JP2005141663A - イベントログ解析支援装置、イベントログ表示方法 - Google Patents

Abstract

【課題】 イベントログの検索条件を簡易に設定可能とし、イベントログを検索条件と関連づけて表示することにより、イベントログの解析を支援する。
【解決手段】 イベントログ表示画面３００は、検索ツリー３１０、イベントマップ３２０、ログビュー３３０から構成されている。検索ツリー３１０は、階層構造に設定された検索条件をツリー構造で表示する。イベントマップ３２０は、イベントログのタイムスタンプに対応する位置にアイコンを表示する。ログビュー３３０は、ログ内容を表示する。ポインタ３２１を矢印Ｐに示すように移動させることで、ログビュー３３０の時刻指定を連続的に行う。ログビュー３３０は、かかる連続的な時刻指定と同期しながら、再検索を行い、ログ詳細の表示を切り換える。こうすれば、検索条件とイベントログの発生頻度、ログ詳細などを一度に確認することができる。
【選択図】 図１０

Description

本発明は、イベントログの検索および表示に関するものである。

近年、ネットワークシステムでは、障害等が発生した場合、管理者がイベントログを解析し、障害原因を調査して復旧策を検討するなどの手段がとられている。イベントログには、情報や警告、エラーなどが挙げられる。イベントログの解析では、大量のイベントログから、障害発生等に関係のあるイベントログを抽出するために、障害などの特性に応じた検索条件を指定して検索を行い、必要なログを取得している。

複数の監視対象機器から収集したイベントログを解析するために、全ての監視対象機器のイベントログを管理装置でひとまとめに収集し、画面上に一覧表示する技術が開示されている。例えば、特許文献１では、バッチプロセスで発生したイベントの解析に利用する画面を表示するイベント解析支援装置において、バッチプロセスで検知されたイベントの発生時刻とバッチプロセスの実行時間を対比して表示している。

特開２００１−２９６９１６号公報 特開２００１−１８８６９４号公報

しかしながら、従来の技術では、検索条件と、検索結果との対応が取りにくいため、管理者は、障害対策等に必要なイベントログを検索するための、適切な検索条件を作成することが困難であった。また、イベントログは大量に存在しており、管理対象機器の数の増加に伴い、その数は増加する。そのため管理者は、必要とするイベントログを検索するには、個々の機器に対して検索条件を設定する必要があり、煩雑な記述となりやすく、一度作成した検索条件を他の検索に流用することが困難であった。

また、特許文献１に記載の技術では、管理対象機器からの複数種のイベントを到着順に表示しているため、イベントの発生頻度が高いイベント種別があると、特定のイベントが大量に表示され解析が困難になる場合がある。かかる場合に、重要なイベントを検索するための、適切な検索条件の設定が困難であった。

本発明は、以上の課題に鑑みてなされたものであり、イベントログの検索条件を簡易に設定可能にするとともに、イベントログを検索条件と関連づけて表示をすることにより、管理者によるイベントログの解析を支援することを目的とする。

上述した課題の少なくとも一部を解決するために、本発明は、第１の構成として以下の構成をとることとした。すなわち、イベントログ解析支援装置において、監視対象機器からイベントログを収集するイベントログ収集部と、収集したイベントログを格納するイベントログ格納部と、収集したイベントログから、所定のイベントログを検索する検索条件、および、検索条件において、所定の検索条件によって検索されたイベントログに対して検索を行うために使用する検索条件を、所定の検索条件の下位の検索条件とする検索条件同士の関係の入力を受け付ける検索条件受付部と、入力された関係に基づき、検索条件を階層構造に設定する検索条件設定部と、イベントログおよび検索条件に基づき、イベントログの検索を実行する検索部とを備えることを要旨とする。

このような構成を取ることにより、検索条件を、階層構造に細分化した状態で利用することができるため、検索条件と検索結果の対応関係を確認することができ、また、検索条件の一部分、あるいは全体を容易に再利用することが可能となり、検索条件設定の効率化を図ることができ、利便性が向上する。

以下、本発明の実施の形態について、以下の項目に分けて説明する。
Ａ．実施例：
Ａ１．システム構成：
Ａ２．機能ブロック図：
Ａ３．検索結果表示処理：
Ａ４．イベントログ収集処理：
Ａ５．検索ツリー作成処理：
Ａ６．検索条件表示処理：
Ａ６−１．イベントマップ表示処理：
Ａ６−２．ログビュー表示処理：
Ａ６−２．検索結果表示画面：
Ａ７．検索ツリー編集処理：
Ｂ．変形例：

