JP5698433B2 - 異なる複数のログ情報から抽出されたイベントデータの表示方法 - Google Patents

Description

本発明は、異なる複数のログ情報から抽出されたイベントデータを表示するための表示方法に関する。

従来のコンピュータシステムにおけるログ情報の表示方法によると、例えば１つのウインドウ中でログ情報のイベントが１行毎に表示される構成である。このため、異なる複数のログ情報から抽出された複数のイベント情報を表示する場合、１つのウインドウ中に、抽出された複数のイベント情報が１行毎に表示される。したがって、ログ情報を解析するためにオペレータはこの１行毎の表示を見比べて各イベント間の関係を把握していた。

したがって、例えば、複数の異なるログ情報中から所与の主題に従って抽出された複数のイベントデータを表示装置上に縦方向又は横方向に時間軸をとって表示する場合、同時刻に発生した複数のイベントデータでも該時間軸上に前後して表示されてしまっていた。この結果、複数のイベント間の時間関係をオペレータが直感的に把握するのが困難であり、所与の主題に沿って抽出されたイベントデータを解析するために多くの時間を要し、また解析に間違いが発生しやすくなるという問題点を有していた。

本発明の目的は、従来技術の上記問題点を解決することができる、異なる複数のログ情報から抽出されたイベントデータの表示方法を提供することにある。

本発明は、記憶装置に格納されている異なる複数のログ情報中の複数のイベントデータを表示装置上に表示するための方法であって、所与の検索条件に従って前記記憶装置から複数のイベントデータを抽出する抽出ステップと、抽出された複数のイベントデータの各イベント発生時刻を前記表示装置の表示画面上の一方の表示軸に沿って昇順又は降順に表示し、前記一方の表示軸に沿って表示された各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて表示するための表示データを前記抽出された複数のイベントデータに基づいて作成する作成ステップと、前記表示データに基づいて前記抽出された複数のイベントデータを前記表示装置に表示する表示ステップとを有する異なる複数のログ情報から抽出されたイベントデータの表示方法である。

本発明によれば、同一時刻に発生したイベントの内容は対応するイベント発生時刻と同一の列又は行上に表示するなどして同ライン上に一列に並べて表示されるので、同時刻に複数のイベントが発生している場合、それらのイベントを一目で直感的に把握できる。この結果、複数の異なるログ情報のイベント間の関連や時間経過を把握するのが容易となる。

以下、図面を参照して本発明の実施の形態の一例につき詳細に説明する。

図１は、本発明による表示方法を採用したコンピュータシステムの概略システム図である。図１において、Ｓ１はログ収集システム、Ｓ２はファイルサーバ、Ｓ３は図１に示したコンピュータシステムが設置されているエリアへの入退室を管理するための入退室管理システム、Ｓｎはこの種のｎ番目のシステムである。Ｌ１は、ログ収集システムＳ１の記憶装置に格納された端末操作ログ情報ファイル、Ｌ２は、ファイルサーバＳ２の記憶装置に格納されたサーバーアクセスログ情報ファイル、Ｌ３は、ファイルサーバＳ２の記憶装置に格納されたプリントログ情報ファイル、Ｌ４は、入退室管理システムＳ４の記憶装置に格納された入退室管理ログ情報ファイル、ＬｍはシステムＳｎの記憶装置に格納されたｍ番目のシステムのログ情報ファイルである。ＰＣ１は、作業者である「山口」さんが使用する端末パソコン、ＰＣｉは他の作業者が使用する端末パソコン、ＬＧＳＹＳはログ検索システムである。

符号ＮＴで示されるのはネットワークで、ログ収集システムＳ１等の各システム、各端末パソコン、ＰＣ１、ＰＣｉ及びログ検索システムＬＧＳＹＳとの間のデータのやりとりはネットワークＮＴを介して実行される構成となっている。

