JP2011091465A - アクセスログ管理方法 - Google Patents

Abstract

【課題】
トラフィック中継機能を保持する中継装置において、多量のアクセスログを記憶するコストの増加と、多量のアクセスログを対象に検索を行った場合の検索時間長時間化を防止する。
【解決手段】
中継装置は、トラフィック中継機能、プロトコル解析機能、ログ出力機能、ログ検索機能を具備する。これらの機能が、アクセスログを検索する上で、重要度の違いに応じて管理者が指定するプロトコル毎のルールに従い、圧縮又は無圧縮でアクセスログを出力する。検索実行時は、無圧縮のファイルを対象に検索を実行する。
【選択図】 図１

Description

本発明はＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）等、サーバ装置と端末間でデータを通信するネットワークシステムにおいて、サーバ装置、または端末とサーバ装置との間の通信経路上に設置される中継装置が備えるログ管理機能に関する。

有線ネットワーク網や無線ネットワーク網に接続される端末の普及により、WWW等のサーバ装置とクライアント端末間でやり取りされるデータ量が増大している。また、有線ネットワーク網や無線ネットワーク網の通信帯域の大容量化に伴うデータ通信時間の短縮により、通信量が増加している。

中継装置は、通信キャリアやインターネットサービスプロバイダ等のサービス事業者に設置されることが多い。通信量が増大することにより、中継装置を通過する通信量も増大する。中継装置が中継処理を行った実行ログ（アクセスログ）量も増大することになり、その維持管理にコストがかかっている。非特許文献１によれば、通信キャリアが管理するアクセスログのデータサイズは、数ＴＢから数十ＴＢに達している。

サービス事業者は、ユーザ（端末使用者）からの問合せ等に対応するため、アクセスログを一定期間保持し続けなければならず、アクセスログを保存、検索するための管理コストがかかるという問題があった。また、このアクセスログを対象に分析や検索を行うには、アクセスログをデータベースへ格納して高速化する等の方法があるが、索引用のディスクが必要であり、データベース管理ソフトウエアの運用にコストがかかるなどの問題があった。

これらの問題を解決しようとする技術が、例えば、特許文献１に開示されている。

特開2003-76814号公報

「数日かかっていた情報分析が数分単位に Netezza により分析の即応性と高度化を実現」、[online]、ビジネスコミュニケーション2008 Vol.45 No.11、2009年8月4日検索、インターネット<URL：http://www.netezza.jp/documents/NTT_docomo_BCM_Nov_2008_Netezza.pdf>

特許文献１に開示されている技術は、サーバ装置のログ保存量を低減させる技術が開示されている。この技術は、サーバ装置で取得するログのうち、所定の条件を満たさないログをデータベースに出力しないというものである。中継装置に本技術を用いた場合、全てのログが保存されていないため、ユーザからの問合せに対応できない可能性がある。

本発明は、上記課題を解決するため、クライアントとサーバとの間のネットワーク経路上、又はサーバ内に、トラフィック中継機能、プロトコル解析機能、ログ出力機能、及びログ検索機能を配する。

本発明は、上記機能がクライアントからの要求及びサーバからの応答を１つのアクセスログとして出力するにあたり、管理者によってプロトコル毎に指定されるログ取得モードに従い、アクセスログを圧縮又は無圧縮で取得する、ログ取得モードの動的変更手段を有することを特徴とする。

また、本発明は、上記機能がそれぞれのアクセスログを異なるファイルへ出力する、ログ取得モード毎のログ出力手段を有することを特徴とする。

より具体的な本発明の態様は、クライアントとサーバにネットワークを介して相互接続される中継装置において、クライアントから受信した要求をサーバへ送信しサーバから受信した応答をクライアントへ送信する際のアクセスログ管理方法であって、
クライアントからサーバへのアクセスに用いられるプロトコル毎にアクセスログの分別を行い、
アクセスログのうち、事前に圧縮の対象として指定される種類のアクセスログを圧縮して、圧縮ログファイルに記録し、
事前に無圧縮の対象として指定される種類のアクセスログを無圧縮で、無圧縮ログファイルに記録することを特徴とする。

さらに、中継装置は、圧縮の対象として指定される種類と、無圧縮の対象として指定される種類を、予め、プロトコルとプロトコルのメッセージ種別について指定されたログ取得モードに従って、決定し、ログ取得モードは、さらに、セッションごとにログ取得モードを設定する設定モードに応じて、設定されることを特徴とする。

