(57)【要約】【課題】クライアントとサーバとの間の、ファイルアクセスログに係るピーク時の通信量を抑制することのできるファイルアクセスログ通信システム、ファイルアクセスログ通信方法、及びプログラムを提供する。【解決手段】ファイルアクセスログ送信装置は、添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換する手段と、添字に変換されたファイルアクセスログを送信する手段と、ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により添字対応表を更新する手段とを備え、ファイルアクセスログ受信装置は、添字に変換されたファイルアクセスログを受信する手段と、受信したファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字をファイルアクセス送信装置へ送信する送信手段とを備える。
2013187105.tif 000002
【特許請求の範囲】
【請求項１】
ファイルアクセスログ送信装置とファイルアクセスログ受信装置とを備えるファイルアクセスログ通信システムであって、
前記ファイルアクセスログ送信装置は、
添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換する手段と、
添字に変換された前記ファイルアクセスログを前記ファイルアクセスログ受信装置へ送信する手段と、
前記ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により前記添字対応表を更新する手段とを備え、
前記ファイルアクセスログ受信装置は、
前記ファイルアクセスログ送信装置から、添字に変換された前記ファイルアクセスログを受信する手段と、
受信した前記ファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字を前記ファイルアクセスログ送信装置へ送信する送信手段と
を備えるファイルアクセスログ通信システム。
【請求項２】
前記送信手段は、前記ファイルアクセスログ受信装置から添字に係る問合せを受信した際に、他のファイルアクセスログ送信装置により登録された要素に係る添字を、前記ファイルアクセスログ受信装置へ送信する、
請求項１記載のファイルアクセスログ通信システム。
【請求項３】
ファイルアクセスログ送信装置とファイルアクセスログ受信装置とが行うファイルアクセスログ通信方法であって、
前記ファイルアクセスログ送信装置が、添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換するステップと、
前記ファイルアクセスログ送信装置が、添字に変換された前記ファイルアクセスログを前記ファイルアクセスログ受信装置へ送信するステップと、
前記ファイルアクセスログ受信装置が、受信した前記ファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字を前記ファイルアクセスログ送信装置へ送信するステップと、
前記ファイルアクセスログ送信装置が、前記ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により前記添字対応表を更新するステップと
を備えるファイルアクセスログ通信方法。
【請求項４】
ファイルアクセスログ送信装置に、
添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換するステップと、
添字に変換された前記ファイルアクセスログをファイルアクセスログ受信装置へ送信するステップと、
前記ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により前記添字対応表を更新するステップと
を実行させるためのプログラム。
【請求項５】
ファイルアクセスログ受信装置に、
ファイルアクセスログ送信装置から、添字に変換された前記ファイルアクセスログを受信するステップと、
受信した前記ファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字を前記ファイルアクセスログ送信装置へ送信するステップと
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明に係るいくつかの態様は、ファイルアクセスログ通信システム、ファイルアクセスログ通信方法、及びプログラムに関する。
【背景技術】
【０００２】
