JP5238745B2 - ネットワーク解析装置およびその動作方法 - Google Patents

Description

本発明は、ネットワーク解析装置およびその動作方法に関するものである。

一般家庭やオフィスにおいてネットワーク接続に不具合が生じ、機器を正常に利用できなくなった場合、ネットワーク上を流れるＩＰパケット（以下、パケット）をモニタし、プロトコルが正常に動作しているか否かを調査し、正常に動作していない場合には不具合の発生原因を特定、修復する作業が行われる。

パケットをモニタするツールとしては、たとえばネットワーク上を伝送されるパケットを取得し、パケットの詳細やパケットで構成されているプロトコル、パケットを送受信するＩＰ端末のＩＰアドレスを表示するプロトコルモニタツールが知られている（非特許文献１参照）。

また、ネットワークに接続されたＩＰ機器の動作状態をモニタする手段として、モニタしたパケットからＩＰ機器の接続構成を推定して、画面上に可視化することで、人が容易にＩＰ機器の接続状況を判断できる手法がある(非特許文献２参照)。

これらのツールは、リアルタイムにネットワークの利用状況をモニタし、不具合の発生原因を特定するものである。しかしながら、利用環境や利用状況によっては、常に不具合が発生するとは限らず、長時間に渡って利用状況をモニタした場合に初めて不具合が発生する場合がある。このような問題を調査する場合、長時間に渡って常に利用状況を監視することは多大な労力を要することから現実的ではない。

そのため、パケット保存用の装置を長時間に渡ってネットワークに接続し、ネットワークに接続した装置がモニタしたパケットを装置の外部記憶に保存し、後から保存したパケットを解析する手法が用いられる。例えば、非特許文献１に記載のWireSharkには、パケットをファイルに保存する機能が備えられており、長時間に渡ってファイルに保存したパケットを、後から解析することが可能である。

このような手法は、特に映像サービスやファイル共有サービスなど、大容量の帯域を必要とするネットワークサービスを利用した場合、外部記憶に保存されるパケットのファイルサイズが巨大となり、外部記憶容量の制約から長時間に渡る保存が困難となるという問題がある。

また、パケットを保存できた場合でも、保存されたパケットの容量が膨大になった場合、どこに不具合があるのかを解析するためには保存されたパケットをすべて調べる必要があることから、問題の発生箇所の特定が難しくなるという問題がある。

上記の問題を回避するために、一定時間、あるいは保存されたパケットのサイズが一定容量以上となった場合に、保存したパケットのファイルを破棄するという手法がある。

しかし、この手法を用いた場合、プロトコルの種類によっては過去に観察されたパケットがわからないと、現在の状態が正確に分からない場合があるため、問題の発生原因を正確に診断することができなくなるという問題があった。

また、パケットのエラーが発生した場合、そのパケットエラーのみを記録しても、エラーの原因は他のパケットにある場合があることから、エラーの発生原因を突き止められないという問題があった。

"WireShark"、［ｏｎｌｉｎｅ］、［平成２２年３月１日検索］、インターネット＜ＵＲＬ：http://www.wireshark.org/＞ 加藤洋一、宮本勝"ホームネットワーク故障切り分け方式の検討:効率的な故障診断のための可視化(ネットワーク管理)",電子情報通信学会技術研究報告ICM2008-64, 108(481), pp.35-40, 2009.

本発明は、上記の課題に鑑みてなされたものであり、その目的とするところは、パケットを、新しいうちは破棄しないでおき、古くなったら破棄できるパケット解析装置およびその動作方法を提供することにある。

