JP6845787B2 - ログ分析システム - Google Patents

Description

本発明は、収集されたログを分析するログ分析サーバ、ログ分析システム、ログ分析方法及びログ分析プログラムに関する。

携帯端末、ウェブサービス、ＩｏＴ（Internet of Things）デバイス等から様々な種類のログが出力される。事業者はこれらのログを分析することによって、ユーザの行動により適したサービスを提供することができる。

特許文献１には、複数のＡＰＩ（アプリケーションプログラミングインターフェース）を集約する技術が記載されている。このような技術によれば、例えばログに対して様々な種類の分析を行うＡＰＩを一括して利用できる。

特開２０１６−１５１８８５号公報

従来、ログの分析を行う分析エンジンは、ログの収集、分析の実行及び結果の提供が一連のサービス設計で実装されていた。一般的にアプリケーション（サービスを含む）ごとにログの形式、収集方法及び結果の提供方法が異なるため、既存の分析エンジンを他のアプリケーションに流用することは難しい。したがって、分析エンジンの提供者には、アプリケーションごとに分析エンジンを逐一作り直す手間があった。

特許文献１に記載の技術では、集約するＡＰＩの数が増えるほど複数のＡＰＩを利用するためのクエリ情報が複雑になるという問題がある。

本発明はこれらの点に鑑みてなされたものであり、分析エンジンの提供者が新たな分析エンジンを提供する際の負担を軽減可能なログ分析サーバ、ログ分析システム、ログ分析方法及びログ分析プログラムを提供することを目的とする。

本発明の第１の態様のログ分析サーバは、分析対象のログを記憶するログ記憶領域と、前記ログの分析を行う分析プログラムを記憶する分析プログラム記憶領域と、前記分析の結果を記憶する結果記憶領域と、前記ログ記憶領域及び前記結果記憶領域の位置を示す位置指定情報の設定を受け付け、設定された前記位置指定情報に従って前記ログを前記ログ記憶領域に記憶させ、前記分析プログラム記憶領域に記憶された前記分析プログラムを実行させ、設定された前記位置指定情報に従って前記結果記憶領域から取得した前記結果を提供するインターフェース部と、を含む分析エンジンを有する。

前記分析エンジンは複製可能に構成されており、複製された前記分析エンジンは、前記分析プログラム記憶領域に前記分析プログラムが記憶されることによって、実行可能になってもよい。

前記ログ分析サーバは、前記分析エンジンの複数のテンプレートを予め記憶し、前記分析エンジンは、前記複数のテンプレートから選択された１つのテンプレートを複製することによって複製されてもよい。

前記インターフェース部は、記憶媒体における前記ログ記憶領域及び前記結果記憶領域のパス又はアドレスを示す前記位置指定情報の設定を受け付けてもよい。

前記インターフェース部は、さらに前記分析のタイミングの設定を受け付け、設定された前記タイミングに従って前記分析プログラム記憶領域に記憶された前記分析プログラムを実行させてもよい。

前記インターフェース部は、定期的に前記分析を行うこと、又は新たな前記ログが前記ログ記憶領域に記憶された場合に前記分析を行うことを示す前記タイミングの設定を受け付けてもよい。

前記インターフェース部は、さらに前記結果の提供方法の設定を受け付け、設定された前記提供方法に従って前記結果を提供してもよい。

前記インターフェース部は、前記分析エンジンの外部へ能動的に前記結果を渡すこと、又は前記分析エンジンの外部からの要求を受けて受動的に前記結果を渡すことを示す前記提供方法の設定を受け付けてもよい。

前記インターフェース部は、前記分析エンジンの外部から前記ログを受け取って前記ログ記憶領域に記憶させ、前記分析エンジンの外部へ前記結果を渡してもよい。

本発明の第２の態様のログ分析システムは、分析対象のログを記憶するログ記憶領域と、前記ログの分析を行う分析プログラムを記憶する分析プログラム記憶領域と、前記分析の結果を記憶する結果記憶領域と、前記ログ記憶領域及び前記結果記憶領域の位置を示す位置指定情報の設定を受け付け、設定された前記位置指定情報に従って前記ログを前記ログ記憶領域に記憶させ、前記分析プログラム記憶領域に記憶された前記分析プログラムを実行させ、設定された前記位置指定情報に従って前記結果記憶領域から取得した前記結果を提供するインターフェース部と、を含む分析エンジンを有するログ分析サーバと、前記インターフェース部に前記ログを渡し、前記インターフェース部から前記結果を受け取る分析制御部を有するログ分析装置と、を備える。

前記ログ分析装置は、前記ログ分析サーバの中で前記分析エンジンを複製する複製部をさらに有してもよい。

本発明の第３の態様のログ分析方法は、コンピュータが実行する、ログ記憶領域及び結果記憶領域の位置を示す位置指定情報の設定を受け付けるステップと、設定された前記位置指定情報に従ってログを前記ログ記憶領域に記憶させるステップと、前記ログ記憶領域に記憶された前記ログの分析を行う分析プログラムを実行させるステップと、設定された前記位置指定情報に従って前記結果記憶領域から前記分析の結果を取得して提供するステップと、を有する。

本発明の第４の態様のログ分析プログラムは、コンピュータに、ログ記憶領域及び結果記憶領域の位置を示す位置指定情報の設定を受け付けるステップと、設定された前記位置指定情報に従ってログを前記ログ記憶領域に記憶させるステップと、前記ログ記憶領域に記憶された前記ログの分析を行う分析プログラムを実行させるステップと、設定された前記位置指定情報に従って前記結果記憶領域から前記分析の結果を取得して提供するステップと、を実行させる。

本発明によれば、分析エンジンの提供者が新たな分析エンジンを提供する際の負担を軽減できるという効果を奏する。

本実施形態に係るログ分析システムの模式図である。 本実施形態に係るログ分析システムによるログ分析方法全体の模式図である。 本実施形態に係るログ分析装置のブロック図である。 本実施形態に係るログ分析サーバのブロック図である。 本実施形態に係るログ分析システムによる分析エンジン登録処理の模式図である。 本実施形態に係るログ分析システムによる分析実行処理の模式図である。 本実施形態に係るログ分析方法全体のフローチャートを示す図である。 本実施形態に係る分析エンジン登録処理のフローチャートを示す図である。 本実施形態に係る開発情報出力処理のフローチャートを示す図である。 本実施形態に係る分析実行処理のフローチャートを示す図である。

