特許 5968148 ネットワークトラヒックの信頼性の高い推定方法及び装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】5968148

(24)【登録日】2016年7月15日

(45)【発行日】2016年8月10日

(54)【発明の名称】ネットワークトラヒックの信頼性の高い推定方法及び装置

(51)【国際特許分類】

   H04L 12/70 20130101AFI20160728BHJP

【ＦＩ】

   H04L12/70 100Z

【請求項の数】12

【外国語出願】

【全頁数】11

(21)【出願番号】特願2012-171965(P2012-171965)

(22)【出願日】2012年8月2日

(65)【公開番号】特開2013-38783(P2013-38783A)

(43)【公開日】2013年2月21日

【審査請求日】2015年7月27日

(31)【優先権主張番号】11306010.7

(32)【優先日】2011年8月3日

(33)【優先権主張国】EP

(73)【特許権者】

【識別番号】501263810

【氏名又は名称】トムソン ライセンシング

【氏名又は名称原語表記】Ｔｈｏｍｓｏｎ Ｌｉｃｅｎｓｉｎｇ

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100091214

【弁理士】

【氏名又は名称】大貫 進介

(72)【発明者】

【氏名】オリヴィエ クルテ

(72)【発明者】

【氏名】オリヴィエ イーン

【審査官】 安藤 一道

(56)【参考文献】

【文献】 特開２０１２−２４９１３８（ＪＰ，Ａ）

【文献】 Remco Poortinga et al.，Analyzing campus traffic using the meter-MIB，Proceedings of the Passive and Active Measurements Workshop(PAM 2002)

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／７０

(57)【特許請求の範囲】

【請求項1】

第１のネットワークを外部ネットワークに接続するインタフェース装置と、期間中にユーザ装置のトラヒック使用量を測定するように構成されたアプリケーションを有する少なくとも１つのユーザ装置とを有する第１のネットワークの期間中のトラヒック使用量を推定する方法であり、前記測定されたトラヒックは、前記外部ネットワークの装置のトラヒックを含む方法であって、
装置において、
各ユーザ装置の前記期間中のトラヒック使用量の測定の合計を取得するステップと、
前記期間中のトラヒック使用量の更なる測定を取得するステップであり、前記更なる測定は、前記インタフェース装置を通過するトラヒックの測定量に対応するステップと、
前記合計と前記更なる測定との間の差が閾値より小さい場合、前記トラヒック使用量の推定が正確であると判定するステップと
を有し、
前記トラヒック使用量の前記測定及び前記トラヒック使用量の前記更なる測定は、それぞれ前記ユーザ装置に配信されたトラヒック及び前記第１のネットワークに配信されたトラヒックと、それぞれ前記ユーザ装置から送信されたトラヒック及び前記第１のネットワークから送信されたトラヒックのうち少なくとも１つのものである方法。

【請求項2】

前記インタフェース装置により、各ユーザ装置から測定を受信するステップを更に有する、請求項１に記載の方法。

【請求項3】

前記インタフェース装置により、前記合計を計算するステップを更に有する、請求項２に記載の方法。

【請求項4】

前記インタフェース装置は、各ユーザ装置からローカル時間を示す値を更に受信する、請求項２に記載の方法。

【請求項5】

前記更なる測定が前記閾値に加算された前記合計より大きい場合、前記第１のネットワーク側に不正が存在することが判定され、
前記合計が前記閾値に加算された前記更なる測定より大きい場合、少なくとも１つの測定が不正確であることが判定される、請求項１に記載の方法。

