フロー分類方法、システム、およびプログラム
【課題】通信網上のトラヒックに含まれる各種フローをより高い精度で分類する。
【解決手段】一定期間内に発生した複数のフローを１つの同時フローとして統合し、さらに１つの同時フローに含まれる、一定の単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとにフロー特徴量を計算して、これらフロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算し、既存のサービスカテゴリとの類似性を判定する。また、サービスカテゴリごとの類似性のうち、最も高い類似性を示す類似度が有意範囲に含まれない場合には、新たなサービスクラスに分類する。
【解決手段】一定期間内に発生した複数のフローを１つの同時フローとして統合し、さらに１つの同時フローに含まれる、一定の単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとにフロー特徴量を計算して、これらフロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算し、既存のサービスカテゴリとの類似性を判定する。また、サービスカテゴリごとの類似性のうち、最も高い類似性を示す類似度が有意範囲に含まれない場合には、新たなサービスクラスに分類する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信管理技術に関し、特にデータ通信トラヒックをアプリケーション種別に基づいて分類するフロー分類技術に関する。
【背景技術】
【０００２】
近年における通信サービスの充実化やこのような通信サービスを利用するアプリケーションの発展に伴って、通信網上を流れるトラヒックも多様化かつ複雑化している。また、アプリケーションの種別ごとに、必要となる通信設備も異なる。このため、通信サービス事業者では、これらトラヒック需要に対応して、高い品質で通信サービスを提供するためには、需要の高いアプリケーション種別に応じた通信設備を、適切なタイミングで増減設する必要がある。
【０００３】
従来より、特定のビット列など、個々の種別のアプリケーションが有する動作上の特徴に注目し、その特徴付けられる動作の発生を監視することで、アプリケーションに関するトラヒックを検出する技術がある（以下、従来技術１という：例えば非特許文献１など参照）。この技術は、主にＰ２Ｐ型アプリケーションより送出されるトラヒックを検出することに適用されている。
【０００４】
また、通信網上を流れるトラヒックをフローと呼ばれるトラヒックの単位ごとに、例えばパケットサイズの平均等、パケットのヘッダ情報から得られる統計量からなる特徴量を用いて、データマイニング処理により分析することで、特定のフローを検出する技術が提案されている。この技術は、複数の特徴量を１つの識別器で分析する複数識別器の統合手法の一手段である、フィーチャーレベルのマルチモーダル手法がよく用いられている。
【０００５】
また、複数識別器の統合手法は、複数の特徴量それぞれで各アプリケーションとの類似度を求めたあと、類似度から再び識別器にかけることにより高精度な分析を実施するスコアレベルのマルチモーダル手法や、新たなサービスが発生した際にもそれが新たなサービスであることを識別する手法との組み合わせ(以下、従来技術２という：例えば非特許文献２など参照)が提案されている。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】八木,和泉,角田,根本、「ネットワークアプリケーション弁別のためのペイロード長の遷移パタンの評価方法に関する一検討」、信学技報,TM2007-34、社団法人電子情報通信学会、2007-11
【非特許文献２】市野、山下、星、小松、竹下、辻野、岩下、吉野、「Internet Traffic Classification Using Score Level Fusion of Multiple Classifier」、ICIS2010, IEEE, 2010-08
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、このような従来技術では、いずれの技術もフローの分類について十分な分類精度が得られないという問題点があった。
例えば、従来技術１では、ソフトウェアの動作を基に識別を行うため、ソフトウェアのバージョンアップや新しいソフトウェアにより同じアプリケーションでも動作が異なるケースに対応することが難しい。また、通信内容を基にアプリケーションを判別する方法はプライバシーの問題もある。
また、従来技術２では、ソフトウェアの変更により受ける影響は小さいものの、そもそも分類精度が低いという問題点があった。
【０００８】
本発明はこのような課題を解決するためのものであり、通信網上のトラヒックに含まれる各種フローをより高い精度で分類できるフロー分類技術を提供することを目的としている。
【課題を解決するための手段】
【０００９】
このような目的を達成するために、本発明にかかるフロー分類方法は、通信網から収集した入力パケット列に基づいて通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいてフローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムで用いられるフロー分類方法であって、特徴量データベースが、サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴ベクトルを記憶する記憶ステップと、トラヒックデータ収集部が、入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、同時フローごとにフロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算するトラヒックデータ収集ステップと、分類処理部が、各同時フローについて、サービスカテゴリごとに、当該同時フローに関するフロー特徴ベクトルと当該サービスカテゴリの代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、最高類似度が有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理ステップとを備えている。
【００１０】
この際、トラヒックデータ収集ステップで、時系列データを線形予測分析を行うことにより同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数からフロー特徴ベクトルを生成するようにしてもよい。
【００１１】
また、記憶ステップで、代表特徴ベクトルとして、当該サービスカテゴリに含まれる短時間フローのフロー特徴量をクラスタリングして得られたクラスタごとに、当該クラスタに含まれるフロー特徴量から計算した代表ベクトルを記憶し、分類処理ステップで、代表特徴ベクトルを構成する代表値ごとに、各フロー特徴ベクトルとの差分の最小値を求め、これら最小差分を統計処理することにより類似度を計算するようにしてもよい。
【００１２】
また、記憶ステップで、サービスカテゴリごとに、複数の異なる特徴種別のそれぞれについて代表特徴ベクトルを記憶し、トラヒックデータ収集ステップで、短時間フローごとに、特徴種別のそれぞれについてフロー特徴ベクトルを計算し、分類処理ステップで、同時フローとサービスカテゴリとの類似度に代えて、特徴種別ごとに種別類似度を計算し、これら種別類似度を統計処理することにより類似度を計算するようにしてもよい。
【００１３】
また、サービスカテゴリ作成部が、対応するアプリケーションがパケットごとにそれぞれ既知である教師パケット列について、入力パケット列と同様にして生成した短時間フローごとにフロー特徴量を計算し、アプリケーションのうちから選択した２つの異なるアプリケーションごとに、これらアプリケーションに属するフロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比が判定しきい値より小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリをそれぞれ作成するサービスカテゴリ作成ステップと、特徴量計算部が、サービスカテゴリ作成ステップで作成したサービスカテゴリごとに、当該サービスカテゴリに分類されたアプリケーションに属するフロー特徴量から、当該サービスカテゴリに分類されるフローの特徴を示すフロー特徴量を計算して、特徴量データベースへ保存する特徴量計算ステップとをさらに備えてもよい。
【００１４】
この際、特徴量計算ステップで、当該サービスカテゴリに分類されたアプリケーションに属するフロー特徴量をクラスタリングし、得られたクラスタごとに、当該クラスタに属するフロー特徴量からなる時系列データに基づき、これらフロー特徴量の時間的変化の特徴を示す特徴ベクトルを計算し、得られた特徴ベクトルを当該サービスクラスの代表特徴ベクトルとして特徴量データベースへ保存するようにしてもよい。
【００１５】
また、本発明にかかるフロー分類システムは、通信網から収集した入力パケット列に基づいて通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいてフローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムであって、サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴ベクトルを記憶する特徴量データベースと、入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、同時フローごとにフロー特徴量の時間的変化を示す特徴ベクトルを計算するトラヒックデータ収集部と、各同時フローについて、サービスカテゴリごとに、当該同時フローに関するフロー特徴ベクトルと当該サービスカテゴリの代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、最高類似度が有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理部とを備えている。
【００１６】
この際、トラヒックデータ収集部で、時系列データを線形予測分析を行うことにより同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数からフロー特徴ベクトルを生成するようにしてもよい。
【００１７】
また、本発明にかかるプログラムは、コンピュータに、前述したいずれか１つのフロー分類方法の各ステップを実行させるためのプログラムである。
【発明の効果】
【００１８】
アプリケーションには同時フローの時間軸上での変動に特徴があるが、フロー特徴量そのものを利用した場合、時間軸上での変動情報を扱うことはできない。本発明によれば、同時フローの特徴量に関する時間軸上での緩やかな変動を考慮してフローの類似性を判定することができる。このため、フロー特徴量そのものに基づき類似性を判定する場合と比較して、トラヒックの時間的な変動を利用した識別を行うことができる。
したがって、本実施の形態をデータ通信サービスのネットワーク管理に適用すれば、映像フローのような品質条件が厳しいフローに対して優先制御を行う等のトラヒック制御を用いることで、同じ設備量でよりユーザ満足度の高いネットワークを提供することができる。また、アプリケーションごとのトラヒック需要量を正確に把握できるため、高精度なトラヒック需要の予測を行うことができ、結果として、ユーザ満足度の更なる向上を実現することが可能となる。
【図面の簡単な説明】
【００１９】
【図１】第１の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【図２】特徴量データベースの構成例である。
【図３】トラヒックデータ収集部の構成を示すブロック図である。
【図４】サービスカテゴリ分類部の構成を示すブロック図である。
【図５】フロー生成処理を示すフローチャートである。
【図６】同時フロー生成処理を示すフローチャートである。
【図７】短時間フロー生成処理を示すフローチャートである。
【図８】特徴量計算処理を示すフローチャートである。
【図９】入力パケット列の構成例である。
【図１０】同時フローの構成例である。
【図１１】短時間フローの構成例である。
【図１２】トラヒックデータ収集部の動作例を示すシーケンス図である。
【図１３】特徴ベクトル計算処理を示すフローチャートである。
【図１４】類似度計算処理を示すフローチャートである。
【図１５】類似度計算処理を示す説明図である。
【図１６】分類判定処理を示すフローチャートである。
【図１７】分類判定処理を示す説明図である。
【図１８】第２の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【図１９】学習処理部の構成を示すブロック図である。
【図２０】サービスカテゴリ作成処理を示すフローチャートである。
【図２１】代表特徴ベクトル計算処理を示すフローチャートである。
【発明を実施するための形態】
【００２０】
次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかるフロー分類システムについて説明する。図１は、第１の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【００２１】
このフロー分類システム１０は、全体として、１つまたは複数の、サーバ装置やパーソナルコンピュータなどの情報処理装置から構成されて、通信網３０から収集した入力パケット列に基づいて通信網３０上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいて当該トラヒックをデータ通信サービスのサービスカテゴリごとに分類し、その分類結果を管理端末２０へ出力して表示するシステムである。
【００２２】
本実施の形態は、入力パケット列に含まれる各パケットの送信先ＩＰアドレスと到着時刻に基づいて、これらパケットを同時フローとして統合するとともに、これら同時フローを短時間フローに分割して、短時間フローごとに当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、同時フローごとにフロー特徴量の時間的変化を示すフロー特徴ベクトルを計算し、同時フローとサービスカテゴリとの組み合わせごとに、当該同時フローに関するフロー特徴ベクトルと当該サービスカテゴリの代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度のサービスカテゴリに分類し、最高類似度が有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類するようにしたものである。
【００２３】
［フロー分類システム］
次に、図１を参照して、本実施の形態にかかるフロー分類システムの構成について詳細に説明する。
【００２４】
フロー分類システム１０には、主な機能部として、トラヒックデータ収集部１１、特徴量データベース（以下、特徴量ＤＢという）１２、およびサービスカテゴリ分類部１３が設けられている。
これら機能部のうち、トラヒックデータ収集部１１およびサービスカテゴリ分類部１３は、ＣＰＵなどのマイクロプロセッサで記憶部（図示せず）から読み出したプログラムを実行することにより各機能部を実現する演算処理部で実現されており、特徴量ＤＢ１２は、ハードディスクなどの記憶装置で実現されている。
【００２５】
トラヒックデータ収集部１１は、通信網３０から収集した時系列の入力パケット列に含まれる各パケットの送信先ＩＰアドレスと到着時刻に基づいて、入力パケット列に含まれるフローＦを同時フローＦＣとして統合する機能と、これら同時フローＦＣから複数の短時間フローＦＳを生成する機能と、各同時フローＦＣｉの短時間フローＦＳｉｊごとに、当該短時間フローＦＳｉｊの特徴を示すフロー特徴量ＲＳｉｊを計算する機能を有している。
【００２６】
特徴量ＤＢ１２は、フローを分類するサービスカテゴリＸごとに、当該サービスカテゴリＸｍに分類されるフローの特徴を示す代表特徴ベクトルＶｍを記憶する機能を有している。
図２は、特徴量データベースの構成例である。ここでは、各種のサービスカテゴリＸごとに、各特徴種別Ｙとその代表特徴ベクトルＶｍとが組として登録されている。
【００２７】
このうち、サービスカテゴリＸとしては、ＦＴＰ、電子メール送信・受信、チャット、オンラインゲーム、動画など、各種アプリケーションに対応したデータ通信サービスが登録されている。また、特徴種別Ｙとしては、パケット総数、パケットサイズの合計・平均値・標準偏差、パケット到着間隔の合計・平均値・標準偏差など、短時間フローＦＳに含まれるパケットに関するパケット数、パケットサイズ、または到着間隔を統計処理して得られる特徴種別が登録されている。また、代表特徴ベクトルＶｍとしては、当該特徴種別Ｙの特徴量をクラスタリングして得られた各クラスタ１，クラスタ２，…ごとに、当該クラスタに属する特徴量の時間的変化の特徴を示す特徴ベクトルが登録されている。
【００２８】
