(57)【要約】【課題】通信端末がフォアグラウンドで通信セッションを確立する通信とバックグラウンドで通信セッションを確立する通信とを識別する。【解決手段】通信トラヒック測定部１０１は、パケットをキャプチャして、そのセッション種別、生起タイミング、送信元情報および宛先情報を含む各種の情報を記録する。セッション分類部１０３は、各セッションをその送信元情報および宛先情報の組み合わせに基づいていずれかのSDグループに分類する。相関計算部１０４は、SDグループごとに各セッションの生起タイミングに関する自己相関を計算する自己相関計算部１０４ａ、および送信元が同一で異なるSDグループに分類された各セッションの生起タイミングに関する相互相関を計算する相互相関計算部１０４ｂを含む。通信識別部１０５は、前記自己相関係数および相互相関係数の計算結果に基づいて各SDグループのセッションを識別する。【選択図】図２
2015162810.tif 000002
【特許請求の範囲】
【請求項１】
通信端末が通信相手との間に確立したセッションをフォアグラウンド通信およびバックグラウンド通信のいずれかに識別する通信識別装置において、
ネットワーク上で観測される各セッションを、その送信元情報および宛先情報の組み合わせに固有のSDグループに分類するセッション分類手段と、
SDグループごとに各セッションの生起タイミングに関する自己相関を計算する自己相関計算手段と、
前記自己相関の計算結果に基づいて当該SDグループのセッションを識別する通信識別手段とを具備したことを特徴とする通信識別装置。
【請求項２】
前記通信識別手段は、自己相関が所定の第１閾値を超えるセッションをバックグラウンド通信に識別することを特徴とする請求項１に記載の通信識別装置。
【請求項３】
前記SDグループのセッションと他の一のSDグループのセッションとの生起タイミングに関する相互相関を計算する相互相関計算手段をさらに具備し、
前記通信識別手段は、前記自己相関および相互相関の計算結果に基づいて前記SDグループのセッションを識別することを特徴とする請求項１または２に記載の通信識別装置。
【請求項４】
前記SDグループのセッションと他の一のSDグループのセッションとは、送信元情報が同一で宛先情報が異なることを特徴とする請求項３に記載の通信識別装置。
【請求項５】
前記通信識別手段は、前記自己相関の計算結果に基づいてバックグラウンド通信に識別されなかったSDグループのセッションを、前記相互相関の計算結果に基づいて識別することを特徴とする請求項４に記載の通信識別装置。
【請求項６】
前記通信識別手段は、相互相関が所定の第２閾値を超えるセッションをバックグラウンド通信に識別することを特徴とする請求項３ないし５のいずれかに記載の通信識別装置。
【請求項７】
前記相互相関計算手段は、前記SDグループのセッションと他の全てのSDグループのセッションとの生起タイミングに関する相互相関をそれぞれ計算し、
前記通信識別手段は、少なくとも一つの相互相関が所定の第２閾値を超えれば前記SDグループのセッションをバックグラウンド通信に識別することを特徴とする請求項６に記載の通信識別装置。
【請求項８】
前記通信識別手段は、バックグラウンド通信に識別済みのセッションとの相互相関が前記所定の第２閾値を超えたセッションをバックグラウンド通信に識別することを特徴とする請求項３ないし７のいずれかに記載の通信識別装置。
【請求項９】
前記相互相関に基づいてバックグラウンド通信に識別されなかったSDグループのセッションの生起時刻と前記他の一のSDグループのセッションの生起時刻との時刻差を計算する手段をさらに具備し、
前記生起時刻差が所定の基準時間差以下となるSDグループのセッションをフォアグラウンド通信に識別することを特徴とする請求項３ないし８のいずれかに記載の通信識別装置。
【請求項１０】
前記他の一のSDグループのセッションが、予めフォアグラウンド通信に識別されているセッションであることを特徴とする請求項９に記載の通信識別装置。
【請求項１１】
通信端末が通信相手との間に確立したセッションをフォアグラウンド通信およびバックグラウンド通信のいずれかに識別する通信識別方法において、
