トラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラム
【課題】正常なトラフィックを異常トラフィックとして誤って分析対象から除外することを抑止すること。
【解決手段】トラフィック分析装置１０は、トラフィックデータ１１２に基づいてトラフィックを分析するトラフィック分析部１２３と、トラフィックデータ１１２に含まれるトラフィックを送信元単位で集計した集計値が第１の閾値１１１以下である送信元の数が全送信元数に占める比率と、上記の集計値が第１の閾値１１１以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出部１２１と、比率差算出部１２１によって算出された差が第２の閾値１１３よりも大きい場合に、上記の集計値が第１の閾値１１１よりも多い送信元のトラフィックをトラフィック分析部１２３による分析の対象外とする異常トラフィック除外部１２２とを備える。
【解決手段】トラフィック分析装置１０は、トラフィックデータ１１２に基づいてトラフィックを分析するトラフィック分析部１２３と、トラフィックデータ１１２に含まれるトラフィックを送信元単位で集計した集計値が第１の閾値１１１以下である送信元の数が全送信元数に占める比率と、上記の集計値が第１の閾値１１１以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出部１２１と、比率差算出部１２１によって算出された差が第２の閾値１１３よりも大きい場合に、上記の集計値が第１の閾値１１１よりも多い送信元のトラフィックをトラフィック分析部１２３による分析の対象外とする異常トラフィック除外部１２２とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムに関する。
【背景技術】
【０００２】
従来より、ネットワークのトラフィックを分析して、通信品質の改善等に利用するための分析データを生成する技術が知られている。トラフィックを分析することにより、例えば、時間帯毎の利用者数の推移、メッセージの種別の割合、エラー率のような様々な情報を分析データとして得ることができる。
【０００３】
また、ネットワークのトラフィックを分析するに当たって、分析の精度向上を目的として、異常トラフィックを分析対象から除外する技術も知られている。例えば、特許文献１では、マルウェア等の影響を除外するため、トラフィック量に基づいて度数分布表を作成し、トラフィック量の多い順に上位から一定割合のデータを削除する技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−３２３１８３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、トラフィックの量や内容は、曜日や時間帯によって変化するのに加えて、何らかのイベントやキャンペーンのような突発的な事由によって大きく変化することもある。このため、上述した従来技術のように、異常トラフィックを一定の基準に基づいて常に除外することとすると、正常なトラフィックまでが分析対象から除外され、分析の精度が低下してしまうことがあった。
【０００６】
本発明は、上記に鑑みてなされたものであって、正常なトラフィックを異常トラフィックとして誤って分析対象から除外することを抑止できるトラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明に係るトラフィック分析装置は、トラフィックデータに基づいてトラフィックを分析する分析部と、前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出部と、前記比率差算出部によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析部による分析の対象外とする除外部とを備えることを特徴とする。
【０００８】
また、本発明に係るトラフィック分析方法は、トラフィックデータに基づいてトラフィックを分析する分析工程と、前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出工程と、前記比率差算出工程によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析工程における分析の対象外とする除外工程とを含むことを特徴とする。
【０００９】
また、本発明に係るトラフィック分析プログラムは、コンピュータを上記のトラフィック分析装置として機能させることを特徴とする。
【発明の効果】
【００１０】
本発明に係るトラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムは、正常なトラフィックを異常トラフィックとして誤って分析対象から除外することを抑止できるという効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】図１は、実施例１に係るトラフィック分析装置の構成を示す図である。
【図２】図２は、異常トラフィックの除外について説明するための図である。
【図３】図３は、実施例１に係るトラフィック分析装置の処理手順を示す図である。
【図４】図４は、実施例２に係るトラフィック分析装置の構成を示す図である。
【図５】図５は、集計データの一例を示す図である。
【図６】図６は、異常閾値の決定について説明するための図である。
【図７】図７は、異常トラフィックの除外について説明するための図である。
【図８】図８は、実施例２に係るトラフィック分析装置の処理手順を示す図である。
【図９】図９は、トラフィック分析処理の処理手順を示す図である。
【図１０】図１０は、実施例２に係るトラフィック分析方法を示す図である。
【図１１】図１１は、トラフィック分析プログラムを実行するコンピュータを示す機能ブロック図である。
【図１２】図１２は、トラフィックデータの取得の仕方の一例を示す図である。
【発明を実施するための形態】
【００１２】
以下に、本発明に係るトラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。
【実施例１】
【００１３】
図１〜３を参照しながら、本実施例に係るトラフィック分析装置およびトラフィック分析方法について説明する。図１は、本実施例に係るトラフィック分析装置１０の構成を示すブロック図である。図１に示すように、トラフィック分析装置１０は、記憶部１１と、制御部１２とを有する。記憶部１１は、例えば、ハードディスク装置や半導体記憶装置であり、異常閾値（第１の閾値）１１１、トラフィックデータ１１２、比率差閾値（第２の閾値）１１３等を記憶する。
【００１４】
トラフィックデータ１１２は、ネットワーク上を流れるメッセージ（パケットやフレームともいう）に関する情報が記録されたデータである。トラフィックデータ１１２には、例えば、ネットワーク上を流れるメッセージ毎に、送信元アドレス、送信先アドレス、メッセージの種別、メッセージ長、送信時刻を示すタイムスタンプ等の情報が記録される。なお、トラフィックデータ１１２は、トラフィック分析装置１０がネットワークを経由してアクセス可能な他の装置に記憶されていてもよい。
【００１５】
トラフィックデータ１１２の取得の仕方の一例を図１２に示す。図１２に示すネットワーク環境では、ＳＩＰ（Session Initiation Protocol）クライアント２ａ〜２ｎとＳＩＰサーバ３とがインターネット１を介して接続されている。ＳＩＰクライアント２ａ〜２ｎは、ＩＰ電話の発呼者または着呼者となる端末である。ＳＩＰサーバ３は、ＩＰ電話の発呼者と着呼者との間にセッションを確立させるとともに、発呼者と着呼者との間でやりとりされる通話用のメッセージを中継する。
【００１６】
タップ４は、ＳＩＰクライアント２ａ〜２ｎとＳＩＰサーバ３とを接続する経路上に設けられており、通過するメッセージに含まれる項目のうち分析に必要な項目または通過するメッセージそのものをトラフィックデータ１１２として記録する。トラフィックデータ１１２には、セッションの確立／切断や通話のためのメッセージに関する情報がメッセージ毎に記録される。トラフィックデータ１１２は、ネットワークや記録媒体等を介してトラフィック分析装置１０に転送される。