サービスカテゴリ分類部１３は、トラヒックデータ収集部１１で生成された、分類対象となる同時フローＦＣｉについて、特徴量ＤＢ１２に登録されているサービスカテゴリＸｍごとに、当該同時フローＦＣｉに関するフロー特徴ベクトルＶＳｉｊと、特徴量ＤＢ１２から取得した当該サービスカテゴリＸｍの代表特徴ベクトルＶｍとに基づいて、当該同時フローＦＣｉと当該サービスカテゴリＸｍとの類似性を示す類似度Ｓｉｍを計算する機能と、これら類似度Ｓｉｍのうち最も高い類似性を示す最高類似度Ｓｉｈが所定の有意範囲に含まれる場合には、当該同時フローＦＣｉを当該最高類似度Ｓｉｈが得られたサービスカテゴリＸｍに分類し、最高類似度Ｓｉｈが有意範囲に含まれない場合には、当該同時フローＦＣｉを新たなサービスカテゴリＸｎｅｗに分類する機能とを有している。
【００２９】
［トラヒックデータ収集部］
次に、図３を参照して、トラヒックデータ収集部１１の構成について詳細に説明する。図３は、トラヒックデータ収集部の構成を示すブロック図である。
トラヒックデータ収集部１１には、主な処理部として、フロー生成部１１Ａ、同時フロー生成部１１Ｂ、短時間フロー生成部１１Ｃ、特徴量計算部１１Ｄ、特徴ベクトル計算部１１Ｅ、およびトラヒック情報データベース（以下、トラヒック情報ＤＢという）１１Ｆが設けられている。
【００３０】
フロー生成部１１Ａは、通信網３０から収集した入力パケット列のうち、当該パケットから取得したフロー分類用の識別情報が同一のパケットであって、かつパケット到着間隔が基準到着間隔以下である複数のパケットを、１つのフローＦとして統合することにより、通信網３０から収集した入力パケット列からフローＦを生成する機能を有している。
【００３１】
同時フロー生成部１１Ｂは、フロー生成部１１Ａで生成されたフローＦのうち、当該フローＦに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔ｔｃ以下である複数のフローを、１つの同時フローＦＣｉとして統合することにより、フロー生成部１１Ａで生成されたフローから同時フローＦＣを生成する機能を有している。
【００３２】
短時間フロー生成部１１Ｃは、同時フロー生成部１１Ｂで生成された同時フローＦＣごとに、当該同時フローＦＣｉに含まれるパケットのうち、単位到着間隔ｔｓ内に続けて到着したパケットを、１つの短時間フローＦＳｉｊとして統合することにより、同時フロー生成部１１Ｂで生成された同時フローＦＣｉのそれぞれから短時間フローＦＳｉｊを生成する機能を有している。
【００３３】
特徴量計算部１１Ｄは、短時間フロー生成部１１Ｃで生成された短時間フローＦＳｉｊごとに、当該短時間フローＦＳｉｊに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローＦＳｉｊの特徴を示すフロー特徴量ＲＳｉｊを計算する機能を有している。
【００３４】
特徴ベクトル計算部１１Ｅは、特徴量計算部１１Ｄで計算された各同時フローＦＣｉに属する短時間フローＦＳｉｊごとのフロー特徴量ＲＳｉｊからなる時系列データから、同時フローＦＣｉごとに当該フロー特徴量ＲＳｉｊの時間的変化の特徴を示すフロー特徴ベクトルＶｉを計算する機能を有している。
トラヒック情報ＤＢ１１Ｆは、同時フローＦＣｉごとに、特徴ベクトル計算部１１Ｅで計算したフロー特徴ベクトルＶｉを記憶する機能を有している。
【００３５】
［サービスカテゴリ分類部］
次に、図４を参照して、サービスカテゴリ分類部１３の構成について詳細に説明する。図４は、サービスカテゴリ分類部の構成を示すブロック図である。
サービスカテゴリ分類部１３には、主な処理部として、類似度計算部１３Ａ−１３Ｎ、類似度統合部１３Ｐ、および分類判定部１３Ｑが設けられている。
【００３６】
類似度計算部１３Ａ−１３Ｎは、特徴量ＤＢ１２に登録されている特徴種別Ｙｎ（ｎ＝１…Ｎ）ごとに設けられて、トラヒックデータ収集部１１で生成された同時フローＦＣｉと、特徴量ＤＢ１２に登録されているサービスカテゴリＸｍとの組み合わせごとに、当該同時フローＦＣｉに関するフロー特徴ベクトルＶｉと当該サービスカテゴリＸｍの代表特徴ベクトルＶｍとに基づいて、特徴種別Ｙｎに関する当該同時フローＦＣｉと当該サービスカテゴリＸｍとの類似性を示す類似度Ｓｉｍｎをそれぞれ計算する機能を有している。
【００３７】
類似度統合部１３Ｐは、各同時フローＦＣｉとサービスカテゴリＸｍとの組み合わせごとに、類似度計算部１３Ａ−１３Ｎでそれぞれ計算した特徴種別Ｙｎに関する類似度Ｓｉｍｎを、１つのカテゴリ類似度Ｓｉｍに統合する機能を有している。
【００３８】
分類判定部１３Ｑは、各同時フローＦＣｉについて、類似度統合部１３Ｐで当該同時フローＦＣｉとサービスカテゴリＸｍとの組み合わせごとに得られた類似度Ｓｉｍのうち、最も高い類似性を示す最高類似度Ｓｉｈと有意範囲とを比較する機能と、最高類似度Ｓｉｈが所定の有意範囲に含まれる場合には、当該同時フローＦＣｉを当該最高類似度ＳｉｈのサービスカテゴリＸｍに分類し、最高類似度Ｓｉｈが有意範囲に含まれない場合には、当該同時フローＦＣｉを新たなサービスカテゴリＸｎｅｗに分類する機能とを有している。
【００３９】
［第１の実施の形態の動作］
次に、本実施の形態にかかるフロー分類システム１０の動作について詳細に説明する。
【００４０】
［フロー生成動作］
まず、図５を参照して、本実施の形態にかかるトラヒックデータ収集部１１におけるフロー生成動作について説明する。図５は、フロー生成処理を示すフローチャートである。
トラヒックデータ収集部１１のフロー生成部１１Ａは、通信網３０から収集した入力パケット列からフローを生成する際、図５のフロー生成処理を実行する。
【００４１】
フロー生成部１１Ａは、まず、通信網３０から収集した入力パケット列を取得し（ステップ１００）、この入力パケット列の先頭から、いずれのフローにも統合していない未処理のパケットを１つ選択し（ステップ１０１）、当該パケットから取得したフロー分類用の識別情報が、統合処理中フローのいずれかと一致するか確認する（ステップ１０２）。この際、フロー分類用の識別情報としては、送信元・送信先のＩＰアドレス、送信元・送信先のポート番号、プロトコル種別などを組み合わせて用いればよい。
【００４２】
ここで、識別情報が一致する処理中フローが存在しない場合（ステップ１０２：ＮＯ）、フロー生成部１１Ａは、新たなフロー番号を当該選択パケットに付加して新たなフローを生成し、当該新たなフロー番号のフローを処理中フローとする（ステップ１０３）。
一方、識別情報が一致する処理中フローが存在する場合（ステップ１０２：ＹＥＳ）、フロー生成部１１Ａは、当該処理中フローの最後尾パケットと選択パケットとの到着間隔を基準到着間隔ｔｆとを比較する（ステップ１０４）。
【００４３】
ここで、最後尾パケットと選択パケットとの到着間隔が基準到着間隔ｔｆより大きかった場合（ステップ１０４：ＮＯ）、フロー生成部１１Ａは、当該処理中フローが終了したと判定して処理中フローから除外した後（ステップ１０５）、ステップ１０３に移行して、新たなフロー番号を当該選択パケットに付加して新たなフローを生成し、当該新たなフロー番号のフローを処理中フローとする。
一方、最後尾パケットと選択パケットとの到着間隔が基準到着間隔ｔｆ以内であった場合（ステップ１０４：ＹＥＳ）、フロー生成部１１Ａは、当該処理中フローのフロー番号を選択パケットに付加する（ステップ１０６）。
【００４４】
このようにして、選択パケットにフロー番号を付加することによりフローＦを生成した後、フロー生成部１１Ａは、選択パケットをフラグなどにより処理済みとし（ステップ１０７）、入力パケット列のうち全てのパケットについて処理が終了したか確認する（ステップ１０８）。
ここで、未処理のパケットが存在する場合（ステップ１０８：ＮＯ）、ステップ１０１に戻って次のパケットの処理を繰り返し実行する。また、全てのパケットについて処理が終了している場合（ステップ１０８：ＹＥＳ）、フロー生成部１１Ａは、個々のパケットにフロー番号を付加した入力パケット列を出力し（ステップ１０９）、一連のフロー生成処理を終了する。
【００４５】
［同時フロー生成動作］
次に、図６を参照して、本実施の形態にかかるトラヒックデータ収集部１１における同時フロー生成動作について説明する。図６は、同時フロー生成処理を示すフローチャートである。
【００４６】
トラヒックデータ収集部１１の同時フロー生成部１１Ｂは、フロー生成部１１Ａで生成されたフローから同時フローを生成する際、図６の同時フロー生成処理を実行する。
【００４７】
同時フロー生成部１１Ｂは、まず、フロー生成部１１Ａで生成されたフロー番号付き入力パケット列を取得し（ステップ１１０）、この入力パケット列から、いずれの同時フローにも統合していない未処理のフローＦｔを１つ選択する（ステップ１１１）。
次に、同時フロー生成部１１Ｂは、選択フローＦｔのパケットから送信先ＩＰアドレスを取得し、他の未処理のフローＦのうち、送信先ＩＰアドレスが選択フローＦｔと同じフローの有無を確認する（ステップ１１２）。
【００４８】
ここで、送信先ＩＰアドレスが選択フローＦｔと同じフローを確認した場合（ステップ１１２：ＹＥＳ）、同時フロー生成部１１Ｂは、これら確認フローＦｃのうちから、選択フローＦｔとのフロー開始間隔（絶対値）が基準開始間隔ｔｃ以下のフローＦａを抽出し（ステップ１１３）、これら抽出フローＦａと選択フローＦｔの両方のパケットに、新たな同時フロー番号を付加して新たな同時フローＦＣｉを生成し（ステップ１１４）、これらフローＦｔ，Ｆａをフラグなどにより処理済みとする（ステップ１１５）。
【００４９】
一方、送信先ＩＰアドレスが選択フローＦｔと同じフローＦを確認できなかった場合（ステップ１１２：ＮＯ）、同時フロー生成部１１Ｂは、選択フローＦｔのパケットのそれぞれに、新たな同時フロー番号を付加して新たな同時フローＦＣｉを生成し（ステップ１１６）、選択フローＦｔをフラグなどにより処理済みとする（ステップ１１７）。
【００５０】
このようにして、選択フローＦｔや抽出フローＦａに同時フロー番号を付加することにより同時フローＦＣｉを生成した後、同時フロー生成部１１Ｂは、入力パケット列のうち全てのフローＦについて処理が終了したか確認する（ステップ１１８）。
ここで、未処理のフローＦが存在する場合（ステップ１１８：ＮＯ）、ステップ１１１に戻って次のフローＦの処理を繰り返し実行する。また、全てのフローについて処理が終了している場合（ステップ１１８：ＹＥＳ）、同時フロー生成部１１Ｂは、個々のパケットに同時フロー番号を付加した入力パケット列を出力し（ステップ１１９）、一連の同時フロー生成処理を終了する。
【００５１】
［短時間フロー生成動作］
次に、図７を参照して、本実施の形態にかかるトラヒックデータ収集部１１における短時間フロー生成動作について説明する。図７は、短時間フロー生成処理を示すフローチャートである。
【００５２】
トラヒックデータ収集部１１の短時間フロー生成部１１Ｃは、同時フロー生成部１１Ｂで生成された同時フローから短時間フローを生成する際、図７の同時フロー生成処理を実行する。
【００５３】
短時間フロー生成部１１Ｃは、まず、同時フロー生成部１１Ｂで生成された同時フロー番号付き入力パケット列を取得し（ステップ１２０）、この入力パケット列から、短時間フローを生成していない未処理の同時フローＦＣｉを１つ選択し（ステップ１２１）、この選択同時フローＦＣｉの先頭から、短時間フロー番号を付加していない未処理のパケットを１つ選択する（ステップ１２２）。
次に、短時間フロー生成部１１Ｃは、選択同時フローＦＣｉに含まれる他のパケットのうち、選択パケットとの到着間隔が単位到着間隔ｔｓ内に到着した近接パケットが存在するか確認する（ステップ１２３）。
【００５４】
ここで、近接パケットの存在を確認した場合（ステップ１２３：ＹＥＳ）、短時間フロー生成部１１Ｃは、これら近接パケットと選択パケットの両方に、同一の新たな短時間フロー番号を付加することにより新たな短時間フローＦＳｉｊを生成し（ステップ１２４）、これらパケットをフラグなどにより処理済みとする（ステップ１２５）。
一方、近接パケットの存在を確認できなかった場合（ステップ１２３：ＮＯ）、短時間フロー生成部１１Ｃは、選択パケットに新たな短時間フロー番号を付加することにより新たな短時間フローＦＳｉｊを生成し（ステップ１２６）、ステップ１２５へ移行して、選択パケットをフラグなどにより処理済みとする。
【００５５】
このようにして、近接パケットおよび選択パケット、または選択パケットに短時間フロー番号を付加した後、短時間フロー生成部１１Ｃは、選択同時フローのうち全てのパケットについて処理が終了したか確認する（ステップ１２７）。
ここで、選択同時フローに未処理のパケットが存在する場合（ステップ１２７：ＮＯ）、ステップ１２２に戻って次のパケットの処理を繰り返し実行する。また、選択同時フローの全てのパケットについて処理が終了している場合（ステップ１２７：ＹＥＳ）、短時間フロー生成部１１Ｃは、入力パケット列のうち全ての同時フローＣについて処理が終了したか確認する（ステップ１２８）。
【００５６】
ここで、未処理の同時フローが存在する場合（ステップ１２８：ＮＯ）、短時間フロー生成部１１Ｃは、ステップ１２１に戻って次の同時フローＦＣの処理を繰り返し実行する。また、全ての同時フローＦＣについて処理が終了している場合（ステップ１２８：ＹＥＳ）、短時間フロー生成部１１Ｃは、個々のパケットに短時間フロー番号と同時フロー番号を付加した入力パケット列を出力し（ステップ１２９）、一連の短時間フロー生成処理を終了する。
【００５７】
［特徴量計算動作］
次に、図８を参照して、本実施の形態にかかるトラヒックデータ収集部１１における特徴量計算動作について説明する。図８は、特徴量計算処理を示すフローチャートである。
【００５８】
トラヒックデータ収集部１１の特徴量計算部１１Ｄは、短時間フロー生成部１１Ｃで生成された短時間フローについてフロー特徴量を計算する際、図８の特徴量計算処理を実行する。ここでは、短時間フローごとに、各特徴種別Ｙについてそれぞれフロー特徴量が計算される。
【００５９】
特徴量計算部１１Ｄは、まず、短時間フロー生成部１１Ｃで生成された短時間フローと同時フロー番号を付加した入力パケット列を取得し（ステップ１３０）、この入力パケット列から、特徴量を計算していない未処理の同時フローＦＣｉを１つ選択し（ステップ１３１）、この選択同時フローＦＣｉの先頭から、特徴量を計算していない未処理の短時間フローＦＳｉｊを１つ選択する（ステップ１３２）。
【００６０】
次に、特徴量計算部１１Ｄは、選択短時間フローＦＳｉｊに含まれる各パケットについて、前述の図２に示した特徴種別Ｙごとにフロー特徴量ＲＳｉｊを計算し（ステップ１３３）、選択短時間フローＦＳｉｊをフラグなどにより処理済みとする（ステップ１３４）。
この後、特徴量計算部１１Ｄは、選択同時フローＦＣｉのうち全ての短時間フローＦＳｉｊについて処理が終了したか確認する（ステップ１３５）。
【００６１】
ここで、未処理の短時間フローＦＳｉｊが存在する場合（ステップ１３５：ＮＯ）、ステップ１３２へ戻って次の短時間フローＦＳｉｊの処理を繰り返し実行する。また、全ての短時間フローＦＳについて処理が終了している場合（ステップ１３５：ＹＥＳ）、特徴量計算部１１Ｄは、入力パケット列のうち全ての同時フローＦＣについて処理が終了したか確認する（ステップ１３６）。
【００６２】
ここで、未処理の同時フローＦＣｉが存在する場合（ステップ１３６：ＮＯ）、ステップ１３１に戻って次の同時フローＦＣの処理を繰り返し実行する。また、全ての同時フローＦＣについて処理が終了している場合（ステップ１３６：ＹＥＳ）、特徴量計算部１１Ｄは、同時フロー番号ごとに、各特徴種別に関するフロー特徴量ＲＳｉｊを、各短時間フローＦＳｉｊに対応する時系列データとして出力し（ステップ１３７）、一連の特徴量計算処理を終了する。
【００６３】
［トラヒックデータ収集部の動作例］
次に、図９〜図１２を参照して、本実施の形態にかかるトラヒックデータ収集部１１の動作例について説明する。図９は、入力パケット列の構成例である。図１０は、同時フローの構成例である。図１１は、短時間フローの構成例である。図１２は、トラヒックデータ収集部の動作例を示すシーケンス図である。
【００６４】
トラヒックデータ収集部１１では、まず、フロー生成部１１Ａにより、通信網３０から収集した入力パケット列から、フローＦが生成される。この動作例では、送信元・送信先のＩＰアドレス、送信元・送信先のポート番号、プロトコル種別の組み合わせ（以下、５−ｔｕｐｌｅという）により、フローＦが識別されている。
ここで、入力パケット列のうち、５−ｔｕｐｌｅが同じであり、基準到着間隔ｔｆ以内のパケットＰ１，Ｐ４からなるフローＦ１、パケットＰ２からなるフローＦ２、パケットＰ３からなるフローＦ３の合わせて３つのフローが生成されたものとする。
【００６５】
次に、同時フロー生成部１１Ｂにより、同一送信先ＩＰアドレスであるこれらフローＦ１〜Ｆ３について、同時フローＦＣへの統合可否が確認される。ここで、基準開始間隔ｔｃ＝５秒とした場合、Ｆ１の先頭パケットＰ１とＦ２の先頭パケットＰ２との到着間隔ｔ１２が１秒であり、ｔ１２＜ｔｃであることから、Ｆ１とＦ２は１つの同時フローＦＣ１に統合される。また、Ｆ３の先頭パケットＰ３との到着間隔ｔ１３が４秒であり、ｔ１３＜ｔｃであることから、Ｆ３も同時フローＦＣ１に統合される。これにより、Ｆ１〜Ｆ３がＦＣ１に統合されたことになる。
【００６６】
