特開 2024-175764 ログ保存装置およびログ保存方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024175764

(43)【公開日】2024-12-19

(54)【発明の名称】ログ保存装置およびログ保存方法

(51)【国際特許分類】

   G06F 11/34 20060101AFI20241212BHJP

【ＦＩ】

G06F11/34 176

【審査請求】未請求

【請求項の数】9

【出願形態】ＯＬ

(21)【出願番号】P 2023093746

(22)【出願日】2023-06-07

(71)【出願人】

【識別番号】000005234

【氏名又は名称】富士電機株式会社

(74)【代理人】

【識別番号】110004185

【氏名又は名称】インフォート弁理士法人

(74)【代理人】

【識別番号】100121083

【弁理士】

【氏名又は名称】青木 宏義

(74)【代理人】

【識別番号】100138391

【弁理士】

【氏名又は名称】天田 昌行

(74)【代理人】

【識別番号】100132067

【弁理士】

【氏名又は名称】岡田 喜雅

(74)【代理人】

【識別番号】100141232

【弁理士】

【氏名又は名称】飯塚 達

(72)【発明者】

【氏名】大室 善則

【テーマコード（参考）】

5B042

【Ｆターム（参考）】

5B042MA08

5B042MA09

5B042MA18

5B042MC35

5B042MC40

(57)【要約】

【課題】ログデータの保存量を削減する。
【解決手段】収集部１０は、対象システム２についてのログデータを収集する。監視部２０は、対象システム２を監視してイベントの発生を検出する。保存部３０は、収集されたログデータを監視部２０からのイベントの発生の通知に応じて保存する。この保存部３０は、収集されたログデータが当該通知の時点において保存部３０で既に保存されているログデータと重複する部分を含む場合には、当該重複する部分を除いた残余のログデータを保存する。
【選択図】図１

【特許請求の範囲】

【請求項1】

対象システムについてのログデータを収集する収集部と、
前記対象システムを監視してイベントの発生を検出する監視部と、
収集された前記ログデータを前記監視部からの前記イベントの発生の通知に応じて保存する保存部であって、収集された前記ログデータが前記通知の時点において前記保存部で既に保存されている前記ログデータと重複する部分を含む場合には前記重複する部分を除いた残余のログデータを保存する前記保存部と、
を備えることを特徴とするログ保存装置。

【請求項2】

収集された前記ログデータが前記通知の時点において前記重複する部分を含む場合には、前記保存部は、前記既に保存されている前記ログデータのうちから、前記重複する部分が含まれているログデータである既存のログデータを特定する情報を更に保存することを特徴とする請求項１に記載のログ保存装置。

【請求項3】

前記既存のログデータを特定する前記情報は、前記既存のログデータにおける前記重複する部分を示す情報を含むことを特徴とする請求項２に記載のログ保存装置。

【請求項4】

前記保存部は、前記既存のログデータを特定する前記情報と前記残余のログデータとを対応付けて保存することを特徴とする請求項３に記載のログ保存装置。

【請求項5】

前記保存部は、前記通知に対応付けて、前記既存のログデータを特定する前記情報と前記残余のログデータとを保存することを特徴とする請求項４に記載のログ保存装置。

【請求項6】

前記イベントの発生の通知は、前記イベントの発生日時の情報を含み、
前記保存部は、前記イベントの発生日時から所定時間前までの期間内に収集された前記ログデータを保存する、
ことを特徴とする請求項１から５のうちのいずれか一項に記載のログ保存装置。

【請求項7】

前記イベントの発生の通知は、前記イベントの種別を示す情報を含み、
前記保存部は、前記イベントの発生日時から、前記イベントの種別に対応付けられている前記所定時間前までの期間内に収集された前記ログデータを保存する、
ことを特徴とする請求項６に記載のログ保存装置。

【請求項8】

前記収集部は、前記対象システムについての前記ログデータを複数収集し、
前記イベントの発生の通知は、前記イベントの種別を示す情報を含み、
前記保存部は、複数収集された前記ログデータのうちの前記イベントの種別に対応付けられているログデータを保存する、
ことを特徴とする請求項６に記載のログ保存装置。

【請求項9】

対象システムについてのログデータを収集し、
前記対象システムを監視してイベントの発生を検出し、
収集された前記ログデータを前記イベントの発生の検出に応じて保存するときに、収集された前記ログデータが前記検出の時点において既に保存されている前記ログデータと重複する部分を含む場合には、前記重複する部分を除いた残余のログデータを保存する、
ことを情報処理装置が行うことを特徴とするログ保存方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は対象システムの監視技術に関する。

【背景技術】

【0002】

対象システムの動作状況を示すログデータを収集し保存する技術が幾つか知られている（例えば特許文献１～特許文献４参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１０－１４０１１１号公報

【特許文献2】特開２００６－２７７０７８号公報

【特許文献3】特開平７－２１９８１８号公報

【特許文献4】特開平１０－２７５０９８号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

対象システムで生じたイベントの発生過程の解明のためには長い期間にわたるログデータを残しておくことが望ましい。しかしながら、イベントが対象システムで多発した場合には、残しておくべきログデータの総量が膨大なものとなる。

【課題を解決するための手段】

【0005】

実施形態のひとつでは、ログ保存装置が収集部と監視部と保存部とを備える。収集部は、対象システムについてのログデータを収集する。監視部は、対象システムを監視してイベントの発生を検出する。保存部は、収集されたログデータを監視部からのイベントの発生の通知に応じて保存する。この保存部は、収集されたログデータが当該通知の時点において保存部で既に保存されているログデータと重複する部分を含む場合には、当該重複する部分を除いた残余のログデータを保存する。

【発明の効果】

【0006】

上記の態様によれば、ログデータの保存量を削減することができる。

【図面の簡単な説明】

【0007】

【図1】実施形態の一例としてのログ保存装置の機能構成を示す図である。

【図2】ログ保存装置の各構成要素により行われる処理の概要を説明する図である。

【図3】構成定義ファイルに格納されているテーブルの一例を示す図である。

【図4】ストレージにおいて使用されるディレクトリ構造の一例を示す図である。

【図5】ログ参照情報ファイルとストレージでのログの保存状況との対応関係の第１の例を示す図である。

【図6】ログ参照情報ファイルとストレージでのログの保存状況との対応関係の第２の例を示す図である。

【図7】ログ参照情報ファイルとストレージでのログの保存状況との対応関係の第３の例を示す図である。

【図8】ログ参照情報ファイルとストレージでのログの保存状況との対応関係の第４の例を示す図である。

【図9】データ収集処理の処理内容の一例を示すフローチャートである。

【図10】ログ更新処理の処理内容の一例を示すフローチャートである。

【図11】異常イベント検出処理の処理内容の一例を示すフローチャートである。

【図12】ログ要求処理の処理内容の一例を示すフローチャートである。

【図13】ログ応答処理の処理内容の一例を示すフローチャートである。

【図14】実体ログ情報作成処理の処理内容の一例を示すフローチャートである。

【図15】ログ参照処理の処理内容の一例を示すフローチャートである。

【図16】情報処理装置のハードウェア構成例を示す図である。

【発明を実施するための形態】

【0008】

以下、図面を参照しながら、実施形態を詳細に説明する。

【0009】

初めに図１について説明する。図１は、実施形態の一例としてのログ保存装置１の機能構成を示している。

【0010】

ログ保存装置１は、対象システム２と接続されて使用される。図１の例では、通信ネットワーク３を介してログ保存装置１が対象システム２に接続されている。

【0011】

対象システム２では、様々なアプリケーションやサービスの提供が行われ、これらを提供するために実行されるソフトウェアによって、実行中に発生した各種のイベントについてのログデータが作成される。ログ保存装置１は、対象システム２で作成されたログデータを保存する装置である。

