(57)【要約】  通信メッセージから送信元アドレス、宛先アドレス、送信元ポート番号および宛先ポート番号を抽出して、通信コネクションおよび通信コネクションの方向を特定した後、所定の経過時間ごとの送受信メッセージ量を各通信コネクションについて測定する。次に、通信コネクションごとに測定した送受信メッセージ量を用いて、通信コネクション間の相関を算出する。相関の高いコネクション群が確立されているサーバ群を特定し、特定された各サーバからなる多階層システムを決定する。
2009011063.tif 000002
【特許請求の範囲】
【請求項１】
一連の通信メッセージ群がやり取りされる複数のサーバ装置で構成された多階層システムに関する通信メッセージを、ネットワークから取得した各通信メッセージの中から分類する処理をコンピュータに実行させる通信メッセージ分類プログラムであって、
ネットワークから取得したコネクション型の各通信メッセージについて、送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号を抽出する通信メッセージ情報抽出手順と、
前記通信メッセージ情報抽出手順により抽出された送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号に基づいて、前記サーバ装置間にそれぞれ確立された各通信コネクションを特定するとともに、通信コネクションの各々に対応する接続要求メッセージの送信方向に基づいて、当該通信コネクションの各サーバ装置における入出方向をそれぞれ特定する通信コネクション特定手順と、
前記通信コネクション特定手順により特定された通信コネクションごとに、所定の単位時間内に送受信される送受信メッセージ量をそれぞれ測定し、当該測定された送受信メッセージ量を通信コネクションおよび当該通信コネクションの入出方向に対応付けてサーバ装置ごとに記憶部に記憶する送受信メッセージ量記憶手順と、
前記送受信メッセージ量記憶手順によりサーバ装置ごとに記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量を用いて、通信コネクション間の相関関係を算出する相関関係算出手順と、
前記相関関係算出手順により算出された相関関係の強い通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定する多階層システム特定手順と、
をコンピュータに実行させることを特徴とする通信メッセージ分類プログラム。
【請求項２】
前記相関関係算出手順は、前記送受信メッセージ量記憶手順によりサーバ装置ごとに記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量間の相関係数の平均値をそれぞれ算出し、
前記相関関係算出手順によりサーバ装置ごとに算出された相関係数の平均値について、所定の閾値を超えているか否かを判定する閾値判定手順をさらにコンピュータに実行させ、
前記多階層システム特定手順は、前記閾値判定手順により前記平均値が所定の閾値を越えていると判定された通信コネクション間の相関関係は高いものと判断し、相関関係が高いものと判断された通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定することを特徴とする請求項１に記載の通信メッセージ分類プログラム。
【請求項３】
前記相関関係算出手順は、前記送受信メッセージ量記憶手順によりサーバ装置ごとに記憶部に記憶された各送受信メッセージ量を所定の経過時間ごとに各通信コネクションについて抽出し、当該各送受信メッセージ量が抽出されるたびに、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量間の相関係数の平均値をそれぞれ算出し、
前記閾値判定手順は、前記相関関係算出手順により前記平均値が算出されるたびに、所定の閾値を超えているか否かを判定し、
前記多階層システム特定手順は、一定期間内において、前記閾値判定手順により所定の閾値を越えていると判定された通信コネクションの相関関係は高いものと判断し、相関関係が高いものと判断された通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定することを特徴とする請求項２に記載の通信メッセージ分類プログラム。
【請求項４】
前記多階層システム特定手順により特定された多階層システムごとに、当該多階層システムを構成するサーバ間に確立された各通信コネクションと、当該各通信コネクションにそれぞれ対応する送信元アドレス、送信先アドレス、送信先ポート番号および送信元ポート番号とからなる通信メッセージ分類テーブルを作成する分類テーブル作成手順と、
前記分類テーブル作成手順により作成された前記通信メッセージ分類テーブルを記憶部に記憶する分類テーブル記憶手順と、
前記分類テーブル記憶手順により記憶部に記憶されている前記通信メッセージ分類テーブルを用いて、ネットワークを流れる通信メッセージの中から多階層システムに関する通信メッセージを分類する通信メッセージ分類手順と、
をさらにコンピュータに実行させることを特徴とする請求項１〜３のいずれか一つに記載の通信メッセージ分類プログラム。
【請求項５】
一連の通信メッセージ群がやり取りされる複数のサーバ装置で構成された多階層システムに関する通信メッセージを、ネットワークから取得した各通信メッセージの中から分類する通信メッセージ分類方法であって、
ネットワークから取得したコネクション型の各通信メッセージについて、送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号を抽出する通信メッセージ情報抽出工程と、
前記通信メッセージ情報抽出工程により抽出された送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号に基づいて、前記サーバ装置間にそれぞれ確立された各通信コネクションを特定するとともに、通信コネクションの各々に対応する接続要求メッセージの送信方向に基づいて、当該通信コネクションの各サーバ装置における入出方向をそれぞれ特定する通信コネクション特定工程と、
前記通信コネクション特定工程により特定された通信コネクションごとに、所定の単位時間内に送受信される送受信メッセージ量をそれぞれ測定し、当該測定された送受信メッセージ量を通信コネクションおよび当該通信コネクションの入出方向に対応付けてサーバ装置ごとに記憶部に記憶する送受信メッセージ量記憶工程と、
前記送受信メッセージ量記憶工程によりサーバ装置ごとに記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量を用いて、通信コネクション間の相関関係を算出する相関関係算出工程と、
前記相関関係算出工程により算出された相関関係の強い通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定する多階層システム特定工程と、
を含んだことを特徴とする通信メッセージ分類方法。
【請求項６】
一連の通信メッセージ群がやり取りされる複数のサーバ装置で構成された多階層システムに関する通信メッセージを、ネットワークから取得した各通信メッセージの中から分類する通信メッセージ分類装置であって、
ネットワークから取得したコネクション型の各通信メッセージについて、送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号を抽出する通信メッセージ情報抽出手段と、
前記通信メッセージ情報抽出手段により抽出された送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号に基づいて、前記サーバ装置間にそれぞれ確立された各通信コネクションを特定するとともに、通信コネクションの各々に対応する接続要求メッセージの送信方向に基づいて、当該通信コネクションの各サーバ装置における入出方向をそれぞれ特定する通信コネクション特定手段と、
前記通信コネクション特定手段により特定された通信コネクションごとに、所定の単位時間内に送受信される送受信メッセージ量をそれぞれ測定し、当該測定された送受信メッセージ量を通信コネクションおよび当該通信コネクションの入出方向に対応付けてサーバ装置ごとに記憶する送受信メッセージ量記憶手段と、
前記送受信メッセージ量記憶手段によりサーバ装置ごとに記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量を用いて、通信コネクション間の相関関係を算出する相関関係算出手段と、
前記相関関係算出手段により算出された相関関係の強い通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定する多階層システム特定手段と、
