(57)【要約】  本発明は、ログの様々な周期性およびそのゆらぎを考慮してログの分析をすることができるログ分析システム、方法およびプログラムを提供する。本発明の一実施形態に係るログ分析システムは、周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析システムであって、前記分析対象ログに含まれる各ログの形式を判定するフォーマット判定部と、前記形式毎に前記ログの時系列の出現頻度を集計する時系列分布取得部と、前記時系列の出現頻度に基づいて、前記形式毎に周期を判定する周期判定部と、前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成するモデル学習部と、を備える。
2017115458.tif 000002
【特許請求の範囲】
【請求項１】
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析システムであって、
前記分析対象ログに含まれる各ログの形式を判定する形式判定部と、
前記形式毎に前記ログの時系列の出現頻度を集計する時系列分布取得部と、
前記時系列の出現頻度に基づいて、前記形式毎に前記周期を判定する周期判定部と、
前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する学習部と、
を備えるログ分析システム。
【請求項２】
前記学習部は、前記周期ログの前記形式と、前記周期とを含む前記情報を生成する、請求項１に記載のログ分析システム。
【請求項３】
前記学習部は、前記周期ログの第１の形式と、前記周期ログの第２の形式との間で、前記周期が一致し、かつ前記時系列の出現頻度の相関度が所定の閾値以上である場合に、前記第１の形式および前記第２の形式の組み合わせを含む前記情報を生成する、請求項１又は２に記載のログ分析システム。
【請求項４】
前記周期判定部は、前記時系列の出現頻度を周波数分布に変換し、前記周波数分布の中で所定の閾値以上の強度を有するピークを抽出し、前記ピークの周波数を時間に変換することによって前記周期を判定する、請求項１〜３のいずれか一項に記載のログ分析システム。
【請求項５】
前記時間範囲は、前記周期の時刻から余裕時間を減算した時刻を下限とし、前記周期の時刻に前記余裕時間を加算した時刻を上限とする範囲である、請求項１〜４のいずれか一項に記載のログ分析システム。
【請求項６】
前記学習部は、前記周期ログの前記形式と、前記周期と、前記余裕時間とを含む前記情報を生成する、請求項５に記載のログ分析システム。
【請求項７】
前記時系列分布取得部は、前記形式と前記ログに含まれる変数値との組み合わせ毎に前記ログの時系列の出現頻度を集計し、
前記周期判定部は、前記時系列の出現頻度に基づいて、前記形式と前記変数値との前記組み合わせ毎に前記周期を判定する、請求項１に記載のログ分析システム。
【請求項８】
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析方法であって、
前記分析対象ログに含まれる各ログの形式を判定する工程と、
前記形式毎に前記ログの時系列の出現頻度を集計する工程と、
前記時系列の出現頻度に基づいて、前記形式毎に前記周期を判定する工程と、
前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する工程と、
を備えるログ分析方法。
【請求項９】
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析プログラムであって、
コンピュータに、
前記分析対象ログに含まれる各ログの形式を判定する工程と、
前記形式毎に前記ログの時系列の出現頻度を集計する工程と、
前記時系列の出現頻度に基づいて、前記形式毎に前記周期を判定する工程と、
前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する工程と、
を実行させるログ分析プログラム。
【請求項１０】
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析システムであって、
前記周期を含む時間範囲に含まれる前記周期ログから判定された形式と、前記周期とを含む情報を記録する記憶部と、
前記記憶部に記録された前記形式および前記周期を含む前記情報に基づいて、判定対象のログが異常であるか否かを判定するログ異常分析部と、
前記ログ異常分析部による判定結果を出力する出力部と、
を備えるログ分析システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログの分析を行うためのログ分析システム、方法およびプログラムに関する。
【背景技術】
【０００２】
一般的にコンピュータ上で実行されるシステムにおいては、複数の装置およびプログラムから、イベントの結果やメッセージ等を含むログが出力される。ログ分析システムは、出力されたログの中から所定の基準に従って異常なものを検出し、異常なログとしてユーザ（オペレータ等）に対して出力する。【０００３】
ログの中には、周期的に出力されるものが存在する。周期的な出力とは、例えば時毎、日毎、週毎、月毎の時間周期で出力されることをいう。周期的に出力されるログが、想定される時刻に出力されない場合、あるいは出力される時刻に遅れがある場合には、システムに異常が発生している可能性がある。そのため、ログ分析システムはログの周期性に基づいて異常の検出を行い得る。【０００４】
特許文献１には、所定の時間毎のログ（ログテンプレート）の発生回数の変動に基づいて、ログのフィルタリングを行う技術が開示されている。例えば、特許文献１の技術は、ある日におけるログの発生回数と別の日におけるログの発生回数との間の変動が大きい又は小さいという情報を取得し、それに基づいてログのフィルタリングを行うことができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１４−１５３７２１号公報
【発明の概要】
【０００６】
ところで、トラフィックや処理対象の変動等によって、周期的なログであってもその出力時刻は変動し得る。換言すると、ログの周期性にはゆらぎがある。ログの出力される時刻を単純に周期として用いると、周期性のゆらぎを考慮することができない。そのため、本来は同じ周期のログが、別の周期のログと判定される場合がある。また、同じ種類のログであっても、異なる周期で出力されるもの、および非周期的に出力されるものがある。
【０００７】
