JP2007243459A - トラヒック状態抽出装置及び方法ならびにコンピュータプログラム - Google Patents

Abstract

【課題】特性の異なるトラヒックが混在している場合でも、その特性に応じて通常状態のトラヒックの特徴を抽出し、この特徴を基準としてトラヒックを検査することでトラヒック異常を高精度で検出する。
【解決手段】ネットワーク回線から受信したパケットを各タイムスロットについてプロトコル種別毎にカウントし、これを同じタイムスロットについて所定のプロトコル種別順に並べて多次元ベクトルを生成する。次に、多次元ベクトルそれぞれを標準化して標準化ベクトルを生成し、多次元の特徴空間にマッピングした後、クラスタ数を順に増加させながらクラスタ分割する。そして、クラスタの数が適切であると判断されたときのそれぞれのクラスタに属する標準化ベクトルの統計情報を通常状態トラヒックの特徴情報として記憶手段に書き込む。トラヒック検査を行う場合は、検査トラヒックの標準化ベクトルと、特徴情報で示される複数のクラスタの分布位置とを比較する。
【選択図】図１

Description

本発明は、トラヒック状態抽出装置及び方法ならびにコンピュータプログラムに関する。

ネットワークの運用管理において、不正アクセスや機器障害などによる異常発生を検出することは、ネットワークの安定性を確保する点からも重要であり、異常検出の自動化を実現するための技術がこれまでにも提案されてきた。
従来、過去に観測された通常時のトラヒック特性を統計的に分析し、トラヒックの通常状態を定量化して算出しておき、検査対象のトラヒックが、この算出しておいた通常状態の基準から逸脱している程度を評価してトラヒック異常を検出する方式がある（例えば、非特許文献１〜３参照）。
大下 裕一、阿多信吾、村田 正幸，"観測トラヒックの統計的性質を利用したＤＤｏＳ Ａｔｔａｃｋの検出方法"，電子情報通信学会技術研究報告（ＩＮ２００３−２０１），ｐｐ．２３−２８，Ｆｅｂｒｕａｒｙ，２００４． 與那原 亨、田中 真一、和泉 勇治、加藤 寧、根元 義章、"多変量解析を用いたネットワークトラヒック通常状態の抽出"，電子情報通信学会２００５年総合大会、Ｂ−７−３２，Ｍａｒｃｈ，２００５． 及川 達也、和泉 勇治、太田 耕平、加藤 寧、根元 義章，"統計的クラスタリング手法によるネットワーク異常状態の検出"，電子情報通信学会技術研究報告（ＮＳ２００２−１４３，ＩＮ２００２−８７，ＣＳ２００２−９８），ｐｐ．８３−８８，Ｏｃｔｏｂｅｒ，２００２．

上記の特許文献１〜３の技術においては、通常時のネットワークトラヒック状態を抽出する際に、観測した全トラヒックから１つの通常状態のみを抽出するモデルを用いている。しかしながら、月日や時間帯による通信の変動や、大容量通信アプリケーションなどによるトラヒック状態の変動があると、１つの通常状態のみを抽出するモデルでは、特性の異なるトラヒック状態を適切に表現できない。また、全体に占める割合が少ない特性の通信は、正常トラヒックであっても通常状態には反映されない。そのため、通常状態を１つとするモデルを基準にしてトラヒックの異常検出を行うと、正常トラヒックを異常であると判定する誤検出を引き起こしてしまうという問題がある。

本発明は、上記問題を解決すべくなされたもので、その目的は、特性の異なるトラヒックが混在している場合でも、その特性に応じて通常状態のトラヒックの特徴を抽出することができるとともに、この抽出した複数の通常状態トラヒックの特徴を基準にしてトラヒックの異常検出を行うことにより、トラヒックの異常を高精度で検出することができるトラヒック状態抽出装置及び方法ならびにコンピュータプログラムを提供することにある。

上述した課題を解決するために、本発明は、プロトコル種別の異なるパケットが送信されるネットワーク回線に接続され、前記ネットワーク回線から前記パケットを受信し、受信した前記パケットを前記プロトコル種別毎に分離する第１のトラヒック分離手段と、一定の時間間隔毎に、その時間間隔内において前記第１のトラヒック分離手段により分離された前記パケットを前記プロトコル種別毎にカウントする第１のパケット数カウント手段と、同一の前記時間間隔内において前記第１のパケット数カウント手段によりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、当該時間間隔毎の多次元ベクトルを生成する第１の多次元ベクトル生成手段と、前記第１の多次元ベクトル生成手段により生成された多次元ベクトルそれぞれを標準化して前記時間間隔毎の標準化ベクトルを生成する第１の多次元ベクトル標準化手段と、前記第１の多次元ベクトル標準化手段により生成された複数の前記時間間隔毎の標準化ベクトルを、クラスタ数を変化させながら複数のクラスタに分割するクラスタ生成手段と、前記クラスタ生成手段により分割されたクラスタの数が適切であるか否かを判断するクラスタ分類判断手段と、前記クラスタ生成手段が、前記クラスタ分類判断手段により適切であると判断されたクラスタ数にクラスタ分割したときの複数のクラスタそれぞれに含まれる複数の前記標準化ベクトルの統計情報からなるトラヒック状態の特徴情報を記憶手段に書き込むトラヒック状態情報抽出手段と、を備えることを特徴とするトラヒック状態抽出装置である。

また、本発明は、上述するトラヒック状態抽出装置において、プロトコル種別の異なるパケットが送信されるネットワーク回線に接続され、前記ネットワーク回線から検査対象の前記パケットを受信し、受信した前記検査対象のパケットを前記プロトコル種別毎に分離する第２のトラヒック分離手段と、一定の時間間隔内において前記第２のトラヒック分離手段により分離された前記検査対象のパケットを前記プロトコル種別毎にカウントする第２のパケット数カウント手段と、前記時間間隔内において前記第２のパケット数カウント手段によりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、多次元ベクトルを生成する第２の多次元ベクトル生成手段と、前記第２の多次元ベクトル生成手段により生成された多次元ベクトルを標準化して標準化ベクトルを生成する第２の多次元ベクトル標準化手段と、前記第２の多次元ベクトル標準化手段により生成された前記標準化ベクトルと、前記記憶手段内から読み出される特徴情報により示され、前記複数のクラスタに対応して多次元空間上に展開される特徴ベクトルの分布位置それぞれとの距離を算出し、算出したそれぞれの距離のうち最小値を選択する距離算出手段と、前記距離算出手段により選択された距離の最小値と、予め決められた閾値とを比較してトラヒック異常を検出する異常検出手段と、をさらに備えることを特徴とする。

