JP6922320B2 - ログ管理装置及びログ管理用プログラム - Google Patents

Description

本発明は、システムのログを管理する装置及びログ管理用プログラムに関する。

従来、システムを動作させた際のログを解析することにより、システムの異常を検出する技術が知られている。特許文献１においては、取得したシステムログの時系列データを正常時の時系列データと比較することにより、異常が発生したことを検出するシステムが開示されている。

特開２０１０−２１８４９２号公報

従来、システムのログを解析することにより判別できることは、異常の種類がわかっている状況において、異常が発生したか否かという点のみであった。したがって、異常検出装置の開発者は、システムで発生しうる異常の種類を把握している必要があった。また、システムの管理者は、異常が発生したことを把握できたとしても、異常検出装置が異常と判断した理由がわからず、異常の原因や未知の異常を特定することが困難であるという問題が生じていた。

そこで、本発明はこれらの点に鑑みてなされたものであり、ユーザがシステムで発生した異常の内容を把握しやすくするためのログ管理装置及びプログラムを提供することを目的とする。

本発明の第１の態様のログ管理装置は、複数の処理のそれぞれに対応する複数のログを含むログ情報を取得する情報取得部と、前記複数のログそれぞれに対応する処理内容、前記複数のログに対応する複数の処理間の状態遷移パターンを特定する特定部と、複数の前記処理内容それぞれの基準、又は前記状態遷移パターンそれぞれの基準を含む基準情報を作成する情報作成部と、前記基準情報を出力する情報出力部と、有する。

前記情報出力部は、前記特定部が特定した前記状態遷移パターンが、前記基準情報に含まれる、対応する前記複数の処理間の前記状態遷移パターンの基準と異なる場合に、警告情報を出力してもよい。

ログ管理装置は、前記警告情報を出力するための条件を受け付ける条件受付部をさらに有し、前記情報出力部は、前記複数のログそれぞれに対応する処理内容、及び前記複数の処理間の前記状態遷移パターンのうち、前記条件受付部が受け付けた条件を満たす前記処理内容又は前記状態遷移パターンを特定した場合に、警告情報を出力してもよい。

前記情報出力部は、前記複数のログのうち少なくとも一つのログに対応する処理から他の複数のログそれぞれに対応する複数の処理に遷移する割合が、前記基準情報が示す、前記少なくとも一つのログに対応する処理から他の複数のログそれぞれに対応する複数の処理に遷移する割合に対して所定の値以上異なる場合に、警告情報を出力してもよい。

本発明の第２の態様のログ管理用プログラムは、コンピュータを、複数の処理のそれぞれに対応する複数のログを含むログ情報を取得する情報取得部、前記複数のログそれぞれに対応する処理内容、前記複数のログに対応する複数の処理間の状態遷移パターンを特定する特定部、複数の前記処理内容それぞれの基準、又は前記状態遷移パターンそれぞれの基準を含む基準情報を作成する情報作成部、及び前記基準情報を出力する情報出力部、として機能させる。

本発明によれば、ユーザがシステムで発生した異常の内容を把握しやすくなるという効果を奏する。

ログ管理装置の構成を示す図である。 複数のログの処理内容の一例を示す図である。 情報作成部が作成したバージョンアップログの状態遷移モデルを示す表である。 情報作成部が作成した状態遷移グラフである。 情報出力部が出力する警告情報の一例を示す図である。 情報作成部の動作について説明するための図である。 情報作成部が作成した状態遷移モデルを示す図である。 状態遷移パターン図の例である。 状態遷移パターン図の例である。

［ログ管理装置１の概要］
図１は、ログ管理装置１の構成を示す図である。ログ管理装置１は、システムが動作した際のシステムログを取得し、ログパターンをモデル化する装置である。システムログにおいては、ある処理が行われた直後に実行される処理が決まっている場合が多い。そこで、ログ管理装置１は、システムログを処理内容の種類別に分類し、分類したログ毎にアルファベットや数字等のラベルを付与する。ログ管理装置１は、分類した各ログの前後関係に着目して、管理する対象となる動作のログパターンのモデルを作成する。ログ管理装置１は、作成したモデルを出力することにより、システムの管理者が、管理する対象となる動作の正常時のログパターンを把握できるようにする。