従来から、ネットワークシステムを構成する各機器が生成するイベントログの収集や監視が行われている。このようなイベントログの収集及び監視の目的の１つは、イベントログを解析することにより、情報漏洩やシステムの不具合、不正利用等といった脅威の原因を究明することにある。しかし、監視対象の機器が生成するログは膨大であるため、全てのログをそのまま収集すると、以下のような問題が生じることがある。
（１）ログ収集のために、多くのリソース（ネットワーク容量）が必要となる。
（２）ログの保存のために、多くの記憶容量が必要となる。【０００３】
上記のような問題を解決するために、ログのサイズを減らす工夫がなされることが多い。この方法としては、例えば、可逆的方法である可逆圧縮や不可逆方法であるフィルタリング等がある。【０００４】
更に、１つのクライアント内でログサイズを削減できたとしても、ネットワーク上の全てのクライアントが一斉にログを送信すると、ルータやログ収集装置等に負荷がかかると共に帯域が圧迫されるため、通常業務に支障が発生しかねない。例えば、朝の出勤時に多くのユーザが一斉にクライアントを起動させたり、昼休みにユーザが一斉にウェブサイトを閲覧したりすると、大量のログが短期間に発生すると共にそれが一斉にサーバに送信されるため、ログ収集装置に負荷がかかったり帯域が圧迫されたりといった事態が生じる。【０００５】
ログの送信に係るサーバの負荷削減方法として、例えば、特許文献１は、クライアントがログ送信前にサーバに対してログ通知要求を送信すると共に、サーバがクライアントのログ送信時刻を指定することにより、クライアント間でログの送信タイミングを変え、結果として短時間当たりにかかる負荷を軽減することを開示している。【０００６】
しかしながら、特許文献１記載の手法は、送信のタイミングを変えることにより負荷を軽減しているため、一定のリアルタイム性を求められるような処理、例えば、監視ログを用いて危険なログが観察された場合に、そのクライアントの通信を停止させるような処理に適用することは困難である。【０００７】
以下では、取得するログをファイルアクセスログに限定すると共に、このログに対して一定のリアルタイム処理が必要なシステムを想定する。ファイルアクセスログには、以下のような特徴がある。
・複数の要素（ユーザＩＤ、時間、ＵＲＬ等）を持つ。
・空間的局所性により、類似または同一のファイルアクセスが反復して発生する。
・時間的局所性により、タスクが発生した時に、短時間に大量のファイルアクセスが発生する。
・システムなどにより周期的にファイルアクセスが発生する。【０００８】
非特許文献１は、ファイルアクセスログの特徴を利用した方法を開示している。非特許文献１は、ファイルアクセスの類似した又は同一のファイルアクセスが反復して発生する特徴を利用するためにファイルアクセスログを表として管理する。【０００９】
より具体的には、非特許文献１に開示されたシステムは、文字列情報を持つ要素に対して、要素別の表とそれぞれのログの要素に対してポインタを保持する表に分割する。文字列情報の要素は、要素ごとにテーブルを持つ。出現したログのパターンは、文字列テーブルのインデックスの組合せとしてイベントテーブルに記録される。ここで、ポインタは要素別のテーブルのインデックスである。ログ情報を記録する際に、文字列情報の代わりにインデックスを持つことにより、文字列情報の繰返しを回避することができる。また、イベントが発生した順番をイベントストリームテーブルに格納し、そのイベントが起こった時刻をタイムスタンプテーブルに格納する。不要な文字列の繰返しをテーブルに対するインデックスとして持つことにより、データ量を削減する、すなわち圧縮率を向上させることができる。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２０１１−１２８９９５号公報
【非特許文献】
【００１１】
【非特許文献１】Ｃｈａｄ  Ｖｅｒｂｏｗｓｋｉ、Ｅｍｒｅ  Ｋｉｃｉｍａｎ、Ａｒｕｎｖｉｊａｙ  Ｋｕｍａｒ、Ｂｒａｄ  Ｄａｎｉｅｌｓ。Ｓｈａｎ  Ｌｕ、Juhan  Ｌｅｅ、Ｙｉ−Ｍｉｎ  Ｗａｎｇ、Ｒｏｕｓｓｉ  Ｒｏｕｓｓｅｖ「Ｆｌｉｇｈｔ  Ｄａｔａ  Ｒｅｃｏｒｄｅｒ：Ｍｏｎｉｔｏｒｉｎｇ  Ｐｅｒｓｉｓｔｅｎｔ−Ｓｔａｔｅ  Ｉｎｔｅｒａｃｔｉｏｎｓ  ｔｏ  Ｉｍｐｒｏｖｅ  Ｓｙｓｔｅｍｓ  Ｍａｎａｇｅｍｅｎｔ」、ＯＳＤＩ  ｀０６：７ｔｈ  ＵＳＥＮＩＸ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍｓ  Ｄｅｓｉｇｎ  ａｎｄ  Ｉｍｐｌｅｍｅｎｔａｔｉｏｎｓ、p．１１７−１３０
【発明の概要】
【発明が解決しようとする課題】
【００１２】