ネットワーク上で観測される各セッションを、その送信元情報および宛先情報の組み合わせに固有のSDグループに分類し、
SDグループごとに各セッションの生起タイミングに関する自己相関を計算し、
前記自己相関の計算結果に基づいて当該SDグループのセッションを識別することを特徴とする通信識別方法。
【請求項１２】
前記SDグループのセッションと当該SDグループとは宛先の異なる他の一のSDグループのセッションとの生起タイミングに関する相互相関をさらに計算し、
前記自己相関および相互相関の計算結果に基づいて前記SDグループのセッションを識別することを特徴とする請求項１１に記載の通信識別方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信識別方法および装置に係り、特に、通信端末がフォアグラウンド（Foreground）で行う通信とバックグラウンド(Background)で行う通信とを識別する通信識別方法および装置に関する。
【背景技術】
【０００２】
通信端末が実行する通信の内容を識別する技術が研究されている。特許文献１には、通信トラヒック量の時系列変化やデータから、フーリエ変換等を用いて周期性を算出する手法が開示されている。
【０００３】
特許文献２には、通信トラヒックをフロー毎に測定・集約し、フロー毎の通信トラヒック特性から、周波数解析手法であるケプストラム分析を適用することにより、フローからアプリ（通信サービスの種別）を識別する技術が開示されている。
【０００４】
特許文献３には、通信トラヒックをフロー毎に測定・集約し、フロー毎の通信トラヒック特性から特徴量を算出し、機械学習を適用することにより、フローから通信サービスの種別（アプリケーション）を識別する技術が開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開2010-283668号公報
【特許文献２】特開2012-105043号公報
【特許文献３】特開2013-127504号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
近年におけるモバイル端末の爆発的な普及によりさまざまなサービスが台頭し、端末ユーザの通信要求操作を契機に生起されるフォアグラウンド通信のみならず、端末ユーザの通信要求操作とは無関係に、アプリケーションが自身に都合の良い任意のタイミングでサーバ等と通信するバックグラウンド通信が生起されるようになってきた。
【０００７】
各通信方式は、重要度、緊急度、データサイズ、遅延やジッタに対する許容度、端末ユーザの主観評価に与える影響などが異なるので、各通信方式を識別できれば様々な用途で活用できる。
【０００８】
しかしながら、特許文献１は、目的が異常検知すなわち平常時からの傾向変化検知であり、フォア／バックグラウンド通信を識別できない。特許文献２，３は、アプリケーションや通信サービスの識別を目的とする技術であり、フォア／バックグラウンド通信は識別できない。
【０００９】
本発明の目的は、上記の技術課題を解決し、通信端末がフォアグラウンドでセッションを確立して行う通信とバックグラウンドでセッションを確立して行う通信とを識別する通信識別方法および装置を提供することにある。
【課題を解決するための手段】
【００１０】
上記の目的を達成するために、本発明は、通信端末が通信相手との間に確立したセッションをフォアグラウンド通信およびバックグラウンド通信のいずれかに識別する通信識別装置において、以下の構成を具備した点に特徴がある。
【００１１】
(1)ネットワーク上で観測される各セッションを、その送信元情報および宛先情報の組み合わせに固有のSDグループに分類する手段と、SDグループごとに各セッションの生起タイミングに関する自己相関を計算する手段と、自己相関の計算結果に基づいて当該SDグループのセッションを識別する手段とを具備した。
【００１２】
(2)SDグループのセッションと他の一のSDグループのセッションとの生起タイミングに関する相互相関を計算する手段を設け、自己相関および相互相関の計算結果に基づいて前記SDグループのセッションを識別するようにした。
【００１３】
