(57)【要約】      （修正有）【課題】構文パターンが未定義であるログメッセージの構文定義情報の定義を自動で行うことで、ログの分析を効率的に確実に行うことを可能とするログ管理装置を提供する。【解決手段】ナレッジ記憶手段に、定型文字列と変数名の組である、構成要素を複数格納し、定義記憶手段に、構成要素の並び順である構文パターンとその識別子を含む構文定義を複数記憶し、分析手段は、定型文字列と値の組を含むログメッセージを入力して、定型文字列の並びがログメッセージと一致する構文パターンを、定義記憶手段から検索し、変数名に対応する値をログメッセージから抽出し、構文パターンの識別子と共に出力する。並びが一致する構文パターンが無いとき、定義手段は、ログメッセージ内の定型文字列を含む構成要素を、定型文字列の並びでナレッジ記憶手段から抽出し、新たな構文パターンの構文定義を作成して、定義記憶手段に格納する。【選択図】図１
2014191799.tif 000002
【特許請求の範囲】
【請求項１】
定型文字列と変数名の組である、構成要素を複数格納するナレッジ記憶手段と、
前記構成要素の並び順である構文パターンと前記構文パターンの識別子を含む構文定義を複数記憶する定義記憶手段と、
システム内の電子機器が出力し、前記定型文字列と値の組を含むログメッセージを入力して、前記ログメッセージに含まれる前記定型文字列の並びと、前記構文パターンに含まれる前記構成要素の前記定型文字列の並びが一致する前記構文パターンを、前記定義記憶手段から検索し、当該構文パターンに含まれる前記構成要素の前記変数名に対応する値を前記ログメッセージから抽出し、当該構文パターンの識別子と共に出力する分析手段と、
前記並びが一致する構文パターンが検索できないとき、前記ログメッセージに含まれる前記定型文字列を含む前記構成要素を、前記定型文字列の並びに従って、前記ナレッジ記憶手段から抽出して、新たな構文パターン対応に前記構文定義を作成して、前記定義記憶手段に格納する定義手段と、
を備えるログ管理装置。
【請求項２】
前記ナレッジ記憶手段は、前記構成要素と前記電子機器の種別の識別情報を対応付けて記憶し、
前記定義手段は、前記ログメッセージの出力元と、前記電子機器の種別の識別情報が一致する前記構成要素を、前記ナレッジ記憶手段から抽出する、
請求項１のログ管理装置。
【請求項３】
前記ログメッセージに含まれる前記定型文字列を含む前記構成要素が、前記ナレッジ記憶手段に未登録である場合、前記変数名を生成して、前記定型文字列とともに、新たな前記構成要素として前記ナレッジ記憶手段に格納するナレッジ登録手段
をさらに備える、請求項１乃至２のログ管理装置。
【請求項４】
請求項１乃至３のログ管理装置と、前記電子機器を包含する、ログ管理システム。
【請求項５】
定型文字列と変数名の組である、構成要素をナレッジ記憶域に複数格納し、
前記構成要素の並び順である構文パターンと前記構文パターンの識別子を含む構文定義を定義記憶域に複数記憶し、
システム内の電子機器が出力し、前記定型文字列と値の組を含むログメッセージを入力して、前記ログメッセージに含まれる前記定型文字列の並びと、前記構文パターンに含まれる前記構成要素の前記定型文字列の並びが一致する前記構文パターンを、前記定義記憶域から検索し、当該構文パターンに含まれる前記構成要素の前記変数名に対応する値を前記ログメッセージから抽出し、当該構文パターンの識別子と共に出力し、
前記並びが一致する構文パターンが検索できないとき、前記ログメッセージに含まれる前記定型文字列を含む前記構成要素を、前記定型文字列の並びに従って、前記ナレッジ記憶域から抽出して、新たな構文パターン対応に前記構文定義を作成して、前記定義記憶域に格納する、
ログ管理方法。
【請求項６】
前記構成要素と前記電子機器の種別の識別情報を対応付けて前記ナレッジ記憶域に記憶し、
前記ログメッセージの出力元と、前記電子機器の種別の識別情報が一致する前記構成要素を、前記ナレッジ記憶域から抽出する、
請求項５のログ管理方法。
【請求項７】
前記ログメッセージに含まれる前記定型文字列を含む前記構成要素が、前記ナレッジ記憶域に未登録である場合、前記変数名を生成して、前記定型文字列とともに、新たな前記構成要素として前記ナレッジ記憶域に格納する、
請求項５乃至６のログ管理方法。
【請求項８】
定型文字列と変数名の組である、構成要素をナレッジ記憶域に複数格納するナレッジ記憶処理と、
前記構成要素の並び順である構文パターンと前記構文パターンの識別子を含む構文定義を定義記憶域に複数記憶する定義記憶処理と、
