(57)【要約】【課題】特定のノードにデータが収集されるネットワークシステムにおいて特定のノードの周辺のネットワーク負荷の過剰な増加が回避される可能性を高めること。【解決手段】設定装置は、特定のノードへデータを送信する予定の各ノードからの送信予定のデータ量を、前記各ノードから取得する第一の取得部と、前記第一の取得部によって取得されるデータ量の総和が閾値以下であるかを判定する判定部と、前記総和が前記閾値を超える場合に、前記特定のノードへのデータの送信経路に、データ量を削減する処理を実行する１以上のノードを追加する追加部と、ノードの追加後に前記特定のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量の総和が前記閾値以下である場合は、当該各ノードに対して、前記特定のノードへのデータの送信を開始させるための設定を行う設定部と、を有する。【選択図】図３
2015207918.tif 000002
【特許請求の範囲】
【請求項１】
特定のノードへデータを送信する予定の各ノードからの送信予定のデータ量を、前記各ノードから取得する第一の取得部と、
前記第一の取得部によって取得されるデータ量の総和が閾値以下であるかを判定する判定部と、
前記総和が前記閾値を超える場合に、前記特定のノードへのデータの送信経路に、データ量を削減する処理を実行する１以上のノードを追加する追加部と、
ノードの追加後に前記特定のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量の総和が前記閾値以下である場合は、当該各ノードに対して、前記特定のノードへのデータの送信を開始させるための設定を行う設定部と、
を有することを特徴とする設定装置。
【請求項２】
前記追加部は、ノードの追加後に前記特定のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量が前記閾値を超える場合は、前記送信経路に、データ量を削減する処理を実行する１以上のノードを更に追加する、
ことを特徴とする請求項１記載の設定装置。
【請求項３】
前記追加部は、ノードの追加前に前記特定のノードへデータを送信する予定の各ノードのうちの一部のノードについて、データの送信先を追加されるノードとし、前記追加されるノードを、前記特定のノードへデータを送信する予定のノードに含める、
ことを特徴とする請求項２記載の設定装置。
【請求項４】
前記追加部は、前記特定のノードへのデータの送信経路に追加されるノードに、データ量を削減する処理を割り当てる、
ことを特徴とする請求項１乃至３いずれか一項記載の設定装置。
【請求項５】
前記データ量を削減する処理に利用される情報を、前記特定のノードへデータを送信する予定のいずれかのノードから取得する第二の取得部を有し、
前記追加部は、前記特定のノードへのデータの送信経路に追加されるノードに、前記第二の取得部によって取得された情報に基づいて特定されるデータのデータ量を削減する処理を割り当てる、
ことを特徴とする請求項４記載の設定装置。
【請求項６】
複数のノードを含むネットワークシステムであって、
前記複数のノードのうちの第一のノードは、
前記第一のノードへデータを送信する予定の各ノードからの送信予定のデータ量を、前記各ノードから取得する第一の取得部と、
前記第一の取得部によって取得されるデータ量の総和が閾値以下であるかを判定する判定部と、
前記総和が前記閾値を超える場合に、前記第一のノードへのデータの送信経路に、データ量を削減する処理を実行する１以上のノードを追加する追加部と、
ノードの追加後に前記第一のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量の総和が前記閾値以下である場合は、当該各ノードに対して、前記第一のノードへのデータの送信を開始させるための設定を行う設定部と、
を有することを特徴とするネットワークシステム。
【請求項７】
コンピュータに、
特定のノードへデータを送信する予定の各ノードからの送信予定のデータ量を、前記各ノードから取得し、
取得されるデータ量の総和が閾値以下であるかを判定し、
前記総和が前記閾値を超える場合に、前記特定のノードへのデータの送信経路に、データ量を削減する処理を実行する１以上のノードを追加し、
ノードの追加後に前記特定のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量の総和が前記閾値以下である場合は、当該各ノードに対して、前記特定のノードへのデータの送信を開始させるための設定する、
処理を実行させる設定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、設定装置、ネットワークシステム、及び設定プログラムに関する。
【背景技術】
【０００２】
機器において発生するイベントやセンサ等において検知されるイベントを、ネットワークを介して収集して各種のサービスに活用するセンサネットワークシステムが実現され始めている。例えば、機器に内蔵されたセンサで検出された機器の動作状況を示すログデータをクラウド側に収集し、当該ログデータに基づいて自動的にリモートメンテナンスが行われる。又は、電力センサで検出された機器の使用電力を示す電力データをクラウド側に収集し、当該電力データに基づいて自動的に省電力制御が行われる。
