特許 7524596 ログ解析装置、ログ解析システム及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-22

(45)【発行日】2024-07-30

(54)【発明の名称】ログ解析装置、ログ解析システム及びプログラム

(51)【国際特許分類】

   G06F 11/34 20060101AFI20240723BHJP

【ＦＩ】

G06F11/34 176

【請求項の数】 3

(21)【出願番号】P 2020083478

(22)【出願日】2020-05-11

(65)【公開番号】P2021093112

(43)【公開日】2021-06-17

【審査請求日】2023-02-27

(31)【優先権主張番号】P 2019215736

(32)【優先日】2019-11-28

(33)【優先権主張国・地域又は機関】JP

(73)【特許権者】

【識別番号】000006747

【氏名又は名称】株式会社リコー

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(72)【発明者】

【氏名】高杉 大輔

【審査官】北川 純次

(56)【参考文献】

【文献】特開２０１６－０１４９８０（ＪＰ，Ａ）

【文献】特開２００２－１０８６５９（ＪＰ，Ａ）

【文献】特開平１１－２７２５１３（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １１／３４

(57)【特許請求の範囲】

【請求項1】

機器の動作状態を示す情報であるログデータを取得する取得部と、
入力装置を介したユーザによる入力を受け付ける入力受付部と、
前記入力受付部が受け付けた前記入力に基づいて、所定の条件を設定する設定部と、
前記設定部が設定した前記所定の条件に基づいて、前記取得部が取得した前記ログデータを複数の要素に分ける解析部と、
を備え、
前記設定部は、
前記ログデータを出力する複数のアプリケーションのそれぞれに対して、前記所定の条件を設定し、
前記複数のアプリケーションの前記所定の条件の紐付けを行い、
前記解析部は、前記複数のアプリケーションのログをまとめて解析する、
ログ解析装置。

【請求項2】

機器の動作状態を示す情報であるログデータを出力する情報処理装置と、前記ログデータを解析するログ解析装置を有するログ解析システムであって、
前記情報処理装置は、
前記ログ解析装置へ前記ログデータを送信する送信部を備え、
前記ログ解析装置は、
前記ログデータを取得する取得部と、
入力装置を介したユーザによる入力を受け付ける入力受付部と、
前記入力受付部が受け付けた前記入力に基づいて、所定の条件を設定する設定部と、
前記設定部が設定した前記所定の条件に基づいて、前記取得部が取得した前記ログデータを複数の要素に分ける解析部と
を備え、
前記設定部は、
前記ログデータを出力する複数のアプリケーションのそれぞれに対して、前記所定の条件を設定し、
前記複数のアプリケーションの前記所定の条件の紐付けを行い、
前記解析部は、前記複数のアプリケーションのログをまとめて解析する、
ログ解析システム。

【請求項3】

ログ解析装置に、
機器の動作状態を示す情報であるログデータを取得する取得手順と、
入力装置を介したユーザによる入力を受け付ける入力受付手順と、
前記入力受付手順で受け付けた前記入力に基づいて、所定の条件を設定する設定手順と、
前記設定手順で設定した前記所定の条件に基づいて、前記取得手順で取得した前記ログデータを複数の要素に分ける解析手順と、
を実行させ、
前記設定手順は、
前記ログデータを出力する複数のアプリケーションのそれぞれに対して、前記所定の条件を設定し、
前記複数のアプリケーションの前記所定の条件の紐付けを行い、
前記解析手順は、前記複数のアプリケーションのログをまとめて解析する、
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ログ解析装置、ログ解析システム及びプログラムに関する。

【背景技術】

【0002】

従来、情報処理において、エラー等が発生したことを記録するデータを保存する方法が知られている。

【0003】

具体的には、まず、複数のモジュールに対して、それぞれのログデータを生成するロガーが配置される。そして、それぞれのロガーは、モジュールごとに、それぞれのログデータを生成する。ゆえに、全体として、複数種類のログデータが生成される。そして、生成される複数種類のログデータをまとめて、出力ログを生成することで、ログデータの確認をする手間を軽減させる方法が知られている（例えば、特許文献１等を参照）。

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、従来の方法では、あらかじめサポートできる範囲内、すなわち、特定のアプリケーションが出力するフォーマットのログを取りまとめているに過ぎない。そのため、従来の方法では、サポートされていないアプリケーションのログデータは、扱うことができない場合が多い。一方で、ログデータは、アプリケーション等のソフトウェアの種類、開発の時期、ベンダー、担当者又は情報処理装置等が異なると、フォーマットが異なる場合がある。このようにフォーマットが変わると、ログデータを解析できない場合がある。すなわち、従来の方法では、特定のアプリケーションが特定のフォーマットで出力するログデータとは異なるフォーマットのログデータを解析できず、ログデータを解析する人が直接ログをみることで解析することとなり、手間がかかる。

【0005】

本発明の一態様は、様々なフォーマットのログデータを解析する手間を軽減させることを目的とする。

【課題を解決するための手段】

【0006】

本発明の一実施形態による、ログ解析装置は、機器の動作状態を示す情報であるログデータを取得する取得部と、入力装置を介したユーザによる入力を受け付ける入力受付部と、前記入力受付部が受け付けた前記入力に基づいて、所定の条件を設定する設定部と、前記設定部が設定した前記所定の条件に基づいて、前記取得部が取得した前記ログデータを複数の要素に分ける解析部と、を備え、前記設定部は、前記ログデータを出力する複数のアプリケーションのそれぞれに対して、前記所定の条件を設定し、前記複数のアプリケーションの前記所定の条件の紐付けを行い、前記解析部は、前記複数のアプリケーションのログをまとめて解析する。

