JP6573572B2 - ログ情報解析装置およびログ情報解析方法 - Google Patents

Description

本発明は、ログ情報解析装置およびログ情報解析方法に関する。

情報処理システムを構成する計算機の動作を把握するために、ログ情報を収集して解析することが知られている。ログ情報は、例えば処理内容や負荷状態等の計算機の保持する情報である。ログ情報は、計算機での処理実行や実行所要時間などを契機として、ファイルや通信メッセージから収集される。

情報処理システムにおいてエラーのような分析を必要とする事象が発生した場合、システム管理者は、ログ情報を参照することで、原因を究明する。エラーに関するログ情報を参照するだけで原因を究明できる場合は不都合はない。これに対し、情報処理システムがステートフルである場合は、エラー発生時よりも前に実行された処理にエラー原因が潜んでいることがある。したがって、この場合は、エラー発生時のログ情報を解析するだけでは足りず、ログ情報を遡って解析する必要がある。

ここで、ログ情報に予め分類情報を付加しておくことが知られている。特許文献１には、ログ情報をテンプレートにより分類して、統計的に解析する手法が記載されている。特許文献１の従来技術によれば、過去に発生した故障を推測できる。

特許文献２には、計算機システム間で送受信されたパケットをキャプチャし、パケットの時刻情報を用いて、パケット間の関連性を推測する手法が記載されている。特許文献２の従来技術によれば、パケットに時刻情報を加えることで、リクエスト・レスポンス形式の特徴を捉えて解析することができる。

特開２０１５−９５０６０号公報 特許第５７３３１０３号公報

従来技術では、ログ情報を分類したり、パケットに時刻情報を加えたりすることで、ログ情報の解析作業を支援している。しかし、従来技術では、情報処理システムでの一連の処理の流れを考慮しないため、ログ情報間の関係を正確に解析するのが難しい。仕様書等はエラー原因の究明に役立つ場合もあるが、実際の処理の詳細までは言及していないため、原因究明にはログ情報の解析が欠かせない。

エラー原因がエラー発生時点以外に存在する場合、エラー発生時のログ情報のみを解析しても原因を究明することはできないため、処理の流れを解明する必要がある。したがって、システム管理者は、ログ情報を過去に遡って解析したり、他のケースでのログ情報を解析したりすることで、処理の流れを解明する。しかし、近年の情報処理システムは、複雑化する一方であり、読解すべきログ情報はますます増大している。膨大なログ情報の解明に時間がかかるため、原因究明作業が長期化し、情報処理システムの保守作業の作業性が低下する。

本発明は、上述の課題に鑑みてなされたもので、その目的は、情報処理システムのログ情報を効率的に解析できるようにしたログ情報解析装置およびログ情報解析方法を提供することにある。

上記課題を解決すべく、本発明に従うログ情報解析装置は、複数の計算機を含む情報処理システムから出力されるログ情報を解析するログ情報解析装置であって、情報処理システムの出力するログ情報を、ログ情報を解析するための情報が定義された解析定義情報に基づいて解析することで、情報処理システムにおける一連の処理の流れを示すシーケンス情報を生成する解析部と、解析部により生成された複数のシーケンス情報を、シーケンス情報を合成するための規則が予め定義された合成定義情報に基づいて合成することで、合成情報を生成する合成部と、を備える。

本発明によれば、情報処理システムにおける一連の処理の流れを示すシーケンス情報をログ情報と解析定義情報に基づいて得ることができ、さらに、複数のシーケンス情報を合成定義情報に基づいて合成することができる。これにより、情報処理システムで実行される複数の一連の処理をいくつかの合成情報にまとめることができ、エラー原因などの解明に役立てることができる。

情報処理システムとログ情報解析装置を含む全体システムを示す説明図。 ログ情報解析装置の構成図。 リスト化されたログ情報の構成例。 解析定義情報の構成例。 シーケンス情報の構成例。 合成定義情報の構成例。 ログ情報の合成処理を示すフローチャート。 ログ情報の合成結果を表示する画面の例。 図８の画面において、分岐部分の情報をさらに表示する画面例。 図８の画面において、経路をさらに表示する画面の例。 第２実施例に係り、ログ情報と合成情報とを比較する処理を示すフローチャート。 比較結果を表示する画面の例。 第３実施例に係り、ログ情報解析装置が情報処理システムの一部として動作する様子を示す説明図。 第４実施例に係り、分散配置された複数の計算機ノードを含む情報処理システムの全体構成図。 情報処理システムの構成変更に対応してログ情報を解析する処理を示すフローチャート。

以下、図面に基づいて、本発明の実施の形態を説明する。本実施形態に係るログ情報解析装置１は、一台以上の計算機を有する情報処理システム（計算機システム）において、ログ情報Ｄ１、解析定義情報Ｄ２、合成定義情報Ｄ４を受け付け、ログ情報を解析してシーケンス情報Ｄ３を作成する。そして、ログ情報解析装置１は、複数のシーケンス情報と合成定義情報に基づいて、シーケンスの重複部分、差異部分、分岐地点、合流地点を抽出することで、シーケンス情報を合成した合成情報Ｄ５を得る。