上記の課題を解決するために、第１の本発明に係るネットワーク解析装置は、ネットワークを流れるパケットを順次に捕捉するパケット捕捉部と、当該捕捉されたパケットが捕捉順に記憶されるパケット記憶部と、当該捕捉されたパケットの内容に基づいて当該パケットに適用されたプロトコルの種類を求めるプロトコル種類取得部と、前記プロトコル種類取得部によって求められたプロトコルの種類と当該パケットの内容とに基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定するプロトコル動作判定部と、当該パケットより予め定められたパケット数または時間長だけ前に捕捉されたパケットのパケット記憶部での位置を求める位置取得部と、当該動作が異常なら、当該動作が異常であることを記憶するパケット破棄中止記憶部と、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されていないなら、前記パケット記憶部において当該位置より前の位置に記憶されたパケットを破棄する一方、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されているならパケットの破棄を中止するパケット破棄処理部とを有することを特徴とする。

第２の本発明に係るネットワーク解析装置は、ネットワークを流れるパケットを順次に捕捉するパケット捕捉部と、当該捕捉されたパケットが捕捉順に記憶されるパケット記憶部と、当該捕捉されたパケットの内容に基づいて当該パケットに適用されたプロトコルの種類を求めるプロトコル種類取得部と、前記プロトコル種類取得部によって求められたプロトコルの種類が、複数のパケットが送信されるものである場合に、当該複数のパケットの中の先頭のパケットのパケット記憶部での位置が記憶される位置記憶部と、前記プロトコル種類取得部によって求められたプロトコルの種類と当該パケットの内容とに基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定するプロトコル動作判定部と、前記位置記憶部に記憶された位置を読み出す位置取得部と、当該動作が異常なら、当該動作が異常であることを記憶するパケット破棄中止記憶部と、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されていないなら、前記パケット記憶部において当該位置より前の位置に記憶されたパケットを破棄する一方、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されているならパケットの破棄を中止するパケット破棄処理部とを有することを特徴とする。

第３の本発明に係るネットワーク解析装置の動作方法は、ネットワークに接続されたネットワーク解析装置の動作方法であって、前記ネットワーク解析装置のパケット捕捉部が、ネットワークを流れるパケットを順次に捕捉し、前記ネットワーク解析装置のパケット記憶部が、当該捕捉されたパケットを捕捉順に記憶し、前記ネットワーク解析装置のプロトコル種類取得部が、当該捕捉されたパケットの内容に基づいて当該パケットに適用されたプロトコルの種類を求め、前記ネットワーク解析装置のプロトコル動作判定部が、前記プロトコル種類取得部によって求められたプロトコルの種類と当該パケットの内容とに基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定し、前記ネットワーク解析装置の位置取得部が、当該パケットより予め定められたパケット数または時間長だけ前に捕捉されたパケットのパケット記憶部での位置を求め、前記ネットワーク解析装置のパケット破棄中止記憶部が、当該動作が異常なら、当該動作が異常であることを記憶し、前記ネットワーク解析装置のパケット破棄処理部が、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されていないなら、前記パケット記憶部において当該位置より前の位置に記憶されたパケットを破棄する一方、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されているならパケットの破棄を中止することを特徴とする。

第４の本発明に係るネットワーク解析装置の動作方法は、ネットワークに接続されたネットワーク解析装置の動作方法であって、前記ネットワーク解析装置のパケット捕捉部が、ネットワークを流れるパケットを順次に捕捉し、前記ネットワーク解析装置のパケット記憶部が、当該捕捉されたパケットを捕捉順に記憶し、前記ネットワーク解析装置のプロトコル種類取得部が、当該捕捉されたパケットの内容に基づいて当該パケットに適用されたプロトコルの種類を求め、前記ネットワーク解析装置の位置記憶部が、前記プロトコル種類取得部によって求められたプロトコルの種類が、複数のパケットが送信されるものである場合に、当該複数のパケットの中の先頭のパケットのパケット記憶部での位置を記憶し、前記ネットワーク解析装置のプロトコル動作判定部が、前記プロトコル種類取得部によって求められたプロトコルの種類と当該パケットの内容とに基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定し、前記ネットワーク解析装置の位置取得部が、前記位置記憶部に記憶された位置を読み出し、前記ネットワーク解析装置のパケット破棄中止記憶部が、当該動作が異常なら、当該動作が異常であることを記憶し、前記ネットワーク解析装置のパケット破棄処理部が、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されていないなら、前記パケット記憶部において当該位置より前の位置に記憶されたパケットを破棄する一方、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されているならパケットの破棄を中止することを特徴とする。

