(57)【要約】 【課題】想定していない異常のログ及び異常の前兆となるログを識別して判定可能なログ判定システムを提供する。【解決手段】ログデータ記憶部１１は、処理内容をログとして記録する装置から出力されるログデータを取得し、取得したログデータを記憶する。解析学習部１４は、記憶されたログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習を行う。ログ判定基準構築部１５は、学習した結果に基づいて、取得されるログデータが想定していない異常のログか否か乃至異常の前兆を示すログか否かを判定するための判定基準を構築する。ログ判定部２１は、構築された判定基準に基づいて、取得されるログデータが異常ログか否か乃至異常の前兆を示すログか否かを判定する。  【選択図】図１
2014115768.tif 000002
【特許請求の範囲】
【請求項１】
処理内容をログとして記録する装置から出力されるログデータを取得する取得手段と、
前記取得されたログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習を行う解析学習手段と、
前記学習した結果に基づいて、前記取得されるログデータが異常ログか否か乃至異常の前兆を示すログか否かを判定するための判定基準を構築する判定基準構築手段と、
前記構築された判定基準に基づいて、前記取得されるログデータが異常ログか否か乃至異常の前兆を示すログか否かを判定する判定手段と
を具備することを特徴とするログ判定システム。
【請求項２】
前記取得手段は、処理内容をログとして記録する装置が複数ある場合、装置それぞれから出力される複数のログデータを取得し、
前記解析学習手段は、前記取得された複数のログデータを時系列に並べ替え、前記ログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習し、
前記判定基準構築手段は、システム全体で異常ログか否か及び異常の前兆を示すログか否かを判定するための判定基準を構築すること
を特徴とする請求項１記載のログ判定システム。
【請求項３】
前記取得手段は、処理内容をログとして記録する装置が複数ある場合、装置それぞれから出力される複数のログデータを取得し、
前記解析学習手段は、前記取得された複数のログデータを装置別に並べ替え、前記ログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習を行い、
前記判定基準構築手段は、装置別に異常ログか否か及び異常の前兆を示すログか否かを判定するための判定基準を構築すること
を特徴とする請求項１記載のログ判定システム。
【請求項４】
前記取得手段は、システム稼動中に記録されるログデータを取得し、
前記解析学習手段は、前記取得されるログデータを解析及び学習し、
前記判定基準構築手段は、前記学習した結果から前記ログデータを判定するための判定基準を逐次更新することを特徴とする請求項１記載のログ判定システム。
【請求項５】
処理内容をログとして記録する装置から出力されるログデータを取得する取得手段と、
前記取得されたログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習を行う解析学習手段と、
前記学習した結果に基づいて、前記取得されるログデータが異常ログか否か乃至異常の前兆を示すログか否かを判定するための判定基準を構築する判定基準構築手段と
を具備することを特徴とするログ判定基準構築装置。
【請求項６】
前記取得手段は、処理内容をログとして記録する装置が複数ある場合、装置それぞれから出力される複数のログデータを取得し、
前記解析学習手段は、前記取得された複数のログデータを時系列に並べ替え、シ前記ログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習し、
前記判定基準構築手段は、システム全体で異常ログか否か及び異常の前兆を示すログか否かを判定するための判定基準を構築すること
を特徴とする請求項５記載のログ判定基準構築装置。
【請求項７】
前記取得手段は、処理内容をログとして記録する装置が複数ある場合、装置それぞれから出力される複数のログデータを取得し、
前記解析学習手段は、前記取得された複数のログデータを装置別に並べ替え前記ログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習を行い、
前記判定基準構築手段は、装置別に異常ログか否か及び異常の前兆を示すログか否かを判定するための判定基準を構築すること
を特徴とする請求項５記載のログ判定基準構築装置。
