JPWO2017169949A1 - ログ分析装置、ログ分析方法及びプログラム - Google Patents

Abstract

ログからシステムの障害原因を分析する際のユーザの負荷を軽減する。ログ分析装置は、所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する相関モデル生成部と、前記相関モデルに基づき前記監視対象の異常の有無を判定する判定部を備える。

Description

本発明は、ログの分析を行うためのログ分析装置等に関する。

コンピュータ上で実行されるシステムにおいては、イベントの結果又はメッセージ等を含むログが出力される。システム等に異常が発生した際には、ユーザ（例えばオペレータ）は、出力されたログを分析、解析することで、異常の原因を特定する。

システム異常の原因の追及等のためにログ分析を行う際、ユーザはシステムから出力される多数のログを参照する必要がある。ユーザへの負担を軽減するために、ログに基づく分析を補助する情報を提供することが求められている。

特許文献１は、監視対象ホストのログを読み込み、平常時のログ遷移モデルと読み込まれたログ情報とに基づき、ログ変化があった時に変化のあったログの性能情報を取得し、取得した性能情報とログ情報から障害の有無を判定する技術を開示する。

また、特許文献２は、監視対象のソフト構成及びハード構成ごとのログの特性に基づくソフト構成とハード構成とが関連付けられた定義に基づき、ログを監視対象のソフト構成及びハード構成ごとに出力する技術を開示する。

特開２０１４−１２０００１号公報 特開２０１０−８６０９９号公報

特許文献１に開示された技術は、監視ホストにおける障害の有無をログ情報から判断している。特許文献２に開示された技術は、監視対象から出力されるログを所定の分類ごとに出力する。しかしながら、ログ情報を出力するシステム（監視ホスト）における障害の原因を推定するためには分析者又はオペレータなどのユーザが自身のノウハウを基にログ情報を分析する必要があり、特許文献１及び特許文献２に開示された技術では障害の原因箇所を推定できない。ユーザは、ノウハウを基にログからシステムの障害原因を分析するため負荷が大きい。すなわち、特許文献１及び特許文献２に開示された技術では、システムにおける障害の原因箇所を分析するユーザの負荷が大きいままであり、該ユーザの負荷を軽減できない。

本発明の目的は、上記課題を解決し、ログからシステムの障害原因を分析する際のユーザの負荷を軽減できるログ分析装置等を提供することである。

本発明の一態様におけるログ分析装置は、所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する相関モデル生成部と、前記相関モデルに基づき前記監視対象の異常の有無を判定する判定部と、を備える。

本発明の一態様におけるログ分析方法は、所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成し、前記相関モデルに基づき前記監視対象の異常の有無を判定する。

本発明の一態様におけるプログラムを格納する記録媒体は、コンピュータに、所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する処理と、前記相関モデルに基づき前記監視対象の異常の有無を判定する処理と、を実行させる。

本発明によれば、ログからシステムの障害原因を分析する際のユーザの負荷を軽減できる。

第１の実施形態におけるログ分析システムの運用形態を示す図である。 本実施形態におけるログ分析装置等を実現するコンピュータ装置のハードウェア構成を示すブロック図である。 第１の実施形態におけるログ分析装置の機能構成を示すブロック図である。 第１の実施形態におけるログ情報記憶部が格納するログ情報の一例を示す図である。 第１の実施形態における形式記憶部が格納する形式情報の一例を示す図である。 第１の実施形態におけるログ分析部の動作例を示すフローチャートである。 第１の実施形態における判定済みログ情報の一例を示す図である。 第１の実施形態におけるログ時系列情報の一例を示す図である。 第１の実施形態における性能情報の一例を示す図である。 第１の実施形態における異常判定部の動作例を示すフローチャートである。 第１の実施形態における出力情報の例を示す図である。 第１の実施形態におけるログ分析装置の動作例を示すフローチャートである。 第１の実施形態における出力情報の別の例を示す図である。 第２の実施形態におけるログ分析装置の機能構成を示すブロック図である。 第２の実施形態における異常分析部の動作例を示すフローチャートである。 第２の実施形態におけるログ分析装置の動作例を示すフローチャートである。 各実施形態におけるログ分析装置のブロック図である。

以下、図面を参照して、本発明の実施形態を説明するが、本発明は本実施形態に限定されるものではない。なお、以下で説明する図面で、同機能を有するものは同一符号を付け、その繰り返しの説明は省略することもある。

本実施形態においては、監視対象から出力されるログのパターンの時系列と監視対象の稼働状態に基づいてパターンと監視対象との相関モデルを生成し、生成した相関モデルを用いて監視対象の異常の有無を判定するログ分析装置（情報処理装置）を例として説明する。

図１は、第１の実施形態におけるログ分析システム１の運用形態の例を示す図である。図１に示すように、本実施形態におけるログ分析システム１は、ログ分析装置１０と出力装置２０が、インターネット又はＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のネットワークを介して接続されて構成されている。

ログ分析装置１０は、ログのパターンと監視対象の稼働状態の相関モデルを生成し、生成した相関モデルを用いて検査対象のログ及び稼働状態を分析し、分析結果を出力するためのＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等の情報処理装置である。以降、ログ分析装置１０が出力する情報を「出力情報」とする。なお、ログ分析システム１は、ログ分析装置１０の代わりに後述するログ分析装置１１を用いてもよい。ログ分析装置１０，１１の詳細は後述する。

