JP2018137590A - パケット解析プログラム、パケット解析方法、およびパケット解析装置 - Google Patents

Abstract

【課題】ユーザが体感する通信品質の解析精度の向上を図ること。【解決手段】パケット解析装置１００は、ネットワーク上で通信された複数のパケットをコネクションごとに分類する。パケット解析装置１００は、分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションとコネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループとの少なくともいずれかを特定する。パケット解析装置１００は、複数のパケットのうち、特定した複数のコネクションと複数のコネクショングループとの少なくともいずれかにおいて通信されたパケット以外のパケットに基づいて、ネットワークの通信品質を解析する。【選択図】図１

Description

本発明は、パケット解析プログラム、パケット解析方法、およびパケット解析装置に関する。

従来、解析装置が、ミラーリングを用いてクライアント装置とサーバ装置との間を流れるパケットをキャプチャして蓄積し、蓄積したパケットに基づいてクライアント装置とサーバ装置との間の通信品質を解析する技術がある。

先行技術としては、例えば、第１メッセージと第２メッセージとの組ごとに、第１メッセージおよび第２メッセージそれぞれの受信時刻とサイズと送信元情報と送信先情報と、を対応付けた履歴情報から、いずれかの組を削除するものがある。また、例えば、ユーザの通信品質についての記憶性と通信行動との対応関係を分析する技術がある。また、例えば、トランザクションモデルに合致するプロトコルログによりトランザクションの処理状態を分析する技術がある。

特開２０１６−１４６５８８号公報 特開２０１６−０９２５８３号公報 特開２００６−０１１６８３号公報

しかしながら、蓄積したパケットにはユーザの操作入力とは無関係なパケットも含まれているため、従来技術ではユーザが体感する通信品質を精度よく解析することが難しい。

１つの側面では、本発明は、ユーザが体感する通信品質の解析精度の向上を図ることができるパケット解析プログラム、パケット解析方法、およびパケット解析装置を提供することを目的とする。

１つの実施態様によれば、ネットワーク上で通信された複数のパケットをコネクションごとに分類し、分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクション、およびコネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループを特定し、前記複数のパケットのうち、特定した前記複数のコネクション、および特定した前記複数のコネクショングループにおいて通信されたパケット以外のパケットに基づいて、前記ネットワークの通信品質を解析するパケット解析プログラム、パケット解析方法、およびパケット解析装置が提案される。

本発明の一態様によれば、ユーザが体感する通信品質の解析精度の向上を図ることができるという効果を奏する。

図１は、実施の形態にかかるパケット解析方法の一実施例を示す説明図である。 図２は、パケット解析システム２００の一例を示す説明図である。 図３は、パケット解析装置１００のハードウェア構成例を示すブロック図である。 図４は、パケット解析装置１００の機能的構成例を示すブロック図である。 図５は、コネクション開始時刻に周期性を有する複数のコネクションの一例を示す説明図である。 図６は、コネクション開始時刻に周期性を有する複数のコネクションの具体例を示す説明図である。 図７は、コネクション開始時刻に周期性を有する複数のコネクションを特定する一例を示す説明図（その１）である。 図８は、コネクション開始時刻に周期性を有する複数のコネクションを特定する一例を示す説明図（その２）である。 図９は、コネクション開始時刻に周期性を有する複数のコネクションを特定する一例を示す説明図（その３）である。 図１０は、コネクション開始時刻に周期性を有する複数のコネクションを特定する一例を示す説明図（その４）である。 図１１は、コネクション開始時刻に周期性を有する複数のコネクションを特定する一例を示す説明図（その５）である。 図１２は、コネクション開始時刻に周期性を有する複数のコネクションを特定する一例を示す説明図（その６）である。 図１３は、コネクション開始時刻に周期性を有する複数のコネクションを特定する一例を示す説明図（その７）である。 図１４は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループの一例を示す説明図である。 図１５は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループの具体例を示す説明図である。 図１６は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その１）である。 図１７は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その２）である。 図１８は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その３）である。 図１９は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その４）である。 図２０は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その５）である。 図２１は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その６）である。 図２２は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その７）である。 図２３は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その８）である。 図２４は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その９）である。 図２５は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図（その１０）である。 図２６は、パケット解析装置１００の出力例を示す説明図である。 図２７は、解析処理手順の一例を示すフローチャート（その１）である。 図２８は、解析処理手順の一例を示すフローチャート（その２）である。

以下に、図面を参照して、本発明にかかるパケット解析プログラム、パケット解析方法、およびパケット解析装置の実施の形態を詳細に説明する。

（実施の形態にかかるパケット解析方法の一実施例）
図１は、実施の形態にかかるパケット解析方法の一実施例を示す説明図である。パケット解析装置１００は、クライアント装置１１０とサーバ装置１２０との間を流れる複数のパケットに基づいて、クライアント装置１１０のユーザが体感する通信品質を解析するコンピュータである。クライアント装置１１０は、サーバ装置１２０が提供するサービスを利用するコンピュータである。サーバ装置１２０は、サービスを提供するコンピュータである。

サービスは、クライアント装置１１０とサーバ装置１２０との間にコネクションを生成し、クライアント装置１１０との間でパケットを送受信する何らかの機能である。サービスは、例えば、メールサーバの機能である。サービスは、例えば、サーバＩＰアドレス、サーバポート番号、クライアントＩＰアドレスの組み合わせで表現されるサービス特定情報で特定される。

蓄積されたパケットには、例えば、クライアント装置１１０のユーザの操作入力に応じて、クライアント装置１１０とサーバ装置１２０との間に生成されたコネクションにおいて送受信されたパケットが含まれる。このコネクションにおける応答時間が長いほど、ユーザの待ち時間が長くなり、ユーザが体感する通信品質は低下してしまう傾向がある。

例えば、ユーザが、クライアント装置１１０において受信メールの問い合わせボタンをクリックする場合がある。この場合、クライアント装置１１０と、メールサーバの機能を有するサーバ装置１２０との間にコネクションが生成される。このコネクションにおける応答時間が長くなると、受信メールの問い合わせ結果をユーザが参照可能になるまでにかかる待ち時間が長くなり、ユーザが体感する通信品質は低下してしまう。

また、蓄積されたパケットには、バックグラウンドにおいて、クライアント装置１１０とサーバ装置１２０との間に生成されたコネクションにおいて送受信された、ユーザの操作入力とは無関係なパケットが含まれる。このコネクションにおける応答時間が長くても、ユーザが体感する実際の通信品質は変化しない。

例えば、クライアント装置１１０が、メールサーバの機能を有するサーバ装置１２０に、定期的に受信メールの問い合わせを行う場合がある。この場合、クライアント装置１１０と、サーバ装置１２０との間に、ユーザが関与せずにコネクションが生成される。このコネクションにおける応答時間が長くなっても、ユーザが体感する実際の通信品質は低下しない。

上記の通り、蓄積したパケットには、ユーザの操作入力に関係するパケットとユーザの操作入力とは無関係なパケットとが含まれており、従来では、ユーザが体感する応答時間を解析する際に、ユーザの操作入力とは無関係なパケットも用いてしまう。このため、ユーザの操作入力とは無関係なパケットの応答時間が長くなったときに、解析して得られたユーザが体感する応答時間が、実際のユーザが体感する応答時間よりも長くなってしまうという問題がある。

これに対し、ユーザの操作入力と関係するパケットと、ユーザの操作入力とは無関係なパケットとを区別するためのルールを作成しておき、そのルールに基づいてパケットを識別したうえで、ユーザが体感する通信品質を解析する場合が考えられる。しかしながら、ネットワークの管理者に、予めルールを作成する負担をかけることになる。また、ネットワークの管理者に、クライアント装置１１０、サーバ装置１２０、ネットワークの状況に応じて、ルールを更新する負担をかけることになる。

ユーザが体感する通信品質を解析する他の方法として、アプリケーションレイヤであるレイヤ７について解析することにより、ユーザが体感する通信品質を解析する場合が考えられる。しかしながら、通信が暗号化されていると、レイヤ７について解析することができず、ユーザが体感する通信品質を解析することができない場合がある。

ユーザが体感する通信品質を解析する他の方法として、サーバ装置１２０のログ情報を収集し、収集したログ情報に基づいてユーザが体感する通信品質を解析する場合が考えられる。しかしながら、サーバ装置１２０が複数あったり、サーバ装置１２０が提供するサービスが複数あったりすると、ユーザが体感する通信品質の解析にかかる処理負担の増大化を招いてしまう。サービスごとに解析方法が異なると、さらに、ユーザが体感する通信品質の解析にかかる処理負担の増大化を招いてしまう。また、規約上、サーバ装置１２０のログ情報を収集することができない場合がある。

そこで、本実施の形態では、コネクションの生成タイミングに基づき、ユーザが体感する通信品質の解析に用いることが好ましくないパケットを除外することができるパケット解析方法について説明する。これによれば、パケット解析方法は、ユーザが体感する通信品質の解析精度の向上を図ることができる。

図１の例では、サーバ装置１２０のサービス１，２は、ユーザの操作入力に応じて、クライアント装置１１０とサーバ装置１２０との間にコネクションを生成し、ユーザの操作入力に対する応答をクライアント装置１１０に出力する機能であるとする。換言すれば、サービス１，２が生成したコネクションにおけるパケットは、ユーザが体感する通信品質解析に好ましいパケットである。

また、サーバ装置１２０のサービス３，４は、ユーザの操作入力によらず、一定時間ごとにクライアント装置１１０とサーバ装置１２０との間にコネクションを生成し、クライアント装置１１０と通信する機能であるとする。換言すれば、サーバ装置１２０のサービス３，４が生成したコネクションにおけるパケットは、ユーザが体感する通信品質解析に好ましくないパケットである。

パケット解析装置１００は、ネットワーク上で通信された複数のパケットをコネクションごとに分類する。パケット解析装置１００は、例えば、クライアント装置１１０と、サーバ装置１２０Ａやサーバ装置１２０Ｂやサーバ装置１２０Ｃなどを接続するネットワーク上のパケットをキャプチャし、蓄積する。

パケット解析装置１００は、キャプチャしたパケットの一部を、クライアント装置１１０とサーバ装置１２０Ａとの間に生成されたコネクションに対して分類する。また、パケット解析装置１００は、同様に、キャプチャしたパケットの一部を、クライアント装置１１０とサーバ装置１２０Ｂとの間に生成されたコネクションや、クライアント装置１１０とサーバ装置１２０Ｃとの間に生成されたコネクションに対して、分類する。

パケット解析装置１００は、分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションを特定する。パケット解析装置１００は、例えば、サーバ装置１２０の一定時間ごとに生成された複数のコネクションを、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションとして特定する。

また、パケット解析装置１００は、分類した結果に基づいて、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループを特定する。コネクショングループは、コネクションの生成タイミングが比較的近い２つ以上のコネクションをまとめたグループである。コネクショングループは、１つのコネクションだけを含むグループであってもよい。

パケット解析装置１００は、例えば、サーバ装置１２０のサービス４について一定時間ごとに生成された複数のコネクショングループを、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループとして特定する。

パケット解析装置１００は、複数のパケットのうち、特定した複数のコネクション、および特定した複数のコネクショングループにおいて通信されたパケット以外のパケットに基づいて、ネットワークの通信品質を解析する。

パケット解析装置１００は、例えば、キャプチャしたパケットから、特定した複数のコネクションや複数のコネクショングループにおけるパケット以外の、パケットを抽出する。パケット解析装置１００は、抽出したパケットに基づいて、平均応答時間やパケットロス数などのネットワークの通信品質を解析する。

パケット解析装置１００は、具体的には、サーバ装置１２０が提供するサービスごとに、ネットワークの通信品質を解析する。また、パケット解析装置１００は、コネクションごとに、ネットワークの通信品質を解析してもよい。

また、パケット解析装置１００は、クライアント装置１１０と、それぞれのサーバ装置１２０との間における、ネットワークの通信品質を解析してもよい。また、パケット解析装置１００は、クライアント装置１１０とサーバ装置１２０とを含むシステム全体における、ネットワークの通信品質を解析してもよい。

