(57)【要約】【課題】長期間のトラヒック情報を対象として、ユーザの要求に応じた２段階の検索を、柔軟な期間指定を伴って実行することができるトラヒック記録装置、トラヒック記録方法およびトラヒック記録プログラムを提供すること。【解決手段】ネットワーク上で送受信されるパケットデータに関するトラヒック情報を記録する記録装置１０は、予め設定された単位時間ごとに、当該単位時間に送受信されたパケットデータから抽出される複数の変数の値に関して、統計量の要約を計算する要約計算部１２と、互いに異なる単位時間をもつ複数の階層ごとに、計算された要約を記憶する要約ＤＢ１５と、を備え、要約計算部１２は、複数の変数のうち一の変数に関して出現頻度が高い第１の個数の値と、当該一の変数が当該値である場合に、当該一の変数以外の他の変数に関して出現頻度が高い第２の個数の値と、を要約として計算する。【選択図】図１
2010273092.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上で送受信されるパケットデータに関するトラヒック情報を記録するトラヒック記録装置であって、
予め設定された単位時間ごとに、当該単位時間に送受信された前記パケットデータから抽出される複数の変数の値に関して、統計量の要約を計算する要約手段と、
互いに異なる前記単位時間をもつ複数の階層ごとに、前記要約手段により計算された要約を記憶する記憶手段と、を備え、
前記要約手段は、前記複数の変数のうち一の変数に関して出現頻度が高い第１の個数の値と、当該一の変数が当該値である場合に、当該一の変数以外の他の変数に関して出現頻度が高い第２の個数の値と、を前記要約として計算することを特徴とするトラヒック記録装置。
【請求項２】
前記要約手段は、前記複数の変数のそれぞれを前記一の変数とした場合の要約をそれぞれ計算することを特徴とする請求項１に記載のトラヒック記録装置。
【請求項３】
前記単位時間の複数倍が上位の階層における単位時間となるように設定されており、
前記要約手段は、最下位層よりも上位の階層における要約については、下位の階層で計算された要約に基づいて計算することを特徴とする請求項１または請求項２に記載のトラヒック記録装置。
【請求項４】
前記記憶手段は、前記階層ごとに、前記要約を時系列に所定数記憶するデータベースを複数有していることを特徴とする請求項１から請求項３のいずれかに記載のトラヒック記録装置。
【請求項５】
前記記憶手段は、前記要約手段により計算された要約を記憶する領域が不足した場合、最も古い要約を記憶しているデータベースを削除し、新たなデータベースを生成することを特徴とする請求項４に記載のトラヒック記録装置。
【請求項６】
ネットワーク上で送受信されるパケットデータに関するトラヒック情報をコンピュータが記録するトラヒック記録方法であって、
予め設定された単位時間ごとに、当該単位時間に送受信された前記パケットデータから抽出される複数の変数の値に関して、統計量の要約を計算する要約ステップと、
互いに異なる前記単位時間をもつ複数の階層ごとに、前記要約ステップにより計算された要約を記憶する記憶ステップと、を含み、
前記要約ステップは、前記複数の変数のうち一の変数に関して出現頻度が高い第１の個数の値と、当該一の変数が当該値である場合に、当該一の変数以外の他の変数に関して出現頻度が高い第２の個数の値と、を前記要約として計算することを特徴とするトラヒック記録方法。
【請求項７】
ネットワーク上で送受信されるパケットデータに関するトラヒック情報をコンピュータに記録させるトラヒック記録プログラムであって、
予め設定された単位時間ごとに、当該単位時間に送受信された前記パケットデータから抽出される複数の変数の値に関して、統計量の要約を計算する要約ステップと、
互いに異なる前記単位時間をもつ複数の階層ごとに、前記要約ステップにより計算された要約を記憶する記憶ステップと、を実行させ、
前記要約ステップは、前記複数の変数のうち一の変数に関して出現頻度が高い第１の個数の値と、当該一の変数が当該値である場合に、当該一の変数以外の他の変数に関して出現頻度が高い第２の個数の値と、を前記要約として計算することを特徴とするトラヒック記録プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラヒック情報を記録する装置、方法およびプログラムに関する。