Ａ．実施例：
Ａ１．システム構成：
図１は、本実施例におけるシステム構成を例示する説明図である。イベントログ収集システム１０は、ローカルエリアネットワークＬＡＮを介して接続されているホスト２０００，２１０，２２０と、イベントログ解析支援装置１００とから構成されている。ホスト２００および２１０は、いわゆるパーソナルコンピュータであり、ホスト２２０はルータである。イベントログ解析支援装置１００は、ホスト２００，２１０，２２０において発生したイベントログを、所定間隔で、図示する太線矢印のように収集する。以降では、ホスト２００，２１０，２２０をまとめて「監視対象機器」と呼ぶこととする。イベントログ解析支援装置１００のディスプレイには、収集したイベントログを、検索条件と対応付けて表示するイベントログ表示画面３００が表示される。イベントログ表示画面３００は、検索ツリー、イベントマップ、ログビューとから構成される。イベントマップは、イベントの発生時刻に対応した位置にアイコンなどの図形を表示し、発生頻度などを表す。ログビューは、イベントログの内容を表示する。これらについては後述する。

Ａ２．機能ブロック：
図２は、イベントログ解析支援装置１００の機能ブロックを例示する説明図である。イベントログ解析支援装置１００は、主制御部１０１と、通信部１０２と、イベント収集部１０３と、イベント格納部１０４と、検索条件設定部１０５と、検索条件格納部１０６と、階層構造設定部１０７と、検索部１０８と、表示制御部１０９と、入力部１１０とから構成されている。これらの各機能ブロックは、ソフトウェア的に構成され、主制御部１０１によって制御される。各機能ブロックは、ハードウェア的に構成してもよい。

主制御部１０１は、他の機能ブロックを制御する機能を奏している。通信部１０２は、いわゆるネットワークインターフェースの機能を奏しており、他の機器と情報の授受を行う。

イベント収集部１０３は、ローカルエリアネットワークＬＡＮに接続された監視対象機器で発生したイベントログを、所定間隔で収集し、イベント格納部１０４に格納する。図に併せて、イベント格納部１０４に格納されているイベントログの一例を示した。イベント格納部１０４には、図示するように、左から、イベントログＩＤと、タイムスタンプと、イベントソースとログ詳細が格納されており、収集したイベントログのタイムスタンプ順にイベントＩＤが付与される。イベントログＩＤ「１」のタイムスタンプ「２００３０５０６ １１５６４４」は、「２００３年５月６日 １１時５６分４４秒」を表している。イベントソースは、収集したイベントログの種別を表しており、例えば、「ｓｙｓｌｏｇ」はシステムログ、「ｓｎｍｐｔｒａｐ」はＳＮＭＰでのイベントログを示している。ログ詳細は、各イベントログの内容を示している。

入力部１１０は、管理者から種々の入力を受け付ける。かかる入力には、指定した文字列が含まれるイベントログを検索する検索条件、任意のイベントソースのイベントログを検索する検索条件等の他に、検索条件同士の上位／下位の関係などの設定情報や、検索条件の編集指示等が含まれる。かかる設定情報としては、上位の検索条件で検索した検索結果に対して、更に絞り込んで検索を行う場合に使用する検索条件を、その上位の検索条件の下位の検索条件と設定する情報を表しており、検索条件を細分化して設定することができる。検索条件設定部１０５は、入力部１１０を介して入力された検索条件を、検索条件格納部１０６に格納する。また、検索条件設定部１０５は、前述の編集指示に基づき検索条件を編集する機能も奏する。検索条件の編集に関しては、後述する。図３に、検索条件の入力内容を例示した。

図３は、本実施例における検索条件格納部１０６の内容を例示する説明図である。検索条件格納部１０６は、図示するように、検索ＩＤと、親検索ＩＤと、イベントソースと、検索名と、検索条件という５つの項目から構成されている。検索ＩＤは、入力された各検索条件に対して付与される固有の番号である。親検索ＩＤは、上位の検索条件の検索ＩＤの指定を示しており、イベントソースは、検索する対象のイベントソースを示す。検索名は、検索条件を画面に表示する際に、管理者が即座に理解しやすい形式で表示するために、各検索条件に任意に設定する検索名称である。検索条件は、イベントログ内で検索する文字列を示している。検索ＩＤ「１」、「４」、「５」が示すように、検索条件に検索する文字列が入力されていない場合には、その検索ＩＤに設定されているイベントソースのイベントログを全て検索することを示している。

例えば、本実施例においては、検索ＩＤ「１」には、親検索ＩＤは入力されておらず、検索名は「Ｓｙｓｌｏｇ」と入力されており、検索条件にも検索する文字列は入力されていない。これは、イベントソース「ｓｙｓｌｏｇ」の全てのイベントログを検索することを表している。

