JP7417122B2 - 情報処理装置、制御方法、プログラム - Google Patents

Description

本発明は、イベントを記録したログデータを解析する技術に関する。

近年、ＩｏＴ機器から様々なイベントを収集できるようになってきたため、収集されたイベントログを分析することで運用に生かすことが望まれている。イベントを収集できるＩｏＴ機器が増えたため、イベントログは大量に集まるようになってきた。

大量のイベントログを人手で分析するには非常にコストがかかるようになってきたため、イベントログの分析を自動化することが望まれている。

ＩｏＴ機器から発せられるイベントには、現在の温度や湿度などを定期的に発するイベントや、装置のメンテナンス時に装置を停止・運転再開する際に発する「停止」「運転」のような対になるイベントや、電源をＯＮ・ＯＦＦする際に「ＯＮ」「ＯＦＦ」のような対になるイベントなどがある。

特許文献１では、ログシーケンスを、一定時間で分割し、類似するシーケンスを特定し、「正常パターン」を自動的に抽出する手法を開示している。

特許文献２では、開始点となるログと、終了点となるログを事前に定義しておくことにより、ログシーケンスを分割する手法を開示している。

国際公開２０１５／０４５２６２号公報 特開２０１２－２０３５２２号公報

一般的に、装置の保守点検は、週１回や月１回のように、間隔を空けて実施されることが多いため、保守点検に関連するログは、間隔を空けて、まとまって出力される。例えば、保守点検を行う場合、最初に装置の電源を切って、点検を行い、点検が終わると装置の電源を入れる。ただし、状況に応じて、点検の開始作業や終了作業が異なる場合がある。

特許文献１では、単に一定時間でログシーケンスを分割するので、分割されたログシーケンスは意味のある部分シーケンスとはならない。

特許文献２では、開始点となるログと終了点となるログが固定されるため、状況に応じて開始点となるログや終了点となるログが変わるようなケースでは適切に部分シーケンスを取得することはできない。

本発明では、イベントを記録したログデータから一連のイベント群である特定シーケンスを適切に出力できる仕組みを提供することを目的とする。

本発明は、対象の状態を変えるイベントを時系列に記録したログデータを取得する取得手段と、前記取得手段により取得したログデータから、前記対象の状態を第２の状態から第１の状態に変える第１イベントと、当該対象の状態を第２の状態に変える第２イベントとを特定する特定手段と、複数の対象に係る一連のイベントであって、前記特定手段にて特定された前記対象に係る第１イベントと当該対象に係る第２イベントとの対を含む一連のイベントを出力する出力手段とを備えることを特徴とする情報処理装置。

本発明によれば、イベントを記録したログデータから一連のイベント群である特定シーケンスを適切に出力できる仕組みを提供することができる。

本発明の実施形態のログ分析装置の構成の一例を示したブロック図 ログデータの一例 装置抽出条件記憶部１１６の一例を示すデータ構造図 増減割当記憶部１１７の一例を示すデータ構造図 部分シーケンス抽出部１１３で使用するデータ構造の例 テンプレート抽出部１１４で使用する部分シーケンス間の距離を表すグラフの例 テンプレート記憶部１１８の一例を示すデータ構造図 部分シーケンス記憶部１１９の一例を示すデータ構造図 差分検出部１１５で使用する差分検出の例 差分記憶部１２０の一例を示すデータ構造図 ログ分析装置のテンプレート作成時の処理方法の手順の一例を示したフローチャート Ｓ１１０２の出力例 ログ分析装置の差分検出時の処理方法の手順の一例を示したフローチャート Ｓ１１０３の処理手順の一例を示したフローチャート Ｓ１１０４の処理手順の一例を示したフローチャート Ｓ１５０１の処理中のデータ構造の例 Ｓ１１０５の処理手順の一例を示したフローチャート Ｓ１３０３の処理手順の一例を示したフローチャート

以下、本発明の実施の形態を、図面を参照して詳細に説明する。

図１は、本実施形態のログ分析装置の構成を示したブロック図である。図１に示すように、ログ分析装置１０１は、ログデータ取得部１１０と、装置抽出部１１１と、増減判定部１１２と、部分シーケンス抽出部１１３と、テンプレート抽出部１１４と、差分検出部１１５と、装置抽出条件記憶部１１６と、増減割当記憶部１１７と、テンプレート記憶部１１８と、部分シーケンス記憶部１１９と、差分記憶部１２０とを備えて構成される。これらの機能は、コンピュータに所定のプログラムを実行させることによって具現化することが出来る。

図２にログデータ１０２の一例を示す。ＩｏＴ機器から発せられるログデータは、通常規格化されているため、ＴＳＶ（Ｔａｂ－Ｓｅｐａｒａｔｅｄ Ｖａｌｕｅｓ）のようなテキスト形式になっていることが多い。ログデータ１０２では、１行に、発生日時２０１、装置ＩＤ２０２、イベントＩＤ２０３、状態２０４、イベント名２０５の情報が記録されている。

ログデータ取得部１１０は、例えば、ＩｏＴ機器から時系列に発せられるログデータ１０２の入力を受け付け、それを取得する。ログデータ１０２は、例えば、ネットワークに接続されたＩｏＴ機器などからリアルタイムに取得しても良いし、記録媒体などに記録されたデータファイルからまとめて取得するようにしても良い。

図３は、装置抽出条件記憶部１１６の構成を示したものである。装置抽出条件記憶部１１６は、ログデータから特定の装置のログだけを抽出するための条件を定義したものである。装置抽出条件記憶部１１６は、条件ＩＤ３０１、抽出条件３０２を有する。

条件ＩＤ３０１は、装置抽出条件に付与する一意なＩＤである。抽出条件３０２は、ログデータ取得部１１０から特定の装置のログだけを抽出する条件式である。条件式の指定方法として、例えばＳＱＬがある。レコード３１１の抽出条件３０２では、装置ＩＤが「２」に一致するログをすべて抽出する。レコード３１２の抽出条件３０２では、装置ＩＤが「２」に一致し、かつ、イベントＩＤが「１」に一致するログをすべて抽出する。