【背景技術】
【０００２】
従来、ネットワークにおける障害や攻撃を検知するための方法として、通信内容を記録する技術が用いられている。記録した通信内容を事後に解析し、通信量等の統計を計算したり、ある値の有無を検索したりすることによって、障害や攻撃の有無を検知できる。
【０００３】
通信内容を記録する技術としては、例えば、ネットワークを流れるパケットを全て収集して記録する方法がある。この方法によれば、事後に解析することによって、通信料やその内容を調査できる。しかしながら、パケットを全て記録するため、記録容量が大きくなってしまい、長期間の通信内容を記録することが困難である。また、統計や検索に時間がかかってしまう。
【０００４】
そこで、パケットを全て記録するのではなく、パケットヘッダを特定の変数で集計して記録することも行われる。さらに、パケットをサンプリングして記録することにより、さらに記録に必要な容量を削減することもできる。しかしながら、大量のデータが流れるＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）の基幹回線等において１年以上の長期間に適用する場合に、やはり記録容量が膨大となり、統計や検索にも時間がかかってしまう。また、サンプリングすることにより精度の低下も発生する。
【０００５】
また、記録する統計量を事前に定義して、この統計量のみを記録することにより必要とされる容量を低減することもできる。しかしながら、事前に定義された統計量は後から変更できないため、必要な情報を取得できないことも多い。さらに、統計量のみが記録されているため、ある値の有無を検索することには不向きである。
【０００６】
また、頻繁に通信しているＩＰアドレス等を要約し、上述の統計量の代わりに記録することによって、特定の値の有無を近似的に検索することも行われる。しかしながら、この要約の過程で情報が削られることが多く、検索対象が要約に含まれていない可能性が高い。
【０００７】
ところで、記録された通信内容から特定の値の有無を解析する場合、ある変数が特定の値のときに、さらに他の値の有無を検索するような、２段階の検索が必要となる場合がある。特許文献１には、あるキー情報に対する統計情報を記録、集約することも提案されており、これにより、あるキー情報（変数）が特定の値である場合の統計情報を得ることができる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−２２１６１２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、特許文献１の方法は、あるキー情報に対する統計情報を集約するものの、この統計情報は他の変数の値を保持するものではないため、２段階で値の有無を検索する用途には向いていなかった。さらに、長期間のトラヒック情報を効率的に記録する方法が採られていないので、柔軟な期間指定を伴って通信内容を解析することは難しかった。
【００１０】
本発明は、長期間のトラヒック情報を対象として、ユーザの要求に応じた２段階の検索を、柔軟な期間指定を伴って実行することができるトラヒック記録装置、トラヒック記録方法およびトラヒック記録プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明では、以下のような解決手段を提供する。
【００１２】
（１）  ネットワーク上で送受信されるパケットデータに関するトラヒック情報を記録するトラヒック記録装置であって、
予め設定された単位時間ごとに、当該単位時間に送受信された前記パケットデータから抽出される複数の変数の値に関して、統計量の要約を計算する要約手段と、
互いに異なる前記単位時間をもつ複数の階層ごとに、前記要約手段により計算された要約を記憶する記憶手段と、を備え、
前記要約手段は、前記複数の変数のうち一の変数に関して出現頻度が高い第１の個数の値と、当該一の変数が当該値である場合に、当該一の変数以外の他の変数に関して出現頻度が高い第２の個数の値と、を前記要約として計算することを特徴とするトラヒック記録装置。
