WO2020175113A1 - 異常検知装置、異常検知方法および異常検知プログラム - Google Patents

異常検知装置、異常検知方法および異常検知プログラム Download PDF

Info

Publication number
WO2020175113A1
WO2020175113A1 PCT/JP2020/004969 JP2020004969W WO2020175113A1 WO 2020175113 A1 WO2020175113 A1 WO 2020175113A1 JP 2020004969 W JP2020004969 W JP 2020004969W WO 2020175113 A1 WO2020175113 A1 WO 2020175113A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
unit
type
abnormality
classified
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2020/004969
Other languages
English (en)
French (fr)
Inventor
翔太郎 東羅
将司 外山
真智子 豊田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to US17/433,425 priority Critical patent/US11757708B2/en
Publication of WO2020175113A1 publication Critical patent/WO2020175113A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/069—Management of faults, events, alarms or notifications using logs of notifications; Post-processing of notifications
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/076—Error or fault detection not based on redundancy by exceeding limits by exceeding a count or rate limit, e.g. word- or bit count limit
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0775—Content or structure details of the error report, e.g. specific table structure, specific error fields
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3006—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is distributed, e.g. networked systems, clusters, multiprocessor systems
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3065—Monitoring arrangements determined by the means or processing involved in reporting the monitored data
    • G06F11/3072—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves data filtering, e.g. pattern matching, time or event triggered, adaptive or policy-based reporting
    • G06F11/3082—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves data filtering, e.g. pattern matching, time or event triggered, adaptive or policy-based reporting the data filtering being achieved by aggregating or compressing the monitored data
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3476—Data logging
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/30—Information retrieval; Database structures therefor; File system structures therefor of unstructured textual data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0604—Management of faults, events, alarms or notifications using filtering, e.g. reduction of information by using priority, element types, position or time
    • H04L41/0609—Management of faults, events, alarms or notifications using filtering, e.g. reduction of information by using priority, element types, position or time based on severity or priority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0677—Localisation of faults
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/88—Monitoring involving counting

