JP2021105897A - 制御プログラム、制御方法および制御装置 - Google Patents

Abstract

【課題】ログを欠損なく収集するタイミングを制御することを目的とする。【解決手段】コンピュータに、情報処理装置の処理に応じてログをログ記憶部に随時出力する前記情報処理装置の動作状態を示す複数の動作状態情報を取得した場合に、記憶部に記憶された、取得した前記複数の動作状態情報と単位時間あたりに前記情報処理装置が出力する前記ログのデータ量を示す出力速度との相関関係と、前記ログ記憶部が前記ログを記憶できる空き容量である記憶容量と、に基づいて、前記ログを前記ログ記憶部から収集するタイミングを制御する、処理を実行させる。【選択図】 図８

Description

制御プログラム、制御方法および制御装置に関する。

ログを収集することは、情報セキュリティ等の観点において重要な対策であり、ログを収集するユーザが増加している。例えば、ユーザは業務用コンピュータが出力するログを、監視用コンピュータを用いて収集・分析することで、業務用コンピュータの処理内容の健全性を高めることができる。ログは複数の業務用コンピュータから大量に出力されることが多いため、ログ収集の効率化は近年における重要な課題の一つとなっている。

ログの収集はリアルタイムに行うこともできるが、収集する側（監視用コンピュータ）も収集される側（業務用コンピュータ）も処理負荷が大きくなるとともに、処理遅延の問題も発生する。そのため、一定の間隔（収集間隔）で定期的にログを収集する方法や、スケジューラなどを利用し、業務時間外（例えば、夜中など）にログを収集する方法が提案されており、現実にもそれらの方法が採用されている場合が多い。

特開２００５−１５７９３３号公報

業務用コンピュータは、出力したログを複数のファイル（ログファイル）に順に記憶させ、既に全てのファイルにログが記憶されている場合、最も古いファイルに記憶されているログを削除し、空になったファイルに新しいログを記憶させることがある。このような場合、古いファイルに記憶されているログが監視用コンピュータに収集される前に削除されてしまうと、収集するログに欠損が発生する。

これに対し、上述した一定の間隔でログを収集する方法や業務時間外にログを収集する方法では、業務用コンピュータが突発的にユーザの想定より多い量のログを出力した場合に、ログに欠損が生じてしまうおそれがある。

１つの側面によれば、ログを欠損なく収集するタイミングを制御することを目的とする。

１つの態様では、コンピュータに、情報処理装置の処理に応じてログをログ記憶部に随時出力する前記情報処理装置の動作状態を示す複数の動作状態情報を取得した場合に、記憶部に記憶された、取得した前記複数の動作状態情報と単位時間あたりに前記情報処理装置が出力する前記ログのデータ量を示す出力速度との相関関係と、前記ログ記憶部が前記ログを記憶できる空き容量である記憶容量と、に基づいて、前記ログを前記ログ記憶部から収集するタイミングを制御する、処理を実行させる。

１つの側面によれば、ログを欠損なく収集するタイミングを制御することができる。

図１は、ログを収集する一例を示す。 図２は、ログ記憶部１５に記憶されるログの一例を示す。 図３は、制御装置１の機能ブロック図を示す。 図４Ａは、ログ収集部１１の機能ブロック図を示す。 図４Ｂは、出力量収集部１２の機能ブロック図を示す。 図５は、制御装置１のフローチャートの一例を示す。 図６Ａは、ステップＳ１の処理の一例を示す。 図６Ｂは、ステップＳ２１の処理の一例を示す。 図７は、ログの種類の具体例を示す。 図８は、ログを収集する別例を示す。 図９は、制御装置５の機能ブロック図を示す。 図１０Ａは、性能情報収集部５３の機能ブロック図を示す。 図１０Ｂは、性能情報分析部５４の機能ブロック図を示す。 図１１Ａは、ステップＳ１の処理の別例を示す。 図１１Ｂは、ステップＳ４１の処理の一例を示す。 図１１Ｃは、ステップＳ４２の処理の一例を示す。 図１２Ａは、関連テーブル７の一例を示す。 図１２Ｂは、関連テーブル７の一例を示す。 図１２Ｃは、関連テーブル７の一例を示す。 図１２Ｄは、関連テーブル７の一例を示す。 図１３は、関連テーブル８の一例を示す。 図１４は、実施例１および実施例２に係るハードウェア構成の一例を示す。

本発明を実施する実施例について、図面とともに説明をする。なお、明細書記載の実施例は、発明を実現する態様の１つであり、実施例中の各処理の内容や実行順序等については、発明を実現できる範囲内で適宜変更可能である。

〔実施例１〕
まず、実施例１で解決しようとする問題について、具体的な一例を説明する。

コンピュータ等の情報処理装置は、情報処理装置の処理に応じて随時マシンデータ（ログ）を出力している。情報処理装置を利用するユーザは、業務システムのサーバやネットワーク、ストレージ等へのサイバー攻撃や不正利用などの対策の為に、ログを収集し分析する場合がある。ここで、業務システムは、例えば、ドキュメント管理や顧客管理などの業務処理を実行するシステムなどである。ユーザはログを分析することによって、業務システムが正常に動作しているかを監視することができる。また、ログを収集・分析して業務システムの運用を管理する運用管理システムがある。運用管理システムは、業務システムを安全に管理する為に、リアルタイムにログへのアクセスを監視することでログを収集する。また、運用管理システムはログの改竄をチェックして内容の健全性を高める。しかしながら、運用管理システムが業務システムから常に（リアルタイムに）ログを収集すると、業務システムの処理能力（リソース）に影響を与えてしまい、業務システムが実行する各アプリケーションの動作に遅延が生じてしまうことがある。また、ログを収集する際、ログを含むデータにはヘッダなどと呼ばれる追加のデータが付加される。そのため、頻繁にログを収集しようとすると、余分に付加されるデータが増加する。つまり、最終的に同量のログを収集しようとする場合、ログをある程度まとめて収集するよりも少量のログを頻繁に収集した方が業務システムにかかる処理負荷が増大してしまう。このような問題に対し、例えば、運用管理システムが、リアルタイムではなく一定間隔毎にログを収集する方法がある。

業務システムは、例えば、ログを一定のファイル数のログファイルに時系列の順に記憶させ、全てのログファイルにログが記憶され、さらに新しくログが出力された場合、最古のログを上書き（削除）する。ここで、ログファイルは、出力したログを一定の容量毎に分割して記憶したデータファイルである。また、最古のログがログファイルに記憶されてから、最新のログに上書きされるまでのサイクルをローテーションと呼ぶことがある。業務システムが一定のファイル数でログを記憶している場合、運用管理システムがローテーションのサイクルよりも短い間隔でログを収集することによって、最古のログが最新のログによって上書きされる前に収集することが可能となる。しかし、業務システムが突発的に多くのログを出力した場合、ログの出力速度が速くなることで、ログを収集する前に未収集のログが上書きされ、収集するログに欠損が生じることがある。なお、出力速度は、例えば、業務システムが単位時間あたりにログを出力する速さである。

また、ログの出力速度の変化に応じてローテーションの時間間隔が変化するため、運用管理システムは業務システムが出力するログを欠損しないようにログを収集する間隔を一定間隔で適切に設定することは難しい。さらに、ログを出力するプログラムとログを収集するプログラムが異なる場合、ログを収集するプログラム側では、ログを出力するプログラム側がどのような処理を実行中であるかを把握することが難しい。また、ログを収集するプログラム側では、ログを出力するプログラム側が実行している処理によって、どのような種類のログが多く出力されるのかを予測することができない。例えば、実施例１では、ログを出力するプログラムが業務システムで動作し、ログを収集するプログラムが運用管理システムで動作する。そのため、ログを収集するプログラムとログを出力するプログラムが異なる態様であり、運用管理システムは、業務システムがログを出力するデータ量を判断できないことがある。

図１は、ログを収集する一例を示す。制御装置１は、ログ収集部１１と出力量収集部１２と記憶部１３を含む。また、制御装置１は監視対象サーバ１４からログを収集する。制御装置１は、例えば、運用管理システムのサーバである。監視対象サーバ１４は、ログ記憶部１５を含む。監視対象サーバ１４は、例えば、業務システムのサーバである。

ログ収集部１１は、例えば、後述する収集間隔に基づくタイミングで繰り返しログ記憶部１５からログあるいはログファイルを収集する。また、ログ収集部１１は、ログ記憶部１５からログを収集する際に、ログ記憶部１５に記憶されている全てのログを収集するようにしてもよい。また、ログ収集部１１は、ログ記憶部１５からログの差分のみを収集するようにしてもよい。つまり、ログ収集部１１は、ログ記憶部１５から制御装置１が収集していない分のログのみを収集するようにしてもよい。

出力量収集部１２は、例えば、ログ記憶部１５から、ログ記憶部１５に記憶されているログあるいはログファイルの出力量（サイズ情報）を含む情報を収集する。ここで、出力量とは、ログファイルの容量を示す情報であって、例えば、バイト単位で表されるログのデータ量である。

