(57)【要約】【課題】  利用者が、複数の形式が混在した機械の生成する膨大なログメッセージを、ある特定の形式に依存することなく、その利用者にとって効果的にログ全体の可視化を行う。【解決手段】  本発明は、利用者から可視化するログ情報の時系列、可視化対象の監視機器ラベル、任意の規則に合致したログテンプレートラベル、ログテンプレートの発生頻度、ログテンプレートの周期性を受け付け、当該指定に基づいて、ログ情報記憶手段のログ情報と、ログテンプレート記憶手段またはロググループ記憶手段の情報とのマッチングを行い、ロググループ、ログテンプレートラベルを縦軸、ログ情報の発生時間を横軸にプロットすることによりグラフを生成し、表示装置に出力する。【選択図】  図１
2014153721.tif 000002
【特許請求の範囲】
【請求項１】
複数の監視対象機器のログ情報を可視化するためのログ可視化装置であって、
前記監視対象機器毎の機器識別情報及び該監視対象機器の付加的属性によって付与された監視機器ラベルを含むログ情報を格納するログ情報記憶手段と、
前記ログ情報から抽出された重要とされる部分（以下、「ログテンプレート」と記す）に、利用状況に応じてラベル（以下、「テンプレートラベル」と記す）が付与されたテンプレート情報を格納するログテンプレート記憶手段と、
前記テンプレート情報の同時生起性に基づいてグルーピングされ、ラベル（以下、「テンプレートラベル」と記す）が付与されたロググループを格納するロググループ記憶手段と、
利用者から可視化するログ情報の時系列、可視化対象の監視機器ラベル、任意の規則に合致したログテンプレートラベル、ログテンプレートの発生頻度、ログテンプレートの周期性を受け付ける入力手段と、
前記入力手段による指定に基づいて、前記ログ情報記憶手段の前記ログ情報と、前記ログテンプレート記憶手段または前記ロググループ記憶手段の情報とのマッチングを行い、ロググループ、ログテンプレートラベルを縦軸、ログ情報の発生時間を横軸にプロットすることによりグラフを生成し、表示装置に出力するグラフ生成手段と、
を有することを特徴とするログ可視化装置。
【請求項２】
前記グラフ生成手段は、
前記グラフの縦軸に、
前記ログテンプレート及び前記ロググループの頻度が低いものほど高い値をとるようにマッピングする、
前記ログテンプレート及び前記ロググループの出現順が遅いほど高い値をとるようにマッピングする、
前記ログテンプレート及び前記ロググループの周期性の値が低いものを高い値をとるようにマッピングする、
類似する前記ログテンプレート及び前記ロググループが近くなるようにマッピングする、
予め前記ログテンプレート及び前記ロググループの順序関係を定義しておき、マッピングする、
の少なくとも１つ、または、複数組み合わせて前記グラフを描画する手段を含む
請求項１記載のログ可視化装置。
【請求項３】
前記グラフ生成手段は、
前記監視対象機器の装置種別ごとに前記グラフを分割して表示する手段を含む
請求項１記載のログ可視化装置。
【請求項４】
前記グラフ生成手段は、
前記ロググループに発生するログテンプレート数、または、同一時間で発生した回数の多いログテンプレート及びロググループの数に応じて、前記グラフの表示に用いるシンボルの表示を変更する手段を含む
請求項１記載のログ可視化装置。
【請求項５】
前記グラフ生成手段は、
前記機器識別情報毎にシンボルの形状や色、大きさを変更する手段を含む
請求項１記載のログ可視化装置。
【請求項６】
複数の監視対象機器のログ情報を可視化するためのログ可視化方法であって、
前記監視対象機器毎の機器識別情報及び該監視対象機器の付加的属性によって付与された監視機器ラベルを含むログ情報を格納するログ情報記憶手段と、
前記ログ情報から抽出された重要とされる部分（以下、「ログテンプレート」と記す）に、利用状況に応じてラベル（以下、「テンプレートラベル」と記す）が付与されたテンプレート情報を格納するログテンプレート記憶手段と、
