JP2013526810A - ネットワークトラフィック分析方法、ネットワークトラフィック分析装置、コンピュータプログラム - Google Patents

Abstract

本発明の実施形態は、ネットワークトラフィックフローデータを漸次作図する装置、方法およびコンピュータプログラムを含む。その方法は、１つの例において、所定時間中のネットワークトラフィックフローデータのクエリをネットワークトラフィック分析装置で受信することを含む。また、その方法は、さらに、クエリを修正してその所定時間内の時間の異なる複数の部分にそれぞれ基づくサブクエリを生成することと、少なくとも１つのサブクエリを実行することと、サブクエリのそれぞれが完了したときにそれぞれの実行されたサブクエリの結果を徐々に増やして出力することとを含む。

Description

本発明の実施形態は、概して、ネットワークトラフィックの分析と記録に関する。より詳しくは、本発明の例は、ネットワークトラフィックフローデータを記録する方法、システムおよびコンピュータプログラムに関する。

ネットワークトラフィックフローデータは、ネットワーク管理者にとって、ネットワークへの新しいアプリケーションの影響を分析することや、ネットワークの痛点のトラブルシューティングを行うことや、帯域幅のヘビーユーザを見つけることや、ネットワークを守ることを含むいくつかの理由で、興味深い。トラフィックフローデータに関する初期のプロトコルは、シスコシステムズ（登録商標）によって開発されたＮｅｔＦｌｏｗである。フロープロトコルのいくつかの他の種類（例えばｓＦｌｏｗ、ＩＰＦＩＸ、Ｊｆｌｏｗ、ＮｅｔＳｔｒｅａｍおよびＣｆｌｏｗｄ）も存在する。すべてのこれらのプロトコルは、ＮｅｔＦｌｏｗと類似していて同じタイプの情報（例えば、送信元インターネットプロトコル（ＩＰ）アドレス、送信先ＩＰアドレス、送信元ポート、送信先ポート、ＩＰプロトコル、入口インターフェース、サービスのＩＰタイプ、開始時刻と終了時刻、バイト数、および、次のホップ）を含むフローをサポートする。

ネットワークがより大きくより複雑になってきているので、トラフィックフローデータを分析および記録するシステムは、ネットワークトラフィックについて発生し増加する情報を取り扱うことに関してより効率的にならなければならない。多くのネットワーク装置からデータを集めると、数十億ものエントリやフローを含むデータセットになることがある。その上、大きなサイズのデータセットに関するクエリ（問い合わせ）を記録し続けると、記憶システムやデータベースに重い負担をかけることがある。このデータオーバーフロー問題を解決する従来の方法は、記憶システムの主役であるハードウェアの量や質を改善することであった。

本発明の１つの実施形態は、方法に関してである。その方法は、所定時間中のネットワークトラフィックフローデータのクエリをネットワークトラフィック分析装置で受信することと、クエリを修正してその所定時間内の時間の異なる複数の部分にそれぞれ基づくサブクエリを生成することと、を含む。その方法は、さらに、少なくとも１つのサブクエリを実行することと、サブクエリのそれぞれが完了したときに、それぞれの実行されたサブクエリの結果を徐々に増やして出力することとを含む。

もう一つの実施形態は、装置に関してである。その装置は、所定時間を越えたネットワークトラフィックフローデータのクエリを受信するように構成された受信機と、プロセッサと、を含む。プロセッサは、装置を制御して、所定時間内の時間の異なる複数の部分にそれぞれ基づくサブクエリを生成し、少なくとも１つのサブクエリを実行し、そして、サブクエリのそれぞれが完了したときに、それぞれの実行されたサブクエリの結果を徐々に増やして出力するように、構成される。

もう一つの実施形態は、コンピュータで読取り可能な媒体で実現されるコンピュータプログラムに関してである。そのコンピュータプログラムは、プロセッサを制御し、所定時間中のネットワークトラフィックフローデータのクエリをネットワークトラフィック分析装置で受信することと、クエリを修正してその所定時間内の時間の異なる複数の部分にそれぞれ基づくサブクエリを生成することと、を含む処理を実行するように、構成される。その処理は、さらに、少なくとも１つのサブクエリを実行することと、サブクエリのそれぞれが完了したときに、それぞれの実行されたサブクエリの結果を徐々に増やして出力することとを含む。