次に、短時間フロー生成部１１Ｃにより、同時フローＦＣ１について短時間フローＦＳの生成可否が確認される。ここで、単位到着間隔ｔｓ＝１秒とした場合、Ｐ１とＰ２の到着間隔ｔ１２が１秒であり、ｔ１２≦ｔｓであることから、Ｐ１とＰ２が１つの短時間フローＦＳ１１に統合される。また、Ｐ２とＰ３の到着間隔ｔ２３が３秒であり、ｔ２３＞ｔｓであることから、Ｐ２，Ｐ３は１つの短時間フローとして統合されず、Ｐ２は新たな短時間フローＦＳ１２となる。また、Ｐ３とＰ４の到着間隔ｔ３４が５秒であり、ｔ３４＞ｔｓであることから、Ｐ３，Ｐ４は１つの短時間フローとして統合されず、Ｐ３，Ｐ４はそれぞれ新たな短時間フローＦＳ１３，ＦＳ１４となる。
【００６７】
［特徴ベクトル計算動作］
次に、図１３を参照して、本実施の形態にかかるトラヒックデータ収集部１１における特徴ベクトル計算動作について説明する。図１３は、特徴ベクトル計算処理を示すフローチャートである。
【００６８】
トラヒックデータ収集部１１の特徴ベクトル計算部１１Ｅは、特徴量計算部１１Ｄで計算されたフロー特徴量の時系列データから、同時フローごとにフロー特徴ベクトルを計算する際、図１３の特徴量計算処理を実行する。ここでは、同時フローＦＣｉごとに、各特徴種別Ｙに関するフロー特徴ベクトルが計算される。
【００６９】
特徴ベクトル計算部１１Ｅは、まず、特徴量計算部１１Ｄで計算された、同時フローＦＣごとに、各特徴種別Ｙに関するフロー特徴量の時系列データを取得して（ステップ１４０）、この時系列データから、フロー特徴ベクトルを計算していない未処理の同時フローＦＣｉを１つ選択する（ステップ１４１）。
【００７０】
続いて、特徴ベクトル計算部１１Ｅは、選択同時フローＦＣｉについて、フロー特徴ベクトルを計算していない未処理の特徴種別Ｙｎを選択し（ステップ１４２）、これら選択同時フローＦＣｉおよび選択特徴種別Ｙｎに対応する時系列データを、所定の時間長を有するフレームＦＲごとに分割する（ステップ１４３）。フレームＦＲの時間長は、短時間フローごとに計算したフロー特徴量を、後述するケプストラム分析を実行できる数だけ含む十分な時間長に設定しておく。なお、同時フローＦＣ内に複数のフレームが存在していてもよい。また、同時フローの時間長がフレーム時間長よりも短い場合には、同時フローの時間長を使用して計算を行う。
【００７１】
この後、特徴ベクトル計算部１１Ｅは、選択同時フローＦＣｉの選択特徴種別Ｙｎについて、フレームＦＲｒごとに得られたフロー特徴量を、それぞれのフロー特徴量の各要素に対して平均などの統計処理を行うことにより、選択同時フローＦＣの選択特徴種別Ｙｎに対応する１つのフロー特徴量を求める（ステップ１４４）。
【００７２】
続いて、特徴ベクトル計算部１１Ｅは、分割して得られたフレームのうちから、フロー特徴量の統計量を計算していない未処理のフレームＦＲｉｎｒに属する時系列データを選択する（ステップ１４５）。
【００７３】
次に、特徴ベクトル計算部１１Ｅは、選択した時系列データを線形予測分析処理することにより、当該フレームの線形予測係数を計算する（ステップ１４６）
これら時系列データのうちの任意の標本値ｘｐについて、これに隣接する過去のｑ個（ｑは２以上の整数）の過去標本値ｘｐ−ｑ（ｑ＝１，２，…，Ｑ）との間に、過去標本値ｘｐ−ｑとある係数αｑをそれぞれ乗算して加え合わせた線形１次結合が成立し、次の式（１）が成り立つ。
【数１】
【００７４】
これら係数αｑは、線形予測係数と呼ばれ、線形予測残差ｘｐ−＾ｘｐの自乗平均が最小となるよう計算される。この線形予測係数の計算方法については、自己相関を求めて決定するレビンソン・ダービン法（Levinson-Durbin algorithm）などの公知の計算手法を用いればよい。
【００７５】
この後、特徴ベクトル計算部１１Ｅは、得られた線形予測係数αｇをケプストラム（cepstrum）分析することにより、当該フレームＦＲｉｎｒの時系列データ、すなわちフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数Ｃｐを求め、これらケプストラム係数から当該フレームＦＲｉｎｒに関するフロー特徴ベクトルＶｉｎｒを生成する（ステップ１４７）。
【００７６】
線形予測係数αｇは、次の線形システムを決定することに用いられ、その線形システムにインパルス列または白色雑音を印加することによって、トラヒックが生成されたものと見なす。これにより、スペクトル包絡の特性関数Ｈ（ｚ）は、次の式（２）で求められる。
【数２】
【００７７】
ケプストラム係数Ｃｐは、トラヒック信号スペクトラムのケプストラム領域の値であり、次の式（３）により、特性関数Ｈ（ｚ）をケプストラム領域に変換した特性関数Ｈ（ω）を求めた後、次の式（４）により、ケプストラム係数Ｃｐが求められる。
【数３】
【数４】
【００７８】
このケプストラム係数の計算方法については、フーリエ変換、逆フーリエ変換、離散フーリエ変換（ＤＦＴ）など、公知の計算手法を用いればよい。
実際には、ケプストラム係数の計算時に、予め設定した規定数ｄ個だけケプストラム係数を計算し、これらｄ個のケプストラム係数を並べることによりフロー特徴ベクトルＶｉｎｒ＝（Ｃ１，Ｃ２，…，Ｃｄ）を生成する。
【００７９】
この後、特徴ベクトル計算部１１Ｅは、すべてのフレームＦＲについて処理が終了したか確認する（ステップ１４８）。
ここで、未処理のフレームＦＲｉｎｒが存在する場合（ステップ１４８：ＮＯ）、ステップ１４５へ戻って次のフレームＦＲｉｎｒの処理を繰り返し実行する。
【００８０】
また、全てのフレームＦＲについて処理が終了している場合（ステップ１４８：ＹＥＳ）、特徴ベクトル計算部１１Ｅは、全ての特徴種別Ｙについて処理が終了したか確認する（ステップ１４９）。
ここで、未処理の特徴種別Ｙｎが存在する場合（ステップ１４９：ＮＯ）、ステップ１４２へ戻って次の同時フローＦＣｉの処理を繰り返し実行する。
【００８１】
この後、特徴ベクトル計算部１１Ｅは、全ての同時フローＦＣについて処理が終了したか確認する（ステップ１５０）。
ここで、未処理の同時フローＦＣｉが存在する場合（ステップ１５０：ＮＯ）、ステップ１４１へ戻って次の同時フローＦＣｉの処理を繰り返し実行する。
【００８２】
また、全ての同時フローＦＣについて処理が終了している場合（ステップ１５０：ＹＥＳ）、特徴ベクトル計算部１１Ｅは、同時フロー番号ｉごとに、各特徴種別Ｙｎのフロー特徴ベクトルＶｉｎを出力し（ステップ１５１）、一連の特徴ベクトル計算処理を終了する。
【００８３】
［類似度計算処理］
次に、図１４および図１５を参照して、本実施の形態にかかるサービスカテゴリ分類部１３における類似度計算動作について説明する。図１４は、類似度計算処理を示すフローチャートである。図１５は、類似度計算処理を示す説明図である。
【００８４】
サービスカテゴリ分類部１３の類似度計算部１３Ａ〜１３Ｎは、同時フローＦＣｉの種別類似度Ｓｉを計算する際、それぞれの特徴種別Ｙについて、図１４の類似度計算処理を実行する。ここでは、類似度計算部１３Ａにおいて、特徴種別Ｙのうち特徴種別Ｙｎに関する種別類似度Ｓｉｎを計算する場合を例として説明する。実際には、類似度計算部１３Ａ〜１３Ｎでは、それぞれに対応する特徴種別Ｙｎについて、図１４の類似度計算処理が並行して実行される。
【００８５】
類似度計算部１３Ａは、まず、特徴量ＤＢ１２から、各サービスカテゴリＸに関する特徴種別Ｙｎの代表特徴ベクトルＶｎをそれぞれ取得し（ステップ１６０）、分類対象となる同時フローＦＣｉのうち特徴種別Ｙｎのフロー特徴ベクトルＶｉｎをそれぞれ取得する（ステップ１６１）。
【００８６】
続いて、類似度計算部１３Ａは、各サービスカテゴリＸのうちから種別類似度Ｓｉｍｎを計算していない未処理のサービスカテゴリＸｍを１つ選択し（ステップ１６２）、代表特徴ベクトルＶｍに含まれるクラスタｋごとに、分類対象となる同時フローＦＣｉのフロー特徴ベクトルＶｉｎと代表特徴ベクトルＶｍｋｎとの差分Ｄｋ＝｜Ｖｉｎ−Ｖｍｋｎ｜を計算する（ステップ１６３）。ここでは、特徴ベクトルのうち同一要素番号に対応する要素（ケプストラム係数）同士について差分を計算し、要素番号ごとに得られた差分を集計することにより差分Ｄｋを計算すればよい。
【００８７】
次に、類似度計算部１３Ａは、クラスタＺｋごとの差分Ｄｋに基づいて、分類対象となる同時フローＦＣｉと選択サービスカテゴリＸｍとの、特徴種別Ｙｎに関する種別類似度Ｓｉｍｎを計算する（ステップ１６４）。この種別類似度Ｓｉｍｎについては、例えば、クラスタＺｋごとの差分Ｄｋについて統計処理を行うことにより求めた、最小値、平均値、合計値などの統計値を用いればよい。
【００８８】
この後、類似度計算部１３Ａは、選択サービスカテゴリＸｍについてフラグなどにより処理済みとし（ステップ１６５）、全てのサービスカテゴリＸについて処理済みか確認する（ステップ１６６）。
ここで、未処理のサービスカテゴリＸｍが存在する場合（ステップ１６６：ＮＯ）、ステップ１６２に戻って次のサービスカテゴリＸｍの処理を繰り返し実行する。また、全てのサービスカテゴリＸについて処理が終了している場合（ステップ１６６：ＹＥＳ）、類似度計算部１３Ａは、同時フローＦＣｉと各サービスカテゴリＸｍとの、特徴種別Ｙｎに関する種別類似度Ｓｉｍｎを出力し（ステップ１６７）、一連の類似度計算処理を終了する。
【００８９】
［分類判定処理］
次に、図１６および図１７を参照して、本実施の形態にかかるサービスカテゴリ分類部１３における分類判定動作について説明する。図１６は、分類判定処理を示すフローチャートである。図１７は、分類判定処理を示す説明図である。
【００９０】
サービスカテゴリ分類部１３の類似度統合部１３Ｐと分類判定部１３Ｑは、分類対象となる同時フローＦＣｉをサービスカテゴリＸのいずれかに分類する際、図１６の類似度計算処理を実行する。ここでは、類似度統合部１３Ｐと分類判定部１３Ｑにおいて、入力パケット列から生成された任意の同時フローＦＣｉの分類判定を行う場合を例として説明する。なお、類似度統合部１３Ｐと分類判定部１３Ｑでの分類判定処理は、入力パケット列から生成された、分類対象となるすべての同時フローＦＣについて、繰り返し実行される。
【００９１】
類似度統合部１３Ｐは、まず、類似度計算部１３Ａ〜１３Ｎから、すべての特徴種別Ｙについて、サービスカテゴリＸ別の種別類似度Ｓｉｍｎを取得して（ステップ１７０）、サービスカテゴリＸｍごとに、例えば種別類似度Ｓｉｍｎの合計値など、これら種別類似度Ｓｉｍｎを統計処理することにより、すべての特徴種別Ｙを考慮した、同時フローＦＣｉに関する、サービスカテゴリＸｍごとのカテゴリ類似度Ｓｉｍを計算する（ステップ１７１）。
【００９２】
次に、分類判定部１３Ｑは、類似度統合部１３Ｐで得られたサービスカテゴリＸｍごとのカテゴリ類似度Ｓｉｍのうちから、その最小値、すなわち最も類似性の高い最高類似度Ｓｉｈを選択し（ステップ１７２）、最高類似度Ｓｉｈと有意しきい値Ｓｔｈとを比較することにより、有意範囲に含まれているか確認する（ステップ１７３）。
ここで、最高類似度Ｓｉｈが有意しきい値Ｓｔｈより小さく、有意範囲に含まれている場合（ステップ１７３：ＹＥＳ）、分類判定部１３Ｑは、分類対象となる同時フローＦＣｉに対して、最高類似度Ｓｉｈと対応するサービスカテゴリＸｍを付加することにより、同時フローＦＣｉをサービスカテゴリＸｍに分類する（ステップ１７４）。
【００９３】
一方、最高類似度Ｓｉｈが有意しきい値Ｓｔｈ以上で、有意範囲に含まれていない場合（ステップ１７３：ＮＯ）、分類判定部１３Ｑは、分類対象となる同時フローＦＣｉに対して、新たなサービスカテゴリＸｎｅｗを付加することにより、同時フローＦＣｉを既存のサービスカテゴリではなく、新たなサービスカテゴリＸｎｅｗに分類する（ステップ１７５）。
このようにして、分類対象となる同時フローＦＣｉをいずれかのサービスカテゴリＸに分類した後、分類判定部１３Ｑは、分類したサービスカテゴリＸに対応して登録されているサービスカテゴリ名と、入力パケット列から取得した当該同時フローＦＣｉに関する送信先アドレスや、入力パケット列から計算したトラヒック量などのトラヒック情報とを管理端末２０へ出力して画面表示し（ステップ１７６）、一連の分類判定処理を終了する。
【００９４】
［第１の実施の形態の効果］
このように、本実施の形態では、一定期間内に発生した複数のフローを１つの同時フローとして統合し、さらに１つの同時フローに含まれる、一定の単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合して、これら短時間フローごとにフロー特徴量を計算し、この後、これら短時間フローごとのフロー特徴量からなる時系列データから、同時フローごとにフロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算して、既存のサービスカテゴリとの類似性を判定するようにしたので、同時フローの特徴量を時間軸上の変動に着目してフローの類似性を判定することができる。このため、元のフロー特徴量に基づき類似性を判定する場合と比較して、トラヒックの時間的な変動を利用した識別を行うことができる。
【００９５】
また、サービスカテゴリごとの類似性のうち、最も高い類似性を示す類似度が有意範囲に含まれない場合には、新たなサービスクラスに分類するようにしたので、既存サービスクラスでは含まれていない新たなアプリケーションのフローについても、正確に分類することができる。このため、いずれか類似性の低いサービスクラスに分類してしまうような誤分類の発生を抑止することが可能となる。
【００９６】
したがって、本実施の形態をデータ通信サービスのネットワーク管理に適用すれば、映像フローのような品質条件が厳しいフローに対して優先制御を行う等のトラヒック制御を用いることで、同じ設備量でよりユーザ満足度の高いネットワークを提供することができる。また、アプリケーションごとのトラヒック需要量を正確に把握できるため、高精度なトラヒック需要の予測を行うことができ、結果として、ユーザ満足度の更なる向上を実現することが可能となる。
【００９７】
また、本実施の形態によれば、フロー特徴ベクトルを計算する際、時系列データを線形予測分析を行うことにより同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数からフロー特徴ベクトルを生成するようにしたので、極めて高い精度で、フロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算することができる。
【００９８】
また、本実施の形態によれば、各フローを同時フローへ統合する際、パケットの送信先ＩＰアドレスが同一のフローを同時フローへ統合するようにしたので、映像データ、メタデータ、プレイヤーを異なるサーバから受信するような映像配信サービスであっても、当該フローを、対応するサービスカテゴリへ正確に分類できる。
【００９９】
また、本実施の形態によれば、各短時間フローのフロー特徴量を計算する際、パケットのヘッダ情報に含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することによりフロー特徴量を計算するようにしたので、パケットのペイロード部に格納されているユーザ情報を解析する必要がない。このため、プライバシーやセキュリティの面でも高い安全性が得られるとともに、ペイロード部が暗号化されているフローについても精度良く分類することが可能となる。
【０１００】
［第２の実施の形態］
次に、図１８を参照して、本発明の第２の実施の形態にかかるフロー分類システム１０について説明する。図１８は、第２の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【０１０１】
本実施の形態は、第１の実施の形態と比較して、学習処理部１４が追加されている。
学習処理部１４は、サービスカテゴリＸが既知である、複数のフレームＦＲに関するフロー特徴ベクトルＶや、サービスカテゴリ分類部１３で得られた分類判定後のフロー特徴ベクトルＶからなる学習データに基づいて、各サービスカテゴリＸｍごとに、特徴種別Ｙｎの代表特徴ベクトルＶｍｎを計算して、特徴量ＤＢ１２へ登録する機能を有している。
【０１０２】
図１９は、学習処理部の構成を示すブロック図である。
学習処理部１４には、主な処理部として、教師データ記憶部１４Ａ、サービスカテゴリ作成部１４Ｂ、および代表特徴ベクトル計算部１４Ｃが設けられている。
【０１０３】
教師データ記憶部１４Ａは、ハードディスクなどの記憶装置からなり、短時間フローＦＳｉｊを構成する教師パケット列と、当該短時間フローＦＳｉｊの分類先となるアプリケーションとの組が、教師データとして登録されている。
この教師データとしては、サービスカテゴリ分類部１３の分類判定部１３Ｑで分類した分類判定後の短時間フローとそのサービスカテゴリとを用いてもよい。
【０１０４】
サービスカテゴリ作成部１４Ｂは、トラヒックデータ収集部１１で通信網３０からの入力パケット列から短時間フローＦＳを生成するのと同様にして、教師データ記憶部１４Ａから読み出した教師パケットから短時間フローＦＳを生成するとともに、当該短時間フローＦＳのフロー特徴量ＲＳを、特徴種別Ｙごとに計算する機能と、これら教師データに含まれるアプリケーションのうちから選択した２つのアプリケーションごとに、これらアプリケーションに関するフロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散σｗ2とクラス間分散σｂ2との分散比Ｊを、特徴種別Ｙごとに計算する機能と、得られた分散比Ｊの最小値Ｊｍｉｎが判定しきい値Ｊｔｈより小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリＸを作成する機能とを有している。