また、本発明は、上述するトラヒック状態抽出装置において、前記クラスタ生成手段は、ｋ−ｍｅａｎｓ法によりクラスタ分割を行い、前記クラスタ分類判断手段は、前記クラスタ生成手段により分割された各クラスタに含まれる標準化ベクトルに外接する立方体の体積を求め、その体積の総和と、クラスタ数が１のときに当該クラスタに含まれる標準化ベクトルに外接する立方体の体積との比率を算出し、この算出した比率と所定の閾値とを比較することにより、クラスタ数が適切であるか否かを判断する、ことを特徴とする。

本発明は、プロトコル種別の異なるパケットが送信されるネットワーク回線に接続されるトラヒック状態抽出装置におけるトラヒック状態抽出方法であって、前記ネットワーク回線から前記パケットを受信し、受信した前記パケットを前記プロトコル種別毎に分離する第１のトラヒック分離ステップと、一定の時間間隔毎に、その時間間隔内において前記第１のトラヒック分離ステップにより分離された前記パケットを前記プロトコル種別毎にカウントする第１のパケット数カウントステップと、同一の前記時間間隔内において前記第１のパケット数カウントステップによりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、当該時間間隔毎の多次元ベクトルを生成する第１の多次元ベクトル生成ステップと、前記第１の多次元ベクトル生成ステップにより生成された多次元ベクトルそれぞれを標準化して前記時間間隔毎の標準化ベクトルを生成する第１の多次元ベクトル標準化ステップと、前記第１の多次元ベクトル標準化ステップにより生成された複数の前記時間間隔毎の標準化ベクトルを、クラスタ数を変化させながら複数のクラスタに分割するクラスタ生成ステップと、前記クラスタ生成ステップにより分割されたクラスタの数が適切であるか否かを判断するクラスタ分類判断ステップと、前記クラスタ生成ステップにおいて、前記クラスタ分類判断ステップにより適切であると判断されたクラスタ数にクラスタ分割したときの複数のクラスタそれぞれに含まれる複数の前記標準化ベクトルの統計情報からなるトラヒック状態の特徴情報を記憶手段に書き込むトラヒック状態情報抽出ステップと、を有することを特徴とするトラヒック状態抽出方法である。

また、本発明は、上述するトラヒック状態抽出方法において、前記ネットワーク回線から検査対象の前記パケットを受信し、受信した前記検査対象のパケットを前記プロトコル種別毎に分離する第２のトラヒック分離ステップと、一定の時間間隔内において前記第２のトラヒック分離ステップにより分離された前記検査対象のパケットを前記プロトコル種別毎にカウントする第２のパケット数カウントステップと、前記時間間隔内において前記第２のパケット数カウントステップによりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、多次元ベクトルを生成する第２の多次元ベクトル生成ステップと、前記第２の多次元ベクトル生成ステップによって生成された多次元ベクトルを標準化して標準化ベクトルを生成する第２の多次元ベクトル標準化ステップと、前記第２の多次元ベクトル標準化ステップにより生成された前記標準化ベクトルと、前記記憶手段内から読み出される特徴情報により示され、前記複数のクラスタに対応して多次元空間上に展開される特徴ベクトルの分布位置それぞれとの距離を算出し、算出したそれぞれの距離のうち最小値を選択する距離算出ステップと、前記距離算出ステップにより選択された距離の最小値と、予め決められた閾値とを比較してトラヒック異常を検出する異常検出ステップと、をさらに有することを特徴とする。

また、本発明は、プロトコル種別の異なるパケットが送信されるネットワーク回線に接続されるトラヒック状態抽出装置としてのコンピュータを、前記ネットワーク回線から前記パケットを受信し、受信した前記パケットを前記プロトコル種別毎に分離する第１のトラヒック分離手段、一定の時間間隔毎に、その時間間隔内において前記第１のトラヒック分離手段により分離された前記パケットを前記プロトコル種別毎にカウントする第１のパケット数カウント手段、同一の前記時間間隔内において前記第１のパケット数カウント手段によりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、当該時間間隔毎の多次元ベクトルを生成する第１の多次元ベクトル生成手段、前記第１の多次元ベクトル生成手段により生成された多次元ベクトルそれぞれを標準化して前記時間間隔毎の標準化ベクトルを生成する第１の多次元ベクトル標準化手段、前記第１の多次元ベクトル標準化手段により生成された複数の前記時間間隔毎の標準化ベクトルを、クラスタ数を変化させながら複数のクラスタに分割するクラスタ生成手段、前記クラスタ生成手段により分割されたクラスタの数が適切であるか否かを判断するクラスタ分類判断手段、前記クラスタ生成手段が、前記クラスタ分類判断手段により適切であると判断されたクラスタ数にクラスタ分割したときの複数のクラスタそれぞれに含まれる複数の前記標準化ベクトルの統計情報からなるトラヒック状態の特徴情報を記憶手段に書き込むトラヒック状態情報抽出手段、として機能させることを特徴とするコンピュータプログラムである。

また、本発明は、上述するコンピュータプログラムであって、トラヒック状態抽出装置としての前記コンピュータを、前記ネットワーク回線から検査対象の前記パケットを受信し、受信した前記検査対象のパケットを前記プロトコル種別毎に分離する第２のトラヒック分離手段、一定の時間間隔内において前記第２のトラヒック分離手段により分離された前記検査対象のパケットを前記プロトコル種別毎にカウントする第２のパケット数カウント手段、前記時間間隔内において前記第２のパケット数カウント手段によりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、多次元ベクトルを生成する第２の多次元ベクトル生成手段、前記第２の多次元ベクトル生成手段により生成された多次元ベクトルを標準化して標準化ベクトルを生成する第２の多次元ベクトル標準化手段、前記第２の多次元ベクトル標準化手段により生成された前記標準化ベクトルと、前記記憶手段内から読み出される特徴情報により示され、前記複数のクラスタに対応して多次元空間上に展開される特徴ベクトルの分布位置それぞれとの距離を算出し、算出したそれぞれの距離のうち最小値を選択する距離算出手段、前記距離算出手段により選択された距離の最小値と、予め決められた閾値とを比較してトラヒック異常を検出する異常検出手段、としてさらに機能させることを特徴とする。