前記テンプレート情報の同時生起性に基づいてグルーピングされ、ラベル（以下、「テンプレートラベル」と記す）が付与されたロググループを格納するロググループ記憶手段と、
入力手段と、グラフ生成手段と、を有する装置において、
前記入力手段が、利用者から可視化するログ情報の時系列、可視化対象の監視機器ラベル、任意の規則に合致したログテンプレートラベル、ログテンプレートの発生頻度、ログテンプレートの周期性を受け付ける入力ステップと、
前記グラフ生成手段が、前記入力ステップによる指定に基づいて、前記ログ情報記憶手段の前記ログ情報と、前記ログテンプレート記憶手段または前記ロググループ記憶手段の情報とのマッチングを行い、ロググループ、ログテンプレートラベルを縦軸、ログ情報の発生時間を横軸にプロットすることによりグラフを生成し、表示装置に出力するグラフ生成ステップと、
を行うことを特徴とするログ可視化方法。
【請求項７】
前記グラフ生成ステップにおいて、
前記グラフの縦軸に、
前記ログテンプレート及び前記ロググループの頻度が低いものほど高い値をとるようにマッピングする、
前記ログテンプレート及び前記ロググループの出現順が遅いほど高い値をとるようにマッピングする、
前記ログテンプレート及び前記ロググループの周期性の値が低いものを高い値をとるようにマッピングする、
類似する前記ログテンプレート及び前記ロググループが近くなるようにマッピングする、
予め前記ログテンプレート及び前記ロググループの順序関係を定義しておき、マッピングする、
の少なくとも１つ、または、複数組み合わせて前記グラフを描画する
請求項６記載のログ可視化方法。
【請求項８】
コンピュータを、
請求項１乃至５のいずれか１項に記載のログ可視化装置の各手段として機能させるためのログ可視化プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログ可視化装置及び方法及びプログラムに係り、特に、多種多様な機器が出力するログ情報から利用者にとって有用な情報を可視化するためのログ可視化装置及び方法及びプログラムに関する。詳しくは、利用者が機器の生成するログの形式の生成則を事前に知ることなく必要な情報を可視化するのに好適な技術に関する。
【背景技術】
【０００２】
今日、コスト削減を主な理由として、異なる製造元の、異なる役割を持つ機器やソフトウェアの一元的な監視・管理が行われている。一方で、こうした多種多様な機器やソフトウェアはそれぞれ独自の形態を持つログを出力する機構を有しており、機器の監視・管理を行う際において使用される。情報機器の発展に伴い、これらのログ情報は複雑・大規模化しており、効率的な監視方法が必要となっている。
【０００３】
こうした中で、ログ分析を簡略化するための分析基盤がある。利用者は基盤上でログメッセージの発生状況などを可視化することで、現在のネットワークの状況を監視することができる（例えば、非特許文献１参照）。
【０００４】
また、ルータなどのネットワーク機器の生成するsyslogを対象とし、ベンダやメッセージタイプ、エラーコード、詳細なメッセージ内容といったある程度の形式を事前に与えられた場合におけるテンプレートの把握法を与えている。ルータの位置関係などを利用して、syslogのダイジェスト情報を表示する手法を提案している（例えば、非特許文献２参照）。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】Splunk  http://www.splunk.com/
【非特許文献２】T. Qiu, Z. Ge, D. Pei, J. Wang, J. Wang, J, Xu, "What Happened in my Network? Mining Network Events from Router Syslog", In Proc. of IMC, 2010.