記憶部１３は、例えば、ログ収集部１１がログ記憶部１５から収集したログを記憶する。また、記憶部１３は、例えば、出力量収集部１２がログ記憶部１５から収集した出力量を記憶する。また、記憶部１３は、例えば、ログ収集部１１がログ記憶部１５からログを収集するタイミングの情報を記憶する。

監視対象サーバ１４は、制御装置１がログを収集（監視）する対象である情報処理装置である。監視対象サーバ１４は、例えば、業務システム、コンピュータ、サーバ、情報システムなどである。また、監視対象サーバ１４は、例えば、監視対象サーバ１４が実行する処理の内容に応じた種類のログを出力する。ここで、ログの種類の具体例は後述する図７で説明する。

ログ記憶部１５は、監視対象サーバ１４が実行する処理に応じて監視対象サーバ１４から出力されるログを記憶する。また、ログ記憶部１５は、後述する図２に示すログファイル２としてログをファイル形式で記憶する。

図２は、ログ記憶部１５に記憶されるログの一例を示す。ログファイル２１は、新しいログが出力されたために削除され、制御装置１が収集できなくなったログのファイルを示す。ログファイル２２〜２６は、図１に示すログ記憶部１５に記憶されているログファイル２であり、制御装置１が収集できるログファイル２である。ログは、例えば、ログファイル２２〜２６のように、複数のファイルに分割されて記憶される。図２では一例として、「５ファイルでローテーションする」、「１ファイルのサイズが１００Mega Byte（ＭＢ）になった時点で、ファイルが切り替わる」とする。つまり、一例として、５つのログファイルがあり、ログファイル１つあたりの記憶上限はそれぞれ１００ＭＢであるとする。なお、ログファイルのファイル数やログファイルの記憶上限は、後述する「ログの特徴」に相当する情報である。初めに、全てのファイル（ログファイル２１〜２５）に記憶されているログの容量がそれぞれ０ＭＢであるとする。次に、ログが出力され、ログファイル２１からログファイル２５まで順番に記憶されるとする。その後、ログファイル２１〜２５全てにログがそれぞれ１００ＭＢずつ記憶された場合を考える。このとき、更にログが出力されると、図１に示す監視対象サーバ１４は、最古のログファイル２であるログファイル２１に記憶されているログを削除する。その後、ログが削除されたことで０ＭＢになったログファイル２１（ログファイル２６）に新しく出力されたログが記憶され始める。仮に、ログファイル２６にログが１００ＭＢ分記憶された場合、次にログファイル２２に記憶されているログが削除されることになる。例えば、このように、ログファイル２が削除される（切り替わる）場合、ログファイル２に記憶されるログについての計測される出力速度は正確ではなくなる。なお、簡単の為、それぞれのログファイル２には上限の１００ＭＢずつ記憶される場合を説明したが、実際には、例えば９９ＭＢなど、正確に上限の容量まで記憶されるとは限らない。

図２を用いて説明した例によると、制御装置１は収集していないログの総量が５００ＭＢを超える前に収集すれば、ログが欠損することはないが、ログを収集する前にログの総量が５００ＭＢを超えた場合、削除された分のログが欠損する。例えば、ログが１ＭＢ／分の一定の速さで出力される場合は、ローテーション間隔は約５００分（約８．３３時間）である為、制御装置１は、ログの収集間隔を８時間に設定することで、全てのログを欠損することなく収集することが期待できる。なお、ローテーション間隔とは、ログが記憶された最古のログファイル２が最新のログが出力されたことによって、削除されるまでの間隔である。しかしながら、実際にはログがログファイル２に記憶される速度が一定であることは少なく、システムやサーバの稼働状況に応じてログの出力量も変化する。例えば、ログを欠損せずに収集するために十分な極めて短い間隔でログを収集するように設定すれば全てのログを収集することが期待できるが、この場合、リアルタイムでログを収集する方法と同様に、図１に示す監視対象サーバ１４のリソースに影響を与えてしまう。そのため、制御装置１が一定間隔でログを収集する場合、ログの出力量によってログファイル２がローテーションする間隔が一定ではなくなるため、制御装置１がログの欠損しない収集間隔を設定することは難しい。

〔機能ブロック〕
図３は、制御装置１の機能ブロック図を示す。なお、制御装置１は、例えば、サーバ、コンピュータ、Personal Computer（ＰＣ）などの情報処理装置である。また、制御装置１は、例えば、収集部３１、記憶部３２、取得部３３、算出部３４、設定部３５を含む。また、それぞれの処理部は、同一のハードウェアで実現してもよく、あるいは、複数のハードウェアに分散した態様で動作することとしてもよい。

収集部３１は、ログと出力量を外部の装置から収集し、収集した情報を記憶部へ出力する。収集部３１は、例えば、図１に示すログ記憶部１５からログファイル２を収集する。また、収集部３１は、例えば、図１に示すログ記憶部１５から、図１に示すログ収集部１１が収集していないログの出力量を示す情報を収集する。外部の装置は、例えば、サーバ、コンピュータ、ＰＣなどの情報処理装置であって、例えば、図１に示す監視対象サーバ１４である。また、収集部３１は、設定部３５が設定する収集間隔や収集時刻に基づいて、ログファイル２を収集する。なお、収集間隔とは、制御装置１が外部の装置からログを収集する時間的間隔である。また、収集時刻とは、制御装置１が外部の装置からログを収集する時間あるいは時刻である。また、収集時刻を単にタイミングと呼ぶこともある。

記憶部３２は、各種の情報を記憶する。各種の情報は、例えば、ログに関する情報、収集間隔、収集時刻などである。また、記憶部３２は、ハードウェアとしては、例えば、Hard Disk Drive（ＨＤＤ）、Solid State Drive(ＳＳＤ)等の記憶媒体である。また、記憶部３２は、例えば、収集部３１から受け取るログファイル２や出力量などの情報を記憶する。また、記憶部３２は、記憶している各種の情報を取得部３３へ出力する。

取得部３３は、記憶部３２に記憶されている各種の情報を取得し、取得した各種の情報を収集部３１、算出部３４、設定部３５へ出力する。また、取得部３３は各種の情報を有線回路または無線回路を介して取得あるいは出力する。なお、各種の情報は、例えば、ログ、ログファイル、ファイル数、サイズ、ファイルが切り替わる基準、出力速度などの情報である。また、取得部３３は、常に現在の時間（現在時刻）を取得する。なお、取得部３３は、制御装置１とは異なる装置から時間情報を取得してもよいし、制御装置１が図示しない計測部を用いて計測した時間情報を収集するように構成してもよい。

算出部３４は、取得部３３からログファイル２の情報を受け取る。算出部３４は、取得部３３から受け取るログファイル２に基づいて、ログファイル２がローテーションするファイルの数であるファイル数と、１ファイルあたりに記憶できる容量（サイズ）と、ファイルが切り替わる基準を特定する。ファイル数は、例えば、図２を例にすると「５ファイル」である。また、サイズは、例えば、図２を例にすると「１００ＭＢ」である。算出部３４は、単位時間あたりにログが出力されるデータ量である出力速度とローテーション間隔と収集していないログファイル２の内、最古のログファイル２が削除される時間を算出する。また、算出部３４は、算出したローテーション間隔と最古のログファイル２が削除される時間を設定部３５へ出力する。なお、ローテーション間隔は、例えば、図２を例にすると「８．３３時間」などである。また、ファイルが切り替わる基準は、例えば、「日付で切り替わる」、「ファイルサイズで切り替わる」などである。なお、図２ではファイルが切り替わる基準は「ファイルサイズで切り替わる」場合について説明した。ここで、ファイルが切り替わる基準が「日付で切り替わる」場合、図２に示すログファイル２が日付ごとに切り替わることを意味する。例えば、図２に示すログファイル２１が「１２月１０日」などである。この場合、例えば、図１に示す監視対象サーバ１４が「１２月１０日」に出力したログを図２に示すログファイル２１に記憶する。つまり、ファイルが切り替わる基準が「日付で切り替わる」場合、ユーザは、ファイル数に応じて一定の収集間隔（一定の日数ごと）でログを収集することで、全てのログを欠損なく収集することができる。算出部３４は、例えば式（１）を用いて出力速度を算出する。算出部３４は、算出した出力速度を設定部３５へ出力する。

（出力速度）＝（ファイルサイズ差分）／ΔＴ ・・・（１）
式（１）において、出力速度は、ログが出力される速さ（単位時間当たりのデータ量）を示す。また、ファイルサイズ差分は、前回収集したログファイル２の出力量と今回収集したログファイル２の出力量の差分を示す。ファイルサイズ差分は、例えば、図１に示す出力量収集部１２がログ記憶部１５からログの出力量を収集してから、次にログの出力量を収集するまでに新しくログ記憶部１５に記憶されたログのデータ量を示す。また、ΔＴは、ファイルサイズ差分に応じた、ログファイル２の出力量を収集する時間間隔である。ΔＴは、例えば、図１に示す出力量収集部１２がログ記憶部１５からログの出力量を収集する際の時間間隔である。

