JP4354496B2 - トラヒックリープ検出装置及びトラヒックリープ検出方法 - Google Patents

Description

本発明は、トラヒックリープ検出装置及びトラヒックリープ検出方法に係り、特に、インターネットのバックボーン上を流れるトラヒック量の時系列データについてＤｏＳ（Denial of Service）攻撃やネットワーク機器の故障等による変動を異常として検出する技術に関する。

安心・安全なネットワークを運用するためには、ＩＳＰ（Internet Service Provider）、ホスティングプロバイダ、バックボーン通信事業者でネットワーク内を流れるトラヒックに対する広域監視を行い、トラヒック量の急激な変化（以下、トラックリープと呼ぶ。）を検出し、対策を取ることが必要となる。
しかし、ＤｏＳ攻撃等によるトラヒックの変化量は、インターネットのバックボーンを流れる大量のトラヒック量よりも小さいため、監視対象のトラヒックをトラヒックリープの検出が可能な粒度まで分割し、その結果得られる複数のトラヒック時系列データに対して監視を行う必要がある。
また、インターネット上のトラヒック量は、夜間は昼間より大きくなるなど、通常状態でも変化しており、そのトラヒック量の定常変動と異常トラヒックによるトラヒックリープを区別する必要がある。
トラヒック時系列データからトラヒックリープを検出する最もシンプルな方法は、閾値としてある値を設定し、トラヒック量が閾値を上回った際にトラヒックリープが発生したとして判定する方法である。
しかし、監視を行うトラヒック時系列データ毎に、通常のトラヒック量、トラヒック量の変動幅は異なるため、適切な閾値もトラヒック時系列データ毎に異なり、大量のトラヒック時系列データ全てに、適切な閾値を手動で設定することは困難である。

トラヒック時系列データに適切な閾値を自動で設定する従来の技術としては、移動平均値±α×標準偏差を閾値として用いるボリンジャー・バンドが多用されている。（下記、非特許文献１参照）
しかし、ボリンジャー・バンドをインターネット上のトラヒック時系列データに用いた場合、昼夜の変動もトラヒックリープとして検出してしまうため、精度の良いトラヒックリープ検出が難しい。
また、トラヒック時系列データのトラヒックリープ検出を高精度に行なう技術としては、過去のデータから時系列統計モデルや最尤推定法を用いて予測を行い、予測値と実測値との差分を評価する方法がある。（下記、特許文献１参照）
しかし、これらの従来手法は、計算に多くの処理を必要とするため複数のトラヒック時系列データに対するトラヒックリープ検出に用いることは難しい。

なお、本願発明に関連する先行技術文献としては以下のものがある。
特開２００４−５４３７０号公報 ボリンジャーバンド入門，ジョン・ボリンジャー，パンローリング株式会社，２００２年

従来の技術では、単一もしくは少数の時系列データに対しては複雑な計算を行い、トラヒックリープの検出を高精度に行っていたが、大量のトラヒック時系列デーダに対して並列にトラヒックリープ検出を行なうことは困難である。
しかし、大容量のトラヒックが流れるインターネットバックボーン上においては、大量のトラヒック時系列データを同時に監視することが必須である。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、閾値を自動で設定し、大量のトラヒック時系列データにおけるトラヒックリープを、従来よりも高速、かつ、高精度に検出することが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）インターネットバックボーンを流れるトラヒック量の時系列データに対し、トラヒック量の急激な変化であるトラヒックリープを異常として検出するトラヒックリープ検出装置であって、低周波ノイズフィルタと、高周波ノイズフィルタと、平均値計算装置とを有するノイズフィルタと、前記ノイズフィルタが出力する時系列データに対し、自動で閾値を設定しトラヒックリープの有無を判定するリープ判定装置とを有し、前記低周波ノイズフィルタは、時点（ｔ）のトラヒック量ｘ（ｔ）と、時点（ｔ）の一つ前の時点のトラヒック量ｘ（ｔ−１）を格納する格納手段と、前記格納手段に格納されたトラヒック量ｘ（ｔ）とトラヒック量ｘ（ｔ−１）の差分の絶対値ｙ（ｔ）を計算し、出力する演算手段とを有し、前記平均値計算装置は、前記低周波ノイズフィルタから出力される差分の絶対値ｙ（ｔ）を複数個格納する格納手段と、前記格納手段に格納された前記複数個の差分の絶対値の平均値β（ｔ）を計算し、出力する演算手段と有し、前記高周波ノイズフィルタは、前記低周波ノイズフィルタから出力された差分の絶対値ｙ（ｔ）を、前記平均値計算装置から出力される平均値β（ｔ）で除算し、補正時系列データｚ（ｔ）として出力する演算手段を有する。

