JP2015095060A - ログ分析装置及び方法 - Google Patents

Abstract

【課題】 機器の生成するログを効果的に保存・管理し、特定の故障や工事等に紐付くログの遷移を利用者に提示する。
【解決手段】 本発明は、監視対象機器からログを収集し、ログ記憶手段に格納し、ログ記憶手段のログからログテンプレートを抽出し、テンプレート情報記憶手段に格納し、該ログテンプレートの同時生起性によりグループ化してグループ情報記憶手段に格納し、ログ記憶手段、テンプレート情報記憶手段、グループ情報記憶手段の各情報に基づいて、ログを示す情報をリアルタイムに生成する。故障情報記憶手段、工事情報記憶手段、ログ記憶手段、テンプレート情報記憶手段、グループ情報記憶手段の各情報の遷移の生起回数または生起確率を計算し、遷移が発生している情報を抽出しログ遷移記憶手段に格納し、遷移が発生したログと該ログ遷移記憶手段の遷移を比較し、ログの遷移を表示する。
【選択図】 図１

Description

本発明は、ログ分析装置及び方法に係り、特に、多種多様な機器が出力するログ及び故障対応履歴情報を利用者にとって有効に管理、提示する技術において、多種類の機器の生成するログの形式及び生成則を事前に直接的に知ることなく、ログの遷移を利用者に提示するためのログ分析装置及び方法に関する。

近年、提供しているサービスの信頼性や質の向上のため、大規模なシステムを構成する機器の一元的な監視や管理が盛んに行われている。一方で、こうしたシステムは異なる製造元の、異なる役割を持つ機器やソフトウェアから構成されており、それぞれ独自の形態を持つログを出力する機構を有している。

システムの監視では、こうした機器のログが監視システムへ一元的に収集され、監視・管理を行う際に使用されるSYSLOGやSNMP(Simple Network Management Protocol)は、こうした監視のために利用されるプロトコルとして代表的なものである。しかし、情報機器の発展に伴い、これらのログ情報は複雑・大規模化しており、効率的な監視方法が必要となっている。

機器の監視ログは、一般に詳細な機器の状態に関する情報を含む。特に、重大な故障に至る前の、サービス影響はないが内部的には問題がある機器内部の冗長系の異常など、警報として異常度の低いものと重大故障の関連の抽出は、未知の故障検知や予防保全において大変有効である。また、機器のソフトウェアアップグレードや設定変更などの際には、変更が行われたことを示すログの発現を順に調べ、正常に変更が完了したことを確認するなどの利用も有効である。このように、ログの遷移には機器にとって何らかの意味があるものが多く、関連性の高いログの遷移を大規模複雑なログから抽出・可視化する技術が必要となっている。

こうした中で、Splunk(登録商標)のようにログ分析を簡略化するための分析基盤がある（以下、「従来技術１」と記す）。従来技術1へ収集されたログメッセージ内のフィールドはインデックス化され、検索、管理が容易となるメリットがある。

一方、ルータなどのネットワーク機器の生成するSyslogメッセージ（以下、「Syslog」
と記す）を対象とし、ベンダやメッセージタイプ、エラーコード、詳細なメッセージ内容といったある程度の形式を事前に与えられた場合におけるテンプレートの把握法を与える技術がある（例えば、非特許文献1参照）。当該技術は、ルータの位置関係などを利用してSyslogのダイジェスト情報を表示する（以下、「従来技術２」と記す）。

また、事前情報を用いた対象がSyslogのみではない一般的なログのテンプレートを抽出する方法がある。当該技術は、ログが格納されたログ情報記憶手段からログメッセージを取得して、該ログメッセージに含まれる各単語に対して、該単語の出現位置、単語、該ログメッセージに含まれる単語数に対して出現頻度の組に基づいてスコアを算出し、該スコアに基づいてクラスタリングを行うことにより、テンプレートを作成する。このとき、クラスタリングされたクラスタを値の高いものから併合し、ログメッセージの総単語数と重要な単語を含むクラスタの範囲を決定するための所定の閾値を乗じた値を超えた時点において併合した集合をテンプレートとする。複数の機器のログメッセージを取得して、生成されているテンプレートとマッチングを行うことにより、重要なメッセージを抽出する（以下、「従来技術３」と記す）。しかし、テンプレートだけではログの意味付けが難しく、複数生起するログ間の関係を自動的に把握することができない。

T. Qiu, Z. Ge, D. Pei, J. Wang, J.Xu, "What Happened in my Network? Mining Network Events from Router syslogs", In IMC, 2010.