本実施形態によれば、複数のログ情報から得る複数のシーケンス情報を合成することで、情報処理システムの挙動（計算機の挙動）を検出しやすくなるため、エラー原因の解析作業の効率を改善することができる。

図１〜図１０を用いて第１実施例を説明する。図１は、ログ情報解析装置１および情報処理システム２を含むシステム全体の機能構成例を示す。ログ情報解析装置１の詳細な構成例は、図２で後述する。

本実施例のログ情報解析装置１は、解析対象の情報処理システム２からログ情報Ｄ１を取得して解析する。

情報処理システム２は、例えば、複数の計算機２１，２２と、ネットワーク監視装置２３を含んでおり、それら装置２１〜２３は通信ネットワークＣＮを介して双方向に通信可能に接続されている。ネットワーク監視装置２３は、第１計算機２１と第２計算機２２との間で送受信されるパケットを監視する。図１では、２つの計算機２１，２２を示すが、これに限らず、情報処理システム１は３つ以上の計算機を含んでもよい。

本実施例では、例えば第１計算機２１はサーバ計算機であり、第２計算機２２はクライアント計算機である。クライアント・サーバ方式のアーキテクチャに限らず、第１計算機２１と第２計算機２２とが対等の立場で通信するピア・ツー・ピア方式のアーキテクチャにも、本実施例は適用可能である。後述する他の実施例では、例えば、鉄道システム、電力システム、上下水道システム等の各種社会インフラストラクチャシステムに適用する場合を述べる。

ログ情報解析装置１が情報処理システム２から取得するログ情報Ｄ１は、例えば、各計算機２１，２２における処理のログＤ１１，Ｄ１３と、各計算機２１，２２間の通信に関するパケットログＤ１２とを含む。

第１計算機２１で実施された処理のログは、処理ログＤ１１として第１計算機２１から出力される。第２計算機２２で実施された処理のログは、処理ログＤ１３として第２計算機２２から出力される。第１計算機２１と第２計算機２２の間で送受信されるパケット通信のログは、パケットログＤ１２としてネットワーク監視装置２３から出力される。パケットログＤ１２は、通信ログＤ１２と呼ぶこともできる。ログ情報Ｄ１は、通常、各ログＤ１１〜Ｄ１３を複数ずつ含んでいる。ログ情報Ｄ１は、複数のログ情報Ｄ１１〜Ｄ１３の集合体である。

ログ情報解析装置１は、コンピュータに所定のコンピュータプログラムを実行させることで実現される。ログ情報解析装置１は、複数の機能を備えるが、主な機能構成を以下に説明する。

解析部Ｆ１１は、ログ情報Ｄ１を解析定義情報Ｄ２を用いて解析することで、シーケンス情報Ｄ３を生成する。解析定義情報Ｄ２とは、ログ情報Ｄ１を解析するための定義を含む情報である。解析定義情報Ｄ２の構成例は、図４で後述する。シーケンス情報Ｄ３とは、情報処理システム１における一連の処理の流れを示す情報である。例えば、第２計算機２２が第１計算機２１の提供するサービスへログインし、第１計算機２１に所定の処理の実行を要求し、第１計算機２１が所定の処理の実行結果を第２計算機２２へ返す場合、ログイン、認証実行、特定の処理の実行、実行結果の応答等が一連の処理となる。通常、第１計算機２１と第２計算機２２の間では、複数の一連の処理が並列的に実行されるため、解析部Ｆ１１は、それぞれ異なる複数のシーケンス情報Ｄ３を生成する。

合成部Ｆ１２は、複数のシーケンス情報Ｄ３を合成定義情報Ｄ４を用いることで合成し、合成情報Ｄ５を生成する。合成定義情報Ｄ４とは、複数のシーケンス情報Ｄ３を合成するための定義を含む情報である。合成定義情報Ｄ４の構成例は、図６で後述する。合成部Ｆ１２は、合成情報Ｄ５に新たなシーケンス情報Ｄ３をさらに追加して、合成情報Ｄ５を作り直すこともできる。

可視化部Ｆ１３は、合成情報Ｄ５をディスプレイ等に表示する。合成情報Ｄ５は、情報処理システム２における複数の一連の処理を集約したものである。合成情報Ｄ５は、情報処理システム２の各計算機２１，２２の挙動を示す。ログ情報Ｄ１が通常時のログを多く含む場合、そのログ情報Ｄ１に基づく合成情報Ｄ５には、情報処理システム２における通常時の処理の流れが反映されている。したがってシステム管理者は、表示された合成情報Ｄ５を通じて、情報処理システム２の通常時の処理の流れを確認できる。

