特開 2024-141585 ログ分析装置、ログ分析方法、及びログ分析プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024141585

(43)【公開日】2024-10-10

(54)【発明の名称】ログ分析装置、ログ分析方法、及びログ分析プログラム

(51)【国際特許分類】

   G06F 11/34 20060101AFI20241003BHJP

   G06F 11/30 20060101ALI20241003BHJP

【ＦＩ】

G06F11/34 176

G06F11/30 172

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2023053319

(22)【出願日】2023-03-29

(71)【出願人】

【識別番号】398040527

【氏名又は名称】株式会社オービック

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】山本 啓介

【テーマコード（参考）】

5B042

【Ｆターム（参考）】

5B042MA10

5B042MA14

5B042MC22

5B042MC35

5B042MC40

(57)【要約】

【課題】監視対象から出力されるログについて、詳細情報であるトレースから概要情報であるメトリクスへの近似変換を行い、異なる粒度の情報を統一したデータ形式に可視化して比較を容易にすることで、ログ分析の効率化と精度を向上させて、課題の解決までの時間を短縮すること。
【解決手段】本実施の形態に係るログ分析装置は、監視対象から出力されるログの概要を確認するためのメトリクスと詳細を確認するためのトレースを取得する取得手段と、トレースを比較対象のメトリクスのデータ形式に近似するように変換する変換手段と、比較対象のメトリクスと変換後のトレースを比較分析画面に表示出力する出力手段と、を備えている。
【選択図】図３

【特許請求の範囲】

【請求項1】

監視対象から出力されるログの概要を確認するためのメトリクスと詳細を確認するためのトレースを取得する取得手段と、
トレースを比較対象のメトリクスのデータ形式に近似するように変換する変換手段と、
比較対象のメトリクスと変換後のトレースを比較分析画面に表示出力する出力手段と、
を備えたことを特徴とするログ分析装置。

【請求項2】

前記トレースは、変換元となるログを記録する単位又はその処理の呼び出し元を論理的に集約する単位である処理と、終了時間と、処理時間と、比較対象のメトリクスに対応する変換元の指標である重みの情報を含むことを特徴とする請求項１に記載のログ分析装置。

【請求項3】

前記処理は、アプリケーションログの画面名やジョブ名、ＷｅｂサーバのＵＲＩ、又は、ＤＢログのストアドプロシージャや関数名を含み、
前記重みは、ＣＰＵ負荷であるＣＰＵ時間、メモリ負荷である物理読込、ディスク負荷である物理読込・書込、又は、ネットワーク負荷であるデータ取得行数、更新対象行数を含むことを特徴とする請求項２に記載のログ分析装置。

【請求項4】

前記変換手段は、
前記トレースについて、終了時間と処理時間から開始時間を算出し、
比較対象のメトリクスの取得間隔あたりの平均の重みを算出し、
算出した時間あたりの重みを、時系列の表にマッピングし、
横軸を時間、縦軸を重みの大きさとした積み上げグラフを生成して、積み上げグラフの波形を比較対象のメトリクスの近似値とすることを特徴とする請求項３に記載のログ分析装置。

【請求項5】

前記変換手段は、算出した時間あたりの重みを時系列にマッピングした表に基づいて、特定期間の各処理の負荷ランキングを生成する負荷ランキング生成機能を備えたことを特徴とする請求項４に記載のログ分析装置。

【請求項6】

前記変換手段は、各時間帯における処理の重みをユーザ操作により変更し、変更後の重みについて、横軸を時間、縦軸を重みの大きさとした積み上げグラフを生成するシミュレーション機能を備えたことを特徴とする請求項４に記載のログ分析装置。

【請求項7】

制御部を備えた情報処理装置が実行するログ分析方法であって、
監視対象から出力されるログの概要を確認するためのメトリクスと詳細を確認するためのトレースを取得する取得工程と、
トレースを比較対象のメトリクスのデータ形式に近似するように変換する変換工程と、
比較対象のメトリクスと変換後のトレースを比較分析画面に表示出力する出力工程と、 を含むことを特徴とするログ分析方法。

【請求項8】

制御部を備えた情報処理装置が実行するためのログ分析プログラムであって、
監視対象から出力されるログの概要を確認するためのメトリクスと詳細を確認するためのトレースを取得する取得工程と、
トレースを比較対象のメトリクスのデータ形式に近似するように変換する変換工程と、
比較対象のメトリクスと変換後のトレースを比較分析画面に表示出力する出力工程と、
をコンピュータに実行させるためのログ分析プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ログ分析装置、ログ分析方法、及びログ分析プログラムに関する。