特許文献１の技術は、特定の種類のログの発生回数を所定の時間毎に集計し、その変動係数を算出する。そのため、特許文献１の技術は、同じ種類のログが異なる周期で出力される場合、又は非周期的に出力される場合に、それらを分離することができない。また、特許文献１の技術はログの周期性のゆらぎを考慮していないため、ログが出力される時刻が変動する場合に、ログの周期性を正しく判定できない。
【０００８】
本発明は上述の問題に鑑みて行われたものであって、ログの様々な周期性およびそのゆらぎを考慮してログの分析をすることができるログ分析システム、方法およびプログラムを提供することを目的とする。
【０００９】
本発明の第１の態様は、周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析システムであって、前記分析対象ログに含まれる各ログの形式を判定する形式判定部と、前記形式毎に前記ログの時系列の出現頻度を集計する時系列分布取得部と、前記時系列の出現頻度に基づいて、前記形式毎に前記周期を判定する周期判定部と、前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する学習部と、を備える。
【００１０】
本発明の第２の態様は、周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析方法であって、前記分析対象ログに含まれる各ログの形式を判定する工程と、前記形式毎に前記ログの時系列の出現頻度を集計する工程と、前記時系列の出現頻度に基づいて、前記形式毎に前記周期を判定する工程と、前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する工程と、を備える。
【００１１】
本発明の第３の態様は、周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析プログラムであって、コンピュータに、前記分析対象ログに含まれる各ログの形式を判定する工程と、前記形式毎に前記ログの時系列の出現頻度を集計する工程と、前記時系列の出現頻度に基づいて、前記形式毎に前記周期を判定する工程と、前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する工程と、を実行させるログ分析プログラム。
【００１２】
本発明の第４の態様は、周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析システムであって、前記周期を含む時間範囲に含まれる前記周期ログから判定された形式と、前記周期とを含む情報を記録する記憶部と、前記記憶部に記録された前記形式および前記周期を含む前記情報に基づいて、判定対象のログが異常であるか否かを判定するログ異常分析部と、前記ログ異常分析部による判定結果を出力する出力部と、を備える。
【００１３】
本発明によれば、ログの形式毎にゆらぎを考慮した周期に基づいて、異常判定の基準とする情報を生成し、ログ分析を行うことができる。
【図面の簡単な説明】
【００１４】
【図１】第１の実施形態に係るログ分析システムのブロック図である。
【図２Ａ】第１の実施形態に係る分析対象ログの模式図である。
【図２Ｂ】第１の実施形態に係るフォーマットの模式図である。
【図３】第１の実施形態に係るログの時系列分布のグラフを示す図である。
【図４】第１の実施形態に係る周波数分布のグラフを示す図である。
【図５Ａ】第１の実施形態に係る周期判定部により取得される周期情報の模式図である。
【図５Ｂ】第１の実施形態に係るモデル学習部により生成されるモデル情報の模式図である。
【図６Ａ】第１の実施形態に係るログ異常分析部により判定される異常ログの模式図である。
【図６Ｂ】第１の実施形態に係るログ異常分析部により判定される異常ログの模式図である。
【図６Ｃ】第１の実施形態に係るログ異常分析部により判定される異常ログの模式図である。
【図７】第１の実施形態に係る異常判定結果の表示画面を示す模式図である。
【図８】第１の実施形態に係るログ分析システムの例示的な機器構成を示す概略構成図である。
【図９】第１の実施形態に係るモデル学習処理のフローチャートを示す図である。
【図１０】第１の実施形態に係る異常分析処理のフローチャートを示す図である。
【図１１】第２の実施形態に係るログ分析システムのブロック図である。
【図１２】各実施形態に係るログ分析システムのブロック図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照して、本発明の実施形態を説明するが、本発明は本実施形態に限定されるものではない。なお、以下で説明する図面で、同機能を有するものは同一符号を付け、その繰り返しの説明は省略することもある。
【００１６】
（第１の実施形態）
図１は、本実施形態に係るログ分析システム１００のブロック図である。図１において、矢印は主なデータの流れを示しており、図１に示したもの以外のデータの流れがあってよい。図１において、各ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図１に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受は、データバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてよい。
【００１７】
ログ分析システム１００は、処理部として、ログ入力部１１０、フォーマット判定部１２０、時系列分布取得部１３０、周期判定部１４０、モデル学習部１５０、ログ異常分析部１６０および出力部１７０を備える。また、ログ分析システム１００は、記憶部として、フォーマット記憶部１８１およびモデル記憶部１８２を備える。
【００１８】
ログ入力部１１０は、学習対象又は分析対象とする分析対象ログ１０を取得し、ログ分析システム１００に入力する。分析対象ログ１０は、ログ分析システム１００の外部から取得されてよく、あるいはログ分析システム１００の内部に予め記録されたものを読み出すことにより取得されてよい。分析対象ログ１０は、１つ以上の装置又はプログラムから出力される１つ以上のログを含む。分析対象ログ１０は、任意のデータ形式（ファイル形式）で表されたログであり、例えばバイナリデータ又はテキストデータでよい。また、分析対象ログ１０はデータベースのテーブルとして記録されてよく、あるいはテキストファイルとして記録されてよい。
【００１９】