出力装置２０は、本実施形態におけるログ分析システム１を利用するユーザのインタフェースであり、一般的な情報処理機能を有するＰＣに、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を実現するためのソフトウェアプログラムがインストールされていることによって実現される。なお、出力装置２０は、ログ分析装置１０から出力される出力情報の表示等を行うためのタブレット端末又はウェアラブル端末などの情報処理装置であってもよい。

次に、本実施形態におけるログ分析システム１に含まれるログ分析装置１０と出力装置２０の各装置を構成するハードウェアについて説明する。図２は、本実施形態におけるログ分析装置１０又は出力装置２０を実現するコンピュータ装置５０のハードウェア構成を示すブロック図である。

図２に示すように、コンピュータ装置５０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）５０１と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）５０２と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）５０３と、記憶装置５０４と、ドライブ装置５０５と、通信インタフェース５０６と、入出力インタフェース５０７とを備える。

ＣＰＵ５０１は、ＲＡＭ５０３を用いてプログラム５０８を実行する。プログラム５０８は、ＲＯＭ５０２に記憶されていてもよい。また、プログラム５０８は、記録媒体５０９に記録され、ドライブ装置５０５によって読み出されてもよいし、外部装置からネットワーク５１０を介して送信されてもよい。通信インタフェース５０６は、ネットワーク５１０を介して外部装置とデータをやり取りする。入出力インタフェース５０７は、周辺機器（キーボード、マウス、表示装置など）とデータをやり取りする。通信インタフェース５０６及び入出力インタフェース５０７は、データを取得又は出力する手段として機能することができる。出力情報などのデータは、記憶装置５０４に記憶されていてもよいし、プログラム５０８に含まれていてもよい。

なお、以下の実施形態の機能を実現するように該実施形態の構成を動作させるプログラム（より具体的には、図６、図１０、図１２等に示す処理をコンピュータに実行させるプログラム）を記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のプログラムが記録された記録媒体はもちろん、そのプログラム自体も各実施形態に含まれる。

該記録媒体としては例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）−ＲＯＭ、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ上で動作して処理を実行するものも各実施形態の範疇に含まれる。

＜第１の実施形態＞
次に、本実施形態におけるログ分析装置１０の機能について説明する。図３は、第１の実施形態におけるログ分析装置１０の機能構成を示すブロック図である。図３に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受は、データバス、ネットワーク、可搬記録媒体等、任意の手段を介して行われてよい。

図３に示すように、本実施形態におけるログ分析装置１０は、ログ情報記憶部１０１、形式記憶部１０２、ログ分析部１０３、性能情報記憶部１０４、相関モデル生成部１０５、情報取得部１０６、異常判定部１０７及び情報出力部１０８を含む。

ログ情報記憶部１０１は、監視対象システムから得られるログ情報を格納する。ログ情報記憶部１０１の例はメモリ又はハードディスク等の記憶装置である。監視対象システムとは、例えばＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）システムである。ＩＴシステムは、機器（例えば、サーバ、クライアント端末、ネットワーク機器、その他の情報機器）又は、当該機器上で動作するシステム・ソフトウェア、アプリケーション・ソフトウェア等のソフトウェアにより構成される。

図４に示すように、ログ情報は、複数のログ（ログデータ）を含む。図４は、第１の実施形態におけるログ情報記憶部１０１が格納するログ情報の一例を示す図である。図４に示す例において、ログ情報に含まれる１つのログは、「２０１５／０８／１７ ０８：２１：３７ ［ＳＶ００８］ ＪＮＷ ３２５８ が開始しました。」である。

なお、ログ情報は、稼動中に発生したイベントの内容、稼働中の状況等を記録したログを含む。また、ログ情報は、例えば、バイナリデータ又はテキストデータ等の、任意のデータ形式（ファイル形式）で表されたログを含んでよい。また、ログ情報は、データベースのテーブル又はテキストファイルとしてログ情報記憶部１０１に格納されてよい。また、ログ情報は、随時あるいは定期的にログ情報記憶部１０１に追加・更新される。

なお、本実施形態のログ情報記憶部１０１は、例えば、監視対象システムが正常稼働している期間のログ情報を格納する。

形式記憶部１０２は、形式情報を格納する。形式記憶部１０２の例は、メモリ又はハードディスク等の記憶装置である。形式情報とは、ログの表現形式を示すフォーマットのパターンである。例えば、ログとして「Ｐｒｏｃｅｓｓ ｐ３２５ ｓｔａｒｔ」、「Ｐｒｏｃｅｓｓ ｐ２２３ ｓｔａｒｔ」、「Ｐｒｏｃｅｓｓ ｐ２３４ ｓｔａｒｔ」のようなログが複数出力されている場合、これらのログに共通する「Ｐｒｏｃｅｓｓ ＜変数＞ ｓｔａｒｔ」のような変数部分と定数部分とで構成されるフォーマットパターンが存在すると推測される。変数部分とは、フォーマットパターンの中で変化可能な部分である。上述のフォーマットパターンにおける変数部分は、「＜変数＞」である。定数部分とは、フォーマットパターンの中で変化しない部分である。上述のフォーマットパターンにおける定数部分は、「Ｐｒｏｃｅｓｓ」、「ｓｔａｒｔ」である。形式記憶部１０２には、１つ以上のフォーマットパターンを含む形式情報が格納される。

