(57)【特許請求の範囲】
【請求項１】
複数のログ収集対象機器から発信される多種多様なログデータを収集し前記各機器の環境を管理するログ管理装置であって、
前記ログデータを構成する複数のメッセージを受信するログ受信手段と、
前記各メッセージについての照合処理を予め決められた序列に従って実行するログ照合処理手段と、
前記ログ収集対象機器ごとの動作環境及びデータ発信時間帯に基づいて分類されたログフォーマット定義情報が予め格納されたログ定義格納部と、を備え、
前記ログ照合処理手段は、前記照合処理を、前記ログ定義格納部に格納された複数の前記ログフォーマット定義情報の内のいずれか１つを参照することにより実行することを特徴としたログ管理装置。
【請求項２】
前記請求項１に記載のログ管理装置において、
前記ログフォーマット定義情報は、前記照合処理により識別したメッセージ定義情報が受信回数の多い順に並べられた統計定義データと、予め設定された前記メッセージの特性にかかる基準情報に対応づけられた一時的に優先して照合すべき前記メッセージ定義情報である優先定義データと、から成り、
前記ログ照合処理手段は、前記ログ収集対象機器についての収集対象ＩＰアドレスと、前記動作環境と、前記データ発信時間帯に対応する単位時間ＩＤと、の組み合わせに合致する前記ログフォーマット定義情報を選定し、この選定した前記ログフォーマット定義情報内の前記統計定義データを参照すると共に優先照合期間内にはこれに先立って前記優先定義データを参照して前記照合処理を順次実行する特定データ照合部を備えることを特徴としたログ管理装置。
【請求項３】
前記請求項２に記載のログ管理装置において、
前記ログ照合処理手段は、
前記優先定義データの更新を司る優先データ更新処理手段を併設すると共に、この優先データ更新処理手段に、照合済メッセージについてのメッセージＩＤと前記収集対象ＩＰアドレス及び動作環境とを送信する更新情報送信部を備え、
前記優先データ更新処理手段は、
前記基準情報に基づいて前記優先定義データとすべき前記メッセージ定義情報の有無を判定する優先データ格納判定部と、
前記優先定義データとすべき前記メッセージ定義情報が有る旨の判定結果に基づいて前記ログ定義格納部の前記優先定義データを更新する優先データ更新部と、を備えることを特徴としたログ管理装置。
【請求項４】
前記請求項３に記載のログ管理装置において、
前記基準情報は、前記収集対象ＩＰアドレス、前記動作環境、及び前記メッセージＩＤに基づいて定義された複数のイベント定義情報であり、
この各イベント定義情報は、イベント判定用の複数の起点メッセージとこれに対応する後続メッセージと、から成り、
前記優先データ格納判定部は、前記ログ照合処理手段から送られてくる前記収集対象ＩＰアドレス、前記動作環境、及び前記メッセージＩＤの組み合わせが前記起点メッセージの何れかと合致した際に前記優先定義データとすべき前記メッセージ定義情報が有る旨判定すると共に、その合致した前記起点メッセージに対応する前記後続メッセージにかかる情報を前記優先データ更新部に送信することを特徴としたログ管理装置。
【請求項５】
前記請求項３に記載のログ管理装置において、
前記基準情報は、前記収集対象ＩＰアドレスと、前記動作環境と、予め設定された一定時間ごとの繰返し周期と、に基づく分類処理を経た前記照合済メッセージが前記メッセージＩＤごとにカウントされたメッセージ出現回数情報であり、
このメッセージ出現回数情報は、今周期カウント及びその直前の前周期カウントを含み、
前記優先データ格納判定部は、前記今周期カウントの前記前周期カウントに対する割合を算出し、この算出値が予め外部から設定された閾値を超えていた場合に前記優先定義データとすべき前記メッセージ定義情報が有る旨判定すると共にこの判定結果にかかる情報を前記優先データ更新部に送信することを特徴としたログ管理装置。
【請求項６】
前記請求項３乃至５のいずれか１つに記載のログ管理装置において、
前記優先データ更新部は、前記優先データ格納判定部から送られてくる前記収集対象ＩＰアドレス及び前記メッセージＩＤに対応する前記メッセージ定義情報を前記ログ定義格納部内のログ定義マスタ格納領域から取得すると共に、ここで取得した前記メッセージ定義情報を、前記ログ定義格納部内の他の特定の格納領域に前記優先定義データとして格納処理することを特徴としたログ管理装置。
【請求項７】
前記請求項３乃至５のいずれか１つに記載のログ管理装置において、
前記優先データ更新部は、前記優先定義データを前記ログ格納部内に格納処理してから予め設定された前記優先照合期間の基準となる設定時間が経過した場合に、前記優先定義データを前記ログ格納部内から除外するメッセージ除外機能を備えることを特徴としたログ管理装置。
【請求項８】
前記請求項３乃至５のいずれか１つに記載のログ管理装置において、
前記ログ定義格納部に、前記統計定義データを更新する統計データ更新処理手段を併設し、
前記統計データ更新処理手段が、
前記収集対象ＩＰアドレス及び動作環境に基づいて分類した前記照合済メッセージを前記メッセージＩＤごとにカウントすると共に、予め設定された単位時間の終了に際してこのカウント数を多い順に整列させたカウントリストを作成する統計データ更新処理部と、
このカウントリストに基づいて前記統計定義データを更新する統計データ更新部と、を備えることを特徴としたログ管理装置。
【請求項９】
複数のログ収集対象機器から発信される多種多様なログデータを収集し前記各機器の環境を管理するログ管理装置にあって、
前記ログデータを構成する複数のメッセージを、ログ受信手段が受信し、
次に、前記各メッセージを、前記ログ受信手段がログ照合処理手段に送信し、
前記ログ収集対象機器ごとの動作環境及びデータ発信時間帯に基づいて分類されたログフォーマット定義情報が予め格納されたログ定義格納部から、前記照合処理手段が、前記各メッセージに基づいて前記ログフォーマット定義情報を選定し、
ここで選定した前記ログフォーマット定義情報を参照することにより、前記ログ照合処理手段が、前記ログ受信手段から受信した前記各メッセージの照合処理を行うことを特徴としたログ管理方法。
【請求項１０】
複数のログ収集対象機器から発信される多種多様なログデータを収集し前記各機器の環境を管理するログ管理装置にあって、
前記ログデータを構成する複数のメッセージをログ受信手段が受信するログ受信機能、
前記各メッセージを、前記ログ受信手段がログ照合処理手段に送信するログ送信機能、
前記ログ収集対象機器ごとの動作環境及びデータ発信時間帯に基づいて分類されたログフォーマット定義情報が予め格納されたログ定義格納部から、前記照合処理手段が、前記各メッセージに基づいて前記ログフォーマット定義情報を選定するログ定義選定機能、
このログ定義選定機能によって選定した前記ログフォーマット定義情報を参照することにより、前記ログ照合処理手段が、前記ログ受信手段から受信した前記各メッセージの照合処理を行うログ照合処理機能、をコンピュータに実現させるためのログ管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上でさまざまなログ収集対象機器に接続され、特に、そこから取得するログデータを効率よく照合処理するログ管理装置、その管理方法、及びそのプログラムに関する。
【背景技術】
【０００２】
企業内ネットワーク等における内部データ統制やシステム監査、インシデント発生時の事後調査への対応として、ログメッセージを統合的に処理する統合ログ管理システムが利用されている。統合ログ管理システムとは、企業内のネットワークに接続しているクライアント端末、サーバ等のログ収集対象機器や、それらに搭載されているアプリケーション、スイッチやルータといったネットワーク機器など、さまざまな種類の機器を対象として動作ログデータ（ログ）を統合的に収集、管理、解析するシステムである。
【０００３】
統合ログ管理システムにより、企業内のあらゆるログを収集、管理することで、法令で規定されている監査への証跡や、収集対象機器の状態監視、セキュリティインシデント発生時の事後調査など、監査やシステム運用面、セキュリティ面での管理レベルを向上させることが可能となる。
【０００４】
ここで、以下においては、ログデータ中の1エントリ（1行）のことをメッセージと指称する。換言すれば、メッセージの集合がログデータである。また、「メッセージ内のどこにどのような情報が存在しているのか」や「どんなフォーマットで記載されているのか」を示す情報のことをメッセージ定義情報と指称し、メッセージ定義情報の集合のことをログフォーマット定義情報と指称する。さらに、上述した「メッセージ内のどこにどのような情報が存在しているのか」については「各メッセージの持つ意味」と指称する。
【０００５】
ところで、収集したログデータに対して、システム監査やインシデント調査等の解析を実施するためには、ログ管理装置が各メッセージの持つ意味を理解する必要があり、一般的には、該装置が保持しているログフォーマット定義情報を利用して、ログ収集対象機器（以下、デバイスとする）から収集したメッセージの照合処理を行っている。
【０００６】
従来から、このメッセージの照合処理は、ログフォーマット定義情報に記載されている順にシーケンシャルに実施されている。また、メッセージの照合処理にあっては、照合対象も、比較対象であるメッセージ定義情報も、文字列データに他ならないため、このログフォーマット定義情報内では各メッセージ定義情報が固定の順番で定義されている。即ち、従来は、各メッセージ定義情報が固定の順番で並べられたログフォーマット定義情報に依存した照合処理を行っていた。
【０００７】
このようなシーケンシャルな照合処理においては、該当メッセージがログフォーマット定義情報内の何番目に存在するかによって照合効率が大きく左右される。例えば、任意のメッセージＸにかかるメッセージ定義情報が、ログフォーマット定義情報の末尾（例えば１００００番目）に定義されていた場合、末尾まで辿りつく間の照合処理（９９９９メッセージ定義情報との照合処理）が必要となるため該処理の完了までに膨大な時間がかかってしまう。さらに具体的な例を示すと、ログフォーマット定義情報の１００００番目に記載されているメッセージ定義情報に該当するメッセージが、1秒間に１０００個発生するという環境の場合には、1秒間に行うべき照合回数は１千万回（１００００×１０００）となるため、ログデータのロスト等の問題が発生しうる。
【０００８】
加えて、「いつ、どの収集対象機器から、どのメッセージが、どの程度（量）発生するか」という事情は、ログ管理装置の設置された環境に左右されることを考慮すると、上記例のように、ログフォーマット定義情報の末尾にあるメッセージ定義情報に該当するメッセージが大量に発生する環境下では、非効率な照合処理が何度も繰り返されることになる。これでは、照合処理に時間を要するばかりでなく、本来収集すべきメッセージを取りこぼしてしまう（ログデータのロストが発生してしまう）可能性もある。さらに、かかる非効率的な照合処理の負荷が高まることによって、ログデータ検索などの分析処理に影響が及んでしまう。
【０００９】
このような状況下において、従来より、ログ管理に関する装置の改良が行われてきた。例えば、下記の技術内容（特許文献１又は２）が知られている。
【００１０】