もう一つの実施形態は、装置に関してである。その装置は、所定時間中のネットワークトラフィックフローデータのクエリをネットワークトラフィック分析装置で受信する受信手段と、クエリを修正してその所定時間内の時間の異なる複数の部分にそれぞれ基づくサブクエリを生成する修正手段と、を含む。その装置は、さらに、少なくとも１つのサブクエリを実行する実行手段と、サブクエリのそれぞれが完了したときに、それぞれの実行されたサブクエリの結果を徐々に増やして出力する出力手段とを含む。

本発明の適切な理解のために、添付図面が参照されるべきである。
１つの実施形態によるシステムを図示する。 本発明の典型的な実施形態による生成された最初のチャートを図示する。 本発明の実施形態による他のチャートを図示する。 １つの実施形態によるさらに他のチャートを図示する。 実施形態による完全なチャートを図示する。 １つの実施形態によるシステムを図示する。 １つの実施形態による典型的な方法を図示する。

本発明の実施形態は、ネットワークトラフィックフローデータを記録する方法、装置、システム、コンピュータプログラムを含む。応答性は、ネットワークトラフィックを記録する重要な側面である。記録を必要とするユーザは、一般に、それらの記録をリクエストするとき、緊急の目的を有している。これは、特に、ネットワーク管理領域で事実である。ネットワーク管理者は、ネットワークの状態を迅速に評価し、存在するあらゆる問題を処理する必要がある。ネットワーク管理者が監視する１つの重要な領域は、彼らのネットワークトラフィックである。ネットワークトラフィックデータは、しばしば、フロー内に隠れてしまう。複雑なネットワークは、非常に多くのフローを生み出す。圧倒的多数のフローがあるとき、ネットワークトラフィックについての記録をとることは難しいことがある。一回のクエリが完了するのに、数分または数時間かかることもある。ビジネスに重要なサービスがきちんと実行されていないと、この時間損失は組織にとって高い費用となることがある。本発明の実施形態は、ネットワーク管理者（ユーザ）に最も重要なデータを迅速に返すことによって、これらの問題を解決する。１つの例によると、最も重要なデータは、サービス、プロトコル、または、最多数の資源を消費しているエンティティ（一単位として扱われるデータのまとまり。実体）であると考えられる。

このように、本発明の実施形態は、細分化されたクエリが実行され、結果が返されたときに、チャートを徐々に増やして送ることによって、記録しているネットワークトラフィックフローの応答性を改善するシステムを含む。ある例では、ネットワークトラフィック分析装置は、スキャン（精査）することで適切なエンティティを探し、そのエンティティを記録する。いくつかの実施形態において、ネットワークトラフィック分析装置は、記録のために最も高い量のネットワーク帯域幅を消費しているネットワークエンティティを選ぶ。それから、ネットワークトラフィック分析装置は、最近の期間の各々のエンティティからデータを選ぶ。ネットワークトラフィック分析装置は、最初の期間を表すチャートを生成して送る。それから、ネットワークトラフィック分析装置は、次の最近の期間ごとにこのプロセスを繰り返す。その結果、記録しているネットワークトラフィックフローの最初の応答時間は、大幅に向上する。

図１は、１つの実施形態による典型的なシステムを図示する。システムは、ネットワークトラフィック分析装置１００、ネットワークトラフィックデータ記憶部１１０、および、端末装置１２０を含む。ネットワークトラフィックデータ記憶部１１０は、ネットワークトラフィックフローデータを格納する。ネットワークトラフィックデータ記憶部１１０は、データベース、または、他の任意の適切な記憶システムであってもよい。ユーザ（例えばネットワーク管理者）は、端末装置１２０を利用し、ネットワークトラフィック分析装置１００にリクエストやクエリを送ることができる。リクエストは、例えば、ネットワーク内の一つ以上のネットワークエンティティに関連したネットワークトラフィックフローデータについての記録の要求である場合がある。いくつかの実施形態において、リクエストは、ネットワーク管理者が興味を持っている所定数のネットワークエンティティや所定時間を示すこともある。