また、中継装置は、クライアントから検索要求を受けた場合に、無圧縮ログファイルを、圧縮ログファイルより優先して検索することを特徴とする。

本発明によれば、運用コストがかからず、ユーザからの問い合わせにも対応可能なログ管理システムを提供可能になる。

コンピュータシステムの構成例を示す図である。 中継装置が保持するログ出力モード管理テーブルの例を示す図である。 中継装置が保持する識別テーブルの例を示す図である。 中継装置が保持するログ出力アドレス設定テーブルの例を示す図である。 中継装置が保持するログ出力管理テーブルの例を示す図である。 中継装置がディスク装置へ記憶するアクセスログファイルの例を示す図である。 中継装置がメモリへ記憶するアクセスログレコードの例を示す図である。 中継装置において実行される、クライアントから受けた要求をサーバへ中継する処理内容の一例を示すフローチャートである。 中継装置において実行される、クライアントから受けた要求のトラフィック中継処理内容の一例を示すフローチャートである。 中継装置において実行される、クライアントから受信した要求を解析する処理内容の一例を示すフローチャートである。 中継装置において実行される、サーバからの応答をクライアントへ中継する処理内容の一例を示すフローチャートである。 中継装置において実行される、サーバから応答を受信してアクセスログをメモリへ記憶する処理内容の一例を示すフローチャートである。 中継装置において実行される、メモリに記憶したアクセスログをディスク装置へ出力する処理内容の一例を示すフローチャートである。 中継装置において実行される、ディスク装置に記憶されたアクセスログを対象に検索を行う処理内容の一例を示すフローチャートである。 中継装置内に変換テーブルを追加したコンピュータシステムの構成例を示す図である。 中継装置が保持する変換テーブルの例を示す図である。 中継装置において実行される、サーバからの応答を受信してアクセスログを記憶するモードを動的に変更する処理内容の一例を示すフローチャートである。

以下に、図面を参照しながら本発明の実施形態について説明する。なおこれにより本発明が限定されるものではない。

本実施形態のコンピュータシステムは、ネットワークで接続された、中継装置、クライアントとサーバを含んで構成される。

図１は、コンピュータシステムの構成例を示す。１台以上の中継装置１００の各々は、トラフィック中継機能１５０、プロトコル解析機能１５１、ログ出力機能１５２、及びログ検索機能１５３を有する。中継装置１００は、ネットワーク１１０を介して１台以上のクライアント装置（以下、クライアントという）１２０と１台以上のサーバ装置（以下、サーバという）１３０に接続される。

以降の説明では、その都合上、１台の中継装置１００、１台のクライアント、１台のサーバがネットワーク１１０を介して相互に接続されているものとして説明する。

トラフィック中継機能１５０が、クライアントからの要求をサーバへ中継し、その処理の実行ログ（アクセスログ）データを中継装置のメモリへ記録する。その際、トラフィック中継機能１５０が、管理者の指定に従って、後に検索が行われやすいアクセスログと、検索が行われにくいアクセスログに分類する。

そして、ログ出力機能１５２が、検索対象となる確率が高いアクセスログを無圧縮の状態でディスク装置１０４の無圧縮ログファイル１６０に記録する。また、ログ出力機能１５２が、検索対象となる確率の低いアクセスログを圧縮してディスク装置１０４の圧縮ログファイル１６１に記録する。

ユーザや管理者の要求に基づき、アクセスログを検索する場合、中継装置１００のログ検索機能１５３が、ディスク装置１０４に記録された無圧縮ログファイル１６０を優先的に検索する。無圧縮ログファイル１６０内に検索対象が含まれていない場合、ログ検索機能１５３が、圧縮ログファイル１６１を対象に検索を実施する。

中継装置１００は、ＣＰＵ１０１、メモリ１０３、１つ以上のネットワークインタフェース（ＮＷ Ｉ／Ｆ）１０６、アクセスログファイル１６０を格納するディスク装置１０４、および、入出力装置１０２が、内部バス等の通信路１０５を介して相互に接続されるコンピュータ上に実現される。ＮＷ Ｉ／Ｆ１０６は、ネットワーク１１０を介して、クライアント１２０及びサーバ１３０に接続する。

メモリ１０３には、ＣＰＵ１０１によって実行されることにより、トラフィック中継機能１５０、プロトコル解析機能１５１、ログ出力機能１５２、ログ検索機能１５３を実現するプログラムと、識別テーブル１５４、ログ出力モード管理テーブル１５５、ログ出力アドレス設定テーブル１５６、ログ出力管理テーブル１５７が格納されている。

