JP2021144431A - ログ分析装置、ログ分析方法、及びシステム - Google Patents

Abstract

【課題】ログ分析までの一連の処理を効率化するログ分析装置を提供する。【解決手段】システム１０００のログ分析装置１００は、分析部１４３と可視化部１４４を備える。分析部は、収集ログＤＢ１５３に蓄積されている複数の検証対象サーバ２００のエージェントＡＧからのログ転送により収集したログファイル７ｆを用いて集計又は分析を行う。分析部は、ログファイルの内容の特徴点に適合する分析プログラム１５５を対応付けたログパターンＤＢ１５４を用いて、収集したログファイル毎の特徴点から実行する分析プログラムを特定する。ログファイルの特徴点として、ログファイルから得られるＯＳ名とログの項目名とで表されるログパターンを用いる。分析部は、特定した分析プログラムを用いて、ログファイルに含まれるログデータを分析し、分析結果１５６を出力する。可視化部は、分析部から出力される分析結果の夫々を、端末３００又は表示装置に表示する。【選択図】図２

Description

本発明は、ログ分析装置、ログ分析方法、及びシステムに関する。

複数のサーバが連携して業務処理を実施するシステムに対して、定めた検証対象サーバから性能情報などのログを取得し分析するシステム検証が行われている。システム検証では、ログ分析装置が複数の検証対象サーバからログを収集し、収集したログに基づいて性能などを分析している。

各検証対象サーバへのログ採取の指示を蓄積するキューを設けることで、検証対象サーバにログ採取の指示を行うスレッドの数を検証対象サーバの台数以下で実現し、監視処理の負荷を低減する技術等が知られている。

特開２０１６−１３０８９２号公報 特開２０１６−１４９０８０号公報 特開２０１３−１４０４８８号公報 特開２００８−１７６５０３号公報

しかしながら、検証対象サーバのＯＳ（Operating System）及びＭＷ（Middle Ware）が出力するログは、装置ごとの処理のタイプにより、型式、装置内に保持しておく期間の長さ（寿命）も異なっている。例えば、通信ログは他のログ種別に比べて寿命が短く、必要なタイミングで取得することが困難なログである。

ログ種別は様々存在することに加えて、近年の仮想化によるサーバ台数の増加により、複数の検証対象サーバからログを収集しログ分析装置で分析する検証方法が複雑化している。そのため、ログ分析装置に対して、検証者が特定の検証対象サーバからログを収集するための操作を行う場合もある。

また、ログ収集後の分析には、検証者によって個別に作成された様々なプログラム（スクリプトなど）が存在しているが、そのようなプログラムは個人的に利用するにとどまっている。そのため、検証者によって分析方法に個人差が生じ、あらゆる分析を十分に網羅することが困難である。

したがって、１つの側面では、ログ分析までの一連の処理を効率化することを目的とする。

一態様によれば、ログの特徴点ごとに、該特徴点に適合する分析プログラムを対応付けたデータベースと、サーバに配置したエージェントからログを収集する収集部と、前記データベースに保持した前記特徴点に基づいて、収集した前記ログの特徴点に適合する分析プログラムを特定する特定部と、特定した前記分析プログラムを実行する実行部と、前記分析プログラムにより得られた前記サーバから収集した前記ログに対する分析結果を表示装置に表示させる表示部と、を有するログ分析装置が提供される。

ログ分析までの一連の処理を効率化できる。

本実施例におけるエージェントの役割を説明するための図である。 本実施例におけるログ分析及び可視化の概要を説明するための図である。 システムにおけるハードウェア構成例を説明するための図である。 ログ分析装置の機能構成例を示す図である。 検証対象サーバの機能構成例を示す図である。 収集動作制御部によるエージェント配置の動作概要を説明するための図である。 配置データの生成例を示す図である。 エージェントの基本動作を説明するための図である。 エージェント動作定義の装置識別名を説明するための図である。 エージェント動作定義のログ収集条件に含まれる指定条件を説明するための図である。 第１のログ追加制御を説明するための図である。 第２のログ追加制御を説明するための図である。 エージェント終了制御を説明するための図である。 トレース出力制御を説明するための図である。 エージェント動作定義の記述例を示す図である。 分析装置動作定義の記述例を示す図である。 分析装置動作定義の記述例を示す図である。 実行トレース定義の記述例を示す図である。 収集動作制御部によるエージェント配置を説明するためのフローチャート図である。 図１９のステップＳ３０３においけるエージェント選択処理を説明するための図である。 ログ収集処理を説明するための図である。 収集動作制御部による事象ベース制御処理を説明するためのフローチャート図である。 エージェントの動作の全体を説明するためのフローチャート図である。 図２３のステップＳ４０５における対象ログ取得処理を説明するためのフローチャート図である。 実行結果と指定結果との合致に応じたログ取得処理を説明するフローチャート図である。 図２３のステップＳ４０８におけるエージェントの終了処理を説明するためのフローチャート図である。 分析処理及び可視化処理を説明するためのフローチャート図である。 ログパターンを説明するための図である。 分析部による分析処理例を説明するための図である。

以下、本発明の実施の形態を図面に基づいて説明する。ログ分析までの一連の処理の効率化を実現する本実施例におけるシステムの概要について図１及び図２で説明する。図１及び図２では、本実施例の全体の流れの概要を説明し、ハードウェア構成例及び機能構成例は後述される。

図１は、本実施例におけるエージェントの役割を説明するための図である。図１において、システム１０００は、ログ分析装置１００と、複数の検証対象サーバ２００と、端末３００とを有する。

ログ分析装置１００は、ネットワーク２を介して複数の検証対象サーバ２００のそれぞれからログを収集し、収集したログを用いて検証対象サーバ２００の性能分析を行う装置である。

複数の検証対象サーバ２００は、連携により業務処理を行うサーバの全て又は一部に相当し、ログ収集及び性能分析の対象となるサーバ装置である。検証対象サーバ２００それぞれの動作環境は一様ではない。本実施例では、一例として、Linux(登録商標)、Windows、Solarisなどの異なるＯＳ（Operating System）の混在を許容する。また、各検証対象サーバ２００は、物理的な一台のコンピュータ装置に限定されない。検証対象サーバ２００は、仮想的なサーバであってもよい。

端末３００は、ログ分析装置１００と通信可能な端末装置である。本実施例では、主に、ログ分析装置１００が得た分析結果、ログ収集の経過を示すトレース情報を表示する表示装置（以下の説明では、「コンソール」ともいう）として利用される。

図１及び以下に説明する図２において、端末３００をシステム１０００に含めているが、端末３００は必須ではない。ログ分析装置１００の表示装置１１５（図３）に、分析結果、トレース情報などが表示されてもよい。更には、端末３００がシステム１０００に含まれる場合であっても、端末３００と表示装置１１５とがシステム検証に利用されてもよい。システム検証とは、業務処理を行うシステムに対する性能を検証することをいう。業務処理は、会計処理、勤怠管理、予約システム、様々なシミュレーションなどのいずれであってもよい。

本実施例におけるシステム１０００では、検証対象サーバ２００に配置したエージェントＡＧと、ログ分析装置１００とは、正当な取り決めに従いセキュアな通信を行う。エージェントＡＧが指定したイベントでログ転送を行うように、ログ分析装置１００によって、エージェントＡＧの動作は制御される。図１では、エージェントＡＧを用いたログ収集について説明する。

ログ分析装置１００は、収集動作制御部１４１によって、指定したイベントでログ収集を行うエージェントＡＧを実現する配置データ８０を検証対象サーバ２００のそれぞれに送信する（エージェント配置）。配置データ８０によりエージェントＡＧが検証対象サーバ２００に送信される。

配置データ８０を受信した検証対象サーバ２００では、エージェントＡＧが起動してログ収集の動作を開始する。配置データ８０は、エージェントＡＧとして動作するプログラムファイルと、エージェントＡＧにログを取得させるタイミングと、取得するログを指定した情報とを含んでいる。タイミングは、以下の説明において、条件として指定される。

起動したエージェントＡＧは、配置データ８０で指定されるタイミングで、指定されたログのファイル（以下、「ログファイル７ｆ」という）をログ分析装置１００に送信する（ログ転送）。ログ分析装置１００は、ログ転送により検証対象サーバ２００から受信したログファイル７ｆを収集ログＤＢ１５３に記憶する。

検証対象サーバ２００では、一例として、個別の設定に従い、ログファイル７ｆを自装置の記憶領域に保持している。エージェントＡＧは、指定されたログファイル７ｆを取得してログ分析装置１００に送信する。ログ分析装置１００では、収集部１４２が受信したログファイル７ｆを収集ログＤＢ１５３に記憶される。

エージェントＡＧは、配置データ８０で指定された条件で自ら消滅可能なプログラムであると共に、配置データ８０で指定された条件によらず、収集動作制御部１４１からの終了指示の受信に応じて消滅する（エージェント削除）。エージェントＡＧの消滅する際には、配置データ８０も完全に削除される。

図２は、本実施例におけるログ分析及び可視化の概要を説明するための図である。図２では、ログ分析装置１００において、分析部１４３が、収集ログＤＢ１５３に蓄積されている、複数の検証対象サーバ２００のエージェントＡＧからのログ転送により収集したログファイル７ｆを用いて集計又は分析を行う。

分析部１４３は、ログファイル７ｆの内容の特徴点に適合する分析プログラム１５６を対応付けたログパターンＤＢ１５４を用いて、収集したログファイル７ｆごとの特徴点から実行する分析プログラム１５６を特定する。本実施例において、ログファイル７ｆの特徴点として、ログファイル７ｆから得られるＯＳ名とログの項目名とで表されるログパターンを用いる。

分析部１４３は、特定した分析プログラム１５５を用いて、ログファイル７ｆに含まれるログデータを分析する。そして、分析部１４３は、分析結果１５６を出力する。分析部１４３は、ログファイル７ｆに対して対応する分析プログラム１５５を実行し、分析結果１５６を出力する処理を、収集ログＤＢ１５３内の全てのログファイル７ｆに対して終了するまで連続して繰り返す。

可視化部１４４は、分析部１４３から次々に出力される分析結果１５６のそれぞれを、端末３００又は表示装置１１５（以下、端末３００で説明する）に表示する。

本実施例では、図１で説明したようなエージェントＡＧを用いたログ収集の仕組みにより、
（Ａ）定義したタイミングでログ収集を可能とし、
（Ｂ）複数の検証対象サーバ２００に対して効率的にログ収集を行える。
また、図２で説明したようなログ分析及び可視化の仕組みにより、
（Ｃ）様々な既存の分析プログラムの中から利用する分析プログラムを特定し、分析漏れなく活用できる。このような本実施例におけるハードウェア構成例と機能構成例について以下に説明する。

図３は、システムにおけるハードウェア構成例を説明するための図である。図３において、ログ分析装置１００は、コンピュータ装置であり、バスＢ１に接続される、ＣＰＵ（Central Processing Unit）１１１と、主記憶装置１１２と、補助記憶装置１１３と、入力装置１１４と、表示装置１１５と、通信Ｉ／Ｆ１１７と、ドライブ装置１１８とを有する。

主記憶装置１１２と、補助記憶装置１１３と、ログ分析装置１００がアクセス可能な外部記憶装置とを含めて、これら装置は、後述する機能ブロック図（図４）における記憶部１３０に相当する。