これにより、パケット解析装置１００は、キャプチャしたパケットから、ユーザが体感する通信品質を解析する際に用いることが好ましくないパケットを除外することができる。このため、パケット解析装置１００は、ユーザが体感する通信品質の解析精度の向上を図ることができる。

ここでは、パケット解析装置１００が、分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションを特定する。パケット解析装置１００は、例えば、サーバ装置１２０の一定時間ごとに生成された複数のコネクションを、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションとして特定する。

また、パケット解析装置１００は、分類した結果に基づいて、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループを特定する。コネクショングループは、コネクションの生成タイミングが比較的近い２つ以上のコネクションをまとめたグループである。コネクショングループは、１つのコネクションだけを含むグループであってもよい。

（パケット解析システム２００の一例）
次に、図２を用いて、図１に示したパケット解析装置１００を適用した、パケット解析システム２００の一例について説明する。

図２は、パケット解析システム２００の一例を示す説明図である。図２において、パケット解析システム２００は、パケット解析装置１００と、クライアント装置１１０と、サーバ装置１２０とを含む。パケット解析システム２００は、クライアント装置１１０を複数含んでもよい。パケット解析システム２００は、サーバ装置１２０を複数含んでもよい。

パケット解析システム２００において、クライアント装置１１０とサーバ装置１２０とは、有線または無線のネットワーク２１０を介して接続される。ネットワーク２１０は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどである。

パケット解析装置１００は、ネットワーク内に設けられたスイッチまたはＴＡＰなどの中継装置２２０を介して、クライアント装置１１０とサーバ装置１２０との間で通信されるパケットをキャプチャし、蓄積するコンピュータである。パケット解析装置１００は、蓄積したパケットに基づいて、ユーザが体感する通信品質の解析精度の向上を図る。パケット解析装置１００は、例えば、サーバやＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）である。

クライアント装置１１０は、サーバ装置１２０とのコネクションを生成し、サーバ装置１２０と通信するコンピュータである。クライアント装置１１０は、例えば、ユーザからの操作入力に応じて、サーバ装置１２０とのコネクションを生成し、サーバ装置１２０のサービスを利用することがある。クライアント装置１１０は、例えば、ユーザからの操作入力がなくても、バックグラウンドにおいて、サーバ装置１２０とのコネクションを生成し、サーバ装置１２０のサービスを利用することがある。クライアント装置１１０は、例えば、ＰＣ、ノートＰＣ、タブレット端末、スマートフォンなどである。

サーバ装置１２０は、クライアント装置１１０とのコネクションを生成し、クライアント装置１１０と通信するコンピュータである。サーバ装置１２０は、複数のサービスを有し、そのサービスをクライアント装置１１０に提供する。サーバ装置１２０は、例えば、サーバやＰＣである。

（パケット解析装置１００のハードウェア構成例）
次に、図３を用いて、パケット解析装置１００のハードウェア構成例について説明する。

図３は、パケット解析装置１００のハードウェア構成例を示すブロック図である。図３において、パケット解析装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ネットワークＩ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０３と、記録媒体Ｉ／Ｆ３０４と、記録媒体３０５とを有する。また、各構成部は、バス３００によってそれぞれ接続される。

ここで、ＣＰＵ３０１は、パケット解析装置１００の全体の制御を司る。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。

ネットワークＩ／Ｆ３０３は、中継装置２２０を通じてネットワーク２１０に接続される。そして、ネットワークＩ／Ｆ３０３は、中継装置２２０と内部とのインターフェースを司り、中継装置２２０からのデータの入出力を制御する。ネットワークＩ／Ｆ３０３には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

記録媒体Ｉ／Ｆ３０４は、ＣＰＵ３０１の制御に従って記録媒体３０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ３０４は、例えば、磁気ディスクドライブや光ディスクドライブである。記録媒体Ｉ／Ｆ３０４は、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポートであってもよい。記録媒体３０５は、記録媒体Ｉ／Ｆ３０４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体３０５は、例えば、磁気ディスクや光ディスクなどである。記録媒体３０５は、例えば、ＵＳＢメモリであってもよい。記録媒体３０５は、パケット解析装置１００から着脱可能であってもよい。記録媒体３０５は、実施の形態にかかるパケット解析プログラムを記憶してもよい。

パケット解析装置１００は、上述した構成部のほか、例えば、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）や半導体メモリを有してもよい。また、パケット解析装置１００は、上述した構成部のほか、例えば、キーボード、マウス、ディスプレイなどを有してもよい。また、パケット解析装置１００は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を有さなくてもよい。

（パケット解析装置１００の機能的構成例）
次に、図４を用いて、パケット解析装置１００の機能的構成例について説明する。

図４は、パケット解析装置１００の機能的構成例を示すブロック図である。パケット解析装置１００は、記憶部４１０と、受信部４２０と、分類部４３０と、処理部４４０とを含む。

記憶部４１０は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域によって実現される。受信部４２０〜処理部４４０は、制御部となる機能である。受信部４２０〜処理部４４０は、具体的には、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、ネットワークＩ／Ｆ３０３により、その機能を実現する。各機能部の処理結果は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶される。

記憶部４１０は、コネクションごとの基本情報４１１を記憶する。基本情報４１１は、キャプチャしたパケットを、コネクションごとに解析した結果である。基本情報４１１は、例えば、コネクションごとの平均応答時間やパケットロス数などを含む。これにより、記憶部４１０は、ユーザが体感する通信品質を解析する際に用いられる情報を記憶しておくことができる。

記憶部４１０は、サービスごとのコネクション比較情報４１２を記憶する。コネクション比較情報４１２は、あるサービスについての複数のコネクションが、コネクションの生成タイミングについてコネクション間またはコネクショングループ間で周期性を有するか否かを判定する際に用いられる情報である。

コネクション比較情報４１２は、例えば、図７〜図１３や図１６〜図２５に後述するテーブルである。コネクション比較情報４１２は、コネクションの生成タイミングについてコネクション間で周期性を有するか否かを判定する基準となる、周期コネクションフラグなどを含む。これにより、記憶部４１０は、処理部４４０にコネクション比較情報４１２を参照させることができる。

記憶部４１０は、周期情報４１３を記憶する。周期情報４１３は、処理部４４０が特定した、コネクションの生成タイミングについて、コネクション間で周期性を有する複数のコネクション、およびコネクショングループ間で周期性を有する複数のコネクショングループを示す情報である。これにより、記憶部４１０は、ユーザが体感する通信品質の解析に用いられる情報を記憶しておくことができる。

受信部４２０は、ネットワーク上で通信されたパケットをキャプチャする。受信部４２０は、例えば、第１の装置と第１の装置に複数の機能を提供する第２の装置とを接続するネットワーク上で通信されたパケットをキャプチャしてもよい。第１の装置は、クライアント装置１１０である。第２の装置は、サーバ装置１２０である。複数の機能は、サーバ装置１２０のサービスである。受信部４２０は、具体的には、中継装置２２０を介して、パケットをキャプチャする。これにより、受信部４２０は、分類部４３０にパケットを出力することができる。

分類部４３０は、受信部４２０がキャプチャしたパケットをコネクションごとに分類する。分類部４３０は、パケットを、サービス特定情報とコネクション特定情報とに基づいて、コネクションごとに分類する。サービス特定情報は、サーバＩＰアドレス、サーバポート番号、クライアントＩＰアドレスの組み合わせである。サーバポート番号は、サーバ装置１２０が提供するサービスを特定する番号である。コネクション特定情報は、クライアントポート番号である。これにより、分類部４３０は、ネットワーク上に、どのようなコネクションがあるかを特定することができる。

処理部４４０は、保存部４４１によって、分類部４３０が分類した結果を、記憶部４１０に記憶する。処理部４４０は、例えば、分類部４３０が分類した結果を、記憶部４１０の基本情報４１１に追加する。これにより、処理部４４０は、ユーザが体感する通信品質の解析に用いる情報を記憶しておくことができる。

処理部４４０は、比較部４４２によって、第１の装置と第２の装置とを接続するネットワーク上で通信されたパケットをコネクションごとに分類する。処理部４４０は、例えば、サービス特定情報に基づいて、複数のパケットをコネクションごとに分類し、分類した結果を記憶部４１０に記憶する。処理部４４０は、具体的には、コネクション比較情報４１２を生成し、記憶部４１０に記憶する。

処理部４４０は、判定部４４３によって、記憶部４１０を参照して、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションを特定する。また、処理部４４０は、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループを特定する。処理部４４０は、特定した結果を、記憶部４１０の周期情報４１３に追加する。

ここで、複数のコネクションのそれぞれのコネクションは、そのコネクションに分類したパケット群の各パケットのパケットサイズの合計値が第１の閾値以上になるコネクションであってもよい。処理部４４０は、例えば、あるサービスにおける複数のコネクションのうち、パケットサイズの合計値が第１の閾値以上になるパケット群を分類したコネクションを抽出する。そして、処理部４４０は、抽出した複数のコネクションが、コネクションの生成タイミングについてコネクション間で周期性を有するか否かを判定する。これにより、処理部４４０は、パケットサイズの合計値が比較的小さく、コネクション開始時刻に周期性を有するか否かを判定する際に用いられることが好ましくないコネクションを除外することができる。パケットサイズの合計値が比較的小さいコネクションは、例えば、コネクションが途中で途切れてしまった可能性があり、コネクション開始時刻に周期性を有するか否かの判定に対してノイズになる可能性がある。

ここで、複数のコネクショングループのそれぞれのコネクショングループは、そのコネクショングループに分類したパケット群の各パケットのパケットサイズの合計値が第２の閾値以上になるコネクショングループであってもよい。処理部４４０は、例えば、あるサービスにおける複数のコネクショングループのうち、パケットサイズの合計値が第２の閾値以上になるパケット群を分類したコネクショングループを抽出する。そして、処理部４４０は、抽出した複数のコネクショングループが、先頭コネクションの生成タイミングについてコネクショングループ間で周期性を有するか否かを判定する。先頭コネクションは、コネクショングループの先頭のコネクションである。これにより、処理部４４０は、パケットサイズの合計値が比較的小さく、先頭コネクションのコネクション開始時刻に周期性を有するか否かを判定する際に用いられることが好ましくないコネクショングループを除外することができる。パケットサイズの合計値が比較的小さいコネクショングループは、例えば、コネクションが途中で途切れてしまった可能性があり、先頭コネクションのコネクション開始時刻に周期性を有するか否かの判定に対してノイズになる可能性がある。

処理部４４０は、例えば、あるサービスにおける複数のコネクションのいずれかのコネクション間の生成タイミングの差分を基準にして誤差範囲を設定する。そして、処理部４４０は、そのサービスにおける複数のコネクションの各コネクション間の生成タイミングの差分が、設定した誤差範囲内であれば、コネクションの生成タイミングについてコネクション間で周期性を有すると判定する。これにより、処理部４４０は、周期的に生成される複数のコネクションのうち、いずれかのコネクションの生成タイミングにずれが生じていても、その複数のコネクションを特定することができる。

処理部４４０は、例えば、あるサービスにおける複数のコネクショングループのいずれかの先頭コネクション間の生成タイミングの差分を基準にして誤差範囲を設定する。そして、処理部４４０は、そのサービスにおける複数のコネクショングループの各先頭コネクション間の生成タイミングの差分が、設定した誤差範囲内であれば、先頭コネクションの生成タイミングについてコネクショングループ間で周期性を有すると判定する。これにより、処理部４４０は、周期的に先頭コネクションが生成される複数のコネクショングループのうち、いずれかの先頭コネクションの生成タイミングにずれが生じていても、その複数のコネクショングループを特定することができる。

ここで、コネクショングループは、各コネクション間の生成タイミングの差分が第３の閾値以下であればよい。これにより、処理部４４０は、コネクションの生成タイミングが比較的近い２つ以上のコネクションをまとめ、複数のコネクションとしては特定されない可能性がある、複数のコネクショングループを特定可能にすることができる。

処理部４４０は、複数のパケットのうち、特定した複数のコネクションと複数のコネクショングループとの少なくともいずれかにおいて通信されたパケット以外のパケットに基づいて、ネットワークの通信品質を解析する。通信品質は、例えば、平均応答時間やパケットロス数などである。