トラフィック中継機能１５０は、クライアント１２０とサーバ１３０間の要求メッセージや応答メッセージを中継する。プロトコル解析機能１５１は、メッセージ内部のプロトコルを解析する。ログ出力機能１５２は、中継装置１００がメモリ１０３に記録したメッセージの中継処理の実行ログ（アクセスログ）を、ディスク装置１０４に記憶されている無圧縮ログファイル１６０または圧縮ログファイル１６１に記録する。ログ検索機能１５３は、ディスク装置１０４に記憶されている無圧縮ログファイル１６０または圧縮ログファイル１６１を対象に、クライアント１２０や管理者が要求する検索処理を行う。

識別テーブル１５４は、プロトコル毎のログ取得モードを保持するテーブルである。ログ出力モード管理テーブル１５５は、セッション毎のログ出力モードを保持するテーブルである。ログ出力アドレス設定テーブル１５６は、ログをメモリ１０３へ出力するためのメモリ領域情報を保持するテーブルである。ログ出力管理テーブル１５７は、トラフィック中継機能１５０がメモリ１０３へアクセスログを出力する際の管理情報を保持するテーブルである。

トラフィック中継機能１５０、プロトコル解析機能１５１、ログ出力機能１５２、ログ検索機能１５３を実現するプログラムは、各プログラムは、あらかじめ、上記コンピュータ内のディスク装置１０４に格納されていても良いし、必要なときに、入出力装置１０２やＮＷ Ｉ／Ｆ１０４と、上記コンピュータが利用可能な媒体を介して、他の装置からディスク装置１０４に導入されてもよい。

媒体とは、たとえば、入出力装置１０２やＮＷ Ｉ／Ｆ１０４に着脱可能な記憶媒体、または通信媒体（すなわち有線、無線、光などのネットワーク１１０、または当該ネットワーク１１０を伝搬する搬送波やディジタル信号）を指す。

図２から図５は、中継装置に具備された情報を示す。図６から図７は、アクセスログのレコードとアクセスログファイルの構成例を示す。図８は、ＳｙｎｃＭＬ（Ｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）プロトコルを用いた場合に、中継装置がクライアントからサーバへ要求を中継する際の処理の流れの一例を示す。図９から図１４は、中継装置の各機能が中継処理、アクセスログ出力処理、検索処理を行う処理フローの一例を示す。

図２は、中継装置１００が保持するログ出力モード管理テーブル１５５の一例を示す。セッション番号欄Ｄ１１は、クライアント１２０からサーバ１３０への要求を中継装置１００が受付けた際の受付番号を格納する。プロトコル名欄Ｄ１２は、当該メッセージのプロトコル種別を格納する。メッセージ種別欄Ｄ１４は、当該セッションのメッセージ種別を格納する。設定モード欄Ｄ１３は、当該セッションについて指定するアクセスログ取得モードを格納する。

本実施例では、全てのログを無圧縮で取得するＡｌｌモード、一部のログを圧縮して取得するＣｕｓｔｏｍモード、Ｃｕｓｔｏｍモードに加えて更に一部のログを圧縮して取得するＭｉｎｉｍｕｍモードの３つを定義する。

Ａｌｌモードでは、全て無圧縮でログを取得する。ログのデータサイズは大きくなるが、保存したログを対象に検索を行う際のオーバヘッドは小さくてすむ。

Ｍｉｎｉｍｕｍモードでは、多くのデータを圧縮してログを取得する。ログのデータサイズが小さくですむが、保存したログを対象に検索を行う際のオーバヘッドは高くなる。

Ｃｕｓｔｏｍモードでは、ログのデータサイズがＡｌｌモードよりも小さく、Ｍｉｎｉｍｕｍモードよりも大きくなる。また、保存したログを対象に検索を行う際のオーバヘッドは、Ａｌｌモードよりも大きく、Ｍｉｎｉｍｕｍモードよりも小さくなる。

Ｍｉｎｉｍｕｍモードでは、検索対象とするログを無圧縮で取得し、検索対象としないログを圧縮する。たとえば、保存したログを対象に検索を行う際、Ｂｕｓｙメッセージに加え、Ｉｎｉｔｉａｌｉｚａｔｉｏｎメッセージのログを検索対象としない（解析する必要性はない）ことをポリシーとし、トラフィック中継機能１５０は、これら２つのメッセージ以外のログを無圧縮で取得する。

Ｃｕｓｔｏｍモードも、同様に、検索対象とするログを無圧縮で取得し、検索対象としないログを圧縮する。ただし、検索対象とする（無圧縮で取得する）ログの種類が、Ｍｉｎｉｍｕｍモードで指定するログの種類より多くなる。例えば、Ｂｕｓｙメッセージのログを検索対象としない（解析する必要性はない）ことをポリシーとし、トラフィック中継機能１５０はＢｕｓｙメッセージ以外のログを無圧縮で取得する。

