サンプリングされたトラヒックフローのプロトコルを推定するプロトコル推定方法であって、コアネットワークから監視対象とするトラヒックをフルキャプチャする第1ステップと、前記フルキャプチャしたトラヒックに対して、ランダムパケットサンプリングを行なう第2ステップと、前記ランダムパケットサンプリングされたフローの特徴量を計算する第3ステップと、前記第2ステップおよび前記第3ステップを複数回繰り返した後、得られた全フローと、前記フルキャプチャしたトラヒックに対してフロー毎に識別されたプロトコルとを対応付けて分類器を生成する第4ステップと、を含むことを特徴とするプロトコル推定方法。前記監視対象とするトラヒックに対して、ランダムパケットサンプリングを行なう第5ステップと、前記第5ステップの結果得られたフローに対して、前記分類器を用いて前記フローのプロトコルを推定する第6ステップと、を更に含むことを特徴とする請求項1記載のプロトコル推定方法。サンプリングされたトラヒックフローのプロトコルを推定するプロトコル推定プログラムであって、コアネットワークから監視対象とするトラヒックをフルキャプチャする第1処理と、前記フルキャプチャしたトラヒックに対して、ランダムパケットサンプリングを行なう第2処理と、前記ランダムパケットサンプリングされたフローの特徴量を計算する第3処理と、前記第2処理および前記第3処理を複数回繰り返した後、得られた全フローと、前記フルキャプチャしたトラヒックに対してフロー毎に識別されたプロトコルとを対応付けて分類器を生成する第4処理と、の一連の処理を、コンピュータに実行させることを特徴とするプロトコル推定プログラム。前記監視対象とするトラヒックに対して、ランダムパケットサンプリングを行なう第5処理と、前記第5処理の結果得られたフローに対して、前記分類器を用いて前記フローのプロトコルを推定する第6処理と、を更に含むことを特徴とする請求項3記載のプロトコル推定プログラム。しかしながら、非特許文献1に記載の技術では、サンプリングされたトラヒックを対象とした検討は殆ど行われていないため、サンプリングされたトラヒックフローのプロトコルを推定することは困難である。また、非特許文献2に記載の技術では、学習用トラヒックをサンプリングし、サンプリング後のトラヒックから得られるフロー特徴量とそのフロー毎の正解プロトコルとを使い、分類器を生成する。しかし、ランダムサンプリングの影響により、サンプリングで得られるフローにはばらつきが生じ、推定結果が不安定になるという問題点がある。この問題は、サンプリングレートが小さくなるに従い、深刻化する。本発明は、このような事情に鑑みてなされたものであり、学習用のトラヒックをフルキャプチャし、フルトラヒックに対して複数回サンプリングを適用することによって、安定したプロトコルの推定を行なうことができるプロトコル推定方法およびプロトコル推定プログラムを提供することを目的とする。1上記の目的を達成するために、本発明は、以下のような手段を講じた。すなわち、本発明のプロトコル推定方法は、サンプリングされたトラヒックフローのプロトコルを推定するプロトコル推定方法であって、コアネットワークから監視対象とするトラヒックをフルキャプチャする第1ステップと、前記フルキャプチャしたトラヒックに対して、ランダムパケットサンプリングを行なう第2ステップと、前記ランダムパケットサンプリングされたフローの特徴量を計算する第3ステップと、前記第2ステップおよび前記第3ステップを複数回繰り返した後、得られた全フローと、前記フルキャプチャしたトラヒックに対してフロー毎に識別されたプロトコルとを対応付けて分類器を生成する第4ステップと、を含むことを特徴とする。このように、フルキャプチャしたトラヒックに対して、ランダムパケットサンプリングを行ない、ランダムパケットサンプリングされたフローの特徴量を計算し、これらを複数回繰り返した後、得られた全フローと、フルキャプチャしたトラヒックに対してフロー毎に識別されたプロトコルとを対応付けて分類器を生成するので、ランダムパケットサンプリングの影響を軽減し、安定した分類器を作成することが可能となる。その結果、プロトコルの推定精度を向上させることが可能となる。