JP2019028914A

JP2019028914A - データ解析プログラム、データ解析方法、およびデータ解析装置

Info

Publication number: JP2019028914A
Application number: JP2017150557A
Authority: JP
Inventors: 荻原　一隆; Kazutaka Ogiwara; 一隆荻原
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2017-08-03
Filing date: 2017-08-03
Publication date: 2019-02-21
Anticipated expiration: 2037-08-03
Also published as: US20190042589A1; JP6939220B2; US11151084B2

Abstract

【課題】キャプチャ開始タイミングによらずキャプチャしたデータに対応するファイル名を特定することを目的とする。
【解決手段】データ解析プログラムは、コンピュータに、ファイルに関するデータのキャプチャを開始する際に、ファイルを識別する第１識別情報とファイルのファイル名との組を取得して、該組および該組の取得時刻を、記憶部に記憶された管理情報に記録し、データをキャプチャした際に、キャプチャされたデータに含まれる第１識別情報とキャプチャした前記データよりも前にキャプチャされた他のデータに含まれるファイル名とが対応づけられていることを検出した場合、第１識別情報とファイル名との組およびキャプチャ時刻を管理情報に記録し、データへの参照リクエストを受信した場合、記憶部の管理情報を参照して、参照リクエストに含まれる第１識別情報および時間情報に対応するファイル名を特定して、データに含まれる第１識別情報を、特定されたファイル名に変換する処理を実行させる。
【選択図】図８

Description

本発明は、データ解析プログラム、データ解析方法、およびデータ解析装置に関する。

クライアント端末が、ファイルサーバに記憶されているファイルをマウントし、マウントされたファイルを使用する技術が用いられている。また、クライアント端末とファイルサーバとの間の通信のモニタリングが行われる場合がある。

関連する技術として、パケットをキャプチャし、パケットの送信元端末の利用者名とアドレスを抽出する技術が提案されている（例えば、特許文献１を参照）。

また、関連する技術として、可変長パケットをオンライン測定しながらデータをリアルタイム表示する技術が提案されている（例えば、特許文献２を参照）。

特開２００６−２２２８１４号公報特開２００３−１４３２５１号公報

例えば、ファイルサーバからクライアント端末へファイルを送信する場合、ファイルＩＤを含むデータがパケット単位で送信される。また、ファイルの送信を開始する際に、ファイル名を含むデータが送信される場合がある。

しかし、データのキャプチャを行うサーバは、キャプチャを開始したタイミングによって、ファイル名を含むデータをキャプチャできずに、ファイルＩＤに対応するファイル名を特定できないおそれがある。そして、例えば、管理者がキャプチャされたデータを参照する際にファイル名が表示されないことにより、システム状況の把握をしづらくなるおそれがある。

１つの側面として、本発明は、キャプチャ開始タイミングによらずキャプチャしたデータに対応するファイル名を特定することを目的とする。

１つの態様では、データ解析プログラムは、コンピュータに、ファイルに関するデータのキャプチャを開始する際に、前記ファイルを識別する第１識別情報と前記ファイルのファイル名との組を取得して、該組および該組の取得時刻を、記憶部に記憶された管理情報に記録し、前記データをキャプチャした際に、キャプチャされた前記データに含まれる前記第１識別情報とキャプチャした前記データよりも前にキャプチャされた他のデータに含まれるファイル名とが対応づけられていることを検出した場合、前記第１識別情報と前記ファイル名との組およびキャプチャ時刻を前記管理情報に記録し、前記データへの参照リクエストを受信した場合、前記記憶部の管理情報を参照して、前記参照リクエストに含まれる第１識別情報および時間情報に対応するファイル名を特定して、前記データに含まれる第１識別情報を、特定された前記ファイル名に変換し、前記第１識別情報が前記ファイル名に変換された前記データを出力する処理を実行させることを特徴とする。

１つの側面によれば、キャプチャ開始タイミングによらずキャプチャしたデータに対応するファイル名を特定することができる。

実施形態のシステムの全体構成の一例を示す図である。データ解析装置の一例を示す図である。パケット内のデータの一例を示す図である。記憶部に記憶されるデータの一例を示す図である。参照リクエストに対して送信されるデータの一例を示す図である。第１の実施形態におけるキャプチャを開始する際の管理情報の一例を示す図である。第１の実施形態におけるキャプチャ開始後の管理情報の一例を示す図である。第１の実施形態のキャプチャ処理の流れの一例を示すフローチャートである。図８のステップＳ１０１の処理の流れの一例を示すフローチャートである。参照処理の流れの一例を示すフローチャートである。第２の実施形態のキャプチャ処理の流れの一例を示すフローチャートである。図１１のステップＳ１０１’の処理の流れの一例を示すフローチャートである。第２の実施形態における管理情報の一例を示す図である。第３の実施形態のキャプチャ処理の流れの一例を示すフローチャートである。図１４のステップＳ５０２の処理の流れの一例を示すフローチャートである。第３の実施形態の所定パターンのアクセスの一例を示す図である。第４の実施形態のキャプチャ処理の流れの一例を示すフローチャートである。第４の実施形態における管理情報の一例を示す図である。第５の実施形態の処理の流れの一例を示すフローチャートである。データ解析装置のハードウェア構成の一例を示す図である。

＜実施形態のシステムの全体構成の一例＞
以下、図面を参照して、実施形態について説明する。図１は、実施形態のシステムの全体構成の一例を示す。実施形態のシステムは、ファイルサーバ１とクライアント端末２と中継装置３とデータ解析装置４と管理端末５とを含む。