また、検索ＩＤ「２」では、親検索ＩＤには「１」が入力されており、イベントソースは「ｓｙｓｌｏｇ」、検索名は「Ｈｏｓｔ０１」、検索条件は「ｇｒｅｐ"Ｈｏｓｔ０１"」と入力されている。「ｇｒｅｐ"Ｈｏｓｔ０１"」は、Ｈｏｓｔ０１という文字列を含むイベントログを検索するという意味である。ここで、親検索ＩＤには「１」が設定されているため、検索ＩＤ「２」は、親検索ＩＤが示す検索ＩＤを持つ検索条件によって検索されたイベントログに対して、更に絞り込んで検索を行う検索条件であり、検索ＩＤ「１」によって検索された「ｓｙｓｌｏｇ」のすべてのイベントログから、「Ｈｏｓｔ０１」という文字列が含まれるイベントログを検索するための検索条件であることを示している。

他の検索条件も同様であり、例えば、検索ＩＤ「９」は、検索ＩＤ「８」を親検索ＩＤとしており、検索ＩＤ「８」は、検索ＩＤ「６」を親検索ＩＤとしている。更に、検索ＩＤ「６」は、検索ＩＤ「５」を親検索ＩＤとしている。すなわち、検索ＩＤ「９」は、検索ＩＤ「５」の検索条件で検索されたイベントログを、検索ＩＤ「６」の検索条件で検索し、検索されたイベントログに対して、更に、検索ＩＤ「８」の検索条件で検索し、検索されたイベントログに対して、検索ＩＤ「９」の検索条件「ｇｒｅｐ"ｂｏｏｋ"」で検索することを示している。

図２に戻り説明を続ける。階層構造設定部１０７は、図３で示した検索条件格納部１０６に格納されている検索条件を、設定された上下関係に基づき、階層構造に設定する機能を奏する。検索部１０８は、階層構造に設定され検索条件により、イベントログの検索を実行する機能を奏する。表示制御部１０９は、検索条件格納部１０６に格納されている検索条件詳細や検索結果であるイベントログを種々の態様で表示する制御を行う。種々の態様とは、図３に示したように、検索条件格納部１０６の一覧を表示することとしてもよいし、検索結果と検索条件を併せて表示することとしてもよい。管理者は、検索条件詳細や、階層構造などを確認することができ利便性が向上する。

Ａ３．検索結果表示処理：
図４は、本実施例における検索結果表示処理を説明するフローチャートである。イベントログ解析支援装置１００は、監視対象機器からイベントログを収集する（ステップＳ１０）。イベントログ収集処理に関しては、後述する。次に、イベントログ解析支援装置１００は、検索条件や、検索条件同士の上下関係の入力を受け付け（ステップＳ１１）、入力内容に基づき、検索条件を階層構造に設定し検索ツリーを作成する（ステップＳ１２）。

イベントログ解析支援装置１００は、階層構造に設定された検索条件に基づいて検索を行い（ステップ１３）、検索結果をどの態様で表示するかの選択を受け付ける（ステップＳ１４）。本実施例では、表示態様の選択肢は、以下の３つである。「０：検索ツリー＋イベントマップ」、「１：検索ツリー＋ログビュー」、「２：検索ツリー＋イベントマップ＋ログビュー」である。イベントログ解析支援装置１００は、いずれかの表示態様を選択し、検索結果を表示する（ステップＳ１５）。それぞれの表示態様の表示処理は、後述する。

Ａ４．イベントログ収集処理：
図５は、本実施例におけるイベントログ収集処理を説明するフローチャートである。図４のステップＳ１０に相当する処理である。

イベントログ解析支援装置１００は、所定間隔でイベントログを収集しており、まず、前回のイベントログ収集時のタイムスタンプを参照する（ステップＳ２０）。具体的には、前回収集したイベントログのうち、各機器ごとに、最後に収集したイベントログのタイムスタンプを参照する。

次に、イベントログを収集すべき監視対象機器と通信を行いイベントログの収集が可能な状態であることを確認し（ステップＳ２１）、イベントログ解析支援装置１００は、監視対象機器に保持されているイベントログのタイムスタンプを参照して、前回収集時以後に蓄積されたイベントログであるか判断し取得する（ステップＳ２２）。イベントログ解析支援装置１００は、収集したイベントログを、イベント格納部１０４に格納する（ステップＳ２３）。

次に、イベントログ解析支援装置１００は、全ての監視対象機器に対してイベントログの収集を行ったかを判断し（ステップＳ２４）、行っていない場合には、ステップＳ２０へ戻り、イベントログを収集すべき監視対象機器の、前回収集時のタイムスタンプを参照し、処理を続行する。全ての監視対象機器に対してイベントログの収集を行った場合には、イベントログ収集処理を終了する。

Ａ５．検索ツリー作成処理：
図６および図７は、本実施例における検索ツリーを作成する処理を説明するフローチャートである。図４のステップＳ１２に相当する処理である。

イベントログ解析支援装置１００は、設定した検索条件を検索ＩＤ順に参照し（ステップＳ３０）、親検索ＩＤが存在しない検索ＩＤを抽出する（ステップＳ３１）。図に併せて示したように、検索条件格納部１０６において、親検索ＩＤが存在しない検索ＩＤは、矢印で示すように、検索ＩＤ「１」、「４」、「５」である。これら抽出された検索ＩＤを検索ツリーにおけるルートノードに設定し（ステップＳ３２）、かかるルートノードが示す検索ＩＤのうち、最小の検索ＩＤを選択する（ステップＳ３３）。本実施例では、まず、検索ＩＤ「１」を選択する。