ネットワークトラフィック分析装置１００は、端末装置１２０からリクエストを受信し、スキャンすることで適切なエンティティを探し、そのエンティティを記録する。例えば、ユーザが最後の日におけるネットワーク上のトップ５人のトラフィック生成者であるエンティティについての記録をリクエストすると、ネットワークトラフィック分析装置１００はクエリをつくり、転送されたデータの合計によって命じられた最初の５つの結果を得る。それから、ネットワークトラフィック分析装置１００は、どのエンティティがネットワーク上で最も多くのトラフィックを生じているかについて示す最初の応答を、端末装置１２０に送信する。これは、ネットワーク上の問題を発見することに興味を持っているユーザに即時のフィードバックを提供する最速の方法である。

次に、ネットワークトラフィック分析装置１００は、リクエストされた時間を表すチャートを徐々に増やして生成する。例えば、上の例を続けると、ネットワークトラフィック分析装置１００は、クエリを作ることから始める。そのクエリは、ネットワークトラフィックデータ記憶部１１０に送られる。そして、ネットワークトラフィック分析装置１００は、時間の最近の部分における以前に識別されたトップ５人のトラフィック生成者によって送信されるデータの総量を得る。この時間の部分（長さ）は、１時間、２時間、または、いかなる他の有効な時間でもよい。１つの例では、時間の部分は、ユーザによるリクエスト内に含まれた時間のうちのある部分である。したがって、いくつかの実施形態において、ネットワークトラフィック分析装置１００は、リクエストを修正し、リクエストされた時間の範囲内の時間部分をカバーする部分的なリクエストやサブクエリを生成できる。このように、ネットワークトラフィック分析装置１００は、より速くてより効率的な方法で、リクエストに対する徐々に増やしての結果を生成することができる（詳細は後記）。

ネットワークトラフィック分析装置１００から受信したクエリに応じて、ネットワークトラフィックデータ記憶部１１０は、クエリにより提供されたパラメータに従ってデータの総量を取得し、その取得した情報をネットワークトラフィック分析装置１００に返す。ネットワークトラフィックデータ記憶部１１０がクエリの結果を返すとき、ネットワークトラフィック分析装置１００は、クエリの結果を示すチャートのイメージまたはデータ表現を生成し、その最初の結果をユーザに送る。図２は、時間の徐々に増える最初の部分に関する漸増チャートの例を示す。チャート最新版は、端末装置１２０（クライアント側）で、または、ネットワークトラフィック分析装置１００（サーバ側）で、描かれるか、生成される。１つの実施形態において、最初の漸増チャートまたは結果は、完全なチャートに比べて、二倍以上速く供給される。

ネットワークトラフィック分析装置は、ネットワークトラフィックデータ記憶部１１０に対する問い合わせを続け、図３および図４で示すようなチャートに取り込まれているさらなる徐々に増やしての結果を生成する。特に、１つの実施形態によれば、プロセスは以降の時間の部分ごとに繰り返され、チャートが図５で示すように完成するまで、完成度のより高いチャートをユーザに対して繰り返し送る。

図６は、本発明の１つの実施形態を実行できるシステム１０のブロック図を図示する。システム１０は、システム１０の構成要素の間での情報通信のためのバス１２や他の通信メカニズムを含む。システム１０は、また、バス１２に結合し、情報を処理して指示や動作を実行するプロセッサ２２を含む。プロセッサ２２は、いかなる種類の一般的または所定目的のプロセッサであってもよい。システム１０は、さらに、プロセッサ２２によって実行される情報と指示を保存する記憶部１４を含む。記憶部１４は、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、静的記憶装置（例えば磁気ディスクや光学ディスク）、または、任意の種類の機械やコンピュータで読取り可能な媒体の任意の組合せから構成されていればよい。システム１０は、さらに、ネットワークへのアクセスを提供する通信装置２０（例えば、ネットワークインターフェイスカードや他の通信インターフェース）を含む。その結果、ユーザは、ネットワークや任意の他の手段を通じて、直接的または遠隔的に、システム１０を利用できる。

コンピュータで読取り可能な媒体は、プロセッサ２２によってアクセス可能な媒体であればよく、揮発性媒体と不揮発性媒体を含み、取り外し可能な媒体と取り外し不可の媒体を含み、通信媒体を含む。通信媒体は、コンピュータで読取り可能な指示、データ構造、プログラムモジュール、または、搬送波や他の搬送機構のような変調されたデータ信号における他のデータを含み、任意の情報供給媒体を含む。