比較部Ｆ１４は、合成情報Ｄ５と他のシーケンス情報Ｄ３とを比較し、両者の異同を提示する。比較対象となる他のシーケンス情報Ｄ３は、例えば、情報処理システム２にエラー等の事象が発生した場合のログ情報Ｄ１に基づくシーケンス情報である。比較部Ｆ１４は、通常時の処理の流れを集約した合成情報Ｄ５とエラー時のログ情報Ｄ１に基づくシーケンス情報Ｄ３とを比較し、その比較結果を可視化部Ｆ１３を介してシステム管理者へ提示する。これにより、システム管理者は、エラーの原因が一連の処理の流れのどこに存在するのかを効率よく見つけることができる。

再現部Ｆ１５は、合成情報Ｄ５またはシーケンス情報Ｄ３に基づいて、第１計算機２１または第２計算機２２の代役を務める。合成情報Ｄ５は、情報処理システム１の通常時における一連の処理の流れを集約しているため、再現部Ｆ１５は、合成情報Ｄ５を用いることで、第１計算機２１または第２計算機２２のいずれかに成り代わって、相手方の計算機２２，２１と通信できる。例えば、再現部Ｆ１５は、第２計算機２２に成り代わって、第１計算機２１と通信できる。または、再現部Ｆ１５は、第１計算機２１に成り代わって、第２計算機２２と通信することもできる。再現部Ｆ１５に情報処理システム２の計算機２１，２２のいずれかの代役をさせることで、通常時の挙動またはエラー発生時の挙動を再現させることができる。

図２は、ログ情報解析装置１の構成例を示す。ログ情報解析装置１のハードウェア構成を先に説明する。ログ情報解析装置１は、例えば、ＣＰＵ（Central Processing Unit）１１、メモリ１２、ネットワークインターフェース部１３、ユーザインターフェース部１４、および記憶装置１５を含む。図中では、ネットワークインターフェースを「ネットワーク」と、ユーザインターフェースを「ＵＩ」と、表示する。

ネットワークインターフェース部１３は、ログイン情報解析装置１が情報処理システム２と通信するための装置である。ログイン情報解析装置１は、ネットワークインターフェース部１３を介して通信ネットワークＣＮに接続し、各計算機２１，２２およびネットワーク監視装置２３と通信する。

ユーザインターフェース部１４は、システム管理者等のユーザと情報交換するための装置である。ユーザインターフェース部１４は、ユーザがログ情報解析装置１へ情報を入力するための情報入力装置と、ログ情報解析装置１からユーザへ情報を提供するための情報出力装置を備える。情報入力装置には、例えば、キーボード、ポインティングデバイス、タッチパネル、音声指示装置等がある。情報出力装置には、例えば、ディスプレイ、プリンタ、音声合成装置等がある。なお、ログ情報解析装置１は、電子メールまたは電子メールに添付する文書ファイルにより、ユーザへ情報を提供することもできる。

記憶装置１５は、例えばハードディスクドライブやフラッシュメモリデバイス等から構成されており、各機能Ｆ１１〜Ｆ１９に対応するコンピュータプログラムと、各情報Ｄ１〜Ｄ５とを保持する。ＣＰＵ１１が、記憶装置１５に記憶されたコンピュータプログラムをメモリ１２へ読み出して実行することで、各機能Ｆ１１〜Ｆ１９が実現する。

ログ入力部Ｆ１６にはログ情報Ｄ１が入力される。解析定義入力部Ｆ１７には解析定義情報Ｄ２が入力される。合成定義入力部Ｆ１８には合成定義情報Ｄ４が入力される。各情報Ｄ１〜Ｄ３は、例えば、メモリ、ハードディスク、磁気テープ等の記録媒体に固定されてもよい。この場合、各入力部Ｆ１６〜Ｆ１８は、それら記録媒体からデータを読み出すためのインターフェースを備える。各情報Ｄ１〜Ｄ３は、公衆回線または専用回線等の通信ネットワークを介してログ情報解析装置１へ入力することもできる。

評価部Ｆ１９は、シーケンス情報Ｄ３または合成情報Ｄ５を評価し、その評価結果を出力する。評価部Ｆ１９は、例えば、合成情報Ｄ５がどの程度通常時の状態を反映しているかを評価し、その評価値を出力する。例えば、分岐する箇所が多い合成情報Ｄ５は、通常時以外のイレギュラーなログ情報Ｄ１の影響を受けていると判断できる。この場合、評価部Ｆ１９は、その合成情報Ｄ５に対して低い評価値を与えることができる。

ここで、例えば、解析部Ｆ１１と、ログ入力部Ｆ１６と、解析定義入力部Ｆ１７とで、ログ情報解析機能を構成すると考えることができる。さらに、例えば、合成部Ｆ１２と、可視化部Ｆ１３と、比較部Ｆ１４と、合成定義入力部Ｆ１８とで、ログ情報合成比較部を構成すると考えることもできる。