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記の非特許文献１の技術で可能となる可視化は、ログの形式や内部に含まれる文字列を指定することによる、ログ内のパラメータや対象となる文字列の統計量や時間推移に関するものであり、異なる役割や製造元の機器から生成される大規模、複雑なログを一時的に可視化する用途には向かない。
【０００７】
また、非特許文献２の技術では、少なくとも情報を収集する段階での事前知識が必要である。例えば、どのベンダからログを収集しているか、メッセージ内のどの部分がエラーコードを示しているのかといったことを把握しておかなければならず、テンプレート把握機構を単純に用意するだけでなく、事前の手動での入力や準備が必要となる。また、syslogのダイジェスト表示機能は、syslogに特化した手法であるために、その他の監視ログ情報への適用ができない。また、得られた情報はダイジェスト情報ではあるが、テキスト・メッセージであり、ネットワーク監視を行う際に直感的な解釈を得るには不十分である。
【０００８】
本発明は上記の点に鑑みなされたもので、利用者が、複数の形式が混在した機械の生成する膨大なログメッセージを、ある特定の形式に依存することなく、その利用者にとって効果的にログ全体の可視化を行うことが可能なログ可視化装置及び方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記の課題を解決するため、本発明（請求項１）は、複数の監視対象機器のログ情報を可視化するためのログ可視化装置であって、
前記監視対象機器毎の機器識別情報及び該監視対象機器の付加的属性によって付与された監視機器ラベルを含むログ情報を格納するログ情報記憶手段と、
前記ログ情報から抽出された重要とされる部分（以下、「ログテンプレート」と記す）に、利用状況に応じてラベル（以下、「テンプレートラベル」と記す）が付与されたテンプレート情報を格納するログテンプレート記憶手段と、
前記テンプレート情報の同時生起性に基づいてグルーピングされ、ラベル（以下、「テンプレートラベル」と記す）が付与されたロググループを格納するロググループ記憶手段と、
利用者から、可視化するログ情報の時系列、可視化対象の監視機器ラベル、任意の規則に合致したログテンプレートラベル、ログテンプレートの発生頻度、ログテンプレートの周期性を受け付ける入力手段と、
前記入力手段による指定に基づいて、前記ログ情報記憶手段の前記ログ情報と、前記ログテンプレート記憶手段または前記ロググループ記憶手段の情報とのマッチングを行い、ロググループ、ログテンプレートラベルを縦軸、ログ情報の発生時間を横軸にプロットすることによりグラフを生成し、表示装置に出力するグラフ生成手段と、を有する。
【００１０】
また、本発明（請求項２）は、前記グラフ生成手段において、前記グラフの縦軸に、
前記ログテンプレート及び前記ロググループの頻度が低いものほど高い値をとるようにマッピングする、
前記ログテンプレート及び前記ロググループの出現順が遅いほど高い値をとるようにマッピングする、
前記ログテンプレート及び前記ロググループの周期性の値が低いものを高い値をとるようにマッピングする、
類似する前記ログテンプレート及び前記ロググループが近くなるようにマッピングする、
予め前記ログテンプレート及び前記ロググループの順序関係を定義しておき、マッピングする、
の少なくとも１つ、または、複数組み合わせて前記グラフを描画する手段を含む。
【００１１】
また、本発明（請求項３）は、前記グラフ生成手段において、
前記監視対象機器の装置種別ごとに前記グラフを分割して表示する手段を含む。
【００１２】
また、本発明（請求項４）は、前記グラフ生成手段において、
前記ロググループに発生するログテンプレート数、または、同一時間で発生した回数の多いログテンプレート及びロググループの数に応じて、前記グラフの表示に用いるシンボルの表示を変更する手段を含む。
【００１３】
また、本発明（請求項５）は、前記グラフ生成手段において、
前記機器識別情報毎にシンボルの形状や色、大きさを変更する手段を含む。
【発明の効果】
【００１４】
上記のように本発明によれば、利用者が監視対象とする機器群が生成する十分な稜を過去のログ情報を分析することにより、複数の形式が混在した機器の生成する膨大なログメッセージを、ある特定の形式に依存することなく、その利用者にとって効果的にログ全体の可視化を行うことが可能となる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施の形態におけるシステム構成図である。
