JP6780655B2 - ログ分析システム、方法およびプログラム - Google Patents

Description

本発明は、ログの分析を行うためのログ分析システム、方法およびプログラムに関する。

一般的にコンピュータ上で実行されるシステムにおいては、複数の装置およびプログラムから、イベントの結果やメッセージ等を含むログが出力される。ログ分析システムは、出力されたログの中から所定の基準に従って異常なものを検出し、異常ログとしてユーザ（例えば、オペレータ等）に対して出力する。

異常ログの中には、状況に応じて無視できるものが存在する。そのような場合には、ユーザが画面上に表示された異常ログを参照し、画面から無視の指示を入力する。

あるいは、ログ分析システムは、所定の規則に合致する異常ログを自動的に無視する。このような例として、特許文献１に記載の技術は、ユーザから抽出対象とする処理の指定を受け付け、該処理に該当するエラーログを抽出し、該エラーログに対して該処理について予め定義された解析ルールを用いて解析を行う。これにより、ユーザが指定した特定の処理に係るログを抽出し、それ以外のログについては無視することができる。

特開２００２−２０７６１２号公報

しかしながら、近年のシステムの大型化に伴ってログの数が増大しているため、ユーザが全ての異常ログを参照して個別に無視するか否かの指示を入力することは、大きな負担となる。

また、同一の異常ログが出力されていても、その異常ログが出力された状況（すなわちコンテキスト）によって無視できる場合と無視できない場合が存在する。特許文献１の技術は単純に指定した処理に合致するか否かという規則を用いるため、本来は無視できないコンテキストで出力された異常ログであっても、無視してしまうという問題がある。

異常ログに係るコンテキストには、直前に出力されたログ、性能情報、死活監視情報等の様々な要因が絡み合うため、ユーザが手動でコンテキストを含む規則を定義することは難しい。

本発明は、上述の問題に鑑みて行われたものであって、異常ログが出力された状況に基づいて、異常ログを無視するか否か判定することができるログ分析システム、方法およびプログラムを提供することを目的とする。

本発明の第１の態様は、ログ分析システムであって、過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を記録する記憶部と、判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する判定部と、を備える。

本発明の第２の態様は、ログ分析方法であって、過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程と、を備える。

本発明の第３の態様は、ログ分析プログラムであって、コンピュータに、過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程と、を実行させる。

本発明によれば、判定対象のログが出力された状況を示す情報に基づいて、異常ログを無視するか否か判定することができる。

第１の実施形態に係るログ分析システムのブロック図である。 第１の実施形態に係る分析対象ログの模式図である。 第１の実施形態に係るフォーマットの模式図である。 第１の実施形態に係る異常事例情報の模式図である。 第１の実施形態に係るコンテキスト情報の模式図である。 第１の実施形態に係る対応入力画面を示す模式図である。 第１の実施形態に係る異常事例情報選択画面を示す模式図である。 第１の実施形態に係るログ分析システムの概略構成図である。 第１の実施形態に係るログ分析方法のフローチャートを示す図である。 第２の実施形態に係るログ分析システムのブロック図である。 第３の実施形態に係るログ分析システムのブロック図である。 第４の実施形態に係るログ分析システムのブロック図である。 各実施形態に係るログ分析システムのブロック図である。

以下、図面を参照して、本発明の実施形態を説明するが、本発明は本実施形態に限定されるものではない。なお、以下で説明する図面で、同機能を有するものは同一符号を付け、その繰り返しの説明は省略することもある。

（第１の実施形態）
図１は、本実施形態に係るログ分析システム１００のブロック図である。図１において、矢印は主なデータの流れを示しており、図１に示したもの以外のデータの流れがあってよい。図１において、各ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図１に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受は、データバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてよい。

ログ分析システム１００は、処理部として、ログ入力部１１０、フォーマット判定部１２０、ログ異常分析部１３０、無視判定部１４０、出力部１５０および異常事例登録部１６０を備える。また、ログ分析システム１００は、記憶部として、フォーマット記憶部１７１、モデル記憶部１７２および異常事例情報記憶部１７３を備える。

ログ入力部１１０は、分析対象の期間の分析対象ログ１０を取得し、ログ分析システム１００に入力する。分析対象ログ１０は、ログ分析システム１００の外部から取得されてよく、あるいはログ分析システム１００の内部に予め記録されたものを読み出すことにより取得されてよい。分析対象ログ１０は、１つ以上の装置又はプログラムから出力される１つ以上のログを含む。分析対象ログ１０は、任意のデータ形式（ファイル形式）で表されたログであり、例えばバイナリデータ又はテキストデータでよい。また、分析対象ログ１０はデータベースのテーブルとして記録されてよく、あるいはテキストファイルとして記録されてよい。

図２Ａは、例示的な分析対象ログ１０の模式図である。本実施形態における分析対象ログ１０は、装置又はプログラムから出力される１つのログを１単位とし、１つ以上の任意の数のログを含む。１つのログは１行の文字列でよく、あるいは複数行の文字列でよい。すなわち、分析対象ログ１０は分析対象ログ１０に含まれるログの総体を指し、ログは分析対象ログ１０から抜き出された１つのログを指す。各ログは、タイムスタンプおよびメッセージ等を含む。ログ分析システム１００は、特定の種類のログに限らず、広範な種類のログを分析対象とすることができる。例えば、ｓｙｓｌｏｇ、イベントログ等のオペレーティングシステムやアプリケーションなどから出力されるメッセージを記録するログを分析対象ログ１０として用いることができる。

フォーマット判定部１２０は、変数抽出部であり、分析対象ログ１０に含まれる各ログに対して、フォーマット記憶部１７１に予め記録されているいずれのフォーマットに適合するかを判定し、適合するフォーマットを用いて各ログを変数部分と定数部分とに分離する。フォーマットとは、ログの特性に基づいて予め決められた、ログの形式である。ログの特性は、互いに類似するログ間で変化しやすい又は変化しづらいという性質や、ログ中で変化しやすい部分とみなせる文字列が記載されているという性質を含む。変数部分とはフォーマットの中で変化可能な部分であり、定数部分とはフォーマットの中で変化しない部分である。入力されたログ中の変数部分の値（数値、文字列およびその他のデータを含む）を変数値と呼ぶ。変数部分および定数部分はフォーマット毎に異なる。そのため、あるフォーマットでは変数部分として定義される部分が、別のフォーマットでは定数部分として定義されることや、その逆があり得る。

