JP2016031749A - パケット監視装置、パケット監視方法及びパケット監視プログラム - Google Patents

Abstract

【課題】計数対象ではないリクエストの数を適切に除外して、計数対象のリクエストを正確に計数する。
【解決手段】パケット監視装置１０は、パケットの送信元の情報と宛先の情報との組合せに対応付けて、送信元の情報及び宛先の情報を含むパケットを取得した時刻である取得時刻と、カウンタ値とを格納する記憶部と、第１パケットを取得した場合、第１パケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻を記憶部から特定し、取得時刻から第１パケットを取得した時刻までの時間が所定時間より短いという条件満たされるか判定する判定部１０１と、条件を満たされると判定部により判定された場合、記憶部に格納されており且つ第１パケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられているカウンタ値を所定値増やす管理部とを有する。
【選択図】図３

Description

本発明は、パケット監視装置、パケット監視方法及びパケット監視プログラムに関する。

ＥＣ（Electronic Commerce）サイトの運営者は、ＥＣサイトに掲載されたどの商品及びサービスにユーザが注目しているかに関心がある。ユーザの注目度を表す指標の一つに、商品等を表示するウェブページに対するアクセスの数（ページビューとも呼ばれる）がある。ＥＣサイトの運営者は、計数されたアクセス数に応じて、例えば商品等の販売戦略を考え直す、ウェブページのデザインを変更する、及びサーバの数を変更する等の対応を行う。

アクセス数は、例えば、ユーザが操作する端末がウェブコンテンツ等を提供するウェブサーバに送信したリクエストの数を計数することによって求められる。或る文献においては、ユーザ端末とウェブサーバとの間で通信を中継する負荷分散装置によってリクエストの数が計数される。ただし、単純にリクエストの数を計数するだけでは、アクセス数がユーザの注目度を適切に反映しない場合がある。

例えば図１に示すように、ユーザがマウスをクリックすることで画面上のウィンドウ１０００内の領域１００１を選択し、ウィンドウ１０００の内容を切り替える場合を考える。通常は、ユーザが領域１００１を１回クリックすると、１つのリクエストがユーザ端末からウェブサーバに送信され、累計のアクセス数は１インクリメントされる。

但し、ユーザが意図せずに２回以上クリックする場合、及びウィンドウ１０００の内容が切り替わるまでに時間がかかるためユーザが何度もクリックする場合等もある。このような場合、ユーザの注目度は先の例と変わらないにも関わらず、ユーザがクリックした回数と同数のリクエストがウェブサーバに送信され、累計のアクセス数はユーザがクリックした回数の分だけインクリメントされることになる。上記文献は、このような問題には着目していない。

特開２００３−２４２１１０号公報

従って、本発明の目的は、１つの側面では、計数対象ではないリクエストの数を適切に除外して、計数対象のリクエストを正確に計数するための技術を提供することである。

本発明に係るパケット監視装置は、パケットを取得する取得部と、パケットの送信元の情報と宛先の情報との組合せに対応付けて、当該送信元の情報及び当該宛先の情報を含むパケットを取得部が最後に取得した時刻である取得時刻と、第１のカウンタの値とを格納するデータ格納部と、取得部が第１のパケットを取得した場合、第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻をデータ格納部から特定し、当該取得時刻から取得部が第１のパケットを取得した時刻までの時間が所定時間より短いという第１の条件を第１のパケットが満たすか判定する判定部と、第１のパケットが第１の条件を満たすと判定部により判定された場合、データ格納部に格納されており且つ第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている第１のカウンタの値を所定値増やすデータ管理部とを有する。