【背景技術】

【0002】

例えば、コンピュータ上で実行されるシステムにおいては、イベントの結果又はメッセージ等を含むログが出力される。システム等に異常が発生した際には、ユーザは、出力されたログを分析・解析することで、異常の原因を特定する。従来、ログを分析する装置として、例えば、特許文献１がある。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】国際公開第２０１７／１６９９４９号

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、特許文献１では、監視対象から出力されるログについて、詳細情報であるトレースから概要情報であるメトリクスへの近似変換を行い、異なる粒度の情報を統一したデータ形式に可視化して比較を容易にすることで、ログ分析の効率化と精度を向上させて、課題の解決までの時間を短縮することに関して何等記載されていない。

【0005】

本発明は、上記に鑑みてなされたものであり、監視対象から出力されるログについて、詳細情報であるトレースから概要情報であるメトリクスへの近似変換を行い、異なる粒度の情報を統一したデータ形式に可視化して比較を容易にすることで、ログ分析の効率化と精度を向上させて、課題の解決までの時間を短縮することが可能なログ分析装置、ログ分析方法、及びログ分析プログラムを提供することを目的とする。

【課題を解決するための手段】

【0006】

上述した課題を解決し、目的を達成するために、本発明は、監視対象から出力されるログの概要を確認するためのメトリクスと詳細を確認するためのトレースを取得する取得手段と、トレースを比較対象のメトリクスのデータ形式に近似するように変換する変換手段と、比較対象のメトリクスと変換後のトレースを比較分析画面に表示出力する出力手段と、を備えたことを特徴とする。

【0007】

また、本発明の一態様によれば、前記トレースは、変換元となるログを記録する単位又はその処理の呼び出し元を論理的に集約する単位である処理と、終了時間と、処理時間と、比較対象のメトリクスに対応する変換元の指標である重みの情報を含むことを特徴とする。

【0008】

また、本発明の一態様によれば、前記処理は、アプリケーションログの画面名やジョブ名、ＷｅｂサーバのＵＲＩ、又は、ＤＢログのストアドプロシージャや関数名を含み、前記重みは、ＣＰＵ負荷であるＣＰＵ時間、メモリ負荷である物理読込、ディスク負荷である物理読込・書込、又は、ネットワーク負荷であるデータ取得行数、更新対象行数を含むことにしてもよい。

【0009】

また、本発明の一態様によれば、前記変換手段は、前記トレースについて、終了時間と処理時間から開始時間を算出し、比較対象のメトリクスの取得間隔あたりの平均の重みを算出し、算出した時間あたりの重みを、時系列の表にマッピングし、横軸を時間、縦軸を重みの大きさとした積み上げグラフを生成して、積み上げグラフの波形を比較対象のメトリクスの近似値とすることにしてもよい。

【0010】

また、本発明の一態様によれば、前記変換手段は、算出した時間あたりの重みを時系列にマッピングした表に基づいて、特定期間の各処理の負荷ランキングを生成する負荷ランキング生成機能を備えることにしてもよい。

【0011】

また、本発明の一態様によれば、前記変換手段は、各時間帯における処理の重みをユーザ操作により変更し、変更後の重みについて、横軸を時間、縦軸を重みの大きさとした積み上げグラフを生成するシミュレーション機能を備えることにしてもよい。

【0012】

また、上述した課題を解決し、目的を達成するために、本発明は、制御部を備えた情報処理装置が実行するログ分析方法であって、監視対象から出力されるログの概要を確認するためのメトリクスと詳細を確認するためのトレースを取得する取得工程と、トレースを比較対象のメトリクスのデータ形式に近似するように変換する変換工程と、比較対象のメトリクスと変換後のトレースを比較分析画面に表示出力する出力工程と、を含むことを特徴とする。

【0013】

また、上述した課題を解決し、目的を達成するために、本発明は、制御部を備えた情報処理装置が実行するためのログ分析プログラムであって、監視対象から出力されるログの概要を確認するためのメトリクスと詳細を確認するためのトレースを取得する取得工程と、トレースを比較対象のメトリクスのデータ形式に近似するように変換する変換工程と、
比較対象のメトリクスと変換後のトレースを比較分析画面に表示出力する出力工程と、をコンピュータに実行させるためのログ分析プログラムであることを特徴とする。