【００１７】
図１の説明に戻って、異常閾値１１１と比率差閾値１１３は、異常トラフィックの除外を制御するためのパラメータであり、トラフィック分析装置１０の利用者によって設定される。異常閾値１１１は、送信元単位で集計したトラフィックが正常トラフィックであるか異常トラフィックであるかを判別するために用いられる。比率差閾値１１３は、異常閾値１１１に基づいて異常トラフィックを除外することが適切であるか否かを判定するために用いられる。
【００１８】
ここで、異常トラフィックとは、悪意者やマルウェアによる攻撃、機器の障害やプログラムのバグ、利用者の操作ミス等によって生じる多大なトラッフィックであり、トラフィックの分析の精度を低下させるものをいう。また、送信元とは、送信元アドレス等によって識別される個別の装置であってもよいし、送信元アドレスの所定部分等によって識別されるサブネットワークであってもよい。
【００１９】
なお、異常閾値１１１と比率差閾値１１３は、必ずしも記憶部１１に記憶させておく必要はなく、必要となる度に図示しないユーザインターフェースを用いて利用者が入力することとしてもよいし、何らかのパラメータを用いて動的に算出することとしてもよい。
【００２０】
制御部１２は、トラフィック分析装置１０を全体制御する制御部であり、比率差算出部１２１と、異常トラフィック除外部１２２と、トラフィック分析部１２３とを有する。比率差算出部１２１は、トラフィックデータ１１２に記録されているメッセージ数やメッセージのデータ量等のトラフィックを送信元単位で集計し、集計されたトラフィックが異常閾値１１１以下の送信元数が全送信元数に占める比率と、集計されたトラフィックが異常閾値１１１以下の送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する。
【００２１】
異常トラフィック除外部１２２は、比率差算出部１２１によって算出された比率の差と比率差閾値１１３を比較し、比率差算出部１２１によって算出された比率の差の方が大きい場合に、トラフィックデータ１１２に含まれる異常トラフィックを分析対象外とする。比率差算出部１２１によって算出された比率の差の方が大きい場合に分析対象外とされるトラフィックは、集計されたトラフィックが異常閾値１１１よりも多い送信元のトラフィックである。
【００２２】
トラフィック分析部１２３は、トラフィックデータ１１２に記録されているトラフィックのうち、異常トラフィック除外部１２２によって分析対象外とされたトラフィック以外のトラフィックに基づいて所定の分析を行う。トラフィック分析部１２３の分析の結果として、例えば、時間帯毎の利用者数の推移、メッセージの種別の割合、エラー率のような様々な情報や、他の分析装置が用いるトラフィックモデルデータが生成される。
【００２３】
トラフィック分析装置１０における異常トラフィックの除外について図２を参照しながらさらに詳しく説明する。図２に示すグラフは、トラフィックデータ１１２に記録されているトラフィックを送信元単位で集計した結果に基づいて、１送信元当たりのトラフィックと送信元数の累積比率の関係と、１送信元当たりのトラフィックとトラフィックの累積比率の関係とを表したものである。
【００２４】
図２に示すグラフにおいて、ρは、適切に設定された異常閾値１１１である。また、Ｒ１は、集計されたトラフィックがρ以下の送信元数が全送信元数に占める比率を表しており、Ｒ２は、集計されたトラフィックがρ以下の送信元のトラフィックの合計が全トラフィックに占める比率を表している。一般に、ネットワーク環境では、全トラフィックのかなり多くの部分が比較的少数の送信元のトラフィックによって占められる傾向があるため、Ｒ１はＲ２よりも大きな値となる。
【００２５】
そして、異常トラフィックは少数の送信元による多大なトラフィックであるため、トラフィックデータ１１２に異常トラフィックが含まれる場合は、全トラフィックのより多くの部分がより少数の送信元のトラフィックによって占められる傾向が強くなり、Ｒ１とＲ２の差が平常時よりも大きくなる。一方、特定の曜日や時間帯または特定のイベントがあった際に多くの送信者のトラフィックがρを超えた場合は、全トラフィックのより多くの部分がより少数の送信元のトラフィックによって占められる傾向はあまり強くならないため、Ｒ１とＲ２の差はそれほど変化しない。
【００２６】
したがって、Ｒ１とＲ２の差を、適切に設定された比率差閾値１１３と比較することにより、トラフィックデータ１１２に異常トラフィックが含まれるか否かを判定できる。すなわち、Ｒ１とＲ２の差が比率差閾値１１３よりも小さければ、送信元単位で集計したトラフィックが異常閾値１１１を超える送信元があっても、それらの送信元のトラフィックは正常であると判定できる。一方、Ｒ１とＲ２の差が比率差閾値１１３よりも大きければ、送信元単位で集計したトラフィックが異常閾値１１１を超える送信元のトラフィックは異常トラフィックであると判定できる。
【００２７】
次に、図１に示したトラフィック分析装置１０による分析処理の処理手順について図３を参照しながら説明する。比率差算出部１２１は、トラフィックデータ１１２に基づいて、トラフィックが異常閾値１１１以下の送信元数が全送信元数に占める比率を取得するとともに（ステップＳ１０１）、トラフィックが異常閾値１１１以下の送信元のトラフィックの合計が全トラフィックに占める比率を取得し（ステップＳ１０２）、それらの比率の差を算出する（ステップＳ１０３）。
【００２８】
比率の差が比率差閾値１１３よりも大きければ（ステップＳ１０４肯定）、異常トラフィック除外部１２２は、トラフィックが異常閾値１１１よりも多い送信元のトラフィックを異常トラフィックとして分析対象から除外し（ステップＳ１０５）、トラフィック分析部１２３は、異常トラフィックが分析対象から除外されたトラフィックデータ１１２に基づいて分析を行う（ステップＳ１０６）。一方、比率の差が比率差閾値１１３よりも大きくなければ（ステップＳ１０４否定）、トラフィック分析部１２３は、異常トラフィックの除外が行われていないトラフィックデータ１１２に基づいて分析を行う（ステップＳ１０６）。
【００２９】
このように、本実施例に係るトラフィック分析装置およびトラフィック分析方法では、トラフィックが異常閾値１１１以下の送信元数が全送信元数に占める比率と、トラフィックが異常閾値１１１以下の送信元のトラフィックの合計が全トラフィックに占める比率との差とに基づいて異常トラフィックの除外の要否を判定することとしたので、正常なトラフィックを異常トラフィックと誤って分析対象から除外することを抑止できる。
【実施例２】
【００３０】
本発明の他の実施例について説明する。なお、本実施例では、メッセージ数に基づいてトラフィックの大きさを評価することとし、また、ＩＰ電話において発呼者側から発生するＳＩＰメッセージであるＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ、ＡＣＫ、ＢＹＥ、ＣＡＮＣＥＬ、ＯＰＴＩＯＮＳという６つの種別のメッセージのみを分析対象とすることとする。このため、本実施例では、実施例１において「トラフィック」と記載されている事項を「メッセージ数」と記載することがあり、実施例１において「送信元」と記載されている事項を「発呼者」と記載することがある。
【００３１】
図４は、本実施例に係るトラフィック分析装置２０の構成を示すブロック図である。図４に示すように、トラフィック分析装置２０は、記憶部２１と、制御部２２とを有する。記憶部２１は、例えば、ハードディスク装置や半導体記憶装置であり、ウィンドウサイズ２１１、異常閾値決定パラメータ２１２、トラフィックデータ２１３、比率差閾値２１４、重み２１５、分析結果データ２１６等を記憶する。
【００３２】
トラフィックデータ２１３は、ネットワーク上を流れるＩＰ電話関連のメッセージに関する情報が記録されたデータである。トラフィックデータ２１３には、例えば、メッセージ毎に、発呼者を識別するためのＩＤ、着呼者を識別するためのＩＤ、セッションを識別するためのＩＤ、メッセージの種別、メッセージ長、送信時刻を示すタイムスタンプ等の情報が記録される。なお、トラフィックデータ２１３は、トラフィック分析装置２０がネットワークを経由してアクセス可能な他の装置に記憶されていてもよい。