【請求項6】

前記インタフェース装置に直接接続されたユーザ装置の測定のみが、前記合計を取得するために加算される、請求項１に記載の方法。

【請求項7】

前記アプリケーションは、前記ユーザ装置で実行する仮想装置に配信されたトラヒック又は仮想装置から生じるトラヒックを測定しない、請求項１に記載の方法。

【請求項8】

トリガーを受信した場合、前記アプリケーションは、前記アプリケーションで測定された測定で応答し、前記測定をリセットする、請求項１に記載の方法。

【請求項9】

期間中にユーザ装置のトラヒック使用量を測定するように構成されたアプリケーションを有する少なくとも１つのユーザ装置を有する第１のネットワークの期間中のトラヒック使用量を推定するインタフェース装置であり、前記インタフェース装置は、前記第１のネットワークを外部ネットワークに接続し、前記測定されたトラヒックは、前記外部ネットワークの装置のトラヒックを含むインタフェース装置であって、
各ユーザ装置から測定を受信する手段と、
各ユーザ装置の前記期間中のトラヒック使用量の測定の合計を計算する手段と、
前記期間中のトラヒック使用量の更なる測定を取得する手段であり、前記更なる測定は、前記インタフェース装置を通過するトラヒックの測定量に対応する手段と、
前記合計と前記更なる測定との間の差が閾値より小さい場合、前記トラヒック使用量の推定が正確であると判定する手段と
を有し、
前記トラヒック使用量の前記測定及び前記トラヒック使用量の前記更なる測定は、それぞれ前記ユーザ装置に配信されたトラヒック及び前記第１のネットワークに配信されたトラヒックと、それぞれ前記ユーザ装置から送信されたトラヒック及び前記第１のネットワークから送信されたトラヒックのうち少なくとも１つのものであるインタフェース装置。

【請求項10】

各ユーザ装置からローカル時間を示す値を受信する手段を更に有する、請求項９に記載のインタフェース装置。

【請求項11】

前記更なる測定が前記閾値に加算された前記合計より大きい場合、前記第１のネットワーク側に不正が存在すると判定し、前記合計が前記閾値に加算された前記更なる測定より大きい場合、少なくとも１つの測定が不正確であると判定する手段を更に有する、請求項９に記載のインタフェース装置。

【請求項12】

前記合計を取得するために、前記インタフェース装置に直接接続されたユーザ装置の測定のみを加算する手段を更に有する、請求項９に記載のインタフェース装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、概してコンピュータネットワークに関し、特にインターネットトラヒックの測定に関する。

【背景技術】

【0002】

この部分は、以下に説明する本発明の様々な側面及び／又は特許請求の範囲に記載する本発明の様々な側面に関係し得る様々な技術側面を読者に紹介することを意図している。この説明は、本発明の様々な側面のより良い理解を容易にするために、読者に背景情報を提供するのに有用であると考えられる。従って、ここでの言及はこの観点から読まれるべきであり、従来技術の認定として読まれるべきではないことが分かる。

【0003】

ホームネットワークのユーザとユーザのインターネットサービスプロバイダ（ISP：Internet Service Provider）との双方がネットワークトラヒック（すなわち、ユーザにより消費されたデータ）の推定について合意したいと思う状況が存在する。このような状況は、公正なネットワークの使用の証明と、ペイ・パー・ユース（利用回数制）モデルにおける消費の確認とを含むが、これらに限定されない。

【発明の概要】

【発明が解決しようとする課題】

【0004】

従来技術の対策によれば、ISPは、まず、自分の手段により、各ユーザにより生成されたネットワークトラヒックをログ記録し、次に、推定を取得するためにログを分析して集約する。この対策は、適度にうまく機能するが、複数の欠点を有する。i)正確な推定を提供するためのコスト（価格）が高くなる。ii)特に推定が正確でない場合、ユーザが推定に異議を唱える可能性がある。

【0005】

最近の対策は、著作権保護されたコンテンツの海賊対策の領域から生じている。ユーザは、各ネットワーク接続された装置に“スパイ（spy）”ソフトウェアを自らインストールする。インストールされたソフトウェアは、例えば、許可されたコンテンツのホワイトリスト、許可されたウェブサイトのホワイトリスト、許可されたプロトコルのホワイトリスト、ブラックリスト又は他の適切な技術的手段の使用を通じて、装置のダウンロード動作を制御する。インストールされたソフトウェアはまた、装置のネットワーク使用量（消費）のローカル推定を実行する。推定がローカルであるため、特にISPにとっては正確であり比較的安価であるという十分な可能性がある。この理由は、ユーザ側のリソースを使用するからである。ユーザがネットワーク使用量を証明したいと思う場合には常に、全てのインストールされたソフトウェアの推定の合計は、ネットワークトラヒックを確認することを望むISP又は他のエンティティに送信される。

