WO2017085921A1 - ログ分析システム、方法およびプログラム - Google Patents

ログ分析システム、方法およびプログラム Download PDF

Info

Publication number
WO2017085921A1
WO2017085921A1 PCT/JP2016/004858 JP2016004858W WO2017085921A1 WO 2017085921 A1 WO2017085921 A1 WO 2017085921A1 JP 2016004858 W JP2016004858 W JP 2016004858W WO 2017085921 A1 WO2017085921 A1 WO 2017085921A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
variable
unit
analysis
combination
Prior art date
Application number
PCT/JP2016/004858
Other languages
English (en)
French (fr)
Inventor
遼介 外川
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2017551530A priority Critical patent/JP6965748B2/ja
Publication of WO2017085921A1 publication Critical patent/WO2017085921A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment

Definitions

  • the present invention relates to a log analysis system, method, and program for performing log analysis.
  • logs including event results and messages are output from a plurality of devices and programs.
  • the log analysis system detects an abnormal thing according to a predetermined standard from the outputted logs, and outputs it to a user (operator or the like) as an abnormal log.
  • the cause of the abnormality may not be identified directly from a single abnormal log. In that case, the user needs to search the cause of the abnormality by referring to a large number of logs. In particular, a user with little experience or knowledge takes a long time to reach the cause of the abnormality from the log.
  • Patent Document 1 discloses a technique for previously registering an event pattern and its cause and countermeasure method in association with each other based on past knowledge, and acquiring the cause and countermeasure method for the event pattern of the input log. By using the technique of Patent Document 1, the user can quickly know the cause for the registered event pattern.
  • Patent Document 2 a location indicating a component is specified from a log, an influence corresponding to the component is determined from a predetermined influence list, and the importance of the log is determined based on the influence.
  • a technique for setting is disclosed.
  • Patent Document 1 can acquire a cause for a registered event pattern, it cannot acquire a cause for an unregistered event pattern. That is, since the technique of Patent Document 1 indicates the cause of abnormality by defining rules based on knowledge individually in advance, it is applied to a log that does not have knowledge (information) defined in advance regarding the cause of abnormality. Can not do it.
  • Patent Document 2 requires that the degree of influence for each component is registered in advance in the degree of influence list. For this reason, the technique of Patent Document 2 is premised on knowledge (information) defined in advance for each component, and cannot be applied to a log having no knowledge for each component.
  • the present invention has been made in view of the above-described problem, and a log that outputs information indicating the cause of an abnormality to a user even for a log in which a rule indicating the cause of the abnormality is not defined
  • An object is to provide an analysis system, method and program.
  • a first aspect of the present invention is a log analysis system, comprising: a variable extraction unit that extracts a value of a variable part from an analysis target log based on a format determined in advance based on characteristics of the log; and A log analysis unit that weights the analysis target log based on the value.
  • a log analysis method the step of extracting a value of a variable part from an analysis target log based on a format predetermined based on a characteristic of the log, and the value of the variable part. And a step of weighting the analysis target log.
  • a log analysis program comprising: extracting a value of a variable part from an analysis target log based on a format predetermined based on a log characteristic; And a step of weighting the analysis target log based on the value of.
  • the user since weighting is performed based on the value of the variable part included in the analysis target log, the user searches for the cause of the abnormality by referring to the abnormal log or the value of the variable part included in the abnormal log. Becomes easier.
  • FIG. 1 is a block diagram of a log analysis system 100 according to the present embodiment.
  • arrows indicate main data flows, and there may be data flows other than those shown in FIG.
  • each block shows a functional unit configuration, not a hardware (device) unit configuration. Therefore, the blocks shown in FIG. 1 may be implemented in a single device, or may be separately implemented in a plurality of devices. Data exchange between the blocks may be performed via any means such as a data bus, a network, a portable storage medium, or the like.
  • the log analysis system 100 includes a log input unit 110, a format determination unit 120, a log abnormality analysis unit 130, a weighting unit 140, and an output unit 150 as processing units.
  • the log analysis system 100 includes a format storage unit 161 and a model storage unit 162 as storage units.
  • the log input unit 110 acquires the analysis target log 10 and inputs it to the log analysis system 100.
  • the analysis target log 10 may be acquired from the outside of the log analysis system 100, or may be acquired by reading what is recorded in advance in the log analysis system 100.
  • the analysis target log 10 includes one or more logs output from one or more devices or programs.
  • the analysis target log 10 is a log expressed in an arbitrary data format (file format), and may be binary data or text data, for example.
  • the analysis target log 10 may be recorded as a database table or may be recorded as a text file.
  • FIG. 2A is a schematic diagram of an exemplary analysis target log 10.
  • the analysis target log 10 in this embodiment includes one log output from the apparatus or program as one unit, and includes one or more arbitrary numbers of logs.
  • One log may be a single-line character string, or may be a multi-line character string. That is, the analysis target log 10 indicates the total number of logs included in the analysis target log 10, and the log indicates one log extracted from the analysis target log 10.
  • Each log includes a time stamp and a message.
  • the log analysis system 100 is not limited to a specific type of log, and can analyze a wide variety of logs. For example, a log that records a message output from an operating system such as a syslog or an event log can be used as the analysis target log 10. Further, a log of a security device on the network such as IDS (Intrusion Detection System) or IPS (Intrusion Prevention System) can also be used as the analysis target log 10.
  • IDS Intrusion Detection System
  • the format determination unit 120 is a variable extraction unit, determines which format recorded in advance in the format storage unit 161 for each log included in the analysis target log 10, and selects a compatible format. To separate each log into variable and constant parts.
  • the format is a log format determined in advance based on log characteristics.
  • the log characteristics include a property that it is easy or difficult to change between logs that are similar to each other, and a property that a character string that can be regarded as a portion that easily changes in the log is described.
  • the variable portion is a changeable portion in the format, and the constant portion is a portion that does not change in the log format.
  • the value of the variable part in the input log (including numerical values, character strings, and other data) is called a variable value.
  • variable part and the constant part are different for each format. Therefore, a part defined as a variable part in one format may be defined as a constant part in another format, and vice versa.
  • the cause of the abnormality can be determined without knowledge of the event pattern or the component that is the cause of the abnormality. Suggestive information can be provided.
  • FIG. 2B is a schematic diagram of an exemplary format recorded in the format storage unit 161.
  • the format includes a character string that represents the format associated with the unique ID.
  • the format is defined as a variable part by describing a predetermined identifier in a variable part in the log, and a part other than the variable part in the log is defined as a constant part.
  • “ ⁇ variable: timestamp>” indicates a variable portion representing a time stamp
  • ⁇ variable: character string> indicates a variable portion representing an arbitrary character string
  • > Represents a variable part representing an arbitrary numerical value
  • ⁇ variable: IP> represents a variable part representing an arbitrary IP address.
  • Variable identifiers are not limited to these, and may be defined by an arbitrary method such as a regular expression or a list of possible values. Further, the format may be configured only by the constant part without including the variable part, or may be configured only by the variable part without including the constant part.
  • the format determination unit 120 determines that the log on the third line in FIG. 2A is compatible with the format whose ID is 223 in FIG. 2B. Then, the format determination unit 120 processes the log based on the determined format, and includes “2015/08/17 08:29:59” as a time stamp, “SV008” as a character string, and an IP address. “192.168.1.23” is determined as a variable value.
  • the format is represented by a list of character strings for visibility, but may be represented in any data format (file format), for example, binary data or text data.
  • file format for example, binary data or text data.
  • the format may be recorded as a text file in the format storage unit 161 or may be recorded in the format storage unit 161 as a database table.
  • the log abnormality analysis unit 130 determines whether or not the variable value in the log determined by the format determination unit 120 is abnormal based on the model recorded in the model storage unit 162 in advance.
  • a model is a definition of the normal behavior of a log.
  • One or more models are recorded in the model storage unit 162 in advance.
  • the model is, for example, that a numeric variable value is within a predetermined range in a certain format, or that a character string variable value is already registered in a certain format.
  • the model is not limited to this, and any definition may be used.
  • the log abnormality analysis unit 130 determines that the log is abnormal when the input log does not match any model in the model storage unit 162, and inputs the log to the next weighting unit 140 as an abnormality log. On the other hand, when the input log matches any model in the model storage unit 162, the log abnormality analysis unit 130 determines that the log is a normal log and does not input the log to the weighting unit 140.
  • the weighting unit 140 is a log analysis unit, and weights the abnormality log output from the log abnormality analysis unit 130.
  • the weighting unit 140 first extracts a variable value that is commonly included in two or more abnormality logs from among the variable values included in the plurality of abnormality logs input from the log abnormality analysis unit 130.
  • a variable value that is commonly included in two or more abnormality logs is referred to as a common variable value.
  • the weighting unit 140 calculates the number (frequency) at which each common variable value appears in the plurality of abnormality logs input from the log abnormality analysis unit 130.
  • the weighting unit 140 associates the common variable value with the calculated frequency, weights the common variable value with a higher frequency so as to be higher, and outputs the weighted result.
  • the weighting unit 140 based on whether or not a variable value that is a part of the abnormality log is included in two or more abnormality logs, and the frequency of occurrence of the variable value in the abnormality log, Perform weighting.
  • the log analysis system 100 can make it easier for the user to identify the cause of the abnormality by notifying the user of such a variable value.
  • FIG. 2C is a schematic diagram illustrating an exemplary weighting result by the weighting unit 140.
  • the weighting result includes a common variable value, a calculated frequency, and a ranking given in descending order of frequency.
  • the weighting result is represented by a list of character strings and numerical values for visibility, but may be represented in an arbitrary data format (file format), for example, binary data or text data.
  • the output unit 150 outputs the weighting result by the weighting unit 140.
  • the output unit 150 outputs the weighting result to the display device 20, and the display device 20 displays the weighting result as an image for the user.
  • the display device 20 includes a display unit such as a liquid crystal display for displaying an image and a CRT (Cathode Ray Tube) display.
  • FIGS. 3A and 3B are schematic diagrams illustrating exemplary weighting result display screens using the display device 20.
  • Screen A shown in FIG. 3A displays the common variable values rearranged according to the weighting results by weighting section 140 and their ranks.
  • the common variable value is displayed higher as the rank is higher, that is, as the frequency is higher.
  • “SV008” which is the highest-order variable value is highlighted by bold and underline. Thereby, the user can easily know a variable value having a high probability of causing an abnormality.
  • the character type, color, size, etc. of the variable value may be changed.
  • Screen B shown in FIG. 3B displays the common variable values rearranged according to the weighting result by weighting unit 140 and their ranks, and the abnormality log output from log abnormality analysis unit 130 including the common variable value. To do. Further, on the screen B, “SV008” which is the highest variable value is highlighted in bold and underlined in the abnormality log. As a result, the user can easily know the variable value that is highly likely to cause an abnormality and the appearance location in the log. In order to emphasize the upper variable value, the character type, color, size, etc. of the variable value may be changed.
  • the screens shown in FIGS. 3A and 3B are examples, and any display method may be used as long as the log or a variable value that is a part of the log can be displayed so that the weighting result by the weighting unit 140 can be understood by the user.
  • the common variable value included in the weighting result is included in two or more abnormality logs. Therefore, the user can estimate that the probability that the common variable value displayed on the screens of FIGS. 3A and 3B is the cause of the abnormality is high. Furthermore, since the higher common variable value in the weighting result has a higher appearance frequency in the abnormality log, the user has a higher probability that the upper one among the common variable values displayed on the screen is the cause of the abnormality. Can be guessed.
  • the output method of the weighting result is not limited to the image display for the user.
  • the output unit 150 may output the weighting result as data, and the log analysis system 100 or other system may perform analysis processing, statistical processing, or the like on the weighting result data from the output unit 150.
  • the log analysis system 100 or other system may automatically determine the cause of the abnormality based on the weighted result data from the output unit 150.
  • FIG. 4 is a schematic configuration diagram illustrating an exemplary device configuration of the log analysis system 100 according to the present embodiment.
  • the log analysis system 100 includes a CPU (Central Processing Unit) 101, a memory 102, a storage device 103, and a communication interface 104.
  • the log analysis system 100 may be connected to the display device 20 via the communication interface 104 or may include the display device 20.
  • the log analysis system 100 may be an independent device or may be integrated with other devices.
  • the communication interface 104 is a communication unit that transmits and receives data, and is configured to be able to execute at least one communication method of wired communication and wireless communication.
  • the communication interface 104 includes a processor, an electric circuit, an antenna, a connection terminal, and the like necessary for the communication method.
  • the communication interface 104 is connected to a network using the communication method in accordance with a signal from the CPU 101 to perform communication. For example, the communication interface 104 receives the analysis target log 10 from the outside.
  • the storage device 103 stores a program executed by the log analysis system 100, data of a processing result by the program, and the like.
  • the storage device 103 includes a read-only ROM (Read Only Memory), a readable / writable hard disk drive, a flash memory, or the like.
  • the storage device 103 may include a computer-readable portable storage medium such as a CD-ROM.
  • the memory 102 includes a RAM (Random Access Memory) that temporarily stores data being processed by the CPU 101, a program read from the storage device 103, and data.
  • the CPU 101 temporarily records temporary data used for processing in the memory 102, reads a program recorded in the storage device 103, and performs various calculations, control, discrimination, etc. on the temporary data according to the program It is a processor as a process part which performs these processing operations.
  • the CPU 101 records processing result data in the storage device 103 and transmits processing result data to the outside via the communication interface 104.
  • the CPU 101 functions as the log input unit 110, the format determination unit 120, the log abnormality analysis unit 130, the weighting unit 140, and the output unit 150 in FIG. 1 by executing a program recorded in the storage device 103.
  • the storage device 103 functions as the format storage unit 161 and the model storage unit 162 in FIG.
  • the log analysis system 100 is not limited to the specific configuration shown in FIG.
  • the log analysis system 100 is not limited to a single device, and may be configured by connecting two or more physically separated devices in a wired or wireless manner.