【００３３】
分析結果データ２１６は、分析結果として生成されるデータである。ウィンドウサイズ２１１、異常閾値決定パラメータ２１２、トラフィックデータ２１３、比率差閾値２１４および重み２１５は、トラフィック分析装置２０の動作を制御するためのパラメータであり、トラフィック分析装置２０の利用者によって設定される。トラフィック分析装置２０の利用者は、これらのパラメータを変更することで、処理時間および確率的正確度を調整することができる。
【００３４】
ウィンドウサイズ２１１は、トラフィックデータ２１３を分類する時間帯の単位を示す。異常閾値決定パラメータ２１２は、図１に示した異常閾値１１１に相当する閾値を決定するために用いられる。比率差閾値２１４は、図１に示した比率差閾値１１３に相当する。重み２１５は、分類によって得られた各サブデータによる分析結果を調整するために用いられる。
【００３５】
制御部２２は、トラフィック分析装置２０を全体制御する制御部であり、分類部２２１と、集計部２２２と、異常閾値決定部２２３と、比率差算出部２２４と、異常トラフィック除外部２２５と、トラフィック分析部２２６と、分析結果調整部２２７とを有する。
【００３６】
分類部２２１は、トラフィックデータ２１３に含まれる各メッセージに関する情報を、メッセージの種別とタイムスタンプに基づいて、複数のサブデータのいずれかへ分類する。例えば、情報を３０分の時間帯毎に分類すべき旨がウィンドウサイズ２１１に設定されており、トラフィックデータ２１３が６時間分の情報を含んでいる場合、分類部２２１は、トラフィックデータ２１３に含まれる各メッセージに関する情報のうち上記の種別に該当するものを、各メッセージの種別とタイムスタンプに基づいて、７２個（１２個の時間帯×６個の種別）のサブデータのいずれかに分類する。
【００３７】
トラフィックデータ２１３は、膨大な量の情報を含むことがあるため、全体を一括して処理しようとすると、集計や分析に要する処理時間が非常に長くなったり、処理負荷が非常に高くなったりするおそれがある。このようにトラフィックデータ２１３に含まれる各メッセージに関する情報を分類し、分類後のサブデータ単位で集計や分析を行うことにより、全体の処理時間の短縮や、処理負荷の軽減が可能になる。
【００３８】
なお、ウィンドウサイズ２１１に設定される時間帯の単位は、短期間に大量の異常トラフィックが発生する場合には短いことが好ましく、持続的に異常トラフィックが発生する場合には長いことが好ましい。
【００３９】
集計部２２２は、分類部２２１による分類後のサブデータ単位で集計処理を実行し、図５に示すような集計データをサブデータ毎に作成する。図５に示す集計データは、セット（１）〜セット（ｎ）というｎ個のセットを含んでおり、各セットは、メッセージ数、発呼者数、メッセージ数の累積比率、発呼者数の累積比率という項目を有する。セット（１）〜セット（ｎ）は、メッセージ数の値に基づいて昇順にソートされている。
【００４０】
メッセージ数は、発呼者単位でメッセージの数を集計した値である。発呼者数は、発呼者単位で集計したメッセージの数がメッセージ数の項目の値と同一の発呼者の数である。メッセージ数の累積比率は、発呼者単位で集計したメッセージの数がメッセージ数の項目の値以下である発呼者数のメッセージの数の合計が全メッセージ数に占める比率である。発呼者数の累積比率は、発呼者単位で集計したメッセージの数がメッセージ数の項目の値以下である発呼者数が全発呼者数に占める比率である。
【００４１】
例えば、図５に示す集計データのセット（２）では、メッセージ数として「Ｎｍ２」が設定され、発呼者数として「Ｎｃ２」が設定され、メッセージ数の累積比率として「Ｒｍ２」が設定され、発呼者数の累積比率として「Ｒｃ２」が設定されている。これは、発呼者単位で集計したメッセージの数が「Ｎｍ２」である発呼者の数が「Ｎｃ２」であり、発呼者単位で集計したメッセージの数が「Ｎｍ２」以下である発呼者数のメッセージの数の合計が全メッセージ数に占める比率が「Ｒｍ２」であり、発呼者単位で集計したメッセージの数が「Ｎｍ２」以下である発呼者数が全発呼者数に占める比率が「Ｒｃ２」であることを示している。
【００４２】
なお、セット毎に値のばらつきが生じたり、セットの数が増大して必要な記憶容量や処理負荷が増大したりすることを回避するため、発呼者単位で集計したメッセージの数については、１００未満を切り下げまたは四捨五入する等して値を丸めて扱うこととしてもよい。
【００４３】
異常閾値決定部２２３は、異常閾値決定パラメータ２１２と、集計部２２２によって作成された集計データとに基づいて、送信元単位で集計した各メッセージ数に対応するトラフィックが正常トラフィックであるか異常トラフィックであるかを判別するための異常閾値を決定する。
【００４４】
異常閾値決定部２２３による異常閾値の決定について、図６を参照しながら、さらに詳細に説明する。異常閾値決定部２２３は、下記の式（１）を用いて、異常閾値ρを決定する。
【００４５】
【数１】
【００４６】
ここで、μは、１発呼者当たりのメッセージ数の平均であり、δは、１発呼者当たりのメッセージ数の標準偏差である。μとδは、それぞれ、下記の式（２）と式（３）を用いて算出される。
【００４７】
【数２】
【００４８】
【数３】
【００４９】
ωは、異常閾値決定パラメータ２１２の値であり、例えば、１、２、３のいずれかの値をとる。
【００５０】
比率差算出部２２４は、メッセージ数が異常閾値ρ以下の発呼者数が全発呼者数に占める比率と、メッセージ数が異常閾値ρ以下の発呼者のメッセージ数の合計が全メッセージ数に占める比率との差を算出する。
【００５１】
比率差算出部２２４による比率の差の算出について、図７を参照しながら、さらに詳細に説明する。メッセージ数の項目の値が異常閾値ρと同一または最も近似するセットがセット（ｔ）である場合、比率差算出部２２４は、集計部２２２により作成された集計データからセット（ｔ）の発呼者数の累計比率の値であるＲｃｔと、メッセージ数の累計比率の値であるＲｍｔとを取得し、これらの差を算出する。
【００５２】
なお、集計部２２２が作成する集計データに発呼者数の累計比率とメッセージ数の累計比率を含めないこととし、比率差算出部２２４が以下の式（４）を用いて比率の差を算出することとしてもよい。
【００５３】
【数４】
【００５４】
異常トラフィック除外部２２５は、比率差算出部２２４によって算出された比率の差と比率差閾値２１４を比較し、比率差算出部２２４によって算出された比率の差の方が大きい場合に、処理対象となっている集計データに対応するサブデータに含まれる異常トラフィックを分析対象外とする。比率差算出部２２４によって算出された比率の差の方が大きい場合に分析対象外とされるトラフィックは、発呼者単位で集計されたメッセージ数が異常閾値ρよりも多い発呼者のトラフィックである。
【００５５】
トラフィック分析部２２６は、処理対象となっている集計データに対応するサブデータに含まれるトラフィックのうち、異常トラフィック除外部２２５によって分析対象外とされたトラフィック以外のトラフィックに基づいて所定の分析を行う。
【００５６】
分析結果調整部２２７は、トラフィック分析部２２６による分析結果を以前の時間帯における同一種別のサブデータについてのトラフィック分析部２２６の分析結果と所定の割で混合することにより、分析結果を調整する。分析結果調整部２２７による調整は、例えば、下記の式（５）を用いて行われる。
【００５７】
【数５】
【００５８】
ここで、ｗは、重み２１５の値であり、０〜１の範囲で設定される。Ｖｐｒｅｖｉｏｕｓは、トラフィック分析部２２６による今回の分析結果であり、Ｖｃｕｒｒｅｎｔは、トラフィック分析部２２６による以前の時間帯における同一種別のサブデータについての分析結果であり、Ｖは、調整後の分析結果である。このように分析結果を混合することにより、時間帯毎の分析結果のばらつきを抑制することができる。
【００５９】
次に、図４に示したトラフィック分析装置２０による分析処理の処理手順について図８および図９を参照しながら説明する。分類部２２１は、トラフィックデータ２１３に含まれる各メッセージに関する情報をウィンドウサイズ２１１に基づいて時間帯毎に分類するとともに（ステップＳ２０１）、種別毎に分類して時間帯毎かつ種別毎のサブデータを作成する（ステップＳ２０２）。
