JP6501159B2

JP6501159B2 - Analysis and translation of operation records of computer devices, output of information for audit and trend analysis device of the system.

Info

Publication number: JP6501159B2
Application number: JP2015187392A
Authority: JP
Inventors: 整一伊藤; 由之久鍋; 利和石崎
Original assignee: AMIYA CO.,LTD
Current assignee: AMIYA CO.,LTD
Priority date: 2015-09-04
Filing date: 2015-09-04
Publication date: 2019-04-17
Anticipated expiration: 2035-09-04
Also published as: MY189366A; TW201719474A; TWI722001B; SG11201801619RA; JP2017049962A; WO2017038221A1

Description

本発明は、ユーザがコンピュータ装置を操作する際、出力されるログ情報を解析翻訳し、対象となるコンピュータ装置に対する操作や動作記録を平易な自然言語に翻訳したレポートを出力し、改善点を助言する技術装置に関するものである。The present invention analyzes and translates the output log information when the user operates the computer device, outputs a report in which the operation or operation record for the target computer device is translated into a simple natural language, and advises improvement points Relates to a technical device.

コンピュータ装置にはそのコンピュータ装置上で稼動するＯＳを含めた全てのソフトウェアの動作をログファイルとして記録する機能を有するが、ＯＳ内部の挙動が全て記録され情報量が膨大で複雑になるため、人間が読解するのに困難な内容となっている。Although the computer device has a function to record the operation of all software including the OS running on the computer device as a log file, all the behavior inside the OS is recorded, and the amount of information becomes huge and complicated. Content is difficult to read.

一方で、個人情報保護法遵守の為のモニターリングや、情報が不正に持ち出されるなどの情報漏えいした時の原因調査などを速やかに行えるようにする必要が有る。On the other hand, it is necessary to be able to promptly perform monitoring for compliance with the Personal Information Protection Law, and investigation of causes when information leaks such as illegally taking out information.

様々なコンピュータの動作を記録するログはＯＳやその上で稼動するソフトウェアによって出力されるが上記［０００２］で記した様に情報量が膨大で複雑かつ人間が読解するのに困難な為、ログファイルの解析・翻訳といった技術が必要とされる。Logs that record various computer operations are output by the OS and the software that runs on it, but as noted in the above [0002], the amount of information is huge and complex and difficult for humans to read, so the log Techniques such as file analysis and translation are required.

蓄積されたログファイルを解析し改善点を発見し、最適化を図る為の改善情報が必要とされる。具体的には、アクセス権が有るにも関わらずアクセスしないファイル、誰もアクセスする事のないファイル、アクセスが集中するサーバなどの情報の可視化と過去情報からの統計分析といった技術が必要とされる。Improvement information is needed to analyze the accumulated log files, find improvements, and optimize. Specifically, there is a need for techniques such as visualization of information such as files that are not accessed despite having access rights, files that are not accessed by anyone, servers where access is concentrated, and statistical analysis from past information .

特許文献１から４に示したような先行技術は有るが、これらの技術では必要なログを判断し間引く事によって通信上のトラフィックを軽減する事は可能で有るが、ログを更に解析し誰でもが、何時何をどのように誰が操作したかを簡単に理解できるようにする事は不可能である。これでは、コンピュータが出力するログファイルが持つ情報の効率的利用ができ無い。
本技術は、コンピュータログデータを解析し、その内容を人間が理解できる自然言語に翻訳し、今後の技術や運用の改善に利用できるようにすると言った特徴がある。Although there are prior arts as shown in Patent Documents 1 to 4, it is possible to reduce communication traffic by judging and thinning out necessary logs with these techniques, but anyone who analyzes the logs further can However, it is impossible to make it easy to understand when, what, how and who operated. This makes it impossible to efficiently use the information contained in the log file output by the computer.
The present technology is characterized in that it analyzes computer log data, translates the contents into a natural language that can be understood by humans, and can be used for improvement of future technology and operation.

特開２０１１−１９１８２３号公報JP, 2011-191823, A 特開２０１１−１１３４４３号公報JP, 2011-113443, A 特開２００５−２２７８４６号公報JP 2005-227846 A 特開２０１４−１６７５８号公報JP 2014-16758 A

近年、コンピュータシステムに関わる事件や事故に対して、どのような操作が行われていたかを、インシデント管理やセキュリティ管理の観点、更に今後発達するＩｏＴ（ＩｎｔｅｒｎｅｔｏｆＴｈｉｎｇｓ）の観点から″モノ″同士がコミュニケーションをするための情報分析を効率的かつ正確に行う必要性が増している。
しかしながら、コンピュータシステムやパソコン類（スマートフォン、タブレット、ウェアラブル）、機械類（産業機器、一般機器、乗り物）、その他のモノ（家電、家具、建築物）がＩｏＴとして接続されるが、これらの機器類が出力するログ情報のままでは、機械的に時間軸に沿ってあらゆる操作が記録されているため、情報量が膨大となり、更には解析、分析や追跡には意味をなさない情報まで記録されており、有効な情報を見つけ難くしている。
この結果、一連の操作の事実を把握することが非常に困難となり、大きな容量の保管資源も必要となっている。In recent years, what kind of operation has been performed for incidents and accidents related to computer systems, from the viewpoint of incident management and security management, and from the viewpoint of IoT (Internet of Things) to be developed in the future, “monos” There is an increasing need for efficient and accurate analysis of information for communication.
However, although computer systems, personal computers (smartphones, tablets, wearables), machinery (industrial instruments, general appliances, vehicles) and other things (home appliances, furniture, buildings) are connected as IoT, these instruments In the log information output by the system, all operations are mechanically recorded along the time axis, so the amount of information becomes enormous, and further, information that does not make sense for analysis, analysis, or tracking is recorded. Making it difficult to find useful information.
As a result, it becomes very difficult to grasp the facts of a series of operations, and a large capacity storage resource is also required.

本発明は、以下の手順を実現するためのものである。
コンピュータシステムやパソコン類（スマートフォン、タブレット、ウェアラブル）、機械類（産業機器、一般機器、乗り物）、電気製品、その他のモノ（家具、建築物）などが出力するログ情報（イベントログデータ、監査ログデータ、システムログ、アプリケーションログ、サービスログなど）を入力として、ユーザ、サーバ、対象毎にログ情報の必要項目を抽出するマッピング処理装置と、
マッピング処理の出力をユーザ、サーバ、対象毎に整列した項目の並びをルールマスタに予め定めたｎ個の操作結果の組み合わせパターンに突合せて、実際に起きた操作の形跡を辿り、
パス１処理装置の出力であるサマリ毎の追跡結果から、一定の時間内の同じ操作は一つに圧縮してパス１処理装置の出力を更に見やすい形に整える。
例えば、ｒｅａｄ及びｗｒｉｔｅが短時間で発生した場合にｒｅａｄは大きな意味を持たない為、単一のｗｒｉｔｅとしてまとめる。
マッピング処理装置、プリパス処理装置、パス１処理装置、パス２処理装置、パス３処理装置の一連の処理の結果を検索し、レポートすることによって、インシデント管理やセキュリティ管理が効率的かつ正確に行うことができ、コードやバイナリーデータなどを自然言語に翻訳するパス４処理装置と、ログ情報から改善情報を出力するパス５処理装置、パス６処理装置、パス７処理装置によって更なるログの活用を可能とする。The present invention is to realize the following procedure.
Log information (event log data, audit log) output from computer systems and PCs (smartphones, tablets, wearables), machinery (industrial instruments, general equipment, vehicles), electrical products, and other things (furniture, buildings) etc. A mapping processing device that extracts necessary items of log information for each user, server, and object, using data, system log, application log, service log, etc. as input);
Match the output of the mapping process with the combination pattern of the n operation results previously determined in the rule master with the arrangement of items arranged for each user, server, and object, and trace the evidence of the operation that actually occurred,
From the tracking result for each summary which is the output of the pass 1 processor, the same operation within a fixed time is compressed into one to arrange the output of the pass 1 processor into a more easily viewable form.
For example, if read and write occur in a short time, read does not have much meaning, so it is put together as a single write.
Efficient and accurate incident management and security management by searching and reporting the result of a series of processes of the mapping processing device, pre-pass processing device, path 1 processing device, path 2 processing device, and path 3 processing device Pass4 processing devices that translate codes, binary data, etc. into natural language, and pass5 processing devices, pass6 processing devices, and pass7 processing devices that output improvement information from log information I assume.

本発明のコンピュータ装置などのログデータ解析とログデータ翻訳装置は、利用者の専門的な知識が不要で、ログを見やすくして、本来の操作を把握できるようにするとともに、保管資源容量の大幅な節減を可能とし、細かく大量に出力されるイペントに対応するコードやバイナリーデータなどを自然言語に翻訳し、傾向分析を可能とした。 The log data analysis and log data translation apparatus such as the computer apparatus of the present invention does not require the expert knowledge of the user, and makes it easy to read the log so that the original operation can be grasped, and the storage resource capacity greatly increases. It is possible to reduce the cost, translate the codes and binary data corresponding to the events that are output in small amounts and in large quantities into natural language, and enable trend analysis.