【０１０５】
代表特徴ベクトル計算部１４Ｃは、サービスカテゴリ作成部１４Ｂで作成された各サービスカテゴリＸｍについて、当該サービスカテゴリＸｍに分類されたアプリケーションのフロー特徴量ＲＳから、これらフロー特徴量ＲＳの時間的変化の特徴を示すフロー特徴ベクトルＶｍを、特徴種別Ｙごとに計算して、特徴量ＤＢ１２へ保存する機能とを有している。
【０１０６】
［サービスカテゴリ作成動作］
次に、図２０を参照して、本実施の形態にかかる学習処理部１４におけるサービスカテゴリ作成動作について説明する。図２０は、サービスカテゴリ作成処理を示すフローチャートである。
【０１０７】
学習処理部１４のサービスカテゴリ作成部１４Ｂは、教師データからサービスカテゴリを作成する際、図２０のサービスカテゴリ作成処理を実行する。ここでは、サービスカテゴリ作成部１４Ｂにおいて、教師データ記憶部１４Ａの教師パケット列からの短時間フローＦＳの生成とそのフロー特徴量ＲＳの計算がすでに実行されて、教師データ記憶部１４Ａに登録されていることを前提として、特徴種別Ｙのうち特徴種別ＹｎについてサービスカテゴリＸを作成する場合を例として説明する。
【０１０８】
サービスカテゴリ作成部１４Ｂは、まず、教師データ記憶部１４Ａから、アプリケーション別で、各短時間フローＦＳのフロー特徴量ＲＳを取得して（ステップ２００）、サービスカテゴリ作成処理を実行していない未処理の特徴種別Ｙｎを１つ選択し（ステップ２０１）、これらアプリケーションの２つの組のうちから、サービスカテゴリ作成処理を実行していない未処理のアプリケーション組を１つ選択する（ステップ２０２）。
【０１０９】
次に、サービスカテゴリ作成部１４Ｂは、選択アプリケーション組であるそれぞれのアプリケーションについて、当該アプリケーションに分類されている各短時間フローＦＳのフロー特徴量ＲＳから、その分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散σｗ2とクラス間分散σｂ2とその分散比Ｊを計算する（ステップ２０３）。
【０１１０】
この際、アプリケーションｘに関するフロー特徴量ＲＳの分散をσｘ、要素数をωｘ、平均値をｍｘとし、アプリケーションｙに関するフロー特徴量ＲＳの分散をσｙ、要素数をωｙ、平均値をｍｙとした場合、アプリケーションｘ，ｙのクラス内分散σｗ2、クラス間分散σｂ2、およびこれらクラス内分散σｗ2とクラス間分散σｂ2の分散比Ｊは、次の式（５）、式（６）、および式（７）で計算される。
【数５】
【数６】
【数７】
【０１１１】
この後、サービスカテゴリ作成部１４Ｂは、選択アプリケーション組についてフラグなどにより処理済みとし（ステップ２０４）、全てのアプリケーション組について処理済みか確認する（ステップ２０５）。
ここで、未処理のアプリケーション組が存在する場合（ステップ２０５：ＮＯ）、ステップ２０２に戻って次のサービスカテゴリＸｍの処理を繰り返し実行する。
【０１１２】
また、全てのアプリケーション組について処理が終了している場合（ステップ２０５：ＹＥＳ）、サービスカテゴリ作成部１４Ｂは、アプリケーション組ごとに計算した分散比Ｊのうちから最小分散比Ｊｍｉｎ選択し、予め設定されている判定しきい値Ｊｔｈと比較する（ステップ２０６）。
ここで、最小分散比Ｊｍｉｎが判定しきい値Ｊｔｈより小さい場合（ステップ２０６：ＹＥＳ）、サービスカテゴリ作成部１４Ｂは、最小分散比Ｊｍｉｎが得られたアプリケーション組の２つのアプリケーションを１つのアプリケーションに統合し（ステップ２０７）、ステップ２０２へ移行して、次のアプリケーション組の処理を繰り返し実行する。
【０１１３】
一方、最小分散比Ｊｍｉｎが判定しきい値Ｊｔｈ以上の場合（ステップ２０６：ＮＯ）、サービスカテゴリ作成部１４Ｂは、選択アプリケーション組の２つのアプリケーションを別個のサービスクラスと判定し、アプリケーションの統合は行わない。
【０１１４】
このようにして、各アプリケーション組についてアプリケーションの統合可否を判定した後、サービスカテゴリ作成部１４Ｂは、選択特徴種別Ｙｎについてフラグなどにより処理済みとし（ステップ２０７）、全ての特徴種別Ｙについて処理済みか確認する（ステップ２０８）。
ここで、未処理の特徴種別Ｙｎが存在する場合（ステップ２０８：ＮＯ）、ステップ２０１に戻って次の特徴種別Ｙｎの処理を繰り返し実行する。
【０１１５】
また、全ての特徴種別Ｙｎについて処理が終了している場合（ステップ２０８：ＹＥＳ）、サービスカテゴリ作成部１４Ｂは、統合されたアプリケーションおよび統合できなかったアプリケーションごとに、サービスカテゴリをそれぞれ作成する（ステップ２０９）。この後、サービスカテゴリ作成部１４Ｂは、これらサービスカテゴリ別で、各短時間フローＦＳのフロー特徴量ＲＳを出力し（ステップ２１０）、一連のサービスカテゴリ作成処理を終了する。
【０１１６】
［代表特徴ベクトル計算動作］
次に、図２１を参照して、本実施の形態にかかる学習処理部１４における代表特徴ベクトル計算動作について説明する。図２１は、代表特徴ベクトル計算処理を示すフローチャートである。
【０１１７】
学習処理部１４の代表特徴ベクトル計算部１４Ｃは、サービスカテゴリ作成部１３Ｂで作成された各サービスカテゴリの代表特徴ベクトルを計算する際、図２１の代表特徴ベクトル計算処理を実行する。
【０１１８】
代表特徴ベクトル計算部１４Ｃは、まず、サービスカテゴリ作成部１３Ｂから、サービスカテゴリ別で、各短時間フローＦＳのフロー特徴量ＲＳを取得し（ステップ２２０）、代表特徴ベクトル計算処理を実行していない未処理のサービスカテゴリＸｍを１つ選択し（ステップ２２１）、代表特徴ベクトル計算処理を実行していない未処理の特徴種別Ｙｎを１つ選択する（ステップ２２２）。
【０１１９】
次に、代表特徴ベクトル計算部１４Ｃは、取得したフロー特徴量ＲＳのうちから、選択サービスカテゴリＸｍで選択特徴種別Ｙｎに関するフロー特徴量ＲＳｍｎを選択し（ステップ２２３）、これらフロー特徴量ＲＳｍｎからなる時系列データから、選択サービスカテゴリＸｍで選択特徴種別Ｙｎに関するフロー特徴ベクトルＶｍｎを計算する（ステップ２２４）。フロー特徴ベクトルＶｍｎの計算については、前述した図１３の特徴ベクトル計算動作で用いたケプストラム分析を用いればよい。
【０１２０】
続いて、代表特徴ベクトル計算部１４Ｃは、これらフロー特徴ベクトルＶｍｎを、例えばＬＢＧ（Linde-Buzo-Gray）＋ｓｐｌｉｔｔｉｎｇアルゴリズムなどのベクトル量子化処理を用いて、Ｋ個のクラスタにクラスタリングした後、これらクラスタｋごとに、当該クラスタに属するフロー特徴ベクトルＶｍｋｎから、例えば当該クラスタの中心値などからなる代表特徴ベクトルＶｍｋｎを計算する（ステップ２２５）。
【０１２１】
この後、代表特徴ベクトル計算部１４Ｃは、選択特徴種別Ｙｎについてフラグなどにより処理済みとし（ステップ２２６）、全ての特徴種別Ｙについて処理済みか確認する（ステップ２２７）。
ここで、未処理の特徴種別Ｙｎが存在する場合（ステップ２２７：ＮＯ）、ステップ２２２に戻って次の特徴種別Ｙｎの処理を繰り返し実行する。また、全ての特徴種別Ｙｎについて処理が終了している場合（ステップ２２７：ＹＥＳ）、代表特徴ベクトル計算部１４Ｃは、選択サービスカテゴリＸｍについてフラグなどにより処理済みとし（ステップ２２８）、全てのサービスカテゴリＸについて処理済みか確認する（ステップ２２９）。
【０１２２】
ここで、未処理のサービスカテゴリＸｍが存在する場合（ステップ２２９：ＮＯ）、ステップ２２１に戻って次のサービスカテゴリＸｍの処理を繰り返し実行する。また、全てのサービスカテゴリＸｍについて処理が終了している場合（ステップ２２９：ＹＥＳ）、代表特徴ベクトル計算部１４Ｃは、サービスカテゴリＸｍ別で、各特徴種別Ｙｎに関する代表特徴ベクトルＶｍｎを特徴量ＤＢ１２へ登録し（ステップ２３０）、一連の代表特徴ベクトル計算処理を終了する。
【０１２３】
［第２の実施の形態の効果］
このように、本実施の形態によれば、各種データ通信サービスのうち、ＦＴＰとファイル転送や、メール受信とメール送信、あるいはチャットとメッセンジャーなど、ほぼ同様の機能を持つデータ通信サービスを提供する複数のアプリケーションが１つのサービスカテゴリに統合されるため、元々トラヒック特性が近いアプリケーションを、１つのサービスカテゴリとして分類することができ、通信網の設計・運用・管理において、極めて有用な分類結果を得ることができる。
【０１２４】
また、本実施の形態では、サービスカテゴリ作成部１４Ｂで、２つのアプリケーションごとに、これらアプリケーションのフロー特徴量から、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比に応じてアプリケーションの統合可否を判定するようにしたので、極めて高い精度でアプリケーションを統合することができる。
【０１２５】
また、本実施の形態では、代表特徴ベクトル計算部１４Ｃで、当該サービスカテゴリに分類されたアプリケーションのフロー特徴量をクラスタリングし、得られたクラスタごとに計算した、当該クラスタに属するフロー特徴量を代表する代表値を代表特徴量として用い、これら代表特徴量から代表特徴ベクトル計算部１４Ｄにより代表特徴ベクトルを計算するようにしたので、極めて高い精度で入力パケット列に含まれる各フローをサービスアプリケーションに分類できる。
【０１２６】
［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
【符号の説明】
【０１２７】
１０…フロー分類システム、１１…トラヒックデータ収集部、１１Ａ…フロー生成部、１１Ｂ…同時フロー生成部、１１Ｃ…短時間フロー生成部、１１Ｄ…特徴量計算部、１１Ｅ…特徴ベクトル計算部、１１Ｆ…トラヒック情報ＤＢ、１２…特徴量ＤＢ、１３…サービスカテゴリ分類部、１３Ａ〜１３Ｎ…類似度計算部、１３Ｐ…類似度統合部、１３Ｑ…分類判定部、１４…学習処理部、１４Ａ…教師データ記憶部、１４Ｂ…サービスカテゴリ作成部、１４Ｃ…代表特徴ベクトル計算部、２０…管理端末、３０…通信網、Ｆ…フロー、ＦＣ，ＦＣｉ…同時フロー、ＦＳ，ＦＳｉｊ…短時間フロー、ｔｆ…基準到着間隔、ｔｃ…基準開始間隔、ｔｓ…単位到着間隔、ＲＳ，ＲＳｉｊ，ＲＳｉｊｎ…フロー特徴量、Ｖ，Ｖｉｎｒ…フロー特徴ベクトル、Ｘ，Ｘｍ，Ｘｎｅｗ…サービスカテゴリ、Ｙ，Ｙｎ…特徴種別、Ｖ，Ｖｍｎ，Ｖｍｋｎ…代表特徴ベクトル、Ｄ，Ｄｋ…差分、Ｓ，Ｓｉｍ，Ｓｉｍｎ…類似度、Ｓｉｈ…最高類似度、Ｓｔｈ…有意しきい値、σｘ，σｙ…分散（フロー特徴量）、ωｘ，ωｙ…要素数（フロー特徴量）、ｍｘ，ｍｙ…平均値（フロー特徴量）、σｗ2…クラス内分散、σｂ2…クラス間分散、Ｊ…分散比、Ｊｔｈ…判定しきい値。
【技術分野】
【０００１】
本発明は、通信管理技術に関し、特にデータ通信トラヒックをアプリケーション種別に基づいて分類するフロー分類技術に関する。
【背景技術】
【０００２】
近年における通信サービスの充実化やこのような通信サービスを利用するアプリケーションの発展に伴って、通信網上を流れるトラヒックも多様化かつ複雑化している。また、アプリケーションの種別ごとに、必要となる通信設備も異なる。このため、通信サービス事業者では、これらトラヒック需要に対応して、高い品質で通信サービスを提供するためには、需要の高いアプリケーション種別に応じた通信設備を、適切なタイミングで増減設する必要がある。
【０００３】
従来より、特定のビット列など、個々の種別のアプリケーションが有する動作上の特徴に注目し、その特徴付けられる動作の発生を監視することで、アプリケーションに関するトラヒックを検出する技術がある（以下、従来技術１という：例えば非特許文献１など参照）。この技術は、主にＰ２Ｐ型アプリケーションより送出されるトラヒックを検出することに適用されている。
【０００４】
また、通信網上を流れるトラヒックをフローと呼ばれるトラヒックの単位ごとに、例えばパケットサイズの平均等、パケットのヘッダ情報から得られる統計量からなる特徴量を用いて、データマイニング処理により分析することで、特定のフローを検出する技術が提案されている。この技術は、複数の特徴量を１つの識別器で分析する複数識別器の統合手法の一手段である、フィーチャーレベルのマルチモーダル手法がよく用いられている。
【０００５】
また、複数識別器の統合手法は、複数の特徴量それぞれで各アプリケーションとの類似度を求めたあと、類似度から再び識別器にかけることにより高精度な分析を実施するスコアレベルのマルチモーダル手法や、新たなサービスが発生した際にもそれが新たなサービスであることを識別する手法との組み合わせ(以下、従来技術２という：例えば非特許文献２など参照)が提案されている。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】八木,和泉,角田,根本、「ネットワークアプリケーション弁別のためのペイロード長の遷移パタンの評価方法に関する一検討」、信学技報,TM2007-34、社団法人電子情報通信学会、2007-11
【非特許文献２】市野、山下、星、小松、竹下、辻野、岩下、吉野、「Internet Traffic Classification Using Score Level Fusion of Multiple Classifier」、ICIS2010, IEEE, 2010-08
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、このような従来技術では、いずれの技術もフローの分類について十分な分類精度が得られないという問題点があった。
例えば、従来技術１では、ソフトウェアの動作を基に識別を行うため、ソフトウェアのバージョンアップや新しいソフトウェアにより同じアプリケーションでも動作が異なるケースに対応することが難しい。また、通信内容を基にアプリケーションを判別する方法はプライバシーの問題もある。
また、従来技術２では、ソフトウェアの変更により受ける影響は小さいものの、そもそも分類精度が低いという問題点があった。
【０００８】
本発明はこのような課題を解決するためのものであり、通信網上のトラヒックに含まれる各種フローをより高い精度で分類できるフロー分類技術を提供することを目的としている。
【課題を解決するための手段】
【０００９】
このような目的を達成するために、本発明にかかるフロー分類方法は、通信網から収集した入力パケット列に基づいて通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいてフローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムで用いられるフロー分類方法であって、特徴量データベースが、サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴ベクトルを記憶する記憶ステップと、トラヒックデータ収集部が、入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、同時フローごとにフロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算するトラヒックデータ収集ステップと、分類処理部が、各同時フローについて、サービスカテゴリごとに、当該同時フローに関するフロー特徴ベクトルと当該サービスカテゴリの代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、最高類似度が有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理ステップとを備えている。
【００１０】
この際、トラヒックデータ収集ステップで、時系列データを線形予測分析を行うことにより同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数からフロー特徴ベクトルを生成するようにしてもよい。
【００１１】
また、記憶ステップで、代表特徴ベクトルとして、当該サービスカテゴリに含まれる短時間フローのフロー特徴量をクラスタリングして得られたクラスタごとに、当該クラスタに含まれるフロー特徴量から計算した代表ベクトルを記憶し、分類処理ステップで、代表特徴ベクトルを構成する代表値ごとに、各フロー特徴ベクトルとの差分の最小値を求め、これら最小差分を統計処理することにより類似度を計算するようにしてもよい。
【００１２】
また、記憶ステップで、サービスカテゴリごとに、複数の異なる特徴種別のそれぞれについて代表特徴ベクトルを記憶し、トラヒックデータ収集ステップで、短時間フローごとに、特徴種別のそれぞれについてフロー特徴ベクトルを計算し、分類処理ステップで、同時フローとサービスカテゴリとの類似度に代えて、特徴種別ごとに種別類似度を計算し、これら種別類似度を統計処理することにより類似度を計算するようにしてもよい。
【００１３】
