JP2015212877A - ログ管理方法、ログ管理システム、ログ管理装置及びログ管理プログラム - Google Patents

Abstract

【課題】ログデータの解析を柔軟に行うこと。【解決手段】ログ管理方法は、ログ管理システムによって実行されるログ管理方法であって、コンピュータから出力されるログデータを、予め設定された所定数の種類のうち、いずれかの種類の中間ログに変換する変換工程と、前記中間ログの種類に対応する関連づけの処理が規定されたパターンを用いて、当該中間ログと、当該中間ログとは異なる他の中間ログとの関連付けを行う関連付け工程とを含む。【選択図】図２

Description

本発明の実施形態は、ログ管理方法、ログ管理システム、ログ管理装置及びログ管理プログラムに関する。

近年、情報セキュリティの観点から、適切な情報の取り扱いが求められている。例えば、情報漏えいに対して、事前の対策と事後の対策とが提案されている。

例えば、事前の対策としては、ネットワークを通過するコンテンツを監視することで、情報漏えいを防ぐ技術がある。この技術では、例えば、コンテンツへアクセスするイベントを検知して割り込み、検知したイベントが、情報の適切な取り扱いが定義されたポリシーに反していないかが検査される。ここで、検知したイベントがポリシーに反していれば、例えば、警告やブロック等、ポリシーに応じた応答が行われる。この技術では、適用されるシステム（装置）の構成変更に応じて、ポリシーが定義される必要があるが、あらゆる構成変更に対して、ポリシーを網羅することは困難である。

このような問題を解決するために、事後の対策として、例えば、コンピュータで生成されるログデータを解析する技術がある。この技術は、例えば、企業内のコンピュータからログデータを収集し、収集したログデータの関係性を調べることで、コンテンツがどのように扱われてきたのか、その経過を明らかにする。この技術は、例えば、コンテンツの監視技術で網羅されていなくとも、情報漏えいの経過を明らかにする。

元田敏浩、永吉剛、秋葉淳哉、竹内格、「トレーサビリティ基盤ＴＲＸ」、ＮＴＴ技術ジャーナル、２０１４年３月号、ｐｐ．５７−６２

しかしながら、上述した従来技術には、ログデータの解析を柔軟に行うことが難しいという問題がある。

例えば、情報漏えいの箇所を特定するためには、その箇所を特定できるまで、解析対象とするログデータの種類を追加しながら解析する場合がある。ここで、ログデータを解析するためには、解析結果を得るまでの一連の処理（正規化、関連付け、グラフ化等）を行うための処理プログラムが、ログデータの種類ごとに必要となる。このため、解析対象のログデータを追加するごとに、処理プログラムを用意するための労力がかかるという問題がある。また、例えば、ログデータの種類に応じて処理プログラムが実行されるので、異なる種類のログデータ同士を関連付けることが難しいという問題もある。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、ログデータの解析を柔軟に行うことを目的とする。

実施形態に係るログ管理方法は、ログ管理システムによって実行されるログ管理方法であって、コンピュータから出力されるログデータを、予め設定された所定数の種類のうち、いずれかの種類の中間ログに変換する変換工程と、前記中間ログの種類に対応する関連づけの処理が規定されたパターンを用いて、当該中間ログと、当該中間ログとは異なる他の中間ログとの関連付けを行う関連付け工程とを含む。

本願の開示する技術の一つの態様によれば、ログデータの解析を柔軟に行うことができるという効果を奏する。

図１は、本実施形態に係るログ管理装置を含むネットワークシステムの構成の一例を示す図である。 図２は、本実施形態に係るログ管理装置の構成の一例を示す図である。 図３は、本実施形態に係る中間ログ記憶部に記憶される中間ログの一例を示す図である。 図４Ａは、本実施形態に係る操作種別について説明するための図である。 図４Ｂは、本実施形態に係る操作種別について説明するための図である。 図４Ｃは、本実施形態に係る操作種別について説明するための図である。 図４Ｄは、本実施形態に係る操作種別について説明するための図である。 図４Ｅは、本実施形態に係る操作種別について説明するための図である。 図５は、本実施形態に係るグラフ化ログ記憶部に記憶されるグラフ化ログの一例を示す図である。 図６は、本実施形態に係るグラフ化処理部の処理の概要を説明するための図である。 図７は、本実施形態に係るログ管理装置における処理の流れを示すフローチャートである。 図８は、本実施形態に係るグラフ化処理における処理の流れを示すフローチャートである。 図９Ａは、本実施形態に係るログ管理装置の効果について説明するための図である。 図９Ｂは、本実施形態に係るログ管理装置の効果について説明するための図である。 図１０Ａは、本実施形態に係るログ管理装置の効果について説明するための図である。 図１０Ｂは、本実施形態に係るログ管理装置の効果について説明するための図である。 図１１は、ログ管理プログラムを実行するコンピュータを示す図である。

以下に添付図面を参照して、この発明に係るログ管理方法、ログ管理システム、ログ管理装置及びログ管理プログラムの実施形態を詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。

（実施形態）
（ログ管理装置１００の構成）
図１は、本実施形態に係るログ管理装置１００を含むネットワークシステムの構成の一例を示す図である。図１に示すように、本実施形態に係るネットワークシステムは、複数のホスト１０−１，１０−２，・・・１０−ｎ（ｎは自然数）と、ユーザ端末２０と、ログ管理装置１００とを備える。複数のホスト１０−１，１０−２，・・・１０−ｎ、ユーザ端末２０及びログ管理装置１００は、ネットワーク５を介して互いに接続される。なお、以下の説明では、各ホスト１０−１，１０−２，・・・１０−ｎを区別無く総称する場合に、「ホスト１０」と表記する。また、図１は一例に過ぎない。例えば、ネットワーク５に接続されるホスト１０の数は、必ずしも複数とは限らず、１つであっても良い。

