JP2009075817A5 - - Google Patents

Claims (10)

1. 計算機から出力されるログを解析して、計算機の異常を検出もしくは予測するログ解析方法であって、
   前記計算機からログを受け付けるステップと、
   前記受け付けたログを解析して、前記計算機に異常が発生したことを検出、または前記計算機に異常が発生することを予測するステップと、
   前記ログと、予め設定した誤報のルールとを比較して、前記計算機の異常の検出または異常の予測において誤報の発生を判定するステップと、
   前記誤報が発生と判定されたときには、前記計算機の異常発生の検出または前記計算機の異常発生の予測において誤報の発生を低減するステップと、
   を含むことを特徴とするログ解析方法。
2. 請求項１に記載のログ解析方法であって、前記誤報のルールが、前記異常の検出もしくは予測が誤報であったときのログであり、
   前記誤報の発生を判定するステップは、前記計算機から受け付けたログと、前記異常の検出もしくは予測が誤報であったときのログとを比較して、両者のログが類似または一致しているときに誤報の発生を判定することを特徴とするログ解析方法。
3. 請求項１に記載のログ解析方法であって、前記誤報のルールが、誤報の発生周期を含む予め設定した発生条件であり、
   前記誤報の発生を判定するステップは、前記計算機から受け付けたログと、前記発生条件とを比較して、前記ログが前記発生条件を満たしたときに誤報の発生を判定することを特徴とするログ解析方法。
4. 請求項１乃至請求項３のいずれかひとつに記載のログ解析方法であって、前記誤報の発生を低減するステップは、
   前記誤報の発生が判定されたときには、前記異常の検出または予測の実行を停止し、もしくは、異常の検出結果もしくは予測結果を無効化することにより、誤報の発生を低減することを特徴とするログ解析方法。
5. 請求項１乃至請求項３のいずれかひとつに記載のログ解析方法であって、前記誤報の発生を低減するステップは、
   前記誤報の発生が判定されたときには、前記誤報の発生が予測されるログを前記ログの解析対象から除外することにより、誤報の発生を低減することを特徴とするログ解析方法。
6. 請求項１乃至請求項３のいずれかひとつに記載のログ解析方法であって、前記誤報の発生を低減するステップは、
   前記誤報の発生が判定されたときには、前記誤報を発生させる可能性のあるログに印を付加し、前記印に基づいて前記異常の検出または予測の実行を変更することにより、誤報の発生を低減することを特徴とするログ解析方法。
7. 請求項１乃至請求項６のいずれかひとつに記載のログ解析方法であって、誤報が発生したことを通知するステップと、
   前記通知に基づいて、前記誤報発生時のログを記録するステップと、をさらに含み、
   前記誤報の発生を判定するステップは、
   前記記録した誤報発生時のログを、前記誤報のルールとして用いることを特徴とするログ解析方法。
8. 請求項１乃至請求項６のいずれかひとつに記載のログ解析方法であって、誤報の発生周期を含む発生条件を登録するステップをさらに含み、
   前記誤報の発生を判定するステップは、
   前記登録した誤報の発生条件を、前記誤報のルールとして用いることを特徴とするログ解析方法。
9. ログを出力する計算機と、
   前記計算機から出力されるログを解析して、前記計算機の異常を検出もしくは予測するログ解析部と、を備えたログ解析装置であって、
   前記計算機とログ修正部にそれぞれ接続されて、前記計算機から受け付けたログと、予め設定した誤報のルールとを比較して、前記ログ解析部において誤報の発生を判定し、当該誤報の発生を判定したときには、誤報の発生を低減するよう前記受け付けたログを修正し、または前記ログ解析部を制御する誤報検出部を備えたことを特徴とするログ解析装置。
10. 計算機から出力されるログを解析して、計算機の異常を検出もしくは予測する処理をログ解析用計算機に実行させるプログラムであって、
    前記計算機からログを受け付ける処理と、
    前記受け付けたログを解析して、前記計算機に異常が発生したことを検出、または前記計算機に異常の発生を予測する処理と、
    前記ログと、予め設定した誤報のルールとを比較して、前記計算機の異常の検出または異常の予測において誤報の発生を判定する処理と、
    前記誤報の発生が判定されたときには、前記計算機の異常発生の検出または前記計算機の異常発生の予測において誤報の発生を低減する処理と、
    をログ解析用計算機に実行させることを特徴とするプログラム。