図３は、ログ情報Ｄ１の例である。ログ情報Ｄ１は、例えば、時刻情報Ｃ１１、端末情報Ｃ１２、ログ内容情報Ｃ１３を含む。

時刻情報（図中、時刻と略記）Ｃ１１は、ログ情報の発生要因である事象の発生時刻である。端末情報Ｃ１２は、ログ情報の発生要因である端末を特定する情報である。複数の計算機間での通信に関するログの場合、送信元の計算機を特定する情報と送信先の計算機を特定する情報の両方が端末情報Ｃ１２に記載される。ログ内容情報Ｃ１３は、ログの内容を示す。

図４は、解析定義情報Ｄ２の例である。解析定義情報Ｄ２は、例えば、参照情報Ｃ２１、条件Ｃ２２、出力Ｃ２３を含む。解析定義情報Ｄ２は、システム管理者等が設定することができる。

参照情報Ｃ２１は、ログ情報Ｄ１に記載された各項目のうち参照すべき項目を特定する情報である。参照対象の項目としては、例えば「端末情報」「ログ内容」がある。条件Ｃ２２は、参照情報Ｃ２１に対する判定条件である。条件Ｃ２２に設定された値と、ログ情報の参照先項目の値とが一致する場合、条件Ｃ２２は成立したものと判定される。出力Ｃ２３は、条件Ｃ２２が成立した際に出力する情報であり、解析結果を示す。条件Ｃ２２が成立するときは、解析定義情報Ｄ２によってログ情報の該当項目の解析に成功した場合であり、出力Ｃ２３の内容がログ情報Ｄ１の解析結果として出力される。出力Ｃ２３の内容としては、例えば「ログ概要」「ログ種別」等がある。ログ種別には、「要求」や「応答」がある。これに限らず、情報の分類や解析の必要性に応じて、ログ情報Ｄ１に含まれる任意の値を出力Ｃ２３の内容として設定してもよい。

図５は、シーケンス情報Ｄ３の例である。シーケンス情報Ｄ３は、例えば、時刻情報Ｃ３１、送信元情報Ｃ３２、送信先情報Ｃ３３、ログ概要Ｃ３４、および種別情報Ｃ３５を含む。シーケンス情報Ｄ３に含まれる情報は、ログ情報Ｄ１および解析定義情報Ｄ２により決定される。なお、図中では、「情報」という語句を適宜省略している。

時刻情報Ｃ３１は、ログの発生時刻を示す。送信元情報Ｃ３２は、送信元の端末（計算機。以下同じ）を特定する情報である。送信先情報Ｃ３３は、送信先の端末を特定する情報である。ログ概要Ｃ３４は、ログの概要を示す。種別情報Ｃ３５は、例えば「要求」「応答」「処理」のような、ログの種類を示す。

図６は、複数のシーケンス情報Ｄ３を合成するために使用する合成定義情報Ｄ４の例である。合成定義情報Ｄ４は、例えば、入力情報Ｄ４１、判定条件Ｃ４２、合成処理内容Ｃ４３を含む。

入力情報Ｃ４１は、シーケンス情報Ｄ３の中から参照すべき情報を示す。判定条件Ｃ４２は、入力情報Ｃ４１に対する判定条件である。合成処理内容Ｃ４３は、判定条件Ｃ４２が成立した場合に実施する合成処理の内容である。

図６の例を説明する。図６の１番目の合成定義は、通信ログを合成する場合の定義を示している。この合成定義では、各シーケンス情報から「端末ａ１から端末ａ２へ内容Ａが送信された」「端末ｂ１から端末ｂ２へ内容Ｂが送信された」という通信ログが、入力情報Ｃ４１として入力されたとする。判定条件Ｃ４２は、「内容Ａのログ概要と内容Ｂのログ概要が等しい、かつ、内容Ａの種別と内容Ｂの種別が等しいこと」である。各シーケンス情報Ｄ３が判定条件Ｃ４２を満たす場合、合成部Ｆ１２は、端末ａ１と端末ｂ１を合成し、端末ａ２と端末ｂ２を合成し、内容Ａと内容Ｂを合成する。

２番目の合成定義は、計算機の内部処理のログを合成する場合の定義である。入力情報Ｃ４１は、各シーケンス情報Ｄ３から検出される「処理Ａ」と「処理Ｂ」である。判定条件Ｃ４２は、「処理Ａの内容と処理Ｂの内容が等しいこと」である。各シーケンス情報Ｄ３が判定条件Ｃ４２を満たす場合、合成部Ｆ１２は、処理Ａと処理Ｂを合成する。

図７は、複数のログ情報を合成する処理を示すフローチャートである。ログ情報解析装置１は、ログ入力部Ｆ１６を介してログ情報Ｄ１を取得し（Ｓ１０）、さらに解析定義入力部Ｆ１７を介して解析定義情報Ｄ２を取得する（Ｓ１１）。

ログ情報解析装置１の解析部Ｆ１１は、ログ情報Ｄ１を解析定義情報Ｄ２を用いて解析する（Ｓ１２）。解析部Ｆ１１は、ログ情報を解析することでシーケンス情報Ｄ３を生成し、記憶装置１５に保存する（Ｓ１３）。