端末パソコンＰＣ１の操作記録は、ネットワークを通してログ収集システムＳ１の端末操作ログ情報ファイルＬ１に格納される。同様に、端末パソコンＰＣｉの操作記録も、ネットワークを通してログ収集システムＳ１の端末操作ログ情報ファイルＬ１に格納される。ログ検索システムＬＧＳＹＳは、端末操作ログ情報ＬＳ１、サーバーアクセスログ情報ＬＳ２、プリントログ情報ＬＳ３、入退室ログ情報ＬＳ４を有している。

図２は、ログ検索システムＬＧＳＹＳの詳細構成図である。Ｉ０１は入力手段、Ｄ０１は表示手段、ＭＰ０１はデータ処理部である。ＳＴ０１はログ情報ファイル記憶媒体で、端末操作ログ情報ＬＳ１、サーバーアクセスログ情報ＬＳ２、プリントログ情報ＬＳ３、入退室ログ情報ＬＳ４が格納されている。

データ処理部ＭＰ０１において、Ｐ０１は画面表示処理部、Ｐ０２は時刻紐付処理部、Ｐ０３はイベント情報抽出部、Ｍ０１は一時記憶部１、Ｍ０２は一時記憶部２である。

ログ検索システムＬＧＳＹＳは、ネットワークＮＴを介して、該ネットワークＮＴに接続されている種々の端末装置のログ情報を取り込み、ログ情報のデータベースを構築する機能を有している。本実施の形態では、図２に示したように、ログ情報ファイル記憶媒体ＳＴ０１内に４つのログ情報を構築するようになっている。ログ検索システムＬＧＳＹＳでは、これら４つのログ情報中から着目した主題に沿って複数のイベントデータを抽出し、抽出された複数のイベントデータを後述するようにして表示するための表示データを作成する。作成された表示データにより、表示手段Ｄ０１において、縦方向の時間軸を基準に、１つのログ情報を１列とし、異なる複数のイベントが横に並べられて表示される（図６参照）。

図３は、図２のデータ処理部ＭＰ０１におけるデータ処理動作を説明するためのフローチャートである。図３を参照してデータ処理部ＭＰ０１の動作を説明すると、先ずステップ３１では、ネットワークＮＴを介して各システムＳ１〜Ｓｎからそれぞれのログ情報ファイルＬ１〜Ｌｍを取得し、ログ情報ファイル記憶媒体ＳＴ０１にログ情報として格納される。

図４には、このようにして得られた端末操作ログ情報ＬＳ１、サーバーアクセスログ情報ＬＳ２、プリントログ情報ＬＳ３、入退室管理ログ情報ＬＳ４の内容が具体的に示されている。これらの各ログは、上述したように、ログ情報ファイル記憶媒体ＳＴ０１にデータベースとして格納される（図２参照）。

ステップ３２では、設定された主題に沿って入力手段Ｉ０１から指定された検索条件に一致するイベントデータを、ログ情報ファイル記憶媒体ＳＴ０１に格納されているデータベースから抽出し、一時記憶部１Ｍ０１に格納する。ここでは、「山口」さんの行動を分析するため、設定された所与の主題は「山口」さんの行動であり、「山口」さんに関するイベントデータが各データベースから抽出され、一時記憶部１Ｍ０１に格納される。

図５は、図４に示した４つのログ情報ＬＳ１〜ＬＳ４に対して上述の抽出処理を行い、その結果「山口」さんに関して得られた４つのログ情報ＬＤ１〜ＬＤ４の内容が示されている。図５から判るように、抽出処理によって一時記憶部１Ｍ０１に格納されたデータは、結局「山口」さんに関するイベントデータの集合であり、ここでは、各イベントの属性に従って、端末操作ログ情報ＬＤ１、サーバーアクセスログ情報ＬＤ２、プリントログ情報ＬＤ３、及び入退室管理ログ情報ＬＤ４の４つのログ情報として格納されている。