装置抽出部１１１は、ログデータ取得部１１０による取得されたログデータから、指定した装置抽出条件のログデータだけを抽出する。例えば、抽出条件に「１」を指定して抽出を行うと、条件ＩＤ３０１が「１」に一致するレコード３１１を選択し、抽出条件３０２から、装置ＩＤ２０２が「２」に一致するログだけ抽出される。

増減判定部１１２は、イベントごとに、通常時に取りうる状態（定常状態）と、まれに取りうる状態（非定常状態）とを状態２０４の値を用いて判定する。定常状態から非定常状態に変化する状態２０４の値に「＋１」を割り当て、逆に、非定常状態から定常状態に変化する状態２０４の値に「－１」を割り当てる。判定方法は後述する。割り当てた結果を、増減割当記憶部１１７に保存する。

例えば、ある装置は運転を継続している状態が通常の状態であり、保守点検時や非常時にしか停止しない場合、状態２０４が「停止」のレコードが「非定常状態」に変化するレコードとなり、状態２０４が「運転」のレコードが「定常状態」に変化するレコードとなる。一方、別の装置は運転を停止している状態が通常の状態である場合、状態２０４が「運転」のレコードが「非定常状態」に変化するレコードとなり、状態２０４が「停止」のレコードが「定常状態」に変化するレコードとなる。 図４は、増減割当記憶部１１７の構成を示したものである。増減割当記憶部１１７は、増減判定部１１２で判別した結果を保存する。増減割当記憶部１１７は、条件ＩＤ４０１、イベントＩＤ４０２、状態４０３、増減４０４を有する。

条件ＩＤ４０１は、装置抽出部１１１実行時に指定した条件ＩＤ３０１の値を指定する。イベントＩＤ４０２は、装置ＩＤ２０２の値を指定する。状態４０３は、状態２０４の値を指定する。増減４０４は、「１」または「－１」を指定する。

例えば、装置抽出部１１１で、条件ＩＤ３０１に「１」を指定し、増減判定部１１２で、レコード２１１が非定常状態と判定されたとき、レコード４１１のように登録、レコード２１４が定常状態と判定されたとき、レコード４１２のように登録する。

部分シーケンス抽出部１１３は、装置抽出部１１１の出力を入力とし、増減割当記憶部１１７の情報を使って、部分シーケンスを抽出し、出力する。

図５は、図２のログデータを装置抽出部１１１で、条件ＩＤ３０１に「１」を指定して出力したものに、増減５０３と合計５０４の列を付与したものである。例えば、レコード５１１は、イベントＩＤ５０１の値が「５」、状態５０２の値が「運転」であるので、増減割当記憶部１１７のレコード４１１が対応する。レコード５１１の増減５０３には、レコード４１１の増減４０４の値を指定する。レコード５１１の合計５０４の値は、増減５０３の値を前レコードの合計５０４（前レコードがないので、０とする）に加算し、「１」を指定する。このように、合計５０４の値を計算する。なお、合計が「０」未満になる場合は、合計を「０」とする。

対になるイベントが、「＋１」、「－１」の順に出現し、出現回数が同じなら、必ず合計５０４の値が「０」になるレコード（例えば、レコード５１６）がある。合計５０４の値が「１」になるレコード（例えば、レコード５１１）から、「０」になるレコード（レコード５１６）までを部分シーケンスとして抽出する。

抽出した部分シーケンスを配列として出力し、テンプレート抽出部１１４に渡す。

テンプレート抽出部１１４は、部分シーケンス抽出部１１３の出力を入力とし、類似する部分シーケンスをグループ化することでテンプレートを抽出する。

部分シーケンス抽出部１１３が出力した部分シーケンスの全ての組み合わせに対して類似度を計算する。類似度としては、例えば、レーベンシュタイン距離（シーケンス間の最小編集操作ＳＥＳ（Ｓｈｏｒｔｅｓｔ Ｅｄｉｔ Ｓｃｒｉｐｔ）、完全一致の場合は「０」）やＦ値（０から１の値、完全一致の場合は「１」）などを使用する。図６は、部分シーケンスがＳ０～Ｓ４であるときの、類似度を計算した例である。部分シーケンスをノードとし、部分シーケンス間の類似度をエッジとした無向グラフとして表現している。この例では、類似度にレーベンシュタイン距離を採用している。部分シーケンス６０１と部分シーケンス６０２の類似度６１１は「０」を表している。同様に、部分シーケンス６０４と部分シーケンス６０５の類似度６１２は「２」を表している。類似度の高い部分シーケンスをグループ化すると、［Ｓ０，Ｓ１，Ｓ２］のグループ６２１と、［Ｓ３，Ｓ４］のグループ６２２に分けられる。グループ６２１は部分シーケンスが完全に一致するグループであり、グループ６２２は類似度の高い部分シーケンスのグループである。

グループの中から、代表となる部分シーケンスを選び「テンプレート」とする。代表の選び方は、例えば、ランダムに選んでもよいし、グループの中から、シーケンス長が最小のものを選んでもよい。

抽出したテンプレートを、テンプレート記憶部１１８に記録する。

図７は、テンプレート記憶部１１８の構成を示したものである。テンプレート記憶部１１８は、テンプレート抽出部１１４で抽出したテンプレートを保持する。テンプレート記憶部１１８は、条件ＩＤ７０１、テンプレートＩＤ７０２、連番７０３、イベントＩＤ７０４、状態７０５、イベント名７０６を有する。

条件ＩＤ７０１は、装置抽出部１１１実行時に指定した条件ＩＤ３０１の値を指定する。テンプレートＩＤ７０２は、テンプレートを区別するＩＤである。連番７０３は、テンプレート内でのイベントの出現順を表す。イベントＩＤ７０４は、装置ＩＤ２０２の値を指定する。状態７０５は、状態２０４の値を指定する。イベント名７０６は、イベント名２０５の値を指定する。

例えば、図５の部分シーケンスが、テンプレートとして抽出されたとき、図７のように保存する。

差分検出部１１５は、装置抽出部１１１の出力を入力とし、増減割当記憶部１１７の情報を使って、部分シーケンスを抽出する。抽出した部分シーケンスは、部分シーケンス記憶部１１９に保存する。さらに、各部分シーケンスとテンプレート記憶部１１８のテンプレートとを比較し差分を検出し、差分記憶部１２０に保存する。図８は、保存した部分シーケンスの例である。

