特許 7323782 パケット解析プログラム、パケット解析方法およびパケット解析装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-08-01

(45)【発行日】2023-08-09

(54)【発明の名称】パケット解析プログラム、パケット解析方法およびパケット解析装置

(51)【国際特許分類】

   H04L 43/0864 20220101AFI20230802BHJP

【ＦＩ】

H04L43/0864

【請求項の数】 11

(21)【出願番号】P 2019131130

(22)【出願日】2019-07-16

(65)【公開番号】P2021016133

(43)【公開日】2021-02-12

【審査請求日】2022-04-07

(73)【特許権者】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】110002918

【氏名又は名称】弁理士法人扶桑国際特許事務所

(72)【発明者】

【氏名】岡田 純代

(72)【発明者】

【氏名】上野 仁

(72)【発明者】

【氏名】飯塚 史之

(72)【発明者】

【氏名】荻原 一隆

(72)【発明者】

【氏名】李 忠翰

【審査官】羽岡 さやか

(56)【参考文献】

【文献】特開２００８－２８３６２１（ＪＰ，Ａ）

【文献】特開２０１２－０３９５６５（ＪＰ，Ａ）

【文献】特開２００５－１８４５８０（ＪＰ，Ａ）

【文献】特開２０１７－１３９５６７（ＪＰ，Ａ）

【文献】特開２０１２－１３４６１４（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４３／００－４３／５５

(57)【特許請求の範囲】

【請求項1】

コンピュータに、
第１の通信装置と第１のスイッチを経由して接続され、第２の通信装置と第２のスイッチを経由して接続されて、パケット通信の中継を行う中継装置に対して、
前記第１のスイッチを通じて前記第１の通信装置と前記中継装置とのパケット往復で発生する複数の第１の遅延時間を取得し、
前記第２のスイッチを通じて前記第１の通信装置と前記中継装置とのパケット往復で発生する複数の第２の遅延時間を取得し、
前記第１の遅延時間および前記第２の遅延時間の各々を遅延時間の大きさにもとづいてソートして、ソート後の順番が同じ前記第１の遅延時間と前記第２の遅延時間との差を求めるソート遅延算出によって装置遅延を算出する、
処理を実行させるパケット解析プログラム。

【請求項2】

前記処理は、所定期間で算出した前記装置遅延のうちから装置遅延最大値を検出して前記装置遅延最大値が所定閾値以上の出現頻度または割合が所定閾値以上になる場合、前記中継装置が過負荷状態にあることを検知する請求項１記載のパケット解析プログラム。

【請求項3】

前記処理は、
所定期間に取得した複数の前記第１の遅延時間の第１のばらつき状態、および前記所定期間に取得した複数の前記第２の遅延時間の第２のばらつき状態が特定ばらつき状態でない場合、前記ソート遅延算出によって前記装置遅延を算出し、
前記第１のばらつき状態および前記第２のばらつき状態が前記特定ばらつき状態である場合、複数の前記第１の遅延時間の第１の平均値と、複数の前記第２の遅延時間の第２の平均値との差を求める平均遅延算出によって前記装置遅延を算出する請求項１記載のパケット解析プログラム。

【請求項4】

前記処理は、
第１の時間で取得した複数の前記第１の遅延時間から複数の第１の最小値を検出して、前記第１の最小値のうちの最小値である第２の最小値を取得し、
前記第１の時間で取得した複数の前記第１の遅延時間から複数の第１の最大値を検出して、前記第１の最大値のうちの最大値である第２の最大値を取得し、
第２の時間で取得した複数の前記第１の遅延時間のうちの第３の最小値と、前記第２の時間で取得した複数の前記第１の遅延時間のうちの第３の最大値とが共に、前記第２の最小値から前記第２の最大値との間の範囲内に存在する場合、前記第１の時間から前記第２の時間までの前記所定期間において、前記第１のばらつき状態は、前記特定ばらつき状態であると判定する、
請求項３記載のパケット解析プログラム。

【請求項5】

前記処理は、
第１の時間で取得した複数の前記第１の遅延時間のうちの最小値と、前記第１の時間で取得した複数の前記第１の遅延時間のうちの最大値との差分値である複数の第１の差分値を算出し、
前記第１の差分値のうちの最大差分値を検出し、
第２の時間で取得した複数の前記第１の遅延時間のうちの最小値と、前記第２の時間で取得した複数の前記第１の遅延時間のうちの最大値との差分値である第２の差分値を算出し、
前記第２の差分値が前記最大差分値未満の場合、前記第１の時間から前記第２の時間までの前記所定期間において、前記第１のばらつき状態は、前記特定ばらつき状態であると判定する、
請求項３記載のパケット解析プログラム。

【請求項6】

前記処理は、
第１の時間で取得した複数の前記第１の遅延時間から第１の統計情報を算出し、
前記第１の統計情報のうちの最大値を検出し、
第２の時間で取得した複数の前記第１の遅延時間から第２の統計情報を算出し、
前記第２の統計情報が前記最大値未満の場合、前記第１の時間から前記第２の時間までの前記所定期間において、前記第１のばらつき状態は、前記特定ばらつき状態であると判定し、
前記第１の統計情報および前記第２の統計情報として、前記第１の遅延時間の分散または標準偏差を算出する、
請求項３記載のパケット解析プログラム。

【請求項7】

コンピュータが、
第１の通信装置と第１のスイッチを経由して接続され、第２の通信装置と第２のスイッチを経由して接続されて、パケット通信の中継を行う中継装置に対して、
前記第１のスイッチを通じて前記第１の通信装置と前記中継装置とのパケット往復で発生する複数の第１の遅延時間を取得し、
前記第２のスイッチを通じて前記第１の通信装置と前記中継装置とのパケット往復で発生する複数の第２の遅延時間を取得し、
前記第１の遅延時間および前記第２の遅延時間の各々を遅延時間の大きさにもとづいてソートして、ソート後の順番が同じ前記第１の遅延時間と前記第２の遅延時間との差を求めるソート遅延算出によって装置遅延を算出する、
パケット解析方法。

【請求項8】

第１の通信装置と第１のスイッチを経由して接続され、第２の通信装置と第２のスイッチを経由して接続されて、パケット通信の中継を行う中継装置に対して、前記第１のスイッチを通じて前記第１の通信装置と前記中継装置とのパケット往復で発生する複数の第１の遅延時間を取得し、前記第２のスイッチを通じて前記第１の通信装置と前記中継装置とのパケット往復で発生する複数の第２の遅延時間とを取得し、前記第１の遅延時間および前記第２の遅延時間の各々を遅延時間の大きさにもとづいてソートして、ソート後の順番が同じ前記第１の遅延時間と前記第２の遅延時間との差を求めるソート遅延算出によって装置遅延を算出する制御部、
を有するパケット解析装置。

【請求項9】

前記処理は、
第１の時間で取得した複数の前記第２の遅延時間から複数の第１の最小値を検出して、前記第１の最小値のうちの最小値である第２の最小値を取得し、
前記第１の時間で取得した複数の前記第２の遅延時間から複数の第１の最大値を検出して、前記第１の最大値のうちの最大値である第２の最大値を取得し、
第２の時間で取得した複数の前記第２の遅延時間のうちの第３の最小値と、前記第２の時間で取得した複数の前記第２の遅延時間のうちの第３の最大値とが共に、前記第２の最小値から前記第２の最大値との間の範囲内に存在する場合、前記第１の時間から前記第２の時間までの前記所定期間において、前記第２のばらつき状態は、前記特定ばらつき状態であると判定する、
請求項３記載のパケット解析プログラム。

【請求項10】

前記処理は、
第１の時間で取得した複数の前記第２の遅延時間のうちの最小値と、前記第１の時間で取得した複数の前記第２の遅延時間のうちの最大値との差分値である複数の第１の差分値を算出し、
前記第１の差分値のうちの最大差分値を検出し、
第２の時間で取得した複数の前記第２の遅延時間のうちの最小値と、前記第２の時間で取得した複数の前記第２の遅延時間のうちの最大値との差分値である第２の差分値を算出し、
前記第２の差分値が前記最大差分値未満の場合、前記第１の時間から前記第２の時間までの前記所定期間において、前記第２のばらつき状態は、前記特定ばらつき状態であると判定する、
請求項３記載のパケット解析プログラム。

【請求項11】

前記処理は、
第１の時間で取得した複数の前記第２の遅延時間から第１の統計情報を算出し、
前記第１の統計情報のうちの最大値を検出し、
第２の時間で取得した複数の前記第２の遅延時間から第２の統計情報を算出し、
前記第２の統計情報が前記最大値未満の場合、前記第１の時間から前記第２の時間までの前記所定期間において、前記第２のばらつき状態は、前記特定ばらつき状態であると判定し、
前記第１の統計情報および前記第２の統計情報として、前記第２の遅延時間の分散または標準偏差を算出する、
請求項３記載のパケット解析プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、パケット解析プログラム、パケット解析方法およびパケット解析装置に関する。

【背景技術】

【0002】

通信ネットワークのセキュリティ対策の１つにファイアウォール（ＦＷ：Firewall）装置が利用されている。ファイアウォール装置は、パケット中継点に設置されてパケット監視を行うことで、ウイルス感染による内部ネットワークからのデータ漏洩や、外部ネットワークからのウイルスファイルの転送による攻撃等を検知して遮断する。

【0003】

パケット監視に関連する技術としては、例えば、プローブから提供されたパケット情報および識別情報にもとづき、パケットが伝送された情報処理システムを識別してパケットの処理遅延を監視する技術が提案されている。また、装置間の通信に係る特性値を算出し、特性値の正常性を判定することによって、装置間の通信品質の劣化原因箇所を推定する技術が提案されている。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０１５－７６７８０号公報