本発明の一例を示す全体構成図 An overall configuration diagram showing an example of the present invention マッピング処理概要図 Mapping process outline プリパス１処理図 Pre-pass 1 processing diagram パス１処理図 Pass 1 processing diagram パス２処理図 Pass 2 processing diagram パス３処理図 Pass 3 processing diagram パス４処理図 Pass 4 processing diagram パス５処理図 Pass 5 processing diagram パス６処理図 Path 6 processing diagram パス７処理図 Pass 7 processing diagram

図１は、本発明の実施形態の例であるコンピュータなどが出力する１１１ログ情報を収集し、収集したログ情報を圧縮し、人間が理解しやすい自然言語にログ情報を翻訳分析する装置の全体構成図である。 FIG. 1 is an example of an embodiment of the present invention, which collects 111 log information output from a computer or the like, compresses the collected log information, and translates and analyzes the log information into a natural language easy to understand by humans. FIG.

１０１ユーザＡが１０４サーバαのファイル１０７甲、１０５サーバβのファイル１０８乙と１０９丙、
１０２ユーザＢが１０５サーバβのファイル１０８乙と１０９丙、
１０３ユーザＣが１０６サーバγのファイル１１０丁を操作すると、
コンピュータ１０４サーバα、１０５サーバβ、１０６サーバγはそれぞれ操作された時にコンピュータの動作状況を１１１ログ情報としてそれぞれ出力する。
この出力されたログ情報を１１３翻訳サーバはネットワーク等を使用し定期的に収集し一つの１１４収集ログ情報に取りまとめる。
収集した１１４収集ログ情報を読み込み１１６マッピング処理装置にて翻訳しやすいように必要なデータを加え、１１７プリパス１処理装置によりログパターンの分類を行い、１１８パス１処理装置によってログの動作を取りまとめ、１１９パス２処理装置と１２０パス３処理装置によって翻訳の取りまとめを行い、１１６マッピング処理装置から１２０パス３処理装置によってデータ量を１０００分の１から２０００分の１にし、１２１パス４処理によって人間が理解しやすい自然言語にする翻訳を行い、１２２パス５処理によってユーザのアクセス権の評価を行い、１２３パス６処理によって改善提案情報の出力をおこない、１２４パス７処理装置によってサーバの負荷統計情報の出力を行う装置の全体構成図である。101 user A is the file 107 C of the 104 server α, the file 108 乙 and 109 of the 105 server β,
102 users B are files 108 丙 and 109 丙 of 105 server β,
If 103 user C manipulates 110 files of 106 server γ,
The computer 104 server α, 105 server β, 106 server γ each output the operation status of the computer as 111 log information when operated.
The 113 translation server periodically collects this output log information using a network or the like and compiles the log information into one 114 collection log information.
The collected 114 collected log information is read and the necessary data is added for easy interpretation by the 116 mapping processor, the log pattern is classified by the 117 pre-pass 1 processor, and the log operation is summarized by the 118 pass 1 processor, Organize translation by 119 pass 2 processor and 120 pass 3 processor, and reduce data volume from 1/1000 to 1/2000 by 116 mapping processor to 120 pass 3 processor, human being by 121 pass 4 processing Perform translation to make it easy to understand natural language, evaluate user's access right by 122 pass 5 processing, output improvement proposal information by 123 pass 6 processing, load statistics information of server by 124 pass 7 processor It is a whole block diagram of the apparatus which performs an output.

発明者及び出願人が独自に名称を付している、各々のソフトウェア及び装置について本発明独自の呼称を使用しているので下記に記載する。The unique designations of the present invention are used for each software and device uniquely named by the inventor and the applicant, and are described below.

・日時：ユーザがファイルにアクセスした日時分秒。
・ユーザ：ファイルにアクセスした人又はアカウントを持つ機能。
・対象：操作に関連した事象。
ファイルアクセスの場合は、アクセスされたファイルやディレクトリ。
・詳細：操作に関連した事象で日時、ユーザ、対象以外の付加情報。
ファイルアクセスの場合は、ＡｃｃｅｓｓＶａｌｕｅ、対象のＩＰアドレス、ファイルアクセスの場合は、ＡｃｃｅｓｓＶａｌｕｅ、対象のＩＰアドレス、セッション情報。
・ＡｃｃｅｓｓＶａｌｕｅ：コードやバイナリーデータで出力された操作、動作を決定する情報。
・操作：ＯＳ、アプリケーションが判断するファイルに対する情報。（ｌｏｇｏｎ、ｌｏｇｏｆｆ、ｗｒｉｔｅ、ｒｅａｄ等々）
・サマリ表：ユーザ、サーバ、対象の組み合わせをキーとしたテーブル。実際のメモリアドレスを格納する。
・サマリＮｏ．：サマリに対し付与されるユニークなメモリ上のアドレス。
・Ｓｋｉｐ：ＯＳが出力したログ情報各行毎の要・不要の判別情報。
・ログ情報：コンピュータシステムやパソコン、スマートフォン、タブレット、ウェアラブル、産業機器、一般機器、乗り物、電気製品、医療機器、家具、建築物などが出力した動作記録やアプリケーションログ、サービスログ、システムログ、イベントログ、監査ログ、コマンド情報、デジタルデータなどの動作記録を含む。
・ログ情報テーブル：ログ情報から解析に必要な情報を解析用フォーマットに変換しメモリ上に展開した状態のテーブル。
・システムログ：コンピュータの起動や終了、管理者のｌｏｇｏｎやｌｏｇｏｆｆ、再起動、ハードウェアで発生した障害、カーネルで起きたエラー、サーバソフトやデーモン、常駐プログラムの起動や終了などの情報を記録する。
・アクセスコントロールリスト：
認証フローシステムにより設定される、個人個人の対象に対するアクセス権限が記載されている情報。
・制御情報：操作、サマリ、Ｓｋｉｐなどの情報。
・イベントログ：構成変更や障害発生など、システムで発生するさまざまな事象を記録。
・監査ログ：システムの利用者、開発者、運用者がシステムに対して実行した操作内容を時系列に記録。
・ルールマスタ：ログ情報の各行の動作を時系列に解析して判断する為のルールが記載されており、ルールの中には解析に必要な時間が記載され、この時間を一定時間と言う。
・一定時間：ルールマスタに記載されている時間であり、ルール毎に異なった時間が記載される。この時間は発明者が様々なログ情報を解析し人間が行う動作をｎ秒以内に行う場合、同一動作としてまとめられる時間の安全値として割り出した時間でルールマスタ、間隔マスタ等に定義されたルール毎に指定された秒数。
・機械語：コンピュータなどが出力する、その形状のままでは通常の人間では、理解不能なデータ等。Date and time: The date and time when the user accessed the file.
User: A function having a person or account who has accessed a file.
-Object: Events related to operations.
In the case of file access, the file or directory accessed.
Details: Event-related date and time, user, additional information other than the target.
For file access: AccessValue, target IP address, for file access: AccessValue, target IP address, session information.
• AccessValue: Information that determines the operation or behavior output as code or binary data.
-Operation: Information on the OS, the file determined by the application. (Logon, logoff, write, read etc)
Summary table: A table with a combination of users, servers and objects as keys. Stores the actual memory address.
Summary No. : Unique memory address given to the summary.
-Skip: Necessary / unnecessary discrimination information for each line of log information output by the OS.
・ Log information: Operation records and application logs, service logs, system logs, etc. output from computer systems, personal computers, smartphones, tablets, wearables, industrial equipment, general equipment, vehicles, electric appliances, medical equipment, furniture, buildings etc. Includes operation log such as event log, audit log, command information, digital data.
-Log information table: A table in the state where information necessary for analysis is converted from the log information to the analysis format and expanded on the memory.
System log: records information such as start and stop of the computer, log on and logoff of administrator, reboot, hardware failure, kernel error, start and stop of server software and daemon, resident program, etc. .
・ Access control list:
Information provided by the authentication flow system that describes the access rights to individual subjects.
Control information: Information such as operation, summary, and skip.
Event log: Records various events that occur in the system, such as configuration changes and failures.
-Audit log: A chronological record of the operations performed by the system user, developer, and operator on the system.
Rule Master: A rule for analyzing and judging the operation of each line of log information in time series is described, and the time required for the analysis is described in the rule, and this time is set as the fixed time say.
-Fixed time: The time described in the rule master, and a different time is described for each rule. This time is defined as a rule master, interval master, etc. as a time that is calculated as a safe value of the time that can be summarized as the same operation when the inventor analyzes various log information and performs human actions within n seconds. The specified number of seconds for each rule
• Machine language: Data output by a computer etc. that can not be understood by ordinary people as it is.

