(57)【要約】【課題】制御システムにおいて、限られた計算機リソースを用いて効率的なログ分析処理を実現する。【解決手段】監視対象のログデータを取得する装置、及びログデータの分析処理を実行するログ分析装置を含む計算機システムであって、ログ分析装置は、種別及び重要度を含むメッセージを受信した場合、種別及び重要度に基づいて、ログ分析処理及びログ分析処理に使用するログデータを特定するための候補パラメータを決定し、ログ分析装置の処理負荷に基づいて候補パラメータを修正することによって、実行用のパラメータを決定する調整処理を実行し、実行用のパラメータを用いたログ分析処理を実行するために、ログ分析処理の処理内容を規定する内部パラメータを修正し、実行用のパラメータに基づいてログデータを取得し、取得したログデータを用いてログ分析処理を実行する。【選択図】図２
2018097461.tif 000002
【特許請求の範囲】
【請求項１】
監視対象のログデータを取得する装置、及び前記ログデータの分析処理を実行するログ分析装置を含む計算機システムであって、
前記ログ分析装置は、
種別及び重要度を含むメッセージを受信した場合、前記種別及び前記重要度に基づいて、ログ分析処理及び前記ログ分析処理に使用するログデータを特定するための候補パラメータを決定し、
前記ログ分析装置の処理負荷に基づいて前記候補パラメータを修正することによって、実行用のパラメータを決定する調整処理を実行し、
前記実行用のパラメータを用いたログ分析処理を実行するために、前記ログ分析処理の処理内容を規定する内部パラメータを修正し、
前記実行用のパラメータに基づいて、前記ログデータを取得し、
前記取得したログデータを用いて、前記ログ分析処理を実行することを特徴とする計算機システム。
【請求項２】
請求項１に記載の計算機システムであって、
前記ログ分析装置は、
前記種別及び前記重要度の組み合わせと、前記ログ分析処理及び前記候補パラメータを特定する値とから構成されるレコードを含むログ分析定義情報と、
前記ログ分析装置の処理負荷を示す指標に関する条件と、前記候補パラメータの調整方法とから構成されるレコードを含む調整ポリシ情報と、を保持し、
前記種別及び前記重要度に基づいて前記ログ分析定義情報を参照することによって、前記ログ分析処理及び前記候補パラメータを決定し、
前記ログ分析装置の処理負荷から算出された指標に基づいて前記調整ポリシ情報を参照することによって、前記候補パラメータの調整方法を特定し、
前記特定された調整方法に基づいて、前記候補パラメータを修正することによって、前記実行用のパラメータを決定することを特徴とする計算機システム。
【請求項３】
請求項２に記載の計算機システムであって、
前記調整ポリシ情報は、前記候補パラメータに基づいて取得されたログデータを用いたログ分析処理の実行を遅延させるためのスケジューリングを前記調整方法として含むレコードを含むことを特徴とする計算機システム。
【請求項４】
請求項２に記載の計算機システムであって、
前記ログ分析装置は、
前記実行用のパラメータに基づいて前記装置から前記ログデータを取得する場合、前記装置の処理負荷を示す負荷情報を取得し、
前記負荷情報に基づいて、前記装置の処理負荷が高いか否かを判定し、
前記装置の処理負荷が高いと判定された場合、前記装置から取得する前記ログデータのデータ量が少なくなるように前記実行用のパラメータを修正することを特徴とする計算機システム。
【請求項５】
請求項４に記載の計算機システムであって、
前記ログデータは、タイムスタンプを含み、
前記パラメータは、取得対象のログデータの種別、前記取得対象のログデータに含める項目、及び前記取得対象のログデータの時間範囲を含むことを特徴とする計算機システム。
【請求項６】
監視対象のログデータを取得する装置、及び前記ログデータの分析処理を実行するログ分析装置を含む計算機システムにおけるログ分析方法であって、
前記ログ分析装置が、種別及び重要度を含むメッセージを受信した場合、前記種別及び前記重要度に基づいて、ログ分析処理及び前記ログ分析処理に使用するログデータを特定するための候補パラメータを決定する第１のステップと、
前記ログ分析装置が、前記ログ分析装置の処理負荷に基づいて前記候補パラメータを修正することによって、実行用のパラメータを決定する調整処理を実行する第２のステップと、
前記ログ分析装置が、前記実行用のパラメータを用いたログ分析処理を実行するために、前記ログ分析処理の処理内容を規定する内部パラメータを修正する第３のステップと、
前記ログ分析装置が、前記実行用のパラメータに基づいて、前記ログデータを取得する第４のステップと、
前記ログ分析装置が、前記取得したログデータを用いて、前記ログ分析処理を実行する第５のステップと、を含むことを特徴とするログ分析方法。
【請求項７】
請求項６に記載のログ分析方法であって、
前記ログ分析装置は、
前記種別及び前記重要度の組み合わせと、前記ログ分析処理及び前記候補パラメータを特定する値とから構成されるレコードを含むログ分析定義情報と、
前記ログ分析装置の処理負荷を示す指標に関する条件と、前記候補パラメータの調整方法とから構成されるレコードを含む調整ポリシ情報と、を保持し、
前記第１のステップでは、前記種別及び前記重要度に基づいて前記ログ分析定義情報を参照することによって、前記ログ分析処理及び前記候補パラメータを決定し、
前記第２のステップは、
前記ログ分析装置が、前記ログ分析装置の処理負荷から算出された指標に基づいて前記調整ポリシ情報を参照することによって、前記候補パラメータの調整方法を特定するステップと、
前記ログ分析装置が、前記特定された調整方法に基づいて、前記候補パラメータを修正することによって、前記実行用のパラメータを決定するステップと、を含むことを特徴とするログ分析方法。
【請求項８】
請求項７に記載のログ分析方法であって、
前記調整ポリシ情報は、前記候補パラメータに基づいて取得されたログデータを用いたログ分析処理の実行を遅延させるためのスケジューリングを前記調整方法として含むレコードを含むことを特徴とするログ分析方法。
【請求項９】
請求項７に記載のログ分析方法であって、
前記第４のステップは、
前記ログ分析装置が、前記装置の処理負荷を示す負荷情報を取得するステップと、
前記ログ分析装置が、前記負荷情報に基づいて、前記装置の処理負荷が高いか否かを判定するステップと、
前記装置の処理負荷が高いと判定された場合、前記ログ分析装置が、前記装置から取得する前記ログデータのデータ量が少なくなるように前記実行用のパラメータを修正するステップと、を含むことを特徴とするログ分析方法。
【請求項１０】
請求項９に記載のログ分析方法であって、
前記ログデータは、タイムスタンプを含み、
前記パラメータは、取得対象のログデータの種別、前記取得対象のログデータに含める項目、及び前記取得対象のログデータの時間範囲を含むことを特徴とするログ分析方法。
【請求項１１】