ログ情報解析装置１の合成部Ｆ１２は、合成定義入力部Ｆ１８を介して合成定義情報Ｄ４を取得する（Ｓ１４）。合成部Ｆ１２は、複数のシーケンス情報Ｄ３を合成定義情報Ｄ４に基づいて合成する（Ｓ１５）。合成部Ｆ１２は、作成した合成情報Ｄ５を記憶装置１５に保存する（Ｓ１６）。

ログ情報解析装置１の可視化部Ｆ１３は、合成情報Ｄ５をユーザインターフェース部１４の画面に表示する（Ｓ１７）。さらに可視化部Ｆ１３は、ユーザ操作に応じて、詳細情報を画面に表示する（Ｓ１８）。詳細情報には、例えば、処理の流れが分岐している箇所の説明や、特定のログ情報（詳しくはシーケンス情報Ｄ３）の流れの表示等がある。画面例は、図８〜図１０で後述する。

図８は、複数のログ情報を合成した結果の画面Ｇ１の例である。合成結果表示画面Ｇ１は、正確には、複数のシーケンス情報Ｄ３の合成結果を示す。シーケンス情報Ｄ３に含まれるログ情報Ｄ１を合成した画面が画面Ｇ１である。以下の画面Ｇ２，Ｇ３についても同様である。

合成結果表示画面Ｇ１は、例えば、合成対象のログ情報を選択するログ情報選択部Ｇ１０_１，Ｇ１０_２と、シーケンス表示指示部ＧＰ１１と、経路表示部ＧＰ１２と、合成開始指示部ＧＰ１３と、合成結果表示部ＧＰ１４を含む。合成結果表示部ＧＰ１４の上側に配置されたＧＰ１０_１，ＧＰ１０_２，ＧＰ１１，ＧＰ１２，ＧＰ１３は、例えば、「合成処理指示部」と呼ぶこともできる。

ユーザは、合成対象のログ情報をログ情報選択部ＧＰ１０_１，ＧＰ１０_２で選択した後、合成開始指示部ＧＰ１３を操作する。これにより、選択されたログ情報（シーケンス情報Ｄ３を構成するログ情報）が合成されて、その合成結果が合成結果表示部ＧＰ１４に表示される。

合成結果表示部ＧＰ１４では、合成対象のシーケンス情報に含まれるログ情報が計算機ごとにフローチャートの形式で表示される。図８には、クライアント計算機とサーバ計算機の間の処理が示されている。この場合、合成結果表示部ＧＰ１４には、クライアント計算機での処理と、サーバ計算機での処理とがそれぞれフローチャート形式で表現され、さらに、クライアント計算機とサーバ計算機の間の通信処理の内容も表示される。通信処理の内容とは、図８の例では「ログイン認証」「ログインＯＫ」「ログインＮＧ」「処理Ａ要求」「共通応答」である。

合成対象のシーケンス情報の一部が一致せず、処理内容が分岐する場合、その分岐地点は分岐箇所ＧＰ１５として抽出され、合成結果表示部ＧＰ１４に表示される。

図９は、分岐箇所ＧＰ１５に関する情報を表示する画面Ｇ２の例である。ユーザが分岐箇所ＧＰ１５を選択すると、画面Ｇ２に分岐情報表示部ＧＰ２０が表示される。分岐情報表示部ＧＰ２０は、例えば、分岐条件を表示する。図９の例では、ログインの結果がＯＫであるかＮＧであるかによって、その後の処理が分かれることが表示されている。

図１０は、経路情報を表示する画面Ｇ３の例である。ユーザが経路表示部ＧＰ１２を選択すると、その表示部ＧＰ１２で選択されたログ情報に基づくシーケンス情報の流れＧＰ１４が、合成結果表示部ＧＰ１４に表示された合成結果に重ねて表示される。

このように構成される本実施例によれば、情報処理システム２のログ情報を効率的に解析することができ、情報処理システム２の保守作業の効率を改善できる。

本実施例によれば、複数のログ情報から得る複数のシーケンス情報を合成することで、情報処理システムの挙動（計算機の挙動）を検出できるため、システム管理者等のユーザは、エラー原因の解析作業を効率よく行うことができ、使い勝手が向上する。

本実施例によれば、シーケンス情報の合成結果を計算機毎のフローチャートとして表示するため、ユーザは、各計算機でどのような処理が行われているのかを容易に把握することができる。

さらに本実施例によれば、計算機毎フローチャートに加えて、計算機間の通信処理の内容も表示するため、ユーザは、情報処理システム２の計算機間でどのような処理が実行されており、かつ、そのような通信処理が実行されているかを容易に把握できる。これによりエラー解析等の作業性を向上することができる。

本実施例では、合成対象のシーケンス情報の間で処理が分岐する箇所を表示すると共に、ユーザの要求に応じて分岐条件を表示することができる。したがって、ユーザは、合成対象の各シーケンス情報での相違箇所を、一連の処理の全体の中で容易に特定することができるため、エラー解析等の作業性がさらに向上する。