ホスト１０は、解析対象となるログデータを出力する装置である。例えば、ホスト１０は、各種の情報処理を行った場合に、Ｓｙｓｌｏｇ形式、ＣＳＶ形式、ＸＭＬ形式等、各々のフォーマットでログデータ（オリジナルログ）を出力する。ホスト１０は、例えば、ＰＣ（Personal Computer）やサーバ等、アプリケーションが稼働する情報処理装置である。

ユーザ端末２０は、ユーザが操作する端末装置である。ネットワーク５を経由してログ管理装置１００に接続し、後述のグラフ化ログを利用する。これにより、ユーザは、ホスト１０から出力されるログデータの関係性を調べ、情報漏えいの経過を明らかにすることができる。

ログ管理装置１００は、ホスト１０から出力されるログデータの解析を行う装置である。例えば、ログ管理装置１００は、解析結果であるグラフ化ログを記憶しており、ユーザからの求めに応じてグラフ化ログを適宜提供する。

図２は、本実施形態に係るログ管理装置１００の構成の一例を示す図である。図２に示すように、ログ管理装置１００は、記憶部１１０と、制御部１２０とを備える。

記憶部１１０は、ログ記憶部１１１と、変換プログラム記憶部１１２と、中間ログ記憶部１１３と、グラフ化ログ記憶部１１４とを備える。例えば、記憶部１１０は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。

ログ記憶部１１１は、ホスト１０から出力されたログデータを記憶する。例えば、ログ記憶部１１１に記憶されるログデータは、後述の収集部１２１によってホスト１０から収集され、Ｓｙｓｌｏｇ形式、ＣＳＶ形式、ＸＭＬ形式等、各々のフォーマットで記憶される。また、例えば、ログ記憶部１１１に記憶されるログデータは、後述の選択部１２２及び変換部１２３によって参照される。

なお、ログ記憶部１１１に記憶されるログデータに対しては、既存の暗号化アルゴリズム（例えば、Ｃａｍｅｌｌｉａ、ＲＦＣ３７１３等）を用いた暗号化や、タイムスタンププロトコル（例えば、ＲＦＣ３１６１）を用いたタイムスタンプの付与、ＸＭＬ署名（例えば、ＲＦＣ２８０７、ＲＦＣ３０７５）を用いた署名等の処理が別途行われても良い。

変換プログラム記憶部１１２は、ログデータを、後述の中間ログに変換するための変換プログラムを記憶する。例えば、変換プログラム記憶部１１２に記憶される変換プログラムは、解析対象とするログデータが追加される際に、追加されるログデータの種類ごとにユーザによって設定される。また、例えば、変換プログラム記憶部１１２に記憶される変換プログラムは、後述の変換部１２３によって読み出される。なお、変換プログラムの処理（変換部１２３の処理）については、後述する。

中間ログ記憶部１１３は、予め決められた所定数の種類のうち、いずれかの種類の中間ログを記憶する。例えば、中間ログ記憶部１１３は、後述の変換部１２３によって変換された中間ログを記憶する。また、例えば、中間ログ記憶部１１３は、後述のグラフ化処理部１２４によって参照される。

図３は、本実施形態に係る中間ログ記憶部１１３に記憶される中間ログの一例を示す図である。図３に示すように、中間ログ記憶部１１３に記憶される中間ログは、「ログＩＤ」と、「日時」と、「操作種別」と、「入力コンテンツＩＤリスト」と、「出力コンテンツＩＤリスト」とが対応づけられた情報である。ここで、ログＩＤは、中間ログを一意に識別するための識別子である。例えば、このログＩＤは、中間ログに変換される前のログデータのＩＤ（識別子）と同一であっても良い。日時は、イベント（ログデータ）が発生した日時を表す情報である。操作種別は、イベントにおいてコンテンツに対して行われた操作の種類を表す情報である。入力コンテンツＩＤリストは、イベントの入力となるコンテンツのコンテンツＩＤのリストである。このコンテンツＩＤとは、コンテンツを一意に識別するための識別子である。出力コンテンツＩＤリストは、イベントの出力となるコンテンツのコンテンツＩＤのリストである。例えば、コンテンツがファイルであれば、入力コンテンツＩＤ及び出力コンテンツＩＤは、ログデータで示される操作が行われたホスト１０の識別情報（例えば、ＩＰアドレスやＭＡＣアドレス）と、ファイルパスとの組み合わせで表現される。また、コンテンツがメールのメッセージであれば、入力コンテンツＩＤ及び出力コンテンツＩＤは、そのメッセージの識別情報（メッセージＩＤ等）で表現される。なお、一つの中間ログにおいて、入力コンテンツＩＤ及び出力コンテンツＩＤが異なる場合もあれば、一致する場合もある。

なお、図３は一例に過ぎない。例えば、中間ログ記憶部１１３は、必ずしも図３に例示した全ての情報を有していなくても良く、入力コンテンツＩＤ及び出力コンテンツＩＤのうち少なくとも一方を有していればよい。また、例えば、図３に例示した情報以外にも、付加的な情報として「オプション項目」を有していても良い。オプション項目は、例えば、可視化の際に使用される変換前のログデータの項目や、説明・補足に使われる情報である。オプション項目の具体例としては、ログデータで示される操作を行った主体が何かを示すための「ユーザＩＤ（ＷＨＯ）」や、ログデータで示される操作がどこで行われたのかを示すための「ホストＩＤ（ＷＨＥＲＥ）」等が挙げられる。

ここで、操作種別について説明する。本実施形態においては、操作種別は、「生成」、「削除」、「変換」、「分岐」、「合流」の５種類の情報のいずれかで表される。ここで、「生成」は、コンテンツが生成されたことを表す情報である。「削除」は、コンテンツが削除されたことを表す情報である。「変換」は、コンテンツが変換されたことを表す情報である。「分岐」は、コンテンツが複数のコンテンツに分岐したことを表す情報である。「合流」は、複数のコンテンツが一つのコンテンツに合流したことを表す情報である。