【文献】特開２０１４－１７９９３８号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかし、ファイアウォール装置は、上記のような防御処理が原因で装置遅延が発生すると過負荷状態になる場合がある。ファイアウォール装置が過負荷状態のままの運用が続くと、正常な通信に対する通信品質が劣化する可能性がある。このため、ファイアウォール装置の装置遅延を精度よく算出できる技術が要望されている。

【0006】

１つの側面では、本発明は、装置遅延を精度よく算出することを目的とする。

【課題を解決するための手段】

【0007】

１つの案では、パケット解析プログラムが提供される。パケット解析プログラムは、コンピュータに、第１の通信装置と第１のスイッチを経由して接続され、第２の通信装置と第２のスイッチを経由して接続されて、パケット通信の中継を行う中継装置に対して、第１のスイッチを通じて第１の通信装置と中継装置とのパケット往復で発生する複数の第１の遅延時間を取得し、第２のスイッチを通じて第１の通信装置と中継装置とのパケット往復で発生する複数の第２の遅延時間を取得し、第１の遅延時間および第２の遅延時間の各々を遅延時間の大きさにもとづいてソートして、ソート後の順番が同じ第１の遅延時間と第２の遅延時間との差を求めるソート遅延算出によって装置遅延を算出する処理を実行させる。

【発明の効果】

【0008】

１側面によれば、装置遅延を精度よく算出することができる。

【図面の簡単な説明】

【0009】

【図1】第１の実施の形態のパケット解析システムの一例を説明するための図である。

【図2】第２の実施の形態のパケット解析システムの一例を示す図である。

【図3】コネクションの対応付けの一例を説明するための図である。

【図4】コネクションの対応付けの一例を説明するための図である。

【図5】パケット解析装置のハードウェアの一例を示す図である。

【図6】パケット解析装置の機能ブロックの一例を示す図である。

【図7】ＦＷ遅延算出の一例を説明するための図である（ソート遅延算出）。

【図8】ＦＷ遅延算出の一例を説明するための図である（平均遅延算出）。

【図9】ばらつきが小さい場合のＦＷ遅延算出のシミュレーション結果を示す図である。

【図10】ばらつきが大きい場合のＦＷ遅延算出のシミュレーション結果を示す図である。

【図11】ばらつき判定処理の一例を説明するための図である。

【図12】ばらつき判定処理の一例を説明するための図である。

【図13】ばらつき判定処理の一例を説明するための図である。

【図14】ばらつき判定処理の一例を説明するための図である。

【図15】パケット解析装置の動作を示すフローチャートである。

【図16】ばらつき判定の動作を示すフローチャートである。

【図17】ばらつき判定の動作を示すフローチャートである。

【図18】ばらつき判定の動作を示すフローチャートである。

【図19】ばらつき判定の動作を示すフローチャートである。

【図20】ＦＷ遅延算出期間の一例を示す図である。

【図21】過負荷判定期間の一例を示す図である。

【発明を実施するための形態】

【0010】

以下、本実施の形態について図面を参照して説明する。
［第１の実施の形態］
第１の実施の形態について図１を用いて説明する。図１は、第１の実施の形態のパケット解析システムの一例を説明するための図である。パケット解析システム１－１は、通信装置２、３、中継装置４、スイッチｓｗ１、ｓｗ２およびパケット解析装置１を備える。

【0011】

中継装置４は、通信装置２、３のパケット通信の中継を行う。また、通信装置２と中継装置４との伝送路上にはスイッチｓｗ１が設けられ、通信装置３と中継装置４との伝送路上にはスイッチｓｗ２が設けられている。パケット解析装置１は、スイッチｓｗ１、ｓｗ２に接続されており、スイッチｓｗ１、ｓｗ２を通じて中継装置４を流れるパケットを取得してパケット解析を行う。

【0012】

パケット解析装置１は、制御部１ａと記憶部１ｂを備える。制御部１ａは、通信装置２と中継装置４とのパケット往復で発生する第１の遅延時間と、通信装置３と中継装置４とのパケット往復で発生する第２の遅延時間とを取得する。第１、第２の遅延時間は、例えば、信号を発してから応答が返って来るまでの時間であるＲＴＴ（Round-Trip Time）である。

【0013】

制御部１ａは、第１の遅延時間および第２の遅延時間の各々を遅延時間の大きさにもとづいてソートして、ソート後の順番が同じ第１の遅延時間と第２の遅延時間との差を求めるソート遅延算出によって装置遅延を算出する。記憶部１ｂは、取得した遅延時間や遅延算出結果等のパケット解析に関するデータを記憶する。

【0014】

図１に示す例を用いて動作の流れを説明する。
〔ステップＳ１〕中継装置４の装置遅延が、以下のステップＳ１ａからステップＳ１ｆの動作または処理を通じて算出される。

【0015】

〔ステップＳ１ａ〕通信装置３は、パケットを送信する。パケットは、スイッチｓｗ２を介して中継装置４へ送信される。
〔ステップＳ１ｂ〕中継装置４は、パケットを受信するとパケットを中継送信する。パケットは、スイッチｓｗ１を介して通信装置２へ送信される。

【0016】

〔ステップＳ１ｃ〕パケットを正常受信した通信装置２は、ＡＣＫ（ＡＣＫパケット）を送信する。ＡＣＫは、スイッチｓｗ１を介して中継装置４へ送信される。
〔ステップＳ１ｄ〕中継装置４は、ＡＣＫを受信するとＡＣＫを中継送信する。ＡＣＫは、スイッチｓｗ２を介して通信装置３へ送信される。

【0017】

〔ステップＳ１ｅ〕制御部１ａは、スイッチｓｗ１を通じてパケットをキャプチャした時刻と、スイッチｓｗ１を通じてＡＣＫをキャプチャした時刻とにもとづいて、遅延時間ｔ１（第１の遅延時間）を取得する。遅延時間ｔ１は、中継装置４がパケットを受信してからＡＣＫを受信するまでのＲＴＴに相当する。

【0018】

〔ステップＳ１ｆ〕制御部１ａは、スイッチｓｗ２を通じてパケットをキャプチャした時刻と、スイッチｓｗ２を通じてＡＣＫをキャプチャした時刻とにもとづいて、遅延時間ｔ２（第２の遅延時間）を取得する。遅延時間ｔ２は、中継装置４がパケットを受信してからＡＣＫを受信するまでのＲＴＴに相当する。

【0019】

〔ステップＳ２〕ステップＳ１の処理によって、複数の遅延時間ｔ１および複数の遅延時間ｔ２が取得されたとする。制御部１ａは、遅延時間ｔ１をソートし、かつ遅延時間ｔ２をソートする。

【0020】

〔ステップＳ３〕制御部１ａは、ソート後の順番が同じ遅延時間ｔ１と遅延時間ｔ２との差を求めるソート遅延算出によって装置遅延Ｔを算出する。
例えば、制御部１ａは、遅延時間ｔ１を小さい順にソートし、かつ遅延時間ｔ２を小さい順にソートして、ソート後の順番が同じ遅延時間ｔ１と遅延時間ｔ２との差を求めて装置遅延Ｔを算出する。

【0021】

このように、パケット解析装置１では、中継装置４の前後でキャプチャしたパケットから、通信装置２と中継装置４間で生じる遅延時間ｔ１と、通信装置３と中継装置４間で生じる遅延時間ｔ２とを取得する。そして、取得した遅延時間ｔ１、ｔ２をそれぞれソートし、ソート後の順番が同じ遅延時間ｔ１、ｔ２との差を求めて装置遅延を算出する。

【0022】

このような制御によって、パケット解析装置１は、後述するコネクションの対応付けを不要にして、中継装置４で生じる装置遅延を、コネクションの対応付けを行った場合と比較して劣ることなく精度よく算出することができる。

【0023】

［第２の実施の形態］
次に第２の実施の形態について説明する。第２の実施の形態は、中継装置をファイアウォール装置（以下、ＦＷ装置と表記）とし、ＦＷ装置で生じる遅延にもとづきＦＷ装置の過負荷状態を検知するものである。なお、以降では、ＦＷ装置に生じる遅延をＦＷ遅延と呼ぶ場合がある。

【0024】

＜システム構成＞
図２は、第２の実施の形態のパケット解析システムの一例を示す図である。パケット解析システム１－２は、ホストａ１、・・・、ａ６、ホストｂ１、・・・、ｂ３、アクセス網２ａ、コア網２ｂ、スイッチｓｗ１、ｓｗ２、インターネット３ａ、ＦＷ装置４０およびパケット解析装置１０を備える。

【0025】

イントラネット側には、ホストａ１、・・・、ａ６、アクセス網２ａ、コア網２ｂ、スイッチｓｗ１が位置し、インターネット側には、スイッチｓｗ２、インターネット３ａおよびホストｂ１、・・・、ｂ３が位置する。

【0026】

各拠点２１、・・・、２３は、アクセス網２ａに接続され、拠点２１にはホストａ１、ａ２が存在し、拠点２２にはホストａ３、ａ４が存在し、拠点２３にはホストａ５、ａ６が存在する。

【0027】

コア網２ｂは、アクセス網２ａおよびスイッチｓｗ１に接続される。インターネット３ａは、ホストｂ１、・・・、ｂ３およびスイッチｓｗ２に接続される。ＦＷ装置４０およびパケット解析装置１０は、スイッチｓｗ１、ｓｗ２に接続される。

【0028】

パケット解析装置１０は、イントラネット側からＦＷ装置４０へ流れるパケットを、スイッチｓｗ１を介して取得する。同様にして、インターネット側からＦＷ装置４０へ流れるパケットを、スイッチｓｗ２を介して取得する。そして、パケット解析装置１０は、取得したパケットにもとづいて、ＦＷ装置４０に生じるＦＷ遅延を算出する。