【００６０】
集計部２２２は、未選択の種別を選択するとともに（ステップＳ２０３）、最初の時間帯を選択する（ステップＳ２０４）。そして、集計部２２２は、選択した種別と時間帯に対応するサブデータを選択して（ステップＳ２０５）、集計データを作成する（ステップＳ２０６）。
【００６１】
続いて、異常閾値決定部２２３は、集計部２２２によって生成された集計データから算出した平均および標準偏差と、異常閾値決定パラメータ２１２とに基づいて、異常閾値を決定する（ステップＳ２０７）。そして、集計部２２２によって生成された集計データと、異常閾値決定部２２３によって決定された異常閾値と、比率差閾値２１４とに基づいて、後述するトラフィック分析処理が実行され、選択されている時間帯と種別に対応する分析結果が得られる（ステップＳ２０８）。
【００６２】
そして、分析結果調整部２２７は、今回得られた分析結果を、重み２１５に基づく比率で、同一種別で以前の時間帯に対応する分析結果と混合して調整する（ステップＳ２０９）。ここで、選択されている時間帯が最後の時間帯でなければ（ステップＳ２１０否定）、次の時間帯が選択され（ステップＳ２１１）、ステップＳ２０５から処理手順が再開される。一方、選択されている時間帯が最後の時間帯である場合は（ステップＳ２１０肯定）、全ての種別を選択済みでなければ（ステップＳ２１２否定）、ステップＳ２０３から処理手順が再開され、全ての種別を選択済みであれば（ステップＳ２１２肯定）、分析処理が完了となる。
【００６３】
図９に示すように、図８に示したトラフィック分析処理では、比率差算出部２２４は、集計データに基づいて、メッセージ数が異常閾値以下の発呼者数が全発呼者数に占める比率を取得するとともに（ステップＳ３０１）、メッセージ数が異常閾値以下の発呼者のメッセージ数の合計が全メッセージ数に占める比率を取得し（ステップＳ３０２）、それらの比率の差を算出する（ステップＳ３０３）。
【００６４】
比率の差が比率差閾値２１４よりも大きければ（ステップＳ３０４肯定）、異常トラフィック除外部２２５は、メッセージ数が異常閾値よりも多い発呼者のトラフィックを異常トラフィックとして分析対象から除外し（ステップＳ３０５）、トラフィック分析部２２６は、異常トラフィックが分析対象から除外されたサブデータに基づいて分析を行う（ステップＳ３０６）。一方、比率の差が比率差閾値２１４よりも大きくなければ（ステップＳ３０４否定）、トラフィック分析部２２６は、異常トラフィックの除外が行われていないサブデータに基づいて分析を行う（ステップＳ３０６）。
【００６５】
図１０に示すように、本実施例に係るトラフィック分析装置およびトラフィック分析方法では、異常トラフィックであるか否かを判定するための閾値ρが動的に算出される。そして、この閾値ρに基づいて異常トラフィックを除外することが適切であると判定された場合は、メッセージ数が閾値ρよりも多い発呼者のトラフィックが異常トラフィックとして除外される。そして、異常トラフィックを除外した残りの正常トラフィックを用いて分析が行われ、分析結果は重みｗを用いて調整される。
【実施例３】
【００６６】
上述したトラフィック分析装置１０または２０の制御部１２または２２の機能をソフトウェアとして実装し、これをコンピュータで実行することにより、トラフィック分析装置１０または２０と同等の機能を実現することもできる。以下に、制御部１２の機能をソフトウェアとして実装したトラフィック分析プログラム１０７１を実行するコンピュータの一例を示す。
【００６７】
図１１は、トラフィック分析プログラム１０７１を実行するコンピュータ１０００を示す機能ブロック図である。このコンピュータ１０００は、各種演算処理を実行するＣＰＵ（Central Processing Unit）１０１０と、ユーザからのデータの入力を受け付ける入力装置１０２０と、各種情報を表示するモニタ１０３０と、記録媒体からプログラム等を読み取る媒体読取り装置１０４０と、ネットワークを介して他のコンピュータとの間でデータの授受を行うネットワークインターフェース装置１０５０と、各種情報を一時記憶するＲＡＭ（Random Access Memory）１０６０と、ハードディスク装置１０７０とをバス１０８０で接続して構成される。
【００６８】
そして、ハードディスク装置１０７０には、図１に示した制御部１２と同様の機能を有するトラフィック分析プログラム１０７１と、図１に示した記憶部１１に記憶される各種データに対応するトラフィック分析用データ１０７２とが記憶される。なお、トラフィック分析用データ１０７２を、適宜分散させ、ネットワークを介して接続された他のコンピュータに記憶させておくこともできる。
【００６９】
そして、ＣＰＵ１０１０がトラフィック分析プログラム１０７１をハードディスク装置１０７０から読み出してＲＡＭ１０６０に展開することにより、トラフィック分析プログラム１０７１は、トラフィック分析プロセス１０６１として機能するようになる。そして、トラフィック分析プロセス１０６１は、トラフィック分析用データ１０７２から読み出した情報等を適宜ＲＡＭ１０６０上の自身に割り当てられた領域に展開し、この展開したデータ等に基づいて各種データ処理を実行する。
【００７０】
なお、上記のトラフィック分析プログラム１０７１は、必ずしもハードディスク装置１０７０に格納されている必要はなく、ＣＤ−ＲＯＭ等の記憶媒体に記憶されたこのプログラムを、コンピュータ１０００が読み出して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等を介してコンピュータ１０００に接続される他のコンピュータ（またはサーバ）等にこのプログラムを記憶させておき、コンピュータ１０００がこれらからプログラムを読み出して実行するようにしてもよい。
【符号の説明】
【００７１】
１ インターネット
２ａ〜２ｎ ＳＩＰクライアント
３ ＳＩＰサーバ
４ タップ
１０、２０ トラフィック分析装置
１１、２１ 記憶部
１１１ 異常閾値
１１２、２１３ トラフィックデータ
１１３、２１４ 比率差閾値
１２、２２ 制御部
１２１、２２４ 比率差算出部
１２２、２２５ 異常トラフィック除外部
１２３、２２６ トラフィック分析部
２１１ ウィンドウサイズ
２１２ 異常閾値決定パラメータ
２１５ 重み
２１６ 分析結果データ
２２１ 分類部
２２２ 集計部
２２３ 異常閾値決定部
２２７ 分析結果調整部
１０００ コンピュータ
１０１０ ＣＰＵ
１０２０ 入力装置
１０３０ モニタ
１０４０ 媒体読取り装置
１０５０ ネットワークインターフェース装置
１０６０ ＲＡＭ
１０６１ トラフィック分析プロセス
１０７０ ハードディスク装置
１０７１ トラフィック分析プログラム
１０７２ トラフィック分析用データ
１０８０ バス
【技術分野】
【０００１】
本発明は、トラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムに関する。
【背景技術】
【０００２】
従来より、ネットワークのトラフィックを分析して、通信品質の改善等に利用するための分析データを生成する技術が知られている。トラフィックを分析することにより、例えば、時間帯毎の利用者数の推移、メッセージの種別の割合、エラー率のような様々な情報を分析データとして得ることができる。
【０００３】
また、ネットワークのトラフィックを分析するに当たって、分析の精度向上を目的として、異常トラフィックを分析対象から除外する技術も知られている。例えば、特許文献１では、マルウェア等の影響を除外するため、トラフィック量に基づいて度数分布表を作成し、トラフィック量の多い順に上位から一定割合のデータを削除する技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−３２３１８３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、トラフィックの量や内容は、曜日や時間帯によって変化するのに加えて、何らかのイベントやキャンペーンのような突発的な事由によって大きく変化することもある。このため、上述した従来技術のように、異常トラフィックを一定の基準に基づいて常に除外することとすると、正常なトラフィックまでが分析対象から除外され、分析の精度が低下してしまうことがあった。
