(57)【要約】【課題】証跡ログを転送する際の異常ログの重複転送を防止することでネットワーク上の負荷を軽減する。【解決手段】証跡ログ要求に対して未転送の証跡ログを設定した応答データを要求元に転送する応答データ転送部１１と、証跡ログ要求に対して異常ログと重複する未転送の証跡ログがある場合に、未転送の証跡ログに対する異常ログの割合が所定閾値以上であるか否かを判定する異常ログ割合判定部１２と、異常ログの割合が所定閾値以上であると判定された場合に、未転送の証跡ログから重複する異常ログを削除した差分証跡ログを作成する差分証跡ログ作成部１３と、異常ログの割合が所定閾値以上であると判定された場合に、差分証跡ログを応答データに設定すると共に、異常ログの割合が所定閾値以上でないと判定された場合に、未転送の証跡ログを応答データに設定する応答データ設定部１４とを有する。【選択図】図１
2011123752.tif 000002
【特許請求の範囲】
【請求項１】
証跡ログ要求に対して未転送の証跡ログを設定した応答データを要求元に転送する応答データ転送部と、
前記証跡ログ要求に対して異常ログと重複する未転送の証跡ログがある場合に、前記未転送の証跡ログに対する前記異常ログの割合が所定閾値以上であるか否かを判定する異常ログ割合判定部と、
前記異常ログ割合判定部によって前記異常ログの割合が前記所定閾値以上であると判定された場合に、前記未転送の証跡ログから重複する異常ログを削除した差分証跡ログを作成する差分証跡ログ作成部と、
前記差分証跡ログ作成部によって作成された前記差分証跡ログを前記応答データに設定すると共に、前記異常ログ割合判定部によって前記異常ログの割合が前記所定閾値以上でないと判定された場合に、前記未転送の証跡ログを前記応答データに設定する応答データ設定部と
を有することを特徴とするログ収集装置。
【請求項２】
前記証跡ログ要求に対して前記異常ログと重複する前記未転送の証跡ログがある場合に、前記未転送の証跡ログから重複する異常ログを抽出する異常ログ抽出部を有し、
前記応答データ設定部は、
前記異常ログ割合判定部によって前記異常ログの割合が前記所定閾値以上であると判定された場合に、前記異常ログ抽出部によって抽出された前記異常ログ及び前記差分証跡ログ作成部によって作成された前記差分証跡ログを前記応答データに設定することを特徴とする請求項１記載のログ収集装置。
【請求項３】
証跡ログ要求に対して未転送の証跡ログを設定した応答データを要求元に転送する応答データ転送手順と、
前記証跡ログ要求に対して異常ログと重複する未転送の証跡ログがある場合に、前記未転送の証跡ログに対する前記異常ログの割合が所定閾値以上であるか否かを判定する異常ログ割合判定手順と、
前記異常ログ割合判定手順によって前記異常ログの割合が前記所定閾値以上であると判定された場合に、前記未転送の証跡ログから重複する異常ログを削除した差分証跡ログを作成する差分証跡ログ作成手順と、
前記差分証跡ログ作成手順によって作成された前記差分証跡ログを前記応答データに設定すると共に、前記異常ログ割合判定手順によって前記異常ログの割合が前記所定閾値以上でないと判定された場合に、前記未転送の証跡ログを前記応答データに設定する応答データ設定手順と
をコンピュータ装置に実行させることを特徴とするログ収集プログラム。
【請求項４】
ログを収集するログ収集装置と、前記ログ収集装置で収集したログを管理するログ管理装置とを有するログ収集システムのログ収集方法であって、
前記ログ収集装置は、
証跡ログ要求に対して未転送の証跡ログを設定した応答データをログ管理装置に転送する応答データ転送ステップと、
前記証跡ログ要求に対して前記異常ログと重複する前記未転送の証跡ログがある場合に、前記未転送の証跡ログから重複する異常ログを抽出する異常ログ抽出ステップと、
前記未転送の証跡ログに対する前記重複する異常ログの割合が所定閾値以上であるか否かを判定する異常ログ割合判定ステップと、
前記異常ログ割合判定ステップによって前記異常ログの割合が前記所定閾値以上であると判定された場合に、前記未転送の証跡ログから重複する異常ログを削除した差分証跡ログを作成する差分証跡ログ作成ステップと、
前記異常ログ割合判定ステップによって前記異常ログの割合が前記所定閾値以上であると判定された場合に、前記異常ログ抽出ステップによって抽出された前記異常ログ及び前記差分証跡ログ作成ステップによって作成された前記差分証跡ログを前記応答データに設定すると共に、前記異常ログ割合判定ステップによって前記異常ログの割合が前記所定閾値以上でないと判定された場合に、前記未転送の証跡ログを前記応答データに設定する応答データ設定ステップと
を含むことを特徴とするログ収集方法。
【請求項５】
前記ログ管理装置は、
前記応答データ転送ステップによって転送された前記応答データを検出する応答データ検出ステップと、
前記応答データ検出ステップにて前記異常ログ及び前記差分証跡ログを設定した前記応答データを検出すると、前記異常ログに基づき、前記差分証跡ログから前記未転送の証跡ログを復元する復元ステップと
を含むことを特徴とするログ収集方法。
【請求項６】
ログを収集するログ収集装置と、前記ログ収集装置で収集したログを管理するログ管理装置とを有し、
前記ログ収集装置は、
証跡ログ要求に対して未転送の証跡ログを設定した応答データを前記ログ管理装置に転送する応答データ転送部と、
前記証跡ログ要求に対して前記異常ログと重複する前記未転送の証跡ログがある場合に、前記未転送の証跡ログから重複する異常ログを抽出する異常ログ抽出部と、
前記未転送の証跡ログに対する前記重複する異常ログの割合が所定閾値以上であるか否かを判定する異常ログ割合判定部と、
前記異常ログ割合判定部によって前記異常ログの割合が前記所定閾値以上であると判定された場合に、前記未転送の証跡ログから重複する異常ログを削除した差分証跡ログを作成する差分証跡ログ作成部と、
前記異常ログ割合判定部によって前記異常ログの割合が前記所定閾値以上であると判定された場合に、前記異常ログ抽出部によって抽出された前記異常ログ及び前記差分証跡ログ作成部によって作成された前記差分証跡ログを前記応答データに設定すると共に、前記異常ログ割合判定部によって前記異常ログの割合が前記所定閾値以上でないと判定された場合に、前記未転送の証跡ログを前記応答データに設定する応答データ設定部と
を有すると共に、
前記ログ管理装置は、