【００１３】
このような構成によれば、当該トラヒック記録装置は、予め設定された単位時間に送受信されたパケットデータにおける一の変数に関して出現頻度が高い第１の個数の値と、当該一の変数が当該値である場合に他の変数に関して出現頻度が高い第２の個数の値と、を要約として計算して記憶する。したがって、ユーザは、特定の一の変数がある値であることを条件に他の値の有無を検索する、２段階の検索を容易に行うことができる。
【００１４】
また、当該トラヒック記録装置は、互いに異なる単位時間をもつ複数の階層ごとに、当該単位時間ごとに計算された要約を記憶する。したがって、当該トラヒック記録装置は、統計情報を要約することで記憶容量を低減させた上で、長期間のトラヒック情報を階層構造により効率的に記憶することができる。その結果、ユーザは、長期間のトラヒック情報を対象として、各階層に記憶された要約を選択して検索を実行することにより、異なる期間（単位時間）を柔軟に指定して通信内容を解析することができる。
【００１５】
（２）  前記要約手段は、前記複数の変数のそれぞれを前記一の変数とした場合の要約をそれぞれ計算することを特徴とする（１）に記載のトラヒック記録装置。
【００１６】
このような構成によれば、当該トラヒック記録装置は、複数の変数のそれぞれを特定の一の変数として固定した場合の、他の変数の統計情報を要約としてそれぞれ計算する。すなわち、ユーザは、複数の変数のいずれかを任意に選択して、この変数がある値である場合における、他の値の有無を検索することができる。
【００１７】
（３）  前記単位時間の複数倍が上位の階層における単位時間となるように設定されており、
前記要約手段は、最下位層よりも上位の階層における要約については、下位の階層で計算された要約に基づいて計算することを特徴とする（１）または（２）に記載のトラヒック記録装置。
【００１８】
このような構成によれば、当該トラヒック記録装置は、複数の階層における単位時間を、それぞれ複数倍の関係で設定する。これにより、下位の階層における時系列に連続した複数個の要約は、その対象期間が上位の階層の単位時間と等しくなる。したがって、当該トラヒック記録装置は、下位の階層の複数個の要約に基づいて、上位の階層の要約を近似的に計算することができる。
【００１９】
（４）  前記記憶手段は、前記階層ごとに、前記要約を時系列に所定数記憶するデータベースを複数有していることを特徴とする（１）から（３）のいずれかに記載のトラヒック記録装置。
【００２０】
このような構成によれば、当該トラヒック記録装置は、階層ごとのデータベースに、要約を時系列に所定数記憶する。これにより、階層ごとに所定の記録期間が設定された記憶領域が確保される。また、当該トラヒック記録装置は、このデータベースを複数有することにより、長期間のトラヒック情報を記録期間ごとに明示的に分割して提供することができる。
【００２１】
（５）  前記記憶手段は、前記要約手段により計算された要約を記憶する領域が不足した場合、最も古い要約を記憶しているデータベースを削除し、新たなデータベースを生成することを特徴とする（４）に記載のトラヒック記録装置。
【００２２】
このような構成によれば、当該トラヒック記録装置は、複数のデータベースにより限定される保存期間を超えて要約を記憶する場合、この要約を記憶する領域が不足するため、最も古い要約を記憶しているデータベースを削除し、新たなデータベースを生成する。したがって、当該トラヒック記録装置は、記憶容量を一定量に制限した上で、長期間にわたって要約を記憶し続けることができる。
【００２３】
（６）  ネットワーク上で送受信されるパケットデータに関するトラヒック情報をコンピュータが記録するトラヒック記録方法であって、
予め設定された単位時間ごとに、当該単位時間に送受信された前記パケットデータから抽出される複数の変数の値に関して、統計量の要約を計算する要約ステップと、
互いに異なる前記単位時間をもつ複数の階層ごとに、前記要約ステップにより計算された要約を記憶する記憶ステップと、を含み、