特許文献１に記載された公知例では、複数の異なる管理対象機器ごとのログデータを統合的に管理することで、警備の要否を判定する技術が開示されている。また、特許文献２に記載された公知例では、出力されるログデータを管理するに際して、ログレベル（情報量の度合い）ごとの整理が可能なテーブルを用いることで、セキュリティを確保しつつ記憶装置の有効利用を図った技術が開示されている。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】特開２０１０−２０５０８１
【特許文献２】特開２００８−１５７３３
【発明の概要】
【発明が解決しようとする課題】
【００１２】
しかしながら、上述した特許文献１及び２を含めた従来技術においては、ログデータに現れる特徴やメッセージの受信数を考慮した上でログフォーマット定義情報内の各メッセージ定義情報に序列をつけ、これを照合処理の実行に際して参照することにより各ログ収集対象機器の動作環境を柔軟かつ迅速に把握すると共に管理するような技術については何ら開示されていない。
【００１３】
（発明の目的）
本発明は、上記従来例の有する不都合を改善するためのものであり、特に、受信した各メッセージの照合処理を環境に合わせて効率よく行うログ管理装置、その管理方法、及びそのプログラムの提供を、その目的とする。
【課題を解決するための手段】
【００１４】
上記目的を達成するために、本発明にかかるログ管理装置では、複数のログ収集対象機器から発信される多種多様なログデータを収集し各機器の動作環境を管理するログ管理装置であって、ログデータを構成する複数のメッセージを受信するログ受信手段と、各メッセージについての照合処理を予め決められた序列に従って実行するログ照合処理手段と、ログ収集対象機器ごとの動作環境及びデータ発信時間帯に基づいて分類されたログフォーマット定義情報が予め格納されたログ定義格納部と、を備え、ログ照合処理手段は、照合処理を、ログ定義格納部に格納された複数のログフォーマット定義情報の内のいずれか１つを参照することにより実行するという構成を備えている。
【００１５】
また、本発明にかかるログ管理方法では、複数のログ収集対象機器から発信される多種多様なログデータを収集し各機器の動作環境を管理するログ管理装置にあって、ログデータを構成する複数のメッセージを、ログ受信手段が受信し、次に、各メッセージを、ログ受信手段がログ照合処理手段に送信し、ログ収集対象機器ごとの動作環境及びデータ発信時間帯に基づいて分類されたログフォーマット定義情報が予め格納されたログ定義格納部から、照合処理手段が、各メッセージに基づいてログフォーマット定義情報を選定し、ここで選定したログフォーマット定義情報を参照することにより、ログ照合処理手段が、ログ受信手段から受信した各メッセージの照合処理を行うことを特徴とする。
【００１６】
さらに、本発明にかかるログ管理プログラムでは、複数のログ収集対象機器から発信される多種多様なログデータを収集し各機器の動作環境を管理するログ管理装置にあって、ログデータを構成する複数のメッセージをログ受信手段が受信するログ受信機能、各メッセージを、ログ受信手段がログ照合処理手段に送信するログ送信機能、ログ収集対象機器ごとの動作環境及びデータ発信時間帯に基づいて分類されたログフォーマット定義情報が予め格納されたログ定義格納部から、照合処理手段が、各メッセージに基づいてログフォーマット定義情報を選定するログ定義選定機能、このログ定義選定機能によって選定したログフォーマット定義情報を参照することにより、ログ照合処理手段が、ログ受信手段から受信した各メッセージの照合処理を行うログ照合処理機能、をコンピュータに実現させることを特徴とする。
【発明の効果】
【００１７】
本発明は、上述したように、受信した各メッセージの照合処理を行うに際して、ログ収集対象機器ごとの環境により分類されたログフォーマット定義情報を参照する構成を採用し、さらに、そのログフォーマット定義情報内のメッセージ定義情報は予め序列をつけて並べられているため、これによると、受信した各メッセージの照合処理を環境に合わせて効率よく実行すると共に本来収集すべきメッセージを効率よく収集し管理することができるという優れたログ管理装置、その管理方法、及びそのプログラムの提供が可能となる。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施形態にかかるログ管理装置の構成を示したブロック図である。
【図２】本発明の実施形態にかかるログ照合処理手段の構成を示したブロック図である。
【図３】本発明の実施形態にかかる優先データ処理手段の構成を示したブロック図である。
【図４】本発明の実施形態にかかるログ管理装置とその周辺機器とのネットワーク構成を示した図である。
【図５】本発明の実施形態にかかるログフォーマット定義格納部の内部構成を例示した概略図である。
【図６】本発明の第１実施形態（イベントを利用した場合）にかかる設定情報格納部の内部構成を例示した概略図である。
【図７】本発明の第１実施形態にかかる照合処理（イベントを利用した場合）の動作を示したシーケンス図である。
【図８】本発明の実施形態にかかるメッセージ出現回数カウント結果を例示した図である。
【図９】本発明の第実施形態にかかる定期的な統計定義データの更新処理を示したシーケンス図である。
【図１０】本発明の第２実施形態（例外状態を利用した場合）にかかる設定情報格納部の内部構成を例示した概略図である。
【図１１】本発明の第２実施形態にかかる照合処理（例外状態を利用した場合）の動作を示したシーケンス図である。
【発明を実施するための形態】
【００１９】
〔第１実施形態：イベントを利用した場合の照合処理〕
本発明にかかるログ管理装置の第１実施形態を、図１乃至図９に基づいて説明する。ログデータの特徴はさまざまであるが、本第１実施形態では、イベントによる後続メッセージの予測を用いた優先定義データの更新及びその使用法について説明する。ここでのイベントとは、複数のメッセージから構成される特有の現象のことである。また、イベントを利用する場合は、図６に例示した設定情報格納部８０のように、予めイベントにかかる情報を定義しておく必要がある。
【００２０】
（全体的構成）
図１において、符号９０は、複数のログ収集対象機器（デバイス）から受信したログデータの照合処理を行うと共にこれを管理する本第１実施形態にかかるログ管理装置である。このログ管理装置９０は、各種デバイスからログデータを収集するログ受信手段１０と、ログ受信手段１０から受信したログデータにかかる各メッセージの照合を行うログ照合処理手段２０と、照合済メッセージを保存する記憶領域としてのログ保存部３０と、ログ照合処理手段２０から受信した照合済メッセージをログ保存部３０に保存すると共にこれを適宜受け渡すログアクセス処理手段４０と、優先的に照合されるべきメッセージ定義情報である優先定義データ７１Ａの更新処理を行う優先データ更新処理手段５０と、該当デバイスの全メッセージ定義情報が整列された統計定義データ７２Ａの更新処理を行う統計データ更新処理手段６０と、デバイスごとの動作環境（システム種別）及びデータ発信時間帯（単位時間ＩＤ）に基づいて分類されたログフォーマット定義情報が格納されたログ定義格納部７０と、本第１実施形態にかかるログ管理装置９０が動作するために必要な設定情報を格納している設定情報格納部８０と、により構成されている。
【００２１】
本第１実施形態におけるログ定義格納部７０は、デバイスごとの動作環境及びデータ発信時間帯に基づいて区分けされた複数の領域を備えている。また、これら複数の各領域には、優先定義データ７１Ａが格納される優先リスト７１と統計定義データ７２Ａが格納される統計リスト７２とが設けられている。即ち、本第１実施形態にかかるログフォーマット定義情報は、優先定義データ７１Ａと統計定義データ７２Ａとから成るものである。
【００２２】
優先定義データ７１Ａは、ログ照合処理手段２０による照合処理の進行に伴って優先データ更新処理手段５０により更新される構成である。また。統計定義データ７２Ａにおける各メッセージ定義情報の順序は、統計データ更新処理手段６０によって更新される構成となっている。さらに、上述したログ照合処理手段２０は、ログ受信手段１０から受信したメッセージの照合処理を行うに際して、まず、優先リスト７１内のメッセージ定義情報（優先定義データ７１Ａ）を参照し、次に、統計リスト７２内のメッセージ定義情報（統計定義データ７２Ａ）を参照する機能を備えている。
【００２３】
設定情報格納部８０には、優先データ更新処理手段５０が優先定義データ７１Ａとすべきメッセージ定義情報の有無について判定するために必要な情報である格納判定用情報８１と、優先リスト７１に格納された優先定義データ７１Ａとしてのメッセージ定義情報を優先データ更新処理手段５０が除外するために必要な情報である優先データ除外用情報８２と、ログフォーマット定義情報を保持する単位時間を設定するための情報である単位時間設定情報８３と、が格納されている。なお、上述した統計定義データ７２Ａは、この単位時間ごとに統計データ更新処理手段６０によって作成される構成となっている。
【００２４】
優先データ更新処理手段５０は、ログ照合処理手段２０から入力される照合済メッセージに基づく「優先定義データ７１Ａとすべきメッセージ定義情報（優先リスト７１に格納すべきメッセージ定義情報）が存在するか否かの判定」を、格納判定用情報８１を参照することにより行う優先データ格納判定部５１と、優先データ格納判定部５１から送信された判定結果にかかる情報に対応するメッセージ定義情報を優先リスト７１（ログ定義格納部内の特定の格納領域）に優先定義データ７１Ａとして格納処理する優先データ更新部５２と、を備えている。上記判定の結果如何によっては、優先データ格納判定部５１が、格納判定用情報８１の更新を行う構成となっている。
【００２５】
また、優先データ更新部５２には、優先データ除外用情報８２の更新を行う構成（図３：除外用情報格納処理機能５２Ａ、除外用情報削除機能５２Ｃ）と、除外時刻となった際に優先データ除外用情報８２を参照することで優先リスト７１からメッセージ定義情報を除外する構成（図３：メッセージ除外機能５２Ｂ）と、を採用した。
【００２６】
ログアクセス処理手段４０は、統計データ更新処理手段６０から指定されたログデータをログ保存部３０から取得すると共にこれを統計データ更新処理手段６０に渡すログ取得処理部４１と、ログ照合処理手段２０から入力された照合済のメッセージをログ保存部３０に保存するログ保存処理部４２と、により構成されている。
【００２７】
統計データ更新処理手段６０は、単位時間の終了時刻になるとログ取得処理部４１に対して現単位時間に収集した全てのログデータの取得を依頼すると共にそこで取得した該当ログデータに基づく統計情報の計算を行う統計情報計算処理部６１と、統計情報計算処理部６１から入力された統計情報の計算結果に基づいて統計定義データ７２Ａを更新する統計データ更新部６２と、を備えている。また、統計データ更新部６２は、単位時間の終了に伴い、格納判定用情報８１及び単位時間設定情報８３の更新を行うと共に、次回の単位時間情報を統計情報計算処理部６１に通知する構成となっている。
【００２８】
ここで、ログ照合処理手段２０が行う照合処理について説明する。ログ照合処理手段２０は、ログ受信手段１０から受信した収集メッセージの照合処理に際して、設定情報格納部８０内の単位時間設定情報８３及びログ定義格納部７０内に格納されているログフォーマット定義情報を参照する構成となっている。かかる収集メッセージの照合処理により、ログ管理装置９０内では、受信したメッセージがログフォーマット定義情報内のどのメッセージ定義情報に該当するのかを、一意に判別することが可能となる。
