JP2020184690A - パケット分類プログラム、パケット分類方法、および、情報処理装置 - Google Patents

Abstract

【課題】パケットの分類処理を並列化する。【解決手段】複数のスレッドの各々は、入力パケットが端末の識別情報を含む場合、入力パケットの送信に使用されるセッションの識別情報を、端末に対応付けられた分類先と入力パケットの時刻情報に対応付けて記憶部に記憶する。入力パケットの分類処理を行う複数の分類スレッドの各々は、対象パケットの送信に使用されたセッションの識別情報と対象パケットの時刻情報以前の時刻に対応付けられた分類先を、記憶部を参照して特定する。この処理は、分類処理の対象パケットが対象パケットを処理する端末の識別情報を含まない場合に行われる。複数の分類スレッドの各々は、特定した分類先のうち相対的に遅い時刻に対応付けられた分類先に、対象パケットを分類する。【選択図】図２

Description

本発明は、パケット分類プログラム、パケット分類方法、および、情報処理装置に関する。

３ＧＰＰ(3rd Generation Partnership Project)で標準化されている移動体通信技術（ＬＴＥ、Long Term Evolution）が普及している。ＬＴＥネットワークの例を図１に示す。端末７（７ａ、７ｂ）は、ｅＮＢ（Evolved Node B）１に接続して通信を行う。ｅＮＢ１は、ＭＭＥ（Mobility Management Entity）２とＳＧＷ（Serving Gateway）４に接続されている。ＭＭＥ２は、ＨＳＳ（Home Subscriber Server）３とＳＧＷ４に接続されている。ＳＧＷ４は、ＰＧＷ（Packet Data Network Gateway）５を介してインターネット６に接続されている。

このようなネットワークで障害が発生した場合、予めキャプチャしておいたパケットを、そのパケットを送受信する端末ごとに分類し、原因の特定に使用できる。図１の例では、ＭＭＥ２がｅＮＢ１から送信されたパケットをキャプチャしている。図１の例では、端末７ｂから送信されたパケットを白抜きの四角形で示し、端末７ａから送信されたパケットを斜線入りの四角形で示している。ｅＮＢ１は、端末７ａと端末７ｂの各々からパケットを受信すると受信パケットをＭＭＥ２に転送するので、ＭＭＥ２は、端末７ａから送信されたパケットと端末７ｂから送信されたパケットが混在したパケット群を受信する。ここで、各端末７は、加入者認識番号（ＩＭＳＩ、International Mobile Subscriber Identity）を用いて識別される。図１の例では、端末７ａのＩＭＳＩはＡであり、端末７ｂのＩＭＳＩはＢである。各端末７から送信されるパケットには、送信元を識別するＩＭＳＩとパケットの送受信に使用されるセッションの識別情報の両方を含むパケットと、ＩＭＳＩを含まずセッションの識別情報のみを含むパケットがある。ＩＭＳＩを含まないパケットは、そのパケットの前に処理されたパケットに含まれているＩＭＳＩとセッションの識別情報の組み合わせの情報を用いて分類される。このため、図１に示すように、ＭＭＥ２がキャプチャしている各パケットが送信元に対応付けて分類され得る。

関連する技術として、受信パケットと送信パケットに呼処理装置で付加されたシーケンスの再現に使用する情報と、送信パケットと受信パケットのペイロードが一致することを利用してシーケンスを識別するシステムがある（例えば、特許文献１）。パケット網で転送されるパケットを収集して属性情報に応じてグループ分けし、グループごとに分類されたパケット挙動に対応するサービス種別を決定した上で、サービス種別に対応する品質指標を測定するシステムが提案されている（例えば、特許文献２）。

特開２０１５−２０４５３８号公報 特開２０１８−１３７４９９号公報

端末７の普及に伴い、ネットワークで送受信されるパケットの量も増加しているので、パケットの分類を並列処理することなどによりパケットの分類にかかる時間を短縮することが望ましい。しかし、並列処理を行うと、各スレッドにおいて、ＩＭＳＩとセッションの識別情報の両方を含むパケットを処理した後でないと、ＩＭＳＩを含まないパケットの分類先が特定されない。このため、ＩＭＳＩとセッションの識別情報の両方を含むパケットをあるスレッドで処理し、ＩＭＳＩを含まない後続のパケットを別のスレッドに入力すると、ＩＭＳＩを含まないパケットの分類に失敗してしまう。従って、パケットの分類処理の並列化は困難である。また、関連する技術として述べた技術を用いても、この問題は解決されない。

本発明は、１つの側面として、パケットの分類処理を並列化することを目的とする。

ある１つの態様にかかるパケット分類プログラムは情報処理装置で実行される。複数のスレッドの各々は、入力パケットが端末の識別情報を含む場合、前記入力パケットの送信に使用されるセッションの識別情報を、前記端末に対応付けられた分類先と前記入力パケットの時刻情報に対応付けて記憶部に記憶する。前記入力パケットの分類処理を行う複数の分類スレッドの各々は、前記対象パケットの送信に使用されたセッションの識別情報と前記対象パケットの時刻情報以前の時刻に対応付けられた前記分類先を、前記記憶部を参照して特定する。この処理は、前記分類処理の対象パケットが前記対象パケットを処理する端末の識別情報を含まない場合に行われる。複数の分類スレッドの各々は、特定した前記分類先のうち相対的に遅い時刻に対応付けられた分類先に、前記対象パケットを分類する。

パケットの分類処理が並列化できる。

パケットの分類処理の例を説明する図である。 実施形態にかかるパケットの分類処理の例を説明するシーケンス図である。 情報処理装置の構成の例を説明する図である。 情報処理装置のハードウェア構成の例を説明する図である。 ネットワークの例を説明する図である。 パケットのフォーマットの例を説明する図である。 並列処理でのパケットの処理分担の例を説明する図である。 マップ情報とマップ補助情報の例を説明する図である。 マップ情報の更新処理の例を説明する図である。 マップ情報とマップ補助情報の更新処理の例を説明するフローチャートである。 マッピングテーブルの生成処理の例を説明するフローチャートである。 マージ処理の例を説明するフローチャートである。 マッピングテーブルの生成例を説明する図である。 パケットの分類処理の例を説明するフローチャートである。 分類先の決定方法の例を説明するフローチャートである。 パケットの分類処理の例を説明する図である。 第２の実施形態にかかる情報処理装置の構成の例を説明する図である。 検索式の生成方法の例を説明するフローチャートである。 検索式の生成方法の例を説明するフローチャートである。 検索式の生成方法の例を説明する図である。 パケットの検索処理の例を説明する図である。

図２は、実施形態にかかるパケットの分類処理の例を説明するシーケンス図である。実施形態にかかる方法では、パケットに含まれる送信元の識別情報、セッションの識別情報、および、時刻情報は、複数のパケット情報抽出スレッド３５での並列処理によって抽出される。パケット情報抽出スレッド３５は、１つのパケットから抽出した情報が送信元の識別情報とセッション識別情報の組み合わせを含む場合、抽出した情報をマップ情報８１に登録する。例えば、パケット情報抽出スレッド３５ａは、時刻情報＝Ｔ１のパケットＰ１から送信元の情報とセッション識別情報の組み合わせ（Ｘ，ＳＥ１）を抽出したとする（手順Ｐｒ１）。すると、パケット情報抽出スレッド３５ａは、抽出した情報を他のスレッドがアクセスできるようにするために、抽出した情報を他のスレッドと共通で使用する記憶部８０に記憶する。また、パケット情報抽出スレッド３５ａは、パケットの送信元Ｘに関連するパケットを格納先αに格納することを決定したとする。パケット情報抽出スレッド３５ａは、パケットＰ１に含まれている送信元の情報とセッション識別情報（Ｘ，ＳＥ１）の各々を、パケットＰ１の時刻情報Ｔ１、および、送信元Ｘに対応付けて決定した格納先に対応付けて記憶部８０に記憶させる（手順Ｐｒ２）。記憶部８０は、時刻Ｔ１および格納先αを（Ｘ，ＳＥ１）に対応付けて記憶する（手順Ｐｒ３）。

一方、パケット情報抽出スレッド３５ｂは、時刻情報＝Ｔ３のパケットＰ３から送信元の情報とセッション識別情報の組み合わせ（Ｙ，ＳＥ１）を抽出したとする（手順Ｐｒ４）。また、パケット情報抽出スレッド３５ｂはパケットの送信元Ｙに関連するパケットを格納先βに格納することを決定したとする。すると、パケット情報抽出スレッド３５ｂは、パケットＰ３に含まれている送信元の情報とセッション識別情報の組み合わせ（Ｙ，ＳＥ１）、パケットＰ３の時刻情報Ｔ３、および、格納先βを記憶部８０に通知する（手順Ｐｒ５）。記憶部８０は、時刻Ｔ３と格納先βを（Ｙ，ＳＥ１）に対応付けて記憶する。このため、記憶部８０に記憶されている情報は、
時刻Ｔ１、（Ｘ，ＳＥ１）、α
時刻Ｔ３、（Ｙ，ＳＥ１）、β
となる（手順Ｐｒ６）。