ファイルサーバ１は、ユーザが利用可能なファイルを記憶している。また、ファイルサーバ１は、ファイルIdentification（ＩＤ）とファイル名との対応を示す対応情報を記憶していてもよい。ファイルサーバ１は、クライアント端末２からファイルの参照要求を受信した場合、ファイルを複数のパケットに分割して、分割したデータをクライアント端末２に送信する。

なお、以下の説明において、パケット単位で伝送されるデータを単に「パケット」と称することがある。

クライアント端末２は、ファイルサーバ１と通信可能であり、ファイルサーバ１を利用するユーザにより操作される。クライアント端末２は、中継装置３を介してファイルサーバ１からパケットを受信することにより、ファイルサーバ１に記憶されているファイルをマウントする。クライアント端末２は、例えば、仮想サーバを搭載し、仮想サーバがマウントされたファイルを仮想ディスクとして使用する。

ファイルサーバ１とクライアント端末２との間の通信には、例えば、Network File System（ＮＦＳ）が適用される。また、ファイルＩＤには、例えば、ファイルハンドラが適用される。

中継装置３は、ファイルサーバ１とクライアント端末２との間の通信を中継する。中継装置３は、例えば、ミラーリング機能を有しており、ファイルサーバ１とクライアント端末２との間で伝送されるパケットをミラーリングして、データ解析装置４に送信する。

データ解析装置４は、中継装置３のミラーリング機能を用いて、ファイルサーバ１とクライアント端末２との間で伝送されるパケットをキャプチャする。データ解析装置４は、コンピュータの一例である。

管理端末５は、データ解析装置４がキャプチャしたデータを参照する。管理端末５は、データ解析装置４がキャプチャしたデータを参照する際に、データ解析装置４に、参照対象の時間範囲を含む参照リクエストを送信する。

例えば、ファイルサーバ１とクライアント端末２との間にネットワークタップが設置されていてもよい。そして、データ解析装置４は、ネットワークタップを用いて、ファイルサーバ１とクライアント端末２との間で伝送されるパケットをキャプチャしてもよい。

実施形態のシステムは、ファイルサーバ１、クライアント端末２および中継装置３の組は、複数の組であってもよいし、１つの組であってもよい。

＜データ解析装置の一例＞
図２は、データ解析装置４の一例を示す図である。データ解析装置４は、通信部４１と取得部４２とキャプチャ部４３と検出部４４と変換部４５と記憶部４６と制御部４７とを含む。

通信部４１は、ファイルサーバ１とクライアント端末２との間で伝送されるパケットを中継装置３から受信する。通信部４１は、ファイルサーバ１またはクライアント端末２から、ファイルＩＤとファイル名との組のリストを受信する。通信部４１は、管理端末５から、記憶部４６内のデータに対する参照リクエストを受信する。通信部４１は、参照リクエストに対して、ファイルＩＤがファイル名に変換された参照対象データを、管理端末５に送信する。

取得部４２は、ファイルに関するパケットのキャプチャを開始する際に、ファイルを識別する第１識別情報とファイルのファイル名との組を取得して、該組および該組の取得時刻を含む管理情報を記憶部４６に記録する。第１識別情報は、例えば、ファイルＩＤである。

キャプチャ部４３は、ファイルサーバ１とクライアント端末２との間で伝送されるパケットを中継装置３のミラーリング機能を用いてキャプチャする。

検出部４４は、パケットをキャプチャした際に、キャプチャされたパケットに含まれる第１識別情報とファイル名とが対応づけられていることを検出した場合、第１識別情報とファイル名との組およびキャプチャ時刻を管理情報に記録する。

変換部４５は、記憶部４６内のデータへの参照リクエストを受信した場合、記憶部４６の管理情報を参照して、参照リクエストに含まれる第１識別情報および時間情報に対応するファイル名を特定する。時間情報は、例えば、時間範囲である。変換部４５は、参照対象データに含まれる第１識別情報を、特定されたファイル名に変換する。また、変換部４５は、パケット毎に記憶されたデータを参照可能な形式に変換する。参照対象データは、例えば、記憶部４６に記憶されたデータのうち、参照リクエストで指定された時間範囲内にキャプチャされたパケット内のデータであるとする
記憶部４６は、キャプチャ部４３によりキャプチャされたパケット内のデータを記憶する。また、記憶部４６は、管理情報を記憶する。
制御部４７は、データ解析装置４内の各種制御を実行する。

＜パケット内データの一例＞
図３は、パケット内のデータの一例を示す図である。図３に示すデータのうち、"A"は、クライアント端末２の識別情報を示す。"B"は、ファイルサーバ１の識別情報を示す。ファイルサーバ１およびクライアント端末２の識別情報は、例えば、Internet Protocol（ＩＰ）アドレス、またはMedia Access Control（ＭＡＣ）アドレスであってもよい。

"OPEN "ABC""というデータは、"ABC"というファイル名のファイルを開く命令を示す。"FID 0x123456"というデータは、ファイルを開く命令に対して、"0x123456"というファイルＩＤを通知するデータである。ファイルＩＤを通知するメッセージが送られた後は、ファイルに対する命令は、ファイルＩＤを用いて行われる。

検出部４４は、例えば、"OPEN "ABC""というデータと"FID 0x123456"というデータに基づいて、ファイル名"ABC"にファイルＩＤ"0x123456"が対応することを検出する。例えば、各データにはトランザクションＩＤが付与されていてもよく、同一のトランザクションＩＤが付与されている場合、検出部４４は、対応するデータであると判定してもよい。