【００２９】
また、ログ照合処理手段２０は、照合済みの各メッセージを、ログアクセス処理手段４０のログ保存処理部４２と優先データ更新処理手段５０とに送信する機能を備えている。本第１実施形態では、便宜的に全てのメッセージ定義情報には一意のメッセージＩＤが割り当てられているため、ログ照合処理手段２０は、受信メッセージのメッセージＩＤを判別することができる。
【００３０】
続いて、図２に示したログ照合処理手段２０の内部構成について説明する。
【００３１】
上述したログ照合処理手段２０は、収集対象ＩＰアドレス（デバイスＩＰアドレス）と、動作環境（システム種別）と設定情報格納部８０を参照することで確認したデータ発信時間に対応する単位時間ＩＤとの組み合わせに対応するログフォーマット定義情報をログ定義格納部７０内から選定すると共に、選定したログフォーマット定義情報内の優先定義データ７１Ａと統計定義データ７２Ａとを順次参照して照合処理を実行する特定データ照合部２０Ａを備えている。さらに、ログ照合処理手段２０は、照合済メッセージについてのメッセージＩＤと収集対象ＩＰアドレス及び動作環境とを優先データ更新処理手段５０に送信する更新情報送信部２０Ｂを備えている。この更新情報送信部２０Ｂが送信する情報は、優先リスト７１に特定のメッセージ定義情報（優先定義データ７１Ａ）を格納するため又はこれを除外するために必要な情報である。
【００３２】
上述したように、ログ照合処理手段２０には、各メッセージの照合処理を実行しながら、これと並行して優先データ更新処理手段５０等への情報提供照合済を行う構成を採用したので、これによると、提供した情報に基づく各構成の迅速な動作によって更新された優先定義データ７１Ａ、統計定義データ７２Ａを順次参照することができ、効率的な照合処理が実現可能となる。
【００３３】
次に、図３に示した優先データ更新処理手段５０について説明する。
【００３４】
上述したように、優先データ更新処理手段５０は、ログ照合処理手段２０から入力される照合済メッセージに基づいてイベントや例外状態（障害状態）等の特別な状況であるか否かの判定を行う優先データ格納判定部５１と、この優先データ格納判定部５１が特別な状況であると判定した場合に通知されるその判定にかかる情報に基づいて優先定義データ７１Ａの更新を行う優先データ更新部５２と、を備えている。
【００３５】
また、優先データ格納判定部５１は、設定情報格納部８０に予め設定された設定時間に基づいて、優先定義データ７１Ａからメッセージ定義情報を除外する時刻（除外時刻）を算出する除外時刻算出機能５１Ａを備えている。
【００３６】
さらに、優先データ更新部５２は、優先リスト７１から除外すべき優先定義データ７１Ａにかかる情報に上記除外時刻を添えた優先データ除外用情報を設定情報格納部８０に格納処理する除外用情報格納処理機能５２Ａと、上記除外時刻に達すると直ちに優先定義データ７１Ａとしてのメッセージ定義情報を優先リスト７１から除外するメッセージ除外機能５２Ｂと、このメッセージ除外機能５２Ｂによる除外動作の直後に設定情報格納部８０から上記優先データ除外用情報を削除する除外用情報削除機能５２Ｃと、を備えている。
【００３７】
この優先データ更新処理手段５０は、上述した通り、メッセージの発生状況に適したメッセージ定義情報のみが格納される優先リスト７１の更新（優先定義データ７１Ａの更新）に特化した構成である。また、ログ照合処理手段２０は、優先データ更新処理手段５０によって更新される優先定義データ７１Ａ等を適宜参照しての照合処理に特化した構成である。したがって、優先データ更新処理手段５０及びログ照合処理手段２０は、それぞれの処理を迅速に行うと共に処理後のデータの送受信等にかかる円滑な連携が可能である。即ち、本第１実施形態にかかるログ管理装置９０は、各構成についての機能的な役割分担により、適切なメッセージ定義情報を最適なタイミングで参照し効率的な照合処理が実現できる。
【００３８】
ここで、本第１実施形態にかかるログ管理装置のネットワーク構成について図４を参照して説明する。
【００３９】
図４において、符号９１乃至９３は、ネットワーク機器やＯＳ・アプリケーション等をインストールしたＰＣ等を含むさまざまなログ収集対象機器である。また、符号９０は、各種ログ収集対象機器（９１乃至９３）からログデータを収集し、解析・演算処理および照合処理等を実行する本第１実施形態にかかるログ管理装置である。これらの機器及び装置は、図４に示す通り、ネットワーク９４上で接続されている。かかる構成により、本第１実施形態にかかるログ管理装置９０は、受信した多種多様なメッセージの認識（メッセージの書式を定義している情報との照合）を行うと共にこれらの管理を実行する。
【００４０】
通常のログ管理装置では、ログデータを収集する際に「該装置自身が保持している固定順のログフォーマット定義情報」と「受信した各メッセージ」との照合処理を行うことでその受信メッセージの認識を行うが、本第１実施形態にかかるログ管理装置９０では、ログデータ受信時における優先定義データ７１Ａの格納処理及び定期的な統計定義データ７２Ａの更新処理といった特徴的な動作を採用したことにより、照合処理の効率化を可能とする構成となっている。
【００４１】
次に、図５に例示したログ定義格納部７０について説明する。
【００４２】
ログ定義格納部７０内には、図５に示す通り、システム種別ごとのログフォーマット定義マスタを管理しているログフォーマット定義マスタ格納領域（ログ定義マスタ格納領域）７０Ａと、ログ照合処理手段２０による実際の照合処理で利用されるログフォーマット定義情報（優先定義データ７１Ａ及び統計定義データ７２Ａ）が格納されている照合用ログフォーマット定義格納領域７０Ｂと、が設けられている。
【００４３】
このログフォーマット定義マスタ格納領域７０Ａは、システム種別（動作環境）ごとに唯一の定義を持ち、これが照合用ログフォーマット定義格納領域７０Ｂに展開されている。即ち、照合用ログフォーマット定義格納領域７０Ｂは、各種デバイスについての収集対象ＩＰアドレス、システム種別、単位時間ＩＤの順に階層構造を成し、この階層化された構造のそれぞれにログフォーマット定義情報を有している。
【００４４】
ログフォーマット定義情報として優先定義データ７１Ａ及び統計定義データ７２Ａを採用している本第１実施形態では、図５に示す通り、同様に収集対象ＩＰアドレスと、システム種別と、単位時間ＩＤと、に基づいて区分けされたログフォーマット定義領域内の優先リスト７１及び統計リスト７２に、それぞれが格納されている。
【００４５】
ここでのシステムとは、情報システム（情報システムの構成要素としてのオペレーティングシステム（ＯＳ）も含む）、ネットワークシステム等のコンピュータに関わるソフトウェアのことであり、本第１実施形態では、システム種別と動作環境とを同義で用いている。また、ＯＳが提供するファイルシステム上に直接構築されるデータベース（ＤＢ）やデータベース管理システム等もここでのシステムに含むものとする。
【００４６】
ところで、図５に例示したログフォーマット定義情報から読み取れる意味は、「あるＩＰアドレスに存在する、あるシステム種別の、ある時間帯におけるログフォーマット定義情報」である。例えば、「192.168.0.15のＩＰアドレスから、１３時〜１４時の間に送られてきたＷｉｎｄｏｗｓ（登録商標）のＯＳのメッセージに対して、参照するログフォーマット定義情報」のように構造化されている。
【００４７】
従来のログ管理装置におけるログフォーマット定義情報は、システム種別（動作環境）ごとに唯一であることが一般的であったが、本第１実施形態にかかるログ管理装置では、同一のシステム種別であっても設置環境によってメッセージの発生状況が異なることを考慮し、収集対象ＩＰアドレスごとや単位時間ごとにログフォーマット定義情報を保持する構成を採用した。
【００４８】
収集対象ＩＰアドレスごとの分割管理によれば、特に、同じシステムを異なる用途で使用する場合に生じ得るログの出力傾向の違いに対し柔軟に対応することができる。例えば、同じＷｉｎｄｏｗｓ（登録商標）のＯＳを、ＯＡマシンとして利用したり、２４時間稼動させたりする場合が考えられる。
【００４９】
また、単位時間ごとの分割管理によれば、特に、時間帯ごとに異なるログの出力傾向に対して柔軟な対応が可能である。例えば、「８時〜９時の出社時間は各クライアントマシンにてログインログが大量に発生するが、１５時〜１６時の勤務時間中にはログインログがほとんど発生しない」等の、状況に起因する場合である。
【００５０】
さらに、各ログフォーマット定義情報には、該当するシステムにかかるログフォーマット定義マスタのメッセージ定義情報を該当単位時間内での受信回数が多い順に並び替えた統計定義データ７２Ａと、統計定義データ７２Ａのメッセージ定義情報のうち一時的に優先度を上げて照合すべきものである優先定義データ７１Ａと、が設けられている。これらの統計定義データ７２Ａと優先定義データ７１Ａとは、それぞれ特定の格納領域である統計リスト７２と優先リスト７１とに格納されている。なお、優先リスト７１に格納する優先定義データ７１Ａとしてのメッセージ定義情報は、優先データ更新処理手段５０がログデータの特徴を利用して更新する構成となっている。
【００５１】
続いて、図６に例示した設定情報格納部８０について説明する。
【００５２】
設定時間格納部８０には、各照合済メッセージにかかる情報に基づいて優先データ格納判定部５１が優先定義データ７１Ａとすべきメッセージ定義情報の有無を判定するための格納判定情報（イベント定義情報８１Ａ）と、周期及び単位時間ＩＤにかかる情報である単位時間設定情報８３Ａと、優先データ更新部５２が優先リスト７１から優先定義データ７１Ａを除外する際に参照する優先データ除外用情報８２Ａと、が格納されている。
【００５３】
単位時間設定情報８３は、図６に示した単位時間設定情報８３Ａのように「周期」とそれぞれの単位時間に対して「単位時間ＩＤ」、「開始時刻」、「終了時刻」、「有効フラグ」の項目を保持している。周期（一定時間ごとの繰返し周期）とは、単位時間が一周するまでの期間である。また、単位時間ＩＤは、各単位時間に割り当てられた一意の識別情報である。
【００５４】
さらに、開始及び終了の項目は、それぞれの単位時間の開始時刻及び終了時刻を表している。この開始及び終了の項目にかかる欄には、外部から任意時刻の指定を行う構成となっている。また、有効フラグにかかる欄には、現在時刻がどの単位時間に属しているのかを表すフラグ情報が書き込まれる。本第１実施形態にかかる単位時間設定情報８３Ａは、1日周期で、1時間単位に単位時間が設定されている。即ち、１周期が２４個の単位時間に分割されている。
【００５５】
（動作説明：優先定義データ７１Ａの更新処理）
ここでは、図１に開示したログ管理装置９０にかかる動作のうち、イベントによる後続メッセージの予測を用いた優先定義データ７１Ａの更新とその利用方法について、図７（ステップＳ７００〜Ｓ７１５）を参照しながら説明する。
【００５６】
まず、ログ管理装置９０は、ログ受信手段１０によって各デバイスからログデータ（メッセージの集合）を受信すると共にこの受信したメッセージごとの収集対象ＩＰアドレス（送信元ＩＰアドレス）の確認を行う（図７：Ｓ７００）。ここで、ログ受信手段１０は、メッセージとそのメッセージにかかる収集対象ＩＰアドレスとの関連付け（紐付け）を行う。また、ログ受信手段１０は、受信したすべてのメッセージ及び収集対象ＩＰアドレスをログ照合処理手段２０に送信する（図７：Ｓ７０１）。なお、収集対象ＩＰアドレスとは、デバイスごとに割り振られた識別番号のことである。