【0012】

なお、図１では、対象システム２において作成されるログデータのファイル名として、「ログＡ」、「ログＢ」、「ログＣ」と３つのログファイル名を表示しているが、この表示は、作成されるログデータを３つのみに限定することを意図するものではない。

【0013】

ログ保存装置１は収集部１０と監視部２０と保存部３０とを備えている。

【0014】

収集部１０は、対象システム２についてのログデータを収集する。

【0015】

監視部２０は、対象システム２を監視してイベントの発生を検出する。監視部２０は、イベントの発生を検出したときに、当該イベントの発生を保存部３０に通知する。

【0016】

保存部３０は、収集部１０により収集されたログデータを、監視部２０からのイベントの発生の通知に応じて保存する。但し、本実施形態においては、収集されたログデータが当該通知の時点において保存部３０で既に保存されているログデータと重複する部分を含む場合には、保存部３０は、当該重複する部分を除いた残余のログデータを保存する。

【0017】

保存部３０が以上のようにしてログデータの保存を行うので、本実施形態によれば、ログデータの保存量を削減することができる。

【0018】

なお、保存部３０は、収集されたログデータが既に保存されているログデータと重複する部分を含む場合には、当該既に保存されているログデータのうちから、当該重複する部分が含まれているログデータである既存のログデータを特定する情報を更に保存する。この情報を用いると、上述した残余のログデータ以外のログデータ（重複部分のログデータ）の参照が容易に行える。

【0019】

ログ保存装置１の各構成要素により行われる処理の概要について、図２を用いて更に詳細に説明する。

【0020】

なお、以下の説明では、対象システム２で生じたイベントの発生を監視部２０が検出する場合の一例として、対象システム２の異常動作の発生を監視部２０が検出する場合について説明を行う。

【0021】

データ収集処理１１０及びログ更新処理１２０は収集部１０により行われる。データ収集処理１１０は、ログデータを対象システム２から収集し、収集したログデータ（収集ログ）にデータファイル名（収集ログ名）を付して一時保存する処理である。ログ更新処理１２０は、データ収集処理１１０によりログデータの一時保存が行われてから予め指定しておいた所定期間が経過した当該ログデータを削除する処理である。

【0022】

異常イベント検出処理２００は監視部２０により行われる。この処理は、収集部１０が対象システム２から収集したログデータを参照して、当該ログデータが、予め定められている対象システム２の正常動作時の動作状態の条件に合致しているかどうかを常に監視する処理である。この監視において、当該正常動作時の動作状態の条件を外れたことが検出された場合には、対象システム２での異常動作のイベントの発生を保存部３０に通知する処理も行われる。

【0023】

異常イベント検出処理２００によって保存部３０へ送られる異常通知の電文は、例えば下記のデータ構造を有している。

【0024】

異常通知：（異常識別、異常カテゴリ、異常検出日時）

【0025】

この異常通知のデータ構造における各項目について説明する。

【0026】

「異常識別」は、発生が検出された動作異常を個々に識別する情報である。本実施形態では、この情報として、「異常識別ａ」、「異常識別ｂ」、「異常識別ｃ」などといった文字列を用いることとする。

【0027】

「異常カテゴリ」は、発生が検出された動作異常の種別を示す情報である。本実施形態では、この情報として、「α」、「β」、「γ」などといったギリシャ文字を用いることとする。

【0028】

「異常検出日時」は、対象システム２の異常動作が監視部２０によって検出された日時（イベントの発生日時）を示す情報である。

【0029】

ログ要求処理３００は保存部３０により行われる。この処理は、監視部２０からの異常通知を受け取ると、通知された動作異常の発生に関連するログデータを収集部１０に対して要求する処理である。

【0030】

ログ要求処理３００によって収集部１０に送られるログ要求の電文は、例えば下記のデータ構造を有している。

【0031】

ログ要求：
（異常識別、開始日時、｛収集ログ名、期間｝、｛収集ログ名、期間｝、…）

【0032】

このログ要求のデータ構造における各項目について説明する。

【0033】

「異常識別」は、監視部２０からの異常通知に含まれていた情報である。

【0034】

「開始日時」は、監視部２０からの異常通知に含まれていた異常検出日時と同一の日時の情報である。

【0035】

「収集ログ名」は、監視部２０からの異常通知に含まれていた異常カテゴリで特定される種別の動作異常についての解析の対象とするログデータが格納されており、収集部１０で一時保存されている収集ログのファイル名の情報である。また、「期間」は、「収集ログ名」で特定されるログデータのうち、当該解析の対象とする期間の情報である。保存部３０は、この「収集ログ名」と「期間」との組み合わせの情報を、予め用意されている構成定義ファイル３１を参照して取得する。

【0036】

図３は、構成定義ファイル３１に格納されているテーブルの一例を示したものである。このテーブルでは、異常カテゴリ毎に、上述した収集ログ名と期間との組み合わせが対応付けられている。

【0037】

例えば、このテーブル例の第１行目は、異常カテゴリ「α」の動作異常の解析の対象を、「ログＡ」なる収集ログ名であるログデータのうちの、異常発生時から所定時間前（ここでは「３時間」前）までの期間のログデータとすることを表している。

【0038】

また、例えば、このテーブル例の第３行目及び第４行目は、異常カテゴリ「γ」の動作異常の解析の対象を、「ログＡ」の異常発生時から「２時間」前までのログデータ、及び、「ログＢ」の異常発生時から「５時間」前までのログデータとすることを表している。このように、１つの異常カテゴリに対して収集ログ名と期間との組み合わせが複数示されている場合には、ログ要求には、当該複数の組み合わせの情報が示される。

【0039】

図２の説明に戻る。ログ応答処理４００は収集部１０により行われる。この処理は、保存部３０から送られてくるログ要求で要求されているログデータに関する情報を、保存部３０に応答する処理である。

【0040】

ログ応答処理４００によって保存部３０に送られるログ応答の電文は、例えば下記のデータ構造を有している。

【0041】

ログ応答：
（｛収集ログ名、終了日時、開始日時｝、
［
＜保存実体ログ名、ログ終了日時、ログ開始日時、実体ログデータ＞、
…
］
）、
（｛収集ログ名、終了日時、開始日時｝、
［
＜保存実体ログ名、ログ終了日時、ログ開始日時、実体ログデータ＞、
…
］
）

【0042】

このログ応答のデータ構造における各項目について説明する。

【0043】

｛収集ログ名、終了日時、開始日時｝の組み合わせにおいて、「収集ログ名」及び「開始日時」は、それぞれ、ログ要求に示されていた収集ログ名及び開始日時の情報である。また、「終了日時」は、ログ要求に示されていた開始日時から、当該ログ要求に示されていた期間だけ遡った日時の情報である。

【0044】

＜保存実体ログ名、ログ終了日時、ログ開始日時、実体ログデータ＞の組み合わせにおいて、「実体ログデータ」は、収集部１０が対象システム２から収集したログデータであって、保存部３０での保存の対象である当該ログデータの実体（実体ログ）である。また、上記の組み合わせから「実体ログデータ」を除外した残余の組み合わせ、すなわち、＜保存実体ログ名、ログ終了日時、ログ開始日時＞の組み合わせを本実施形態では「参照情報」と称している。

【0045】

参照情報のうちの「ログ終了日時」及び「ログ開始日時」は、それぞれ、時間の流れを遡って参照される「実体ログデータ」の終了日時(最も古い日時)及び開始日時（最も新しい日時）の情報である。更に、「保存実体ログ名」は、保存部３０での保存の対象である「実体ログデータ」のファイルに付されるログファイル名の情報である。