前記応答データ転送部によって転送された前記応答データを検出する応答データ検出部と、
前記応答データ検出部にて前記異常ログ及び前記差分証跡ログを設定した前記応答データを検出すると、前記異常ログに基づき、前記差分証跡ログから前記未転送の証跡ログを復元する復元部と
を有することを特徴とするログ収集システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログ収集装置、ログ収集プログラム、ログ収集方法及びログ収集システムに関する。
【背景技術】
【０００２】
従来のログ収集システムは、複数の分散システム上のログを収集し、各分散システム上のログを集中管理するシステムとして広く知られている。更に、ログ収集システムは、分散システム上に配置されたログ収集装置と、これらログ収集装置で収集された分散システム上のログを集中管理するログ管理装置とを有する。更に、ログ管理システムでは、分散システム上の異常ログを監視する異常ログ監視処理と、分散システム上の全ログを収集する証跡ログ収集処理との処理がある。
【０００３】
異常ログ監視処理時のログ収集装置は、リアルタイム性及びネットワーク負荷軽減を優先にして短い間隔でログ内容をチェックし、異常と判断されたログレコード、すなわち異常ログのみをログ管理装置に転送する。また、証跡ログ収集処理時のログ収集装置は、夜間等のネットワーク負荷の低い時間帯を利用して分散システム上の未転送の全ログレコード、すなわち証跡ログをログ管理装置に転送する。これら異常ログ監視処理及び証跡ログ収集処理は、その利用特性が異なることから、夫々独立して実行される。
【０００４】
ところで、近年、このようなログ収集システムでは、システム規模が大きくなるに連れて、異常ログ監視処理時や証跡ログ収集処理時に、各ログ収集装置からログ管理装置へデータを大量に転送する必要があるため、ネットワーク負荷が深刻な問題になっている。そこで、従来のログ管理システムでは、各ログ収集装置からログ管理装置へ転送するデータ量を必要最小限に抑制する方式を採用している。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平２−３０２８４４号公報
【特許文献２】特開２００３−２１６４５７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来のログ収集システムでは、各ログ収集装置からログ管理装置へ転送する異常ログ及び証跡ログのデータ量を必要最小限に抑制したとしても、異常ログ監視処理及び証跡ログ収集処理間で重複するデータが転送されてしまう。例えば、ログ収集装置は、異常ログ監視処理時に異常ログを検出し、異常ログをログ管理装置に転送した場合でも、証跡ログ収集処理時に、その異常ログを含む証跡ログをログ管理装置に転送するので、異常ログが重複して転送されてしまう。従って、データ転送元のログ収集装置や分散システムの数が増えた場合には、重複データの転送量も増えて、ネットワーク上の負荷が大きくなる。
【０００７】
開示の技術は、上記点に鑑みてなされたものであり、その目的とするところは、ネットワーク上の負荷を軽減できるログ収集装置、ログ収集プログラム、ログ収集方法及びログ収集システムを提供することにある。
【課題を解決するための手段】
【０００８】
本願の開示するログ収集装置は、一つの態様において、証跡ログ要求に対して未転送の証跡ログを設定した応答データを要求元に転送する応答データ転送部と、前記証跡ログ要求に対して異常ログと重複する未転送の証跡ログがある場合に、前記未転送の証跡ログに対する前記異常ログの割合が所定閾値以上であるか否かを判定する異常ログ割合判定部と、前記異常ログ割合判定部によって前記異常ログの割合が前記所定閾値以上であると判定された場合に、前記未転送の証跡ログから重複する異常ログを削除した差分証跡ログを作成する差分証跡ログ作成部と、前記差分証跡ログ作成部によって作成された前記差分証跡ログを前記応答データに設定すると共に、前記異常ログ割合判定部によって前記異常ログの割合が前記所定閾値以上でないと判定された場合に、前記未転送の証跡ログを前記応答データに設定する応答データ設定部とを有する。
【発明の効果】
【０００９】
本願の開示するログ収集装置の一つの態様では、ネットワーク上の負荷を軽減できると共に、差分証跡ログに要するログ収集側及び要求元側の処理負担を軽減できるという効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施例１のログ収集装置の構成を示すブロック図である。
【図２】図２は、実施例２のログ収集システムの構成を示すブロック図である。
【図３】図３は、ログ管理装置からログ収集装置への各種要求のデータ構成を示す説明図である。
【図４】図４は、異常ログ抽出部の動作の一例を示す説明図である。
【図５】図５は、オフセット設定部の動作の一例を示す説明図である。
【図６】図６は、差分証跡ログ作成時のオフセット設定部の動作の一例を示す説明図である。
【図７】図７は、ログ収集装置からログ管理装置への応答データのデータ構成を示す説明図である。
【図８】図８は、ログ収集装置のログ転送処理に関わる収集制御部の処理動作を示すフローチャートである。
【図９】図９は、ログ管理装置のログ受信処理に関わる管理制御部の処理動作を示すフローチャートである。
【図１０】図１０は、ログ収集プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１１】
以下に、本願の開示するログ収集装置、ログ収集プログラム、ログ収集方法及びログ収集システムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。
【実施例１】
【００１２】
図１は、実施例１のログ収集装置の構成を示すブロック図である。図１に示すログ収集装置２は、応答データ転送部１１、異常ログ割合判定部１２、差分証跡ログ作成部１３、応答データ設定部１４を有する。応答データ転送部１１は、証跡ログ要求に対して未転送の証跡ログを設定した応答データを要求元に転送する。異常ログ割合判定部１２は、証跡ログ要求に対して異常ログと重複する未転送の証跡ログがある場合に、未転送の証跡ログに対する異常ログの割合が所定閾値以上であるか否かを判定する。
【００１３】