図２Ａは、例示的な分析対象ログ１０の模式図である。本実施形態における分析対象ログ１０は、装置又はプログラムから出力される１つのログを１単位とし、１つ以上の任意の数のログを含む。１つのログは１行の文字列でよく、あるいは複数行の文字列でよい。すなわち、分析対象ログ１０は分析対象ログ１０に含まれるログの総体を指し、ログは分析対象ログ１０から抜き出された１つのログを指す。各ログは、時刻を示すタイムスタンプ、およびログの内容を表すメッセージ等を含む。ログ分析システム１００は、特定の種類のログに限らず、広範な種類のログを分析対象とすることができる。例えば、ｓｙｓｌｏｇ、イベントログ等のオペレーティングシステムから出力されるメッセージを記録するログを分析対象ログ１０として用いることができる。
【００２０】
フォーマット判定部１２０は、形式判定部であり、分析対象ログ１０に含まれる各ログに対して、フォーマット記憶部１８１に予め記録されているいずれのフォーマットに適合するかを判定し、適合するフォーマットを用いて各ログを変数部分と定数部分とに分離する。フォーマットとは、ログの特性に基づいて予め決められた、ログの形式である。ログの特性は、互いに類似するログ間で変化しやすい又は変化しづらいという性質や、ログ中で変化しやすい部分とみなせる文字列が記載されているという性質を含む。変数部分とはフォーマットの中で変化可能な部分であり、定数部分とはログのフォーマットの中で変化しない部分である。入力されたログ中の変数部分の値（数値、文字列およびその他のデータを含む）を変数値と呼ぶ。変数部分および定数部分はフォーマット毎に異なる。そのため、あるフォーマットでは変数部分として定義される部分が、別のフォーマットでは定数部分として定義されることや、その逆があり得る。本実施形態では、このようにログの特性に基づいて決められたフォーマットを用いてログの分析を行うため、個別のログに関する知識がなくても、ログの分析を行うことができる。
【００２１】
図２Ｂは、フォーマット記憶部１８１に記録される例示的なフォーマットの模式図である。フォーマットは、一意の識別子であるフォーマットＩＤに関連付けられた、フォーマットを表す文字列を含む。フォーマットは、ログ中の変化可能な部分に所定の識別子を記載することによって変数部分として規定し、ログ中の変数部分以外の部分を定数部分として規定する。変数部分の識別子として、例えば「＜変数：タイムスタンプ＞」はタイムスタンプを表す変数部分を示し、「＜変数：文字列＞」は任意の文字列を表す変数部分を示し、「＜変数：数値＞」は任意の数値を表す変数部分を示し、「＜変数：ＩＰ＞」は任意のＩＰアドレスを表す変数部分を示す。変数部分の識別子はこれらに限られず、正規表現や、取り得る値のリスト等の任意の方法により定義されてよい。また、フォーマットは変数部分を含まずに定数部分のみによって構成されてよく、あるいは定数部分を含まずに変数部分のみによって構成されてよい。
【００２２】
例えば、フォーマット判定部１２０は、図２Ａの５行目のログを、図２ＢのＩＤが２２３であるフォーマットに適合すると判定する。そして、フォーマット判定部１２０は、判定されたフォーマットに基づいて該ログを処理し、タイムスタンプである「２０１５／０８／１７  ０８：２９：５９」、文字列である「ＳＶ００２」およびＩＰアドレスである「１９２．１６８．１．２３」を変数値として決定する。
【００２３】
図２Ｂにおいて、フォーマットは視認性のために文字列のリストで表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。また、フォーマットはテキストファイルとしてフォーマット記憶部１８１に記録されてよく、あるいはデータベースのテーブルとしてフォーマット記憶部１８１に記録されてよい。
【００２４】
時系列分布取得部１３０は、フォーマット判定部１２０によりフォーマットが判定された分析対象ログ１０から、フォーマット毎にログの時系列分布のデータを取得する。具体的には、時系列分布取得部１３０は、フォーマット判定部１２０によりフォーマットが判定された分析対象ログ１０に含まれるログを、フォーマット（フォーマットＩＤ）毎に分類する。そして、時系列分布取得部１３０は、各フォーマットについて、ログのタイムスタンプに基づき、所定の時間幅（例えば、１０分間）毎にログの出現頻度、すなわち所定の時間幅毎のログが出現する回数を集計する。時系列分布取得部１３０は、このように時系列で集計したログの出現頻度を、ログの時系列分布のデータとして取得する。
【００２５】
あるいは、時系列分布取得部１３０は、フォーマット判定部１２０によりフォーマットが判定された分析対象ログから、フォーマット及び該ログに含まれる任意の変数値の組み合わせ毎に、時系列分布のデータを取得してもよい。具体的には、時系列分布取得部１３０は、フォーマット判定部１２０によりフォーマットが判定された分析対象ログ１０に含まれるログを、フォーマット（フォーマットＩＤ）毎に分類する。次に、時系列分布取得部１３０は、フォーマットに含まれる任意の変数値に基づき、前記ログをさらに分類する。例えば、フォーマット００１と判定されたログにおいて、Ｓｅｒｖｅｒ００１という変数値とＳｅｒｖｅｒ００２という変数値を含むものがある場合、フォーマット００１（Ｓｅｒｖｅｒ００１）、フォーマット００１（Ｓｅｒｖｅｒ００２）と分類してもよい。なお、前記の分類は、一例であり、フォーマットおよび変数値の各組み合わせ毎にログの分類を識別可能な形態であれば、どのように定義してもよい。また、前記変数値は、ログ中に含まれる１つ以上の変数値を意味している。すなわち、前記変数値は複数の変数値の組み合わせであってもよい。さらに、人が前記変数値をフォーマット毎に選択してもよいし、事前に定義された所定の条件に従い、自動的に前記変数値が選択されるように構成してもよい。次に、時系列分布取得部１３０は、フォーマット毎に分類した場合と同様に、時系列で集計したログの出現頻度を、フォーマットおよび変数値の各組み合わせ毎にログの時系列データとして取得する。以降、文中においてフォーマットとは、フォーマット単体もしくはフォーマット及びフォーマットに含まれる１つ以上の変数値の組み合わせのいずれかを意味するものとする。
【００２６】
図３は、例示的なログの時系列分布Ａのグラフを示す図である。図３のグラフの横軸は時間であり、縦軸は出現頻度である。時系列分布Ａは、時系列分布取得部１３０によって、フォーマット毎に集計される。周期性のあるフォーマットの場合には、図３に示すように特定の時間間隔で出現頻度が大きくなる。時系列分布Ａは、視認性のためにグラフを用いて表されているが、フォーマット毎に時間と出現頻度とを関連付けることができる任意の形式のデータでよい。
【００２７】