本発明によれば、通常状態のトラヒックを分析し、そのトラヒックの多様性を複数の特徴情報として抽出することができる。従って、時間帯やアプリケーション等でトラヒック特性の変化が生じる場合であっても、それらを分析してそれぞれのトラヒック特性に対応した特徴情報を抽出することが可能となる。また、このとき、トラヒック内のアプリケーションの種類を事前に把握していなくても、観測トラヒックの内容によりこの特性の分類数を自動で決定することができる。
このように、特性の異なるトラヒック状態を有する通常時のトラヒック状態の基準を高精度に定義できるため、通常時のトラヒック状態を基準にして逸脱の程度を評価し、ネットワーク回線状態の異常判断を行う装置において、トラヒック異常検知の精度向上が見込める。さらに、ネットワーク運用管理において、抽出した高度な通常トラヒック状態からネットワーク回線利用状況等を分析して設備設計を行うことで、効率的な設備投資が可能となる。

以下、本発明の一実施形態によるトラヒック状態抽出装置を図面を参照して説明する。
図１及び図２は、本発明の一実施形態によるトラヒック状態抽出装置１の動作原理を説明するための図である。
まず、図１に示す通常状態トラヒックの特徴抽出段階において、トラヒック状態抽出装置１は、各プロトコル種別毎のトラヒック量を観測する（ａ−１）。プロトコル種別は、例えば、ＵＤＰ（User Datagram protocol）、ＳＹＮフラグ有りＴＣＰ（Transmission Control Protocol）、ＦＩＮフラグ有りＴＣＰ、ＳＹＮフラグ／ＦＩＮフラグ無しＴＣＰ、ＨＴＴＰ（Hypertext Transfer Protocol）等とすることができる。

次に、トラヒック状態抽出装置１は、タイムスロット（時間帯）毎に、そのタイムスロットにおける各プロトコルのトラヒック量を成分とする多次元ベクトルを生成し（ａ−２）、プロトコル種別に対応する座標軸からなる多次元空間にマッピングする（ａ−３）。具体的には、トラヒック状態抽出装置１は、各タイムスロットの多次元ベクトルを標準化し、標準化したベクトルを構成する各プロトコルに対応した成分の値が、当該プロトコルに対応する座標軸上の値となるよう特徴空間にマッピングする。図１では簡単のため、特徴空間を、プロトコルＡに対応する第１成分軸と、プロトコルＢに対応する第２成分軸からなる２次元空間として表しているが、実際にはプロトコル種別数に対応する次元数を有する多次元空間となる。

トラヒック状態抽出装置１は、各タイムスロットの標準化ベクトルを特徴空間にマッピングしたマッピングデータを生成すると、これらの標準化ベクトルを複数のクラスタに分類する（ａ−４）。クラスタとは、トラヒックデータの分布を分類したものであり、トラヒックの特性を示す。複数のクラスタに分類するときには、クラスタ数が１の場合、２の場合、・・・というように順にクラスタ数を増やしていき、クラスタ領域の大きさが収束することを判断して最も妥当なクラスタ数を決定する。

トラヒック状態抽出装置１は、もっとも妥当なクラスタ数に分類されたときのクラスタに含まれる複数の前記標準化ベクトルの統計情報を、トラヒックの高度な「通常状態の特徴情報」として抽出する（ａ−５）。分類されたクラスタは、例えば、ブロードバンド通信、ウェブ通信など、通信サービスの種類に対応させることができる。

図２に示す未知攻撃の検査段階において、トラヒック状態抽出装置１は、検査ネットワークのトラヒックを観測する（ｂ−１）。次に、トラヒック状態抽出装置１は、タイムスロット毎に、当該タイムスロットにおける各プロトコルのトラヒック量を成分とする多次元ベクトルを生成し、この多次元ベクトルを特徴空間にマッピングする（ｂ−２）。同図においては、タイムスロットＴ１、及び、Ｔ２におけるトラヒック量から生成した多次元ベクトルを標準化したベクトルが特徴空間にマッピングされている。

トラヒック状態抽出装置１は、図１の通常状態トラヒックの特徴抽出段階（ａ−５）において抽出した「通常状態の特徴情報」と、特徴空間にマッピングした検査対象の標準化ベクトルとを比較して検査を行い、未知攻撃を検知する（ｂ−３）。すなわち、マッピングした検査対象トラヒックの標準化ベクトルと、「通常状態の特徴情報」により特徴空間上に展開される通常状態の特徴ベクトルの分布位置との距離のうち最小のものを求め、その求めた距離が予め決められた閾値以上であれば異常トラヒックであると判断する。これにより、未知攻撃の通信データを検出することができる。なお、閾値は、ネットワーク管理者が任意にトラヒック状態抽出装置１へ設定することができる。ここで、閾値を小さくするほど検出の感度が高くなるが、感度を高くし過ぎると正常なトラヒックを異常であると誤検出してしまうので、適切な閾値の設定を行う。

図３は、本実施形態によるトラヒック状態抽出装置１の通常状態トラヒックの特徴抽出機能にかかわる部分の機能ブロック図である。
トラヒック状態抽出装置１において、トラヒック分離部２１は、ネットワーク回線１１とネットワーク回線１２とに接続されており、ネットワーク回線１１からネットワーク回線１２方向へ流れるパケットを受信し、受信したパケットを読み出した後に当該パケットをネットワーク回線１２に送出する。また、トラヒック分離部２１は、受信したパケットを読み出した後に、読み出したパケットが、パケット数のカウント対象として予め決められたプロトコル種別であるか否かを判断し、予め決められたプロトコル種別であると判断した場合にパケット数カウント部２２にパケットのコピーを送出する。