【発明の効果】

【0014】

本発明によれば、監視対象から出力されるログについて、詳細情報であるトレースから概要情報であるメトリクスへの近似変換を行い、異なる粒度の情報を統一したデータ形式に可視化して比較を容易にすることで、ログ分析の効率化と精度を向上させることが可能
になるという効果を奏する。

【図面の簡単な説明】

【0015】

【図1】図１は、課題となる背景を説明するための図である。

【図2】図２は、課題となる背景を説明するための図である。

【図3】図３は、本実施の形態に係るログ分析装置の構成の一例を示すブロック図である。

【図4A】図４Ａは、ログ変換の概要を説明するための図である。

【図4B】図４Ｂは、ログ変換の概要を説明するための図である。

【図5A】図５Ａは、ログ変換の具体例を説明するための図である。

【図5B】図５Ｂは、ログ変換の具体例を説明するための図である。

【図6】図６は、発展的な応用例（１）を説明するための図である。

【図7】図７は、発展的な応用例（２）を説明するための図である。

【発明を実施するための形態】

【0016】

本発明の実施形態を図面に基づいて詳細に説明する。なお、本発明は本実施形態により限定されるものではない。

【0017】

［１．概要］
例えば、ソフトウェアモニタリングにおいて、監視対象から出力されるログには、概要を監視するためのメトリクス（概要情報）と詳細を監視するためのトレース（詳細情報）など複数の情報がある。

【0018】

トレースは、詳細な情報を持っているがデータ数が多く分析に時間がかかるという問題がある。そのため、従来、メトリクスなど集約した情報を元に異常を検知し、該当時間帯のトレースを調査対象とすることで分析対象を狭めるといった工夫を行っていた。すなわち、概要から異常を検知し、詳細情報を改めて確認する必要があった。

【0019】

しかしながら、この手法ではデータ間の紐づきを人が判断する必要があり、分析に時間がかかってしまったり判断の誤りが発生してしまったりという問題があった。また、開発と運用のメンバーが分かれていることが一般的であり、それぞれの情報を確認するメンバーが異なるため相互に確認する機会が少なかった。

【0020】

本実施の形態では、社会的にソフトウェアの重要性が高くなるにつれ、監視対象が増加し運用負荷軽減が急務であること、開発→運用・保守までワンストップで行っているため、各種ログを確認することによる知見があることに着目した。

【0021】

本実施の形態では、詳細情報であるトレースから概要情報であるメトリクスへの近似変換を行い、異なる粒度の情報を統一したデータ形式に可視化して比較を容易にすることで、分析の効率化と精度の向上、課題の解消までの時間を短縮できるようした。

【0022】

図１及び図２を参照して、課題となる背景を詳細に説明する。ソフトウェアモニタリングに必要なログは、ＯＳやＭＷ（ミドルウェア）など様々なシステムから提供されているが、これを相互に確認しなければ対応は困難である。また、ログには下記のような種類があり、粒度が異なるため同一期間のログの対応付けを把握することが難しい。

【0023】

メトリクスは、活動を記録し、加工したログである。一般的には一定期間のデータを集計したデータであり、少ないデータ量で状態を確認することはできるが、一方で詳細な原因分析は苦手である。メトリクスは、例えば、Ｗｉｎｄｏｗｓ（登録商標）のパフォーマンスログ（１秒単位や１５秒単位のＣＰＵ使用率の平均を記録する等）である。

【0024】

トレースは、時系列に従って何が発生したかを記録したログである。一般的にはプログラム内で発生した処理を逐次記録したデータであり、原因分析はできるが、一方でデータ容量が大きくなるため記録媒体の容量や分析コストが大きいという特徴がある。トレースは、例えば、ＳＱＬ Ｓｅｒｖｅｒの拡張イベント（特定の処理の開始・終了の発生、該当処理での消費リソースなどを記録できる）である。

【0025】

図１は、メトリクスの例（Ｗｉｎｄｏｗｓ（登録商標）のパフォーマンスモニタで取得したＣＰＵ使用率）を示す図である。横軸は、時間軸、縦軸は、ＣＰＵ使用率をプロットしたものである。

【0026】

図２は、トレースの例（ＳＱＬ Ｓｅｒｖｅｒの拡張イベント）を示す図である。処理時間やＣＰＵ時間、物理読込数等が確認できる。拡張イベントで処理完了を記録した結果をＥｘｃｅｌに転記し、横軸に時間軸、縦軸にｃｐｕ＿ｔｉｍｅ列をプロットしたものである。