  • Each unit included in the log analysis system 100 may be realized by an electric circuit configuration.
  • the electric circuit configuration is a term that conceptually includes a single device, a plurality of devices, a chipset, or a cloud.
  • At least a part of the log analysis system 100 may be provided in SaaS (Software as a Service) format. That is, at least a part of functions for realizing the log analysis system 100 may be executed by software executed via a network.
  • SaaS Software as a Service
  • FIG. 5 is a diagram showing a flowchart of a log analysis method using the log analysis system 100 according to the present embodiment.
  • the log input unit 110 acquires the analysis target log 10 and inputs it to the log analysis system 100 (step S101).
  • the format determination unit 120 determines whether one format included in the analysis target log 10 input in step S101 is a determination target, and is compatible with any of the formats recorded in the format storage unit 161 (step) S102).
  • steps S102 to S103 are performed with the next log of the analysis target log 10 as the determination target. repeat.
  • the format determination unit 120 uses the format to change the determination target log to a variable. A part and a constant part are separated (step S104). The format determination unit 120 records the variable value in the determination target log.
  • the log abnormality analysis unit 130 determines whether or not the determination target log matches any model recorded in the model storage unit 162 based on the variable value acquired in step S104 (step S105). When the determination target log does not match any model recorded in the model storage unit 162, the log abnormality analysis unit 130 determines that the determination target log is an abnormality log. On the other hand, when the determination target log matches any model recorded in the model storage unit 162, the log abnormality analysis unit 130 determines that the determination target log is a normal log.
  • steps S102 to S106 are repeated with the next log of the analysis target log 10 as a determination target.
  • the weighting unit 140 selects two or more of the variable values included in the abnormality log determined in step S105.
  • the variable values (common variable values) included in the abnormality log are extracted, and the number (frequency) at which each common variable value appears in the abnormality log is calculated. Then, the weighting unit 140 associates the acquired common variable value with the frequency, weights the higher so that the higher the frequency, and outputs the weighted result (step S107).
  • the output unit 150 outputs the weighting result acquired in step S107 to the display device 20 and displays it for the user (step S108).
  • the log analysis system 100 indicates a variable value having a high probability of causing an abnormality to the user by performing weighting based on a variable value that is commonly included in a plurality of abnormality logs. . This makes it easy for the user to search for the cause of the abnormality.
  • FIG. 6 is a block diagram of a log analysis system 100-1 according to a first modification of the first embodiment.
  • the log analysis system 100-1 includes a component extraction unit 131 and a configuration information storage unit 163 in addition to the configuration of FIG.
  • the configuration information storage unit 163 records configuration information related to the system that outputs the analysis target log 10 in advance.
  • the configuration information includes components included in the system that outputs the analysis target log 10 (for example, a physical device such as a server, a virtual device such as a virtual machine, various programs, and the like), and a dependency relationship between the components (a network connection relationship, Information indicating the master-slave relationship of virtual devices and programs).
  • the component extraction unit 131 extracts a variable value that matches the component recorded in the configuration information storage unit 163 from among the variable values included in the abnormality log input from the log abnormality analysis unit 130. That is, the weighting unit 140 extracts and outputs the constituent elements included in the common variable value. Thereafter, the weighting unit 140 weights the abnormality log using only the variable value indicating the component extracted by the component extraction unit 131.
  • FIG. 7A and 7B are schematic views showing exemplary weighting result display screens using the display device 20.
  • a screen C shown in FIG. 7A displays a common variable value indicating a component extracted by the component extraction unit 131 and a rank table C1 including the rank.
  • “SV008”, which is the highest variable value in the ranking table C1 is highlighted by bold and underline. Thereby, the user can easily know a variable value having a high probability of causing an abnormality.
  • the character type, color, size, etc. of the variable value may be changed.
  • the screen C displays a configuration diagram C2 showing each component and the relationship between them based on the configuration information recorded in the configuration information storage unit 163.
  • symbols here, circles
  • a character string indicating the component is displayed in the vicinity of the symbol indicating the component.
  • the constituent element of the highest common variable value is emphasized by a triple circle C3
  • the constituent elements of other common variable values are emphasized by a double circle C4.
  • the user can easily know a component having a high probability of causing an abnormality.
  • the type, color, size, etc. of the symbol or character string indicating the constituent element may be changed.
  • the color of the character string of the variable value in the ranking table C1 may be the same as the color of the character string of the variable value in the configuration diagram C2. .
  • screen D shown in FIG. 7B highlights the lines connecting the components that correspond to a highly probable relationship that is the cause of the abnormality.
  • the ranking table D1 displays a relationship in which both ends are common variable values in addition to the common variable values. That is, the weighting unit 140 extracts and outputs the relationship between the constituent elements related to the common variable value. For example, since “SV002” and “SV005” are common variable values, the relationship between them is also displayed as having a high probability of causing an abnormality. In particular, since network devices often fail without outputting a clear log, such a display can indicate to the user that there is a problem with the network connection.
  • a line indicating a relationship in which both ends are common variable values is highlighted by a broken line D3.
  • the user can easily know the relationship between components having a high probability of causing an abnormality.
  • the line type, color, thickness, and the like may be changed.
  • a character string such as “abnormal” or a symbol indicating abnormality may be attached in the vicinity of the line.
  • Screens C and D in FIGS. 7A and 7B may display all the components included in the weighting result, or display only a predetermined number of components (for example, only the first-ranked component) according to the weighting result. Also good.
  • the log analysis system 100-1 performs weighting using only the variable values related to the constituent elements for weighting, and outputs the weighting result.
  • the cause of abnormality is often a component. Therefore, the log analysis system 100-1 can make it easier for the user to find the cause of the abnormality by outputting only the variable values related to the constituent elements as the weighting result.
  • FIG. 8 is a block diagram of a log analysis system 100-2 according to a second modification of the first embodiment.
  • the log analysis system 100-2 includes a format learning unit 171 and a model learning unit 172 in addition to the configuration of FIG.
  • the format learning unit 171 creates a new format if the determination target log does not match any format recorded in the format storage unit 161. Records in the storage unit 161.
  • the format learning unit 171 As a first method for the format learning unit 171 to learn the format, the format learning unit 171 accumulates a plurality of logs whose formats are unknown, and a variable part that changes statistically and a constant that does not change. By separating the part, it can be defined as a new format. As a second method for the format learning unit 171 to learn the format, the format learning unit 171 reads a list of known variable values and matches or resembles a known variable value in a log whose format is unknown. A new format can be defined by determining the part to be changed as a variable part and determining the other part as a constant part. As a known variable value, the value itself may be used, or a pattern such as a regular expression may be used. The format learning method is not limited to these, and any learning algorithm capable of defining a new format for the input log may be used.
  • the model learning unit 172 creates a new model if the determination target log does not match any model recorded in the model storage unit 162. Record in the model storage unit 162.
  • the log abnormality analysis unit 130 determines that a log that does not match any model recorded in the model storage unit 162 in advance is an abnormality log. However, even if the log is unknown, it may be a normal log. is there. In this case, when the user inputs an instruction that the log that does not match the model in the model storage unit 162 is a normal log via the input device, the model learning unit 172 creates a new model based on the format and variable value of the log. Is recorded in the model storage unit 162.
  • the model learning method is not limited to this, and an arbitrary learning algorithm that can newly define a model from an input log may be used.
  • the log analysis system 100-2 since the log analysis system 100-2 includes the format and model learning unit, it is possible to newly generate and record a format and model from a log including an unknown format and model.
  • FIG. 9 is a block diagram of the log analysis system 200 according to the present embodiment.
  • arrows indicate main data flows, and there may be data flows other than those shown in FIG.
  • each block shows a functional unit configuration, not a hardware (device) unit configuration. Therefore, the blocks shown in FIG. 9 may be implemented in a single device, or may be separately implemented in a plurality of devices. Data exchange between the blocks may be performed via any means such as a data bus, a network, a portable storage medium, or the like.
  • the log analysis system 200 may be implemented with the same or other device configuration as in FIG.
  • the log analysis system 200 includes a log input unit 210, a format determination unit 220, a log abnormality analysis unit 230, a weighting unit 240, and an output unit 250 as processing units.
  • the log analysis system 200 includes a format storage unit 261, a model storage unit 262, and a distribution information storage unit 263 as storage units.
  • the configuration of the log input unit 210, the format determination unit 220, the log abnormality analysis unit 230, the format storage unit 261, and the model storage unit 262 are respectively the log input unit 110, the format determination unit 120, and the log abnormality analysis unit of the first embodiment.
  • the configuration is the same as that of the format storage unit 161 and the model storage unit 162.
  • the weighting unit 240 is a log analysis unit, and weights variable values included in an abnormality log output from the log abnormality analysis unit 230 based on distribution information recorded in advance in the distribution information storage unit 263.
  • the distribution information includes a range in which a variable value can normally take in a certain format, that is, a distribution width.
  • the distribution width of the variable value may be recorded in the distribution information storage unit 263 by extracting the variable value from a plurality of normal logs and statistically determining a range that the variable value can normally take. Alternatively, the distribution width of the variable value may be recorded in the distribution information storage unit 263 when the user inputs a value that the variable value can normally take.
  • FIGS. 10A and 10B are schematic diagrams of exemplary distribution information recorded in the distribution information storage unit 263.
  • the distribution information includes a distribution of possible variable values associated with a unique ID and a distribution width thereof.
  • the distribution information in FIG. 10A shows a case where the variable values that can be taken are character strings. In this case, the number of types of variable values that can be taken may be used as the distribution width. In FIG. 10A, for example, the distribution with ID 1 includes five types of character strings, and thus the distribution width is 5.
  • the distribution information in FIG. 10B shows the case where the variable values that can be taken are numerical values. In this case, the difference between the maximum value and the minimum value of the variable values that can be taken, the average value, the variance value, the chi-square value, etc. Any number that can represent the distribution of numerical values may be used as the distribution width.
  • a variance value is used as the distribution width.
  • a distribution whose ID is 1 includes numerical values of 10, 20, 30, and 100, and thus the distribution width is 1250.
  • character string distribution information and numerical value distribution information are recorded separately, but they may be recorded together. In this case, it is desirable to normalize the distribution width of the character string and the distribution width of the numerical values so that they can be compared with each other.
  • the ID of the distribution information is associated with the variable part in the format by, for example, an association table that associates the variable part in the format with the distribution information. For example, if “ ⁇ variable: character string>” in the format whose ID is 039 in FIG. 2B is associated with the distribution width whose ID is 1 in FIG. 10A, the variable portion is SV001 to SV005. It can be seen that any value is taken and the distribution width is 5.
  • the weighting unit 240 acquires the distribution width from the distribution information storage unit 263 for each variable value included in the abnormality log output from the log abnormality analysis unit 230. Then, the weighting unit 240 associates the variable value with the acquired distribution width, weights the distribution value so as to be higher as the distribution width is smaller, and outputs the weighted result.
  • the abnormality log is weighted based on the distribution width that can be taken by the variable values that are part of the abnormality log.
  • the variable part with a large distribution width is often assigned by a random number from the system or a large number of lists. It is considered that the probability of being abnormal is low.
  • variable part with a small distribution width has a limited range of fluctuation in the normal state, so if the variable value deviates from the normal time, the severity of the abnormality is large and the cause of the abnormality or abnormal It seems to be related. Therefore, the log analysis system 200 can make it easier for the user to specify the cause of the abnormality by notifying the user of such a variable value.
  • the weighting unit 240 weights each variable value included in the abnormality log output from the log abnormality analysis unit 230 based on the amount deviating from the distribution width acquired from the distribution information storage unit 263. Also good. In this case, when the variable value is out of the range of the distribution width, weighting is performed so that the higher the difference (absolute value) between the maximum or minimum value of the distribution width and the variable value, the higher the value. Output as a result. Since a variable value whose normal variable value deviates from the distribution width is considered to be more serious as an abnormality, the weighting unit 240 can notify the user of such a variable value.
  • the output unit 250 outputs the weighting result by the weighting unit 240 in the same manner as the output unit 150 of the first embodiment.
  • 11A to 11D are schematic diagrams showing exemplary weighting result display screens. Screen E shown in FIG. 11A displays the variable values rearranged according to the weighting result by weighting section 240 and their ranks.
  • the screen F shown in FIG. 11B displays an arrow F2 indicating the position of the variable value in the abnormality log together with the bar graph F1 indicating the distribution width.
  • the screen G shown in FIG. 11C displays an arrow G2 representing the position of the variable value in the abnormality log, along with the frequency distribution graph G1.
  • a screen H shown in FIG. 11D displays a list of frequency distribution ratios, in which variable values in the abnormality log are highlighted with bold and underline. The frequency itself may be displayed instead of the frequency distribution ratio. In order to emphasize the variable value, the character type, color, size, etc. of the variable value may be changed.
  • the screen G and the screen H not only the values that can be taken by the variable part but also the frequency thereof must be recorded in the distribution information storage unit 263 in advance.
  • the user can easily recognize how much the variable value in the abnormality log deviates from the distribution width.
  • the screen H even if the value is a discrete value such as a character string, the relationship between the variable value in the abnormality log and the distribution width can be easily recognized.
  • any display method that can indicate the positional relationship between the variable value and the distribution width in the abnormality log may be used.
