JP7413172B2 - 通信解析装置およびプログラム - Google Patents

Description

本発明の実施形態は、通信解析装置およびプログラムに関する。

制御システムに対するサイバー攻撃には、制御機器特有のプロトコル構造を解析し、通信データのプロトコルフィールドの値（パラメータ）を改ざんすることで不正な動作を引き起こす攻撃が存在する。制御システムへのサイバー攻撃に対する評価試験を行うために、サイバー攻撃を模擬する技術開発が必要となる。

サイバー攻撃を成功させるためには、プロトコルフィールドの意味（Ｓｅｍａｎｔｉｃｓ）を考慮して、適切な改ざんを行う必要がある。このため、制御システムに対するサイバー攻撃を模擬する技術開発を行うにあたって、プロトコルフィールドの意味を推定する技術が求められている。

一般的に通信プロトコルの解析にはプロトコル仕様を利用したプロトコルアナライザが利用される。ここで、プロトコル仕様とは、通信データのプロトコルフィールド（範囲、区切り、意味）を定めたものである。制御システムで利用されているアプリケーション層のプロトコルにはアプリケーション独自のマイナーな通信プロトコルを使用することも多く、プロトコル仕様の入手が困難な場合やプロトコル仕様が文書化されていない場合がある。

一方、プロトコル仕様を用いず、通信データを用いることでプロトコル構造を推定する自動プロトコルリバースエンジニアリングと呼ばれる手法がある。

従来技術の自動プロトコルリバースエンジニアリング手法は、特定のプロトコルフィールドの意味毎に判定アルゴリズムを作成することによりプロトコルフィールドの意味を特定できるものがあるが、個別に判定プログラムを用意する必要があるとともに、判定プログラムを作成していない他のプロトコルフィールドの意味を推定することができない等、拡張性に乏しい。

米国特許第９４７３３８０号明細書

本発明が解決しようとする課題は、通信データ中のフィールドの意味を適切に推定する通信解析装置およびプログラムを提供することである。

実施形態の通信解析装置は、変動部分抽出部と、変化パターン生成部と、学習データ記憶部と、意味推定部と、を備える。前記変動部分抽出部は、通信データ群を取得し、パラメータが時系列上変動している変動部分を抽出する。前記変化パターン生成部は、前記変動部分の時系列上変動するパラメータに基づき、前記パラメータの変動の特徴を示す１つ以上の変化パターンを生成する。前記学習データ記憶部は、１つのプロトコルフィールドの意味と前記１つのプロトコルフィールドのパラメータの変動の特徴を示す１つ以上の変化パターンとを対応付けた複数組の学習データを記憶する。前記意味推定部は、前記変化パターン生成部が生成した前記１つ以上の変化パターンのそれぞれと前記学習データの前記１つ以上の変化パターンのそれぞれとを比較し、前記変動部分の意味を推定する。

第１の実施形態に係る通信解析装置の機能ブロック図。 通信データの一例。 通信データ群の一例。 通信データ群の一例。 プロトコルフィールド群の分割例。 変化パターンデータの一例。 学習データの一例。 推定結果情報の一例。 第１の実施形態に係る通信解析装置の処理手順の一例。 第１の実施形態の変形例１に係る通信解析装置の機能ブロック図。 第２の実施形態に係る通信解析装置の機能ブロック図。 推定結果情報の一例。 第２の実施形態に係る通信解析装置の処理手順の一例。 第２の実施形態の変形例に係る通信解析装置の機能ブロック図。 第３の実施形態に係る検査システムの模式図。 第３の実施形態に係る検査システムの機能ブロック図。 第３の実施形態に係る通信解析装置の処理手順の一例。 実施形態の通信解析装置のハードウエア構成図。

以下、発明を実施するための実施形態について説明する。

（第１の実施形態）
（第１の実施形態の概要と構成）
図１から図９を参照して、第１の実施形態を説明する。

図１は、第１の実施形態に係る通信解析装置１０の機能構成を示す機能ブロック図である。図１に示すように、通信解析装置１０は、通信データ取得部１０１、通信データ抽出部１０２、変動部分抽出部１０３、変化パターン生成部１０４、学習データ記憶部１０５、意味推定部１０６および推定結果出力部１０９を備える。

通信解析装置１０は、対象となるシステムにおいてやりとりされる通信データに含まれる未知のプロトコルフィールドの意味を推定する。本明細書において、プロトコルフィールドとは、通信データのプロトコル毎に定められた仕様に基づき指定された範囲（フィールド）のことである。すなわち、通信データは複数のプロトコルフィールドを持つ。通信に使用しているプロトコルの仕様が不明な場合、当該プロトコルのプロトコルフィールドは未知である。

また、本明細書において、「プロトコルフィールドの意味」とは、通信データのプロトコルフィールドがどういった目的で利用されているのかを示すものである。

プロトコルフィールドの意味の一例としては、タイムスタンプ、アドレス、制御コマンドタイプ（Ｒｅａｄコマンド、Ｗｒｉｔｅコマンドなどを示す型）、データ長、シーケンス番号、カウンタ、チェックサム、目標制御値（設定温度など）、連続制御値（温度センサの値ど）、ＯＮ／ＯＦＦ操作値、状態フラグなどがある。

一般に、通信プロトコルのプロトコル仕様には公開されているものと、公開されていないものがある。例えば、制御システムで用いられる通信において、アプリケーション層のプロトコルは、仕様が公開されていないプロトコルである場合がある。プロトコルフィールドの意味は、単純なプロトコル仕様で決まるわけではなく、そのプロトコルフィールドがアプリケーションでどのように利用されているか（例えば、単純にレジスタの値を格納するという意味に留まらず、設定温度値に利用しているのか、温度センサの値に利用しているのか、など）にも影響される。

各プロトコルフィールドには、パラメータが格納される。パラメータは、１６進ダンプであるとする。プロトコルフィールドに格納されるパラメータごとに当該プロトコルフィールドの持つ意味の具体的な値を持つ。

例えば、プロトコルフィールドの意味が温度の設定値の場合、このプロトコルフィールドに格納されるパラメータが温度の設定値の具体的な数値を示す。

図２は、通信データ４１１の一例を示す図である。通信データ４１１は、単一の通信パケットである。ここで、通信データ４１１は、一例として、通信プロトコルとして、ＴＣＰ／ＩＰモデルにおけるネットワークアクセス層にＥｔｈｅｒｎｅｔ（登録商標）プロトコル、インターネット層にＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）プロトコル、トランスポート層にＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）プロトコルの各プロトコルを使用しているとして説明する。Ｅｔｈｅｒｎｅｔプロトコル、ＩＰプロトコル、ＴＣＰプロトコルの各プロトコルはプロトコル仕様が公開されており、既知である。本実施形態は、これらのプロトコル以外のプロトコルを使用していてもよい。

また、通信データ４１１は、アプリケーション層にプロトコル仕様が不明な未知のプロトコルを使用している通信であるとする。

図２に示す通信データ４１１の一例は、既知のプロトコルのプロトコルフィールド群４０ａ、４０ｂ、４０ｃおよび未知のプロトコルのプロトコルフィールド群４０ｘを備える。

プロトコルフィールド群４０ａは、Ｅｔｈｅｒｎｅｔヘッダである。プロトコルフィールド群４０ｂは、ＩＰヘッダである。プロトコルフィールド群４０ｃは、ＴＣＰヘッダである。プロトコルフィールド群４０ｘは、プロトコル仕様が不明な未知のプロトコルのプロトコルフィールド群である。プロトコルフィールド群４０ｘ内のプロトコルフィールドの区切りと意味は不明であるとする。

また、プロトコルフィールド群４０ａ、４０ｂ、４０ｃおよび４０ｘの各プロトコルフィールド群にはパラメータ群が格納される。プロトコルフィールド群４０ａには、パラメータ群４１１ａが格納される。同様に、プロトコルフィールド群４０ｂ、４０ｃ、４０ｘには、それぞれ順にパラメータ群４１１ｂ、４１１ｃ、４１１ｘが格納されている。

プロトコルフィールド群４０ａは、複数の既知のプロトコルフィールド４０ａａ乃至４０ａｚにより構成される。パラメータ群４１１ａは、複数のパラメータ４１１ａａ乃至４１１ａｚにより構成される。
プロトコルフィールド４０ａａ乃至４０ａｚにはそれぞれパラメータ４１１ａａ乃至４１１ａｚが格納されている。

同様に、プロトコルフィールド群４０ｂは、複数の既知のプロトコルフィールド４０ｂａ乃至４０ｂｚにより構成される。同様に、プロトコルフィールド群４０ｃは、複数の既知のプロトコルフィールド４０ｃａ乃至４０ｃｚにより構成される。図２のパラメータ群４１１ｂは、複数のパラメータ４１１ｂａ乃至４１１ｂｚにより構成される。パラメータ群４１１ｃは、複数のパラメータ４１１ｃａ乃至４１１ｃｚにより構成される。

図１において通信データ取得部１０１は、通信データ群４００を取得する。通信データ取得部１０１は、外部の通信装置などから通信データ群４００をリアルタイムに取得する。なお、予めファイルとして内部の記憶装置などに保存されている通信データ群４００を読み出すことで取得してもよい。

図３に示すように、通信データ群４００は、一例として複数の通信データ４１１乃至４５０を含む。通信データ４１１乃至４５０のそれぞれは、通信パケットであって、プロトコルフィールド群４０ａ、４０ｂ、４０ｃおよび４０ｘを含む。