パケット数カウント部２２は、トラヒック分離部２１によってパケット数カウント対象であると判断されたパケットを受信し、予め設定されている一定の時間期間でプロトコル種別毎にパケットの総数をカウントする。パケット数データ収集部２３は、一定の時間間隔毎に割り当てられるタイムスロット番号と、プロトコル種別とに対応付けてパケットの総数の情報をトラヒック記憶部３１に記録する。

多次元ベクトル生成部２４は、トラヒック記憶部３１からタイムスロット番号毎に各プロトコル種別のパケットの総数を読み出し、同一のタイムスロット番号の各プロトコル種別のパケット総数を要素とする多次元ベクトルを生成する。多次元ベクトル標準化処理部２５は、多次元ベクトル生成部２４の生成した多次元ベクトルから標準化ベクトルを生成し、タイムスロット番号とプロトコル種別とに対応付けて、生成した標準化ベクトルの情報を標準化ベクトル記憶部３２に記録する。

クラスタ生成部２６は、多次元ベクトル標準化処理部２５によって生成され、標準化ベクトル記憶部３２に一定の期間蓄積された複数の標準化ベクトルを読み出し、クラスタに分類する。クラスタ分類判断部２７は、クラスタの数が妥当であるか否かを判断する。トラヒック状態情報抽出部２８は、クラスタ分類判断部２７によりクラスタ数が妥当であると判断されたときの各クラスタのトラヒック状態、すなわち、各クラスタに含まれる複数の標準化ベクトルの情報を標準化ベクトル記憶部３２から読み出し、それらの統計情報を通常状態トラヒックの特徴情報として学習データ記憶部３３に書き込む。

図４は、トラヒック状態抽出装置１の未知攻撃検出機能にかかわる部分の概略ブロック図である。
トラヒック状態抽出装置１において、トラヒック分離部４１は、ネットワーク回線１１とネットワーク回線１２とに接続されており、ネットワーク回線１１からネットワーク回線１２方向へに流れる検査対象トラヒックのパケットを受信し、受信したパケットを読み出した後に、当該パケットをネットワーク回線１２に送出する。また、トラヒック分離部４１は、受信したパケットを読み出した後に、読み出したパケットが予め決められたパケットカウント対象のプロトコル種別であるか否かを判断し、予め決められたプロトコル種別であると判断した場合にパケット数カウント部４２にパケットのコピーを送出する。

パケット数カウント部４２は、トラヒック分離部４１によってパケット数カウント対象であると判断されたパケットを受信し、予め設定されている一定の時間期間でプロトコル種別毎にパケットの総数をカウントする。パケット数データ収集部４３は、一定の時間間隔毎に割り当てられるタイムスロット番号と、プロトコル種別とに対応付けてパケットの総数の情報を検査トラヒック記憶部３４に記録する。

多次元ベクトル生成部４４は、検査トラヒック記憶部３４からタイムスロット番号毎の各プロトコル種別のパケットの総数を読み出し、同一のタイムスロット番号の各プロトコル種別のパケット総数を要素とする多次元ベクトルを生成する。多次元ベクトル標準化処理部４５は、多次元ベクトル生成部４４の生成した検査対象トラヒックの多次元ベクトルを標準化して検査データを生成する。

多次元空間マッピング部４６は、多次元ベクトル標準化処理部４５により生成された検査データを多次元空間にマッピングする。距離算出部４７は、学習データ記憶部３３から読み出した通常状態トラヒックの特徴情報により多次元空間上に展開される、複数の各クラスタそれぞれに対応する通常状態の特徴ベクトルの分布位置と、多次元空間マッピング部４６によりマッピングされた検査データとの距離を距離算出部４７にてそれぞれ算出し、それぞれの距離のうち最小のものを通常状態からの逸脱度とする。

異常検出部４８は、距離算出部４７が選択した最小の距離が閾値以上である場合に異常トラヒックであると判断する。検査結果出力部４９は、距離算出部４７が異常トラヒックであると判断したときの検査データを異常トラヒック記憶部３５に書き込み、正常であると判断したときの検査データを正常トラヒック記憶部３６に書き込む。

図５は、トラヒック記憶部３１のデータ構成を示した図である。同図に示すように、パケット数カウント部２２によってカウントされた各プロトコル種別毎のパケットの総数は、日時情報を示すタイムスロット番号とプロトコル種別とに対応付けられて記録される。タイムスロット番号毎、プロトコル種別順にパケットの総数が記憶されているため、多次元ベクトル生成部２４によって生成される多次元ベクトルは、タイムスロット番号毎の総数を読み出すことで生成することができる。

図６は、トラヒック状態抽出装置１における通常状態トラヒックの特徴抽出処理を示したフローチャートである。
まず、最初に、トラヒック分離部２１が、ネットワーク回線１１からトラヒックを受信して読み出し、読み出したパケットが予め決められたカウント対象のプロトコル種別であるか否かを判断する。トラヒック分離部２１は、予め決められたプロトコル種別であると判断した場合にパケット数カウント部２２に当該パケットのコピーを出力する（ステップＳ１１０）。パケット数カウント部２２は一定の時間間隔において受信した各プロトコル種別毎のパケットの総数をカウントし（ステップＳ１２０）、パケット数データ収集部２３は、カウントされた各プロトコル種別毎のパケットの総数をトラヒック記憶部３１に記録する（ステップＳ１３０）。

次に、多次元ベクトル生成部２４は、トラヒック記憶部３１からタイムスロット毎の各プロトコル種別のパケットの総数であるトラヒック量を要素とする多次元ベクトルを生成する（ステップＳ１４０）。プロトコル種別がｎ個ある場合、タイムスロットｔにおけるプロトコル種別１（プロトコルＡ）のパケット数をｘ_ｔ，１、プロトコル種別２（プロトコルＢ）のパケット数をｘ_ｔ，２、・・・とすると、タイムスロットｔにおけるトラヒック観測量は、以下の多次元ベクトルで表される。

次に、タイムスロット毎の各プロトコル種別パケット数の相対関係に着目するために、多次元ベクトル標準化処理部２５は、多次元ベクトル生成部２４の生成したトラヒック観測量（多次元ベクトル）から以下の標準化ベクトルを生成し、タイムスロット番号とプロトコル種別とに対応付けて、生成した標準化ベクトルの情報を標準化ベクトル記憶部３２に記録する（ステップＳ１５０）。