  • the flowchart of the log analysis method using the log analysis system 200 according to the present embodiment is basically the same as that in FIG. 5, and only the weighting process in step S107 is different.
  • the weighting unit 240 acquires the distribution width from the distribution information storage unit 263 for each variable value included in the abnormality log determined in step S105. Then, the weighting unit 240 associates the variable value in the abnormality log with the acquired distribution width, weights the distribution value so as to be higher as the distribution width is smaller, and outputs the weighted result (step S107).
  • the log analysis system 200 weights the variable values included in the abnormality log based on the distribution range of the variable values, thereby giving the user variable values that have a high probability of causing an abnormality. Can show. This makes it easy for the user to search for the cause of the abnormality.
  • a format learning unit 171 and a model learning unit 172 may be provided in the same manner as the log analysis system 100-2 in FIG.
  • FIG. 12 is a block diagram of a log analysis system 300 according to the present embodiment.
  • arrows indicate main data flows, and there may be data flows other than those shown in FIG.
  • each block represents a functional unit configuration, not a hardware (device) unit configuration. Therefore, the blocks shown in FIG. 12 may be implemented in a single device, or may be separately implemented in a plurality of devices. Data exchange between the blocks may be performed via any means such as a data bus, a network, a portable storage medium, or the like.
  • the log analysis system 300 may be implemented with the same or other device configuration as in FIG.
  • the log analysis system 300 includes a log input unit 310, a format determination unit 320, a log abnormality analysis unit 330, a weighting unit 340, and an output unit 350 as processing units.
  • the log analysis system 300 includes a format storage unit 361, a model storage unit 362, and a combination storage unit 363 as storage units.
  • the configuration of the log input unit 310, the format determination unit 320, the log abnormality analysis unit 330, the format storage unit 361, and the model storage unit 362 are respectively the log input unit 110, the format determination unit 120, and the log abnormality analysis unit of the first embodiment.
  • the configuration is the same as that of the format storage unit 161 and the model storage unit 162.
  • the weighting unit 340 is a log analysis unit, and weights variable values included in an abnormality log output from the log abnormality analysis unit 330 based on combination information recorded in advance in the combination storage unit 363.
  • the combination information includes a combination of variable values included in one log.
  • the combination information may be recorded in the combination storage unit 363 by extracting the value of the variable part from the normal log. Alternatively, the combination information may be recorded in the combination storage unit 363 by inputting a combination of variable values that the user desires to be normal.
  • FIG. 13 is a schematic diagram of exemplary combination information recorded in the combination storage unit 363.
  • the combination information includes a combination of variable values associated with the unique ID.
  • the weighting unit 340 determines whether or not a combination of variable values included in one abnormality log output from the log abnormality analysis unit 330 matches any combination registered in the combination storage unit 363.
  • the weighting unit 340 makes the abnormality log higher. Weights and outputs as a weighting result.
  • the weighting unit 340 is in the lower order. Thus, the weighting is performed and the result is output as a weighting result. That is, when the combination of variable values in the abnormality log is not registered in the combination storage unit 363, the weighting unit 340 performs weighting so that the combination is higher than the case where it is registered in the combination storage unit 363. .
  • the combination of the variable values in the abnormality log is registered in the combination storage unit 363, the lower rank is set.
  • the abnormality log may be regarded as a normal log and excluded from the weighting result by the weighting unit 340. .
  • the log abnormality analysis unit 330 determines that the log is abnormal because it does not conform to the model, a log including a combination of registered variable values is less likely to cause an abnormality. Is weighted.
  • the weighting unit 340 weights a log including a combination of unknown variable values as having a high probability of causing an abnormality.
  • the log analysis system 300 can make it easier for the user to identify the cause of the abnormality by ranking based on whether or not the combination of the variable values in the abnormality log is a predetermined combination. it can.
  • FIGS. 14A and 14B are schematic diagrams illustrating exemplary weighting result display screens using the display device 20.
  • a screen J shown in FIG. 14A displays a combination of variable values that do not match any combination in the combination storage unit 363 and that includes the abnormality log.
  • a combination of variable values that matches any combination in the combination storage unit 363 is not displayed, but may be displayed.
  • S2 and Sj which are the same type of variable value (that is, the variable value of the same variable part) are highlighted by bold and underline.
  • the character type, color, size, etc. of the variable value may be changed.
  • the same type of variable value can be easily discriminated.
  • the screen may be rearranged so that the combination including the variable value is higher. Thereby, the user can easily know a log including a combination of variable values having a high probability of causing an abnormality.
  • the screen K shown in FIG. 14B displays a combination table K1 describing combinations of variable values and an abnormality log including the combinations. Furthermore, the screen K displays a map K2 that expresses a combination of variable values in two dimensions.
  • the map K2 has a first variable part (here, a server name) on the horizontal axis and a second variable part (here, a component type) on the vertical axis, and each of these combinations is represented by a square symbol.
  • a square K3 representing a combination of variable values that does not match any combination in the combination storage unit 363 is emphasized by black painting.
  • a square K4 representing a combination of variable values that matches any combination in the combination storage unit 363 is emphasized by hatching.
  • the shape, color, and size of a symbol indicating a combination of variable values may be changed, or an operation such as blinking may be performed.
  • the user can easily know which combination of variable values is abnormal, and can estimate a variable value that is the cause of or related to the abnormality.
  • variable parts to be displayed on the vertical and horizontal axes of the map K2 may be selectable by the user.
  • a list box or a check box including variable parts that can be displayed on the screen K may be displayed, and selection by the user may be accepted.
  • the abnormality log including the variable value represented by the square may be highlighted in the combination table K1, or the abnormality log may be displayed on a pop-up screen or the like. Good.
  • any display method may be used as long as a variable value that is a log or a part of the log can be displayed so that the user can understand the weighting result by the weighting unit 340.
  • FIG. 15 is a schematic diagram showing another weighting result display screen according to the present embodiment.
  • the screen K shown in FIG. 15 displays variable value ranks K5 and K6 in addition to the screen K of FIG. 14B.
  • the ranks K5 and K6 one of the variable value combinations (Si in FIG. 15) is used, but the ranks for both combinations of variable values may be used.
  • the rank K5 is described by being attached to the corresponding variable value in the combination table K1.
  • the rank K6 is described in the square K3 of the corresponding variable value in the map K2.
  • the rank of each variable value is calculated by at least one of the weighting methods of the first and second embodiments described above. That is, weighting by a combination of two variable values according to the present embodiment and weighting by one variable value according to the first and second embodiments may be used in combination.
  • the flowchart of the log analysis method using the log analysis system 300 according to the present embodiment is basically the same as that in FIG. 5, and only the weighting process in step S107 is different.
  • the weighting unit 340 determines whether or not the combination of the variable values included in the abnormality log determined in step S105 matches any combination registered in the combination storage unit 363.
  • the weighting unit 340 is in the lower order when the combination of the variable values in the abnormality log matches any combination registered in the combination storage unit 363, and the weighting unit 340 applies any combination registered in the combination storage unit 363. If they do not match, weighting is performed so as to be higher, and the result is output as a weighting result (step S107).
  • the log analysis system 300 can indicate a variable value having a high probability of causing an abnormality to the user by performing weighting based on a combination of variable values included in the abnormality log. . This makes it easy for the user to search for the cause of the abnormality.
  • the weighting unit 340 weights the abnormality log using a combination of variable values defined as vectors.
  • a combination vector is defined as a multi-dimensional vector by treating one type of variable part as one dimension.
  • 0 is set if a certain type of variable part exists, and if not, a numerical value that can uniquely define a value from a set observed in the past in the variable part of that type. Shall be taken. For example, if a certain type of variable portion has fluctuated in the past from A to E, a numerical value from 1 to 5 is used corresponding to each value.
  • the distribution width of each variable value is calculated and recorded as the weight of each variable portion. The definition of the distribution width is the same as in the second embodiment.
  • the weighting unit 340 creates the above combination vector from the variable values included in the abnormality log output from the log abnormality analysis unit 330. Then, the weighting unit 340 calculates the distance between the combination vector created from the abnormality log and each combination vector of variable values recorded in advance in the combination storage unit 363. Then, when the distance is equal to or greater than a predetermined threshold, the weighting unit 340 performs weighting assuming that the combination of variable values included in the abnormality log is higher. On the other hand, when the distance is less than a predetermined threshold, the weighting unit 340 performs weighting assuming that the combination of variable values included in the abnormality log is lower.
  • the log analysis system 300-1 defines a combination of variable values as a vector and performs weighting using the distance between the vectors. Therefore, calculation and learning are easier than simply determining whether or not a combination of variable values is recorded in the combination storage unit 363. Further, by grouping vectorized information, only representative vectors (vectors indicating group characteristics, for example, average vectors) can be compared for each group, so that processing performance is improved.
  • FIG. 16 is a block diagram of a log analysis system 300-2 according to a second modification of the third embodiment.
  • the log analysis system 300-2 includes a format learning unit 371, a model learning unit 372, and a combination learning unit 373 in addition to the configuration of FIG.
  • the configurations of the format learning unit 371 and the model learning unit 372 are the same as the configurations of the format learning unit 171 and the model learning unit 172 in FIG.
  • the combination learning unit 373 accumulates combinations of variable values in the input log, and calculates the appearance frequency for each combination of variable values. Then, the combination learning unit 373 registers the combination of variable values in the combination storage unit 363 based on the combination of variable values and the appearance frequency thereof. For example, the combination learning unit 373 may register the combination of variable values in the combination storage unit 363 when the appearance frequency of the combination of variable values is equal to or greater than a predetermined threshold.
  • the appearance frequency may be a single value such as the sum of combinations included in the input log, or may be a plurality of values such as a time distribution in which combinations appear in the input log.
  • the combination learning unit 373 may learn and record the combination vector of the log analysis system 300-1.
  • any learning algorithm capable of learning a combination of variable values from an input log may be used for learning the combination.
  • the log analysis system 300-2 includes a learning unit for a combination of a format, a model, and a variable value
  • a new format, model, or variable value is generated from a log that includes a combination of an unknown format, model, or variable value. Can be generated and recorded.
  • FIG. 17 is a schematic configuration diagram of the log analysis systems 100, 200, and 300 according to the above-described embodiments.
  • FIG. 17 illustrates a configuration example for the log analysis systems 100, 200, and 300 to function as an apparatus that performs log analysis based on variable values in the log.
  • the log analysis systems 100, 200, and 300 include a format determination unit 120, 220, and 320 as a variable extraction unit that extracts a value of a variable part based on a predetermined format from an analysis target log, And weighting units 140, 240, and 340 as log analysis units that weight the analysis target log.
  • a program that operates the configuration of the embodiment so as to realize the functions of the above-described embodiment (more specifically, a program that causes a computer to execute the processing illustrated in FIG. 5) is recorded on a recording medium, and the recording medium
  • a processing method of reading a recorded program as a code and executing it on a computer is also included in the category of each embodiment. That is, a computer-readable recording medium is also included in the scope of each embodiment.
  • the program itself is included in each embodiment.
  • the recording medium for example, a floppy (registered trademark) disk, a hard disk, an optical disk, a magneto-optical disk, a CD-ROM, a magnetic tape, a nonvolatile memory card, and a ROM can be used.
  • the embodiment is not limited to the processing executed by a single program recorded in the recording medium, and the embodiments that execute processing by operating on the OS in cooperation with other software and the function of the expansion board are also described in each embodiment. Included in the category.
  • a variable extraction unit that extracts the value of the variable part from the analysis target log based on a predetermined format based on the characteristics of the log;
  • a log analysis unit that weights the analysis target log based on the value of the variable part;
  • a log analysis system comprising:
  • Appendix 3 A configuration information storage unit that records configuration information including information indicating the components of the system that outputs the analysis target log; The log analysis system according to appendix 1 or 2, wherein the log analysis unit extracts the configuration information included in a value of the variable portion based on the configuration information read from the configuration information storage unit.
  • the configuration information further includes information indicating a relationship between the components, The log analysis system according to appendix 3, wherein the log analysis unit extracts the relationship included in the value of the variable portion based on the relationship read from the configuration information storage unit.
  • Appendix 6 The log analysis system according to appendix 5, wherein the distribution width is a numerical value indicating a range of values that the variable can take.
  • Appendix 7 A distribution information storage unit for recording the distribution width; The log analysis system according to appendix 5 or 6, wherein the log analysis unit weights the value of the variable portion based on the distribution width read from the distribution information storage unit.
  • Appendix 8 The log analysis system according to appendix 1, wherein the log analysis unit weights the analysis target log based on a combination of values of a plurality of the variable portions included in one log of the analysis target logs.
  • (Appendix 9) A combination storage unit for recording the combination;
  • the log analysis unit weights the analysis target log based on whether or not the combination of the values of the variable parts extracted by the variable extraction unit is recorded in the combination storage unit.
  • the described log analysis system The described log analysis system.
  • the log analysis unit is configured to perform the analysis based on a distance between the vector indicating the combination of the values of the variable parts extracted by the variable extraction unit and the vector recorded in the combination storage unit.
  • the log analysis system according to appendix 8, which performs weighting of the target log.
  • appendix 11 The log analysis system according to appendix 9 or 10, further comprising a combination learning unit that registers the combination of values of the variable part extracted by the variable extraction unit in the combination storage unit.
  • Appendix 12 The log analysis system according to any one of appendices 1 to 11, further comprising a format learning unit that generates the format based on the analysis target log.
  • a log analysis method comprising:

