JP6919569B2 - ログ分析システム、方法、及び記録媒体 - Google Patents

Description

本発明は、ログ分析システム、方法、及び記録媒体に関する。

システム、機器等においては、稼働中に発生したイベントの内容、稼動状況等を日時等とともに記録したログが生成される。システム等に異常が発生した際には、生成されているログを分析、解析することにより、異常の原因を特定することが行われる。

特許文献１には、管理者によるイベントログの解析を支援することを目的とするイベントログ解析装置が記載されている。特許文献１に記載されたイベント解析装置によるイベントログ表示画面では、ログビューに表示されるイベントログが、検索ツリーで表示された検索条件と関連づけて表示されている。

特開２００５−１４１６６３号公報

しかしながら、特許文献１に記載されたイベントログ解析装置では、以下に述べる不都合がある。

まず、イベントログを検索するための検索条件を事前にユーザが自ら用意する必要があるため、検索条件を作成する手間を要する。また、異常の原因を特定するためにいかなる検索条件を用意すればよいかが明らかではない。

また、階層構造に設定された検索条件を表示する検索ツリーにおいて、いかなるノードの検索条件による検索結果から優先的に確認していけばよいかが明らかではない。

システム等において既知のログの形式に合致しない新規なログ、すなわち異常なログが生成された場合、そのようなログは、未知の事象、すなわち異常が発生したことを示している。しかしながら、特許文献１に記載されるログ分析技術では、上述した不都合のため、新規なログにより示される異常に至る原因を効率よく特定することが困難であった。

本発明は、上記課題に鑑みてなされたものであって、異常に至る原因を効率よく特定することができるログ分析システム、方法、及び記録媒体を提供することを目的とする。

本発明の一観点によれば、監視対象ログのうち、記憶媒体に記憶されている形式に合致しない第１のログから、前記第１のログに含まれる変数の値を抽出する変数抽出部を有するログ分析システムが提供される。

本発明の他の観点によれば、監視対象ログのうち、記憶媒体に記憶されている形式に合致しない第１のログから、前記第１のログに含まれる変数の値を抽出する工程を有するログ分析方法が提供される。

本発明のさらに他の観点によれば、コンピュータに、監視対象ログのうち、記憶媒体に記憶されている形式に合致しない第１のログから、前記第１のログに含まれる変数の値を抽出する工程を実行させるプログラムが記録された記録媒体が提供される。

本発明によれば、異常に至る原因を効率よく特定することができる。

本発明の第１実施形態によるログ分析システム及び監視対象システムを示す概略図である。 本発明の第１実施形態によるログ分析システムの機能構成を示すブロック図である。 本発明の第１実施形態によるログ分析システムのハードウェア構成の一例を示すブロック図である。 本発明の第１実施形態によるログ分析システムにおけるパターン抽出部によるクラスタリングにより得られるログのクラスタの例を示す図である。 本発明の第１実施形態によるログ分析システムを用いたログ分析方法を示すフローチャートである。 本発明の第１実施形態によるログ分析システムにおけるログパターン格納部に格納されるログパターンの一例を示す図である。 本発明の第１実施形態によるログ分析システムにおけるパターン検査部による検査の結果を記録するテーブルの一例を示す図である。 本発明の第１実施形態によるログ分析システムにおける変数値リスト格納部に格納された変数値リストの一例を示す図である。 本発明の第１実施形態によるログ分析システムにおける検索部による検索結果の一例を示す図である。 本発明の第１実施形態によるログ分析システムにおける検索部による検索結果をグルーピングして表示した一例を示す図である。 本発明の第１実施形態によるログ分析システムにおける検索部による検索結果をグルーピングして表示した他の例を示す図である。 本発明の第２実施形態によるログ分析システムの機能構成を示すブロック図である。 本発明の第３実施形態によるログ分析システムの機能構成を示すブロック図である。 本発明の第３実施形態によるログ分析システムを用いたログ分析方法を示すフローチャートである。 本発明の第３実施形態によるログ分析システムにおける検索条件設定画面を示す図である。 本発明の第４実施形態によるログ分析システムの機能構成を示すブロック図である。 本発明の第４実施形態によるログ分析システムにおける変数置換部によるログパターンの抽出を説明する図である。 本発明の第４実施形態によるログ分析システムにおけるログパターンを登録するための登録画面の一例を示す図である。 本発明の第５実施形態によるログ分析システムの機能構成を示すブロック図である。 本発明の第５実施形態によるログ分析システムにおけるログ通知の要否を設定するための設定画面の一例を示す図である。 本発明の他の実施形態によるログ分析システムの機能構成を示すブロック図である。 本発明の変形実施形態によるログ分析システムにおける検索部による検索結果の表示例を示す図である。

［第１実施形態］
本発明の第１実施形態によるログ分析システム及びログ分析方法について図１乃至図１０を用いて説明する。

まず、本実施形態によるログ分析システム及びその監視対象である監視対象システムを含む概略構成について図１を用いて説明する。図１は、本実施形態によるログ分析システム及び監視対象システムを示す概略図である。

図１に示すように、本実施形態によるログ分析システム１には、ログ分析システム１により分析されるログを生成して出力する一又は複数の監視対象システム２がネットワーク３を介して通信可能に接続されている。ネットワーク３は、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）であるが、その種別が限定されるものではない。また、ネットワーク３は、有線のネットワークであってもよいし、無線のネットワークであってもよい。

監視対象システム２は、特定のシステムに限定されるものではないが、例えばＩＴ（Information Technology）システムである。ＩＴシステムは、サーバ、クライアント端末、ネットワーク機器その他の情報機器等の機器や、機器上で動作するシステム・ソフトウェア、アプリケーション・ソフトウェア等のソフトウェアにより構成される。監視対象システム２は、稼動中に発生したイベントの内容、稼働中の状況等を記録したログを生成する。監視対象システム２により生成されたログは、本実施形態によるログ分析システム１に入力されて分析される監視対象ログとなる。なお、本実施形態によるログ分析システム１は、ログを生成するシステム、機器、装置であれば、あらゆるものを監視対象とすることができ、監視対象が生成するログを分析することができる。

本実施形態によるログ分析システム１には、監視対象システム２において生成されたログがネットワーク３を介して入力されるようになっている。監視対象システム２からログ分析システム１にログを入力する態様は、特に限定されるものではなく、監視対象システム２の構成等に応じて適宜選択することができる。

例えば、監視対象システム２における通知エージェントが、監視対象システム２において生成されたログをログ分析システム１に送信することにより、ログ分析システム１にログを入力することができる。ログを送信するプロトコルは、特に限定されるものではなく、ログを生成するシステムの構成等に応じて適宜選択することができる。例えば、プロトコルとして、ｓｙｓｌｏｇプロトコル、ＦＴＰ（File Transfer Protocol）、ＦＴＰＳ（File Transfer Protocol over TLS（Transport Layer Security）/SSL（Secure Sockets Layer））、ＳＦＴＰ（SSH（Secure Shell） File Transfer Protocol）を用いることができる。また、監視対象システム２が、生成したログをログ分析システム１とファイル共有で共有することにより、ログ分析システム１にログを入力することができる。ログを共有するファイル共有は、特に限定されるものではなく、ログを生成するシステムの構成等に応じて適宜選択することができる。例えば、ファイル共有として、ＳＭＢ（Server Message Block）又はこれを拡張したＣＩＦＳ（Common Internet File System）によるファイル共有を用いることができる。

なお、本実施形態によるログ分析システム１は、必ずしも監視対象システム２とネットワーク３を介して通信可能に接続されている必要はない。例えば、ログ分析システム１は、監視対象システム２からログを収集するログ収集システム（不図示）とネットワーク３を介して通信可能に接続されていてもよい。この場合、監視対象システム２で生成されたログは、一旦、ログ収集システムにより収集され、ログ収集システムからネットワーク３を介してログ分析システム１に入力される。

以下、本実施形態によるログ分析システム１の具体的構成についてさらに図２及び図３を用いて説明する。図２は、本実施形態によるログ分析システムの機能構成を示すブロック図である。図３は、本実施形態によるログ分析システムのハードウェア構成の一例を示すブロック図である。

図２に示すように、本実施形態によるログ分析システム１は、ログを分析するための各種の処理を実行する処理部１０を有している。また、ログ分析システム１は、監視対象ログ、並びに後述のログパターン、変数値リスト、及び学習用ログを格納する記憶部２０を有している。さらに、ログ分析システム１は、分析結果が出力されて表示される表示部３０を有している。

処理部１０は、ログ取得部１０２と、パターン検査部１０４と、変数値マッチング部１０６と、検索部１０８と、出力部１１０とを有している。処理部１０は、さらに、パターン抽出指示取得部１１２と、パターン抽出部１１４とを有している。

