WO2019064370A1 - ログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体 - Google Patents

ログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体 Download PDF

Info

Publication number
WO2019064370A1
WO2019064370A1 PCT/JP2017/034930 JP2017034930W WO2019064370A1 WO 2019064370 A1 WO2019064370 A1 WO 2019064370A1 JP 2017034930 W JP2017034930 W JP 2017034930W WO 2019064370 A1 WO2019064370 A1 WO 2019064370A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
transaction
learning model
transactions
same group
Prior art date
Application number
PCT/JP2017/034930
Other languages
English (en)
French (fr)
Inventor
三橋　秀男
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2019545442A priority Critical patent/JP6922992B2/ja
Priority to US16/642,091 priority patent/US11574211B2/en
Priority to PCT/JP2017/034930 priority patent/WO2019064370A1/ja
Publication of WO2019064370A1 publication Critical patent/WO2019064370A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/04—Inference or reasoning models
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3476—Data logging
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/0757—Error or fault detection not based on redundancy by exceeding limits by exceeding a time limit, i.e. time-out, e.g. watchdogs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/076—Error or fault detection not based on redundancy by exceeding limits by exceeding a count or rate limit, e.g. word- or bit count limit
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3013—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is an embedded system, i.e. a combination of hardware and software dedicated to perform a certain function in mobile devices, printers, automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/20—Point-of-sale [POS] network systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/389—Keeping log of transactions for guaranteeing non-repudiation of a transaction
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/81—Threshold