(3)通信を識別する手段は、バックグラウンド通信に識別済みのセッションとの相互相関が高いセッションを優先的にバックグラウンド通信に識別するようにした。
【００１４】
(4) SDグループ間で高い相互相関が認められる通信であっても、各セッションの生起タイミングの差が所定の時間差以下であれば、これをユーザ契機のフォアグラウンド通信に識別するようにした。
【００１５】
(5)セッションの生起時刻差に基づく識別の比較対象セッションを予めフォアグラウンド通信に識別されているセッションに限定するようにした。
【発明の効果】
【００１６】
本発明によれば、以下のような効果が達成される。
(1)通信端末が実行する通信のうち、生起タイミングの自己相関係数が高いセッションは、ユーザ操作とは無関係にOSやアプリケーションが自動的、機械的に実行するバックグラウンド通信に識別されるので、ユーザ由来・主導のフォアグラウンド通信とバックグラウンド通信とを、パッシブなパケットキャプチャにより低コストかつ少数の測定ポイントだけで識別できるようになる。
【００１７】
(2)自己相関係数が低くても相互相関係数の高いセッションはバックグラウンド通信に識別されるので、同一のバックグラウンド処理内で複数のサーバとの間に同様の手順でセッションの確立を繰り返す通信については、同一のSDグループに属するセッション間での自己相関が低い場合でもバックグラウンド通信に識別できるようになる。
【００１８】
(3)バックグラウンド通信に識別されたセッションとの相互相関が高いセッションは同様にバックグラウンド通信である可能性が極めて高いので、このようなセッションを正確にバックグラウンド通信に識別できるようになる。
【００１９】
(4)SDグループ間で高い相互相関が認められる通信であっても、各セッションの生起タイミングの差が所定の時間差未満であれば、これをユーザ契機の通信と認識してフォアグラウンド通信に識別するので、例えばマルチドメイン構成のWebページを閲覧する場合のように、ユーザ由来で複数のサーバにアクセスする通信をフォアグラウンド通信に識別できるようになる。
【００２０】
(5)ユーザ契機のフォアグラウンド通信では、セッション間の相互相関が高くなるので、予め比較対象をフォアグラウンド通信のセッションに限定することにより、識別に要する計算量および計算時間の短縮が可能になる。
【図面の簡単な説明】
【００２１】
【図１】本発明の通信識別方法が適用されるネットワークの構成を示した図である。
【図２】キャプチャ装置の一実施形態の構成を示した機能ブロック図である。
【図３】SDグループ内自己相関の計算手順を示したフローチャートである。
【図４】SDグループ間相互相関の計算手順を示したフローチャートである。
【図５】第１の識別方法を示したフローチャートである。
【図６】キャプチャ装置の他の実施形態の構成を示した機能ブロック図である。
【図７】第２の識別方法を示したフローチャートである。
【図８】第３の識別方法を示したフローチャートである。
【発明を実施するための形態】
【００２２】
以下、図面を参照して本発明の実施の形態について詳細に説明する。図１は、本発明の通信識別方法が適用されるネットワークの構成を示したブロック図である。
【００２３】
サービス提供範囲の各エリアには無線基地局BSが設置され、当該エリア内の無線移動端末MN（例えば、スマートフォンやタブレット端末）は前記各無線基地局BSに収容される。各無線基地局BSは無線アクセス網RANに接続され、前記無線アクセス網RANはコア網のゲートウェイ(GW)に接続される。前記コア網はインターネットエクスチェンジ(IX)においてインターネットと接続される。
【００２４】
前記インターネットには、各MNからの要求に応答してサービスを提供する各種のサーバが接続されている。本実施形態では、各MNと各サーバとの間のトラヒックを集約できる回線として、無線アクセス網RANとコア網とを接続する回線Lに、通信識別装置としてのキャプチャ装置１が接続されている。
【００２５】
図２は、前記キャプチャ装置１の一実施形態の主要部の構成を示した機能ブロック図であり、ここでは、本発明の説明に不要な構成は図示が省略されている。
【００２６】