【００５７】
ログ照合処理手段２０は、現在時刻に該当する単位時間ＩＤを取得するため、設定情報格納部８０内の単位時間設定情報８３にある有効フラグを参照し、有効な単位時間ＩＤを確認する（図７：Ｓ７０２）。なお、ログ受信手段１０から受け取った収集対象ＩＰアドレスから初めてメッセージを受信した場合には、メッセージの判別の前にシステム種別（動作環境）の判定を要するが、本第１実施形態では、既にこのシステム種別の判定処理を終えたことにより、システム種別の認識が可能な状態であるものとする。
【００５８】
続いて、ログ照合処理手段２０は、ログ定義格納部７０の照合用ログフォーマット定義格納領域７０Ｂ（図５）内で、ログ受信手段１０にて確認した収集対象ＩＰアドレス、単位時間設定情報８３から取得した単位時間ＩＤ、及びシステム種別の組み合わせに合致する特定領域のログフォーマット定義情報を参照する（図７：Ｓ７０３）。
【００５９】
なお、同一のＩＰアドレスに複数のシステムが存在する場合には、それぞれについてのログフォーマット定義情報を参照する。例えば、図５に示した「システムＡの領域とシステムＢの領域を内包する収集対象ＩＰアドレス１の領域」のような場合である。さらに、システムＡ及びシステムＢにかかる領域は、図５に示す通り、単位時間ＩＤによって区分けされ、この区分けされた領域内にログフォーマット定義情報が設けられている。即ち、すべてのログフォーマット定義にかかる領域内の優先リスト７１及び統計リスト７２には、ログフォーマット定義情報としての優先定義データ７１Ａ及び統計定義データ７２Ａが格納されている。
【００６０】
ログ照合処理手段２０は、照合用ログフォーマット定義格納領域７０Ｂを参照することにより、ログ収集対象機器ごとの動作環境及びデータ発信時間に基づいて分類されたログフォーマット定義情報を選定し、これを利用してログ受信手段１０から受け取ったメッセージについての照合処理を行う。
【００６１】
本第１実施形態では、上述した通り、該当するすべてのログフォーマット定義領域内に優先リスト７１及び統計リスト７２が設けられていて、後述する一時的な優先照合期間内においては、ログ照合処理手段２０が、優先定義データ７１Ａ、統計定義データ７２Ａの順に順次参照し、文字列リストとして定義されたメッセージ定義情報と取得したメッセージとの照合処理を実行する。即ち、ログ照合処理手段２０は、ログフォーマット定義情報における上位メッセージ定義情報から下位メッセージ定義情報へとシーケンシャルにメッセージ照合（マッチング処理）を実施する（図７：Ｓ７０４）。
【００６２】
かかる工程において照合処理が完了したメッセージについては、ログ管理装置９０が、「ログフォーマット定義内のどのメッセージ情報なのか」を一意に判別できる状態となる。なお、同一の収集対象ＩＰアドレスに複数のシステムが存在したため、各システムについてのログフォーマット定義情報を特定した場合には、それぞれのログフォーマット定義情報に基づいて上記同様の照合処理を行う（図７：Ｓ７０４）。
【００６３】
本動作説明では、便宜的に、各システムのログフォーマット定義マスタ内の各メッセージ定義情報について、一意に定められたメッセージＩＤが存在するものとする。したがって、かかるメッセージ照合処理においては、必ずメッセージＩＤの判別が可能であり、本第１実施形態においてもログ照合処理手段２０は、ここでメッセージＩＤを判別する。なお、メッセージＩＤを判別することで、該当するメッセージＩＤに対応するメッセージ定義情報の参照が可能となるため、そのメッセージが保持している情報が判明し、解析処理が可能となる（図７：Ｓ７０４）。
【００６４】
ところで、イベントを利用する場合の動作説明としての本第１実施形態では、照合開始直後における特定の格納領域としての優先リスト７１には優先定義データ７１Ａが格納されていないため（格納されたメッセージ定義情報はメッセージ除外機能５２Ｂにより一定時間経過後に除外されるため）、ログ照合処理手段２０は、まず、同じログフォーマット定義領域内の統計定義データ７２Ａを参照する。もっとも、後述する工程により、ログデータに現れる特徴を活かした特定のメッセージ定義情報が優先定義データ７１Ａに格納されると、これが除外されるまでの期間においては、優先定義データ７１Ａと統計定義データ７２Ａとがこの順序で順々に参照され、各メッセージについての照合処理が実行される。イベントを利用できるか否かについては、後述するステップＳ５０９（格納判定工程）において判明する。
【００６５】
また、単位時間ごとに更新される統計定義データ７２Ａは、上述した通り、デバイスごとの環境により区分けされたすべての領域内に存在し、そこには各デバイスについての全メッセージ定義情報が格納されている。さらに、統計リスト７２内のメッセージ定義情報は、受信した回数が多い順番で並び替えられているため、これを利用する本第１実施形態にかかるログ管理装置９０によれば、固定の順番で行うよりも照合処理を効率的に行うことができる。
【００６６】
本第１実施形態では、上述したログ照合処理手段２０による照合処理の進行に伴って、以下の各工程（ステップＳ７０５〜Ｓ７１５）が順次実行される。
【００６７】
ログ照合処理手段２０は、照合処理によって判別したメッセージＩＤと照合済メッセージとを、ログアクセス処理手段４０のログ保存処理部４２に送信する（図７：Ｓ７０５）。このログフォーマット照合手段２０から受け取った情報を、ログ保存処理部４２は、ログ保存部３０に保存する（図７：Ｓ７０６）。
【００６８】
このステップＳ７０５及びＳ７０６によってログ保存部３０に保存された照合済メッセージは、後述する統計定義データ７２Ａの更新処置にかかる工程において利用する（図９：Ｓ９００〜Ｓ９０７）。なお、統計リスト７２内の統計定義データ７２Ａは、単位時間設定情報８３に基づく統計データ更新処理手段６０の処理により定期的に更新される。
【００６９】
続いて、ログ照合処理手段２０は、優先データ更新処理手段５０内の優先データ格納判定部５１に、照合用ログフォーマット定義格納領域７０Ｂ（図５）を参照することによって判別したメッセージＩＤ、ログ受信手段１０にて確認した収集対象ＩＰアドレス、上記照合処理によって判別可能となったシステム種別を送信する（図７：Ｓ７０７）。これらの情報は、優先データ格納判定部５１が、優先定義データ７１Ａとすべきメッセージ定義情報を特定するために必要な情報である。
【００７０】
優先データ格納判定部５１は、ログフォーマット照合手段２０からメッセージＩＤ等を受け取ると、設定情報格納部８０内の格納判定用情報８１及び単位時間設定情報８３を参照する（図７：Ｓ７０８）。
【００７１】
この優先データ格納判定部５１による参照工程においては、まず、設定情報格納部８０内のイベント定義情報８１Ａ（図６）が参照される。優先データ格納判定部５１は、ログ照合処理手段２０から受け取った各情報を、イベント定義情報８１Ａ内の各イベント定義に照らすことで「優先定義データ７１Ａとすべきメッセージ定義情報（優先リスト７１に格納すべきメッセージ定義情報）が存在するか否か」を確認する（図７：Ｓ７０９）。
【００７２】
具体的には、ログ照合処理手段２０から受け取った照合済メッセージにかかる収集対象ＩＰアドレス、システム種別、及びメッセージＩＤの組み合わせが、イベント定義情報８１Ａ（図６）内の起点メッセージのうちの何れかと合致した場合に、その起点メッセージに対応する後続メッセージにかかる情報を、優先的に照合すべきメッセージ定義情報にかかる情報と認定する。即ち、優先データ格納判定部５１は、参照したイベント定義情報８１Ａ内に上記３つの情報を内包する起点メッセージが存在した場合に、優先定義データ７１Ａとすべきメッセージ定義情報が有る旨判定し、そのイベントの後続メッセージにかかるメッセージ定義情報が優先リスト７１に格納すべきものであると認定する。
【００７３】
ここで、図６に示したイベントの具体例についての優先定義データ７１Ａとすべきメッセージ定義情報が有る旨の判定にかかる動作説明を加える。イベントの例としては、
イベント定義８１Ａに掲げた「ＷｅｂシステムＡでの検索」を用いる。この設定情報格納部８０内には、予めイベント定義情報等が格納されている。
【００７４】
まず、ＷｅｂシステムＡでの検索処理が実行された場合、ＷｅｂシステムＡでは「検索が実行された」旨を表すメッセージが出力される。その後、ＷｅｂシステムＡのデータ参照先であるデータベース（本第１実施形態ではＯｒａｃｌｅ（登録商標））において、ＷｅｂシステムＡから指示されたデータベース検索が実施され、「データベース検索が実施された」旨のメッセージが出力される。したがって、「ＷｅｂシステムＡでの検索」イベントでは、起点となる「ＷｅｂシステムＡにおける検索実行メッセージ」と後続の「データベースにおける検索実行メッセージ」とを、一連のイベントとして定義する。
【００７５】
即ち、起点メッセージである「ＷｅｂシステムＡにおける検索実行メッセージ」が発生した場合、ごく近い間に「データベースにおける検索実行メッセージ」が発生する可能性が非常に高いため、統計定義データ７２Ａを利用するよりも優先的に後続メッセージを照合した方が効率的である。かかる点に鑑みて、本第１実施形態では、ログフォーマット定義格納部７０内に優先定義データ７１Ａを設け、それを優先適用することにより、照合処理の更なる効率化を可能とした。
【００７６】
ところで、優先定義データ７１Ａとすべき（特定の格納領域としての優先リスト７１に格納すべき）メッセージ定義情報は、イベントごとに設定するものであるため、通常の統計順で照合するよりも照合効率がよくなるのは、該当するイベントが発生した場合に限られる。したがって、該当するイベントが発生していない場合にまでこれを利用したのでは、かえって照合効率が下がってしまう。
【００７７】
そこで、優先データ格納判定部５１は、優先定義データ７１Ａとすべきメッセージ定義情報にかかる情報を確認できた際（上記３つの情報を内包する起点メッセージをイベント定義情報８１Ａ内で確認できた際）、合わせて、ログ定義格納部７０内の優先リスト７１から優先定義データ７１Ａを除外する時刻（除外時刻）を算出する（図７：Ｓ７０９）。この該当イベントごとに設定すべき除外時刻の算出に際しては、図６に示したイベント定義情報８１Ａ内の設定時間の内容（本第１実施形態では１０秒）が参酌される。
【００７８】
この該当イベントごとに設定された設定時間は、一時的な照合効率向上のために格納されたメッセージ定義情報を優先リスト７１から除外するまでの時間のことである。即ち、優先データ格納判定部５１は、現在時刻から設定時間経過後の時刻である除外時刻を、現在時刻に設定時間を加算することにより算出する（図７：Ｓ７０９）。この優先データ格納判定部５１が有する除外時刻の算出にかかる機能を除外時刻算出機能５１Ａとする（図３）。この現在時刻から除外時刻までの期間が優先照合期間である。
【００７９】
本第１実施形態では、設定情報格納部８０に予め格納されたイベント定義情報を利用する場合であるため、優先データ格納判定部５１は、イベント定義情報８１Ａの更新を行うことなく次の動作を実行する。なお、後述する第２実施形態においては、更新を行う必要がある。
【００８０】