図２Ｂは、フォーマット記憶部１７１に記録される例示的なフォーマットの模式図である。フォーマットは、一意のＩＤに関連付けられたフォーマットを表す文字列を含む。フォーマットは、ログ中の変化可能な部分に所定の識別子を記載することによって変数部分として規定し、ログ中の変数部分以外の部分を定数部分として規定する。変数部分の識別子として、例えば「＜変数：タイムスタンプ＞」はタイムスタンプを表す変数部分を示し、「＜変数：文字列＞」は任意の文字列を表す変数部分を示し、「＜変数：数値＞」は任意の数値を表す変数部分を示し、「＜変数：ＩＰ＞」は任意のＩＰアドレスを表す変数部分を示す。変数部分の識別子はこれらに限られず、正規表現や、取り得る値のリスト等の任意の方法により定義されてよい。また、フォーマットは変数部分を含まずに定数部分のみによって構成されてよく、あるいは定数部分を含まずに変数部分のみによって構成されてよい。

例えば、フォーマット判定部１２０は、図２Ａの５行目のログを、図２ＢのＩＤが２２３であるフォーマットに適合すると判定する。そして、フォーマット判定部１２０は、判定されたフォーマットに基づいて該ログを処理し、タイムスタンプである「２０１５／０８／１７ ０８：２９：５９」、文字列である「ＳＶ００２」およびＩＰアドレスである「１９２．１６８．１．２３」を変数値として決定する。

図２Ｂにおいて、フォーマットは視認性のために文字列のリストで表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。また、フォーマットはテキストファイルとしてフォーマット記憶部１７１に記録されてよく、あるいはデータベースのテーブルとしてフォーマット記憶部１７１に記録されてよい。

ログ異常分析部１３０は、フォーマット判定部１２０によりフォーマットが判定されたログに対して、モデル記憶部１７２に予め記録されているモデルに基づいて異常か否かを判定する。モデルとは、ログの正常な振る舞いの定義である。モデル記憶部１７２には、１つ以上のモデルが予め記録されている。本実施形態において、モデルは、正常とみなすフォーマットと変数値との組み合わせによって定義される。モデルは、例えばあるフォーマットにおいて数値の変数値が所定の範囲内であること、あるフォーマットにおいて文字列の変数値が登録済のものであること等である。モデルはこれに限られず、任意の定義でよい。

ログ異常分析部１３０は、入力されたログがモデル記憶部１７２中のいずれのモデルにも適合しない場合に該ログは異常であると判定する。一方、ログ異常分析部１３０は、入力されたログがモデル記憶部１７２中のいずれかのモデルに適合する場合に該ログは正常ログであると判定する。

無視判定部１４０は、ログ異常分析部１３０から出力される異常ログに対して、異常事例情報記憶部１７３に記録された異常事例情報に基づいて無視するか否かの判定を行う。異常事例情報は、過去にユーザからの入力に基づいて無視された異常ログが出力された状況（すなわちコンテキスト）を示す情報である。

図３Ａは、例示的な異常事例情報の模式図である。異常事例情報は、一意の識別子である異常事例ＩＤに関連付けられた、フォーマットの識別子であるフォーマットＩＤおよび該フォーマットに適用される変数値を含む。フォーマットＩＤおよび変数値は、無視判定部１４０が判定対象とする異常ログ自身が有する情報である。フォーマットＩＤは異常ログがいずれのフォーマットに該当するかを示し、変数値は異常ログが該フォーマット中で有する具体的な変数値を示す。

さらに、異常事例情報は、異常事例ＩＤに関連付けられた、直前シーケンス、ＣＰＵ使用率、および停止デバイスを含む。直前シーケンス、ＣＰＵ使用率および停止デバイスは、無視判定部１４０が判定対象とする異常ログが出力された環境の情報である。

直前シーケンスは、シーケンス情報であり、異常ログが出力された時刻以前の所定の時間以内（例えば５分以内）に出力されたログのフォーマットＩＤのリストである。シーケンスは、リスト中のフォーマットＩＤの順列又は組み合わせである。図３Ａの異常事例情報は、直前シーケンスとして異常ログの前にフォーマットＩＤが０３９、５８５、５８５のログが順に出現することを示す。ここでシーケンス情報は異常ログ自身のフォーマットＩＤを含まないが、含んでもよい。シーケンス情報は、異常ログが出力された時刻以前のログに限られず、該時刻を基準とした前後の所定の時間以内のログから取得されてよい。また、シーケンス情報は、所定の時間以内のログに限られず、所定の個数（例えば３個）のログから取得されてよい。

ＣＰＵ使用率は、性能情報であり、異常ログが出力された時刻における、該異常ログに関連する装置のＣＰＵの使用率である。図３Ａの異常事例情報は、異常ログが出力された時刻におけるＣＰＵ使用率が３７％であることを示す。異常ログに関連する装置（サーバ、ネットワーク機器、仮想マシン等）は、例えば異常ログを出力した装置、あるいは異常ログを出力した装置に接続された装置である。異常ログに関連する装置が複数存在する場合には、ＣＰＵ使用率として、複数の装置のＣＰＵ使用率の平均値を用いてよく、あるいは複数の装置のＣＰＵ使用率のリストを用いてよい。また、性能情報として、ＣＰＵ使用率に限られず、メモリの使用率、ネットワークの通信量、又はそれらの組み合わせ等、装置の性能に係る任意の情報を用いてよい。

停止デバイスは、死活監視情報であり、異常ログが出力された時刻に停止中の装置又はプログラムのリストである。図３Ａの異常事例情報は、ＳＶ００３の識別子（ここではサーバ名）を有する装置が停止中であることを示す。死活監視情報として、停止デバイスに限られず、実行中の装置又はプログラムのリスト等、装置又はプログラムの稼動状態に係る任意の情報を用いてよい。死活監視情報の対象は、装置に配線又はネットワークを介して接続されている装置、装置間を接続するネットワーク機器、実行中の仮想マシン又はプログラム等の任意の装置又はプログラムでよい。