部分シーケンスとテンプレートの差分を検出するにはいろいろな方法があるが、ここでは、レーベンシュタイン距離を計算する際の途中経過である最短編集操作ＳＥＳ（Ｓｈｏｒｔｅｓｔ Ｅｄｉｔ Ｓｃｒｉｐｔ）を使用する。

ＳＥＳは、あるシーケンスに対し、挿入・削除・置換の操作を行って別のシーケンスに一致させるために必要な編集手順の中で最短のものである。また、最短の編集手順の回数がレーベンシュタイン距離となる。

図９は、差分検出の例である。表７００のテンプレートＩＤ「１」が表９０２、表８００の部分シーケンスＩＤ「２」が表９０１を表している。部分シーケンス９０１を編集して、テンプレート９０２に一致させるための編集手順を表している。レコード９１１、９１２は、テンプレート９０２には存在しないので「削除」し、レコード９１３はレコード９２３で「置換」する。レコード９２１、９２２は見やすくするために入れた空行なので、実際は無視する。この場合、３つの編集操作を行っているので、レーベンシュタイン距離は「３」となる。検出した差分情報を、差分記憶部１２０に保存する。

図８は、部分シーケンス記憶部１１９の構成を示したものである。部分シーケンス記憶部１１９は、差分検出部１１５で抽出した部分シーケンスを保持する。条件ＩＤ８０１、部分シーケンスＩＤ８０２、連番８０３、発生日時８０４、イベントＩＤ８０５、状態８０６、イベント名８０７を有する。

条件ＩＤ８０１は、装置抽出部１１１実行時に指定した条件ＩＤ３０１の値を指定する。部分シーケンスＩＤ８０２は、部分シーケンスを区別するＩＤである。連番８０３は、部分シーケンス内でのイベントの出現順を表す。発生日時８０４は、発生日時２０１の値を指定する。イベントＩＤ８０５は、装置ＩＤ２０２の値を指定する。状態８０６は、状態２０４の値を指定する。イベント名８０７は、イベント名２０５の値を指定する。

図１０は、差分記憶部１２０の構成を示したものである。差分記憶部１２０は、差分検出部１１５で検出した差分情報（編集手順）を保持する。差分記憶部１２０は、条件ＩＤ１００１、部分シーケンスＩＤ１００２、テンプレートＩＤ１００３、操作順１００４、操作１００５、対象Ｓ１００６、対象Ｔ１００７を有する。

条件ＩＤ１００１は、装置抽出部１１１実行時に指定した条件ＩＤ３０１の値を指定する。部分シーケンスＩＤ１００２は、部分シーケンスＩＤ８０２の値を指定する。テンプレートＩＤ１００３は、テンプレートＩＤ７０２の値を指定する。操作順１００４は、編集操作を実行する順番を指定する。操作１００５は、「削除」「挿入」「置換」のいずれかを指定する。対象Ｓ１００６は、編集操作を行う部分シーケンスの連番８０３の値を指定する。対象Ｔ１００７は、編集操作を行うテンプレートの連番７０３の値を指定する。

例えば、図９のレコード９１１は、レコード１０１１に対応し、レコード９１２は、レコード１０１２に対応し、レコード９１３は、レコード１０１３に対応する。

差分表示部１０３は、テンプレート記憶部１１８と部分シーケンス記憶部１１９と差分記憶部１２０の情報を使って、ログデータの中の通常とは異なる部分を視覚的に表示する。例えば、部分シーケンスは最初のイベントから最後のイベントまでの期間を持つので、スケジューラのように表示することができる。また、テンプレートと部分シーケンスの類似度によって、色分けして表示することもできる。

図１１は、本実施形態のログ分析装置によって実行されるテンプレート作成方法の手順を示したフローチャートである。はじめに、ログデータ取得部１１０は、ログデータを取得する（ステップＳ１１０１）。

取得したログデータの一例を図２に示す。ログデータ１０２は、ＩｏＴ機器から送られてきたログを想定している。ＩｏＴ機器には、例えば、発電機、給油ポンプ、照明などがある。

次に、装置抽出部１１１は、指定された「条件ＩＤ」で、ログデータ１０２を抽出する。抽出されたレコードの配列を、「ｒｅｃｏｒｄｓ」に代入する（ステップＳ１１０２）。「条件ＩＤ」には、装置抽出条件記憶部１１６に記録されている条件ＩＤ３０１の値を指定する。

例えば、「条件ＩＤ」に「１」を指定した場合、レコード３１１の抽出条件３０２の値を使って抽出する。この例では、抽出条件３０２はＳＱＬ風に記述しているので、ログデータ１０２から「装置ＩＤ」が「２」のものだけを抽出する。したがって、ログデータ１０２から、レコード２１１、２１２、２１３、２１４、２１５、２１６が抽出される。

「ｒｅｃｏｒｄｓ」の例を図１２に示す。「ｒｅｃｏｒｄｓ」は、発生日時１２０１、イベントＩＤ１２０２、状態１２０３、イベント名１２０４を有する。

次に、増減判定部１１２は、「ｒｅｃｏｒｄｓ」を解析して、イベントごとに通常時に取りうる状態２０４（定常状態）と、まれに取りうる状態２０４（非定常状態）とを判定し、増減割当記憶部１１７に保存する（ステップＳ１１０３）。Ｓ１１０３はＳ１４０１を呼び出している。Ｓ１１０３は引数「条件ＩＤ」、「ｒｅｃｏｒｄｓ」を持つ。「条件ＩＤ」には、Ｓ１１０２に与えた値と同じ値を指定する。「ｒｅｃｏｒｄｓ」には、Ｓ１１０２で抽出されたレコードの配列「ｒｅｃｏｒｄｓ」と同じものを指定する。処理方法の詳細については、後に、図１４を用いて説明する。