通信データ群４００を構成する通信データ４１１乃至４５０は、通信データ４１１から順番に時系列順であるものとする。すなわち、通信データの符号の小さいものから順番に時系列順に並んでいる。ここで、時系列順とは、通信解析装置１０が外部の通信装置などから通信データ４１１乃至４５０をリアルタイムに取得する場合においては、通信データ４１１乃至４５０を取得した時系列の順番のことである。

また、通信解析装置１０が予め通信データ群４００を記憶した内部の記憶装置などから通信データ群４００を読み出す場合においては、記憶装置が通信データを記憶した際の時系列の順番を示す。

通信解析装置１０は、通信データ群４００を構成する通信データ４１１乃至４５０のそれぞれについて識別可能で時系列順に整列させることができる。また、図３には図示していないが、通信データ４１１乃至４５０には、タイムスタンプ（受信または記憶した具体的な日時）を示す情報が含まれていてもよい。

通信データ４１１乃至４５０にタイムスタンプを示す情報が含まれていない場合であっても、通信解析装置１０は、通信データ４１１乃至４５０を到着した順番に時系列順に整列させることはできるが、通信データ群４００にタイムスタンプを示す情報が含まれている場合、後述する変化パターン生成部１０４にて通信データの通信頻度または周期性を変化パターンの一つとして活用することができる。

プロトコルフィールド群４０ａは、パラメータ群４１１ａ、パラメータ群４１２ａ乃至パラメータ群４５０ａを格納している。プロトコルフィールド群４０ｂは、パラメータ群４１１ｂ、パラメータ群４１２ｂ乃至パラメータ群４５０ｂを格納している。プロトコルフィールド群４０ｃは、パラメータ群４１１ｃ、パラメータ群４１２ｃ乃至パラメータ群４５０ｃを格納している。プロトコルフィールド群４０ｘは、パラメータ群４１１ｘ、パラメータ群４１２ｘ乃至パラメータ群４５０ｘを格納している。

通信データ抽出部１０２は、通信データ取得部１０１から取得した通信データ群４００に含まれる通信データの中から、同一の特徴を持つことを抽出条件として、通信データ群４００Ｘを抽出する。抽出条件となる同一の特徴の決定方法については、後述する。

図３では、例えば、通信データ４１１乃至４３０は宛先ＭＡＣアドレスがＡで同一で、通信データ４３１乃至４５０は宛先ＭＡＣアドレスがＢで同一とする。

図４は、通信データ抽出部１０２が抽出した通信データ群４００Ｘの図である。図４では、図３の通信データ群４００の中から通信データ４１１乃至４３０が同一の特徴（抽出条件は、ＭＡＣアドレスが同一で宛先Ａであるもの）を持つ通信データ群４００Ｘとして抽出されているものとする。

通信データ抽出部１０２は、ＥｔｈｅｒｎｅｔプロトコルやＩＰプロトコル等の既知のプロトコル仕様を記憶していて、通信データ群４００Ｘを抽出するために利用してもよい。通信データ抽出部１０２が通信データ群４００を既知のプロトコル仕様を利用することにより、同一の特徴を持つ通信データの抽出に用いる特徴として、既知のプロトコルフィールドにおけるパラメータを利用することができる。

既知のプロトコルフィールドなどの信頼度の高い特徴を目的の通信データを抽出する際に利用することは、目的の通信データの抽出精度を高くすることができ、最終的にプロトコルフィールドの意味の推定結果の精度向上につながる。

通信データ抽出部１０２の抽出条件の決定は、通信データ抽出部１０２がアルゴリズムに基づいて自動的に決定する。

通信データ抽出部１０２がアルゴリズムに基づいて決定する手順は、まず既知のプロトコル仕様に基づき、既知のプロトコルフィールド毎に通信データ群４００のパラメータのリストを作成する。そして、推定したいプロトコルフィールドを含む通信データが共通に有するパラメータを分析し、決定する。

共通に有するパラメータの分析には、機械学習手法の一種である決定木や確率モデル、
ＳＶＭ（Ｓｕｐｐｏｒｔ Ｖｅｃｔｏｒ Ｍａｃｈｉｎｅ）などが考えられるが、これに限定せず任意のアルゴリズムを使用することが可能である。

一例として、推定したいプロトコルフィールドを含む通信データが機器Ａから機器Ｂに対する通信にのみ含まれる場合において、任意のアルゴリズムを用いて推定したいプロトコルフィールドを含む通信が「送信元ＭＡＣアドレスが機器ＡのＭＡＣアドレスである」及び「宛先ＭＡＣアドレスが機器ＢのＭＡＣアドレスである」という条件が得られたとする。

この場合は、アルゴリズムの結果で得られた条件を通信データ抽出部１０２の抽出条件として決定する。なお、アルゴリズムの結果が複数存在し、優先度などが得られた場合には、優先度の高い条件を抽出条件として決定してもよい。

上述した方法により決定された通信データ抽出部１０２の抽出条件としては、例えば、データ長、ＭＡＣアドレス、ＩＰアドレス、Ｅｔｈｅｒｎｅｔフレームタイプ番号、ＩＰプロトコル番号、ポート番号、通信頻度、タイムスタンプ、などといった、既知のプロトコルフィールドにおけるパラメータを抽出条件とする方法が考えられる。

ＭＡＣアドレスやＩＰアドレスが同一であると、通信方向が同じ通信データを抽出することができる。また、宛先ポート番号が同一であると、ＴＣＰ／ＵＤＰベースのプロトコルであった場合に同一のプロトコルの通信データを抽出できる可能性を高めることができる。また、周期的に送受信されている同じ目的の通信は、同一のプロトコルである可能性が高く、通信頻度が同一であると、同一のプロトコル及びプロトコルフィールドを使用している通信である可能性が高い。また、通信データ長が同一であると、プロトコルフォーマットが固定長であった場合に同じ目的の通信を抽出しやすくできる。

通信データ抽出部１０２は、通信データ群４００Ｘを変動部分抽出部１０３に出力する。

変動部分抽出部１０３は、通信データ抽出部１０２から通信データ群４００Ｘを取得し、一つのサブフィールドに格納されるパラメータの大きさが一定の大きさになるように、未知のプロトコルのプロトコルフィールド群４０ｘを先頭から分割する。すなわち、パラメータ群４１１ｘ乃至パラメータ群４３０ｘのそれぞれは一定の大きさで先頭から分割されてそれぞれのサブフィールドに格納される。サブフィールドは、プロトコルフィールドの候補である。

なお、本実施形態においては、１オクテット単位で分割するとして説明するが、分割の単位はこれに限定されない。

図５は、通信データ群４００Ｘのうち、未知のプロトコルのプロトコルフィールド群４０ｘを、１オクテットずつのサブフィールド４０ｘａ、サブフィールド４０ｘｂ、サブフィールド４０ｘｃ乃至サブフィールド４０ｘｚに分割した例を示す。このためパラメータ群４１１ｘがパラメータ４１１ｘａ、パラメータ４１１ｘｂ、パラメータ４１１ｘｃ乃至パラメータ４１１ｘｚに１オクテットずつ分割されている。パラメータ群４１２ｘ乃至パラメータ群４３０ｘを格納しているプロトコルフィールド群４０ｘについても同様に１オクテットずつサブフィールド４０ｘａ、サブフィールド４０ｘｂ、サブフィールド４０ｘｃ乃至サブフィールド４０ｘｚに分割される。通信解析装置１０は、サブフィールドをプロトコルフィールドとみなして、サブフィールドの意味の推定を行う。

同一のサブフィールドに属する複数のパラメータを時系列順に並べたものをパラメータ列と定義する。すなわち、抽出された通信データ群４００ｘの中で、異なる通信データ４１１、４１２乃至４３０において解析対象となる層（例えば、アプリケーション層）の中で同一の位置に存在するパラメータは同一のパラメータ列に属するものとする。

本明細書では、あるパラメータ列を構成するパラメータを格納しているサブフィールドのことを単に「パラメータ列に対応するサブフィールド」や「パラメータ列のサブフィールド」と称すこともある。

また、あるサブフィールドが格納するパラメータにより構成されたパラメータ列のことを単に「サブフィールドに対応するパラメータ列」や「サブフィールドのパラメータ列」と称すこともある。

図５に示すように、パラメータ列４００ｘａは、パラメータ４１１ｘａ、パラメータ４１２ｘａ乃至パラメータ４３０ｘａを含み、これらのパラメータは第１番目のサブフィールドであるサブフィールド４０ｘａに格納されている。

パラメータ列４００ｘｂは、パラメータ４１１ｘｂ、パラメータ４１２ｘｂ乃至パラメータ４３０ｘｂを含み、これらのパラメータは、第２番目のサブフィールドであるサブフィールド４０ｘｂに格納されている。

パラメータ列４００ｘｃは、パラメータ４１１ｘｃ、パラメータ４１２ｘｃ乃至パラメータ４３０ｘｃを含み、これらのパラメータは、第３番目のサブフィールドであるサブフィールド４０ｘｃに格納されている。

パラメータ列４００ｘｚは、パラメータ４１１ｘｚ、パラメータ４１２ｘｚ乃至パラメータ４３０ｘｚを含み、これらのパラメータは、第Ｎ番目のサブフィールドであるサブフィールド４０ｘｚに格納されている。

