JP5403698B2

JP5403698B2 - トラヒック判別装置及びトラヒック判別装置における閾値の更新方法

Info

Publication number: JP5403698B2
Application number: JP2010246176A
Authority: JP
Inventors: 寛吉田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2010-11-02
Filing date: 2010-11-02
Publication date: 2014-01-29
Anticipated expiration: 2030-11-02
Also published as: JP2012100085A

Description

本発明は、通信ネットワーク上でのユーザのトラヒック状況を判別する技術、特に当該判別に使用する閾値を、事前に特定の値を指定することなく、また過去のトラヒック量を全て記憶・保持することなく決定でき、ユーザの通信需要の増大に応じて更新可能な技術に関する。

通信ネットワーク上を流れるユーザのトラヒック量は、予め決められた一定量のトラヒックを常時伝送する一部の通信ネットワークを除き、一般的な通信ネットワークでは当該ユーザのトラヒック状況と当該通信ネットワークの状態によって変化する。例えば、ユーザがサイズの大きなファイルをダウンロードしようとした際には、大量のトラヒックが通信ネットワーク上を流れることになる。

ここで、「ユーザのトラヒック状況」とは、通信ネットワーク上でのユーザの単位時間当たりのトラヒック量の頻度分布をとった場合の当該頻度の平均及び標準偏差が異なる二つの特徴的なトラヒック状況、即ち通信需要が低い時のトラヒック状況（以下、「低需要トラヒック」）または通信需要が高い時のトラヒック状況（以下、「高需要トラヒック」）をいうものとし、本発明が対象とする通信ネットワークにおいては、前記低需要トラヒックまたは高需要トラヒックの両方が発生し得る（但し、同時に発生することはない。）ものとする。

通信ネットワークを提供する電気通信事業者は、ユーザに対して最適なサービスを提供するために、ユーザがどのようなトラヒック状況にあるかを判別することが重要となる。

一方、電気通信事業法（昭和五十九年十二月二十五日法律第八十六号）の第四条、即ち
「（秘密の保護）
第四条電気通信事業者の取扱中に係る通信の秘密は、侵してはならない。

２電気通信事業に従事する者は、在職中電気通信事業者の取扱中に係る通信に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。」
によれば、電気通信事業者は、提供する通信ネットワークにおける通信の秘密を侵すことができないとされている。このため、電気通信事業者がユーザのトラヒック状況を知る手段は限られ、これまでユーザのトラヒック量から当該ユーザのトラヒック状況を判別する技術が提案されてきた。

例えば、非特許文献１では、通常トラヒック（通常時のトラヒック状況）の統計的性質を利用したSYN Flood 攻撃の検出手法を提案している。この方法では、ユーザのトラヒック量から当該ユーザにおける通常トラヒックと攻撃トラヒック（SYN Flood 攻撃時のトラヒック状況）を判別することが可能であるが、ユーザトラヒック内で SYNパケットだけを分離した到着レートを把握する必要がある。また、その閾値は実験により固定的に求めている。

ユーザのトラヒック量は、非特許文献１に示すように、ユーザのトラヒック状況が一定という条件下では対数正規分布を示すことが知られている。このような対数正規分布の集合を判別する閾値を与える方法として、マハラノビス距離を用いた方法が知られている。この方法は、二つの正規分布の集合の平均を、二つの正規分布の標準偏差の逆比で分割した点が、誤判別率が最低になるというものである。

前述した方法では、仮の閾値を用いて過去のトラヒック量を二つの集合に分離した上で、当該仮の閾値より下位の集合を低需要時のトラヒック、上位の集合を高需要時のトラヒックとし、この低需要時及び高需要時のトラヒック分布から平均と標準偏差を計算し、閾値を更新することで適切な閾値を決定する。

しかし、前述した従来の閾値の決定方法では、繰り返し計算を行うために、新たな分類のもとで平均と標準偏差を算出する必要があるが、それには過去のトラヒック量を全て記憶・保持している必要があり、必要な記憶装置の容量が増大するという問題があった。