（２）（１）において、前記平均値計算装置の前記格納手段は、過去に前記リープ判定装置によってトラヒックリープが発生したと判定された時点の差分の絶対値をｙ（ｔ’）とするとき、時点（ｔ−１）から時点（ｔ’）時の差分の絶対値ｙ（ｔ’）を除いた過去Ｍ個分の差分の絶対値ｙ（ｋ）（ｋ＝ｔ,...,ｔ−Ｍ）を格納し、前記平均値計算装置の前記演算手段は、前記格納手段に格納された前記Ｍ個分の差分の絶対値の平均値を計算し、出力する。
（３）（１）または（２）において、閾値設定装置を有し、前記閾値設定装置は、前記ノイズフィルタの出力である複数の補正時系列データｚ（ｔ）を格納する格納手段と、前記格納手段に格納された前記複数の補正時系列データｚ（ｔ）の平均値μ（ｔ）を計算する演算手段１と、前記格納手段に格納された前記複数の補正時系列データｚ（ｔ）の標準偏差σｉ（ｔ）を計算する演算手段２と、前記演算手段１で計算された平均値μ（ｔ）と、前記演算手段２で計算された標準偏差σｉ（ｔ）とを用いて閾値Ｂ（ｔ）を計算し、出力する演算手段３とを有し、前記リープ判定装置は、補正時系列データｚ（ｔ）と、閾値Ｂ（ｔ）との大小関係を比較し、補正時系列データｚ（ｔ）が、閾値Ｂ（ｔ）を上回った場合にトラヒックリープが発生したと判定する。

（４）（３）において、前記閾値設定装置の格納手段は、過去に前記リープ判定装置によってトラヒックリープが発生したと判定された時点の補正時系列データをｚ（ｔ’）とするとき、時点（ｔ−１）から時点（ｔ’）時の補正時系列データｚ（ｔ’）を除いた過去Ｎ個分の補正時系列データｚ（ｊ）（ｊ＝ｔ,...,ｔ−Ｎ）を格納し、前記閾値設定装置の演算手段１は、前記格納手段に格納された前記Ｎ個分の補正時系列データの平均値を計算し、前記閾値設定装置の演算手段２は、前記格納手段に格納された前記Ｎ個分の補正時系列データの標準偏差を計算する。

（５）インターネットバックボーンを流れるトラヒック量の時系列データに対し、トラヒック量の急激な変化であるトラヒックリープを異常として検出するトラヒックリープ検出方法であって、時点（ｔ）のトラヒック量ｘ（ｔ）と、時点（ｔ）の一つ前の時点のトラヒック量ｘ（ｔ−１）の差分の絶対値ｙ（ｔ）を計算するステップ１と、前記ステップ１で計算された差分の絶対値ｙ（ｔ）の平均値β（ｔ）を計算するステップ２と、前記ステップ１で計算された絶対値ｙ（ｔ）を、前記ステップ２で計算された平均値β（ｔ）で除算し、補正時系列データｚ（ｔ）として出力するステップ３と、前記ステップ３で出力された時系列データに対し、自動で閾値を設定しトラヒックリープの有無を判定するステップ４とを有する。
（６）（５）において、前記ステップ４は、前記ステップ３で出力された補正時系列データｚ（ｔ）の平均値μ（ｔ）を計算するステップ２１と、前記ステップ３で出力された補正時系列データｚ（ｔ）の標準偏差σｉ（ｔ）を計算するステップ２２と、前記ステップ２１で計算された時系列データの平均値μ（ｔ）と、前記ステップ２２で計算された標準偏差σｉ（ｔ）とを用いて閾値Ｂ（ｔ）を計算するステップ２３と、前記ステップ１で変換された補正時系列データｚ（ｔ）と、前記ステップ２３で計算された閾値Ｂ（ｔ）との大小関係を比較し、補正時系列データｚ（ｔ）が、閾値Ｂ（ｔ）を上回った場合にトラヒックリープが発生したと判定するステップとを有する。

