分析网络跟踪、判断节点顺序、校正节点时间差的方法及装置

摘要

本发明提供分析网络跟踪、判断节点顺序、校正节点间时间差的方法及装置。用于使用通过网络传输的数据包来分析网络跟踪的处理装置，包含：存储由数据包生成的跟踪数据的存储部32；从跟踪数据中检索出属于同一对话的数据包对，以产生节点的排列顺序关系的数据包分析部34；使用数据包对数据以及排列关系数据来产生用于估计各节点的固有时间轴的时间差的数组数据，并将其存储的数据数据产生部36；以及使用数据数据，计算出时间差的估计值，并将其存储于存储器内的求解引擎部38。

说明书

技术领域

本发明涉及通过网络相互连接的装置中之网络跟踪的分析技术，更详细地说，涉及用于在连接于多个网络上的装置(以下称为节点)中使用取得的网络跟踪，对连接在网络上的节点的内置时钟的时间差进行校正的、对网络跟踪进行分析的方法、节点间顺序的判断方法、用于分析网络跟踪的处理装置、和用于控制计算机作为该处理装置的计算机可执行程序、及网络中节点间的时间差校正方法。

背景技术

在近年来的网络系统中，连接了各种各样的设备，成为物理上、逻辑上都很复杂的结构。为了解决在这种系统中产生的麻烦，需要获取在网络上的多个位置处的数据包，添加了时间戳并保存之后，对其进行分析。但是，由于用于获取网络跟踪的设备内的内置时钟通常是不同步的，因此，在对多个位置处获取的数据进行比较、分析时需要对数据包内添加的时间戳进行校正。

以往，上述校正是通过基于修理工(service engineer)的经验来确定所推断的时间校正量，并为每个节点输入校正时间量而执行的。由此，产生以下缺陷：网络中时间校正的操作，大大依赖于修理工的手艺，且存在修理工的负担也很大，没有效率，不能充分保证校正效果的情况，也增加了用户以及修理工的业务上的负担等。

为解决上述缺陷，本发明的发明人，在特开2002-111782号中，公开了一种网络跟踪获取装置(以下，在本发明中，作为代理装置进行参照)，其获取网络上的多个节点处的网络跟踪，为每个节点进行识别，存储数据包。

(专利文献1)特开2002-111782号公报

上述代理装置，在多个网络节点中获取数据包，为每个测量节点存储数据包。存储的数据，例如在维修工程师带回服务器站点后，被读入计算机装置，并由维修工程师进行分析。通过上述方法，能够通过设计显示多节点的网络跟踪的图形用户接口(GUI)，来有效执行网络跟踪的分析。但是，如果维修工程师每次都要使用高度的知识，决定时间校正量，则可就要大大依赖于维修工程师的经验和技能，另外，精度上也不能保证是否满足要求。由此，也会发生再次估计时间校正量，并带回场地，反复进行尝试和错误地校正。

至此，我们已经了解了各种网络跟踪分析方法。但是，在能够通过使用实测数据来解析地、自动地估计连接在网络通路上的节点的时间校正量、高效提供时间校正量的同时，还需要一边降低对维修工程师技能的依赖度以及给用户的负担，一边根据客观标准提供时间校正量。

至此，需要可以执行以下功能的装置：根据网络上传输的数据包来自动判断数据包的事务处理(transaction)中的排列顺序关系，产生适当的时间校正量的获取方法。

发明内容

本发明是鉴于上述已有方法中的缺陷而作出的，本发明是基于以下想法而作出的：如果能够使用在网络上的多个节点处测量的跟踪数据，来建立沿着数据包的事务处理方向的节点排列顺序，则能够使用数值分析方法，执行高效且客观的时间校正量的估计。

在本发明中，检索每个节点所获取的数据包中的、例如是属于所谓请求/应答的单一对话(session)的数据包对，以使用以下情况：该数据包对通过规定节点时的时间戳差提供了事物处理方向中节点的排列顺序。如果就规定的数据包对提供了排列顺序关系，则能够以时间差为变量，提供联立1次不等式。数值分析该联立1次不等式，并在规定的约束条件下计算时间差的允许范围。根据所计算出的允许范围来决定时间校正量，通过为各个节点设置该值，能够执行网络的时间校正。