Definitions

  • the present invention relates to a log analysis system, a log analysis method, a log analysis program, and a storage medium.
  • Patent Document 1 describes a method of machine learning a log output from an electronic device in a normal state, and detecting a failure based on the learning content.
  • this method it is learned in advance in what order the logs at the time of learning appear. Then, the failure is detected by determining whether the appearance order of the log at the time of examination matches the appearance order at the time of learning.
  • an object of the present invention is to provide a log analysis system, a log analysis method, a log analysis program, and a storage medium which can detect a fault with high accuracy from a log which electronic equipment outputs.
  • grouping is made such that an identifying unit for identifying a transaction from among logs output from a device and the transaction common to both of the logs related to the start time and the end time are distributed to the same group
  • a learning unit that creates a learning model that defines the number of appearances for each type of log in the transactions of the same group, and an inspection unit that inspects the transaction to be inspected based on the learning model;
  • a log analysis system is provided.
  • a log analysis system a log analysis method, a log analysis program, and a storage medium capable of detecting a fault with high accuracy from a log output from an electronic device.
  • FIG. 1 is a block diagram showing the function of the log analysis system 10 according to the first embodiment.
  • the log analysis system 10 includes a log classification unit 11, a transaction identification unit 12, a grouping unit 13, a learning unit 14, a storage unit 15, and an inspection unit 16.
  • the log classification unit 11 outputs a log (hereinafter referred to as a “normal log”) output from the POS terminal (electronic device) 20 at the time of learning (at the time of operation in a normal state) and a log output at the time of inspection (hereinafter A log classification ID corresponding to the type of each log data is assigned to the inspection log.
  • the log classification unit 11 assigns a log classification ID of the same numerical value as a label to logs of the same type.
  • the log classification ID is not limited to a numerical value, and may be a symbol and a character as long as classification can be distinguished.
  • the log classification unit 11 can execute processing using a conventional technique that classifies logs according to the type of data. For example, a log classification method (see WO2016 / 199433) in which logs having high similarity are classified as the same classification, a log classification method (see Japanese Patent No. 5913145) or the like according to a preset template are used.
  • the transaction identification unit 12 identifies a transaction from the data group of the normal log and the inspection log.
  • transaction refers to a data set of logs that can be extracted as one group, such as a predetermined series of operations.
  • a series of logs corresponding to the checkout operation of the purchased product for each customer corresponds to a transaction. That is, a series of cash register strike operations for the first customer and a series of cash register strike operations for the second customer are separate transactions.
  • the transaction identification unit 12 assigns a unique transaction ID to each transaction.
  • the transaction ID is given in the form of “TID_ + numerical value”, but may be in another form as long as the transaction can be identified.
  • the transaction identification unit 12 can identify the transaction based on the identification information.
  • the transaction identifying unit 12 uses, for example, a method of setting the location where a certain interval is available in the log output time as the transaction boundary. Can be identified.
  • the output time of the log in the POS terminal 20 can provide a temporal vacancy between the first customer and the second customer at the cashier operation. Thus, transactions can be identified in this way.
  • the grouping unit 13 distributes, to the same group, transactions in which both of the log classification IDs given to the normal log pertaining to the start and end of the transaction are common.
  • the learning unit 14 creates a learning model that defines the number of appearances of each type of normal log in transactions of the same group.
  • the learning model defines, in a table format, the maximum number and the minimum number of appearance counts for each log classification ID among a plurality of transactions distributed to the same group.
  • the format of the learning model is not limited to the table format.
  • the storage unit 15 stores a learning model created by the learning unit 14, a program corresponding to an abnormality detection condition used by the inspection unit 16 at the time of inspection processing, and the like.
  • the inspection unit 16 inspects the transaction of the inspection log based on the learning model and a predetermined abnormality detection condition. Details of the inspection method will be described later.
  • FIG. 2 is a block diagram showing an example of the hardware configuration of the log analysis system 10 shown in FIG.
  • the log analysis system 10 includes a central processing unit (CPU) 101, a memory 102, a storage device 103, an interface 104, an input device 105, a display 106, a speaker 107, and a printer 108.
  • CPU central processing unit
  • the CPU 101 is a processor that performs overall control and arithmetic processing of the log analysis system 10 by loading a program recorded in the storage device 103 onto the memory 102 and executing the program. Further, the CPU 101 records the data of the processing result in the storage device 103, and transmits the data of the processing result to the outside via the interface 104.
  • the memory 102 includes a RAM (Random Access Memory) for temporarily storing data being processed by the CPU 101 and data read from the storage device 103.
  • RAM Random Access Memory
  • the storage device 103 stores programs executed by the CPU 101, data of processing results of the programs, and the like.
  • the storage device 103 includes a read only memory (ROM), a readable / writable hard disk drive or a flash memory, and the like.
  • the storage device 103 may also include a computer readable portable storage medium such as a CD-ROM.
  • the interface 104 is a communication unit that transmits and receives data, and is configured to be able to execute at least one of a wired communication method and a wireless communication method.
  • the interface 104 includes a processor, an electric circuit, an antenna, connection terminals, and the like necessary for the communication method.
  • the interface 104 performs communication using the communication method in accordance with a signal from the CPU 101.
  • the input device 105 includes a keyboard and the like that receives input from the user, and transmits the input content to the CPU 101 as a signal.
  • a touch screen in which the input device 105 and the display 106 are integrated may be used.
  • the display 106 is a display device that displays predetermined information such as a test result of a log in accordance with a signal from the CPU 101.
  • the display 106 any display device such as a liquid crystal display can be used.
  • the speaker 107 is an audio output device that outputs audio in accordance with a signal from the CPU 101.
  • the printer 108 is a printing apparatus that prints the inspection result of the log and the like according to the signal from the CPU 101.
  • any printing device such as a thermal printer, an inkjet printer, or a laser printer can be used.
  • the log analysis system 10 is not limited to the configuration shown in FIG. 2 and may further include other devices.
  • the log analysis system 10 may consist of one or more devices or be integrated with other devices. Also, the log analysis system 10 may be connected to another device, and at least a part of the processing performed by the log analysis system 10 in the present embodiment may be performed by the device.
  • FIG. 3 is a flowchart showing a specific example of the learning process in the first embodiment.
  • step S101 the log classification unit 11 acquires a normal log output from the POS terminal 20 operating normally.
  • step S102 the log classification unit 11 assigns a log classification ID to the normal log according to the type of data.
  • FIG. 4 is a diagram for explaining an example of log classification in the first embodiment. Here, five logs LOG_1 to LOG_5 are output in order. Since the type of data output from the device differs depending on the operation content (Operation A, Operation B, Operation E, Operation G), 1, 2, 2, 5 and 7 are the log classification IDs of the logs LOG_1 to LOG_5 respectively. It is shown to be granted.
  • step S103 the transaction identifying unit 12 divides the data group of the normal log into transactions, and assigns a transaction ID to each transaction.
  • transaction identification information is included in the normal log in advance, the identification information is used.
  • step S104 the grouping unit 13 distributes the transactions to the same group for each combination of log classification IDs respectively assigned to normal logs at the start and end of each transaction.
  • step S105 the learning unit 14 counts, for each transaction, the number of appearances of the log classification ID assigned to the normal log of the transaction distributed to the same group. Then, the learning unit 14 creates a learning model based on the minimum number and the maximum number of occurrences of the log classification ID in the group.
  • FIG. 5 is a diagram for explaining an example of creation of a learning model in the first embodiment.
  • the transactions TID_1 to TID_3 are distributed to the same group Gr_1.
  • the logs of the transaction TID_1 appear in the order of “1, 2, 2, 5, 7” by the log classification ID.
  • the log of the transaction TID_2 appears in the order of "1, 2, 2, 5, 2, 2, 5, 7”.
  • the log of the transaction TID_3 appears in the order of “1, 2, 2, 5, 6, 7”.
  • the learning unit 14 counts the number of occurrences in three transactions for each log classification ID, and refers to the maximum number (hereinafter referred to as “maximum occurrence number”) and the minimum number (hereinafter referred to as “minimum occurrence number”).
  • the learning model Md_1 is created in a table format.
  • a log with a log classification ID of “2” appears twice in transaction TID_1 and transaction TID_3, and appears four times in transaction TID_2. Therefore, with respect to the log having the log classification ID "2", the minimum appearance frequency is modeled as “2” and the maximum appearance frequency is "4". Also, a log with a log classification ID of “6” appears once in transaction TID_3 and does not appear in transaction TID_1 and transaction TID_2. Therefore, for the log having the log classification ID “6”, the minimum appearance frequency is modeled as “0” and the maximum appearance frequency is modeled as “1”. Furthermore, information on the shortest time and the longest time of the required time from the start to the end of the transaction among the transactions TID_1 to TID_3 is also included as the definition information of the learning model Md_1.
  • FIG. 6 is a flowchart showing a specific example of inspection processing in the first embodiment.
  • step S201 the log classification unit 11 acquires a data group of the inspection log output by the POS terminal 20 at the time of inspection.
  • step S202 the log classification unit 11 assigns a log classification ID to each examination log according to the type of data.
  • step S203 the transaction identification unit 12 identifies a transaction from the data group of the inspection log, divides the data group into transactions, and assigns a transaction ID to each transaction.
  • the transaction identification unit 12 can use the identification information.
  • step S204 the learning unit 14 selects one transaction from among the plurality of transactions included in the inspection log data group.
  • step S205 the learning unit 14 refers to the learning model stored in the storage unit 15 based on the log classification ID given to the examination log related to the start of the selected transaction. Thereby, the learning unit 14 determines the presence or absence of a learning model having a matching log classification ID at the start of the transaction.
  • step S205: YES when it is determined that there is a learning model having the same log classification ID at the start time (step S205: YES), the process proceeds to step S206.
  • step S205: NO the process proceeds to step S208.
  • step S206 the learning unit 14 acquires, from the storage unit 15, a learning model in which the selected transaction and the log classification ID at the start coincide with each other.
  • step S207 the learning unit 14 inspects the transaction selected in step S204 based on the learning model and a predetermined abnormality detection condition. A specific example of this process will be described later.
  • step S208 the learning unit 14 determines the presence or absence of an unprocessed transaction.
  • step S208: YES if it is determined that there is an unprocessed transaction (step S208: YES), the process returns to S204.
  • step S208: NO when it is determined that there is no unprocessed transaction (step S208: NO), the inspection process is ended.
  • FIG. 7 is a flowchart showing a detailed processing example of the inspection processing in the first embodiment, and corresponds to S207 in FIG.
  • step S301 the learning unit 14 initializes the value of the variable N corresponding to No of the abnormality detection condition to 1 and the value of the variable X corresponding to the number of abnormality detections to 0. Furthermore, the learning unit 14 initializes the value of the variable Err (N) corresponding to the processing result of the abnormality detection condition (N) to zero.
  • step S302 the learning unit 14 calls and executes a predetermined determination program corresponding to the abnormality detection condition (N).
  • step S303 the learning unit 14 determines whether the transaction to be inspected corresponds to the abnormality detection condition (N). Here, if it is determined that the abnormality detection condition (N) is satisfied (step S303: YES), the process proceeds to step S304. On the other hand, if it is determined that the abnormality detection condition (N) is not met (step S303: NO), the process proceeds to step S305.
  • the abnormality detection condition will be described later.
  • step S304 the learning unit 14 adds 1 to the variable X, and stores 1 in the variable Err (N) as a value indicating abnormality detection.
  • step S305 the learning unit 14 adds 1 to the variable N in order to shift to determination processing of the next abnormality detection condition.
  • step S306 the learning unit 14 determines whether the value of the variable N exceeds a constant N_max corresponding to the final No of the abnormality detection condition.
  • step S306: YES the process proceeds to step S307.
  • step S306: NO the process returns to step S302.
  • step S307 the learning unit 14 determines whether the value of the variable N is zero. Here, if it is determined that the value of the variable N is 0 (step S307: YES), the process proceeds to step S308. On the other hand, if it is determined that the value of the variable N is not 0 (step S307: NO), the process proceeds to step S309.
  • step S ⁇ b> 308 the learning unit 14 outputs a message that the inspection result is “normal (no failure)” to, for example, the display 106 or the printer 108.
  • step S309 the learning unit 14 outputs, for example, a message in which the inspection result is “abnormal (fault)” to the display 106 or the printer 108.
  • the user can determine which condition among the plurality of abnormality detection conditions (N) corresponds to by including the value of the variable Err (N) in the inspection result.
  • FIG. 8 is a diagram showing a specific example of the abnormality detection condition in the first embodiment.