Definitions

  • Abnormality detection device abnormality detection method, and abnormality detection program
  • the present invention relates to an abnormality detection device, an abnormality detection method, and an abnormality detection program.
  • Patent Document 1 Japanese Patent Laid-Open No. 20 1 4 _ 1 5 3 7 2 3
  • Patent Document 2 JP 20 15-3 6 8 9 1
  • the conventional blacklist monitoring has a problem that it is possible to detect a known abnormality but not an unknown abnormality.
  • the abnormality detection device of the present invention comprises: a partial character string of each message representing the type of each message included in the text log output from the system; There is a tag set for each message type. ⁇ 02020/175113 2 ⁇ (: 17 2020/004969
  • the dictionary information stored in the storage unit is referred to, and the message included in the text log is referenced.
  • Each of the classified messages is classified according to the type, and a classification unit that gives a clue to each classified message, and a detection unit that detects an abnormality based on the clue given to the message by the classification unit are included. Is characterized by.
  • the abnormality detection method of the present invention is an abnormality detection method executed by an abnormality detection device, wherein the abnormality detection device determines the type of each message included in the text log output from the system.
  • a message stored in the text log output from the system has a storage unit that stores the dictionary information in which the partial character strings of each message that is represented and the I mouth set for each message type are associated with each other.
  • the dictionary information stored in the storage unit is referred to, the messages included in the text log are classified by type, and a classification step of assigning I to each classified message, and the classification step are performed. And a detection step of detecting an abnormality based on the I port given to the message.
  • the anomaly detection program of the present invention acquires a message included in a text log output from the system
  • a partial character of each message indicating the type of each message included in the text log output from the system is acquired.
  • the messages included in the text log are classified by type by referring to the dictionary information stored in the storage unit that stores the dictionary information in which the columns and the mouths set for each message type are associated with each other.
  • the present invention is characterized in that the computer is caused to perform a classification step of giving a mouth to each classified message and a detection step of detecting an abnormality based on the mouth given to the message by the classification step.
  • FIG. 1 is a block diagram showing a configuration example of an abnormality detection device according to a first embodiment.
  • Fig. 2 is a diagram showing an example of a text log.
  • FIG. 3 is a diagram showing an example of a data structure of dictionary information.
  • FIG. 4 is a diagram for explaining the creation of a template.
  • FIG. 5 is a diagram for explaining the I-mouth imparting process.
  • Fig. 6 is a diagram for explaining an example of a series of flows for consolidating logs and giving a hint.
  • Fig. 7 is a diagram showing the transition of the number of new templates when the system is operated stably.
  • Fig. 8 shows the transition of the number of new templates when an unknown event occurs.
  • FIG. 9 is a diagram illustrating a flow of a series of processes for detecting an unknown abnormality by monitoring the number of new templates per unit time.
  • FIG. 10 is a diagram illustrating a process of calculating an abnormality degree from a relative change in the appearance frequency for each I mouth.
  • FIG. 11 is a flow chart showing an example of the flow of processing in the abnormality detection device according to the first embodiment.
  • Fig. 12 is a diagram showing a computer that executes an abnormality detection program.
  • FIG. 1 is a block diagram showing a configuration example of the abnormality detection device according to the first embodiment.
  • the abnormality detection device 10 has an input unit 11, an output unit 12, a communication unit 13, a storage unit 14 and a control unit 15.
  • the input unit 11 receives data input from the user.
  • the input unit 11 is, for example, an input device such as a mouse or a keyboard.
  • the output unit 12 outputs the data by displaying the screen.
  • the output unit 12 is, for example, a display device such as a display.
  • the communication unit 13 performs data communication with other devices via the network.
  • the communication unit 13 is an N C (Network Interface Card).
  • the storage unit 14 is a storage device such as an HDD (Hard Disk Drive), an SSD (Solid State Drive), and an optical disk.
  • the storage unit 14 may be a rewritable semiconductor memory such as RAM (Random Access Memory), flash memory, or NVS RAM (Non Volatile Static Random Access Memory).
  • the storage unit 14 stores an OS (Ope rating System) and various programs executed by the abnormality detection device 10. Further, the storage unit 14 stores various information used in executing the program.
  • the storage unit 14 stores the output log information 1 41 and the dictionary information 1 42.
  • the storage unit 14 is a dictionary in which a partial character string of each message that represents the type of each message included in the text log output from the system and a D that is set for each message type are associated with each other. Memorize information 1 42.
  • the storage unit 14 stores the text log output from the system as output log information 14a.
  • the text log is output from, for example, a server machine, a personal computer, a storage, etc. that make up the computer system.
  • Text logs can be sent from, for example, routers, firewalls, mouth balancers, optical transmission equipment, optical transmission repeaters, etc. that compose network systems. Is output.
  • the output text log may be related to the entire system or may be related to the devices that make up the system. Further, the text log may be output in an environment in which a computer system or a network system is virtualized.
  • the text log is, for example, ⁇ S system log, application and database execution log, error log, operation log, M L B information obtained from network devices, monitoring system alerts, action log, operation status. Logs etc.
  • the text log is not limited to the above, and any text log may be used.
  • FIG. 2 is a diagram showing an example of a text log.
  • each record in the text log contains a message and the date and time of occurrence of the message.
  • the first record of the text log contains the message "LINK-UP Interface 1/0/17" and the date and time of occurrence "2015/01/18 T14:56".
  • the message may include additional information such as the host and log level.
  • the storage unit 14 stores data for classifying text log messages as dictionary information 14b.
  • FIG. 3 is a diagram showing an example of a data structure of dictionary information.
  • the dictionary information 14b includes a template composed of an ID and a word sequence. That is, a template consists of a template ID and a word sequence.
  • the mouth is information for identifying the type into which the text log message is classified.
  • a word sequence is a string used to classify text log messages. For example, whether or not a message is classified into a type in which D is “1” is determined by the word sequence “LINK-UP Interface Is determined using.
  • the classification of messages using the dictionary information 14b is performed by the classification unit 15a. The specific processing of the classification unit 15a will be described later.
  • the control unit 15 controls the entire abnormality detection device 10.
  • the control unit 15 includes, for example, an electronic circuit such as a CPU (Central Processing Unit) and MPU (Micro Processing Unit) and an AS IC (Application Specific Integrated Circu). It), FPGA (Field Programmable Gate Array), and other integrated circuits.
  • the control unit 15 has an internal memory for storing programs and control data that define various processing procedures, and executes each processing using the internal memory. Further, the control unit 15 functions as various processing units by operating various programs.
  • the control unit 15 has a classification unit 15a, a detection unit 15b, and a notification unit 15c.
  • the classification unit 15a When the classification unit 15a acquires the message included in the text log output from the system, the classification unit 15a refers to the dictionary information stored in the storage unit 14 to classify the message included in the text log. Each message is classified, and D is given to each classified message. As described above, the classification unit 15a performs classification using the dictionary information 14b.
  • the dictionary information 14 ⁇ may be created by the classification unit 15 a.
  • the classification unit 15a can create a template based on the character string obtained by deleting the parameter from the message.
  • FIG. 4 is a diagram for explaining the creation of the template.
  • the template consists of template D and word sequence.
  • the classification unit 15a divides the message into predetermined delimiter characters to extract a word group, classifies each word into parameters or non-parameters according to the character type, and stores the dictionary information stored in the storage unit 14a. If there is a template that compares all the word sequences of the template group with all the words classified as non-parameters in the above message, append D of the template to the message.
  • the classifying unit 15a matches all the words at the positions classified as non-parameters in the template group of the dictionary information stored in the storage unit 14 If a template with a word sequence does not exist, a new template with a word sequence based on the message may be created and a new template with a new rule D may be generated. [0026] As shown in Fig. 4, the classifying unit 15a can regard, for example, a word composed of "numerical value and symbol" as a parameter, and set a character string obtained by deleting the parameter from the message as a word sequence. ..
  • the classification unit 15a uses the message “LINK-UP Interface 1/0/17” or the message “LINK-UP Interface 0/0/0” included in the text log of FIG. Create a word sequence called "Interface”. Further, the classification unit 15a generates it as a template having the created word sequence and the created D and adds it to the dictionary information 14b of the storage unit 14. At this time, the classification unit 15a may add a wild card such as “*” to the part where the parameter is deleted.
  • classification unit 15a considers as parameters are not limited to the above examples.
  • the classification unit 15a may, for example, consider all "words containing numbers” as parameters, "words composed of numbers and alphabets" as non-parameters, or "alphabets only”. Only “words consisting of” may be non-parameterized.
  • the criterion criterion of parameter/non-parameter is not limited to the character type and may be created based on a rule base. Specifically, "words that follow the rules of IP addresses" may be regarded as parameters. Further, it may be determined that the character string including the "predetermined delimiter" beyond the word frame is parameter/non-parameter.
  • the template of the dictionary information 14 b is the classification unit 1
  • 5a does not have to be created by the user, but may be created by the user in advance or automatically created by a device other than the abnormality detection device 10.
  • FIG. 5 is a diagram illustrating G and ID assignment processing.
  • the classification unit 15a classifies the message by comparing the word sequence of each template in the dictionary information 14b with the message in the text log. At this time, the classification unit 15a determines whether the word sequence exactly matches the message or partially matches the message. Determine that the template matches the message. Then, the classifying unit 15a adds to the message, D of the template determined to match.
  • the word sequence "LINK-UP Interface *" in the template in which D is “1” in Fig. 3 is the message "LINK-UP Interface 1/0/17" in the first line of the text log in Fig. 2.
  • Classifier 15 a determines that the template word sequence “LINK-UP Interface *” matches the message “LINK-UP Interface 1/0/17” and the message “LINK-UP Interface *”.
  • the ID "1" is assigned to "1/0/1 7".
  • the classifying unit 15a adds a new rule D that has not been added yet, and Based on, add a new template to dictionary information 1 4 b.
  • the classification unit 15a creates a classified text log by classifying the message and adding the message D.
  • each record in the classified text log contains the message D and the date and time of occurrence.
  • the record in the first line of the classified text log contains ⁇ D "1" given to the message "LINK-UP Interface 1 /0/17” and the date and time of occurrence "2015/01/18 T14 :56". Including.