【0046】

ログ応答処理４００は、この組み合わせの情報を、ログ参照情報ファイル１１として保持して管理する処理も含む。ログ参照情報ファイル１１は、保存部３０での実体ログの保存の状況が示されているファイルであり、保存の対象である実体ログが、保存部３０で既に保存されている実体ログと重複する部分を含むかどうかの判定に用いられる。ここで、当該重複する部分が含まれていると判定された場合には、上記の組み合わせから「実体ログデータ」が除外されて参照情報のみとなる。

【0047】

当該除外後の参照情報、すなわち、＜保存実体ログ名、ログ終了日時、ログ開始日時＞の組み合わせにおいて、「保存実体ログ名」は、保存部３０で既に保存されている、当該重複する部分が含まれていた当該実体ログについてのログファイル名である。また、「ログ終了日時」及び「ログ開始日時」は、それぞれ、当該実体ログにおける当該重複する部分についての終了日時及び開始日時の情報である。

【0048】

ログ応答の電文は、上述したデータ構造を有しており、収集ログと実体ログとの対応関係を表している。

【0049】

保存部３０により行われる前述したログ要求処理３００には、収集部１０から送られてくるログ応答に含まれている各種の情報をストレージ３２に保存する処理が更に含まれている。ストレージ３２では、これらの情報を格納するデータファイルが、例えばディレクトリ構造を用いて管理される。

【0050】

ストレージ３２において使用されるディレクトリ構造の一例を図４に示す。

【0051】

ストレージ３２には、上位のディレクトリとして「異常一覧」ディレクトリが設けられる。この「異常一覧」ディレクトリの直下には「異常識別」ディレクトリが配置される。「異常識別」ディレクトリは、監視部２０から異常通知を受ける度に作成され、当該異常通知に含まれている異常識別の文字列がディレクトリ名として用いられる。

【0052】

「異常識別」ディレクトリには、「異常明細」ファイルと「異常ログ」ファイルと「実体ログ」ファイルとが配置される。

【0053】

「異常明細」ファイルは、監視部２０から受け取った異常通知と同一の情報が格納されるファイルである。

【0054】

「異常ログ」ファイルは、収集部１０から送られてくるログ応答に表されている収集ログと実体ログとの対応関係を示す情報が格納されるファイルである。詳細は後述するが、収集されたログデータが既に保存されているログデータと重複する部分を含む場合には、この情報は、当該重複する部分が含まれている既存のログデータを、既に保存されているログデータから特定する情報となる。また、この情報は、当該既存のログデータにおける当該重複する部分を示す情報を含む。

【0055】

「実体ログ」ファイルには、収集部１０から送られてくるログ応答に含まれている実体ログが格納されるファイルである。詳細は後述するが、収集部１０により収集されたログデータが、保存部３０で既に保存されているログデータと重複する部分を含む場合には、当該重複する部分を除いた残余のログデータが、実体ログとして、ログ応答に含まれている。

【0056】

ストレージ３２では、これらのデータファイルが、上述したディレクトリ構造を用いて管理される。つまり、ストレージ３２では、既存のログデータを特定する情報と残余のログデータとが対応付けられて保存される。

【0057】

次に、ログ保存装置１におけるログデータの保存動作の具体例について説明する。

【0058】

［ログデータの保存動作の第１の例］

【0059】

第１の例では、監視部２０が対象システム２での異常動作のイベントの発生を検出し、異常通知を保存部３０に送付した場合を想定する。なお、この時点では、保存部３０のストレージ３２には対象システム２についての実体ログは何も保存されていないものとする。

【0060】

このときに監視部２０から保存部３０に送付された異常通知には、異常識別、異常カテゴリ、及び異常検出日時として、それぞれ下記の情報が含まれていたものとする。

【0061】

異常通知：（異常識別ａ、α、2023/01/01 04:00）

【0062】

この異常通知を受け取った保存部３０は、図３に例示した構成定義ファイル３１を参照し、異常カテゴリが「α」であるレコードから収集ログ名「ログＡ」と期間「３時間」とを取得する。保存部３０は、取得した情報と、異常通知に含まれている異常識別及び異常検出日時の情報とを用いて、下記のログ要求を作成して収集部１０に送付する。

【0063】

ログ要求：（異常識別ａ、2023/01/01 04:00、{ログＡ、３時間}）

【0064】

このログ要求を受け取った収集部１０は、保存部３０で既に保存されている実体ログに、ログ要求において要求されている実体ログと重複する部分があるかどうかを、ログ参照情報ファイル１１を用いて判定する。

【0065】

前述したように、この判定の時点では保存部３０には対象システム２についての実体ログは何も保存されていないので、当該重複する部分は存在しないとの判定が下される。

【0066】

このとき、収集部１０は、2023/01/01 04:00の時点と、当該時点から３時間遡った2023/01/01 01:00の時点との間のログデータを、一時保存されている収集ログ「ログＡ」から読み出し、「ログＡ」の実体ログとして取得する。また、収集部１０は、取得した実体ログについての保存実体ログ名を作成する。保存実体ログ名としては一意となる名称を作成するようにする。すなわち、収集部１０は、例えば、収集ログ名の情報と一意の番号との組み合わせに、当該実体ログが配置される異常識別ディレクトリのディレクトリ名を更に組み合わせた「異常識別ａ／ログＡ－１」を、保存実体ログ名として作成する。

【0067】

収集部１０は、以上のようにして得られた各情報が含まれている下記のログ応答を作成して保存部３０に送付する。

【0068】

ログ応答：
（｛ログＡ、2023/01/01 01:00、2023/01/01 04:00｝、
［＜異常識別ａ／ログＡ－１、2023/01/01 01:00、2023/01/01 04:00、
（「ログＡ－１」の実体ログ）＞］）

【0069】

このログ応答を受け取った保存部３０は、ログ応答に含まれている「ログＡ－１」の実体ログの保存を行うと共に、ログ応答に含まれている収集ログ「ログＡ」に関する情報を含む異常ログファイルの作成と保存とを行う。また、収集部１０は、「ログＡ－１」の実体ログの保存部３０での保存状況についての情報をログ参照情報ファイル１１に追加する。このときのログ参照情報ファイル１１と保存部３０のストレージ３２でのログの保存状況との対応関係を図５に示す。

【0070】

図５における［Ａ］のログ参照情報ファイル１１には、上記のログ応答に含まれている実体ログ「ログＡ－１」に関する参照情報、すなわち、＜保存実体ログ名、ログ終了日時、ログ開始日時＞の各情報と同一の情報が示されている。

【0071】

一方、図５における［Ｂ］の保存状況では、ストレージ３２の「異常一覧」ディレクトリの直下の「異常識別ａ」ディレクトリに配置される「異常ログ」ファイルに含まれているテーブルが示されている。

【0072】

この「異常ログ」ファイルのテーブルは、「対象ログ」、「ログ終了日時」、「ログ開始日時」、及び「実体ログ」の各フィールドを有している。

【0073】

「異常ログ」ファイルのテーブルの第１行目のレコードには、ログ応答に含まれる収集ログに関する情報が格納される。すなわち、このレコードにおける「対象ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる｛収集ログ名、終了日時、開始日時｝の情報がそれぞれ格納される。なお、「実体ログ」のフィールドにはヌルデータとされる。

【0074】

また、「異常ログ」ファイルのテーブルの第２行目のレコードには、ログ応答に含まれる実体ログ「ログＡ－１」についての参照情報が格納される。すなわち、このレコードにおける「実体ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる「ログＡ－１」に関する＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報がそれぞれ格納される。なお、「対象ログ」のフィールドにはヌルデータとされる。また、ログ応答に含まれる「ログＡ－１」の実体ログのデータファイルが、「異常ログ」と同一の「異常識別ａ」ディレクトリに配置される。

【0075】

［ログデータの保存動作の第２の例］

【0076】

第２の例では、前述した第１の例において検出された異常動作のイベントの発生から１時間後に、監視部２０が対象システム２での新たな異常動作のイベントの発生を検出し、当該新たなイベントについての新たな異常通知を保存部３０に送付した場合を想定する。

