(57)【要約】      （修正有）【課題】アプリケーション等を改変せずに、対象システムのログから、実行された処理フローと該フローの発生確度を求める。【解決手段】アプリケーションサーバ２００と、前記サーバに処理要求を送信するユーザ端末１００と、前記サーバからの問い合わせに対して回答を返すデータベース３００から成る情報システムのアクセスログ解析装置６００であって、前記処理要求、問い合わせ、及び回答からなる通信パケットを格納するパケット管理部、所定の期間の各前記処理要求から呼び出される一連の前記問い合わせのパターンについて、前記問合せ毎に前記処理要求が発生する確度を算出する処理要求マッピング候補処理部と、各前記処理要求によって呼び出された前記問い合せから前記問い合わせパターン候補の確度を算出する機能を有する問い合わせパターン候補処理部、前記処理要求と前記問い合わせ候補とを関連付けて表示する画面描画処理部とを備える。【選択図】図１
2014006715.tif 000002
【特許請求の範囲】
【請求項１】
アプリケーションプログラムが稼働しているアプリケーションサーバと、前記アプリケーションサーバに対して処理要求を送信するユーザ端末と、前記処理要求を受けた前記アプリケーションからの問い合わせを受領して回答を返すデータベースとが通信可能に接続されている情報システムに、通信可能に接続されているアクセスログ解析装置であって、
前記処理要求と、前記問い合わせ及び回答とを構成している通信パケットを取得して格納するパケット管理部と、
前記パケット管理部から所定の期間の前記通信パケットを取得して、前記処理要求と前記問い合わせとを抽出し、前記問い合わせの呼び出し元となった前記処理要求の候補である処理要求マッピング候補を選定し、
各前記処理要求マッピング候補の発生確度を前記問い合わせに対応付けられた前記処理要求の数から暫定発生確度として求め、過去の一定期間に前記問い合わせが前記処理要求によって呼び出された回数、及び前記処理要求マッピング候補の発生確度に、前記暫定発生確度を加算して新たな前記処理要求マッピング候補発生確度を算出する機能を有する処理要求マッピング候補処理部と、
各前記処理要求によって呼び出された前記問い合わせの発生確度を算出し、各前記処理要求から呼び出される一連の前記問い合わせのパターンである問い合わせパターンについてその組み合わせの数から暫定発生確度を求め、過去の一定期間に発生したことが記録されている各前記問い合わせパターンの出現回数と、前記問い合わせに対する前記処理要求マッピング候補の暫定発生確度とから、前記問い合わせパターン候補の確度を算出する機能を有する問い合わせパターン候補処理部と、
前記処理要求マッピング候補の発生確度及び前記問い合わせパターン候補の発生確度に基づいて、前記処理要求と前記処理要求によって呼び出された前記問い合わせの候補とを関連付けて画面表示するための画面データを生成する機能を有する画面描画処理部と、
を備える、
アクセスログ解析装置。
【請求項２】
請求項１に記載のアクセスログ解析装置であって、
前記処理要求マッピング処理部は、各前記問い合わせについて、当該問い合わせ送信時及び当該問い合わせに対する回答受信時のいずれにおいても当該処理要求に対して応答がされていない当該処理要求を前記処理要求マッピング候補として選定する、
アクセスログ解析装置。
【請求項３】
請求項２に記載のアクセスログ解析装置であって、
前記処理要求マッピング処理部は、異なる前記問い合わせについて共通に対応付けられている前記処理要求が存在しないと判定した場合、各前記問い合わせはそれぞれが対応付けられている前記処理要求によって呼び出されたものと判定する、
アクセスログ解析装置。
【請求項４】
請求項１に記載のアクセスログ解析装置であって、
前記処理要求マッピング処理部は、前記処理要求マッピング候補の発生確度を、対象となっている全ての前記処理要求マッピング候補の総出現回数における、各々の前記処理要求マッピング候補の総出現回数の割合として算出する、
アクセスログ解析装置。
【請求項５】
請求項４に記載のアクセスログ解析装置であって、
前記処理要求マッピング処理部は、各前記処理要求マッピング候補の暫定確度を、前記処理要求マッピング候補の発生確率を当該処理要求マッピング候補の数で均等に分割して算出する、
アクセスログ解析装置。
【請求項６】
請求項１に記載のアクセスログ解析装置であって、
前記問い合わせパターン処理部は、各前記処理要求に対応付けられている前記問い合わせパターン候補の発生確度を、現に解析対象となっているものを含めて対象となっている全ての前記問い合わせパターン候補の総出現回数に対する、各前記問い合わせパターン候補の現に解析対象としているものを含めた総出現回数の割合として算出する、
アクセスログ解析装置。
【請求項７】
請求項６にに記載のアクセスログ解析装置であって、
前記問い合わせパターン処理部は、前記問い合わせパターン候補の暫定確度を、前記処理要求によって呼び出される、各前記問い合わせの発生確度の積として算出する、
アクセスログ解析装置。
【請求項８】
請求項１に記載のアクセスログ解析装置であって、
前記画面描画処理部は、各前記処理要求を、当該処理要求を相互に識別するための識別符号である処理要求ＩＤを用いて表示し、いずれかの前記処理要求ＩＤを選択した場合に、対応する前記処理要求によって呼び出される前記問い合わせパターン候補をその発生確度によって順位付けして表示し、その中の特定の順位にある前記問い合わせパターン候補を選択した場合、選択した当該問い合わせパターン候補に含まれる前記問い合わせと、選択した前記処理要求ＩＤによって特定される前記処理要求とを関連付けて表示する、アクセスログ解析装置。
【請求項９】
アプリケーションプログラムが稼働しているアプリケーションサーバと、前記アプリケーションに対して処理要求を送信するユーザ端末と、前記処理要求を受けた前記アプリケーションからの問い合わせを受領して回答を返すデータベースとが通信可能に接続されている情報システムのアクセスログ解析方法であって、前記情報システムに通信可能に接続され、プロセッサとメモリとを有する情報処理装置によって、
前記処理要求と、前記問い合わせ及び回答とを構成している通信パケットを取得して格納し、
所定の期間の前記通信パケットを取得して、前記処理要求と前記問い合わせとを抽出し、前記問い合わせの呼び出し元となった前記処理要求の候補である処理要求マッピング候補を選定し、
各前記処理要求マッピング候補の発生確度を前記問い合わせに対応付けられた前記処理要求の数から暫定発生確度として求め、過去の一定期間に前記問い合わせが前記処理要求によって呼び出された回数、及び前記処理要求マッピング候補の発生確度に、前記暫定発生確度を加算して新たな前記処理要求マッピング候補発生確度を算出し、
各前記処理要求によって呼び出された前記問い合わせの発生確度を算出し、各前記処理要求から呼び出される一連の前記問い合わせのパターンである問い合わせパターンについてその組み合わせの数から暫定発生確度を求め、過去の一定期間に発生したことが記録されている各前記問い合わせパターンの出現回数と、前記問い合わせに対する前記処理要求マッピング候補の暫定発生確度とから、前記問い合わせパターン候補の確度を算出し、
前記処理要求マッピング候補の発生確度及び前記問い合わせパターン候補の発生確度に基づいて、前記処理要求と前記処理要求によって呼び出された前記問い合わせの候補とを関連付けて画面表示するための画面データを生成する、
アクセスログ解析方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセスログ解析装置及びアクセスログ解析方法に関する。
【背景技術】
【０００２】
従来、通信ネットワークを介して構成されている情報システムでは、システムの運用に必要な情報を集める等の目的で、システム上で各種ログを収集している。収集した各種ログを調査することで、その情報システムで動作しているアプリケーションに対する処理要求を追跡可能にするシステムトレースが実行される。このシステムトレースにより、情報システムにおけるシステム性能面でのボトルネック、ユーザによるデータの誤入力といった、問題の原因発見・特定の容易化・早期化が期待される。
【０００３】
一方、システムトレースでは、情報システムを構成しているサーバコンピュータ（以下「サーバ」）等のノード上にある複数のログを個別に取得するため、通信ネットワークを介してサーバ同士あるいはサーバとデータベース（以下「ＤＢ」）との間で実行される一連の処理については、複数のノードで採取したログ情報を突き合わせて前記一連の処理の流れを把握する必要がある。
【０００４】
この点、特許文献１では、システムトレースにおいて、情報システム上にある複数のログを個別に取得した後、各種ログに含まれる共通の一意な情報をひも付け情報として指定する。次に事前学習として、ひも付け情報を基に収集するログのフィルタリングを実施し、ひも付け情報を含むデータを基に一連の業務処理をパターン化させた業務パターンを作成する。そしてログ収集時には、ひも付け情報を基にしたログのフィルタリングを実施し、更に業務パターンに対するマッピングを実施することで、各業務処理時間の内訳がログの内容を基に算出可能としている。
【０００５】