【0027】

上記例はどちらもＣＰＵに着目した指標ではあるが、ログの粒度が異なるため因果関係の分析が困難である。トレースでは完了時に記録されるため、処理の開始時間（＝ＣＰＵを利用開始した時刻）や使用率との関連が不明である。

【0028】

メトリクスで記録しているのは「使用率」であり、トレースで記録しているのは「ＣＰＵ時間」であるため、変換が必要となる。「ＣＰＵ時間」とは、該当処理にてＣＰＵを利用した時間である。単純化のためＣＰＵが１コアのみのサーバで、ＣＰＵに負荷のかかる処理を実行した場合は下記のように記録される。

【0029】

単体では１０秒で完了する処理Ａを実行した場合は、処理Ａは処理時間１０秒、ＣＰＵ時間は１０秒である。単体では１０秒で完了する処理Ａ・処理Ｂを同時に実行した場合は、処理Ａは処理時間２０秒、ＣＰＵ時間は１０秒であり、処理Ｂは処理時間２０秒、ＣＰＵ時間は１０秒である。

【0030】

本発明では、トレース（詳細情報）をメトリクス（概要情報）の形式に変換することで、状況の把握から原因分析までの時間短縮を行う。

【0031】

本発明のログ分析装置は、全業種・全業界に適用可能である。

【0032】

［２．構成］
図３を参照して、本実施形態に係るログ分析装置１００の構成の一例について説明する。図３は、ログ分析装置１００の構成の一例を示すブロック図である。

【0033】

ログ分析装置１００は、例えば、市販のデスクトップ型パーソナルコンピュータやワークステーション等である。

【0034】

ログ分析装置１００は、制御部１０２と通信インターフェース部１０４と記憶部１０６と入出力インターフェース部１０８と、を備えている。ログ分析装置１００が備えている各部は、任意の通信路を介して通信可能に接続されている。

【0035】

通信インターフェース部１０４は、ルータ等の通信装置及び専用線等の有線又は無線の通信回線を介して、ログ分析装置１００をネットワーク３００に通信可能に接続する。通信インターフェース部１０４は、他の装置と通信回線を介してデータを通信する機能を有する。ここで、ネットワーク３００は、ログ分析装置１００と、サーバ２００、監視対象のシステム（不図示）とを相互に通信可能に接続する機能を有し、例えばインターネットやＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等である。

【0036】

入出力インターフェース部１０８には、入力装置１１２及び出力装置１１４が接続されている。出力装置１１４には、モニタ（家庭用テレビを含む）の他、スピーカやプリンタを用いることができる。入力装置１１２には、キーボード、マウス、及び、マイクの他、マウスと協働してポインティングデバイス機能を実現するモニタを用いることができる。なお、以下では、出力装置１１４をモニタ１１４とし、入力装置１１２をキーボード１１２又はマウス１１２として記載する場合がある。また、モニタ１１４に情報を表示して、ユーザが入力装置１１２を操作すること等を、「ＵＩを介したユーザ操作」と記載する場合がある。

【0037】

記憶部１０６には、各種のデータベース、テーブル、及びファイルなどが格納される。記憶部１０６には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）と協働してＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）に命令を与えて各種処理を行うためのコンピュータプログラムが記録される。記憶部１０６として、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）・ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等のメモリ装置、ハードディスクのような固定ディスク装置、フレキシブルディスク、及び光ディスク等を用いることができる。記憶部１０６は、トレースやメトリクス等の情報を格納する。

【0038】

制御部１０２は、ログ分析装置１００を統括的に制御するＣＰＵ等である。制御部１０２は、ＯＳ等の制御プログラム・各種の処理手順等を規定したプログラム・所要データなどを格納するための内部メモリを有し、格納されているこれらのプログラムに基づいて種々の情報処理を実行する。

【0039】

制御部１０２は、記憶部１０６に格納されている、トレースやメトリクス等の情報にアクセス可能に構成されている。なお、トレースやメトリクス等の情報は、他の場所（例えば、サーバ２００）に格納されていてもよく、制御部１０２がアクセス可能な構成であればよい。

【0040】

制御部１０２は、機能概念的に、取得部１０２ａと、変換部１０２ｂと、出力部１０２ｃと、を備えている。

【0041】

取得部１０２ａは、監視対象のシステムから出力されるログの概要を確認するためのメトリクスと詳細を確認するためのトレースを取得して、記憶部１０６に格納する。

【0042】

変換部１０２ｂは、トレースを比較対象のメトリクスのデータ形式に近似するように変換する。

【0043】

この場合、「トレース」は、変換元となるログを記録する単位又はその処理の呼び出し元を論理的に集約する単位である処理と、終了時間と、処理時間と、比較対象のメトリクスに対応する変換元の指標である重みの情報を含むことにしてもよい。