管理者は、プロトコル及びメッセージ単位で、各モードのログ取得方法を図３（識別テーブル１５４）のログ取得モードＤ２３に指定する。

図３は、中継装置１００が保持する識別テーブル１５４の一例を示す。プロトコル名欄Ｄ２１は、クライアント１２０とサーバ１３０間で用いられるプロトコル名を格納する。メッセージ種別欄Ｄ２２は、当該プロトコルにおけるメッセージ種別を格納する。ログ取得モード欄Ｄ２３は、Ａｌｌ欄Ｄ２３１、Ｃｕｓｔｏｍ欄Ｄ２３２、及びＭｉｎｉｍｕｍ欄Ｄ２３３より構成される。Ａｌｌ欄Ｄ２３１は、ログ取得モードがＡｌｌモード時の圧縮又は無圧縮によるログ取得方法を格納する。Ｃｕｓｔｏｍ欄Ｄ２３２は、ログ取得モードがＣｕｓｔｏｍモード時の圧縮又は無圧縮によるログ取得方法を格納する。Ｍｉｎｉｍｕｍ欄Ｄ２３３は、ログ取得モードがＭｉｎｉｍｕｍモード時の圧縮又は無圧縮によるログ取得方法を格納する。

図４は、中継装置１００が保持するログ出力アドレス設定テーブル１５６の一例を示す。圧縮用先頭アドレス欄Ｄ４１は、圧縮して出力するためのアクセスログを中継装置１００のメモリ１０３内に記憶する際の先頭アドレスの候補を格納する。圧縮用メモリサイズ欄Ｄ４２は、圧縮して出力するためのメモリサイズを格納する。無圧縮用先頭アドレス欄Ｄ４３は、無圧縮で出力するためのアクセスログを中継装置１００のメモリ１０３内に記憶する際の先頭アドレスの候補を格納する。無圧縮用メモリサイズ欄Ｄ４４は、無圧縮で出力するためのメモリサイズを格納する。

識別テーブル１５４及びログ出力アドレス設定テーブル１５６の各値は、トラフィック中継機能１５０の起動時に初期設定される。

図５は、中継装置１００が保持するログ出力管理テーブル１５７の一例を示す。圧縮用オフセットアドレス欄Ｄ５１は、圧縮して出力するためのアクセスログを中継装置１００のメモリ１０３内に記憶する際のオフセットアドレスを格納する。無圧縮用オフセットアドレス欄Ｄ５２は、無圧縮で出力するためのアクセスログを中継装置１００のメモリ１０３内に記憶する際のオフセットアドレスを格納する。圧縮用先頭アドレス欄Ｄ５３は、圧縮して出力するためのアクセスログを中継装置１００のメモリ１０３内に記憶する際の先頭アドレスを格納する。無圧縮用先頭アドレス欄Ｄ５４は、無圧縮で出力するためのアクセスログを中継装置１００のメモリ１０３内に記憶する際の先頭アドレスを格納する。

図６は、ログ出力機能１５２が、メモリ１０３に記録したアクセスログをディスク装置１０４に無圧縮ログファイル１６０または圧縮ログファイル１６１として出力した時のデータ形式の一例を示す。

無圧縮ログファイル１６０または圧縮ログファイル１６１は、アクセスログファイル名Ｄ７０１と、アクセスログ出力時間Ｄ７０２と，アクセスログレコード数Ｄ７０３と、１つ以上のアクセスログレコードＤ７０４−ｎを含んで構成される。

図７は、トラフィック中継機能１５０がメモリ１０３に出力するアクセスログレコードＤ７０４−ｎのデータ形式の一例を示す。アクセスログレコードＤ７０４−ｎは、レコードを出力したトラフィック中継機能１５０が動作するプログラムを識別するためのプロセス識別子を示すトラフィック中継サーバ番号Ｄ６０１と、クライアント１２０からサーバ１３０への要求の受付番号を示すセッション番号Ｄ６０２と、サーバ１３０からの応答メッセージに付加されているエラー状態を示すＨＴＴＰ応答コードＤ６０３と、トラフィック中継機能１５０がクライアントへ応答するエラーコードを示すエラー番号Ｄ６０４と、受信した要求の発進元を特定するためのクライアント端末アドレスＤ６０５と、要求の転送先を特定するための要求転送先アドレスＤ６０６と、要求に含まれるコンテンツ取得先を示すリクエストＵＲＬ Ｄ６０７と、クライアント１２０から要求を受けた時刻を示す要求受信時刻Ｄ６０８と、サーバ１３０から応答メッセージを受けた時刻を示す応答受信時刻Ｄ６０９と、クライアント１２０から受信した要求ヘッダサイズＤ６１０と、クライアント１２０から受信した要求の要求データサイズＤ６１１と、サーバ１３０から受信した応答メッセージの応答ヘッダサイズＤ６１２と、サーバ１３０から受信した応答メッセージの応答データサイズＤ６１３を含んで構成される。