【0006】

この対策は、１つの主な欠点を有する。インストールされたスパイソフトウェアを、自ら非常に低いネットワーク活動を有する仮想機械（virtual machine）に制限することにより、簡単に攻撃可能である。その結果、ネットワークトラヒックの低いローカル推定又はゼロのローカル推定を生じる。

【0007】

従って、ネットワークの全てのトラヒックが分析される場合にのみ、ネットワークトラヒック制御ソフトウェアが適切であることを、当業者は認識する。問題は、全てのトラヒックが分析されたという保証を確保することである。

【0008】

異なるシステムは、R. Poortinga他による“Analysing Campus Traffic Using the Meter-MIB”, Proceedings of the Passive and Active Measurements Workshop (PAM 2002), Fort Collins, Colorado, USAに記載されている。この文献は、スイッチに接続され、次に場合によっては外部ネットワークに接続されたユーザ装置を有するネットワークについて記載している。送出するトラヒックになるときに、スイッチが提供する手段がどの程度良いかを確認するために、スイッチは、各ユーザ装置のトラヒックを測定する。このため、送出するトラヒックのみを測定するために、送出ラインに計器PCが配置される。理解できるように、２つの測定にはほとんど関係がないため、信頼性の高い推定は行われない可能性がある。

【0009】

従って、仮想機械を使用した攻撃を克服するネットワーク使用量の推定を提供できるコスト効率の良い対策の必要性が存在することが分かる。本発明は、このような対策を提供する。

【課題を解決するための手段】

【0010】

第１の態様では、本発明は、第１のネットワークを外部ネットワークに接続するインタフェース装置と、期間中にユーザ装置のトラヒック使用量を測定するように構成されたアプリケーションを有する少なくとも１つのユーザ装置とを有する第１のネットワークの期間中のトラヒック使用量を推定する方法を対象とする。測定されたトラヒックは、外部ネットワークの装置を含む。装置は、各ユーザ装置の期間中のトラヒック使用量の測定の合計を取得し、期間中のトラヒック使用量の更なる測定を取得し、合計と更なる測定との間の差が閾値より小さい場合、推定が正確であると判定する。トラヒック使用量の測定は、それぞれユーザ装置に配信されたトラヒック及び第１のネットワークに配信されたトラヒックと、それぞれユーザ装置から送信されたトラヒック及び第１のネットワークから送信されたトラヒックのうち少なくとも１つのものである。

【0011】

第１の好ましい実施例では、インタフェース装置は、各ユーザ装置から測定を受信する。インタフェース装置が合計を計算することは、有利である。インタフェース装置が各ユーザ装置からローカル時間を示す値を更に受信することは、更に有利である。

【0012】

第２の好ましい実施例では、更なる測定が閾値に加算された合計より大きい場合、第１のネットワーク（100）側に不正が存在することが判定され、合計が閾値に加算された更なる測定より大きい場合、少なくとも１つの測定が不正確であることが判定される。

