JPH07231317A - トラフィック収集解析装置 - Google Patents

Abstract

(57)【要約】 【目的】ネットワーク上に転送されるフレームを収集
し、このフレームの上位層プロトコルでの情報から必要
な情報を抽出することのできるトラフィック収集解析装
置を提供する。 【構成】アプリケーション判定情報蓄積手段１９には、
前段階として得られたアプリケーション判定情報が蓄積
される。そしてアプリケーション判定手段２０は、フレ
ーム情報抽出手段１４からのフレーム情報と、アプリケ
ーション判定情報蓄積手段１９の蓄積内容と、アプリケ
ーション判定基準保持手段の保持内容とに基づいて、復
号化手段１３からの復号化されたフレームのパケット中
から、アプリケーションを特定する。アプケケーション
情報抽出手段２２は、上記特定されたアプリケーショ
ン、及びアプリケーション情報テンプレート保持手段２
１の保持内容に基づいて、復号化手段１３からの復号化
されたフレームのパケット中から、特徴情報を抽出す
る。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、ネットワークのトラ
フィックを解析するトラフィック収集解析装置に関す
る。

【０００２】

【従来の技術】従来のトラフィックモニタ・アナライザ
技術としては、以下のような２通りの方法がある。

【０００３】（１）１つの方法として、ネットワーク上
のトラフィック（つまりフレーム）を収集すると共に、
この収集したフレーム中の情報全てを蓄積する。そし
て、このような処理を複数のフレームについて繰り返し
て行い、ある程度の複数のフレームの収集及びフレーム
中の情報の蓄積が終了した時点で、各フレームの解析を
行う。すなわちトラフィックの収集とトラフィックの解
析をシリアルに行う。

【０００４】（２）もう１つの方法として、高速のハー
ドウェア及び並列処理アーキテクチャ（すなわちマルチ
プロセッサシステム）を用いることによって、トラフィ
ック（すなわちフレーム）の収集と並行して、そのフレ
ーム中の上位層までのプロトコル解析を行い、必要な情
報を得る。

【０００５】また特開平２−２１９３４１号公報に記載
されているように、パケットネットワーク上のキャリア
信号のオン・オフを検出し、オンからオフまでの期間
（パケット期間）とオフからオンまでの期間（ギャップ
期間）を交互に記録するようにしたものもある。これに
より、プロトコルやパケットフォーマットによらず、大
記憶容量を必要とせずに高い時間分解能動作を可能とし
ている。

【０００６】さらに、特開平４−１８０４２３号公報に
記載されているように、ＬＡＮのトラフィック量の測定
の為に、フレームの全情報は必要ではないことに着目
し、フレーム長を抽出し、記憶していくようにしたもの
もある。これにより、安価にかつ簡単な構成でトラフィ
ックの測定が出来るようにしている。

【０００７】

【発明が解決しようとする課題】しかしながら、上述し
た従来のトラフィックモニタ・アナライザ技術において
は、上記（１）の方法の場合は、フレームの取りこぼし
の発生は少ないものの、大きな記憶容量を必要とし、長
時間にわたる観測が困難である。一方、上記（２）の方
法の場合は、フレーム取りこぼしの発生が少なく、また
必要な情報のみを取り出して蓄積するので、大きな記憶
容量を必要としないが、高価なマルチプロセスシステム
を採用しなければならないので、コストが高くついてし
まう。

【０００８】更に上記各公報のものでは、上位層プロト
コルの解析が不可能である。

【０００９】そこで本発明は、ネットワーク上に転送さ
れるフレームを収集し、このフレームの上位層プロトコ
ルでの情報から必要な情報を抽出することのできるトラ
フィック収集解析装置を提供することを目的とする。

【００１０】

【課題を解決するための手段】第１の発明は、伝送路に
伝送されるプロトコル情報を含むデータを受信する受信
手段（図１の１１）を備え、該受信手段によって受信し
たデータを解析するトラフィック収集解析装置におい
て、前記受信手段により予め受信した前記データから、
上位層プロトコルの種類毎にそれぞれ対応して上位層プ
ロトコル情報の使用頻度を演算する演算手段（図１の１
８）と、該演算手段による演算結果を記憶する記憶手段
（図１の１９）と、前記受信手段によりリアルタイムに
受信したデータについて、前記記憶手段を参照して使用
頻度の高い種類順に上位層プロトコルの特徴と比較する
ことにより、当該データの上位層プロトコルの種類の特
定を行った後、該データの解析を行う解析手段（図１の
２２）とを具備している。

【００１１】第２の発明は、伝送路に伝送されるプロト
コル情報を含むデータを受信する受信手段（図１の１
１）を備え、該受信手段によって受信したデータを解析
するトラフィック収集解析装置において、前記受信手段
により予め受信した前記データ中から、上位層プロトコ
ルの種類毎の使用頻度を演算する演算手段（図１の１
８）と、該演算手段により演算された使用頻度の高い順
に、上位層プロトコルの種類と、上位層プロトコルを特
定するための特徴を示す情報であって前記予め受信した
データ上の位置情報に基づき前記予め受信したデータか
ら抽出した当該位置情報に対応する位置のデータ値とを
対応させた特定情報を作成する作成手段（図１の１８）
と、該作成手段により作成された特定情報を記憶する記
憶手段（図１の１９）と、リアルタイムに受信したデー
タについて、前記記憶手段に記憶された特定情報を参照
して上位層プロトコルの種類を特定する特定手段（図１
の２０）と、該特定手段によって特定された上位層プロ
トコルの種類と、当該上位層プロトコルの種類の特徴を
示す情報が存在する位置を表す位置情報とに基づいて、
前記リアルタイムに受信したデータから情報を抽出する
抽出手段（図１の２２）とを具備している。

【００１２】第３の発明は、伝送路に伝送されるプロト
コル情報を含むデータを受信する受信手段を備え、該受
信手段によって受信したデータを解析するトラフィック
収集解析装置において、前記受信手段により予め受信し
た前記データ中から、上位層プロトコルの種類毎の使用
頻度を演算する演算手段と、該演算手段により演算され
た使用頻度の高い順に、上位層プロトコルの種類と、上
位層プロトコルを特定するための特徴を示す情報であっ
て前記予め受信したデータ上の位置情報に基づき前記予
め受信したデータから抽出した当該位置情報に対応する
位置のデータ値とを対応させた特定情報を作成する作成
手段と、該作成手段により作成された特定情報を記憶す
る第１の記憶手段と、前記受信手段により予め受信した
前記データを上位層プロトコルの種類毎に分類し、当該
上位層プロトコルの種類毎のデータを所定のデータ単位
に分割すると共に、当該所定のデータ単位毎にデータ送
受に関する内容の特徴を抽出し、更に当該抽出結果と当
該分類した上位層プロトコルの種類とを対応させたパタ
ーン情報を作成するパターン情報抽出手段と、前記パタ
ーン情報抽出手段により作成されたパターン情報を記憶
する第２の記憶手段と、リアルタイムに受信したデータ
について、前記第１の記憶手段に記憶された特定情報及
び前記第２の記憶手段に記憶されたパターン情報を参照
して上位層プロトコルの種類を特定する特定手段と、該
特定手段によって特定された上位層プロトコルの種類
と、当該上位層プロトコルの種類の特徴を示す情報が存
在する位置を表す位置情報とに基づいて、前記リアルタ
イムに受信したデータから情報を抽出する抽出手段とを
具備している。

【００１３】

【作用】第１の発明においては、演算手段が、受信手段
により予め受信したプロトコル情報を含むデータから、
上位層プロトコルの種類毎に、それぞれ対応して上位層
プロトコル情報の使用頻度を演算し、この演算結果を記
憶手段に格納し、そして、解析手段は、前記受信手段に
よりリアルタイムに受信したデータについて、前記記憶
手段を参照して使用頻度の高い種類順に上位層プロトコ
ルの特徴と比較することにより、当該データの上位層プ
ロトコルの種類の特定を行った後、当該データの解析を
行う。

【００１４】したがって、第１の発明によれば、リアル
タイムに受信したフレーム内の全てのプロトコル情報を
展開することなく、前処理として得られた上位層プロト
コル情報を参照することにより、当該フレームの上位層
プロトコル（アプリケーション層）の種類を特定するこ
とができる。

【００１５】第２の発明においては、演算手段が、受信
手段により予め受信したプロトコル情報を含むデータか
ら、上位層プロトコルの種類毎の使用頻度を演算する
と、作成手段が、その使用頻度の高い順に、上位層プロ
トコルの種類と、上位層プロトコルを特定するための特
徴を示す情報であって前記予め受信したデータ上の位置
情報に基づき前記予め受信したデータから抽出した当該
位置情報に対応する位置のデータ値とを対応させた特定
情報を作成し、この作成した特定情報を記憶手段に格納
し、特定手段が、リアルタイムに受信したデータについ
て、前記記憶手段に記憶された特定情報を参照して上位
層プロトコルの種類を特定すると、抽出手段が、その特
定された上位層プロトコルの種類と、当該上位層プロト
コルの種類の特徴を示す情報が存在する位置を表す位置
情報とに基づいて、前記リアルタイムに受信したデータ
から情報を抽出する。

【００１６】従って、第２の発明によれば、リアルタイ
ムに受信したフレーム内の全てのプロトコル情報を展開
することなく、前処理で得られた上位層プロトコル（す
なわちアプリケーション層）情報の特徴を示す情報情報
に従って特定された上位層プロトコルの種類と、該上位
層プロトコルの種類の特徴を表す情報が存在する位置を
表す位置情報とに基づいて、当該リアルタイムに受信し
たフレーム内のアプリケーションから当該アプリケーシ
ョンの特徴情報を抽出することができる。

【００１７】第３の発明においては、演算手段が、受信
手段により予め受信したプロトコル情報を含むデータ中
から、上位層プロトコルの種類毎の使用頻度を演算する
と、作成手段が、その使用頻度の高い順に、上位層プロ
トコルの種類と、上位層プロトコルを特定するための特
徴を示す情報であって前記予め受信したデータ上の位置
情報に基づき前記予め受信したデータから抽出した当該
位置情報に対応する位置のデータ値とを対応させた特定
情報を作成し、この作成した特定情報を第１の記憶手段
に格納し、これに対し、パターン情報抽出手段が、受信
手段により予め受信したプロトコル情報を含むデータを
上位層プロトコルの種類毎に分類し、当該上位層プロト
コルの種類毎のデータを所定のデータ単位に分割すると
共に、当該所定のデータ単位毎にデータ送受に関する内
容の特徴を抽出し、更に当該抽出結果と当該分類した上
位層プロトコルの種類とを対応させたパターン情報を作
成し、この作成したパターン情報を第２の記憶手段に格
納し、そして、特定手段が、リアルタイムに受信したデ
ータについて、前記第１の記憶手段に記憶された特定情
報及び前記第２の記憶手段に記憶されたパターン情報を
参照して上位層プロトコルの種類を特定すると、抽出手
段が、その特定された上位層プロトコルの種類と、当該
上位層プロトコルの種類の特徴を示す情報が存在する位
置を表す位置情報とに基づいて、前記リアルタイムに受
信したデータから情報を抽出する。

【００１８】従って、第３の発明によれば、リアルタイ
ムに受信したフレーム内の全てのプロトコル情報を展開
することなく、前処理で得られた上位層プロトコル（す
なわちアプリケーション層）情報に従って特定された上
位層プロトコルの種類と、当該上位層プロトコルの種類
の特徴を表す情報が存在する位置を表す位置情報と、当
該上位層プロトコルの種類に対応する所定のデータ単位
についてのデータ送受に関する内容の特徴を表す情報と
に基づいて、当該リアルタイムに受信したフレーム内の
アプリケーションから当該アプリケーションの特徴情報
を抽出することができる。

【００１９】

【実施例】以下、本発明の第１の実施例乃至第７の実施
例について添付図面を参照して説明する。

【００２０】最初に第１の実施例について、図１乃至図
１２を参照して説明する。

【００２１】図１は本発明に係るトラフィック収集解析
装置の第１の実施例の構成を示す機能ブロック図であ
り、図２は本発明に係るトラフィック収集解析装置を有
するネットワークシステムの一例を示す構成図である。

【００２２】図２において、トラフィック収集解析装置
１と、ユーザＡ、Ｃ、Ｅと、ファイルサーバＢと、プリ
ントサーバＤとがネットワーク２に接続されている。こ
のように構成されたネットワークシステムにおいては、
ユーザＡとユーザＣとユーザＥと間で相互にデータ通信
したり、各ユーザとファイルサーバＢ及びプリントサー
バＤと間でデータ通信することができる。そしてトラフ
ィック収集解析装置１は、ネットワーク２に伝送される
データ（すなわちフレーム）を収集して、このフレーム
を解析する。このトラフィック収集解析装置１の構成を
図１に示している。

【００２３】図１において、信号受信手段１１はネット
ワーク２を伝送して来た信号を受信する。時刻検出手段
１２は信号を受信した時刻を検出する。信号復号化手段
１３は受信した信号を復号化する。フレーム情報抽出手
段１４は復号化されたフレームから宛先アドレス情報、
発信元アドレス情報およびフレーム長情報からなるフレ
ーム情報を抽出する。パケット解析手段１５はフレーム
中のデータ領域中のパケットを上位層プロトコルレベル
まで展開し、各層の情報を抽出する。１次トラフィック
情報蓄積手段１６はフレーム受信時刻情報、フレーム情
報及び上位層までの各層の情報からなる１次トラフィッ
ク情報を蓄積する。アプリケーション判定基準保持手段
１７はフレームの生成元アプリケーションを判定する際
のアプリケーション判定基準を保持する。アプリケーシ
ョン判定情報抽出手段１８は、アプリケーション判定基
準に基づいて、フレームの生成元アプリケーションを判
定する際に必要となるアプリケーション判定情報を１次
トラフィック情報蓄積手段１６に蓄積された情報から抽
出する。アプリケーション判定情報蓄積手段１９は上記
アプリケーション判定情報を蓄積する。アプリケーショ
ン判定手段２０は信号復号化手段１３により復号化され
たフレーム、フレーム情報、アプリケーション判定基
準、及びアプリケーション判定情報から、フレームの生
成元アプリケーションを判定する。アプリケーション情
報テンプレート保持手段２１は、フレームの生成元アプ
リケーションが判定されたフレーム中から抽出すべきア
プリケーション情報の種類、そのフレーム中での位置及
び長さの各情報を保持する。アプリケーション情報抽出
手段２２は、アプリケーション判定手段２０によって判
定されたフレームの生成元アプリケーション判定結果と
アプリケーション情報テンプレート保持手段２１から得
られるテンプレートに従ってフレーム中のアプリケーシ
ョン情報を抽出する。２次トラフィック情報蓄積手段２
３は、受信時刻、フレーム情報およびアプリケーション
情報からなる２次トラフィック情報を蓄積する。

【００２４】本発明では、トラフィックデータの収集解
析は初期段階及び後期段階の２段階に別けて行われる。
これを図２を例に取って説明する。最初に、初期段階に
おいては、ネットワーク２に接続された上記ユーザＡ、
ファイルサーバＢ等の各ネットワーク資源間でデータ送
受されるフレームにおける上位層プロトコルを予め解析
する。すなわち、各ネットワーク資源間でどの様なアプ
リケーションが使用されているかを解析する。この解析
結果のアプリケーション情報は、フレーム送受を行った
上記各ネットワーク資源間においては継続して使用され
るという前提で（この根拠については後述する）、後期
段階において使用される。一方、後期段階においては、
上記初期段階の結果に基づいて、上記各ネットワーク資
源間でリアルタイムにデータ送受されるフレームにおけ
る上位層プロトコルすなわちアプリケーションを特定し
て、必要な情報を得る。