記憶部２０は、監視対象ログを格納する監視対象ログ格納部２０２と、ログパターンを格納するログパターン格納部２０４と、変数値リストを格納する変数値リスト格納部２０６と、学習用ログを格納する学習用ログ格納部２０８とを有している。記憶部２０は、例えば記憶媒体により構成される。記憶部２０の各部は、同一の記憶媒体により構成されてもよいし、複数の記憶媒体により構成されてもよい。

表示部３０は、処理部１０により出力されるログ分析の結果を表示するものである。表示部３０は、ディスプレイ、プリンタ等の出力装置により構成される。

本実施形態によるログ分析システム１による分析の対象となるログは、監視対象システム２又はこれに含まれる構成要素により定期又は不定期に生成されて出力されたものである。ログは、監視対象システム２又はこれに含まれる構成要素の稼働中に発生したイベントの内容、稼働中の状況等が記録されたものである。例えば、ログは、ある時刻に発生したイベント、ある時刻における状況を示すメッセージになっている。また、ログは、イベントの内容等のほか、生成された時刻を示すタイムスタンプ、そのログを生成した構成要素の名称等の他の情報をさらに含むことができる。また、ログは、例えば、一行又は複数行のテキストデータであり、情報の単位として１以上のフィールドを含むことができる。複数のフィールドは、セパレータ又はデリミタにより区切られていてもよいし、区切られずに連続するものであってもよい。連続するフィールドは、単語、形態素、文字種等により分離することができる。

監視対象ログ格納部２０２は、ログ分析システム１に入力される監視対象ログを格納するものである。監視対象ログ格納部２０２には、定期若しくは不定期に又はリアルタイムに監視対象ログが入力され、監視対象ログ格納部２０２に格納される監視対象ログが追加更新される。

複数のログの中には、フォーマットのパターンが共通するものがある。このように複数のログに共通するフォーマットのパターンをログパターンという。このようなログの形式であるログパターンは、複数のログの中で変化しない部分である共通部分と、複数のログの中で変化可能な部分である変数とを含んでいる。例えば、ログとして、「Process p325 start」、「Process p223 start」、「Process p234 start」という３つのログが生成されているとする。この場合、３つのログに共通する共通部分は、「Process」及び「start」である。一方、３つのログで変化する部分である変数は、「p325」、「p223」、及び「p234」が出現する部分である。「p325」、「p223」、及び「p234」は、その変数がとりうる値である変数値である。したがって、これら３つのログには、共通する「Process <変数> start」というログパターンが存在すると推測される。なお、ログパターンは、後述するように過去のログである学習用ログから抽出することができる。

ログパターン格納部２０４は、ログパターンをデータベース化して格納している。ログパターン格納部２０４に格納されたログパターンは既知のログパターンである。ログパターン格納部２０４に格納されたログパターンは、監視対象システム２で生成されたログの分析に際して参照される。

また、変数値リスト格納部２０６は、ログパターン格納部２０４に格納されたログパターンにおける変数の値である変数値をリスト化した変数値リストを格納している。変数値リスト格納部２０６に格納された変数値リストは、監視対象システム２で生成されたログの分析に際して参照される。

上記ログパターン格納部２０４に格納されたログパターン及び変数値リスト格納部２０６に格納された変数値リストは、それぞれログ分析に先立つ事前処理により取得されたものである。学習用ログ格納部２０８は、これらログパターン及び変数値リストを取得するための事前処理に用いられる学習用ログを格納している。学習用ログは、監視対象システム２で生成された過去のログの一部又は全部であってもよいし、監視対象システム２で生成されたログとは別個のログであってもよい。

本実施形態によるログ分析システム１は、上記ログパターン及び変数値リストを用いて監視対象ログを分析するものである。以下、処理部１０に含まれる各部について詳述する。

ログ取得部１０２は、ログ分析システム１に入力される監視対象ログを取得して記憶部２０の監視対象ログ格納部２０２に格納するものである。ログ分析システム１には、監視対象システム２で生成されたログである監視対象ログが、定期若しくは不定期に又はリアルタイムに入力される。ログ取得部１０２は、こうして入力される監視対象ログを監視対象ログ格納部２０２に格納する。

パターン検査部１０４は、ログ取得部１０２により監視対象ログ格納部２０２に格納されている監視対象ログに含まれる各ログが、既知のログパターンに合致するか否かを検査するものである。パターン検査部１０４は、監視対象ログに含まれるログと、既知のログパターンであるログパターン格納部２０４に格納されたログパターンとを比較し、例えばパターンマッチング等の手法により、ログが既知のログパターンに合致するか否かを判定する。ログパターン格納部２０４に格納されたログパターンのいずれかに合致するログには、想定内のイベントの内容、想定内の状況が記録されている。一方、ログパターン格納部２０４に格納されたログパターンのいずれにも合致しないログは、新規なログ、すなわち異常なログである。新規なログは、そのログを生成した監視対象システム２に未知の事象、すなわち異常が発生したことを示している。パターン検査部１０４は、こうして監視対象ログに含まれる各ログが既知のログパターンに合致するか否かを判定することにより、監視対象ログの中から異常を示す新規なログを検出する。

変数値マッチング部１０６は、変数抽出部として機能し、パターン検査部１０４により検出された新規なログから変数値を抽出するものである。変数値マッチング部１０６は、新規なログと、変数値リスト格納部２０６に格納された変数値リストに含まれる変数値とのマッチングを行うことにより、新規なログから変数値を抽出する。

新規なログには、その新規なログにより示される異常の原因となった可能性がある情報が含まれている。異常の原因となった可能性がある情報は、ログ中の変数値として出現している場合が多い。例えば、異常の原因となった可能性があるホストコンピュータの名称が、新規なログ中に出現している場合がある。上述のように、変数値マッチング部１０６により新規なログから変数値を抽出することにより、異常の原因を特定するための情報として、抽出した変数値を得ることができる。

しかしながら、新規なログについては、ログパターンに基づきログ中の変数を認識してその変数値を抽出することができない。そこで、変数値マッチング部１０６は、過去に抽出された変数値である、変数値リスト格納部２０６に格納された変数値リストに含まれる変数値を利用している。変数値リストを取得するための学習が十分に行われていれば、新規なログに出現する可能性のある変数値は、変数値リストに網羅されている可能性が高い。例えば、変数値リストを取得するための学習に用いた学習用ログが十分な量であれば、そのような変数値は、変数値リストに網羅されている可能性が高い。したがって、上述のように新規なログと変数値リストに含まれる変数値とのマッチングを行うことにより、新規なログから変数値を抽出することができる。

こうして、本実施形態では、変数値マッチング部１０６により新規のログから変数値を抽出することにより、異常に至る原因を特定するための情報を得ることができる。本実施形態によれば、このように異常に至る原因を特定するための情報を新規なログから機械的に取得するため、異常に至る原因を効率よく特定することが可能になる。

なお、上記では、変数値リストを用いて新規なログから変数値を抽出する場合を例に説明したが、変数値マッチング部１０６が変数値を抽出する態様はこれに限定されるものではない。例えば、変数値マッチング部１０６は、正規表現等で定義された変数パターンを用い、これに合致する変数値を新規ログから抽出することもできる。ただし、この場合、変数パターンが新規なログに適用可能であることが必要である。

検索部１０８は、ログ出力部として機能し、監視対象ログ格納部２０２に格納されている監視対象ログの中から、変数値マッチング部１０６により抽出された変数値を含むログを検索して出力するものである。検索部１０８により検索されたログには、新規なログにより示される異常に至る過程を示すログが含まれている。したがって、検索部１０８により検索されたログに示される情報を参照することにより、新規なログにより示される異常に至る原因を分析し、その異常に至る原因を特定することができる。

出力部１１０は、検索部１０８による検索結果を表示部３０に出力して表示部３０に表示させるものである。出力部１１０は、検索部１０８により検索されたログを、検索部１０８による検索に用いられた同一の変数値を含むログでグルーピングして表示部３０に表示させることができる。

一方、パターン抽出指示取得部１１２及びパターン抽出部１１４は、ログパターンを取得するためのパターン抽出処理を行うためのものである。パターン抽出処理は、ログ分析に先立って事前に行われるものである。パターン抽出処理では、ログパターンととともに、変数値リストもあわせて取得される。

パターン抽出指示取得部１１２は、ログパターンを取得するためのパターン抽出処理の実行を指示するパターン抽出指示を外部から取得してパターン抽出部１１４に入力するものである。パターン抽出指示は、例えば、キーボード、タッチパネル等の入力装置により外部からログ分析システム１に入力することができる。

パターン抽出部１１４は、学習用ログ格納部２０８に格納された学習用ログを用いて、ログパターンを取得するパターン抽出処理を行うものである。パターン抽出部１１４は、パターン抽出指示取得部１１２から入力されたパターン抽出指示に応じてパターン抽出処理を実行する。パターン抽出部１１４は、後述するように学習用ログに対してクラスタリングを行うことにより、ログパターンを取得するとともに、変数値リストを取得する。パターン抽出部１１４は、取得したログパターンをログパターン格納部２０４に格納するとととともに、取得した変数値リストを変数値リスト格納部２０６に格納する。

