JP6503679B2 - フィルタルール作成装置、フィルタルール作成方法、およびプログラム - Google Patents

Description

本発明は、フィルタルール作成装置、フィルタルール作成方法、およびプログラムに関する。

複数のシステムを含む監視対象から出力されるメッセージのうち、所定の監視ルールに該当するメッセージが管理者に通知されるという運用管理方法がある。図１に、複数のシステムを含む監視対象システムにおける運用管理手順を例示する。図１の監視対象システムは、複数のシステム、例えば、機種およびメーカの異なる情報処理装置群３０１を含む。監視対象システム内の情報処理装置から発せられたメッセージは、監視対象システムを監視する監視装置３０２に収集される。監視装置３０２は、事前に、収集対象となる運用メッセージをオペレータ装置３０４等から通知され、監視ルールとして保持している。監視装置３０２は、監視ルールに該当する運用メッセージをシステムから収集する。

監視装置３０２自身のフィルタ処理部、または監視装置３０２と連携するフィルタ処理装置３０３は、監視対象システムを管理する監視オペレータの負担軽減のため、メッセージをフィルタリングする。フィルタリングは、例えば、フィルタリングルールにしたがい、収集されたメッセージをまとめ、集約し、あるいは、選別する処理である。フィルタリングの結果、監視対象システムから発せられるメッセージよりも少量のメッセージが監視対象事象として監視オペレータの操作するオペレータ装置３０４に通知される。監視オペレータは、フィルタリング後に通知された監視対象事象から対処の要否判断が求められるものを担当者に連絡する。

しかしながら、複数の情報処理装置を含むシステム内では大量のメッセージが発生する場合がある。このため、所定の監視ルールに該当するメッセージについても、定期的に発信されるものや同一原因で発生するメッセージ群などがあり、同一内容を含むメッセージが複数、場合によっては大量に出力されてしまう場合がある。
そのため、同一の原因に基づいて発生するメッセージ群、同一内容を包含して複数回出現するメッセージ群について、集約あるいは少数選択して出力できる仕組みが提案されている。メッセージ群が集約あるいは少数選択される仕組みでは、例えば、予めフィルタルールが作成され、フィルタルールに基づいてメッセージが出力される。

図２に、情報処理装置がフィルタルールを作成し、フィルタルールにしたがって、同一内容を包含して複数回出現するメッセージ群を集約、あるいは少数のメッセージを選択して出力する処理例を示す。図２の監視対象システムでは、監視対象システムを監視する情報処理装置が、情報処理装置群３０１からのメッセージをメッセージログに蓄積しておく。そして、情報処理装置は、蓄積されたメッセージログ中のそれぞれのメッセージａ、ｂ、ｃ等の間の共起確率を算出する。ここで「共起」とは、あるメッセージが発生したときに、そのメッセージ の発生に付随して別のメッセージが発生することを意味する。また
、「共起確率」は、メッセージ相互間で共起する確率を示す指標であり、メッセージの関連性を示す指標ともいえる。
そして、情報処理装置は、メッセージ間で共起確率が所定の基準に合致するものについては、いずれか１つのメッセージを監視対象事象に選択して、他のメッセージを廃棄する。共起確率が所定の基準に合致するものは、例えば、同一原因で発生した複数のメッセージであると判断できるからである。このような仕組みにより監視ルールに合致したメッセージの出力件数を抑えることが可能になる。

特開２００３−２１６８６９号公報 特開２０１４−１０６８５１号公報

しかしながらフィルタルールは、監視対象システムを一定期間以上運用し、メッセージを蓄積することで得られたログを解析して生成される。メッセージの蓄積にはある程度の時間が掛かかり、フィルタルールが生成されるまでは、フィルタルールが適用されないため、監視対象システムの運用開始後、一定期間は、重複したメッセージが出力されてしまう場合がある。

１つの側面では、メッセージ監視において、フィルタルールの適用の早期化を図ることを目的とする。

開示の技術の一側面はフィルタルール作成装置によって例示される。本フィルタルール作成装置は、プロセッサと主記憶装置とを備える。プロセッサは、記憶部に記憶された命令に従って、システムごとにシステム内で発生したメッセージを蓄積した複数のログから共起確率に基づいて共起メッセージ群を抽出し、抽出された前記共起メッセージ群に基づいてシステム間の動作の類似の程度を示す値情報を生成し、値情報に基づき、複数のシステムのクラスタリング処理を行い、クラスタリング処理により作成されたクラスタにおける共起メッセージ群に基づき、各クラスタに含まれるシステムそれぞれのログからメッセージを抽出するルールを生成する。

本フィルタルール作成装置によれば、メッセージ監視において、フィルタルールの適用を早期に開始することができる。

複数のシステムを含む監視対象における運用管理手順を例示する図である。 情報処理装置がフィルタルールを作成し、複数回出現するメッセージ群を集約、あるいは少数のメッセージを選択して出力する処理例を示す図である。 メッセージの共起関係を分析するための対象データ量を実効的に増加させる処理のデータフローを例示する図である。 メッセージログのメッセージパターン例である。 システム同士の距離を例示する図である。 メッセージログの類似度に基づくシステムのクラスタリングを例示する図である。 クラスタリング結果のイメージを例示する図である。 メッセージログの混合手順を例示する図である。 メッセージログの混合手順を例示する図である。 メッセージログの混合方法を例示する図である。 情報処理装置のハードウェア構成を例示する図である。 情報処理装置の各処理部と各処理部によって処理されるデータの関連を例示する図である。 メッセージログ管理台帳を例示する図である。 メッセージログの構成とデータを例示する図である。 単一システムログ共起関係のデータを例示する図である。 統合システムログ共起関係のデータを例示する図である。 分類結果類似度のデータ例を示す図である。 類似システムテーブルを例示する図である。 類似システムテーブルをトーナメント形式で図示した例である。 共起分析部の処理を例示するフローチャートである。 メッセージペア抽出処理の詳細を例示するフローチャートである。 メッセージペア連結処理の詳細を例示するフローチャートである。 メッセージパターン作成の詳細を例示するフローチャートである。 分析結果類似度算出部２２の処理を例示するフローチャートである。 距離と類似度の算出処理の詳細を例示するフローチャートである。 類似システム算出処理を例示するフローチャートである。 類似システムログ統合部の処理を例示するフローチャートである。 ２つのログを類似度で混合する処理の詳細を例示するフローチャートである。 フィルタ設定部の処理を例示するフローチャートである。

以下、図面を参照して、一実施形態に係る情報処理装置について説明する。以下の実施形態の構成は例示であり、本情報処理装置は実施形態の構成には限定されない。

［実施例］
実施例では、複数のシステムを含む監視対象システムが例示される。より具体的には、監視対象システム内のメッセージを監視する情報処理装置が、メッセージの共起関係を従来よりも早期に求め、監視対象システムから出力されるメッセージに適用するフィルタルールを作成する処理が例示される。実施例の情報処理装置は、監視対象システムに含まれる複数のシステムのうち、振る舞いが類似するシステムから出力されたメッセージログを統合することで、従来よりも早期に、各システムから発せられるメッセージの共起関係を求めるためのメッセージの量を増加させる。本実施例で、「監視対象システムに含まれる複数のシステム」は、「監視対象システムに含まれる」という意味では、サブシステムとも呼ぶことができる。また、実施例の情報処理装置は、フィルタルール作成装置の一例である。

＜メッセージログの統合例＞
図３は、監視対象システム内の各システムからのメッセージを統合することで、メッセージの共起関係を分析するための対象データ量を実効的に増加させる処理のデータフローを例示する。図３では、メッセージログＡ、Ｂ、Ｃ、Ｄに対するデータフローが例示されている。図３は、メッセージログを単にログとしている。

図３では、メッセージログＡ、Ｂ、Ｃ、Ｄは、それぞれ監視対象システム内のシステムＡ、Ｂ、Ｃ、Ｄから出力されたメッセージのファイルであるとする。ただし、それぞれのシステムが複数のメッセージログを出力する場合でも、本実施例の処理は適用可能である。例えば、システムＡが、メッセージログａ１、ａ２、・・・等を出力する場合には、メッセージログａ１、ａ２、・・・等を１つに統合して、メッセージログＡとすればよい。メッセージログＢ、Ｃ、Ｄ等についても、処理は同様である。

監視対象システムの運用開始当初、メッセージログＡ、Ｂ、Ｃ、Ｄには、それぞれのメッセージログ内でメッセージの共起関係を分析するために十分な量のメッセージが蓄積されていない状況が生じ得る。本実施例の情報処理装置は、図３のそれぞれのメッセージログ内に十分な量のメッセージがない場合に、メッセージの共起関係を分析するためのメッセージ量を実効的に増加させる。

例えば、構成が同一の複数のシステムのメッセージログを１つに統合することが考えられる。しかし、単純に、同一構成のシステムのログを集めただけでは、望ましい結果が得られない場合がある。例えば、複数のシステム、例えば、クラウドＡとクラウドＢとが同一のアプリケーション構成である場合を想定する。しかし、同一のアプリケーションが利用される場合でも、クラウドＡ上にアプリケーション環境が構築された場合とクラウドＢ上にアプリケーション環境が構築された場合とで、アプリケーションの挙動が異なる場合がある。

例えば、ユーザがアプリケーションのログ出力の設定を変えた場合、アプリケーション構成が同じでも、ログに現れるメッセージの共起関係が変わってしまう場合がある。また、例えば、外部からのアクセス頻度が高いシステムと低いシステムとでは、アプリケーションの構成が同じでも、メッセージログに現れるメッセージの共起関係が変わってしまうことがある。

そこで、実施例の情報処理装置は、監視対象システム内で、振る舞いが似たシステムが多数存在することがある点に着目する。実施例の情報処理装置は、振る舞いが似た複数のシステムからのメッセージログを統合することで、共起関係を分析するためのメッセージ量、すなわち、学習対象のメッセージログを増加させる。ところで、統合したメッセージログを用いて精度よく共起関係を分析するには、統合する複数のメッセージログ間で、メッセージの共起の仕方、状況（以下、共起ルール）がかけ離れたものでないことが望ましい。つまり、共起ルールの多くが共通する複数のシステムは、メッセージログを統合しても、情報処理装置が精度よく共起関係を分析することができる可能性が高い。そこで、本実施例では、「振る舞い」とは、例えば、分析の結果得られるメッセージの共起関係を意味することする。また、「振る舞いが似たシステム」として、メッセージの共起関係が似たシステムとして理解することが望ましい。