周期判定部１４０は、時系列分布取得部１３０により取得されたログの時系列分布から、フォーマット毎のログの周期を判定する。具体的には、まず周期判定部１４０は時系列分布取得部１３０により取得されたあるフォーマットのログの時系列分布（すなわち、時間の関数）に対して、ＦＦＴ（Ｆａｓｔ  Ｆｏｕｒｉｅｒ  Ｔｒａｎｓｆｏｒｍ）など既知の周波数解析手法を適用することによって周波数分布（すなわち、周波数の関数）に変換する。
【００２８】
そして、周期判定部１４０は、ＦＦＴによって得られた周波数分布から特徴的な周波数成分を抽出し、該周波数成分を時間に変換する。そして、周期判定部１４０は、特徴的な周波数成分から得られた時間を、そのフォーマットのログの周期と判定する。特徴的な周波数成分とは、例えば強度が所定の閾値以上である、あるいは周辺部と比較した強度の相対値が所定の閾値以上であるピークの中心周波数である。また、周期判定部１４０は、周波数分布において特徴的な周波数成分以外の部分を、周期性を有さないその他の分布と判定する。なお、１つのフォーマットのログの時系列分布には、１つ以上の周期が存在する場合、あるいは周期が存在しない場合がある。周期判定部１４０は、このようにフォーマット毎（あるいはフォーマットと変数値との組み合わせ毎）に判定した周期を周期情報として取得する。
【００２９】
図４は、例示的な周波数分布Ｂのグラフを示す図である。図４のグラフの横軸は周波数であり、縦軸は強度である。周波数分布Ｂは、周期判定部１４０によって、フォーマット毎に取得される。図４においては、周波数分布Ｂは２つの突出したピークＢ１、Ｂ２を含み、これらのピークＢ１、Ｂ２を特徴的な周波数成分とみなせる。例えば、ピークＢ１の中心周波数を時間に変換すると１時間という周期を得ることができ、ピークＢ２の中心周波数を時間に変換すると１日という周期を得ることができる。したがって、周期判定部１４０は、図４の周波数分布Ｂの元となるログの時系列分布が、１時間および１日という２つの周期を含むと判定する。
【００３０】
図５Ａは、周期判定部１４０により取得される例示的な周期情報を示す模式図である。周期情報は、分析対象ログ１０中に含まれるフォーマットＩＤと、周期判定部１４０により判定されたフォーマットＩＤ毎の周期と、周期性のゆらぎを表す余裕時間とを含む。周期情報は、フォーマットＩＤ毎に１つ又は２つ以上の周期を記録する。また、周期判定部１４０により周期が判定されなかったフォーマットＩＤについては、周期情報は「その他」という周期を記録する。余裕時間は、周期性のゆらぎとして許容する範囲を示し、予め決められた規則により設定される。例えば余裕時間は、周期が１日未満であれば１０分、１日以上１週間未満であれば３０分、１週間以上であれば６０分に設定される。また、余裕時間は、周期に対する比率（例えば周期の１０％）により設定されてもよい。
【００３１】
図５Ａに示す周期情報は一例であり、任意の形式で記録されてよい。図５Ａにおいて周期情報は視認性のために文字列のリストで表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。また、周期情報は複数のファイル又はテーブルにわかれて記録されてもよい。
【００３２】
ログの時系列分布から周期を判定して取得する方法は、ＦＦＴを用いるものに限定されず、時系列の頻度分布から周期を判定可能な任意の方法でよい。例えば、ログの時系列分布において繰り返し現れる出現頻度のピークの時間間隔を周期とみなすことによって、時系列分布から直接ログの周期を取得してもよい。
【００３３】
モデル学習部１５０は、周期判定部１４０により取得された周期情報に基づいて、ログの異常判定に用いるためのモデルを生成し、モデル記憶部１８２に記録する。モデルとは、ログの正常な振る舞いの定義である。換言すると、モデルは、判定対象のログが異常であるか否かの基準とする情報である。異常分析においては、判定対象のログがモデルに適合しない場合に、異常であると判定することができる。後述のログ異常分析部１６０は、判定対象のログがモデル記憶部１８２に記録されたモデルのいずれかに適合するか否かに基づいて、異常ログの判定を行う。
【００３４】
具体的には、まずモデル学習部１５０は、フォーマット判定部１２０によりフォーマットが判定された分析対象ログ１０中のログをフォーマット毎に分類する。次に、モデル学習部１５０は、各フォーマットについて、周期判定部１４０から周期および余裕時間を取得する。次に、モデル学習部１５０は、フォーマット毎に、周期を含む時間範囲に含まれる分析対象ログ１０中のログを、周期性を有するログ（周期ログという）として抽出する。より具体的には、モデル学習部１５０は、フォーマット毎に、周期に一致する時刻から余裕時間を減算した時刻を下限とし、周期に一致する時刻に余裕時間を加算した時刻を上限とする範囲に含まれる分析対象ログ１０中のログを、周期ログとして抽出する。これにより、周期性にゆらぎがある場合であっても、厳密に周期に一致しないログをも周期ログとして抽出することができる。
【００３５】
モデル学習部１５０によって周期ログとして抽出されないログは、その他のログ（一般ログという）とする。以下では、周期性を有する周期ログに基づいて生成されるモデルを周期モデルといい、周期性を有さない一般ログに基づいて生成されるモデルを一般モデルという。
【００３６】
次に、モデル学習部１５０は、１つのフォーマットに係る周期ログに基づいて周期モデルを生成する。ここでは１つのフォーマットおよびその周期に基づいてモデルを生成するため、このように生成される周期モデルを単独モデルという。モデル学習部１５０は、フォーマット毎の周期および余裕時間を、単独モデルとしてモデル記憶部１８２に記録する。フォーマット毎の周期および余裕時間に加えて、該フォーマットに対応する周期ログの特性（例えば周期ログに含まれる変数値）を単独モデルの定義に用いてもよい。
【００３７】
次に、モデル学習部１５０は、複数のフォーマットに係る周期ログに基づいて周期モデルを生成する。ここでは２つ以上のフォーマットおよびその周期に基づいてモデルを生成するため、このように生成される周期モデルを組み合わせモデルという。モデル学習部１５０は、周期ログの中から、周期が一致し、かつ出現頻度の時系列分布の相関度が所定の閾値以上である、２つ以上のフォーマットのグループを抽出する。本実施形態において、相関度は、出現頻度の時系列分布の間で算出される相関係数である。これに限られず、相関度はその他任意の方法で算出されてよい。相関度の閾値は、実験やシミュレーション等により予め定められてよい。
【００３８】
