JP5452030B2

JP5452030B2 - 統合ログ生成装置及び統合ログ生成プログラム及び記録媒体

Info

Publication number: JP5452030B2
Application number: JP2009026549A
Authority: JP
Inventors: 修一森川; 規郎平井; 義徳山岸; 令子森山; 光則郡
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2009-02-06
Filing date: 2009-02-06
Publication date: 2014-03-26
Anticipated expiration: 2029-02-06
Also published as: JP2010182194A

Description

この発明は、互いに異なる複数の異種のログから統合ログを生成する統合ログ生成装置及び統合ログ生成プログラムに関する。

従来のログ統合管理装置は、各種システムや機器から出力される形式や内容の異なるログ（異種ログ）に対して、異種ログを横断的に関連付けられる属性項目（例えば人物の識別情報）について統合用識別コードを用意し、それぞれのログの属性項目の値を統合用識別コードと対応付けて、統合用識別コード毎に統一した形式の統合ログとして格納、管理を行っていた（例えば、特許文献１）。

特開２００７−２３３６６１号公報

従来のログ統合管理装置は、統合ログをログ発生日時（タイムスタンプ）で時系列に整列させることで、統合用識別コードに対応する属性を持つインスタンスにおける履歴を表現していた。そのため、個々のインスタンスにおける履歴間の関係（例えば、統合用識別コードが人物に対応するとき、異なる人物の行動履歴間の関係）が直接的にデータとして表現されず、履歴間の関係を利用してログ検索を行おうとする場合に処理が複雑になるという課題があった。

この発明は、互いに異なる複数の異種ログから属性を抽出するとともに、各ログに存在しない関連属性を追加し、それら複数の属性でログを関連付けた統合ログを生成し、生成した統合ログに対して、複数の属性の履歴を乗り継いだ事象の検索を可能とするログ管理手段の提供を目的とする。

この発明の統合ログ生成装置は、
予め定められた複数の種類の各ログにおける一つのデータ単位を示すログデータであって複数の属性項目の各属性項目に対応する項目データからなるログデータが標準化された標準化ログデータが蓄積される統合ログを格納する統合ログ格納部と、
前記標準化の規則を属性管理情報として格納する属性管理情報格納部と、
前記予め定められた複数の種類の各ログの少なくともいずれかのログから前記ログデータを入力し、入力された前記ログデータから予め定められた２以上の属性項目に対応する項目データを抽出し、抽出された各項目データを前記属性管理情報格納部に格納された前記属性管理情報に基づいて標準化し、標準化された前記各項目データの全体を前記標準化ログデータとして生成する標準化ログデータ生成部と、
前記標準化ログデータ生成部によって生成された前記標準化ログデータを前記統合ログ格納部の前記統合ログに蓄積する蓄積部と
を備えたことを特徴とする。

この発明により、異種ログから属性を抽出し、各異種ログに存在しない関連属性を追加し、それら複数の属性でログを関連付けた統合ログを生成する統合ログ生成装置を提供できる。

実施の形態１における異種ログ統合管理装置１００のブロック図。実施の形態１におけるＰＣ操作ログデータ２０１を示す図。実施の形態１におけるる複合機ログデータ２１１を示す図。実施の形態１における入退室ログデータ２２１を示す図。実施の形態１における統合ログデータ１５０を示す図。実施の形態１における統合ログデータ１５０とＰＣ操作ログデータ２０１等との関係を示す図。実施の形態１における統合ログの設計手順のフローチャート。実施の形態１におけるＩＤ管理情報１２１を示す図。実施の形態１における機器管理情報１２２を示す図。実施の形態１における位置管理情報１２３を示す図。実施の形態１における事象管理情報１２４を示す図。実施の形態１における統合定義データ１６０を示す図。実施の形態１における履歴追跡型ＤＢ１３４の履歴追跡型データを示す図。実施の形態１における統合ログの生成処理のフローチャート。実施の形態１における属性データを示す図。実施の形態１におけるデータ標準化処理のフローチャート。実施の形態１における履歴追跡型データの生成処理のフローチャート。実施の形態１における統合ログ検索の過程を示すフローチャート。実施の形態２における異種ログ統合管理装置１００のハードウェア構成の一例を示す図。

実施の形態１．
図１は、異種ログ統合管理装置１００（統合ログ生成装置）のブロック図である。異種ログ統合管理装置１００は、属性抽出部１１０（標準化ログデータ生成部の一例）、属性管理情報１２０を格納する属性管理情報格納部、画像取得部１１２（画像蓄積部の一例）、収集・蓄積部１１３（蓄積部の一例）、ログ検索部１１４（統合ログ検索部の一例）、ログ管理部１１５、画像データ１１６を格納する画像データ格納部、統合ログ１１７を格納する統合ログ格納部、履歴データ生成部１３０（履歴追跡型データ生成部の一例）、統合定義情報１３１を格納する定義情報格納部、履歴データ検索部１３２（履歴追跡部の一例）、履歴追跡型データ管理部１３３、履歴追跡型ＤＢ（ＤａｔａＢａｓｅ）１３４を格納する履歴追跡型データベース格納部、統合ログ検索連携部１４０を備える。

（１）異種ログ統合管理装置１００は、各種ログを収集、蓄積し、ログに記録された事象の履歴を利用した検索を実現する装置である。
（２）ＰＣ操作ログ２００は、オフィス等に設置または一時的に持ち込まれたＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）に対して、情報漏えい対策システム等により各種操作内容が記録されたログデータである。
（３）複合機ログ２１０は、オフィス等に設置された複合機（コピー機能、プリンタ機能、ファクシミリ機能等の複数の機能を有する）に対する各種操作を記録したログデータである。
（４）入退室ログ２２０は、オフィス等の入退室管理装置が記録したログデータである。
（５）監視画像２３０は、オフィス等に設置された監視映像カメラが記録した画像データである。監視画像２３０は画像情報格納装置に格納されている。
（６）クライアントＰＣ３００は、異種ログ統合管理装置１００を利用してログの検索、参照を行うための操作用ＰＣである。