例えば、システムＸとシステムＹの両方で「メッセージＡとメッセージＢが所定のルールで現れる、例えば、一対で現れる」という関係が得られた場合、システムＸとシステムＹは、振る舞いが似ているとして処理してよい。振る舞いが似たシステムのログを合わせて分析することで、メッセージ量、つまり、学習量の不足を解消する。監視対象内のそれぞれのシステムの利用者は、自システムのメッセージログを提供することで、自システムと振る舞いの似た他のシステムを含む監視対象システムに適用可能な共起関係に基づくフィルタを迅速に入手できるようになる。

そこで、図３に例示のように、本情報処理装置は、まず、各メッセージログＡ、Ｂ、Ｃ、Ｄ等について、少ないメッセージログでログ共起分析を行い、それぞれ共起関係を求める。この段階での共起関係は精度が低い可能性はある。次に、本情報処理装置は、共起関係が類似する監視対象のメッセージログを統合する。具体的な処理では、メッセージログを統合する代わりに、監視対象内の個々のシステムを統合して、メッセージの共起関係を求めればよい。本情報処理装置は、このようなログ共起分析とメッセージログ（あるいはシステム）の統合を複数段階繰り返す。

そして、本情報処理装置は、統合したシステムのメッセージログに対して、再度ログ共起分析を行い、それぞれ共起関係を求める。以上のような処理の結果、情報処理装置が個々のシステム毎に分析した場合と比べ、共起関係を分析する対象のメッセージの母数が大きくなり、情報処理装置は共起関係を精度良く求める事ができる。

実施例では、共起関係は、個々のメッセージごとの関係ではなく、メッセージの種類ごとに求める。例えば、ある特定の温度センサＴ１の温度を報知するメッセージｍｔ１、ｍ
ｔ２，ｍｔ３、・・・等は１つのメッセージの種類に分類できる。また、ある特定の事象、例えば、温度異常を報知する警告メッセージｍｗ１、ｍｗ２、ｍｗ３、・・・等は１つのメッセージの種類に分類できる。本実施例において、メッセージの種類の分類の仕方に限定がある訳ではない。すなわち、監視対象システムが採用するメッセージの種類の分け方に依存しないで、本情報処理装置による処理は適用可能である。また、メッセージの種類分けが行われない監視対象システムに対しては、本情報処理装置は、個々のメッセージについて、共起関係を算出してもよい。

図４は、類似度を算出するシステムのメッセージログのメッセージパターン例である。メッセージパターンとは、メッセージログ中で、共起確率が所定値以上のメッセージの種類の組み合わせということができる。ただし、メッセージパターンは、異なるメッセージの種類の組み合わせの場合と、同一メッセージの種類の繰り返しの場合を含む。また、１つのシステムのメッセージログ中で共起確率が所定値以上のメッセージパターンを要素ともいい、メッセージパターン数を要素数ともいう。

図４の例では、システムＡから出力されるメッセージログは、メッセージパターン［１，２，３］と［１＊］と［１，３］とを含む。メッセージパターン［１，２，３］は、例えば、メッセージの種類１、種類２、種類３の順に、種類１、種類２、種類３のメッセージが繰り返すメッセージパターンである。ただし、メッセージの種類の順序は無視して、メッセージパターン［１，２，３］は、例えば、種類１、種類２、種類３のメッセージが繰り返すメッセージパターンである、と定義してもよい。メッセージの種類の順序をメッセージパターンの定義に含むか含まないかは、本実施例における情報処理装置の処理とは、直接関係がない。メッセージパターン［１＊］は、メッセージの種類１が繰り返すメッセージ群である。メッセージパターン［１，３］は、メッセージの種類１と種類３が繰り返すメッセージパターンである。

また、図４のシステムＡにおいて、メッセージパターン［１，２，３］では、出現間隔が例えば、６プラスマイナス２分、つまり、４分から８分の間に、メッセージの種類１、種類２、種類３が出力される。また、メッセージパターン［１＊］では、出現間隔が例えば、２プラスマイナス１分、つまり、１分から３分の間に、メッセージの種類１が繰り返し出力される。さらにまた、メッセージパターン［１，３］では、出現間隔が例えば、４プラスマイナス２分、つまり、２分から６分の間に、メッセージの種類１、および種類３が出力される。

一方、図４の例で、システムＢから出力されるメッセージログは、メッセージパターン［１，２，３］と［１＊］と［１，３］と［１，４］を含む。メッセージパターン［１，２，３］、［１＊］、［１，３］、および［１，４］の出現間隔は、それぞれ、７プラスマイナス２分、５プラスマイナス１分、４プラスマイナス１分、２プラスマイナス２分である。

本実施例では、情報処理装置は、システム同士の振る舞いの類似度を以下の定義より算出する。
・ システム同士で、メッセージパターンの距離を求める。システム同士で、異なるメッセージパターンが存在すると、距離に１が加算される。システム同士で共通のメッセージパターンが存在するが、共通のメッセージパターンの出現間隔が重複しない場合、距離に１が加算される。さらに、本実施例では、情報処理装置は、メッセージパターンが共通で、かつ、出現間隔が一部でも重複するシステム同士を共起関係が同一として取り扱う。共起関係が同一の場合、システム同士の距離に、１は加算されず、距離が０とされる。ただし、本実施例において、距離の定義が以上のものに限定される訳ではない。

図５に、システム同士の距離を例示する。図５で、左側のメッセージパターン［ａ，ｂ，ｃ］で出現間隔６プラスマイナス２分と、メッセージパターン［ａ，ｂ，ｃ］で出現間隔７プラスマイナス２分とは、メッセージパターンが共通で、かつ、出現間隔が重複する。したがって、図５の左側の２組のメッセージ群は、共起関係が同一であり、距離が０である。一方、右側のメッセージパターン［ａ＊］で出現間隔２プラスマイナス１分と、メッセージパターン［ａ＊］で出現間隔５プラスマイナス１分とは、メッセージパターンが共通であるが、出現間隔が重複しない。したがって、図５の右側の２組のメッセージ群は、共起関係が同一でなく、距離が１である。
・ システムＡとＢとの距離がｄであり、システムＡの要素数ｎ（Ａ）、システムＢの要素数ｎ（Ｂ）とすると、ｄ／ｎ（Ａ）とｄ／ｎ（Ｂ）との調和平均は以下の数１で定義される。
［数１］ｄ／ｎ（Ａ）とｄ／ｎ（Ｂ）との調和平均
＝２＊（ｄ／ｎ（Ａ））＊（ｄ／ｎ（Ｂ））／（ｄ／ｎ（Ａ）＋ｄ／ｎ（Ｂ））；
本実施例では、数１のような調和平均を用いて、システムＡとシステムＢの類似度が定義される。数１は、ｘ＝ｄ／ｎ（Ａ）と、ｙ＝ｄ／ｎ（Ｂ）とすると、調和平均＝２＊ｘ＊ｙ／（ｘ＋ｙ）となる。ｘ＝ｄ／ｎ（Ａ）は、システムＡの要素数に対するシステムＢとの距離の比率であり、システムＡの要素数に占めるシステムＢの要素と異なる要素の比率ということができる。同様に、ｙ＝ｄ／ｎ（Ｂ）は、システムＢの要素数に対するシステムＡとの距離の比率であり、システムＢの要素数に占めるシステムＡの要素と異なる要素の比率ということができる。

類似度として、調和平均を用いる理由は、ｘまたはｙのいずれか一方の距離の比率が大きな値をとると、類似度は、０から離れた値となり、システムＡとシステムＢとは類似しない結果となるからである。ここで、近似する値を示す記号として、＝：を用いると、
例えば、ｘ＞＞ｙのとき、類似度＝：２ｙ； ｘ＝ｙのとき類似度＝ｙ；
要素数が同数で、すべて不一致のとき、ｘ＝ｙ＝１，類似度＝１；
要素数がｎ（Ａ）＝１０００，ｎ（Ｂ）＝１で、すべて不一致のとき、ｘ＝：１，ｙ＝１００１、類似度＝：２；
要素数が同数ですべて一致するとき、ｘ＝ｙ＝０、類似度は不定値；
となる。

そこで、本情報処理装置では、類似度として、１以上の値で数１の１０倍の値の範囲となるように、以下の定義を用いる。
［数２］システムＡとシステムＢの類似度
＝２０＊（ｄ／ｎ（Ａ））＊（ｄ／ｎ（Ｂ））／（ｄ／ｎ（Ａ）＋ｄ／ｎ（Ｂ））＋１；（ｄ＝０以外のとき）
ただし、システムＡとシステムＢの類似度＝１；（ｄ＝０のとき）
数２の定義によれば、図４のシステムＡとシステムＢとの間の類似度は、以下の通りである。メッセージパターン［１，２，３］の要素は、出現間隔が６プラスマイナス２分と７プラスマイナス２分で重複部分が存在するので、共起関係が共通し、距離は０である。メッセージパターン［１＊］の要素は、出現間隔が２プラスマイナス１分と５プラスマイナス２分で重複しないので、共起関係が共通せず、距離は１である。メッセージパターン［１，３］の要素は、出現間隔が４プラスマイナス２分と４プラスマイナス１分で重複部分が存在するので、共起関係が共通し、距離は０である。システムＢのメッセージパターン［１，４］の要素はシステムＡに存在しない。したがって、要素が不一致であり、共起関係が共通せず、距離は１である。

以上から、システムＡとシステムＢと距離ｄ＝２である。また、システムＡのメッセージログの要素数ｎ（Ａ）＝３、システムＢのメッセージログの要素数ｎ（Ｂ）＝４である。したがって、数２によれば、類似度Ｓ（Ａ，Ｂ）＝２０＊（２／３）＊（２／４）／（
２／３＋２／４）＋１＝４７／７；
本情報処理装置は、監視対象システム内の複数のシステムから得られたメッセージログについて、図４、図５の定義にしたがって、監視対象システム内の複数のシステム間それぞれの類似度を求める。そして、本情報処理装置は、システム間で得られた類似度の値が所定の範囲内の複数システムをまとめて、システムのクラスタリングを行う。