差分証跡ログ作成部１３は、異常ログ割合判定部１２によって異常ログの割合が所定閾値以上であると判定された場合に、未転送の証跡ログから重複する異常ログを削除した差分証跡ログを作成する。応答データ設定部１４は、差分証跡ログ作成部１３によって作成された差分証跡ログを応答データに設定する。また、応答データ設定部１４は、異常ログ割合判定部１２によって異常ログの割合が所定閾値以上でないと判定された場合に、未転送の証跡ログを応答データに設定する。
【００１４】
従って、実施例１では、未転送の証跡ログに対する異常ログの割合が所定閾値以上である場合に、未転送の証跡ログから重複する異常ログを削除した差分証跡ログを要求元に転送する。その結果、実施例１では、証跡ログ内の異常ログの重複転送を回避することで要求元へのデータ転送量を削減して、ネットワーク上の負荷を軽減できる。また、差分証跡ログを応答データに設定して転送元に転送する場合には、ログ収集装置２側で差分証跡ログを作成する処理負担は勿論のこと、転送元側で差分証跡ログを復元する処理負担は大きい。そこで、未転送の証跡ログに対する異常ログの割合が微量であるにもかかわらず、異常ログの重複転送を回避すべく、固定的に差分証跡ログが作成されてしまうと、ログ収集装置２及び転送元側の処理負担が大きくなって、全体的なシステム効率が低下してしまう。
【００１５】
そこで、実施例１では、未転送の証跡ログに対する異常ログの割合が所定閾値以上でない場合には、証跡ログ内で重複転送する異常ログのデータ量も少ないものと判断し、そのまま、未転送の証跡ログを要求元に転送する。つまり、未転送の証跡ログ内に重複する異常ログがある場合でも、異常ログの割合に応じて処理方法を動的に変える。その結果、実施例１では、差分証跡ログを作成するログ収集装置２側の処理負担及び、差分証跡ログを復元する要求元側の処理負担を軽減できるとともに、システム効率の向上を図ることができる。
【実施例２】
【００１６】
次に、実施例２のログ収集システムについて詳細に説明する。図２は、実施例２のログ収集システムの構成を示すブロック図である。図２に示すログ収集システム１は、ログ収集装置２Ａ、ログ管理装置３及び監視コンソール４を有する。ログ収集装置２Ａは、ネットワーク５経由でログ管理装置３と接続され、分散システム上のログを収集管理する。更に、ログ収集装置２Ａは、ログファイル２１及び収集制御部２２を有する。ログファイル２１は、分散システム上で順次収集したログレコードを保存する。収集制御部２２は、ログ収集装置２Ａ内の後述する各種処理動作を制御する。
【００１７】
また、ログ収集装置２Ａ内の収集制御部２２は、通信制御部４１、ログ収集部４２、異常ログ抽出部４３、証跡ログ抽出部４４、オフセット設定部４５、作業メモリ４６及びハッシュデータ作成部４７を有する。更に、収集制御部２２は、異常ログ割合判定部４８、差分証跡ログ作成部４９、応答データ設定部７０及び応答データ転送部７１を有する。
【００１８】
通信制御部４１は、ネットワーク５との通信を制御する。また、通信制御部４１は、ネットワーク５経由でログ管理装置３から各種要求を検出する。図３は、ログ管理装置３からログ収集装置２Ａへの各種要求のデータ構成を示す説明図である。図３に示す各種要求は、固定データ１０１及びポリシーデータ１０２を有する。固定データ１０１は、各種要求のデータ長を示す全データ長１０１Ａと、各種要求の種別を示す要求種別１０１Ｂとを有する。尚、要求種別１０１Ｂは、例えば、ポリシー設定要求、異常ログ監視要求又は証跡ログ収集要求を識別する値に相当する。また、ポリシーデータ１０２は、異常ログ判定閾値１０２Ａ、ログファイル名１０２Ｂ、監視フラグ１０２Ｃ及び収集フラグ１０２Ｄを有する。異常ログ判定閾値１０２Ａは、後述する異常ログ割合判定部の判定動作に使用する閾値に相当する。ログファイル名１０２Ｂは、要求対象のログファイル２１を識別する名称に相当する。監視フラグ１０２Ｃは、要求対象のログファイル２１の監視を行う場合にＯＮ設定するフラグに相当する。収集フラグ１０２Ｄは、要求対象のログファイル２１の収集を行う場合にＯＮ設定するフラグに相当する。
【００１９】
ログ収集部４２は、分散システム上のログを順次収集すると共に、収集されたログを、監視ポリシーに基づき正常ログ又は異常ログに識別し、その識別結果をログレコードとしてログファイル２１に順次保存する。異常ログ抽出部４３は、例えば、ログ管理装置３からの異常ログ監視要求を検出すると、ログファイル２１内のログレコードから未転送の異常ログを抽出する。尚、未転送の異常ログは、ログ管理装置３に対して未転送の異常ログに相当する。また、未転送のログは、例えば、ログファイル２１内のログ毎に転送済みフラグを設定し、そのフラグ設定の有無で識別するようにしても良い。また、例えば、ログファイル２１内で転送済みのログを削除する設定にした場合には、ログファイル２１内にログがあることで、未転送のログと識別するようにしても良い。図４は、異常ログ抽出部４３の動作の一例を示す説明図である。図４において異常ログ抽出部４３は、ログ管理装置３からの異常ログ監視要求を検出すると、ログファイル２１内の全ログレコードから、例えば、未転送の異常ログ１〜４の異常ログレコードを抽出する。
【００２０】
証跡ログ抽出部４４は、ログ管理装置３からの証跡ログ収集要求を検出すると、ログファイル２１内のログレコードから未転送の証跡ログを抽出する。尚、未転送の証跡ログは、ログ管理装置３に対して未転送の証跡ログに相当する。更に、証跡ログとは、正常ログ及び／又は異常ログを含む監査証跡として保管するログレコードである。
【００２１】
オフセット設定部４５は、ログレコード内の各ログ（正常ログ及び異常ログ）の配置位置を示すオフセット値を設定する。尚、配置位置は、ログファイル２１内の先頭アドレスからログを順次格納したアドレス位置の相対値で表す。従って、オフセット設定部４５は、ログを格納するログファイル２１内の開始アドレス及び終了アドレス間の容量でログ単位のデータ量（バイト数）を認識可能にする。図５は、オフセット設定部４５の動作の一例を示す説明図である。図５においてオフセット設定部４５は、ログファイル２１内のログレコード（正常ログ又は異常ログ）毎にオフセット値１１１及びログ状態フラグ１１２を作業メモリ４６上に設定する。尚、オフセット設定部４５は、ログレコード毎にアドレス位置を取得し、このアドレス位置をオフセット値１１１として作業メモリ４６上に設定する。更に、オフセット設定部４５は、ログレコード毎に、正常ログ又は異常ログ、すなわちログ状態をログ状態フラグ１１２として作業メモリ４６上に設定する。