を備えたことを特徴とする通信メッセージ分類装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、一連の通信メッセージ群がやり取りされる複数のサーバ装置で構成された多階層システムに関する通信メッセージを、ネットワークから取得した各通信メッセージの中から分類する処理をコンピュータに実行させる通信メッセージ分類プログラム、このプログラムに対応する通信メッセージ分類方法および通信メッセージ分類装置に関する。
【背景技術】
【０００２】
従来、ネットワークを流れる通信メッセージに基づいて、ネットワーク内のコンピュータシステムの稼動状態を分析することを目的とした技術が存在する。例えば、特許文献１では、ネットワークを流れるサーバ間のメッセージ呼出関係を定義したトランザクションモデルを定義し、このトランザクションモデルと実際のメッセージとをマッチングすることで、システムの稼動状況を分析する技術が開示されている。【０００３】
また、図１９に示すように、データベースサーバ、アプリケーションサーバやウェブサーバなどの複数の装置間で通信メッセージをやり取りする多階層システムがネットワーク内に混在している場合に、多階層システムの稼動状態を分析することを目的として、ネットワークからキャプチャした通信メッセージの中から、多階層システムでやり取りされたメッセージのみを分類する技術が存在する。【０００４】
この技術について図２０を用いて簡単に説明すると、多階層システムを構成するサーバ群に関する情報（例えば、サーバアドレス、通信プロトコル種別や階層構造など）をシステムの構築資料やシステムの運営管理資料から取得し、取得した情報を用いて多階層システムを構成するサーバ群を特定するための分類情報を手動で作成する。そして、ネットワークからキャプチャした通信メッセージ群に対して、作成した分類情報によるフィルタリングを行うことにより、各多階層システムにおける通信メッセージ（例えば、多階層システム１や多階層システム２）をそれぞれ分類して蓄積する。【０００５】
【特許文献１】特開２００６−１１６８３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、多階層システムの稼動状態を監視することを目的とした従来の技術は、ネットワーク内に混在する多階層システムをうまく特定できない場合があるという問題点があった。【０００７】
すなわち、多階層システムを構成するサーバ群を特定するための分類情報を作成した後、長期間が経過している場合には、多階層システムを構成するサーバ群の実体と分類情報との整合性が取れていないことがあるため、多階層システムを構成するサーバ群をうまく特定できない場合があるという問題点があった。【０００８】
また、ネットワーク内に複数の多階層システムが混在する場合には、多階層システムを構成するサーバ群を特定するための分類情報をそれぞれ手動で作成する必要があるが、その作成作業には多大な時間と困難を要する。【０００９】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、多階層システムを特定するために困難な作業を要することなく、多階層システムをリアルタイムかつ簡易に特定することが可能な通信メッセージ分類プログラム、通信メッセージ分類方法および通信メッセージ分類装置を提供することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、請求項１に係る発明は、一連の通信メッセージ群がやり取りされる複数のサーバ装置で構成された多階層システムに関する通信メッセージを、ネットワークから取得した各通信メッセージの中から分類する処理をコンピュータに実行させる通信メッセージ分類プログラムであって、ネットワークから取得したコネクション型の各通信メッセージについて、送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号を抽出する通信メッセージ情報抽出手順と、前記通信メッセージ情報抽出手順により抽出された送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号に基づいて、前記サーバ装置間にそれぞれ確立された各通信コネクションを特定するとともに、通信コネクションの各々に対応する接続要求メッセージの送信方向に基づいて、当該通信コネクションの各サーバ装置における入出方向をそれぞれ特定する通信コネクション特定手順と、前記通信コネクション特定手順により特定された通信コネクションごとに、所定の単位時間内に送受信される送受信メッセージ量をそれぞれ測定し、当該測定された送受信メッセージ量を通信コネクションおよび当該通信コネクションの入出方向に対応付けてサーバ装置ごとに記憶部に記憶する送受信メッセージ量記憶手順と、前記送受信メッセージ量記憶手順によりサーバ装置ごとに記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量を用いて、通信コネクション間の相関関係を算出する相関関係算出手順と、前記相関関係算出手順により算出された相関関係の強い通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定する多階層システム特定手順と、をコンピュータに実行させることを特徴とする。【００１１】
また、請求項２に係る発明は、上記の発明において、前記相関関係算出手順は、前記送受信メッセージ量記憶手順によりサーバ装置ごとに記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量間の相関係数の平均値をそれぞれ算出し、前記相関関係算出手順によりサーバ装置ごとに算出された相関係数の平均値について、所定の閾値を超えているか否かを判定する閾値判定手順をさらにコンピュータに実行させ、前記多階層システム特定手順は、前記閾値判定手順により前記平均値が所定の閾値を越えていると判定された通信コネクション間の相関関係は高いものと判断し、相関関係が高いものと判断された通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定することを特徴とする。【００１２】
また、請求項３に係る発明は、上記の発明において、前記相関関係算出手順は、前記送受信メッセージ量記憶手順によりサーバ装置ごとに記憶部に記憶された各送受信メッセージ量を所定の経過時間ごとに各通信コネクションについて抽出し、当該各送受信メッセージ量が抽出されるたびに、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量間の相関係数の平均値をそれぞれ算出し、前記閾値判定手順は、前記相関関係算出手順により前記平均値が算出されるたびに、所定の閾値を超えているか否かを判定し、前記多階層システム特定手順は、一定期間内において、前記閾値判定手順により前記平均値が所定の閾値を越えていると判定された通信コネクション間の相関関係は高いものと判断し、相関関係が高いものと判断された通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定することを特徴とする。【００１３】
また、請求項４に係る発明は、上記の発明において、前記多階層システム特定手順により特定された多階層システムごとに、当該多階層システムを構成するサーバ間に確立された各通信コネクションと、当該各通信コネクションにそれぞれ対応する送信元アドレス、送信先アドレス、送信先ポート番号および送信元ポート番号とからなる通信メッセージ分類テーブルを作成する分類テーブル作成手順と、前記分類テーブル作成手順により作成された前記通信メッセージ分類テーブルを記憶部に記憶する分類テーブル記憶手順と、前記分類テーブル記憶手順により記憶部に記憶されている前記通信メッセージ分類テーブルを用いて、ネットワークを流れる通信メッセージの中から多階層システムに関する通信メッセージを分類する通信メッセージ分類手順と、をさらにコンピュータに実行させることを特徴とする。【００１４】