そこで、本発明は、上記の課題に対し、ユーザのトラヒック状況を判別する際に使用する閾値を、過去のトラヒック量を全て記憶・保持することなく、繰り返し更新可能な方法で決定することにより、過去のトラヒック量を記憶・保持するための記憶容量を不要とすることを目的とする。

本発明では、前記目的を達成するため、通信ネットワーク上でのユーザのトラヒック状況が、通信ネットワーク上でのユーザの単位時間当たりのトラヒック量の頻度分布をとった場合の当該頻度の平均及び標準偏差が異なる二つの特徴的なトラヒック状況である低需要トラヒックまたは高需要トラヒックのいずれであるかを、ユーザの単位時間当たりのトラヒック量を所定の閾値と比較することで判別するトラヒック判別装置であって、通信ネットワーク上でのユーザの単位時間当たりのトラヒック量Ｘを観測するトラヒック量観測部と、所定の閾値Ｔとともに、低需要トラヒックに対する分散に対応するパラメータＤ１、過去に観測され低需要トラヒックと判別された前記トラヒック量Ｘの平均値Ｍ１及び個数Ｎ１、高需要トラヒックに対する分散に対応するパラメータＤ２、過去に観測され高需要トラヒックと判別された前記トラヒック量Ｘの平均値Ｍ２及び個数Ｎ２を書き換え可能に保持するパラメータ保持部と、閾値Ｔの初期値Ｔ１、低需要トラヒックと判別された前記トラヒック量Ｘの個数の下限値である低需要トラヒック個数下限値Ｎ１min 、高需要トラヒックと判別された前記トラヒック量Ｘの個数の下限値である高需要トラヒック個数下限値Ｎ２min を保持する定数保持部と、トラヒック量観測部で観測された前記トラヒック量Ｘとパラメータ保持部の閾値Ｔとを比較し、当該トラヒック量Ｘが低需要トラヒックまたは高需要トラヒックのいずれであるかを判別する判別部と、パラメータ保持部の閾値Ｔが未設定の場合は定数保持部に保持された初期値Ｔ１を閾値Ｔとしてパラメータ保持部に代入し、判別部による前記トラヒック量Ｘの判別結果が低需要トラヒックであればパラメータ保持部のＮ１の値をＮ１＋１に更新し、その結果、Ｎ１の値が定数保持部に保持された低需要トラヒック個数下限値Ｎ１min より大きければパラメータ保持部のＤ１の値を
Ｄ１＝（Ｎ１−１）／Ｎ１＊（Ｘ−Ｍ１）＾２＋Ｄ１
に更新し、パラメータ保持部のＭ１の値を
Ｍ１＝（Ｍ１＊Ｎ１＋Ｘ）／（Ｎ１＋１）
に更新し、また、判別部による前記トラヒック量Ｘの判別結果が高需要トラヒックであればパラメータ保持部のＮ２の値をＮ２＋１に更新し、その結果、Ｎ２の値が定数保持部に保持された高需要トラヒック個数下限値Ｎ２min より大きければパラメータ保持部のＤ２の値を
Ｄ２＝（Ｎ２−１）／Ｎ２＊（Ｘ−Ｍ２）＾２＋Ｄ２
に更新し、パラメータ保持部のＭ２の値を
Ｍ２＝（Ｍ２＊Ｎ２＋Ｘ）／（Ｎ２＋１）
に更新し、さらにそれらの結果、Ｎ１の値が低需要トラヒック個数下限値Ｎ１min より大きく、かつＮ２の値が高需要トラヒック個数下限値Ｎ２min より大きく、かつＤ１とＤ２の積が０以外の場合はパラメータ保持部の閾値Ｔの値を
Ｔ＝｛sqrt（Ｄ１／Ｎ１）＊Ｍ１＋sqrt（Ｄ２／Ｎ２）＊Ｍ２｝
／｛sqrt（Ｄ１／Ｎ１）＋sqrt（Ｄ２／Ｎ２）｝
に更新するパラメータ更新部とを備えたことを特徴とするトラヒック判別装置を提案する。