【図２】本発明の一実施の形態におけるログプロット利用フローである。
【図３】本発明の一実施の形態におけるグラフ例である。
【図４】本発明の第１の実施例のシステム構成例（オフライン利用例）である。
【図５】本発明の第２の実施例のシステム構成例（オンライン利用例）である。
【発明を実施するための形態】
【００１６】
以下、図面と共に本発明の実施の形態を説明する。
【００１７】
本発明は、利用者が監視対象とする機器群が生成する十分な量の過去の情報を分析することにより課題を解決するものである。
【００１８】
図１は、本発明の一実施の形態におけるシステム構成を示す。
【００１９】
同図に示すログ可視化装置１０は、ユーザインタフェース１１、ファイル制御部１２、グラフ生成部１３、ロググループDB１４、ログテンプレートDB１５、ログDB１６を有する。ユーザインタフェース１１には、利用者が用いる入力装置２０と表示装置３０が接続されている。
【００２０】
ロググループDB１４には、表１に示すように、テンプレートID毎にログテンプレートが格納されている。
【００２１】
【表１】
2014153721.tif 000003
ログテンプレートDB１５には、表２に示すように、ロググループID毎にグループに属するログテンプレートIDが格納されている。なお、ロググループの作成は過去のデータから予めオフラインで行われているものとする。
【００２２】
【表２】
2014153721.tif 000004
ログDB１６には、表２に示すように、ログ収集装置４０で収集されたログメッセージとして、ログ生起時間、ログ、ホストID，テンプレートIDが格納されている。
【００２３】
【表３】
2014153721.tif 000005
ファイル制御部１２は、ログメッセージ内の重要とされる部分（以下、「ログテンプレート」と記す）を抽出し、ユーザインタフェース１１を介して利用者から入力されたラベル（以下、「テンプレートラベル」と記す）を付与し、ログテンプレートDB１５に格納する。ログテンプレートの抽出方法として、対象がsyslogのみではない一般的なログのテンプレートを抽出する方法である。この方法は、ログDB１６からログメッセージを取得して、ログメッセージに含まれる各単語に対して、出現位置と単語・ログメッセージ内の単語数の出現頻度の組に基づいてスコアを算出し、当該スコアに基づいてクラスタリングを行うことによりテンプレートを作成する。このとき、クラスタリングされたクラスタの値の高いものから併合し、ログメッセージの総単語数と重要な単語を含むクラスタの範囲を決定するための所定の閾値を乗じた値を超えた時点において併合した単語の集合をテンプレートとする方法がある。
【００２４】
上記のテンプレートラベルは、利用状況に応じて、サービス形式、ログ優先度・重要度、などのラベルを指す。なお、テンプレートラベルは利用者が必要に応じて付与するものであり、なくても構わない。
【００２５】
また、ファイル制御部１２は、各ログテンプレートについて、既存のログ生起ルール抽出法などを用いて、その同時生起性によりグルーピングし、ログテンプレートのグループ（以下「ロググループ」と記す）をログテンプレートDB１５に格納する。この際、グループに含まれるログテンプレート要素は１つでも構わず、また複数のグループに属することを許容する。ログ生起ルール抽出方法としては、ログの同時生起性に注目してログの生起ルールを自動的に把握する方法がある。この方法は、過去に生起したログに対応するテンプレートを抽出し、監視対象機器毎にテンプレートの同時生起性の高いものをクラスタリングし、監視対象機器及びテンプレートのグループを生成し、当該グループをイベントとし、当該イベントの監視対象機器及びテンプレートに対して生起回数を計数し、出現回数の多いものを生起ルールとする方法がある。
【００２６】
事前に把握されたロググループは、これまでにそのロググループが出現した時間を把握しているものとし、ロググループDB１４に当該時間も格納しているものとする。
【００２７】