イベントログ解析支援装置１００は、検索条件格納部１０６を参照し、ステップＳ３３で選択された検索ＩＤを親検索ＩＤに持つ検索ＩＤを抽出する。例えば、本実施例では、検索ＩＤ「１」を親検索ＩＤに持つ検索ＩＤは、検索ＩＤ「２」、「３」が抽出される。次に、抽出された検索ＩＤを親検索ＩＤが示す検索ＩＤのノードの下位ノードとして設定する（ステップＳ３５）。図に併せて示したように、検索ＩＤ［１］の下位ノードとして、検索ＩＤ［２］および［３］が設定されている。

イベントログ解析支援装置１００は、全ての検索条件について、ノードの設定を終了したか否かを判断し（ステップＳ３６）、終了していない場合には、ノード未設定の検索条件のうち、最小の親検索ＩＤをもつ検索ＩＤを抽出し（ステップＳ３７）、ステップＳ３５へ戻り処理を繰り返す。全てのノードの設定が終了した場合には、処理を終了する。本実施例では、最初にルートノードの設定を行い、次に下位ノードを設定することとしたため、検索ツリーは、まず、ルートノードの［１］、［４］、［５］が設定され、［２］、［３］、［６］、［７］、［８］、［９］、［１０］の順に設定されるが、この順に限られることなく、他の処理順序で設定することとしても良い。

Ａ６．検索条件表示処理：
本実施例では、図４のステップＳ１４で説明したように、検索結果を表示する画面は、３パターンから選択することができる。以下に、各パターンごとの検索結果画面表示処理を説明する。

Ａ６−１．イベントマップ表示処理：
図８は、本実施例において、イベントマップを表示する処理を説明するフローチャートである。図４のステップＳ１４において、「０：検索ツリー＋イベントマップ」を選択した場合の検索結果表示処理を示している。

イベントログ解析支援装置１００は、画面表示態様として「０：検索ツリー＋イベントマップ」が選択されると、表示する時間範囲の指定を受け付ける（ステップＳ４０）。次に、検索条件を検索ＩＤ順に参照し（ステップＳ４１）、階層構造に設定された各検索条件および指定時間範囲に合致するイベントログを抽出する（ステップＳ４２）。

抽出したイベントログのタイムスタンプを取得し（ステップＳ４３）、検索ＩＤと対応付けて、一次記憶領域に記憶する（ステップＳ４４）。かかる一次記憶領域は、イベントログ解析支援装置１００の検索部１０８の一部として構成されているものとする。イベントログ解析支援装置１００は、すべての検索条件で検索が終了したか否かを判断し（ステップＳ４５）、検索が終了していない場合には、ステップＳ４１へ戻り、処理を繰り返す。検索が終了している場合には、一次記憶領域に記憶されているタイムスタンプに基づき、検索ＩＤごとにイベントマップに矩形アイコンを描画する。検索結果表示画面４００を、図に併せて示した。

検索結果表示画面４００は、左側に、階層構造に設定された検索条件を木構造に表示した検索ツリーを配置し、右側に、検索されたイベントログのタイムスタンプに対応する位置に矩形アイコン４２１を描画したイベントマップ４２０を配置した構成となっている。また、イベントマップ４２０の下方には、指定時間範囲を示すタイムバー４３０が表示されている。マッピングバー４２２は、検索名４１１の「Ｓｙｓｌｏｇ」が示す検索条件で検索されたイベントログの発生時刻を示している。検索名４１２の「Ｈｏｓｔ０１」は、検索名４１１の「Ｓｙｓｌｏｇ」で検索されたイベントログのうち、「Ｈｏｓｔ０１」が示す検索条件で検索されたイベントログの発生時刻を示している。そのため、「Ｈｏｓｔ０１」のマッピングバー４２３に矩形アイコンが描画されている時刻には、「Ｓｙｓｌｏｇ」のマッピングバー４２２の同時刻に、矩形アイコンが描画されることとなる。

このような表示とすると、階層構造に設定された検索条件を管理者が視認しやすくなり利便性が向上する。また、各検索条件と、検索結果のイベントログとを対応付けて時系列に確認することができるため、検索条件ごとのイベントログの発生時刻、発生頻度などを一度に把握することができ、利便性が向上する。本実施例では、すべて矩形アイコンで表示することとしたが、これに限られず、色、形、大きさなどを、発生頻度や検索条件に応じて変更することとしてもよい。

Ａ６−２．ログビュー表示処理：
図９は、本実施例において、ログビューを表示する処理を説明するフローチャートである。図４のステップＳ１４において、「１：検索ツリー＋ログビュー」を選択した場合の検索結果表示処理を示している。

