JP2013125477A - 分析装置、分析プログラムおよび分析方法 - Google Patents

Abstract

【課題】精度良く名寄せを行うこと。
【解決手段】キャプチャサーバ１０は、第一の装置から第二の装置へ送信された第一のリクエストに含まれるパラメータの種類およびパラメータの値と、第一のリクエストに基づいて第二の装置から第三の装置へ送信された第二のリクエストに基づいて第三の装置により実行された処理の識別子とを対応付けて記憶する。キャプチャサーバ１０は、記憶部の記憶内容に基づいて、パラメータの種類および値ごとの第三の装置により実行される処理の割合を算出する。そして、キャプチャサーバ１０は、算出した割合に対応するパラメータの種類および値に対する第一のリクエストに含まれるパラメータの種類および値の類似度を算出する。特定部は、算出部により算出された類似度に基づいて、第三の装置により実行される処理に対応するパラメータの種類、または、パラメータの種類および値を特定する。
【選択図】図２

Description

本発明は、分析装置、分析プログラムおよび分析方法に関する。

複数のサーバ間での通信の内容を取得し、取得した内容からプロトコル毎に送受信されているメッセージを複合することにより、システムの分析を行う分析装置がある。

また、前段サーバおよび後段サーバを有するサーバシステムのログから、後段サーバにより実行される処理を切り分ける、前段サーバに送信されたＵＲＩ（Uniform Resource Identifier）の部分を抽出する抽出装置がある。なお、後段サーバにより実行される処理を切り分けるパラメータを抽出することを「名寄せ」と称する。抽出装置は、後段サーバで実行される複数の処理に対応するＵＲＬ（Uniform Resource Locator）が同一である場合には、後段サーバで実行される処理の種類毎に、値が共通するパラメータの種類を抽出する。これにより、抽出装置は、後段サーバにより実行される処理を切り分けるパラメータの種類およびパラメータの値を抽出する。

特開２００６−１１６８３号公報 特開２０１０−６７０４７号公報 特開平１１−１３６５７３号公報 特開２０１０−２８２３６７号公報

しかしながら、上記の各装置では、精度良く名寄せができないという問題がある。

例えば、上記の分析装置では、名寄せが既に行われた上で、動作するものである。この分析装置では、分析装置の開発者などの人によって、名寄せが行われる。このように、人によって名寄せが行われた場合には、人為的なミスが生じ、パラメータと、後段サーバにより実行される処理との対応関係に誤りが生ずる場合がある。したがって、分析装置では、精度良く名寄せが出来ない。

また、上記の抽出装置では、後段サーバで実行される複数の処理に対応するＵＲＬが同一である場合には、値が共通するパラメータの種類を抽出する。このため、上記の抽出装置では、後段サーバで実行される複数の処理に対応するＵＲＬが同一である場合に、パラメータの値が設定されていないときには、名寄せを行うことが困難である。したがって、抽出装置では、精度良く名寄せが出来ない。

１つの側面では、本発明は、精度良く名寄せを行うことを目的とする。

１つの案では、本願の開示する分析装置は、記憶部と、算出部と、特定部とを有する。記憶部は、第一の装置から第二の装置へ送信された第一のリクエストに含まれるパラメータの種類およびパラメータの値と、第一のリクエストに基づいて第二の装置から第三の装置へ送信された第二のリクエストに基づいて第三の装置により実行された処理の識別子とを対応付けて記憶する。算出部は、記憶部の記憶内容に基づいて、パラメータの種類および値ごとの第三の装置により実行される処理の割合を算出する。そして、算出部は、算出した割合に対応するパラメータの種類および値に対する第一のリクエストに含まれるパラメータの種類および値の類似度を算出する。特定部は、算出部により算出された類似度に基づいて、第三の装置により実行される処理に対応するパラメータの種類、または、パラメータの種類および値を特定する。

１つの側面では、本発明は、精度良く名寄せを行うことができる。

図１は、実施例１に係る分析装置が適用されるシステムの全体構成図の一例を示す図である。 図２は、実施例１に係るキャプチャサーバの構成を示す図である。 図３は、ペアリストの一例を示す図である。 図４は、スイッチからキャプチャサーバに送信されたデータが示すＵＲＬ、ｋｅｙおよびｖａｌｕｅの組み合わせと、ＤＢサーバで実行されたＳＱＬの処理の種類との関係の一例を示す図である。 図５は、第一のテーブルのデータ構造の一部の一例を示す図である。 図６は、第二のテーブルのデータ構造の一部の一例を示す図である。 図７は、平均値を算出する処理の一例を説明するための図である。 図８は、第三のテーブルのデータ構造の一部の一例を示す図である。 図９は、第四のテーブルのデータ構造の一部の一例を示す図である。 図１０は、第五のテーブルのデータ構造の一部の一例を示す図である。 図１１は、実施例１に係る特定処理の手順を示すフローチャートである。 図１２は、分析プログラムを実行するコンピュータを示す図である。

以下に、本願の開示する分析装置、分析プログラムおよび分析方法の各実施例を図面に基づいて詳細に説明する。なお、この実施例は開示の技術を限定するものではない。そして、各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

［システム構成］
実施例１に係るシステムについて説明する。図１は、実施例１に係る分析装置が適用されるシステムの全体構成図の一例を示す図である。図１に示すように、システム１は、キャプチャサーバ１０、クライアント端末１１、スイッチ１４およびサービス提供システム１５を有する。システム１の一例としては、会社内におけるＬＡＮ（Local Area Network）システムや、インターネット１６を介して商品の受注を行うシステムなどが挙げられる。なお、キャプチャサーバ１０は、分析装置の一例である。

クライアント端末１１は、サービス提供システム１５に対して、サービス要求を行うための装置である。例えば、クライアント端末１１は、インターネット１６に接続されている。クライアント端末１１は、ユーザの操作を受け付けて、サービスを要求するためのＨＴＴＰ（HyperText Transfer Protocol）のリクエストメッセージを、インターネット１６に送信する。この場合、クライアント端末１１は、後述のＷｅｂサーバ１２を送信先としたリクエストメッセージを、インターネット１６に送信する。また、クライアント端末１１は、Ｗｅｂサーバ１２から、レスポンスを受信する。例えば、クライアント端末１１は、Ｗｅｂサーバ１２から、ＨＴＴＰのレスポンスメッセージを受信する。そして、クライアント端末１１は、レスポンスメッセージの内容をブラウザに表示する。クライアント端末１１は、例えば、サービス提供システム１５からサービスを受けるユーザによって利用される。なお、図１の例では、クライアント端末１１の台数が複数の場合が例示されているが、クライアント端末１１の台数は、任意の台数を採用することができる。

インターネット１６では、データが、送信先の装置に送信される。例えば、インターネット１６では、クライアント端末１１から送信されたリクエストメッセージであって、送信先がＷｅｂサーバ１２であるリクエストメッセージが、Ｗｅｂサーバ１２に接続されたスイッチ１４に送信される。また、インターネット１６では、スイッチ１４から送信されたレスポンスメッセージであって、送信先がクライアント端末１１であるレスポンスメッセージが、クライアント端末１１に送信される。

サービス提供システム１５は、ユーザからの要求に応じて、サービスを提供する。例えば、サービス提供システム１５は、Ｗｅｂサーバ１２およびＤＢ（Data Base）サーバ１３を有する。

Ｗｅｂサーバ１２は、クライアント端末１１からのリクエストに応じて、ＤＢサーバ１３へリクエストを送信する。例えば、Ｗｅｂサーバ１２は、クライアント端末１１からのサービスを要求するリクエストメッセージに応じて、ＤＢサーバ１３へＳＱＬ（Structured Query Language）の問合せを送信する。

また、Ｗｅｂサーバ１２は、ＤＢサーバ１３からのレスポンスに応じて、クライアント端末１１へレスポンスを送信する。例えば、Ｗｅｂサーバ１２は、ＤＢサーバ１３からのＳＱＬの応答に応じて、クライアント端末１１へＨＴＴＰのレスポンスメッセージを送信する。なお、図１の例では、Ｗｅｂサーバ１２の台数が１台である場合を例示しているが、Ｗｅｂサーバ１２の台数は複数であってもよい。

ＤＢサーバ１３は、Ｗｅｂサーバ１２からのリクエストに応じて、Ｗｅｂサーバ１２へレスポンスを送信する。例えば、ＤＢサーバ１３は、Ｗｅｂサーバ１２からのＳＱＬの問合せに応じて、図示しないＤＢへアクセスし、Ｗｅｂサーバ１２へＳＱＬの応答を送信する。ここで、ＳＱＬの応答には、ＤＢサーバ１３で実行された処理の種類を示す識別子が含まれる。なお、図１の例では、ＤＢサーバ１３の台数が１台である場合を例示しているが、ＤＢサーバ１３の台数は複数であってもよい。