設定部３５は、算出部３４からファイル数と、ログファイルのサイズと、ファイルが切り替わる基準と、出力速度を受け取る。設定部３５は、受け取った情報に基づいて、収集時刻を設定する。また、設定部３５は、取得部３３から現在時刻を取得する。設定部３５は、取得した現在時刻と設定した収集時刻を比較し、現在時刻が収集時刻と一致しているか否かを判定する。設定部３５は、判定の結果、一致する場合、ログを収集すると決定する。

設定部３５が収集時刻を設定する一例を説明する。仮に、ファイル数が「５ファイル」、ログファイルのサイズが「１００ＭＢ」、ファイルが切り替わる基準が「ファイルサイズで切り替わる」、出力速度が「１ＭＢ／分」であるとする。さらに、図１に示すログ収集部１１が「１２月１０日０時０分」にログ記憶部１５からログファイルを収集したとする。この場合、上述したように「８．３３時間」を経過すると、ログ収集部１１が収集していない最古のログが削除されることになる。そのため、設定部３５は、例えば、収集間隔を８時間と設定し、次回の収集時刻を「１２月１０日８時０分」と設定する。この場合、図１に示すログ収集部１１は現在時刻が「１２月１０日８時０分」になったタイミングでログを収集する。

なお、設定部３５は、例えば、ユーザが収集間隔と収集時刻を再設定できるようにしてもよい。つまり、上述した例の場合、設定部３５は、収集間隔を「８．３３時間」以内の時間でログ収集すれば全てのログを欠損なく収集することが期待できる。しかしながら、上述したように、例えば、図２に示すログファイル２が正確にファイルサイズで切り替わることは少なく、出力速度が常に一定であるとは限らない。そのため、ユーザは、設定部３５が設定した「８．３３時間」時間に対して、「８時間」や「３００分」などと設定し直してもよい。また、制御装置１は、収集間隔および収集時刻を再設定するための図示しない再設定部を備えるようにしてもよい。さらに、制御装置１は、初期状態の収集間隔および収集時刻を設定する為の図示しない初期設定部などを備えるようにしてもよい。

図４Ａは、ログ収集部１１の機能ブロック図を示す。ログ収集部１１は、収集部１１１と取得部１１２を含む。収集部１１１は、図３に示す収集部３１として機能する。また、取得部１１２は、図３に示す取得部３３として機能する。

図４Ｂは、出力量収集部１２の機能ブロック図を示す。出力量収集部１２は、収集部１２１と取得部１２２と算出部１２３と設定部１２４を含む。収集部１２１は、図３に示す収集部３１として機能する。また、取得部１２２は、図３に示す取得部３３として機能する。また、算出部１２３は、図３に示す算出部３４として機能する。また、設定部１２４は、図３に示す設定部３５として機能する。

〔フローチャート〕
図５は、制御装置１のフローチャートの一例を示す。制御装置１は、例えば、収集時刻を設定し（ステップＳ１）、収集するか否かを判定し（ステップＳ２）、ログを収集する（ステップＳ３）。ステップＳ１の処理については後述する。ステップＳ２では、図３に示す設定部３５が設定した収集時刻と現在時刻に基づいて、現在時刻が収集時刻と一致しているか否かを判定する。判定の結果、一致する場合（ステップＳ２：Ｙ）、設定部３５は、ログ記憶部１５からログを収集すると決定し、ステップＳ３の処理が実行される。一方、判定の結果、一致しない場合（ステップＳ２：Ｎ）、設定部３５は、ログ記憶部１５からログを収集しないと決定し、ステップＳ１の処理に戻る。ステップＳ３では、図３に示す収集部３１がログを収集し、収集したログを記憶部３２に出力する。ステップＳ３の処理の後はステップＳ１の処理に戻る。

図６Ａは、ステップＳ１の処理の一例を示す。制御装置１は、例えば、ログの出力量を収集し（ステップＳ２１）、ログの特徴を特定し（ステップＳ２２）、収集間隔を算出し（ステップＳ２３）、収集時刻を設定する（ステップＳ２４）。ステップＳ２１の処理については後述する。ステップＳ２２では、図３に示す収集部３１が収集したログの出力量の情報に基づいて、算出部３４がファイル数、サイズ、ファイルが切り替わる基準の情報を特定する。ステップＳ２３では、算出部３４が算出した出力速度と、算出部３４が特定したファイル数、サイズ、ファイルが切り替わる基準の情報に基づいて、出力速度が一定であると仮定した場合の、収集部３１が収集していない最古のログが削除される時間（収集間隔）を算出する。ステップＳ２４では、算出部３４が算出した収集間隔と、取得部３３が取得した現在時刻に基づいて、収集部３１がログを収集する時間（収集時刻）を設定部３５が設定する。制御装置１は、ステップＳ２４の処理を実行した場合、ステップＳ２１の処理に戻って実行する。なお、ステップＳ２１〜Ｓ２４の処理は、例えば、所定の間隔（例えば、１分間隔）で繰り返し実行する。

図６Ｂは、ステップＳ２１の処理の一例を示す。制御装置１は、例えば、ログの出力量を収集し（ステップＳ３１）、出力量が減っているか否かを判定し（ステップＳ３２）、出力速度を算出する（ステップＳ３３）。ステップＳ３１では、図３に示す収集部３１（あるいは、図４Ｂに示す収集部１２１）がログの出力量を収集する。次にステップＳ３２では、収集部３１が収集した出力量（今回の出力量）と、収集部３１が前回に収集した出力量（前回の出力量）と、を比較し、算出部３４は、今回の出力量が前回の出力量よりも少ない場合、出力量が減っていると判定する。さらに、算出部３４は、出力量が減っていると判定した場合（ステップＳ３２：Ｙ）、ログファイルが削除されたことを検知し、ステップＳ３１の処理に戻る。これにより、出力速度が正しく算出できないと判断される場合に、ログの出力量の収集が再実行される。ステップＳ３２では、算出部３４が出力量が減っていないと判定した場合（ステップＳ３２：Ｎ）、ステップＳ３３の処理を実行する。ステップＳ３３では、算出部３４は、式（１）を用いて、出力速度を算出する。また、制御装置１は、ステップＳ３３を実行した場合、図６Ａに示すステップＳ２２の処理を実行する。

制御装置１は、例えば、図５に示すステップＳ１〜Ｓ３の処理と、図６Ａに示すステップＳ２１〜Ｓ２４の処理をそれぞれ独立して実行するように構成してもよい。つまり、例えば、図示しないログ収集装置が図５に示すステップＳ１〜Ｓ３の処理を実行し、図示しない設定装置が図６Ａに示すステップＳ２１〜Ｓ２４の処理を実行してもよい。この場合、例えば、図示しない通信部などを用いて、図示しない設定装置が設定した収集時刻を、図示しないログ収集装置に通知するようにし、図示しないログ収集装置は通知された収集時刻に基づいて、図５に示すステップＳ１〜Ｓ３の処理を実行してもよい。

また、制御装置１は、必ずしも図６Ａに示すステップＳ２３〜Ｓ２４の処理をする必要はない。つまり、制御装置１は、ログの出力量とログの特徴に基づいて、制御装置１が収集していないログのデータ量が、ファイル数とファイルのサイズに基づいて算出される最大の容量となった場合にログを収集するように構成してもよい。図１と図２を用いて、図１に示すログ記憶部１５には図２に示すログファイル２が記憶される場合について考える。制御装置１は、例えば、ログ記憶部１５に記憶されている、ログ収集部１１が収集していないログのデータ量が５００ＭＢ（最大の記憶容量）になったことを、出力量収集部１２が算出した場合、即時、ログ収集部１１にログ記憶部１５が記憶している全てのログファイル２を収集させてもよい。こうすることで、制御装置１は全てのログを欠損なく収集することができる。さらに、このとき、ログ記憶部１５に記憶されている、ログ収集部１１が収集していないログのデータ量が例えば４００ＭＢ（最大の記憶容量の８０％）などになった場合に、ログ収集部１１にログファイル２を収集させてもよい。こうすることで、制御装置１の処理や制御装置１と監視対象サーバ１４との通信状況などによるタイムラグや、最大の記憶容量まで正確にログ記憶部１５がログを記憶しない場合などによって、制御装置１がログを欠損するリスクを軽減できる。これらの方法は、ログ収集のタイミングを、ログを記憶するための空き容量に応じて決定していると言うことができる。

また、制御装置１は図示しないログ分析部を備えてもよい。図示しないログ分析部は、例えば、図１に示すログ収集部１１が収集したログを分析する。制御装置１は、収集したログを分析することで、図１に示す監視対象サーバ１４に不正な処理が実行されていないかなどを監視する。

また、制御装置１は、例えば、ログの出力量とログの特徴に基づいて収集時刻を設定し、設定した収集時刻でログを収集することで、制御装置１が収集していないログが削除される前に収集することができるため、全てのログを欠損なく収集することができる。