"READ 0x123456 0 128"というデータは、"0x123456"というファイルＩＤのファイルのうち、0バイトを開始位置として128バイトのデータを読み込む命令を示す。すなわち、"0"は、オフセットを示し、"128"はアクセス長を示す。"ABCDEFGHIJ・・・・"というデータは、データを読み込む命令に対して送られるデータである。すなわち、"ABCDEFGHIJ・・・・"というデータは、"0x123456"というファイルＩＤのファイルのうち、0バイトを開始位置として読み出された128バイトのデータである。

"CLOSE 0x123456"というデータは、"0x123456"というファイルＩＤのファイルを閉じる命令である。"CLOSE OK"というデータは、ファイルを閉じる命令に対して、了承したことを通知するデータである。
なお、パケット内のデータの形式は、図３に示す形式には限られない。

＜記憶部４６に記憶されるデータの例＞
図４は、記憶部４６に記憶されるデータの一例を示す図である。図４に示すように、記憶部４６に記憶されるデータは、キャプチャ時刻、送信元および送信先の識別情報、Ｉ／Ｏタイプ、ファイルＩＤ、オフセット、アクセス長を含む。図４に示すように、記憶部４６に記憶されるデータは、キャプチャされたデータにキャプチャ時刻が付与されている。送信元および送信先の識別情報は、ファイルサーバ１またはクライアント端末２のＩＰアドレス、またはＭＡＣアドレスであってもよい。

図４に示すように、記憶部４６に記憶されたデータは、ファイルＩＤを含んでいるが、ファイル名が含まれないため、管理者が、該データをそのまま参照した場合に、どのファイルを示しているかが分かりづらい。

図５は、参照リクエストに対して送信されるデータの一例を示す図である。図５に示すように、参照リクエストに対して送信されるデータは、キャプチャ時刻、送信元および送信先の識別情報、Ｉ／Ｏタイプ、ファイル名、オフセット、アクセス長を含む。

図５に示す例では、ファイルＩＤではなくファイル名が含まれている点で、図４に示すデータと異なる。変換部４５による処理により、ファイルＩＤがファイル名に変換されているためである。

例えば、図４の１行目、２行目、４行目、および５行目のファイルＩＤには同じファイルＩＤ"0x1212"が記録されている。一方、図５では、１行目および２行目のデータのファイル名（"AAAAA"）と４行目および５行目のデータのファイル名（"CCCCC"）は異なる。２行目のデータをキャプチャした時点と４行目のデータをキャプチャした時点との間にファイルＩＤとファイル名の関連付けが変更されたことが考えられる。すなわち、図４に示す例では、異なるファイルに対して同じファイルＩＤが記録されているため、図４に示すデータを管理者に示した場合、管理者がファイルを特定することが困難である。

一方、図５に示すデータは、ファイル名が含まれているため、管理者が参照した場合に、どのファイルを示しているかが分かり易くなる。従って、本実施形態のパケット解析装置は、システム状況の把握をし易くし、利便性を向上することができる。

＜第１の実施形態の管理情報の例＞
図６は、第１の実施形態におけるキャプチャを開始する際の管理情報の一例を示す図である。管理情報には、ファイル名とファイルＩＤとファイルサーバＩＤと登録時刻とが対応付けて記録されている。ファイルサーバ１が一つであれば、ファイルサーバＩＤは、記録されていなくてもよい。ファイルサーバＩＤは、第２識別情報の一例である。

「ファイルＩＤ」および「ファイル名」は、取得部４２がファイルサーバ１から取得したファイルＩＤとファイル名との組のリストに基づいて記録される。

「ファイルサーバＩＤ」は、図６に示す例では、ファイルサーバ１のＩＰアドレスである。ファイルサーバＩＤは、ＩＰアドレスには限られない。ファイルサーバＩＤは、例えば、ファイルサーバ１のＭＡＣアドレス等であってもよい。

「時刻」は、例えば、取得部４２が通信部４１を介して、ファイルサーバ１からファイルＩＤとファイル名との組のリストを取得した時刻である。「時刻」は、例えば、取得部４２が通信部４１を介して、ファイルＩＤとファイル名との組のリストをファイルサーバ１に要求した時刻であってもよい。

ファイルＩＤは、例えば、クライアント端末２がファイルを開く際に、ファイルサーバ１によりファイルに付与される。すなわち、クライアント端末２がファイルを開く際に、ファイルＩＤとファイル名との関連付けが行われる。ファイルＩＤとファイル名との関連付けは、ファイルが閉じられた際に解消される。そして、関連付けが解消したファイルＩＤは、他のファイルに付与される可能性があり、同じファイルを再度開いても、前回と同じファイルＩＤが付与されるとは限らない。

図７は、第１の実施形態におけるキャプチャ開始後の管理情報の一例を示す図である。図７は、キャプチャが開始されてから所定時間後の管理情報を示す。図７に示す管理情報は、時刻が「11:00」であるエントリと、時刻が「12:00」であるエントリが追加されている点で、図６に示す管理情報と異なる。

例えば、図７に示す例では、"0x1212"というファイルＩＤは、ファイル名が"AAAAA"であるファイルとファイル名が"CCCCC"であるファイルに用いられている。すなわち、ファイルＩＤが再利用されている。

また、"BBBBB"というファイル名のファイルには、10:00には"0x2521"というファイルＩＤが関連づけられており、11:00には"0x3105"というファイルＩＤが関連づけられている。すなわち、"BBBBB"というファイル名のファイルが閉じられ、再度開かれた際に、異なるファイルＩＤが付与されている。

変換部４５は、記憶部４６に記憶される参照対象データに含まれるファイルＩＤとファイルサーバＩＤとキャプチャ時刻とに基づいて、管理情報から対応するファイル名を特定する。