即，根据本发明，提供一种用于对连接多个节点的网络的网络跟踪进行分析的方法，该方法包括：

利用处理装置，从存储媒体中读出通过网络传送的数据包的步骤，其中，所述存储媒体存储通过网络传输的数据包，作为与每个节点对应的跟踪数据；

将所读取的跟踪数据存储在所述处理装置内的步骤；

从所存储的跟踪数据中检索出属于同一对话的数据包对，并决定沿着事物处理方向的所述节点之排列顺序关系的步骤；以及

根据沿着所述节点的事物处理方向的排列顺序关系，以及数据包对的数据，来决定所述节点的特定时间轴之时间差的步骤。

在本发明中，决定所述时间差的步骤可以包含：生成满足各个节点的固有时间轴的时间差之限制条件的数组数据，并将其存储于存储器内的步骤；以及，使用所述数组数据，决定满足所述限制条件的多个时间差，并将其存储于存储装置内的步骤。所述数组数据是以所述时间差为变量的联立1次不等式的系数矩阵。决定所述排列顺序关系的步骤能够包含判断所述数据包对通过相邻2个节点时的时间戳差的大小，之后判断所述节点的排列顺序关系的步骤。

根据本发明，提供了对沿着连接在网络上的节点之数据包的事物处理方向之排列顺序关系进行判断的方法，该方法提供了一种节点间的排列顺序判断方法，包括：从处理装置中读出来跟踪数据，该跟踪数据是从网络获取的，并与节点相对应地被存储。

从在所述处理装置中读出的跟踪数据中检索属于同一对话的数据包对，并存储于存储器内的步骤；

读出所述数据包对通过规定节点时的时间戳，计算时间戳差的步骤；以及

对所述数据包对通过不同节点时的所述时间戳差进行比较的步骤。

在本发明中，还能够含有基于根据所述跟踪数据而对所述数据包对的时间戳差进行的比较，来产生存在于网络上的节点之排列顺序关系的步骤。在本发明中，还能够含有响应所述时间戳差的比较，将时间差大的节点作为事务处理的上游侧，将时间差小的节点作为事务处理的下游侧而进行分配的步骤。

在本发明中，提供了一种处理装置，用于使用通过网络传输的数据包来分析网络跟踪。所述处理装置包含：

存储部，用于存储由所述数据包生成的跟踪数据；

数据包分析部，用于从所述跟踪数据中检索出属于同一对话的数据包对，来产生节点的排列顺序关系；

数组数据产生部，产生并存储用于使用数据包对数据和排列顺序关系数据来估计各个节点的固有时间轴之时间差的数组数据；

求解引擎部，使用所述数组数据计算所述时间差的估计值，并存储于存储器内。

所述数组数据能够假定是以所述时间差为变量的联立1次不等式的系数矩阵。所述数据包分析部可以含有这样一种单元：判断所述数据包对通过相邻2个节点时的时间戳差的大小，并判断与节点的事务处理方向相关的排列顺序关系；

根据本发明，提供了一种计算机可执行程序，该程序用于控制作为对连接多个节点的网络的网络跟踪进行分析的处理装置的计算机装置。所述计算机可执行程序执行以下步骤：

从存储媒体中读取数据包的步骤，该数据包是通过网络传输的，并存储为与每个节点相对应的跟踪数据；

存储所读取的跟踪数据的步骤；

用于从所存储的跟踪数据中检索出属于同一对话的数据包对，决定沿着事务处理方向的所述节点之排列顺序关系的步骤；以及

根据沿着事务处理方向的排列顺序关系数据以及数据包对数据来估计所述节点的固有时间轴之时间差的步骤。

所述程序还能够令计算机装置执行以下步骤：产生满足各个节点的固有时间轴的时间差的限制条件的数组数据，并将其存储于存储器内的步骤；以及，使用所述数据数据，决定满足所述限制条件的多个时间差，并将其存储于存储装置内的步骤。所述程序能够令所述计算机装置执行以下步骤：判断所述数据包对通过相邻2个节点时的时间戳差的大小，并判断所述节点的排列关系。