本発明によれば、パケットを、新しいうちは破棄しないでおき、古くなったら破棄することができ、よって、パケットの解析ができ、且つ、パケットの保存量を少なくできる。

第１の実施の形態に係るネットワーク解析装置の概略構成を示すブロック図である。 パケット記憶部２の構成を示す図である。 プロトコル種類取得部６の詳細構成および動作の説明図である。 プロトコル動作判定部７の詳細構成および動作の説明図である。 第２の実施の形態に係るネットワーク解析装置の概略構成を示すブロック図である。 プロトコル種類取得部６Ａの詳細構成および動作の説明図である。 第３の実施の形態に係るネットワーク解析装置の概略構成を示すブロック図である。 第４の実施の形態に係るネットワーク解析装置の概略構成を示すブロック図である。

以下、本発明の実施の形態について図面を参照して説明する。

［第１の実施の形態］
図１は、第１の実施の形態に係るネットワーク解析装置の概略構成を示すブロック図である。

第１の実施の形態に係るネットワーク解析装置は、ネットワークＮを流れるパケットを順次に捕捉するパケット捕捉部１と、捕捉されたパケットが捕捉順に記憶されるパケット記憶部２と、捕捉されたパケットをパケット記憶部２に記憶させるパケット処理部３と、パケット内のヘッダのパターンと該パターンのヘッダを含むパケットに適用されるプロトコルの種類とを有するレコードからなるプロトコル種類テーブル４と、プロトコルの種類と該プロトコルが適用される通信における異常のパターンとを有するレコードからなる異常パターンテーブル５と、捕捉されたパケットに基づいてプロトコル種類テーブル４から当該パケットに適用されたプロトコルの種類を取得するプロトコル種類取得部６と、当該プロトコルの種類と当該パケットおよび異常パターンテーブル５の内容に基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定するプロトコル動作判定部７と、当該パケットより予め定められたパケット数または時間長だけ前に捕捉されたパケットのパケット記憶部２での位置を求める位置取得部８と、動作が異常ならその旨を記憶するパケット破棄中止記憶部９と、パケット破棄中止記憶部９に動作が異常であることが記憶されていないなら、パケット記憶部２において当該位置より前の位置に記憶されたパケットを破棄する一方、パケット破棄中止記憶部９に動作が異常であることが記憶されているならパケットの破棄を中止するパケット破棄処理部１０とを有する。

（第１の実施の形態における動作）
パケット捕捉部１は、ネットワークＮを流れるパケットを順次に捕捉する。パケット処理部３は、捕捉されたパケットを捕捉順にパケット記憶部２に記憶させる。パケット記憶部２は、ここではファイルであり、ハードディスクやフラッシュメモリに格納される。

図２は、パケット記憶部２の構成を示す図である。
パケット記憶部２には、パケットが捕捉順に記憶される。ここでは、最も古いパケットは、パケット番号１のパケットであり、最も新しいパケットは、パケット番号Ｎのパケットである。パケット記憶部２においては、求められた位置より前の位置に記憶されたパケットが破棄される。例えば、パケット番号９のパケットの位置が求められたたなら、パケット番号１〜８のパケットが破棄される。

図１に戻り、プロトコル種類取得部６は、パケットが捕捉された際、そのパケットの内容に基づいて、プロトコル種類テーブル４から当該パケットに適用されたプロトコルの種類を取得する。

図３は、プロトコル種類取得部６の詳細構成および動作の説明図である。
プロトコル種類取得部６は、ヘッダとデータからなるパケットからヘッダを取得するヘッダ取得部６１と、取得されたヘッダのパターンを含むレコードをプロトコル種類テーブル４から検索するテーブル検索部６２と、当該レコードからプロトコルの種類を読み出すプロトコル種類読出部６３とを備える。