しかしながら、上記の従来技術１を利用するためには、ログがどのようなフィールドを持つのかという事前知識が必要であり、異なるログメッセージ間の関係性やログの遷移を抽出して提示するといった深い分析には対応していない。

また、従来技術２では、Syslogの要約情報を表示するのみであり、情報収集段階でも知識が必要であり、例えば、どのベンダからログを収集しているか、メッセージ内のどの部分がエラーコードを示しているのかといったことを把握しておかなければならず、テンプレート把握機構を単純に用意するだけでなく、事前の手動での入力や準備が必要となる。また、Syslogのダイジェスト表示機能は、Syslogに特化した手法であるために、その他の監視ログやオペレーション情報への適用ができない。

また、従来技術３では、テンプレートだけではログの意味付けが難しく、複数生起するログ間の関係を自動的に把握することができない。

本発明は、上記の点に鑑みなされたもので、利用者が機器の生成するログを効果的に保存・管理し、特定の故障や工事等に紐付くログの遷移を提示することで、利用者がシステムの予見的な運用を行うことが可能なログ分析装置及び方法を提供することを目的とする。

一態様によれば、監視対象機器のログの関係性を分析及び可視化を行うログ分析装置であって、
前記監視対象機器からログを収集し、ログ記憶手段に格納するログ収集手段と、
前記ログ記憶手段のログから重要される部分（以下、「ログテンプレート」と記す）を抽出し、テンプレート情報記憶手段に格納し、該ログテンプレートの同時生起性によりグループ化してグループ情報記憶手段に格納するテンプレート・グループ抽出手段と、
前記ログ記憶手段、前記テンプレート情報記憶手段、前記グループ情報記憶手段の各情報に基づいて、前記ログを示す情報をリアルタイムに生成するグラフ表示手段と、
故障分類、故障発生日時、故障機器識別情報を格納した故障情報記憶手段、工事分類、工事発生日時、工事機器識別情報を格納した工事情報記憶手段、前記ログ記憶手段、前記テンプレート情報記憶手段、前記グループ情報記憶手段の各情報の遷移の生起回数または生起確率を計算し、遷移が発生している情報を抽出しログ遷移記憶手段に格納し、遷移が発生したログと該ログ遷移記憶手段の遷移を比較し、ログの遷移を表示する遷移比較手段と、を有するログ分析装置が提供される。

一態様によれば、多用な種類の監視対象機器が生成するログの形式や生成則を事前に知ることなく、ログ情報の関係性を自動的に分析把握し、可視化することが可能となる。

本発明の一実施の形態におけるログ分析装置の構成例である。 本発明の一実施の形態におけるログＤＢの構成例である。 本発明の一実施の形態におけるテンプレート情報ＤＢの例である。 本発明の一実施の形態におけるグループ情報ＤＢの例である。 本発明の一実施の形態における工事履歴情報ＤＢの例である。 本発明の一実施の形態における故障履歴情報ＤＢの例である。 本発明の一実施の形態におけるログ遷移記憶部の例である。 本発明の一実施の形態におけるログ分析装置によって通常時に表示されるログ分析画面イメージである。 本発明の一実施の形態におけるログ分析装置によって表示されるログ詳細分析画面イメージである。 本発明の第１の実施例におけるログ分析装置の構成例である。 本発明の第１の実施例のログＤＢの例である。 本発明の第２の実施例におけるログ分析装置の構成例である。