【０００６】
本発明は、上記に鑑みてなされたものであって、正常なトラフィックを異常トラフィックとして誤って分析対象から除外することを抑止できるトラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明に係るトラフィック分析装置は、トラフィックデータに基づいてトラフィックを分析する分析部と、前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出部と、前記比率差算出部によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析部による分析の対象外とする除外部とを備えることを特徴とする。
【０００８】
また、本発明に係るトラフィック分析方法は、トラフィックデータに基づいてトラフィックを分析する分析工程と、前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出工程と、前記比率差算出工程によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析工程における分析の対象外とする除外工程とを含むことを特徴とする。
【０００９】
また、本発明に係るトラフィック分析プログラムは、コンピュータを上記のトラフィック分析装置として機能させることを特徴とする。
【発明の効果】
【００１０】
本発明に係るトラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムは、正常なトラフィックを異常トラフィックとして誤って分析対象から除外することを抑止できるという効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】図１は、実施例１に係るトラフィック分析装置の構成を示す図である。
【図２】図２は、異常トラフィックの除外について説明するための図である。
【図３】図３は、実施例１に係るトラフィック分析装置の処理手順を示す図である。
【図４】図４は、実施例２に係るトラフィック分析装置の構成を示す図である。
【図５】図５は、集計データの一例を示す図である。
【図６】図６は、異常閾値の決定について説明するための図である。
【図７】図７は、異常トラフィックの除外について説明するための図である。
【図８】図８は、実施例２に係るトラフィック分析装置の処理手順を示す図である。
【図９】図９は、トラフィック分析処理の処理手順を示す図である。
【図１０】図１０は、実施例２に係るトラフィック分析方法を示す図である。
【図１１】図１１は、トラフィック分析プログラムを実行するコンピュータを示す機能ブロック図である。
【図１２】図１２は、トラフィックデータの取得の仕方の一例を示す図である。
【発明を実施するための形態】
【００１２】
以下に、本発明に係るトラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。
【実施例１】
【００１３】
図１〜３を参照しながら、本実施例に係るトラフィック分析装置およびトラフィック分析方法について説明する。図１は、本実施例に係るトラフィック分析装置１０の構成を示すブロック図である。図１に示すように、トラフィック分析装置１０は、記憶部１１と、制御部１２とを有する。記憶部１１は、例えば、ハードディスク装置や半導体記憶装置であり、異常閾値（第１の閾値）１１１、トラフィックデータ１１２、比率差閾値（第２の閾値）１１３等を記憶する。
【００１４】
トラフィックデータ１１２は、ネットワーク上を流れるメッセージ（パケットやフレームともいう）に関する情報が記録されたデータである。トラフィックデータ１１２には、例えば、ネットワーク上を流れるメッセージ毎に、送信元アドレス、送信先アドレス、メッセージの種別、メッセージ長、送信時刻を示すタイムスタンプ等の情報が記録される。なお、トラフィックデータ１１２は、トラフィック分析装置１０がネットワークを経由してアクセス可能な他の装置に記憶されていてもよい。
【００１５】
トラフィックデータ１１２の取得の仕方の一例を図１２に示す。図１２に示すネットワーク環境では、ＳＩＰ（Session Initiation Protocol）クライアント２ａ〜２ｎとＳＩＰサーバ３とがインターネット１を介して接続されている。ＳＩＰクライアント２ａ〜２ｎは、ＩＰ電話の発呼者または着呼者となる端末である。ＳＩＰサーバ３は、ＩＰ電話の発呼者と着呼者との間にセッションを確立させるとともに、発呼者と着呼者との間でやりとりされる通話用のメッセージを中継する。
【００１６】
タップ４は、ＳＩＰクライアント２ａ〜２ｎとＳＩＰサーバ３とを接続する経路上に設けられており、通過するメッセージに含まれる項目のうち分析に必要な項目または通過するメッセージそのものをトラフィックデータ１１２として記録する。トラフィックデータ１１２には、セッションの確立／切断や通話のためのメッセージに関する情報がメッセージ毎に記録される。トラフィックデータ１１２は、ネットワークや記録媒体等を介してトラフィック分析装置１０に転送される。
【００１７】
図１の説明に戻って、異常閾値１１１と比率差閾値１１３は、異常トラフィックの除外を制御するためのパラメータであり、トラフィック分析装置１０の利用者によって設定される。異常閾値１１１は、送信元単位で集計したトラフィックが正常トラフィックであるか異常トラフィックであるかを判別するために用いられる。比率差閾値１１３は、異常閾値１１１に基づいて異常トラフィックを除外することが適切であるか否かを判定するために用いられる。
【００１８】
ここで、異常トラフィックとは、悪意者やマルウェアによる攻撃、機器の障害やプログラムのバグ、利用者の操作ミス等によって生じる多大なトラッフィックであり、トラフィックの分析の精度を低下させるものをいう。また、送信元とは、送信元アドレス等によって識別される個別の装置であってもよいし、送信元アドレスの所定部分等によって識別されるサブネットワークであってもよい。
【００１９】
なお、異常閾値１１１と比率差閾値１１３は、必ずしも記憶部１１に記憶させておく必要はなく、必要となる度に図示しないユーザインターフェースを用いて利用者が入力することとしてもよいし、何らかのパラメータを用いて動的に算出することとしてもよい。
【００２０】
制御部１２は、トラフィック分析装置１０を全体制御する制御部であり、比率差算出部１２１と、異常トラフィック除外部１２２と、トラフィック分析部１２３とを有する。比率差算出部１２１は、トラフィックデータ１１２に記録されているメッセージ数やメッセージのデータ量等のトラフィックを送信元単位で集計し、集計されたトラフィックが異常閾値１１１以下の送信元数が全送信元数に占める比率と、集計されたトラフィックが異常閾値１１１以下の送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する。
【００２１】
異常トラフィック除外部１２２は、比率差算出部１２１によって算出された比率の差と比率差閾値１１３を比較し、比率差算出部１２１によって算出された比率の差の方が大きい場合に、トラフィックデータ１１２に含まれる異常トラフィックを分析対象外とする。比率差算出部１２１によって算出された比率の差の方が大きい場合に分析対象外とされるトラフィックは、集計されたトラフィックが異常閾値１１１よりも多い送信元のトラフィックである。
【００２２】
トラフィック分析部１２３は、トラフィックデータ１１２に記録されているトラフィックのうち、異常トラフィック除外部１２２によって分析対象外とされたトラフィック以外のトラフィックに基づいて所定の分析を行う。トラフィック分析部１２３の分析の結果として、例えば、時間帯毎の利用者数の推移、メッセージの種別の割合、エラー率のような様々な情報や、他の分析装置が用いるトラフィックモデルデータが生成される。
【００２３】
トラフィック分析装置１０における異常トラフィックの除外について図２を参照しながらさらに詳しく説明する。図２に示すグラフは、トラフィックデータ１１２に記録されているトラフィックを送信元単位で集計した結果に基づいて、１送信元当たりのトラフィックと送信元数の累積比率の関係と、１送信元当たりのトラフィックとトラフィックの累積比率の関係とを表したものである。