ステップ３３では、一時記憶部１Ｍ０１に格納されたログ情報を所与の表示形式に変換し、これにより得られたイベントデータを表示データとして一時記憶部２Ｍ０２に格納する。ここで、所与の表示形式とは、抽出された複数のイベントデータの各イベント発生時刻を表示装置の表示画面上の一方の表示軸に沿って昇順又は降順に表示し、一方の表示軸に沿って表示された各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて表示するようにした表示形式であり、具体的には図６に示した表示形式である。

ステップ３４では、一時記憶部２Ｍ０２に格納されているログ情報（表示データ）を表示手段Ｄ０１に出力し、これにより、図５の内容が図６に示す表示形式で表示手段Ｄ０１の画面上に表示される。

次に、図７、図８を参照して、図３のステップ３３の処理について詳細に説明する。

ステップ７１では、一時記憶部１Ｍ０１に格納された最初のログ情報（端末操作ログ情報ＬＤ１）を読み込む。ステップ７２では、端末操作ログ情報ＬＤ１のイベント発生日時とログのイベント内容を一時記憶部２Ｍ０２に書き込み、これにより図９に示す状態のデータが作成される。

ステップ７３では、一時記憶部２Ｍ０２に書き込まれていないログ情報が一時記憶部１Ｍ０１にあるか否かが判別される。ステップ７３の判別が「いいえ」であればステップ３３の処理は終了する。ステップ７３の判別が「はい」であればステップ７４に進む。

ステップ７４では未だ書き込まれていないログ（ここではサーバーアクセスログ情報ＬＤ２）を取り出し、そのログ情報をログｉと称する。

ステップ７５では、ログｉの最初のイベント（ここでは、Ｒｅａｄ−￥企画）を取り出し、それをイベントｊと称し、一時記憶部２Ｍ０２に格納されているログ情報の最初のイベントデータ格納行のポインタをポインタｋと称する。

ステップ７６では、一時記憶部１Ｍ０１に格納されたログｉのイベントｊの発生日時（ここでは２００８／０３／３０ ０２：２０）をｔ１とする。

ステップ７８では、一時記憶部２Ｍ０２に格納されたポインタｋにあるイベント発生日時（ここでは２００８／０３／３０ ０２：０８）をｔ２とする。

ステップ８１では、ｔ１とｔ２との有効桁の長さを比較する。上述の例では、ｔ１長＝ｔ２長となるのでステップ８３に進み、ｔ１とｔ２をｔ２の有効桁数で比較する。ここでは、ｔ１＞ｔ２であるからステップ８９に入り、一時記憶部２Ｍ０２に格納されたポインタｋの次のイベントデータがあるかが判別される。上述の例では図９に示す通り次のイベント（ここでは、２００８／０３／３０ ０２：２０）が存在するため判別結果は「はい」となり、ステップ７７に入り、一時記憶部２Ｍ０２に格納されているログの格納ポインタを次の行（ここでは、端末操作ログＬＤ１の第２行）に移し、それをポインタｋと称す。

そして、ステップ７８に進み、以下、同様の判別を繰り返す。今度の場合はｔ２が（２００８／０３／３０ ０２：２０）となるので、ステップ８３の判別結果はｔ１＝ｔ２となり、ステップ８４に進む。ここでｔ１＝ｔ２かつログｉのポインタｋの位置にイベントが格納されていないかどうかが判別される。ここでは、ステップ８４の判別結果は「はい」となり、ステップ８５に入る。

ステップ８５では、一時記憶部２Ｍ０２に格納されたログｉのポインタｋの位置（すなわち、２００８／０３／３０ ０２：２０）に一時記憶部１Ｍ０１に格納されたログｉのイベントｊを書き込む。

そして、ステップ８７で一時記憶部１Ｍ０１に格納されたログｉ（すなわちサーバーアクセスログ情報ＬＤ２）に次のイベントデータがあるか否かが判別される。ここでは、イベントデータが残っているのでステップ８８に入り、ログｉの次のイベントを取り出し、それをイベントｊと称してステップ７６に戻る。