また、請求項５に係る発明は、一連の通信メッセージ群がやり取りされる複数のサーバ装置で構成された多階層システムに関する通信メッセージを、ネットワークから取得した各通信メッセージの中から分類する通信メッセージ分類方法であって、ネットワークから取得したコネクション型の各通信メッセージについて、送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号を抽出する通信メッセージ情報抽出工程と、前記通信メッセージ情報抽出工程により抽出された送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号に基づいて、前記サーバ装置間にそれぞれ確立された各通信コネクションを特定するとともに、通信コネクションの各々に対応する接続要求メッセージの送信方向に基づいて、当該通信コネクションの各サーバ装置における入出方向をそれぞれ特定する通信コネクション特定工程と、前記通信コネクション特定工程により特定された通信コネクションごとに、所定の単位時間内に送受信される送受信メッセージ量をそれぞれ測定し、当該測定された送受信メッセージ量を通信コネクションおよび当該通信コネクションの入出方向に対応付けてサーバ装置ごとに記憶部に記憶する送受信メッセージ量記憶工程と、前記送受信メッセージ量記憶工程によりサーバ装置ごとに記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量を用いて、通信コネクション間の相関関係を算出する相関関係算出工程と、前記相関関係算出工程により算出された相関関係の強い通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定する多階層システム特定工程と、を含んだことを特徴とする。【００１５】
また、請求項６に係る発明は、一連の通信メッセージ群がやり取りされる複数のサーバ装置で構成された多階層システムに関する通信メッセージを、ネットワークから取得した各通信メッセージの中から分類する通信メッセージ分類装置であって、ネットワークから取得したコネクション型の各通信メッセージについて、送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号を抽出する通信メッセージ情報抽出手段と、前記通信メッセージ情報抽出手段により抽出された送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号に基づいて、前記サーバ装置間にそれぞれ確立された各通信コネクションを特定するとともに、通信コネクションの各々に対応する接続要求メッセージの送信方向に基づいて、当該通信コネクションの各サーバ装置における入出方向をそれぞれ特定する通信コネクション特定手段と、前記通信コネクション特定手段により特定された通信コネクションごとに、所定の単位時間内に送受信される送受信メッセージ量をそれぞれ測定し、当該測定された送受信メッセージ量を通信コネクションおよび当該通信コネクションの入出方向に対応付けてサーバ装置ごとに記憶する送受信メッセージ量記憶手段と、前記送受信メッセージ量記憶手段によりサーバ装置ごとに記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、当該通信コネクション間で送受信される送受信メッセージ量を用いて、通信コネクション間の相関関係を算出する相関関係算出手段と、前記相関関係算出手段により算出された相関関係の強い通信コネクションが確立されているサーバ装置をそれぞれ特定し、当該特定された各サーバ装置で構成されるシステムを多階層システムとして特定する多階層システム特定手段と、を備えたことを特徴とする。
【発明の効果】
【００１６】
本発明によれば、ネットワークから取得したコネクション型の各通信メッセージについて、送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号を抽出し、抽出された送信元アドレス、送信先アドレス、送信元ポート番号および送信先ポート番号に基づいて、サーバ装置間にそれぞれ確立された各通信コネクションを特定するとともに、通信コネクションの各々に対応する接続要求メッセージの送信方向からコネクション方向をそれぞれ特定し、特定された通信コネクションごとに、所定の単位時間内に送受信される送受信メッセージ量をそれぞれ測定し、測定された送受信メッセージ量を通信コネクションおよびコネクション方向に対応付けて記憶部にそれぞれ記憶し、記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、通信コネクション間で送受信される送受信メッセージ量を用いて、通信コネクション間の相関関係を算出し、算出された相関関係の強い通信コネクション群に接続されているサーバ装置をそれぞれ特定し、特定された各サーバ装置で構成されるシステムを多階層システムとして特定するので、多階層システムを特定するために困難な作業を要することなく、多階層システムをリアルタイムかつ簡易に特定することが可能である。【００１７】
また、本発明によれば、サーバ装置ごとに記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、通信コネクション間で送受信される送受信メッセージ量間の相関係数の平均値をそれぞれ算出し、サーバ装置ごとに算出された相関係数の平均値について、所定の閾値を超えているか否かを判定し、平均値が所定の閾値を越えていると判定された通信コネクション間の相関関係は高いものと判断し、相関関係が高いものと判断された通信コネクションが確立されているサーバ装置をそれぞれ特定し、特定された各サーバ装置で構成されるシステムを多階層システムとして特定するので、ネットワーク上を流れる通信メッセージのメッセージ量を用いて算出した相関係数から通信コネクション間の相関関係を簡易に求めることができ、多階層システムを効率的に特定することが可能である。【００１８】
また、本発明によれば、サーバ装置ごとに記憶部に記憶された各送受信メッセージ量を所定の経過時間ごとに各通信コネクションについて抽出し、各送受信メッセージ量が抽出されるたびに、各サーバ装置における通信コネクションの入出組合せごとに、通信コネクション間で送受信される送受信メッセージ量の相関係数の平均値をそれぞれ算出し、相関係数の平均値が算出されるたびに所定の閾値を超えているか否かを判定し、一定期間内において、相関係数の平均値が所定の閾値を越えていると判定された通信コネクション間の相関関係は高いものと判断し、相関関係が高いものと判断された通信コネクションが確立されているサーバ装置をそれぞれ特定し、特定された各サーバ装置で構成されるシステムを多階層システムとして決定するので、多階層システムを構成するサーバ間に負荷分散機能が採用されている場合であっても、同一の通信コネクション群から特定されるサーバ装置によって多階層システムを特定することが可能である。【００１９】
また、本発明によれば、特定された多階層システムごとに、多階層システムを構成するサーバ間に確立された各通信コネクションと、各通信コネクションにそれぞれ対応する送信元アドレス、送信先アドレス、送信先ポート番号および送信元ポート番号とからなる通信メッセージ分類テーブルを作成し、作成された通信メッセージ分類テーブルを記憶部に記憶し、記憶部に記憶されている通信メッセージ分類テーブルを用いて、ネットワークを流れる通信メッセージの中から多階層システムに関する通信メッセージを分類するので、多階層システムに関係のない通信メッセージを破棄して負荷を低減させることができるとともに、多階層システムに関する通信メッセージを分類して蓄積しておくことが可能である。
【図面の簡単な説明】
【００２０】
【図１】図１は、実施例１に係る通信メッセージ分類装置の概要および特徴を説明するための図である。
【図２】図２は、実施例１に係る通信メッセージ分類装置の概要および特徴を説明するための図である。
【図３】図３は、実施例１に係る通信メッセージ分類装置の概要および特徴を説明するための図である。
【図４】図４は、実施例１に係る通信メッセージ分類装置の概要および特徴を説明するための図である。
【図５】図５は、実施例１に係る通信メッセージ分類装置の概要および特徴を説明するための図である。
【図６】図６は、実施例１に係る通信メッセージ分類装置の構成を示すブロック図である。
【図７】図７は、通信コネクション情報記憶部に記憶される情報の構成例を示す図である。
【図８】図８は、メッセージ量記憶部に記憶される情報の構成例を示す図である。
【図９】図９は、相関係数記憶部に記憶される情報の構成例を示す図である。
【図１０】図１０は、多階層システムの決定例を示す図である。
【図１１】図１１は、実施例１に係る送受信メッセージ量測定処理の流れを示すフローチャートである。
【図１２】図１２は、実施例１に係る多階層システム決定処理の流れを示すフローチャートである。
【図１３】図１３は、実施例２に係る通信メッセージ分類装置の構成を示すブロック図である。
【図１４】図１４は、実施例２に係る分類テーブルの構成例を示す図である。
【図１５】図１５は、実施例２に係る分類テーブル作成処理の流れを示すフローチャートである。
【図１６】図１６は、実施例２に係る通信メッセージ分類処理の流れを示すフローチャートである。