スイッチ１４は、クライアント端末１１、Ｗｅｂサーバ１２およびＤＢサーバ１３の各装置間のデータの送受信を行うとともに、各装置間に流れるデータのコピーをキャプチャサーバ１０に送信する。図１の例では、スイッチ１４のポートＰ１は、インターネット１６に接続されている。また、図１の例では、スイッチ１４のポートＰ２は、Ｗｅｂサーバ１２に接続されている。また、図１の例では、スイッチ１４のポートＰ３は、ＤＢサーバ１３に接続されている。また、図１の例では、スイッチ１４のポートＰ４は、キャプチャサーバ１０に接続されている。図１の例では、スイッチ１４は、インターネット１６を介して、クライアント端末１１から、送信先がＷｅｂサーバ１２であるリクエストメッセージを受信した場合には、受信したリクエストメッセージをポートＰ２からＷｅｂサーバ１２へ送信する。また、スイッチ１４は、Ｗｅｂサーバ１２から、送信先がＤＢサーバ１３であるＳＱＬの問合せを受信した場合には、受信したＳＱＬの問合せをポートＰ３からＤＢサーバ１３へ送信する。また、スイッチ１４は、ＤＢサーバ１３から、送信先がＷｅｂサーバ１２であるＳＱＬの応答を受信した場合には、受信したＳＱＬの応答をポートＰ２からＷｅｂサーバ１２へ送信する。また、スイッチ１４は、Ｗｅｂサーバ１２から、送信先がクライアント端末１１であるレスポンスメッセージを受信した場合には、受信したレスポンスメッセージをポートＰ１から、インターネット１６を介して、クライアント端末１１へ送信する。

また、スイッチ１４は、いわゆるポートミラーリング機能を有する。例えば、スイッチ１４は、ポートＰ１、Ｐ２、Ｐ３を経由するデータをコピーし、コピーしたデータを、ポートＰ４から、キャプチャサーバ１０に送信する。これにより、クライアント端末１１、Ｗｅｂサーバ１２およびＤＢサーバ１３の各装置間を流れるデータを、キャプチャサーバ１０が収集可能となる。スイッチ１４は、複数の装置でも良く、例えば、クライアント端末１１とＷｅｂサーバ１２との通信を中継する装置と、Ｗｅｂサーバ１２とＤＢサーバ１３との通信を中継する装置と、によって構成されてもよい。

［キャプチャサーバ１０の構成］
実施例１に係るキャプチャサーバについて説明する。図２は、実施例１に係るキャプチャサーバの構成を示す図である。図２に示すように、キャプチャサーバ１０は、入力部２０と、Ｉ／Ｆ（Interface）２１と、報知部２２と、記憶部２３と、制御部２４とを有する。本実施例に係るキャプチャサーバ１０は、クライアント端末１１からＷｅｂサーバ１２へ送信されたＨＴＴＰのリクエストに含まれるＣＧＩ（Common Gateway Interface）パラメータの種類（ｋｅｙ）および値（ｖａｌｕｅ）を取得する。また、キャプチャサーバ１０は、ＨＴＴＰのリクエストに基づいてＷｅｂサーバ１２からＤＢサーバ１３へ送信されたＳＱＬの問い合わせに基づいてＤＢサーバ１３により実行されたＳＱＬ処理の識別子（ＳＱＬの種類）を取得する。そして、キャプチャサーバ１０は、取得したｋｅｙおよびｖａｌｕｅと、ＳＱＬの種類とを対応付けて記憶する。そして、キャプチャサーバ１０は、記憶内容に基づいて、ｋｅｙおよびｖａｌｕｅごとのＤＢサーバ１３により実行されるＳＱＬ処理の割合を算出する。そして、キャプチャサーバ１０は、算出した割合に対応するｋｅｙおよびｖａｌｕｅに対するＨＴＴＰのリクエストに含まれるｋｅｙおよびｖａｌｕｅの類似度を算出する。続いて、キャプチャサーバ１０は、算出された類似度に基づいて、ＤＢサーバ１３により実行されるＳＱＬ処理に対応するｋｅｙ、または、ｋｅｙおよびｖａｌｕｅを特定する。このように、キャプチャサーバ１０は、人の作業を発生させずに、処理によって名寄せを行う。また、キャプチャサーバ１０は、ｋｅｙにｖａｌｕｅが設定されていない場合でも、ｋｅｙ単位で名寄せを行うことができる。したがって、キャプチャサーバ１０によれば、精度良く名寄せを行うことができる。

入力部２０は、制御部２４に情報を入力する。例えば、入力部２０は、ユーザからの指示を受け付けて、制御部２４に、後述の特定処理を実行する指示を入力する。入力部２０のデバイスの一例としては、キーボードやマウスなどが挙げられる。

Ｉ／Ｆ２１は、スイッチ１４との通信を行うための通信インタフェースである。例えば、Ｉ／Ｆ２１は、スイッチ１４から送信されたリクエストメッセージのコピーであって、クライアント端末１１からＷｅｂサーバ１２へのリクエストメッセージのコピーを受信した場合には、受信したリクエストメッセージのコピーを制御部２４へ送信する。また、Ｉ／Ｆ２１は、スイッチ１４から送信されたＳＱＬの問合せのコピーであって、Ｗｅｂサーバ１２からＤＢサーバ１３へのＳＱＬの問合せのコピーを受信した場合には、受信したＳＱＬの問合せのコピーを制御部２４へ送信する。また、Ｉ／Ｆ２１は、スイッチ１４から送信されたＳＱＬの応答のコピーであって、ＤＢサーバ１３からＷｅｂサーバ１２へのＳＱＬの応答のコピーを受信した場合には、受信したＳＱＬの応答のコピーを制御部２４へ送信する。また、Ｉ／Ｆ２１は、スイッチ１４から送信されたレスポンスメッセージのコピーであって、Ｗｅｂサーバ１２からクライアント端末１１へのレスポンスメッセージのコピーを受信した場合には、次のような処理を行う。すなわち、Ｉ／Ｆ２１は、受信したレスポンスメッセージのコピーをクライアント端末１１へ送信する。

報知部２２は、情報を報知する。例えば、報知部２２は、後述の報知制御部２４ｄにより入力されたパラメータの特定結果を報知する。報知部２２のデバイスとしては、例えば、ＣＲＴ（Cathode Ray Tube）や、液晶ディスプレイなどの表示装置が挙げられる。

記憶部２３は、制御部２４で実行される各種プログラムを記憶する。また、記憶部２３は、ペアリスト２３ａ、第一のテーブル２３ｂ、第二のテーブル２３ｃ、第三のテーブル２３ｄ、第四のテーブル２３ｅ、第五のテーブル２３ｆを記憶する。

ペアリスト２３ａは、リクエストと、このリクエストに対応するレスポンスとの組が登録されるテーブルである。ペアリスト２３ａの各レコードには、後述の格納部２４ａにより、リクエストとレスポンスとの各組が登録される。図３は、ペアリストの一例を示す図である。図３の例では、リクエストをキャプチャサーバ１０が受信した時刻である「リクエスト時刻」の項目がペアリスト２３ａに含まれていることを示す。また、図３の例では、リクエストに対応するレスポンスをキャプチャサーバ１０が受信した時刻である「レスポンス時刻」の項目がペアリスト２３ａに含まれていることを示す。また、図３の例では、リクエストとレスポンスとの組が、クライアント端末１１とＷｅｂサーバ１２との間、または、Ｗｅｂサーバ１２とＤＢサーバ１３との間で送受信されたものであるのかを示す「階層」の項目がペアリスト２３ａに含まれていることを示す。なお、図３の例では、リクエストとレスポンスとの組が、クライアント端末１１とＷｅｂサーバ１２との間で送受信されたものである場合には、第一の所定値、例えば「１」が「階層」に登録される。また、図３の例では、リクエストとレスポンスとの組が、Ｗｅｂサーバ１２とＤＢサーバ１３との間で送受信されたものである場合には、第二の所定値、例えば「２」が「階層」に登録される。すなわち、「階層」の項目には、リクエストとレスポンスとの組が、どの装置間で発生したものかを示す情報が登録される。

また、図３の例では、リクエストの内容である「内容１」の項目がペアリスト２３ａに含まれていることを示す。また、図３の例では、ペアリスト２３ａのレコードの通し番号である「通し番号」の項目がペアリスト２３ａに含まれていることを示す。また、図３の例では、レスポンスの送信元のＩＰ（Internet Protocol）アドレスである「送信元ＩＰ」の項目がペアリスト２３ａに含まれていることを示す。また、図３の例では、レスポンスの送信先のＩＰアドレスである「送信先ＩＰ」の項目がペアリスト２３ａに含まれていることを示す。また、図３の例では、レスポンスの内容である「内容２」の項目がペアリスト２３ａに含まれていることを示す。なお、ＤＢサーバ１３からのレスポンス（ＳＱＬの応答）については、ペアリスト２３ａの「内容２」には、ＤＢサーバ１３が実行したＳＱＬの処理の種類を示す識別子が登録される。