図５が示すように、形式情報は、フォーマットパターンと該フォーマットパターンの識別子であるパターンＩＤとが対応付けられている。図５は、第１の実施形態における形式記憶部１０２が格納する形式情報の一例を示す図である。図５に示す例においては、パターンＩＤが「０３９」の場合のフォーマットパターンは、「＜変数：タイムスタンプ＞ ［＜変数：文字列＞］ ＪＮＷ ＜変数：数値＞ が開始しました。」である。

ログ分析部１０３は、ログ情報と形式情報とに基づき、ログの形式ごとの時系列情報（以降、「ログ時系列情報」とも記載）を生成する。具体的には、ログ分析部１０３は、ログ情報に含まれるログと、形式情報に含まれるフォーマットパターンとを参照し、各フォーマットパターンに対応するログが一定時間内にいくつ出現しているかを示すログ時系列情報を生成する。

以下、ログ分析部１０３によるログ時系列情報生成処理の詳細を説明する。図６は、第１の実施形態におけるログ分析部１０３の動作例を示すフローチャートである。
ログ分析部１０３は、ログ情報記憶部１０１に格納されるログ情報と、形式記憶部１０２に格納される形式情報に基づき、ログごとに形式を判定する（ステップＳ１０１）。図７に示すように、ログ分析部１０３は、図４に示すログ情報を図５に示す形式情報の各フォーマットパターンのうちどのフォーマットパターンに該当するかを判定する。図７は、第１の実施形態における判定済みログ情報の一例を示す図である。例えば、図４に示す例では、ログ情報が「２０１５／０８／１７ ０８：２１：３７ ［ＳＶ００８］ ＪＮＷ ３２５８ が開始しました。」である。形式情報が図５に示す情報である場合のログ分析部１０３は、図７に示すように、「２０１５／０８／１７ ０８：２１：３７ ［ＳＶ００８］ ＪＮＷ ３２５８ が開始しました。」をパターンＩＤ「０３９」に判定する。

なお、図７に示すパターン判定済みログ情報に示す「パターンＩＤ」の列は、各行のログに対応するフォーマットパターンのパターンＩＤを表している。

ログ分析部１０３は、全てのログを判定した場合（ステップＳ１０２でＹｅｓ）、判定済みログ情報に基づきログ時系列情報を生成する（ステップＳ１０３）。図８に示すように、ログ分析部１０３は、判定済みログ情報のログをパターンＩＤごとに分類し、分類されたログの出現量を所定期間ごとに算出する。図８は、第１の実施形態におけるログ時系列情報の一例を示す図である。図８に示す例においては、ログ時系列情報は、各フォーマットパターン（パターンＩＤ）に対応するログが５分間隔で何回出現しているか、を表形式で表す。具体的には、例えば、図７のログ情報において、２０１５／０８／１７ ０８：２５：００から２０１５／０８／１７ ０８：２９：５９までの５分間を、その開始時刻を用いて「２０１５／０８／１７ ０８：２５：００」と表す。「２０１５／０８／１７ ０８：２５：００」で、パターンＩＤが「０７１」に該当するログ情報は「２０１５／０８／１７ ０８：２６：１６ ［ＳＶ００１］ ＪＮＷ ５２９ が終了しました。」および「２０１５／０８／１７ ０８：２６：３７ ［ＳＶ００８］ ＪＮＷ ３２５８ が終了しました。」の２つである。該場合におけるログ分析部１０３は、図８に示すように所定期間の開始時刻である「２０１５／０８／１７ ０８：２５：００」に関連付られるパターンＩＤの「０７１」のログ時系列情報（出現数）を「２」と算出する。

また、ログ分析部１０３は、全てのログを判定していない場合（ステップＳ１０２でＮｏ）、ステップＳ１０１の処理を実行する。

なお、ログ時系列情報は、ＣＳＶ（Ｃｏｍｍａ−Ｓｅｐａｒａｔｅｄ Ｖａｌｕｅｓ）、ＴＳＶ（Ｔａｂ−Ｓｅｐａｒａｔｅｄ Ｖａｌｕｅｓ）、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔ（登録商標） Ｏｂｊｅｃｔ Ｎｏｔａｔｉｏｎ）等の、任意のファイル形式でよい。

性能情報記憶部１０４は、監視対象システムの性能メトリクスを示す性能情報（以降、「稼働状態」とも記載）を格納する。性能情報記憶部１０４の例は、メモリ又はハードディスク等の記憶装置である。性能メトリクスとは、１秒、１分、又は５分といった単位時間あたりのコンピュータリソースの使用量、使用率、又は使用回数等のことである。具体的には、性能メトリクスは、ＣＰＵ使用率、メモリ使用量、ディスクビジー率、ネットワーク送受信量などである。図９に示すように、性能情報は、監視対象の性能メトリクスの時系列情報である。図９は、第１の実施形態における性能情報の一例を示す図である。図９に示す例において、性能情報は、所定期間ごとの時刻と該所定期間における性能メトリクスごとの値とが対応付けられている。具体的には、例えば、図９に示すように、所定期間の開始時刻である「２０１５／０８／１７ ０８：２５：００」に関連づけられる性能メトリクスであるＣＰＵ使用率の値は、「２」を示す。

なお、コンピュータリソースは、物理ＣＰＵ又はディスク等の物理的なリソースだけではなく、論理的なリソースであってもよい。論理的なリソースとしては、仮想マシンに割り当てられる論理ＣＰＵ又は論理ディスク、ネットワークコネクション数、ミドルウェアの稼働スレッド数等がある。