ＣＰＵ１１１は、ログ分析装置１００を制御するプロセッサに相当し、記憶部１３０に格納されたプログラムを実行することで、以下に説明する本実施例に係る様々な処理を実現する。入力装置１１４は、検証対象サーバ２００を検証する検証者によって操作され、操作に応じてデータを入力する。表示装置１１５は、ユーザインタフェースとして様々な画面を表示する。通信Ｉ／Ｆ１１７は、検証対象サーバ２００及び端末３００との通信を制御する。

記憶媒体１１９（例えば、ＣＤ−ＲＯＭ（Compact Disc Read-Only Memory）等）に記憶された本実施例に係るログ分析プログラムは、ドライブ装置１１８を介して記憶部１３０にインストールされ、ＣＰＵ１１１によって実行可能となる。

尚、本実施例に係るプログラムを格納する記憶媒体１１９はＣＤ−ＲＯＭに限定されず、コンピュータが読み取り可能な、構造（structure）を有する１つ以上の非一時的（non-transitory）な、有形（tangible）な媒体であればよい。コンピュータ読取可能な記憶媒体として、ＣＤ−ＲＯＭの他に、ＤＶＤ（Digital Versatile Disk）ディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリであっても良い。

検証対象サーバ２００は、コンピュータ装置であり、バスＢ２に接続される、ＣＰＵ２１１と、メモリ２１２と、補助記憶装置２１３と、入力装置２１４と、表示装置２１５と、通信Ｉ／Ｆ２１７と、ドライブ装置２１８とを有する。

メモリ２１２と、補助記憶装置２１３と、検証対象サーバ２００がアクセス可能な外部記憶装置とを含めて、これら装置は、後述する機能ブロック図（図５）における記憶部２３０に相当する。

ＣＰＵ２１１は、検証対象サーバ２００を制御するプロセッサに相当し、記憶部２３０に格納されたプログラムを実行することで、以下に説明する本実施例に係る様々な処理を実現する。入力装置２１４は、検証対象サーバ２００を管理する管理者によって操作され、操作に応じてデータを入力する。表示装置２１５は、ユーザインタフェースとして様々な画面を表示する。通信Ｉ／Ｆ２１７は、少なくとも検証対象サーバ２００を含む業務処理を行うシステム内での通信、ログ分析装置１００との通信などを制御する。

記憶媒体２１９（例えば、ＣＤ−ＲＯＭ等）に記憶された本実施例に係るログ分析プログラムは、ドライブ装置２１８を介して記憶部２３０にインストールされ、ＣＰＵ２１１によって実行可能となる。

尚、本実施例に係るプログラムを格納する記憶媒体２１９はＣＤ−ＲＯＭに限定されず、コンピュータが読み取り可能な、構造（structure）を有する１つ以上の非一時的（non-transitory）な、有形（tangible）な媒体であればよい。コンピュータ読取可能な記憶媒体として、ＣＤ−ＲＯＭの他に、ＤＶＤ（Digital Versatile Disk）ディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリであっても良い。

端末３００は、バスＢ３に接続される、ＣＰＵ３１１と、主記憶装置３１２と、補助記憶装置３１３と、入力装置３１４と、表示装置３１５と、通信Ｉ／Ｆ３１７と、ドライブ装置３１８とを有するコンピュータ装置である。

端末３００は、ログ分析装置１００との通信により、ログ分析装置１００から提供される画面を表示装置３１５に表示する。また、端末３００は、画面に対して入力装置３１４を用いて検証者により入力されたデータを通信Ｉ／Ｆ３１７によりログ分析装置１００へと受信する。端末３００は、単に、検証者が、ログ分析装置１００の入力装置１１４と表示装置１１５とを操作する場合と同様のデータ入力及び画面表示が可能であればよい。

図４は、ログ分析装置の機能構成例を示す図である。図４において、ログ分析装置１００は、収集動作制御部１４１と、収集部１４２と、分析部１４３と、可視化部１４４とを有する。収集動作制御部１４１と、収集部１４２と、分析部１４３と、可視化部１４４とは、ＣＰＵ１１１が対応するプログラムを実行することで行われる処理により実現される。また、記憶部１３０は、複数のエージェント実行プログラム１５１、ログ収集定義１５２、収集ログＤＢ１５３、ログパターンＤＢ１５４、様々な分析プログラム１５５、分析結果１５６、配置データ８０等を記憶する。

収集動作制御部１４１は、エージェントＡＧを用いて、検証対象サーバ２００の検証に用いるログを収集する処理部である。収集動作制御部１４１は、複数の検証対象サーバ２００のそれぞれに対して、エージェント実行ファイル８ａと条件ファイル８ｂとを含む配置データ８０を作成し、作成した配置データ８０を各検証対象サーバ２００に送信する。

検証対象サーバ２００において、配置データ８０が受信されると、エージェント実行ファイル８ａが起動し、検証対象サーバ２００内にエージェントＡＧが配置される。エージェントＡＧは、条件ファイル８ｂから動作条件８ｂ−２（図５）を記憶部２３０に展開し、動作条件８ｂ−２の内容に従って、指定のタイミングで指定のログファイル７ｆを取得する。ログファイル７ｆは、通信Ｉ／Ｆ２１７からネットワーク２を介してログ分析装置１００に送信される。

また、エージェントＡＧは、動作条件８ｂ−２で指定される終了条件８ｄが満たすタイミングで、動作条件８ｂ−２を削除し、自身も消滅する。これにより、検証対象サーバ２００内部には、収集動作制御部１４１が送信した配置データ８０が完全に消滅する。また、エージェントＡＧの消滅は、収集動作制御部１４１から受信した終了指示により行われてもよい。

収集部１４２は、複数の検証対象サーバ２００それぞれからログファイル７ｆを受信すると、収集ログＤＢ１５３に記憶する。

分析部１４３は、収集ログＤＢ１５３内の各ログファイル７ｆのログパターンに対応する分析プログラム１５５を選択して実行し、得られた分析結果１５６を記憶部１３０に記憶する。分析部１４３は、ログパターンＤＢ１５４から、収集ログＤＢ１５３に記憶されたログファイル７ｆのログパターンに関連付けられた分析プログラム１５５を特定し、特定した分析プログラム１５５を実行する。分析部１４３は、全てのログファイル７ｆに対してそれぞれの分析結果１５６を取得する。このような分析結果１５６は、検証対象サーバ２００ごとに得られる。

可視化部１４４は、分析結果１５６を示す画面データを生成して、端末３００に表示させる。分析結果１５６は、１以上の検証対象サーバ２００に対する、１以上の分析プログラム１５５により得られた結果データを含む。

複数のエージェント実行プログラム１５１は、検証対象サーバ２００に実装されるＣＰＵ及びＯＳ種（動作環境に相当）ごとのエージェント実行プログラム１５１Ｌ、１５１Ｓ、１５１Ｗなどを含んでいる。エージェント実行プログラムが検証対象サーバ２００で起動することで、エージェントＡＧが動作を開始する。

一例として、Ｌｉｎｕｘ（登録商標）用にはエージェント実行プログラム１５１Ｌが用意され、Ｓｏｌａｒｉｓ（登録商標）用にはエージェント実行プログラム１５１Ｓが用意されている。更に、Ｗｉｎｄｏｗｓ（登録商標）用にはエージェント実行プログラム１５１Ｗが用意されている。これらエージェント実行プログラム１５１Ｌ、１５１Ｓ、１５１Ｗなどを、総称して、エージェント実行プログラム１５１という。

ログ収集定義１５２は、ログ収集に係る動作を規定した、分析装置動作定義１５２ａと、エージェント動作定義１５２ｂと、実行トレース定義１５２ｃとを含む。分析装置動作定義１５２ａは、ログ分析装置１００の収集動作制御部１４１による、特定のログファイル７ｆの受信に応じて行うログ収集の動作を定義する。

エージェント動作定義１５２ｂは、エージェントＡＧの動作を定義し、ログ分析装置１００へ送信するタイミングと、ログファイル名とを定義している。実行トレース定義１５２ｃは、ログ分析装置１００及びエージェントＡＧの処理実行時に出力する実行トレースの定義を含む。ログ分析装置１００又はエージェントＡＧで実行トレースを出力しない場合には、その定義は省略される。

配置データ８０は、収集動作制御部１４１によって作成されるデータである。配置データ８０は、送信先の検証対象サーバ２００のＯＳに対応したエージェント実行ファイル８ａと、当該検証対象サーバ２００のエージェント動作定義１５２ｂを含む条件ファイル８ｂとを含んでいる。エージェント実行ファイル８ａには、収集動作制御部１４１が複数のエージェント実行プログラム１５１のうちの１つが格納されている。条件ファイル８ｂは、収集動作制御部１４１が、ログ収集定義１５２から特定した検証対象サーバ２００に対するエージェント動作定義１５２ｂを含む。

収集ログＤＢ１５３は、受信したログファイル７ｆを蓄積したデータベースである。ログファイル７ｆは、ＯＳ名と、ＣＰＵのパフォーマンスに関するＣＰＵ使用率（％）、ＣＰＵ時間の割合、プロセスの優先度など様々な項目、メモリ使用率（％）、通信速度（bps）などの１以上の項目の実測値とを含む。１以上の項目の実測値は、時系列に示される。ＯＳと複数の項目により、ログパターンを表す。

ログパターンＤＢ１５４は、複数の検証対象サーバ２００から収集可能な全てのログパターンが登録されたデータベースである。また、ログパターンＤＢ１５４では、ログパターンごとに分析プログラム名を関連付けている。このデータ構成により、分析部１４３は、ログファイル７ｆからログパターンを特定して、ログパターンＤＢ１５４から分析プログラム名を取得でき、分析者等の介入なしに、分析プログラム１５５を特定して実行できる。

分析結果１５６は、ログファイル７ｆごとの、分析部１４３がログパターンＤＢ１５４を用いて特定した分析プログラム１５５を実行して得た結果データを含む。分析結果１５６は、収集ログＤＢ１５３に含まれるログファイル７ｆそれぞれに対して実行した分析プログラム１５５の結果を示すデータである。

一例として、分析Ａ結果１５６ａは、分析Ａプログラム１５５ａの実行により得られたデータである。また、分析Ｂ結果１５６ｂは、分析Ｂプログラム１５５ｂの実行により得られたデータである。他の分析結果についても同様である。複数の検証対象サーバ２００のうちの、ある検証対象サーバ２００のログパターンそれぞれから分析結果１５５を得る。

図５は、検証対象サーバの機能構成例を示す図である。図５において、検証対象サーバ２００は、検証されない非検証対象時には、所定業務に係る処理を実行する業務処理部２６１と、処理状況をログデータを蓄積するログ蓄積部２６２とを有する。

検証の開始から検証が終了するまでの間、検証対象サーバ２００は、業務処理部２６１とログ蓄積部２６２とに加えて、エージェントＡＧを処理部として有する。業務処理部２６１と、ログ蓄積部２６２と、エージェントＡＧとは、ＣＰＵ１１１が対応するプログラムを実行することで行われる処理により実現される。また、記憶部２３０は、ログ領域２７１、配置データ８０、動作条件８ｂ等を記憶する。

本実施例では、エージェントＡＧの動作及びエージェントＡＧに関係するデータについて説明する。また、本実施例は、検証対象サーバ２００が行う業務処理の内容に限定することなく適用可能である。様々な業務に係るアプリケーションを総称して業務処理部２６１として表すものとする。また、ログ蓄積部２６２は、業務処理部２６１が動作する検証対象サーバ２００において取得した種々のログを記憶する。