図８は、中継装置１００がクライアント１２０から受けた要求をサーバ１３０へ中継する処理の流れの一例を示す。ここでは、ＳｙｎｃＭＬプロトコルを用いた場合を例に説明する。

ＳｙｎｃＭＬプロトコルでは、クライアント１２０とサーバ１３０間の通信において、初期化要求Ｍ２００、同期要求Ｍ２０４の順でメッセージが送受信され、データの同期が図られる。

中継装置１００のトラフィック中継機能１５０は、ログ出力モード管理テーブル１５５のセッション番号欄Ｄ１１、プロトコル名欄Ｄ１２、メッセージ種別欄Ｄ１４、及び設定モード欄Ｄ１３に指定される情報を用いて、識別テーブル１５４のプロトコル名欄Ｄ２１、メッセージ種別欄Ｄ２２が同一のレコードを参照し、ログ出力モード管理テーブル１５５の設定モード欄Ｄ１３に指定されるログ取得モードにて、ログの取得方法を決定する。

以下、中継装置１００のトラフィック中継機能１５０がクライアントからサーバへＳｙｎｃＭＬプロトコルの初期化要求Ｍ２００や同期要求Ｍ２０４を中継する処理の一例を用いて、説明する。

クライアント１２０がデータ同期のための初期化要求Ｍ２００を送信し、中継装置１００が受信する（Ｓ１０１）。中継装置１００のトラフィック中継機能１５０は、受信した要求Ｍ２０１をサーバ１３０へ送信する（Ｓ１０２）。

サーバ１３０がデータ同期のための初期化要求Ｍ２０１を受けた後に要求の処理結果（ステータスコード）を含むデータ同期のための初期化応答Ｍ２０２を送信し、中継装置１００が受信する（Ｓ１０３）。

中継装置１００のトラフィック中継機能１５０は、受信した応答Ｍ２０２に対応する応答Ｍ２０３をクライアント１２０へ送信する（Ｓ１０４）。

クライアント１２０がデータ同期のための初期化応答Ｍ２０３を受信した後に、同期するデータと同期要求とを含む要求Ｍ２０４を送信し、中継装置１００が受信する（Ｓ１０５）。

中継装置１００のトラフィック中継機能１５０は、受信したＭ２０４に対応する要求Ｍ２０５をサーバ１３０へ送信する（Ｓ１０６）。

サーバ１３０は、同期するデータと同期要求とを含む要求Ｍ２０５を受けた後に同期処理結果（ステータスコード）を含む応答Ｍ２０６を送信し、中継装置１００が受信する（Ｓ１０７）。この例の場合、サーバがビジー状態であるため、応答Ｍ２０６のステータスコードは、ビジーを示す１０１となる。

中継装置１００のトラフィック中継機能１５０は、受信した応答Ｍ２０６に対応する応答Ｍ２０７をクライアントへ送信する（Ｓ１０８）。

クライアント１２０が応答Ｍ２０７を受信した後、ステータスがビジーを示す１０１であるため、再度、同期するデータと同期要求とを含む要求Ｍ２０８を送信し、中継装置１００が受信する（Ｓ１０９）。

中継装置１００のトラフィック中継機能１５０は、受信したＭ２０８に対応する要求Ｍ２０９をサーバ１３０へ送信する（Ｓ１１０）。

サーバ１３０は、同期するデータと同期要求とを含む要求Ｍ２０９を受けた後に同期処理結果（ステータスコード）を含む応答Ｍ２１０を送信し、中継装置１００が受信する（Ｓ１１１）。