なお、本実施形態の性能情報の時刻は、図８に示すログ時系列情報の時刻と同じである。また、本実施形態における性能情報に含まれる性能メトリクスの値を実際のパーセンテージで説明したが、例えば、実際のパーセンテージを四捨五入するなどの概算値又は各比率でもよい。

相関モデル生成部１０５は、ログ時系列情報と性能情報とに基づき、ログのパターンと性能メトリクスとの間の相関関係を示す相関モデルを生成する。具体的には、相関モデル生成部１０５は、フォーマットパターンに対応するログの出現量と性能メトリクスごとの値との相関モデルを生成する。

以下、相関モデルについて、簡単な例を用いて説明する。ある２つの変数Ｘと変数Ｙとの相関モデルの算出式は、以下の通りである。

Ｙ＝Ａ・Ｘ＋Ｂ・・・（式１）

上記（式１）に示すように、変数Ｘを説明変数、変数Ｙを目的関数、ＡとＢをある定数とする場合の相関モデルは、例えば、一方の値が決まると他方の値が決まる関係式を示す。なお、上記（式１）におけるＡ又はＢは、相関分析又は回帰分析によって推定される。

変数ＸとＹとが時系列情報ＸｉとＹｉ（ｉ＝０，１，２，…）とである場合における相関モデルの算出式は、以下の通りである。例えば、下記（式２）は、本実施形態におけるログ時系列情報と性能時系列情報との相関モデルを示す。

Ｙｉ＝Ａ・Ｘｉ＋Ｂ・・・（式２）

なお、上記（式２）に示す時系列情報ＸｉとＹｉとの間の相関関係の有無は、データから得られる相関係数が一定以上であること、上記（式２）との誤差又は残差平方和等が一定以下であること等、により判定される。また、時系列情報ＸｉとＹｉとの相関関係は、例えば、Ｘｉ又はＹｉの過去の時系列情報Ｘｉ，Ｙｉ（ｉ＝０，…ｉ−１）も用いたＡＲＸ（Ａｕｔｏ−Ｒｅｇｒｅｓｓｉｖｅ， ｅＸｏｇｅｎｏｕｓ）モデルにより推定されてもよい。

相関モデル生成部１０５は、ログ分析部１０３により生成されたログ時系列情報に含まれるフォーマットパターンを説明変数、性能情報記憶部１０４に格納された性能時系列情報に含まれる性能メトリクスを目的変数として、フォーマットパターンと性能メトリクスとの組合せに対する相関関係を分析し、相関関係があると判定されたフォーマットパターンと性能メトリクスとの対（ペア）を相関モデルとして生成する。具体的には、例えば、フォーマットパターンを示す「パターン０３９」と性能メトリクスを示す「ＣＰＵ使用率」とに相関関係がある場合、相関モデル生成部１０５は、「ＣＰＵ使用率―パターン０３９」である相関モデルを生成する。すなわち、相関モデル生成部１０５は、所定期間における監視対象から出力されるログのパターンの時系列及び監視対象の稼働状態に基づき、パターンと監視対象との相関モデルを生成する。

なお、相関モデル生成部１０５は、例えば、生成した相関モデルをログ分析システム１内部の記憶装置に格納してもよい。また、本実施形態の相関モデル生成部１０５では、フォーマットパターンを説明変数、性能メトリクスを目的変数として説明したが、それに限定されない。例えば、相関モデル生成部１０５は、フォーマットパターンを目的変数、性能メトリクスを説明変数として、フォーマットパターンと性能メトリクスとの相関関係を分析し、相関モデルを生成してもよい。また、相関モデル生成部１０５は、事前に指定したフォーマットパターン又はコンピュータリソースを主として相関関係を分析するようにしてもよい。

情報取得部１０６は、監視対象システムの検査対象のログ情報及び性能情報（以降、「検査対象のログ情報及び性能情報」とも記載）を取得する。検査対象のログ情報及び性能情報とは、異常判定の対象となる監視対象のシステムのログ情報及び性能情報を示す。

なお、情報取得部１０６は、例えば、リアルタイムでログ情報及び性能情報を取得してもよいし、所定の間隔で一定期間取得してもよい。取得された検査対象のログ情報及び性能情報は、ログ分析システム１内部の記憶装置に格納されて良い。情報取得部１０６は、ログ分析システム１内部の記憶装置に格納された一定期間のログ情報及び性能情報を読み出すことにより、取得して良い。また、情報取得部１０６は、例えば、監視対象システムを監視する監視システムからログ情報及び性能情報を取得して良い。また、ログ情報及び性能情報は、監視システムなどにより一定期間取得されて良い。

異常判定部１０７は、検査対象のログ情報及び性能情報と相関モデルとに基づき、監視対象システムの異常を判定する。具体的には、異常判定部１０７は、相関モデルに基づき、検査対象のログ時系列情報と性能情報との異常を判定する。

以下、異常判定部１０７による異常判定処理の詳細を説明する。図１０は、第１の実施形態における異常判定部１０７の動作例を示すフローチャートである。図１０に示すように、異常判定部１０７は、情報取得部１０６により取得される検査対象のログ情報と形式記憶部１０２に格納される形式情報とに基づき、検査対象のログ時系列情報を生成する（ステップＳ２０１）。本ステップにおける処理は、上述のステップＳ１０１〜Ｓ１０３の処理と同様である。