追加されたエントリにおける「時刻」は、ファイルを開く命令を取得（キャプチャ）した時刻である。また、上述のように、ファイルＩＤとファイル名との関連付けは、ファイルを開く際に行われる。よって、例えば、ファイルＩＤ"0x1212"は、10：00から12：00までファイル名"AAAAA"に関連づけられている可能性が高いと考えられる。従って、変換部４５は、参照対象データに含まれるファイルＩＤとファイルサーバＩＤに対応するエントリが管理情報に複数存在する場合、参照対象データのキャプチャ時刻以前の時刻であって最新の時刻を含むエントリを選択する。

例えば、参照対象データに含まれるファイルＩＤが"0x1212"であり、ファイルサーバＩＤが"192.168.0.1"であり、キャプチャ時刻が"10：30"であったとする。管理情報には、該参照対象データに含まれるファイルＩＤとファイルサーバＩＤに対応するエントリが２エントリ（登録時刻が"10:00"であるエントリと登録時刻が"12:00"であるエントリ）存在する。この場合、変換部４５は、キャプチャ時刻以前の時刻であって最新の時刻である"10:00"を含むエントリを選択し、ファイル名として"AAAAA"を特定する。

＜第１の実施形態のキャプチャ処理の流れの一例＞
図８は、第１の実施形態のキャプチャ処理の流れの一例を示すフローチャートである。なお、ファイルサーバ１、クライアント端末２および中継装置３の組が複数存在する場合、データ解析装置４は、各組について図８に示す処理を実行する。

取得部４２は、ファイルＩＤとファイル名との組のリストをファイルサーバ１から取得する（ステップＳ１０１）。ステップＳ１０１の処理について、詳細は後述する。

取得部４２は、取得したファイルＩＤとファイル名との組のリストをファイルサーバＩＤ、取得時刻とともに管理情報に記録する（ステップＳ１０２）。

キャプチャ部４３は、ファイルサーバ１とクライアント端末２との間で伝送されるデータのキャプチャを開始する（ステップＳ１０３）。なお、データ解析装置４は、ステップＳ１０１およびステップＳ１０２の処理をステップＳ１０３の処理と並行で実行してもよい。また、データ解析装置４は、ステップＳ１０１およびステップＳ１０２の処理をステップＳ１０３の処理の直後に実行してもよい。

キャプチャ部４３は、パケットをキャプチャした場合（ステップＳ１０４でＹＥＳ）、キャプチャしたパケット内のデータを記憶部４６に記憶する（ステップＳ１０５）。ステップＳ１０４でＮＯの場合、処理は次に進まない。

検出部４４は、キャプチャされたパケットと以前にキャプチャされた他のパケットとに基づいて、ファイルＩＤと該ファイルＩＤに対応づけられたファイル名とを検出可能か判定する（ステップＳ１０６）。検出部４４は、例えば、ファイルＩＤを通知する第１パケットをキャプチャした場合、第１パケットと同じトランザクションＩＤが付与されている第２パケットが以前にキャプチャされ記憶部４６に記憶されているか判定する。そして、検出部４４は、記憶部４６に記憶されていた第２パケットがファイル名を指定してファイルを開く命令を含むパケットであれば、該ファイルＩＤに該ファイル名が対応づけられていることを検出する。

ファイルＩＤを通知する第１パケットは、例えば、図３の例の２行目に示されるパケットである。ファイル名を指定してファイルを開く命令を含む第２パケットは、例えば、図３の例の１行目に示されるパケットである。

ステップＳ１０６でＹＥＳの場合、検出部４４は、ファイルＩＤと該ファイルＩＤに対応づけられたファイル名とを検出する。そして、検出部４４は、ファイルＩＤ、ファイル名、ファイルサーバＩＤ、および時刻（キャプチャ時刻）の組を管理情報に記録する（ステップＳ１０７）。

ステップＳ１０６でＮＯの場合、またはステップＳ１０７の処理後、制御部４７は、管理端末５からキャプチャ終了指示を受信したか判定する（ステップＳ１０８）。ステップＳ１０８でＹＥＳの場合、制御部４７は、処理を終了する。ステップＳ１０８でＮＯの場合、処理はステップＳ１０４に戻る。

以上のように、データ解析装置４は、キャプチャを開始する際のファイルＩＤとファイル名との組を記録し（ステップＳ１０２）、さらに、キャプチャしたパケットからファイルＩＤとファイル名との組を新たに記録する（ステップＳ１０７）。従って、データ解析装置４は、キャプチャ開始タイミングによらず、ファイルＩＤとファイル名との組を記憶することができる。また、データ解析装置４は、ファイルＩＤとファイル名との関連付けが変更された場合であっても、新たなファイルＩＤとファイル名との組を取得することができる。

図９は、図８のステップＳ１０１の処理の流れの一例を示すフローチャートである。取得部４２は、例えば、通信部４１を介してファイルサーバ１にファイルＩＤとファイル名との組のリストを要求する指示情報を送信する（ステップＳ２０１）。なお、記憶部４６は、例えば、予めファイルサーバ１のＩＰアドレス情報を記憶しており、通信部４１は、ＩＰアドレス情報を用いて、指示情報を送信してもよい。

取得部４２は、通信部４１を介して、ファイルサーバ１から、ファイルＩＤとファイル名との組のリストを受信する（ステップＳ２０２）。

図１０は、参照処理の流れの一例を示すフローチャートである。変換部４５は、管理端末５から、記憶部４６に記憶されたデータに対する参照リクエストを管理端末５から受信したか判定する（ステップＳ３０１）。ステップＳ３０１でＮＯの場合、処理は次のステップに進まない。

