(57)【要約】【課題】ログの圧縮効率を高め、ログ収集時のトラフィック負荷等を削減することを目的とする。【解決手段】マスクデータ生成部２２０はログレコードに共通する部分を表すマスクデータ１０３を生成する。マスク処理部２３０はログファイル１０１内の各ログレコードをマスクデータ１０３でマスクしてマスクログファイル１０４を生成する。圧縮処理部２４０はマスクログファイル１０４を圧縮して圧縮ログファイル１０６を生成する。ログ送信部２５０は圧縮ログファイル１０６とマスクデータ１０３とを送信する。解凍処理部３２０は圧縮ログファイル１０６を解凍してマスクログファイル１０４を得る。マスク解除部３４０はマスクデータ１０３を用いてマスクログファイル１０４からログファイル１０１を復元する。【選択図】図１
2011128915.tif 000002
【特許請求の範囲】
【請求項１】
計算機により行われた処理を示す複数のログに共通する部分データを示すマスクデータを記憶するマスクデータ記憶部と、
ログを入力するログ入力部と、
前記ログ入力部に入力されたログと前記マスクデータ記憶部に記憶されたマスクデータとに基づいて、前記部分データを省略したログをマスクログとして生成するマスクログ生成部と
を備えることを特徴とするログ収集装置。
【請求項２】
前記ログ収集装置は、さらに、
前記ログ入力部に入力された複数のログから複数のログに共通する部分データを抽出し、抽出した部分データを示すマスクデータを生成するマスクデータ生成部を備え、
前記マスクデータ記憶部は、前記マスクデータ生成部により生成されたマスクデータを記憶する
ことを特徴とする請求項１記載のログ収集装置。
【請求項３】
前記マスクデータ生成部は、前記ログ入力部に新たに入力されたログと前記ログ入力部に以前に入力されたログとから共通する部分データを抽出し、抽出した部分データを示すマスクデータを生成する
ことを特徴とする請求項２記載のログ収集装置。
【請求項４】
前記ログ入力部は、複数のログを入力し、
前記マスクデータ生成部は、前記ログ入力部に入力された複数のログを所定の条件に基づいて複数のグループにグループ分けし、グループ毎にマスクデータを生成し、
前記マスクログ生成部は、前記マスクデータ生成部により生成された複数のマスクデータ毎に前記複数のログに対応する複数のマスクログを含むファイルをマスクログファイルとして生成し、
前記ログ収集装置は、さらに、
前記マスクログ生成部により生成された複数のマスクログファイルを所定の方法で圧縮するマスクログ圧縮部と、
前記マスクログ圧縮部により圧縮された複数のマスクログファイルそれぞれのデータサイズに基づいてマスクログファイルを選択するマスクログ選択部とを備える
ことを特徴とする請求項２または請求項３記載のログ収集装置。
【請求項５】
前記ログ収集装置は、さらに、
前記マスクログ選択部により選択されたマスクログファイルを所定の方法で解凍するマスクログ解凍部と、
前記マスクログ解凍部により解凍されたマスクログファイルに含まれる複数のマスクログそれぞれに当該マスクログファイルに対応するマスクデータに示される部分データを設定することにより前記複数のログを復元するログ復元部とを備える
ことを特徴とする請求項４記載のログ収集装置。
【請求項６】
前記マスクデータ記憶部は、時間に対応づけて複数のマスクデータを記憶し、
前記マスクログ生成部は、前記マスクデータ記憶部に記憶された複数のマスクデータのうち前記ログが記録された時刻に対応するマスクデータを用いてマスクログを生成する
ことを特徴とする請求項１記載のログ収集装置。
【請求項７】
前記ログ収集装置は、さらに、
前記マスクログ生成部により生成されたマスクログに前記マスクログに対応するマスクデータに示される部分データを設定することによりログを復元するログ復元部を備える
ことを特徴とする請求項６記載のログ収集装置。
【請求項８】
計算機により行われた処理を示す複数のログに共通する部分データを示すマスクデータを記憶するマスクデータ記憶部を備えるログ収集装置のログ収集方法であり、
ログ入力部が、ログを入力し、
マスクログ生成部が、前記ログ入力部に入力されたログと前記マスクデータ記憶部に記憶されたマスクデータとに基づいて、前記部分データを省略したログをマスクログとして生成する
ことを特徴とするログ収集装置のログ収集方法。
【請求項９】
計算機により行われた処理を示す複数のログに共通する部分データを示すマスクデータを記憶するマスクデータ記憶部と、
ログを入力するログ入力部と、
前記ログ入力部に入力されたログと前記マスクデータ記憶部に記憶されたマスクデータとに基づいて、前記部分データを省略したログをマスクログとして生成するマスクログ生成部と、
前記マスクデータ記憶部に記憶されたマスクデータと前記マスクログ生成部により生成されたマスクログとを送信するマスクログ送信部と
を備えるログ収集クライアント装置と、
前記マスクデータと前記マスクログとを受信するマスクログ受信部と、
前記マスクログ受信部により受信されたマスクログに前記マスクログ受信部により受信されたマスクデータに示される部分データを設定することによりログを復元するログ復元部と
を備えるログ収集サーバ装置と
を有することを特徴とするログ収集システム。
【請求項１０】
前記ログ収集クライアント装置は、さらに、
前記ログ入力部に入力された複数のログから複数のログに共通する部分データを抽出し、抽出した部分データを示すマスクデータを所定のタイミングで生成するマスクデータ生成部を備え、
前記マスクログ送信部は、前記マスクデータ生成部により新たに生成されたマスクデータを送信し、
前記ログ復元部は、前記マスクログ送信部により送信された新たなマスクデータを用いてログを復元する
ことを特徴とする請求項９記載のログ収集システム。
【請求項１１】
計算機により行われた処理を示す複数のログに共通する部分データを示すマスクデータを記憶するマスクデータ記憶部を備えるログ収集クライアント装置で、
ログ入力部が、ログを入力し、
マスクログ生成部が、前記ログ入力部に入力されたログと前記マスクデータ記憶部に記憶されたマスクデータとに基づいて、前記部分データを省略したログをマスクログとして生成し、
マスクログ送信部が、前記マスクデータ記憶部に記憶されたマスクデータと前記マスクログ生成部により生成されたマスクログとを送信し、
ログ収集サーバ装置で、
マスクログ受信部が、前記マスクデータと前記マスクログとを受信し、
ログ復元部が、前記マスクログ受信部により受信されたマスクログに前記マスクログ受信部により受信されたマスクデータに示される部分データを設定することによりログを復元する
ことを特徴とするログ収集システムのログ収集方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログを収集するログ収集装置、ログ収集装置のログ収集方法、ログ収集システム、ログ収集システムのログ収集方法に関するものである。
【背景技術】
【０００２】
従来のログ収集方式では、ログのデータ形式（フォーマット）によって圧縮方式を切り替えることでログの圧縮効率を高め、ログ収集時のトラフィック負荷を削減する仕組みがある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開平１０−８４４８４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来の方式は、ログのデータ形式に応じて圧縮方法を切り替えるため、同じデータ形式でもログごとに最適な圧縮方法が異なるといった場合に圧縮方法の切り替えが発生しない。
また、ログごとに最適な圧縮方法を求めるには、毎回、ログをデータ解析してから最適な圧縮方法を選択する必要があり、解析処理によるＣＰＵ負荷や処理時間が生じる。
【０００５】
本発明は、例えば、ログの圧縮効率を高め、ログ収集時のトラフィック負荷等を削減することを目的とする。