2また、本発明のプロトコル推定方法は、前記監視対象とするトラヒックに対して、ランダムパケットサンプリングを行なう第5ステップと、前記第5ステップの結果得られたフローに対して、前記分類器を用いて前記フローのプロトコルを推定する第6ステップと、を更に含むことを特徴とする。このように、監視対象とするトラヒックに対して、ランダムパケットサンプリングを行ない、その結果得られたフローに対して、上記作成した分類器を用いてフローのプロトコルを推定するので、プロトコルの推定精度を向上させることが可能となる。3また、本発明のプロトコル推定プログラムは、サンプリングされたトラヒックフローのプロトコルを推定するプロトコル推定プログラムであって、コアネットワークから監視対象とするトラヒックをフルキャプチャする第1処理と、前記フルキャプチャしたトラヒックに対して、ランダムパケットサンプリングを行なう第2処理と、前記ランダムパケットサンプリングされたフローの特徴量を計算する第3処理と、前記第2処理および前記第3処理を複数回繰り返した後、得られた全フローと、前記フルキャプチャしたトラヒックに対してフロー毎に識別されたプロトコルとを対応付けて分類器を生成する第4処理と、の一連の処理を、コンピュータに実行させることを特徴とする。このように、フルキャプチャしたトラヒックに対して、ランダムパケットサンプリングを行ない、ランダムパケットサンプリングされたフローの特徴量を計算し、これらを複数回繰り返した後、得られた全フローと、フルキャプチャしたトラヒックに対してフロー毎に識別されたプロトコルとを対応付けて分類器を生成するので、ランダムパケットサンプリングの影響を軽減し、安定した分類器を作成することが可能となる。その結果、プロトコルの推定精度を向上させることが可能となる。4また、本発明のプロトコル推定プログラムは、前記監視対象とするトラヒックに対して、ランダムパケットサンプリングを行なう第5処理と、前記第5処理の結果得られたフローに対して、前記分類器を用いて前記フローのプロトコルを推定する第6処理と、を更に含むことを特徴とする。このように、監視対象とするトラヒックに対して、ランダムパケットサンプリングを行ない、その結果得られたフローに対して、上記作成した分類器を用いてフローのプロトコルを推定するので、プロトコルの推定精度を向上させることが可能となる。本発明によれば、フルキャプチャしたトラヒックに対して、ランダムパケットサンプリングを行ない、ランダムパケットサンプリングされたフローの特徴量を計算し、これらを複数回繰り返した後、得られた全フローと、フルキャプチャしたトラヒックに対してフロー毎に識別されたプロトコルとを対応付けて分類器を生成するので、ランダムパケットサンプリングの影響を軽減し、安定した分類器を作成することが可能となる。その結果、プロトコルの推定精度を向上させることが可能となる。図1は、本実施形態に係る分類器を作成する概念を示す図である。本実施形態に係る分類器10は、次の手順で作成される。複数のルータ11a、11bを有するコア網100において、ルータ11a、11bの間のトラヒックを監視対象とする。ルータ11a、11b間のトラヒックは、タップ12でコピーされ、フルキャプチャ装置13に入力される。フルキャプチャされたトラヒックフローは、DPI装置14または人手15によって、フロー毎のトラヒックが識別される。そして、パケットレベルでのトラヒックデータについて、全フローとそのフロー毎のプロトコルを統合し、分類器10を生成する。図2は、分類器を生成する動作を示すフローチャートである。図1で示したフルキャプチャ装置13において、学習用フルトラヒックデータを取得するステップS1。すなわち、ステップS1は、学習に使用するトラヒックをフルキャプチャする処理である。次に、ランダムパケットサンプリングを行なうステップS2。ステップS2では、フルキャプチャしたトラヒックに対してランダムパケットサンプリングを適用する。次に、フロー特徴量の計算を行なうステップS3。ステップS2におけるランダムパケットサンプリングの結果得られるフローの特徴量、例えば、パケット到着間隔やパケットサイズ等を計算する。次に、上記のランダムパケットサンプリングの回数が、所定の閾値を超えたかどうかを判断しステップS4、超えていない場合は、ステップS2に遷移する。