽出手段
２３    教師用データ作成手段
２５    ＤＮＳマップ
２６    教師用データＤＢ
３０    ＤＮＳサーバ
４０    サーバ
５０    ユーザ端末
７０    通信網
【図１】
2015149695.tif 000003
【図２】
2015149695.tif 000004
【図３】
2015149695.tif 000005
【図４】
2015149695.tif 000006
【図５】
2015149695.tif 000007
【図６】
2015149695.tif 000008
【図７】
2015149695.tif 000009
【図８】
2015149695.tif 000010
【図９】
2015149695.tif 000011
【図１０】
2015149695.tif 000012
【図１１】
2015149695.tif 000013