ステップＳ３０１でＹＥＳの場合、変換部４５は、参照リクエストにおいて指定された時間範囲に含まれるデータを記憶部４６から取得する（ステップＳ３０２）。記憶部４６に記憶されているデータは、パケット毎に記憶されたデータであるため、解読可能でない可能性がある。例えば、１つのファイルが複数のファイルに分割されて記憶部４６に記憶されている場合、パケット毎のデータはバイナリデータであり、解読可能でない場合がある。従って、変換部４５は、パケット毎に記憶されたデータを解読可能な形式に変換する（ステップＳ３０３）。

変換部４５は、変換された参照対象データに対応するファイル名が不明であるか判定する（ステップＳ３０４）。図４に示す例では、全てのデータがファイル名を含まないため、ステップＳ３０４でＹＥＳとなる。例えば、過去に別の参照リクエストに対応するため、参照対象データに対するファイル名を特定している場合、ステップＳ３０４でＮＯとなる。

ステップＳ３０４でＹＥＳの場合、変換部４５は、記憶部４６内のデータに対応づけられたファイルＩＤとファイルサーバＩＤとキャプチャ時刻とに基づいて管理情報から対応するファイル名を特定し、ファイルＩＤをファイル名に変換する（ステップＳ３０５）。

通信部４１は、ファイルＩＤがファイル名に変換された参照対象データを出力する（ステップＳ３０６）。通信部４１は、例えば、管理端末５にファイルＩＤがファイル名に変換された参照対象データを送信する。データ解析装置４は、例えば、図示しない表示装置に、ファイルＩＤがファイル名に変換された参照対象データを表示させてもよい。

上述のように、図１０の処理により、データ解析装置４は、キャプチャ開始タイミングによらず、ファイルＩＤとファイル名との組を記憶している。従って、データ解析装置４は、キャプチャ開始タイミングによらず、管理端末５からの参照リクエストに対して、キャプチャしたデータに対応するファイル名を特定することができる。

＜第２の実施形態のキャプチャ処理の流れの一例＞
図１１は、第２の実施形態のキャプチャ処理の流れの一例を示すフローチャートである。図１１の処理において、ステップＳ１０３〜Ｓ１０６およびＳ１０８については、図８に示す第１の実施形態の処理と同じであるため、説明を省略する。

取得部４２は、ファイルＩＤとファイル名との組をクライアント端末２から取得する（ステップＳ１０１’）。ステップＳ１０１’の処理について、詳細は後述する。

取得部４２は、取得したファイルＩＤとファイル名との組のリストをクライアントＩＤ、取得時刻とともに管理情報に記録する（ステップＳ１０２）。クライアントＩＤは、例えば、パケット取得時に得たクライアント端末２のＩＰアドレスである。クライアントＩＤは、第３識別情報の一例である。

ステップＳ１０６でＹＥＳの場合、検出部４４は、ファイルＩＤと該ファイルＩＤに対応づけられたファイル名とを検出する。そして、検出部４４は、ファイルＩＤ、ファイル名、クライアントＩＤ、および時刻（キャプチャ時刻）の組を管理情報に記録する（ステップＳ１０７’）。

図１２は、図１１のステップＳ１０１’の処理の流れの一例を示すフローチャートである。取得部４２は、例えば、通信部４１を介してクライアント端末２にファイルＩＤとファイル名との組のリストを要求する指示情報を送信する（ステップＳ４０１）。なお、記憶部４６は、例えば、予めクライアント端末２のＩＰアドレス情報を記憶しており、通信部４１は、ＩＰアドレス情報を用いて、指示情報を送信してもよい。

取得部４２は、通信部４１を介して、クライアント端末２から、ファイルＩＤとファイル名との組のリストを受信する（ステップＳ４０２）。

以上のように、第２の実施形態におけるデータ解析装置４は、クライアント端末２から、ファイルＩＤとファイル名との組のリストを取得する。例えば、クライアント端末２がファイルＩＤとファイル名との組を出力する機能を有していない場合、機能が追加される。クライアント端末２は、常時稼動していない可能性が高いため、例えば、該機能を追加する際に他のソフトウェアの停止や再起動等を実施可能であり、機能の追加を容易に行うことができる。

＜第２の実施形態の管理情報の一例＞
図１３は、第２の実施形態における管理情報の一例を示す図である。図１３に示す管理情報は、ファイルサーバＩＤではなくクライアントＩＤを含む点で、図７に示す管理情報と異なる。

「クライアントＩＤ」は、図１３に示す例では、例えば、クライアント端末２のＩＰアドレスである。クライアントＩＤは、ＩＰアドレスには限られない。クライアントＩＤは、例えば、クライアント端末２のＭＡＣアドレス等であってもよい。

「時刻」は、例えば、取得部４２が通信部４１を介して、ファイルＩＤとファイル名との組のリストをクライアント端末２から受信した時刻である。「時刻」は、例えば、取得部４２が通信部４１を介してクライアント端末２にファイルＩＤとファイル名との組のリストを要求する指示情報を送信した時刻である。また、キャプチャ開始後に記録された「時刻」は、キャプチャ時刻である。

＜第３の実施形態のキャプチャ処理の流れの一例＞
図１４は、第３の実施形態のキャプチャ処理の流れの一例を示すフローチャートである。図１４の処理において、ステップＳ５０４〜Ｓ５０８については、図１１に示す第２の実施形態のステップＳ１０４〜Ｓ１０８の処理と同じであるため、説明を省略する。