この標準化ベクトルの各成分ｓ_ｔ，ｉ（ｉ＝１〜ｎ）は、以下により算出される。

ここで、

である。

続いて、クラスタ生成部２６は、各タイムスロットのトラヒック観測量から生成され、標準化ベクトル記憶部３２に一定の期間蓄積された複数の標準化ベクトルを、プロトコル種別数に対応する次元数を有する多次元空間にマッピングする。そして、クラスタ生成部２６は、まず、クラスタ数を２として、マッピングした標準化ベクトルのクラスタリングを行い（ステップＳ１６０）、クラスタ分類判断部２７は、そのクラスタ分類が適切であるか否かを判断する（ステップＳ１７０）。クラスタ分類判断部２７によりクラスタ分類が適切ではないと判断された場合（ステップＳ１７０：ＮＯ）、クラスタ生成部２６は、クラスタ数を１つ増やして、標準化ベクトルのクラスタリングを行い、クラスタ分類判断部２７が、そのクラスタ数による分類が適切であるか否かを判断するステップＳ１６０〜Ｓ１７０を繰り返す。

そして、クラスタ分類判断部２７によりクラスタ分類が適切であると判断された場合（ステップＳ１７０：ＹＥＳ）、トラヒック状態情報抽出部２８は、そのときのトラヒック状態を示す基準情報を学習データ記憶部３３に書き込む（ステップＳ１８０）。具体的には、適切なクラスタ数がｋであった場合、そのときの各クラスタｊ（ｊ＝１〜ｋ）に属する標準化ベクトルについて、各プロトコル種別ｉ毎の平均と標準偏差を、以下により算出し、通常状態を示す基準情報とする。

これは、すなわち、多次元空間上のクラスタの分布位置を、そのクラスタに属する標準化ベクトルの平均を中心として、各プロトコル種別に対応する座標軸の方向にどれくらい分布しているかを、そのプロトコルに対応する標準偏差で示すものである。

図７は、トラヒック状態情報抽出部２８が学習データ記憶部３３に書き込む基準情報の例を示す図である。同図に示すトラヒック状態の分類は、各クラスタに相当する。これは、各クラスタが、ブロードバンド通信、ウェブ通信などの通信サービスの種別毎の標準的なトラヒック状態と対応することによる。基準情報は、各クラスタにおける各プロトコル種別毎の標準化パケット数、各クラスタに含まれる標準化ベクトルの平均、及び、標準偏差の情報からなる。

図８は、図６のステップＳ１６０におけるクラスタ生成処理を示すフローチャートを示す。
クラスタ生成部２６は、プロトコル種別の数を次元数とする多次元ベクトルの特徴空間を生成する（ステップＳ２１０）。クラスタ生成部２６は、ステップＳ２１０において生成した特徴空間上に、図６のステップＳ１５０において生成され、標準化ベクトル記憶部３２に一定の期間蓄積された各タイムスロットの複数の標準化ベクトルを読み出してマッピングする（ステップＳ２２０）。クラスタ生成部２６は、標準化ベクトルを特徴空間にマッピングしたデータに対してクラスタ数を設定する（ステップＳ２３０）。クラスタ数は、最初は２であるが、クラスタ生成処理が実行される度に１づつ増加する。クラスタ生成部２６は、設定したクラスタ数に従い、ｋ−ｍｅａｎｓ法を用いて、特徴空間上の標準化ベクトルのマッピングデータをクラスタリングし（ステップＳ２４０）、クラスタリングされたマッピングデータの集合をクラスタとして生成する（ステップＳ２５０）。

なお、ｋ−ｍｅａｎｓ法によるクラスタリングは、以下のように行う。（１）予め固定されたｋ個のクラスタの中心を適当に設定し、（２）全ての標準化ベクトルを最も近い中心に割り当て、（３）クラスタ毎に中心（平均値）を再計算する。（４）すべてのクラスタの中心（平均値）が変化しなければ終了し、変化する場合には、（３）で算出されたクラスタの中心を新たなクラスタ中心として（２）からの処理を繰り返す。このように中心（平均値）の算出と標準化ベクトルの割り当てを収束するまで繰り返すことで、適切な平均値の推定と標準化ベクトルの分割が行われる。

図６のステップＳ１７０におけるクラスタ数が適切かどうかの判断の具体的な処理について以下に示す。
図８に示すように、クラスタ生成部２６は、複数収集された標準化ベクトルから通常状態を分析するために、ｋ−ｍｅａｎｓ法を利用し、クラスタ数を変化させながらクラスタリングを行う。クラスタ分類判断部２７は、クラスタｊ（ｊ＝１〜ｋ）に属する標準化ベクトルの各プロトコル種別ｉ（ｉ＝１〜ｎ）の最大値と最小値の差から得られるクラスタ分布幅ｗ_ｉ，ｊの全プロトコル種別分を総積し、クラスタｊに属するベクトルの分布に外接する立方体の体積を求め、その総和Ｖ（ｋ）を算出する。

クラスタ数ｋに比例して、これら立方体とベクトルの分布との誤差が減少し、ベクトルの分布が疎となる空間を立方体が包含する確率が低下するため、ｋの増加に対してＶ（ｋ）が収束する傾向になる。Ｖ（ｋ）が収束するということは、クラスタ数が必要十分な数になったと言え、クラスタ生成部２６は、その収束を、下記の式により定義されるＲ（ｋ）がある閾値以下になった場合として検出する。Ｒ（ｋ）は、クラスタ数１を基準にしたＶ（ｋ）の比率を示す。

図９は、クラスタ数によるＲ（ｋ）の変化を示す図である。同図において、クラスタ数ｋを変化させてＲ（ｋ）を求めたとき、クラスタ分類判断部２７は、閾値０．０１を最初に下回ったｋ＝４を適切なクラスタ数であると判断している。