また、制御装置１は、例えば、ユーザが設定する収集時刻と図３に示す設定部３５が設定する収集時刻を比較し、ログ収集のタイミングがより早くなる収集時刻でログを収集する（早くなる収集時刻を優先的に採用する）こととしてもよい。あるいは、制御装置１は、ユーザが設定する収集時刻と図３に示す設定部３５が設定する収集時刻を比較し、制御装置１がログを欠損する場合にのみ設定部３５が設定する収集時刻でログを収集することとしてもよい。こうすることで、制御装置１はユーザが設定する収集時刻でログを収集しながら、ログを欠損するリスクを回避することができる。

図７は、ログの種類の具体例を示す。ログは、例えば、操作内容や操作に伴うシステムの動き、データの移り変わりなどが時系列に沿って記録され、カテゴリ４１とログの種類４２のように分類される。ログの種類４２に示すように、図１に示す監視対象サーバ１４は処理に応じて複数の種類のログをそれぞれ出力し記憶する。また、制御装置１は、監視対象サーバ１４が記憶する複数の種類のログをそれぞれ収集する。また、ログのカテゴリとログの種類は、カテゴリ４１とログの種類４２に示すだけでない。カテゴリ４１とログの種類４２はそれぞれログの一部を説明する。

カテゴリ４１は、ログの種類を分類するカテゴリの名称である。カテゴリ４１は、例えば、Ｗｉｎｄｏｗｓ（登録商標）イベントログ、ＵＮＩＸ（登録商標） Operating System（ＯＳ）ログ、Global Server（ＧＳ）システムのログ、Windows Internet Information Service（ＩＩＳ）ログ、Ａｐａｃｈｅ（登録商標）、ミドルウェア、ストレージなどである。

Ｗｉｎｄｏｗｓイベントログは、コンピュータのＯＳの一つであるＷｉｎｄｏｗｓのシステム内で生じた現象や動作を記録するイベントログなどについてのカテゴリである。

ＵＮＩＸ ＯＳログは、コンピュータのＯＳの一つであるＵＮＩＸ ＯＳの処理に応じて出力されるログについてのカテゴリである。

ＧＳシステムのログは、例えば、グローバルサーバの処理に応じて出力されるログについてのカテゴリである。

ＩＩＳログは、ＷｉｎｄｏｗｓのWorld Wide Web（ＷＷＷ）Ｗｅｂサーバソフトウェアの一つであるＩＩＳの処理に応じて出力されるログについてのカテゴリである。

Ａｐａｃｈｅログは、Ｗｅｂサーバソフトウェアの一つであるＡｐａｃｈｅの処理に応じて出力されるログについてのカテゴリである。

ミドルウェアログは、コンピュータのミドルウェアの処理に応じて出力されるログについてのカテゴリである。

ストレージログは、コンピュータのストレージの処理に応じて出力されるログについてのカテゴリである。

ログの種類４２は、カテゴリ４１ごとに分類されたログの種類を示す。ログの種類４２は、例えば、アプリケーションログ、セキュリティログ、システムログ、Domain Name System（ＤＮＳ）サーバログ、ディレクトリサービス、ファイル複製サービス、Distributed File System（ＤＦＳ）レプリケーション、ハードウェアイベントログ、転送されたイベントログなどがある。また、ログの種類４２は、例えば、Ｈｙｐｅｒ−Ｖサーバイベントログ、シスログ、ログインログ、ｓｕログ、アクセスログ、業務ログ、ＮＣＳＡ共通ログファイル形式、Ｍｉｃｒｏｓｏｆｔ（登録商標） ＩＩＳログファイル形式、Ｗ３Ｃ拡張形式、アクセスログ ＮＣＳＡ形式（初期形式）、エラーログなどがある。また、ログの種類４２は、例えば、コマンドが出力するログ、コンソール監査ログ、サーバアクセス監査ログ、イベントログなどがある。

アプリケーションログは、例えば、アプリケーションの動作状況をアプリケーション自身がファイルに記録するログである。

セキュリティログは、例えば、特定ファイルの読み取り成功やログオンの失敗などの監査の成功や失敗などを出力するログである。

システムログは、例えば、ＯＳの稼働中に発生した重要なイベントを記録したログである。

ＤＮＳ サーバログは、例えば、インターネットなどのTransmission Control Protocol（ＴＣＰ）／Internet Protocol（ＩＰ）ネットワーク上でドメイン名やホスト名とＩＰアドレスの対応関係などを管理するＤＮＳサーバが記録するログである。

ディレクトリサービスは、例えば、ネットワーク上の資源とその所在や属性、設定などの情報を収集・記録し、検索できるシステムであるディレクトリサービスが記録するログである。

ファイル複製サービスは、例えば、ファイルの複製に関する管理を行うファイル複製サービスが、ファイルの複製に関する問題のトラブルシューティングのために出力するイベントログである。

ＤＦＳレプリケーションは、例えば、複数のコンピュータのフォルダ間を関連付け、内部のファイルやフォルダを自動的に複製することで可用性の向上や負荷分散を図る機能であるＤＦＳレプリケーションの処理を記録するログである。

ハードウェアイベントログは、例えば、電源、ＨＤＤ、温度、ＣＰＵ、メモリなどに関するログである。

転送されたイベントログは、例えば、イベントビューアで、別の情報処理装置のイベントを受信し、受信したログを記録するように設定した場合に、別のコンピュータから転送されたイベントログである。

Ｈｙｐｅｒ−Ｖサーバイベントログは、例えば、仮想マシンの動作を監視する監視機能によって記録される、仮想マシンのイベントに関するログである。

シスログは、例えば、ＯＳの稼働中に発生した重要なイベントを記録したログである。

ログインログは、例えば、コンピュータのログイン操作を記録するログである。

ｓｕログは、例えば、ＵＮＩＸにおけるsubstitute user（ｓｕ）コマンドによってＵＮＩＸを操作するユーザを切り替える場合に記録するログである。

アクセスログは、例えば、ユーザや外部のシステムからの操作や要求などを記録するログである。

業務ログは、例えば、オンラインのデータベース処理とデータ保証機能を備える総合オンライントランザクションシステムが出力する、業務の履歴を記録するログである。

National Center for Supercomputing Applications（ＮＣＳＡ）共通ログファイル形式は、例えば、ＩＩＳなどのＷｅｂサーバが記録するログのファイル形式の一つであって、カスタマイズできない固定のAmerican Standard Code for Information Interchange（ＡＳＣＩＩ）形式である。

Ｍｉｃｒｏｓｏｆｔ ＩＩＳログファイル形式は、例えば、ＩＩＳなどのＷｅｂサーバが記録するログのファイル形式の一つであって、カスタマイズできない固定のＡＳＣＩＩ形式である。Ｍｉｃｒｏｓｏｆｔ ＩＩＳログファイル形式では、例えば、ＮＣＳＡ共通ログファイル形式よりも多くの情報項目が記録される特徴がある。

Ｗ３Ｃ拡張形式は、例えば、ＩＩＳなどのＷｅｂサーバが記録するログのファイル形式の一つであって、カスタマイズが可能なＡＳＣＩＩ形式である。

アクセスログ ＮＣＳＡ形式（初期形式）は、例えば、Ａｐａｃｈｅが出力するアクセスログであって、ＮＣＳＡフォーマットで出力されるログである。

エラーログは、例えば、コンピュータ上でエラーが発生した際に記録する、エラーの内容やエラーが発生した日時、エラーの状況などのログである。

コマンドが出力するログは、例えば、ミドルウェアが提供するコマンドが独自に出力するログである。

コンソール監査ログは、例えば、画面から実行したシステムの操作に関する操作内容を記録するログである。

サーバアクセス監査ログは、例えば、サーバのアクセスに関する操作内容を記録するログである。

イベントログは、例えば、システム内で起こった現象や動作を記録するログである。

例えば、カテゴリ４１が「Ｗｉｎｄｏｗｓイベントログ」であるログには、ログの種類４２が「アプリケーションログ」、「セキュリティログ」、「システムログ」などのログが属する。制御装置１は、ログの種類４２に示すような種類の異なるログをそれぞれ収集する。

〔実施例２〕
実施例１では、例えば、図１に示す制御装置１が監視対象サーバ１４から全てのログを欠損することなく収集する方法について説明した。上述したように、制御装置１は、ログの出力量を収集する度に、収集したログの出力量と前回の出力量に基づいてログの出力速度を算出し、算出した出力速度とログの記憶容量（の空き容量）に基づいて収集間隔を算出している。しかしながら、ログの出力量に基づいて正しい出力速度を算出できない場合があり、この場合にはログの出力量を再度、収集し直す必要が生じる。このように、制御装置１は、収集間隔を算出するまでに必要とする処理を繰り返し実行することによる処理負荷が大きいという問題がある。実施例２では、例えば、このような問題を改善する手段として、運用管理システムがログの出力量とは別に業務システムから収集する性能情報に注目した、制御装置について説明する。なお、以降の説明においては、実施例１と同じ構成である場合は説明を省略し、実施例１と異なる構成について説明する。