ここで、図３の例では、「通し番号」が１のレコードは、ＳＱＬの問合せをキャプチャサーバ１０が受信した時刻が２０１０年１０月２８日１０時００分０．９秒であることを示す。また、図３の例では、「通し番号」が１のレコードは、対応するＳＱＬの応答をキャプチャサーバ１０が受信した時刻が２０１０年１０月２８日１０時００分１．１秒であることを示す。また、図３の例では、「通し番号」が１のレコードの「階層」の項目は、このレコードに登録されたＳＱＬの問合せとＳＱＬの応答との組が、Ｗｅｂサーバ１２とＤＢサーバ１３との間で送受信されたものであることを示す。また、図３の例では、「通し番号」が１のレコードは、ＳＱＬの問合せの内容が「ａ」であることを示す。また、図３の例では、「通し番号」が１のレコードは、このレコードに登録されたＳＱＬの応答の送信元のＩＰアドレスが「１０．０．０．１」であることを示す。また、図３の例では、「通し番号」が１のレコードは、このレコードに登録されたＳＱＬの応答の送信先のＩＰアドレスが「１０．０．０．２」であることを示す。また図３の例では、「通し番号」が１のレコードは、このレコードに登録されたＳＱＬの応答に含まれる、ＤＢサーバ１３が実行したＳＱＬの処理の種類を示す識別子が１０であることを示す。

また、図３の例では、「通し番号」が２のレコードは、リクエストメッセージをキャプチャサーバ１０が受信した時刻が２０１０年１０月２８日１０時０１分０．０秒であることを示す。また、図３の例では、「通し番号」が２のレコードは、対応するレスポンスメッセージをキャプチャサーバ１０が受信した時刻が２０１０年１０月２８日１０時００分３．０秒であることを示す。また、図３の例では、「通し番号」が２のレコードの「階層」の項目は、このレコードに登録されたリクエストメッセージとレスポンスメッセージとの組が、クライアント端末１１とＷｅｂサーバ１２との間で送受信されたものであることを示す。また、図３の例では、「通し番号」が２のレコードは、リクエストメッセージの内容が「ｕｒｌＡ．ｊｓｐ」であることを示す。また、図３の例では、「通し番号」が２のレコードは、このレコードに登録されたレスポンスメッセージの送信元のＩＰアドレスが「１９２．１６８．０．１」であることを示す。また、図３の例では、「通し番号」が２のレコードは、このレコードに登録されたレスポンスメッセージの送信先のＩＰアドレスが「１０．０．０．１」であることを示す。また図３の例では、「通し番号」が２のレコードは、レスポンスメッセージに含まれるデータの内容が「ｕｒｌＡ．ｊｓｐ」であることを示す。図３の例のその他のレコードの登録内容についても、上述した内容と同様であるので説明を省略する。

なお、ペアリスト２３ａに登録される情報は、上記の内容に限られない。ペアリスト２３ａには、クライアント端末１１から送信されたＨＴＴＰのリクエストに含まれるＵＲＬ、パラメータ（ｋｅｙおよびｖａｌｕｅ）と、ＤＢサーバ１３により実行されたＳＱＬの処理の種類とを対応付けるための情報が登録されていればよい。例えば、ペアリスト２３ａに登録される情報は、「リクエスト時刻」、「レスポンス時刻」、「階層」、「内容１」、「内容２」の項目だけでもよい。また、ペアリスト２３ａに登録される各項目の情報は、後述の格納部２４ａによって、スイッチ１４からのデータが解析されることにより得られる。

図４は、スイッチからキャプチャサーバに送信されたデータが示すＵＲＬ、ｋｅｙおよびｖａｌｕｅの組み合わせと、ＤＢサーバで実行されたＳＱＬの処理の種類との関係の一例を示す図である。図４の例では、横軸は、時間を示す。図４の例は、ＨＴＴＰのリクエストがクライアント端末１１から送信されてから、クライアント端末１１がＨＴＴＰのレスポンスを受信するまでのリクエストとレスポンスの組である第一の組３０ａ、３０ｂ、３０ｃの３種類の第一の組が出現した場合を示す。また、図４の例は、ＳＱＬの問い合わせがＷｅｂサーバ１２から送信されてから、Ｗｅｂサーバ１２がＳＱＬの応答を受信するまでのリクエストとレスポンスの組である第二の組３１ａ、３１ｂの２種類の第二の組が出現した場合を示す。

図４の例では、第一の組３０ａのリクエストには、ＵＲＬに「ｕｒｌＡ」、パラメータに「ｓｉｄ＝００１」、「ｅｘｅｃ＝ｍｅｉｓａｉ」が含まれている。また、図４の例では、第一の組３０ｂのリクエストには、ＵＲＬに「ｕｒｌＡ」、パラメータに「ｓｉｄ＝００２」、「ｅｘｅｃ＝ｍｅｉｓａｉ」が含まれている。また、図４の例では、第一の組３０ｃのリクエストには、ＵＲＬに「ｕｒｌＡ」、パラメータに「ｓｉｄ＝００３」が含まれている。また、以下、第二の組３１ａのレスポンスに含まれるＳＱＬの処理の識別子を「子１」、第二の組３１ｂのレスポンスに含まれるＳＱＬの処理の識別子を「子２」第二の組３１ｃのレスポンスに含まれるＳＱＬの処理の識別子を「子３」と称する場合がある。

図４の例では、出現した第一の組３０ａのリクエストと、レスポンスとの間に、第二の組３１ａ、３１ｂが内包されている場合が示されている。なお、ここでいう「内包」とは、第一の組のリクエストとレスポンスとの間の時間内に、第二の組のリクエストおよびレスポンスの発生時刻が含まれることを指す。また、図４の例では、出現した第一の組３０ｂのリクエストと、レスポンスとの間に、第二の組３１ａ、３１ｃが内包されている場合が示されている。また、図４の例では、第一の組３０ｃのリクエストと、レスポンスとの間に、第二の組３１ｃが内包されている場合が示されている。

第一のテーブル２３ｂは、スイッチ１４からキャプチャサーバ１０に送信されたデータが示すＵＲＬ、またはＵＲＬおよびｋｅｙ、もしくは、ＵＲＬ、ｋｅｙおよびｖａｌｕｅの組み合わせに対するＤＢサーバ１３で実行されたＳＱＬの処理の種類の割合が登録されるテーブルである。第一のテーブル２３ｂには、後述の算出部２４ｂにより算出された割合が登録、更新される。なお、第一のテーブル２３ｂの各項目には、算出部２４ｂにより内容が登録される前、いわゆる初期時には、何も登録されていない。図５は、第一のテーブルのデータ構造の一部の一例を示す図である。第一のテーブル２３ｂは、「ＵＲＬ」、「ＣＧＩ ｋｅｙ」、「ＣＧＩ ｖａｌｕｅ」、「インスタンス」の各項目を有する。

図５の例では、「ＵＲＬ」の項目に、スイッチ１４からキャプチャサーバ１０に送信されたデータにおいて出現したＨＴＴＰのリクエストに含まれる「ＵＲＬ」が登録される。また、図５の例では、「ＣＧＩ ｋｅｙ」の項目に、スイッチ１４からキャプチャサーバ１０に送信されたデータにおいて出現したＨＴＴＰのリクエストの「ｋｅｙ」が登録される。また、図５の例では、「ＣＧＩ ｖａｌｕｅ」の項目に、スイッチ１４からキャプチャサーバ１０に送信されたデータにおいて出現したＨＴＴＰのリクエストの「ｖａｌｕｅ」が登録される。また、図５の例では、「インスタンス」の項目に、スイッチ１４からキャプチャサーバ１０に送信されたデータにおいて出現したリクエストの「ＵＲＬ」、「ｋｅｙ」および「ｖａｌｕｅ」の組み合わせに対する、ＤＢサーバ１３で実行されたＳＱＬの処理の種類の割合が登録される。なお、ＤＢサーバ１３で実行されたＳＱＬの処理を示す識別子と、その識別子が示すＳＱＬの処理の出現割合との関係は、［ＤＢサーバ１３で実行されたＳＱＬの処理を示す識別子：ＳＱＬの処理の出現割合］で表される。