また特許文献２では、システムトレースにおいてリレーＩＤと呼ばれる情報を用いて、情報システム上のアプリケーション間の呼び出し関係をつなぎ合わせることで、ログのトレースを可能にしている。リレーＩＤの例としては、タイムスタンプにプロセスＩＤを加えた情報をリレーＩＤとして作成し、その後はアプリケーションを通過するごとに、次に呼び出すアプリケーションの識別子を後ろにつなげていく方法が開示されている。この方法により、リレーＩＤを付加するだけでアプリケーションの呼び出し順序を特定できると述べている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００６−９２３５８号公報
【特許文献２】特開２００５−３４６４１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１の方法では、情報システムを構成している通信ネットワークを流れる情報のうち、どれを一意なひも付け情報として選択すべきかを適切に判断するには、情報システムで稼働しているアプリケーションやそれにより実行されている業務の内容を理解している必要がある。このため、システム管理者がそれらを十分に理解していない場合には、ひも付け情報を特定しシステムトレースを開始するまでに時間を要するという問題があった。
【０００８】
また、特許文献２では、前記のように、システムトレースを可能にするために、新たにリレーＩＤを生成してパケット情報に付加する機能を各アプリケーションに追加するという情報システムの変更を実施する必要があるという問題があった。
【０００９】
本発明は、上記の及び他の課題を解決するためになされたものであり、情報システムで稼働しているアプリケーション等の要素に改変を加えることなく、対象情報システムにおいて通常実行されている情報処理のログを収集して解析することにより情報システム内で実行された情報処理フローを所定の確度で把握することができるアクセスログ解析装置及びアクセスログ解析方法を提供することを一つの目的としている。
【課題を解決するための手段】
【００１０】
上記の目的を達成するために、本発明の一態様によれば、アプリケーションプログラムが稼働しているアプリケーションサーバと、前記アプリケーションサーバに対して処理要求を送信するユーザ端末と、前記処理要求を受けた前記アプリケーションからの問い合わせを受領して回答を返すデータベースとが通信可能に接続されている情報システムに、通信可能に接続されているアクセスログ解析装置であって、前記処理要求と、前記問い合わせ及び回答とを構成している通信パケットを取得して格納するパケット管理部と、前記パケット管理部から所定の期間の前記通信パケットを取得して、前記処理要求と前記問い合わせとを抽出し、前記問い合わせの呼び出し元となった前記処理要求の候補である処理要求マッピング候補を選定し、各前記処理要求マッピング候補の発生確度を前記問い合わせに対応付けられた前記処理要求の数から暫定発生確度として求め、過去の一定期間に前記問い合わせが前記処理要求によって呼び出された回数、及び前記処理要求マッピング候補の発生確度に、前記暫定発生確度を加算して新たな前記処理要求マッピング候補発生確度を算出する機能を有する処理要求マッピング候補処理部と、各前記処理要求によって呼び出された前記問い合わせの発生確度を算出し、各前記処理要求から呼び出される一連の前記問い合わせのパターンである問い合わせパターンについてその組み合わせの数から暫定発生確度を求め、過去の一定期間に発生したことが記録されている各前記問い合わせパターンの出現回数と、前記問い合わせに対する前記処理要求マッピング候補の暫定発生確度とから算出した、前記問い合わせパターン候補の確度を算出する機能を有する問い合わせパターン候補処理部と、前記処理要求マッピング候補の発生確度及び前記問い合わせパターン候補の発生確度に基づいて、前記処理要求と前記処理要求によって呼び出された前記問い合わせの候補とを関連付けて画面表示するための画面データを生成する機能を有する画面描画処理部とを備えるアクセスログ解析装置が提供される。
【発明の効果】
【００１１】
本発明によれば、情報システムで稼働しているアプリケーション等の要素に改変を加えることなく、対象情報システムにおいて通常実行されている情報処理のログを収集して解析することにより情報システム内で実行された情報処理フローを所定の確度で把握することができる。
【図面の簡単な説明】
【００１２】
【図１】図１は、本発明の一実施形態によるアクセスログ解析装置が接続されている情報システム１のシステム構成図である。
【図２】図２は、情報システム１を構成している各構成要素のハードウェア構成を例示する図である。
【図３】図３は、アクセスログ解析装置６００のソフトウェア構成を例示する図である。
【図４】図４は、情報システム１において実行される情報処理を例示するシーケンス図である。
【図５Ａ】図５Ａは、アクセスログ解析装置６００で実行されるアクセスログ解析処理フローを例示する図である。
【図５Ｂ】図５Ｂは、アクセスログ解析装置６００で実行されるアクセスログ解析処理フローを例示する図である。
【図５Ｃ】図５Ｃは、アクセスログ解析装置６００で実行されるアクセスログ解析処理フローを例示する図である。
【図５Ｄ】図５Ｄは、アクセスログ解析装置６００で実行されるアクセスログ解析処理フローを例示する図である。
【図６】図６は、パケット管理テーブル６０９の構成例を示す図である。
【図７】図７は、ＷｅｂアクセスＩＤリスト６０５の構成例を示す図である。
【図８】図８は、ＤＢアクセスＩＤリスト６０６の構成例を示す図である。
【図９】図９は、Ｗｅｂアクセスタイプ管理テーブル６１０の構成例を示す図である。
【図１０】図１０は、ＤＢアクセスタイプ管理テーブル６１１の構成例を示す図である。。
【図１１】図１１は、Ｗｅｂアクセスマッピング候補管理テーブル６０７の構成例を示す図である。
【図１２Ａ】図１２Ａは、Ｗｅｂアクセスマッピング結果管理テーブル６１２の構成例を示す図である。。
【図１２Ｂ】図１２Ｂは、Ｗｅｂアクセスマッピング結果管理テーブル６１２の構成例を示す図である。
【図１３Ａ】図１３Ａは、ＤＢアクセスパターン候補管理ダイヤグラム６０８の構成例を示す図である。
【図１３Ｂ】図１３Ｂは、ＤＢアクセスパターン候補管理ダイヤグラム６０８の構成例を示す図である。
【図１４】図１４は、ＤＢアクセスパターン結果管理ダイヤグラム６１３の構成例を示す図である。
【図１５Ａ】図１５Ａは、ＤＢアクセスＩＤ関連グラフの一例を示す図である。
【図１５Ｂ】図１５Ｂは、ＤＢアクセスＩＤ関連グラフの一例を示す図である。
【図１５Ｃ】図１５Ｃは、ＤＢアクセスＩＤ関連グラフの一例を示す図である。
【図１５Ｄ】図１５Ｄは、ＤＢアクセスＩＤ関連グラフの一例を示す図である。
【図１５Ｅ】図１５Ｅは、ＤＢアクセスＩＤ関連グラフの一例を示す図である。
【図１５Ｆ】図１５Ｆは、ＤＢアクセスＩＤ関連グラフの一例を示す図である。
【図１５Ｇ】図１５Ｇは、ＤＢアクセスＩＤ関連グラフの一例を示す図である。
【図１６】図１６は、アクセスログ解析装置６００の解析結果を示すログ監視画面例を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明の一実施形態を、図面を参照して詳細に説明する。なお、実施形態において同一の構成要素が複数登場する場合には、例えばユーザ端末１００−１、ユーザ端末１００−２のように符号に枝番を付して表記する。また、複数の同一構成要素をまとめて説明する場合には、例えばユーザ端末１００のように枝番を省略して表現する。
【００１４】
情報システム１の構成
まず、本実施形態のアクセスログ解析装置が接続されている情報システムの構成について説明する。図１に、情報システム１の構成例を示している。図１に例示する情報システム１はユーザ対話型サービス連携システムであり、ユーザ端末１００、アプリケーションサーバ２００、業務ＤＢ３００、パケット複製装置４００、パケットキャプチャ装置５００、アクセスログ解析装置６００、及びログ監視端末７００を備えて構成されている。情報システム１の構成要素は、それぞれ互いに通信ネットワーク８００によって接続されている。通信ネットワーク８００は、例えばＨＴＴＰ形式の通信プロトコルでのデータ送受信を可能としているインターネットであるが、他の形式の通信ネットワークであってもよい。
【００１５】
ユーザ端末１００は、通信ネットワーク８００を介して後述のアプリケーションサーバ２００と通信可能とされているコンピュータであり、例えばＷｅｂブラウザがインストールされているパーソナルコンピュータ等である。アプリケーションサーバ２００は、情報システム１の機能を提供するためのアプリケーションが実装され、動作しているＷｅｂサーバである。
【００１６】
業務ＤＢ３００は、アプリケーションサーバ２００で動作しているアプリケーションから受信したクエリに基づいてＤＢに格納されているデータを検索し、検索結果をアプリケーションに返す機能を有するコンピュータである。本実施形態では、アプリケーションサーバ２００のアプリケーションと各業務ＤＢ３００とのデータ授受はＳＱＬによって実行されるが、他のＤＢ言語を用いてもよい。また、図１の構成例では業務ＤＢ３００はアプリケーションサーバ２００とは別個のコンピュータとして記載されているが、アプリケーションサーバ２００内に一体的に実装するようにしてもよい。