また、異常事例情報は、フォーマットの出現比率を含んでよい。フォーマットの出現比率は、異常ログが出力された時刻を基準とした所定の時間以内（例えば５分以内）に出力されたログのフォーマットＩＤの割合である。フォーマットの出現比率は異常ログ自身を含んでよく、又は含まなくてよい。例えば図３Ａでは、異常ログが出力された時刻から遡って５分以内における、０３９のフォーマットＩＤが約３３％であり、５８５のフォーマットＩＤが約６６％であるというフォーマットの出現比率を算出することができる。

また、異常事例情報は、シーケンスの出現比率を含んでよい。シーケンスの出現比率は、異常ログが出力された時刻を基準とした所定の時間以内（例えば５分以内）に出力されたログのシーケンス（フォーマットＩＤの順列又は組み合わせ）の割合である。フォーマットの出現比率は異常ログ自身を含んでよく、又は含まなくてよい。例えば図３Ａでは、異常ログが出力された時刻から遡って５分以内における、０３９、５８５のフォーマットＩＤを順に含むシーケンスが５０％であり、５８５、５８５のフォーマットＩＤを順に含むシーケンスが５０％であるというシーケンスの出現比率を算出することができる。

異常事例情報として、これらの情報の全てに限らず、これらの情報のうち少なくとも一部が用いられてよい。

異常事例情報は、後述する異常事例登録部１６０によって、過去にユーザからの入力に基づいて無視された異常ログが出力された状況に基づいて生成され、異常事例情報記憶部１７３に記録される。無視判定部１４０は、このような異常事例情報を用いることによって、異常ログが出力される状況（コンテキスト）に基づいて自動的に無視するか否かの判定を行うことができる。

無視判定部１４０は、判定対象の異常ログが出力される状況を示す情報（コンテキスト情報という）を収集する。図３Ｂは、例示的なコンテキスト情報の模式図である。コンテキスト情報の項目は、上述した過去の異常ログから生成された異常事例情報の項目に対応している。無視判定部１４０は、異常ログを出力する装置、および異常ログに関連する装置から、コンテキスト情報を収集する。

本実施形態に係るコンテキスト情報は、判定対象である異常ログと、該異常ログが出力された時刻以前の所定の時間以内（例えば５分以内）に出力されたログ（直前ログという）とを含む。直前ログは、異常ログが出力された時刻以前のログに限られず、該時刻を基準とした前後の所定の時間以内のログでもよい。なお、各ログの末尾には参考のために括弧書きでフォーマット判定部１２０によって判定されたフォーマットのフォーマットＩＤが付記されているが、フォーマットＩＤ自体はログに含まれない。さらに、本実施形態に係るコンテキスト情報は、異常ログが出力された時刻における該異常ログに関連する装置のＣＰＵ使用率、および該時刻における停止デバイスを含む。

無視判定部１４０は、判定対象の異常ログから生成したコンテキスト情報が、異常事例情報記憶部１７３に記録されたいずれの異常事例情報に類似するかを判定する。本実施形態において、無視判定部１４０は、以下の（１）〜（５）の条件が全て満たされる場合に、コンテキスト情報と異常事例情報とが類似していることを判定する。

（１）コンテキスト情報の異常ログのフォーマットＩＤと、異常事例情報のフォーマットＩＤとが合致すること
具体的には、無視判定部１４０は、コンテキスト情報の異常ログのフォーマットＩＤが、異常事例情報のフォーマットＩＤと同一である場合に、合致していると判定する。
（２）コンテキスト情報の異常ログ中の各変数値と、異常事例情報の各変数値とが類似すること
具体的には、無視判定部１４０は、変数値が文字列のとき、コンテキスト情報の異常ログ中の変数値が、異常事例情報の変数値を基準として所定の規則（例えば末尾の１文字以外が一致すること、あるいは一定の文字列と変化する数字の組み合わせで定義されていること）に合致している場合に、類似していると判定する。また、無視判定部１４０は、変数値が数値のとき、コンテキスト情報の異常ログ中の変数値が、異常事例情報の変数値を基準として所定の範囲内（例えば−１０％〜＋１０％）である場合に、類似していると判定する。
（３）コンテキスト情報の直前ログが、異常事例情報の直前シーケンスに合致すること
具体的には、無視判定部１４０は、コンテキスト情報の直前ログのフォーマットＩＤの順列又は組み合わせが、異常事例情報の直前シーケンスのフォーマットＩＤの順列又は組み合わせと同一である場合に、合致していると判定する。なお、無視判定部１４０は、コンテキスト情報の直前ログの全てではなく、一部が直前シーケンスと同一である場合に合致していると判定してもよい。
（４）コンテキスト情報のＣＰＵ使用率と、異常事例情報のＣＰＵ使用率とが類似すること
具体的には、無視判定部１４０は、コンテキスト情報のＣＰＵ使用率が、異常事例情報のＣＰＵ使用率を基準として所定の範囲内（例えば−１０％〜＋１０％）である場合に、類似していると判定する。
（５）コンテキスト情報の停止デバイスが、異常事例情報の停止デバイスに類似すること
具体的には、無視判定部１４０は、コンテキスト情報の停止デバイスの少なくとも一部が、異常事例情報の停止デバイスと同一である場合に、類似していると判定する。なお、無視判定部１４０は、コンテキスト情報の停止デバイスの一部ではなく、全てが異常事例情報の停止デバイスと同一である場合に類似していると判定してもよい。

無視判定部１４０は、（１）〜（５）の条件の全てではなく、一部が満たされる場合に、コンテキスト情報と異常事例情報とが類似していることを判定してもよい。また、（１）〜（５）の条件に代えて又は加えて、上述のフォーマットの出現比率又はシーケンスの出現比率を条件として用いてもよい。

無視判定部１４０は、判定対象の異常ログから生成したコンテキスト情報が、異常事例情報記憶部１７３に記録されたいずれかの異常事例情報に類似すると判定した場合に、該異常ログを無視する。異常ログを無視することは、出力部１５０からの異常ログの出力等を行わず、ユーザによる対応を求めないことである。一方、無視判定部１４０は、判定対象の異常ログから生成したコンテキスト情報が、異常事例情報記憶部１７３に記録されたいずれの異常事例情報にも類似しないと判定した場合に、出力部１５０に該異常ログを入力する。