【００２２】
図５では、例えば、正常ログ１は、オフセット値１１１が「０ｘ００００」、ログ状態フラグ１１２が正常、正常ログ２は、オフセット値１１１が「０ｘ０１００」、ログ状態フラグ１１２が正常を示す。更に、図５では、異常ログ１は、オフセット値１１１が「０ｘ０２００」、ログ状態フラグ１１２が異常を示す。そして、収集制御部２２は、このオフセット値１１１に基づき、正常ログ１、正常ログ２及び異常ログ１…の順序を認識できる。更に、収集制御部２２は、オフセット値１１１をデータ量としても換算できるので、正常ログ１、正常ログ２及び異常ログ１…の各ログのデータ量をも認識できる。
【００２３】
ハッシュデータ作成部４７は、証跡ログの完全性を確認する目的として、ハッシュデータを作成する。尚、ハッシュデータは、ログ収集装置２Ａからログ管理装置３に証跡ログを転送した際に、ログ管理装置３側で取得した証跡ログが転送前のログ収集装置２Ａで取得した証跡ログと完全同一であるか否かを確認するデータである。異常ログ割合判定部４８は、証跡ログ収集要求に対して異常ログと重複する未転送の証跡ログがログファイル２１内にある場合に、未転送の証跡ログに対する異常ログの割合が異常ログ判定閾値以上であるか否かを判定する。
【００２４】
差分証跡ログ作成部４９は、異常ログ割合判定部４８によって異常ログの割合が異常ログ判定閾値以上であると判定された場合に、未転送の証跡ログから重複する異常ログを削除した差分証跡ログを作成する。例えば、差分証跡ログ作成部４９は、未転送の証跡ログから正常ログのみを抽出することで、重複する異常ログを削除した差分証跡ログを作成する。尚、オフセット設定部４５は、差分証跡ログ作成部４９によって作成された差分証跡ログから未転送の証跡ログを復元するのに使用するオフセット値を作業メモリ４６上に再設定する。図６は、差分証跡ログ作成時のオフセット設定部４５の動作の一例を示す説明図である。図６においてログファイル２１内の全ログレコードは、例えば、正常ログ１、正常ログ２、異常ログ１、正常ログ３、異常ログ２、異常ログ３、正常ログ４、正常ログ５、異常ログ４及び正常ログ６の順とする。
【００２５】
異常ログ抽出部４３は、全ログレコードから異常ログ、例えば、異常ログ１〜４を抽出する。異常ログ割合判定部４８は、作業メモリ４６に設定中のオフセット値１１１で、未転送の全ログレコードのデータ量及び、ログレコード内の全異常ログ（異常ログ１〜４）のデータ量を算出する。更に、異常ログ割合判定部４８は、未転送の全ログレコードのデータ量に対する未転送の異常ログのデータ量の割合が異常ログ判定閾値以上であるか否かを判定する。
【００２６】
差分証跡ログ作成部４９は、異常ログ割合判定部４８の判定結果が異常ログ判定閾値以上の場合に、全ログレコードから正常ログのみを抽出して、正常ログ１〜６の差分証跡ログを作成する。そして、オフセット設定部４５は、正常ログ１〜６の正常ログ毎にオフセット値を作業メモリ４６上に再設定する。例えば、オフセット設定部４５は、正常ログ１はオフセット値「０ｘ００００」、正常ログ２はオフセット値「０ｘ０１００」、正常ログ３はオフセット値「０ｘ０２００」、正常ログ４はオフセット値「０ｘ０３００」に再設定する。更に、オフセット設定部４５は、正常ログ５はオフセット値「０ｘ０４００」、正常ログ６はオフセット値「０ｘ０５００」に再設定する。
【００２７】
更に、オフセット設定部４５は、全ログレコード内の各異常ログの位置を示すオフセット値を、当該異常ログ発生直後の正常ログのオフセット値で表して作業メモリ４６上に再設定する。例えば、図６に示すように、オフセット設定部４５は、異常ログ１が正常ログ３直前の１件の異常ログであるので、正常ログ３のオフセット値「０ｘ０２００」を異常ログ１のオフセット値として作業メモリ４６上に再設定する。同様に、オフセット設定部４５は、異常ログ２及び３が正常ログ４直前の２件の異常ログであるので、正常ログ４のオフセット値「０ｘ０３００」を異常ログ２及び３のオフセット値として作業メモリ４６上に再設定する。更に、オフセット設定部４５は、例えば、異常ログ４が正常ログ６直前の１件の異常ログであるので、正常ログ６のオフセット値「０ｘ０５００」を異常ログ４のオフセット値として作業メモリ４６上に再設定する。
【００２８】
応答データ設定部７０は、ログ管理装置３からのログ要求に対して、ログ要求毎の応答データを設定する。図７は、ログ収集装置２Ａからログ管理装置３への応答データのデータ構成を示す説明図である。図７に示す応答データは、固定データ１０３、異常ログデータ１０４及び証跡ログデータ１０５を有する。固定データ１０３は、全データ長１０３Ａ及び対象ログファイル名１０３Ｂを有する。全データ長１０３Ａは、応答データのデータ長に相当し、対象ログファイル名１０３Ｂは、対象ログを識別するファイル名に相当する。更に、異常ログデータ１０４は、データ種別１０４Ａ、異常ログデータ長１０４Ｂ及び異常ログレコード１０４Ｃを有する。データ種別１０４Ａは、異常ログを識別する値に相当し、異常ログデータ長１０４Ｂは、この応答データに含む異常ログレコード１０４Ｃのデータ長に相当する。異常ログレコード１０４Ｃは、異常ログの内容に相当する。
【００２９】
証跡ログデータ１０５は、データ種別１０５Ａ、証跡ログデータ長１０５Ｂ、ハッシュデータ１０５Ｃ、オフセット情報１０５Ｄ及び証跡ログレコード１０５Ｅを有する。データ種別１０５Ａは、全証跡ログ又は差分証跡ログを識別する値に相当し、証跡ログデータ長１０５Ｂは、証跡ログレコード１０５Ｅのデータ長に相当し、ハッシュデータ１０５Ｃは、ハッシュデータ作成部４７で作成したデータに相当する。更に、オフセット情報１０５Ｄは、差分証跡ログの場合に設定し、差分証跡ログを復元するのに使用するオフセット値に相当する。更に、証跡ログレコード１０５Ｅは、証跡ログの内容に相当する。
【００３０】