次に、部分シーケンスを抽出部１１３は、「ｒｅｃｏｒｄｓ」を入力とし、増減割当記憶部１１７の情報を使って、部分シーケンスを抽出する。抽出された部分シーケンスの配列を「ｓｅｑｓ」に代入する（ステップＳ１１０４）。Ｓ１１０４はＳ１５０１を呼び出している。Ｓ１１０４は引数「条件ＩＤ」、「ｒｅｃｏｒｄｓ」を持つ。「条件ＩＤ」には、Ｓ１１０２に与えた値と同じ値を指定する。「ｒｅｃｏｒｄｓ」には、Ｓ１１０２で抽出されたレコードの配列「ｒｅｃｏｒｄｓ」と同じものを指定する。処理方法の詳細については、後に、図１５を用いて説明する。

次に、テンプレート抽出部１１４は、「ｓｅｑｓ」を入力とし、類似する部分シーケンスをグループ化することでテンプレートを抽出し、抽出されたテンプレートをテンプレート記憶部１１８に保存する（ステップＳ１１０５）。Ｓ１１０５はＳ１６０１を呼び出している。Ｓ１１０５は引数「条件ＩＤ」、「ｓｅｑｓ」を持つ。「条件ＩＤ」には、Ｓ１１０２に与えた値と同じ値を指定する。「ｓｅｑｓ」には、Ｓ１１０４で抽出された部分シーケンスの配列「ｓｅｑｓ」と同じものを指定する。処理方法の詳細については、後に、図１７を用いて説明する。

図１３は、本実施形態のログ分析装置によって実行される差分検出方法の手順を示したフローチャートである。はじめに、ログデータ取得部１１０は、ログデータを取得する（ステップＳ１３０１）。

Ｓ１３０１は、Ｓ１１０１と全く同じ処理である。

次に、装置抽出部１１１は、指定された「条件ＩＤ」で、ログデータ１０２を抽出する。抽出されたレコードの配列を、「ｒｅｃｏｒｄｓ」に代入する（ステップＳ１３０２）。Ｓ１３０２は、Ｓ１１０２と全く同じ処理である。

次に、差分検出部１１５は、「ｒｅｃｏｒｄｓ」を入力とし、増減割当記憶部１１７とテンプレート記憶部１１８の情報を使って差分を検出する（ステップＳ１３０３）。抽出した部分シーケンスを部分シーケンス記憶部１１９に、検出した差分を差分記憶部１２０に保存する。Ｓ１３０３はＳ１７０１を呼び出している。Ｓ１３０３は引数「条件ＩＤ」、「ｒｅｃｏｒｄｓ」を持つ。「条件ＩＤ」には、Ｓ１３０２に与えた値と同じ値を指定する。「ｒｅｃｏｒｄｓ」には、Ｓ１３０２で抽出されたレコードの配列「ｒｅｃｏｒｄｓ」と同じものを指定する。処理方法の詳細については、後に、図１８を用いて説明する。

図１４は、増減判定部１１２の判定方法の手順を示した処理フローである。本フローチャートの呼び出し時に引数が必要である。引数「条件ＩＤ」には、装置抽出条件記憶部１１６の条件ＩＤ３０１の値を指定する。引数「ｒｅｃｏｒｄｓ」には、ステップＳ１１０２の「ｒｅｃｏｒｄｓ」を指定する。

Ｓ１４０２では、「ｒｅｃｏｒｄｓ」に含まれるすべてのイベントＩＤ１２０２を集めて、イベントＩＤ１２０２の配列として、「ｅｖｅｎｔｓ」に代入する。「ｒｅｃｏｒｄｓ」に図１２の配列が入っている場合、「ｅｖｅｎｔｓ」には、配列［１，５，６］が代入される。

Ｓ１４０３では、配列「ｅｖｅｎｔｓ」の各要素を「ｅｖ」に代入し、すべての要素「ｅｖ」に対してＳ１４０９までの処理を実行する。例えば、「ｅｖｅｎｔｓ」に配列［１，５，６］が入っている場合、配列の各要素に対してＳ１４０９までの処理を実行するため、合計３回ループすることになる。

Ｓ１４０４では、「ｒｅｃｏｒｄｓ」の中で、イベントＩＤ１２０２「ｅｖ」が取る状態１２０３を集めて、状態１２０３の配列を「ｓｔａｔｅｓ」に代入する。例えば、「ｅｖ」が「５」のとき、イベントＩＤ１２０２が「５」であるレコードは、レコード１２１１、１２１４、１２１７、１２２１となる。これらのレコードの状態１２０３の値を集めると、配列 ［”運転”，”停止”］となり、この配列を「ｓｔａｔｅｓ」に代入する。

Ｓ１４０５では、「ｒｅｃｏｒｄｓ」の中で、イベントＩＤ１２０２「ｅｖ」の状態１２０３を維持している時間を集計する。例えば、「ｅｖ」が「５」のとき、状態１２０３が「運転」である時間は、レコード１２１１からレコード１２１４までの時間と、レコード１２１７からレコード１２２１までの時間とを、発生日時１２０１から計算し集計する。同様に、状態１２０３が「停止」である時間も集計する。

配列ｓｔａｔｅｓに［”運転”，”停止”］が入っている場合、「ｓｔａｔｅｓ［０］」は「運転」、「ｓｔａｔｅｓ［１］」は「停止」と参照できる。状態１２０３が「ｓｔａｔｅｓ［０］」である時間をＴ０、状態１２０３が「ｓｔａｔｅｓ［１］」である時間をＴ１とするとき、配列「ｓｕｍｓ」に［Ｔ０，Ｔ１］を代入する。

Ｓ１４０６では、「ｓｔａｔｅｓ［０］」と「ｓｔａｔｅｓ［１］」のどちらが非定常状態か判定する。状態１２０３を維持している時間が長い方を定常状態、短い方を非定常状態と定義する。「Ｔｒｕｅ」の場合は、Ｓ１４０７に進む。「Ｆａｌｓｅ」の場合は、Ｓ１４０８に進む。

Ｓ１４０７では、「ｓｕｍｓ［０］＜ｓｕｍｓ［１］」が成り立つので、「ｓｔａｔｅｓ［０］」が非定常状態である。したがって、「ｓｔａｔｅｓ［０］」には「１」を割り当て、「ｓｔａｔｅｓ［１］」には「－１」を割り当てる。増減割当記憶部１１７に登録するために、以下の情報を指定してレコードを作成する。