【0029】

＜コネクション毎のＦＷ遅延＞
ＦＷ遅延を求める場合、ＦＷ装置４０の前後でキャプチャしたパケットのタイムスタンプでＦＷ遅延を算出すると、計算量が膨大になるため実用的ではない。このため、コネクション毎にＦＷ遅延を算出する手法が考えられる。この場合、ＦＷ装置４０の前段に存在するコネクションと、ＦＷ装置４０の後段に存在するコネクションとの対応付けが求められる。

【0030】

図３は、コネクションの対応付けの一例を説明するための図である。１台のイントラネット側ホストと、１台のインターネット側ホストとが１対１で通信する場合（単一コネクションの場合）を示している。

【0031】

通常、コネクションの対応関係は、ソース側のＩＰアドレス／ポート番号と、デスティネーション側のＩＰアドレス／ポート番号とによって対応付けられる。また、ＦＷ装置４０においては、イントラネット側ホストのＩＰアドレス／ポート番号のＮＡＰＴ（Network Address Port Translation）変換が行われる。

【0032】

ここで、スイッチｓｗ１でキャプチャされたパケットｐ１、ｐ２、ｐ３において、パケットｐ１のイントラネット側ホストのＩＰアドレス／ポート番号は（ａ：１）であり、インターネット側ホストのＩＰアドレス／ポート番号は（Ｘ：１００）である。

【0033】

また、パケットｐ２は、イントラネット側ホストのＩＰアドレス／ポート番号は（ａ：２）であり、インターネット側ホストのＩＰアドレス／ポート番号は（Ｙ：２００）である。さらに、パケットｐ３は、イントラネット側ホストのＩＰアドレス／ポート番号は（ｂ：１０１）であり、インターネット側ホストのＩＰアドレス／ポート番号は（Ｚ：３００）である。

【0034】

一方、パケットｐ１、ｐ２、ｐ３は、ＦＷ装置４０によってイントラネット側ホストのＩＰアドレス／ポート番号がＮＡＰＴ変換される。ＮＡＰＴ変換後にスイッチｓｗ２でキャプチャされたパケットｐａは、イントラネット側ホストのＩＰアドレス／ポート番号は（Ｐ：１１１）に変換され、インターネット側ホストのＩＰアドレス／ポート番号は変わらずに（Ｘ：１００）である。

【0035】

また、ＮＡＰＴ変換後にスイッチｓｗ２でキャプチャされたパケットｐｂは、イントラネット側ホストのＩＰアドレス／ポート番号は（Ｐ：１１２）に変換され、インターネット側ホストのＩＰアドレス／ポート番号は変わらずに（Ｙ：２００）である。

【0036】

さらに、ＮＡＰＴ変換後にスイッチｓｗ２でキャプチャされたパケットｐｃは、イントラネット側ホストのＩＰアドレス／ポート番号は（Ｑ：５０１）に変換され、インターネット側ホストのＩＰアドレス／ポート番号は変わらずに（Ｚ：３００）である。

【0037】

ここで、イントラネット側ホストと、インターネット側ホストとの間に１つのコネクションが設定されている場合、インターネット側ホストのＩＰアドレス／ポート番号は異なる。すなわち、パケットｐａ、ｐｂ、ｐｃそれぞれのインターネット側ホストのＩＰアドレス／ポート番号は互いに異なる。

【0038】

このため、パケットｐ１のインターネット側ホストのＩＰアドレス／ポート番号（Ｘ：１００）に一致するのは、パケットｐａに確定する。よって、パケットｐ１が流れるイントラネット側のコネクションと、パケットｐａが流れるインターネット側のコネクションとが対応付けられる。

【0039】

また、パケットｐ２のインターネット側ホストのＩＰアドレス／ポート番号（Ｙ：２００）に一致するのは、パケットｐｂに確定する。よって、パケットｐ２が流れるイントラネット側のコネクションと、パケットｐｂが流れるインターネット側のコネクションとが対応付けられる。

【0040】

さらに、パケットｐ３のインターネット側ホストのＩＰアドレス／ポート番号（Ｚ：３００）に一致するのは、パケットｐｃに確定する。よって、パケットｐ３が流れるイントラネット側のコネクションと、パケットｐｃが流れるインターネット側のコネクションとが対応付けられる。

【0041】

このように、１台のイントラネット側ホストと、１台のインターネット側ホストとが通信する場合、イントラネット側のコネクションと、インターネット側のコネクションとは容易に対応付けが可能である。

【0042】

図４は、コネクションの対応付けの一例を説明するための図である。複数のイントラネット側ホストと、１台のインターネット側ホストとがｎ対１で通信する場合（複数コネクションの場合）を示している。

【0043】

スイッチｓｗ１でキャプチャされたパケットｐ１１、ｐ１２、ｐ１３において、パケットｐ１１のイントラネット側ホストのＩＰアドレス／ポート番号は（ａ：１）であり、インターネット側ホストのＩＰアドレス／ポート番号は（Ｘ：１００）である。

【0044】

また、パケットｐ１２は、イントラネット側ホストのＩＰアドレス／ポート番号は（ａ：２）であり、インターネット側ホストのＩＰアドレス／ポート番号は（Ｘ：１００）である。さらに、パケットｐ１３は、イントラネット側ホストのＩＰアドレス／ポート番号は（ｂ：１０１）であり、インターネット側ホストのＩＰアドレス／ポート番号は（Ｘ：１００）である。

【0045】

一方、パケットｐ１１、ｐ１２、ｐ１３は、ＦＷ装置４０によってイントラネット側ホストのＩＰアドレス／ポート番号がＮＡＰＴ変換される。ＮＡＰＴ変換後にスイッチｓｗ２でキャプチャされたパケットｐＡは、イントラネット側ホストのＩＰアドレス／ポート番号は（Ｐ：１１１）に変換され、インターネット側ホストのＩＰアドレス／ポート番号は変わらずに（Ｘ：１００）である。

【0046】

また、ＮＡＰＴ変換後にスイッチｓｗ２でキャプチャされたパケットｐＢは、イントラネット側ホストのＩＰアドレス／ポート番号は（Ｐ：１１２）に変換され、インターネット側ホストのＩＰアドレス／ポート番号は変わらずに（Ｘ：１００）である。

【0047】

さらに、ＮＡＰＴ変換後にスイッチｓｗ２でキャプチャされたパケットｐＣは、イントラネット側ホストのＩＰアドレス／ポート番号は（Ｑ：５０１）に変換され、インターネット側ホストのＩＰアドレス／ポート番号は変わらずに（Ｘ：１００）である。

【0048】

ここで、複数のイントラネット側ホストが、１台のインターネット側ホストにアクセスする場合、インターネット側ホストのＩＰアドレス／ポート番号は同じになる。すなわち、パケットｐＡ、ｐＢ、ｐＣそれぞれのインターネット側ホストのＩＰアドレス／ポート番号は同じ（Ｘ：１００）である。

【0049】

このため、パケットｐ１１のインターネット側ホストのＩＰアドレス／ポート番号（Ｘ：１００）に一致するものは、パケットｐＡ、ｐＢ、ｐＣがあり確定しない。このため、パケットｐ１１が流れるイントラネット側のコネクションに対応するインターネット側のコネクションは、パケットｐＡ、ｐＢ、ｐＣのどれが流れるコネクションなのかが対応付けることが困難である。パケットｐ１２、ｐ１３についても同様のことがいえる。

【0050】

このように、ＦＷ装置４０ではイントラネット側ホストのＩＰアドレス／ポート番号がＮＡＰＴ変換されるので、図４に示すような複数コネクションの場合では、ＦＷ装置４０の前段と後段とでコネクションの対応付けが困難である。

【0051】

ここで、コネクション毎にＦＷ遅延を算出する場合、図４に示すような状態では、対応が付かないパケットを排除してＦＷ装置４０の遅延を算出することが考えられる。しかし、このような算出手法では少ないデータでの算出になるため誤差が生じ、また、多くのデータを収集しようとすると、ＦＷ遅延の算出までに時間がかかるという問題がある。

【0052】

本発明ではこのような点に鑑みてなされたものであり、コネクションの対応付けを行わずに、ＦＷ装置４０で発生するＦＷ遅延を効率よく算出し、さらに過負荷状態を精度よく検知するものである。

【0053】

＜ハードウェア＞
次に第２の実施の形態の構成および動作について以降詳しく説明する。図５は、パケット解析装置のハードウェアの一例を示す図である。パケット解析装置１０は、プロセッサ１０１によって装置全体が制御されている。プロセッサ１０１には、バス１０９を介してメモリ１０２と複数の周辺機器が接続されている。プロセッサ１０１は、マルチプロセッサであってもよい。

【0054】

プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、またはＤＳＰ（Digital Signal Processor）である。プロセッサ１０１の機能の少なくとも一部を、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）などの電子回路で実現してもよい。

【0055】

メモリ１０２は、パケット解析装置１０の主記憶装置として使用される。メモリ１０２には、プロセッサ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１０２には、プロセッサ１０１による処理に必要な各種データが格納される。メモリ１０２としては、例えばＲＡＭ（Random Access Memory）などの揮発性の半導体記憶装置が使用される。

【0056】

バス１０９に接続されている周辺機器としては、ＨＤＤ（Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、光学ドライブ装置１０６、機器接続インタフェース１０７およびネットワークインタフェース１０８がある。

【0057】

ＨＤＤ１０３は、内蔵したディスクに対して、磁気的にデータの書き込みおよび読み出しを行う。ＨＤＤ１０３は、パケット解析装置１０の補助記憶装置として使用される。ＨＤＤ１０３には、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。なお補助記憶装置としては、フラッシュメモリなどの不揮発性の半導体記憶装置を使用することもできる。