前記要約ステップは、前記複数の変数のうち一の変数に関して出現頻度が高い第１の個数の値と、当該一の変数が当該値である場合に、当該一の変数以外の他の変数に関して出現頻度が高い第２の個数の値と、を前記要約として計算することを特徴とするトラヒック記録方法。
【００２４】
このような構成によれば、当該トラヒック記録方法を実行することにより、（１）と同様の効果が期待できる。
【００２５】
（７）  ネットワーク上で送受信されるパケットデータに関するトラヒック情報をコンピュータに記録させるトラヒック記録プログラムであって、
予め設定された単位時間ごとに、当該単位時間に送受信された前記パケットデータから抽出される複数の変数の値に関して、統計量の要約を計算する要約ステップと、
互いに異なる前記単位時間をもつ複数の階層ごとに、前記要約ステップにより計算された要約を記憶する記憶ステップと、を実行させ、
前記要約ステップは、前記複数の変数のうち一の変数に関して出現頻度が高い第１の個数の値と、当該一の変数が当該値である場合に、当該一の変数以外の他の変数に関して出現頻度が高い第２の個数の値と、を前記要約として計算することを特徴とするトラヒック記録プログラム。
【００２６】
このような構成によれば、当該トラヒック記録プログラムをコンピュータに実行させることにより、（１）と同様の効果が期待できる。
【発明の効果】
【００２７】
本発明によれば、長期間のトラヒック情報を対象として、ユーザの要求に応じた２段階の検索を、柔軟な期間指定を伴って実行することができる。
【図面の簡単な説明】
【００２８】
【図１】本発明の実施形態に係る記録装置の構成を示す図である。
【図２】本発明の実施形態に係るパケットヘッダテーブルを示す図である。
【図３】本発明の実施形態に係る要約テーブルの一例を示す図である。
【図４】本発明の実施形態に係る階層構造を示す図である。
【図５】本発明の実施形態に係る単位時間、記録期間、保存期間の設定値の例を示す図である。
【図６】本発明の実施形態に係る処理の流れを示すフローチャートである。
【図７】本発明の実施形態を適用した場合に要求される記憶容量を従来と比較した例を示す図である。
【発明を実施するための形態】
【００２９】
以下、本発明の実施形態の一例について図を参照しながら説明する。
【００３０】
図１は、本実施形態に係る記録装置１０（トラヒック記録装置）の構成を示す図である。記録装置１０は、制御部１１０と、記憶部１２０と、入力部１３０と、表示部１４０と、通信部１５０と、を備える情報処理装置（コンピュータ）である。
【００３１】
制御部１１０は、記録装置１０の全体を制御する部分であり、記憶部１２０に記憶された各種プログラムを適宜読み出して実行することにより、上述のハードウェアと協働し、後述の各種機能を実現している。制御部１１０は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）であってよい。
【００３２】
記憶部１２０は、ハードウェア群を記録装置１０として機能させるための各種プログラムや、本発明の機能を制御部１１０に実行させるプログラム、後述の各種データベース等を記憶する。記憶部１２０は、ハードディスク、光ディスクドライブ、あるいは半導体メモリ等、様々な記憶装置のいずれかにより構成されてよい。
【００３３】
入力部１３０は、記録装置１０に対するユーザ（記録装置１０の管理者）からの指示入力を受け付けるインタフェース装置である。入力部１３０は、例えばキーボードやマウス等により構成される。
【００３４】
表示部１４０は、ユーザ（記録装置１０の管理者）にデータの入力を受け付ける画面を表示したり、記録装置１０による処理結果の画面を表示したりするものである。表示部１４０は、ブラウン管表示装置（ＣＲＴ）、液晶表示装置（ＬＣＤ）等のディスプレイ装置であってよい。
【００３５】
通信部１５０は、記録装置１０が、ネットワークを介して他の情報端末等と情報を送受信する場合のネットワーク・アダプタである。本実施形態では、ネットワークを流れるパケットデータをルータ等の機器から受信して制御部１１０へ提供する。
【００３６】
ここで、制御部１１０は、パケットヘッダ取得部１１と、要約計算部１２（要約手段、記憶手段）と、時刻管理部１３と、を備える。また、記憶部１２０は、パケットＤＢ（データベース）１４と、要約ＤＢ１５（記憶手段）と、を備える。