  • FIG. 6 is a diagram for explaining an example of a series of flows in which logs are aggregated and D is added.
  • the classification unit 15a format-converts various logs with different formats such as file logs and real-time logs according to their respective formats.
  • the classification unit 15a converts the format of the real-time log after assigning the time when the log is received in order to prevent the time from being swapped.
  • the format-converted log message shall include the date and time, the message body, and other information.
  • the classification unit 15a refers to the template of the dictionary information, adds D to the message, and outputs the D-formatted log message. Also, the classification section 1 ⁇ 2020/175 113 9 ⁇ (:171? 2020 /004969
  • 5 3 updates the dictionary information so that a new template is added when a new mouth is added.
  • the detecting unit 15 detects the abnormality based on the tag added to the message by the classifying unit 15 3. For example, the detection unit 15 has a predetermined number of message types of which the corresponding message type does not exist in the dictionary information of the storage unit 14 among the messages classified by the classification unit 15 3 . If the threshold is exceeded, an abnormality is detected.
  • FIG. 7 shows the transition of the number of new templates when the system is operating stably.
  • FIG. 8 is a diagram showing changes in the number of new templates when an unknown event has occurred. As shown in Figure 7, if the system is operating stably, unknown logs will appear for some period in the initial stage, but the frequency of appearance of unknown logs will decrease. Then, as illustrated in FIG. 8, when an unknown event such as a failure or maintenance occurs in the system, a large amount of unknown logs appear in a predetermined period.
  • the detection unit 1513 determines whether the number of new mouths granted in a predetermined period exceeds a predetermined threshold. For example, in the example of Fig. 8, the detector 15 counts the number of new I units granted each day and monitors whether the number of new mouth units granted per day exceeds a threshold of 250. .. Then, the detecting unit 15 detects an abnormality when the number of new mouths granted per day exceeds the threshold “250”.
  • the threshold can be set and changed arbitrarily.
  • notification unit 1 May notify the external terminal device of the new roster. Also, for example, the notification unit 1 The detection unit 15 may notify an alert to an external terminal device when an abnormality is detected by the detection unit 15. In addition, for example, the notification unit 1 responds to a request from an external terminal device with dictionary information and heat of the mouth. ⁇ 2020/175 113 10 ⁇ (: 171-1? 2020/004969
  • a map may be displayed.
  • FIG. 9 is a diagram illustrating a flow of a series of processes for discovering an unknown abnormality by monitoring the number of new mouth additions per unit time.
  • the abnormality detection device 10 refers to the dictionary information 14 stored in the storage unit 14 for the new log output from the system in which the abnormality has occurred, and registers it in the dictionary information. A new feature is added to the text log message that has not been created. Then, the abnormality detection device 10 notifies the external terminal device of the new mouth list.
  • the abnormality detection device 10 it is possible to constantly visualize the number of new cases and the dictionary for each time, and when something happens, the cause can be quickly identified and a new monitoring item can be made. Further, the abnormality detection device 10 notifies an external terminal device of an alert when the number of new units in a predetermined period exceeds a predetermined threshold value. As described above, the anomaly detection device 10 can detect an unknown anomaly early by monitoring the number of new mouth additions per unit time, and can deal with trouble before the user's declaration.
  • the abnormality detection device 10 does not have the dictionary information. It is possible to add a new mouth to the log and detect unknown anomalies from the increased number of new I mouths.
  • the abnormality detection device 10 may display a dictionary viewer or a heat map of I 0 in response to a request from the terminal device, and by visualizing it as a dictionary viewer or a log heat map. , It is possible to confirm the contents quickly.
  • the detection unit 15 of the abnormality detection device 10 detects an abnormality when the number of new mouths in a predetermined period exceeds a predetermined threshold value. It is not limited to.
  • the detection unit 15 was assigned to the message based on the result of classifying the message by the classification unit 15 3. ⁇ 2020/175 113 1 1 ⁇ (:171? 2020 /004969
  • the number of grants per unit time (for example, one day) of I units is aggregated for each unit, and the number of grants of any unit time is compared with the number of grants of other unit time, and the number of units of each unit time is calculated. You may make it detect the abnormality degree for every.
  • FIG. 10 is a diagram for explaining the process of calculating the abnormality degree from the relative change in the appearance frequency for each mouth.
  • the detection unit 15 calculates daily aggregate values for the past 5 days and calculates the _I_Iro value, and finds that the number of units per day is higher than that of the last 5 days. Can be found.
  • the sum of the number of grants for each day for 5 days (4 days ago, 3 days ago, 2 days ago, yesterday, today) is displayed for ⁇ 0 from "1" to "7". There is.
  • the detection unit 15 uses the formula illustrated in Fig. 10 to calculate the daily I-value of each mouth.
  • the detector 15 calculates, for example, “5 X 1 0 9 1 0 (5 / 1)” for “Yesterday” of I port “4”, and The value is about "3.5".
  • the detecting unit 15 uses the calculated value of the deviation I as the abnormality degree, and if there is an I-port having the abnormality degree of a predetermined threshold value (eg, 0.7) or more, the abnormality is detected. May be detected.
  • a predetermined threshold value eg, 0.7
  • FIG. 11 is a sequence diagram showing an example of the flow of processing in the abnormality detection device according to the first embodiment.
  • FIG. 11 an example of the process of notifying a new I-lolist and detecting an abnormality each time a new mouth is given is explained.
  • the timing of performing the detecting process is not limited to this, and any timing may be used.
  • the abnormality detecting apparatus 1 classification section 1 5 3 when receiving a log message (Step 3 1 0 1 Yes), a predetermined delimiter message ⁇ 2020/175 113 12 boxes (:171? 2020 /004969
  • the dividing section 1 5 3 classifies the parameter or nonparametric each word by character type, compared to the respective word sequence of the template group dictionary information stored in the storage unit 1 4, non-in the message If there is a template in which all the words classified as parameters match the template, the mouth of the template is added to the message (step 3103).
  • the classification unit 153 determines whether or not a new mouth is given in step 3103 (step 3104). As a result, when the classification unit 153 does not determine that the new I-port has been added (No at step 310), the processing ends. Further, the classification section 1 5 3, when it is determined that the imparting new I port (Step 3 1 0 4 Yes), to add a new template in the storage unit 1 4 dictionary information 1 4 spoon (Step 3 1 0 5).
  • the notification unit 150 notifies the new I log list (step 3106). Then, the detection unit 15 determines whether the number of new templates per unit time exceeds the threshold value (step 3107). As a result, when the number of new templates per unit time does not exceed the predetermined number (No at Step 3107), the detection unit 1513 ends the process as it is. When the number of new templates per unit time exceeds (Yes at Step 3107), the detection unit 15 detects an abnormality (Step 3108).
  • the abnormality detection device 10 uses dictionary information 1 4 that associates the messages included in the text log output from the system in the past with the mouth set for each message type. Has a storage unit 14 for storing.
  • the anomaly detection device 10 acquires a message included in the text log output from the system, it refers to the dictionary information 14 stored in the storage unit 14 and sorts the messages included in the text log by type. It classifies and assigns a tag to each classified message, and detects anomalies based on the 0 added to the message. Therefore, the anomaly detector 10 can detect unknown anomalies. ⁇ 2020/175 113 13 ⁇ (:171? 2020/004969
  • the abnormality detection device 10 is configured so that when the number of new mouths given in a predetermined period exceeds a predetermined threshold among the mouths given to the message. Since anomalies are detected, unknown anomalies can be detected early by monitoring the number of new mouths granted per unit time.
  • the abnormality detection device 10 notifies the information regarding the message including the I port so that, for example, the user constantly monitors the change in the number of new ports per time. It is possible.
  • the abnormality detection device 10 aggregates the frequency per unit time of the mouths given to the message for every 0th, and the frequency of any unit time and other By comparing the frequency with the unit time and detecting the degree of anomaly for each mouth for each unit time, it is possible to detect anomalies in the log of mouths that have been observed in the past.
  • the abnormality detection device 1 0 according to the first embodiment, the classification unit 1 5 3, the word group extracted by dividing the message at a predetermined delimiter, by each word in the character type connexion Classify into parameters or non-parameters and compare with each word sequence of the dictionary information template group stored in the storage unit 14, and all the words in the above message that are classified as non/ ⁇ parameters match.
  • the log message of the system can be classified by not adding detailed settings for the classification method in advance by giving the message the mouth of the template.
  • each component of each device shown in the drawings is functionally conceptual, and does not necessarily have to be physically configured as shown. That is, the specific form of the dispersion/integration of each device is not limited to the one shown in the figure, and all or a part of the device may be functionally or physically arranged in an arbitrary unit according to the load of each type or the usage state. It can be distributed and integrated. Furthermore, all or any part of each processing function performed by each device is analyzed by 0911 and 0II. It can be realized by a program to be implemented, or can be realized as hardware by wired logic.
  • FIG. 12 is a diagram showing a computer that executes an abnormality detection program.
  • the computer 1 000 includes, for example, a memory 110 0, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, and a serial port interface 1050. , A video adapter 1 060 and a network interface 1 070, and these parts are connected by a bus 1 080.
  • the memory 1101 includes a ROM (Read Only Memory) 1101 and a RAM 1102.
  • the ROM 1 011 stores a boot program such as, for example, B S (Basic I output system).
  • B S Basic I output system
  • Ha -The hard disk drive interface 1 0 30 0 is connected to the hard disk drive 1 0 90 as illustrated in FIG.
  • the disk drive interface 1400 is connected to the disk drive 1100 as illustrated in FIG.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 110.
  • the serial port interface 1550 is connected to, for example, a mouse 1110 and a keyboard 1120 as illustrated in FIG.
  • the video adapter 1600 is connected to, for example, the display 1130 as illustrated in FIG.
  • the hard disk drive 109 0 is, for example, ⁇ S 1 09 1, application program 10 9 2, program module 10 9 3, program data 1 Memorize 0 9 4. That is, the above-described abnormality detection program is stored in, for example, the hard disk drive 109 as a program module in which the instructions executed by the computer 1000 are described.
  • the various data described in the above embodiments are stored as program data in, for example, the memory 110 or hard disk drive 109.
  • the CPU 1020 then loads the RAM 1 0 1 2 to the program module 1 0 9 3 and program data 1 0 9 4 stored in the memory 1 0 1 0 and hard disk drive 1 0 9 0 as necessary. Read and execute various processing procedures.
  • the program module 1093 and program data 1094 related to the abnormality detection program are not limited to being stored in the hard disk drive 109, but may be stored in a removable storage medium, for example. Alternatively, it may be read by the CPU 1020 via a disk drive or the like. Alternatively, the program module 1093 and program data 1094 related to the anomaly detection program were connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.). It may be stored in another computer and read by the CPU 1020 via the network interface 1070. ⁇ 2020/175 113 16 ⁇ (: 171? 2020 /004969