［ログ分析システムＳの概要］
図１は、本実施形態に係るログ分析システムＳの模式図である。ログ分析システムＳは、ログ分析装置１と、ログ分析サーバ２と、ログ取得端末３と、結果利用端末４と、を含む。ログ分析装置１、ログ分析サーバ２、ログ取得端末３及び結果利用端末４は、ローカルエリアネットワーク、インターネット等の任意のネットワークＮを介して接続される。ログ分析システムＳは、その他のサーバ、端末等の機器を含んでもよい。

ログ分析装置１は、ログ取得端末３及び結果利用端末４が実行するアプリケーション（サービスを含む）による分析エンジンの利用を制御する装置である。ログ分析サーバ２は、分析エンジンのプログラムを記憶し、該プログラムを実行することによって該分析エンジンを機能させるサーバである。

ログ分析装置１及びログ分析サーバ２は、それぞれ有線通信又は無線通信によってネットワークＮに接続されており、単一のコンピュータ、又はコンピュータ資源の集合であるクラウドによって構成される。ログ分析装置１及びログ分析サーバ２は、１つの装置として一体的に構成されてもよい。

ログ取得端末３は、ログを取得してログ分析装置１に送信する装置である。ログ取得端末３として、スマートフォンのような携帯端末、センサやカメラのようなＩｏＴデバイス等を用いることができる。結果利用端末４は、分析エンジンによる分析結果を受信して所定の処理を行う装置である。結果利用端末４として、スマートフォンのような携帯端末、パーソナルコンピュータ等を用いることができる。

ログ取得端末３及び結果利用端末４は、それぞれ有線通信又は無線通信によってネットワークＮを介してログ分析装置１と通信可能に構成される。ログ取得端末３及び結果利用端末４は、１つの装置として一体的に構成されてもよい。図１においてそれぞれログ取得端末３及び結果利用端末４を１つずつ設けられているが、それぞれ複数設けられてもよい。

［ログ分析方法全体の説明］
図２は、本実施形態に係るログ分析システムＳによるログ分析方法全体の模式図である。図２において、「アプリ」はアプリケーションを指す。まず、分析エンジンを提供するユーザである分析者Ｕ１は、分析エンジンをログ分析装置１に登録する（ａ）。このとき、ログ分析装置１は、分析エンジンをログ分析サーバ２に記憶し、分析エンジンを実行可能な状態にする。

また、分析者Ｕ１は、分析エンジンに関連付けて、該分析エンジンを利用するためのＳＤＫ（ソフトウェア開発キット）及びＡＰＩをログ分析装置１に登録する。ＳＤＫは分析エンジンの機能を利用するためのプログラムを含み、該プログラムをアプリケーションに組み込むことによって分析エンジンへのアクセスを可能にする。ＡＰＩは、分析エンジンの機能を利用するためのプログラミングインターフェースを含み、該インターフェースに従ってアプリケーションの入出力を設定することによって分析エンジンへのアクセスを可能にする。分析者Ｕ１は、分析エンジンごとに、ＳＤＫ及びＡＰＩの一方又は両方を登録する。

次に、アプリケーションを開発するユーザである開発者Ｕ２は、該アプリケーションで利用したい分析エンジンを選択する（ｂ）。ログ分析装置１は、開発者Ｕ２へ、選択された分析エンジンを利用するためのアクセス情報、ＳＤＫ及びＡＰＩを出力する（ｃ）。

開発者Ｕ２は、ログ分析装置１から取得したアクセス情報、ＳＤＫ及びＡＰＩを用いて、アプリケーションを開発する（ｄ）。そして開発者Ｕ２は、アプリケーションを利用するユーザである利用者Ｕ３へ、開発したアプリケーションを公開する（ｅ）。アプリケーションは、ログ分析装置１を介する必要はなく、一般的なソフトウェア配布システムを用いて公開される。

利用者Ｕ３は、公開されたアプリケーションをログ取得端末３又は結果利用端末４に導入（すなわちインストール）する。ログ取得端末３又は結果利用端末４に導入されたアプリケーションの制御に応じて、ログ取得端末３はログ分析装置１にログを送信する（ｆ）。ログ取得端末３は、ログ取得端末３自身に導入されたアプリケーションによって制御されてもよく、あるいは結果利用端末４に導入されたアプリケーションによってネットワークＮを介して制御されてもよい。

ログ分析装置１は、受信したログをログ分析サーバ２に渡して分析エンジンを用いた分析を行わせる。そしてログ分析装置１は、分析エンジンによる分析の結果を結果利用端末４に提供する（ｇ）。

このように、本実施形態に係るログ分析装置１は、分析エンジンの提供と、分析エンジンを利用するアプリケーションの開発とを緩やかに結びつける（すなわち疎結合させる）。そのため、分析エンジンの提供者はログ収集及び結果利用のためのアプリケーションを開発する必要がなく、アプリケーションの開発者は新たに分析エンジンを開発する必要がない。したがって、分析エンジンの提供者とアプリケーションの開発者との双方の負担を軽減することができる。

［ログ分析装置１の構成］
図３は、本実施形態に係るログ分析装置１のブロック図である。図３において、矢印は主なデータの流れを示しており、図３に示したもの以外のデータの流れがあってよい。図３において、各ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図３に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受は、データバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてよい。

ログ分析装置１は、制御部１１と、通信部１２と、記憶部１３とを有する。制御部１１は、分析エンジン登録部１１１と、選択受付部１１２と、開発情報出力部１１３と、アクセス制御部１１４と、ログ取得部１１５と、タイミング制御部１１６と、分析制御部１１７と、結果提供部１１８と、分析エンジン複製部１１９と、を有する。