実施形態にかかる方法では、パケットの分類も複数の分類スレッド６５（６５ａ、６５ｂ）での並列処理によって行われる。このとき、各分類スレッド６５は、記憶部８０に記憶されている情報を用いて、パケットを分類する。例えば、分類スレッド６５ａが時刻情報＝Ｔ２を含むパケットＰ２を分類処理の対象として取得したとする。ここで、時刻Ｔ２は時刻Ｔ１より後で時刻Ｔ３より前（Ｔ１＜Ｔ２＜Ｔ３）であるとする。また、パケットＰ２には、送信元の識別情報が含まれていないが、セッション識別情報＝ＳＥ１が含まれているとする。分類スレッド６５は、パケットＰ２中のセッション識別情報ＳＥ１を抽出する（手順７）。分類スレッド６５ａは、パケットＰ２中のセッション識別情報ＳＥ１が、時刻Ｔ２の時点ではどの送信元に対応付けられるかを判定するために記憶部８０を参照する（手順Ｐｒ８）。手順Ｐｒ８の時点では、セッション識別情報＝ＳＥ１という情報について、ＸとＹの２つの送信元が対応付けられている。時刻Ｔ３では、セッション識別情報＝ＳＥ１に対して送信元Ｙが対応付けられているので、時刻Ｔ３以降ではセッション識別情報＝ＳＥ１のセッションはＹが使用している。一方、時刻Ｔ１の時点では、セッション識別情報＝ＳＥ１に対応付けられた送信元はＸであるので、時刻Ｔ１以降で時刻Ｔ３まではセッション識別情報＝ＳＥ１のセッションはＸが使用している。分類スレッド６５ａは、パケットＰ２の時刻情報Ｔ２は時刻Ｔ１より後で時刻Ｔ３より前であるので、パケットＰ２が送信された時点では、セッション識別情報＝ＳＥ１で識別されるセッションは送信元Ｘによって使用されていたと判定する。そこで、分類スレッド６５ａは、時刻情報＝Ｔ２のパケットＰ２を、送信元Ｘに対応付けられた格納先αに分類する（手順Ｐｒ９）。

このように、実施形態にかかる方法では、パケットからの情報の抽出やパケットの分類は複数のスレッドが並列的に行うが、各パケット情報抽出スレッド３５は、共通に使用する記憶部８０に抽出した情報を記録する。このため、分類スレッド６５は、処理対象のパケット中に送信元を識別する情報が含まれていなくても、処理対象のパケットの送信元を記憶部８０中の情報を用いて特定することができ、送信元に対応付けてパケットを分類できる。従って、実施形態にかかる方法では、複数のパケットを複数のスレッドで並列処理することによりパケットの分類処理にかかる時間を短縮することができる。また、並列処理を行っても、パケットの分類に使用する情報がスレッド間で共有されるため、パケット情報抽出スレッド３５や各分類スレッド６５での処理対象のパケットの割り当て状況によらず、全てのパケットが処理可能である。

＜装置構成とネットワークの例＞
以下、送信元の識別情報がＩＭＳＩであり、パケットの送受信に使用されるプロトコルがＧＴＰ（GPRS Tunneling Protocol）である場合を例として説明する。パケットの送受信に使用されるセッションの識別情報として、ＩＰ（Internet Protocol）アドレスとＴＥＩＤ（tunnel endpoint identifier）の組み合わせが使用されるものとする。以下、セッションの識別情報として使用されるＩＰアドレスとＴＥＩＤの組み合わせをＩＰ＿ＴＥＩＤと記載することがある。

図３は、情報処理装置１０の構成の例を説明する図である。情報処理装置１０は、通信部１５、制御部２０、および、記憶部８０を備える。記憶部８０は、マップ情報８１、マップ補助情報８２、および、マッピングテーブル８３を有する。マップ情報８１は、ＩＭＳＩとパケットの送受信に使用されるセッション識別情報の両方を含むパケットから得られるマッピングのための情報である。マップ補助情報８２は、複数のセッションの識別情報を含むパケットの分析から得られた情報である。マッピングテーブル８３は、マップ情報８１とマップ補助情報８２の両者の情報を統合することにより生成される。

制御部２０は、作成部３０、マージ処理部５０、および、分類制御部６０を有する。作成部３０は、抽出処理部４０を有する。図３では、抽出処理部４０ａと抽出処理部４０ｂを図示しているが、抽出処理部４０の数は１つ以上の任意の数である。なお、個々の抽出処理部４０は、パケットの分類処理に使用する情報を抽出するために動作するプログラムのスレッドによって実現され得る。抽出処理部４０は、抽出部４１（４１ａ、４１ｂ）と登録処理部４２（４２ａ、４２ｂ）を有する。抽出部４１は、入力されたパケット中のＩＭＳＩ、セッションの識別情報などを抽出するとともに、パケット中の時刻情報も抽出する。登録処理部４２は、ＩＭＳＩを含むパケットから抽出された情報をマップ情報８１に記録する。さらに、登録処理部４２は、ＩＭＳＩを含まないが複数のＩＰ＿ＴＥＩＤを含むパケットから抽出された情報をマップ補助情報８２に登録する。マージ処理部５０は、マップ情報８１とマップ補助情報８２を統合することによりマッピングテーブル８３を生成する。

分類制御部６０は分類処理部７０を有する。図３では分類処理部７０ａと分類処理部７０ｂを図示しているが、分類処理部７０の数は１つ以上の任意の数である。個々の分類処理部７０は、パケットの分類処理を行うプログラムのスレッドによって実現され得る。分類処理部７０は、決定部７１（７１ａ、７１ｂ）と分類部７２（７２ａ、７２ｂ）を有する。決定部７１は、パケットの分類先を決定する。分類部７２は、決定部７１によって決定された分類先にパケットを分類する。

図４は、情報処理装置１０のハードウェア構成の例を説明する図である。情報処理装置１０は、プロセッサ１０１、メモリ１０２、バス１０５、ネットワークインタフェース１０９を備える。さらに、情報処理装置１０は、入力装置１０３、出力装置１０４、記憶装置１０６、可搬記憶媒体駆動装置１０７の１つ以上を有していても良い。情報処理装置１０は、例えば、コンピュータ、サーバ装置などによって実現され得る。

プロセッサ１０１は、任意の処理回路であり、例えば、Central Processing Unit（ＣＰＵ）とすることができる。プロセッサ１０１は、例えば、メモリ１０２や記憶装置１０６に記憶されたプログラムを実行することができる。メモリ１０２は、プロセッサ１０１の動作により得られたデータや、プロセッサ１０１の処理に用いられるデータを、適宜、記憶する。記憶装置１０６は、プログラムやデータなどを格納し、格納している情報を、適宜、プロセッサ１０１などに提供する。ネットワークインタフェース１０９は、情報処理装置１０が他の装置と通信するための処理を行う。

バス１０５は、プロセッサ１０１、メモリ１０２、入力装置１０３、出力装置１０４、記憶装置１０６、可搬記憶媒体駆動装置１０７、ネットワークインタフェース１０９を、相互にデータの送受信が可能になるように接続する。入力装置１０３は、キーボード、マウス、マイク、カメラなど、情報の入力に使用される任意の装置であり、出力装置１０４は、ディスプレイなど、データの出力に使用される任意の装置である。可搬記憶媒体駆動装置１０７は、メモリ１０２や記憶装置１０６のデータを可搬記憶媒体１０８に出力することができ、また、可搬記憶媒体１０８からプログラムやデータ等を読み出すことができる。ここで、可搬記憶媒体１０８は、Compact Disc Recordable（ＣＤ−Ｒ）やDigital Versatile Disk Recordable（ＤＶＤ−Ｒ）を含む、持ち運びが可能な任意の記憶媒体とすることができる。

情報処理装置１０において、プロセッサ１０１は、制御部２０として動作する。メモリ１０２および記憶装置１０６は、記憶部８０として動作する。ネットワークインタフェース１０９は通信部１５として動作する。

図５は、ネットワークの例を説明する図である。図５も、図１を参照しながら説明したネットワークと同様のＬＴＥネットワークを含む。図５でも、ｅＮＢ１に端末７ａと端末７ｂが接続している。また、端末７ａのＩＭＳＩはＡであり端末７ｂのＩＭＳＩはＢである。ｅＮＢ１はＭＭＥ２とＳＧＷ４に接続されており、ＭＭＥ２はＨＳＳ３とＳＧＷ４に接続されている。ＳＧＷ４は、ＰＧＷ５を介してインターネット６に接続されている。情報処理装置１０は、ＭＭＥ２、ＨＳＳ３、ＳＧＷ４、および、ＰＧＷ５の１つ以上に接続され得る。情報処理装置１０は、ＭＭＥ２、ＨＳＳ３、ＳＧＷ４、および、ＰＧＷ５のうちでパケットをキャプチャしている装置から、その装置がキャプチャしたパケットを取得し、パケットの送信元の端末７ごとに分類する。なお、パケットのキャプチャの際に、パケットをキャプチャした装置は、パケットをキャプチャしたときの時刻情報を含むｐｃａｐ（packet capture）ヘッダをパケットに付加する。