続いて、優先データ格納判定部５１は、イベント定義情報８１Ａを参照した際にイベントの後続メッセージにかかる情報として取得した収集対象ＩＰアドレス（デバイスＩＰアドレス）、システム種別、単位時間ＩＤ、単位時間設定情報８３Ａを参照した際に取得したメッセージＩＤ、及び上記により算出した除外時刻を、優先定義データ７１Ａの更新（優先リスト７１への格納及びそこからの除外）に用いる情報として優先データ更新部５２に送信する（図７：Ｓ７１０）。
【００８１】
優先データ更新部５２は、優先データ格納判定部５１から受け取った後続メッセージにかかる情報により、設定情報格納部８０内の優先データ除外用情報８２Ａ（図６）を更新する（図７：Ｓ７１１）。なお、この優先データ除外用情報８２Ａは、優先データ更新部５２が、一時的な照合効率向上のために格納されたメッセージ定義情報を優先リスト７１から除外する際に利用する。
【００８２】
また、優先データ更新部５２は、優先データ格納判定部５１から受け取ったシステム種別及びメッセージＩＤに対応するメッセージ定義情報を、ログフォーマット定義マスタ格納領域７０Ａ（図５）内の該当システム種別にかかるログフォーマット定義情報から取得する（図７：Ｓ７１２）。
【００８３】
さらに、優先データ更新部５２は、ログフォーマット定義マスタ格納領域７０Ａにて取得したメッセージ定義情報を、優先データ格納判定部５１から受け取った収集対象ＩＰアドレス、システム種別、及び単位時間ＩＤに対応するログ定義格納部７０内の優先リスト７１（特定の格納領域）に優先定義データ７１Ａとして格納する（図７：Ｓ７１３）。
【００８４】
かかる工程により、該当する優先リスト７１に特定のメッセージ定義情報（優先定義データ７１Ａ）が格納されると、ログ照合処理手段２０は、以降において優先定義データ７１Ａを最優先しての効率的な照合処理が実行できる。かかる優先定義データ７１Ａを優先適用しての照合処理は、上記により算出した除外時刻に達するまで行われる。
【００８５】
上述したように、優先データ更新部５２は、優先データ除外用情報８２Ａ内の各除外時刻に達した際に、優先リスト７１に格納した優先定義データ７１Ａとしてのメッセージ定義情報を除外する機能（図３：メッセージ除外機能５２Ｂ）を備えている。具体的には、該当する優先リスト７１に格納されたメッセージ定義情報にかかる該当ＩＰアドレス、システム種別、単位時間ＩＤ、及びメッセージＩＤを除外する（図７：Ｓ７１４）。その際、優先データ更新部５２は、優先データ除外用情報８２Ａからも該当するメッセージ定義にかかる情報を削除する（図７：Ｓ７１５）。
【００８６】
（動作説明：統計定義データ７２Ａの更新処理）
図９は、定期的に統計定義データ７２Ａを更新する際の動作を示したものである。統計定義データ７２Ａは、メッセージ定義情報をその発生回数が多い順に並べ替えたものであり、単位時間ごとに随時更新される。ここでは、図１に示した本第１実施形態にかかるログ管理装置９０による統計定義データ７２Ａの更新処理の過程について、図９のシーケンス図に沿って説明する。なお、必要に応じて図８を参照する。
【００８７】
統計データ更新処理手段６０の統計情報計算処理部６１は、単位時間の終了時刻になると、ログ取得処理部４１に対し、終了した単位時間中に収集した全デバイスのログデータを取得するように指令を出す（ログ取得依頼）。また、統計情報計算処理部６１は、かかるログ取得依頼に添えて、該当単位時間の開始時刻と終了時刻を送信する（図９：Ｓ９００）。なお、本第１実施形態にかかる動作説明では、終了した単位時間を単位時間ＵＴ００１として説明する。
【００８８】
ログ取得処理部４１は、統計情報計算処理部６１から受け取った開始時刻と終了時刻を利用して、ログ保存部３０から該当時間帯に収集した全デバイスのログデータを取得する。即ち、本第１実施形態では、単位時間ＵＴ００１中のログデータを取得する（図９：Ｓ９０１）。
【００８９】
ここでログ取得処理部４１が取得する情報は、上述したログ照合処理手段２０による照合処理の工程を経た照合済メッセージをログ保存処理部４２が受け取ると共にこれをログ保存部３０に保存したものである（図７：Ｓ７０５、Ｓ７０６）。かかる照合処理の工程は経時的に実行され、その度に照合済メッセージがログ保存部３０に保存される。
【００９０】
続いて、ログ取得処理部４１は、ログ保存部３０から取得した単位時間ＵＴ００１中のログデータを、統計データ更新処理手段６０の統計情報計算処理部６１に送付する（図９：Ｓ９０２）。
【００９１】
統計情報計算処理部６１は、ログ取得処理部４１から受け取ったログデータについて、収集対象ＩＰアドレスのシステム種別ごとに設定された単位時間ＵＴ００１中に取得したメッセージの数をそれぞれカウントし、カウント数の多いメッセージの順にソート（整列）する。具体的には、図８に示したメッセージ出現回数８４のように、各システムの単位時間ＵＴ００１中のメッセージカウントのリスト（以下、カウントリストとする）を作成する（図９：Ｓ９０３）。
【００９２】
統計情報計算処理部６１は、作成した各システムのカウントリスト（計算結果）を、統計データ更新部６２へ送付する（図９：Ｓ９０４）。
【００９３】
統計データ更新部６２は、システム種別ごとに区分けされたログフォーマット定義マスタ格納領域７０Ａ（図５）を参照し、統計情報計算処理部６１から受け取った各システムのカウントリストに基づいて、単位時間ＵＴ００１の統計定義データ７２Ａを再作成する（照合用ログフォーマット定義格納領域７０Ｂ内の統計リスト７２に格納された統計定義データ７２Ａを更新する）。即ち、統計リスト７２内のメッセージ定義情報を改めて並び替える。具体的には、カウントリストのカウント数を、統計定義データ７２Ａの該当メッセージ定義情報にかかるカウント数に加算した上で、これを回数の多い順にソート（整列）する。なお、メッセージ回数が０であったものは統計定義データ７２Ａの末尾に追加する（図９：Ｓ９０５）。
【００９４】
上記により、統計データ更新処理手段６０は、統計情報計算処理部６１にて、照合処理を経た照合済メッセージを、収集対象ＩＰアドレス及び動作環境に基づいて分類した上でメッセージＩＤごとの発生回数をカウントすると共に予め設定された単位時間の終了に際してこのカウント数を多い順に整列させたカウントリストを作成する機能を備え（図９：Ｓ９０４）、さらに、統計データ更新部６２にて、該カウントリストに基づく統計定義データ７２Ａの更新を実行する機能を備えている（図９：Ｓ９０５）、とまとめることができる。
【００９５】
続いて、統計データ更新部６２は、設定情報格納部８０の単位時間設定情報８３Ａ（図６）を更新する（図９：Ｓ９０６）。即ち、ここでは単位時間ＵＴ００１が終了した状態であるため、有効となっていた単位時間ＵＴ００１の有効フラグを無効とし、次の単位時間であるＵＴ００２の有効フラグを有効にする。なお、本第１実施形態はイベントを利用した例であるため、イベント定義情報８１Ａの更新は不要である（図９：Ｓ９０６）。
【００９６】
さらに、統計データ更新部６２は、次回の統計定義データ７２Ａの更新時刻として単位時間ＵＴ００２にかかる情報を統計情報計算処理部６１に通知する（図９：Ｓ９０７）。これによって、統計情報計算処理部６１は、単位時間ＵＴ００２の終了時刻になると直ちに、単位時間ＵＴ００２についての上述した各工程を順次実行することが可能となる。
【００９７】
このようにして一定期間ごとに的確に更新される統計定義データ７２Ａを利用すれば、場面ごとに、より出現率の高いメッセージ定義情報を先んじて参照できるため、優先定義データ７１Ａを利用しない場合においても照合処理の効率化を図り得る。なお、ログ収集時に動的に更新される優先定義データ７１Ａを優先適用できる状況下では、ログ管理装置ならではの経験的知識に基づいてリストアップされたメッセージ定義情報を効果的に参照できるため、環境に合わせたより効率的な照合処理が実現できる。
【００９８】
また、上記各ステップＳ１００〜Ｓ１１６（図１１）、及び各ステップＳ９００〜９０７（図９）における各工程の実行内容をプログラム化すると共に、この一連の各制御プログラムをコンピュータによって実現するような構成としてもよい。
【００９９】
〔第２実施形態：障害発生時の照合処理〕
本発明にかかるログ管理装置の第２実施形態（例外状態の利用法）を、図１、図５、図１０、及び図１１に基づいて説明する。
【０１００】
ログ管理装置が通常の状態で運用されている環境下では、こうしたエラーログ（障害時のログ）が出力されることはほとんどない。しかし、障害が発生した場合においては、通常運用時のログが出力されず、エラーログが大量に発生する可能性が高い。かかる状況であるにもかかわらず、頻度の少ないエラーログが末尾に記載されている統計定義データ７２Ａのみを利用したのでは、効率的な照合処理を実現することができない。そこで、本第２実施形態では、障害状態（例外状態）発生に際しての優先定義データ７１Ａの更新と有効な利用方法について説明する。
【０１０１】
ところで、上述した第１実施形態でのログデータ受信時における優先定義データ７１Ａの格納処理では、イベント発生時に出力されるであろうメッセージを予測しての情報の格納等を行ったが、本第２実施形態でのログデータ受信時における優先定義データ７１Ａの格納処理では、予め外部から設定された閾値に基づく判定により、障害状態の発生を検知した上で、優先定義データ７１Ａとすべきメッセージ定義情報を特定する構成を採用した。
【０１０２】
本第２実施形態にかかる全体的構成は、図１乃至４に示した第１実施形態におけるものと同様である。加えて、ログ照合処理手段２０による照合処理（図１１：Ｓ１０４）に並行して、それ以下の各工程（ステップＳ１０５〜Ｓ１１６）が順次実行されるという点も同様である。
【０１０３】
ここで、本第２実施形態では、設定情報格納部８０には、例外状態の情報が予め定義され格納される。具体的には、例外状態を優先リスト７１への優先定義データ７１Ａの格納判定条件に用いる場合、図１０に示した設定情報格納部８０のように、格納判定用情報８１として予めメッセージ出現回数情報８１Ｂ及び例外判定設定情報８１Ｃが格納されている。さらに、単位時間設定情報８３Ｂ内の開始時刻及び終了時刻には、外部入力により任意時刻を設定できる構成である。本第２実施形態では、１時間周期、３０分単位の単位時間が設定されている。かかる場合は図１０に示した通り、1周期は２つの単位時間に分割される。
【０１０４】
（動作説明：優先定義データ７１Ａの更新処理）
ここでは、図１に開示したログ管理装置にかかる動作のうち、例外状態を用いた優先定義データ７１Ａの更新と使用方法について、図１１（ステップＳ１００〜Ｓ１１６）のシーケンス図に沿って説明する。ステップＳ１００〜Ｓ１０７にかかる工程の内容は、図７に沿って説明した第１実施形態についての内容（ステップＳ７００〜Ｓ７０７）と同様である。このため、以下では、それ以外の動作内容を説明する。
【０１０５】
設定情報格納部８０は、収集対象ＩＰアドレスと、動作環境と、予め設定された周期と、に基づく分類処理を経た照合済メッセージがメッセージＩＤごとにカウントされたメッセージ出現回数情報を有し、このメッセージ出現回数情報には、今周期カウントとその直前の周期にかかる前周期カウントが設けられている。なお、前周期カウントは、カウント数の多い順に整列されている。また、今周期カウント及び前周期カウントは、各メッセージ定義情報をメッセージＩＤに基づいてカウントし、整理したものである。
【０１０６】