【００２５】そこで、本発明のトラフィック収集解析装
置は、初期段階においては、信号受信手段１１、時刻検
出手段１２、信号復号化手段１３、フレーム情報抽出手
段１４、パケット解析手段１５、１次トラフィック情報
蓄積手段１６、アプリケーション判定基準保持手段１
７、アプリケーション判定情報抽出手段１８及びアプリ
ケーション判定情報蓄積手段１９から構成される。

【００２６】一方、後期段階においては、信号受信手段
１１、時刻検出手段１２、信号復号化手段１３、フレー
ム情報抽出手段１４、アプリケーション判定基準保持手
段１７、アプリケーション判定情報蓄積手段１９、アプ
リケーション判定手段２０、アプリケーション情報テン
プレート保持手段２１、アプリケーション情報抽出手段
２２及び２次トラフィック情報蓄積手段２３から構成さ
れる。

【００２７】次に、各ネットワーク資源間で送受信され
たフレームにおける上位層プロトコル（すなわちアプリ
ケーション）として、どのようなアプリケーションが使
用されているかを、予め解析することの意義について説
明する。言い換えれば、上述した初期段階において解析
されたアプリケーション情報は、フレーム送受を行った
上記各ネットワーク資源間においては継続して使用され
るという根拠について説明する。

【００２８】一般に、ネットワーク上の、どのネットワ
ーク資源（例えばワークステーション）で、どの様なア
プリケーションが利用されているかは固定的であり、フ
レームのやり取りされるワークステーションによって、
そのフレームがどのアプリケーションによって発行され
たものかを予測することが可能である。さらに、ある２
つのワークステーション間で利用されているアプリケー
ションはより限定されるため、フレームの発信元ワーク
ステーションと宛先ワークステーションが特定されれ
ば、より確度の高い予測が期待できる。

【００２９】例えば、あるサーバワークステーション上
で、ＮＦＳ（ネットワーク・ファイル・システム）によ
るファイルサービスと、ｌｐｒによるプリントサービス
とが稼働しているとすると、そのサーバワークステーシ
ョンと他のワークステーション間でやり取りされるフレ
ームは、ＮＦＳかｌｐｒによるものが多いと予想され
る。

【００３０】また、あるワークステーション上のあるア
プリケーションによって、どの様な種類のパケットフレ
ームが生成されるか、そしてどの様なプロトコルスタッ
クが利用されているかも一般に固定的であり、同一ワー
クステーション上の同一アプリケーションによって生成
される同一種類のパケットフレームに着目すれば、その
フレームを構成するプロトコル階層と、そのフレーム中
での各階層のパケット位置は変化しないことが期待され
る。このことから、あるフレームがどのワークステーシ
ョン上のどのアプリケーションによって送受信され、ど
の様な種類のものかが判別できれば、そのフレームを下
位層プロトコルから順次解析してみなくても、上位層
（すなわちアプリケーション）パケットの情報を直接得
ることが可能である。

【００３１】例えば、あるワークステーションからＮＦ
Ｓによるファイルサービスの要求が行われるものとする
と、その時のフレームの送受信は、例えば「物理層・デ
ータリンク層＝Ethernet，ネットワーク層＝ＩＰ，トン
スポート層＝ＵＤＰ，セッション・プレゼンテーション
層＝ｓｕｎＲＰＣ＋ＸＤＲ」といったプロトコル構成で
固定的に行われる。そして、各階層でのプロトコルヘッ
ダ長も変化することはなく、アプリケーション層（ＮＦ
Ｓ）パケットがフレームの先頭から何バイト目にあるの
か、また、その中の興味ある情報はフレーム中のどの位
置にあるのか、といった情報を基に、直接にその値（例
えばコマンド種類）を読み出すことが可能である。

【００３２】そして、更に一般に、あるワークステーシ
ョン上のアプリケーション間のセッションをとってみれ
ば、その間のフレームの送受信において、同一種類のパ
ケットフレームの各階層を構成するプロトコルのパラメ
ータ（各層パケット長や各ＳＡＰアドレス等）は変化し
ない場合が殆どである。このことから、あるセッション
中の１つのフレームについて、どのワークステーション
上のどのアプリケーションによって送受信されるフレー
ムであるかを判別することが可能である。

【００３３】例えば、ＮＦＳによるファイルサービスが
利用されているワークステーションへのファイル転送が
複数のフレームに分けて行われるものとする。そして、
そのフレームの送受信は「物理層・データリンク層＝Et
hernet，ネットワーク層＝ＩＰ，トンスポート層＝ＵＤ
Ｐ」といったプロトコル構成で固定的に行われるとする
と、フレーム中のＵＤＰパケットの発信ポート及び宛先
ポートに該当する位置の値、そしてフレーム長を調べる
ことによって、そのセッションを構成する一連のフレー
ムであるか否かを判別することができる。

【００３４】次に、第１の実施例のトラフィック収集解
析処理について、初期段階処理と後期段階処理とに分け
て説明する。

【００３５】最初に、初期段階処理について、図３の初
期段階処理動作を示すフローチャートを参照して説明す
る。

【００３６】信号受信手段１１は、ネットワーク２上に
伝送されている１フレームを受信し、時刻検出手段１２
及び信号復号化手段１３に渡す。信号復号化手段１３
は、渡されたフレームを復号化した後、フレーム情報抽
出手段１４に渡す（ステップ３０１）。また時刻検出手
段１２は、渡されたフレームの受信時刻を検出し、この
受信時刻情報を１次トラフィック情報蓄積手段１６に渡
す。

【００３７】フレーム情報抽出手段１４では、復号化さ
れたフレームから、宛先アドレス情報、発信元アドレス
情報及びフレーム長情報をフレーム情報として抽出し
（ステップ３０２〜３０４）、この抽出結果を１次トラ
フィック情報蓄積手段１６に渡す。また復号化されたフ
レームはパケット解析手段１５に渡される。

【００３８】パケット解析手段１５は、フレーム中のデ
ータ領域のパケットを、最下位層である物理層から、デ
ータリンク層，ネットワーク層，トンスポート層，セッ
ション層、プレゼンテーション層及び最上位層であるア
プリケーション層のプロトコルレベルまで展開し、各層
の情報を抽出し（ステップ３０５）、この抽出結果を１
次トラフィック情報蓄積手段１６に渡す。

【００３９】１次トラフィック情報蓄積手段１６は、上
記上位層レベルまでの各層の情報、既に受け取っている
受信時刻情報およびフレーム情報を１次トラフィック情
報として蓄積する（ステップ３０６）。

【００４０】そして、信号受信手段１１は、予め設定さ
れた数のフレームが収集されたか否か（すなわち初期デ
ータの収集を終了したか否か）を判断し（ステップ３０
７）、終了していない場合には上記ステップ３０１に移
行する。すなわち初期段階のデータ収集においては、フ
レーム収集、フレームからの情報抽出及び抽出された情
報の蓄積が繰り返し行われる。但し、ここでは、出来る
だけ早いレートで処理が繰り返されるが、パケットの取
りこぼしが発生しても構わない。

【００４１】一方、ステップ３０７において初期データ
の収集が終了した場合は、アプリケーション判定情報抽
出手段１８によって初期データの解析が行われる（ステ
ップ３０８）。すなわち、この初期段階のデータ解析に
おいては、ネットワーク上のパケットがどのアプリケー
ションによって発されたものかを予測するために、初期
段階のデータ収集で蓄積された情報から、さらにフレー
ムの生成元アプリケーションを判定する際に必要となる
アプリケーション判定情報が抽出される。具体的には、
アプリケーション判定情報抽出手段１８は、アプリケー
ション判定基準保持手段１７に保持されているアプリケ
ーション判定基準に基づいて、上記アプリケーション判
定情報を、１次トラフィック情報蓄積手段１６に蓄積さ
れている１次トラフィック情報から抽出する。

【００４２】上記アプリケーション判定情報として以下
の情報が抽出される。 （１）ネットワーク上の各ワークステーションのアドレ
ス（発信元アドレス、宛先アドレス）。 （２）各ワークステーション上で利用されている主なア
プリケーションの種別。 （３）フレームに関して、上記ワークステーションのア
ドレスと上記アプリケーションの種類の組み毎に特徴的
な値（フレーム長、ポート番号、ビットパターンな
ど）。

【００４３】このようなアプリケーション判定情報はア
プリケーション判定情報蓄積手段１９に蓄積される。

【００４４】次に後期段階処理について、図４及び図５
の後期処理動作を示すフローチャートを参照して説明す
る。

【００４５】図４において、信号受信手段１１は、ネッ
トワーク２上に伝送されている１フレームを受信し、時
刻検出手段１２及び信号復号化手段１３に渡す。信号復
号化手段１３は、渡されたフレームを復号化した後、フ
レーム情報抽出手段１４、アプリケーション判定手段２
０及びアプリケーション情報抽出手段２２に渡す（ステ
ップ４０１）。また時刻検出手段１２は、渡されたフレ
ームの受信時刻を検出し、この受信時刻情報を２次トラ
フィック情報蓄積手段２３に渡す。

【００４６】フレーム情報抽出手段１４は、上記ステッ
プ３０２〜３０４と同様に、復号化されたフレームか
ら、発信元アドレス情報、宛先アドレス情報及びフレー
ム長情報をフレーム情報として抽出し（ステップ４０２
〜４０４）、この抽出結果をアプリケーション判定手段
２０及び２次トラフィック情報蓄積手段２３に渡す。

【００４７】アプリケーション判定手段２０はアプリケ
ーション判定処理を実行する（ステップ４０５）。この
ステップ４０５の処理においては、フレームを生成した
アプリケーションの候補が挙げられる。そしてステップ
４０５の実行結果に基づいてアプリケーションが同定さ
れたか否かを判断する（ステップ４０６）。

【００４８】アプリケーションが同定された場合、アプ
リケーション判定手段２０は、同定されたアプリケーシ
ョンの種別をアプリケーション情報抽出手段２２に渡
す。するとアプリケーション情報抽出手段２２は、上記
渡されたアプリケーション種別と、アプリケーション情
報テンプレート保持手段２１に保持されているテンプレ
ート（すなわちアプリケーション情報の種類、位置及び
長さの情報）とに基づいて、信号復号化手段１３から既
に渡されている復号化されたフレーム中の上位層パケッ
ト中から、アプリケーションに特有な情報（これにはフ
レーム情報も含む）を抽出し（ステップ４０７）、この
抽出結果を、２次トラフィック情報蓄積手段２３に渡
す。２次トラフィック情報蓄積手段２３では、時刻検出
手段１２から既に渡されているフレーム受信時刻、上記
アプリケーション情報抽出手段２２からのアプリケムー
ションに特有な情報すなわちアプリケーション情報、及
びフレーム情報抽出手段１４から既に渡されているフレ
ーム情報を２次トラフィック情報として蓄積する（ステ
ップ４０８）。

【００４９】ステップ４０６において、アプリケーショ
ンの候補が見付からなかった場合、またはアプリケーシ
ョンの候補が見付かっても、その中で特徴が一致するも
のが見付からなかった場合は、ステップ４０８に移行す
る。すなわちアプリケーション判定手段２０は、アプリ
ケーションが不定である旨をアプリケーション情報抽出
手段２２に渡す。アプリケーション情報抽出手段２２で
は、上述した上位層パケットをそのまま、アプリケーシ
ョン情報の抽出は行わずに、２次トラフィック情報蓄積
手段２３に渡す。従って、２次トラフィック情報蓄積手
段２３には、時刻検出手段１２から既に渡されているフ
レーム収集時刻、フレーム情報抽出手段１４から既に渡
されているフレーム情報（すなわち発信元アドレス、宛
先アドレス、フレーム長の各情報）、および信号復号化
手段１３から既に渡されている復号化されたフレーム中
の上位層パケットが２次トラフィック情報として蓄積さ
れる。

【００５０】そして、ステップ４０８が終了すると、信
号受信手段１１はフレームの収集すなわち後期データの
収集が終了したか否かを判断する（ステップ４０９）。

【００５１】ここで、終了していない場合は上記ステッ
プ４０１に移行する。一方、終了した場合は後期段階処
理を終了する。

【００５２】次に、図４のステップ４０５のアプリケー
ション判定処理について図５を参照して説明する。

【００５３】アプリケーション判定手段２０は、フレー
ム情報抽出手段１４から渡された１フレーム分のフレー
ム情報（つまり宛先アドレス、発信元アドレス及びフレ
ーム長の情報）と、アプリケーション判定情報蓄積手段
１９に蓄積されているアプリケーション判定情報とに基
づいて、アプリケーション候補の選出処理を行い（ステ
ップ５０１）、アプリケーション候補が存在するか否か
を判断する（ステップ５０２）。

【００５４】ここで、候補がある場合は、そのアプリケ
ーション候補について、アプリケーション判定情報蓄積
手段１９に蓄積されているアプリケーション判定情報
と、アプリケーション判定基準保持手段１７に保持され
ているアプリケーション判定基準情報とに基づいて、フ
レームの生成元アプリケーションを同定することができ
るか審査し（ステップ５０３）、その後、アプリケーシ
ョンの同定が行われたか否かを判断する（ステップ５０
４）。ここで、同定されない場合は上記ステップ５０２
に移行する。すなわち、このアプリケーション判定処理
においては、選出されたアプリケーション候補につい
て、そのアプリケーションの特徴がフレーム中に見出だ
されるか否かが審査される。そして特徴が一致するもの
がみつかるか、或いはアプリケーションの候補が無くな
るまで、ステップ５０２〜ステップ５０４の処理が繰り
返される。

【００５５】ステップ５０４において同定された場合
は、アプリケーションは同定されたと認識し（ステップ
５０５）、またステップ５０２において次のアプリケー
ション候補が存在しない場合はアプリケーションが不定
であると認識する（ステップ５０６）。

【００５６】ステップ５０５或いはステップ５０６を終
了すると、図４のステップ４０５にリターンする。

【００５７】次に、上述したトラフィック収集解析処理
について具体例を挙げて説明する。ここでは、図２に示
したネットワークシステムにおいて、データ通信が行わ
れるものとする。

【００５８】最初に、初期段階において、上述した図３
の処理手順に従って１次トラフィック情報の収集が行わ
れ、１次トラフィック情報蓄積手段１６に蓄積される。
その結果を図６に示す。図６において、１次トラフィッ
ク情報は受信時刻６１０、フレーム情報６２０、プロト
コル情報の第３層以上の情報すなわち第３層情報６３
０、第４層情報６４０、…、第７層情報６５０の各フィ
ールドから構成され、更に１フレーム分についての前記
各フィールドに対応してデータが記録されるエントリ６
６０、６７０、６８０から構成されている。

【００５９】エントリ６６０、６７０には、ＴＣＰ／Ｉ
Ｐ（トランスミッション・コントロール・プロトコル／
インターネット・プロトコル）のプロトコルに従って通
信された１フレームについての１次トラフィック情報が
記録されている。