モデル学習部１５０は、周期が一致し、かつ相関度が所定の閾値以上である、２つ以上のフォーマットのグループの周期および余裕時間を、組み合わせモデルとしてモデル記憶部１８２に記録する。フォーマットのグループの周期および余裕時間に加えて、該フォーマットのグループに対応する周期ログの特性（例えば周期ログに含まれる変数値）を組み合わせモデルの定義に用いてもよい。
【００３９】
本実施形態では、周期モデルとして単独モデルおよび組み合わせモデルの両方が生成されるが、単独モデルおよび組み合わせモデルの少なくとも一方が生成されればよい。
【００４０】
次に、モデル学習部１５０は、周期性を有さない一般ログに基づいて一般モデルを生成する。一般モデルは、例えばあるフォーマットにおいて数値の変数値が所定の範囲内であること、あるフォーマットにおいて文字列の変数値が登録済のものであること等である。一般モデルはこれに限られず、任意の定義でよい。
【００４１】
図５Ｂは、モデル学習部１５０により生成される例示的なモデル情報の模式図である。モデル情報は、モデルの識別子であるモデルＩＤと、１つ又は２つ以上のフォーマットＩＤと、周期判定部１４０により判定される周期およびその余裕時間とを含む。図５Ｂにおいて、モデルＩＤが１および３のモデルは単独モデルであり、モデルＩＤが２および４のモデルは組み合わせモデルである。図５Ｂのモデル情報は周期モデル（単独モデルおよび組み合わせモデル）のみを含んでいるが、さらに一般モデルを含んでよい。後述のログ異常分析部１６０は、判定対象のログがこのようなモデル情報に適合するか否かを判定することによって、異常ログを抽出する。
【００４２】
図５Ｂに示すモデル情報は一例であり、任意の形式で記録されてよい。図５Ｂにおいてモデル情報は視認性のために文字列のリストで表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。また、モデル情報は複数のファイル又はテーブルに別れて記録されてもよい。
【００４３】
ログ異常分析部１６０は、フォーマット判定部１２０によりフォーマットが判定されたログに対して、モデル記憶部１８２に記録されているモデルに基づいて異常か否かを判定する。具体的には、ログ異常分析部１６０は、判定対象のログがモデル記憶部１８２中のいずれのモデルにも適合しない場合に該ログは異常であると判定し、異常ログとして出力部１７０に入力する。一方、ログ異常分析部１６０は、入力されたログがモデル記憶部１８２中のいずれかのモデルに適合する場合に該ログは正常ログであると判定し、出力部１７０に入力しない。
【００４４】
ログ異常分析部１６０による周期モデル（単独モデルおよび組み合わせモデル）に基づく異常ログの判定について、以下に説明する。図６Ａ〜６Ｃは、ログ異常分析部１６０によって判定される例示的な異常ログの模式図である。図６Ａ〜６Ｃにおいては、異常ログのフォーマットＩＤおよび時刻が示されており、異常ログが示すメッセージは省略されている。
【００４５】
図６Ａは、処理未完了として判定される異常ログの例である。処理未完了とは、組み合わせモデルに含まれる複数のフォーマットに係る処理のうち、一部が実行されない状態をいう。図６Ａの例では、図５ＢのモデルＩＤが４のモデルについて、フォーマットＩＤが３４４、３４５のログは出力されているが、フォーマットＩＤが３４６のログは出力されていない。したがって、ログ異常分析部１６０は、モデルＩＤが４のモデルの処理が未完了であるため、図６Ａのログは異常ログであると判定する。
【００４６】
図６Ｂは、処理遅延として判定される異常ログの例である。処理遅延とは、組み合わせモデルに含まれる複数のフォーマットに係る処理のうち、一部が実行される時間が遅れている状態をいう。図６Ｂの例では、図５ＢのモデルＩＤが４のモデルについて、フォーマットＩＤが３４４、３４５のログは余裕時間（ここでは６０分）の範囲内の時刻に出力されているが、フォーマットＩＤが３４６のログは余裕時間の範囲を超えた時刻に出力されている。なお、遅延は、モデルの複数のフォーマットＩＤのうち最初のものに係るログの時刻の前後の余裕時間の範囲内に、残りのフォーマットＩＤに係るログが含まれない場合に判定される。したがって、ログ異常分析部１６０は、モデルＩＤが４のモデルの処理が遅延しているため、図６Ｂのログは異常ログであると判定する。
【００４７】
図６Ｃは、繰り返し異常として判定される異常ログの例である。繰り返し異常とは、単独モデル又は組み合わせモデルに係る処理が繰り返し実行される際の周期が乱れている状態をいう。図６Ｃの例では、図５ＢのモデルＩＤが２のモデルについて、１回目の周期ではフォーマットＩＤが０３９、０７１のログが出力され、２回目の周期ではフォーマットＩＤが０３９のログのみが出力され、フォーマットＩＤが０７１のログが出力されていない。なお、Ｎ回目（Ｎは２以上の自然数）の周期は、モデルに係るログが１回目に出力された時刻に、周期の時間にＮ−１を乗算したものを加算することによって算出される。したがって、ログ異常分析部１６０は、モデルＩＤが２のモデルの処理の周期が乱れているため、図６Ｃのログは異常ログであると判定する。
【００４８】
なお、ログ異常分析部１６０は、逐次入力される分析対象ログ１０を用いて判定を行う場合と、所定の期間で蓄積された分析対象ログ１０を用いて判定を行う場合とがある。逐次判定の場合には、判定の時点では処理遅延と処理未完了との区別が付かないため、例えば処理遅延の状態から所定の時間（例えば余裕時間の２倍）を経過した場合に処理未完了とみなすことができる。
【００４９】
以上の異常ログの判定基準は一例であり、ログの周期性に基づいて生成されたモデルに基づいて異常ログを判定できれば、任意の判定基準を用いてよい。処理未完了、処理遅延および繰り返し異常の他に、任意の異常が定義されてよい。
【００５０】
また、ログ異常分析部１６０は、周期モデルに基づく異常ログの判定に加えて、一般モデルに基づく異常ログの判定を行う。例えば、ログ異常分析部１６０は、判定対象のログのフォーマットＩＤおよび変数値が、モデル記憶部１８２に記録されているいずれの一般モデルのフォーマットＩＤおよび変数値にも類似しない場合に、該ログは異常ログであると判定する。
【００５１】
出力部１７０は、ログ異常分析部１６０による異常判定結果の出力を行う。本実施形態において、出力部１７０は表示装置２０に異常判定結果を出力し、表示装置２０はユーザに向けて異常判定結果を画像として表示する。表示装置２０は、画像を表示するための液晶ディスプレイ、ＣＲＴ（Ｃａｔｈｏｄｅ  Ｒａｙ  Ｔｕｂｅ）ディスプレイ等の表示部を備える。
【００５２】