処理部４４０は、例えば、複数のパケットのうち、特定した複数のコネクションと複数のコネクショングループとの少なくともいずれかに対応する機能によって通信されたパケット以外のパケットに基づいて、ネットワークの通信品質を解析する。処理部４４０は、具体的には、特定した複数のコネクションと複数のコネクショングループとの少なくともいずれかが生成されたサービスにおいて通信されたパケット以外のパケットに基づいて、ネットワークの通信品質を解析する。これにより、処理部４４０は、ユーザが体感する通信品質の解析精度の向上を図ることができる。

処理部４４０は、解析した結果を出力する。出力形式は、例えば、ディスプレイへの表示、プリンタへの印刷出力、ネットワークＩ／Ｆ３０３による外部装置への送信、または、記憶部４１０への記憶である。これにより、処理部４４０は、ユーザが体感する通信品質を解析した結果を、ユーザやネットワークの管理者などに把握させることができる。

（パケット解析装置１００の第１の動作例）
次に、図５〜図１３を用いて、パケット解析装置１００の第１の動作例について説明する。第１の動作例は、パケット解析装置１００が、コネクション開始時刻に周期性を有する複数のコネクションにおいて通信されたパケットを、ユーザが体感する通信品質解析に好ましくないパケットとして特定する一例である。

まず、図５を用いて、ユーザの操作入力とは無関係であり、ユーザが体感する通信品質解析に好ましくないパケットを通信した、コネクション開始時刻に周期性を有する複数のコネクションの一例について説明する。

図５は、コネクション開始時刻に周期性を有する複数のコネクションの一例を示す説明図である。図５の例では、コネクション１１〜１４を示す。コネクション１１〜１４は、それぞれ、クライアント装置１１０からサーバ装置１２０への上り通信と、サーバ装置１２０からクライアント装置１１０への下り通信とを含む。図５の例では、上り通信は、クライアント装置１１０からサーバ装置１２０へと向かう矢印で示されている。下り通信は、サーバ装置１２０からクライアント装置１１０へと向かう矢印で示されている。

図５の例では、コネクション１１〜１４は、各コネクション間のコネクション開始時刻の差分が同一である。このため、コネクション１１〜１４は、コネクション開始時刻に周期性を有する複数のコネクションである。パケット解析装置１００は、コネクション１１〜１４について、各コネクション間のコネクション開始時刻の差分が同一であるか否かを判定する。そして、パケット解析装置１００は、同一であると判定すると、コネクション１１〜１４を、コネクション開始時刻に周期性を有する複数のコネクションとして特定する。

パケット解析装置１００は、例えば、コネクション１１〜１４について、各コネクション間のコネクション開始時刻の差分が所定範囲内である場合に、各コネクション間のコネクション開始時刻の差分が同一であると判定してもよい。パケット解析装置１００は、具体的には、コネクション１１，１２のコネクション開始時刻の差分を基準とする誤差範囲内に、コネクション１２，１３やコネクション１３，１４のコネクション開始時刻の差分が含まれる場合に、差分が同一であると判定する。

次に、図６を用いて、ユーザの操作入力とは無関係であり、ユーザが体感する通信品質解析に好ましくないパケットを通信した、コネクション開始時刻に周期性を有する複数のコネクションの具体例について説明する。

図６は、コネクション開始時刻に周期性を有する複数のコネクションの具体例を示す説明図である。図６では、例えば、クライアント装置１１０が、バックグラウンドにおいて、３０分間隔で、メールサーバ装置としての機能を有するサーバ装置１２０に、受信メールの問い合わせを送信する場合について示している。

図６では、具体的には、クライアント装置１１０とサーバ装置１２０とのコネクション開始時刻に対して、そのコネクションにおける上り通信の１分あたりのパケットサイズの合計値がグラフ上にプロットされている。また、同様に、クライアント装置１１０とサーバ装置１２０とのコネクション開始時刻に対して、そのコネクションにおける下り通信の１分あたりのパケットサイズの合計値がグラフ上にプロットされている。

図６に示すように、クライアント装置１１０とサーバ装置１２０との間において、３０分ごとに異なるコネクションが生成され、上り通信と下り通信とが発生している。これに対し、パケット解析装置１００は、３０分ごとに生成された複数のコネクションを、コネクション開始時刻に周期性を有する複数のコネクションとして特定することになる。これにより、パケット解析装置１００は、ユーザが体感する通信品質解析に好ましくないパケットを通信した、複数のコネクションを特定することができる。

また、図６に示すように、一部の期間６００では、クライアント装置１１０とサーバ装置１２０との間において、３０分間隔ではなく１時間間隔でコネクションが生成され、上り通信と下り通信とが発生する可能性もある。具体的には、例えば、クライアント装置１１０のエラーによって、クライアント装置１１０からの受信メールの問い合わせの送信が１回失敗した場合、１時間間隔でコネクションが生成されることになる。これに対し、パケット解析装置１００は、複数のコネクションのそれぞれのコネクションが３０分の倍数の間隔で生成されていれば、コネクション開始時刻に周期性を有する複数のコネクションとして特定することもできる。

次に、図７〜図１３を用いて、パケット解析装置１００が、図６に示したコネクション開始時刻に周期性を有する複数のコネクションを特定する一例について説明する。

図７〜図１３は、コネクション開始時刻に周期性を有する複数のコネクションを特定する一例を示す説明図である。図７〜図１３において、パケット解析装置１００は、複数のコネクションのそれぞれのコネクションで通信されるパケットをキャプチャする。パケットは、例えば、ＴＣＰパケットである。

パケット解析装置１００は、あるコネクションにおけるＳＹＮパケット（ＳＹＮｃｈｒｏｎｉｚｅ ｐａｃｋｅｔ）をキャプチャした場合、そのＳＹＮパケットをサービスおよびコネクションに分類する。そして、パケット解析装置１００は、そのコネクションに対応する新たなレコードを、サービスごとのコネクション比較情報４１２に追加する。

パケット解析装置１００は、あるコネクションにおいてＳＹＮパケットに続いて通信されるパケットをキャプチャした場合、そのパケットをサービスおよびコネクションに分類する。そして、パケット解析装置１００は、サービスごとのコネクション比較情報４１２のうち、そのコネクションに対応するレコードを更新する。

パケット解析装置１００は、１つのコネクションが比較的長く続く場合、１つのコネクションについてレコードを複数用いるようにしてもよい。パケット解析装置１００は、例えば、１つのコネクションについて単位期間ごとにレコードを追加し、そのコネクションのパケットに基づいて更新してもよい。単位期間は、予め設定される。単位期間は、例えば、１分間である。単位期間は、具体的には、ＳＹＮパケットのキャプチャから１分間であっても、パケット解析装置１００がＳＹＮパケットのキャプチャとは独立して測定する１分間であってもよい。

以下では、説明の簡略化のため、パケット解析装置１００が、特定の「サービス特定情報」を含む複数のパケットをキャプチャする場合について説明する。特定の「サービス特定情報」は、例えば、サーバＩＰアドレス「ｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘ」とサーバポート番号「１４３」とクライアントＩＰアドレス「ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」の組み合わせである。この場合、パケット解析装置１００は、特定の「サービス特定情報」によって特定されるサービスについて、コネクション比較情報４１２を生成する。

ここでは、パケット解析装置１００が、特定の「サービス特定情報」を含む複数のパケットをキャプチャした場合について説明するが、これに限らない。例えば、パケット解析装置１００は、種々の「サービス特定情報」のいずれかを含む、複数のパケットをキャプチャし、サービスごとにコネクション比較情報４１２を生成してもよい。

図７〜図１３の例では、コネクション比較情報４１２は、サービス特定情報と、コネクション特定情報と、コネクション開始時刻と、コネクションバイト数と、グループ番号と、グループバイト数と、周期コネクションフラグと、周期とのフィールドを有する。

サービス特定情報は、サーバＩＰアドレスと、サーバポート番号と、クライアントＩＰアドレスとの組み合わせである。サービス特定情報は、具体的には、例えば、「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス」の形式で示される。コネクション特定情報は、クライアントポート番号である。

コネクション開始時刻は、サービス特定情報とコネクション特定情報とによって特定されるコネクションの生成タイミングを示す時刻情報である。コネクション開始時刻は、例えば、そのコネクションの先頭パケットであるＳＹＮパケットの受信時刻である。コネクションバイト数は、サービス特定情報とコネクション特定情報とによって特定されるコネクションにおいて、ＳＹＮパケットに続いて単位期間あたりに通信されたパケットのパケットサイズの合計である。

グループ番号は、サービス特定情報とコネクション特定情報とによって特定されるコネクションが属するコネクショングループを特定する番号である。図７〜図１３の例では、パケット解析装置１００がコネクション単位で周期性を判定するため、１つのコネクショングループは１つのコネクションだけを含み、グループ番号はコネクションを特定する番号でもある。グループバイト数は、あるグループ番号が付与されたコネクションに対応するコネクションバイト数の合計である。

周期コネクションフラグは、コネクション間のコネクション開始時刻の差分を算出する対象になり、コネクション間のコネクション開始時刻について周期性があるか否かを判定する際に用いられるか否かを示すフラグである。周期コネクションフラグは、１であると、コネクション間のコネクション開始時刻について周期性があるか否かを判定する際に用いられることを示す。周期は、コネクション間のコネクション開始時刻の差分である。

サービス特定情報は、１つのコネクションに対して１以上のレコードを記憶してもよい。サービス特定情報は、例えば、１つのコネクションが複数の単位期間内に跨って続く場合には、単位期間ごとに、そのコネクションに対応するレコードを記憶してもよい。

図７において、パケット解析装置１００は、ＳＹＮパケットをキャプチャする。パケット解析装置１００は、ＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６２８８」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

以下の説明では、「クライアントポート番号＝５６２８８」によって特定されるコネクションを「１番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、１番目のコネクションに対応する１番目のレコード７０１を、サービスごとのコネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘ：１４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、１番目のレコード７０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６２８８」をコネクション特定情報として抽出し、１番目のレコード７０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ８：３８：１３」を、１番目のレコード７０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、ＳＹＮパケットに応じて生成された１番目のコネクションが、最初のコネクションであるため、「１」を１番目のレコード７０１の「グループ番号」に設定する。

以降、パケット解析装置１００は、１番目のコネクションが終了するまで、または、１番目のコネクションの開始後の１回目の単位期間が終了するまで、１番目のコネクションにおけるパケットをキャプチャする。パケット解析装置１００は、パケットをキャプチャすると、そのパケットのバイト数を１番目のレコード７０１の「コネクションバイト数」に累積する。

パケット解析装置１００は、１番目のコネクションが、１番目のコネクションの開始後の１回目の単位期間内に終了したため、１番目のコネクションに対しては１つのレコードだけを用いる。これにより、パケット解析装置１００は、１番目のコネクションに対応する１番目のレコード７０１を記憶することができる。次に、図８の説明に移行する。

図８において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６５６１」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、１番目のコネクションとはクライアントポート番号が異なるため、１番目のコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５６５６１」によって特定されるコネクションを「２番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たな２番目のコネクションに対応する２番目のレコード８０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘ：１４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、２番目のレコード８０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６５６１」をコネクション特定情報として抽出し、２番目のレコード８０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ９：０８：３１」を、２番目のレコード８０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、２番目のコネクションの１つ前に生成された１番目のコネクションと、２番目のコネクションとは、コネクション特定情報が異なり、異なるコネクションであるため、同じグループではないと判定する。そして、パケット解析装置１００は、１番目のコネクションに対応するレコード７０１のグループ番号「１」に１を加算した番号「２」を、２番目のレコード８０１の「グループ番号」に設定する。

また、パケット解析装置１００は、同じグループではないと判定した場合、グループ番号「２」の１つ前のグループ番号「１」に対応するコネクションが終了していれば、そのグループ番号「１」について「グループバイト数」を設定する。パケット解析装置１００は、例えば、グループ番号「１」に対応するコネクションバイト数の総和「１１１６９［ｂｙｔｅ］」を、グループ番号「１」に対応する先頭レコード７０１の「グループバイト数」に設定する。