しかしながら、非特許文献１に記載されたシステムは、ファイルアクセスログの特徴を利用してログを圧縮することによりサイズを削減しているが、ファイルアクセスが集中する時間には、たとえ圧縮していたとしてもサイズが大きくなってしまうため、ネットワーク上のクライアントからサーバもしくはルータにかかる負荷が増大すると共にネットワーク帯域を圧迫してしまう可能性がある。つまり、ファイルアクセスログの１つの特徴である空間的局所性に関しては、ファイルアクセスログを表に格納することにより文字列情報の繰返しを回避できているが、ファイルアクセスログの他の特徴である時間的局所性に関しては考慮されていないという課題があった。【００１３】
本発明のいくつかの態様は前述の課題に鑑みてなされたものであり、クライアントとサーバとの間の、ファイルアクセスログに係るピーク時の通信量を抑制することのできるファイルアクセスログ通信システム、ファイルアクセスログ通信方法、及びプログラムを提供することを目的の１つとする。
【課題を解決するための手段】
【００１４】
本発明に係る１のファイルアクセスログ通信システムは、ファイルアクセスログ送信装置とファイルアクセスログ受信装置とを備えるファイルアクセスログ通信システムであって、前記ファイルアクセスログ送信装置は、添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換する手段と、添字に変換された前記ファイルアクセスログを前記ファイルアクセスログ受信装置へ送信する手段と、前記ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により前記添字対応表を更新する手段とを備え、前記ファイルアクセスログ受信装置は、前記ファイルアクセスログ送信装置から、添字に変換された前記ファイルアクセスログを受信する手段と、受信した前記ファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字を前記ファイルアクセスログ送信装置へ送信する送信手段とを備える。【００１５】
本発明に係る１のファイルアクセスログ通信方法は、ファイルアクセスログ送信装置とファイルアクセスログ受信装置とが行うファイルアクセスログ通信方法であって、前記ファイルアクセスログ送信装置が、添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換するステップと、前記ファイルアクセスログ送信装置が、添字に変換された前記ファイルアクセスログを前記ファイルアクセスログ受信装置へ送信するステップと、前記ファイルアクセスログ受信装置が、受信した前記ファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字を前記ファイルアクセスログ送信装置へ送信するステップと、前記ファイルアクセスログ送信装置が、前記ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により前記添字対応表を更新するステップとを備える。【００１６】
本発明に係る１のプログラムは、ファイルアクセスログ送信装置に、添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換するステップと、添字に変換された前記ファイルアクセスログをファイルアクセスログ受信装置へ送信するステップと、前記ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により前記添字対応表を更新するステップとを実行させる。【００１７】
本発明に係る１のプログラムは、ファイルアクセスログ受信装置に、ファイルアクセスログ送信装置から、添字に変換された前記ファイルアクセスログを受信するステップと、受信した前記ファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字を前記ファイルアクセスログ送信装置へ送信するステップとを実行させる。【００１８】
尚、本発明において、「部」や「手段」、「装置」とは、単に物理的手段を意味するものではなく、その「部」や「手段」、「装置」が有する機能をソフトウェアによって実現する場合も含む。また、１つの「部」や「手段」、「装置」が有する機能が２つ以上の物理的手段や装置により実現されても、２つ以上の「部」や「手段」、「装置」の機能が１つの物理的手段や装置により実現されても良い。
【発明の効果】
【００１９】
本発明によれば、クライアントとサーバとの間の、ファイルアクセスログに係るピーク時の通信量を抑制することのできるファイルアクセスログ通信システム、ファイルアクセスログ通信方法、及びプログラムを提供することができる。
【図面の簡単な説明】
【００２０】
【図１】第１の実施形態に係るファイルアクセスログ通信システムの概略構成を示す機能ブロック図である。