上述したログ分析システム１は、例えばコンピュータ装置により構成される。ログ分析システム１のハードウェア構成の一例について図３を用いて説明する。なお、ログ分析システム１は、単一の装置により構成されていてもよいし、有線又は無線で接続された２つ以上の物理的に分離された装置により構成されていてもよい。

ログ分析システム１は、図３に示すように、ＣＰＵ（Central Processing Unit）２００２と、ＲＯＭ（Read Only Memory）２００４と、ＲＡＭ（Random Access Memory）２００６と、ＨＤＤ（Hard Disk Drive）２００８とを有している。また、ログ分析システム１は、通信インターフェース（Ｉ／Ｆ（Interface））２０１０を有している。また、ログ分析システム１は、ディスプレイコントローラ２０１２と、ディスプレイ２０１４とを有している。さらに、ログ分析システム１は、入力装置２０１６を有している。ＣＰＵ２００２、ＲＯＭ２００４、ＲＡＭ２００６、ＨＤＤ２００８、及び通信Ｉ／Ｆ２０１０、ディスプレイコントローラ２０１２、及び入力装置２０１６は、共通のバスライン２０１８に接続されている。

ＣＰＵ２００２は、ログ分析システム１の全体の動作を制御する。また、ＣＰＵ２００２は、上記処理部１０におけるログ取得部１０２、パターン検査部１０４、変数値マッチング部１０６、検索部１０８、出力部１１０、パターン抽出指示取得部１１２、及びパターン抽出部１１４の各部の機能を実現するプログラムを実行する。ＣＰＵ２００２は、ＨＤＤ２００８等に記憶されたプログラムをＲＡＭ２００６にロードして実行することにより、処理部１０における各部の機能を実現する。

なお、ログ取得部１０２、パターン検査部１０４、変数値マッチング部１０６、検索部１０８、出力部１１０、パターン抽出指示取得部１１２、及びパターン抽出部１１４は、それぞれ電気回路構成（circuitry）により実現されていてもよい。ここで、電気回路構成（circuitry）とは、単一のデバイス（single device）、複数のデバイス（multiple devices）、チップセット（chipset）又はクラウド（cloud）を概念的に含む文言である。

ＲＯＭ２００４は、ブートプログラム等のプログラムが記憶されている。ＲＡＭ２００６は、ＣＰＵ２００２がプログラムを実行する際のワーキングエリアとして使用される。また、ＨＤＤ２００８には、ＣＰＵ２００２が実行するプログラムが記憶されている。

また、ＨＤＤ２００８は、上記記憶部２０における監視対象ログ格納部２０２、ログパターン格納部２０４、変数値リスト格納部２０６、及び学習用ログ格納部２０８の各部の機能を実現する記憶装置である。なお、記憶部２０における各部の機能を実現する記憶装置は、ＨＤＤ２００８に限定されるものではない。種々の記憶装置を記憶部２０における各部の機能を実現するものとして用いることができる。

通信Ｉ／Ｆ２０１０は、ネットワーク３に接続されている。通信Ｉ／Ｆ２０１０は、ネットワーク３に接続された監視対象システム２との間のデータの通信を制御する。通信Ｉ／Ｆ２０１０は、ＣＰＵ２００２とともに処理部１０におけるログ取得部１０２の機能を実現する。

ディスプレイコントローラ２０１２は、表示部３０として機能するディスプレイ２０１４が接続されている。ディスプレイコントローラ２０１２は、ＣＰＵ２００２とともに出力部１１０として機能し、検索部１０８による検索結果をディスプレイ２０１４に表示させる。

入力装置２０１６は、例えば、キーボード、マウス等である。また、入力装置２０１６は、ディスプレイ２０１４に組み込まれたタッチパネルであってもよい。ログ分析システム１のオペレータは、入力装置２０１６を介して、ログ分析システム１の設定を行ったり、処理の実行の指示を入力したりすることができる。

なお、ログ分析システム１のハードウェア構成は、上述した構成に限定されるものではなく、種々の構成とすることができる。

次に、上記本実施形態によるログ分析システム１を用いたログ分析方法についてさらに図４乃至図１０を用いて説明する。

はじめに、本実施形態によるログ分析方法に説明する前に、ログ分析に用いるログパターン及び変数値リストを取得する処理について図４を用いて説明する。図４は、本実施形態によるログ分析システムにおけるパターン抽出部によるクラスタリングにより得られるログのクラスタの例を示す図である。

まず、ログ分析システム１には、入力装置２０１６等を介して外部からパターン抽出指示が入力される。パターン抽出指示取得部１１２は、ログ分析システム１に入力されたパターン抽出指示を取得してパターン抽出部１１４に入力する。

パターン抽出部１１４は、パターン抽出指示取得部１１２から入力されたパターン抽出指示に応じてパターン抽出処理を実行する。パターン抽出処理において、パターン抽出部１１４は、学習用ログ格納部２０８に格納された学習用ログに対してクラスタリングを行う。これにより、パターン抽出部１１４は、ログパターンを取得するとともに、変数値リストを取得する。

パターン抽出部１１４によるクラスタリングでは、ログ間の類似性に基づいて、学習用ログに含まれるログを分類する。より具体的には、あるログと、そのログに対して類似性が所定条件を満たす他のログとを同一クラスタに分類する。ログの類似性は、ログに含まれるフィールドの一致、不一致に基づき判定することができる。ログに含まれるフィールドは、セパレータ又はデリミタにより区切られていてもよいし、区切られずに連続するものであってもよい。ただし、連続するフィールドの場合には、単語、形態素、文字種等によりフィールドを分離する前処理が必要となる。

例えば、２つのログ間の類似性は、各ログを構成するフィールド数に対して一致するフィールド数の割合に基づく値である類似度を基準に判定することができる。この場合、類似度が高いほど、２つのログ間の類似性は高くなる。例えば、２つのログがともに１０個のフィールドで構成され、そのうちの７個が一致する場合、これらのログ間の類似度は、７／１０＝０．７０と算出される。この場合、あるログと、そのログに対して類似度が閾値以上の他の各ログとを同一クラスタに分類することができる。

また、２つのログ間の類似性は、各ログを構成するフィールド数に対して一致しないフィールド数の割合に基づく値である距離を基準に判定することもできる。この場合、距離が大きいほど、２つのログ間の類似性は低くなる。例えば、２つのログがともに１０個のフィールドで構成され、そのうちの３個が不一致の場合、これらのログ間の距離は、３／１０＝０．３と算出される。この場合、あるログと、そのログに対して距離が閾値以下の他の各ログとを同一クラスタに分類することができる。

なお、２つのログのフィールド数が異なる場合、類似度又は距離を算出する際の分母としては、多い方及び少ない方のいずれか一方のフィールド数を採用することを予め定めておけばよい。

また、各ログにおいて所定のフィールドパターンに合致するフィールドについては、値が異なっていても一致するフィールドであるとみなして類似度又は距離を算出することができる。所定のフィールドパターンとは、ログにおいて、値が異なっていても類似するフィールドであるとみなすことが可能なフィールドがとり得る値のパターンである。そのようなフィールドパターンは、予め定義されていてもよい。ログには、例えば、「March 16 17:07:32」のように、ログが生成された日時を示すタイムスアンプが含まれている。このように日付、日時を表すタイムスタンプ等は、値が異なっていても類似するフィールドであるとみなすことができる。

また、ログに含まれる数字については、値が異なっていても一致するフィールドであるとみなして類似度又は距離を算出することができる。

パターン抽出部１１４は、クラスタリングにより得られたクラスタ毎に、クラスタに含まれるログのログパターンを抽出して取得するとともに、変数値を抽出して取得する。

図４は、パターン抽出部１１４によるクラスタリングにより得られるログのクラスタの例としてクラスタＡ、Ｂを示している。

クラスタＡに含まれるログのログパターンは、クラスタＡに含まれるログの共通部分と変数とを含み、次のように表される。
「<タイムスタンプ> <変数：文字列> process abc [ <変数：数字> ] <変数：文字列> *」
ただし、「*」は任意の内容、すなわち当該フィールドに文字列や数字が出現する場合と出現しない場合とがあることを表す。

なお、タイムスタンプは変数として取り扱うこともできるが、異常の原因の特定においては、タイムスタンプを変数として扱うことの有用性は低い。このため、タイムスタンプは、変数として扱わなくてよい。

一方、クラスタＢに含まれるログのログパターンは、クラスタＢに含まれるログの共通部分と変数とを含み、次のように表される。
「<タイムスタンプ> <変数：文字列> ( NC - <変数：数字> ) network connection <変数：文字列> 」