通信トラヒック測定部１０１は、前記回線L上で送受されるパケットをキャプチャして、そのセッション種別（TCP、HTTP、UDPなど）、生起タイミング、送信元情報および宛先情報を含む各種の情報をログ情報管理部１０２に記録する。
【００２７】
セッション分類部１０３は、各セッションをその送信元情報(S)および宛先情報(D)の組み合わせに基づいていずれかのSDグループに分類する。すなわち、送信元情報(S)および宛先情報(D)のいずれもが同一のセッションは同一のSDグループに分類され、異なるセッションは別のSDグループに分類される。
【００２８】
本実施形態では、送信元情報として送信元IPアドレスを採用し、宛先情報として宛先IPアドレスおよびポート番号を採用する。各セッションの生起タイミングは、HTTPセッションであればHTTP Requestパケットの到着時刻で代表し、TCPセッションであればセッション確立時に実行されるスリーハンドシェイクで送受されるSynパケットの到着時刻で代表し、UDPであれば当該セッションで初めて観測されるパケットの到着時刻で代表する。
【００２９】
相関計算部１０４は、SDグループごとに、同一グループに分類された各セッションの生起タイミングに関する自己相関（SDグループ内自己相関係数）を計算する自己相関計算部１０４ａ、および送信元が同一で異なるSDグループに分類された各セッションの生起タイミングに関する相互相関（SDグループ間相互相関係数）を計算する相互相関計算部１０４ｂを含む。すなわち、本実施形態における相互相関の計算対象は、送信元が同一で宛先が異なる、送信元ユーザが同一のSDグループ同士となる。
【００３０】
通信識別部１０５は、前記自己相関係数および相互相関係数の計算結果を所定の閾値と比較し、各比較結果に基づいて各SDグループのセッションをバックグラウンド通信およびフォアグラウンド通信のいずれかに識別する。
【００３１】
図３は、前記自己相関計算部１０４ａによるSDグループ内自己相関の計算手順を示したフローチャートであり、セッションが分類されている全てのSDグループを対象に繰り返される。
【００３２】
ステップＳ１０１では、今回の識別対象となるSDグループ(SD1)に分類されている各セッションの生起タイミングが所定の周期τ秒で離散化（BIN化）され、各周期τ内で生起したセッション数が時系列で数列化される。
【００３３】
ステップＳ１０２では、前記自己相関を算出するためのラグ値（遅れ時間）jとして前記周期と同じτ秒が設定される。ステップＳ１０３では、今回のラグ値jに対応する自己相関係数AC(j)が次式(1)に基づいて計算される。本実施形態では、同一の数列をjずつずらして積の和を算出することで自己相関係数AC(j)が求められる。なお、iは数列の要素識別子、SD(i)は数列のi番目の要素の値、Nは数列長である。
【００３４】
【数１】
2015162810.tif 000003
【００３５】
ステップＳ１０４では、今回の自己相関係数AC(j)の計算結果を、次式(2)に示したように、ラグ値j=0の場合の自己相関係数AC(0)で除すことにより当該自己相関係数AC(j)が正規化される。
【００３６】
【数２】
2015162810.tif 000004
【００３７】
ステップＳ１０５では、ラグ値jが所定の上限値jmaxに達したか否かが判定される。j≧jmaxでなければ、ステップＳ１０６へ進んでラグ値jを周期τ秒だけ延長した後にステップＳ１０３へ戻り、更新後のラグ値jに対応する自己相関係数AC(j)の計算、正規化が繰り返される。
【００３８】
図４は、前記相互相関計算部１０４ｂによる相互相関の計算手順を示したフローチャートであり、送信元情報(S)が同一で宛先情報(D)の異なる全てのSDグループペアについて繰り返されるが、ここでは、SDグループSD1に属するセッションを、宛先情報(D)の異なる他のSDグループSD2に属するセッションとの関係に基づいて識別する場合を例にして説明する。
【００３９】
ステップＳ２０１では、今回の計算対象となる２つのSDグループSD1，SD2に分類されている各セッションの生起タイミングが所定の周期τで離散化（BIN化）され、各周期内で生起したセッション数が時系列で数列化される。ステップＳ２０２では、相互相関を算出するためのラグ値jにτ秒が設定される。