また、パケット解析装置１００は、グループバイト数「１１１６９［ｂｙｔｅ］」が閾値「７０００［ｂｙｔｅ］」以上であるか否かを判定する。そして、パケット解析装置１００は、閾値以上であるため、「１」を、グループ番号「１」に対応する先頭レコード７０１の「周期コネクションフラグ」に設定する。

以降、パケット解析装置１００は、２番目のコネクションが終了するまで、または、２番目のコネクションの開始後の１回目の単位期間が終了するまで、２番目のコネクションにおけるパケットをキャプチャする。パケット解析装置１００は、パケットをキャプチャすると、そのパケットのバイト数を、２番目のレコード８０１の「コネクションバイト数」に累積する。ここでは、２番目のコネクションが、２番目のコネクションの開始後の１回目の単位期間内に終了しなかったとする。次に、図９の説明に移行する。

図９において、パケット解析装置１００は、２番目のコネクションが、２番目のコネクションの開始後の１回目の単位期間内に終了しなかったため、２番目のコネクションに対応する３番目のレコード９０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、２番目のレコード８０１と同じサービス特定情報を、３番目のレコード９０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、２番目のレコード８０１と同じコネクション特定情報を、３番目のレコード９０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、２番目のレコード８０１と同じ「受信時刻＝２０１６／５／２５ ９：０８：３１」を、３番目のレコード９０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、２番目のレコード８０１と、３番目のレコード９０１とが、同じコネクションに対応するため、同じグループであると判定する。そして、パケット解析装置１００は、２番目のレコード８０１のグループ番号「２」と同じ番号「２」を、３番目のレコード９０１の「グループ番号」に設定する。

以降、パケット解析装置１００は、２番目のコネクションが終了するまで、または、２番目のコネクションの開始後の２回目の単位期間が終了するまで、２番目のコネクションにおけるパケットをキャプチャする。パケット解析装置１００は、パケットをキャプチャすると、そのパケットのバイト数を、２番目のレコード８０１に代わり、３番目のレコード９０１の「コネクションバイト数」に累積する。

パケット解析装置１００は、２番目のコネクションが、２番目のコネクションの開始後の２回目の単位期間内に終了したため、２番目のコネクションに対しては２つのレコードを用いる。これにより、パケット解析装置１００は、２番目のコネクションについてのレコード８０１，９０１を記憶することができる。次に、図１０の説明に移行する。

図１０において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６７６９」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、２番目のコネクションとはクライアントポート番号が異なるため、２番目のコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５６７６９」によって特定されるコネクションを「３番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たな３番目のコネクションに対応する４番目のレコード１００１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘ：１４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、４番目のレコード１００１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６７６９」をコネクション特定情報として抽出し、４番目のレコード１００１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ９：３８：３１」を、４番目のレコード１００１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、３番目のコネクションの１つ前に生成された２番目のコネクションと、３番目のコネクションとは、コネクション特定情報が異なり、異なるコネクションであるため、同じグループではないと判定する。そして、パケット解析装置１００は、２番目のコネクションに対応するレコード９０１のグループ番号「２」に１を加算した番号「３」を、４番目のレコード１００１の「グループ番号」に設定する。

また、パケット解析装置１００は、同じグループではないと判定した場合、グループ番号「３」の１つ前のグループ番号「２」に対応するコネクションが終了していれば、そのグループ番号「２」について「グループバイト数」を設定する。パケット解析装置１００は、例えば、グループ番号「２」に対応するコネクションバイト数の総和「１６１３８［ｂｙｔｅ］」を、グループ番号「２」に対応する先頭レコード８０１の「グループバイト数」に設定する。

また、パケット解析装置１００は、グループバイト数「１６１３８［ｂｙｔｅ］」が閾値「７０００［ｂｙｔｅ］」以上であるか否かを判定する。そして、パケット解析装置１００は、閾値以上であるため、「１」を、グループ番号「２」に対応する先頭レコード８０１の「周期コネクションフラグ」に設定する。

パケット解析装置１００は、今回「周期コネクションフラグ」に「１」が設定されたレコード８０１よりも前に、「周期コネクションフラグ」に「１」が設定されたレコードがあるか否かを判定する。ここで、パケット解析装置１００は、レコード８０１よりも前に「周期コネクションフラグ」に「１」が設定されたレコードがあるため、前回「周期コネクションフラグ」に「１」が設定されたレコード７０１を選択する。

パケット解析装置１００は、選択したレコード７０１の「コネクション開始時刻」と、今回「周期コネクションフラグ」に「１」が設定されたレコード８０１の「コネクション開始時刻」との差分を算出する。そして、パケット解析装置１００は、算出した差分「０：３０：１８」を、レコード８０１の「周期」に設定する。

以降、パケット解析装置１００は、３番目のコネクションが終了するまで、または、３番目のコネクションの開始後の１回目の単位期間が終了するまで、３番目のコネクションにおけるパケットをキャプチャする。パケット解析装置１００は、パケットをキャプチャすると、そのパケットのバイト数を、４番目のレコード１００１の「コネクションバイト数」に累積する。

パケット解析装置１００は、３番目のコネクションが、３番目のコネクションの開始後の１回目の単位期間内に終了したため、３番目のコネクションに対しては１つのレコードだけを用いる。これにより、パケット解析装置１００は、３番目のコネクションについてのレコード１００１を記憶することができる。

さらに、パケット解析装置１００は、同様に、ＳＹＮパケットや、ＳＹＮパケットに続いて通信されるパケットをキャプチャし、５〜１１番目のレコードを、コネクション比較情報４１２に追加し、更新する。これにより、パケット解析装置１００は、４番目〜７番目のコネクションについて５〜１１番目のレコードを記憶し、図１１に示すようなコネクション比較情報４１２を生成する。次に、図１１の説明に移行する。

図１１において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５７６４０」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、レコード１１００に対応する７番目のコネクションとはクライアントポート番号が異なるため、７番目のコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５７６４０」によって特定されるコネクションを「８番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たな８番目のコネクションに対応する１２番目のレコード１１０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘ：１４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、１２番目のレコード１１０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５７６４０」をコネクション特定情報として抽出し、１２番目のレコード１１０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ １２：０８：５７」を、１２番目のレコード１１０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、８番目のコネクションの１つ前に生成された７番目のコネクションと、８番目のコネクションとは、コネクション特定情報が異なり、異なるコネクションであるため、同じグループではないと判定する。そして、パケット解析装置１００は、７番目のコネクションに対応するレコード１１００のグループ番号「７」に１を加算した番号「８」を、１２番目のレコード１１０１の「グループ番号」に設定する。

また、パケット解析装置１００は、同じグループではないと判定した場合、グループ番号「８」の１つ前のグループ番号「７」に対応するコネクションが終了していれば、そのグループ番号「７」について「グループバイト数」を設定する。パケット解析装置１００は、例えば、グループ番号「７」に対応するコネクションバイト数の総和「７７００［ｂｙｔｅ］」を、グループ番号「７」に対応する先頭レコード１１００の「グループバイト数」に設定する。

また、パケット解析装置１００は、グループバイト数「７７００［ｂｙｔｅ］」が閾値「７０００［ｂｙｔｅ］」以上であるか否かを判定する。そして、パケット解析装置１００は、閾値以上であるため、「１」を、グループ番号「７」に対応する先頭レコード１１００の「周期コネクションフラグ」に設定する。

パケット解析装置１００は、今回「周期コネクションフラグ」に「１」が設定されたレコード１１００よりも前に、「周期コネクションフラグ」に「１」が設定されたレコードがあるか否かを判定する。ここで、パケット解析装置１００は、レコード１１００よりも前に「周期コネクションフラグ」に「１」が設定されたレコードがあれば、レコード１１００の「周期」を設定する。

以降、パケット解析装置１００は、８番目のコネクションが終了するまで、または、８番目のコネクションの開始後の１回目の単位期間が終了するまで、８番目のコネクションにおけるパケットをキャプチャする。パケット解析装置１００は、パケットをキャプチャすると、そのパケットのバイト数を、１２番目のレコード１１０１の「コネクションバイト数」に累積する。ここでは、８番目のコネクションが、８番目のコネクションの開始後の１回目の単位期間内に終了しなかったとする。次に、図１２の説明に移行する。

図１２において、パケット解析装置１００は、８番目のコネクションが、８番目のコネクションの開始後の１回目の単位期間内に終了しなかったため、８番目のコネクションに対応する１３番目のレコード１２０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、１２番目のレコード１１０１と同じサービス特定情報を、１３番目のレコード１２０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、１２番目のレコード１１０１と同じコネクション特定情報を、１３番目のレコード１２０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、１２番目のレコード１１０１と同じ「受信時刻＝２０１６／５／２５ １２：０８：５７」を、１３番目のレコード１２０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、１２番目のレコード１１０１と、１３番目のレコード１２０１とが、同じコネクションに対応するため、同じグループであると判定する。そして、パケット解析装置１００は、１２番目のレコード１１０１のグループ番号「８」と同じ番号「８」を、１３番目のレコード１２０１の「グループ番号」に設定する。

以降、パケット解析装置１００は、８番目のコネクションが終了するまで、または、８番目のコネクションの開始後の２回目の単位期間が終了するまで、８番目のコネクションにおけるパケットをキャプチャする。パケット解析装置１００は、パケットをキャプチャすると、そのパケットのバイト数を、１２番目のレコード１１０１に代わり、１３番目のレコード１２０１の「コネクションバイト数」に累積する。

パケット解析装置１００は、８番目のコネクションが、８番目のコネクションの開始後の２回目の単位期間内に終了したため、８番目のコネクションに対しては２つのレコードを用いる。これにより、パケット解析装置１００は、８番目のコネクションについてのレコード１１０１，１２０１を記憶することができる。

さらに、パケット解析装置１００は、同様に、ＳＹＮパケットや、ＳＹＮパケットに続いて通信されるパケットをキャプチャし、１４〜３０番目のレコードを、コネクション比較情報４１２に追加し、更新する。これにより、パケット解析装置１００は、９番目〜２１番目のコネクションについて１４〜３０番目のレコードを記憶し、図１３に示すようなコネクション比較情報４１２を生成する。

パケット解析装置１００は、１４番目のレコードを追加した際には、グループ番号「８」に対応する先頭レコード１１０１の「グループバイト数＝４２４［ｂｙｔｅ］」が閾値「７０００［ｂｙｔｅ］」以上であるか否かを判定する。そして、パケット解析装置１００は、閾値未満であるため、「０」を、グループ番号「８」に対応する先頭レコード１１０１の「周期コネクションフラグ」に設定する。

これにより、パケット解析装置１００は、周期的に生成されず、パケットサイズの合計値も比較的小さく、コネクション開始時刻に周期性を有するか否かを判定する際に用いられることが好ましくないコネクションを除外することができる。そのコネクションは、例えば、途中で途切れてしまった可能性のあるコネクションなどである。そして、パケット解析装置１００は、そのコネクションを除いた複数のコネクションが、コネクション開始時刻に周期性を有する複数のコネクションであるか否かを判定することができ、判定精度の向上を図ることができる。次に、図１３の説明に移行する。

図１３において、パケット解析装置１００は、コネクション比較情報４１２のレコードの「周期」に基づいて、複数のコネクションが、コネクション開始時刻に周期性を有する複数のコネクションであるか否かを判定する。パケット解析装置１００は、例えば、１９個の周期の値のうち、約８９％の１７個の周期の値が、３０分±１分以内であるため、複数のコネクションが、コネクション開始時刻に周期性を有する複数のコネクションであると判定する。パケット解析装置１００は、例えば、１９個の周期の値が、３０分の倍数±１分以内であるため、複数のコネクションが、コネクション開始時刻に周期性を有する複数のコネクションであると判定してもよい。

これにより、パケット解析装置１００は、コネクション開始時刻に周期性を有する複数のコネクションを特定し、特定した複数のコネクションにおいて通信された、ユーザの操作入力とは無関係なパケットを特定することができる。このため、パケット解析装置１００は、キャプチャしたパケットのうち、ユーザの操作入力とは無関係なパケットを除外して、ユーザが体感する通信品質の解析精度の向上を図ることができる。