【００６０】ここで、エントリ６６０についての各フィ
ールドの内容について説明する。

【００６１】受信時刻６１０のフイールドには時刻検出
手段１２によって検出されたフレームの受信時刻情報が
記録されている。

【００６２】フレーム情報６２０にはフレーム情報抽出
手段１４によって抽出されたフレーム情報（これは第１
層及び第２層のプロトコル情報から抽出されたものであ
る）が記録されている。ここで、「Ethernet」はイーサ
ネット（ネットワーク）を示し、「src 8:0:6:2:a:b:c
c」はソースアドレス（発信元アドレス）を示し、「des
8:0:6:2:a:b:cc」はディスティネーションアドレス
（宛先アドレス）を示し、「len 600 」はフレーム長
（６００レングス）を示している。他のエントリについ
ても同様の内容が記録されている。

【００６３】第３層情報６３０、第４層情報６４０、第
７層情報６５０にはパケット解析手段１５によって解析
されたプロトコル情報が記録されている。ここで、第３
層情報６３０において、「ＩＰ」はインターネット・プ
ロトコルを示し、「src 123.234.7.65.11 」はソースア
ドレス（発信元アドレス）を示し、「des 123.223.765.
34」はディスティネーションアドレス（宛先アドレス）
を示している。第４層情報６４０において、「ＵＤＰ」
はユーザ・データグラム・プロトコルを示し、「src 40
00」はソースポート番号（発信元アドレス）を示し、
「des 2049」はディスティネーションポート番号（宛先
アドレス）を示している。第７層情報６５０において、
「ＮＦＳ」はネットワーク・ファイル・システムを示
し、「（Read）」はファイルの読み出しを示している。

【００６４】またエントリ６７０についても上記同様な
１次トラフィック情報が記録されている。

【００６５】図６に示されるような１次トラフィック情
報の蓄積が終了すると、アプリケーション判定情報抽出
手段１８によって初期段階のデータ解析が行われる。こ
こでは、図６に示す内容が、発信元アドレス、宛先アド
レス及び第７層情報をキーにソートされ集計される。そ
の結果の例を図７に示す。なお、これ以降は簡便のた
め、フレームの発信元アドレス及び宛先アドレスの代わ
りにワークステーション名を用いる。図７において、７
１０は発信元のワークステーション名が記録されるフィ
ールドを示し、７２０は宛先のワークステーション名が
記録されるフィールドを示し、７３０は第７層情報（ア
プリケーション）が記録されるフィールドを示し、７４
０は発信元から宛先へのフレームの中に使用されたアプ
リケーションの種類毎の使用頻度が記録されるフィール
ドを示している。７５１はワークステーションＡからワ
ークステーションＢＡの１フレームについての情報であ
る。同様に、７５２はワークステーションＡからワーク
ステーションＣへの、また７５３はワークステーション
ＡからワークステーションＤへの、また７５４はワーク
ステーションＢからワークステーションＡへの、更に７
５４はワークステーションＥからワークステーションＤ
へのフレームについての情報である。

【００６６】この第１の実施例においては、初期段階の
データ解析において、図７に示される集計結果より主要
でないトラフィックの削除が行われる。この処理はアプ
リケーション判定情報抽出手段１８によって行われる。
この例では、フレーム割合が１０％以下のトラフィック
が削除され、その他のトラフィックとして扱われるもの
とする。図７において、７６０に示されるエントリにお
けるフレーム割合は２％であり、また７７０に示される
エントリにおけるフレーム割合は９％であり、いずれも
上記１０％以下である。このため、それらのトラフィッ
ク情報については、その他のトラフィックとして扱われ
る。この結果を図８に示す。

【００６７】図７に示されるエントリ７６１のフレーム
割合３％が、図８においては、エントリ８１０のフレー
ム割合５％に変更されているが、これは上述した理由に
より、エントリ７６１のフレーム割合３％にエントリ７
６０のトラフィック情報についてのフレーム割合２％を
加えた為である。同様の理由で、エントリ７７１のフレ
ーム割合８％が、図８においてはエントリ８２０のフレ
ーム割合１７％に変更されている。

【００６８】アプリケーション判定情報抽出手段１８
は、アプリケーション判定基準保持手段１７に保持され
ている図９に示される様なアプリケーションに応じた特
徴情報（判定基準）に基づいて、図８に示されるような
各ワークステーション間の主要なトラフィックそれぞれ
について、図６に示される様な１次トラフィック情報蓄
積手段１６中に蓄積されたフレームの各層情報から抽出
する。こうして抽出された情報はアプリケーション判定
情報としてアプリケーション判定情報蓄積手段１９に蓄
積される。その結果の例を図１０に示す。

【００６９】なお、第１の実施例例においては、特徴情
報として、フレーム中において各アプケーション毎に特
有なデータ、及びそのフレーム中での位置及び長さのデ
ータ等が与えられるようになっている。なお図９におい
ては、アプリケーション９１０、Ｎ個の特徴情報９２０
-1、９２０-2、…、９２０-Nのフィールドから構成され
ている。ここで例えば、アプリケーションとしての「Ｘ
- Ｗｉｎｄｏｗ」については特徴情報９２０-1として
「UDP des.port」が、またアプリケーションとしての
「ＮＦＳ」については特徴情報９２０-1のフィールドに
「UDP des.port」及び特徴情報９２０-2のフィールドに
「RPC no」が設定されている。他のアプリケーションに
ついても、同様な判定基準が設定されている。

【００７０】また図１０においてアプリケーション判定
情報は、発信元ワークステーション名（発信元アドレ
ス）１０１０、宛先ワークステーション名（宛先アドレ
ス）１０２０、アプリケーション１０３０及びフレーム
特徴１０４０の情報から構成されている。この図１０に
示される内容が特定情報を表している。

【００７１】ここで、エントリ１０５０のアプリケーシ
ョン判定情報について説明する。図８に示されるエント
リ８３０のトラフィック情報におけるアプリケーション
「Ｘ- Ｗｉｎｄｏｗ」が、図９に示されるエントリ９３
０におけるアプリケーション「Ｘ- Ｗｉｎｄｏｗ」と一
致するので、エントリ１０５０には、図８に示される発
信元アドレス、宛先アドレス及びアプリケーションが蓄
積されるとともに、図９に示されるエントリ９３０の特
徴情報９２０-1に設定されている特徴情報「UDP des.po
rt」についての実際の値が、図６に示される１次フレー
ム情報から抽出され、フレーム特徴として蓄積される。
この例ではフレーム特徴は「UDP des.port＝3005」とな
っており、「UDP des.port」つまりフレーム中の特定位
置の特定長のデータの値が「３００５」であると言うこ
とが示されている。

【００７２】また図１０のエントリ１０６０のアプリケ
ーション判定情報についても、上記同様に、図８のエン
トリ８４０についての判定結果の情報が抽出されてい
る。更に図８の他のエントリについても上記同様に、ア
プリケーション判定情報が抽出される。

【００７３】以上までの説明で初期段階の処理が終了し
たことになるので、次に後期段階の処理ついて説明す
る。後期段階においては、ネットワークに到着するフレ
ームが順次収集され処理される。収集されたフレームか
らは、発信元アドレス、宛先アドレス及びフレーム長の
情報が抽出される。

【００７４】アプリケーション判定手段２０では、アプ
リケーション判定情報蓄積手段１９に蓄積されたアプリ
ケーション判定情報中に、発信元アドレス、宛先アドレ
ス及びフレーム長の各情報の条件に一致するアプリケー
ション候補が存在するか否かをチェックし、アプリケー
ション候補が見付かった場合は、その特徴情報とフレー
ム中の値とを比較することによってアプリケーションの
同定を行う。一方、該当するものが見付からない場合
は、アプリケーション不定のフレームとして取り扱う。
また同定されたか否かに関わらず、アプリケーションの
フレーム情報（つまり発信元アドレス、宛先アドレス及
びフレーム長の情報）が、アプリケーション判定手段２
０からアプリケーション情報抽出手段２２に渡される。

【００７５】そしてアプリケーション情報抽出手段２２
は、アプリケーション情報テンプレート保持手段２１に
保持されている図１１に示される様なテンプレートに従
って、信号復号化手段１３から渡されたフレームのう
ち、同定されたアプリケーションを含んでいるフレーム
中から必要な情報を抽出し、この抽出結果及び上記フレ
ーム情報を、２次トラフィック情報蓄積手段２３に蓄積
する。また２次トラフィック情報蓄積手段２３には上述
した抽出結果及びフレーム情報と共に、時刻検出手段１
２により検出されたフレームの受信時刻情報も同時に蓄
積される。この最終的に抽出された情報は２次トラフィ
ック情報として蓄積される。この２次トラフィック情報
の一例を図１２に示す。

【００７６】図１１に示されるテンプレートは、アプリ
ケーション１１１０のフィールドに設定された「Ｘ- Ｗ
ｉｎｄｏｗ」、「ＮＦＳ」、「ｆｔｐ」、「ｌｐｒ」に
それぞれ対応して、上位層パケットより抽出する情報１
１２０-1、１１２０-2、…、１１２０-Nの各フィールド
に抽出すべき情報が設定される。ここでは、「Ｘ- Ｗｉ
ｎｄｏｗ」については抽出すべき情報は無いことが示さ
れており、仮に「Ｘ-Ｗｉｎｄｏｗ」のアプリケーショ
ンの同定が行われたとしても、そのアプリケーションか
らは何も抽出されない。これに対し、「ＮＦＳ」のアプ
リケーションについては「procedure 番号（プロシジャ
番号）」と「データサイズ」が抽出される様に、また
「ｆｔｐ」及び「ｌｐｒ」のアプリケーションについて
は「データサイズ」が抽出される様に、設定されてい
る。

【００７７】図１２において、フィールド１２１０の受
信時刻のデータは時刻検出手段１２により書き込まれた
のもであり、フィールド１２２０、１２３０、１２４０
-1、１２４０-N1 のデータはアプリケーション情報抽出
手段２２により書き込まれたものである。ここには、図
６の１次トラフィック情報に示されるものと同様の、発
信元のワークステーションと宛先のワークステーション
間で、同一のアプリケーションが使用されてデータ通信
された場合についての、２次トラフィック情報が蓄積さ
れている。

【００７８】以上説明したように第１の実施例によれ
ば、収集されたフレームがどのアプリケーションによる
ものかを推定するための情報を予め構築しておき、それ
に基づいてフレームを生成したアプリケーションを同定
し、必要な情報だけを得ることができる。

【００７９】またトラフィック収集と必要最小限の情報
抽出をリアルタイムで行うので、不必要なデータまでを
蓄積する必要がなく、長時間、大量のトラフィック収集
が可能となる。

【００８０】また上位層パケット中の情報を、そこまで
の各層のプロトコルフォーマットのデコード処理を行わ
ないので、１フレーム当たりの情報抽出時間が短く、高
価なハードウェアを私用しなくても、フレームの取りこ
ぼし率を低減することができる。

【００８１】さらに、実際の運用状態においては特定の
ステーション間で交換されるトラフィックの生成元のア
プリケーションはある程度限定され、且つ同一アプリケ
ーションによって生成されるパケットフレームには、使
用されるトランスポートプロトコル、その他のパラメー
タ等の特徴があり、それが一連のセッションにおいて変
化しないという点に着目し、各層プロトコルの処理を省
略することによってアプリケーションの同定に係る時間
を短縮することができる。

【００８２】次に第２の実施例について図１３乃至図２
９に基づいて説明する。

【００８３】第２の実施例においても、第１の実施例と
同様に、初期段階処理に相当する前処理と、後期段階処
理に相当する通常処理とに分かれており、前記前処理の
為の構成によってある一定時間のフレーム収集（予備フ
レーム収集）を行い、そのトラフィック情報に基づい
て、トラフッイクを構成するフレームの種別を判定する
ための情報を作成する。そして上記通常処理の為の構成
によって、この判定の為の情報に基づいて、収集された
フレームの種別を判定し、その種別のフレームに特有な
興味ある情報を抽出し、蓄積するものである。

【００８４】図１３は本発明に係るトラフィック収集解
析装置の第２の実施例の構成を示す機能ブロック図であ
る。同図において、トラフィック収集解析装置は、フレ
ーム収集部１３１０、フレーム解釈部１３２０、１次ト
ラフィック情報蓄積部１３３０、トラフィック構成情報
抽出部１３４０、フレーム判定部１３５０、着目情報抽
出部１３６０、２次トラフィック情報蓄積部１３７０を
備えている。

【００８５】ここで、前処理の為の構成は、１３１０〜
１３４０の各機能部によって実現され、通常処理のため
の構成は、１３１０及び１３５０〜１３７０の各機能部
によって実現される。

【００８６】次に上記各機能部の詳細について添付図面
を参照して説明する。

【００８７】図１４はフレーム収集部１３１０の詳細な
機能ブロック図を示している。

【００８８】フレーム収集部１３１０において、信号受
信手段１３１１はネットワーク物理層の信号を受信し、
時刻検出手段１３１２及び信号復号化手段１３１３に渡
す。時刻検出手段１３１２は受信したフレームの受信時
刻を検出し、一方、信号復号化手段１３１３は受信した
信号を復号化する。この復号化されたフレームはフレー
ム情報抽出手段１３１４に渡されるので、フレーム情報
抽出手段１３１４は、復号化されたフレームからデータ
リンク層の情報を取得する。上記受信時刻情報及びデー
タリンク層の情報はデータリンク層情報として、前処理
時にはフレーム判定部１３２０に渡され、通常処理時に
はフレーム判定部１３５０及び着目情報抽出部１３６０
に渡される。なおデータリンク層情報には、図１５に示
されるような、受信時刻１５１０、データリンク層宛先
アドレス１５２０、発信元アドレス１５３０、フレーム
タイプ１５４０、フレーム長１５５０、データ長１５６
０、及びフレーム中でのデータフィールドの位置すなわ
ちオフセット１５７０からなるデータリンク層ヘッダ情
報とデータフィールドの中身から構成される。なおフレ
ームタイプ１５４０は上位層パケットのタイプを示すも
のである。

【００８９】図１６はフレーム解釈部１３２０の詳細な
機能ブロック図を示している。

【００９０】フレーム解釈部１３２０において、プロト
コル解釈手段呼出手段１３２１は、フレーム収集部１３
１０からのデータリンク層情報に基づいて、フレームを
構成する各層プロトコルを認識し、下位層から上位層の
プロトコルへと順次、プロトコルを解釈させるように、
プロトコル解釈手段１３２２-1、１３２２-2、…、１３
２２-Nを順次呼び出す。呼び出されたプロトコル解釈手
段は、対応するプロトコルを解釈して、解釈結果をプロ
トコル解釈手段呼出手段１３２１に返す。ここでは、プ
ロトコル解釈手段１３２２-1はネットワーク層のプトコ
ルを、またプロトコル解釈手段１３２２-2はトランスポ
ート層のプトコルを、更にプロトコル解釈手段１３２２
-Nはアプリケーション層のプロトコルをそれぞれ解釈す
る。

【００９１】そしてプロトコル解釈手段呼出手段１３２
１に各層のプロトコルの解釈結果が返されると、プロト
コル解釈手段呼出手段１３２１は、その解釈結果を１次
フレーム情報として、１次トラフィック情報蓄積部１３
３０に渡す。なお１次フレーム情報には、フレームの受
信時刻情報、フレームのプロトコル構成情報及び各層プ
ロトコルの情報が含まれている。