【0013】

第３の好ましい実施例では、インタフェース装置に直接接続されたユーザ装置の測定のみが、合計を取得するために加算される。

【0014】

第４の好ましい実施例では、アプリケーションは、ユーザ装置で実行する仮想装置に配信されたトラヒック又は仮想装置から生じるトラヒックを測定しない。

【0015】

第５の好ましい実施例では、トリガーを受信した場合、アプリケーションは、その測定で応答し、測定をリセットする。

【0016】

第２の態様では、本発明は、期間中にユーザ装置のトラヒック使用量を測定するように構成されたアプリケーションを有する少なくとも１つのユーザ装置を有する第１のネットワークの期間中のトラヒック使用量を推定するインタフェース装置を対象とする。インタフェース装置は、第１のネットワークを外部ネットワークに接続し、測定されたトラヒックは、外部ネットワークの装置を含む。装置は、各ユーザ装置から測定を受信する手段と、各ユーザ装置の期間中のトラヒック使用量の測定の合計を計算する手段と、期間中のトラヒック使用量の更なる測定を取得する手段と、合計と更なる測定との間の差が閾値より小さい場合、推定が正確であると判定する手段とを有する。トラヒック使用量の測定は、それぞれユーザ装置に配信されたトラヒック及び第１のネットワークに配信されたトラヒックと、それぞれユーザ装置から送信されたトラヒック及び第１のネットワークから送信されたトラヒックのうち少なくとも１つのものである。

【0017】

第１の好ましい実施例では、インタフェース装置は、各ユーザ装置からローカル時間を示す値を受信する手段を更に有する。

【0018】

第２の好ましい実施例では、インタフェース装置は、更なる測定が閾値に加算された合計より大きい場合、第１のネットワーク側に不正が存在すると判定し、合計が閾値に加算された更なる測定より大きい場合、少なくとも１つの測定が不正確であると判定する手段を更に有する。

【0019】

第３の好ましい実施例では、インタフェース装置は、合計を取得するために、インタフェース装置に直接接続されたユーザ装置の測定のみを加算する手段を更に有する。

【発明の効果】

【0020】

本発明の実施例によれば、ネットワークトラヒックの信頼性の高い推定方法及び装置が提供できる。

【図面の簡単な説明】

【0021】

【図1】本発明が使用され得るネットワーク

【図2】本発明の好ましい実施例の方法のフローチャート

【発明を実施するための形態】

【0022】

本発明の好ましい特徴について、添付図面を参照して非限定的な例を用いて説明する。

【0023】

図１は、本発明が使用され得るネットワーク100を示している。ネットワーク100（有利な例では、ホームネットワーク）は、複数のユーザ装置110（例えば、パーソナルコンピュータ、ゲームコンソール及びスマートフォン）を有する。各ユーザ装置110は、好ましくはユーザにより自らインストールされた推定アプリケーション（推定器）111を有する。ネットワーク100は、ユーザ装置110が接続されており、外部ネットワーク接続130を通じてインターネット（又は他のネットワーク）へのインタフェースとして更に動作するネットワーク装置120を更に有する。好ましい実施例では、ネットワーク装置120は、ホームネットワークがISPを介してインターネットに接続されるときに通過するゲートウェイである。当然に、ユーザ装置110及びネットワーク装置120は、通常の機能に必要なハードウェア及びソフトウェア（プロセッサ、メモリ、インタフェース、オペレーティングシステム等）を有する。この詳細は、本発明の範囲外である。

【0024】

図２において更に説明する本発明の主な発明概念は、各推定アプリケーション111がそのユーザ装置110のネットワークトラヒックを監視し210、平行して、ネットワーク装置120がネットワーク使用量の独立した推定を生成し220、所与の期間の推定を比較する230ことである。推定アプリケーションからの推定の合計とネットワーク装置の推定との間の差が固定の閾値より小さい場合、考慮された測定時間間隔に推定が有効であると仮定される。そうでない場合、差は、少なくとも１つの推定が不正確であったという指標である。

【0025】

双方側の測定が同じであることを前提として、入来するネットワークトラヒック、送出するネットワークトラヒック、又は入来するネットワークトラヒックと送出するネットワークトラヒックとの双方を測定することが可能である。

【0026】

ネットワーク装置120は、ISP（又は他のプロバイダ）により信頼を受けていることが好ましい。ネットワークがホームネットワークである好ましい実施例によれば、ネットワーク装置120は、デジタル加入者線集線装置（DSLAM：Digital Subscriber Line Access Multiplexer）又は従来のソフトウェアを実行するホームゲートウェイである。有利な例では、従来のソフトウェアは、ISPのようなプロバイダにより提供される。別の実施例では、ネットワーク装置120は、サイトの前の最後のルータ（n-1ルータ）、GSM（登録商標）伝送システムの基地局コントローラ（BSC：Base Station Controller）等である。