図７は、表示装置２０を用いる例示的な異常判定結果の表示画面Ｃを示す模式図である。図７に示す表示画面Ｃは、ログ異常分析部１６０により判定された異常ログを示す異常ログ欄Ｃ１と、異常ログのフォーマットＩＤを示すフォーマットＩＤ欄Ｃ２と、異常内容欄Ｃ３とを表示する。異常内容欄Ｃ３は、ログ異常分析部１６０による判定の理由や内容を示す。例えば、異常内容欄Ｃ３は、異常ログが処理未完了、処理遅延又は繰り返し異常のいずれに該当するかを示すとともに、異常ログに対応するモデル情報のモデルＩＤ、フォーマットＩＤ、周期および余裕時間を示す。
【００５３】
図７に示す表示画面Ｃは一例であり、ログ異常分析部１６０による異常判定結果を含む情報をユーザに対して視認可能に表示できれば、いずれの表示方法を用いてもよい。また、ログ分析システム１００（出力部１７０）による情報の出力方法は、ユーザに向けた画像表示に限られない。例えば、出力部１７０は出力すべき情報をデータとして出力し、ログ分析システム１００又はその他システムは出力部１７０からのデータに対して記録処理、印刷処理、分析処理、統計処理等を行ってもよい。
【００５４】
図８は、本実施形態に係るログ分析システム１００の例示的な機器構成を示す概略構成図である。ログ分析システム１００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１０１と、メモリ１０２と、記憶装置１０３と、通信インターフェース１０４とを備える。ログ分析システム１００は、表示装置２０に通信インターフェース１０４を介して接続されてよく、あるいは表示装置２０を含んでよい。ログ分析システム１００は独立した装置でよく、あるいは他の装置と一体に構成されてよい。
【００５５】
通信インターフェース１０４は、データの送受信を行う通信部であり、有線通信および無線通信の少なくとも一方の通信方式を実行可能に構成される。通信インターフェース１０４は、該通信方式に必要なプロセッサ、電気回路、アンテナ、接続端子等を含む。通信インターフェース１０４は、ＣＰＵ１０１からの信号に従って、該通信方式を用いてネットワークに接続され、通信を行う。通信インターフェース１０４は、例えば分析対象ログ１０を外部から受信する。
【００５６】
記憶装置１０３は、ログ分析システム１００が実行するプログラムや、プログラムによる処理結果のデータ等を記憶する。記憶装置１０３は、読み取り専用のＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）や、読み書き可能のハードディスクドライブ又はフラッシュメモリ等を含む。また、記憶装置１０３は、ＣＤ−ＲＯＭ等のコンピュータ読取可能な可搬記憶媒体を含んでもよい。メモリ１０２は、ＣＰＵ１０１が処理中のデータや記憶装置１０３から読み出されたプログラムおよびデータを一時的に記憶するＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等を含む。
【００５７】
ＣＰＵ１０１は、処理に用いる一時的なデータをメモリ１０２に一時的に記録し、記憶装置１０３に記録されたプログラムを読み出し、該プログラムに従って該一時的なデータに対して種々の演算、制御、判別などの処理動作を実行する処理部としてのプロセッサである。また、ＣＰＵ１０１は、記憶装置１０３に処理結果のデータを記録し、また通信インターフェース１０４を介して処理結果のデータを外部に送信する。
【００５８】
本実施形態においてＣＰＵ１０１は、記憶装置１０３に記録されたプログラムを実行することによって、図１のログ入力部１１０、フォーマット判定部１２０、時系列分布取得部１３０、周期判定部１４０、モデル学習部１５０、ログ異常分析部１６０、および出力部１７０として機能する。また、本実施形態において記憶装置１０３は、図１のフォーマット記憶部１８１およびモデル記憶部１８２として機能する。
【００５９】
ログ分析システム１００は、図８に示す具体的な構成に限定されない。ログ分析システム１００は、１つの装置に限られず、２つ以上の物理的に分離した装置が有線又は無線で接続されることにより構成されていてもよい。ログ分析システム１００に含まれる各部は、それぞれ電気回路構成により実現されていてもよい。ここで、電気回路構成とは、単一のデバイス、複数のデバイス、チップセット又はクラウドを概念的に含む文言である。
【００６０】
また、ログ分析システム１００の少なくとも一部がＳａａＳ（Ｓｏｆｔｗａｒｅ  ａｓ  ａ  Ｓｅｒｖｉｃｅ）形式で提供されてよい。すなわち、ログ分析システム１００を実現するための機能の少なくとも一部が、ネットワーク経由で実行されるソフトウェアによって実行されてよい。
【００６１】
本実施形態に係るログ分析システム１００を用いるログ分析方法は、周期情報に基づいてモデルの学習を行うモデル学習処理と、周期情報に基づいて生成されたモデルを用いて異常ログの判定を行う異常分析処理とからなる。モデル学習処理によってモデル記憶部１８２に一度記録されたモデル情報は、システムの構成要素に大きな変更がない限り、繰り返して用いることができる。そのため、モデル学習処理および異常分析処理は連続して行われてよく、あるいはモデル学習処理の後に複数回の異常分析処理が行われてよい。
【００６２】
図９は、本実施形態に係るモデル学習処理のフローチャートを示す図である。まず、ログ入力部１１０は、分析対象ログ１０を取得し、ログ分析システム１００に入力する（ステップＳ１０１）。フォーマット判定部１２０は、ステップＳ１０１で入力された分析対象ログ１０中の１つのログを判定対象として、フォーマット記憶部１８１に記録されたいずれかのフォーマットに適合するか否かを判定する（ステップＳ１０２）。
【００６３】
ステップＳ１０２において判定対象のログがフォーマット記憶部１８１に記録されたいずれのフォーマットにも適合しない場合には（ステップＳ１０３のＮＯ）、分析対象ログ１０中の次の１つのログを判定対象としてステップＳ１０２〜Ｓ１０３を繰り返す。
【００６４】
ステップＳ１０２において判定対象のログがフォーマット記憶部１８１に記録されたいずれかのフォーマットに適合した場合には（ステップＳ１０３のＹＥＳ）、フォーマット判定部１２０は、該フォーマットを用いて判定対象のログを変数部分と定数部分とに分離する（ステップＳ１０４）。フォーマット判定部１２０は、判定対象のログ中の変数値を記録する。
【００６５】
分析対象ログ１０中の全てのログに対してフォーマット判定が終了していない場合には（ステップＳ１０５のＮＯ）、分析対象ログ１０中の次の１つのログを判定対象としてステップＳ１０２〜Ｓ１０５を繰り返す。
【００６６】