【００９２】１次トラフィック情報蓄積部１３３０は図
１７に示すように１次トラフィック情報蓄積手段１３３
１を備えており、ここに上記１次フレーム情報を逐次記
録すると共に、必要に応じて記録した１次フレーム情報
を読み出して、トラフィック構成情報抽出部１３４０へ
引き渡す。ここで、１次トラフィック情報蓄積手段１３
３１に蓄積された１次フレーム情報の一例を図１８に示
す。

【００９３】図１８において、１次フレーム情報は、予
め設定される期間中（例えば１日、１２時間などの一定
期間）においてデータ送受されたＮ個のフレームについ
ての１次フレーム情報が蓄積されている。すなわち１次
フレーム情報１８００-1、１８００-2、１８００-3、
…、１８００-Nだけ蓄積されている。

【００９４】ここで、１次フレーム情報１８００-1の構
成について説明する。この１次フレーム情報は、フレー
ムの受信時刻１８１０、フレームのプロトコル構成１８
２０、各層プロトコルの情報１８３０、１８４０、１８
５０から構成されている。またプロトコル情報１８３０
はデータリンク層ヘッダ情報を示しており、プロトコル
情報１８４０はネットワーク層ヘッダ情報を示してお
り、プロトコル情報１８５０はアプリケーション層情報
を示している。

【００９５】また他の１次フレーム情報についても、図
１８には図示されていないが、上記同様にフレームの受
信時刻情報、フレームのプロトコル構成情報及び各層プ
ロトコルの情報内容についての情報が蓄積されている。

【００９６】なおここでは、１次トラフィック情報蓄積
部１３３０に蓄積された全ての１次フレーム情報及びそ
の一部を１次トラフィック情報と呼ぶ。図１８において
は、１次トラフィック情報として、受信時刻１８１０及
びフレームのプロトコル構成１８２０を指し示している
が、これに限定されることなく、例えば各層プロトコル
の情報あるいは１フレームについての全ての１次フレー
ム情報も１次トラフィック情報となり得る。

【００９７】図１９はトラフィック構成情報抽出部１３
４０の詳細な機能ブロック図を示している。トラフィッ
ク構成情報抽出部１３４０において、トラフィック構成
解析手段１３４１は、１次トラフィック情報蓄積部１３
３０からの１次トラフィック情報に基づき、各ワークス
テーション間のトラフィックがどのようなフレームによ
って（フレーム特徴情報）構成され、また各フレームが
どれ位の割合で構成されているか（トラフィック構成情
報）を求め、この結果をトラフィック構成情報及びフレ
ーム特徴情報蓄積手段１３４２に格納する。

【００９８】このトラフィック構成情報抽出部１３４０
によるフレーム特徴情報及びトラフィック構成情報の抽
出処理について、図２０を参照して説明する。図２０は
その抽出処理を説明するための説明図である。

【００９９】トラフィック構成情報抽出部１３４０は、
１次トラフィック情報蓄積部１３３０から渡された例え
ば図１８に示されるような１次トラフィック情報を（２
０００）、データリンク層情報の宛先アドレス毎に分類
すると共に（２０１０）、発信元アドレス毎に分類する
（２０２０）。この分類結果を「アドレスによる分類」
と呼ぶ。上記２０１０の処理により宛先アドレス別のフ
レーム情報がリストされ（２０１１）、また上記２０２
０の処理により発信元アドレス別のフレーム情報がリス
トされる（２０２１）。この発信元アドレス別のフレー
ム情報のリストは、さらに、宛先アドレス毎に分類され
る（２０３０）。この２０３０の処理により発信元アド
レス及び宛先アドレス別のフレーム情報がリストされる
（２０３１）。

【０１００】次に上記２０００における１次トラフィッ
ク情報のフレーム、上記２０２２、２０２１及び２０３
１の各処理におけるアドレス毎に分類されたフレーム
を、生成元のアプリケーション別にグループ分けする
（２０４０）。ここでは、この分類結果を「アプリケー
ションによる分類」と呼ぶ。

【０１０１】続いて、各グループ毎に、フレームの特徴
が一致するもの毎にサブグループ分けを行う（２０５
０）。ここではこの分類結果を「フレーム特徴による分
類」と呼ぶ。なお上記フレームの特徴としては、例えば
コマンドすなわちコマンドパケットフレーム、ファイル
転送すなわちデータパケットフレームなどがある。勿
論、コマンドについてはリードパケットフレーム、ライ
トパケットフレームという具合に分類しても良い。

【０１０２】すなわちここでは、アプリケーション（例
えばＮＦＳ、ｌｐｓ及びｆｔｐ）とフレームの特徴（例
えばファイル転送及びコマンド）とにより、以下のよう
な組合わせのフレーム種別が得られるものとする。 ここで、＃１〜＃６はフレーム種別を示している。

【０１０３】従ってフレーム種別が「＃２」ということ
は、「ｌｐｓ」のアプリケーションによる「ファイル転
送」であるフレームを意味している。

【０１０４】上記２０５０の処理が終了したら、各サブ
グループ毎に、そこに含まれるフレーム間で共通する特
徴情報を抽出する（２０６０）。ここで、この各サブグ
ループ毎のフレーム共通な特徴情報を「フレーム特徴情
報」と呼ぶ。２０６０により、全体的なフレーム特徴情
報２０６１、宛先アドレス別のフレーム特徴情報２０６
２、発信元アドレス別のフレーム特徴情報２０６３、発
信元及び宛先アドレス別のフレーム特徴情報２０６４が
得られる。

【０１０５】上記２０６０の処理が終了すると、各サブ
グループ毎に、サブグループに含まれるフレームの全体
のフレーム数に対する占有率を求める（２０７０）。こ
の占有率は、「上記一定期間中におけるサブグループに
含まれるフレーム（すなわち特定のアプリケーションが
含まれているフレーム）の数／上記一定期間中に収集さ
れた全体のフレームの数」を演算することにより求める
ことができる。換言すれば、特定のアプリケーションの
使用頻度を求めていることになる。

【０１０６】上記２０６０の処理が終了すると、各アド
レスによる分類毎に、そこに含まれるサブグループに対
して、それらの占有率に従った順序付けを行う（２０８
０）。ここで、各アドレスによる分類毎のサブグループ
に対する順序付け及びそれらの占有率を「トラフィック
構成情報」と呼ぶ。２０８０により、全体的トラフィッ
ク構成情報２０８１、宛先アドレス別トラフィック構成
情報２０８２、発信元アドレス別トラフィック構成情報
２０８３、発信元及び宛先アドレス別トラフィック構成
情報２０８４が得られる。

【０１０７】図２１は、発信元及び宛先アドレス別のト
ラフィック構成情報及びフレーム特徴情報の一例を示し
ている。図２１においては、５種類の発信元及び宛先ア
ドレス別についてのトラフィック構成情報及びフレーム
特徴情報２１１０〜２１５０が示されている。例えば、
情報２１１０は、発信元アドレス「0f.33.0a.0f.ee.64
」から宛先アドレス「0f.33.0a.0e.34.56 」へのフレ
ームについてのトラフィック構成情報及びフレーム特徴
情報を示している。このようなトラフィック構成情報及
びフレーム情報はフレーム判定部１３５０に渡される。
また他の情報２１２０〜２１５０についても、上記同様
に、特定の発信元アドレスから特定の宛先アドレスへの
フレームについてのトラフィック構成情報及びフレーム
特徴情報が示されている。

【０１０８】また情報２１１０において、２１６０Ａ、
２１７０Ａ及び２１８０Ａで示される部分がトラフィッ
ク構成情報を示しており、２１６０Ｂ、２１７０Ｂ及び
２１８０Ｂで示される部分がフレーム特徴情報を示して
いる。なお、ここでは、簡便の為にフレーム特徴情報と
して参照される値の意味（例えばＵＤＰ宛先ポート）と
その値（例えば２０４９）を示しているが、実際のフレ
ーム情報としては、フレーム中で参照すべき値がある位
置（フレーム頭からのオフセット）、その値の長さ及び
検査すべき値等が与えられている。

【０１０９】図２２はフレーム判定部１３５０の詳細な
機能ブロック図を示している。

【０１１０】フレーム判定部１３５０はフレーム判定手
段１３５１を備えており、通常処理時にフレーム収集部
１３１０から渡されたデータリンク層情報について、ト
ラフィック構成情報抽出部１３４０から予め渡されたト
ラフィック構成情報及びフレーム特徴情報に基づいて、
そのリアルタイムに収集されたフレーム（データリンク
層情報）の種類（どのアプリケーション分類中のどのサ
ブグループに属するフレームであるか）を判定する。

【０１１１】次に、フレーム判定部１３５０によるフレ
ームの判定処理について、図２３を参照して説明する。
なお図２３はそのフレーム判定処理を説明するための説
明図である。

【０１１２】フレーム判定部１３５０は、トラフィック
構成情報及びフレーム特徴情報中に（２３０１）、収集
されたフレームのデータリンク層宛先アドレスに対応す
るものが存在しているか否かを判断し（２３０２）、存
在する場合は、更に発信元アドレス対応するものが存在
しているか否かを判断し（２３０３）、存在する場合
は、発信元及び宛先アドレス別のトラフィック構成情報
（２３０４）及びフレーム特徴情報（２３０５）が使用
される。

【０１１３】上記２３０３の処理で収集されたフレーム
のデータリンク層における発信元アドレスが存在してい
ない場合は、宛先アドレス別のトラフィック構成情報
（２３０６）及び宛先アドレス別のフレーム特徴情報
（２３０７）が使用される。

【０１１４】上記２３０２の処理で収集されたフレーム
のデータリンク層における宛先アドレスが存在していな
い場合は、トラフィック構成情報及びフレーム特徴情報
中に、収集されたフレームのデータリンク層における発
信元アドレスに対応するものが存在しているか否かを判
断し（２３０８）、存在する場合は、発信元アドレス別
トラフィック構成情報（２３０９）、発信元アドレス別
フレーム特徴情報（２３１０）を使用し、一方、上記２
３０８の処理で「ＮＯ」の場合すなわち宛先アドレス及
び発信元アドレスのいずれにも対応するものが無かった
場合は、全体的トラフィック構成情報（２３１１）及び
全体的フレーム特徴情報（２３１２）が使用される。

【０１１５】このようにして使用すべきトラフィック構
成情報及びフレーム特徴情報が決定されると、フレーム
判定部１３５０は、上記決定されたトラフィック構成情
報中のフレーム占有率の高いものから順に、フレーム種
別の特徴が、新たに（リアルタイムに）収集されたフレ
ームのデータリンク層情報中の値と一致するか否かを検
査する（２３１３）。ここで、一致しているものがあれ
ば、フレームの種別が同定されたことになり、一方、一
致しているものがなければ、フレーム不定ということに
なる。

【０１１６】上記２３１３の処理での検査に基づきフレ
ーム種別が同定されたか否かを判断し（２３１４）、同
定できる場合は、それを確定したフレーム種別とする
（２３１５）。一方、同定できない場合はフレーム判定
を継続可能か否かを判断し（２３１６）、継続可能であ
れば、上記２３１３の処理に移行し、一方、継続不可能
であれば、フレーム不定とする（２３１７）。

【０１１７】図２４は着目情報抽出部１３６０の詳細な
機能ブロック図を示している。

【０１１８】着目情報抽出部１３６０においては、着目
情報抽出手段１３６１が、フレーム種別が同定された
（若しくは同定されていない）フレームから、着目情報
テンプレート保持手段１３６２に保持されている着目情
報テンプレートの中から該当するフレーム種別のテンプ
レートに従って、興味ある情報を抽出する。こうして抽
出された情報及びフレーム収集部１３１０から渡された
データリンク層情報中の受信時刻が２次フレーム情報と
して２次トラフィック情報蓄積部１３７０に渡される。

【０１１９】ここで、着目情報テンプレート保持手段１
３６２に保持されている着目情報テンプレートの一例を
図２５に示す。図２５に示すように、着目情報テンプレ
ートは、フレームの種別毎に保持され、フレーム中のど
こに興味のある情報が存在するのか、それら情報のサイ
ズはどれ位であるのかといった情報を与えるものであ
る。なお着目情報テンプレートはフレーム種別不定のも
のについても保持されている。なお図２５において＃１
〜＃４は上述したフレーム種別＃１〜＃４に対応してい
る。

【０１２０】例えば、フレーム種別＃２については「pr
ocedure 番号」と「データサイズ」が、またフレーム種
別＃３、＃４については共に「データサイズ」がテンプ
レートとして設定されている。なおフレーム種別＃１に
ついては、図２５には図示されていないが、抽出情報と
して「データリンク層ヘッダ情報」、「procedure 番
号」及び「データサイズ」が設定されている。また「不
定フレーム」というフレーム種別については、アプリケ
ーションが特定されていないので何を抽出すれば良いか
が分らないため、例えば「不定のフレーム全体を抽出す
る」という旨の情報が設定されている。従って、この情
報が参照された場合は、不定のフレームのデータフィー
ルドの中身を含めたデータリンク層情報全体がそのまま
２次フレーム情報として取り扱われる。

【０１２１】なお図２５の例では、簡便の為に抽出すべ
き情報として興味ある値の意味（例えばprocedure 番
号、データサイズ）を示したが、実際の情報としては、
フレーム中で参照すべき値がある位置（フレーム先頭か
らのオフセット）、及びその値の長さなどが与えられ
る。

【０１２２】２次トラフィック情報蓄積部１３７０は図
２６に示すように２次トラフィック情報保持手段１３７
１を備えており、着目情報抽出部１３６０からの２次フ
レーム情報を蓄積する。この蓄積された状態の２次フレ
ーム情報の一例を図２７に示す。図２７において、２７
１０で示される部分がフレームの受信時刻情報を示し、
２７２０で示される部分が興味ある情報すなわち着目情
報テンプレートに従って抽出された情報を示している。

【０１２３】次に、第２の実施例の全体の処理につい
て、前処理と通常処理とに分けて説明する。

【０１２４】最初に、前処理について図２８の前処理動
作を示すフローチャートを参照して説明する。フレーム
収集部１３１０によってフレーム収集（つまり予備フレ
ームの収集）が行われると（ステップ２８１０）、フレ
ーム解釈部１３２０は、この収集されたフレームについ
て、このフレームのデータリンク層情報に従ってフレー
ム解釈を行う（ステップ２８２０）。この解釈結果はデ
ータリンク層情報に含まれているフレームの受信時刻情
報とともに、１次トラフィック情報として１次トラフィ
ック情報蓄積部１３３０に蓄積される（ステップ２８３
０）。次にフレーム収集部１３１０は予備フレームの収
集が終了したか否かを判断する（ステップ２８４０）。
ここで、終了していない場合は、上記ステップ２８１０
に移行する。一方、終了した場合はトラフィック構成情
報抽出部１３４０によってトラフィック構成情報及びフ
レーム特徴情報の抽出が行われる（ステップ２８５
０）。これで、前処理が終了したことになる。