また、サービスカテゴリ作成部が、対応するアプリケーションがパケットごとにそれぞれ既知である教師パケット列について、入力パケット列と同様にして生成した短時間フローごとにフロー特徴量を計算し、アプリケーションのうちから選択した２つの異なるアプリケーションごとに、これらアプリケーションに属するフロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比が判定しきい値より小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリをそれぞれ作成するサービスカテゴリ作成ステップと、特徴量計算部が、サービスカテゴリ作成ステップで作成したサービスカテゴリごとに、当該サービスカテゴリに分類されたアプリケーションに属するフロー特徴量から、当該サービスカテゴリに分類されるフローの特徴を示すフロー特徴量を計算して、特徴量データベースへ保存する特徴量計算ステップとをさらに備えてもよい。
【００１４】
この際、特徴量計算ステップで、当該サービスカテゴリに分類されたアプリケーションに属するフロー特徴量をクラスタリングし、得られたクラスタごとに、当該クラスタに属するフロー特徴量からなる時系列データに基づき、これらフロー特徴量の時間的変化の特徴を示す特徴ベクトルを計算し、得られた特徴ベクトルを当該サービスクラスの代表特徴ベクトルとして特徴量データベースへ保存するようにしてもよい。
【００１５】
また、本発明にかかるフロー分類システムは、通信網から収集した入力パケット列に基づいて通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいてフローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムであって、サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴ベクトルを記憶する特徴量データベースと、入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、同時フローごとにフロー特徴量の時間的変化を示す特徴ベクトルを計算するトラヒックデータ収集部と、各同時フローについて、サービスカテゴリごとに、当該同時フローに関するフロー特徴ベクトルと当該サービスカテゴリの代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、最高類似度が有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理部とを備えている。
【００１６】
この際、トラヒックデータ収集部で、時系列データを線形予測分析を行うことにより同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数からフロー特徴ベクトルを生成するようにしてもよい。
【００１７】
また、本発明にかかるプログラムは、コンピュータに、前述したいずれか１つのフロー分類方法の各ステップを実行させるためのプログラムである。
【発明の効果】
【００１８】
アプリケーションには同時フローの時間軸上での変動に特徴があるが、フロー特徴量そのものを利用した場合、時間軸上での変動情報を扱うことはできない。本発明によれば、同時フローの特徴量に関する時間軸上での緩やかな変動を考慮してフローの類似性を判定することができる。このため、フロー特徴量そのものに基づき類似性を判定する場合と比較して、トラヒックの時間的な変動を利用した識別を行うことができる。
したがって、本実施の形態をデータ通信サービスのネットワーク管理に適用すれば、映像フローのような品質条件が厳しいフローに対して優先制御を行う等のトラヒック制御を用いることで、同じ設備量でよりユーザ満足度の高いネットワークを提供することができる。また、アプリケーションごとのトラヒック需要量を正確に把握できるため、高精度なトラヒック需要の予測を行うことができ、結果として、ユーザ満足度の更なる向上を実現することが可能となる。
【図面の簡単な説明】
【００１９】
【図１】第１の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【図２】特徴量データベースの構成例である。
【図３】トラヒックデータ収集部の構成を示すブロック図である。
【図４】サービスカテゴリ分類部の構成を示すブロック図である。
【図５】フロー生成処理を示すフローチャートである。
【図６】同時フロー生成処理を示すフローチャートである。
【図７】短時間フロー生成処理を示すフローチャートである。
【図８】特徴量計算処理を示すフローチャートである。
【図９】入力パケット列の構成例である。
【図１０】同時フローの構成例である。
【図１１】短時間フローの構成例である。
【図１２】トラヒックデータ収集部の動作例を示すシーケンス図である。
【図１３】特徴ベクトル計算処理を示すフローチャートである。
【図１４】類似度計算処理を示すフローチャートである。
【図１５】類似度計算処理を示す説明図である。
【図１６】分類判定処理を示すフローチャートである。
【図１７】分類判定処理を示す説明図である。
【図１８】第２の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【図１９】学習処理部の構成を示すブロック図である。
【図２０】サービスカテゴリ作成処理を示すフローチャートである。
【図２１】代表特徴ベクトル計算処理を示すフローチャートである。
【発明を実施するための形態】
【００２０】
次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかるフロー分類システムについて説明する。図１は、第１の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【００２１】
このフロー分類システム１０は、全体として、１つまたは複数の、サーバ装置やパーソナルコンピュータなどの情報処理装置から構成されて、通信網３０から収集した入力パケット列に基づいて通信網３０上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいて当該トラヒックをデータ通信サービスのサービスカテゴリごとに分類し、その分類結果を管理端末２０へ出力して表示するシステムである。
【００２２】
本実施の形態は、入力パケット列に含まれる各パケットの送信先ＩＰアドレスと到着時刻に基づいて、これらパケットを同時フローとして統合するとともに、これら同時フローを短時間フローに分割して、短時間フローごとに当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、同時フローごとにフロー特徴量の時間的変化を示すフロー特徴ベクトルを計算し、同時フローとサービスカテゴリとの組み合わせごとに、当該同時フローに関するフロー特徴ベクトルと当該サービスカテゴリの代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度のサービスカテゴリに分類し、最高類似度が有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類するようにしたものである。
【００２３】
［フロー分類システム］
次に、図１を参照して、本実施の形態にかかるフロー分類システムの構成について詳細に説明する。
【００２４】
フロー分類システム１０には、主な機能部として、トラヒックデータ収集部１１、特徴量データベース（以下、特徴量ＤＢという）１２、およびサービスカテゴリ分類部１３が設けられている。
これら機能部のうち、トラヒックデータ収集部１１およびサービスカテゴリ分類部１３は、ＣＰＵなどのマイクロプロセッサで記憶部（図示せず）から読み出したプログラムを実行することにより各機能部を実現する演算処理部で実現されており、特徴量ＤＢ１２は、ハードディスクなどの記憶装置で実現されている。
【００２５】
トラヒックデータ収集部１１は、通信網３０から収集した時系列の入力パケット列に含まれる各パケットの送信先ＩＰアドレスと到着時刻に基づいて、入力パケット列に含まれるフローＦを同時フローＦＣとして統合する機能と、これら同時フローＦＣから複数の短時間フローＦＳを生成する機能と、各同時フローＦＣｉの短時間フローＦＳｉｊごとに、当該短時間フローＦＳｉｊの特徴を示すフロー特徴量ＲＳｉｊを計算する機能を有している。
【００２６】
特徴量ＤＢ１２は、フローを分類するサービスカテゴリＸごとに、当該サービスカテゴリＸｍに分類されるフローの特徴を示す代表特徴ベクトルＶｍを記憶する機能を有している。
図２は、特徴量データベースの構成例である。ここでは、各種のサービスカテゴリＸごとに、各特徴種別Ｙとその代表特徴ベクトルＶｍとが組として登録されている。
【００２７】
このうち、サービスカテゴリＸとしては、ＦＴＰ、電子メール送信・受信、チャット、オンラインゲーム、動画など、各種アプリケーションに対応したデータ通信サービスが登録されている。また、特徴種別Ｙとしては、パケット総数、パケットサイズの合計・平均値・標準偏差、パケット到着間隔の合計・平均値・標準偏差など、短時間フローＦＳに含まれるパケットに関するパケット数、パケットサイズ、または到着間隔を統計処理して得られる特徴種別が登録されている。また、代表特徴ベクトルＶｍとしては、当該特徴種別Ｙの特徴量をクラスタリングして得られた各クラスタ１，クラスタ２，…ごとに、当該クラスタに属する特徴量の時間的変化の特徴を示す特徴ベクトルが登録されている。
【００２８】
サービスカテゴリ分類部１３は、トラヒックデータ収集部１１で生成された、分類対象となる同時フローＦＣｉについて、特徴量ＤＢ１２に登録されているサービスカテゴリＸｍごとに、当該同時フローＦＣｉに関するフロー特徴ベクトルＶＳｉｊと、特徴量ＤＢ１２から取得した当該サービスカテゴリＸｍの代表特徴ベクトルＶｍとに基づいて、当該同時フローＦＣｉと当該サービスカテゴリＸｍとの類似性を示す類似度Ｓｉｍを計算する機能と、これら類似度Ｓｉｍのうち最も高い類似性を示す最高類似度Ｓｉｈが所定の有意範囲に含まれる場合には、当該同時フローＦＣｉを当該最高類似度Ｓｉｈが得られたサービスカテゴリＸｍに分類し、最高類似度Ｓｉｈが有意範囲に含まれない場合には、当該同時フローＦＣｉを新たなサービスカテゴリＸｎｅｗに分類する機能とを有している。
【００２９】
［トラヒックデータ収集部］
次に、図３を参照して、トラヒックデータ収集部１１の構成について詳細に説明する。図３は、トラヒックデータ収集部の構成を示すブロック図である。
トラヒックデータ収集部１１には、主な処理部として、フロー生成部１１Ａ、同時フロー生成部１１Ｂ、短時間フロー生成部１１Ｃ、特徴量計算部１１Ｄ、特徴ベクトル計算部１１Ｅ、およびトラヒック情報データベース（以下、トラヒック情報ＤＢという）１１Ｆが設けられている。
【００３０】
フロー生成部１１Ａは、通信網３０から収集した入力パケット列のうち、当該パケットから取得したフロー分類用の識別情報が同一のパケットであって、かつパケット到着間隔が基準到着間隔以下である複数のパケットを、１つのフローＦとして統合することにより、通信網３０から収集した入力パケット列からフローＦを生成する機能を有している。
【００３１】
同時フロー生成部１１Ｂは、フロー生成部１１Ａで生成されたフローＦのうち、当該フローＦに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔ｔｃ以下である複数のフローを、１つの同時フローＦＣｉとして統合することにより、フロー生成部１１Ａで生成されたフローから同時フローＦＣを生成する機能を有している。
【００３２】
短時間フロー生成部１１Ｃは、同時フロー生成部１１Ｂで生成された同時フローＦＣごとに、当該同時フローＦＣｉに含まれるパケットのうち、単位到着間隔ｔｓ内に続けて到着したパケットを、１つの短時間フローＦＳｉｊとして統合することにより、同時フロー生成部１１Ｂで生成された同時フローＦＣｉのそれぞれから短時間フローＦＳｉｊを生成する機能を有している。
【００３３】
特徴量計算部１１Ｄは、短時間フロー生成部１１Ｃで生成された短時間フローＦＳｉｊごとに、当該短時間フローＦＳｉｊに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローＦＳｉｊの特徴を示すフロー特徴量ＲＳｉｊを計算する機能を有している。
【００３４】
特徴ベクトル計算部１１Ｅは、特徴量計算部１１Ｄで計算された各同時フローＦＣｉに属する短時間フローＦＳｉｊごとのフロー特徴量ＲＳｉｊからなる時系列データから、同時フローＦＣｉごとに当該フロー特徴量ＲＳｉｊの時間的変化の特徴を示すフロー特徴ベクトルＶｉを計算する機能を有している。
トラヒック情報ＤＢ１１Ｆは、同時フローＦＣｉごとに、特徴ベクトル計算部１１Ｅで計算したフロー特徴ベクトルＶｉを記憶する機能を有している。
【００３５】
［サービスカテゴリ分類部］
次に、図４を参照して、サービスカテゴリ分類部１３の構成について詳細に説明する。図４は、サービスカテゴリ分類部の構成を示すブロック図である。
サービスカテゴリ分類部１３には、主な処理部として、類似度計算部１３Ａ−１３Ｎ、類似度統合部１３Ｐ、および分類判定部１３Ｑが設けられている。
【００３６】
類似度計算部１３Ａ−１３Ｎは、特徴量ＤＢ１２に登録されている特徴種別Ｙｎ（ｎ＝１…Ｎ）ごとに設けられて、トラヒックデータ収集部１１で生成された同時フローＦＣｉと、特徴量ＤＢ１２に登録されているサービスカテゴリＸｍとの組み合わせごとに、当該同時フローＦＣｉに関するフロー特徴ベクトルＶｉと当該サービスカテゴリＸｍの代表特徴ベクトルＶｍとに基づいて、特徴種別Ｙｎに関する当該同時フローＦＣｉと当該サービスカテゴリＸｍとの類似性を示す類似度Ｓｉｍｎをそれぞれ計算する機能を有している。
【００３７】
類似度統合部１３Ｐは、各同時フローＦＣｉとサービスカテゴリＸｍとの組み合わせごとに、類似度計算部１３Ａ−１３Ｎでそれぞれ計算した特徴種別Ｙｎに関する類似度Ｓｉｍｎを、１つのカテゴリ類似度Ｓｉｍに統合する機能を有している。
【００３８】
分類判定部１３Ｑは、各同時フローＦＣｉについて、類似度統合部１３Ｐで当該同時フローＦＣｉとサービスカテゴリＸｍとの組み合わせごとに得られた類似度Ｓｉｍのうち、最も高い類似性を示す最高類似度Ｓｉｈと有意範囲とを比較する機能と、最高類似度Ｓｉｈが所定の有意範囲に含まれる場合には、当該同時フローＦＣｉを当該最高類似度ＳｉｈのサービスカテゴリＸｍに分類し、最高類似度Ｓｉｈが有意範囲に含まれない場合には、当該同時フローＦＣｉを新たなサービスカテゴリＸｎｅｗに分類する機能とを有している。
【００３９】
［第１の実施の形態の動作］
次に、本実施の形態にかかるフロー分類システム１０の動作について詳細に説明する。
【００４０】
［フロー生成動作］
まず、図５を参照して、本実施の形態にかかるトラヒックデータ収集部１１におけるフロー生成動作について説明する。図５は、フロー生成処理を示すフローチャートである。
トラヒックデータ収集部１１のフロー生成部１１Ａは、通信網３０から収集した入力パケット列からフローを生成する際、図５のフロー生成処理を実行する。
【００４１】
フロー生成部１１Ａは、まず、通信網３０から収集した入力パケット列を取得し（ステップ１００）、この入力パケット列の先頭から、いずれのフローにも統合していない未処理のパケットを１つ選択し（ステップ１０１）、当該パケットから取得したフロー分類用の識別情報が、統合処理中フローのいずれかと一致するか確認する（ステップ１０２）。この際、フロー分類用の識別情報としては、送信元・送信先のＩＰアドレス、送信元・送信先のポート番号、プロトコル種別などを組み合わせて用いればよい。
【００４２】
ここで、識別情報が一致する処理中フローが存在しない場合（ステップ１０２：ＮＯ）、フロー生成部１１Ａは、新たなフロー番号を当該選択パケットに付加して新たなフローを生成し、当該新たなフロー番号のフローを処理中フローとする（ステップ１０３）。
一方、識別情報が一致する処理中フローが存在する場合（ステップ１０２：ＹＥＳ）、フロー生成部１１Ａは、当該処理中フローの最後尾パケットと選択パケットとの到着間隔を基準到着間隔ｔｆとを比較する（ステップ１０４）。
【００４３】
ここで、最後尾パケットと選択パケットとの到着間隔が基準到着間隔ｔｆより大きかった場合（ステップ１０４：ＮＯ）、フロー生成部１１Ａは、当該処理中フローが終了したと判定して処理中フローから除外した後（ステップ１０５）、ステップ１０３に移行して、新たなフロー番号を当該選択パケットに付加して新たなフローを生成し、当該新たなフロー番号のフローを処理中フローとする。
一方、最後尾パケットと選択パケットとの到着間隔が基準到着間隔ｔｆ以内であった場合（ステップ１０４：ＹＥＳ）、フロー生成部１１Ａは、当該処理中フローのフロー番号を選択パケットに付加する（ステップ１０６）。
【００４４】
このようにして、選択パケットにフロー番号を付加することによりフローＦを生成した後、フロー生成部１１Ａは、選択パケットをフラグなどにより処理済みとし（ステップ１０７）、入力パケット列のうち全てのパケットについて処理が終了したか確認する（ステップ１０８）。
ここで、未処理のパケットが存在する場合（ステップ１０８：ＮＯ）、ステップ１０１に戻って次のパケットの処理を繰り返し実行する。また、全てのパケットについて処理が終了している場合（ステップ１０８：ＹＥＳ）、フロー生成部１１Ａは、個々のパケットにフロー番号を付加した入力パケット列を出力し（ステップ１０９）、一連のフロー生成処理を終了する。