以下、図面と共に本発明の実施の形態を説明する。

図１は、本発明の一実施の形態におけるログ分析装置の構成例である。

ログ分析装置１００は、複数の利用者端末群１０、監視対象機器群２０、故障や工事等の監視を行う監視システム３０と接続されている。利用者端末群１０は、ログ分析装置１００から取得した情報を表示する表示機能を有する。

ログ分析装置１００は、ログ収集部１１０、テンプレート・グループ抽出部１２０、グラフ表示部１３０、遷移比較抽出部１４０、ユーザインタフェース１５０、ログＤＢ１０１、テンプレート情報ＤＢ１０２、グループ情報ＤＢ１０３、工事履歴情報ＤＢ１０４、故障履歴情報ＤＢ１０５、ログ遷移記憶部１０６を有する。

ログＤＢ１０１は、図２に示すように、収集されたログの発生時間、監視機器ID、ログ優先度・重要度、サービスタイプ、監視機器ラベル、メッセージ、パラメータ、テンプレートIDを格納する。

テンプレート情報ＤＢ１０２は、図３に示すように、テンプレートID、ログＤＢ１０１のメッセージから抽出されたテンプレート情報、パラメータを格納する。

グループ情報ＤＢ１０３は、図４に示すように、グループID、当該グループに属するテンプレートIDを格納する。

工事履歴情報ＤＢ１０４は、図５に示すように工事発生日時、工事ラベル（イベントラベル）、工事機器ＩＤの工事履歴情報を格納する。

故障履歴情報ＤＢ１０５は、図６に示すように故障発生日時、故障ラベル（イベントラベル）、故障機器ＩＤの故障履歴情報を格納する。

上記の工事履歴情報ＤＢ１０４，故障履歴情報ＤＢ１０５は、機器ＩＤ毎の工事・故障発生時刻、工事・故障分類として、イベントラベルを生成して格納する。当該分類は、どのような工事・故障が発生したかを判別するための分類であり、粒度は利用者が任意に決定するものとする。

ログ収集部１１０は、ネットワークを介して、または、直接接続されている監視対象機器群２０からログを収集し、ログＤＢ１０１に格納する。監視対象機器群２０が生成するログには、当該ログを生成した監視対象機器を指し示す情報（例えば、監視機器ID）が含まれており、監視対象機器群２０を特定することができるものとする。また、利用状況に応じて、これらの監視対象機器群２０の情報はサービス形式、位置、機器型式などの付加的属性によってラベル付けされているものとする。これらのラベルは、例えば、特定のベンダや地域の監視機器だけを可視化したい場合等に、利用者が必要に応じて与えるものであり、無くても構わない。以降これを監視機器ラベルと記す。監視機器ラベルは随時追加可能である。当該ログは、発生時間、監視機器ID、ログ優先度・重要度、サービスタイプ等の情報を含み、テンプレートID、パラメータを含む情報の構造をもって記述されているものとし、ログＤＢ１０１に格納される。

テンプレート・グループ抽出部１２０は、ログＤＢ１０１からログを取得し、既存の何らかの方法（例えば、前述の従来技術３に記載の方法）により、ログメッセージから重要とされる部分（以下、「テンプレート」と記す）を抽出し、各テンプレートに一意のインデックス（以下、「テンプレートＩＤ」と記す）を付与してテンプレート情報ＤＢ１０２に格納すると同時に、ログＤＢ１０１の当該ログに対応するテンプレートＩＤの項目に、テンプレートＩＤを書き込む。また、メッセージ内のテンプレート以外のパラメータ部分はそれぞれの表す内容をフィールド名と共にテンプレート情報ＤＢ１０２に格納する。さらに、各テンプレートの過去の生起回数を計上しておき、日毎の発生量なども情報としてメモリ（図示せず）に格納しておき、異常性を示すスコアを算出する際に利用することが可能である。

また、テンプレート・グループ抽出部１２０は、テンプレートに関してグルーピングを行い、グループ情報ＤＢ１０３に格納する。グルーピングの方法としては、過去に発生したテンプレート毎に、適当な時間幅毎の生起回数を記録したベクトルについてクラスタリングを行うようなオフラインで事前に行う方法があるが、どのようなグルーピング方法を採用しても良い。以降、グルーピングされたテンプレートをテンプレートグループと呼ぶ。なお、テンプレートと同様にテンプレートグループにはインデックス（以下「グループID」と記す）を付与してグループ情報ＤＢ１０３に格納する。