【0058】

グラフィック処理装置１０４には、モニタ２０１が接続されている。グラフィック処理装置１０４は、プロセッサ１０１からの命令に従って、画像をモニタ２０１の画面に表示させる。モニタ２０１としては、ＣＲＴ（Cathode Ray Tube）を用いた表示装置や液晶表示装置などがある。

【0059】

入力インタフェース１０５には、キーボード２０２とマウス２０３とが接続されている。入力インタフェース１０５は、キーボード２０２やマウス２０３から送られてくる信号をプロセッサ１０１に送信する。

【0060】

なお、マウス２０３はポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。

【0061】

光学ドライブ装置１０６は、レーザ光などを利用して、光ディスク２０４に記録されたデータの読み取りを行う。光ディスク２０４は、光の反射によって読み取り可能なようにデータが記録された可搬型の記録媒体である。光ディスク２０４には、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（Re Writable）などがある。

【0062】

機器接続インタフェース１０７は、パケット解析装置１０に周辺機器を接続するための通信インタフェースである。例えば機器接続インタフェース１０７には、メモリ装置２０５やメモリリーダライタ２０６を接続することができる。メモリ装置２０５は、機器接続インタフェース１０７との通信機能を搭載した記録媒体である。メモリリーダライタ２０６は、メモリカード２０７へのデータの書き込み、またはメモリカード２０７からのデータの読み出しを行う装置である。メモリカード２０７は、カード型の記録媒体である。

【0063】

ネットワークインタフェース１０８は、ネットワーク１１０（無線ＬＡＮ（Local Area Network）を含む）に接続されている。ネットワークインタフェース１０８は、ネットワーク１１０を介して、他のコンピュータまたは通信機器との間でデータの送受信を行う。

【0064】

以上のようなハードウェア構成によって、第２の実施の形態の処理機能を実現することができる。なお、第１の実施の形態に示したパケット解析装置１も、図５に示したパケット解析装置１０と同様のハードウェアにより実現することができる。

【0065】

パケット解析装置１０は、例えばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、第２の実施の形態の処理機能を実現する。パケット解析装置１０に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。

【0066】

例えば、パケット解析装置１０に実行させるプログラムをＨＤＤ１０３に格納しておくことができる。プロセッサ１０１は、ＨＤＤ１０３内のプログラムの少なくとも一部をメモリ１０２にロードし、プログラムを実行する。またパケット解析装置１０に実行させるプログラムを、光ディスク２０４、メモリ装置２０５、メモリカード２０７などの可搬型記録媒体に記録しておくこともできる。

【0067】

可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１０１からの制御により、ＨＤＤ１０３にインストールされた後、実行可能となる。またプロセッサ１０１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。

【0068】

＜機能ブロック＞
図６は、パケット解析装置の機能ブロックの一例を示す図である。なお、以降では、遅延時間をＲＴＴと呼ぶ場合がある。パケット解析装置１０は、制御部１１、記憶部１２およびインタフェース部１３を備える。制御部１１は、ＲＴＴ測定部１１ａ、ばらつき判定部１１ｂ、ＦＷ遅延算出部１１ｃ、ＦＷ遅延最大値検出部１１ｄおよび過負荷検知部１１ｅを含む。

【0069】

ＲＴＴ測定部１１ａは、スイッチｓｗ１を通じてキャプチャしたパケットにもとづいて、イントラネット側ホストとＦＷ装置４０における遅延時間であるＲＴＴ１を測定する。また、ＲＴＴ測定部１１ａは、スイッチｓｗ２を通じてキャプチャしたパケットにもとづいて、インターネット側ホストとＦＷ装置４０とにおける遅延時間であるＲＴＴ２を測定する。

【0070】

ばらつき判定部１１ｂは、所定期間に取得したＲＴＴ１の第１のばらつき状態、および所定期間に取得したＲＴＴ２の第２のばらつき状態のばらつき度合を判定する（具体的な判定処理の内容については図１１以降で後述）。

【0071】

ＦＷ遅延算出部１１ｃは、ばらつき判定部１１ｂによって第１、第２のばらつき状態が特定ばらつき状態にあるという結果が出された場合、ＲＴＴ１の第１の平均値と、ＲＴＴ２の第２の平均値を求め、第１、第２の平均値の差にもとづいて、ＦＷ遅延を算出する（以下、平均遅延算出と呼ぶ場合がある）。なお、特定ばらつき状態については図１１以降で後述するが、特定ばらつき状態とは、ばらつき具合が小さい状態に相当する。

【0072】

また、ＦＷ遅延算出部１１ｃは、ばらつき判定部１１ｂによって第１、第２のばらつき状態が特定ばらつき状態にないという結果が出された場合、ＲＴＴ１を小さい順にソートし、かつＲＴＴ２を小さい順にソートして、小さい順にＲＴＴ１とＲＴＴ２との差を求めて装置遅延を算出する（以下、ソート遅延算出と呼ぶ場合がある）。

【0073】

ＦＷ遅延最大値検出部１１ｄは、所定期間で算出したＦＷ遅延のうちからＦＷ遅延最大値を検出する。過負荷検知部１１ｅは、所定期間におけるＦＷ遅延最大値の出現頻度と、閾値とを比較し、ＦＷ遅延最大値が所定閾値以上の出現頻度または割合が所定閾値以上になる場合、ＦＷ装置４０が過負荷状態にあることを検知する。過負荷検知部１１ｅは、過負荷状態を検知した場合、例えば、アラーム通知を行う。

【0074】

記憶部１ｂは、取得したＲＴＴやＦＷ遅延算出結果等のパケット解析に関するデータを記憶する。また、記憶部１ｂは、運用状態に関する制御情報等も記憶する。インタフェース部１３は、スイッチｓｗに接続して、通信インタフェース制御を行う。また、インタフェース部１３は、保守端末等に接続して、外部データの入出力インタフェース制御を行う。

【0075】

なお、制御部１１は図５のプロセッサ１０１により実現され、記憶部１２は図５のメモリ１０２により実現される。また、インタフェース部１３は図５のネットワークインタフェース１０８、入力インタフェース１０５または機器接続インタフェース１０７により実現することができる。

【0076】

＜ＦＷ遅延算出＞
次にＦＷ遅延算出について図７、図８を用いて説明する。図７は、ＦＷ遅延算出の一例を説明するための図である。ソート遅延算出の例を示している。グラフｇ１は、コネクション毎に算出したＦＷ遅延を示しており、縦軸はＲＴＴ（ｍｓ）、横軸はコネクション識別子である。コネクションＡ、・・・、Ｄは、ＦＷ装置４０を介して、イントラネット側ホストとインターネット側ホストを繋ぐコネクションである。

【0077】

コネクションＡでは、スイッチｓｗ１を通じて測定されたＲＴＴａ１と、スイッチｓｗ２を通じて測定されたＲＴＴａ２とにもとづいて、ＦＷ遅延ｄａが算出されている。コネクションＢでは、スイッチｓｗ１を通じて測定されたＲＴＴｂ１と、スイッチｓｗ２を通じて測定されたＲＴＴｂ２とにもとづいて、ＦＷ遅延ｄｂが算出されている。

【0078】

コネクションＣでは、スイッチｓｗ１を通じて測定されたＲＴＴｃ１と、スイッチｓｗ２を通じて測定されたＲＴＴｃ２とにもとづいて、ＦＷ遅延ｄｃが算出されている。コネクションＤでは、スイッチｓｗ１を通じて測定されたＲＴＴｄ１と、スイッチｓｗ２を通じて測定されたＲＴＴｄ２とにもとづいて、ＦＷ遅延ｄｄが算出されている。

【0079】

このように、イントラネット側ホストとインターネット側ホストを繋ぐコネクションが認識できれば、コネクション毎にＦＷ遅延を算出することができる。しかし、図４で上述したように、ＦＷ装置４０の前段に設定されるイントラネット側コネクションと、後段に設定されるインターネット側コネクションとの対応付けが困難な場合がある。

【0080】

したがって、パケット解析装置１０は、このようなコネクションの対応付けにもとづく遅延算出は行わない。図７のグラフｇ２に示す例では、パケット解析装置１０は、スイッチｓｗ１を通じて測定したＲＴＴ１と、スイッチｓｗ２を通じて測定したＲＴＴ２をそれぞれ小さい順にソートし、小さい順に（ＲＴＴ２－ＲＴＴ１）を算出することでＦＷ遅延を求める。

【0081】

グラフｇ２は、ＲＴＴのソートにもとづいて算出したＦＷ遅延を示しており、縦軸はＲＴＴ（ｍｓ）、横軸はソート番号（ＲＴＴの小さい順に付した番号）である。
スイッチｓｗ１を通じて測定されたＲＴＴ１は、ＲＴＴａ１＜ＲＴＴｃ１＜ＲＴＴｂ１＜ＲＴＴｄ１の順にソートされる。また、スイッチｓｗ２を通じて測定されたＲＴＴ２は、ＲＴＴｃ２＜ＲＴＴｂ２＜ＲＴＴａ２＜ＲＴＴｄ２の順にソートされる。

【0082】

したがって、ソート番号１では、スイッチｓｗ１を通じて測定されたＲＴＴａ１と、スイッチｓｗ２を通じて測定されたＲＴＴｃ２とにもとづいて、ＦＷ遅延ｄ１が算出されている。ソート番号２では、スイッチｓｗ１を通じて測定されたＲＴＴｃ１と、スイッチｓｗ２を通じて測定されたＲＴＴｂ２とにもとづいて、ＦＷ遅延ｄ２が算出されている。

【0083】

また、ソート番号３では、スイッチｓｗ１を通じて測定されたＲＴＴｂ１と、スイッチｓｗ２を通じて測定されたＲＴＴａ２とにもとづいて、ＦＷ遅延ｄ３が算出されている。ソート番号４では、スイッチｓｗ１を通じて測定されたＲＴＴｄ１と、スイッチｓｗ２を通じて測定されたＲＴＴｄ２とにもとづいて、ＦＷ遅延ｄ４が算出されている。