ここで、先の図４の例では、１番目に出現した第二の組３１ａを内包しうる第一の組は、第一の組３０ａである。また、図４の例では、第二の組３１ｂを内包しうる第一の組は、第一の組３０ａである。また、図４の例では、２番目に出現した第二の組３１ａを内包しうる第一の組は、第一の組３０ｂである。また、図４の例では、第二の組３１ｃを内包しうる第一の組は、第一の組３０ｂおよび第一の組３０ｃである。ここで、後述の算出部２４ｂでは、ある第二の組に対して、この第二の組を内包しうる第一の組の数がＮ個である場合には、次のような処理を行う。すなわち、算出部２４ｂでは、かかる第二の組に対するＮ個の第一の組のそれぞれに対して、１／Ｎの値を算出し、第一の組のリクエストが有するＵＲＬとパラメータとの組合せに対応する、第一のテーブル２３ｂの「インスタンス」の項目に加算する。

例えば、図４の例では、１番目に出現した第二の組３１ａを内包しうる第一の組は、第一の組３０ａの１つである。そのため、図４の例の場合には、算出部２４ｂは、１（１／１）を第一の組３０ａのＵＲＬおよびパラメータの組み合わせに対応する「インスタンス」の項目に加算する。

また、図４の例では、第二の組３１ｂを内包しうる第一の組は、第一の組３０ａの１つである。そのため、図４の例の場合には、算出部２４ｂは、１（１／１）を第一の組３０ａのＵＲＬおよびパラメータの組み合わせに対応する「インスタンス」の項目に加算する。

また、図４の例では、２番目に出現した第二の組３１ａを内包しうる第一の組は、第一の組３０ｂである。そのため、図４の例の場合には、算出部２４ｂは、１（１／１）を第一の組３０ｂのＵＲＬおよびパラメータの組み合わせに対応する「インスタンス」の項目に加算する。

また、図４の例では、第二の組３１ｃを内包しうる第一の組は、第一の組３０ｂ、第一の組３０ｃの２つである。そのため、図４の例の場合には、算出部２４ｂは、０．５（１／２）を、第一の組３０ｂのＵＲＬおよびパラメータの組み合わせに対応する「インスタンス」の項目、第一の組３０ｃのＵＲＬおよびパラメータの組み合わせに対応する「インスタンス」の項目に加算する。

すなわち、図４の例の場合には、後述の算出部２４ｂは、図５の例に示すように、「ＵＲＬ」＝「ｕｒｌＡ」、「ｋｅｙ」＝「ｓｉｄ」および「ｖａｌｕｅ」＝「００１」に対応する「インスタンス」の項目に、「子１」の割合「１」、「子２」の割合「１」を登録する。また、図４の例の場合では、算出部２４ｂは、図５の例に示すように、「ＵＲＬ」＝「ｕｒｌＡ」、「ｋｅｙ」＝「ｓｉｄ」および「ｖａｌｕｅ」＝「００２」に対応する「インスタンス」の項目に、「子１」の割合「１」、「子３」の割合「０．５」を登録する。また、図４の例の場合では、算出部２４ｂは、図５の例に示すように、「ＵＲＬ」＝「ｕｒｌＡ」、「ｋｅｙ」＝「ｓｉｄ」および「ｖａｌｕｅ」＝「００３」に対応する「インスタンス」の項目に、「子３」の割合「０．５」を登録する。また、図４の例の場合では、算出部２４ｂは、図５の例に示すように、「ＵＲＬ」＝「ｕｒｌＡ」、「ｋｅｙ」＝「ｅｘｅｃ」および「ｖａｌｕｅ」＝「ｍｅｉｓａｉ」に対応する「インスタンス」の項目に、次のような内容を登録する。すなわち、算出部２４ｂは、「子１」の割合「１」、「子２」の割合「１」、「子１」の割合「１」、「子３」の割合「０．５」を登録する。

第二のテーブル２３ｃには、第一のテーブル２３ｂの「インスタンス」に登録された値が、後述の算出部２４ｂにより正規化された値が登録される。図６は、第二のテーブルのデータ構造の一部の一例である。例えば、図５の例において、「インスタンス」の項目に、「子１」の割合「１」、「子２」の割合「１」が登録された場合には、後述の算出部２４ｂでは、この登録内容をベクトル（１，１）として扱い、正規化の処理を行う。例えば、図６に示すように、後述の算出部２４ｂでは、ベクトルの長さが、所定値、例えば、「１」となるように、正規化する。この場合、ベクトル（１，１）は、（０．７１，０．７１）に正規化される。

第三のテーブル２３ｄには、第二の組ごとに、第二のテーブル２３ｃに登録された正規化後の割合の平均値が登録される。かかる平均値は、後述の算出部２４ｂにより算出され、登録される。図７は、平均値を算出する処理の一例を説明するための図である。図７の例は、図６の例における「ＵＲＬ」＝「ｕｒｌＡ」、「ＣＧＩ ｋｅｙ」＝「ｅｘｅｃ」、「ＣＧＩ ｖａｌｕｅ」＝「ｍｅｉｓａｉ」に対応する「インスタンス」の項目に、複数の「子１」の割合が登録された場合を示す。図７の例においては、後述の算出部２４ｂにより、複数の「子１」の割合の平均値が算出される。図８は、第三のテーブルのデータ構造の一部の一例を示す図である。図８の例は、図７の例において、算出部２４ｂにより算出された「子１」の平均値「０．８０」（＝（０．７１＋０．８９）／２）が、ＵＲＬとパラメータとの組み合わせごとに設けられた「モデル」の項目に登録された場合を示す。また、図８の例では、第三のテーブル２３ｄは、先の図５で説明した「ＵＲＬ」、「ＣＧＩ ｋｅｙ」、「ＣＧＩ ｖａｌｕｅ」の項目も有する。図８の例では、かかる「モデル」の項目に、「子１」、「子２」、「子３」のそれぞれの平均値（０．８０，０．３６，０．２３）が登録された場合を示す。この「モデル」の項目の登録内容は、ＵＲＬとパラメータとの組み合わせに対して平均的な挙動を示す。また、以下の説明において、モデルを暫定モデルと称する場合がある。なお、図８の例は、第三のテーブル２３ｄのデータ構造の一部の一例であり、第三のテーブル２３ｄは、例えば、先の図５の例に示すＵＲＬ、ＵＲＬとｋｅｙ、または、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせごとに、平均値を登録するための各項目を有する。

第四のテーブル２３ｅには、後述の算出部２４ｂにより算出された類似度が登録される。図９は、第四のテーブルのデータ構造の一部の一例を示す図である。図９の例では、第四のテーブル２３ｅは、先の図５などで説明した「ＵＲＬ」、「ＣＧＩ ｋｅｙ」、「ＣＧＩ ｖａｌｕｅ」の項目に加え、「類似度」の項目を有する。「類似度」の項目には、後述の算出部２４ｂにより第二のテーブル２３ｃの登録内容と、第三のテーブル２３ｄの登録内容とに基づいて算出された類似度が登録される。なお、図９の例では、「類似度」の項目に２つの値「０．９」が登録されているが、上側の類似度「０．９」は、次のようなことを示す。すなわち、上側の類似度「０．９」は、「ＵＲＬ」＝「ｕｒｌＡ」、「ＣＧＩ ｋｅｙ」＝「ｅｘｅｃ」、「ＣＧＩ ｖａｌｕｅ」＝「ｍｅｉｓａｉ」、「子１」の割合「１」、「子２」の割合「１」である場合について算出された類似度を示す。また、下側の類似度「０．９」は、「ＵＲＬ」＝「ｕｒｌＡ」、「ＣＧＩ ｋｅｙ」＝「ｅｘｅｃ」、「ＣＧＩ ｖａｌｕｅ」＝「ｍｅｉｓａｉ」、「子１」の割合「１」、「子３」の割合「０．５」である場合について算出された類似度を示す。