監視対象のログデータを管理する装置から取得した前記ログデータの分析処理を実行するログ分析装置であって、
種別及び重要度を含むメッセージを受信した場合、前記種別及び前記重要度に基づいて、ログ分析処理及び前記ログ分析処理に使用するログデータを特定するための候補パラメータを決定し、
前記ログ分析装置の処理負荷に基づいて前記候補パラメータを修正することによって、実行用のパラメータを決定する調整処理を実行し、
前記実行用のパラメータを用いたログ分析処理を実行するために、前記ログ分析処理の処理内容を規定する内部パラメータを修正し、
前記実行用のパラメータに基づいて、前記ログデータを取得し、
前記取得したログデータを用いて、前記ログ分析処理を実行することを特徴とするログ分析装置。
【請求項１２】
請求項１１に記載のログ分析装置であって、
前記種別及び前記重要度の組み合わせと、前記ログ分析処理及び前記候補パラメータを特定する値とから構成されるレコードを含むログ分析定義情報と、
前記ログ分析装置の処理負荷を示す指標に関する条件と、前記候補パラメータの調整方法とから構成されるレコードを含む調整ポリシ情報と、を保持し、
前記種別及び前記重要度に基づいて前記ログ分析定義情報を参照することによって、前記ログ分析処理及び前記候補パラメータを決定し、
前記ログ分析装置の処理負荷から算出された指標に基づいて前記調整ポリシ情報を参照することによって、前記候補パラメータの調整方法を特定し、
前記特定された調整方法に基づいて、前記候補パラメータを修正することによって、前記実行用のパラメータを決定することを特徴とするログ分析装置。
【請求項１３】
請求項１２に記載のログ分析装置であって、
前記調整ポリシ情報は、前記候補パラメータに基づいて取得されたログデータを用いたログ分析処理の実行を遅延させるためのスケジューリングを前記調整方法として含むレコードを含むことを特徴とするログ分析装置。
【請求項１４】
請求項１２に記載のログ分析装置であって、
前記実行用のパラメータに基づいて、前記装置から前記ログデータを取得する場合、前記装置の処理負荷を示す負荷情報を取得し、
前記負荷情報に基づいて、前記装置の処理負荷が高いか否かを判定し、
前記装置の処理負荷が高いと判定された場合、前記装置から取得する前記ログデータのデータ量が少なくなるように前記実行用のパラメータを修正することを特徴とするログ分析装置。
【請求項１５】
請求項１４に記載のログ分析装置であって、
前記ログデータは、タイムスタンプを含み、
前記パラメータは、取得対象のログデータの種別、前記取得対象のログデータに含める項目、及び前記取得対象のログデータの時間範囲を含むことを特徴とするログ分析装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御システムを構成する機器に関するログの分析方法に関する。
【背景技術】
【０００２】
電力、鉄道、水道、及びガス等の社会インフラ並びに自動車に利用される制御システムは、センサから取得した情報に基づいて、あらかじめ設定されている圧力及び温度等の条件を満たすために、バルブ及びアクチュエータ等の機器を制御する。
【０００３】
前述の制御を実現するために、組込み装置は、周期的にセンサから情報を取得し、制御対象の装置の状態を確認し、サーバ等に通知し、必要に応じて機器の制御を行う。このため、制御システムは、一般的に、大量の通信データに基づいて処理を行う。
【０００４】
制御システムは、専用ＯＳ及び専用プロトコルを利用しており、インターネット等の外部ネットワークからアクセスできない領域に孤立した状態で設置されている。そのため、コンピュータウィルス及びサービス不能攻撃といったサイバー攻撃からは無縁であると考えられてきた。
【０００５】
しかし、汎用ＯＳ及び汎用プロトコルを利用する制御システムが増加しており、制御の効率を向上させるために情報システムと接続するシステム形態も進んできている。そのため、サイバー攻撃の危険性が高まっている。また、近年では、制御システムをターゲットとしたコンピュータウィルスが出現している。そのため、制御システムにもマルウェア及び不正アクセス等を検出する技術が必要となっている。
【０００６】
情報システムへの不正アクセスを検出するための技術として特許文献１に記載の技術が知られている。特許文献１には、「不正アクセス情報データベース２２ａは、不正アクセス情報を逐次格納する。同一者判定処理部２４は、不正アクセス情報データベース２２ａを参照し、不正アクセス情報間において、所定の項目に関する一致の度合を基に同一者による不正アクセス情報かを判定する。判断条件データベース２３ｂは、予め不正アクセス行為の判断条件を格納する。不正者判別処理部２５は、同一者判定処理部２４が同一者と判定した複数の不正アクセス情報に対し、判断条件データベース２３ｂの判断条件を参照して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する。」ことが記載されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００２−３３４０６１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
特許文献１の技術を制御システムに適用する場合、判断条件データベースを参照して不正アクセス行為であるか否かを判定するための装置が必要である。当該装置には、高い性能が求められる。そのため、計算機リソースが限られた組み込み機器等の装置を用いて特許文献１に記載の技術を実現するのは困難である。
【課題を解決するための手段】
【０００９】
本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、監視対象のログデータを取得する装置、及び前記ログデータの分析処理を実行するログ分析装置を含む計算機システムであって、前記ログ分析装置は、種別及び重要度を含むメッセージを受信した場合、前記種別及び前記重要度に基づいて、ログ分析処理及び前記ログ分析処理に使用するログデータを特定するための候補パラメータを決定し、前記ログ分析装置の処理負荷に基づいて前記候補パラメータを修正することによって、実行用のパラメータを決定する調整処理を実行し、前記実行用のパラメータを用いたログ分析処理を実行するために、前記ログ分析処理の処理内容を規定する内部パラメータを修正し、前記実行用のパラメータに基づいて、前記ログデータを取得し、前記取得したログデータを用いて、前記ログ分析処理を実行することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、限られた計算機リソースを有するログ分析装置が、効率的にログ分析処理を実行できる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【００１１】