根据本发明，提供了一种计算机可执行程序，用于在计算机上执行：判断沿着连接于网络上的节点的数据包的事务处理方向的排列顺序关系，并分析网络跟踪。该程序能够令计算机装置执行以下步骤：从处理装置中读取数据包的步骤，该数据包是从网络获取的，是与每个节点相对应而存储的跟踪数据；从所读出的跟踪数据中检索出属于同一对话的数据包对，并将其存储于存储器内的步骤；读出所述数据包对通过规定节点时的时间戳，计算出时间戳差的步骤；对所述数据包对通过不同节点时的所述时间戳差进行比较的步骤；以及，基于根据所述跟踪数据而对所述数据包对的时间戳差进行的比较，来产生存在于网络上的节点之排列顺序关系的步骤。在本发明中，还能够针对计算机执行响应所述时间戳差的比较，将时间差大的节点作为事务处理的上游侧，将时间差小的节点作为事务处理的下游侧而进行分配的步骤。

根据本发明，提供了一种对连接于网络上的节点之固有时间轴的差进行校正的方法，网络节点间的时间差校正方法含有以下步骤：

为每个节点测量在网络上传输的数据包，并获取跟踪数据的步骤；

使用处理装置，从所述跟踪数据中获取事务处理中的节点的排列顺序关系的步骤；

使用处理装置，使用所述节点的排列顺序关系以及数据包对数据，基于数值分析来估计所述固有时间轴的时间差的允许范围的步骤；以及，

根据所述允许范围来决定时间校正量的步骤。

在本发明中，所述时间差校正方法可以含有对于所述处理装置，判断所述数据包对通过相邻2个节点的时间戳差之大小的步骤。

附图说明

图1是适用本发明的网络系统10的大致框图。

图2是通过图1中所示的网络而被传输的数据包的理想的时序图。

图3是固有时间轴t_g-1、t_g、t_n相互错开的真实的网络系统中的时序图。

图4图示了对数据包1～j的、通过节点0和节点1之间情况下之限制条件。

图5图示了根据本发明从所获取的数据包组中指定数据包对的基本方法。

图6图示了网络系统的各个节点中，利用代理装置获取的跟踪数据的实施方式。

图7图示了为了取得本发明的指定时间差Xg的处理，而能够安装于处理装置上的程序的简要的伪代码。

图8图示了通过对由图7所示的处理所提供的联立不等式求解而得到的指定时间差中的、x1和x2之间的允许范围。

图9图示了执行本发明的网络跟踪分析之网络分析系统的实施方式。

图10是本发明处理装置的简要的功能框图。

图11图示了实验中使用的网络系统的实施例。

图12图示了利用本发明的时间校正方法进行校正后的网络系统中的时序，以及用于比较的未校正情况下的时序。

具体实施方式

以下，尽管是通过图示的具体实施方式对本发明进行的说明，但是，本发明并不仅仅被限制在附图所示的实施方式。

第一部分  基于节点固有时间轴的数值分析的预测方法

图1中，显示了本发明适用的网络系统10的简要框图。网络系统10包含服务器12、客户机14、在服务器12和客户机14之间用于进行路由选择的多个路由器16a-16n。图1所示的实施例中，客户机14连接在路由器16a上，与服务器12之间或是与通过路由器16a-16n而被连接的图中未示的其它路由器、以及其它服务器之间进行数据传输。

在本发明中，客户机14例如能够由诸如像个人计算机或是工作站这样的计算机装置构成。对于服务器12，例如也能够由个人计算机或是工作站构成，作为功能，能够举出打印机服务器、文件服务器等。另外，在本发明中，服务器12能够构成为用于专用用途的设备服务器(appliance server)。又，在本发明中，网络系统10中，能够根据需要配置多个服务器12。在图1所示的实施例中，显示了在客户机14、服务器12、路由器16a-16n等网络上的节点中，代理装置18正在收集数据包。

在数据包的收集中，可以将代理装置18顺序连接到每一个节点上进行测量，也可以将代理装置直接连接到节点以及网络本身上进行测量。能够使用多个代理装置进行测量，并在后述的处理装置中，合成为每个节点或网络的数据。在通常情况下，将代理装置构造为与后述的处理装置不同，可将其构成为能够将跟踪数据存储于适当记录媒体内。

图2中，显示了通过图1所示网络所传输的数据包的理想时序图。在本发明中，所谓“理想的”是指连接于网络上的装置的内部时钟完全同步。图2所示数据包的事物处理的时序图显示了实施例中通过网络上的节点的各数据包的时间，其中，该实施例为客户机14将用于请求一个应用的请求数据包传送给服务器12，请求数据包通过诸如像路由器这样的节点而被传输，服务器12针对该请求传送出应答数据包。