ヘッダ取得部６１は、パケットからヘッダを取得し、テーブル検索部６２は、当該ヘッダを含むレコードをプロトコル種類テーブル４から検索する。

プロトコル種類読出部６３は、当該レコードからプロトコルの種類を読み出し、プロトコルの種類とパケットをプロトコル動作判定部７に出力する。

プロトコルの種類としては、ＨＴＴＰ、ＦＴＰ、ＲＴＰ、ＳＩＰ、ＰＰＰｏＥなどがある。以下、プロトコルの種類については、同様である。

図１に戻り、プロトコル動作判定部７は、読み出したプロトコルの種類とパケットおよび異常パターンテーブル５の内容に基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定する。

図４は、プロトコル動作判定部７の詳細構成および動作の説明図である。
プロトコル動作判定部７は、プロトコル種類取得部６から得たプロトコルの種類を含むレコードを異常パターンテーブル５から検索するテーブル検索部７１と、プロトコル種類取得部６から得たパケットが、該レコードの異常のパターンに該当するかを判定する異常判定処理部７２と、判定の結果を出力する判定結果出力部７３とを備える。

テーブル検索部７１は、プロトコル種類取得部６から得たプロトコルの種類を含むレコードを異常パターンテーブル５から検索し、異常判定処理部７２は、プロトコル種類取得部６から得たパケットが、該レコードの異常のパターンに該当するかつまり動作が異常か否かを判定し、判定結果出力部７３は、動作が異常ならその旨をパケット破棄中止記憶部９に記憶させる。また、パケットは位置取得部８に出力される。

異常判定処理部７２は、同一レコードに複数の異常のパターンがある場合は、各パターンについて判定を行い、いずれかに該当する場合は、動作が異常であることとする。

異常な動作とは、例えば、ＲＴＰにおいて、途中のパケットが欠落するような動作や、ＳＩＰにおいて、ＩＮＶＩＴＥに対する応答で２００ＯＫが戻らなかったというような動作をいう。

図１に戻り、パケット破棄中止記憶部９は、動作が異常ならその旨を記憶する。位置取得部８は、プロトコル動作判定部７から得たパケットより予め定められたパケット数または時間長だけ前に捕捉されたパケットのパケット記憶部２での位置を求める。かかる位置は、ネットワーク解析装置のメモリ（図示せず）上に記憶される。

パケット破棄処理部１０は、パケット破棄中止記憶部９に動作が異常であることが記憶されていないなら、パケット記憶部２において、位置取得部８により求められた位置より前の位置に記憶されたパケットを破棄する一方、パケット破棄中止記憶部９に動作が異常であることが記憶されているならパケットの破棄を中止する。

なお、パケット破棄処理部１０は、予め定められた時間の長さが経過したら、または、予め定められた数のパケットが処理されたら、パケット破棄中止記憶部９から、動作が異常である旨の記憶を削除する。また、これ以降、パケット処理部３は、パケット記憶部２としては、新たなファイルを使用する。

したがって、第１の実施の形態によれば、予め定められたパケット数または時間長だけ遡ったタイミングで捕捉されたパケットより前に捕捉されたパケットを破棄するので、パケットを、新しいうちは破棄しないでおき、古くなったら破棄することができ、よって、パケットの解析ができ、且つ、パケットの保存量を少なくできる。

［第２の実施の形態］
図５は、第２の実施の形態に係るネットワーク解析装置の概略構成を示すブロック図である。第２の実施の形態に係るネットワーク解析装置は、第１の実施の形態に係るネットワーク解析装置と同様の構成要素を有し、これについては、同一符号を付与し、重複説明を省略する。