図４Ａから図４Ｅは、本実施形態に係る操作種別について説明するための図である。図４Ａには、操作種別「生成」の中間ログの一例を示し、図４Ｂには、操作種別「削除」の中間ログの一例を示し、図４Ｃには、操作種別「変換」の中間ログの一例を示し、図４Ｄには、操作種別「分岐」の中間ログの一例を示し、図４Ｅには、操作種別「合流」の中間ログの一例を示す。

図４Ａに示すように、操作種別「生成」の中間ログは、ログＩＤと、日時と、操作種別「生成」と、出力コンテンツＩＤとが対応づけられた情報である。操作種別「生成」の中間ログの例としては、新規ファイルの作成や新規メッセージの生成が挙げられる。

また、図４Ｂに示すように、操作種別「削除」の中間ログは、ログＩＤと、日時と、操作種別「削除」と、入力コンテンツＩＤとが対応づけられた情報である。操作種別「削除」の中間ログの例としては、ファイルの削除やメッセージの削除が挙げられる。

また、図４Ｃに示すように、操作種別「変換」の中間ログは、ログＩＤと、日時と、操作種別「変換」と、入力コンテンツＩＤと、出力コンテンツＩＤとが対応づけられた情報である。操作種別「変換」の中間ログの例としては、コンテンツの名前や識別子の変更、ファイルの移動や変名、コンテンツの内容（バイト列）の変化、ファイルの編集等が挙げられる。なお、コンテンツが閲覧されただけの場合には、通常、コンテンツの変化は無いので、ログデータが発生しない結果、それに対応する中間ログも存在しない。

また、図４Ｄに示すように、操作種別「分岐」の中間ログは、ログＩＤと、日時と、操作種別「分岐」と、入力コンテンツＩＤと、複数の出力コンテンツＩＤ_１〜ＩＤ_Ｎ（Ｎは自然数）とが対応づけられた情報である。操作種別「分岐」の中間ログの例としては、ファイルの複製（元のファイルから複製ファイルへの分岐）、メールへのファイルの添付（元のファイルからメールの添付ファイルへの分岐）、メールに添付されたファイルの保存（メールから保存ファイルへの分岐）等が挙げられる。

また、図４Ｅに示すように、操作種別「合流」の中間ログは、ログＩＤと、日時と、操作種別「合流」と、複数の入力コンテンツＩＤ_１〜ＩＤ_Ｎ（Ｎは自然数）と、出力コンテンツＩＤとが対応づけられた情報である。操作種別「合流」の中間ログの例としては、ファイルの圧縮が挙げられる。

グラフ化ログ記憶部１１４は、後述のグラフ化ログを記憶する。例えば、グラフ化ログ記憶部１１４は、後述のグラフ化処理部１２４によって生成されるグラフ化ログを記憶する。ここで、グラフ化ログは、中間ログと、その中間ログとは異なる他の中間ログとの関連付けを表す情報である。グラフ化ログ記憶部１１４に記憶されたグラフ化ログは、ユーザ端末２０から検索や閲覧が可能な状態で格納される。なお、グラフ化ログを記憶する記憶領域は、「グラフ化ログ領域」とも称される。また、グラフ化ログは、単に「ノード」とも称される。

図５は、本実施形態に係るグラフ化ログ記憶部１１４に記憶されるグラフ化ログの一例を示す図である。図５に示すように、グラフ化ログ記憶部１１４に記憶されるグラフ化ログは、「ログＩＤ」と、「日時」と、「操作種別」と、「入力ログリスト」と、「出力ログリスト」とが対応づけられた情報である。ここで、ログＩＤは、ノードを一意に識別するための識別子であり、中間ログと同一のログＩＤによって表される。日時は、ログＩＤに対応するログデータが発生した日時を表す情報である。操作種別は、ログＩＤに対応するログデータにおいてコンテンツに対して行われた操作の種類を表す情報である。入力ログリストは、ログＩＤに対応する操作の入力となったコンテンツのコンテンツＩＤと、そのコンテンツを出力した操作のログＩＤとが対応づけられた情報のリストである。出力ログリストは、ログＩＤに対応する操作により出力されたコンテンツのコンテンツＩＤと、そのコンテンツを入力とした操作のログＩＤとが対応づけられた情報のリストである。例えば、入力ログリスト及び出力ログリストによって、ノード間の関連付け（一方向或いは双方向のリンク関係）が形成される。

なお、図５は一例に過ぎない。例えば、グラフ化ログ記憶部１１４は、中間ログ記憶部１１３と同様に、「オプション項目」を有していても良い。

制御部１２０は、収集部１２１と、選択部１２２と、変換部１２３と、グラフ化処理部１２４とを備える。例えば、制御部１２０は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１２０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されても良い。

収集部１２１は、ログデータを収集する。例えば、収集部１２１は、各ホスト１０からログデータが出力されるごとに、出力されたログデータを受信する。そして、収集部１２１は、受信したログデータをログ記憶部１１１に格納する。

なお、収集部１２１は、受動的にログデータを収集するのみならず、能動的に収集しても良い。この場合、例えば、各ホスト１０で生成されたログデータは、ホスト１０に保存される。そして、収集部１２１は、所定のタイミングで各ホスト１０に保存されたログデータを収集する。言い換えると、収集部１２１としては、ログデータを収集するための既存の技術を広く適用可能である。例えば、収集部１２１としては、ＵＮＩＸ（登録商標）系で利用されるＳｙｓｌｏｇプロトコル（ＲＦＣ３１６４，ＲＦＣ５４２４）や、ファイル転送で利用されるＦＴＰ（ＲＦＣ９５９）、ＳＣＰ／ＳＳＨ（ＲＦＣ４２５０，ＲＦＣ４２５１，ＲＦＣ４２５２，ＲＦＣ４２５３，ＲＦＣ４２５４，ＲＦＣ４２５５，ＲＦＣ４２５６）等が単独、若しくは適宜組み合わせて適用されて良い。