システム内の電子機器が出力し、前記定型文字列と値の組を含むログメッセージを入力して、前記ログメッセージに含まれる前記定型文字列の並びと、前記構文パターンに含まれる前記構成要素の前記定型文字列の並びが一致する前記構文パターンを、前記定義記憶域から検索し、当該構文パターンに含まれる前記構成要素の前記変数名に対応する値を前記ログメッセージから抽出し、当該構文パターンの識別子と共に出力する分析処理と、
前記並びが一致する構文パターンが検索できないとき、前記ログメッセージに含まれる前記定型文字列を含む前記構成要素を、前記定型文字列の並びに従って、前記ナレッジ記憶域から抽出して、新たな構文パターン対応に前記構文定義を作成して、前記定義記憶域に格納する定義処理と、
をコンピュータに実行させるログ管理プログラム。
【請求項９】
前記構成要素と前記電子機器の種別の識別情報を対応付けて前記ナレッジ記憶域に記憶する前記ナレッジ記憶処理と、
前記ログメッセージの出力元と、前記電子機器の種別の識別情報が一致する前記構成要素を、前記ナレッジ記憶域から抽出する前記定義処置と、
をコンピュータに実行させる請求項８のログ管理プログラム。
【請求項１０】
前記ログメッセージに含まれる前記定型文字列を含む前記構成要素が、前記ナレッジ記憶域に未登録である場合、前記変数名を生成して、前記定型文字列とともに、新たな前記構成要素として前記ナレッジ記憶域に格納するナレッジ登録処理
をコンピュータに実行させる請求項８乃至９のログ管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本願発明は、ログメッセージの分析に必要なログメッセージの構文定義を行うためのログ管理装置、ログ管理システム、ログ管理方法、及び、ログ管理プログラムに関する。
【背景技術】
【０００２】
データセンターに代表される近年のコンピュータシステムの大規模化に伴い、コンピュータシステムが包含する電子機器の種類や数が増加し、各電子機器から出力されるログメッセージも多種多様で膨大なものになってきている。また、同時に、これらコンピュータシステムに要求される可用性のレベルも高まってきていることもあり、多種多様で膨大なログメッセージを効率よく収集し分析するための技術が求められている。
【０００３】
このような技術として、特許文献１には、監視対象機器において障害発生時に生成されるログ情報から、予め定められた障害メッセージに合致する情報を特定して収集すると共に、予め定められた検索用語を含むログ情報を特定して収集するようにしたシステムが公開されている。
【０００４】
また、特許文献２には、複数種類のフォーマットのログメッセージに対して、ログデータ送信装置側でフォーマット変換を行い、フォーマットが統一されたログデータをデータ収集装置に送信するようにした装置が公開されている。
【０００５】
また、特許文献３には、障害発生時に複数ベンダの製品が出力するログ情報を収集し、それらを時系列で整理し、製品毎に定められた重要度ではなく、業務システム全体としての重要度の基準に従ってログ情報を整理し、発生した障害の本質的な原因とその対策方法をレポートとして生成するようにしたシステムが公開されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開2011-203911号公報
【特許文献２】特開2009-9448号公報
【特許文献３】特開2003-216457号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
電子機器から出力されるログメッセージを、ログメッセージの分析装置が分析するためには、ログメッセージから、時刻、ホスト名、ディレクトリ名、コマンド種別等の各種情報を抽出することが必要である。そして、前述の情報の抽出を行うためには、ログメッセージの構文パターンを定義した構文定義情報を準備しておき、ログメッセージを構文定義情報と照合することで可能となる。
【０００８】
電子機器上で動作するオペレーティングシステムや、ファームウェアや、アプリケーションソフトウェア等が更新された場合、当該電子機器が新しい仕様のログメッセージを出力するようになる場合がある。このとき、ログメッセージの分析装置は、構文定義情報が未定義のログメッセージを受信することになり、前述の各種情報を抽出することができなくなるため、ログメッセージの分析を行うことができなくなる。
【０００９】
昨今の大規模コンピュータシステムにおいて、未定義の構文定義情報の新規追加作業を手動で行うことは非効率的であり、多大な作業コストが発生する問題が生じる。前述の特許文献１乃至３は、上述の問題を解決するためのものではない。
