JP2008041041A - ログ通知条件定義支援装置とログ監視システムおよびプログラムとログ通知条件定義支援方法 - Google Patents

Abstract

【課題】監視対象システムにおける障害を含む新規事象の検知および既知の事象の更新の検知に必要な「条件」の作成に掛かる工数を低減する。
【解決手段】事象検知装置３０００が事象の検知処理で参照する「条件」の候補を作成するログ通知条件定義支援装置７０００を設ける。ログ通知条件定義支援装置７０００は、監視対象システム２０００から出力されるログ情報をデータベース（蓄積ログ）４０００として記憶管理し、条件候補作成機能７１００により、ログ情報を読み出して特定時間単位に区切り、各時間帯の中で、含まれるメッセージが同じログ情報の発現回数をカウントし、カウント値を、当該ログ情報の発現回数条件として定義するなどして、当該時間帯のログ情報を全て捕捉する条件の候補を作成してＧＵＩ画面表示し、管理者１０００の指示操作に応じて、当該条件候補を、新たな条件としてデータベース（条件ＤＢ）５０００に格納する。
【選択図】図１

Description

本発明は、コンピュータが実行するアプリケーションソフト等から出力されるログ情報を、予め定義された条件を基に分析し、障害等の特定の事象を検知する技術に係り、特に、分析の際に使用する条件の定義作業および補正作業を効率的に支援する技術に関するものである。

従来のコンピュータを利用したシステムでは、ＤＢＭＳ（DataBase Management System、データベース管理システム）等のミドルウェアソフトを利用し、複数の各種アプリケーションソフトを組合せ、データを共有し、かつ同時に処理を実行することが可能である。

これらのコンピュータシステムでは、使用している各アプリケーションソフト、ミドルウェアソフト、ＯＳ（Operating System）、およびネットワーク等に関する種々の情報がログ形式等で出力される。

そして、プログラムされたコンピュータによって、これらのログ情報を分析し、その分析結果を基に、障害および各種イベントをシステム管理者またはアプリケーションソフト等に通知する監視技術が多数存在する。

例えば、特許文献１においては、サーバ等のコンピュータから出力されたログ形式の情報を、キーワード、特定時間帯内での発現回数、各情報の発現間隔、発現時期という条件を基に分析し、当該条件に合致する情報があった場合に、その結果を出力・通知するログ診断装置に関する技術が記載されている。

ここでいう条件とは、サーバ等で発現した事象を特定することを目的としたものであり、特許文献１に記載の技術では、分析の前に、予め、当該条件を適切に設定しておく必要がある。

しかしながら、分析の対象となるシステムが変化した場合、例えば、システムに属する一部のアプリケーションソフトのバージョンアップや、ＯＳのバージョンアップ、およびネットワーク環境の変化などが発生した場合、条件の一部を変更する必要が生じる場合がある。

その場合、どのように条件を変更すれば良いかを人手により調査する必要も同時に生じる。各システムから出力されるログ情報は膨大であり、僅かな環境の変更でも、その事象の変化を特定するために用いる条件を作成するためには、多くのログ情報に目を通さなければならない。

また、新規に検知したい事象が発生した場合、例えば、監視対象のシステムが停止するに至るなどの重要度の高い新規の障害、新規導入した監視対象システムの障害などに対しては、その事象を検知する条件を調査する必要が生じる。

このような新規事象特定のための条件を作成するには、それまでに各監視対象のシステムから出力されたログ情報等を蓄積し、その事象発生時にどのようなパターンでログ情報が出力されているのかを調査する必要がある。

例えば、特許文献２においては、サーバ等で出力された各種内部情報から稼動状況の基準値を割り出し、その基準値を超える内部情報を条件とし、その条件に合致する内部情報を取得した場合には、障害を検知したと判断し、障害を通知するＷｅｂページを作成して、管理者に通知する技術が記載されている。

しかし、この技術においても、監視対象のシステムの構成に変更があった場合、または新規に運用を監視するシステムが追加された場合などには、内部情報から条件として使用する基準値を定義するために、定義作業者が、各サーバから出力される内部情報に目を通さなければならない。

このように、条件の変更、新規作成は、その事象がどのような条件で検知できるのかを、各アプリケーション等から出力されるログ情報を基に人手により調査する必要が生じ、有用な条件を定義するまでに時間を費やすことになる。

特開２００３−９１４３４号公報 特開２００４−２９５３１４号公報

解決しようとする問題点は、従来の技術では、アプリケーションソフト等から出力されるログ情報から障害等の特定の事象を検知する際の分析処理で用いる条件の定義作業および補正作業には、人手による調査が必要であり、有用な条件を定義するまでに時間を費やしてしまう点である。

本発明の目的は、これら従来技術の課題を解決し、コンピュータシステムから出力されるログ情報を分析して、当該システムの障害を含む新規事象の監視を、プログラムされたコンピュータにより行うシステムのログ分析処理に用いる条件の定義作業および補正作業の高効率化を可能とすることである。

上記目的を達成するため、本発明は、アプリケーションソフトやオペレーションシステム等から出力されるログ情報を収集して分析し、この分析結果と、予め記憶装置に記憶された条件との比較を基に、障害や各種イベント等の特定の事象の発生を検知して、システム管理者もしくはアプリケーションソフト等に通知するログ監視システムにおける上記条件を、例えば、以下のようにして、プログラムされたコンピュータで自動生成する。収集したログ情報を記憶装置に記憶しておき、記憶したログ情報を読み出して特定時間単位に区切り、区切られた各時間帯の中でログ情報に含まれるメッセージの内容を分類して、同一メッセージを持つログ情報の発現回数をカウントし、カウント値を、当該ログ情報の発現回数条件として定義するなどし、その時間帯のログ情報を全て捕捉する条件候補を作成する。