  • the actual determination processing corresponding to the abnormality detection condition shown in FIG. 8 is executed, for example, by calling a program (subroutine) corresponding to each abnormality detection condition from the main program corresponding to the inspection unit 16.
  • the determination process corresponding to the abnormality detection condition may be directly described on the main program.
  • the abnormality detection condition (1) is that “the number of appearances of the examination log exceeds the maximum number of appearances of the learning model”.
  • the inspection unit 16 counts the number of appearances of each log classification ID in the transaction to be inspected, and detects as a failure when the count value is larger than the maximum number of appearances of the same log classification ID in the learning model. Do.
  • the inspection unit 16 can detect a failure when, for example, keys are input in multiples.
  • the abnormality detection condition (2) is that “the number of appearances of the inspection log does not reach the minimum number of appearances of the learning model”.
  • the inspection unit 16 counts the number of appearances of each log classification ID in the transaction to be inspected, and detects a failure when the number is smaller than the minimum number of appearances of the same log classification ID in the learning model. According to the abnormality detection condition (2), the inspection unit 16 can detect a failure, for example, when no key is input or data is not input even when the bar code is scanned.
  • the abnormality detection condition (3) is that “the log classification ID is different between the transaction end log and the learning model end log”.
  • the inspection unit 16 compares the log classification ID assigned to the inspection log at the end of the transaction to be inspected with the log classification ID defined at the end of the transaction in the learning model, and the log classification ID If they do not match, it is detected as a failure.
  • the inspection unit 16 can detect a failure when the series of processes of the device do not end properly.
  • the abnormality detection condition (4) is that “the time required from the start to the end of the transaction to be inspected is shorter than the shortest time defined in the learning model”. In this case, the inspection unit 16 detects as a failure when the required time from the start to the end of the transaction to be inspected is shorter than the shortest time defined in the learning model. According to the abnormality detection condition (4), the inspection unit 16 can detect a failure when the processing inside the device not appearing in the log is not executed among the series of processing.
  • the abnormality detection condition (5) is that “the time required from the start to the end of the transaction to be examined is longer than the maximum time defined in the learning model”. In this case, the inspection unit 16 detects a failure when the required time from the start to the end of the transaction to be inspected is longer than the longest time recorded in the learning model. According to the abnormality detection condition (5), the inspection unit 16 can detect a failure, for example, when a process in the device not appearing in the log among the series of processes causes a timeout error.
  • the abnormality detection condition (6) is that "a log classification ID not included in the learning model appears in the transaction to be inspected.” In this case, the inspection unit 16 detects as a failure when a log of a log classification ID not included in the learning model appears in the transaction to be inspected. According to the abnormality detection condition (6), the inspection unit 16 can detect a failure when an error log, an alarm log, or the like that does not appear when normal is output from the device.
  • the abnormality detection condition (7) is that "all log classification IDs included in the learning model do not appear in the transaction to be examined.” In this case, the inspection unit 16 detects a failure when all of the log classification IDs defined in the learning model do not appear in the transaction to be inspected. According to the abnormality detection condition (7), as in the case of the above-described abnormality detection condition (2), when the inspection unit 16 presses a key or executes bar code scanning, no data is input. Can detect faults. However, it differs from the above-mentioned abnormality detection condition (2) in that it is detected only when a log of a predetermined log classification ID does not appear at all in the middle of a transaction.
  • the abnormality detection condition (8) is that "the ratio of the number of appearances of the log classification ID is different between the transaction to be inspected and the learning model.”
  • the inspection unit 16 compares the ratio of the number of appearances of each log classification ID in the transaction to be inspected with the ratio of the number of appearances of each log classification ID in the learning model. And when two ratios do not correspond, it detects as a failure.
  • the inspection unit 16 has a repetitive structure in one transaction, for example, an operation of scanning bar codes of a plurality of commodities in the POS terminal 20, and the repetition number is a transaction It is effective for inspection when changing every time.
  • the inspection unit 16 determines that there is an abnormality among the illustrated eight conditions.
  • the fault can be detected only under the detection condition (8).
  • FIG. 9 is a diagram for explaining an example of examination based on a learning model in the examination unit 16 shown in FIG.
  • an example of learning the transaction TID_5 and the transaction TID_6 allocated to the same group Gr_2 and creating a learning model Md_2 is shown.
  • Transaction TID_5 is a data structure in which logs appear in the order of “1, 2, 2, 5, 7” by the log classification ID.
  • transaction TID_6 is a data structure in which a log appears so that the order of “1, 2, 2, 5, 7” is repeated three times in the log classification ID.
  • logs with log classification IDs “1”, “5”, and “7” appear once in transaction TID_5 and appear three times in transaction TID_6. Therefore, logs with log classification IDs “1”, “5” and “7” are modeled as “1” for the minimum appearance frequency and “3” for the maximum appearance frequency.
  • a log with a log classification ID of “2” appears twice in transaction TID_5 and six times in transaction TID_6. Therefore, the log with the log classification ID “2” is modeled as “2” as the minimum appearance frequency and “6” as the maximum appearance frequency.
  • transaction TID_7 is input as an inspection target.
  • transaction TID_7 after the data structure "1, 2, 2, 5, 7" is repeated twice in the log classification ID, an error occurs in the third operation and the log classification ID is "5". It has a data structure in which the examination log does not appear and becomes "1, 2, 2, 7".
  • the fault detection under the above-mentioned abnormality detection condition (7) can be considered at first glance.
  • the inspection log whose log classification ID is "5" appears normally until the second repetition, it can not be detected under the abnormality detection condition (7).
  • the number of appearances of the inspection log whose log classification ID is “5” is between the maximum number of appearances and the minimum number of appearances at the time of learning. Therefore, even under the abnormality detection condition (2), the failure can not be detected.
  • the failure detection condition (8) is detected based on the ratio of the number of occurrences.
  • the reason is that the ratio of the number of appearances of the log classification ID does not change no matter how many times the structure repeatedly appears in the transaction.
  • the inspection unit 16 can detect as a failure when the ratio of the number of appearances of the log classification ID does not match at the time of learning and at the time of inspection.
  • the inspection unit 16 distributes transactions in which the start log classification ID and the end log classification ID are the same to the same group and creates one learning model
  • the log classification ID at the start ( The appearance ratio is calculated based on the number of appearances of “1”).
  • the appearance ratio of the log classification ID in the learning model Md_2 is “1, 2, 1, 1”.
  • the ratio in the inspection data is calculated as “1, 2, 0.67, 1” based on the number of occurrences “3” of the log classification ID “1” at the start.
  • the appearance ratio of the log classification ID may be calculated with the number of appearances of the log classification ID indicating the smallest value among them as the reference “1” in consideration of the minimum number of appearances of the learning model.
  • the minimum value among the minimum occurrence numbers is “1”, so that the ratio model is “1, 2, 1, 1”.
  • the learning model is created not based on the appearance order of the logs in the transaction but on the appearance frequency, and the transaction to be inspected is inspected based on the learning model. Do. Therefore, even in the case of an electronic device such as the POS terminal 20 in which a human performs an irregular operation, for example, a fault can be detected with high accuracy from a log output from the electronic device.
  • FIG. 10 is a block diagram showing an example of the overall configuration of a log analysis system 80 according to the second embodiment.
  • the log analysis system 80 includes an identification unit 81, a grouping unit 82, a learning unit 83, and an inspection unit 84.
  • the identification unit 81 identifies a transaction from among the logs output from the device.
  • the grouping unit 82 distributes, to the same group, transactions in which both logs related to the start time and the end time are common.
  • the learning unit 83 creates a learning model that defines the number of appearances for each type of log in transactions of the same group.
  • the examination unit 84 examines the transaction to be examined based on the learning model.
  • a failure can be detected with high accuracy from the log output from the electronic device.
  • the learning model is used. Check the transaction in the inspection log. However, it may be set as the selection condition of the transaction that the log classification ID related to the log at the start and the end is the same between the transaction to be inspected and the learning model. In this case, there is an advantage that the learning model used as the determination criterion can be narrowed down.
  • the processing example in which the determination processing is performed for all the abnormality detection conditions is described.
  • the determination processing may not be performed for the other conditions.
  • a program for operating the configuration of the embodiment to realize the function of each embodiment described above is recorded on a recording medium, a program recorded on the recording medium is read as a code, and a processing method is also executed by a computer. It is included in the category of each embodiment. That is, a computer readable recording medium is also included in the scope of each embodiment.
  • the computer program itself is included in each embodiment as well as the recording medium in which the computer program described above is recorded.
  • the recording medium for example, a floppy (registered trademark) disk, a hard disk, an optical disk, a magneto-optical disk, a CD-ROM (Compact Disc-Read Only Memory), a magnetic tape, a non-volatile memory card, and a ROM can be used.
  • the program is not limited to one in which processing is executed by a single program recorded in the recording medium, but is executed on OS (Operating System) in cooperation with other software and expansion board functions. Are also included in the category of each embodiment.
  • An identification unit that identifies a transaction from the log output from the device;
  • a grouping unit that distributes the transactions common to both of the logs related to start and end to the same group;
  • a learning unit that creates a learning model that defines the number of appearances for each type of the log in the transactions of the same group;
  • An inspection unit which inspects the transaction to be inspected based on the learning model;
  • a log analysis system comprising:
  • the information processing apparatus further comprises a classification unit that assigns a log classification ID corresponding to the type of the log for each of the logs,
  • the log analysis system according to Additional Note 1, wherein the learning model defines the number of occurrences for each of the log classification IDs.
  • the learning model defines the maximum number of occurrences for each type of log between the transactions of the same group, The log analysis system according to any one of appendices 1 to 4, wherein the inspection unit detects an abnormality of the device when the number of occurrences in the transaction exceeds the maximum number.
  • the learning model defines the minimum number of occurrences for each type of log between the transactions of the same group;
  • the log analysis system according to any one of appendices 1 to 5, wherein the inspection unit detects an abnormality of the device when the number of occurrences in the transaction does not reach the minimum number.
  • the inspection unit is configured to use the device when the type of the log related to the start and end of the transaction is different from the type of the log related to the start and the end defined in the learning model and the end.
  • the log analysis system according to any one of appendices 1 to 6, which detects an abnormality of
  • the learning model includes, in the definition information, the shortest time from start to end of the transaction during the transactions of the same group;
  • the log analysis system according to any one of appendices 1 to 7, wherein the inspection unit detects an abnormality of the device when the required time of the transaction to be inspected is shorter than the shortest time. .
  • the learning model includes, in the definition information, the longest time of the required time from the start to the end of the transaction during the transactions of the same group;
  • the log analysis system according to any one of Appendices 1 to 8, wherein the inspection unit detects an abnormality of the device when a required time of the transaction to be inspected is longer than the longest time.
  • the inspection unit detects an abnormality of the device when the log of a type not included in the learning model appears in the transaction to be inspected.
  • Log analysis system according to one paragraph.
  • the inspection unit detects an abnormality of the device when all the logs except the start time and the end time defined in the learning model do not appear in the transaction to be inspected.
  • the log analysis system according to any one of appendices 1 to 10.
  • the inspection unit The log analysis system according to any one of appendices 1 to 11, which detects an abnormality of a device.
  • the inspection unit sets the transaction as an inspection target when the type of the log related to the start time is the same between the learning model and the transaction. Log analysis system described.
  • the inspection unit targets the transaction as an inspection target when the types of the log related to the start and the end are the same between the learning model and the transaction.
  • the log analysis system according to any one of the above.
  • the inspection unit detects an abnormality of the device when any one of the logs of the type included in the learning model does not appear in the transaction to be inspected.
  • Log analysis system according to any one of the above.
  • Log analysis system 11 Log classification unit 12 Transaction identification unit 13 Grouping unit 14 Learning unit 15 Storage unit 16 Inspection unit 20 POS terminal (electronic equipment) 101 ...
  • CPU 102 Memory 103: Storage device 104: Interface 105: Input device 106: Display 107: Speaker 108: Printer 80: Log analysis system 81: Identification unit 82: grouping unit 83: learning unit 84: inspection unit LOG_1 to LOG_5: log TID_1 to TID_7: transaction Gr_1, Gr_2: group Md_1, Md_2: learning model