プロセッサ２２は、さらに、バス１２を経由して、ユーザに情報（例えばネットワークトラフィック情報）を表示する表示部（例えば端末装置１２０の液晶ディスプレイ（ＬＣＤ））に結合される。キーボードとカーソルコントロール装置（例えばコンピュータマウス）は、さらに、バス１２に結合され、ユーザにシステム１０の利用を可能にする。プロセッサ２２と記憶部１４は、また、バス１２経由でデータベースシステム３０に結合され、このように、データベースシステム３０内に保存されている情報にアクセスし、その情報を取得することができる。１つの実施形態において、データベースシステム３０は、図１に図示されるネットワークトラフィックデータ記憶部１１０である。一つのデータベースだけが図６に図示されているが、任意の数のデータベースが所定の実施形態に従って使われてよい。

１つの実施形態において、記憶部１４は、プロセッサ２２によって実行されるとき、機能を発揮するソフトウェアモジュールを格納する。ソフトウェアモジュールは、オペレーティングシステム機能をシステム１０に与えるオペレーティングシステム１５を含んでいてもよい。記憶部は、また、ネットワークトラフィック分析モジュール１６を格納していてもよい。ネットワークトラフィック分析モジュール１６は、ネットワークトラフィックフロー記録の改善された応答性を通して、強化されたネットワークトラフィック分析法ソリューションを提供する。システム１０は、また、さらなる機能を提供する一つ以上の他機能モジュール１８を含んでいてもよい。

データベースシステム３０は、データベースサーバや任意の種類のデータベース（例えばリレイショナルデータベースやフラットファイルデータベース）を含んでよい。データベースシステム３０は、ネットワーク内の各々のエンティティのネットワークトラフィックフローに関連したデータ、および／または、システム１０やその関連するモジュールや構成要素に関連するデータを格納するものでよい。

所定の実施形態において、プロセッサ２２、ネットワークトラフィック分析モジュール１６、および、他機能モジュール１８は、別々の物理ユニットや論理ユニットとして実装されてもよいし、単一の物理ユニットや論理ユニットとして実装されてもよい。さらに、いくつかの実施形態において、プロセッサ２２、ネットワークトラフィック分析モジュール１６、および、他機能モジュール１８は、ハードウェアで、または、ハードウェアとソフトウェアの任意の適切な組合せとして、実装されればよい。

さらに、いくつかの実施形態において、システム１０は、所定時間中のネットワークトラフィックフローデータのクエリを受信するように構成された受信機を含んでもよい。一旦そのようなクエリが受信されると、プロセッサ２２は、システム１０を制御し、クエリを、所定時間内の時間の異なる複数の部分にそれぞれ基づくサブクエリに分割し、サブクエリの少なくとも１つを実行するように、構成される。一旦、サブクエリが実行され、その結果が戻されると、プロセッサ２２は、システム１０を制御し、サブクエリが完了したときに、すぐに徐々に増やしてのそのサブクエリの結果を出力する。１つの実施形態によると、プロセッサ２２は、さらに、システム１０を制御し、サブクエリの徐々に増やしての結果を示すグラフィックチャートを生成するように構成される。システム１０は、グラフィックチャートがクエリの完全な結果を表示するようにすべてのサブクエリが完了するまで、サブクエリを繰り返し実行し、徐々に増やしての出力を繰り返し実行するように、構成される。

上記のように、１つの例によれば、システム１０によって受け取られるクエリは、少なくとも１つのネットワークエンティティからのトラフィックフローデータに関するものである。いくつかの実施形態で、プロセッサ２２は、さらに、システム１０を制御し、複数のネットワークエンティティを記録のためにスキャンし、その複数のネットワークエンティティの中で最大量のデータを送信する少なくとも１つのネットワークエンティティを選び、記録するように構成される。所定の実施形態によると、システム１０は、例えば、ネットワーク内におけるすべてのネットワークエンティティの間で最大量のデータを送っている５つのネットワークエンティティを選べばよい。

図７に図示されるように、本発明の実施形態は、また、ネットワークトラフィックフロー情報を漸次作図する方法を含む。その方法は、所定時間中のネットワークトラフィックフローデータのクエリをネットワークトラフィック分析装置で受信するステップ７００を含む。その方法は、ステップ７１０で、クエリを修正し、所定時間内の時間の異なる複数の部分にそれぞれ基づくサブクエリを作成することを含む。その方法は、ステップ７２０で、少なくとも１つのサブクエリを実行することを含み、そして、ステップ７３０で、それぞれのサブクエリが完了したときに、それぞれの実行されたサブクエリの結果を徐々に増やして出力することを含む。その方法は、ステップ７４０で、すべてのサブクエリが完了するまで、徐々に増やしての出力を繰り返し実行することを含む。