分析対象ログ１０中の全てのログに対してフォーマット判定が終了した場合には（ステップＳ１０５のＹＥＳ）、時系列分布取得部１３０は、ステップＳ１０２においてフォーマットが判定されたログを用いて、フォーマット毎に時系列のログの出現頻度を集計し、ログの時系列分布のデータとして取得する、あるいはフォーマットと変数の組み合わせ毎にログの出現頻度を集計し、ログの時系列分布のデータとして取得する（ステップＳ１０６）。
【００６７】
次に、周期判定部１４０は、ステップＳ１０６において取得されたログの時系列分布を、ＦＦＴ等によって周波数分布に変換する（ステップＳ１０７）。そして、周期判定部１４０は、ステップＳ１０７において得られた周波数分布から特徴的な周波数成分を抽出し、該周波数成分を時間に変換することによって、ログの周期を判定する（ステップＳ１０８）。そして、周期判定部１４０は、判定された周期と、周期に基づいて決定された余裕時間とを示すデータを、周期情報として取得する。
【００６８】
次に、モデル学習部１５０は、ステップＳ１０８で取得された周期情報に基づいて、ステップＳ１０２においてフォーマットが判定されたログを周期ログと一般ログとに分類する。そして、モデル学習部１５０は、周期性を有する周期ログに基づいて周期モデルを生成するとともに、周期性を有さない一般ログに基づいて一般モデルを生成する（ステップＳ１０９）。ここで、周期ログは、１つのフォーマットに係る周期ログに基づいて定義される単独モデル、および複数のフォーマットに係る周期ログに基づいて定義される組み合わせモデルの少なくとも一方を含む。
【００６９】
最後に、ステップＳ１０９において生成された周期モデルおよび一般モデルを示すデータを、モデル情報としてモデル記憶部１８２に記録する（ステップＳ１１０）。
【００７０】
図１０は、本実施形態に係る異常分析処理のフローチャートを示す図である。ステップＳ１０１〜Ｓ１０５のフォーマット判定は、図９のモデル学習処理と同様である。異常分析処理においてモデル学習処理で行われたステップＳ１０１〜Ｓ１０５のフォーマット判定の結果を用いてよく、あるいは異常分析処理において改めてステップＳ１０１〜Ｓ１０５のフォーマット判定を行ってよい。
【００７１】
次に、ログ異常分析部１６０は、判定対象のログに対して、モデル記憶部１８２に記録された周期モデルに適合するか否かに基づいて、異常ログの判定を行う（ステップＳ１１１）。また、ログ異常分析部１６０は、判定対象のログに対して、モデル記憶部１８２に記録された一般モデルに適合するか否かに基づいて、異常ログの判定を行う（ステップＳ１１２）。ステップＳ１１１の周期モデルに基づく判定、およびステップＳ１１２の一般モデルに基づく判定は、任意の順番で行われてよく、あるいは並行して行われてよい。
【００７２】
出力部１７０は、ステップＳ１１１〜Ｓ１１２の異常判定結果を表示装置２０に出力する（ステップＳ１１３）。表示装置２０は、異常判定結果を所定の画面（例えば図７の表示画面Ｃ）を用いて表示する。
【００７３】
本実施形態に係るログ分析システム１００は、周期に一致する時刻を含む所定の時間範囲（余裕時間）に含まれる周期ログに基づいて、異常判定の基準とするモデルを生成する。そのため、周期性にゆらぎがある場合であっても、より正確に周期を抽出し、周期性に基づく異常判定を行うことができる。また、ログ分析システム１００は、ログのフォーマットを判定し、フォーマット毎に周期を判定するため、複数の周期が混在する場合であってもそれぞれの周期を分離して抽出することができる。
【００７４】
（第２の実施形態）
図１１は、本実施形態に係るログ分析システム２００のブロック図である。ログ分析システム２００は、図１の構成に加えて、フォーマット学習部２９０を備える。
【００７５】
フォーマット学習部２９０は、フォーマット判定部１２０がフォーマットの判定を行う際、判定対象のログがフォーマット記憶部１８１に記録されているいずれのフォーマットにも適合しない場合に、新たなフォーマットを作成してフォーマット記憶部１８１に記録する。
【００７６】
フォーマット学習部２９０がフォーマットを学習するための第１の方法として、フォーマット学習部２９０は、フォーマットが未知である複数のログを蓄積し、それらに対して統計的に変化する変数部分と変化しない定数部分とを分離することによって、新たなフォーマットとして定義することができる。フォーマット学習部２９０がフォーマットを学習するための第２の方法として、フォーマット学習部２９０は、既知の変数値のリストを読み込み、フォーマットが未知であるログの中で既知の変数値と一致する又は類似する部分を変数部分と判定し、それ以外の部分を定数部分と判定することによって、新たなフォーマットを定義することができる。既知の変数値として、値そのものを用いてよく、あるいは正規表現のようなパターンを用いてよい。フォーマットの学習方法はこれらに限られず、入力されたログに対して新たなフォーマットを定義することが可能な任意の学習アルゴリズムを用いてよい。
【００７７】
以上のように、ログ分析システム２００は、フォーマットの学習部を備えるため、未知のフォーマットのログから新たにフォーマットを生成し、記録することができる。
【００７８】
（その他の実施形態）
図１２は、上述の各実施形態に係るログ分析システム１００、２００の概略構成図である。図１２には、ログ分析システム１００、２００がログの周期性に基づいてモデルの学習を行う装置として機能するための構成例が示されている。ログ分析システム１００、２００は、周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析システムであって、前記分析対象ログに含まれる各ログの形式を判定する形式判定部としてのフォーマット判定部１２０と、前記形式毎に前記ログの時系列の出現頻度を集計する時系列分布取得部１３０と、前記時系列の出現頻度に基づいて、前記形式毎に周期を判定する周期判定部１４０と、前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する学習部としてのモデル学習部１５０と、を備える。
【００７９】
本発明は、上述の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲において適宜変更可能である。
【００８０】
上述の実施形態の機能を実現するように該実施形態の構成を動作させるプログラム（より具体的には、図９、１０に示す処理をコンピュータに実行させるプログラム）を記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のプログラムが記録された記録媒体はもちろん、そのプログラム自体も各実施形態に含まれる。
【００８１】