本発明では、トラヒックリープ検出装置内に、精度を損なう原因であるトラヒック量の定常変動をトラヒック時系列データから取り除き、トラヒックリープを検出しやすい時系列デーダに変換するノイズフィルタを設置することにより、高精度のトラヒックリープ検出を実現する。
また、ノイズフィルタ内において、低周波ノイズフィルタと高周波ノイズフィルタは、トラヒック時系列データに対して、トラヒック量の差分の計算、平均値による除算と言った簡単な計算により通常トラヒック変動の影響の除去を可能とすることにより、一つのトラヒック時系列データあたりに要する処理時間を短縮することを可能とする。
また、リープ判定装置は判定に用いる閾値を、ノイズフィルタから受け取った時系列データ各々の平均値と標準偏差から自動的に設定するため、大量のトラヒック時系列データについて個別の設定を必要としない。

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、閾値を自動で設定し、大量のトラヒック時系列データにおけるトラヒックリープを、従来よりも高速、かつ、高精度に検出することが可能となる。

以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
図１は、本発明の実施例のトラヒックリープ検出装置の概略構成を示すブロック図である。図１において、１００はトラヒックリープ検出装置、２００はトラヒック監視装置、３００は制御装置である。トラヒックリープ検出装置１００は、ノイズフィルタ１１０と、リープ判定装置１２０と、閾値設定装置１２１とを有する。
図２−１は、図１に示すノイズフィルタ１１０の概略構成を示すブロック図である。
図２−１に示すように、ノイズフィルタ１１０は、低周波ノイズフィルタ１１１と、高周波ノイズフィルタ１１２と、平均値計算装置１１３とを有する。
低周波ノイズフィルタ１１１は、格納手段１０と、演算手段１１とを有する。高周波ノイズフィルタ１１２は、演算手段１２を有する。また、平均値計算装置１１３は、格納手段１３と、演算手段１５とを有する。
図２−２は、図１に示す閾値設定装置１２１の概略構成を示すブロック図である。
図２−２に示すように、閾値設定装置１２１は、格納手段２０と、演算手段（２１，２２，２３）とを有する。

外部に設置されたトラヒック監視装置２００は、監視対象となるインターネットバックボーン上のトラヒック量を一定時間毎に集計し、複数のトラヒック時系列データを出力するものとする。
本明細書では、トラヒック監視装置２００が出力する複数のトラヒック時系列データｘ（ｔ）を整数ｉ（ｉ＝０，１，２,...）によって区別し、トラヒック時系列データｘｉ（ｔ）と呼ぶ。本明細書では、トラヒック時系列データｘｉ（ｔ）における時点ｔ（ｔ＝１，２，３，...）を、トラヒックリープ検出装置１００が起動した後、トラヒック監視装置２００から、トラヒック時系列データｘｉを受信した回数として定義する。
以下、図３を用いて、本実施例のトラヒックリープ検出装置の処理手順について説明する。
まず、本実施例のトラヒックリープ検出装置１００は、トラヒック監視装置２００から最新時点（ｔ）のトラヒック時系列データｘｉ（ｔ）を受け取る。
低周波ノイズフィルタ１１１は、時点（ｔ）のトラヒック量ｘｉ（ｔ）と、時点（ｔ）の一つ前の時点のトラヒック量ｘｉ（ｔ−１）とを格納手段１０に格納し、演算手段１１で、格納手段１０に格納された時点（ｔ）のトラヒック量ｘｉ（ｔ）と、トラヒック量ｘｉ（ｔ−１）の差分の絶対値ｙｉ（ｔ）＝｜ｘｉ（ｔ）−ｘｉ（ｔ−１）｜を計算し、高周波ノイズフィルタ１１２に出力する。ただし、ｔ＝１の場合は、高周波ノイズブィルタ１１２にｙｉ（ｔ）＝０を出力する。