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Databases & Information Systems (AREA)
  • Computing Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Mathematical Physics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Debugging And Monitoring (AREA)
  • Computer And Data Communications (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

異常検知装置（１０）は、システムから出力されたテキストログに含まれる各メッセージの種別を表す各メッセージの部分文字列と、メッセージの種別ごとに設定されたＩＤとが対応付けられた辞書情報（１４ｂ）を記憶する記憶部（１４）を有する。異常検知装置（１０）は、システムから出力されたテキストログに含まれるメッセージを取得すると、記憶部（１４）に記憶された辞書情報（１４ｂ）を参照し、テキストログに含まれるメッセージを種別ごとに分類し、分類した各メッセージにＩＤを付与し、メッセージに付与されたＩＤに基づいて、異常を検知する。

Description

\¥02020/175113 1 卩（：17 2020/004969
明 細 書
発明の名称 ：
異常検知装置、 異常検知方法および異常検知プログラム
技術分野
[0001 ] 本発明は、 異常検知装置、 異常検知方法および異常検知プログラムに関す る。
背景技術
[0002] 従来、 サーバシステムやネッ トワークシステムにおける異常検知や状態分 析のために、 3 7 3
Figure imgf000003_0001
6886） 情報 等のテキストログを用いたシステムの監視が行われている。
[0003] 例えば、 システムに障害が発生した際に、 人手によって特定のキーワード でテキストログを検索し、 当該キーワードを含んだメッセージをクリティカ ルなメッセージとして抽出することが行われている。
先行技術文献
特許文献
[0004] 特許文献 1 :特開 2 0 1 4 _ 1 5 3 7 2 3号公報
特許文献 2 :特開 2 0 1 5 - 3 6 8 9 1号公報
発明の概要
発明が解決しようとする課題
[0005] しかしながら、 従来のブラックリストによる監視では、 既知の異常を検知 することはできても、 未知の異常を検知することはできないという課題があ った。
課題を解決するための手段
[0006] 上述した課題を解決し、 目的を達成するために、 本発明の異常検知装置は 、 システムから出力されたテキストログに含まれる各メッセージの種別を表 す各メッセージの部分文字列と、 メッセージの種別ごとに設定された丨 口と \¥02020/175113 2 卩（：17 2020/004969
が対応付けられた辞書情報を記憶する記憶部と、 前記システムから出力され たテキストログに含まれるメッセージを取得すると、 前記記憶部に記憶され た辞書情報を参照し、 前記テキストログに含まれるメッセージを種別ごとに 分類し、 分類した各メッセージに 丨 口を付与する分類部と、 前記分類部によ ってメッセージに付与された丨 口に基づいて、 異常を検知する検知部とを有 することを特徴とする。
[0007] また、 本発明の異常検知方法は、 異常検知装置によって実行される異常検 知方法であって、 前記異常検知装置は、 システムから出力されたテキストロ グに含まれる各メッセージの種別を表す各メッセージの部分文字列と、 メッ セージの種別ごとに設定された I 口とが対応付けられた辞書情報を記憶する 記憶部を有し、 前記システムから出力されたテキストログに含まれるメッセ —ジを取得すると、 前記記憶部に記憶された辞書情報を参照し、 前記テキス トログに含まれるメッセージを種別ごとに分類し、 分類した各メッセージに I 口を付与する分類工程と、 前記分類工程によってメッセージに付与された I 口に基づいて、 異常を検知する検知工程とを含むことを特徴とする。
[0008] また、 本発明の異常検知プログラムは、 システムから出力されたテキスト ログに含まれるメッセージを取得すると、 前記システムから出力されたテキ ストログに含まれる各メッセージの種別を表す各メッセージの部分文字列と メッセージの種別ごとに設定された丨 口とが対応付けられた辞書情報を記憶 する記憶部に記憶された前記辞書情報を参照し、 前記テキストログに含まれ るメッセージを種別ごとに分類し、 分類した各メッセージに 丨 口を付与する 分類ステップと、 前記分類ステップによってメッセージに付与された丨 口に 基づいて、 異常を検知する検知ステップとをコンビュータに実行させること を特徴とする。
発明の効果
[0009] 本発明によれば、 未知の異常を検知することができるという効果を奏する
図面の簡単な説明 〇 2020/175113 3 卩（：171? 2020 /004969
［0010］ ［図 1］図 1は、 第 1の実施形態に係る異常検知装置の構成例を示すブロック図 である。
［図 2］図 2は、 テキストログの一例を示す図である。
［図 3］図 3は、 辞書情報のデータ構成の一例を示す図である。
［図 4］図 4は、 テンプレートの作成について説明するための図である。
［図 5］図 5は、 I 口付与処理を説明する図である。
［図 6］図 6は、 ログを集約して 丨 口を付与する一連の流れの一例を説明する図 である。
［図 7］図 7は、 システムが安定して運用されている場合の新規テンプレート数 の推移を示す図である。
［図 8］図 8は、 未知の事象が発生している場合の新規テンプレート数の推移を 示す図である。
［図 9］図 9は、 単位時間当たりの新規テンプレート数を監視することで未知異 常を発見する一連の処理の流れを説明する図である。
［図 10］図 1 0は、 I 口ごとの出現頻度の相対的な変化から異常度を算出する 処理を説明する図である。
［図 1 1］図 1 1は、 第 1の実施形態に係る異常検知装置における処理の流れの _例を示すフローチヤートである。
［図 12］図 1 2は、 異常検知プログラムを実行するコンビュータを示す図であ る。
発明を実施するための形態
［001 1］ 以下に、 本願に係る異常検知装置、 異常検知方法および異常検知プログラ ムの実施の形態を図面に基づいて詳細に説明する。 なお、 この実施の形態に より本願に係る異常検知装置、 異常検知方法および異常検知プログラムが限 定されるものではない。
［0012］ ［第 1の実施形態］
以下の実施の形態では、 第 1の実施形態に係る異常検知装置 1 〇の構成、 異常検知装置 1 〇の処理の流れを順に説明し、 最後に第 1の実施形態による 効果を説明する。
[0013] [異常検知装置の構成]
まず、 図 1 を用いて、 本実施形態の異常検知装置 1 〇の構成例を説明する 。 図 1は、 第 1の実施形態に係る異常検知装置の構成例を示すブロック図で ある。 図 1 に示すように、 異常検知装置 1 0は、 入力部 1 1、 出力部 1 2、 通信部 1 3、 記憶部 1 4及び制御部 1 5を有する。
[0014] 入力部 1 1は、 ューザからのデータの入力を受け付ける。 入力部 1 1は、 例えば、 マウスやキーボード等の入力装置である。 出力部 1 2は、 画面の表 示等により、 データを出力する。 出力部 1 2は、 例えば、 ディスプレイ等の 表示装置である。 通信部 1 3は、 ネッ トワークを介して、 他の装置との間で データ通信を行う。 例えば、 通信部 1 3は N 丨 C (Network Interface Car d) である。
[0015] 記憶部 1 4は、 H DD (Hard Disk Drive) 、 S S D (Solid State Dr ive) 、 光ディスク等の記憶装置である。 なお、 記憶部 1 4は、 RAM (Rand om Access Memory) 、 フラッシュメモリ、 NVS RAM (Non Volatile Static Random Access Memory) 等のデータを書き換え可能な半導体メモ リであってもよい。 記憶部 1 4は、 異常検知装置 1 0で実行される OS (Ope rating System) や各種プログラムを記憶する。 さらに、 記憶部 1 4は、 プ ログラムの実行で用いられる各種情報を記憶する。
[0016] また、 記憶部 1 4は、 出カログ情報 1 4 1及び辞書情報 1 42を記憶する 。 記憶部 1 4は、 システムから出力されたテキストログに含まれる各メッセ —ジの種別を表す各メッセージの部分文字列と、 メッセージの種別ごとに設 定された丨 Dとが対応付けられた辞書情報 1 42を記憶する。
[0017] 記憶部 1 4は、 システムから出力されたテキストログを出カログ情報 1 4 aとして記憶する。 ここで、 テキストログは、 例えば、 計算機システムを構 成するサ _バマシン、 パーソナルコンピュータ、 ストレージ等から出力され る。 また、 テキストログは、 例えば、 ネッ トワークシステムを構成するルー 夕、 ファイアウォール、 口ードバランサ、 光伝送装置、 光伝送中継器等から 出力される。 また、 出力されるテキストログは、 システム全体に関するもの であってもよいし、 システムを構成する装置に関するものであってもよい。 さらに、 テキストログは、 計算機システムやネッ トワークシステムが仮想化 された環境において出力されたものであってもよい。
[0018] テキストログは、 例えば、 〇 Sのシスログ、 アプリケーシヨン及びデータ ベースの実行ログ、 エラーログ、 操作ログ、 ネッ トヮーク機器から得られる M l B情報、 監視システムのアラート、 行動ログ、 動作状態ログ等である。 なお、 テキストログは上記のものに限定されるものではなく、 どのようなも のであつてもよい。
[0019] 図 2は、 テキストログの一例を示す図である。 図 2に示すように、 テキス トログの各レコードは、 メッセージとメッセージに付された発生日時とを含 む。 例えば、 テキストログの 1行目のレコードは、 メッセージ 「LINK-UP In terface 1/0/17」 と、 発生日時 「2015/05/18T14:56」 とを含む。 なお、 メッ セージには、 ホストやログレベルといった付加情報を含んでも構わない。
[0020] 記憶部 1 4は、 テキストログのメッセージを分類するためのデータを辞書 情報 1 4 bとして記憶する。 図 3は、 辞書情報のデータ構成の一例を示す図 である。 図 3に示すように、 辞書情報 1 4 bは、 I D及び単語シーケンスで 構成されるテンプレートを含む。 つまり、 テンプレートは、 テンプレート I D、 単語シーケンスから構成される。 丨 口は、 テキストログのメッセージが 分類される種別を識別するための情報である。 単語シーケンスは、 テキスト ログのメッセージの分類に用いられる文字列である。 例えば、 丨 Dが 「1」 である種別にメッセージが分類されるか否かは、 単語シーケンス 「LINK-UP Interface
Figure imgf000007_0001
を用いて判定される。 なお、 辞書情報 1 4 bを用いたメッセ —ジの分類は分類部 1 5 aによって行われる。 分類部 1 5 aの具体的な処理 については後述する。
[0021] 制御部 1 5は、 異常検知装置 1 0全体を制御する。 制御部 1 5は、 例えば 、 C P U (Central Processing Unit) 、 MP U (Micro Processing Uni t) 等の電子回路や、 AS I C (Application Specific Integrated Circu i t) 、 F P G A (F i e ld Prog rammab le Gate Ar ray) 等の集積回路である 。 また、 制御部 1 5は、 各種の処理手順を規定したプログラムや制御データ を格納するための内部メモリを有し、 内部メモリを用いて各処理を実行する 。 また、 制御部 1 5は、 各種のプログラムが動作することにより各種の処理 部として機能する。 例えば、 制御部 1 5は、 分類部 1 5 a、 検知部 1 5 bお よび通知部 1 5 cを有する。