＜第１の実施形態＞
図６は、パケットのフォーマットの例を説明する図である。ネットワーク中で送受信されるパケットは、ＩＭＳＩの有無とパケット中のＩＰ＿ＴＥＩＤの数を用いると、以下の３通りに分類される。
タイプ１：ＩＭＳＩを含み、１つのＩＰ＿ＴＥＩＤを含む
タイプ２：ＩＭＳＩを含まず、１つのＩＰ＿ＴＥＩＤを含む
タイプ３：ＩＭＳＩを含まず、２つのＩＰ＿ＴＥＩＤを含む
いずれのタイプのパケットもｐｃａｐヘッダ、ＩＰヘッダ、ｇｔｐｖ２ヘッダ、および、ペイロードを含む。なお、図６では、ペイロード部分は省略している。ｐｃａｐヘッダには、タイムスタンプが含まれる。タイムスタンプは、そのパケットがキャプチャされた時刻を示す。

Ｆ１は、タイプ１のパケットのフォーマットの例である。タイプ１のパケットは、ｇｔｐｖ２ヘッダ中に、パケットの送信元の端末７に割り当てられたＩＭＳＩ、通信に使用するセッションの終点のうちの送信元の端末側のセッションの終点（source TEID）、送信元のＩＰアドレスを含む。なお、ＩＰヘッダには、パケットの送信元のＩＰアドレスと宛先のＩＰアドレスが含まれる。タイプ１のパケットは、セッション開始要求などに使用され得る。

Ｆ２は、タイプ２のパケットのフォーマットの例である。タイプ２のパケットは、ｇｔｐｖ２ヘッダ中に、通信に使用するセッションの終点のうちの宛先の端末側のセッションの終点（destination TEID）を含む。すなわち、タイプ２のパケットには、ＩＰヘッダ中の宛先アドレスの情報と、パケットの宛先側のＩＰ＿ＴＥＩＤが含まれている。タイプ２のパケットは、セッション確立後の通信に使用され得る。

Ｆ３は、タイプ３のパケットのフォーマットの例である。タイプ３のパケットは、ｇｔｐｖ２ヘッダ中に、通信に使用するセッションの変更前における送信元の端末側のセッションの終点、セッションの変更後における送信元の端末側のセッションの終点、および、送信元のＩＰアドレスを含む。すなわち、タイプ３のパケットのｇｔｐｖ２ヘッダとＩＰヘッダを用いると、パケットの送信元側のＩＰ＿ＴＥＩＤの変更の前後のＩＰ＿ＴＥＩＤが特定され得る。タイプ３のパケットは、セッション開始応答やノード移動時に送受信されるパケットとして使用され得る。

以下、情報処理装置１０で行われる処理の例を、（１）パケット中の情報の抽出と登録、（２）マッピングテーブル８３の生成、および、（３）パケットの分類処理に分けて説明する。

（１）パケット中の情報の抽出と登録
図７は、並列処理でのパケットの処理分担の例を説明する図である。以下、処理対象のパケット群からの情報の抽出が抽出処理部４０ａと抽出処理部４０ｂで並列に行われる場合について説明する。なお、抽出処理部４０ａと抽出処理部４０ｂのいずれも、記憶部８０中のマップ情報８１やマップ補助情報８２の更新が可能である。

分類される対象となるパケット群をＰＩ１に示す。以下の図では、見やすくするために、各パケットについて、タイムスタンプ、ＩＭＳＩの有無、ＩＰ＿ＴＥＩＤのみを示す。ＰＩ１の例では、Ｔｉｍｅ＝２０２までの時刻に対応付けられたパケットが含まれている。ここで、ＰＩ１に示すパケットのうち、Ｔｉｍｅ＝１００以前の時刻に対応付けられたパケットが抽出処理部４０ａで処理され、Ｔｉｍｅ＝１０１〜２０２に対応付けられたパケットが抽出処理部４０ｂで処理されるとする。抽出処理部４０ａで処理するパケット群をＰＩ２、抽出処理部４０ｂで処理するパケット群をＰＩ３に示す。

図８は、抽出処理部４０ｂの処理によって得られるマップ情報８１とマップ補助情報８２の例を説明する図である。抽出部４１ｂは、タイプ１のパケットからＩＭＳＩ、ＩＰ＿ＴＥＩＤ、および、時刻情報を抽出し、タイプ３のパケットから２つのＩＰ＿ＴＥＩＤと時刻情報を抽出する。一方、タイプ２のパケットについては、抽出部４１ｂは抽出処理を行わない。また、登録処理部４２ｂは、抽出部４１ｂが抽出した情報をマップ情報８１かマップ補助情報８２に登録する。例えば、抽出部４１ｂと登録処理部４２ｂは、ＰＩ３に示すパケットをＴｉｍｅの値が小さいものから順に処理するとする。

Ｔｉｍｅ＝１０１のパケットはタイプ２のパケットであるので、抽出部４１ｂと登録処理部４２ｂのいずれもＴｉｍｅ＝１０１のパケットを処理しない。Ｔｉｍｅ＝１０２のパケットはタイプ３のパケットであるので、抽出部４１ｂは、以下の情報を抽出する。
Ｔｉｍｅ ＝１０２
ＩＰ＿ＴＥＩＤ＝ＣＣＣ
ＩＰ＿ＴＥＩＤ＝ＥＥＥ
登録処理部４２ｂは、抽出された情報にＩＭＳＩが含まれていないので、抽出された情報をマップ補助情報８２に登録する。登録処理部４２ｂの登録処理により、マップ補助情報８２は図８のマップ補助情報８２＿１に示すとおりに更新される。マップ補助情報８２は、１つのパケットに含まれている２つのＩＰ＿ＴＥＩＤの組み合わせと、時刻情報を含む。

Ｔｉｍｅ＝１０３のパケットはタイプ２のパケットであるので、抽出部４１ｂと登録処理部４２ｂのいずれもＴｉｍｅ＝１０３のパケットを処理しない。Ｔｉｍｅ＝２００のパケットはタイプ１のパケットである。このため、抽出部４１ｂは、Ｔｉｍｅ＝２００のパケットから以下の情報を抽出する。
Ｔｉｍｅ ＝２００
ＩＭＳＩ ＝Ｂ
ＩＰ＿ＴＥＩＤ＝ＣＣＣ
登録処理部４２ｂは、抽出された情報にＩＭＳＩが含まれているので、抽出された情報をマップ情報８１に登録する。登録に際して、登録処理部４２ｂは、ＩＭＳＩ＝Ｂの端末７のパケットの分類先をｂに決定したとする。マップ情報８１は、ＩＭＳＩ、ＩＰ＿ＴＥＩＤ、時刻情報（Ｔｉｍｅ）、および、分類先を含む。マップ情報８１への登録の際に、登録処理部４２ｂは、ＩＭＳＩとＩＰ＿ＴＥＩＤを各々別のエントリとして、時刻情報と分類先に対応付ける。このため、登録処理部４２ｂは、ＩＭＳＩ＝Ｂについて、以下の情報を登録する。
Ｔｉｍｅ ＝２００
ＩＭＳＩ ＝Ｂ
分類先 ＝ｂ
Ｔｉｍｅ＝２００のパケットに示すように、ＩＰ＿ＴＥＩＤ＝ＣＣＣはＩＭＳＩ＝Ｂを含むパケットに含まれているので、Ｔｉｍｅ＝２００以降はＩＰ＿ＴＥＩＤ＝ＣＣＣのパケットの分類先も、ＩＭＳＩ＝Ｂを含むパケットと同じｂとなる。従って、ＩＰ＿ＴＥＩＤ＝ＣＣＣについて以下の情報が登録される。
Ｔｉｍｅ ＝２００
ＩＰ＿ＴＥＩＤ＝ＣＣＣ
分類先 ＝ｂ
Ｔｉｍｅ＝２００のパケットから抽出された情報を登録処理部４２ｂが登録することにより、マップ情報８１は図８のマップ情報８１＿１に示すとおりに更新される。

Ｔｉｍｅ＝２０１のパケットはタイプ２のパケットであるので、抽出部４１ｂと登録処理部４２ｂのいずれもＴｉｍｅ＝２０１のパケットを処理しない。Ｔｉｍｅ＝２０２のパケットはタイプ３のパケットであるので、Ｔｉｍｅ＝１０２のパケットと同様に、抽出部４１ｂによる抽出処理と登録処理部４２ｂによる登録処理が行われる。このため、Ｔｉｍｅ＝２０２のパケット中の情報が登録されると、マップ補助情報８２＿１はマップ補助情報８２＿２に示すように更新される。

なお、図８を参照しながら抽出処理部４０ｂの処理対象のパケットのうちの一部のパケットの処理について説明したが、その他のパケットもパケットのタイプに応じて同様に処理される。

図９は、抽出処理部４０ａの処理によるマップ情報の更新処理の例を説明する図である。抽出処理部４０ａは抽出処理部４０ｂと同様に、ＰＩ２に含まれているＴｉｍｅ＝１００以前の時刻に対応付けられたパケットを処理する。Ｔｉｍｅ＝９９までのパケットは全てタイプ２のパケットであるとする。このため、Ｔｉｍｅ＝９９までのパケットの処理の際に抽出処理部４０ａはマップ情報８１とマップ補助情報８２のいずれも更新しない。このため、Ｔｉｍｅ＝１００のパケットの処理の際には、記憶部８０にマップ情報８１＿１とマップ補助情報８２＿２（図８）が保持されているとする。