図１１，図１２を用いて第２実施例を説明する。本実施例を含む以下の各実施例は、第１実施例の変形例に該当するため、第１実施例との相違を中心に説明する。本実施例では、既存の合成結果と新たなログ情報（シーケンス情報）とを比較する。

図１１は、合成結果と新たなログ情報に基づくシーケンス情報とを比較し、その結果を表示するための処理を示すフローチャートである。図１２は、比較結果を示す画面Ｇ４の例である。

ログ情報解析装置１は、ユーザの選択した合成情報Ｄ５を特定する（Ｓ２０）。ログ情報解析装置１は、合成情報Ｄ５を記憶部１５へ複数保存することができる。ユーザは、ログ情報解析装置１の保存している合成情報Ｄ５の中から、比較対象となる合成情報を少なくとも一つ選択する。ログ情報解析装置１は、ユーザの選択結果をステップＳ２０で検出する。

続いて、ログ情報解析装置１は、ステップＳ２０で特定した合成情報Ｄ５と比較するログ情報を取得する（Ｓ２１）。ログ情報解析装置１１は、合成情報Ｄ５に含まれていないシーケンス情報Ｄ３を、比較対象としてステップＳ２１で取得する。比較時にログ情報Ｄ１からシーケンス情報Ｄ５を生成してもよいし、比較前にログ情報Ｄ１からシーケンス情報Ｄ５を生成して保存しておいてもよい。

ログ情報解析装置１の比較部Ｆ１４は、ユーザの指示に応じて、ステップＳ２０で特定した合成情報と、ステップＳ２１で取得したログ情報（シーケンス情報）とを比較し（Ｓ２２）、その結果を画面Ｇ４へ表示する（Ｓ２３）。ログ情報解析装置１は、ユーザの要求に応じて、合成情報とログ情報との相違点を指摘する情報を画面に表示することもできる（Ｓ２４）。

図１２の比較結果画面Ｇ４では、ユーザは、比較対象選択部ＧＰ４０により、比較対象のログ情報を選択する。図１２では、比較対象の合成情報は図８〜図１０で示した画面Ｇ１〜Ｇ３で選択されているものとする。選択済の合成情報に対して、新たなログ情報を比較する場合を図１２に示す。これに限らず、比較結果画面Ｇ４に、合成対象とログ情報とをそれぞれ選択するための比較対象選択部を設けてもよい。この場合、ユーザは、保存された合成情報の中から所望の合成情報を呼び出して、新たなログ情報と比較させることができる。

ユーザが比較開始指示部ＧＰ４１を操作すると、比較対象の合成情報とログ情報とが比較部Ｆ１４により比較され、その結果が比較結果表示部ＧＰ４２に表示される。具体的には、比較対象のログ情報（シーケンス情報）の流れＧＰ４３が、合成情報のフローチャートに重ねて表示される。

さらに、比較結果表示部ＧＰ４２では、合成情報の流れと比較対象のログ情報（シーケンス情報）との相違箇所ＧＰ４５，ＧＰ４６も表示される。ユーザが相違箇所ＧＰ４５，ＧＰ４６を選択すると、選択した相違箇所の詳細を示す情報ＧＰ４６が画面表示される（Ｓ２４）。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例によれば、合成情報とその合成情報に含まれていないログ情報（シーケンス情報）とを比較して、その結果を表示することができる。したがって、エラーの発生していない通常時のログ情報から生成された合成情報と、エラー発生時のログ情報とを比較することで、エラー発生箇所を効率よく特定することができ、エラー解析等の作業性を改善することができる。

図１３を用いて第３実施例を説明する。本実施例では、ログ情報解析装置１が合成情報Ｄ５を用いることで、情報処理システム２の計算機２１，２２のうちいずれかの計算機に成り代わって応答する例を示す。

図１３は本実施例の概要を示す説明図である。図１３では、便宜上、ネットワーク監視装置２３を省略する。図１３（ａ）に示すように、ログ情報解析装置１は、計算機２１，２２から取得するログ情報を解析することで、合成情報Ｄ５を生成し保存する。

図１３（ｂ）に示すように、ログ情報解析装置１の再現部Ｆ１５は、合成情報Ｄ５を用いることで、計算機２２の代わりに、相手方の計算機２１との間の処理を再現することができる。逆にログ情報解析装置１は、計算機２１に成り代わって、相手方の計算機２２との間の処理を再現することもできる。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例によれば、ログ情報解析装置１は合成情報Ｄ５を用いることで、情報処理システム２の計算機２１，２２のうちいずれかの計算機に成り代わり、相手方の計算機２２との間で処理を再現できる。したがって、ログ情報解析装置１をシミュレーション用計算機として使用することができ、情報処理システム２の信頼性等を検査することができる。