【請求項８】
前記取得手段は、システム稼動中に記録されるログデータを取得し、
前記解析学習手段は、前記取得されるログデータを解析及び学習し、
前記判定基準構築手段は、前記学習した結果から前記ログデータを判定するための判定基準を逐次更新すること
を特徴とする請求項５記載のログ判定基準構築装置。
【請求項９】
処理内容をログとして記録する装置から出力されるログデータを取得し、
前記取得されたログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習を行い、
前記学習した結果に基づいて、前記取得されるログデータが異常ログか否か乃至異常の前兆を示すログか否かを判定するための判定基準を構築し、
前記構築された判定基準に基づいて、前記取得されるログデータが異常ログか否か乃至異常の前兆を示すログか否かを判定すること
を特徴とするログ判定方法。
【請求項１０】
処理内容をログとして記録する装置が複数ある場合、装置それぞれから出力される複数のログデータを取得し、
前記取得された複数のログデータを時系列に並べ替え、前記ログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習し、
システム全体で異常ログか否か及び異常の前兆を示すログか否かを判定するための判定基準を構築すること
を特徴とする請求項９記載のログ判定方法。
【請求項１１】
処理内容をログとして記録する装置が複数ある場合、装置それぞれから出力される複数のログデータを取得し、
前記取得された複数のログデータを装置別に並べ替え、前記ログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習を行い、
装置別に異常ログか否か及び異常の前兆を示すログか否かを判定するための判定基準を構築すること
を特徴とする請求項９記載のログ判定方法。
【請求項１２】
システム稼動中に記録されるログデータを取得し、
前記取得されるログデータを解析及び学習し、
前記学習した結果から前記ログデータを判定するための判定基準を逐次更新すること
を特徴とする請求項９記載のログ判定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、監視制御装置で管理される監視対象のログデータから監視対象の状況を判定するログ判定システム、ログ判定基準構築装置及びログ判定方法に関する。
【背景技術】
【０００２】
監視制御装置または監視制御機能を備えるコンピュータ（以下、監視装置）にあっては、ＯＳ(Operating System)やアプリケーション等による監視対象の制御において、所定の処理毎にあるいは定期的にステータスを示すログデータを取得している。このログを監視することは、監視対象の安定稼動を維持するための重要な要素の一つとなる。そこで、監視制御装置にログ判定機能を装備させ、この機能によって警告の履歴を記録したログを調査することで、個々の処理の稼動状況を確認することが実施されている。
【０００３】
このログ判定では、ログの監視において、ログの類似性や結果の有無に従って分類し記録する処理がなされており、記録されるログの傾向を調査することで、頻出する異常ログを判定することが可能である。しかしながら、従来のログ判定では、想定していない異常のログや異常の前兆となるログを判定することは、極めて困難であった。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−１５７３３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
以上のように、従来のログ判定では、記録されるログの傾向を調査することで頻出する異常ログを判定することが可能であるが、想定していない異常のログ及び異常の前兆となるログを判定することは極めて困難であった。
【０００６】
そこで、本実施形態は上記の問題を解決するために、想定していない異常のログ及び異常の前兆となるログを識別して判定することができ、これによってシステムの信頼性を向上させることが可能なログ判定システム、ログ判定基準構築装置及びログ判定方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本実施形態によれば、ログ判定システムは、取得手段と、解析学習手段と、判定基準構築手段と、判定手段とを具備する。取得手段は、処理内容をログとして記録する装置から出力されるログデータを取得する。解析学習手段は、前記取得されたログデータの種類、傾向及び出力規則を学習用データとして、解析及び学習を行う。判定基準構築手段は、前記学習した結果に基づいて、前記取得されるログデータが異常ログか否か乃至異常の前兆を示すログか否かを判定するための判定基準を構築する。判定手段は、前記構築された判定基準に基づいて、前記取得されるログデータが異常ログか否か乃至異常の前兆を示すログか否かを判定する。