【図１】実施例１の計算機システムの全体の構成例を説明する図である。
【図２】実施例１のログ分析装置のハードウェア構成及びソフトウェア構成の一例を説明する図である。
【図３】実施例１の制御装置のハードウェア構成及びソフトウェア構成の一例を説明する図である。
【図４】実施例１のネットワーク監視装置のハードウェア構成及びソフトウェア構成の一例を説明する図である。
【図５】実施例１のセキュリティ対策装置のハードウェア構成及びソフトウェア構成の一例を説明する図である。
【図６】実施例１のログ分析定義情報の構成例を説明する図である。
【図７】実施例１の調整ポリシ情報の構成例を説明する図である。
【図８】実施例１のスケジュール情報の構成例を説明する図である。
【図９】実施例１の計算機システムにおける処理の流れを説明するシーケンス図である。
【図１０】実施例１のログ分析装置が制御装置からメッセージを受信した場合に実行する処理を説明するフローチャートである。
【図１１Ａ】実施例１の出力装置に表示される画面の一例を示す説明する図である。
【図１１Ｂ】実施例１の出力装置に表示される画面の一例を示す説明する図である。
【図１２】実施例１のログ分析モジュールが実行する調整処理の詳細を説明するフローチャートである。
【図１３】実施例１のログ分析装置がスケジュール情報にしたがって実行する処理を説明するフローチャートである。
【図１４】実施例２の計算機システムの全体の構成例を説明する図である。
【図１５】実施例２のログ分析装置が制御装置からメッセージを受信した場合に実行する処理を説明するフローチャートである。
【図１６】実施例２のログ分析装置がスケジュール情報にしたがって実行する処理を説明するフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本発明に係る実施例を添付図面を用いて説明する。各図において共通の構成については同一の参照符号が付されている。
【実施例１】
【００１３】
図１は、実施例１の計算機システムの全体の構成例を説明する図である。
【００１４】
計算機システムは、ログ分析装置１０１、制御装置１０２、ネットワーク監視装置１０３、及びセキュリティ対策装置１０４から構成される。各装置は、ネットワーク１０５を介して互いに接続される。
【００１５】
ログ分析装置１０１は、ログ分析処理を実行する。制御装置１０２は、制御システムの制御対象の装置を制御する。ネットワーク監視装置１０３は、ネットワークの監視を行う。セキュリティ対策装置１０４は、ユーザ認証等のセキュリティに関する処理を実行する。本実施例では、ネットワーク監視装置１０３及びセキュリティ対策装置１０４が、それぞれの監視対象のログデータを収集し、収集したログデータを管理する。
【００１６】
管理者１０６は、ログ分析装置１０１が出力するログ分析結果を閲覧することができる。
【００１７】
図２は、実施例１のログ分析装置１０１のハードウェア構成及びソフトウェア構成の一例を説明する図である。
【００１８】
ログ分析装置１０１は、プロセッサ２０１、メモリ２０２、記憶装置２０３、入出力インタフェース２０４、及びネットワークインタフェース２０５を有し、各ハードウェアはバス２０６を介して接続される。
【００１９】
プロセッサ２０１は、メモリ２０２に格納されるプログラムを実行する。プロセッサ２０１がプログラムにしたがって処理を実行することによって、所定の機能を有するモジュールとして動作する。以下の説明では、モジュールを主語に処理を説明する場合、プロセッサ２０１が、当該モジュールを実現するプログラムを実行していることを表す。
【００２０】
メモリ２０２は、プロセッサ２０１が実行するプログラム及び当該プログラムに必要な情報を格納する。また、メモリ２０２は、プログラムが一時的に使用するワークエリアを含む。
【００２１】
記憶装置２０３は、データを永続的に格納する。記憶装置２０３は、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）及びＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の記憶媒体、又は不揮発性メモリ等が考えられる。なお、メモリ２０２に格納されるプログラム及び情報は、記憶装置２０３に格納されてもよい。この場合、プロセッサ２０１は、記憶装置２０３からプログラム及び情報を読み出し、メモリ２０２にプログラム及び情報をロードし、また、メモリ２０２にロードされたプログラムを実行する。
【００２２】
入出力インタフェース２０４は、入力装置２０７及び出力装置２０８と接続するためのインタフェースである。なお、入力装置２０７は、キーボード、マウス、及びタッチパネル等を含み、また、出力装置２０８は、タッチパネル及びディスプレイ等を含む。
【００２３】
ネットワークインタフェース２０５は、ネットワークを介して他の計算機と接続するためのインタフェースである。
【００２４】
メモリ２０２は、プログラムとして、ログ分析モジュール２１１を実現するプログラムを格納し、また、情報として、ログ分析定義情報２１２、調整ポリシ情報２１３、及びスケジュール情報２１４を格納する。記憶装置２０３は、データとして、ログデータ管理情報２１５を格納する。
【００２５】
ログ分析モジュール２１１は、異なるログ分析処理を実行する複数の実行モジュール２２１を含む。ログ分析モジュール２１１は、実行するログ分析処理の種類に応じて、呼び出す実行モジュールを選択する。
【００２６】
ログ分析定義情報２１２は、メッセージ種別及びメッセージレベルに基づいて、実行するログ分析処理、及び当該ログ分析処理に使用するログデータを特定するためのパラメータに関する定義情報を格納する。ログ分析定義情報２１２の詳細は図６を用いて説明する。
【００２７】
調整ポリシ情報２１３は、ログ分析装置１０１の処理負荷に応じてパラメータを調整するためのポリシを格納する。調整ポリシ情報２１３の詳細は図７を用いて説明する。
【００２８】
スケジュール情報２１４は、遅延を発生させるログ分析処理の実行スケジュールを管理する情報である。本実施例では、即時に実行できないログ分析処理の実行スケジュールがスケジュール情報２１４に登録される。例えば、処理負荷が高いログ分析処理が同時に発生した場合、スケジュール情報２１４にログ分析処理の実行スケジュールが登録される。スケジュール情報２１４の詳細は、図８を用いて説明する。
【００２９】
ログデータ管理情報２１５は、ログ分析処理に使用されるログデータを格納する。ログデータ管理情報２１５は、データサイズが大きいため、記憶装置２０３に格納されている。ただし、メモリ２０２の容量が大きい場合、ログデータ管理情報２１５は、メモリ２０２に格納されてもよい。なお、ログ分析処理の開始前のログデータ管理情報２１５にはログデータが格納されておらず、ログ分析処理の実行時に取得したログデータが格納される。
【００３０】