出力部１５０は、無視判定部１４０によっていずれの異常事例情報にも類似しないと判定された異常ログの出力を行う。本実施形態において、出力部１５０は表示装置２０に異常ログを出力し、表示装置２０はユーザに向けて異常ログを対応入力画面画像として表示する。出力部１５０は、異常ログとともに、音や光を発生すること、あるいは表示装置２０上での所定のメッセージを表示することによってアラートを出力してもよい。

表示装置２０は、画像を表示するための液晶ディスプレイ、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）ディスプレイ等の表示部を備える。また、表示装置２０は、キーボード、マウス、タッチパネル等の入力装置を備え、ユーザからの入力を受け付ける。そして、表示装置２０は、ユーザにより入力された各異常ログに対する対応内容をログ分析システム１００に入力する。

図４は、表示装置２０を用いる例示的な対応入力画面Ａを示す模式図である。図４に示す対応入力画面Ａは、ログ異常分析部１３０から出力された異常ログＡ１と、各異常ログＡ１に対する対応内容を指定する選択ボックスＡ２と、選択した内容を登録するための設定ボタンＡ３とを含む。選択ボックスＡ２は、異常ログＡ１に対する対応内容として、例えば異常ログＡ１を無視することを示す「無視」、異常ログＡ１に対して何らかの対応を行ったことを示す「対応済」、および対応の判断をまだ行っていないことを示す「保留」を含む。

ユーザは、入力装置を用いて、各異常ログＡ１に対して選択ボックスＡ２上で対応内容を選択した後、設定ボタンＡ３を押下する。その後、ログ分析システム１００は、選択ボックスＡ２上で選択された対応内容を各異常ログＡ１に関連付けて記録する。さらに、選択ボックスＡ２上で選択された対応内容が、異常ログＡ１を無視することを示す場合に、後述する異常事例登録部１６０は該異常ログＡ１に基づいて異常事例情報を生成し、異常事例情報記憶部１７３に登録する。

図４に示す対応入力画面Ａは一例であり、ユーザが異常ログに対する対応内容を入力できれば、いずれの方法を用いてもよい。

異常事例登録部１６０は、ユーザによって無視すると判断された異常ログから異常事例情報を生成し、異常事例情報記憶部１７３に記録する。具体的には、まず異常事例登録部１６０は、判定対象の異常ログに対して、ユーザが入力装置を用いて入力した対応内容を読み取る。ユーザにより入力される対応内容が判定対象の異常ログを無視することを示す場合に、異常事例登録部１６０は、上述の無視判定部１４０と同様の方法で、判定対象の異常ログに係るコンテキスト情報を収集する。異常事例登録部１６０は、収集されたコンテキスト情報に基づいて、異常事例情報を生成し、異常事例情報記憶部１７３に登録する。

例として、異常事例登録部１６０が図３Ｂに示すコンテキスト情報に基づいて図３Ａに示す異常事例情報を生成する方法を以下に説明する。異常事例情報の異常事例ＩＤは、異常事例情報記憶部１７３に未登録の任意の文字列又は数値を取得することにより生成される。異常事例情報のフォーマットＩＤおよび変数値は、フォーマット判定部１２０による判定結果を用いて、コンテキスト情報の異常ログからフォーマットＩＤおよび変数値（ただし、ここではタイムスタンプを除外）を抽出することによって生成される。異常事例情報の直前シーケンスは、フォーマット判定部１２０による判定結果を用いて、コンテキスト情報の直前ログからフォーマットＩＤを抽出することによって生成される。異常事例情報のＣＰＵ使用率および停止デバイスは、コンテキスト情報のＣＰＵ使用率および停止デバイスと同一である。コンテキスト情報に基づいて異常事例情報を生成する方法は、これらに限られず、値を除外すること、値を変換すること、値をパターン化すること等、任意の規則を用いてよい。

また、異常事例登録部１６０は、下記の通りユーザによる入力操作に基づいて異常事例情報を選択してもよい。上述の対応入力画面Ａにおいてユーザによって異常ログを無視するという対応内容が入力された場合、異常事例登録部１６０は、まず、該異常ログに基づき、仮の異常事例情報を生成する。次に、異常事例登録部１６０は、表示装置２０を介して、ユーザに対して仮の異常事例情報を提示する。図５は、表示装置２０を用いる例示的な異常事例情報選択画面Ｂを示す模式図である。図５に示す異常事例情報選択画面Ｂは、異常事例登録部１６０により生成された異常事例情報Ｂ１と、異常事例情報Ｂ１に含まれる各情報（異常ログ、直前ログ、性能情報および死活監視情報）について対応内容を決定する根拠とした情報か否かを選択するチェックボックスＢ２と、選択した内容を登録するための設定ボタンＢ３とを含む。チェックボックスＢ２がオンになっている場合には対応する情報が選択されており、チェックボックスＢ２がオフになっている場合には対応する情報の選択が解除されていることを示す。

ユーザは、異常事例情報選択画面Ｂにおいて対応内容を決定する根拠とした情報を、チェックボックスＢ２を用いて選択し、設定ボタンＢ３を押下する。その後、異常事例登録部１６０は、ユーザの入力に基づいて選択された異常事例情報を異常事例情報記憶部１７３に登録する。例えば、異常事例登録部１６０は、異常事例情報のうち直前ログのみが選択された場合、性能情報や死活監視情報などの選択されなかったその他の情報を、異常事例情報から削除してもよい。あるいは、異常事例登録部１６０は、無視判定部１４０が過去の異常事例と照合を行う際に、前記その他の情報を類似判定の条件としないように異常事例情報中に定義してもよい。

図５に示す異常事例情報選択画面Ｂは一例であり、ユーザが異常事例情報の選択内容を入力できれば、いずれの方法を用いてもよい。例えば、異常ログに含まれる各変数値についてチェックボックスＢ２を設け、ユーザによる選択を受け付けてもよい。また、直前ログに含まれる各ログについてチェックボックスＢ２を設け、ユーザによる選択を受け付けてもよい。

図６は、本実施形態に係るログ分析システム１００の例示的な機器構成を示す概略構成図である。ログ分析システム１００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０１と、メモリ１０２と、記憶装置１０３と、通信インターフェース１０４とを備える。ログ分析システム１００は、表示装置２０に通信インターフェース１０４を介して接続されてよく、あるいは表示装置２０を含んでよい。ログ分析システム１００は独立した装置でよく、あるいは他の装置と一体に構成されてよい。