Ｔｉｍｅ＝１００のパケットはタイプ１のパケットであるので、抽出部４１ａは、以下の情報を抽出する。
Ｔｉｍｅ ＝１００
ＩＭＳＩ ＝Ａ
ＩＰ＿ＴＥＩＤ＝ＣＣＣ
抽出された情報にＩＭＳＩが含まれているので、登録処理部４２ａは、ＩＭＳＩとＩＰ＿ＴＥＩＤの各々について以下の情報を登録する。なお、登録処理部４２ａは、ＩＭＳＩ＝Ａで識別される送信元が使用するパケットの分類先をａに決定したものとする
Ｔｉｍｅ ＝１００
ＩＭＳＩ ＝Ａ
分類先 ＝ａ
Ｔｉｍｅ＝１００のパケットに示すように、ＩＰ＿ＴＥＩＤ＝ＣＣＣはＩＭＳＩ＝Ａを含むパケットに含まれている。このため、Ｔｉｍｅ＝１００以降で、かつ、ＩＭＳＩ＝Ａの端末７以外の端末７がＩＰ＿ＴＥＩＤ＝ＣＣＣの使用を開始するまでは、ＩＰ＿ＴＥＩＤ＝ＣＣＣを含むパケットの分類先も、ＩＭＳＩ＝Ａを含むパケットと同じａとなる。従って、ＩＰ＿ＴＥＩＤ＝ＣＣＣについて以下の情報が登録される。
Ｔｉｍｅ ＝１００
ＩＰ＿ＴＥＩＤ＝ＣＣＣ
分類先 ＝ａ
Ｔｉｍｅ＝１００のパケットから抽出された情報を登録処理部４２ａが登録することにより、図８のマップ情報８１＿１は、図９のマップ情報８１＿２に示すように更新される。

図１０は、マップ情報とマップ補助情報の更新処理の例を説明するフローチャートである。図１０の処理は１つ以上の抽出処理部４０によって並列に行われ得る。抽出部４１は、処理対象のパケットのＩＭＳＩ、ＩＰ＿ＴＥＩＤ、および、時刻情報を取得する（ステップＳ１）。なお、ＩＭＳＩの取得は、処理対象のパケットがタイプ１のＩＭＳＩを含むパケットである場合に行われる。登録処理部４２は、抽出された情報にＩＭＳＩがあるかを判定する（ステップＳ２）。抽出された情報にＩＭＳＩが含まれている場合、登録処理部４２は、抽出された情報をマップ情報８１に登録する（ステップＳ２でＹｅｓ、ステップＳ３）。抽出された情報にＩＭＳＩが含まれていない場合、登録処理部４２は、抽出された情報をマップ補助情報８２に登録する（ステップＳ２でＮｏ、ステップＳ４）。

（２）マッピングテーブル８３の生成
図１１は、マッピングテーブル８３の生成処理の例を説明するフローチャートである。マッピングテーブル８３の生成はマージ処理部５０によって行われる。図１１では変数ｎと定数Ｎが使用される。変数ｎは処理対象としたＩＰ＿ＴＥＩＤの数の計数に用いられる。Ｎはマップ補助情報８２に登録されているＩＰ＿ＴＥＩＤの総数である。なお、図１１は処理の一例であり、実装に応じて変形され得る。例えば、ステップＳ１１とステップＳ１２の順序は任意に変更され得る。

マージ処理部５０は、マップ補助情報８２を取得する（ステップＳ１１）。この時点において、マージ処理部５０は、マッピングテーブル８３の生成の開始時点での最新のマップ情報８１をマッピングテーブル８３にコピーしておく。次に、マージ処理部５０は、変数ｎを１に設定する（ステップＳ１２）。マージ処理部５０は、ｎ番目のＩＰ＿ＴＥＩＤをキーとしてマップ情報８１を検索する（ステップＳ１３）。マージ処理部５０は、ｎ番目のＩＰ＿ＴＥＩＤがマップ情報８１に登録済みであるかを判定する（ステップＳ１４）。

ｎ番目のＩＰ＿ＴＥＩＤがマップ情報８１に登録されていない場合、マップ補助情報８２においてｎ番目のＩＰ＿ＴＥＩＤと対になっているＩＰ＿ＴＥＩＤをキーとしてマップ情報８１を検索する（ステップＳ１４でＮｏ、ステップＳ１５）。ｎ番目のＩＰ＿ＴＥＩＤと対になっているＩＰ＿ＴＥＩＤがマップ情報８１に登録されている場合、マージ処理部５０はマージ処理を行う（ステップＳ１６でＹｅｓ、ステップＳ１７）。マージ処理では、ｎ番目のＩＰ＿ＴＥＩＤを含むパケットの分類先を、ｎ番目のＩＰ＿ＴＥＩＤと対になっているＩＰ＿ＴＥＩＤを含むパケットの分類先に設定することにより、パケットの分類先を統合する。マージ処理を行うために、マージ処理部５０は、マージ先のエントリ中の分類先と同じ分類先に対応付けて、処理対象のＩＰ＿ＴＥＩＤをマッピングテーブル８３に記録する。マージ処理の詳細については、図１２を参照しながら説明する。その後、マージ処理部５０は、変数ｎを１つインクリメントしてから定数Ｎと比較する（ステップＳ１８、Ｓ１９）。変数ｎが定数Ｎ以下の場合、全てのＩＰ＿ＴＥＩＤに対する処理が終わっていないので、ステップＳ１３以降の処理が繰り返される（ステップＳ１９でＮｏ）。一方、変数ｎが定数Ｎを超えた場合、全てのＩＰ＿ＴＥＩＤに対する処理が終わっているので、マージ処理部５０は処理を終了する（ステップＳ１９でＹｅｓ）。

ｎ番目のＩＰ＿ＴＥＩＤ、および、ｎ番目のＩＰ＿ＴＥＩＤと対になっているＩＰ＿ＴＥＩＤの両方がマップ情報８１に登録されていない場合、ステップＳ１８以降の処理が行われる（ステップＳ１６でＮｏ）。また、ｎ番目のＩＰ＿ＴＥＩＤが既に登録済みである場合も、ステップＳ１８以降の処理が行われる（ステップＳ１４でＹｅｓ）。

図１２は、マージ処理の例を説明するフローチャートである。図１２は、図１１のステップＳ１７で行われる処理の詳細である。図１２では変数ｘと定数Ｘが使用される。変数ｘは処理対象としたマップ情報８１中のエントリの数の計数に用いられる。定数Ｘは処理対象のＩＰ＿ＴＥＩＤと対になっているＩＰ＿ＴＥＩＤを用いた検索でヒットしたエントリの総数である。なお、図１２は処理の一例であり、実装に応じて変形され得る。例えば、ステップＳ３１とステップＳ３２の順序は任意に変更され得る。

マージ処理部５０は、マージ処理の対象のＩＰ＿ＴＥＩＤに対応付けられた時刻（Ｔｉ）を特定する（ステップＳ３１）。マージ処理部５０は、変数ｘを１に設定する（ステップＳ３２）。マージ処理部５０は、処理対象のＩＰ＿ＴＥＩＤとマップ補助情報８２において対になっているＩＰ＿ＴＥＩＤをキーとしてマップ情報８１を検索することにより、マッチしたｘ番目のエントリの時刻（Ｔｍ＿ｘ）を取得する（ステップＳ３３）。マージ処理部５０は、時刻Ｔｍ＿ｘが処理対象のＩＰ＿ＴＥＩＤに対応付けられた時刻Ｔｉ以前であるかを判定する（ステップＳ３４）。時刻Ｔｍ＿ｘが時刻Ｔｉより後である場合、ｘ番目のエントリ中の分類先を処理対象のＩＰ＿ＴＥＩＤに対応付けられたパケットの分類先とはしない（ステップＳ３４でＮｏ）。そこで、マージ処理部５０は、変数ｘをインクリメントし、定数Ｘと比較する（ステップＳ３６、ステップＳ３７）。変数ｘが定数Ｘ以下の場合、処理対象のＩＰ＿ＴＥＩＤと対になっているＩＰ＿ＴＥＩＤを用いた検索でヒットしたエントリの全てについて、時刻情報の比較処理を行っていない（ステップＳ３７でＮｏ）。このため、ステップＳ３３以降の処理が行われる。

時刻Ｔｍ＿ｘが時刻Ｔｉ以前である場合、マージ処理部５０は、時刻Ｔｍ＿ｘを含むエントリをマージ先の候補とする（ステップＳ３４でＹｅｓ、ステップＳ３５）。ここで、マージ先は処理対象のＩＰ＿ＴＥＩＤを含むパケットの分類先を統合するエントリである。マージ処理部５０は、変数ｘをインクリメントし、ステップＳ３７以降の処理を行う（ステップＳ３６、ステップＳ３７）。

変数ｘが定数Ｘを超えている場合、マージ処理部５０は、処理対象のＩＰ＿ＴＥＩＤと対になっているＩＰ＿ＴＥＩＤを用いた検索でヒットしたエントリの全てについて、時刻情報の比較処理を行っている（ステップＳ３７でＹｅｓ）。そこで、マージ処理部５０は、マージ先の候補の中で最も遅い時刻のエントリ中の分類先を特定し、特定した分類先を処理対象のＩＰ＿ＴＥＩＤの分類先に設定する。（ステップＳ３８、Ｓ３９）。ステップＳ３９において、マージ処理部５０は、特定した分類先と同じ分類先に対応付けて、処理対象のＩＰ＿ＴＥＩＤをマッピングテーブル８３に記録する。