グラフ表示部１３０は、ログＤＢ１０１、テンプレート情報ＤＢ１０２、グループ情報ＤＢ１０３からログ情報、当該ログ情報に紐付けされているテンプレート情報、テンプレートグループ情報を読み出して、ログ情報を示すグラフをリアルタイムに生成する。図８は、通常時に利用者端末１０に表示されるログ分析画面である。ログは事前に、または、オンラインで、テンプレート情報ＤＢ１０２から得られたテンプレート及びグループ情報ＤＢ１０３から得られたテンプレートグループに紐付けされる。同図（ａ）の例は、ログの可視化画面である。可視化方法には特に制限はないが、一例として、同図（ｂ）では、縦軸をテンプレートIDとし、横軸を時間とし、シンボルの形及び色を監視対象機器の種別で区別してログの生起を点によりプロットする表示方法を示している。同図（ｂ）の各点は、テンプレート、ロググループ、イベントのいずれであってもよい。以下では、簡単のため「テンプレート」を例として示す。

図８（ｂ）のログ画面において縦軸のテンプレートIDを、メモリ（図示せず）に格納されているログの頻度や周期性などを用いて異常性を示すスコアを算出し、昇順ソートを行うことで、異常性の高いログが画面の上部に配置されるような工夫も可能である。また、詳細分析画面におけるログの樹形図表示部において、異常度の低いログは予め除くなどの利用方法も可能である。

ここで、異常性を示すスコアの算出方法の一例として、全観測期間のうちのログが発生した時間割合（頻度）をスコアとする場合には、
スコア＝ログが発生していた時間総数／観測総時間
により求めることができる。また、周期性をスコアとする場合には、一日に発生した回数の変動係数により求めることができる。1日に発生した回数を1標本とし、Ｎ日観測した中で平均と分散を用いて変動係数を計算する。これは標本の変動を表し、周期性が高ければ０に近づく。

遷移比較抽出部１４０は、ログＤＢ１０１、テンプレート情報ＤＢ１０２、グループ情報ＤＢ１０３、工事履歴情報ＤＢ１０４、故障履歴情報ＤＢ１０５から、ログ、ログテンプレート、ロググループ、故障情報、工事情報の各々の遷移の生起回数、または、生起確率を計算し、ログ遷移記憶部１０６に記録し、発生しているログとログ遷移記憶部１０６の検出した遷移を比較し、重大な故障や重要なイベントに紐付くといったトリガに応じて利用者にアラームの形で伝える。具体的には、生起回数、生起確率が所定の値より高い場合に、ログＤＢ１０１のログ優先度・重要度を参照し、当該ログ優先度・重要度が所定の値より大きい場合には、利用者端末１０に対してアラームを通知する。また、過去の遷移のカウント結果から優先度の高いイベント（ログ・ロググループ・故障等）に遷移する確率の高いログが出たら通知することも可能である。ここで、イベントとは、工事履歴情報ＤＢ１０４，故障履歴情報ＤＢ１０５から把握している故障及び工事を指し、イベントにはそれぞれインデックスが付与されている。以下、このインデックスをイベントIDと呼ぶ。また、アラームとは、画面中にアラートを示すメッセージを強調表示する、または、ブリンキングすること等を指す。アラームが出力された場合は、自動的に詳細分析画面に推移する、または、利用者が表示されたメッセージをクリックして詳細分析画面（図９）に進むことが可能である。

遷移比較抽出部１４０は、まず、ログＤＢ１０１のログ（テンプレートID、イベントラベル）、テンプレート情報ＤＢ１０２のログテンプレートID、グループ情報ＤＢ１０３のロググループIDのいずれかを読み出して、現在発生しているログとログ遷移記憶部１０６のテンプレートID、または、ロググループIDの遷移回数と比較する。なお、図７のログ遷移記憶部１０６では、テンプレートIDを用いているが、この例に限定されることなく、グループID、工事履歴情報ＤＢ１０４や故障履歴情報ＤＢ１０５のイベントラベルを用いてもよい。