ここでは、パケット解析装置１００が、同じコネクションについて単位期間ごとに異なるレコードを用いる場合について説明したが、これに限らない。例えば、パケット解析装置１００が、１つのコネクションが終了するまで、そのコネクションについては１つのレコードだけを用いる場合があってもよい。

（パケット解析装置１００の第２の動作例）
次に、図１４〜図２５を用いて、パケット解析装置１００の第２の動作例について説明する。第２の動作例は、パケット解析装置１００が、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループにおいて通信されたパケットを、ユーザの操作入力とは無関係なパケットとして特定する一例である。

まず、図１４を用いて、ユーザの操作入力とは無関係であり、ユーザが体感する通信品質解析に好ましくないパケットを通信した、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループの一例について説明する。

図１４は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループの一例を示す説明図である。図１４の例では、コネクショングループ２１〜２４を示す。コネクショングループ２１は、コネクション３１，３２を含む。コネクショングループ２２は、コネクション３３，３４を含む。コネクショングループ２３は、コネクション３５，３６を含む。コネクショングループ２４は、コネクション３７を含む。

コネクション３１〜３７は、それぞれ、クライアント装置１１０からサーバ装置１２０への上り通信と、サーバ装置１２０からクライアント装置１１０への下り通信とを含む。図１４の例では、上り通信は、クライアント装置１１０からサーバ装置１２０へと向かう矢印で示す。下り通信は、サーバ装置１２０からクライアント装置１１０へと向かう矢印で示す。

図１４の例では、コネクショングループ２１〜２４は、各コネクショングループの先頭コネクション間のコネクション開始時刻の差分が同一である。このため、コネクショングループ２１〜２４は、コネクション開始時刻に周期性を有する複数のコネクショングループである。

パケット解析装置１００は、コネクショングループ２１〜２４について、各コネクショングループの先頭コネクション間のコネクション開始時刻の差分が同一であるか否かを判定する。そして、パケット解析装置１００は、同一であると判定すると、コネクショングループ２１〜２４を、コネクション開始時刻に周期性を有する複数のコネクショングループとして特定する。

パケット解析装置１００は、例えば、コネクショングループ２１〜２４について、各コネクショングループの先頭コネクション間のコネクション開始時刻の差分が所定範囲内であるか否かを判定してもよい。そして、パケット解析装置１００は、所定範囲内である場合に、各コネクショングループの先頭コネクション間のコネクション開始時刻の差分が同一であると判定してもよい。

パケット解析装置１００は、具体的には、コネクショングループ２１，２２の先頭コネクション３１，３３間のコネクション開始時刻の差分を基準として、誤差範囲を設定する。そして、パケット解析装置１００は、コネクショングループ２２，２３の先頭コネクション３３，３５間や、コネクショングループ２３，２４の先頭コネクション３５，３７間などのコネクション開始時刻の差分が誤差範囲内である場合に、同一であると判定する。

次に、図１５を用いて、ユーザの操作入力とは無関係であり、ユーザが体感する通信品質解析に好ましくないパケットを通信した、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループの具体例について説明する。

図１５は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループの具体例を示す説明図である。図１５では、例えば、クライアント装置１１０が、バックグラウンドにおいて、３０分間隔で、メールサーバ装置としての機能を有するサーバ装置１２０に、受信メールの問い合わせや、送信メールの依頼などを送信する場合について示している。

図１５では、具体的には、クライアント装置１１０とサーバ装置１２０とのコネクション開始時刻に対して、そのコネクションにおける上り通信の１分あたりのパケットサイズの平均値がグラフ上にプロットされている。また、同様に、クライアント装置１１０とサーバ装置１２０とのコネクション開始時刻に対して、そのコネクションにおける下り通信の１分あたりのパケットサイズの平均値がグラフ上にプロットされている。

図１５に示すように、クライアント装置１１０とサーバ装置１２０との間において、１時間ごとに異なるコネクショングループが生成され、上り通信と下り通信とが発生している。これに対し、パケット解析装置１００は、１時間ごとに生成された複数のコネクショングループを、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループとして特定することになる。これにより、パケット解析装置１００は、ユーザの操作入力とは無関係な、ユーザが体感する通信品質解析に好ましくないパケットを通信した、複数のコネクショングループを特定することができる。

また、図１５に示すように、クライアント装置１１０とサーバ装置１２０との間において、上り通信や下り通信におけるパケットサイズの平均値が比較的小さいコネクションが生成される場合がある。具体的には、例えば、上り通信や下り通信における１分あたりのパケットサイズの平均値が２０００以下のコネクションが生成される場合がある。

この場合、パケット解析装置１００は、上り通信や下り通信におけるパケットサイズの平均値が比較的小さいコネクションを、コネクション開始時刻に周期性を有するか否かを判定する際に用いられることが好ましくないコネクションとして扱ってもよい。そのコネクションは、例えば、途中で途切れてしまった可能性のあるコネクションなどである。

次に、図１６〜図２５を用いて、パケット解析装置１００が、図１５に示した先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例について説明する。

図１６〜図２５は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定する一例を示す説明図である。図１６〜図２５において、パケット解析装置１００は、複数のコネクションのそれぞれのコネクションで通信されるパケットをキャプチャする。パケットは、例えば、ＴＣＰパケットである。

パケット解析装置１００は、あるコネクションにおけるＳＹＮパケットをキャプチャした場合、そのＳＹＮパケットをサービスおよびコネクションに分類する。そして、パケット解析装置１００は、キャプチャしたＳＹＮパケットを分類したコネクションに対応する新たなレコードを、サービスごとのコネクション比較情報４１２に追加する。

パケット解析装置１００は、あるコネクションにおいてＳＹＮパケットに続いて通信されるパケットをキャプチャした場合、そのパケットをサービスおよびコネクションに分類する。そして、パケット解析装置１００は、サービスごとのコネクション比較情報４１２のうち、そのコネクションに対応するレコードを更新する。

パケット解析装置１００は、１つのコネクションが比較的長く続く場合、１つのコネクションについてレコードを複数用いるようにしてもよい。パケット解析装置１００は、例えば、１つのコネクションについて単位期間ごとにレコードを追加し、そのコネクションのパケットに基づいて更新してもよい。

以下では、説明の簡略化のため、パケット解析装置１００が、特定の「サービス特定情報」を含む複数のパケットをキャプチャする場合について説明する。特定の「サービス特定情報」は、例えば、サーバＩＰアドレス「ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ」とサーバポート番号「４４３」とクライアントＩＰアドレス「ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」との組み合わせである。この場合、パケット解析装置１００は、特定の「サービス特定情報」によって特定されるサービスについて、コネクション比較情報４１２を生成する。

また、以下では、説明の簡略化のため、１つのコネクションは、１つの単位期間内に終了するとする。このため、パケット解析装置１００が、１つのコネクションが１つの単位期間内に終了しなかった場合に複数のレコードを用いるようにする処理については、説明を省略する。

ここでは、パケット解析装置１００が、特定の「サービス特定情報」を含む複数のパケットをキャプチャした場合について説明するが、これに限らない。例えば、パケット解析装置１００は、種々の「サービス特定情報」のいずれかを含む、複数のパケットをキャプチャし、サービスごとにコネクション比較情報４１２を生成してもよい。

図１６〜図２５の例では、コネクション比較情報４１２は、サービス特定情報と、コネクション特定情報と、コネクション開始時刻と、コネクションバイト数と、グループ番号と、グループバイト数と、周期コネクションフラグと、周期とのフィールドを有する。

サービス特定情報は、サーバＩＰアドレスと、サーバポート番号と、クライアントＩＰアドレスとの組み合わせである。サービス特定情報は、具体的には、例えば、「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス」の形式で示される。コネクション特定情報は、クライアントポート番号である。

コネクション開始時刻は、サービス特定情報とコネクション特定情報とによって特定されるコネクションの生成タイミングを示す時刻情報である。コネクション開始時刻は、例えば、そのコネクションの先頭パケットであるＳＹＮパケットの受信時刻である。コネクションバイト数は、サービス特定情報とコネクション特定情報とによって特定されるコネクションにおいてＳＹＮパケットに続いて単位期間あたりに通信されたパケットのパケットサイズの合計である。

グループ番号は、サービス特定情報とコネクション特定情報とによって特定されるコネクションが属するコネクショングループを特定する番号である。図１６〜図２５の例では、パケット解析装置１００が比較的コネクション開始時刻が近い１以上のコネクションをまとめた単位で周期性を判定するため、１つのコネクショングループは１つ以上のコネクションを含む。グループバイト数は、同じグループ番号が付与された１つ以上のコネクションのコネクションバイト数の合計である。

周期コネクションフラグは、コネクショングループ間の先頭コネクションのコネクション開始時刻について周期性があるか否かを判定する際に用いられるか否かを示すフラグである。周期コネクションフラグは、周期性があるか否かを判定する際に用いられることを示す場合、コネクショングループ間の先頭コネクションのコネクション開始時刻の差分を算出する対象になることも示す。周期コネクションフラグは、１であると、コネクショングループ間の先頭コネクションのコネクション開始時刻について周期性があるか否かを判定する際に用いられることを示す。周期は、コネクショングループ間の先頭コネクションのコネクション開始時刻の差分である。

図１６において、パケット解析装置１００は、ＳＹＮパケットをキャプチャする。パケット解析装置１００は、ＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６２９０」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

以下の説明では、「クライアントポート番号＝５６２９０」によって特定されるコネクションを「１番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、１番目のコネクションに対応するレコード１６０１を、サービスごとのコネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ：４４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」を、サービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、１番目のコネクションに対応するレコード１６０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６２９０」を、コネクション特定情報として抽出し、１番目のコネクションに対応するレコード１６０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ８：３８：２９」を、１番目のコネクションに対応するレコード１６０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、ＳＹＮパケットに応じて生成された１番目のコネクションが、最初のコネクションであるため、「１」を１番目のコネクションに対応するレコード１６０１の「グループ番号」に設定する。

以降、パケット解析装置１００は、１番目のコネクションが終了するまで、１番目のコネクションにおけるパケットをキャプチャすると、そのパケットのバイト数を、１番目のコネクションに対応するレコード１６０１の「コネクションバイト数」に累積する。これにより、パケット解析装置１００は、１番目のコネクションに対応するレコード１６０１を記憶することができる。次に、図１７の説明に移行する。

図１７において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６３８６」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、１番目のコネクションとはクライアントポート番号が異なるため、１番目のコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５６３８６」によって特定されるコネクションを「２番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たな２番目のコネクションに対応する新たなレコード１７０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ：４４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、２番目のコネクションに対応するレコード１７０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６３８６」をコネクション特定情報として抽出し、２番目のコネクションに対応するレコード１７０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ８：４２：３１」を、２番目のコネクションに対応するレコード１７０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、２番目のコネクションの１つ前に生成されたコネクションがあるか否かを判定する。パケット解析装置１００は、２番目のコネクションの１つ前に生成された１番目のコネクションがあると判定する。

パケット解析装置１００は、１番目のコネクションに対応するレコード１６０１のコネクション開始時刻と、２番目のコネクションに対応するレコード１７０１のコネクション開始時刻との差分が、閾値以下であるか否かを判定する。閾値は、複数のコネクションをグループ化するか否かを判定する基準として、その複数のコネクションのコネクション開始時刻がどれくらい近ければグループ化するかを示す値であり、メモリ３０２などに記憶される。

パケット解析装置１００は、閾値以下ではないため、１番目のコネクションと、２番目のコネクションとは、同じグループではないと判定する。そして、パケット解析装置１００は、１番目のコネクションに対応するレコード１６０１のグループ番号「１」に１を加算した番号「２」を、２番目のコネクションに対応するレコード１７０１の「グループ番号」に設定する。

パケット解析装置１００は、同じグループではないと判定した場合、グループ番号「２」の１つ前のグループ番号「１」に対応するコネクションが終了していれば、そのグループ番号「１」について「グループバイト数」を設定する。パケット解析装置１００は、例えば、グループ番号「１」に対応するコネクションバイト数の総和「４７１３［ｂｙｔｅ］」を、グループ番号「１」に対応する先頭レコード１６０１の「グループバイト数」に設定する。