図１０は、トラヒック状態抽出装置１における未知攻撃検査処理を示したフローチャートである。
まず、最初に、トラヒック分離部４１が、ネットワーク回線１１からトラヒックを受信して読み出し、読み出したパケットが予め決められた検査対象のプロトコル種別であるか否かを判断し、予め決められたプロトコル種別であると判断した場合にパケット数カウント部４２にパケットのコピーを出力する（ステップＳ３１０）。パケット数カウント部４２は一定の時間間隔において受信した各プロトコル種別毎のパケットの総数をカウントし（ステップＳ３２０）、パケット数データ収集部４３は、カウントされた各プロトコル種別毎のパケットの総数を検査トラヒック記憶部３４に記録する（ステップＳ３３０）。

次に、多次元ベクトル生成部４４は、検査トラヒック記憶部３４からタイムスロット毎の各プロトコル種別のパケットの総数を要素とする多次元ベクトルを生成する（ステップＳ３４０）。プロトコル種別がｎ個ある場合、タイムスロットｔにおいて、プロトコル種別１（プロトコルＡ）のトラヒック量をｘ’_ｔ，１、プロトコル種別２（プロトコルＢ）のトラヒック量をｘ’_ｔ，２、・・・とすると、タイムスロットｔにおける検査対象トラヒックの観測量は、以下の多次元ベクトルで表される。

次に、多次元ベクトル標準化処理部４５は、多次元ベクトル生成部４４の生成した検査対象トラヒック観測量（多次元ベクトル）を標準化して、検査データである標準化検査対象ベクトルを生成する（ステップＳ３５０）。標準化検査対象ベクトルは、以下のように表される。

この標準化検査対象ベクトルの各成分ｓ’_ｔ，ｉ（ｉ＝１〜ｎ）は、以下により算出される。

ここで、

である。

続いて、多次元空間マッピング部４６は、プロトコル種別数に対応する次元数を有する多次元空間に、学習データ記憶部３３から読み出した基準情報で示される通常状態トラヒックの特徴情報により多次元空間上に展開される、複数のクラスタそれぞれに対応する多次元空間上の特徴ベクトルの通常状態の分布位置をマッピングするとともに、多次元ベクトル標準化処理部４５により生成された標準化検査対象ベクトルをマッピングする（ステップＳ３６０）。

距離算出部４７は、標準化検査対象ベクトルと、各通常状態トラヒック特徴の分布位置との距離を算出し（ステップＳ３７０）、その最小の距離である逸脱度Ｄｅｖ（ｋ）_ｔを選択する（ステップＳ３８０）。具体的には、距離算出部４７は、プロトコル種別ｉ（ｉ＝１〜ｎ）毎に、‘標準化検査対象ベクトルの各成分’と‘通常状態トラヒック特徴情報の各成分の平均’との差を、‘通常状態トラヒック特徴情報の各成分の標準偏差’で正規化した値の平方和をとって平方根を求めることにより、標準化検査対象ベクトルとｊ番目（ｊ＝１〜ｋ）のクラスタの分布位置との重みつきユークリッド距離を求める（ステップＳ１７０）。そして、この求めた重みつきユークリッド距離のうち、最小の距離を選択することで、標準化検査対象ベクトルと最も近いクラスタ分布位置との隔たりである通常状態からの逸脱度Ｄｅｖ（ｋ）_ｔを求める。ただし、ｉはプロトコル種別、ｋはクラスタ数である。

異常検出部４８は、距離算出部４７が算出した逸脱度Ｄｅｖ（ｋ）_ｔが予め設定された閾値以上であるか否かを判断する（ステップＳ３９０）。異常検出部４８により閾値以上であると判断された場合（ステップＳ３９０：ＹＥＳ）、検査結果出力部４９は異常トラヒックのデータとして、そのときのタイムスロット番号、検査対象トラヒック観測量、標準化検査対象ベクトル、逸脱度などを異常トラヒック記憶部３５に書き込むとともに、これらのデータをディスプレイなどに出力する（ステップＳ４００）。一方、異常検出部４８により閾値未満であると判断された場合（ステップＳ３９０：ＮＯ）、検査結果出力部４９は、正常トラヒックのデータとして、そのときのタイムスロット番号、検査対象トラヒック観測量、標準化検査対象ベクトルなどを正常トラヒック記憶部３６に書き込む（ステップＳ４１０）。

図１１は、図１０のステップＳ３６０において、多次元空間マッピング部４６が、学習データ記憶部３３から読み出した基準情報で示される通常状態トラヒックの特徴情報により多次元空間上に展開される、複数の各クラスタそれぞれに対応する通常状態の標準化ベクトルの分布位置と、多次元ベクトル標準化処理部４５により生成された標準化検査対象ベクトルである検査データを多次元空間にマッピングした状態の図である。同図においては、プロトコル種別がＵＤＰ，ＴＣＰ−ｓｙｎの２次元空間に、通常状態の４つのクラスタ１〜４と、複数の検査データのマッピングが示されており、異常検出部４８により逸脱度が閾値を超えていると判断された１つの検査データが異常データとして検出されている。

上述する実施の形態によれば、トラヒック状態抽出装置１は、通常状態のトラヒックを分析し、そのトラヒックの多様性を複数の特徴情報として抽出することができる。従って、時間帯やアプリケーション等でトラヒック特性の変化が生じる場合であっても、それらを分析してそれぞれのトラヒック特性に対応した特徴情報を抽出することが可能となる。また、このとき、トラヒック内のアプリケーションの種類を事前に把握していなくても、観測トラヒックの内容によりこの特性の分類数を自動で決定することができる。
このように、特性の異なるトラヒック状態を有する通常時のトラヒック状態の基準を高精度に定義できるため、通常時のトラヒック状態を基準にして逸脱の程度を評価し、ネットワーク回線状態の異常判断を行う装置において、トラヒック異常検知の精度向上が見込める。さらに、ネットワーク運用管理において、抽出した高度な通常トラヒック状態からネットワーク回線利用状況等を分析して設備設計を行うことで、効率的な設備投資が可能となる。