【０１２５】次に、この前処理結果に基づいて実施され
る通常処理について、図２９の通常処理動作を示すフロ
ーチャートを参照して説明する。フレーム収集部１３１
０によってリアルタイムにフレームの収集が行われると
（ステップ２９１０）、フレーム判定部１３５０は、収
集されたフレームについて、このフレームのデータリン
ク層情報と、上記前処理結果（詳しくは、上記ステップ
２８０５におけるトラフィック構成情報及びフレーム特
徴情報）とに基づいて、フレームの判定（フレームの同
定）を行う（ステップ２９２０）。次に、フレーム判定
されると、着目情報抽出部１３６０は、その判定された
フレームから、着目情報テンプレートに基づいた情報の
抽出を行う（ステップ２９３０）。この抽出結果はフレ
ームの上記データリンク層情報に含まれる受信時刻情報
と共に２次トラフィック情報として２次トラフィック情
報蓄積部１３７０に蓄積される（ステップ２９４０）。
続いてリアルタイムによるフレームの収集が終了したか
否かが判断され（ステップ２９５０）、終了していない
場合には上記ステップ２９１０に移行し、一方、終了し
た場合は通常処理を終了する。

【０１２６】なおここで、請求項１の発明の構成要件と
第２の実施例の図１３に示した構成要素との対応関係に
ついて説明する。受信手段はフレーム収集部１３１０に
対応し、演算手段はトラフィック構成情報抽出部１３４
０のトラフィック構成解析手段１３４１に対応し、記憶
手段はトラフィック構成情報及びフレーム特徴情報蓄積
手段１３４２に対応し、解析手段は着目情報抽出部１３
６０に対応している。次に請求項２の発明の構成要件
と、第２の実施例の図１３に示した構成要素との対応関
係について説明する。受信手段はフレーム収集部１３１
０に対応し、演算手段及び作成手段はトラフィック構成
解析手段１３４１に対応し、記憶手段はトラフィック構
成情報及びフレーム特徴情報蓄積手段１３４２に対応
し、特定手段はフレーム判定部１３５０に対応し、抽出
手段は着目情報抽出部１３６０に対応している。

【０１２７】以上説明したように、第２の実施例によれ
ば、上述した第１の実施例の作用効果に加えて、前処理
の段階におけるフレーム収集時に、受信したフレームを
逐次解析し、この解析結果を蓄積するようにしているの
で、長時間に渡る予備フレームの収集が可能となる。こ
のことは、前処理によって得られる情報の精度が向上す
るので、アプリケーションの特定する精度も向上する。

【０１２８】またリアルタイムに受信したフレーム内の
全てのプロトコル情報を展開することなく、前処理とし
て得られた上位層プロトコルすなわちアプリケーション
の特徴情報を参照することにより、当該フレームに使用
されているアプリケーションの種類を特定することがで
きる。さらにリアルタイムに受信したフレーム内の全て
のプロトコル情報を展開することなく、予め設定された
アプリケーション毎の抽出すべき情報のフレームデータ
上の位置を示す位置情報に基づいて、当該リアルタイム
に受信されたフレーム内の上位層パケットから、必要十
分な着目する情報を抽出することができる。

【０１２９】次に、第３の実施例について図３０乃至図
３２を参照して説明する。

【０１３０】図３０は本発明に係るトラフィック収集解
析装置の第３の実施例の構成を示す機能ブロック図であ
る。この機能ブロック図は、図１３に示した第２の実施
例の機能ブロック図の構成において、０次トラフィック
情報蓄積部３０００を追加した構成になっている。なお
図３０において、図１３に示した構成要素と同様の機能
を果たす部分には同一の符号を付している。

【０１３１】０次トラフィック情報蓄積部３０００は、
図３１に示すように、０次トラフィック情報蓄積手段３
０１０を備えており、ここに、フレーム収集部１３１０
から渡されたデータリンク層情報（フレーム受信時刻情
報を含む）を蓄積する。この蓄積されたデータリンク層
情報はフレーム解釈部１３２０によって読み出され第２
の実施例と同様の処理が行われる。

【０１３２】次に、第３の実施例の全体の処理における
前処理について、図３２の前処理動作を示すフローチャ
ートを参照して説明する。

【０１３３】フレーム収集部１３１０によってフレーム
収集（つまり予備フレームの収集）が行われると（ステ
ップ３２１０）、０次トラフィック情報蓄積部３０００
は、そのフレームのデータリンク層情報を蓄積する（ス
テップ３２２０）。その後、フレーム収集部１３１０は
予備フレームの収集が終了したか否かを判断する（ステ
ップ３２３０）。ここで、終了していない場合は上記ス
テップ３２１０に移行する。一方、終了した場合は、フ
レーム解釈部１３２０は０次トラフィック情報蓄積部３
０００に蓄積されているデータリンク層情報を１フレー
ム毎に順次読み出して、フレーム解釈を行う（ステップ
３２４０）。この解釈された１フレーム分の１次フレー
ム情報は１次トラフィック情報蓄積部１３３０に蓄積さ
れる（ステップ３２５０）。次に、フレーム解釈部１３
２０は、０次トラフィック情報蓄積部３０００に蓄積さ
れている全てのフレームについてのフレーム解釈及び蓄
積処理が終了したか否かを判断する（ステップ３２６
０）。ここで、終了していない場合は上記ステップ３２
４０に移行する。一方、終了した場合は第２の実施例と
同様にトラフィック構成情報抽出手段１３４０によって
トラフィック構成情報及びフレーム特徴情報の抽出が行
われる（ステップ３２７０）。

【０１３４】このようにして前処理が終了すると、第２
の実施例の図２９に示される処理手順と同様の通常処理
が行われる。これで、トラフィックの収集解析処理が終
了する。

【０１３５】なお請求項１及び２の発明の構成要件と、
図３０に示した第３の実施例の機能ブロック図の構成要
件との対応関係も、上述した第２の実施例における対応
関係と同様である。

【０１３６】以上説明したように、第３の実施例によれ
ば、前処理の段階におけるフレーム収集時に、上記第２
の実施例の如く受信したフレームを逐次解析するのでは
なく、一旦、受信したフレームについての全ての情報を
蓄積した後、一括して解析を行うようにしているので、
フレームの受信漏れが発生することが無く、第２の実施
例に比較して短時間にわたる詳細なトラフィック構成情
報を形成することができる。

【０１３７】次に第４の実施例について図３３乃至図４
１を参照して説明する。

【０１３８】図３３は本発明に係るトラフィック収集解
析装置の第４の実施例の構成を示す機能ブロック図であ
る。この機能ブロック図は、図３０に示した第３の実施
例の機能ブロック図の構成において、負荷トレンド情報
更新部３３１０、低負荷時処理スケジューリング部３３
２０、２次トラフィック情報再処理部３３３０、トラフ
ィック構成情報更新部３３４０を追加した構成になって
いる。なお図３３において、図３０に示した構成要素と
同様の機能を果たす部分には同一の符号を付している。

【０１３９】負荷トレンド情報更新部３３１０は、図３
４に示すように、負荷トレンド情報更新手段３３１１、
負荷トレンド情報保持手段３３１２を備えている。負荷
トレンド情報更新手段３３１１は、フレーム収集部１３
１０から逐次与えられるデータリンク層情報を基に、負
荷トレンド情報保持手段３１１２中の負荷トレンド情報
を逐次更新する。これは、ネットワーク上を送受信され
るフレーム数の１日の変動（負荷トレンド）情報が更新
されることを意味している。また低負荷時処理時スケジ
ューリング部３３２０からの問合わせに対して、現在の
負荷トレンド情報を返す。

【０１４０】低負荷時処理スケジューリング部３３２０
は、図３５に示すように、再処理時間スケジューリング
手段３３２１を備えており、この再処理時間スケジュー
リング手段３３２１は、トラフィックの収集処理以外の
処理を、負荷トレンド情報に基づき、送受信フレーム数
が比較的少ない時間帯にスケジューリングし、そのスケ
ジュールに従って２次トラフィック情報再処理部３３３
０を起動し、次にトラフィック構成情報更新部３３４０
を起動する。また負荷トレンド情報更新部３３１０に現
在の負荷トレンドを問合わせ、その結果に従った処理ス
ケジュールの更新を行う。

【０１４１】２次トラフィック情報再処理部３３３０
は、図３６に示すように、２次フレーム情報読み出し手
段３３３１、フレーム解釈部呼び出し手段３３３２、１
次トラフィック情報蓄積手段３３３３、フレーム特徴情
報追加手段３３３４、着目情報抽出部呼び出し手段３３
３５、２次フレーム情報書換え手段３３３６を備えてい
る。

【０１４２】係る構成において２次トラフィック情報再
処理部３３３０は、送受信フレーム数が比較的少ない時
間帯に、低負荷時処理スケジューリング部３３２０によ
り起動されると、２次トラフィック情報の再処理と、フ
レーム特徴情報の追加・更新を行う。ここで、再処理さ
れる２次トラフィック情報は、２次トラフィック情報蓄
積部１３７０にて蓄積されている２次フレーム情報の中
で、フレーム判別時にその種別が同定できなかったもの
で、２次フレーム情報としてデータリンク層情報の全て
を記録されていたものである。

【０１４３】２次トラフィック情報再処理部３３３０で
は、２次フレーム情報読み出し手段３３３１によって、
２次トラフィック情報蓄積部１３７０から、再処理され
る２次トラフィック情報（つまりフレーム種別が同定さ
れていなかったフレーム（不定フレーム）の２次トラフ
ィック情報）を読み出して、その不定のフレームについ
てのデータリンク層情報を、フレーム解釈部呼び出し手
段３３３２に渡す。

【０１４４】フレーム解釈部呼び出し手段３３３２で
は、フレーム解釈部１３２０を呼び出して、不定のデー
タリンク層情報を渡して処理を依頼する共に、この依頼
に応答したフレーム解釈部１３２０からの１次フレーム
情報を得る。この１次フレーム情報は１次トラフィック
情報蓄積手段３３３３に蓄積される。ここには、全ての
不定フレームに対しての１次フレーム情報が蓄積される
ことになる。

【０１４５】この様にして全ての不定フレームに対して
の１次フレーム情報が得られると、フレーム特徴情報追
加更新手段３３３４は以下の処理を行う。、 （１）まず、データリンク層情報の宛先アドレス及び発
信元アドレス毎に１次フレーム情報が分類される。

【０１４６】（２）上記（１）により分類された各フレ
ームがどのアプリケーションによって生成されたもので
あるかによって、更にグループ分けする。

【０１４７】（３）上記（２）により求められた各グル
ープ毎に、更にフレームの特徴が一致するもの毎に（例
えばコマンドパケットフレームとデータパケットフレー
ムといった具合）サブグループ分けを行う。このとき、
各フレームには、そのフレームがどのサブグループに属
すかの情報（フレーム種別）が与えられる。

【０１４８】（４）各サブグループ毎に、そこに含まれ
るフレーム間で共通する特徴情報を抽出する。

【０１４９】（５）上記（４）の処理が終了したら、抽
出した特徴情報をトラフィック構成情報抽出部１３４０
に渡して処理を依頼する。

【０１５０】この依頼を受けたトラフィック構成情報抽
出部１３４０では、トラフィック構成解析手段１３４１
が、受け取った特徴情報に基づいて、蓄積手段１３４２
に蓄積されているトラフィック構成情報及びフレーム特
徴情報に対する追加及び更新の処理を実施する。

【０１５１】上述したように全ての不定フレームに対し
ての１次フレーム情報が蓄積されると、着目情報抽出部
呼び出し手段３３３５には、１次トラフィック情報蓄積
手段３３３３からフレーム種別及びデータリンク層情報
が渡されるので、着目情報抽出部３３３５は、着目情報
抽出部１３６０を呼び出して上記受け取った各情報を渡
して処理を依頼すると共に、この依頼に応答した着目情
報抽出部１３６０からの２次フレーム情報を得る。この
２次フレーム情報は、２次フレーム情報書換え手段３３
３６に渡される。２次フレーム情報書換え手段３３３６
では、その２次フレーム情報を、２次トラフィック情報
蓄積部１３７０中の元々の２次フレーム情報と置き換え
る。この場合、古い（サイズの大きい）２次フレーム情
報は破棄される。

【０１５２】トラフィック構成情報更新部３３４０は、
図３７に示すように、２次トラフィック情報読み出し手
段３３４１、トラフィック情報更新手段３３４２を備え
ており、送受信フレーム数が比較的少ない時間帯に、低
負荷時処理スケジューリング部３３２０により起動さ
れ、トラフィック構成情報の更新を行う。すなわち低負
荷時処理スケジューリング部３３２０により起動される
と、２次トラフィック情報読み出し手段３３４１は、２
次トラフィック情報蓄積部１３７０から２次トラフィッ
ク情報を読み出して、トラフィック情報更新部３３４２
に渡す。そしてトラフィック情報更新部３３４２では、
トラフィック構成情報の更新を行う。

【０１５３】次に、トラフィック情報更新部３３４２に
よるトラフィック構成情報の更新処理について、図３８
を参照して説明する。なお図３８はその更新処理を説明
するための説明図を示している。

【０１５４】トラフィック情報更新部３３４２は、２次
トラフィック情報読み出し手段３３４１から渡されたデ
ータリンク層情報に基づいて（３８００）、そのフレー
ムの宛先アドレス及び発信元アドレス毎にフレーム情報
を分類する（３８１０、３８２０）。この３８１０の処
理により宛先アドレス別のフレーム情報がリストされ
（３８１１）、一方、上記３８２１の処理により発信元
アドレス毎のフレーム情報がリストされる（３８２
１）。この発信元アドレス別のフレーム情報のリスト
は、さらに宛先アドレス毎に分類される（３８３０）。
この３８３０の処理により発信元アドレス及び宛先アド
レス別のフレーム情報がリストされる（Ｓ３８３１）。

【０１５５】上記３８００における２次トラフィック情
報のフレーム、上記３８１１、３８２１及び３８３１の
アドレス毎に分類された各リスト中のフレームを、フレ
ーム種別毎に分類すると共に（３８４０）、該各フレー
ム種別毎に、そこに含まれるフレームの数を求める（３
８５０）。

【０１５６】次に、トラフィック情報更新部３３４２
は、トラフィック構成情報抽出部１３４０からトラフィ
ック構成情報を読み出す（３８６０）。この読み出され
たトラフィック構成情報には、上述したように、全体的
なトラフィック構成情報（３８６１）、宛先アドレス別
のトラフィック構成情報（３８６２）、発信元アドレス
別のトラフィック構成情報（３８６３）、発信元及び宛
先アドレス別のトラフィック構成情報（３８６４）が含
まれている。

【０１５７】次に、２次トラフィック情報から得られた
各フレーム種別毎のフレーム数に基づき、各アドレスに
よる分類毎のトラフィック構成情報に対して、フレーム
種別毎のフレーム占有率の追加・更新を行う（３８７
０）。この結果、最新のフレーム占有率となっているト
ラフィック構成情報が得られることになり、この情報
は、上記同様に、最新のフレーム占有率が考慮された全
体的なトラフィック構成情報（３８７１）、宛先アドレ
ス別のトラフィック構成情報（３８７２）、発信元アド
レス別のトラフィック構成情報（３８７３）、発信元及
び宛先アドレス別のトラフィック構成情報（３８７４）
になっている。これらのトラフィック構成情報はトラフ
ィック構成情報抽出部１３４０に渡される。

【０１５８】そして、トラフィック構成情報抽出部１３
４０では、トラフィック構成解析手段１３４１が、各ア
ドレスによる分類毎に、各サブグループのフレーム占有
率に従って、蓄積手段１３４２トラフィック構成情報中
のサプグループに対する順序付けを追加・更新する（３
８８０）。