なお、本発明において、ａ，ｂ，Ａをそれぞれ変数とした場合、「ａ＾ｂ」は「ａのｂ乗」を意味し、「sqrtＡ」は「Ａの平方根」を意味するものとする。

本発明によれば、ユーザの単位時間当たりのトラヒック量Ｘの外、低需要トラヒックに対するパラメータＮ１、Ｍ１及びＤ１、並びに高需要トラヒックに対するパラメータＮ２、Ｍ２及びＤ２のみを用いて閾値Ｔを決定・更新することができるため、低需要トラヒックと高需要トラヒックを判別する際の閾値を、従来の二つの正規分布の集合の平均を二つの正規分布の標準偏差の逆比で分割した点とする閾値設定方式に対して、過去のトラヒック量を全て記憶・保持することなく、新たなトラヒック量に対し繰り返し計算により類似した閾値を算出することが可能となる。このことで、過去のトラヒック量の保持に必要な記憶容量が不要になる。

本発明のトラヒック判別装置の実施の形態の一例を示す構成図図１中のパラメータ更新部における処理のフローチャートユーザの単位時間当たりのトラヒック量の推移の一例を示す説明図図３に示したトラヒック量の推移を頻度分布化して示す説明図最初のトラヒック量が与えられた時のパラメータの更新過程の一例を示す説明図単位時間毎のトラヒック量、その判別結果及び各パラメータの更新状況の一例を示す説明図最初のトラヒック量が与えられた時のパラメータの更新過程の他の例を示す説明図単位時間毎のトラヒック量、その判別結果及び各パラメータの更新状況の他の例を示す説明図

以下、本発明を図面に基づいて詳細に説明する。

図１は本発明のトラヒック判別装置の実施の形態の一例を示すもので、図中、１はトラヒック量観測部、２はパラメータ保持部、３は定数保持部、４は判別部、５はパラメータ更新部である。

トラヒック量観測部１は、通信ネットワーク上でのユーザの単位時間当たりのトラヒック量Ｘを観測し、判別部４及びパラメータ更新部５へ出力する。

パラメータ保持部２は、所定の閾値Ｔとともに、低需要トラヒックに対する分散に対応するパラメータＤ１、過去に観測され低需要トラヒックと判別された前記トラヒック量Ｘの平均値Ｍ１及び個数Ｎ１、高需要トラヒックに対する分散に対応するパラメータＤ２、過去に観測され高需要トラヒックと判別された前記トラヒック量Ｘの平均値Ｍ２及び個数Ｎ２を書き換え可能に保持する。

定数保持部３は、閾値Ｔの初期値Ｔ１、低需要トラヒックと判別された前記トラヒック量Ｘの個数の下限値である低需要トラヒック個数下限値Ｎ１min 、高需要トラヒックと判別された前記トラヒック量Ｘの個数の下限値である高需要トラヒック個数下限値Ｎ２min を保持する。

判別部４は、トラヒック量観測部１から前記トラヒック量Ｘを受け取る度に、当該トラヒック量観測部１で観測された前記トラヒック量Ｘとパラメータ保持部の閾値Ｔとを比較し、当該トラヒック量Ｘが低需要トラヒックまたは高需要トラヒックのいずれであるかを判別、例えば前記トラヒック量Ｘが閾値Ｔより小さければ低需要トラヒックと判別し、また閾値Ｔ以上であれば高需要トラヒックと判別（もしくは前記トラヒック量Ｘが閾値Ｔ以下であれば低需要トラヒックと判別し、また閾値Ｔより大きければ高需要トラヒックと判別）し、判別結果をパラメータ更新部５へ出力する。