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)

Abstract

本発明は、異常の原因を示す規則が定義されていないログに対しても、異常の原因を示唆する情報をユーザに対して出力するログ分析システム、方法およびプログラムを提供する。本発明の一実施形態に係るログ分析システム１００は、ログの特性に基づいて予め決められた形式に基づいて分析対象ログ１０から変数部分の値を抽出する変数抽出部としてのフォーマット判定部１２０と、前記変数部分の値に基づいて、前記分析対象ログの重み付けを行うログ分析部としての重み付け部１４０、を備える。

Description

ログ分析システム、方法およびプログラム
　本発明は、ログの分析を行うためのログ分析システム、方法およびプログラムに関する。
　一般的にコンピュータ上で実行されるシステムにおいては、複数の装置およびプログラムから、イベントの結果やメッセージ等を含むログが出力される。ログ分析システムは、出力されたログの中から所定の基準に従って異常なものを検出し、異常なログとしてユーザ（オペレータ等）に対して出力する。
　システムにおいては複数の装置およびプログラムが協同して働いているため、単一の異常なログから異常の原因を直接特定できないことがある。その場合には、ユーザは多数のログを参照して異常の原因を探る必要がある。特に経験や知識の少ないユーザは、ログから異常の原因にたどり着くまでに多大な時間を要する。
　特許文献１には、過去の知識に基づいて予めイベントパターンとその原因や対策方法とを関連付けて登録しておき、入力ログのイベントパターンに対する原因や対策方法を取得する技術が開示されている。特許文献１の技術を用いることによって、ユーザは登録済のイベントパターンに対する原因を素早く知ることができる。
　また、特許文献２には、ログから構成部品を示す箇所を特定し、予め定められた影響度リストから該構成部品に対応する影響度を決定し、該影響度に基づいて該ログの重要度を設定する技術が開示されている。
特許第４３１８６４３号公報 特開２０１３－０３００９２号公報
　しかしながら、特許文献１の技術は登録済のイベントパターンに対する原因を取得できるものの、登録されていないイベントパターンに対する原因を取得することができない。すなわち、特許文献１の技術は、知識に基づく規則を予め個別に定義することによって異常の原因を示すものであるため、異常の原因に関して予め定義された知識（情報）がないログに対して適用することができない。
　また、特許文献２の技術は、影響度リストに構成部品毎の影響度が予め登録されている必要がある。そのため、特許文献２の技術は、構成部品毎に予め定義された知識（情報）が前提となっており、構成部品毎の知識がないログに対して適用することができない。
　本発明は、上述の問題に鑑みて行われたものであって、異常の原因を示す規則が定義されていないログに対しても、異常の原因を示唆する情報をユーザに対して出力するログ分析システム、方法およびプログラムを提供することを目的とする。
　本発明の第１の態様は、ログ分析システムであって、ログの特性に基づいて予め決められた形式に基づいて分析対象ログから変数部分の値を抽出する変数抽出部と、前記変数部分の値に基づいて、前記分析対象ログの重み付けを行うログ分析部と、を備える。
　本発明の第２の態様は、ログ分析方法であって、ログの特性に基づいて予め決められた形式に基づいて分析対象ログから変数部分の値を抽出する工程と、前記変数部分の値に基づいて、前記分析対象ログの重み付けを行う工程と、を備える。
　本発明の第３の態様は、ログ分析プログラムであって、コンピュータに、ログの特性に基づいて予め決められた形式に基づいて分析対象ログから変数部分の値を抽出する工程と、前記変数部分の値に基づいて、前記分析対象ログの重み付けを行う工程と、を実行させる。
　本発明によれば、分析対象ログに含まれる変数部分の値に基づいて重み付けを行うため、ユーザが異常なログ又は異常なログに含まれる変数部分の値を参照して異常の原因を探ることが容易になる。
第１の実施形態に係るログ分析システムのブロック図である。 第１の実施形態に係る分析対象ログの模式図である。 第１の実施形態に係るフォーマットの模式図である。 第１の実施形態に係る重み付け結果の模式図である。 第１の実施形態に係る重み付け結果の表示画面を示す模式図である。 第１の実施形態に係る重み付け結果の表示画面を示す模式図である。 第１の実施形態に係るログ分析システムの概略構成図である。 第１の実施形態に係るログ分析システムを用いるログ分析方法のフローチャートを示す図である。 第１の実施形態の変形例に係るログ分析システムのブロック図である。 第１の実施形態の変形例に係る重み付け結果の表示画面を示す模式図である。 第１の実施形態の変形例に係る重み付け結果の表示画面を示す模式図である。 第１の実施形態の変形例に係るログ分析システムのブロック図である。 第２の実施形態に係るログ分析システムのブロック図である。 第２の実施形態に係る分布情報の模式図である。 第２の実施形態に係る分布情報の模式図である。 第２の実施形態に係る重み付け結果の表示画面を示す模式図である。 第２の実施形態に係る重み付け結果の表示画面を示す模式図である。 第２の実施形態に係る重み付け結果の表示画面を示す模式図である。 第２の実施形態に係る重み付け結果の表示画面を示す模式図である。 第３の実施形態に係るログ分析システムのブロック図である。 第３の実施形態に係る組み合わせ情報の模式図である。 第３の実施形態に係る重み付け結果の表示画面を示す模式図である。 第３の実施形態に係る重み付け結果の表示画面を示す模式図である。 第３の実施形態に係る重み付け結果の表示画面を示す模式図である。 第３の実施形態の変形例に係るログ分析システムのブロック図である。 各実施形態に係るログ分析システムの概略構成図である。
　以下、図面を参照して、本発明の実施形態を説明するが、本発明は本実施形態に限定されるものではない。なお、以下で説明する図面で、同機能を有するものは同一符号を付け、その繰り返しの説明は省略することもある。
（第１の実施形態）
　図１は、本実施形態に係るログ分析システム１００のブロック図である。図１において、矢印は主なデータの流れを示しており、図１に示したもの以外のデータの流れがあってよい。図１において、各ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図１に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受は、データバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてよい。
　ログ分析システム１００は、処理部として、ログ入力部１１０、フォーマット判定部１２０、ログ異常分析部１３０、重み付け部１４０および出力部１５０を備える。また、ログ分析システム１００は、記憶部として、フォーマット記憶部１６１およびモデル記憶部１６２を備える。
　ログ入力部１１０は、分析対象ログ１０を取得し、ログ分析システム１００に入力する。分析対象ログ１０は、ログ分析システム１００の外部から取得されてよく、あるいはログ分析システム１００の内部に予め記録されたものを読み出すことにより取得されてよい。分析対象ログ１０は、１つ以上の装置又はプログラムから出力される１つ以上のログを含む。分析対象ログ１０は、任意のデータ形式（ファイル形式）で表されたログであり、例えばバイナリデータ又はテキストデータでよい。また、分析対象ログ１０はデータベースのテーブルとして記録されてよく、あるいはテキストファイルとして記録されてよい。
　図２Ａは、例示的な分析対象ログ１０の模式図である。本実施形態における分析対象ログ１０は、装置又はプログラムから出力される１つのログを１単位とし、１つ以上の任意の数のログを含む。１つのログは１行の文字列でよく、あるいは複数行の文字列でよい。すなわち、分析対象ログ１０は分析対象ログ１０に含まれるログの総体を指し、ログは分析対象ログ１０から抜き出された１つのログを指す。各ログは、タイムスタンプおよびメッセージ等を含む。ログ分析システム１００は、特定の種類のログに限らず、広範な種類のログを分析対象とすることができる。例えば、ｓｙｓｌｏｇ、イベントログ等のオペレーティングシステムから出力されるメッセージを記録するログを分析対象ログ１０として用いることができる。また、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）やＩＰＳ（Ｉｎｔｒｕｓｉｏｎ　Ｐｒｅｖｅｎｔｉｏｎ　Ｓｙｓｔｅｍ）等、ネットワーク上のセキュリティ装置のログも分析対象ログ１０として用いることができる。
　フォーマット判定部１２０は、変数抽出部であり、分析対象ログ１０に含まれる各ログに対して、フォーマット記憶部１６１に予め記録されているいずれのフォーマットに適合するかを判定し、適合するフォーマットを用いて各ログを変数部分と定数部分とに分離する。フォーマットとは、ログの特性に基づいて予め決められた、ログの形式である。ログの特性は、互いに類似するログ間で変化しやすい又は変化しづらいという性質や、ログ中で変化しやすい部分とみなせる文字列が記載されているという性質を含む。変数部分とはフォーマットの中で変化可能な部分であり、定数部分とはログのフォーマットの中で変化しない部分である。入力されたログ中の変数部分の値（数値、文字列およびその他のデータを含む）を変数値と呼ぶ。変数部分および定数部分はフォーマット毎に異なる。そのため、あるフォーマットでは変数部分として定義される部分が、別のフォーマットでは定数部分として定義されることや、その逆があり得る。本実施形態では、このようにログの特性に基づいて決められたフォーマットを用いてログの分析を行うため、異常の原因であるイベントパターンや構成部品等の知識がなくても、異常の原因を示唆する情報を提供することができる。
　図２Ｂは、フォーマット記憶部１６１に記録される例示的なフォーマットの模式図である。フォーマットは、一意のＩＤに関連付けられたフォーマットを表す文字列を含む。フォーマットは、ログ中の変化可能な部分に所定の識別子を記載することによって変数部分として規定し、ログ中の変数部分以外の部分を定数部分として規定する。変数部分の識別子として、例えば「＜変数：タイムスタンプ＞」はタイムスタンプを表す変数部分を示し、「＜変数：文字列＞」は任意の文字列を表す変数部分を示し、「＜変数：数値＞」は任意の数値を表す変数部分を示し、「＜変数：ＩＰ＞」は任意のＩＰアドレスを表す変数部分を示す。変数の識別子はこれらに限られず、正規表現や、取り得る値のリスト等の任意の方法により定義されてよい。また、フォーマットは変数部分を含まずに定数部分のみによって構成されてよく、あるいは定数部分を含まずに変数部分のみによって構成されてよい。
　例えば、フォーマット判定部１２０は、図２Ａの３行目のログを、図２ＢのＩＤが２２３であるフォーマットに適合すると判定する。そして、フォーマット判定部１２０は、判定されたフォーマットに基づいて該ログを処理し、タイムスタンプである「２０１５／０８／１７　０８：２９：５９」、文字列である「ＳＶ００８」およびＩＰアドレスである「１９２．１６８．１．２３」を変数値として決定する。
　図２Ｂにおいて、フォーマットは視認性のために文字列のリストで表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。また、フォーマットはテキストファイルとしてフォーマット記憶部１６１に記録されてよく、あるいはデータベースのテーブルとしてフォーマット記憶部１６１に記録されてよい。
　ログ異常分析部１３０は、フォーマット判定部１２０により判定されたログ中の変数値に対して、モデル記憶部１６２に予め記録されているモデルに基づいて異常か否かを判定する。モデルとは、ログの正常な振る舞いの定義である。モデル記憶部１６２には、１つ以上のモデルが予め記録されている。モデルは、例えばあるフォーマットにおいて数値の変数値が所定の範囲内であること、あるフォーマットにおいて文字列の変数値が登録済のものであること等である。モデルはこれに限られず、任意の定義でよい。
　ログ異常分析部１３０は、入力されたログがモデル記憶部１６２中のいずれのモデルにも適合しない場合に該ログは異常であると判定し、異常ログとして次の重み付け部１４０に入力する。一方、ログ異常分析部１３０は、入力されたログがモデル記憶部１６２中のいずれかのモデルに適合する場合に該ログは正常ログであると判定し、重み付け部１４０に入力しない。
　重み付け部１４０は、ログ分析部であり、ログ異常分析部１３０から出力される異常ログに対して重み付けを行う。本実施形態において、重み付け部１４０は、まずログ異常分析部１３０から入力された複数の異常ログに含まれる変数値のうち、２つ以上の異常ログに共通して含まれる変数値を抽出する。２つ以上の異常ログに共通して含まれる変数値を、共通変数値と呼ぶ。さらに、重み付け部１４０は、各共通変数値が、ログ異常分析部１３０から入力された複数の異常ログの中に出現する数（頻度）を算出する。そして、重み付け部１４０は、共通変数値と算出された頻度とを関連付け、頻度が大きい共通変数値ほど上位になるように重み付けをして重み付け結果として出力する。換言すると、本実施形態においては、異常ログの一部である変数値が２つ以上の異常ログに含まれるか否か、およびその変数値の異常ログ中の出現頻度に基づいて、異常ログの重み付けを行う。複数の異常ログに含まれる変数値は異常の原因である又は異常と何らかの関係がある蓋然性が高い。そのため、ログ分析システム１００はユーザにこのような変数値を知らせることによって、ユーザが異常の原因を特定することを容易にすることができる。