【０１５９】次に第４の実施例のトラフィックの収集解
析処理について説明する。

【０１６０】最初に、前処理について、図３９の前処理
動作を示すフローチャートを参照して説明する。

【０１６１】図３２に示したフローチャートのステップ
３２１０〜３２３０と同様の処理が行われると（ステッ
プ３９１０〜３９３０）、負荷トレンド情報更新部３３
１０は、負荷トレンド情報の作成及び更新を行い（ステ
ップ３９４０）、この結果をフレーム解釈部３３１０に
渡す。これ以降の処理は、図３２のフローチャートのス
テップ３２４０〜３２７０と同様の処理が行われる（ス
テップ３９５０〜３９７０）。

【０１６２】次に、通常処理について、図４０の通常処
理動作を示すフローチャートを参照して説明する。

【０１６３】低負荷時処理スケジューリング部３３２０
を初期化し（ステップ４０１０）、その後、フレーム収
集部１３１０によってフレームの収集が行われると（ス
テップ４０２０）、負荷トレンド情報更新部３３１０で
は、負荷トレンド情報更新手段３３１１が、その収集さ
れたフレームのデータリンク層情報に基づいて、負荷ト
レンド情報保持手段３３１２内の負荷トレンド情報を更
新する（ステップ４０３０）。これ以降の処理は、図２
９のフローチャートのステップ２９２０〜２９５０と同
様の処理が行われる（ステップ４０４０〜４０７０）。

【０１６４】続いて、低負荷時の処理について、図４１
の低負荷時処理動作を示すフローチャートを参照して説
明する。

【０１６５】低負荷時処理スケジューリング部３３２０
が、送受信フレーム数が比較的少ない時間帯に、２次ト
ラフィック情報再処理部３３３０を起動すると、２次ト
ラフィック情報再処理部３３３０は、上述した（１）〜
（５）の処理を実行することにより２次トラフィック情
報の再処理を行う（ステップ４１１０）。また低負荷時
処理スケジューリング部３３２０が、送受信フレーム数
が比較的少ない時間帯に、トラフィック構成情報更新部
３３４０を起動すると、トラフィック構成情報更新部３
３４０は、上記図３８の説明図を用いて説明したような
処理を行うことにより、フレーム特徴情報及びトラフィ
ック構成情報を更新する（ステップ４１２０、ステップ
４１３０）。その後、低負荷時処理スケジュール部３３
２０は、負荷トレンド情報に基づいて、低負荷時処理ス
ケージュールすなわち２次トラフィック情報再処理部３
３３０及びトラフィック構成情報更新部３３４０を起動
するタイミング情報を更新する（ステップ４１４０）。

【０１６６】なお請求項１及び２の発明の構成要件と、
図３３に示した第４の実施例の機能ブロック図の構成要
件との対応関係も、上述した第２の実施例における対応
関係と同様である。

【０１６７】以上説明したように、第４の実施例によれ
ば、通常処理における解析に失敗したフレームに対して
は、そのフレーム中の情報を全て記録し、適当な時に改
めて詳細な解析を行うようにし、しかも、その再処理の
対象となるフレーム中から注目する情報のみを抽出し蓄
積するようにしているので、大量のトラフィックを収集
した場合であっても、データ量を抑制することができ、
更に長時間のトラフィック収集を継続できる。

【０１６８】また、通常処理において収集されたトラフ
ィック情報から、適当な時に改めて、フレーム種別を判
定するための情報を更新するようにしているので、ネッ
トワーク上のワークステーション構成や、アプリケーシ
ョン構成が前処理の時点から変化したとしても、その変
化に追従して、フレーム種別を判定することが可能とな
る。

【０１６９】更に、上記解析に失敗したフレームの解析
処理とフレーム種別の判定処理の２つの処理のタイミン
グとしてトラフィック収集処理の負荷が軽い時間帯を求
めることにより、プロセスのスイッチング等による性能
の低下を回避することができる。

【０１７０】次に、第５の実施例について、図４２乃至
図４７を参照して説明する。

【０１７１】図４２は本発明に係るトラフィック収集解
析装置の第５の実施例の構成を示す機能ブロック図であ
る。この機能ブロック図は、図１３に示した第２の実施
例の機能ブロック図の構成において、トラフィック状態
管理部４２１０を追加し、またフレーム判定部１３５０
をフレーム判定部４２２０に変更した構成になってい
る。

【０１７２】トラフィック状態管理部４２１０は、図４
３に示すように、トラフィック状態管理手段４２１１、
トラフィック状態蓄積手段４２１２を備えており、ある
ワークステーション間のトラフィックが、活発であるか
不活発であるかといった状態値を知るために、前回どの
ようなフレームがやり取りされたのかという情報（前フ
レーム種別及び前フレーム特徴情報）や、前回のフレー
ムが受信された時刻（前フレーム受信時刻）等を保持す
る。ここで、トラフィック状態管理部４２００が管理す
る各ワークステーション間の前フレーム種別、前フレー
ム特徴情報及び前フレーム受信時刻を「トラフィック状
態」と呼ぶ。

【０１７３】そこで次に、トラフィック状態の管理につ
いて、図４４を参照して説明する。なお図４４はトラィ
ック状態の管理処理を説明するための説明図である。

【０１７４】トラフィック状態管理手段４２１０は、フ
レーム収集部１３１０から、収集されたフレームのデー
タリンク層宛先アドレス及び発信元アドレスを受取り、
これらの情報に対応するトラフィック状態が保持されて
いるか否かを判断し（４４０１）、保持されている場合
は、現時刻と前フレーム受信時刻から以前の情報が有効
であるか否かをチェックし（４４０２）、この結果に基
づいて、トラフィック状態が有効であるか否かを判断す
る（４４０３）。

【０１７５】上記４４０３の処理において、以前のトラ
フィック状態の情報が有効の場合は、活発な状態を表す
状態値を出力し（４４０４）、また前フレーム種別及び
前フレーム特徴情報を出力し（４４０５、４４０６）、
現在のフレームの受信時刻を前フレーム受信時刻として
設定する（４４０７）。そして、後に、後述するフレー
ム判定部４２２０からの判定結果であるフレーム種別及
びフレーム特徴情報を与えられた場合は、当該各情報を
前フレーム種別及び前フレーム特徴情報として記録する
（４４０８、４４０９）。

【０１７６】上記４４０３の処理において、以前のトラ
フィック状態の情報が無効の場合は、不活発な状態を表
す状態値を出力し（４４１０）、その後、上記４４０７
の処理に移行する。

【０１７７】上記４４０１の処理において、収集された
フレームのデータリンク層宛先アドレスと発信元アドレ
スの両者に対応するトラフィック状態が保持されていな
い場合は、そのトラフィック状態（前フレーム種別、前
フレーム受信時刻）を生成し（４４１１）、その後、上
記４４１０の処理に移行する。

【０１７８】フレーム判定部４２２０は、図４５に示す
ように、フレーム判定手段４２２１を備えており、収集
されたフレームについてのデータリンク層情報、トラフ
ィック構成情報、フレーム特徴情報及びトラフィック状
態管理部４２１０から与えられるトラフィック状態情報
から、そのフレームの種別（どのアプリケーション分類
中のどのサブグループに属するフレームであるか）を判
定するものである。

【０１７９】次に、フレーム判定部４２２０によるフレ
ーム種別の判定について、図４６を参照して説明する。
なお図４６はそのフレーム種別の判定処理を説明するた
めの説明図である。

【０１８０】フレーム判定部４２２０では、トラフィッ
ク状態管理部４２１０からのトラフィック状態情報を受
取り、このトラフィック状態が活発すなわち状態値＝活
発であるか否かを判断し（４６０２）、前フレーム種別
の特徴が新たに収集されたフレームのデータリンク層情
報中の値と一致するか否かを検査し（４６０３）、フレ
ーム種別が同定されたか否かを判断する（４６０４）。

【０１８１】上記４６０４の処理において、同定された
場合にはそれをフレーム種別とし、一方、不定の場合
は、フレーム収集部１３１０からのデータリンク層情報
中の宛先アドレスが、トラフィック構成情報抽出部１３
４０から渡されたトラフィック構成情報情報及びフレー
ム特徴情報に対応する値と一致するか否か（すなわち宛
先アドレスが既知か否か）を判断し（４６０５）、既知
の場合は更に発信元アドレスが、トラフィック構成情報
抽出部１３４０から渡されたトラフィック構成情報情報
及びフレーム特徴情報に対応する値と一致するか否か
（すなわち発信元アドレスが既知か否か）を判断する
（４６０６）。

【０１８２】４６０６の処理において、既知の場合に
は、発信元及び宛先アドレス別のトラフィック構成情報
及びフレーム特徴情報が使用され（４６０６Ａ、４６０
６Ｂ）一方、未知の場合は、宛先アドレス別のトラフィ
ック構成情報及びフレーム特徴情報が使用される（４６
０６Ｃ、４６０６Ｄ）。

【０１８３】上記４６０５の処理において、宛先アドレ
スが未知の場合は、発信元アドレスが既知か否かを判断
し（４６０７）、既知の場合には、発信元アドレス別の
トラフィック構成情報及びフレーム特徴情報が使用され
（４６０７Ａ、４６０７Ｂ）一方、未知の場合は、全般
的なトラフィック構成情報及びフレーム特徴情報が使用
される（４６０７Ｃ、４６０７Ｄ）。

【０１８４】このようにして使用すべきトラフィック構
成情報及びフレーム特徴情報が決定されると、フレーム
判定部４２２０は、上記決定されたトラフィック構成情
報中のフレーム占有率の高いものから順に、フレーム種
別の特徴が、新たに（リアルタイムに）収集されたフレ
ームのデータリンク層情報中の値と一致するか否かを検
査する（４６０８）。言い換えると、リアルタイムに収
集されたフレームのデータリンク層情報中のフレームタ
イプに記述されているタイプ、すなわちフレーム種別の
特徴が、トラフィック構成情報中のフレーム種別に対応
しているものの中に存在しているかどうかを、フレーム
占有率の高いものから順に検査することを意味してい
る。ここで、一致しているものがあれば、フレームの種
別が同定されたことになり、一方、一致しているものが
なければ、フレーム不定ということになる。

【０１８５】上記４６０８の処理での検査に基づきフレ
ーム種別が同定されたか否かを判断し（４６０９）、不
定の場合は、フレーム判定を継続可能か否かを判断し
（４６１０）、継続可能であれば、４６０８の処理に移
行する。

【０１８６】上記４６０９の処理においてフレーム種別
が同定された場合、４６１０において継続不可能な場合
（つまりフレーム種別が不定）は、同定されたフレーム
種別及びフレーム特徴、又は不定のフレーム種別及びフ
レーム特徴を、前フレーム種別及び前フレーム特徴情報
としてトラフィック状態管理部４２１０へ与える（４６
１１）。この４６１１の処理の結果が、図４４に示した
例の４４０８の処理でのフレーム種別及び４４０９の処
理でのフレーム特徴情報として使用される。

【０１８７】次に第５の実施例の全体の処理について説
明する。この全体の処理も第２の実施例で説明したよう
に前処理と通常処理の２つの処理に分かれる。

【０１８８】前処理は図２８の第２の実施例の処理手順
と同様であるので、ここではその処理の説明は省略し、
通常処理について、図４７の通常処理動作を示すフロー
チャートを参照して説明する。

【０１８９】フレーム収集部１３１０によってリアルタ
イムにフレームの収集が行われると（ステップ４７１
０）、トラフィック状態管理部４２１０は、図４４を用
いて説明したような処理を行うことによりトラフィック
状態の検査及び更新を行う（ステップ４７２０）。そし
てフレーム判定部４２２０は図４６を用いて説明したよ
うな処理を行うことにより、フレームの判定を行う（ス
テップ４７３０）。このようにしてフレーム判定が行わ
れた後は、図２９に示した第２の実施例のフローチャー
トのステップ２９３０〜２９５０と同様の処理が行われ
る（ステップ４７４０〜４７６０）。

【０１９０】以上説明したように、第５の実施例によれ
ば、上述した第２の実施例の作用効果に加えて、大容量
ファイル転送時等の同質なフレームによるバルクトラフ
ィック発生時においては、効率が良く、フレームの取り
こぼし率が軽減される。

【０１９１】次に第６の実施例について、図４８を参照
して説明する。

【０１９２】図４８は、本発明に係るトラフィック収集
解析装置の第６の実施例を示す機能ブロック図を示して
いる。

【０１９３】この機能ブロック図は、図３０に示した機
能ブロック図（第３の実施例）の構成においてフレーム
判定部１３４０を削除し、更に図４２に示した機能ブロ
ック図（第５の実施例）の構成のトラフィック状態管理
部４２１０、フレーム判定部４２２０を追加した構成に
なっている。

【０１９４】この第６の実施例の全体の処理も上述した
ように前処理と通常処理に分かれるが、前処理は図３２
の第３の実施例の処理手順と同様であり、一方、通常処
理は図４７の第５の実施例の処理手順と同様である。

【０１９５】第６の実施例によれば、上述した第３の実
施例の作用効果に加えて、大容量ファイル転送時等の同
質なフレームによるバルクトラフィック発生時において
は、効率が良く、フレームの取りこぼし率が軽減され
る。

【０１９６】次に第７の実施例について、図４９及び図
５０を参照して説明する。

【０１９７】図４９は、本発明に係るトラフィック収集
解析装置の第７の実施例を示す機能ブロック図を示して
いる。

【０１９８】この機能ブロック図は、図３３に示した機
能ブロック図（第４の実施例）の構成においてフレーム
判定部１３４０を削除し、更に図４２に示した機能ブロ
ック図（第５の実施例）の構成のトラフィック状態管理
部４２１０、フレーム判定部４２２０を追加した構成に
なっている。

【０１９９】この第７の実施例の全体の処理も第４の実
施例と同様に前処理と通常処理及び低負荷時処理に分か
れるが、前処理は図３９の第４の実施例の処理手順と同
様であり、また低負荷時処理は図４１の第４の実施例の
処理手順と同様であるので、ここでは、それらの処理に
ついて省略し、通常処理について図５０の通常処理動作
を示すフローチャートを参照して説明する。

【０２００】図４０に示す処理手順のステップ４０１０
〜４０３０と同様の処理が行われると（ステップ５０１
０〜５０３０）、トラフィック状態管理部４２１０は、
図４４を用いて説明したような処理を行うことによりト
ラフィック状態の検査及び更新を行う（ステップ５０４
０）。そしてフレーム判定部４２２０は図４６を用いて
説明したような処理を行うことにより、フレームの判定
を行う（ステップ５０５０）。このようにしてフレーム
判定が行われた後は、図４０に示した第４の実施例の処
理手順のステップ４０５０〜４０７０と同様の処理が行
われる（ステップ５０６０〜５０８０）。

【０２０１】以上説明したように第７の実施例によれ
ば、上述した第３の実施例の作用効果に加えて、大容量
ファイル転送時等の同質なフレームによるバルクトラフ
ィック発生時においては、効率が良く、フレームの取り
こぼし率が軽減される。

【０２０２】なお、上述した図４２の第５の実施例の機
能ブロック図の構成要素、図４８の第６の実施例の機能
ブロック図の構成要素及び図４９の第７の実施例の機能
ブロック図の構成要素と、請求項１及び請求項２の発明
の構成要件との対応関係は、上述した第２の実施例にお
ける対応関係において、特定手段とフレーム判定部１３
５０との対応関係が、特定手段とフレーム判定部４２２
０との対応関係に変更になった以外は、同様の対応関係
になっている。