条件ＩＤ４０１に引数「条件ＩＤ」の値を指定、イベントＩＤ４０２に「ｅｖ」を指定、状態４０３に「ｓｔａｔｅｓ［０］」を指定、増減４０４に「１」を指定しレコードを登録する。

さらに、条件ＩＤ４０１に引数「条件ＩＤ」の値を指定、イベントＩＤ４０２に「ｅｖ」を指定、状態４０３に「ｓｔａｔｅｓ［１］」を指定、増減４０４に「－１」を指定しレコードを登録する。

例えば、「ｅｖ」が「５」のとき、レコード４１１、４１２を登録する。

Ｓ１４０８では、「ｓｕｍｓ［０］＜ｓｕｍｓ［１］」が成り立たないので、「ｓｔａｔｅｓ［１］」が非定常状態である。したがって、「ｓｔａｔｅｓ［０］」には「－１」を割り当て、「ｓｔａｔｅｓ［１］」には「１」を割り当てる。増減割当記憶部１１７に登録するために、以下の情報を指定してレコードを作成する。

条件ＩＤ４０１に引数「条件ＩＤ」の値を指定、イベントＩＤ４０２に「ｅｖ」を指定、状態４０３に「ｓｔａｔｅｓ［０］」を指定、増減４０４に「－１」を指定しレコードを登録する。

さらに、条件ＩＤ４０１に引数「条件ＩＤ」の値を指定、イベントＩＤ４０２に「ｅｖ」を指定、状態４０３に「ｓｔａｔｅｓ［１］」を指定、増減４０４に「１」を指定しレコードを登録する。

図１５は、部分シーケンス抽出部１１３の抽出方法の手順を示した処理フローである。本フローチャートの呼び出し時に引数が必要である。引数「条件ＩＤ」には、装置抽出条件記憶部１１６の条件ＩＤ３０１の値を指定する。引数「ｒｅｃｏｒｄｓ」には、ステップＳ１１０２の「ｒｅｃｏｒｄｓ」を指定する。

例えば、引数「ｒｅｃｏｒｄｓ」に図１２のレコード配列が入っている場合、Ｓ１５２０の時点で、「ｒｅｃｏｒｄｓ」は、図１６のようになる。

Ｓ１５０２では、変数を初期化する。「ｓｕｍ」に「０」を代入し、「ｓｔａｔｅｓ」に「｛｝」を代入する。「ｓｔａｔｅｓ」は出現した状態を管理するためのマップ（キーバリューストア）である。

Ｓ１５０３では、配列「ｒｅｃｏｒｄｓ」の各要素を「ｒ」に代入し、すべての要素「ｒ」に対してＳ１５２０までの処理を実行する。

Ｓ１５０４では、ループの中で使用する変数を初期化する。「ｅｖｅｎｔ＿ｉｄ」に「ｒ．イベントＩＤ」を代入する。「ｅｖｅｎｔ＿ｉｄ」には、レコード「ｒ」のイベントＩＤ１２０２の値が代入される。また、「ｓｔａｔｅ」に「ｒ．状態」を代入する。「ｓｔａｔｅ」には、レコード「ｒ」の状態１２０３の値が代入される。

Ｓ１５０５では、増減割当記憶部１１７からレコードを検索する。「条件ＩＤ」、「ｅｖｅｎｔ＿ｉｄ」、「ｓｔａｔｅ」が、条件ＩＤ４０１、イベントＩＤ４０２、状態４０３に合致するレコードを取得する。取得したレコードの増減４０４の値を「ｓｉｇｎ」に代入する。さらに、レコード「ｒ」の増減１６０５に「ｓｉｇｎ」を代入する。

Ｓ１５０６では、「ｓｕｍ＝＝０」であるか判定する。

「Ｔｒｕｅ」の場合は、Ｓ１５０７に進む。「ｓｕｍ＝＝０」の場合は、部分シーケンスの切り出しがまだ始まっていないことを表すため、Ｓ１５０７以降のステップで、部分シーケンス切り出しのための開始処理を行う。

「Ｆａｌｓｅ」の場合は、Ｓ１５１０に進む。「ｓｕｍ≠０」の場合は、部分シーケンスの切り出し中であることを表すため、Ｓ１５１０以降のステップで、部分シーケンスの切り出しを継続するか終了するかを判断する。

Ｓ１５０７では、「ｓｉｇｎ＞０」であるか判定する。

「Ｔｒｕｅ」の場合は、Ｓ１５０８に進む。「ｓｉｇｎ＞０」であるため、部分シーケンスの切り出しを正常に開始する。

「Ｆａｌｓｅ」の場合は、Ｓ１５０９に進む。部分シーケンスの切り出しが未開始のときに、「ｓｉｇｎ」が負のイベントは来てはならないため、エラー処理を行う。

Ｓ１５０８では、部分シーケンスの切り出し処理を開始する。「ｓｕｍ」に「ｓｕｍ＋ｓｉｇｎ」を代入し、レコード「ｒ」の合計１６０６に「ｓｕｍ」を代入する。さらに、マップ「ｓｔａｔｅｓ」にキー「ｅｖｅｎｔ＿ｉｄ」、値「ｓｔａｔｅ」を登録する。この「ｓｔａｔｅｓ」を使って、同じイベントが重複していないか（Ｓ１５１１）、イベントが正しく対になっているか（Ｓ１５１５）を判定する。レコード１６１１、１６１７がこのステップで変更するレコードである。

Ｓ１５０９では、レコード「ｒ」のエラー１６０７に”未登録”を代入する。「ｓｕｍ」が「０」のときに、「ｓｉｇｎ」が負のイベントが来ると、未登録エラーとなる。レコード１６２４が未登録エラーの例である。

Ｓ１５１０では、「ｓｉｇｎ＞０」であるか判定する。

「Ｔｒｕｅ」の場合は、Ｓ１５１１に進む。部分シーケンスの切り出し中に「ｓｉｇｎ」が正のイベントが出現したことを表す。

「Ｆａｌｓｅ」の場合は、Ｓ１５１７に進む。部分シーケンスの切り出し中に、「ｓｉｇｎ」が負のイベントが出現したことを表す。

Ｓ１５１１では、マップ「ｓｔａｔｅｓ」にキー「ｅｖｅｎｔ＿ｉｄ」が登録されていないか判定する。

「Ｔｒｕｅ」の場合は、Ｓ１５１２に進む。マップ「ｓｔａｔｅｓ」にキー「ｅｖｅｎｔ＿ｉｄ」が登録されていないということは、「ｅｖｅｎｔ＿ｉｄ」が正常に出現したことを表す。