エージェントＡＧは、ログ分析装置１００とのセキュアな通信において、ログ分析装置１００へ適切なタイミングで適切なログファイル７ｆをログ領域２７１から取得し、取得したログファイル７ｆをログ分析装置１００へ送信する。エージェントＡＧは、配置データ８０と共に、ログ分析装置１００から検証対象サーバ２００へと送信される。ログ分析装置１００から受信したエージェント実行プログラム１５１の起動により、検証対象サーバ２００のＯＳ上に検証終了まで常駐する。

エージェントＡＧは、動作条件展開部ＡＧ１と、対象ログ提供部ＡＧ２と、自己消滅部ＡＧ５とを有する。動作条件展開部ＡＧ１は、エージェントＡＧの起動時に、配置データ８０の条件ファイル８ｂから動作条件８ｂ−２を、記憶部２３０内のエージェントＡＧがアクセス可能な領域内に展開する。

対象ログ提供部ＡＧ２は、指定されたタイミングで指定されたログファイル７ｆをログ分析装置１００へ提供する対象ログ提供処理を行う。ログ領域２７１からログ蓄積部２６２が蓄積した複数のログファイル７ｆから動作条件８ｂ−２に合致するログファイル７ｆをログ分析装置１００へ送信する。対象ログ提供部ＡＧ２は、更に、対象ログ取得部ＡＧ３と、条件書換部ＡＧ４とを有する。

対象ログ取得部ＡＧ３は、動作条件８ｂ−２に従って、指定されたタイミングで、指定されたログファイル７ｆをログ領域２７１から取得し、取得したログファイル７ｆをログ分析装置１００へ送信する（ログ転送７ｇ）。

条件書換部ＡＧ４は、ログ分析装置１００からエージェントＡＧに対する条件ファイル８ｂを含む条件書換指示８ｅを受信すると、配置データ８０内の既存の条件ファイル８ｂを新たな条件ファイル８ｂで置き換える。また、条件書換部ＡＧ４は、新たな条件ファイル８ｂを用いて記憶部２３０に新たな動作条件８ｂ−２を展開する。新たな動作条件８ｂ−２は、メモリ２１２に展開されることが好ましい。置き換え後、対象ログ取得部ＡＧは、新たな動作条件８ｂ−２に従い、指定されたタイミングで、指定されたログファイル７ｆをログ領域２７１から取得し、取得したログファイル７ｆをログ分析装置１００へ送信する。

自己消滅部ＡＧ５は、動作条件８ｂ−２で指定された終了条件８ｄに合致するタイミングで、エージェントＡＧを検証対象サーバ２００から完全に削除する自己消滅処理を行う。自己消滅処理とは、エージェントＡＧが検証対象サーバ２００から自ら消滅する処理を行う処理である。配置データ８０と、条件ファイル８ｂから展開された動作条件８ｂ−２は記憶部２３０から削除され、また、ＯＳ上のエージェントＡＧのプロセスは自ら終了する。従って、エージェントＡＧと、当該エージェントＡＧに係るプログラム及びデータは全て削除される。また、自己消滅部ＡＧ５は、ログ分析装置１００からの終了指示に応じて、上述した自己消滅処理を行う。

ログ蓄積部２６２は、業務処理部２６１が行う業務処理のログ、通信Ｉ／Ｆ２１８による送受信のログ、入力装置２１４及び表示装置２１５の動作のログなどを、ログ領域２７１内のそれぞれ固有のログファイル７ｆに蓄積する。ログ領域２７１に記憶されている複数のログファイル７ｆは、それぞれログパターンを有している。ログパターンとは、複数の項目と、項目の並び順とで特定される。ログパターンの例は、後述される、ログパターンＤＢ１５４のデータ構成例で示される。

図４及び図５では、配置データ８０が、エージェント実行ファイル８ａと条件ファイル８ｂとを含む構成例で説明したが、エージェント実行ファイル８ａのデータセクションに動作条件８ｂ−２を含めた構成であってもよい。

図６は、収集動作制御部によるエージェント配置の動作概要を説明するための図である。図６において、ログ分析装置１００では、収集動作制御部１４１が、ログ収集定義１５２を参照して、検証対象サーバ２００で動作可能なエージェント実行プログラム１５１に加えて、動作条件８ｂ−２を含む配置データ８０を作成する。

ログ収集定義１５２には、エージェント動作定義１５２ｂが含まれている。エージェント動作定義１５２では、装置グループごとに、装置識別名、ログ収集条件８ｃ、終了条件８ｄ８ｄなどが示される。エージェント動作定義１５２ｂでは、動作環境ごとに検証対象サーバ２００を分類し、動作環境に応じたログ収集条件８ｃと終了条件８ｄとが定義されている。

装置識別名では、１以上の検証対象サーバ２００を特定する識別子が示される。２以上の検証対象サーバ２００が指定されていてもよい。

ログ収集条件８ｃは、指定条件と指定動作とを含む。指定条件では、検証対象サーバ２００において対象ログ取得部ＡＧ３がログファイル７ｆを取得するタイミングが指定される。また、指定動作では、ログ領域２７１から取得するログファイル７ｆを特定するログ特定情報が指定される。

終了条件８ｄは、エージェントＡＧの動作を終了させ、配置データ８０及び動作条件８ｂ−２を記憶部２３０から完全に削除させるタイミングを、指定条件として指定する。以下、エージェントＡＧが、配置データ８０及び動作条件８ｂ−２を記憶部２３０から完全に削除し、エージェントＡＧの動作を終了することを、単に、「終了処理」というものとする。

ログ収集条件８ｃの指定条件は、ログファイル７ｆを採取するタイミングを指定する。指定条件には、時刻、エージェントＡＧ又は検証対象サーバ２００のジョブの終了、検証対象サーバ２００で動作するプログラム及びスクリプトの実行結果の内容などが指定される。終了条件８ｄの指定条件は、エージェントＡＧの動作が終了するタイミングを指定する。

収集動作制御部１４１は、装置グループごとに、装置識別名で特定される検証対象サーバ２００に対して、エージェント動作定義１５２ｂからログ収集条件８ｃと終了条件８ｄと含む動作条件８ｂ−２を複写して、配置データ８０を作成する。動作条件８ｂ−２の複写では、動作条件８ｂ−２がエージェント実行プログラム１５１を含むエージェント実行ファイル８ａのデータセクションに複写されてもよいし、図４及び図５で示したように条件ファイル８ｂが作成されてもよい。

データセクションに動作条件８ｂ−２を複写する場合、エージェント実行ファイル８ａが配置データ８０に相当する。条件ファイル８ｂが作成される場合、エージェント実行ファイル８ａと条件ファイル８ｂとが配置データ８０に相当する。

ログ分析装置１００では、収集動作制御部１４１が、作成した配置データ８０を装置識別名で特定される検証対象サーバ２００へ送信する。検証対象サーバ２００では、配置データ８０を受信後にエージェントＡＧが起動し、動作条件８ｂ−２に従ってログ分析装置１００へのログ転送を行う。

収集動作制御部１４１は、全ての装置グループに対して、エージェントＡＧを配置し、起動させる。

図７は、配置データの生成例を示す図である。図７（Ａ）では、ＣＰＵ及びＯＳ種によりエージェント実行ファイルがロードモジュールである場合の動作条件８ｂ−２の複写を示している。

この場合、ＣＰＵ及びＯＳ種に対応するエージェント実行プログラム１５１はエージェント実行ファイル８ａのプログラムセクション８ａ−１に格納される。収集動作制御部１４１は、このエージェント実行ファイル８ａもデータセクション８ａ−２に、ログ収集条件８ｃ及び終了条件８ｄを複写する。

図７（Ｂ）では、ＣＰＵ及びＯＳ種に応じてエージェント実行プログラム１５１とは別のファイルにログ収集条件８ｃ及び終了条件８ｄを複写する場合を示している。エージェント実行プログラム１５１を含むエージェント実行ファイル８ａと、ログ収集条件８ｃ及び終了条件８ｄを含む条件ファイル８ｂとが生成される。エージェント実行ファイル８ａと条件ファイル８ｂとが配置データ８０に相当する。

図８は、エージェントの基本動作を説明するための図である。図８において、検証対象サーバ２００で起動したエージェントＡＧは、現在事象が動作条件８ｂ−２のログ収集条件８ｃの指定条件との合致を検出する。現在事象と指定条件との合致の検出に応じて、エージェントＡＧは、ログ収集条件８ｃの指定動作に従い、指定されたログファイル７ｆを記憶部２３０からログファイル７ｆを取得する。エージェントＡＧは、取得したログファイル７ｆをログ分析装置１００へ送信する（ログ転送）。

図６及び図８で説明したようなエージェントＡＧの動作を定義したエージェント動作定義１５２ｂの装置識別名及びログ収集条件について説明する。

図９は、エージェント動作定義の装置識別名を説明するための図である。図９において、エージェント動作定義１５２ｂの装置グループごとに指定される装置識別名は、マシン名指定の形式又はＩＰアドレス指定の形式により検証対象サーバ２００を指定する。

マシン名指定の形式の記述方法を、検証対象サーバ２００の名称が英数字で識別されるものとして説明する。図９では、先頭文字列"HOST"に続いて数字等が連結した名称を例とする。まず、指定する検証対象サーバ２００が１台の場合、「HOST1」と指定する。また、複数台を特定して指定する場合、「HOST1, HOST7, HOST23c」と指定する。更に、正規表現形式で複数台を指定してもよい。一例として、「HOST[0-9]*」などの指定により、"HOST"＋数字１文字を先頭文字列とする全ての名称を指定できる。

ＩＰアドレス指定による記述方法では、１台の検証対象サーバ２００を指定する場合、「192.168.100.2」のみを指定する。複数台を特定して指定する場合、「192.168.100.2, 192.168.100.3, 192.100.4」のように指定できる。この例では、３台を特定している。特定のセグメントを全て指定する場合、ネットマスクの桁数を指定したＣＩＤＲ（Classless Inter-Domain Routing）により、「192.168.100.0/29」のように指定してもよい。

このようにマシン名指定又はＩＰアドレス指定により、装置グループごとに複数の検証対象サーバ２００をまとめて定義できる。即ち、多数の検証対象サーバ２０に対して、効率的にログファイル７ｆを収集可能とする。

図１０は、エージェント動作定義のログ収集条件における指定条件を説明するための図である。ログ収集条件８ｃには、指定条件と指定動作とが含まれるが、図１０では指定条件について説明する。指定動作については、後述されるエージェント動作定義１５２ｂの記述例で説明する。

指定条件の例として、時刻指定、経過時間指定、状態指定などがある。時刻指定では、検証対象サーバ２００がログファイル７を取得する時刻を指定する。時刻は、「西暦/月/日 時:分」形式で指定すればよい。「2019/03/31 12:45」のように記述されればよい。

経過時間指定では、指定した事象（以下、「指定事象」という）からの経過時間を指定する。検証対象サーバ２００がログファイル７を取得するタイミングは、指定事象から指定された経過時間後となる。経過時間指定の例として、「システム起動から○○時間後」、「指定プログラム起動から○○時間後」のように記述される。

状態指定では、指定事象の発生時を指定する。検証対象サーバ２００がログファイル７を取得するタイミングは、指定事象の発生時である。状態指定の例として、「△△プログラムが起動」、「△△プログラムが終了」、「△△プログラムの終了コードが○○」、又は「メッセージ又はログに◇◇パターンのメッセージの出力」のように記述される。また、状態指定では、指定結果とプログラム又はスクリプトを動作させた結果との一致を指定してもよい。検証対象サーバ２００がログファイル７を取得するタイミングは、指定結果と動作させた結果との一致を検知したときである。