取得部４２は、ファイルサーバ１とクライアント端末２との間で伝送されるデータのキャプチャを開始する（ステップＳ５０１）。

取得部４２は、指定したパターンのアクセスをキャプチャして、ファイルＩＤとファイル名との組を取得する（ステップＳ５０２）。ステップＳ５０２の処理について、詳細は後述する。

取得部４２は、ファイルＩＤとファイル名との組をクライアントサーバＩＤおよびキャプチャ時刻（取得時刻）とともに管理情報に記録する（ステップＳ５０３）。

図１５は、図１４のステップＳ５０２の処理の流れの一例を示すフローチャートである。取得部４２は、通信部４１を介して、クライアント端末２にファイル名リストを要求する指示情報を送信する（ステップＳ６０１）。取得部４２は、通信部４１を介して、クライアント端末２からファイル名リストを受信する（ステップＳ６０２）。

取得部４２は、通信部４１を介して、ファイル名リストに含まれるいずれかのファイル名を指定して所定パターンのアクセスを行うことをクライアント端末２に要求する指示情報を送信する（ステップＳ６０３）。取得部４２は、クライアント端末２からファイルサーバ１に送られる、所定パターンのアクセスに基づくパケットをキャプチャする（ステップＳ６０４）。

取得部４２は、通信部４１を介して、所定パターンでアクセスしたことを示す通知をクライアント端末２から受信する（ステップＳ６０５）。

所定パターンのアクセスは、例えば、指定されたファイル名に対応するファイルを読み出す命令であり、該命令はファイルＩＤを含むものとする。そして、取得部４２は、所定パターンのアクセスに基づくパケットをキャプチャした場合、指定したファイル名と、キャプチャしたパケット内のファイルＩＤが対応していると判定する。所定パターンのアクセスは、ファイルを読み出す命令には限られず、ファイルＩＤを含むパケットが送信される他のアクセス方法であってもよい。

以上のように、本実施形態のデータ解析装置４は、指示に基づく所定パターンのアクセスをキャプチャすることにより、ファイルＩＤとファイル名との組を取得する。従って、本実施形態のデータ解析装置４は、ファイルサーバ１およびクライアント端末２がファイルＩＤとファイル名との組のリストを出力する機能を有していない場合であっても、ファイルＩＤとファイル名との組を取得することができる。

＜第３の実施形態の所定パターンのアクセスの一例＞
図１６は、第３の実施形態の所定パターンのアクセスの一例を示す図である。図１６に示すデータの形式は図３に示すデータと同様である。図１６におけるデータのうち、"A"はクライアント端末２の識別情報であり、"B"はファイルサーバ１の識別情報であるとする。図１６のうち、"A"から"B"へのアクセスが所定パターンのアクセスである。

例えば、クライアント端末２は、"0123456"というファイルＩＤに対して、0バイトを開始位置として1024バイトのデータを読み出す。また、クライアント端末２は、"0123456"というファイルＩＤに対して、1024バイトを開始位置として128バイトのデータを読み出す。また、クライアント端末２は、"0123456"というファイルＩＤに対して、2048バイトを開始位置として256バイトのデータを読み出す。

すなわち、図１６に示す例では、データ解析装置４から指示された所定パターンのアクセスは、計３回のファイルを読み出す命令であり、オフセットとアクセス長を含むものである。図１６の例に示す所定パターンのアクセスは、複数のアクセス条件を含むため、クライアント端末２が自発的に行ったアクセスとの混同を防ぐことができる。

＜第４の実施形態のキャプチャ処理の流れの一例＞
図１７は、第４の実施形態のキャプチャ処理の流れの一例を示すフローチャートである。図１７の処理において、ステップＳ１０１〜Ｓ１０７、およびＳ１０８については、図８に示す第１の実施形態の処理と同じであるため、説明を省略する。

制御部４７は、キャプチャしたパケット内のデータに、所定のファイルを閉じる命令（CLOSE命令）が含まれるか判定する（ステップＳ１０７ａ）。なお、所定のファイルを閉じる命令には、対象のファイルＩＤが含まれるものとする。

ステップＳ１０７ａでＹＥＳの場合、制御部４７は、CLOSE命令をキャプチャした時刻を、所定のファイルのファイルＩＤと対応づけて関連付け終了時刻として、管理情報に記録する（ステップＳ１０７ｂ）。上述のように、ファイルを閉じる際に、ファイルＩＤとファイル名との関連付けが終了するためである。制御部４７は、例えば、ファイルを閉じる命令に含まれるファイルＩＤと送信先のファイルサーバＩＤとが含まれるエントリを管理情報から検索し、該当するエントリに、関連付け終了時刻を記録する。

図１７に示す本実施形態の処理は、図１１のステップＳ１０７’の後にステップＳ１０７ａおよびＳ１０７ｂを追加した処理であってもよい。または、本実施形態の処理は、図１４のステップＳ５０７の後にステップＳ１０７ａおよびＳ１０７ｂを追加した処理であってもよい。

＜第４の実施形態の管理情報の例＞
図１８は、第４の実施形態における管理情報の一例を示す図である。管理情報には、ファイル名とファイルＩＤとファイルサーバＩＤと登録時刻と関連付け終了時刻とが対応付けて記録されている。登録時刻は、図６および図７の例における「時刻」である。

変換部４５は、記憶部４６に記憶される参照対象データに含まれるファイルＩＤとファイルサーバＩＤとキャプチャ時刻とに基づいて、管理情報から対応するファイル名を特定する。変換部４５は、参照対象データに含まれるファイルＩＤとファイルサーバＩＤに対応するエントリが管理情報に複数存在する場合、キャプチャ時刻が登録時刻と関連付け終了時刻の間となるエントリを選択する。