上述のようにしてログパターンを取得するとともに、変数値を取得することができる。変数値をリスト化することにより変数値リストを取得することができる。例えば、クラスタＡに含まれるログからは、「host03」、「host02」、「started」、「stopped」、「terminated」、「abnormally」が変数値として得られる。また、クラスタＢに含まれるログからは、「host03」、「host01」、「host02」、「reset」、「established」、「broken」が変数値として得られる。こうして得られた変数値をリスト化することにより、変数値リストを取得することができる。

パターン抽出部１１４は、上述のようにクラスタリングを行うことにより取得したログパターンをログパターン格納部２０４に格納するとととともに、取得した変数値リストを変数値リスト格納部２０６に格納する。

こうして、ログ分析に用いるログパターン及び変数値リストを取得される。

次に、上述のようにして取得されたログパターン及び変数値リストを用いた本実施形態によるログ分析方法について図５乃至図１１を用いて説明する。図５は、本実施形態によるログ分析システムを用いたログ分析方法を示すフローチャートである。図６は、本実施形態によるログ分析システムにおけるログパターン格納部に格納されるログパターンの一例を示す図である。図７は、本実施形態によるログ分析システムにおけるパターン検査部による検査の結果を記録するテーブルの一例を示す図である。図８は、本実施形態によるログ分析システムにおける変数値リスト格納部に格納された変数値リストの一例を示す図である。図９は、本実施形態によるログ分析システムにおける検索部による検索結果の一例を示す図である。図１０及び図１１は、それぞれ本実施形態によるログ分析システムにおける検索部による検索結果をグルーピングした例を示す図である。

ログ分析システム１には、監視対象システム２から定期若しくは不定期に又はリアルタイムに監視対象ログが入力される。ログ取得部１０２は、ログ分析システム１に入力される監視対象ログを監視対象ログ格納部２０２に格納する。こうして、監視対象ログ格納部２０２に格納される監視対象ログが定期若しくは不定期に又はリアルタイムに追加更新されている。

パターン検査部１０４は、監視対象ログ格納部２０２に格納される監視対象ログのそれぞれが、既知のログパターンに合致するか否かを検査する（ステップＳ１０１）。この際、パターン検査部１０４は、既知のログパターンとして、ログパターン格納部２０４に格納されているログパターンを参照する。そして、パターン検査部１０４は、監視対象ログと、既知のログパターンであるログパターン格納部２０４に格納されたログパターンとを比較し、監視対象ログが既知のログパターンに合致するか否かを判定する。合致するか否かの判定には、例えばパターンマッチング等の手法を用いることができる。

図６は、ログパターン格納部２０４に格納された既知のログパターンを記録するテーブルの一例を示す図である。図６に示すテーブル６００に記録された各レコードは、パターンＩＤ項目６０２と、ログパターン項目６０４とを有している。パターンＩＤ項目６０２には、ログパターンを識別するためのパターンＩＤが記録されている。ログパターン項目６０４には、ログパターンが記録されている。図６に示す例では、変数が、「<変数：ＸＸＸ>」の形式で表されている。ただし、「ＸＸＸ」は、変数値の内容を示している。図６に示す例における「ＸＸＸ」は、「タイムスタンプ」、「文字列」、「数値」、「ＩＰ」のいずれかであり、それぞれその変数値の内容が、タイムスタンプ、文字列、数値、ＩＰ（Internet Protocol）アドレスであること示している。

図７は、図６に示す既知のログパターンを用いたパターン検査部１０４による検査の結果を記録するテーブルの一例を示す図である。検査の結果を記録するテーブル７００は、例えば記憶部２０に記憶される。図７に示すテーブル７００に記録された各レコードは、監視対象ログ項目７０２と、マッチング項目７０４と、パターンＩＤ項目７０６とを有している。監視対象ログ項目７０２には、検査が行われた監視対象ログが記録されている。マッチング項目７０４には、検査の結果が記録されている。マッチング項目７０４が「ＯＫ」の場合は監視対象ログが既知のログパターンに合致したことを示し、マッチング項目７０４が「新規」の場合は監視対象ログが既知のログパターンに合致しない新規なものであることを示している。パターンＩＤ項目７０６には、監視対象ログが既知のログパターンに合致した場合のその監視対象ログが合致したログパターンのパターンＩＤが記録されている。

なお、パターン検査部１０４は、その検査の結果を、図７に示すテーブル７００のような形式で表示部３０に表示させることができる。表示部３０における検査結果の表示では、例えば、検査が行われた監視対象ログのうち、新規なログを強調して表示することができる。新規なログの強調表示の態様としては、特に限定されるものではなく、他の部分と異なる色での表示、異なるフォントでの表示、太字での表示等の種々の表示を用いることができる。

監視対象ログが既知のログパターンに合致する場合（ステップＳ１０１、ＹＥＳ）、その監視対象ログには、想定内のイベントの内容、想定内の状況が記録されている。このため、既知のログパターンに合致する監視対象ログに示されるイベント、状況に対しては、特に対処を行う必要はないため、処理を終了する。

なお、特定のログパターンに合致する監視対象ログが示すイベント、状況について、何らかの対処を行うこともできる。この場合、ログ分析システム１のユーザであるオペレータに対して、監視対象ログが合致したログパターンのパターンＩＤに応じて、事前に定められた対処内容を提示するようにしてもよい。

一方、監視対象ログが既知のログパターンのいずれにも合致しない場合（ステップＳ１０１、ＮＯ）、その監視対象ログは、新規なログ、すなわち異常なログである。新規なログは、そのログを生成した監視対象システム２に未知の事象、すなわち異常が発生したことを示している。このため、新規なログに示されるイベント、状況に対しては、何らかの対処を行う必要がある。

上記図７に示す例では、タイムスタンプ「2015/08/17 08:35:01」で示される日時に生成された監視対象ログが、パターン検査部１０４による検査の結果、新規なログとして検出されている。この新規なログとして検出された監視対象ログは、図６に示すログパターンのいずれにも合致していない。

新規なログの内容は、既知のログパターンに合致しないものではあるが、異常の原因を特定するため、その内容を読み取って分析する必要がある。ログの書式に関して、ログに含めるべき情報等を定めた既定のルール等は存在していないが、タイムスタンプやログを生成した出力元等を含める等の常識が存在している。このようなログの書式に関する常識や情報技術に関する知識を用いることにより、新規なログの内容を読み取ることができる。

例えば、図７において新規なログとして検出された監視対象ログからは、ホストコンピュータである「SV001」という出力元で生成されて出力されたことが読み取られる。また、ホストコンピュータである「SV004」へのネットワーク接続が切断されたことが読み取られる。さらに、「192.168.1.24」が、ＩＰアドレスであり、「SV004」のＩＰアドレスであることが読み取られる。

新規なログには、その新規なログにより示される異常の原因となった可能性がある情報が、ログ中の変数値として出現している場合が多い。そこで、変数値マッチング部１０６は、パターン検査部１０４により検出された新規なログから変数値を抽出する（ステップＳ１０２）。変数値の抽出に際して、変数値マッチング部１０６は、新規なログと、変数値リスト格納部２０６に格納された変数値リストに含まれる変数値とのマッチングを行う。

図８は、変数値リストの一例を示す図である。図８に示す変数値リスト８００は、図６に示すログパターンを取得した際にあわせて取得したものである。変数値リスト８００には、ホストを示す変数値として、「SV001」、「SV002」、「SV003」、及び「SV004」が含まれ、ＩＰアドレスを示す変数として、「192.168.1.23」及び「192.168.1.24」が含まれている。

新規なログについては、ログパターンに基づきログ中の変数を認識してその変数値を抽出することができない。このため、上述のように、変数値マッチング部１０６は、過去に抽出された変数値である、変数値リスト格納部２０６に格納された変数値リストに含まれる変数値を利用する。変数値マッチング部１０６は、新規なログと変数値リストに含まれる変数値とのマッチングを行うことにより、新規なログから変数値を抽出することができる。なお、上述のように、正規表現等で定義された変数パターンを用い、これに合致する変数値を新規ログから抽出することもできる。

例えば、図７において検出された新規なログの場合、図８に示す変数値リストを用いたマッチングにより、変数値として、「SV001」、「SV004」、及び「192.168.1.24」が抽出される。

変数値マッチング部１０６により抽出された変数値は、表示部３０における新規なログの表示において強調表示することができる。変数値の強調表示の態様としては、特に限定されるものではなく、他の部分と異なる色での表示、異なるフォントでの表示、太字での表示等の種々の表示を用いることができる。

こうして、本実施形態によれば、変数値マッチング部１０６により新規のログから変数値を抽出することにより、異常に至る原因を特定するための情報を得ることができる。抽出された変数値は、異常に至る原因を特定するための情報を示すものとして、出力部１１０により表示部３０に表示させることができる。異常に至る原因を特定するための情報として得られた変数値を分析することにより、異常に至る原因を特定することが可能になる。異常に至る原因を特定するため、例えば、抽出された変数値に示される監視対象システム２の構成要素を確認することができる。また、本実施形態では、以下に述べるように、異常に至る原因を特定するため、抽出された変数値を含むログを検索することができる。