通信インターフェース１０４は、データの送受信を行う通信部であり、有線通信および無線通信の少なくとも一方の通信方式を実行可能に構成される。通信インターフェース１０４は、該通信方式に必要なプロセッサ、電気回路、アンテナ、接続端子等を含む。通信インターフェース１０４は、ＣＰＵ１０１からの信号に従って、該通信方式を用いてネットワークに接続され、通信を行う。通信インターフェース１０４は、例えば分析対象ログ１０を外部から受信する。

記憶装置１０３は、ログ分析システム１００が実行するプログラムや、プログラムによる処理結果のデータ等を記憶する。記憶装置１０３は、読み取り専用のＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）や、読み書き可能のハードディスクドライブ又はフラッシュメモリ等を含む。また、記憶装置１０３は、ＣＤ−ＲＯＭ等のコンピュータ読取可能な可搬記憶媒体を含んでもよい。メモリ１０２は、ＣＰＵ１０１が処理中のデータや記憶装置１０３から読み出されたプログラムおよびデータを一時的に記憶するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等を含む。

ＣＰＵ１０１は、処理に用いる一時的なデータをメモリ１０２に一時的に記録し、記憶装置１０３に記録されたプログラムを読み出し、該プログラムに従って該一時的なデータに対して種々の演算、制御、判別などの処理動作を実行する処理部としてのプロセッサである。また、ＣＰＵ１０１は、記憶装置１０３に処理結果のデータを記録し、また通信インターフェース１０４を介して処理結果のデータを外部に送信する。

本実施形態においてＣＰＵ１０１は、記憶装置１０３に記録されたプログラムを実行することによって、図１のログ入力部１１０、フォーマット判定部１２０、ログ異常分析部１３０、無視判定部１４０、出力部１５０および異常事例登録部１６０として機能する。また、本実施形態において記憶装置１０３は、図１のフォーマット記憶部１７１、モデル記憶部１７２および異常事例情報記憶部１７３として機能する。

ログ分析システム１００は、図６に示す具体的な構成に限定されない。ログ分析システム１００は、１つの装置に限られず、２つ以上の物理的に分離した装置が有線又は無線で接続されることにより構成されていてもよい。ログ分析システム１００に含まれる各部は、それぞれ電気回路構成により実現されていてもよい。ここで、電気回路構成とは、単一のデバイス、複数のデバイス、チップセット又はクラウドを概念的に含む文言である。

また、ログ分析システム１００の少なくとも一部がＳａａＳ（Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）形式で提供されてよい。すなわち、ログ分析システム１００を実現するための機能の少なくとも一部が、ネットワーク経由で実行されるソフトウェアによって実行されてよい。

図７は、本実施形態に係るログ分析方法のフローチャートを示す図である。まず、フォーマット判定部１２０は分析対象ログ１０に含まれる各ログがフォーマット記憶部１７１に予め記録されているいずれのフォーマットに合致するかを判定し、ログ異常分析部１３０はフォーマットが判定された分析対象ログ１０の各ログに対してモデル記憶部１７２に予め記録されているモデルに基づいて異常か否かを判定する（ステップＳ１０１）。ログ異常分析部１３０は、入力されたログがモデル記憶部１７２中のいずれのモデルにも適合しない場合に該ログは異常ログであると判定する。一方、ログ異常分析部１３０は、入力されたログがモデル記憶部１７２中のいずれかのモデルに適合する場合に該ログは正常ログであると判定する。

以降の処理は、ステップＳ１０１で取得された異常ログの１つ１つを判定対象として行われる。複数の異常ログが並行して処理されてよく、あるいは１つの異常ログの処理が終了した後に別の１つの異常ログが処理されてよい。

無視判定部１４０は、異常事例情報記憶部１７３に記録された異常事例情報に基づいて、判定対象の異常ログが、既知の異常事例に該当するか否かを判定する（ステップＳ１０２）。具体的には、無視判定部１４０は、異常事例情報記憶部１７３に記録された異常事例情報のフォーマットＩＤの中に異常ログのフォーマットＩＤと一致するものが存在する場合に判定対象の異常ログは既知の異常事例に該当すると判定し、そうでない場合に既知の異常事例に該当しないと判定する。また、フォーマットＩＤが一致するか否かに加えて、異常ログ中の変数値が異常事例情報中の変数値に一致又は類似するか否かに基づいて、判定対象の異常ログが既知の異常事例に該当するか否かを判定してもよい。

ステップＳ１０２において判定対象の異常ログが既知の異常事例に該当すると判定された場合には（ステップＳ１０３のＹＥＳ）、無視判定部１４０は、判定対象の異常ログのコンテキスト情報の収集を行う（ステップＳ１０４）。本実施形態において、コンテキスト情報は、異常ログ自身、直前ログ、ＣＰＵ使用率、および停止デバイスを含む。具体的には、無視判定部１４０は、フォーマット判定部１２０によってフォーマットが判定されたログ（すなわち、異常ログおよび正常ログ）のうち、異常ログが出力された時刻から遡って所定の時間以内（例えば５分以内）に出力されたものを直前ログとして取得する。異常ログが出力された時刻は、例えば異常ログ中のタイムスタンプの部分から取得される。また、無視判定部１４０は、不図示の性能情報監視システム（装置又はプログラム）から、異常ログが出力された時刻における異常ログを出力した装置のＣＰＵの使用率をＣＰＵ使用率として取得する。また、無視判定部１４０は、不図示の死活監視システム（装置又はプログラム）から、異常ログが出力された時刻における停止中の装置又はプログラムのリストを、停止デバイスとして取得する。

次に、無視判定部１４０は、異常事例情報記憶部１７３に記録された各異常事例情報と、ステップＳ１０４で取得された異常ログのコンテキスト情報との比較を行う（ステップＳ１０５）。上述のように、無視判定部１４０は、コンテキスト情報の異常ログ、直前ログ、ＣＰＵ使用率、および停止デバイスが、異常事例情報記憶部１７３に記録されたいずれかの異常事例情報に対して所定の条件を満たす場合に、判定対象の異常ログのコンテキスト情報は、該異常事例情報と類似すると判定する。

ステップＳ１０５において判定対象の異常ログのコンテキスト情報が、異常事例情報記憶部１７３に記録されたいずれかの異常事例情報に類似すると判定された場合には（ステップＳ１０６のＹＥＳ）、無視判定部１４０は、判定対象の異常ログを無視する（ステップＳ１０７）。そして、判定対象の異常ログに対する処理は終了する。