図２は、本発明の１１６マッピング処理装置について記載した図である。
コンピュータ等が出力する１１１ログ情報をネットワークなどにて収集し、１１４収集ログ情報にまとめ上げ、１１４収集ログ情報を読み込み、分析内容に合わせて日時、ユーザ、サーバ、対象、詳細等の項目を抽出し、２１１操作、２１２サマリＮｏ．、２１３Ｓｋｉｐなどの情報設置エリアを確保しながら抽出項目をメモリに展開しつつ、２１０詳細をキーとして２０１操作マスタの２０２詳細を検索し、対応する２０３操作を２１１操作にセットする。FIG. 2 is a diagram describing the 116 mapping processing apparatus of the present invention.
Collect 111 log information output from a computer etc via network etc., organize it into 114 collected log information, read 114 collected log information, extract items such as date, user, server, object, details etc according to analysis contents , 211 operations, 212 summary numbers. The extraction item is expanded in the memory while securing the information installation area such as 213 Skip, and the details of the 201 operation master are searched using the 210 details as a key, and the corresponding 203 operation is set to the 211 operation.

対象となる１１４収集ログ情報から解析に必要な情報項目を選び出す。本実施例では、ファイルサーバのログ情報とし、２０６日時、２０７ユーザ、２０８サーバ、２０９対象、２１０詳細の各項目を使用し、ユーザがファイルサーバに格納されているファイル操作の解析を例として取り上げる。
解析対象が車や産業機器の省エネルギーであれば、日時、一定時間の消費エネルギー、エネルギー消費機器の状況（回転数など）、外的環境（温度、湿度など）移動距離、稼動回数等を対象とする。
読み出した２０６日時、２０７ユーザ、２０８サーバ、２０９対象、２１０詳細の各項目をメモリ上の２０４ログ情報テーブルの各項目にセットし、２１０詳細を利用し２０１操作マスタの２０２詳細とマッチングさせ該当する２０３操作を２１１操作にセットし、２１２サマリＮｏ．のメモリエリアを確保し、２１３Ｓｋｉｐ項目に“ＦＡＬＳＥ”となるデフォルト値をセットし、２１４回数を格納できるメモリエリアを確保する。
ここでの“ＦＡＬＳＥ”は２０４ログ情報テーブルの各行の情報を重要なので読み飛ばしを行わないと言う意味となる。
又、２０１操作マスタに存在しない２１０詳細が有った場合は処理対象外として２０４ログ情報テーブルに“ＴＲＵＥ”と言う値をセットする。この２０１操作マスタに登録されている情報は、本発明者の過去の経験と実績による情報により作成された情報群である。
実際、コンピュータがファイルを削除する際、ディスク装置に対し読込み処理が実行され、その後にディスク装置に情報を書き込む事によってファイルが消去される。この事柄から分かるように人間の操作と実際のコンピュータの挙動は一致しないので、実際に人間がどの様な動作をしたかを解析する事が重要となる。Information items necessary for analysis are selected from the target 114 collection log information. In this embodiment, as the log information of the file server, the items of 206 date and time, 207 users, 208 servers, 209 objects, and 210 details are used, and the analysis of the file operation stored in the file server by the user is taken as an example. .
If the analysis target is energy saving of a car or industrial equipment, date and time, consumption energy for a certain time, status of energy consumption equipment (rotation speed etc.), movement distance of external environment (temperature, humidity etc.), operation frequency etc. Do.
Set the read 206 date / time, 207 users, 208 servers, 209 objects, 210 details items in each item of the 204 log information table on the memory, and use 210 details to match with 202 details of the 201 operation master. 203 operation is set to 211 operation, and 212 summary No. The memory area of (1) is secured, the default value which becomes “FALSE” is set to the item 213 Skip, and the memory area capable of storing 214 times is secured.
“FALSE” in this case means that the information in each row of the 204 log information table is important and thus the read skip is not performed.
If there are 210 details that are not present in the 201 operation master, a value "TRUE" is set in the 204 log information table as a non-process target. The information registered in the 201 operation master is an information group created from information based on the past experience and results of the inventor.
In fact, when the computer deletes a file, a reading process is performed on the disk device, and then the file is erased by writing information on the disk device. As it can be understood from this matter, human operation and actual computer behavior do not match, so it is important to analyze what human being actually did.

図３は、本発明の１１７プリパス１処理装置について記載した図である。
２０４ログ情報テーブルに存在する２０７ユーザ、２０８サーバ、２０９対象の全組合せ分の３０１サマリ表を作成し３０１サマリ表の各行にシーケンスＮｏ．を符番しメモリ上に作成し、
２０４ログ情報テーブルの２０７ユーザ、２０８サーバ、２０９対象と同じ３０１サマリ表の３０３ユーザ、３０４サーバ、３０５対象とをマッチングさせ、３０１サマリ表に振られている３０２サマリＮｏ．を２０４ログ情報テーブルの２１２サマリＮｏ．項目にセットする。FIG. 3 is a diagram describing the 117 pre-pass 1 processing apparatus of the present invention.
204 Create a 301 summary table for all combinations of 207 users, 208 servers, and 209 objects in the 204 log information table, and create a sequence No. in each row of the 301 summary table. Numbered and created on memory,
In the 204 log information table, the 207 users, the 208 servers, the 303 users in the same 301 summary table as the 209 objects, the 304 servers, the 305 objects are matched, and the 302 summary Nos. The 212 summary numbers of the 204 log information table. Set to the item.

２０４ログ情報テーブルに存在する２０７ユーザ、２０８サーバ、２０９対象の組合せにて３０１サマリ表の３０３ユーザ、３０４サーバ、３０５対象をマッチングさせ同一の組合せが無かった場合、シーケンス番号を３０２サマリＮｏ．に符番しセットして２０７ユーザ、２０８サーバ、２０９対象の組合せを３０３ユーザ、３０４サーバ、３０５対象にセットし全組合せ分の３０１サマリ表をメモリ上に作成する。
全ての組合せを３０１サマリ表に作成した後、
２０４ログ情報テーブルの２０７ユーザ、２０８サーバ、２０９対象と同じ３０１サマリ表の３０３ユーザ、３０４サーバ、３０５対象とをマッチングさせ、３０１サマリ表に振られている３０２サマリＮｏ．を２０４ログ情報テーブルの２１２サマリＮｏ．項目にセットする。If there are 207 users in the 204 log information table, 208 servers, and a combination of 209 targets, the 303 users in the 301 summary table, 304 servers, and 305 targets are matched and there is no identical combination, the sequence number is 302 summary No. The combinations of 207 users, 208 servers, and 209 targets are set to 303 users, 304 servers, and 305 targets, and 301 summary tables for all combinations are created on the memory.
After creating all combinations in the 301 summary table,
In the 204 log information table, the 207 users, the 208 servers, the 303 users in the same 301 summary table as the 209 objects, the 304 servers, the 305 objects are matched, and the 302 summary Nos. The 212 summary numbers of the 204 log information table. Set to the item.

図４は、本発明のパス１処理装置について記載した図である。
メモリに展開している２０４ログ情報テーブルの先頭から処理し、
２１２サマリＮｏ．を利用して複数行に渡る同一ユーザ、サーバ、対象を追跡し、２１０詳細の出現パターンを４０１ルールマスタに照らし合わせ、出現パターンがマッチした場合、４０４基本シーケンス以外にマッチした２０４ログ情報テーブル各行の２１３Ｓｋｉｐを“ＴＲＵＥ”に更新する。FIG. 4 is a diagram describing the pass 1 processing apparatus of the present invention.
Process from the top of the 204 log information table developed in memory,
212 Summary No. Track the same user, server, and object across multiple lines by using, compare the appearance pattern of 210 details with the 401 rule master, and when the appearance pattern matches, 204 log information table rows that match other than the 404 basic sequence Update 213Skip to "TRUE".