さらに、監視対象ログのうち、新規なログに出現している変数値を含む過去のログを分析して過去を遡る作業を行うことにより、新規なログに示されている異常の原因を絞り込んで特定することができる。図７において検出された新規なログの場合、変数値として、「SV001」、「SV004」、及び「192.168.1.24」が抽出されている。この場合、この新規なログに記録されたネットワークの切断の原因は、その出力元である「SV001」にある可能性もあれば、「SV004」や「SV004」の先に存在するホストやソフトウェアの可能性がある。本実施形態では、以下に述べるように、新規なログに出現している変数値を含む過去のログを検索部１０８により検索することにより、異常の原因を絞り込んで特定することが可能となる。

新規のログから変数値が抽出された後、検索部１０８は、監視対象ログ格納部２０２に格納されている監視対象ログの中から、変数値マッチング部１０６により抽出された変数値を含むログを検索する（ステップＳ１０３）。検索されたログには、上述のように異常に至る過程を示すログが含まれている。したがって、本実施形態では、検索部１０８により検索されたログに示される情報を参照することにより、新規なログにより示される異常に至る原因を分析、特定することができる。

図９は、検索部１０８による検索結果の一例を示す図である。具体的には、図９は、図８に示す変数値リストを用いたマッチングにより抽出された変数値である「SV001」、「SV004」、及び「192.168.1.24」を含むログを検索した結果を示している。図９に示す検索結果であるログリスト９００には、監視対象ログのうち、「SV001」、「SV004」、及び「192.168.1.24」の少なくともいずれかを含むログが含まれている。ログリスト９００には、図７において検出された新規なログも含まれている。

なお、検索部１０８は、検索するログの時刻範囲を一定の時刻範囲に限ることができる。例えば、検索するログの時刻範囲を、新規なログの発生前の例えば１時間等の所定の範囲、第１の時刻から第２の時刻までの範囲等に限ることができる。検索部１０８が検索するログの時刻範囲は、オペレータが適宜設定することができる。

次いで、出力部１１０は、検索部１０８による検索結果を表示部３０に出力して表示部３０に表示させる（ステップＳ１０４）。その際、出力部１１０は、検索部１０８により検索されたログを、検索部１０８による検索に用いられた同一の変数値を含むログでグルーピングして表示部３０に表示させることができる。

図１０は、検索部１０８による検索結果をグルーピングして表示した一例を示す図である。具体的には、図１０は、図９に示す結果をグルーピングすることにより得られた複数のログリストを示している。図１０には、複数のログリスト１００２、１００４、１００６を示している。ログリスト１００２には、検索を行った変数値のうち「SV001」を含むログがグルーピングされている。ログリスト１００４には、検索を行った変数値のうち「SV004」を含むログがグルーピングされている。ログリスト１００６には、検索を行った変数値のうち「192.168.1.24」を含むログがグルーピングされている。出力部１１０は、このように同一の変数値を含むログを複数のログリストにグルーピングして表示部３０に表示させることができる。

なお、上記のように変数値マッチング部１０６により抽出された変数値が複数である場合、その複数の変数値に優先順位を付け、その優先順位に応じて、変数値毎にグルーピングされたログリストの表示順を設定することができる。一般に、ログの先頭に近い位置に出現する変数値、例えばログのヘッダーにおける変数値は、定型的なものであり、異常とは無関係であることが多い。そこで、例えば、変数値の優先順位として、ログの末尾により近い位置に出現する変数値ほどより高い優先順位とすることができる。また、出現頻度のより低い珍しい変数値ほど高い優先順位とすることもできる。そして、複数のログリストの表示に際して、より高い優先順位の変数値を含むログがグルーピングされたログリストをより優先的に表示部３０に表示させることができる。

図１０に示すグルーピングされた検索結果からは、図７において検出された新規なログに変数値として出現している「SV004」は、「SV003」へのリクエストについて複数回タイムアウトを起こしていることがわかる。このことから、新規なログに示される異常の原因が、「SV004」の通信状況にある可能性が高いことがわかる。

なお、検索部１０８による新規なログに含まれる変数値を含むログの検索で検索されたログにも、新規なログにより示される異常の原因となった可能性がある情報がログ中の変数値として出現している可能性がある。例えば、上述のように「SV004」が「SV003」へのリクエストについて複数回タイムアウトを起こしている場合、「SV003」に異常の原因がある可能性も少なからず残っている。このため、検索部１０８は、新規なログに含まれる変数値を含むログの検索の後、監視対象ログの中から、その検索で検索されたログに含まれる変数値を含むログをさらに検索するように構成することもできる。これにより、異常に至る原因を高い精度で特定することができる。

この場合、表示部３０に表示させたログリストにおいて、ログに含まれる変数値をクリック可能に表示し、変数値をクリックすることにより、その変数値を含むログの検索を実行するように検索部１０８を構成することができる。なお、この検索の際、検索部１０８は、少なくともその変数値を含むログを検索して出力することもできるし、その変数値と他の変数値とを含むログを検索して出力することもできる。この検索結果は、出力部１１０により表示部３０に表示させることができる。

図１１は、検索部１０８による検索結果をグルーピングして表示した他の例を示す図である。図１１は、図１０に示すログリストのログに含まれる変数値がクリック可能に表示されている場合を示している。具体的には、ログリスト１００２のログに含まれる変数値である「JNW 529」が例えば下線で強調表示されており、クリック可能に構成されている。「JNW 529」を表示画面上でクリックすると、監視対象ログの中から「JNW 529」を含むログを検索する検索が検索部１０８により実行される。また、ログリスト１００４のログに含まれる変数値である「SV003」が例えば下線で強調表示されており、クリック可能に構成されている。「SV003」を表示画面上でクリックすると、監視対象ログの中から「SV003」を含むログを検索する検索が検索部１０８により実行される。なお、検索可能であることを示す変数値の強調表示の態様としては、特に限定されるものではなく、下線による表示のほか、他の部分と異なる色での表示、異なるフォントでの表示、太字での表示等の種々の表示を用いることができる。

以上のとおり、本実施形態によれば、表示部３０に表示された検索部１０８による検索結果に基づき、新規なログに示される異常に至る原因を効率よく特定することができる。

［第２実施形態］
本発明の第２実施形態によるログ分析システム及びログ分析方法について図１２を用いて説明する。図１２は、本実施形態によるログ分析システムの機能構成を示す概略図である。なお、上記第１実施形態によるログ分析システム及びログ分析方法と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。

上記第１実施形態によるログ分析システム１は、パターン抽出部１１４によるクラスタリングによりログパターン及び変数値リストを取得していた。これに対して、本実施形態によるログ分析システムは、変数パターンを用いてログパターンを取得するとともに、変数値リストを取得する点で、第１実施形態によるログ分析システム１とは異なっている。

図１１に示すように、本実施形態によるログ分析システム１ｂは、処理部１０において、パターン抽出指示取得部１１２及びパターン抽出部１１４に代えて、変数パターン取得部１１６及び変数分離部１１８を有している。

変数パターン取得部１１６は、ログ分析システム１ｂに外部から入力される変数パターンを取得するものである。変数パターンは、オペレータ等により正規表現等で定義されるものである。例えば、数字を変数として取り扱う場合、変数パターンは、「[0-9]+」のように正規表現で定義することができる。変数パターン取得部１１６は、取得した変数パターンを変数分離部１１８に入力する。

変数分離部１１８は、学習用ログ格納部２０８に格納された学習用ログのそれぞれについて、変数パターン取得部１１６から入力された変数パターンに基づき、ログ中の変数値を認識して分離する。こうしてログ中の変数値を分離することにより、変数分離部１１８は、ログパターンを取得するとともに、変数値リストを取得する。

なお、本実施形態によるログ分析システム１ｂも、図３に示す第１実施形態によるログ分析システム１と同様のハードウェア構成を有することができる。この場合、ＣＰＵ２００２は、変数パターン取得部１１６及び変数分離部１１８の機能を実現するプログラムを実行する。

また、変数パターン取得部１１６及び変数分離部１１８も、それぞれ電気回路構成により実現されていてもよい。

本実施形態のように、変数パターンを用いてログパターンを取得するとともに、変数値リストを取得することもできる。

［第３実施形態］
本発明の第３実施形態によるログ分析システム及びログ分析方法について図１３乃至図１５を用いて説明する。図１３は、本実施形態によるログ分析システムの機能構成を示すブロック図である。図１４は、本実施形態によるログ分析システムを用いたログ分析方法を示すフローチャートである。図１５は、本実施形態によるログ分析システムにおける検索条件設定画面を示す図である。なお、上記第１及び第２実施形態によるログ分析システム及びログ分析方法と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。