【発明の効果】

【0007】

本発明の実施形態によって、様々なフォーマットのログデータを解析する手間を軽減できる。

【図面の簡単な説明】

【0008】

【図1】ログ解析装置のハードウェア構成例を示す図である。

【図2】ログ解析装置の機能構成例を示す図である。

【図3】出力装置に表示されている画面の一例を示す第１の図である。

【図4】ログの例を示す図である。

【図5】出力装置に表示されている画面の一例を示す第２の図である。

【図6】出力装置に表示されている画面の一例を示す第３の図である。

【図7】出力装置に表示されている画面の一例を示す第４の図である。

【図8】出力装置に表示されている画面の一例を示す第５の図である。

【図9】解析及び出力の例を示す図である。

【図10】解析結果例を示す第１の図である。

【図11】解析結果例を示す第２の図である。

【図12】解析結果例を示す第３の図である。

【図13】全体の処理の概要例を示す図である。

【図14】処理の流れを説明するフローチャートである。

【図15】解析の対象例を示す図である。

【図16】第２の実施形態におけるログ解析装置の機能構成例を示す図である。

【図17】入力受付部が、複数のアプリケーションのログデータを解析する際に参照する条件の入力を受け付ける画面の一例を示す図である。

【図18】ユーザが、複数のアプリケーションの解析条件の紐づけを行う際の画面の一例を示す図である。

【図19】複数のアプリケーションのログをまとめて解析した結果を出力する出力条件を設定する画面の一例を示す図である。

【図20】図１９の出力条件を設定する画面例にてユーザにより入力された出力条件に基づいて、出力したログデータの解析結果例を示す図である。

【発明を実施するための形態】

【0009】

以下、発明を実施するための最適な形態について、図面を参照して説明する。

【0010】

＜第１の実施形態＞
＜ログ及びログデータについて＞
以下の説明では、「ログ」とは、アプリケーションや情報処理装置にどのようなイベントが起こったかを示す記録をいう。そして、ログは、人が識別できるものをいう。

【0011】

また、「ログデータ」は、ログを示すデータをいう。また、ログデータは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等の演算装置が処理する対象である。

【0012】

ログデータは、例えば、テキスト又はＣＳＶ等のデータ形式である。なお、ログデータは、表計算ソフト又はデータベースソフト等のソフトウェアで開く形式でもよい。

【0013】

＜ログ解析装置のハードウェア構成例＞
図１は、ログ解析装置のハードウェア構成例を示す図である。図示するように、ログ解析装置１００は、ＣＰＵ１０１、ＲＯＭ１０２、ＲＡＭ１０３、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）／ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）１０４、Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）１０５、入力装置１０６、出力装置１０７を有する。

【0014】

ＣＰＵ１０１は、ＲＡＭ１０３を作業領域として利用し、ＲＯＭ１０２又はＨＤＤ／ＳＳＤ１０４に格納されているプログラムを実行する。

【0015】

ＨＤＤ／ＳＳＤ１０４は、ＣＰＵ１０１が実行するプログラムや、プログラム実行時に利用する様々な情報を格納する。

【0016】

Ｉ／Ｆ１０５は、ログ解析装置１００と、他の装置とを接続し、通信可能にするインターフェースである。

【0017】

入力装置１０６は、ユーザがログ解析装置１００へ入力を行う際に利用するマウスやキーボード等の装置である。

【0018】

出力装置１０７は、液晶ディスプレイ（ＬＣＤ）等のユーザに情報を表示又は提示する装置である。

【0019】

なお、ハードウェア構成は、図示する構成に限られず、ログ解析装置１００は、さらにＣＰＵ、ＲＯＭ、ＲＡＭ、ＨＤＤ／ＳＳＤ、Ｉ／Ｆ、入力装置、出力装置等のハード構成を有してもよい。

【0020】

＜ログ解析装置の機能構成例＞
図２は、ログ解析装置１００の機能構成例を示す図である。図示するように、ログ解析装置１００は、取得部２０１、入力受付部２０２、設定部２０３、解析部２０４及び表示制御部２０５を備える機能構成である。

【0021】

取得部２０１、入力受付部２０２、設定部２０３、解析部２０４及び表示制御部２０５は、ＣＰＵ１０１がＲＯＭ１０２に格納されているプログラムを実行することにより実現される。なお、これに限られず、専用回路により各機能を実現させてもよい。

【0022】

取得部２０１は、アプリケーションや情報処理装置等が出力したログデータを取得する。また、取得部２０１は、取得したログデータを、後述の解析部２０４へ出力する。

【0023】

入力受付部２０２は、ユーザによるマウスやキーボード等の入力装置を介した入力を受け付ける。また、入力受付部２０２は、受け付けた入力を設定部２０３へ出力する。

【0024】

設定部２０３は、入力受付部２０２から受け取った入力に基づいて、後述の解析部２０４がログデータを解析する際に参照する条件（すなわち、解析条件の一例となる。）や、後述の表示制御部２０５が解析部２０４の解析結果を表示する際に参照する条件（すなわち、出力条件の一例となる。）を設定する。また、設定部２０３は、設定した条件を、記憶部の一例であるＨＤＤ／ＳＳＤ１０４が記憶しているデータベース（ＤＢ）に格納する、又は、解析部２０４若しくは表示制御部２０５へ出力する。

【0025】

解析部２０４は、データベースに格納されている解析条件又は設定部２０３から受け取った解析条件に基づいて、取得部２０１から受け取ったログデータの解析を行う。また、解析部２０４は、解析した結果である解析結果を表示制御部２０５へ出力する。

【0026】

表示制御部２０５は、データベースに格納されている出力条件又は設定部２０３から受け取った出力条件に基づいて、解析部２０４から受け取った解析結果を表示部に表示させる制御を行う。

【0027】

図３は、出力装置に表示されている画面の一例を示す第１の図である。以下、入力受付部２０２は、図示するような画面に対して入力される操作を受け付ける例とする。入力されたログデータに対して、例えば、以下のようにルールを設定することで、ログデータのどのカラムを何と認識するか等が定まる。例えば、図示するようなＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を用いて、ユーザが入力を行うと、ＣＰＵ１０１側にルールが設定される。なお、ＧＵＩは、図示するような配置及び種類でなくともよい。