また、パケット解析装置１００は、グループバイト数「４７１３［ｂｙｔｅ］」が閾値「１０００００［ｂｙｔｅ］」以上であるか否かを判定する。そして、パケット解析装置１００は、閾値未満であるため、「０」を、グループ番号「１」に対応する先頭レコード１６０１の「周期コネクションフラグ」に設定する。

以降、パケット解析装置１００は、２番目のコネクションが終了するまで、キャプチャした２番目のコネクションにおけるパケットのバイト数を、２番目のコネクションに対応するレコード１７０１の「コネクションバイト数」に累積する。これにより、パケット解析装置１００は、２番目のコネクションについてのレコード１７０１を記憶することができる。次に、図１８の説明に移行する。

図１８において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６３８８」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、２番目のコネクションとはクライアントポート番号が異なるため、２番目のコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５６３８８」によって特定されるコネクションを「３番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たな３番目のコネクションに対応する新たなレコード１８０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ：４４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、３番目のコネクションに対応するレコード１８０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６３８８」をコネクション特定情報として抽出し、３番目のコネクションに対応するレコード１８０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ８：４２：３１」を、３番目のコネクションに対応するレコード１８０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、３番目のコネクションの１つ前に生成されたコネクションがあるか否かを判定する。パケット解析装置１００は、３番目のコネクションの１つ前に生成された２番目のコネクションがあると判定する。

パケット解析装置１００は、２番目のコネクションに対応するレコード１７０１のコネクション開始時刻と、３番目のコネクションに対応するレコード１８０１のコネクション開始時刻との差分が、閾値以下であるか否かを判定する。パケット解析装置１００は、閾値以下であるため、２番目のコネクションと、３番目のコネクションとは、同じグループであると判定する。そして、パケット解析装置１００は、２番目のコネクションに対応するレコード１７０１のグループ番号「２」と同じ番号「２」を、３番目のコネクションに対応するレコード１８０１の「グループ番号」に設定する。

以降、パケット解析装置１００は、３番目のコネクションが終了するまで、キャプチャした３番目のコネクションにおけるパケットのバイト数を、３番目のコネクションに対応するレコード１８０１の「コネクションバイト数」に累積する。これにより、パケット解析装置１００は、３番目のコネクションについてのレコード１８０１を記憶することができる。

さらに、パケット解析装置１００は、同様に、番号「２」が「グループ番号」に設定されたレコードを、コネクション比較情報４１２に追加していく。これにより、パケット解析装置１００は、図１９に示すようなコネクション比較情報４１２を生成する。次に、図１９の説明に移行する。

図１９において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６４７０」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、そのコネクションの１つ前に生成されたコネクションとはクライアントポート番号が異なり、そのコネクションの１つ前に生成されたコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５６４７０」によって特定されるコネクションを「ｉ番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たなｉ番目のコネクションに対応する新たなレコード１９０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ：４４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、ｉ番目のコネクションに対応するレコード１９０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６４７０」をコネクション特定情報として抽出し、ｉ番目のコネクションに対応するレコード１９０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ８：５７：４３」を、ｉ番目のコネクションに対応するレコード１９０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、ｉ番目のコネクションの１つ前に生成されたコネクションがあるか否かを判定する。パケット解析装置１００は、ｉ番目のコネクションの１つ前に生成されたｉ−１番目のコネクションがあると判定する。

パケット解析装置１００は、ｉ−１番目のコネクションに対応するレコード１９００のコネクション開始時刻と、ｉ番目のコネクションに対応するレコード１９０１のコネクション開始時刻との差分が、閾値以下であるか否かを判定する。パケット解析装置１００は、閾値以下ではないため、ｉ−１番目のコネクションと、ｉ番目のコネクションとは、同じグループではないと判定する。そして、パケット解析装置１００は、ｉ−１番目のコネクションに対応するレコード１９００のグループ番号「２」に１を加算した番号「３」を、ｉ番目のコネクションに対応するレコード１９０１の「グループ番号」に設定する。

パケット解析装置１００は、同じグループではないと判定した場合、グループ番号「３」の１つ前のグループ番号「２」に対応するコネクションが終了していれば、そのグループ番号「２」について「グループバイト数」を設定する。パケット解析装置１００は、例えば、１つ前のグループ番号「２」に対応するコネクションバイト数の総和「１３１９１７［ｂｙｔｅ］」を、１つ前のグループ番号「２」に対応する先頭レコード１７０１の「グループバイト数」に設定する。

また、パケット解析装置１００は、グループバイト数「１３１９１７［ｂｙｔｅ］」が閾値「１０００００［ｂｙｔｅ］」以上であるか否かを判定する。そして、パケット解析装置１００は、閾値以上であるため、「１」を、グループ番号「２」に対応する先頭レコード１７０１の「周期コネクションフラグ」に設定する。また、パケット解析装置１００は、「０」をグループ番号「２」に対応する先頭レコード１７０１以外のレコードの「周期コネクションフラグ」に設定する。

以降、パケット解析装置１００は、ｉ番目のコネクションが終了するまで、キャプチャしたｉ番目のコネクションにおけるパケットのバイト数を、ｉ番目のコネクションに対応するレコード１９０１の「コネクションバイト数」に累積する。これにより、パケット解析装置１００は、ｉ番目のコネクションについてのレコード１９０１を記憶することができる。

図２０において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６４７１」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、ｉ番目のコネクションとはクライアントポート番号が異なり、ｉ番目のコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５６４７１」によって特定されるコネクションを「ｉ＋１番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たなｉ＋１番目のコネクションに対応する新たなレコード２００１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ：４４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」を、サービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、ｉ＋１番目のコネクションに対応するレコード２００１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６４７１」をコネクション特定情報として抽出し、ｉ＋１番目のコネクションに対応するレコード２００１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ８：５８：０９」を、ｉ＋１番目のコネクションに対応するレコード２００１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、ｉ＋１番目のコネクションの１つ前に生成されたコネクションがあるか否かを判定する。パケット解析装置１００は、ｉ＋１番目のコネクションの１つ前に生成されたｉ番目のコネクションがあると判定する。

パケット解析装置１００は、ｉ番目のコネクションに対応するレコード１９０１のコネクション開始時刻と、ｉ＋１番目のコネクションに対応するレコード２００１のコネクション開始時刻との差分が、閾値以下であるか否かを判定する。パケット解析装置１００は、閾値以下であるため、ｉ番目のコネクションと、ｉ＋１番目のコネクションとは、同じグループであると判定する。そして、パケット解析装置１００は、ｉ番目のコネクションに対応するレコード１９０１のグループ番号「３」と同じ番号「３」を、ｉ＋１番目のコネクションに対応するレコード２００１の「グループ番号」に設定する。

以降、パケット解析装置１００は、ｉ＋１番目のコネクションが終了するまで、キャプチャしたｉ＋１番目のコネクションにおけるパケットのバイト数を、ｉ＋１番目のコネクションに対応するレコード２００１の「コネクションバイト数」に累積する。これにより、パケット解析装置１００は、ｉ＋１番目のコネクションについてのレコード２００１を記憶することができる。次に、図２１の説明に移行する。

図２１において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６７６７」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、ｉ＋１番目のコネクションとはクライアントポート番号が異なり、ｉ＋１番目のコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５６７６７」によって特定されるコネクションを「ｉ＋２番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たなｉ＋２番目のコネクションに対応する新たなレコード２１０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ：４４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、ｉ＋２番目のコネクションに対応するレコード２１０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６７６７」をコネクション特定情報として抽出し、ｉ＋２番目のコネクションに対応するレコード２１０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ９：３８：３０」を、ｉ＋２番目のコネクションに対応するレコード２１０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、ｉ＋２番目のコネクションの１つ前に生成されたコネクションがあるか否かを判定する。パケット解析装置１００は、ｉ＋２番目のコネクションの１つ前に生成されたｉ＋１番目のコネクションがあると判定する。

パケット解析装置１００は、ｉ＋１番目のコネクションに対応するレコード２００１のコネクション開始時刻と、ｉ＋２番目のコネクションに対応するレコード２１０１のコネクション開始時刻との差分が、閾値以下であるか否かを判定する。パケット解析装置１００は、閾値以下ではないため、ｉ＋１番目のコネクションと、ｉ＋２番目のコネクションとは、同じグループではないと判定する。そして、パケット解析装置１００は、ｉ＋１番目のコネクションに対応するレコード２００１のグループ番号「３」に１を加算した番号「４」を、ｉ＋２番目のコネクションに対応するレコード２１０１の「グループ番号」に設定する。

パケット解析装置１００は、同じグループではないと判定した場合、グループ番号「４」の１つ前のグループ番号「３」に対応するコネクションが終了していれば、そのグループ番号「３」について「グループバイト数」を設定する。パケット解析装置１００は、例えば、グループ番号「３」に対応するコネクションバイト数の総和「１０５７４［ｂｙｔｅ］」を、グループ番号「３」に対応する先頭レコード１９０１の「グループバイト数」に設定する。

また、パケット解析装置１００は、グループバイト数「１０５７４［ｂｙｔｅ］」が閾値「１０００００［ｂｙｔｅ］」以上であるか否かを判定する。そして、パケット解析装置１００は、閾値未満であるため、「０」を、１つ前のグループ番号「３」に対応する先頭レコード１９０１の「周期コネクションフラグ」に設定する。また、パケット解析装置１００は、「０」を１つ前のグループ番号「３」に対応する先頭レコード１９０１以外のレコードの「周期コネクションフラグ」に設定する。

以降、パケット解析装置１００は、ｉ＋２番目のコネクションが終了するまで、キャプチャしたｉ＋２番目のコネクションにおけるパケットのバイト数を、ｉ＋２番目のコネクションに対応するレコード２１０１の「コネクションバイト数」に累積する。これにより、パケット解析装置１００は、ｉ＋２番目のコネクションについてのレコード２１０１を記憶することができる。次に、図２２の説明に移行する。

図２２において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６７９８」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、ｉ＋２番目のコネクションとはクライアントポート番号が異なり、ｉ＋２番目のコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５６７９８」によって特定されるコネクションを「ｉ＋３番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たなｉ＋３番目のコネクションに対応する新たなレコード２２０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ：４４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、ｉ＋３番目のコネクションに対応するレコード２２０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６７９８」をコネクション特定情報として抽出し、ｉ＋３番目のコネクションに対応するレコード２２０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ９：４２：３１」を、ｉ＋３番目のコネクションに対応するレコード２２０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、ｉ＋３番目のコネクションの１つ前に生成されたコネクションがあるか否かを判定する。パケット解析装置１００は、ｉ＋３番目のコネクションの１つ前に生成されたｉ＋２番目のコネクションがあると判定する。

パケット解析装置１００は、ｉ＋２番目のコネクションに対応するレコード２１０１のコネクション開始時刻と、ｉ＋３番目のコネクションに対応するレコード２２０１のコネクション開始時刻との差分が、閾値以下であるか否かを判定する。パケット解析装置１００は、閾値以下ではないため、ｉ＋２番目のコネクションと、ｉ＋３番目のコネクションとは、同じグループではないと判定する。そして、パケット解析装置１００は、ｉ＋２番目のコネクションに対応するレコード２１０１のグループ番号「４」に１を加算した番号「５」を、ｉ＋３番目のコネクションに対応するレコード２２０１の「グループ番号」に設定する。

パケット解析装置１００は、同じグループではないと判定した場合、グループ番号「５」の１つ前のグループ番号「４」に対応するコネクションが終了していれば、そのグループ番号「４」について「グループバイト数」を設定する。パケット解析装置１００は、例えば、グループ番号「４」に対応するコネクションバイト数の総和「６８５７［ｂｙｔｅ］」を、グループ番号「４」に対応する先頭レコード２１０１の「グループバイト数」に設定する。