図１３は、マッピングテーブルの生成例を説明する図である。図１３を参照しながら、図１１および図１２のフローチャートに示した処理の具体例を述べる。マージ処理部５０は、マップ補助情報８２＿２中に含まれているＩＰ＿ＴＥＩＤの各々を処理対象とする。ここで、マップ補助情報８２＿２では、Ｔｉｍｅ＝１０２とＴｉｍｅ＝２０２の各々について、ＣＣＣとＥＥＥというＩＰ＿ＴＥＩＤが登録されている。時刻情報が異なる場合、同じＩＰ＿ＴＥＩＤであってもマージ先が異なることがあるので、マージ処理部５０は、同じＩＰ＿ＴＥＩＤであっても時刻が異なる場合には別個の処理対象とする。このため、マージ処理部５０は、ＩＰ＿ＴＥＩＤと時刻情報の組み合わせがマップ補助情報８２＿２に４種類あると認識する。

最初に、マージ処理部５０は、Ｔｉｍｅ＝１０２、ＩＰ＿ＴＥＩＤ＝ＣＣＣの組み合わせを処理対象としたとする。この時点では、マッピングテーブル８３には、マップ情報８１＿２と同じ情報が含まれている。マップ情報８１＿２には、ＩＰ＿ＴＥＩＤ＝ＣＣＣが登録されているので、マージ処理部５０は時刻情報とＩＰ＿ＴＥＩＤの他の組み合わせを処理対象とする（図１１のステップＳ１４でＹｅｓ）。Ｔｉｍｅ＝２０２、ＩＰ＿ＴＥＩＤ＝ＣＣＣの組み合わせを処理対象とした場合も、マージ処理部５０は同様に処理する。

次に、マージ処理部５０は、Ｔｉｍｅ＝１０２、ＩＰ＿ＴＥＩＤ＝ＥＥＥの組み合わせを処理対象としたとする。この場合、ＩＰ＿ＴＥＩＤ＝ＥＥＥはマップ情報８１に登録されていない（図１１のステップＳ１４でＮｏ）。そこで、マージ処理部５０は、マップ補助情報８２＿２においてＩＰ＿ＴＥＩＤ＝ＥＥＥと対になっているＩＰ＿ＴＥＩＤ＝ＣＣＣをキーとしてマップ情報８１＿２を検索する（図１１のステップＳ１５）。この処理によりヒットしたエントリを、図１３のテーブルＴａ１に示す。テーブルＴａ１には２つのエントリが含まれているので、このケースでは、図１２で使用される定数Ｘは２である。マージ処理部５０は、処理対象のＩＰ＿ＴＥＩＤに対応付けられている時刻情報がＴｉｍｅ＝１０２であるため、Ｔｉ＝１０２とする。テーブルＴａ１の１つ目のエントリの時刻（Ｔｍ＿１）が１００であり、Ｔｍ＿１＜Ｔｉであるので、マージ処理部５０は、１つ目のエントリをマージ先の候補にする（図１２のステップＳ３３〜Ｓ３５）。一方、２つ目のエントリでは、時刻（Ｔｍ＿２）が２００であり、Ｔｍ＿２＞Ｔｉであるので、マージ処理部５０は、２つ目のエントリをマージ先の候補にしない（図１２のステップＳ３４でＮｏ）。マージ先の候補が１つなので、マージ処理部５０は、Ｔｉｍｅ＝１０２、ＩＰ＿ＴＥＩＤ＝ＥＥＥの組み合わせについてのマージ先をテーブルＴａ１の１番目のエントリとし、Ｔｉｍｅ＝１０２、ＩＰ＿ＴＥＩＤ＝ＣＣＣの組み合わせを分類先ａに対応付ける。マージ処理部５０は、得られた結果を図１３のマッピングテーブル８３の上から５番目のエントリに示すように記録する。

さらに、マージ処理部５０は、Ｔｉｍｅ＝２０２、ＩＰ＿ＴＥＩＤ＝ＥＥＥの組み合わせを処理対象としたとする。この場合も、ＩＰ＿ＴＥＩＤ＝ＥＥＥはマップ情報８１に登録されていないので、マージ処理部５０は、マップ補助情報８２＿２においてＩＰ＿ＴＥＩＤ＝ＥＥＥと対になっているＩＰ＿ＴＥＩＤ＝ＣＣＣをキーとしてマップ情報８１＿２を検索する。従って、このケースでも、図１１のステップＳ１５の処理により、テーブルＴａ１が得られる。マージ処理部５０は、処理対象のＩＰ＿ＴＥＩＤに対応付けられている時刻情報がＴｉｍｅ＝２０２であるため、Ｔｉ＝２０２とする。テーブルＴａ１の１つ目のエントリの時刻（Ｔｍ＿１）が１００であり、Ｔｍ＿１＜Ｔｉであるので、マージ処理部５０は、１つ目のエントリをマージ先の候補にする。さらに、２つ目のエントリでは、時刻（Ｔｍ＿２）が２００であり、Ｔｍ＿２＜Ｔｉであるので、マージ処理部５０は、２つ目のエントリもマージ先の候補にする。マージ先の候補が２つなので、マージ処理部５０は、候補のエントリのうちで最も遅い時間に対応付けられたエントリをマージ先とする（図１２のステップＳ３８）。その結果、マージ先は、テーブルＴａ１の２つ目のエントリとなる。マージ処理部５０は、Ｔｉｍｅ＝２０２、ＩＰ＿ＴＥＩＤ＝ＥＥＥの組み合わせについての分類先をテーブルＴａ１の２番目のエントリ中の格納先と同じｂにする。さらに、マージ処理部５０は、得られた結果を図１３のマッピングテーブル８３の一番下のエントリに示すように記録する。

図１１〜図１３を参照しながら説明したように、マージ処理部５０の処理により、マップ情報８１とマップ補助情報８２から、マッピングテーブル８３が生成される。このため、マッピングテーブル８３が生成された後は、キャプチャされたパケットで使用されているＩＭＳＩとＩＰ＿ＴＥＩＤの全てについて、分類先がマッピングテーブル８３に登録される。

（３）パケットの分類
図１４は、パケットの分類処理の例を説明するフローチャートである。以下、パケットの分類処理が分類処理部７０ａと分類処理部７０ｂで並列に行われる場合について説明する。分類処理部７０ａと分類処理部７０ｂのいずれも、記憶部８０中のマッピングテーブル８３を参照でき、図１４および図１５で説明する処理を行う。

分類部７２は、処理対象のパケットのＩＭＳＩ、ＩＰ＿ＴＥＩＤ、時刻情報を取得する（ステップＳ５１）。なお、ＩＭＳＩの取得は、処理対象のパケットがタイプ１のＩＭＳＩを含むパケットである場合に行われる。分類部７２は、取得した情報にＩＭＳＩが含まれているかを判定する（ステップＳ５２）。取得した情報にＩＭＳＩが含まれている場合、分類部７２は、マッピングテーブル８３を参照することにより、ＩＭＳＩに対応付けられた分類先を特定する（ステップＳ５２でＹｅｓ、ステップＳ５３）。分類部７２は分類先に処理対象のパケットを分類する（ステップＳ５７）。

一方、処理対象のパケットから取得した情報にＩＭＳＩが含まれていない場合、分類部７２は、ＩＰ＿ＴＥＩＤをキーとしてマッピングテーブル８３を検索する（ステップＳ５２でＮｏ、ステップＳ５４）。分類部７２は、検索によって複数の分類先の候補が得られたかを判定する（ステップＳ５５）。複数の分類先候補が得られていない場合、分類部７２は得られた分類先に処理対象のパケットを分類する（ステップＳ５５でＮｏ、ステップＳ５７）。複数の分類先の候補が得られた場合、決定部７１は、複数の分類先の候補の中から分類先を決定する（ステップＳ５５でＹｅｓ、ステップＳ５６）。決定部７１は得られた分類先を分類部７２に通知する。すると、分類部７２は、決定部７１から通知された分類先に処理対象のパケットを分類する（ステップＳ５７）。

図１５は、分類先の決定方法の例を説明するフローチャートである。図１５は、図１４のステップＳ５６で行われる処理の詳細を示す。図１５では、変数ｙと定数Ｙが使用される。変数ｙは処理対象とした分類先候補の数の計数に用いられる。定数Ｙは図１４のステップＳ５４の検索でヒットした分類先の候補の総数である。なお、図１５は処理の一例であり、実装に応じて変形され得る。例えば、ステップＳ７１とステップＳ７２の順序は任意に変更され得る。