優先データ格納判定部５１は、ログ照合処理手段２０からメッセージＩＤを受け取ると、図１０に示した設定情報格納部８０内のメッセージ出現回数情報８１Ｂ、例外判定設定情報８１Ｃ、及び単位時間設定情報８３Ｂを参照する。本第２実施形態は、例外状態を優先定義データ７１Ａの格納判定条件に用いる場合であるため、優先データ格納判定部５１は、まず、メッセージ出現回数情報８１Ｂ、例外判定設定情報８１Ｃを参照し、設定時間等の情報を取得する（図１１：Ｓ１０８）。
【０１０７】
優先データ格納判定部５１は、ログ照合処理手段２０から受け取った各情報と、設定情報格納部８０内で参照したメッセージ出現回数情報８１Ｂ及び例外判定設定情報８１Ｃに基づき、優先定義データ７１Ａとすべきメッセージ定義情報が存在するか否かを確認する（図１１：Ｓ１０９）。
【０１０８】
具体的には、今周期カウントの前周期カウント（一つ前の周期における該当単位時間に受信したメッセージ数）に対する割合を算出し、例外判定設定情報８１Ｃ内で参照した例外判定用の閾値を超えていた場合に、優先定義データ７１Ａとすべきメッセージ定義情報が有る旨判定し、かかる判定に至ったメッセージＩＤにかかる情報を確認する。即ち、「（今周期カウント）／（前周期カウント）×１００」による算出値が、パーセンテージ（割合）で設定された閾値を超えている場合に例外状態である旨判定する。
【０１０９】
ここで、図１０に例示した数値を用いて、優先データ格納判定部５１による具体的な判定について説明する。この図１０に例示したシステムＡのメッセージ出現回数８５によれば、メッセージＩＤであるＭＳＧ００３の前周期カウントは３１であり、今周期カウントは７である。また、例外判定設定情報８１Ｃによれば、本第２実施形態において設定した閾値は５００％である。そうすると、上述した算出式に基づいて、３１／７×１００≦５００であることから、算出値が閾値を超えていないため「例外状態ではない」と判定する。
【０１１０】
一方で、メッセージＩＤであるＭＳＧ００Ｎ（Ｎは任意の数とする）において、前周期カウントは１０であり、今周期カウントは５１である。そうすると、上記同様の算出式に基づいた閾値との比較によれば、５１／１０×１００≧５００であることから、前周期カウントと今周期カウントとの割合が閾値を超えているため、優先データ格納判定部５１は、該当メッセージが多発する「例外状態である」と判定する（図１１：１０９）。即ち、例外状態である旨の判定の要因となったメッセージＩＤ（ここではＭＳＧ００Ｎ）にかかる情報が、優先定義データ７１Ａにかかる情報であると認定する。
【０１１１】
ここで例外状態である旨判定した優先データ格納判定部５１は、優先リスト７１からメッセージ定義情報を除外する時刻（除外時刻）を算出する。本第２実施形態における優先リスト７１には、第１実施形態の場合と同様に、ログデータの照合時に見られる特徴を利用して優先的に照合処理すべきメッセージ定義情報（優先定義データ７１Ａ）が一時的にリストアップされる。そのため、イベントの発生時と同様に、例外状態の発生時においても、これを除外するタイミングを予め算出しておく必要がある。
【０１１２】
優先データ格納判定部５１は、除外時刻の算出において、図１０に示した例外判定設定情報８１Ｃの設定時間（本第２実施形態では３００秒）を利用する。この設定時間には、例外状態時に優先リスト７１から格納メッセージを除外するまでの時間が設定されている。即ち、優先データ格納判定部５１は、この例外判定設定情報８１Ｃを参照して取得した設定時間に基づき、現在時刻から設定時間経過後の時刻である除外時刻を算出する。ここでの算出方法は、第１実施形態での場合と同様である（図１１：１０９）。また、同様に、この現在時刻から除外時刻までの期間を優先照合期間とする。
【０１１３】
また、本第２実施形態は、例外状態を利用する場合であるため、優先データ格納判定部５１は、メッセージ出現回数情報８１Ｂ（図１０）内において、ログ照合処理手段２０から受け取った照合済メッセージにかかる収集対象ＩＰアドレス、システム種別、及びメッセージＩＤに対応する出現回数領域内の今周期カウント（現周期において現在の属する単位時間内に受信したメッセージ数）を、該当するメッセージが発生した数の分だけ加算（＋1）する。これによって、照合済メッセージに対応する出現回数領域内のメッセージＩＤにかかる今周期カウントが更新される（図１１：Ｓ１１０）。
【０１１４】
さらに、優先データ格納判定部５１は、判定結果にかかる情報として、収集対象ＩＰアドレス、システム種別、単位時間ＩＤ、メッセージＩＤ、及び除外時刻を優先データ更新部５２に送信する（図１１：Ｓ１１１）。なお、例外状態を利用する本第２実施形態では、収集対象ＩＰアドレス、システム種別、及びメッセージＩＤは、ログフォーマット照合手段２０から照合済メッセージにかかる情報として取得している。また、単位時間ＩＤについては、設定情報格納部８０内の単位時間設定情報８３Ｂを参照した際に取得している。
【０１１５】
優先データ更新部５２は、優先データ格納判定部５１から受け取った判定結果にかかる情報により、設定情報格納部８０内の優先データ除外用情報８２Ｂ（図１０）を更新する（図１１：Ｓ１１２）。具体的には、優先データ格納判定部５１が算出した除外時刻、設定情報格納部８０で取得した単位時間ＩＤ、ログ照合処理手段２０から受け取った収集対象ＩＰアドレス、システム種別、及びメッセージＩＤを、設定情報格納部８０内に優先データ除外用情報８２Ｂとして格納する（図１１：Ｓ１１２）。なお、この優先データ除外用情報８２Ｂは、優先データ更新部５２が、一時的な照合効率向上のために格納されたメッセージ定義情報を優先リスト７１から除外する際に利用する。
【０１１６】
上述した通り、この例外状態の発生は一時的なものであり、優先リスト７１に格納する優先定義データ７１Ａを利用することで通常の統計順を利用した場合よりも照合効率が向上するのは、この例外状態の発生時に限られている。したがって、優先データ更新部５２は、後述する工程において、この優先データ除外用情報８２Ｂを参照して優先リスト７１から優先定義データ７１Ａを除外する。
【０１１７】
かかる工程により、該当する優先リスト７１に特定のメッセージ定義情報（優先定義データ７１Ａ）が格納されると、ログ照合処理手段２０は、以降において優先定義データ７１Ａを最優先しての効率的な照合処理が実行できる。かかる優先定義データ７１Ａを優先適用しての照合処理は、上記により算出した除外時刻に達するまで行われる。
【０１１８】
また、優先データ更新部５２は、優先データ格納判定部５１から受け取ったシステム種別及びメッセージＩＤに対応するメッセージ定義情報を、ログフォーマット定義マスタ格納領域７０Ａ（図５）内の該当システム種別にかかるログフォーマット定義情報から取得する（図１１：Ｓ１１３）。
【０１１９】
さらに、優先データ更新部５２は、ログフォーマット定義マスタ格納領域７０Ａにて取得したメッセージ定義情報を、優先データ格納判定部５１から受け取った収集対象ＩＰアドレス、システム種別、及び単位時間ＩＤに対応するログ定義格納部７０内の優先リスト７１（特定の格納領域）に優先定義データ７１Ａとして格納する（図１１：Ｓ１１４）。
【０１２０】
これにより、ログ照合処理手段２０は、以降において、例外状態に適したメッセージ定義情報が格納された優先リスト７１を参照しての照合処理を効率よく行うことができる。かかる優先定義データ７１Ａを優先適用しての照合処理は、上記により算出した除外時刻に達するまで行われる。
【０１２１】
また、優先データ更新部５２は、優先データ除外用情報８２Ｂ内の各除外時刻に達した際に、優先リスト７１に格納した優先定義データ７１Ａとしてのメッセージ定義情報を除外する機能（図３：メッセージ除外機能５２Ｂ）を備えている。具体的には、該当する優先リスト７１に格納されたメッセージ定義情報にかかる該当ＩＰアドレス、システム種別、単位時間ＩＤ、及びメッセージＩＤを除外する（図７：Ｓ７１４）。その際、優先データ更新部５２は、優先データ除外用情報８２Ａからも該当するメッセージ定義にかかる情報を削除する（図１１：Ｓ１１６）。
【０１２２】
（動作説明：統計定義データ７２Ａの更新処理）
続いて、本第２実施形態においても、図９に示した統計定義データ７２Ａの更新処理にかかるシーケンス図に沿って動作説明を行う。なお、ステップＳ９００〜Ｓ９０７についての基本的な動作は、上述した第１実施形態における内容と同様であるため、ここでは双方の動作内容の相違点についてのみの説明とする。
【０１２３】
上述したように、イベントを利用した例の場合は、イベント定義情報８１Ａの更新を行う必要はなかった。しかし、例外状態を利用する本第２実施形態の場合には、イベント定義情報８１Ｂの更新を行う必要がある。具体的には、ログフォーマット照合手段２０が取得した各システムのカウントリスト情報に基づいて更新する。さらに、今周期カウントを全て０に初期化し、前周期カウント部分をログフォーマット照合手段２０が取得したカウント値に更新する（図９：Ｓ９０６）。
【０１２４】
また、上記各ステップＳ７００〜Ｓ７１５（図７）、及び各ステップＳ９００〜９０７（図９）における各工程の実行内容をプログラム化すると共に、この一連の各制御プログラムをコンピュータによって実現するような構成としてもよい。
【０１２５】
（実施形態の効果）
本発明の第１及び第２実施形態では、メッセージの照合順序を効果的に入れ替えるべく、優先的に照合されるべきメッセージ定義情報が優先定義データ７１Ａとしてリストアップされる優先リスト７１と、各メッセージ定義情報が発生回数の多い順に並べ替えられた統計定義データ７２Ａを格納する統計リスト７２と、を採用した。この優先定義データ７１Ａは、ログデータ収集時に動的に更新されるため、これによって、ログ照合処理手段２０は、状況に応じた柔軟な照合順序を実行できる。また、統計定義データ７２Ａは、単位時間ごとに更新されるため、これによっても、ログ照合処理手段２０は、照合順序を柔軟に実行できる。即ち、本発明の第１及び第２実施形態にかかるログ管理装置９０では、これら２つの定義データを柔軟に利用することにより、各ログ収集対象機器の動作環境を把握した上での効率的な照合処理が可能となる。
【０１２６】
なお、上述した実施形態は、ログ管理装置、その管理方法、およびそのプログラムにおける好適な具体例であり、技術的に好ましい種々の限定を付している場合もあるが、本発明の技術範囲は、特に本発明を限定する記載がない限り、これらの態様に限定されるものではない。
【０１２７】
以下は、上述した実施形態についての新規な技術的内容の要点をまとめたものであるが、本発明は必ずしもこれに限定されるものではない。
【０１２８】
（付記１）
複数のログ収集対象機器から発信される多種多様なログデータを収集し前記各機器の環境を管理するログ管理装置であって、
前記ログデータを構成する複数のメッセージを受信するログ受信手段と、
前記各メッセージについての照合処理を予め決められた序列に従って実行するログ照合処理手段と、
前記ログ収集対象機器ごとの動作環境及びデータ発信時間帯に基づいて分類されたログフォーマット定義情報が予め格納されたログ定義格納部と、を備え、
前記ログ照合処理手段は、前記照合処理を、前記ログ定義格納部に格納された複数の前記ログフォーマット定義情報の内のいずれか１つを参照することにより実行することを特徴としたログ管理装置。
【０１２９】
（付記２）
前記付記１に記載のログ管理装置において、
前記ログフォーマット定義情報は、前記照合処理により識別したメッセージ定義情報が受信回数の多い順に並べられた統計定義データと、予め設定された前記メッセージの特性にかかる基準情報に対応づけられた一時的に優先して照合すべき前記メッセージ定義情報である優先定義データと、から成り、