中継装置１００のトラフィック中継機能１５０は、受信した応答Ｍ２１０に対応する応答Ｍ２１１をクライアント１２０へ送信する（Ｓ１１２）。

図９は、中継装置１００のトラフィック中継機能１５０が実行するトラフィック中継処理の処理手順を示すフローチャートである。

中継装置１００のトラフィック中継機能１５０は、クライアント１２０からの要求を受信する（Ｆ１０１）。ここでトラフィック中継機能１５０は、要求の受付番号であるセッション番号を割り振る。ただし以前に同一サーバへアクセスを行った時のセッションが保持されている場合には、新たにセッション番号の割り振りは行わない。次に中継装置１００のプロトコル解析機能１５１は、受信した要求を解析する（Ｆ１０２）。そしてトラフィック中継機能１５０は、サーバ１３０へ要求を送信する（Ｆ１０３）。

図１０は、プロトコル解析機能１５１がクライアント１２０から受信した要求を解析するステップ（図９のＦ１０２）の詳細を示すフローチャートである。

中継装置１００のプロトコル解析機能１５１は、クライアント１２０からの要求を受信した際に以前のセッションが保持されている場合とセッションが保持されていない（新規セッションを含む）場合とで、ログ出力モード管理テーブル１５５に設定する情報が異なる。本フローチャートは、これらのステップを示している。

まずプロトコル解析機能１５１は、ログ出力モード管理テーブル１５５のセッション番号欄Ｄ１１に、クライアントから受信した際のセッション番号があるか検索を行う（Ｆ２０１）。

ステップＦ２０１において結果が有った場合、プロトコル解析機能１５１はログ出力モード管理テーブル１５５の当該レコードへ受信要求を解析して得られたプロトコル名及びメッセージ種別と管理者が指定する初期の設定モードを登録する（Ｆ２０２）。

一方ステップＦ２０１において結果が得られなかった場合、プロトコル解析機能１５１は、ログ出力モード管理テーブル１５５の新規レコードへセッション番号、受信要求を解析して得られたプロトコル名及びメッセージ種別と管理者が指定する初期の設定モードを登録する（Ｆ２０３）。

図１１は、中継装置１００のトラフィック中継機能１５０がサーバ１３０からの応答を受信してクライアント１２０へ送信するトラフィック中継処理の処理手順を示すフローチャートである。

中継装置１００のトラフィック中継機能１５０は、サーバ１３０から応答を受信する（Ｆ３０１）。

次にトラフィック中継機能１５０は、クライアント１２０から受信した要求とサーバ１３０から受信した応答に関するアクセスログをメモリ１０３へ出力する（Ｆ３０２）。

そしてトラフィック中継機能１５０は、クライアント１２０へサーバ１３０から受信した応答を送信する（Ｆ３０３）。

図１２は、トラフィック中継機能１５０がサーバ１３０から応答を受信した時に、アクセスログをメモリ１０３へ出力するステップ（図１１のＦ３０２）の詳細を示すフローチャートである。

トラフィック中継機能１５０は、ログ出力モード管理テーブル１５５のセッション番号欄に記録された値と、現在のセッション番号とが一致するレコードを検索する（Ｆ４０１）。

ステップＦ４０１において、検索対象が見つかった場合、トラフィック中継機能１５０は、ログ出力モード管理テーブル１５５の当該レコードの設定モード欄Ｄ１３に指定される設定モードとプロトコル名欄Ｄ１２に指定されるプロトコル名を得る（Ｆ４０３）。

そして、トラフィック中継機能１５０は、識別テーブル１５４を参照し、設定モードとプロトコル名とメッセージ種別を用いてログ取得モードを得る（Ｆ４０４）。

トラフィック中継機能１５０は、ログ出力管理テーブル１５７に指定される当該オフセットアドレスと、ログ出力アドレス設定テーブル１５６に指定される当該メモリサイズを取得し、出力するアクセスログレコードサイズとオフセットアドレスの合計値を計算し、その合計値がメモリサイズ未満か判断する（Ｆ４０５）。

ここでアクセスログレコードサイズとオフセットアドレスの合計値がメモリサイズ未満である場合、トラフィック中継機能１５０は、ログ出力管理テーブル１５７の当該先頭アドレスとオフセットアドレスの合計から得られるメモリ１０３のアドレス値に、アクセスログを記録する（Ｆ４０６）。

ステップＦ４０１においてレコードが検索できなかった場合、トラフィック中継機能１５０は、ログ出力の設定モードを無圧縮と指定し、ステップＦ４０５へ移る（Ｆ４０７）。

また、ステップＦ４０５においてアクセスログレコードサイズとオフセットアドレスの合計値がメモリサイズ以上である場合、トラフィック中継機能１５０は、ログ出力管理テーブル１５７の当該オフセットアドレスを０、当該先頭アドレスをログ出力アドレス設定テーブル１５６に指定される当該先頭アドレスのもう一方のアドレスに、それぞれ更新する。