【００１０】
本願発明の目的は、上述の問題を解決した、ログ管理装置、ログ管理システム、ログ管理方法、及び、ログ管理プログラムを提供することである。
【課題を解決するための手段】
【００１１】
本願発明の一実施形態のログ管理装置は、定型文字列と変数名の組である、構成要素を複数格納するナレッジ記憶手段と、前記構成要素の並び順である構文パターンと前記構文パターンの識別子を含む構文定義を複数記憶する定義記憶手段と、システム内の電子機器が出力し、前記定型文字列と値の組を含むログメッセージを入力して、前記ログメッセージに含まれる前記定型文字列の並びと、前記構文パターンに含まれる前記構成要素の前記定型文字列の並びが一致する前記構文パターンを、前記定義記憶手段から検索し、当該構文パターンに含まれる前記構成要素の前記変数名に対応する値を前記ログメッセージから抽出し、当該構文パターンの識別子と共に出力する分析手段と、前記並びが一致する構文パターンが検索できないとき、前記ログメッセージに含まれる前記定型文字列を含む前記構成要素を、前記定型文字列の並びに従って、前記ナレッジ記憶手段から抽出して、新たな構文パターン対応に前記構文定義を作成して、前記定義記憶手段に格納する定義手段と、を備える。
【００１２】
本願発明の一実施形態のログ管理方法は、定型文字列と変数名の組である、構成要素をナレッジ記憶域に複数格納し、前記構成要素の並び順である構文パターンと前記構文パターンの識別子を含む構文定義を定義記憶域に複数記憶し、システム内の電子機器が出力し、前記定型文字列と値の組を含むログメッセージを入力して、前記ログメッセージに含まれる前記定型文字列の並びと、前記構文パターンに含まれる前記構成要素の前記定型文字列の並びが一致する前記構文パターンを、前記定義記憶域から検索し、当該構文パターンに含まれる前記構成要素の前記変数名に対応する値を前記ログメッセージから抽出し、当該構文パターンの識別子と共に出力し、前記並びが一致する構文パターンが検索できないとき、前記ログメッセージに含まれる前記定型文字列を含む前記構成要素を、前記定型文字列の並びに従って、前記ナレッジ記憶域から抽出して、新たな構文パターン対応に前記構文定義を作成して、前記定義記憶域に格納する。
【００１３】
本願発明の一実施形態のログ管理プログラムは、定型文字列と変数名の組である、構成要素をナレッジ記憶域に複数格納するナレッジ記憶処理と、前記構成要素の並び順である構文パターンと前記構文パターンの識別子を含む構文定義を定義記憶域に複数記憶する定義記憶処理と、システム内の電子機器が出力し、前記定型文字列と値の組を含むログメッセージを入力して、前記ログメッセージに含まれる前記定型文字列の並びと、前記構文パターンに含まれる前記構成要素の前記定型文字列の並びが一致する前記構文パターンを、前記定義記憶域から検索し、当該構文パターンに含まれる前記構成要素の前記変数名に対応する値を前記ログメッセージから抽出し、当該構文パターンの識別子と共に出力する分析処理と、前記並びが一致する構文パターンが検索できないとき、前記ログメッセージに含まれる前記定型文字列を含む前記構成要素を、前記定型文字列の並びに従って、前記ナレッジ記憶域から抽出して、新たな構文パターン対応に前記構文定義を作成して、前記定義記憶域に格納する定義処理と、をコンピュータに実行させる。
【発明の効果】
【００１４】
本願発明は、ログメッセージが包含するログ構成要素の部品情報を登録したナレッジを基に、構文パターンが未登録であるログメッセージの構文パターンの構文定義情報への新規登録を自動で行うことで、ログの分析を効率的に確実に行うことを可能とする。
【図面の簡単な説明】
【００１５】
【図１】本願発明の第１の実施形態のログ管理システムの構成を示すブロック図である。
【図２】本願発明の第１実施形態の動作を示すフローチャートである。
【図３】本願発明の第１の実施形態におけるログメッセージ構文定義情報の構成例である。
【図４】本願発明の第１の実施形態におけるログ構成要素部品情報の構成例である。
【図５】本願発明の第２の実施形態のログ管理装置の構成を示すブロック図である。
【発明を実施するための形態】
【００１６】
本願発明の第１の実施の形態について図面を参照して詳細に説明する。
【００１７】
図１は本実施形態のログ管理システム１の構成を示すブロック図である。本実施形態のログ管理システム１は、ログ管理装置１０と、電子機器２０−１乃至２０−ｎと、を包含している。