本発明によれば、コンピュータシステムから出力されるログ情報を分析して当該システムの障害を含む新規事象の監視を行うシステムが、ログ分析処理に用いる条件の作成に要する工数、負荷を低減することが可能となる。

以下、図を用いて本発明を実施するための最良の形態例を説明する。図１は、本発明に係るログ監視システムの構成例を示すブロック図であって、３０００は事象検知装置（図中「監視対象システムの事象を検知する装置」と記載）であり、従来技術に基づき、監視対象システムで発生する事象の検知処理を行い、７０００は本発明に係るログ通知条件定義支援装置（図中「条件定義支援装置」と記載）であり、事象検知装置３０００が検知処理時に用いる条件の生成処理を行う。

図１におけるログ監視システムを構成する事象検知装置３０００、ログ通知条件定義支援装置７０００のそれぞれは、ＣＰＵ（Central Processing Unit）や主メモリ、表示装置、入力装置、外部記憶装置等を具備したコンピュータ構成からなり、光ディスク駆動装置等を介してＣＤ−ＲＯＭ等の記憶媒体に記録されたプログラムやデータを外部記憶装置内にインストールした後、この外部記憶装置から主メモリに読み込みＣＰＵで処理することにより、各処理部の機能を実行する。

まず、事象検知装置３０００による従来の監視動作を説明する。事象検知装置３０００は、システム稼働状況ログ収集機能３１００により、監視対象システム２０００の各構成要素であるアプリケーションソフト（１）２１００，（２）２２００、データベース（図中「ＤＢ（１）」と記載）２３００、ネットワーク２４００等からシステム稼働状況に関する情報をログ形式で収集し、システム稼働状況ログ収集機能３１００から出力されるログ情報をログ受信機能３２００で受信し、事象検知機能３３００において、受信したログ情報を分析して事象を検知する。

すなわち、事象検知機能３３００は、ログ受信機能３２００から受取ったログ情報と、予めデータベース（図中「条件ＤＢ」と記載）５０００として記憶装置に記憶され管理されている条件（当該ログ情報が通知の対象となるか否かを判定するのに用いる）とを照らし合わせ、そのログ情報が条件に合致するかどうかを分析し、ログ情報が条件に合致する場合、「事象を検知した」との出力を行う。

このようにして、事象検知機能３３００におけるログ分析により事象が検知され特定されると、事象データ作成機能３４００により、特定された事象をＧＵＩ（Graphical User Interface）の操作環境で表示するデータを作成し、表示機能３５００により、作成した事象データを表示装置の画面上にＧＵＩ環境で表示する。

監視対象システム２０００の管理者１０００は、事象検知装置３０００において表示機能３５００により画面表示された事象データを確認し、監視対象システム２０００に対し、その事象に対応した何らかの対策を実施する。

次に、本発明に係るログ通知条件定義支援装置７０００の動作に関して説明する。このログ通知条件定義支援装置７０００は、事象検知装置３０００が分析で使用するデータベース（条件ＤＢ）５０００として記憶装置において記憶される条件の候補を作成するものである。

ログ通知条件定義支援装置７０００は、ログ受信機能３２００から事象検知機能３３００に渡されるログ情報を、データベース（図中「蓄積ログＤＢ」と記載）４０００として記憶装置に記憶して管理する。

そして、ログ通知条件定義支援装置７０００は、条件候補作成機能７１００により、このデータベース（蓄積ログＤＢ）４０００と事象検知装置３０００が事象検知に用いるデータベース（条件ＤＢ）５０００とを使用して、当該データベース（条件ＤＢ）５０００に新規追加する条件の候補あるいは既存の条件の更新候補の生成を行う。

すなわち、条件候補作成機能７１００は、データベース（条件ＤＢ）５０００から読み込んだ条件を使用して、データベース（蓄積ログＤＢ）４０００に格納されているログ情報を分析し、読み込んだ条件で捕捉できないログ情報が存在する場合には、当該ログ情報に関連する条件候補を作成し、データベース（図中「条件候補ＤＢ」と記載）６０００として記憶装置に記憶して管理する。

また、当該ログ情報を捕捉できる条件がデータベース（条件ＤＢ）５０００に格納されている場合には、条件候補作成機能７１００は、その条件で当該ログ情報を分析し、条件と合致しない（条件が捕捉できない）ログ要素を検知した際には、そのログ要素を捕捉するための条件候補を新たに作成する。例えば、既存の条件を複写して、捕捉できないログ要素を捕捉できるように修正した条件候補を作成する。

本例では、条件候補作成機能７１００は、データベース（蓄積ログＤＢ）４０００に格納されているログ情報を読み込み、予め定められた特定時間帯で区切り、時間帯（１）のログ集合、時間帯（２）のログ集合、・・・時間帯（ｎ）のログ集合として認識し、各時間帯（１）〜（ｎ）ごとの当該ログ情報の出力パターンを抽出し、抽出した出力パターンから条件候補を作成する。

例えば、ログ情報の出力パターンとして、当該ログ情報が各時間帯（１）〜（ｎ）で発生する回数を求め、求めた回数を、当該時間帯での当該ログ情報の最大発現回数とした条件（候補）を作成し、当該ログ情報に対応付けてデータベース（条件候補ＤＢ）６０００に格納する。