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Quality & Reliability (AREA)
  • Accounting & Taxation (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Mathematical Physics (AREA)
  • Evolutionary Computation (AREA)
  • Artificial Intelligence (AREA)
  • Data Mining & Analysis (AREA)
  • General Business, Economics & Management (AREA)
  • Strategic Management (AREA)
  • Finance (AREA)
  • Medical Informatics (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Computer Hardware Design (AREA)
  • Computational Linguistics (AREA)
  • Computer Security & Cryptography (AREA)
  • Debugging And Monitoring (AREA)

Abstract

機器から出力されるログの中からトランザクションを識別する識別部と、開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるグループ化部と、前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成する学習部と、検査対象の前記トランザクションを前記学習モデルに基づいて検査する検査部と、を備えることを特徴とするログ分析システム。

Description

ログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体
　本発明は、ログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体に関する。
　近年、コンビニエンスストアやスーパーマーケットなどの小売り店舗では、ＰＯＳ（Point　Of　Sales）端末などの電子機器が導入されており、会計作業、発注作業、在庫管理作業などの店舗運営に関する作業の効率化が図られている。その反面、電子機器の停止は、直ちに店舗運営の停止を引き起こす。このため、電子機器に障害が発生した際には、障害を早期に検知して、復旧させる必要がある。
　例えば、特許文献１には、正常状態の電子機器から出力されるログを機械学習し、その学習内容に基づいて障害を検知する方法が記載されている。この方法では、学習時のログがどのような順序で出現するのかを予め学習しておく。そして、検査時のログの出現順序が学習時の出現順序と一致しているか否かを判断することで、障害を検知する。
特開２０１５－１９７９１７号公報
　例えば、ＰＯＳ端末のような人間が操作する電子機器では、イレギュラーな割り込み操作や操作順序の入れ替えなど、不規則な操作も行われる。このため、電子機器が正常状態である場合でも、ログの出現順序は常に一定とは限らない。これに対し、特許文献１に記載された従来技術では、ある時点におけるログの出現順序を正常状態として学習する。このため、学習内容と異なるタイプのログ、例えばイレギュラーな割り込み操作などを含むログを検査すると、機器が正常状態で動作しているにもかかわらず、障害が発生していると誤って検知する可能性がある。
　そこで、本発明は、上述の課題に鑑み、電子機器が出力するログから障害を高精度で検知できるログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体を提供することを目的とする。
　本発明の一つの観点によれば、機器から出力されるログの中からトランザクションを識別する識別部と、開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるグループ化部と、前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成する学習部と、検査対象の前記トランザクションを前記学習モデルに基づいて検査する検査部と、を備えるログ分析システムが提供される。
　本発明によれば、電子機器が出力するログから障害を高精度で検知できるログ分析システム、ログ分析方法、ログ分析プログラム及び記憶媒体を提供することができる。
第１実施形態に係るログ分析システムの機能を示すブロック図である。 第１実施形態に係るログ分析システムのハードウェア構成例を示すブロック図である。 第１実施形態における学習処理の具体例を示すフローチャートである。 第１実施形態におけるログの分類例を説明する図である。 第１実施形態における学習モデルの作成例を説明する図である。 第１実施形態における検査処理の具体例を示すフローチャートである。 図６に示す検査処理の詳細な処理例を示すフローチャートである。 第１実施形態における異常検知条件の具体例を示す図である。 第１実施形態における学習モデルに基づく検査例を説明する図である。 第２実施形態に係るログ分析システムの全体構成例を示すブロック図である。
　以下、図面を参照して、本発明の実施形態を説明する。なお、以下で説明する図面において、同一の機能又は対応する機能を有する要素には同一の符号を付し、その繰り返しの説明は省略することもある。
［第１実施形態］
　図１は、第１実施形態に係るログ分析システム１０の機能を示すブロック図である。ログ分析システム１０は、ログ分類部１１、トランザクション識別部１２、グループ化部１３、学習部１４、記憶部１５、及び検査部１６を備える。
　ログ分類部１１は、ＰＯＳ端末（電子機器）２０から学習時（正常状態での動作時）に出力されるログ（以下、「正常ログ」という。）及び検査時に出力されるログ（以下、「検査ログ」という。）に対して、各ログデータの種類に応じたログ分類ＩＤを付与する。本実施形態では、ログ分類部１１は、同じ種類のログにはラベルとして同じ数値のログ分類ＩＤを付与する。ただし、ログ分類ＩＤは数値に限らず、分類を区別できれば記号及び文字でもよい。
　ログ分類部１１は、データの種類に応じてログを分類する従来技術を用いて処理を実行できる。例えばログ同士の類似性が高いものを同一分類とするログ分類方法（ＷＯ２０１６／１９９４３３参照）、予め設定されたテンプレートに従って分類するログ分類方法（特許第５９１３１４５号参照）などを用いる。
　トランザクション識別部１２は、正常ログ及び検査ログのデータ群の中からトランザクションを識別する。ここで、「トランザクション」とは、所定の一連の操作などの、一つの纏まりとして抽出できるログのデータセットをいう。ＰＯＳ端末２０を例に説明すると、客ごとの購入商品のレジ打ち操作に対応した一連のログがトランザクションに相当する。すなわち、１人目の客に対する一連のレジ打ち操作と、２人目の客に対する一連のレジ打ち操作とは別々のトランザクションとなる。
　また、トランザクション識別部１２は、各トランザクションに対して固有のトランザクションＩＤを付与する。本実施形態では、トランザクションＩＤを「ＴＩＤ_＋数値」の形式で付与するが、トランザクションを識別できれば他の形式でもよい。
　例えば、ＰＯＳ端末２０が出力するログに予めトランザクションを示す識別情報が付与されている場合には、トランザクション識別部１２は、その識別情報に基づいてトランザクションを識別できる。
　これに対し、ログにトランザクションを示す識別情報が付与されていない場合には、トランザクション識別部１２は、例えばログの出力時間に一定の間隔が空いた箇所をトランザクションの境界とする方法を用いてトランザクションを識別できる。例えば、ＰＯＳ端末２０におけるログの出力時間は、レジ打ち操作の際に１人目の客と２人目の客との間に時間的な空きができる。このため、この方法によりトランザクションを識別することができる。
　グループ化部１３は、トランザクションの開始時及び終了時に係る正常ログに付与されたログ分類ＩＤの両方が共通するトランザクションを同一のグループに振り分ける。
　学習部１４は、同一のグループのトランザクションにおける正常ログの種類ごとの出現回数を定義する学習モデルを作成する。本実施形態では、学習モデルは、同一のグループに振り分けられた複数のトランザクションの間において、ログ分類ＩＤごとの出現回数の最大数及び最小数をテーブル形式で定義する。ただし、学習モデルの形式は、テーブル形式に限られない。
　記憶部１５は、学習部１４が作成した学習モデル、検査部１６が検査処理時に用いる異常検知条件に対応するプログラムなどを記憶する。
　検査部１６は、検査ログのトランザクションを学習モデルと所定の異常検知条件とに基づいて検査する。検査方法の詳細については後述する。
　図２は、図１に示すログ分析システム１０のハードウェア構成例を示すブロック図である。ログ分析システム１０は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）１０１、メモリ１０２、記憶装置１０３、インタフェース１０４、入力装置１０５、ディスプレイ１０６、スピーカ１０７、及びプリンタ１０８を備える。
　ＣＰＵ１０１は、記憶装置１０３に記録されたプログラムをメモリ１０２上にロードして実行することにより、ログ分析システム１０の全体の制御及び演算処理を行うプロセッサである。また、ＣＰＵ１０１は、記憶装置１０３に処理結果のデータを記録し、インタフェース１０４を介して処理結果のデータを外部に送信する。
　メモリ１０２は、ＣＰＵ１０１が処理中のデータや記憶装置１０３から読み出されたデータを一時的に記憶するＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）などを含む。
　記憶装置１０３は、ＣＰＵ１０１が実行するプログラムや、プログラムによる処理結果のデータなどを記憶する。記憶装置１０３は、読み取り専用のＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）や、読み書き可能のハードディスクドライブ又はフラッシュメモリなどを含む。また、記憶装置１０３は、ＣＤ－ＲＯＭなどのコンピュータ読取可能な可搬記憶媒体を含んでもよい。
　インタフェース１０４は、データの送受信を行う通信部であり、有線通信及び無線通信の少なくとも一方の通信方式を実行可能に構成される。インタフェース１０４は、該通信方式に必要なプロセッサ、電気回路、アンテナ、接続端子などを含む。インタフェース１０４は、ＣＰＵ１０１からの信号に従って、該通信方式を用いて通信を行う。
　入力装置１０５は、ユーザからの入力を受け付けるキーボードなどを含み、入力された内容を信号としてＣＰＵ１０１に送信する。入力装置１０５及びディスプレイ１０６が一体化されたタッチスクリーンが用いられてもよい。
　ディスプレイ１０６は、ＣＰＵ１０１からの信号に従って、ログの検査結果などの所定の情報を表示する表示装置である。ディスプレイ１０６としては、液晶ディスプレイなどの任意の表示装置を用いることができる。
　スピーカ１０７は、ＣＰＵ１０１からの信号に従って音声を出力する音声出力装置である。プリンタ１０８は、ＣＰＵ１０１からの信号に従って、ログの検査結果などを印刷する印刷装置である。プリンタ１０８として、サーマルプリンタ、インクジェットプリンタ、レーザプリンタなどの任意の印刷装置を用いることができる。
　なお、ログ分析システム１０は、図２に示す構成に限定されず、その他の機器を更に備えてもよい。ログ分析システム１０は一つ又は複数の装置からなってもよく、あるいは他の装置と一体に構成されてもよい。また、ログ分析システム１０は別の装置に接続され、本実施形態においてログ分析システム１０によって行われる処理の少なくとも一部は該装置によって行われてもよい。
　続いて、上述のように構成された本実施形態に係るログ分析システム１０の動作について図面を参照しながら説明する。
　図３は、第１実施形態における学習処理の具体例を示すフローチャートである。
　ステップＳ１０１において、ログ分類部１１は、正常動作中のＰＯＳ端末２０が出力する正常ログを取得する。
　ステップＳ１０２において、ログ分類部１１は、正常ログにデータの種類に応じてログ分類ＩＤを付与する。図４は、第１実施形態におけるログの分類例を説明する図である。ここでは、５つのログＬＯＧ_１～ＬＯＧ_５が順番に出力されている。操作内容（操作Ａ、操作Ｂ、操作Ｅ、操作Ｇ）によって機器から出力されるデータの種類が異なるため、ログＬＯＧ_１～ＬＯＧ_５のログ分類ＩＤとしては、１、２、２、５、７がそれぞれ付与されることが示されている。