また、ログ管理装置１は、ラベルを付与したログ毎に正常時の処理内容に対応する基準を定めておき、解析する対象となるログが基準から乖離している場合に、異常が発生したログを特定し、異常が発生したログに関する情報を出力する。このようにすることで、システム管理者が、どこで異常が発生したかを把握しやすくすることができる。
以下、ログ管理装置１の構成について説明する。

ログ管理装置１は、制御部１１と、記憶部１２とを有する。制御部１１は、例えばＣＰＵ（Central Processing Unit）である。記憶部１２は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）及びハードディスク等の記憶媒体を含む。記憶部１２は、制御部１１が実行するプログラムを記憶している。

制御部１１は、記憶部１２に記憶されたプログラムを実行することにより、情報取得部１１１、条件受付部１１２、特定部１１３、情報作成部１１４及び情報出力部１１５として機能する。情報取得部１１１は、複数の処理のそれぞれに対応する複数のログを含むログ情報を取得する。

条件受付部１１２は、ログに異常があることを検出する条件の入力を受け付ける。異常があることを検出するための条件は、例えば、一つのログに対応する処理に要する時間、一つのログに対応する処理のループ回数、及び一つのログに対応する処理から複数のログに対応する処理に分岐する際の遷移割合である。条件受付部１１２は、入力された条件を情報出力部１１５に通知する。

特定部１１３は、複数のログそれぞれに対応する処理内容、複数のログに対応する複数の処理間の状態遷移パターンを特定する。特定部１１３は、複数のログそれぞれに含まれているコマンドを解析することにより、それぞれのログの処理内容を特定する。特定部１１３は、それぞれのログに対して、特定した処理内容に応じたラベルを付与する。

図２は、複数のログの処理内容の一例を示す図である。図２（ａ）は、システムのバージョンアップに関するログを示しており、図２（ｂ）は、システムの起動に関するログを示している。

図２（ａ）に示す例の場合、特定部１１３は、アップデート開始処理のログにラベルＡを付与し、更新内容の確認処理のログにラベルＢを付与し、更新しない処理のログにラベルＣを付与し、アップデートに成功した処理のログにラベルＤを付与し、アップデートに失敗した処理のログにラベルＥを付与する。また、特定部１１３は、リトライを実行するログにラベルＦを付与し、アップデートを中断する処理のログにラベルＧを付与し、アップデートを終了するログにラベルＨを付与する。

図２（ｂ）に示す例の場合、特定部１１３は、モジュール初期化に成功した処理のログにラベルａを付与し、起動時自動実行に成功した処理のログにラベルｂを付与し、バージョンを出力するログにラベルｃを付与する。

特定部１１３は、ラベルを付与した複数のログ間の関係を解析することにより、複数のログに対応する複数の処理間の状態遷移パターンを特定する。また、特定部１１３は、次に来るログの候補が複数あるログを分岐点とし、次の分岐までのログを１つのモデルとしてモデル化を行う。

例えば、バージョンアップログの場合、特定部１１３は、以下の４つの状態遷移パターンがあることを特定する。
パターン１：ＳＴＡＲＴ→Ａ→Ｂ→Ｃ→Ｈ→ＥＮＤ
パターン２：ＳＴＡＲＴ→Ａ→Ｂ→Ｄ→Ｈ→ＥＮＤ
パターン３：ＳＴＡＲＴ→Ａ→Ｂ→Ｅ→Ｆ→Ｅ→Ｆ→Ｅ→Ｆ→Ｇ→ＥＮＤ
パターン４：ＳＴＡＲＴ→Ａ→Ｂ→Ｅ→Ｆ→Ｅ→Ｆ→Ｄ→Ｈ→ＥＮＤ

また、特定部１１３は、起動ログの場合、以下の状態遷移パターンを特定する。
パターン1：ＳＴＡＲＴ→ａ→ｂ→ｃ→ＥＮＤ

情報作成部１１４は、特定部１１３が特定した複数のログ及び複数のログ間の状態遷移パターンをモデル化することにより、状態遷移パターンを単純化した状態遷移モデルを作成する。図３は、情報作成部１１４が作成したバージョンアップログの状態遷移モデルを示す表である。図４は、図３の表に対応する状態遷移グラフである。