第五のテーブル２３ｆは、ＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせに対応付けられて、後述の算出部２４ｂにより算出された類似度の平均値（平均類似度）、類似度の標準偏差、出現回数が登録される。図１０は、第五のテーブルのデータ構造の一部の一例を示す図である。図１０の例では、第五のテーブル２３ｆは、先の図５などで説明した「ＵＲＬ」、「ＣＧＩ ｋｅｙ」、「ＣＧＩ ｖａｌｕｅ」の各項目に加え、「ＵＲＬ単位」、「ＣＧＩ ｋｅｙ単位」、「ＣＧＩ ｖａｌｕｅ単位」の各項目を有する。「ＵＲＬ単位」、「ＣＧＩ ｋｅｙ単位」、「ＣＧＩ ｖａｌｕｅ単位」の各項目は、「平均類似度」、「標準偏差」、「出現回数」を有する。「ＵＲＬ単位」の「平均類似度」の項目には、「ＵＲＬ」の項目に登録されたＵＲＬに対応する類似度の平均値が後述の算出部２４ｂにより登録される。「ＵＲＬ単位」の「標準偏差」には、「ＵＲＬ」の項目に登録されたＵＲＬに対応する類似度の平均値が後述の算出部２４ｂにより登録される。「ＵＲＬ単位」の「出現回数」には、「ＵＲＬ」の項目に登録されたＵＲＬに対応する、ＤＢサーバ１３で実行されたＳＱＬの処理の種類ごとの出現回数が後述の算出部２４ｂにより登録される。「ＣＧＩ ｋｅｙ単位」は、ＵＲＬとｋｅｙとの組み合わせを示し、「ＣＧＩ ｖａｌｕｅ単位」は、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせを示す。これら「ＣＧＩ ｋｅｙ単位」、「ＣＧＩ ｖａｌｕｅ単位」の各項目が有する「平均類似度」、「標準偏差」、「出現回数」についても、「ＵＲＬ単位」の場合と同様であるので、説明を省略する。第五のテーブル２３ｆの登録内容に基づいて、後述の特定部２４ｃにより、ＤＢサーバ１２で実行されるＳＱＬの処理の種類を切り分けるためのＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせが特定される。

記憶部２３は、例えば、フラッシュメモリなどの半導体メモリ素子、または、ハードディスク、光ディスクなどの記憶装置である。なお、記憶部２３は、上記の種類の記憶装置に限定されるものではなく、ＲＡＭ（Random Access Memory)、ＲＯＭ（Read Only Memory)であってもよい。

図２の説明に戻り、制御部２４は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、これらによって種々の処理を実行する。制御部２４は、図２に示すように、格納部２４ａと、算出部２４ｂと、特定部２４ｃと、報知制御部２４ｄとを有する。

格納部２４ａは、データを解析し、解析した結果をペアリスト２３ａに登録する。例えば、格納部２４ａは、スイッチ１４から送信される所定時間分のデータ、例えば、３０秒分のデータを記憶部２３に蓄積し、蓄積したデータに対して、下記に説明する解析を行う処理を所定時間ごとに繰り返し行う。

格納部２４ａが行う解析の一例について説明する。格納部２４ａは、クライアント端末１１からＷｅｂサーバ１２へ送信されたリクエストメッセージのコピーを解析し、リクエストメッセージに含まれるリクエストの内容を取得する。例えば、格納部２４ａは、「http://www.server.com/job/urlA.jsp?sid=001&exec=meisai」というリクエストメッセージについては、「www.server.com」が示すサーバに、「/job/urlA.jsp」というパス表記で指定されるコンテンツを要求するリクエストメッセージであると解析する。これに加えて、格納部２４ａは、ＵＲＬが「http://www.server.com/job/urlA.jsp」であると解析する。なお、上記では、「http://www.server.com/job/urlA.jsp」を、「urlA」と略記した。また、格納部２４ａは、「sid=001&exec=meisai」をｋｅｙおよびｖａｌｕｅのパラメータであると解析する。また、格納部２４ａは、Ｗｅｂサーバ１２からＤＢサーバ１３へ送信されたＳＱＬの問合せのコピーを解析し、ＳＱＬの問合せに含まれる問合せ内容を取得する。また、格納部２４ａは、リクエストメッセージのコピーを受信した時刻を取得する。また、格納部２４ａは、ＳＱＬの問合せのコピーを受信した時刻を取得する。

また、格納部２４ａは、Ｗｅｂサーバ１２からクライアント端末１１へ送信されたレスポンスメッセージのコピーを解析し、レスポンスメッセージに含まれるレスポンスの内容を取得する。また、格納部２４ａは、レスポンスメッセージのコピーを解析し、レスポンスメッセージに含まれる送信元のＩＰアドレスを取得する。また、格納部２４ａは、レスポンスメッセージのコピーを解析し、レスポンスメッセージに含まれる送信先のＩＰアドレスを取得する。また、格納部２４ａは、ＤＢサーバ１３からＷｅｂサーバ１２へ送信されたＳＱＬの応答のコピーを解析し、ＳＱＬの応答に含まれる応答内容およびＤＢサーバ１３で実行されたＳＱＬの処理の種類を示す識別子を取得する。また、格納部２４ａは、ＳＱＬの応答のコピーを解析し、ＳＱＬの応答に含まれる送信元のＩＰアドレスを取得する。また、格納部２４ａは、ＳＱＬの応答のコピーを解析し、ＳＱＬの応答に含まれる送信先のＩＰアドレスを取得する。また、格納部２４ａは、レスポンスメッセージのコピーを受信した時刻を取得する。また、格納部２４ａは、ＳＱＬの応答のコピーを受信した時刻を取得する。

そして、格納部２４ａは、クライアント端末１１とＷｅｂサーバ１２間のリクエストおよびレスポンスの第一の組を検出する。例えば、格納部２４ａは、解析したリクエストメッセージの内容と、レスポンスメッセージの内容とから、リクエストメッセージとレスポンスメッセージとの対応付けを行う。ここでいう対応付けとは、ペアリングとも称され、あるリクエストメッセージと、そのリクエストメッセージに対するレスポンスメッセージとを関連付けることを指す。

そして、格納部２４ａは、対応付けしたリクエストメッセージとレスポンスメッセージとの第一の組を、ペアリスト２３ａに登録する。また、格納部２４ａは、図３に示すように、リクエストメッセージのコピーをキャプチャサーバ１０が受信した時刻をペアリスト２３ａに登録する。また、格納部２４ａは、図３に示すように、レスポンスメッセージのコピーをキャプチャサーバ１０が受信した時刻を、ペアリスト２３ａに登録する。また、格納部２４ａは、図３に示すように、クライアント端末１１とＷｅｂサーバ１２との間で送受信された第一の組について、第一の所定値、例えば「１」を、ペアリスト２３ａの「階層」の項目に登録する。また、格納部２４ａは、図３に示すように、リクエストメッセージのＵＲＬおよびｋｅｙ並びにｖａｌｕｅを、ペアリスト２３ａの「内容１」に登録する。また、格納部２４ａは、図３に示すように、レスポンスメッセージの内容を、ペアリスト２３ａの「内容２」に登録する。

また、格納部２４ａは、Ｗｅｂサーバ１２とＤＢサーバ１３間のリクエストおよびレスポンスの第二の組を検出する。例えば、格納部２４ａは、解析したＳＱＬの問合せの内容と、ＳＱＬの応答の内容とから、ＳＱＬの問合せとＳＱＬの応答との対応付けを行う。ここでいう対応付けは、あるＳＱＬの問合せと、そのＳＱＬの問合せに対するＳＱＬの応答とを関連付けることを指す。

そして、格納部２４ａは、対応付けしたＳＱＬの問合せとＳＱＬの応答との第二の組を、ペアリスト２３ａに登録する。また、格納部２４ａは、図３に示すように、ＳＱＬの問合せのコピーをキャプチャサーバ１０が受信した時刻をペアリスト２３ａに登録する。また、格納部２４ａは、図３に示すように、ＳＱＬの応答のコピーをキャプチャサーバ１０が受信した時刻を、ペアリスト２３ａに登録する。また、格納部２４ａは、図３に示すように、Ｗｅｂサーバ１２とＤＢサーバ１３との間で送受信された第二の組について、第二の所定値、例えば「２」を、ペアリスト２３ａの「階層」の項目に登録する。また、格納部２４ａは、図３に示すように、ＳＱＬの問合せの内容を、ペアリスト２３ａの「内容１」に登録する。また、格納部２４ａは、図３に示すように、ＳＱＬの問合せに含まれる、ＤＢサーバ１３により実行されたＳＱＬの処理の種類を示す識別子を、ペアリスト２３ａの「内容２」に登録する。また、格納部２４ａは、図３に示すように、ＳＱＬの応答の送信元のＩＰアドレスを、ペアリスト２３ａに登録する。また、格納部２４ａは、図４に示すように、ＳＱＬの応答の送信先のＩＰアドレスを、ペアリスト２３ａに登録する。

算出部２４ｂは、記憶部２３のペアリスト２３ａ、第一のテーブル２３ｂ、第二のテーブル２３ｃ、第三のテーブル２３ｄ、第四のテーブル２３ｅ、第五のテーブル２３ｆを用いて、ＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせごとに、次のような値を算出する。すなわち、算出部２４ｂは、ＤＢサーバ１３により実行されるＳＱＬの処理の種類の割合を算出する。そして、算出部２４ｂは、算出した割合に対応するＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせのそれぞれに対する、解析の結果得られたＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせのそれぞれの類似度を算出する。

例えば、算出部２４ｂは、まず、ペアリスト２３ａを参照して、第一の組のリクエストとレスポンスとの間に出現した第二の組を全て特定する。また、算出部２４ｂは、ペアリスト２３ａを参照して、第一の組のリクエストの「内容１」の項目から、ＨＴＴＰのリクエストのＵＲＬとｋｅｙとｖａｌｕｅとを特定する。