【0044】

「処理」は、アプリケーションログの画面名やジョブ名、ＷｅｂサーバのＵＲＩ、又は、ＤＢログのストアドプロシージャや関数名を含むことにしてもよい。「重み」は、ＣＰＵ負荷であるＣＰＵ時間、メモリ負荷である物理読込、ディスク負荷である物理読込・書込、又は、ネットワーク負荷であるデータ取得行数、更新対象行数を含むことにしてもよい。

【0045】

また、変換部１０２ｂは、トレースについて、終了時間と処理時間から開始時間を算出し、比較対象のメトリクスの取得間隔あたりの平均の重みを算出し、算出した時間あたりの重みを、時系列の表にマッピングし、横軸を時間、縦軸を重みの大きさとした積み上げグラフを生成して、積み上げグラフの波形を比較対象のメトリクスの近似値とすることにしてもよい。

【0046】

また、変換部１０２ｂは、算出した時間あたりの重みを時系列にマッピングした表に基づいて、特定期間の各処理の負荷ランキングを生成する負荷ランキング生成機能を備えることにしてもよい。

【0047】

また、変換部１０２ｂは、各時間帯における処理の重みをユーザ操作に応じて変更し、変更後の重みについて、横軸を時間、縦軸を重みの大きさとした積み上げグラフを生成するシミュレーション機能を備えることにしてもよい。

【0048】

出力部１０２ｃは、比較対象のメトリクスと変換後のトレースをモニタ１１４の比較分析画面で表示出力して、両者を比較しやすいように可視化する。

【0049】

［３．具体例］
図３～図７を参照して、本実施の形態におけるログ分析装置１００の制御部１０２の処理の具体例について説明する。図４～図７は、本実施の形態におけるログ分析装置１００の制御部１０２の処理の具体例について説明するための図である。

【0050】

（３－１．ログ変換の概要）
図４Ａ及び図４Ｂを参照して、変換部１０２ｂより実行されるログ変換の概要を説明する。図４Ａ及び図４Ｂは、変換部１０２ｂより実行されるログ変換の概要を説明するための図である。

【0051】

変換部１０２ｂは、トレースという点の情報を、メトリクスという線の情報に変換する。ここで、「処理」、「重み」の定義は下記の通りとする。

【0052】

「処理」は、トレースなど変換元となるログを記録する単位又はその処理の呼び出し元を論理的に集約する単位を指す。例えば、「処理」は、アプリケーションログ：画面名やジョブ名、Ｗｅｂサーバ：ＵＲＩ、ＤＢログ（拡張イベントなど）：ストアドプロシージャや関数名である。

【0053】

「重み」は、比較対象のメトリクスに対応する変換元の指標（ここでは拡張イベントを元に説明する）である。例えば、「重み」は、ＣＰＵ負荷：ＣＰＵ時間、メモリ負荷：物理読込（ディスクからの読込が発生するのはキャッシュにデータが存在しなかった場合）、ディスク負荷：物理読込・書込、ネットワーク負荷：データ取得行数、更新対象行数である。

【0054】

（１）トレースでは、上記のように点の情報が記録される。図４Ａ（Ａ）は、記録されるトレースの情報の例を示す図である。この例では、処理Ａは、終了時間「０９：４０」、処理時間「０：２０」、重み「６０」、処理Ｂは、終了時間「１０：００」、処理時間「０：５０」、重み「５０」、処理Ｃは、終了時間「１０：４０」、処理時間「１：１０」、重み「７０」となっている。

【0055】

（２）終了時間と処理時間から開始時間を求める。図４Ａ（Ｂ）は、開始時間を算出した例を示す図である。処理Ａは、開始時間「０９：２０（＝０９：４０－０：２０）」、処理Ｂは、開示時間「０９：１０（＝１０：００－０：５０）」、処理Ｃは、開始時間「０９：３０（＝１０：４０－１：１０）」となる。

【0056】

（３）比較対象のメトリクスの取得間隔（ここでは１０分とする）あたりの平均の重みを算出する。図４Ｂ（Ｃ）は、時間当たりの重みを算出した例を示す図である。処理Ａは、時間当たりの重みは、「３（＝６０÷２０）」、処理Ｂは、時間当たりの重みは、「１（＝５０÷５０」、処理Ｃは、時間当たりの重みは、「１（＝７０÷７０）」となる。