決定部７１は、処理対象のパケットの時刻情報（Ｔｉ）を特定する（ステップＳ７１）。このとき、決定部７１は、分類部７２から複数の分類先の情報とともに、分類部７２がパケットから抽出した時刻情報を取得してもよい。決定部７１は、変数ｙを１に設定する（ステップＳ７２）。決定部７１は、適宜、マッピングテーブル８３を参照して、ｙ番目の分類先候補のエントリ中の時刻（Ｔｍ＿ｙ）を取得する（ステップＳ７３）。決定部７１は、ｙ番目の分類先候補のエントリ中の時刻が処理対象のパケットの時刻情報以前であるか、すなわち、Ｔｍ＿ｙ≦Ｔｉであるかを判定する（ステップＳ７４）。ｙ番目の分類先候補のエントリ中の時刻が処理対象のパケットの時刻情報より後の場合、その分類先候補に処理対象のパケットが分類される可能性はないので、決定部７１はｙ番目の候補を分類先の候補から除外する（ステップＳ７４でＮｏ、ステップＳ７５）。一方、ｙ番目の分類先候補のエントリ中の時刻が処理対象のパケットの時刻情報以前の場合、その分類先候補に処理対象のパケットが分類される可能性があると判定する（ステップＳ７４でＹｅｓ）。

ステップＳ７５の処理後かステップＳ７４でＹｅｓと判定した場合、決定部７１は、変数ｙを１つインクリメントしてから定数Ｙと比較する（ステップＳ７６、Ｓ７７）。変数ｙが定数Ｙを超えていない場合、処理対象としていない分類先候補があるので、決定部７１はステップＳ７３以降の処理を繰り返す（ステップＳ７７でＮｏ）。一方、変数ｙが定数Ｙを超えた場合、決定部７１は、全ての分類先候補を処理対象としたと判定する（ステップＳ７７でＹｅｓ）。全ての分類先候補を処理対象とした後で分類先候補として残っている候補は、いずれも処理対象のパケットが含むＩＰ＿ＴＥＩＤに対応付けられ、かつ、処理対象のパケットの時刻情報以前の時刻に対応付けられた分類先である。そこで、決定部７１は、分類先の候補のうちで最も遅い時刻に対応付けられた候補を分類先に決定する（ステップＳ７８）。

図１６は、パケットの分類処理の例を説明する図である。図１６を参照しながら、図１４および図１５のフローチャートに示した処理の具体例を述べる。例えば、Ｔｉｍｅ＝１０１のパケットが分類処理部７０ｂでの分類処理の対象であり、マッピングテーブル８３が図１６に示すとおりであるとする。ここで、Ｔｉｍｅ＝１０１のパケットに含まれている情報は以下のとおりであるとする。
Ｔｉｍｅ＝１０１
ＩＭＳＩ：なし
ＩＰ＿ＴＥＩＤ＝ＣＣＣ

分類部７２ｂは、ＩＰ＿ＴＥＩＤ＝ＣＣＣをキーとして、マッピングテーブル８３を検索する。すると、テーブルＴａ２に示す２つのエントリがヒットするので、テーブルＴａ２の２つのエントリに含まれる各々の分類先が、処理対象の分類先の候補となる。分類先の候補が複数であるので、決定部７１ｂでの処理が行われる。決定部７１ｂは、処理対象のパケットに含まれる時刻情報（Ｔｉｍｅ＝１０１）より後の時刻に対応付けられた分類先を分類先の候補から除外する。テーブルＴａ２のうちの２つ目のエントリ中の分類先に含まれる時刻情報はＴｉｍｅ＝２００なので、決定部７１ｂは、テーブルＴａ２のうちの２つ目のエントリ中の分類先を分類先の候補から除外する。このケースでは、処理対象のパケットの分類先は、テーブルＴａ２のうちの１つ目のエントリ中の分類先ａに絞られるので、決定部７１ｂは、分類先ａをパケットの分類先に決定する。すると、分類部７２ｂは、処理対象のパケットを分類先aに分類する。従って、Ｔｉｍｅ＝１０１のパケットは、ＩＭＳＩ＝Ａの端末７ａに対応付けられる。

他の例として、Ｔｉｍｅ＝２０１のパケットが分類処理部７０ａによって分類される場合の例を説明する。Ｔｉｍｅ＝２０１のパケットに含まれている情報は以下のとおりであるとする。
Ｔｉｍｅ＝２０１
ＩＭＳＩ：なし
ＩＰ＿ＴＥＩＤ＝ＣＣＣ

分類部７２ａは、ＩＰ＿ＴＥＩＤ＝ＣＣＣをキーとして、マッピングテーブル８３を検索するので、テーブルＴａ２の２つのエントリに含まれる各々の分類先が、処理対象の分類先の候補となる。この場合も、分類先の候補が複数であるので、決定部７１ａでの処理が行われる。決定部７１ａは、処理対象のパケットに含まれる時刻情報（Ｔｉｍｅ＝２０１）より後の時刻に対応付けられた分類先を分類先の候補から除外するが、テーブルＴａ２のエントリはいずれもＴｉｍｅ＝２０１以前の時刻情報を有する。パケットの時刻情報を用いても分類先の候補が１つに絞られないため、決定部７１ａは、テーブルＴａ２のエントリのうちで時刻情報が最も遅いエントリ中の分類先ｂを処理対象のパケットの分類先に決定する。このため、分類部７２ａは、Ｔｉｍｅ＝２０１を含むパケットを分類先ｂに分類する。従って、Ｔｉｍｅ＝２０１のパケットは、ＩＭＳＩ＝Ｂの端末７ｂに対応付けられる。

このように、実施形態にかかる方法では、パケットからの情報の抽出やパケットの分類が複数のスレッドによって並列的に行われても、パケットの分類のために使用されるマッピングテーブル８３は各スレッドからアクセス可能な記憶部８０に保持される。このため、分類処理部７０の各々は、処理対象のパケット中にＩＭＳＩを含むパケットが含まれていなくても、処理対象のパケットの分類先を記憶部８０中の情報を用いて特定することができる。また、分類先は、そのパケットを用いた通信を行っている端末７に対応付けられている。従って、実施形態にかかる方法では、複数のパケットを複数のスレッドで並列処理することによりパケットの分類処理にかかる時間を短縮することができる。また、並列処理を行っても、パケットの分類に使用する情報がスレッド間で共有されるため、各分類処理部７０での処理対象のパケットの割り当て状況によらず、全てのパケットが処理可能である。従って、実施形態にかかる情報処理装置１０を用いると、ネットワークで発生した障害に対する分析に使用するための情報が、より早く得られるようになる。

＜第２の実施形態＞
第２の実施形態では、分類処理の対象を特定の端末７から送受信されたパケットに限定することで、ネットワークで発生した障害に対する分析に使用するための情報の取得をさらに効率化する場合について説明する。すなわち、第２の実施形態では、分類処理の対象を特定のＩＭＳＩと同じ分類先に分類され得るパケットに限定できる。

図１７は、第２の実施形態にかかる情報処理装置９５の構成の例を説明する図である。情報処理装置９５は、通信部１５、制御部９６、記憶部８０を備える。制御部９６は、検索処理部９０を備え、さらに、作成部３０、マージ処理部５０、および、分類制御部６０を有する。第２の実施形態でも、通信部１５、作成部３０、マージ処理部５０の処理は第１の実施形態と同様である。さらに、第２の実施形態でも、記憶部８０は、第１の実施形態と同様に、マップ情報８１、マップ補助情報８２、および、マッピングテーブル８３を保持し、制御部９６中の任意の処理部からアクセスされ得る。

検索処理部９０は、生成部９１と検索部９２を備える。生成部９１は、分析の対象となるパケットを特定するための検索式を生成する。なお、生成部９１は、例えば、入力装置１０３を介してオペレータから入力されたＩＭＳＩを受け付け、入力されたＩＭＳＩの分類先と同じ分類先に対応付けられるパケットを処理するための検索式を生成する。検索部９２は、生成部９１によって生成された検索式に合致するパケットを検索し、得られたパケットを分類制御部６０に出力する。分類制御部６０に含まれる各分類処理部７０は、検索部９２から入力されたパケットの分類処理を行う。なお、分類処理部７０が行う分類処理は、第１の実施形態と同様である。

図１８Ａと図１８Ｂは、検索式の生成方法の例を説明するフローチャートである。図１８Ａと図１８Ｂでは、変数ｕ、変数ｚ、定数Ｕ、および、定数Ｚを用いる。変数ｚは処理対象のＩＭＳＩを含むパケットの分類先と同じ分類先を含むエントリのうち、処理対象としたエントリの数を計数するために用いる。定数Ｚは、処理対象のＩＭＳＩを含むパケットの分類先と同じ分類先を含むエントリの総数である。変数ｕは、検索キーとするＩＰ＿ＴＥＩＤを有し、かつ、処理対象のＩＭＳＩと同じ分類先を含むエントリのうち、処理対象としたエントリの数の計数に使用する。定数Ｕは、検索キーとするＩＰ＿ＴＥＩＤを有し、かつ、処理対象のＩＭＳＩと同じ分類先を含むエントリの総数である。なお、図１８Ａおよび図１８Ｂは処理の一例であり、実装に応じて変形され得る。例えば、ステップＳ９１とステップＳ９２の順序は任意に変更され得る。