【0084】

パケット解析装置１０では、このように算出したＦＷ遅延ｄ１、・・・、ｄ４のうちから最大となるＦＷ遅延最大値を検出し、検出したＦＷ遅延最大値と閾値とを比較する。そして、ＦＷ遅延最大値が所定閾値以上の出現頻度または割合が所定閾値以上になる場合、ＦＷ装置４０は過負荷状態になっていると判定する。

【0085】

図８は、ＦＷ遅延算出の一例を説明するための図である。平均遅延算出の例を示している。図７では、ＲＴＴ１とＲＴＴ２とをそれぞれ小さい順にソート処理して、小さい順に（ＲＴＴ２－ＲＴＴ１）を算出してＦＷ遅延を求めた。

【0086】

これに対し、図８では、ＲＴＴ１とＲＴＴ２とのばらつきがどちらも小さい場合、ＲＴＴ１の平均値ＡＶＧ（ＲＴＴ１）と、ＲＴＴ２の平均値ＡＶＧ（ＲＴＴ２）を求めて、ＡＶＧ（ＲＴＴ２）－ＡＶＧ（ＲＴＴ１）を算出してＦＷ遅延を求める。なお、“ばらつきが小さい”とは、特定ばらつき状態であることに相当する。

【0087】

グラフｇ３は、ＲＴＴの平均にもとづいて算出したＦＷ遅延を示しており、縦軸はＲＴＴ（ｍｓ）、横軸はコネクション識別子である。コネクションＡでは、スイッチｓｗ１を通じてＲＴＴａ１が測定され、スイッチｓｗ２を通じてＲＴＴａ２が測定されている。コネクションＢでは、スイッチｓｗ１を通じてＲＴＴｂ１が測定され、スイッチｓｗ２を通じてＲＴＴｂ２が測定されている。

【0088】

コネクションＣでは、スイッチｓｗ１を通じてＲＴＴｃ１が測定され、スイッチｓｗ２を通じてＲＴＴｃ２が測定されている。コネクションＤでは、スイッチｓｗ１を通じてＲＴＴｄ１が測定され、スイッチｓｗ２を通じてＲＴＴｄ２が測定されている。

【0089】

パケット解析装置１０は、ＲＴＴａ１、ＲＴＴｂ１、ＲＴＴｃ１、ＲＴＴｄ１の第１のばらつき状態と、ＲＴＴａ２、ＲＴＴｂ２、ＲＴＴｃ２、ＲＴＴｄ２の第２のばらつき状態とが共に小さい場合、すなわち、第１、第２のばらつき状態が特定ばらつき状態にある場合、平均遅延算出を行う。

【0090】

この例では、パケット解析装置１０は、スイッチｓｗ１で測定したＲＴＴ１の平均値ＡＶＧ（ＲＴＴ１）＝（ＲＴＴａ１＋ＲＴＴｂ１＋ＲＴＴｃ１＋ＲＴＴｄ１）／４を算出する。さらに、スイッチｓｗ２で測定したＲＴＴ２の平均値ＡＶＧ（ＲＴＴ２）＝（ＲＴＴａ２＋ＲＴＴｂ２＋ＲＴＴｃ２＋ＲＴＴｄ２）／４を算出する。

【0091】

そして、パケット解析装置１０は、ＡＶＧ（ＲＴＴ２）－ＡＶＧ（ＲＴＴ１）によってＦＷ遅延を算出し、所定期間におけるＦＷ遅延のうちのＦＷ遅延最大値と、所定閾値とを比較し、ＦＷ遅延最大値が所定閾値以上になり、その出現頻度または割合が所定閾値以上になる場合、ＦＷ装置４０は過負荷状態になっていると判定する。

【0092】

このように、パケット解析装置１０は、ＲＴＴ１およびＲＴＴ２のばらつき度合いが双方共に小さい場合は（ＲＴＴ１およびＲＴＴ２が特定ばらつき状態にある場合は）、ＲＴＴ１およびＲＴＴ２のそれぞれの平均値からＦＷ遅延を算出する。これにより、図７に示したソート処理を省くことができるので処理負荷を軽減できるという効果を有している。

【0093】

＜シミュレーション結果＞
次にＲＴＴのばらつきが小さい場合と、ＲＴＴのばらつきが大きい場合とに分けて、実データで計算したときのそれぞれのシミュレーション結果について説明する。

【0094】

図９は、ばらつきが小さい場合のＦＷ遅延算出のシミュレーション結果を示す図である。テーブルＴａ１は、項目として、時刻、サンプル数、ＦＷ遅延最大値（正解値）、ＦＷ遅延最大値（ソート遅延算出）およびＦＷ遅延最大値（平均遅延算出）を有する。

【0095】

例えば、時刻１６：４１において、サンプル数＝７でシミュレーションが行われている。このときＦＷ遅延最大値の正解値は１３４である。また、サンプル数＝７でソート遅延算出により求めたＦＷ遅延のうちでＦＷ遅延最大値は１３４になっている。さらに、サンプル数＝７で平均遅延算出により求めたＦＷ遅延のうちでＦＷ遅延最大値は１１４．７１４３になっている。

【0096】

グラフｇ１１は、テーブルＴａ１をグラフ化したものであり、縦軸はＦＷ遅延最大値（μｓ）、横軸は時刻である。ラインｋ１はＦＷ遅延最大値の正解値、ラインｋ２はＦＷ遅延最大値（ソート遅延算出）、ラインｋ３はＦＷ遅延最大値（平均遅延算出）である。

【0097】

グラフｇ１１に示されるように、ＲＴＴ１およびＲＴＴ２のばらつきが共に小さい場合、平均遅延算出にもとづいて求めたＦＷ遅延最大値でも正解値との乖離は少ないことがわかる。したがって、パケット解析装置１０では、ＲＴＴ１およびＲＴＴ２のばらつきが共に小さい場合、ソート遅延算出よりも処理負荷が軽減可能な平均遅延算出によってＦＷ遅延を算出する。

【0098】

図１０は、ばらつきが大きい場合のＦＷ遅延算出のシミュレーション結果を示す図である。テーブルＴａ２は、項目として、時刻、サンプル数、ＦＷ遅延最大値（正解値）、ＦＷ遅延最大値（ソート遅延算出）およびＦＷ遅延最大値（平均遅延算出）を有する。

【0099】

グラフｇ１２は、テーブルＴａ２をグラフ化したものであり、縦軸はＦＷ遅延最大値（μｓ）、横軸は時刻である。ラインｋ１はＦＷ遅延最大値の正解値、ラインｋ２はＦＷ遅延最大値（ソート遅延算出）、ラインｋ３はＦＷ遅延最大値（平均遅延算出）である。

【0100】

グラフｇ１２に示されるように、ＲＴＴ１およびＲＴＴ２のばらつきが共に小さくない場合、平均遅延算出にもとづいて求めたＦＷ遅延最大値は正解値との乖離が大きく、ソート遅延算出にもとづいて求めたＦＷ遅延最大値は正解値との乖離は小さいことがわかる。したがって、パケット解析装置１０では、ＲＴＴ１およびＲＴＴ２のばらつきが共に小さくない場合、ソート遅延算出によって求めたＦＷ遅延にもとづいてＦＷ遅延最大値を検出する。

【0101】

＜ばらつき判定＞
次にＲＴＴのばらつき判定処理について図１１から図１４を用いて説明する。図１１は、ばらつき判定処理の一例を説明するための図である。グラフｇ２１は、縦軸はＲＴＴ、横軸は時刻である。時刻１０：０１から１０：１０までの過去１０分間で１０回測定したＲＴＴ１の最小値およびＲＴＴ２の最大値の推移にもとづくばらつき判定を示している。

【0102】

時刻１０：０１において、スイッチｓｗ１を通じて測定される複数のＲＴＴ１のうち、最小値としてＲＴＴａ１_ｍｉｎが測定されている。同様にして、時刻１０：０２から１０：１０において、スイッチｓｗ１を通じて測定される複数のＲＴＴ１のうち、最小値としてＲＴＴｂ１_ｍｉｎ、・・・、ＲＴＴｊ１_ｍｉｎがそれぞれ測定されている。

【0103】

また、時刻１０：０１において、スイッチｓｗ１を通じて測定される複数のＲＴＴ１のうち、最大値としてＲＴＴａ１_ｍａｘが測定されている。同様にして、時刻１０：０２から１０：１０それぞれにおいて、スイッチｓｗ１を通じて測定される複数のＲＴＴ１のうち、最大値としてＲＴＴｂ１_ｍａｘ、・・・、ＲＴＴｊ１_ｍａｘが測定されている。

【0104】

図１１において、ＲＴＴａ１_ｍｉｎ、・・・、ＲＴＴｊ１_ｍｉｎのうちの最小値はＲＴＴｅ１_ｍｉｎであり、ＲＴＴａ１_ｍａｘ、・・・、ＲＴＴｊ１_ｍａｘのうちの最大値はＲＴＴｃ１_ｍａｘであり、ＲＴＴｅ１_ｍｉｎとＲＴＴｃ１_ｍａｘとの範囲をｒ１とする。

【0105】

一方、時刻１０：１１において、スイッチｓｗ１を通じて測定される複数のＲＴＴ１のうち、最小値としてＲＴＴｋ１_ｍｉｎが測定され、スイッチｓｗ１を通じて測定される複数のＲＴＴ１のうち、最大値としてＲＴＴｋ１_ｍａｘが測定されたとする。