[0022] 分類部 1 5 aは、 システムから出力されたテキストログに含まれるメッセ —ジを取得すると、 記憶部 1 4に記憶された辞書情報を参照し、 テキストロ グに含まれるメッセージを種別ごとに分類し、 分類した各メッセージに 丨 D を付与する。 前述の通り、 分類部 1 5 aは、 辞書情報 1 4 bを用いて分類を 行ぅ。
[0023] ここで、 辞書情報 1 4匕は、 分類部 1 5 aによって作成されてもよい。 例 えば、 分類部 1 5 aは、 メッセージからパラメータを削除することで得られ る文字列を基にテンプレートを作成することができる。 ここで、 図 4を用い て、 テキストログに基づいたテンプレートの作成方法について説明する。 図 4は、 テンプレートの作成について説明するための図である。 テンプレート は、 テンプレート 丨 D、 単語シーケンスから構成される。
[0024] 分類部 1 5 aは、 メッセージを所定の区切り文字で分割して単語群を抽出 し、 各単語を文字種によってパラメータまたは非パラメータに分類し、 記憶 部 1 4に記憶された辞書情報のテンプレート群のそれぞれの単語シーケンス と比較し、 上記メッセージ中の非パラメータと分類された箇所の単語がすべ て一致するテンプレートが存在する場合には、 該テンプレートの丨 Dをメッ セージに付与する。
[0025] また、 分類部 1 5 aは、 メッセージの分類を行う際に、 記憶部 1 4に記憶 された辞書情報のテンプレート群の中に、 非パラメータと分類された箇所の 単語がすべて一致する単語シーケンスを持つテンプレートが存在しない場合 には、 当該メッセージを基にした単語シーケンスを持つ新たなテンプレート を作成し、 新規丨 Dを付与した新しいテンプレートを生成しても良い。 [0026] 図 4に示すように、 分類部 1 5 aは、 例えば、 「数値と記号」 で構成され る単語をパラメータとみなし、 メッセージからパラメータを削除した文字列 を単語シーケンスとすることができる。 この場合、 分類部 1 5 aは、 図 2の テキストログに含まれるメッセージ 「LINK-UP Interface 1 /0/17」 、 又は メッセージ 「LINK-UP Interface 0/0/0」 から、 「LINK-UP Interface」 と いう単語シーケンスを作成する。 さらに、 分類部 1 5 aは、 作成した単語シ —ケンスと 丨 Dとを持つテンプレートとして生成し、 記憶部 1 4の辞書情報 1 4 bに追加する。 このとき、 分類部 1 5 aは、 パラメータを削除した部分 に 「*」 等のワイルドカードを追加してもよい。
[0027] なお、 分類部 1 5 aがパラメータとみなす単語は上記の例に限られない。
分類部 1 5 aは、 例えば、 「数字を含む単語」 を全てパラメータとみなして もよいし、 「数字とアルファベッ トで構成される単語」 は非パラメータとみ なしてもよいし、 「アルファベッ トのみで構成される単語」 だけを非パラメ _夕としてもよい。
[0028] また、 パラメータ/非パラメータの判斷基準は文字種に限らずルールべ一 スで作成しても良い。 具体的には、 「IPアドレスのルールに従う単語」 をパ ラメータとみなしてもよい。 さらに、 単語の枠を超えて、 前記 「所定の区切 り文字」 を含む文字列についてパラメータ/非パラメータと判定しても良い
[0029] また、 本実施形態において、 辞書情報 1 4 bのテンプレートは、 分類部 1
5 aによって作成されたものである必要はなく、 あらかじめユーザにより作 成されたものや、 異常検知装置 1 0以外の装置によって自動的に作成された ものであつてもよい。
[0030] ここで、 図 5を用いて、 分類部 1 5 aによる I D付与処理を説明する。 図
5は G、 I D付与処理を説明する図である。 分類部 1 5 aは、 辞書情報 1 4 b 中の各テンプレートの単語シーケンスとテキストログのメッセージと比較す ることにより、 メッセージの分類を行う。 このとき、 分類部 1 5 aは、 単語 シーケンスがメッセージに完全一致する場合、 又は、 部分一致する場合に、 テンプレートがメッセージに一致すると判定する。 そして、 分類部 1 5 aは 、 メッセージに対し、 一致すると判定されたテンプレートの丨 Dを付与する
[0031 ] 例えば、 図 3の丨 Dが 「1」 であるテンプレートの単語シーケンス 「LINK- UP Interface *」 が、 図 2のテキストログの 1行目のメッセージ 「LINK-UP Interface 1 /0/17」 に部分一致するため、 分類部 1 5 aはテンプレートの 単語シーケンス 「LINK-UP Interface *」 がメッセージ 「LINK-UP Interfa ce 1 /0/17」 に一致すると判定し、 メッセージ 「LINK-UP Interface 1 /0/1 7」 に I D 「 1」 を付与する。
[0032] また、 分類部 1 5 aは、 メッセージに一致する単語シーケンスを持つテン プレートが辞書情報 1 4 bに存在しない場合には、 まだ付与されていない新 規丨 Dを付与するとともに、 メッセージをもとに新たなテンプレートを辞書 情報 1 4 bに追加する。
[0033] 分類部 1 5 aは、 メッセージの分類及び丨 Dの付与を行うことで、 分類済 みテキストログを作成する。 図 2に示すように、 分類済みテキストログの各 レコードは、 メッセージの丨 D及び発生日時を含む。 例えば、 分類済みテキ ストログの 1行目のレコードは、 メッセージ 「LINK-UP Interface 1 /0/17 」 に付与された丨 D 「 1」 と、 発生日時 「2015/05/18T14 : 56」 とを含む。
[0034] 次に、 図 6を用いて、 ログを集約して 丨 Dを付与する一連の流れの一例を 説明する。 図 6は、 ログを集約して 丨 Dを付与する一連の流れの一例を説明 する図である。 図 6に例示するように、 分類部 1 5 aは、 ファイルログやリ アルタイムログ等のフォーマッ トの異なる種々のログをそれぞれの形式に従 ってフォーマッ ト変換する。 ここで、 例えば、 分類部 1 5 aは、 リアルタイ ムログについて、 時刻の入れ替わりを防ぐため、 ログを受け取った時刻を付 与した後に、 フォーマッ トを変換する。 フォーマッ ト変換済みログメッセー ジは、 日時やメッセージ本文、 その他の情報を含むものとする。
[0035] そして、 分類部 1 5 aは、 辞書情報のテンプレートを参照してメッセージ に 丨 Dを付与し、 丨 D化されたログメッセージを出力する。 また、 分類部 1 〇 2020/175113 9 卩（：171? 2020 /004969
5 3は、 新規の丨 口を付与した場合には、 新しいテンプレートを追加するよ うに辞書情報を更新する。
[0036] 図 1の説明に戻って、 検知部 1 5匕は、 分類部 1 5 3によってメッセージ に付与された丨 口に基づいて、 異常を検知する。 例えば、 検知部 1 5匕は、 分類部 1 5 3によって分類されたメッセージのうち、 記憶部 1 4の辞書情報 の中に該当するメッセージの種別が存在しなかったメッセージの種別の件数 が所定の閾値を超えている場合には、 異常を検知する。
[0037] ここで、 図 7および図 8を用いて、 新規テンプレート数の推移について説 明する。 図 7は、 システムが安定して運用されている場合の新規テンプレー 卜数の推移を示す図である。 図 8は、 未知の事象が発生している場合の新規 テンプレート数の推移を示す図である。 図 7に例示するように、 システムが 安定して運用されていれば、 初期段階においてある程度の期間は未知のログ が出現するが、 未知のログの出現頻度は減少していく。 そして、 図 8に例示 するように、 システムにおいて障害やメンテナンス等の未知の事象が発生し ている場合には、 所定の期間において未知のログが大量に出現する。
[0038] 検知部 1 5 13は、 このような未知の事象が発生していることを検知するた め、 所定の期間における新規丨 口の付与数が所定の閾値を超えるか判定する 。 例えば、 図 8の例では、 検知部 1 5匕は、 1 日ごとの新規 I 口の付与数を 計数し、 1 日の新規丨 口の付与数が閾値 2 5 0を超えているかを監視する。 そして、 検知部 1 5匕は、 1 日の新規丨 口の付与数が閾値 「2 5 0」 を超え ている場合に、 異常を検知する。 なお、 閾値は、 任意に設定変更可能である ものとする。
[0039] 図 1の説明に戻って、 通知部 1
Figure imgf000011_0001
は、 分類部 1 5 3によって付与された
I 口を含むメッセージに関する情報を通知する。 例えば、 通知部 1
Figure imgf000011_0002
は、 新規丨 ロリストを外部の端末装置に通知するようにしてもよい。 また、 例え ば、 通知部 1
Figure imgf000011_0003
は、 検知部 1 5匕によって異常が検知された場合には、 外 部の端末装置にアラートを通知するようにしてもよい。 また、 例えば、 通知 部 1 は、 外部の端末装置からの要求に応じて、 辞書情報や丨 口のヒート 〇 2020/175113 10 卩（：171? 2020 /004969
マップを表示するようにしてもよい。
[0040] ここで、 図 9を用いて、 単位時間当たりの新規丨 口付与数を監視すること で未知異常を発見する一連の処理の流れを説明する。 図 9は、 単位時間当た りの新規丨 口付与数を監視することで未知異常を発見する一連の処理の流れ を説明する図である。 図 9に例示するように、 異常検知装置 1 0は、 異常が 発生したシステムから出力された新規ログについて、 記憶部 1 4に記憶され た辞書情報 1 4匕を参照し、 辞書情報に登録されていないテキストログのメ ッセージには新規丨 口を付与する。 そして、 異常検知装置 1 0は、 新規丨 口 リストを外部の端末装置に通知する。
[0041 ] また、 異常検知装置 1 0では、 時刻毎の新規丨 口数と辞書を常時可視化で きるようにし、 何かあったときに迅速に原因特定し、 新たな監視項目にする ことができる。 また、 異常検知装置 1 0は、 所定の期間における新規丨 口数 が所定の閾値を超えたときにはアラートを外部の端末装置に通知する。 この ように、 異常検知装置 1 0では、 単位時間あたりの新規丨 口付与数を監視す ることで未知異常を早期に発見することができ、 ユーザ申告前のトラブル対 処を行うことができる。
[0042] つまり、 正常時のログが辞書情報 1 4匕に登録されていれば異常時のログ は新規丨 口が付与されるという前提のもと、 異常検知装置 1 0は、 辞書情報 にないログには新規丨 口を付与し、 新規 I 口の増加数から未知の異常を検知 することが可能である。
[0043] また、 異常検知装置 1 0では、 端末装置からの要求に応じて、 辞書ビュー アや I 0のヒートマップを表示するようにしてもよく、 辞書ビューアやログ ヒートマップとして可視化することで、 迅速に内容を確認することが可能で ある。
[0044] また、 上記の説明では、 異常検知装置 1 0の検知部 1 5匕が、 所定の期間 における新規丨 口数が所定の閾値を超えたときに異常を検知する場合を説明 したが、 これに限定されるものではない。 例えば、 検知部 1 5匕は、 分類部 1 5 3によってメッセージが分類された結果から、 メッセージに付与された 〇 2020/175113 1 1 卩（：171? 2020 /004969
I 口の単位時間 （例えば、 1 日） あたりの付与回数を 丨 口ごとに集計し、 任 意の単位時間の付与回数と他の単位時間の付与回数とを比較し、 各単位時間 の丨 口ごとの異常度を検知するようにしてもよい。