そして、トラフィック中継機能１５０は、ログ記録用のメモリが満杯になった旨をログ出力機能１５２へ通知する（Ｆ４０８）。具体的には、アクセスログが記録されている当該先頭アドレスとオフセットアドレスである。

図１３は、中継装置１００のログ出力機能１５２が、メモリ１０３上のログ記録用領域内のアクセスログをディスク装置１０４の無圧縮ログファイル１６０または圧縮ログファイル１６１へ出力する処理手順を示すフローチャートである。

中継装置１００のログ出力機能１５２は、トラフィック中継機能１５０からログ記録用のメモリが満杯になった旨の通知を受信する（Ｆ５０１）。

次にログ出力機能１５２は、受信した先頭アドレスとオフセットアドレスを元に当該アドレス領域に記録されているアクセスログをディスク装置１０４へ出力する（Ｆ５０２）。圧縮用のログである場合、ログ出力機能１５２は、出力の際に、圧縮を行って出力を行う。

本実施例では、ディスク装置１０４への出力時に、一度に圧縮しているが、トラフィック中継機能１５０がメモリ１０３へアクセスログを一時記録する際に圧縮を行ってもよい。

図１４は、中継装置１００のログ検索機能１５３が、ディスク装置１０４に記録された無圧縮ログファイル１６０または圧縮ログファイル１６１を対象にして検索を行う処理手順を示すフローチャートである。

ログ検索機能１５３は、ディスク装置１０４に記録された無圧縮ログファイル１６０を読み込む（Ｆ６０１）。

次にログ検索機能１５３は、クライアント１２０又は管理者によって指定される文字列を検索キーとしてアクセスログファイル１６０を検索する（Ｆ６０２）。

ログ検索機能１５３がステップＦ６０２で検索を行った結果、無圧縮ログファイル１６０に、検索対象が見つかったか否かを判断する（Ｆ６０３）。

検索対象が見つかった場合、ログ検索機能１５３は、その検索結果を中継装置１００の入出力装置１０２へ表示する（Ｆ６０５）。

一方、検索対象が見つからなかった場合、ログ検索機能１５３は、圧縮ログファイル１６１を対象に検索を行う（Ｆ６０４）。

その後に、その検索結果を中継装置１００の入出力装置１０２へ表示する（Ｆ６０５）。

本実施例で示す方法では、プロトコルやメッセージに応じたログ取得モードを指定できることにより、中継装置１００が、検索対象とするログを無圧縮で取得できるため、ログ検索時間の短縮が可能であり、また、検索対象のデータ量が少なくなるため、ログのデータサイズを小さくすることが可能になる。

また、検索対象となる確率の低いアクセスログを圧縮記録しておくことにより、アクセスログ量の縮減も可能となる。

本実施例では、ディスク装置１０４が中継装置１００内に含まれるシステム構成を採っている。このディスク装置１０４が中継装置１００に接続されるストレージ装置等であるシステム構成を採ってもかまわない。

また本実施例では、ログ検索機能１５３が中継装置１００で動作している。このログ検索機能１５３は、無圧縮ログファイル１６０と圧縮ログファイル１６１がログ検索機能１５３から参照可能なシステム構成であれば、中継装置１００以外の装置において実現される構成であってもかまわない。

実施例２は、実施例１で示した、管理者によるログ取得モードの指定に従ってアクセスログを記録する方法に加えて、クライアントからの要求に対する応答内容を確認することにより、動的にログ取得モードを変更する技術について示す。以降の説明では、実施例１との相違点を中心に説明する。

図１５は、図１に示したシステム構成例に新たに変換テーブル１５８を追加したシステム構成例を示す。変換テーブル１５８は、中継装置１００のメモリ１０３に格納されている。

図１６は、中継装置１００が保持する変換テーブル１５８の一例を示す。プロトコル名欄Ｄ３１は、クライアント１２０とサーバ１３０間で送受信されるメッセージのプロトコル名称を格納する。応答コード欄Ｄ３２は、当該プロトコルの応答コードを格納する。変更モード欄Ｄ３３は、当該プロトコルの当該応答コードに対するログ取得モードの変更後のモード名を格納する。

図１７は、トラフィック中継機能１５０がサーバ１３０から応答を受信した時に、アクセスログを出力するステップ（図１１に示すＦ３０２）の詳細を示すフローチャートである。