図８は、ログを収集する別例を示す。制御装置５は、ログ収集部５１と出力量収集部５２と性能情報収集部５３と性能情報分析部５４と記憶部５５を含む。また、制御装置５は、例えば、監視対象サーバ５６からログを収集する。監視対象サーバ５６は、ログ記憶部５７と性能情報取得部５８を含む。なお、制御装置５は図１に示す制御装置１と同様の機能を備える。つまり、ログ収集部５１は、図１に示すログ収集部１１と同様の機能を備える。また、出力量収集部５２は、図１に示す出力量収集部１２と同様の機能を備える。また、記憶部５５は、図１に示す記憶部１３と同様の機能を備える。また、監視対象サーバ５６は、図１に示す監視対象サーバ１４と同様の機能を備える。また、ログ記憶部５７は、図１に示すログ記憶部１５と同様の機能を備える。

性能情報収集部５３は、例えば、性能情報取得部５８から監視対象サーバ５６の性能情報を収集する。ここで、性能情報とは、例えば、監視対象サーバ５６の各リソースの動作状態（すなわち、リソースの稼働状態や負荷）を示す情報であって、動作状態情報、稼働状態情報、負荷情報等と言い換えることができる。性能情報には、後述する図１２Ａ〜図１２Ｄに示すような種類の情報を含む。また、以降の説明では、性能情報の項目を性能項目と記載し、性能情報の値を性能値と記載して説明する。

性能情報分析部５４は、例えば、性能情報収集部５３が収集した性能情報を分析する。

制御装置５は、監視対象サーバ５６からログの出力量と性能情報を収集し、性能情報の値の変化とログの出力量との関係を分析し記憶しておくことで、収集した性能情報の値の変化に応じたログの収集時刻を設定する。

図９は、制御装置５の機能ブロック図を示す。制御装置５は、例えば、収集部６１、記憶部６２、取得部６３、算出部６４、生成部６５、設定部６６を含む。また、収集部６１、記憶部６２、取得部６３、算出部６４、設定部６６はそれぞれ、図３に示す収集部３１、記憶部３２、取得部３３、算出部３４、設定部３５と同じ構成を含む。また、それぞれの処理部は、同一のハードウェアで実現してもよく、あるいは、複数のハードウェアに分散した態様で動作してもよい。

収集部６１は、例えば、図８に示す性能情報取得部５８から性能情報を収集し、記憶部６２へ出力する。

記憶部６２は、例えば、収集部６１が収集した性能情報と、生成部６５が生成した性能情報とログの出力量の関連を表す情報を記憶する。

取得部６３は、例えば、記憶部６２から性能情報と、後述する関連テーブル７と後述する関連テーブル８とを取得し、取得した情報を収集部６１、算出部６４、生成部６５、設定部６６へ出力する。

算出部６４は、例えば、出力速度と性能値の増加率と関係係数を算出し、算出した結果を記憶部６２へ出力する。性能値の増加率は、収集部６１が収集した性能値と、任意のタイミングに収集部６１が収集した性能値とを比較した場合の値の増加率を示す。なお、任意のタイミングは、例えば、通常時であるとする。但し、通常時とは、例えば、図８に示す監視対象サーバ５６がおよそ通常の業務に関する処理を実行している場合であって、所定の期間において平均的なデータ量のログを監視対象サーバ５６が出力している状態を表すとする。なお、所定の期間とは、例えば１日や１か月などである。また、関係係数とは、例えば、算出部６４が算出した任意の収集間隔に対して、収集間隔を調整するための係数である。なお、任意の収集間隔は、例えば、通常時の収集間隔である。また、収集間隔とは、前回のログ収集が行われてから次のログ収集が行われるまでの時間間隔を意味する。算出部６４は、例えば、出力速度を実施例１と同様に式（１）を用いて算出する。また、算出部６４は、例えば、式（２）を用いて性能値の増加率を算出する。また、算出部６４は、例えば、式（３）を用いて収集間隔を算出する。

（性能値の増加率）＝（今回の性能値）／（通常時の性能値） ・・・（２）
但し、「性能値の増加率」は出力速度が変化した場合における図９に示す収集部６１が収集した性能値の変化量を示す。また、「今回の性能値」は、制御装置５が図１１Ａに示すステップＳ４２の処理を実行して収集した性能情報の値を示す。また、「通常時の性能値」は、制御装置５が図１１Ａに示すステップＳ４１の処理を実行して算出した通常時の出力速度における性能情報の値を示す。

（収集間隔）＝（通常時の収集間隔）×（関係係数） ・・・（３）
但し、「収集間隔」は制御装置５がログを収集する間隔を示す。あるいは、「収集間隔」は、制御装置５が図１１Ａに示すステップＳ４２の処理を実行して算出する収集間隔である。また、「通常時の収集間隔」は、制御装置５が図１１Ａに示すステップＳ４１の処理を実行して設定する収集間隔を示す。また、「関係係数」は、制御装置５が図１１Ｃに示すステップＳ６６の処理を実行して算出した関係係数を示す。

生成部６５は、例えば、取得部６３から受け取る性能情報とログの出力量を関連付けて、後述する図１２Ａ〜図１２Ｄに示す関連テーブル７と後述する図１３に示す関連テーブル８をそれぞれ生成し、生成した情報を記憶部６２に記憶する。生成部６５は、例えば、性能情報とログの出力量に基づいて、少なくとも１項目の性能値が増加しているタイミングで、出力量が増加しているログの種類を特定し、これらの性能情報とログを関連付けたテーブルとして関連テーブル７を生成する。また、生成部６５は、例えば、性能情報とログの出力量に基づいて、性能値の増加率と出力速度と関係係数と収集間隔とを関連付けたテーブルとして関連テーブル８を生成する。

また、生成部６５は、収集部６１が性能情報および出力量を収集すると、既に関連テーブル７が生成されているか否かを判定する。また、生成部６５は、収集部６１が性能情報および出力量を収集すると、算出部６４が算出した性能値の増加率の組み合わせが既に関連テーブル８に記憶されているか否かを判定する。なお、生成部６５は、例えば、算出部６４が算出した性能値の増加率の組み合わせが、記憶部６２に関連テーブル８として既に記憶されている性能値の増加率の組み合わせと一致しているか否かに基づいて、判定する。ただし、生成部６５は、必ずしも、算出部６４が算出した性能値の増加率の組み合わせが、記憶部６２に関連テーブル８として既に記憶されている性能値の増加率の組み合わせと一致している必要はない。つまり、生成部６５は、算出部６４が算出した性能値の増加率の組み合わせが、記憶部６２に関連テーブル８として既に記憶されている性能値の増加率の組み合わせと所定の値（例えば、１％）を誤差の範囲内として一致していると判定してもよい。

設定部６６は、例えば、取得部６３から性能情報と、後述する関連テーブル７と後述する関連テーブル８とを取得し、取得した情報に基づいて、収集時刻を算出する。

図１０Ａは、性能情報収集部５３の機能ブロック図を示す。性能情報収集部５３は、収集部５３１と取得部５３２を含む。収集部５３１は、図９に示す収集部６１として機能する。また、取得部５３２は、図９に示す取得部６３として機能する。

図１０Ｂは、性能情報分析部５４の機能ブロック図を示す。性能情報分析部５４は、取得部５４１と算出部５４２と生成部５４３と設定部５４４を含む。取得部５４１は、図９に示す取得部６３として機能する。また、算出部５４２は、図９に示す算出部６４として機能する。また、生成部５４３は、図９に示す生成部６５として機能する。また、設定部５４４は、図９に示す設定部６６として機能する。

〔フローチャート〕
制御装置５の処理について説明する。なお、制御装置５は、図５に示すステップＳ１〜Ｓ３の処理を実行する。また、実施例１とは異なる処理として、ステップＳ１の詳細を説明する。

図１１Ａは、ステップＳ１の処理の別例を示す。制御装置５は、ログの出力量を収集し（ステップＳ２１）、通常時の収集間隔を設定し（ステップＳ４１）、性能情報を収集し（ステップＳ４２）、収集時刻を算出し（ステップＳ４３）、収集時刻を通知する（ステップＳ２４）。なお、ステップＳ４１〜Ｓ４２の処理については後述する。また、ステップＳ２１の処理は、図６Ａに示すステップＳ２１と同じため説明を省略する。ステップＳ４３では、図９に示す算出部６４が、生成部６５が生成した関連テーブル８に基づいて収集間隔を決定する。さらに、算出部６４は、取得部６３が収集した現在時刻に基づいて収集時刻を算出する。制御装置５は、ステップＳ２４の処理を実行した場合、ステップＳ２１の処理に戻って実行する。なお、ステップＳ２１〜Ｓ２４の処理は、例えば、所定の間隔（例えば、１分間隔）で繰り返し実行する。