メモリに展開している２０４ログ情報テーブルの先頭から処理し、
２０５Ｓｅｑ＃“１”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”なので処理対象とし
２１０詳細が“＄％＃０９７”であり４０１ルールマスタの４０４基本シーケンスに同一情報が４０２ＩＤ“１”にあるので、これを記憶し、
２１２サマリＮｏ．の同一データ“▲１▼”を探すと２０５Ｓｅｑ＃“２”に２１２サマリＮｏ．に同一データ“▲１▼”を探すことができ、２０５Ｓｅｑ＃“２”の２１０詳細のデータが“＄％＃２５７４４５ｙ７ｎｃｏ９ｙｗ９８３”なので、４０２ＩＤ“１”の４０６シーケンス１と比較すると同一データであり、４０２ＩＤ“１”の４０７シーケンス２にはデータが無く且つ、４０５一定時間が“３”であり、２０６日時の差がこの場合“０”で在ったので、２０５Ｓｅｑ＃“１”の２１１操作をｒｅａｄと判断し２１１操作を“ｒｅａｄ”とし、
２１３Ｓｋｉｐを“ＦＡＬＳＥ”のままとし、２０５Ｓｅｑ＃“２”の２１３Ｓｋｉｐを“ＴＲＵＥ”とする。
次に、ポインタを１つ進めるが、２０５Ｓｅｑ＃“２”の２１３Ｓｋｉｐが“ＴＲＵＥ”なので処理対象外としポインタを１つ進める。
２０５Ｓｅｑ＃“３”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”なので処理対象とし
２１０詳細が“＄％＃３８ａ２″ｅｈ４８ｗ”であり４０１ルールマスタの４０４基本シーケンスに同一情報が４０２ＩＤ“２”にあるので、これを記憶し、
２１２サマリＮｏ．の同一データ“▲２▼”を探すと本実施例で使用の図４上の２０４ログ情報テーブルの２１２サマリＮｏ．には“▲２▼”と言うデータが他には無いので、２１３Ｓｋｉｐを“ＦＡＬＳＥ”のままとしポインタを１つ進める。
次に、２０５Ｓｅｑ＃“４”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”なので処理対象とし
２１０詳細が“＄％＃２５７４４５ｙ７ｎｃｏ９ｙｗ９８３”であり４０１ルールマスタの４０４基本シーケンスに同一情報が無いので、２１３Ｓｋｉｐを“ＦＡＬＳＥ”のままとしポインタを１つ進める。
次に、２０５Ｓｅｑ＃“５”の２１３Ｓｋｉｐが“ＴＲＵＥ”なので処理対象外としポインタを１つ進める。
次に、２０５Ｓｅｑ＃“６”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”なので処理対象とし
２１０詳細が“＄％＃２５７４４５ｙ７ｎｃｏ９ｙｗ９８３”であり４０１ルールマスタの４０４基本シーケンスに同一情報が無いので、２１３Ｓｋｉｐを“ＦＡＬＳＥ”のままとしポインタを１つ進める。
２０５Ｓｅｑ＃“７”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”なので処理対象とし
２１０詳細が“＄％＃０９７”であり４０１ルールマスタの４０４基本シーケンスに同一情報が４０２ＩＤ“１”にあるので、これを記憶し、
２１２サマリＮｏ．の同一データ“▲１▼”を探すと２０５Ｓｅｑ＃“８”に２１２サマリＮｏ．に同一データ“▲１▼”を探すことができ、２０５Ｓｅｑ＃“８”の２１０詳細のデータが“＄％＃２５７４４５ｙ７ｎｃｏ９ｙｗ９８３”なので、４０２ＩＤ“１”の４０６シーケンス１と比較すると同一データであり、４０２ＩＤ“１”の４０７シーケンス２にはデータが無く且つ、４０５一定時間が“３”であり、２０６日時の差がこの場合“１”で在ったので、２０５Ｓｅｑ＃“７”の２１１操作をｒｅａｄと判断し２１１操作を“ｒｅａｄ”とし、
２１３Ｓｋｉｐを“ＦＡＬＳＥ”とし、２０５Ｓｅｑ＃“８”の２１３Ｓｋｉｐを“ＴＲＵＥ”としポインタを１つ進める。
次に、ポインタを１つ進めるが、２０５Ｓｅｑ＃“８”の２１３Ｓｋｉｐが“ＴＲＵＥ”なので処理対象外としポインタを１つ進めるが、データが終了するので本処理を終了し次の処理を実行する。Process from the top of the 204 log information table developed in memory,
Since 213Skip of 205Seq # "1" is "FALSE", the processing target is 210 details "$% # 097" and the same information is stored in the 402 basic sequence of the 401 rule master as the 402ID "1".
212 Summary No. If the same data “▲ 1” of is searched for 205 Seq # “2”, the 212 summary No. The same data “▲ 1” can be searched for, and since the data of 210 details of 205 Seq # “2” is “$% # 257445 y 7 nco 9 y w 983”, it is the same data as compared to 406 Sequence 1 of 402 ID “1”. There is no data in the 407 sequence 2 of "1" and there is no data in the 405 constant time "3", and the difference of the 206 date and time is "0" in this case, so read 211 operation of 205 Seq # "1". It is judged that 211 operation is "read",
Leave 213Skip as "FALSE", and set 213Skip of 205Seq # "2" as "TRUE".
Next, the pointer is advanced by one, but since 213Skip of 205Seq # "2" is "TRUE", it is excluded from the processing target and the pointer is advanced by one.
Since 213Skip of 205Seq # "3" is "FALSE", the processing target is 210 and the details of "210%" are "$% # 38a2" eh 48w "and the same information is stored in the 402 basic sequence of the 401 rule master as 402ID" 2 ". And
212 Summary No. If the same data “2” of “2” is searched for in the second embodiment, the 212 summary No. of the 204 log information table in FIG. Since there is no other data to say "2" in, leave 213Skip as "FALSE" and advance the pointer by one.
Next, since 213Skip of 205Seq # "4" is "FALSE", the target of processing is 210 details are "$% # 257445y7nco9yw983" and there is no identical information in the 404 basic sequence of the 401 rule master, so 213Skip remains "FALSE". And advance the pointer by one.
Next, since 213Skip of 205Seq # “5” is “TRUE”, it is excluded from the processing target and the pointer is advanced by one.
Next, since 213Skip of 205Seq # "6" is "FALSE", the target of processing is 210 details are "$% # 257445y7nco9yw983" and there is no identical information in the 404 basic sequence of the 401 rule master, so 213Skip remains "FALSE". And advance the pointer by one.
Since 213Skip of 205Seq # "7" is "FALSE" and the processing target is 210 details "$% # 097" and the same information is in 402ID "1" in the 404 basic sequence of the 401 rule master, it is stored
212 Summary No. Of the same data “▲ 1” of 205Seq # “8” and 212 summary numbers. The same data “▲ 1” can be searched for, and since the data of 210 details of 205Seq # “8” is “$% # 257445y7nco9yw983”, it is the same data as compared to the 406 sequence 1 of 402ID “1”, 402ID There is no data in the 407 sequence 2 of "1" and there is no data in the 405 constant time "3", and the difference of the 206 date and time is "1" in this case, so read 211 operation of 205Seq # "7". It is judged that 211 operation is "read",
Set 213Skip to "FALSE", set 213Skip of 205Seq # "8" to "TRUE" and advance the pointer by one.
Next, the pointer is advanced by one, but since 213Skip of 205Seq # “8” is “TRUE”, it is excluded from the processing target and the pointer is advanced by one. However, since the data is completed, this processing ends and the next processing is executed.

図５は、本発明のパス２処理装置について記載した図である。
メモリに展開している２０４ログ情報テーブル中のＦＡＬＳＥ”の物だけを対象とし、５０１間隔マスタに従い前後一定間隔内の同一２１１操作２１２サマリＮｏ．、のデータをまとめ上げ、２１４回数に同一２１１操作２１２サマリＮｏ．、をカウントし回数をセットする。FIG. 5 is a diagram describing the pass 2 processing apparatus of the present invention.
Only the object of FALSE "in the 204 log information table developed in the memory is targeted, and the data of the same 211 operation 212 summary No. within fixed intervals before and after the interval master is collected according to the 501 interval master. 212 Count the summary number, and set the number.