【００１８】
ログ管理装置１０は、電子機器２０−１乃至２０−ｎから出力されるログメッセージを受信して、ログメッセージの分析を行う。ログ管理装置１０は、ナレッジ記憶部１１と、定義記憶部１２と、定義部１３と、分析部１４と、ナレッジ登録部１５と、ログメッセージ記憶部１６と、を包含している。定義部１３と、分析部１４と、ナレッジ登録部１５は、電子回路の場合もあれば、コンピュータプログラムの場合もある。ナレッジ記憶部１１と、定義記憶部１２と、ログメッセージ記憶部１６は、電子回路、あるいは、コンピュータプログラムによりアクセス制御される磁気ディスク等の電子デバイスである。
【００１９】
ログメッセージ記憶部１６は、電子装置２０−１乃至２０−ｎから出力されたログメッセージを格納する。
【００２０】
定義記憶部１２は、電子装置２０−１乃至２０−ｎから出力されるログメッセージの構文パターンを定義したログメッセージ構文定義情報１２０を記憶している。ログメッセージ構文定義情報１２０は、ログメッセージを所定の区切り文字を基準として区切った一部分であって、定型文字列、あるいは、変数の値の少なくともいずれかを包含するログ構成要素について、当該変数の値を当該変数の名称に置き換えて表記したログ構成要素部品の並びで、ログメッセージの構文パターンを定義した情報である。ログメッセージ構文定義情報１２０の構成例を図３に示す。
【００２１】
ログメッセージ構文定義情報１２０は、複数のフレーム定義１２０−１、１２０−２等を包含している。各フレーム定義は識別子が付与されており、例えば、フレーム定義１２０−１、及び、１２０−２の識別子は、それぞれ、１、及び、２である。各フレーム定義は、複数のパラメータ定義を包含しており、例えばフレーム定義１２０−１は、パラメータ定義１２０−１−１、１２０−１−２等を包含し、フレーム定義１２０−２は、パラメータ定義１２０−２−１等を包含している。
【００２２】
フレーム定義は、ログメッセージの全体的な構文パターンを定義した情報であり、例えば、電子装置２０−１乃至２０−ｎの中で、同じＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）が動作している電子装置が出力するログメッセージで共通的な構文パターンの定義情報である。図３の例の場合、フレーム定義１２０−１は、ログ構成要素部品である、“＜ｔｉｍｅｓｔａｍｐ＞”、“＜ｈｏｓｔｎａｍｅ＞”、“ｓｕｄｕ”、“＜ｕｓｅｒｎａｍｅ＞”、及び、“＜ｐａｒａｍｅｔｅｒ＞”を包含している。
【００２３】
“＜ｔｉｍｅｓｔａｍｐ＞”はログメッセージの日時情報、“＜ｈｏｓｔｎａｍｅ＞”は、ログメッセージを出力した電子機器のホスト名の情報、“＜ｕｓｅｒｎａｍｅ＞”はログメッセージを出力したユーザ名の情報である。“ｓｕｄｏ”はログメッセージを出力したエージェントが特権実行コマンドであることを示している。“＜ｐａｒａｍｅｔｅｒ＞”は、パラメータ定義で詳細が定義される情報である。
【００２４】
上述のログ構成要素部品において、“＜＞”で囲まれた部分は変数であり、“＜＞”内の文字列は変数の名称である。したがって、フレーム定義１２０−１により構文パターンが定義されるログメッセージにおいては、“＜ｔｉｍｅｓｔａｍｐ＞”、“＜ｈｏｓｔｎａｍｅ＞”、及び、“＜ｕｓｅｒｎａｍｅ＞”の部分には、それぞれ、ログメッセージごとに変化する日時、ホスト名、及び、ユーザ名の値が入ることになる。
【００２５】
パラメータ定義は、フレーム定義における、“＜ｐａｒａｍｅｔｅｒ＞”の部分の詳細を定義した情報であり、電子機器２０−１乃至２０−ｎにおいて発生した事象の種別等により構文パターンが異なるログメッセージの構文パターンを定義している。各パラメータ定義も、フレーム定義と同様に識別子が付与されており、例えば、パラメータ定義１２０−１−１、及び、１２０−１−２の識別子は、それぞれ、１−１、及び、１−２である。
【００２６】
図３の例の場合、パラメータ定義１２０−１−１は、ログ構成要素部品である、“ｃｏｍｍａｎｄ  ｎｏｔ  ａｌｌｏｗｅｄ”、“ＴＴＹ＝＜ｉｎｔｅｒｆａｃｅ＞”、“ＰＷＤ＝＜ｄｉｒｅｃｔｏｒｙ＞”、“ＲＵＮＡＳ＝＜ｅｘｅｃｕｔｅ＿ｕｓｅｒ＞”、及び、“ＣＯＭＭＡＮＤ＝＜ａｃｔｉｏｎ＞”を包含している。
【００２７】