【0057】

（４）算出した時間あたりの重みを、時系列の表にマッピングする。図４Ｂ（Ｄ）は、算出した時間あたりの重みを、時系列の表（１０分間隔）にマッピングした例を示す図である。

【0058】

（５）横軸を時間、縦軸を重みの大きさとした積み上げグラフを生成する。図４Ｂ（Ｅ）は、処理Ａ，Ｂ，Ｃのそれぞれの時間に対する重みを示している。図４Ｂ（Ｆ）は、横軸を時間、縦軸を重みの大きさとした処理Ａ，Ｂ，Ｃの積み上げグラフの例を示している。
この積み上げグラフの波形が、メトリクスの近似値となる。

【0059】

（３－２．ログ変換の具体例）
図５Ａ及び図５Ｂを参照して、ログ変換の概要で説明したログ変換の具体例を説明する。図５Ａ及び図５Ｂは、変換部１０２ｂのログ変換の具体例を説明するための図である。以下では、トレース：拡張イベント（ＳＱＬ Ｓｅｒｖｅｒのログ）、処理：ストアドプロシージャ、重み：ＣＰＵ時間とした場合を説明する。

【0060】

（１）トレースでは、上記のように点の情報が記録される。図５Ａ（Ａ）は、記録されるトレースの情報の例を示す図である。この例では、ストアドプロシージャＡは、終了時間「０９：４０」、処理時間「０：２０」、ＣＰＵ時間「１：００」、ストアドプロシージャＢは、終了時間「１０：００」、処理時間「０：５０」、ＣＰＵ時間「０：５０」、ストアドプロシージャＣは、終了時間「１０：４０」、処理時間「１：１０」、ＣＰＵ時間「１：１０」となっている。

【0061】

（２）終了時間と処理時間から開始時間を求める。図５Ａ（Ｂ）は、開始時間を算出した例を示す図である。ストアドプロシージャＡは、開始時間「０９：２０（＝０９：４０－０：２０）」、ストアドプロシージャＢは、開示時間「０９：１０（＝１０：００－０：５０）」、ストアドプロシージャＣは、開始時間「０９：３０（＝１０：４０－１：１０）」となる。

【0062】

（３）比較対象のメトリクスの取得間隔（ここでは１０分とする）あたりの平均のＣＰＵ使用コア数を算出する。なお、ＣＰＵ時間＞処理時間の場合、複数コアを利用して並列処理を行っているものとする。

【0063】

図５Ａ（Ｃ）は、平均のＣＰＵ使用コア数を算出した例を示す図である。ストアドプロシージャＡは、時間当たりのＣＰＵ使用コア数は、「３（＝６０÷２０）」、ストアドプロシージャＢは、時間当たりのＣＰＵ使用コア数は、「１（＝５０÷５０」、ストアドプロシージャＣは、時間当たりのＣＰＵ使用コア数は、「１（＝７０÷７０）」となる。

【0064】

（４）算出した時間あたりの重みを、時系列の表にマッピングする。図５Ａ（Ｄ）は、算出した時間あたりのＣＰＵ使用コア数を、時系列の表（１０分間隔）にマッピングした例を示す図である。

【0065】

（５）横軸を時間、縦軸をＣＰＵ使用コア数とした積み上げグラフを生成する。図５Ｂ（Ｅ）は、ストアドプロシージャＡ，Ｂ，Ｃのそれぞれの時間に対する重みを示している。図５Ｂ（Ｆ）は、横軸を時間、縦軸をＣＰＵ使用コア数としたストアドプロシージャＡ，Ｂ，Ｃの積み上げグラフ（近似値）の例を示している。図５Ｂ（Ｇ）は、横軸を時間、縦軸をＣＰＵ使用率とした場合のメトリクスのグラフの例を示している。図５Ｂ（Ｅ）、（Ｆ）の比較対象のメトリクスと変換後のトレースは、出力部１０２ｃにより比較表示画面に表示出力されて可視化される。

【0066】

図５Ｂ（Ｆ）、（Ｇ）に示すように、メトリクスの監視によって検知した異常値の原因が変換後のトレースと比較することで、ストアドプロシージャＡ（処理Ａ）であると特定できる。

【0067】

この例では、ＣＰＵ時間を「重み」の基準として採用したためＣＰＵがボトルネックとなっている処理の分析が可能となった。これ以外にも、「重み」として、物理読込を基準とした場合は、ディスクＩＯがボトルネックとなっている処理の分析が可能となり、また、取得行数などネットワーク転送量を基準とすればネットワークＩＯがボトルネックとなっている処理の分析が可能となる。