パラメータ更新部５は、トラヒック量観測部１から前記トラヒック量Ｘを受け取る度に図２のフローチャートに従う、以下の処理を実行する。

まず、パラメータ保持部２の閾値Ｔが未設定かどうかを確認し（ｓ１）、設定済みであれば（ｓ１；ＮＯ）そのままｓ３に進み、未設定であれば（ｓ１；ＹＥＳ）定数保持部３に保持された初期値Ｔ１を閾値Ｔとしてパラメータ保持部２に代入する（ｓ２）。

次に、判別部４による前記トラヒック量Ｘの判別結果を確認し（ｓ３）、低需要トラヒックであれば（ｓ３；ＹＥＳ）パラメータ保持部２のＮ１の値をＮ１＋１に更新する（ｓ４）。さらに、パラメータ保持部２のＮ１の値と定数保持部３に保持された低需要トラヒック個数下限値Ｎ１min とを比較し（ｓ５）、Ｎ１の値がＮ１min 以下であれば（ｓ５；ＮＯ）そのままｓ１０に進み、Ｎ１の値がＮ１min より大きければ（ｓ５；ＹＥＳ）パラメータ保持部２のＤ１の値を
Ｄ１＝（Ｎ１−１）／Ｎ１＊（Ｘ−Ｍ１）＾２＋Ｄ１
に更新し、パラメータ保持部２のＭ１の値を
Ｍ１＝（Ｍ１＊Ｎ１＋Ｘ）／（Ｎ１＋１）
に更新する（ｓ６）。

一方、判別部４による前記トラヒック量Ｘの判別結果が高需要トラヒックであれば（ｓ３；ＮＯ）パラメータ保持部２のＮ２の値をＮ２＋１に更新する（ｓ７）。さらに、パラメータ保持部２のＮ２の値と定数保持部３に保持された高需要トラヒック個数下限値Ｎ２min とを比較し（ｓ８）、Ｎ２の値がＮ２min 以下であれば（ｓ８；ＮＯ）そのままｓ１０に進み、Ｎ２の値がＮ２min より大きければ（ｓ８；ＹＥＳ）パラメータ保持部２のＤ２の値を
Ｄ２＝（Ｎ２−１）／Ｎ２＊（Ｘ−Ｍ２）＾２＋Ｄ２
に更新し、パラメータ保持部２のＭ２の値を
Ｍ２＝（Ｍ２＊Ｎ２＋Ｘ）／（Ｎ２＋１）
に更新する（ｓ９）。

さらに、Ｎ１の値と低需要トラヒック個数下限値Ｎ１min とを比較し、またＮ２の値と高需要トラヒック個数下限値Ｎ２min とを比較し、またＤ１とＤ２の積が０かどうかを確認し（ｓ１０）、Ｎ１の値がＮ１min 以下であるか又はＮ２の値がＮ２min 以下であるか又はＤ１とＤ２の積が０であれば（ｓ１０；ＮＯ）そのまま終了し、Ｎ１の値がＮ１min より大きく、かつＮ２の値がＮ２min より大きく、かつＤ１とＤ２の積が０以外であれば（ｓ１０；ＹＥＳ）パラメータ保持部２の閾値Ｔの値を
Ｔ＝｛sqrt（Ｄ１／Ｎ１）＊Ｍ１＋sqrt（Ｄ２／Ｎ２）＊Ｍ２｝
／｛sqrt（Ｄ１／Ｎ１）＋sqrt（Ｄ２／Ｎ２）｝
に更新する（ｓ１１）。

図３はユーザの単位時間当たりのトラヒック量（単位は任意）の推移の一例を示すものである。また、図４は図３に示したトラヒック量の推移（のトラヒック量観測部１による観測結果）を同一トラヒック量毎に積み上げ、頻度分布化して示したもので、ブロック内の数字は図３における単位時間を表している。