遷移比較抽出部１４０は、グラフ表示部１３０で図８（ｂ）に表示されていたログのうち、ログ遷移記憶部１０６の過去の遷移とマッチしたものを線分で結び、強調表示する。また、ログ遷移記憶部１０６の過去に発生した遷移と比較することで、図９（ａ）に示すように、次に発生すると考えられるログ、あるいは、イベントが予測される形で表示する。例えば、ログ遷移記憶部１０６はテンプレートIDに対応する遷移回数を保持しており、当該テンプレートIDに基づいてログＤＢ１０１から取得したログを図９（ｃ）に示すように表示する。実施形態にも依存するが、表示されるログの遷移は複数表示することが可能である。図９（ｃ）ではログＤＢ１０１の該当するログがハイライトされた状態で表示される。

図９（ｂ）には、関連すると判断されたログの遷移を表示する。同図の例では、把握したログの遷移と関連のあるテンプレート間を線分で結んだ樹形図として示されている。なお、樹形図の表示方法は図９（ａ）に示される方法に限定されるものではないが、各ノードは、テンプレート、テンプレートグループ、及びイベントを表し、左から右へ順にログの遷移する確率の高さを、枝の太さと共に示されており、分岐があるノードにおいては複数の遷移先の可能性があることを示す。

また、図９（ａ）の樹形図の表示においては、正常なノードや遷移確率が所定の値より低いノードは予め非表示とすることにより、表示を簡略化することが可能である。

ユーザインタフェース１５０は、利用者端末群１０との送受信を行うものであり、ユーザからの入力を取得する、上記の遷移比較抽出部１４０で生成されたグラフを利用者端末群１０に表示する等の機能を有する。

なお、上記の図１では、ログ収集部１１０、テンプレート・グループ抽出部１２０、遷移比較抽出部１４０の機能をログ分析装置に含む構成としているが、この例に限定されることなく、当該装置の外部に設けてもよい。遷移比較抽出部１４０の機能のうち、ログの遷移を表示する機能を遷移可視化装置とし、アラームを発出する機能を警報監視装置として、ログ分析装置の外部に設けてもよい。

［第1の実施例］
図１０は、本発明の第1の実施例におけるログ分析装置の構成例である。

本実施例では、ログ収集部１１０で収集されたログ及び故障履歴情報を、予めログＤＢ１０１に保存しており、過去の事例抽出に利用するバッチ処理による実施方法を示す。

ここで、ログ収集部１１０は、予め事前に起動されており、監視対象機器２０群もログを生成する機能を有しているものとする。

入力とするログは、どのような機器のものでも問題ないが、例えば、ネットワーク監視のためのログ収集部１１０としてはルータのSyslogなどが考えられる。この場合において、図１０のバッチ処理実施形態について説明する。

ネットワーク機器等の監視対象機器２０群の生成するログは一元的に収集され、事前にテンプレート、ロググループ、機器情報、監視機器ラベルを付与され、ログＤＢ１０１へ保存される。また、故障履歴情報や工事履歴情報についても、事前に故障分類、工事分類が行われ、イベントラベルが付与されてログＤＢ１０１に格納される。故障分類、工事分類については、利用者による手動の分類でも、システムによる自動分類のどちらでも構わない。

利用者は、検出した過去の時間範囲を、ユーザインタフェース１５０を介して指定すると、グラフ表示部１３０により、図９に示す樹形図のような形で関連するログ遷移が示され、利用者は膨大かつ複雑なログの中から所定のイベントに関するログ遷移を発見することができる。

当該実施例は、バッチ処理利用による定期監視などに有効な監視方法である。

［第２の実施例］
図１２は、本発明の第２の実施例におけるログ分析装置の構成例である。

第１の実施例は、定期監視などに有効な監視方法を示したが、本実施例では、時々刻々と発生するログ及び故障の警報情報等を用いて、リアルタイムでログ及びイベントの遷移を学習し、移動遷移を検出し、イベントの予測を行う。図１０と異なり、遷移比較・抽出部１４０はリアルタイムで各入力情報を整形・分析する。