　図２Ｃは、重み付け部１４０による例示的な重み付け結果を示す模式図である。重み付け結果は、共通変数値と、算出された頻度と、頻度が大きい順に与えられた順位とを含む。図２Ｃにおいて、重み付け結果は視認性のために文字列および数値のリストで表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。
　出力部１５０は、重み付け部１４０による重み付け結果の出力を行う。本実施形態において、出力部１５０は表示装置２０に重み付け結果を出力し、表示装置２０はユーザに向けて重み付け結果を画像として表示する。表示装置２０は、画像を表示するための液晶ディスプレイ、ＣＲＴ（Ｃａｔｈｏｄｅ　Ｒａｙ　Ｔｕｂｅ）ディスプレイ等の表示部を備える。
　図３Ａ、３Ｂは、表示装置２０を用いる例示的な重み付け結果の表示画面を示す模式図である。図３Ａに示す画面Ａは、重み付け部１４０による重み付け結果に従って並び替えられた共通変数値およびその順位を表示する。共通変数値は、順位が高い、すなわち頻度が大きいほど上位に表示される。さらに画面Ａにおいて、最上位の変数値である「ＳＶ００８」は、太字および下線によって強調表示されている。これにより、ユーザは異常の原因である蓋然性が高い変数値を容易に知ることができる。上位の変数値を強調するために、変数値の文字種、色、大きさ等を変化させてもよい。
　図３Ｂに示す画面Ｂは、重み付け部１４０による重み付け結果に従って並び替えられた共通変数値およびその順位に加え、ログ異常分析部１３０から出力される異常ログのうち該共通変数値を含むものを表示する。さらに画面Ｂにおいて、最上位の変数値である「ＳＶ００８」は、異常ログ中で太字および下線によって強調表示されている。これにより、ユーザは異常の原因である蓋然性が高い変数値、およびそのログ中の出現箇所を容易に知ることができる。上位の変数値を強調するために、変数値の文字種、色、大きさ等を変化させてもよい。
　図３Ａ、３Ｂに示す画面は一例であり、重み付け部１４０による重み付け結果がユーザにわかるようにログ又はログの一部である変数値を表示できれば、いずれの表示方法を用いてもよい。
　重み付け結果に含まれる共通変数値は、２つ以上の異常ログに含まれる。そのため、ユーザは図３Ａ、３Ｂの画面に表示された共通変数値が異常の原因である蓋然性が高いと推測することができる。さらに、重み付け結果の中で上位の共通変数値ほど異常ログの中で出現頻度が大きいため、ユーザは画面に表示された共通変数値の中で上位のものが異常の原因である蓋然性が高いと推測することができる。
　重み付け結果の出力方法は、ユーザに向けた画像表示に限られない。例えば、出力部１５０は重み付け結果をデータとして出力し、ログ分析システム１００又はその他システムは出力部１５０からの重み付け結果のデータに対して分析処理、統計処理等を行ってもよい。ログ分析システム１００又はその他システムは、出力部１５０からの重み付け結果のデータに基づいて、自動的に異常の原因を判定してもよい。
　図４は、本実施形態に係るログ分析システム１００の例示的な機器構成を示す概略構成図である。ログ分析システム１００は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）１０１と、メモリ１０２と、記憶装置１０３と、通信インターフェース１０４とを備える。ログ分析システム１００は、表示装置２０に通信インターフェース１０４を介して接続されてよく、あるいは表示装置２０を含んでよい。ログ分析システム１００は独立した装置でよく、あるいは他の装置と一体に構成されてよい。
　通信インターフェース１０４は、データの送受信を行う通信部であり、有線通信および無線通信の少なくとも一方の通信方式を実行可能に構成される。通信インターフェース１０４は、該通信方式に必要なプロセッサ、電気回路、アンテナ、接続端子等を含む。通信インターフェース１０４は、ＣＰＵ１０１からの信号に従って、該通信方式を用いてネットワークに接続され、通信を行う。通信インターフェース１０４は、例えば分析対象ログ１０を外部から受信する。
　記憶装置１０３は、ログ分析システム１００が実行するプログラムや、プログラムによる処理結果のデータ等を記憶する。記憶装置１０３は、読み取り専用のＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）や、読み書き可能のハードディスクドライブ又はフラッシュメモリ等を含む。また、記憶装置１０３は、ＣＤ－ＲＯＭ等のコンピュータ読取可能な可搬記憶媒体を含んでもよい。メモリ１０２は、ＣＰＵ１０１が処理中のデータや記憶装置１０３から読み出されたプログラムおよびデータを一時的に記憶するＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）等を含む。
　ＣＰＵ１０１は、処理に用いる一時的なデータをメモリ１０２に一時的に記録し、記憶装置１０３に記録されたプログラムを読み出し、該プログラムに従って該一時的なデータに対して種々の演算、制御、判別などの処理動作を実行する処理部としてのプロセッサである。また、ＣＰＵ１０１は、記憶装置１０３に処理結果のデータを記録し、また通信インターフェース１０４を介して処理結果のデータを外部に送信する。
　本実施形態においてＣＰＵ１０１は、記憶装置１０３に記録されたプログラムを実行することによって、図１のログ入力部１１０、フォーマット判定部１２０、ログ異常分析部１３０、重み付け部１４０および出力部１５０として機能する。また、本実施形態において記憶装置１０３は、図１のフォーマット記憶部１６１およびモデル記憶部１６２として機能する。
　ログ分析システム１００は、図４に示す具体的な構成に限定されない。ログ分析システム１００は、１つの装置に限られず、２つ以上の物理的に分離した装置が有線又は無線で接続されることにより構成されていてもよい。ログ分析システム１００に含まれる各部は、それぞれ電気回路構成により実現されていてもよい。ここで、電気回路構成とは、単一のデバイス、複数のデバイス、チップセット又はクラウドを概念的に含む文言である。
　また、ログ分析システム１００の少なくとも一部がＳａａＳ（Ｓｏｆｔｗａｒｅ　ａｓ　ａ　Ｓｅｒｖｉｃｅ）形式で提供されてよい。すなわち、ログ分析システム１００を実現するための機能の少なくとも一部が、ネットワーク経由で実行されるソフトウェアによって実行されてよい。
　図５は、本実施形態に係るログ分析システム１００を用いるログ分析方法のフローチャートを示す図である。まず、ログ入力部１１０は、分析対象ログ１０を取得し、ログ分析システム１００に入力する（ステップＳ１０１）。フォーマット判定部１２０は、ステップＳ１０１で入力された分析対象ログ１０に含まれる１つのログを判定対象として、フォーマット記憶部１６１に記録されたいずれかのフォーマットに適合するか否かを判定する（ステップＳ１０２）。
　ステップＳ１０２において判定対象のログがフォーマット記憶部１６１に記録されたいずれのフォーマットにも適合しない場合には（ステップＳ１０３のＮＯ）、分析対象ログ１０の次のログを判定対象としてステップＳ１０２～Ｓ１０３を繰り返す。
　ステップＳ１０２において判定対象のログがフォーマット記憶部１６１に記録されたいずれかのフォーマットに適合した場合には（ステップＳ１０３のＹＥＳ）、フォーマット判定部１２０は、該フォーマットを用いて判定対象のログを変数部分と定数部分とに分離する（ステップＳ１０４）。フォーマット判定部１２０は、判定対象のログ中の変数値を記録する。
　ログ異常分析部１３０は、ステップＳ１０４において取得された変数値に基づいて、判定対象のログがモデル記憶部１６２に記録されたいずれかのモデルに適合するか否かを判定する（ステップＳ１０５）。ログ異常分析部１３０は、判定対象のログがモデル記憶部１６２に記録されたいずれのモデルにも適合しない場合には、判定対象のログは異常ログであると判定する。一方、ログ異常分析部１３０は、判定対象のログがモデル記憶部１６２に記録されたいずれかのモデルに適合する場合には、判定対象のログは正常ログであると判定する。
　分析対象ログ１０中の全てのログに対して分析が終了していない場合には（ステップＳ１０６のＮＯ）、分析対象ログ１０の次のログを判定対象としてステップＳ１０２～Ｓ１０６を繰り返す。
　分析対象ログ１０中の全てのログに対して分析が終了した場合には（ステップＳ１０６のＹＥＳ）、重み付け部１４０は、ステップＳ１０５において判定された異常ログに含まれる変数値のうち、２つ以上の異常ログに共通して含まれる変数値（共通変数値）を抽出し、各共通変数値が異常ログの中に出現する数（頻度）を算出する。そして、重み付け部１４０は、取得された共通変数値と頻度とを関連付け、頻度が大きいほど上位になるように重み付けをして重み付け結果として出力する（ステップＳ１０７）。
　最後に、出力部１５０は、ステップＳ１０７で取得された重み付け結果を表示装置２０に出力し、ユーザに向けて表示させる（ステップＳ１０８）。
　以上のように、ログ分析システム１００は、複数の異常ログの中に共通して含まれている変数値に基づいて重み付けを行うことによって、ユーザに異常の原因である蓋然性の高い変数値を示す。これにより、ユーザが異常の原因を探ることを容易にすることができる。
　次に、第１の実施形態に係るログ分析システム１００の変形例を説明する。図６は、第１の実施形態の第１の変形例に係るログ分析システム１００－１のブロック図である。ログ分析システム１００－１は、図１の構成に加えて、構成要素抽出部１３１および構成情報記憶部１６３を備える。
　構成情報記憶部１６３は、分析対象ログ１０を出力するシステムに係る構成情報を予め記録する。構成情報は、分析対象ログ１０を出力するシステムに含まれる構成要素（例えばサーバ等の物理装置、仮想マシン等の仮想装置、各種プログラム等）、および構成要素間の依存関係（ネットワークによる接続関係、仮想装置やプログラムの主従関係等）を示す情報を含む。
　構成要素抽出部１３１は、ログ異常分析部１３０から入力された異常ログに含まれる変数値のうち、構成情報記憶部１６３に記録された構成要素に合致する変数値を抽出する。すなわち、重み付け部１４０は、構成要素のうち、共通変数値に含まれるものを抽出して出力する。その後、重み付け部１４０は、構成要素抽出部１３１によって抽出された構成要素を示す変数値のみを用いて、異常ログに対して重み付けを行う。
　図７Ａ、７Ｂは、表示装置２０を用いる例示的な重み付け結果の表示画面を示す模式図である。図７Ａに示す画面Ｃは、構成要素抽出部１３１により抽出された構成要素を示す共通変数値およびその順位を含む順位表Ｃ１を表示する。順位表Ｃ１の中で最上位の変数値である「ＳＶ００８」は、太字および下線によって強調表示されている。これにより、ユーザは異常の原因である蓋然性が高い変数値を容易に知ることができる。上位の変数値を強調するために、変数値の文字種、色、大きさ等を変化させてもよい。
　さらに画面Ｃは、構成情報記憶部１６３に記録された構成情報に基づいて、各構成要素およびそれらの間の関係を示す構成図Ｃ２を表示する。構成図Ｃ２には、各構成要素を示す記号（ここでは丸）と、構成要素間を接続する線とが示される。構成要素を示す記号の近傍には、該構成要素を示す文字列が表示される。構成図Ｃ２上には、最上位の共通変数値の構成要素が三重丸Ｃ３で強調され、その他の共通変数値の構成要素が二重丸Ｃ４で強調される。これにより、ユーザは異常の原因である蓋然性が高い構成要素を容易に知ることができる。上位の変数値の構成要素を強調するために、構成要素を示す記号又は文字列の種類、色、大きさ等を変化させてもよい。あるいは、上位の変数値の構成要素を点滅させてもよい。順位表Ｃ１と構成図Ｃ２との関係を明示にするために、順位表Ｃ１中の変数値の文字列の色と、構成図Ｃ２中の変数値の文字列の色とを同一にしてもよい。
　図７Ｂに示す画面Ｄは、画面Ｃと同様の情報に加えて、構成要素間を接続する線のうち異常の原因である蓋然性の高い関係に該当するものを強調表示する。順位表Ｄ１は、共通変数値に加えて、両端が共通変数値となっている関係を表示する。すなわち、重み付け部１４０は、構成要素間の関係のうち、共通変数値に関連するものを抽出して出力する。例えば、「ＳＶ００２」および「ＳＶ００５」が共通変数値であるため、それらの間の関係も異常の原因である蓋然性が高いものとして表示する。特にネットワーク機器は明確なログを出力せずに故障する場合が多いため、このような表示を行うことによってネットワーク接続に問題がある可能性をユーザに示すことができる。
　さらに、構成図Ｄ２は、両端が共通変数値となっている関係を示す線を、破線Ｄ３により強調表示する。これにより、ユーザは異常の原因である蓋然性が高い構成要素間の関係を容易に知ることができる。このような構成要素間の関係を強調するために、線の種類、色、太さ等を変化させてもよい。また、線の近傍に「異常」等の文字列又は異常を示す記号を付してもよい。
　図７Ａ、７Ｂの画面Ｃ、Ｄは、重み付け結果に含まれる全ての構成要素を表示してよく、あるいは重み付け結果に従って所定の数の構成要素のみ（例えば１位の構成要素のみ）を表示してもよい。
　以上のように、ログ分析システム１００－１は、重み付けに構成要素に係る変数値のみを用いて重み付けを行い、重み付け結果の出力を行う。一般的に、異常の原因は構成要素であることが多い。そのため、ログ分析システム１００－１は、構成要素に係る変数値のみを重み付け結果として出力することによって、ユーザが異常の原因を探ることをより容易にすることができる。