イベントログ解析支援装置１００は、画面表示態様として「１：検索ツリー＋ログビュー」が選択されると、表示する時間を指定する（ステップＳ５０）。次に、検索条件を検索ＩＤ順に参照し（ステップＳ５１）、階層構造に設定された各検索条件および指定時間に最も近いタイムスタンプを持つログビューを抽出する（ステップＳ５２）。

抽出したイベントログのログ内容を取得し（ステップＳ５３）、検索ＩＤと対応付けて、一次記憶領域に記憶する（ステップＳ５４）。イベントログ解析支援装置１００は、すべての検索条件で検索が終了したか否かを判断し（ステップＳ５５）、検索が終了していない場合には、ステップＳ５１へ戻り、処理を繰り返す。検索が終了している場合には、一次記憶領域に記憶されているログの内容を、検索条件と対応付けてログビューに描画する。検索結果表示画面５００を、図に併せて示した。

検索結果表示画面５００は、左側に、階層構造に設定された検索条件を木構造に表示した検索ツリー５１０を配置し、右側に、検索されたイベントログの内容を描画したログビュー５２０を配置した構成となっている。表示指定時刻５２１は、「２００３／０５／０６ １４：００：００」であり、ログビュー５２０は、検索条件ごとに、かかる指定時刻に最も近いイベントログのログ内容が表示されている。ログビュー５２０は、仕切り線５３０を挟んで、左側に、タイムスタンプ５２２と、右側にログ詳細５２３とが表示される。

このような表示とすると、検索条件で絞り込んだイベントログ同士を、時刻で横断して、画面上で比較することができ、指定時刻近傍で発生した複数のイベントの関連性など確認しやすくなり、利便性が向上する。本実施例では、指定時刻に最も近いイベントログのログ内容を表示することとしたが、指定時刻前の最新のイベントログを表示することとしても良い。また、例えば、指定時刻近傍の一定時間の間にイベントログが存在しない場合には、何も表示しないこととしても良い。

Ａ６−３．検索結果表示画面：
図１０は、本実施例における検索結果表示画面を例示する説明図である。図４のステップＳ１４において、「２：検索ツリー＋イベントマップ＋ログビュー」を選択した場合の検索結果表示画面を示している。

イベントログ表示画面３００は、左側から、検索ツリー３１０と、イベントマップ３２０と、ログビュー３３０とから構成されている。イベントマップ３２０およびログビュー３３０は、図８および図９において説明した通りである。

イベントマップ３２０には、タイムバー上にポインタ３２１を配置し、マウスなどのポインティングデバイスをドラッグすることによりログビュー３３０の時刻を指定する。ポインタ３２１は、矢印Ｐに示すようにドラッグしながら移動させることで、ログビュー３３０の時刻指定を連続的に行う。ログビュー３３０は、かかる連続的な時刻指定と同期しながら、ログ詳細の表示を切り換える。本実施例では、ポインタ３２１を操作することにより、時刻を連続して指定し、ログ詳細の表示を切り換えることとしたが、これに限られず所定の特定条件を入力することにより、ログ詳細の表示を切り換えることとしてもよい。
所定の特定条件とは、全検索結果に対して共通して適用される条件であり、時刻指定などが挙げられる。

このような表示とすることにより、複数の検索条件を横断して、検索結果のイベントログを表示することが可能となるため、検索条件とイベントログの発生頻度、発生傾向、イベントログのログ詳細などを一度に確認することができる。従って管理者は、イベントログの詳細解析を行いやすくなり、利便性が向上する。本実施例では、タイムバー上に配置されたポインタ３２１をドラッグすることによりログビュー３３０の時刻を指定することとしたが、例えば、ボタン、スライダ等のユーザインターフェースを設け、それらの操作により時刻を連続的に指定し、時刻の変化に伴い、表示されるイベントログの内容が切り替わることとしても良い。

Ａ７．検索ツリー編集処理：
図１１、１２は、検索ツリーの編集処理を説明するフローチャートである。画面上で検索ツリーを編集することにより、検索条件の追加、削除などを行う。管理者からの指示を受け付けて、検索条件設定部１０５が行う処理である。本実施例では、イベントソースを新たに追加し、既存の検索条件を、新たに追加したイベントソースの下位にコピーする処理を例示した。

イベントログ解析支援装置１００は、検索ツリーを編集可能な編集モードの選択を受け付け（ステップＳ６０）、管理者から、追加するイベントソースの入力を受け付ける（ステップＳ６１）。図示するように、イベントソースを追加する場合には、入力画面６００が表示され、テキストボックス６１０に、追加するイベントソース名「ＪｏｂＳｃｈｅｄｕｌｅｒＬｏｇ」を入力し、テキストボックス６２０に、任意に設定する検索名「スケジュールＪＯＢ実行」を入力する。かかる入力を受けて、イベントログ解析支援装置１００は、検索ツリーに反映する。画面上の検索ツリーに、直接入力することとしてもよい。