異常判定部１０７は、相関モデル生成部１０５により生成された相関モデルに基づき、生成した検査対象のログ時系列情報と情報取得部１０６により取得された検査対象の性能情報との異常を判定する（ステップＳ２０２）。例えば、異常判定部１０７は、検査対象のログ時系列情報及び性能情報が、相関モデルに対応しているか否かを判定する。具体的には、異常判定部１０７は、相関モデル中で相関があるとみなされている説明変数（例えば、フォーマットパターンに対応するログの出現量）と目的変数（例えば、性能メトリクスごとの値）に関し、相関モデルから予測される目的変数の値と実際の観測値（例えば、検査対象の性能メトリクスの値）との差が一定以上ある場合に、相関モデルに対応していない（以降、「相関が崩れた」とも記載）と判定する。すなわち、異常判定部１０７は、相関モデルに基づき監視対象の異常の有無を判定する。

なお、情報取得部１０６により取得された一定期間のログ情報及び性能情報を判定する場合の異常判定部１０７は、例えば、一定期間のログ情報及び性能情報の全てについて判定するまで、ステップＳ２０１及びステップＳ２０２の処理を繰り返してもよい。

なお、判定時において、目的変数の予測値と観測値との差は目的変数が取りうる値の平均値に依存するため、異常判定部１０７は、差を目的変数の平均値で除算（正規化）した値に基づき異常の判定を行ってもよい。また、異常判定部１０７は、予測される目的変数の値と観測値との差が一定以上の状態が一定期間続いた場合に、相関が崩れたと判定してもよい。また、異常判定部１０７は、ある検査対象期間のログ情報及び性能情報から得られる相関係数が一定以下である場合に、相関が崩れたと判定してもよい。

情報出力部１０８は、異常判定部１０７により異常と判定された相関モデルを含む出力情報を出力する。具体的には、例えば、情報出力部１０８は、相関が崩れたと判定された相関モデルを出力する。

また、情報出力部１０８は、例えば、出力情報を出力装置２０に出力する。図１１は、第１の実施形態における出力情報の例を示す図である。図１１に示すように、出力情報は、フォーマットパターンである「パターン０３９」と、該フォーマットパターンとの間で相関関係にある性能メトリクスである「ＣＰＵ使用率」と、からなる相関モデルを示す。該相関モデルは、検査対象のログ情報及び性能情報の間で「パターン０３９」と「ＣＰＵ使用率」との相関が崩れたことを示す。

なお、情報出力部１０８は、相関モデル生成部１０５により生成された全ての相関モデルを含む出力情報を出力してもよい。該状況における情報出力部１０８は、例えば、相関モデルのうち、相関関係が崩れた相関モデルが太字、斜線、色等で強調された出力情報を出力する。

次に、本実施形態におけるログ分析装置１０の動作について説明する。図１２は、第１の実施形態におけるログ分析装置１０の動作例を示すフローチャートである。

ログ分析部１０３は、ログ情報記憶部１０１に格納されるログ情報と形式記憶部１０２に格納される形式情報とに基づきログ時系列情報を生成する（ステップＳ３０１）。相関モデル生成部１０５は、ログ分析部１０３により生成されたログ時系列情報と性能情報記憶部１０４に格納される性能情報とに基づき相関モデルを生成する（ステップＳ３０２）。情報取得部１０６は、検査対象のログ情報及び性能情報を取得する（ステップＳ３０３）。異常判定部１０７は、情報取得部１０６により取得された検査対象のログ情報及び性能情報と相関モデル生成部１０５により生成された相関モデルとに基づき異常を判定する（ステップＳ３０４）。情報出力部１０８は、判定結果に基づき出力情報を出力する（ステップＳ３０５）。

以上説明したように、本実施形態におけるログ分析システム１において、ログ分析装置１０は、ログ情報と形式情報と性能情報とから得られる相関モデルと、検査対象のログ情報及び性能情報と、に基づき異常を判定し、判定結果に基づき出力情報を出力装置２０に出力する。

これにより、生成した相関モデルを用いて検査対象のログ及び稼働状態の異常を判定し、異常に関する相関モデルを含む出力情報を出力できるので、ユーザは監視対象システムの異常と該異常に関する相関モデルを確認でき、ログからシステムの障害原因を分析する際のユーザの負荷を軽減できる。具体的には、ユーザは異常に関する相関モデルからフォーマットパターンと性能メトリクスとのうち、少なくとも一方が異常であることを確認できる。また、ユーザは異常に関する相関モデルに含まれるフォーマットパターンと性能メトリクスとを確認できるので、ユーザはシステムの障害原因におけるノウハウを蓄積でき、ログからシステムの障害原因を分析する際のユーザの負荷をより軽減できる。

なお、本実施形態の情報出力部１０８では、図１１に示すように、フォーマットパターンと性能メトリクスとが一対一対応された相関モデルを含む出力情報を出力するとして説明したが、それに限定されない。例えば、情報出力部１０８は、図１３に示す出力情報を出力してもよい。図１３は、第１の実施形態における出力情報の別の例を示す図である。図１３に示すように、本例での出力情報は、性能メトリクスとフォーマットパターンとが線で接続されている。性能メトリクスとフォーマットパターンとを接続する線は、性能メトリクスとフォーマットパターンとが相関関係にあることを示す。図１３が示す例では、性能メトリクスである「ＣＰＵ使用率」は、３つのフォーマットパターンである「パターンＸ，パターンＹ，パターンＺ」と相関関係にある。なお、パターンＹ，Ｚへの線は省略している。