さらに、ログ通知条件定義支援装置７０００は、表示用ログデータ作成機能７２００により、データベース（条件候補ＤＢ）６０００とデータベース（蓄積ログＤＢ）４０００およびデータベース（条件ＤＢ）５０００からそれぞれに格納された情報を読み込み、それらを関連付けた表示用ログデータを作成する。

例えば、表示用ログデータ作成機能７２００は、データベース（条件候補ＤＢ）６０００に格納された条件候補、および、データベース（条件ＤＢ）５０００に格納されている条件のうち、どの条件または条件候補で捕捉されるのかを記憶した表示用ログデータを作成する。

また、表示用ログデータ作成機能７２００は、データベース（蓄積ログＤＢ）４０００に格納されているログ情報を、データベース（条件候補ＤＢ）６０００に格納されている条件候補を使用して分析し、合致する条件候補の情報を含む表示用ログデータを作成する。

そして、ログ通知条件定義支援装置７０００は、条件候補表示・編集機能７３００により、表示用ログデータ作成機能７２００が作成した表示用ログデータを、表示装置の画面上にＧＵＩ環境で表示する。

監視対象システム２０００の管理者１０００は、ログ通知条件定義支援装置７０００において条件候補表示・編集機能７３００により画面表示された条件候補を閲覧し、ＧＵＩ環境での操作により、当該条件候補に対する編集を行う。

ログ通知条件定義支援装置７０００は、条件候補表示・編集機能７３００により、その管理者１０００からの編集結果を、データベース（条件候補ＤＢ）６０００およびデータベース（条件ＤＢ）５０００に反映させる。例えば、条件候補表示・編集機能７３００は、管理者１０００が採用を決定した条件候補を、条件としてデータベース（条件ＤＢ）５０００に格納・更新する。

尚、条件候補表示・編集機能７３００は、表示用ログデータ作成機能７２００が作成した表示用ログデータを、後述の図７，８で示すように、分布図形式で表示する機能を有する。そして、表示用ログデータを使用して管理者１０００がログ情報を選択した際には、そのログ情報に合致する各条件候補を表示し、さらに、管理者１０００が、各条件候補のいくつかを選択した際には、当該条件候補および条件に合致しているログ情報の内容を表示する。

また、条件候補表示・編集機能７３００では、表示した表示用ログデータの中から管理者１０００があるログ情報を選択し、そのログ情報を、現在捕捉されている条件候補とは異なる条件候補に関連付する操作に応じて、データベース（条件ＤＢ）５０００に、その変更を反映する。

このような、条件候補作成機能７１００による条件候補の作成処理動作を、具体的な例を用いて、図２〜図８に従って説明する。

図２は、図１における条件候補作成機能７１００が作成する条件候補、および、データベース（条件ＤＢ）５０００として記憶装置に記憶されている条件の各定義項目例を示す説明図である。

この図２において、Ｎｏ１のレコードにおけるログ単位の定義項目１００では、各ログ（Ａ，Ｂ，Ｃ）毎に、メッセージの内容を示すメッセージ内容（Ａ−１，Ｂ−１，Ｃ−１）と、当該メッセージ内容が最低何回出力されるのかを示す最低発現回数（Ａ−２，Ｂ−２，Ｃ−２）および最大何回出力されるのかを示す最大発現回数（Ａ−３，Ｂ−３，Ｃ−３）を、ログ毎に定義する。

例えば、最上部のログｘｘｘ（Ａ）では、ログメッセージ内容（Ａ−１）として値「The System is operating normally」が設定されており、その値をメッセージとして持つログが最低１５回、最大２０回発生するという条件を定義している。

この定義によれば、同じメッセージ内容（The System is operating normally）のログ情報であっても、１５回未満しか発生しなかった場合、または、２１回以上発生した場合には、この条件には合致しないと見なされる。

尚、例えば、このＮｏ１のレコードにおけるログ単位の定義項目１００に関しては、システム毎に異なるものであり、条件として、他に、ログの発現順序、ログとログとの発現間隔などを付け足すなどしても良い。また、最低と最大の発現回数に関して、０回以上、無限大という設定も可能であって良い。

レコードＮｏ２における「条件に合致した場合、障害とするか正常とするかのフラグ」２００では、事象検知装置３０００が本項目で定義した条件に合致した場合に、事象を検知したと管理者１０００に通知するが、その際の事象の種類を障害とするか、正常とするか等を定義する。

ここで、障害を選択した場合には、事象検知装置３０００は、障害の事象を検知したと表示装置に表示する等して管理者１０００に通知し、また、正常を選択した場合には、事象検知装置３０００は、正常の事象を検知したと管理者１０００に通知する。尚、正常の事象である場合には、管理者１０００には通知しないものとしても良い。

レコードＮｏ３における特定時間帯とは、当該条件を使用してログを捕捉し分析する時間帯を意味し、ここでは、午前９時から午後６時まで（09:00:00 - 18:00:00）となっている。この時間帯以外で発生したログは、本条件に合致するログの集合があったとしても、検知・通知対象とはしない。尚、この特定時間帯は、管理者１０００が指定しても良いし、デフォルトの値を用意しても良い。

また、データベース（条件ＤＢ）５０００に条件を追加する際、および、データベース（条件候補ＤＢ）６０００に条件候補を追加する際には、それぞれを一意に識別できる識別子（条件ＩＤ）を付加する。

条件候補作成機能７１００における、条件候補の作成処理内容を図３を用いて説明する。図３は、図１における条件候補作成機能の本発明に係る第１の処理動作例を示すフローチャートであり、ここに示す処理は、図２で示した条件定義項目を持つ条件候補データを作成することを目的としている。