「Ｆａｌｓｅ」の場合は、Ｓ１５１６に進む。マップ「ｓｔａｔｅｓ」に登録済の「ｅｖｅｎｔ＿ｉｄ」が出現したため、エラーとして処理する。

Ｓ１５１２では、マップ「ｓｔａｔｅｓ」にキー「ｅｖｅｎｔ＿ｉｄ」、値「ｓｔａｔｅ」を登録する。

Ｓ１５１３では、「ｓｕｍ」に「ｓｕｍ ＋ ｓｉｇｎ」を代入し、レコード「ｒ」の合計１６０６に「ｓｕｍ」を代入する。

Ｓ１５１４では、「ｓｕｍ ＝＝ ０」であるか判定する。

「Ｔｒｕｅ」の場合は、Ｓ１５１５に進む。「ｓｕｍ＝＝０」であるので、部分シーケンスの切り出しが正常に終了したことを表す。
「Ｆａｌｓｅ」の場合は、Ｓ１５２０に進む。「ｓｕｍ≠０」であるので、部分シーケンスの切り出しが継続中であることを表す。

Ｓ１５１５では、マップ「ｓｔａｔｅｓ」に「｛｝」を代入することで、マップを空にする。

Ｓ１５１６では、レコード「ｒ」のエラー１６０７に”重複”を代入する。「ｓｉｇｎ」が正のイベントで、マップ「ｓｔａｔｅｓ」に登録済のイベントが来た場合、重複エラーとなる。レコード１６２０が重複エラーの例である。

Ｓ１５１７では、マップ「ｓｔａｔｅｓ」にキー「ｅｖｅｎｔ＿ｉｄ」が登録されているか判定する。

「Ｔｒｕｅ」の場合は、Ｓ１５１８に進む。マップ「ｓｔａｔｅｓ」にキー「ｅｖｅｎｔ＿ｉｄ」が登録されているということは、対になる「ｓｉｇｎ」が正のイベントが出現済であることを表す。そのため、「ｓｉｇｎ」が負のイベントが正しく出現したことになる。

「Ｆａｌｓｅ」の場合は、Ｓ１５１９に進む。マップ「ｓｔａｔｅｓ」にキー「ｅｖｅｎｔ＿ｉｄ」が登録されていないということは、対になる「ｓｉｇｎ」が正のイベントが出現していないことを表す。そのため、エラーとして処理する。

Ｓ１５１８では、マップ「ｓｔａｔｅｓ」からキー「ｅｖｅｎｔ＿ｉｄ」を削除する。

Ｓ１５１９では、レコード「ｒ」のエラー１６０７に”未登録”を代入する。「ｓｉｇｎ」が正のイベントで、マップ「ｓｔａｔｅｓ」に未登録のイベントが来た場合、未登録エラーとなる。

Ｓ１５２１では、「ｒｅｃｏｒｄｓ」を部分シーケンスに分割する。合計が「１」のレコードから、合計が「０」のレコードまでを部分シーケンス（レコードの配列）とする。抽出した部分シーケンスの配列を「ｓｅｑｓ」に代入する。

例えば、この時点で、「ｒｅｃｏｒｄｓ」は図１６のようになっている。レコード１６１１からレコード１６１６が１つ目の部分シーケンスとなり、レコード１６１７からレコード１６２３までが２つ目の部分シーケンスとなる。

図１７は、テンプレート抽出部１１４の抽出方法の手順を示した処理フローである。本フローチャートの呼び出し時に引数が必要である。引数「条件ＩＤ」には、装置抽出条件記憶部１１６の条件ＩＤ３０１の値を指定する。引数「ｓｅｑｓ」には、ステップＳ１１０４の「ｓｅｑｓ」を指定する「ｓｅｑｓ」は部分シーケンス（レコードの配列）の配列である。

例えば、引数の配列「ｓｅｑｓ」には、１つ目の要素として、レコード１６１１からレコード１６１６の配列、２つ目の要素として、レコード１６１７からレコード１６２３の配列が入っている。

Ｓ１７０２では、「ｓｅｑｓ」の要素数から、すべてのインデックスの組み合わせを生成する。生成した組の配列を「ｐａｉｒｓ」に代入する。ここで生成した組み合わせをもとに、部分シーケンス間の距離を計算する。
例えば、図６のように、部分シーケンスがＳ０からＳ４まであるとき、「ｓｅｑｓ」には、［Ｓ０，Ｓ１，Ｓ２，Ｓ３，Ｓ４］が入っている。要素数が５なので、インデックス０～４から２つ取り出す組み合わせを生成すると［（０，１），（０，２），（０，３），（０，４），（１，２），（１，３），（１，４），（２，３），（２，４），（３，４）］のようにタプル（ｔｕｐｌｅ）の配列となる。この配列を「ｐａｉｒｓ」に代入する。

Ｓ１７０３では、配列「ｄｉｓｔａｎｃｅｓ」を「［］」で初期化する。

Ｓ１７０４では、配列「ｐａｉｒｓ」の各要素を「ｐ」に代入し、すべての要素「ｐ」に対してＳ１７０８までの処理を実行する。「ｐ」には、（１，２）のようなタプル形式で入っているため、「ｐ．０」で０番目の要素「１」、「ｐ．１」で１番目の要素「２」と参照できる。

Ｓ１７０５では、ループの中で使用する変数を初期化する。「ｘ」には、「ｓｅｑｓ」の「ｐ．０」番目の要素を代入する。「ｙ」には、「ｓｅｑｓ」の「ｐ．１」番目の要素を代入する。