このように、ログ収集条件８ｃの指定条件により、ログ分析装置１００は、検証対象サーバ２００に対してピンポイントのタイミングでログ収集を実施できる。

また、ログ分析装置１００の収集動作制御部１４１は、分析装置動作定義１５２ａによって以下のように動作が制御される。
・ログ追加制御
分析装置動作定義１５２ａは、直前に受信したログファイル７ｆに対して追加的にログ収集を行うための検証対象サーバ２００及びログ種別の１つ以上を指定する。収集動作制御部１４１は、直前に受信したログファイル７ｆに対してエージェントＡＧから追加的にログ収集するように制御される。
・条件書換制御
分析装置動作定義１５２ａは、新たなエージェントＡＧのログ収集条件８ｃ又は終了条件８ｄを指定する。収集動作制御部１４１は、検証対象サーバ２００のログ収集条件８ｃ又は終了条件８ｄを書き換えるように制御される。
・エージェント終了制御
分析装置動作定義１５２ａは、エージェントＡＧを終了させる条件を指定する。収集動作制御部１４１は、指定された条件の検知に応じて、エージェントＡＧに終了指示を送信するように制御される。
・トレース出力制御
分析装置動作定義１５２ａは、実行トレースの出力方法を指定する。収集動作制御部１４１は、動作中に取得した実行トレースを出力するように制御される。分析装置動作定義１５２ａは、エージェントＡＧに対しても実行トレースの出力方法を指定可能である。この場合、収集動作制御部１４１は、対象となるエージェントＡＧにトレース出力指示を行うように制御される。

先ず、ログ追加制御について説明する。ログ追加制御には、第１のログ追加制御（図１１）と第２のログ追加制御（図１２）とがある。
・第１のログ追加制御
受信したログファイル７ｆの送信元と同一の検証対象サーバ２００ｍに対して、収集動作制御部１４１に、追加のログファイル７ｆの要求を行わせる制御である。
・第２のログ追加制御
受信したログファイル７ｆの送信元の検証対象サーバ２００ａとは異なる検証対象サーバ２００ｂに対して、収集動作制御部１４１に、ログファイル７ｆの要求を行わせる制御である。

図１１は、第１のログ追加制御を説明するための図である。図１１において、第１のログ追加制御は、分析装置動作定義１５２ａにおいて、動作条件１として定義される。動作条件１は、例えば、
if (検証対象サーバｍからログファイルｐを受信)
then {
検証対象サーバｍに対してログファイルｑを要求
}
のような内容を示す。

この動作条件１により、検証対象サーバｍからログファイルｐを受信した場合、同一検証対象サーバｍに対してログファイルｑを要求する、ようにログ分析装置１００は動作する。ログファイルｐとログファイルｑとでは、ログパターン（即ち、ログ種別）が異なる。

つまり、ログ分析装置１００は、エージェントＡＧから動作条件８ｂ−２に従って転送されるログファイル７ｆを受信する（動作条件８ｂ−２に従ったログ転送７ｇ−１）。受信したログファイル７ｆのうち、エージェントＡＧの検証対象サーバ２００ｍが動作条件１で定義された検証対象サーバであって、特定のログファイルｐを受信した場合、ログ分析装置１００は、ログ転送指示８ｆ−１をエージェントＡＧに送信する。ログ転送指示８ｆ−１により、追加的にログファイルｑを収集する。

検証対象サーバ２００ｍでは、エージェントＡＧがログ転送指示８ｆ−１に応じて、ログファイルｑを記憶部２３０から取得して、取得したログファイルｑをログ分析装置１００へ送信する（ログ転送指示８ｆ−１に応じたログ転送７ｇ−２）。

動作条件１に従ってログ分析装置１００が制御されることにより、検証対象サーバ２００ｍが特定の状態にあるときに、その特定の状態に関する詳細な情報を含むログファイルｑを収集することができる。図１１において、ログ転送指示８ｆ−１は複数回行われてもよく、ログ転送指示８ｆ−１ごとに、異なるログパターンを示すログファイル７ｆを取得するように動作条件が定義されてもよい。

このような第１のログ追加制御により、特定のログ種別のログファイル７ｆを受信するごとに、情報の詳細度を上げて、又は、関連する情報の幅を広げでログ収集を行うことができる。

図１２は、第２のログ追加制御を説明するための図である。図１２において、第２のログ追加制御は、分析装置動作定義１５２ａにおいて、動作条件２として定義される。動作条件２は、例えば、
if (検証対象サーバａからログファイルａを受信)
then {
検証対象サーバｂに対してログファイルｂを要求
}
のように記述される。

この動作条件２により、検証対象サーバａからログファイルａを受信した場合、検証対象サーバｂに対してログファイルｂを要求する、ようにログ分析装置１００は制御される。

つまり、ログ分析装置１００は、エージェントＡＧから動作条件８ｂ−２に従って転送されるログファイル７ｆを受信する（動作条件８ｂ−２に従ったログ転送７ｇ−１）。受信したログファイル７ｆのうち、エージェントＡＧの検証対象サーバ２００ａが動作条件１で定義された検証対象サーバであって、特定のログパターンを示すログファイルａを受信した場合、ログ分析装置１００は、動作条件２に従って、検証対象サーバａとは異なる検証対象サーバ２００ｂに対して、ログファイルｂのログ転送指示８ｆ−２を行う。

検証対象サーバ２００ｂでは、エージェントＡＧがログ転送指示８ｆ−２に応じて、指定されたログパターンのログファイルｂを記憶部２３０から取得して、取得したログファイルｂをログ分析装置１００へ送信する（ログ転送指示８ｆ−２に応じたログ転送７ｇ−３）。

動作条件２に従ってログ分析装置１００が制御されることにより、検証対象サーバ２００ａが特定の状態にあるときに、その特定の状態に関する詳細な情報を含むログファイル７ｆを収集することができる。図１２において、ログ転送指示８ｆ−２は複数回行われてもよく、ログ転送指示８ｆ−２ごとに、異なる検証対象サーバ２００を指定した動作条件が定義されてもよい。

このような第２のログ追加制御により、ログファイルａを受信した検証対象サーバ２００ａとは異なる検証対象サーバ２００ｂに切り替えることで、複数の検証対象サーバ２００の連携に係るログ収集を確実に行うことができる。

次に、エージェント終了制御について説明する。エージェント終了制御には、
・第１のエージェント終了制御
検証対象サーバ２００の記憶部２３０に保持している動作条件８ｂ−２で定められる終了条件８ｄに従って、エージェントＡＧが自己消滅処理を行う。
・第２のエージェント終了制御
ログ分析装置１００の収集動作制御部１４１からの終了指示に応じて、エージェントＡＧは、自己消滅処理を実行する。

図１３は、エージェント終了制御を説明するための図である。図１３（Ａ）では、第１のエージェント終了制御を説明する。エージェントＡＧは、現在事象が動作条件８ｂ−２の終了条件８ｄに合致することを検知すると、記憶部２３０のエージェント実行ファイル８ａを削除する。また、配置データ８０及び動作条件８ｂ−２も削除される。そして、ＯＳ上でプロセスとして常駐したエージェントＡＧの動作は終了し、ＯＳ上にも存在しなくなる。

図１３（Ｂ）では、第２のエージェント終了制御を説明する。第２のエージェント終了制御では、収集動作制御部１４１が、分析装置動作定義１５２ａに従って、終了指示８endをエージェントＡＧに送信する。終了指示８endの受信に応じて、エージェントＡＧは、記憶部２３０のエージェント実行ファイル８ａを削除する。また、配置データ８０及び動作条件８ｂ−２も削除される。そして、ＯＳ上でプロセスとして常駐したエージェントＡＧの動作は終了し、ＯＳ上にも存在しなくなる。

次にエージェント終了制御について説明する。図１４は、トレース出力制御を説明するための図である。図１４において、ログ分析装置１００では、収集動作制御部１４１が、トレースファイル１５７にエージェントＡＧとで行われた処理を記録する。

記憶部１３０に記憶されている実行トレース定義１５２ｃでは、出力先とトレースレベルとが指定される。分析装置動作定義では、出力先では、コンソール、ウィンドウ（画面）、又はファイルのいずれかが指定される。出力先がコンソール又はウィンドウ（画面）が指定された場合、ログ分析装置１００の表示装置１１５に表示される。ファイルが指定された場合、記憶部１３０内のトレースファイル１５７に記録される。

トレースファイル１５７には、時系列に、エージェント配備、エージェントＡＧからログ受信、エージェントＡＧへのログ転送指示８ｆ−１の送信などが記録される。トレースファイル１５７は、許可された検証者により端末３００からアクセスされ、トレース内容が表示装置３１６に表示されてもよい。

トレースレベルでは、レベル「高」、「中」、又は「小」のいずれかが指定される。指定されたレベル以上のトレース内容を表示するようにすればよい。例えば、レベル「中」が指定されている場合、レベル「小」に該当するトレース内容は省略されて出力される。具体的には、出力先がコンソール又はウィンドウ（画面）の場合、レベル「小」に該当するトレース内容は表示されず、レベル「高」及び「中」に該当するトレース内容が表示される。出力先がファイルの場合、トレースファイル１５７には、レベル「高」及び「中」に該当するトレース内容は記録されるが、レベル「小」に該当するトレース内容は記録されない。

また、ログ分析装置１００は、実行トレース定義１５２ｃで、エージェント配備時の装置グループが指定されている場合、出力先とトレースレベルとを配置データ８０に含めて検証対象サーバ２００へ送信する。これにより、エージェントＡＧによりトレース情報の出力が行われる。

装置グループ１定義についても出力先とトレースレベルとが指定される。これら出力先とトレースレベルとは、エージェントＡＧに対する定義である。エージェントＡＧに対する出力先及びトレースレベルによる指定は、ログ分析装置１００に対する指定と同様であるためそれらの説明を省略する。出力先がコンソール又はウィンドウが指定されている場合には、検証対象サーバ２００の表示装置２１５に現在の動作のトレース情報が次々に表示される。一方、出力先がファイルの場合、トレースファイル２７２にトレース情報が蓄積される。トレースファイル２７２は、記憶部２３０に記憶されるログファイル７ｆの１つに相当する。

一例として、ログファイル送信と、ログ取得指示受信のトレース情報が出力レベル「小」に割り当てられ、かつ、指定された出力レベルが「中」である場合、これらトレース情報はトレースファイル２７２へ蓄積されない。このようにトレース情報の重要度に応じて、出力を制御することで、検証対象サーバ２００の資源を有効に利用することができる。同様に、トレース情報の重要度に応じて、出力を制御することで、ログ分析装置１００の資源を有効に利用することができる。

次に、ログ収集定義１５２のデータ例について図１５〜図１８で説明する。図１５〜図１８では、ＸＭＬ（Extensible Markup Language）で記述した例を用いて、定義内容を理解し易く文章で記述するが、定義内容はソースコード、オブジェクトコード、バイナリコード、スクリプトコードなどであってもよい。ソースコード、オブジェクトコードなどである場合は、必要に応じて、コンパイル、変換などの後に複製されるようにする。また、ログ収集定義１５２の記述言語はＸＭＬに限定されない。

図１５は、エージェント動作定義の記述例を示す図である。図１５に示すエージェント動作定義１５２ｂは、装置グループごとに定められる。装置グループをタグ＜装置グループ名＞で指定し、この例では"グループ名１"としている。