図１１Ｂは、ステップＳ４１の処理の一例を示す。制御装置５は、通常時の収集間隔を設定したか否かを判定し（ステップＳ５１）、ログの特徴を特定し（ステップＳ２２）、通常時の収集間隔を設定する（ステップＳ５２）。ステップＳ５１では、制御装置５は、図９に示す設定部６６が通常時の収集間隔を設定したか否かを判定し、判定の結果、通常時の収集間隔を設定していない場合（ステップＳ５１：Ｎ）、ステップＳ２２を実行する。一方、ステップＳ５１では、判定の結果、通常時の収集間隔を設定している場合（ステップＳ５１：Ｙ）、ステップＳ４１の処理は終了する。なお、ステップＳ２２は図６Ａに示すステップＳ２２の処理と同じため説明を省略する。

ステップＳ５２では、制御装置５は、図９に示す算出部６４が算出した出力速度と算出部６４が特定したログの特徴に基づいて、出力速度が一定であると仮定した場合の収集間隔を通常時の収集間隔として算出する。さらに、ステップＳ５２では、図９に示す設定部６６が、通常時の出力速度と、通常時の性能値を設定する。なお、ステップＳ５２では、制御装置５は必ずしも一度の処理で通常時の収集間隔を決定する必要はない。つまり、制御装置５が、ステップＳ２１およびステップＳ４１を繰り返し実行し、複数（例えば、５回）の通常時の収集間隔を仮に算出し、平均した収集間隔を最終的な通常時の収集間隔として決定してもよい。また、図５に示すステップＳ１では、制御装置５は、図９に示す算出部６４が算出した通常時の収集間隔に基づいて収集時刻を設定してもよい。また、ステップＳ４１の処理は必須ではなく、ユーザが通常時の収集間隔を設定するように構成してもよい。

図１１Ｃは、ステップＳ４２の処理の一例を示す。制御装置５は、性能情報を収集し（ステップＳ６１）、関連テーブル７を生成するか否かを判定し（ステップＳ６２）、関連テーブル７を生成する（ステップＳ６３）。さらに、制御装置５は、性能値の増加率を算出し（ステップＳ６４）、関連テーブル８に記憶されているか否かを判定し（ステップＳ６５）、関連テーブル８を生成する（ステップＳ６６）。ステップＳ６２では、制御装置５は、判定の結果、関連テーブル７を生成する場合は（ステップＳ６２：Ｙ）ステップＳ６３を実行し、関連テーブル７を生成しない場合は（ステップＳ６２：Ｎ）ステップＳ６４を実行する。また、ステップＳ６５では、制御装置５は、判定の結果、関連テーブル８に記憶されていない場合は（ステップＳ６５：Ｎ）ステップＳ６６を実行し、関連テーブル８に記憶されている場合は（ステップＳ６５：Ｙ）ステップＳ４２の処理を終了する。

ステップＳ６１では、図９に示す収集部６１が性能情報を収集する。

ステップＳ６２では、生成部６５が後述する図１２Ａ〜図１２Ｄに示す関連テーブル７を生成するか否かを判定する。なお、ステップＳ６２の処理は、既に関連テーブル７が生成されているか否かに基づいて判定してもよい。また、制御装置５は予めステップＳ６３の処理を実行する任意の回数を決定し、ステップＳ６２では、ステップＳ６３の実行済み回数に基づいて、関連テーブル７を生成するか否かを判定してもよい。

ステップＳ６３では、図９に示す生成部６５が性能情報の値の変化とログの出力量の変化に基づいて、後述する図１２Ａ〜図１２Ｄに示す関連テーブル７を生成する。また、ステップＳ６３では、生成部６５が必ずしも一度の処理で関連テーブル７を生成する必要はない。つまり、制御装置５は、ステップＳ６３の処理を複数回実行し関連テーブル７を生成する。これにより、収集部６１が性能情報および出力量の異常値を収集した場合に、誤った関連テーブル７を生成することを抑制することができる。

ステップＳ６４では、図９に示す算出部６４が性能値の増加率を算出する。性能値の増加率は、例えば、前述した式（２）に基づいて算出される。

ステップＳ６５では、生成部６５が、算出部６４が算出した性能値の増加率の組み合わせが関連テーブル８に記憶されているか否かを判定する。

ステップＳ６６では、図９に示す生成部６５が出力速度と性能値の増加率に基づいて関連テーブル８を生成する。

制御装置５が複数種類のログを収集しようとする場合、図９に示す生成部６５は、複数の性能項目に基づいて関連テーブル７を生成することが望ましい。図８に示す監視対象サーバ５６のネットワークやシステムの状態は、例えば、性能情報として、制御装置５が収集するため、性能情報の推移とログの出力量の推移を合わせて収集（監視）することにより、ログの出力量の増加契機を検知することができる。しかしながら、監視対象サーバ５６の性能情報は多種多様であり、各性能項目それぞれが関連しあっているため、特定の性能項目の監視だけでは、特定の種類に注目してログの出力量の増減を検知することは困難である。そのため、制御装置５は、複数の性能項目を監視することで、性能項目と関連する種類のログを特定することが期待できる。

図１２Ａ〜図１２Ｄは、関連テーブル７の一例を示す。関連テーブル７は、性能情報の項目と特定の種類のログとの関連を表すテーブルである。関連テーブル７は、例えば、性能情報７１とログの種類７２を含む。関連テーブル７は、ログの出力量の増加と同時に性能値が上昇している性能項目に対して丸印で示す。性能情報７１の詳細については後述する。ログの種類７２は、例えば、「アクセスログ」（図７に示す、アクセスログ ＮＣＳＡ形式（初期形式）と同様）と、「コマンドが出力するログ」（図７に示す、コマンドが出力するログと同様）を含む。図１２Ａ〜図１２Ｄに示す関連テーブル７の例では、例えば、「アクセスログ」と「コマンドが出力するログ」のそれぞれの出力量の増加に関連して、丸印に示す性能情報７１の値が上昇している傾向があることが分かる。

性能情報７１は、例えば、図１２Ａに示すページフォルト数、ＣＰＵ使用率、ディスクビジー率、実メモリ使用率、ページファイル使用率、プロセス数、プロセッサ待ちスレッド数、ディスク使用率、ディスク待ち要求数などである。また、性能情報７１は、例えば、図１２Ｂに示す受信バイト数、送信バイト数、回線使用率、受信パケット率、破棄パケット率、エラーパケット率、セグメント使用率、コリジョン発生率、リクエスト数などである。また、性能情報７１は、例えば、図１２Ｃに示す単位時間内でのInput / Output（Ｉ／О）完了待ち時間率、ディスクからの読み込み回数、ディスクへの書き込み回数、Read / Write（Ｒ／Ｗ）待ち時間、Structured Query Language（ＳＱＬ）文実行回数、デッドロック回数、占有待ち回数、などである。また、性能情報７１は、例えば、図１２Ｄに示す物理読み込み回数、最大処理待ち時間Ａ、最大処理待ち時間Ｂ、コネクション数関連、レスポンス数関連などである。図１２Ａ〜図１２Ｄは、例えば、Ｗｅｂサーバが出力するログは、受信バイト数、送信バイト数、回線使用率などの性能情報７１と関連して出力されることを示す。また、図１２Ａ〜図１２Ｄは、例えば、アプリケーションサーバが出力するログは、ＣＰＵ使用率、実メモリ使用率、ディスク使用率などの性能情報７１と関連して出力されることを示す。

ページフォルト数は、例えば、プログラムがアクセスしようとした仮想メモリ領域が物理メモリ上に無く、ハードディスクなどに退避されていることが分かったときに発生する処理の数である。

ＣＰＵ使用率は、例えば、コンピュータが実行中のプログラムがＣＰＵの処理時間を占有している割合または総和である。

ディスクビジー率は、例えば、コンピュータ上のディスク毎の負荷の偏りなどを示す割合である。

実メモリ使用率は、例えば、コンピュータの物理メモリの使用率、主記憶装置の記憶容量に対してコンピュータが使用している容量の割合などである。

ページファイル使用率は、例えば、使われていないメモリ領域の内容を一時的に保管しておくためにＯＳがＨＤＤなどのストレージに作成する仮想メモリ（ページファイル）の内の利用可能な記憶容量に対する、使用している記憶容量の割合である。