このようにして、サーバーアクセスログ情報ＬＤ２の全てのイベントデータについて同様の処理を、ステップ８７の判別結果が「いいえ」となるまで実行し、サーバーアクセスログ情報ＬＤ２についての処理が終了する。このようにして得られたデータが図１０に示されている。

次に、ステップ７３に戻り、プリントログ情報ＬＤ３についての処理に入ることになる。プリントログ情報ＬＤ３におけるイベントデータの発生日時（２００８／０３／３０ ０２：２５：５０）は、既に処理して得られた図１０に示すログ情報の４番目のイベント発生日時と有効桁の長さが異なり、ｔ１長＜ｔ２長である。したがって、ステップ８１から８２に入り、ｔ１とｔ２をｔ１の有効桁数で比較する。この場合には、有効桁の範囲でｔ１＝ｔ２なので、ステップ８６に入る。ここで、一時記憶部２Ｍ０２のポインタｋの直前の位置に行を挿入して、ログｉのその位置に一時記憶部１Ｍ０１に格納されたログｉのイベントｊを書き込み、その行のイベント発生日時にｔ１を書き込む。その後の処理は既に説明した通りである。プリントログ情報ＬＤ３のイベントデータは１つだけであるから、一時記憶部２Ｍ０２に格納されたログ情報は結局図１１の状態となる。次に、入退室管理ログ情報ＬＤ４の処理に進む。

入退室管理ログＬＤ４の最初のイベントデータの発生日時は（２００８／０３／３０ ０２：００：１２）なので、既に説明したところから容易に理解されるように、ステップ８１、８２、８６が順次実行される。

例えば、ＬＤ４の３番目のイベントデータの場合、発生日時が（２００８／０３／３０ ０３：０２：２２）であるから、ステップ８１、８２、８９、７７、７８という順序で処理が繰り返えされ、ポインタｋが順送りされ、ポインタｋがさす一時記憶部２Ｍ０２のイベント発生日時が図１１の（２００８／０３／３０ ０２：５８）となった場合に、ステップ８９の判別結果が「いいえ」となり、ステップ９０に入り、発生日時（２００８／０３／３０ ０２：５８）の次の行にそのイベント発生日時とイベント内容が書き込まれることになる。

このようにして入退室管理ログ情報ＬＤ４の全てのイベントデータについての処理が終了することにより、図１２に示す表示データが一時記憶部２Ｍ０２に格納される。図１２の表示データは図６に示す表示データと同じである。

以上説明したように、注目する事象について、複数の異なるログ情報にその事象に関するイベントが発生している場合、図６に示したように、縦の時間軸に沿って昇順又は降順に並べられた発生日時に対して１つ又は複数のイベントを横に並べて表示するようにしたので、その事象に関する複数のイベントの関連性を直感的に把握することができる。図６の例で言えば、「山口」さんが入室してから、パソコンを立ち上げ、パソコンを用いて複数の作業を行い、パソコンをログアウトして退室するまでの様子を直感的に把握できる。この結果、一連の動作（行動）内容を短時間の内に正確に把握できる。

例えば、サーバー上のファイルＡをクライアントにコピーして、閲覧、印刷を行ったと想定すると、次の各ログ情報に記録されているイベントデータを直感的に把握することが可能である。
サーバー上の操作ログ情報 ファイルＡをコピーしたイベントデータ
クライアントの操作ログ情報 ファイルＡをオープンしたイベントデータ
サーバー上のプリントログ情報 ファイルＡを印刷したイベントデータ

本発明による表示方法を採用したコンピュータシステムの概略システム図。 図１に示すログ検索システムの詳細構成図。 図２のデータ処理部におけるデータ処理動作を説明するためのフローチャー ト。 図２のログ情報ファイル記憶媒体に格納されているログ内容を具体的に示す 図。 図２のログ情報ファイル記憶媒体から抽出処理されて得られたログの内容を 具体的に示す図。 図５に示すログ内容を表示手段によって表示する場合の表示形式を示す図。 図２の一時記憶部１に格納されたログ情報に基づいて表示データを作成する ための処理を説明するための一部フローチャート。 図２の一時記憶部１に格納されたログ情報に基づいて表示データを作成する ための処理を説明するための一部フローチャート。 表示データ作成処理の途中で得られたデータ状態を説明するための図。 表示データ作成処理の途中で得られたデータ状態を説明するための図。 表示データ作成処理の途中で得られたデータ状態を説明するための図。 表示データ作成処理により得られた表示データを説明するための図。