異種ログ統合管理装置１００において、
（１）属性抽出部１１０は、ＰＣ操作ログ２００、複合機ログ２１０、入退室ログ２２０を入力し、属性管理情報１２０を参照して各ログから属性項目を抽出して後述する属性データ１１１を生成する。
（２）属性管理情報１２０は、各ログに記録された人物等の識別子を管理するＩＤ管理情報１２１、ログを記録する装置等を管理する機器管理情報１２２、記録されたログの位置に関する情報を管理する位置管理情報１２３、ログが記録される原因となった事象を管理する事象管理情報１２４が含まれる。
（３）画像取得部１１２は、属性データ１１１の情報を基に関連する画像データを監視画像２３０から抽出し、画像データ１１６に格納する。
（４）収集・蓄積部１１３では、各ログのログデータとログデータから抽出した属性データ１１１とを一組のデータとして統合ログ１１７に格納する。
（５）ログ検索部１１４は、検索条件に従って統合ログ１１７及び画像データ１１６の検索を行う。
（６）ログ管理部１１５は、統合ログ１１７及び画像データ１１６のストレージ入出力等の処理を行う。
（７）履歴データ生成部１３０は、ログ検索部１１４から属性情報を入力し、統合定義情報１３１に従って履歴追跡型データを生成して履歴追跡型ＤＢ１３４に格納する。
（８）履歴データ検索部１３２は、条件に従って履歴追跡型ＤＢ１３４の検索を行う。
（９）履歴追跡型データ管理部１３３は、履歴追跡型ＤＢ１３４のストレージ入出力等の処理を行う。
（１０）統合ログ検索連携部１４０は、クライアントＰＣ３００で実行される統合ログ検索画面３０１からのユーザ要求を基にログ検索部１１４と履歴データ検索部１３２を組合せて、統合ログ１１７、画像データ１１６、履歴追跡型ＤＢ１３４の検索を行う。

ＰＣ操作ログ２００、複合機ログ２１０、入退室ログ２２０は、それぞれのログを記録、管理するシステム装置から、ネットワーク経由により一定周期間隔で異種ログ統合管理装置１００に転送する。監視画像２３０は監視映像カメラが記録する画像データを蓄積・管理する装置から撮影日時とカメラを識別する情報を指定することにより、必要な画像データを取り出す。

（ＰＣ操作ログ２００）
図２は図１におけるＰＣ操作ログ２００の一例を示す概略図である。図２においてＰＣ操作ログデータ２０１は情報漏えい対策システム等の利用によりＰＣに対する操作が記録されたデータである。ＰＣ操作ログデータ２０１には、ログが記録された日時項目、操作が行われたＰＣを識別するためのホスト名項目、操作の主体を表すログインユーザ項目、操作の具体的な内容を示す操作項目の他、操作対象のファイル名等の関係情報を記録した項目が出力される。図２ではＰＣ操作ログデータ２０１は、記録される項目がそれぞれ列として識別可能な形式として表現しているが、実際には単なる可読なテキストやＸＭＬ形式といった場合もある。いずれの場合も前処理として項目を個別の列として切り出すことにより対応できる。

（複合機ログ２１０）
図３は図１における複合機ログ２１０の一例を示す概略図である。図３において複合機ログデータ２１１は複合機により記録されたログデータを複合機管理システム等により集積したデータである。複合機ログデータ２１１には、ログが記録された日時項目、処理が行われた複合機を示す機器ＩＤ項目、処理の具体的な内容を示す動作項目、処理の主体を表すユーザＩＤ項目の他、処理の実行回数や宛先電話番号等の関係情報を記録する項目が出力される。図３では複合機ログデータ２１１は、記録される項目がそれぞれ列として識別可能な形式として表現しているが、実際には単なる可読なテキストやＸＭＬ形式といった場合もある。いずれの場合も前処理として情報を個別の列として切り出すことにより対応できる。

（入退室ログ２２０）
図４は図１における入退室ログ２２０の一例を示す概略図である。図４において入退室ログデータ２２１は入退室管理装置等により記録されるデータである。入退室ログデータ２２１には、ログが記録された日時項目、操作対象の番号項目、操作内容を示す信号項目、ログを記録する原因を示す要因項目、操作の主体を表す識別番号項目の他、通行要因等の関係情報が記録される項目が出力される。図４では入退室ログデータ２２１は、記録される項目がそれぞれ列として識別可能な形式として表現しているが、実際には規定コード番号によるバイト列やＸＭＬ形式としった場合もある。いずれの場合も前処理として情報を個別の列として切り出すことにより対応できる。

（統合ログ１１７）
図５は図１における統合ログ１１７の一例を示す概略図である。図５において統合ログデータ１５０は、個々のログデータを一意に識別するログＩＤ項目、ログが記録された日時項目、ログデータがＰＣ操作ログ２００、複合機ログ２１０、入退室ログ２２０のいずれかを示す種別項目、ログの発生要因を示すイベント項目、ログの発生元を示す対象項目、ログに記録された事象の主体を示すユーザＩＤ項目、ログに関わる事象の発生場所を示す位置項目及びオリジナルのログの全情報を格納するログ本文項目で構成される。統合ログデータ１５０とＰＣ操作ログデータ２０１、複合機ログデータ２１１、入退室ログデータ２２１の対応関係を図６に示す。統合ログデータ１５０の構造は、統合対象であるＰＣ操作ログ２００、複合機ログ２１０、入退室ログ２２０の内容から図７に示す手順で導出する。