変動部分抽出部１０３が分割した区分、すなわち同一のサブフィールドに格納されたパラメータ列について、異なる値のパラメータが一つでも存在する場合、当該パラメータ列を構成するパラメータは時系列上変動しており、当該パラメータ列のことを変動部分と定義する。

すなわち、変動部分を構成しているパラメータは、一つ以上の異なる値を持つことになる。他方で、同一のサブフィールドに格納されたパラメータ列の全てのパラメータが同一の場合には、当該パラメータ列を不変部分とする。

本明細書では、ある変動部分を構成するパラメータを格納しているサブフィールドのことを単に「変動部分に対応するサブフィールド」や「変動部分のサブフィールド」と称すこともある。

また、あるサブフィールドが格納するパラメータにより構成された変動部分のことを単に「サブフィールドに対応する変動部分」や「サブフィールドの変動部分」と称すこともある。

変動部分抽出部１０３は、上述したパラメータ列の中から変動部分を抽出する。変動部分抽出部１０３は、パラメータ列毎に複数のパラメータを相互に比較して全て同一でなく、異なる値が一つでもある場合には、そのパラメータ列を変動部分として決定する。この実施形態の場合、変動部分抽出部１０３は、パラメータ列が不変部分の場合には抽出しない。

例えば、パラメータ列４００ｘａを構成する複数のパラメータ（パラメータ４１１ｘａ、４１２ｘａ乃至パラメータ４３０ｘａ）が全て同一ではなく、異なる値を持つ場合に、変動部分抽出部１０３は、第１番目のサブフィールドのパラメータ列４００ｘａを変動部分４０００ｘａとして抽出する。

例えば、パラメータ列４００ｘｂを構成する複数のパラメータ（パラメータ４１１ｘｂ、４１２ｘｂ乃至パラメータ４３０ｘｂ）が全て同一な場合には、変動部分抽出部１０３は第２番目のサブフィールドのパラメータ列４００ｘｂを抽出しない。

例えば、パラメータ列４００ｘｃを構成する複数のパラメータ（パラメータ４１１ｘｃ、４１２ｘｃ乃至パラメータ４３０ｘｃ）が全て同一ではなく、異なる値を持つ場合に、変動部分抽出部１０３が第３番目のサブフィールドのパラメータ列４００ｘｃを変動部分４０００ｘｃとして抽出する。

例えば、パラメータ列４００ｘｚを構成する複数のパラメータ（パラメータ４１１ｘｚ、４１２ｘｚ乃至パラメータ４３０ｘｚ）が全て同一な場合には、変動部分抽出部１０３は第Ｎ番目のサブフィールドのパラメータ列４００ｘｚを抽出しない。

変動部分抽出部１０３は、変動部分情報と通信データ群４００Ｘとを変化パターン生成部１０４に出力する。ここで、変動部分情報とは、変動部分抽出部１０３が抽出した各変動部分の識別子（例えば、変動部分４０００ｘａ）と各変動部分に対応するサブフィールド（例えば、第１番目のサブフィールド）を示す情報である。

変化パターン生成部１０４は、変動部分抽出部１０３から変動部分情報と通信データ群４００Ｘを取得する。

先述したように、変動部分情報には、各変動部分の識別子と各変動部分に対応するサブフィールドが示されている。変動部分に対応するサブフィールドについて、それが何番目のサブフィールドであるかが示されることで、通信データ群４００Ｘの中での変動部分の位置を特定することができる。このため、変化パターン生成部１０４は、変動部分情報と通信データ群４００Ｘに基づき、変動部分抽出部１０３が抽出した各変動部分について、各変動部分に含まれるパラメータとパラメータの時系列順を特定することができる。

変動部分に含まれるパラメータは時系列上変化している。本明細書では、変動部分に含まれるパラメータの時系列上の変化の仕方の特徴をパターンとして表現したものを変化パターンと定義する。

変化パターンは、パラメータの時系列上の変化の仕方の特徴を様々な切り口により表現することで、複数種類生成することができる。変化パターンの種類としては、例えば、時系列におけるパラメータの規則性をパターンとして表現した変化パターン（以下、変化パターンの種類１と称す）やパラメータの種類をパターンとして表現した変化パターン（以下、変化パターンの種類２と称す）などが挙げられる。

本明細書では、「変化パターンの各種類に対応したパターンを生成すること」を「変化パターンを生成する」と称す。

変化パターン生成部１０４は、変動部分抽出部１０３が抽出した変動部分毎にパラメータとその時系列順に基づき、変化パターンの種類毎に変化パターンを生成し、変動部分（識別子と何番目のサブフィールドであるかを示す）と変化パターンを対応付けた変化パターンデータ５００を生成する。

変化パターンの種類１は、「パラメータの変化の規則性」を特徴として着目し、パターンとして表現した変化パターンである。変化パターンは、数値や波形、数式等で表現することが出来る。例えば、横軸を時系列とし縦軸をパラメータとして示したグラフの概形をパターンとすることで表現することができる。波形の概形（変化パターン）としては、例えば、「三角波」、「矩形波」、「台形波」などが挙げられる。これらに該当しない場合は、「Ｎ／Ａ」とする。

変化パターン生成部１０４による変化パターンの種類１の変化パターンの作成方法について説明する。変化パターン生成部１０４は、まず、変動部分に含まれるパラメータとパラメータの時系列順に基づき、横軸を時系列として縦軸をパラメータとして、各パラメータをプロットして隣り合うプロットを線でつないで示したグラフの概形を作成する。次に変化パターン生成部１０４は、事前に種類１の変化パターンとして設定されている、「三角波」「矩形波」「台形波」などのグラフの概形の中から最も類似度が高いグラフの概形を当該変動部分の種類１の変化パターンとして決定する。なお、パラメータの縦軸にして、時系列を横軸にして作成されたグラフの概形が事前に設定されたグラフの概形に一致するか否かを判定することができれば、手法は任意である。例えば、数値の変化を数式で表現する手法や数値の増減（増加、増減なし、減少）の組み合わせで表現する手法などが考えられる。

変化パターンの種類２は、「パラメータの種類」を特徴として着目し、変動部分に含まれるパラメータについて、異なるパラメータの個数に着目した変化パターンの一種である。変化パターンとしては、当該変動部分に含まれるパラメータ（具体的には、００など）が２つの値（例えば、０×００と０×０１）のみの場合の「２個」、当該変動部分に含まれるパラメータの上限値と下限値の差分に１を加えた「（上限値－下限値＋１）個」などを変化パターンとして表現することができる。

なお、各変化パターン生成時に妥当な変化パターンが見つからない場合（例えば、変化パターンの種類１においてどの波形にも当てはまらない場合など）には、「Ｎ／Ａ」のように表現することで、後述する意味推定部１０６の意味推定時に活用することが出来る。

変化パターン生成部１０４による変化パターンの種類２の変化パターンの作成方法について、説明する。

変化パターン生成部１０４は、まず、変動部分に含まれるパラメータについて、異なるパラメータの個数を算出する。例えば、当該変動部分に含まれるパラメータが２つの値しかとらない場合は、変化パターンの種類２は「２個」と決定する。また、変化パターン生成部１０４は、変動部分に含まれるパラメータについて、異なるパラメータの最大個数を算出する。例えば、当該変動部分に含まれるパラメータが下限値と上限値との間で多数の値をとることができる場合には、変化パターンの種類２における最大個数は「（上限値－下限値＋１）個」と決定できる。

なお、変化パターン「（上限値－下限値＋１）」について一致するか否かについては、変化パターン生成部１０４は、当該変動部分に含まれるパラメータの上限値と下限値を取得し、「（上限値－下限値＋１）」に当てはめて、当該変動部分の異なるパラメータの個数と一致するか否かを判定すればよい。

図６は、上述した手順で作成された変化パターンデータ５００の一例である。図６では、各変動部分（各変動部分の識別子とサブフィールド）と各種類の変化パターンが対応付けられている。

一例として、変動部分４０００ｘａに含まれるパラメータが「０×００」と「０×０１」のみであるとする。また、変動部分４０００ｘａに含まれるパラメータは、「０×００」と「０×０１」の値を時系列的に交互に繰り返すことで、横軸を時系列として縦軸をパラメータとして、変動部分４０００ｘａに含まれる各パラメータをプロットして隣り合うプロットを線でつないで示したグラフの概形が三角波でほぼ近似できるものとする。この場合、変化パターン生成部１０４は、上述した変化パターンの生成手法により、変動部分４０００ｘａに対して、変化パターンの種類１の変化パターンとして「三角波」を決定し、変化パターンの種類２の変化パターンとして「２個」を決定する。

また、一例として、変動部分４０００ｘｃに含まれるパラメータが下限値（０×１２）から「０×０１」ずつ上昇し、上限値（０×１Ｅ）に到達すると、しばらく上限値を取り続け、その後「０×０１」ずつ減少し、下限値（０×１２）に到達すると、しばらく下限値を取り続け、その後再びパラメータが「０×０１」ずつ上昇することを繰り返すものとする。この場合、横軸を時系列として縦軸をパラメータとして、変動部分４０００ｘｃに含まれる各パラメータをプロットして隣り合うプロットを線でつないで示したグラフの概形が台形波になるようにパラメータが変動している。