前記ログ照合処理手段は、前記ログ収集対象機器についての収集対象ＩＰアドレスと、前記動作環境と、前記データ発信時間帯に対応する単位時間ＩＤと、の組み合わせに合致する前記ログフォーマット定義情報を選定し、この選定した前記ログフォーマット定義情報内の前記統計定義データを参照すると共に前記優先照合期間内にはこれに先立って前記優先定義データを参照して前記照合処理を順次実行する特定データ照合部を備えることを特徴としたログ管理装置。
【０１３０】
（付記３）
前記付記２に記載のログ管理装置において、
前記ログ照合処理手段は、
前記優先定義データの更新を司る優先データ更新処理手段を併設すると共に、この優先データ更新処理手段に、照合済メッセージについてのメッセージＩＤと前記収集対象ＩＰアドレス及び動作環境とを送信する更新情報送信部を備え、
前記優先データ更新処理手段は、
前記基準情報に基づいて前記優先定義データとすべき前記メッセージ定義情報の有無を判定する優先データ格納判定部と、
前記優先定義データとすべき前記メッセージ定義情報が有る旨の判定結果に基づいて前記ログ定義格納部の前記優先定義データを更新する優先データ更新部と、を備えることを特徴としたログ管理装置。
【０１３１】
（付記４）
前記付記３に記載のログ管理装置において、
前記基準情報は、前記収集対象ＩＰアドレス、前記動作環境、及び前記メッセージＩＤに基づいて定義された複数のイベント定義情報であり、
この各イベント定義情報は、イベント判定用の複数の起点メッセージとこれに対応する後続メッセージと、から成り、
前記優先データ格納判定部は、前記ログ照合処理手段から送られてくる前記収集対象ＩＰアドレス、前記動作環境、及び前記メッセージＩＤの組み合わせが前記起点メッセージの何れかと合致した際に前記優先定義データとすべき前記メッセージ定義情報が有る旨判定すると共に、その合致した前記起点メッセージに対応する前記後続メッセージにかかる情報を前記優先データ更新部に送信することを特徴としたログ管理装置。
【０１３２】
（付記５）
前記付記３に記載のログ管理装置において、
前記基準情報は、前記収集対象ＩＰアドレスと、前記動作環境と、予め設定された一定時間ごとの繰返し周期と、に基づく分類処理を経た前記照合済メッセージが前記メッセージＩＤごとにカウントされたメッセージ出現回数情報であり、
このメッセージ出現回数情報は、今周期カウント及びその直前の前周期カウントを含み、
前記優先データ格納判定部は、前記今周期カウントの前記前周期カウントに対する割合を算出し、この算出値が予め外部から設定された閾値を超えていた場合に前記優先定義データとすべき前記メッセージ定義情報が有る旨判定すると共にこの判定結果にかかる情報を前記優先データ更新部に送信することを特徴としたログ管理装置。
【０１３３】
（付記６）
前記付記３乃至５のいずれか一つに記載のログ管理装置において、
前記優先データ更新部は、前記優先データ格納判定部から送られてくる前記収集対象ＩＰアドレス及び前記メッセージＩＤに対応する前記メッセージ定義情報を前記ログ定義格納部内のログ定義マスタ格納領域から取得すると共に、ここで取得した前記メッセージ定義情報を、前記ログ定義格納部内の他の特定の格納領域に前記優先定義データとして格納処理することを特徴としたログ管理装置。
【０１３４】
（付記７）
前記付記６に記載のログ管理装置において、
前記ログ定義格納部内の前記格納領域は、前記優先データ更新部が、前記優先データ格納判定部から受信した前記収集対象ＩＰアドレス、前記動作環境、及び前記単位時間ＩＤの組み合わせに基づいて特定することを特徴としたログ管理装置。
【０１３５】
（付記８）
前記付記３乃至５のいずれか一つに記載のログ管理装置において、
前記優先データ更新部は、前記優先定義データを前記ログ格納部内に格納処理してから予め設定された前記優先照合期間の基準となる設定時間が経過した場合に、前記優先定義データを前記ログ格納部内から除外するメッセージ除外機能を備えることを特徴としたログ管理装置。
【０１３６】
（付記９）
前記付記８に記載のログ管理装置において、
前記優先データ更新処理手段に、前記優先定義データの更新にかかる情報を格納する設定情報格納部を併設し、
前記優先データ格納判定部は、前記設定時間を現在時刻に加算することで前記ログ定義格納部内から前記優先定義データを除外する除外時刻を算出する除外時刻算出機能を備え、
前記優先データ更新部は、
前記ログ定義格納部内から除外すべき前記優先定義データにかかる情報に前記除外時刻を添えた優先データ除外用情報を前記設定情報格納部に格納処理する除外用情報格納処理機能と、
前記除外時刻に達すると、前記優先データ除外用情報を記設定情報格納部から削除する除外用情報削除機能と、を備え、
前記メッセージ除外機能は、この優先データ除外用情報を参照することで前記ログ定義格納部から前記優先定義データを除外することを特徴としたログ管理装置。
【０１３７】
（付記１０）
前記付記３乃至５のいずれか一つに記載のログ管理装置において、
前記ログ定義格納部に、前記統計定義データを更新する統計データ更新処理手段を併設し、
前記統計データ更新処理手段が、
前記収集対象ＩＰアドレス及び動作環境に基づいて分類した前記照合済メッセージを前記メッセージＩＤごとにカウントすると共に、予め設定された単位時間の終了に際してこのカウント数を多い順に整列させたカウントリストを作成する統計データ更新処理部と、
このカウントリストに基づいて前記統計定義データを更新する統計データ更新部と、を備えることを特徴としたログ管理装置。
【０１３８】
（付記１１）
複数のログ収集対象機器から発信される多種多様なログデータを収集し前記各機器の環境を管理するログ管理装置にあって、
前記ログデータを構成する複数のメッセージを、ログ受信手段が受信し、
次に、前記各メッセージを、前記ログ受信手段がログ照合処理手段に送信し、
前記ログ収集対象機器ごとの動作環境及びデータ発信時間帯に基づいて分類されたログフォーマット定義情報が予め格納されたログ定義格納部から、前記照合処理手段が、前記各メッセージに基づいて前記ログフォーマット定義情報を選定し、
ここで選定した前記ログフォーマット定義情報を参照することにより、前記ログ照合処理手段が、前記ログ受信手段から受信した前記各メッセージの照合処理を行うことを特徴としたログ管理方法。
【０１３９】
（付記１２）
前記付記１１に記載のログ管理方法において、
前記ログフォーマット定義情報は、前記照合処理により識別したメッセージ定義情報が受信回数の多い順に並べられた統計定義データと、予め設定された前記メッセージの特性にかかる基準情報に対応づけられた一時的に優先して照合すべき前記メッセージ定義情報である優先定義データと、から成るものであり、
前記ログ収集対象機器についての収集対象ＩＰアドレスと、前記動作環境と、前記データ発信時間帯に対応する単位時間ＩＤと、の組み合わせに合致する前記ログフォーマット定義情報を前記ログ照合処理手段が選定し、
ここで選定した前記ログフォーマット定義情報内の前記統計定義データを参照すると共に前記優先照合期間内にはこれに先立って前記優先定義データを参照しての前記照合処理を前記ログ照合処理手段が順次実行することを特徴としたログ管理方法。
【０１４０】
（付記１３）
前記付記１２に記載のログ管理方法において、
前記優先定義データの更新を司る優先データ更新処理手段を併設する前記ログ照合処理手段が、この優先データ更新処理手段に、照合済メッセージについてのメッセージＩＤと前記収集対象ＩＰアドレス及び動作環境とを送信し、
予め設定された基準情報に基づいて前記優先定義データとすべき前記メッセージ定義情報の有無を前記優先データ更新処理手段が判定し、
前記優先定義データとすべき前記メッセージ定義情報が有る旨の判定結果に基づいて、前記優先データ更新処理手段が、前記ログ定義格納部の前記優先定義データを更新するという構成とし、
これら一連の各工程内容を、前記ログ照合処理手段による前記照合処理の進行に伴って順次実行することを特徴としたログ管理方法。
【０１４１】
（付記１４）
前記付記１３に記載のログ管理方法において、
前記基準情報は、前記収集対象ＩＰアドレス、前記動作環境、及び前記メッセージＩＤに基づいて定義された複数のイベント定義情報であり、
この各イベント定義情報は、イベント判定用の複数の起点メッセージとこれに対応する後続メッセージと、から成るものであり、
前記ログ照合処理手段から受信した前記収集対象ＩＰアドレス、前記動作環境、及び前記メッセージＩＤの組み合わせが前記起点メッセージの何れかと合致した際に、前記優先データ格納判定部が、前記優先定義データとすべき前記メッセージ定義情報が有る旨判定し、
その合致した前記起点メッセージに対応する前記後続メッセージにかかる情報を前記優先データ更新部に送信し、
この前記後続メッセージにかかる情報を前記優先データ更新部が受信し、
この受信した前記後続メッセージにかかる情報が内包する前記収集対象ＩＰアドレス及び前記メッセージＩＤに対応する前記メッセージ定義情報を、前記優先データ更新部が前記ログ定義格納部内のログ定義マスタ格納領域から取得し、
前記ログ定義格納部内の前記優先定義データにかかる他の格納領域を、前記優先データ更新部が、前記優先データ格納判定部から受信した前記収集対象ＩＰアドレス、前記動作環境、及び前記単位時間ＩＤの組み合わせに基づいて特定し、
ここで特定した格納領域内に、前記優先データ更新部が、上記により取得した対応する前記メッセージ定義情報を前記優先定義データとして格納処理することを特徴としたログ管理方法。
【０１４２】
（付記１５）
前記付記１３に記載のログ管理方法において、
前記基準情報は、前記収集対象ＩＰアドレスと、前記動作環境と、予め設定された一定時間ごとの繰返し周期と、に基づく分類処理を経た前記照合済メッセージが前記メッセージＩＤごとにカウントされたメッセージ出現回数情報であり、
このメッセージ出現回数情報は、今周期カウント及びその直前の前周期カウントを含むものであり、
前記今周期カウントの前記前周期カウントに対する割合を前記優先データ格納判定部が算出し、
この算出値が予め外部から設定された閾値を超えていた場合に、前記優先データ格納判定部が、前記優先定義データとすべき前記メッセージ定義情報が有る旨判定し、
この判定結果にかかる情報を前記優先データ格納判定部が前記優先データ更新部に送信し、
この前記判定結果にかかる情報を前記優先データ更新部が受信し、
この受信した前記後続メッセージにかかる情報が内包する前記収集対象ＩＰアドレス及び前記メッセージＩＤに対応する前記メッセージ定義情報を、前記優先データ更新部が前記ログ定義格納部から取得し、
前記ログ定義格納部内の前記優先定義データにかかる格納領域を、前記優先データ更新部が、前記優先データ格納判定部から受信した前記収集対象ＩＰアドレス、前記動作環境、及び前記単位時間ＩＤの組み合わせに基づいて特定し、
ここで特定した格納領域内に、前記優先データ更新部が、上記により取得した対応する前記メッセージ定義情報を前記優先定義データとして格納処理することを特徴としたログ管理方法。
【０１４３】
（付記１６）
前記付記１３乃至１５のいずれか一つに記載のログ管理方法において、
前記優先定義データとすべき情報が有る旨判定した直後に、前記優先データ格納判定部が、前記設定情報格納部に予め設定された前記優先照合期間の基準となる設定時間を現在時刻に加算することで前記ログ定義格納部から前記優先定義データを除外する除外時刻を算出し、