【００１７】
パケット複製装置４００は、アプリケーションサーバ２００と通信ネットワーク８００との間に接続されている通信機器であり、通信ネットワーク８００上のアプリケーションサーバ２００で送受信される通信パケットのルーティングを実行するとともに、前記通信パケットを複製して後述のパケットキャプチャ装置５００へ送信する機能を有する。パケット複製装置４００は、具体的には通信パケット複製機能を有するスイッチングハブとして構成することができる。
【００１８】
パケットキャプチャ装置５００は、パケット複製装置４００によって複製されたアプリケーションサーバ２００で送受信されるパケットをパケット複製装置４００から受信して適宜の記憶デバイスによって構成される記憶領域に格納する機能を有するコンピュータである。
【００１９】
アクセスログ解析装置６００は、パケットキャプチャ装置５００に格納されたパケットを取得して、それらを解析することにより、情報システム１のアプリケーションサーバ２００と、ユーザ端末１００、業務ＤＢ３００との間で処理されたアクセスの記録（ログ）を生成する機能を有するコンピュータである。アクセスログ解析装置６００によるアクセスログ解析処理については後述する。
【００２０】
ログ監視端末７００は、アクセスログ解析装置６００によるアクセスログ解析結果を、通信ネットワーク８００を介してアクセスログ解析装置６００から取得して適宜の出力装置によって出力させる機能を有するコンピュータである。本実施形態では、ログ監視端末７００にはログ表示部７０１としてのＷｅｂブラウザが実装されており、例えば液晶ディスプレイ装置などにログ監視画面を表示させることができる。
【００２１】
図２に、図１の情報システム１を構成している各構成要素である、ユーザ端末１００、アプリケーションサーバ２００、業務ＤＢ３００、パケット複製装置４００、パケットキャプチャ装置５００、アクセスログ解析装置６００、及びログ監視端末７００として機能する情報処理装置１０のハードウェア構成を例示した図を示している。情報処理装置１０では、ＣＰＵ１１と、メモリ１２と、インターネット、ＬＡＮ等の通信ネットワークを介して他の装置と通信を行うための通信インタフェース１３と、キーボード、マウス等の入力装置１４と、モニタ、プリンタ等の出力装置１５と、読取装置１６と、ハードディスクドライブ等の外部記憶装置１７とが、内部通信インタフェース１９を介して接続されている。読取装置１６は、ＩＣカード、ＵＳＢメモリ等の、可搬性を有する記憶媒体１８を接続することができる接続ポートを必要な入出力デバイスで構成することができる。
【００２２】
図１の情報システム１において、各構成要素が備える各機能は、これらの機能を実現するプログラムがメモリ１２上にロードされ、ＣＰＵ１１により実行されることにより具現化される。これらのプログラムは、あらかじめ、情報処理装置１０の外部記憶装置１７に格納されていてもよいし、必要なときに、読取装置１６、又は通信装置１３と、当該情報処理装置１０が利用可能な媒体を介して、他の装置から上記外部記憶装置１７に導入されてもよい。媒体とは、例えば、読取装置１６に着脱可能な記憶媒体１８、又は通信装置１３に接続可能な通信ネットワーク又は通信ネットワークを伝搬する搬送波、ディジタル信号等を指す。プログラムは、一旦外部記憶装置１７に格納された後、そこからメモリ１２上にロードされてＣＰＵ１１により実行されてもよいし、あるいは外部記憶装置１７に格納されることなく、直接メモリ１２上にロードされて、ＣＰＵ１１により実行されてもよい。
【００２３】
用語の定義
ここで、本実施形態を説明する際に使用する用語の定義を述べる。まず、「Ｗｅｂアクセスマッピング」とは、アプリケーションサーバ２００で稼働するアプリケーションから業務ＤＢ３００に対して送信される各ＤＢアクセスに対し、ユーザ端末１００から送信されるアプリケーション呼び出し元のＷｅｂアクセスとをひも付ける組合せ又はその操作を指す。以下、特に必要な場合を除き、Ｗｅｂアクセスマッピングを単にマッピングと呼ぶこととする。
【００２４】
「マッピング確度」とは、各ＤＢアクセスに対してひも付けられている複数のＷｅｂアクセスについて、実際にマッピングが起こりうる可能性を示す確率である。各ＤＢアクセスにおいて、全てのマッピングされうるＷｅｂアクセスマッピング候補のマッピング確度の総和は１となる。したがって、一のＤＢアクセスに一のＷｅｂアクセスのみがマッピングされた場合はマッピング確度が１であり、前記一のＤＢアクセスが前記マッピングされたＷｅｂアクセスによって引き起こされたことが確定する。
【００２５】
「ＤＢアクセスパターン」とは、ユーザ端末１００からアプリケーションへ送信されたＷｅｂアクセス受信を契機に、アプリケーションによって順次呼び出される、ＤＢアクセスの順序付けられた組合せを指す。
【００２６】
「ＤＢアクセスパターンの確度」とは、実際にＤＢアクセスパターンと同様のＤＢアクセスがアプリケーションにおいて起こりうる可能性を示す確率であり、全てのＤＢアクセスパターン候補の確度の総和は１となる。
【００２７】
アクセスログ解析装置６００の機能
次に、アクセスログ解析装置６００が備えている機能について説明する。図３に、アクセスログ解析装置６００のソフトウェア構成例を示している。アクセスログ解析装置６００は、オペレーティングシステム（ＯＳ）６２０、データＩ／Ｏ部６３０、パケット管理部６０１、Ｗｅｂアクセスマッピング候補類推処理部６０２、ＤＢアクセスパターン類推処理部６０３、及びログ描画処理部６０４を備えている。ＯＳ６２０は、アクセスログ解析装置６００に実装され動作するソフトウェアの実行基盤となる基本ソフトウェアであり、一般的にコンピュータのＯＳとして使用されているＯＳから適宜選択して採用することができる。データＩ／Ｏ部６３０は、アクセスログ解析装置６００に入力され、又はこれから出力されるデータを、ＯＳ６２０の制御下で各機能部との間で送受信するデータＩ／Ｏ処理を実行する。
【００２８】
パケット管理部６０１は、パケットキャプチャ装置５００が取得したパケットを受信しパケット管理テーブル６０９へ格納する機能を有する。パケット管理テーブル６０９の構成例を、図６に示している。図６に例示するパケット管理テーブル６０９は、タイムスタンプ６０９１と、パケット情報６０９２とを対応付けてなるレコード群を格納している。タイムスタンプ６０９１には、対応するパケットがパケットキャプチャ装置５００によってキャプチャされた日時が記録される。パケット情報６０９２には、例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、及び／又はパケット種別の各情報が記録される。送信元ＩＰアドレス、送信先ＩＰアドレス（本実施形態ではＵＲＬ）により、当該パケットが情報システム１内のどの構成要素間で送受信されるかを知ることができる。また、パケット種別は、パケットに含まれているデータ内容等から、パケットの種別を記録する。本実施形態におけるパケットの種別は、Ｗｅｂアクセス及びＤＢアクセスである。
【００２９】
Ｗｅｂアクセスマッピング候補類推処理部６０２は、Ｗｅｂアクセスログ及びＤＢアクセスログから抽出したメッセージシーケンス構造を基に、ＷｅｂアクセスとＤＢアクセスとのマッピング候補を取得し、過去に発生したマッピングの発生回数・確率に基づいて、各マッピング候補の確度を算出する機能を有する。
【００３０】
ＤＢアクセスパターン類推処理部６０３は、マッピング候補の確度及び過去に発生したＤＢアクセスパターンの発生回数・確率に基づいて、ＤＢアクセスパターンの確度を算出する機能を有する。
【００３１】
ログ描画処理部６０４は、アクセスログ解析結果によるＷｅｂアクセスログ一覧及びＤＢアクセス一覧を表示し、かつ取得したマッピング候補の確度及びＤＢアクセスパターンの確度を基に、各ＤＢアクセス情報とＷｅｂアクセス情報とのマッピング及びその確度を可視化するログ監視画面データを生成する機能を有する。
【００３２】
Ｗｅｂマッピング候補類推処理部６０２はまた、各Ｗｅｂアクセスを送信先のＵＲＬと、そのＷｅｂアクセスに含まれるパラメータとの組合せによって分類した情報であるＷｅｂアクセスタイプを管理するＷｅｂアクセスタイプ管理テーブル６１０、各ＤＢアクセスを情報システム１内でのＤＢ位置情報（ホスト名、ＤＢ名）と、そのＤＢアクセスに含まれるクエリ情報との組合せによって分類した情報であるＤＢアクセスタイプを管理するＤＢアクセスタイプ管理テーブル６１１、過去のＤＢアクセスタイプとＷｅｂアクセスタイプとのマッピング結果を管理するＷｅｂアクセスマッピング結果管理テーブル６１２をそれぞれ管理している。、また、ＤＢアクセスパターン類推処理部６０３は、過去に呼び出されたＷｅｂアクセスタイプとＤＢアクセスパターンとの関係を管理するＤＢアクセスパターン結果管理ダイヤグラム６１３を、それぞれ管理している。Ｗｅｂアクセスタイプ管理テーブル６１０、ＤＢアクセスタイプ管理テーブル６１１、Ｗｅｂアクセスマッピング結果管理テーブル６１２、及びＤＢアクセスパターン結果管理ダイヤグラム６１３については、アクセスログ解析装置６００が実行するデータ処理に関して後述する。
【００３３】