この場合、変化パターン生成部１０４は、変動部分４０００ｘｃに対して、変化パターンの種類１の変化パターンとして「台形波」を決定する。また、異なるパラメータの個数は、「１３個」であり、この値は、「上限値（０×１Ｅ）－下限値（０×１２）＋１＝１３個」と一致する。そのため、変化パターン生成部１０４は、変動部分４０００ｘｃの種類２の変化パターンを「（上限値－下限値＋１）個」と決定する。

なお、変化パターン生成部１０４は各変動部分について、複数種類の変化パターンを生成することが好ましい。

変化パターン生成部１０４は、ここでは種類１および種類２の変化パターンを含む変化パターンデータ５００を意味推定部１０６に出力する。

学習データ記憶部１０５は、プロトコルフィールドの意味と当該プロトコルフィールドにおけるパラメータ変動の特徴を示す変化パターンを対応付けた学習データ６００をあらかじめ記憶している。

図７は、学習データ６００の一例を示す図である。図７では、プロトコルフィールドの意味と変化パターンの種類１の変化パターンと変化パターンの種類２の変化パターンが対応付けられている。第１組には、プロトコルフィールドの意味「ＯＮ／ＯＦＦ操作値」に対応付けられた変化パターンとして、種類１の変化パターンが「三角波」、種類２の変化パターンが「２個」であることが示されている。第２組には、プロトコルフィールドの意味「連続制御値」に対応付けられた変化パターンとして、種類１の変化パターンが「台形波」、種類２の変化パターンが「上限値－下限値個＋１個」であることが示されている。

学習データ６００には、一例として、仕様が公開されているプロトコルヘッダ情報の分析結果や、オペレータが手動で設定した変化パターンなどを利用すればよく、学習データ６００の内容は適宜変更することができる。

意味推定部１０６は、変化パターン生成部１０４から変化パターンデータ５００を取得し、学習データ記憶部１０５から学習データ６００を取得する。意味推定部１０６は、変化パターンデータ５００に含まれる各変動部分の意味を学習データ６００を用いて推定する。

本明細書では、変動部分に対応するサブフィールドの意味を「変動部分の意味」と称す。また、「サブフィールドの意味」とは、サブフィールドがどういった目的で利用されているのかを示すものである。意味推定部は、一つのサブフィールドを一つのプロトコルフィールドとみなし、その意味を推定することになる。

意味推定部１０６は、まず、第１の変動部分４０００ｘａの各種類の変化パターンについて、学習データ６００の第１組の同一種類の変化パターンと、の類似度Ｒ１１ａ、Ｒ１１ｂを算出する。ここで、類似度Ｒ１１ａ、Ｒ１１ｂの値は大きいほど類似しているものとする。以下の各類似度についても同様である。

意味推定部１０６は、具体的には、第１の変動部分４０００ｘａの種類１の変化パターンと学習データ６００の第１組の種類１の変化パターンの類似度Ｒ１１ａを算出する。また、第１の変動部分４０００ｘａの種類２の変化パターンと学習データ６００の第１組の種類２の変化パターンの類似度Ｒ１１ｂを算出する。

そして、意味推定部１０６は、第１の変動部分４０００ｘａの変化パターンと学習データ６００の第１組の変化パターンとの総類似度Ｒ１１を算出する。本実施形態では、総類似度Ｒ１１は、類似度Ｒ１１ａと類似度Ｒ１１ｂの総和とするがこれに限定されない。

意味推定部１０６は、次に第１の変動部分４０００ｘａに対応付けられた変化パターンと学習データ６００の第２組の変化パターンとの総類似度Ｒ１２を同様に算出する。意味推定部１０６は、学習データ６００の残りの組の変化パターンについても同様の処理を行う。

意味推定部１０６は、算出した総類似度Ｒ１１、Ｒ１２、・・・Ｒ１Ｎの中で、最も総類似度の値が高い変化パターンに対応付けられているプロトコルフィールドの意味を、第１の変動部分４０００ｘａの意味として推定する。一例として、総類似度のうちＲ１１の値が最も大きい場合、学習データ６００の第１組の意味すなわち「ＯＮ／ＯＦＦ操作値」を、変動部分４０００ｘａの意味であると決定する。

意味推定部１０６は、第２の変動部分４０００ｘｃに対応付けられた変化パターンと学習データ６００の変化パターンとの間で総類似度Ｒ２１、Ｒ２２、・・・Ｒ２Ｎを同様に算出する。

一例として総類似度の中でＲ２２の値が最も大きい場合、変動部分４０００ｘｃの意味が学習データ６００の第２組の意味すなわち「連続制御値」であると決定する。

意味推定部１０６は、変化パターンデータ５００に含まれる残りの変動部分に対して、同様の処理を行い、各変動部分（各変動部分の識別子とサブフィールド）と推定した意味とを対応付けた推定結果情報７００を生成する。

図８は、推定結果情報７００の一例を示す図である。図８では、第１の変動部分４０００ｘａが「ＯＮ／ＯＦＦ操作値」と対応付けられており、第２の変動部分４０００ｘｃが「連続制御値」と対応付けられていることが示されている。

意味推定部１０６は、推定結果情報７００を推定結果出力部１０９に出力する。

推定結果出力部１０９は、推定結果情報７００を表示装置７５（図１８）などに表示し、オペレータに通知する。

（第１の実施形態の処理）
図９を参照して、第１の実施形態における処理の一例を説明する。図９は、第１の実施形態に係る通信解析装置１０の処理手順を説明するフローチャートである。

まず、ステップＳ１００１で通信データ取得部１０１は、図３に示す通信データ群４００を取得し、通信データ群４００を通信データ抽出部１０２に出力する。

通信データ抽出部１０２は、通信データ取得部１０１から通信データ群４００を取得し、通信データ群４００の中から解析対象とする複数の通信データを抽出するための抽出条件を決定する（ステップＳ１００２）。さらに、通信データ抽出部１０２は、決定した抽出条件を用いて通信データ群４００から解析対象とする複数の通信データを通信データ群４００Ｘ（図４）として抽出し、変動部分抽出部１０３に通信データ群４００Ｘを出力する（ステップＳ１００３）。

変動部分抽出部１０３は、通信データ群４００Ｘを取得する。そして、通信データ群４００Ｘに基づき変動部分を抽出し、抽出した変動部分の識別子を含む変動部分情報と対応する通信データを変化パターン生成部１０４に出力する（ステップＳ１００４）。一例として、図５に示す変動部分４０００ｘａおよび変動部分４０００ｘｃを抽出した場合は、抽出した変動部分の識別子とサブフィールドを対応付けた変動部分情報と、通信データ４００Ｘを変化パターン生成部１０４に出力する。

図９のステップＳ１００５において、変化パターン生成部１０４は、通信データ群４００Ｘと変動部分情報に基づき、一例として、図６に示す変化パターンデータ５００を生成し、意味推定部１０６に出力する。

図９のステップＳ１００６において、意味推定部１０６は、変化パターン生成部１０４から変化パターンデータ５００を取得し、学習データ記憶部１０５から学習データ６００を取得する。同じく、ステップＳ１００６において、意味推定部１０６は変動部分ごとに、変動部分に対応付けられた変化パターンと、学習データ６００に含まれる各プロトコルフィールドの意味に対応付けられた変化パターンと、の総類似度を算出する。

意味推定部１０６は、変動部分ごとに、変動部分に対応付けられた変化パターンと学習データ６００に含まれる各プロトコルフィールドの意味に対応付けられた変化パターンとの総類似度のうち、最も総類似度が高い変化パターンと対応付けられているプロトコルフィールドの意味を変動部分の意味として決定し、推定結果情報７００を生成する（ステップＳ１００７）。同じく、ステップＳ１００７で意味推定部１０６は、推定結果情報７００を推定結果出力部１０９に出力する。

推定結果出力部１０９は、表示装置７５などに推定結果情報７００を表示させる（ステップＳ１００８）。

そして、通信解析装置１０は、処理を終了する。

（第１の実施形態の効果）
通信解析装置１０は、変動部分に対応付けられた変化パターンとプロトコルフィールドの意味に対応付けられた変化パターンとの総類似度を算出し、これに基づき、未知のプロトコルのプロトコルフィールド群内の変動部分の意味を推定することができる。すなわち、通信解析装置１０は、未知のプロトコルのプロトコルフィールド群内の変動部分に対応するサブフィールドの意味を未知のプロトコルのプロトコル仕様を使用せずに自動的に推定することができる。

オペレータは、通信解析装置１０が出力する推定結果情報７００を閲覧することで変動部分に対応するサブフィールドの意味を認識することができる。

また、通信解析装置１０の学習データ記憶部１０５が記憶する学習データ６００に含まれるプロトコルフィールドの意味と変化パターンの組は、適宜追加することができるため拡張性が高い。

通信解析装置１０の学習データ６００に従来では推定することのできなかったプロトコルフィールドの意味と変化パターンの組を含めることで、従来では推定することができなかったプロトコルフィールドの意味を自動的に推定することができる。

また、通信解析装置１０の変化パターン生成部１０４が生成する変化パターンと、学習データ記憶部１０５が記憶している学習データ６００に含まれる変化パターンは、複数種類であることが好ましい。意味推定部１０６が複数種類の変化パターンを利用して変化パターンの総類似度を算出する場合の方が、１種類の変化パターンのみを利用して、変化パターンの総類似度（この場合、類似度と総類似度が同一）を算出する場合と比較して、比較する変化パターンの種類が多くなり、変化パターンの総類似度の精度を向上させることができる。