次に、編集可能となった検索ツリーにおいて、ドラッグアンドドロップにより検索条件をコピーする（ステップＳ６２）。図に、編集モードの検索ツリー６３０を併せて示した。検索ツリー６３０には、検索名と、その後ろに"［］"で示すように検索条件が表示される。ステップＳ６１で追加したイベントソースが、ルートノード６３１として追加されている。

検索名「Ｓｙｓｌｏｇ」の下位ノードに設定されている検索名「Ｈｏｓｔ０１」という検索条件を、図に太線矢印で示すように、検索名「スケジュールＪＯＢ実行」の下位へドラッグアンドドロップすることによりコピーする。コピーされた検索条件は、ルートノード６３１の「スケジュールＪＯＢ実行」の下位ノード６３３となる。

かかるドラッグアンドドロップによる画面上での検索条件のコピーを受け付けると、イベントログ解析支援装置１００は、検索条件格納部１０６内の検索条件の編集を行う（ステップＳ６３）。すなわち、コピーされたことで、検索条件は追加されているため、検索条件格納部１０６に検索条件の追加を反映したり、ノード間の親子関係を反映したりする。図示するように、検索条件格納部１０６は、検索ＩＤ「１１」および「１２」が追加され、検索ＩＤ「１１」の親検索ＩＤには、検索ＩＤ「１１」が設定される。検索ＩＤ「１２」の検索条件は、「ｇｒｅｐ"Ｈｏｓｔ０１"」と設定される。

イベントログ解析支援装置１００は、検索モードを終了する（ステップＳ６４）と、編集された検索条件でイベントログの再検索を行い（ステップＳ６５）、検索結果を、イベントマップ、ログビューに反映する（ステップＳ６６）。

こうすれば、既存の検索条件の移動、コピーなどによる検索条件の追加、変更を容易に行うことができる。また、かかる変更が階層構造に反映されるため、検索条件を簡易に編集することができ、利便性が向上する。本実施例では、画面上でのドラッグアンドドロップにより編集することとしたが、これに限られず、例えば、図３に示す検索条件の一覧表において、下位ノードが参照する親検索ＩＤを変更することで参照する親ノードを編集することとしてもよい

以上説明した本実施例のイベントログ解析支援装置１００によれば、以下のような利点がある。検索条件を階層構造に設定して、下位ノードの検索条件は、上位ノードで絞り込まれたイベントログを検索対象とし、検索条件と検索結果を対応づけて、複数の検索条件の検索結果を一度に確認することができるため、管理者は、イベントログの解析を効率的に行ったり、検索条件とイベントログを確認しながら検索条件の編集を行ったりすることができる。また、検索ツリーの編集を行うことにより、検索条件を画面上から直接、コピーなどの変更を行うことができ、ノード単位で細分化された検索条件を流用することができ、再利用性がある。すなわち、管理者は、イベントログを解析する際に、その都度、複雑な検索条件を作成することなく、適切な検索条件を利用することができる。また、編集された検索条件で再検索されたイベントログを即座に画面に反映することとしているため、イベントログの解析を効率的に行うことができる。

本実施例では、検索ツリーの各ノードに並べて、各検索条件で検索されたイベントログを、それぞれ表示することとしたが、検索ツリーの任意のノードを選択することにより、検索結果のイベントログを表示することとしてもよい。どのような態様であっても、検索条件と、検索結果のイベントログが対応付けられていればよい。

Ｂ．変形例
以上、本発明の種々の実施例について説明したが、本発明はこれらの実施例に限定されることなく、その趣旨を逸脱しない範囲内で種々の構成を取ることができることは言うまでもない。例えば、以下のような変形が可能である。

Ｂ１．変形例１：
例えば、階層構造に設定された検索条件と、かかる検索条件と対応付けたイベントログとの一覧表示に基づき、管理者が、管理対象機器のポリシーの起動契機となるイベントログを抽出するフィルタを作成する方法として構成してもよい。ポリシーとは、管理対象機器に実行させるべき処理の命令であり、例えば、いつ、どのような処理を実行させるか等の情報を登録した命令である。こうすれば、イベントログの発生頻度やイベントログの内容を、検索条件と対応付けて確認することができるため、管理者が、ポリシーの起動契機となるイベントログのフィルタを作成する負担を軽減することができ、利便性が向上する。

Ｂ２．変形例２：
上述した実施例では、ローカルエリアネットワーク上のコンピュータやルータを監視対象機器としたが、本発明を、監視対象機器をストレージシステムとして構成することもできる。本発明による階層構造の検索条件、イベントログの表示などを適用することができる。図１３は、変形例におけるイベントログ収集システム１０００を例示する説明図である。