つまり、応答データには、異常ログの応答データ、差分証跡ログの応答データ、全証跡ログ（異常ログなし）の応答データ及び、全証跡ログ（異常ログあり）の応答データの４種類の応答データがある。まず、異常ログの応答データは、固定データ１０３及び異常ログデータ１０４を有する。また、差分証跡ログの応答データは、固定データ１０３、異常ログデータ１０４及び証跡ログデータ１０５を有する。尚、証跡ログデータ１０５内のデータ種別１０５Ａには、差分証跡ログを示す値が格納され、オフセット情報１０５Ｄには、復元に使用するオフセット値が格納される。また、全証跡ログ（異常ログなし）の応答データは、固定データ１０３及び証跡ログデータ１０５を有する。尚、証跡ログデータ１０５内のデータ種別１０５Ａには、全証跡ログを示す値が格納され、オフセット情報１０５Ｄは、転送先側で復元する必要がないので“なし”である。また、全証跡ログ（異常ログあり）の応答データは、固定データ１０３、異常ログデータ１０４及び証跡ログデータ１０５を有する。尚、証跡ログデータ１０５内のデータ種別１０５Ａには、全証跡ログを示す値が格納され、オフセット情報１０５Ｄも“なし”である。
【００３１】
応答データ設定部７０は、異常ログ監視要求時に、ログファイル２１に格納されたログレコード内に未転送の異常ログがある場合に、異常ログの応答データを設定する。また、応答データ設定部７０は、証跡ログ収集要求時に未転送の証跡ログに異常ログがあり、異常ログ割合判定部４８によって未転送の証跡ログに対して異常ログの割合が異常ログ判定閾値以上の場合は、差分証跡ログの応答データを設定する。尚、応答データ設定部７０は、差分証跡ログの応答データを設定する場合に、応答データの証跡ログデータ１０５内のオフセット情報１０５Ｄ内に、差分証跡ログ作成後に再設定した異常ログ及び正常ログのオフセット値を設定する。
【００３２】
また、応答データ設定部７０は、証跡ログ収集要求時に未転送の証跡ログに異常ログがない場合に、そのままの未転送の証跡ログ、すなわち全証跡ログ（異常ログなし）の応答データを設定する。更に、応答データ設定部７０は、証跡ログ収集要求時に未転送の証跡ログに異常ログがある場合でも、異常ログ割合判定部４８によって未転送の証跡ログに対して異常ログの割合が異常ログ判定閾値未満の場合は、全証跡ログ（異常ログあり）の応答データを設定する。
【００３３】
応答データ転送部７１は、ログ管理装置３からのログ要求に応じて、応答データ設定部７０によって設定された異常ログの応答データ、差分証跡ログの応答データ、全証跡ログ（異常ログなし）の応答データ又は全証跡ログ（異常ログあり）の応答データを通信制御部４１経由でログ管理装置３に転送する。
【００３４】
ログ管理装置３は、ネットワーク５経由で各ログ収集装置２Ａと接続され、各分散システム上のログを収集管理する。更に、ログ管理装置３は、監視ポリシー管理部３１、異常ログデータベース（以下、単にＤＢと称する）３２、証跡ログＤＢ３３及び管理制御部３４を有する。監視ポリシー管理部３１は、異常ログ監視処理等の設定内容を示す監視ポリシーを管理する。異常ログＤＢ３２は、異常ログ監視要求に応じた各分散システム上の異常ログを管理する。証跡ログＤＢ３３は、証跡ログ収集要求に応じた各分散システム上の証跡ログを管理する。管理制御部３４は、ログ管理装置３内の後述する各種処理動作を実行する。
【００３５】
また、ログ管理装置３内の管理制御部３４は、通信制御部５１、コンソール通信制御部５２、監視ポリシー制御部５３、異常ログ監視制御部５４、証跡ログ収集制御部５５及び主制御部５６を有する。通信制御部５１は、ネットワーク５との通信接続を制御し、ネットワーク５経由で各ログ収集装置２Ａと接続する。コンソール通信制御部５２は、監視コンソール４との通信接続を制御する。監視ポリシー制御部５３は、監視ポリシー管理部３１を制御する。異常ログ監視制御部５４は、異常ログＤＢ３２を制御し、異常ログの応答データを検出すると、異常ログレコード１０４Ｃを異常ログＤＢ３２に保存すると共に、異常ログのアラームを監視コンソール４に通知する。
【００３６】
証跡ログ収集制御部５５は、証跡ログＤＢ３３を制御し、全証跡ログの応答データを検出すると、この応答データ内のハッシュデータに基づき、全証跡の証跡ログレコード１０５Ｅの完全性をチェックする。更に、証跡ログ収集制御部５５は、証跡ログレコード１０５Ｅの完全性ＯＫの場合に、この証跡ログレコード１０５Ｅを証跡ログＤＢ３３に保存する。また、証跡ログ収集制御部５５は、差分証跡ログの証跡ログレコード１０５Ｅを差分前の証跡ログレコードに復元する復元部５５Ａを有する。復元部５５Ａは、差分証跡ログの応答データを検出すると、この応答データ内のオフセット情報１０５Ｄ及び異常ログレコード１０４Ｃに基づき、差分証跡の証跡ログレコード１０５Ｅ内に異常ログレコード１０４Ｃを再配置する。
【００３７】
例えば、復元部５５Ａは、図６に示すようにオフセット情報１０５Ｄとして異常ログ１のオフセット値「０ｘ０２００」に基づき、差分証跡ログである「０ｘ０２００」の正常ログ３直前に異常ログ１を再配置する。更に、復元部５５Ａは、異常ログ２及び３のオフセット値「０ｘ０３００」に基づき、「０ｘ０３００」の正常ログ４直前に異常ログ２、異常ログ３の順に再配置する。更に、復元部５５Ａは、異常ログ４のオフセット値「０ｘ０５００」に基づき、「０ｘ０５００」の正常ログ６直前に異常ログ４を再配置する。その結果、復元部５５Ａは、差分証跡ログ内の正常ログ間に異常ログを再配置することで、差分前の証跡ログレコードを復元できる。更に、証跡ログ収集制御部５５は、応答データ内のハッシュデータ１０５Ｃに基づき、復元された証跡ログレコードの完全性をチェックし、そのチェック結果が完全性ＯＫの場合に、当該証跡ログレコードを証跡ログＤＢ３３に保存する。
【００３８】
主制御部５６は、管理制御部３４全体を制御し、第１所定ポーリング時間毎に異常ログ監視要求をネットワーク５経由で各ログ収集装置２Ａに通知する。また、主制御部５６は、第２所定ポーリング時間毎に証跡ログ収集要求をネットワーク５経由で各ログ収集装置２Ａに通知する。また、主制御部５６は、所定操作、例えば、監視コンソール４からの設定操作に応じてポリシー設定要求をネットワーク５経由で各ログ収集装置２Ａに通知する。
【００３９】
監視コンソール４は、ログ管理装置３と接続され、監視ポリシー管理部３１内の監視ポリシーを設定すると共に、各分散システム上の異常ログ及び証跡ログ等をモニタ上に画面表示する。
【００４０】
次に、実施例１のログ収集システム１の動作について説明する。図８は、ログ収集装置２Ａ内のログ転送処理に関わる収集制御部２２の処理動作を示すフローチャートである。図８に示すログ転送処理は、ログ管理装置３からのログ要求、例えば、異常ログ監視要求又は証跡ログ収集要求に応じて、ログ収集装置２Ａ内の未転送のログをログ管理装置３に転送する処理である。
【００４１】