１つの側面では、計数対象ではないリクエストの数を適切に除外して、計数対象のリクエストを正確に計数できるようになる。

図１は、ＥＣサイトの一例を示す図である。 図２は、本実施の形態のシステム概要を示す図である。 図３は、監視装置の機能ブロック図である。 図４は、時間データ格納部に格納されるデータの一例を示す図である。 図５は、監視テーブル格納部に格納される監視テーブルの一例を示す図である。 図６は、リクエストテーブル格納部に格納されるリクエストテーブルの一例を示す図である。 図７は、監視装置がリクエストを取得した場合に実行する処理の処理フローを示す図である。 図８は、基準時間について説明するための図である。 図９は、基準時間について説明するための図である。 図１０は、監視装置がリクエストを取得した場合に実行する処理の処理フローを示す図である。 図１１は、監視テーブル及びリクエストテーブルの状態の遷移について説明するための図である。 図１２は、監視テーブル及びリクエストテーブルの状態の遷移について説明するための図である。 図１３は、監視テーブル及びリクエストテーブルの状態の遷移について説明するための図である。 図１４は、監視テーブル及びリクエストテーブルの状態の遷移について説明するための図である。 図１５は、監視テーブル及びリクエストテーブルの状態の遷移について説明するための図である。 図１６は、監視テーブル及びリクエストテーブルの状態の遷移について説明するための図である。 図１７は、監視テーブル及びリクエストテーブルの状態の遷移について説明するための図である。 図１８は、監視テーブル及びリクエストテーブルの状態の遷移について説明するための図である。 図１９は、監視テーブル及びリクエストテーブルの状態の遷移について説明するための図である。 図２０は、監視装置の出力部が実行する処理の処理フローを示す図である。 図２１は、コンピュータの機能ブロック図である。

図２に、本実施の形態のシステム概要を示す。データセンタ１に設けられたスイッチ１２には、ウェブサーバ１１と、本実施の形態の主要な処理を実行する監視装置１０と、ルータ１３とが接続される。ルータ１３は、例えばインターネットであるネットワーク３に接続される。ネットワーク３には、ユーザ端末５が接続される。

ユーザ端末５は、ウェブサーバ１１に処理の実行を要求するリクエストを、ウェブサーバ１１宛に送信する。ユーザ端末５が送信したリクエストはネットワーク３を経由してルータ１３に到達する。ルータ１３は、受信したリクエストをスイッチ１２に転送する。スイッチ１２は、ルータ１３から受信したリクエストをウェブサーバ１１に転送する。スイッチ１２はミラーポートを有しており、ウェブサーバ１１に転送したリクエストのコピーがミラーポートから監視装置１０に転送される。

図３に、監視装置１０の機能ブロック図を示す。監視装置１０は、パケットキャプチャ部１００と、判定部１０１と、データ管理部１０２と、時間データ格納部１０３と、監視テーブル格納部１０４と、リクエストテーブル格納部１０５と、出力部１０６とを含む。

パケットキャプチャ部１００は、スイッチ１２がミラーポートから転送したリクエストを取得し、取得したリクエスト及びリクエストを取得した時刻（以下、取得時刻と呼ぶ）を判定部１０１に出力する。判定部１０１は、時間データ格納部１０３に格納されたデータ及び監視テーブル格納部１０４に格納されたデータを用いて処理を実行し、処理結果をデータ管理部１０２に出力する。データ管理部１０２は、判定部１０１から受け取った処理結果に基づき、監視テーブル格納部１０４に格納されたデータ及びリクエストテーブル格納部１０５に格納されたデータを更新する。出力部１０６は、リクエストテーブル格納部１０５に格納されたデータを読み出し、例えば表示装置等に出力する。

図４に、時間データ格納部１０３に格納されるデータの一例を示す。図４の例では、プロトコルの識別子と、基準時間を示す情報とが格納される。基準時間については後で詳細に説明する。なお、図４ではＨＴＴＰ（HyperText Transfer Protocol）、ＦＴＰ（File Transfer Protocol）及びＳＳＨ（Secure SHell）しか示されていないが、取り扱うプロトコルはこれらのプロトコル以外のプロトコルであってもよい。

図５に、監視テーブル格納部１０４に格納される監視テーブルの一例を示す。図５の例では、送信元ＩＰアドレスと、宛先ＩＰアドレスと、プロトコルの識別子と、基準時間内のリクエストの数と、基準時間外のリクエストの数と、ＵＲＩ（Uniform Resource Identifier）と、前回の取得時刻とが格納される。

図６に、リクエストテーブル格納部１０５に格納されるリクエストテーブルの一例を示す。図６の例では、ＵＲＩと、基準時間内のリクエストの数と、基準時間外のリクエストの数と、有効リクエスト比とが格納される。有効リクエスト比は、（基準時間外のリクエストの数）／（（基準時間内のリクエストの数）＋（基準時間外のリクエストの数））によって算出される。

次に、図７乃至図２０を用いて、監視装置１０の動作について説明する。まず、図７乃至図１９を用いて、監視装置１０がリクエストを取得した場合に実行する処理について説明する。