終了時刻が記録されていない場合、変換部４５は、第１の実施形態における処理を実行する。すなわち、変換部４５は、参照対象データに含まれるファイルＩＤとファイルサーバＩＤに対応するエントリが管理情報に複数存在する場合、キャプチャ時刻以前の登録時刻のうち最新の登録時刻を含むエントリを選択する。

例えば、参照対象データに含まれるファイルＩＤが"0x1212"であり、ファイルサーバＩＤが"192.168.0.1"であり、キャプチャ時刻が"10：30"であったとする。"10：30"は、一つ目のエントリにおける登録時刻の"10：00"と関連付け終了時刻の"11：21"の間である。従って、変換部４５は、ファイル名として、一つ目のエントリに記録されている"AAAAA"を特定し、参照対象データに含まれるファイルＩＤ"0x1212"をファイル名"AAAAA"に変換する。

また、例えば、参照対象データに含まれるファイルＩＤが"0x1212"であり、ファイルサーバＩＤが"192.168.0.1"であり、キャプチャ時刻が"12：30"であったとする。"12：30"は、一つ目のエントリにおける登録時刻の"10：00"と関連付け終了時刻の"11：21"の間にない。一方、４つ目のエントリの登録時刻は"12：00"であり、キャプチャ時刻"12：30"以前の登録時刻のうちの最新の登録時刻である。従って、変換部４５は、ファイル名として、４つ目のエントリに記録されている"CCCCC"を特定し、参照対象データに含まれるファイルＩＤ"0x1212"をファイル名"CCCCC"に変換する。

図１８に示す管理情報では、ファイルＩＤが"0x1212"であり、ファイルサーバＩＤが"192.168.0.1"であるエントリは２つ存在する。しかし、管理情報に、関連付け終了時刻が含まれている場合、変換部４５は、上述のように一つ目のエントリのみを参照してファイル名を特定することができる。従って、本実施形態のデータ解析装置４は、ファイル名を特定する処理を高速化することができる。

＜第５の実施形態の処理の流れの一例＞
第５の実施形態では、ファイルサーバ１、クライアント端末２、および中継装置３が新たに追加された場合の処理を示す。

図１９は、第５の実施形態の処理の流れの一例を示すフローチャートである。制御部４７は、ファイルサーバ１、クライアント端末２、および中継装置３の組がシステムに追加されたかを判定する（ステップＳ７０１）。制御部４７は、例えば、管理端末５から、ファイルサーバ１、クライアント端末２、および中継装置３の組がシステムに追加されたことを示す情報が送信されたかを判定する。ステップＳ７０１でＮＯの場合、制御部４７は、処理を終了する。

ステップＳ７０１でＹＥＳの場合、制御部４７は、追加されたファイルサーバ１、クライアント端末２、および中継装置３の組に対して、新たなキャプチャ処理を開始させる（ステップＳ７０２）。ステップＳ７０２で開始されるキャプチャ処理は、図８、図１１、図１４、および図１７に示す処理のいずれかである。

ファイルサーバ１、クライアント端末２、および中継装置３の組がシステムに追加された場合、通信部４１は、管理端末５から、ファイルサーバ１、クライアント端末２、および中継装置３のそれぞれのＩＰアドレス情報を受信してもよい。受信したＩＰアドレス情報は、記憶部４６に記憶され、キャプチャ処理における通信に用いられる。

第５の実施形態のデータ解析装置４は、ファイルサーバ１、クライアント端末２、および中継装置３が新たに追加された場合でも、自動でキャプチャ処理を開始することができる。

＜データ解析装置のハードウェア構成の一例＞
次に、図２０の例を参照して、データ解析装置４のハードウェア構成の一例を説明する。図２０の例に示すように、バス１００に対して、プロセッサ１１１とRandom Access Memory(RAM)１１２とRead Only Memory(ROM)１１３とが接続される。また、該バス１００に対して、補助記憶装置１１４と媒体接続部１１５と通信インタフェース１１６とが接続される。

プロセッサ１１１は、ＲＡＭ１１２に展開されたプログラムを実行する。実行されるプログラムとしては、実施形態における処理を行うデータ解析プログラムが適用されてもよい。

ＲＯＭ１１３は、ＲＡＭ１１２に展開されるプログラムを記憶する不揮発性の記憶装置である。補助記憶装置１１４は、種々の情報を記憶する記憶装置であり、例えばハードディスクドライブや半導体メモリ等が適用されてもよい。補助記憶装置１１４に実施形態の処理を行うデータ解析プログラムが記録されていてもよい。

媒体接続部１１５は、可搬型記録媒体１１７と接続可能に設けられている。可搬型記録媒体１１７としては、可搬型のメモリや光学式ディスク（例えば、Compact Disc(CD)やDigital Versatile Disc(DVD))、半導体メモリ等が適用されてもよい。可搬型記録媒体１１７に実施形態の処理を行うデータ解析プログラムが記録されていてもよい。

図２に示す記憶部４６は、ＲＡＭ１１２や補助記憶装置１１４等により実現されてもよい。図２に示す通信部４１は、通信インタフェース１１６により実現されてもよい。図２に示す取得部４２、キャプチャ部４３、検出部４４および変換部４５は、与えられたデータ解析プログラムをプロセッサ１１１が実行することにより実現されてもよい。

ＲＡＭ１１２、ＲＯＭ１１３、補助記憶装置１１４および可搬型記録媒体１１７は、何れもコンピュータ読み取り可能な有形の記憶媒体の一例である。これらの有形な記憶媒体は、信号搬送波のような一時的な媒体ではない。