図８において収集制御部２２内の通信制御部４１は、ログ管理装置３からログ要求を受信したか否かを判定する（ステップＳ１１）。収集制御部２２は、ログ要求を受信した場合に（ステップＳ１１肯定）、前回のログ要求後にログファイル２１内に追加された未転送のログレコードを抽出する（ステップＳ１２）。尚、未転送のログレコードとは、未転送の証跡ログとも言い換えることができる。収集制御部２２内の異常ログ抽出部４３は、図４に示すように、未転送のログレコード内に異常ログがあるか否かを判定する（ステップＳ１３）。
【００４２】
収集制御部２２内のオフセット設定部４５は、異常ログがあると判定された場合に（ステップＳ１３肯定）、その異常ログを抽出し、未転送のログレコード内の異常ログ及び正常ログのオフセット情報を作業メモリ４６上に設定する（ステップＳ１４）。尚、オフセット設定部４５は、図５に示すように、ログレコード内のログ毎に、オフセット値１１１及びログ状態フラグ１１２のオフセット情報を作業メモリ４６上に設定する。
【００４３】
収集制御部２２内の応答データ設定部７０は、作業メモリ４６内にオフセット情報が設定されると、異常ログの応答データとして、固定データ１０３及び異常ログデータ１０４を応答データに設定する（ステップＳ１５）。尚、異常ログデータ１０４には、ステップＳ１３で抽出された異常ログ（異常ログレコード１０４Ｃ）が設定される。
【００４４】
収集制御部２２は、ステップＳ１１で受信したログ要求の要求種別１０１Ｂに基づき、このログ要求が異常ログ監視要求であるか否かを判定する（ステップＳ１６）。収集制御部２２内のオフセット設定部４５は、ログ要求が異常ログ監視要求の場合に（ステップＳ１６肯定）、作業メモリ４６に設定済みのオフセット情報を消去する（ステップＳ１７）。更に、収集制御部２２内の応答データ転送部７１は、応答データ設定部７０によって設定された応答データをログ管理装置３に転送し（ステップＳ１８）、この処理動作を終了する。また、収集制御部２２は、未転送のログレコード内に異常ログがない場合に（ステップＳ１３否定）、ログ要求が異常ログ監視要求であるか否かを監視すべく、ステップＳ１６に移行する。
【００４５】
また、収集制御部２２は、ログ要求が異常ログ監視要求でない場合に（ステップＳ１６否定）、証跡ログ収集要求と判断し、前回の証跡ログ収集要求後にログファイル２１内に追加された未転送のログレコードを抽出する（ステップＳ１９）。収集制御部２２内のハッシュデータ作成部４７は、抽出された未転送のログレコードのハッシュデータを作成する（ステップＳ２０）。応答データ設定部７０は、未転送のログレコード内に異常ログがあるか否かを判定する（ステップＳ２１）。
【００４６】
異常ログ割合判定部４８は、未転送のログレコード内に異常ログがある場合に（ステップＳ２１肯定）、作業メモリ４６上のオフセット情報に基づき、未転送のログレコードのデータ量及び異常ログのデータ量を算出する（ステップＳ２２）。尚、異常ログ割合判定部４８は、ステップＳ１４で作成したオフセット情報を利用することで、未転送のログレコード及び異常ログのデータ量を簡単に算出することができる。更に、異常ログ割合判定部４８は、未転送のログレコードのデータ量に対する、当該ログレコード内の全異常ログのデータ量の割合を算出する（ステップＳ２２）。そして、異常ログ割合判定部４８は、全異常ログの割合が異常ログ判定閾値以上であるか否かを判定する（ステップＳ２３）。
【００４７】
収集制御部２２内の差分証跡ログ作成部４９は、全異常ログの割合が異常ログ判定閾値以上と判定された場合に（ステップＳ２３肯定）、図６に示すように、全ログレコードから正常ログのみを抽出して、差分証跡ログを作成する（ステップＳ２４）。更に、オフセット設定部４５は、差分証跡ログに基づき、図６に示すように、異常ログ及び正常ログのオフセット値を再設定する（ステップＳ２５）。
【００４８】
そして、応答データ設定部７０は、差分証跡ログの応答データとして、ステップＳ１５で設定した応答データに証跡ログデータ１０５を追加設定し（ステップＳ２６）、作業メモリ４６に設定済みのオフセット情報を消去すべく、ステップＳ１７に移行する。尚、証跡ログデータ１０５には、ステップＳ２０で作成されたハッシュデータ１０５Ｃ、ステップＳ２４で作成された差分証跡ログ（証跡ログレコード１０５Ｅ）及びステップＳ２５で再設定されたオフセット情報１０５Ｄが格納される。
【００４９】
また、応答データ設定部７０は、未転送のログレコード内に異常ログがない場合に（ステップＳ２１否定）、未転送のログレコードをそのまま転送すべく、全証跡ログ（異常ログなし）の応答データを設定する（ステップＳ２７）。尚、全証跡ログ（異常ログなし）の応答データは、固定データ１０３及び証跡ログデータ１０５を有する。証跡ログデータ１０５には、証跡ログレコード１０５Ｅの他に、ステップＳ２０で作成されたハッシュデータ１０５Ｃが格納される。この場合は、証跡ログデータ１０５内のオフセット情報１０５Ｄは“なし”である。そして、応答データ設定部７０は、設定済みのオフセット情報を消去すべく、ステップＳ１７に移行する。また、通信制御部４１は、ログ要求を受信しなかった場合に（ステップＳ１１否定）、この処理動作を終了する。
【００５０】
また、応答データ設定部７０は、全異常ログの割合が異常ログ判定閾値以上でないと判定された場合に（ステップＳ２３否定）、未転送のログレコードをそのまま転送すべく、全証跡ログ（異常ログあり）の応答データを設定する（ステップＳ２８）。尚、全証跡ログ（異常ログあり）の応答データは、固定データ１０３、異常ログデータ１０４及び証跡ログデータ１０５を有する。証跡ログデータ１０５には、証跡ログレコード１０５Ｅの他に、ステップＳ２０で作成されたハッシュデータ１０５Ｃが格納される。この場合は、証跡ログデータ１０５内のオフセット情報１０５Ｄは“なし”である。そして、応答データ設定部７０は、設定済みのオフセット情報を消去すべく、ステップＳ１７に移行する。
【００５１】
図８に示すログ転送処理では、証跡ログ収集要求時に未転送のログレコード内に異常ログがある場合に、未転送のログレコードに対する異常ログの割合が異常ログ判定閾値以上であるか否かを判定する。そして、異常ログの割合が異常ログ判定閾値以上の場合には、異常ログの割合が大きいと判断し、ログ管理装置３に対して差分証跡ログの応答データを転送する。その結果、ログ転送処理では、異常ログの割合が大きい場合に差分証跡ログを転送するので、異常ログと重複する証跡ログレコードのデータ転送量を削減することで、ネットワーク上の負荷を軽減できる。