また、意味推定部１０６は、総類似度が最も高いプロトコルフィールドの意味を変動部分の意味として推定を行うため、総類似度の算出精度の向上は、変動部分の意味推定の精度の向上に繋がる。

したがって、変化パターン生成部１０４が複数種類の変化パターンを生成し、学習データ記憶部１０５が複数種類の変化パターンを記憶し、意味推定部１０６がこれらの複数種類の変化パターンを利用して、変動部分の意味推定を行うことで、変動部分の意味推定の精度を向上させることができる。

以上により、通信解析装置１０をペネトレーションテストやファジング、侵入検知システムなどへ活用することで、アプリケーション独自のプロトコルなどを利用したシステムのセキュリティ向上を実現することができる。

（第１の実施形態の変形例１）
図１０は、第１の実施形態の変形例１に係る通信解析装置１０ｂに係る機能ブロック図である。第１の実施形態に係る通信解析装置１０とは、通信データ抽出部１０２に代えて通信データ抽出部１０２ｂを使用している点が異なる。

第１の実施形態の変形例に係る通信データ抽出部１０２ｂの抽出条件の決定方法は、オペレータがマニュアルで決定する。

オペレータがマニュアルで決定する手順は、まず通信データ群４００のパラメータのリスト（通信データ４１１乃至４５０の各パラメータ）をプロトコルフィールド毎にオペレータに表示する。オペレータは、表示されたパラメータの中から推定したいプロトコルフィールドを含む通信データが共通に有するパラメータを分析し、抽出条件として決定する。

一例として、推定したいプロトコルフィールドを含む通信データが機器Ａから機器Ｂに対する通信にのみ含まれる場合において、オペレータは抽出条件として「送信元ＭＡＣアドレスが機器ＡのＭＡＣアドレスである」および「宛先ＭＡＣアドレスが機器ＢのＭＡＣアドレスである」という条件を決定する。

第１の実施形態の変形例１に係る通信解析装置１０ｂでは、通信データ抽出部１０２の抽出条件をオペレータが決定することができる。

（第１の実施形態の変形例２）
第１の実施形態で説明した図１の変化パターン生成部１０４が生成する変化パターンのその他の種類としては、例えば、時系列におけるパラメータの不規則性をパターンとして示した変化パターン、パラメータの周期をパターンとして示した変化パターン、パラメータの頻度をパターンとして示した変化パターン、パラメータの上限値をパターンとして示した変化パターン、パラメータの下限値をパターンとして示した変化パターン、データ長との相関性をパターンとして示した変化パターン、他要素の変化パターンとの相関性をパターンとして示した変化パターン、パラメータの増減の変化範囲をパターンとして示した変化パターン、パラメータの増減値をパターンとして示した変化パターン、パラメータの変化割合をパターンとして示した変化パターン、などが挙げられる。

時系列におけるパラメータの不規則性をパターンとして示す変化パターンは、時系列におけるパラメータの変動が不規則であることを示した変化パターンである。人為的に決定されるパラメータを有すプロトコルフィールドによくみられる。

パラメータの周期をパターンとして示す変化パターンは、パラメータの変動が周期的であることを示した変化パターンである。周期は、同一のパラメータになるまでのパラメータの個数で示してもよいし、通信データ群４００Ｘにタイムスタンプが付随している場合は時間を単位として示してもよい。ポーリング通信のように定期的に問い合わせを行い、状態を監視する通信などによくみられる。

パラメータの頻度をパターンとして示す変化パターンは、時系列において、同一のパラメータを頻繁にとることがあるか否かや、各パラメータが通信データ群に現れる回数、などを示した変化パターンである。

パラメータの上限値をパターンとして示す変化パターンは、パラメータ列の上限値を示した変化パターンである。

パラメータの下限値をパターンとして示す変化パターンは、パラメータ列の下限値を示した変化パターンである。

データ長との相関性をパターンとして示した変化パターンは、通信データ長とパラメータとの相関性または任意のプロトコルのデータ長とパラメータの相関性を示した変化パターンである。ＩＰプロトコルにおけるデータグラム長フィールドのようなプロトコルフィールドによくみられる。

他要素の変化パターンとの相関性をパターンとして示す変化パターンは、他の変動部分のパラメータ若しくは既知のプロトコルフィールドに格納されているパラメータの時系列変化と相関性があるか否かをパターンとして示す変化パターンである。例えば、他の変動部分のパラメータが時系列で変化するタイミングで変化パターンデータ５００の生成の対象としている変動部分のパラメータが変動していた場合に相関性があるとみなす。なお、この場合、変化パターン生成の対象となる変動部分のパラメータは、他の変動部分のパラメータと同一の通信データに含まれるパラメータである。上位桁と下位桁で構成されるプロトコルフィールドがサブフィールドで表現した際に２つに分割された場合や、設定温度値のプロトコルフィールドと、温度センサの測定値のような連続制御値のプロトコルフィールドとの関係などでよくみられる。

増減の変化範囲をパターンとして示す変化パターンは、変動部分を構成するパラメータの変動について、増加した値または減少した値の大きさの最大値と最小値をパターンとして示した変化パターンである。

パラメータの増減値をパターンとして示した変化パターンは、変動部分を構成するパラメータの変動について、一定の数値ずつ変動する場合には、その一定の数値をパターンとして示し、パラメータの変動が不規則である場合には、不規則であることをパターンとして示した変化パターンである。

パラメータの変化割合をパターンとして示す変化パターンは、パラメータ列の変化度合い（具体的には、２倍ずつ変化するや、１０分の１ずつ変化する、など）を示した変化パターンである。

（第２の実施形態）
（第２の実施形態の概要と構成）
図１１から図１３を参照して、第２の実施形態を説明する。

図１１は、第２の実施形態に係る通信解析装置２０の機能ブロック図である。第２の実施形態では、第１の実施形態と同様の構成要素は、第１の実施形態と同一の符号を付して詳細な説明を省略する。図１１に示すように通信解析装置２０は、通信データ取得部１０１、通信データ抽出部１０２ｃ、変動部分抽出部１０３、変化パターン生成部１０４、学習データ記憶部１０５、意味推定部１０６ｃ、推定結果出力部１０９および推定結果評価部１０７を備える。

通信解析装置２０は、第１の実施形態に係る通信解析装置１０とは、通信データ抽出部１０２に代えて通信データ抽出部１０２ｃを備える点と、意味推定部１０６に代えて、意味推定部１０６ｃを備える点と、変動部分の意味の推定結果を評価する推定結果評価部１０７を備える点が異なる。

通信解析装置２０は、変動部分の意味を推定後、変動部分ごとに推定結果を評価し意味推定が成功であるか失敗であるかを判断する。通信解析装置２０は、少なくとも一つの変動部分について「推定が成功である」と評価した場合に、学習データ６００を更新する機能を持つ。

また、通信解析装置２０は、推定が成功であると評価した変動部分の数が事前に設定された設定数よりも少ない場合に、通信データ群４００に対しての通信データの抽出をそれまでに未実施の抽出条件で実施し、再度抽出した通信データ群を使用して、意味推定を行う。

通信データ抽出部１０２ｃは、通信データ抽出部１０２の機能に加えて、通信データ群４００からの抽出のために決定した抽出条件を記憶する記憶部を内部に持つ。

通信データ抽出部１０２ｃは、推定結果評価部１０７から再度の通信データの抽出の命令を示す命令情報を取得すると、通信データ群４００に対しての通信データの抽出をそれまでに未実施の抽出条件で実施する。この際、通信データ抽出部１０２ｃは、通信データ群４００に対してそれまでに実施した抽出のときの抽出条件を内部にある記憶部から参照し、それまでに決定している抽出条件とは異なる抽出条件を抽出条件として決定し、抽出を実施する。

意味推定部１０６ｃは、第１の実施形態と同様に、変動部分の意味を推定する。さらに意味推定部１０６ｃは変動部分ごとに、変動部分と、当該変動部分の意味として推定された意味と、プロトコルフィールドの意味に対応付けられた変化パターンとの総類似度と、を含む推定結果情報７００ｂを生成する。

図１２は、意味推定部１０６ｃが生成する推定結果情報７００ｂの一例である。図１２では、第１の変動部分４０００ｘａと、その意味である「ＯＮ／ＯＦＦ操作値」と、総類似度Ｒ１１が対応付けられる。また、第２の変動部分４０００ｘｃと、その意味である「連続制御値」と、総類似度Ｒ２２が対応付けられている。

意味推定部１０６ｃは、推定結果情報７００ｂと変化パターンデータ５００を推定結果評価部１０７に出力する。

推定結果評価部１０７は、推定結果情報７００ｂに基づき、推定結果を評価する。推定結果評価部１０７は、意味推定部１０６ｃから推定結果情報７００ｂおよび変化パターンデータ５００を取得する。推定結果評価部１０７は、推定結果情報７００ｂの各変動部分について、推定が成功であるか失敗であるかを評価する。

推定結果評価部１０７は、推定結果情報７００ｂの各変動部分に対応付けられた総類似度を利用して評価を行う。また、推定結果評価部１０７は、事前に設定された閾値Ｓ１を記憶している。