【０２０３】次に第８の実施例について、図５１〜図６
０を参照して説明する。

【０２０４】図５１は本発明に係るトラフィック収集解
析装置の第８の実施例の構成を示す機能ブロック図であ
る。この機能ブロック図は、図４８に示した機能ブロッ
ク図（第６の実施例）の構成において、トラフィックパ
ターン情報抽出部５１１０を追加し、トラフィック状態
管理部４２１０及びフレーム判定部４２２０をそれぞれ
トラフィック状態管理部５１２０及びフレーム判定部５
１３０に変更した構成になっている。

【０２０５】トラフィックパターン情報抽出部５１１０
は、図５２に示すように、トラフィックパターン解析手
段５１１１、トラフィックパターン情報蓄積手段５１１
２を備えており、１次トラフィック情報に基づき、各ア
プリケーションによるトラフィックがどの様なパターン
のフレームのやり取りによって構成されているか（トラ
フィックパターン情報）を求める。すなわち、各フレー
ムは、どのアプリケーションによって生成されたもので
あるかによってグループ分けされる。この分類結果を
「アプリケーション分類」と呼ぶ。

【０２０６】次に、トラフィックパターン情報抽出部５
１１０によるパターン情報抽出処理について、図５３を
参照して説明する。なお、図５３はそのパターン情報抽
出処理を説明するための説明図である。

【０２０７】トラフィックパターン情報抽出部５１１０
は、１次トラフィック情報蓄積部１３３０からの１次ト
ラフィック情報（すなわち１次フレーム情報）を受け取
り、該１次フレーム情報を、生成元のアプリケーション
毎のグループに分類するとともに（ステップ５３０
１）、この分類されたフレームを受信時刻順にソートし
（ステップ５３０２）、更にこのソートされたフレーム
をセッション単位（所定のデータ単位）に分割する（ス
テップ５３０３）。ここで、セッション単位への分割方
法としては、ある一定時間以上にフレーム間隔が離れた
場合は別のセッションとする。または、既知のセッショ
ン開始フレーム（リクエストコマンドパケットなど）に
よって区切るなどがある。

【０２０８】このようにして、フレームをセッション単
位に分割したら、トラフィックパターン情報抽出部５１
１０は、各セッション毎に、当該フレームシーケンス
（どの様な種別のフレームからセッションが開始し、そ
の後、どの様な順序でどの様な種別のフレームのやり取
りが行われるか）を抽出する（ステップ５３０４）。そ
の後、各アプリケーション毎に、グループ内の各フレー
ムシーケンス種別の出現数を求め、その出現数の多い順
にフレームシーケンスをソートする（ステップ５３０
５）。そして、このソート結果がトラフィックパターン
情報として出力される。なおここで、トラフィックパタ
ーン情報は、各アプリケーション分類毎の、順序付けさ
れたフレームシーケンス種別のことである。

【０２０９】なお、上記出現数は（ＳＳ／ＡＳ）×１０
０（％）を演算することにより求めることができる。こ
こで、ＡＳは１つのアプリケーションにおける全てのセ
ッションの数である。例えばＮＳＦにおける例えば読み
出し処理、書き込み処理及び参照処理に対応する各セッ
ションの数の総和である。ＳＳは上記ＡＳ中の１つの処
理状態におけるセッションの数である。例えばＮＳＦに
おける例えば読み出し処理に対応するセッションの数で
ある。

【０２１０】図５４はトラフィックパターン情報の一例
を示したものである。

【０２１１】図５４においては、Ｍ個のトラフィックパ
ターン情報５４００−１〜５４００−Ｍが示されてい
る。トラフィックパターン５４００−１は、アプリケー
ション種別５４１０と、Ｎ個のフレームシーケンス５４
２０−１、５４２０−２〜５４２０−Ｎとから構成され
ている。なお、フレームシーケンス５４２０−１はフレ
ームシーケンス内容５４３０のようになっており、この
フレームシーケンス内容５４３０は、フレームシーケン
ス中の状態が登録される状態５４３１、例えば読み出し
処理、書き込み処理及び参照処理などの処理に関するフ
レームの種別が登録されるフレーム種別５４３２、イニ
シエータからのフレームなのか或いはイニシエータへの
フレームなのかの転送方向が登録される転送方向５４３
３、フレームシーケンス中の次の状態が登録される次状
態５４３４から構成されている。図５４の状態５４３１
において、トリガーとは各フレームシーケンスの先頭の
フレームのことであり、また「ステップ」とは、フレー
ムシーケンス中の各状態のことである。

【０２１２】因みに、フレームシーケンス内容５４３０
において、トリガーの状態でイニシエータからアクセス
先へ参照処理を実施するためのlookup command（ルック
アップコマンド）のファイルが転送され、ステップ＃１
においてはレスポンスのデータとしてのresponse（レス
ポンス）のファイルがアクセス先からイニシエータへ転
送され、ステップ＃２においては レスポンスの続きの
データとしてのresponse（続）のファイルがアクセス先
からイニシエータへ転送されたことが示されている。

【０２１３】また、上述した他のトラフィックパターン
情報も、上記トラフィックパターン情報の構成と同様に
なっている。

【０２１４】図５５はトラフィック状態管理部５１２０
は、トラフィック状態管理手段５１２１、トラフィック
状態蓄積手段５１２２を備えており、トラフィック状態
管理手段５１２１が、あるワークステーション間で、前
回どのようなアプリケーションの、どのようなフレーム
シーケンスがやり取りされたかという情報すなわち、前
回のアプリケーション種別、前回のフレームシーケンス
種別、前回のステップ＃の各情報（以下、前アプリケー
ション種別、前フレームシーケンス種別、前ステップ＃
という）や、前回のフレームが受信された時刻（以下、
前フレーム受信時刻という）などを、トラフィック状態
蓄積手段５１２２に保持し管理する。

【０２１５】ここで、トラフィック状態管理部５１２０
が管理する各ワークステーション間の前アプリケーショ
ン種別、前フレームシーケンス種別、前ステップ＃及び
前フレーム受信時刻を「トラフィック状態」と呼ぶ。

【０２１６】次に、トラフィック状態管理部５１２０の
上記トラフィック状態の管理について、図５６を参照し
て説明する。図５６は、そのトラフィック状態の管理処
理を説明するための説明図である。

【０２１７】トラフィック状態管理部５１２０は、フレ
ーム収集部１３１０から、収集されたフレームのデータ
リンク層宛先アドレス及び発信元アドレスを受け取り、
これらの情報に対応するトラフィック状態が保持されて
いるか否かを判断する（５６０１）。この５６０１の処
理において、トラフィック状態が保持されている場合
は、トラフィックが活性であることを表す状態値を出力
し（５６０２）、また前アプリケーション種別、前フレ
ームシーケンス種別及び前ステップを出力し（５６０
３）、更に、現在のフレーム受信時刻を前フレーム受信
時刻として設定する（５６０４）。

【０２１８】そして、後に、後述するフレーム判定部５
１３０からの判定結果であるアプリケーション種別、フ
レームシーケンス種別及びステップを、前アプリケーシ
ョン種別、前フレームシーケンス種別及び前ステップと
して設定する。すなわち、それらの情報をトラフィック
状態蓄積手段５１２２に蓄積する（５６０５）。

【０２１９】一方上記５６０１の処理において、トラフ
ィック状態の情報が保持されていない場合は、トラフィ
ックが不活発であることを表す状態値を出力し（５６０
６）、そのトラフィック状態（すなわち、前アプリケー
ション種別、前フレームシーケンス種別及び前ステッ
プ）を生成し、その後、上記５６０４の処理に移行する
（５６０７）。

【０２２０】フレーム判定部５１３０は、図５７に示す
ように、フレーム判定手段５１３１を備えており、収集
されたフレームについてのデータリンク層情報、トラフ
ィック構成情報、フレーム特徴情報及びトラフィック状
態管理部５１２０から与えられるトラフィック状態情報
（すなわち、前アプリケーション種別、前フレームシー
ケンス種別及び前ステップ）から、そのフレームの種別
（どのアプリケーション分類中のどのサブグループに属
するフレームであるか）を判定する。

【０２２１】次に、フレーム判定部５１３０によるフレ
ーム種別の判定について、図５８を参照して説明する。
なお図５８はそのフレーム種別の判定処理を説明するた
めの説明図である。

【０２２２】この処理は、基本的には図４６に示したフ
レーム種別の判定処理（第５の実施例）と同様である。
しかし、図５８に示すように、５８１０及び５８２０の
処理の部分が第５の実施例と異なっている。なお図５８
において、図４６に示した処理と同様の部分には同一の
符号を付与している。

【０２２３】すなわち、フレーム判定部５１３０は、図
５８の４６０２の処理において状態値が活発な場合は、
既に収集された前アプリケーション種別、前フレームシ
ーケンス種別、前ステップに基づいて、フレームの種別
を推測し、この推測されたフレームの種別の特徴（つま
りフレーム特徴情報）が、リアルタイムに新たに収集さ
れたフレームのデータリンク層情報中の値と一致するか
否かを検査する（５８１０）。この５８１０の処理が終
了した後は、図５８の４６０４の処理に移行する。

【０２２４】またトラフィック状態が不活発である場合
（つまり図５８の４６０２の処理で「ＮＯ」の場合）、
若しくは、収集されたフレームの種別が前アプリケーシ
ョン種別、前フレームシーケンス種別、前ステップから
推測されたものとは異なったものである場合（つまり図
５８の４６０４の処理で「ＮＯ」の場合）は、フレーム
判定部５１３０は、トラフィック構成情報に基づき、収
集されたフレームの種別を推測し、また、フレーム特徴
情報に基づき、その推測されたフレームの種別の正否を
検査することにより、フレーム種別の同定を行う。すな
わち図５８の４６０５の処理以降を実施することにな
る。

【０２２５】更に、トラフィック状態が不活発であった
場合若しくは、同定されたフレーム種別が前アプリケー
ション種別、前フレームシーケンス種別、前ステップか
ら推測されたものとは異なったものである場合は、その
アプリケーション種別、フレームシーケンス、ステップ
をトラフィック状態管理部５１２０に与える（５８２
０）。すなわち、図５８の４６０４の処理で「ＹＥ
Ｓ」、同図４６０９の処理で「ＹＥＳ」の場合、同図４
６１０の処理で「ＮＯ」の場合は、５８２０の処理に移
行する。

【０２２６】次に第８の実施例のトラフィックの収集解
析処理について説明する。

【０２２７】最初に、前処理について図５９の前処理動
作を示すフローチャートを参照して説明する。図３２に
示した処理手順（第３の実施例）のステップ３２１０〜
３２７０と同様の処理が行われると（ステップ５９１０
〜５９７０）、次に、トラフィックパターン情報抽出部
５１１０は、図５３の処理手順に従って、トラフィック
パターン情報を抽出する（ステップ５９８０）。これ
で、前処理が終了したことになる。

【０２２８】この前処理結果に基づいて実施される通常
処理について、図６０の通常処理動作を示すフローチャ
ートを参照して説明する。フレーム収集部１３１０によ
ってリアルタイムにフレームの収集が行われると（ステ
ップ６０１０）、トラフィック状態管理部５１２０は、
図５６に示した処理手順に従ってトラフィック状態の検
査及び更新を行う（ステップ６０２０）。この処理が終
了すると、図２９に示した処理手順のステップ２９２０
〜２９５０と同様の処理が行われる（ステップ６０３０
〜６０６０）。

【０２２９】以上説明したように第８の実施例によれ
ば、上述した第７の実施例の作用効果と同様の効果を得
ることができる。特に、この第８の実施例では、アプリ
ケーション分類された各フレームシーケンス種別に従っ
て、フレームを同定し、そのフレームの上位層プロトコ
ル（すなわちアプリケーション層）の種類を特定して、
該アプリケーション層のデータから、必要十分な着目す
る情報を抽出することができる。

【０２３０】次に第９の実施例について、図６１〜図６
６の図面を参照して説明する。

【０２３１】図６１は、本発明に係るトラフィック収集
解析装置の第９の実施例を示す機能ブロック図である。

【０２３２】この機能ブロック図は、図４９に示した第
７の実施例の機能ブロック図の構成において、トラフィ
ック状態管理部４２１０を図５１に示した第８の実施例
のトラフィック状態管理部５１２０に変更し、またフレ
ーム判定部４２２０を図８に示した第８の実施例のフレ
ーム判定部５１３０に変更し、さらにトラフィックパタ
ーン情報更新部６１００を追加した構成になっている。

【０２３３】なお、低負荷時処理スケジューリング部３
３２０は、図６２に示す様に、２次トラフィック情報再
処理部３３３０、トラフィック構成情報更新部３３４０
を順次、起動した後、トラフィックパターン情報更新部
６１００を起動するようになっている。当然、これら
は、上述したように、送受信フレーム数が比較的少ない
時間帯に起動される。

【０２３４】トラフィックパターン情報更新部６１００
は、２次トラフィック情報読み出し部６１１０、トラフ
ィックパターン情報更新手段６１２０を備えており、ト
ラフィックパターン情報の更新を行う。すなわち、低負
荷時処理スケジューリング部３３２０により起動される
と、トラフィックパターン情報更新部６１００において
は、２次トラフィック情報読み出し手段６１１０は、２
次トラフィック情報を読み出して、トラフィックパター
ン情報更新手段６１２０に渡す。そしてトラフィックパ
ターン情報更新手段６１２０は、トラフィックパターン
情報の更新を行う。

【０２３５】次に、トラフィックパターン情報更新手段
６１２０によるトラフィックパターン情報の更新処理に
ついて、図６４を参照して説明する。なお図３８はその
更新処理を説明するための説明図である。

【０２３６】トラフィックパターン情報更新情報６１２
０は、図５３の処理手順の５３０１〜５３０４の処理と
同様の処理を行い（６４０１〜６４０４）、その後、各
アプリケーション毎に、グループ分けした各フレームシ
ーケンス種別の出現数を求める（６４０５）、次に、ト
ラフィックパターン情報抽出部５１１０内のトラフィッ
クパターン情報（すなわち各フレームシーケンス種別毎
の出現数）を読み出し、このトラフィックパターン情報
に、上記６４０１〜６４０５の処理により２次トラフィ
ック情報から求められたフレームシーケンス種別及びそ
の出現数を追加する（６４０６）。続いて、そのトラフ
ィックパターン情報において、出現数の多い順にフレー
ムシーケンスをソートし（６４０７）、そのソート結果
すなわち更新されたトラフィックパターン情報をトラフ
ィックパターン情報抽出部５１１０に渡す。

【０２３７】トラフィックパターン情報抽出部５１１０
では、トラフィックパターン解析手段５１１１が、渡さ
れた更新後のトラフィックパターン情報に基づいて、ト
ラフィックパターン情報抽出部５１１２の内容を更新す
る（６４０８）。

【０２３８】次に第９の実施例のトラフィックの収集解
析処理について説明する。

【０２３９】最初に、前処理について、図６５の前処理
動作を示すフローチャートを参照して説明する。

【０２４０】図３９に示した処理手順のステップ３９１
０〜３９８０と同様の処理が行われた後（ステップ６５
１０〜６５８０）、トラフィックパターン情報抽出部５
１１０によって、図５３に示したような処理手順に従っ
てトラフィックパターン情報が抽出される（ステップ６
５９０）。これで、前処理が終了したことになる。