【００４５】
［同時フロー生成動作］
次に、図６を参照して、本実施の形態にかかるトラヒックデータ収集部１１における同時フロー生成動作について説明する。図６は、同時フロー生成処理を示すフローチャートである。
【００４６】
トラヒックデータ収集部１１の同時フロー生成部１１Ｂは、フロー生成部１１Ａで生成されたフローから同時フローを生成する際、図６の同時フロー生成処理を実行する。
【００４７】
同時フロー生成部１１Ｂは、まず、フロー生成部１１Ａで生成されたフロー番号付き入力パケット列を取得し（ステップ１１０）、この入力パケット列から、いずれの同時フローにも統合していない未処理のフローＦｔを１つ選択する（ステップ１１１）。
次に、同時フロー生成部１１Ｂは、選択フローＦｔのパケットから送信先ＩＰアドレスを取得し、他の未処理のフローＦのうち、送信先ＩＰアドレスが選択フローＦｔと同じフローの有無を確認する（ステップ１１２）。
【００４８】
ここで、送信先ＩＰアドレスが選択フローＦｔと同じフローを確認した場合（ステップ１１２：ＹＥＳ）、同時フロー生成部１１Ｂは、これら確認フローＦｃのうちから、選択フローＦｔとのフロー開始間隔（絶対値）が基準開始間隔ｔｃ以下のフローＦａを抽出し（ステップ１１３）、これら抽出フローＦａと選択フローＦｔの両方のパケットに、新たな同時フロー番号を付加して新たな同時フローＦＣｉを生成し（ステップ１１４）、これらフローＦｔ，Ｆａをフラグなどにより処理済みとする（ステップ１１５）。
【００４９】
一方、送信先ＩＰアドレスが選択フローＦｔと同じフローＦを確認できなかった場合（ステップ１１２：ＮＯ）、同時フロー生成部１１Ｂは、選択フローＦｔのパケットのそれぞれに、新たな同時フロー番号を付加して新たな同時フローＦＣｉを生成し（ステップ１１６）、選択フローＦｔをフラグなどにより処理済みとする（ステップ１１７）。
【００５０】
このようにして、選択フローＦｔや抽出フローＦａに同時フロー番号を付加することにより同時フローＦＣｉを生成した後、同時フロー生成部１１Ｂは、入力パケット列のうち全てのフローＦについて処理が終了したか確認する（ステップ１１８）。
ここで、未処理のフローＦが存在する場合（ステップ１１８：ＮＯ）、ステップ１１１に戻って次のフローＦの処理を繰り返し実行する。また、全てのフローについて処理が終了している場合（ステップ１１８：ＹＥＳ）、同時フロー生成部１１Ｂは、個々のパケットに同時フロー番号を付加した入力パケット列を出力し（ステップ１１９）、一連の同時フロー生成処理を終了する。
【００５１】
［短時間フロー生成動作］
次に、図７を参照して、本実施の形態にかかるトラヒックデータ収集部１１における短時間フロー生成動作について説明する。図７は、短時間フロー生成処理を示すフローチャートである。
【００５２】
トラヒックデータ収集部１１の短時間フロー生成部１１Ｃは、同時フロー生成部１１Ｂで生成された同時フローから短時間フローを生成する際、図７の同時フロー生成処理を実行する。
【００５３】
短時間フロー生成部１１Ｃは、まず、同時フロー生成部１１Ｂで生成された同時フロー番号付き入力パケット列を取得し（ステップ１２０）、この入力パケット列から、短時間フローを生成していない未処理の同時フローＦＣｉを１つ選択し（ステップ１２１）、この選択同時フローＦＣｉの先頭から、短時間フロー番号を付加していない未処理のパケットを１つ選択する（ステップ１２２）。
次に、短時間フロー生成部１１Ｃは、選択同時フローＦＣｉに含まれる他のパケットのうち、選択パケットとの到着間隔が単位到着間隔ｔｓ内に到着した近接パケットが存在するか確認する（ステップ１２３）。
【００５４】
ここで、近接パケットの存在を確認した場合（ステップ１２３：ＹＥＳ）、短時間フロー生成部１１Ｃは、これら近接パケットと選択パケットの両方に、同一の新たな短時間フロー番号を付加することにより新たな短時間フローＦＳｉｊを生成し（ステップ１２４）、これらパケットをフラグなどにより処理済みとする（ステップ１２５）。
一方、近接パケットの存在を確認できなかった場合（ステップ１２３：ＮＯ）、短時間フロー生成部１１Ｃは、選択パケットに新たな短時間フロー番号を付加することにより新たな短時間フローＦＳｉｊを生成し（ステップ１２６）、ステップ１２５へ移行して、選択パケットをフラグなどにより処理済みとする。
【００５５】
このようにして、近接パケットおよび選択パケット、または選択パケットに短時間フロー番号を付加した後、短時間フロー生成部１１Ｃは、選択同時フローのうち全てのパケットについて処理が終了したか確認する（ステップ１２７）。
ここで、選択同時フローに未処理のパケットが存在する場合（ステップ１２７：ＮＯ）、ステップ１２２に戻って次のパケットの処理を繰り返し実行する。また、選択同時フローの全てのパケットについて処理が終了している場合（ステップ１２７：ＹＥＳ）、短時間フロー生成部１１Ｃは、入力パケット列のうち全ての同時フローＣについて処理が終了したか確認する（ステップ１２８）。
【００５６】
ここで、未処理の同時フローが存在する場合（ステップ１２８：ＮＯ）、短時間フロー生成部１１Ｃは、ステップ１２１に戻って次の同時フローＦＣの処理を繰り返し実行する。また、全ての同時フローＦＣについて処理が終了している場合（ステップ１２８：ＹＥＳ）、短時間フロー生成部１１Ｃは、個々のパケットに短時間フロー番号と同時フロー番号を付加した入力パケット列を出力し（ステップ１２９）、一連の短時間フロー生成処理を終了する。
【００５７】
［特徴量計算動作］
次に、図８を参照して、本実施の形態にかかるトラヒックデータ収集部１１における特徴量計算動作について説明する。図８は、特徴量計算処理を示すフローチャートである。
【００５８】
トラヒックデータ収集部１１の特徴量計算部１１Ｄは、短時間フロー生成部１１Ｃで生成された短時間フローについてフロー特徴量を計算する際、図８の特徴量計算処理を実行する。ここでは、短時間フローごとに、各特徴種別Ｙについてそれぞれフロー特徴量が計算される。
【００５９】
特徴量計算部１１Ｄは、まず、短時間フロー生成部１１Ｃで生成された短時間フローと同時フロー番号を付加した入力パケット列を取得し（ステップ１３０）、この入力パケット列から、特徴量を計算していない未処理の同時フローＦＣｉを１つ選択し（ステップ１３１）、この選択同時フローＦＣｉの先頭から、特徴量を計算していない未処理の短時間フローＦＳｉｊを１つ選択する（ステップ１３２）。
【００６０】
次に、特徴量計算部１１Ｄは、選択短時間フローＦＳｉｊに含まれる各パケットについて、前述の図２に示した特徴種別Ｙごとにフロー特徴量ＲＳｉｊを計算し（ステップ１３３）、選択短時間フローＦＳｉｊをフラグなどにより処理済みとする（ステップ１３４）。
この後、特徴量計算部１１Ｄは、選択同時フローＦＣｉのうち全ての短時間フローＦＳｉｊについて処理が終了したか確認する（ステップ１３５）。
【００６１】
ここで、未処理の短時間フローＦＳｉｊが存在する場合（ステップ１３５：ＮＯ）、ステップ１３２へ戻って次の短時間フローＦＳｉｊの処理を繰り返し実行する。また、全ての短時間フローＦＳについて処理が終了している場合（ステップ１３５：ＹＥＳ）、特徴量計算部１１Ｄは、入力パケット列のうち全ての同時フローＦＣについて処理が終了したか確認する（ステップ１３６）。
【００６２】
ここで、未処理の同時フローＦＣｉが存在する場合（ステップ１３６：ＮＯ）、ステップ１３１に戻って次の同時フローＦＣの処理を繰り返し実行する。また、全ての同時フローＦＣについて処理が終了している場合（ステップ１３６：ＹＥＳ）、特徴量計算部１１Ｄは、同時フロー番号ごとに、各特徴種別に関するフロー特徴量ＲＳｉｊを、各短時間フローＦＳｉｊに対応する時系列データとして出力し（ステップ１３７）、一連の特徴量計算処理を終了する。
【００６３】
［トラヒックデータ収集部の動作例］
次に、図９〜図１２を参照して、本実施の形態にかかるトラヒックデータ収集部１１の動作例について説明する。図９は、入力パケット列の構成例である。図１０は、同時フローの構成例である。図１１は、短時間フローの構成例である。図１２は、トラヒックデータ収集部の動作例を示すシーケンス図である。
【００６４】
トラヒックデータ収集部１１では、まず、フロー生成部１１Ａにより、通信網３０から収集した入力パケット列から、フローＦが生成される。この動作例では、送信元・送信先のＩＰアドレス、送信元・送信先のポート番号、プロトコル種別の組み合わせ（以下、５−ｔｕｐｌｅという）により、フローＦが識別されている。
ここで、入力パケット列のうち、５−ｔｕｐｌｅが同じであり、基準到着間隔ｔｆ以内のパケットＰ１，Ｐ４からなるフローＦ１、パケットＰ２からなるフローＦ２、パケットＰ３からなるフローＦ３の合わせて３つのフローが生成されたものとする。
【００６５】
次に、同時フロー生成部１１Ｂにより、同一送信先ＩＰアドレスであるこれらフローＦ１〜Ｆ３について、同時フローＦＣへの統合可否が確認される。ここで、基準開始間隔ｔｃ＝５秒とした場合、Ｆ１の先頭パケットＰ１とＦ２の先頭パケットＰ２との到着間隔ｔ１２が１秒であり、ｔ１２＜ｔｃであることから、Ｆ１とＦ２は１つの同時フローＦＣ１に統合される。また、Ｆ３の先頭パケットＰ３との到着間隔ｔ１３が４秒であり、ｔ１３＜ｔｃであることから、Ｆ３も同時フローＦＣ１に統合される。これにより、Ｆ１〜Ｆ３がＦＣ１に統合されたことになる。
【００６６】
次に、短時間フロー生成部１１Ｃにより、同時フローＦＣ１について短時間フローＦＳの生成可否が確認される。ここで、単位到着間隔ｔｓ＝１秒とした場合、Ｐ１とＰ２の到着間隔ｔ１２が１秒であり、ｔ１２≦ｔｓであることから、Ｐ１とＰ２が１つの短時間フローＦＳ１１に統合される。また、Ｐ２とＰ３の到着間隔ｔ２３が３秒であり、ｔ２３＞ｔｓであることから、Ｐ２，Ｐ３は１つの短時間フローとして統合されず、Ｐ２は新たな短時間フローＦＳ１２となる。また、Ｐ３とＰ４の到着間隔ｔ３４が５秒であり、ｔ３４＞ｔｓであることから、Ｐ３，Ｐ４は１つの短時間フローとして統合されず、Ｐ３，Ｐ４はそれぞれ新たな短時間フローＦＳ１３，ＦＳ１４となる。
【００６７】
［特徴ベクトル計算動作］
次に、図１３を参照して、本実施の形態にかかるトラヒックデータ収集部１１における特徴ベクトル計算動作について説明する。図１３は、特徴ベクトル計算処理を示すフローチャートである。
【００６８】
トラヒックデータ収集部１１の特徴ベクトル計算部１１Ｅは、特徴量計算部１１Ｄで計算されたフロー特徴量の時系列データから、同時フローごとにフロー特徴ベクトルを計算する際、図１３の特徴量計算処理を実行する。ここでは、同時フローＦＣｉごとに、各特徴種別Ｙに関するフロー特徴ベクトルが計算される。
【００６９】
特徴ベクトル計算部１１Ｅは、まず、特徴量計算部１１Ｄで計算された、同時フローＦＣごとに、各特徴種別Ｙに関するフロー特徴量の時系列データを取得して（ステップ１４０）、この時系列データから、フロー特徴ベクトルを計算していない未処理の同時フローＦＣｉを１つ選択する（ステップ１４１）。
【００７０】
続いて、特徴ベクトル計算部１１Ｅは、選択同時フローＦＣｉについて、フロー特徴ベクトルを計算していない未処理の特徴種別Ｙｎを選択し（ステップ１４２）、これら選択同時フローＦＣｉおよび選択特徴種別Ｙｎに対応する時系列データを、所定の時間長を有するフレームＦＲごとに分割する（ステップ１４３）。フレームＦＲの時間長は、短時間フローごとに計算したフロー特徴量を、後述するケプストラム分析を実行できる数だけ含む十分な時間長に設定しておく。なお、同時フローＦＣ内に複数のフレームが存在していてもよい。また、同時フローの時間長がフレーム時間長よりも短い場合には、同時フローの時間長を使用して計算を行う。
【００７１】
この後、特徴ベクトル計算部１１Ｅは、選択同時フローＦＣｉの選択特徴種別Ｙｎについて、フレームＦＲｒごとに得られたフロー特徴量を、それぞれのフロー特徴量の各要素に対して平均などの統計処理を行うことにより、選択同時フローＦＣの選択特徴種別Ｙｎに対応する１つのフロー特徴量を求める（ステップ１４４）。
【００７２】
続いて、特徴ベクトル計算部１１Ｅは、分割して得られたフレームのうちから、フロー特徴量の統計量を計算していない未処理のフレームＦＲｉｎｒに属する時系列データを選択する（ステップ１４５）。
【００７３】
次に、特徴ベクトル計算部１１Ｅは、選択した時系列データを線形予測分析処理することにより、当該フレームの線形予測係数を計算する（ステップ１４６）
これら時系列データのうちの任意の標本値ｘｐについて、これに隣接する過去のｑ個（ｑは２以上の整数）の過去標本値ｘｐ−ｑ（ｑ＝１，２，…，Ｑ）との間に、過去標本値ｘｐ−ｑとある係数αｑをそれぞれ乗算して加え合わせた線形１次結合が成立し、次の式（１）が成り立つ。
【数１】
【００７４】
これら係数αｑは、線形予測係数と呼ばれ、線形予測残差ｘｐ−＾ｘｐの自乗平均が最小となるよう計算される。この線形予測係数の計算方法については、自己相関を求めて決定するレビンソン・ダービン法（Levinson-Durbin algorithm）などの公知の計算手法を用いればよい。
【００７５】
この後、特徴ベクトル計算部１１Ｅは、得られた線形予測係数αｇをケプストラム（cepstrum）分析することにより、当該フレームＦＲｉｎｒの時系列データ、すなわちフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数Ｃｐを求め、これらケプストラム係数から当該フレームＦＲｉｎｒに関するフロー特徴ベクトルＶｉｎｒを生成する（ステップ１４７）。
【００７６】
線形予測係数αｇは、次の線形システムを決定することに用いられ、その線形システムにインパルス列または白色雑音を印加することによって、トラヒックが生成されたものと見なす。これにより、スペクトル包絡の特性関数Ｈ（ｚ）は、次の式（２）で求められる。
【数２】
【００７７】
ケプストラム係数Ｃｐは、トラヒック信号スペクトラムのケプストラム領域の値であり、次の式（３）により、特性関数Ｈ（ｚ）をケプストラム領域に変換した特性関数Ｈ（ω）を求めた後、次の式（４）により、ケプストラム係数Ｃｐが求められる。
【数３】
【数４】
【００７８】
このケプストラム係数の計算方法については、フーリエ変換、逆フーリエ変換、離散フーリエ変換（ＤＦＴ）など、公知の計算手法を用いればよい。
実際には、ケプストラム係数の計算時に、予め設定した規定数ｄ個だけケプストラム係数を計算し、これらｄ個のケプストラム係数を並べることによりフロー特徴ベクトルＶｉｎｒ＝（Ｃ１，Ｃ２，…，Ｃｄ）を生成する。
【００７９】
この後、特徴ベクトル計算部１１Ｅは、すべてのフレームＦＲについて処理が終了したか確認する（ステップ１４８）。
ここで、未処理のフレームＦＲｉｎｒが存在する場合（ステップ１４８：ＮＯ）、ステップ１４５へ戻って次のフレームＦＲｉｎｒの処理を繰り返し実行する。
【００８０】
また、全てのフレームＦＲについて処理が終了している場合（ステップ１４８：ＹＥＳ）、特徴ベクトル計算部１１Ｅは、全ての特徴種別Ｙについて処理が終了したか確認する（ステップ１４９）。
ここで、未処理の特徴種別Ｙｎが存在する場合（ステップ１４９：ＮＯ）、ステップ１４２へ戻って次の同時フローＦＣｉの処理を繰り返し実行する。
【００８１】
この後、特徴ベクトル計算部１１Ｅは、全ての同時フローＦＣについて処理が終了したか確認する（ステップ１５０）。
ここで、未処理の同時フローＦＣｉが存在する場合（ステップ１５０：ＮＯ）、ステップ１４１へ戻って次の同時フローＦＣｉの処理を繰り返し実行する。
【００８２】
また、全ての同時フローＦＣについて処理が終了している場合（ステップ１５０：ＹＥＳ）、特徴ベクトル計算部１１Ｅは、同時フロー番号ｉごとに、各特徴種別Ｙｎのフロー特徴ベクトルＶｉｎを出力し（ステップ１５１）、一連の特徴ベクトル計算処理を終了する。
【００８３】
［類似度計算処理］
次に、図１４および図１５を参照して、本実施の形態にかかるサービスカテゴリ分類部１３における類似度計算動作について説明する。図１４は、類似度計算処理を示すフローチャートである。図１５は、類似度計算処理を示す説明図である。
【００８４】
サービスカテゴリ分類部１３の類似度計算部１３Ａ〜１３Ｎは、同時フローＦＣｉの種別類似度Ｓｉを計算する際、それぞれの特徴種別Ｙについて、図１４の類似度計算処理を実行する。ここでは、類似度計算部１３Ａにおいて、特徴種別Ｙのうち特徴種別Ｙｎに関する種別類似度Ｓｉｎを計算する場合を例として説明する。実際には、類似度計算部１３Ａ〜１３Ｎでは、それぞれに対応する特徴種別Ｙｎについて、図１４の類似度計算処理が並行して実行される。
【００８５】
類似度計算部１３Ａは、まず、特徴量ＤＢ１２から、各サービスカテゴリＸに関する特徴種別Ｙｎの代表特徴ベクトルＶｎをそれぞれ取得し（ステップ１６０）、分類対象となる同時フローＦＣｉのうち特徴種別Ｙｎのフロー特徴ベクトルＶｉｎをそれぞれ取得する（ステップ１６１）。
【００８６】
続いて、類似度計算部１３Ａは、各サービスカテゴリＸのうちから種別類似度Ｓｉｍｎを計算していない未処理のサービスカテゴリＸｍを１つ選択し（ステップ１６２）、代表特徴ベクトルＶｍに含まれるクラスタｋごとに、分類対象となる同時フローＦＣｉのフロー特徴ベクトルＶｉｎと代表特徴ベクトルＶｍｋｎとの差分Ｄｋ＝｜Ｖｉｎ−Ｖｍｋｎ｜を計算する（ステップ１６３）。ここでは、特徴ベクトルのうち同一要素番号に対応する要素（ケプストラム係数）同士について差分を計算し、要素番号ごとに得られた差分を集計することにより差分Ｄｋを計算すればよい。