第２の実施の形態に係るネットワーク解析装置は、パケット捕捉部１と、パケット記憶部２と、パケット処理部３と、パケット内のヘッダのパターンと該パターンのヘッダを含むパケットに適用されるプロトコルの種類と当該プロトコルの形式を有するレコードからなるプロトコル種類テーブル４Ａと、異常パターンテーブル５と、捕捉されたパケットの内容に基づいてプロトコル種類テーブル４Ａから当該パケットに適用されたプロトコルの種類と当該プロトコルの形式とを取得するプロトコル種類取得部６Ａと、当該プロトコルの形式が、複数のパケットが送信されるものである場合に、例えば、プロトコルの形式がステート型で、且つ、その状態遷移における開始状態が確認された場合に、当該複数のパケットの中の先頭のパケットのパケット記憶部での位置が記憶される位置記憶部１１と、プロトコル動作判定部７と、パケット破棄中止記憶部９と、位置記憶部１１に記憶された位置を読み出す位置取得部８Ａと、パケット破棄中止記憶部９に動作が異常であることが記憶されていないなら、パケット記憶部２において、当該読み出された位置より前の位置に記憶されたパケットを破棄する一方、パケット破棄中止記憶部９に動作が異常であることが記憶されているならパケットの破棄を中止するパケット破棄処理部１０Ａとを有する。

（第２の実施の形態における動作）
パケット捕捉部１は、ネットワークＮを流れるパケットを順次に捕捉する。パケット処理部３は、捕捉されたパケットを捕捉順にパケット記憶部２に記憶させる。パケット記憶部２は、ここではファイルであり、ハードディスクやフラッシュメモリに格納される。パケット記憶部２の構成は図２に示したとおりである。

プロトコル種類取得部６Ａは、パケットが捕捉された際、そのパケットの内容に基づいて、プロトコル種類テーブル４から当該パケットに適用されたプロトコルの種類と当該プロトコルの形式とを取得する。

図６は、プロトコル種類取得部６Ａの詳細構成および動作の説明図である。
プロトコル種類取得部６Ａは、ヘッダ取得部６１と、取得されたヘッダのパターンを含むレコードをプロトコル種類テーブル４Ａから検索するテーブル検索部６２と、レコードからプロトコルの形式を読み出し、これが、複数のパケットが送信されるものである、例えば、プロトコルの形式がステート型である、か否かを判定するプロトコル形式判定部６４と、プロトコルの形式が、複数のパケットが送信されるものであるなら、その複数のパケットの中の先頭のパケットのパケット記憶部２での位置を位置記憶部１１に記憶させ、プロトコルの形式が、複数のパケットが送信されるものでないなら、予め定められたパケット数または時間長だけ前に捕捉されたパケットのパケット記憶部２での位置を位置記憶部１１に記憶させる位置書込部６５と、プロトコル種類読出部６３とを備える。

ヘッダ取得部６１は、ヘッダとデータからなるパケットからヘッダを取得し、テーブル検索部６２は、当該ヘッダを含むレコードをプロトコル種類テーブル４Ａから検索する。

プロトコル形式判定部６４は、レコードからプロトコルの形式を読み出し、これが、複数のパケットが送信されるものである、例えば、プロトコルの形式がステート型である、か否かを判定する。

位置書込部６５は、プロトコルの形式が、複数のパケットが送信されるものであるなら、その複数のパケットの中の先頭のパケットのパケット記憶部２での位置を位置記憶部１１に記憶させる。

例えば、位置書込部６５は、プロトコルの形式がステート型であるなら、且つ、その状態遷移における開始状態か否かを判定し、開始状態であるなら、上記のように先頭のパケットの位置を位置記憶部１１に記憶させる。

ここでは、位置書込部６５は、先頭のパケットの位置をプロトコルの種類に対応づけて位置記憶部１１に記憶させる。

なお、位置記憶部１１には、先頭のパケットが捕捉された時刻などを記憶させ、つまり、複数のパケットの送信の開始時刻を記憶させておいてもよい。この場合、開始時刻から、先頭のパケットのパケット記憶部２での位置を求めることができるようにしておけばよい。すなわち、位置記憶部１１には、先頭のパケットのパケット記憶部２での位置を直接的に記憶させてもよいし、開始時刻により間接的に記憶させてもよい。