【００５２】
更に、ログ転送処理では、異常ログの割合が異常ログ判定閾値未満の場合には、異常ログの割合が小さいと判断し、ログ管理装置３に対して全証跡ログの応答データを転送する。つまり、未転送のログレコード内に重複する異常ログがある場合でも、異常ログの割合に応じて差分証跡ログの応答データ又は全証跡ログ（異常ログあり）の応答データ等のように処理方法を動的に変える。その結果、ログ転送処理では、差分証跡ログを作成するログ収集装置２Ａ側の処理負担及び、差分証跡ログを復元するログ管理装置３側の処理負担を軽減できるとともに、システム効率の向上を図ることができる。
【００５３】
更に、ログ転送処理では、差分証跡ログの応答データを設定する際、証跡ログデータ１０５内にハッシュデータ１０５Ｃ及びオフセット情報１０５Ｄを設定する。その結果、応答データを受信するログ管理装置３側では、オフセット情報１０５Ｄを使用して差分証跡ログを差分前の証跡ログレコードに復元すると共に、ハッシュデータ１０５Ｃを使用して復元後の証跡ログレコードの完全性を確認できる。
【００５４】
次に、各ログ収集装置２Ａからログ要求に対する応答データを受信するログ管理装置３側の動作について説明する。図９は、ログ管理装置３のログ受信処理に関わる管理制御部３４の処理動作を示すフローチャートである。
【００５５】
図９において管理制御部３４内の通信制御部５１は、ネットワーク５経由でログ要求に対する応答データを受信したか否かを判定する（ステップＳ３１）。管理制御部３４内の異常ログ監視制御部５４は、応答データを受信した場合に（ステップＳ３１肯定）、応答データ内のデータ種別１０４Ａに基づき、異常ログデータ１０４があるか否かを判定する（ステップＳ３２）。異常ログ監視制御部５４は、異常ログデータ１０４がある場合に（ステップＳ３２肯定）、応答データ内の異常ログレコード１０４Ｃを異常ログＤＢ３２に保存する（ステップＳ３３）。
【００５６】
管理制御部３４内のコンソール通信制御部５２は、異常ログレコード１０４Ｃが異常ログＤＢ３２に保存されると、異常ログの発生を監視コンソール４にアラーム送信する（ステップＳ３４）。尚、監視コンソール４のユーザは、図示せぬモニタ上のアラームで異常ログの発生を認識できる。
【００５７】
更に、管理制御部３４内の証跡ログ収集制御部５５は、監視コンソール４に対してアラームが送信されると、応答データ内のデータ種別１０５Ａに基づき、応答データが差分証跡ログの応答データであるか否かを判定する（ステップＳ３５）。復元部５５Ａは、差分証跡ログの応答データである場合に（ステップＳ３５肯定）、応答データからオフセット情報１０５Ｄ、差分証跡ログ（証跡ログレコード１０５Ｅ）及び異常ログ（異常ログレコード１０４Ｃ）を抽出する（ステップＳ３６）。更に、復元部５５Ａは、オフセット情報１０５Ｄに基づき、差分証跡ログ間に該当する異常ログを再配置する（ステップＳ３６）。そして、復元部５５Ａは、差分証跡ログを差分前の証跡ログレコードに復元する（ステップＳ３７）。更に、証跡ログ収集制御部５５は、差分証跡ログを証跡ログレコードに復元すると、応答データ内のハッシュデータ１０５Ｃに基づき、復元された証跡ログレコードの完全性をチェックする（ステップＳ３８）。
【００５８】
証跡ログ収集制御部５５は、証跡ログレコードの完全性チェックがＯＫであるか否かを判定する（ステップＳ３９）。証跡ログ収集制御部５５は、証跡ログレコード内の完全性チェックがＯＫである場合に（ステップＳ３９肯定）、証跡ログレコードを証跡ログＤＢ３３内に保存し（ステップＳ４０）、この処理動作を終了する。
【００５９】
また、証跡ログ収集制御部５５は、応答データが差分証跡ログの応答データでない場合に（ステップＳ３５否定）、応答データが全証跡ログの応答データであるか否かを判定する（ステップＳ４１）。証跡ログ収集制御部５５は、全証跡ログの応答データである場合に（ステップＳ４１肯定）、応答データ内のハッシュデータ１０５Ｃに基づき全証跡ログレコードの完全性をチェックすべく、ステップＳ３８に移行する。また、証跡ログ収集制御部５５は、全証跡ログの応答データでない場合に（ステップＳ４１否定）、図９に示す処理動作を終了する。
【００６０】
また、コンソール通信制御部５２は、ハッシュデータ１０５Ｃに基づき、証跡ログレコードの完全性チェックがＯＫでない場合に（ステップＳ３９否定）、証跡ログレコードの完全性エラーを監視コンソール４にアラーム送信し（ステップＳ４２）、図９に示す処理動作を終了する。
【００６１】
また、異常ログ監視制御部５４は、応答データ内に異常ログデータ１０４がなかった場合に（ステップＳ３２否定）、応答データが差分証跡ログの応答データであるか否かを判定すべく、ステップＳ３５に移行する。
【００６２】
図９に示すログ受信処理では、差分証跡ログの応答データを検出すると、当該応答データ内のオフセット情報、差分証跡ログ及び異常ログを抽出し、オフセット情報に基づき、差分証跡ログ間に異常ログを再配置することで差分前の証跡ログレコードを復元する。その結果、ログ管理装置３では、異常ログと重複する証跡ログの転送を抑制したとしても、差分証跡ログを差分前の証跡ログレコードに復元できる。
【００６３】
更に、ログ受信処理では、差分証跡ログの応答データを受信すると、オフセット情報１０５Ｄを使用して差分証跡ログを差分前の証跡ログレコードに復元すると共に、ハッシュデータ１０５Ｃを使用して復元後の証跡ログレコードの完全性を確認できる。
【００６４】
尚、図９では、ステップＳ３６にて応答データ内の異常ログレコード１０４Ｃを差分証跡ログ間の該当位置に再配置するようにしたが、ステップＳ３３で保存した、該当する異常ログレコードを差分証跡ログ間に再配置するようにしても良い。
【００６５】
実施例２では、証跡ログ収集要求時に未転送のログレコード内に異常ログがある場合に、未転送のログレコードに対する異常ログの割合が異常ログ判定閾値以上であるか否かを判定する。そして、異常ログの割合が異常ログ判定閾値以上の場合には、異常ログの割合が大きいと判断し、ログ管理装置３に対して差分証跡ログの応答データを転送する。その結果、実施例２では、異常ログの割合が大きい場合に差分証跡ログを転送するので、異常ログと重複する証跡ログレコードのデータ転送量を削減することで、ネットワーク上の負荷を軽減できる。