前記ログ定義格納部内から除外すべき前記優先定義データにかかる情報に前記除外時刻を添えた優先データ除外用情報を、前記優先データ格納判定部が前記優先データ更新部に送信し、
前記優先定義データの更新にかかる情報を格納する設定情報格納部を併設する前記優先データ更新部が、前記優先データ除外用情報を前記設定情報格納部に格納処理し、
この前記設定情報格納部に格納された優先データ除外用情報を参照することで前記除外時刻に達したことを確認すると直ちに、前記優先データ更新部が前記優先定義データを前記ログ格納部内から除外し、
この除外後直ちに、前記優先データ更新部が、前記優先データ除外用情報を前記設定情報格納部から削除することを特徴としたログ管理方法。
【０１４４】
（付記１７）
前記付記１３乃至１６のいずれか一つに記載のログ管理方法において、
前記ログ定義格納部に併設された前記統計定義データの更新を司る統計データ更新処理手段が、前記照合済メッセージを、前記収集対象ＩＰアドレス及び動作環境に基づいて分類した上で前記メッセージＩＤごとの発声回数をカウントし、
予め設定された単位時間の終了に際して、前記統計データ更新処理手段の統計データ更新処理部が、このカウント数を多い順に整列させることでカウントリストを作成し、
このカウントリストに基づいて、前記統計データ更新処理手段の統計データ更新部が前記統計定義データを更新することを特徴としたログ管理方法。
【０１４５】
（付記１８）
複数のログ収集対象機器から発信される多種多様なログデータを収集し前記各機器の環境を管理するログ管理装置にあって、
前記ログデータを構成する複数のメッセージをログ受信手段が受信するログ受信機能、
前記各メッセージを、前記ログ受信手段がログ照合処理手段に送信するログ送信機能、
前記ログ収集対象機器ごとの動作環境及びデータ発信時間帯に基づいて分類されたログフォーマット定義情報が予め格納されたログ定義格納部から、前記照合処理手段が、前記各メッセージに基づいて前記ログフォーマット定義情報を選定するログ定義選定機能、
このログ定義選定機能によって選定した前記ログフォーマット定義情報を参照することにより、前記ログ照合処理手段が、前記ログ受信手段から受信した前記各メッセージの照合処理を行うログ照合処理機能、をコンピュータに実現させるためのログ管理プログラム。
【０１４６】
（付記１９）
前記付記１８に記載のログ管理プログラムにおいて、
前記ログフォーマット定義情報は、前記照合処理により識別したメッセージ定義情報が受信回数の多い順に並べられた統計定義データと、予め設定された前記メッセージの特性にかかる基準情報に対応づけられた一時的に優先して照合すべき前記メッセージ定義情報である優先定義データと、から成るものであり、
前記ログ収集対象機器についての収集対象ＩＰアドレスと、前記動作環境と、前記データ発信時間帯に対応する単位時間ＩＤと、の組み合わせに合致する前記ログフォーマット定義情報を前記ログ照合処理手段が選定するログ定義選定機能、
ここで選定した前記ログフォーマット定義情報内の前記統計定義データを参照すると共に前記優先照合期間内にはこれに先立って前記優先定義データを参照しての前記照合処理を前記ログ照合処理手段が順次実行する特定データ照合機能、をコンピュータに実現させるためのログ管理プログラム。
【０１４７】
（付記２０）
前記付記１９に記載のログ管理プログラムにおいて、
前記優先定義データの更新を司る優先データ更新処理手段を併設する前記ログ照合処理手段が、この優先データ更新処理手段に、照合済メッセージについてのメッセージＩＤと前記収集対象ＩＰアドレス及び動作環境とを送信する更新情報送信機能、
前記基準情報に基づいて前記優先定義データとすべき前記メッセージ定義情報の有無を前記優先データ更新処理手段が判定する優先データ格納判定機能、
前記優先定義データとすべき前記メッセージ定義情報が有る旨の判定結果に基づいて、前記優先データ更新処理手段が、前記ログ定義格納部の前記優先定義データを更新する優先データ更新機能、をコンピュータに実現させるためのログ管理プログラム。
【０１４８】
（付記２１）
前記付記２０に記載のログ管理プログラムにおいて、
前記基準情報は、前記収集対象ＩＰアドレス、前記動作環境、及び前記メッセージＩＤに基づいて定義された複数のイベント定義情報であり、
この各イベント定義情報は、イベント判定用の複数の起点メッセージとこれに対応する後続メッセージと、から成るものであり、
前記ログ照合処理手段から受信した前記収集対象ＩＰアドレス、前記動作環境、及び前記メッセージＩＤの組み合わせが前記起点メッセージの何れかと合致した際に、前記優先データ格納判定部が、前記優先定義データとすべき前記メッセージ定義情報が有る旨判定するイベント判定機能、
その合致した前記起点メッセージに対応する前記後続メッセージにかかる情報を前記優先データ更新部に送信する判定結果送信機能、
この前記後続メッセージにかかる情報を前記優先データ更新部が受信する判定結果受信機能、
この受信した前記後続メッセージにかかる情報が内包する前記収集対象ＩＰアドレス及び前記メッセージＩＤに対応する前記メッセージ定義情報を、前記優先データ更新部が前記ログ定義格納部内のログ定義マスタ格納領域から取得するメッセージ定義取得機能、
前記ログ定義格納部内の前記優先定義データにかかる他の格納領域を、前記優先データ更新部が、前記優先データ格納判定部から受信した前記収集対象ＩＰアドレス、前記動作環境、及び前記単位時間ＩＤの組み合わせに基づいて特定する格納領域特定機能、
ここで特定した格納領域内に、前記優先データ更新部が、上記により取得した対応する前記メッセージ定義情報を前記優先定義データとして格納処理する優先データ格納処理機能、をコンピュータに実現させるためのログ管理プログラム。
【０１４９】
（付記２２）
前記付記２０に記載のログ管理プログラムにおいて、
前記基準情報は、前記収集対象ＩＰアドレスと、前記動作環境と、予め設定された一定時間ごとの繰返し周期と、に基づく分類処理を経た前記照合済メッセージが前記メッセージＩＤごとにカウントされたメッセージ出現回数情報であり、
このメッセージ出現回数情報は、今周期カウント及びその直前の前周期カウントを含むものであり、
前記今周期カウントの前記前周期カウントに対する割合を前記優先データ格納判定部が算出するカウント割合算出機能、
この算出値が予め外部から設定された閾値を超えていた場合に、前記優先データ格納判定部が、前記優先定義データとすべき前記メッセージ定義情報が有る旨判定する例外状態判定機能、
この判定結果にかかる情報を前記優先データ格納判定部が前記優先データ更新部に送信する判定結果送信機能、
この前記判定結果にかかる情報を前記優先データ更新部が受信する判定結果受信機能、
この受信した前記後続メッセージにかかる情報が内包する前記収集対象ＩＰアドレス及び前記メッセージＩＤに対応する前記メッセージ定義情報を、前記優先データ更新部が前記ログ定義格納部から取得するメッセージ定義取得機能、
前記ログ定義格納部内の前記優先定義データにかかる格納領域を、前記優先データ更新部が、前記優先データ格納判定部から受信した前記収集対象ＩＰアドレス、前記動作環境、及び前記単位時間ＩＤの組み合わせに基づいて特定する格納領域特定機能、
ここで特定した格納領域内に、前記優先データ更新部が、上記により取得した対応する前記メッセージ定義情報を前記優先定義データとして格納処理する優先データ格納処理機能、をコンピュータに実現させるためのログ管理プログラム。
【０１５０】
（付記２３）
前記付記２０乃至２２のいずれか一つに記載のログ管理プログラムにおいて、
前記優先定義データとすべき情報が有る旨判定した直後に、前記優先データ格納判定部が、前記設定情報格納部に予め設定された前記優先照合期間の基準となる設定時間を現在時刻に加算することで前記ログ定義格納部から前記優先定義データを除外する除外時刻を算出する除外時刻算出機能、
前記ログ定義格納部内から除外すべき前記優先定義データにかかる情報に前記除外時刻を添えた優先データ除外用情報を、前記優先データ格納判定部が前記優先データ更新部に送信する除外用情報送信機能、
前記優先定義データの更新にかかる情報を格納する設定情報格納部を併設する前記優先データ更新部が、前記優先データ除外用情報を前記設定情報格納部に格納処理する除外用情報格納処理機能、
この前記設定情報格納部に格納された優先データ除外用情報を参照することで前記除外時刻に達したことを確認すると直ちに、前記優先データ更新部が前記優先定義データを前記ログ格納部内から除外するメッセージ除外機能、
この除外後直ちに、前記優先データ更新部が、前記優先データ除外用情報を前記設定情報格納部から削除する除外用情報削除機能、をコンピュータに実現させるためのログ管理プログラム。
【０１５１】
（付記２４）
前記付記２０乃至２３のいずれか一つに記載のログ管理プログラムにおいて、
前記ログ定義格納部に併設された前記統計定義データの更新を司る統計データ更新処理手段が、前記照合済メッセージを、前記収集対象ＩＰアドレス及び動作環境に基づいて分類した上で前記メッセージＩＤごとの発声回数をカウントする照合済カウント機能、
予め設定された単位時間の終了に際して、前記統計データ更新処理手段の統計データ更新処理部が、このカウント数を多い順に整列させることでカウントリストを作成するカウントリスト作製機能、
このカウントリストに基づいて、前記統計データ更新処理手段の統計データ更新部が前記統計定義データを更新する統計データ更新機能、をコンピュータに実現させるためのログ管理プログラム。
【産業上の利用可能性】
【０１５２】
本発明は、ログデータならではの特徴を用いて照合処理を実行するため、ネットワーク等により接続されたさまざまなログ収集対象機器からのログデータを収集する装置に適用可能である。
【符号の説明】
【０１５３】
１０    ログ受信手段
２０    ログ照合処理手段
３０    ログ保存部
４０    ログアクセス処理手段
４１    ログ取得処理部
４２    ログ保存処理部
５０    優先データ更新処理手段
５１    優先データ格納判定部
５２    優先データ更新部
６０    統計データ更新処理手段
６１    統計情報計算処理部
６２    統計データ更新部
７０    ログ定義格納部
７１    優先リスト
７１Ａ  優先定義データ
７２    統計リスト
７２Ａ  統計定義データ
８０    設定情報格納部
８１    格納判定情報
８１Ａ  イベント定義情報
８１Ｂ  メッセージ出現回数情報
８１Ｃ  例外判定設定情報
８２    優先データ除外用情報
８３    単位時間設定情報
９０    ログ管理装置
【図１】
0005978767.tif 000002
【図２】
0005978767.tif 000003
【図３】
0005978767.tif 000004
【図４】
0005978767.tif 000005
【図５】
0005978767.tif 000006
【図６】
0005978767.tif 000007
【図７】
0005978767.tif 000008
【図８】
0005978767.tif 000009
【図９】
0005978767.tif 000010
【図１０】
0005978767.tif 000011
【図１１】
0005978767.tif 000012