　ステップＳ１０３において、トランザクション識別部１２は、正常ログのデータ群をトランザクションごとに分割し、各トランザクションにトランザクションＩＤを付与する。なお、トランザクションの識別情報が正常ログ内に予め含まれる場合には、その識別情報を利用する。
　ステップＳ１０４において、グループ化部１３は、各トランザクションの開始時及び終了時の正常ログに対して各々付与されているログ分類ＩＤの組み合わせごとに、同一のグループにトランザクションを振り分ける。
　ステップＳ１０５において、学習部１４は、同一のグループに振り分けられたトランザクションの正常ログに対して付与されたログ分類ＩＤの出現回数をトランザクションごとにカウントする。そして、学習部１４は、グループ内におけるログ分類ＩＤの出現回数の最小数及び最大数に基づいて学習モデルを作成する。
　図５は、第１実施形態における学習モデルの作成例を説明する図である。正常ログのデータ群の中には、開始時のログ分類ＩＤが「１」であり、終了時のログ分類ＩＤが「７」である３つのトランザクションＴＩＤ_１～ＴＩＤ_３がある。このため、トランザクションＴＩＤ_１～ＴＩＤ_３は、同一のグループＧｒ_１に振り分けられている。トランザクションＴＩＤ_１のログは、ログ分類ＩＤで「１,２,２,５,７」という順序で出現している。また、トランザクションＴＩＤ_２のログは、「１,２,２,５,２,２,５,７」という順序で出現している。そして、トランザクションＴＩＤ_３のログは、「１,２,２,５,６,７」という順序で出現している。
　学習部１４は、ログ分類ＩＤごとに３つのトランザクション内での出現回数をカウントして、その最大数（以下、「最大出現回数」という。）、最小数（以下、「最小出現回数」という。）をテーブル形式で学習モデルＭｄ_１を作成している。
　詳述すると、ログ分類ＩＤが「２」のログは、トランザクションＴＩＤ_１とトランザクションＴＩＤ_３には２回出現し、トランザクションＴＩＤ_２には４回出現する。よって、ログ分類ＩＤが「２」のログについて、最小出現回数は「２」、最大出現回数は「４」としてモデル化される。また、ログ分類ＩＤが「６」のログは、トランザクションＴＩＤ_３に１回出現し、トランザクションＴＩＤ_１とトランザクションＴＩＤ_２には出現しない。よって、ログ分類ＩＤが「６」のログについて、最小出現回数は「０」、最大出現回数は「１」としてモデル化される。更に、トランザクションＴＩＤ_１～ＴＩＤ_３の間における、トランザクションの開始から終了までの所要時間の最短時間と最長時間の情報も学習モデルＭｄ_１の定義情報として含まれている。
　図６は、第１実施形態における検査処理の具体例を示すフローチャートである。
　ステップＳ２０１において、ログ分類部１１は、検査時におけるＰＯＳ端末２０が出力する検査ログのデータ群を取得する。
　ステップＳ２０２において、ログ分類部１１は、各検査ログにデータの種類に応じてログ分類ＩＤを付与する。
　ステップＳ２０３において、トランザクション識別部１２は、検査ログのデータ群の中からトランザクションを識別して、データ群をトランザクションごとに分割するとともに、各トランザクションにトランザクションＩＤを付与する。なお、トランザクションの識別情報が検査ログ内に予め含まれる場合には、トランザクション識別部１２は、その識別情報を利用できる。
　ステップＳ２０４において、学習部１４は、検査ログのデータ群に含まれる複数のトランザクションの中からトランザクションを一つ選択する。
　ステップＳ２０５において、学習部１４は、選択されたトランザクションの開始時に係る検査ログに対して付与されたログ分類ＩＤに基づいて記憶部１５に記憶された学習モデルを参照する。これにより、学習部１４は、トランザクションの開始時のログ分類ＩＤが一致する学習モデルの有無を判定する。ここで、開始時のログ分類ＩＤが一致する学習モデルが有ると判定された場合（ステップＳ２０５：ＹＥＳ）には、ステップＳ２０６へ進む。これに対し、開始時のログ分類ＩＤが一致する学習モデルが無いと判定された場合（ステップＳ２０５：ＮＯ）には、ステップＳ２０８へ進む。
　ステップＳ２０６において、学習部１４は、選択されたトランザクションと開始時のログ分類ＩＤが一致する学習モデルを記憶部１５から取得する。
　ステップＳ２０７において、学習部１４は、ステップＳ２０４で選択されたトランザクションを学習モデル及び所定の異常検知条件に基づいて検査する。この処理の具体例については後述する。
　ステップＳ２０８において、学習部１４は、未処理のトランザクションの有無を判定する。ここで、未処理のトランザクションが有ると判定された場合（ステップＳ２０８：ＹＥＳ）には、Ｓ２０４へ戻る。これに対し、未処理のトランザクションが無いと判定された場合（ステップＳ２０８：ＮＯ）には、検査処理を終了する。
　図７は、第１実施形態における検査処理の詳細な処理例を示すフローチャートであり、図６のＳ２０７に相当する。
　ステップＳ３０１において、学習部１４は、異常検知条件のＮｏに対応する変数Ｎの値を１、異常検知数に対応する変数Ｘの値を０にそれぞれ初期化する。更に、学習部１４は、異常検知条件（Ｎ）についての処理結果に対応する変数Ｅｒｒ（Ｎ）の値を０に初期化する。
　ステップＳ３０２において、学習部１４は、異常検知条件（Ｎ）に対応する所定の判定プログラムを呼び出して実行する。
　ステップＳ３０３において、学習部１４は、検査対象のトランザクションが異常検知条件（Ｎ）に該当するか否かを判定する。ここで、異常検知条件（Ｎ）に該当すると判定された場合（ステップＳ３０３：ＹＥＳ）には、ステップＳ３０４へ進む。これに対し、ここで、異常検知条件（Ｎ）に該当しないと判定された場合（ステップＳ３０３：ＮＯ）には、ステップＳ３０５へ進む。なお、異常検知条件の具体例については、後述する。
　ステップＳ３０４において、学習部１４は、変数Ｘを１加算するとともに、変数Ｅｒｒ（Ｎ）に異常検知を示す値として１を格納する。
　ステップＳ３０５において、学習部１４は、次の異常検知条件の判定処理に移るために、変数Ｎを１加算する。
　ステップＳ３０６において、学習部１４は、変数Ｎの値が異常検知条件の最終Ｎｏに対応する定数Ｎ_maxを超えるか否かを判定する。ここで、変数Ｎの値がＮ_maxを超えると判定された場合（ステップＳ３０６：ＹＥＳ）には、ステップＳ３０７へ進む。これに対し、変数Ｎの値がＮ_maxを超えないと判定された場合（ステップＳ３０６：ＮＯ）には、ステップＳ３０２へ戻る。
　ステップＳ３０７において、学習部１４は、変数Ｎの値が０か否かを判定する。ここで、変数Ｎの値が０であると判定された場合（ステップＳ３０７：ＹＥＳ）には、ステップＳ３０８へ進む。これに対し、変数Ｎの値が０でないと判定された場合（ステップＳ３０７：ＮＯ）には、ステップＳ３０９へ進む。
　ステップＳ３０８において、学習部１４は、検査結果が“正常（障害なし）”であるメッセージを例えばディスプレイ１０６やプリンタ１０８に出力する。
　ステップＳ３０９において、学習部１４は、検査結果が“異常（障害あり）”であるメッセージを例えばディスプレイ１０６やプリンタ１０８に出力する。なお、複数の異常検知条件（Ｎ）のうち、どの条件に該当するのかに関しては、変数Ｅｒｒ（Ｎ）の値を検査結果に含めることでユーザは判断できる。
　図８は、第１実施形態における異常検知条件の具体例を示す図である。本実施形態において、図８に示す異常検知条件に対応する実際の判定処理は、例えば検査部１６に相当するメインプログラムから各異常検知条件に対応するプログラム（サブルーチン）を呼び出すことで実行される。なお、異常検知条件に対応する判定処理は、メインプログラム上に直接記述されていてもよい。
　以下、図８に例示された異常検知条件（１）から（８）に基づいて検査部１６が実行する判定処理について詳述する。
　異常検知条件（１）は、「検査ログの出現回数が、学習モデルの最大出現回数を超える。」ことである。この場合、検査部１６は、検査対象のトランザクション内でのログ分類ＩＤごとの出現回数をカウントし、カウント値が学習モデルでの同一のログ分類ＩＤの最大出現回数よりも大きい場合に障害として検知する。この異常検知条件（１）によれば、検査部１６は、例えばキーが多重に入力されたときに、障害を検知できる。
　異常検知条件（２）は、「検査ログの出現回数が、学習モデルの最小出現回数に満たない。」ことである。この場合、検査部１６は、検査対象のトランザクション内でのログ分類ＩＤごとの出現回数をカウントし、学習モデルでの同一のログ分類ＩＤの最小出現回数よりも小さい場合に障害として検知する。この異常検知条件（２）によれば、検査部１６は、例えば、キーを押下、あるいは、バーコードをスキャンしてもデータが入力されないときに、障害を検知できる。
　異常検知条件（３）は、「ログ分類ＩＤが、トランザクションの終了ログと学習モデルの終了ログとの間で異なる。」ことである。この場合、検査部１６は、検査対象のトランザクションの終了時の検査ログに付与されたログ分類ＩＤと、学習モデルにおいてトランザクションの終了時について定義されたログ分類ＩＤとを比較し、ログ分類ＩＤが一致しない場合に障害として検知する。この異常検知条件（３）によれば、検査部１６は、機器の一連の処理が正しく終了しないときに、障害を検知できる。
　異常検知条件（４）は、「検査対象のトランザクションの開始から終了までの所要時間が、学習モデルに定義された最短時間よりも短い。」ことである。この場合、検査部１６は、検査対象のトランザクションの開始から終了までの所要時間が、学習モデルに定義された最短時間よりも短い場合に障害として検知する。この異常検知条件（４）によれば、検査部１６は、一連の処理のうち、ログには現れない機器内部の処理が実行されないときに、障害を検知できる。
　異常検知条件（５）は、「検査対象のトランザクションの開始から終了までの所要時間が、学習モデルに定義された最長時間よりも長い。」ことである。この場合、検査部１６は、検査対象のトランザクションの開始から終了までの所要時間が、学習モデルに記録された最長時間よりも長い場合に障害として検知する。この異常検知条件（５）によれば、検査部１６は、例えば、一連の処理のうち、ログには現れない機器内部の処理がタイムアウトエラーを起こしているときに、障害を検知できる。
　異常検知条件（６）は、「学習モデルに含まれていないログ分類ＩＤが、検査対象のトランザクション内に出現する。」ことである。この場合、検査部１６は、検査対象のトランザクション内に、学習モデルには含まれていないログ分類ＩＤのログが出現している場合に障害として検知する。この異常検知条件（６）によれば、検査部１６は、正常時には出現しないエラーログや警報ログなどが機器から出力されるときに、障害を検知できる。
　異常検知条件（７）は、「学習モデルに含まれる全てのログ分類ＩＤが、検査対象のトランザクション内に出現しない。」ことである。この場合、検査部１６は、学習モデルに定義されているログ分類ＩＤの全てが、検査対象のトランザクションに出現していない場合に障害として検知する。この異常検知条件（７）によれば、検査部１６は、上述の異常検知条件（２）の場合と同様に、キーを押下、あるいは、バーコードのスキャンを実行した際にデータが入力されないときに、障害を検知できる。ただし、所定のログ分類ＩＤのログがトランザクションの途中に全く出現しなくなる場合にのみ検知する点で、上述の異常検知条件（２）と異なる。
　異常検知条件（８）は、「ログ分類ＩＤの出現回数の比率が、検査対象のトランザクションと学習モデルとの間で異なる。」ことである。この場合、検査部１６は、検査対象のトランザクションにおけるログ分類ＩＤごとの出現回数の比率と、学習モデルにおけるログ分類ＩＤごとの出現回数の比率とを比較する。そして、２つの比率が一致しない場合に障害として検知する。この異常検知条件（８）によれば、検査部１６は、例えばＰＯＳ端末２０における複数の商品のバーコードをスキャンする操作のように、一つのトランザクション内に繰り返し構造があり、その繰り返し数がトランザクションごとに変わる場合の検査に有効である。具体的には、一つのトランザクションを繰り返し部分ごとに参照したときに、正常な繰り返し部分と障害を含む繰り返し部分とが混在する場合には、検査部１６は、例示した８つの条件のうち、異常検知条件（８）でのみ障害を検知できる。
　図９は、図１に示す検査部１６における学習モデルに基づく検査例を説明する図である。ここでは、同一のグループＧｒ_２に振り分けられたトランザクションＴＩＤ_５とトランザクションＴＩＤ_６を学習し、学習モデルＭｄ_２を作成する例を示している。トランザクションＴＩＤ_５は、ログ分類ＩＤで「１,２,２,５,７」という順番でログが出現するデータ構造である。これに対し、トランザクションＴＩＤ_６は、ログ分類ＩＤで「１,２,２,５,７」という順番を３回繰り返すようにログが出現するデータ構造である。
　この場合、ログ分類ＩＤが「１」、「５」、「７」のログは、トランザクションＴＩＤ_５では１回ずつ出現し、トランザクションＴＩＤ_６では３回ずつ出現する。よって、ログ分類ＩＤが「１」、「５」、「７」のログは、最小出現回数は「１」、最大出現回数は「３」としてモデル化される。