【００３７】
パケットヘッダ取得部１１は、通信部１５０から、パケットデータを受信し、受信したパケットデータのヘッダ部に含まれる所定の変数を取得する。取得する変数は、例えば、ソースＩＰアドレス、ディスティネーションＩＰアドレス、ソースポート、ディスティネーションポートである。また、パケットヘッダ取得部１１は、取得したこれらの変数の値を、パケットＤＢ１４に、パケットデータの受信時刻と共に記憶する。
【００３８】
図２は、本実施形態に係るパケットＤＢ１４に記憶されるパケットヘッダテーブルを示す図である。
このパケットヘッダテーブルには、時刻（Ｔｉｍｅ）、ソースＩＰアドレス（ＳｒｃＩＰ）、ディスティネーションＩＰアドレス（ＤｓｔＩＰ）、ソースポート（ＳｒｃＰｏｒｔ）、ディスティネーションポート（ＤｓｔＰｏｒｔ）の組合せがレコードとして記憶される。
【００３９】
なお、パケットヘッダ取得部１１は、所定の単位時間内で、同一の変数値の組合せを取得した場合には、パケットヘッダテーブルの同一レコードに対して出現回数（Ｃｏｕｎｔ）をカウントアップして記憶することとしてもよい。
【００４０】
また、パケットＤＢ１４は、パケットヘッダテーブルのレコードのうち、単位時間を経過したデータを削除することとしてよい。これにより、記録装置１０は、記憶部１２０の容量を節約することができる。
【００４１】
要約計算部１２は、単位時間の経過ごとに、パケットヘッダテーブル（図２）を参照し、統計量の要約を計算する。ここで、要約計算部１２は、時刻管理部１３により周期的に通知される時刻により単位時間の経過を判断する。なお、時刻管理部１３が時刻の経過を監視し、単位時間が経過したことを要約計算部１２に通知する構成であってもよい。
【００４２】
要約計算部１２は、例えばソースＩＰアドレスを特定の一の変数とし、ソースＩＰアドレスごとの出現頻度（統計量）を計算する。そして、出現頻度が上位（第１の個数、例えば５個）のソースＩＰアドレスをもつレコードを抽出する。続いて、要約計算部１２は、抽出したレコードの中で、その他の変数、すなわちディスティネーションＩＰアドレス、ソースポート、ディスティネーションポートのそれぞれについて出現頻度（統計量）を計算し、上位（第２の個数、例えば３個）の値を抽出する。そして、要約計算部１２は、抽出された各変数の値を、出現頻度すなわち単位時間内の出現回数と共に、統計量の要約として要約ＤＢ１５に記憶する。
【００４３】
また、要約計算部１２は、ディスティネーションＩＰアドレス、ソースポート、ディスティネーションポートについても、それぞれを特定の一の変数として、同様に統計量の要約を計算し、要約ＤＢ１５に記憶する。
【００４４】
図３は、本実施形態に係る要約ＤＢ１５に記憶される要約テーブルの一例を示す図である。この例は、ソースＩＰアドレスを特定の一の変数とした場合を示している。
【００４５】
具体的には、ある時刻からの単位時間において、５個のソースＩＰアドレスが頻繁に出現しており、その出現回数が記憶されている。さらに、ソースＩＰアドレスを固定した場合の出現頻度が上位３個までのディスティネーションＩＰアドレス、ソースポート、ディスティネーションポートおよび、これらの出現回数（括弧内）が記憶されている。なお、ソースポート、ディスティネーションポートが存在しないプロトコルの場合には、これらの値を「０」で示している。
【００４６】
要約計算部１２は、単位時間が経過する度に、図３に示す要約テーブルを各変数について生成する。つまり、例えば上述のように変数が４個の場合は４種類の要約テーブルが生成される。
【００４７】
ここで、単位時間に関する階層構造について説明する。
要約計算部１２は、単位時間が経過する度に、上述のように要約を計算して記憶するが、この単位時間は複数の階層ごとに異なって設定される。すなわち、互いに異なる単位時間をもつ複数の階層ごとに、要約が計算されて記憶されていく。なお、各階層の単位時間は、下位の階層の単位時間の複数倍となるように設定される。
【００４８】
図４は、本実施形態に係る階層構造を示す図である。