ステップ７１１０の分岐処理では、データベース（条件ＤＢ）５０００内に条件が格納されているか否かを判別している。条件が１件も存在しない場合には、データベース（蓄積ログＤＢ）４０００から読み込んだ全てのログ情報に対して条件候補を新規に作成し、また、条件が１件以上存在する場合には、その条件を読み込んで全てのログを捕捉できるかを確認し、捕捉できないログが存在する場合には、条件の修正案を示す条件候補を作成する。後者の処理については図４で後述し、以下、前者の処理について説明する。

条件候補作成機能７１００では、データベース（蓄積ログＤＢ）４０００から読み込んだログ情報を特定時間帯ごとに区切り、各時間帯毎に出力パターンを分析する。ここでいう特定時間帯は、ユーザが任意に設定することが可能であり、例えば、１秒単位、１分単位、または１時間単位など、自由に設定できるものとして良い。また、ある時は３時間である時は５分というように異なっていても良い。ここでは、２４時間を１サイクルとし、設定された全ての時間帯の合計は２４時間になるものとする。

データベース（条件ＤＢ）５０００内に条件が存在しない場合、設定された特定時間帯単位に、以下の処理を行い、ログ出力パターンを抽出する。

ステップ７１２０での繰返し処理では、特定時間帯の数だけ繰返し処理を実施する。すなわち、まず、データベース（蓄積ログＤＢ）４０００から特定時間帯内のログ情報を読み込み（ステップ７１２０ａ）、読み込んだ各ログ情報のメッセージ文字列と同一メッセージ文字列を持つログ情報の発生頻度（発現回数）を記録したパターンデータを作成して記憶装置に記憶し（ステップ７１２０ｂ）、次の特定時間体内のログデータの読み込み処理に移動する（ステップ７１２０ｃ）。

尚、１つの時間帯で発生しているログ情報の発現回数が日によって異なる場合、その時間帯では、複数のパターンデータが作成される。例えば、ある日のある時間帯のあるログ情報の発現回数が１０回であるのに対して、その翌日の同じ時間帯では、そのログ情報の発現回数が２０回である場合、その時間帯では、発現回数が１０回であるパターンデータと、発現回数が２０回であるパターンデータを作成する。

ステップ７１３０の処理では、ステップ７１２０の処理で作成したパターンデータを全て読み込み（ステップ７１３０ａ）、各パターンデータを時間帯毎（Ａ，Ｂ，Ｃ）に分類してまとめる（ステップ７１３０ｂ）。

ステップ７１３０での処理の後、ステップ７１４０での繰返し処理を、特定時間帯（Ａ，Ｂ，Ｃ）の数だけ繰り返す（ステップ７１３５）。ステップ７１４０の処理では、当該特定時間帯（Ａ，Ｂ，Ｃのいずれか）内のパターンデータの数だけ、ステップ７１４１，７１４２での処理を繰り返し、その時間帯（Ａ，Ｂ，Ｃ）における条件候補データを作成する。

ステップ７１４１の処理は、最初のパターンデータを扱う場合の処理であり、ステップ７１４２の処理は、２回目以降のパターンデータを扱う場合の処理である（ステップ７１４０ａ）。

ステップ７１４１の処理では、当該パターンデータから各ログ情報におけるメッセージ内容を読み取り、図２に示した条件定義項目の構成で、条件候補データを作成し（ステップ７１４１ａ）、当該パターンデータの発現回数を条件候補データの最低発現回数および最大発現回数に設定し（ステップ７１４１ｂ）、特定時間帯を設定する（ステップ７１４１ｃ）ことで、当該パターンデータが扱っているログのメッセージ内容、各ログの発現回数、および特定時間帯からなる条件候補データを新規に作成して記憶装置に一時記憶する。このように、最初のパターンデータの場合、最低発現回数も最大発現回数も同値（パターンデータの発現回数と同じ値）を設定する。

ステップ７１４２における、２回目以降のパターンデータを扱う場合の処理は、ステップ７１４１の処理において最初のパターンデータで作成された条件候補データを修正していき、精度を上げるものである。

まず、最初に、当該パターンデータのログメッセージが条件候補データに存在するか否かを判別し（ステップ７１４２ａ）、存在しない場合、そのログメッセージを条件候補データに追加し、発現回数を記録する（ステップ７１４２ｂ）。

この時、このログメッセージの発現回数を最大発現回数に設定し、最低発現回数には０を設定する。最低発現回数に０を設定するのは、最初のパターンデータでは出力されていないログであるため、出力が０回の場合もあるからである。

ステップ７１４２ａの判別処理の結果、当該パターンデータのログメッセージが条件候補データにも存在すれば、当該ログメッセージの条件候補データにおける発現回数とパターンデータにおける発現回数とを比較し、パターンデータにおける発現回数が、条件候補データにおける最大発現回数を超えているか否かを判別し（ステップ７１４２ｃ）、超えている場合には、条件候補データにおける最大発現回数を、パターンデータにおける発現回数で更新する（ステップ７１４２ｄ）。

ステップ７１４２ｃの判別処理の結果、当該ログメッセージのパターンデータにおける発現回数が、条件候補データにおける最大発現回数を超えていなければ、次に、当該ログメッセージの、当該パターンデータにおける発現回数が、条件候補データにおける最低発現回数に満たないか否かを判別し（ステップ７１４２ｅ）、最低発現回数に満たない場合には、条件候補データにおける最低発現回数を、当該パターンデータにおける発現回数で更新する（ステップ７１４２ｆ）。