パケットキャプチャ部１００は、スイッチ１２がミラーポートから転送したリクエストを取得し（図７：ステップＳ１）、取得したリクエスト及び取得時刻を判定部１０１に出力する。

判定部１０１は、パケットキャプチャ部１００から受け取ったリクエストから、送信元ＩＰアドレス、宛先ＩＰアドレス、ＵＲＩ及びプロトコルの識別子を抽出する（ステップＳ３）。

判定部１０１は、ステップＳ３において抽出された送信元ＩＰアドレス、宛先ＩＰアドレス、ＵＲＩ及びプロトコルの識別子を含むリクエストのエントリが監視テーブルに有るか判定する（ステップＳ５）。

ステップＳ３において抽出された送信元ＩＰアドレス、宛先ＩＰアドレス、ＵＲＩ及びプロトコルの識別子を含むリクエストのエントリが監視テーブルに無い場合（ステップＳ５：Ｎｏルート）、判定部１０１は、判定の結果をデータ管理部１０２に通知する。

これに応じ、データ管理部１０２は、ステップＳ３において抽出された送信元ＩＰアドレス、宛先ＩＰアドレス、ＵＲＩ及びプロトコルの識別子を含むエントリを監視テーブルに追加する（ステップＳ７）。ステップＳ７において、データ管理部１０２は、「前回の取得時刻」の欄にステップＳ１において取得されたパケットの取得時刻を設定し、「基準時間内のリクエストの数」の欄及び「基準時間外のリクエストの数」の欄に０を設定する。

データ管理部１０２は、監視テーブルにおける「基準時間外のリクエストの数」を１インクリメントする（ステップＳ９）。そしてステップＳ２１の処理に移行する。

一方、ステップＳ３において抽出された送信元ＩＰアドレス、宛先ＩＰアドレス、ＵＲＩ及びプロトコルの識別子を含むリクエストのエントリ（以下、処理対象のエントリと呼ぶ）が監視テーブルに有る場合（ステップＳ５：Ｙｅｓルート）、判定部１０１は、ステップＳ１１の処理を実行する。具体的には、判定部１０１は、処理対象のエントリに含まれるプロトコルの識別子に対応する基準時間を時間データ格納部１０３から特定する（ステップＳ１１）。

判定部１０１は、処理対象のエントリにおける「前回の取得時刻」からステップＳ１において取得されたパケットの取得時刻までの時間が、ステップＳ１１において特定された基準時間より短いか判定する（ステップＳ１３）。

図８及び図９を用いて、基準時間について説明する。図８及び図９においては、横軸が時間を表す。図８におけるＲ１乃至Ｒ３は同一のリクエストであり、図９におけるＲ４乃至Ｒ６は同一のリクエストである。

図８において、Ｒ２はＲ１が取得された時刻から基準時間が経過する前に取得されたので、Ｒ２は基準時間内のリクエストである。また、Ｒ３はＲ２が取得された時刻から基準時間が経過する前に取得されたので、Ｒ３は基準時間内のリクエストである。Ｒ２及びＲ３は、ユーザが意図せずに２回以上クリックしたこと、或いはウィンドウの内容が切り替わるまでに時間がかかるためユーザが何度もクリックしたこと等が原因で送信された可能性があるので、通常のリクエストとは区別して取り扱われる。

一方、図９において、Ｒ５はＲ４が取得された時刻から基準時間が経過した後に取得されたので、Ｒ５は基準時間外のリクエストである。また、Ｒ６はＲ５が取得された時刻から基準時間が経過した後に取得されたので、Ｒ６は基準時間外のリクエストである。Ｒ５及びＲ６は、ユーザがクリックをしてページを閲覧した後に元のページに戻り、もう一度閲覧するために再度クリックをした場合等に送信されたリクエストである可能性がある。そのため、Ｒ５及びＲ６は通常のリクエストとして取り扱われる。

図７の説明に戻り、処理対象のエントリにおける「前回の取得時刻」からステップＳ１において取得されたパケットの取得時刻までの時間が、ステップＳ１１において特定された基準時間より短い場合（ステップＳ１３：Ｙｅｓルート）、判定部１０１は、判定の結果をデータ管理部１０２に通知する。

これに応じ、データ管理部１０２は、処理対象のエントリにおける「基準時間内のリクエストの数」を１インクリメントする（ステップＳ１５）。

データ管理部１０２は、処理対象のエントリに含まれるＵＲＩを含むエントリをリクエストテーブルにおいて特定し、特定されたエントリにおける「基準時間内のリクエストの数」を１インクリメントする（ステップＳ１７）。処理は端子Ａを介して図１０のステップＳ２３の処理に移行する。