ログ収集装置４０は、ログを生成しログDB１６に格納する。当該ログには、該当ログを生成した監視対象機器５０を指し示す情報（例えば、機器ID）が含まれており、監視対象機器５０を特定することができるものとする。また、利用状況に応じて、これらの監視対象機器５０の情報はサービス形式、位置、機器型式などの付加的属性によってラベル付けされているとする。これらのラベルは利用者が必要に応じて与えるものであり、無くても構わない。以下、これを「監視機器ラベル」と記す。
【００２８】
グラフ生成部１３は、まず、ログDB１６に格納されている過去に生起したログ情報がどのログテンプレート及びロググループに一致するか、ログテンプレートDB１５、ロググループDB１４をマッチングすることにより調べ、これをグラフとしてユーザインタフェース１１を介して表示装置３０に描画する。
【００２９】
以下では、図２の手続図を用いて本発明の方法を詳細に説明する。
【００３０】
予め、各監視対象機器５０には固有の監視機器IDを割り振り、同様に各ログテンプレートにもログテンプレートIDが割り振られているものとする。
【００３１】
ステップ１０１）  まず、利用者は入力装置２０から可視化を行いたいログの時系列を指定する。具体的には、時刻や時間幅を入力する。
【００３２】
ステップ１０２）  続いて、入力装置２０からサービス提供タイプや監視機器群タイプ、エリア名、対応する顧客タイプ、可視化対象の監視機器ラベルを受け付ける。なお、監視機器ラベルはベンダ、エリア、対象サービス、プロトコルなど監視機器に関する情報を指す。
【００３３】
続いて、利用者は、入力装置２０から任意の規則（例えば、特定の単語を含む）に合致したログテンプレートラベル、ログテンプレートの発生頻度、ログテンプレートの周期性など様々な条件など、任意の規則に合致したログテンプレートを指定し、これらを表示対象あるいは非対象とするかを指定する。なお、ログテンプレートラベルとは、ログテンプレートの緊急度、サービス、対象部位等を表すものである。
【００３４】
ステップ１０３）  利用者は、ログテンプレートの発生頻度（全観測時間の中で発生した秒数など）によるフィルタを指定する。長い時系列においては高頻度に発生するログは異常性が低いと考えられるため、これをフィルタリングすることにより、異常な系列を視認し易くなる。この発生頻度は、観測時間内だけでなく、任意の時間幅内の値として取得できるものとする。
【００３５】
ステップ１０４）  ログテンプレートの周期性によるフィルタを指定する。例として、毎日周期的に発生するcronジョブが発生するログメッセージは、異常性は低いが、頻度は低いため頻度フィルタによる除去ができない。そこで、周期性に着目したフィルタリングを行う。周期性を計算する方法は多く考えられるが、例として、以下のような日毎の発生回数の変動係数によるものがある。この周期性は、観測時間内だけでなく、任意の時間幅内の値として取得できるものとする。
【００３６】
例えば、固有な｛ログテンプレート，発生した監視機器｝の組み合わせの生起回数を一日などのある決まった時間区切り毎で計算し、一週間分などいくつか標本を集める。得られた発生回数の要素の変動係数を計算することで、各時間区切りでの発生回数にどれだけばらつきがあるかを計算できる。
【００３７】
ステップ１０５）  続いて、グラフ生成部１３において、ログDB１６のログとログテンプレートDB１５のログテンプレート、または、ログとロググループDB１４のロググループとのマッチングを行い、どの時間でどのログテンプレートまたはどのロググループが発生したかを把握する。
【００３８】
グラフ生成部１３は、図3に示すように、ロググループ、ログテンプレートIDを縦軸、ログの発生した時間を横軸とし、該当するログテンプレートまたはロググループが発生すれば、そのID及び時間の箇所に点を描画する。この際、色や点の形を用いて一意に発生した監視機器が識別できるように描画する。なお、ロググループ及びログテンプレートIDの縦軸へのマッピング方法については、以下に挙げるいくつかの指標を組み合わせることにより、利用用途に応じた自在な可視化が可能となる。
【００３９】
<指標＞
(a)発生頻度：ログテンプレート及びロググループの頻度が低いものほど高い縦軸の値をとる。また、この頻度は全観測時間内か、選択した時間内などの任意の時間幅で設定できるものとする。さらに、フィルタを行う前の頻度か、フィルタを行った後の頻度かのどちらかの値を採用するかも選択できるものとする。
【００４０】