　図８は、第１の実施形態の第２の変形例に係るログ分析システム１００－２のブロック図である。ログ分析システム１００－２は、図１の構成に加えて、フォーマット学習部１７１およびモデル学習部１７２を備える。
　フォーマット学習部１７１は、フォーマット判定部１２０がフォーマットの判定を行う際、判定対象のログがフォーマット記憶部１６１に記録されているいずれのフォーマットにも適合しない場合に、新たなフォーマットを作成してフォーマット記憶部１６１に記録する。
　フォーマット学習部１７１がフォーマットを学習するための第１の方法として、フォーマット学習部１７１は、フォーマットが未知である複数のログを蓄積し、それらに対して統計的に変化する変数部分と変化しない定数部分とを分離することによって、新たなフォーマットとして定義することができる。フォーマット学習部１７１がフォーマットを学習するための第２の方法として、フォーマット学習部１７１は、既知の変数値のリストを読み込み、フォーマットが未知であるログの中で既知の変数値と一致する又は類似する部分を変数部分と判定し、それ以外の部分を定数部分と判定することによって、新たなフォーマットを定義することができる。既知の変数値として、値そのものを用いてよく、あるいは正規表現のようなパターンを用いてよい。フォーマットの学習方法はこれらに限られず、入力されたログに対して新たなフォーマットを定義することが可能な任意の学習アルゴリズムを用いてよい。
　モデル学習部１７２は、ログ異常分析部１３０がモデルの判定を行う際、判定対象のログがモデル記憶部１６２に記録されているいずれのモデルにも適合しない場合に、新たなモデルを作成してモデル記憶部１６２に記録する。
　通常、ログ異常分析部１３０はモデル記憶部１６２に予め記録されているいずれのモデルにも適合しないログを異常ログと判定するが、モデルが未知であるログであっても正常ログである場合がある。この場合に、ユーザは入力装置を介してモデル記憶部１６２のモデルに適合しないログが正常ログであるという指示を入力すると、モデル学習部１７２は当該ログのフォーマットおよび変数値に基づいて新たなモデルを作成し、モデル記憶部１６２に記録する。モデルの学習方法はこれに限られず、入力されたログから新たにモデルを定義することが可能な任意の学習アルゴリズムを用いてよい。
　以上のように、ログ分析システム１００－２は、フォーマットおよびモデルの学習部を備えるため、未知のフォーマットおよびモデルを含むログから新たにフォーマットおよびモデルを生成し、記録することができる。
（第２の実施形態）
　図９は、本実施形態に係るログ分析システム２００のブロック図である。図９において、矢印は主なデータの流れを示しており、図９に示したもの以外のデータの流れがあってよい。図９において、各ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図９に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受はデータバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてよい。ログ分析システム２００は、図４と同様の又はその他の機器構成により実装されてよい。
　ログ分析システム２００は、処理部として、ログ入力部２１０、フォーマット判定部２２０、ログ異常分析部２３０、重み付け部２４０および出力部２５０を備える。また、ログ分析システム２００は、記憶部として、フォーマット記憶部２６１、モデル記憶部２６２および分布情報記憶部２６３を備える。
　ログ入力部２１０、フォーマット判定部２２０、ログ異常分析部２３０、フォーマット記憶部２６１およびモデル記憶部２６２の構成は、それぞれ第１の実施形態のログ入力部１１０、フォーマット判定部１２０、ログ異常分析部１３０、フォーマット記憶部１６１およびモデル記憶部１６２の構成と同様である。
　重み付け部２４０は、ログ分析部であり、分布情報記憶部２６３に予め記録されている分布情報に基づいて、ログ異常分析部２３０から出力される異常ログに含まれる変数値の重み付けを行う。分布情報は、あるフォーマット中で変数値が通常取り得る範囲、すなわち分布幅を含む。変数値の分布幅は、複数の正常ログから変数値を抜き出し、該変数値の通常取り得る範囲を統計的に決定することによって分布情報記憶部２６３に記録されてよい。あるいは、変数値の分布幅は、ユーザが変数値の通常取り得る値を入力することによって分布情報記憶部２６３に記録されてよい。
　図１０Ａ、１０Ｂは、分布情報記憶部２６３に記録される例示的な分布情報の模式図である。分布情報は、一意のＩＤに関連付けられた、取り得る変数値の分布およびその分布幅を含む。図１０Ａの分布情報は取り得る変数値が文字列である場合を示しており、この場合には取り得る変数値の種類の数を分布幅としてよい。図１０Ａにおいて、例えばＩＤが１である分布は５種類の文字列を含むため、分布幅は５である。
　図１０Ｂの分布情報は取り得る変数値が数値である場合を示しており、この場合には、取り得る変数値の最大値と最小値との差、平均値、分散値又はカイ二乗値等、数値の分布を表すことが可能な任意の数を分布幅としてよい。図１０Ｂの分布情報では、分布幅として分散値を用いている。図１０Ｂにおいて、例えばＩＤが１である分布は１０、２０、３０、１００の数値を含むため、分布幅は１２５０である。
　図１０Ａ、１０Ｂでは文字列の分布情報と数値の分布情報とを分けて記録しているが、一緒に記録してもよい。この場合には、文字列の分布幅および数値の分布幅を正規化し、互いに比較可能な値にすることが望ましい。
　分布情報のＩＤは、例えばフォーマット中の変数部分と分布情報とを関連付ける関連付けテーブルによって、フォーマット中の変数部分に関連付けられる。例えば、図２ＢのＩＤが０３９であるフォーマット中の「＜変数：文字列＞」が、図１０ＡのＩＤが１である分布幅に関連付けられている場合には、その変数部分がＳＶ００１～ＳＶ００５のいずれかの値をとり、分布幅が５であることがわかる。
　重み付け部２４０は、ログ異常分析部２３０から出力される異常ログに含まれる各変数値について、分布情報記憶部２６３から分布幅を取得する。そして、重み付け部２４０は、変数値と取得された分布幅とを関連付け、分布幅が小さいほど上位になるように重み付けをして重み付け結果として出力する。換言すると、本実施形態においては、異常ログの一部である変数値が取り得る分布幅に基づいて、異常ログの重み付けを行う。一般的に、分布幅が大きい変数部分は、システムが乱数的に生成している値や、大量のリストから割り当てている場合が多く、正常時から逸脱した値であっても異常としての深刻さは低く、異常の原因である蓋然性が低いと考えられる。一方、分布幅が小さい変数部分は、正常時における変動範囲が限られているため、変数値が正常時から逸脱している場合には異常としての深刻さが大きく、異常の原因である又は異常と関係があると考えられる。そこで、ログ分析システム２００はユーザにこのような変数値を知らせることによって、ユーザが異常の原因を特定することを容易にすることができる。
　別の方法として、重み付け部２４０は、ログ異常分析部２３０から出力される異常ログに含まれる各変数値について、分布情報記憶部２６３から取得した分布幅から逸脱した量に基づいて重み付けを行ってもよい。この場合には、変数値が分布幅の範囲外である場合に、該分布幅の最大値又は最小値と変数値の差（絶対値）が大きいほど、上位になるように重み付けをして重み付け結果として出力する。通常の変数値が分布幅から逸脱した変数値ほど異常として深刻であると考えられるため、重み付け部２４０はユーザにこのような変数値を知らせることができる。
　出力部２５０は、第１の実施形態の出力部１５０と同様に、重み付け部２４０による重み付け結果の出力を行う。図１１Ａ～１１Ｄは、例示的な重み付け結果の表示画面を示す模式図である。図１１Ａに示す画面Ｅは、重み付け部２４０による重み付け結果に従って並び替えられた変数値およびその順位を表示する。
　図１１Ｂに示す画面Ｆは、分布幅を表す棒グラフＦ１とともに、異常ログ中の変数値の位置を表す矢印Ｆ２を表示する。図１１Ｃに示す画面Ｇは、頻度分布のグラフＧ１とともに、異常ログ中の変数値の位置を表す矢印Ｇ２を表示する。図１１Ｄに示す画面Ｈは、頻度分布の比率をリスト表示し、その中で異常ログ中の変数値を太字および下線により強調して表示する。頻度分布の比率の代わりに、頻度そのものを表示してもよい。変数値を強調するために、変数値の文字種、色、大きさ等を変化させてもよい。
　ただし、画面Ｇおよび画面Ｈを表示するためには、変数部分の取り得る値だけでなく、その頻度が分布情報記憶部２６３に予め記録されている必要がある。画面Ｆ、画面Ｇおよび画面Ｈによれば、異常ログ中の変数値が分布幅からどれくらい逸脱しているかをユーザに視認しやすくできる。さらに、画面Ｈでは、文字列のような離散値であっても、異常ログ中の変数値と分布幅との関係を視認しやすくできる。これらに限らず、異常ログ中の変数値と分布幅との位置関係を示すことができる任意の表示方法を用いてよい。
　本実施形態に係るログ分析システム２００を用いるログ分析方法のフローチャートは、基本的に図５と同様であり、ステップＳ１０７の重み付けの処理のみ異なる。重み付け部２４０は、ステップＳ１０５において判定された異常ログに含まれる各変数値について、分布情報記憶部２６３から分布幅を取得する。そして、重み付け部２４０は、異常ログ中の変数値と取得された分布幅とを関連付け、分布幅が小さいほど上位になるように重み付けをして重み付け結果として出力する（ステップＳ１０７）。
　以上のように、ログ分析システム２００は、変数値の分布幅に基づいて異常ログの中に含まれている変数値の重み付けを行うことによって、ユーザに異常の原因である蓋然性の高い変数値を示すことができる。これにより、ユーザが異常の原因を探ることを容易にすることができる。
　本実施形態に係る変形例として、図８のログ分析システム１００－２と同様に、フォーマット学習部１７１およびモデル学習部１７２を備えてよい。
（第３の実施形態）
　図１２は、本実施形態に係るログ分析システム３００のブロック図である。図１２において、矢印は主なデータの流れを示しており、図１２に示したもの以外のデータの流れがあってよい。図１２において、各ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図１２に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受はデータバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてよい。ログ分析システム３００は、図４と同様の又はその他の機器構成により実装されてよい。
　ログ分析システム３００は、処理部として、ログ入力部３１０、フォーマット判定部３２０、ログ異常分析部３３０、重み付け部３４０および出力部３５０を備える。また、ログ分析システム３００は、記憶部として、フォーマット記憶部３６１、モデル記憶部３６２および組み合わせ記憶部３６３を備える。
　ログ入力部３１０、フォーマット判定部３２０、ログ異常分析部３３０、フォーマット記憶部３６１およびモデル記憶部３６２の構成は、それぞれ第１の実施形態のログ入力部１１０、フォーマット判定部１２０、ログ異常分析部１３０、フォーマット記憶部１６１およびモデル記憶部１６２の構成と同様である。
　重み付け部３４０は、ログ分析部であり、組み合わせ記憶部３６３に予め記録されている組み合わせ情報に基づいて、ログ異常分析部３３０から出力される異常ログに含まれる変数値の重み付けを行う。組み合わせ情報は、１つのログに含まれる変数値の組み合わせを含む。組み合わせ情報は、正常ログから変数部分の値を抜き出すことによって組み合わせ記憶部３６３に記録されてよい。あるいは、組み合わせ情報は、ユーザが正常とみなしたい変数値の組み合わせを入力することによって組み合わせ記憶部３６３に記録されてよい。
　図１３は、組み合わせ記憶部３６３に記録される例示的な組み合わせ情報の模式図である。組み合わせ情報は、一意のＩＤに関連付けられた変数値の組み合わせを含む。重み付け部３４０は、ログ異常分析部３３０から出力される１つの異常ログに含まれる変数値の組み合わせが、組み合わせ記憶部３６３に登録されたいずれかの組み合わせに一致するか否かを判定する。
　重み付け部３４０は、ログ異常分析部３３０から出力される異常ログに含まれる変数値の組み合わせが組み合わせ記憶部３６３中のいずれの組み合わせにも一致しない場合には、その異常ログが上位になるように重み付けをして重み付け結果として出力する。一方、重み付け部３４０は、ログ異常分析部３３０から出力される異常ログに含まれる変数値の組み合わせが組み合わせ記憶部３６３中のいずれかの組み合わせに一致する場合には、その異常ログが下位になるように重み付けをして重み付け結果として出力する。すなわち、重み付け部３４０は、異常ログ中の変数値の組み合わせが組み合わせ記憶部３６３中に登録されていない場合に、組み合わせ記憶部３６３中に登録されている場合よりも上位になるように重み付けを行う。ここでは異常ログ中の変数値の組み合わせが組み合わせ記憶部３６３に登録されている場合に下位の順位としているが、該異常ログを正常ログとみなし、重み付け部３４０による重み付け結果から除外してもよい。