【0106】

ここで、時刻１０：１１において今回測定したＲＴＴｋ１_ｍｉｎおよびＲＴＴｋ１_ｍａｘが範囲ｒ１内に存在する場合、ＲＴＴｋ１_ｍｉｎおよびＲＴＴｋ１_ｍａｘは、ばらつきが小さいと判定される。

【0107】

この場合、時刻１０：１１に測定されたＲＴＴ_ｍｉｎｋ１と、時刻１０：１１に測定されたＲＴＴｋ１_ｍａｘとは、ばらつきが小さく特定ばらつき状態にあると判定される。
また、ＲＴＴｋ１_ｍｉｎおよびＲＴＴｋ１_ｍａｘのいずれか一方が範囲ｒ１外に存在する場合、ＲＴＴｋ１_ｍｉｎおよびＲＴＴｋ１_ｍａｘは、ばらつきが大きいと判定される。

【0108】

この場合、時刻１０：１１に測定されたＲＴＴｋ１_ｍｉｎと、時刻１０：１１に測定されたＲＴＴｋ１_ｍａｘとは、ばらつきが小さくなく特定ばらつき状態にないと判定される。

【0109】

したがって、上記のようなＲＴＴ１の最小値および最大値の推移にもとづいて、特定ばらつき状態にあると判定された場合、時刻１０：１１において、平均遅延算出によってＦＷ遅延が算出されてＦＷ遅延最大値が検出される。また、特定ばらつき状態にないと判定された場合、時刻１０：１１において、ソート遅延算出によってＦＷ遅延が算出されてＦＷ遅延最大値が検出される。

【0110】

スイッチｓｗ２を通じて測定される複数のＲＴＴ２の場合も、ＲＴＴ１の場合と同様に判定される。
このようなＲＴＴ１の最小値および最大値の推移にもとづいて特定ばらつき状態を判定して、ソート遅延算出制御によってＦＷ遅延を算出することで、コネクションの対応付けを不要とし、パケット解析装置１０は、ＦＷ遅延を、コネクションの対応付けを行った場合と比較して劣ることなく精度よく算出することができる。

【0111】

図１２は、ばらつき判定処理の一例を説明するための図である。グラフｇ２２は、縦軸はＲＴＴの最小値と最大値の差、横軸は時刻である。時刻１０：０１から１０：１０までの過去１０分間で１０回測定したＲＴＴ１の最小値と最大値との差の推移にもとづくばらつき判定を示している。

【0112】

時刻１０：０１において、スイッチｓｗ１を通じて測定されるＲＴＴ１の最小値と最大値との差としてＲＴＴｄｉｆ１が測定されている。同様にして、時刻１０：０２から１０：１０において、ＲＴＴ１の最小値と最大値との差としてＲＴＴｄｉｆ２、・・・、ＲＴＴｄｉｆ１０がそれぞれ測定されている。

【0113】

図１２において、ＲＴＴｄｉｆ１、・・・、ＲＴＴｄｉｆ１０のうちの最大値はＲＴＴｄｉｆ３である。また、時刻１０：１１において、ＲＴＴ１の最小値と最大値との差としてＲＴＴｄｉｆ１１が測定されたとする。

【0114】

ここで、時刻１０：１１において今回測定したＲＴＴｄｉｆ１１がＲＴＴｄｉｆ３未満に存在する場合、ＲＴＴｄｉｆ１、・・・、ＲＴＴｄｉｆ１０、ＲＴＴｄｉｆ１１は、ばらつきが小さいと判定される。

【0115】

この場合、ＲＴＴｄｉｆの算出に使用した、時刻１０：１１に測定されたＲＴＴ１の最小値と最大値とは、ばらつきが共に小さく特定ばらつき状態にあると判定される。
また、今回測定したＲＴＴｄｉｆ１１がＲＴＴｄｉｆ３以上に存在する場合、ＲＴＴｄｉｆ１１は、ばらつきが大きいと判定される。

【0116】

この場合、時刻１０：１１に測定されたＲＴＴ１の最小値と最大値とは、ばらつきが共に小さくなく特定ばらつき状態にあると判定される。
したがって、上記のようなＲＴＴ１の最小値と最大値との差の推移にもとづいて、特定ばらつき状態にあると判定された場合、時刻１０：１１において、平均遅延算出によってＦＷ遅延が算出されてＦＷ遅延最大値が検出される。また、特定ばらつき状態にないと判定された場合、時刻１０：１１において、ソート遅延算出によってＦＷ遅延が算出されてＦＷ遅延最大値が検出される。

【0117】

スイッチｓｗ２を通じて測定される複数のＲＴＴ２の場合も、ＲＴＴ１の場合と同様に判定される。
このようなＲＴＴ１の最小値と最大値との差の推移にもとづいて特定ばらつき状態を判定して、ソート遅延算出制御によってＦＷ遅延を算出することで、コネクションの対応付けを不要とし、パケット解析装置１０は、ＦＷ遅延を、コネクションの対応付けを行った場合と比較して劣ることなく精度よく算出することができる。

【0118】

図１３は、ばらつき判定処理の一例を説明するための図である。グラフｇ２３は、縦軸はＲＴＴの分散、横軸は時刻である。時刻１０：０１から１０：１０までの過去１０分間で１０回測定したＲＴＴの統計情報として分散を算出した際の分散の推移にもとづくばらつき判定を示している。分散ｓ^２は、以下の式（１）で算出される。

【0119】

【数1】

【0120】

なお、ｎはデータの総数、ｘ_ｉは個々の数値、ｘｍは平均値である。例えば、時刻ｔ０において、スイッチｓｗ１を通じて２つのＲＴＴ１ａ、ＲＴＴ１ｂが取得されたとする。
この場合、時刻ｔ０における分散ｓ^２は、ｎ＝２、ｘ_１＝ＲＴＴ１ａ、ｘ_２＝ＲＴＴ１ｂ、およびｘｍ_１＝（ＲＴＴ１ａ＋ＲＴＴ１ｂ）／２にもとづいて、式（１）から算出される。時刻１０：０１において、ＲＴＴ１の分散としてＲＴＴｓ^２１が算出されている。同様にして、時刻１０：０２から１０：１０において、ＲＴＴ１の分散としてＲＴＴｓ^２２、・・・、ＲＴＴｓ^２１０が算出されている。

【0121】

図１３において、ＲＴＴｓ^２１、・・・、ＲＴＴｓ^２１０のうちの最大値は、ＲＴＴｓ^２３である。また、時刻１０：１１において、ＲＴＴ１の分散として、ＲＴＴｓ^２１１が算出されたとする。

【0122】

ここで、時刻１０：１１において今回測定したＲＴＴｓ^２１１がＲＴＴｓ^２３未満に存在する場合、ＲＴＴｓ^２１１は、ばらつきが小さいと判定される。この場合、ＲＴＴ１は、ばらつきが小さく特定ばらつき状態にあると判定される。

【0123】

また、時刻１０：１１において今回測定したＲＴＴｓ^２１１がＲＴＴｓ^２３以上に存在する場合、ＲＴＴｓ^２１１は、ばらつきが大きいと判定される。この場合、ＲＴＴ１は、ばらつきが共に小さくなく特定ばらつき状態にないと判定される。

【0124】

したがって、上記のようなＲＴＴ１の分散の推移にもとづいて、特定ばらつき状態にあると判定された場合、時刻１０：１１において、平均遅延算出によってＦＷ遅延が算出されてＦＷ遅延最大値が検出される。また、特定ばらつき状態にないと判定された場合、時刻１０：１１において、ソート遅延算出によってＦＷ遅延が算出されてＦＷ遅延最大値が検出される。

【0125】

スイッチｓｗ２を通じて測定される複数のＲＴＴ２の場合も、ＲＴＴ１の場合と同様に判定される。
このようなＲＴＴ１の分散の推移にもとづいて特定ばらつき状態を判定して、ソート遅延算出制御によってＦＷ遅延を算出することで、コネクションの対応付けを不要とし、パケット解析装置１０は、ＦＷ遅延を、コネクションの対応付けを行った場合と比較して劣ることなく精度よく算出することができる。

【0126】

図１４は、ばらつき判定処理の一例を説明するための図である。グラフｇ２４は、縦軸はＲＴＴの標準偏差、横軸は時刻である。時刻１０：０１から１０：１０までの過去１０分間で１０回測定したＲＴＴの統計情報として標準偏差を算出した際の標準偏差の推移にもとづくばらつき判定を示している。標準偏差ｓは、以下の式（２）から算出される。なお、ｓ^２は式（１）に示した分散である。

【0127】

【数2】

【0128】

時刻１０：０１において、ＲＴＴ１の標準偏差としてＲＴＴｓ１が算出されている。同様にして、時刻１０：０２から１０：１０において、ＲＴＴ１の標準偏差としてＲＴＴｓ２、・・・、ＲＴＴｓ１０が算出されている。

【0129】

図１４において、ＲＴＴｓ１、・・・、ＲＴＴｓ１０のうちの最大値はＲＴＴｓ３である。また、時刻１０：１１において、ＲＴＴ１の標準偏差としてＲＴＴｓ１１が算出されたとする。

【0130】

ここで、時刻１０：１１において今回測定したＲＴＴｓ１１がＲＴＴｓ３未満に存在する場合、ＲＴＴｓ１１は、ばらつきが小さいと判定される。この場合、時刻１０：１１に測定されたＲＴＴ１は、ばらつきが小さく特定ばらつき状態にあると判定される。

【0131】

また、時刻１０：１１において今回測定したＲＴＴｓ１１がＲＴＴｓ３以上に存在する場合、ＲＴＴｓ１１は、ばらつきが大きいと判定される。この場合、時刻１０：１１に測定されたＲＴＴ１は、ばらつきが共に小さくなく特定ばらつき状態にないと判定される。