【課題を解決するための手段】
【０００６】
本発明のログ収集装置は、
計算機により行われた処理を示す複数のログに共通する部分データを示すマスクデータを記憶するマスクデータ記憶部と、
ログを入力するログ入力部と、
前記ログ入力部に入力されたログと前記マスクデータ記憶部に記憶されたマスクデータとに基づいて、前記部分データを省略したログをマスクログとして生成するマスクログ生成部とを備える。
【発明の効果】
【０００７】
本発明によれば、例えば、ログ（マスクログ）の圧縮効率を高め、ログ収集時のトラフィック負荷等を削減できる。
【図面の簡単な説明】
【０００８】
【図１】実施の形態１におけるログ監視システム１００の構成図。
【図２】実施の形態１におけるログ監視システム１００のハードウェア資源の一例を示す図。
【図３】実施の形態１におけるマスクデータ生成工程を示すシーケンス図。
【図４】実施の形態１におけるログファイルのデータ形式を示す図。
【図５】実施の形態１におけるマスクデータ生成処理（Ｓ１３１）の概要図。
【図６】実施の形態１におけるマスクログ生成工程を示すシーケンス図。
【図７】実施の形態１におけるマスク処理（Ｓ１５２）の概要図。
【図８】実施の形態１におけるログ復元・解析工程を示すシーケンス図。
【図９】実施の形態１におけるマスク解除処理（Ｓ１８１）の概要図。
【図１０】実施の形態１におけるログ収集クライアント装置２００とログ収集サーバ装置３００とのデータフロー。
【図１１】実施の形態２におけるマスクデータ生成工程を示すシーケンス図。
【図１２】実施の形態２における複数マスクデータ生成処理（Ｓ１３１Ｂ）の概要図。
【図１３】実施の形態２におけるマスクログ生成工程を示すシーケンス図。
【図１４】実施の形態２におけるマスク別マスク処理（Ｓ１５２Ｂ）の概要図。
【図１５】実施の形態２におけるログ復元・解析工程を示すシーケンス図。
【図１６】実施の形態３におけるマスクデータ生成工程を示すシーケンス図。
【図１７】実施の形態３におけるマスクデータ生成処理（Ｓ１３１Ｃ）の概要図。
【図１８】実施の形態３におけるマスクログ生成工程を示すシーケンス図。
【図１９】実施の形態３におけるログ復元・解析工程を示すシーケンス図。
【発明を実施するための形態】
【０００９】
実施の形態１．
ログの共通部分を省略してログファイルのデータサイズを削減する形態について説明する。
【００１０】
図１は、実施の形態１におけるログ監視システム１００の構成図である。
実施の形態１におけるログ監視システム１００の構成について、図１に基づいて以下に説明する。
【００１１】
ログ監視システム１００は、ログ収集システム１１０、監視対象システム１２０およびログ監視装置１３０を有する。
ログ監視システム１００は、ログ収集システム１１０が監視対象システム１２０のログを収集し、ログ監視装置１３０がログ収集システム１１０により収集されたログを解析して監視対象システム１２０を監視するシステムである。
ログ収集システム１１０、監視対象システム１２０およびログ監視装置１３０は通信網を介して互いにデータを送受信する。
【００１２】
監視対象システム１２０は、一台の計算機（コンピュータ）または複数台の計算機を有する計算機システムである。計算機の図示を省略する。
各計算機は、所定の業務処理（データ処理、情報処理）を実行する業務アプリケーション部１２１を備える。
業務アプリケーション部１２１は、業務処理を実行すると共に、実行した業務処理についての情報（ログの一例）を「ログレコード１０２」として記録する。例えば、ログレコード１０２には処理時刻、処理データの識別情報、処理内容などの処理情報が設定される。
【００１３】
以下、複数のログレコード１０２（業務処理の履歴）が記録されたファイルを「ログファイル」という。特に、業務アプリケーション部１２１により生成されるログファイルを「マスターログファイル１０９」といい、マスターログファイル１０９に含まれる一部（または全部）のログレコード１０２で構成されるログファイルを「ログファイル１０１」という。
業務アプリケーション部１２１はマスターログファイル１０９にログレコード１０２を記録する。マスターログファイル１０９は各計算機の記憶部（図示省略）に記憶される。
【００１４】
ログ収集システム１１０は、ログ収集クライアント装置２００とログ収集サーバ装置３００とを有する。
【００１５】
ログ収集クライアント装置２００は、監視対象システム１２０のログを収集し、収集したログを圧縮する装置である。
【００１６】
ログ収集クライアント装置２００は、ログ取得エージェント部２１０（ログ入力部の一例）、マスクデータ生成部２２０（マスクデータ生成部の一例）、マスク処理部２３０（マスクログ生成部の一例）、圧縮処理部２４０（マスクログ圧縮部、マスクログ選択部の一例）、ログ送信部２５０（マスクログ送信部の一例）およびクライアント記憶部（マスクデータ記憶部の一例）（図示省略）を備える。
【００１７】
ログ取得エージェント部２１０は、ログ収集サーバ装置３００からログファイル１０１を取得する。
【００１８】
マスクデータ生成部２２０は、ログ取得エージェント部２１０により取得されログファイル１０１に含まれる複数のログレコード１０２から複数のログレコード１０２に共通する部分データを抽出する。
例えば、マスクデータ生成部２２０は、ログ取得エージェント部２１０により新たに取得されたログファイル１０１に含まれるログレコード１０２とログ取得エージェント部２１０により以前に取得されたログファイル１０１に含まれるログレコード１０２（複数のログの一例）から共通する部分データを抽出する。
マスクデータ生成部２２０は、抽出した部分データを示す「マスクデータ１０３」を生成する。
【００１９】
マスク処理部２３０は、ログファイル１０１に含まれるログレコード１０２とマスクデータ１０３とに基づいて、マスクデータ１０３に示される部分データを省略したログレコード１０２を「マスクログレコード１０５」として生成する。
例えば、マスク処理部２３０は、部分データを所定値（例えば、ヌル値やスペース）に置き換えて、または、部分データを削除して部分データを省略する。
マスク処理部２３０は、複数のマスクログレコード１０５を含むファイルを「マスクログファイル１０４」として生成する。
【００２０】
圧縮処理部２４０は、マスクログファイル１０４を所定の方法で圧縮する。
以下、圧縮されたマスクログファイル１０４を「圧縮ログファイル１０６」という。
【００２１】
ログ送信部２５０は、マスクデータ１０３と圧縮ログファイル１０６とをログ収集サーバ装置３００へ送信する。
【００２２】
クライアント記憶部は、ログ収集クライアント装置２００で用いるデータを記憶する。ログ収集クライアント装置２００の各「〜部」の入力データや生成データはクライアント記憶部に記憶されるものとする。
ログファイル１０１、マスクデータ１０３、マスクログファイル１０４および圧縮ログファイル１０６は、クライアント記憶部に記憶されるデータの一例である。
【００２３】
ログ収集サーバ装置３００は、ログ収集クライアント装置２００により圧縮されたログ（圧縮ログファイル１０６）を管理し、ログを解凍する装置である。
【００２４】
ログ収集サーバ装置３００は、ログ受信部３１０（マスクログ受信部の一例）、解凍処理部３２０（マスクログ解凍部の一例）、マスクデータ管理部３３０、マスク解除部３４０（ログ復元部の一例）、ログ提供エージェント部３５０およびサーバ記憶部（図示省略）を備える。
【００２５】
ログ受信部３１０は、マスクデータ１０３と圧縮ログファイル１０６とをログ収集クライアント装置２００から受信する。
【００２６】
解凍処理部３２０は、圧縮ログファイル１０６を所定の方法で解凍することによりマスクログファイル１０４を得る。
【００２７】