図６に、メッセージログの類似度に基づくシステムのクラスタリングを例示する。図６では、システムＡ，Ｂ，Ｃ、Ｄ，Ｅのメッセージログの類似度を基に、メッセージログがクラスタリングされる。クラスタリングとは、監視対象システム内の複数のシステムを１まとまりのグループとみなし、メッセージの共起関係を解析することをいう。本情報処理装置は、類似度の値の小さい、すなわち、メッセージパターンが一致し、出現間隔の重複が多い要素を含むメッセージログのシステム同士をクラスタリングする。

図６では、システムＡとシステムＢとの類似度はＳ（Ａ，Ｂ）＝２である。また、システムＤとシステムＥとの類似度はＳ（Ｄ，Ｅ）＝２である。そこで、本情報処理装置は、まず、システムＡとシステムＢをクラスタリングし、システムＤとシステムＥをクラスタリングする。システムＡとシステムＢのクラスタをＡＢと呼ぶことにする。また、システムＤとシステムＥのクラスタをＤＥと呼ぶことにする。

図６では、１段階クラスタリング後、システムのクラスタは、ＡＢ、Ｃ、ＤＥとなる。ただし、クラスタＣは、単独のシステムＣ自体である。そして、本情報処理装置は、１段階クラスタ後のクラスタ間で類似度を求める。クラスタ間の類似度は、クラスタに含まれる１段階クラスタリング前のシステム間の平均値、クラスタ間の平均値、クラスタとシステム間の平均値とする。

例えば、クラスタＡＢとシステムＣとの類似度Ｓ（ＡＢ，Ｃ）は、
［数３］
Ｓ（ＡＢ，Ｃ）＝（Ｓ（Ａ，Ｃ）＋Ｓ（Ｂ，Ｃ））／２＝（１０＋９）／２＝９．５；
である。 また、クラスタＡＢとクラスタＤＥの類似度Ｓ（ＡＢ，ＤＥ）は、
［数４］
Ｓ（ＡＢ，ＤＥ）＝（Ｓ（ＡＢ，Ｄ）＋Ｓ（ＡＢ，Ｅ））／２＝（６．５＋６．５）／２＝６．５；
である。ただし、Ｓ（ＡＢ，Ｄ）＝（６＋７）／２＝６．５；Ｓ（ＡＢ，Ｅ）＝（８＋５）／２＝６．５；である。また、システムＣとクラスタＤＥの類似度Ｓ（Ｃ，ＤＥ）は、［数５］
Ｓ（Ｃ，ＤＥ）＝（Ｓ（Ｃ，Ｄ）＋Ｓ（Ｃ，Ｅ））／２＝（４＋６）／２＝５；
である。

さらに、１段階クラスタリング後のクラスタ間での類似度の値は、システムＣとクラスタＤＥとの間の類似度Ｓ（Ｃ，ＤＥ）＝５が最小であるので、システムＣとクラスタＤＥによって２段階目のクラスタリングをする。２段階クラスタリング後のクラスタＡＢとＣＤＥの類似度Ｓ（ＡＢ，ＣＤＥ）は、
［数６］
Ｓ（ＡＢ，ＣＤＥ）
＝（Ｓ（ＡＢ，Ｃ）＋Ｓ（ＡＢ，ＤＥ））／２＝（９．５＋６．５）／２＝８；
である。

図７に、図６のクラスタリング結果のイメージを例示する。図６では、第１段階クラスタリングでクラスタＡＢ、ＥＤが作成され、第２段階クラスタリングでクラスタＥＤＣが作成された。情報処理装置は、単独のシステム間、クラスタ間、単独のシステムとクラスタとの間で、類似度の値が小さい順にクラスタリングを所定の限度まで行う。本実施例では、本情報処理装置は、出来上がるクラスタ数がしきい値を下回るか、数２の定義による類似度の値の最小値がしきい値を超えるまでクラスタリング処理を繰り返す。図６の例では、情報処理装置は、類似度が５までの範囲で、クラスタＡＢ、ＥＤ、ＥＤＣを順次作成した。図６の処理は、例えば、横軸をシステムとし、縦軸を類似度とするトーナメントの組み合わせ図で記述できる。また、図６の処理は、例えば、クラスタを楕円で表現し、楕円内にクラスタに含まれるシステムの組と、システム間の類似度を示すイメージ図で記述できる。

次に、本情報処理装置は、クラスタリングの結果に応じて、メッセージログを混合する。図８、図９は、メッセージログの混合手順を例示する図である。本情報処理装置は、例えば、システムＡのメッセージログとシステムＢのメッセージログを混合する場合に、類似度に応じて２つのメッセージログを混合する。図８のように、システムＡのメッセージログ自体の類似度が１であり、一方、システムＡとシステムＢのメッセージログの類似度が２である場合には、情報処理装置は、システムＡ向けに混合される統合ログにおいて、２：１の比率で、システムＡとシステムＢのメッセージログを混合する。つまり、自システムと相手システム（または相手クラスタ）の類似度に応じて、混合相手のメッセージログを薄めて、自システム用の統合ログを作成する。逆に、システムＡとシステムＢのメッセージログの類似度が小さい値であればあるほど、つまり、システムＡとシステムＢが類似すればするほど、システムＡ向けに混合される統合ログで、システムＢのメッセージログの比率を高くして混合する。なお、単独のシステム自体の類似度は、例えば、システムＡのメッセージログと同一のシステムＡのメッセージログとについて、数２を適用すれば類似度＝１となることは明らかである。

図９は、システムＥとシステムＤから作成したＥ向け統合ログと、Ｅ向け統合ログにシステムＣのメッセージログを混合して、さらにＥ向け統合ログを作成する場合の処理例である。この例では、情報処理装置は、システムＥのメッセージログ自体の類似度１と、システムＥ、システムＤ間の類似度が２とにしたがって、２：１の比率でシステムＥとシステムＤのメッセージログを混合して、システムＥ向けの統合ログを作成する。

次に、システムＥとシステムＤから作成したシステムＥ向けの統合ログ（ＥＤ）自体の
類似度が２であり、統合ログ（ＥＤ）とシステムＣのメッセージログとの類似度が５であるとする。この場合、情報処理装置は、５：２の比率で統合ログ（ＥＤ）とシステムＣのメッセージログを混合し、システムＥ向けの統合ログ（ＥＤＣ）を作成する。

このように、統合ログ作成時に、自システム（自クラスタ）のメッセージログの類似度と、自システム（自クラスタ）の混合対象である相手システムとの間の類似度とにしたがって、メッセージログの混合比率を変えることで、メッセージパターンと出現間隔の類似が少ない相手システム（相手クラスタ）のメッセージログを混合することの副作用を軽減できる。

図１０に、メッセージログの混合方法を例示する。本実施例では、情報処理装置は、複数のメッセージログを混合する場合に、以下の規則を採用する。
（規則１）ログ内のイベント発生の順序は保持したまま、時刻をずらして混合。
（規則２）２つのログ内のイベントに共起が生じないよう、間隔を空けて混合。
図１０は、システムＡのメッセージログとシステムＢのメッセージログを２：１の比率で混合する例である。メッセージログは、いずれも５月１日 ００：００から５月２日 ００：００のものである。この例では、情報処理装置は、５月１日 ００：００から５月２日 ００：００にシステムＡ、５月２日 ０１：００から５月３日 ０１：００にシステムＡ、５月３日 ０２：００から５月４日 ０２：００にシステムＢの時刻を割り当て、
メッセージログを混合する。このような混合によって、情報処理装置は、混合することによる実際に存在しない共起関係の発生を抑制できる。

＜システム例＞
図１１は、本実施形態における情報処理装置のハードウェア構成を例示する図である。なお、監視対象システム内の各システムも、図１１と同様の構成を有する。本情報処理装置はＣＰＵ１１と、主記憶部１２と、インターフェース（Ｉ／Ｆ）を通じて接続される外部機器を有し、プログラムにより情報処理を実行する。ＣＰＵ１１はプロセッサの一例である。主記憶部１２は主記憶部の一例である。外部機器としては、外部記憶部１３、表示部１４、操作部１５、および通信部１６を例示できる。

ＣＰＵ１１は、主記憶装置１２に実行可能に展開されたコンピュータプログラムを実行し、情報処理装置１０の機能を提供する。主記憶部１２は、ＣＰＵ１１が実行するコンピュータプログラム、ＣＰＵ１１が処理するデータ等を記憶する。主記憶部１２は、Dynamic Random Access Memory（ＤＲＡＭ）、Static Random Access Memory（ＳＲＡＭ）、Read Only Memory（ＲＯＭ）等である。さらに、外部記憶部１３は、例えば、主記憶部１２
を補助する記憶領域として使用され、ＣＰＵ１１が実行するコンピュータプログラム、ＣＰＵ１１が処理するデータ等を記憶する。外部記憶部１３は、ハードディスクドライブ、Solid State Disk（ＳＳＤ）等である。さらに、情報処理装置１０には、着脱可能記憶媒体の駆動装置を設けてもよい。着脱可能記憶媒体は、例えば、ブルーレイディスク、Digital Versatile Disk（ＤＶＤ）、Compact Disc（ＣＤ）、フラッシュメモリカード等である。

また、情報処理装置は、表示部１４、操作部１５、通信部１６を有する。表示部１４は、例えば、液晶ディスプレイ、エレクトロルミネッセンスパネル等である。操作部１５は、例えば、キーボード、ポインティングデバイス等である。本実施形態では、ポインティングデバイスとしてマウスが例示される。通信部１６は、ネットワーク上の他の装置とデータを授受する。例えば、ＣＰＵ１１は、通信部１６を通じて、監視対象システムからメッセージログを取得する。

図１２は、本情報処理装置の各処理部と各処理部によって処理されるデータの関連を例示する図である。図１２のように、情報処理装置は、監視対象システム内の複数のシステムから発行されるメッセージを蓄積したメッセージログを解析し、メッセージの共起関係に基づくフィルタルールを生成する。