１つの実施形態において、結果を徐々に増やして出力することは、サブクエリが完了したときに、サブクエリの結果をすぐに出力することを含む。さらに、いくつかの実施形態において、結果を徐々に増やして出力することは、サブクエリの徐々に増やしての結果を示すグラフィックチャートを生成することを含む。ネットワークトラフィック分析装置で受け取られるクエリは、少なくとも１つのネットワークエンティティからのトラフィックフローデータに関するであってもよい。また、１つの実施形態において、その方法は、記録する複数のネットワークエンティティをスキャンして、複数のネットワークエンティティ中で最大量のデータを送信する少なくとも１つのネットワークエンティティを選び、記録することをさらに含んでもよい。いくつかの実施形態において、ネットワークトラフィック分析装置は、記録のために最大量のデータを送る５つのネットワークエンティティを選んでもよい。

上記のコンピュータで読取り可能な媒体は、伝送線、コンパクトディスク、デジタルビデオディスク、磁気テープ、ベルヌーイドライブ、磁気ディスク、ホログラフィックのディスクやテープ、フラッシュメモリ、磁気抵抗メモリ、集積回路、あるいは、他のデジタル処理装置メモリデバイスによって、少なくとも部分的に表される。

記述された本発明の特徴、長所、特性は、一つ以上の実施形態における任意の適切な方法で組み合わせ可能である。当業者であれば、本発明が特定の実施形態の一つ以上の特別な特徴や利点なしで実践可能であると、認識する。他の例において、さらなる特徴や利点は、本発明のすべての実施形態に存在するわけではない所定の実施形態において、認められることもある。

したがって、当業者は、上記の本発明が、異なる順序の各ステップで実践可能であり、開示されているものと異なる構成におけるハードウェア要素で実践可能であり、また、実施形態が、任意の適切な方法で結合可能であると、容易に理解する。したがって、本発明はこれらの好ましい実施形態に基づいて記述されたが、本発明の趣旨および範囲の中であれば、所定の修正、バリエーション、代替構成が自明であることは、当業者にとって明らかである。したがって、本発明の境界や範囲を決定するために、添付された特許請求の範囲が参照されるべきである。

Claims (19)