【図２】第１の実施形態の変形例に係るファイルアクセスログ通信システムの概略構成を示す機能ブロック図である。
【図３】ファイルアクセスログの具体例を示す図である。
【図４】図１に示したログ送信装置の処理の流れを示すフローチャートである。
【図５】図１に示したログ収集解析装置の処理の流れを示すフローチャートである。
【図６】図１に示したログ収集解析装置の処理の流れを示すフローチャートである。
【図７】図１に示したファイルアクセスログ通信システムの処理の具体例を説明するための図である。
【図８】第２の実施形態に係るファイルアクセスログ通信システムの概略構成を示す機能ブロック図である。
【図９】回数つきローカル添字対応表の具体例を示す図である。
【図１０】登録者つき総合添字対応表の具体例を示す図である。
【図１１】図８に示したログ送信装置の処理の流れを示すフローチャートである。
【図１２】図８に示したログ送信装置の処理の流れを示すフローチャートである。
【図１３】図８に示したログ収集解析装置の処理の流れを示すフローチャートである。
【図１４】図８に示したログ収集解析装置の処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００２１】
以下に本発明の実施形態を説明する。以下の説明及び参照する図面の記載において、同一又は類似の構成には、それぞれ同一又は類似の符号が付されている。
【００２２】
（１  第１の実施形態）
（１．１  機能構成）
図１は、本実施形態に係るファイルアクセスログ通信システム１の機能構成を説明する。図１は、ファイルアクセスログ通信システム１の機能構成を示すブロック図である。
【００２３】
図１に示すように、ファイルアクセスログ通信システム１は、ファイルアクセスログ受信装置であるログ送信装置１００と、ファイルアクセスログ送信装置であるログ収集解析装置２００とを含む。
【００２４】
尚、ログ送信装置１００とログ収集解析装置２００とは、図示しないネットワークを介して相互に通信可能である。また、ログ送信装置１００は複数台あってもよく、それぞれが、ネットワークを介して同一のログ収集解析装置２００へファイルアクセスログに係る情報を送信することができる。
【００２５】
ログ送信装置１００は、ログ一時保存装置１０１と添字変換手段１０３とローカル添字対応表１０５と添字表更新手段１０７とを含む。添字変換手段１０３は、入力となるログ一時保存装置１０１と参照先であるローカル添字対応表１０５と接続されている。添字表更新手段１０７は、ログ収集解析装置２００の新規添字通知手段２０７から入力を受けると共に、出力先であるローカル添字対応表１０５に接続されている。
【００２６】
ログ一時保存装置１０１は、監視ログとして取得したファイルアクセスログを一時的に保存する。保存されているログは、図３に示すように、予め決められた形式で格納される。ログ一時保存装置１０１にログが保存されると、添字変換手段１０３が、当該ログに含まれる各要素のうち、ローカル添字対応表１０５に存在する要素を添字に変換する。ログ一時保存装置１０１に含まれるファイルアクセスログのうち、ローカル添字対応表１０５に存在しない要素については、添字変換手段１０３は特に変換せずにログ収集解析装置２００へと送信する。
添字表更新手段１０７は、ログ収集解析装置２００から受信した新規の添字対応表に応じて、ローカル添字対応表１０５を更新する。
【００２７】
ログ収集解析装置２００は、添字処理手段２０１と、添字発行手段２０３と、総合添字対応表２０５と、新規添字通知手段２０７と、ログ解析手段２０９とを含む。
【００２８】
添字処理手段２０１は、ログ送信装置１００の添字変換手段１０３から添字に変換されたログを受け取ると、ログの中に含まれる添字に変換された要素を、総合添字対応表２０５を利用して、添字を使用しない形式に変更する。この時、添字処理手段２０１が受信したログのうち、添字に変換されていない要素に対しては、添字発行手段２０３が新しい添字を発行する。新しく作成された添字対応表は新規添字通知手段２０７により、ログ送信装置１００の添字表更新手段１０７に通知される。これにより、ローカル添字対応表１０５が更新される。添字処理手段２０１は、受信したログに含まれる全ての要素が添字でなくなったら、当該アクセスログをログ解析手段２０９へと渡す。ログ解析手段２０９は、受け取ったログを解析する。
【００２９】
尚、ログ解析手段２０９は、図２に示すように、図示しないネットワーク越しにログ収集解析装置２００と通信可能なように、ログ収集解析装置２００の外部に設けても良い。この場合には、添字処理手段２０１とログ解析手段２０９との間のネットワーク帯域は、添字変換手段１０３と添字処理手段２０１との間の帯域に比べて、十分に大きいものとする。