ここで、監視対象システムとは、情報処理装置が管理する情報システムであり、監視対象システム自体に限定があるわけではない。例えば、監視対象システムは、監視対象となるコンピュータ、その他のシステムを複数含む。本実施例では、メッセージログは、監視対象システム内のシステムごとに生成される。ただし、１つのシステムが複数のメッセージログを生成してもよい。

図１２のように、情報処理装置は、単一システムログ共起分析部２０、分析結果 類似
度算出部２２、類似システム算出部２４、類似システムログ統合部２６、および統合システムログ共起分析部２７、フィルタ設定部２９の各処理部を有する。情報処理装置のＣＰＵ１１は、主記憶装置１２に実行可能に展開されたコンピュータプログラムにより、図１２の各処理部として作用する。ただし、図１２に例示した情報処理装置１のいずれかの処理部の少なくとも一部がハードウェア回路であってもよい。

単一システムログ共起分析部２０は、監視対象システム内の複数のシステムから発行されるメッセージを蓄積したメッセージログを解析し、単一システムログ共起関係２１を出
力する。単一システムログ共起関係２１は、監視対象システム内の個々のシステムから発生するメッセ−ジについて、メッセージの種類間での共起確率が所定値以上のものを集めたメッセージの種類のグループである。メッセージの種類間での共起確率が所定値以上のものを集めたメッセージの種類のグループはメッセージパターンとも呼ばれる。ただし、本実施例では、単一システムログ共起関係２１は、メッセージの種類のグループ（メッセージパターン）の他、メッセージパターンのメッセージの種類が発生するまでの時間特性である、パターン内メッセージの分布時刻幅を含む。単一システムログ共起分析部２０は分析部の一例である。

分析結果類似度算出部２２は、監視対象システム内の複数のシステムで共起関係を比較し、分析結果類似度２５を出力する。分析結果類似度２５は、監視対象システム内の複数のシステム間の類似度を格納する。分析結果類似度算出部２２が分析部の一例でもある。

類似システム算出部２４は、分析結果類似度２５を基に、クラスタリング処理を実行し、クラスタ化されたシステムを作成し、類似システムテーブル２３に出力する。さらに、類似システム算出部２４は、クラスタリング処理を実行した監視対象システム内のシステムに対して、クラスタリング処理を繰り返す。すなわち、類似システム算出部２４は、各単一システム間、クラスタ化されたシステム間、単一システムとクラスタ化されたシステム間で、類似度を算出する。そして、類似システム算出部２４は、類似度の値が所定値を超えるか、または、クラスタ化されたシステムを含む監視対象システム内のシステムの数が所定値以下になるまで、クラスタリング処理を繰り返す。類似システム算出部２４は、統合部の一例である。

類似システムログ統合部２６は、クラスタ化されたシステムについて、クラスタ化される前の各システムのメッセージログを統合し、統合システムログを作成する。統合システムログ共起分析部２７は、統合システムログを解析し、統合システムログ共起関係２８を出力する。統合システムログ共起分析部２７の処理は、処理対象が統合システムログであるが、処理内容は単一システムログ共起分析部２０と同様である。単一システムログ共起分析部２０の処理と、統合システムログ共起分析部２７の処理は、例えば、ログ共起分析部という共通処理にまとめることも可能である。

フィルタ設定部２９は、統合システムログ共起関係２８を基に、フィルタルールを作成する。フィルタルールは、例えば、共起確率が所定値以上のメッセージパターンについて、メッセージパターンに含まれるメッセージの種類を１つ選択するという規則である。例えば、メッセージパターン［ａ，ｂ，ｃ］について、メッセージの種類ａを選択する規則である。フィルタ部は、フィルタルールにしたがって、監視対象システムのメッセージにフィルタを適用し、監視対象事象を出力する。フィルタ設定部２９は、設定部の一例である。

＜データの構成とデータ例＞
図１３に、メッセージログ管理台帳を例示する。メッセージログ管理台帳は、メッセージログファイル名と、システム特定情報との関係を記録する。メッセージログファイル名は、図１２の監視対象システムから発行されるメッセージの格納先のファイル名である。また、システム特定情報は、メッセージログファイル名のファイルにメッセージを出力するシステムを特定する情報である。システム特定情報は、例えば、システムが接続されるネットワーク上のホスト名、ネットワーク上のアドレス等である。図１３のように、１つのシステム、例えば、ｓｙｓ００１に対して、複数のメッセージログファイルが存在し得る。

図１４に、メッセージログの構成とデータを例示する。本実施例では、メッセージログ
はメッセージログファイル名で特定される。図１４の表で、最初の行は、説明のためのコメント行（タイトル行）である。図１４の表で、２行目以降の各行が各メッセージを格納するレコードである。メッセージログの各レコードは、ＩＤと、時刻と、メッセージ種別と、メッセージの各フィールドを有する。

ＩＤは、各メッセージに付与される識別情報であり、例えば、メッセージログ内の通し番号である。ただし、ＩＤは、監視対象システム全体でユニークな識別情報であってもよい。時刻は、メッセージが発行された時刻情報である。図１４の例では、時刻は、年月日（例えば、2012-03-13）、時刻（T10:31:02）およびグリニッジ標準時（09:00）を含む。グリニッジ標準時で09:00は、９時間のずれ、つまり日本の時刻を示す。メッセージ種別
は、メッセージの種類を特定する情報である。メッセージの種類は、例えば、監視対象の情報の種類、例えば、センサの識別情報、メモリ等のリソースの識別情報、警報の種別等を特定する。本実施例では、メッセージパターン[１，２，３]、［１＊］等は、個々のメッセージに対する共起関係ではなく、メッセージの種類に対する共起関係である。さらに、図１４で、メッセージは、各システムから発行される個々のメッセージ例である。

図１５は、単一システムログ共起関係２１のデータを例示する図である。単一システムログ共起関係２１は、単独のシステムごとのメッセージパターンの発生状況、具体的には、例えば、共起確率が所定以上のメッセージ群を記憶する。図１５は、システムsys002のデータ例である。図１５の表で、最初の行は、説明のためのコメント行（タイトル行）である。図１５の表で、２行目以降の各行が共起関係のデータを格納するレコードである。

図１５のように、単一システムログ共起関係２１の各レコードは、共起メッセージパターンと、パターン出現回数と、パターン内メッセージの分布時刻幅（分）の各フィールドを有する。共起メッセージパターンは、共起確率が所定以上のメッセージ群のメッセージの種類を示す。例えば、［１，２，３］は、メッセージの種類１、２、３のメッセージ群を示す。また。［１＊］は、メッセージの種類１の繰り返しによるメッセージ群を示す。

パターン出現回数は、システム内でのメッセージパターンのメッセージがメッセージログ取得期間内に発行された回数である。パターン内メッセージの分布時刻幅（分）は、メッセージパターンのメッセージが１通りそろうまでの時間である。例えば、［１，２，３］のメッセージパターンの例では、分布時刻幅（分）は、種類１のメッセージが発生後、種類２および３のメッセージが発生するまでの時間である。また、例えば、［１＊］のメッセージパターンの例は、種類１のメッセージが発生後、次に種類１のメッセージが発生するまでの時間である。

図１６に、統合システムログ共起関係２８のデータを例示する。統合システムログ共起関係２８は、クラスタリングされた複数のシステムのグループに対して、各システム向けに統合されたメッセージログにおける、共起確率が所定以上のメッセージ群を示すデータである。統合されたメッセージログを統合システムログと呼ぶことにする。統合システムログ共起関係２８のデータの構成自体は、図１５の単一システムログ共起関係２１のデータの構成と同一であるので、その説明を省略する。

図１７に、分類結果類似度２５のデータ例を示す。分類結果類似度２５は、監視対象システム内のシステム間の類似度の算出結果を表形式で記述したものである。図１７のデータ例では、表の行方向および列方向に、システムの一覧が列挙され、行列位置のエントリに、行位置のシステムと、列位置のシステムとの類似度が記録される。

図１８に、類似システムテーブル２３を例示する。類似システムテーブル２３は、クラスタとクラスタに含まれるシステムの関係表を例示する。図１８の表の最初の行は、説明
のためのコメント行（タイトル行）である。図１８の表で、２行目以降の各行が類似システムテーブル２３のレコードを格納するレコードである。類似システムテーブル２３の各レコードは、クラスタＩＤと、類似度と、類似システムを含む。クラスタＩＤは、各クラスタを識別する情報である。類似度は、各クラスタ内の類似度である。類似システムは、クラスタに含まれるシステムを識別する情報である。

図１９は、図１８の類似システムテーブル２３をトーナメント形式で図示した例である。図１８、図１９の例では、例えば、クラスタＣ０１とＣ０４はともに類似度２である。クラスタＣ０１は、システムｓｙｓ００１、ｓｙｓ１００を含む。また、クラスタＣ０４は、システムｓｙｓ０９８、ｓｙｓ０９９を含む。また、クラスタＣ０２は、類似度３であり、クラスタＣ０１とシステムｓｙｓ００２を含む。なお、本実施例の図１８、図１９は、類似度＝３で打ち切った事例である。一方、クラスタＣ０３と他のシステム、クラスタとは、類似度が３より大きく、類似度は計算されない。図１８、図１９の例では、クラスタＣ０３は、システムｓｙｓ００３を含む。

＜処理フロー＞
図２０は、共起分析部の処理を例示するフローチャートである。共起分析部は、図１２に例示した単一システムログ共起分析部２０および統合システムログ共起分析部２７において実行される処理部である。ここでは、単一システムログ共起分析部２０および統合システムログ共起分析部２７を総称して、共起分析部とし、図２０の処理を説明する。