上述のログ構成要素部品のうち、“ｃｏｍｍａｎｄ  ｎｏｔ  ａｌｌｏｗｅｄ”は、定型文字列のみで構成され、その他のものは、定型文字列と変数とで構成されたものである。パラメータ定義１２０−１−１により構文パターンが定義されるログメッセージにおいては、“＜ｉｎｔｅｒｆａｃｅ＞”、“＜ｄｉｒｅｃｔｏｒｙ＞”、“＜ｅｘｅｃｕｔｅ＿ｕｓｅｒ＞”、及び、“＜ａｃｔｉｏｎ＞”の部分には、ぞれぞれ、ログメッセージごとに変化するインタフェース名、ディレクトリ名、実行ユーザ名、及び、アクション名の値が入ることになる。
【００２８】
ナレッジ記憶部１１は、電子装置２０−１乃至２０−ｎから出力されるログメッセージが包含する可能性があるログ構成要素に対応したログ構成要素部品の情報であるログ構成要素部品情報１１０を記憶している。ログ構成要素部品情報１１０は、部品番号１１１と、ログ構成要素部品１１２と、機種種別１１３の項目を包含している。
【００２９】
機種種別１１３は、ログ構成要素部品１１２に対応するログ構成要素を包含するログメッセージを出力する電子機器２０−１乃至２０−ｎの種別を示す情報であり、例えば、ＯＳがＵＮＩＸ（登録商標）のサーバ装置、ＯＳがＷｉｎｄｏｗｓ（登録商標）のサーバ装置、ネットワークスイッチ機器等を区別する。複数の機種の電子機器に対応するログ構成要素部品の機種種別１１３は、複数の機種種別の情報を包含する。図４の例の場合、例えば、部品番号が２のログ構成要素部品は、Ａ乃至Ｂの２つの機種種別の電子機器から出力されるログメッセージのログ構成要素に対応している。
【００３０】
定義部１３は、電子機器２０−１乃至２０−ｎのいずれかから受信したログメッセージの構文パターンを、定義記憶部１２におけるログメッセージ構文定義情報１２０と照合し、ログメッセージの構文パターンがログメッセージ構文定義情報１２０に登録済みであるかどうかを確認する。定義部１３が、ログメッセージサンプル１を受信したときの上述の照合動作の詳細を以下に説明する。
（ログメッセージサンプル１）
Ｍａｙ  ８  １７：２４：２２  Ｈｏｓｔ１  ｓｕｄｏ：  ｕｓｅｒ１：  ｃｏｍｍａｎｄ  ｎｏｔ  ａｌｌｏｗｅｄ；  ＴＴＹ＝ｐｔｓ／０；  ＰＷＤ＝／ｐｒｏｄ／ｈｏｍｅ０１；  ＲＵＮＡＳ＝ｗｌｕｓｒ；  ＣＯＭＭＡＮＤ＝／ｕｓｒ／ｂｉｎ／ｋｓｈ；
定義部１３は、まず、ログメッセージサンプル１とログメッセージ構文定義情報１２０のフレーム定義の照合を行う。定義部１３は、日時情報、ホスト名の情報、ユーザ名の情報を所定の基準でログメッセージから抽出する仕組みを実装しており、ログメッセージサンプル１の構文パターンが、フレーム定義１２０−１と一致することを確認する。この場合、フレーム定義１２０−１における変数の“＜ｔｉｍｅｓｔａｍｐ＞”、“＜ｈｏｓｔｎａｍｅ＞”、及び、＜ｕｓｅｒｎａｍｅ＞”の値は、それぞれ、“Ｍａｙ  ８  １７：２４：２２”、“Ｈｏｓｔ１”、及び、“ｕｓｅｒ１”となる。
【００３１】
定義部１３は、次に、ログメッセージサンプル１とログメッセージ構文定義情報１２０のパラメータ定義の照合を行う。定義部１３は、パラメータ定義の照合においては、ログメッセージに含まれる定型文字列の並びが一致するパラメータ定義を、ログメッセージ構文定義情報１２０から検索する。
【００３２】
定義部１３は、ログメッセージサンプル１の構文パターンが、パラメータ定義１２０−１−１と一致することを確認する。この場合、パラメータ定義１２０−１−１における変数の“＜ｉｎｔｅｒｆａｃｅ＞”、“＜ｄｉｒｅｃｔｏｒｙ＞”、“＜ｅｘｅｃｕｔｅ＿ｕｓｅｒ＞”、及び、“＜ａｃｔｉｏｎ＞”の値は、それぞれ、“ｐｔｓ／０”、“／ｐｒｏｄ／ｈｏｍｅ０１”、“ｗｌｕｓｒ”、及び、“／ｕｓｒ／ｂｉｎ／ｋｓｈ”となる。
【００３３】
次に、定義部１３が、ログメッセージサンプル２を受信したときの上述の照合動作の詳細を以下に説明する。
（ログメッセージサンプル２）
Ｍａｙ  ８  １７：２４：２２  Ｈｏｓｔ１  ｓｕｄｏ：  ｕｓｅｒ１：  ｃｏｍｍａｎｄ  ｎｏｔ  ａｌｌｏｗｅｄ；  ＴＴＹ＝ｐｔｓ／０；  ＰＷＤ＝／ｐｒｏｄ／ｈｏｍｅ０１；  ＵＳＥＲ＝ｒｏｏｔ；  ＣＯＭＭＡＮＤ＝／ｕｓｒ／ｂｉｎ／ｋｓｈ；
定義部１３は、ログメッセージサンプル２とログメッセージ構文定義情報１２０を照合し、ログメッセージサンプル２の構文パターンが、フレーム定義１２０−１とは一致するが、パラメータ定義１２０−１−１とは、“ＵＳＥＲ＝ｒｏｏｔ”のログ構成要素で一致せず、フレーム定義１２０−１に包含される他のパラメータ定義とも一致しないことを確認する。
【００３４】
定義部１３は、ナレッジ記憶部１１におけるログ構成要素部品情報１１０において、機器種別１１３がログメッセージサンプル２の出力元の電子機器の種別の情報を含むレコードの中から、ログメッセージサンプル２が包含するログ構成要素に対応するログ構成要素部品の情報を抽出する。