このように、ステップ７１４０での繰返し処理により作成して記憶装置に一時記憶した条件候補データを、ステップ７１５０での処理により、データベース（条件候補ＤＢ）６０００に格納する（ステップ７１５０ａ）。

次に、ステップ７１１０での分岐処理において、データベース（条件ＤＢ）５０００内に条件が１件以上存在する場合の処理動作を図４を用いて説明する。

図４は、図１における条件候補作成機能の本発明に係る第２の処理動作例を示すフローチャートであり、ここに示す処理フローは、図２で挙げた条件定義項目を持つ条件で捕捉できないログ情報が発生した場合に、新規にそれらのログ情報を捕捉する条件候補を作成すること、および、既存の条件でそれらのログ情報を捕捉できるように既存の条件を修整した条件候補を作成することを目的としている。

ステップ７１６０の処理では、以下のようにして、特定時間帯の数だけ、ステップ７１６０ａ〜７１６０ｇの処理を繰り返し、補足できないログのパターンデータを作成する。まず、特定時間帯毎にデータベース（蓄積ログＤＢ）４０００からログ情報を読み込み（ステップ７１６０ａ）、同時間帯に設定されている条件をデータベース（条件ＤＢ）５００から読み込む（ステップ７１６０ｂ）。

次に、読み込んだ各条件で各ログ情報を分析して、当該条件で捕捉されたログ情報を記憶装置に記録し（ステップ７１６０ｃ〜７１６０ｅ）、そして、全ての条件での分析で捕捉されなかったログが存在するか否かを判別し（ステップ７１６０ｆ）、捕捉できないログが存在した場合には、そのログのパターンデータを作成して記憶装置に記憶する（ステップ７１６０ｇ）。

ステップ７１６０の処理の後は、図３で説明したステップ７１３０，７１４０の処理を行い、その後、ステップ７１７０の処理を実行する。

スッテプ７１７０の処理は、条件の特に「修正候補」を作成する処理であり、特定時間帯に定義されている条件の数だけ、および、特定時間帯ごとのパターンデータの数だけステップ７１７０ｃ〜７１７０ｈの処理を繰返し（ステップ７１７０ａ，７１７０ｂ）、条件の「修正候補（条件候補データ）」を作成する。

まず、当該パターンデータにおけるログで、条件に存在しないものがあるか否かを判別し（ステップ７１７０ｃ）、条件に存在しないログが当該パターンデータに存在する場合には、条件を複写した条件候補データを作成し、そこに当該パターンデータにのみ存在するログを追加し、最大発現回数に、当該パターンデータにおける発現回数を設定し、最低発現回数には０を設定する（ステップ７１７０ｄ）。

また、ステップ７１７０ｃでの判別処理結果で、当該パターンデータにおけるログが条件に存在した場合には、当該パターンデータの発現回数が、当該条件における最大発現回数を超えているか否か（ステップ７１７０ｅ）、または、当該条件における最低発現回数未満であるか否か（ステップ７１７０ｇ）を判別する。

当該パターンデータの発現回数が当該条件における最大発現回数を超えていれば、条件における最大発現回数を当該パターンデータにおける発現回数で更新した条件候補データを作成して記憶装置に記憶し（ステップ７１７０ｆ）、当該パターンデータの発現回数が当該条件における最低発現回数未満であれば、条件における最低発現回数を当該パターンデータの発現回数で更新した条件候補データを作成して記憶装置に記憶する（ステップ７１７０ｈ）。

このように、ステップ７１４０での処理およびステップ７１７０での処理により作成し記憶装置に記憶した条件候補データを、ステップ７１５０での処理により、データベース（条件候補ＤＢ）６０００に格納する（ステップ７１５０ａ）。

次に、図５を用いて、図１における表示用ログデータ作成機能７２００の処理動作例を説明する。図１の表示用ログデータ作成機能７２００は、データベース（蓄積ログＤＢ）４０００から読み込んだログデータを、データベース（条件ＤＢ）５０００の条件およびデータベース（条件候補ＤＢ）６０００の条件候補を用いて分析し、ログデータ１件１件に合致した条件および条件候補の条件ＩＤを追記した表示用ログデータを作成する。

図５は、ログデータ５１と表示用ログデータ５２の例を示したものであり、表示用ログデータ作成機能７２００がログデータ５１から作成した表示用ログデータ５２においては、ログデータ末尾に、それぞれ合致した条件および条件候補の条件ＩＤが付加されている。

図５に示す表示用ログデータ５２では、「Cdd」で始まる条件ＩＤが条件候補を表し、「Cdt」で始まる条件ＩＤが条件を表している。尚、表示用ログデータ５２のＮｏ．２に示すように、複数の条件および条件候補が合致するログも存在することがある。

次に、図６〜８を用いて、図１の条件候補表示・編集機能７３００の処理動作を説明する。図６は、図１における条件候補表示・編集機能の本発明に係る第１の処理動作例を示す説明図であり、図７は、図１における条件候補表示・編集機能の本発明に係る第２の処理動作例を示す説明図、図８は、図１における条件候補表示・編集機能の本発明に係る第３の処理動作例を示す説明図である。

図１の条件候補表示・編集機能７３００は、表示用ログデータ作成機能７２００が作成した表示用ログデータ５２を用いて、まず、図６に示す内容の表示データ６１を生成して表示装置の画面上に表示する。