Ｓ１７０６では、公知の方法を使って、「ｘ」と「ｙ」のレーベンシュタイン距離を計算する。計算した値を「ｄ」に代入する。

Ｓ１７０７では、計算したレーベンシュタイン距離から、タプル（ｐ．０，ｐ．１，ｄ）を作成し、配列「ｄｉｓｔａｎｃｅｓ」に追加する。

Ｓ１７０８では、ループが終了しているので、配列「ｄｉｓｔａｎｃｅｓ」の生成が完了している。例えば、配列「ｄｉｓｔａｎｃｅｓ」の内容は、（部分シーケンスＡ，部分シーケンスＢ，距離）であるため、図６のように無向グラフとして表現できる。

Ｓ１７０９では、配列「ｄｉｓｔａｎｃｅｓ」の中から、距離が「０」のものだけ取り出し、距離「０」で繋がっている部分シーケンスを集めてグループ化する。生成したグループの配列を「ｓａｍｅｓ」に代入する。

例えば、図６の場合、「ｓｅｑｓ」には、［Ｓ０，Ｓ１，Ｓ２，Ｓ３，Ｓ４］が入っている。距離「０」で繋がっているのは、［Ｓ０，Ｓ１，Ｓ２］となる。グループはインデックスの配列とするので、グループは［０，１，２］と表される。図６の場合、グループは１つしかないので、「ｓａｍｅｓ」には、［［０，１，２］］が代入される。

Ｓ１７１０では、配列「ｄｉｓｔａｎｃｅｓ」の中から、距離が近いものだけ取り出し、距離が近く繋がっている部分シーケンスを集めてグループ化する。生成したグループの配列を「ｎｅａｒｓ」に代入する。「距離が近い」は、例えば、部分シーケンス長の１／２未満のように決める。

例えば、図６の場合、Ｓ３とＳ４の距離が近いので、グループは［３，４］となる。グループは１つしかないので、「ｎｅａｒｓ」には［［３，４］］が代入される。

Ｓ１７１１では、配列「ｓａｍｅｓ」と配列「ｎｅａｒｓ」を連結して、「ｇｒｏｕｐｓ」に代入する。

例えば、図６の場合、［［０，１，２］，［３，４］］が「ｇｒｏｕｐｓ」に代入される。

Ｓ１７１２では、配列「ｇｒｏｕｐｓ」の各要素を「ｇ」に代入して、すべての要素「ｇ」に対してＳ１７１５までの処理を実行する。

Ｓ１７１３では、配列「ｇ」からテンプレート候補を選択する。選択した部分シーケンスのインデックスを「ｔ」に代入する。テンプレート候補を選択する方法は、例えば、ランダムに選んでもよいし、シーケンス長が最小のものを選んでもよい。

Ｓ１７１４では、テンプレート候補となる部分シーケンス（イベントの配列）を「ｓｅｑｓ［ｔ］」で取得し、テンプレート記憶部１１８に保存する。条件ＩＤ７０１に引数「条件ＩＤ」の値を指定、テンプレートＩＤ７０２に自動採番した値を指定、連番７０３に部分シーケンスの出現順を指定、イベントＩＤ７０４に部分シーケンスのレコードのイベントＩＤ１６０２を指定、状態７０５に部分シーケンスのレコードの状態１６０３を指定、イベント名７０６部分シーケンスのレコードのイベント名１６０４を指定しレコードを登録する。

図１８は、差分検出部１１５の検出方法の手順を示した処理フローである。本フローチャートの呼び出し時に引数が必要である。引数「条件ＩＤ」には、装置抽出条件記憶部１１６の条件ＩＤ３０１の値を指定する。引数「ｒｅｃｏｒｄｓ」には、ステップＳ１３０２の「ｒｅｃｏｒｄｓ」を指定する。

Ｓ１８０２では、Ｓ１５０１を呼び出している。Ｓ１５０１は引数「条件ＩＤ」、「ｒｅｃｏｒｄｓ」を持つ。「条件ＩＤ」には、Ｓ１８０１の引数「条件ＩＤ」を指定する。「ｒｅｃｏｒｄｓ」には、Ｓ１８０１の引数「ｒｅｃｏｒｄｓ」を指定する。抽出した部分シーケンスの配列を「ｓｅｑｓ」に代入する。

Ｓ１８０３では、Ｓ１８０２で抽出した部分シーケンス「ｓｅｑｓ」を部分シーケンス記憶部１１９に保存する。条件ＩＤ８０１に引数「条件ＩＤ」の値を指定、部分シーケンスＩＤ８０２に部分シーケンスを識別する自動採番した値を指定、連番８０３にイベントの出現順を指定、発生日時８０４にレコードの発生日時１６０１の値を指定、イベントＩＤ８０５に部分シーケンスのレコードのイベントＩＤ１６０２を指定、状態８０６に部分シーケンスのレコードの状態１６０３を指定、イベント名８０７に部分シーケンスのレコードのイベント名１６０４を指定しレコードを登録する。

Ｓ１８０４では、引数「条件ＩＤ」で生成されたテンプレートをテンプレート記憶部１１８から取得する。取得したテンプレートの配列を配列「ｔｅｍｐｌｓ」に代入する。

Ｓ１８０５では、配列「ｓｅｑｓ」の各要素を「ｓｅｑ」に代入し、すべての要素「ｓｅｑ」に対してＳ１８１４までの処理を実行する。

Ｓ１８０６では、「ｔｅｍｐｌ」に「［］」を代入し、「ｍｉｎ」に「９９９９」を代入する。

Ｓ１８０７では、配列「ｔｅｍｐｌｓ」の各要素を「ｔ」に代入し、すべての要素「ｔ」に対してＳ１８１１までの処理を実行する。このループで、「ｓｅｑ」と距離が最小になるテンプレートを見つけ「ｔｅｍｐｌ」に保存する。

Ｓ１８０８では、公知の方法を使って、部分シーケンス「ｓｅｑ」とテンプレート「ｔ」とのレーベンシュタイン距離を計算する。計算した値を「ｄ」に代入する。

Ｓ１８０９では、「ｄ＜ｍｉｎ」を判定する。「Ｔｒｕｅ」の場合は、Ｓ１８１０に進む。「Ｆａｌｓｅ」の場合は、Ｓ１８１１に進む。

Ｓ１８１０では、「ｍｉｎ」に「ｄ」を代入し、「ｔｅｍｐｌ」に「ｔ」を代入する。

Ｓ１８１２では、公知の方法を使って、「ｓｅｑ」と「ｔｅｍｐｌ」との最小編集手順を計算する。計算結果を「ｓｅｓ」に代入する。

例えば、「ｓｅｑ」が図９の９０１であり、「ｔｅｍｐｌ」が９０２であるとき、「ｓｅｓ」には、［（”削除”，４，０），（”削除”，６，０），（”置換”，８，６）］が代入される。