そして、算出部２４ｂは、ペアリスト２３ａを参照して、特定した第二の組に対して、その第二の組を内包しうる第一の組の数Ｎを特定する。続いて、算出部２４ｂは、第一の組のそれぞれに対して、１／Ｎの値を算出する。そして、算出部２４ｂは、第一の組のリクエストが有するＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組合せのそれぞれを第一のテーブル２３ｂの対応する項目に登録するとともに、第一のテーブル２３ｂの「インスタンス」の項目に、１／Ｎの値を加算する。

例えば、図４の例の場合には、算出部２４ｂは、図５の例に示すように、「ＵＲＬ」＝「ｕｒｌＡ」、「ｋｅｙ」＝「ｓｉｄ」および「ｖａｌｕｅ」＝「００１」に対応する「インスタンス」の項目に、「子１」の割合「１」、「子２」の割合「１」を登録する。また、図４の例の場合では、算出部２４ｂは、図５の例に示すように、「ＵＲＬ」＝「ｕｒｌＡ」、「ｋｅｙ」＝「ｓｉｄ」および「ｖａｌｕｅ」＝「００２」に対応する「インスタンス」の項目に、「子１」の割合「１」、「子３」の割合「０．５」を登録する。また、図４の例の場合では、算出部２４ｂは、図５の例に示すように、「ＵＲＬ」＝「ｕｒｌＡ」、「ｋｅｙ」＝「ｓｉｄ」および「ｖａｌｕｅ」＝「００３」に対応する「インスタンス」の項目に、「子３」の割合「０．５」を登録する。また、図４の例の場合では、算出部２４ｂは、図５の例に示すように、「ＵＲＬ」＝「ｕｒｌＡ」、「ｋｅｙ」＝「ｅｘｅｃ」および「ｖａｌｕｅ」＝「ｍｅｉｓａｉ」に対応する「インスタンス」の項目に、次のような内容を登録する。すなわち、算出部２４ｂは、「子１」の割合「１」、「子２」の割合「１」、「子１」の割合「１」、「子３」の割合「０．５」を登録する。このようにして、第一のテーブル２３ｂに、各種内容が登録される。

また、算出部２４ｂは、第一のテーブル２３ｂの「インスタンス」の項目に登録された、ＤＢサーバ１３で実行されたＳＱＬの処理の種類の割合を要素とするベクトルを正規化する処理を行う。例えば、算出部２４ｂは、図５の例に示すように、「子１」の割合「１」、「子２」の割合「１」が登録された場合には、この登録内容をベクトル（１，１）として扱い、正規化の処理を行う。正規化の具体例としては、算出部２４ｂは、図６に示すように、ベクトルの長さが、所定の長さ、例えば、「１」となるように、正規化する。この場合、ベクトル（１，１）は、（０．７１，０．７１）に正規化される。そして、算出部２４ｂは、ＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせとともに、正規化した値を第二のテーブル２３ｃに登録する。このようにして、算出部２４ｂは、ＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組合せのそれぞれについて、正規化した値を第二のテーブル２３ｃにする。

このとき、実行されたＳＱＬの処理の種類の出現タイミングによっては、１つの「インスタンス」の項目の中に、同一のＳＱＬの処理の種類について、複数正規化した値が登録される場合がある。例えば、図６の例に示すように、第二のテーブル２３ｃのインスタンスの項目に、［子１：０．７、子２：０．７０］および［子１：０．８９、子３：０．４５］というように、「子１」について正規化された割合が複数存在する場合がある。そこで、算出部２４ｂは、ＳＱＬの処理の種類ごとに、正規化された割合の平均値を算出する。例えば、図６の例の［子１：０．７、子２：０．７０］および［子１：０．８９、子３：０．４５］について、算出部２４ｂは、次のような処理を行う。すなわち、算出部２４ｂは、［子１：０．７、子２：０．７０、子３：０．００］および［子１：０．８９、子２：０．００、子３：０．４５］と、子２および子３の割合の値を０とする補間を行った上で、ＳＱＬの処理の種類ごとに、平均値を算出する。この場合では、算出部２４ｂは、平均値［子１：０．８０、子２：０．３６、子３：０．２３］を算出する。これは、（ＵＲＬ，ＣＧＩ ｋｅｙ，ＣＧＩ ｖａｌｕｅ）＝（ｕｒｌＡ，ｅｘｅｃ，ｍｅｉｓａｉ）のモデルである。そして、算出部２４ｂは、図８に示すように、第三のテーブル２３ｄに、「ｕｒｌＡ」、「ｅｘｅｃ」および「ｍｅｉｓａｉ」の組み合わせとともに、平均値［子１：０．８０、子２：０．３６、子３：０．２３］を登録する。このようにして、算出部２４ｂは、ＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組合せのそれぞれについて、平均値を第三のテーブル２３ｄにする。なお、登録された平均値は、対応するＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせにおける平均的な挙動を示すモデルである。

また、算出部２４ｂは、第三のテーブル２３ｄに登録したモデルに対する第二のテーブル２３ｃに登録した正規化した割合の類似度をＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組合せごとに算出する。例えば、図６および図８の例に示すように、（ＵＲＬ，ＣＧＩ ｋｅｙ，ＣＧＩ ｖａｌｕｅ）＝（ｕｒｌＡ，ｅｘｅｃ，ｍｅｉｓａｉ）の場合に、「子１」、「子２」、「子３」が出現する例について説明する。算出部２４ｂは、第二のテーブル２３ｃの［子１：０．７０、子２：０．７０］について、［子１：０．７０、子２：０．７０、子３：０．００］というように、子３の値を０とする補間を行う。そして、算出部２４ｂは、補間した［子１：０．７０、子２：０．７０、子３：０．００］と、第三のテーブル２３ｄの「モデル」に登録された［子１：０．８０、子２：０．３６、子３：０．２３］との類似度を算出する。かかる類似度の算出方法の一例としては、コサイン類似度の手法を採用することができる。この手法を用いる場合には、例えば、割合の値、平均値をそれぞれ要素とするベクトルとして扱われる。

同様に、算出部２４ｂは、第二のテーブル２３ｃの［子１：０．８９、子３：０．４５］について、［子１：０．８９、子２：０．００、子３：０．４５］というように、子２の値を０とする補間を行う。そして、算出部２４ｂは、補間した［子１：０．８９、子２：０．００、子３：０．４５］と、第三のテーブル２３ｄの「モデル」に登録された［子１：０．８０、子２：０．３６、子３：０．２３］との類似度を算出する。

そして、算出部２４ｂは、算出した類似度をＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組合せとともに、第四のテーブル２３ｅに登録する。例えば、補間した［子１：０．７０、子２：０．７０、子３：０．００］と、第三のテーブル２３ｄの「モデル」に登録された［子１：０．８０、子２：０．３６、子３：０．２３］との類似度「０．９」を（ｕｒｌＡ，ｅｘｅｃ，ｍｅｉｓａｉ）とともに登録する。例えば、補間した［子１：０．８９、子２：０．００、子３：０．４５］と、第三のテーブル２３ｄの「モデル」に登録された［子１：０．８０、子２：０．３６、子３：０．２３］との類似度「０．９」を（ｕｒｌＡ，ｅｘｅｃ，ｍｅｉｓａｉ）とともに登録する。

続いて、算出部２４ｂは、第四のテーブルに登録された類似度について、平均値と標準偏差とをＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせごとに算出する。また、算出部２４ｂは、ペアリスト２３ａを参照し、ＤＢサーバ１３で実行されたＳＱＬの処理の出現回数を、ＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせごとに計数を行う。その後、算出部２４ｂは、算出した類似度の平均値、標準偏差、出現回数をＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせとともに第五のテーブル２３ｆに登録する。例えば、算出部２４ｂは、図１０の例に示すように、算出した各値を第五のテーブル２３ｆの各項目に登録する。ここで、類似度の平均値が大きく、標準偏差が小さいほど、その組み合わせにおけるＳＱＬの処理の種類の組み合わせが類似しているもので占められていることとなる。

特定部２４ｃは、算出部２４ｂにより算出された類似度に基づいて、ＤＢサーバ１３により実行される処理の種類を切り分けるためのＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせを特定する。