この表示データ６１は、管理者１０００のログイン後に最初に画面表示されるものであり、ここでは、各時間帯（Ａ〜Ｇ）ごとに、条件候補の有無を表している。

この表示データ６１において、管理者１０００が、条件候補が「有り」となっている時間帯（Ａ）を選択すると、条件候補表示・編集機能７３００は、例えば図５に例示する表示用ログデータ５２等から、当該時間帯Ａにおける全ての条件候補を読み出し、図７における条件候補一覧７１に例示する内容の情報を生成して表示装置の画面上に表示する。

尚、条件候補表示・編集機能７３００は、図５の表示用ログデータ５２から、当該時間帯Ａを含む全ての時間帯（Ｂ〜Ｇ）におけるログメッセージを読み出し、ログメッセージ単位に、発生時刻と時間帯（Ａ〜Ｇ）に分けたログ分布図７２を生成して、条件候補一覧７１と共に、ＧＵＩ画面として表示装置に表示する。

また、図７の条件候補一覧７１においては、「新規／更新」という項目があり、「新規」は新規に作成された条件候補、「更新」は条件修正のため既存の条件を基に作成された条件候補であることを示している。また、それぞれログメッセージ毎の条件が表示されている。

このような条件候補一覧７１およびログ分布図７２からなるＧＵＩ画面を用いて、管理者１０００は、条件として採用する条件候補の選択を行う。図８は、図７におけるＧＵＩ画面において、管理者１０００が選択操作を行う際の画面表示例を示している。

例えば、図８において、管理者１０００が、条件候補一覧８１におけるＮｏ．２の新規の条件候補ＩＤ「Cdd-00334」を選択し、「決定ボタン」を押下すると、条件候補表示・編集機能７３００は、当該条件候補データをデータベース（条件ＤＢ）５０００に反映させる。

尚、図８に示す表示画面上で管理者１０００が条件候補を選択した場合、条件候補表示・編集機能７３００は、ログ分布図８２中の当該条件候補で捕捉されるログの色を変えて表示する。

また、条件候補表示・編集機能７３００は、管理者１０００による図７，８における表示画面での選択操作に応じて、選択されたログメッセージを、選択された既存の条件および他の条件候補に関連付けする。

以上、図１〜図８を用いて説明したように、本例では、事象検知装置３０００は、プログラムに基づくコンピュータ処理を実行して、アプリケーションソフトやオペレーションシステム等、監視対象システム２０００（監視対象のコンピュータシステム）から出力されるログ情報を収集して分析し、この分析結果と、予め記憶装置にデータベース（条件ＤＢ）５０００として記憶された通知条件情報との比較を基に、障害や各種イベント等の特定の事象の発生を検知して、監視対象システム２０００の管理者１０００に通知する。

例えば、監視対象システム２０００から出力されるログ情報に含まれるログメッセージの予め定められた単位時間での発現回数が、予め記憶装置にデータベース（条件ＤＢ）５０００として記憶された通知条件情報の１つとして当該ログ情報に対応して記憶された発現回数条件に合致すれば、当該ログ情報の通知処理を行う。

また、ログ通知条件定義支援装置７０００は、プログラムに基づくコンピュータ処理を実行して、事象検知装置３０００が参照するデータベース（条件ＤＢ）５０００として記憶装置を介して格納管理する通知条件情報を、例えば、以下のようにして、生成する。

ログ情報を記憶装置に記憶しておき、記憶したログ情報を読み出して特定時間単位に区切り、区切られた各時間帯の中でログ情報に含まれるメッセージの内容を分類して、同一メッセージを持つログ情報の発現回数をカウントし、カウント値を、当該ログ情報の発現回数条件として定義するなどし、その時間帯のログ情報を全て捕捉する条件の候補を作成する。

そして、作成した条件候補を表示し、管理者１０００の選択指示操作に応じて、選択された条件候補を、新たな条件としてデータベース（条件ＤＢ）５０００に格納する。

より具体的には、ログ通知条件定義支援装置７０００は、システム稼働状況ログ収集機能３１００が監視対象システム２０００から収集したログ情報をデータベース（蓄積ログＤＢ）４０００として記憶装置に記憶しておき、条件候補作成機能７１００により、このデータベース（蓄積ログＤＢ）４０００から各ログ情報を読み出し、各ログ情報に含まれるログ発現時刻に基づき、各ログ情報を予め設定された時間帯単位に分類し、同じ時間帯内の各ログ情報に含まれるメッセージを比較して同一メッセージを含むログ情報の数を計数し、この計数値を発現回数条件とし、この発現回数条件と当該時間帯を含む、当該ログ情報に対する通知条件情報候補を生成し、データベース（条件候補ＤＢ）６０００として記憶装置に記憶する。

また、条件候補作成機能７１００は、データベース（蓄積ログＤＢ）４０００から読み出したログ情報が、予めデータベース（条件ＤＢ）５０００として記憶装置に記憶された通知条件情報を構成する発現回数条件を含む各条件要素のいずれかで捕捉され、いずれかで捕捉されない場合、この捕捉されない条件要素を捕捉されるように当該通知条件情報を修正した新たな通知条件情報候補を生成し、データベース（条件候補ＤＢ）６０００として記憶装置に記憶する。

そして、ログ通知条件定義支援装置７０００は、表示用ログデータ作成機能７２００と条件候補表示・編集機能７３００により、データベース（条件候補ＤＢ）６０００として記憶装置に記憶された通知条件情報候補を読み出して表示装置の画面に表示出力すると共に、このように表示装置の画面に表示した通知条件情報候補に対して管理者１０００からの反映指示情報が入力装置を介して入力されると、条件候補表示・編集機能７３００は、当該通知条件情報候補を、事象検知装置３０００が参照する通知条件情報としてデータベース（条件ＤＢ）５０００に記憶する。