一方、処理対象のエントリにおける「前回の取得時刻」からステップＳ１において取得されたパケットの取得時刻までの時間が、ステップＳ１１において特定された基準時間より短くない場合（ステップＳ１３：Ｎｏルート）、判定部１０１は、判定の結果をデータ管理部１０２に通知する。

これに応じ、データ管理部１０２は、処理対象のエントリにおける「基準時間外のリクエストの数」を１インクリメントする（ステップＳ１９）。

データ管理部１０２は、処理対象のエントリに含まれるＵＲＩを含むエントリをリクエストテーブルにおいて特定し、特定されたエントリにおける「基準時間外のリクエストの数」を１インクリメントする（ステップＳ２１）。処理は端子Ａを介して図１０のステップＳ２３の処理に移行する。

図１０の説明に移行し、データ管理部１０２は、ステップＳ１１において特定されたエントリにおける「有効リクエスト比」を更新する（ステップＳ２３）。上で述べたように、有効リクエスト比は、（基準時間外のリクエストの数）／（（基準時間内のリクエストの数）＋（基準時間外のリクエストの数））によって算出される。

データ管理部１０２は、処理対象のエントリにおける「前回の取得時刻」を、ステップＳ１において取得されたパケットの取得時刻で更新する（ステップＳ２５）。そして処理を終了する。

以上のような処理を実行すれば、基準時間内のリクエストの数が取り除かれたリクエスト数（すなわち、基準時間外のリクエストの数）がわかるので、ＥＣサイトの運営者等はより適切な対応を行えるようになる。

なお、有効アクセス比の数値が所定の基準値より低い場合、例えばウェブページの表示に時間がかかるという問題が発生している可能性がある。そのため、ＥＣサイトの運営者は処理性能を改善するためＣＰＵの数を増やす等の対応を行う。

ここで、監視テーブル及びリクエストテーブルの状態の遷移について具体例を用いて説明する。

例えば図１１に示すような状況を考える。図１１においては、横軸が時間を表し、Ｒ１１とＲ１２が同じリクエストであり、Ｒ１３とＲ１４が同じリクエストであるとする。Ｒ１１は２１分２４秒に取得され、Ｒ１２は２１分２５秒に取得され、Ｒ１３は２５分２４秒に取得され、Ｒ１４は２５分３０秒に取得された。Ｒ１１の取得より前にはリクエストを取得しなかったとする。

例えばステップＳ１において取得されたリクエストが図１１のＲ１１である場合には、ステップＳ７において図１２の監視テーブルの４行目に示すようなエントリが追加され、ステップＳ９において「基準時間外のリクエストの数」が１インクリメントされる。また、ステップＳ２１において、図１３に示すように、リクエストテーブルにおける「基準時間外のリクエストの数」が１インクリメントされる。

例えばステップＳ１において取得されたリクエストが図１１のＲ１２である場合には、図１４に示すように監視テーブルが更新される。具体的には、ステップＳ１５において４行目エントリにおける「基準時間内のリクエストの数」が１インクリメントされ、ステップＳ２５において「前回の取得時刻」が２１分２５秒に変更される。また、ステップＳ１７において、図１５に示すように、リクエストテーブルにおける「基準時間内のリクエストの数」が１インクリメントされる。

例えばステップＳ１において取得されたリクエストが図１１のＲ１３である場合には、ステップＳ７において図１６の監視テーブルの４行目に示すようなエントリが追加され、ステップＳ９において「基準時間外のリクエストの数」が１インクリメントされる。また、ステップＳ２１において、図１７に示すように、リクエストテーブルにおける「基準時間外のリクエストの数」が１インクリメントされる。

例えばステップＳ１において取得されたリクエストが図１１のＲ１４である場合には、図１８に示すように監視テーブルが更新される。具体的には、ステップＳ１９において４行目エントリにおける「基準時間外のリクエストの数」が１インクリメントされ、ステップＳ２５において「前回の取得時刻」が２５分３０秒に変更される。また、ステップＳ２１において、図１９に示すように、リクエストテーブルにおける「基準時間外のリクエストの数」が１インクリメントされる。