メモリに展開している２０４ログ情報テーブルの先頭から処理し、
２０５Ｓｅｑ＃“１”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”２１１操作が“ｒｅａｄ”なので
５０１間隔マスタの５０２動作を調べると“ｒｅａｄ”が有り５０３間隔は“２”と成っているので前後２秒間を調査する為に、２１１操作“ｒｅａｄ”２１２サマリＮｏ．“▲１▼”と２０５Ｓｅｑ＃“１”のポインタを記憶し、マッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“２”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“３”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”では有るが、
２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“４”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“５”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“６”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“７”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”であり、２１２サマリＮｏ．が“▲１▼”であり、２１１操作がｒｅａｄなので前記にて記憶したポインタつまり２０５Ｓｅｑ＃“１”のデフォルト値１の２１４回数に１を加え２としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“８”のＳｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進めると
２０４ログ情報テーブルのデータ全てを処理したので、ポインタに１加え２番目の２０５Ｓｅｑ＃“２”を処理するが、
２１３Ｓｋｉｐは“ＴＲＵＥ”なので何もせずにポインタを１つ進める。
２０５Ｓｅｑ＃“３”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”２１１操作が“ｒｅａｄ”なので
５０１間隔マスタの５０２動作を調べると“ｒｅａｄ”が有り５０３間隔は“２”と成っているので前後２秒間を調査する為に、２１１操作“ｒｅａｄ”２１２サマリＮｏ．“▲２▼”と２０５Ｓｅｑ＃“３”のポインタを記憶し、マッチ処理ポインタを２秒前の場所にずらす。本実施例では、２０６日時から２秒前は２０４ログ情報テーブルの先頭データとなる。
２０５Ｓｅｑ＃“１”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“２”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“３”は現在処理中のデータなので、マッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“４”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”では有るが、
２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“５”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“６”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“７”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“８”のＳｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進めると
２０４ログ情報テーブルのデータ全てを処理したが、同一２１１操作“ｒｅａｄ”２１２サマリＮｏ．“▲２▼”が存在しなかったので２０５Ｓｅｑ＃“３”の２１４回数に１をセットする。
ポインタに１加え４番目の２０５Ｓｅｑ＃“４”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”２１１操作が“ｗｒｉｔｅ”なので
５０１間隔マスタの５０２動作を調べると“ｗｒｉｔｅ”が有り５０３間隔は“２”と成っているので前後２秒間を調査する為に、２１１操作“ｗｒｉｔｅ”２１２サマリＮｏ．“▲１▼”と２０５Ｓｅｑ＃“４”のポインタを記憶し、マッチ処理ポインタを２秒前の場所にずらす。本実施例では、２０６日時から２秒前は２０４ログ情報テーブルの先頭データとなる。
２０５Ｓｅｑ＃“１”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“２”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“３”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“４”は現在処理中のデータなので、マッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“５”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“６”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“７”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“８”のＳｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進めると
２０４ログ情報テーブルのデータ全てを処理したが、同一２１１操作“ｗｒｉｔｅ”２１２サマリＮｏ．“▲１▼”が存在しなかったので２０５Ｓｅｑ＃“４”の２１４回数に１をセットする。
ポインタに１加え５番目の２０５Ｓｅｑ＃“５”の２１３Ｓｋｉｐが“ＴＲＵＥ”なので処理対象外とする。
ポインタに１加え６番目の２０５Ｓｅｑ＃“６”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”２１１操作が“ｗｒｉｔｅ”なので
５０１間隔マスタの５０２動作を調べると“ｗｒｉｔｅ”が有り５０３間隔は“２”と成っているので前後２秒間を調査する為に、２１１操作“ｗｒｉｔｅ”２１２サマリＮｏ．“▲３▼”と２０５Ｓｅｑ＃“６”のポインタを記憶し、マッチ処理ポインタを２秒前の場所にずらす。本実施例では、２０６日時から２秒前は２０４ログ情報テーブルの先頭データとなる。
２０５Ｓｅｑ＃“１”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“２”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“３”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“４”の２１３Ｓｋｉｐは“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“５”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“６”は現在処理中のデータなので、マッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“７”の２１３Ｓｋｉｐが“ＦＡＬＳＥ”では有るが、２１１操作と２１２サマリＮｏ．がマッチしないので処理対象外としマッチ処理ポインタを１つ進める。
２０５Ｓｅｑ＃“８”のＳｋｉｐは“ＴＲＵＥ”なので処理対象外としマッチ処理ポインタを１つ進めると
２０４ログ情報テーブルのデータ全てを処理したが、同一２１１操作“ｗｒｉｔｅ”２１２サマリＮｏ．“▲３▼”が存在しなかったので２０５Ｓｅｑ＃“６”の２１４回数に１をセットする。
ポインタに１加え２０５Ｓｅｑ＃“７”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としポインタを１つ進める。
ポインタに１加え２０５Ｓｅｑ＃“８”の２１３Ｓｋｉｐは“ＴＲＵＥ”なので処理対象外としポインタを１つ進めると全てのデータを処理したので次の処理を行う。
本項番記載の処理を繰り返す事によって２１４回数は、図５の下段に記載の２０４ログ情報テーブルのような状態となる。Process from the top of the 204 log information table developed in memory,
Since 213Skip of 205Seq # “1” is “FALSE” 211 operation is “read” and “502” of the 501 interval master operation is checked, there is “read” and 503 interval is “2”. In step 211, “read” 212 summary No. The pointers “1” and 205 Seq # “1” are stored, and the match processing pointer is advanced by one.
Since 213Skip of 205Seq # "2" is "TRUE", it is not processed and the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "3" is "FALSE",
211 operations and 212 summary numbers. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "4" is "FALSE""FALSE", 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Since 213Skip of 205Seq # "5" is "TRUE", it is excluded from the processing target and the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "6" is "FALSE""FALSE", 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
213Skip of 205Seq # "7" is "FALSE", and 212 summary No. Is “1”, and since the operation 211 is “read”, 1 is added to the stored number of the pointer stored in the above, ie, 214 times of the default value 1 of 205 Seq # “1” to 2 and advance the match processing pointer by one.
205Seq # “8” Skip is “TRUE”, so it is excluded from the processing target and when the match processing pointer is advanced by one, all data in the 204 log information table is processed, so 1 is added to the pointer and the second 205Seq # “2” is processed But
Since 213 Skip is "TRUE", the pointer is advanced by one without doing anything.
Since 213Skip of 205Seq # "3" is "FALSE" 211 operation is "read", when the 502 operation of the 501 interval master is checked, there is "read" and the interval is "2", so 2 seconds before and after is checked In step 211, “read” 212 summary No. The pointers “2” and 205Seq # “3” are stored, and the match processing pointer is shifted to a place two seconds ago. In the present embodiment, two seconds before the 206th date and time is the head data of the 204 log information table.
Although 213Skip of 205Seq # "1" is "FALSE", operations of 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Since 213Skip of 205Seq # "2" is "TRUE", it is not processed and the match processing pointer is advanced by one.
Since 205 Seq # “3” is data currently being processed, the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "4" is "FALSE",
211 operations and 212 summary numbers. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Since 213Skip of 205Seq # "5" is "TRUE", it is excluded from the processing target and the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "6" is "FALSE""FALSE", 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "7" is "FALSE""FALSE", 211 operations and 212 summary numbers are detected. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Since Skip of 205 Seq # “8” is “TRUE”, if it is excluded from the processing target and the match processing pointer is advanced by one, all the data of the 204 log information table is processed, but the same 211 operation “read” 212 summary No. Since “2” did not exist, 1 is set to 214 times of 205 Seq # “3”.
As 213Skip of 205Seq # "4" of 1 plus 4 in the pointer is "FALSE" 211 operation is "write", when the 502 operation of the 501 interval master is checked, "write" exists and 503 interval is "2". In order to investigate two seconds before and after, 211 operation "write" 212 summary No. The pointers “1” and 205 Seq # “4” are stored, and the match processing pointer is shifted to a place two seconds ago. In the present embodiment, two seconds before the 206th date and time is the head data of the 204 log information table.
Although 213Skip of 205Seq # "1" is "FALSE", operations of 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and advances the match processing pointer by one.
Since 213Skip of 205Seq # "2" is "TRUE", it is not processed and the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "3" is "FALSE", operations of 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and advances the match processing pointer by one.
Since 205 Seq # “4” is data currently being processed, the match processing pointer is advanced by one.
Since 213Skip of 205Seq # "5" is "TRUE", it is excluded from the processing target and the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "6" is "FALSE", operations of 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and advances the match processing pointer by one.
Although 213Skip of 205Seq # "7" is "FALSE", operations of 211 operations and 212 summary numbers are performed. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
As Skip of 205 Seq # “8” is “TRUE”, if it is excluded from the processing target and the match processing pointer is advanced by one, all the data of the 204 log information table is processed, but the same 211 operation “write” 212 summary No. Since “▲ 1” did not exist, 1 is set to 214 times of 205 Seq # “4”.
Since 213Skip of 205Seq # "5" which is 1 plus 5 is "TRUE" is not processed.
Since 213Skip of 205Seq # “6” of “1” plus 6 is “FALSE” 211 is “write” and “502” of the 501 interval master is checked, “write” exists and 503 interval is “2”. In order to investigate two seconds before and after, 211 operation "write" 212 summary No. The pointers “3” and 205 Seq # “6” are stored, and the match processing pointer is shifted to a place two seconds ago. In the present embodiment, two seconds before the 206th date and time is the head data of the 204 log information table.
Although 213Skip of 205Seq # "1" is "FALSE", operations of 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Since 213Skip of 205Seq # "2" is "TRUE", it is excluded from the processing target and the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "3" is "FALSE", operations of 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "4" is "FALSE", operations of 211 operations and 212 summary Nos. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Since 213Skip of 205Seq # "5" is "TRUE", it is excluded from the processing target and the match processing pointer is advanced by one.
Since 205 Seq # “6” is data currently being processed, the match processing pointer is advanced by one.
Although 213Skip of 205Seq # "7" is "FALSE", operations of 211 operations and 212 summary numbers are performed. Since it does not match, it is excluded from the processing target and the match processing pointer is advanced by one.
Since Skip of 205 Seq # “8” is “TRUE”, it is excluded from the processing target and all the data in the 204 log information table is processed if the match processing pointer is advanced by one. Since “3” did not exist, 1 is set to 214 times of 205 Seq # “6”.
Since 1 is added to the pointer and 213Skip of 205Seq # "7" is "TRUE", it is excluded from the processing target and the pointer is advanced by one.
Since 1 is added to the pointer and 213Skip of 205Seq # “8” is “TRUE”, if it is excluded from the processing target and the pointer is advanced by one, all the data are processed and the next processing is performed.
By repeating the process described in this item number, the 214 number of times becomes a state similar to the 204 log information table described in the lower part of FIG.

図６は、本発明のパス３処理装置について記載した図である。
コンピュータの動作は人間からの１つの命令に対し複数の動作を行う。ファイルのｄｅｌｅｔｅを行う時、コンピュータはディスク上に有るインデックス情報を読み取り、その後インデックス情報を消すと言った動作を行う。実際の人間が行った動作だけを記載する為には複数の動作をまとめ上げる必要が有り、６０１動作マスタに従い２０４ログ情報テーブルの２１２サマリＮｏ．毎に２１１操作をチェックし実際に人間が行った操作を確定する。FIG. 6 is a diagram describing the pass 3 processing apparatus of the present invention.
The operation of a computer performs a plurality of operations on one instruction from a human. When deleting a file, the computer reads the index information on the disk, and then deletes the index information. In order to describe only the actions actually performed by a person, it is necessary to put together a plurality of actions, and according to the 601 action master, the 212 summary No. of the 204 log information table. Each time the operation 211 is checked to confirm the operation actually performed by a human.