また、パケット解析装置１００は、グループバイト数「６８５７［ｂｙｔｅ］」が閾値「１０００００［ｂｙｔｅ］」以上であるか否かを判定する。そして、パケット解析装置１００は、閾値未満であるため、「０」を、１つ前のグループ番号「４」に対応する先頭レコード２１０１の「周期コネクションフラグ」に設定する。また、パケット解析装置１００は、「０」を１つ前のグループ番号「４」に対応する先頭レコード２１０１以外のレコードの「周期コネクションフラグ」に設定する。

以降、パケット解析装置１００は、ｉ＋３番目のコネクションが終了するまで、キャプチャしたｉ＋３番目のコネクションにおけるパケットのバイト数を、ｉ＋３番目のコネクションに対応するレコード２２０１の「コネクションバイト数」に累積する。これにより、パケット解析装置１００は、ｉ＋３番目のコネクションについてのレコード２２０１を記憶することができる。次に、図２３の説明に移行する。

図２３において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６８００」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

このコネクションは、ｉ＋３番目のコネクションとはクライアントポート番号が異なり、ｉ＋３番目のコネクションとは異なる新たなコネクションである。以下の説明では、「クライアントポート番号＝５６８００」によって特定されるコネクションを「ｉ＋４番目のコネクション」と表記する場合がある。そして、パケット解析装置１００は、新たなｉ＋４番目のコネクションに対応する新たなレコード２３０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ：４４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、ｉ＋４番目のコネクションに対応するレコード２３０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６８００」をコネクション特定情報として抽出し、ｉ＋４番目のコネクションに対応するレコード２３０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ９：４２：３１」を、ｉ＋４番目のコネクションに対応するレコード２３０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、ｉ＋４番目のコネクションの１つ前に生成されたコネクションがあるか否かを判定する。パケット解析装置１００は、ｉ＋４番目のコネクションの１つ前に生成されたｉ＋３番目のコネクションがあると判定する。

パケット解析装置１００は、ｉ＋３番目のコネクションに対応するレコード２２０１のコネクション開始時刻と、ｉ＋４番目のコネクションに対応するレコード２３０１のコネクション開始時刻との差分が、閾値以下であるか否かを判定する。パケット解析装置１００は、閾値以下であるため、ｉ＋３番目のコネクションと、ｉ＋４番目のコネクションとは、同じグループであると判定する。そして、パケット解析装置１００は、ｉ＋３番目のコネクションに対応するレコード２２０１のグループ番号「５」と同じ番号「５」を、ｉ＋４番目のコネクションに対応するレコード２３０１の「グループ番号」に設定する。

以降、パケット解析装置１００は、ｉ＋４番目のコネクションが終了するまで、キャプチャしたｉ＋４番目のコネクションにおけるパケットのバイト数を、ｉ＋４番目のコネクションに対応するレコード２３０１の「コネクションバイト数」に累積する。これにより、パケット解析装置１００は、ｉ＋４番目のコネクションについてのレコード２３０１を記憶することができる。

さらに、パケット解析装置１００は、同様に、番号「５」が「グループ番号」に設定されたレコードを、コネクション比較情報４１２に追加していく。これにより、パケット解析装置１００は、図２４に示すようなコネクション比較情報４１２を生成する。次に、図２４の説明に移行する。

図２４において、パケット解析装置１００は、新たなＳＹＮパケットをキャプチャする。パケット解析装置１００は、新たなＳＹＮパケットをキャプチャすると、そのＳＹＮパケットをサービスおよびコネクションに分類する。ここでは、パケット解析装置１００は、上記特定の「サービス特定情報」によって特定されるサービスに、そのＳＹＮパケットを分類する。また、パケット解析装置１００は、そのＳＹＮパケットのコネクション特定情報である「クライアントポート番号＝５６８３１」によって特定されるコネクションに、そのＳＹＮパケットを分類する。

以下の説明では、「クライアントポート番号＝５６８３１」によって特定されるコネクションを「ｊ番目のコネクション」と表記する場合がある。このｊ番目のコネクションは、ｊ−１番目のコネクションとはクライアントポート番号が異なり、ｊ−１番目のコネクションとは異なる新たなコネクションである。そして、パケット解析装置１００は、新たなｊ番目のコネクションに対応する新たなレコード２４０１を、コネクション比較情報４１２に追加する。

パケット解析装置１００は、キャプチャしたＳＹＮパケットの「サーバＩＰアドレス：サーバポート番号／クライアントＩＰアドレス＝ｚｚｚ．ｚｚｚ．ｚｚｚ．ｚｚｚ：４４３／ｙｙｙ．ｙｙｙ．ｙｙｙ．ｙｙｙ」をサービス特定情報として抽出する。パケット解析装置１００は、抽出したサービス特定情報を、ｊ番目のコネクションに対応するレコード２４０１の「サービス特定情報」に設定する。また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「クライアントポート番号＝５６８３１」をコネクション特定情報として抽出し、ｊ番目のコネクションに対応するレコード２４０１の「コネクション特定情報」に設定する。

また、パケット解析装置１００は、キャプチャしたＳＹＮパケットの「受信時刻＝２０１６／５／２５ ９：５１：１８」を、ｊ番目のコネクションに対応するレコード２４０１の「コネクション開始時刻」に設定する。また、パケット解析装置１００は、ｊ番目のコネクションの１つ前に生成されたコネクションがあるか否かを判定する。パケット解析装置１００は、ｊ番目のコネクションの１つ前に生成されたｊ−１番目のコネクションがあると判定する。

パケット解析装置１００は、ｊ−１番目のコネクションに対応するレコード２４００のコネクション開始時刻と、ｊ番目のコネクションに対応するレコード２４０１のコネクション開始時刻との差分が、閾値以下であるか否かを判定する。パケット解析装置１００は、閾値以下ではないため、ｊ−１番目のコネクションと、ｊ番目のコネクションとは、同じグループではないと判定する。そして、パケット解析装置１００は、ｊ−１番目のコネクションに対応するレコード２４００のグループ番号「５」に１を加算した番号「６」を、ｊ番目のコネクションに対応するレコード２４０１の「グループ番号」に設定する。

パケット解析装置１００は、同じグループではないと判定した場合、グループ番号「６」の１つ前のグループ番号「５」に対応するコネクションが終了していれば、そのグループ番号「５」について「グループバイト数」を設定する。パケット解析装置１００は、例えばグループ番号「５」に対応するコネクションバイト数の総和「１３１８０５［ｂｙｔｅ］」を、グループ番号「５」に対応する先頭レコード２２０１の「グループバイト数」に設定する。

また、パケット解析装置１００は、グループバイト数「１３１８０５［ｂｙｔｅ］」が閾値「１０００００［ｂｙｔｅ］」以上であるか否かを判定する。そして、パケット解析装置１００は、閾値以上であるため、「１」を、１つ前のグループ番号「５」に対応する先頭レコード２２０１の「周期コネクションフラグ」に設定する。また、パケット解析装置１００は、「０」を１つ前のグループ番号「５」に対応する先頭レコード２２０１以外のレコードの「周期コネクションフラグ」に設定する。

パケット解析装置１００は、今回「周期コネクションフラグ」に「１」が設定されたレコード２２０１よりも前に、「周期コネクションフラグ」に「１」が設定されたレコードがあるか否かを判定する。ここで、パケット解析装置１００は、レコード２２０１よりも前に「周期コネクションフラグ」に「１」が設定されたレコードがあるため、前回「周期コネクションフラグ」に「１」が設定されたレコード１７０１を選択する。

パケット解析装置１００は、選択したレコード１７０１の「コネクション開始時刻」と、今回「周期コネクションフラグ」に「１」が設定されたレコード２２０１の「コネクション開始時刻」との差分を算出する。そして、パケット解析装置１００は、算出した差分「１：００：００」を、レコード２２０１の「周期」に設定する。

以降、パケット解析装置１００は、ｊ番目のコネクションが終了するまで、キャプチャしたｊ番目のコネクションにおけるパケットのバイト数を、ｊ番目のコネクションに対応するレコード２４０１の「コネクションバイト数」に累積する。これにより、パケット解析装置１００は、ｊ番目のコネクションについてのレコード２４０１を記憶することができる。

さらに、パケット解析装置１００は、同様に、ＳＹＮパケットや、ＳＹＮパケットに続いて通信されるパケットをキャプチャし、新たなレコードを、コネクション比較情報４１２に追加していく。これにより、パケット解析装置１００は、図２５に示すようなコネクション比較情報４１２を生成する。次に、図２５の説明に移行する。

図２５において、パケット解析装置１００は、コネクション比較情報４１２のレコードの「周期」に基づいて、複数のコネクショングループが、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループであるか否かを判定する。パケット解析装置１００は、例えば、２個の周期の値が、１時間±１分以内であるため、複数のコネクショングループが、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループであると判定する。

これにより、パケット解析装置１００は、先頭コネクションのコネクション開始時刻に周期性を有する複数のコネクショングループを特定することができる。そして、パケット解析装置１００は、特定した複数のコネクショングループにおいて通信された、ユーザの操作入力とは無関係な、ユーザが体感する通信品質の解析に用いることが好ましくないパケットを特定することができる。このため、パケット解析装置１００は、キャプチャしたパケットのうち、ユーザの操作入力とは無関係なパケットを除外して、ユーザが体感する通信品質の解析精度の向上を図ることができる。

（パケット解析装置１００の出力例）
次に、図２６を用いて、パケット解析装置１００の出力例について説明する。

図２６は、パケット解析装置１００の出力例を示す説明図である。図２６において、パケット解析装置１００は、特定した複数のコネクションが含まれるサービス、および特定した複数のコネクショングループが含まれるサービスについて、サービス特定情報を出力する。これにより、パケット解析装置１００は、ユーザの操作入力とは無関係なパケットについて通信したサービスを特定可能にしておき、ユーザが体感する通信品質の解析に用いないようにすることができるようにする。

（解析処理手順の一例）
図２７および図２８は、パケット解析装置１００が実行する解析処理手順の一例について説明する。

図２７および図２８は、解析処理手順の一例を示すフローチャートである。図２７において、パケット解析装置１００は、パケットを受信する（ステップＳ２７０１）。次に、パケット解析装置１００は、受信したパケットがＴＣＰであるか否かを判定する（ステップＳ２７０２）。ここで、ＴＣＰではない場合（ステップＳ２７０２：Ｎｏ）、パケット解析装置１００は、ステップＳ２７０１の処理に戻る。

一方で、ＴＣＰである場合（ステップＳ２７０２：Ｙｅｓ）、パケット解析装置１００は、受信したパケットのコネクション特定情報に基づいて、そのパケットに対応するコネクションを分類する（ステップＳ２７０３）。次に、パケット解析装置１００は、受信したパケットに基づいて、そのパケットに対応するコネクションの解析情報を記憶する（ステップＳ２７０４）。そして、パケット解析装置１００は、サービス特定情報に基づいて、サービスを分類する（ステップＳ２７０５）。

次に、パケット解析装置１００は、サービスごとに、サービス特定情報とコネクション特定情報とを対応付けて、比較情報テーブルに記憶する（ステップＳ２７０６）。そして、パケット解析装置１００は、受信したパケットが、ＳＹＮパケットであるか否かを判定する（ステップＳ２７０７）。ここで、ＳＹＮパケットではない場合（ステップＳ２７０７：Ｎｏ）、パケット解析装置１００は、受信したパケットに対応するコネクションのコネクションバイト数を更新し（ステップＳ２７０８）、ステップＳ２７０１の処理に戻る。

一方で、ＳＹＮパケットである場合（ステップＳ２７０７：Ｙｅｓ）、パケット解析装置１００は、受信したＳＹＮパケットの受信時刻を、そのＳＹＮパケットに対応するコネクションのコネクション開始時刻として設定する（ステップＳ２７０９）。次に、パケット解析装置１００は、受信したＳＹＮパケットに対応するコネクションの１つ前に生成されたコネクションがあるか否かを判定する（ステップＳ２７１０）。ここで、１つ前に生成されたコネクションがない場合（ステップＳ２７１０：Ｎｏ）、パケット解析装置１００は、受信したＳＹＮパケットに対応するコネクションのグループ番号に１を設定し（ステップＳ２７１１）、ステップＳ２７０１の処理に戻る。