次に、図２０を用いて、監視装置１０の出力部１０６が実行する処理について説明する。

まず、出力部１０６は、ユーザからＵＲＩの指定を受け付ける。そして、出力部１０６は、指定されたＵＲＩに対応付けられている基準時間内のリクエストの数、基準時間外のリクエストの数、及び有効アクセス比をリクエストテーブル格納部１０５から読み出す（図２０：ステップＳ３１）。

出力部１０６は、ステップＳ３１において読み出された基準時間内のリクエストの数、基準時間外のリクエストの数、及び有効アクセス比を表示装置等に出力する（ステップＳ３３）。そして処理を終了する。

以上のような処理を実行すれば、監視装置１０のユーザは、指定したＵＲＩについてリクエストの状況を知ることができるようになる。

以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上で説明した監視装置１０の機能ブロック構成は実際のプログラムモジュール構成に一致しない場合もある。

また、上で説明した各テーブルの構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ処理の順番を入れ替えることも可能である。さらに、並列に実行させるようにしても良い。

なお、プロトコルの識別子をＵＲＩから取得できる場合には、監視テーブルにプロトコルの識別子を設けなくてもよい。

なお、ステップＳ５においては送信元ＩＰアドレス、宛先ＩＰアドレス、ＵＲＩ及びプロトコルの識別子を使用しているが、これらの情報を全て用いなくてもよい。例えば、送信元ＩＰアドレス及び宛先ＩＰアドレスでリクエストが同一か否か判定できる場合には、送信元ＩＰアドレス及び宛先ＩＰアドレスを使用すればよい。

なお、上で述べた監視装置１０、ウェブサーバ１１及びユーザ端末５は、コンピュータ装置であって、図２１に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

以上述べた本発明の実施の形態をまとめると、以下のようになる。

本実施の形態の第１の態様に係るパケット監視装置は、（Ａ）パケットを取得する取得部と、（Ｂ）パケットの送信元の情報と宛先の情報との組合せに対応付けて、当該送信元の情報及び当該宛先の情報を含むパケットを取得部が最後に取得した時刻である取得時刻と、第１のカウンタの値とを格納するデータ格納部と、（Ｃ）取得部が第１のパケットを取得した場合、第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻をデータ格納部から特定し、当該取得時刻から取得部が第１のパケットを取得した時刻までの時間が所定時間より短いという第１の条件を第１のパケットが満たすか判定する判定部と、（Ｄ）第１のパケットが第１の条件を満たすと判定部により判定された場合、データ格納部に格納されており且つ第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている第１のカウンタの値を所定値増やすデータ管理部とを有する。

或るパケットが送信されてから所定時間が経過する前に同じパケットが送信された場合、後者のパケットは誤り等によって送信された可能性があるため、通常のパケットとは区別して取り扱われるべきである。上で述べたようにすれば、第１の条件を満たすパケットの数は第１のカウンタの値に反映されるので、計数対象ではないパケットの数を適切に除外して、計数対象のリクエストを正確に計数できるようになる。

また、上で述べたデータ格納部は、（ｂ１）パケットの送信元の情報と宛先の情報との組合せに対応付けて第２のカウンタの値をさらに格納してもよい。そして、上で述べたデータ管理部は、（ｄ１）第１のパケットが第１の条件を満たさないと判定部により判定された場合、データ格納部に格納されており且つ第１のパケットに含まれる送信元の情報及び宛先の情報の組合せに対応付けられている第２のカウンタの値を所定値増やしてもよい。このようにすれば、有効なパケットの数は第２のカウンタの値に反映されるようになる。

また、（Ｅ）ＵＲＩ（Uniform Resource Identifier）に対応付けて第３のカウンタの値を格納する第２データ格納部をさらに有してもよい。そして、上で述べたデータ管理部は、（ｄ２）第１のパケットが第１の条件を満たすと判定部により判定された場合、第２データ格納部に格納されており且つ第１のパケットに含まれるＵＲＩに対応付けられている第３のカウンタの値を所定値増やしてもよい。このようにすれば、除外すべきパケットの数をＵＲＩ毎に評価できるようになる。

また、上で述べた第２データ格納部は、ＵＲＩに対応付けて第４のカウンタの値を格納してもよい。そして、上で述べたデータ管理部は、（ｄ３）第１のパケットが第１の条件を満たさないと判定部により判定された場合、第２データ格納部に格納されており且つ第１のパケットに含まれるＵＲＩに対応付けられている第４のカウンタの値を所定値増やしてもよい。このようにすれば、有効なパケットの数をＵＲＩ毎に評価できるようになる。