（統合ログの設計フロー）
図７は各種システムや機器が出力する異なる形式のログを統合して格納するための統合ログの構造を設計者が設計する手順を示すフローチャート図である。図７において、
（１）ステップＳ００１では統合対象のログ（ここではＰＣ操作ログ２００、複合機ログ２１０、入退室ログ２２０が該当）に含まれる項目の中から、各ログの内容を判断する上で最低限必要な項目を選別する。例えば、ログの日時、ログが表す事象を行ったユーザ、対象あるいは関連機器、事象の内容を示すイベント等の情報が記録された項目が該当する。
（２）ステップＳ００２では、ステップＳ００１で選別した項目のほかに、ログには記録されないが、統合対象の複数ログの関連付けに利用できる内容で、追加が可能な関連情報（例えば、ログの対象機器の所在等を示す後述の位置項目）を抽出する。
（３）ステップＳ００３では、ステップＳ００１、ステップＳ００２で洗い出した項目に関して、意味的に同一の項目については一つの項目に統合し、項目を整理する。例えば、ログの日時やログの事象に関わる人物の識別情報（ＰＣ操作ログ２００ではログイン項目、複合機ログ２１０ではユーザＩＤ項目、入退室ログ２２０では識別番号項目が該当）は、項目が表す実体は同一であるため、項目を統合する。
（４）ステップＳ００４では、ステップＳ００３で整理した項目に対して、統合対象の各ログでログの記録する原因を示す項目を意味内容に関係なくイベント項目として一つに集約する。ログの記録原因を示す項目とは、例えばＰＣ操作ログ２００では操作項目、複合機ログ２１０では動作項目、入退室ログ２２０では信号項目が該当する。
（５）ステップＳ００５では、ステップＳ００４までに整理した項目に、統合ログのデータを一意に識別可能にするためのログＩＤ項目と、ログデータの種類を示すログ種別項目を追加したものを属性情報として定義する。
（６）ステップＳ００６では、ステップＳ００５での属性情報に、統合対象の各ログのデータをそのまま格納するためのログ本文項目を追加して、属性情報とログ本文の一組で統合ログのデータとする。
（７）以上により統合ログの構造を定めることができる。

属性管理情報１２０は、図７で示すフローチャートにより、設計者が設計した統合ログデータ１５０の属性情報について、データの値を標準化するための対応情報を管理する。

（ＩＤ管理情報１２１）
図８は図１におけるＩＤ管理情報１２１の一例を示す概略図である。ＩＤ管理情報１２１は、ステップＳ００３で統合したユーザＩＤ項目について、同一人物が同一ＩＤとなるよう統合用の標準ＩＤと各ログでの該当項目の値の対応関係を管理する。図８において、ユーザＩＤ管理テーブル１７０は、標準ＩＤであるユーザＩＤ項目と、その内容を記録するための説明項目で構成される。ユーザＩＤ項目の値は重複のない一意の値となるようにする。ＩＤ対応テーブル１７１はログの種別を識別するためのログ種別項目と、各ログにおけるユーザの識別情報である識別子項目及び、その識別子項目に対応する標準ＩＤを示すユーザＩＤ項目で構成される。なお、図８では、複合機ログ２１０と入退室ログ２２０でユーザの識別情報が統一されている場合を示している。ＩＤ対応テーブル１７１のユーザＩＤ項目の値は、ユーザＩＤ管理テーブル１７０のユーザＩＤ項目で定義されている必要がある。

（機器管理情報１２２）
図９は図１における機器管理情報１２２の一例を示す概略図である。機器管理情報１２２は、対象項目のデータ値が識別可能で統一形式となるよう、標準値と各ログでの該当項目の値の対応関係を管理する。図９において、機器対応テーブル１７２は標準値を表す対象項目と、ログの種別を識別するためのログ種別項目と、各ログにおける機器の識別情報である識別子項目及び副識別子項目、対象項目の内容を記録するための説明項目で構成される。対象項目の値は重複のない一意の値となるようにする。識別子項目と副識別子項目の値については、ログ種別により機器が一意に特定できるログ（ＰＣ操作ログ、複合機ログ）は識別子項目のみを使用し、ログ種別だけでなく、実際にログを出力した機器と合わせることで一意に特定できるログ（入退室ログ）については、識別子項目と副識別子項目を使用する。

（位置管理情報１２３）
図１０は図１における位置管理情報１２３の一例を示す概略図である。位置管理情報１２３は、対象項目からログの位置情報を導出できるよう、対象項目値と位置情報の対応関係を管理する。図１０において、位置管理テーブル１７３はログに対応する位置を表す位置項目と、その内容を記録するための説明項目で構成される。位置項目の値は重複のない一意の値となるようにする。位置対応テーブル１７４は図９の機器対応テーブル１７２の対象項目と、その位置を示す位置項目で構成される。位置対応テーブル１７４の位置項目の値は、位置管理テーブル１７３の位置項目で定義されている必要がある。

（事象管理情報１２４）
図１１は図１における事象管理情報１２４の一例を示す概略図である。事象管理情報１２４は、イベント項目が識別可能で統一形式となるよう、標準値と各ログでの該当項目の値の対応関係を管理する。図１１において、イベント管理テーブル１７５は標準値を表すイベント項目と、ログの種別を識別するためのログ識別項目と、各ログにおけるイベントに該当する項目の情報である識別子項目、イベント項目の内容を記録するための説明項目で構成される。イベント項目の値は重複のない一意の値となるようにする。