推定結果評価部１０７は、推定結果情報７００ｂの各変動部分に対し、閾値Ｓ１よりも当該変動部分に対応付けられた総類似度の値が高い場合、「推定は成功である」と評価する。一例として、第１の変動部分４０００ｘａに対応付けられた総類似度Ｒ１１と閾値Ｓ１とを比較して、Ｒ１１の方がＳ１よりも大きい場合、推定結果評価部１０７は、第１の変動部分４０００ｘａの意味推定について、「推定は成功である」と評価する。

また、推定結果評価部１０７は、推定結果情報７００ｂの各変動部分に対し、閾値Ｓ１よりも変動部分に対応付けられた総類似度の値が低い場合、「推定は失敗である」と判断する。

一例として、第２の変動部分４０００ｘｃに対応付けられた総類似度Ｒ２２と閾値Ｓ１とを比較して、Ｒ２２の方がＳ１よりも小さい場合、推定結果評価部１０７は、第２の変動部分４０００ｘｃの意味推定について、「推定は失敗である」と評価する。

推定結果評価部１０７は、少なくとも一つの変動部分について、「推定結果は成功」であると評価した場合に、学習データ６００を更新する機能を持つ。

推定結果評価部１０７は、「推定は成功である」と評価した変動部分の意味と、当該変動部分の変化パターン（変化パターンデータ５００から取得）と、の組を学習データ６００として登録する。

なお、学習データ記憶部１０５は、「推定は成功である」と判断した変動部分の意味と、当該変動部分の変化パターンと、の組と同一の組が学習データ６００として記憶している場合、当該組を新たに記憶しなくてもよい。

また、推定結果評価部１０７は、「推定は成功である」と評価した変動部分の数が事前に設定されて推定結果評価部１０７が記憶している設定数Ｓ２よりも少ない場合、通信データ抽出部１０２ｃに対し、再度の通信データを抽出する命令を示す情報である命令情報を出力する。

この場合、通信解析装置２０の各機能部は、通信データ抽出部１０２ｃが新たに抽出した通信データを利用して解析対象となる未知のプロトコルのプロトコルフィールド内のサブフィールドの意味の推定を行うことになる。

（第２の実施形態の処理）
図１３を用いて、第２の実施形態における処理の一例を説明する。図１３は、第２の実施形態に係る通信解析装置２０の処理手順を示すフローチャートである。

第１の実施形態に係る通信解析装置１０の処理のステップと同一のステップには同一の符号を付して詳細な説明を省略する。

図１３のステップＳ２００２において、通信データ抽出部１０２ｃは、通信データ群４００から通信データを抽出するための抽出条件を決定する。この際、通信データ抽出部１０２ｃは、通信データ群４００に対して既に実行している通信データの抽出の際に利用した抽出条件とは異なる新たな抽出条件で通信データを抽出する。なお、通信データ群４００に対して、一度目の通信データの抽出を行う場合は、既に実行している通信データの抽出の抽出条件はないため、第１の実施形態と同様に抽出条件を決定すればよい。

図１３において、ステップＳ１００３乃至ステップＳ１００６については、第１の実施形態と同様である。

図１３のステップＳ２００４において、意味推定部１０６ｃは、各変動部分の意味を推定し、推定結果情報７００ｂを生成する。同じくステップＳ２００４において、意味推定部１０６ｃは、推定結果情報７００ｂと変化パターンデータ５００を推定結果評価部１０７に出力する。

図１３のステップＳ２００６において、推定結果評価部１０７は、意味推定部１０６ｃから推定結果情報７００ｂと変化パターンデータ５００を取得し、さらに推定結果情報７００ｂの各変動部分の推定結果を評価する。

ステップＳ２００８において、推定結果評価部１０７は、「推定は成功である」と評価した変動部分が少なくとも一つあるか否かを判断する。

推定結果評価部１０７は、少なくとも一つの変動部分について、「推定結果は成功」であると評価した場合（ステップＳ２００８：Ｙｅｓ）、「推定は成功である」と評価した変動部分の意味と、当該変動部分の変化パターン（変化パターンデータ５００から取得）と、の組を学習データ６００として登録する（ステップＳ２０１０）。そして、ステップＳ２０１２に移行する。

ステップＳ２００８において、推定結果評価部１０７は、「推定は成功である」と評価した変動部分が一つもない場合（ステップＳ２００８：Ｎｏ）、ステップＳ２０１２に移行する。

ステップＳ２０１２において、推定結果評価部１０７は、「推定は成功である」と評価した変動部分の数が事前に設定されて推定結果評価部１０７が記憶している設定数Ｓ２よりも多いか否かを判断する。

ステップＳ２０１２において、「推定は成功である」と評価した変動部分の数が設定数Ｓ２よりも多い場合（ステップＳ２０１２：Ｙｅｓ）、推定結果評価部１０７は、推定結果情報７００ｂを推定結果出力部１０９に出力し、ステップＳ１００８に移行する。

ステップＳ２０１２において、「推定は成功である」と評価した変動部分の数が設定数Ｓ２よりも少ない場合（ステップＳ２０１２：Ｎｏ）、推定結果評価部１０７は、通信データ抽出部１０２ｃに対し、再度の通信データを抽出する命令を示す情報である命令情報を出力し、ステップＳ２００２に移行する。

図１３のステップＳ１００８において、推定結果出力部１０９は、推定結果情報７００ｂを表示装置７５（図１８）などに表示させる。そして通信解析装置２０は、処理を終了する。

（第２の実施形態の効果）
第２の実施形態に係る通信解析装置２０は、第１の実施形態に係る通信解析装置１０の効果に加えて、推定結果評価部１０７が変動部分の意味の推定結果を評価する。

推定結果評価部１０７は、少なくとも一つの変動部分について、「推定結果は成功」であると評価した場合に、学習データ６００を更新する機能を持つ。

これにより、意味推定部１０６ｃで推定できる意味の数を増やすことができる。また、プロトコルフィールドの意味に結び付く変化パターンを増やすことによって意味の推定精度を向上させることができる。

また、推定結果評価部１０７は、「推定は成功である」と評価した変動部分の数が事前に設定された設定数Ｓ２よりも少ない場合、通信データ抽出部１０２ｃに対し、再度の通信データを抽出する命令を示す情報である命令情報を出力し、通信データ抽出部１０２ｃが新たな抽出条件にて通信データを抽出する。これにより、初めの抽出条件が適切でなく異なるパラメータの意味を持った通信データが含まれていた場合などを改善することが可能となる。

（第２の実施形態の変形例）
図１４は、第２の実施形態の変形例に係る通信解析装置２０ｄの機能ブロック図である。

通信解析装置２０ｄは、通信解析装置２０とは推定結果評価部１０７に代えて推定結果評価部１０７ｄを備えている。推定結果評価部１０７ｄは、推定結果評価部１０７とは推定結果評価の方法が異なる。推定結果評価部１０７ｄは、推定結果情報７００ｂを意味推定部１０６ｃから取得した後、表示装置７５（図１８）に推定結果情報７００ｂを表示させる。そして、表示装置７５を閲覧したオペレータが推定結果が成功であるか否かの評価を行い、入力装置７４（図１８）により、変動部分ごとに推定が成功であるか否かを入力する。推定結果評価部１０７ｄは、オペレータからの推定結果の評価を取得し、推定の評価として決定する。

（第３の実施形態）
（第３の実施形態の概要と構成）
図１５から図１７を参照して、第３の実施形態を説明する。

図１５は、第３の実施形態に係る検査システム１のシステム構成図である。第３の実施形態では、第１の実施形態と同様の構成要素には、第１の実施形態と同一の符号を付して詳細な説明を省略する。図１５に示すように、検査システム１は、通信データ記憶装置１２０、通信解析装置３０および通信装置１３０を備える。検査システム１は、対象装置８０の脆弱性検査のための準備と実行を行う。

通信解析装置３０は、推定結果情報７００を生成後、推定結果情報７００に含まれる意味の中で、通信装置１３０で改ざんする必要のあるパラメータを格納するサブフィールドを改ざん箇所として特定する機能を持つ。

そのため、第１の実施形態に係る通信解析装置３０とは、後述する改ざん箇所特定部１０８を新たに備える点と、意味推定部１０６に代えて意味推定部１０６ｅを備えている点で異なる。

通信データ記憶装置１２０は、通信データ群を記憶する。通信解析装置３０は、通信データ記憶装置１２０から通信データ群４００を取得し、通信装置１３０で改ざんする通信データのパラメータを格納するサブフィールド（改ざん箇所）を特定する。

通信装置１３０は、通信データのパラメータのうち、特定されたサブフィールド（改ざん箇所）が格納するパラメータを改ざんし、さらに改ざんした通信データを対象装置８０に送信することによって、対象装置８０の脆弱性を検査する。具体的な検査手法は、例えば、ファジングやペネトレーションテストなどが挙げられる。

図１６は、検査システム１が備える各装置の機能ブロック図である。

通信データ記憶装置１２０は、通信データ記憶部１２１を備える。通信データ記憶部１２１は、通信データ群４００を記憶している。通信データ記憶部１２１が記憶する通信データ群４００には通信装置１３０が改ざんする通信データを含む。

通信解析装置３０は、通信データ取得部１０１、通信データ抽出部１０２、変動部分抽出部１０３、変化パターン生成部１０４ｅ、学習データ記憶部１０５、意味推定部１０６ｅおよび改ざん箇所特定部１０８を備える。