Ｓ１ ログ収集システム
Ｓ２ ファイルサーバ
Ｓ２ 入退室管理システム
Ｓｎ ｎ番目のシステム
Ｌ１ 端末操作ログ情報ファイル
Ｌ２ サーバーアクセスログ情報ファイル
Ｌ３ プリントログ情報ファイル
Ｌ４ 入退室管理ログ情報ファイル
Ｌｍ ｍ番目のシステムログ情報
ＰＣ１、ＰＣｉ 端末パソコン
ＬＧＳＹＳ ログ検索システム
ＬＳ１ 端末操作ログ情報
ＬＳ２ サーバーアクセスログ情報
ＬＳ３ プリントログ情報
ＬＳ４ 入退室管理ログ情報
ＮＴ ネットワーク
Ｉ０１ 入力手段
Ｄ０１ 表示手段
ＭＰ０１ データ処理部
ＳＴ０１ ログ情報ファイル記憶媒体
Ｐ０１ 画面表示処理部
Ｐ０２ 時刻紐付処理部
Ｐ０３ イベント情報抽出部
Ｍ０１ 一時記憶部１
Ｍ０２ 一時記憶部２
ＬＤ１ 端末操作ログ情報
ＬＤ２ サーバーアクセスログ情報
ＬＤ３ プリントログ情報
ＬＤ４ 入退室管理ログ情報

Claims (2)

1. 記憶装置に格納されている異なる複数のログ情報中の複数のイベントデータを表示装置上に表示するための方法であって、
   何れかの記憶装置からイベント発生時刻のデータを含むログ情報を取り込んでログ情報のデータベースを構築するステップと、
   指定された検索条件に一致する複数のイベントデータを前記データベースから抽出して一時記憶手段に格納するステップと、
   該一時記憶手段に格納された複数のイベントデータを、抽出された複数のイベントデータの各イベント発生時刻を前記表示装置の表示画面上の一方の表示軸に沿って昇順又は降順に表示し、前記一方の表示軸に沿って表示された各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示する表示形式の表示データに変換するステップとを有し、
   前記変換するステップは、前記複数の異なるログ情報のうちの最初のログ情報について、各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示するための表示データに変換し、複数の異なるログ情報にイベントが同時に発生している場合、それらのイベントを対応するイベント発生時刻に対して横に並べて表示するようにし、前記最初のログ情報についての表示データの変換処理が終了した後、次のログ情報を取り出し、これら２つのログ情報について、各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて、前記表示装置の表示画面上に表示する前記表示形式の表示データに変換し、
   前記ログ情報の全てのイベントデータについて前記表示形式への変換の処理が終了することにより、前記表示データを前記一時記憶手段に格納し、
   前記抽出された複数のイベントデータについて、前記一時記憶手段に格納された前記表示データに基づいて前記表示形式で前記表示装置に表示するようにしたことを特徴とする異なる複数のログ情報から抽出されたイベントデータの表示方法。
2. 複数のログ情報について各イベント発生時刻に対応するイベント内容を対応するイベント発生時刻と同ライン上に並べて前記表示装置の表示画面上に表示するための表示データに変換する場合、イベント発生時刻の有効桁の長さを比較することによって、前記複数のログ情報について各イベント発生時刻に対応するイベント内容をイベントデータの有効桁の長さが異なる場合でも時系列に並べて前記表示装置の表示画面上に表示するための表示データに変換するようにした請求項１記載のイベントデータの表示方法。

Images