图2所示的时序图，纵轴表示经过的时间，由与和网络10上每个节点同步的内部时钟相对应的固有时间轴t_n构成。在图2所示的时序图中，由于固有时间轴t_n完全同步，因此，对于任何一个固有时间轴来说，时间0的位置都直线对准图2中上侧所示的基准线SL。

图2中显示了：请求数据包j在指定时间t_g-1j通过节点(g-1)，在指定时间t_gj通过节点g，在指定时间t_nj通过节点(g+1)。数据包伴随着通过各节点时的时间戳而被存储到本发明所使用的代理装置18中。在图2中，尽管是在假定节点是路由器的情况下进行的说明，但是，并不是试图将本发明特别限制为路由器，也可以将网络通路上配置的任何装置选作节点。

图2所示的理想情况下，由于通过各节点时的时间戳没有产生固有时间轴的超前、滞后，因此，通过时间的新顺序为t_nj＞t_gj＞t_g-1j。这种情况下，应答数据包j’也一样，通过各节点的指定时间变为t’_gj＞t’_g-1j＞t’_nj。在这种情况下，由于没有产生时间戳的不一致，因此，没有产生麻烦。

与这种情况相对照，图3显示了节点的指定时间t_g-1、t_g、t_n相互错开的真实网络系统10中的时序图。图3所示的实施例中，以时间轴t_g-1为基准，在固有时间轴t_g处产生了x_g的延迟，在固有时间轴t_n处产生了x_n的延迟。在这种情况中，不能说在各个固有时间轴中所带有的时间戳是按照传输路线顺序排列的，因此，使网络跟踪的分析复杂，另外，还有可能发生在网络系统12上产生故障的情况。

以下，针对这些指定时间，将第j个数据包的节点g上的时间戳显示为t_gj，将针对第j个数据包和属于同一对话的数据包j’的、节点g的时间戳显示为t’_gj。将x1-xn作为固有时间轴之间的时间差来进行参照。在本发明中，假设x值在为“正：positive”的情况下表示时间轴的超前，在为“负：negative”的情况下表示滞后，在此基础上进行说明。

这里，利用图3详细进行说明。数据包j、j’由于在网络内以规定的传输速度通过，因此，实际的数据包j以与网络路线的传输长度等相应的时间延迟到达其它节点。同样，对于数据包j和属于同一对话的数据包j’也一样，产生了与传输长度等相应的时间延迟。

但是，在多数情况下，不能期望固有时间轴如上所述那样同步，分别具有时间差x1-xn。这种情况带来了以下缺陷：即便是数据包j、j’根据传输长度等按照时间序列的顺序进行了延迟，也不能在各节点间比较通过各节点时的时间戳。具体而言，在时间差大的情况下，在数据包的目的节点处，使发送节点附加了早于(older than)所付时间戳的值或将来值。为此，需要逐个节点地进行时间校正以防止在时间戳中产生矛盾，所谓“防止在时间戳中产生矛盾”具体而言是指：防止各节点的时间戳滞后于数据包在先通过一个规定节点的时间戳之后通过该节点的时间戳。

更具体而言，在本发明中，通过在网络跟踪的数值分析中包含上述限制条件，可以通过数值分析来获取时间校正量的允许范围。图4中，图示了数据包1至j通过节点0和节点1之间的情况下的上述限制条件。图4中，可以设定节点0和节点1是连接于网络系统10上的任意装置，节点0意味着是作为时间校正基准而使用的节点，设该时间戳为0，在此基础上进行说明。

如图4所示，从节点0发送出的数据包j和j+1以规定的延迟时间到达节点1，附加了一个时间差为x1的时间戳。数据包j和j+1到达后面的其它节点，并例如作为数据包j’和j+1’，从其它节点通过节点1返回节点0。如果节点0和节点1之间的时间差在数据包的收集中没有急剧变化，则在上述所谓的“防止时间戳中产生矛盾”的限制条件下，提供了下述的联立不等式(1)。

t_0j＜t_1j-x₁        t’_0j＞t’_1j-x₁

t_0j+1＜t_1j+1-x₁    t’_0j+1＞t’_1j+1-x₁

.                                .

.                                .              (1)

.                                .