(b)発生順：ログテンプレート及びロググループの出現順に縦軸の値を低いものから順に取得するものとする。この場合、後に発生したログほど高い縦軸の値をとることとなり、ある異常な事象から遡って原因を追求する際に、直前に起こったログほど高い位置に描画されているため確認がしやすいという利点がある。
【００４１】
(c)周期性：(a)と同様に、ログテンプレート及びロググループの周期性の値が低いものほど高い縦軸の値をとる。また、周期性は全ての観測時間内と、選択した時間内など任意の時間幅内の値として取得できるものとする。さらに、フィルタリングを行う前の周期性の値か、フィルタリングを行った後の周期性の値かのどちらかの値を採用するかも選択できるものとする。
【００４２】
(d)ロングテンプレート及びロググループの類似性：事前にログテンプレート及びロググループ内の単語を比較し、それぞれの類似性関係を把握しておくことで、類似なログテンプレート及びロググループが近い縦軸をとるようにする。この場合、順序関係を形成することはできないため、他の指標を第１ソートとし、第２ソートにこれを用いる方法などが考えられる。ログテンプレートＡとログテンプレートＢの類似関係の把握の方法は様々考えられるが、例として、ＡとＢに含まれる単語のcos類似度で計算する方法などがある。cos類似度は、ログテンプレートに含まれる可能な限りの単語数Vとした場合に、そのログテンプレート内に、j個目（j=1,…,V）の単語が含まれれば、j番目が１となり、その他が０となるようなV次元ベクトルを各ログテンプレートに割り当てることで、任意の２つのベクトルに対して計算できる。類似度の計算方法は、cos類似度に限らず、編集距離や、jaccard距離といった様々な距離が考えられる。
【００４３】
(e)利用者が事前に与える順序：事前に利用者がログテンプレート及びロググループに対して順序関係を定義しておくことで、縦軸にログテンプレート及びロググループをマッピングできる。
【００４４】
上記の指標(a)〜(e)はそれぞれ組み合わせることで異なったグラフを出力できる。例えば、第１ソートに(a)を、第２ソートに(c)を使用すれば、頻度の低いものほど高い位置にプロットされ、同じ頻度であれば出現が遅いものほど高い位置になる。これはある異常な事象からログを遡って原因を追求していく際に有効である。
【００４５】
一方、(d)と(a)を組み合わせることにより、基本的に発生頻度の低いものが高い位置にあるが、内容が似ている発生頻度の高いログを低い位置あるいは高い位置に描画することができる。これにより、発生頻度のみでなくログの内容にあった可視化が可能となる。
【００４６】
また、縦軸の表示法を変更する意外の可視化のバリエーションとして、以下の(f)，(g)のような方法がある。
【００４７】
(f)装置種別ごとにグラフを分割して表示する。例えば、画面１には監視機器ID 1〜10番を表示し、画面２には監視機器ID 11〜20番を表示する方法である。それぞれの分割されて表示されたグラフ内の表示法は(a)〜(e)の方法に準ずる。
【００４８】
(g)ロググループに発生するログテンプレート数や、同一時間で発生した回数の多いログテンプレート及びロググループ数に応じて、グラフの表示に用いるシンボルの表示の大きさを変更する。このとき、大量に発生したログテンプレートやロググループにしたがってシンボルが大き過ぎないよう、閾値を設けることや、発生数ｘとした際に緩やかに増加する関数（例えば、log(x)）に従い、シンボルのサイズを決定するなどの方法がある。
【００４９】
(h)事前に利用者が指定した監視機器IDに該当するシンボルの形状や色、大きさを指定し、これに従って表示を行うことで、指定した監視機器に関する情報を強調表示することが可能である。
【００５０】
ステップ１０６）  以上により、グラフ生成部１３は、描画したグラフを表示装置３０に表示する。
【実施例】
【００５１】
［第１の実施例］
図４は、本発明の第１の実施例のシステム構成を示す。
【００５２】
同図に示すシステムは、ログ可視化装置２００には、ユーザインタフェース２１０が接続され、ユーザインタフェース２１０には、グラフ生成エンジン２２０が接続されている。ユーザインタフェース２１０は、利用者１００から事前に入力されたフィルタの設定値やグラフの縦軸の構成法等をグラフ生成エンジン２２０に入力すると共に、グラフ生成エンジン２２０から取得した情報を出力する。
【００５３】
利用者１００は、図２に示すステップ１０１〜ステップ１０４までの処理をログ可視化装置２００のユーザインタフェース２１０に対して実行しているものとする。