図４に示した過去のトラヒック量の頻度分布に対応するデータは、本発明によらず従来の閾値の決定方法によって閾値を決定・更新する場合に全て記憶・保持すべきデータとなる。図４の例ではトラヒック量の単位数は「１０」であるが、実用的にはより多くのトラヒック量の単位数が必要となり、この場合、本発明によって不要となる記憶容量はより大きなものとなる。

以下、図３に示したトラヒック量の推移を例にとって本装置の動作を説明する。ここで、定数保持部３に保持した各定数はＴ１＝６、Ｎ１min ＝３、Ｎ２min ＝３とし、パラメータ保持部２の各パラメータは当初、いずれも未設定（「０」）とする。

まず、トラヒック量観測部１により、通信ネットワーク上でのユーザの最初の単位時間当たりのトラヒック量Ｘ、ここではＸ＝２が観測され、これが判別部４及びパラメータ更新部５へ出力される。

一方、パラメータ更新部５ではトラヒック量Ｘが入力されると、パラメータ保持部２の閾値Ｔが未設定か否かを確認する（ｓ１）が、ここでは未設定であるから（ｓ１；ＹＥＳ）、定数保持部３に保持された初期値Ｔ１、ここでは「６」を閾値Ｔとしてパラメータ保持部２に代入する（ｓ２）。

また、判別部４ではトラヒック量Ｘが入力されると、これとパラメータ保持部２の閾値Ｔとを比較し、当該トラヒック量Ｘが低需要トラヒックまたは高需要トラヒックのいずれであるかを判別、ここではＸ＝２とＴ＝６とを比較して低需要トラヒックと判別し、判別結果をパラメータ更新部５へ出力する。

パラメータ更新部５ではトラヒック量Ｘが低需要トラヒックであるから（ｓ３；ＹＥＳ）、個数Ｎ１の値を更新、ここではＮ１＝０からＮ１＝１に更新する（ｓ４）。また、パラメータ更新部５では個数Ｎ１が低需要トラヒックの個数下限値Ｎ１min より大きいか否かを確認する（ｓ５）が、ここではＮ１＝１でＮ１min ＝３より小さいため（ｓ５；ＮＯ）、分散Ｄ１の更新は行わない。また同様にＮ１がＮ１min より大きいか否か、Ｎ２がＮ２min より大きいか否か、及びＤ１とＤ２の積が０以外か否かを確認する（ｓ１０）が、ここではＮ１がＮ１min より小さいため（ｓ１０；ＮＯ）、閾値Ｔの更新も行わない。

図５は最初のユーザの単位時間当たりのトラヒック量が与えられた時のパラメータ保持部２のパラメータの更新過程を定数保持部３の内容とともに示している。

以後、トラヒック量観測部１によりユーザの単位時間当たりのトラヒック量Ｘが観測される都度、判別部４において同様の判別処理、並びにパラメータ更新部５において図２の流れに従うパラメータ更新処理が行われる。

図６は図３に示した単位時間毎のトラヒック量が観測された際の、判別部４における判別結果及びパラメータ保持部２における各パラメータの更新状況を示している。ここで、最終的な閾値Ｔは6.19であり、これは図４に示したトラヒック量の頻度分布を適切に分割する値となっていることがわかる。

図７及び図８はそれぞれ、定数保持部３に保持する各定数をＴ１＝４、Ｎ１min ＝２、Ｎ２min ＝２とした場合の図５及び図６と同様な図を示す。この際、最終的な閾値Ｔは6.75となっており、同様に図４に示したトラヒック量の頻度分布を適切に分割可能な値であり、初期値Ｔ１の値は最終的な閾値Ｔにあまり影響を与えないことがわかる。

なお、これまでの説明では一人のユーザについてそのトラヒック判別及び閾値の更新を行う場合を例にとって述べたが、複数のユーザについてそれぞれ同時に、前記同様のトラヒック判別及び閾値の更新を行うことが可能であることはいうまでもない。