平均値計算装置１１３の格納手段１３は、時点（ｔ−１）から過去Ｍ個分の絶対値ｙｉ（ｋ）（ｋ＝ｔ,...,ｔ−Ｍ）を格納する。なお、Ｍは、予め手動で設定する値とする。但し、リープ判定装置１２０が、トラヒック時系列データｘｉ（ｔ）において時点（ｔ’）で、トラヒックリープが発生したと判定された場合には、その時の差分の絶対値ｙｉ（ｔ’）の格納は行わない。
平均値計算装置１１３の演算手段１５は、下記（１）式に基づき、格納手段１３に格納された過去Ｍ個分の差分の絶対値ｙｉ（ｋ）（ｋ＝ｔ,...,ｔ−Ｍ）の平均値βｉ（ｔ）を計算し、出力する。但し、ｔ＜Ｍの場合は、平均値βｉ（ｔ）の計算と出力を行わない。
高周波ノイズフィルタ１１２は、低周波ノイズフィルタ１１１から出力される差分の絶対値ｙｉ（ｔ）と、平均値計算装置１１３から出力される差分の絶対値の平均値βｉ（ｔ）で除算する。その計算結果を、補正時系列データｚｉ（ｔ）［＝ｙｉ（ｔ）／βｉ（ｔ）］）をリープ判定装置１２０に出力する。但し、ｔ＜Ｍの場合はｚｉ（ｔ）の計算と出力を行わない。

・・・・・・・・・・・・・・・・・ （１）

閾値設定装置１２１の格納手段２０は、時点（ｔ−１）から過去Ｎ個分の補正時系列データｚｉ（ｊ）（ｊ＝ｔ,...,ｔ−Ｎ）を格納する。なお、Ｎは予め手動で設定する値とする。但し、リープ判定装置１２０がトラヒック時系列データｘｉ（ｔ）において、時点（ｔ’）でトラヒックリープが発生したと判定された場合には、その時点の補正時系列データｚｉ（ｔ’）の蓄積は行わない。
閾値設定装置１２１の演算手段２１は、下記（２）式に基づき、格納手段２０に格納された過去Ｎ個分の補正時系列データｚｉ（ｔ）の平均値μｉ（ｔ）を計算する。
閾値設定装置１２１の演算手段２２は、格納手段２０に格納された過去Ｎ個分の補正時系列データｚｉ（ｔ）の標準偏差σｉ（ｔ）を計算する。
閾値設定装置１２１の演算手段２３は、閾値Ｂｉ（ｔ）［＝μｉ（ｔ）＋α・σｉ（ｔ）］を計算し、出力する。なお、αは予め定められた定数とする。但し、ｔ＜（Ｍ＋Ｎ）の場合は、前述の閾値Ｂｉ（ｔ）の計算と出力を行わない。

・・・・・・・・・・・・・・・・・ （２）

リープ判定装置１２０は、高周波ノイズフィルタ１１３から出力される補正時系列データｚｉ（ｔ）と、閾値設定装置１２１から出力される閾値Ｂｉ（ｔ）との大小関係を比較する。
もし、ｚｉ（ｔ）＞Ｂｉ（ｔ）が成り立つならば、トラヒック時系列データｘｉ（ｔ）おいて、時点（ｔ）でトラヒックリープが発生したと判定し、その旨を制御装置３００にアラートとして通知する。
また、平均値計算装置１１３と閾値設定装置１２１にもアラートを通知し、トラヒックリープ発生時のデータを学習することを防ぐ。但し、ｔ＜（Ｍ＋Ｎ）の場合は、前述のリープ判定を行わない。
外部に設置された制御装置３００は、リープ設定装置１２０から出力されるアラートを受け取り、原因特定のための詳細分析、トラヒック制御を行う装置を特定する。
以上説明したように、本実施例のトラヒックリープ検出装置によれば、トラヒック時系列データ個別の閾値推定を自動化し、トラヒックリープ検出の精度を損なう原因であるトラヒック量の定常変動をトラヒック時系列データから取り除くことにより精度を向上させ、さらに、精度を高めるための計算を平均値や標準偏差といった単純な計算で行うことにより高速化を図ることが可能となる。
これにより、大量のトラヒック時系列データについてのトラヒックリープ検出をリアルタイムで行なうことが可能となり、インターネットバックボーンを流れるトラヒックの監視を実現することができる。