　また、ログ分類ＩＤが「２」のログは、トランザクションＴＩＤ_５では２回出現し、トランザクションＴＩＤ_６では６回出現する。よって、ログ分類ＩＤが「２」のログは、最小出現回数は「２」、最大出現回数は「６」としてモデル化される。
　ここで、検査対象としてトランザクションＴＩＤ_７が入力された場合を考える。トランザクションＴＩＤ_７は、ログ分類ＩＤで「１,２,２,５,７」というデータ構造が２回繰り返された後、３回目の動作の際に異常が発生してログ分類ＩＤが「５」の検査ログが出現せずに「１,２,２,７」になったデータ構造を有する。
　この場合、３回目の繰り返し部分に、ログ分類ＩＤが「５」の検査ログが出現しないことから、一見すると、上述の異常検知条件（７）による障害の検知も考えられる。しかし、２回目の繰り返しまではログ分類ＩＤが「５」である検査ログが正常に出現しているため、異常検知条件（７）では検知できない。また、ログ分類ＩＤが「５」の検査ログの出現回数は、学習時の最大出現回数と最小出現回数の間にある。このため、異常検知条件（２）でも障害を検知できない。
　そこで、このような障害の場合には、出現回数の比率に基づく異常検知条件（８）によって検知する。その理由は、トランザクション内に繰り返し構造が何回出現したとしても、ログ分類ＩＤの出現回数の比率は変化しないからである。このことを利用し、検査部１６は、ログ分類ＩＤの出現回数の比率が学習時と検査時で一致しない場合に障害として検知できる。
　図９では、検査部１６が、開始のログ分類ＩＤと終了のログ分類ＩＤとがいずれも同一であるトランザクションを同一グループに振り分け、１つの学習モデルを作成する際、開始時のログ分類ＩＤ（「１」）の出現回数を基準として出現比率を算出している。学習モデルＭｄ_２におけるログ分類ＩＤの出現比率は「１,２,１,１」である。これに対し、検査データにおける比率は、開始時のログ分類ＩＤが「１」の出現回数「３」を基準として「１,２,０．６７,１」と算出している。
　なお、ログ分類ＩＤの出現比率は、学習モデルの最小出現回数をみて、そのうち最小の値を示すログ分類ＩＤの出現回数を基準「１」として算出してもよい。例えば、図９に示した学習モデルＭｄ_２では、最小出現回数のうちの最小値は「１」なので比率モデルは「１,２,１,１」となる。
　同様に、検査ログも出現回数の最小値を基準として比率化すると、出現回数は「３,６,２,３」であるから、比率は「１．５,３,１,１．５」となる。よって、学習時の比率モデルと異なることから、このトランザクションを障害として検知できる。
　以上のように、本実施形態に係るログ分析システム１０によれば、トランザクション内におけるログの出現順序ではなく、出現回数に基づいて学習モデルを作成し、検査対象のトランザクションを学習モデルに基づいて検査する。このため、例えば人間により不規則な操作が行われるＰＯＳ端末２０のような電子機器の場合でも、電子機器が出力するログから高精度に障害を検知できる。
［第２実施形態］
　図１０は、第２実施形態に係るログ分析システム８０の全体構成例を示すブロック図である。ログ分析システム８０は、識別部８１、グループ化部８２、学習部８３、及び検査部８４を備える。識別部８１は、機器から出力されるログの中からトランザクションを識別する。グループ化部８２は、開始時及び終了時に係るログの両方が共通するトランザクションを同一のグループに振り分ける。学習部８３は、同一のグループのトランザクションにおいて、ログの種類ごとに出現回数を定義する学習モデルを作成する。検査部８４は、検査対象のトランザクションを学習モデルに基づいて検査する。
　本実施形態に係るログ分析システム８０によれば、電子機器が出力するログから障害を高精度で検知できる。
［変形実施形態］
　以上、実施形態を参照して本発明を説明したが、本発明は上述の実施形態に限定されるものではない。本願発明の構成及び詳細には本発明の要旨を逸脱しない範囲で、当業者が理解し得る様々な変形をすることができる。例えば、いずれかの実施形態の一部の構成を、他の実施形態に追加した実施形態、あるいは他の実施形態の一部の構成と置換した実施形態も本発明を適用し得る実施形態であると理解されるべきである。
　例えば、上述の実施形態では、トランザクションの開始時のログに係るログ分類ＩＤと、学習モデルにおいて定義された開始時のログに係るログ分類ＩＤとが同一であるときに、その学習モデルを使用して検査ログのトランザクションを検査している。しかし、開始時及び終了時のログに係るログ分類ＩＤが、検査対象のトランザクションと学習モデルとの間で同一であることをトランザクションの選択条件としてもよい。この場合、判定基準として使用する学習モデルを絞り込める利点がある。
　また、上述の実施形態では、全ての異常検知条件について判定処理を行う処理例を示したが、いずれかの異常検知条件に該当したときには、その他の条件についての判定処理を行わない構成でもよい。この場合、判定に要する処理時間を短縮することができる利点がある。
　また、上述の各実施形態の機能を実現するように該実施形態の構成を動作させるプログラムを記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のコンピュータプログラムが記録された記録媒体はもちろん、そのコンピュータプログラム自体も各実施形態に含まれる。
　該記録媒体としては、例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ－Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）上で動作して処理を実行するものも各実施形態の範疇に含まれる。
　上述の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
　機器から出力されるログの中からトランザクションを識別する識別部と、
　開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるグループ化部と、
　前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成する学習部と、
　検査対象の前記トランザクションを前記学習モデルに基づいて検査する検査部と、
　を備えることを特徴とするログ分析システム。
（付記２）
　前記ログの種類に応じたログ分類ＩＤを前記ログごとに付与する分類部を更に備え、
　前記学習モデルは、前記ログ分類ＩＤごとに前記出現回数を定義する
　ことを特徴とする付記１記載のログ分析システム。
（付記３）
　前記学習モデルは、前記同一のグループの前記トランザクションの間において、前記ログの種類ごとに前記出現回数の最大数及び最小数を定義する
　ことを特徴とする付記１又は２記載のログ分析システム。
（付記４）
　前記学習モデルは、テーブル形式であることを特徴とする付記１乃至３のいずれか一項記載のログ分析システム。
（付記５）
　前記学習モデルは、前記同一のグループの前記トランザクションの間において、前記ログの種類ごとに前記出現回数の最大数を定義し、
　前記検査部は、前記トランザクションにおける前記出現回数が、前記最大数を超えるときに、前記機器の異常を検知する
　ことを特徴とする付記１乃至４のいずれか一項記載のログ分析システム。
（付記６）
　前記学習モデルは、前記同一のグループの前記トランザクションの間において、前記ログの種類ごとに前記出現回数の最小数を定義し、
　前記検査部は、前記トランザクションにおける前記出現回数が、前記最小数に満たないときに、前記機器の異常を検知する
　ことを特徴とする付記１乃至５のいずれか一項記載のログ分析システム。
（付記７）
　前記検査部は、前記トランザクションの開始時及び終了時に係る前記ログの種類が、前記学習モデルにおいて定義された前記開始時及び前記終了時に係る前記ログの種類と前記終了時について異なるときに、前記機器の異常を検知する
　ことを特徴とする付記１乃至６のいずれか一項記載のログ分析システム。
（付記８）
　前記学習モデルは、前記同一のグループの前記トランザクションの間における、前記トランザクションの開始から終了までの所要時間の最短時間を定義情報に含み、
　前記検査部は、前記検査対象の前記トランザクションの所要時間が前記最短時間よりも短いときに、前記機器の異常を検知する
　ことを特徴とする付記１乃至７のいずれか一項記載のログ分析システム。
（付記９）
　前記学習モデルは、前記同一のグループの前記トランザクションの間における、前記トランザクションの開始から終了までの所要時間の最長時間を定義情報に含み、
　前記検査部は、前記検査対象の前記トランザクションの所要時間が前記最長時間よりも長いときに、前記機器の異常を検知する
　ことを特徴とする付記１乃至８のいずれか一項記載のログ分析システム。
（付記１０）
　前記検査部は、前記検査対象の前記トランザクションにおいて、前記学習モデルには含まれない種類の前記ログが出現したときに、前記機器の異常を検知する
　ことを特徴とする付記１乃至９のいずれか一項記載のログ分析システム。
（付記１１）
　前記検査部は、前記学習モデルにおいて定義された前記開始時及び前記終了時を除く全ての前記ログが、前記検査対象のトランザクションに出現しないときに、前記機器の異常を検知する
　ことを特徴とする付記１乃至１０のいずれか一項記載のログ分析システム。
（付記１２）
　前記検査部は、前記学習モデルにおいて定義された前記ログの種類ごとの前記出現回数の比率と、前記検査対象の前記トランザクションにおける前記ログの種類ごとの前記出現回数の比率とが異なるときに、前記機器の異常を検知する
　ことを特徴とする付記１乃至１１のいずれか一項記載のログ分析システム。
（付記１３）
　前記検査部は、前記開始時に係る前記ログの種類が前記学習モデルと前記トランザクションとの間で同一であるとき、前記トランザクションを検査対象とすることを特徴とする付記１乃至１２のいずれか一項記載のログ分析システム。
（付記１４）
　前記検査部は、前記開始時及び前記終了時に係る前記ログの種類が前記学習モデルと前記トランザクションとの間で同一であるとき、前記トランザクションを検査対象とすることを特徴とする付記１乃至１２のいずれか一項記載のログ分析システム。
（付記１５）
　前記検査部は、前記検査対象の前記トランザクションにおいて、前記学習モデルに含まれている種類の前記ログのいずれかが出現しないときに、前記機器の異常を検知することを特徴とする付記１乃至１３のいずれか一項記載のログ分析システム。
（付記１６）
　機器から出力されるログの中からトランザクションを識別するステップと、
　開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるステップと、
　前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成するステップと、
　検査対象の前記トランザクションを前記学習モデルに基づいて検査するステップと、
　を備えることを特徴とするログ分析方法。
（付記１７）
　コンピュータに、
　機器から出力されるログの中からトランザクションを識別するステップと、
　開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるステップと、
　前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成するステップと、
　検査対象の前記トランザクションを前記学習モデルに基づいて検査するステップと、
　を実行させることを特徴とするログ分析プログラム。
（付記１８）
　コンピュータに、
　機器から出力されるログの中からトランザクションを識別するステップと、
　開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるステップと、
　前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成するステップと、
　検査対象の前記トランザクションを前記学習モデルに基づいて検査するステップと、
　を実行させることを特徴とするプログラムが記憶された記憶媒体。
１０・・・ログ分析システム
１１・・・ログ分類部
１２・・・トランザクション識別部
１３・・・グループ化部
１４・・・学習部
１５・・・記憶部
１６・・・検査部
２０・・・ＰＯＳ端末（電子機器）
１０１・・・ＣＰＵ
１０２・・・メモリ
１０３・・・記憶装置
１０４・・・インタフェース
１０５・・・入力装置
１０６・・・ディスプレイ
１０７・・・スピーカ
１０８・・・プリンタ
８０・・・ログ分析システム
８１・・・識別部
８２・・・グループ化部
８３・・・学習部
８４・・・検査部
ＬＯＧ_１～ＬＯＧ_５・・・ログ
ＴＩＤ_１～ＴＩＤ_７・・・トランザクション
Ｇｒ_１，Ｇｒ_２・・・グループ
Ｍｄ_１，Ｍｄ_２・・・学習モデル