図３に示す表においては、行ラベルが元の状態を示しており、列ラベルが出力されるログを示す。図３において「１」になっている箇所は、行ラベルのログに対応する処理から、列ラベルのログに対応する処理に遷移することを示している。また、１つの行における複数の箇所が「１」になっている行ラベルＢ、Ｆには分岐点があることがわかる。

情報作成部１１４は、複数のログ間の分岐で区切ることで、複雑なパターンを単純な単方向リストの集合にする。例えば、情報作成部１１４は、特定部１１３が特定した状態遷移パターンにおける合流点で複数のログをまとめることにより、以下のようにモデル化することができる。
モデルＳＴＡＲＴ：ＳＴＡＲＴ→Ａ→Ｂ
モデルＢ(Ｃ)：Ｂ→Ｃ→Ｈ→ＥＮＤ
モデルＢ(Ｄ)：Ｂ→Ｄ→Ｈ→ＥＮＤ
モデルＢ(Ｅ)：Ｂ→Ｅ→Ｆ
モデルＦ(Ｅ)：Ｆ→Ｅ→Ｆ
モデルＦ(Ｄ)：Ｆ→Ｄ→Ｈ→ＥＮＤ
モデルＦ(Ｇ)：Ｆ→Ｇ→ＥＮＤ
このようにすることで、情報作成部１１４は、図３及び図４に示すようなモデルを作成することができる。

また、情報作成部１１４は、ある処理に対応するログの前の処理に対応するログ、及びある処理に対応するログの後の処理に対応するログとの関係に基づいて、一つのログを複数の種類に分類してもよい。この場合、情報作成部１１４は、ある処理の開始から終了までの一連のログを切り出し、各ログの種類毎に、一つ前のログの種類と次に実行されるログの種類とを確認する。情報作成部１１４は、前のログの種類と次のログの種類とが両方とも複数である場合は、前のログの種類毎に分ける。この処理により、情報作成部１１４は、次に来るログが１種類に限定できるログと、複数種類のログが存在するログ、すなわち分岐するログとに分類できる。

例えば、ログＡの前のログが、ログＸ、ログＹ、ログＺであるとする。また、前のログがログＸのときの次のログが、ログＢ、ログＣ、ログＥであり、前のログがログＹのときの次のログがログＤ、ログＥであり、前のログがログＺのときの次のログがログＣであるとする。

この場合、情報作成部１１４は、以下のログＡ（Ｘ）、ログＡ（Ｙ）、ログＡ（Ｚ）を作成する。
ログＡ(Ｘ)
前のログ:ログＸ
次のログ:ログＢ、ログＣ、ログＥ
ログＡ(Ｙ)
前のログ:ログＹ
次のログ:ログＤ、ログＥ
ログＡ(Ｚ)
前のログ:ログＺ
次のログ:ログＣ

また、情報作成部１１４は、複数の状態遷移パターンに共通する箇所がある場合、共通する箇所に含まれる複数のログのラベルを、一つの共通ラベルに置換してもよい。例えば、情報作成部１１４は、開始点または分岐点から、次に来る分岐点又は終了点までを辿り、パターンを列挙することにより、以下の状態遷移モデルを生成したとする。
パターン１：ＳＴＡＲＴ→Ａ→Ｂ
パターン２：Ｂ→Ｃ→Ｘ→Ｙ→Ｚ
パターン３：Ｂ→Ｄ→Ｅ→Ｘ→Ｙ→Ｚ
パターン４：Ｚ→Ｆ→ＥＮＤ
パターン５：Ｚ→Ｇ→ＥＮＤ
この状態遷移モデルにおいては、状態遷移が発生している箇所を示す「→」の数が１５個である。

情報作成部１１４は、列挙したパターンの末尾が一致する箇所を探索し、共通部分を抜き出すことにより、以下のように、状態遷移モデルを単純化することができる。
パターン１：ＳＴＡＲＴ→Ａ→Ｂ
パターン２：Ｂ→Ｃ→Ｘ/Ｚ
パターン３：Ｂ→Ｄ→Ｅ→Ｘ/Ｚ
パターン４：Ｚ→Ｆ→ＥＮＤ
パターン５：Ｚ→Ｇ→ＥＮＤ