【００２４】
図２に示すグラフにおいて、ρは、適切に設定された異常閾値１１１である。また、Ｒ１は、集計されたトラフィックがρ以下の送信元数が全送信元数に占める比率を表しており、Ｒ２は、集計されたトラフィックがρ以下の送信元のトラフィックの合計が全トラフィックに占める比率を表している。一般に、ネットワーク環境では、全トラフィックのかなり多くの部分が比較的少数の送信元のトラフィックによって占められる傾向があるため、Ｒ１はＲ２よりも大きな値となる。
【００２５】
そして、異常トラフィックは少数の送信元による多大なトラフィックであるため、トラフィックデータ１１２に異常トラフィックが含まれる場合は、全トラフィックのより多くの部分がより少数の送信元のトラフィックによって占められる傾向が強くなり、Ｒ１とＲ２の差が平常時よりも大きくなる。一方、特定の曜日や時間帯または特定のイベントがあった際に多くの送信者のトラフィックがρを超えた場合は、全トラフィックのより多くの部分がより少数の送信元のトラフィックによって占められる傾向はあまり強くならないため、Ｒ１とＲ２の差はそれほど変化しない。
【００２６】
したがって、Ｒ１とＲ２の差を、適切に設定された比率差閾値１１３と比較することにより、トラフィックデータ１１２に異常トラフィックが含まれるか否かを判定できる。すなわち、Ｒ１とＲ２の差が比率差閾値１１３よりも小さければ、送信元単位で集計したトラフィックが異常閾値１１１を超える送信元があっても、それらの送信元のトラフィックは正常であると判定できる。一方、Ｒ１とＲ２の差が比率差閾値１１３よりも大きければ、送信元単位で集計したトラフィックが異常閾値１１１を超える送信元のトラフィックは異常トラフィックであると判定できる。
【００２７】
次に、図１に示したトラフィック分析装置１０による分析処理の処理手順について図３を参照しながら説明する。比率差算出部１２１は、トラフィックデータ１１２に基づいて、トラフィックが異常閾値１１１以下の送信元数が全送信元数に占める比率を取得するとともに（ステップＳ１０１）、トラフィックが異常閾値１１１以下の送信元のトラフィックの合計が全トラフィックに占める比率を取得し（ステップＳ１０２）、それらの比率の差を算出する（ステップＳ１０３）。
【００２８】
比率の差が比率差閾値１１３よりも大きければ（ステップＳ１０４肯定）、異常トラフィック除外部１２２は、トラフィックが異常閾値１１１よりも多い送信元のトラフィックを異常トラフィックとして分析対象から除外し（ステップＳ１０５）、トラフィック分析部１２３は、異常トラフィックが分析対象から除外されたトラフィックデータ１１２に基づいて分析を行う（ステップＳ１０６）。一方、比率の差が比率差閾値１１３よりも大きくなければ（ステップＳ１０４否定）、トラフィック分析部１２３は、異常トラフィックの除外が行われていないトラフィックデータ１１２に基づいて分析を行う（ステップＳ１０６）。
【００２９】
このように、本実施例に係るトラフィック分析装置およびトラフィック分析方法では、トラフィックが異常閾値１１１以下の送信元数が全送信元数に占める比率と、トラフィックが異常閾値１１１以下の送信元のトラフィックの合計が全トラフィックに占める比率との差とに基づいて異常トラフィックの除外の要否を判定することとしたので、正常なトラフィックを異常トラフィックと誤って分析対象から除外することを抑止できる。
【実施例２】
【００３０】
本発明の他の実施例について説明する。なお、本実施例では、メッセージ数に基づいてトラフィックの大きさを評価することとし、また、ＩＰ電話において発呼者側から発生するＳＩＰメッセージであるＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ、ＡＣＫ、ＢＹＥ、ＣＡＮＣＥＬ、ＯＰＴＩＯＮＳという６つの種別のメッセージのみを分析対象とすることとする。このため、本実施例では、実施例１において「トラフィック」と記載されている事項を「メッセージ数」と記載することがあり、実施例１において「送信元」と記載されている事項を「発呼者」と記載することがある。
【００３１】
図４は、本実施例に係るトラフィック分析装置２０の構成を示すブロック図である。図４に示すように、トラフィック分析装置２０は、記憶部２１と、制御部２２とを有する。記憶部２１は、例えば、ハードディスク装置や半導体記憶装置であり、ウィンドウサイズ２１１、異常閾値決定パラメータ２１２、トラフィックデータ２１３、比率差閾値２１４、重み２１５、分析結果データ２１６等を記憶する。
【００３２】
トラフィックデータ２１３は、ネットワーク上を流れるＩＰ電話関連のメッセージに関する情報が記録されたデータである。トラフィックデータ２１３には、例えば、メッセージ毎に、発呼者を識別するためのＩＤ、着呼者を識別するためのＩＤ、セッションを識別するためのＩＤ、メッセージの種別、メッセージ長、送信時刻を示すタイムスタンプ等の情報が記録される。なお、トラフィックデータ２１３は、トラフィック分析装置２０がネットワークを経由してアクセス可能な他の装置に記憶されていてもよい。
【００３３】
分析結果データ２１６は、分析結果として生成されるデータである。ウィンドウサイズ２１１、異常閾値決定パラメータ２１２、トラフィックデータ２１３、比率差閾値２１４および重み２１５は、トラフィック分析装置２０の動作を制御するためのパラメータであり、トラフィック分析装置２０の利用者によって設定される。トラフィック分析装置２０の利用者は、これらのパラメータを変更することで、処理時間および確率的正確度を調整することができる。
【００３４】
ウィンドウサイズ２１１は、トラフィックデータ２１３を分類する時間帯の単位を示す。異常閾値決定パラメータ２１２は、図１に示した異常閾値１１１に相当する閾値を決定するために用いられる。比率差閾値２１４は、図１に示した比率差閾値１１３に相当する。重み２１５は、分類によって得られた各サブデータによる分析結果を調整するために用いられる。
【００３５】
制御部２２は、トラフィック分析装置２０を全体制御する制御部であり、分類部２２１と、集計部２２２と、異常閾値決定部２２３と、比率差算出部２２４と、異常トラフィック除外部２２５と、トラフィック分析部２２６と、分析結果調整部２２７とを有する。
【００３６】
分類部２２１は、トラフィックデータ２１３に含まれる各メッセージに関する情報を、メッセージの種別とタイムスタンプに基づいて、複数のサブデータのいずれかへ分類する。例えば、情報を３０分の時間帯毎に分類すべき旨がウィンドウサイズ２１１に設定されており、トラフィックデータ２１３が６時間分の情報を含んでいる場合、分類部２２１は、トラフィックデータ２１３に含まれる各メッセージに関する情報のうち上記の種別に該当するものを、各メッセージの種別とタイムスタンプに基づいて、７２個（１２個の時間帯×６個の種別）のサブデータのいずれかに分類する。
【００３７】
トラフィックデータ２１３は、膨大な量の情報を含むことがあるため、全体を一括して処理しようとすると、集計や分析に要する処理時間が非常に長くなったり、処理負荷が非常に高くなったりするおそれがある。このようにトラフィックデータ２１３に含まれる各メッセージに関する情報を分類し、分類後のサブデータ単位で集計や分析を行うことにより、全体の処理時間の短縮や、処理負荷の軽減が可能になる。
【００３８】
なお、ウィンドウサイズ２１１に設定される時間帯の単位は、短期間に大量の異常トラフィックが発生する場合には短いことが好ましく、持続的に異常トラフィックが発生する場合には長いことが好ましい。
【００３９】
集計部２２２は、分類部２２１による分類後のサブデータ単位で集計処理を実行し、図５に示すような集計データをサブデータ毎に作成する。図５に示す集計データは、セット（１）〜セット（ｎ）というｎ個のセットを含んでおり、各セットは、メッセージ数、発呼者数、メッセージ数の累積比率、発呼者数の累積比率という項目を有する。セット（１）〜セット（ｎ）は、メッセージ数の値に基づいて昇順にソートされている。
【００４０】