また、上で述べたデータ管理部は、（ｄ４）第４のカウンタの値を、第３のカウンタの値と第４のカウンタの値との和で除した値を算出してもよい。このようにすれば、有効なパケットの割合がわかるので、適切な対策を行えるようになる。

また、上で述べたデータ格納部は、（ｂ２）パケットの送信元の情報及び宛先の情報の組合せ並びにＵＲＩに対応付けて取得時刻を格納してもよい。そして、上で述べた判定部は、（ｃ１）取得部が第１のパケットを取得した場合、第１のパケットに含まれる送信元の情報及び宛先の情報並びにＵＲＩに対応付けられている取得時刻を特定してもよい。ＵＲＩを使用するプロトコルである場合には、同一パケットである確度を高めることができるようになる。

また、上で述べた判定部は、（ｃ２）第１のパケットに含まれる送信元の情報及び宛先の情報の組合せがデータ格納部に無い場合、第１のパケットに含まれる送信元の情報及び宛先の情報の組合せに対応付けて、第１のパケットを取得した時刻と第１のカウンタの初期値とをデータ格納部に格納してもよい。このようにすれば、送信元の情報及び宛先の情報の組合せが同じパケットを再度受信した場合にも対処できるようになる。

また、上で述べた判定部は、（ｃ３）第１のパケットに含まれるプロトコルの識別子に応じて、所定時間を変更してもよい。このようにすれば、例えば所定時間が長すぎる或いは短すぎることが原因で適切な結果が得られなくなるのを抑制できるようになる。

また、上で述べたデータ管理部は、（ｄ５）第１のパケットに含まれる送信元の情報及び宛先の情報の組合せに対応付けられている取得時刻を取得部が第１のパケットを取得した時刻に変更してもよい。このようにすれば、次回に取得したパケットを適切に処理できるようになる。

また、上で述べた所定値は１であってもよい。

また、上で述べたパケットは要求パケットであってもよい。

本実施の形態の第２の態様に係るパケット監視方法は、（Ｆ）第１のパケットを取得した場合、パケットの送信元の情報と宛先の情報との組合せに対応付けて、当該送信元の情報及び当該宛先の情報を含むパケットを最後に取得した時刻である取得時刻と、第１のカウンタの値とを格納するデータ格納部から、第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻を特定し、（Ｇ）特定された取得時刻から第１のパケットを取得した時刻までの時間が所定時間より短いという第１の条件を第１のパケットが満たすか判定し、（Ｈ）第１のパケットが第１の条件を満たすと判定部により判定された場合、データ格納部に格納されており且つ第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている第１のカウンタの値を所定値増やす処理を含む。

なお、上記方法による処理をコンピュータに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
パケットを取得する取得部と、
パケットの送信元の情報と宛先の情報との組合せに対応付けて、当該送信元の情報及び当該宛先の情報を含むパケットを前記取得部が最後に取得した時刻である取得時刻と、第１のカウンタの値とを格納するデータ格納部と、
前記取得部が第１のパケットを取得した場合、前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻を前記データ格納部から特定し、当該取得時刻から前記取得部が前記第１のパケットを取得した時刻までの時間が所定時間より短いという第１の条件を前記第１のパケットが満たすか判定する判定部と、
前記第１のパケットが前記第１の条件を満たすと前記判定部により判定された場合、前記データ格納部に格納されており且つ前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている第１のカウンタの値を所定値増やすデータ管理部と、
を有するパケット監視装置。

（付記２）
前記データ格納部は、
パケットの送信元の情報と宛先の情報との組合せに対応付けて第２のカウンタの値をさらに格納し、
前記データ管理部は、
前記第１のパケットが前記第１の条件を満たさないと前記判定部により判定された場合、前記データ格納部に格納されており且つ前記第１のパケットに含まれる送信元の情報及び宛先の情報の組合せに対応付けられている第２のカウンタの値を所定値増やす
付記１記載のパケット監視装置。

（付記３）
ＵＲＩ（Uniform Resource Identifier）に対応付けて第３のカウンタの値を格納する第２データ格納部
をさらに有し、
前記データ管理部は、
前記第１のパケットが前記第１の条件を満たすと前記判定部により判定された場合、前記第２データ格納部に格納されており且つ前記第１のパケットに含まれるＵＲＩに対応付けられている第３のカウンタの値を所定値増やす
付記１又は２記載のパケット監視装置。