Ｓ１８１３では、差分（最小編集手順）を差分記憶部１２０に保存する。条件ＩＤ１００１に引数「条件ＩＤ」を指定する。部分シーケンスＩＤ１００２に「ｓｅｑ．部分シーケンスＩＤ」を指定する。テンプレートＩＤ１００３に「ｔｅｍｐｌ．テンプレートＩＤ」を指定する。操作順１００４に「ｓｅｓ」の連番を指定する。操作１００５に、「削除」「挿入」「置換」のいずれかを指定する。対象Ｓ１００６に部分シーケンスの操作対象の連番を指定する。対象Ｔ１００７にテンプレートの捜査対象の連番を指定する。ただし、操作１００５が「削除」のときは、対象Ｔ１００７は指定しない。

上記により、イベントを記録したログデータから一連のイベント群である特定シーケンス（部分シーケンス）を適切に出力することができ、出力された特定シーケンスに基づいてログデータを解析することが可能となる。

以上、いくつかの実施形態について示したが、本発明は、例えば、システム、装置、方法、コンピュータプログラムもしくは記録媒体等としての実施態様をとることが可能であり、具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

また、本発明におけるコンピュータプログラムは、各フローチャートの処理方法をコンピュータが実行可能なコンピュータプログラムであり、本発明の記憶媒体は各フローチャートの処理方法をコンピュータが実行可能なコンピュータプログラムが記憶されている。なお、本発明におけるコンピュータプログラムは各フローチャートの各装置の処理方法ごとのコンピュータプログラムであってもよい。

以上のように、前述した実施形態の機能を実現するコンピュータプログラムを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたコンピュータプログラムを読出し実行することによっても、本発明の目的が達成されることは言うまでもない。

この場合、記録媒体から読み出されたコンピュータプログラム自体が本発明の新規な機能を実現することになり、そのコンピュータプログラムを記憶した記録媒体は本発明を構成することになる。

コンピュータプログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＤＶＤ－ＲＯＭ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、シリコンディスク、ソリッドステートドライブ等を用いることができる。

また、コンピュータが読み出したコンピュータプログラムを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのコンピュータプログラムの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記録媒体から読み出されたコンピュータプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのコンピュータプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

また、本発明は、複数の機器から構成されるシステムに適用しても、１つの機器からなる装置に適用してもよい。また、本発明は、システムあるいは装置にコンピュータプログラムを供給することによって達成される場合にも適応できることは言うまでもない。この場合、本発明を達成するためのコンピュータプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

さらに、本発明を達成するためのコンピュータプログラムをネットワーク上のサーバ、データベース等から通信プログラムによりダウンロードして読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

なお、上述した各実施形態およびその変形例を組み合わせた構成も全て本発明に含まれるものである。

１０１ ログ分析装置

Claims (10)

1. 対象の状態を変えるイベントを時系列に記録したログデータを取得する取得手段と、
   前記取得手段により取得したログデータから、前記対象の状態を第２の状態から第１の状態に変える第１イベントと、当該対象の状態を第２の状態に変える第２イベントとを特定する特定手段と、
   複数の対象に係る一連のイベントであって、前記特定手段にて特定された前記対象に係る第１イベントと当該対象に係る第２イベントとの対を含む一連のイベントを出力する出力手段と
   を備えることを特徴とする情報処理装置。
2. 前記出力手段は、前記対象に係る第１イベントの数と当該対象に係る第２イベントの数が一致する一連のイベントを出力することを特徴とする請求項１に記載の情報処理装置。
3. 前記出力されるイベントは、所定の条件を満たす複数の対象に係る第１イベントと第２イベントとの対を含む一連のイベントであることを特徴とする請求項１または２に記載の情報処理装置。
4. 前記所定の条件は、同一の装置に係る対象であることを示す条件であることを特徴とする請求項３に記載の情報処理装置。
5. 前記対象において、第１の状態は非定常状態、第２の状態は定常状態であることを特徴とする請求項１～４のいずれか１項に記載の情報処理装置。
6. 前記特定手段は、前記対象に係る対となるイベントについて、一方のイベントが発生してから他方のイベントが発生するまでの経過時間に基づいて第１イベントか第２イベントかを特定することを特徴とする請求項１～５のいずれか１項に記載の情報処理装置。
7. 前記出力手段により出力される一連のイベントのうち、含まれるイベントが同一または類似するかの判定に基づいて、基準となる一連のイベントを出力する基準出力手段を備えることを特徴とする請求項１～６のいずれか１項に記載の情報処理装置。
8. 前記出力手段により出力される一連のイベントと、前記基準出力手段により出力される基準となる一連のイベントとを比較した結果を出力する比較出力手段を備えることを特徴とする請求項７に記載の情報処理装置。
9. 取得手段が、対象の状態を変えるイベントを時系列に記録したログデータを取得する取得ステップと、
   特定手段が、前記取得ステップで取得したログデータから、前記対象の状態を第２の状態から第１の状態に変える第１イベントと、当該対象の状態を第２の状態に変える第２イベントとを特定する特定ステップと、
   出力手段が、複数の対象に係る一連のイベントであって、前記特定ステップで特定された前記対象に係る第１イベントと当該対象に係る第２イベントとの対を含む一連のイベントを出力する出力ステップと
   を備えることを特徴とする情報処理装置の制御方法。
10. 情報処理装置を、
    対象の状態を変えるイベントを時系列に記録したログデータを取得する取得手段と、
    前記取得手段により取得したログデータから、前記対象の状態を第２の状態から第１の状態に変える第１イベントと、当該対象の状態を第２の状態に変える第２イベントとを特定する特定手段と、
    複数の対象に係る一連のイベントであって、前記特定手段にて特定された前記対象に係る第１イベントと当該対象に係る第２イベントとの対を含む一連のイベントを出力する出力手段
    として機能させるためのプログラム。

Images