図６のメモリに展開している２０４ログ情報テーブルの先頭から処理し、２０５Ｓｅｑ＃“１”２１３Ｓｋｉｐが“ＦＡＬＥＳ”でかつ、２１２サマリＮｏ．が“▲１▼”、２１１操作が初めて“ｒｅａｄ”なので、２１１操作“ｒｅａｄ”２１２サマリＮｏ．“▲１▼”とポインタを記憶し、処理する為のポインタを１つ進める。
２０５Ｓｅｑ＃“２”の２１３Ｓｋｉｐは“ＴＲＵＥ”なのでポインタを１つ進め１つ進め、
２０５Ｓｅｑ＃“３”の２１２サマリＮｏ．は“▲２▼”なのでポインタを１つ進め、
２０５Ｓｅｑ＃“４”の２１２サマリＮｏ．は“▲１▼”であり２１１操作が“ｗｒｉｔｅ”なので記憶した“ｒｅａｄ”と“ｗｒｉｔｅ”の組合せが６０１動作マスタにマッチするパターンが有るか調査すると、６０２基本動作“ｗｒｉｔｅ”の行の６０３従属動作１と６０４従属動作２が“ｒｅａｄ”、“ｗｒｉｔｅ”と並びマッチするので、“ｗｒｉｔｅ”を記録する。
ポインタを１つ進め、
２０５Ｓｅｑ＃“５”の２１３Ｓｋｉｐは“ＴＲＵＥ”なのでポインタを１つ進め、
２０５Ｓｅｑ＃“６”の２１２サマリＮｏ．は“▲３▼”なのでポインタを１つ進め、
２０５Ｓｅｑ＃“７”の２１３Ｓｋｉｐは“ＴＲＵＥ”なのでポインタを１つ進め、
２０５Ｓｅｑ＃“７”の２１３Ｓｋｉｐは“ＴＲＵＥ”なのでポインタを１つ進めるとデータが終了するので、２０５Ｓｅｑ＃“１”と２０５Ｓｅｑ＃“４”の組合せは、６０１動作マスタから“ｗｒｉｔｅ”と判断し、２０４ログ情報テーブル（１）の２０５Ｓｅｑ＃“１”の２１３Ｓｋｉｐを“ＴＲＵＥ”に変更する。
本項番の先頭から記載の処理を以降繰り返し図６下段の２０４ログ情報テーブルのような状態となる。
図６下段の２０４ログ情報テーブルの先頭から処理し、
２１３Ｓｋｉｐが“ＦＡＬＥＳ”のものだけ２０６日時、２０７ユーザ、２０８サーバ、２０９対象、２１４回数を１２４アクセスログのデータとして出力する。
これにより１１１ログ情報を１０００分の１から２０００分の１に圧縮する事ができ、この処理はメモリ上で全て行うために処理速度が格段に速い。Processing is performed from the head of the 204 log information table developed in the memory of FIG. 6, and 205 Seq # “1” 213 Skip is “FALES” and “212 Summary No.”. Is “▲ 1 ▼”, and the operation 211 is “read” for the first time. The pointer is stored as “1” and the pointer for processing is advanced by one.
Since 213Skip of 205Seq # "2" is "TRUE", the pointer is advanced by one and one by one.
205 summary number of 205 Seq # “3”. Is "2", so move the pointer one step,
205 summary number of 205 Seq # “4”. Is “1”, and since the 211 operation is “write”, it is checked whether there is a pattern in which the combination of “read” and “write” stored matches the 601 operation master. Since the subordinate operation 1 and the subordinate operation 2 match "read" and "write" in sequence, "write" is recorded.
Advance the pointer,
Since 213Skip of 205Seq # "5" is "TRUE", the pointer is advanced by one.
212 Summary No. of 205 Seq # “6”. Is "▲ 3 ▼", so advance the pointer by one.
Since 213Skip of 205Seq # "7" is "TRUE", the pointer is advanced by one.
Since 213Skip of 205Seq # "7" is "TRUE" and the data ends when the pointer is advanced by 1, the combination of 205Seq # "1" and 205Seq # "4" is judged as "write" from the 601 operation master, Change 213Skip of 205Seq # “1” in the log information table (1) to “TRUE”.
The processing described from the top of this item number is repeated thereafter and the state is as in the 204 log information table in the lower part of FIG.
Process from the top of the 204 log information table at the bottom of Fig. 6,
If 213 Skip is "FALES", the date and time of 206 days, 207 users, 208 servers, 209 objects, 214 times are output as 124 access log data.
As a result, the 111 log information can be compressed from 1/1000 to 1/2000, and this processing is extremely fast because it is all performed on the memory.

図７は、本発明のパス４処理装置について記載した図である。
パス３でファイルとして出力した１２４アクセスログから６１２ユーザを元に、ユーザの行った行動を、７０１辞書マスタを利用し自然言語に翻訳する。自然言語にする事により、人間が読めるシステム監査証跡、勤怠管理、日報、週報等に利用可能なレポートが自動作成され、７０１辞書マスタを変更する事によってどの様な機械が出力するデータでも自然言語に変換が可能となる。FIG. 7 is a diagram describing the pass 4 processing apparatus of the present invention.
From the 124 access log output as a file in pass 3, based on the 612 user, the user's action is translated into a natural language using the 701 dictionary master. By making it a natural language, reports that can be used for human-readable system audit trails, attendance management, daily reports, weekly reports etc. are automatically created, and data output by any machine by changing the 701 dictionary master is a natural language Conversion is possible.

１２４アクセスログの６１２ユーザを中心に実施例を説明する。
１２４アクセスログの１行目を読込み、６１２ユーザ“Ａ”の６１５操作“ｌｏｇｏｎ”をキーとし７０１辞書マスタを検索し、７０２操作１に“ｌｏｇｏｎ”があり、７０５日付が“○”、７０６改行が“○”なので６１１日時の日付部分と改行コードを１２６自然言語レポートファイルに出力する。
次に６１１日時の時間を出力し、７０１辞書マスタとマッチングした７０４文章の“｛｝”で囲まれている部分に該当する情報を当てはめる。
本ケースの場合は、７０１辞書マスタの７０２操作１が“ｌｏｇｏｎ”の７０４文章の“｛ユーザ｝”に対応する６１２ユーザと“｛サーバ｝”に対応する６１３サーバを当てはめて、１２６自然言語レポートファイルに出力する。
次の同一６１２ユーザ、６１５操作が“ｌｏｇｏｆｆ”の場合、読点“、”と改行コードを書き込み、辞書マスタに従いｌｏｇｏｆｆの処理を行う。
しかし、次の同一６１２ユーザ“Ａ”の６１５操作が“ｒｅａｄ”なので、７０１辞書マスタの７０２操作１の“ｒｅａｄ”を検索し、
７０１辞書マスタ中に２つのケースがあり、“ｗｒｉｔｅ”が続くパターンが有るので、１２４アクセスログに同一６１２ユーザが“Ａ”で６１３サーバが“α”で、６１４対象が“甲”の条件の下２１１操作が“ｗｒｉｔｅ”の物を探す。
６１１日時が“２０１５／０６／２４２０：３９：４９”のデータと“２０１５／０６・２４２０：５９：０５”がマッチするので、
７０１辞書マスタの７０２操作１が“ｒｅａｄ”、７０３操作２が“ｗｒｉｔｅ”の７０４文書の“｛対象｝”に６１４対象を当てはめ、１２４アクセスログの時間と７０４文章とカンマと改行コードを１２６自然言語レポートに出力する。
次に、ポインタを６１１日時“２０１５／０６／２４２０：３７：４６”の次の位置にずらして、６１２ユーザ“Ａ”の動作を追うと新たなパターンが６１１日時“２０１５／０６／２４２１：０５：４９”と６１１日時“２０１５／０６／２４２１：０５：５８”に有り、７０１辞書マスタの７０２操作１、７０３操作２が“ｗｒｉｔｅ”のパターンとマッチするので、７０４文章の“｛対象｝”に６１４対象をはめ込み、７０４文章とカンマ、改行コードを１２６自然言語レポートに出力する。
次に、ポインタを６１１日時“２０１５／０６／２４２１：０５：４９”の次の位置にずらして、６１２ユーザ“Ａ”の動作を追うと新たなパターンが６１１日時“２０１５／０６／２４２１：１０：５５”にあり、７０１辞書マスタの７０２操作１がｌｏｇｏｆｆのパターンとマッチするので、
７０４文章の“｛ユーザ｝”に対応する６１２ユーザと“｛サーバ｝”に対応する６１３サーバを当てはめて、７０４文章とカンマ、改行コードを１２６自然言語レポートに出力する。
１２６自然言語レポートのように人間が読める内容に出力される為、最初のｌｏｇｏｎと最後のｌｏｇｏｆｆを“ＹＹ年ＭＭ月ＤＤ日ＨＨ時ＭＭ分に出勤し、ＨＨ時ＭＭに退社した。”と言った勤務表などにも応用する事が可能となる。The embodiment will be described focusing on 612 users of 124 access logs.
The first line of the 124 access log is read, and the 612 user "A" 615 operation "logon" is searched using the 701 dictionary master as a key, 702 operation 1 has "logon", 705 dates are "○", 706 newlines Since “が” is “o”, the date part of 611 days and the line feed code are output to the 126 natural language report file.
Next, the time of day 611 is output, and the information corresponding to the portion enclosed by “{}” of 704 sentences matched with the 701 dictionary master is applied.
In this case, the 702 dictionary master's 702 operation 1 applies the 612 user corresponding to the "user" of 704 sentences of "logon" and the 613 server corresponding to the "server", and the 126 natural language reports Output to a file
If the next identical user 612 and the operation 615 are "logoff", the reading point "," and a line feed code are written, and logoff processing is performed according to the dictionary master.
However, since the next 615 operation of the same 612 user "A" is "read", search for "read" in 702 operation 1 of 701 dictionary master,
There are two cases in the 701 dictionary master, and there is a pattern that "write" follows, so the same 612 user in the 124 access log is "A", the 613 server is "α", and the 614 target is "A" condition. The bottom 211 operations look for "write" objects.
Because the data of “2015/06/24 20:39:49” and the “2015/06/24 20:59:05” match on the 611th date and time,
Apply 614 objects to “{target}” of 704 document of 702 operation 1 of 701 dictionary master “read” and 703 operation 2 of “write”, and 124 access log time, 704 sentences, 126 comma and new line code Output to language report.
Next, move the pointer to the next position of 611 date and time “2015/06/24 20:37:46” and follow the operation of the 612 user “A” and a new pattern becomes 611 date and time “2015/06/24 21 Since “05: 49” and 611 date and time “2015/06/24 21: 05: 58”, and 702 operation 1 of the 701 dictionary master and 703 operation 2 match the pattern of “write”, 704 sentences “{ Insert "614 objects" into "objects", and output 704 sentences, commas, and line feed codes to 126 natural language reports.
Next, move the pointer to the next position of 611 date and time “2015/06/24 21:05:49” and follow the operation of the 612 user “A” and a new pattern becomes 611 date and time “2015/06/24 21 Since the 702 operation 1 of the 701 dictionary master matches the logoff pattern,
Applying the 612 users corresponding to “{user}” of 704 sentences and the 613 server corresponding to “{server}”, the 704 sentences and commas and the line feed code are output to 126 natural language reports.
126 The first logon and the last logoff are output as “natural language report like human-readable content”, saying “we went to work at YY MM MM DD DD H H MM and left H H MM”. It will be possible to apply it to work schedules etc.