Ｗｅｂアクセスマッピング候補類推処理部６０２は、また、ユーザ端末１００からアプリケーションサーバ２００に対して現在アクセス中のＷｅｂアクセスを管理するＷｅｂアクセスＩＤリスト６０５、アプリケーションサーバ２００から業務ＤＢ３００に対して現在アクセス中のＤＢアクセスを管理するＤＢアクセスＩＤリスト６０６、ＤＢアクセスＩＤリスト６０６及びＷｅｂアクセスＩＤリスト６０５に記録されている、現在アクセス中のＤＢアクセスとＷｅｂアクセスとのマッピング状況を管理するＷｅｂアクセスマッピング候補管理テーブル６０７、及びＷｅｂアクセスＩＤリスト６０５に記録されている現在アクセス中のＷｅｂアクセスと、各Ｗｅｂアクセスに対するＤＢアクセスパターンの候補を管理するＤＢアクセスパターン候補管理ダイヤグラム６０８を、それぞれメモリ１２上へロードし、管理している。Ｗｅｂアクセスマッピング候補管理テーブル６０７、及びＤＢアクセスパターン候補管理ダイヤグラム６０８については、アクセスログ解析装置６００が実行するデータ処理に関して後述する。なお、ＤＢアクセスパターン候補管理ダイヤグラム６０８は、ＤＢアクセスパターン類推処理部６０３も利用する。
【００３４】
情報システム１におけるデータ処理シーケンス例
次に、本実施形態の情報システム１によって実行されるデータ処理の流れについて説明する。図４に、情報システム１におけるデータ処理をシーケンス図として示している。情報システム１はＷｅｂトランザクショントレースシステムであり、２名の利用者がそれぞれユーザ端末１００−１、１００−２に実装されているＷｅｂブラウザを用いて、アプリケーションサーバ２００が提供するサービスを利用する。本実施形態では、ユーザがアプリケーションサーバ２００に実装されている電子商取引機能を実現するアプリケーションを利用してオンラインショッピングを行う際のデータ処理を例として説明する。本実施形態で実行されるアクセスログ解析処理は、実際にはパケットキャプチャ装置５００に蓄積された時系列のパケットの集合から、図４に例示する情報システム１でのデータ処理シーケンスを、一定の確度をもって再構成する処理である。したがって、本来図４に例示するシーケンス図は、アクセスログ解析処理の結果として得られるものであるが、本願では説明のために、元々図４のような処理シーケンスにより得られたパケットの記録についてアクセスログ解析処理を行うものとして以下説明を続ける。
【００３５】
図４において、ユーザは、ユーザ端末１００−１から、情報システム１に開設されているオンラインショップで商品の購入手続きを実施する。具体的には、ユーザ端末１００−１上のＷｅｂブラウザは、アプリケーションサーバ２００との間でＷ１−１及びＷ１−２のＨＴＴＰメッセージ（アプリケーションサーバ２００のアプリケーションに対する処理要求）を送受し、その際に、アプリケーションサーバ２００はユーザ認証を実施する。この時、アプリケーションサーバ２００はユーザ認証実施のため、認証用データを格納している業務ＤＢ（以下「認証ＤＢ」）３００−１との間で、Ｄ１−1及びＤ１−２で表されるＳＱＬメッセージ（業務ＤＢ３００に対する問い合わせ）を送受する。次に、ユーザ端末１００−１のＷｅｂブラウザは、アプリケーションサーバ２００との間でＷ３−１及びＷ３−２のＨＴＴＰメッセージを送受し、会員情報・クレジットカード情報を含んだ決済画面を表示する。このとき、アプリケーションサーバ２００は決済画面の表示に必要な情報を取得するため、オンラインショッピングの会員に関する氏名、年齢、クレジットカード番号等を含む固有情報を格納している業務ＤＢ（以下「会員ＤＢ」）３００−３との間でＤ３−1及びＤ３−２のＳＱＬメッセージを送受し、クレジットカード会社名、クレジットカード番号、登録氏名、有効期間等のクレジットカード情報を含む決済情報を格納している業務ＤＢ（以下「決済ＤＢ」）３００−２との間でＤ５−1及びＤ５−２のＳＱＬメッセージを送受する。
【００３６】
一方、ユーザ端末１００−２からは、ユーザが、登録しているオンラインショップに貯まったポイントを確認するため、会員情報を閲覧する処理が実行されたと想定している。具体的には、ユーザ端末１００−２上のＷｅｂブラウザは、アプリケーションサーバ２００との間でＷ２−１及びＷ２−２のＨＴＴＰメッセージを送受し、その際に、アプリケーションサーバ２００はユーザ認証を実施する。この時、アプリケーションサーバ２００はユーザ認証実施のため、認証ＤＢ３００−１との間でＤ２−1及びＤ２−２のＳＱＬメッセージを送受する。次に、ユーザ端末１００−２のＷｅｂブラウザは、アプリケーションサーバ２００との間でＷ４−１及びＷ４−２のＨＴＴＰメッセージを送受し、会員情報・クレジットカード情報を含んだ決済画面を表示する。このとき、アプリケーションサーバ２００は決済画面の表示に必要な情報を取得するため、会員ＤＢ３００−３との間でＤ４−1及びＤ４−２のＳＱＬメッセージを送受する。
【００３７】
図４において、ユーザ端末１００とアプリケーションサーバ２００との間で送受するＨＴＴＰメッセージは、パケットキャプチャ装置５００を通過する。その際パケットキャプチャ装置５００が自身のメモリ上に通過したメッセージを構成しているパケットを一時的に蓄積し、定期的にアクセスログ解析装置６００のパケット管理テーブル６０９へ送信する。なお、アクセスログ解析装置６００が定期的にパケットキャプチャ装置５００に対して蓄積されたパケットを送信するように要求してもよい。また、図４では、図示の都合上、パケットキャプチャ装置５００を２組記載しているが、図１の構成例に示すように、実際には情報システム１には１台のパケットキャプチャ装置５００が設けられている。
【００３８】
アクセスログの解析処理
次に、図４においてパケットキャプチャ装置５００を通過したメッセージに対し、アクセスログ解析装置６００がログ解析を実施し、同一ＷｅｂトランザクションにおけるＨＴＴＰメッセージのログをＳＱＬメッセージのログと結び付けてＷｅｂブラウザの画面上に表示する一連の処理を、図５Ａ〜図５Ｂを主に参照して説明する。なお、この処理の説明に関連して、図６〜図１５Ｇに構成を例示している各種テーブル類についてもあわせて参照して説明する。これらのデータ処理は、本実施形態ではアクセスログ解析処理装置６００のパケット管理部６０１、Ｗｅｂアクセスマッピング候補類推処理部６０２（以下「マッピング処理部６０２」）又はＤＢアクセスパターン類推処理部６０３（以下「パターン処理部６０３」）によって実行される。
【００３９】
まず、図５Ａにおいて、アクセスログ解析が開始されると（Ｓ１００１）、ログ監視端末７００から解析対象とするログの範囲を指定する（Ｓ１００２）。具体的には、ログ監視端末７００の入力装置１４から、解析対象とするログが属する日時情報等を入力することによって指定することができる。また、解析対象の指定は、パケット管理テーブル６０９に格納されているメッセージについてのメッセージ送信時刻、ＩＰアドレス、ポート番号、ＨＴＴＰ又はＳＱＬのヘッダ内容等によって指定することにより実施してもよい。本実施形態では、図４に例示するシーケンスで示された全てのメッセージを解析対象とするものとする。
【００４０】
解析対象のログを指定し解析を開始すると、パケット管理部６０１は、指定されたログ（ここでは、図４のＷ１−１）を一つずつパケット管理テーブル６０９から読み込む（Ｓ１００３）。次いで、パケット管理部６０１は、指定されたログの読み込みが全て完了したか判定する（Ｓ１００４）。
【００４１】
次に、Ｓ１００４において、パケット管理部６０１が、指定されたログの読み込みが全て完了していないと判定した場合（Ｓ１００４、Ｎｏ）、パケット管理部６０１は、読み込んだキャプチャデータがＨＴＴＰリクエスト、ＨＴＴＰレスポンス、ＳＱＬリクエスト、及びＳＱＬレスポンスのいずれであるかを判定する（Ｓ１００５）。なお、本実施形態で想定している図４のシーケンスでは、キャプチャデータの種類は前記の４種類であるが、情報システム１において実行されるデータ処理の形態に応じて適宜他の種類のデータ種別で判別するようにしてもよい。
【００４２】
図４のＷ１−１はＨＴＴＰリクエストと判定されるため、マッピング処理部６０２はこのメッセージを識別するＷｅｂアクセスＩＤとしてｗ１を発行し、図９のＷｅｂアクセスタイプ管理テーブル６１０より対応するＷｅｂアクセスタイプＩＤ６１０１としてｗｔ３を取得する（Ｓ１００６）。Ｗｅｂアクセスタイプ管理テーブル６１０は、図９に構成例を示すように、Ｗｅｂアクセスタイプ６１０１、ＷｅｂアクセスＵＲＬ６１０２、パラメータ入力ＵＲＬ６１０３、及びパラメータ６１０４を対応付けて格納している。マッピング処理部６０２は、解析対象となっているキャプチャデータの内容をＷｅｂアクセスタイプ管理テーブル６１０と対照させることにより、そのキャプチャデータの種類を特定して該当するＷｅｂアクセスタイプＩＤ６１０１を対応付ける。図７に構成例を示すＷｅｂアクセスＩＤリスト６０５は、ＷｅｂアクセスＩＤ６０５１とＷｅｂアクセスタイプＩＤ６０５２とを対応付けて、メモリ上に保存している。本実施形態では、ｗｔ３は図４のＷｅｂアクセスのＷ１−１、Ｗ２−１に対応し、ユーザ認証に関するＨＴＴＰリクエストであることを示す。ＷｅｂアクセスタイプＩＤ６０５２は、情報システム１において実施されるデータ処理に関して使用されるメッセージ種別を予め想定して設定しておくようにしてある。マッピング処理部６０２は、ＷｅｂアクセスＩＤリスト６０５へ、ＷｅｂアクセスＩＤのｗ１をｗｔ３と対応付けて登録する（Ｓ１００７）。この後、マッピング処理部６０２は、Ｓ１００３へ処理を戻す。