選択部１２２は、変換プログラムを選択する。例えば、選択部１２２は、解析対象（処理対象）であるログデータをログ記憶部１１１から取得する。そして、選択部１２２は、変換プログラム記憶部１１２を参照し、解析対象であるログデータの種類に対応する変換プログラムを選択する。そして、選択部１２２は、解析対象であるログデータと、選択した変換プログラムを示す情報とを、変換部１２３に出力する。

なお、選択部１２２によって選択される変換プログラムは、ログデータの種類に応じて予め設定されている。例えば、選択部１２２は、特定のホスト１０によって出力されたログデータ、若しくは特定のアプリケーションによって出力されたログデータ等、そのログデータの種類を、そのログデータに対応づけられた情報を用いて識別し、特定の変換プログラムを選択する。

変換部１２３は、ホスト１０から出力されるログデータを中間ログに変換する。例えば、変換部１２３は、選択部１２２から出力されたログデータと、選択した変換プログラムを示す情報とを受け付ける。そして、変換部１２３は、受け付けた変換プログラムを示す情報に対応する変換プログラムを、変換プログラム記憶部１１２から読み出す。そして、変換部１２３は、読み出した変換プログラムを用いて、選択部１２２から受け付けたログデータを中間ログに変換する。

具体的には、変換部１２３は、解析対象であるログデータを入力データとして、そのログデータの種類（例えば、フォーマットの種類）に応じて、ログデータから項目を抽出する。ここで抽出される項目は、例えば、ログデータのログＩＤ、日時、操作種別、入力となるコンテンツのコンテンツＩＤ、出力となるコンテンツのコンテンツＩＤである。そして、変換部１２３は、抽出した各項目の正規化（例えば、日付の様式の統一等）を行い、正規化した各項目を対応づけることで、中間ログを生成する。言い換えると、ここで生成される中間ログは、予め設定された所定数の操作種別（生成、削除、変換、分岐、合流の５種類）に分類される。そして、変換部１２３は、変換した中間ログを変換部１２３に格納する。

グラフ化処理部１２４は、中間ログからグラフ化を行うグラフ化処理を行う。例えば、グラフ化処理部１２４は、グラフ化処理において、例えば、中間ログの種類に対応する関連づけの処理が規定されたパターン（処理パターン）を用いて、中間ログと、その中間ログとは異なる他の中間ログとの関連付けが行われる。具体的には、グラフ化処理部１２４は、ログデータで示される操作の入力となったコンテンツの識別子、又は、その操作により出力されたコンテンツの識別子が共通する中間ログ同士を関連付ける。この結果、グラフ化処理部１２４は、グラフ化ログを生成し、生成したグラフ化ログをグラフ化ログ記憶部１１４に格納する。なお、グラフ化処理部１２４は、関連付け部の一例である。

図６は、本実施形態に係るグラフ化処理部１２４の処理の概要を説明するための図である。図６に示す例では、ログＩＤ０の中間ログは、操作種別が「生成」であり、出力コンテンツが「コンテンツＩＤ０」である。また、ログＩＤ１の中間ログは、操作種別が「分岐」であり、入力コンテンツが「コンテンツＩＤ０」であり、出力コンテンツが「コンテンツＩＤＮ（Ｎは自然数）」である。また、ログＩＤ２の中間ログは、操作種別が「削除」であり、入力コンテンツが「コンテンツＩＤＮ」である。

図６に示すように、例えば、グラフ化処理部１２４は、ログＩＤ０の中間ログと、ログＩＤ１の中間ログと、ログＩＤ２の中間ログとの関連づけを行う。ここで、ログＩＤ０の中間ログの出力コンテンツと、ログＩＤ１の中間ログの入力コンテンツとが、いずれも「コンテンツＩＤ０」で一致するので、グラフ化処理部１２４は、両者の中間ログを関連付ける。また、ログＩＤ１の中間ログの出力コンテンツと、ログＩＤ２の中間ログの入力コンテンツとが、いずれも「コンテンツＩＤＮ」で一致するので、グラフ化処理部１２４は、両者の中間ログを関連付ける。

このように、グラフ化処理部１２４は、中間ログ記憶部１１３に記憶された各中間ログの関連づけを行う。なお、図６は一例に過ぎない。また、具体的には、グラフ化処理部１２４は、「生成」、「削除」、「変換」、「分岐」、「合流」の５種類の中間ログにそれぞれ対応する処理パターンを用いて、各中間ログの関連づけを行う。以下、この処理パターンについて具体的に説明する。

（生成用のグラフ化処理）
まず、操作種別「生成」の中間ログの関連付けを行うためのグラフ化処理の処理パターン（生成用のグラフ化処理）について説明する。ここでは、解析対象となる中間ログが「中間ログＡ」である場合を説明する。この中間ログＡは、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「生成」、出力コンテンツＩＤリスト「ＣＯａ」、及びオプション項目「Ｏｐｔａ」が対応づけられた情報である。

この場合、グラフ化処理部１２４は、中間ログＡの情報に基づいて、ノードを作成する。生成用のグラフ化処理では、グラフ化処理部１２４は、新規に作成されるノードの出力ログＩＤリストに、出力コンテンツＩＤリストに含まれる各コンテンツＩＤと、「ＮＵＬＬ」とが登録され、他の項目（ログＩＤ、日時、操作種別、オプション項目）は中間ログと同じ値が登録される。つまり、グラフ化処理部１２４は、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「生成」、出力ログＩＤリスト「＜ＣＯａ，ＮＵＬＬ＞」、及びオプション項目「Ｏｐｔａ」が対応づけられたノードを作成する。なお、「ＮＵＬＬ」は、空の値を示す。