マスクデータ管理部３３０は、サーバ記憶部を用いてマスクデータ１０３を管理する。
【００２８】
マスク解除部３４０は、マスクログファイル１０４に含まれる複数のマスクログレコード１０５それぞれにマスクデータ１０３に示される部分データを設定することによりログファイル１０１を復元する。
【００２９】
ログ提供エージェント部３５０は、ログファイル１０１をログ監視装置１３０に提供する。
【００３０】
サーバ記憶部は、ログ収集サーバ装置３００で用いるデータを記憶する。ログ収集サーバ装置３００の各「〜部」の入力データや生成データはサーバ記憶部に記憶されるものとする。
マスクデータ１０３、圧縮ログファイル１０６、マスクログファイル１０４およびログファイル１０１は、サーバ記憶部に記憶されるデータの一例である。
【００３１】
ログ監視装置１３０は、ログ解析部１３１を備える。
【００３２】
ログ解析部１３１は、ログ収集サーバ装置３００からログファイル１０１を取得し、ログファイル１０１を所定の方法で解析し、解析結果を出力する。
【００３３】
ログ監視システム１００の構成は、図１に示した構成に限らない。例えば、ログ監視システム１００を以下のように構成しても構わない。
・監視対象システム１２０が複数存在しても構わない。
・監視対象システム１２０が複数存在する場合、監視対象システム１２０毎にログ収集クライアント装置２００を備えても構わない。
・ログ収集クライアント装置２００とログ収集サーバ装置３００とを一つの装置（ログ収集装置）にしても構わない。
・ログ監視装置１３０とログ収集サーバ装置３００とを一つの装置にしても構わない。
【００３４】
以下、ログ監視システム１００には監視対象システム１２０が複数存在し、監視対象システム１２０毎にログ収集クライアント装置２００が存在するものとして説明を行う。
【００３５】
図２は、実施の形態１におけるログ監視システム１００のハードウェア資源の一例を示す図である。
図２において、ログ収集クライアント装置２００、ログ収集サーバ装置３００、ログ監視装置１３０および監視対象システム１２０の計算機は、ＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ）（マイクロプロセッサ、マイクロコンピュータともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、ドライブ装置９０４、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。ドライブ装置９０４は、ＦＤ（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、ＣＤ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）などの記憶媒体を読み書きする装置である。
【００３６】
通信ボード９１５は、有線または無線で、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、インターネット、電話回線などの通信網に接続している。
【００３７】
磁気ディスク装置９２０には、ＯＳ９２１（オペレーティングシステム）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
【００３８】
プログラム群９２３には、実施の形態において「〜部」として説明する機能を実行するプログラムが含まれる。プログラムは、ＣＰＵ９１１により読み出され実行される。すなわち、プログラムは、「〜部」としてコンピュータを機能させるものであり、また「〜部」の手順や方法をコンピュータに実行させるものである。
【００３９】
ファイル群９２４には、実施の形態において説明する「〜部」で使用される各種データ（入力、出力、判定結果、計算結果、処理結果など）が含まれる。
【００４０】
実施の形態において構成図、シーケンス図およびフローチャートに含まれている矢印は主としてデータや信号の入出力を示す。
【００４１】
実施の形態において「〜部」として説明するものは「〜回路」、「〜装置」、「〜機器」であってもよく、また「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ファームウェア、ソフトウェア、ハードウェアまたはこれらの組み合わせのいずれで実装されても構わない。
【００４２】
次に、ログ監視システム１００のログ監視方法（ログ収集方法）をマスクデータ生成工程とマスクログ生成工程とログ復元・解析工程とに分けて説明する。
【００４３】
まず、各工程の概要について説明する。
マスクデータ生成工程では、ログ収集クライアント装置２００が監視対象システム１２０のログファイル１０１に含まれるログレコード１０２をマスクするマスクデータ１０３を生成する。そして、ログ収集クライアント装置２００が生成したマスクデータ１０３をログ収集サーバ装置３００へ通知する。
マスクログ生成工程では、ログ収集クライアント装置２００が監視対象システム１２０のログファイル１０１に含まれるログレコード１０２をマスクデータ１０３でマスクする。さらに、ログ収集クライアント装置２００がマスクされたログレコード１０２を含んだログファイル１０１（マスクログファイル１０４）を圧縮する。そして、ログ収集クライアント装置２００が圧縮したマスクログファイル１０４を圧縮ログファイル１０６としてログ収集サーバ装置３００へ通知する。
ログ復元・解析工程では、ログ収集サーバ装置３００が圧縮ログファイル１０６を解凍してマスクログファイル１０４を得る。さらに、ログ収集サーバ装置３００がマスクデータ１０３を用いてマスクログファイル１０４からログファイル１０１を復元する。そして、ログ収集サーバ装置３００がログファイル１０１をログ監視装置１３０へ通知し、ログ監視装置１３０がログファイル１０１を解析する。
【００４４】
次に、各工程の詳細について説明する。
【００４５】
図３は、実施の形態１におけるマスクデータ生成工程を示すシーケンス図である。
実施の形態１におけるマスクデータ生成工程の処理の流れについて、図３に基づいて以下に説明する。
【００４６】
Ｓ１１０において、監視対象システム１２０の業務アプリケーション部１２１は、利用者に要求された業務処理や予めスケジュールされた業務処理を実行する。
さらに、業務アプリケーション部１２１は、業務処理を実行する度に、実行した業務処理を示すログレコード１０２をマスターログファイル１０９に記録する。業務アプリケーション部１２１は、予め定義されたサイズまたはレコード数分のログレコード１０２をマスターログファイル１０９に記録すると、新たなマスターログファイル１０９を生成する。業務アプリケーション部１２１は、生成した各マスターログファイル１０９を世代管理する。
【００４７】
図４は、実施の形態１におけるログファイルのデータ形式を示す図である。
実施の形態１におけるマスターログファイル１０９（およびログファイル１０１）について、図４に基づいて以下に説明する。
【００４８】
マスターログファイル１０９には複数のログレコード１０２が含まれ、各ログレコード１０２には「日付」「時刻」「クラス名」「メッセージ」が設定される。
「日付」「時刻」は業務処理の実行日時を示し、「クラス名」は業務処理の識別名を示し、「メッセージ」は業務処理の経過や結果を示す。
但し、マスターログファイル１０９のデータ形式（フォーマットともいう）は図４に示す形式に限られない。
【００４９】
図３に戻り、マスクデータ生成工程の説明を続ける。
【００５０】
Ｓ１１０の後、処理はＳ１２０に進む。
【００５１】
Ｓ１２０において、ログ収集クライアント装置２００のログ取得エージェント部２１０は、予めスケジュールされた間隔で監視対象システム１２０からログファイル１０１を取得する。ログファイル１０１は、マスターログファイル１０９に記録されている複数のログレコード１０２のうち前回のログファイル取得後に記録されたログレコード１０２で構成される。