生成部９１は、処理対象のＩＭＳＩの情報を取得すると、処理対象のＩＭＳＩと同じ分類先を含むエントリをマッピングテーブル８３から抽出する（ステップＳ９１）。生成部９１は、変数ｚを１に設定する（ステップＳ９２）。生成部９１は、ｚ番目のエントリ中のＩＰ＿ＴＥＩＤをキーとして、マッピングテーブル８３を検索する（ステップＳ９３）。生成部９１は、ｚ番目のエントリ中のＩＰ＿ＴＥＩＤを含むエントリの検索において、複数のエントリがヒットしたかを判定する（ステップＳ９４）。ｚ番目のエントリ中のＩＰ＿ＴＥＩＤを含むエントリの検索において、複数のエントリがヒットしなかった場合、処理対象となっているＩＰ＿ＴＥＩＤは、複数の端末７によって使用されていない（ステップＳ９４でＮｏ）。このため、ｚ番目のＩＰ＿ＴＥＩＤを含むパケットを分類処理の対象とすることができる。そこで、生成部９１は、ｚ番目のＩＰ＿ＴＥＩＤと処理対象のＩＭＳＩに対応付けられたパケットを検索するための検索式を生成する（ステップＳ９５）。その後、生成部９１は、変数ｚを１つインクリメントした後、変数ｚを定数Ｚと比較する（ステップＳ１０５、Ｓ１０６）。変数ｚが定数Ｚを超えていない場合、未処理のエントリがあるので、生成部９１はステップＳ９３以降の処理を繰り返す（ステップＳ１０６でＮｏ）。一方、変数ｚが定数Ｚを超えた場合、生成部９１は、処理対象のＩＭＳＩを含むエントリの全てを処理したと判定して処理を終了する（ステップＳ１０６でＹｅｓ）。

ステップＳ９４において複数のエントリがヒットしている場合、ｚ番目のＩＰ＿ＴＥＩＤは、複数の端末７によって使用されている（ステップＳ９４でＹｅｓ）。このため、生成部９１は、処理対象のＩＭＳＩが割り当てられている端末７がｚ番目のＩＰ＿ＴＥＩＤを使用している期間を特定する条件を検索式に含めるための処理を行う。まず、生成部９１は、キーとしているＩＰ＿ＴＥＩＤを含み、分類先が処理対象のＩＭＳＩの分類先となっているエントリの時刻Ｔｓを特定する（ステップＳ９６）。なお、時刻Ｔｓは、キーとしているＩＰ＿ＴＥＩＤを含み、分類先が処理対象のＩＭＳＩの分類先となっているエントリ中の時刻であるので、処理対象のＩＭＳＩが割り当てられている端末７がｚ番目のＩＰ＿ＴＥＩＤの使用を開始した時刻である。

生成部９１は、変数ｕを１に設定する（ステップＳ９７）。生成部９１は、ステップＳ９３の検索処理でヒットしたエントリのうち、ｕ番目のエントリに含まれている時刻（Ｔｕ）を特定する（ステップＳ９８）。生成部９１は、時刻Ｔｕが時刻Ｔｓより後であるか（Ｔｕ＞Ｔｓ）を判定する（ステップＳ９９）。時刻Ｔｕが時刻Ｔｓより後である場合、時刻Ｔｕは処理対象のＩＭＳＩが割り当てられている端末７がｚ番目のＩＰ＿ＴＥＩＤの使用を終了した時刻より後の時刻である（ステップＳ９９でＹｅｓ）。そこで、生成部９１は、ｕ番目のエントリを、期間設定に使用可能なエントリの候補とする（ステップＳ１００）。一方、時刻Ｔｕが時刻Ｔｓ以前である場合、時刻Ｔｕは処理対象のＩＭＳＩが割り当てられている端末７がｚ番目のＩＰ＿ＴＥＩＤの使用を開始した時刻以前の時刻である（ステップＳ９９でＹｅｓ）。このため、時刻Ｔｕが時刻Ｔｓ以前である場合、生成部９１は、ｕ番目のエントリを、期間設定に使用可能なエントリの候補としない。ステップＳ１００の処理後かステップＳ９９でＮｏと判定した場合、生成部９１は、変数ｕを１つインクリメントして、定数Ｕと比較する（ステップＳ１０１、Ｓ１０２）。変数ｕが定数Ｕを超えていない場合、ステップＳ９３でヒットしたエントリのうち処理対象としていないエントリがあるので、生成部９１は、ステップＳ９８以降の処理を繰り返す。一方、変数ｕが定数Ｕを超えた場合、生成部９１は、ステップＳ９３でヒットしたエントリの全てを処理対象としている（ステップＳ１０２でＹｅｓ）。そこで、生成部９１は、設定に使用可能なエントリの候補のうち、最も時間の早いエントリの時刻Ｔ_Ｅを特定する（ステップＳ１０３）。生成部９１は、ｚ番目のＩＰ＿ＴＥＩＤを含み、かつ、得られた期間Ｔｓ≦Ｔｉｍｅ＜Ｔ_Ｅに対応付けられたパケットを処理対象のＩＭＳＩに関連付けられるパケットとするための検索式を生成する（ステップＳ１０４）。ステップＳ１０４で生成される検索式は例えば、次式である。ＩＭＳＩ＝処理対象のＩＭＳＩ||ＩＰ＿ＴＥＩＤ＝ｚ番目のＩＰ＿ＴＥＩＤ＆＆Ｔｓ≦Ｔｉｍｅ＜Ｔ_Ｅ。その後、生成部９１は、ステップＳ１０５以降の処理を行う。

図１９は、検索式の生成方法の例を説明する図である。図１９を参照しながら、ＩＭＳＩ＝Ａの端末７ａに関連付けられるパケットの検索式を生成する場合の例を説明する。例えば、マッピングテーブル８３が図１９に示すとおりであるとする。生成部９１は、処理対象のＩＭＳＩに対応付けられている分類先がａであることを特定する。次に、生成部９１は、分類先＝ａをキーとしてマッピングテーブル８３を検索する（図１８ＡのステップＳ９１）。すると、図１９のαで示すように、ＩＰ＿ＴＥＩＤ＝ＣＣＣ、Ｔｉｍｅ＝１００を含むエントリと、ＩＰ＿ＴＥＩＤ＝ＥＥＥ、Ｔｉｍｅ＝１０２を含むエントリがヒットする。

生成部９１は、まず、ＩＰ＿ＴＥＩＤ＝ＣＣＣについての処理を行うとする。この場合、生成部９１は、ＩＰ＿ＴＥＩＤ＝ＣＣＣをキーとしてマッピングテーブル８３を検索するので、図１９のβで示すように、分類先＝ａおよびＴｉｍｅ＝１００を含むエントリと、分類先＝ｂおよびＴｉｍｅ＝２００を含むエントリが得られる。そこで、生成部９１は、キーとしているＩＰ＿ＴＥＩＤ＝ＣＣＣを含み、分類先がａであるエントリ中の時刻Ｔｉｍｅ＝１００を、ＩＰ＿ＴＥＩＤ＝ＣＣＣでの検索式のＴｓに設定する（図１８ＡのステップＳ９６）。時刻Ｔｓの特定に使用していないエントリ中の時刻はＴｉｍｅ＝２００であり、ＩＰ＿ＴＥＩＤ＝ＣＣＣでの検索式のＴｓよりも遅い。そこで、生成部９１は、Ｔｉｍｅ＝２００をＩＰ＿ＴＥＩＤ＝ＣＣＣでの検索式のＴ_Ｅに設定する（図１８ＡのステップＳ１０３）。このため、ＩＰ＿ＴＥＩＤ＝ＣＣＣについての検索式の期間条件は、１００≦Ｔｉｍｅ＜２００となる。

生成部９１は、ＩＰ＿ＴＥＩＤ＝ＥＥＥについても同様に処理を行う。すなわち、ＩＰ＿ＴＥＩＤ＝ＥＥＥをキーとしてマッピングテーブル８３を検索することで、以下のエントリを抽出する。
ヒットしたエントリ１
ＩＰ＿ＴＥＩＤ＝ＥＥＥ
Ｔｉｍｅ＝１０２
分類先＝ａ
ヒットしたエントリ２
ＩＰ＿ＴＥＩＤ＝ＥＥＥ
Ｔｉｍｅ＝２０２
分類先＝ｂ
そこで、生成部９１は、分類先がａであるエントリ中の時刻Ｔｉｍｅ＝１０２を、ＩＰ＿ＴＥＩＤ＝ＥＥＥでの検索式のＴｓに設定する（図１８ＡのステップＳ９６）。さらに、生成部９１は、Ｔｉｍｅ＝２０２をＩＰ＿ＴＥＩＤ＝ＥＥＥでの検索式のＴ_Ｅに設定する（図１８ＡのステップＳ１０３）。このため、ＩＰ＿ＴＥＩＤ＝ＥＥＥについての検索式の期間条件は、１０２≦Ｔｉｍｅ＜２０２となる。

これらの２つの条件を合わせて、生成部９１は、ＩＭＳＩ＝Ａの端末７ａに関連するパケットの検索式を以下のように生成する。
ＩＭＳＩ＝Ａ||
ＩＰ＿ＴＥＩＤ＝ＣＣＣ＆＆（１００≦Ｔｉｍｅ＜２００）||
ＩＰ＿ＴＥＩＤ＝ＥＥＥ＆＆（１０２≦Ｔｉｍｅ＜２０２）
生成部９１は、生成した検索式を検索部９２に出力する。