【0028】

まず、図示する例では、ログデータが入力されると、ログデータが示すログが、図示するような形式で表示される。具体的には、ログデータが示す内容が、画面上にログＬＧのように表示される。すなわち、この例では、表示されるログＬＧを示すログデータが、解析の対象となることを示す。

【0029】

例えば、解析を行うのに、以下のような第１解析ルール入力部ＡＮ１及び第２解析ルール入力部ＡＮ２等のＧＵＩを用いて、ユーザが操作を行う。なお、ユーザによる操作の入力は、図示するように、チェックボックス及びテキストボックス等のＧＵＩを用いる態様に限られず、他のＧＵＩ又はコマンド入力等でもよい。

【0030】

図における第１解析ルール入力部ＡＮ１のＧＵＩには、１ラインを区切る、すなわち、どこからどこまでが１つのイベントであるかが入力される。具体的には、例えば、図示するように、「改行」を選択するように操作されるとする。このような操作が行われると、設定部２０３は、ログデータ内に存在する改行を目印にして、１ラインが１つのイベントについてのログであると、ログ解析装置が認識するように設定する。

【0031】

なお、図における「行頭キーワード」のテキストボックスに、「改行」以外の文字又は数値等を入力する操作が行われてもよい。このような操作が行われると、設定部２０３は、操作で入力された文字又は数値等を目印にして、ログデータ内に存在する目印の文字又は数値ごとに、１つのイベントについてのログであるとログ解析装置が認識するように設定する。

【0032】

また、図における「カラム数設定」のテキストボックスには、１ラインにおける要素の数が入力される。具体的には、図示するように、「６」という数値を入力する操作が行われると、設定部２０３は、「Ａ」乃至「Ｆ」の６つの要素で１ラインが構成されているとログ解析装置が認識するように設定する。

【0033】

図における第２解析ルール入力部ＡＮ２のＧＵＩには、カラム、すなわち、１ラインを構成する要素を区切る文字等の目印を選択する操作が入力される。具体的には、図示するように、「スペース」を目印にするように選択する操作が行われると、設定部２０３は、ログデータ内に存在する１ラインにおいてスペースがあるごとに、１つの要素であると、ログ解析装置が認識するように設定する。

【0034】

図示するように、各要素を区切る文字等は、「タブ」、「セミコロン」、「カンマ」又は「その他」の文字等を目印としてもよい。また、図示するように、各要素を区切る文字等は、「文字数」に設定される文字数を目印にしてもよい。このように、ユーザが、イベント及び要素を区切る目印を選択する操作ができるのが望ましい。

【0035】

このように、第１解析ルール入力部ＡＮ１及び第２解析ルール入力部ＡＮ２等のＧＵＩを用いると、フォーマットの変更により、１ラインの区切り、又は、要素の区切りとなる目印が異なる文字等に変えられても、ユーザは、目印を変更する操作を行うことができる。このような操作が行われると、設定部２０３は、１ライン及び１要素をログ解析装置が認識できるように設定できる。

【0036】

また、画面には、図示するように、プレビューＰＶが表示されてもよい。図示する例は、第１解析ルール入力部ＡＮ１及び第２解析ルール入力部ＡＮ２に入力された操作に基づいて設定が行われた場合、ログＬＧに含まれる各要素を区切った場合の例を示す。このようなプレビュー結果に対して、各要素の形式等を定義できるのが望ましい。

【0037】

図における定義入力ボックスＳＥのＧＵＩには、各要素のデータ形式が入力される。図示する例は、定義入力ボックスＳＥに、「Ａ」、すなわち、１ラインにおける最初の要素を「日付」とするように入力した操作が行われた例を示す。このように、定義入力ボックスＳＥのＧＵＩによって、データ形式等が入力されると、設定部２０３は、ログ解析装置が各要素のデータ形式を認識できるように設定する。例えば、同じデータ形式の要素であれば、ログ解析装置は、同じ内容を示すと認識できるため、異なるログデータの間であっても、同じデータ形式の要素を照合、比較又は参照することができる。

【0038】

具体的には、同じ日付を含むログであっても、一方では、日付は、年を下２桁で示すのに、他方では、日付は、４桁で示すような場合等がある。このような場合であっても、設定部２０３が定義を設定すると、ログ解析装置が「１８」と「２０１８」とを同じ年であると認識できる。

【0039】

図４は、ログの例を示す図である。

【0040】

例えば、ログデータには、時系列となるように、イベント等が記憶される。このようなログデータに基づいて、例えば、ログＬＧ（図では、上から下に向かって時間が経つ順にデータが記憶される例である。）が画面に表示される。

【0041】

この例は、１ラインＬＮが１つのイベントとなるようにログデータに記憶される例である。なお、イベントは、あらかじめ設定される。具体的には、イベントは、ハードウェア又はソフトウェアにおける処理の開始、終了等を示す。また、イベントは、ハードウェア又はソフトウェア等に発生するエラー等を示す。そして、１ラインＬＮは、例えば、以下のような構成要素で構成される。

【0042】

第１要素Ｃ１は、イベントが発生した日時を示す。

【0043】

第２要素Ｃ２は、イベントが発生した時刻を示す。

【0044】

第３要素Ｃ３は、イベントに関する情報を１６進数の数値で示す。

【0045】

第４要素Ｃ４は、イベントに関する情報を１０進数の数値で示す。

【0046】

第５要素Ｃ５は、イベントの種類を文字で示す。例えば、第５要素Ｃ５は、「Ｅ」であると「Ｅｒｒｏｒ」であることを示す。ほかにも、第５要素Ｃ５は、「Ｉ」であると「Ｉｎｆｏｒｍａｔｉｏｎ」であることを示す。

【0047】

第６要素Ｃ６は、イベントの内容等を文字で示す。

【0048】

例えば、第１要素Ｃ１及び第２要素Ｃ２は、イベントが発生した時点で時刻を取得すると生成できる。また、第１要素Ｃ１及び第２要素Ｃ２は、１つの要素になってもよいし、日付又は時刻だけという構成でもよい。