【００８７】
次に、類似度計算部１３Ａは、クラスタＺｋごとの差分Ｄｋに基づいて、分類対象となる同時フローＦＣｉと選択サービスカテゴリＸｍとの、特徴種別Ｙｎに関する種別類似度Ｓｉｍｎを計算する（ステップ１６４）。この種別類似度Ｓｉｍｎについては、例えば、クラスタＺｋごとの差分Ｄｋについて統計処理を行うことにより求めた、最小値、平均値、合計値などの統計値を用いればよい。
【００８８】
この後、類似度計算部１３Ａは、選択サービスカテゴリＸｍについてフラグなどにより処理済みとし（ステップ１６５）、全てのサービスカテゴリＸについて処理済みか確認する（ステップ１６６）。
ここで、未処理のサービスカテゴリＸｍが存在する場合（ステップ１６６：ＮＯ）、ステップ１６２に戻って次のサービスカテゴリＸｍの処理を繰り返し実行する。また、全てのサービスカテゴリＸについて処理が終了している場合（ステップ１６６：ＹＥＳ）、類似度計算部１３Ａは、同時フローＦＣｉと各サービスカテゴリＸｍとの、特徴種別Ｙｎに関する種別類似度Ｓｉｍｎを出力し（ステップ１６７）、一連の類似度計算処理を終了する。
【００８９】
［分類判定処理］
次に、図１６および図１７を参照して、本実施の形態にかかるサービスカテゴリ分類部１３における分類判定動作について説明する。図１６は、分類判定処理を示すフローチャートである。図１７は、分類判定処理を示す説明図である。
【００９０】
サービスカテゴリ分類部１３の類似度統合部１３Ｐと分類判定部１３Ｑは、分類対象となる同時フローＦＣｉをサービスカテゴリＸのいずれかに分類する際、図１６の類似度計算処理を実行する。ここでは、類似度統合部１３Ｐと分類判定部１３Ｑにおいて、入力パケット列から生成された任意の同時フローＦＣｉの分類判定を行う場合を例として説明する。なお、類似度統合部１３Ｐと分類判定部１３Ｑでの分類判定処理は、入力パケット列から生成された、分類対象となるすべての同時フローＦＣについて、繰り返し実行される。
【００９１】
類似度統合部１３Ｐは、まず、類似度計算部１３Ａ〜１３Ｎから、すべての特徴種別Ｙについて、サービスカテゴリＸ別の種別類似度Ｓｉｍｎを取得して（ステップ１７０）、サービスカテゴリＸｍごとに、例えば種別類似度Ｓｉｍｎの合計値など、これら種別類似度Ｓｉｍｎを統計処理することにより、すべての特徴種別Ｙを考慮した、同時フローＦＣｉに関する、サービスカテゴリＸｍごとのカテゴリ類似度Ｓｉｍを計算する（ステップ１７１）。
【００９２】
次に、分類判定部１３Ｑは、類似度統合部１３Ｐで得られたサービスカテゴリＸｍごとのカテゴリ類似度Ｓｉｍのうちから、その最小値、すなわち最も類似性の高い最高類似度Ｓｉｈを選択し（ステップ１７２）、最高類似度Ｓｉｈと有意しきい値Ｓｔｈとを比較することにより、有意範囲に含まれているか確認する（ステップ１７３）。
ここで、最高類似度Ｓｉｈが有意しきい値Ｓｔｈより小さく、有意範囲に含まれている場合（ステップ１７３：ＹＥＳ）、分類判定部１３Ｑは、分類対象となる同時フローＦＣｉに対して、最高類似度Ｓｉｈと対応するサービスカテゴリＸｍを付加することにより、同時フローＦＣｉをサービスカテゴリＸｍに分類する（ステップ１７４）。
【００９３】
一方、最高類似度Ｓｉｈが有意しきい値Ｓｔｈ以上で、有意範囲に含まれていない場合（ステップ１７３：ＮＯ）、分類判定部１３Ｑは、分類対象となる同時フローＦＣｉに対して、新たなサービスカテゴリＸｎｅｗを付加することにより、同時フローＦＣｉを既存のサービスカテゴリではなく、新たなサービスカテゴリＸｎｅｗに分類する（ステップ１７５）。
このようにして、分類対象となる同時フローＦＣｉをいずれかのサービスカテゴリＸに分類した後、分類判定部１３Ｑは、分類したサービスカテゴリＸに対応して登録されているサービスカテゴリ名と、入力パケット列から取得した当該同時フローＦＣｉに関する送信先アドレスや、入力パケット列から計算したトラヒック量などのトラヒック情報とを管理端末２０へ出力して画面表示し（ステップ１７６）、一連の分類判定処理を終了する。
【００９４】
［第１の実施の形態の効果］
このように、本実施の形態では、一定期間内に発生した複数のフローを１つの同時フローとして統合し、さらに１つの同時フローに含まれる、一定の単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合して、これら短時間フローごとにフロー特徴量を計算し、この後、これら短時間フローごとのフロー特徴量からなる時系列データから、同時フローごとにフロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算して、既存のサービスカテゴリとの類似性を判定するようにしたので、同時フローの特徴量を時間軸上の変動に着目してフローの類似性を判定することができる。このため、元のフロー特徴量に基づき類似性を判定する場合と比較して、トラヒックの時間的な変動を利用した識別を行うことができる。
【００９５】
また、サービスカテゴリごとの類似性のうち、最も高い類似性を示す類似度が有意範囲に含まれない場合には、新たなサービスクラスに分類するようにしたので、既存サービスクラスでは含まれていない新たなアプリケーションのフローについても、正確に分類することができる。このため、いずれか類似性の低いサービスクラスに分類してしまうような誤分類の発生を抑止することが可能となる。
【００９６】
したがって、本実施の形態をデータ通信サービスのネットワーク管理に適用すれば、映像フローのような品質条件が厳しいフローに対して優先制御を行う等のトラヒック制御を用いることで、同じ設備量でよりユーザ満足度の高いネットワークを提供することができる。また、アプリケーションごとのトラヒック需要量を正確に把握できるため、高精度なトラヒック需要の予測を行うことができ、結果として、ユーザ満足度の更なる向上を実現することが可能となる。
【００９７】
また、本実施の形態によれば、フロー特徴ベクトルを計算する際、時系列データを線形予測分析を行うことにより同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数からフロー特徴ベクトルを生成するようにしたので、極めて高い精度で、フロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算することができる。
【００９８】
また、本実施の形態によれば、各フローを同時フローへ統合する際、パケットの送信先ＩＰアドレスが同一のフローを同時フローへ統合するようにしたので、映像データ、メタデータ、プレイヤーを異なるサーバから受信するような映像配信サービスであっても、当該フローを、対応するサービスカテゴリへ正確に分類できる。
【００９９】
また、本実施の形態によれば、各短時間フローのフロー特徴量を計算する際、パケットのヘッダ情報に含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することによりフロー特徴量を計算するようにしたので、パケットのペイロード部に格納されているユーザ情報を解析する必要がない。このため、プライバシーやセキュリティの面でも高い安全性が得られるとともに、ペイロード部が暗号化されているフローについても精度良く分類することが可能となる。
【０１００】
［第２の実施の形態］
次に、図１８を参照して、本発明の第２の実施の形態にかかるフロー分類システム１０について説明する。図１８は、第２の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【０１０１】
本実施の形態は、第１の実施の形態と比較して、学習処理部１４が追加されている。
学習処理部１４は、サービスカテゴリＸが既知である、複数のフレームＦＲに関するフロー特徴ベクトルＶや、サービスカテゴリ分類部１３で得られた分類判定後のフロー特徴ベクトルＶからなる学習データに基づいて、各サービスカテゴリＸｍごとに、特徴種別Ｙｎの代表特徴ベクトルＶｍｎを計算して、特徴量ＤＢ１２へ登録する機能を有している。
【０１０２】
図１９は、学習処理部の構成を示すブロック図である。
学習処理部１４には、主な処理部として、教師データ記憶部１４Ａ、サービスカテゴリ作成部１４Ｂ、および代表特徴ベクトル計算部１４Ｃが設けられている。
【０１０３】
教師データ記憶部１４Ａは、ハードディスクなどの記憶装置からなり、短時間フローＦＳｉｊを構成する教師パケット列と、当該短時間フローＦＳｉｊの分類先となるアプリケーションとの組が、教師データとして登録されている。
この教師データとしては、サービスカテゴリ分類部１３の分類判定部１３Ｑで分類した分類判定後の短時間フローとそのサービスカテゴリとを用いてもよい。
【０１０４】
サービスカテゴリ作成部１４Ｂは、トラヒックデータ収集部１１で通信網３０からの入力パケット列から短時間フローＦＳを生成するのと同様にして、教師データ記憶部１４Ａから読み出した教師パケットから短時間フローＦＳを生成するとともに、当該短時間フローＦＳのフロー特徴量ＲＳを、特徴種別Ｙごとに計算する機能と、これら教師データに含まれるアプリケーションのうちから選択した２つのアプリケーションごとに、これらアプリケーションに関するフロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散σｗ2とクラス間分散σｂ2との分散比Ｊを、特徴種別Ｙごとに計算する機能と、得られた分散比Ｊの最小値Ｊｍｉｎが判定しきい値Ｊｔｈより小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリＸを作成する機能とを有している。
【０１０５】
代表特徴ベクトル計算部１４Ｃは、サービスカテゴリ作成部１４Ｂで作成された各サービスカテゴリＸｍについて、当該サービスカテゴリＸｍに分類されたアプリケーションのフロー特徴量ＲＳから、これらフロー特徴量ＲＳの時間的変化の特徴を示すフロー特徴ベクトルＶｍを、特徴種別Ｙごとに計算して、特徴量ＤＢ１２へ保存する機能とを有している。
【０１０６】
［サービスカテゴリ作成動作］
次に、図２０を参照して、本実施の形態にかかる学習処理部１４におけるサービスカテゴリ作成動作について説明する。図２０は、サービスカテゴリ作成処理を示すフローチャートである。
【０１０７】
学習処理部１４のサービスカテゴリ作成部１４Ｂは、教師データからサービスカテゴリを作成する際、図２０のサービスカテゴリ作成処理を実行する。ここでは、サービスカテゴリ作成部１４Ｂにおいて、教師データ記憶部１４Ａの教師パケット列からの短時間フローＦＳの生成とそのフロー特徴量ＲＳの計算がすでに実行されて、教師データ記憶部１４Ａに登録されていることを前提として、特徴種別Ｙのうち特徴種別ＹｎについてサービスカテゴリＸを作成する場合を例として説明する。
【０１０８】
サービスカテゴリ作成部１４Ｂは、まず、教師データ記憶部１４Ａから、アプリケーション別で、各短時間フローＦＳのフロー特徴量ＲＳを取得して（ステップ２００）、サービスカテゴリ作成処理を実行していない未処理の特徴種別Ｙｎを１つ選択し（ステップ２０１）、これらアプリケーションの２つの組のうちから、サービスカテゴリ作成処理を実行していない未処理のアプリケーション組を１つ選択する（ステップ２０２）。
【０１０９】
次に、サービスカテゴリ作成部１４Ｂは、選択アプリケーション組であるそれぞれのアプリケーションについて、当該アプリケーションに分類されている各短時間フローＦＳのフロー特徴量ＲＳから、その分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散σｗ2とクラス間分散σｂ2とその分散比Ｊを計算する（ステップ２０３）。
【０１１０】
この際、アプリケーションｘに関するフロー特徴量ＲＳの分散をσｘ、要素数をωｘ、平均値をｍｘとし、アプリケーションｙに関するフロー特徴量ＲＳの分散をσｙ、要素数をωｙ、平均値をｍｙとした場合、アプリケーションｘ，ｙのクラス内分散σｗ2、クラス間分散σｂ2、およびこれらクラス内分散σｗ2とクラス間分散σｂ2の分散比Ｊは、次の式（５）、式（６）、および式（７）で計算される。
【数５】
【数６】
【数７】
【０１１１】
この後、サービスカテゴリ作成部１４Ｂは、選択アプリケーション組についてフラグなどにより処理済みとし（ステップ２０４）、全てのアプリケーション組について処理済みか確認する（ステップ２０５）。
ここで、未処理のアプリケーション組が存在する場合（ステップ２０５：ＮＯ）、ステップ２０２に戻って次のサービスカテゴリＸｍの処理を繰り返し実行する。
【０１１２】
また、全てのアプリケーション組について処理が終了している場合（ステップ２０５：ＹＥＳ）、サービスカテゴリ作成部１４Ｂは、アプリケーション組ごとに計算した分散比Ｊのうちから最小分散比Ｊｍｉｎ選択し、予め設定されている判定しきい値Ｊｔｈと比較する（ステップ２０６）。
ここで、最小分散比Ｊｍｉｎが判定しきい値Ｊｔｈより小さい場合（ステップ２０６：ＹＥＳ）、サービスカテゴリ作成部１４Ｂは、最小分散比Ｊｍｉｎが得られたアプリケーション組の２つのアプリケーションを１つのアプリケーションに統合し（ステップ２０７）、ステップ２０２へ移行して、次のアプリケーション組の処理を繰り返し実行する。
【０１１３】
一方、最小分散比Ｊｍｉｎが判定しきい値Ｊｔｈ以上の場合（ステップ２０６：ＮＯ）、サービスカテゴリ作成部１４Ｂは、選択アプリケーション組の２つのアプリケーションを別個のサービスクラスと判定し、アプリケーションの統合は行わない。
【０１１４】
このようにして、各アプリケーション組についてアプリケーションの統合可否を判定した後、サービスカテゴリ作成部１４Ｂは、選択特徴種別Ｙｎについてフラグなどにより処理済みとし（ステップ２０７）、全ての特徴種別Ｙについて処理済みか確認する（ステップ２０８）。
ここで、未処理の特徴種別Ｙｎが存在する場合（ステップ２０８：ＮＯ）、ステップ２０１に戻って次の特徴種別Ｙｎの処理を繰り返し実行する。
【０１１５】
また、全ての特徴種別Ｙｎについて処理が終了している場合（ステップ２０８：ＹＥＳ）、サービスカテゴリ作成部１４Ｂは、統合されたアプリケーションおよび統合できなかったアプリケーションごとに、サービスカテゴリをそれぞれ作成する（ステップ２０９）。この後、サービスカテゴリ作成部１４Ｂは、これらサービスカテゴリ別で、各短時間フローＦＳのフロー特徴量ＲＳを出力し（ステップ２１０）、一連のサービスカテゴリ作成処理を終了する。
【０１１６】
［代表特徴ベクトル計算動作］
次に、図２１を参照して、本実施の形態にかかる学習処理部１４における代表特徴ベクトル計算動作について説明する。図２１は、代表特徴ベクトル計算処理を示すフローチャートである。
【０１１７】
学習処理部１４の代表特徴ベクトル計算部１４Ｃは、サービスカテゴリ作成部１３Ｂで作成された各サービスカテゴリの代表特徴ベクトルを計算する際、図２１の代表特徴ベクトル計算処理を実行する。
【０１１８】
代表特徴ベクトル計算部１４Ｃは、まず、サービスカテゴリ作成部１３Ｂから、サービスカテゴリ別で、各短時間フローＦＳのフロー特徴量ＲＳを取得し（ステップ２２０）、代表特徴ベクトル計算処理を実行していない未処理のサービスカテゴリＸｍを１つ選択し（ステップ２２１）、代表特徴ベクトル計算処理を実行していない未処理の特徴種別Ｙｎを１つ選択する（ステップ２２２）。
【０１１９】
次に、代表特徴ベクトル計算部１４Ｃは、取得したフロー特徴量ＲＳのうちから、選択サービスカテゴリＸｍで選択特徴種別Ｙｎに関するフロー特徴量ＲＳｍｎを選択し（ステップ２２３）、これらフロー特徴量ＲＳｍｎからなる時系列データから、選択サービスカテゴリＸｍで選択特徴種別Ｙｎに関するフロー特徴ベクトルＶｍｎを計算する（ステップ２２４）。フロー特徴ベクトルＶｍｎの計算については、前述した図１３の特徴ベクトル計算動作で用いたケプストラム分析を用いればよい。
【０１２０】
続いて、代表特徴ベクトル計算部１４Ｃは、これらフロー特徴ベクトルＶｍｎを、例えばＬＢＧ（Linde-Buzo-Gray）＋ｓｐｌｉｔｔｉｎｇアルゴリズムなどのベクトル量子化処理を用いて、Ｋ個のクラスタにクラスタリングした後、これらクラスタｋごとに、当該クラスタに属するフロー特徴ベクトルＶｍｋｎから、例えば当該クラスタの中心値などからなる代表特徴ベクトルＶｍｋｎを計算する（ステップ２２５）。
【０１２１】
この後、代表特徴ベクトル計算部１４Ｃは、選択特徴種別Ｙｎについてフラグなどにより処理済みとし（ステップ２２６）、全ての特徴種別Ｙについて処理済みか確認する（ステップ２２７）。
ここで、未処理の特徴種別Ｙｎが存在する場合（ステップ２２７：ＮＯ）、ステップ２２２に戻って次の特徴種別Ｙｎの処理を繰り返し実行する。また、全ての特徴種別Ｙｎについて処理が終了している場合（ステップ２２７：ＹＥＳ）、代表特徴ベクトル計算部１４Ｃは、選択サービスカテゴリＸｍについてフラグなどにより処理済みとし（ステップ２２８）、全てのサービスカテゴリＸについて処理済みか確認する（ステップ２２９）。
【０１２２】