（削除用のグラフ化処理）
次に、操作種別「削除」の中間ログの関連付けを行うためのグラフ化処理の処理パターン（削除用のグラフ化処理）について説明する。ここでは、解析対象となる中間ログが「中間ログＡ」である場合を説明する。この中間ログＡは、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「生成」、入力コンテンツＩＤリスト「ＣＩａ」、及びオプション項目「Ｏｐｔａ」が対応づけられた情報である。

この場合、グラフ化処理部１２４は、グラフ化領域（グラフ化ログ記憶部１１４）から、条件「解析対象の中間ログの入力コンテンツＩＤリストに含まれる各コンテンツＩＤと同一の出力コンテンツＩＤの要素を出力ログＩＤリストに有し、かつ、中間ログの日時以前の日時を有するノードのうち、最も日時が新しいノード」を満たすノードを取得する。そして、グラフ化処理部１２４は、取得したノードの出力ログＩＤリストにおいて同一のコンテンツＩＤに対応するログＩＤ「ＮＵＬＬ」に、解析対象の中間ログのログＩＤを登録する。

ここでは、グラフ化処理部１２４は、「入力コンテンツＩＤリスト「ＣＩａ」と同一の出力コンテンツＩＤの要素を出力ログＩＤリストに有し、かつ、中間ログの日時「Ｄａ」以前の日時を有するノードのうち、最も日時が新しいノード」として、ログＩＤ「Ｌｘ」のノードを取得する。そして、グラフ化処理部１２４は、取得したログＩＤ「Ｌｘ」のノードの出力ログＩＤリストの「ＣＩａ」に対応するログＩＤ「ＮＵＬＬ」に、「Ｌａ」を登録する。

また、グラフ化処理部１２４は、中間ログＡの情報に基づいて、ノードを作成する。削除用のグラフ化処理では、グラフ化処理部１２４は、新規に作成されるノードの入力ログＩＤリストに、解析対象の中間ログの入力コンテンツＩＤリストと、それぞれのコンテンツＩＤを用いて取得されたノードのログＩＤとが登録され、他の項目は中間ログと同じ値が登録される。つまり、グラフ化処理部１２４は、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「削除」、入力ログＩＤリスト「＜ＣＩａ，Ｌｘ＞」、及びオプション項目「Ｏｐｔａ」が対応づけられたノードを作成する。

（変換用のグラフ化処理）
次に、操作種別「変換」の中間ログの関連付けを行うためのグラフ化処理の処理パターン（変換用のグラフ化処理）について説明する。ここでは、解析対象となる中間ログが「中間ログＡ」である場合を説明する。この中間ログＡは、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「変換」、入力コンテンツＩＤリスト「ＣＩａ」、出力コンテンツＩＤリスト「ＣＯａ」、及びオプション項目「Ｏｐｔａ」が対応づけられた情報である。

この場合、グラフ化処理部１２４は、中間ログＡの情報に基づいて、ノードを作成する。変換用のグラフ化処理では、グラフ化処理部１２４は、新規に作成されるノードの入力ログＩＤリストには「ＮＵＬＬ」が登録され、出力ログＩＤリストには、出力コンテンツＩＤリストに含まれる各コンテンツＩＤと、「ＮＵＬＬ」とが登録され、他の項目は中間ログと同じ値が登録される。つまり、グラフ化処理部１２４は、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「変換」、入力ログＩＤリスト「ＮＵＬＬ」、出力ログＩＤリスト「＜ＣＯａ，ＮＵＬＬ＞」、及びオプション項目「Ｏｐｔａ」が対応づけられたノードを作成する。

また、グラフ化処理部１２４は、グラフ化領域から、条件「解析対象の中間ログの入力コンテンツＩＤリストに含まれる各コンテンツＩＤと同一の出力コンテンツＩＤの要素を出力ログＩＤリストに有し、かつ、中間ログの日時以前の日時を有するノードのうち、最も日時が新しいノード」を満たすノードを取得する。そして、グラフ化処理部１２４は、取得したノードの出力ログＩＤリストにおいて同一のコンテンツＩＤに対応するログＩＤ「ＮＵＬＬ」に、解析対象の中間ログのログＩＤを登録する。

ここでは、グラフ化処理部１２４は、「入力コンテンツＩＤリスト「ＣＩａ」と同一の出力コンテンツＩＤの要素を出力ログＩＤリストに有し、かつ、中間ログの日時「Ｄａ」以前の日時を有するノードのうち、最も日時が新しいノード」として、ログＩＤ「Ｌｘ」のノードを取得する。そして、グラフ化処理部１２４は、取得したログＩＤ「Ｌｘ」のノードの出力ログＩＤリストの「ＣＩａ」に対応するログＩＤ「ＮＵＬＬ」に、「Ｌａ」を登録する。

また、グラフ化処理部１２４は、作成したノードの入力ログＩＤリスト「ＮＵＬＬ」に、解析対象の中間ログの入力コンテンツＩＤリストに含まれる各コンテンツＩＤと、取得されたノードのノードＩＤとが対応づけられた情報を登録する。つまり、グラフ化処理部１２４は、作成したログＩＤ「Ｌａ」のノードの入力ログＩＤリスト「ＮＵＬＬ」に、入力ログＩＤリスト「＜ＣＩａ，Ｌｘ＞」を登録する。

（分岐用のグラフ化処理）
次に、操作種別「分岐」の中間ログの関連付けを行うためのグラフ化処理の処理パターン（分岐用のグラフ化処理）について説明する。ここでは、解析対象となる中間ログが「中間ログＡ」である場合を説明する。この中間ログＡは、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「生成」、入力コンテンツＩＤリスト「ＣＩａ」、出力コンテンツＩＤリスト「ＣＯａ１，ＣＯａ２，・・・ＣＯａＮ’（Ｎ’は自然数）」、及びオプション項目「Ｏｐｔａ」が対応づけられた情報である。