図８は、本発明のパス５処理装置について記載した図である。
本実施例では、電子承認ワークフローシステム等を使用し予め設定されたユーザ毎の利用できるサーバ、対象、権限、申請期間、承認日時、削除日時などの情報と、８０１アクセスログ（ユーザソート）の８０３ユーザをキーとして、８０５対象に対するアクセス権限の妥当性を確認し、１２７警告レポートの８２１警告に確認内容を書き込む。FIG. 8 is a diagram describing the pass 5 processing apparatus of the present invention.
In this embodiment, information such as an available server, object, authority, application period, approval date, deletion date, etc. of 801 access logs (user sort) for each user set in advance using an electronic approval workflow system etc. Using the user as a key, check the validity of the access authority for the 805 targets, and write the confirmation content in the 821 warning of the 127 warning report.

１２５アクセスログを６１２ユーザでソートし出力した８０１アクセスログ（ユーザソート）の８０３ユーザ“Ａ”が８０２日時”２０１５／０６／２１１０：３５：４０に８０４サーバ“α”８０５対象“甲”を８０６操作からｒｅａｄした事が分かる。
８０１アクセスログ（ユーザソート）の８０３ユーザ、８０４サーバ、８０５対象をキーとし８１１アクセスコントロールリストの８１２ユーザ、８１３サーバ、８１４対象とをマッチングさせ８１６申請期間、８１７承認日時、８１８削除日時の情報から８１２ユーザ“Ａ”は、８１３サーバ“α”８１４対象“甲”のアクセス権が８１８削除日時から２０１５／０６／２０に取り消されたことが分かる。
しかし、実際には８０３ユーザ“Ａ”が８０２日時”２０１５／０６／２１１０：３５：４０“に８０４サーバ“α”８０５対象“甲”を操作からｒｅａｄしている。
この事実から推測できる事は、
・アクセス権の設定を管理者が間違えている。
・アクセス権を誰かが不正に操作した。
・アクセス管理システムの異常発生。
・ハッキング等の不正アクセスが発生した。
この為、１２７警告レポートに８０２日時、８０３ユーザ、８０４サーバ、８０５対象、８０６操作と８２１警告に“ｒｅａｄ権限削除済み”と警告情報を出力する。
この様な不一致が発生した時、“ｒｅａｄ権限”と具体的な権限違反の警告を表示する事ができる。803 user "A" of 801 access log (user sort) which sorted and output 125 access logs by 612 users, 802 server "α" 805 target "A" at 802 date and time "2015/06/21 10:35:40" It is understood that read from 806 operation.
801 access log (user sort) 803 user, 804 server, 805 target as key, 812 user of 811 access control list, 813 server, 814 target is matched and 816 application period, 817 approval date, 818 deletion date information The 812 user “A” can see that the access right of the “813” server “α” 814 subject “A” has been revoked from 818 deletion date on June 20, 2015.
However, in fact, the 803 user “A” reads “804” “805” target “A” from the operation on the 802 date and time “2015/06/21 10:35:40”.
What can be inferred from this fact is
-The administrator made a mistake in the setting of the access right.
・ Someone illegally operated the access right.
・ Access control system error occurrence.
・ Unauthorized access such as hacking occurred.
Therefore, the warning information of “date with deleted read authority” is output as the date and time of 802, the user of 803, the server of 804, the object of 805, the operation of 806 and the alert of 821 in 127 alert reports.
When such a mismatch occurs, "read authority" and a warning of specific authority violation can be displayed.

図９は、本発明のパス６処理装置について記載した図である。
本実施例では、過去のアクセス履歴を蓄積し、蓄積したアクセス記録を元に実ファイルのアクセス状況を比較し、管理者が予め設定した指示情報を元に、一定期間以上誰もアクセスしていないファイルが存在した場合、アラームレポートを出力したり、自動的に削除したり、自動的にストレージにバックアップしたりする。FIG. 9 is a diagram describing the pass 6 processing apparatus of the present invention.
In the present embodiment, the past access history is accumulated, the access status of the real file is compared based on the accumulated access record, and based on the instruction information preset by the administrator, no one has accessed for a certain period or more If the file exists, output an alarm report, automatically delete it, or automatically backup it to storage.

１２５アクセスログを６１３サーバでソートし出力した９０１アクセスログ（サーバソート）の９０４サーバ、９０５対象をキーとし、１２８アクセス履歴とマッチングさせ同一の９１１サーバ、９１２対象を持つ行の９１４最終アクセス日を９０２日時の日付に、９１５監査日を本処理日に、９１６経過日数を本日から９１４最終アクセス日から引いた日数に更新する。
９１６経過日数が、予め管理者が設定した指示情報の日数を超えている場合、アラームレポートを出力し、管理者の指示により９０５対象のファイルを自動的に削除したり、ストレージにバックアップしたりする。
本実施例にては、８１１アクセスコントロールリストの８１６申請期間を過ぎた日数を指示情報の日数となり、１２８アクセス履歴の９１６経過日数が“５３６”のデータが対象となる。The access log is sorted by the 613 server, and the 904 access log (server sort) of the 901 access log (server sort) is used as a key, matched with the 128 access history, the same 911 server, 914 last access date of the row with 912 targets On the date of 902, the 915 audit date is updated to the processing date, and 916 days elapsed from today to 914 last access date.
If the number of days passed by 916 exceeds the number of days of the instruction information set in advance by the administrator, an alarm report is output, and files of 905 targets are automatically deleted or backed up to storage according to the administrator's instruction. .
In the present embodiment, the number of days after the 816 application period of the 811 access control list is the number of days of the instruction information, and the data having “536” of the 916 elapsed days of the 128 access history is targeted.

図１０は、本発明のパス７処理装置について記載した図である。
本実施例では、半期、四半期、毎月等、一定期間内のサーバ内に有るファイルのアクセス頻度を計量し１００５比率１やアクセスに伴う処理量を算出し、将来の各サーバの負荷分散を考慮するレポートを出力する。FIG. 10 is a diagram describing the pass 7 processing apparatus of the present invention.
In this embodiment, the access frequency of the file in the server within a fixed period, such as half year, quarter, monthly, etc., is measured, the processing amount associated with the 1005 ratio 1 or access is calculated, and the load distribution of each server in the future is considered. Output a report.