【図面の簡単な説明】
【０００８】
【図１】第１の実施形態に係るログ判定システムの構成を示すブロック図。
【図２】第２の実施形態に係るログ判定システムにおけるログ判定方法を示すフローチャート。
【図３】第２の実施形態に係るログ判定基準構築装置の構成を示すブロック図。
【図４】第３の実施形態に係るシステム稼動中のログ判定システムの構成を示すブロック図。
【図５】第３の実施形態に係るシステム稼動中のログ判定システムにおけるログ判定方法を示すシーケンス図。
【発明を実施するための形態】
【０００９】
以下、実施形態について、図面を参照して説明する。なお、以降の図における同一部分には同一符号を付して、その詳しい説明を省略し、異なる部分について主に述べる。以降の実施形態も同様にして重複する説明を省略する。
【００１０】
（第１の実施形態）  
図１は、第１の実施形態に係るログ判定システムの構成を示すブロック図である。このログ判定システムは、図示しない監視制御装置に記録されている監視対象のログデータを入力して記録しておき、監視対象の運用テスト期間、または監視対象の稼動中に記録されるログデータから判定基準を学習しつつ、その学習結果に基づいて、記録されたログデータから監視対象の状況を判定するシステムである。このログ判定システムは、大別すると、ログ判定基準構築装置１と、ログ判定装置２とを備える。
【００１１】
ログ判定基準構築装置１は、ログデータ記憶部１１と、入出力部１２と、学習用データ抽出部１３と、解析学習部１４と、ログ判定基準構築部１５と、ログ判定基準保持部１６とを備え、記録されるログを判定するための判定基準を構築する装置である。
【００１２】
ログデータ記憶部１１は、入出力部１２を介して、監視制御装置に記録されている監視対象のログデータを取得し、取得したログデータを記憶するものである。ログデータは、監視対象のテスト運用期間中に記録された日時、イベントＩＤ、ログレベル、ログの種類及びログ内容等の情報を含む。
【００１３】
学習用データ抽出部１３は、ログデータ記憶部１１に記憶されたログデータから、日時及びイベント等の任意の期間、ログレベル及びログの種類でフィルタリングをかけ、フィルタリングに対応するログデータを抽出する。学習用データ抽出部１３は、抽出されたログデータを時系列に沿って並び替え、最適化したデータ群を生成する。ここで、学習用データ抽出部１３では、抽出されたログデータを時系列に沿って並び替え、最適化したデータ群を学習用データと定義する。
【００１４】
解析学習部１４は、学習用データ抽出部１３で抽出された学習用データを入力し、入力された学習用データを解析して、解析結果からログの傾向、ログの種類及びログの出力規則等を学習する。
【００１５】
ログ判定基準構築部１５は、解析学習部１４による学習結果としてログ判定基準を構築し、ログ判定基準を出力する。
【００１６】
ログ判定基準保持部１６は、ログ判定基準構築部１５から出力されたログ判定基準を保持する。
【００１７】
一方、ログ判定装置２は、ログ判定部２１と、入出力部２２と、ログ判定情報通知部２３とを備え、上記ログ判定基準構築装置１から出力されるログ判定基準に基づいて、監視装置からのログデータを判定する装置である。
【００１８】
ログ判定部２１は、入出力部２２を介して、監視装置からのログデータを入力し、入力されたログデータをログ判定基準保持部１６に保持されたログ判定基準に基づいて判定する。つまり、ログ判定部２１は、ログ判定基準に含まれる学習用データ中の各ログデータの情報及び各ログデータの出力順等を入力値とし、入力されたログデータが想定していない異常に関係するログ（以下、異常ログと記す）か否かの判定乃至解析学習部１４での学習結果から求められる異常の発生確率及び異常レベル等に基づいて、異常の前兆を示すログか否かの判定を行う。
【００１９】
ログ判定情報通知部２３は、ログ判定部２１による判定結果を通知する。ログ判定情報通知部２３は、判定結果に異常ログであるという情報または異常の前兆を示すログであるという情報を含む場合、異常を通知するためのログ判定情報を出力する。
【００２０】
次に、上記構成によるログ判定システムの処理の流れについて説明する。
【００２１】