まず、パケットヘッダ系列から、レベル１の階層の単位時間「５分」ごとに要約が計算される。次に、レベル２の階層の単位時間「３０分」ごとに要約が計算される。このとき、要約計算部１２は、レベル１の階層で計算された６個の要約を用いて、レベル２の階層の単位時間である「３０分」における統計量を取得して、この期間の要約を計算する。
【００４９】
同様に、レベル３の階層では、レベル２の階層の要約を４個用いて、単位時間「２時間」ごとに要約が計算される。また、レベル４の階層では、レベル３の階層の要約を１２個用いて、単位時間「２４時間」ごとに要約が計算される。さらに、レベル５の階層では、レベル４の階層の要約を９０個用いて、単位時間「９０日」ごとに要約が計算される。
【００５０】
このように、要約計算部１２は、最下位層（レベル１）よりも上位の階層（レベル２〜５）における要約については、１つ下位の階層で計算され要約ＤＢ１５に記憶された複数の要約に基づいて計算する。本実施形態では、変数の値を変換や簡略化（例えば、ＩＰアドレスの一部分を省略）することがないため、下位の階層の要約を利用してさらに要約を計算する際にも、近似による誤差を抑えることができる。その結果、値の有無に関する事後の検索を高い精度で実現することができる。
【００５１】
次に、要約ＤＢ１５の構成について詳述する。
要約ＤＢ１５は、上述の階層それぞれに複数のデータベースが対応付けられて構成されている。各データベースは、単位時間の所定数倍である記録期間にわたる、時系列に連続した所定数の要約を記憶する。そして、複数のデータベースにより、記録期間の複数倍の保存期間にわたる時系列に連続した要約を記憶することができる。
【００５２】
図５は、本実施形態に係る単位時間、記録期間、保存期間の設定値の例を示す図である。
例えば、レベル２の階層では、単位時間は「３０分」であり、記録期間は「１週間」（３０分×３３６）、保存期間は「４週間」（１週間×４）である。他のレベルの階層についても、同様に記録期間は単位時間の倍数、保存期間は記録期間の倍数として設定されている。
【００５３】
すなわち、例えばレベル２の階層では、１つ目のデータベースに単位時間「３０分」ごとの要約が記憶されていき、３３６個の要約が記憶される。続いて、３３７個目の要約は、２つ目のデータベースに記憶される。そして、４週間が経過すると、保存期間「４週間」に相当する４個のデータベースに、最大容量の要約が記憶される。さらに次の要約を記憶する場合には、記憶領域が不足するため、要約計算部１２は、最も古い１つ目のデータベースを削除し、新たなデータベースを生成する。
【００５４】
このように、記録装置１０は、要約ＤＢ１５を、削除と生成を繰り返しながら管理することにより、記録容量の最大値を制限することができる。
【００５５】
図６は、本実施形態に係る制御部１１０の処理の流れを示すフローチャートである。ここでは、上述の階層がレベル１からレベル３までである場合を示す。
【００５６】
制御部１１０は、パケットデータを受信すると、パケットヘッダを読み込み、パケットＤＢ１４に記憶する（ステップＳ１）。
【００５７】
制御部１１０は、レベル１の処理として、まず、レベル１の保存期間Ａ＿１が経過したか否かを判定し（ステップＳ２）、判定がＹＥＳの場合は、レベル１の旧ＤＢ（最も古い要約を含むデータベース）を削除する（ステップＳ３）。また、制御部１１０は、レベル１の記録期間Ｒ＿１が経過したか否かを判定し（ステップＳ４）、判定がＹＥＳの場合にのみ、レベル１の新ＤＢ（新しい要約を記憶する新たなデータベース）を生成する（ステップＳ５）。さらに、制御部１１０は、レベル１の単位時間Ｕ＿１が経過したか否かを判定し（ステップＳ６）、判定がＹＥＳの場合にのみ、レベル１の要約を計算し（ステップＳ７）、レベル１のＤＢへ記憶する（ステップＳ８）。
【００５８】
次に、制御部１１０は、レベル２の処理として、レベル１の場合と同様に、レベル２の保存期間Ａ＿２が経過したか否かを判定し（ステップＳ９）、判定がＹＥＳの場合にのみ、レベル２の旧ＤＢを削除する（ステップＳ１０）。また、制御部１１０は、レベル２の記録期間Ｒ＿２が経過したか否かを判定し（ステップＳ１１）、判定がＹＥＳの場合にのみ、レベル２の新ＤＢを生成する（ステップＳ１２）。さらに、制御部１１０は、レベル２の単位時間Ｕ＿２が経過したか否かを判定し（ステップＳ１３）、判定がＹＥＳの場合にのみ、レベル１のＤＢを読み込み（ステップＳ１４）、要約を計算し（ステップＳ１５）、レベル２のＤＢへ記憶する（ステップＳ１６）。