【図１７】図１７は、実施例２に係る多階層システムの決定例を示す図である。
【図１８】図１８は、通信メッセージ分類プログラムを実行するコンピュータを示す図である。
【図１９】図１９は、従来技術を説明するための図である。
【図２０】図２０は、従来技術を説明するための図である。
【符号の説明】
【００２１】
１０  通信メッセージ分類装置
１１  通信制御Ｉ／Ｆ部
１２  記憶部
１２ａ  キャプチャデータ記憶部
１２ｂ  通信コネクション情報記憶部
１２ｃ  メッセージ量記憶部
１２ｄ  相関係数記憶部
１２ｅ  分類テーブル記憶部
１２ｆ  分類データ記憶部
１３  制御部
１３ａ  メッセージ取得部
１３ｂ  通信コネクション検出部
１３ｃ  メッセージ量測定部
１３ｄ  相関係数算出部
１３ｅ  多階層システム決定部
１３ｆ  分類テーブル作成部
１３ｇ  メッセージ分類部
２０  コンピュータ
２１  通信制御Ｉ／Ｆ部
２２  ＨＤＤ（Hard  Disk  Drive）
２３  ＲＡＭ（Random  Access  Memory）
２４  ＲＯＭ（Read  Only  Memory）
２５  ＣＰＵ（Central  Processing  Unit）
３０  バス
【発明を実施するための最良の形態】
【００２２】
以下に添付図面を参照して、この発明に係る通信メッセージ分類プログラム、通信メッセージ分類方法および通信メッセージ分類装置の実施例を詳細に説明する。なお、以下では、本発明に係る通信メッセージ分類プログラムの一実施形態として、かかる通信メッセージ分類プログラムを実行する通信メッセージ分類装置を実施例１として説明した後に、本発明に含まれる他の実施例を説明する。
【実施例１】
【００２３】
以下の実施例１では、実施例１に係る通信メッセージ分類装置の概要および特徴、かかる通信メッセージ分類装置の構成および処理を順に説明し、最後に実施例１による効果を説明する。【００２４】
［通信メッセージ分類装置の概要および特徴（実施例１）］
まず、図１〜図５を用いて、実施例１に係る通信メッセージ分類装置の概要および特徴を説明する。図１〜図５は、実施例１に係る通信メッセージ分類装置の概要および特徴を説明するための図である。【００２５】
実施例１に係る通信メッセージ分類装置は、一連の通信メッセージ群がやり取りされる複数のサーバ装置で構成された多階層システムに関する通信メッセージを、ネットワークから取得した各通信メッセージの中から分類することを概要とする。そして、多階層システムを特定するために困難な作業を要することなく、多階層システムをリアルタイムかつ簡易に特定することが可能である点に主たる特徴がある。【００２６】
この主たる特徴について具体的に説明すると、図１に示すように、実施例１に係る通信メッセージ分類装置は、ネットワークから継続的に通信メッセージを取得し（図１の（１）参照）、取得した通信メッセージについてコネクション型の通信メッセージであるか否かを確認する。具体的に説明すると、取得した各通信メッセージのヘッダ部を解析して、コネクション型のプロトコル（例えば、ＴＣＰ／ＩＰ）を使用した通信メッセージであるか否かを確認する。【００２７】
確認の結果、コネクション型であると確認された通信メッセージについて、接続要求メッセージであるか否かをさらに確認する。具体的に説明すると、通信メッセージのヘッダ部を解析して、接続要求に関する通信メッセージであるか否かを確認する。【００２８】
確認の結果、接続要求メッセージである場合には、その通信メッセージから送信元アドレス、宛先アドレス、送信元ポート番号および宛先ポート番号を抽出する（図１の（２）参照）。さらに、抽出した送信元アドレス、宛先アドレス、送信元ポート番号および宛先ポート番号に基づいて通信コネクションを特定するとともに、特定した通信コネクションの方向（通信コネクションの各サーバ装置における入出方向）を特定する（図１の（３）参照）。【００２９】
具体的に説明すると、接続要求メッセージの送信元であるサーバでは、その接続要求メッセージによって確立される通信コネクションの方向は「出」となり、接続要求メッセージの宛先であるサーバでは、その接続要求メッセージによって確立される通信コネクションの方向は「入」となる。同様にして、取得した全ての通信メッセージについて確認を行うとともに、通信コネクションおよび通信コネクションの方向の特定を行う。【００３０】
通信コネクションおよび通信コネクションの方向を特定した後、所定の経過時間（例えば、１００ｍｓｅｃ）ごとの送受信メッセージ量を各通信コネクションについて測定する（図２の（１）参照）。そして、例えば、同図に示すように、通信コネクションＡを介して所定時間（例えば、１ｓｅｃ）内に送受信される通信メッセージ量は、通信メッセージ量「Ａ１」および通信メッセージ量「Ａ２」となる。そして、図３に示すように、通信コネクションおよび通信コネクションの入出方向に対応付けて、測定した送受信メッセージ量をサーバごとに記憶しておく。【００３１】
続いて、実施例１に係る通信メッセージ分類装置は、通信コネクションごとに測定した送受信メッセージ量を用いて、通信コネクション間の相関を算出する（図２の（２）参照）。具体的に説明すると、まず、通信コネクションの入出組合せをサーバごとに算出する。例えば、図２に示すサーバ２では、通信コネクションが３本確立されており（通信コネクション「Ａ」、「Ｂ」および「Ｃ」）、通信コネクションの入出組合せ、すなわち、サーバ２における通信コネクションの方向が「入」と「出」である組合せを算出すると、通信コネクション「Ａ」と通信コネクション「Ｂ」、および通信コネクション「Ａ」と通信コネクション「Ｃ」の二組が存在する。同様に、各サーバについて、通信コネクションの入出組合せを算出する。【００３２】
次に、各組合せについて通信コネクション間の相関を算出する。具体的に説明すると、例えば、図４に示すように、通信コネクション「Ａ」を介して所定の経過時間内にサーバ２に受信されたメッセージ量「Ａ１」と、通信コネクション「Ｂ」を介して所定の経過時間内にサーバ２から送信されたメッセージ量「Ｂ１」との相関係数、および通信コネクション「Ｂ」を介して所定の経過時間内にサーバ２に受信されたメッセージ量「Ｂ２」と、通信コネクション「Ａ」を介して所定の経過時間内にサーバ２から送信されたメッセージ量「Ａ２」との相関係数をそれぞれ算出する。【００３３】
続いて、各相関係数の平均値を算出して、算出された平均値と所定の閾値とを比較して、相関の高い通信コネクション群を特定する（図２の（３）参照）。具体的には、例えば、算出された相関係数の平均値が所定の閾値（０．７５）よりも大きい場合には、通信コネクション間の相関が高いものと判断する。同様に、各サーバについて相関係数の平均値を算出し、相関の高い通信コネクションの繋がりをおっていくことにより、相関の高いコネクション群を特定する。【００３４】
そして、相関の高いコネクション群が確立されているサーバ群を特定し、特定された各サーバからなる多階層システムを決定する。例えば、図５に示すように、通信コネクション「Ａ」と通信コネクション「Ｂ」との相関が高いと判断できる場合には、通信コネクション「Ａ」および「Ｂ」が確立されているサーバ１、サーバ２およびサーバ３を特定でき、これらのサーバ１、サーバ２およびサーバ３からなる多階層システムが決定できる。【００３５】
このようなことから、実施例１に係る通信メッセージ分類装置は、上述した主たる特徴の如く、多階層システムを特定するために困難な作業を要することなく、多階層システムをリアルタイムかつ簡易に特定することが可能である。【００３６】
［通信メッセージ分類装置の構成（実施例１）］
次に、図６〜図１０を用いて、実施例１に係る通信メッセージ分類装置の構成を説明する。図６は、実施例１に係る通信メッセージ分類装置の構成を示すブロック図である。図７は、通信コネクション情報記憶部に記憶される情報の構成例を示す図である。図８は、メッセージ量記憶部に記憶される情報の構成例を示す図である。図９は、相関係数記憶部に記憶される情報の構成例を示す図である。図１０は、多階層システムの決定例を示す図である。【００３７】
図６に示すように、通信メッセージ分類装置１０は、通信制御Ｉ／Ｆ部１１と、記憶部１２と、制御部１３とから構成される。【００３８】
このうち、通信制御Ｉ／Ｆ部１１は、ネットワークを介して、サーバ間でやり取りされる通信メッセージのキャプチャ等に関する通信を制御する。【００３９】
記憶部１２は、制御部１３による各種処理に必要なデータおよびプログラムを記憶する記憶部であり、特に本発明に密接に関連するものとしては、キャプチャデータ記憶部１２ａと、通信コネクション情報記憶部１２ｂと、メッセージ量記憶部１２ｃと、相関係数記憶部１２ｄとを備える。【００４０】