１：トラヒック量観測部、２：パラメータ保持部、３：定数保持部、４：判別部、５：パラメータ更新部。

大下裕一、阿多信吾、村田正幸「観測トラヒックの統計的性質を利用したDDoS Attackの検出方法」、信学技報IN2003-201、社団法人電子情報通信学会、２００４年２月発行、pp.23〜28

Claims

通信ネットワーク上でのユーザのトラヒック状況が、通信ネットワーク上でのユーザの単位時間当たりのトラヒック量の頻度分布をとった場合の当該頻度の平均及び標準偏差が異なる二つの特徴的なトラヒック状況である低需要トラヒックまたは高需要トラヒックのいずれであるかを、ユーザの単位時間当たりのトラヒック量を所定の閾値と比較することで判別するトラヒック判別装置であって、
通信ネットワーク上でのユーザの単位時間当たりのトラヒック量Ｘを観測するトラヒック量観測部と、
所定の閾値Ｔとともに、低需要トラヒックに対する分散に対応するパラメータＤ１、過去に観測され低需要トラヒックと判別された前記トラヒック量Ｘの平均値Ｍ１及び個数Ｎ１、高需要トラヒックに対する分散に対応するパラメータＤ２、過去に観測され高需要トラヒックと判別された前記トラヒック量Ｘの平均値Ｍ２及び個数Ｎ２を書き換え可能に保持するパラメータ保持部と、
閾値Ｔの初期値Ｔ１、低需要トラヒックと判別された前記トラヒック量Ｘの個数の下限値である低需要トラヒック個数下限値Ｎ１min 、高需要トラヒックと判別された前記トラヒック量Ｘの個数の下限値である高需要トラヒック個数下限値Ｎ２min を保持する定数保持部と、
トラヒック量観測部で観測された前記トラヒック量Ｘとパラメータ保持部の閾値Ｔとを比較し、当該トラヒック量Ｘが低需要トラヒックまたは高需要トラヒックのいずれであるかを判別する判別部と、
パラメータ保持部の閾値Ｔが未設定の場合は定数保持部に保持された初期値Ｔ１を閾値Ｔとしてパラメータ保持部に代入し、
判別部による前記トラヒック量Ｘの判別結果が低需要トラヒックであればパラメータ保持部のＮ１の値をＮ１＋１に更新し、その結果、Ｎ１の値が定数保持部に保持された低需要トラヒック個数下限値Ｎ１min より大きければパラメータ保持部のＤ１の値を
Ｄ１＝（Ｎ１−１）／Ｎ１＊（Ｘ−Ｍ１）＾２＋Ｄ１
に更新し、パラメータ保持部のＭ１の値を
Ｍ１＝（Ｍ１＊Ｎ１＋Ｘ）／（Ｎ１＋１）
に更新し、
また、判別部による前記トラヒック量Ｘの判別結果が高需要トラヒックであればパラメータ保持部のＮ２の値をＮ２＋１に更新し、その結果、Ｎ２の値が定数保持部に保持された高需要トラヒック個数下限値Ｎ２min より大きければパラメータ保持部のＤ２の値を
Ｄ２＝（Ｎ２−１）／Ｎ２＊（Ｘ−Ｍ２）＾２＋Ｄ２
に更新し、パラメータ保持部のＭ２の値を
Ｍ２＝（Ｍ２＊Ｎ２＋Ｘ）／（Ｎ２＋１）
に更新し、
さらにそれらの結果、Ｎ１の値が低需要トラヒック個数下限値Ｎ１min より大きく、かつＮ２の値が高需要トラヒック個数下限値Ｎ２min より大きく、かつＤ１とＤ２の積が０以外の場合はパラメータ保持部の閾値Ｔの値を
Ｔ＝｛sqrt（Ｄ１／Ｎ１）＊Ｍ１＋sqrt（Ｄ２／Ｎ２）＊Ｍ２｝
／｛sqrt（Ｄ１／Ｎ１）＋sqrt（Ｄ２／Ｎ２）｝