[0045] ここで、 図 1 0を用いて、 丨 口ごとの出現頻度の相対的な変化から異常度 を算出する処理について説明する。 図 1 0は、 丨 口ごとの出現頻度の相対的 な変化から異常度を算出する処理を説明する図である。 例えば、 検知部 1 5 匕は、 毎日、 1 日ごとの集計値を過去 5日分算出し、 丁 _ I ロ 値を計算 すると、 直近 5日間と比べて 1 日あたりの頻度が多い丨 口を見付けることが できる。 図 1 0の左側においては、 「1」 〜 「7」 の丨 0について、 5日間 （4日前、 3日前、 2日前、 昨日、 今日） における 1 日ごとの付与数の和が それぞれ表示されている。
[0046] 例えば、 検知部 1 5匕は、 図 1 0に例示する式を用いて、 各丨 口の 1 日ご との丁 ー I ロ 値を計算する。 具体例を挙げて説明すると、 検知部 1 5匕 は、 例えば、 I 口 「4」 の 「昨日」 について、 「5 X 1 0 9 1 0 （5 / 1） 」 を計算し、 丁 ー 丨 0 値として約 「3 . 5」 となる。
[0047] そして、 検知部 1 5匕は、 計算した丁 ー I ロ 値を異常度とし、 異常度 が所定の閾値 （例えば、 0 . 7） 以上である I 口が存在する場合には、 異常 を検知するようにしてもよい。
[0048] [異常検知装置の処理手順]
次に、 図 1 1 を用いて、 第 1の実施形態に係る異常検知装置 1 0による処 理手順の例を説明する。 図 1 1は、 第 1の実施形態に係る異常検知装置にお ける処理の流れの一例を示すシーケンス図である。 なお、 図 1 1の例では、 新規丨 口が付与されるたびに、 新規 I ロリストを通知し、 異常を検知する場 合の処理例を説明するが、 新規丨 ロリストを通知する処理や異常を検知する 処理を行うタイミングはこれに限定されるものではなく、 どのようなタイミ ングであってもよい。
[0049] 図 1 1 に例示するように、 異常検知装置 1 0の分類部 1 5 3は、 ログメッ セージを受け付けると （ステップ 3 1 0 1肯定） 、 メッセージを所定の区切 〇 2020/175113 12 卩（：171? 2020 /004969
り文字で分割して単語群を抽出する （ステップ 3 1 0 2） 。 そして、 分割部 1 5 3は、 各単語を文字種によってパラメータまたは非パラメータに分類し 、 記憶部 1 4に記憶された辞書情報のテンプレート群のそれぞれの単語シー ケンスと比較し、 上記メッセージ中の非パラメータと分類された箇所の単語 がすべて一致するテンプレートが存在する場合には、 該テンプレートの丨 口 をメッセージに付与する （ステップ 3 1 0 3） 。
[0050] そして、 分類部 1 5 3は、 ステップ 3 1 0 3において新規丨 口を付与した か判定する （ステップ 3 1 0 4） 。 この結果、 分類部 1 5 3は、 新規 I 口を 付与したと判定しなかった場合には （ステップ 3 1 0 4否定） 、 そのまま処 理を終了する。 また、 分類部 1 5 3は、 新規 I 口を付与したと判定した場合 には （ステップ 3 1 0 4肯定） 、 記憶部 1 4の辞書情報 1 4匕に新しいテン プレートを追加する （ステップ 3 1 0 5） 。
[0051 ] 続いて、 通知部 1 5〇は、 新規 I ロリストを通知する （ステップ 3 1 0 6 ） 。 そして、 検知部 1 5匕は、 単位時間あたりの新規テンプレート数が閾値 を超えるか判定する （ステップ 3 1 0 7） 。 この結果、 検知部 1 5 13は、 単 位時間あたりの新規テンプレート数が所定数を超えていない場合には （ステ ップ 3 1 0 7否定） 、 そのまま処理を終了する。 また、 検知部 1 5匕は、 単 位時間あたりの新規テンプレート数が超えている場合には （ステップ 3 1 0 7肯定） 、 異常を検知する （ステップ 3 1 0 8） 。
[0052] [第 1の実施形態の効果]
第 1の実施形態に係る異常検知装置 1 〇は、 過去にシステムから出力され たテキストログに含まれるメッセージと、 メッセージの種別ごとに設定され た丨 口とが対応付けられた辞書情報 1 4匕を記憶する記憶部 1 4を有する。 異常検知装置 1 〇は、 システムから出力されたテキストログに含まれるメッ セージを取得すると、 記憶部 1 4に記憶された辞書情報 1 4匕を参照し、 テ キストログに含まれるメッセージを種別ごとに分類し、 分類した各メッセー ジに 丨 口を付与し、 メッセージに付与された丨 0に基づいて、 異常を検知す る。 このため、 異常検知装置 1 〇では、 未知の異常を検知することが可能で 〇 2020/175113 13 卩（：171? 2020 /004969
ある。
[0053] また、 第 1の実施形態に係る異常検知装置 1 0は、 メッセージに付与され た丨 口のうち、 所定の期間における新規丨 口の付与数が所定の閾値を超えて いる場合には、 異常を検知するので、 単位時間あたりの新規丨 口付与数を監 視することで未知異常を早期に検知することが可能である。
[0054] また、 第 1の実施形態に係る異常検知装置 1 0は、 I 口を含むメッセージ に関する情報を通知することで、 例えば、 時刻ごとの新規丨 口数の変化をユ -ザが常時監視することが可能である。
[0055] また、 第 1の実施形態に係る異常検知装置 1 0は、 前記メッセージに付与 された丨 口の単位時間あたりの頻度を 丨 0ごとに集計し、 任意の単位時間の 頻度と他の単位時間の頻度とを比較し、 各単位時間の丨 口ごとの異常度を検 知することで、 過去に観測されたことがある 丨 口のログについても異常を検 知することが出来る。
[0056] また、 第 1の実施形態に係る異常検知装置 1 0は、 分類部 1 5 3が、 メッ セージを所定の区切り文字で分割して単語群を抽出し、 各単語を文字種によ つてパラメータまたは非パラメータに分類し、 記憶部 1 4に記憶された辞書 情報のテンプレート群のそれぞれの単語シーケンスと比較し、 上記メッセー ジ中の非/《ラメータと分類された箇所の単語がすべて一致するテンプレート が存在する場合には、 該テンプレートの丨 口をメッセージに付与することで 、 分類方法について事前に詳細な設定を行わずにシステムのログメッセージ を分類することが可能である。
[0057] （システム構成等）
また、 図示した各装置の各構成要素は機能概念的なものであり、 必ずしも 物理的に図示の如く構成されていることを要しない。 すなわち、 各装置の分 散 ·統合の具体的形態は図示のものに限られず、 その全部または一部を、 各 種の負荷や使用状況などに応じて、 任意の単位で機能的または物理的に分散 統合して構成することができる。 さらに、 各装置にて行なわれる各処理機 能は、 その全部または任意の一部が、 0 9 11および当該 0 IIにて解析実行 されるプログラムにて実現され、 あるいは、 ワイヤードロジックによるハー ドウエアとして実現され得る。
[0058] また、 本実施の形態において説明した各処理のうち、 自動的におこなわれ るものとして説明した処理の全部または一部を手動的におこなうこともでき 、 あるいは、 手動的におこなわれるものとして説明した処理の全部または一 部を公知の方法で自動的におこなうこともできる。 この他、 上記文書中や図 面中で示した処理手順、 制御手順、 具体的名称、 各種のデータやパラメータ を含む情報については、 特記する場合を除いて任意に変更することができる
[0059] (プログラム)
また、 上記実施形態において説明した異常検知装置が実行する処理をコン ピュータが実行可能な言語で記述したプログラムを作成することもできる。 例えば、 実施形態に係る異常検知装置 1 0が実行する処理をコンピュータが 実行可能な言語で記述した異常検知プログラムを作成することもできる。 こ の場合、 コンビュータが異常検知プログラムを実行することにより、 上記実 施形態と同様の効果を得ることができる。 さらに、 かかる異常検知プログラ ムをコンピュータ読み取り可能な記録媒体に記録して、 この記録媒体に記録 された異常検知プログラムをコンビュータに読み込ませて実行することによ り上記実施形態と同様の処理を実現してもよい。
[0060] 図 1 2は、 異常検知プログラムを実行するコンビュータを示す図である。
図 1 2に例示するように、 コンビュータ 1 000は、 例えば、 メモリ 1 01 0と、 C P U 1 020と、 ハードディスクドライブインタフエース 1 030 と、 ディスクドライブインタフエース 1 040と、 シリアルポートインタフ エース 1 050と、 ビデオアダプタ 1 060と、 ネッ トワークインタフエー ス 1 070とを有し、 これらの各部はバス 1 080によって接続される。
[0061] メモリ 1 01 0は、 図 1 2に例示するように、 ROM (Read Only Memor y) 1 01 1及び RAM 1 01 2を含む。 ROM 1 01 1は、 例えば、 B 丨 〇 S (Basic I叩 ut Output System) 等のブートプログラムを記憶する。 ハ -ドディスクドライブインタフエース 1 0 3 0は、 図 1 2に例示するように 、 ハードディスクドライブ 1 0 9 0に接続される。 ディスクドライブインタ フエース 1 0 4 0は、 図 1 2に例示するように、 ディスクドライブ 1 1 0 0 に接続される。 例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が 、 ディスクドライブ 1 1 0 0に揷入される。 シリアルポートインタフエース 1 0 5 0は、 図 1 2に例示するように、 例えばマウス 1 1 1 0、 キーボード 1 1 2 0に接続される。 ビデオアダプタ 1 0 6 0は、 図 1 2に例示するよう に、 例えばディスプレイ 1 1 3 0に接続される。
[0062] ここで、 図 1 2に例示するように、 ハードディスクドライブ 1 0 9 0は、 例えば、 〇 S 1 0 9 1、 アプリケーシヨンプログラム 1 0 9 2、 プログラム モジュール 1 0 9 3、 プログラムデータ 1 0 9 4を記憶する。 すなわち、 上 記の、 異常検知プログラムは、 コンビュータ 1 0 0 0によって実行される指 令が記述されたプログラムモジュールとして、 例えばハードディスクドライ ブ 1 0 9 0に記憶される。
[0063] また、 上記実施形態で説明した各種データは、 プログラムデータとして、 例えばメモリ 1 0 1 0やハードディスクドライブ 1 0 9 0に記憶される。 そ して、 C P U 1 0 2 0が、 メモリ 1 0 1 0やハードディスクドライブ 1 0 9 0に記憶されたプログラムモジュール 1 0 9 3やプログラムデータ 1 0 9 4 を必要に応じて R A M 1 0 1 2に読み出し、 各種処理手順を実行する。
[0064] なお、 異常検知プログラムに係るプログラムモジュール 1 0 9 3やプログ ラムデータ 1 0 9 4は、 ハードディスクドライブ 1 0 9 0に記憶される場合 に限られず、 例えば着脱可能な記憶媒体に記憶され、 ディスクドライブ等を 介して C P U 1 0 2 0によって読み出されてもよい。 あるいは、 異常検知プ ログラムに係るプログラムモジュール 1 0 9 3やプログラムデータ 1 0 9 4 は、 ネッ トワーク ( L A N (Loca l Area Network) 、 W A N (W i de Area Network) 等) を介して接続された他のコンピュータに記憶され、 ネッ トワ -クインタフエース 1 0 7 0を介して C P U 1 0 2 0によって読み出されて もよい。 〇 2020/175113 16 卩（：171? 2020 /004969
符号の説明
[0065] 1 0 異常検知装置
1 1 入力部
1 2 出力部
1 3 通信部
1 4 記憶部
1 43 出カログ情報
1 4 辞書情報
1 5 制御部
1 53 分類部
1 5匕 検知部
1 5〇 通知部