【００４０】
ステップＳ２０３では、今回のラグ値jに対応する相互相関係数CC(j)が次式(3)に基づいて計算される。本実施形態では、２つの数列をτずつずらして積の和を算出することで相互相関係数が求められる。
【００４１】
【数３】
2015162810.tif 000005
【００４２】
ステップＳ２０４では、今回の相互相関係数CC(j)の計算結果を、次式(4)に示したように、ラグ値j=0の場合の各自己相関係数AC1(0)，AC2(0)の積の平方根で除すことにより、当該相互相関係数CC(j)が正規化される。
【００４３】
【数４】
2015162810.tif 000006
【００４４】
ステップＳ２０５では、ラグ値jが所定の上限値jmaxに達したか否かが判定される。j≧jmaxでなければ、ステップＳ２０６へ進んでラグ値jを周期τ秒だけ延長した後にステップＳ２０３へ戻り、更新後のラグ値jに対応する相互相関係数CC(j)の計算、正規化が繰り返される。このような自己相関係数CC(j)の計算は、送信元情報が同一のSDグループが他にもある場合には、計算対象を他のSDグループに切り替えながら繰り返される。
【００４５】
次いで、前記相関計算部１０４および通信識別部１０５が連携して、各SDグループのセッションをフォアグラウンド通信およびバックグラウンド通信のいずれかに識別する手順について説明する。
【００４６】
図５は、第１の識別方法を示したフローチャートであり、ステップＳ３００では、各SDグループに属するセッションの自己相関が、前記自己相関計算部１０４ａによりラグ値jごとに計算される。ステップＳ３０１，Ｓ３０２では、自己相関を計算された全てのSDグループを対象に、各SDグループにおいてラグ値jごとに計算された各自己相関係数AC(j)が所定の第１閾値Pref1と比較される。第１閾値Pref1を超える自己相関係数AC(j)が一つでも存在すればステップＳ３１０へ進み、当該SDグループのセッションがバックグラウンド通信に識別される。
【００４７】
全てのSDグループに関して、前記自己相関に基づくバックグラウンド通信の識別が完了すると、ステップＳ３０３では、未だバックグラウンド通信およびフォアグラウンド通信のいずれにも識別されていないSDグループの一つが今回の注目SDグループとして選択される。
【００４８】
ステップＳ３０４では、送信元情報が同一で宛先情報の異なる他の一のSDグループが、今回の相互相関の計算対象として選択される。ステップＳ３０５では、注目SDグループのセッションと前記選択された他の一のSDグループとの相互相関CC(j)が、前記相互相関計算部１０４ｂによりラグ値jごとに計算される。
【００４９】
ステップＳ３０６では、前記ラグ値jごとに算出された相互相関係数CC(j)と所定の第２閾値Pref2とが比較される。第２閾値Pref2を超える相互相関係数CC(j)が一つでも存在すればステップＳ３１１へ進み、当該注目SDグループのセッションがバックグラウンド通信に識別される。
【００５０】
これに対して、第２閾値Pref2を超える相互相関係数CC(j)が一つも存在しなければステップＳ３０７へ進み、注目SDグループと他の全てのSDグループとの相互相関が計算済みであるか否かが判定される。計算済みでなければステップＳ３０４へ戻り、計算対象となる他の一のSDグループを変更しながら上記の各処理が繰り返される。そして、他のいずれのSDグループとの関係においても前記第２閾値Pref2を超える相互相関が認められなければステップＳ３０８へ進み、今回の注目SDグループのセッションがフォアグラウンド通信に識別される。
【００５１】
ステップＳ３０９では、全てのSDグループが注目済みであるか否から判定される。注目済みでなければステップＳ３０３へ戻り、注目SDグループを変更しながら上記の各処理が繰り返される。
【００５２】
本実施形態によれば、生起タイミングの自己相関係数が高いセッションはバックグラウンド通信に識別されるので、アプリケーションがユーザ操作とは無関係にバックグラウンドでサーバと定期的に通信するセッションをバックグラウンド通信に識別できるようになる。