図１２に示すように、ログはオンラインテンプレート・グループ抽出部１２０ｂにより、リアルタイムでテンプレート抽出及びグルーピングが行われ、テンプレート情報ＤＢ１０２，グループ情報ＤＢ１０３に格納され、故障履歴情報及び工事履歴情報も逐次分類がなされ、イベントとしてラベル化され、図１１と同様のフォーマットでログＤＢ１０１に格納される。随時ログの遷移は遷移比較抽出部１４０によりカウントされ、ログ遷移記憶部１０６に保存される。予め設定された故障に紐付きやすいログの発生時点で警報等をあげ、遷移比較抽出部１４０は、図９に従い、イベントの予知を行う。警報および予知の基準については利用者が予め定めることができ、遷移する確率がある閾値以上、過去の生起回数がＮ回以上などのように任意に設定することが可能である。

本実施例は、時々刻々と発生するログを入力として逐次ログやイベントを予測するリアルタイム処理による運用形態に適用可能である。

上記の実施形態及び実施例の図１、図１０、図１２に示すログ分析装置の各構成要素の動作をプログラムとして構築し、ログ分析装置として利用されるコンピュータにインストールして実行させる、または、ネットワークを介して流通させることが可能である。

なお、本発明は、上記の実施の形態及び実施例に限定されることなく、特許請求の範囲に内において、種々変更・応用が可能である。

１０ 利用者端末群
２０ 監視対象機器群
３０ 監視システム
１００，１００Ａ，１００Ｂ ログ分析装置
１０１ ログＤＢ
１０２ テンプレート情報ＤＢ
１０３ グループ情報ＤＢ
１０４ 工事履歴情報ＤＢ
１０５ 故障履歴情報ＤＢ
１０６ ログ遷移記憶部
１１０ ログ収集部
１２０，１２０ａ テンプレート・グループ抽出部
１２０ｂ オンラインテンプレート・グループ抽出部
１３０ グラフ表示部
１４０ 遷移比較抽出部
１５０ ユーザインタフェース

Claims (8)