【００３５】
定義部１３は、ログメッセージサンプル２が包含するログ構成要素の定型文字列の部分が一致するログ構成要素部品を、ログ構成要素部品情報１１０から抽出する。定義部１３は、ログメッセージサンプル２と図４の例の場合、ログ構成要素部品情報１１０から、部品番号１１１が、１、２、３、６、及び、５のレコードのログ構成要素部品１１２の情報を順番に抽出する。定義部１３は、ログ構成要素部品を前述の順番で並べ、各ログ構成要素部品の後ろに、区切り文字である“；”を挿入して記述したパラメータ定義を生成する。
【００３６】
定義部１３は、生成したパラメータ定義を、フレーム定義１２０−１に包含されるパラメータ定義として、ログメッセージ構文定義情報１２０へ新規登録する。上述のログメッセージサンプル２への対応で定義部１３が生成したパラメータ定義は、以下のものである。
ＰＡＲＡＭＥＴＥＲ＝“ｃｏｍｍａｎｄ  ｎｏｔ  ａｌｌｏｗｅｄ；  ＴＴＹ＝＜ｉｎｔｅｒｆａｃｅ＞；  ＰＷＤ＝＜ｄｉｒｅｃｔｏｒｙ＞；  ＵＳＥＲ＝＜ｅｘｅｃｕｔｅ＿ｕｓｅｒ＞；  ＣＯＭＭＡＮＤ＝＜ａｃｔｉｏｎ＞；”
次に、定義部１３が、ログメッセージサンプル３を受信したときの上述の照合動作の詳細を以下に説明する。
（ログメッセージサンプル３）
Ｍａｙ  ８  １７：２４：２２  Ｈｏｓｔ１  ｓｕｄｏ：  ｕｓｅｒ１：  ｃｏｍｍａｎｄ  ｎｏｔ  ａｌｌｏｗｅｄ；  ＴＴＹ＝ｐｔｓ／０；  ＰＷＤ＝／ｐｒｏｄ／ｈｏｍｅ０１；  ＲＵＮＡＳ＝ｗｌｕｓｒ；  ＣＯＭＭＡＮＤ＝／ｕｓｒ／ｂｉｎ／ｋｓｈ；  ＣＬＡＳＳ＝０；
定義部１３は、ログメッセージサンプル３とログメッセージ構文定義情報１２０を照合し、ログメッセージサンプル３の構文パターンが、フレーム定義１２０−１とは一致するが、パラメータ定義１２０−１−１とは、“ＣＬＡＳＳ＝０”のログ構成要素で一致せず、フレーム定義１２０−１に包含される他のパラメータ定義とも一致しないことを確認する。
【００３７】
定義部１３は、ログメッセージサンプル３が包含するログ構成要素の定型文字列の部分が一致するログ構成要素部品を、ログ構成要素部品情報１１０から抽出しようとするが、“ＣＬＡＳＳ＝０”のログ構成要素に対応するログ構成要素部品は、ログ構成要素部品情報１１０に登録されていない。
【００３８】
定義部１３は、“ＣＬＡＳＳ＝０”のログ構成要素に対応するログ構成要素部品を、ログ構成要素部品情報１１０に新規登録するように、ナレッジ登録部１５に指示する。定義部１３は、ナレッジ登録部１５によるログ構成要素部品の新規登録が完了後、新規登録されたログ構成要素部品を使用してパラメータ定義を生成し、ログメッセージ構文定義情報１２０へ新規登録する。
【００３９】
ナレッジ登録部１５は、定義部１３からの指示を受信して、ログ構成要素部品をログ構成要素部品情報１１０に新規登録する。ナレッジ登録部１５は、上述の“ＣＬＡＳＳ＝０”のように、受信したログ構成要素が“＝”を包含している場合、“＝”以降の部分は変数の値であると見なして、“＝”以降の文字列を、当該変数に付与した変数名に置き換えてログ構成要素部品を生成する。定義部１３は、“ＣＬＡＳＳ＝０”のログ構成要素に対して、例えば、“ｒｅｓｅｒｖｅ１”という変数名を付与し、変数名の前後を“＜＞”で囲った“ＣＬＡＳＳ＝＜ｒｅｓｅｒｖｅ１＞”のログ構成要素部品を生成する。
【００４０】
ナレッジ登録部１５は、受信したログ構成要素が“＝”を包含していない場合、当該ログ構成要素は、定型文字列のみを包含するものと見なして、受信したログ構成要素の文字列を、そのまま、ログ構成要素部品として、ログ構成要素部品情報１１０に新規登録する。
【００４１】
尚、ナレッジ登録部１５は、“＝”のような所定の文字列を基に、定型文字列と変数を区別する場合もあれば、所定の文字数の定型文字列の後の部分を変数の値と見なすことで、定型文字列と変数を区別する場合などもある。
【００４２】
分析部１４は、ログメッセージ記憶部１６に格納された、電子機器２０−１乃至２０−ｎから出力されたログメッセージを読み出して、定義部１３と同様の論理動作でログメッセージ構文定義情報１２０と照合する。分析部１４は、ログメッセージと一致した構文パターンにおける変数名に対応する値を当該ログメッセージから抽出して、一致した構文パターンの識別子とともにログメッセージに対する対処内容の情報を記憶したデータベース（図示せず）に出力して、当該データベースから得られた対処内容の情報を、システム管理者のコンソール画面（図示せず）に出力する。