イベントログ収集システム１０００は、大きく分けて、ＳＡＮ（Ｓｔｒａｇｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）とローカルエリアネットワークＬＡＮとから構成されている。ＳＡＮは、ホスト７２０と、ＳＡＮスイッチ７３０と、ストレージサブシステム７４０と、テープドライブ７５０とが、専用線８００により接続されており、各機器はそれぞれ、ＦＣ（Ｆｉｂｅｒ Ｃｈａｎｎｅｌ）インターフェース７２２，７３２，７４２、７５２により接続されている。ストレージサブシステム７４０は、ＲＡＩＤのディスクアレイを構成している。テープドライブ７５０はバックアップ先である。ＳＡＮスイッチ７３０は、ＳＡＮの各機器を接続するためのスイッチである。

各機器は、ＦＣインターフェース７２２，７３２，７４２、７５２以外に、ＬＡＮインターフェースも備えており、これを介して、ローカルエリアネットワークＬＡＮにより、イベントログ解析支援装置７００と、ＮＡＳ７１０と接続されている。ＮＡＳ７１０は、ＬＡＮに直結してファイルシステムを提供するストレージである。

イベントログ解析支援装置７００は、ＳＡＮを構成する機器からの障害などのイベントログを、ローカルエリアネットワークＬＡＮを使用して収集する。通常のデータ転送などには、転送効率の良い専用線が使用される。そのため、ネットワークの遅延や輻輳を回避しつつ、イベントログを収集することができ、好適である。

Ｂ３．変形例３：
また、イベント収集処理は、監視対象機器が一定時間で発生したイベントログを定期的にイベントログ解析支援システムに送信することとしてもよいし、イベント発生ごとに送信することとしてもよい。

Ｂ４．変形例４：
本発明は、上述のイベントログ解析支援装置の他に、イベントログ解析支援方法、イベントログ表示方法として構成することもできる。また、上述のイベントログの解析支援、イベントログの表示制御を実現するコンピュータプログラム、および、そのプログラムを記録した記録媒体、そのプログラムを含み、搬送波内に具現化されたデータ信号など種々の態様で実現することが可能である。各態様において、先に示した種々の付加的要素を適用することが可能である。

本発明をコンピュータプログラムまたはそのプログラムを記録した記録媒体等として構成する場合には、管理装置を制御するプログラム全体として構成するものとしてもよいし、本発明の機能を果たす部分のみを構成するものとしてもよい。また、記録媒体としては、フレキシブルディスクやＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、パンチカード、バーコードなどの符号が印刷された印刷物、コンピュータの内部記憶装置（ＲＯＭやＲＡＭ等のメモリ）および外部記憶装置などコンピュータが読み取り可能な種々の記録媒体を利用できる。

本実施例におけるシステム構成を例示する説明図である。 イベントログ解析支援装置１００の機能ブロックを例示する説明図である。 本実施例における検索条件を例示する説明図である。 本実施例における検索結果表示処理を説明するフローチャートである。 本実施例におけるイベントログ収集処理を説明するフローチャートである。 本実施例における検索ツリーを作成する処理を説明するフローチャートである。 本実施例における検索ツリーを作成する処理を説明するフローチャートである。 本実施例におけるイベントマップを表示する処理を説明するフローチャートである。 本実施例におけるログビューを表示する処理を説明するフローチャートである。 本実施例における検索結果表示画面を例示する説明図である。 本実施例における検索ツリー編集処理を説明するフローチャートである。 本実施例における検索ツリー編集処理を説明するフローチャートである。 変形例におけるイベントログ収集システム１０００を例示する説明図である。

符号の説明

１０...イベントログ収集システム
１００...イベントログ解析支援装置
１０１...主制御部
１０２...通信部
１０３...イベント収集部
１０４...イベント格納部
１０５...検索条件設定部
１０６...検索条件格納部
１０７...階層構造設定部
１０８...検索部
１０９...表示制御部
１１０...入力部
２００，２１０，２２０...ホスト
３００...イベントログ表示画面
３１０...検索ツリー
３２０...イベントマップ
３２１...ポインタ
３３０...ログビュー

Claims (14)