図２０は、パケットの検索処理の例を説明する図である。図２０の例でも、第１の実施形態と同様に、情報処理装置１０にＰＩ１に示すパケット群が入力されたとする。入力されたパケット群からの情報抽出は、第１の実施形態と同様に行われる（ステップＳ１２１）。このため、マップ情報８１、マップ補助情報８２、および、マッピングテーブル８３が生成される。また、マッピングテーブル８３を用いて、図１９を参照しながら説明した検索式が生成されたとする。

次に、ループ端Ｌ１とＬ２で挟まれたループ処理が行われる。以下、ループ端Ｌ１とＬ２で挟まれたループのことを「分類ループ」と記載することがある。検索部９２は、処理対象のパケットが検索式にマッチしているかを判定する（ステップＳ１２２）。処理対象のパケットが検索式にマッチしている場合、検索部９２は、パケットを分類制御部６０に出力する。分類制御部６０では、複数のスレッドで実現される複数の分類処理部７０により、第１の実施形態と同様に分類処理が行われる（ステップＳ１２２でＹｅｓ、ステップＳ１２３）。一方、処理対象のパケットが検索式にマッチしていない場合、検索部９２は、処理対象のパケットに対する処理を終了する（ステップＳ１２２でＮｏ）。ステップＳ１２２でＮｏと判定した場合とステップＳ１２３の処理が終わった場合、検索部９２は、全てのパケットを処理対象としたかを判定する（ループ端Ｌ２）。全てのパケットを処理対象としていない場合、検索部９２は、他の未処理のパケットを処理対象としてステップＳ１２２以降の処理を繰り返す（ループ端Ｌ２でＮｏ）。一方、全てのパケットを処理対象としている場合、検索部９２は処理を終了する（ループ端Ｌ２でＹｅｓ）。このため、テーブルＴａ３に示すように、ＩＭＳＩ＝Ａの端末７ａから送受信されたパケットが分類先ａに格納される。

第２の実施形態では、分類処理の対象を特定の端末７から送受信されたパケットに限定できるので、ネットワークで発生した障害に対する分析に使用するための情報の取得がさらに効率化される。さらに、第２の実施形態でも、マッピングテーブル８３などの情報は記憶部８０に格納されているので、複数のスレッドによって平行してパケットの処理が行われても、各スレッドは、処理対象のパケットの分類先を記憶部８０中の情報を用いて特定することができる。このため、パケットの分類処理にかかる時間を短縮しつつ、各分類処理部７０での処理対象のパケットの割り当て状況によらず、全てのパケットが処理可能である。従って、実施形態にかかる情報処理装置９５を用いると、ネットワークで発生した障害に対する分析に使用するための情報が、より早く得られるようになる。

＜その他＞
なお、実施形態は上記に限られるものではなく、様々に変形可能である。以下にその例をいくつか述べる。

以上の説明では、パケットの送受信に使用されるプロトコルがＧＴＰである場合を例として説明したが、使用されるプロトコルがＧＴＰ以外であっても、同様にパケットの分類処理が行われ得る。

なお、分類処理によって得られた情報の出力先は任意である。例えば、分類処理によって得られた情報は、適宜、情報処理装置１０や情報処理装置９５の備える出力装置１０４に出力され得る。また、分類処理によって得られた情報は、適宜、情報処理装置１０や情報処理装置９５から、通信部１５を介して、オペレータが操作する装置などに送信され得る。

第２の実施形態において、時刻Ｔ_Ｅが求まらない場合もあり得る。例えば、処理対象のＩＭＳＩと同じ分類先に分類されているＩＰ＿ＴＥＩＤについて、時刻Ｔｓ以降の時刻を含むエントリがマッピングテーブル８３にない場合もあり得る。この場合、処理対象のＩＭＳＩに対応する端末７以降にそのＩＰ＿ＴＥＩＤを使用している端末７が確認されていないことになるので、検索式には、期間の条件として、時刻Ｔｓ≦Ｔｉｍｅが含まれる。

以上の説明で述べたパケットやテーブルは一例であり、パケットやテーブルに含まれる情報要素は、実装に応じて変更され得る。

さらに、パケットから分類に使用する情報を抽出するスレッドの数とパケットの分類処理を行うスレッドの数はいずれも任意である。また、パケットから分類に使用する情報を抽出するスレッドの数とパケットの分類処理を行うスレッドの数は、同じであっても良く、異なっていても良い。

１ ｅＮＢ
２ ＭＭＥ
３ ＨＳＳ
４ ＳＧＷ
５ ＰＧＷ
６ インターネット
７ 端末
１０、９５ 情報処理装置
１５ 通信部
２０、９６ 制御部
３０ 作成部
４０ 抽出処理部
４１ 抽出部
４２ 登録処理部
５０ マージ処理部
６０ 分類制御部
７０ 分類処理部
７１ 決定部
７２ 分類部
８０ 記憶部
８１ マップ情報
８２ マップ補助情報
８３ マッピングテーブル
９０ 検索処理部
９１ 生成部
９２ 検索部
１０１ プロセッサ
１０２ メモリ
１０３ 入力装置
１０４ 出力装置
１０５ バス
１０６ 記憶装置
１０７ 可搬記憶媒体駆動装置
１０８ 可搬記憶媒体
１０９ ネットワークインタフェース

Claims (6)

1. 複数のスレッドの各々は、入力パケットが端末の識別情報を含む場合、前記入力パケットの送信に使用されるセッションの識別情報を、前記端末に対応付けられた分類先と前記入力パケットの時刻情報に対応付けて記憶部に記憶し、
   前記入力パケットの分類処理を行う複数の分類スレッドの各々は、
   前記分類処理の対象パケットが前記対象パケットを処理する端末の識別情報を含まない場合、前記対象パケットの送信に使用されたセッションの識別情報と前記対象パケットの時刻情報以前の時刻に対応付けられた前記分類先を、前記記憶部を参照して特定し、
   特定した前記分類先のうち相対的に遅い時刻に対応付けられた分類先に、前記対象パケットを分類する
   処理を情報処理装置に行わせることを特徴とするパケット分類プログラム。
2. 前記複数のスレッドの各々は、
   前記入力パケットが当該入力パケットを処理する端末の識別情報を含まず、第１のセッションの識別情報と第２のセッションの識別情報を含む場合、前記第１および第２のセッションの識別情報を対応付けて、前記記憶部に記憶し、
   前記第１のセッションの識別情報が複数の前記分類先に対応付けられていない場合、前記第２のセッションの識別情報を含むパケットを、前記第１のセッションの識別情報に対応付けられた前記分類先に分類するための設定を行う
   ことを特徴とする請求項１に記載のパケット分類プログラム。
3. 前記複数のスレッドの各々は、
   前記第１のセッションの識別情報が、第１の分類先および前記第１の分類先の特定に使用したパケットに含まれる第１の時刻情報を含む第１のエントリと、第２の分類先および前記第２の分類先の特定に使用したパケットに含まれる第２の時刻情報を含む第２のエントリとに対応付けて前記記憶部に記憶されている場合、前記入力パケットに含まれる第３の時刻を特定し、
   前記第１の時刻と前記第２の時刻のうち、前記第３の時刻以前であり、かつ、相対的に遅い時刻を決定し、
   前記第２のセッションの識別情報を含むパケットを前記決定した時刻と同じエントリに含まれる分類先に分類するための設定を行う
   ことを特徴とする請求項２に記載のパケット分類プログラム。
4. 前記複数の分類スレッドによる分類処理の対象とするパケットの検索条件を表す検索式を、入力情報に基づいて生成し、
   前記検索式を満たすパケットを前記複数の分類スレッドのいずれかに入力する
   処理をさらに前記情報処理装置に行わせることを特徴とする、請求項１〜３のいずれか１項に記載のパケット分類プログラム。
5. 複数のスレッドの各々を用いて、入力パケットが端末の識別情報を含む場合、前記入力パケットの送信に使用されるセッションの識別情報を、前記端末に対応付けられた分類先と前記入力パケットの時刻情報に対応付けて記憶部に記憶し、
   前記入力パケットの分類処理を行う複数の分類スレッドの各々を用いて、
   前記分類処理の対象パケットが前記対象パケットを処理する端末の識別情報を含まない場合、前記対象パケットの送信に使用されたセッションの識別情報と前記対象パケットの時刻情報以前の時刻に対応付けられた前記分類先を、前記記憶部を参照して特定し、
   特定した前記分類先のうち相対的に遅い時刻に対応付けられた分類先に、前記対象パケットを分類する
   処理を情報処理装置が行うことを特徴とするパケット分類方法。
6. 入力パケットが端末の識別情報を含む場合、前記入力パケットの送信に使用されるセッションの識別情報を、前記端末に対応付けられた分類先と前記入力パケットの時刻情報に対応付けて記憶部に記憶する複数の抽出処理部と、
   分類処理の対象パケットが前記対象パケットを処理する端末の識別情報を含まない場合、前記対象パケットの送信に使用されたセッションの識別情報と前記対象パケットの時刻情報以前の時刻に対応付けられた前記分類先のうち、相対的に遅い時刻に対応付けられた分類先を、前記記憶部を参照して決定する決定部と、
   前記決定した分類先に対応付けて、前記対象パケットを分類する分類部
   を含むことを特徴とする情報処理蔵置。
   

Images