この状態遷移モデルにおいては、状態遷移が発生している箇所を示す「→」の数が１３個に減少している。このように、情報作成部１１４は、分岐点毎に区切ることで、組み合わせによるパターンの種類が増加することを防ぎつつ、１つのパターン中の分岐をなくし、線形リストとして扱えるようにすることができる。また、情報作成部１１４は、末尾の共通部分を抜き出すことで重複を減らし、使用するメモリ量を減らすことができる。

情報出力部１１５は、このようにして情報作成部１１４が作成した状態遷移モデルをユーザのコンピュータに表示させることで、ユーザがシステムにおける状態遷移パターンを把握できるようにする。情報出力部１１５は、例えば図３に示した状態遷移表や図４に示した状態遷移グラフをユーザのコンピュータに表示させる。

［異常状態の検出］
情報作成部１１４は、状態遷移モデルを作成した後に、複数のログに対応する処理内容それぞれの基準、又は状態遷移パターンそれぞれの基準を含む基準情報を作成するための学習を行う。状態遷移モデルを単純化しておくことにより、情報作成部１１４は、学習時間を低減することができる。

複数の処理内容それぞれの基準は、例えば、同一のログに対応する処理を実行する時間間隔、ログに対応する処理を実行するために要する標準的な処理時間、及びログに対応する処理の繰り返し回数（以下、ループ回数という）である。状態遷移パターンそれぞれの基準は、例えば、複数のログのうち少なくとも一つのログに対応する処理から他の複数のログそれぞれに対応する複数の処理に遷移する割合の標準的な値である。

情報作成部１１４は、例えば、図３における「１」の箇所に対応するログ毎に、前回一つのログで処理が行われた時間から再び同じログで処理が行われるまでの時間間隔に関する異常判別の学習を行うことにより、標準的な処理時間間隔に関する基準を作成する。情報作成部１１４は、決定した基準を記憶部１２に記憶させる。

情報作成部１１４は、学習により決定した基準に基づいて、システムを動作させた際に異常が発生したことを検出する。具体的には、情報作成部１１４は、システムログを解析した結果、基準から乖離した状態を検出した場合に異常が発生したと判定する。情報作成部１１４は、異常が発生したログ又は状態遷移箇所を情報出力部１１５に通知する。

情報出力部１１５は、情報作成部１１４から、異常が発生したログ又は状態遷移箇所の通知を受けた場合に警告情報を出力する。例えば、情報出力部１１５は、一つのログにおける処理時間、一つのログにおけるループ回数、又はログ間の遷移時間が、過去の最大値を更新した場合に、警告情報を出力する。情報出力部１１５が、図３に示す状態遷移表における該当箇所に異常の内容を表示したり、図４に示す状態遷移グラフにおける異常箇所の矢印を正常な場合と異なる色で表示したりすることにより、異常が発生した箇所をユーザに通知する。

図５は、情報出力部１１５が出力する警告情報の一例を示す図である。図５においては、図３に示した状態遷移モデルにおいてログＢからログＣへの遷移時間が２０秒になり、基準値１０秒の２倍になっているという警告が表示されている。このように、情報出力部１１５は、例えば、複数のログ間の遷移時間が基準よりも大きい場合に、異常が発生した箇所、及び異常の内容を出力してユーザに通知する。

情報出力部１１５は、複数のログのうち少なくとも一つのログに対応する処理から他の複数のログそれぞれに対応する複数の処理に遷移する割合が、基準情報が示す、少なくとも一つのログに対応する処理から他の複数のログそれぞれに対応する複数の処理に遷移する割合に対して所定の値以上異なる場合に、警告情報を出力してもよい。具体的には、正常状態において、図４に示すログＢからログＣに遷移する割合が５０％、ログＢからログＤに遷移する割合が３０％、ログＢからログＥに遷移する割合が２０％である場合に、それぞれの遷移割合が４０％、４０％、２０％になった場合に、情報出力部１１５は異常が発生したことを示す警告情報を出力する。