【００４３】
次に図２のフローチャートを参照して、本実施形態の動作について詳細に説明する。
【００４４】
ログ管理装置１０は、電子機器２０−ｉ（ｉは１乃至ｎのいずれかの整数）から受信したログメッセージをログメッセージ記憶部１６へ格納する（Ｓ１０１）。定義部１３は、電子機器２０−ｉから受信したログメッセージの構文パターンを定義記憶部１２におけるログメッセージ構文定義情報１２０と照合し、ログメッセージの構文パターンがログメッセージ構文定義情報１２０に登録済みであるかどうか確認する（Ｓ１０２）。
【００４５】
ログメッセージの構文パターンが登録済みである場合（Ｓ１０３でＹｅｓ）、分析部１４は、ログメッセージ記憶部１６からログメッセージを読み出して、ログメッセージ構文定義情報１２０と照合し、ログメッセージと一致した構文パターンにおける変数名に対応する値をログメッセージから抽出し、構文パターンの識別子とともに出力して、当該ログメッセージを分析し（Ｓ１０９）、全体の処理は終了する。
【００４６】
ログメッセージの構文パターンが登録済みでない場合（Ｓ１０３でＮｏ）、定義部１３は、ナレッジ記憶部１１におけるログ構成要素部品情報１１０において、機器種別１１３が電子機器２０−ｉの機器種別の情報を含むレコードの中から、ログメッセージが包含するログ構成要素に対応するログ構成要素部品を抽出する（Ｓ１０４）。
【００４７】
ログ構成要素に対応するログ構成要素部品が、ログ構成要素部品情報１１０に未登録であるものが、存在しない場合（Ｓ１０５でＮｏ）、定義部１３は、ログメッセージの構文パターンを、抽出したログ構成要素部品の並びで生成し、当該構文パターンに識別子を付与して、ログメッセージ構文定義情報１２０へ新規登録し（Ｓ１０８）、Ｓ１０９を経て全体の処理は終了する。
【００４８】
ログ構成要素に対応するログ構成要素部品が、ログ構成要素部品情報１１０に未登録であるものが、存在する場合（Ｓ１０５でＹｅｓ）、定義部１３は、ナレッジ登録部１５に対して、ログ構成要素部品が未登録であるログ構成要素のログ構成要素部品の、ログ構成要素パターン情報１１０への新規登録を指示する（Ｓ１０６）。
【００４９】
ナレッジ登録部１５は、当該ログ構成要素が変数を包含する場合は、当該ログ構成要素における変数の値の部分を、当該変数に付与した変数名に置き換えてログ構成要素部品を生成し、当該ログ構成要素部品に部品番号を付与して、ログ構成要素部品情報１１０へ新規登録し（Ｓ１０７）、処理はＳ１０４へ戻る。
【００５０】
本実施形態には、ログメッセージが包含するログ構成要素の部品情報を登録したナレッジを基に、構文パターンが未登録であるログメッセージの構文パターンの構文定義情報への新規登録を自動で行い、ログの分析を効率的に確実に行うことを可能とする効果がある。その理由は、定義部１３が、電子機器２０−１乃至２０−ｎから受信したログメッセージをログメッセージ構文定義情報１２０と照合して、ログメッセージの構文パターンが未登録のものである場合、当該ログメッセージの構文パターンを、ログ構成要素部品情報１１０に登録されたログ構成要素部品を用いて生成し、ログメッセージ構文定義情報１２０に登録するからである。
【００５１】
分析部１４は、ログメッセージ記憶部１６に格納された、電子機器２０−１乃至２０−ｎから出力されたログメッセージを、ログメッセージ構文定義情報１２０と照合して、変数の値を当該変数の名称と対応付けて抽出し、当該ログメッセージを分析する。ログメッセージの構文パターンが、ログメッセージ構文定義情報１２０に未登録である場合、分析部１４は、ログメッセージ分析用のデータベースを参照して当該ログメッセージを分析することができないため、システムの運用上、支障をきたすことになる。
【００５２】
近年の大規模コンピュータシステムにおいては、電子機器の新規追加や、ソフトウェアのバージョンアップ等も頻繁に行われるため、ログ管理装置１０が、ログメッセージ構文定義情報１２０に構文パターンが定義されていないログメッセージを受信するケースが増加する傾向にある。未定義の構文定義情報を手動で新規追加することは、作業コスト等を考慮すると非現実的である。
【００５３】
本実施形態では、ログ管理装置１０が、ログ構成要素部品情報１１０を保持することで、未定義の構文定義情報を自動で新規追加することが可能となり、その結果、ログの分析を効率的に確実に行うことが可能となる。
【００５４】