【００３０】
ログ送信装置１００は、前述の通り複数台ネットワーク上にあってもよく、その場合、ログ収集解析装置２００の総合添字対応表２０５は、複数のログ送信装置１００で共有することが可能である。
【００３１】
（１．２  処理の流れ）
次に、図４乃至図６を参照しながら、本実施形態に係るファイルアクセスログ通信システム１の処理の流れを説明する。
【００３２】
（１．２．１  ログ送信装置１００の処理の流れ）
図４は、ログ送信装置１００の処理の流れを示すフローチャートである。尚、後述の各処理ステップは、処理内容に矛盾を生じない範囲で、任意に順番を変更して若しくは並列に実行することができ、また、各処理ステップ間に他のステップを追加しても良い。更に、便宜上１つのステップとして記載されているステップは複数のステップに分けて実行することもでき、便宜上複数に分けて記載されているステップを１ステップとして実行することもできる。この点、図５以降のフローチャート、及び第２の実施形態についても同様である。
【００３３】
まず、クライアントであるログ送信装置１００がログを取得すると共にログ一時保存装置１０１に格納すると（Ｓ４０１）、添字変換手段１０３は、ログの要素を添字に変換する（Ｓ４０３）。変換は、ログ送信装置１００が保持するローカル添字対応表１０５を参照することにより変換される。このとき、ログにふくまれる要素が、ローカル添字対応表１０５にない場合、すなわち、添字に変換できない場合には、添字変換手段１０３は、当該要素を、変換せずにそのままログ収集解析装置２００へと送信する。
【００３４】
送付したログに対して、ログ収集解析装置２００の新規添字通知手段２０７から新しい添字の通知を受信すると（Ｓ４０５のＹｅｓ）、添字表更新手段１０７は、通知されたローカル添字対応表１０５を更新する。尚、この新しい添字の発行は、前述及び後述の通り、添字に変換できない要素がログに含まれていた場合等である。
【００３５】
（１．２．２  ログ収集解析装置２００の処理の流れ）
以下、図５及び図６を参照しながら、ログ収集解析装置２００の処理の流れを説明する。図５及び図６は、本実施形態に係るログ収集解析装置２００の処理の流れを示すフローチャートである。
【００３６】
ログ送信装置１００の添字変換手段１０３が送信したログは、添字処理手段２０１が、添字でない要素があるかどうかを判別する（Ｓ５０１）。もし添字でない要素があれば（Ｓ５０１のＹｅｓ）、新規添字通知手段２０７は、ログ送信装置１００に対して当該要素に対応する添字と要素との組を送信すると共に、総合添字対応表２０５へ登録する（Ｓ５０３）。尚、Ｓ５０２の処理の詳細は、図６を参照しながら後述する。
【００３７】
また、添字処理手段２０１は、ログ送信装置１００から受信したログを、総合添字対応表２０５を参照して、非添字のログに変換する（Ｓ５０５）。その上で、ログ解析手段２０９は、当該非添字のログに対する解析処理を行う（Ｓ５０７）。
次に、Ｓ５０３の処理の詳細を、図６を参照しながら説明する。図６は、添字通知に係るログ収集解析装置２００の処理の流れを示すフローチャートである。
【００３８】
添字処理手段２０１は、ログ送信装置１００からログの中に添字でない要素があると（Ｓ５０１のＹｅｓ）、当該要素の添字が総合添字対応表２０５にあるかどうかを確認する（Ｓ６０１）。もし総合添字対応表２０５に、当該要素の添字がなければ（Ｓ６０１のＮｏ）、添字発行手段２０３は当該要素に対する添字を発行した上で（Ｓ６０３）、当該添字及び要素の組をログ送信装置１００へと送信する（Ｓ６０５）。
【００３９】
一方、受信したログに非添字の形で含まれていた要素が、総合添字対応表２０５に含まれていた場合には（Ｓ６０１のＹｅｓ）、当該総合添字対応表２０５の該当する要素の添字を、新規添字通知手段２０７はログ送信装置１００へと送信する（Ｓ６０５）。
【００４０】
（１．３  具体例）
次に、図７を参照しながら、ファイルアクセスログ通信システム１の処理の具体例を説明する。図７は、ログ送信装置１００が、ログを添字対応表により添字に変換する処理の具体例を説明するための図である。
【００４１】
図７中、（ａ）は、ログ送信装置１００が取得したログの例である。（ａ）のようなログが取得されてログ一時保存装置１０１に格納されると、添字変換手段１０３は当該ログを、ローカル添字対応表１０５に含まれる各要素表（図７中（ｇ）（ｈ）（ｉ））を用いて変換する。すると、プロセス（ｐｒｏｃ）「ａ．ｅｘｅ」は添字（インデックス）「１２」に、ユーザ（ｕｓｅｒ）「Ａ」は添字「１」に、ファイル（ｆｉｌｅ）「ａ．ｔｘｔ」は添字「３」に、それぞれ変換される。その結果、図７（ｂ）のような添字の組合せが得られる。この添字の組合せに対して、添字変換手段１０３は更にローカル添字対応表（図７（ｊ））を用いて変換すると、「１２  １  ３」の組合せに対応する添字（インデックス）である「０」を得ることができる。つまり、添字変換手段１０３は、図７（ａ）のようなログを、「０」に変換して、ログ収集解析装置２００へと送信することができる。