図２は、上記ログ判定システムにおけるログ判定方法を示すフローチャートである。図２に示すように、まず、ログ判定システムは、監視対象の運用テスト期間または稼動中に出力されてログデータ記憶部１１に記憶されたログデータを読み込む（ステップＳ１）。ログ判定システムは、ログ判定部２１にて、上記ログ判定基準に基づいて、読み込んだログデータが異常ログか否かを判定する（ステップＳ２）。ログ判定システムは、読み込んだログデータが異常ログであれば、異常を通知する（ステップＳ４）。ログ判定システムは、読み込んだログデータが異常ログでなければ、上記ログ判定基準に基づいて、異常の前兆を示すログであるか否かを判定する（ステップＳ３）。ログ判定システムは、読み込んだログデータが異常の前兆を示すログであれば、異常を通知する（ステップＳ４）。ログ判定システムは、読み込んだログデータが異常の前兆を示すログでなければ、ステップＳ１に戻り、動作を繰り返す。
【００２２】
以上のように、本実施形態において、ログ判定システムは、記録されるログから学習し、想定していない異常のログ乃至異常の前兆を示すログを判定するための基準を構築するログ判定基準構築装置１と、当該ログ判定基準構築装置１による学習結果に基づいて、想定していない異常のログ乃至異常の前兆を示すログを判定するログ判定装置２とを備える。上記構成により、ログ判定システムは、エラーログ等、確実に異常と判定可能なログだけでなく、正常稼動時に記録される異常の可能性の低いログや監視制御装置等の使用用途から出力される可能性の低いログについても、異常または異常の前兆を示す可能性が高いログとして判定を行うことができる。したがって、上記構成によるログ判定システムは、監視対象の異常を未然に防ぐことができ、信頼性を向上させることができる。
【００２３】
（第２の実施形態）  
図３は、第２の実施形態に係るログ判定基準構築装置１の構成を示すブロック図である。
【００２４】
第２の実施形態に係るログ判定基準構築装置１は、入出力部１２を介して、監視システムを構成する複数の監視制御装置から入力されたログデータを取得し、取得したログデータをログデータ記憶部１１に記憶する。ログ判定基準構築装置１は、学習用データ抽出部１３へログデータ記憶部１１に記憶される複数あるログデータを入力し、複数あるログデータを時系列に沿って並び替え、最適化する。ログ判定基準構築装置１は、実施例１と同様に、入力したログデータを解析学習部１４にて解析及び学習し、ログ判定基準構築部１５にてログ判定基準（監視システム全体）を構築する。
【００２５】
また、ログ判定基準構築装置１は、入出力部１２を介して、複数の装置から入力されたログデータをログデータ記憶部１１に記憶する。ログ判定基準構築装置１は、学習用データ抽出部１３へログデータ記憶部１１に記憶される複数あるログデータを入力し、複数あるログデータを装置別に並び替え、最適化する。ログ判定基準構築装置１は、第１の実施形態と同様に、入力したログデータを解析学習部１４にて解析及び学習し、ログ判定基準構築部１５にてログ判定基準(装置別)を構築する。
【００２６】
以上のように、第２の実施形態において、ログ判定システムは、上記監視システム全体及び装置別、２種類のログ判定基準を利用することにより、個々の装置で発生する異常と、監視システム全体で複数の装置が同時に稼動することにより発生する可能性のある異常とを判定することができる。したがって、本実施形態のログ判定システムは、装置単体及び、監視システム全体の信頼性を向上させることができる。
【００２７】
（第３の実施形態）  
図４は、第３の実施形態に係るシステム稼動中のログ判定システムの構成を示すブロック図である。
【００２８】
第３の実施形態に係るログ判定システムは、上記第１の実施形態の構成に加え、監視制御装置３１〜３ｎを備え、各部がネットワークＮＷで接続され、監視制御装置３１〜３ｎに逐次記録されるログデータをログ判定基準構築装置１及びログ判定装置２に入力する構成となっている。
【００２９】
監視制御装置３１〜３ｎは、ログデータ記録部３１１〜３ｎ１と、入出力部３１２〜３ｎ２と、判定結果通知部３１３〜３ｎ３とを備え、監視対象それぞれのログデータを記録し、判定されたログの判定結果をオペレータへ通知する装置である。
【００３０】
ログデータ記録部３１１〜３ｎ１は、入出力部３１２〜３ｎ２を介して、監視制御装置３１〜３ｎそれぞれの監視対象からのログデータを記録する。ログデータ記録部３１１〜３ｎ１は、記録されたログデータをログ判定基準構築装置１乃至ログ判定装置２に伝送する。
【００３１】
判定結果通知部３１３〜３ｎ３は、ログ判定装置２から出力される、ログ判定部２１により異常乃至異常が発生する可能性があると判定された判定結果を含むログ判定情報をオペレータへ通知する。
【００３２】