一方、ステップS4において、上記のランダムパケットサンプリングの回数が、所定の閾値を超えた場合は、ステップS6に遷移する。一方、ステップS1の後、フロー毎のプロトコルの識別を行なうステップS5。ステップS5では、専用のDPI装置または人手により、フルキャプチャしたトラヒックのフロー毎のプロトコルを識別する。次に、フローの統合を行なうステップS6。ステップS6では、複数回のランダムパケットサンプリングにより得られた全フローと、ステップS5で得られたプロトコルを統合する。なお、得られたフロー群の中には同一フローが複数存在する可能性があるが、ランダムサンプリングによる劣化具合が各フローで異なる可能性が高いため、別フローとして扱う。最後に、分類器を作成するステップS7。ステップS7では、フロー特徴量説明変数とフロー毎のプロトコル被説明変数、機械学習により、分類器を作成する。ここで、ステップS4におけるランダムパケットサンプリングとフロー特徴量計算を繰り返す回数閾値は、演算量と生成される分類器の精度の観点から決められるべきである。閾値の目安として、サンプリングレートの逆数回とすることができる。この回数ランダムパケットサンプリングを繰り返すことによって、安定して高性能な分類器が得られる。また、ステップS7における分類器生成では、機械学習として、決定木や確率モデル、SVMSupportVectorMachine等が考えられるが、本発明はこれに限定されるわけではなく、任意のアルゴリズムを使用することが可能である。図3は、本実施形態に係る分類器を用いるトラヒック監視装置を、コア網に配置した様子を示す図である。コア網100には、ルータ11a、11b、11c、11dが設けられている。ルータ11aと11bとの間のトラヒックは、タップ12aを介してトラヒック監視装置30aに入力される。また、ルータ11bと11cとの間のトラヒックは、タップ12bを介してトラヒック監視装置30bに入力される。また、ルータ11cと11dとの間のトラヒックは、タップ12cを介してトラヒック監視装置30cに入力される。また、ルータ11dと11aとの間のトラヒックは、タップ12dを介してトラヒック監視装置30dに入力される。トラヒック監視装置30a~30dは、予め生成された分類器10を備えている。そして、トラヒック監視装置30a~30dは、取得したトラヒックに対してランダムパケットサンプリングを行なう。これにより、解析対象のパケット数を減らし、負荷を抑制できる。その結果、トラヒック監視装置として、安価な低スペックの汎用PCで構成することが可能である。そして、トラヒック監視装置30a~30dは、分類器10を用いて、フロー毎のプロトコルを推定し、図3に示すように、グラフィカルは出力を行なう。図4は、トラヒック監視装置30a~30dがプロトコルを推定する様子を示す図である。図3において、トラヒック監視装置30a~30dが行なうランダムパケットサンプリングとは、タップ12a~12dから入力されるトラヒックに対してランダムパケットサンプリングを適用する処理である。また、フロー特徴量計算とは、ランダムパケットサンプリングの結果得られるフローの特徴量、例えば、パケット到着間隔やパケットサイズ等を計算する処理である。また、フロー毎のプロトコル推定とは、サンプリングされたフローの特徴量および学習により生成した分類器を用いて、サンプリングされたフローのプロトコルを識別する処理である。図4に示すように、フロー1は、パケットサイズが500であり、到着間隔が20msであり、持続時間が100msであるため、webであると推定することができる。また、フロー2は、パケットサイズが1400であり、到着間隔が50msであり、持続時間が1000msであるため、VoIPであると推定することができる。以上説明したように、本実施形態によれば、フルキャプチャしたトラヒックに対して、ランダムパケットサンプリングを行ない、ランダムパケットサンプリングされたフローの特徴量を計算し、これらを複数回繰り返した後、得られた全フローと、フルキャプチャしたトラヒックに対してフロー毎に識別されたプロトコルとを対応付けて分類器を生成するので、ランダムパケットサンプリングの影響を軽減し、安定した分類器を作成することが可能となる。その結果、プロトコルの推定精度を向上させることが可能となる。