【００５３】
また、発明者がセッションを詳しく観察したところ、一部のアプリケーションはバックグラウンドで行われる同期処理中に複数のサーバと通信し、このようなバックグラウンド通信では、同一サーバとの間に確立される複数のセッション間には自己相関が認められないものの、異なるサーバとの間に確立されて異なるSDグループに属するセッション間には相互相関が認められることが確認された。
【００５４】
ここで、本実施形態では自己相関係数が低くても相互相関係数の高いセッションはバックグラウンド通信に識別されるので、同一のバックグラウンド処理内で複数のサーバとの間にセッションを確立する通信については、同一のSDグループに属するセッション間での自己相関が低い場合でもバックグラウンド通信に識別できるようになる。
【００５５】
図６は、前記キャプチャ装置１の他の実施形態の主要部の構成を示した機能ブロック図であり、ここでは、本発明の説明に不要な構成は図示が省略されている。本実施形態では、相互相関係数の計算対象となる２つのSDグループに所属するセッションの開始時刻差を求め、これを通信識別に反映させる時間差反映部１０５ａを設けた点に特徴がある。
【００５６】
図７は、前記時間差反映部１０５ａを備えた通信識別部１０５および相関計算部１０４が連携して、各SDグループのセッションをフォアグラウンド通信およびバックグラウンド通信のいずれかに識別する第２の識別方法を示したフローチャートである。
【００５７】
第１の識別方法では、異なるSDグループに属するセッション間で自己相関又は相互相関が認められれば、当該セッションに係る通信は無条件でバックグラウンド処理に識別されるものとして説明した。
【００５８】
しかしながら、例えばWebブラウジングにおいて、当該Webページに含まれる複数のコンテンツがドメインの異なる複数のWebサーバに分散配置されていると、各Webサーバとの間に確立されるセッションは異なるSDグループに分類されることになる。そして、各Webサーバからコンテンツを取得するための通信手順は同一なので、SDグループ間でのセッションの相互相関は一般的に高くなる傾向にある。
【００５９】
したがって、このようなWebブラウジングにおけるセッションは、ユーザのブラウジング操作を契機に開始されるフォアグラウンド通信でありながら、バックグラウンド通信に識別されてしまう。
【００６０】
一方、発明者の観測結果によれば、上記のようなマルチドメイン構成のWebページを閲覧するWebブラウジングでは、各Webサーバ向けセッションの生起時間差が、他のバックグラウンド処理で実行される複数サーバ向けセッションの生起時間差よりも十分に短いことが経験的に確認されている。
【００６１】
これは、バックグラウンド処理では通信端末と各サーバとの処理が所定のルールでシーケンシャルに進行することが多いのに対して、Webブラウジングでは各サーバとの処理がほぼ同時進行し、かつ処理負荷の少ないダウンロードが主な処理であることに起因するものと考えられる。
【００６２】
そこで、本実施形態では例えSDグループ間で高い相互相関が認められる通信であっても、各セッションの生起タイミングの差が所定の時間差未満であれば、これをユーザ契機の通信と認識してフォアグラウンド通信に識別されるようにした。ただし、バックグラウンド処理に識別済みのセッションとの相互相関が高い場合には、生起時間差にかかわらずバックグラウンド処理に識別されるようにしている。
【００６３】
ステップＳ４００〜Ｓ４０６，Ｓ４１０では、前記ステップＳ３００〜Ｓ３０６，Ｓ３１０と同様の処理が実行される。その結果、前記第１閾値Pref1を超える自己相関係数AC(j)が一つでも存在する注目SDグループについては、ステップＳ４１０へ進んでバックグラウンド通信に識別される。
【００６４】
一方、ステップＳ４０６において、前記第２閾値Pref2を超える相互相関係数CC(j)が一つでも存在すると判定されるとステップＳ４１１へ進み、当該判定対象となった前記他の一のSDグループのセッションがバックグラウンド通信に識別済みであるか否かが判定される。バックグラウンド通信に識別済みのセッションであればステップＳ４１３へ進み、当該注目SDグループのセッションもバックグラウンド通信に識別される。