この場合、グラフ化処理部１２４は、中間ログＡの情報に基づいて、ノードを作成する。分岐用のグラフ化処理では、グラフ化処理部１２４は、新規に作成されるノードの入力ログＩＤリストには「ＮＵＬＬ」が登録され、出力ログＩＤリストには、出力コンテンツＩＤリストに含まれる各コンテンツＩＤと、「ＮＵＬＬ」とが登録され、他の項目は中間ログと同じ値が登録される。つまり、グラフ化処理部１２４は、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「分岐」、入力ログＩＤリスト「ＮＵＬＬ」、出力ログＩＤリスト「＜ＣＯａ１，ＮＵＬＬ＞，＜ＣＯａ２，ＮＵＬＬ＞，・・・＜ＣＯａＮ’，ＮＵＬＬ＞」、及びオプション項目「Ｏｐｔａ」が対応づけられたノードを作成する。

また、グラフ化処理部１２４は、グラフ化領域から、条件「解析対象の中間ログの入力コンテンツＩＤリストに含まれる各コンテンツＩＤと同一の出力コンテンツＩＤの要素を出力ログＩＤリストに有し、かつ、中間ログの日時以前の日時を有するノードのうち、最も日時が新しいノード」を満たすノードを取得する。そして、グラフ化処理部１２４は、取得したノードの出力ログＩＤリストにおいて同一のコンテンツＩＤに対応するログＩＤ「ＮＵＬＬ」に、解析対象の中間ログのログＩＤを登録する。

ここでは、グラフ化処理部１２４は、「入力コンテンツＩＤリスト「ＣＩａ」と同一の出力コンテンツＩＤの要素を出力ログＩＤリストに有し、かつ、中間ログの日時「Ｄａ」以前の日時を有するノードのうち、最も日時が新しいノード」として、ログＩＤ「Ｌｘ」のノードを取得する。そして、グラフ化処理部１２４は、取得したログＩＤ「Ｌｘ」のノードの出力ログＩＤリストの「ＣＩａ」に対応するログＩＤ「ＮＵＬＬ」に、「Ｌａ」を登録する。

また、グラフ化処理部１２４は、作成したノードの入力ログＩＤリスト「ＮＵＬＬ」に、解析対象の中間ログの入力コンテンツＩＤリストに含まれる各コンテンツＩＤと、取得されたノードのノードＩＤとが対応づけられた情報を登録する。つまり、グラフ化処理部１２４は、作成したログＩＤ「Ｌａ」のノードの入力ログＩＤリスト「ＮＵＬＬ」に、入力ログＩＤリスト「＜ＣＩａ，Ｌｘ＞」を登録する。

（合流用のグラフ化処理）
次に、操作種別「合流」の中間ログの関連付けを行うためのグラフ化処理の処理パターン（合流用のグラフ化処理）について説明する。ここでは、解析対象となる中間ログが「中間ログＡ」である場合を説明する。この中間ログＡは、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「合流」、入力コンテンツＩＤリスト「ＣＩａ１，ＣＩａ２，・・・ＣＩａＮ（Ｎは自然数）」、出力コンテンツＩＤリスト「ＣＯａ」、及びオプション項目「Ｏｐｔａ」が対応づけられた情報である。

この場合、グラフ化処理部１２４は、中間ログＡの情報に基づいて、ノードを作成する。合流用のグラフ化処理では、グラフ化処理部１２４は、新規に作成されるノードの入力ログＩＤリストには「ＮＵＬＬ」が登録され、出力ログＩＤリストには、出力コンテンツＩＤリストに含まれる各コンテンツＩＤと、「ＮＵＬＬ」とが登録され、他の項目は中間ログと同じ値が登録される。つまり、グラフ化処理部１２４は、ログＩＤ「Ｌａ」、日時「Ｄａ」、操作種別「変換」、入力ログＩＤリスト「ＮＵＬＬ」、出力ログＩＤリスト「＜ＣＯａ，ＮＵＬＬ＞」、及びオプション項目「Ｏｐｔａ」が対応づけられたノードを作成する。

また、グラフ化処理部１２４は、グラフ化領域から、条件「解析対象の中間ログの入力コンテンツＩＤリストに含まれる各コンテンツＩＤと同一の出力コンテンツＩＤの要素を出力ログＩＤリストに有し、かつ、中間ログの日時以前の日時を有するノードのうち、最も日時が新しいノード」を満たすノード群を取得する。そして、グラフ化処理部１２４は、取得したノードの出力ログＩＤリストにおいて同一のコンテンツＩＤに対応するログＩＤ「ＮＵＬＬ」に、解析対象の中間ログのログＩＤを登録する。

ここでは、グラフ化処理部１２４は、「入力コンテンツＩＤリスト「ＣＩａｉ（１≦ｉ≦Ｎ）」とそれぞれ同一の出力コンテンツＩＤの要素を出力ログＩＤリストに有し、かつ、中間ログの日時「Ｄａ」以前の日時を有するノードのうち、最も日時が新しいノード」として、ログＩＤ「Ｌｘｊ（１≦ｊ≦Ｍ，Ｍは自然数）」のノード群Ｘｊを取得する。そして、グラフ化処理部１２４は、取得したログＩＤ「Ｌｘｊ」のノードの出力ログＩＤリストの「ＣＩａｉ」に対応するログＩＤ「ＮＵＬＬ」に、「Ｌａ」を登録する。

また、グラフ化処理部１２４は、作成したノードの入力ログＩＤリスト「ＮＵＬＬ」に、解析対象の中間ログの入力コンテンツＩＤリストに含まれる各コンテンツＩＤと、取得されたノードのノードＩＤとが対応づけられた情報を登録する。つまり、グラフ化処理部１２４は、作成したログＩＤ「Ｌａ」のノードの入力ログＩＤリスト「ＮＵＬＬ」に、入力ログＩＤリスト「＜ＣＩａｉ，Ｌｘｊ＞」を登録する。