【0049】

第３要素Ｃ３、第４要素Ｃ４、第５要素Ｃ５及び第６要素Ｃ６等は、イベントの内容、イベントが発生したハードウェア、イベントが発生したソフトウェア又はこれらの組み合わせ等を示す。また、第３要素Ｃ３及び第４要素Ｃ４のように、数値で示すような構成でもよい。この数値がどういった意味を示すかは、あらかじめ定義される。したがって、数値が分かれば、ログ解析装置は、イベントが発生した位置又はイベントの種類等を認識できる。

【0050】

また、解析部２０４でログデータを解析するには、例えば、画面上で以下のような操作が行われる。

【0051】

図５は、出力装置に表示されている画面の一例を示す第２の図である。例えば、画面ＰＮには、選択画面ＳＥＬ等のＧＵＩがある。図示する画面ＰＮでは、選択画面ＳＥＬ等のＧＵＩには、解析の種類を指定する操作が行われる。

【0052】

以下、図示するようなＧＵＩでユーザが操作を行う場合の例を説明する。

【0053】

図６は、出力装置に表示されている画面の一例を示す第３の図である。例えば、所定のイベントが開始されてから終了するまでの時間を計測する解析を行う場合には、ユーザは、画面ＰＮに、図示するように入力する。

【0054】

開始条件入力部ＩＮＳのＧＵＩには、図示するように、解析の対象とする要素を入力する「対象カラム」のテキストボックスと、対象とするイベントを特定する「条件」のテキストボックスに、文字等が入力される。そして、特定の処理等の開始を示すイベント（以下「開始イベント」という。）は、開始条件入力部ＩＮＳ等に入力される内容に基づいて定義される。このような操作が行われると、設定部２０３は、定義に基づいて、ログ解析装置が開始イベントを認識するように設定する。

【0055】

同様に、終了条件入力部ＩＮＥのＧＵＩには、「対象カラム」のテキストボックスと、「条件」のテキストボックスとに、文字等が入力される。そして、処理等の終了を示すイベント（以下「終了イベント」という。）は、終了条件入力部ＩＮＥ等に入力される内容に基づいて定義される。このような操作が行われると、設定部２０３は、定義に基づいて、ログ解析装置が終了イベントを認識するように設定する。

【0056】

このように、設定部２０３によってログ解析装置が開始イベント及び終了イベントを認識するように設定がされると、ログ解析装置は、開始イベントをトリガにイベントが発生している時間の計測を開始し、かつ、終了イベントをトリガに処理が行われている等の該当イベントが発生している時間の計測を終了する。

【0057】

図７は、出力装置に表示されている画面の一例を示す第４の図である。例えば、所定のイベントが所定の時間内に発生する回数をカウントする解析を行う場合には、ユーザは、画面ＰＮに、図示するように入力する。

【0058】

まず、画面ＰＮには、カウント入力部ＳＣＮによって、所定のイベントが所定の時間内に発生する回数をカウントする解析を行うように選択する入力が行われる。このように、カウント入力部ＳＣＮのチェックボックスがチェックされると、以下のように、画面ＰＮには、イベントをカウントする解析の条件等が入力可能となる。

【0059】

計測時間単位入力部ＩＮＴＭのテキストボックスには、図示するように、解析の対象とする時間単位を示す数値等が入力される。具体的には、図示するように、計測時間単位入力部ＩＮＴＭに、「１ｈ（１時間）」と入力する操作が行われると、設定部２０３は、ログ解析装置が１時間ごとに区切ってカウント値を出力するように設定する。

【0060】

同様に、対象入力部ＩＮＴＧは、「対象カラム」のテキストボックスと、「条件」のテキストボックスとで構成される。「対象カラム」のテキストボックスには、時間計測の場合と同様に、対象とする要素を特定する文字等が入力される。また、「条件」のテキストボックスには、抽出する所定条件が入力される。具体的には、図示するように、対象入力部ＩＮＴＧに「＝"Ｅ"」と入力すると、「Ｅ」のカラム（すなわち、図３に示す「Ｅ」のカラムであって、図４における左から５カラム目である。）が「Ｅ」という入力値であると、設定部２０３は、ログ解析装置が所定条件と一致すると判断するように設定する。

【0061】

以下、このように、ルールで定まる所定条件を満たすイベントのうち、単位時間あたりに発生した回数のカウント対象、又は、カウントの対象となるイベントを「カウントイベント」という。そして、上記の例では、「Ｅ」のカラムが「Ｅ」であるカウントイベントがあると、設定部２０３は、ログ解析装置がカウントアップを行うように設定する。また、単位時間あたりで回数を特定する場合には、設定部２０３は、カウントが時間単位ごとにリセットされるように設定する。一方で、カウントする時間が特に定められない場合には、設定部２０３は、全体を通してカウントイベントがカウントされるように設定する。

【0062】

したがって、設定部２０３は、ログ解析装置が、計測時間単位入力部ＩＮＴＭのテキストボックスに入力される時間単位ごとに、対象入力部ＩＮＴＧに入力される所定条件を満たすイベントが発生した回数をカウントするように設定する。

【0063】

図８は、出力装置に表示されている画面の一例を示す第５の図である。例えば、所定のイベントが所定の時間内に発生した回数をカウントする解析を行う場合には、ユーザは、画面ＰＮに、図示するように入力する。

【0064】

まず、画面ＰＮにおいて、時間抽出入力部ＳＴＧがチェックされると、以下のように、イベントが発生した時間に関する解析の入力が可能となる。

【0065】

対象抽出イベント入力部ＩＮＩＶは、「対象カラム」のテキストボックスと、「条件」のテキストボックスとで構成される。「対象カラム」のテキストボックスには、時間計測の場合等と同様に、対象とする要素を特定する文字等が入力される。「条件」のテキストボックスには、抽出する所定条件を示す文字等が入力される。具体的には、図示するように、対象抽出イベント入力部ＩＮＩＶに「＝"更新の適用がキャンセルされました。"」と入力すると、「Ｆ」のカラム（すなわち、図３に示す「Ｆ」のカラムであって、図４における左から６カラム目である。）が「更新の適用がキャンセルされました。」という入力値であると、設定部２０３は、ログ解析装置が所定条件と一致する入力値と判断するように設定する。