該記録媒体としては例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ上で動作して処理を実行するものも各実施形態の範疇に含まれる。
【００８２】
上述の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【００８３】
（付記１）
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析システムであって、
前記分析対象ログに含まれる各ログの形式を判定する形式判定部と、
前記形式毎に前記ログの時系列の出現頻度を集計する時系列分布取得部と、
前記時系列の出現頻度に基づいて、前記形式毎に前記周期を判定する周期判定部と、
前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する学習部と、
を備えるログ分析システム。
【００８４】
（付記２）
前記学習部は、前記周期ログの前記形式と、前記周期とを含む前記情報を生成する、付記１に記載のログ分析システム。
【００８５】
（付記３）
前記学習部は、前記周期ログの第１の形式と、前記周期ログの第２の形式との間で、前記周期が一致し、かつ前記時系列の出現頻度の相関度が所定の閾値以上である場合に、前記第１の形式および前記第２の形式の組み合わせを含む前記情報を生成する、付記１又は２に記載のログ分析システム。
【００８６】
（付記４）
前記周期判定部は、前記時系列の出現頻度を周波数分布に変換し、前記周波数分布の中で所定の閾値以上の強度を有するピークを抽出し、前記ピークの周波数を時間に変換することによって前記周期を判定する、付記１〜３のいずれか一項に記載のログ分析システム。
【００８７】
（付記５）
前記時間範囲は、前記周期の時刻から余裕時間を減算した時刻を下限とし、前記周期の時刻に前記余裕時間を加算した時刻を上限とする範囲である、付記１〜４のいずれか一項に記載のログ分析システム。
【００８８】
（付記６）
前記学習部は、前記周期ログの前記形式と、前記周期と、前記余裕時間とを含む前記情報を生成する、付記５に記載のログ分析システム。
【００８９】
（付記７）
前記時系列分布取得部は、前記形式と前記ログに含まれる変数値との組み合わせ毎に前記ログの時系列の出現頻度を集計し、
前記周期判定部は、前記時系列の出現頻度に基づいて、前記形式と前記変数値との前記組み合わせ毎に前記周期を判定する、付記１に記載のログ分析システム。
【００９０】
（付記８）
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析方法であって、
前記分析対象ログに含まれる各ログの形式を判定する工程と、
前記形式毎に前記ログの時系列の出現頻度を集計する工程と、
前記時系列の出現頻度に基づいて、前記形式毎に前記周期を判定する工程と、
前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する工程と、
を備えるログ分析方法。
【００９１】
（付記９）
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析プログラムであって、
コンピュータに、
前記分析対象ログに含まれる各ログの形式を判定する工程と、
前記形式毎に前記ログの時系列の出現頻度を集計する工程と、
前記時系列の出現頻度に基づいて、前記形式毎に前記周期を判定する工程と、
前記ログのうち前記周期を含む時間範囲に含まれるものを前記周期ログとして前記形式毎に抽出し、前記周期ログの前記形式および前記周期に基づいて、前記ログが異常であるか否かの基準とする情報を生成する工程と、
を実行させるログ分析プログラム。
【００９２】
（付記１０）
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析システムであって、
前記周期を含む時間範囲に含まれる前記周期ログから判定された形式と、前記周期とを含む情報を記録する記憶部と、
前記記憶部に記録された前記形式および前記周期を含む前記情報に基づいて、判定対象のログが異常であるか否かを判定するログ異常分析部と、
前記ログ異常分析部による判定結果を出力する出力部と、
を備えるログ分析システム。
【００９３】
（付記１１）
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析方法であって、
前記周期を含む時間範囲に含まれる前記周期ログの形式と、前記周期とを含む情報を取得する第１の工程と、
前記第１の工程において取得された前記形式および前記周期を含む前記情報に基づいて、判定対象のログが異常であるか否かを判定する第２の工程と、
前記第２の工程における判定結果を出力する第３の工程と、
を備えるログ分析方法。
【００９４】
（付記１２）
周期毎に出力される周期ログを含む分析対象ログの分析を行うためのログ分析プログラムであって、
コンピュータに、
前記周期を含む時間範囲に含まれる前記周期ログの形式と、前記周期とを含む情報を取得する第１の工程と、
前記第１の工程において取得された前記形式および前記周期を含む前記情報に基づいて、判定対象のログが異常であるか否かを判定する第２の工程と、
前記第２の工程における判定結果を出力する第３の工程と、
を実行させるログ分析プログラム。
【００９５】
この出願は、２０１５年１２月２８日に出願された日本出願特願２０１５−２５５９８１を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【図１】
2017115458.tif 000003
【図２Ａ】
2017115458.tif 000004
【図２Ｂ】
2017115458.tif 000005
【図３】
2017115458.tif 000006
【図４】
2017115458.tif 000007
【図５Ａ】
2017115458.tif 000008
【図５Ｂ】
2017115458.tif 000009
【図６Ａ】
2017115458.tif 000010
【図６Ｂ】
2017115458.tif 000011
【図６Ｃ】
2017115458.tif 000012
【図７】
2017115458.tif 000013
【図８】
2017115458.tif 000014
【図９】
2017115458.tif 000015
【図１０】
2017115458.tif 000016
【図１１】
2017115458.tif 000017
【図１２】
2017115458.tif 000018
【国際調査報告】
2017115458.tif 000019
2017115458.tif 000020