このうち、キャプチャデータ記憶部１２ａは、後述するメッセージ取得部１３ａによってネットワークから取得（キャプチャ）された通信メッセージを記憶する記憶部である。なお、キャプチャデータ記憶部１２ａは、キャプチャした通信メッセージの各情報（送信元アドレス、宛先アドレス、送信元ポート番号、宛先ポート番号および通信メッセージ量）と、通信メッセージの取得時刻を対応付けて記憶する。【００４１】
通信コネクション情報記憶部１２ｂは、後述する通信コネクション検出部１３ｂによって特定された通信コネクションに関する各種の情報を記憶する記憶部である。具体的には、図７に例示するように、各サーバに確立された各通信コネクションを特定する送信元アドレス、宛先アドレス、送信元ポート番号、および宛先ポート番号をサーバごとに記憶して構成される。【００４２】
メッセージ量記憶部１２ｃは、後述するメッセージ量測定部１３ｃによって、所定の経過時間ごとに各通信コネクションについて測定された送受信メッセージ量の情報を記憶する記憶部である。具体的には、図８に例示するように、所定の経過時間（例えば、１００ｍｓｅｃ）ごとに、通信コネクション（例えば、通信コネクション１、２または３）および通信コネクションの方向（「入」または「出」）に対応づけて、送信メッセージ量と受信メッセージ量をサーバごとに記憶して構成される。なお、所定の経過時間（例えば、１００ｍｓｅｃ）ごとに測定された通信メッセージ量の情報をそれぞれ記憶する場合に限られるものではなく、所定の経過時間ごとに測定された通信メッセージ量を所定時間（例えば、１ｓｅｃ）で合算して記憶するようにしてもよい。【００４３】
相関係数記憶部１２ｄは、後述する相関係数算出部１３ｄによって算出された通信メッセージ量の相関係数を記憶する記憶部である。具体的には、各通信コネクション間（例えば、コネクション１〜コネクション２）について、相関係数算出部１３ｄによって算出された通信メッセージ量の相関係数の平均値をサーバごとに記憶して構成される。【００４４】
制御部１３は、所定の制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する処理部であり、特に本発明に密接に関連するものとしては、メッセージ取得部１３ａと、通信コネクション検出部１３ｂと、メッセージ量測定部１３ｃと、相関係数算出部１３ｄと、多階層システム決定部１３ｅを備える。【００４５】
このうち、メッセージ取得部１３ａは、通信制御Ｉ／Ｆ部１１を介して、ネットワークからサーバ間でやり取りされる通信メッセージを取得（キャプチャ）する処理部である。メッセージ取得部１３ａは、所定の経過時間内にネットワークから取得した通信メッセージを取得時刻に対応付けてキャプチャデータ記憶部１２ａに格納する。【００４６】
通信コネクション検出部１３ｂは、メッセージ取得部１３ａによって取得された通信メッセージに基づいて、通信コネクションを特定するとともに、通信コネクションの方向を特定する処理部である。具体的に説明すると、通信コネクション検出部１３ｂは、キャプチャデータ記憶部１２ａに記憶されている通信メッセージを順に読み出して、コネクション型の通信メッセージであるか否かを確認する。詳細には、取得した通信メッセージのヘッダ部を解析して、通信に使用されている通信プロトコル種別を確認して、コネクション型のプロトコル（例えば、ＴＣＰ／ＩＰ）を使用した通信メッセージであることを示す情報が格納されているか否かを確認する。【００４７】
確認の結果、コネクション型であると確認された通信メッセージについて、通信コネクション検出部１３ｂは、接続要求メッセージであるか否かをさらに確認する。具体的に説明すると、通信メッセージのヘッダ部を解析して、接続要求に関する通信メッセージであるか否かを確認する。詳細には、通信メッセージのヘッダ部を解析して、接続要求に関する通信メッセージであることを示すビット情報が格納されているか否かを確認する。【００４８】
確認の結果、接続要求メッセージである場合には、通信コネクション検出部１３ｂは、その通信メッセージから送信元アドレス、宛先アドレス、送信元ポート番号および宛先ポート番号を抽出する。さらに、抽出した送信元アドレス、宛先アドレス、送信元ポート番号および宛先ポート番号に基づいて通信コネクションを特定するとともに、特定した通信コネクションの方向（通信コネクションの各サーバ装置における入出方向）を特定する。詳細には、接続要求メッセージの送信元であるサーバでは、その接続要求メッセージに対応する通信コネクションの方向は「出」となり、接続要求メッセージの宛先であるサーバでは、その接続要求メッセージに対応する通信コネクションの方向は「入」となる。なお、通信メッセージから抽出された送信元アドレス、宛先アドレス、送信元ポート番号および宛先ポート番号に基づいて、通信メッセージをやり取りするサーバがそれぞれ特定される。【００４９】
そして、通信コネクション検出部１３ｂは、各サーバに確立された各通信コネクションを特定する送信元アドレス、宛先アドレス、送信元ポート番号、および宛先ポート番号をサーバごとに通信コネクション情報記憶部１２ｂに格納する（図７参照）。【００５０】
メッセージ量測定部１３ｃは、通信コネクション検出部１３ｂにより特定された各通信コネクションについて、所定の経過時間ごとに送受信メッセージ量を測定する処理部である。具体的に説明すると、メッセージ量測定部１３ｃは、キャプチャデータ記憶部１２ａに記憶されている通信メッセージの中から、通信コネクション検出部１３ｂにより特定された各通信コネクションに対応する通信メッセージを読み出して、所定の経過時間（例えば、１００ｍｓｅｃ）ごとに各通信コネクションを介して送受信される通信メッセージ量を測定する。【００５１】
そして、メッセージ量測定部１３ｃは、通信コネクション（例えば、通信コネクション１、２または３）および通信コネクションの方向（「入」または「出」）に対応づけて、所定の経過時間ごとに測定した送信メッセージ量および受信メッセージ量をサーバごとにメッセージ量記憶部１２ｃに格納する。なお、メッセージ量測定部１３ｃは、所定の経過時間（例えば、１ｍｓｅｃ）ごとに送受信メッセージ量を測定しておき、最終的に所定時間（例えば、１ｓｅｃ）で合算した送受信メッセージ量をサーバごとにメッセージ量記憶部１２ｃに格納するようにしてもよい。【００５２】
相関係数算出部１３ｄは、メッセージ量測定部１３ｃによって、通信コネクションごとに測定された送受信メッセージ量を用いて、通信コネクション間の相関を算出する処理部である。具体的に説明すると、相関係数算出部１３ｄは、まず、通信コネクションの入出組合せをサーバごとに算出する。例えば、図２に示すサーバ２では、通信コネクションが３本確立されており（通信コネクション「Ａ」、「Ｂ」および「Ｃ」）、通信コネクションの入出組合せ、すなわち、サーバ２における通信コネクションの方向が「入」と「出」である組合せを算出すると、通信コネクション「Ａ」と通信コネクション「Ｂ」、および通信コネクション「Ａ」と通信コネクション「Ｃ」の二組が存在する。同様に、各サーバについて、通信コネクションの入出組合せを算出する。【００５３】
次に、相関係数算出部１３ｄは、各組合せについて通信コネクション間の相関を算出する。まず、相関係数算出部１３ｄは、メッセージ量記憶部１２ｃから所定時間内に送受信されたメッセージ量を通信コネクションごとに読み出す。【００５４】
そして、相関係数算出部１３ｄは、例えば、図４に示す場合を例に挙げるならば、通信コネクション「Ａ」を介して所定時間内にサーバ２に受信されたメッセージ量「Ａ１」と、通信コネクション「Ｂ」を介して所定時間内にサーバ２から送信されたメッセージ量「Ｂ１」との相関係数、および通信コネクション「Ｂ」を介して所定時間内にサーバ２に受信されたメッセージ量「Ｂ２」と、通信コネクション「Ａ」を介して所定時間内にサーバ２から送信されたメッセージ量「Ａ２」との相関係数をそれぞれ算出し、各相関係数の平均値を算出する。同様に、相関係数算出部１３ｄは、全てのサーバについて、通信メッセージ量の相関係数の平均値を算出して相関係数記憶部１２ｄに格納する。【００５５】
なお、相関係数算出部１３ｄは、メッセージ量記憶部１２ｃから送受信メッセージ量を読み出すための所定時間として、例えば、１秒間を設定する場合には、各サーバについて、１００ｍｓｅｃごとに測定された送受信メッセージを各通信コネクションについて１０個読み出して、読み出したこれらの送受信メッセージ量を用いて相関係数を算出するなど、メッセージ量記憶部１２ｃから送受信されたメッセージ量を通信コネクションごとに読み出す経過時間の設定を適宜変更して実施することができる。【００５６】