このように、グラフ化処理部１２４は、中間ログ記憶部１１３に記憶された中間ログごとに、各中間ログの種類に対応する処理パターンを用いて、他の中間ログとの関連付けを行う。そして、グラフ化処理部１２４は、関連付けによって作成されるノードをグラフ化ログ記憶部１１４に格納する。

（ログ管理装置１００における処理の流れ）
図７は、本実施形態に係るログ管理装置１００における処理の流れを示すフローチャートである。図７に示すように、ログ管理装置１００は、各ホスト１０からログデータが出力されるごとに、出力されるログデータを収集する（ステップＳ１０１）。ここで、収集されたログデータは、ログ記憶部１１１に格納される。

続いて、ログ管理装置１００は、解析対象であるログデータの種類に対応する変換プログラムを選択する（ステップＳ１０２）。そして、ログ管理装置１００は、選択した変換プログラムを用いて、収集されたログデータを中間ログに変換する（ステップＳ１０３）。ここで、中間ログは、中間ログ記憶部１１３に格納される。

そして、ログ管理装置１００は、グラフ化処理を行う（ステップＳ１０４）。ここで、図８を用いて、グラフ化処理について説明する。

図８は、本実施形態に係るグラフ化処理における処理の流れを示すフローチャートである。図８に示すように、ログ管理装置１００において、グラフ化処理部１２４は、中間ログ記憶部１１３に記憶される複数の中間ログ（中間ログ群）を日時でソートする（ステップＳ２０１）。そして、グラフ化処理部１２４は、一番古い中間ログを取り出す（ステップＳ２０２）。

続いて、グラフ化処理部１２４は、取り出した中間ログの操作種別が「生成」であるか否かを判定する（ステップＳ２０３）。ここで、「生成」であれば（ステップＳ２０３Ｙｅｓ）、グラフ化処理部１２４は、生成用のグラフ化処理を行い（ステップＳ２０４）、このグラフ化処理によって作成したノードをグラフ化ログ領域に登録する（ステップＳ２１４）。

一方、「生成」でなければ（ステップＳ２０３Ｎｏ）、グラフ化処理部１２４は、取り出した中間ログの操作種別が「削除」であるか否かを判定する（ステップＳ２０５）。ここで、「削除」であれば（ステップＳ２０５Ｙｅｓ）、グラフ化処理部１２４は、削除用のグラフ化処理を行い（ステップＳ２０６）、このグラフ化処理によって作成したノードをグラフ化ログ領域に登録する（ステップＳ２１４）。

一方、「削除」でなければ（ステップＳ２０５Ｎｏ）、グラフ化処理部１２４は、取り出した中間ログの操作種別が「変換」であるか否かを判定する（ステップＳ２０７）。ここで、「変換」であれば（ステップＳ２０７Ｙｅｓ）、グラフ化処理部１２４は、変換用のグラフ化処理を行い（ステップＳ２０８）、このグラフ化処理によって作成したノードをグラフ化ログ領域に登録する（ステップＳ２１４）。

一方、「変換」でなければ（ステップＳ２０７Ｎｏ）、グラフ化処理部１２４は、取り出した中間ログの操作種別が「分岐」であるか否かを判定する（ステップＳ２０９）。ここで、「分岐」であれば（ステップＳ２０９Ｙｅｓ）、グラフ化処理部１２４は、分岐用のグラフ化処理を行い（ステップＳ２１０）、このグラフ化処理によって作成したノードをグラフ化ログ領域に登録する（ステップＳ２１４）。

一方、「分岐」でなければ（ステップＳ２０９Ｎｏ）、グラフ化処理部１２４は、取り出した中間ログの操作種別が「合流」であるか否かを判定する（ステップＳ２１１）。ここで、「合流」であれば（ステップＳ２１１Ｙｅｓ）、グラフ化処理部１２４は、合流用のグラフ化処理を行い（ステップＳ２１２）、このグラフ化処理によって作成したノードをグラフ化ログ領域に登録する（ステップＳ２１４）。

そして、グラフ化処理部１２４は、中間ログがまだあるか否かを判定する（ステップＳ２１５）。そして、中間ログがまだある場合には（ステップＳ２１５Ｙｅｓ）、ステップＳ２０２の処理に移行する。また、中間ログがない場合には（ステップＳ２１５Ｎｏ）、処理を終了する。

なお、ステップＳ２１１において、「合流」でなければ（ステップＳ２１１Ｎｏ）、グラフ化処理部１２４は、エラーを出力し（ステップＳ２１３）、処理を終了する。

なお、図７及び図８は一例に過ぎず、上記の各処理は、処理内容が矛盾しない範囲で適宜変更されて良い。例えば、各操作種別に応じたグラフ化処理を選択する処理は、どのような順序で実行されても良い。

（ログ管理装置１００による効果）
本実施形態に係るログ管理装置１００は、ホスト１０から出力されるログデータを、所定の種類の中間ログに変換する。そして、ログ管理装置１００は、中間ログの種類に応じて、その中間ログと、その中間ログとは異なる中間ログとの関連付けを行う。このため、ログ管理装置１００は、ログデータの解析を柔軟に行うことが可能となる。

図９Ａから図１０Ｂは、本実施形態に係るログ管理装置１００の効果について説明するための図である。従来技術では、ログデータの種類に応じて、グラフ化までを行う処理プログラムが実行されていた（図９Ａ）。このため、処理プログラムごとに異なるグラフ化ログが作成されることとなるので、ログデータの種類が異なる場合には、それらのログデータ同士を関連付けることが難しかった。なお、可視化とは、例えば、ログデータ単体ではわからなかった情報を、目に見える形式で表現したり、そのような形式で提供したりすることである。