【0066】

以下、このように、ルールで定まる所定条件を満たすイベントのうち、時刻を解析する対象となるイベントを「抽出イベント」いう。

【0067】

したがって、設定部２０３は、ログ解析装置が、対象抽出イベント入力部ＩＮＩＶに設定される所定条件を満たした抽出イベントが発生した時点を特定するように設定する。

【0068】

図３、図４、図５、図６、図７、及び、図８に示したように、設定部２０３は、入力受付部２０２から受け取った入力に基づいて、所定の条件を設定する。次に、設定部２０３は、設定した所定の条件をデータベース（ＤＢ）に格納する。

【0069】

例えば、ログ解析装置は、以下のように解析及び出力を行うことができる。

【0070】

図９は、解析及び出力の例を示す図である。例えば、解析結果ＤＴ、すなわち、ログを解析すると、例えば、第１出力ルールＲＬ２１のようなログを抽出して、第１出力データＤＥ１を生成できる。

【0071】

解析部２０４は、第１出力ルールＲＬ２１に基づいて、図示するように、「ソフトＡＡＡ」というツールが開始されてから終了するまでの時間を計測する。そして、「ソフトＡＡＡ」が開始及び終了するというイベントが複数回ある場合には、複数の計測結果を示す一覧が生成される。このような一覧が、表示制御部２０５によって、表示部に表示される。

【0072】

具体的には、ログデータを解析して、「ソフトＡＡＡを開始しました。」というイベントが抽出されると、解析部２０４は、この時点を「ソフトＡＡＡの開始」の時点とする。次に、「ソフトＡＡＡを終了しました。」というイベントが抽出されると、解析部２０４は、この時点を「ソフトＡＡＡの終了」の時点とする。そして、解析部２０４は、「ソフトＡＡＡの開始」から「ソフトＡＡＡの終了」までの時間を計算すると、１つの「ソフトＡＡＡ」の稼働時間を算出できる。

【0073】

解析部２０４は、第２出力ルールＲＬ２２に基づいて、図示するように、「５カラム目（図３に示す例では、「Ｅ」のカラムとなる。）」に、「Ｅ」が出現する回数の一覧を生成する。このような一覧が、表示制御部２０５によって、表示部に表示される。

【0074】

具体的には、解析部２０４は、設定された時間内に、「Ｅ」、すなわち、エラーが発生した回数をカウントする。このように、エラーの回数等をカウントできると、アプリケーション等を実行中にエラーの有無又はエラーの発生頻度等を特定することができる。

【0075】

解析部２０４は、第３出力ルールＲＬ２３に基づいて、所定条件に定めるイベントの例である「更新の適用がキャンセルされました。」というイベントが発生した時刻の一覧を生成する。このような一覧が、表示制御部２０５によって、表示部に表示される。

【0076】

具体的には、解析部２０４は、「更新の適用がキャンセルされました。」というイベントを認識すると、認識したイベントが発生した時点を示す時刻等を一覧にして表示する。このように、所定のイベントが発生した時点を特定できると、いつイベントが発生したかが分かりやすく、デバック等が行いやすい。

【0077】

例えば、解析部２０４は、図１５に示す第１３イベントＩＶ１３により、「管理ソフト」の開始を認識する。

【0078】

このような結果の一覧が生成されると、例えば、以下のような表示が表示部にされる。

【0079】

図１０は、解析結果例を示す第１の図である。

【0080】

解析部２０４が、図１５に示すログを図５のように入力したルールに基づいて解析すると、表示制御部２０５は、表示部に、例えば、図示するような第１解析結果ＲＳ１を表示する。

【0081】

図示するように、第１１イベントＩＶ１１により、開始時刻ＲＳ１１が出力される。また、第１２イベントＩＶ１２により、終了時刻ＲＳ１２が出力される。このように抽出される開始時刻ＲＳ１１及び終了時刻ＲＳ１２の差を計算すると、経過時間ＲＳ１３が算出される。すなわち、表示部には、「管理ソフト」による処理のイベントが行われていた時間を示す経過時間ＲＳ１３が表示される。

【0082】

なお、解析結果には、グラフ等が含まれて出力されるのが望ましい。すなわち、グラフ等により、視覚的に分かりやすい形式で解析結果が出力されると、開発者以外のような専門知識のない者等でも、解析結果が分かりやすい。

【0083】

また、解析結果には、統計値等が含まれて出力されるのが望ましい。すなわち、複数の経過時間等がある場合には、平均値、標準偏差、中央値又は分散等の統計値が出力されると、性能等の解析が容易になる。

【0084】

図１１は、解析結果例を示す第２の図である。

【0085】

解析部２０４が、図１５に示すログを図７のように入力したルールに基づいて解析すると、表示制御部２０５は、表示部に、例えば、図示するような第２解析結果ＲＳ２を表示する。

【0086】

また、図１５に示すログを用いると、解析部２０４は、第２１イベントＩＶ２１を「Ｅ」が出力されるイベントと認識する。さらに、解析部２０４は、第２１イベントＩＶ２１を時点ＬＧＴが示すように、「０９：１４：０７」の時刻に発生しているイベントと認識する。したがって、解析部２０４は、第２１解析結果ＲＳ２１が示すように、第２１イベントＩＶ２１を「０９：００」から１時間の間に発生したイベントとしてカウントする。このように、解析部２０４は、「Ｅ」のイベントを「０９：００」から１時間の間に、１つしか発生していないと認識するため、表示制御部２０５は、表示部に、「件数」を「１」とする第２１解析結果ＲＳ２１を表示する。