上記第１実施形態によるログ分析システム１は、変数値マッチング部１０６により新規なログから抽出された変数値を含むログを検索部１０８により検索していた。これに対して、本実施形態によるログ分析システムは、検索部１０８による検索に際して検索条件の設定が可能になっている点で、第１実施形態によるログ分析システム１とは異なっている。

図１３に示すように、本実施形態によるログ分析システム１ｃは、図２に示す第１実施形態によるログ分析システム１の機能構成に加えて、検索部１０８による検索に際して検索条件の設定を可能にする検索条件設定部１２０をさらに有している。検索条件設定部１２０には、入出力部４０が接続されている。

検索条件設定部１２０は、本実施形態によるログ分析システム１ｃのユーザであるオペレータに対して、変数値マッチング部１０６により新規なログから抽出された変数値を入出力部４０を介して提示する。検索条件設定部１２０により変数値が提示されたオペレータは、変数値に関する検索条件を含む検索条件を設定して、その検索条件を入出力部４０を介して検索条件設定部１２０に入力することができる。

検索条件設定部１２０は、オペレータにより検索条件が入力されると、入力された検索条件を検索部１０８に設定する。検索部１０８は、検索条件設定部１２０により設定された検索条件に合致するログを、監視対象ログ格納部２０２に格納されている監視対象ログの中から検索する。

なお、本実施形態によるログ分析システム１ｃも、図３に示す第１実施形態によるログ分析システム１と同様のハードウェア構成を有することができる。この場合、ＣＰＵ２００２は、検索条件設定部１２０の機能を実現するプログラムを実行する。

また、検索条件設定部１２０も、電気回路構成により実現されていてもよい。

以下、本実施形態によるログ分析システム１ｃを用いたログ分析方法について説明する。

まず、図１４に示すように、第１実施形態と同様に、パターン検査部１０４は、監視対象ログ格納部２０２に格納される監視対象ログのそれぞれが、既知のログパターンに合致するか否かを検査する（ステップＳ１０１）。

監視対象ログが既知のログパターンに合致する場合（ステップＳ１０１、ＹＥＳ）、第１実施形態と同様に処理を終了する。

一方、監視対象ログが既知のログパターンのいずれにも合致しない場合（ステップＳ１０１、ＮＯ）、変数値マッチング部１０６は、第１実施形態と同様に、既知のログパターンのいずれにも合致しない新規なログから変数値を抽出する（ステップＳ１０２）。

次いで、検索条件設定部１２０は、変数値マッチング部１０６により新規なログから抽出された変数値を入出力部４０を介してオペレータに提示する。検索条件設定部１２０による変数値の提示を受けて、オペレータは、変数値に関する検索条件を含む検索条件を設定して、その検索条件を入出力部４０を介して検索条件設定部１２０に入力する。オペレータにより検索条件が入力されると、検索条件設定部１２０は、入力された検索条件を検索部１０８に設定する（ステップＳ１０５）。

図１５は、オペレータが検索条件を設定するための検索条件設定画面の一例を示している。図１５に示す検索条件設定画面４００は、検索条件設定部１２０により入出力部４０に表示される。検索条件設定画面４００は、変数値選択欄４０２と、ＡＮＤ／ＯＲ検索設定欄４０４と、時刻範囲設定欄４０６とを有している。

変数値選択欄４０２には、検索条件設定部１２０により、変数値マッチング部１０６により新規なログから抽出された変数値が選択可能に表示される。変数値選択欄４０２では、例えばチェックボックスをチェックすることにより、検索に用いる変数値を選択することができる。

ＡＮＤ／ＯＲ検索設定欄４０４は、ＡＮＤ検索を行うか、ＯＲ検索を行うかを設定するためのものである。ＡＮＤ／ＯＲ検索設定欄４０４では、例えばラジオボタンによりＡＮＤ検索又はＯＲ検索を選択して設定することが可能になっている。ＡＮＤ検索が選択されると、変数値選択欄４０２で選択された変数値のすべてを含むログを検索するＡＮＤ検索が設定される。一方、ＯＲ検索が選択されると、変数値選択欄４０２で選択された変数値のいずれかを含むログを検索するＯＲ検索が設定される。

時刻範囲設定欄４０６は、検索するログの時刻範囲を設定するためのものである。時刻範囲設定欄４０６では、検索するログの時刻範囲の開始時刻と終了時刻とを設定することが可能になっている。

上記第１実施形態では、新規なログに含まれる全変数値のいずれかを含むログを検索するＯＲ検索を行っていたが、ある変数値が異常に無関係であることが明らかである場合には、その変数値を検索条件から除外することができる。例えば、図１５に示す検索条件設定画面４００では、抽出された変数値のうち、「SV001」、「SV002」、「SV003」、及び「192.168.1.23」を検索条件から除外している。

検索条件が設定された後、検索部１０８は、監視対象ログ格納部２０２に格納されている監視対象ログの中から、検索条件設定部１２０により設定された検索条件に合致するログを検索する（ステップＳ１０６）。

なお、検索部１０８による検索結果を受けて、ステップＳ１０５に戻って検索条件設定部１２０により検索条件を再設定し、再設定した検索条件で検索部１０８による検索を再度行うこともできる。

また、第１実施形態において述べたように、検索部１０８による新規なログに含まれる変数値を含むログの検索で検索されたログにも、異常の原因となった可能性がある情報がログ中の変数値として出現している可能性がある。検索条件設定部１２０は、このような新規なログに含まれる変数値を含むログの検索で検索されたログに含まれる変数値を検索条件に追加することもできる。検索部１０８は、そのような検索条件で検索を再度行うこともできる。

次いで、第１実施形態と同様に、出力部１１０は、検索部１０８による検索結果を表示部３０に出力して表示部３０に表示させる（ステップＳ１０７）。

このように、本実施形態によれば、検索条件設定部１２０により検索条件を設定することができるため、オペレータは、事前の知識、検索結果等に基づき検索条件を設定して検索部１０８による検索を実行させることができる。したがって、本実施形態によれば、新規ログに示される異常に至る原因を効率よく特定することができる。

なお、上記では、図２に示す第１実施形態によるログ分析システム１の機能構成に加えて検索条件設定部１２０をさらに有する場合について説明したが、これに限定されるものではない。図１２に示す第２実施形態によるログ分析システム１ｂの機能構成に加えて検索条件設定部１２０をさらに有するようにすることもできる。

［第４実施形態］
本発明の第４実施形態によるログ分析システム及びログ分析方法について図１６乃至図１８を用いて説明する。図１６は、本実施形態によるログ分析システムの機能構成を示すブロック図である。図１７は、本実施形態によるログ分析システムにおける変数置換部によるログパターンの抽出を説明する図である。図１８は、本実施形態によるログ分析システムにおけるログパターンを登録するための登録画面の一例を示す図である。なお、上記第１乃至第３実施形態によるログ分析システム及びログ分析方法と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。

本実施形態によるログ分析システムは、パターン検査部１０４により検出された新規なログについて正常であるか異常であるかを登録することが可能になっている点で、第１実施形態によるログ分析システム１とは異なっている。

図１６に示すように、本実施形態によるログ分析システム１ｄは、図２に示す第１実施形態によるログ分析システム１の機能構成に加えて、変数置換部１２２と、パターン登録部１２４とをさらに有している。

変数置換部１２２は、形式抽出部として機能し、パターン検査部１０４により検出された新規なログについて変数値が出現している部分を特定し、その部分を変数に置換することにより新規なログからログパターンを抽出するものである。変数置換部１２２は、ログパターンの抽出に際して、変数値マッチング部１０６により新規なログから抽出された変数値を参照し、新規なログでその変数値が出現している部分を変数に置換する。

図１７は、変数置換部１２２によるログパターンの抽出を説明する図である。図１７では、上記図７において新規なログとして検出された監視対象ログからログパターンを抽出する場合を示している。

変数置換部１２２は、図１７に示すように、変数値マッチング部１０６により抽出された変数値である「SV001」、「SV004」、及び「192.168.1.24」を参照する。これらの変数値は、テーブル７００のレコードに記録された新規なログから抽出されたものである。変数置換部１２２は、参照した変数値に基づき、テーブル７００のレコードに記録された新規なログに変数値が出現している部分を特定し、その部分を変数に置換する。

変数置換部１２２は、抽出したログパターンをテーブル６１０に記録する。なお、テーブル６１０は、後述する正常なログパターン及び異常なログパターン毎に用意され、ログパターン格納部２０４に格納される。テーブル６１０に記録された各レコードは、パターンＩＤ項目６１２と、ログパターン項目６１４とを有している。パターンＩＤ項目６１２には、抽出されたログパターンを識別するためのパターンＩＤが記録される。図１７ではパターンＩＤ項目６１２に「新規」と表示されているが、この項目に、抽出されたログパターンに固有な新たなパターンＩＤが記録される。ログパターン項目６１４には、抽出されたログパターンが記録される。