本例におけるログ分析装置１０においては、相関が崩れた相関モデルを性能メトリクスごとにまとめて出力することができる。これにより、ユーザは異常に関する相関モデルを性能メトリクスごとに確認でき、ユーザの障害解析にかかる負荷を低減することが可能となる。

なお、図１３に示す例においては、フォーマットパターンと性能メトリクスとを線で結ぶことで相関関係を表現しているが、線の色を赤などの警告色に変えることによって相関の破壊を表してもよい。本例におけるログ分析装置１０においては、正常稼働時の監視対象システムから得られた相関モデルを基に、検査対象のログ情報及び性能情報との関係を検査することで、監視対象システムの異常を検知することができる。これにより、監視対象システムの障害に至る兆候を早期に捉え、障害分析を早期に開始することで障害復旧を早めることが可能となる。また、どの相関関係が崩れたかを提示することで、ユーザの障害解析にかかる負荷を低減することが可能となる。

なお、情報出力部１０８は、出力情報を出力装置に出力する代わりに、データベース等に格納するようにしてもよい。また、情報出力部１０８は、相関モデルの予測値と観測値との差、あるいは、差を基に相関の崩れ又は破壊の大きさを算出して出力するようにしてもよい。

なお、本実施形態のログ分析装置１０は、相関モデルに基づき検査対象のログ情報及び性能情報から異常を判定し、判定結果に基づき出力情報を出力装置２０に出力するとして説明したが、それに限定されない。例えば、ログ分析装置１０は、検査対象のログ情報及び性能情報から相関モデルを生成し、生成した相関モデルを含む出力情報を出力装置２０に出力してもよい。具体的には、例えば、本例のログ分析装置１０は、図１３のように性能メトリクスでまとめられた、正常な相関モデルを含む出力情報を出力する。これにより、大量のログ情報又は性能情報の中から、監視対象システムの障害原因を分析する際に有用なログのフォーマットパターンと性能メトリクスとの相関関係を示す相関モデルを生成し、ユーザに提供することができる。例えば、フォーマットパターン「Ｐｒｏｃｅｓｓ ＜変数＞ ｓｔａｒｔ」とＣＰＵ使用率との相関関係を提供することにより、分析対象システムの処理内容についての知識のないユーザにも、プロセス（Ｐｒｏｃｅｓｓ）がＣＰＵリソースを消費することがわかる。また、ＣＰＵ使用率が想定以上に高くなってしまった場合又は、逆に低くなってしまった場合に、ログに示されたプロセスに異常が発生したと判断することができるなど、ログからシステムの障害原因を分析する際のユーザの負荷をより軽減できる。

＜第２の実施形態＞
次に、第２の実施形態について説明する。第１の実施形態では生成した相関モデルと検査対象のログ情報及び性能情報とに基づき異常を判定していたが、本実施形態では形式情報と検査対象のログ情報とに基づき異常を分析する。本実施形態におけるログ分析装置１１の機能について説明する。図１４は、第２の実施形態におけるログ分析装置１１の機能構成を示すブロック図である。図１４に示すように本実施形態におけるログ分析装置１１は、第１の実施形態のログ分析装置１０の構成に加え、異常分析部１０９を備える。既出の説明と重複する説明は適宜省略される。

異常分析部１０９は、形式記憶部１０２に格納される形式情報と、情報取得部１０６により取得された検査対象のログ情報とに基づき、異常を分析する。具体的には、異常分析部１０９は、検査対象のログ情報がフォーマットパターンに合致しないログを異常があると分析する。

以下、異常分析部１０９による異常分析処理の詳細を説明する。図１５は、第２の実施形態における異常分析部１０９の動作例を示すフローチャートである。図１５に示すように、異常分析部１０９は、情報取得部１０６により取得される検査対象のログ情報と形式記憶部１０２に格納される形式情報とに基づき、異常を分析する（ステップＳ４０１）。具体的には、異常分析部１０９は、調査対象のログ情報が形式情報のフォーマットパターンに合致しないログを異常があると分析する。ステップＳ４０１で異常がないと分析された場合（ステップＳ４０２でＮｏ）、異常分析部１０９は、異常がないと分析した検査対象のログ情報をログ分析システム１内部の記憶装置に格納する（ステップＳ４０３）。異常分析部１０９は、全てのログを分析した場合（ステップＳ４０４でＹｅｓ）、処理を完了する。

また、異常分析部１０９は、全てのログを分析していない場合（ステップＳ４０４でＮｏ）、ステップＳ４０１の処理を実行する。また、異常分析部１０９は、ステップＳ４０１で異常があると分析された場合（ステップＳ４０２でＹｅｓ）、異常分析部１０９は、異常と分析したログを監視対象システムの処理内容の異常として決定し（ステップＳ４０５）、ステップＳ４０４の処理を実行する。具体的には、例えば、ログ情報の中に、ログパターンには存在しないプロセスの異常終了又はプロセスの再起動を表す「Ｐｒｏｃｅｓｓ ．．． ｄｏｗｎ」又は「Ｐｒｏｃｅｓｓ ．．． ｒｅｓｔａｒｔ」等の未知のログが含まれていた場合、異常分析部１０９は、監視対象システムにおける処理で異常が発生していると分析する。

なお、異常分析部１０９は、ステップＳ４０１で異常があると分析された場合（ステップＳ４０２でＹｅｓ）、決定した処理内容の異常に関する異常情報を出力装置２０へ出力する。