（統合定義情報１３１）
図１２は図１に示す異種ログ統合管理装置１００における、統合定義情報１３１（履歴追跡型データ作成定義情報）の一例を表す概略図である。統合定義情報１３１は、履歴追跡に使用する履歴追跡型データを作成するための定義情報である。図１２において、統合定義データ１６０は［ＳｏｕｒｃｅＤｅｆｉｎｉｔｉｏｎ］、［Ｓｏｕｒｃｅ１］〜［Ｓｏｕｒｃｅ３］、［Ｃｌａｓｓ１］〜［Ｃｌａｓｓ４］の３つに大きく分けられる。［ＳｏｕｒｃｅＤｅｆｉｎｉｔｉｏｎ］部分では履歴追跡型データにおけるクラス数（ＣｌａｓｓＣｏｕｎｔ）、属性数（ＡｔｔｒｉｂｕｔｅＣｏｕｎｔ）、元データとなる入力ソース数（ＳｏｕｒｃｅＣｏｕｎｔ）と各ソースの種類（Ｓｏｕｒｃｅ１〜Ｓｏｕｒｃｅ３）が定義される。ここでクラスとは、履歴データを時系列で辿っていく（追跡する）際に着目する項目（視点）、属性とはクラス以外でデータに関係付けられる項目である。また、ソースの種類としてはＰＣ操作ログ（ＰＣ）、複合機ログ（ＭＦＰ）、入退室ログ（ＡＣＳ）を定義している。［Ｓｏｕｒｃｅ１］〜［Ｓｏｕｒｃｅ３］では、３種類のソースのそれぞれについて、日時項目（Ｔｉｍｅｓｔａｍｐ）、イベント項目（Ｅｖｅｎｔ）、クラス項目（ＣｌａｓｓＮｏ１〜ＣｌａｓｓＮｏ４のいずれか）、属性項目（Ａｔｔｒｉｂｕｔｅ１）の存在する項目位置番号を示す。［Ｃｌａｓｓ１］〜［Ｃｌａｓｓ４］では、クラスに関する情報を定義する。統合定義データ１６０ではクラス名（ＣｌａｓｓＮａｍｅ）のみを４つのクラス、「人物」「位置」「対象」「ゲート」について定義している。「人物」クラスは、ある特定の人物の行動について履歴データを追跡する際に使用する。「位置」クラスは、ある場所における人の分布を履歴データで追跡する際に使用する。「対象」クラスは、ある機器の使用状況について履歴データを追跡する際に使用する。「ゲート」は、ある地点における人の流れを履歴データで追跡する際に使用する。

（履歴追跡型ＤＢ１３４）
図１３は図１に示す異種ログ統合管理装置１００における、履歴追跡型ＤＢ１３４に格納される履歴追跡型データの一例を表す概略図である。図１３において、履歴追跡型データ１６１は、ログが記録された日時項目、統合ログ１１７において個々のログデータを一意に識別するログＩＤ項目、ログの発生要因を示すイベント項目、ログのクラス数とクラス数分のクラス情報項目で構成される。クラス情報項目はクラス自身の情報の項目と、クラスの観点からのログデータのインスタンス情報で構成される。

次に動作について説明する。動作は大きく統合ログの生成動作Ａ、履歴追跡型データの生成動作Ｂ、統合ログの検索動作Ｃの三つの部分に分けられる。

（統合ログの生成動作Ａ）
図１４は図１に示す異種ログ統合管理装置１００における統合ログの生成処理の流れを表すフローチャートである。また図１５は、属性データを説明するための図である。図１４のＳ１０１〜Ｓ１０８は属性抽出部１１０の動作であり、Ｓ１０９は画像取得部１１２の動作であり、Ｓ１１０は、収集・蓄積部１１３の動作である。統合ログの生成はＰＣ操作ログ２００、複合機ログ２１０、入退室ログ２２０について、それぞれ一つずつ個別に行い、生成された統合ログ１１７では図５に示したように、すべてのログのデータが混在した形で蓄積される。

（１）まずステップＳ１０１では、属性抽出部１１０が、処理対象のログについて任意の件数分ログデータを入力する。ログデータは、発生元のシステム装置から異種ログ統合管理装置１００に１件ずつ入力してもよいし、複数件単位でまとめて入力してもよい。このときログの種類（ＰＣ操作ログ２００、複合機ログ２１０、入退室ログ２２０）に関する情報も入力する。
（２）ステップＳ１０２では、属性抽出部１１０は、ログの発生元から入力したログデータから、ログデータ１件を読み込む。たとえば図３であれば、１行ぶんのレコード（１単位のログデータ）が該当する。
（３）ステップＳ１０３では、属性抽出部１１０は、入力したログデータのログ種別についてログ種類を基に設定する。図１５に示すように、図３であれば、「ＭＦＰ」となる。
（４）ステップＳ１０４では、属性抽出部１１０は、ログの種類からログデータの形式を判断して、ログデータから統合ログの属性（日時、イベント、対象、ユーザＩＤ）に対応する項目データを取り出す。
（５）ステップＳ１０５では、属性抽出部１１０は、ステップＳ１０４で取り出した統合ログの属性に対応する項目データについて、属性管理情報１２０を参照して項目データの値を標準化する。イベント項目は、事象管理情報１２４を基に値を変換する。対象項目（イベント発生の対象）は、機器管理情報１２２を基に値を変換する。ユーザＩＤ項目は、ＩＤ管理情報１２１を基に値を変換する。イベント日時項目については、必要に応じて表現形式を変換する。
（６）ステップＳ１０６では、属性抽出部１１０は、ステップＳ１０５で変換した対象項目の値から、位置管理情報１２３を基に位置項目（関連情報の一例）の値を導出する。
（７）ステップＳ１０７では、属性抽出部１１０は、ステップＳ１０３（種別）、ステップＳ１０５（標準化）、ステップＳ１０６（位置項目）で求めた項目データから、属性項目データを生成して、属性データ１１１を作成または、追加する。図１５の１行の１レコードが一つの属性データ（標準化ログデータの一例）である。
（８）ステップＳ１０８では、属性抽出部１１０は、ステップＳ１０１で入力したログデータのうち、未処理のデータの有無を評価し、未処理のデータがある場合はステップＳ１０２に、すべてのデータの処理が終わっている場合はステップＳ１０９に進む。
（９）ステップＳ１０９では、画像取得部１１２は、属性データ１１１を入力し、ステップＳ１０１で入力したすべてのログデータに対して、属性データ１１１の日時項目と位置項目の値を基にログデータに対応する画像データを監視画像２３０から取得する。
（１０）ステップＳ１１０では、収集・蓄積部１１３は、ステップＳ１０１で入力したログデータ（ログデータ本文）と属性データ１１１を一組として、統合ログ１１７にデータをロードする。なお、図５に示すように、ログ本文の全部を付加するのは一例である。属性抽出部１１０は、設定に従ってログ本文のうち所定の部分（ログ本文全部の場合を含む）を付加する。そして、画像取得部１１２は、ロードした統合ログのログＩＤ項目の値を使って、ステップＳ１０９で取得した画像データと統合ログデータを紐付けて（対応づけて）画像データ１１６にロードする。