【0132】

したがって、上記のようなＲＴＴ１の標準偏差の推移にもとづいて、特定ばらつき状態にあると判定された場合、時刻１０：１１において、平均遅延算出によってＦＷ遅延が算出されてＦＷ遅延最大値が検出される。また、特定ばらつき状態にないと判定された場合、時刻１０：１１において、ソート遅延算出によってＦＷ遅延が算出されてＦＷ遅延最大値が検出される。

【0133】

スイッチｓｗ２を通じて測定される複数のＲＴＴ２の場合も、ＲＴＴ１の場合と同様に判定される。
このようなＲＴＴ１の標準偏差の推移にもとづいて特定ばらつき状態を判定して、ソート遅延算出制御によってＦＷ遅延を算出することで、コネクションの対応付けを不要とし、パケット解析装置１０は、ＦＷ遅延を、コネクションの対応付けを行った場合と比較して劣ることなく精度よく算出することができる。

【0134】

また、上記の図１１から図１４に示したような、ばらつき判定処理を行うことにより、ＲＴＴ１およびＲＴＴ２のばらつき度合いを精度よく判定することができる。
＜フローチャート＞
図１５は、パケット解析装置の動作を示すフローチャートである。

【0135】

〔ステップＳ１１〕制御部１１は、ＲＴＴ１およびＲＴＴ２のばらつきが小さく特定ばらつき状態にあるか否かを判定する。ＲＴＴ１およびＲＴＴ２のばらつきが共に小さく特定ばらつき状態にある場合はステップＳ１３へ処理が進み、ＲＴＴ１またはＲＴＴ２のばらつきが小さくなく特定ばらつき状態にない場合はステップＳ１２へ処理が進む。

【0136】

〔ステップＳ１２〕制御部１１は、ソート遅延算出によりＦＷ遅延を算出する。
〔ステップＳ１３〕制御部１１は、平均遅延算出によりＦＷ遅延を算出する。
〔ステップＳ１４〕制御部１１は、ＦＷ遅延を記録する。

【0137】

〔ステップＳ１５〕制御部１１は、ＦＷ装置４０の過負荷判定期間において、記録したＦＷ遅延のうちでＦＷ遅延最大値を検出し、該ＦＷ遅延最大値の出現頻度が閾値以上であるか否かを判定する。閾値以上の場合はステップＳ１６へ処理が進み、閾値未満の場合はステップＳ１１へ処理が戻る。

【0138】

〔ステップＳ１６〕制御部１１は、ＦＷ装置４０が過負荷状態であることを検知する。
図１６は、ばらつき判定の動作を示すフローチャートである。図１５に示したステップＳ１の処理において、図１１で上述したＲＴＴ１の最大値および最小値の推移にもとづくばらつき判定の処理フローを示している。

【0139】

〔ステップＳ２１〕制御部１１は、ある測定時刻において取得した複数のＲＴＴ１のうちで最大のＲＴＴ１であるＲＴＴ１ｍａｘを検出し、さらに複数の過去の測定時刻のうち（例えば、過去１０回分）でＲＴＴ１ｍａｘのうちの最大値（ｍａｘ（ＲＴＴ１ｍａｘ））を検出する。制御部１１は、ある測定時刻において取得した複数のＲＴＴ１のうちで最小のＲＴＴ１であるＲＴＴ１ｍｉｎを検出し、さらに複数の過去の測定時刻のうち（例えば、過去１０回分）でＲＴＴ１ｍｉｎのうちの最小値（ｍｉｎ（ＲＴＴ１ｍｉｎ））を検出する。

【0140】

〔ステップＳ２２〕制御部１１は、ある測定時刻において取得した複数のＲＴＴ２のうちで最大のＲＴＴ２であるＲＴＴ２ｍａｘを検出し、さらに複数の過去の測定時刻のうち（例えば、過去１０回分）でＲＴＴ２ｍａｘのうちの最大値（ｍａｘ（ＲＴＴ２ｍａｘ））を検出する。制御部１１は、ある測定時刻において取得した複数のＲＴＴ２のうちで最小のＲＴＴ２であるＲＴＴ２ｍｉｎを検出し、さらに複数の過去の測定時刻のうち（例えば、過去１０回分）でＲＴＴ２ｍｉｎのうちの最小値（ｍｉｎ（ＲＴＴ２ｍｉｎ））を検出する。

【0141】

〔ステップＳ２３〕制御部１１は、今回の測定時刻において取得したＲＴＴ１のうちで最大値を検出し、ＲＴＴ１の最大値がｍａｘ（ＲＴＴ１ｍａｘ）よりも小さいか否かを判定する。小さい場合はステップＳ２４へ処理が進み、小さくない場合はステップＳ２５ｂへ処理が進む。

【0142】

〔ステップＳ２４〕制御部１１は、今回の測定時刻において取得したＲＴＴ１のうちで最小値を検出し、ＲＴＴ１の最小値がｍｉｎ（ＲＴＴ１ｍｉｎ）よりも大きいか否かを判定する。大きい場合はステップＳ２５ａへ処理が進み、大きくない場合はステップＳ２５ｂへ処理が進む。

【0143】

〔ステップＳ２５ａ〕制御部１１は、ＲＴＴ１のばらつきは小さいと判定する。ステップＳ２６へ処理が進む。
〔ステップＳ２５ｂ〕制御部１１は、ＲＴＴ１のばらつきは大きいと判定する。ステップＳ２９ｂへ処理が進む。

【0144】

〔ステップＳ２６〕制御部１１は、今回の測定時刻において取得したＲＴＴ２のうちで最大値を検出し、ＲＴＴ２の最大値がｍａｘ（ＲＴＴ２ｍａｘ）よりも小さいか否かを判定する。小さい場合はステップＳ２７へ処理が進み、小さくない場合はステップＳ２８ｂへ処理が進む。

【0145】

〔ステップＳ２７〕制御部１１は、今回の測定時刻において取得したＲＴＴ２のうちで最小値を検出し、ＲＴＴ２の最小値がｍｉｎ（ＲＴＴ２ｍｉｎ）よりも大きいか否かを判定する。大きい場合はステップＳ２８ａへ処理が進み、大きくない場合はステップＳ２８ｂへ処理が進む。

【0146】

〔ステップＳ２８ａ〕制御部１１は、ＲＴＴ２のばらつきは小さいと判定する。ステップＳ２９ａへ処理が進む。
〔ステップＳ２８ｂ〕制御部１１は、ＲＴＴ２のばらつきが大きいと判定する。ステップＳ２９ｂへ処理が進む。

【0147】

〔ステップＳ２９ａ〕制御部１１は、ＲＴＴ１およびＲＴＴ２のばらつきが共に小さく、特定ばらつき状態にあると判定する（以降、図１５のステップＳ１３へ処理が進む）。
〔ステップＳ２９ｂ〕制御部１１は、ＲＴＴ１またはＲＴＴ２のばらつきが小さくなく、特定ばらつき状態にないと判定する（以降、図１５のステップＳ１２へ処理が進む）。

【0148】

図１７は、ばらつき判定の動作を示すフローチャートである。図１５に示したステップＳ１の処理において、図１２で上述したＲＴＴ１の最小値と最大値との差の推移にもとづくばらつき判定の処理フローを示している。

【0149】

〔ステップＳ３１〕制御部１１は、ある測定時刻において取得した複数のＲＴＴ１のうちで最小のＲＴＴ１であるＲＴＴ１ｍｉｎと、最大のＲＴＴ１であるＲＴＴ１ｍａｘとを検出し、ＲＴＴ１ｍｉｎとＲＴＴ１ｍａｘとの差であるＲＴＴ１ｄｉｆｐを算出する。

【0150】

〔ステップＳ３２〕複数の過去の測定時刻において算出したＲＴＴ１ｄｉｆｐのうちの最大値であるｍａｘ（ＲＴＴ１ｄｉｆｐ）を検出する。
〔ステップＳ３２ａ〕制御部１１は、ある測定時刻において取得した複数のＲＴＴ２のうちで最小のＲＴＴ２であるＲＴＴ２ｍｉｎと、最大のＲＴＴ２であるＲＴＴ２ｍａｘとを検出し、ＲＴＴ２ｍｉｎとＲＴＴ２ｍａｘとの差であるＲＴＴ２ｄｉｆｐを算出する。

【0151】

〔ステップＳ３２ｂ〕複数の過去の測定時刻において算出したＲＴＴ２ｄｉｆｐのうちの最大値であるｍａｘ（ＲＴＴ２ｄｉｆｐ）を検出する。
〔ステップＳ３３〕制御部１１は、今回の測定時刻において取得したＲＴＴ１のうちの最小値と、ＲＴＴ１のうちの最大値との差分をとってＲＴＴ１ｄｉｆｃを算出し、今回の測定時刻において取得したＲＴＴ２のうちの最小値と、ＲＴＴ２のうちの最大値との差分をとってＲＴＴ２ｄｉｆｃを算出し、ＲＴＴ１ｄｉｆｃがｍａｘ（ＲＴＴ１ｄｉｆｐ）未満か否かを判定し、ＲＴＴ２ｄｉｆｃがｍａｘ（ＲＴＴ２ｄｉｆｐ）未満か否かを判定する。

【0152】

ＲＴＴ１ｄｉｆｃがｍａｘ（ＲＴＴ１ｄｉｆｐ）未満であり、かつ、ＲＴＴ２ｄｉｆｃがｍａｘ（ＲＴＴ２ｄｉｆｐ）未満の場合はステップＳ３４へ処理が進み、そうでない場合、例えば、ＲＴＴ１ｄｉｆｃがｍａｘ（ＲＴＴ１ｄｉｆｐ）以上の場合はステップＳ３５へ処理が進む。