メッセージ数は、発呼者単位でメッセージの数を集計した値である。発呼者数は、発呼者単位で集計したメッセージの数がメッセージ数の項目の値と同一の発呼者の数である。メッセージ数の累積比率は、発呼者単位で集計したメッセージの数がメッセージ数の項目の値以下である発呼者数のメッセージの数の合計が全メッセージ数に占める比率である。発呼者数の累積比率は、発呼者単位で集計したメッセージの数がメッセージ数の項目の値以下である発呼者数が全発呼者数に占める比率である。
【００４１】
例えば、図５に示す集計データのセット（２）では、メッセージ数として「Ｎｍ２」が設定され、発呼者数として「Ｎｃ２」が設定され、メッセージ数の累積比率として「Ｒｍ２」が設定され、発呼者数の累積比率として「Ｒｃ２」が設定されている。これは、発呼者単位で集計したメッセージの数が「Ｎｍ２」である発呼者の数が「Ｎｃ２」であり、発呼者単位で集計したメッセージの数が「Ｎｍ２」以下である発呼者数のメッセージの数の合計が全メッセージ数に占める比率が「Ｒｍ２」であり、発呼者単位で集計したメッセージの数が「Ｎｍ２」以下である発呼者数が全発呼者数に占める比率が「Ｒｃ２」であることを示している。
【００４２】
なお、セット毎に値のばらつきが生じたり、セットの数が増大して必要な記憶容量や処理負荷が増大したりすることを回避するため、発呼者単位で集計したメッセージの数については、１００未満を切り下げまたは四捨五入する等して値を丸めて扱うこととしてもよい。
【００４３】
異常閾値決定部２２３は、異常閾値決定パラメータ２１２と、集計部２２２によって作成された集計データとに基づいて、送信元単位で集計した各メッセージ数に対応するトラフィックが正常トラフィックであるか異常トラフィックであるかを判別するための異常閾値を決定する。
【００４４】
異常閾値決定部２２３による異常閾値の決定について、図６を参照しながら、さらに詳細に説明する。異常閾値決定部２２３は、下記の式（１）を用いて、異常閾値ρを決定する。
【００４５】
【数１】
【００４６】
ここで、μは、１発呼者当たりのメッセージ数の平均であり、δは、１発呼者当たりのメッセージ数の標準偏差である。μとδは、それぞれ、下記の式（２）と式（３）を用いて算出される。
【００４７】
【数２】
【００４８】
【数３】
【００４９】
ωは、異常閾値決定パラメータ２１２の値であり、例えば、１、２、３のいずれかの値をとる。
【００５０】
比率差算出部２２４は、メッセージ数が異常閾値ρ以下の発呼者数が全発呼者数に占める比率と、メッセージ数が異常閾値ρ以下の発呼者のメッセージ数の合計が全メッセージ数に占める比率との差を算出する。
【００５１】
比率差算出部２２４による比率の差の算出について、図７を参照しながら、さらに詳細に説明する。メッセージ数の項目の値が異常閾値ρと同一または最も近似するセットがセット（ｔ）である場合、比率差算出部２２４は、集計部２２２により作成された集計データからセット（ｔ）の発呼者数の累計比率の値であるＲｃｔと、メッセージ数の累計比率の値であるＲｍｔとを取得し、これらの差を算出する。
【００５２】
なお、集計部２２２が作成する集計データに発呼者数の累計比率とメッセージ数の累計比率を含めないこととし、比率差算出部２２４が以下の式（４）を用いて比率の差を算出することとしてもよい。
【００５３】
【数４】
【００５４】
異常トラフィック除外部２２５は、比率差算出部２２４によって算出された比率の差と比率差閾値２１４を比較し、比率差算出部２２４によって算出された比率の差の方が大きい場合に、処理対象となっている集計データに対応するサブデータに含まれる異常トラフィックを分析対象外とする。比率差算出部２２４によって算出された比率の差の方が大きい場合に分析対象外とされるトラフィックは、発呼者単位で集計されたメッセージ数が異常閾値ρよりも多い発呼者のトラフィックである。
【００５５】
トラフィック分析部２２６は、処理対象となっている集計データに対応するサブデータに含まれるトラフィックのうち、異常トラフィック除外部２２５によって分析対象外とされたトラフィック以外のトラフィックに基づいて所定の分析を行う。
【００５６】
分析結果調整部２２７は、トラフィック分析部２２６による分析結果を以前の時間帯における同一種別のサブデータについてのトラフィック分析部２２６の分析結果と所定の割で混合することにより、分析結果を調整する。分析結果調整部２２７による調整は、例えば、下記の式（５）を用いて行われる。
【００５７】
【数５】
【００５８】
ここで、ｗは、重み２１５の値であり、０〜１の範囲で設定される。Ｖｐｒｅｖｉｏｕｓは、トラフィック分析部２２６による今回の分析結果であり、Ｖｃｕｒｒｅｎｔは、トラフィック分析部２２６による以前の時間帯における同一種別のサブデータについての分析結果であり、Ｖは、調整後の分析結果である。このように分析結果を混合することにより、時間帯毎の分析結果のばらつきを抑制することができる。
【００５９】
次に、図４に示したトラフィック分析装置２０による分析処理の処理手順について図８および図９を参照しながら説明する。分類部２２１は、トラフィックデータ２１３に含まれる各メッセージに関する情報をウィンドウサイズ２１１に基づいて時間帯毎に分類するとともに（ステップＳ２０１）、種別毎に分類して時間帯毎かつ種別毎のサブデータを作成する（ステップＳ２０２）。
【００６０】
集計部２２２は、未選択の種別を選択するとともに（ステップＳ２０３）、最初の時間帯を選択する（ステップＳ２０４）。そして、集計部２２２は、選択した種別と時間帯に対応するサブデータを選択して（ステップＳ２０５）、集計データを作成する（ステップＳ２０６）。
【００６１】
続いて、異常閾値決定部２２３は、集計部２２２によって生成された集計データから算出した平均および標準偏差と、異常閾値決定パラメータ２１２とに基づいて、異常閾値を決定する（ステップＳ２０７）。そして、集計部２２２によって生成された集計データと、異常閾値決定部２２３によって決定された異常閾値と、比率差閾値２１４とに基づいて、後述するトラフィック分析処理が実行され、選択されている時間帯と種別に対応する分析結果が得られる（ステップＳ２０８）。
【００６２】
そして、分析結果調整部２２７は、今回得られた分析結果を、重み２１５に基づく比率で、同一種別で以前の時間帯に対応する分析結果と混合して調整する（ステップＳ２０９）。ここで、選択されている時間帯が最後の時間帯でなければ（ステップＳ２１０否定）、次の時間帯が選択され（ステップＳ２１１）、ステップＳ２０５から処理手順が再開される。一方、選択されている時間帯が最後の時間帯である場合は（ステップＳ２１０肯定）、全ての種別を選択済みでなければ（ステップＳ２１２否定）、ステップＳ２０３から処理手順が再開され、全ての種別を選択済みであれば（ステップＳ２１２肯定）、分析処理が完了となる。
【００６３】
図９に示すように、図８に示したトラフィック分析処理では、比率差算出部２２４は、集計データに基づいて、メッセージ数が異常閾値以下の発呼者数が全発呼者数に占める比率を取得するとともに（ステップＳ３０１）、メッセージ数が異常閾値以下の発呼者のメッセージ数の合計が全メッセージ数に占める比率を取得し（ステップＳ３０２）、それらの比率の差を算出する（ステップＳ３０３）。
【００６４】
比率の差が比率差閾値２１４よりも大きければ（ステップＳ３０４肯定）、異常トラフィック除外部２２５は、メッセージ数が異常閾値よりも多い発呼者のトラフィックを異常トラフィックとして分析対象から除外し（ステップＳ３０５）、トラフィック分析部２２６は、異常トラフィックが分析対象から除外されたサブデータに基づいて分析を行う（ステップＳ３０６）。一方、比率の差が比率差閾値２１４よりも大きくなければ（ステップＳ３０４否定）、トラフィック分析部２２６は、異常トラフィックの除外が行われていないサブデータに基づいて分析を行う（ステップＳ３０６）。
【００６５】
図１０に示すように、本実施例に係るトラフィック分析装置およびトラフィック分析方法では、異常トラフィックであるか否かを判定するための閾値ρが動的に算出される。そして、この閾値ρに基づいて異常トラフィックを除外することが適切であると判定された場合は、メッセージ数が閾値ρよりも多い発呼者のトラフィックが異常トラフィックとして除外される。そして、異常トラフィックを除外した残りの正常トラフィックを用いて分析が行われ、分析結果は重みｗを用いて調整される。