【００５４】
グラフ生成エンジン２２０は、同時生起しやすいテンプレートをまとめたグループを格納するロググループDB２４０、過去に生起したログのテンプレートが保存されているログテンプレートDB２５０、ログ収集装置２３０で収集されたログを格納したログDB２６０を参照し、その内容をユーザインタフェース２１０に出力する。
【００５５】
図４のシステム構成例では、ログ収集装置２３０で収集されたログを、予めログDB２６０に保存している場合を想定している。グラフ生成エンジン２２０は、図２のステップ１０５の処理を行うことにより、過去に起こったログのダイジェストとして、任意の過去の時間のログの生起を示すグラフを出力することができる。
【００５６】
具体的には、入力とするログはどのような機器のものでも問題ないが、例えば、ネットワーク監視のためのルータのsyslogなどが考えられる。この場合において、図４のオフライン形態について説明する。
【００５７】
ネットワーク機器の生成するログは、ログ収集装置２３０によって一元的に収集され、事前に用意されたテンプレート及び監視機器の情報が付与され、ログDB２６０に保存される。
【００５８】
利用者は、分析したい時間系列及び監視機器群、サービスタイプ、位置などを指定し、それに応じてログ情報のフィルタリングがグラフ生成エンジン２２０で行われる。なお、これらの工程は、すべてオフラインで行われる。グラフ生成エンジン２２０で生成されたグラフはユーザインタフェース２１０を介して、それぞれ利用者端末１００に提供される。
【００５９】
［第２の実施例］
前述の第１の実施例では、予めログ情報がログDB２６０に蓄積されており、オフラインでルール把握を適用する場合を考えたが、オンラインで事前登録したイベント（例えば、故障）をトリガとしての利用も可能であるので、本実施例ではオンライン例を示す。
【００６０】
図５は、本発明の第２の実施例のシステム構成例（オンライン利用例）である。
【００６１】
同図において、図４と同一構成部分には同一符号を付す。同図に示すシステムでは、図４の構成に、外部装置の故障監視装置４００及びトリガ・イベントDB２７０が付加された構成である。故障監視装置４００は、例えば、監視対象機器３１０１の故障を検出すると、その故障情報をトリガ・イベントDB２７０に格納する。グラフ生成エンジン２２０は、トリガ・イベントDB２７０に故障情報が格納されたことをトリガとして、第１の実施例のロググループDB２４０、ログテンプレートDB２５０、ログDB２６０を参照してグラフ生成を行い、ユーザインタフェース２１０を介して利用者にグラフを提示する。
【００６２】
ログ収集装置２３０から送られたログ情報が、どのテンプレートに属するか、どのログテンプレートグループに属するかなどが、ユーザインタフェース２１０を介して利用者の端末１００に提供されることによって把握され、同時に監視機器情報の把握も行われる。
【００６３】
なお、上記の実施の形態におけるユーザインタフェース１１、ファイル制御部１２、グラフ生成部１３、実施例のユーザインタフェース２１０、グラフ生成エンジン２２０の処理をプログラムとして構築し、ログ可視化装置として利用されるコンピュータにインストールして実行させる、または、ネットワークを介して流通させることが可能である。
【００６４】
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において種々変更・応用が可能である。
【符号の説明】
【００６５】
１０  ログ可視化装置
１１  ユーザインタフェース
１２  ファイル制御部
１３  グラフ生成部
１４  ロググループDB
１５  ログテンプレートDB
１６  ログDB
２０  入力装置
３０  表示装置
４０  ログ収集装置
５０  監視対象機器
１００  利用者
２００  ログ可視化装置
２１０  ユーザインタフェース
２２０  グラフ生成エンジン
２３０  ログ収集装置
２４０  ロググループDB
２５０  ログテンプレートDB
２６０  ログDB
２７０  トリガ・イベントDB
３００  監視対象機器群
３１０  監視対象機器
【図１】
2014153721.tif 000006
【図２】
2014153721.tif 000007
【図３】
2014153721.tif 000008
【図４】
2014153721.tif 000009
【図５】
2014153721.tif 000010