【００４３】
Ｗ２−１の解析
次に、マッピング処理部６０２は、図４のＷ２−１のメッセージを解析する。Ｗ１−１の場合と同様、Ｗ２−１はＨＴＴＰリクエストであるため、マッピング処理部６０２は、Ｗ２−１を識別するＷｅｂアクセスＩＤとしてｗ２を発行し、該当するＷｅｂアクセスタイプＩＤであるｗｔ３と結び付けてメモリ上のＷｅｂアクセスＩＤリスト６０５へＷｅｂアクセスＩＤのｗ２を登録する。この後、マッピング処理部６０２は、Ｓ１００３へ処理を戻す。
【００４４】
Ｄ１−１の解析
次に、マッピング処理部６０２は、Ｄ１−１のメッセージを解析する。図５Ａ、図５Ｂを参照すると、Ｄ１−１はＳＱＬリクエストであるため、マッピング処理部６０２はこのメッセージを識別するＤＢアクセスＩＤとしてｄ１を発行し、図１０のＤＢアクセスタイプ管理テーブル６１１より対応するＤＢアクセスタイプＩＤ６０６２としてｄｔ１を取得する（Ｓ１０２１）。ＤＢアクセスタイプＩＤ６０６２は、図１０に構成例を示すＤＢアクセスタイプ管理テーブル６１１を用いて決定する。ＤＢアクセスタイプ管理管理テーブル６１１は、ＤＢアクセスのタイプを識別するためのＤＢアクセスタイプＩＤ６１１１、対応するＤＢアクセスの送信先であるホスト名６１１２及びＤＢ名６１１３、及び対応するＤＢアクセスに含まれるクエリ情報６１１４を対応付けて格納している。すなわち、マッピング処理部６０２は、解析対象であるデータ（この場合はＤ１−１）をＤＢアクセスタイプ管理テーブル６１１と対照させて、解析対象であるデータに特定したＤＢアクセスタイプＩＤ６１１１を対応付ける。図８に例示するＤＢアクセスタイプＩＤリスト６０６には、ＤＢアクセスＩＤ６０６１とＤＢアクセスタイプＩＤ６０６２とがメモリ上で、対応付けて保存される。
【００４５】
その後、マッピング処理部６０２は、これまでに発生したＤＢアクセスの状況をメモリ上で管理するＤＢアクセスＩＤ関連グラフ６２０（図１５Ａ）へ、ＤＢアクセスＩＤとしてｄ１のノードを追加する（Ｓ１０２２）。次のＳ１０２３のステップはｄ１について該当しないため後述するものとしてスキップし、Ｓ１０２４でｄ１ノードの属性値として、現在実施中のＷｅｂアクセスＩＤとして発行されているｗ１、ｗ２を追加する。この時点でのＤＢアクセスＩＤ関連グラフの状況は、図１５Ａの通りであり、属性値はノードの周囲に記述する形態としている。図１５Ａのグラフは、Ｄ１−１送信時点において、Ｄ１−１生成の原因となったＷｅｂアクセスが、Ｗ１−１、Ｗ２−１のいずれかであることを表している。ＤＢアクセスＩＤ関連グラフ６２０は、各ＤＢアクセスが業務ＤＢ３００にアクセス中であるか否か、及び呼び出し元となりうるＷｅｂアクセスとの関係を図示している。ＤＢアクセスＩＤ関連グラフ６２０は、テーブル等の他の表現形式で記述するようにしてもよい。
【００４６】
Ｄ２−１の解析
次に、マッピング処理部６０２は、図４のＤ２−１のメッセージを解析する。Ｄ２−１はＤ１−１と同様にＳＱＬリクエストであるため、マッピング処理部６０２は、図５ＢのＳ１０２１〜Ｓ１０２４の処理を順次実施する。マッピング処理部６０２は、Ｄ２−１を識別するＤＢアクセスＩＤとしてｄ２を発行し、該当するＤＢアクセスタイプＩＤであるｄｔ１と結び付けてＤＢアクセスＩＤリスト６０６へ保存し、図１５Ｂに示すように、ＤＢアクセスＩＤ関連グラフ６２０へｄ２のノードを追加する（Ｓ１０２２）。
【００４７】
Ｄ２−１については、Ｓ１０２３で、後述するfinished属性が付されていないｄ１ノードとの間にリンクを生成する。このリンクはＤＢアクセス間に排他的関係が存在することを示すもので、ｄ１とｄ２とは同一のＷｅｂアクセスから呼び出されることがないことを表している。Ｓ１０２３実行時点で、周囲の他のノードにfinished属性が付与されていないＤＢアクセスは現在アクセス中であるため、そのようなノードとは排他関係となる。この時点でのＤＢアクセスＩＤ関連グラフ６２０の状況は、図１５Ｂの通りであり、ｄ２発行時にアクセス中のＷｅｂアクセスＩＤはｗ１、ｗ２である。
【００４８】
Ｄ１−２の解析
次に、マッピング処理部６０２は、図４のＤ１−２のメッセージを解析する。Ｄ１−２はＤ１−１に対応して業務ＤＢ３００から返されたＳＱＬレスポンスであるため、マッピング処理部６０２は図１５Ｃのように、ｄ１ノードにfinished属性を追加する（Ｓ１０２５）。また、Ｄ１−１に関して現在アクセス中のＷｅｂアクセスＩＤはｗ１、ｗ２であるため、ｄ１のＷｅｂアクセスＩＤ属性であるｗ１、ｗ２は変更されない（Ｓ１０２６）。なお、ＳＱＬのＤＢアクセスであるＳＱＬリクエストとＳＱＬレスポンスには、送信されるＤＢアクセスごとにユニークな送信元ポート番号が付与されるので、マッピング処理部６０２は、この送信元ポート番号によって対応するＳＱＬリクエスト及びレスポンスを特定することができる。
【００４９】
Ｓ１０２７では、ノード属性値の個数が１であるか判定しているため、本例のようにｗ１、ｗ２の２個が対応付けられている場合には、マッピング処理部６０２は、処理をＳ１０３１へ移行させる。Ｓ１０３１では、ノードｄ２にfinished属性が付与されていないため、マッピング処理部６０２は、図５ＡのＳ１００３へ戻りログ解析を続行する。
【００５０】
Ｗ１−２の解析
次に、マッピング処理部６０２は、図４のＷ１−２のメッセージを解析する。Ｗ１−２はＨＴＴＰレスポンスであるため、マッピング処理部６０２はＳ１００８に処理を移行させ、メモリ上のＷｅｂアクセスＩＤリスト６０５からｗ１を削除する（Ｓ１００８）。この時点でＷｅｂアクセスＩＤリスト６０５に存在するＷｅｂアクセスＩＤ６０５１はｗ２のみである。そして、マッピング処理部６０２は、図１５Ｄに示すように、ＤＢアクセスＩＤ関連グラフ６２０において、ノード属性値ｗ１をマークする（Ｓ１００９）。本実施形態では、マークした属性値は、図１５Ｄのように、値の下に下線を引いて表すこととしている。マークされたＷｅｂアクセスＩＤは、当該ＷｅｂアクセスＩＤで特定されるＨＴＴＰリクエストの処理が完了したことを示している。
【００５１】
Ｄ２−２の解析
次に、マッピング処理部６０２は、図４のＤ２−２のメッセージを解析する。Ｄ２−２はＳＱＬレスポンスであるため（Ｓ１００５、ＳＱＬレスポンス）、マッピング処理部６０２は、Ｓ１０２５〜Ｓ１０２７までの処理を順次実施する。Ｓ１０２６実施時点ではアクセス中のＷｅｂアクセスＩＤはｗ２のみであるため、図１５Ｄに示すように、ＷｅｂアクセスＩＤの属性をｗ２に更新する。
【００５２】
このように、処理Ｓ１０２６は、ＤＢアクセス開始時及び終了時において、アクセス中であるＷｅｂアクセスＩＤのリストをそれぞれ取得してその共通部分を算出することにより、Ｗｅｂアクセスマッピング候補を絞り込み、より高い精度でＷｅｂアクセスマッピング候補を類推することができる効果を奏する。特に、本実施形態においては、Ｗｅｂアクセスｗ１、ｗ２はいずれもアプリケーションサーバ２００の同一ＵＲＬへのアクセスであるため、共通部分の算出による絞り込みを実施しないとすれば、ｄ１及びｄ２のＷｅｂアクセスマッピング候補を類推するのは困難である。この場合、ｄ１及びｄ２のＷｅｂアクセスマッピング候補はどちらもｗ１及びｗ２であり、いずれの組合せにおいてもマッピング候補の確度は０．５、つまり等確率となりマッピング確度が低下することになる。
【００５３】
Ｓ１０２７では、ノード属性値のＷｅｂアクセスＩＤがｗ２のみの１個となったため、マッピング処理部６０２は、処理をＳ１０２８へ進め、隣接ノードであるｄ１のＷｅｂアクセスＩＤリスト属性値からｗ２を削除し、ｄ１とｄ２との間のリンクも削除する（Ｓ１０２９）。
【００５４】
その後、マッピング処理部６０２は、Ｓ１０３０で、ｄ２の隣接ノードであるｄ１についても、Ｓ１０２７〜Ｓ１０２９の処理を実施する。Ｓ１０２７では、ノードｄ１のＷｅｂアクセスＩＤリスト属性値はｗ２のみであるから、マッピング処理部６０２は処理をＳ１０２８へ進め、ｄ２のＷｅｂアクセスＩＤリスト属性からｗ１を削除する。この時点でのＤＢアクセスＩＤ関連グラフ６２０の状況は、図１５Ｄに示す通りである。
【００５５】
以上の処理の後、マッピング処理部６０２は、ＤＢアクセスＩＤ関連グラフ６２０の全ノードにfinished属性が付されているか（Ｓ１０３１）、及び各ノードのＷｅｂアクセスＩＤリスト属性値がすべてマークされているか（Ｓ１０３２）を判定する。Ｄ２−２についてはこれらの判定条件を満足するため、マッピング処理部６０２は、処理を図５ＡのＳ１２００へ進める。
【００５６】
＝＝Ｗｅｂアクセスマッピング候補確度算出処理、ＤＢアクセスパターン候補確度算出処理＝＝
Ｓ１２００では、マッピング処理部６０２が、Ｗｅｂアクセスマッピング候補確度の算出処理を行う。Ｗｅｂアクセスマッピング候補確度算出処理の具体的な処理フロー例を、図５Ｃに示している。Ｗｅｂアクセスマッピング候補確度算出処理では、ＤＢアクセスＩＤがｄ１、ｄ２である二種類のＤＢアクセスについて、呼び出し元であるＷｅｂアクセスＩＤを推定し、Ｗｅｂアクセスマッピング候補の抽出及び各候補についての確度の算出を実施する。Ｗｅｂアクセスマッピング候補の確度はログ解析後に図１６に例示するログ監視画面に表示され、ＷｅｂのログとＤＢのログとの結び付き度合いを示す情報となる。