【０２４１】こような前処理に続いて、今度は通常処理
が行われることになるが、この場合の通常処理は、図５
０に示した処理手順（第７の実施例）と同様である。な
お、図５０のステップ５０４０においては、トラフィッ
ク状態管理部５１２０によって、図５６に示した処理手
順に従ってトラフィック状態の検査及び更新が行われる
ことになる。

【０２４２】続いて、低負荷時の処理について、図６７
の低負荷時処理動作を示すフローチャートを参照して説
明する。図４１に示した処理手順のステップ４１１０〜
４１３０と同様の処理が行われた後、トラフィックパタ
ーン情報更新部６１００によって、図６４に示した処理
手順に従ってトラフィックパターン情報の更新が行われ
る（ステップ６７４０）。その後、図４１に示した処理
手順のステップ４１４０と同様の処理が行われる（ステ
ップ６７５０）。

【０２４３】以上説明したように第９の実施例によれ
ば、上述した第８の実施例の作用効果と同様の効果を得
ることができる。特に、この第９の実施例では、低負荷
時に、トラフィックパターン情報抽出部５１１０内のト
ラフィックパターン情報を最新のものとなるように更新
（この第９の実施例では、フレームシーケンス種別及び
その出現数のデータが追加される）するようにしている
ので、フレーム種別が同定される確率が高くなることと
なり、よって、フレーム種別の同定処理を効率よく実施
することができる。

【０２４４】

【発明の効果】以上詳細に説明したように、第１の発明
によれば、リアルタイムに受信したフレーム内の全ての
プロトコル情報を展開することなく、前処理として得ら
れた上位層プロトコル情報を参照することにより、当該
フレームの上位層プロトコルの種類を特定することがで
きる。

【０２４５】また第２の発明によれば、リアルタイムに
受信したフレーム内の全てのプロトコル情報を展開する
ことなく、予め設定された上位層プロトコルの種類毎の
抽出すべき情報のフレームデータ上の位置を示す位置情
報に基づき、当該リアルタイムに受信したフレーム内の
上位層パケットから、必要十分な着目する情報を抽出す
ることができる。

【０２４６】第３の発明によれば、リアルタイムに受信
したフレーム内の全てのプロトコル情報を展開すること
なく、前処理で得られた上位層プロトコルの情報に従っ
て特定された上位層プロトコルの種類と、当該上位層プ
ロトコルの種類の特徴を表す情報が存在する位置を表す
位置情報と、当該上位層プロトコルの種類に対応する所
定のデータ単位についてのデータ送受に関する内容の特
徴を表す情報とに基づいて、当該リアルタイムに受信し
たフレーム内の上位層パケットから、必要十分な着目す
る情報を抽出することができる。すなわち、アプリケー
ション毎に分類された各フレームシーケンス種別（所定
のデータ単位としてのセッション単位毎のフレームシー
ケンス種別）に従って、フレームを同定し、そのフレー
ムの上位層プロトコル（すなわちアプリケーション層）
の種類を特定して、該アプリケーション層のデータか
ら、必要十分な着目する情報を抽出することができる。

【０２４７】更に上記各発明によれば、従来と比較し
て、トラフィック収集と必要最小限の情報抽出とをリア
ルタイムで行うようにしているので、不要なデータまで
を蓄積する必要がなく、長時間、大量のトラフィック収
集が可能となる。また上位層プロトコル中の情報を、そ
の上位層までの各層のプロトコルフォーマットのデコー
ド（展開）を行うこと無く得ることができるので、１フ
レーム当たりの情報抽出時間が短縮させることができ、
しかも、高価なハードウェアを使用することなく、フレ
ームの取りこぼし率を低減させることができる。

【図面の簡単な説明】

【図１】本発明に係るトラフィック収集解析装置の第１
の実施例を示す機能ブロック図。

【図２】本発明に係るトラフィック収集解析装置を有す
るネットワークシステムの一例を示す構成図。

【図３】第１の実施例の初期段階処理動作を示すフロー
チャート。

【図４】第１の実施例の後期段階処理動作を示すフロー
チャート。

【図５】後期段階処理におけるアプリケーション判定処
理動作を示すフローチャート。

【図６】初期段階における１次トラフィック情報の一例
を示す図。

【図７】初期段階におけるデータ解析結果の一例を示す
図。

【図８】初期段階におけるデータ解析結果の一例を示す
図。

【図９】アプリケーション判定基準保持手段１７に保持
されるアプリケーション判定基準の一例を示す図。

【図１０】アプリケーション判定情報蓄積手段１９に蓄
積されるアプリケーション判定情報の一例を示す図。

【図１１】アプリケーション情報テンプレート保持手段
２１に保持されるアプリケーション情報テンプレートの
一例を示す図。

【図１２】２次トラフィック情報蓄積手段２３に蓄積さ
れる２次トラフィック情報蓄積手段の一例を示す図。

【図１３】本発明に係るトラフィック収集解析装置の第
２の実施例を示す機能ブロック図。

【図１４】フレーム収集部１３１０の詳細な構成を示す
機能ブロック図。

【図１５】データリンク層ヘッダ情報の一例を示す図。

【図１６】フレーム解釈部１３２０の詳細な構成を示す
機能ブロック図。

【図１７】１次トラフィック情報蓄積部１３３０の詳細
な構成を示す機能ブロック図。

【図１８】１次トラフィック情報蓄積部１３３０に蓄積
される１次フレーム情報の一例を示す図。

【図１９】トラフィック構成情報抽出部１３４０の詳細
な構成を示す機能ブロック図。

【図２０】トラフィック構成情報抽出部１３４０による
フレーム特徴情報及びトラフィック構成情報の抽出処理
を説明するための説明図。

【図２１】発信元及び宛先アドレス別のトラフィック構
成情報及びフレーム特徴情報の一例を示す図。

【図２２】フレーム判定部１３５０の詳細な構成を示す
機能ブロック図。

【図２３】フレーム判定部１３５０によるフレーム判定
処理を説明するための説明図。

【図２４】着目情報抽出部１３６０の詳細な構成を示す
機能ブロック図。

【図２５】着目情報テンプレート保持手段１３６２に保
持される着目テンプレートの一例を示す図。

【図２６】２次トラフィック情報蓄積部１３７０の詳細
な構成を示す機能ブロック図。

【図２７】２次トラフィック情報蓄積部１３７０に蓄積
される２次フレーム情報の一例を示す図。

【図２８】第２の実施例の前処理動作を示すフローチャ
ート。

【図２９】第２の実施例の通常理動作を示すフローチャ
ート。

【図３０】本発明に係るトラフィック収集解析装置の第
３の実施例を示す機能ブロック図。

【図３１】０次トラフィック情報蓄積部３０００の詳細
な構成を示す機能ブロック図。

【図３２】第３の実施例の前処理動作を示すフローチャ
ート。

【図３３】本発明に係るトラフィック収集解析装置の第
４の実施例を示す機能ブロック図。

【図３４】負荷トレンド情報更新部３３１０の詳細な構
成を示す機能ブロック図。

【図３５】低負荷時処理スケジューリング部３３２０の
詳細な構成を示す機能ブロック図。

【図３６】２次トラフィック情報再処理部３３３０の詳
細な構成を示す機能ブロック図。

【図３７】トラフィック構成情報更新部３３４０の詳細
な構成を示す機能ブロック図。

【図３８】トラフィック構成情報更新部３３４０による
トラフィック構成情報の更新処理を説明するための説明
図。

【図３９】第４の実施例の前処理動作を示すフローチャ
ート。

【図４０】第４の実施例の通常処理動作を示すフローチ
ャート。

【図４１】第４の実施例の低負荷時処理動作を示すフロ
ーチャート。

【図４２】本発明に係るトラフィック収集解析装置の第
５の実施例を示す機能ブロック図。

【図４３】トラフィック状態管理部４２１０の詳細な構
成を示す機能ブロック図。

【図４４】トラフィック状態管理部４２１０によるトラ
フィック状態の管理処理を説明するための説明図。

【図４５】フレーム判定部４２２０の詳細な構成を示す
機能ブロック図。

【図４６】フレーム判定部４２２０によるフレーム種別
の判定処理を説明するための説明図。

【図４７】第５の実施例の通常処理動作を示すフローチ
ャート。

【図４８】本発明に係るトラフィック収集解析装置の第
６の実施例を示す機能ブロック図。

【図４９】本発明に係るトラフィック収集解析装置の第
７の実施例を示す機能ブロック図。

【図５０】第７の実施例の通常処理動作を示すフローチ
ャート。

【図５１】本発明に係るトラフィック収集解析装置の第
８の実施例を示す機能ブロック図。

【図５２】トラフィックパターン情報抽出部５１１０の
詳細な構成を示す機能ブロック図。

【図５３】トラフィックパターン情報抽出部５１１０に
よるトラフィックパターン情報の抽出処理を説明するた
めの説明図。

【図５４】トラフィックパターン情報の一例を示す図。

【図５５】トラフィック状態管理部５１２０の詳細な構
成を示す機能ブロック図。

【図５６】トラフィック状態管理部５１２０によるトラ
フィック状態の管理処理を説明するための説明図。

【図５７】フレーム判定部５１３０の詳細な構成を示す
機能ブロック図。

【図５８】フレーム判定部５１３０によるフレーム種別
の判定処理を説明するための説明図。

【図５９】第８の実施例の前処理動作を示すフローチャ
ート。

【図６０】第８の実施例の通常処理動作を示すフローチ
ャート

【図６１】本発明に係るトラフィック収集解析装置の第
９の実施例を示す機能ブロック図。

【図６２】第９の実施例における低負荷処理スケジュー
リング部３３２０の処理を説明するための図。

【図６３】トラフィックパターン情報更新部６１００の
詳細な構成を示す機能ブロック図。

【図６４】トラフィックパターン情報更新部６１００に
よるトラフィックパターン情報の更新処理を説明するた
めの説明図。

【図６５】第９の実施例の前処理動作を示すフローチャ
ート。

【図６６】第９の実施例の低負荷時処理動作を示すフロ
ーチャート。

【符号の説明】

１１…信号受信手段、１２…時刻検出手段、１３…信号
復号化手段、 １４…フレーム情報抽出部、１５…パケット解析部、 １６…１次トラフィック情報蓄積手段、 １７…アプリケーション判定基準保持手段、 １８…アプリケーション判定情報抽出手段、 １９…アプリケーション判定情報蓄積手段、 ２０…アプリケーション判定手段、 ２１…アプリケーション情報テンプレート保持手段、 ２２…アプリケーション情報抽出手段、 ２３…２次トラフィック情報蓄積手段、 １３１０…フレーム収集部、 １３２０…フレーム解釈部、 １３３０…１次トラフィック情報蓄積部、 １３４０…トラフィック構成情報抽出部、 １３５０、４４２０、５１３０…フレーム判定部、 １３６０…着目情報抽出部、 １３７０…２次トラフィック情報蓄積部、 ３０００…０次トラフィック情報蓄積部、 ３３１０…負荷トレンド情報更新部、 ３３２０…低負荷時処理スケジューリング部、 ３３３０…２次トラフィック情報再処理部、 ３３４０…トラフィック構成情報更新部、 ４２１０、５１２０…トラフィック状態管理部、 ５１１０…トラフィックパターン情報抽出部、 ６１００…トラフィックパターン情報更新部。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 29/14

Claims (3)

【特許請求の範囲】
1. 【請求項１】 伝送路に伝送されるプロトコル情報を含
   むデータを受信する受信手段を備え、該受信手段によっ
   て受信したデータを解析するトラフィック収集解析装置
   において、 前記受信手段により予め受信した前記データから、上位
   層プロトコルの種類毎にそれぞれ対応して上位層プロト
   コル情報の使用頻度を演算する演算手段と、 前記演算手段による演算結果を記憶する記憶手段と、 前記受信手段によりリアルタイムに受信したデータにつ
   いて、前記記憶手段を参照して使用頻度の高い種類順に
   上位層プロトコルの特徴と比較することにより、当該デ
   ータの上位層プロトコルの種類の特定を行った後、当該
   データの解析を行う解析手段とを具備したことを特徴と
   するトラフィック収集解析装置。
2. 【請求項２】 伝送路に伝送されるプロトコル情報を含
   むデータを受信する受信手段を備え、該受信手段によっ
   て受信したデータを解析するトラフィック収集解析装置
   において、 前記受信手段により予め受信した前記データ中から、上
   位層プロトコルの種類毎の使用頻度を演算する演算手段
   と、 前記演算手段により演算された使用頻度の高い順に、上
   位層プロトコルの種類と、上位層プロトコルを特定する
   ための特徴を示す情報であって前記予め受信したデータ
   上の位置情報に基づき前記予め受信したデータから抽出
   した当該位置情報に対応する位置のデータ値とを対応さ
   せた特定情報を作成する作成手段と、 前記作成手段により作成された特定情報を記憶する記憶
   手段と、 リアルタイムに受信したデータについて、前記記憶手段
   に記憶された特定情報を参照して上位層プロトコルの種
   類を特定する特定手段と、 前記特定手段によって特定された上位層プロトコルの種
   類と、当該上位層プロトコルの種類の特徴を示す情報が
   存在する位置を表す位置情報とに基づいて、前記リアル
   タイムに受信したデータから情報を抽出する抽出手段と
   を具備したことを特徴とするトラフィック収集解析装
   置。
3. 【請求項３】 伝送路に伝送されるプロトコル情報を含
   むデータを受信する受信手段を備え、該受信手段によっ
   て受信したデータを解析するトラフィック収集解析装置
   において、 前記受信手段により予め受信した前記データ中から、上
   位層プロトコルの種類毎の使用頻度を演算する演算手段
   と、 前記演算手段により演算された使用頻度の高い順に、上
   位層プロトコルの種類と、上位層プロトコルを特定する
   ための特徴を示す情報であって前記予め受信したデータ
   上の位置情報に基づき前記予め受信したデータから抽出
   した当該位置情報に対応する位置のデータ値とを対応さ
   せた特定情報を作成する作成手段と、 前記作成手段により作成された特定情報を記憶する第１
   の記憶手段と、 前記受信手段により予め受信した前記データを上位層プ
   ロトコルの種類毎に分類し、当該上位層プロトコルの種
   類毎のデータを所定のデータ単位に分割すると共に、当
   該所定のデータ単位毎にデータ送受に関する内容の特徴
   を抽出し、更に当該抽出結果と当該分類した上位層プロ
   トコルの種類とを対応させたパターン情報を作成するパ
   ターン情報抽出手段と、 前記パターン情報抽出手段により作成されたパターン情
   報を記憶する第２の記憶手段と、 リアルタイムに受信したデータについて、前記第１の記
   憶手段に記憶された特定情報及び前記第２の記憶手段に
   記憶されたパターン情報を参照して上位層プロトコルの
   種類を特定する特定手段と、 前記特定手段によって特定された上位層プロトコルの種
   類と、当該上位層プロトコルの種類の特徴を示す情報が
   存在する位置を表す位置情報とに基づいて、前記リアル
   タイムに受信したデータから情報を抽出する抽出手段と
   を具備したことを特徴とするトラフィック収集解析装
   置。