［状態遷移モデルの作成・表示方法における処理手順］
以下、状態遷移モデルの作成・表示方法における処理手順について説明する。
（ステップ１）
まず、情報取得部１１１が、所定の期間にわたってシステムを運用した結果に基づくシステムログを取得する。

（ステップ２）
続いて、特定部１１３が、ステップ１において取得されたログに対して、システム起動のログ群、バージョンアップ処理のログ群、又は時刻同期のログ群等のように、処理に対応するログ群にシステムログを分ける。分けたログ群に含まれる各処理のログの文言の種類毎にラベル付けを行う。

（ステップ３）
続いて、情報作成部１１４が、ステップ２において分けたログ群から、開始から終了までの一連のパターンになるように一以上のログを切り出す。そして、情報作成部１１４は、切り出したログのすべての種類のログに対して、一つ前のログと次に来るログを列挙する。図６は、情報作成部１１４の動作について説明するための図であり、図６（ａ）は、ステップ３における処理のイメージを示している。

（ステップ４）
続いて、情報作成部１１４は、前に来るログの候補が複数あり、かつ次に来るログの候補も複数ある場合、前に来るログ毎に分けることにより分岐先を限定し、ルートを絞る。図６（ｂ）は、ステップ４の処理のイメージを示す図である。図６（ｂ）におけるＣ（Ａ）は、直前のログがＡであるログＣであり、Ｃ（Ｂ）は、直前のログがＢであるログＣである。

（ステップ５）
続いて、情報作成部１１４は、隣接行列状のデータ構造として領域を確保することにより、状態遷移モデルを完成させる。図７は、情報作成部１１４が作成した状態遷移モデルを示す図である。情報作成部１１４は、状態遷移モデルをポインタの２次元配列として作成し、作成したインスタンスを各箇所に設定する。インスタンスは、例えば、ログ出力の時間間隔の異常の有無を判別する際の基準値、及び異常検出時の動作等を示す情報である。ユーザは、インスタンスとして設定するアラート出力関数や閾値等のルールを手動で設定することもできる。

（ステップ６）
最後に、情報出力部１１５は、隣接行列に基づいてモデル化を行ったり有向グラフを作成して出力したりすることで、ログにおいて異常が発生した箇所をユーザが視認できるようにする。

［ログ管理装置１による効果］
ログ管理装置１においては、特定部１１３がシステムログに含まれる状態遷移パターンをモデル化し、情報作成部１１４が、複数のログのそれぞれにおける処理内容の基準、又は状態遷移パターンそれぞれの基準を含む基準情報を作成する。また、情報作成部１１４は、小規模の異常判別処理を複数組み合わせることにより、システムログに含まれるどのログ又は状態遷移箇所において異常が発生したことを検出する。そして、情報出力部１１５は、異常が発生したログ又は状態遷移箇所を特定するための警告情報を出力する。

したがって、ログ管理装置１は、異常が発生した箇所を特定し、異常が発生した箇所をユーザに通知することができる。その結果、ユーザは、システムに異常が発生した箇所、及び異常が発生した原因を特定しやすくなる。

ログ管理装置１は、バージョンアップ等で新しいパターンが出現した場合や、判別条件の学習結果やパターンのモデル化がユーザの意図したものと異なるものになった場合に、全体を学習し直さずに部分的に異常判別対象を更新することもできる。また、ユーザが、手動でモデルや判別条件を編集することで、容易にメンテナンスをすることができる。

また、あるログの前と後に来るログの候補が複数種類存在すると、一つのノードにまとめられ、ループにならない部分がループ構造になってしまうことがある。このような場合、情報作成部１１４は、複数ルートから複数ルートに遷移する混線の元になるノードを、前に来るログの種類で分けることにより状態遷移モデルを作成する。

具体的には、情報作成部１１４は、混線の原因となるノードを、通過点(１ルート→１ルート)、分岐点(１ルート→複数ルート)、及び合流点(複数ルート→１ルート)に置き換えることにより、存在しないループパターンを無くすことができる。例えば、情報作成部１１４は、図８（ａ）に示す状態遷移パターンにおける複数ルートから複数ルートに分岐するノードを遷移元の種類毎に分離することで、図８（ｂ）に示す状態遷移パターンを作成する。