【００５７】
図５Ｃを参照して、具体的にＷｅｂアクセスマッピング候補確度算出処理について説明する。まず、Ｓ１２０１で処理が開始されると、ＤＢアクセスＩＤのｄ１について、図１５ＤのＤＢアクセスＩＤ関連グラフ６２０より、Ｗｅｂアクセスマッピング候補ｗ１をｄ１ノードの属性値から取得する（Ｓ１２０２）。
【００５８】
次に、マッピング処理部６０２は、ｄ１に対するＷｅｂアクセスマッピング候補ｗ１の暫定確度を算出する（Ｓ１２０３）。暫定確度は、ＷｅｂアクセスＩＤｗ１の確度の算出に用いる事前データであり、本実施形態では発生確率をＷｅｂアクセスマッピング候補の数で均等に分割したものとしている。ここでは、ｄ１に対するＷｅｂアクセスマッピング候補がｗ１のみであるため、ｗ１の暫定確度は１である。その後、図７のＷｅｂアクセスＩＤリスト６０５より、ｗ１に対応するＷｅｂアクセスタイプＩＤ６０５２としてｗｔ３を取得する（Ｓ１２０４）。続いて、マッピング処理部６０２は、Ｗｅｂアクセスマッピング結果管理テーブル６１２より、過去に発生したＷｅｂアクセスタイプＩＤであるｗｔ３の出現回数を取得する（Ｓ１２０５）。本実施形態では、図１２Ａより、ＤＢアクセスタイプＩＤとしてのｄｔ１に対するＷｅｂアクセスタイプＩＤ＝ｗｔ３の発生回数として１７を取得する。
【００５９】
次に、マッピング処理部６０２は、Ｓ１２０２で求めたマッピング候補の出現する暫定確度、及びＳ１２０４で求めたマッピング候補の過去の出現回数より、マッピング候補の出現する確度を算出する（Ｓ１２０６）。マッピング候補の出現確度は、対象となっている全てのマッピング候補の（今回を含めた）総出現回数に対する、各マッピング候補の（今回を含めた）総出現回数の割合として算出する。具体的には、次の式によりマッピング確度を算出する。  
マッピング確度＝（対象とするマッピング候補の出現回数＋暫定確度）/（全マッピング候補の出現回数＋暫定確度の合計）…（数式１）
ここでは、マッピング候補はｗ１のみであるため、マッピング確度は１となる。算出した確度は、図１１のように、Ｗｅｂアクセスマッピング候補管理テーブル６０７へ、ＷｅｂアクセスＩＤとＤＢアクセスＩＤとに対応付けて格納する。
【００６０】
その後、マッピング処理部６０２は、上記で求めた確度を過去のＷｅｂアクセスマッピング候補の出現回数を示すマッピング結果管理テーブル６１２へ加算する（Ｓ１２０７）。ここでは、ログ解析実施前のＷｅｂアクセスマッピング結果管理テーブル６１２は図１２Ａの通りであり、ＤＢアクセスタイプＩＤがｄｔ１、ＷｅｂアクセスタイプＩＤがｗｔ３の出現回数に１を加算している。以上でｄ１に関するＷｅｂアクセスマッピング候補の確度算出を終了して、マッピング処理部６０２は、処理を図５Ａのフローへ返す。
【００６１】
続いて、パターン処理部６０３は、Ｓ１２００で算出したマッピング候補の確度を用いてＤＢアクセスパターン候補の確度を算出する（Ｓ１３００）。ＤＢアクセスパターン候補の確度は、Ｗｅｂアクセスマッピング候補の確度と同様に、ログ解析後に図１６に例示するログ監視画面に表示され、ＷｅｂのログとＤＢのログとの結び付き度合いを示す情報となる。
【００６２】
パターン処理部６０３は、ＤＢアクセスパターン結果管理ダイヤグラム６０８を参照して、過去にＷｅｂアクセスタイプＩＤ＝ｗｔ３により発生したＤＢアクセスパターンの出現回数を取得する（Ｓ１３０４）。本実施形態では、図１４より、左から右に向かってノードをスタート→wt3→dt1→エンドの順に辿ったパスが選択され、リーフノードであるエンドに添えられた数を出現回数１２回として取得する。
【００６３】
次に、パターン処理部６０３は、Ｓ１３０３で算出したＤＢアクセスパターン候補の出現する暫定確度、及びＳ１３０４で算出したＤＢアクセスパターン候補の過去の出現回数より、ＤＢアクセスパターン候補の出現する確度を算出する（Ｓ１３０５）。ＤＢアクセスパターン候補の出現確度は、あるＷｅｂアクセスに対するＤＢアクセスパターンについて、対象となっている全てのＤＢアクセスパターン候補の（今回を含めた）総出現回数に対する、各ＤＢアクセスパターン候補の（今回を含めた）総出現回数の割合として算出する。具体的には、次の式によりＤＢアクセスパターン確度を算出する。  
ＤＢアクセスパターン確度＝（対象とするＤＢアクセスパターン候補の出現回数＋暫定確度）/（全ＤＢアクセスパターン候補の出現回数＋暫定確度の合計）…（数式２）
ここでは、ＤＢアクセスパターン候補はスタート→wt3→dt1→エンドのパスを通るパターンのみであるため、マッピング確度は１となる。算出した確度は、図１３Ｂに示すように、ＤＢアクセスパターン候補管理ダイヤグラム６０８に格納する。
【００６４】
その後、パターン処理部６０３は、Ｓ１３０６の処理において、上記で求めた確度を過去のＤＢアクセスパターン候補の出現回数を示すＤＢアクセスパターン結果ダイヤグラム６０８へ加算する。ここでは、スタート→wt3→dt1→エンドのパスの各ノードに付与されている出現回数に、それぞれ１を加算する。以上で、パターン処理部６０３は、ＤＢアクセスパターン候補の確度算出を終了して、処理を図５Ａのフローへ返す。
【００６５】
次に、ＤＢアクセスｄ１と同様の手順で、ＤＢアクセスｄ２についてＷｅｂアクセスマッピング候補の確度を算出する。ＤＢアクセスｄ２の場合、ＤＢアクセスｄ１との変更点は、Ｓ１２０２で取得するＷｅｂアクセスマッピング候補がｗ２のみである点であり、それ以外はＤＢアクセスｄ１の場合と同様である。
【００６６】
また、算出したＷｅｂアクセスマッピング候補の確度を用いてＤＢアクセスパターン候補の確度を算出する場合も、ＤＢアクセスパターン候補はスタート→wt3→dt1→エンドのパスを通るパターンのみであるため、ＤＢアクセスｄ１の場合と同様である。
【００６７】
Ｗ２−２の解析
以下、引き続き、図４におけるＷ２−２以降のパケットデータについての処理について説明する。図５ＡのＳ１００５においてＷ２−２はＨＴＴＰレスポンスであると判定されるため、メモリ上のＷｅｂアクセスＩＤリスト６０５からＷｅｂアクセスｗ２が削除される（Ｓ１００８）。この時点でＷｅｂアクセスＩＤリスト６０５にはＷｅｂアクセスＩＤ６０５１の記録は存在しなくなる。そして、マッピング処理部６０２は、図１５Ｅに示すように、ＷｅｂアクセスＩＤがｗ２であるノード属性値をマークする（Ｓ１００９）。
【００６８】
Ｗ３−１の解析
次に、マッピング処理部６０２は、図４のＷ３−１のメッセージを解析する。図５ＡのＳ１００５においてＷ３−１はＨＴＴＰリクエストであると判定されるため、マッピング処理部６０２は、Ｓ１００６、Ｓ１００７の順に処理を実施する。マッピング処理部６０２は、Ｗ３−１を識別するＷｅｂアクセスＩＤとしてｗ３を発行し、該当するＷｅｂアクセスタイプＩＤ＝ｗｔ１と結び付けてＷｅｂアクセスメモリ上のＷｅｂアクセスＩＤリスト６０５へＷｅｂアクセスＩＤ＝ｗ３を登録する。
【００６９】
Ｄ３−１の解析
次に、マッピング処理部６０２は、Ｄ３−１のメッセージを解析する。図５ＡのＳ１００５においてＤ３−１はＳＱＬリクエストであると判定されるため、マッピング処理部６０２は、図５ＢのＳ１０２１〜Ｓ１０２４の処理を順次実施する。まず、マッピング処理部６０２は、Ｄ３−１を識別するＤＢアクセスＩＤとしてｄ３を発行し、該当するＤＢアクセスタイプＩＤであるｄｔ２と結び付けてＤＢアクセスＩＤリスト６０６へ保存する。その後、マッピング処理部６０２は、ＤＢアクセスＩＤ関連グラフ６２０へＤＢアクセスｄ３のノードを追加する（Ｓ１０２２）。マッピング処理部６０２は、Ｓ１０２３ではＤＢアクセスｄ３について該当しないためリンク生成は実行せず、ｄ３ノードのＷｅｂアクセスＩＤ属性値に現在実施中のＷｅｂアクセスＩＤであるｗ３を追加する（Ｓ１０２４）。
【００７０】
Ｗ４−１の解析
次に、マッピング処理部６０２は、図４のＷ４−１のメッセージを解析する。図５ＡのＳ１００５においてＷ４−１はＨＴＴＰリクエストであると判定されるため、マッピング処理部６０２はＳ１００６、Ｓ１００７の順に処理を実施する。マッピング処理部６０２は、Ｗ４−１を識別するＷｅｂアクセスＩＤとしてｗ４を発行し、該当するＷｅｂアクセスタイプＩＤであるｗｔ２と結び付けて、メモリ上のＷｅｂアクセスＩＤリスト６０５へＷｅｂアクセスＩＤ＝ｗ４を登録する。
【００７１】
Ｄ３−２の解析
次に、マッピング処理部６０２は、図５ＡのＳ１００３に戻ってＤ３−２のメッセージを解析する。図５ＡのＳ１００５においてＤ３−２はＳＱＬレスポンスであると判定されるため、マッピング処理部６０２は、Ｓ１０２５〜Ｓ１０２７の処理を順次実施する。Ｓ１０２６実施時点ではアクセス中のＷｅｂアクセスＩＤはｗ３、ｗ４であるため、ＷｅｂアクセスＩＤの属性値をｗ３のみに更新する。これにより、マッピング処理部６０２は、Ｓ１０２８〜Ｓ１０３０の処理を実行し、ＤＢアクセスＩＤ関連グラフ６２０の状況は、図１５Ｅのようになる。
【００７２】
以上の処理の後、Ｓ１０３１ではグラフ６２０の全ノードにfinished属性が付与されている条件を満足するが、Ｓ１０３２ではグラフの各ノード属性値のＷｅｂアクセスＩＤがすべてマークされている条件を満足しないため、マッピング処理部６０２は図５ＡのＳ１００３に処理を戻して後続のパケットデータについて処理を実施する。
【００７３】