【0077】

このときに監視部２０から保存部３０に送付された新たな異常通知には、異常識別、異常カテゴリ、及び異常検出日時として、それぞれ下記の情報が含まれていたものとする。

【0078】

異常通知：（異常識別ｂ、α、2023/01/01 05:00）

【0079】

この異常通知を受け取った保存部３０は、図３に例示した構成定義ファイル３１を参照し、異常カテゴリが「α」であるレコードから収集ログ名「ログＡ」と期間「３時間」とを取得する。保存部３０は、取得した情報と、異常通知に含まれている異常識別及び異常検出日時の情報とを用いて、下記の新たなログ要求を作成して収集部１０に送付する。

【0080】

ログ要求：（異常識別ｂ、2023/01/01 05:00、{ログＡ、３時間}）

【0081】

このログ要求を受け取った収集部１０は、保存部３０で既に保存されている実体ログに、新たなログ要求において要求されている実体ログと重複する部分があるかどうかを、ログ参照情報ファイル１１を用いて判定する。

【0082】

上記の新たなログ要求は、収集ログ「ログＡ」における、2023/01/01 05:00の時点と、当該時点から３時間遡った2023/01/01 02:00の時点との間のログデータを要求するものである。一方、このときのログ参照情報ファイル１１には、前述した図５の［Ａ］の情報が示されており、収集ログ「ログＡ」についての、2023/01/01 04:00の時点から2023/01/01 01:00の時点までの実体ログが保存部３０で既に保存されていることが示されている。従って、上記の判定では、保存部３０で既に保存されている実体ログのうちの2023/01/01 04:00の時点と2023/01/01 02:00の時点との間の期間の実体ログが重複しているとの判定が下される。

【0083】

このとき、収集部１０は、保存部３０で既に保存されている実体ログとは重複していない2023/01/01 05:00の時点と2023/01/01 04:00の時点との間の残余のログデータを、一時保存されている収集ログ「ログＡ」から読み出し、「ログＡ」の残余の実体ログとして取得する。また、収集部１０は、取得した残余の実体ログについての保存実体ログ名を作成する。すなわち、収集部１０は、例えば、収集ログ名の情報と一意の番号との組み合わせに、当該実体ログが配置される異常識別ディレクトリのディレクトリ名を更に組み合わせた「異常識別ｂ／ログＡ－２」を、保存実体ログ名として作成する。

【0084】

また、このとき、収集部１０は、保存部３０で既に保存されている実体ログのうちで当該重複している部分を有している実体ログ「ログＡ－１」の保存実体ログ名「異常識別ａ／ログＡ－１」をログ参照情報ファイル１１から取得する。

【0085】

収集部１０は、以上のようにして得られた各情報が含まれている下記のログ応答を作成して保存部３０に送付する。

【0086】

ログ応答：
（｛ログＡ、2023/01/01 02:00、2023/01/01 05:00｝、
［＜異常識別ｂ／ログＡ－２、2023/01/01 04:00、2023/01/01 05:00、
（「ログＡ－２」の実体ログ）＞］、
［＜異常識別ａ／ログＡ－１、2023/01/01 02:00、2023/01/01 04:00＞］）

【0087】

このログ応答を受け取った保存部３０は、ログ応答に含まれている「ログＡ－２」の実体ログの保存を行うと共に、ログ応答に含まれている収集ログ「ログＡ」に関する情報の保存とを行う。また、収集部１０は、「ログＡ－２」の実体ログの保存部３０での保存状況についての情報をログ参照情報ファイル１１に追加する。このときのログ参照情報ファイル１１と保存部３０のストレージ３２でのログの保存状況との対応関係を図６に示す。

【0088】

図６における［Ａ］のログ参照情報ファイル１１は、図５の［Ａ］に示したものに第２行目のレコードが追加されたものである。この第２行目のレコードには、上記のログ応答データに含まれている実体ログ「ログＡ－２」に関する参照情報である＜保存実体ログ名、ログ終了日時、ログ開始日時＞の各情報と同一の情報が示されている。

【0089】

一方、図６における［Ｂ］の保存状況では、図５の［Ｂ］に示した状況から、ストレージ３２の「異常一覧」ディレクトリの直下の「異常識別ａ」ディレクトリに配置される「異常ログ」ファイルに含まれているテーブルが追加されている。

【0090】

この「異常ログ」ファイルのテーブルの第１行目のレコードには、「異常識別ｂ」ディレクトリに配置される「異常ログ」ファイルに含まれているテーブルと同様に、ログ応答に含まれる収集ログに関する情報が格納される。すなわち、このレコードにおける「対象ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる｛収集ログ名、終了日時、開始日時｝の情報がそれぞれ格納される。なお、「実体ログ」のフィールドにはヌルデータとされる。

【0091】

また、「異常ログ」ファイルのテーブルの第２行目のレコードには、ログ応答に含まれる実体ログ「ログＡ－２」についての参照情報が格納される。すなわち、このレコードにおける「実体ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる「ログＡ－２」に関する＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報がそれぞれ格納される。なお、「対象ログ」のフィールドにはヌルデータとされる。また、ログ応答に含まれる「ログＡ－２」の実体ログのデータファイルが、「異常ログ」と同一の「異常識別ｂ」ディレクトリに配置される。

【0092】

更に、「異常ログ」ファイルのテーブルの第２行目のレコードには、ログ応答に含まれる実体ログ「ログＡ－１」についての参照情報が格納される。すなわち、このレコードにおける「実体ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる「ログＡ－１」に関する＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報がそれぞれ格納される。なお、「対象ログ」のフィールドにはヌルデータとされる。

【0093】

［ログデータの保存動作の第３の例］

【0094】

第３の例では、前述した第１の例において検出された異常動作のイベントの発生から６時間後に、監視部２０が対象システム２での新たな異常動作のイベントの発生を検出し、当該新たなイベントについての新たな異常通知を保存部３０に送付した場合を想定する。

【0095】

但し、この第３の例では、監視部２０から保存部３０に送付された新たな異常通知に、異常識別、異常カテゴリ、及び異常検出日時として、それぞれ下記の情報が含まれていたものとする。

【0096】

異常通知：（異常識別ｂ、α、2023/01/01 10:00）

【0097】

この異常通知を受け取った保存部３０は、図３に例示した構成定義ファイル３１を参照し、異常カテゴリが「α」であるレコードから収集ログ名「ログＡ」と期間「３時間」とを取得する。保存部３０は、取得した情報と、異常通知に含まれている異常識別及び異常検出日時の情報とを用いて、下記の新たなログ要求を作成して収集部１０に送付する。

【0098】

ログ要求：（異常識別ｂ、2023/01/01 10:00、{ログＡ、３時間}）

【0099】

このログ要求を受け取った収集部１０は、保存部３０で既に保存されている実体ログに、新たなログ要求において要求されている実体ログと重複する部分があるかどうかを、ログ参照情報ファイル１１を用いて判定する。

【0100】

上記の新たなログ要求は、収集ログ「ログＡ」における、2023/01/01 10:00の時点と、当該時点から３時間遡った2023/01/01 07:00の時点との間のログデータを要求するものである。一方、このときのログ参照情報ファイル１１には、前述した図５の［Ａ］の情報が示されており、収集ログ「ログＡ」についての、2023/01/01 04:00の時点から2023/01/01 01:00の時点までの実体ログが保存部３０で既に保存されていることが示されている。従って、上記の判定では、保存部３０で既に保存されている実体ログには、重複する部分は無いとの判定が下される。