【００６６】
更に、実施例２では、異常ログの割合が異常ログ判定閾値未満の場合には、異常ログの割合が小さいと判断し、ログ管理装置３に対して全証跡ログの応答データを転送する。つまり、未転送のログレコード内に重複する異常ログがある場合でも、異常ログの割合に応じて差分証跡ログの応答データ又は全証跡ログ（異常ログあり）の応答データ等のように処理方法を動的に変える。その結果、実施例２では、差分証跡ログを作成するログ収集装置２Ａ側の処理負担及び、差分証跡ログを復元するログ管理装置３側の処理負担を軽減できるとともに、システム効率の向上を図ることができる。
【００６７】
更に、実施例２では、差分証跡ログの応答データを設定する際、証跡ログデータ１０５内にハッシュデータ１０５Ｃ及びオフセット情報１０５Ｄを設定する。その結果、応答データを受信するログ管理装置３側では、オフセット情報１０５Ｄを使用して差分証跡ログを差分前の証跡ログレコードに復元すると共に、ハッシュデータ１０５Ｃを使用して復元後の証跡ログレコードの完全性を確認できる。
【００６８】
更に、実施例２では、ログ収集装置２Ａや分散システムの数が増加すると、ログ管理装置３で集約管理するデータ量も大量になるが、前述した通り、異常ログと重複する証跡ログレコードのデータ転送量を削減することで、ネットワーク上の負荷を軽減できる。その結果、従来、ネットワーク負荷が低下する夜間を中心に実施していた証跡ログ収集を昼間にも実施することも可能となる。
【００６９】
更に、実施例２では、証跡ログ収集要求時に未転送の証跡ログ内の異常ログの重複転送を削減することでデータ転送に要する総時間を短縮化できる。
【００７０】
尚、本実施例では、異常ログ割合判定部１２（４８）にて未転送の証跡ログに対する異常ログの割合をデータ量で換算するようにしたが、ログ件数で換算するようにしても良い。
【００７１】
また、図示した各部の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。例えば、異常ログ監視制御部５４と証跡ログ収集制御部５５とを一つの部として統合するようにしても良い。更に、異常ログ抽出部４３と証跡ログ抽出部４４とを一つの部として統合するようにしても良い。更に、応答データ設定部７０と応答データ転送部７１とを一つの部として統合するようにしても良い。また、ログ管理装置３とログ収集装置２Ａとはネットワーク５で有線接続するようにしたが、無線接続にしても良い。
【００７２】
ところで、本実施例で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することによって実現することができる。そこで、以下では、図１０を用いて、上記の実施例と同様の機能を有するプログラムを実行するコンピュータの一例を説明する。図１０は、ログ収集プログラムを実行するコンピュータを示す図である。
【００７３】
同図に示すように、ログ収集プログラムとしてのコンピュータ２００は、ＨＤＤ（Hard Disk Drive）２１０、ＲＡＭ２２０、ＲＯＭ２３０及びＣＰＵ２４０をバス２５０で接続して構成される。
【００７４】
そして、ＲＯＭ２３０には、上記の実施例と同様の機能を発揮するログ収集プログラム、つまり、図１０に示すように、応答データ転送プログラム２３１、異常ログ割合判定プログラム２３２、差分証跡ログ作成プログラム２３３及び応答データ設定プログラム２３４が予め記憶されている。なお、プログラム２３１〜２３４については、図１に示したログ収集装置２の各構成要素と同様、適宜統合又は分散しても良い。
【００７５】
そして、ＣＰＵ２４０が、これらのプログラム２３１〜２３４をＲＯＭ２３０から読み出して実行することで、図１０に示すように、各プログラム２３１〜２３４は、応答データ転送プロセス２４１、異常ログ割合判定プロセス２４２、差分証跡ログ作成プロセス２４３及び応答データ設定プロセス２４４として機能するようになる。各プロセス２４１〜２４４は、図１に示した応答データ転送部１１、異常ログ割合判定部１２、差分証跡ログ作成部１３及び応答データ設定部１４に夫々対応する。
【００７６】
また、ＨＤＤ２１０には、図１０に示すように、ログファイル２１１が設けられる。そして、ＣＰＵ２４０は、ログファイル２１１に対して各種ログを管理すると共に、ログファイル２１１から各種ログを読み出してＲＡＭ２２０に格納し、ＲＡＭ２２０に格納されたログに基づいて処理を実行する。
【００７７】
尚、上述した各プログラム２３１〜２３４については、必ずしもＲＯＭ２３０に記憶させなくても良い。例えば、コンピュータ２００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の「可搬用の物理媒体」にプログラム２３１〜２３４を記憶させても良い。又は、コンピュータ２００の内外に備えられるハードディスクドライブ（ＨＤＤ）等の「固定用の物理媒体」にプログラム２３１〜２３４を記憶させても良い。又は、公衆回線、インターネット、ＬＡＮ、ＷＡＮ等を介してコンピュータ２００に接続される「他のコンピュータ（又はサーバ）」にプログラム２３１〜２３４を記憶させても良い。そして、ＣＰＵ２４０は、これら可搬用の物理媒体、固定用の物理媒体や他のコンピュータ等から各プログラム２３１〜２３４を読み出して各プロセス２４１〜２４４を機能させるようにしても良い。
【符号の説明】
【００７８】
１  ログ収集システム
２  ログ収集装置
２Ａ  ログ収集装置
３  ログ管理装置
１１  応答データ転送部
１２  異常ログ割合判定部
１３  差分証跡ログ作成部
１４  応答データ設定部
４３  異常ログ抽出部
４５  オフセット設定部
４８  異常ログ割合判定部
４９  差分証跡ログ作成部
７０  応答データ設定部
７１  応答データ転送部
５５Ａ  復元部
【図１】
2011123752.tif 000003
【図２】
2011123752.tif 000004
【図３】
2011123752.tif 000005
【図４】
2011123752.tif 000006
【図５】
2011123752.tif 000007
【図６】
2011123752.tif 000008
【図７】
2011123752.tif 000009
【図８】
2011123752.tif 000010
【図９】
2011123752.tif 000011
【図１０】
2011123752.tif 000012