プロトコル種類読出部６３は、ヘッダ取得部６１により検索されたレコードからプロトコルの種類を読み出し、プロトコルの種類とパケットをプロトコル動作判定部７に出力する。

図５に戻り、プロトコル動作判定部７は、第１の実施の形態と同様に、動作が正常なものであるか異常なものであるかを判定する。また、パケット破棄中止記憶部９は、動作が異常ならその旨を記憶する。

また、位置取得部８は、プロトコル動作判定部７から得たパケットより予め定められたパケット数または時間長だけ前に捕捉されたパケットのパケット記憶部２での位置を求める。かかる位置は、ネットワーク解析装置のメモリ（図示せず）上に記憶される。

位置取得部８は、位置記憶部１１に位置が記憶されているなら、その位置を優先的に読み出し、記憶されていないなら、予め定められたパケット数または時間長だけ前に捕捉されたパケットのパケット記憶部２での位置を読み出す。

パケット破棄処理部１０Ａは、パケット破棄中止記憶部９に動作が異常であることが記憶されていないなら、パケット記憶部２において、位置取得部８Ａにより得られた位置（先頭のパケットの位置または予め定められたパケット数または時間長だけ前に捕捉されたパケットの位置）より前の位置に記憶されたパケットを破棄する一方、パケット破棄中止記憶部９に動作が異常であることが記憶されているならパケットの破棄を中止する。

なお、第１の実施の形態と同様に、パケット破棄処理部１０Ａは、予め定められた時間の長さが経過したら、または、予め定められた数のパケットが処理されたら、パケット破棄中止記憶部９から、動作が異常である旨の記憶を削除する。また、これ以降、パケット処理部３は、パケット記憶部２としては、新たなファイルを使用する。

したがって、第２の実施の形態によれば、複数のパケットの中の先頭のパケットより前に捕捉されたパケットを破棄するので、パケットを、新しいうちは破棄しないでおき、古くなったら破棄することができ、よって、パケットの解析ができ、且つ、パケットの保存量を少なくできる。また、複数のパケットは破棄されないので、当該複数のパケットに適用されるプロトコルに関わる通信の動作を解析することができる。

［第３の実施の形態］
図７は、第３の実施の形態に係るネットワーク解析装置の概略構成を示すブロック図である。

第３の実施の形態に係るネットワーク解析装置は、第１の実施の形態に係るネットワーク解析装置と同様の構成要素を有し、これについては、同一符号を付与し、重複説明を省略する。

ネットワーク解析装置は、パケット捕捉部１と、パケット記憶部２と、パケット処理部３と、プロトコル種類テーブル４と、異常パターンテーブル５と、プロトコル種類取得部６と、プロトコル動作判定部７と、位置取得部８と、パケット破棄中止記憶部９と、パケット破棄処理部１０と、動作が異常な場合における当該異常の内容を記憶する異常内容記憶部１２と、動作が異常な場合における当該異常の内容を異常内容記憶部１２に記憶させる異常内容処理部１３とを備える。

（第３の実施の形態における動作）
第３の実施の形態における動作では、異常内容処理部１３が、動作が異常な場合における当該異常の内容を異常内容記憶部１２に記憶させ、これ以外の動作は、第１の実施の形態と同様である。なお、第２の実施の形態に係るネットワーク解析装置に異常内容記憶部１２と異常内容処理部１３を設け、同様な動作がなされるようにしてもよい。

したがって、第３の実施の形態によれば、第１の実施の形態などの効果に加え、さらに、異常内容記憶部１２に記憶された異常の内容から、異常の原因究明や統計処理などを行うことができる。

［第４の実施の形態］
図８は、第４の実施の形態に係るネットワーク解析装置の概略構成を示すブロック図である。

第４の実施の形態に係るネットワーク解析装置は、第１の実施の形態に係るネットワーク解析装置と同様の構成要素を有し、これについては、同一符号を付与し、重複説明を省略する。