なお、トラヒック状態抽出装置１は、内部にコンピュータシステムを有している。そして、上述したトラヒック状態抽出装置１のトラヒック分離部２１、パケット数カウント部２２、パケット数データ収集部２３、多次元ベクトル生成部２４、多次元ベクトル標準化処理部２５、クラスタ生成部２６、クラスタ分類判断部２７、トラヒック状態情報抽出部２８、トラヒック分離部４１、パケット数カウント部４２、パケット数データ収集部４３、多次元ベクトル生成部４４、多次元ベクトル標準化処理部４５、多次元空間マッピング部４６、距離算出部４７、異常検出部４８、及び、検査結果出力部４９の動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＣＰＵや各種メモリ、ＯＳや周辺機器等のハードウェアを含むものである。

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。

本実施形態によるトラヒック状態抽出装置を用いた通常状態トラヒックの特徴抽出方法の原理を説明するための図である。 同実施形態によるトラヒック状態抽出装置を用いた未知攻撃検出方法の原理を説明するための図である。 同実施形態によるトラヒック状態抽出装置における通常状態トラヒックの特徴抽出機能にかかわる機能ブロック図である。 同実施形態によるトラヒック状態抽出装置における未知攻撃検出機能にかかわる機能ブロック図である。 同実施形態によるトラヒック状態抽出装置のトラヒック記憶部のデータ構成を示す図である。 同実施形態によるトラヒック状態抽出装置における通常状態トラヒックの特徴抽出処理のフローチャートである。 同実施形態によるトラヒック状態抽出装置の学習データ記憶部のデータ構成を示す図である。 同実施形態によるトラヒック状態抽出装置におけるクラスタ生成処理のフローチャートである。 同実施形態によるトラヒック状態抽出装置の算出するＲ（ｋ）の変化を示すグラフである。 同実施形態によるトラヒック状態抽出装置における未知攻撃検査処理のフローチャートである。 同実施形態によるトラヒック状態抽出装置における多次元空間への標準化検査対象ベクトルのマッピングイメージを示す図である。

符号の説明

１…トラヒック状態抽出装置
１１、１２…ネットワーク回線
２１…トラヒック分離部（第１のトラヒック分離手段）
２２…パケット数カウント部（第１のパケット数カウント手段）
２３…パケット数データ収集部
２４…多次元ベクトル生成部（第１の多次元ベクトル生成手段）
２５…多次元ベクトル標準化処理部（第１の多次元ベクトル標準化処理手段）
２６…クラスタ生成部（クラスタ生成手段）
２７…クラスタ分類判断部（クラスタ分類判定手段）
２８…トラヒック状態情報抽出部（トラヒック状態情報抽出手段）
３１…トラヒック記憶部
３２…標準化ベクトル記憶部
３３…学習データ記憶部（記憶手段）
３４…検査トラヒック記憶部
３５…異常トラヒック記憶部
３６…正常トラヒック記憶部
４１…トラヒック分離部（第２のトラヒック分離手段）
４２…パケット数カウント部（第２のパケット数カウント手段）
４３…パケット数データ収集部
４４…多次元ベクトル生成部（第２の多次元ベクトル生成手段）
４５…多次元ベクトル標準化処理部（第２の多次元ベクトル標準化処理手段）
４６…多次元空間マッピング部
４７…距離算出部（距離算出手段）
４８…異常検出部（異常検出手段）
４９…検査結果出力部

Claims (7)