異常判定部１０７は、上述のステップＳ４０３でログ分析システム１内部の記憶装置に格納される検査対象のログ情報及び性能情報と相関モデルとに基づき、監視対象システムの異常を判定する。具体的には、異常判定部１０７は、検査対象のログ時系列情報及び性能情報と相関モデルとに基づき、異常のログ時系列情報又は性能情報に対応する相関モデルを決定する。本実施形態における異常判定部１０７の処理は、第１の実施形態における異常判定部１０７の処理（ステップＳ２０１〜ステップＳ２０４）と同様である。

異常判定部１０７は、異常があると判定した場合、監視対象システムの処理リソースの異常であると判定する。該状況においては、格納された検査対象のログ情報は異常分析部１０９により異常なしと判定されているため、異常判定部１０７は、処理自体に異常はないと判定する。具体的には、例えば、異常判定部１０７は、ログパターンと性能メトリクス間の相関が崩れている状態がログパターンで示される処理に使われたコンピュータリソースの使用量、使用率、使用回数等に異常がある可能性が高いことを示す判定を実施する。

情報出力部１０８は、第１の実施形態における情報出力部１０８と同様に出力情報を出力する。また、情報出力部１０８は、分析結果が異常の場合、監視対象システムの処理内容に異常があることを示す通知情報を含む出力情報を出力する。また、情報出力部１０８は、判定結果が異常の場合、監視対象システムの処理リソースが異常であることを示す通知情報を含む出力情報を出力する。

次に、本実施形態におけるログ分析装置１１の動作について説明する。図１６は、第２の実施形態におけるログ分析装置１１の動作例を示すフローチャートである。本実施形態におけるログ分析装置１１の処理（ステップＳ５０１〜ステップＳ５０３）は、第１の実施形態におけるログ分析装置１０の処理（ステップＳ３０１〜ステップＳ３０３）と同様であるため、説明を省略する。

異常分析部１０９は、情報取得部１０６により取得された検査対象のログ情報と形式記憶部１０２に格納される形式情報とに基づき、異常を分析する（ステップＳ５０４）。
異常判定部１０７は、ログ分析システム１内部の記憶装置に格納される検査対象のログ情報及び性能情報と相関モデル生成部１０５により生成された相関モデルとに基づき異常を判定する（ステップＳ５０５）。情報出力部１０８は、分析結果及び判定結果に基づき出力情報を出力する（ステップＳ５０６）。

以上説明したように、本実施形態におけるログ分析システム１においては、検査対象のログ情報及び性能情報と形式情報と生成した相関モデルとに基づき、異常を分析し、異常を判定し、分析結果及び判定結果に基づき出力情報を出力装置２０に出力する。

これにより、検査対象のログ情報に基づく異常を分析でき、フォーマットパターンと性能メトリクス間の相関の崩れに基づく異常を判定できるので、システムの異常の原因を切り分け、ユーザの障害解析にかかる負荷を低減することが可能となる。

＜その他の実施形態＞
図１７は、上述の各実施形態におけるログ分析装置３０の概略構成図である。図１７には、ログ分析装置３０が所定期間における監視対象から出力されるログのパターンの時系列及び監視対象の稼働状態に基づき、パターンと監視対象との相関モデルを生成し、相関モデルに基づき監視対象の異常の有無の判定を行う装置として機能するための構成例が示されている。ログ分析装置３０は、所定期間における監視対象から出力されるログのパターンの時系列及び監視対象の稼働状態に基づき、パターンと監視対象との相関モデルを生成する相関モデル生成部１０５と、相関モデルに基づき監視対象の異常の有無を判定する異常判定部１０７を備える。

本発明は、上述の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲において適宜変更可能である。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する相関モデル生成部と、
前記相関モデルに基づき前記監視対象の異常の有無を判定する判定部と、
を備えるログ分析装置。

（付記２）
前記判定部は、前記監視対象の検査対象のログのパターンと前記監視対象の検査対象の稼働状態との関係が前記相関モデルに対応しているか否かで前記監視対象の異常の有無を判定する付記１に記載のログ分析装置。

（付記３）
判定結果が異常である場合、前記相関モデルのうち、前記検査対象のログのパターンと関係のある相関モデルを出力する出力部をさらに備える付記２に記載のログ分析装置。

（付記４）
前記出力部は、前記判定結果が異常である場合の相関モデルを稼働状態に対応付けて出力する付記３に記載のログ分析装置。

（付記５）
前記検査対象のログと予め定められた複数のログのパターンとに基づき、前記監視対象が異常か否かを分析する分析部をさらに備える付記２乃至４のうちいずれか１項に記載のログ分析装置。

（付記６）
前記出力部は、前記分析結果が異常である場合に第１の異常を、前記判定結果が異常である場合に第２の異常を出力する付記５に記載のログ分析装置。

（付記７）
前記判定部は、前記相関モデルに基づく稼働状態と前記検査対象の稼働状態とが予め定められた範囲の中に含まれるか否かで異常の有無を判定する付記１乃至６のうちいずれか１項にログ分析装置。

（付記８）
前記相関モデル生成部は、前記ログのパターンの時系列の変化と前記稼働状態の変化とが予め定められた範囲の中に含まれる場合の前記パターンと前記稼働状態との相関モデルを生成する付記１乃至７のうちいずれか１項に記載のログ分析装置。