共起分析部は、処理対象となるメッセージログのすべての種類のメッセージについて共起確率を算出する（Ａ１）。ここで、処理対象となるメッセージログは、例えば、単一システムログ共起分析部２０については、単独システムのメッセージログである。また、処理対象となるメッセージログは、統合システムログ共起分析部２７については、クラスタリングされた統合システムログである。共起分析部は、算出した共起確率を主記憶部１２の共起関係テーブルに保持する。ここで、共起関係テーブルは、例えば、処理対象であるメッセージログ内のメッセージの種類のペアに対して、共起確率を設定したテーブルである。
次に、共起分析部は、Ａ１の共起確率の算出結果である共起関係テーブルにしたがい、共起確率が所定値より高いメッセージペアをメッセージログログから抽出する（Ａ２）。Ａ２の処理では、共起分析部は、Ａ１で作成したメッセージの種類のペアのうち、共起確率の高い種類のペアに対応する個々のメッセージペアを抽出する。共起分析部は、抽出したメッセージペアを共起ペアとして主記憶部１２に保持する。次に、共起分析部は、同一メッセージを持つメッセージペア同士を連結して共起グループを作成する（Ａ３）。共起分析部は、作成した共起グループを主記憶部１２に保持する。そして、共起分析部は、同じ種類のメッセージのグループをまとめてメッセージパターンを作成する（Ａ４）。Ａ４の処理では、共起分析部は、個々のメッセージを有する共起グループから、メッセージの種類間の関係を示すメッセージパターンを作成する。Ａ１の処理では、情報処理装置は、２つのメッセージの種類の間で共起確率を求めて、メッセージペアを作成する前提として、共起確率をメッセージの種類ごとに判定する。一方、Ａ２、Ａ３では、情報処理装置は、メッセージのグループを求めるため、個々のメッセージペアの関係を解析する。このような処理によって、メッセージのグループを精度良く解析できる。そして、Ａ４では、情報処理装置は、得られたメッセージのグループから、メッセージの種類の関係を抽出することで、メッセージパターンを作成する。

共起分析部は、作成したメッセージパターンを主記憶部１２のログ共起関係テーブルに保持する。共起関係テーブルは、単一システムログ共起分析部２０については、図１５の単一システムログ共起関係２１であり、統合システムログ共起分析部２７については、図１６の統合システムログ共起関係２８である。図２０のＡ１からＡ４の処理は、システム
ごとにシステム内で発生したメッセージを蓄積した複数のログから共起確率に基づいて共起メッセージ群を抽出することの一例である。

図２１は、メッセージペア抽出処理（図２０のＡ２）の詳細を例示するフローチャートである。図２１の処理開始前、図２０のＡ１の処理により、主記憶装置１２の共起関係テーブルには、処理対象となるメッセージログ中のメッセージの種類のペアごとの共起確率が保持されている。共起関係テーブルの各レコードは、例えば、事前メッセージの種類、事後メッセージの種類、および共起確率を含む。

この処理では、情報処理装置は、共起関係テーブルから、共起確率>しきい値であるレ
コードを１件取り出す（Ａ２１）。なお、共起関係テーブルのレコード１件を共起ルールと呼ぶ。Ａ２１の処理は、メッセージを分類したメッセージの種類間で所定値以上の共起確率を有するメッセージの種類の組み合わせを抽出することの一例である。以下、共起ルールは、事前メッセージの種類と事後メッセージの種類の組で表現される。例えば、共起ルールは、［１，１］、［１，２］等で記述される。

次に、情報処理装置は、メッセージログからＡ２１で取り出した共起ルールに合致するメッセージのペア（事前メッセージＩＤ、事後メッセージＩＤ）を抽出する（Ａ２２）。情報処理装置は、共起ルールと関連付けて、抽出したメッセージのペアを共起ペアとして主記憶部１２に保持する。主記憶部１２に保持される共起ペアは、図２１のように、共起ルール、事前メッセージＩＤ、事後メッセージＩＤを含む。そして、情報処理装置は、すべての共起ルールを評価したか否かを判定する（Ａ２３）。情報処理装置は、すべての共起ルールを評価していない場合、Ａ２１の処理をさらに実行する。一方、情報処理装置は、すべての共起ルールを評価した場合、メッセージペア抽出処理を終了する。

図２２は、メッセージペア連結処理（図２０のＡ３）の詳細を例示するフローチャートである。図２２の処理は、図２１で作成した複数のメッセージペアから、メッセージのグループを作成する処理である。この処理では、共起分析部は、まだ評価されていない共起ペア（対象ペアという）を１件取り出す（Ａ３１）。そして、共起分析部は、対象ペアの事前メッセージまたは事後メッセージと同じメッセージＩＤを持つ他の共起ペアを探す（Ａ３２）。そして、共起分析部は、他の共起ペアが見つかったか否かを判定する（Ａ３３）。他の共起ペアが見つかった場合、共起分析部は、見つけた共起ペアのうち、現在処理中の対象ペアとＩＤが一致しない方のメッセージを対象ペアと組み合わせて共起グループを作成し、共起グループテーブルに追加する（Ａ３４）。なお、共起グループテーブルは、共起グループＩＤと共起グループＩＤに属するメッセージＩＤを対応付けたテーブルである。

次に、情報処理装置は、追加したメッセージを起点として再帰的に共起ペアを探す（Ａ３５）。例えば、Ａ３４の処理前に共起グループＧＸにはメッセージＩＤ＝ＭＳＧ１、ＭＳＧ２が含まれており、Ａ３２、Ａ３３の処理で共起ペアとしてメッセージＩＤ＝ＭＳＧ２、ＭＳＧ３が見つかった場合を想定する。この想定の場合、情報処理装置は、Ａ３４の処理で共起グループＧＸに、メッセージＩＤ＝ＭＳＧ３を追加する。そして、情報処理装置は、Ａ３５の処理でメッセージＩＤ＝ＭＳＧ３を含む共起ペアを起点に、再帰的に、メッセージペア連結処理を呼び出す。この再帰的な呼び出しにより、情報処理装置は、Ａ３２−Ａ３４で新たに追加されたメッセージ（メッセージＩＤ＝ＭＳＧ３）を基にしたメッセージペアのグループ化を実行でき、より大きなメッセージグループを作成できる。

一方、Ａ３３の判定で、他の共起ペアが見つからなかった場合、共起分析部は、すべての共起ペアを評価したか否かを判定する（Ａ３６）。まだ評価されていない共起ペアが存在する場合、共起分析部は、処理をＡ３１に戻す。一方、すべての共起ペアを評価した場
合、共起分析部は、メッセージペア連結処理を終了する。

図２３は、メッセージパターン作成（図２０のＡ４）の詳細を例示するフローチャートである。図２３は、図２２のメッセージペア連結処理で作成された共起グループに含まれるメッセージの種類を抽出し、メッセージの種類間の関係であるメッセージパターンを作成する処理である。

この処理では、情報処理装置は、主記憶部１２に保持された共起グループから、まだ評価されていない共起グループを１件取り出す（Ａ４１）。そして、情報処理装置は、共起グループに含まれるメッセージのＩＤに基づき種類のパターンを作成する（Ａ４２）。ここでは、例えば、共起グループＩＤ＝Ｇ００１について、メッセージＩＤと種類が、ＩＤ＝６８５６３２１４（種類＝１）、ＩＤ＝６８５６３２１７（種類＝１）、ＩＤ＝６８５６３２１８（種類＝１）、ＩＤ＝６８５６３２２２（種類＝２）、ＩＤ＝６８５６３２２８（種類＝３）、ＩＤ＝６８５６３２３２（種類＝３）のとき、メッセージパターン［１，２，３］が作成される。

そして、共起分析部は、すべての共起グループを評価したか否かを判定する（Ａ４３）。まだ評価されていない共起グループが存在する場合、共起分析部は、処理をＡ４１に戻す。一方、すべての共起グループを評価した場合、共起分析部は、種類のパターンが一致するグループを集計し、メッセージパターンとする。さらに、共起分析部は、（１）集計したグループであるメッセージパターンの個数（２）メッセージの時刻幅を算出する（Ａ４４）。そして、共起分析部は、メッセージパターンとメッセージの時刻幅をログ共起関係として主記憶部１２に保持する。

図２４は、分析結果類似度算出部２２の処理を例示するフローチャートである。分析結果類似度算出部２２は、単一システムログ共起分析部２０の処理結果である単一システムログ共起関係を読み出す（Ｂ１）。単一システムログ共起関係は、単独のシステムごとに作成されている。Ｂ１では、分析結果類似度算出部２２は、例えば、システムａの単一システムログ共起関係を読み出す。

次に、分析結果類似度算出部２２は、例えば、システムｂの単一システムログ共起関係を読み出す（Ｂ２）。そして、分析結果類似度算出部２２は、システムａとシステムｂの共起関係の距離と類似度を算出する（Ｂ３）。分析結果類似度算出部２２は、算出した類似度を分類結果類似度（図１７参照）として主記憶１２に保持する。そして、分析結果類似度算出部２２は、すべてのシステムについて評価したか否かを判定する（Ｂ４）。分析結果類似度算出部２２は、すべてのシステムについて評価していない場合、処理をＢ１に戻す。Ｂ３の処理は、システム間の動作の類似の程度を示す値情報を生成することの一例である。また、Ｂ３の処理で算出される類似度は、システム間の動作の類似の程度を示す値情報の一例である。さらにまた、Ｂ３の処理は、第１のシステムに対応する第１のログから抽出されたメッセージの種類と、第２のシステムに対応する第２のログから抽出されたメッセージの種類との間の発生状況の比較を基に前記第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成することの一例である。

図２５は、距離と類似度の算出処理（図２４のＢ３）の詳細を例示するフローチャートである。以下、システムａとシステムｂに対する処理を例に説明する。この処理では、分析結果類似度算出部２２は、システムａとシステムｂの共起関係の要素数を調べ、要素数を主記憶部１２に保持する（Ｂ３１）。次に、分析結果類似度算出部２２は、システムａのログ共起関係を１件読み出す（Ｂ３２）。そして、分析結果類似度算出部２２は、Ｂ３２で読み出した共起関係と同一の共起関係をシステムｂの共起関係中から探す（Ｂ３３）。

そして、分析結果類似度算出部２２は、Ｂ２で読み出した共起関係と同一の共起関係がシステムｂの共起関係中で見つかったか否かを判定する（Ｂ３４）。Ｂ３４の判定で、同一の共起関係が見つかった場合、分析結果類似度算出部２２は、システムａとシステムｂで同一の共起関係において、共起関係の分布時刻幅が重複するか否かを判定する（Ｂ３５）。Ｂ３４またはＢ３５のいずれかでＮの場合、つまり、同一の共起関係が見つからない、または、共起関係の分布時刻幅が重複しない場合、分析結果類似度算出部２２は、システムａとシステムｂとの距離に１を加算する（Ｂ３６）。