　本実施形態では、ログ異常分析部３３０においてモデルに適合しないために異常ログと判定されたログであっても、登録済の変数値の組み合わせを含むログを、異常の原因である蓋然性が低いものとして重み付けを行う。一方、重み付け部３４０は、未知の変数値の組み合わせを含むログを、異常の原因である蓋然性が高いものとして重み付けを行う。このように、ログ分析システム３００は異常ログ中の変数値の組み合わせが所定の組み合わせであるか否かに基づいて順位付けすることによって、ユーザが異常の原因を特定することを容易にすることができる。
　図１４Ａ、１４Ｂは、表示装置２０を用いる例示的な重み付け結果の表示画面を示す模式図である。図１４Ａに示す画面Ｊは、組み合わせ記憶部３６３中のいずれの組み合わせにも一致しない変数値の組み合わせに加え、異常ログのうち該組み合わせを含むものを表示する。ここでは、組み合わせ記憶部３６３中のいずれかの組み合わせに一致する変数値の組み合わせは表示されていないが、表示されてもよい。
　さらに画面Ｊにおいて、同種の変数値（すなわち、同じ変数部分の変数値）であるＳ２およびＳｊは太字および下線によって強調表示されている。変数値を強調するために、変数値の文字種、色、大きさ等を変化させてもよい。これにより、同種の変数値を容易に判別可能である。また、画面Ｊにおいて、ユーザがいずれかの変数値を選択すると、該変数値を含む組み合わせが上位になるように並び替えてもよい。これにより、ユーザは異常の原因である蓋然性が高い変数値の組み合わせを含むログを容易に知ることができる。
　図１４Ｂに示す画面Ｋは、変数値の組み合わせおよび該組み合わせを含む異常ログを記載した組み合わせ表Ｋ１を表示する。さらに画面Ｋは、変数値の組み合わせを二次元上に表現するマップＫ２を表示する。マップＫ２は、横軸に第１の変数部分（ここではサーバ名）、縦軸に第２の変数部分（ここではコンポーネント種類）をとり、それらのそれぞれの組み合わせを四角の記号により表す。組み合わせ記憶部３６３中のいずれの組み合わせにも一致しない変数値の組み合わせを表す四角Ｋ３は、黒塗りにより強調されている。一方、組み合わせ記憶部３６３中のいずれかの組み合わせに一致する変数値の組み合わせを表す四角Ｋ４は、斜線により強調されている。所定の組み合わせを強調するために、変数値の組み合わせを示す記号の形、色、大きさを変更したり、点滅等の動作を行ったりしてもよい。このような表示により、ユーザはどの変数値の組み合わせが異常であるかを容易に知ることができ、さらに異常の原因である又は異常に関係する変数値を推測することができる。
　画面Ｋにおいて、マップＫ２の縦軸および横軸に表示する変数部分をユーザにより選択可能にしてよい。この場合には、画面Ｋ上に表示可能な変数部分を含むリストボックスやチェックボックスを表示し、ユーザによる選択を受け付ければよい。また、マップＫ２中の四角を選択することによって、該四角によって表される変数値を含む異常ログを組み合わせ表Ｋ１中で強調してもよく、あるいは該異常ログをポップアップ画面等によって表示してもよい。
　図１４Ａ、１４Ｂに示す画面は一例であり、重み付け部３４０による重み付け結果がユーザにわかるように、ログ又はログの一部である変数値を表示できれば、いずれの表示方法を用いてもよい。
　図１５は、本実施形態に係る別の重み付け結果の表示画面を示す模式図である。図１５に示す画面Ｋは、図１４Ｂの画面Ｋに加えて、変数値の順位Ｋ５、Ｋ６を表示する。順位Ｋ５、Ｋ６としては、変数値の組み合わせのうちどちらか１つ（図１５ではＳｉ）の順位が用いられるが、変数値の組み合わせの両方についての順位が用いられてもよい。順位Ｋ５は、組み合わせ表Ｋ１中で対応する変数値に付されて記載される。順位Ｋ６は、マップＫ２中で対応する変数値の四角Ｋ３の中に記載される。各変数値の順位は、上述の第１および第２の実施形態の重み付け方法の少なくとも一方により算出される。すなわち、本実施形態による２つの変数値の組み合わせによる重み付けと、第１および第２の実施形態による１つの変数値による重み付けとを組み合わせて用いてよい。
　本実施形態に係るログ分析システム３００を用いるログ分析方法のフローチャートは、基本的に図５と同様であり、ステップＳ１０７の重み付けの処理のみ異なる。重み付け部３４０は、ステップＳ１０５において判定された異常ログに含まれる変数値の組み合わせが、組み合わせ記憶部３６３に登録されたいずれかの組み合わせに一致するか否かを判定する。そして、重み付け部３４０は、異常ログ中の変数値の組み合わせが組み合わせ記憶部３６３に登録されたいずれかの組み合わせに一致する場合に下位になり、組み合わせ記憶部３６３に登録されたいずれの組み合わせにも一致しない場合に上位になるように重み付けをして重み付け結果として出力する（ステップＳ１０７）。
　以上のように、ログ分析システム３００は、異常ログの中に含まれている変数値の組み合わせに基づいて重み付けを行うことによって、ユーザに異常の原因である蓋然性の高い変数値を示すことができる。これにより、ユーザが異常の原因を探ることを容易にすることができる。
　次に、第３の実施形態に係るログ分析システム３００の変形例を説明する。第３の実施形態の第１の変形例に係るログ分析システム３００－１では、重み付け部３４０がベクトルとして定義された変数値の組み合わせを用いて、異常ログの重み付けを行う。
　組み合わせ記憶部３６３には、変数値の組み合わせベクトルが予め記録される。組み合わせベクトルは、１種類の変数部分を１次元として扱い、多次元のベクトルとして定義される。組み合わせベクトルの各次元（各種類）において、ある種類の変数部分が存在する場合は０とし、存在しない場合は該種類の変数部分において過去に観測された集合から一意に値を定義可能な数値をとるものとする。例えば、過去にある種類の変数部分がＡ～Ｅの値で変動していた場合、それぞれの値に対応して１～５の数値を用いる。さらに、各変数部分の重みとして、各変数値の分布幅を算出して記録する。分布幅の定義は、第２の実施形態と同様である。
　重み付け部３４０は、ログ異常分析部３３０から出力される異常ログに含まれる変数値から、上述の組み合わせベクトルを作成する。そして、重み付け部３４０は、異常ログから作成された組み合わせベクトルと、組み合わせ記憶部３６３に予め記録される変数値の各組み合わせベクトルとの距離を算出する。そして、重み付け部３４０は、該距離が所定の閾値以上である場合に、該異常ログに含まれる変数値の組み合わせが上位であるものとして重み付けを行う。一方、重み付け部３４０は、該距離が所定の閾値未満である場合に、該異常ログに含まれる変数値の組み合わせが下位であるものとして重み付けを行う。
　以上のように、ログ分析システム３００－１は、変数値の組み合わせをベクトルとして定義し、ベクトル間の距離を用いて重み付けを行う。そのため、単に変数値の組み合わせが組み合わせ記憶部３６３に記録されているか否かを判定するよりも、演算や学習が容易になる。また、ベクトル化した情報をグループ化しておくことによって、グループ毎に代表となるベクトル（グループの特徴を示すベクトル、例えば平均のベクトル）のみを比較することができるため、処理性能が向上する。
　図１６は、第３の実施形態の第２の変形例に係るログ分析システム３００－２のブロック図である。ログ分析システム３００－２は、図１２の構成に加えて、フォーマット学習部３７１、モデル学習部３７２および組み合わせ学習部３７３を備える。フォーマット学習部３７１およびモデル学習部３７２の構成は、それぞれ図８のフォーマット学習部１７１およびモデル学習部１７２の構成と同様である。
　組み合わせ学習部３７３は、入力されたログ中の変数値の組み合わせを蓄積し、変数値の各組み合わせについて出現頻度を算出する。そして、組み合わせ学習部３７３は、変数値の組み合わせおよびその出現頻度に基づいて、該変数値の組み合わせを組み合わせ記憶部３６３に登録する。例えば、組み合わせ学習部３７３は、変数値の組み合わせの出現頻度が所定の閾値以上の場合に、該変数値の組み合わせを組み合わせ記憶部３６３に登録してよい。出現頻度は、入力されたログに含まれる組み合わせの総和のような単一の値でよく、あるいは入力されたログ中で組み合わせが出現する時間分布のような複数の値でよい。出現頻度として時間分布を用いる場合には、異常ログ中の変数値の組み合わせの出現時刻が過去の時間分布と一致しているか否かの判定が可能になる。また、組み合わせ学習部３７３は、ログ分析システム３００－１の組み合わせベクトルを学習し、記録してもよい。その他、組み合わせの学習のために、入力されたログから変数値の組み合わせを学習することが可能な任意の学習アルゴリズムを用いてよい。
　以上のように、ログ分析システム３００－２は、フォーマット、モデルおよび変数値の組み合わせの学習部を備えるため、未知のフォーマット、モデル又は変数値の組み合わせを含むログから新たにフォーマット、モデル又は変数値の組み合わせを生成し、記録することができる。
（その他の実施形態）
　図１７は、上述の各実施形態に係るログ分析システム１００、２００、３００の概略構成図である。図１７には、ログ分析システム１００、２００、３００がログ中の変数値に基づいてログの分析を行う装置として機能するための構成例が示されている。ログ分析システム１００、２００、３００は、分析対象ログから予め決められた形式に基づいて変数部分の値を抽出する変数抽出部としてのフォーマット判定部１２０、２２０、３２０と、前記変数部分の値に基づいて、前記分析対象ログの重み付けを行うログ分析部としての重み付け部１４０、２４０、３４０と、を備える。
　本発明は、上述の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲において適宜変更可能である。
　上述の実施形態の機能を実現するように該実施形態の構成を動作させるプログラム（より具体的には、図５に示す処理をコンピュータに実行させるプログラム）を記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のプログラムが記録された記録媒体はもちろん、そのプログラム自体も各実施形態に含まれる。
　該記録媒体としては例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ上で動作して処理を実行するものも各実施形態の範疇に含まれる。
　上述の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
　ログの特性に基づいて予め決められた形式に基づいて分析対象ログから変数部分の値を抽出する変数抽出部と、
　前記変数部分の値に基づいて、前記分析対象ログの重み付けを行うログ分析部と、
　を備えるログ分析システム。
（付記２）
　前記ログ分析部は、前記分析対象ログのうち複数のログに共通して含まれる前記変数部分の値に重み付けする付記１に記載のログ分析システム。
（付記３）
　前記分析対象ログを出力するシステムの構成要素を示す情報を含む構成情報を記録する構成情報記憶部をさらに備え、
　前記ログ分析部は、前記構成情報記憶部から読み出した前記構成情報に基づき、前記変数部分の値に含まれる前記構成情報を抽出する付記１又は２に記載のログ分析システム。
（付記４）
　前記構成情報は、前記構成要素の間の関係を示す情報をさらに含み、
　前記ログ分析部は、前記構成情報記憶部から読み出した前記関係に基づき、前記変数部分の値に含まれる前記関係を抽出する付記３に記載のログ分析システム。
（付記５）
　前記ログ分析部は、前記変数部分の分布幅に基づいて、前記変数部分の値に重み付けする付記１に記載のログ分析システム。
（付記６）
　前記分布幅は、前記変数が取り得る値の幅を表す数値である付記５に記載のログ分析システム。
（付記７）
　前記分布幅を記録する分布情報記憶部をさらに備え、
　前記ログ分析部は、前記分布情報記憶部から読み出した前記分布幅に基づいて、前記変数部分の値に重み付けする付記５又は６に記載のログ分析システム。
（付記８）
　前記ログ分析部は、前記分析対象ログのうち１つのログに含まれる複数の前記変数部分の値の組み合わせに基づいて、前記分析対象ログの重み付けを行う付記１に記載のログ分析システム。
（付記９）
　前記組み合わせを記録する組み合わせ記憶部をさらに備え、
　前記ログ分析部は、前記変数抽出部により抽出された前記変数部分の値の前記組み合わせが、前記組み合わせ記憶部に記録されているか否かに基づいて、前記分析対象ログの重み付けを行う付記８に記載のログ分析システム。
（付記１０）
　前記組み合わせを示すベクトルを記録する組み合わせ記憶部をさらに備え、
　前記ログ分析部は、前記変数抽出部により抽出された前記変数部分の値の前記組み合わせを示す前記ベクトルと、前記組み合わせ記憶部に記録されている前記ベクトルとの間の距離に基づいて、前記分析対象ログの重み付けを行う付記８に記載のログ分析システム。
（付記１１）
　前記変数抽出部により抽出された前記変数部分の値の前記組み合わせを前記組み合わせ記憶部に登録する組み合わせ学習部をさらに備える付記９又は１０に記載のログ分析システム。
（付記１２）
　前記分析対象ログに基づいて前記形式を生成するフォーマット学習部をさらに備える付記１～１１のいずれか一項に記載のログ分析システム。
（付記１３）
　ログの特性に基づいて予め決められた形式に基づいて分析対象ログから変数部分の値を抽出する工程と、
　前記変数部分の値に基づいて、前記分析対象ログの重み付けを行う工程と、
　を備えるログ分析方法。
（付記１４）
　コンピュータに、
　ログの特性に基づいて予め決められた形式に基づいて分析対象ログから変数部分の値を抽出する工程と、
　前記変数部分の値に基づいて、前記分析対象ログの重み付けを行う工程と、
　を実行させるログ分析プログラム。
　この出願は、２０１５年１１月１７日に出願された日本出願特願２０１５－２２４５００を基礎とする優先権を主張し、その開示の全てをここに取り込む。