通信部１２は、ネットワークＮを介してログ分析サーバ２、ログ取得端末３及び結果利用端末４との間で通信をするための通信インターフェースである。通信部１２は、ログ分析サーバ２、ログ取得端末３及び結果利用端末４から受信した通信信号に所定の処理を行ってデータを取得し、取得したデータを制御部１１に入力する。また、通信部１２は、制御部１１から入力されたデータに所定の処理を行って通信信号を生成し、生成した通信信号をログ分析サーバ２、ログ取得端末３及び結果利用端末４に送信する。

記憶部１３は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスクドライブ等を含む記憶媒体である。記憶部１３は、制御部１１が実行するプログラムを予め記憶している。

制御部１１は、例えばＣＰＵ（Central Processing Unit）等のプロセッサであり、記憶部１３に記憶されたプログラムを実行することにより、分析エンジン登録部１１１、選択受付部１１２、開発情報出力部１１３、アクセス制御部１１４、ログ取得部１１５、タイミング制御部１１６、分析制御部１１７、結果提供部１１８及び分析エンジン複製部１１９として機能する。制御部１１の機能の少なくとも一部は、電気回路によって実行されてもよい。また、制御部１１の機能の少なくとも一部は、ネットワーク経由で実行されるプログラムによって実行されてもよい。

本実施形態に係るログ分析装置１は、図３に示す具体的な構成に限定されない。ログ分析装置１は、１つの装置に限られず、２つ以上の物理的に分離した装置が有線又は無線で接続されることにより構成されてもよい。

［開発情報出力処理に係る構成］
選択受付部１１２は、ログ分析サーバ２に登録済の分析エンジンのうち、アプリケーションで利用したい分析エンジンの選択を開発者Ｕ２から受け付ける。開発者Ｕ２による分析エンジンの選択は、例えばネットワークＮを介したＷｅｂページにおいて行われる。

開発情報出力部１１３は、選択された分析エンジンを利用するためにアプリケーションに組み込むべきアクセス情報を、開発者Ｕ２へ出力する。アクセス情報は、例えば開発者Ｕ２を識別する識別子である開発者ＩＤ、アプリケーションを識別する識別子であるアプリケーションＩＤ、及びアプリケーションを認証するアクセストークンを含む。アクセス情報として、開発者ＩＤ、アプリケーションＩＤ及びアクセストークンの一部のみが用いられてもよい。開発情報出力部１１３は、出力したアクセス情報を記憶部１３に記憶して管理する。

さらに開発情報出力部１１３は、選択された分析エンジンを利用するためのＳＤＫ及びＡＰＩを記憶部１３から読み出し、開発者Ｕ２へ出力する。開発者Ｕ２は、出力されたアクセス情報、ＳＤＫ及びＡＰＩを組み込んでアプリケーションを作成し、利用者Ｕ３へ公開する。

開発情報出力部１１３は、出力対象のアクセス情報、ＳＤＫ及びＡＰＩを、開発者Ｕ２のコンピュータ端末の表示部に表示させてもよく、あるいは開発者Ｕ２に提供される記憶媒体に記憶してもよい。

［分析実行処理に係る構成］
アクセス制御部１１４は、ログ取得端末３又は結果利用端末４に導入されたアプリケーションからのアクセスを受けると、アプリケーションに組み込まれたアクセス情報を取得する。そしてアクセス制御部１１４は、アプリケーションから取得したアクセス情報を記憶部１３に記憶されたアクセス情報と比較し、合致する場合にアクセスを許可し、合致しない場合（あるいはアプリケーションにアクセス情報が組み込まれていない場合）にアクセスを拒否する。

さらにアクセス制御部１１４は、アプリケーションから取得したアクセス情報にユーザＩＤが含まれていない場合に該アプリケーションから初回のアクセスを受けたことを判定し、そうでない場合に該アプリケーションから２回目以降のアクセスを受けたことを判定する。アクセス制御部１１４は、初回のアクセスの場合に、アクセス元のログ取得端末３又は結果利用端末４に対して、ユーザを識別する識別子であるユーザＩＤを生成して付与する。

ログ取得端末３又は結果利用端末４に導入されたアプリケーションは、２回目以降のアクセスでは、ユーザＩＤを加えたアクセス情報をログ分析装置１に送信する。ログ分析装置１は、アクセス情報に関連付けてログの収集及び分析を行う。

ログ取得部１１５は、ログ取得端末３又は結果利用端末４に導入されたアプリケーションからログを取得する。ログ取得部１１５は、ログ取得端末３に導入されたアプリケーションがログ取得端末３自身から収集したログを取得してもよく、あるいは結果利用端末４に導入されたアプリケーションがログ取得端末３から収集したログを取得してもよい。

ログ取得部１１５は、能動取得部１１５ａと受動取得部１１５ｂとを有する。ログ取得部１１５は、アプリケーションに設定されたログ取得方法に従って、能動取得部１１５ａ及び受動取得部１１５ｂの少なくとも一方によって、ログを取得する。

能動取得部１１５ａは、ログ取得端末３又はユーザに関連付けられたサービスから、能動的にログを取得する。ユーザに関連付けられたサービス（例えばソーシャルネットワーキングサービス）からログを取得するために、例えばユーザはログ分析装置１に予め該サービスへのアクセス情報（アカウントやアクセストークン等）を登録しておく。そして能動取得部１１５ａは、登録されたアクセス情報を用いて、該サービスからログを取得する。

受動取得部１１５ｂは、アプリケーションに対してログ送信のためのＡＰＩを提供し、アプリケーションから該ＡＰＩを利用して送信されたログを受動的に受け取る。能動取得部１１５ａ及び受動取得部１１５ｂは、定期的にログを取得してもよく、指定した期間のログをまとめて取得してもよい。

ログ取得部１１５は、取得したログを、アクセス情報及び取得時間に関連付けて、記憶部１３に記憶する。記憶するログの形式としては、例えばＪＳＯＮ（JavaScript［登録商標］ Object Notation）フォーマットを用いることができる。ログの形式は、分析者Ｕ１又は開発者Ｕ２によって登録されてもよく、予め定義されてもよい。