【実施例３】
【００６６】
上述したトラフィック分析装置１０または２０の制御部１２または２２の機能をソフトウェアとして実装し、これをコンピュータで実行することにより、トラフィック分析装置１０または２０と同等の機能を実現することもできる。以下に、制御部１２の機能をソフトウェアとして実装したトラフィック分析プログラム１０７１を実行するコンピュータの一例を示す。
【００６７】
図１１は、トラフィック分析プログラム１０７１を実行するコンピュータ１０００を示す機能ブロック図である。このコンピュータ１０００は、各種演算処理を実行するＣＰＵ（Central Processing Unit）１０１０と、ユーザからのデータの入力を受け付ける入力装置１０２０と、各種情報を表示するモニタ１０３０と、記録媒体からプログラム等を読み取る媒体読取り装置１０４０と、ネットワークを介して他のコンピュータとの間でデータの授受を行うネットワークインターフェース装置１０５０と、各種情報を一時記憶するＲＡＭ（Random Access Memory）１０６０と、ハードディスク装置１０７０とをバス１０８０で接続して構成される。
【００６８】
そして、ハードディスク装置１０７０には、図１に示した制御部１２と同様の機能を有するトラフィック分析プログラム１０７１と、図１に示した記憶部１１に記憶される各種データに対応するトラフィック分析用データ１０７２とが記憶される。なお、トラフィック分析用データ１０７２を、適宜分散させ、ネットワークを介して接続された他のコンピュータに記憶させておくこともできる。
【００６９】
そして、ＣＰＵ１０１０がトラフィック分析プログラム１０７１をハードディスク装置１０７０から読み出してＲＡＭ１０６０に展開することにより、トラフィック分析プログラム１０７１は、トラフィック分析プロセス１０６１として機能するようになる。そして、トラフィック分析プロセス１０６１は、トラフィック分析用データ１０７２から読み出した情報等を適宜ＲＡＭ１０６０上の自身に割り当てられた領域に展開し、この展開したデータ等に基づいて各種データ処理を実行する。
【００７０】
なお、上記のトラフィック分析プログラム１０７１は、必ずしもハードディスク装置１０７０に格納されている必要はなく、ＣＤ−ＲＯＭ等の記憶媒体に記憶されたこのプログラムを、コンピュータ１０００が読み出して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等を介してコンピュータ１０００に接続される他のコンピュータ（またはサーバ）等にこのプログラムを記憶させておき、コンピュータ１０００がこれらからプログラムを読み出して実行するようにしてもよい。
【符号の説明】
【００７１】
１ インターネット
２ａ〜２ｎ ＳＩＰクライアント
３ ＳＩＰサーバ
４ タップ
１０、２０ トラフィック分析装置
１１、２１ 記憶部
１１１ 異常閾値
１１２、２１３ トラフィックデータ
１１３、２１４ 比率差閾値
１２、２２ 制御部
１２１、２２４ 比率差算出部
１２２、２２５ 異常トラフィック除外部
１２３、２２６ トラフィック分析部
２１１ ウィンドウサイズ
２１２ 異常閾値決定パラメータ
２１５ 重み
２１６ 分析結果データ
２２１ 分類部
２２２ 集計部
２２３ 異常閾値決定部
２２７ 分析結果調整部
１０００ コンピュータ
１０１０ ＣＰＵ
１０２０ 入力装置
１０３０ モニタ
１０４０ 媒体読取り装置
１０５０ ネットワークインターフェース装置
１０６０ ＲＡＭ
１０６１ トラフィック分析プロセス
１０７０ ハードディスク装置
１０７１ トラフィック分析プログラム
１０７２ トラフィック分析用データ
１０８０ バス
【特許請求の範囲】
【請求項１】
トラフィックデータに基づいてトラフィックを分析する分析部と、
前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出部と、
前記比率差算出部によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析部による分析の対象外とする除外部と
を備えることを特徴とするトラフィック分析装置。
【請求項２】
前記トラフィックデータを時間帯毎に分類する分類部をさらに備え、
前記分析部、前記比率差算出部および前記除外部は、前記分類部による分類毎に処理を実行することを特徴とする請求項１に記載のトラフィック分析装置。
【請求項３】
前記分類部は、前記トラフィックデータをさらにメッセージの種別毎に分類することを特徴とする請求項２に記載のトラフィック分析装置。
【請求項４】
異なる時間帯についての前記分析部の分析結果を所定の割合で混合して調整する調整部をさらに備えることを特徴とする請求項２または３に記載のトラフィック分析装置。
【請求項５】
前記第１の閾値を、前記集計値の平均値と標準偏差値に基づいて決定する閾値決定部をさらに備えることを特徴とする請求項１〜４のいずれか１つに記載のトラフィック分析装置。
【請求項６】
トラフィックデータに基づいてトラフィックを分析する分析工程と、
前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出工程と、
前記比率差算出工程によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析工程における分析の対象外とする除外工程と
を含むことを特徴とするトラフィック分析方法。
【請求項７】
コンピュータを請求項１〜５のいずれか１つに記載のトラフィック分析装置として機能させることを特徴とするトラフィック分析プログラム。
【請求項１】
トラフィックデータに基づいてトラフィックを分析する分析部と、
前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出部と、
前記比率差算出部によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析部による分析の対象外とする除外部と
を備えることを特徴とするトラフィック分析装置。
【請求項２】
前記トラフィックデータを時間帯毎に分類する分類部をさらに備え、
前記分析部、前記比率差算出部および前記除外部は、前記分類部による分類毎に処理を実行することを特徴とする請求項１に記載のトラフィック分析装置。
【請求項３】
前記分類部は、前記トラフィックデータをさらにメッセージの種別毎に分類することを特徴とする請求項２に記載のトラフィック分析装置。
【請求項４】
異なる時間帯についての前記分析部の分析結果を所定の割合で混合して調整する調整部をさらに備えることを特徴とする請求項２または３に記載のトラフィック分析装置。
【請求項５】
前記第１の閾値を、前記集計値の平均値と標準偏差値に基づいて決定する閾値決定部をさらに備えることを特徴とする請求項１〜４のいずれか１つに記載のトラフィック分析装置。
【請求項６】
トラフィックデータに基づいてトラフィックを分析する分析工程と、
前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出工程と、
前記比率差算出工程によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析工程における分析の対象外とする除外工程と
を含むことを特徴とするトラフィック分析方法。
【請求項７】
コンピュータを請求項１〜５のいずれか１つに記載のトラフィック分析装置として機能させることを特徴とするトラフィック分析プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２０１１−１４６８０８（Ｐ２０１１−１４６８０８Ａ）
【公開日】平成２３年７月２８日（２０１１．７．２８）
【国際特許分類】
【出願番号】特願２０１０−４２９４（Ｐ２０１０−４２９４）
【出願日】平成２２年１月１２日（２０１０．１．１２）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２３年７月２８日（２０１１．７．２８）
【国際特許分類】
【出願日】平成２２年１月１２日（２０１０．１．１２）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]