Ｓ１２０の後、処理はＳ１３０に進む。
【００５２】
Ｓ１３０において、ログ取得エージェント部２１０は、取得したログファイル１０１をマスクデータ生成部２２０に受け渡す。
Ｓ１３０の後、処理はＳ１３１に進む。
【００５３】
Ｓ１３１において、マスクデータ生成部２２０は、ログ取得エージェント部２１０からログファイル１０１を取得し、取得したログファイル１０１をクライアント記憶部に記憶する。クライアント記憶部には、新たに記憶したログファイル１０１の他に、過去に記憶されたログファイル１０１が保存される。マスクデータ生成部２２０は、不要な世代のログファイル１０１をクライアント記憶部から削除しても構わない。
【００５４】
さらに、マスクデータ生成部２２０は、以下のような所定のタイミングにて新たなマスクデータ１０３を生成する。
例えば、マスクデータ生成部２２０は、ログ取得エージェント部２１０からログファイル１０１を取得する度にマスクデータ１０３を生成する。
また例えば、マスクデータ生成部２２０は、定期的にマスクデータ１０３を生成する。
また例えば、マスクデータ生成部２２０は、システム管理者から要求を受けたときにマスクデータ１０３を生成する。
また例えば、マスクデータ生成部２２０は、業務処理のスケジュール情報を参照し、業務処理の切り替わるときにマスクデータ１０３を生成する。業務処理のスケジュール情報は予めクライアント記憶部に記憶しておくものとする。
【００５５】
マスクデータ生成部２２０は、以下のように新たなマスクデータ１０３を生成する。
【００５６】
マスクデータ生成部２２０は、最新世代のログファイル１０１からログレコード１０２ａを抽出し、旧世代のログファイル１０１からログレコード１０２ｂを抽出する。
例えば、マスクデータ生成部２２０は、最新世代のログファイル１０１からログレコード１０２ａとして先頭レコードを抽出する。また、マスクデータ生成部２２０は、業務処理のスケジュール情報を参照し、ログレコード１０２ａと同じ業務処理を示すログレコード１０２ｂを旧世代のログファイル１０１から抽出する。
【００５７】
次に、マスクデータ生成部２２０は、最新世代のログレコード１０２ａと旧世代のログレコード１０２ｂとに共通する部分を特定する。
【００５８】
そして、マスクデータ生成部２２０は、特定した共通部分を最新世代または旧世代のログレコード１０２から抽出し、抽出した共通部分を示すマスクデータ１０３を生成する。マスクデータ１０３はログレコード１０２のデータ形式とログレコード１０２の共通部分とを表す。
マスクデータ生成部２２０は、マスクデータ１０３をクライアント記憶部に記憶する。
【００５９】
図５は、実施の形態１におけるマスクデータ生成処理（Ｓ１３１）の概要図である。
実施の形態１におけるマスクデータ生成処理（Ｓ１３１）について、図５に基づいて以下に説明する。
【００６０】
最新世代のログレコード１０２ａと旧世代のログレコード１０２ｂとは、日付と時間のコロン「：」とクラス名の前部「ｊｐ．・・・．」とが一致（共通）する。また、時間の時分秒「ｈｈｘ」「ｍｍｘ」「ｓｓｘ」とクラス名の後部「ｃｌａｓｓｘ」とメッセージ「ｍｅｓｓａｇｅｘ」とが不一致である。
【００６１】
マスクデータ生成部２２０は、ログレコード１０２ａとログレコード１０２ｂとの論理積をとったデータをマスクデータ１０３とする。実施の形態１では、一致部分の論理積を「真」、不一致部分の論理積を「偽」とする。
マスクデータ１０３は、論理積が「真」である部分（日付、時間のコロン、クラス名の前部）と対応する部分にログレコード１０２ａ（およびログレコード１０２ｂ）のデータが設定される。また、マスクデータ１０３は、論理積が「偽」である部分（時間の時分秒、クラス名の後部、メッセージ）と対応する部分に空データ（例えば、ＮＵＬＬ）が設定される。
【００６２】
一般的に、同じ種類の業務処理は纏めて実行される。つまり、特定の時間帯には特定種類の業務処理が実行される場合が多い。また、同じ種類の業務処理は同じパターンのログレコード１０２で記録される。このため、マスクデータ１０３に設定されたデータ（空データを除く）は最新世代の他のログレコード１０２と共通すると考えられる。つまり、マスクデータ１０３は、当該時間帯におけるログレコード１０２の定型パターンを表すデータである。
【００６３】
図３に戻り、マスクデータ生成工程の説明を続ける。
【００６４】
Ｓ１３１において新たなマスクデータ１０３を生成した後、処理はＳ１３２に進む。
【００６５】
Ｓ１３２において、マスクデータ生成部２２０は、新たに生成したマスクデータ１０３をログ送信部２５０に受け渡す。
Ｓ１３２の後、処理はＳ１３３に進む。
【００６６】
Ｓ１３３において、ログ送信部２５０は、マスクデータ１０３をマスクデータ生成部２２０から取得し、取得したマスクデータ１０３をログ収集サーバ装置３００に送信する。
Ｓ１３３の後、処理はＳ１４０に進む。
【００６７】
Ｓ１４０において、ログ収集サーバ装置３００のログ受信部３１０は、ログ収集クライアント装置２００からマスクデータ１０３を受信し、受信したマスクデータ１０３をマスクデータ管理部３３０に受け渡す。
さらに、ログ受信部３１０は、マスクデータ１０３を送信したログ収集クライアント装置２００の識別子をマスクデータ管理部３３０に受け渡す。ログ収集クライアント装置２００の識別子はログ送信部２５０がマスクデータ生成部２２０と共に送信してもよいし、ログ受信部３１０がログ収集クライアント装置２００毎に生成してもよい。また、ログ送信部２５０とログ受信部３１０との間で通信を開始する際にやり取りされるセッション情報（例えば、Ｃｏｏｋｉｅ）に含まれるログ収集クライアント装置２００の識別子を用いてもよい。
以下、ログ収集クライアント装置２００の識別子を「クライアント識別子」という。
Ｓ１４０の後、処理はＳ１４１に進む。
【００６８】
Ｓ１４１において、マスクデータ管理部３３０は、ログ受信部３１０からマスクデータ１０３とクライアント識別子とを取得し、マスクデータ１０３とクライアント識別子とを対応づけてサーバ記憶部に記憶する。このとき、当該ログ収集クライアント装置２００のマスクデータ１０３が既に記憶されている場合、マスクデータ管理部３３０は記憶されているマスクデータ１０３を新たに取得したマスクデータ１０３で更新する（置き換える）。
Ｓ１４１により、マスクデータ生成工程は終了する。
【００６９】
図６は、実施の形態１におけるマスクログ生成工程を示すシーケンス図である。
実施の形態１におけるマスクログ生成工程の処理の流れについて、図６に基づいて以下に説明する。
【００７０】
Ｓ１１０およびＳ１２０はマスクデータ生成工程（図３参照）と同じである。
【００７１】
Ｓ１５０において、ログ収集クライアント装置２００のログ取得エージェント部２１０は、監視対象システム１２０から取得したログファイル１０１をマスク処理部２３０に受け渡す。
Ｓ１５０の後、処理はＳ１５１に進む。
【００７２】
Ｓ１５１において、マスク処理部２３０は、ログ取得エージェント部２１０からログファイル１０１を取得する。
さらに、マスク処理部２３０は、マスクデータ生成部２２０により生成されたマスクデータ１０３をクライアント記憶部から取得する。
Ｓ１５１の後、処理はＳ１５２に進む。
【００７３】
Ｓ１５２において、マスク処理部２３０は、ログファイル１０１に含まれる各ログレコード１０２内のマスクデータ１０３に示される共通部分をマスク（省略）する。
以下、共通部分をマスクされたログレコード１０２を「マスクログレコード１０５」といい、複数のマスクログレコード１０５により構成されるログファイルを「マスクログファイル１０４」という。
【００７４】
図７は、実施の形態１におけるマスク処理（Ｓ１５２）の概要図である。