また、各装置グループに対して、装置識別名、ＣＰＵ及びＯＳ種、ログ収集条件、及び終了条件が指定される。先ず、装置識別名は、タグ＜装置識別名＞により、１以上の検証対象サーバ２００を指定可能である。図９で説明した記述方法により、検証対象サーバ２００を指定すればよい。この例では、単に、「装置識別名１、装置識別名２、・・・装置識別名ｎ」で表す。

ＣＰＵ及びＯＳ種は、タグ＜ＣＰＵ・ＯＳ種＞により、この例では、「CPU=Intel x86, OS=Windows 10, build=1234」のように示される。この記述に基づき、検証対象サーバ２００で動作可能なエージェントＡＧが選択される。

ログ収集条件８ｃでは、タグ＜ログ収集条件＞により１以上のログファイル７ｆを採取する条件及び動作が定められている。この例では、３つのログ収集条件が、タグ＜ログ収集条件１＞、タグ＜ログ収集条件２＞、及びタグ＜ログ収集条件３＞により指定される。ログ収集条件１〜３のそれぞれには、指定条件と指定動作が含まれる。

タグ＜ログ収集条件１＞では、「指定条件=JOBxxxが終了」及び「指定動作=コンソールログを採取する」が定められいる。即ち、エージェントＡＧに、JOBxxxの終了時に、記憶部２３０に格納された複数のログファイル７ｆからコンソールログのログファイル７ｆを取得し、ログ分析装置１００へと送信する、ことを指示している。

タグ＜ログ収集条件２＞では、「指定条件=時刻が23:59:99になる」及び「指定動作=VOL1.DATA.ABENDを採取する」が定められている。即ち、エージェントＡＧに、時刻が23:59:99になった時に、記憶部２３０に格納された複数のログファイル７ｆからVOL1.DATA.ABENDのログファイル７ｆを取得し、ログ分析装置１００へと送信する、ことを定められている。

タグ＜ログ収集条件３＞では、「指定条件=プログラム('SYS1.LINKLIB(TEST0001)')を実行させ終了コードが0x0c4の場合」及び「指定動作=VOL1.DATA.SYSOUTを採取する」が定められている。即ち、エージェントＡＧに、プログラム('SYS1.LINKLIB(TEST0001)')を実行させ終了コードが0x0c4の場合に、記憶部２３０に格納された複数のログファイル７ｆからVOL1.DATA.SYSOUTのログファイル７ｆを取得し、ログ分析装置１００へと送信する、ことを指示している。

タグ＜ログ収集条件３＞の記述５ｂのように、指定条件には、ログを収集するタイミングとして、時刻、及びジョブの終了以外に、プログラム又はスクリプトの実行結果も指定可能である。

終了条件８ｄでは、タグ＜終了条件＞により１以上のエージェントＡＧが終了する条件が定められる。この例では、２つの終了条件が、タグ＜終了条件１＞及びタグ＜終了条件２＞により定められている。終了条件１及び２のそれぞれには、条件が指定されている。

タグ＜終了条件１＞では、「指定条件=ログファイルの送信完了」が定められている。即ち、エージェントＡＧに、ログファイル７ｆの送信完了に応じて動作を終了し、自己消滅を行うことを指定している。

タグ＜終了条件２＞では、「指定条件=時刻が12月31日22:59:59になった」が定められている。即ち、エージェントＡＧに、「12月31日22:59:59」の検知に応じて動作を終了し、自己消滅することを定めている。エージェントＡＧは、終了条件１と終了条件２のうち最初に検知された終了条件で自己消滅する。また、エージェントＡＧは、終了条件１又は終了条件２による終了時まで、ログ収集条件１〜３で指定されるようにログ収集を行う。

次に、分析装置動作定義１５２ａのデータ例について図１６及び図１７で説明する。図１６のデータ例は、図１１の第１のログ追加制御の具体例を示す。また、図１７のデータ例は、図１２の第２のログ追加制御の具体例を示す。

図１６は、分析装置動作定義の記述例を示す図である。図１６に示す分析装置動作定義１５２ａでは、タグ＜ログ受信時動作＞によりログ受信時に収集動作制御部１４１が行う動作が定められている。タグ＜ログ受信時動作＞により１以上の動作を指定可能であるが、この例では、タグ＜ログ受信時条件１＞により、図１１で説明したような第１のログ追加制御を行うための条件及び動作を定義する。

タグ＜ログ受信時条件１＞では、「指定条件=装置識別名:MSPSERVER01からTEST1.DATA.SYSLOGを受信した」が指定されている。また、「指定動作=装置識別名:OAクローズに対してTEST.LOG.AIMSNAPおよびTEST1.LOG.VTAMTRACEデータセットを送信させる」が指定されている。

即ち、ログ分析装置１００に、装置識別名「MSPSERVER01」で特定される検証対象サーバ２００からTEST1.DATA.SYSLOGのログファイル７ｆの受信を検知することを指示している。また、ログ分析装置１００に、当該検証対象サーバ２００へOAクローズに対してTEST.LOG.AIMSNAPおよびTEST1.LOG.VTAMTRACEデータセットを送信させるログ転送指示８ｆ−１（図１１）を行う、ことを指示している。

ログ転送指示８ｆ−１では、「指定条件＝OAクローズ」及び「指定動作＝TEST.LOG.AIMSNAPおよびTEST1.LOG.VTAMTRACEデータセットを取得」のように所定の構文に従って追加するログを収集する条件が含まれればよい。

図１７は、分析装置動作定義の記述例を示す図である。図１７に示す分析装置動作定義１５２ａでは、タグ＜ログ受信時動作＞によりログ受信時の動作が指定される。タグ＜ログ受信時動作＞により１以上の動作を指定可能であるが、この例では、タグ＜ログ受信時条件２＞により、図１２で説明したような第１のログ追加制御を行うための条件及び動作を定義する。

タグ＜ログ受信時条件２＞では、「指定条件=装置識別名:Web01から/var/log/httplogを受信した」が指定されている。また、「指定動作=装置識別名:Apl01から/var/log/logs/iiop/log01を送信させる, かつ, 装置識別名:Db01から/var/log/messagesを送信させる」が指定されている。

即ち、ログ分析装置１００に、装置識別名「Web01」で特定される検証対象サーバ２００−１からTEST1.DATA.SYSLOGのログファイル７ｆの受信を検知することを指示している。また、ログ分析装置１００に、受信の検知に応じて、検証対象サーバ２００−１とは異なる装置識別名「Db01」で特定される検証対象サーバ２００−２へ、/var/log/messagesを送信させるログ転送指示８ｆ−２（図１２）を行う、ことを指示している。

ログ転送指示８ｆ−２では、「指定条件＝即時」及び「指定動作＝/var/log/messagesを取得」のように所定の構文に従って追加するログをエージェントＡＧに採取させ送信させる条件が含まれればよい。

図１８は、実行トレース定義の記述例を示す図である。図１８に示す実行トレース定義１５２ｃは、ログ分析装置１００と、装置グループとに対して、実行トレースの出力先と出力レベルとを指定する。ログ分析装置１００に対しては、タグ＜分析装置動作定義＞で指定される。例えば、タブ＜実行トレース定義＞により、出力先と出力レベルとが指定される。

タグ＜出力先＞では、コンソール、ウィンドウ画面、又はファイルのいずれか１つを指定する。ファイルの指定では、トレース情報を格納するファイル名が示される。トレースファイル１５７を特定するファイル名が指定される。タグ＜出力レベル＞では、高、中、低のいずれか１つが指定される。出力レベルについては、前述した通りである。

検証対象サーバ２００に対しては、タグ＜装置グループ名＞により装置グループ単位でトレース情報の出力が指定される。装置グループごとに、タグ＜装置識別名＞により１以上の装置識別名が指定される。この例では複数の装置識別名１、装置識別名２、・・・装置識別名ｎが指定されている。

タグ＜装置識別名＞で特定される検証対象サーバ２００それぞれに対して、タグ＜実行トレース定義＞により、出力先及び出力レベルが指定される。出力先及び出力レベルについて前出した通りである。出力先にファイルが指定された場合は、トレースファイル２７２を特定するファイル名が指定される。

次に、ログ分析装置１００と検証対象サーバ２００のそれぞれの処理について説明する。先ず、図６におけるログ分析装置１００の収集動作制御部１４１によるエージェント配置の処理を図１９及び図２０で説明する。

図１９は、収集動作制御部によるエージェント配置を説明するためのフローチャート図である。図１９において、収集動作制御部１４１は、装置グループｉに１を設定し、グループ総数ｍに装置グループの総数を設定し、装置グループｉ及びグループ総数ｍを初期化する（ステップＳ３０１）。装置グループの総数は、エージェント動作定義１５２ｂ内の装置グループの総数に相当する。

収集動作制御部１４１は、装置グループｉがグループ総数ｍを超えるまでステップＳ３０２〜Ｓ３０６を繰り返し行う。全ての装置グループに対して処理を終了すると、エージェント配置の処理を終了する。

収集動作制御部１４１は、ログ収集定義１５２のエージェント動作定義１５２ｂから順に装置グループｉの定義情報を読み込む（ステップＳ３０２）。定義情報は、１以上の装置識別名、ＰＵ及びＯＳ種、ログ収集条件８ｃ、及び終了条件８ｄの記述を含む。

収集動作制御部１４１は、定義情報に基づいてエージェント実行ファイルを選択するエージェント選択処理を行う（ステップＳ３０３）。エージェント選択処理については図２０で説明する。収集動作制御部１４１は、エージェント選択処理によりエージェント実行ファイルの格納先を得る。

収集動作制御部１４１は、新たな条件ファイル８ｂを作成し、作成した新たな条件ファイル８ｂのデータセクションに、定義情報のログ収集条件８ｃと終了条件８ｄとを複写する（ステップＳ３０４）。そして、収集動作制御部１４１は、エージェント実行プログラム１５１を含むエージェント実行ファイル８ａと、条件ファイル８ｂとを含む配置データ８０を作成する（ステップＳ３０５）。

収集動作制御部１４１は、新たなエージェント実行ファイル８ａに、エージェント選択処理により得られた格納先からエージェント実行プログラム１５１を複写する。そして、収集動作制御部１４１は、エージェント実行ファイル８ａと、条件ファイル８ｂとを含む配置データ８０を作成する。或いは、図７（Ａ）で説明したように、エージェント実行ファイル８ａに動作条件８ｂ−２を複写してもよい。

収集動作制御部１４１は、作成した配置データ８０を装置識別名で特定される検証対象サー２００に送信する（ステップＳ３０６）。定義情報によって、複数の装置識別名が指定されている場合、それら装置識別名で特定される全ての検証対象サーバ２００に同じ配置データ８０を送信する。配置データ８０を受信した検証対象サーバ２００のそれぞれにおいて、エージェントＡＧが起動し動作を開始する。エージェントＡＧによる処理は、図２１及び図２２で説明する。

収集動作制御部１４１は、全ての装置グループに対して、即ち、装置グループｉがグループ総数ｍを超えるまで、装置グループｉに１を加算して上述した処理を繰り返し行う。

図２０は、図１９のステップＳ３０３においけるエージェント選択処理を説明するための図である。図２０において、収集動作制御部１４１は、定義情報にＣＰＵ及びＯＳ種の定義が存在するか否かを判断する（ステップＳ３１１）。図１９のステップＳ３０２で読み込んだ定義情報にタグ＜ＣＰＵ・ＯＳ種＞が存在するか否かを判断すればよい。