一方で、１つ前に生成されたコネクションがある場合（ステップＳ２７１０：Ｙｅｓ）、パケット解析装置１００は、ステップＳ２７１２の処理に移行する。

ステップＳ２７１２に移行すると、パケット解析装置１００は、受信したＳＹＮパケットに対応するコネクションと、そのコネクションの１つ前に生成されたコネクションとのコネクション開始時刻の差分が１分以上であるか否かを判定する（ステップＳ２７１２）。ここで、１分以上ではない場合（ステップＳ２７１２：Ｎｏ）、パケット解析装置１００は、ステップＳ２７１３の処理に移行する。

ステップＳ２７１３の処理に移行すると、パケット解析装置１００は、受信したＳＹＮパケットに対応するコネクションのグループ番号に、そのコネクションの１つ前に生成されたコネクションのグループ番号と同じ番号を設定する（ステップＳ２７１３）。そして、パケット解析装置１００は、ステップＳ２７０１の処理に戻る。

一方で、１分以上である場合（ステップＳ２７１２：Ｙｅｓ）、パケット解析装置１００は、ステップＳ２７１４の処理に移行する。

ステップＳ２７１４に移行すると、パケット解析装置１００は、受信したＳＹＮパケットに対応するコネクションのグループ番号に、そのコネクションの１つ前に生成されたコネクションのグループ番号に１を加算した番号を設定する（ステップＳ２７１４）。そして、パケット解析装置１００は、図２８のステップＳ２８０１の処理に移行する。

図２８において、パケット解析装置１００は、今回設定したグループ番号の１つ前のグループ番号に対応する先頭コネクションのグループバイト数を更新する（ステップＳ２８０１）。次に、パケット解析装置１００は、グループバイト数が閾値以上であるか否かを判定する（ステップＳ２８０２）。ここで、閾値未満である場合（ステップＳ２８０２：Ｎｏ）、パケット解析装置１００は、１つ前のグループ番号に対応する先頭コネクションの周期コネクションフラグに０を設定し（ステップＳ２８０３）、図２７のステップＳ２７０１の処理に戻る。

一方で、閾値以上である場合（ステップＳ２８０２：Ｙｅｓ）、パケット解析装置１００は、１つ前のグループ番号に対応する先頭コネクションの周期コネクションフラグに１を設定する（ステップＳ２８０４）。次に、パケット解析装置１００は、周期コネクションフラグが１に設定された今回の先頭コネクション以前に、周期コネクションフラグが１に設定された１つ前の先頭コネクションがあるか否かを判定する（ステップＳ２８０５）。ここで、１つ前の先頭コネクションがない場合（ステップＳ２８０５：Ｎｏ）、図２７のステップＳ２７０１の処理に戻る。

一方で、１つ前の先頭コネクションがある場合（ステップＳ２８０５：Ｙｅｓ）、パケット解析装置１００は、今回の先頭コネクションと、１つ前の先頭コネクションとのコネクション開始時刻の差分を、周期に設定する（ステップＳ２８０６）。

次に、パケット解析装置１００は、所定の期間が経過したか否かを判定する（ステップＳ２８０７）。ここで、所定の期間が経過していない場合（ステップＳ２８０７：Ｎｏ）、パケット解析装置１００は、図２７のステップＳ２７０１の処理に戻る。

一方で、所定の期間が経過した場合（ステップＳ２８０７：Ｙｅｓ）、パケット解析装置１００は、周期に基づいて、サービス内のコネクション間またはコネクショングループ間で周期性があるか否かを判定し、判定した結果を記憶する（ステップＳ２８０８）。そして、パケット解析装置１００は、解析処理を終了する。これにより、パケット解析装置１００は、ユーザが体感する通信品質の解析精度の向上を図ることができる。

以上説明したように、パケット解析装置１００によれば、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションを特定することができる。また、パケット解析装置１００によれば、先頭コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループを特定することができる。また、パケット解析装置１００によれば、複数のパケットのうち、特定した複数のコネクションや複数のコネクショングループの少なくともいずれかにおいて通信されたパケット以外のパケットに基づいて、ネットワークの通信品質を解析することができる。これにより、パケット解析装置１００は、複数のパケットから、ユーザの操作入力とは無関係な、ユーザが体感する通信品質を解析する際に用いることが好ましくないパケットを除外することができる。このため、パケット解析装置１００は、ユーザが体感する通信品質の解析精度の向上を図ることができる。

また、パケット解析装置１００によれば、パケットサイズの合計値が第１の閾値以上になるパケット群がそれぞれ分類され、コネクションの生成タイミングについて周期性を有する複数のコネクションを特定することができる。また、パケット解析装置１００によれば、パケットサイズの合計値が第２の閾値以上になるパケット群がそれぞれ分類され、先頭コネクションの生成タイミングについて周期性を有する複数のコネクショングループを特定することができる。これにより、パケット解析装置１００は、周期的に生成されず、通信されるパケット群のパケットサイズの合計値が比較的小さく、コネクション開始時刻に周期性を有するか否かを判定する際に用いられることが好ましくないコネクションを除外することができる。そして、パケット解析装置１００は、そのコネクションを除いた複数のコネクションが、コネクション開始時刻に周期性を有する複数のコネクションであるか否かを判定することができ、判定精度の向上を図ることができる。

また、パケット解析装置１００によれば、各コネクション間の生成タイミングの差分が第３の閾値以下である２つ以上のコネクションを、コネクショングループとして扱うことができる。これにより、パケット解析装置１００は、同時期に生成された２つ以上のコネクションをまとめ、コネクション単位で扱った場合には複数のコネクションとして特定されない可能性がある、複数のコネクショングループを特定可能にすることができる。

また、パケット解析装置１００によれば、クライアント装置１１０とサーバ装置１２０とを接続するネットワーク上で通信された複数のパケットを、複数のサービスのそれぞれのサービスに対応するコネクションごとに分類することができる。また、パケット解析装置１００によれば、分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションを特定することができる。また、パケット解析装置１００によれば、分類した結果に基づいて、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループを特定することができる。また、パケット解析装置１００によれば、複数のパケットのうち、特定した複数のコネクションや複数のコネクショングループの少なくともいずれかに対応するサービスによって通信されたパケット以外のパケットを特定することができる。また、パケット解析装置１００によれば、特定したパケットに基づいて、ネットワークの通信品質を解析することができる。これにより、パケット解析装置１００は、サービスごとに、ユーザが体感する通信品質の解析に用いることが好ましくないパケットを通信しているか否かを判定することができる。

なお、本実施の形態で説明したパケット解析方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本実施の形態で説明したパケット解析プログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本実施の形態で説明したパケット解析プログラムは、インターネット等のネットワークを介して配布してもよい。

上述した実施の形態に関し、さらに以下の付記を開示する。

（付記１）コンピュータに、
ネットワーク上で通信された複数のパケットをコネクションごとに分類し、
分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションと、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループとの少なくともいずれかを特定し、
前記複数のパケットのうち、特定した前記複数のコネクションと前記複数のコネクショングループとの少なくともいずれかにおいて通信されたパケット以外のパケットに基づいて、前記ネットワークの通信品質を解析する、
処理を実行させることを特徴とするパケット解析プログラム。

（付記２）前記複数のコネクションのそれぞれのコネクションは、パケットサイズの合計値が第１の閾値以上になるパケット群を分類したコネクションであり、
前記複数のコネクショングループのそれぞれのコネクショングループは、パケットサイズの合計値が第２の閾値以上になるパケット群を分類したコネクショングループである、 ことを特徴とする付記１に記載のパケット解析プログラム。

（付記３）前記複数のコネクショングループは、それぞれ、当該コネクショングループに含まれる各コネクション間の生成タイミングの差分が第３の閾値以下である、ことを特徴とする付記１または２に記載のパケット解析プログラム。

（付記４）前記分類する処理は、第１の装置と前記第１の装置に複数の機能を提供する第２の装置とを接続するネットワーク上で通信された複数のパケットを、前記複数の機能のそれぞれの機能に対応するコネクションごとに分類し、
前記解析する処理は、前記複数のパケットのうち、特定した前記複数のコネクションと前記複数のコネクショングループとの少なくともいずれかに対応する機能によって通信されたパケット以外のパケットに基づいて、前記ネットワークの通信品質を解析する、
ことを特徴とする付記１〜３のいずれか一つに記載のパケット解析プログラム。

（付記５）コンピュータが、
ネットワーク上で通信された複数のパケットをコネクションごとに分類し、
分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションと、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループとの少なくともいずれかを特定し、
前記複数のパケットのうち、特定した前記複数のコネクションと前記複数のコネクショングループとの少なくともいずれかにおいて通信されたパケット以外のパケットに基づいて、前記ネットワークの通信品質を解析する、
処理を実行することを特徴とするパケット解析方法。

（付記６）ネットワーク上で通信された複数のパケットをコネクションごとに分類し、
分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションと、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループとの少なくともいずれかを特定し、
前記複数のパケットのうち、特定した前記複数のコネクションと前記複数のコネクショングループとの少なくともいずれかにおいて通信されたパケット以外のパケットに基づいて、前記ネットワークの通信品質を解析する、
制御部を有することを特徴とするパケット解析装置。

１１〜１４ コネクション
２１〜２４ コネクショングループ
３１〜３７ コネクション
１００ パケット解析装置
１１０ クライアント装置
１２０ サーバ装置
２００ パケット解析システム
２１０ ネットワーク
２２０ 中継装置
３００ バス
３０１ ＣＰＵ
３０２ メモリ
３０３ ネットワークＩ／Ｆ
３０４ 記録媒体Ｉ／Ｆ
３０５ 記録媒体
４１０ 記憶部
４２０ 受信部
４３０ 分類部
４４０ 処理部
４４１ 保存部
４４２ 比較部
４４３ 判定部

Claims (5)

1. コンピュータに、
   ネットワーク上で通信された複数のパケットをコネクションごとに分類し、
   分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションと、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループとの少なくともいずれかを特定し、
   前記複数のパケットのうち、特定した前記複数のコネクションと前記複数のコネクショングループとの少なくともいずれかにおいて通信されたパケット以外のパケットに基づいて、前記ネットワークの通信品質を解析する、
   処理を実行させることを特徴とするパケット解析プログラム。
2. 前記複数のコネクションのそれぞれのコネクションは、パケットサイズの合計値が第１の閾値以上になるパケット群を分類したコネクションであり、
   前記複数のコネクショングループのそれぞれのコネクショングループは、パケットサイズの合計値が第２の閾値以上になるパケット群を分類したコネクショングループである、 ことを特徴とする請求項１に記載のパケット解析プログラム。
3. 前記分類する処理は、第１の装置と前記第１の装置に複数の機能を提供する第２の装置とを接続するネットワーク上で通信された複数のパケットを、前記複数の機能のそれぞれの機能に対応するコネクションごとに分類し、
   前記解析する処理は、前記複数のパケットのうち、特定した前記複数のコネクションと前記複数のコネクショングループとの少なくともいずれかに対応する機能によって通信されたパケット以外のパケットに基づいて、前記ネットワークの通信品質を解析する、
   ことを特徴とする請求項１または２に記載のパケット解析プログラム。
4. コンピュータが、
   ネットワーク上で通信された複数のパケットをコネクションごとに分類し、
   分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションと、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループとの少なくともいずれかを特定し、
   前記複数のパケットのうち、特定した前記複数のコネクションと前記複数のコネクショングループとの少なくともいずれかにおいて通信されたパケット以外のパケットに基づいて、前記ネットワークの通信品質を解析する、
   処理を実行することを特徴とするパケット解析方法。
5. ネットワーク上で通信された複数のパケットをコネクションごとに分類し、
   分類した結果に基づいて、コネクションの生成タイミングについてコネクション間で周期性を有する複数のコネクションと、コネクションの生成タイミングについてコネクショングループ間で周期性を有する複数のコネクショングループとの少なくともいずれかを特定し、
   前記複数のパケットのうち、特定した前記複数のコネクションと前記複数のコネクショングループとの少なくともいずれかにおいて通信されたパケット以外のパケットに基づいて、前記ネットワークの通信品質を解析する、
   制御部を有することを特徴とするパケット解析装置。

Images