実施の形態１におけるマスク処理（Ｓ１５２）について、図７に基づいて以下に説明する。
【００７５】
図５に示したように、ログレコード１０２ａにはマスクデータ１０３に示される共通部分（空データでない部分）が含まれる。
マスク処理部２３０は、ログレコード１０２ａとマスクデータ１０３との排他的論理和をとる。ログレコード１０２ａとマスクデータ１０３との排他的論理和をとったレコードがログレコード１０２ａに対応するマスクログレコード１０５ａである。実施の形態１では、一致部分の排他的論理和を「偽」、不一致部分の論理積を「真」とする。
マスクログレコード１０５ａには、排他的論理和が「偽」である部分（日付、時間のコロン、クラス名の前部）に空データが設定される。また、マスクログレコード１０５ａには、排他的論理和が「真」である部分（時間の時分秒、クラス名の後部、メッセージ）にログレコード１０２ａのデータが設定される。
【００７６】
マスク処理部２３０は、ログファイル１０１内の複数のログレコード１０２それぞれに対してマスクログレコード１０５を生成する。
ログレコード１０２とマスクデータ１０３に示される共通部分とが不一致の場合、当該部分の排他的論理和は「真」であり、マスクログレコード１０５の当該部分にはログレコード１０２のデータが設定される。
【００７７】
図６に戻り、マスクログ生成工程の説明を続ける。
【００７８】
Ｓ１５２の後、処理はＳ１５３に進む。
【００７９】
Ｓ１５３において、マスク処理部２３０は、マスクログファイル１０４を圧縮処理部２４０に受け渡す。
Ｓ１５３の後、処理はＳ１６０に進む。
【００８０】
Ｓ１６０において、圧縮処理部２４０は、マスク処理部２３０からマスクログファイル１０４を取得し、取得したマスクログファイル１０４を所定の圧縮アルゴリズム（処理手順）で圧縮する。圧縮アルゴリズムは既存のもので構わない。
マスクログファイル１０４は、ログレコード１０２の共通部分を省略したファイルであるため、ログファイル１０１よりも小さいデータサイズに圧縮される。
以下、マスクログファイル１０４を圧縮したファイルを「圧縮ログファイル１０６」という。
Ｓ１６０の後、処理はＳ１６１に進む。
【００８１】
Ｓ１６１において、圧縮処理部２４０は、圧縮ログファイル１０６をログ送信部２５０に受け渡す。
Ｓ１６１の後、処理はＳ１６２に進む。
【００８２】
Ｓ１６２において、ログ送信部２５０は、圧縮処理部２４０から圧縮ログファイル１０６を取得し、取得した圧縮ログファイル１０６をログ収集サーバ装置３００へ送信する。
Ｓ１６２の後、ログ復元・解析工程へ進む。
【００８３】
図８は、実施の形態１におけるログ復元・解析工程を示すシーケンス図である。
実施の形態１におけるログ復元・解析工程の処理の流れについて、図８に基づいて以下に説明する。
【００８４】
Ｓ１７０において、ログ収集サーバ装置３００のログ受信部３１０は、ログ収集クライアント装置２００から圧縮ログファイル１０６を受信し、受信した圧縮ログファイル１０６とログ収集クライアント装置２００のクライアント識別子とを解凍処理部３２０に受け渡す。
Ｓ１７０の後、処理はＳ１７１に進む。
【００８５】
Ｓ１７１において、解凍処理部３２０は、ログ受信部３１０から圧縮ログファイル１０６とクライアント識別子とを取得し、取得した圧縮ログファイル１０６を所定の解凍アルゴリズムで解凍する。解凍アルゴリズムは圧縮ログファイル１０６の圧縮アルゴリズムに対応するアルゴリズムである。例えば、圧縮アルゴリズムおよび解凍アルゴリズムは予め決められているものとする。また、ログ収集サーバ装置３００に複数の解凍アルゴリズムを用意しておき、ログ収集クライアント装置２００が使用した圧縮アルゴリズムをログ収集サーバ装置３００に通知し、ログ収集サーバ装置３００が通知された圧縮アルゴリズムに対応する解凍アルゴリズムを選択してもよい。
圧縮ログファイル１０６を解凍することにより、マスクログファイル１０４が得られる。
Ｓ１７１の後、処理はＳ１７２に進む。
【００８６】
Ｓ１７２において、解凍処理部３２０は、圧縮ログファイル１０６を解凍して得られたマスクログファイル１０４とログ受信部３１０から取得したクライアント識別子とをマスク解除部３４０に受け渡す。
Ｓ１７２の後、処理はＳ１８０に進む。
【００８７】
Ｓ１８０において、マスク解除部３４０は、解凍処理部３２０からマスクログファイル１０４とクライアント識別子とを取得する。
そして、マスク解除部３４０は、取得したクライアント識別子に対応するマスクデータ１０３をマスクデータ管理部３３０に要求する。マスクデータ管理部３３０は、要求されたマスクデータ１０３をサーバ記憶部から取得し、取得したマスクデータ１０３をマスク解除部３４０に受け渡す。
Ｓ１８０の後、処理はＳ１８１に進む。
【００８８】
Ｓ１８１において、マスク解除部３４０は、マスクデータ１０３を用いてマスクログファイル１０４のマスクを解除する。
マスクログファイル１０４のマスクを解除することにより、ログファイル１０１が復元される。
【００８９】
図９は、実施の形態１におけるマスク解除処理（Ｓ１８１）の概要図である。
実施の形態１におけるマスク解除処理（Ｓ１８１）について、図９に基づいて以下に説明する。
【００９０】
マスク解除部３４０は、マスクログレコード１０５ａとマスクデータ１０３との排他的論理和をとる。マスクログレコード１０５ａとマスクデータ１０３との排他的論理和をとったレコードがマスクログレコード１０５ａに対応するログレコード１０２ａである。
ログレコード１０２ａには、マスクログレコード１０５ａのデータ値（空データを除く）とマスクデータ１０３のデータ値（空データを除く）とが設定される。
【００９１】
マスク解除部３４０は、マスクログファイル１０４内の複数のマスクログレコード１０５それぞれに対してログレコード１０２を復元する。
マスクログレコード１０５のデータ設定部分（空データ以外の部分）とマスクデータ１０３のデータ設定部分とが重なる場合、ログレコード１０２の当該部分にはマスクログレコード１０５のデータが設定される。
【００９２】
図８に戻り、ログ復元・解析工程の説明を続ける。
【００９３】
Ｓ１８１の後、処理はＳ１８２に進む。
【００９４】
Ｓ１８２において、マスク解除部３４０は、ログファイル１０１とクライアント識別子とをログ提供エージェント部３５０に受け渡す。
Ｓ１８２の後、処理はＳ１８３に進む。
【００９５】
Ｓ１８３において、ログ提供エージェント部３５０は、マスク解除部３４０からログファイル１０１とクライアント識別子とを取得し、ログファイル１０１とクライアント識別子とをログ監視装置１３０へ送信する。
例えば、ログ提供エージェント部３５０は以下のタイミングでログファイル１０１とクライアント識別子とをログ監視装置１３０へ送信する。
マスク解除部３４０からログファイル１０１とクライアント識別子とを取得する度。
マスク解除部３４０から取得したログファイル１０１を蓄積し、蓄積したログファイル１０１をクライアント識別子と対応づけて定期的に送信する。
ログ監視装置１３０は管理者から要求を受けたときにログ提供エージェント部３５０にログファイル１０１を要求し、ログ提供エージェント部３５０はログ監視装置１３０から要求を受けたときにログファイル１０１とクライアント識別子とを送信する。
Ｓ１８３の後、処理はＳ１９０に進む。
【００９６】
Ｓ１９０において、ログ監視装置１３０のログ解析部１３１は、ログ収集サーバ装置３００からログファイル１０１とクライアント識別子とを受信し、受信したログファイル１０１を所定のアルゴリズムで解析し、解析結果を出力する。
例えば、ログ解析部１３１は、ログファイル１０１から異常メッセージが設定されたログレコード１０２を抽出し、抽出したログレコード１０２とクライアント識別子とを障害情報として表示する。
Ｓ１９０により、ログ復元・解析処理は終了する。
【００９７】