なお、メモリ２０２には、ログ分析装置１０１を制御するＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）等のプログラムが格納されるが、本発明とは直接関係しないため省略している。
【００３１】
図３は、実施例１の制御装置１０２のハードウェア構成及びソフトウェア構成の一例を説明する図である。
【００３２】
制御装置１０２は、プロセッサ３０１、メモリ３０２、記憶装置３０３、入出力インタフェース３０４、及びネットワークインタフェース３０５を有し、各ハードウェアはバス３０６を介して接続される。
【００３３】
プロセッサ３０１、メモリ３０２、記憶装置３０３、入出力インタフェース３０４、ネットワークインタフェース３０５、及びバス３０６は、プロセッサ２０１、メモリ２０２、記憶装置２０３、入出力インタフェース２０４、ネットワークインタフェース２０５、及びバス２０６と同様のものであるため説明を省略する。
【００３４】
なお、制御装置１０２の入出力インタフェース３０４には、制御対象の装置であるバルブ３０７及びアクチュエータ３０８が接続される。なお、バルブ３０７及びアクチュエータ３０８は、制御対象の装置の一例であってこれに限定されない。
【００３５】
メモリ３０２は、プログラムとして、制御モジュール３１１を実現するプログラムを格納する。
【００３６】
制御モジュール３１１は、制御装置１０２全体を制御する。また、制御モジュール３１１は、バルブ３０７及びアクチュエータ３０８を制御する。具体的には、制御モジュール３１１は、バルブ３０７及びアクチュエータ３０８の動作を変更し、また、バルブ３０７及びアクチュエータ３０８の状態を監視する。制御モジュール３１１は、バルブ３０７及びアクチュエータ３０８の停止及び再起動等のイベントを検出した場合、各イベントに対応したメッセージをログ分析装置１０１に送信する。メッセージには、メッセージの種別及びメッセージレベル等の情報が含まれる。なお、メッセージレベルは、重要度を表す値である。
【００３７】
図４は、実施例１のネットワーク監視装置１０３のハードウェア構成及びソフトウェア構成の一例を説明する図である。
【００３８】
ネットワーク監視装置１０３は、プロセッサ４０１、メモリ４０２、記憶装置４０３、及びネットワークインタフェース４０５を有し、各ハードウェアはバス４０６を介して接続される。なお、ネットワーク監視装置１０３は、入出力インタフェースを有してもよい。
【００３９】
プロセッサ４０１、メモリ４０２、記憶装置４０３、ネットワークインタフェース４０５、及びバス４０６は、プロセッサ２０１、メモリ２０２、記憶装置２０３、ネットワークインタフェース２０５、及びバス２０６と同様のものであるため説明を省略する。
【００４０】
メモリ４０２は、プログラムとして、ネットワーク管理モジュール４１１を実現するプログラムを格納する。記憶装置４０３は、データとして、ネットワークログデータ管理情報４１２を格納する。
【００４１】
ネットワークログデータ管理情報４１２は、ネットワーク１０５を流れるデータに関するログであるネットワークログデータを管理する情報である。なお、ネットワークログデータはタイムスタンプを含む。
【００４２】
ネットワーク管理モジュール４１１は、ネットワークログデータを取得し、ネットワークログデータ管理情報４１２にネットワークログデータを格納する。また、ネットワーク管理モジュール４１１は、ログ分析装置１０１から受信した要求にしたがって、ネットワークログデータ管理情報４１２に格納されるネットワークログデータをログ分析装置１０１に送信する。
【００４３】
図５は、実施例１のセキュリティ対策装置１０４のハードウェア構成及びソフトウェア構成の一例を説明する図である。
【００４４】
セキュリティ対策装置１０４は、プロセッサ５０１、メモリ５０２、記憶装置５０３、及びネットワークインタフェース５０５を有し、各ハードウェアはバス５０６を介して接続される。なお、セキュリティ対策装置１０４は、入出力インタフェースを有してもよい。
【００４５】
プロセッサ５０１、メモリ５０２、記憶装置５０３、ネットワークインタフェース５０５、及びバス５０６は、プロセッサ２０１、メモリ２０２、記憶装置２０３、ネットワークインタフェース２０５、及びバス２０６と同様のものであるため説明を省略する。
【００４６】
メモリ５０２は、プログラムとして、セキュリティ対策モジュール５１１を実現するプログラムを格納する。記憶装置５０３は、データとして、セキュリティログデータ管理情報５１２を格納する。
【００４７】
セキュリティログデータ管理情報５１２は、セキュリティ機能に関するログであるセキュリティログデータを管理する情報である。なお、セキュリティログデータはタイムスタンプを含む。
【００４８】
セキュリティ対策モジュール５１１は、ユーザ認証等のセキュリティ機能を提供する。セキュリティ対策モジュール５１１は、セキュリティログデータを取得し、セキュリティログデータ管理情報５１２にセキュリティログデータを格納する。また、セキュリティ対策モジュール５１１は、ログ分析装置１０１から受信した要求にしたがって、セキュリティログデータ管理情報５１２に格納されるセキュリティログデータをログ分析装置１０１に送信する。
【００４９】
図６は、実施例１のログ分析定義情報２１２の構成例を説明する図である。
【００５０】
ログ分析定義情報２１２は、ＩＤ６０１、メッセージ種別６０２、メッセージレベル６０３、ログデータ種別６０４、対象期間６０５、及びモジュール種別６０６から構成されるレコードを含む。一つのレコードが一つの定義情報に対応する。
【００５１】
ＩＤ６０１は、ログ分析定義情報２１２のレコードを一意に識別するための識別情報を格納するフィールドである。
【００５２】
メッセージ種別６０２は、制御装置１０２等から通知されたメッセージの種別を格納するフィールドである。メッセージレベル６０３は、制御装置１０２等から通知されたメッセージレベルを格納するフィールドである。
【００５３】
ログデータ種別６０４は、取得対象のログデータの種別を格納するフィールドである。ログデータ種別６０４には、ログデータの種別、及びログデータに含める項目を示す値が格納される。対象期間６０５は、取得対象のログデータの時間範囲を格納するフィールドである。本実施例では、ログデータ種別６０４及び対象期間６０５に基づいて、取得対象のログデータが特定される。
【００５４】
モジュール種別６０６は、呼び出される実行モジュール２２１の種別を格納するフィールドである。すなわち、モジュール種別６０６はログ分析処理の種別を表す。
【００５５】
本実施例では、メッセージレベル６０３に応じて、処理負荷が異なるログ分析処理が実行される。すなわち、取得するログデータに応じて実行モジュール２２１が実行するログ分析処理の粒度が異なる。本実施例では、処理の粒度毎に、ログ分析処理で使用する変数、コード、及び関数等の処理内容を規定するパラメータ（内部パラメータ）が予め設定されているものとする。