一方、Ｂ３４の判定で、同一の共起関係が見つかり、かつ、共起関係の分布時刻幅が重複する場合には、分析結果類似度算出部２２は、システムａとシステムｂとの距離に１を加算しないで、Ｂ３７に処理を進める。そして、分析結果類似度算出部２２は、すべてのシステムaの共起関係について評価したか否かを判定する（Ｂ３７）。分析結果類似度算
出部２２は、すべてのシステムaの共起関係について評価していない場合に、処理をＢ３
２に戻す。一方、分析結果類似度算出部２２は、すべてのシステムaの共起関係について
評価した場合に、まだ比較されていないシステムｂの共起関係を数えて距離に加算する（Ｂ３８）。

そして、分析結果類似度算出部２２は、a,bそれぞれの要素数と距離を用いて類似度を
算出する（Ｂ３９）。ここで、類似度は、例えば、数２で定義される。分析結果類似度算出部２２は、算出した類似度を分類結果類似度（図１７）として主記憶部１２に保持する。Ｂ３４，Ｂ３５、およびＢ３９の処理は、第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成することの一例である。Ｂ３４の判定で、同一の共起関係が見つからない場合に、Ｂ３６の処理で加算される距離の値がメッセージの種類の異同の程度の一例である。また、Ｂ３５の判定で、共起関係の分布時刻幅が重複しない場合に、Ｂ３６の処理で加算される距離の値が一の種類のメッセージの繰り返しの時間間隔又は複数の種類のメッセージの共起のための時間間隔を含む発生時間特性の異同の程度の一例である。なお、類似度が数２の定義に限定されるわけではなく、例えば、分析結果類似度算出部２２は、単純に、システムａとシステムｂの距離の積算値、システムａとシステムｂの距離と、それぞれ重み係数による平均値等を類似度としてもよい。

図２６は、類似システム算出部２４の処理を例示するフローチャートである。この処理では、類似システム算出部２４は、図２４の分析結果類似度算出部２２の処理で作成した分類結果類似度（図１７）から、類似度が最小のエントリを探す（Ｃ１）。次に、類似システム算出２４は、Ｃ１で見出した最小の類似度の値がしきい値以上か否かを判定する（Ｃ２）。類似度の値がしきい値未満とは、Ｃ１で見出したエントリに対応する類似度の２つのシステムａ，ｂが類似していること意味する。そこで、Ｃ２でＹの判定の場合、類似システム算出２４は、分類結果類似度（図１７）の処理中エントリに位置するX軸とY軸のシステムａ，ｂをクラスタ化する（Ｃ３）。Ｃ３の処理は、値情報が所定の基準を満たすときに、第１のシステムと第２のシステムのクラスタリング処理を行うことの一例である。

次に、類似システム算出２４は、Ｃ３で作成したクラスタと他のクラスタとの類似度、または、Ｃ３で作成したクラスタと他の各システムの類似度を再計算する（Ｃ４）。Ｃ４の処理は、作成されたクラスタ間または作成されたクラスタとクラスタ化の対象とされなかったシステムとの間で動作の類似の程度を示す値情報を生成することの一例である。また、Ｃ５、Ｃ６、およびＣ３の処理は、生成された値情報が所定の基準を満たすときに、作成されたクラスタ間または作成されたクラスタとクラスタ化の対象とされなかったシステムとの間でのクラスタリング処理をさらに行うことの一例である。

次に、類似システム算出２４は、再計算した類似度がしきい値以上か否かを判定する（Ｃ５）。Ｃ５の判定で、再計算した類似度が以上場合（Ｙの判定）、類似システム算出２４は、処理をＣ７に進める。一方、Ｃ５の判定で再計算した類似度がしきい値未満の場合（Ｎの判定）、つまり、Ｃ３で作成したクラスタと他の各システムが類似していると判断できる場合、類似システム算出２４は、クラスタ数がしきい値以下か否かを判定する（Ｃ６）。Ｃ６の判定で、クラスタ数がしきい値より大きい場合（Ｎの判定）、類似システム算出２４は、処理をＣ１に戻す。一方、Ｃ５の判定でクラスタ数がしきい値以下の場合（Ｙの判定）、類似システム算出２４は、処理をＣ７に進める。なお、Ｃ２の判定で最小の類似度の値がしきい値以上の場合、つまり、分析結果類似度のいずれのエントリも、類似したシステムを示していない場合、類似システム算出２４は、処理をＣ７に進める。そして、類似システム算出２４は、作成したクラスタを類似システムテーブル２３（図１８）の類似システムとして、主記憶部１２に出力する（Ｃ７）。図２６のＣ１−Ｃ７の処理は、ログ連関情報に基づき、複数のシステムのクラスタリング処理を行うことの一例である。

図２７は、類似システムログ統合部２６の処理を例示するフローチャートである。類似システムログ統合部２６は、類似システムテーブル２３で類似度が小さい順にクラスタ内の類似システム間のログを混合する処理を実行する。この処理では、類似システムログ統合部２６は、類似度が小さい順にクラスタを選択し、システム名を１件読み出す（Ｄ１）。以下、Ｄ１で読み出したシステムを自システムと呼ぶ。次に、類似システムログ統合部２６は、読み出した自システムを含むクラスタを１件読み出す（Ｄ２）。次に、類似システムログ統合部２６は、自システムのメッセージログと類似度を読みだす（Ｄ３）。今、自システムのメッセージログログＬ１と類似度ＡＮ１とする。

さらに、類似システムログ統合部２６は、クラスタに属する他のシステムを選択し、選択した他のシステムのログをログＬ２、クラスタの類似度を類似度ＡＮ２として読み出す（Ｄ４）。そして、類似システムログ統合部２６は、２つのログを類似度比で混合する（Ｄ５）。次に、類似システムログ統合部２６は、現在処理中のクラスタの類似度はしきい値以上か否かを判定する（Ｄ６）。類似システムログ統合部２６は、現在処理中のクラスタの類似度がしきい値未満の場合、類似システムログ統合部２６は、現在のクラスタを含むクラスタを読み出す（Ｄ７）。そして、類似システムログ統合部２６は、現在処理中の混合ログをログＬ１、現在の類似度を類似度ＡＮ１とする（Ｄ８）。そして、類似システムログ統合部２６は、Ｄ４の処理に進む。

一方、Ｄ６の判定で、現在処理中のクラスタの類似度がしきい値以上の場合、類似システムログ統合部２６は、作成した混合ログを統合ログとして、例えば、外部記憶部１３に出力する（Ｄ９）。そして、類似システムログ統合部２６は、すべてのシステムについて処理したか否かを判定する（Ｄ１０）。類似システムログ統合部２６は、すべてのシステムについて処理していない場合に、処理をＤ１に戻す。

図２８は、２つのログを類似度で混合する処理（図２６のＤ５）の詳細を例示するフローチャートである。この処理では、類似システムログ統合部２６は、２つのメッセージログと、２つの類似度を受け取り、２つのメッセージログを２つの類似度の比で混合する。例えば、類似システムログ統合部２６は、ログＬ１と類似度ＡＮ１を読みだす（Ｄ５１）。次に、類似システムログ統合部２６は、ログＬ２と、ログ１とログ２との間の類似度ＡＮ２を読みだす（Ｄ５２）。そして、類似システムログ統合部２６は、類似度ＡＮ１、ＡＮ２からログＬ１、Ｌ２の繰返し比を求める（Ｄ５３）。

次に、類似システムログ統合部２６は、ログＬ１を混合ログに書き出す（Ｄ５４）。そして、類似システムログ統合部２６は、繰返しカウントがログＬ１の繰返し数以上か否か
を判定する（Ｄ５５）。Ｄ５５の判定で、繰返しカウントがログＬ１の繰返し数未満の場合、類似システムログ統合部２６は、ログＬ１の最終時刻を記録する（Ｄ５６）。さらに、類似システムログ統合部２６は、次のログの開始時刻を算出する（Ｄ５７）。さらに、類似システムログ統合部２６は、ログＬ１の時刻をＤ５７の処理で算出した開始時刻を起点とするようにずらす（Ｄ５８）。そして、類似システムログ統合部２６は、処理をＤ５４に戻し、再度ログＬ１を混合ログに書き出す。

一方、Ｄ５５の判定で、繰返しカウントがログＬ１の繰返し数以上の場合、類似システムログ統合部２６は、繰返しカウントを０に設定する（Ｄ５９）。そして、類似システムログ統合部２６は、Ｄ５７と同様に次のログの開始時刻を算出し、ログＬ２の時刻を開始時刻が起点となるようにずらす（Ｄ６０）。そして、類似システムログ統合部２６は、ログＬ２を混合ログに書き出し、繰返しカウントに１を足す（Ｄ６１）。

次に、類似システムログ統合部２６は、繰返しカウントがログＬ２の繰返し数以上か否かを判定する（Ｄ６２）。Ｄ６２の判定で、繰返しカウントがログＬ２繰返し数未満の場合、類似システムログ統合部２６は、ログＬ２の最終時刻を記録する（Ｄ６３）。さらに、類似システムログ統合部２６は、次のログの開始時刻を算出する（Ｄ６４）。そして、類似システムログ統合部２６は、処理をＤ６０に戻し、再度ログＬ２を混合ログに書き出す。一方、Ｄ６２の判定で、繰返しカウントがログ２の繰返し数以上の場合、類似システムログ統合部２６は、処理を終了する。

Ｄ５、Ｄ５４、Ｄ６１の処理は、第１のログと第２のログとを混合することによって第１のログに代わるログを作成することの一例である。同様に、Ｄ５、Ｄ５４、Ｄ６１の処理は、第１のログと第２のログとを混合することによって第２のログに代わるログを作成することの一例である。また、Ｄ５６−Ｄ５８、Ｄ６０−Ｄ６４の処理は、１つのログと他のログとの発生時間が重複しないようにメッセージの発生時刻をシフトして複数のログを混合することの一例である。