例えば、特定部２４ｃは、ＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの全組み合わせを候補とする。そして、特定部２４ｃは、第五のテーブル２３ｆを参照する。そして、特定部２４ｃは、ＳＱＬの処理の出現回数が所定値、例えば、２より小さい場合のＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせを、ＤＢサーバ１３により実行される処理の種類を切り分けるためのパラメータの候補から外す。これは、例えば、出現回数が少ないと類似度の平均値などが極端な数値を示し、出現回数がある程度大きくならないと、類似度の平均値などの精度が確かなものとならないからである。例えば、図１０に示すように、（ｕｒｌＡ，ｓｉｄ，００１〜００３）に対応するＳＱＬの処理などは、類似度の平均値は高いが、出現回数が１回と少ないため、かかる類似度の平均値の精度は確かなものではない。そこで、特定部２４ｃは、このような出現回数が所定値より小さい場合のＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせを、ＤＢサーバ１３により実行される処理の種類を切り分けるためのパラメータの候補から外す。図１０の例では、特定部２４ｃは、（ｕｒｌＡ，ｓｉｄ，００１〜００３）の組み合わせを候補から外す。

また、特定部２４ｃは、第五のテーブル２３ｆを参照し、類似度の平均値が、所定値未満である場合のＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせを、ＤＢサーバ１３により実行される処理の種類を切り分けるためのパラメータの候補から外す。これは、類似度が低い場合には、ＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの対応する組み合わせが示すパラメータは、ＤＢサーバ１３により実行される処理の種類を切り分けに使用されていないと考えられるからである。なお、類似度の算出方法としてコサイン類似度を採用した場合には、本実施例では、類似度が０から１までの値をとる。そのため、処理の種類の識別子の組み合わせに一定のばらつきが生じている場合には、類似度が０．５未満になると考えられる。そこで、類似度の算出方法としてコサイン類似度を採用した場合には、特定部２４ｃは、次のような処理を行うことができる。すなわち、特定部２４ｃは、類似度の平均値が、０．５未満である場合のＵＲＬ、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせを、ＤＢサーバ１３により実行される処理の種類を切り分けるためのパラメータの候補から外すことができる。例えば、図１０の例では、特定部２４ｃは、（ｕｒｌＡ，ｅｘｅｃ）の組み合わせが類似度の平均値が０．５より小さいので、（ｕｒｌＡ，ｅｘｅｃ）の組み合わせを候補から外す。

また、特定部２４ｃは、第五のテーブル２３ｆを参照する。そして、特定部２４ｃは、「ＣＧＩ ｋｅｙ単位」の項目の「平均類似度」の項目に登録された類似度の平均値が、「ＣＧＩ ｖａｌｕｅ単位」の項目の「平均類似度」の項目に登録された類似度の平均値以上である場合には、次のような処理を行う。すなわち、特定部２４ｃは、対応するＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせをＤＢサーバ１３により実行される処理の種類を切り分けるためのパラメータの候補から外す。これは、「ｋｅｙ」に「ｖａｌｕｅ」が設定された場合に、ＤＢサーバ１３により実行される処理の種類が切り分けられるのではなく、「ｋｅｙ」が指定された場合に、指定された「ｋｅｙ」によって、処理の種類が切り分けられると考えられるからである。

また、特定部２４ｃは、第五のテーブル２３ｆを参照する。そして、特定部２４ｃは、「ＵＲＬ単位」の項目の「平均類似度」の項目に登録された類似度の平均値が、「ＣＧＩ ｋｅｙ単位」の項目の「平均類似度」の項目に登録された類似度の平均値以上である場合には、次のような処理を行う。すなわち、特定部２４ｃは、対応するＵＲＬとｋｅｙとの組み合わせをＤＢサーバ１３により実行される処理の種類を切り分けるためのパラメータの候補から外す。これは、「ＵＲＬ」に「ｋｅｙ」などのパラメータが設定された場合に、ＤＢサーバ１３により実行される処理の種類が切り分けられるのではなく、「ＵＲＬ」が指定された場合に、指定された「ＵＲＬ」によって、処理の種類が切り分けられると考えられるからである。例えば、図１０の例では、（ｕｒｌＡ）の組み合わせに対応する類似度の平均値が、（ｕｒｌＡ，ｓｉｄ）の組み合わせに対応する類似度の平均値以上である。そのため、特定部２４ｃは、（ｕｒｌＡ，ｓｉｄ）の組み合わせを候補から外す。また、図１０の例では、（ｕｒｌＡ）の組み合わせに対応する類似度の平均値が、（ｕｒｌＡ，ｅｘｅｃ）の組み合わせに対応する類似度の平均値以上である。そのため、特定部２４ｃは、（ｕｒｌＡ，ｍｅｉｓａｉ）の組み合わせを候補から外す。

そして、特定部２４ｃは、候補として残った組み合わせをＤＢサーバ１３により実行される処理の種類を切り分けるためのパラメータとして特定する。例えば、図１０の例では、（ｕｒｌＡ，ｅｘｅｃ，ｍｅｉｓａｉ）、（ｕｒｌＡ，ｅｘｅｃ，ｄｏｗｎｌｏａｄ）の組み合わせが候補として残っているので、特定部２４ｃは、これらの組み合わせを処理の種類を切り分けるためのパラメータとして特定する。また、例えば、ＵＲＬとｋｅｙ、ＵＲＬとｋｅｙとｖａｌｕｅとの組み合わせの場合の類似度の平均値が、ＵＲＬのみの場合の類似度の平均値より小さい場合には、特定部２４ｃは、ＵＲＬを処理を切り分けるためのパラメータとして特定する。その後、特定部２４ｃは、特定した結果を記憶部２３に格納する。

報知制御部２４ｄは、入力部２０が受け付けたユーザからの特定結果を報知する指示を受信した場合に、記憶部２３に記憶された特定結果を取得する。そして、報知制御部２４ｄは、特定結果を報知するように、報知部２２を制御する。

制御部２４は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路またはＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路である。

［処理の流れ］
次に、本実施例に係るキャプチャサーバ１０の処理の流れを説明する。図１１は、実施例１に係る特定処理の手順を示すフローチャートである。この特定処理の実行タイミングとしては様々な場合が考えられる。例えば、キャプチャサーバ１０は、スイッチ１４から送信される所定時間分のデータ、例えば、３０秒分のデータを記憶部２３に蓄積する。また、キャプチャサーバ１０の格納部２４ａは、蓄積したデータに対して、所定時間ごとに解析を行ってペアリスト２３ａを繰り返し生成するため、生成されたペアリスト２３ａに対して、所定時間ごとに繰り返し特定処理を実行することが考えられる。

図１１に示すように、算出部２４ｂは、ペアリスト２３ａを参照し、第一のテーブル２３ｂに各種内容を登録することで、第一のテーブル２３ｂを生成する（ステップＳ１０１）。算出部２４ｂは、第一のテーブル２３ｂの「インスタンス」の項目に登録された割合を正規化し、正規化した割合を第二のテーブル２３ｃに登録する（ステップＳ１０２）。算出部２４ｂは、第二のテーブル２３ｃを参照し、平均値を算出して暫定モデルを生成し、生成した暫定モデルを第三のテーブル２３ｄに登録する（ステップＳ１０３）。

算出部２４ｂは、暫定モデルと、正規化された割合とを用いて、類似度を算出し、算出した類似度を第四のテーブル２３ｅに登録する（ステップＳ１０４）。算出部２４ｂは、算出した類似度の平均値、標準偏差、出現回数を算出し、算出した平均値、標準偏差、出現回数を第五のテーブル２３ｆに登録する（ステップＳ１０５）。特定部２４ｃは、第五のテーブル２３ｆの登録内容に基づいて、処理を切り分けるためのパラメータを特定し（ステップＳ１０６）、処理を終了する。

上述してきたように、本実施例に係るキャプチャサーバ１０は、クライアント端末１１からＷｅｂサーバ１２へ送信されたＨＴＴＰのリクエストに含まれるＣＧＩ（Common Gateway Interface）パラメータの種類（ｋｅｙ）および値（ｖａｌｕｅ）を取得する。また、キャプチャサーバ１０は、ＨＴＴＰのリクエストに基づいてＷｅｂサーバ１２からＤＢサーバ１３へ送信されたＳＱＬの問い合わせに基づいてＤＢサーバ１３により実行されたＳＱＬ処理の識別子（ＳＱＬの種類）を取得する。そして、キャプチャサーバ１０は、取得したｋｅｙおよびｖａｌｕｅと、ＳＱＬの種類とを対応付けて記憶する。そして、キャプチャサーバ１０は、記憶内容に基づいて、ｋｅｙおよびｖａｌｕｅごとのＤＢサーバ１３により実行されるＳＱＬ処理の割合を算出する。そして、キャプチャサーバ１０は、算出した割合に対応するｋｅｙおよびｖａｌｕｅに対するＨＴＴＰのリクエストに含まれるｋｅｙおよびｖａｌｕｅの類似度を算出する。続いて、キャプチャサーバ１０は、算出された類似度に基づいて、ＤＢサーバ１３により実行されるＳＱＬ処理に対応するｋｅｙ、または、ｋｅｙおよびｖａｌｕｅを特定する。このように、キャプチャサーバ１０は、人の作業を発生させずに、処理によって名寄せを行う。また、キャプチャサーバ１０は、ｋｅｙにｖａｌｕｅが設定されていない場合でも、ｋｅｙ単位で名寄せを行うことができる。したがって、キャプチャサーバ１０によれば、精度良く名寄せを行うことができる。