【００５６】
なお、レコードは、内部パラメータを格納するフィールドを含んでもよい。
【００５７】
図７は、実施例１の調整ポリシ情報２１３の構成例を説明する図である。
【００５８】
調整ポリシ情報２１３は、ＩＤ７０１、優先度７０２、負荷条件７０３、及び調整方法７０４から構成されるレコードを含む。一つのレコードが一つの調整ポリシに対応する。
【００５９】
ＩＤ７０１は、調整ポリシ情報２１３のレコードを一意に識別するための識別情報を格納するフィールドである。
【００６０】
優先度７０２は、ポリシの優先度を格納するフィールドである。本実施例では、「１」から順に優先度を表す数値が優先度７０２に設定される。「１」が最も優先度が高いものとする。適用可能な調整ポリシが複数存在した場合、ログ分析モジュール２１１は、優先度が最も高い調整ポリシを、使用する調整ポリシとして選択する。
【００６１】
負荷条件７０３は、調整ポリシの適用条件であるログ分析装置１０１の負荷に関する情報を格納するフィールドである。
【００６２】
調整方法７０４は、具体的なログ分析処理の調整方法に関する情報を格納するフィールドである。ＩＤ７０１が「１」のレコードの調整方法７０４には、ログ分析処理の実行時間を遅延させるためのスケジューリングが調整方法として設定される。また、ＩＤ７０１が「２」のレコードの調整方法７０４には、処理負荷が低いログ分析処理に変更する調整方法が設定される。また、ＩＤ７０１が「５」のレコードの調整方法７０４には、処理負荷を低減するために、取得するログデータの時間範囲を狭める調整方法が設定される。
【００６３】
図８は、実施例１のスケジュール情報２１４の構成例を説明する図である。
【００６４】
スケジュール情報２１４は、ＩＤ８０１、ログデータ種別８０２、対象期間８０３、及びモジュール種別８０４から構成されるレコードを含む。一つのレコードが一つのログ分析処理に対応する。
【００６５】
ＩＤ８０１は、スケジュール情報２１４のレコードを一意に識別するための識別情報を格納するフィールドである。ログデータ種別８０２、対象期間８０３、及びモジュール種別８０４は、ログデータ種別６０４、対象期間６０５、及びモジュール種別６０６と同一のものである。
【００６６】
次に、計算機システムにおける処理について説明する。
【００６７】
図９は、実施例１の計算機システムにおける処理の流れを説明するシーケンス図である。
【００６８】
制御装置１０２は、イベントの発生を検出した場合、当該イベントに対応するメッセージをログ分析装置１０１に送信する（ステップＳ９０１）。メッセージには、及びメッセージ種別を特定するための情報を含むメッセージ内容及びメッセージレベルが含まれる。
【００６９】
ログ分析装置１０１は、メッセージを解析することによって、実行するログ分析処理及びパラメータを決定する（ステップＳ９０２）。本実施例では、ログデータの種別、ログデータに含める項目、及びログデータの時間範囲等がパラメータとして決定される。
【００７０】
ログ分析装置１０１は、パラメータによって特定されるログデータを取得するために、ネットワーク監視装置１０３及びセキュリティ対策装置１０４に取得要求を送信する（ステップＳ９０３、Ｓ９０４）。なお、スケジュール情報２１４に実行するログ分析処理の情報が登録された場合、ログ分析装置１０１は、実行契機の経過後に取得要求を送信する。
【００７１】
セキュリティ対策装置１０４及びネットワーク監視装置１０３は、取得要求にしたがって、要求されたログデータをログ分析装置１０１に送信する（ステップＳ９０５、Ｓ９０６）。
【００７２】
ログ分析装置１０１は、ログデータを受信した後、ログ分析処理を実行する（ステップＳ９０７）。ログ分析装置１０１は、管理者１０６に対して分析結果を表示する（ステップＳ９０８）。
【００７３】
ログ分析装置１０１は、管理者１０６から再分析指示を受け付けた場合（ステップＳ９０９）、実行するログ分析処理及びパラメータを決定する（ステップＳ９１０）。再分析指示には、前回のログ分析処理におけるメッセージ種別及びメッセージレベルが含まれる。
【００７４】
本実施例では、ログ分析装置１０１は、ログ分析定義情報２１２を参照し、再分析指示に含まれるメッセージレベルより高いメッセージレベルに対応するログ分析処理を選択する。例えば、再分析指示に含まれるメッセージ種別が「Ｔ１」かつメッセージレベルが「軽微」である場合、ログ分析装置１０１は、メッセージ種別６０２が「Ｔ１」かつメッセージレベル６０３が「注意」であるレコードを選択する。
【００７５】
ログ分析装置１０１は、パラメータによって特定されるログデータを取得するために、ネットワーク監視装置１０３及びセキュリティ対策装置１０４に取得要求を送信する（ステップＳ９１１、Ｓ９１２）。
【００７６】
セキュリティ対策装置１０４及びネットワーク監視装置１０３は、取得要求にしたがって、要求されたログデータをログ分析装置１０１に送信する（ステップＳ９１３、Ｓ９１４）。
【００７７】
ログ分析装置１０１は、ログデータを受信した後、ログ分析処理を実行する（ステップＳ９１５）。ログ分析装置１０１は、管理者１０６に対して分析結果を表示する（ステップＳ９１６）。
【００７８】
図１０は、実施例１のログ分析装置１０１が制御装置１０２からメッセージを受信した場合に実行する処理を説明するフローチャートである。
【００７９】
ログ分析モジュール２１１は、制御装置１０２からメッセージを受信した場合、以下で説明する処理を開始する。
【００８０】
ログ分析モジュール２１１は、メッセージからメッセージ種別及びメッセージレベルを取得する（ステップＳ１００１）。
【００８１】
具体的には、ログ分析モジュール２１１は、メッセージに含まれるメッセージ内容からメッセージ種別を取得し、また、メッセージに含まれるメッセージレベルを取得する。
【００８２】
ログ分析モジュール２１１は、調整処理を実行する（ステップＳ１００２）。当該処理では、実行するログ分析処理及びパラメータが決定される。調整処理の詳細は図１２を用いて説明する。
【００８３】
次に、ログ分析モジュール２１１は、実行するログ分析処理の実行スケジュールがスケジュール情報２１４に登録されたか否かを判定する（ステップＳ１００３）。
【００８４】
実行するログ分析処理の実行スケジュールがスケジュール情報２１４に登録されていると判定された場合、ログ分析モジュール２１１は処理を終了する。実行スケジュールがスケジュール情報２１４に登録された場合、この時点ではログ分析処理は実行されない。
【００８５】
実行するログ分析処理の実行スケジュールがスケジュール情報２１４に登録されていないと判定された場合、ログ分析モジュール２１１は、調整処理によって決定されたログデータを取得するための取得要求を対象の機器に送信する（ステップＳ１００４）。
【００８６】