【００４２】
一方、ログ一時保存装置１０１に格納されたログが図７（ｄ）に示すようなログだった場合には、ユーザ「Ｂ」に対応する添字がローカル添字対応表１０５に無いために、同図（ｅ）に示すようにログの一部が添字に変換できない。そのため、ログ送信装置１００は、図７（ｆ）に示すように、「１２  Ｂ  ３」と、添字に変換しないまま（ログの変換が不完全なまま）ログをログ収集解析装置２００へと送信することになる。
【００４３】
（１．４  本実施形態に係る効果）
以上説明したように、本実施形態にかかるファイルアクセスログ通信システム１では、クライアントであるログ送信装置１００と、サーバであるログ収集解析装置２００との間で、ピーク時に送信する可能性のある情報を、添字として予め情報交換しておくことにより、ピーク時の送信料を減らすと共に、サーバ側の負荷を軽減することができる。
【００４４】
一定期間ファイルアクセスログを取り上げた際に取得したログについて解析した１つの結果では、上位５番目のプロセスまでで、ログ全体の９８％を占めた。つまり、ピーク時にログが発生したとしても、殆どのプロセスが予め添字化されているので、送信データ量が極めて小さくなり、結果としてネットワークやサーバの負荷が軽くなると期待できる。
【００４５】
（２  第２の実施形態）
以下、第２の実施形態を説明する。以下の説明では、第１の実施形態と同様の構成については同一の符号を振ると共に、随時説明を省略する。また、作用効果の記載についても、第１の実施形態と同様の場合には説明を省略している。
【００４６】
（２．１  機能構成）
図８は、本実施形態にかかるファイルアクセスログ通信システム１の機能構成を示すブロック図である。
図８に示すように、本実施形態に係るファイルアクセスログ通信システム１は、第１の実施形態と同様に、ファイルアクセスログ通信装置であるログ送信装置１００と、ログ収集解析装置２００とからなる。ここで、ログ送信装置１００がローカル添字対応表１０５の代わりに回数つきローカル添字対応表１０９を備えている点、及びログ収集解析装置２００が、表管理手段２１１を新たに備えると共に、新規添字通知手段２０７の代わりに新規および関連添字通知手段２１３を、並びに総合添字対応表２０５の代わりに登録者つき総合添字対応表２１５を備えている点が第１の実施形態と異なる。
【００４７】
ログ送信装置１００の回数つきローカル添字対応表１０９は、添字変換手段１０３により参照される。また、添字表更新手段１０７は、回数つきローカル添字対応表１０９を更新する。
【００４８】
回数つきローカル添字対応表１０９は、ログの各要素が出現した回数をカウントする。これは、出現回数が少ない要素までも全てサーバであるログ収集解析装置２００へ送信してしまうと、添字変換によるコストが高くなってしまうためである。
【００４９】
図９は、回数つきローカル添字対応表１０９の具体例を示す図である。回数つきローカル添字対応表１０９に含まれる回数は、添字変換手段１０３が参照する度に１ずつ加算される。
【００５０】
ログ収集解析装置２００が備える表管理手段２１１は、添字発行手段２０３から入力を受けると共に、新規および関連添字通知手段２１３へと出力する。また、表管理手段２１１は、登録者つき総合添字対応表２１５を参照可能である。
【００５１】
表管理手段２１１は、登録者つき総合添字対応表２１５に登録したクライアント（ログ送信装置１００）を記憶する。図１０は、登録者つき総合添字対応表２１５の具体例を示す図である。たとえば、添字発行手段２０３がノードＣ（登録者Ｃ）へ「ｂ．ｅｘｅ」の添字を発行しようとした場合、既にＡとＢとが登録ノード（登録者）として登録されている。このとき、表管理手段２１１は、ｂ．ｅｘｅの添字対応表の他に、ＡとＢとが登録している他の添字対応表も同時に新規および関連添字通知手段２１３から登録ノードＣであるログ送信装置１００へと通知させる。図１０の例では、（ｂ）に含まれる添字対応表のうち、ファイルの添字「３」の添字対応表も、ノードＣであるログ送信装置１００に通知される。これは、ファイルアクセスの空間的局所性により、将来アクセスされる可能性の高いファイルであると考えられるからである。尚、このとき、ログ収集解析装置２００からログ送信装置１００へと通知される添字の要素は、関連する全ての要素であっても良いし、一定時間以内に登録された要素でも良い。また、他の基準で決めても良い。
【００５２】