多階層システム決定部１３ｅは、相関係数算出部１３ｄにより算出された相関係数の平均値を用いて、相関の高い通信コネクション群を特定する処理部である。具体的に説明すると、まず、相関係数記憶部１２ｄから各通信コネクション間（例えば、コネクション１〜コネクション２）について算出された通信メッセージ量の相関係数の平均値を読み出す。次に、各通信コネクション間についてサーバごとに読み出した平均値を所定の閾値（例えば、「０．７５」）とそれぞれ比較して、その平均値が所定の閾値よりも大きい場合には、通信コネクション間の相関が高いものと判断する。同様に、全てのサーバについて通信コネクション間の相関を調査して、相関の高い通信コネクションの繋がりをおっていくことにより、相関の高い通信コネクション群を特定する（図９参照）。【００５７】
そして、多階層システム決定部１３ｅは、相関の高いコネクション群が確立されているサーバ群を特定し、特定された各サーバからなる多階層システムを決定する。具体的に説明すると、例えば、図１０に示すように、通信コネクション「１」と通信コネクション「２」との相関が高いと判断できる場合には、通信コネクション「１」および「２」が確立されているクライアント（接続要求メッセージの送信元サーバ）、サーバ１およびサーバ２を特定する。さらに、通信コネクション「Ｎ＋１」と通信コネクション「Ｎ＋３」との相関が高いと判断できる場合には、通信コネクション「Ｎ＋１」および「Ｎ＋３」が確立されているサーバ１、サーバ２およびサーバ３０を特定する。そして、特定された各サーバをマージすることにより、クライアント、サーバ１、サーバ２およびサーバ３０からなる多階層システムを決定する。【００５８】
［通信メッセージ分類装置の処理（実施例１）］
続いて、図１１および図１２を用いて、実施例１に係る通信メッセージ分類装置の処理を説明する。図１１は、実施例１に係る送受信メッセージ量測定処理の流れを示すフローチャートである。図１２は、実施例１に係る多階層システム決定処理の流れを示すフローチャートである。【００５９】
［送受信メッセージ量測定処理］
まず、図１１を用いて、実施例１に係る送受信メッセージ量測定処理の流れを説明する。同図に示すように、通信コネクション検出部１３ｂは、キャプチャデータ記憶部１２ａから記憶されている通信メッセージを順に読み出して、コネクション型の通信メッセージであるか否かを確認する（ステップＳ１１０１）。詳細には、取得した通信メッセージのヘッダ部を解析して、通信に使用されている通信プロトコル種別を確認して、コネクション型のプロトコル（例えば、ＴＣＰ／ＩＰ）を使用した通信メッセージであることを示す情報が格納されているか否かを確認する。【００６０】
確認の結果、コネクション型であると確認された場合には（ステップＳ１１０１肯定）、かかる通信メッセージについて、通信コネクション検出部１３ｂは、接続要求メッセージであるか否かをさらに確認する（ステップＳ１１０２）。詳細には、通信メッセージのヘッダ部を解析して、接続要求に関する通信メッセージであることを示すビット情報が格納されているか否かを確認する。【００６１】
確認の結果、接続要求メッセージである場合には（ステップＳ１１０２肯定）、通信コネクション検出部１３ｂは、その通信メッセージから送信元アドレス、宛先アドレス、送信元ポート番号および宛先ポート番号を抽出する（ステップＳ１１０３）。【００６２】
さらに、通信コネクション検出部１３ｂは、抽出した送信元アドレス、宛先アドレス、送信元ポート番号および宛先ポート番号に基づいて通信コネクションを特定するとともに、特定した通信コネクションの方向（通信コネクションの各サーバ装置における入出方向）を特定する（ステップＳ１１０４）。そして、通信コネクション検出部１３ｂは、各サーバに確立された各通信コネクションを特定する送信元アドレス、宛先アドレス、送信元ポート番号、および宛先ポート番号をサーバごとに通信コネクション情報記憶部１２ｂに格納する（図７参照）。【００６３】
そして、メッセージ量測定部１３ｃは、通信コネクション検出部１３ｂにより特定された通信コネクションごとに送受信メッセージ量を測定する（ステップＳ１１０５）。具体的に説明すると、メッセージ量測定部１３ｃは、キャプチャデータ記憶部１２ａに記憶されている通信メッセージの中から、通信コネクション検出部１３ｂにより特定された各通信コネクションに対応する通信メッセージを読み出して、所定の経過時間（例えば、１００ｍｓｅｃ）ごとに各通信コネクションを介して送受信される通信メッセージ量を測定する。そして、メッセージ量測定部１３ｃは、通信コネクション（例えば、通信コネクション１、２または３）および通信コネクションの方向（「入」または「出」）に対応づけて、送信メッセージ量および受信メッセージ量をサーバごとにメッセージ量記憶部１２ｃに記憶する。【００６４】
ここで、ステップＳ１１０２の説明に戻ると、コネクション型であると確認された通信メッセージが接続要求メッセージではない場合には（ステップＳ１１０２否定）、通信コネクション検出部１３ｂは、キャプチャデータ記憶部１２ａに記憶されている全ての通信メッセージについて、コネクション型のメッセージであるか否か確認済みであるか判断する（ステップＳ１１０６）。判断の結果、キャプチャデータ記憶部１２ａに記憶されている全ての通信メッセージについて、コネクション型のメッセージであるか否か確認済みである場合には（ステップＳ１１０６肯定）、メッセージ量測定部１３ｃによる送受信メッセージ量の測定に移行する。一方、キャプチャデータ記憶部１２ａに記憶されている全ての通信メッセージについて、コネクション型のメッセージであるか否か確認済みではない場合には（ステップＳ１１０６否定）、通信コネクション検出部１３ｂは、キャプチャデータ記憶部１２ａから次の通信メッセージを読み出す。【００６５】
［多階層システム決定処理］
次に、図１２を用いて、実施例１に係る多階層システム決定処理の流れを説明する。同図に示すように、相関係数算出部１３ｄは、まず、通信コネクションの入出組合せをサーバごとに算出する（ステップＳ１２０１）。例えば、図２に示すサーバ２では、通信コネクションが３本確立されており（通信コネクション「Ａ」、「Ｂ」および「Ｃ」）、通信コネクションの入出組合せ、すなわち、サーバ２における通信コネクションの方向が「入」と「出」である組合せを算出すると、通信コネクション「Ａ」と通信コネクション「Ｂ」、および通信コネクション「Ａ」と通信コネクション「Ｃ」の二組が存在する。同様に、各サーバについて、通信コネクションの入出組合せを算出する。【００６６】
次に、相関係数算出部１３ｄは、通信コネクションの入出組合せごとに、送受信メッセージ量の相関係数の平均値を算出する（ステップＳ１２０２）。具体的に説明すると、まず、メッセージ量記憶部１２ｃから所定の経過時間内に送受信されたメッセージ量を通信コネクションごとに読み出す。【００６７】
そして、相関係数算出部１３ｄは、例えば、図４に示す場合を例に挙げるならば、通信コネクション「Ａ」を介して所定の経過時間内にサーバ２に受信されたメッセージ量「Ａ１」と、通信コネクション「Ｂ」を介して所定の経過時間内にサーバ２から送信されたメッセージ量「Ｂ１」との相関係数、および通信コネクション「Ｂ」を介して所定の経過時間内にサーバ２に受信されたメッセージ量「Ｂ２」と、通信コネクション「Ａ」を介して所定の経過時間内にサーバ２から送信されたメッセージ量「Ａ２」との相関係数をそれぞれ算出し、各相関係数の平均値を算出する。同様に、相関係数算出部１３ｄは、全てのサーバについて、通信メッセージ量の相関係数の平均値を算出して相関係数記憶部１２ｄに格納する。【００６８】
続いて、多階層システム決定部１３ｅは、相関係数記憶部１２ｄから各通信コネクション間（例えば、コネクション１〜コネクション２）について算出された通信メッセージ量の相関係数の平均値を読み出す。次に、各通信コネクション間についてサーバごとに読み出した平均値を所定の閾値（例えば、「０．７５」）とそれぞれ比較して（ステップＳ１２０３）、その平均値が所定の閾値（０．７５）よりも大きい場合には、通信コネクション間の相関が高いものと判断する。全てのサーバについて通信コネクション間の相関を調査して、相関の高い通信コネクションの繋がりをおっていくことにより、相関の高い通信コネクション群を特定する（ステップＳ１２０４）。【００６９】
そして、多階層システム決定部１３ｅは、相関の高いコネクション群が確立されているサーバ群を特定し（ステップＳ１２０５）、特定された各サーバからなる多階層システムを決定する（ステップＳ１２０６）。【００７０】