1. プロトコル種別の異なるパケットが送信されるネットワーク回線に接続され、前記ネットワーク回線から前記パケットを受信し、受信した前記パケットを前記プロトコル種別毎に分離する第１のトラヒック分離手段と、
   一定の時間間隔毎に、その時間間隔内において前記第１のトラヒック分離手段により分離された前記パケットを前記プロトコル種別毎にカウントする第１のパケット数カウント手段と、
   同一の前記時間間隔内において前記第１のパケット数カウント手段によりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、当該時間間隔毎の多次元ベクトルを生成する第１の多次元ベクトル生成手段と、
   前記第１の多次元ベクトル生成手段により生成された多次元ベクトルそれぞれを標準化して前記時間間隔毎の標準化ベクトルを生成する第１の多次元ベクトル標準化手段と、
   前記第１の多次元ベクトル標準化手段により生成された複数の前記時間間隔毎の標準化ベクトルを、クラスタ数を変化させながら複数のクラスタに分割するクラスタ生成手段と、
   前記クラスタ生成手段により分割されたクラスタの数が適切であるか否かを判断するクラスタ分類判断手段と、
   前記クラスタ生成手段が、前記クラスタ分類判断手段により適切であると判断されたクラスタ数にクラスタ分割したときの複数のクラスタそれぞれに含まれる複数の前記標準化ベクトルの統計情報からなるトラヒック状態の特徴情報を記憶手段に書き込むトラヒック状態情報抽出手段と、
   を備えることを特徴とするトラヒック状態抽出装置。
2. プロトコル種別の異なるパケットが送信されるネットワーク回線に接続され、前記ネットワーク回線から検査対象の前記パケットを受信し、受信した前記検査対象のパケットを前記プロトコル種別毎に分離する第２のトラヒック分離手段と、
   一定の時間間隔内において前記第２のトラヒック分離手段により分離された前記検査対象のパケットを前記プロトコル種別毎にカウントする第２のパケット数カウント手段と、
   前記時間間隔内において前記第２のパケット数カウント手段によりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、多次元ベクトルを生成する第２の多次元ベクトル生成手段と、
   前記第２の多次元ベクトル生成手段により生成された多次元ベクトルを標準化して標準化ベクトルを生成する第２の多次元ベクトル標準化手段と、
   前記第２の多次元ベクトル標準化手段により生成された前記標準化ベクトルと、前記記憶手段内から読み出される特徴情報により示され、前記複数のクラスタに対応して多次元空間上に展開される特徴ベクトルの分布位置それぞれとの距離を算出し、算出したそれぞれの距離のうち最小値を選択する距離算出手段と、
   前記距離算出手段により選択された距離の最小値と、予め決められた閾値とを比較してトラヒック異常を検出する異常検出手段と、
   をさらに備えることを特徴とする請求項１に記載のトラヒック状態抽出装置。
3. 前記クラスタ生成手段は、ｋ−ｍｅａｎｓ法によりクラスタ分割を行い、
   前記クラスタ分類判断手段は、前記クラスタ生成手段により分割された各クラスタに含まれる標準化ベクトルに外接する立方体の体積を求め、その体積の総和と、クラスタ数が１のときに当該クラスタに含まれる標準化ベクトルに外接する立方体の体積との比率を算出し、この算出した比率と所定の閾値とを比較することにより、クラスタ数が適切であるか否かを判断する、
   ことを特徴とする請求項１または請求項２に記載のトラヒック状態抽出装置。
4. プロトコル種別の異なるパケットが送信されるネットワーク回線に接続されるトラヒック状態抽出装置におけるトラヒック状態抽出方法であって、
   前記ネットワーク回線から前記パケットを受信し、受信した前記パケットを前記プロトコル種別毎に分離する第１のトラヒック分離ステップと、
   一定の時間間隔毎に、その時間間隔内において前記第１のトラヒック分離ステップにより分離された前記パケットを前記プロトコル種別毎にカウントする第１のパケット数カウントステップと、
   同一の前記時間間隔内において前記第１のパケット数カウントステップによりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、当該時間間隔毎の多次元ベクトルを生成する第１の多次元ベクトル生成ステップと、
   前記第１の多次元ベクトル生成ステップにより生成された多次元ベクトルそれぞれを標準化して前記時間間隔毎の標準化ベクトルを生成する第１の多次元ベクトル標準化ステップと、
   前記第１の多次元ベクトル標準化ステップにより生成された複数の前記時間間隔毎の標準化ベクトルを、クラスタ数を変化させながら複数のクラスタに分割するクラスタ生成ステップと、
   前記クラスタ生成ステップにより分割されたクラスタの数が適切であるか否かを判断するクラスタ分類判断ステップと、
   前記クラスタ生成ステップにおいて、前記クラスタ分類判断ステップにより適切であると判断されたクラスタ数にクラスタ分割したときの複数のクラスタそれぞれに含まれる複数の前記標準化ベクトルの統計情報からなるトラヒック状態の特徴情報を記憶手段に書き込むトラヒック状態情報抽出ステップと、
   を有することを特徴とするトラヒック状態抽出方法。
5. 前記ネットワーク回線から検査対象の前記パケットを受信し、受信した前記検査対象のパケットを前記プロトコル種別毎に分離する第２のトラヒック分離ステップと、
   一定の時間間隔内において前記第２のトラヒック分離ステップにより分離された前記検査対象のパケットを前記プロトコル種別毎にカウントする第２のパケット数カウントステップと、
   前記時間間隔内において前記第２のパケット数カウントステップによりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、多次元ベクトルを生成する第２の多次元ベクトル生成ステップと、
   前記第２の多次元ベクトル生成ステップによって生成された多次元ベクトルを標準化して標準化ベクトルを生成する第２の多次元ベクトル標準化ステップと、
   前記第２の多次元ベクトル標準化ステップにより生成された前記標準化ベクトルと、前記記憶手段内から読み出される特徴情報により示され、前記複数のクラスタに対応して多次元空間上に展開される特徴ベクトルの分布位置それぞれとの距離を算出し、算出したそれぞれの距離のうち最小値を選択する距離算出ステップと、
   前記距離算出ステップにより選択された距離の最小値と、予め決められた閾値とを比較してトラヒック異常を検出する異常検出ステップと、
   をさらに有することを特徴とする請求項４に記載のトラヒック状態抽出方法。
6. プロトコル種別の異なるパケットが送信されるネットワーク回線に接続されるトラヒック状態抽出装置としてのコンピュータを、
   前記ネットワーク回線から前記パケットを受信し、受信した前記パケットを前記プロトコル種別毎に分離する第１のトラヒック分離手段、
   一定の時間間隔毎に、その時間間隔内において前記第１のトラヒック分離手段により分離された前記パケットを前記プロトコル種別毎にカウントする第１のパケット数カウント手段、
   同一の前記時間間隔内において前記第１のパケット数カウント手段によりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、当該時間間隔毎の多次元ベクトルを生成する第１の多次元ベクトル生成手段、
   前記第１の多次元ベクトル生成手段により生成された多次元ベクトルそれぞれを標準化して前記時間間隔毎の標準化ベクトルを生成する第１の多次元ベクトル標準化手段、
   前記第１の多次元ベクトル標準化手段により生成された複数の前記時間間隔毎の標準化ベクトルを、クラスタ数を変化させながら複数のクラスタに分割するクラスタ生成手段、
   前記クラスタ生成手段により分割されたクラスタの数が適切であるか否かを判断するクラスタ分類判断手段、
   前記クラスタ生成手段が、前記クラスタ分類判断手段により適切であると判断されたクラスタ数にクラスタ分割したときの複数のクラスタそれぞれに含まれる複数の前記標準化ベクトルの統計情報からなるトラヒック状態の特徴情報を記憶手段に書き込むトラヒック状態情報抽出手段、
   として機能させることを特徴とするコンピュータプログラム。
7. トラヒック状態抽出装置としての前記コンピュータを、
   前記ネットワーク回線から検査対象の前記パケットを受信し、受信した前記検査対象のパケットを前記プロトコル種別毎に分離する第２のトラヒック分離手段、
   一定の時間間隔内において前記第２のトラヒック分離手段により分離された前記検査対象のパケットを前記プロトコル種別毎にカウントする第２のパケット数カウント手段、
   前記時間間隔内において前記第２のパケット数カウント手段によりカウントされたプロトコル種別毎のカウント数を、予め定められた前記プロトコル種別の順に並べ、多次元ベクトルを生成する第２の多次元ベクトル生成手段、
   前記第２の多次元ベクトル生成手段により生成された多次元ベクトルを標準化して標準化ベクトルを生成する第２の多次元ベクトル標準化手段、
   前記第２の多次元ベクトル標準化手段により生成された前記標準化ベクトルと、前記記憶手段内から読み出される特徴情報により示され、前記複数のクラスタに対応して多次元空間上に展開される特徴ベクトルの分布位置それぞれとの距離を算出し、算出したそれぞれの距離のうち最小値を選択する距離算出手段、
   前記距離算出手段により選択された距離の最小値と、予め決められた閾値とを比較してトラヒック異常を検出する異常検出手段、
   としてさらに機能させることを特徴とする請求項６に記載のコンピュータプログラム。

Images