Ｄ４−１の解析
次に、マッピング処理部６０２は、図４のＤ４−１のメッセージを解析する。図５ＡのＳ１００５においてＤ４−１はＳＱＬリクエストであると判定されるため、マッピング処理部６０２は、Ｓ１０２１〜Ｓ１０２４の処理を順次実施する。マッピング処理部６０２は、Ｄ４−１を識別するＤＢアクセスＩＤとしてｄ４を発行し、該当するＤＢアクセスタイプＩＤ＝ｄｔ２と結び付けてＤＢアクセスＩＤリスト６０６へ保存し、ＤＢアクセスＩＤ関連グラフ６２０へＤＢアクセスｄ４のノードを追加する（Ｓ１０２２）。マッピング処理部６０２は、Ｓ１０２３ではｄ４について該当しないためリンク生成することなく、ｄ４ノードの属性値に現在実施中のＷｅｂアクセスＩＤであるｗ３、ｗ４を追加する（Ｓ１０２４）。
【００７４】
Ｄ５−１の解析
次に、マッピング処理部６０２は、図４のＤ５−１のメッセージを解析する。図５ＡのＳ１００５においてＤ４−１と同様に、Ｄ５−１はＳＱＬリクエストであると判定されるため、マッピング処理部６０２は、Ｄ５−１についてＳ１０２１〜Ｓ１０２４の処理を順次実施する。具体的には、マッピング処理部６０２は、Ｄ５−１を識別するＤＢアクセスＩＤとしてｄ５を発行し、該当するＤＢアクセスタイプＩＤであるｄｔ３と結び付けてＤＢアクセスＩＤリスト６０６へ保存する（Ｓ１０２１）。その後、マッピング処理部６０２は、図１５Ｆに示すように、ＤＢアクセスＩＤ関連グラフ６２０へＤＢアクセスｄ５のノードを追加する（Ｓ１０２２）。
【００７５】
次に、マッピング処理部６０２は、ＤＢアクセスＩＤ関連グラフ６２０において、finished属性が付されていないｄ４ノードとの間にリンクを生成する（Ｓ１０２３）。この時点でのＤＢアクセスＩＤ関連グラフ６２０の状況は、図１５Ｆに示す通りであり、ＤＢアクセスＩＤとしてｄ５発行時にアクセス中のＷｅｂアクセスＩＤであるｗ３、ｗ４が、ｄ５ノードのＷｅｂアクセスＩＤ属性値として付加される（Ｓ１０２４）。この後、マッピング処理部６０２は、処理を図５ＡのＳ１００３に移行させて、次のメッセージであるＤ４−２を読み込む。
【００７６】
Ｄ４−２の解析
次に、マッピング処理部６０２は、図４のＤ４−２のメッセージを解析する。図５ＡのＳ１００５においてＤ４−２はＳＱＬレスポンスであると判定されるため、マッピング処理部６０２は、まず図５ＢのＳ１０２５〜Ｓ１０２７の処理を順次実施する。具体的には、マッピング処理部６０２は、ＤＢアクセスｄ５の対象ノードであるＤＢアクセスｄ４にfinished属性を追加する（Ｓ１０２５）。Ｓ１０２６では、アクセス中のＷｅｂアクセスＩＤはｗ３、ｗ４であるため、ｄ５に関するＷｅｂアクセスＩＤの属性値はＤＢアクセスｄ４の属性値との共通部分としてｗ３、ｗ４のままである。したがって、マッピング処理部６０２は、Ｓ１０２７でＤＢアクセスｄ５についてのノード属性値であるＷｅｂアクセスＩＤの個数は１でないと判定して、Ｓ１０３１に処理を移行させる。Ｓ１０３１では、ＤＢアクセスｄ５にまだfinished属性が付与されていないため、マッピング処理部６０２は図５ＡのＳ１００３へ処理を戻して次のメッセージＤ５−２を読み込んでログ解析を続行する。
【００７７】
Ｄ５−２の解析
次に、マッピング処理部６０２はＤ５−２のメッセージを解析する。図５ＡのＳ１００５においてＤ５−２はＳＱＬレスポンスであると判定されるため、マッピング処理部６０２は、図５ＢのＳ１０２５〜Ｓ１０２７の処理を順次実施する。具体的には、まずマッピング処理部６０２は、対応するＤＢアクセスｄ５にfinished属性を付加する（Ｓ１０２５）。Ｓ１０２６では、アクセス中のＷｅｂアクセスＩＤはｗ３、ｗ４であるため、ＤＢアクセスｄ５についてのＤＢアクセスｄ４の属性値との共通部分はｗ３、ｗ４のままである。したがって、マッピング処理部６０２は、Ｓ１０２７でＤＢアクセスｄ５についてのノード属性値であるＷｅｂアクセスＩＤの個数は１でないと判定して、Ｓ１０３１に処理を移行させる。マッピング処理部６０２は、Ｓ１０３１では、図１５Ｇに示すように全ノードにfinished属性が付与されているため、前記のＤＢアクセスＩＤ関連グラフ６２０の各属性値が全てマークされているか調べる。図１５Ｇに示すように、ここではまだすべてにマークされていないため（Ｓ１０３２、Ｎｏ）、マッピング処理部６０２は図５ＡのＳ１００３へ処理を戻して次のメッセージＷ４−２を読み込んでログ解析を続行する。
【００７８】
Ｗ４−２の解析
次に、マッピング処理部６０２は、図４のＷ４−２のメッセージを解析する。図５ＡのＳ１００５においてＷ４−２はＨＴＴＰレスポンスであると判定されるため、マッピング処理部６０２は、メモリ上のＷｅｂアクセスＩＤリスト６０５からＷｅｂアクセスＩＤ６０５１のｗ４を削除する（Ｓ１００６）。この時点でＷｅｂアクセスＩＤリスト６０５に存在するＷｅｂアクセスＩＤ６０５１はｗ５のみである。そして、マッピング処理部６０２は、図１５ＧのＤＢアクセスＩＤ関連グラフ６２０において、ＷｅｂアクセスＩＤ６０５１がｗ４であるノード属性値をマークする（Ｓ１００９）。この後、マッピング処理部６０２は、図５ＡのＳ１００３に処理を戻す。
【００７９】
Ｗ５−２の解析
最後に、マッピング処理部６０２は、図４のＷ５−２のメッセージを解析する。図５ＡのＳ１００５においてＷ５−２はＨＴＴＰレスポンスであると判定されるため、マッピング処理部６０２は、メモリ上のＷｅｂアクセスＩＤリスト６０５からＤＢアクセスｗ５を削除する（Ｓ１００８）。この時点で、図７のＷｅｂアクセスＩＤリスト６０５にはＷｅｂアクセスＩＤ６０５１が存在しなくなる。そして、マッピング処理部６０２は、ＷｅｂアクセスＩＤ６０５１がｗ５であるノード属性値をマークする（Ｓ１００９）。
【００８０】
次に、マッピング処理部６０２は、処理をＳ１００３に移行させるが、これ以上読み込むべきメッセージはなく、すでに全てのデータが読込完了したと判定されるので（Ｓ１００４、Ｙｅｓ）、次いで、ＤＢアクセスＩＤ関連グラフ６２０が全て処理済であるか判定する（Ｓ１０１０）。この時点では、ノードｄ３、ｄ４及びｄ５を含む図１５Ｇに例示するグラフについて未処理であるため、マッピング処理部６０２は、Ｓ１２００へ処理を進める。
【００８１】
＝＝Ｗｅｂアクセスマッピング候補確度算出処理、ＤＢアクセスパターン候補確度算出処理＝＝
Ｓ１２００では、マッピング処理部６０２は、ＤＢアクセスＩＤがｄ３であるＤＢアクセスについて、Ｗｅｂアクセスマッピング候補の確度を算出する。ＤＢアクセスｄ３については、Ｓ１２０２で取得するＷｅｂアクセスマッピング候補がｗ３のみであるため、ＤＢアクセスｄ１、ｄ２の場合と同様に、Ｗｅｂアクセスマッピング候補の確度は１となる。
【００８２】
続いて、マッピング処理部６０２は、ＤＢアクセスＩＤがｄ４であるＤＢアクセスについて、Ｗｅｂアクセスマッピング候補の確度を算出する。ＤＢアクセスｄ４については、Ｓ１２０２で取得するＷｅｂアクセスマッピング候補がｗ３、ｗ４であるため、Ｗｅｂアクセスマッピング候補の暫定確度はそれぞれ１/２となる（Ｓ１２０３）。またＷｅｂアクセスｗ３、ｗ４に対応するＷｅｂアクセスタイプＩＤはそれぞれｗｔ１、ｗｔ２であり、ＤＢアクセスタイプｄｔ２が呼ばれた時のｗｔ１及びｗｔ２の出現回数は、図１２ＡのＷｅｂアクセスマッピング結果管理テーブル６１２より、それぞれ１０回ずつである（Ｓ１２０４、Ｓ１２０５）。以上より、ＤＢアクセスｄ４が呼ばれた時にｗ３が発生した確度は０．５となる。同様に、ＤＢアクセスｄ４が呼ばれた時にｗ４が発生した確度も０．５となる（Ｓ１２０６）。そして、マッピング処理部６０２は、図１２Ｂに例示するように、求めたマッピング確度をそれぞれＷｅｂアクセスマッピング結果管理テーブル６１２へ加算する（Ｓ１２０７）。
【００８３】
次に、マッピング処理部６０２は、ＤＢアクセスＩＤがｄ５であるＤＢアクセスについて、Ｗｅｂアクセスマッピング候補の確度を算出する。この場合も、Ｓ１２０２で取得するＷｅｂアクセスマッピング候補がｗ３、ｗ４であるため、Ｗｅｂアクセスマッピング候補の暫定確度はそれぞれ１/２となる（Ｓ１２０３）。またｗ３、ｗ４に対応するＷｅｂアクセスタイプＩＤはそれぞれｗｔ１、ｗｔ２であり、ＤＢアクセスタイプｄｔ３が呼ばれた時のｗｔ１及びｗｔ２の出現回数は、図１２ＡのＷｅｂアクセスマッピング結果管理テーブル６１２より、それぞれ１３回、１．５回である（Ｓ１２０５）。以上より、ＤＢアクセスｄ５が呼ばれた時にｗ３が呼び出し元である確度は０．８７となる。また、ＤＢアクセスｄ５が呼ばれた時にｗ４が呼び出し元である確度は０．１３となる（Ｓ１２０６）。そして、マッピング処理部６０２は、図１２Ｂに例示するように、求めたマッピング確度をそれぞれｗｅｂアクセスマッピング結果管理テーブル６１２へ加算する（Ｓ１２０７）。この後、マッピング処理部６０２は、処理を図５ＡのＳ１３００へ移行させる。
【００８４】
次に、パターン処理部６０３は、Ｓ１３００において、Ｗｅｂアクセスｗ３及びｗ４に対する、ＤＢアクセスパターン候補の確度を算出する。この場合、図１１のＷｅｂアクセスマッピング候補管理テーブル６０７から、Ｗｅｂアクセスｗ３に対するＤＢアクセスｄ３、ｄ４、及びｄ５の確度は、それぞれ１、０．５、０．８７である。そして、ｗ４に対するｄ４、ｄ５の確度はそれぞれ０．５、０．１３である。また、図１５Ｇを参照すると、ＤＢアクセスｄ４、ｄ５は、どちらか一方がｗ３に対応し、他方がｗ４に対応することとなる。このうち、確率の総和を１としたとき、ＤＢアクセスｄ４とＷｅｂアクセスｗ３、ＤＢアクセスｄ５とＷｅｂアクセスｗ４がそれぞれ対応する確率は、０．１３、ＤＢアクセスｄ４とＷｅｂアクセスｗ４、ＤＢアクセスｄ５とＷｅｂアクセスｗ３がそれぞれ対応する確率は０．８７である。したがって、Ｗｅｂアクセスｗ３及びｗ４のＷｅｂアクセスＩＤに対応するＤＢアクセスパターンは図１３Ａのように表わされる。