如果对于指定时间差x₁整理改写上述数学表达式(1)，则得到下述表达式(2)。

x₁＜t_1j-t_0j                x₁＞t’_1j-t’_0j

x₁＜t_1j+1-t_0j+1    x₁＞t’_1j+1-t’_0j+1

.                                 .

.                                 .                        (2)

.                                 .

在比较了上述表达式(2)的两边之后，为了使所有数据包都满足上述表达式(2)，指定时间差x₁必须小于从节点0朝着节点1的数据包之时间差的最小值，且大于从节点1朝着节点0的数据包的时间差的最大值。因此，如果设具有最小值的数据包的识别值为k，设具有最大值的数据包的识别值为m，则要求时间差x₁满足下述等式(3)的关系。

max(t’_1k-t’_0k)＜x₁＜min(t_1m-t_0m)            (3)

即便在节点0和节点1之外的节点间也得到同样的关系，一般情况下，可以表现为下述联立不等式(4)。

max(t’_(g+1)h-t’_gh)＜x_g+1-x_g＜min(t_(g+1)i-t_gi)           (4)

上述表达式中，g(g＝1、2、......、n-1)表示第g个节点，h是表示提供时间差最大值的数据包的数据包识别值，i是表示提供时间差最小值的数据包的数据包识别值。因此，如果在上述联立不等式成立的范围内(以下称为允许范围而进行参照)规定各节点g中的指定时间的校正量，则能够满足上述限制条件。

如图2-图4所示，在图示规定了数据包的传输方向的情况下，容易产生联立不等式。但是，在利用代理装置测量的数据包中，即便原样不动地使用时间戳，也不能判断有关事物处理的节点间的排列顺序关系。在该目的下，尽管也考虑了使用含有与其它数据包不同的识别码等的数据包来执行跟踪的方法，但是，可以看出：在本发明中，通过仅仅使用代理装置所收集的跟踪数据来自动执行上述节点间的事物处理方向的判断处理，可以更有效地估计校正量。以下，在本发明中，将对用于获取节点间的事物处理方法中之节点的顺序排列关系的处理进行说明。

第二部分    属于同一对话的数据包对的检索，以及节点间的事物处理方向中的排列顺序关系的产生

图5显示了用于根据本发明从所获取的数据包组中指定数据包对的基本方法。本发明的发明人着眼于能够使用属于同一对话的数据包通过网络内节点a、b时的时间戳来对上述节点的排列顺序进行排序。即，本发明的发明人对靠近发送端的节点的时间戳差Δt_a和Δt_b进行比较。更具体而言，如果使用图5进行说明，则由属于同一对话的数据包构成的数据包对，一定比靠近发送端的节点上的时间戳差Δt_b大节点间的传输长度所需的传输时间。

另一方面，数据包的对话，可以通过使用由各个程序所规定的对话管理用的识别符来进行判断，例如是TCP则使用syn/ack识别符。为此，在本发明中，首先，使用所收集的跟踪数据中包含的识别符，来识别同一对话的数据包对。此后，通过计算出数据包对通过规定节点的时间戳的差，从而能够得到作为第1节点中的时间戳差的Δt_g。

图6中，显示了在网络系统的各个节点中，通过代理装置所获取的跟踪数据的实施例。图6(a)显示了本发明中代理装置获取的数据的结构。图6(b)更详细地图示了图6(a)所示跟踪数据的结构中的一部分。如图6(a)所示，本发明中，将跟踪数据以对应各节点的形式存储于适当的记录媒体内，所述存储媒体例如是硬盘、软盘(注册商标)、闪存、EEPROM等。节点的识别可以利用各种方法来执行，例如可以对所获取的数据包附加节点识别值而进行存储，也可以在代理装置中，改变目录、文件夹等存储区域来登录数据包，在读入后述处理装置的时刻，附加作为代理装置(agent)中指定识别值的代理装置识别值，将其作为后续处理中的识别值来使用。除此之外，只要使测量节点与数据包对应，可以使用任何方法进行对应。该节点识别值或代理装置识别值为任何值都可以使用，也可以使用上述表达式(3)和表达式(4)中的g值。