ステップＳ１０２において判定対象の異常ログが既知の異常事例に該当しないと判定された場合（ステップＳ１０３のＮＯ）、あるいはステップＳ１０５においてコンテキスト情報が異常事例情報記憶部１７３に記録されたいずれの異常事例情報にも類似しないと判定された場合には（ステップＳ１０６のＮＯ）、出力部１５０は、表示装置２０を用いて、ユーザに対して異常ログを出力する（ステップＳ１０８）。

ユーザはステップＳ１０８で出力された異常ログを参照し、入力装置を用いて対応内容を入力する。ログ分析システム１００は、ユーザから入力された対応内容に応じた対応を行う。例えば、対応内容が「無視」であればその異常ログを無視するものとして表示装置２０上からその異常ログを消去し、「保留」であれば表示装置２０上のその異常ログの表示を継続する。また、ログ分析システム１００は、その他入力された対応内容に応じて所定の処理を行ってよい。

次に、異常事例登録部１６０は、ユーザから入力された対応内容を読み取る（ステップＳ１０９）。そして、ステップＳ１０９で読み取られた対応内容が異常ログの無視を示す場合に（ステップＳ１１０のＹＥＳ）、異常事例登録部１６０は、判定対象の異常ログのコンテキスト情報の収集を行う（ステップＳ１１１）。異常事例登録部１６０は、ステップＳ１１１で収集されたコンテキスト情報に基づいて、異常事例情報を生成し、異常事例情報記憶部１７３に登録する（ステップＳ１１２）。そして、判定対象の異常ログに対する処理は終了する。

ステップＳ１０９で読み取られた対応内容が異常ログの無視以外の対応を示す場合に（ステップＳ１１０のＮＯ）、判定対象の異常ログに対する処理は終了する。

一般的に、同一の種類の異常ログが出力されていても、その異常ログが出力された状況、すなわちコンテキストによって無視できる場合と無視できない場合が存在する。本実施形態に係るログ分析システム１００は、判定対象の異常ログのコンテキスト情報に基づいて、無視するか否かを決定する。そのため、異常ログが出力された状況に応じて、異常ログを自動的に無視することができる。さらに、ログ分析システム１００は、ユーザにより無視された異常ログから異常事例情報を自動的に生成するため、異常ログに係るコンテキスト情報から異常事例情報を容易に定義することができる。

（第２の実施形態）
本実施形態では、異常事例情報を生成する際に、異常ログの出力時以外にも広く発生しているログやシーケンスを異常事例情報の元となるコンテキスト情報から除外する。これにより、異常ログが既知の異常事例か否かの判定に貢献しない情報を用いずに判定を行うことができ、判定の精度を向上させることができる。

図８は、本実施形態に係るログ分析システム２００のブロック図である。ログ分析システム２００は、図１の構成に加えて、処理部である異常事例選別部２８０、および記憶部である判定済ログ記憶部２７４を備える。

判定済ログ記憶部２７４は、フォーマット判定部１２０によりフォーマットが判定されたログ（すなわち、異常ログおよび正常ログ）を逐次記録し、蓄積する。異常事例選別部２８０は、異常事例登録部１６０の前段に設けられ、判定済ログ記憶部２７４に記録されたログに基づいて、異常事例情報の生成のために異常事例登録部１６０に入力される情報を選別する。

具体的には、異常事例選別部２８０は、コンテキスト情報中の直前ログから、判定済ログ記憶部２７４に記録されたログにおいて広く発生しているフォーマットＩＤに該当するものを除外する。広く発生しているフォーマットＩＤは、例えば単位時間あたりの出現数（すなわち出現頻度）が所定の閾値以上であるフォーマットＩＤである。広く発生しているフォーマットＩＤの定義として、その他任意の定義を用いてよい。

別の方法として、異常事例選別部２８０は、コンテキスト情報中の直前ログから、判定済ログ記憶部２７４に記録されたログにおいて広く発生しているシーケンスに該当するものを除外する。広く発生しているシーケンスは、例えば単位時間あたりの出現数が所定の閾値以上である、複数のフォーマットＩＤの順列又は組み合わせである。広く発生しているシーケンスの定義として、その他任意の定義を用いてよい。また、コンテキスト情報から、広く発生しているフォーマットＩＤおよびシーケンスの両方を除外してもよい。

そして、異常事例登録部１６０は、異常事例選別部２８０によって内容が選別されたコンテキスト情報に基づいて、無視された異常ログに係る異常事例情報を生成し、異常事例情報記憶部１７３に登録する。

異常ログの出力時以外にも広く発生しているログのフォーマットおよびシーケンスは、異常とは関係なく出力されるため、異常事例に該当するか否かの判定には貢献せず、むしろ判定の精度を低下させる蓋然性が高い。本実施形態に係るログ分析システム２００において、異常事例登録部１６０は異常ログの出力時以外にも広く発生しているログのフォーマット又はシーケンスが除外された異常事例情報を生成する。そのため、無視判定部１４０は、異常ログの出力時以外にも広く発生しているログのフォーマット又はシーケンスの情報を用いずに、判定対象の異常ログが過去の異常事例に該当するか否か（すなわち、自動的に無視するか否か）を判定することができる。

（第３の実施形態）
本実施形態では、異常事例情報を生成する際に、異常ログに含まれる変数値を含むログ、および異常ログに含まれる変数値に関連する性能情報、死活監視情報のみを用いる。これにより、判定対象の異常ログの内容に直接関係する情報のみを用いて判定を行うことができ、判定の精度を向上させることができる。

図９は、本実施形態に係るログ分析システム３００のブロック図である。ログ分析システム３００は、図１の構成に加えて、処理部である共通変数抽出部３８０を備える。

共通変数抽出部３８０は、異常事例登録部１６０の前段に設けられ、判定対象の異常ログに含まれる変数値に基づいて、異常事例情報の生成のために異常事例登録部１６０に入力される情報を選別する。