【００８５】
次に、パターン処理部６０３は、各ＤＢアクセスパターン候補の暫定確度を算出する（Ｓ１３０３）。まず、パターン処理部６０３は、Ｗｅｂアクセスｗ３に対するＤＢアクセスパターン候補として、スタート→w3→d3→d4、及びスタート→w3→d3→d5のパスを通るパターンを抽出し、暫定確度はそれぞれパス上のノードに添えられた数字の積により算出する。その結果、前者の暫定確度は０．１３、後者の暫定確度は０．８７となる。また、Ｗｅｂアクセスｗ４に対するアクセスパターン候補に対しても同様にして暫定確度を算出する。この場合、スタート→w4→d4のパス、及びスタート→w4→d5のパスを通るパターンの暫定確度は、それぞれ０．８７、０．１３となる。
【００８６】
次に、パターン処理部６０３は、ＤＢアクセスパターン結果管理ダイヤグラム６１３から、過去に発生したＤＢアクセスパターンの出現回数を取得する（Ｓ１３０４）。具体的には、パターン処理部６０３は、上記した各ＤＢアクセスパターン候補に対し、各ノードでＷｅｂアクセスＩＤ及びＤＢアクセスＩＤを、それぞれ対応するＷｅｂアクセスＩＤタイプ及びＤＢアクセスＩＤタイプに置き換え、図１４に示すＤＢアクセスパターン結果管理ダイヤグラム６１３に対しパス検索を実施する。そして、一致するパスについて、リーフノードに添えられた数字を出現回数として返す。
【００８７】
図１３Ｂを参照してＷｅｂアクセスｗ３に対するＤＢアクセスパターン候補、w3→d3→d4の確度を算出すると、０．１９となる（Ｓ１３０５）。同様に、ＤＢアクセスパターン候補、w3→d3→d5、w4→d4, w4→d5の確度を算出すると、それぞれ０．８１、０．８４、０．１６となる。そして、マッピング処理部６０２は、求めたＤＢアクセスパターン確度をそれぞれＷｅｂアクセスマッピング結果管理テーブル６１２へ加算する（Ｓ１３０６）。この後、パターン処理部６０３は、処理を図５ＡのＳ１００３に戻す。
【００８８】
本実施形態のＤＢアクセスｄ４とＷｅｂアクセスｗ４、ｗ５との関係が示すように、ＤＢアクセスＩＤに結びつくＷｅｂアクセスマッピング候補の確度を算出しただけでは、どのＤＢアクセスＩＤがどのマッピング候補と結びつくか判断できない場合がある。しかし、本実施形態では、過去のＤＢアクセスパターンの発生回数に基づいてＤＢアクセスパターン候補の確度を算出することにより、どのＷｅｂアクセスからどのＤＢアクセスが呼び出されたかを高確率で類推できるようにしている。
【００８９】
ここで、すでにキャプチャデータの読込みは全て完了しており（Ｓ１００４）、ＤＢアクセスＩＤ関連グラフ６２０における全ての処理が終了しているため（Ｓ１０１０、Ｙｅｓ）、マッピング処理部６０２は、アクセスログの解析を終了する（Ｓ１１００）。
【００９０】
ログ監視画面例
以上のアクセスログ解析の結果、図１の情報システム１に含まれるログ監視端末７００のログ表示部７０１によりユーザ端末１００のＷｅｂブラウザ上に表示されるログ監視画面例を図１６に示している。図１６の例では、ログ監視画面上で調査対象のＷｅｂアクセスＩＤをマウスによるクリック等によって選択し、その選択したＷｅｂアクセスＩＤ（図１６の「ＷｅｂＩＤ」）に結びつくＤＢアクセスログを色付けして表示する。
【００９１】
本実施形態では、ＷｅｂアクセスＩＤがｗ３で特定される行を指定すると、ｗ３に結び付くＤＢアクセスパターンを画面の下方にランキング表示する。ここでは、８１％の確度で結び付くパターンを選択すると、画面右側に表示されているＤＢアクセスログのうち、ＤＢアクセスＩＤがｄ３及びｄ５で特定される行がＷｅｂアクセスｗ３に結び付くＤＢアクセスとして背景色が変化する。このような出力処理は、例えばアクセスログ解析装置６００のログ描画処理部６０４が、ログ監視端末７００からの検索対象Ｗｅｂアクセスの指定に基づいて、図１３ＢのＤＢアクセスパターン候補管理ダイヤグラム６０８を参照することにより実行される。このような操作により、例えばユーザ端末１００での操作情報などから情報システム１での処理シーケンスをたどって業務ＤＢ３００側で発生している問題の原因追求を行うことが可能となる。その際、情報システム１の構成要素、及び扱われるデータの構造等にはなにも変更を加える必要がない。
【００９２】
なお、本実施形態のアクセスログ解析装置６００は、情報システム１におけるシステムトレースによる問題の原因追及を可能にする以外にも、様々な目的で適用可能である。このような適用例としては、例えば、企業等で利用される業務フローにおける各種申請決済処理、旅費システムにおける精算処理などの業務システムがある。このような業務システムにおける入力作業では、ユーザが多くの情報を入力した後に作業完了のボタンを押す、という手順をとることがある。このような場合、業務システムでは、作業完了のボタンを押下した時点で、ＤＢ情報の追加・更新処理がまとめて発生し、その時にＳＱＬにおけるUPDATE文又はINSERT文が発行される。したがって、ＤＢアクセスログの中にUPDATE文又はINSERT文を発行したＤＢアクセスＩＤに結びつくＨＴＴＰレスポンスを作業終了の区切りとみなし、また次の作業終了の区切りまでの間を一つの作業単位とみなすことで、作業単位での業務の流れを時系列で取得することができる。
【００９３】
以上説明したように、本実施形態のアクセスログ解析装置によれば、情報システムで稼働しているアプリケーション等の要素に改変を加えることなく、対象情報システムにおいて通常実行されている情報処理のログを収集して解析することにより情報システム内で実行された情報処理フローを所定の確度で把握することができる。
【００９４】
なお、本発明は、上述した実施形態に限定されない。当業者であれば、本発明の範囲内で、種々の追加や変更等を行うことができる。例えば、上記各実施の形態を適宜組み合わせることができる。
【符号の説明】
【００９５】
１  情報システム    １０  情報処理装置    １１  ＣＰＵ    １２  メモリ
１３  通信装置    １４  入力装置    １５  出力装置    １６  読取装置
１７  外部記憶装置    １８  可搬性を有する記憶媒体
１００  ユーザ端末    ２００  アプリケーションサーバ
３００  業務ＤＢ    ４００  パケット複製装置    
５００  パケットキャプチャ装置    ６００  アクセスログ解析装置
６０１  パケット管理部    ６０２  Ｗｅｂアクセスマッピング候補類推処理部
６０３  ＤＢアクセスパターン類推処理部    ６０４  ログ描画処理部
６０５  ＷｅｂアクセスＩＤリスト    ６０６  ＤＢアクセスＩＤリスト
６０７  Ｗｅｂアクセスマッピング候補管理テーブル
６０８  ＤＢアクセスパターン候補管理ダイヤグラム  ６０９  パケット管理テーブル
６１０  Ｗｅｂアクセスタイプ管理テーブル    ６１１  ＤＢアクセスタイプ管理テーブル
６１２  Ｗｅｂアクセスマッピング結果管理テーブル
６１３  ＤＢアクセスパターン結果管理ダイヤグラム    ７００  ログ監視端末
７０１  ログ表示部    ８００  通信ネットワーク
【図１】
2014006715.tif 000003
【図２】
2014006715.tif 000004
【図３】
2014006715.tif 000005
【図５Ａ】
2014006715.tif 000006
【図５Ｂ】
2014006715.tif 000007
【図５Ｃ】
2014006715.tif 000008
【図５Ｄ】
2014006715.tif 000009
【図６】
2014006715.tif 000010
【図７】
2014006715.tif 000011
【図８】
2014006715.tif 000012
【図９】
2014006715.tif 000013
【図１０】
2014006715.tif 000014
【図１１】
2014006715.tif 000015
【図１２Ａ】
2014006715.tif 000016
【図１２Ｂ】
2014006715.tif 000017
【図１３Ａ】
2014006715.tif 000018
【図１３Ｂ】
2014006715.tif 000019
【図１４】
2014006715.tif 000020
【図１５Ａ】
2014006715.tif 000021
【図１５Ｂ】
2014006715.tif 000022
【図１５Ｃ】
2014006715.tif 000023
【図１５Ｄ】
2014006715.tif 000024
【図１５Ｅ】
2014006715.tif 000025
【図１５Ｆ】
2014006715.tif 000026
【図１５Ｇ】
2014006715.tif 000027
【図４】
2014006715.tif 000028
【図１６】
2014006715.tif 000029