【0101】

このとき、収集部１０は、保存部３０で既に保存されている実体ログとは重複していない2023/01/01 10:00の時点と2023/01/01 07:00の時点との間の残余のログデータを、一時保存されている収集ログ「ログＡ」から読み出し、「ログＡ」の残余の実体ログとして取得する。また、収集部１０は、取得した残余の実体ログについての保存実体ログ名を作成する。すなわち、収集部１０は、例えば、収集ログ名の情報と一意の番号との組み合わせに、当該実体ログが配置される異常識別ディレクトリのディレクトリ名を更に組み合わせた「異常識別ｂ／ログＡ－２」を、保存実体ログ名として作成する。

【0102】

収集部１０は、以上のようにして得られた各情報が含まれている下記のログ応答を作成して保存部３０に送付する。

【0103】

ログ応答：
（｛ログＡ、2023/01/01 07:00、2023/01/01 10:00｝、
［＜異常識別ｂ／ログＡ－２、2023/01/01 07:00、2023/01/01 10:00、
（「ログＡ－２」の実体ログ）＞］）

【0104】

このログ応答を受け取った保存部３０は、ログ応答に含まれている「ログＡ－２」の実体ログの保存を行うと共に、ログ応答に含まれている収集ログ「ログＡ」に関する情報の保存とを行う。また、収集部１０は、「ログＡ－２」の実体ログの保存部３０での保存状況についての情報をログ参照情報ファイル１１に追加する。このときのログ参照情報ファイル１１と保存部３０のストレージ３２でのログの保存状況との対応関係を図７に示す。

【0105】

図７における［Ａ］のログ参照情報ファイル１１は、図５の［Ａ］に示したものに第２行目のレコードが追加されたものである。この第２行目のレコードには、上記のログ応答データに含まれている実体ログ「ログＡ－２」に関する参照情報である＜保存実体ログ名、ログ終了日時、ログ開始日時＞の各情報と同一の情報が示されている。

【0106】

一方、図７における［Ｂ］の保存状況では、図５の［Ｂ］に示した状況から、ストレージ３２の「異常一覧」ディレクトリの直下の「異常識別ｂ」ディレクトリに配置される「異常ログ」ファイルに含まれているテーブルが追加されている。

【0107】

この「異常ログ」ファイルのテーブルの第１行目のレコードには、「異常識別ａ」ディレクトリに配置される「異常ログ」ファイルに含まれているテーブルと同様に、ログ応答に含まれる収集ログに関する情報が格納される。すなわち、このレコードにおける「対象ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる｛収集ログ名、終了日時、開始日時｝の情報がそれぞれ格納される。なお、「実体ログ」のフィールドにはヌルデータとされる。

【0108】

また、「異常ログ」ファイルのテーブルの第２行目のレコードには、ログ応答に含まれる実体ログ「ログＡ－２」についての参照情報が格納される。すなわち、このレコードにおける「実体ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる「ログＡ－２」に関する＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報がそれぞれ格納される。なお、「対象ログ」のフィールドにはヌルデータとされる。また、ログ応答に含まれる「ログＡ－２」の実体ログのデータファイルが、「異常ログ」と同一の「異常識別ｂ」ディレクトリに配置される。

【0109】

［ログデータの保存動作の第４の例］

【0110】

第４の例では、前述した第３の例において新たに検出された異常動作のイベントの発生から２時間後に、監視部２０が対象システム２での更なる異常動作のイベントの発生を検出し、当該更なるイベントについての異常通知を保存部３０に送付した場合を想定する。

【0111】

但し、この第４の例では、監視部２０から保存部３０に送付された更なる異常通知に、異常識別、異常カテゴリ、及び異常検出日時として、それぞれ下記の情報が含まれていたものとする。

【0112】

異常通知：（異常識別ｃ、β、2023/01/01 12:00）

【0113】

この異常通知を受け取った保存部３０は、図３に例示した構成定義ファイル３１を参照し、異常カテゴリが「β」であるレコードから収集ログ名「ログＡ」と期間「１１時間」とを取得する。保存部３０は、取得した情報と、異常通知に含まれている異常識別及び異常検出日時の情報とを用いて、下記の新たなログ要求を作成して収集部１０に送付する。

【0114】

ログ要求：（異常識別ｃ、2023/01/01 12:00、{ログＡ、１１時間}）

【0115】

上記の新たなログ要求は、収集ログ「ログＡ」における、2023/01/01 12:00の時点と、当該時点から１１時間遡った2023/01/01 01:00の時点との間のログデータを要求するものである。一方、このときのログ参照情報ファイル１１には、前述した図７の［Ａ］の情報が示されている。すなわち、収集ログ「ログＡ」についての、2023/01/01 04:00の時点から2023/01/01 01:00の時点までの実体ログと、2023/01/01 10:00の時点から2023/01/01 07:00の時点までの実体ログとが保存部３０で既に保存されていることが示されている。従って、保存部３０で既に保存されている、2023/01/01 04:00の時点と2023/01/01 01:00の時点との間の期間の実体ログ、及び、2023/01/01 10:00の時点と2023/01/01 07:00の時点との間の期間の実体ログが重複しているとの判定が下される。

【0116】

このとき、収集部１０は、保存部３０で既に保存されている実体ログとは重複していない2023/01/01 12:00の時点と2023/01/01 10:00の時点との間の第１の残余のログデータを、一時保存されている収集ログ「ログＡ」から読み出し、「ログＡ」の第１の残余の実体ログとして取得する。また、収集部１０は、取得した第１の残余の実体ログについての保存実体ログ名を作成する。すなわち、収集部１０は、例えば、収集ログ名の情報と一意の番号との組み合わせに、当該実体ログが配置される異常識別ディレクトリのディレクトリ名を更に組み合わせた「異常識別ｃ／ログＡ－３」を、第１の残余の実体ログについてのログ名として作成する。

【0117】

また、収集部１０は、保存部３０で既に保存されている、2023/01/01 10:00の時点から2023/01/01 07:00の時点までの部分が重複している実体ログ「ログＡ－２」の保存実体ログ名「異常識別ｂ／ログＡ－２」をログ参照情報ファイル１１から取得する。

【0118】

更に、収集部１０は、保存部３０で既に保存されている実体ログとは重複していない2023/01/01 07:00の時点と2023/01/01 04:00の時点との間の第２の残余のログデータを、一時保存されている収集ログ「ログＡ」から読み出し、「ログＡ」の第２の残余の実体ログとして取得する。また、収集部１０は、取得した第２の残余の実体ログについての保存実体ログ名を作成する。すなわち、収集部１０は、例えば、収集ログ名の情報と一意の番号との組み合わせに、当該実体ログが配置される異常識別ディレクトリのディレクトリ名を更に組み合わせた「異常識別ｃ／ログＡ－４」を、当該実体ログについての保存実体ログ名として作成する。

【0119】

また、収集部１０は、保存部３０で既に保存されている、2023/01/01 04:00の時点から2023/01/01 01:00の時点までの部分が重複している実体ログ「ログＡ－１」の保存実体ログ名「異常識別ａ／ログＡ－１」をログ参照情報ファイル１１から取得する。

【0120】

収集部１０は、以上のようにして得られた各情報が含まれている下記のログ応答を作成して保存部３０に送付する。

【0121】

ログ応答：
（｛ログＡ、2023/01/01 01:00、2023/01/01 12:00｝、
［＜異常識別ｃ／ログＡ－３、2023/01/01 10:00、2023/01/01 12:00、
（「ログＡ－３」の実体ログ）＞］、
［＜異常識別ｂ／ログＡ－２、2023/01/01 07:00、2023/01/01 10:00＞］、
［＜異常識別ｃ／ログＡ－４、2023/01/01 04:00、2023/01/01 07:00、
（「ログＡ－４」の実体ログ）＞］、
［＜異常識別ａ／ログＡ－１、2023/01/01 01:00、2023/01/01 04:00＞］）