１２５アクセスログの２０６日時の年月部分、２０７ユーザ、２０８サーバ、２０９対象と２１１操作をキーとし、１２９動作改善情報とマッチングし該当する１００４回数に、１２５アクセスログの２０７サーバ、２０８対象、２０６ユーザ、２０５日時の日付部分と２１０操作の出現回数を数え、１００４回数に加える。
２０３ログ情報テーブルの行を全て処理した後に、
１００４回数の値を使用し、月、四半期単位にてアクセス比等の統計情報を算出する。
本実施例では１００４回数を月単位で全てのサーバの１００４回数から百分率にして情報を１００５比率１には対象単位、１００６比率２にはサーバ単位にセットしている。
この事により、人間が実際に行った操作からのアクセス頻度を知ることができる。205 access log year and month part of 206 access date, 207 users, 208 servers, 209 targets and 211 operations as keys, matching with operation improvement information of 129 and corresponding 1004 times of the access servers of 207 access servers, 208 targets, 206 Count the number of occurrences of the user, the date part of 205 date and time, and 210 operations, and add it to 1004 times.
After processing all 203 log information table rows,
Calculate the statistical information such as the access ratio on a monthly and quarterly basis using the value of 1004 times.
In the present embodiment, the information is set as a target unit for 1005 ratio 1 and a server unit for 1006 ratio 2 by converting 1004 times from 1004 times of all the servers 100% on a monthly basis.
By this, it is possible to know the access frequency from the operation actually performed by a human.

９０２統計情報の各項目は自在に変える事が可能である為、通信回線の利用頻度、通信回線の通信料などあらゆる統計情報の解析が可能となる。
アクセス内容毎の負荷分析により処理内容及びプログラミングの改善を図る事が可能と成る。Since each item of the statistical information 902 can be freely changed, it is possible to analyze all statistical information such as the frequency of use of the communication line and the communication fee of the communication line.
It becomes possible to improve processing content and programming by analyzing the load for each access content.

昨今、コンピュータの普及により増加するコンピュータ犯罪に対応するように刑法でも、電磁的記録不正作出罪、電磁的記録毀棄罪、電子計算機損壊等業務妨害罪や、電子計算機使用詐欺罪と法律が厳しくなってきている。しかし、監視、監査体制を強化し誰でもが、何時誰が何をしたかが解るシステムを導入する事によって、リスク管理システムを充実させ、この様な犯罪の抑止と言った事が行えるコンピュータ装置から出力される動作記録を解析し自然言語に翻訳し、ログを解析する事により、その動作内容を分析し、分析した内容から改善点を発見し最適化を図る技術が必要とされ、アクセス権が有るにも関わらずアクセスしないファイルのアクセス権を無くしたり、誰もアクセスする事のないファイルを削除したり、アクセスが集中するサーバの負荷分散を行い、パフォーマンスの改善、セキュリティコントロールの見直し、過去情報の蓄積と分析に対する支援情報を提供する技術装置。 In recent years, even criminal law to cope with computer crime that increases due to the spread of computer, electromagnetic record fraud, electromagnetic record abandonment crime, electronic computer damage crime such as business damage crime etc., computer crime fraud and law become stricter It is coming. However, by strengthening a monitoring and auditing system and introducing a system that allows anyone to know who did what when, it is possible to enhance the risk management system and use computer equipment that can be said to deter such crimes. By analyzing the output operation record, translating it into a natural language, and analyzing the log, a technology is needed to analyze the operation content, find improvement points from the analyzed content, and optimize the access right. Eliminate access to files that are not accessed despite their existence, delete files that are not accessed by anyone, distribute the load on servers that are concentrated on access, improve performance, review security control, and past information A technical device that provides support information for the accumulation and analysis of

Claims

対象となるコンピュータ装置群が出力する収集ログ情報を読み取り、読み取った収集ログ情報を時系列に解析する為に、収集ログ情報から日時、ユーザ、サーバ、対象、詳細を抽出してメモリ内のログ情報テーブルに配置するとともに、人間の作業に関連したログ情報の詳細と操作とを対応付けた操作マスタを用いて、前記ログ情報テーブルの詳細に前記操作マスタで対応付けられた操作を付加する機能を有するマッピング処理装置と、
前記ログ情報テーブルの、ユーザ、サーバ、対象が同じ行について、詳細の出現パターンをルールマスタに照らし合わせることによって、前記ログ情報テーブルの行の一部を処理対象外とするとともに、一定時間内の同一操作を一つに圧縮し、前記ログ情報テーブルの複数の操作の組み合わせを一つの操作に集約してアクセスログデータとして出力する第１の処理装置と、
前記アクセスログデータを自然言語に翻訳するパス４処理装置と、
を備える圧縮、翻訳サーバ。In order to read collection log information output by the target computer device group and analyze the read collection log information in chronological order, the date, user, server, target, and details are extracted from the collection log information and the log is stored in the memory A function of adding an operation associated with the operation master to the details of the log information table, using the operation master which is arranged in the information table and associates the details of the log information related to human work with the operation. A mapping processing device having
By comparing the appearance pattern of details in the log information table with the user, the server, and the target in the same manner, a part of the log information table row is excluded from the processing target, and within a certain time A first processing device that compresses the same operation into one, combines a plurality of combinations of operations in the log information table into one operation, and outputs it as access log data;
A pass 4 processor for translating the access log data into a natural language;
A compression, translation server comprising:

前記第１の処理装置は、前記ログ情報テーブルの、ユーザ、サーバ、対象が同じ行について、詳細の出現パターンをルールマスタに照らし合わせることによって、前記ログ情報テーブルの行の一部を処理対象外とするために、
前記メモリ内のログ情報テーブルに配置されたログ情報からユーザ、サーバ、対象を前記ログ情報テーブルとは別のメモリ領域上にサマリとして展開し、展開したサマリを使用し、ログ情報の複数行に渡る同一ユーザ、同一サーバ、同一対象の行を一意の集合とする機能を有するプリパス１処理装置と、
この集合と、基本シーケンスとそれに続くシーケンスの組み合わせが対応付けられたルールマスタとを照らし合わせ、前記集合内の詳細の出現パターンと前記ルールマスタのシーケンスの組み合わせとがマッチングした場合、基本シーケンス以外とマッチした前記ログ情報テーブルの行を処理対象外に設定する機能を有するパス１処理装置とを備える、請求項１に記載の圧縮、翻訳サーバ。 The first processing apparatus excludes a part of the lines of the log information table from the processing target by comparing the appearance pattern of the details with the rule master for the same row of the user, the server and the object in the log information table. In order to
From the log information arranged in the log information table in the memory, the user, the server, and the target are expanded as a summary on a memory area different from the log information table, and the expanded summary is used to make a plurality of lines of log information A pre-pass 1 processing apparatus having a function of setting the same user, the same server, and the same target row as a unique set ,
If this set is compared with a rule master in which a combination of a basic sequence and a subsequent sequence is associated, and the appearance pattern of the details in the set matches the combination of the sequence of the rule master, then other than the basic sequence The compression / translation server according to claim 1, further comprising: a path 1 processing device having a function of setting the matched log information table row as a processing target .

前記第１の処理装置は、一定時間内の同一操作を一つに圧縮し、前記ログ情報テーブルの複数の操作の組み合わせを一つの操作に集約してアクセスログデータとして出力するために、
前記パス１処理装置から出力された前記ログ情報テーブルの日時を使用し、一定時間内に発生したログ情報を判断し、一定時間内にある同一操作をカウントして取りまとめ、複数行になる操作記録を１行の操作記録に変換し有用な操作記録だけを選別する機能を有するパス２処理装置と、
前記パス２処理装置により選別したログ情報テーブルを時系列に走査して、同一ユーザ、同一サーバ、同一対象の行における操作のパターンが、基本操作と複数の従属操作とを対応付けた動作マスタにおける複数の従属操作のパターンとマッチする場合に、マッチした複数の操作のうち、プライオリティが低い操作を選別し特定の操作に吸収圧縮させてアクセスログデータとして出力する機能を有するパス３処理装置とを備える、請求項２に記載の圧縮、翻訳サーバ。 The first processing apparatus compresses the same operation within a predetermined time period into one, combines a plurality of operations of the log information table into one operation, and outputs the result as access log data.
The date and time of the log information table output from the pass 1 processor is used to determine log information that has occurred within a certain period of time, count the same operations within a certain period of time, and combine them into multiple lines of operation records A pass 2 processing device having a function of converting a single line operation record and selecting only useful operation records ;
It scans the log information table having been selected by the pass-2 processing unit in time series, the same user, the same server, the pattern of definitive operation line of the same target, operation master that associates the basic operations and a plurality of dependent operations when matching the pattern of the plurality of dependent operations in, among matched multiple operations, and path 3 processing apparatus having a function of outputting sorted a lower priority operation is absorbed compressed to a specific operation as the access log data comprising a compression according to claim 2, the translation server.