図１０は、実施の形態１におけるログ収集クライアント装置２００とログ収集サーバ装置３００とのデータフローである。
ログ収集クライアント装置２００とログ収集サーバ装置３００とのデータの流れについて、図１０に基づいて以下に説明する。
【００９８】
上述したように、ログ収集クライアント装置２００はマスクデータ１０３を所定のタイミングで更新し（Ｓ１３１）、更新したマスクデータ１０３をログ収集サーバ装置３００に通知する（Ｓ１３３）。
【００９９】
ログ収集サーバ装置３００は、マスクデータ１０３ａが通知されてから次のマスクデータ１０３ｂが通知されるまでの間に送信された圧縮ログファイル１０６ｂ〜ｄをマスクデータ１０３ａを用いて復元する。
また、ログ収集サーバ装置３００は、マスクデータ１０３ｂが通知された後に送信された圧縮ログファイル１０６ｅをマスクデータ１０３ｂを用いて復元する。
【０１００】
実施の形態１において、例えば、以下のようなログ収集システム１１０について説明した。
【０１０１】
実施の形態１は、システム運用管理のモニタリングに関係する技術であり、特にシステム／業務アプリケーション／サービスの障害を特定・検知する目的にてログ情報を収集し、収集したログ情報を解析するシステムに関する。
【０１０２】
ログ収集システム１１０は、ログの特徴として一定期間に渡って定型パターンの情報が出力されるという特徴を活用し、ログの圧縮効率を高め、ログ収集時のトラフィック負荷等を削減する。
【０１０３】
ログ収集システム１１０は、監視対象アプリケーションのログ情報から一定期間に渡って変化のないログの共通部分を抽出し、ログのマスクデータを作成する。そして、ログ監視システム１００は、ログの共通部分をマスクすることでログの圧縮効率を高める。
ログ収集システム１１０は、収集したログ情報を圧縮解凍し、マスクデータにより情報を復元することで、もともとのログ情報を取得することを特徴とするログ収集装置。
ログ収集システム１１０は、マスクデータを切り替え時にのみクライアント側とサーバ側との間でマスクデータを交換することで、ログ収集時のデータ転送量を削減する。
【０１０４】
ログ収集クライアント装置２００は、ログ取得エージェント部２１０、マスクデータ生成部２２０、マスク処理部２３０、圧縮処理部２４０およびログ送信部２５０を備える。
ログ取得エージェント部２１０は、業務アプリケーション部１２１の出力するログ（ログファイル１０１）を監視する。
マスクデータ生成部２２０は、ログ情報から定型パターンを抽出し、マスクデータを作成する。
マスク処理部２３０は、ログ情報に対してマスク処理を行う。
圧縮処理部２４０は、マスク後のログ情報（マスクログファイル１０４）に対して圧縮処理を行う。
ログ送信部２５０は、マスクデータおよび圧縮されたログ情報を送信する。
【０１０５】
ログ収集サーバ装置３００は、ログ受信部３１０、解凍処理部３２０、マスク解除部３４０およびログ提供エージェント部３５０を備える。
ログ受信部３１０は、マスクデータおよび圧縮されたログ情報を受信する。
解凍処理部３２０は、圧縮されたログ情報を解凍する。
マスク解除部３４０は、マスクデータを用いて元のログ情報を復元する。
ログ提供エージェント部３５０は、復元したログ情報を出力する。
【０１０６】
ログ監視装置１３０は、ログ解析部１３１を備える。
ログ解析部１３１は、ログ情報を入力し、入力したログ情報を解析して異常等が発生していないかを検知する。
【０１０７】
特定期間ごとにマスクデータの見直しを行うことで、ログデータの圧縮効率を高め、ログ収集時のトラフィック負荷等を低減することが可能となる。
【０１０８】
マスクデータ生成部２２０は、複数世代のログレコード１０２ではなく、同じログファイル１０１に含まれる複数のログレコード１０２に共通する部分を示すマスクデータ１０３を生成してもよい。
マスクデータ生成部２２０は、２つのログレコード１０２ではなく、３つ以上のログレコード１０２に共通する部分を示すマスクデータ１０３を生成してもよい。
マスクデータ１０３は管理者（利用者）が定義しても構わない。
【０１０９】
実施の形態２．
複数種類のマスクデータを用意し、複数種類のマスクデータを用いて複数の圧縮ログファイルを生成し、データサイズの小さい圧縮ログファイルを採用する形態について説明する。
以下、実施の形態１と異なる事項について主に説明する。説明を省略する事項は実施の形態１と同様である。
【０１１０】
ログ監視システム１００の構成は、実施の形態１（図１参照）と同じである。
【０１１１】
マスクデータ生成部２２０は、ログファイル１０１内の複数のログレコード１０２を所定の条件に基づいて複数のグループにグループ分けし、グループ毎にマスクデータ１０３を生成する。
マスク処理部２３０は、マスクデータ生成部２２０により生成された複数のマスクデータ毎に複数のログレコード１０２に対応する複数のマスクログレコード１０５を含むファイルをマスクログファイル１０４として生成する。
圧縮処理部２４０は、マスク処理部２３０により生成された複数のマスクログファイル１０４を所定の方法で圧縮する。
圧縮処理部２４０は、圧縮した複数のマスクログファイル１０４それぞれのデータサイズに基づいてマスクログファイル１０４を選択する。
【０１１２】
解凍処理部３２０は、圧縮処理部２４０により選択されたマスクログファイル１０４を所定の方法で解凍する。
マスク解除部３４０は、解凍処理部３２０により解凍されたマスクログファイル１０４内の複数のマスクログレコード１０５それぞれに当該マスクログファイル１０４に対応するマスクデータ１０３に示される部分データを設定することにより複数のログレコード１０２を復元する。
【０１１３】
図１１は、実施の形態２におけるマスクデータ生成工程を示すシーケンス図である。
実施の形態２におけるマスクデータ生成工程の処理の流れについて、図１１に基づいて以下に説明する。
【０１１４】
Ｓ１１０〜Ｓ１３０は実施の形態１（図３参照）と同じである。
Ｓ１３１Ｂ〜Ｓ１４１Ｂは実施の形態１で説明したＳ１３１〜Ｓ１４１に相当する処理である。
以下、Ｓ１３１Ｂ〜Ｓ１４１Ｂについて実施の形態１のＳ１３１〜Ｓ１４１と異なる事項を主に説明する。
【０１１５】
Ｓ１３１Ｂにおいて、マスクデータ生成部２２０は、ログ取得エージェント部２１０からログファイル１０１を取得し、取得したログファイル１０１をクライアント記憶部に記憶する。
マスクデータ生成部２２０は、取得したログファイル１０１内の複数のログレコード１０２を所定の規則に従ってグループ分けする。例えば、マスクデータ生成部２２０は、複数のログレコード１０２を所定の部分に設定された値毎にグループ分けする。
マスクデータ生成部２２０は、ログレコード１０２のグループ毎にマスクデータ１０３を生成し、各マスクデータ１０３にマスクデータ識別子を設定する。
マスクデータ生成部２２０は、各グループのマスクデータ１０３をクライアント記憶部に記憶する。
マスクデータ１０３の生成タイミングおよび生成方法は実施の形態１（Ｓ１３１）と同じである。
【０１１６】
図１２は、実施の形態２における複数マスクデータ生成処理（Ｓ１３１Ｂ）の概要図である。
実施の形態２における複数マスクデータ生成処理（Ｓ１３１Ｂ）について、図１２に基づいて以下に説明する。
【０１１７】
マスクデータ生成部２２０は、ログファイル１０１に含まれる複数のログレコード１０２をクラス名「ｊｐ．ｃｏ．ＭＥｌｅｃｔｒｉｃ．Ａｐｐ．ｘｘｘ」でグループ分けする。これにより、複数のログレコード１０２はクラス名の最後（「ｘｘｘ」部分）が「Ｎａｇｏｋｏｉ」であるグループＡとクラス名の最後が「Ｒｅｄｂｌａｃｋ」であるグループＢとに分けられる。
マスクデータ生成部２２０は、グループＡの定型パターンを表すマスクデータ１０３Ａと、グループＢの定型パターンを表すマスクデータ１０３Ｂとを生成する。マスクデータ１０３Ａのクラス名の最後は「Ｎｏｇｏｋｏｉ」となり、マスクデータ１０３Ｂのクラス名の最後は「Ｒｅｄｂｌａｃｋ」となる。