パターン登録部１２４は、パターン検査部１０４により検出された新規なログに基づくログパターンをログパターン格納部２０４に格納して、正常なログパターン又は異常なログパターンとして登録するものである。

具体的には、パターン登録部１２４は、変数置換部１２２により新規なログから抽出されたログパターンをログパターン格納部２０４に格納する。パターン登録部１２４は、ログパターンをログパターン格納部２０４に格納するに際して、そのログパターンを正常なログパターン又は異常なログパターンとして登録する。

また、パターン登録部１２４は、パターン検査部１０４により検出された新規なログをそのままログパターンとしてログパターン格納部２０４に格納する。なお、新規なログをそのままログパターンとして格納する場合であっても、タイムスタンプは変数として取り扱うことができる。すなわち、ログパターンとしての新規なログとタイムスタンプのみが異なるログは、ログパターンとしての新規なログに合致するものとして取り扱われる。パターン登録部１２４は、新規なログをログパターンとしてログパターン格納部２０４に格納するに際して、そのログパターンを正常なログパターン又は異常なログパターンとして登録する。

パターン登録部１２４によりログパターンをログパターン格納部２０４に格納して登録するか否かは、後述するようにオペレータが選択できるようになっている。また、ログパターンが正常なログパターンであるか異常なログパターンであるかは、後述するようにオペレータが判断できるようになっている。

なお、本実施形態によるログ分析システム１ｄも、図３に示す第１実施形態によるログ分析システム１と同様のハードウェア構成を有することができる。この場合、ＣＰＵ２００２は、変数置換部１２２及びパターン登録部１２４の機能を実現するプログラムを実行する。

また、変数置換部１２２及びパターン登録部１２４も、それぞれ電気回路構成により実現されていてもよい。

本実施形態において、パターン検査部１０４は、監視対象ログが既知のログパターンに合致するか否かを検査するに際して、パターン登録部１２４によりログパターン格納部２０４に格納されたログパターンをも参照する。そして、パターン検査部１０４は、パターン登録部１２４により登録された正常なログパターン又は異常なログパターンに監視対象ログが合致するか否かをも検査する。異常なログパターンに監視対象ログが合致する場合、パターン検査部１０４は、異常なログパターンに合致するログ、すなわち異常を示すログが検出されたことをオペレータに対して表示部３０等を介して通知することができる。

図１８は、ログパターンを登録するための登録画面の一例を示す図である。図１８に示す登録画面７１０は、上記図７に示すパターン検査部１０４による検査の結果を記録するテーブル７００を表示するとともに、監視対象ログについて所定の対応を選択可能に表示している。

登録画面７１０に表示される各レコードは、監視対象ログ項目７１２と、マッチング項目７１４と、パターンＩＤ項目７１６とを有している。監視対象ログ項目７１２には、検査が行われた監視対象ログが表示されている。マッチング項目７１４には、検査の結果が表示されている。マッチング項目７１４が「ＯＫ」の場合は監視対象ログが既知のログパターンに合致したことを示し、マッチング項目７１４が「新規」の場合は監視対象ログが既知のログパターンに合致しない新規なものであることを示している。パターンＩＤ項目７１６には、監視対象ログが既知のログパターンに合致した場合のその監視対象ログが合致したログパターンのパターンＩＤが表示されている。

さらに、登録画面７１０に表示される各レコードは、対応項目７１８を有している。対応項目７１８には、マッチング項目７１４に表示される検査の結果に応じたプルダウンメニューが表示されている。

具体的には、マッチング項目７１４が「ＯＫ」のレコードにおける対応項目７１８には、通知要否設定用プルダウンメニュー７２０が表示されている。通知要否設定用プルダウンメニュー７２０については、後述する第５実施形態において説明する。

一方、マッチング項目７１４が「新規」のレコードにおける対応項目７１８には、正常異常登録用プルダウンメニュー７２２が表示されている。正常異常登録用プルダウンメニュー７２２では、オペレータが、「正常（個別）」、「正常（パターン）」、「異常（個別）」、及び「異常（パターン）」のいずれかの項目を選択することが可能になっている。

正常異常登録用プルダウンメニュー７２２において、「正常（個別）」を選択すると、そのレコードに表示される新規なログが、パターン登録部１２４によりそのまま正常なログパターンとして上述のように登録される。また、「正常（パターン）」を選択すると、そのレコードに表示される新規なログから変数置換部１２２により抽出されたログパターンが、パターン登録部１２４により正常なログパターンとして上述のように登録される。

一方、正常異常登録用プルダウンメニュー７２２において、「異常（個別）」を選択すると、そのレコードに表示される新規なログが、パターン登録部１２４によりそのまま異常なログパターンとして上述のように登録される。また、「異常（パターン）」を選択すると、そのレコードに表示される新規なログから変数置換部１２２により抽出されたログパターンが、パターン登録部１２４により異常なログパターンとして上述のように登録される。

なお、上記では、図２に示す第１実施形態によるログ分析システム１の機能構成に加えて変数置換部１２２とパターン登録部１２４とをさらに有する場合について説明したが、これに限定されるものではない。図１２及び図１３に示す第２及び第３実施形態によるログ分析システム１ｂ、１ｃの機能構成に加えて変数置換部１２２とパターン登録部１２４とをさらに有するようにすることもできる。

［第５実施形態］
本発明の第５実施形態によるログ分析システム及びログ分析方法について図１９及び図２０を用いて説明する。図１９は、本実施形態によるログ分析システムの機能構成を示すブロック図である。図２０は、本実施形態によるログ分析システムにおけるログ通知の要否を設定するための設定画面の一例を示す図である。なお、上記第１乃至第４実施形態によるログ分析システム及びログ分析方法と同様の構成要素については同一の符号を付し説明を省略し又は簡略にする。

本実施形態によるログ分析システムは、パターン検査部１０４により検査された監視対象ログについてログ分析システムへの通知の要否を設定することが可能になっている点で、第１実施形態によるログ分析システム１とは異なっている。

図１９に示すように、本実施形態によるログ分析システム１ｅは、図２に示す第１実施形態によるログ分析システム１の機能構成に加えて、ログ通知要否設定部１２６をさらに有している。

ログ通知要否設定部１２６は、パターン検査部１０４により既知のログパターンに合致するか否かが検査された監視対象ログのそれぞれについて、ログ分析システム１ｅへの通知の要否を設定するものである。

具体的には、ログ通知要否設定部１２６は、パターン検査部１０４により検査された監視対象ログのうち、通知が不要なログのログパターンに合致するログが監視対象システム２から通知されないように設定することができる。

また、ログ通知要否設定部１２６は、パターン検査部１０４により検査された監視対象ログのうち、通知が不要なログにタイムスタンプ以外の部分が合致するログが監視対象システム２から通知されないように設定することもできる。

ログ通知要否設定部１２６は、通知が不要な監視対象ログを生成して出力した監視対象システム２に対して、ログ通知不要指示をネットワーク３を介して送信する。ログ通知不要指示は、監視対象システム２に対して、監視対象ログのうち通知が不要なログのログパターンに合致するログ又は通知が不要なログにタイムスタンプ以外の部分が合致するログを通知しないように指示するものである。

ログ通知不要指示を受信した監視対象システム２では、そのログ通知エージェントの設定が変更される。これにより、監視対象システム２は、監視対象ログのうち通知が不要なログのログパターンに合致するログ又は通知が不要なログにタイムスタンプ以外の部分が合致するログをログ分析システム１ｅに通知しなくなる。

また、ログ通知要否設定部１２６は、パターン検査部１０４により検査された監視対象ログのうち通知が不要なログを監視対象ログ格納部２０２から削除するように構成することができる。

上述したログの通知の要否は、後述するようにオペレータが選択して設定することができるようになっている。

なお、本実施形態によるログ分析システム１ｅも、図３に示す第１実施形態によるログ分析システム１と同様のハードウェア構成を有することができる。この場合、ＣＰＵ２００２は、ログ通知要否設定部１２６の機能を実現するプログラムを実行する。

また、ログ通知要否設定部１２６も、電気回路構成により実現されていてもよい。

図２０は、ログ通知の要否を設定するための設定画面の一例を示す図である。図２０に示す設定画面７３０は、上記図１８に示す登録画面７１０と同一画面となっている。設定画面７３０に表示される各レコードは、上記図１８に示す登録画面７１０と同様に、監視対象ログ項目７１２と、マッチング項目７１４と、パターンＩＤ項目７１６と、対応項目７１８とを有している。

マッチング項目７１４が「ＯＫ」のレコードにおける対応項目７１８には、上述のように、通知要否設定用プルダウンメニュー７２０が表示されている。通知要否設定用プルダウンメニュー７２０では、オペレータが、「通知」、「不要（個別）」、及び「不要（パターン）」のいずれか項目を選択することが可能になっている。初期状態では、「通知」が選択されている。