以下，使用具体的跟踪数据的实施例，对本发明的数据包对的检索以及节点的排序方法进行说明。

(1)数据包的对话同一性

如上所述，能够使用数据包中包含的识别符来指定数据包的对话的同一性。例如，图6(b)显示了使用从跟踪数据中提取出的、被称为三向信号交换的TCP对话的情况下之数据包的结构。在客户机发送的请求数据包中，附有诸如像syn＝A8F989DC、ack＝0这样的16进制的任意值。在与此相对应的服务器的应答数据包中，将请求数据包中包含的syn的值加1后形成的ack＝A8F989DD作为ack的值，同时，对于syn赋予诸如像syn＝F39E5F3E这样的16进制的任意值。

另一方面，在来自与此对应的客户机的应答数据包中，附加有将来自服务器的应答数据包的syn值加1后形成的ack＝F39E5F3F，作为ack的值。如此，通过遵照协议标准检查用于各协议的对话管理用识别符，能够检索到同一对话的数据包对。

(2)节点间事物处理方向的顺序排列关系的判断

在识别出数据包对后，计算出规定的节点识别值处的对应数据包之间的时间戳差，例如计算出第1节点处的时间差Δt_a。通过对由不同节点识别值指定的跟踪数据执行相同的处理，计算出第2节点处的时间差Δt_b。

比较所计算出的时间差Δt_a和时间差Δt_b，基于图5所示的判断基准，判断出时间差值大的一端的节点更靠近发送源节点，值小一端的节点距离发送源节点远。即对提供的数据包对而言，设时间差值大的一端的节点为节点g，设时间差值小的一端的节点为节点(g+1)，从而可以产生由上述表达式(3)、(4)提供的联立不等式。对每个节点，可以利用相邻节点来执行该处理，在对不相邻的节点执行处理之后，能够作为相邻节点的排列顺序关系而存储。该处理是在跟踪数据的代理装置识别值不一定表示对于规定数据包的事物处理方向的排列顺序关系的情况下，需要执行的处理。

通过对所有获取的数据包对以及节点执行上述处理，能够产生上述联立不等式。之后，以适于数值分析的形式，例如是以排列数据的形式，将含有以产生的时间戳值为要素、以时间差x_g为变量的联立不等式的数据存储到存储器内。图7中，显示了能够实现于处理装置内的、用于得到本发明的指定时间差x_g的处理的程序的简要伪代码。

(3)可实现本发明的分析方法的程序的伪代码

在图7所示的伪代码中，首先，读入由网络系统10生成的跟踪数据，存储数据包对，在判断节点间的排列顺序关系后，确立相邻节点间的数据包对的排列顺序关系。其后，计算对应于事物处理方向的时间差的最小值和最大值，并存储于存储器内。之后，产生表达式(4)所示的联立不等式，作为以x_g为变量的数组数据，并存储于适当的存储器内。能够使用至今所知的任何求解引擎来求解所存储的数组数据，例如能够使用扫出(sweep out)法来实现。能够根据所得到的时间差x_g的值来提供规定节点的时间校正量的允许范围，例如能够使用图形显示来提供允许范围的显示。

图8中图示了通过求解由图7所示的处理所提供的联立不等式而得到指定时间差中的、x₁和x₂之间的允许范围。在图8中，纵轴显示x₁，横轴显示x₂，以黑色区域显示可允许的x₁和x₂的范围区域。在图8所示的实施例中，显示了，x₁在T1-T2的范围内是允许的，x₂在x₁的允许区域和斜线间的区域相重合的部分满足限制条件。在本发明中，也可以不规定绝对的时间轴，而规定x_g的值作为固有时间轴相对于网络系统10的校正量，以便各指定时间不引起较大的系统管理上的不便。因此，x₂的值能够根据允许范围区域中所示的区域的值，通过维修工程师在考虑另外必须考虑的条件等后来选择，或者，使用后述的处理装置来进行自动选择。

例如，作为用于获取时间校正量的方法，能够自动计算出对应于允许范围中心的值，并作为时间校正量登录。作为其它实施例，能够在连接于后述处理装置上的显示装置上显示图8所示的曲线，并能够利用例如是鼠标、记录笔等指定单元，从允许范围中指定出允许范围内的点，从符合条件的点位置获取到对应的时间，并作为时间校正量。