タイミング制御部１１６は、分析エンジンごとに登録された分析タイミングを記憶部１３から読み出す。分析タイミングとして、例えば新たなログが出力されたタイミング（すなわちリアルタイム処理）、又は所定の時間のタイミング（すなわちバッチ処理）を用いることができる。タイミング制御部１１６は、分析エンジンの実行条件が満たされた場合（リアルタイム処理であれば新たなログが取得された場合、バッチ処理であれば所定の時間になった場合）に、分析制御部１１７を起動して分析を実行させる。

分析制御部１１７は、実行条件を満たした分析エンジンに分析対象のログを渡し、分析を実行させる。分析エンジンによる分析実行処理の詳細については、図６を用いて後述する。そして分析制御部１１７は、分析エンジンによる分析の結果を受け取り、分析エンジンを示す情報と、分析対象のログと、分析の結果とを関連付けて記憶部１３に記憶する。

分析制御部１１７は、リアルタイム処理の場合に、アクセス情報に関連付けられた新たなログ全てを分析対象とする。分析制御部１１７は、バッチ処理の場合に、アクセス情報に関連付けられたログのうち、所定の時間範囲（例えば前日中）のログを記憶部１３から読み出して分析対象とする。また、分析制御部１１７は、分析対象のログのうち予め設定された一部の項目を選択的に分析エンジンに渡してもよい。

さらに分析制御部１１７は、ある分析エンジンによる分析の結果を、登録された分析エンジンのうちいずれかに渡してさらに分析を実行させてもよい。これにより、分析エンジン同士を組み合わせて（すなわちマッシュアップして）、分析を実行することができる。

結果提供部１１８は、能動提供部１１８ａと受動提供部１１８ｂとを有する。結果提供部１１８は、分析エンジンごとに登録されたログ分析装置１から結果利用端末４への結果提供方法を記憶部１３から読み出す。ログ分析装置１から結果利用端末４への結果提供方法は、結果の転送方式、及び結果の形式を含む。結果の転送方式として、例えばログ分析装置１から結果利用端末４へ能動的に結果を提供するプッシュ方式、又はログ分析装置１が結果利用端末４からの要求に応じて受動的に結果を提供するプル方式を用いることができる。結果の形式としては、例えばＪＳＯＮフォーマットを用いることができる。結果の形式は、分析者Ｕ１又は開発者Ｕ２によって登録されてもよく、予め定義されてもよい。

結果提供部１１８は、読み出した結果提供方法に従って、能動提供部１１８ａ及び受動提供部１１８ｂの少なくとも一方によって、結果利用端末４に分析の結果を提供する。結果提供方法がプッシュ方式である場合に、能動提供部１１８ａは、新たに分析エンジンによる分析の結果が出力された際に、該分析の結果を結果利用端末４に送信（プッシュ通知）する。結果提供方法がプル方式である場合に、受動提供部１１８ｂは、結果利用端末４からアクセス情報（開発者ＩＤ、アプリケーションＩＤ、ユーザＩＤ及びアクセストークン）を含む要求を受けた際に、該アクセス情報に関連付けられた最新の分析の結果を記憶部１３から読み出して結果利用端末４に送信する。

［ログ分析サーバ２の構成］
図４は、本実施形態に係るログ分析サーバ２のブロック図である。図４において、矢印は主なデータの流れを示しており、図４に示したもの以外のデータの流れがあってよい。図４において、各ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図４に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受は、データバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてよい。

ログ分析サーバ２は、分析エンジン２１と、通信部２２と、を有する。通信部２２は、ネットワークＮを介してログ分析装置１との間で通信をするための通信インターフェースである。通信部２２は、ログ分析装置１から受信した通信信号に所定の処理を行ってデータを取得し、取得したデータを分析エンジン２１に入力する。また、通信部２２は、分析エンジン２１から入力されたデータに所定の処理を行って通信信号を生成し、生成した通信信号をログ分析装置１に送信する。

分析エンジン２１は、１組の分析インターフェース２１１、ログ記憶領域２１２、分析プログラム記憶領域２１３及び結果記憶領域２１４を有する。分析インターフェース２１１、ログ記憶領域２１２、分析プログラム記憶領域２１３及び結果記憶領域２１４の組からなる分析エンジン２１は、複製可能に構成される。

そのため、分析インターフェース２１１、ログ記憶領域２１２、分析プログラム記憶領域２１３及び結果記憶領域２１４の組をログ分析サーバ２中で複製することによって、ログ分析サーバ２中に複数の分析エンジン２１を生成できる。複製された分析エンジン２１の分析プログラム記憶領域２１３に分析プログラムを記憶させ、その分析プログラムに適合させるように分析インターフェース２１１を設定することによって、分析エンジン２１は実行可能になる。また、ログ分析サーバ２を複数構築することによって、複数の分析エンジン２１を生成してもよい。

ログ記憶領域２１２、分析プログラム記憶領域２１３及び結果記憶領域２１４は、ＲＯＭ、ＲＡＭ、ハードディスクドライブ等を含む記憶媒体内の記憶領域である。ログ記憶領域２１２は分析対象のログを記憶し、分析プログラム記憶領域２１３は分析プログラムを記憶し、結果記憶領域２１４は分析の結果を記憶する。ログ記憶領域２１２、分析プログラム記憶領域２１３及び結果記憶領域２１４は、１つの記憶媒体内の記憶領域でもよく、複数の記憶媒体にまたがった記憶領域でもよい。ログ記憶領域２１２、分析プログラム記憶領域２１３及び結果記憶領域２１４は、それぞれ記憶媒体内のデータの位置を指定するパス、アドレス等の位置指定情報によって特定される。