【0027】

推定アプリケーションがネットワーク100の外側から到達するネットワーク又はネットワーク100の外部に送信されるネットワークトラヒックのみ（すなわち、外部ネットワーク接続130を通じたもの）を考慮することが重要である。内部トラヒックは、推定アプリケーションによりカウントされるべきではない。有利な例では、これは、ちょうど１つの外部ネットワークアドレスを含むネットワークトラヒックのみをカウントすることにより実現される。

【0028】

非限定的に以下のアプリケーションを含む複数の可能な種類の推定アプリケーションが存在する。

【0029】

1)監視アプリケーション：推定器を通じた全ての（外部）トラヒックが監視される。推定器を通じた許可されたトラヒック及び合計のトラヒックが考慮され、記憶される。名目上（nominal）の場合、双方の値は同じである。

【0030】

2)フィルタリングアプリケーション：推定アプリケーションは、許可されていないトラヒックをブロックし、許可された（外部）トラヒックのみをカウントする。

【0031】

異なる種類の推定アプリケーションの混在を単一のネットワーク内に有することが可能である点に留意すべきである。

【0032】

＜例示の実施例＞
例示の実施例では、ネットワーク100は、ホームゲートウェイ120及びインターネットサービスプロバイダ（ISP：Internet Service Provider）を介してインターネットに接続されたインターネットプロトコル・ホームネットワークである。

【0033】

第１のステップ：インストール
ホームネットワークのユーザは、以下の条件を満たすホームネットワークの各ユーザ装置に推定アプリケーションをインストールする。

【0034】

1)ユーザ装置は、ホームゲートウェイを通じてインターネットからダウンロード／アップロードすることが可能である。

【0035】

2)ユーザ装置は、推定アプリケーションのインストールをサポートする。

【0036】

推定アプリケーションは、時間をカウントし、装置のネットワーク使用量を推定する。

【0037】

第２のステップ：ローカル推定の集約
指定の時間に（例えば、24時間毎に）、推定アプリケーションは推定をホームゲートウェイに報告する。ホームゲートウェイは値を合計し、場合によっては期間の指示と共に結果をISPに送信する。

【0038】

第３のステップ：グローバル推定
平行して、プロバイダは、ホームゲートウェイのネットワーク使用量の連続した推定を実行する。この推定は、集中的に又はホームゲートウェイで実行されてもよく、例えばゲートウェイを通過するトラヒックの量をカウントするほどの簡単なものでもよい。ネットワークフローの正確な分析は必要ない。

【0039】

第４のステップ：比較及び報告
ISPが指定の期間についての推定アプリケーションからの合計Sを有する場合、
1)対応する期間について自分のグローバル推定Gを計算し、
2)SとGとを比較してもよい。

【0040】

規定された閾値T（理想的な場合にはゼロであるが、現実的には固定値として表されてもよい正の値又はグローバル推定G又は合計Sのいずれかの割合に設定される）について、
・|S-G|≦Tである場合、ISPは、通常の状況を報告してもよい。
・G>S+Tである場合、ISPは、ホームネットワーク側での不正の可能性を報告してもよい。換言すると、ユーザが何らかの不正行為をしている可能性がある。
・S>G+Tである場合、ISPは、推定のエラーの可能性を報告してもよい。エラーの潜在的な原因は、ISPからの悪いグローバル推定、１つ以上の推定器からの悪いローカル推定等がある。

【0041】

必要に応じて適切な動作が行われてもよい。適切な動作の本質は、本発明の範囲外であるが、ユーザが不正行為をした場合に取るべき動作の例は、ユーザへの警告メッセージの送信、ISPへの警告メッセージの送信、ユーザのネットワーク接続の中断を含む。