プロセス数は、例えば、システム上で動作しているプロセスの数である。

プロセッサ待ちスレッド数は、例えば、マルチスレッドで動作しているスレッドのうち、処理待ち状態となっているスレッドの数である。

ディスク使用率は、例えば、使用しているディスクの割合である。

ディスク待ち要求数は、例えば、ディスクへアクセスを待っているシステム要求数である。

受信バイト数は、例えば、システムが受信したバイト量である。

送信バイト数は、例えば、システムが送信したバイト量である。

回線使用率は、回線の容量に対して、伝送可能なデータの割合などである。

受信パケット率は、例えば、コンピュータがネットワークから受信を成功するパケットの割合である。

破棄パケット率は、例えば、ネットワーク上で破棄されるパケットの割合である。

エラーパケット率は、例えば、送信または受信されなかったパケットや、受信したパケットに誤りが検出されたパケットの割合である。

セグメント使用率は、例えば、分割されたネットワークやデータの使用率を表す割合である。

コリジョン発生率は、例えば、複数のホストからほぼ同時にデータが送信されることによって発生する信号の衝突現象の発生割合である。

リクエスト数は、例えば、サーバ上のファイルにアクセスした数である。

単位時間内でのＩ／О完了待ち時間率は、例えば、単位時間内（例えば、製品が性能を収集する間隔であって、１分間など）で、Ｉ／Ｏの完了待ちをしている時間の割合である。

ディスクからの読み込み回数は、例えば、コンピュータ上のディスクからデータを読み出した回数である。

ディスクへの書き込み回数は、例えば、コンピュータ上のディスクにデータを書き込んだ回数である。

Ｒ／Ｗ待ち時間は、例えば、コンピュータ上のディスクからデータを読み出す処理や、コンピュータ上のディスクにデータを書き込む処理の待ち時間である。

ＳＱＬ文実行回数は、例えば、データベースの管理システムなどへユーザや外部のソフトウェアから命令を発行するために用いるＳＱＬ文を実行する回数である。

デッドロック回数は、デッドロックの発生回数である。

占有待ち回数は、例えば、アプリケーションの動作状況、システム資源の使用情報およびアプリケーションによって獲得される資源の占有待ちをした回数である。

物理読み込み回数は、例えば、ＳＱＬ文のストレージ・デバイスからのデータの読み込み（物理読み込み）の回数である。

最大処理待ち時間Ａは、クライアントアプリケーションからの要求を受け付けてからサーバアプリケーションの処理を開始するまでの時間で収集間隔内の最大の処理待ち時間である。

最大処理待ち時間Ｂは、性能情報の収集間隔内に処理されたオペレーションの最大の処理待ち時間である。

コネクション数関連は、例えば、通信を行う機器やソフトウェアの間に確立された仮想的な専用通信路の数に関する情報である。

レスポンス数関連は、例えば、コンピュータやシステムが送ったデータに対する、応答の数に関連する情報である。

図１３は、関連テーブル８の一例を示す。関連テーブル８は、図９に示す生成部６５が出力速度と性能情報に基づいて生成するテーブルである。また、図１３に示す関連テーブル８は、図１２Ａ〜図１２Ｄに示す関連テーブル７に基づいて、ログの種類７２が「アクセスログ」である場合について説明する。なお、図１３では、一例として、５００ＭＢでログファイルがローテーションし、通常時の出力速度が１ＭＢ／分であるとする。また、出力速度の増加時に、Central Processing Unit（ＣＰＵ）使用率８１、ディスクビジー率８２、プロセッサ待ちスレッド数８３、リクエスト数８４の性能情報の値（性能値）が増加するログを例に説明する。なお、出力速度が１ＭＢ／分の場合の性能値はそれぞれ、ＣＰＵ使用率８１が１０％、ディスクビジー率８２が２０％、プロセッサ待ちスレッド数８３が５（個）、リクエスト数８４が１０（個）とする。また、出力速度が２ＭＢ／分になった場合の性能値はそれぞれ、ＣＰＵ使用率８１が２０％、ディスクビジー率８２が３０％、プロセッサ待ちスレッド数８３が１５（個）、リクエスト数８４が２０（個）とする。このとき、性能項目ごとに性能値の単位が異なるため増加率に換算し、比較してもよい。この場合、それぞれの増加率は、ＣＰＵ使用率８１が２００％、ディスクビジー率８２が１５０％、プロセッサ待ちスレッド数８３が３００％、リクエスト数８４が２００％となる。通常時の関係係数８５を「１」とし、収集間隔８６を「８時間」とする場合、出力速度が２ＭＢ／分である時の関係係数８５と収集間隔８６を決定する。図１３では一例として、出力速度が２ＭＢ／分である時の関係係数８５を「０．５」とし、収集間隔８６を「４時間」と決定する。このように、出力速度と性能情報との関係を関連テーブルとして記憶し、制御装置１が収集した性能情報について性能値の増加率の組み合わせが関連テーブル８と一致する場合、制御装置１は、同じ関連テーブル８に記憶されている収集間隔８６に設定する。つまり、例えば、ＣＰＵ使用率８１が２００％、ディスクビジー率８２が１５０％、プロセッサ待ちスレッド数８３が３００％、リクエスト数８４が２００％の性能値の増加率の組み合わせとなった場合、収集間隔８６を４時間に設定する。ログの種類が異なる場合、図１３に示す性能項目の値が増加するとは限らない。そのため、複数の種類のログを収集する場合は、それぞれの種類のログに応じて、関連テーブル８を生成するのが良い。

ここで、実施例１と実施例２の対比について説明する。実施例１では、ログの出力量を収集することで、ログ収集のタイミング（収集間隔）が決定される。ただし、前述のように、実施例１の態様では、ログの出力量に基づいて正しい出力速度を算出できない場合がある。この場合にはログの出力量を再度、収集し直す必要が生じる。また、リアルタイム収集に関する問題で説明したように、ログやログの出力量を取得する処理は、監視対象サーバに対する負荷を発生させる。

上記の問題に対し、発明者は、ログの出力量と監視対象サーバの性能情報（として取得された性能値）には相関関係があることを新たに見出した。また、出力量と相関がある性能情報の項目は、ログの種別に応じて異なるものになることに着目した。

運用管理システムにおいては、ハードウェアが正常に動作しているか否かの監視等を目的として、ログを収集する処理とは別に、性能情報を収集する態様が多くある。性能情報を利用すれば、収集されるログやログの出力量の情報に依存せずに、ログの収集タイミングを適切に決定することができる。したがって、実施例１に関して説明した問題を回避することができる。

上記事項を踏まえ、実施例２で説明した制御装置５は、例えば、実施例１にかかる制御装置１とは異なり、性能情報を利用する。制御装置５は、図１２Ａ〜図１２Ｄに示す関連テーブル７を生成し、性能情報と関連するログの種類を特定する。さらに、制御装置５は、図１３に示す関連テーブル８を生成し、性能値の変化とログの出力量の変化を関連付けて記憶する。こうすることで、制御装置５は、性能情報に基づいて収集間隔を決定できるようになる。つまり、制御装置５は、特定の性能情報から特定のログの収集間隔を決定することができる。さらに、制御装置５は、性能情報とログの出力量を収集する処理を繰り返し実行し、収集した性能情報とログの出力量に応じて、関連テーブル８を生成する処理を実行することで、様々な性能値に応じた関連テーブル８を記憶する。このとき、制御装置５は、例えば、収集した性能値とログの出力量が既に関連テーブル８として記憶されている場合、収集した性能値と既に記憶してある関連テーブル８に基づいて、収集間隔を決定する。そのため、ログの出力速度や関係係数をより少ない処理負荷で特定することが可能となる。

実施例２の制御装置５の処理は、例えば、初めてステップＳ１を実行する場合、関連テーブル７と関連テーブル８を生成する処理を必要とするため、制御装置１に比べて制御装置５の方が、処理負荷が大きくなる可能性はある。しかしながら、上述したように、実施例２の制御装置５は、例えば、ステップＳ１の処理を繰り返し実行する度に、関連テーブル７および関連テーブル８を生成する処理を実行する頻度が減少し、制御装置５にかかる処理負荷は軽減される。これに対し、実施例１の制御装置１は、ステップＳ１の処理を繰り返し実行した場合であっても、制御装置１にかかる処理負荷は軽減されない。したがって、制御装置５は、一連の処理を繰り返し実行する場合、制御装置１が同様に処理を実行した場合と比べて、制御装置５にかかる処理負荷は軽減できる。

制御装置５によれば、性能値に応じた収集時刻を設定し、収集していないログが削除される前に設定した収集時刻でログを収集することによって、ログを収集する頻度を減らし、ログを出力する情報処理装置にかかる処理負荷を軽減しつつログを欠損なく収集することができる。

また、制御装置５によれば、ログの出力速度と性能情報との関係に基づいて収集時刻を設定するため、ログの出力量に応じてログを欠損なく収集することができる。

また、制御装置５によれば、複数の性能情報の組み合わせに基づいて収集時刻を設定するため、収集するログの種類に応じた収集時刻を設定することができる。

また、制御装置５によれば、ログの出力量と性能値に基づいて収集間隔を決定するため、ログを欠損しない時間の範囲内で、できるだけログを収集しないようにすることができる。そのため、頻繁にログを収集することによって生じる図８に示す監視対象サーバ５６および制御装置５にかかる処理負荷を軽減することができる。

また、制御装置５によれば、性能情報を取得し、取得した性能情報と出力速度を関連付けて記憶し、性能値の変化を監視することによって、ログの出力速度の変化を検知することができる。