分析インターフェース２１１は、ログ記憶領域２１２に記憶されるログの読み書きと、分析プログラム記憶領域２１３に記憶される分析プログラムの実行と、結果記憶領域２１４に記憶される結果の読み書きとを制御するインターフェース部である。分析インターフェース２１１は、例えばＣＰＵ等のプロセッサが、ログ分析サーバ２の記憶部（不図示）に記憶されたプログラムを実行することによって動作する。分析インターフェース２１１の機能の少なくとも一部は、電気回路によって実行されてもよい。また、分析インターフェース２１１の機能の少なくとも一部は、ネットワーク経由で実行されるプログラムによって実行されてもよい。

本実施形態に係るログ分析サーバ２は、図４に示す具体的な構成に限定されない。ログ分析サーバ２は、１つの装置に限られず、２つ以上の物理的に分離した装置が有線又は無線で接続されることにより構成されてもよい。

［分析エンジン登録処理の説明］
図５は、本実施形態に係るログ分析システムＳによる分析エンジン登録処理の模式図である。分析エンジン登録部１１１は、分析者Ｕ１から分析エンジン２１のプログラム（すなわち分析プログラム）及び分析エンジン２１に係る情報（パラメータ）の登録を受け付ける。分析エンジン２１に係る情報は、分析エンジンを利用するためのＳＤＫ及びＡＰＩと、分析を実行するタイミングと、ログ分析装置１から結果利用端末４へ分析の結果を提供する方法と、ログ分析サーバ２からログ分析装置１へ分析の結果を提供する方法と、ログ及び結果の保存方法と、を含む。

具体的には、分析エンジン登録部１１１は、分析者Ｕ１から分析エンジン２１を利用するためのＳＤＫ及びＡＰＩを受け付け、分析エンジン２１に関連付けてログ分析装置１の記憶部１３に登録する。ログ取得端末３において該ＳＤＫ及びＡＰＩが組み込まれたアプリケーションが実行されると、ログ取得端末３から所定の形式でログが出力される。また結果利用端末４において該ＳＤＫ及びＡＰＩが組み込まれたアプリケーションが実行されると、ログ分析装置１から結果利用端末４へ所定の形式の分析結果が提供される。ログ及び分析結果の形式としては、例えばＪＳＯＮフォーマットを用いることができる。

また、分析エンジン登録部１１１は、分析者Ｕ１から分析エンジン２１による分析を実行するタイミングを受け付け、分析エンジン２１に関連付けてログ分析装置１の記憶部１３に登録する。上述のタイミング制御部１１６は、登録された分析タイミングに従って分析の実行を制御する。分析タイミングとして、上述のリアルタイム処理又はバッチ処理を用いることができる。

また、分析エンジン登録部１１１は、分析エンジン２１による分析の結果をログ分析装置１から結果利用端末４へ提供する方法を分析者Ｕ１から受け付け、分析エンジン２１に関連付けてログ分析装置１の記憶部１３に登録する。上述の結果提供部１１８は、登録された結果提供方法に従って結果利用端末４へ分析の結果を提供する。

分析エンジン複製部１１９は、分析エンジン登録部１１１が受け付けた分析エンジン２１に係る情報に基づいて、ログ分析サーバ２において分析エンジン２１を複製し、複製した分析エンジン２１の分析インターフェース２１１を分析エンジン登録部１１１が受け付けた分析プログラムに適合するように設定する。そして分析エンジン複製部１１９は、そのプログラムを、分析エンジン２１に登録する。

分析インターフェース２１１が分析プログラムに適合することとは、分析インターフェース２１１が、分析エンジン登録部１１１が受け付けた分析タイミングと、ログ分析サーバ２からログ分析装置１への結果提供方法と、ログ及び結果の保存方法とに対応するように設定されていることをいう。

具体的には、分析エンジン複製部１１９は、既に稼働中の分析エンジン２１−１を複製することによって新たな分析エンジン２１−２を複製する。この場合には、分析エンジン複製部１１９は、新たな分析エンジン２１−２において、分析エンジン登録部１１１が受け付けた分析タイミングと、結果提供方法と、ログ及び結果の保存方法とに従って、分析インターフェース２１１を設定することによって、分析インターフェース２１１を分析プログラムに適合させる。

また、分析エンジン複製部１１９は、予め定義された分析エンジン２１のテンプレートを複製することによって新たな分析エンジン２１−２を複製してもよい。この場合には、様々な分析タイミングと、結果提供方法と、ログ及び結果の保存方法とに対応するように分析インターフェース２１１が設定された、複数の分析エンジン２１のテンプレートが予め定義される。

分析エンジン複製部１１９は、予め定義された複数の分析エンジン２１のテンプレートのうち、分析エンジン登録部１１１が受け付けた分析タイミングと、結果提供方法と、ログ及び結果の保存方法とに対応するテンプレートを選択する。そして分析エンジン複製部１１９は、選択したテンプレートを複製することによって、分析プログラムに適合した新たな分析エンジン２１−２を生成する。

分析タイミングは、新たなログが出力されたタイミング（すなわちリアルタイム処理）、又は所定の時間のタイミング（すなわちバッチ処理）である。また、所定の条件が満たされた場合、具体的には特定の内容のログ（例えば異常ログ）が入力された場合に、分析を実行することを分析タイミングとしてもよい。

結果提供方法は、ログ分析サーバ２からログ分析装置１へ能動的に結果を提供するプッシュ方式、又はログ分析サーバ２がログ分析装置１からの要求に応じて受動的に結果を提供するプル方式である。また、所定の条件が満たされた場合、具体的には特定の内容のログ（例えば異常ログ）が入力された場合に、ログ分析サーバ２からログ分析装置１へ能動的に結果を提供することを結果提供方法としてもよい。

ログ及び結果の保存方法は、ログ及び結果の位置指定情報と、ログ及び結果の形式とを含む。ログ及び結果の位置指定情報は、記憶媒体内のデータの位置を指定するパス、アドレス等である。ログ及び結果の形式は、ＪＳＯＮフォーマットや、テキストファイル、バイナリファイル等の分析プログラムが読み込み可能な任意の形式である。分析インターフェース２１１は、これらの設定に従って、図６を用いて後述する分析制御方法を実行する。