【0087】

同様に、表示制御部２０５は、表示部に、「件数」を「０」とする第２２解析結果ＲＳ２２を表示する。図１５に示すログを用いると、解析部２０４は、第３１イベントＩＶ３１を「１０：００」から１時間の間に発生したイベントと認識する。そして、解析部２０４は、第３１イベントＩＶ３１が「Ｅ」でないと認識するため、解析部２０４は、カウントしない。したがって、表示制御部２０５は、表示部に、「件数」が「０」となる第２２解析結果ＲＳ２２を表示する。

【0088】

なお、解析結果には、グラフ等が含まれて出力されるのが望ましい。すなわち、グラフ等により、視覚的に分かりやすい形式で解析結果が出力されると、開発者以外のような専門知識のない者等でも、解析結果が分かりやすい。

【0089】

また、このようにエラーの発生等を統計処理して出力できるのが望ましい。このようにエラーの発生を特定しやすいと、エラーの原因となる処理等を特定してトレースするのが容易にできる。

【0090】

図１２は、解析結果例を示す第３の図である。

【0091】

解析部２０４が、図１５に示すログを図８のように入力したルールに基づいて解析すると、表示制御部２０５は、表示部に、例えば、図示するような第３解析結果ＲＳ３を表示する。

【0092】

また、図１５に示すログを用いると、解析部２０４は、第３１イベントＩＶ３１を「更新の適用がキャンセルされました。」が出力されるイベントと認識する。そして、解析部２０４は、第３１イベントＩＶ３１が発生した時点を時点ＬＧＴが示すように、「１８／０８／２３」の「１０：０１：４９」と認識する。

【0093】

その結果、表示制御部２０５は、表示部に、時点ＬＧＴが示す時点を「日付」及び「時刻」を第３１解析結果ＲＳ３１のように表示する。

【0094】

＜全体処理例＞
図１３は、全体の処理の概要を示す図である。以下、図示するように、アプリケーションＡＰによって、ログデータＬＧＤを生成する例で説明する。

【0095】

なお、ログデータＬＧＤは、アプリケーションが生成するに限られない。例えば、ログデータＬＧＤは、電子回路等の装置に生成されてもよいし、ミドルウェア等が生成してもよい。以下、図示するように、１つのアプリケーションが、ログデータＬＧＤを１つ生成する場合を例に説明する。

【0096】

ただし、ログデータＬＧＤは、フォーマット等が場合によって異なるとする。したがって、同様の内容を示すログデータＬＧＤであっても、異なるフォーマットで作成したログデータＬＧＤが入力される。

【0097】

図示するように、設定部２０３は、例えば、ログデータＬＧＤに対して解析ルールＲＬ１を設定する。そして、解析ルールＲＬ１に基づいて解析部２０４は、解析を行い、ログデータを複数の要素に分けて解析結果ＤＴを生成する。このように、設定部２０３が、ログデータＬＧＤを解析するルールを設定すると、どのようなフォーマットであっても、ログデータＬＧＤをどのように複数の要素に分けるかが把握できる。

【0098】

この解析結果ＤＴに基づいて、出力データが生成される。このように出力データを生成するには、図示するように、あらかじめ出力ルールが設定される。例えば、４通りの出力データを生成するには、４つの出力ルールが設定される。

【0099】

以下、設定部２０３によって設定される第１出力ルールＲＬ２１に基づいて第１出力データＤＥ１が出力されるとする同様に、設定部２０３によって設定される第２出力ルールＲＬ２２に基づいて第２出力データＤＥ２が出力され、設定部２０３によって設定される第３出力ルールＲＬ２３に基づいて第３出力データＤＥ３が出力される。さらに、設定部２０３によって設定される第４出力ルールＲＬ２４に基づいて第４出力データＤＥ４が出力される。

【0100】

図１４は、処理の流れを説明するフローチャートである。

【0101】

ステップＳ１では、設定部２０３は、ルールを設定する。例えば、設定部２０３は、ログデータを解析する上で、ログデータを構成する要素及びイベントを認識させるルール（以下「解析ルール」という。）を設定する。また、設定部２０３は、解析結果の内容及び出力する形式等を設定するルール（以下「出力ルール」という。）等の設定も行ってよい。以下、解析ルール及び出力ルールがどちらも設定される場合を例に説明する。

【0102】

ステップＳ２では、取得部２０１は、ログデータを取得する。

【0103】

ステップＳ３では、解析部２０４は、ログデータを解析する。すなわち、解析部２０４は、設定ルールに基づいてステップＳ２で入力されるログデータを解析する。

【0104】

ステップＳ４では、出力部は、出力データを出力する。すなわち、出力部は、出力ルール等で設定される形式で解析結果を示す出力データを生成し、出力する。

【0105】

図１５は、解析の対象例を示す図である。以下、例えば、図示するようなログが解析の対象となる。

【0106】

この例では、第１１イベントＩＶ１１により、「管理ソフト」の開始が認識される。

【0107】

図示するように、イベント名ＬＧＮが示す内容が開始条件入力部ＩＮＳに入力される内容と一致する。したがって、解析部２０４は、第１１イベントＩＶ１１が発生した時点（図では、時点ＬＧＴの要素が示す時刻となる。以下単に「時点ＬＧＴ」という。）がイベントの開始と認識する。次に、第１２イベントＩＶ１２により、「管理ソフト」の終了が認識される。したがって、解析部２０４は、第１１イベントＩＶ１１の時点ＬＧＴを「開始時刻」とし、第１２イベントＩＶ１２の時点ＬＧＴを「終了時刻」と認識する。そして、解析部２０４は、「開始時刻」から「終了時刻」までを「経過時間」として算出する。

【0108】

なお、解析結果には、グラフ等が含まれて出力されるのが望ましい。すなわち、グラフ等により、視覚的に分かりやすい形式で解析結果が出力されると、開発者以外のような専門知識のない者等でも、解析結果が分かりやすい。