（付記４）
前記第２データ格納部は、
ＵＲＩに対応付けて第４のカウンタの値を格納し、
前記データ管理部は、
前記第１のパケットが前記第１の条件を満たさないと前記判定部により判定された場合、前記第２データ格納部に格納されており且つ前記第１のパケットに含まれるＵＲＩに対応付けられている第４のカウンタの値を所定値増やす
付記３記載のパケット監視装置。

（付記５）
前記データ管理部は、
前記第４のカウンタの値を、前記第３のカウンタの値と前記第４のカウンタの値との和で除した値を算出する
付記４記載のパケット監視装置。

（付記６）
前記データ格納部は、
パケットの送信元の情報及び宛先の情報の組合せ並びにＵＲＩに対応付けて前記取得時刻を格納し、
前記判定部は、
前記取得部が第１のパケットを取得した場合、前記第１のパケットに含まれる送信元の情報及び宛先の情報並びにＵＲＩに対応付けられている取得時刻を特定する
付記１記載のパケット監視装置。

（付記７）
前記判定部は、
前記第１のパケットに含まれる送信元の情報及び宛先の情報の組合せが前記データ格納部に無い場合、前記第１のパケットに含まれる送信元の情報及び宛先の情報の組合せに対応付けて、前記第１のパケットを取得した時刻と前記第１のカウンタの初期値とを前記データ格納部に格納する
付記１記載のパケット監視装置。

（付記８）
前記判定部は、
前記第１のパケットに含まれるプロトコルの識別子に応じて、前記所定時間を変更する
付記１記載のパケット監視装置。

（付記９）
前記データ管理部は、
前記第１のパケットに含まれる送信元の情報及び宛先の情報の組合せに対応付けられている取得時刻を前記取得部が前記第１のパケットを取得した時刻に変更する
付記１記載のパケット監視装置。

（付記１０）
前記所定値は１である
付記１記載のパケット監視装置。

（付記１１）
前記パケットは要求パケットである
付記１記載のパケット監視装置。

（付記１２）
第１のパケットを取得した場合、パケットの送信元の情報と宛先の情報との組合せに対応付けて、当該送信元の情報及び当該宛先の情報を含むパケットを最後に取得した時刻である取得時刻と、第１のカウンタの値とを格納するデータ格納部から、前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻を特定し、
特定された前記取得時刻から前記第１のパケットを取得した時刻までの時間が所定時間より短いという第１の条件を前記第１のパケットが満たすか判定し、
前記第１のパケットが前記第１の条件を満たすと前記判定部により判定された場合、前記データ格納部に格納されており且つ前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている第１のカウンタの値を所定値増やす
処理をコンピュータが実行するパケット監視方法。

（付記１３）
第１のパケットを取得した場合、パケットの送信元の情報と宛先の情報との組合せに対応付けて、当該送信元の情報及び当該宛先の情報を含むパケットを最後に取得した時刻である取得時刻と、第１のカウンタの値とを格納するデータ格納部から、前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻を特定し、
特定された前記取得時刻から前記第１のパケットを取得した時刻までの時間が所定時間より短いという第１の条件を前記第１のパケットが満たすか判定し、
前記第１のパケットが前記第１の条件を満たすと前記判定部により判定された場合、前記データ格納部に格納されており且つ前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている第１のカウンタの値を所定値増やす
処理をコンピュータに実行させるためのパケット監視プログラム。

１ データセンタ ３ ネットワーク
５ ユーザ端末 １０ 監視装置
１１ ウェブサーバ １２ スイッチ
１３ ルータ
１００ パケットキャプチャ部 １０１ 判定部
１０２ データ管理部 １０３ 時間データ格納部
１０４ 監視テーブル格納部 １０５ リクエストテーブル格納部
１０６ 出力部
１０００ ウィンドウ １００１ 領域

Claims (10)