【００５９】
続いて、制御部１１０は、レベル３の処理として、レベル３の保存期間Ａ＿３が経過したか否かを判定し（ステップＳ１７）、判定がＹＥＳの場合にのみ、レベル３の旧ＤＢを削除する（ステップＳ１８）。また、制御部１１０は、レベル３の記録期間Ｒ＿３が経過したか否かを判定し（ステップＳ１９）、判定がＹＥＳの場合にのみ、レベル３の新ＤＢを生成する（ステップＳ２０）。さらに、制御部１１０は、レベル３の単位時間Ｕ＿３が経過したか否かを判定し（ステップＳ２１）、判定がＹＥＳの場合にのみ、レベル２のＤＢを読み込み（ステップＳ２２）、要約を計算し（ステップＳ２３）、レベル３のＤＢへ記憶する（ステップＳ２４）。
【００６０】
そして、制御部１１０は、本処理を終了するか否かを判定する（ステップＳ２５）。具体的には、例えば、入力部１３０からトラヒック情報の記録を終了する旨の所定の操作入力を受け付けた場合にＹＥＳと判定する。この判定がＹＥＳの場合は処理を終了し、判定がＮＯの場合はステップＳ１に戻り、処理を継続する。
【００６１】
本実施形態によれば、長期間のトラヒック情報を対象として、階層構造により統計量の要約を記憶するので、記憶容量を低減させることができる。
【００６２】
図７は、本実施形態を適用した場合に要求される記憶容量を従来と比較した例を示す図である。ここでは、９４Ｍｂｐｓの回線を流れるパケットデータに関する情報を、１日または３６５日間記録するときに要求される記憶容量を示している。
【００６３】
例えば３６５日間記録すると、パケットデータを全て記憶した場合（パケットキャプチャ）には約３００ＴＢの記憶容量が必要である。また、パケットヘッダのみ（６４ｂｙｔｅ）を記憶した場合には約２７ＴＢとなり、変数のみをサンプリングなしで記録した場合には約３６５ＧＢ、変数のみをサンプリング（１／５１２）して記録した場合には約４１ＧＢとなる。一方、本発明の実施形態を適用した場合には、約５００ＭＢの記憶容量で実現することができる。
【００６４】
さらに長期間にわたって記録する場合や、より多くのデータが流れるＩＳＰのコアネットワーク等の場合には、より大きな記憶容量の低減効果が得られる。
【００６５】
また、本実施形態によれば、要約ＤＢ１５の削除と生成を繰り返すことにより、記憶容量の上限を一定に保つことができる。さらに、本実施形態では、階層的に要約を逐次計算しておくことで、事後に解析する際には、柔軟な期間指定を伴って長期間の統計量を少ない計算量で計算することができる。
【００６６】
また、本実施形態では、複数の変数に関して要約を記憶するので、ユーザは、事後の状況に応じて適宜検索対象を変更して統計量を取得することができる。特に、本実施形態によれば、ある値の有無を検索することが容易に可能であり、さらに、特定の一の変数がある値である場合の他の変数の有無に関する２段階の検索を、柔軟な期間指定を伴って高い精度で実行することができる。
【００６７】
以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。
【００６８】
本実施形態では、単一の装置（記録装置１０）が上述のハードウェアおよび機能構成を備えることとして説明するが、これには限られない。例えば、複数の装置に機能を分散させてもよいし、ルータ等のネットワーク機器へ統合されてもよい。
【符号の説明】
【００６９】
１０  記録装置
１１  パケットヘッダ取得部
１２  要約計算部
１３  時刻管理部
１４  パケットＤＢ
１５  要約ＤＢ
１１０  制御部
１２０  記憶部
１３０  入力部
１４０  表示部
１５０  通信部
【図１】
2010273092.tif 000003
【図２】
2010273092.tif 000004
【図３】
2010273092.tif 000005
【図４】
2010273092.tif 000006
【図５】
2010273092.tif 000007
【図６】
2010273092.tif 000008
【図７】
2010273092.tif 000009