定義情報にＣＰＵ及びＯＳ種の定義が存在する場合（ステップＳ３１１のＹＥＳ）、収集動作制御部１４１は、タグ＜ＣＰＵ・ＯＳ種＞に従って、ＣＰＵ及びＯＳ種の定義を取得する（ステップＳ３１２）。そして、収集動作制御部１４１は、複数のエージェント実行プログラム１５１から取得したＣＰＵ及びＯＳ種の定義に対応するエージェント実行プログラムを選択する（ステップＳ３１４）。収集動作制御部１４１は、選択したエージェント実行プログラムの格納先を戻り値に設定して（ステップＳ３１５）、このエージェント選択処理を終了、図１９のエージェント配置の処理へと戻る。

一方、定義情報にＣＰＵ及びＯＳ種の定義が存在しない場合（ステップＳ３１１のＮＯ）、収集動作制御部１４１は、定義情報の装置識別名で特定される検証対象サーバ２００からＣＰＵ及びＯＳ種を取得する（ステップＳ３１３）。複数の装置識別名が指定されている場合、最初の装置識別名を用いればよい。

収集動作制御部１４１は、検証対象サーバ２００からＣＰＵ及びＯＳ種を取得すると、複数の実行プログラム１５１から、取得したＣＰＵ及びＯＳ種の定義に対応するエージェント実行プログラムを選択する（ステップＳ３１４）。収集動作制御部１４１は、選択したエージェント実行プログラムの格納先を戻り値に設定して（ステップＳ３１５）、このエージェント選択処理を終了し、図１９のエージェント配置の処理へと戻る。

図２１は、ログ収集処理を説明するための図である。図２１において、収集部１４２は、ログファイル７ｆを受信したか否かを判断する（ステップＳ３２１）。ログファイル７ｆを受信していない場合（ステップＳ３２１のＮＯ）、収集部１４２は、ログファイル７ｆを受信するまで所定間隔でステップＳ３２１を繰り返す。

一方、ログファイル７ｆを受信した場合（ステップＳ３２１のＹＥＳ）、収集部１４２は、ログファイル７ｆを収集ログＤＢ１５３に蓄積したのち（ステップＳ３２２）、ステップＳ３２１へと戻り、上述した同様の処理を繰り返す。

ログ分析装置１００では、エージェント配置後、収集動作制御部１４１が、ログ分析装置１００で検知した事象に応じてエージェントＡＧに様々な指示を行う。収集動作制御部１４１が事象に応じてエージェントＡＧを制御する事象ベース制御について図２２で説明する。

ログ分析装置１００では、ログファイル７ｆの受信、エージェント動作定義の変更、及び終了指示の事象を収集動作制御部１４１が検知する。収集動作制御部１４１は、ログファイル７ｆの受信、エージェント動作定義の変更、及び終了指示などの事象に応じて、エージェントＡＧの動作を制御する。

図２２は、収集動作制御部による事象ベース制御処理を説明するためのフローチャート図である。図２２において、収集動作制御部１４１は、ログファイル７ｆを受信した事象か否かを判断する（ステップＳ３３１）。

ログファイル７ｆを受信した事象である場合（ステップＳ３３１のＹＥＳ）、収集動作制御部１４１は、受信したログファイル７ｆが分析装置動作定義１５２ａのログ受信時条件に該当するか否かを判断する（ステップＳ３３２）。収集動作制御部１４１は、ログ受信時条件の条件で指定される装置識別名が受信したログファイル７ｆの送信元に相当し、かつ、受信したログファイル７ｆのログ種別が当該条件で指定されるログ種別を示すか否かを判断する。

ログ受信時条件に該当する場合（ステップＳ３３２のＹＥＳ）、収集動作制御部１４１は、ログ受信時条件の検証対象サーバへ、指定されたログファイル７ｆのログ転送を指示するログ転送指示を送信する（ステップＳ３３４）。その後、収集動作制御部１４１は、ステップＳ３３１へと戻り、次の事象情報に対する処理を行う。

ログ受信時条件で指定される検証対象サーバ２００が受信したログファイル７ｆの送信元である場合が、ログ転送指示８ｆ−１（図１１）を送信する例に相当する。ログ受信時条件で指定される検証対象サーバ２００が受信したログファイル７ｆの送信元と異なる場合が、ログ転送指示８ｆ−２（図１２）を送信する例に相当する。

上述したステップＳ３２２のＹＥＳの判定及びステップＳ３３４での処理は、詳細な検証を行うためにエージェントＡＧに与えられている現在の条件ファイル８ｂでは指定されていないログ種別のログファイル７ｆを収集する「ログ追加制御」に相当する。

受信したログファイル７ｆが分析装置動作定義１５２ａのログ受信時条件に該当しない場合（ステップＳ３３２のＮＯ）、ステップＳ３３１へと戻り、次の事象情報に対する処理を行う。

一方、ログファイル７ｆを受信した事象でない場合（ステップＳ３３１）、収集動作制御部１４１は、エージェント動作定義１５２ｂが変更された事象か否かを判断する（ステップＳ３３５）。エージェント動作定義１５２ｂが変更された事象である場合（ステップＳ３３５のＹＥＳ）、収集動作制御部１４１は、記憶部１３０に格納されているログ収集定義１５２のエージェント動作定義１５２ｂから変更された定義情報を読み込む（ステップＳ３３６）。定義情報は、１以上の装置識別名、ＣＰＵ及びＯＳ種、ログ収集条件８ｃ、及び終了条件８ｄの記述を含む。

次に、収集動作制御部１４１は、読み込んだログ収集条件８ｃと終了条件８ｄとを新たな条件ファイル８ｂに複写する（ステップＳ３３７）。そして、収集動作制御部１４１は、１以上の装置識別名それぞれで特定される検証対象サーバ２００へ、新たな条件ファイル８ｂを送信することで、条件書換指示８ｅを行う（ステップＳ３３８）。

上述したステップＳ３３５のＹＥＳの判定及びステップＳ３３６〜Ｓ３３８までの処理は、検証対象サーバ２００の記憶部２３０に保持されている条件ファイル８ｂを置き換える「条件書換制御」に相当する。

上述では、一例として、収集動作制御部１４１が定義情報の変更を検知して、条件書換指示８ｅを行う場合で説明したが、この例に限定されない。検証者が個別に検証対象サーバを特定した定義情報の追加であってもよい。

一方、エージェント動作定義の変更の事象ではない場合（ステップＳ３３５のＮＯ）、収集動作制御部１４１は、ログ収集を終了する事象か否かを判断する（ステップＳ３３９）。ログ収集の終了の場合（ステップＳ３３９のＹＥＳ）、収集動作制御部１４１は、終了指示８endを検証対象サーバ２００へ送信する（ステップＳ３４０）。

上述したステップＳ３３９のＹＥＳ及びステップＳ３４０での処理は、検証対象サーバ２００のエージェントＡＧを削除してログ収集を終了する「エージェント終了制御」に相当する。

一方、ログ収集の終了する事象でない場合（ステップＳ３３９のＮＯ）、収集動作制御部１４１は、ステップＳ３３１へと戻り、次の事象情報に対する処理を行う。

次に、検証対象サーバ２００内で起動したエージェントＡＧによる処理を図２３から図２６で説明する。図２３は、エージェントの動作の全体を説明するためのフローチャート図である。図２３において、エージェントＡＧは起動すると、先ず、動作条件展開部ＡＧ１が、配置データ８０から動作条件８ｂ−２をメモリ２１２に展開する（ステップＳ４０１）。

配置データ８０が条件ファイル８ｂを含む場合、エージェントＡＧは、条件ファイル８ｂから、ログ収集条件８ｃと、終了条件８ｄとを示す動作条件８ｂ−２がメモリ２１２に展開される。配置データ８０に条件ファイル８ｂが含まれない場合、エージェントＡＧは、エージェント実行ファイル８ａのデータセクション８ａ−２から動作条件８ｂ−２を読み出して、メモリ２１２に展開する。

その後、エージェントＡＧは、ログ収集に係る種々の事象を検知する。エージェントＡＧは、現在事象が終了条件に合致するか否かを判断する（ステップＳ４０２）。現在事象が終了条件に合致する場合（ステップＳ４０２のＹＥＳ）、エージェントＡＧは、終了処理を行う（ステップＳ４０８）。エージェントＡＧの消滅により、検証対象サーバ２００からのログ収集は終了する。

一方、現在事象が終了条件に合致しない場合（ステップＳ４０２のＮＯ）、エージェントＡＧは、更に、ログ分析装置１００から終了指示を受信したか否かを判断する（ステップＳ４０３）。終了指示を受信した場合（ステップＳ４０３のＹＥＳ）、エージェントＡＧは、終了処理を行う（ステップＳ４０８）。エージェントＡＧの消滅により、検証対象サーバ２００からのログ収集は終了する。

一方、終了指示を受信していない場合（ステップＳ４０３のＮＯ）、エージェントＡＧは、更に、現在事象が指定条件に合致又は指定ログの転送指示（ログ転送指示８ｆ−１又は８ｆ−２）を受信したか否かを判断する（ステップＳ４０４）。現在事象が指定条件に合致する、又は、指定ログの転送指示を受信した場合（ステップＳ４０４のＹＥＳ）、エージェントＡＧは、対象ログ取得処理を行う（ステップＳ４０５）。対象ログ取得処理は、図２２で説明する。

一方、現在事象が指定条件に合致せず、また、指定ログの転送指示を受信していない場合（ステップＳ４０４のＮＯ）、エージェントＡＧは、条件書換指示８ｅを受信したか否かを判断する（ステップＳ４０５）。即ち、条件ファイル７ｂを受信したか否かを判断すればよい。条件ファイル７ｂを受信した場合（ステップＳ４０５のＹＥＳ）、エージェントＡＧは、条件書換部ＡＧ４によって、記憶部２３０（特に、メモリ２１２）内の動作条件８ｂ−２を、受信した書換用の条件で上書きする（ステップＳ４０７）。その後、エージェントＡＧは、ステップＳ４０２へと戻り、上述同様の処理を繰り返す。

図２４は、図２３のステップＳ４０５における対象ログ取得処理を説明するためのフローチャート図である。図２４において、対象ログ取得部ＡＧ３は、現在事象が動作条件８ｂ−２のログ収集条件８ｃの指定条件に合致するか否かを判断する（ステップＳ４２１）。

対象ログ取得部ＡＧ３は、現在事象がログ収集条件８ｃの指定条件に合致する場合（ステップＳ４２１のＹＥＳ）、記憶部２３０のログ領域２７１に蓄積された複数のログファイル７ｆのうち、ログ収集条件８ｃの指定動作に従ってログファイル７ｆを取得する（ステップＳ４２２）。そして、対象ログ取得部ＡＧ３は、ログ分析装置１００へ取得したログファイル７ｆを送信する（ステップＳ４２３）。このログファイル７ｆの送信は、図１１及び図１２のログ転送７ｇ−１に相当する。対象ログ取得処理は終了し、図２３の処理に復帰する。

一方、現在事象が動作条件８ｂ−２のログ収集条件８ｃの指定条件に合致しない場合（ステップＳ４２１）、対象ログ取得部ＡＧ３は、ログ転送指示を受信したか否かを判断する（ステップＳ４２４）。対象ログ取得部ＡＧ３は、ログ転送指示８ｆ−１（図１１）であるのか、ログ転送指示８ｆ−２（図１２）であるのかを区別する必要はない。即ち、現在事象が取得するログ種別を含むか否かを判断すればよい。