以下、本発明の有効性を評価した結果について説明する。
図４、図５は、あるトラヒックを５分間隔毎に集計したトラヒック時系列データに対して本発明の実施例を適用した結果を示す図である。
図４の横軸は時刻、縦軸はｘ（ｔ）の値を［０，１］で正規化した値である。同様に、図５の横軸は時刻、縦軸はｚ（ｔ）、Ｂ（ｔ）の値を［０，１］で正規化した値である。
平均値計算装置１１３に格納するデータ数（Ｍ）と、閾値設定装置１２１に格納するデータ数（Ｎ）と閾値計算の係数（α）といった手動で設定する必要があるパラメータは、Ｍ＝２４（２時間分）、Ｎ＝２８８（２４時間分）、α＝６とした。
図４は、トラヒック時系列データｘ（ｔ）と、本実施例のトラヒック検出装置によりトラヒック時系列データｘ（ｔ）に、トラヒックリープが発生したと判定された箇所を示した図であり、図５は図４と同時刻の、本実施例のトラヒック検出装置におけるトラヒックリープ発生の判定基準であるｚ補正時系列データ（ｔ）と、閾値Ｂ（ｔ）の変動を示す図である。

図４と図５を見ると、昼と夜でトラヒック時系列データｘ（ｔ）が大きく変動しているが、通常のトラヒック変動では補正時系列データｚ（ｔ）に大きな変化はなく、トラヒック時系列データｘ（ｔ）が異常な変動を示した箇所のみ補正時系列データｚ（ｔ）が閾値Ｂ（ｔ）を上回る様子が分かる。
このように、本実施例のトラヒックリープ検出装置は、単純な計算でトラヒックリープを高精度に検出することを可能とする。
本実施例を、ＣＰＵクロック数３．０６ＧＨｚ、メモリ容量１ＧＢｙｔｅの計算機に実装することにより、１０万個のトラヒック時系列データに対して同時にトラヒックリープの検出を行うことが可能である。
その際、１０万個のトラヒック時系列データ全てに対する１回分のトラヒックリープ判定に要した合計時間は、約３秒であった。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本
発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

本発明の実施例のトラヒックリープ検出装置の概略構成を示すブロック図である。 図１に示すノイズフィルタの概略構成を示すブロック図である。 図１に示す閾値設定装置の概略構成を示すブロック図である。 本発明の実施例のトラヒックリープ検出装置の処理手順を説明するための図である。 本発明の有効性を評価した結果を説明する図である。 本発明の有効性を評価した結果を説明する図である。

符号の説明

１０，１３，２０ 格納手段
１１，１２，１５，２１，２２，２３ 演算手段
１００ トラヒックリープ検出装置
１１０ ノイズフィルタ
１１１ 低周波ノイズフィルタ
１１２ 高周波ノイズフィルタ
１１３ 平均値計算装置
１２０ リープ判定装置
１２１ 閾値設定装置
２００ トラフック監視装置
３００ 制御装置

Claims (6)