これに対して、本実施形態に係るログ管理装置１００は、ログデータの種類に応じて変換プログラムを選択し、選択した変換プログラムを用いて、ログデータを中間ログに変換する（図９Ｂ）。この中間ログは、予め設定された所定数の種類のうち、いずれかの種類で表される。そして、ログ管理装置１００は、中間ログの種類に対応する関連づけの処理パターンを用いて、関連付け（グラフ化処理）を行う。このため、ログ管理装置１００は、異なる種類のログデータ同士であっても、中間ログに変換することで、相互に関連付けを行うことができる。

また、従来技術では、グラフ化ログを生成するまでの一連の処理（正規化、関連付け、グラフ化等）を行うための処理プログラムが、ログデータの種類ごとに必要となっていた（図１０Ａ）。このため、解析対象のログデータを追加するごとに、一連の処理を行う処理プログラム、例えば、処理プログラムＮ＋１を用意するための労力がかかっていた。

これに対して、本実施形態に係るログ管理装置１００は、ログデータを中間ログに一旦変換することで、ログデータの種類に依存する処理と、共通の処理（グラフ化処理）とに分けることが可能となる（図１０Ｂ）。このため、ログ管理装置１００においては、解析対象のログデータを追加する場合、中間ログに変換するための変換プログラムＮ＋１のみを追加するだけで、グラフ化処理を追加することなく一連の処理を実行することが可能となる。このため、ログ管理装置１００は、少ない労力で解析対象のログデータを追加することが可能となる。

（その他の実施形態）
さて、これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、種々の異なる形態にて実施されて良いものである。

（システム構成）
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上述文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。例えば、ログ管理装置１００は、収集部１２１、選択部１２２及び変換部１２３を備える変換装置と、グラフ化処理部１２４を備える関連付け装置とを備えるログ管理システムとして実現されても良い。

（プログラム）
上記実施形態で説明したログ管理装置１００は、あらかじめ用意されたプログラムをコンピュータで実行することで実現することもできる。そこで、以下では、図２に示したログ管理装置１００と同様の機能を実現するログ管理プログラムを実行するコンピュータの一例を説明する。

図１１は、ログ管理プログラムを実行するコンピュータ１０００を示す図である。図１１に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図１１に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１１に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図１１に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。

ここで、図１１に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のデータ処理プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各手順を実行する。

なお、ログ管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、ログ管理プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

これらの実施例やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１００ ログ管理装置
１２３ 変換部
１２４ グラフ化処理部

Claims (8)

1. ログ管理システムによって実行されるログ管理方法であって、
   コンピュータから出力されるログデータを、予め設定された所定数の種類のうち、いずれかの種類の中間ログに変換する変換工程と、
   前記中間ログの種類に対応する関連づけの処理が規定されたパターンを用いて、当該中間ログと、当該中間ログとは異なる他の中間ログとの関連付けを行う関連付け工程と
   を含むことを特徴とするログ管理方法。
2. 前記変換工程は、前記所定数の種類を表す情報として、コンテンツが生成されたことを表す生成情報、コンテンツが削除されたことを表す削除情報、コンテンツが変換されたことを表す変換情報、コンテンツが複数のコンテンツに分岐したことを表す分岐情報、及び、複数のコンテンツが一つのコンテンツに合流したことを表す合流情報のうち、いずれかを含む前記中間ログに、前記ログデータを変換し、
   前記関連付け工程は、前記中間ログに含まれる前記生成情報、前記削除情報、前記変換情報、前記分岐情報、及び、前記合流情報のいずれかに応じて、前記関連付けを行うことを特徴とする請求項１に記載のログ管理方法。
3. 前記変換工程は、前記ログデータを、当該ログデータに応じたプログラムを用いて、前記中間ログに変換することを特徴とする請求項１又は２に記載のログ管理方法。
4. 前記変換工程は、前記ログデータを、前記ログデータを識別する識別子、コンテンツに関する操作が行われた日時、コンテンツに対して行われた操作の内容、前記操作の入力となったコンテンツの識別子のリスト、および、前記操作により出力されたコンテンツの識別子のリストのうち、いずれか一つまたは複数の項目を有する中間ログに変換することを特徴とする請求項１〜３のいずれか一つに記載のログ管理方法。
5. 前記関連付け工程は、前記操作の入力となったコンテンツの識別子、又は、前記操作により出力されたコンテンツの識別子が共通する中間ログ同士を関連付けることを特徴とする請求項４に記載のログ管理方法。
6. 変換装置と、関連付け装置とを備えたログ管理システムであって、
   前記変換装置は、コンピュータから出力されるログデータを、予め設定された所定数の種類のうち、いずれかの種類の中間ログに変換する変換部を備え、
   前記関連付け装置は、前記中間ログの種類に対応する関連づけの処理が規定されたパターンを用いて、当該中間ログと、当該中間ログとは異なる他の中間ログとの関連付けを行う関連付け部を備えることを特徴とするログ管理システム。
7. コンピュータから出力されるログデータを、予め設定された所定数の種類のうち、いずれかの種類の中間ログに変換する変換部と、
   前記中間ログの種類に対応する関連づけの処理が規定されたパターンを用いて、当該中間ログと、当該中間ログとは異なる他の中間ログとの関連付けを行う関連付け部と
   を備えることを特徴とするログ管理装置。
8. コンピュータから出力されるログデータを、予め設定された所定数の種類のうち、いずれかの種類の中間ログに変換する変換ステップと、
   前記中間ログの種類に対応する関連づけの処理が規定されたパターンを用いて、当該中間ログと、当該中間ログとは異なる他の中間ログとの関連付けを行う関連付けステップと
   をコンピュータに実行させることを特徴とするログ管理プログラム。

Images