ネットワーク解析装置は、パケット捕捉部１と、パケット記憶部２と、パケット処理部３と、プロトコル種類テーブル４と、異常パターンテーブル５と、プロトコル種類取得部６と、プロトコル動作判定部７と、位置取得部８と、パケット破棄中止記憶部９と、パケット破棄処理部１０と、動作が異常なら当該異常の内容を、例えば、ネットワークＮを介して通信可能な、外部の図示しない装置（サーバなど）に通知する異常内容通知部１４を有する。

（第４の実施の形態における動作）
第４の実施の形態における動作では、異常内容通知部１４が、例えば、ネットワークＮを介して通信可能な、外部の図示しない装置（サーバなど）に通知し、これ以外の動作は、第１の実施の形態と同様である。なお、第２または３の実施の形態に係るネットワーク解析装置に異常内容通知部１４を設け、同様な動作がなされるようにしてもよい。

したがって、第４の実施の形態によれば、第１の実施の形態などにおける効果に加え、さらに、異常内容通知部１４により通知される異常の内容から、異常の原因究明や統計処理などを行うことができる。

なお、本実施の形態に係るネットワーク解析装置としてコンピュータを機能させるためのコンピュータプログラムは、半導体メモリ、磁気ディスク、光ディスク、光磁気ディスク、磁気テープなどのコンピュータ読み取り可能な記録媒体に記録でき、また、インターネットなどの通信網を介して伝送させて、広く流通させることができる。

１…パケット捕捉部
２…パケット記憶部
３…パケット処理部
４、４Ａ…プロトコル種類テーブル
５…異常パターンテーブル
６、６Ａ…プロトコル種類取得部
７…プロトコル動作判定部
８、８Ａ…位置取得部
９…パケット破棄中止記憶部
１０、１０Ａ…パケット破棄処理部
１１…位置記憶部
１２…異常内容記憶部
１３…異常内容処理部
１４…異常内容通知部
６１…ヘッダ取得部
６２、７１…テーブル検索部
６３…プロトコル種類読出部
６４…プロトコル形式判定部
６５…位置書込部
７２…異常判定処理部
７３…判定結果出力部

Claims (9)