（付記９）
前記出力部は、前記相関モデルを出力する付記１乃至８のうちいずれか１項に記載のログ分析装置。

（付記１０）
所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成し、
前記相関モデルに基づき前記監視対象の異常の有無を判定するログ分析方法。

（付記１１）
コンピュータに、
所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する処理と、
前記相関モデルに基づき前記監視対象の異常の有無を判定する処理と、
を実行させるプログラム。

（付記１２）
所定期間における監視対象から出力されるログと予め定められた複数のログのパターンとに基づき、前記ログのパターンの時系列を生成する時系列生成部と、
前記ログのパターンの時系列及び前記所定期間における前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する相関モデル生成部と、
を備えるログ分析装置。

（付記１３）
所定期間における監視対象から出力されるログと予め定められた複数のログのパターンとに基づき、前記ログのパターンの時系列を生成し、
前記ログのパターンの時系列及び前記所定期間における前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成するログ分析方法。

（付記１４）
コンピュータに、
所定期間における監視対象から出力されるログと予め定められた複数のログのパターンとに基づき、前記ログのパターンの時系列を生成する処理と、
前記ログのパターンの時系列及び前記所定期間における前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する処理と、
を実行させるプログラム。

（付記１５）
予め定められた複数のログのパターンと検査対象のログ情報及び性能情報とから、前記ログのパターンと性能情報に含まれる性能メトリクスとの相関モデルを生成するログ分析方法。

以上、上述した実施形態を模範的な例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。

この出願は、２０１６年３月３０日に出願された日本出願特願２０１６−０６７１２２を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１ ログ分析システム
１０、１１、３０ ログ分析装置
２０ 出力装置
５０ コンピュータ装置
１０１ ログ情報記憶部
１０２ 形式記憶部
１０３ ログ分析部
１０４ 性能情報記憶部
１０５ 相関モデル生成部
１０６ 情報取得部
１０７ 異常判定部
１０８ 情報出力部
１０９ 異常分析部
５０１ ＣＰＵ
５０２ ＲＯＭ
５０３ ＲＡＭ
５０４ 記憶装置
５０５ ドライブ装置
５０６ 通信インタフェース
５０７ 入出力インタフェース
５０８ プログラム
５０９ 記録媒体
５１０ ネットワーク

本発明の一態様におけるプログラムは、コンピュータに、所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する処理と、前記相関モデルに基づき前記監視対象の異常の有無を判定する処理と、を実行させる。

Claims (14)

1. 所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する相関モデル生成手段と、
   前記相関モデルに基づき前記監視対象の異常の有無を判定する判定手段、
   を備えるログ分析装置。
2. 前記判定手段は、前記監視対象の検査対象のログのパターンと前記監視対象の検査対象の稼働状態との関係が前記相関モデルに対応しているか否かで前記監視対象の異常の有無を判定する請求項１に記載のログ分析装置。
3. 判定結果が異常である場合、前記相関モデルのうち、前記検査対象のログのパターンと関係のある相関モデルを出力する出力手段をさらに備える請求項２に記載のログ分析装置。
4. 前記出力手段は、前記判定結果が異常である場合の相関モデルを稼働状態に対応付けて出力する請求項３に記載のログ分析装置。
5. 前記検査対象のログと予め定められた複数のログのパターンとに基づき、前記監視対象が異常か否かを分析する分析手段をさらに備える請求項２乃至４のうちいずれか１項に記載のログ分析装置。
6. 前記出力手段は、前記分析結果が異常である場合に第１の異常を、前記判定結果が異常である場合に第２の異常を出力する請求項５に記載のログ分析装置。
7. 前記判定手段は、前記相関モデルに基づく稼働状態と前記検査対象の稼働状態とが予め定められた範囲の中に含まれるか否かで異常の有無を判定する請求項１乃至６のうちいずれか１項にログ分析装置。
8. 前記出力手段は、前記相関モデルを出力する請求項１乃至７のうちいずれか１項に記載のログ分析装置。
9. 所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成し、
   前記相関モデルに基づき前記監視対象の異常の有無を判定するログ分析方法。
10. コンピュータに、
    所定期間における監視対象から出力されるログのパターンの時系列及び前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する処理と、
    前記相関モデルに基づき前記監視対象の異常の有無を判定する処理と、
    を実行させるプログラムを格納した記録媒体。
11. 前記相関モデル生成手段は、前記ログのパターンの時系列の変化と前記稼働状態の変化とが予め定められた範囲の中に含まれる場合の前記パターンと前記稼働状態との相関モデルを生成する請求項１乃至８のうちいずれか１項に記載のログ分析装置。
12. 所定期間における監視対象から出力されるログと予め定められた複数のログのパターンとに基づき、前記ログのパターンの時系列を生成する時系列生成手段と、
    前記ログのパターンの時系列及び前記所定期間における前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する相関モデル生成手段と、
    を備えるログ分析装置。
13. 所定期間における監視対象から出力されるログと予め定められた複数のログのパターンとに基づき、前記ログのパターンの時系列を生成し、
    前記ログのパターンの時系列及び前記所定期間における前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成するログ分析方法。
14. コンピュータに、
    所定期間における監視対象から出力されるログと予め定められた複数のログのパターンとに基づき、前記ログのパターンの時系列を生成する処理と、
    前記ログのパターンの時系列及び前記所定期間における前記監視対象の稼働状態に基づき、前記パターンと前記監視対象との相関モデルを生成する処理と、
    を実行させるプログラムを格納した記録媒体。

Images