さて、これまで開示の装置に関する実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。

例えば、実施例１では、第一のテーブル２３ｂに登録された内容を正規化し、正規化した結果を第二のテーブル２３ｃに登録する場合について例示したが、開示の装置はこれに限定されない。開示の装置は、第一のテーブル２３ｂに登録する前に、第一のテーブル２３ｂに登録する内容の正規化を行い、正規化を行った結果を第一のテーブル２３ｂに登録することができる。これにより、開示の装置は、記憶部２３に記憶されるデータ量を削減することができる。

また、実施例１では、ＤＢサーバ１３で実行される処理の種類の切り分けを行うためのパラメータを特定する場合について例示したが、開示の装置はこれに限定されない。例えば、開示の装置は、ＤＢサーバ１３の代わりにアプリケーションサーバで実行される処理の切り分けを行うためのパラメータを特定することができる。この場合、開示の装置は、アプリケーションサーバで実行されたコマンドを識別するための識別子をアプリケーションサーバから受信することで、パラメータを特定することができる。

また、実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともできる。また、本実施例において説明した各処理のうち、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。

また、各種の負荷や使用状況などに応じて、各実施例において説明した各処理の各ステップでの処理を任意に細かくわけたり、あるいはまとめたりすることができる。また、ステップを省略することもできる。

また、各種の負荷や使用状況などに応じて、各実施例において説明した各処理の各ステップでの処理の順番を変更できる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的状態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

［分析プログラム］
また、上記の実施例で説明したキャプチャサーバ１０の各種の処理は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータシステムで実行することによって実現することもできる。そこで、以下では、図１２を用いて、上記の実施例で説明したキャプチャサーバ１０と同様の機能を有する分析プログラムを実行するコンピュータの一例を説明する。図１２は、分析プログラムを実行するコンピュータを示す図である。

図１２に示すように、コンピュータ３００は、ＣＰＵ（Central Processing Unit）３１０、ＲＯＭ（Read Only Memory）３２０、ＨＤＤ（Hard Disk Drive）３３０、ＲＡＭ（Random Access Memory）３４０を有する。また、コンピュータ３００は、通信インタフェース３５０を有する。これら３１０〜３５０の各符号が示す各装置は、バス３６０を介して接続される。

通信インタフェース３５０は、通信を行うためのインタフェースである。通信インタフェース３５０は、Ｉ／Ｆ２１に対応する。

ＲＯＭ３２０には、ＯＳなどの基本プログラムが記憶されている。また、ＲＯＭ３２０には、上記の実施例で示す格納部２４ａと、算出部２４ｂと、特定部２４ｃと、報知制御部２４ｄと同様の機能を発揮する分析プログラム３２０ａが予め記憶される。なお、分析プログラム３２０ａについては、適宜分離しても良い。また、ＨＤＤ３３０には、ペアリスト、第一のテーブル〜第五のテーブルが設けられる。これらペアリスト、第一のテーブル〜第五のテーブルは、上述したペアリスト２３ａ、第一のテーブル２３ｂ〜第五のテーブル２３ｆに対応する。

そして、ＣＰＵ３１０が、分析プログラム３２０ａをＲＯＭ３２０から読み出して実行する。

そして、ＣＰＵ３１０は、ペアリスト、第一のテーブル〜第五のテーブルを読み出してＲＡＭ３４０に格納する。さらに、ＣＰＵ３１０は、ＲＡＭ３４０に格納されたペアリスト、第一のテーブル〜第五のテーブルを用いて、分析プログラム３２０ａを実行する。なお、ＲＡＭ３４０に格納される各データは、常に全てのデータがＲＡＭ３３０に格納されなくともよい。処理に用いられるデータがＲＡＭ３４０に格納されれば良い。

なお、上記した分析プログラム３２０ａについては、必ずしも最初からＲＯＭ３２０に記憶させておく必要はない。

例えば、コンピュータ３００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」にプログラムを記憶させておく。そして、コンピュータ３００がこれらからプログラムを読み出して実行するようにしてもよい。

さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ３００に接続される「他のコンピュータ（またはサーバ）」などにプログラムを記憶させておく。そして、コンピュータ３００がこれらからプログラムを読み出して実行するようにしてもよい。

１０ キャプチャサーバ
２３ 記憶部
２３ａ ペアリスト
２３ｂ 第一のテーブル
２３ｃ 第二のテーブル
２３ｄ 第三のテーブル
２３ｅ 第四のテーブル
２３ｆ 第五のテーブル
２４ 制御部
２４ｂ 算出部
２４ｃ 特定部

Claims (5)

1. 第一の装置から第二の装置へ送信された第一のリクエストに含まれるパラメータの種類および該パラメータの値と、前記第一のリクエストに基づいて前記第二の装置から第三の装置へ送信された第二のリクエストに基づいて前記第三の装置により実行された処理の識別子とを対応付けて記憶する記憶部と、
   前記記憶部の記憶内容に基づいて、前記パラメータの種類および値ごとの前記第三の装置により実行される処理の割合を算出し、算出した割合に対応するパラメータの種類および値に対する前記第一のリクエストに含まれるパラメータの種類および値の類似度を算出する算出部と、
   前記算出部により算出された類似度に基づいて、前記第三の装置により実行される処理に対応するパラメータの種類、または、パラメータの種類および値を特定する特定部と、
   を有することを特徴とする分析装置。
2. 前記算出部は、前記パラメータの種類ごとに、前記類似度の第一の平均値および第一の標準偏差を算出するとともに、前記パラメータの種類および値ごとに、前記類似度の第二の平均値および第二の標準偏差を算出し、
   前記特定部は、前記第一の平均値および第一の標準偏差並びに前記第二の平均値および第二の標準偏差に基づいて、前記第三の装置により実行される処理に対応するパラメータの種類、または、パラメータの種類および値を特定する
   ことを特徴とする請求項１に記載の分析装置。
3. 前記記憶部は、前記第一の装置から前記第二の装置へ送信された第一のリクエストに含まれるＵＲＬ、パラメータの種類および値と、前記第二のリクエストに基づいて前記第三の装置により実行された処理の識別子とを対応付けて記憶し、
   前記算出部は、前記記憶部の記憶内容に基づいて、前記ＵＲＬ並びにパラメータの種類および値ごとの前記第三の装置により実行される処理の割合を算出し、算出した割合に対応する前記ＵＲＬ並びにパラメータの種類および値に対する前記第一のリクエストに含まれるパラメータの種類および値の類似度を算出し、
   前記特定部は、前記算出部により算出された類似度に基づいて、前記第三の装置により実行される処理に対応するＵＲＬ、ＵＲＬおよびパラメータの種類、または、ＵＲＬ並びにパラメータの種類および値を特定する
   ことを特徴とする請求項１または２に記載の分析装置。
4. コンピュータに、
   第一の装置から第二の装置へ送信された第一のリクエストに含まれるパラメータの種類および該パラメータの値と、前記第一のリクエストに基づいて前記第二の装置から第三の装置へ送信された第二のリクエストに基づいて前記第三の装置により実行された処理の識別子とを対応付けて記憶する記憶部の記憶内容に基づいて、前記パラメータの種類および値ごとの前記第三の装置により実行される処理の割合を算出し、算出した割合に対応するパラメータの種類および値に対する前記第一のリクエストに含まれるパラメータの種類および値の類似度を算出し、
   算出された前記類似度に基づいて、前記第三の装置により実行される処理に対応するパラメータの種類、または、パラメータの種類および値を特定する
   各処理を実行させることを特徴とする分析プログラム。
5. コンピュータが実行する分析方法であって、
   第一の装置から第二の装置へ送信された第一のリクエストに含まれるパラメータの種類および該パラメータの値と、前記第一のリクエストに基づいて前記第二の装置から第三の装置へ送信された第二のリクエストに基づいて前記第三の装置により実行された処理の識別子とを対応付けて記憶する記憶部の記憶内容に基づいて、前記パラメータの種類および値ごとの前記第三の装置により実行される処理の割合を算出し、算出した割合に対応するパラメータの種類および値に対する前記第一のリクエストに含まれるパラメータの種類および値の類似度を算出し、
   算出された前記類似度に基づいて、前記第三の装置により実行される処理に対応するパラメータの種類、または、パラメータの種類および値を特定する
   各処理を実行することを特徴とする分析方法。

Images