第１の実施形態では、ログ送信装置１００で初めて出現した要素はローカル添字対応表１０５には登録されていないので、必ずログ収集解析装置２００との間で添字の発行に係る通信が発生するが、本実施形態のように実装すれば、新規および関連添字通知手段２１３から関連する添字も予め通知されるので、添字発行にかかる問い合わせ数を減らすことができるので、第１の実施形態以上に帯域負荷を減らすことが可能となる。
【００５３】
（２．２  処理の流れ）
以下、図１１乃至図１４を参照しながら、本実施形態に係るファイルアクセスログ通信システム１の処理の流れを説明する。
【００５４】
（２．２．１  ログ送信装置１００の処理の流れ）
図１１は、本実施停滞に係るログ送信装置１００の処理の流れを示す図である。Ｓ１１０１及びＳ１１０７は、第１の実施形態のＳ４０１及びＳ４０７と同様なので説明を省略する。
【００５５】
Ｓ１１０３に係るカウントつきログの変換処理は、第１の実施形態とは異なる。この処理の詳細を、図１２を参照しながら説明する。図１２は、ログ送信装置１００のカウントつき添字変換処理の流れを示すフローチャートである。
【００５６】
ログ一時保存装置１０１にログが保存されると、添字変換手段１０３は回数つきローカル添字対応表１０９を参照する（Ｓ１２０１）。その結果、回数つきローカル添字対応表１０９にログに対応する要素が存在する場合には（Ｓ１２０１のＹｅｓ）、添字変換手段１０３は回数つきローカル添字対応表１０９に含まれる添字のカウント（回数）を１増加させる（Ｓ１２０３）。この処理の後、添字変換手段１０３はログを添字に変換した上で当該ログをサーバであるログ収集解析装置２００へと送信する（Ｓ１２０５）。
【００５７】
（２．２．２  ログ収集解析装置２００の処理の流れ）
続いて、ログ収集解析装置２００の処理の流れを図１３及び図１４を参照しながら説明する。図１３において、Ｓ１３０１、Ｓ１３０５、Ｓ１３０７は、第１の実施形態に係る図５のＳ５０１、Ｓ５０５、及びＳ５０７と同様であるので説明を省略する。
【００５８】
ログ送信装置１００から受信したログの中に添字でない要素があった場合には、添字処理手段２０１は、当該要素が登録者つき総合添字対応表２１５にあるかどうかを調べる（Ｓ１４０１）。もし無ければ、添字発行手段２０３は、当該要素に対して新しい添字を発行すると共に、登録者つき総合添字対応表２１５に当該要素及び添字の組合せを登録する（Ｓ１４０５）。その上で、表管理手段２１１は、登録者つき総合添字対応表２１５の参照されたインデックスに、当該要素を通知してきたクライアントであるログ送信装置１００を登録する（Ｓ１４０５）。その後、新規及び関連添字通知手段２１３は、当該ログ送信装置１００に、通知してきた要素に対応する、若しくは関連する添字に係る添字対応表をログ送信装置１００へと送信する（Ｓ１４０７）。この時、関連する添字対応表の選び方は、登録者であるログ送信装置１００の組合せを厳密に選んでも良いし、どちらか一方を含んでいるものを選んでも良いし、或いは要素の関連性の高いものだけを選ぶようにしても良い。
【００５９】
（２．３  本実施形態に係る効果）
以上説明したように、第２の実施形態に係るファイルアクセスログ通信システム１では、サーバに添字の問い合わせをする回数を削減することができるため、更なるネットワークやサーバであるログ収集解析装置２００への負荷を軽減することができる。その理由は、ファイルアクセスの空間的局所性により、異なる複数のノード間で似たようなログが出現すると考えられるからである。これにより、サーバが添字を発行するときに、既に対応する要素の添字が登録されていれば、その要素を登録したクライアントが登録した別の要素をも送信することにより、サーバへの添字の問合せ回数を削減することができる。
【００６０】
一定時間ファイルアクセスログを取り続けた際に取得したログについて解析した１つの結果では、各要素に監視、プロセスは９９％、ファイルも約６０％共有できた。このため、添字を通知する際に、登録者が同じ関連する添字も通知することにより、無駄な発行書理を減らすことが期待できる。
【００６１】
（３  付記事項）
尚、前述の各実施形態の構成は、組み合わせたり或いは一部の構成部分を入れ替えたりしてもよい。また、本発明の構成は前述の実施形態のみに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加えてもよい。
尚、前述の各実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【００６２】
（付記１）