そして分析エンジン複製部１１９は、分析エンジン登録部１１１が受け付けた分析プログラムを、新たな分析エンジン２１−２の分析プログラム記憶領域２１３に記憶させる。

図５では、１つのログ分析サーバ２内で分析エンジン２１を複製しているが、分析エンジン２１を含むログ分析サーバ２（ＣＰＵによって実行される仮想サーバ）を複製することによって分析エンジン２１を複製してもよい。

分析エンジン複製部１１９が行う機能の少なくとも一部を、ログ分析システムＳの管理者が行ってもよい。具体的には、管理者は、分析エンジン２１に係る情報に基づいて、分析エンジン２１（又は分析エンジン２１を含むログ分析サーバ２）を複製し、複製された分析エンジン２１の分析インターフェース２１１を分析プログラムに適合させるように設定してもよい。この場合に、分析エンジン２１に係る情報をログ分析装置１又はログ分析サーバ２のコンソール（すなわち表示装置及び入力装置）から指定可能に構成することが望ましい。

［分析実行処理の説明］
図６は、本実施形態に係るログ分析システムＳによる分析実行処理の模式図である。まず、ログ分析装置１の分析制御部１１７は、ログ分析サーバ２の分析エンジン２１に分析対象のログを渡す。分析インターフェース２１１は、ログ分析装置１（すなわち分析エンジン２１の外部）から受け取ったログを、設定されたログの保存方法（位置指定情報及び形式）に従って、ログ記憶領域２１２に記憶させる（ｉ）。

次に分析インターフェース２１１は、設定された分析タイミング（バッチ処理又はリアルタイム処理）に従って、分析プログラム記憶領域２１３に記憶された分析プログラムを実行する（ｉｉ）。分析プログラムは、ログ記憶領域２１２に記憶されたログを読み出し、所定の分析を行い、分析の結果を結果記憶領域２１４に記憶させる。

分析インターフェース２１１は、設定された結果の保存方法（位置指定情報及び形式）に従って、結果記憶領域２１４を監視する（ｉｉｉ）。そして、分析インターフェース２１１は、分析プログラムによる分析の結果が結果記憶領域２１４に記憶されたことを発見すると、結果記憶領域２１４から分析の結果を読み出して取得する（ｉｖ）。

そして分析インターフェース２１１は、設定された結果提供方法（プッシュ方式又はプル方式）に従って、ログ分析装置１の分析制御部１１７（すなわち分析エンジン２１の外部）に分析の結果を渡す。

このように、本実施形態に係るログ分析サーバ２は、分析インターフェース２１１を分析プログラムに適合させることができる。そのため、分析者Ｕ１は新たな分析エンジン２１を提供する際に、分析エンジン２１中の分析プログラム（分析を実行するプログラム）の部分のみを書き換えれば（差し替えれば）よく、分析対象のログ及び分析結果をログ分析装置１と授受するための機能を実装する必要がない。これにより、分析者Ｕ１の手間を削減することができ、分析エンジン２１の登録を容易にすることができる。

さらにログ分析サーバ２は、分析エンジン２１を複製することによって新たな分析プログラムの登録を受け入れることができるため、ログ分析システムＳの管理者が新たな分析プログラムに応じた受け皿を作り込む必要がなく、分析エンジン２１に係る情報（パラメータ）を指定するだけで新たな分析プログラムの登録を受けることができる。

［ログ分析方法全体のフローチャート］
図７は、本実施形態にログ分析システムＳが実行するログ分析方法全体のフローチャートを示す図である。図７のフローチャートは、例えばログ分析装置１及びログ分析サーバ２が起動されることによって開始される。まずログ分析装置１は、分析者Ｕ１による分析エンジン２１の登録を受け付ける分析エンジン登録処理を行う（Ｓ１）。

次にログ分析装置１は、アプリケーションの開発に必要な開発情報を開発者Ｕ２へ出力する開発情報出力処理を行う（Ｓ２）。そしてログ分析装置１は、分析エンジン２１による分析を実行して分析結果を利用者Ｕ３へ提供する分析実行処理を行う（Ｓ３）。以下では図８〜１０を用いて、分析エンジン登録処理、開発情報出力処理及び分析実行処理を詳細に説明する。

［分析エンジン登録処理のフローチャート］
図８は、本実施形態に係るログ分析システムＳが実行する分析エンジン登録処理のフローチャートを示す図である。まず分析エンジン登録部１１１は、分析者Ｕ１から分析エンジン２１のプログラム（分析プログラム）を受け付ける（Ｓ１１）。また、分析エンジン登録部１１１は、分析者Ｕ１から分析エンジン２１に係る情報（パラメータ）を受け付ける（Ｓ１２）。

分析エンジン登録部１１１は、ステップＳ１２で分析エンジン登録部１１１が受け付けた分析エンジン２１に係る情報から、分析エンジン２１を利用するためのＳＤＫ及びＡＰＩを取得し、分析エンジン２１に関連付けて記憶部１３に登録する（Ｓ１３）。分析エンジン登録部１１１は、ステップＳ１２で分析エンジン登録部１１１が受け付けた分析エンジン２１に係る情報から、分析エンジン２１による分析を実行するタイミングを取得し、分析エンジン２１に関連付けて記憶部１３に登録する（Ｓ１４）。

分析エンジン登録部１１１は、ステップＳ１２で分析エンジン登録部１１１が受け付けた分析エンジン２１に係る情報から、分析エンジン２１による分析の結果を提供する方法を取得し、分析エンジン２１に関連付けて記憶部１３に登録する（Ｓ１５）。ステップＳ１３〜Ｓ１５の順序は変更されてもよく、ステップＳ１３〜Ｓ１５の少なくとも一部は並列で行われてもよい。

分析エンジン複製部１１９は、ログ分析サーバ２において分析エンジン２１を複製する（Ｓ１６）。分析エンジン複製部１１９は、ステップＳ１６で複製した分析エンジン２１の分析インターフェース２１１を、ステップＳ１２で分析エンジン登録部１１１が受け付けた分析エンジン２１に係る情報に基づいて、ステップＳ１１で分析エンジン登録部１１１が受け付けた分析プログラムに適合するように設定する（Ｓ１７）。