Claims (16)

  1. 　機器から出力されるログの中からトランザクションを識別する識別部と、
    　開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるグループ化部と、
    　前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成する学習部と、
    　検査対象の前記トランザクションを前記学習モデルに基づいて検査する検査部と、
    　を備えることを特徴とするログ分析システム。
  2. 　前記ログの種類に応じたログ分類ＩＤを前記ログごとに付与する分類部を更に備え、
    　前記学習モデルは、前記ログ分類ＩＤごとに前記出現回数を定義する
    　ことを特徴とする請求項１記載のログ分析システム。
  3. 　前記学習モデルは、前記同一のグループの前記トランザクションの間において、前記ログの種類ごとに前記出現回数の最大数及び最小数を定義する
    　ことを特徴とする請求項１又は２記載のログ分析システム。
  4. 　前記学習モデルは、テーブル形式であることを特徴とする請求項１乃至３のいずれか一項記載のログ分析システム。
  5. 　前記学習モデルは、前記同一のグループの前記トランザクションの間において、前記ログの種類ごとに前記出現回数の最大数を定義し、
    　前記検査部は、前記トランザクションにおける前記出現回数が、前記最大数を超えるときに、前記機器の異常を検知する
    　ことを特徴とする請求項１乃至４のいずれか一項記載のログ分析システム。
  6. 　前記学習モデルは、前記同一のグループの前記トランザクションの間において、前記ログの種類ごとに前記出現回数の最小数を定義し、
    　前記検査部は、前記トランザクションにおける前記出現回数が、前記最小数に満たないときに、前記機器の異常を検知する
    　ことを特徴とする請求項１乃至５のいずれか一項記載のログ分析システム。
  7. 　前記検査部は、前記トランザクションの開始時及び終了時に係る前記ログの種類が、前記学習モデルにおいて定義された前記開始時及び前記終了時に係る前記ログの種類と前記終了時について異なるときに、前記機器の異常を検知する
    　ことを特徴とする請求項１乃至６のいずれか一項記載のログ分析システム。
  8. 　前記学習モデルは、前記同一のグループの前記トランザクションの間における、前記トランザクションの開始から終了までの所要時間の最短時間を定義情報に含み、
    　前記検査部は、前記検査対象の前記トランザクションの所要時間が前記最短時間よりも短いときに、前記機器の異常を検知する
    　ことを特徴とする請求項１乃至７のいずれか一項記載のログ分析システム。
  9. 　前記学習モデルは、前記同一のグループの前記トランザクションの間における、前記トランザクションの開始から終了までの所要時間の最長時間を定義情報に含み、
    　前記検査部は、前記検査対象の前記トランザクションの所要時間が前記最長時間よりも長いときに、前記機器の異常を検知する
    　ことを特徴とする請求項１乃至８のいずれか一項記載のログ分析システム。
  10. 　前記検査部は、前記検査対象の前記トランザクションにおいて、前記学習モデルには含まれない種類の前記ログが出現したときに、前記機器の異常を検知する
    　ことを特徴とする請求項１乃至９のいずれか一項記載のログ分析システム。
  11. 　前記検査部は、前記学習モデルにおいて定義された前記開始時及び前記終了時を除く全ての前記ログが、前記検査対象のトランザクションに出現しないときに、前記機器の異常を検知する
    　ことを特徴とする請求項１乃至１０のいずれか一項記載のログ分析システム。
  12. 　前記検査部は、前記学習モデルにおいて定義された前記ログの種類ごとの前記出現回数の比率と、前記検査対象の前記トランザクションにおける前記ログの種類ごとの前記出現回数の比率とが異なるときに、前記機器の異常を検知する
    　ことを特徴とする請求項１乃至１１のいずれか一項記載のログ分析システム。
  13. 　前記検査部は、前記開始時に係る前記ログの種類が前記学習モデルと前記トランザクションとの間で同一であるとき、前記トランザクションを検査対象とする
    　ことを特徴とする請求項１乃至１２のいずれか一項記載のログ分析システム。
  14. 　機器から出力されるログの中からトランザクションを識別するステップと、
    　開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるステップと、
    　前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成するステップと、
    　検査対象の前記トランザクションを前記学習モデルに基づいて検査するステップと、
    　を備えることを特徴とするログ分析方法。
  15. 　コンピュータに、
    　機器から出力されるログの中からトランザクションを識別するステップと、
    　開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるステップと、
    　前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成するステップと、
    　検査対象の前記トランザクションを前記学習モデルに基づいて検査するステップと、
    　を実行させることを特徴とするログ分析プログラム。
  16. 　コンピュータに、
    　機器から出力されるログの中からトランザクションを識別するステップと、
    　開始時及び終了時に係る前記ログの両方が共通する前記トランザクションを同一のグループに振り分けるステップと、
    　前記同一のグループの前記トランザクションにおいて、前記ログの種類ごとに出現回数を定義する学習モデルを作成するステップと、
    　検査対象の前記トランザクションを前記学習モデルに基づいて検査するステップと、
    　を実行させることを特徴とするプログラムが記憶された記憶媒体。
PCT/JP2017/034930 2017-09-27 2017-09-27 ログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体 WO2019064370A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2019545442A JP6922992B2 (ja) 2017-09-27 2017-09-27 ログ分析システム、ログ分析方法、及びログ分析プログラム
US16/642,091 US11574211B2 (en) 2017-09-27 2017-09-27 Log analysis system, log analysis method, log analysis program, and storage medium
PCT/JP2017/034930 WO2019064370A1 (ja) 2017-09-27 2017-09-27 ログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/034930 WO2019064370A1 (ja) 2017-09-27 2017-09-27 ログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体