【0153】

〔ステップＳ３４〕制御部１１は、ＲＴＴ１およびＲＴＴ２のばらつきは共に小さく、特定ばらつき状態にあると判定する（以降、図１５のステップＳ１３へ処理が進む）。
〔ステップＳ３５〕制御部１１は、ＲＴＴ１およびＲＴＴ２のばらつきは共に小さくなく、特定ばらつき状態にないと判定する（以降、図１５のステップＳ１２へ処理が進む）。

【0154】

図１８は、ばらつき判定の動作を示すフローチャートである。図１５に示したステップＳ１の処理において、図１３で上述したＲＴＴ１およびＲＴＴ２の分散の推移にもとづくばらつき判定の処理フローを示している。

【0155】

〔ステップＳ４１〕制御部１１は、ある測定時刻において取得した複数のＲＴＴ１の分散であるＲＴＴｓ^２１ｐを算出する。
〔ステップＳ４２〕制御部１１は、複数の過去の測定時刻において算出したＲＴＴｓ^２１ｐのうちの最大値であるｍａｘ（ＲＴＴｓ^２１ｐ）を検出する。

【0156】

〔ステップＳ４２ａ〕制御部１１は、ある測定時刻において取得した複数のＲＴＴ２の分散であるＲＴＴｓ^２２ｐを算出する。
〔ステップＳ４２ｂ〕制御部１１は、複数の過去の測定時刻において算出したＲＴＴｓ^２２ｐのうちの最大値であるｍａｘ（ＲＴＴｓ^２２ｐ）を検出する。

【0157】

〔ステップＳ４３〕制御部１１は、今回の測定時刻において取得したＲＴＴ１の分散であるＲＴＴｓ^２１ｃと、今回の測定時刻において取得したＲＴＴ２の分散であるＲＴＴｓ^２２ｃとを算出し、ＲＴＴｓ^２１ｃがｍａｘ（ＲＴＴｓ^２１ｐ）未満か否かを判定し、ＲＴＴｓ^２２ｃがｍａｘ（ＲＴＴｓ^２２ｐ）未満か否かを判定する。

【0158】

ＲＴＴｓ^２１ｃがｍａｘ（ＲＴＴｓ^２１ｐ）未満であり、かつＲＴＴｓ^２２ｃがｍａｘ（ＲＴＴｓ^２２ｐ）未満の場合はステップＳ４４へ処理が進み、そうでない場合、例えば、ＲＴＴｓ^２２ｃがｍａｘ（ＲＴＴｓ^２２ｐ）以上の場合はステップＳ４５へ処理が進む。

【0159】

〔ステップＳ４４〕制御部１１は、ＲＴＴ１およびＲＴＴ２のばらつきは共に小さく、特定ばらつき状態にあると判定する（以降、図１５のステップＳ１３へ処理が進む）。
〔ステップＳ４５〕制御部１１は、ＲＴＴ１およびＲＴＴ２のばらつきは共に小さくなく、特定ばらつき状態にないと判定する（以降、図１５のステップＳ１２へ処理が進む）。

【0160】

図１９は、ばらつき判定の動作を示すフローチャートである。図１５に示したステップＳ１の処理において、図１４で上述したＲＴＴ１およびＲＴＴ２の標準偏差の推移にもとづくばらつき判定の処理フローを示している。

【0161】

〔ステップＳ５１〕制御部１１は、ある測定時刻において取得した複数のＲＴＴ１の標準偏差であるＲＴＴｓ１ｐを算出する。
〔ステップＳ５２〕制御部１１は、複数の過去の測定時刻において算出したＲＴＴｓ１ｐのうちの最大値であるｍａｘ（ＲＴＴｓ１ｐ）を検出する。

【0162】

〔ステップＳ５２ａ〕制御部１１は、ある測定時刻において取得した複数のＲＴＴ２の標準偏差であるＲＴＴｓ２ｐを算出する。
〔ステップＳ５２ｂ〕制御部１１は、複数の過去の測定時刻において算出したＲＴＴｓ２ｐのうちの最大値であるｍａｘ（ＲＴＴｓ２ｐ）を検出する。

【0163】

〔ステップＳ５３〕制御部１１は、今回の測定時刻において取得したＲＴＴ１の標準偏差であるＲＴＴｓ１ｃと、今回の測定時刻において取得したＲＴＴ２の標準偏差であるＲＴＴｓ２ｃとを算出し、ＲＴＴｓ１ｃがｍａｘ（ＲＴＴｓ１ｐ）未満か否かを判定し、ＲＴＴｓ２ｃがｍａｘ（ＲＴＴｓ２ｐ）未満か否かを判定する。

【0164】

ＲＴＴｓ１ｃがｍａｘ（ＲＴＴｓ１ｐ）未満であり、かつＲＴＴｓ２ｃがｍａｘ（ＲＴＴｓ２ｐ）未満の場合はステップＳ５４へ処理が進み、そうでない場合、例えば、ＲＴＴｓ２ｃがｍａｘ（ＲＴＴｓ２ｐ）以上の場合はステップＳ５５へ処理が進む。

【0165】

〔ステップＳ５４〕制御部１１は、ＲＴＴ１およびＲＴＴ２のばらつきは共に小さく、特定ばらつき状態にあると判定する（以降、図１５のステップＳ１３へ処理が進む）。
〔ステップＳ５５〕制御部１１は、ＲＴＴ１およびＲＴＴ２のばらつきは共に小さくなく、特定ばらつき状態にないと判定する（以降、図１５のステップＳ１２へ処理が進む）。

【0166】

＜ＦＷ遅延の算出期間＞
図２０は、ＦＷ遅延算出期間の一例を示す図である。
〔時刻１０：００〕制御部１１は、時刻０９：５０から０９：５９においてＦＷ遅延を算出した期間を過去１０分のＦＷ遅延算出期間とする。また、制御部１１は、時刻１０：００において取得したＲＴＴ１およびＲＴＴ２にもとづいて現在のＦＷ遅延を算出する。

【0167】

〔時刻１０：０１〕制御部１１は、時刻０９：５１から１０：００においてＦＷ遅延を算出した期間を過去１０分のＦＷ遅延算出期間とする。また、制御部１１は、時刻１０：０１において取得したＲＴＴ１およびＲＴＴ２にもとづいて現在のＦＷ遅延を算出する。

【0168】

〔時刻１０：０２〕制御部１１は、時刻０９：５２から１０：０１においてＦＷ遅延を算出した期間を過去１０分のＦＷ遅延算出期間とする。また、制御部１１は、時刻１０：０２において取得したＲＴＴ１およびＲＴＴ２にもとづいて現在のＦＷ遅延を算出する。

【0169】

＜過負荷の判定期間＞
図２１は、過負荷判定期間の一例を示す図である。
〔時刻１０：００〕制御部１１は、時刻０９：５０から０９：５９において過負荷判定を行った期間を過去１０分の過負荷判定期間とする。また、制御部１１は、時刻１０：００において取得したＲＴＴ１およびＲＴＴ２にもとづいて現在の過負荷判定を行う。

【0170】

〔時刻１０：０１〕制御部１１は、時刻０９：５１から１０：００において過負荷判定を行った期間を過去１０分の過負荷判定期間とする。また、制御部１１は、時刻１０：０１において取得したＲＴＴ１およびＲＴＴ２にもとづいて現在の過負荷判定を行う。

【0171】

〔時刻１０：０２〕制御部１１は、時刻０９：５２から１０：０１において過負荷判定を行った期間を過去１０分の過負荷判定とする。また、制御部１１は、時刻１０：０２において取得したＲＴＴ１およびＲＴＴ２にもとづいて現在の過負荷判定を行う。

【0172】

以上説明したように、第２の実施の形態のパケット解析装置１０は、ＲＴＴ１およびＲＴＴ２のばらつき状態が特定ばらつき状態にあるか否かを判定し、特定ばらつき状態にある場合、ＲＴＴ１の平均値と、ＲＴＴ２の平均値との差を求めてＦＷ遅延を算出する。

【0173】

また、パケット解析装置１０は、ＲＴＴ１およびＲＴＴ２のばらつき状態が特定ばらつき状態にない場合、ＲＴＴ１を小さい順にソートし、かつＲＴＴ２を小さい順にソートして、小さい順にＲＴＴ１とＲＴＴ２との差を求めてＦＷ遅延を算出する。そして、算出したＦＷ遅延のうちからＦＷ遅延最大値を検出して閾値との比較判定を行う。このような制御により、過負荷状態を早期に精度よく検知することが可能になる。

【0174】

上記で説明した本発明のパケット解析装置１、１０の処理機能は、コンピュータによって実現することができる。この場合、パケット解析装置１、１０が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

【0175】

処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記憶装置、光ディスク、光磁気記録媒体、半導体メモリ等がある。磁気記憶装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープ等がある。光ディスクには、ＣＤ－ＲＯＭ／ＲＷ等がある。光磁気記録媒体には、ＭＯ（Magneto Optical disk）等がある。

【0176】

プログラムを流通させる場合、例えば、そのプログラムが記録されたＣＤ－ＲＯＭ等の可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。

【0177】

プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。

【0178】

また、コンピュータは、ネットワークを介して接続されたサーバコンピュータからプログラムが転送される毎に、逐次、受け取ったプログラムに従った処理を実行することもできる。また、上記の処理機能の少なくとも一部を、ＤＳＰ、ＡＳＩＣ、ＰＬＤ等の電子回路で実現することもできる。

【0179】

以上、実施の形態を例示したが、実施の形態で示した各部の構成は同様の機能を有する他のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。さらに、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。

【符号の説明】

【0180】

１－１ パケット解析システム
１ パケット解析装置
１ａ 制御部
１ｂ 記憶部
２、３ 通信装置
４ 中継装置
ｓｗ１、ｓｗ２ スイッチ
ｔ１、ｔ２ 遅延時間
Ｔ 装置遅延

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】