【0122】

このログ応答を受け取った保存部３０は、ログ応答に含まれている「ログＡ－３」及び「ログＡ－４」の実体ログの保存を行うと共に、ログ応答に含まれている収集ログ「ログＡ」に関する情報の保存とを行う。また、収集部１０は、「ログＡ－３」及び「ログＡ－４」の実体ログの保存部３０での保存状況についての情報をログ参照情報ファイル１１に追加する。このときのログ参照情報ファイル１１と保存部３０のストレージ３２でのログの保存状況との対応関係を図８に示す。

【0123】

図８における［Ａ］のログ参照情報ファイル１１は、図７における［Ａ］のログ参照情報ファイル１１に示されている２つのレコードに２つのレコードが追加された合計４つのレコードを、ログ開始日時の日時順に並べたものである。

【0124】

図８の［Ａ］のログ参照情報ファイル１１において、第１行目及び第３行目のレコードは、それぞれ、図７の［Ａ］のログ参照情報ファイル１１における第１行目及び第２行目のレコードと同一のものである。また、図８の［Ａ］のログ参照情報ファイル１１において、第２行目のレコードには、上記のログ応答データに含まれている実体ログ「ログＡ－４」についての参照情報である＜保存実体ログ名、ログ終了日時、ログ開始日時＞の各情報と同一の情報が示されている。また、第４行目のレコードには、上記のログ応答データに含まれている実体ログ「ログＡ－３」についての参照情報である＜保存実体ログ名、ログ終了日時、ログ開始日時＞の各情報と同一の情報が示されている。

【0125】

一方、図８における［Ｂ］の保存状況では、図７の［Ｂ］の状況から、「異常一覧」ディレクトリの直下の「異常識別ｃ」ディレクトリに配置される「異常ログ」ファイルのテーブルが追加されている。

【0126】

この「異常ログ」ファイルのテーブルの第１行目のレコードには、「異常識別ａ」ディレクトリに配置される「異常ログ」ファイルに含まれているテーブルと同様に、ログ応答に含まれる収集ログに関する情報が格納される。すなわち、このレコードにおける「対象ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる｛収集ログ名、終了日時、開始日時｝の情報がそれぞれ格納される。なお、「実体ログ」のフィールドにはヌルデータとされる。

【0127】

また、「異常ログ」ファイルのテーブルの第２行目のレコードには、ログ応答に含まれる実体ログ「ログＡ－３」についての参照情報が格納される。すなわち、このレコードにおける「実体ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる「ログＡ－３」に関する＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報がそれぞれ格納される。なお、「対象ログ」のフィールドにはヌルデータとされる。また、ログ応答に含まれる「ログＡ－３」の実体ログのデータファイルが、「異常ログ」と同一の「異常識別ｃ」ディレクトリに配置される。

【0128】

更に、「異常ログ」ファイルのテーブルの第３行目のレコードには、ログ応答に含まれる実体ログ「ログＡ－２」についての参照情報が格納される。すなわち、このレコードにおける「実体ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる「ログＡ－２」に関する＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報がそれぞれ格納される。なお、「対象ログ」のフィールドにはヌルデータとされる。

【0129】

また、「異常ログ」ファイルのテーブルの第４行目のレコードには、ログ応答に含まれる実体ログ「ログＡ－４」についての参照情報が格納される。すなわち、このレコードにおける「実体ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる「ログＡ－３」に関する＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報がそれぞれ格納される。なお、「対象ログ」のフィールドにはヌルデータとされる。また、ログ応答に含まれる「ログＡ－４」の実体ログのデータファイルが、「異常ログ」と同一の「異常識別ｃ」ディレクトリに配置される。

【0130】

更に、「異常ログ」ファイルのテーブルの第５行目のレコードには、ログ応答に含まれる実体ログ「ログＡ－１」についての参照情報が格納される。すなわち、このレコードにおける「実体ログ」、「ログ終了日時」、「ログ開始日時」の各フィールドには、ログ応答に含まれる「ログＡ－１」に関する＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報がそれぞれ格納される。なお、「対象ログ」のフィールドにはヌルデータとされる。

【0131】

以上までに説明したログデータの保存動作の第１の例から第４の例のようにして作成される「異常ログ」ファイルのテーブルを参照することで、収集ログについてのログデータの実体の所在を知ることができる。また、以上のようにして作成されるログ参照情報ファイル１１を参照することで、保存部３０のストレージ３２に保存されているログデータの実体についての情報を得ることができる。

【0132】

次に、前述したログ保存装置１の各構成要素により行われる処理について、更に詳細に説明する。

【0133】

初めに、収集部１０により行われるデータ収集処理１１０について説明する。図９は、データ収集処理１１０の処理内容の一例を示すフローチャートである。

【0134】

図９の処理が開始されると、まず、Ｓ１１１において、対象システム２において作成されるログデータを収集する処理が行われる。次に、Ｓ１１２において、収集したログデータを、一時保存している当該ログデータについてのデータファイル（収集ログ）に追加する処理が行われる。Ｓ１１２の処理を終えると、データ収集処理１１０は一旦終了し、その後、このデータ収集処理１１０の実行が再度開始されて繰り返し実行される。

【0135】

以上までの処理がデータ収集処理１１０であり、この処理が、対象システム２において作成されるイベント毎のログデータのそれぞれについて行われる。

【0136】

次に、収集部１０により行われるログ更新処理１２０について説明する。図１０は、ログ更新処理１２０の処理内容の一例を示すフローチャートである。

【0137】

図１０の処理が開始されると、まず、Ｓ１２１において、この処理の実行時点の日時を現在日時として取得する処理が行われる。

【0138】

このＳ１２１の処理に続く、Ｓ１２２及びＳ１２３の処理は、収集部１０で一時保存されている各収集ログを対象として行われる処理である。

【0139】

まず、Ｓ１２２では、処理対象の収集ログから、Ｓ１２１の処理で取得した現在日時から予め指定された期間（例えば一ヶ月間など）の範囲から外れている古い日時のログデータを削除する処理が行われる。

【0140】

次にＳ１２３では、ログ参照情報ファイル１１における処理対象の収集ログについてのレコードのうちで、上記の範囲から外れている古い日時がログ開始日時のフィールドに示されているレコードを、ログ参照情報ファイル１１から削除する処理が行われる。

【0141】

その後、収集部１０で一時保存されている全ての収集ログに対して上述したＳ１２２及びＳ１２３の処理を終えると、ログ更新処理１２０は一旦終了し、その後、このログ更新処理１２０の実行が再度開始されて繰り返し実行される。

【0142】

以上までの処理がログ更新処理１２０である。

【0143】

次に、監視部２０により行われる異常イベント検出処理２００について説明する。図１１は、異常イベント検出処理２００の処理内容の一例を示すフローチャートである。

【0144】

この異常イベント検出処理２００では、Ｓ２０１からＳ２０３までの各処理が、収集部１０で一時保存されている各収集ログのそれぞれを対象として行われる。

【0145】

図１１の処理が開始されると、まず、Ｓ２０１では、処理対象の収集ログから、図９に例示したデータ収集処理１１０によって追加されたログデータを読み出して取得する処理が行われる。

【0146】

次に、Ｓ２０２では、Ｓ２０１の処理によって取得されたログデータにより表されている値が、予め指定されている対象システム２の正常動作時における値の範囲を外れているか否かを判定する処理が行われる。この処理は、対象システム２での異常動作のイベントの発生を検出する処理である。ここで、この判定の結果がＹＥＳのときにのみ、Ｓ２０３の処理が実行される。このＳ２０３では、この処理の実行時点の日時を異常検出日時とし、例えばこのときの対象の収集ログと取得したログデータにより表されている値とに応じて異常カテゴリを設定した、前述の異常通知を発行して保存部３０に送付する処理が行われる。