以上により統合ログが生成できる。

（Ｓ１０５、Ｓ１０６の詳細）
図１６は図１４のステップＳ１０５（標準化）におけるイベント項目、対象項目、ユーザＩＤ項目に関するデータの標準化処理、及びステップＳ１０６（位置項目の導出）における位置項目の導出処理（関連情報の導出処理）の流れを表すフローチャートである。

（Ｓ４０１）
まずステップＳ４０１では、統合ログ生成処理中のログの種別と、標準化あるいは導出対象の項目データ（ステップＳ１０４で抽出したイベント、対象、ユーザＩＤに対応する項目データ、あるいはステップＳ１０５で標準化した対象項目データ）を入力する。

（Ｓ４０２）
ステップＳ４０２では、ステップＳ４０１で入力した項目データの種類から、標準化処理あるいは位置項目の導出処理において参照する属性管理情報１２０を特定する。項目データがイベントに対応する項目の場合は図１１のイベント管理テーブル１７５を使用し、対象に対応する項目の場合は図９の機器対応テーブル１７２を使用し、ユーザＩＤに対応する項目の場合は図８のＩＤ対応テーブル１７１を使用し、対象項目データの場合は図１０の位置対応テーブル１７４を使用する。

（Ｓ４０３）
ステップＳ４０３では、ステップＳ４０１で入力したログ種別と項目データを基に、属性管理情報１２０から該当するレコードを検索する。参照先がイベント管理テーブル１７５の場合は、ログ種別項目と識別子項目が、それぞれ入力したログ種別と項目データに一致するレコードを検索する。参照先が機器対応テーブル１７２の場合は、ログ種別項目と識別子項目とがそれぞれ入力したログ種別と項目データに一致するレコードを検索する。参照先がＩＤ対応テーブル１７１の場合は、ログ種別項目と識別子項目が、それぞれ入力したログ種別に対応する値と項目データに一致するレコードを検索する。参照先が位置対応テーブル１７４の場合は、対象項目が入力した対象項目に一致するレコードを検索する。

（Ｓ４０４）
ステップＳ４０４では、ステップＳ４０３で検索した属性管理情報１２０からの検索結果レコードから、標準化あるいは導出対象の項目データを出力する。イベント管理テーブル１７５の検索結果レコードの場合はイベント項目を出力し、機器対応テーブル１７２の検索結果レコードの場合は対象項目を出力し、ＩＤ対応テーブル１７１の検索結果レコードの場合はユーザＩＤ項目を出力し、位置対応テーブル１７４の検索結果レコードの場合は位置項目を出力する。

以上によりイベント項目、対象項目、ユーザＩＤ項目の標準化及び位置項目の導出ができる。

（履歴追跡型データの生成動作Ｂ）
次に統合ログから履歴追跡型データを生成する処理について説明する。図１７は図１に示す異種ログ統合管理装置１００における履歴追跡型データ生成処理の流れを表すフローチャートである。Ｓ２０１〜Ｓ２０４は、ログ検索部１１４の動作であり、Ｓ２０５〜Ｓ２１０は、履歴データ生成部１３０の動作である。

（１）まずステップＳ２０１で、ログ検索部１１４は、統合ログ１１７のログデータから、履歴追跡型データを生成する対象とする「時間範囲」を入力する。時間範囲は必要に応じて適宜指定させても、一定周期毎に自動で決定してもよい。
（２）ステップＳ２０２では、ログ検索部１１４は、時間範囲と、ログ種別（ＰＣ操作ログ２００、複合機ログ２１０、入退室ログ２２０のいずれか）のうち、未だ時間範囲のログデータを取得していないログ種別を選択条件に指定して、統合ログ１１７に対して検索を実行する。
（３）ステップＳ２０３では、ログ検索部１１４は、ステップＳ２０２の検索結果のログデータを取得し、記録しておく。検索結果のログデータは、メモリ上のバッファ領域にデータとして格納しておいても、ファイルに出力しておいてもよい。
（４）ステップＳ２０４では、ログ検索部１１４は、ステップＳ２０１で入力した時間範囲のログデータを取得していないログ種別がないか評価し、未取得のログ種別がある場合はステップＳ２０２に、すべてのログ種別について取得済みの場合はステップＳ２０５に進む。

（５）ステップＳ２０５では、履歴データ生成部１３０は、図１２における「統合定義データ１６０」（履歴追跡型データ作成定義情報）を入力する。
（６）ステップＳ２０６では、履歴データ生成部１３０は、Ｓ２０３で取得したログデータのうち、未だ処理を行っていないログ種別のログデータを入力する。ログデータをメモリ上のバッファ領域に格納していた場合は、バッファ領域を受け取り、ファイル出力していた場合は、ファイルをオープンしてログデータを読み込む。
（７）ステップＳ２０７では、ステップＳ２０６で入力したログデータの種別から、ステップＳ２０５で入力した統合定義データ１６０の該当する情報を参照して、履歴追跡型データ生成処理を実行する。まず、統合定義データ１６０の［ＳｏｕｒｃｅＤｅｆｉｎｉｔｉｏｎ］にあるソース種別の情報を元に、入力したログ種別が［Ｓｏｕｒｃｅ１］〜［Ｓｏｕｒｃｅ３］のどのセクションに該当するか調べる。次に、該当するセクションの情報を元に、入力したログデータ１件毎に以降の処理をすべてのログデータについて実行する。まず、日時項目（Ｔｉｍｅｓｔａｍｐ）、イベント項目（Ｅｖｅｎｔ）、属性項目（Ａｔｔｒｉｂｕｔｅ１）について項目位置番号から値を取り出し、それぞれ履歴追跡型データの日時項目、イベント項目、ログＩＤ項目に設定する。次に該当するセクションに定義されたクラス項目（ＣｌａｓｓＮｏ１〜ＣｌａｓｓＮｏ４のいずれか）について、項目位置番号から値を取り出して該当するクラス情報のインスタンス項目に設定、クラス項目には該当する［Ｃｌａｓｓ１］〜［Ｃｌａｓｓ４］のセクションの情報を参照して値を設定、履歴追跡型データを生成する。統合定義データ１６０の例ではクラス名（ＣｌａｓｓＮａｍｅ）しか定義していないが、ここでログデータ間の階層関係を定義しておくことで、データ間で階層関係を持つ履歴追跡型データの生成も可能になる。
（８）ステップＳ２０８では、Ｓ２０６で入力したログデータを解放する。メモリ上のバッファ領域に格納していた場合はバッファ領域を解放し、ファイルに格納していた場合はファイルを削除する。
（９）ステップＳ２０９では、未処理のログがないか評価し、未処理のログがある場合はステップＳ２０６に、ない場合はＳ２１０に進む。
（１０）ステップＳ２１０では、生成した履歴追跡型ログデータを履歴追跡型ＤＢ１３４に格納する。
（１１）以上により統合ログから履歴追跡型ログデータが生成できる。