後述するように調整処理では、取得するログデータの種別、ログデータに含める項目、及びログデータの時間範囲等が決定される。ログ分析モジュール２１１は、ログデータの種別に基づいてログデータを取得する機器を特定し、項目の識別情報及び時間範囲を含む取得要求を特定された機器に送信する。
【００８７】
次に、ログ分析モジュール２１１は、ログデータを取得した後、調整処理によって決定されたログ分析処理を実行する（ステップＳ１００５）。
【００８８】
具体的には、ログ分析モジュール２１１は、調整処理によって決定された実行モジュール２２１を呼び出し、処理の実行を指示する。なお、ログ分析処理は公知の技術であるため詳細な説明は省略する。また、本実施例は、ログ分析処理の内容に限定されない。
【００８９】
次に、ログ分析モジュール２１１は、分析結果を管理者１０６に対して出力する（ステップＳ１００６）。その後、ログ分析モジュール２１１は処理を終了する。
【００９０】
具体的には、ログ分析モジュール２１１は、分析結果を表示するための表示情報を生成し、表示情報に基づいて出力装置２０８に画面を表示する。
【００９１】
なお、ログ分析モジュール２１１は、管理者１０６から再分析指示を受け付けた場合、同様の処理を実行する。
【００９２】
図１１Ａ及び図１１Ｂは、実施例１の出力装置２０８に表示される画面の一例を示す説明する図である。ここでは、ログデータの要約処理がログ分析処理として実行された場合の画面について説明する。
【００９３】
図１１Ａは、メッセージレベルが「重大」であるメッセージを受信した場合に表示される画面１１００を表し、図１１Ｂはメッセージレベルが「軽微」であるメッセージを受信した場合に表示される画面１１１０を表す。
【００９４】
画面１１００は、メッセージ内容表示エリア１１０１及びログ分析結果表示エリア１１０２から構成される。
【００９５】
メッセージ内容表示エリア１１０１は、メッセージの内容を表示するエリアである。メッセージ内容表示エリア１１０１には、メッセージの発生日時、メッセージレベル、及びメッセージ内容等が表示される。
【００９６】
ログ分析結果表示エリア１１０２は、ログ分析処理の結果を表示するエリアである。ログ分析結果表示エリア１１０２には、パラメータ及び分析結果等が表示される。
【００９７】
画面１１１０は、メッセージ内容表示エリア１１１１、ログ分析結果表示エリア１１１２、及び補足表示エリア１１１３から構成される。
【００９８】
メッセージ内容表示エリア１１１１及びログ分析結果表示エリア１１１２は、メッセージ内容表示エリア１１０１及びログ分析結果表示エリア１１０２と同様のエリアである。ただし、メッセージ内容表示エリア１１１１及びログ分析結果表示エリア１１１２に表示される情報は、メッセージ内容表示エリア１１０１及びログ分析結果表示エリア１１０２に表示される情報より粒度が荒い。
【００９９】
補足表示エリア１１１３は、調整処理によって変更されたログ分析処理の変更内容等を表示するエリアである。図１１Ｂに示す補足表示エリア１１１３には、実行されたログ分析処理より詳細な分析結果を出力するログ分析処理の実行を指示するための実行ボタンが含まれる。管理者１０６は、当該実行ボタンを操作することによって、ログ分析装置１０１に再分析指示を入力する。
【０１００】
メッセージレベルの違いによって実行されるログ分析処理が異なるため、図１１Ａ及び図１１Ｂに示すように、ログ分析処理の結果を表示する画面が異なる。
【０１０１】
図１２は、実施例１のログ分析モジュール２１１が実行する調整処理の詳細を説明するフローチャートである。
【０１０２】
ログ分析モジュール２１１は、ログ分析装置１０１の処理負荷を示す負荷情報を取得する（ステップＳ１２０１）。
【０１０３】
次に、ログ分析モジュール２１１は、ログ分析定義情報２１２に基づいて、実行するログ分析処理及び候補パラメータを決定する（ステップＳ１２０２）。
【０１０４】
具体的には、ログ分析モジュール２１１は、ログ分析定義情報２１２を参照して、メッセージ種別６０２及びメッセージレベル６０３が、受信したメッセージのメッセージ種別及びメッセージレベルと一致するレコードを検索する。ログ分析モジュール２１１は、検索されたレコードのモジュール種別６０６を実行するログ分析処理に決定し、検索されたレコードのログデータ種別６０４及び対象期間６０５を候補パラメータに決定する。
【０１０５】
次に、ログ分析モジュール２１１は、負荷情報及び調整ポリシ情報２１３に基づいて、ログ分析処理のスケジューリングが必要であるか否かを判定する（ステップＳ１２０３）。具体的には、以下のような処理が実行される。
【０１０６】
ログ分析モジュール２１１は、負荷情報に基づいて負荷条件７０３を参照して、負荷条件７０３を満たす該当するレコードを検索する。
【０１０７】
負荷条件７０３を満たすレコードが存在しない場合、ログ分析モジュール２１１は、ログ分析処理のスケジューリングが必要でないと判定する。
【０１０８】
負荷条件７０３を満たすレコードが複数存在する場合、ログ分析モジュール２１１は、検索されたレコードの優先度７０２を参照し、優先度が最も高いレコードを選択する。ログ分析モジュール２１１は、選択されたレコードの調整方法７０４が「スケジュール情報に登録」であるか否かを判定する。選択されたレコードの調整方法７０４が「スケジュール情報」である場合、ログ分析モジュール２１１は、ログ分析処理のスケジューリングが必要であると判定する。以上がステップＳ１２０３の処理の説明である。
【０１０９】
ログ分析処理のスケジューリングが必要であると判定された場合、ログ分析モジュール２１１は、スケジュール情報２１４にログ分析処理の実行スケジュールを登録し（ステップＳ１２０４）、調整処理を終了する。
【０１１０】
具体的には、ログ分析モジュール２１１は、スケジュール情報２１４にレコードを追加し、追加されたレコードのＩＤ８０１に識別情報を設定する。また、ログ分析モジュール２１１は、追加されたレコードのログデータ種別８０２、対象期間８０３、及びモジュール種別８０４に、ステップＳ１２０２において検索されたレコードのログデータ種別６０４、対象期間６０５、及びモジュール種別６０６を設定する。ログ分析処理の実行スケジュールを登録する場合、候補パラメータは変更されない。
【０１１１】
ログ分析処理のスケジューリングが必要でないと判定された場合、ログ分析モジュール２１１は、候補パラメータを変更する必要があるか否かを判定する（ステップＳ１２０５）。
【０１１２】
具体的には、ログ分析モジュール２１１は、ステップＳ１２０３において調整ポリシ情報２１３から検索されたレコードの調整方法７０４を参照し、当該調整方法７０４が候補パラメータを変更する調整方法であるか否かを判定する。
【０１１３】
例えば、検索されたレコードのＩＤ７０１が「２」である場合、ログ分析モジュール２１１は、候補パラメータを変更する必要があると判定する。
【０１１４】