具体的には、共通変数抽出部３８０は、フォーマット判定部１２０により判定されたフォーマットに基づいて、判定対象の異常ログから変数値（共通変数値という）を抽出する。このとき、共通変数抽出部３８０は、共通変数値として、全ての変数値を用いてよく、あるいは所定の規則に基づいて選択される一部の変数値を用いてよい。例えば、異常ログ中の変数値の中で、構成要素（サーバ、ネットワーク機器、仮想マシン、アプリケーション等）に係るもののみを用いてよい。

そして、共通変数抽出部３８０は、異常ログが出力された時刻以前の所定の時間以内（例えば５分以内）に出力されたログのうち、共通変数値のいずれかを含むログを、コンテキスト情報中の直前ログとする。直前ログは、異常ログが出力された時刻以前のログに限られず、該時刻を基準とした前後の所定の時間以内のログでもよい。また、共通変数抽出部３８０は、異常ログが出力された時刻における、共通変数値のいずれかに合致する装置の性能情報（例えばＣＰＵ使用率）を、コンテキスト情報中の性能情報とする。また、共通変数抽出部３８０は、異常ログが出力された時刻における、共通変数値のいずれかに合致する装置の死活監視情報（例えば停止デバイス）を、コンテキスト情報中の死活監視情報とする。

そして、異常事例登録部１６０は、共通変数抽出部３８０によって抽出されたコンテキスト情報に基づいて、無視された異常ログに係る異常事例情報を生成し、異常事例情報記憶部１７３に登録する。

本実施形態に係るログ分析システム３００において、異常事例登録部１６０は異常ログに含まれる変数値（共通変数値）を含むログ又は共通変数値に合致する装置の性能情報、死活監視情報のみを用いて、異常事例情報を生成する。そのため、無視判定部１４０は、異常ログに直接関係する情報のみを用いて、判定対象の異常ログが過去の異常事例に該当するか否か（すなわち、自動的に無視するか否か）を判定することができる。

（第４の実施形態）
図１０は、本実施形態に係るログ分析システム４００のブロック図である。ログ分析システム４００は、図１の構成に加えて、フォーマット学習部４９１およびモデル学習部４９２を備える。

フォーマット学習部４９１は、フォーマット判定部１２０がフォーマットの判定を行う際、判定対象のログがフォーマット記憶部１７１に記録されているいずれのフォーマットにも適合しない場合に、新たなフォーマットを作成してフォーマット記憶部１７１に記録する。

フォーマット学習部４９１がフォーマットを学習するための第１の方法として、フォーマット学習部４９１は、フォーマットが未知である複数のログを蓄積し、それらに対して統計的に変化する変数部分と変化しない定数部分とを分離することによって、新たなフォーマットとして定義することができる。フォーマット学習部４９１がフォーマットを学習するための第２の方法として、フォーマット学習部４９１は、既知の変数値のリストを読み込み、フォーマットが未知であるログの中で既知の変数値と一致する又は類似する部分を変数部分と判定し、それ以外の部分を定数部分と判定することによって、新たなフォーマットを定義することができる。既知の変数値として、値そのものを用いてよく、あるいは正規表現のようなパターンを用いてよい。フォーマットの学習方法はこれらに限られず、入力されたログに対して新たなフォーマットを定義することが可能な任意の学習アルゴリズムを用いてよい。

モデル学習部４９２は、ログ異常分析部１３０がモデルの判定を行う際、判定対象のログがモデル記憶部１７２に記録されているいずれのモデルにも適合しない場合に、新たなモデルを作成してモデル記憶部１７２に記録する。

通常、ログ異常分析部１３０はモデル記憶部１７２に予め記録されているいずれのモデルにも適合しないログを異常ログと判定するが、モデルが未知であるログであっても正常ログである場合がある。この場合に、ユーザは入力装置を介してモデル記憶部１７２のモデルに適合しないログが正常ログであるという指示を入力すると、モデル学習部４９２は当該ログのフォーマットおよび変数値に基づいて新たなモデルを作成し、モデル記憶部１７２に記録する。モデルの学習方法はこれに限られず、入力されたログから新たにモデルを定義することが可能な任意の学習アルゴリズムを用いてよい。

以上のように、ログ分析システム４００は、フォーマットおよびモデルの学習部を備えるため、未知のフォーマットおよびモデルを含むログから新たにフォーマットおよびモデルを生成し、記録することができる。

（その他の実施形態）
図１１は、上述の各実施形態に係るログ分析システム１００、２００、３００、４００の概略構成図である。図１１には、ログ分析システム１００、２００、３００、４００が異常事例情報に基づいて判定対象の異常ログを無視するか否かの判定を行う装置として機能するための構成例が示されている。ログ分析システム１００、２００、３００、４００は、過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を記録する記憶部としての異常事例情報記憶部１７３と、判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する判定部としての無視判定部１４０と、を備える。

本発明は、上述の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲において適宜変更可能である。

上述の実施形態の機能を実現するように該実施形態の構成を動作させるプログラム（より具体的には、図７に示す処理をコンピュータに実行させるプログラム）を記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のプログラムが記録された記録媒体はもちろん、そのプログラム自体も各実施形態に含まれる。

該記録媒体としては例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ上で動作して処理を実行するものも各実施形態の範疇に含まれる。

上述の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を記録する記憶部と、
判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する判定部と、
を備えるログ分析システム。

（付記２）
ユーザにより入力された前記判定対象のログに対する対応内容を読み取り、前記対応内容が前記判定対象のログを無視することを示す場合に、前記判定対象のログが出力された状況を示す情報を、前記無視されたログが出力された状況を示す情報として前記記憶部に記録する登録部を備える、付記１に記載のログ分析システム。

（付記３）
前記判定対象のログが、前記判定対象のログの中で変化可能な変数部分と前記判定対象のログの中で変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する形式判定部をさらに備え、
前記判定対象のログが出力された状況を示す情報は、前記判定対象のログの前記形式、および前記判定対象のログ中の前記変数部分の値の少なくとも一方を含む、付記１又は２に記載のログ分析システム。

（付記４）
前記形式判定部は、前記判定対象のログが出力された時刻を基準として所定の時間内に出力された複数のログが、前記予め決められた複数の形式のいずれに合致するか判定するようにさらに構成され、
前記判定対象のログが出力された状況を示す情報は、前記複数のログの前記形式の順列又は組み合わせを含む、付記３に記載のログ分析システム。