【0042】

比較及び報告ステップはまた、ユーザにより実行されてもよく、これにより、測定システムのグローバルな信頼性を増加させてもよい点に留意すべきである。

【0043】

＜第１の改善＞
システムに対する潜在的な攻撃は、本発明の背景技術及び発明の概要に記載の“仮想機械”攻撃の高度な変形形態である。

【0044】

攻撃：攻撃者は、推定器の報告を偽のトラヒックにすることにより、実際の全体トラヒックより多くの許可されたトラヒックを考慮しようとする。これは、推定アプリケーションを備えた物理装置をホームゲートウェイに接続することにより行われてもよい。更に、攻撃者は、物理装置に仮想機械をインストールし、仮想機械に推定アプリケーションをインストールする。従って、物理装置は、ホームゲートウェイから仮想機械へのネットワークブリッジとして動作する。攻撃者は、仮想機械からネットワークトラヒックの量Qを生成する。

【0045】

攻撃の効果は、仮想機械の推定アプリケーションがQの推定を報告することである。物理装置の推定アプリケーションも、その推定としてQを報告する。ホームゲートウェイは、Q+Qを合計し、2QをISPに報告する。対応する期間中に、ISPは、その推定として正確にQを与える。従って、不正なユーザは、ホームゲートウェイに接続されているが、推定アプリケーションがインストールされていない装置でネットワークトラヒックの更なる量Qを生成することができる。

【0046】

第１の対抗手段は、ホームゲートウェイに直接接続されていない各装置のトラヒック推定をゼロに設定することである。最先端のゲートウェイは、例えばMACアドレスをテストすることにより、装置が直接接続されているか否かを検出することができる。

【0047】

しかし、第１の対抗手段は、仮想機械がゲートウェイに直接接続されている高度な設定では不十分である。

【0048】

第２の対抗手段は、推定アプリケーションが物理装置に配信されたネットワークトラヒックと仮想機械に配信されたネットワークトラヒックとを区別することを可能にすることである。推定アプリケーションは、物理装置に配信されたトラヒックのみをカウントする。オペレーティングシステムのカーネルに実装された推定アプリケーションは、これらの２つの間を識別することができる。

【0049】

双方の対抗手段が同時に使用されてもよいことが分かる。

【0050】

＜第２の改善＞
攻撃者は、推定されたトラヒック値の比較を複雑にするために、ユーザ装置及びゲートウェイで日時にいたずらをする可能性がある。

【0051】

対抗手段として、推定アプリケーション及びゲートウェイの双方は、比較のためにローカル時間値をISPに送信するべきである。時間値の間の相対的な差が測定の間の所定の（小さい）閾値より大きく変化しない限り、時間値が同じである必要はない点に留意すべきである。

【0052】

他の可能な対抗手段は、ISPに確認を作動させることである。この対抗手段は、ISPから各推定器へのチャネルを必要とする。このチャネルは、本発明の範囲外である。確認が作動すると、推定器は、値を報告し、ゼロにリセットされる。この対抗手段は、時間に依存しない。

【0053】

従って、本発明は以下を提供できることが分かる。

【0054】

・双方の参加者（ユーザ及びプロバイダ）により合意されたネットワークトラヒックの推定又は明らかに不正として報告されたネットワークトラヒックの推定
・２つの独立した送信元から生じるデータから構成された推定の向上した信頼性
・プロバイダの費用対効果：プロバイダは、グローバル推定のみを使用し、トラヒックフィルタリング又は詳細な分析は必要ない。
・ゲートウェイの費用対効果：ゲートウェイは、トラヒック分析を実行しない。