1. ネットワークを流れるパケットを順次に捕捉するパケット捕捉部と、
   当該捕捉されたパケットが捕捉順に記憶されるパケット記憶部と、
   当該捕捉されたパケットの内容に基づいて当該パケットに適用されたプロトコルの種類を求めるプロトコル種類取得部と、
   前記プロトコル種類取得部によって求められたプロトコルの種類と当該パケットの内容とに基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定するプロトコル動作判定部と、
   当該パケットより予め定められたパケット数または時間長だけ前に捕捉されたパケットのパケット記憶部での位置を求める位置取得部と、
   当該動作が異常なら、当該動作が異常であることを記憶するパケット破棄中止記憶部と、
   前記パケット破棄中止記憶部に当該動作が異常であることが記憶されていないなら、前記パケット記憶部において当該位置より前の位置に記憶されたパケットを破棄する一方、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されているならパケットの破棄を中止するパケット破棄処理部と
   を有することを特徴とするネットワーク解析装置。
2. ネットワークを流れるパケットを順次に捕捉するパケット捕捉部と、
   当該捕捉されたパケットが捕捉順に記憶されるパケット記憶部と、
   当該捕捉されたパケットの内容に基づいて当該パケットに適用されたプロトコルの種類を求めるプロトコル種類取得部と、
   前記プロトコル種類取得部によって求められたプロトコルの種類が、複数のパケットが送信されるものである場合に、当該複数のパケットの中の先頭のパケットのパケット記憶部での位置が記憶される位置記憶部と、
   前記プロトコル種類取得部によって求められたプロトコルの種類と当該パケットの内容とに基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定するプロトコル動作判定部と、
   前記位置記憶部に記憶された位置を読み出す位置取得部と、
   当該動作が異常なら、当該動作が異常であることを記憶するパケット破棄中止記憶部と、
   前記パケット破棄中止記憶部に当該動作が異常であることが記憶されていないなら、前記パケット記憶部において当該位置より前の位置に記憶されたパケットを破棄する一方、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されているならパケットの破棄を中止するパケット破棄処理部と
   を有することを特徴とするネットワーク解析装置。
3. 前記動作が異常な場合における当該異常の内容を記憶する異常内容記憶部を有することを特徴とする請求項１または２記載のネットワーク解析装置。
4. 前記動作が異常なら当該異常の内容を外部の装置に通知する異常内容通知部を有することを請求項１ないし３のいずれかに記載のネットワーク解析装置。
5. ネットワークに接続されたネットワーク解析装置の動作方法であって、
   前記ネットワーク解析装置のパケット捕捉部が、ネットワークを流れるパケットを順次に捕捉し、
   前記ネットワーク解析装置のパケット記憶部が、当該捕捉されたパケットを捕捉順に記憶し、
   前記ネットワーク解析装置のプロトコル種類取得部が、当該捕捉されたパケットの内容に基づいて当該パケットに適用されたプロトコルの種類を求め、
   前記ネットワーク解析装置のプロトコル動作判定部が、前記プロトコル種類取得部によって求められたプロトコルの種類と当該パケットの内容とに基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定し、
   前記ネットワーク解析装置の位置取得部が、当該パケットより予め定められたパケット数または時間長だけ前に捕捉されたパケットのパケット記憶部での位置を求め、
   前記ネットワーク解析装置のパケット破棄中止記憶部が、当該動作が異常なら、当該動作が異常であることを記憶し、
   前記ネットワーク解析装置のパケット破棄処理部が、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されていないなら、前記パケット記憶部において当該位置より前の位置に記憶されたパケットを破棄する一方、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されているならパケットの破棄を中止する
   ことを特徴とするネットワーク解析装置の動作方法。
6. ネットワークに接続されたネットワーク解析装置の動作方法であって、
   前記ネットワーク解析装置のパケット捕捉部が、ネットワークを流れるパケットを順次に捕捉し、
   前記ネットワーク解析装置のパケット記憶部が、当該捕捉されたパケットを捕捉順に記憶し、
   前記ネットワーク解析装置のプロトコル種類取得部が、当該捕捉されたパケットの内容に基づいて当該パケットに適用されたプロトコルの種類を求め、
   前記ネットワーク解析装置の位置記憶部が、前記プロトコル種類取得部によって求められたプロトコルの種類が、複数のパケットが送信されるものである場合に、当該複数のパケットの中の先頭のパケットのパケット記憶部での位置を記憶し、
   前記ネットワーク解析装置のプロトコル動作判定部が、前記プロトコル種類取得部によって求められたプロトコルの種類と当該パケットの内容とに基づいて当該プロトコルおよびパケットに関わる通信の動作が正常なものであるか異常なものであるかを判定し、
   前記ネットワーク解析装置の位置取得部が、前記位置記憶部に記憶された位置を読み出し、
   前記ネットワーク解析装置のパケット破棄中止記憶部が、当該動作が異常なら、当該動作が異常であることを記憶し、
   前記ネットワーク解析装置のパケット破棄処理部が、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されていないなら、前記パケット記憶部において当該位置より前の位置に記憶されたパケットを破棄する一方、前記パケット破棄中止記憶部に当該動作が異常であることが記憶されているならパケットの破棄を中止する
   ことを特徴とするネットワーク解析装置の動作方法。
7. 前記ネットワーク解析装置の異常内容記憶部が、前記動作が異常な場合における当該異常の内容を記憶することを特徴とする請求項５または６記載のネットワーク解析装置の動作方法。
8. 前記ネットワーク解析装置の異常内容通知部が、前記動作が異常なら当該異常の内容を外部の装置に通知することを請求項５ないし７のいずれかに記載のネットワーク解析装置の動作方法。
9. 請求項１ないし４のいずれかに記載のネットワーク解析装置としてコンピュータを機能させるためのコンピュータプログラム。

Images