（付記５）
前記形式判定部により前記形式が判定されたログを蓄積する判定済ログ記憶部をさらに備え、
前記複数のログの前記形式の順列又は組み合わせから、前記判定済ログ記憶部に蓄積されたログ中に所定の閾値以上の頻度で出現する前記形式を除外する選別部をさらに備える、付記４に記載のログ分析システム。

（付記６）
前記判定対象のログが出力された状況を示す情報から、前記判定対象のログ中の前記変数部分の値を含む情報のみを抽出する抽出部をさらに備える、付記３〜５のいずれか一項に記載のログ分析システム。

（付記７）
前記判定対象のログが出力された状況を示す情報は、前記判定対象のログに関連する装置の性能情報および死活監視情報の少なくとも一方を含む、付記１〜６のいずれか一項に記載のログ分析システム。

（付記８）
過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、
判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程と、
を備えるログ分析方法。

（付記９）
コンピュータに、
過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、
判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程と、
を実行させるログ分析プログラム。

この出願は、２０１５年１２月１４日に出願された日本出願特願２０１５−２４２９４５を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (11)

1. 過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を記録する記憶部と、
   判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する判定部と、
   前記判定対象のログが、前記判定対象のログの中で変化可能な変数部分と前記判定対象のログの中で変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する形式判定部とを備え、
   前記判定対象のログが出力された状況を示す情報は、前記判定対象のログの前記形式、および前記判定対象のログ中の前記変数部分の値の少なくとも一方を含み、
   前記形式判定部は、前記判定対象のログが出力された時刻を基準として所定の時間内に出力された複数のログが、前記予め決められた複数の形式のいずれに合致するか判定するようにさらに構成され、
   前記判定対象のログが出力された状況を示す情報は、前記複数のログの前記形式の順列又は組み合わせを含む、ログ分析システム。
2. ユーザにより入力された前記判定対象のログに対する対応内容を読み取り、前記対応内容が前記判定対象のログを無視することを示す場合に、前記判定対象のログが出力された状況を示す情報を、前記無視されたログが出力された状況を示す情報として前記記憶部に記録する登録部を備える、請求項１に記載のログ分析システム。
3. 前記形式判定部により前記形式が判定されたログを蓄積する判定済ログ記憶部をさらに備え、
   前記複数のログの前記形式の順列又は組み合わせから、前記判定済ログ記憶部に蓄積されたログ中に所定の閾値以上の頻度で出現する前記形式を除外する選別部をさらに備える、請求項１に記載のログ分析システム。
4. 過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を記録する記憶部と、
   判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する判定部と、
   前記判定対象のログが、前記判定対象のログの中で変化可能な変数部分と前記判定対象のログの中で変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する形式判定部とを備え、
   前記判定対象のログが出力された状況を示す情報は、前記判定対象のログの前記形式、および前記判定対象のログ中の前記変数部分の値の少なくとも一方を含み、
   前記判定対象のログが出力された状況を示す情報から、前記判定対象のログ中の前記変数部分の値を含む情報のみを抽出する抽出部をさらに備える、ログ分析システム。
5. 過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を記録する記憶部と、
   判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する判定部とを備え、
   前記判定対象のログが出力された状況を示す情報は、前記判定対象のログに関連する装置の性能情報および死活監視情報の少なくとも一方を含む、ログ分析システム。
6. 過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、
   判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程と、
   前記判定対象のログが、前記判定対象のログの中で変化可能な変数部分と前記判定対象のログの中で変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する工程とを備え、
   前記判定対象のログが出力された状況を示す情報は、前記判定対象のログの前記形式、および前記判定対象のログ中の前記変数部分の値の少なくとも一方を含み、
   前記形式を判定する工程は、前記判定対象のログが出力された時刻を基準として所定の時間内に出力された複数のログが、前記予め決められた複数の形式のいずれに合致するか判定し、
   前記判定対象のログが出力された状況を示す情報は、前記複数のログの前記形式の順列又は組み合わせを含む、ログ分析方法。
7. 過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、
   判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程と、
   前記判定対象のログが、前記判定対象のログの中で変化可能な変数部分と前記判定対象のログの中で変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する工程とを備え、
   前記判定対象のログが出力された状況を示す情報は、前記判定対象のログの前記形式、および前記判定対象のログ中の前記変数部分の値の少なくとも一方を含み、
   前記判定対象のログが出力された状況を示す情報から、前記判定対象のログ中の前記変数部分の値を含む情報のみを抽出する工程をさらに備える、ログ分析方法。
8. 過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、
   判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程とを備え、
   前記判定対象のログが出力された状況を示す情報は、前記判定対象のログに関連する装置の性能情報および死活監視情報の少なくとも一方を含む、ログ分析方法。
9. コンピュータに、
   過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、
   判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程と、
   前記判定対象のログが、前記判定対象のログの中で変化可能な変数部分と前記判定対象のログの中で変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する工程と、
   を実行させ、
   前記判定対象のログが出力された状況を示す情報は、前記判定対象のログの前記形式、および前記判定対象のログ中の前記変数部分の値の少なくとも一方を含み、
   前記形式を判定する工程は、前記判定対象のログが出力された時刻を基準として所定の時間内に出力された複数のログが、前記予め決められた複数の形式のいずれに合致するか判定し、
   前記判定対象のログが出力された状況を示す情報は、前記複数のログの前記形式の順列又は組み合わせを含む、ログ分析プログラム。
10. コンピュータに、
    過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、
    判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程と、
    前記判定対象のログが、前記判定対象のログの中で変化可能な変数部分と前記判定対象のログの中で変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する工程と、
    を実行させ、
    前記判定対象のログが出力された状況を示す情報は、前記判定対象のログの前記形式、および前記判定対象のログ中の前記変数部分の値の少なくとも一方を含み、
    前記判定対象のログが出力された状況を示す情報から、前記判定対象のログ中の前記変数部分の値を含む情報のみを抽出する工程をさらに実行させるログ分析プログラム。
11. コンピュータに、
    過去にユーザからの入力に基づいて無視されたログが出力された状況を示す情報を読み出す工程と、
    判定対象のログが出力された状況を示す情報が、前記無視されたログが出力された状況を示す情報に類似する場合に、前記判定対象のログを無視することを判定する工程と、
    を実行させ、
    前記判定対象のログが出力された状況を示す情報は、前記判定対象のログに関連する装置の性能情報および死活監視情報の少なくとも一方を含む、ログ分析プログラム。

Images