ログ転送指示の受信ではない場合（ステップＳ４２４のＮＯ）、対象ログ取得部ＡＧ３は、記憶部２３０のログ領域２７１に蓄積された複数のログファイル７ｆから、ログ転送指示（即ち、現在事象）が指定するログ種別に一致するログファイル７ｆを取得する（ステップＳ４２２）。そして、対象ログ取得部ＡＧ３は、ログ分析装置１００へ取得したログファイル７ｆを送信する（ステップＳ４２３）。このログファイル７ｆの送信は、図１１のログ転送７ｇ−２又は図１２のログ転送７ｇ−３に相当する。対象ログ取得処理は終了し、図２３の処理に復帰する。

上述したステップＳ４３１のＹＥＳ及びステップＳ４２２〜Ｓ４２３での処理は、図１５のログ収集条件１、ログ収集条件２などにより制御される動作に相当する。上述した対象ログ取得処理に加えて、対象ログ取得部ＡＧ３は、図１５のログ収集条件３などに従い、指定されたプログラム又はスクリプトの実行により得られた結果と、指定された結果との合致により、指定のログファイル７ｆを提供する。プログラム又はスクリプトを、単に、「プログラム」という。プログラムの実行により得られた結果を「実行結果」というものとする。ログ収集条件で指定された結果を、「指定結果」というものとする。

図２５は、実行結果と指定結果との合致に応じたログ取得処理を説明するフローチャート図である。図２５において、対象ログ取得部ＡＧ３は、ログ収集条件ｉに１を設定し、総数ｎにログ収集条件８ｃの総数を設定し、装置グループｉ及び総数ｎを初期化する（ステップＳ４３１）。ログ収集条件８ｃの総数は、動作条件８ｂ−２で定義されているログ収集条件の総数に相当する。

対象ログ取得部ＡＧ３は、動作条件８ｂ−２においてログ収集条件ｉの指定条件がプログラムの実行を指示しているか否かを判断する（ステップＳ４３２）。
プログラムの実行を指示している場合（ステップＳ４３２のＹＥＳ）、対象ログ取得部ＡＧ３は、指定されたプログラムを実行し、実行結果を得る（ステップＳ４３３）。

対象ログ取得部ＡＧ３は、得られた実行結果がログ収集条件ｉの指定結果と合致したか否かを判断する（ステップＳ４３２）。実行結果が指定結果と合致した場合（ステップＳ４３４のＹＥＳ）、対象ログ取得部ＡＧ３は、ログ領域２７１から、ログ収集条件ｉで指定されているログファイル７ｆを取得する（ステップＳ４３５）。そして、対象ログ取得部ＡＧ３は、ログ分析装置１００に取得したログファイル７ｆを送信する。

一方、プログラムの実行を指示していない場合（ステップＳ４３２のＮＯ）、実行結果が指定結果と合致しない場合（ステップＳ４３２のＮＯ）、又は、ログファイル７ｆの送信後には、ログ収集条件ｉに１加算され、ステップＳ４３２〜Ｓ４３６が繰り返えされる。

図２６は、図２３のステップＳ４０８におけるエージェントの終了処理を説明するためのフローチャート図である。図２６において、自己消滅部ＡＧ５は、記憶部２３０に保持されている配置データ８０を完全に削除する（ステップＳ４４１）。

また、自己消滅部ＡＧ５は、メモリ２１２内の動作条件８ｂ−２を削除し（ステップＳ４４２）、エージェントＡＧ自身の動作を終了する（ステップＳ４４３）。この終了処理から図２３の処理へと復帰して、エージェントＡＧは、検証対象サーバ２００から完全に消滅する。

次に、ログ分析装置１００における分析部１４３と可視化部１４４とによる分析処理及び可視化処理を説明する。本実施例では、様々な分析プログラムを、取得したログファイル７ｆに応じて適切に選択し、選択した分析プログラムによる分析結果を、逐次、ログ分析装置１００の表示装置２１５又は端末３００の表示装置３１５に表示する。以下では、一例として、端末３００に表示されるものとして説明する。

図２７は、分析処理及び可視化処理を説明するためのフローチャート図である。図２７において、ログ分析装置１００では、分析部１４３が、収集ログＤＢ１５３からログファイル７ｆを１つ選択する（ステップＳ３５１）。分析部１４３は、選択したログファイル７ｆから得られるＯＳ名とログの項目とが収集ログＤＢ１５３のログパターンと一致するか否かを判断する（ステップＳ３５２）。

ログパターンと一致する場合（ステップＳ３５２のＹＥＳ）、分析部１４３は、収集ログＤＢ１５３において一致したログパターンに対して指定される分析プログラムを実行し、ログの分析結果１５６を得る（ステップＳ５３５）。分析部１４３は、収集ログＤＢ１５３から一致したログパターンに対応付けられている分析プログラム名を取得して、取得した分析プログラム名を用いて分析プログラムを実行する。分析プログラムごとに分析結果１５６が記憶部１３０に記憶される。また、分析部１４３は、可視化部１４４に分析結果１５６を通知する。分析結果１５６の通知は、分析結果１５６が記憶されたアドレスであってもよい。

分析結果１５６の通知に応じて、可視化部１４４は、分析結果１５６そのもの、又は、予め定めたグラフなどの表示形式に従って表示する（ステップＳ３５４）。

一方、ログファイル７ｆのログの項目のパターンがログパターンと一致しない場合（ステップＳ３５２のＮＯ）、分析部１４２は、可視化部１４４に、分析プログラムが存在しないことを示すメッセージを表示させる。

可視化部１４４による可視化処理の後、分析部１４３は、収集ログＤＢ１５３において未選択のログファイル７ｆが存在するか否かを判断する（ステップＳ３５６）。未選択のログファイル７ｆが存在する場合（ステップＳ３５６のＹＥＳ）、分析部１４３は、収集ログＤＢ１５３から次のログファイル７ｆを選択するためステップＳ３５１へと進み、上記同様の処理を繰り返す。一方、未処理のログファイル７ｆが存在しない場合、分析部１４３による分析処理及び可視化部１４４による可視化処理を終了する。

上述した分析処理及び可視化処理は、検証者による分析を行うための操作、ログファイル７ｆの受信、定めた間隔などにより実施されればよい。このような開始のタイミングは、検証者によって予め設定されてもよい。

図２８は、ログパターンを説明するための図である。図２８では、ログファイル７ｆのデータ例と、ログパターンＤＢ１５４のデータ構成例とが示される。ログファイル７ｆの先頭には、ＯＳ情報７ａが示される。また、採取したログは、項目情報７ｂで示される項目に対して値が時系列に示される。

ＯＳ情報７ａは、ＯＳ名を含む。この例では、ＯＳ情報７ａによって、「Linux」が示される。項目情報７ｂでは、「CPU」、「%user」、「%nice」、「%system」、「%iowait」、「%steal」、「%idle」などの項目名が示される。これらの項目に対して時系列に値が記録されている。ＯＳ情報７ａに含まれるＯＳ名と、項目情報７ｂで示される項目の並び順とでログパターンが示される。ログパターンは、ログファイル７ｆごとに一意に特定される。

ログパターンＤＢ１５４は、ログパターンごとに、性能を分析するプログラム名を対応付けたデータベースであり、ログパターン、ログ種別、分析プログラム名などの項目を有する。

ログパターンは、ＯＳ情報７ａに含まれるＯＳ名と、項目情報７ｂで示される項目の並び順とに相当する。ログファイル７ｆごとにログパターンを一意に特定できるため、ログパターンは、検証対象サーバ２００から収集されたログファイル７ｆを分析する分析プログラムを特定するために使用される。

ログ種別は、ログパターンに与えた識別情報を示す。分析プログラム名は、ログデータを分析するプログラムを特定する識別情報である。分析プログラム名として、実行ファイル名が指定されればよい。

図２８に示すログパターンＤＢ１５４のデータ例では、ログパターン「^Linix.*\nCPU\s*%user\s*%nice\s*%system\s*%iowait\s*%steal\s*%idle」に対して、ログ種別「Linux sar -p all」と、分析プログラム名「Linux_sar_p_ALL.exe」とが対応付けられている。また、ログパターン「^Solaris.*\ntps\s*rtps\s*wtps\s*bread/s\s*bwrtn/s」に対して、ログ種別「Solaris sar -b」と、分析プログラム名「Solaris_sar_b.exe」とが対応付けられている。更に、ログパターン「^Linix.*\nrunq-sz\s*plist-sz\s*ldavg-1\s*ldavg-5\s*ldavg-15」に対して、ログ種別「Linux sar -q」と、分析プログラム名「Linux_sar_q.exe」とが対応付けられている。他のレコードについて同様である。

このように、ログパターンＤＢ１５４は、様々なＯＳのそれぞれで得られるログファイル７ｆに対応する分析プログラムを一元的に管理する。分析プログラムを一元的に管理したログパターンＤＢ１５４を用いた分析処理例について説明する。

図２９は、分析部による分析処理例を説明するための図である。図２９では、図２７のステップを合せて示すこととする。分析部１４３は、収集ログＤＢ１５３から所定順にログファイル７ｆを選択する（ステップＳ３５１）。

分析部１４３は、選択したログファイル７ｆのＯＳ情報７ａからＯＳ名を取得し、また、項目情報７ｂから１又は複数の項目名を取得する。分析部１４３は、ＯＳ名と１又は複数の項目名とで作成したパターンが、ログパターンＤＢ１５４に存在するログパターンの１つと一致するか否か判断する（ステップＳ３５２）。

この例では、分析部１４３は、ログファイル７ｆから、ＯＳ情報７ａによってＯＳ名「Linux」を取得し、項目情報７ｂに基づいて項目名「runq-sz」、「plist-sz」、「ldavg-1」、「ldavg-5」、及び「ldavg-15」を取得する。分析部１４３は、所定の記述規則に従って、パターン「^Linix.*\nrunq-sz\s*plist-sz\s*ldavg-1\s*ldavg-5\s*ldavg-15」を作成する。分析部１４３は、作成したパターンが、ログパターンＤＢ１５４にログパターンとして存在するか否かを判断する。この場合、作成したパターンは、ログパターンの１つと一致する（ステップＳ３５２のＹＥＳ）。

したがって、分析部１４３は、ログパターンＤＢ１５４において、作成したパターンと一致したログパターンに対応付けられている分析プログラム名を取得する。そして、分析部１４３は、取得した分析プログラム名を用いて、目的の分析プログラムを実行し、分析結果を得る（ステップＳ３５３）。この例では、ログ種別「Linux sar -q」のログを分析する「Linux_sar_q.exe」が実行される。

１つのログパターンに対して１つの分析プログラムが実行される例を示したが、一元的にログパターンと分析プログラムとの対応関係を管理し、漏れなく分析を実施する観点において、１つのログパターンに対して２以上の分析プログラムが対応付けられてもよい。分析部１４３は、作成したパターンに対応付けられる全ての分析プログラム名を取得し、分析プログラム名それぞれを用いて分析プログラムを実行する。得られた分析結果１５６は、順次、記憶部１３０に出力される。

分析結果１５６を得られるごとに、可視化部１４４は、分析結果１５６を示す画面データを生成して出力する。

上述したように、本実施例によれば、ログ分析装置１００は、検証対象サーバ２００から、定義したタイミングで指定したログファイル７ｆを収集できるため、ログ収集漏れを防止できる。