【０１１８】
図１１に戻り、マスクデータ生成工程の説明を続ける。
【０１１９】
Ｓ１３１Ｂの後、処理はＳ１３２Ｂに進む。
【０１２０】
Ｓ１３２Ｂにおいて、マスクデータ生成部２２０は複数のマスクデータ１０３をログ送信部２５０に受け渡す。
Ｓ１３３Ｂにおいて、ログ送信部２５０は複数のマスクデータ１０３をログ収集サーバ装置３００へ送信する。
Ｓ１４０Ｂにおいて、ログ収集サーバ装置３００のログ受信部３１０は複数のマスクデータ１０３とクライアント識別子とをマスクデータ管理部３３０に通知する。
Ｓ１４１Ｂにおいて、マスクデータ管理部３３０は複数のマスクデータ１０３とクライアント識別子とを対応づけてサーバ記憶部に記憶する。複数のマスクデータ１０３はそれぞれマスクデータ識別子で識別される。
【０１２１】
図１３は、実施の形態２におけるマスクログ生成工程を示すシーケンス図である。
実施の形態２におけるマスクログ生成工程の処理の流れについて、図１３に基づいて以下に説明する。
【０１２２】
Ｓ１１０、Ｓ１２０およびＳ１５０は実施の形態１（図６参照）と同じである。
Ｓ１５１Ｂ〜Ｓ１６２Ｂは実施の形態１で説明したＳ１５１〜Ｓ１６２に相当する処理である。
以下、Ｓ１５１Ｂ〜Ｓ１６２Ｂについて実施の形態１のＳ１５１〜Ｓ１６２と異なる事項を主に説明する。
【０１２３】
Ｓ１５１Ｂにおいて、マスク処理部２３０は、マスクデータ生成部２２０により生成された複数のマスクデータ１０３をクライアント記憶部から取得する。
Ｓ１５１Ｂの後、処理はＳ１５２Ｂに進む。
【０１２４】
Ｓ１５２Ｂにおいて、マスク処理部２３０は、マスクデータ１０３毎にマスクログファイル１０４を生成する。
例えば、マスク処理部２３０は、マスクデータ１０３Ａとマスクデータ１０３Ｂとが存在する場合、ログファイル１０１をマスクデータ１０３Ａでマスクしてマスクログファイル１０４Ａを生成し、ログファイル１０１をマスクデータ１０３Ｂでマスクしてマスクログファイル１０４Ｂを生成する。
【０１２５】
図１４は、実施の形態２におけるマスク別マスク処理（Ｓ１５２Ｂ）の概要図である。
実施の形態２におけるマスク別マスク処理（Ｓ１５２Ｂ）について、図１４に基づいて以下に説明する。
【０１２６】
クラス名が「ｊｐ．・・・．Ｎａｇｏｋｏｉ」であるログレコード１０２ａがログファイル１０１に含まれるものとする。
また、マスクデータ１０３Ａのクラス名を「ｊｐ．・・・．Ｎａｇｏｋｏｉ」とし、マスクデータ１０３Ｂのクラス名を「ｊｐ．・・・．Ｒｅｄｂｌａｃｋ」とする。
【０１２７】
マスク処理部２３０は、ログレコード１０２ａとマスクデータ１０３Ａとの排他的論理和をとってマスクログレコード１０５Ａを生成する。ログレコード１０２ａのクラス名とマスクデータ１０３Ａのクラス名とが一致するため、マスクログレコード１０５Ａのクラス名には空データが設定される。
さらに、マスク処理部２３０は、ログレコード１０２ａとマスクデータ１０３Ｂとの排他的論理和をとってマスクログレコード１０５Ｂを生成する。ログレコード１０２ａのクラス名の終部「Ｎａｇｏｋｏｉ」とマスクデータ１０３Ｂのクラス名の終部「Ｒｅｄｂｌａｃｋ」とが不一致であるため、マスクログレコード１０５Ｂのクラス名の終部にはログレコード１０２ａの値「Ｎａｇｏｋｏｉ」が設定される。
【０１２８】
マスク処理部２３０は、ログファイル１０１に含まれる複数のログレコード１０２それぞれに対してマスクログレコード１０５Ａとマスクログレコード１０５Ｂとを生成する。
【０１２９】
図１３に戻り、マスクログ生成工程の説明を続ける。
【０１３０】
Ｓ１５２Ｂの後、処理はＳ１５３Ｂに進む。
【０１３１】
Ｓ１５３Ｂにおいて、マスク処理部２３０は複数のマスクログファイル１０４と各マスクログファイル１０４の生成に使用したマスクデータ１０３のマスク識別子とを圧縮処理部２４０に受け渡す。
Ｓ１５３Ｂの後、処理はＳ１６０Ｂ１に進む。
【０１３２】
Ｓ１６０Ｂ１において、圧縮処理部２４０は、複数のマスクログファイル１０４それぞれを圧縮して複数の圧縮ログファイル１０６を生成する。
Ｓ１６０Ｂ１の後、処理はＳ１６０Ｂ２に進む。
【０１３３】
Ｓ１６０Ｂ２において、圧縮処理部２４０は、複数の圧縮ログファイル１０６それぞれのデータサイズを比較する。
そして、データサイズが最も小さい圧縮ログファイル１０６を選択する。
Ｓ１６０Ｂ２の後、処理はＳ１６１Ｂに進む。
【０１３４】
Ｓ１６１Ｂにおいて、圧縮処理部２４０は、選択した圧縮ログファイル１０６と選択した圧縮ログファイル１０６に対応するマスクデータ識別子とをマスク処理部２３０に受け渡す。
Ｓ１６１Ｂの後、処理はＳ１６２Ｂに進む。
【０１３５】
Ｓ１６２Ｂにおいて、ログ送信部２５０は圧縮ログファイル１０６とマスクデータ識別子とをログ収集サーバ装置３００へ送信する。
Ｓ１６２Ｂの後、ログ復元・解析工程へ進む。
【０１３６】
図１５は、実施の形態２におけるログ復元・解析工程を示すシーケンス図である。
実施の形態２におけるログ復元・解析工程の処理の流れについて、図１５に基づいて以下に説明する。
【０１３７】
Ｓ１７０Ｂ〜Ｓ１８０Ｂは実施の形態１で説明したＳ１７０〜Ｓ１８０に相当する処理である。
Ｓ１８１〜Ｓ１９０は実施の形態１（図８参照）と同じである。
以下、Ｓ１７０Ｂ〜Ｓ１８０Ｂについて実施の形態１のＳ１７０〜Ｓ１８０と異なる事項を主に説明する。
【０１３８】
Ｓ１７０Ｂにおいて、ログ収集サーバ装置３００のログ受信部３１０は、ログ収集クライアント装置２００から圧縮ログファイル１０６とマスクデータ識別子とを受信する。
そして、ログ受信部３１０は、圧縮ログファイル１０６とマスクデータ識別子とクライアント識別子とを解凍処理部３２０に受け渡す。
Ｓ１７０Ｂの後、処理はＳ１７１Ｂに進む。
【０１３９】
Ｓ１７１Ｂにおいて、解凍処理部３２０は、ログ受信部３１０から圧縮ログファイル１０６とマスクデータ識別子とクライアント識別子とを取得する。
そして、解凍処理部３２０は、取得した圧縮ログファイル１０６を解凍してマスクログファイル１０４を得る。
Ｓ１７１Ｂの後、処理はＳ１７２Ｂに進む。
【０１４０】
Ｓ１７２Ｂにおいて、解凍処理部３２０は、マスクログファイル１０４とマスクデータ識別子とクライアント識別子とをマスク解除部３４０に受け渡す。
Ｓ１７２Ｂの後、処理はＳ１８０Ｂに進む。
【０１４１】
１８０Ｂにおいて、マスク解除部３４０は、クライアント識別子とマスクデータ識別子とに対応するマスクデータ１０３をマスクデータ管理部３３０に要求する。マスクデータ管理部３３０は、クライアント識別子に対応する複数のマスクデータ１０３のうちマスクデータ識別子で識別されるマスクデータ１０３をマスク解除部３４０に受け渡す。
Ｓ１８０Ｂの後、処理はＳ１８１に進む。
【０１４２】
Ｓ１８１において、マスク解除部３４０はマスクデータ１０３を用いてマスクログファイル１０４のマスクを解除してログファイル１０１を得る。
Ｓ１８２において、マスク解除部３４０はログファイル１０１とクライアント識別子とをログ提供エージェント部３５０に受け渡す。
Ｓ１８３において、ログ提供エージェント部３５０はログファイル１０１とクライアント識別子とをログ監視装置１３０へ送信する。
Ｓ１９０において、ログ監視装置１３０のログ解析部１３１はログファイル１０１を解析し、解析結果を出力する。
【０１４３】
実施の形態２において、例えば、以下のようなログ収集システム１１０について説明した。
【０１４４】
複数のマスクデータを作成し、初期処理（マスクデータ生成工程）の段階において識別子との対でマスクデータをクライアントとサーバ間で交換する。
そして、複数のマスクデータから圧縮効率の高い最適なマスクデータを選択し、ログ情報の収集する。
【０１４５】
実施の形態３．
時間帯毎にマスクデータを用意し、該当時間帯のマスクデータを用いてログファイルをマスクする形態について説明する。