図１４，図１５を用いて第４実施例を説明する。本実施例では、情報処理システム２の構成変更に対応して、合成情報を生成する。

図１４は、本実施例によるログ情報解析装置１Ａとセンサネットワークシステム２Ａとを含む全体システムの例を示す。

情報処理システムとしてのセンサネットワークシステム２Ａは、例えば、複数のセンサノード２２Ａ、ゲートウェイ２３Ａ、管理サーバ２１Ａ、保守端末２４を含む。

センサノード２２Ａは、例えば、電力メータや水道メータのような、通信機能付きの計測装置である。各センサノード２２Ａは、ゲートウェイ２３Ａを介して管理サーバ２１Ａに接続されている。保守端末２４は、センサノード２２Ａの構成変更に関する情報等を管理サーバ２１Ａに入力する。各センサノード２２Ａは、隣接するノードと例えば無線通信することができる。

センサネットワークシステム２Ａの設置範囲等にも依存するが、ビルディング等の構造物の建築や取り壊し、センサノードの保守点検等により、センサネットワークシステム２Ａの構成は比較的頻繁に変化する。例えば、或るセンサノードと他のセンサノードの間にトラック等の大型車両が停止すると、それらセンサノード間で安定した通信を行うことができなくなり、別の経路が設定される。

保守点検等の計画された構成変更は、保守端末２４からログ情報解析装置１Ａへ通知することができる。センサノード間の通信経路の変更等も、保守端末２４、ゲートウェイ２３Ａあるいは管理サーバ２１Ａからログ情報解析装置１Ａへ通知できる。

センサネットワークシステム２Ａの構成変更の前と構成変更の後とでは、ログ情報の内容も変化する。そこで、本実施例では、情報処理システムとしてのセンサネットワークシステム２Ａの構成変更の前後で、合成情報をそれぞれ作成する。

図１５は、本実施例によるログ情報合成処理を示すフローチャートである。ログ情報解析装置１Ａは、センサネットワークシステム２Ａから定期的にまたは不定期にログ情報Ｄ１を取得して保存している（Ｓ３０）。

ログ情報解析装置１Ａは、センサネットワークシステム２Ａの構成変更情報を保守端末２４等から取得すると（Ｓ３１）、保存したログ情報Ｄ１を構成変更の前後で分類する（Ｓ３２）。構成変更前に取得したログ情報を第１ログ情報と呼び、構成変更後に取得するログ情報を第２ログ情報と呼ぶ。

以下、構成変更前に対応する情報を、第１解析定義情報、第１シーケンス情報、第１合成定義情報、第１合成情報と呼ぶ。構成変更後に対応する情報を、第２解析定義情報、第２シーケンス情報、第２合成定義情報、第２合成情報と呼ぶ。

ログ情報解析装置１Ａは、第１解析定義情報を用いて第１ログ情報を解析することで、第１シーケンス情報を生成し、保存する（Ｓ３３）。ログ情報解析装置１Ａは、第２シーケンス情報と第２合成定義情報を用いて第２合成情報を生成し、保存する（Ｓ３４）。第２合成情報は、可視化部Ｆ１３によりユーザインターフェース部１４で画面表示される（Ｓ３５）。

さらに、ログ情報解析装置１Ａは、第２解析定義情報を用いて第２ログ情報を解析することで、第２シーケンス情報を生成し、保存することもできる（Ｓ３６）。ログ情報解析装置１Ａは、第２合成定義情報と第２シーケンス情報とから第２合成情報を生成し（Ｓ３７）、画面に表示させることもできる（Ｓ３８）。

このように構成される本実施例も第１実施例と同様の作用効果を奏する。さらに本実施例では、情報処理システムの構成変更に応じて合成情報を生成できるため、情報処理システムの実態に応じてエラー解析等を行うことができる。本実施例によれば、情報処理システムの構成変更と合成情報の変化とを比べることで、情報処理システムの構成変更が処理の流れに与える影響等も解析することができ、使い勝手が向上する。

なお、本発明は、上述した実施形態に限定されない。当業者であれば、本発明の範囲内で、種々の追加や変更等を行うことができる。上述の実施形態において、添付図面に図示した構成例に限定されない。本発明の目的を達成する範囲内で、実施形態の構成や処理方法は適宜変更することが可能である。

また、本発明の各構成要素は、任意に取捨選択することができ、取捨選択した構成を具備する発明も本発明に含まれる。さらに特許請求の範囲に記載された構成は、特許請求の範囲で明示している組合せ以外にも組み合わせることができる。

情報処理システムは、クライアント・サーバ型システムや、センサネットワークシステムに限定しない。他の情報処理システムであってもよい。

１，１Ａ：ログ情報解析装置、２，２Ａ：情報処理システム、Ｆ１１：解析部、Ｆ１２：合成部、Ｆ１３：可視化部、Ｆ１４：比較部、Ｆ１５：再現部、Ｆ１６：ログ入力部、Ｆ１７：解析定義入力部、Ｆ１８：合成定義入力部、Ｄ１：ログ情報、Ｄ２：解析定義情報、Ｄ３：シーケンス情報、Ｄ４：合成定義情報、Ｄ５：合成情報