図１２に示すフローチャートとの相違点を説明する。

ステップＦ４０１において検索結果が得られた場合、トラフィック中継機能１５０は、応答メッセージ内の応答コードを取得する（Ｆ４０２）。

ステップＦ４０２において応答コードが得られた場合、トラフィック中継機能１５０は、ログ出力モード管理テーブル１５５の当該レコードの設定モード欄Ｄ１３に指定される設定モードとプロトコル名欄Ｄ１２に指定されるプロトコル名を得る（Ｆ４０３）。

次に、トラフィック中継機能１５０は、変換テーブル１５８のプロトコル名欄Ｄ３１と応答コード欄Ｄ３２の内容と当該プロトコル名と応答コードが同じレコードに記載される変更モード欄Ｄ３３のモードを取得する。このモードと、ログ出力モード管理テーブル１５５の当該セッションレコードの設定モード欄Ｄ１３に指定されるモードを比較する（Ｆ４０９）。

ステップＦ４０９において比較結果が異なる場合、トラフィック中継機能１５０は、ログ出力モード管理テーブル１５５の当該セッションレコードの設定モード欄Ｄ１３の内容を変換テーブル１５８の当該レコードの変更モード欄Ｄ３３のモードへ上書きする。そして、トラフィック中継機能１５０は、ステップＦ４０４へ移る（Ｆ４１０）。

一方、ステップＦ４０９において比較結果が同じであった場合、トラフィック中継機能１５０は、ステップＦ４０４の処理へ移る。

また、ステップＦ４０１においてレコードが検索できなかった場合と、ステップＦ４０２において応答コードを取得できなかった場合、トラフィック中継機能１５０は、ログ出力の設定モードを無圧縮と指定し、ステップＦ４０５へ移る（Ｆ４０７）。

以降の処理は、図１２に示す処理と同じである。

本実施例では、サーバ１３０からの応答内容を確認し、その内容に応じ動的にアクセスログ取得モードを変更している。これにより、検索される可能性があるアクセスログを無圧縮で記録することが可能となる。

本実施例によれば、アクセスログを検索する際、圧縮したアクセスログファイルを参照せずに検索することができるため、検索時間の高速化を図ることが可能となる。

１００：中継装置、１２０：クライアント、１３０：サーバ、１５０：トラフィック中継装置、１５１：プロトコル解析機能、１５２：ログ出力機能、１５３：ログ検索機能、１５４：識別テーブル、１５５：ログ出力モード管理テーブル、１５６：ログ出力アドレス設定テーブル、１５７：ログ出力管理テーブル、１５８：変換テーブル。

Claims (7)

1. クライアントとサーバにネットワークを介して相互接続される中継装置において、前記クライアントから受信した要求を前記サーバへ送信し前記サーバから受信した応答を前記クライアントへ送信する際のアクセスログ管理方法であって、
   前記クライアントから前記サーバへのアクセスに用いられるプロトコル毎にアクセスログの分別を行い、
   前記アクセスログのうち、事前に圧縮の対象として指定される種類のアクセスログを圧縮し、
   事前に無圧縮の対象として指定される種類の前記アクセスログを無圧縮する
   ことを特徴とするアクセスログ管理方法。
2. 請求項１のアクセスログ管理方法において、
   前記中継装置は、前記圧縮の対象として指定される種類と、前記無圧縮の対象として指定される種類を、予め、プロトコルと前記プロトコルのメッセージ種別について指定されたログ取得モードに従って、決定する
   ことを特徴とするアクセスログ管理方法。
3. 請求項２のアクセスログ管理方法において、
   前記ログ取得モードは、さらに、セッションごとに前記ログ取得モードを設定する設定モードに応じて、設定される
   ことを特徴とするアクセスログ管理方法。
4. 請求項３のアクセスログ管理方法において、
   前記中継装置は、
   前記サーバからの応答コードに応じて、前記設定モードを変更する
   ことを特徴とするアクセスログ管理方法。
5. 請求項１ないし４いずれか一に記載のアクセスログ管理方法において、
   前記中継装置は、
   前記圧縮したアクセスログを圧縮ログファイルに記録し、
   前記無圧縮のアクセスログを、無圧縮ログファイルに記録する
   ことを特徴とするアクセスログ管理方法。
6. 請求項５に記載のアクセスログ管理方法において、
   前記中継装置は、
   前記クライアントから検索要求を受けた場合に、前記無圧縮ログファイルを、前記圧縮ログファイルより優先して検索する
   ことを特徴とするアクセスログ管理方法。
7. 請求項６のアクセスログ管理方法において、
   前記中継装置は、
   前記無圧縮ログファイルを検索して、検索対象が見つからなかった場合に、前記圧縮ログファイルを対象に検索する
   ことを特徴とするアクセスログ管理方法。

Images