さらに、ログ通知条件定義支援装置７０００は、表示用ログデータ作成機能７２００と条件候補表示・編集機能７３００により、収集してデータベース（蓄積ログＤＢ）４０００として記憶装置に記憶した各ログ情報が、通知条件情報と通知条件情報候補のいずれにより捕捉されるのかを示す情報を生成して表示装置の画面に表示する。

また、ログ通知条件定義支援装置７０００は、管理者１０００により、表示装置の画面に表示した通知条件情報候補に対する当該通知条件情報を構成する発現回数条件を含む各条件要素の修正を指示する編集指示情報が入力装置を介して入力されると、条件候補表示・編集機能７３００により、この編集指示情報に応じて当該通知条件情報候補を修正した後、データベース（条件ＤＢ）５０００に格納する。

このように、本例では、条件の作成作業を軽減させるために、各アプリケーション等から出力されるログを読み込み、有用な条件として使用されるだろうと期待できる条件候補を作成し、作成した条件候補を管理者１０００が編集しやすい形で提示する。

このことにより、障害を含む新規事象の検知および既知の事象の更新の検知に必要な条件を作成するのに掛かる工数を低減することが可能となる。また、管理者１０００は、条件の有効性を視覚的に確認できるため、条件のメンテナンス性も向上する。

尚、本発明は、各図を用いて説明した例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能である。例えば、本例では、事象検知装置３０００は、障害や各種イベント等の特定の事象の発生を検知すると、監視対象システム２０００の管理者１０００に通知しているが、検知結果をアプリケーションソフト等に通知することでも良い。

また、本例では、ある時間帯で発生しているログ情報の発現回数が日によって異なる場合、その時間帯では、複数のパターンデータが作成されるが、例えば、ある日のある時間帯のあるログ情報の発現回数がデータベース（条件ＤＢ）５０００で管理している条件に定義されている発現回数よりも多い場合には、当該条件の最大発現回数を更新し、また、ある日の発現回数が条件に定義されている発現回数よりも少ない場合には、条件の最低発現回数を更新するといったように、過去に作成した条件では捕捉できないログが発生している場合に、条件の修正候補を作成することでも良い。

また、事象検知装置３０００およびログ通知条件定義支援装置７０００のコンピュータ構成例に関しても、本例では、それぞれを個別のコンピュータで構成しているが、同じコンピュータ内に事象検知装置３０００およびログ通知条件定義支援装置７０００の機能を設けた構成としても良い。

また、本例では、データベース（蓄積ログＤＢ）４０００に蓄積するログ情報を、事象検知装置３０００におけるシステム稼働状況ログ収集機能３１００を利用して収集しているが、このシステム稼働状況ログ収集機能３１００とは別個の収集機能を条件定義支援装置７０００内に設けた構成としても良い。

また、本例では、記録媒体として、光ディスクの他に、ＦＤ（Flexible Disk）等を記録媒体として用いることでも良い。また、プログラムのインストールに関しても、通信装置を介してネットワーク経由でプログラムをダウンロードしてインストールすることでも良い。

本発明に係るログ監視システムの構成例を示すブロック図である。 図１における条件候補作成機能が作成する条件候補およびデータベース（条件ＤＢ）として記憶装置に記憶されている条件の各定義項目例を示す説明図である。 図１における条件候補作成機能の本発明に係る第１の処理動作例を示すフローチャートである。 図１における条件候補作成機能の本発明に係る第２の処理動作例を示すフローチャートである。 図１における表示用ログデータ作成機能が作成する表示用ログデータの構成例を示す説明図である。 図１における条件候補表示・編集機能の本発明に係る第１の処理動作例を示す説明図である。 図１における条件候補表示・編集機能の本発明に係る第２の処理動作例を示す説明図である。 図１における条件候補表示・編集機能の本発明に係る第３の処理動作例を示す説明図である。

符号の説明

５１：ログデータ、５２：表示用ログデータ、６１：表示データ、７１，８１：条件候補一覧、７２，８２：ログ分布図、１００：ログ単位の定義項目、２００：フラグ（条件に合致した場合、障害とするか正常とするかのフラグ）、３００：特定時間帯、１０００：管理者、２０００：監視対象システム、２１００，２２００：アプリケーション（１），（２）、２３００：データベース（ＤＢ）（１）、２４００：ネットワーク、３０００：事象検知装置（監視対象システムの事象を検知する装置）、３１００：システム稼働状況ログ収集機能、３２００：ログ受信機能、３３００：事象検知機能、３４００：事象データ作成機能、３５００：事象データ表示機能、４０００：データベース（蓄積ログＤＢ）、５０００：データベース（条件ＤＢ）、６０００：データベース（条件候補ＤＢ）、７０００：ログ通知条件定義支援装置、７１００：条件候補作成機能、７２００：表示用ログデータ作成機能、７３００：条件候補表示・編集機能。

Claims (12)