1. ネットワークトラフィック分析装置は、
   所定時間中のネットワークトラフィックフローデータのクエリを受信し、
   前記クエリを修正して複数のサブクエリを生成し、その際、それぞれの前記サブクエリは、前記所定時間内の時間の異なる複数の部分に基づいており、
   少なくとも１つの前記サブクエリを実行し、
   それぞれの前記サブクエリが完了したときに、それぞれの実行された前記サブクエリの結果を徐々に増やして出力する
   ことを特徴とするネットワークトラフィック分析方法。
2. 前記ネットワークトラフィック分析装置は、
   前記サブクエリの結果を徐々に増やして出力する場合に、
   前記サブクエリが完了したときに、すぐに当該サブクエリの結果を出力する
   ことを特徴とする請求項１に記載のネットワークトラフィック分析方法。
3. 前記ネットワークトラフィック分析装置は、
   前記サブクエリの結果を徐々に増やして出力する場合に、
   前記サブクエリの徐々に増やしての結果を示すグラフィックチャートを生成する
   ことを特徴とする請求項１に記載のネットワークトラフィック分析方法。
4. 前記ネットワークトラフィック分析装置は、さらに、
   すべての前記サブクエリが完了するまで、前記徐々に増やしての出力を繰り返し実行する
   ことを特徴とする請求項１に記載のネットワークトラフィック分析方法。
5. 前記クエリは、少なくとも１つのネットワークエンティティからのトラフィックフローデータに関するものである
   ことを特徴とする請求項１に記載のネットワークトラフィック分析方法。
6. 前記ネットワークトラフィック分析装置は、さらに、
   記録する複数のネットワークエンティティをスキャンし、
   前記複数のネットワークエンティティの中で最大量のデータを送信する少なくとも１つのネットワークエンティティを選び、記録する
   ことを特徴とする請求項１に記載のネットワークトラフィック分析方法。
7. ネットワークトラフィック分析装置であって、
   所定時間中のネットワークトラフィックフローデータのクエリを受信するように構成された受信機と、
   前記クエリを修正し、所定時間内の時間の異なる複数の部分にそれぞれ基づく複数のサブクエリを生成し、
   少なくとも１つの前記サブクエリを実行し、
   前記サブクエリが完了したときに、実行された前記サブクエリの結果を徐々に増やして出力するように構成されたプロセッサと、
   ことを特徴とするネットワークトラフィック分析装置。
8. 前記プロセッサは、さらに、
   前記ネットワークトラフィック分析装置を制御して、
   前記サブクエリが完了したときに、すぐに当該サブクエリの結果を出力するように構成された
   ことを特徴とする請求項７に記載のネットワークトラフィック分析装置。
9. 前記プロセッサは、さらに、
   前記ネットワークトラフィック分析装置を制御して、
   前記サブクエリの徐々に増やしての結果を示すグラフィックチャートを生成するように構成された
   ことを特徴とする請求項７に記載のネットワークトラフィック分析装置。
10. 前記プロセッサは、さらに、
    前記ネットワークトラフィック分析装置を制御して、
    すべての前記サブクエリが完了するまで、前記徐々に増やしての出力を繰り返し実行するように構成された
    ことを特徴とする請求項７に記載のネットワークトラフィック分析装置。
11. 前記クエリは、少なくとも１つのネットワークエンティティからのトラフィックフローデータに関するものである
    ことを特徴とする請求項７に記載のネットワークトラフィック分析装置。
12. 前記プロセッサは、さらに、
    前記ネットワークトラフィック分析装置を制御して、
    記録する複数のネットワークエンティティをスキャンし、
    前記複数のネットワークエンティティの中で最大量のデータを送信する少なくとも１つのネットワークエンティティを選び、記録するように構成された
    ことを特徴とする請求項７に記載のネットワークトラフィック分析装置。
13. コンピュータで読取り可能な媒体で実現されるコンピュータプログラムであって、
    コンピュータのプロセッサを、ネットワークトラフィック分析装置において、
    所定時間中のネットワークトラフィックフローデータのクエリを受信し、
    前記クエリを修正し、前記所定時間内の時間の異なる複数の部分にそれぞれ基づく複数のサブクエリを生成し、
    少なくとも１つの前記サブクエリを実行し、
    前記サブクエリが完了したときに、実行された前記サブクエリの結果を徐々に増やして出力する
    ように機能させるためのコンピュータプログラム。
14. 前記コンピュータのプロセッサを、
    前記サブクエリが完了したときに、すぐに当該サブクエリの結果を出力する
    ように機能させるための請求項１３に記載のコンピュータプログラム。
15. 前記コンピュータのプロセッサを、
    前記サブクエリの結果を徐々に増やして出力する場合に、
    前記サブクエリの徐々に増やしての結果を示すグラフィックチャートを生成する
    ように機能させるための請求項１３に記載のコンピュータプログラム。
16. 前記コンピュータのプロセッサを、さらに、
    すべての前記サブクエリが完了するまで、前記徐々に増やしての出力を繰り返し実行する
    ように機能させるための請求項１３に記載のコンピュータプログラム。
17. 前記クエリは、少なくとも１つのネットワークエンティティからのトラフィックフローデータに関するものである
    ことを特徴とする請求項１３に記載のコンピュータプログラム。
18. 前記コンピュータのプロセッサを、さらに、
    記録する複数のネットワークエンティティをスキャンし、
    前記複数のネットワークエンティティの中で最大量のデータを送信する少なくとも１つのネットワークエンティティを選び、記録する
    ように機能させるための請求項１３に記載のコンピュータプログラム。
19. ネットワークトラフィック分析装置であって、
    所定時間中のネットワークトラフィックフローデータのクエリを受信する手段と、
    前記クエリを修正し、所定時間内の時間の異なる複数の部分にそれぞれ基づく複数のサブクエリを生成する手段と、
    少なくとも１つの前記サブクエリを実行する手段と、
    前記サブクエリが完了したときに、実行された前記サブクエリの結果を徐々に増やして出力する手段と、を備える
    ことを特徴とするネットワークトラフィック分析装置。