に更新するパラメータ更新部とを備えた
ことを特徴とするトラヒック判別装置。
通信ネットワーク上でのユーザのトラヒック状況が、通信ネットワーク上でのユーザの単位時間当たりのトラヒック量の頻度分布をとった場合の当該頻度の平均及び標準偏差が異なる二つの特徴的なトラヒック状況である低需要トラヒックまたは高需要トラヒックのいずれであるかを、ユーザの単位時間当たりのトラヒック量を所定の閾値と比較することで判別するトラヒック判別装置における閾値の更新方法であって、
通信ネットワーク上でのユーザの単位時間当たりのトラヒック量Ｘを観測するトラヒック量観測部と、
所定の閾値Ｔとともに、低需要トラヒックに対する分散に対応するパラメータＤ１、過去に観測され低需要トラヒックと判別された前記トラヒック量Ｘの平均値Ｍ１及び個数Ｎ１、高需要トラヒックに対する分散に対応するパラメータＤ２、過去に観測され高需要トラヒックと判別された前記トラヒック量Ｘの平均値Ｍ２及び個数Ｎ２を書き換え可能に保持するパラメータ保持部と、
閾値Ｔの初期値Ｔ１、低需要トラヒックと判別された前記トラヒック量Ｘの個数の下限値である低需要トラヒック個数下限値Ｎ１min 、高需要トラヒックと判別された前記トラヒック量Ｘの個数の下限値である高需要トラヒック個数下限値Ｎ２min を保持する定数保持部と、
トラヒック量観測部で観測された前記トラヒック量Ｘとパラメータ保持部の閾値Ｔとを比較し、当該トラヒック量Ｘが低需要トラヒックまたは高需要トラヒックのいずれであるかを判別する判別部と、
パラメータ更新部とを用い、
前記パラメータ更新部が、
パラメータ保持部の閾値Ｔが未設定の場合は定数保持部に保持された初期値Ｔ１を閾値Ｔとしてパラメータ保持部に代入するステップと、
判別部による前記トラヒック量Ｘの判別結果が低需要トラヒックであればパラメータ保持部のＮ１の値をＮ１＋１に更新し、その結果、Ｎ１の値が定数保持部に保持された低需要トラヒック個数下限値Ｎ１min より大きければパラメータ保持部のＤ１の値を
Ｄ１＝（Ｎ１−１）／Ｎ１＊（Ｘ−Ｍ１）＾２＋Ｄ１
に更新し、パラメータ保持部のＭ１の値を
Ｍ１＝（Ｍ１＊Ｎ１＋Ｘ）／（Ｎ１＋１）
に更新するステップと、
判別部による前記トラヒック量Ｘの判別結果が高需要トラヒックであればパラメータ保持部のＮ２の値をＮ２＋１に更新し、その結果、Ｎ２の値が定数保持部に保持された高需要トラヒック個数下限値Ｎ２min より大きければパラメータ保持部のＤ２の値を
Ｄ２＝（Ｎ２−１）／Ｎ２＊（Ｘ−Ｍ２）＾２＋Ｄ２
に更新し、パラメータ保持部のＭ２の値を
Ｍ２＝（Ｍ２＊Ｎ２＋Ｘ）／（Ｎ２＋１）
に更新するステップと、
さらにそれらの結果、Ｎ１の値が低需要トラヒック個数下限値Ｎ１min より大きく、かつＮ２の値が高需要トラヒック個数下限値Ｎ２min より大きく、かつＤ１とＤ２の積が０以外の場合はパラメータ保持部の閾値Ｔの値を
Ｔ＝｛sqrt（Ｄ１／Ｎ１）＊Ｍ１＋sqrt（Ｄ２／Ｎ２）＊Ｍ２｝
／｛sqrt（Ｄ１／Ｎ１）＋sqrt（Ｄ２／Ｎ２）｝
に更新するステップとを実行する
ことを特徴とするトラヒック判別装置における閾値の更新方法。