 

Claims (14)

  1. 　ログの特性に基づいて予め決められた形式に基づいて分析対象ログから変数部分の値を抽出する変数抽出部と、
    　前記変数部分の値に基づいて、前記分析対象ログの重み付けを行うログ分析部と、
    　を備えるログ分析システム。
  2. 　前記ログ分析部は、前記分析対象ログのうち複数のログに共通して含まれる前記変数部分の値に重み付けする請求項１に記載のログ分析システム。
  3. 　前記分析対象ログを出力するシステムの構成要素を示す情報を含む構成情報を記録する構成情報記憶部をさらに備え、
    　前記ログ分析部は、前記構成情報記憶部から読み出した前記構成情報に基づき、前記変数部分の値に含まれる前記構成情報を抽出する請求項１又は２に記載のログ分析システム。
  4. 　前記構成情報は、前記構成要素の間の関係を示す情報をさらに含み、
    　前記ログ分析部は、前記構成情報記憶部から読み出した前記関係に基づき、前記変数部分の値に含まれる前記関係を抽出する請求項３に記載のログ分析システム。
  5. 　前記ログ分析部は、前記変数部分の分布幅に基づいて、前記変数部分の値に重み付けする請求項１に記載のログ分析システム。
  6. 　前記分布幅は、前記変数部分が取り得る値の幅を表す数値である請求項５に記載のログ分析システム。
  7. 　前記分布幅を記録する分布情報記憶部をさらに備え、
    　前記ログ分析部は、前記分布情報記憶部から読み出した前記分布幅に基づいて、前記変数部分の値に重み付けする請求項５又は６に記載のログ分析システム。
  8. 　前記ログ分析部は、前記分析対象ログのうち１つのログに含まれる複数の前記変数部分の値の組み合わせに基づいて、前記分析対象ログの重み付けを行う請求項１に記載のログ分析システム。
  9. 　前記組み合わせを記録する組み合わせ記憶部をさらに備え、
    　前記ログ分析部は、前記変数抽出部により抽出された前記変数部分の値の前記組み合わせが、前記組み合わせ記憶部に記録されているか否かに基づいて、前記分析対象ログの重み付けを行う請求項８に記載のログ分析システム。
  10. 　前記組み合わせを示すベクトルを記録する組み合わせ記憶部をさらに備え、
    　前記ログ分析部は、前記変数抽出部により抽出された前記変数部分の値の前記組み合わせを示す前記ベクトルと、前記組み合わせ記憶部に記録されている前記ベクトルとの間の距離に基づいて、前記分析対象ログの重み付けを行う請求項８に記載のログ分析システム。
  11. 　前記変数抽出部により抽出された前記変数部分の値の前記組み合わせを前記組み合わせ記憶部に登録する組み合わせ学習部をさらに備える請求項９又は１０に記載のログ分析システム。
  12. 　前記分析対象ログに基づいて前記形式を生成するフォーマット学習部をさらに備える請求項１～１１のいずれか一項に記載のログ分析システム。
  13. 　ログの特性に基づいて予め決められた形式に基づいて分析対象ログから変数部分の値を抽出する工程と、
    　前記変数部分の値に基づいて、前記分析対象ログの重み付けを行う工程と、
    　を備えるログ分析方法。
  14. 　コンピュータに、
    　ログの特性に基づいて予め決められた形式に基づいて分析対象ログから変数部分の値を抽出する工程と、
    　前記変数部分の値に基づいて、前記分析対象ログの重み付けを行う工程と、
    　を実行させるログ分析プログラム。

     
PCT/JP2016/004858 2015-11-17 2016-11-10 ログ分析システム、方法およびプログラム WO2017085921A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2017551530A JP6965748B2 (ja) 2015-11-17 2016-11-10 ログ分析システム、方法およびプログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-224500 2015-11-17
JP2015224500 2015-11-17

Publications (1)

Publication Number Publication Date
WO2017085921A1 true WO2017085921A1 (ja) 2017-05-26

Family

ID=58719136

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/004858 WO2017085921A1 (ja) 2015-11-17 2016-11-10 ログ分析システム、方法およびプログラム

Country Status (2)

Country Link
JP (1) JP6965748B2 (ja)
WO (1) WO2017085921A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020017037A1 (ja) * 2018-07-20 2020-01-23 日本電気株式会社 ログ分析装置、ログ分析方法、プログラム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005209115A (ja) * 2004-01-26 2005-08-04 National Institute Of Information & Communication Technology ログ要約装置、ログ要約プログラムおよび記録媒体
JP2007249694A (ja) * 2006-03-16 2007-09-27 Nec Corp ログフォーマット変換装置、ログフォーマット変換方法、及びログフォーマット変換プログラム
JP2011170802A (ja) * 2010-02-22 2011-09-01 Fujitsu Ltd 障害パターン生成プログラムおよび障害パターン生成装置
WO2012066650A1 (ja) * 2010-11-17 2012-05-24 富士通株式会社 情報処理装置、メッセージ抽出方法およびメッセージ抽出プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005209115A (ja) * 2004-01-26 2005-08-04 National Institute Of Information & Communication Technology ログ要約装置、ログ要約プログラムおよび記録媒体
JP2007249694A (ja) * 2006-03-16 2007-09-27 Nec Corp ログフォーマット変換装置、ログフォーマット変換方法、及びログフォーマット変換プログラム
JP2011170802A (ja) * 2010-02-22 2011-09-01 Fujitsu Ltd 障害パターン生成プログラムおよび障害パターン生成装置
WO2012066650A1 (ja) * 2010-11-17 2012-05-24 富士通株式会社 情報処理装置、メッセージ抽出方法およびメッセージ抽出プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SYMPOSIUM MULTIMEDIA, COOPERATIVE AND MOBILE SYSTEMS (DICOMO2006), IPSJ SYMPOSIUM SERIES, vol. 2006, no. 6, 31 August 2006 (2006-08-31), pages 909 - 912, ISSN: 1344-0640 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020017037A1 (ja) * 2018-07-20 2020-01-23 日本電気株式会社 ログ分析装置、ログ分析方法、プログラム
JPWO2020017037A1 (ja) * 2018-07-20 2021-07-15 日本電気株式会社 ログ分析装置、ログ分析方法、プログラム
JP7160097B2 (ja) 2018-07-20 2022-10-25 日本電気株式会社 ログ分析装置、ログ分析方法、プログラム

Also Published As

Publication number Publication date
JPWO2017085921A1 (ja) 2018-09-06
JP6965748B2 (ja) 2021-11-10

Similar Documents

Publication Publication Date Title
JP6741216B2 (ja) ログ分析システム、方法およびプログラム
US10002144B2 (en) Identification of distinguishing compound features extracted from real time data streams
WO2017104119A1 (ja) ログ分析システム、方法およびプログラム
JP6708219B2 (ja) ログ分析システム、方法およびプログラム
JP6787340B2 (ja) ログ分析システム、ログ分析方法及びプログラム
CN108304318B (zh) 设备兼容性的测试方法及终端设备
JP6741217B2 (ja) ログ分析システム、方法およびプログラム
WO2018069950A1 (ja) ログ分析方法、システムおよびプログラム
CN112671767A (zh) 一种基于告警数据分析的安全事件预警方法及装置
JPWO2018066661A1 (ja) ログ分析方法、システムおよび記録媒体
WO2020175113A1 (ja) 異常検知装置、異常検知方法および異常検知プログラム
WO2017085921A1 (ja) ログ分析システム、方法およびプログラム
JP2010250864A (ja) 情報処理装置およびプログラム
JP6515048B2 (ja) インシデント管理システム
JP6541903B2 (ja) 攻撃・異常検知装置、攻撃・異常検知方法、および攻撃・異常検知プログラム
JP2017211806A (ja) 通信の監視方法、セキュリティ管理システム及びプログラム
JP6798504B2 (ja) ログ分析システム、ログ分析方法及びプログラム
JP2019159406A (ja) データ解析システム、データ解析方法、及びプログラム
WO2017081866A1 (ja) ログ分析システム、方法およびプログラム
JP6271971B2 (ja) リスク分析装置及びリスク分析プログラム
JP6357028B2 (ja) 管理ポイント検索方法および装置
CN114298561B (zh) 设备生产条件的生成方法、装置、电子设备及存储介质
JP6305258B2 (ja) 情報処理装置及び情報処理方法及びプログラム
JP2021140675A (ja) 性能分析装置、性能分析方法、及び性能分析プログラム
CN116719515A (zh) 表单组件配置方法、装置、电子设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16865925

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017551530

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16865925

Country of ref document: EP

Kind code of ref document: A1