【0147】

その後、収集部１０で一時保存されている全ての収集ログに対して上述したＳ２０１からＳ２０３にかけての処理を終えると、異常イベント検出処理２００は一旦終了し、その後、この異常イベント検出処理２００の実行が再度開始されて繰り返し実行される。

【0148】

以上までの処理が異常イベント検出処理２００である。

【0149】

次に、保存部３０により行われるログ要求処理３００について説明する。図１２は、ログ要求処理３００の処理内容の一例を示すフローチャートである。

【0150】

このログ要求処理３００は、監視部２０から送付される異常通知を保存部３０が受け取ると開始される。

【0151】

まず、Ｓ３０１では、構成定義ファイル３１を参照して、受け取った異常通知に示されている異常カテゴリに対応付けられている収集ログ名と期間との情報を取得する処理が行われる。

【0152】

次に、Ｓ３０２では、受け取った異常通知に示されている異常検出日時の情報と、Ｓ３０１の処理により取得した収集ログ名と期間との情報とを設定した前述のログ要求を発行して収集部１０に送付する処理が行われる。

【0153】

次に、Ｓ３０３では、Ｓ３０２の処理により発行したログ要求に応じて保存部３０から送られてくる前述のログ応答を受信する処理が行われる。

【0154】

次に、Ｓ３０４では、Ｓ３０３の処理により受信したログ応答に含まれている実体ログをストレージ３２に保存する処理が行われる。この処理では、当該ログ応答に示されている異常識別を名称とするディレクトリをストレージ３２に作成し、当該ディレクトリの直下に、当該ログ応答に示されている保存実体ログ名で当該実体ログを格納する処理が行われる。

【0155】

次に、Ｓ３０５では、Ｓ３０３の処理により受信したログ応答に含まれている、ログ応答に含まれている収集ログ「ログＡ」についての参照情報を、前述した異常ログとして、Ｓ３０４の処理により作成したディレクトリの直下に配置して格納する処理が行われる。その後は、このログ要求処理３００が終了する。

【0156】

以上までの処理がログ要求処理３００である。

【0157】

次に、収集部１０により行われるログ応答処理４００について説明する。図１３は、ログ応答処理４００の処理内容の一例を示すフローチャートである。

【0158】

ログ応答処理４００は、保存部３０から送付されるログ要求を収集部１０が受け取ると開始される。このログ応答処理４００のうちのＳ４０１からＳ４０５までの各処理は、当該ログ要求に収集ログ名が示されている各収集ログのそれぞれを対象として行われる。

【0159】

図１３の処理が開始されると、まず、Ｓ４０１では、受け取ったログ要求に示されている、「開始日時」と処理対象の収集ログについての「期間」とから、収集ログについての「終了日時」を算出する処理が行われる。前述したように、「終了日時」は「開始日時」から「期間」だけ遡った日時である。

【0160】

次に、Ｓ４０２では、ログ要求に示されている情報と、Ｓ４０１の処理により算出した情報とから、ログ応答に含める収集ログの情報、すなわち、｛収集ログ名、終了日時、開始日時｝の情報を作成する処理が行われる。

【0161】

Ｓ４０３では、ログ要求に示されている「開始日時」を、日時を示す変数Ｓに代入する処理が行われる。

【0162】

Ｓ４０４では、ログ参照情報ファイル１１のテーブルに含まれているレコードのうちで、「ログ開始日時」が最新であるレコード、すなわち、「ログ開始日時」が最も後の日時を表しているレコードを、「参照レコード」として特定する処理が行われる。

【0163】

次に、Ｓ４０５において、実体ログ情報作成処理が行われる。この処理は、処理対象の収集ログについての「開始日時」の時点から「終了日時」の時点までの実体ログを特定し、当該実体ログに関する各種の情報の作成を行う処理である。なお、この処理は、Ｓ４０３の処理によって「開始日時」が代入された変数Ｓの値が、当該処理対象の収集ログについての「終了日時」となるまで繰り返し実行される。

【0164】

この実体ログ情報作成処理の詳細は後述する。

【0165】

Ｓ４０６では、Ｓ４０２の処理により作成した収集ログの情報と、Ｓ４０５の処理により作成した当該収集ログついての実体ログに関する各種の情報とを設定した前述のログ応答を発行して保存部３０に送付する処理が行われる。その後は、このログ応答処理４００が終了する。

【0166】

以上までの処理がログ応答処理４００である。

【0167】

次に、上述したログ応答処理４００におけるＳ４０５の処理である、実体ログ情報作成処理について更に説明する。図１４は、実体ログ情報作成処理の処理内容の一例を示すフローチャートである。

【0168】

まず、Ｓ４１１では、変数Ｓの値で示されている日時が、参照レコードにおける「ログ開始日時」から「ログ終了日時」までの期間内であるか否かを判定する処理が行われる。この判定処理において、変数Ｓが当該期間内であると判定されたとき（判定結果がＹＥＳのとき）にはＳ４１７に処理を進める。一方、この判定処理において、変数Ｓが当該期間を外れていると判定されたとき（判定結果がＮＯのとき）にはＳ４１２に処理を進める。

【0169】

Ｓ４１２では、処理対象の収集ログについての「終了日時」と、参照レコードにおける「ログ開始日時」とのうちで、後の方の日時、すなわち遅い方の日時を、日時を示す変数Ｅに代入する処理が行われる。

【0170】

Ｓ４１３では、変数Ｓで示される日時から変数Ｅで示される日時までの実体ログを、処理対象の収集ログであって収集部１０において一時保存されている当該収集ログから取得する処理が行われる。

【0171】

Ｓ４１４では、Ｓ４１３の処理によって取得した実体ログについての保存実体ログ名を作成する処理が行われる。この処理では、例えば、前述したように、収集ログ名の情報と一意の番号との組み合わせに、当該実体ログが配置される異常識別ディレクトリのディレクトリ名を更に組み合わせることによって保存実体ログ名が作成される。

【0172】

Ｓ４１５では、Ｓ４１３の処理によって取得した実体ログについての参照情報、すなわち、＜保存実体ログ名、ログ終了日時、ログ開始日時＞の組み合わせの情報を作成する処理が行われる。なお、保存実体ログ名はＳ４１４の処理により作成したものが用いられる。また、ログ終了日時及びログ開始日時は、この処理の実行時点における変数Ｅ及び変数Ｓのそれぞれの値が用いられる。

【0173】

Ｓ４１６では、この処理の実行時点における変数Ｅの値を変数Ｓに代入する処理が行われ、その後は、この実体ログ情報作成処理を一旦終了する。

【0174】

一方、Ｓ４１７では、参照レコードにおける「ログ終了日時」は、処理対象の収集ログについての「終了日時」よりも後の日時（遅い日時）であるか否かを判定する処理が行われる。この判定処理において、「ログ終了日時」が「終了日時」よりも後の日時であると判定されたとき（判定結果がＹＥＳのとき）にはＳ４１８に処理を進める。一方、この判定処理において、「ログ終了日時」が「終了日時」以前の日時であると判定されたとき（判定結果がＮＯのとき）にはＳ４２０に処理を進める。

【0175】

Ｓ４１８では、参照レコードに示されている実体ログについての参照情報をそのまま用いて、当該実体ログについての＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報を作成する処理が行われる。

【0176】

Ｓ４１９では、参照レコードにおける「ログ終了日時」を変数Ｓに代入する処理が行われ、その後はＳ４２２に処理を進める。

【0177】

一方、Ｓ４２０では、参照レコードに示されている実体ログについての参照情報と、処理対象の収集ログについての「終了日時」とを用いて、当該実体ログについての＜保存実体ログ名、ログ終了日時、ログ開始日時＞の情報を作成する処理が行われる。この処理では、実体ログについての「ログ終了日時」が、参照レコードに示されている「ログ終了日時」の代わりに、処理対象の収集ログについての「終了日時」が設定される。