【0109】

また、解析結果には、統計値等が含まれて出力されるのが望ましい。すなわち、複数の時刻等がある場合には、平均値、標準偏差、中央値又は分散等の統計値が出力されると、性能の改善等が容易になる。

【0110】

上記のように、設定部２０３が解析ルール等を設定できると、解析部２０４は、ログデータの要素等を認識することができる。このようにすると、アプリケーション等のソフトウェアの種類、開発の時期、ベンダー、担当者又は情報処理装置が異なることで、ログデータのフォーマット等が異なっても、同様の内容が含まれていることを解析部２０４が認識できる。ゆえに、異なるフォーマットのログデータ等を入力しても、解析部２０４がログデータを構成する要素を認識して解析を行うことができる。このように、解析を行う上のルールが設定できると、ログデータのフォーマット等が勝手に定められても、解析部２０４は、ルールにより、ログデータの要素等を認識できるため、あらかじめ定義されたフォーマット以外であっても、ログ解析装置に、ログデータを複数の要素に分ける解析等を行わせることができる。そのため、異なるフォーマットのログデータを解析のために、１つ１つ手動で変更するような手間が少なくできる。特に、ログデータが大量の場合には、人間の目視に頼ると、手間が多く、時間がかかる。一方で、このように、ルールでログ解析装置に認識及び解析等をさせることができると、解析にかかる手間を少なくできる。ゆえに、解析に係る時間も少なくできる。

【0111】

さらに、このようなログ解析装置があれば、ログデータのフォーマットをあらかじめ定義し、その後も固定するようなことを少なくできる。すなわち、開発者等が、アプリケーションの開発等に合わせて、様々にログデータのフォーマットを柔軟に変更しやすくできる。

【0112】

このように、フォーマットごとに、ルールを設定すると、解析されたデータは、メモリ上に展開できる。ゆえに、コンピュータの処理能力で解析等が可能であるため、大量のログデータを高速に解析できる。また、場合によっては、高速にログデータから情報を抽出できる。さらに、解析等が高速にできるため、人間が分かりやすい形式に、高速にデータを加工することも可能となる。

【0113】

また、設定部２０３が出力ルール等を設定できると、出力部は、出力ルールで設定されたイベントを抽出したり、時間を計測したり、発生した回数をカウントしたり、単位時間あたりに発生した回数を特定したり、イベントが発生した時刻を特定したりする解析が可能となる。すなわち、ユーザが指設定する所定条件を満たす内容を解析部２０４が解析して出力することができる。このように、解析及び出力がされると、人間が目視で解析していくより、効率的にログデータを解析できる。

【0114】

また、上記のように、出力部は、出力ルールに基づいて、目的ごとに、異なる出力データを出力するのが望ましい。

【0115】

例えば、１週間で５ＧＢｙｔｅ以上のデータ量となるログデータが発生するように、大きなデータ量が発生する場合には、人間による目視又は操作等での解析では、長時間の作業となる場合がある。一方で、それぞれのログデータのフォーマットが異なると、複数のログをまとめて解析することが難しい場合がある。

【0116】

ログデータのデータ量が、大きなデータ量、例えば、１ＧＢｙｔｅ以上であると、表計算ソフト等では展開できない場合等がある。このよう大きなデータ量を人の操作で処理するのは、処理がとても煩雑である。したがって、ログ解析装置を用いると、大きなデータ量のログデータであっても、容易に解析することができる。

【0117】

＜その他の実施形態＞
ルールは、上記のように、ＧＵＩ等で設定されなくともよい。例えば、設定部２０３は、設定の内容を示すファイル等を入力してルールを設定してもよい。ほかにも、設定部２０３は、例えば、教師データ等を用いる機械学習等によってルールを設定してもよい。

【0118】

各装置は、１つの装置でなくともよい。すなわち、各装置は、複数の装置の組み合わせであってもよい。なお、図示する以外の装置が更に含まれる構成であってもよい。

【0119】

なお、本発明に係る各処理の全部又は一部は、コンピュータ言語で記述され、コンピュータにログ解析方法を実行させるためのプログラムによって実現されてもよい。すなわち、プログラムは、ログ解析装置又はログ解析システム等といったコンピュータに各処理を実行させるためのコンピュータプログラムである。

【0120】

したがって、プログラムに基づいてログ解析方法が実行されると、コンピュータが有する演算装置及び制御装置は、各処理を実行するため、プログラムに基づいて演算及び制御を行う。また、コンピュータが有する記憶装置は、各処理を実行するため、プログラムに基づいて、処理に用いられるデータを記憶する。

【0121】

また、プログラムは、コンピュータが読み取り可能な記録媒体に記録されて頒布することができる。なお、記録媒体は、磁気テープ、フラッシュメモリ、光ディスク、光磁気ディスク又は磁気ディスク等のメディアである。さらに、プログラムは、電気通信回線を通じて頒布することができる。

【0122】

なお、本発明に係る実施形態は、複数の情報処理装置を有するログ解析システムによって実現されてもよい。また、ログ解析システムは、各処理及びデータの記憶を冗長、分散、並列、仮想化又はこれらを組み合わせて実行してもよい。

【0123】

以上、実施形態における一例について説明したが、本発明は、上記実施形態に限定されない。すなわち、本発明の範囲内で種々の変形及び改良が可能である。

【0124】

＜第２の実施形態＞
第１の実施形態では、単一のアプリケーションが出力したログデータを加工する設定を行えるようにしたことで、ログ解析者の手間を減らすことができるようになった。

【0125】

本実施形態では、複数のアプリケーションが出力したログデータを加工する際の設定を紐づけることで、複数のアプリケーションが出力したログデータをログ解析者が解析する場合でも手間を減らすことができるようになる。