Claims (13)

1. 複数の計算機を含む情報処理システムから出力されるログ情報を解析するログ情報解析装置であって、
   前記情報処理システムの出力するログ情報を、ログ情報を解析するための情報が定義された解析定義情報に基づいて解析することで、前記情報処理システムにおける一連の処理の流れを示すシーケンス情報を生成する解析部と、
   前記解析部により生成された複数のシーケンス情報を、シーケンス情報を合成するための規則が予め定義された合成定義情報に基づいて合成することで、合成情報を生成する合成部と、
   を備えるログ情報解析装置。
2. 前記合成情報に含まれていないシーケンス情報と前記合成情報とを比較する比較部をさらに備える、
   請求項１に記載のログ情報解析装置。
3. 前記複数の計算機のうちいずれかの計算機に成り代わり、前記複数の計算機のうち相手方の計算機との間の処理を前記合成情報に基づいて再現する再現部をさらに備える、
   請求項１に記載のログ情報解析装置。
4. 少なくとも前記合成情報を可視化する可視化部をさらに備える、
   請求項１〜３のいずれか一項に記載のログ情報解析装置。
5. 前記可視化部は、前記合成情報を流れ図として表示する、
   請求項４に記載のログ情報解析装置。
6. 前記可視化部は、前記合成情報に含まれるシーケンス情報のいずれかを選択する選択ボタンを備えており、前記選択ボタンにより選択されたシーケンス情報の経路を前記流れ図上に表示する、
   請求項５に記載のログ情報解析装置。
7. 前記可視化部は、前記流れ図のうち選択された箇所に関する情報を提示する、
   請求項６に記載のログ情報解析装置。
8. 前記可視化部は、前記情報処理システムに含まれる計算機ごとに流れ図を表示し、さらに、それら計算機間での通信処理の内容を表示する、
   請求項７に記載のログ情報解析装置。
9. 前記ログ情報は、前記情報処理システムの構成が変更される前に取得された第１ログ情報と、前記情報処理システムの構成が変更された後に取得された第２ログ情報とに分類されており、
   前記解析部は、前記第１ログ情報を、前記情報処理システムの構成変更前に対応する第１解析定義情報に基づいて解析することで、前記情報処理システムの構成変更前に対応する第１シーケンス情報を生成し、
   前記合成部は、複数の前記第１シーケンス情報を、前記情報処理システムの構成変更前に対応する第１合成定義情報に基づいて合成することで、前記情報処理システムの構成変更前に対応する第１合成情報を生成し、さらに、
   前記解析部は、前記第２ログ情報を、前記情報処理システムの構成変更後に対応する第２解析定義情報に基づいて解析することで、前記情報処理システムの構成変更後に対応する第２シーケンス情報を生成し、
   前記合成部は、複数の前記第２シーケンス情報を、前記情報処理システムの構成変更後に対応する第２合成定義情報に基づいて合成することで、前記情報処理システムの構成変更後に対応する第２合成情報を生成する、
   請求項１〜３のいずれか一項に記載のログ情報解析装置。
10. 複数の計算機を含む情報処理システムから出力されるログ情報をコンピュータにより解析するログ情報解析方法であって、
    前記コンピュータは、
    前記情報処理システムの出力する複数のログ情報を取得し、
    ログ情報を解析するための情報が定義された解析定義情報を取得し、
    前記複数のログ情報を前記解析定義情報に基づいて解析することで、前記情報処理システムにおける一連の処理の流れを示すシーケンス情報を複数生成し、
    シーケンス情報を合成するための規則が予め定義された合成定義情報を取得し、
    前記複数のシーケンス情報を前記合成定義情報に基づいて合成することで、合成情報を生成し、
    前記合成情報を可視化する、
    ログ情報解析方法。
11. 前記コンピュータは、前記合成情報を生成した後で、前記合成情報に含まれていないシーケンス情報と前記合成情報とを比較する、
    請求項１０に記載のログ情報解析方法。
12. 前記コンピュータは、前記合成情報を生成した後で、前記複数の計算機のうちいずれかの計算機に成り代わり、前記複数の計算機のうち相手方の計算機との間の処理を前記合成情報に基づいて再現する、
    請求項１０に記載のログ情報解析方法。
13. コンピュータを、複数の計算機を含む情報処理システムから出力されるログ情報を解析するログ情報解析装置として機能させるためのコンピュータプログラムであって、
    前記コンピュータに、
    前記情報処理システムの出力するログ情報を、ログ情報を解析するための情報が定義された解析定義情報に基づいて解析することで、前記情報処理システムにおける一連の処理の流れを示すシーケンス情報を生成する解析部と、
    前記解析部により生成された複数のシーケンス情報を、シーケンス情報を合成するための規則が予め定義された合成定義情報に基づいて合成することで、合成情報を生成する合成部と、
    を実現させるコンピュータプログラム。

Images