【0178】

Ｓ４２１では、処理対象の収集ログについての「終了日時」を変数Ｓに代入する処理が行われ、その後はＳ４２２に処理を進める。

【0179】

Ｓ４２２では、ログ参照情報ファイル１１のテーブルに含まれているレコードのうちで、「ログ開始日時」が参照レコードの次に新しいレコードを、新たな「参照レコード」として特定する処理が行われ、その後は、この実体ログ情報作成処理を一旦終了する。

【0180】

以上までの処理が実体ログ情報作成処理である。

【0181】

以上までに説明した図９から図１４の各処理がログ保存装置１において行われることによって、対象システム２での異常動作のイベントの発生過程の解明に必要なログデータの重複保存が解消されるので、当該ログデータの保存量が削減される。

【0182】

次に、ログ保存装置１のストレージ３２に保存されたログデータを参照する手法について説明する。図１５は、ログ参照処理の処理内容の一例を示すフローチャートである。

【0183】

このログ参照処理の実行開始の指示には、前述した異常識別を指定する情報が含まれる。この実行開始の指示に応じて処理が開始されると、まず、Ｓ５０１では、ストレージ３２に格納されている「異常ログ」ファイルを読み込む処理が行われる。

【0184】

図４の例を用いて前述したように、ストレージ３２には「異常一覧」ディレクトリが設けられており、「異常一覧」ディレクトリの直下には「異常識別」ディレクトリが配置されており、この「異常識別」ディレクトリに「異常ログ」ファイルが配置されている。Ｓ５０１の処理では、実行開始の指示に含まれている情報で指定されている異常識別により「異常識別」ディレクトリが特定され、当該「異常識別」ディレクトリ配下の「異常ログ」ファイルの読み込みが行われる。

【0185】

次に、Ｓ５０１の処理により読み込まれた「異常ログ」ファイルに示されている対象ログ毎に、Ｓ５０２の処理が行われる。このＳ５０２では、「異常ログ」ファイルに示されている情報に従い、対象ログに対応付けられている実体ログの内容（ログデータ）を、直近のログ開始日時から日時順に遡りながら読み込んで出力する処理が行われる。

【0186】

その後、Ｓ５０１の処理により読み込まれた「異常ログ」ファイルに示されている全ての対象ログに対してＳ５０２の処理を終えると、このログ参照処理が終了する。

【0187】

以上までの処理がログ参照処理である。

【0188】

例えば、前述したログデータの保存動作の第４の例のようにしてログデータの保存が行われたことで、図８の［Ｂ］に例示されているようにログがストレージ３２で保存されている状況を想定する。この場合に、「異常識別ｃ」の指定を含むログ参照処理の実行開始の指示がなされると、Ｓ５０１の処理では、「異常識別ｃ」ディレクトリ配下の「異常ログ」ファイルが読み込まれる。そして、続くＳ５０２の処理では、当該「異常ログ」ファイルに示されている収集ログ「ログＡ」についての実体ログを読み込んで出力する処理が行われる。

【0189】

すなわち、最初に、「異常識別ｃ」フォルダに配置されている実体ログ「ログＡ－３」から、2023/01/01 12:00の時点から2023/01/01 10:00の時点までのログデータを読み込んで出力する処理が行われる。

【0190】

次に、「異常識別ｂ」フォルダに配置されている実体ログ「ログＡ－２」から、2023/01/01 10:00の時点から2023/01/01 07:00の時点までのログデータを読み込んで出力する処理が行われる。

【0191】

更に、「異常識別ｃ」フォルダに配置されている実体ログ「ログＡ－４」から、2023/01/01 07:00の時点から2023/01/01 04:00の時点までのログデータを読み込んで出力する処理が行われる。

【0192】

そして、最後に、「異常識別ａ」フォルダに配置されている実体ログ「ログＡ－１」から、2023/01/01 04:00の時点から2023/01/01 01:00の時点までのログデータを読み込んで出力する処理が行われる。

【0193】

以上のように、ログ保存装置１で保存されているログデータの参照を、このログ参照処理に従って行うようにすることで、重複保存がされていないログデータの参照が容易に行えるようになる。

【0194】

次に、ログ保存装置１のハードウェア構成について説明する。

【0195】

図１６は情報処理装置４０のハードウェア構成例を示している。この情報処理装置４０を用いてログ保存装置１を構成することが可能である。

【0196】

情報処理装置４０は、ＣＰＵ４１、メモリ４２、入力装置４３、表示装置４４、補助記憶装置４５、及び通信Ｉ／Ｆ４６の各構成要素を備えているコンピュータである。これらの構成要素はいずれも内部バス４７に接続されており、各構成要素間でデータの授受が可能であるように構成されている。なお、「ＣＰＵ」とはCentral Processing Unitの略語である。また、「Ｉ／Ｆ」とはInterfaceの略称である。

【0197】

ＣＰＵ４１は、例えば、メモリ４２を利用して所定のプログラムを実行することによって情報処理装置４０の各構成要素を制御して、ログ保存装置１の各構成要素の機能の提供を可能にする。

【0198】

入力装置４３は、例えば、指示の入力用のキーボードやポインティングデバイス等である。

【0199】

表示装置４４は、例えば、各種の情報の表示出力に用いられる。

【0200】

補助記憶装置４５は、例えばフラッシュメモリやハードディスクドライブである。補助記憶装置４５に各種のプログラム及びデータを格納しておき、それらを情報処理装置４０がメモリ４２にロードして使用することができる。

【0201】

通信Ｉ／Ｆ４６は、例えば、必要に応じてＣＰＵ４１から送られてくる指示に従い、不図示の通信ネットワークを介してデータを送受信する。

【0202】

情報処理装置４０を用いてログ保存装置１を構成する場合には、例えば、データ収集処理１１０、ログ更新処理１２０、異常イベント検出処理２００、ログ要求処理３００、及びログ応答処理４００の各処理をＣＰＵ４１に行わせる各種のプログラムを作成する。そして、作成した各種のプログラムを補助記憶装置４５に予め格納しておき、これらのプログラムをメモリ４２にロードしてＣＰＵ４１に実行させるようにする。このようにすることで、収集部１０、監視部２０、及び保存部３０としての機能をＣＰＵ４１が提供するようになる。この場合、補助記憶装置４５は、ログ参照情報ファイル１１及び構成定義ファイル３１を保持し、収集部１０が対象システム２から収集したログデータを一時保存する。更に、補助記憶装置４５は、ストレージ３２としての機能を提供する。また、通信Ｉ／Ｆ４６は、通信ネットワーク３とのインタフェース機能を提供し、対象システム２との間での各種のデータの授受の管理を行う。

【0203】

なお、情報処理装置４０を用いてログ保存装置１を構成する場合、情報処理装置４０が図１６に示されている全ての構成要素を含む必要はなく、用途又は条件に応じて一部の構成要素を省略してもよい。

【0204】

また、図１５に処理内容を示したログ参照処理を情報処理装置４０に行わせるようにしてもよい。このためには、例えば、ログ参照処理をＣＰＵ４１に行わせるプログラムを補助記憶装置４５に予め格納しておき、このプログラムをメモリ４２にロードしてＣＰＵ４１に実行させるようにする。この場合に、例えば、図１５のＳ５０２の処理において、ログデータの内容を表示装置４４での表示により出力するようにしてもよい。

【0205】

以上、開示の実施形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。

【符号の説明】

【0206】

１ ログ保存装置
２ 対象システム
３ 通信ネットワーク
１０ 収集部
１１ ログ参照情報ファイル
２０ 監視部
３０ 保存部
３１ 構成定義ファイル
３２ ストレージ
１１０ データ収集処理
１２０ ログ更新処理
２００ 異常イベント検出処理
３００ ログ要求処理
４００ ログ応答処理

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】