具体的に説明すると、例えば、図１０に示すように、通信コネクション「１」と通信コネクション「２」との相関が高いと判断できる場合には、通信コネクション「１」および「２」が確立されているクライアント（接続要求メッセージの送信元サーバ）、サーバ１およびサーバ２を特定する。さらに、通信コネクション「Ｎ＋１」と通信コネクション「Ｎ＋３」との相関が高いと判断できる場合には、通信コネクション「Ｎ＋１」および「Ｎ＋３」が確立されているサーバ１、サーバ２およびサーバ３０を特定する。そして、特定された各サーバをマージすることにより、クライアント、サーバ１、サーバ２およびサーバ３０からなる多階層システムを決定する。【００７１】
［実施例１による効果］
上述してきたように、実施例１によれば、ネットワークから取得したコネクション型の各通信メッセージについて、送信元アドレス、送信先アドレス、送信先ポート番号および送信元ポート番号を抽出し、抽出された送信元アドレス、送信先アドレス、送信元ポート番号および送信元ポート番号に基づいて、サーバ装置間にそれぞれ確立された各通信コネクションを特定するとともに、通信コネクションの各々に対応する接続要求メッセージの送信方向からコネクション方向をそれぞれ特定し、特定された通信コネクションごとに、所定の単位時間内に送受信される送受信メッセージ量をそれぞれ測定し、測定された送受信メッセージ量を通信コネクションおよびコネクション方向に対応付けて記憶部にそれぞれ記憶し、記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、通信コネクション間で送受信される送受信メッセージ量を用いて、通信コネクション間の相関関係を算出し、算出された相関関係の強い通信コネクション群に接続されているサーバ装置をそれぞれ特定し、特定された各サーバ装置で構成されるシステムを多階層システムとして特定するので、多階層システムを特定するために困難な作業を要することなく、多階層システムをリアルタイムかつ簡易に特定することが可能である。【００７２】
また、本発明によれば、サーバ装置ごとに記憶部に記憶された各送受信メッセージ量から、所定時間内に記憶された各送受信メッセージ量を通信コネクションごとに抽出し、各サーバ装置における通信コネクションの入出組合せごとに、通信コネクション間で送受信される送受信メッセージ量間の相関係数の平均値をそれぞれ算出し、サーバ装置ごとに算出された相関係数の平均値について、所定の閾値を超えているか否かを判定し、平均値が所定の閾値を越えていると判定された通信コネクション間の相関関係は高いものと判断し、相関関係が高いものと判断された通信コネクションが確立されているサーバ装置をそれぞれ特定し、特定された各サーバ装置で構成されるシステムを多階層システムとして特定するので、ネットワーク上を流れる通信メッセージのメッセージ量を用いて算出した相関係数から通信コネクション間の相関関係を簡易に求めることができ、多階層システムを効率的に特定することが可能である。
【実施例２】
【００７３】
上記の実施例１において、決定された多階層システムに基づいて、通信メッセージを分類するための分類テーブルを作成し、作成した分類テーブルを用いて、ネットワークから取得した通信メッセージを多階層システムごとに分類するようにしてもよい。そこで、以下では、実施例２に係る通信メッセージ分類装置の構成および処理を順に説明し、最後に実施例２による効果を説明する。【００７４】
［通信メッセージ分類装置の構成（実施例２）］
まず、図１３および図１４を用いて、実施例２に係る通信メッセージ分類装置の構成を説明する。図１３は、実施例２に係る通信メッセージ分類装置の構成を示すブロック図である。図１４は、実施例２に係る分類テーブルの構成例を示す図である。実施例２に係る通信メッセージ分類装置は、実施例１に係る通信メッセージ分類装置と以下に説明する点が異なる。【００７５】
すなわち、記憶部１２の分類テーブル記憶部１２ｅは、後述する分類テーブル作成部１３ｆにより作成された分類テーブルを記憶する記憶部である。具体的には、図１４に示すように、多階層システムを構成する各通信コネクションについての情報、つまり、送信元アドレス、送信元ポート番号、宛先アドレスおよび宛先ポート番号を多階層システムごとに記憶して構成される。【００７６】
また、記憶部１２の分類データ記憶部１２ｆは、後述するメッセージ分類部１３ｇによって多階層システムごとに分類された通信メッセージを記憶する記憶部である。【００７７】
制御部１３の分類テーブル作成部１３ｆは、多階層システム決定部１３ｅにより決定された多階層システムに基づいて、メッセージ取得部１３ａにより取得された通信メッセージを多階層システムごとに分類するための分類テーブルを作成する処理部である。【００７８】
具体的に説明すると、分類テーブル作成部１３ｆは、多階層システム決定部１３ｅによって決定された多階層システムごとに、各多階層システムを構成するサーバ間に確立されている通信コネクションを抽出する。次に、抽出した通信コネクションに対応する情報を通信コネクション情報記憶部１２ｂから読み出して、各通信コネクションについて送信元アドレス、送信元ポート番号、宛先アドレスおよび宛先ポート番号を抽出する。そして、多階層システムを構成する各通信コネクションについての送信元アドレス、送信元ポート番号、宛先アドレスおよび宛先ポート番号を整理することにより多階層システムごとの分類テーブルを作成し、分類テーブル記憶部１２ｅに格納する。【００７９】
また、制御部１３のメッセージ分類部１３ｇは、メッセージ取得部１３ａにより取得された通信メッセージを多階層システムごとに分類して格納する処理部である。具体的に説明すると、メッセージ分類部１３ｇは、分類テーブル記憶部１２ｅから各多階層システムの分類テーブルを読み出して、フィルタリングルールとして適用する。次に、メッセージ取得部１３ａによる通信メッセージの取得を監視する。そして、メッセージ取得部１３ａにより通信メッセージが取得された場合には、取得された通信メッセージをフィルタリングルールにあてはめて多階層システムごとに分類し、分類データ記憶部１２ｆに格納する。【００８０】
［通信メッセージ分類装置の処理（実施例２）］
続いて、図１５および図１６を用いて、実施例２に係る通信メッセージ分類装置の処理を説明する。図１５は、実施例２に係る分類テーブル作成処理の流れを示すフローチャートである。図１６は、実施例２に係る通信メッセージ分類処理の流れを示すフローチャートである。【００８１】
［分類テーブル作成処理］
まず、図１５を用いて、実施例２に係る分類テーブル作成処理の流れを説明する。同図に示すように、分類テーブル作成部１３ｆは、多階層ステム決定部１３ｅによって決定された多階層システムごとに、各多階層システムを構成するサーバ間に確立されている通信コネクションを抽出する（ステップＳ１５０１）。【００８２】
次に、分類テーブル作成部１３ｆは、抽出した通信コネクションに対応する情報を通信コネクション情報記憶部１２ｂから読み出して、各通信コネクションについて送信元アドレス、送信元ポート番号、宛先アドレスおよび宛先ポート番号を抽出する（ステップＳ１５０２）。そして、多階層システムを構成する各通信コネクションについての送信元アドレス、送信元ポート番号、宛先アドレスおよび宛先ポート番号を整理することにより多階層システムごとの分類テーブルを作成し（ステップＳ１５０３）、分類テーブル記憶部１２ｅに格納する。【００８３】
［通信メッセージ分類処理］
次に、図１６を用いて、実施例２に係る通信メッセージ分類処理の流れを説明する。同図に示すように、メッセージ分類部１３ｇは、分類テーブル記憶部１２ｅから各多階層システムの分類テーブルを読み出して、フィルタリングルールとして適用する（ステップＳ（ステップＳ１６０１）。次に、メッセージ取得部１３ａによる通信メッセージの取得を監視する（ステップＳ１６０２）。そして、メッセージ取得部１３ａにより通信メッセージが取得された場合には（ステップＳ１６０２肯定）、メッセージ取得部１３ａにより取得された通信メッセージをフィルタリングルールにあてはめて多階層システムごとに分類し、分類データ記憶部１２ｆに格納する（ステップＳ１６０３）。【００８４】
［実施例２による効果］
上述してきたように、実施例２によれば、特定された多階層システムごとに、多階層システムを構成するサーバ間に確立された各通信コネクションと、各通信コネクションにそれぞれ対応する送信元アドレス、送信先アドレス、送信先ポート番号および送信元ポート番号とからなる通信メッセージ分類テーブルを作成し、作成された通信メッセージ分類テーブルを記憶部に記憶し、記憶部に記憶されている通信メッセージ分類テーブルを用いて、ネットワークを流れる通信メッセージの中から多階層システムに関する通信メッセージを分類するので、多階層システムに関係のない通信メッセージを破棄して負荷を低減させることができるとともに、多階層システムに関する通信メッセージを分類して蓄積しておくことが可能である。【００８５】