（統合ログの検索動作Ｃ）
最後に統合ログの検索について説明する。図１８は図１に示す異種ログ統合管理装置１００における統合ログ検索の流れを表すフローチャートである。

（１）まず、ステップＳ３０１で、ユーザは、統合ログ検索画面３０１から、検索したい事象を対象とする「ログ種別」と、「検索条件」とを入力する。例えばある時間に入室した人物に関する事象を検索する場合は、「ログ種別」として入退室ログを指定し、「検索条件」には時間と位置を指定する。ここで「検索条件」は、統合ログデータ１５０の属性項目に対するものでもよいし、ログ本文項目に対するものでもよい。なお、統合ログ検索画面３０１のユーザインタフェースの形式は問わない。
（２）ステップＳ３０２では、統合ログ検索連携部１４０が、統合ログ検索画面３０１から「ログ種別」と「検索条件」とを受け取り、統合ログ１１７に対する検索問い合わせ文を生成し、ログ検索部１１４に検索を依頼する。ログ検索部１１４が統合ログ１１７の検索を実行し、検索結果を統合ログ検索連携部１４０に返えす。統合ログ検索連携部１４０は、統合ログ検索画面３０１に検索結果データを渡す。統合ログ検索画面３０１は受け取った検索結果データを出力する。

（３）ステップＳ３０３では、ユーザがステップＳ３０２で得られた検索結果データから、ログの追跡を行いたい場合はステップＳ３０４に進み、追跡が不要な場合はステップＳ３０８に進む。

（ログの追跡を実行）
（４）ステップＳ３０４では、統合ログ検索画面３０１は、追跡に用いる視点として、履歴追跡型データにおけるクラス（人物、位置、対象のいずれか）をユーザから入力する。例えば、入退室ログを起点に人物に対して追跡を行いたい場合は、クラスは人物になる。統合ログ検索画面３０１は、統合ログ検索連携部１４０にクラスと検索結果データのログＩＤ項目の情報を指定して履歴追跡を指示する。統合ログ検索連携部１４０は、クラスとログＩＤ項目から、履歴データ検索部１３２に履歴追跡型ＤＢ１３４に対する検索を依頼する。履歴データ検索部１３２では履歴追跡型ＤＢ１３４から指定されたログＩＤと一致するデータを抽出し、そのデータにおける指定されたクラスのインスタンスと同一の値を持つ履歴データの検索と日時項目による整列を実行、検索結果として履歴データの集合が履歴データ検索部１３２から統合ログ検索連携部１４０に返される。統合ログ検索連携部１４０は、統合ログ検索画面３０１に履歴データの集合を渡す。統合ログ検索画面３０１は受け取った履歴データの集合をログの履歴として出力する。
（５）ステップＳ３０５では、統合ログ検索画面３０１により出力されたログの履歴をユーザが参照し、履歴のシーケンスを目視で評価する。

（６）ステップＳ３０６では、ログの履歴を異なるクラス（視点）から追跡を行いたい場合は、クラスとログＩＤを指定してステップＳ３０４に戻り、追跡が不要な場合はステップＳ３０７に進む。視点の切替とは、例えば人物の履歴のある時点から、その人物が使用したＰＣの履歴に変更して追跡を行うことを指す。この場合、クラスは対象となり、視点を切り替えたい履歴データが持つログＩＤを指定することになる。

（７）ステップＳ３０７では、ログ履歴のうち、さらに詳細のログ情報が必要な場合、統合ログ検索画面３０１から詳細情報が必要な履歴データのログＩＤを統合ログ検索連携部１４０に指示する。統合ログ検索連携部１４０は、指定されたログＩＤを検索条件として、ログ検索部１１４に検索を依頼する。ログ検索部１１４により検索が実行され、検索結果が統合ログ検索連携部１４０に返される。統合ログ検索連携部１４０は、統合ログ検索画面３０１に検索結果データを渡す。統合ログ検索画面３０１は受け取った検索結果データを出力する。

（８）ステップＳ３０８は、出力されたログに対して関連する画像出力が必要な場合はステップＳ３０９に進む。不要な場合、統合ログ検索は終了となる。
（９）ステップＳ３０９では、統合ログ検索画面３０１から画像が必要なログのログＩＤを統合ログ検索連携部１４０に指示する。統合ログ検索連携部１４０は、指定されたログＩＤを検索条件として、ログ検索部１１４に画像検索を依頼する。ログ検索部１１４により検索が実行され、検索結果の画像データが統合ログ検索連携部１４０に返される。統合ログ検索連携部１４０は統合ログ検索画面３０１に検索結果画像データを渡す。統合ログ検索画面３０１は受け取った検索結果画像データを出力する。

以上により、統合ログの検索が実行できる。

以上のように、異種ログを複数の属性での関連付けを可能な形式で統合ログとして蓄積し、複数の属性から履歴追跡型データを作成して統合ログと対応付け、統合ログの検索に履歴追跡型データの検索を利用できるようにしているので、複数の属性の履歴を乗り継いだ統合ログの検索を行うことができる。