ここで、未処理のサービスカテゴリＸｍが存在する場合（ステップ２２９：ＮＯ）、ステップ２２１に戻って次のサービスカテゴリＸｍの処理を繰り返し実行する。また、全てのサービスカテゴリＸｍについて処理が終了している場合（ステップ２２９：ＹＥＳ）、代表特徴ベクトル計算部１４Ｃは、サービスカテゴリＸｍ別で、各特徴種別Ｙｎに関する代表特徴ベクトルＶｍｎを特徴量ＤＢ１２へ登録し（ステップ２３０）、一連の代表特徴ベクトル計算処理を終了する。
【０１２３】
［第２の実施の形態の効果］
このように、本実施の形態によれば、各種データ通信サービスのうち、ＦＴＰとファイル転送や、メール受信とメール送信、あるいはチャットとメッセンジャーなど、ほぼ同様の機能を持つデータ通信サービスを提供する複数のアプリケーションが１つのサービスカテゴリに統合されるため、元々トラヒック特性が近いアプリケーションを、１つのサービスカテゴリとして分類することができ、通信網の設計・運用・管理において、極めて有用な分類結果を得ることができる。
【０１２４】
また、本実施の形態では、サービスカテゴリ作成部１４Ｂで、２つのアプリケーションごとに、これらアプリケーションのフロー特徴量から、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比に応じてアプリケーションの統合可否を判定するようにしたので、極めて高い精度でアプリケーションを統合することができる。
【０１２５】
また、本実施の形態では、代表特徴ベクトル計算部１４Ｃで、当該サービスカテゴリに分類されたアプリケーションのフロー特徴量をクラスタリングし、得られたクラスタごとに計算した、当該クラスタに属するフロー特徴量を代表する代表値を代表特徴量として用い、これら代表特徴量から代表特徴ベクトル計算部１４Ｄにより代表特徴ベクトルを計算するようにしたので、極めて高い精度で入力パケット列に含まれる各フローをサービスアプリケーションに分類できる。
【０１２６】
［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
【符号の説明】
【０１２７】
１０…フロー分類システム、１１…トラヒックデータ収集部、１１Ａ…フロー生成部、１１Ｂ…同時フロー生成部、１１Ｃ…短時間フロー生成部、１１Ｄ…特徴量計算部、１１Ｅ…特徴ベクトル計算部、１１Ｆ…トラヒック情報ＤＢ、１２…特徴量ＤＢ、１３…サービスカテゴリ分類部、１３Ａ〜１３Ｎ…類似度計算部、１３Ｐ…類似度統合部、１３Ｑ…分類判定部、１４…学習処理部、１４Ａ…教師データ記憶部、１４Ｂ…サービスカテゴリ作成部、１４Ｃ…代表特徴ベクトル計算部、２０…管理端末、３０…通信網、Ｆ…フロー、ＦＣ，ＦＣｉ…同時フロー、ＦＳ，ＦＳｉｊ…短時間フロー、ｔｆ…基準到着間隔、ｔｃ…基準開始間隔、ｔｓ…単位到着間隔、ＲＳ，ＲＳｉｊ，ＲＳｉｊｎ…フロー特徴量、Ｖ，Ｖｉｎｒ…フロー特徴ベクトル、Ｘ，Ｘｍ，Ｘｎｅｗ…サービスカテゴリ、Ｙ，Ｙｎ…特徴種別、Ｖ，Ｖｍｎ，Ｖｍｋｎ…代表特徴ベクトル、Ｄ，Ｄｋ…差分、Ｓ，Ｓｉｍ，Ｓｉｍｎ…類似度、Ｓｉｈ…最高類似度、Ｓｔｈ…有意しきい値、σｘ，σｙ…分散（フロー特徴量）、ωｘ，ωｙ…要素数（フロー特徴量）、ｍｘ，ｍｙ…平均値（フロー特徴量）、σｗ2…クラス内分散、σｂ2…クラス間分散、Ｊ…分散比、Ｊｔｈ…判定しきい値。
【特許請求の範囲】
【請求項１】
通信網から収集した入力パケット列に基づいて前記通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいて前記フローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムで用いられるフロー分類方法であって、
特徴量データベースが、前記サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴ベクトルを記憶する記憶ステップと、
トラヒックデータ収集部が、前記入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、前記同時フローごとに前記フロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算するトラヒックデータ収集ステップと、
分類処理部が、前記各同時フローについて、前記サービスカテゴリごとに、当該同時フローに関する前記フロー特徴ベクトルと当該サービスカテゴリの前記代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、前記最高類似度が前記有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理ステップと
を備えることを特徴とするフロー分類方法。
【請求項２】
請求項１に記載のフロー分類方法において、
前記トラヒックデータ収集ステップは、前記時系列データを線形予測分析を行うことにより前記同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数から前記フロー特徴ベクトルを生成する
ことを特徴とするフロー分類方法。
【請求項３】
請求項１または請求項２に記載のフロー分類方法において、
前記記憶ステップは、前記代表特徴ベクトルとして、当該サービスカテゴリに含まれる短時間フローのフロー特徴量をクラスタリングして得られたクラスタごとに、当該クラスタに含まれる前記フロー特徴量から計算した代表特徴ベクトルを記憶し、
前記分類処理ステップは、前記代表特徴ベクトルを構成する前記代表値ごとに、前記各フロー特徴ベクトルとの差分を求め、これら差分を統計処理することにより前記類似度を計算する
ことを特徴とするフロー分類方法。
【請求項４】
請求項１〜請求項３のいずれか１つに記載のフロー分類方法において、
前記記憶ステップは、前記サービスカテゴリごとに、複数の異なる特徴種別のそれぞれについて前記代表特徴ベクトルを記憶し、
前記トラヒックデータ収集ステップは、前記短時間フローごとに、前記特徴種別のそれぞれについて前記フロー特徴ベクトルを計算し、
前記分類処理ステップは、前記同時フローと前記サービスカテゴリとの類似度に代えて、前記特徴種別ごとに種別類似度を計算し、これら種別類似度を統計処理することにより前記類似度を計算する
ことを特徴とするフロー分類方法。
【請求項５】
請求項１〜請求項４のいずれか１つに記載のフロー分類方法において、
サービスカテゴリ作成部が、対応するアプリケーションがパケットごとにそれぞれ既知である教師パケット列について、前記入力パケット列と同様にして生成した短時間フローごとに前記フロー特徴量を計算し、前記アプリケーションのうちから選択した２つの異なるアプリケーションごとに、これらアプリケーションに属する前記フロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比が判定しきい値より小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリをそれぞれ作成するサービスカテゴリ作成ステップと、
特徴量計算部が、前記サービスカテゴリ作成ステップで作成した前記サービスカテゴリごとに、当該サービスカテゴリに分類された前記アプリケーションに属する前記フロー特徴量から、当該サービスカテゴリに分類されるフローの特徴を示すフロー特徴量を計算して、前記特徴量データベースへ保存する特徴量計算ステップと
をさらに備えることを特徴とするフロー分類方法。
【請求項６】
請求項５に記載のフロー分類方法において、
前記特徴量計算ステップは、当該サービスカテゴリに分類された前記アプリケーションに属する前記フロー特徴量をクラスタリングし、得られたクラスタごとに、当該クラスタに属する前記フロー特徴量からなる時系列データに基づき、これらフロー特徴量の時間的変化の特徴を示す特徴ベクトルを計算し、得られた特徴ベクトルを当該サービスクラスの前記代表特徴ベクトルとして前記特徴量データベースへ保存することを特徴とするフロー分類方法。
【請求項７】
通信網から収集した入力パケット列に基づいて前記通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいて前記フローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムであって、
前記サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴ベクトルを記憶する特徴量データベースと、
前記入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、前記同時フローごとに前記フロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算するトラヒックデータ収集部と、
前記各同時フローについて、前記サービスカテゴリごとに、当該同時フローに関する前記フロー特徴ベクトルと当該サービスカテゴリの前記代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、前記最高類似度が前記有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理部と
を備えることを特徴とするフロー分類システム。
【請求項８】
請求項７に記載のフロー分類システムにおいて、
前記トラヒックデータ収集部は、前記時系列データを線形予測分析を行うことにより前記同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数から前記フロー特徴ベクトルを生成する
ことを特徴とするフロー分類システム。
【請求項９】
コンピュータに、請求項１〜請求項６のいずれか１つに記載したフロー分類方法の各ステップを実行させるためのプログラム。
【請求項１】
通信網から収集した入力パケット列に基づいて前記通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいて前記フローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムで用いられるフロー分類方法であって、
特徴量データベースが、前記サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴ベクトルを記憶する記憶ステップと、
トラヒックデータ収集部が、前記入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、前記同時フローごとに前記フロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算するトラヒックデータ収集ステップと、
分類処理部が、前記各同時フローについて、前記サービスカテゴリごとに、当該同時フローに関する前記フロー特徴ベクトルと当該サービスカテゴリの前記代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、前記最高類似度が前記有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理ステップと
を備えることを特徴とするフロー分類方法。
【請求項２】
請求項１に記載のフロー分類方法において、
前記トラヒックデータ収集ステップは、前記時系列データを線形予測分析を行うことにより前記同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数から前記フロー特徴ベクトルを生成する
ことを特徴とするフロー分類方法。
【請求項３】
請求項１または請求項２に記載のフロー分類方法において、
前記記憶ステップは、前記代表特徴ベクトルとして、当該サービスカテゴリに含まれる短時間フローのフロー特徴量をクラスタリングして得られたクラスタごとに、当該クラスタに含まれる前記フロー特徴量から計算した代表特徴ベクトルを記憶し、
前記分類処理ステップは、前記代表特徴ベクトルを構成する前記代表値ごとに、前記各フロー特徴ベクトルとの差分を求め、これら差分を統計処理することにより前記類似度を計算する
ことを特徴とするフロー分類方法。
【請求項４】
請求項１〜請求項３のいずれか１つに記載のフロー分類方法において、
前記記憶ステップは、前記サービスカテゴリごとに、複数の異なる特徴種別のそれぞれについて前記代表特徴ベクトルを記憶し、
前記トラヒックデータ収集ステップは、前記短時間フローごとに、前記特徴種別のそれぞれについて前記フロー特徴ベクトルを計算し、
前記分類処理ステップは、前記同時フローと前記サービスカテゴリとの類似度に代えて、前記特徴種別ごとに種別類似度を計算し、これら種別類似度を統計処理することにより前記類似度を計算する
ことを特徴とするフロー分類方法。
【請求項５】
請求項１〜請求項４のいずれか１つに記載のフロー分類方法において、
サービスカテゴリ作成部が、対応するアプリケーションがパケットごとにそれぞれ既知である教師パケット列について、前記入力パケット列と同様にして生成した短時間フローごとに前記フロー特徴量を計算し、前記アプリケーションのうちから選択した２つの異なるアプリケーションごとに、これらアプリケーションに属する前記フロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比が判定しきい値より小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリをそれぞれ作成するサービスカテゴリ作成ステップと、
特徴量計算部が、前記サービスカテゴリ作成ステップで作成した前記サービスカテゴリごとに、当該サービスカテゴリに分類された前記アプリケーションに属する前記フロー特徴量から、当該サービスカテゴリに分類されるフローの特徴を示すフロー特徴量を計算して、前記特徴量データベースへ保存する特徴量計算ステップと
をさらに備えることを特徴とするフロー分類方法。
【請求項６】
請求項５に記載のフロー分類方法において、
前記特徴量計算ステップは、当該サービスカテゴリに分類された前記アプリケーションに属する前記フロー特徴量をクラスタリングし、得られたクラスタごとに、当該クラスタに属する前記フロー特徴量からなる時系列データに基づき、これらフロー特徴量の時間的変化の特徴を示す特徴ベクトルを計算し、得られた特徴ベクトルを当該サービスクラスの前記代表特徴ベクトルとして前記特徴量データベースへ保存することを特徴とするフロー分類方法。
【請求項７】
通信網から収集した入力パケット列に基づいて前記通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいて前記フローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムであって、
前記サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴ベクトルを記憶する特徴量データベースと、
前記入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算し、これら短時間フローごとのフロー特徴量からなる時系列データから、前記同時フローごとに前記フロー特徴量の時間的変化の特徴を示すフロー特徴ベクトルを計算するトラヒックデータ収集部と、
前記各同時フローについて、前記サービスカテゴリごとに、当該同時フローに関する前記フロー特徴ベクトルと当該サービスカテゴリの前記代表特徴ベクトルとに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、前記最高類似度が前記有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理部と
を備えることを特徴とするフロー分類システム。
【請求項８】
請求項７に記載のフロー分類システムにおいて、
前記トラヒックデータ収集部は、前記時系列データを線形予測分析を行うことにより前記同時フローのフロー特徴量を示す伝達関数の線形予測係数を求め、これら線形予測係数をケプストラム分析することにより、当該同時フローのフロー特徴量に関するスペクトル包絡特性を示すケプストラム係数を求め、これらケプストラム係数から前記フロー特徴ベクトルを生成する
ことを特徴とするフロー分類システム。
【請求項９】
コンピュータに、請求項１〜請求項６のいずれか１つに記載したフロー分類方法の各ステップを実行させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【公開番号】特開２０１２−１０５０４３（Ｐ２０１２−１０５０４３Ａ）
【公開日】平成２４年５月３１日（２０１２．５．３１）
【国際特許分類】
【出願番号】特願２０１０−２５１５５４（Ｐ２０１０−２５１５５４）
【出願日】平成２２年１１月１０日（２０１０．１１．１０）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【出願人】（８９９００００６８）学校法人早稲田大学 (602)
【Ｆターム（参考）】
【公開日】平成２４年５月３１日（２０１２．５．３１）
【国際特許分類】
【出願日】平成２２年１１月１０日（２０１０．１１．１０）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【出願人】（８９９００００６８）学校法人早稲田大学 (602)
【Ｆターム（参考）】
[ Back to top ]