Publications (1)

Publication Number Publication Date
WO2019064370A1 true WO2019064370A1 (ja) 2019-04-04

Family

ID=65902761

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/034930 WO2019064370A1 (ja) 2017-09-27 2017-09-27 ログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体

Country Status (3)

Country Link
US (1) US11574211B2 (ja)
JP (1) JP6922992B2 (ja)
WO (1) WO2019064370A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102307948B1 (ko) * 2020-03-27 2021-10-05 주식회사 와탭랩스 학습 기반의 트랜잭션 관찰 시스템 및 그 제어방법
KR102499005B1 (ko) * 2022-10-05 2023-02-16 (주)제니퍼소프트 트랜잭션 응답 분포도의 패턴 인식 방법시스템 및 이를 이용한 패턴 인식 시스템방법

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2022021881A (ja) * 2020-07-22 2022-02-03 東芝テック株式会社 販売データ処理装置、販売データ処理システム、およびプログラム
US11741815B2 (en) * 2020-11-09 2023-08-29 Target Brands, Inc. Using transaction logs to determine that an undetected item was not scanned at a self-service terminal
CN116185752A (zh) * 2021-11-26 2023-05-30 中兴通讯股份有限公司 一种基于日志的异常监测方法、***、装置及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012094046A (ja) * 2010-10-28 2012-05-17 Hitachi Medical Corp 機器障害分析装置、機器障害分析方法、および機器障害分析プログラム
JP2012168945A (ja) * 2011-02-09 2012-09-06 General Electric Co <Ge> 使用パターン分析およびシミュレーションのためのシステムおよび方法
JP2013041367A (ja) * 2011-08-12 2013-02-28 Ntt Comware Corp 運用管理装置、運用管理方法、及び運用管理プログラム
WO2017094263A1 (ja) * 2015-12-04 2017-06-08 日本電気株式会社 ログ分析システム、方法およびプログラム

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003331089A (ja) 2002-05-10 2003-11-21 Fuji Xerox Co Ltd サービスサイト利用状況の分析装置
JP2008192091A (ja) 2007-02-07 2008-08-21 Intelligent Wave Inc ログ分析プログラム、ログ分析装置及びログ分析方法
JP2011065440A (ja) 2009-09-17 2011-03-31 Mitsubishi Denki Information Technology Corp ログデータ分析装置及びログデータ分析装置のログデータ分析方法及びログデータ分析プログラム
JP5913145B2 (ja) 2013-02-04 2016-04-27 日本電信電話株式会社 ログ可視化装置及び方法及びプログラム
US20150277416A1 (en) 2014-03-31 2015-10-01 Mitsubishi Electric Research Laboratories, Inc. Method for Anomaly Detection in Discrete Manufacturing Processes
JP6856527B2 (ja) 2015-06-11 2021-04-07 日本電気株式会社 メッセージ分析装置、メッセージ分析方法、および、メッセージ分析プログラム
US10594714B2 (en) * 2015-10-28 2020-03-17 Qomplx, Inc. User and entity behavioral analysis using an advanced cyber decision platform
US10678669B2 (en) * 2017-04-21 2020-06-09 Nec Corporation Field content based pattern generation for heterogeneous logs
JP7504816B2 (ja) * 2021-01-28 2024-06-24 株式会社日立製作所 ログ検索支援装置、及びログ検索支援方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012094046A (ja) * 2010-10-28 2012-05-17 Hitachi Medical Corp 機器障害分析装置、機器障害分析方法、および機器障害分析プログラム
JP2012168945A (ja) * 2011-02-09 2012-09-06 General Electric Co <Ge> 使用パターン分析およびシミュレーションのためのシステムおよび方法
JP2013041367A (ja) * 2011-08-12 2013-02-28 Ntt Comware Corp 運用管理装置、運用管理方法、及び運用管理プログラム
WO2017094263A1 (ja) * 2015-12-04 2017-06-08 日本電気株式会社 ログ分析システム、方法およびプログラム

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102307948B1 (ko) * 2020-03-27 2021-10-05 주식회사 와탭랩스 학습 기반의 트랜잭션 관찰 시스템 및 그 제어방법
KR102499005B1 (ko) * 2022-10-05 2023-02-16 (주)제니퍼소프트 트랜잭션 응답 분포도의 패턴 인식 방법시스템 및 이를 이용한 패턴 인식 시스템방법

Also Published As

Publication number Publication date
JPWO2019064370A1 (ja) 2020-03-26
US11574211B2 (en) 2023-02-07
US20200210865A1 (en) 2020-07-02
JP6922992B2 (ja) 2021-08-18

Similar Documents

Publication Publication Date Title
WO2019064370A1 (ja) ログ分析システム、ログ分析方法、ログ分析プログラム、及び記憶媒体
EP0548251B1 (en) Method and system for matching the software command language of a computer with the printer language of a printer
US20160086149A1 (en) Merchandise item registration apparatus
JPWO2017104119A1 (ja) ログ分析システム、方法およびプログラム
WO2018069950A1 (ja) ログ分析方法、システムおよびプログラム
JP5865316B2 (ja) 商品登録装置およびプログラム
WO2017094263A1 (ja) ログ分析システム、方法およびプログラム
JP2002093865A (ja) ウエハの故障サイン自動検出、分類方法
US20240029017A1 (en) Information processing device, information processing method, and recording medium
JP4183128B2 (ja) 商品販売データ処理装置
JP6547341B2 (ja) 情報処理装置、方法及びプログラム
US20220253529A1 (en) Information processing apparatus, information processing method, and computer readable medium
US20240185576A1 (en) Image determination device, image determination method, and recording medium
JPH10162248A (ja) データ処理装置
JP7228144B2 (ja) 検査支援システム
JP2002024756A (ja) バーコードリーダシステム
CN113037570B (zh) 告警处理方法及设备
WO2021187128A1 (ja) 監視システム、監視装置及び監視方法
JPH0687278B2 (ja) Ｐｏｓシステム
JP2001255988A (ja) 商品販売登録データ処理装置および記憶媒体
JPH06111137A (ja) 商品販売登録データ処理装置
CN115423492A (zh) 反洗钱作业甄别分析***、方法和电子设备
JP5249274B2 (ja) 商品販売登録データ処理装置及び制御プログラム
JP2017016265A (ja) 商品販売データ処理装置
US9734111B2 (en) POS terminal and comparison determination method of I/O card connected with the same

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17927078

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019545442

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17927078

Country of ref document: EP

Kind code of ref document: A1