【００６５】
これは、バックグラウンド通信に識別されたセッションとの相互相関が高いセッションは同様にバックグラウンド通信である可能性が極めて高いという経験則に基づく処理であり、このようなセッションを確実にバックグラウンド通信に識別できるようになる。
【００６６】
これに対して、前記他の一のSDグループのセッションがバックグラウンド通信に識別済みではなければステップＳ４１２へ進み、注目SDグループのセッションがユーザ操作を契機に開始されたフォアグラウンド通信由来の通信であるか否かが判定される。
【００６７】
本実施形態では、注目SDグループのセッションの生起タイミングと前記バックグラウンド通信に識別済みではない他の一のSDグループのセッションの生起タイミングとの時刻差Δtが所定の基準時刻差Δtrefと比較される。そして、生起時刻差Δtが基準時間差Δtrefよりも短ければステップＳ４０８へ進み、注目SDグループのセッションがユーザ操作を契機に開始されたフォアグラウンド通信に識別される。これに対して、生起時刻差Δtが基準時間差Δtrefよりも長ければステップＳ４０７へ進む。
【００６８】
ステップＳ４０７では、今回の注目SDグループと他の全てのSDグループとの相互相関が計算済みであるか否かが判定される。計算済みでなければステップ４０４へ戻り、計算対象となる他の一のSDグループを変更しながら上記の各処理が繰り返される。そして、他のいずれのSDグループとの関係においても前記第２閾値Pref2を超える相互相関が認められなければステップＳ４０８へ進み、今回の注目SDグループのセッションがフォアグラウンド通信に識別される。
【００６９】
ステップＳ４０９では、全てのSDグループが注目済みであるか否から判定される。注目済みでなければステップＳ４０３へ戻り、注目SDグループを変更しながら上記の各処理が繰り返される。
【００７０】
なお、上記の第２の識別方法では、ステップＳ４１２において注目SDグループのセッションと生起タイミングの時刻差Δtを測定する比較対象に無条件であったが、本発明はこれのみに限定されるものではなく、図８に示した第３実施形態のように、ステップＳ４１２では前記ステップＳ４０８における識別結果を受けて、比較対象を既にフォアグラウンド通信に識別済みのセッションに限定しても良い。
【００７１】
ユーザ契機のフォアグラウンド通信ではセッション間の相互相関が高くなるので、予め比較対象をフォアグラウンド通信のセッションに限定することにより、識別に要する計算量および計算時間の短縮が可能になる。
【００７２】
さらに、上記の各実施形態では、自己相関係数や相互相関係数を所定の固定的な閾値Pref1、Pref2と比較し、その大小関係に基づいて各セッションをフォアグラウンド通信およびバックグラウンド通信のいずれかに識別するものとして説明した。しかしながら、本発明はこれのみに限定されるものではなく、算出された相関特性の分布から、例えばその80パーセンタイル値や90％パーセンタイル値を適応的に閾値Pref1、Pref2に設定するようにしても良い。また、識別結果も確定的である必要はなく、尤度判定されるようにしても良い。
【００７３】
同様に、生起時刻差分Δtref、数列のBINおよび周期τも固定値に限定されるものではなく、上記と同様に分布から設定しても良いし、尤度判定を採用しても良い。
【符号の説明】
【００７４】
１０１…通信トラヒック測定部，１０２…ログ情報管理部，１０３…セッション分類部，１０４…相関計算部，１０４ａ…自己相関計算部，１０４ｂ…相互相関計算部，１０５…通信識別部，１０５ａ…時間差反映部
【図１】
2015162810.tif 000007
【図２】
2015162810.tif 000008
【図３】
2015162810.tif 000009
【図４】
2015162810.tif 000010
【図５】
2015162810.tif 000011
【図６】
2015162810.tif 000012
【図７】
2015162810.tif 000013
【図８】
2015162810.tif 000014