本実施形態では、また、定義部１３は、ログ構成要素部品情報１１０から、ログ構成要素部品を抽出するに当たり、ログ構成要素部品情報１１０における機器種別１１３がログメッセージの出力元の電子機器の機器種別の情報を含むレコードをサーチする。電子機器の機器種別が異なれば、ログ構成要素部品の情報も異なるので、定義部１３が、ログ構成要素部品情報１１０の全レコードをサーチするのではなく、サーチするレコードを絞り込むことで、ログ管理装置１０が構文定義情報の新規登録をより効率的に行うことを可能としている。
【００５５】
本実施形態では、さらに、ログメッセージのログ構成要素に対応するログ構成要素部品の情報が、ログ構成要素部品情報１１０に未登録である場合、ナレッジ登録部１５が、定義部１３からの指示を受けて、ログ構成要素部品を新たに生成してログ構成要素部品情報１１０に登録する。ログ構成要素部品として未登録であるログ構成要素を包含するログメッセージについても、定義部１３が構文定義情報の新規登録を行えるようにすることで、構文パターン未定義により当該ログメッセージの分析ができなくなることを回避し、ログ管理装置１０が、ログメッセージの分析をより確実に行うことを可能としている。
＜第二の実施形態＞
次に、本願発明の第２の実施形態について図面を参照して詳細に説明する。
【００５６】
図５は本願発明の第２の実施形態のログ管理装置１０の構成を示すブロック図である。
【００５７】
本実施形態のログ管理装置１０は、ナレッジ記憶部１１と、定義記憶部１２と、定義部１３と、分析部１４と、を包含している。
【００５８】
ナレッジ記憶部１１は、定型文字列と変数名の組であるログ構成要素部品に関するレコードを複数包含するログ構成要素部品情報１１０を格納する。
【００５９】
定義記憶部１２は、ログ構成要素部品の並び順である構文パターンと構文パターンの識別子を含む構文定義に関するレコードを複数包含するログメッセージ構文定義情報１２０を記憶する。
【００６０】
分析部１４は、電子機器２０−１乃至２０−ｎが出力し、定型文字列と値の組を含むログメッセージを入力して、ログメッセージに含まれる定型文字列の並びと、構文パターンに含まれるログ構成要素部品の定型文字列の並びが一致する構文パターンを、定義記憶部１２から検索する。分析部１４は、当該構文パターンに含まれるログ構成要素部品の変数名に対応する値をログメッセージから抽出し、当該構文パターンの識別子と共に出力する。
【００６１】
定義部１３は、並びが一致する構文パターンが検索できないとき、ログメッセージに含まれる定型文字列を含むログ構成要素部品を、定型文字列の並びに従って、ナレッジ記憶部１１から抽出して、新たな構文パターン対応に構文定義の情報を作成して、定義記憶部１２に格納する。
【００６２】
本実施形態には、第１の実施形態と同様に、ログメッセージが包含するログ構成要素の部品情報を登録したナレッジを基に、構文パターンが未登録であるログメッセージの構文パターンの構文定義情報への新規登録を自動で行い、ログの分析を効率的に確実に行うことを可能とする効果がある。その理由は、定義部１３が、電子機器２０−１乃至２０−ｎから受信したログメッセージをログメッセージ構文定義情報１２０と照合して、ログメッセージの構文パターンが未登録のものである場合、当該ログメッセージの構文パターンを、ログ構成要素部品情報１１０に登録されたログ構成要素部品を用いて生成し、ログメッセージ構文定義情報１２０に登録するからである。
【００６３】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されたものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【符号の説明】
【００６４】
１    ログ管理システム
１０    ログ管理装置
１１    ナレッジ記憶部
１１０    ログ構成要素部品情報
１１１    部品番号
１１２    ログ構成要素部品
１１３    機器種別
１２    定義記憶部
１２０    ログメッセージ構文定義情報
１２０−１    フレーム定義
１２０−２    フレーム定義
１２０−１−１    パラメータ定義
１２０−１−２    パラメータ定義
１２０−２−１    パラメータ定義
１３    定義部
１４    分析部
１５    ナレッジ登録部
１６    ログメッセージ記憶部
２０−１乃至２０−ｎ    電子機器
【図１】
2014191799.tif 000003
【図２】
2014191799.tif 000004
【図３】
2014191799.tif 000005
【図４】
2014191799.tif 000006
【図５】
2014191799.tif 000007