なお、上記の実施例２では、通信メッセージを取得するごとに、フィルタリングルールにあてはめて通信メッセージを分類する場合を説明したが、本発明はこれに限定されるものではなく、取得した通信メッセージをある程度蓄積した後に、蓄積した通信メッセージを分類するようにしてもよい。【００８６】
また、上記の実施例１で説明したように、取得した通信メッセージから多階層システムが決定されるまでの間は取得した通信メッセージを蓄積しておいて、多階層システムが決定された後には、蓄積した通信メッセージを分類するようにしてもよい。あるいは、継続的に通信メッセージを蓄積しておいて、定期的に多階層システムの見直しを行い、最新の多階層システムの状況に応じて、通信メッセージを分類するようにしてもよい。
【実施例３】
【００８７】
さて、これまで本発明の実施例１および実施例２について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。【００８８】
（１）サーバ間に負荷分散機能が採用されている場合の多階層システムの決定
例えば、サーバ間に負荷分散機能が採用されている場合を想定して、各送受信メッセージ量を所定の経過時間ごとに各通信コネクションについて抽出して、通信コネクション間で送受信される送受信メッセージ量の相関係数の平均値をそれぞれ算出し、その都度、所定の閾値を超えているか否かを判定し、一定期間内において、相関係数の平均値が所定の閾値を越えていると判定された通信コネクション間の相関関係は高いものと判断し、相関関係が高いものと判断された通信コネクションが確立されているサーバをそれぞれ特定し、特定された各サーバ装置で構成されるシステムを多階層システムとして特定するようにしてもよい。【００８９】
例えば、図１７に示すように、一定期間内において、相関係数の平均値が所定の閾値を越えていると判定された通信コネクションＡＢ間、通信コネクションＡＣ間および通信コネクションＡＤ間の相関関係は高いものと判断して、サーバ１００、サーバ２００およびサーバ３００からなるシステム、サーバ１００、サーバ２００およびサーバ４００からなるシステム、サーバ１００、サーバ２００およびサーバ５００からなるシステムをそれぞれ多階層システムとして特定する。【００９０】
このようなことから、多階層システムを構成するサーバ間に負荷分散機能が採用されている場合であっても、同一の通信コネクション群から特定されるサーバ装置によって多階層システムを特定することが可能である。【００９１】
（２）装置構成等
また、図６または図１３に示した通信メッセージ分類装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各通信メッセージ分類装置の分散・統合の具体的形態は図示のものに限られず、例えば、通信コネクション検出部１３ｂとメッセージ量測定部１３ｃとを統合し、あるいは、多階層システム決定部１３ｅと分類テーブル作成部１３ｆとを統合するなど、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各通信メッセージ分類装置にて行なわれる各処理機能（送受信メッセージ量測定機能、多階層システム決定機能、分類テーブル作成機能および通信メッセージ分類機能等）は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。【００９２】
（３）通信メッセージ分類プログラム
ところで、上記の実施例で説明した各種の処理（図１１、図１２、図１５および図１６等参照）は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータシステムで実行することによって実現することができる。そこで、以下では、図１８を用いて、上記の実施例と同様の機能を有する通信メッセージ分類プログラムを実行するコンピュータの一例を説明する。図１８は、通信メッセージ分類プログラムを実行するコンピュータを示す図である。【００９３】
同図に示すように、通信メッセージ分類装置としてのコンピュータ２０は、通信制御Ｉ／Ｆ部２１、ＨＤＤ２２、ＲＡＭ２３、ＲＯＭ２４およびＣＰＵ２５をバス３０で接続して構成される。【００９４】
そして、ＲＯＭ２４には、上記の実施例に示した通信メッセージ分類装置と同様の機能を発揮するプログラム、つまり、図１８に示すように、通信メッセージ分類プログラム２４ａがあらかじめ記憶されている。なお、このプログラム２４ａについては、図６または図１３に示した通信メッセージ分類装置の各構成要素と同様、適宜統合または分散してもよい。なお、ＲＯＭ２４は、不揮発性の「ＲＡＭ」でもよい。【００９５】
そして、ＣＰＵ２５が、このプログラム２４ａをＲＯＭ２４から読み出して実行することで、図１８に示すように、プログラム２４ａは、通信メッセージ分類プロセス２５ａとして機能するようになる。なお、プロセス２５ａは、図６または図１３に示した通信メッセージ分類装置のメッセージ取得部１３ａ、通信コネクション検出部１３ｂと、メッセージ量測定部１３ｃと、相関係数算出部１３ｄと、多階層システム決定部１３ｅと、分類テーブル作成部１３ｆと、メッセージ分類部１３ｇとにそれぞれ対応する。【００９６】
また、ＨＤＤ２２には、図１８に示すように、多階層システム決定関連データテーブル２２ａおよび通信メッセージ分類関連データテーブル２２ｂがそれぞれ設けられる。なお、多階層システム決定関連データテーブル２２ａおよび通信メッセージ分類関連データテーブル２２ｂは、図６または図１３に示したキャプチャデータ記憶部１２ａと、通信コネクション情報記憶部１２ｂと、メッセージ量記憶部１２ｃと、相関係数記憶部１２ｄと、分類テーブル記憶部１２ｅと、分類データ記憶部１２ｆとにそれぞれ対応する。そして、ＣＰＵ２５は、多階層システム決定関連データテーブル２２ａおよび通信メッセージ分類関連データテーブル２２ｂから、多階層システム決定関連データ２３ａおよび通信メッセージ分類関連データ２３ｂをそれぞれ読み出してＲＡＭ２３に格納し、ＲＡＭ２３に格納された多階層システム決定関連データ２３ａおよび通信メッセージ分類関連データ２３ｂに基づいて処理を実行する。【００９７】
なお、上記したプログラム２４ａについては、必ずしも最初からＲＯＭ２４に記憶させておく必要はなく、例えば、コンピュータ２０に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、または、コンピュータ２０の内外に備えられるＨＤＤなどの「固定用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ２０に接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶させておき、コンピュータ２０がこれらから各プログラムを読み出して実行するようにしてもよい。
【産業上の利用可能性】
【００９８】
以上のように、本発明に係る通信メッセージ分類プログラム、通信メッセージ分類方法および通信メッセージ分類装置は、一連の通信メッセージ群がやり取りされる複数のサーバ装置で構成された多階層システムに関する通信メッセージを、ネットワークから取得した各通信メッセージの中から分類する処理をコンピュータに実行させる場合等に有用であり、特に、多階層システムを特定するために困難な作業を要することなく、多階層システムをリアルタイムかつ簡易に特定することに適する。
【図１】
2009011063.tif 000003
【図２】
2009011063.tif 000004
【図３】
2009011063.tif 000005
【図４】
2009011063.tif 000006
【図５】
2009011063.tif 000007
【図６】
2009011063.tif 000008
【図７】
2009011063.tif 000009
【図８】
2009011063.tif 000010
【図９】
2009011063.tif 000011
【図１０】
2009011063.tif 000012
【図１１】
2009011063.tif 000013
【図１２】
2009011063.tif 000014
【図１３】
2009011063.tif 000015
【図１４】
2009011063.tif 000016
【図１５】
2009011063.tif 000017
【図１６】
2009011063.tif 000018
【図１７】
2009011063.tif 000019
【図１８】
2009011063.tif 000020
【図１９】
2009011063.tif 000021
【図２０】
2009011063.tif 000022
【国際調査報告】
2009011063.tif 000023
2009011063.tif 000024
2009011063.tif 000025