1. 監視対象機器のログの関係性を分析及び可視化を行うログ分析装置であって、
   前記監視対象機器からログを収集し、ログ記憶手段に格納するログ収集手段と、
   前記ログ記憶手段のログから重要される部分（以下、「ログテンプレート」と記す）を抽出し、テンプレート情報記憶手段に格納し、該ログテンプレートの同時生起性によりグループ化してグループ情報記憶手段に格納するテンプレート・グループ抽出手段と、
   前記ログ記憶手段、前記テンプレート情報記憶手段、前記グループ情報記憶手段の各情報に基づいて、前記ログを示す情報をリアルタイムに生成するグラフ表示手段と、
   故障分類、故障発生日時、故障機器識別情報を格納した故障情報記憶手段、工事分類、工事発生日時、工事機器識別情報を格納した工事情報記憶手段、前記ログ記憶手段、前記テンプレート情報記憶手段、前記グループ情報記憶手段の各情報の遷移の生起回数または生起確率を計算し、遷移が発生している情報を抽出しログ遷移記憶手段に格納し、遷移が発生したログと該ログ遷移記憶手段の遷移を比較し、ログの遷移を表示する遷移比較手段と、
   を有することを特徴とするログ分析装置。
2. 前記遷移比較手段は、
   前記グラフ表示手段により表示された前記ログを示す情報のうち、前記ログ遷移記憶手段の過去の遷移とマッチしたものを線分で結びグラフ表示画面に表示する手段と、
   前記ログ遷移記憶手段の過去に発生した遷移と現在のログ情報を比較して、次に発生する可能性のあるログ、あるいは故障及び工事（以下、「イベント」と記す）を予測し、現在のログと関連のあるログを樹形図形式で前記グラフ表示画面に表示する手段と、
   を含む
   請求項１記載のログ分析装置。
3. 前記ログ収集手段は、
   時々刻々と生成されるログを事前に、またはオンラインで収集する手段を含み、
   前記テンプレート・グループ抽出手段は、
   収集された前記ログを前記テンプレート及びロググループに紐付け、前記ログ記憶手段に格納する手段を含み、
   前記グラフ表示手段は、
   前記ログ記憶手段の情報をグラフ化し、リアルタイムで一画面に表示する手段を含む
   請求項１記載のログ分析装置。
4. 前記ログ記憶手段は、ログについての優先度または重要度を含み、
   前記遷移比較手段は、
   前記ログに遷移が発生しており、かつ、該ログの前記優先度または前記重要度が所定の値より大きい場合には重大な故障や重要なイベント紐付くものとしてアラームを利用者端末に対して発出する警報手段を含む
   請求項１記載のログ分析装置。
5. 監視対象機器のログの関係性を分析及び可視化を行うログ分析方法であって、
   収集されたログ情報を格納するログ記憶手段、
   前記ログ情報から抽出されたテンプレートを格納するテンプレート情報記憶手段、
   前記テンプレートをグループ化した情報を格納するグループ情報記憶手段、
   故障分類、故障発生日時、故障機器識別情報を格納した故障情報記憶手段、
   工事分類、工事発生日時、工事機器識別情報を格納した工事情報記憶手段、
   ログの遷移を格納するログ遷移記憶手段、
   ログ収集手段、テンプレート・グループ抽出手段、グラフ表示手段、遷移比較手段を有する装置において、
   前記ログ収集手段が、前記監視対象機器からログを収集し、前記ログ記憶手段に格納するログ収集ステップと、
   テンプレート・グループ抽出手段が、前記ログ記憶手段のログから重要される部分（以下、「ログテンプレート」と記す）を抽出し、前記テンプレート情報記憶手段に格納し、該ログテンプレートの同時生起性によりグループ化して前記グループ情報記憶手段に格納するテンプレート・グループ抽出ステップと、
   前記グラフ表示手段が、前記ログ記憶手段、前記テンプレート情報記憶手段、前記グループ情報記憶手段の各情報に基づいて、前記ログ情報を示す情報をリアルタイムに生成するグラフ表示ステップと、
   前記遷移比較手段が、前記故障情報記憶手段、前記工事情報記憶手段、前記ログ記憶手段、前記テンプレート情報記憶手段、前記グループ情報記憶手段の各情報の遷移の生起回数または生起確率を計算し、遷移が発生している情報を抽出し、前記ログ遷移記憶手段に格納し、遷移が発生したログと該ログ遷移記憶手段の遷移を比較し、ログの遷移を表示する遷移比較ステップと、
   を行うことを特徴とするログ分析方法。
6. 前記遷移比較ステップにおいて、
   前記グラフ表示ステップで表示された前記ログ情報のうち、前記ログ遷移記憶手段の過去の遷移とマッチしたものを線分で結び表示するステップと、
   前記ログ遷移記憶手段の過去に発生した遷移と現在のログ情報を比較して、次に発生する可能性のあるログ、あるいは故障及び工事（以下、「イベント」と記す）を予測し、現在のログと関連のあるログを樹形図形式で表示するステップと、
   を行う請求項５記載のログ分析方法。
7. 前記ログ収集ステップにおいて、
   時々刻々と生成されるログを事前に、またはオンラインで収集し、
   前記テンプレート・グループ抽出ステップにおいて、
   収集された前記ログを前記テンプレート及びロググループに紐付け、前記ログ記憶手段に格納し、
   前記グラフ表示ステップにおいて、
   前記ログ記憶手段の情報をグラフ化し、リアルタイムで一画面に表示する
   請求項５記載のログ分析方法。
8. 前記ログ記憶手段に、ログについての優先度または重要度を含む場合に、
   前記遷移比較ステップにおいて、
   前記ログに遷移が発生しており、かつ、該ログの前記優先度または前記重要度が所定の値より大きい場合には重大な故障や重要なイベント紐付くものとしてアラームを利用者端末に対して発出する
   請求項５記載のログ分析方法。

Images