1. イベントログ解析支援装置であって、
   監視対象機器からイベントログを収集するイベントログ収集部と、
   前記収集したイベントログを格納するイベントログ格納部と、
   前記収集したイベントログから、所定のイベントログを検索する検索条件を上位の検索条件とし、該上位の検索条件に該当するイベントログに対して検索を行うために使用する検索条件を、下位の検索条件として、前記検索条件の入力、及び、検索条件同士の関係の入力を受け付ける検索条件受付部と、
   前記入力された関係に基づき、前記検索条件を階層構造に設定する検索条件設定部と、
   前記イベントログおよび前記検索条件に基づき、該イベントログの検索を実行する検索部とを備えるイベントログ解析支援装置。
2. 請求項１記載のイベントログ解析支援装置であって、
   前記上位の検索条件とは、前記イベントログの種別であり、
   前記下位の検索条件とは、前記イベントログに含まれる文字列であるイベントログ解析支援装置。
3. 請求項１記載のイベントログ解析支援装置であって、
   前記階層構造に従って、前記検索条件を表示する表示制御部を備えるイベントログ解析支援装置。
4. 請求項３記載のイベントログ解析支援装置であって、
   前記表示制御部は、前記検索条件のうち、上位の検索条件を親ノードとし、該上位の検索条件の下位の検索条件を、前記親ノードにおける子ノードとする木構造として表示するイベントログ解析支援装置。
5. 請求項１〜請求項４いずれか記載のイベントログ解析支援装置であって、
   前記いずれかの検索条件について、上位下位の関係を変更する指定を受け付ける指定受付部と、
   前記指定に基づき、前記階層構造を編集する編集部とを備えるイベントログ解析支援装置。
6. 請求項２〜請求項５いずれか記載のイベントログ解析支援装置であって、
   前記表示制御部は、更に、各検索条件により検索されたイベントログを、前記各検索条件と対応付けた所定の形態で表示するイベントログ解析支援装置。
7. 請求項６記載のイベントログ解析支援装置であって、
   前記イベントログの属性として、該イベントログが表すイベントの発生日時が含まれており、
   前記所定の形態とは、前記イベントログの発生日時に対応する箇所に、時系列的に所定の表示を行う形態であるイベントログ解析支援装置。
8. 請求項６または請求項７記載のイベントログ解析支援装置であって、
   前記検索されたイベントログから、各検索条件ごとの所定のイベントログを抽出する抽出条件を入力する条件入力部を備え、
   前記表示制御部は、前記抽出されたイベントログの内容を表示するイベントログ解析支援装置。
9. 監視対象機器から収集したイベントログを表示するイベントログ表示装置であって、
   前記監視対象機器から収集したイベントログから、所定のイベントログを検索するための複数の検索条件を入力する入力部と、
   前記各検索条件ごとに検索されたイベントログのうち、表示すべきイベントログを特定する所定の特定条件を入力する特定条件入力部と、
   前記特定されたイベントログの内容を、前記複数の検索条件と対応付けて、一覧表示する表示部とを備えるイベントログ表示装置。
10. 監視対象機器から収集したイベントログから所定のイベントログの検索を実行するイベントログ検索方法であって、
    （ａ）監視対象機器からイベントログを収集する工程と、
    （ｂ）前記収集したイベントログを格納する工程と、
    （ｃ）前記収集したイベントログから、所定のイベントログを検索する検索条件を上位の検索条件とし、該上位の検索条件に該当するイベントログに対して検索を行うために使用する検索条件を、下位の検索条件として、前記検索条件の入力、及び、検索条件同士の関係の入力を受け付ける工程と、
    （ｄ）前記入力された関係に基づき、前記検索条件を階層構造に設定する工程と、
    （ｅ）前記イベントログおよび前記検索条件に基づき、該イベントログの検索を実行する工程とを備えるイベントログ検索方法。
11. 監視対象機器から収集したイベントログを表示するイベントログ表示方法であって、
    （ａ）前記監視対象機器から収集したイベントログから、所定のイベントログを検索するための複数の検索条件を入力する工程と、
    （ｂ）前記各検索条件ごとに検索されたイベントログのうち、表示すべきイベントログを特定する所定の特定条件を入力する工程と、
    （ｃ）前記特定されたイベントログの内容を、前記複数の検索条件と対応付けて、一覧表示する工程とを備えるイベントログ表示方法。
12. コンピュータに、監視対象機器のイベントログの検索を実行させるコンピュータプログラムであって、
    監視対象機器からイベントログを収集する機能と、
    前記収集したイベントログを格納する機能と、
    前記収集したイベントログから、所定のイベントログを検索する検索条件を上位の検索条件とし、該上位の検索条件に該当するイベントログに対して検索を行うために使用する検索条件を、下位の検索条件として、前記検索条件の入力、及び、検索条件同士の関係の入力を受け付ける機能と、
    前記入力された関係に基づき、前記検索条件を階層構造に設定する機能と、
    前記イベントログおよび前記検索条件に基づき、該イベントログの検索を実行する機能とをコンピュータに実現させるためのコンピュータプログラム。
13. 監視対象機器から収集したイベントログを、コンピュータに表示させるためのコンピュータプログラムであって、
    前記監視対象機器から収集したイベントログから、所定のイベントログを検索するための複数の検索条件を入力する機能と、
    前記各検索条件ごとに検索されたイベントログのうち、表示すべきイベントログを特定する所定の特定条件を入力する機能と、
    前記特定されたイベントログの内容を、前記複数の検索条件と対応付けて一覧表示する機能とをコンピュータに実現させるためのコンピュータプログラム。
14. 請求項１２、または、請求項１３記載のコンピュータプログラムを、コンピュータ読み取り可能に記録した記録媒体。

Images