1. パケットを取得する取得部と、
   パケットの送信元の情報と宛先の情報との組合せに対応付けて、当該送信元の情報及び当該宛先の情報を含むパケットを前記取得部が最後に取得した時刻である取得時刻と、第１のカウンタの値とを格納するデータ格納部と、
   前記取得部が第１のパケットを取得した場合、前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻を前記データ格納部から特定し、当該取得時刻から前記取得部が前記第１のパケットを取得した時刻までの時間が所定時間より短いという第１の条件を前記第１のパケットが満たすか判定する判定部と、
   前記第１のパケットが前記第１の条件を満たすと前記判定部により判定された場合、前記データ格納部に格納されており且つ前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている第１のカウンタの値を所定値増やすデータ管理部と、
   を有するパケット監視装置。
2. 前記データ格納部は、
   パケットの送信元の情報と宛先の情報との組合せに対応付けて第２のカウンタの値をさらに格納し、
   前記データ管理部は、
   前記第１のパケットが前記第１の条件を満たさないと前記判定部により判定された場合、前記データ格納部に格納されており且つ前記第１のパケットに含まれる送信元の情報及び宛先の情報の組合せに対応付けられている第２のカウンタの値を所定値増やす
   請求項１記載のパケット監視装置。
3. ＵＲＩ（Uniform Resource Identifier）に対応付けて第３のカウンタの値を格納する第２データ格納部
   をさらに有し、
   前記データ管理部は、
   前記第１のパケットが前記第１の条件を満たすと前記判定部により判定された場合、前記第２データ格納部に格納されており且つ前記第１のパケットに含まれるＵＲＩに対応付けられている第３のカウンタの値を所定値増やす
   請求項１又は２記載のパケット監視装置。
4. 前記第２データ格納部は、
   ＵＲＩに対応付けて第４のカウンタの値を格納し、
   前記データ管理部は、
   前記第１のパケットが前記第１の条件を満たさないと前記判定部により判定された場合、前記第２データ格納部に格納されており且つ前記第１のパケットに含まれるＵＲＩに対応付けられている第４のカウンタの値を所定値増やす
   請求項３記載のパケット監視装置。
5. 前記データ管理部は、
   前記第４のカウンタの値を、前記第３のカウンタの値と前記第４のカウンタの値との和で除した値を算出する
   請求項４記載のパケット監視装置。
6. 前記データ格納部は、
   パケットの送信元の情報及び宛先の情報の組合せ並びにＵＲＩに対応付けて前記取得時刻を格納し、
   前記判定部は、
   前記取得部が第１のパケットを取得した場合、前記第１のパケットに含まれる送信元の情報及び宛先の情報並びにＵＲＩに対応付けられている取得時刻を特定する
   請求項１記載のパケット監視装置。
7. 前記判定部は、
   前記第１のパケットに含まれる送信元の情報及び宛先の情報の組合せが前記データ格納部に無い場合、前記第１のパケットに含まれる送信元の情報及び宛先の情報の組合せに対応付けて、前記第１のパケットを取得した時刻と前記第１のカウンタの初期値とを前記データ格納部に格納する
   請求項１記載のパケット監視装置。
8. 前記判定部は、
   前記第１のパケットに含まれるプロトコルの識別子に応じて、前記所定時間を変更する
   請求項１記載のパケット監視装置。
9. 第１のパケットを取得した場合、パケットの送信元の情報と宛先の情報との組合せに対応付けて、当該送信元の情報及び当該宛先の情報を含むパケットを最後に取得した時刻である取得時刻と、第１のカウンタの値とを格納するデータ格納部から、前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻を特定し、
   特定された前記取得時刻から前記第１のパケットを取得した時刻までの時間が所定時間より短いという第１の条件を前記第１のパケットが満たすか判定し、
   前記第１のパケットが前記第１の条件を満たすと前記判定部により判定された場合、前記データ格納部に格納されており且つ前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている第１のカウンタの値を所定値増やす
   処理をコンピュータが実行するパケット監視方法。
10. 第１のパケットを取得した場合、パケットの送信元の情報と宛先の情報との組合せに対応付けて、当該送信元の情報及び当該宛先の情報を含むパケットを最後に取得した時刻である取得時刻と、第１のカウンタの値とを格納するデータ格納部から、前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている取得時刻を特定し、
    特定された前記取得時刻から前記第１のパケットを取得した時刻までの時間が所定時間より短いという第１の条件を前記第１のパケットが満たすか判定し、
    前記第１のパケットが前記第１の条件を満たすと前記判定部により判定された場合、前記データ格納部に格納されており且つ前記第１のパケットに含まれる送信元の情報と宛先の情報との組合せに対応付けられている第１のカウンタの値を所定値増やす
    処理をコンピュータに実行させるためのパケット監視プログラム。

Images