そして分析エンジン複製部１１９は、ステップＳ１１で分析エンジン登録部１１１が受け付けた分析プログラムを、ステップＳ１６で複製された新たな分析エンジン２１に登録する（Ｓ１８）。ステップＳ１１〜Ｓ１８が終了した後、ログ分析装置１は図７のフローチャートに戻る。

［開発情報出力処理のフローチャート］
図９は、本実施形態に係るログ分析システムＳが実行する開発情報出力処理のフローチャートを示す図である。まず選択受付部１１２は、分析エンジン登録処理で登録された分析エンジン２１のうち、アプリケーションで利用したい分析エンジン２１の選択を開発者Ｕ２から受け付ける（Ｓ２１）。

開発情報出力部１１３は、ステップＳ２１で選択された分析エンジン２１を利用するためにアプリケーションに組み込むべきアクセス情報を、開発者Ｕ２へ出力する（Ｓ２２）。アクセス情報は、上述のように開発者ＩＤ、アプリケーションＩＤ、及びアクセストークンを含む。また、開発情報出力部１１３は、ステップＳ２１で選択された分析エンジン２１を利用するためのＳＤＫ及びＡＰＩを記憶部１３から読み出し、開発者Ｕ２へ出力する（Ｓ２３）。開発者Ｕ２は、ステップＳ２２〜Ｓ２３で出力されたアクセス情報、ＳＤＫ及びＡＰＩを組み込んでアプリケーションを作成し、利用者Ｕ３へ公開する。

ステップＳ２１〜Ｓ２３が終了した後、ログ分析装置１は図７のフローチャートに戻る。ステップＳ２２〜Ｓ２３の順序は変更されてもよく、ステップＳ２２〜Ｓ２３は並列で行われてもよい。

［分析実行処理のフローチャート］
図１０は、本実施形態に係るログ分析システムＳが実行する分析実行処理のフローチャートを示す図である。図１０のフローチャートは一例であり、分析エンジン２１及びアプリケーションの実装（ログ取得方法、分析タイミング及び結果提供方法）によって、ステップの実行順序及び実行条件は適宜変更される。

まずアクセス制御部１１４は、ログ取得端末３又は結果利用端末４に導入されたアプリケーションからのアクセスを受け付け、該アプリケーションに組み込まれたアクセス情報を取得する（Ｓ３１）。

アクセス制御部１１４は、ステップＳ３１で取得したアクセス情報と記憶部１３に記憶されたアクセス情報とが合致しない場合に（Ｓ３２のＮＯ）、ステップＳ３１のアプリケーションからのアクセスを拒否して（Ｓ３３）、ステップＳ４０に進む。アクセス制御部１１４は、ステップＳ３１で取得したアクセス情報と記憶部１３に記憶されたアクセス情報とが合致する場合に（Ｓ３２のＹＥＳ）、ステップＳ３１のアプリケーションからのアクセスを許可してステップＳ３４に進む。

アクセス制御部１１４は、ステップＳ３１のアプリケーションから取得したアクセス情報にユーザＩＤが含まれていない場合に該アプリケーションから初回のアクセスを受けたことを判定し、そうでない場合に該アプリケーションから２回目以降のアクセスを受けたことを判定する。初回のアクセスである場合に（Ｓ３４のＹＥＳ）、アクセス制御部１１４は、アクセス元のログ取得端末３又は結果利用端末４に対してユーザを識別するユーザＩＤを生成して出力する（Ｓ３５）。２回目以降のアクセスの場合には（Ｓ３４のＮＯ）、ユーザＩＤの生成を行わずにステップＳ３６に進む。

ログ取得部１１５は、ログ取得端末３に導入されたアプリケーションからログを取得する（Ｓ３６）。ログ取得部１１５は、取得したログを、アクセス情報及び取得時間に関連付けて、記憶部１３に記憶する。

タイミング制御部１１６は、分析エンジン２１ごとに登録された分析タイミングを記憶部１３から読み出す。分析エンジン２１の実行条件が満たされた場合に（リアルタイム処理であれば新たなログが取得された場合、バッチ処理であれば所定の時間になった場合）（Ｓ３７のＹＥＳ）、タイミング制御部１１６はステップＳ３８に進んで分析制御部１１７に分析を実行させる。分析エンジン２１の実行条件が満たされていない場合に（Ｓ３７のＮＯ）、ログ分析装置１はステップＳ３１に戻って処理を繰り返す。

分析制御部１１７は、ステップＳ３７で実行条件が満たされた分析エンジン２１に分析対象のログを渡し、分析を実行させる（Ｓ３８）。分析エンジン２１の分析インターフェース２１１は、分析エンジン登録処理（Ｓ１）において分析エンジン２１に係る情報に基づいて行われた設定に従って、ログ記憶領域２１２に分析対象のログを記憶させ、分析プログラム記憶領域２１３に記憶された分析プログラムを実行し、結果記憶領域２１４に記憶された結果を分析制御部１１７に返却する。そして分析制御部１１７は、分析エンジン２１による分析の結果を受け取り、記憶部１３に記憶する。

結果提供部１１８は、ステップＳ３７で実行条件が満たされた分析エンジン２１に対して登録された結果提供方法に従って、結果利用端末４にその分析エンジン２１による分析の結果を提供する（Ｓ３９）。

所定の終了条件（例えばログ分析装置１の終了操作が行われること）が満たされない場合に（Ｓ４０のＮＯ）、ログ分析装置１はステップＳ３１に戻って処理を繰り返す。所定の終了条件が満たされる場合に（Ｓ４０のＹＥＳ）、ログ分析装置１は図７のフローチャートに戻る。