＜その他＞
本実施形態は、以上に述べた実施の形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。

１ファイルサーバ
２クライアント端末
３中継装置
４データ解析装置
５管理端末
４１通信部
４２取得部
４３キャプチャ部
４４検出部
４５変換部
４６記憶部
４７制御部
１００バス
１１１プロセッサ
１１２ＲＡＭ
１１３ＲＯＭ
１１４補助記憶装置
１１５媒体接続部
１１６通信インタフェース
１１７可搬型記録媒体

Claims

コンピュータに、
ファイルに関するデータのキャプチャを開始する際に、前記ファイルを識別する第１識別情報と前記ファイルのファイル名との組を取得して、該組および該組の取得時刻を、記憶部に記憶された管理情報に記録し、
前記データをキャプチャした際に、キャプチャされた前記データに含まれる前記第１識別情報とキャプチャした前記データよりも前にキャプチャされた他のデータに含まれるファイル名とが対応づけられていることを検出した場合、前記第１識別情報と前記ファイル名との組およびキャプチャ時刻を前記管理情報に記録し、
前記データへの参照リクエストを受信した場合、前記記憶部の管理情報を参照して、前記参照リクエストに含まれる第１識別情報および時間情報に対応するファイル名を特定して、前記データに含まれる第１識別情報を、特定された前記ファイル名に変換し、
前記第１識別情報が前記ファイル名に変換された前記データを出力する
処理を実行させるデータ解析プログラム。
前記コンピュータに、
前記キャプチャを開始する際に、前記ファイルを記憶するファイルサーバから、前記第１識別情報とファイル名との組のリストを取得して、前記リストに含まれる前記第１識別情報とファイル名とを前記ファイルサーバを識別する第２識別情報と取得時刻とともに前記管理情報に記録する
処理を実行させることを特徴とする請求項１記載のデータ解析プログラム。
前記コンピュータに、
前記キャプチャを開始する際に、前記ファイルを記憶するファイルサーバと通信可能なクライアント端末から、前記第１識別情報とファイル名との組のリストを取得して、前記リストに含まれる前記第１識別情報とファイル名とを前記クライアント端末を識別する第３識別情報と取得時刻とともに前記管理情報に記録する
処理を実行させることを特徴とする請求項１に記載のデータ解析プログラム。
前記コンピュータに、
前記キャプチャを開始する際に、前記ファイルを記憶するファイルサーバと通信可能なクライアント端末からファイル名のリストを取得し、
前記クライアント端末に、所定のファイル名を指定して該所定のファイル名が付与されたファイルに対する所定パターンのアクセスを要求し、
前記所定パターンのアクセスに基づくデータをキャプチャし、キャプチャした前記データに含まれる第１識別情報と指定した前記ファイル名との組をキャプチャ時刻とともに前記管理情報に記録する
処理を実行させることを特徴とする請求項１に記載のデータ解析プログラム。
前記コンピュータに、
キャプチャしたデータに、所定のファイルを閉じる命令が含まれる場合、該データをキャプチャした時刻を前記所定のファイルの第１識別情報と対応付けて前記管理情報に記録する
処理を実行させることを特徴とする請求項１乃至４のうち何れか１項に記載のデータ解析プログラム。
前記コンピュータに、
前記ファイルを記憶するファイルサーバと前記ファイルサーバと通信可能な前記クライアント端末とが新たに追加された場合に、追加された前記ファイルサーバと、前記クライアント端末との間で伝送されるデータをキャプチャする処理を新たに開始させる
処理を実行させることを特徴とする請求項１乃至５のうち何れか１項に記載のデータ解析プログラム。
コンピュータが、
ファイルに関するデータのキャプチャを開始する際に、前記ファイルを識別する第１識別情報と前記ファイルのファイル名との組を取得して、該組および該組の取得時刻を、記憶部に記憶された管理情報に記録し、
前記データをキャプチャした際に、キャプチャされた前記データに含まれる前記第１識別情報とキャプチャした前記データよりも前にキャプチャされた他のデータに含まれるファイル名とが対応づけられていることを検出した場合、前記第１識別情報と前記ファイル名との組およびキャプチャ時刻を前記管理情報に記録し、
前記データへの参照リクエストを受信した場合、前記記憶部の管理情報を参照して、前記参照リクエストに含まれる第１識別情報および時間情報に対応するファイル名を特定して、前記データに含まれる第１識別情報を、特定された前記ファイル名に変換し、
前記第１識別情報が前記ファイル名に変換された前記データを出力する
処理を実行することを特徴とするデータ解析方法。
ファイルに関するデータのキャプチャを開始する際に、前記ファイルを識別する第１識別情報と前記ファイルのファイル名との組を取得して、該組および該組の取得時刻を、記憶部に記憶された管理情報に記録する取得部と、
前記データをキャプチャした際に、キャプチャされた前記データに含まれる前記第１識別情報とキャプチャした前記データよりも前にキャプチャされた他のデータに含まれるファイル名とが対応づけられていることを検出した場合、前記第１識別情報と前記ファイル名との組およびキャプチャ時刻を前記管理情報に記録する検出部と、
前記データへの参照リクエストを受信した場合、前記記憶部の管理情報を参照して、前記参照リクエストに含まれる第１識別情報および時間情報に対応するファイル名を特定して、前記データに含まれる第１識別情報を、特定された前記ファイル名に変換する変換部と、
前記第１識別情報が前記ファイル名に変換された前記データを出力する通信部と、
を備えることを特徴とするデータ解析装置。