通信データ取得部１０１は、通信データ記憶部１２１から通信データ群４００を取得し、通信データ抽出部１０２に出力する。通信データ抽出部１０２、変動部分抽出部１０３、および学習データ記憶部１０５の機能は第１の実施形態に係る通信解析装置１０と同様であるため、説明を省略する。

変化パターン生成部１０４ｅは、変化パターンデータ５００を生成後、変化パターンデータ５００とともに通信データ４００Ｘを意味推定部１０６ｅに出力する。

意味推定部１０６ｅは、推定結果情報７００を生成後、推定結果情報７００と通信データ群４００Ｘを改ざん箇所特定部１０８に出力する。

改ざん箇所特定部１０８は、意味推定部１０６ｅから推定結果情報７００と通信データ群４００Ｘを取得する。改ざん箇所特定部１０８は、通信装置１３０で改ざんする必要のあるパラメータを格納するプロトコルフィールドの意味を事前にオペレータに設定されて記憶していてもよい。改ざん箇所特定部１０８が、既知のプロトコルフィールドの意味及び推定したサブフィールドの意味からアルゴリズムに基づいて特定してもよい。

一般にファジングやペネトレーションテストの実行において、改ざんする必要のあるパラメータを格納するプロトコルフィールドの意味には、改ざんされた通信データを受信する対象装置が通信データを破棄しないようにパラメータを改ざんする必要のある意味と、対象装置の不正操作を行うためにパラメータを改ざんする必要のある意味との２種類存在する。

前者の通信データを破棄しないようにパラメータを改ざんする必要のある意味は、例えば、タイムスタンプ、データ長、チェックサム、シーケンス番号および加算器（カウンタ）などである。

後者の不正操作を行うために値を改ざんする必要のある意味とは、例えば、アドレス、データ長、目標制御値（設定温度など）、連続制御値（温度センサの値など）、ＯＮ／ＯＦＦ操作値および状態フラグなどである。

改ざん箇所特定部１０８は、改ざんするべきパラメータを格納するプロトコルフィールド及びサブフィールドを特定する。推定結果情報７００に含まれる意味の中に、改ざんする必要のあるパラメータを格納するプロトコルフィールドと同一の意味を有するサブフィールドを特定する方法でもよい。また、変動部分抽出部１０３で変動部分として抽出されたサブフィールドを改ざん箇所として特定してもよい。

改ざん箇所特定部１０８は、改ざん箇所と特定した位置を示す改ざん箇所特定情報と通信データ群４００Ｘを通信装置１３０の通信データ改ざん部１３１に送信する。

通信データ改ざん部１３１は、改ざん箇所特定部１０８から改ざん箇所特定情報と通信データ群４００Ｘを取得し、通信データ群４００Ｘに含まれる通信データについて、改ざん箇所特定情報に含まれる改ざん箇所のパラメータを改ざんした通信データ群（通信データ群４００Ｙと称す）を生成する。

パラメータの改ざん手法については、公知のファジングやペネトレーションテストの技術を利用すればよい。通信データ改ざん部１３１は、通信データ群４００Ｙを通信データ送信部１３２に送信する。

通信データ送信部１３２は、通信データ改ざん部から通信データ群４００Ｙを取得し、対象装置に送信する。

（第３の実施形態の処理）
図１７を用いて、第３の実施形態における処理の一例を説明する。図１７は、第３の実施形態に係る通信解析装置３０の処理手順を説明するフローチャートである。

ステップＳ１００１乃至ステップＳ１００４については、第１の実施形態と同様であるため、詳細な説明を省略する。

図１７のステップＳ３００１において、変化パターン生成部１０４ｅは、変化パターンデータ５００を生成する点は、図９のステップＳ１００５と同様である。ステップＳ３００１では、変化パターン生成部１０４ｅは、変化パターンデータ５００に加えて通信データ群４００Ｘを意味推定部１０６ｅに出力する。図１７のステップＳ１００６は図９の第１の実施形態のステップＳ１００６と同様である。

図１７のステップＳ３００２では、意味推定部１０６ｅは、図９の第１の実施形態のステップＳ１００７と同様に変動部分の意味を推定する。さらに、ステップＳ３００２では、意味推定部１０６ｅは、推定結果情報７００と通信データ群４００Ｘを改ざん箇所特定部１０８に出力する。

改ざん箇所特定部１０８は、既知のプロトコルフィールドの意味及び推定されたサブフィールドの意味の中から改ざんすべき意味を持つ箇所を特定する（図１７、ステップＳ３００３）。より具体的には、推定結果情報７００に含まれる意味の中に、改ざんする必要のあるパラメータを格納するプロトコルフィールドと同一の意味を有するサブフィールドを特定する方法でも、変動部分抽出部１０３で変動部分として抽出されたサブフィールドを改ざん箇所として特定する方法でもよい。

同じくステップＳ３００３で、改ざん箇所特定部１０８は、改ざん箇所と特定した位置を示す改ざん箇所特定情報と通信データ群４００Ｘを通信装置１３０の通信データ改ざん部１３１に送信する。そして、通信解析装置３０は、処理を終了する。

（第３の実施形態の効果）
第３の実施形態に係る通信解析装置３０は、改ざん箇所特定部１０８を新たに備える事で、通信データ群４００Ｘ内のプロトコルフィールド及びサブフィールドについて、改ざんする必要のある意味を持つと推定されているフィールドの位置を特定することができる。

これにより、通信装置３０は、通信データ群４００Ｘに含まれる通信データの各パラメータを総当たりで改ざんするよりも効率的かつ効果的にファジングやペネトレーションテストなどに活用可能な通信データを生成することができる。特に、未知のプロトコルのプロトコルフィールド群４０ｘ部分においてサブフィールド毎にパラメータを改ざんすべきか決定できることによって、改ざんする箇所を絞り込むことで効率的かつ効果的なファジングやペネトレーションテストなどに活用可能な通信データを生成することが出来る。

（ハードウエア構成）
図１８は、通信解析装置１０、１０ｂ、２０、２０ｄ、３０のハードウエア構成図である。図１８に示すように、通信解析装置１０はＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）７１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）７２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）７３、入力装置７４、表示装置７５、記憶装置７６、通信装置７７および各部を接続するバス７９を備えており、通常のコンピュータを利用したハードウエア構成になっている。

上記実施形態および変形例の通信解析装置１０、１０ｂ、２０、２０ｄ、３０は、ＣＰＵ７１がＲＯＭ７２からプログラムをＲＡＭ７３上に読みだして実行することにより、上記の各機能がコンピュータ上で実現される。

ＣＰＵ７１は、ＲＯＭ７２および記憶装置７６に記憶されたプログラムをＲＡＭ７３上に読み出して実行し、プログラムに従って処理（各部の制御およびデータの加工など）をするプロセッサである。ＣＰＵ７１は、ＲＡＭ７３の所定領域を作業領域としてＲＯＭ７２および記憶装置７６などに記憶されたプログラムとの協働により各種処理を実行する。

ＲＯＭ７２は、プログラムおよび各種情報を書き換え不可能に記憶するメモリである。ＲＯＭ７２は、オペレーティングシステムの起動用プログラムを記憶装置７６からＲＡＭ７３に読み出すスタートプログラムが記憶されている。

ＲＡＭ７３は、ＳＤＲＡＭ（Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などのメモリである。ＲＡＭ７３は、ＣＰＵ７１による処理対象のデータなどを記憶し、ＣＰＵ７１の作業領域として機能する。

入力装置２０４は、マウスおよびキーボードなどの入力デバイスである、入力装置２０４は、オペレータから操作入力された情報を指示信号として受け付けて指示信号をＣＰＵ７１に出力する。

表示装置７５は、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）などの表示デバイスである。表示装置７５は、ＣＰＵ７１からの表示信号に基づいて、各種情報を表示する。

記憶装置７６は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やフラッシュメモリなどである。記憶装置７６は、オペレーティングシステム、プログラムおよび機能部が使用するデータを記憶している。

通信装置７７は、ネットワークに接続するためのインターフェース装置である。通信装置７７は、ＣＰＵ７１からの制御に応じて外部の機器とネットワークを介して通信する。

実施形態の通信解析装置で実行されるプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、メモリーカード、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、フレキシブルディスクなどのコンピュータで読み取り可能な記憶媒体に記憶されてコンピュータプログラムプロダクトとして提供されるようにしてもよい。