【0068】

このように、本実施の形態によれば、分析したい観点によって「重み」の基準を変更することで汎用的なログ変換が可能となる。

【0069】

（３－３．発展的な応用例（１））
図６を参照して、発展的な応用例（１）を説明する。図６は、発展的な応用例（１）を説明するための図である。変換部１０２ｂは、算出した時間あたりの重みを時系列にマッピングした表に基づいて、特定期間の各処理の負荷ランキングを生成して、不図示の負荷ランキング画面で表示出力する負荷ランキング生成機能を備えることにしてもよい。単位時間値の重みを基準にメトリクスの近似値を求めるための計算結果の表（図４Ｂ（Ｄ）を用いることで、特定期間で最も負荷をかけた処理のランキングを生成することができる。

【0070】

図６（Ａ）～（Ｄ）に示すように、特定期間の負荷ランキングを生成する。具体的には、例えば、特定期間毎に負荷が大きい順に処理を並べ替える。

【0071】

図６（Ａ）は、０９：１０時点での負荷ランキングを示している。０９：１０時点で最も負荷をかけているのは処理Ｂである。

【0072】

図６（Ｂ）は、０９：２０時点での負荷ランキングを示している。０９：２０時点で最も負荷をかけているのは処理Ａである。

【0073】

図６（Ｃ）は、１０：００時点での負荷ランキングを示している。１０：００時点で最も負荷をかけているのは処理Ｃである。

【0074】

図６（Ｄ）は、全期間での負荷ランキングを示している。全期間において合計で最も負荷をかけているのは処理Ｃである。

【0075】

これにより、時間帯ごとに異なる処理が原因となっている場合においても、業務上重要な時間帯の処理を優先して対応するなどトリアージが容易になる。

【0076】

（３－４．発展的な応用例（２））
図７を参照して、発展的な応用例（２）を説明する。図７は、発展的な応用例（２）を説明するための図である。変換部１０２ｂは、各時間帯における処理の重みを、不図示のシミュレーション画面でのユーザ操作に応じて変更し、変更後の重みについて、横軸を時間、縦軸を重みの大きさとした積み上げグラフを生成するシミュレーション機能を備えることにしてもよい。すなわち、負荷改善効果のシミュレーション機能を提供し、各時間帯における重みを手動で変更することで、該当処理のチューニングによるメトリクスへの効果を事前にシミュレーションすることが可能となる。

【0077】

図７（Ａ）は、算出した時間あたりの重みを、時系列の表（１０分間隔）にマッピングした例を示す図であり、図４Ｂ（Ｃ）と同様である。図７（Ｂ）は、処理Ａの重みを「３」から「１」にオペレータが変更した場合を示す図である。

【0078】

図７（Ｃ）は、処理Ａの重みが「３」の場合の積み上げグラフを示しており、図４Ｂ（Ｆ）と同様である。図７（Ｄ）は、処理Ａの重みを「１」に変更した場合の積み上げグラフを示している。同図に示すように、重みの最大値を「５」から「３」に改善できている。

【0079】

これにより、処理の改善による投資効果を事前にシミュレーション可能となり、投資判断が容易になる。このように、本実施の形態によれば、異なる粒度・種類のログの表示形式を変換することで、異常時の対応を迅速かつ確実に行うことができるようになる。

【0080】

以上説明したように、本実施の形態によれば、監視対象から出力されるログの概要を確認するためのメトリクスと詳細を確認するためのトレースを取得する取得部１０２ａと、トレースを比較対象のメトリクスのデータ形式に近似するように変換する変換部１０２ｂと、比較対象のメトリクスと変換後のトレースを比較分析画面に表示出力する出力部１０２ｃと、を備えているので、監視対象から出力されるログについて、詳細情報であるトレースから概要情報であるメトリクスへの近似変換を行い、異なる粒度の情報を統一したデータ形式に可視化して比較を容易にすることで、ログ分析の効率化と精度を向上させて、課題の解決までの時間を短縮することが可能となる。

【0081】

［４．国連が主導する持続可能な開発目標（ＳＤＧｓ）への貢献］
本実施形態により、業務効率化や企業の適切な経営判断を推進することに寄与することができるので、ＳＤＧｓの目標８及び９に貢献することが可能となる。