ファイルアクセスログ送信装置とファイルアクセスログ受信装置とを備えるファイルアクセスログ通信システムであって、前記ファイルアクセスログ送信装置は、添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換する手段と、添字に変換された前記ファイルアクセスログを前記ファイルアクセスログ受信装置へ送信する手段と、前記ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により前記添字対応表を更新する手段とを備え、前記ファイルアクセスログ受信装置は、前記ファイルアクセスログ送信装置から、添字に変換された前記ファイルアクセスログを受信する手段と、受信した前記ファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字を前記ファイルアクセスログ送信装置へ送信する送信手段とを備えるファイルアクセスログ通信システム。
【００６３】
（付記２）
前記送信手段は、前記ファイルアクセスログ受信装置から添字に係る問合せを受信した際に、他のファイルアクセスログ送信装置により登録された要素に係る添字を、前記ファイルアクセスログ受信装置へ送信する、付記１記載のファイルアクセスログ通信システム。
【００６４】
（付記３）
ファイルアクセスログ送信装置とファイルアクセスログ受信装置とが行うファイルアクセスログ通信方法であって、前記ファイルアクセスログ送信装置が、添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換するステップと、前記ファイルアクセスログ送信装置が、添字に変換された前記ファイルアクセスログを前記ファイルアクセスログ受信装置へ送信するステップと、前記ファイルアクセスログ受信装置が、受信した前記ファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字を前記ファイルアクセスログ送信装置へ送信するステップと、前記ファイルアクセスログ送信装置が、前記ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により前記添字対応表を更新するステップとを備えるファイルアクセスログ通信方法。
【００６５】
（付記４）
ファイルアクセスログ送信装置に、添字対応表を参照することにより、ファイルアクセスログの要素を添字に変換するステップと、添字に変換された前記ファイルアクセスログをファイルアクセスログ受信装置へ送信するステップと、前記ファイルアクセスログ受信装置から新しい添字が通知された場合に、当該新しい添字により前記添字対応表を更新するステップとを実行させるためのプログラム。
【００６６】
（付記５）
ファイルアクセスログ受信装置に、ファイルアクセスログ送信装置から、添字に変換された前記ファイルアクセスログを受信するステップと、受信した前記ファイルアクセスログに含まれる、添字に変換されていない要素に対して割り当てた新しい添字を前記ファイルアクセスログ送信装置へ送信するステップとを実行させるためのプログラム。
【００６７】
この出願は、２０１２年６月１４日に出願された日本出願特願２０１２−１３４９１４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【００６８】
１・・・ファイルアクセスログ通信システム、１００・・・ログ送信装置、１０１・・・ログ一時保存装置、１０３・・・添字変換手段、１０５・・・ローカル添字対応表、１０７・・・添字表更新手段、１０９・・・回数つきローカル添字対応表、２００・・・ログ収集解析装置、２０１・・・添字処理手段、２０３・・・添字発行手段、２０５・・・総合添字対応表、２０７・・・新規添字通知手段、２０９・・・ログ解析手段、２１１・・・表管理手段、２１３・・・新規および関連添字通知手段
【図１】
2013187105.tif 000003
【図２】
2013187105.tif 000004
【図３】
2013187105.tif 000005
【図４】
2013187105.tif 000006
【図５】
2013187105.tif 000007
【図６】
2013187105.tif 000008
【図７】
2013187105.tif 000009
【図８】
2013187105.tif 000010
【図９】
2013187105.tif 000011
【図１０】
2013187105.tif 000012
【図１１】
2013187105.tif 000013
【図１２】
2013187105.tif 000014
【図１３】
2013187105.tif 000015
【図１４】
2013187105.tif 000016
【国際調査報告】
2013187105.tif 000017
2013187105.tif 000018