また、実施形態の情報処理装置で実行されるプログラムをインターネットなどのネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードすることにより提供するようにしてもよい。また、上記各処理を実行するためのプログラムをインターネットなどのネットワーク経由で提供または配布するようにしてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１・・・検査システム
１０・・・通信解析装置
１０ｂ・・・通信解析装置
２０・・・通信解析装置
２０ｄ・・・通信解析装置
３０・・・通信解析装置
４０ａ、４０ｂ、４０ｃ・・・既知のプロトコルのプロトコルフィールド群
４０ｘ・・・未知のプロトコルのプロトコルフィールド群
４０ａａ、４０ａｂ、４０ａｚ、４０ｂａ、４０ｂｂ、４０ｂｚ、４０ｃａ、４０ｃｂ、４０ｃｚ・・・プロトコルフィールド
４０ｘａ、４０ｘｂ、４０ｘｃ、４０ｘｚ・・・サブフィールド
７１・・・ＣＰＵ
７２・・・ＲＯＭ
７３・・・ＲＡＭ
７４・・・入力装置
７５・・・表示装置
７６・・・記憶装置
７７・・・通信装置
７９・・・バス
８０・・・対象装置
１０１・・・通信データ取得部
１０２・・・通信データ抽出部
１０２ｂ・・・通信データ抽出部
１０２ｃ・・・通信データ抽出部
１０３・・・変動部分抽出部
１０４・・・変化パターン生成部
１０４ｅ・・・変化パターン生成部
１０５・・・学習データ記憶部
１０６・・・意味推定部
１０６ｃ・・・意味推定部
１０６ｅ・・・意味推定部
１０７・・・推定結果評価部
１０７ｄ・・・推定結果評価部
１０８・・・改ざん箇所特定部
１０９・・・推定結果出力部
１２０・・・通信データ記憶装置
１２１・・・通信データ記憶部
１３０・・・通信装置
１３１・・・通信データ改ざん部
１３２・・・通信データ送信部
４００・・・通信データ群
４００Ｘ・・・通信データ群
４００Ｙ・・・通信データ群
４００ｘａ、４００ｘｂ、４００ｘｃ、４００ｘｚ・・・パラメータ列
４１１乃至４５０・・・通信データ
５００・・・変化パターンデータ
６００・・・学習データ
７００・・・推定結果情報
７００ｂ・・・推定結果情報
４１１ａ、４１１ｂ、４１１ｃ、４１１ｘ、４１２ａ、４１２ｂ、４１２ｃ、４１２ｘ、４３０ａ、４３０ｂ、４３０ｃ、４３０ｘ、４３１ａ、４３１ｂ、４３１ｃ、４３１ｘ、４５０ａ、４５０ｂ、４５０ｃ、４５０ｘ・・・パラメータ群
４１１ａａ、４１１ａｂ、４１１ａｚ、４１１ｂａ、４１１ｂｂ、４１１ｂｚ、４１１ｃａ、４１１ｃｂ、４１１ｃｚ、４１１ｘａ、４１１ｘｂ、４１１ｘｃ、４１１ｘｚ、４１２ａａ、４１２ａｂ、４１２ａｚ、４１２ｂａ、４１２ｂｂ、４１２ｂｚ、４１２ｃａ、４１２ｃｂ、４１２ｃｚ、４１２ｘａ、４１２ｘｂ、４１２ｘｃ、４１２ｘｚ、４３０ａａ、４３０ａｂ、４３０ａｚ、４３０ｂａ、４３０ｂｂ、４３０ｂｚ、４３０ｃａ、４３０ｃｂ、４３０ｃｚ、４３０ｘａ、４３０ｘｂ、４３０ｘｃ、４３０ｘｚ、４３１ａａ、４３１ａｂ、４３１ａｚ、４３１ｂａ、４３１ｂｂ、４３１ｂｚ、４３１ｃａ、４３１ｃｂ、４３１ｃｚ、４５０ａａ、４５０ａｂ、４５０ａｚ、４５０ｂａ、４５０ｂｂ、４５０ｂｚ、４５０ｃａ、４５０ｃｂ、４５０ｃｚ・・・パラメータ
４０００ｘａ、４０００ｘｃ・・・変動部分

Claims (15)

1. 通信データ群を取得し、パラメータが時系列上変動している変動部分を抽出する変動部分抽出部と、
   前記変動部分の時系列上変動するパラメータに基づき、前記パラメータの時系列の変化を示す１つ以上の第１変化パターンを生成する変化パターン生成部と、
   １つのプロトコルフィールドの意味と前記１つのプロトコルフィールドのパラメータの時系列の変化を示す１つ以上の第２変化パターンとを対応付けた複数組の学習データを記憶する学習データ記憶部と、
   前記変化パターン生成部が生成した前記１つ以上の第１変化パターンのそれぞれと前記学習データの前記１つ以上の第２変化パターンのそれぞれとを比較し、前記変動部分の意味を推定する意味推定部と、
   を備える通信解析装置。
2. 前記変化パターン生成部が生成する前記第１変化パターンは２つ以上であり、
   前記学習データの前記プロトコルフィールドの意味に対応付けられた前記第２変化パターンは２つ以上である、
   請求項１に記載の通信解析装置。
3. 前記変動部分抽出部は、前記通信データ群の解析対象部分をサブフィールドに分割し、同一の前記サブフィールドに格納された複数の前記パラメータを時系列順に並べた１つ以上のパラメータ列のうち、前記パラメータ列を構成する前記パラメータが時系列上変動している前記パラメータ列を前記変動部分として抽出する、
   請求項１又は２に記載の通信解析装置。
4. 前記変化パターン生成部が生成する前記１つ以上の第１変化パターンは、時系列における前記パラメータの規則性、および、時系列における前記パラメータの不規則性、のうちの少なくとも１つを特徴として示したものである、
   請求項１から３のいずれか一項に記載の通信解析装置。
5. 前記意味推定部は、前記変動部分の前記１つ以上の第１変化パターンと前記複数組の学習データの各組の前記１つ以上の第２変化パターンのうち、同一種類の変化パターンごとに類似度を算出し、前記類似度に基づき、前記各組ごとに総類似度を算出し、最も前記総類似度が高い前記組のプロトコルフィールドの意味を前記変動部分の意味として推定を行う、
   請求項１から４のいずれか一項に記載の通信解析装置。
6. 複数の通信データを取得し、前記複数の通信データのうち、同一の特徴を持つことを第１の抽出条件として、前記第１の抽出条件を満たす２つ以上の前記通信データを前記通信データ群として抽出する、通信データ抽出部と、
   をさらに備える請求項１から５のいずれか一項に記載の通信解析装置。
7. 前記第１の抽出条件は、データ長、ＭＡＣアドレス、ＩＰアドレス、Ｅｔｈｅｒｎｅｔ（登録商標）フレームタイプ番号、ＩＰプロトコル番号、ポート番号、通信頻度、タイムスタンプ、のいずれか１つまたは複数の情報を任意の組み合わせた条件である、
   請求項６に記載の通信解析装置。
8. 前記総類似度に基づき、前記変動部分に対する前記意味推定部による推定が成功であるか失敗であるかを評価する推定結果評価部をさらに備え、
   前記推定結果評価部は、少なくとも一つの前記変動部分の推定が成功であると評価した場合、前記学習データとして推定が成功であると判断した前記変動部分の意味と前記変動部分の前記第２変化パターンを対応付けた情報を、前記学習データ記憶部に追加する請求項５に記載の通信解析装置。
9. 複数の通信データを取得し、前記複数の通信データのうち、同一の特徴を持つことを第１の抽出条件として、前記第１の抽出条件を満たす２つ以上の前記通信データを前記通信データ群として抽出する、通信データ抽出部と、
   前記総類似度に基づき、前記変動部分に対する前記意味推定部による推定が成功であるか失敗であるかを評価する推定結果評価部と、
   をさらに備え、
   前記推定結果評価部は、推定が成功であると判断した前記変動部分の数が設定数より少ない場合、前記通信データ抽出部に再度通信データを抽出する命令を行い、
   前記通信データ抽出部は、前記第１の抽出条件を記憶し、前記推定結果評価部から前記命令を受けた場合、前記第１の抽出条件とは異なる第２の抽出条件で前記通信データ群を抽出する、請求項５に記載の通信解析装置。
10. 前記変動部分を改ざんする箇所として特定する改ざん箇所特定部をさらに備える、
    請求項１から９のいずれか１項に記載の通信解析装置。
11. 前記意味推定部が前記変動部分の意味として推定した意味が、通信データを破棄しないようにパラメータを改ざんする必要のある第１意味、および、不正操作を行うためにパラメータを改ざんする必要のある第２意味のうち少なくとも一方である予め定められた意味と同一である場合には、前記予め定められた意味に対応付けられた前記変動部分を改ざんする箇所として特定する改ざん箇所特定部をさらに備える、
    請求項１から９のいずれか１項に記載の通信解析装置。
12. 前記第１意味は、タイムスタンプ、データ長、チェックサム、シーケンス番号およびカウンタのうち少なくとも一部を示す意味を含む、
    請求項１１に記載の通信解析装置。
13. 前記第２意味は、アドレス、データ長、目標制御値、連続制御値、ＯＮ／ＯＦＦ操作値および状態フラグのうち少なくとも一部を示す意味を含む、
    請求項１１に記載の通信解析装置。
14. 前記第１変化パターンおよび前記第２変化パターンは、前記パラメータの時系列の変化を示すグラフにより表される、
    請求項１から１３のいずれか１項に記載の通信解析装置。
15. コンピュータを、
    通信データ群を取得し、パラメータが時系列上変動している変動部分を抽出する変動部分抽出手段と、
    前記変動部分の時系列上変動するパラメータに基づき、前記パラメータの時系列の変化を示す１つ以上の第１変化パターンを生成する変化パターン生成手段と、
    １つのプロトコルフィールドの意味と前記１つのプロトコルフィールドのパラメータの時系列の変化を示す１つ以上の第２変化パターンとを対応付けた複数組の学習データを記憶する学習データ記憶手段と、
    前記変化パターン生成手段が生成した前記１つ以上の第１変化パターンのそれぞれと前記学習データの前記１つ以上の第２変化パターンのそれぞれとを比較し、前記変動部分の意味を推定する意味推定手段と、
    して機能させるプログラム。

Images