【0082】

また、本実施形態により、廃棄ロス削減や、ペーパレス・電子化を推進することに寄与することができるので、ＳＤＧｓの目標１２、１３及び１５に貢献することが可能となる。

【0083】

また、本実施形態により、統制、ガバナンス強化に寄与することができるので、ＳＤＧｓの目標１６に貢献することが可能となる。

【0084】

［５．他の実施形態］
本発明は、上述した実施形態以外にも、特許請求の範囲に記載した技術的思想の範囲内において種々の異なる実施形態にて実施されてよいものである。

【0085】

例えば、実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。

【0086】

また、本明細書中や図面中で示した処理手順、制御手順、具体的名称、各処理の登録データや検索条件等のパラメータを含む情報、画面例、データベース構成については、特記する場合を除いて任意に変更することができる。

【0087】

また、ログ分析装置１００に関して、図示の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。

【0088】

例えば、ログ分析装置１００が備える処理機能、特に制御部にて行われる各処理機能については、その全部又は任意の一部を、ＣＰＵ及び当該ＣＰＵにて解釈実行されるプログラムにて実現してもよく、また、ワイヤードロジックによるハードウェアとして実現してもよい。尚、プログラムは、本実施形態で説明した処理を情報処理装置に実行させるためのプログラム化された命令を含む一時的でないコンピュータ読み取り可能な記録媒体に記録されており、必要に応じてログ分析装置１００に機械的に読み取られる。すなわち、ＲＯＭ又はＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）などの記憶部などには、ＯＳと協働してＣＰＵに命令を与え、各種処理を行うためのコンピュータプログラムが記録されている。このコンピュータプログラムは、ＲＡＭにロードされることによって実行され、ＣＰＵと協働して制御部を構成する。

【0089】

また、このコンピュータプログラムは、ログ分析装置１００に対して任意のネットワークを介して接続されたアプリケーションプログラムサーバに記憶されていてもよく、必要に応じてその全部又は一部をダウンロードすることも可能である。

【0090】

また、本実施形態で説明した処理を実行するためのプログラムを、一時的でないコンピュータ読み取り可能な記録媒体に格納してもよく、また、プログラム商品として構成することもできる。ここで、この「記録媒体」とは、メモリーカード、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）カード、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（登録商標）（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＭＯ（Ｍａｇｎｅｔｏ－Ｏｐｔｉｃａｌ ｄｉｓｋ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、及び、Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ等の任意の「可搬用の物理媒体」を含むものとする。

【0091】

また、「プログラム」とは、任意の言語又は記述方法にて記述されたデータ処理方法であり、ソースコード又はバイナリコード等の形式を問わない。なお、「プログラム」は必ずしも単一的に構成されるものに限られず、複数のモジュールやライブラリとして分散構成されるものや、ＯＳに代表される別個のプログラムと協働してその機能を達成するものをも含む。なお、実施形態に示した各装置において記録媒体を読み取るための具体的な構成及び読み取り手順ならびに読み取り後のインストール手順等については、周知の構成や手順を用いることができる。

【0092】

記憶部に格納される各種のデータベース等は、ＲＡＭ、ＲＯＭ等のメモリ装置、ハードディスク等の固定ディスク装置、フレキシブルディスク、及び、光ディスク等のストレージ手段であり、各種処理やウェブサイト提供に用いる各種のプログラム、テーブル、データベース、及び、ウェブページ用ファイル等を格納する。

【0093】

また、ログ分析装置１００は、既知のパーソナルコンピュータ又はワークステーション等の情報処理装置として構成してもよく、また、任意の周辺装置が接続された当該情報処理装置として構成してもよい。また、ログ分析装置１００は、当該装置に本実施形態で説明した処理を実現させるソフトウェア（プログラム又はデータ等を含む）を実装することにより実現してもよい。

【0094】

更に、装置の分散・統合の具体的形態は図示するものに限られず、その全部又は一部を、各種の付加等に応じて又は機能負荷に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。すなわち、上述した実施形態を任意に組み合わせて実施してもよく、実施形態を選択的に実施してもよい。

【符号の説明】

【0095】

１００ ログ分析装置
１０２ 制御部
１０２ａ 取得部
１０２ｂ 変換部
１０２ｃ 出力部
１０４ 通信インターフェース部
１０６ 記憶部
１０８ 入出力インターフェース部
１１２ 入力装置
１１４ 出力装置
２００ サーバ
３００ ネットワーク

【図1】

【図2】

【図3】

【図4A】

【図4B】

【図5A】

【図5B】

【図6】

【図7】