複数の検証対象サーバ２００から、様々な事象を含めて最大限にログファイル７ｆを収集してしまうと、ログ分析装置１００に膨大なデータ量が集中してしまう。また、細かい頻度で様々なログファイル７ｆのデータ転送により、検証対象サーバ２００それぞれにおける業務処理に影響を及ぼしかねない。

検証を行うためのログファイル７ｆを選択的に収集し、詳細な検証を必要とする事象に対して、詳細な検証に用いるログファイル７ｆを更に指定して収集することが好ましい。この観点において、本実施例によれば、ログ分析装置１００は、更に、特定のログファイル７ｆの受信に応じて、速やかに検証対象となるログファイル７ｆを指定して収集する。

したがって、特定のログファイル７ｆの受信を検知したタイミングを逃すことなく、より詳細な検証を可能とするログファイル７ｆの追加収集を実現する。検証対象サーバ２００における事象に応じて、事象の発生後速やかに、エージェントＡＧにログ転送させる。タイミングとログ転送するログファイル７ｆの指定を調整することにより、過剰なログ収集を抑制しつつ、動的にログファイル７ｆを追加できる。従って、ログ転送に係る、ログ分析装置１００及び検証対象サーバ２００の負荷を低減可能とする。

上述したように指定したタイミングで収集した様々なログファイル７ｆに対して、ログ分析装置１００は、ログパターンＤＢ１５４を有することで、ログファイル７ｆの内容に応じた分析プログラム１５５を速やかに実行可能とする。

本実施例では、人手を介すことなく、ログ収集では、検証対象サーバ２００から指定したタイミングで所望のログファイル７ｆを収集でき、また、ログ分析では、分析漏れなく様々な分析を全て行える。

よって、本実施例に係るログ分析装置１００は、ログ収集からログ分析までの一連の処理を効率化する。

ここに挙げられた全ての例及び特定の用語は、読者が、本発明及び当該技術の促進に対する本発明者により寄与された概念を理解することを助ける、教示的な目的において意図されたものであり、本発明の優位性及び劣等性を示すことに関する、本明細書の如何なる例の構成、そのような特定の挙げられた例及び条件に限定しないように解釈されるべきものである。

実施例において、ログファイル７ｆはログの一例であり、ログパターンは特徴点の一例である。図２７における、分析部１４３が行うステップＳ３５１〜Ｓ３５２の処理が特定部の一例であり、Ｓ３５３の処理が実行部の一例である。可視化部１４４が行うステップＳ３５４の処理が表示部の一例である。

また、図１９における、収集動作制御部１４１のステップＳ３０１〜Ｓ３０６の処理が配置部の一例である。

更に、図２２における、収集動作制御部１４１のステップＳ３３９及びＳ３４０の処理が終了指示部の一例であり、収集動作制御部１４１のステップＳ３３５〜Ｓ３３８の処理が書換指示部の一例であり、収集動作制御部１４１のステップＳ３３１〜Ｓ３３４の処理がログ追加部の一例である。

また、図２０における、収集動作制御部１４１のステップＳ３１１〜Ｓ３１５の処理が選択部の一例である。

本発明の実施形態は詳細に説明されているが、本発明の精神及び範囲から外れることなく、様々な変更、置換及び修正をこれに加えることが可能であることを理解されたい。

以上の実施例を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
ログの特徴点ごとに、該特徴点に適合する分析プログラムを対応付けたデータベースと、
サーバに配置したエージェントからログを収集する収集部と、
前記データベースに保持した前記特徴点に基づいて、収集した前記ログの特徴点に適合する分析プログラムを特定する特定部と、
特定した前記分析プログラムを実行する実行部と、
前記分析プログラムにより得られた前記サーバから収集した前記ログに対する分析結果を表示装置に表示させる表示部と、
を有するログ分析装置。
（付記２）
前記特徴点は、ログ内で示される前記サーバのＯＳを特定するＯＳ情報と、該ログで記録された１又は複数の項目を示す項目情報とにより表される付記１記載のログ分析装置。
（付記３）
ログ収集を行う条件及び動作を定めたログ収集条件に従って前記サーバが保持するログを転送する前記エージェントを、該サーバに配置する配置部を有し、
前記サーバから収集したログは、該サーバに配置された前記エージェントから転送されたログである付記２記載のログ分析装置。
（付記４）
前記配置部は、前記ログ収集条件と、前記エージェントに動作を終了させる終了条件と、前記エージェントとして動作する実行プログラムとを前記サーバに送信し、
前記サーバ内で前記実行プログラムによって起動した前記エージェントは、前記ログ収集条件に従ってログを転送し、前記終了条件の検知により自ら消滅する付記３記載のログ分析装置。
（付記５）
前記サーバ内の前記エージェントに、該エージェントの終了を指示する終了指示部を有する付記３記載のログ分析装置。
（付記６）
新たなログ収集条件を含む条件書換指示を送信することで、前記サーバ内の前記エージェントに、該サーバ内の前記ログ収集条件を書き換えさせる書換指示部を有する付記３記載のログ分析装置。
（付記７）
特定の特徴点を有するログの受信に応じて、該ログの送信元のサーバ内の前記エージェントに対して、追加のログを転送させるログ転送指示を行うログ追加部を有する付記３記載のログ分析装置。
（付記８）
前記配置部は、第１のサーバと第２のサーバとを含む複数のサーバに前記エージェントを配置し、
特定の特徴点を有するログの受信に応じて、該ログの送信元の第１のサーバとは異なる第２のサーバのエージェントに対して、追加のログを転送させるログ転送指示を行うログ追加部を有する付記３記載のログ分析装置。
（付記９）
前記エージェントとして動作し、異なるＯＳそれぞれに対応する複数の実行プログラムと、
前記複数の実行プログラムから前記サーバのＯＳに対応する実行プログラムを選択する選択部と
を有する付記３記載のログ分析装置。
（付記１０）
前記特定部は、前記サーバから収集した前記ログの前記特徴点が、前記データベースに保持されている特徴点と一致しない場合、前記分析プログラムが存在しないことを示すメッセージを表示装置に表示させる付記１記載のログ分析装置。
（付記１１）
ログの特徴点ごとに、該特徴点に適合する分析プログラムを対応付けたデータベースを参照して、サーバに配置したエージェントから収集したログの特徴点に適合する分析プログラムを特定し、
特定した前記分析プログラムを実行し、
前記分析プログラムにより得られた前記サーバから収集した前記ログに対する分析結果を表示装置に表示させる、
処理をコンピュータが行うログ分析方法。
（付記１２）
ログの特徴点ごとに、該特徴点に適合する分析プログラムを対応付けたデータベースを参照して、サーバに配置したエージェントから収集したログの特徴点に適合する分析プログラムを特定し、
特定した前記分析プログラムを実行し、
前記分析プログラムにより得られた前記サーバから収集した前記ログに対する分析結果を表示装置に表示させる、
処理をコンピュータに行わせるログ分析プログラム。
（付記１３）
サーバ内に存在し、ログ収集を行う条件と動作とを定めたログ収集条件に従って、該サーバが保持するログを転送するエージェントと、
ログの特徴点ごとに、該特徴点に適合する分析プログラムを対応付けたデータベースと、
前記データベースに保持した前記特徴点に基づいて、前記サーバ内の前記エージェントから収集したログの特徴点に適合する分析プログラムを実行し、該分析プログラムにより得られた該ログの分析結果を表示装置に表示させるログ分析装置と、
を有するシステム。

７ｆ ログファイル
８ａ エージェント実行ファイル
８ｂ 条件ファイル
８０ 配置データ
１００ ログ分析装置
１３０ 記憶部
１４１ 収集動作制御部、 １４２ 収集部
１４３ 分析部、 １４４ 可視化部
１５１ エージェント実行プログラム
１５２ ログ収集定義
１５２ａ 分析装置動作定義、 １５２ｂ エージェント動作定義
１５２ｃ 実行トレース定義
１５３ 収集ログＤＢ、 １５４ ログパターンＤＢ
１５５ 分析プログラム、 １５６ 分析結果
２００ 検証対象サーバ
２３０ 記憶部
２６１ 業務処理部、 ２６２ ログ蓄積部
ＡＧ エージェント
ＡＧ１ 動作条件展開部
ＡＧ２ 対象ログ提供部
ＡＧ３ 対象ログ取得部、 ＡＧ４ 条件書換部
ＡＧ５ 自己消滅部
２７１ ログ領域
８ｂ−２ 動作条件

Claims (10)

1. ログの特徴点ごとに、該特徴点に適合する分析プログラムを対応付けたデータベースと、
   サーバに配置したエージェントからログを収集する収集部と、
   前記データベースに保持した前記特徴点に基づいて、収集した前記ログの特徴点に適合する分析プログラムを特定する特定部と、
   特定した前記分析プログラムを実行する実行部と、
   前記分析プログラムにより得られた前記サーバから収集した前記ログに対する分析結果を表示装置に表示させる表示部と、
   を有するログ分析装置。
2. 前記特徴点は、ログ内で示される前記サーバのＯＳを特定するＯＳ情報と、該ログで記録された１又は複数の項目を示す項目情報とにより表される請求項１記載のログ分析装置。
3. ログ収集を行う条件及び動作を定めたログ収集条件に従って前記サーバが保持するログを転送するエージェントを、該サーバに配置する配置部を有し、
   前記サーバから収集したログは、該サーバに配置された前記エージェントから転送されたログである請求項２記載のログ分析装置。
4. 前記配置部は、前記ログ収集条件と、前記エージェントに動作を終了させる終了条件と、前記エージェントとして動作する実行プログラムとを前記サーバに送信し、
   前記サーバ内で前記実行プログラムによって起動した前記エージェントは、前記ログ収集条件に従ってログを転送し、前記終了条件の検知により自ら消滅する請求項３記載のログ分析装置。
5. 前記サーバ内の前記エージェントに、該エージェントの終了を指示する終了指示部を有する請求項３記載のログ分析装置。
6. 新たなログ収集条件を含む条件書換指示を送信することで、前記サーバ内の前記エージェントに、該サーバ内の前記ログ収集条件を書き換えさせる書換指示部を有する請求項３記載のログ分析装置。
7. 特定の特徴点を有するログの受信に応じて、該ログの送信元のサーバ内の前記エージェントに対して、追加のログを転送させるログ転送指示を行うログ追加部を有する請求項３記載のログ分析装置。
8. 前記配置部は、第１のサーバと第２のサーバとを含む複数のサーバに前記エージェントを配置し、
   特定の特徴点を有するログの受信に応じて、該ログの送信元の第１のサーバとは異なる第２のサーバのエージェントに対して、追加のログを転送させるログ転送指示を行うログ追加部を有する請求項３記載のログ分析装置。
9. ログの特徴点ごとに、該特徴点に適合する分析プログラムを対応付けたデータベースを参照して、サーバに配置したエージェントから収集したログの特徴点に適合する分析プログラムを特定し、
   特定した前記分析プログラムを実行し、
   前記分析プログラムにより得られた前記サーバから収集した前記ログに対する分析結果を表示装置に表示させる、
   処理をコンピュータが行うログ分析方法。
10. サーバ内に存在し、ログ収集を行う条件と動作とを定めたログ収集条件に従って、該サーバが保持するログを転送するエージェントと、
    ログの特徴点ごとに、該特徴点に適合する分析プログラムを対応付けたデータベースと、
    前記データベースに保持した前記特徴点に基づいて、前記サーバ内の前記エージェントから収集したログの特徴点に適合する分析プログラムを実行し、該分析プログラムにより得られた該ログの分析結果を表示装置に表示させるログ分析装置と、
    を有するシステム。

Images