候補パラメータを変更する必要があると判定された場合、ログ分析モジュール２１１は、選択されたレコードの調整方法７０４に基づいて、候補パラメータを変更し（ステップＳ１２０６）、実行するログ分析処理及び実行用パラメータを決定する（ステップＳ１２０７）。その後、ログ分析モジュール２１１は調整処理を終了する。この場合、変更後のパラメータが実行用パラメータに決定される。
【０１１５】
このとき、ログ分析モジュール２１１は、候補パラメータの変更に伴って、ログ分析処理の処理内容を変更する。すなわち、ログ分析モジュール２１１は、実行用パラメータを用いたログ分析処理を実行するために、内部パラメータを変更する。これによって、粒度が異なるログ分析処理を実行することができる。
【０１１６】
候補パラメータを変更する必要がないと判定された場合、ログ分析モジュール２１１は、実行するログ分析処理及び実行用パラメータを決定する（ステップＳ１２０７）。その後、ログ分析モジュール２１１は調整処理を終了する。この場合、候補パラメータが実行用パラメータに決定される。
【０１１７】
本実施例では、メッセージの受信を契機に、ログ分析処理に必要なログデータのみが取得される。これによって、計算機システム全体の通信負荷を低減し、また、ログ分析装置１０１の処理負荷を低減できる。
【０１１８】
また、ログ分析モジュール２１１は、処理負荷を考慮して、実行するログ分析処理の処理内容を決定する。これによって、限られた計算機リソースを利用してセキュリティ対策及び障害対策等に必要なログ分析処理を実行できる。
【０１１９】
図１３は、実施例１のログ分析装置１０１がスケジュール情報２１４にしたがって実行する処理を説明するフローチャートである。
【０１２０】
ログ分析モジュール２１１は、周期的に、以下で説明する処理を実行する。
【０１２１】
ログ分析モジュール２１１は、スケジュール情報２１４に実行スケジュールが登録されているか否かを判定する（ステップＳ１３０１）。
【０１２２】
スケジュール情報２１４に実行スケジュールが登録されていないと判定された場合、ログ分析モジュール２１１は処理を終了する。
【０１２３】
スケジュール情報２１４に実行スケジュールが登録されていると判定された場合、ログ分析モジュール２１１は、ログ分析装置１０１の負荷情報を取得し（ステップＳ１３０２）、処理負荷が低いか否かを判定する（ステップＳ１３０３）。
【０１２４】
例えば、ログ分析モジュール２１１は、プロセッサ使用率が第１閾値より小さく、かつ、メモリ使用率が第２閾値より小さいか否かを判定する。いずれかの条件を満たさない場合、ログ分析モジュール２１１は、処理負荷が高いと判定する。
【０１２５】
処理負荷が高いと判定された場合、ログ分析モジュール２１１は、待ち状態に移行し、一定時間経過した後、ステップＳ１３０２に戻り同様の処理を実行する。
【０１２６】
処理負荷が低いと判定された場合、ログ分析モジュール２１１は、スケジュール情報２１４から実行する分析処理を選択する（ステップＳ１３０４）。
【０１２７】
具体的には、ログ分析モジュール２１１は、スケジュール情報２１４に登録されたレコードを一つ選択する。本実施例では、スケジュール情報２１４の上のレコードから順に選択されるものとする。
【０１２８】
次に、ログ分析モジュール２１１は、選択されたレコードのログデータ種別８０２及び対象期間８０３によって特定されるログデータを取得するための取得要求を対象の機器に送信する（ステップＳ１３０５）。
【０１２９】
次に、ログ分析モジュール２１１は、ログデータを取得した後、選択されたレコードに対応するログ分析処理を実行する（ステップＳ１３０６）。
【０１３０】
具体的には、ログ分析モジュール２１１は、選択されたレコードのモジュール種別８０４に対応する実行モジュール２２１を呼び出し、処理の実行を指示する。
【０１３１】
次に、ログ分析モジュール２１１は、分析結果を管理者１０６に対して出力する（ステップＳ１３０７）。
【０１３２】
次に、ログ分析モジュール２１１は、スケジュール情報２１４にレコードが存在するか否かを判定する（ステップＳ１３０８）。
【０１３３】
スケジュール情報２１４にレコードが存在すると判定された場合、ログ分析モジュール２１１は、ステップＳ１３０２に戻り、同様の処理を実行する。
【０１３４】
スケジュール情報２１４にレコードが存在しないと判定された場合、ログ分析モジュール２１１は処理を終了する。
【０１３５】
なお、ログ分析装置１０１は、周期的に、ネットワーク監視装置１０３及びセキュリティ対策装置１０４からログデータを取得し、ログデータ管理情報２１５に登録してもよい。この場合、ステップＳ１００３及びステップＳ１３０５では、ログ分析モジュール２１１は、ログデータ管理情報２１５から必要な項目を含むログデータを取得する。
【０１３６】
実施例１によれば、ログ分析装置１０１は、制御装置１０２からメッセージを受信した場合に、ログデータを取得する。ログ分析装置１０１は、常時、ログデータを取得する必要がないため、ログ分析装置１０１の処理負荷を低減し、また、ネットワーク１０５の帯域を有効に活用することができる。
【０１３７】
ログ分析装置１０１は、メッセージレベルに応じて実行するログ分析処理を決定し、また、処理負荷に応じて、ログ分析処理の実行時間及びログ分析処理の処理内容を調整する。これによって、ログ分析装置１０１は、限られた計算機リソースを活用して、ログ分析処理を実行できる。
【実施例２】
【０１３８】
実施例２では、制御装置１０２がログデータを保持し、ログ分析装置１０１は当該ログデータを用いたログ分析処理を実行する点が実施例１と異なる。実施例２では、ログ分析装置１０１は、制御装置１０２の処理負荷に応じて、取得するログデータのデータ量を調整する。以下、実施例１との差異を中心に、実施例２について説明する。
【０１３９】
図１４は、実施例２の計算機システムの全体の構成例を説明する図である。
【０１４０】
実施例２の計算機システムは、ログ分析装置１０１及び制御装置１０２から構成される。各装置は、ネットワーク１０５を介して互いに接続される。
【０１４１】
図１５は、実施例２のログ分析装置１０１が制御装置１０２からメッセージを受信した場合に実行する処理を説明するフローチャートである。
【０１４２】
ログ分析モジュール２１１は、ステップＳ１００３の処理の後、制御装置１０２の処理負荷を示す負荷情報を取得する（ステップＳ１５０１）。
【０１４３】
ログ分析モジュール２１１は、取得した負荷情報に基づいて、制御装置１０２の処理負荷が高いか否かを判定する（ステップＳ１５０２）。
【０１４４】
例えば、ログ分析モジュール２１１は、制御装置１０２のプロセッサの使用率が第３の閾値より小さいか否かを判定する。制御装置１０２のプロセッサの使用率が第３の閾値より小さい場合、ログ分析モジュール２１１は、制御装置１０２の処理負荷が小さいと判定する。
【０１４５】
制御装置１０２の処理負荷が低いと判定された場合、ログ分析モジュール２１１は、ステップＳ１００４に進む。