1. 監視対象のコンピュータシステムから出力されるログ情報に含まれるログメッセージの予め定められた単位時間での発現回数が、予め記憶装置に通知条件情報の１つとして当該ログ情報に対応して記憶された発現回数条件に合致すれば、当該ログ情報の通知処理を行う事象検知装置が参照する上記通知条件情報の候補を生成するログ通知条件定義支援装置であって、
   上記監視対象のコンピュータシステムから出力されたログ情報を収集して記憶装置に記憶する手段と、
   記憶装置から上記ログ情報を読み出し、各ログ情報に含まれるログ発現時刻に基づき、各ログ情報を予め設定された時間帯単位に分類する手段と、
   同じ時間帯内の各ログ情報に含まれるメッセージを比較して同一メッセージを含むログ情報の数を計数し、該計数値を上記発現回数条件とし、該発現回数条件と当該時間帯を含む、当該ログ情報に対する通知条件情報候補を生成して記憶装置に記憶する手段と
   を有することを特徴とするログ通知条件定義支援装置。
2. 請求項１に記載のログ通知条件定義支援装置であって、
   上記記憶装置から読み出したログ情報が、上記予め記憶装置に記憶された通知条件情報を構成する上記発現回数条件を含む各条件要素のいずれかで捕捉され、いずれかで捕捉されない場合、該捕捉されない条件要素を捕捉されるように当該通知条件情報を修正した新たな通知条件情報候補を生成して記憶装置に記憶する手段
   を有することを特徴とするログ通知条件定義支援装置。
3. 請求項１もしくは請求項２のいずれかに記載のログ通知条件定義支援装置であって、
   上記通知条件情報候補を記憶装置から読み出して表示装置の画面に表示出力する手段と、
   上記表示装置の画面に表示した通知条件情報候補に対する反映指示情報が入力装置から入力されると、当該通知条件情報候補を上記事象検知装置が参照する上記通知条件情報として記憶装置に記憶する手段と
   を有することを特徴とするログ通知条件定義支援装置。
4. 請求項３に記載のログ通知条件定義支援装置であって、
   上記収集して記憶装置に記憶した各ログ情報が、上記通知条件情報と上記通知条件情報候補のいずれにより捕捉されるのかを示す情報を生成して表示装置の画面に表示する手段
   を有することを特徴とするログ通知条件定義支援装置。
5. 請求項１から請求項４のいずれかに記載のログ通知条件定義支援装置であって、
   上記表示装置の画面に表示した通知条件情報候補に対する当該通知条件情報を構成する上記発現回数条件を含む各条件要素の修正を指示する編集指示情報が入力装置から入力されると、該編集指示情報に応じて当該通知条件情報候補を修正した後、上記事象検知装置が参照する通知条件情報として記憶装置に記憶する手段
   を有することを特徴とするログ通知条件定義支援装置。
6. 監視対象のコンピュータシステムから出力されるログ情報に含まれるログメッセージが予め記憶装置に通知条件情報の１つとして記憶されていれば、当該ログ情報の通知処理を行う事象検知装置と、
   請求項１から請求項５のいずれかに記載のログ通知条件定義支援装置と
   を有することを特徴とするログ監視システム。
7. コンピュータを、請求項１から請求項５のいずれかに記載のログ通知条件定義支援装置における各手段として機能させるためのプログラム。
8. 監視対象のコンピュータシステムから出力されるログ情報に含まれるログメッセージの予め定められた単位時間での発現回数が、予め記憶装置に通知条件情報の１つとして当該ログ情報に対応して記憶された発現回数条件に合致すれば、当該ログ情報の通知処理を行う事象検知装置が参照する上記通知条件情報の候補を、プログラムを用いたコンピュータで生成するログ通知条件定義支援方法であって、
   上記監視対象のコンピュータシステムから出力されたログ情報を収集して記憶装置に記憶する手順と、
   記憶装置から上記ログ情報を読み出し、各ログ情報に含まれるログ発現時刻に基づき、各ログ情報を予め設定された時間帯単位に分類する手順と、
   同じ時間帯内の各ログ情報に含まれるメッセージを比較して同一メッセージを含むログ情報の数を計数し、該計数値を上記発現回数条件とし、該発現回数条件と当該時間帯を含む、当該ログ情報に対する通知条件情報候補を生成して記憶装置に記憶する手順と
   を有することを特徴とするログ通知条件定義支援方法。
9. 請求項８に記載のログ通知条件定義支援方法であって、
   上記記憶装置から読み出したログ情報が、上記予め記憶装置に記憶された通知条件情報を構成する上記発現回数条件を含む各条件要素のいずれかで捕捉され、いずれかで捕捉されない場合、該捕捉されない条件要素を捕捉されるように当該通知条件情報を修正した新たな通知条件情報候補を生成して記憶装置に記憶する手順を有することを特徴とするログ通知条件定義支援方法。
10. 請求項８もしくは請求項９のいずれかに記載のログ通知条件定義支援方法であって、
    上記通知条件情報候補を記憶装置から読み出して表示装置の画面に表示出力する手順と、
    上記表示装置の画面に表示した通知条件情報候補に対する反映指示情報が入力装置から入力されると、当該通知条件情報候補を上記事象検知装置が参照する上記通知条件情報として記憶装置に記憶する手順と
    を有することを特徴とするログ通知条件定義支援方法。
11. 請求項１０に記載のログ通知条件定義支援方法であって、
    上記収集して記憶装置に記憶した各ログ情報が、上記通知条件情報と上記通知条件情報候補のいずれにより捕捉されるのかを示す情報を生成して表示装置の画面に表示する手順
    を有することを特徴とするログ通知条件定義支援方法。
12. 請求項８から請求項１１のいずれかに記載のログ通知条件定義支援方法であって、
    上記表示装置の画面に表示した通知条件情報候補に対する当該通知条件情報を構成する上記発現回数条件を含む各条件要素の修正を指示する編集指示情報が入力装置から入力されると、該編集指示情報に応じて当該通知条件情報候補を修正した後、上記事象検知装置が参照する通知条件情報として記憶装置に記憶する手順
    を有することを特徴とするログ通知条件定義支援方法。

Images