Claims

\¥02020/175113 17 卩（：17 2020/004969 請求の範囲
[請求項 1 ] システムから出力されたテキストログに含まれる各メッセージの種 別を表す各メッセージの部分文字列と、 メッセージの種別ごとに設定 された丨 口とが対応付けられた辞書情報を記憶する記憶部と、 前記システムから出力されたテキストログに含まれるメッセージを 取得すると、 前記記憶部に記憶された辞書情報を参照し、 前記テキス トログに含まれるメッセージを種別ごとに分類し、 分類した各メッセ —ジに 丨 口を付与する分類部と、
前記分類部によってメッセージに付与された丨 口に基づいて、 異常 を検知する検知部と
を有することを特徴とする異常検知装置。
[請求項 2] 前記検知部は、 前記分類部によって分類されたメッセージのうち、 前記記憶部の辞書情報の中に該当するメッセージの種別が存在しなか ったメッセージの種別の件数が所定の閾値を超えている場合には、 異 常を検知することを特徴とする請求項 1 に記載の異常検知装置。
[請求項 3] 前記検知部は、 前記分類部によって前記メッセージが分類された結 果から、 前記メッセージに付与された丨 口の単位時間あたりの頻度を I 口ごとに集計し、 任意の単位時間の頻度と他の単位時間の頻度とを 比較し、 各単位時間の丨 口ごとの異常度を検知することを特徴とする 請求項 1 に記載の異常検知装置。
[請求項 4] 前記分類部は、 前記メッセージを所定の区切り文字で分割して単語 群を抽出し、 各単語を文字種によってパラメータまたは非パラメータ に分類し、 前記記憶部に記憶された辞書情報の種別群の中で、 非パラ メータと分類された箇所の単語が一致する種別が存在する場合には、 該種別に対応する 丨 口を前記メッセージに付与し、 非パラメータと分 類された箇所の単語が一致する種別が存在しない場合には、 前記メッ セージに新規丨 口を付与することを特徴とする請求項 1〜 3のいずれ か一つに記載の異常検知装置。 〇 2020/175113 18 卩（：171? 2020 /004969
[請求項 5] 前記分類部によって付与された丨 口を含むメッセージに関する情報 を通知する通知部をさらに有することを特徴とする請求項 1〜 4のい ずれか一つに記載の異常検知装置。
[請求項 6] 異常検知装置によって実行される異常検知方法であって、
前記異常検知装置は、 システムから出力されたテキストログに含ま れる各メッセージの種別を表す各メッセージの部分文字列と、 メッセ —ジの種別ごとに設定された丨 口とが対応付けられた辞書情報を記憶 する記憶部を有し、
前記システムから出力されたテキストログに含まれるメッセージを 取得すると、 前記記憶部に記憶された辞書情報を参照し、 前記テキス トログに含まれるメッセージを種別ごとに分類し、 分類した各メッセ —ジに 丨 口を付与する分類工程と、
前記分類工程によってメッセージに付与された丨 口に基づいて、 異 常を検知する検知工程と
を含むことを特徴とする異常検知方法。
[請求項 7] システムから出力されたテキストログに含まれるメッセージを取得 すると、 前記システムから出力されたテキストログに含まれる各メッ セージの種別を表す各メッセージの部分文字列とメッセージの種別ご とに設定された丨 口とが対応付けられた辞書情報を記憶する記憶部に 記憶された前記辞書情報を参照し、 前記テキストログに含まれるメッ セージを種別ごとに分類し、 分類した各メッセージに 丨 口を付与する 分類ステップと、
前記分類ステップによってメッセージに付与された丨 口に基づいて 、 異常を検知する検知ステップと
をコンビュータに実行させることを特徴とする異常検知プログラム
PCT/JP2020/004969 2019-02-26 2020-02-07 異常検知装置、異常検知方法および異常検知プログラム Ceased WO2020175113A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/433,425 US11757708B2 (en) 2019-02-26 2020-02-07 Anomaly detection device, anomaly detection method, and anomaly detection program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019033254A JP7207009B2 (ja) 2019-02-26 2019-02-26 異常検知装置、異常検知方法および異常検知プログラム
JP2019-033254 2019-02-26