【0055】

明細書及び（適切な場合には）特許請求の範囲並びに図面に開示された各特徴は、独立して提供されてもよく、適切な組み合わせで提供されてもよい。ハードウェアで実装されるものとして記載された特徴はまた、ソフトウェアで実装されてもよく、その逆も同様である。特許請求の範囲に現れる参照符号は、単なる例示であり、特許請求の範囲に限定的な効果は有さない。
以上の実施例に関し、更に、以下の項目を開示する。
（付記１）第１のネットワークを外部ネットワークに接続するインタフェース装置と、期間中にユーザ装置のトラヒック使用量を測定するように構成されたアプリケーションを有する少なくとも１つのユーザ装置とを有する第１のネットワークの期間中のトラヒック使用量を推定する方法であり、前記測定されたトラヒックは、前記外部ネットワークの装置を含む方法であって、
装置において、
各ユーザ装置の前記期間中のトラヒック使用量の測定の合計を取得するステップと、
前記期間中のトラヒック使用量の更なる測定を取得するステップと、
前記合計と前記更なる測定との間の差が閾値より小さい場合、推定が正確であると判定するステップと
を有し、
トラヒック使用量の測定は、それぞれ前記ユーザ装置に配信されたトラヒック及び前記第１のネットワークに配信されたトラヒックと、それぞれ前記ユーザ装置から送信されたトラヒック及び前記第１のネットワークから送信されたトラヒックのうち少なくとも１つのものである方法。
（付記２）前記インタフェース装置により、各ユーザ装置から測定を受信するステップを更に有する、付記１に記載の方法。
（付記３）前記インタフェース装置により、前記合計を計算するステップを更に有する、付記２に記載の方法。
（付記４）前記インタフェース装置は、各ユーザ装置からローカル時間を示す値を更に受信する、付記２に記載の方法。
（付記５）前記更なる測定が前記閾値に加算された前記合計より大きい場合、前記第１のネットワーク側に不正が存在することが判定され、
前記合計が前記閾値に加算された前記更なる測定より大きい場合、少なくとも１つの測定が不正確であることが判定される、付記１に記載の方法。
（付記６）前記インタフェース装置に直接接続されたユーザ装置の測定のみが、前記合計を取得するために加算される、付記１に記載の方法。
（付記７）前記アプリケーションは、前記ユーザ装置で実行する仮想装置に配信されたトラヒック又は仮想装置から生じるトラヒックを測定しない、付記１に記載の方法。
（付記８）トリガーを受信した場合、前記アプリケーションは、その測定で応答し、前記測定をリセットする、付記１に記載の方法。
（付記９）期間中にユーザ装置のトラヒック使用量を測定するように構成されたアプリケーションを有する少なくとも１つのユーザ装置を有する第１のネットワークの期間中のトラヒック使用量を推定するインタフェース装置であり、前記インタフェース装置は、前記第１のネットワークを外部ネットワークに接続し、前記測定されたトラヒックは、前記外部ネットワークの装置を含むインタフェース装置であって、
各ユーザ装置から測定を受信する手段と、
各ユーザ装置の前記期間中のトラヒック使用量の測定の合計を計算する手段と、
前記期間中のトラヒック使用量の更なる測定を取得する手段と、
前記合計と前記更なる測定との間の差が閾値より小さい場合、推定が正確であると判定する手段と
を有し、
トラヒック使用量の測定は、それぞれ前記ユーザ装置に配信されたトラヒック及び前記第１のネットワークに配信されたトラヒックと、それぞれ前記ユーザ装置から送信されたトラヒック及び前記第１のネットワークから送信されたトラヒックのうち少なくとも１つのものであるインタフェース装置。
（付記１０）各ユーザ装置からローカル時間を示す値を受信する手段を更に有する、付記９に記載のインタフェース装置。
（付記１１）前記更なる測定が前記閾値に加算された前記合計より大きい場合、前記第１のネットワーク側に不正が存在すると判定し、前記合計が前記閾値に加算された前記更なる測定より大きい場合、少なくとも１つの測定が不正確であると判定する手段を更に有する、付記９に記載のインタフェース装置。
（付記１２）前記合計を取得するために、前記インタフェース装置に直接接続されたユーザ装置の測定のみを加算する手段を更に有する、付記９に記載のインタフェース装置。

【符号の説明】

【0056】

100 ネットワーク
110 ユーザ装置
111 推定アプリケーション
120 ネットワーク装置
130 外部ネットワーク接続

【図1】

【図2】