図２９は、フィルタ設定部２９の処理を例示するフローチャートである。フィルタ設定部２９は、まず、処理対象となる統合システムログのすべてのメッセージの種類について共起確率を算出する（Ｅ１）。Ｅ１の処理は、共起分析部のＡ１の処理（図２０）と同様である。フィルタ設定部２９は、算出した共起確率を主記憶部１２（共起関係テーブル）に保持する。Ｅ１の共起確率の算出の仕方に限定がある訳ではない。単純に、メッセージの種類のペアごとに共起確率を算出してもよい。また、例えば、フィルタ設定部２９は、特開２０１４−１０６８５１で開示されているように、第１のメッセージが出現した後の第１の期間内に第２のメッセージの種類が出現する第１の確率と、第２のメッセージの種類が出現する前の第２の期間内に第１のメッセージの種類が出現する第２の確率とに基づいて共起関係を示す値を算出し、共起確率としてもよい。ここで、フィルタ設定部２９は、第１の確率と第２の確率との平均に基づいて共起確率を算出してもよい。

次に、フィルタ設定部２９は、Ｅ１の共起確率の算出結果である共起関係テーブルにエントリがあるか、つまり、共起関係が存在するか否かを判定する（Ｅ２）。Ｅ２の判定で、共起関係が存在する場合、フィルタ設定部２９は、共起確率が所定値より高いメッセージの種類のペアをメッセージログログから抽出する（Ｅ３）。Ｅ３の処理では、共起分析部は、Ｅ２で存在が確認された共起関係テーブルのエントリについて、メッセージの種類のペアの共起確率が、しきい値より高い場合に、処理中のエントリの種類のペアを抽出し、共起ペアとして、主記憶部１２に保持する。

次に、フィルタ設定部２９は、フィルタルールを決定する（Ｅ４）。そして、フィルタ設定部２９は、決定した共起グループを主記憶部１２に保持する。Ｅ４の処理で、フィル
タルールの決定の仕方に限定がある訳ではない。例えば、フィルタ設定部２９が、種類のペアの一方が検出した場合に、フィルタルールは、一方の種類を無視し、監視対象事象に含めないフィルタルールでもよい。また、例えば、フィルタ設定部２９が、種類のペアのいずれかが検出した場合に、フィルタルールは、包括的なメッセージに集約し、複数回のメッセージを監視対象事象に含めないようにするフィルタルールでもよい。そして、類似システムログ統合部２６は、すべての共起関係を処理したか否かを判定する（Ｅ５）。フィルタ設定部２９は、未処理の共起関係がある場合に、処理をＥ１に戻す。図２９のＥ１−Ｅ５の処理は、メッセージを抽出するルールを生成することの一例である。
＜実施形態の効果＞
以上述べたように、実施例の情報処理装置は、監視対象システムの複数のシステムをクラスタ化し、クラスタ化されたシステムに対して、統合システムログ共起関係を求める。したがって、例えば、単一システムログ共起部２０が処理する、個々のシステムから出力されたメッセージ量が少量であっても、統合システムログ共起部２７は、クラスタ化されたシステムにより実質的にメッセージ量を増加させて統合システムログ共起関係２８を作成できる。その結果、フィルタ設定部２９は、実質的にメッセージ量を増加させた結果である統合システムログ共起関係２８を用いてフィルタルールを生成でき、単一システムログ共起関係２１を用いるよりもフィルタルールの精度を向上できる。その結果、監視対象システム稼働時の比較的早い段階で、フィルタ設定部２９は、監視対象システムからのメッセージにフィルタを適用し、重複したメッセージ、同一原因で発生する複数メッセージを低減できる。

特に、情報処理装置の単一システムログ共起分析部２０は、監視対象システムの複数のシステムからのメッセージログにおいて所定値以上の共起確率を有するメッセージの種類の共起ルールを基に、メッセージペアを作成する。そして、単一システムログ共起分析部２０は、メッセージをグループ化し、メッセージの種類の組み合わせであるメッセージパターンと発生時間間隔を含む単一システムログ共起関係２１を作成する。さらに、情報処理装置の分析結果類似度算出部２２は、単一システムログ共起関係２１を基に、システム間の距離を求め、類似度を算出する。したがって、情報処理装置は、類似度という評価指標を基に、監視対象システム中の各システムから振る舞いが似たシステムを抽出できる。すなわち、単一システムログ共起分析部２０は、単一システム間のメッセージの種類の発生状況の比較を基に、類似度を算出できる。

また、情報処理装置の分析結果類似度算出部２２は、システム間の距離算出のため、メッセージの種類の異同と、一の種類のメッセージの繰り返しの時間間隔又は複数の種類のメッセージの共起のための時間間隔とを用いる。したがって、分析結果類似度算出部２２は、監視対象システム中の各システムの振る舞いとして、メッセージの共起確率に基づくフィルタルール作成に関連した評価を行うことができる。

また、情報処理装置の類似システム算出部２４は、作成されたクラスタ間または作成されたクラスタとクラスタ化の対象とされなかったシステムとの間でさらに類似度を再計算し、類似度の値がしきい値未満の場合に、さらにクラスタ化を行う。したがって、類似システム算出部２４は、システム間で類似度の値がしきい値未満に、より大きなクラスタを作成できる可能性を高めることができる。さらに、類似システム算出部２４は、クラスタ数がしきい値以下かどうかを判定することで、一定以上のクラスタ数の範囲でクラスタ化を実行できる。

また、情報処理装置の類似システムログ統合部２６は、クラスタ化の対象となる自システムの類似度と、自システムとクラスタ化の対象となる相手システムとの間の類似度に応じて、メッセージログの量の比率を変えて混合する。したがってクラスタ化の対象となる相手システムとの間の類似度に応じて、相手システムのメッセージログを薄める効果があ
り、メッセージログを混合することによる副作用を低減できる。

また、情報処理装置の類似システムログ統合部２６は、複数のメッセージログを混合する場合に、１つのログと他のログとの発生時間が重複しないようにメッセージの発生時刻をシフトして複数のログを混合する。したがって、混合前に存在しなかった共起関係がメッセージログの混合によって発生することが抑制される。
《コンピュータが読み取り可能な記録媒体》
コンピュータその他の機械、装置（以下、コンピュータ等）に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。そして、コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。

ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。このような記録媒体のうちコンピュータ等から取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、ブルーレイディスク、ＤＡＴ、８ｍｍテープ、フラッシュメモリなどのメモリカード等がある。また、コンピュータ等に固定された記録媒体としてハードディスク、ＲＯＭ（リードオンリーメモリ）等がある。さらに、ＳＳＤ（Solid State Drive）は、コンピュータ等から取り外し可能な記録媒体としても、コンピュータ
等に固定された記録媒体としても利用可能である。