［本実施形態の効果］
本実施形態に係るログ分析装置１は、登録された分析エンジン２１に対応するアクセス情報（開発者ＩＤ、アプリケーションＩＤ、ユーザＩＤ及びアクセストークン）を出力し、アプリケーションに組み込まれたアクセス情報に従ってログの収集、分析の実行及び分析結果の提供を行う。このような構成によって、分析エンジン２１の提供と、分析エンジン２１を利用するアプリケーションの開発とを緩やかに結びつけることができる。そのため、分析エンジン２１を提供する分析者Ｕ１はログ収集及び結果利用のためのアプリケーションを開発する必要がなく、アプリケーションの開発者Ｕ２は新たに分析エンジン２１を開発する必要がない。したがって、分析者Ｕ１と開発者Ｕ２との双方の負担を軽減することができる。

本実施形態に係るログ分析サーバ２は、分析エンジン２１の分析インターフェース２１１を分析プログラムに適合させることができる。そのため分析者Ｕ１は、新たな分析エンジン２１を提供する際に、分析エンジン２１中の分析プログラムの部分のみを書き換えればよく、分析対象のログ及び分析結果をログ分析装置１と授受するための機能を実装する必要がない。これにより、分析者Ｕ１の手間を大幅に削減することができ、分析エンジン２１の登録を容易にすることができる。

さらにログ分析サーバ２は、分析エンジン２１を複製することによって新たな分析プログラムの登録を受け入れることができるため、ログ分析システムＳの管理者が新たな分析プログラムに応じた受け皿を作り込む必要がなく、分析エンジン２１に係る情報（パラメータ）を指定するだけで新たな分析プログラムの登録を受けることができる。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されず、その要旨の範囲内で種々の変形及び変更が可能である。例えば、装置の分散・統合の具体的な実施の形態は、以上の実施の形態に限られず、その全部又は一部について、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、複数の実施の形態の任意の組み合わせによって生じる新たな実施の形態も、本発明の実施の形態に含まれる。組み合わせによって生じる新たな実施の形態の効果は、もとの実施の形態の効果を合わせ持つ。

ログ分析装置１及びログ分析サーバ２のプロセッサは、図７〜１０に示すログ分析方法に含まれる各ステップ（工程）の主体となる。すなわち、ログ分析装置１及びログ分析サーバ２のプロセッサは、図７〜１０に示すログ分析方法を実行するためのログ分析プログラムを記憶部から読み出し、該ログ分析プログラムを実行してログ分析装置１及びログ分析サーバ２の各部を制御することによって、図７〜１０に示すログ分析方法を実行する。

Ｓ ログ分析システム
１ ログ分析装置
１１ 制御部
１１１ 分析エンジン登録部
１１７ 分析制御部
１１９ 分析エンジン複製部
２ ログ分析サーバ
２１ 分析エンジン
２１１ 分析インターフェース
２１２ ログ記憶領域
２１３ 分析プログラム記憶領域
２１４ 結果記憶領域

Claims (10)

1. 分析エンジンであって、
   分析対象のログを記憶するログ記憶領域と、
   前記ログの分析を行う分析プログラムを記憶する分析プログラム記憶領域と、
   前記分析の結果を記憶する結果記憶領域と、
   前記ログ記憶領域及び前記結果記憶領域の位置を示す位置指定情報の設定を受け付け、設定された前記位置指定情報に従って前記ログを前記ログ記憶領域に記憶させ、前記分析プログラム記憶領域に記憶された前記分析プログラムを実行させ、設定された前記位置指定情報に従って前記結果記憶領域から取得した前記結果を提供するインターフェース部と、
   を含む分析エンジンと、
   前記分析エンジンを複製し、複製された前記分析エンジンの前記分析プログラム記憶領域に前記分析プログラムを記憶させることによって、複製された前記分析エンジンを実行可能にする分析エンジン複製部と、
   を有する、ログ分析システム。
2. 前記分析エンジン複製部は、複製された前記分析エンジンの前記インターフェース部に対して、前記ログ記憶領域及び前記結果記憶領域の位置を示す前記位置指定情報を設定するとともに、複製された前記分析エンジンの前記分析プログラム記憶領域に前記分析プログラムを記憶させることによって、複製された前記分析エンジンを実行可能にする、請求項１に記載のログ分析システム。
3. 前記ログ分析システムは、前記分析エンジンの複数のテンプレートを予め記憶し、
   前記分析エンジン複製部は、前記複数のテンプレートから選択された１つのテンプレートを複製することによって、当該テンプレートに対応する前記分析エンジンを複製する、請求項１又は２に記載のログ分析システム。
4. 前記インターフェース部は、記憶媒体における前記ログ記憶領域及び前記結果記憶領域のパス又はアドレスを示す前記位置指定情報の設定を受け付ける、請求項１から３のいずれか一項に記載のログ分析システム。
5. 前記インターフェース部は、さらに前記分析のタイミングの設定を受け付け、設定された前記タイミングに従って前記分析プログラム記憶領域に記憶された前記分析プログラムを実行させる、請求項１から４のいずれか一項に記載のログ分析システム。
6. 前記インターフェース部は、定期的に前記分析を行うこと、又は新たな前記ログが前記ログ記憶領域に記憶された場合に前記分析を行うことを示す前記タイミングの設定を受け付ける、請求項５に記載のログ分析システム。
7. 前記インターフェース部は、さらに前記結果の提供方法の設定を受け付け、設定された前記提供方法に従って前記結果を提供する、請求項１から６のいずれか一項に記載のログ分析システム。
8. 前記インターフェース部は、前記分析エンジンの外部へ能動的に前記結果を渡すこと、又は前記分析エンジンの外部からの要求を受けて受動的に前記結果を渡すことを示す前記提供方法の設定を受け付ける、請求項７に記載のログ分析システム。
9. 前記インターフェース部は、前記分析エンジンの外部から前記ログを受け取って前記ログ記憶領域に記憶させ、前記分析エンジンの外部へ前記結果を渡す、請求項１から８のいずれか一項に記載のログ分析システム。
10. 前記分析エンジンを有するログ分析サーバと、
    前記分析エンジン複製部と、前記インターフェース部に前記ログを渡し、前記インターフェース部から前記結果を受け取る分析制御部と、を有するログ分析装置と、
    を備える、請求項１から９のいずれか一項に記載のログ分析システム。
    

Images