また、ログに記録されていない位置情報を統合ログの属性として追加して、位置情報により異種ログを関連付けるようにしているので、ログに直接表れない異種ログ間の関係を利用して履歴を検索することができる。

さらに、位置情報を基に、監視画像データとログを関連付けて画像データを蓄積しているので、任意の統合ログデータに関する画像データを検索することができる。

また、異種ログの関連付けを複数の属性で行っているため、ある属性項目の値がないログデータについても他の属性により履歴を辿ることができる。

さらに、統合ログにオリジナルのログ本文がそのまま蓄積されるため、ログに記録された情報の欠損がなく、異種ログ間で共通的でない固有な情報を用いた検索を行うことができる。また、統合ログから履歴追跡型データの生成では、ログ種別毎に履歴追跡型データへの対応付けや階層関係が定義できることから、あるログ種別で固有の関係情報を設定することができる。

実施の形態２．
次に図１９を参照して、実施の形態２を説明する。実施の形態２は、異種ログ統合管理装置１００の一連の動作を、方法、プログラム、プログラムを記録したコンピュータ読み取り可能な記録媒体として把握した場合の実施形態である。

以上の実施の形態１では、異種ログ統合管理装置１００（統合ログ生成装置）について説明した。実施の形態１の異種ログ統合管理装置１００の構成要素である各構成要素（「〜部」）の一連の動作は互いに関連しており、この一連の動作を、異種ログ統合管理装置１００が行う方法として把握することも可能である。また、これらの一連の動作をコンピュータに実行させる処理として把握することで、コンピュータに実行させるプログラム（統合ログ生成プログラム）として把握することができる。また、プログラムを記録したコンピュータ読み取り可能な記録媒体として把握することも可能である。

図１９は、コンピュータである異種ログ統合管理装置１００のハードウェア資源の一例を示す図である。図１９において、異種ログ統合管理装置１００は、プログラムを実行するＣＰＵ８１０（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ８１１（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＲＡＭ８１２（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、表示装置８１３、キーボード８１４、マウス８１５、通信ボード８１６、フレキシブルディスクドライブ（ＦＤＤ）８１７、コンパクトディスクドライブ８１８、プリンタ８１９、磁気ディスク装置８２０等と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置８２０の代わりに、フラッシュメモリ、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。

ＲＡＭ８１２は、揮発性メモリの一例であり、ＲＯＭ８１１、磁気ディスク装置８２０等の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部、格納部の一例である。

通信ボード８１６は、クライアントＰＣ３００、監視画像２３０を保有する画像情報格納装置などの他の装置との間で通信を行う。

磁気ディスク装置８２０には、オペレーティングシステム８２１（ＯＳ）、ウィンドウシステム８２２、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１により実行される。

上記プログラム群８２３には、実施の形態１の説明において「〜部」として述べた機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。

ファイル群８２４には、上記の実施の形態で述べた属性管理情報１２０、属性データ１１１、画像データ１１６、統合ログ１１７、統合定義情報１３１、履歴追跡型ＤＢ１３４などの情報や、「〜の判定結果」、「〜の決定結果」、「〜の抽出結果」、「〜の処理結果」として説明した情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力、表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力、表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、以上の実施の形態１の説明において「〜部」として説明したものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明したものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以上の説明で述べた「〜部」としてコンピュータを機能させるものである。

以上の実施の形態では以下の手段を備えた異種ログ統合管理装置を説明した。
（ａ）異種ログから属性項目を抽出して、値を標準化する属性抽出手段；
（ｂ）ログを出力したシステム・機器の位置情報や識別コードなどのログに存在しない関連情報を属性項目に追加する属性追加手段；
（ｃ）属性とログ本文を一組のデータとして格納するログ蓄積手段；
（ｄ）蓄積したログを属性あるいはログ本文の情報を用いた検索条件により検索するログ検索手段；
（ｅ）蓄積したログについて、属性を用いて異種ログ間を関連付けて履歴データを生成する履歴データ生成手段；
（ｆ）履歴データを蓄積する履歴データ蓄積手段；
（ｇ）特定の履歴データの検索と、任意の履歴データに関連する履歴データの検索を行う履歴データ検索手段；
（ｈ）ログ検索、履歴データ検索を連携させる検索連携手段；

以上の実施の形態では、
前記（ｈ）検索連携手段において、履歴データ識別子を用いた統合ログの検索実行および統合ログのデータに関連した履歴データの検索実行により、統合ログ検索と履歴データ検索を連携させることを特徴とする異種ログ統合管理装置を説明した。

以上の実施の形態では、
前記（ａ）属性抽出手段において、異種ログとして入退室管理システムのログに対して、入退室管理システムのログにおけるログ発生日時、操作員、操作内容、機器識別子の情報を抽出すると共に、
前記（ｂ）属性追加手段において、入退室管理機器の位置情報を付加して、
前記（ｅ）履歴データ生成手段において、蓄積したログから属性項目を取り出し、操作員、位置情報、機器識別子の項目に基づいてログを関連付けることを特徴とする異種ログ統合管理装置を説明した。

以上の実施の形態では、
前記（ａ）属性抽出手段において、異種ログとしてＰＣ操作ログに対して、ＰＣ操作ログにおけるログ発生日時、操作員、操作内容、ＰＣ識別子の情報を抽出すると共に、
前記（ｂ）属性追加手段において、それぞれＰＣの位置情報を付加して、
前記（ｅ）履歴データ生成手段において、蓄積したログから属性項目を取り出し、操作員、位置情報、ＰＣ識別子の項目に基づいてログを関連付けることを特徴とする異種ログ統合管理装置を説明した。

以上の実施の形態では、
前記（ａ）属性抽出手段において、異種ログとして複合機の操作ログに対して、複合機の操作ログにおけるログ発生日時、操作員、操作内容、複合機識別子の情報を抽出すると共に、
前記（ｂ）属性追加手段において、複合機の位置情報を付加して、
前記（ｅ）履歴データ生成手段において、蓄積したログから属性項目を取り出し、操作員、位置情報、複合機識別子の項目に基づいてログを関連付けることを特徴とする異種ログ統合管理装置を説明した。