【0126】

<ログ解析装置のハードウェア構成例＞
第１の実施形態と同様であるため、説明を省略する。

【0127】

＜ログ解析装置の機能構成例＞
図１６は、第２の実施形態におけるログ解析装置の機能構成例を示す図である。図１６に示す様に、ログ解析装置１００は、取得部２０１、入力受付部２０２、設定部１６０１、解析部２０４、表示制御部２０５を備える。

【0128】

取得部２０１は、第１の実施形態と同様のため、説明を省略する。

【0129】

入力受付部２０２は、第１の実施形態と同様のため、説明を省略する。

【0130】

解析部２０４は、第１の実施形態と同様のため、説明を省略する。

【0131】

表示制御部２０５は、第１の実施形態と同様のため、説明を省略する。

【0132】

設定部１６０１は、入力受付部２０２から受け取った入力に基づいて、解析部２０４がログデータを解析する際に参照する解析条件や、後述の表示制御部２０５が解析部２０４の解析結果を表示する際に参照する出力条件を設定する。また、設定部２０３は、設定した条件を、記憶部の一例であるＨＤＤ／ＳＳＤ１０４が記憶しているデータベース（DB）に格納する、又は、解析部２０４、若しくは、表示制御部２０５へ出力する。

【0133】

図１７は、入力受付部が、複数のアプリケーションのログデータを解析する際に参照する条件の入力を受け付ける画面の一例を示す図である。

【0134】

図１７の画面例には、「設定名」という欄がある。ユーザは、この欄にアプリAのログデータのファイルである「アプリAのログファイル」を紐づける。その他、図３の画面例と同様のため、説明を省略する。

【0135】

このように、本実施形態では、ユーザが複数のアプリケーションそれぞれに対して、ログの解析条件を設定する。

【0136】

次に、ユーザは、図１７の画面にて設定した複数のアプリケーションの解析条件の紐づけを行う。

【0137】

図１８は、ユーザが、複数のアプリケーションの解析条件の紐づけを行う際の画面の一例を示す図である。

【0138】

図１８には、ユーザが解析条件を設定したアプリケーションである、アプリA、アプリB、アプリCのそれぞれのカラムの要素が、図１７に示した画面例でどのような属性に設定されているかが一覧になって表示されている。ここで、属性とは、日付、時刻、文字列、数値（１０進）、数値（１６進）、文字数、等、カラムの要素の設定である。

【0139】

そして、図１８の画面例には、複数のアプリケーションのログデータをまとめて表示する際のカラムである統合配列の設定が表示されている。

【0140】

図１８の例では、統合配列のカラム１のデータ型である属性が「日付」になっている。統合配列のカラム１の属性が「日付」に設定されると、アプリA、アプリB、アプリCのカラムのうち、属性が「日付」であるカラムがカラム１に関連付けられる。同様に統合配列のカラム２の属性が「時刻」に設定されると、アプリA、アプリB、アプリCのカラムのうち、属性が「時刻」であるカラムがカラム２に関連付けられる。

【0141】

このように、ユーザは、複数のアプリケーションのログを解析するための解析条件をまとめる設定をすることができるようになる。

【0142】

図１９は、複数のアプリケーションのログをまとめて解析した結果を出力する出力条件を設定する画面の一例を示す図である。

【0143】

図１９の画面例では、「対象カラム」の欄には、図１８の画面例で示した統合配列のカラムのうち、どのカラムを解析の対象にするかを入力される。時間計測、件数カウント、時刻抽出については、第１の実施形態と同様のため説明を省略する。

【0144】

「キーワード行検出」では、「キーワード」の欄に、ログデータ中で検出したい文字列を入力することができる。

【0145】

図２０は、図１９の出力条件を設定する画面例にてユーザにより入力された出力条件に基づいて、出力したログデータの解析結果例を示す図である。このように、ユーザは、複数のアプリケーションをまとめて解析することができ、ログデータの解析の時間を削減することができる。

【符号の説明】

【0146】

１００ ログ解析装置
ＡＮ１ 第１解析ルール入力部
ＡＮ２ 第２解析ルール入力部
Ｃ１ 第１要素
Ｃ２ 第２要素
Ｃ３ 第３要素
Ｃ４ 第４要素
Ｃ５ 第５要素
Ｃ６ 第６要素
ＤＥ１ 第１出力データ
ＤＥ２ 第２出力データ
ＤＥ３ 第３出力データ
ＤＥ４ 第４出力データ
ＤＴ 解析結果
ＩＮＥ 終了条件入力部
ＩＮＩＶ 対象抽出イベント入力部
ＩＮＳ 開始条件入力部
ＩＮＴＧ 対象入力部
ＩＮＴＭ 計測時間単位入力部
ＩＶ１１ 第１１イベント
ＩＶ１２ 第１２イベント
ＩＶ１３ 第１３イベント
ＩＶ２１ 第２１イベント
ＩＶ３１ 第３１イベント
ＬＧ ログ
ＬＧ１ 第１ログ
ＬＧ２ 第２ログ
ＬＧ３ 第３ログ
ＬＧＮ イベント名
ＬＧＴ 時点
ＰＮ 画面
ＰＶ プレビュー
ＲＬ１ 解析ルール
ＲＬ１１ 第１解析ルール
ＲＬ１２ 第２解析ルール
ＲＬ１３ 第３解析ルール
ＲＬ２１ 第１出力ルール
ＲＬ２２ 第２出力ルール
ＲＬ２３ 第３出力ルール
ＲＬ２４ 第４出力ルール
ＲＳ１ 第１解析結果
ＲＳ２ 第２解析結果
ＲＳ１１ 開始時刻
ＲＳ１２ 終了時刻
ＲＳ１３ 経過時間
ＲＳ２１ 第２１解析結果
ＲＳ２２ 第２２解析結果
ＲＳ３１ 第３１解析結果
ＳＣＮ カウント入力部
ＳＥ 定義入力ボックス
ＳＥＬ 選択画面
ＳＴＧ 時間抽出入力部

【先行技術文献】

【特許文献】

【0147】

【文献】特開２０１７－３３０３７号公報

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】