１１ ＣＰＵ
１２ 主記憶部
２０ 単一システムログ共起分析部
２１ 単一システムログ共起関係
２２ 分析結果 類似度算出部
２３ 類似システムテーブル
２４ 類似システム算出部
２５ 分析結果類似度
２６ 類似システムログ統合部
２７ 統合システムログ共起分析部
２８ 統合システムログ共起関係
２９ フィルタ設定部
＜その他＞
本実施形態は、以下の態様を含む。以下の態様は付記と呼ばれる。各付記のそれぞれの構成は、他の付記の構成と組み合わせてもよい。
（付記１）
命令を記憶する記憶部と、
該記憶部に記憶された前記命令に従って、システムごとにシステム内で発生したメッセージを蓄積した複数のログから共起確率に基づいて共起メッセージ群を抽出し、抽出された前記共起メッセージ群に基づいて前記システム間の動作の類似の程度を示す値情報を生成し、前記値情報に基づき、前記複数のシステムのクラスタリング処理を行い、前記クラスタリング処理により作成されたクラスタにおける共起メッセージ群に基づき、各クラスタに含まれるシステムそれぞれのログからメッセージを抽出するルールを生成するプロセッサと、
を備えたことを特徴とするフィルタルール作成装置。
（付記２）
前記プロセッサは、前記複数のログそれぞれに含まれるメッセージを分類したメッセー
ジの種類間で所定値以上の共起確率を有するメッセージの種類の組み合わせを抽出し、第１のシステムに対応する第１のログから抽出されたメッセージの種類と、第２のシステムに対応する第２のログから抽出されたメッセージの種類との間の発生状況の比較を基に前記第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成し、
生成された前記値情報が所定の基準を満たすときに、前記第１のシステムと第２のシステムのクラスタリング処理を行う付記１に記載のフィルタルール作成装置。
（付記３）
前記プロセッサは、前記第１のシステムに対応する第１のログから抽出されたメッセージの種類と、前記第２のシステムに対応する第２のログから抽出されたメッセージの種類における、
（ａ）前記メッセージの種類の異同の程度、および、
（ｂ）一の種類のメッセージの繰り返しの時間間隔又は複数の種類のメッセージの共起のための時間間隔を含む発生時間特性の異同の程度
を基に前記第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成する付記２に記載のフィルタルール作成装置。
（付記４）
前記プロセッサは、作成された前記クラスタ間または作成された前記クラスタとクラスタ化の対象とされなかったシステムとの間で動作の類似の程度を示す値情報を生成し、生成された値情報が所定の基準を満たすときに、作成された前記クラスタ間または作成された前記クラスタとクラスタ化の対象とされなかったシステムとの間でのクラスタリング処理をさらに行う付記１からの３のいずれか１項に記載のフィルタルール作成装置。
（付記５）
前記プロセッサは、前記クラスタリング処理において、
第1のシステムで発生する第１のログに対して生成される一の値情報と、前記第１のロ
グと第２のシステムで発生する第２のログとの間で生成される相互の値情報とにしたがった比率で、前記第１のログと前記第２のログとを混合することによって前記第１のログに代わるログを作成し、
前記第２のログに対して生成される一の値情報と、前記第１のログと前記第２のログとの間で生成される前記相互の値情報にしたがった比率で、前記第１のログと前記第２のログとを混合することによって前記第２のログに代わるログを作成する付記１から４のいずれか１項に記載のフィルタルール作成装置。
（付記６）
前記プロセッサは、前記クラスタリング処理において、１つのログと他のログとの発生時間が重複しないようにメッセージの発生時刻をシフトして複数のログを混合する付記１から５のいずれか１項に記載にフィルタルール作成装置。
（付記７）
分析部が、システムごとにシステム内で発生したメッセージを蓄積した複数のログから共起確率に基づいて共起メッセージ群を抽出し、抽出された共起メッセージ群から前記システム間の動作の類似の程度を示す値情報を生成し、
統合部が、前記値情報に基づき、前記複数のシステムのクラスタリング処理を行い、
設定部が、前記クラスタリング処理により作成されたクラスタにおける共起メッセージ群に基づき、各クラスタに含まれるシステムそれぞれのログからメッセージを抽出するルールを生成する、フィルタルール作成方法。
（付記８）
前記分析部は、前記複数のログそれぞれに含まれるメッセージを分類したメッセージの種類間で所定値以上の共起確率を有するメッセージの種類の組み合わせを抽出し、第１のシステムに対応する第１のログから抽出されたメッセージの種類と、第２のシステムに対応する第２のログから抽出されたメッセージの種類との間の発生状況の比較を基に前記第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成し、
前記統合部は、前記分析部で生成された前記値情報が所定の基準を満たすときに、前記
第１のシステムと第２のシステムのクラスタリング処理を行う付記７に記載のフィルタルール作成方法。
（付記９）
前記分析部は、前記第１のシステムに対応する第１のログから抽出されたメッセージの種類と、前記第２のシステムに対応する第２のログから抽出されたメッセージの種類における、
（ａ）前記メッセージの種類の異同の程度、および、
（ｂ）一の種類のメッセージの繰り返しの時間間隔又は複数の種類のメッセージの共起のための時間間隔を含む発生時間特性の異同の程度
を基に前記第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成する付記８に記載のフィルタルール作成方法。
（付記１０）
前記分析部は、作成された前記クラスタ間または作成された前記クラスタとクラスタ化の対象とされなかったシステムとの間で動作の類似の程度を示す値情報を生成し、生成された値情報が所定の基準を満たすときに、作成された前記クラスタ間または作成された前記クラスタとクラスタ化の対象とされなかったシステムとの間でのクラスタリング処理をさらに行う付記７から９のいずれか１項に記載のフィルタルール作成方法。
（付記１１）
前記統合部は、前記クラスタリング処理において、
第1のシステムで発生する第１のログに対して生成される一の値情報と、前記第１のロ
グと第２のシステムで発生する第２のログとの間で生成される相互の値情報にしたがった比率で、前記第１のログと前記第２のログとを混合することによって前記第１のログに代わるログを作成し、
前記第２のログに対して生成される一の値情報と、前記第１のログと前記第２のログとの間で生成される前記相互の値情報とにしたがった比率で、前記第１のログと前記第２のログとを混合することによって前記第２のログに代わるログを作成する付記７から１０のいずれか１項に記載のフィルタルール作成方法。
（付記１２）
前記統合部は、前記クラスタリング処理において、１つのログと他のログとの発生時間が重複しないようにメッセージの発生時刻をシフトして複数のログを混合する付記７から１１のいずれか１項に記載にフィルタルール作成方法。
（付記１３）
コンピュータに、
システムごとにシステム内で発生したメッセージを蓄積した複数のログから共起確率に基づいて共起メッセージ群を抽出し、
抽出された共起メッセージ群から前記システム間の動作の類似の程度を示す値情報を生成し、
前記値情報に基づき、前記複数のシステムのクラスタリング処理を行い、
前記クラスタリング処理により作成されたクラスタにおける共起メッセージ群に基づき、各クラスタに含まれるシステムそれぞれのログからメッセージを抽出するルールを生成する、ことを実行させるためのフィルタルール作成プログラム。
（付記１４）
前記複数のログそれぞれに含まれるメッセージを分類したメッセージの種類間で所定値以上の共起確率を有するメッセージの種類の組み合わせを抽出し、第１のシステムに対応する第１のログから抽出されたメッセージの種類と、第２のシステムに対応する第２のログから抽出されたメッセージの種類との間の発生状況の比較を基に前記第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成し、
生成された前記値情報が所定の基準を満たすときに、前記第１のシステムと第２のシステムのクラスタリング処理を行うことをさらに実行させるための付記１３に記載のフィルタルール作成プログラム。
（付記１５）
前記第１のシステムに対応する第１のログから抽出されたメッセージの種類と、前記第２のシステムに対応する第２のログから抽出されたメッセージの種類における、
（ａ）前記メッセージの種類の異同の程度、および、
（ｂ）一の種類のメッセージの繰り返しの時間間隔又は複数の種類のメッセージの共起のための時間間隔を含む発生時間特性の異同の程度
を基に前記第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成することをさらに実行させるための付記１４に記載のフィルタルール作成プログラム。（付記１６）
作成された前記クラスタ間または作成された前記クラスタとクラスタ化の対象とされなかったシステムとの間で動作の類似の程度を示す値情報を生成し、生成された値情報が所定の基準を満たすときに、作成された前記クラスタ間または作成された前記クラスタとクラスタ化の対象とされなかったシステムとの間でのクラスタリング処理をさらに実行させるための付記１３から１５のいずれか１項に記載のフィルタルール作成プログラム。
（付記１７）
前記クラスタリング処理において、
第1のシステムで発生する第１のログに対して生成される一の値情報と、前記第１のロ
グと第２のシステムで発生する第２のログとの間で生成される相互の値情報にしたがった比率で、前記第１のログと前記第２のログとを混合することによって前記第１のログに代わるログを作成し、
前記第２のログに対して生成される一の値情報と、前記第１のログと前記第２のログとの間で生成される前記相互の値情報にしたがった比率で、前記第１のログと前記第２のログとを混合することによって前記第２のログに代わるログを作成することをさらに実行させるための付記１４から１６のいずれか１項に記載のフィルタルール作成プログラム。
（付記１８）
前記プロセッサは、前記クラスタリング処理において、１つのログと他のログとの発生時間が重複しないようにメッセージの発生時刻をシフトして複数のログを混合することをさらに実行させるための付記１３から１７のいずれか１項に記載にフィルタルール作成プログラム。

Claims (8)

1. 命令を記憶する記憶部と、
   該記憶部に記憶された前記命令に従って、システムごとにシステム内で発生したメッセージを蓄積した複数のログから共起確率に基づいて共起メッセージ群を抽出し、抽出された前記共起メッセージ群に基づいて前記システム間の動作の類似の程度を示す値情報を生成し、前記値情報に基づき、前記複数のシステムのクラスタリング処理を行い、抽出した前記共起メッセージ群のうち前記クラスタリング処理により作成されたクラスタに属する各システムからのログに出現する共起メッセージ群に基づき、各クラスタに含まれるシステムそれぞれのログからメッセージを抽出するルールを生成するプロセッサと、
   を備えたことを特徴とするフィルタルール作成装置。
2. 分析部が、システムごとにシステム内で発生したメッセージを蓄積した複数のログから共起確率に基づいて共起メッセージ群を抽出し、抽出された共起メッセージ群から前記システム間の動作の類似の程度を示す値情報を生成し、
   統合部が、前記値情報に基づき、前記複数のシステムのクラスタリング処理を行い、
   設定部が、抽出された前記共起メッセージ群のうち前記クラスタリング処理により作成されたクラスタに属する各システムからのログに出現する共起メッセージ群に基づき、各クラスタに含まれるシステムそれぞれのログからメッセージを抽出するルールを生成する、フィルタルール作成方法。
3. 前記分析部は、前記複数のログそれぞれに含まれるメッセージを分類したメッセージの種類間で所定値以上の共起確率を有するメッセージの種類の組み合わせを抽出し、第１のシステムに対応する第１のログから抽出されたメッセージの種類と、第２のシステムに対応する第２のログから抽出されたメッセージの種類との間の発生状況の比較を基に前記第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成し、
   前記統合部は、前記分析部で生成された前記値情報が所定の基準を満たすときに、前記第１のシステムと第２のシステムのクラスタリング処理を行う請求項２に記載のフィルタルール作成方法。
4. 前記分析部は、前記第１のシステムに対応する第１のログから抽出されたメッセージの
   種類と、前記第２のシステムに対応する第２のログから抽出されたメッセージの種類における、
   （ａ）前記メッセージの種類の異同の程度、および、
   （ｂ）一の種類のメッセージの繰り返しの時間間隔又は複数の種類のメッセージの共起のための時間間隔を含む発生時間特性の異同の程度
   を基に前記第１のシステムと第２のシステムとの間の動作の類似の程度を示す値情報を生成する請求項３に記載のフィルタルール作成方法。
5. 前記分析部は、作成された前記クラスタ間、または作成された前記クラスタとクラスタ化の対象とされなかったシステムとの間で動作の類似の程度を示す値情報を生成し、生成された値情報が所定の基準を満たすときに、作成された前記クラスタ間または作成された前記クラスタとクラスタ化の対象とされなかったシステムとの間でのクラスタリング処理をさらに行う請求項２から４のいずれか１項に記載のフィルタルール作成方法。
6. 前記統合部は、前記クラスタリング処理において、第1のシステムで発生する第１のロ
   グに対して生成される一の値情報と、前記第１のログと第２のシステムで発生する第２のログとの間で生成される相互の値情報にしたがった比率で、前記第１のログと前記第２のログとを混合することによって前記第１のログに代わるログを作成し、
   前記第２のログに対して生成される一の値情報と、前記第１のログと前記第２のログとの間で生成される前記相互の値情報とにしたがった比率で、前記第１のログと前記第２のログとを混合することによって前記第２のログに代わるログを作成する請求項２から５のいずれか１項に記載のフィルタルール作成方法。
7. 前記統合部は、前記クラスタリング処理において、１つのログと他のログとの発生時間が重複しないようにメッセージの発生時刻をシフトして複数のログを混合する請求項２から６のいずれか１項に記載にフィルタルール作成方法。
8. コンピュータに、
   システムごとにシステム内で発生したメッセージを蓄積した複数のログから共起確率に基づいて共起メッセージ群を抽出し、
   抽出された共起メッセージ群から前記システム間の動作の類似の程度を示す値情報を生成し、
   前記値情報に基づき、前記複数のシステムのクラスタリング処理を行い、
   抽出した前記共起メッセージ群のうち前記クラスタリング処理により作成されたクラスタに属する各システムからのログに出現する共起メッセージ群に基づき、各クラスタに含まれるシステムそれぞれのログからメッセージを抽出するルールを生成する、ことを実行させるためのフィルタルール作成プログラム。