第三部分    用于执行网络跟踪分析的处理装置

图9中显示了执行本发明的网络跟踪分析之网络分析系统的实施例。本发明的网络跟踪分析系统20是这样构成的：它包含代理装置18、执行图7所示的分析处理的处理装置22、以及存储由处理装置22提供的输出结果的存储装置24。例如通过维修工程师将代理装置18带入用户站点，与网络系统上的多个节点相连接，并监视数据包。为每个节点识别所监视的数据包，并将其存储在代理装置18中具有的图中未示的存储媒体内。

处理装置22，通常构成为与代理装置18不同，包括个人计算机或工作站等计算机。处理装置22一般包含存储器26、中央处理装置(CPU)28、以及输入输出装置30。处理装置22读入由代理装置18获取的数据，执行上述时间差分析处理。由时间差分析处理所得到的时间差的时间校正量，通过输入输出控制装置30，与每个节点相对应地存储到存储装置24内。存储的时间校正量数据，能够被存储到例如存储装置24包含的适当存储媒体内，作为网络系统的维护数据使用。

图10显示了本发明的处理装置22的大致的功能框图。本发明的处理装置22如此构成，它包含存储部32、数据包分析部34、数组数据产生部36、以及求解引擎38。存储部32存储从代理装置18读出的数据，直到由规定处理呼叫该数据。数据包分析部34从存储部32读出数据，检索数据包对，产生节点间的排序关系，并存储到存储部32的适当的区域内。数组数据产生部36产生用于从所产生的数据包对的数据中获取联立方程式的数组数据，并存储于存储部32内。

在本发明的特定实施例中，能够认为求解引擎部38是含有用于联立1次方程式的程序的软件模块。求解引擎部38执行以下处理：读出所存储的数组数据，例如通过诸如扫出法等方法来提供联立方程式的解，并根据该解指定时间校正量的允许范围。同时，处理装置22，对于每个引擎识别值，通过输入输出控制部40，将所决定的时间校正量42的值提供给配置在处理装置22内部或外部的存储装置24中的适当存储媒体内。由上述本发明所得到的时间校正量，能够在网络系统的节点时间差校正中使用。

本发明的发明人构造了真实的网络系统来评估上述本发明的效果。在图11中，显示了实验中使用的网络系统50的实施例。实验中使用的网络系统50是这样一种系统，它由客户机52、服务器54、连接在客户机52和服务器54之间的集线器56构成。在图10所示的实验中，代理装置22连接在集线器56上，以获取数据包。所获取的数据包被存储于硬盘内，在处理装置24内被处理，并被计算时间差x_g的允许范围。从所得到的时间差x_g的允许范围中选择适当的值，并执行客户机52、服务器54、集线器56的时间校正。

在图12中显示了利用本发明的时间校正方法校正后的网络系统50的时序图，以及用于比较的未校正情况下的时序图。图12(a)是应用本发明的时序图，图12(b)是执行校正前的时序图。在图12所示的客户机52(节点0)的固有时间轴上，带有并显示了由实验所得的时刻。在图12中，显示出固有时间轴的基准时间0排列在同一条线上。可以了解，如图12(a)所示，应用本发明的时间差校正方法后的时序没有诸如时间翻转之类的重大缺陷。

另一方面，在图12(b)所示的校正前的时序图中，从客户机52(节点0)送出的数据包，在过去的时刻中通过集线器56(节点1)，并在过去时刻由服务器54(节点2)接收。在此时刻，如果服务器包含使用发送时间和接收时间来执行处理的应用，则会产生处理停止或不能处理等缺陷。

如图12所示，根据本发明的网络跟踪分析方法以及使用该方法的时间校正方法，能够以有效且客观的标准对连接于网络系统上的装置间的时间进行校正。为此，根据本发明，使网络系统的维护效率的效率化成为可能，能够显著降低用户和维修工程师业务上的劳力。

本发明的网络跟踪分析方法以及事物处理方向分析方法是这样实现的：通过令计算机装置读入用于执行上述方法的装置可执行程序，并运行程序，来构成上述各功能框作为计算机装置而实现的。

作为本发明的上述计算机可执行程序，能够使用迄今为止所知道的任何程序语言进行描述。例如能够使用FORTRAN、C语言、C++语言、Java(注册商标)等作为上述程序语言。

至此，尽管使用了图中所示的具体实施例来说明本发明，但是，本发明并不仅仅限制在上述实施方式，除了本发明中公开的实施方式之外，可以据本领域人员来应用各种其它的实施方式、删除、添加。