なお、情報出力部１１５は、規模が大きく複雑で全体を表示することが難しいモデルを、分岐のポイントに着目することで簡略化して見やすく表示してもよい。例えば、情報出力部１１５は、状態遷移パターンを表示する場合、中間のノードを省略して表示してもよい。一例として、情報出力部１１５は、図９（ａ）に示す状態遷移パターンを、図９（ｂ）のように簡略化して表示してもよい。このようにすることで、ユーザが、状態遷移パターンを把握しやすくなる。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されず、その要旨の範囲内で種々の変形及び変更が可能である。例えば、装置の分散・統合の具体的な実施の形態は、以上の実施の形態に限られず、その全部又は一部について、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、複数の実施の形態の任意の組み合わせによって生じる新たな実施の形態も、本発明の実施の形態に含まれる。組み合わせによって生じる新たな実施の形態の効果は、もとの実施の形態の効果を合わせ持つ。

１ ログ管理装置
１１ 制御部
１２ 記憶部
１１１ 情報取得部
１１２ 条件受付部
１１３ 特定部
１１４ 情報作成部
１１５ 情報出力部

Claims (4)

1. 複数の処理のそれぞれに対応する複数のシステムログを含むログ情報を取得する情報取得部と、
   前記複数のシステムログのうち少なくとも一つのシステムログに対応する処理から他の複数のシステムログそれぞれに対応する複数の処理に遷移するパターンを示す状態遷移パターンを特定する特定部と、
   前記複数のシステムログのうち少なくとも一つのシステムログに対応する処理から他の複数のシステムログそれぞれに対応する複数の処理に遷移する割合の標準的な値である前記状態遷移パターンの基準を作成する情報作成部と、
   前記特定部が特定した前記状態遷移パターンが示す、少なくとも一つのシステムログに対応する処理から他の複数のシステムログそれぞれに対応する複数の処理に遷移する割合が、当該状態遷移パターンに対応する前記複数の処理間の前記状態遷移パターンの基準と異なる場合に、異常が発生したシステムログ又は状態遷移箇所を特定するための警告情報を出力する情報出力部と、
   を有するログ管理装置。
2. 前記警告情報を出力するための条件を受け付ける条件受付部をさらに有し、
   前記情報出力部は、前記複数のログそれぞれに対応する処理内容、及び前記複数の処理間の前記状態遷移パターンのうち、前記条件受付部が受け付けた条件を満たす前記処理内容又は前記状態遷移パターンを特定した場合に、警告情報を出力する、
   請求項１に記載のログ管理装置。
3. 前記情報出力部は、前記複数のログのうち少なくとも一つのログに対応する処理から他の複数のログそれぞれに対応する複数の処理に遷移する割合が、前記基準が示す、前記少なくとも一つのログに対応する処理から他の複数のログそれぞれに対応する複数の処理に遷移する割合に対して所定の値以上異なる場合に、警告情報を出力する、
   請求項２に記載のログ管理装置。
4. コンピュータを、
   複数の処理のそれぞれに対応する複数のシステムログを含むログ情報を取得する情報取得部、
   前記複数のシステムログのうち少なくとも一つのシステムログに対応する処理から他の複数のシステムログそれぞれに対応する複数の処理に遷移するパターンを示す状態遷移パターンを特定する特定部、
   前記複数のシステムログのうち少なくとも一つのシステムログに対応する処理から他の複数のシステムログそれぞれに対応する複数の処理に遷移する割合の標準的な値である前記状態遷移パターンの基準を作成する情報作成部、及び
   前記特定部が特定した前記状態遷移パターンが示す、少なくとも一つのシステムログに対応する処理から他の複数のシステムログそれぞれに対応する複数の処理に遷移する割合が、当該状態遷移パターンに対応する前記複数の処理間の前記状態遷移パターンの基準と異なる場合に、異常が発生したシステムログ又は状態遷移箇所を特定するための警告情報を出力する情報出力部、
   として機能させるためのログ管理用プログラム。

Images