以上の実施の形態では、
以下の手段を備えた異種ログ統合管理装置を説明した。
（ａ）ログ発生日時、位置情報を基に監視画像蓄積サーバからログに関連する画像データを取り出し、統合ログに蓄積する画像取得手段；
（ｂ）統合ログ検索時にログデータと共に関連する画像データを抽出する画像検索手段；

１００異種ログ統合管理装置、１１０属性抽出部、１１１属性データ、１１２画像取得部、１１３収集・蓄積部、１１４ログ検索部、１１５ログ管理部、１１６画像データ、１１７統合ログ、１２０属性管理情報、１２１ＩＤ管理情報、１２２機器管理情報、１２３位置管理情報、１２４事象管理情報、１３０履歴データ生成部、１３１統合定義情報、１３２履歴データ検索部、１３３履歴追跡型データ管理部、１３４履歴追跡型ＤＢ、１４０統合ログ検索連携部、２００ＰＣ操作ログ、２１０複合機ログ、２２０入退室ログ、２３０監視画像、３００クライアントＰＣ、３０１統合ログ検索画面。

Claims

予め定められた複数の種類の各ログにおける一つのデータ単位を示すログデータであって複数の属性項目の各属性項目に対応する属性項目対応データからなるログデータが標準化された標準化ログデータが蓄積されると共に前記予め定められた複数の種類の各ログにおける前記ログデータを元に標準化された前記標準化ログデータが複数蓄積された統合ログを格納する統合ログ格納部と、
前記標準化の規則を属性管理情報として格納する属性管理情報格納部と、
前記予め定められた複数の種類の各ログの少なくともいずれかのログから前記ログデータを入力し、入力された前記ログデータから予め定められた２以上の属性項目に対応する属性項目対応データを抽出し、抽出された各属性項目対応データを前記属性管理情報格納部に格納された前記属性管理情報に基づいて標準化し、標準化された前記各属性項目対応データの全体を前記標準化ログデータとして生成する標準化ログデータ生成部と、
前記標準化ログデータ生成部によって生成された前記標準化ログデータを前記統合ログ格納部の前記統合ログに蓄積する蓄積部と、
前記統合ログに蓄積された複数の前記標準化ログデータから履歴追跡に使用可能な履歴追跡型データを作成する履歴追跡型データ作成定義情報であって、各ログの種類毎に前記属性項目を指定する履歴追跡型データ作成定義情報を格納する定義情報格納部と、
前記履歴追跡型データ作成定義情報で指定された前記属性項目に基づいて、前記統合ログに蓄積された前記標準化ログデータから前記履歴追跡型データを作成する履歴追跡型データ生成部と、
前記履歴追跡型データ生成部によって生成された前記履歴追跡型データを格納する履歴追跡型データ格納部と
を備えたことを特徴とする統合ログ生成装置。
前記統合ログ生成装置は、さらに、
検索条件を示す検索条件情報を受け付け、前記統合ログ格納部の前記統合ログから前記検索条件情報に合致する前記標準化ログデータを検索し、ヒットした前記標準化ログデータを出力する統合ログ検索部を備え、
前記履歴追跡型データ生成部は、
前記統合ログ検索部が出力した前記標準化ログデータから前記履歴追跡型データを作成することを特徴とする請求項１記載の統合ログ生成装置。
前記統合ログ生成装置は、さらに、
前記統合ログ検索部により検索された前記標準化ログデータのうち所定の属性項目対応データを履歴追跡における追跡項目を示す追跡視点として受け付け、受け付けた前記追跡視点に基づいて、前記履歴追跡型データ格納部の前記履歴追跡型データを対象として履歴追跡を実行し、前記履歴追跡の結果を出力する履歴追跡部と、
前記履歴追跡部の出力した前記履歴追跡の結果を入力し、入力した前記履歴追跡の結果に基づき、前記統合ログ検索部に前記統合ログの検索を依頼する統合ログ検索連携部と
を備え、
前記統合ログ検索部は、
前記統合ログ検索連携部からの依頼によって、前記統合ログの検索を実行することを特徴とする請求項２記載の統合ログ生成装置。
コンピュータを、
予め定められた複数の種類の各ログにおける一つのデータ単位を示すログデータであって複数の属性項目の各属性項目に対応する属性項目対応データからなるログデータが標準化された標準化ログデータが蓄積されると共に前記予め定められた複数の種類の各ログにおける前記ログデータを元に標準化された前記標準化ログデータが複数蓄積された統合ログを格納する統合ログ格納部、
前記標準化の規則を属性管理情報として格納する属性管理情報格納部、
前記予め定められた複数の種類の各ログの少なくともいずれかのログから前記ログデータを入力し、入力された前記ログデータから予め定められた２以上の属性項目に対応する属性項目対応データを抽出し、抽出された各属性項目対応データを前記属性管理情報格納部に格納された前記属性管理情報に基づいて標準化し、標準化された前記各属性項目対応データの全体を前記標準化ログデータとして生成する標準化ログデータ生成部、
前記標準化ログデータ生成部によって生成された前記標準化ログデータを前記統合ログ格納部の前記統合ログに蓄積する蓄積部、
前記統合ログに蓄積された複数の前記標準化ログデータから履歴追跡に使用可能な履歴追跡型データを作成する履歴追跡型データ作成定義情報であって、各ログの種類毎に前記属性項目を指定する履歴追跡型データ作成定義情報を格納する定義情報格納部、
前記履歴追跡型データ作成定義情報で指定された前記属性項目に基づいて、前記統合ログに蓄積された前記標準化ログデータから前記履歴追跡型データを作成する履歴追跡型データ生成部、
前記履歴追跡型データ生成部によって生成された前記履歴追跡型データを格納する履歴追跡型データ生成部、
として機能させるための統合ログ生成プログラム。
請求項４記載の統合ログ生成プログラムを記録したコンピュータ読み取り可能な記録媒体。