また、制御装置５は、例えば、算出した時間が経過するまでにログを収集することで、頻繁にログを収集する必要がなくなり、ログを収集する際に情報処理装置の業務に与える影響を軽減することができる。

また、制御装置５は、例えば、ログの収集間隔を決定し、決定した収集間隔でログを収集する前に、ログの出力速度が変化し改めて収集間隔を再決定した場合、より短い収集間隔に基づいてログを収集してもよい。こうすることで、制御装置５がログを欠損するリスクを回避することができる。

なお、制御装置５は、実施例１で説明した制御装置１と同様に、ユーザが設定する収集時刻を考慮した収集時刻の制御を行うこともできる。すなわち、制御装置５は、例えば、ユーザが設定する収集時刻と図９に示す設定部６６が設定する収集時刻を比較し、ログ収集のタイミングがより早くなる収集時刻でログを収集する（早くなる収集時刻を優先的に採用する）こととしてもよい。あるいは、制御装置５は、ユーザが設定する収集時刻と図９に示す設定部６６が設定する収集時刻を比較し、制御装置５がログを欠損する場合にのみ設定部６６が設定する収集時刻でログを収集することとしてもよい。こうすることで、制御装置５はユーザが設定する収集時刻でログを収集しながら、ログを欠損するリスクを回避することができる。

〔ハードウェア構成図〕
図１４は、実施例１および実施例２に係るハードウェア構成の一例を示す。制御装置１は、例えば、それぞれがバス９１で相互に接続された、ＣＰＵ９２、メモリ９３、記憶装置９４、Network Interface Card（ＮＩＣ）９５、媒体読取装置９６、入力装置９７、表示装置９８を備える情報処理装置である。

ＣＰＵ９２は、制御装置１あるいは制御装置５が実行する各種の動作制御を行う。ＣＰＵ９２は、メモリ９３あるいは記憶装置９４に記憶されたプログラムを読み出して処理、制御を実行するプロセッサである。ＣＰＵ９２による処理、制御によって、制御装置１あるいは制御装置５の各機能部が実現されてもよい。

メモリ９３、記憶装置９４は、実施例１、２で説明した各種の処理を実行するプログラムや、各種の処理に利用されるデータを記憶することができる。記憶装置９４は、例えば、ＨＤＤ、ＳＳＤ等の記憶媒体である。また、メモリ９３、記憶装置９４のそれぞれは、例えば、記憶部３２あるいは記憶部６２として機能することができる。また、記憶部３２あるいは記憶部６２は、必ずしも記憶装置９４に記憶される必要はない。つまり、制御装置１あるいは制御装置５の外部にある記憶装置に記憶される構成であってもよい。

ＮＩＣ９５は、有線または無線のネットワークを介したデータの送受信に用いられるハードウェアである。

媒体読取装置９６は、記憶媒体からデータを読み取る装置である。媒体読取装置９６は、例えば、Compact Disc Read Only Memory（ＣＤ−ＲＯＭ）やDigital Versatile Disc（ＤＶＤ）等のディスク媒体に記憶されたデータを読み取るディスクドライブや、メモリーカードに記憶されたデータを読み取るカードスロット等である。図３に示す記憶部３２あるいは図９に示す記憶部６２に記憶されるデータの一部または全部は、媒体読取装置９６を用いて読み取り可能な記録媒体に記憶されることとしてもよい。

入力装置９７は、制御装置１あるいは制御装置５のユーザから入力や指定を受け付ける装置である。また、入力装置９７は、例えば、キーボードやマウス、タッチパッド等である。

表示装置９８は、ＣＰＵ９２の制御の下で、各種の情報を表示する。また、表示装置９８は、例えば、液晶ディスプレイである。

図１４に示した各装置の各構成要素は、必ずしも物理的に図１４のように構成されていることを要しない。つまり、各装置の分散・統合の具体的な形態は図１４のものに限らず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。また、上記の実施例で説明した各種の処理は、予め用意されたプログラムをＰＣやワークステーション等のコンピュータで実行することによって実現することができる。

１、５ 制御装置
１４、５６ 監視対象サーバ
９１ バス
９２ ＣＰＵ
９３ メモリ
９４ 記憶装置
９５ ＮＩＣ
９６ 媒体読取装置
９７ 入力装置
９８ 表示装置

Claims (11)

1. コンピュータに、
   情報処理装置の処理に応じてログをログ記憶部に随時出力する前記情報処理装置の動作状態を示す複数の動作状態情報を取得した場合に、記憶部に記憶された、取得した前記複数の動作状態情報と単位時間あたりに前記情報処理装置が出力する前記ログのデータ量を示す出力速度との相関関係と、前記ログ記憶部が前記ログを記憶できる空き容量である記憶容量と、に基づいて、前記ログを前記ログ記憶部から収集するタイミングを制御する、
   処理を実行させることを特徴とする制御プログラム。
2. 前記コンピュータに、
   前記制御する処理において、前記出力速度と前記記憶容量に基づいて前記ログを収集する間隔である収集間隔を決定し、前記決定した収集間隔に基づいて前記ログを収集するタイミングを制御する、
   処理を実行させることを特徴とする請求項１に記載の制御プログラム。
3. 前記コンピュータに、
   前記取得する処理において、前記複数の動作状態情報を取得するとともに、前記ログ記憶部から未収集のログのデータ量を表す情報であるサイズ情報を取得し、
   前記サイズ情報に基づいて前記出力速度を算出し、
   前記複数の動作状態情報と、単位時間あたりに前記情報処理装置が出力する前記ログのデータ量を示す出力速度と、を関連付けて前記記憶部に記憶し、
   前記サイズ情報に基づいて前記記憶容量を特定する、
   処理を実行させることを特徴とする請求項１または２の何れか１項に記載の制御プログラム。
4. 前記ログは、それぞれ異なる種類の複数のログを含むことを特徴とする請求項１〜３の何れか１項に記載の制御プログラム。
5. 前記コンピュータに、
   前記収集する処理において、前記収集する処理を前回実行した時点から前記収集間隔の時間が経過した時刻で前記ログを収集する、
   処理を実行させることを特徴とする請求項２に記載の制御プログラム。
6. 前記コンピュータに、
   予め決定された前記ログを前記ログ記憶部から収集する時刻である第１収集時刻と、前記収集間隔に基づいて決定される前記ログを前記ログ記憶部から収集する時刻である第２収集時刻と、を比較し、
   前記制御する処理は、前記比較した結果、より早い時刻を優先するように、前記ログを前記ログ記憶部から収集するタイミングを制御する、
   処理を実行させることを特徴とする請求項５に記載の制御プログラム。
7. コンピュータが、
   情報処理装置の処理に応じてログをログ記憶部に随時出力する前記情報処理装置の性能の状態を示す複数の動作状態情報を取得し、
   前記複数の動作状態情報と、単位時間あたりに前記情報処理装置が出力する前記ログのデータ量を示す出力速度と、を関連付けて記憶し、
   動作状態情報を取得した場合に、取得した前記動作状態情報と関連付けて記憶された前記出力速度と、前記ログ記憶部が前記ログを記憶できる空き容量である記憶容量と、に基づいて前記ログを前記ログ記憶部から収集するタイミングを制御する、
   処理を実行することを特徴とする制御方法。
8. 情報処理装置の処理に応じてログをログ記憶部に随時出力する前記情報処理装置の性能の状態を示す複数の動作状態情報を取得する取得部と、
   前記複数の動作状態情報と、単位時間あたりに前記情報処理装置が出力する前記ログのデータ量を示す出力速度と、を関連付けて記憶する記憶部と、
   動作状態情報を取得した場合に、取得した前記動作状態情報と関連付けて記憶された前記出力速度と、前記ログ記憶部が前記ログを記憶できる空き容量である記憶容量と、に基づいて前記ログを前記ログ記憶部から収集するタイミングを制御する制御部と、
   を備えることを特徴とする制御装置。
9. コンピュータに、
   情報処理装置の処理に応じてログをログ記憶部に随時出力する前記情報処理装置の動作状態を示す複数の動作状態情報を取得し、
   前記複数の動作状態情報と、単位時間あたりに前記情報処理装置が出力する前記ログのデータ量を示す出力速度と、を関連付けて記憶部に記憶する、
   処理を実行させることを特徴とする制御プログラム。
10. コンピュータが、
    情報処理装置の処理に応じてログをログ記憶部に随時出力する前記情報処理装置の動作状態を示す複数の動作状態情報を取得し、
    前記複数の動作状態情報と、単位時間あたりに前記情報処理装置が出力する前記ログのデータ量を示す出力速度と、を関連付けて記憶部に記憶する、
    処理を実行することを特徴とする制御方法。
11. 情報処理装置の処理に応じてログを随時ログ記憶部に出力する前記情報処理装置の動作状態を示す複数の動作状態情報を取得する取得部と、
    前記複数の動作状態情報と、単位時間あたりに前記情報処理装置が出力する前記ログのデータ量を示す出力速度と、を関連付けて記憶する記憶部と、
    を備えることを特徴とする制御装置。

Images