以下、実施の形態１−２と異なる事項について主に説明する。説明を省略する事項は実施の形態１−２と同様である。
【０１４６】
ログ監視システム１００の構成は、実施の形態１（図１参照）と同じである。
【０１４７】
クライアント記憶部は、時間に対応づけて複数のマスクデータ１０３を記憶する。
マスク処理部２３０は、クライアント記憶部に記憶された複数のマスクデータ１０３のうち当該時間に対応するマスクデータ１０３を用いてマスクログファイル１０４を生成する。
【０１４８】
マスク解除部３４０は、マスクログファイル１０４に対応するマスクデータ１０３を用いてマスクログファイル１０４からログファイル１０１を復元する。
【０１４９】
図１６は、実施の形態３におけるマスクデータ生成工程を示すシーケンス図である。
実施の形態３におけるマスクデータ生成工程の処理の流れについて、図１６に基づいて以下に説明する。
【０１５０】
Ｓ１１０〜Ｓ１３０は実施の形態１（図３参照）と同じである。
Ｓ１３１Ｃ〜Ｓ１４１Ｃは実施の形態１で説明したＳ１３１〜Ｓ１４１に相当する処理である。
以下、Ｓ１３１Ｃ〜Ｓ１４１Ｃについて実施の形態１のＳ１３１〜Ｓ１４１と異なる事項を主に説明する。
【０１５１】
Ｓ１３１Ｃにおいて、マスクデータ生成部２２０は、ログ取得エージェント部２１０からログファイル１０１を取得し、取得したログファイル１０１をクライアント記憶部に記憶する。
マスクデータ生成部２２０は、クライアント記憶部に記憶されているログファイル１０１に基づいて、時間帯毎にマスクデータ１０３を生成する。
例えば、マスクデータ生成部２２０は、複数世代のログファイル１０１それぞれに対してログファイル１０１に含まれる複数のログレコード１０２を時間帯で分ける。そして、マスクデータ生成部２２０は、時間帯が同じであり世代が異なるログレコード１０２に基づいて各時間帯用のマスクデータ１０３を生成する。
マスクデータ生成部２２０は、各時間帯用のマスクデータ１０３をクライアント記憶部に記憶する。
マスクデータ１０３の生成タイミングおよび生成方法は実施の形態１（Ｓ１３１）と同じである。
【０１５２】
図１７は、実施の形態３におけるマスクデータ生成処理（Ｓ１３１Ｃ）の概要図である。
実施の形態３におけるマスクデータ生成処理（Ｓ１３１Ｃ）について、図１７に基づいて以下に説明する。
【０１５３】
マスクデータ生成部２２０は、当日の第１の時間帯（１２時台）に記録されたログレコード１０２ｃ１と前日の第１の時間帯に記録されたログレコード１０２ｃ２とに基づいて第１の時間帯用のマスクデータ１０３ｃを生成する。
マスクデータ生成部２２０は、第１の時間帯以外の時間帯についても同様に、当日と前日の同時間帯のログレコード１０２に基づいて当該時間帯用のマスクデータ１０３を生成する。
【０１５４】
図１６に戻り、マスクデータ生成工程の説明を続ける。
【０１５５】
Ｓ１３１Ｃの後、処理はＳ１３２Ｃに進む。
【０１５６】
Ｓ１３２Ｃにおいて、マスクデータ生成部２２０は各時間帯用のマスクデータ１０３をログ送信部２５０に受け渡す。
Ｓ１３３Ｃにおいて、ログ送信部２５０は各時間帯用のマスクデータ１０３をログ収集サーバ装置３００へ送信する。
Ｓ１４０Ｃにおいて、ログ収集サーバ装置３００のログ受信部３１０は各時間帯用のマスクデータ１０３をマスクデータ管理部３３０へ受け渡す。
Ｓ１４１Ｃにおいて、マスクデータ管理部３３０は各時間帯用のマスクデータ１０３を管理する。
【０１５７】
図１８は、実施の形態３におけるマスクログ生成工程を示すシーケンス図である。
実施の形態３におけるマスクログ生成工程の処理の流れについて、図１８に基づいて以下に説明する。
【０１５８】
Ｓ１５１Ｃ以外の処理は実施の形態１（図６参照）と同じである。
【０１５９】
Ｓ１５１Ｃにおいて、マスク処理部２３０はログファイル１０１が生成された時間帯用のマスクデータ１０３をクライアント記憶部から取得する。
例えば、マスク処理部２３０はログファイル１０１に含まれるログレコード１０２を参照する。ログレコード１０２が１２時台の時刻を示す場合、マスク処理部２３０は１２時台用のマスクデータ１０３を取得する。
【０１６０】
そして、マスク処理部２３０は取得したマスクデータ１０３を用いてマスクログファイル１０４を生成する。このとき、時間（時分秒）はマスクしないものとする（Ｓ１５２）。
【０１６１】
図１９は、実施の形態３におけるログ復元・解析工程を示すシーケンス図である。
実施の形態３におけるログ復元・解析工程の処理の流れについて、図１９に基づいて以下に説明する。
【０１６２】
Ｓ１８０Ｃ以外の処理は実施の形態１（図８参照）と同じである。
【０１６３】
Ｓ１８０Ｃにおいて、マスク解除部３４０はマスクログファイル１０４に対応するマスクデータ１０３をマスクデータ管理部３３０から取得する。
例えば、マスク解除部３４０はマスクログファイル１０４内のマスクログレコード１０５を参照する。マスクログレコード１０５が１２時台の時刻を示す場合、マスク解除部３４０は１２時台用のマスクデータ１０３を取得する。
【０１６４】
そして、マスク解除部３４０は取得したマスクデータ１０３を用いてログファイル１０１を復元する（Ｓ１８１）。
【０１６５】
実施の形態２と同様に、各時間帯用にマスクデータ１０３を複数用意し、当該時間帯用の複数のマスクデータ１０３を用いて複数の圧縮ログファイル１０６を生成し、データサイズの小さい圧縮ログファイル１０６を採用してもよい。
【符号の説明】
【０１６６】
１００  ログ監視システム、１０１  ログファイル、１０２  ログレコード、１０３  マスクデータ、１０４  マスクログファイル、１０５  マスクログレコード、１０６  圧縮ログファイル、１０９  マスターログファイル、１１０  ログ収集システム、１２０  監視対象システム、１２１  業務アプリケーション部、１３０  ログ監視装置、１３１  ログ解析部、２００  ログ収集クライアント装置、２１０  ログ取得エージェント部、２２０  マスクデータ生成部、２３０  マスク処理部、２４０  圧縮処理部、２５０  ログ送信部、３００  ログ収集サーバ装置、３１０  ログ受信部、３２０  解凍処理部、３３０  マスクデータ管理部、３４０  マスク解除部、３５０  ログ提供エージェント部、９０１  表示装置、９０２  キーボード、９０３  マウス、９０４  ドライブ装置、９１１  ＣＰＵ、９１２  バス、９１３  ＲＯＭ、９１４  ＲＡＭ、９１５  通信ボード、９２０  磁気ディスク装置、９２１  ＯＳ、９２２  ウィンドウシステム、９２３  プログラム群、９２４  ファイル群。
【図１】
2011128915.tif 000003
【図２】
2011128915.tif 000004
【図３】
2011128915.tif 000005
【図４】
2011128915.tif 000006
【図５】
2011128915.tif 000007
【図６】
2011128915.tif 000008
【図７】
2011128915.tif 000009
【図８】
2011128915.tif 000010
【図９】
2011128915.tif 000011
【図１０】
2011128915.tif 000012
【図１１】
2011128915.tif 000013
【図１２】
2011128915.tif 000014
【図１３】
2011128915.tif 000015
【図１４】
2011128915.tif 000016
【図１５】
2011128915.tif 000017
【図１６】
2011128915.tif 000018
【図１７】
2011128915.tif 000019
【図１８】
2011128915.tif 000020
【図１９】
2011128915.tif 000021