1. インターネットバックボーンを流れるトラヒック量の時系列データに対し、トラヒック量の急激な変化であるトラヒックリープを異常として検出するトラヒックリープ検出装置であって、
   低周波ノイズフィルタと、高周波ノイズフィルタと、平均値計算装置とを有するノイズフィルタと、
   前記ノイズフィルタが出力する時系列データに対し、自動で閾値を設定しトラヒックリープの有無を判定するリープ判定装置とを有し、
   前記低周波ノイズフィルタは、時点（ｔ）のトラヒック量ｘ（ｔ）と、時点（ｔ）の一つ前の時点のトラヒック量ｘ（ｔ−１）を格納する格納手段と、
   前記格納手段に格納されたトラヒック量ｘ（ｔ）とトラヒック量ｘ（ｔ−１）の差分の絶対値ｙ（ｔ）を計算し、出力する演算手段とを有し、
   前記平均値計算装置は、前記低周波ノイズフィルタから出力される差分の絶対値ｙ（ｔ）を複数個格納する格納手段と、
   前記格納手段に格納された前記複数個の差分の絶対値の平均値β（ｔ）を計算し、出力する演算手段と有し、
   前記高周波ノイズフィルタは、前記低周波ノイズフィルタから出力された差分の絶対値ｙ（ｔ）を、前記平均値計算装置から出力される平均値β（ｔ）で除算し、補正時系列データｚ（ｔ）として出力する演算手段を有することを特徴とするトラヒックリープ検出装置。
2. 前記平均値計算装置の前記格納手段は、過去に前記リープ判定装置によってトラヒックリープが発生したと判定された時点の差分の絶対値をｙ（ｔ’）とするとき、時点（ｔ−１）から時点（ｔ’）時の差分の絶対値ｙ（ｔ’）を除いた過去Ｍ個分の差分の絶対値ｙ（ｋ）（ｋ＝ｔ,...,ｔ−Ｍ）を格納し、
   前記平均値計算装置の前記演算手段は、前記格納手段に格納された前記Ｍ個分の差分の絶対値の平均値を計算し、出力することを特徴とする請求項１に記載のトラヒックリープ検出装置。
3. 閾値設定装置を有し、
   前記閾値設定装置は、前記ノイズフィルタの出力である複数の補正時系列データｚ（ｔ）を格納する格納手段と、
   前記格納手段に格納された前記複数の補正時系列データｚ（ｔ）の平均値μ（ｔ）を計算する演算手段１と、
   前記格納手段に格納された前記複数の補正時系列データｚ（ｔ）の標準偏差σｉ（ｔ）を計算する演算手段２と、
   前記演算手段１で計算された平均値μ（ｔ）と、前記演算手段２で計算された標準偏差σｉ（ｔ）とを用いて閾値Ｂ（ｔ）を計算し、出力する演算手段３とを有し、
   前記リープ判定装置は、補正時系列データｚ（ｔ）と、閾値Ｂ（ｔ）との大小関係を比較し、補正時系列データｚ（ｔ）が、閾値Ｂ（ｔ）を上回った場合にトラヒックリープが発生したと判定することを特徴とする請求項１または請求項２に記載のトラヒックリープ検出装置。
4. 前記閾値設定装置の格納手段は、過去に前記リープ判定装置によってトラヒックリープが発生したと判定された時点の補正時系列データをｚ（ｔ’）とするとき、時点（ｔ−１）から時点（ｔ’）時の補正時系列データｚ（ｔ’）を除いた過去Ｎ個分の補正時系列データｚ（ｊ）（ｊ＝ｔ,...,ｔ−Ｎ）を格納し、
   前記閾値設定装置の演算手段１は、前記格納手段に格納された前記Ｎ個分の補正時系列データの平均値を計算し、
   前記閾値設定装置の演算手段２は、前記格納手段に格納された前記Ｎ個分の補正時系列データの標準偏差を計算することを特徴とする請求項３に記載のトラヒックリープ検出装置。
5. インターネットバックボーンを流れるトラヒック量の時系列データに対し、トラヒック量の急激な変化であるトラヒックリープを異常として検出するトラヒックリープ検出方法であって、
   時点（ｔ）のトラヒック量ｘ（ｔ）と、時点（ｔ）の一つ前の時点のトラヒック量ｘ（ｔ−１）の差分の絶対値ｙ（ｔ）を計算するステップ１と、
   前記ステップ１で計算された差分の絶対値ｙ（ｔ）の平均値β（ｔ）を計算するステップ２と、
   前記ステップ１で計算された絶対値ｙ（ｔ）を、前記ステップ２で計算された平均値β（ｔ）で除算し、補正時系列データｚ（ｔ）として出力するステップ３と、
   前記ステップ３で出力された時系列データに対し、自動で閾値を設定しトラヒックリープの有無を判定するステップ４とを有することを特徴とするトラヒックリープ検出方法。
6. 前記ステップ４は、前記ステップ３で出力された補正時系列データｚ（ｔ）の平均値μ（ｔ）を計算するステップ２１と、
   前記ステップ３で出力された補正時系列データｚ（ｔ）の標準偏差σｉ（ｔ）を計算するステップ２２と、
   前記ステップ２１で計算された時系列データの平均値μ（ｔ）と、前記ステップ２２で計算された標準偏差σｉ（ｔ）とを用いて閾値Ｂ（ｔ）を計算するステップ２３と、
   前記ステップ１で変換された補正時系列データｚ（ｔ）と、前記ステップ２３で計算された閾値Ｂ（ｔ）との大小関係を比較し、補正時系列データｚ（ｔ）が、閾値Ｂ（ｔ）を上回った場合にトラヒックリープが発生したと判定するステップとを有することを特徴とする請求項５に記載のトラヒックリープ検出方法。

Images