【０１４６】
制御装置１０２の処理負荷が高いと判定された場合、ログ分析モジュール２１１は、ログデータの取得範囲を変更する（ステップＳ１５０３）。その後、ログ分析モジュール２１１は、ステップＳ１００４に進む。
【０１４７】
具体的には、ログ分析モジュール２１１は、制御装置１０２が送信するログデータのデータ量が少なくなるように、ログデータの時間範囲を変更する。例えば、ログ分析モジュール２１１は、現在の時間範囲を半分に変更する。
【０１４８】
制御装置１０２の処理負荷が高い場合、単位時間当たりのログデータの送信量が少なくなるため、ログ分析処理に要する時間が長くなる。したがって、管理者１０６に分析結果を表示までの待ち時間が長くなる。そこで、本実施例では、制御装置１０２の処理負荷が高い場合、ログ分析装置１０１は、ログデータのデータ量が小さくなるように取得範囲を変更する。
【０１４９】
なお、ログ分析モジュール２１１は、ステップＳ１５０３の代わりに、制御装置１０２の処理負荷が低くなるまでステップＳ１５０１及びステップＳ１５０２の処理を繰り返し実行してもよいし、スケジュール情報２１４にログ分析処理の実行スケジュールを登録してもよい。
【０１５０】
図１６は、実施例２のログ分析装置１０１がスケジュール情報２１４にしたがって実行する処理を説明するフローチャートである。
【０１５１】
ログ分析モジュール２１１は、ステップＳ１３０３の処理の後、制御装置１０２から負荷情報を取得する（ステップＳ１６０１）。
【０１５２】
ログ分析モジュール２１１は、取得した負荷情報に基づいて、制御装置１０２の処理負荷が高いか否かを判定する（ステップＳ１６０２）。
【０１５３】
制御装置１０２の処理負荷が高いと判定された場合、ログ分析モジュール２１１は、ログデータの取得範囲を変更する（ステップＳ１６０３）。その後、ログ分析モジュール２１１は、ステップＳ１３０４に進む。
【０１５４】
ステップＳ１６０１、ステップＳ１６０２、及びステップＳ１６０３の処理は、ステップＳ１５０１、ステップＳ１５０２、及びステップＳ１５０３の処理と同一である。
【０１５５】
なお、実施例１でも同様の処理を実行してもよい。例えば、ログ分析装置１０１は、ネットワーク監視装置１０３からネットワークログデータを取得する場合に、ネットワーク監視装置１０３の負荷情報に基づいて、ログデータの取得範囲を変更してもよい。
【０１５６】
実施例２によれば、ログ分析装置１０１は、制御装置１０２からログデータを取得する場合に、制御装置１０２の処理負荷を考慮して、取得するログデータのデータ量又はログデータの取得タイミングを調整する。これによって、ログ分析処理が完了するまでの待ち時間を短縮することができる。
【０１５７】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。また、例えば、上記した実施例は本発明を分かりやすく説明するために構成を詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、各実施例の構成の一部について、他の構成に追加、削除、置換することが可能である。
【０１５８】
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、本発明は、実施例の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をコンピュータに提供し、そのコンピュータが備えるＣＰＵが記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施例の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）、光ディスク、光磁気ディスク、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。
【０１５９】
また、本実施例に記載の機能を実現するプログラムコードは、例えば、アセンブラ、Ｃ／Ｃ＋＋、ｐｅｒｌ、Ｓｈｅｌｌ、ＰＨＰ、Ｊａｖａ（登録商標）等の広範囲のプログラム又はスクリプト言語で実装できる。
【０１６０】
さらに、実施例の機能を実現するソフトウェアのプログラムコードを、ネットワークを介して配信することによって、それをコンピュータのハードディスクやメモリ等の記憶手段又はＣＤ−ＲＷ、ＣＤ−Ｒ等の記憶媒体に格納し、コンピュータが備えるＣＰＵが当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行するようにしてもよい。
【０１６１】
上述の実施例において、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。全ての構成が相互に接続されていてもよい。
【符号の説明】
【０１６２】
１０１  ログ分析装置
１０２  制御装置
１０３  ネットワーク監視装置
１０４  セキュリティ対策装置
１０５  ネットワーク
１０６  管理者
２０１、３０１、４０１、５０１  プロセッサ
２０２、３０２、４０２、５０２  メモリ
２０３、３０３、４０３、５０３  記憶装置
２０４、３０４、  入出力インタフェース
２０５、３０５、４０５、５０５  ネットワークインタフェース
２０６、３０６、４０６、５０６  バス
２０７  入力装置
２０８  出力装置
２１１  ログ分析モジュール
２１２  ログ分析定義情報
２１３  調整ポリシ情報
２１４  スケジュール情報
２１５  ログデータ管理情報
２２１  実行モジュール
３０７  バルブ
３０８  アクチュエータ
３１１  制御モジュール
４１１  ネットワーク管理モジュール
４１２  ネットワークログデータ管理情報
５１１  セキュリティ対策モジュール
５１２  セキュリティログデータ管理情報
【図１】
2018097461.tif 000003
【図２】
2018097461.tif 000004
【図３】
2018097461.tif 000005
【図４】
2018097461.tif 000006
【図５】
2018097461.tif 000007
【図６】
2018097461.tif 000008
【図７】
2018097461.tif 000009
【図８】
2018097461.tif 000010
【図９】
2018097461.tif 000011
【図１０】
2018097461.tif 000012
【図１１Ａ】
2018097461.tif 000013
【図１１Ｂ】
2018097461.tif 000014
【図１２】
2018097461.tif 000015
【図１３】
2018097461.tif 000016
【図１４】
2018097461.tif 000017
【図１５】
2018097461.tif 000018
【図１６】
2018097461.tif 000019