通知要否設定用プルダウンメニュー７２０において、「通知」を選択すると、そのレコードに表示されるログのパターンに合致するログ、及びそのログにタイムスタンプ以外の部分が合致するログは、通常どおりログ分析システム１ｅに通知される。

一方、通知要否設定用プルダウンメニュー７２０において、「不要（個別）」を選択すると、そのレコードに表示されるログにタイムスタンプ以外の部分が合致するログが通知されないようにログ通知要否設定部１２６により設定される。また、「不要（パターン）」を選択すると、そのレコードに表示されるログのログパターンに合致するログがから変数置換部１２２により抽出されたログパターンが通知されないようにログ通知要否設定部１２６により設定される。例えば、図２０に示す場合、「不要（パターン）」を選択すると、パターンＩＤが１４４のログパターン（図６参照）に合致するログが通知されないように設定される。

このように、本実施形態では、監視対象システム２から不要なログがログ分析システム１ｅに通知されないように設定することにより、ログ分析システム１ｅによるログ分析に要するデータ量を低減し、異常に至る原因を効率よく特定することができる。

なお、上記では、図２に示す第１実施形態によるログ分析システム１の機能構成に加えてログ通知要否設定部１２６をさらに有する場合について説明したが、これに限定されるものではない。図１２、図１３、及び図１６に示す第２実施形態によるログ分析システム１ｂ、１ｃ、１ｄの機能構成に加えてログ通知要否設定部１２６をさらに有するようにすることもできる。

以上、各実施形態において説明したログ分析システムは、他の実施形態によれば、図２１に示すように構成することもできる。

図２１は、他の実施形態によるログ分析システムの機能構成を示すブロック図である。ログ分析システム１ｆは、監視対象ログのうち、記憶媒体に記憶されている形式であるログパターンに合致しないログから、そのログに含まれる変数の値を抽出する変数抽出部として機能する変数値マッチング部１０６を有している。

［変形実施形態］
本発明は、上記実施形態に限らず、種々の変形が可能である。

例えば、上記実施形態では、検索部１０８による検索結果を表示するログリストにおいて、検索されたログをそれぞれ示した場合を例に説明したが、検索結果を表示する態様はこれに限定されるものではない。例えばタイムスタンプ以外の部分が同じログをまとめて表示することもできる。図２２は、図１０に示すログリスト１００４に代えて、タイムスタンプ以外の部分が同じログをまとめて表示するログリスト１０１４を示している。ログリスト１０１４では、タイムスタンプ以外の部分が同じログの件数が数字で表示されている。ログリスト１０１４では、タイムスタンプ以外の部分が同じログをまとめた表示から、タイムスタンプ以外の部分が同じログを展開して図１０に示すログリスト１００４のように表示することもできる。ログリスト１０１４では、このようなログの展開の可否がそれぞれ「＋」及び「−」で示されている。

また、上記実施形態では、パターン検査部１０４により検出された新規なログに含まれる変数値を含むログを検索部１０８により検索する場合を例に説明したが、検索部１０８による検索は、これに限定されるものではない。例えば、検索部１０８は、監視対象ログのうち、珍しい変数値を含むログ、頻繁に生成されているログ、「Critical」、「Error」等の異常を示す内容を含むログ等に含まれる変数値を含むログを検索してもよい。

また、上述の各実施形態の機能を実現するように該実施形態の構成を動作させるプログラムを記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のコンピュータプログラムが記録された記録媒体はもちろん、そのコンピュータプログラム自体も各実施形態に含まれる。

該記録媒体としては例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ（Compact Disc-Read Only Memory）、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ（Operating System）上で動作して処理を実行するものも各実施形態の範疇に含まれる。

上述の各実施形態の機能により実現されるサービスは、ＳａａＳ（Software as a Service）の形態でユーザに対して提供することもできる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
監視対象ログのうち、記憶媒体に記憶されている形式に合致しない第１のログから、前記第１のログに含まれる変数の値を抽出する変数抽出部を有するログ分析システム。

（付記２）
前記監視対象ログのうち、前記変数の値を含む第２のログを出力するログ出力部をさらに有する付記１記載のログ分析システム。

（付記３）
前記ログ出力部は、前記第２のログに含まれる変数の値を含む第３のログをさらに出力する付記２記載のログ分析システム。

（付記４）
前記ログ出力部は、前記監視対象ログの中から、前記変数の値を含む前記第２のログを検索して出力する検索部であり、
前記検索部による検索の検索条件を設定する検索条件設定部をさらに有する付記２又は３に記載のログ分析システム。

（付記５）
前記形式は、前記監視対象ログの中で変化可能な前記変数と、前記監視対象ログの中で変化しない共通部分とを含む付記１乃至４のいずれかに記載のログ分析システム。

（付記６）
前記監視対象ログに含まれる各ログが前記形式に合致するか否かを検査し、前記形式に合致しないものを前記第１のログとして検出するパターン検査部をさらに有する付記１乃至５のいずれかに記載のログ分析システム。

（付記７）
前記第１のログの形式を抽出する形式抽出部をさらに有し、
前記パターン検査部は、前記監視対象ログに含まれる各ログが、前記形式抽出部により抽出された前記第１のログの形式に合致するか否かをも検査する付記６記載のログ分析システム。

（付記８）
前記パターン検査部により検査された前記監視対象ログのうちの所定のログの形式に合致するログが前記監視対象ログとして通知されないように設定する通知要否設定部をさらに有する付記６又は７に記載のログ分析システム。

（付記９）
監視対象ログのうち、記憶媒体に記憶されている形式に合致しない第１のログから、前記第１のログに含まれる変数の値を抽出する工程を有するログ分析方法。

（付記１０）
前記監視対象ログのうち、前記変数の値を含む第２のログを出力する工程をさらに有する付記９記載のログ分析方法。

（付記１１）
コンピュータに、
監視対象ログのうち、記憶媒体に記憶されている形式に合致しない第１のログから、前記第１のログに含まれる変数の値を抽出する工程を実行させるプログラムが記録された記録媒体。

（付記１２）
前記プログラムが、前記コンピュータに、
前記監視対象ログのうち、前記変数の値を含む第２のログを出力する工程をさらに実行させる付記１１記載の記録媒体。

以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１５年１１月１３日に出願された日本出願特願２０１５−２２３０５２を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１、１ｂ、１ｃ、１ｄ、１ｅ、１ｆ…ログ分析システム
２…監視対象システム
１０…処理部
２０…記憶部
１０４…パターン検査部
１０６…変数値マッチング部
１０８…検索部
１２０…検索条件設定部
１２２…変数置換部
１２６…ログ通知要否設定部

Claims (9)

1. 監視対象ログのうち、記憶媒体に記憶されている形式に合致しない第１のログから、前記第１のログに含まれ、異常の原因となった可能性がある情報である変数の値を抽出する変数抽出部と、
   前記監視対象ログのうち、前記変数の値を含む第２のログを出力するログ出力部と
   を有するログ分析システム。
2. 前記ログ出力部は、前記第２のログに含まれる変数の値を含む第３のログをさらに出力する請求項１記載のログ分析システム。
3. 前記ログ出力部は、前記監視対象ログの中から、前記変数の値を含む前記第２のログを検索して出力する検索部であり、
   前記検索部による検索の検索条件を設定する検索条件設定部をさらに有する請求項１又は２に記載のログ分析システム。
4. 前記形式は、前記監視対象ログの中で変化可能な前記変数と、前記監視対象ログの中で変化しない共通部分とを含む請求項１乃至３のいずれか１項に記載のログ分析システム。
5. 前記監視対象ログに含まれる各ログが前記形式に合致するか否かを検査し、前記形式に合致しないものを前記第１のログとして検出するパターン検査部をさらに有する請求項１乃至４のいずれか１項に記載のログ分析システム。
6. 前記第１のログの形式を抽出する形式抽出部をさらに有し、
   前記パターン検査部は、前記監視対象ログに含まれる各ログが、前記形式抽出部により抽出された前記第１のログの形式に合致するか否かをも検査する請求項５記載のログ分析システム。
7. 前記パターン検査部により検査された前記監視対象ログのうちの所定のログの形式に合致するログが前記監視対象ログとして通知されないように設定する通知要否設定部をさらに有する請求項５又は６に記載のログ分析システム。
8. 監視対象ログのうち、記憶媒体に記憶されている形式に合致しない第１のログから、前記第１のログに含まれ、異常の原因となった可能性がある情報である変数の値を抽出する工程と、
   前記監視対象ログのうち、前記変数の値を含む第２のログを出力する工程と
   を有するログ分析方法。
9. コンピュータに、
   監視対象ログのうち、記憶媒体に記憶されている形式に合致しない第１のログから、前記第１のログに含まれ、異常の原因となった可能性がある情報である変数の値を抽出する工程と、
   前記監視対象ログのうち、前記変数の値を含む第２のログを出力する工程と
   を実行させるプログラム。

Images