Publications (1)

Publication Number Publication Date
WO2020175113A1 true WO2020175113A1 (ja) 2020-09-03

Family

ID=72239436

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/004969 Ceased WO2020175113A1 (ja) 2019-02-26 2020-02-07 異常検知装置、異常検知方法および異常検知プログラム

Country Status (3)

Country Link
US (1) US11757708B2 (ja)
JP (1) JP7207009B2 (ja)
WO (1) WO2020175113A1 (ja)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7614914B2 (ja) 2021-04-07 2025-01-16 三菱電機株式会社 攻撃検知装置、攻撃検知支援システム、攻撃検知支援方法および攻撃検知支援プログラム
JP7552902B2 (ja) 2021-06-23 2024-09-18 日本電信電話株式会社 検知期間設定装置、検知期間設定方法、及びプログラム
US11829338B2 (en) * 2021-12-07 2023-11-28 International Business Machines Corporation Unlabeled log anomaly continuous learning
US20230177380A1 (en) * 2021-12-07 2023-06-08 International Business Machines Corporation Log anomaly detection
CN114722081B (zh) * 2022-06-09 2022-09-02 杭银消费金融股份有限公司 一种基于中转库模式的流式数据时间序列传输方法及系统
WO2025173078A1 (ja) * 2024-02-13 2025-08-21 Ｎｔｔ株式会社 ログ解析方法及びログ解析装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004318552A (ja) * 2003-04-17 2004-11-11 Kddi Corp Ｉｄｓログ分析支援装置、ｉｄｓログ分析支援方法及びｉｄｓログ分析支援プログラム
WO2017081865A1 (ja) * 2015-11-13 2017-05-18 日本電気株式会社 ログ分析システム、方法、及び記録媒体

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4944391B2 (ja) * 2005-05-11 2012-05-30 富士通株式会社 メッセージ異常自動判別装置、方法、及びプログラム
WO2011051999A1 (ja) * 2009-10-26 2011-05-05 富士通株式会社 情報処理装置及び情報処理装置の制御方法
WO2012066650A1 (ja) * 2010-11-17 2012-05-24 富士通株式会社 情報処理装置、メッセージ抽出方法およびメッセージ抽出プログラム
JP5609637B2 (ja) * 2010-12-28 2014-10-22 富士通株式会社 プログラム、情報処理装置、及び情報処理方法
JP6160064B2 (ja) * 2012-11-19 2017-07-12 富士通株式会社 適用判定プログラム、障害検出装置および適用判定方法
JP5933463B2 (ja) 2013-02-04 2016-06-08 日本電信電話株式会社 ログ生起異常検知装置及び方法
JP5948291B2 (ja) 2013-08-13 2016-07-06 日本電信電話株式会社 監視情報分析装置及び方法
WO2015103764A1 (en) * 2014-01-10 2015-07-16 Hewlett-Packard Development Company, L.P. Monitoring an object to prevent an occurrence of an issue
JP6669156B2 (ja) * 2015-02-17 2020-03-18 日本電気株式会社 アプリケーション自動制御システム、アプリケーション自動制御方法およびプログラム
US10043006B2 (en) * 2015-06-17 2018-08-07 Accenture Global Services Limited Event anomaly analysis and prediction
JP6623692B2 (ja) * 2015-11-02 2019-12-25 富士通株式会社 ログ情報採取システム、ログ情報採取プログラムおよびログ情報採取方法
JP6551259B2 (ja) * 2016-02-26 2019-07-31 オムロン株式会社 マスタ装置、スレーブ装置、エラー監視システム、マスタ装置の制御方法、および制御プログラム
US10740170B2 (en) * 2016-12-08 2020-08-11 Nec Corporation Structure-level anomaly detection for unstructured logs
JP6803754B2 (ja) * 2017-01-16 2020-12-23 株式会社日立製作所 ログメッセージグループ化装置、ログメッセージグループ化システムおよびログメッセージグループ化方法
US10419268B2 (en) * 2017-01-27 2019-09-17 Bmc Software, Inc. Automated scoring of unstructured events in information technology environments
US11163722B2 (en) * 2018-01-31 2021-11-02 Salesforce.Com, Inc. Methods and apparatus for analyzing a live stream of log entries to detect patterns
US10963333B1 (en) * 2018-08-21 2021-03-30 Cox Communications, Inc. Telematics-based network device troubleshooting and repair
US20200133823A1 (en) * 2018-10-24 2020-04-30 Ca, Inc. Identifying known defects from graph representations of error messages

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004318552A (ja) * 2003-04-17 2004-11-11 Kddi Corp Ｉｄｓログ分析支援装置、ｉｄｓログ分析支援方法及びｉｄｓログ分析支援プログラム
WO2017081865A1 (ja) * 2015-11-13 2017-05-18 日本電気株式会社 ログ分析システム、方法、及び記録媒体

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
TETSUJI TAKADA, KOIKE HIDEKI: "MieLog: Log Information Browser with Information Visualization and Text Mining", IPSJ JOURNAL, vol. 41, no. 12, 10 December 2000 (2000-12-10), pages 3265 - 3275, XP055734167, ISSN: 0387-5806 *

Also Published As

Publication number Publication date
JP7207009B2 (ja) 2023-01-18
US11757708B2 (en) 2023-09-12
JP2020140250A (ja) 2020-09-03
US20220123988A1 (en) 2022-04-21

Similar Documents

Publication Publication Date Title
WO2020175113A1 (ja) 異常検知装置、異常検知方法および異常検知プログラム
US10721256B2 (en) Anomaly detection based on events composed through unsupervised clustering of log messages
JP6643211B2 (ja) 異常検知システム及び異常検知方法
CN111160021A (zh) 日志模板提取方法及装置
US11263266B2 (en) Traffic anomaly sensing device, traffic anomaly sensing method, and traffic anomaly sensing program
CN113128213B (zh) 日志模板提取方法及装置
JPWO2018159362A1 (ja) ログ分析装置、ログ分析方法およびログ分析プログラム
CN111813845A (zh) 基于etl任务的增量数据抽取方法、装置、设备及介质
JP7078114B2 (ja) ログ分析装置、ログ分析方法、プログラム
US12242605B2 (en) Script classification on computing platform
JP7235110B2 (ja) 操作ログ取得装置、操作ログ取得方法および操作ログ取得プログラム
JPWO2017085921A1 (ja) ログ分析システム、方法およびプログラム
JP4383484B2 (ja) メッセージ解析装置、制御方法および制御プログラム
CN112583825A (zh) 一种工业系统的异常检测方法和装置
JP2021135541A (ja) モデル生成装置、モデル生成方法、及びモデル生成プログラム
US11765022B2 (en) Information distribution system, monitoring device, sharing device and information distribution method
WO2015080564A1 (en) A system and method for detecting anomalies in computing resources
CN116192619A (zh) 一种异常定位方法、装置、电子设备、介质及程序产品
CN116451218A (zh) 异常程序的检测方法、装置、可读介质及电子设备
US20230136749A1 (en) Monitoring System, Monitoring Apparatus, and Monitoring Method
JP2019004284A (ja) 異常検出装置、および、異常検出方法
JP7697538B2 (ja) 操作ログ処理装置、操作ログ処理方法、および、操作ログ処理プログラム
JP2016162282A (ja) 障害原因特定作業抽出装置、障害原因特定作業抽出方法及び障害原因特定作業抽出プログラム
US20220091845A1 (en) Sub-field identification system and method
Angerstein et al. Many Flies in One Swat: Automated Categorization of Performance Problem Diagnosis Results

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20762497

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20762497

Country of ref document: EP

Kind code of ref document: A1