次に、第３の実施形態におけるログ判定システムの処理の流れについて、図５を参照して説明する。
【００３３】
図５は、第３の実施形態に係るシステム稼動中のログ判定システムにおけるログ判定方法を示すシーケンス図である。
【００３４】
図５に示すように、まず、監視制御装置３は、監視対象から処理内容をログとして記録する（シーケンスＳ１）。ログ判定基準構築装置１は、監視制御装置３に記録されたログデータを読み込む（シーケンスＳ２）。ログ判定基準構築装置１は、学習用データ抽出部１３にて、読み込んだログデータから学習用データを抽出する（シーケンスＳ３）。ログ判定基準構築装置１は、解析学習部１４にて、学習用データの解析及び学習を行う（シーケンスＳ４）。ログ判定基準構築装置１は、解析学習部１４での学習結果から、ログ判定基準構築部１５にてログ判定基準を構築する（シーケンスＳ５）。ログ判定装置２は、監視制御装置３からのログデータを書き込む（シーケンスＳ６）。ログ判定装置２は、ログ判定部２１にて、ログ判定基準構築装置１により構築されたログ判定基準に基づいて、書き込まれたログを判定する（シーケンスＳ７）。ログ判定基準構築装置１は、解析学習部１４にて、ログ判定部２１から出力される入力されたログデータ情報、ログの傾向、ログの種類、ログの出力規則及びログの判定結果等を含むログ判定情報から、異常ログ乃至異常の前兆を示すログを逐次学習し、ログ判定基準を更新する（シーケンスＳ８）。ログ判定装置２は、異常乃至異常が発生する可能性があると判定した場合、異常乃至異常が発生する可能性があることを示すログ判定情報を監視制御装置３へ送る。監視制御装置３は、異常乃至異常が発生する可能性があることを示すログ判定情報を受けると、オペレータへ異常の発生または異常が発生する可能性があることを通知する。（シーケンスＳ９）。
【００３５】
以上のように、第３の実施形態において、ログ判定システムは、監視制御装置３より稼動中に記録されるログデータを、ネットワークＮＷで接続されたログ判定基準構築装置１で読み込み、既存のログ判定基準を逐次更新する。また、ログ判定システムは、更新されたログ判定基準を一定間隔でログ判定装置２に書き込む。
【００３６】
これにより、ログ判定システムは、アプリケーションの更新、ハードウェアの追加や変更により監視制御装置３内に記録されるログデータの傾向に変化が生じた場合にも柔軟に対応することができる。
【００３７】
以上のように、上記各実施例において、ログ判定システムは、記録されるログから学習し、異常ログ乃至異常ログの前兆を示すログを判定するための基準を構築するログ判定基準構築装置１と、当該ログ判定基準構築装置１による学習結果に基づいて、異常ログ乃至異常ログの前兆を示すログを判定するログ判定装置２とを備える。上記構成により、ログ判定システムは、エラーログ等、確実に異常と判定可能なログだけでなく、正常稼動時に記録される可能性の低いログや監視制御装置等の使用用途から出力される可能性の低いログについても、異常または異常の前兆を示す可能性が高いログとして判定を行うことができる。
【００３８】
これにより、ログ判定システムは、監視対象の異常を未然に防ぐことができ、信頼性を向上させることができる。
【００３９】
したがって、本実施形態に係るログ判定システムは、想定していない異常のログ及び異常の前兆となるログを識別して判定することができ、これによってシステムの信頼性を向上させることが可能なログ判定システム、ログ判定基準構築装置及びログ判定方法を提供することができる。
【００４０】
以上、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これらの実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これらの実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
【符号の説明】
【００４１】
１…ログ判定基準構築装置、１１…ログデータ記憶部、１２…入出力部、１３…学習用データ抽出部、１４…解析学習部、１５…ログ判定基準構築部、１６…ログ判定基準保持部、２…ログ判定装置、２１…ログ判定部、２２…入出力部、２３…ログ判定情報通知部、３１〜３ｎ…監視制御装置、３１１〜３ｎ１…ログデータ記録部、３１２〜３ｎ２…入出力部、３１３〜３ｎ３…判定結果通知部、ＮＷ…ネットワーク。
【図１】
2014115768.tif 000003
【図２】
2014115768.tif 000004
【図３】
2014115768.tif 000005
【図４】
2014115768.tif 000006
【図５】
2014115768.tif 000007