【０００３】
イベントの発生元となる機器又はセンサ等（以下、「センサノード」という。）」が多くなればなるほど、有用な情報を得ることができる。一方で、センサノードの増加は、ネットワーク帯域の逼迫や、イベントが収集されるルートノードの負荷の増加の原因となる。
【０００４】
そこで、ルートノードで行われるイベントのフィルタリング処理やイベントの集約処理等のイベント加工処理をノードに実行させるプログラムモジュール（以下、単に「モジュール」という。）を、センサノードや、イベントを中継するＧＷ（gateway）ノード等の前線のノード（以下、「下位ノード」という。）に配備することで、ネットワークトラフィック及びサーバの負荷を低下させる方法が考案されている（例えば、特許文献１参照）。
【０００５】
イベントのフィルタリング処理とは、例えば、不要なイベントを破棄する処理である。イベントの集約処理とは、複数のイベントを集約して、当該複数のイベントに基づいて得られるイベントを出力する処理である。例えば、電力を示すイベントを１時間ごとに集約し、電力量を示すイベントを出力する処理が、集約処理の一例として挙げられる。フィルタリング処理や集約処理等をノードに実行させるモジュールが、下位ノードに配備されることで、下位ノードにおいてこれらの加工処理が行われるようになる。その結果、ルートノードに到達するイベントの数を削減することができ、ネットワークトラフィックやルートノードの負荷の低下を図ることができる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１３−４７９２２号公報
【特許文献２】特開２０１３−１７５１３４号公報
【特許文献３】特開平７−４４４９５号公報
【特許文献４】特開２０１３−１６４６９４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上記の方法では、モジュールが下位ノードに分散配備される前の初期状態において、全てのモジュールは、ルートノードに配備される。すなわち、初期状態において、全ての加工処理はルートノードにおいて実行される。この状態において、各ノードにおけるイベントの発生状況（各ノードからのイベントの出力状況）等が監視されることで、効果的にネットワークトラフィックを削減することができるノードが選択され、選択されたノードにモジュールが配備される。
【０００８】
しかしながら、例えば、大規模なシステムにおいては、多数のセンサや機器から収集されるイベント数が膨大になり、初期状態において、ルートノード周辺のネットワーク負荷が過剰となり、モジュールの分散配備の実施に支障をもたらす可能性が有ると考えられる。
【０００９】
そこで、一側面では、特定のノードにデータが収集されるネットワークシステムにおいて特定のノードの周辺のネットワーク負荷の過剰な増加が回避される可能性を高めることを目的とする。
【課題を解決するための手段】
【００１０】
一つの案では、設定装置は、特定のノードへデータを送信する予定の各ノードからの送信予定のデータ量を、前記各ノードから取得する第一の取得部と、前記第一の取得部によって取得されるデータ量の総和が閾値以下であるかを判定する判定部と、前記総和が前記閾値を超える場合に、前記特定のノードへのデータの送信経路に、データ量を削減する処理を実行する１以上のノードを追加する追加部と、ノードの追加後に前記特定のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量の総和が前記閾値以下である場合は、当該各ノードに対して、前記特定のノードへのデータの送信を開始させるための設定を行う設定部と、を有する。
【発明の効果】
【００１１】
一態様によれば、特定のノードにデータが収集されるネットワークシステムにおいて特定のノードの周辺のネットワーク負荷の過剰な増加が回避される可能性を高めることができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の実施の形態におけるネットワークシステムの構成例を示す図である。
【図２】本発明の実施の形態におけるルートノードのハードウェア構成例を示す図である。
【図３】本発明の実施の形態におけるルートノードの機能構成例を示す図である。
【図４】モジュール記憶部の構成例を示す図である。
【図５】モジュール定義記憶部の構成例を示す図である。
【図６】ＮＷトポロジー記憶部の構成例を示す図である。
【図７】トラフィック量記憶部に記憶されるトラフィック量の第一の例を示す図である。
【図８】配備先情報記憶部の構成例を示す図である。
【図９】本発明の実施の形態におけるＧＷノードの機能構成例を示す図である。
【図１０】本発明の実施の形態におけるサーバノードの機能構成例を示す図である。
【図１１】初期配備処理の処理手順の一例を説明するためのフローチャートである。
【図１２】配備先情報記憶部の第一の更新例を示す図である。
【図１３】送信先情報の第一の例を示す図である。
【図１４】ネットワークシステムにおけるイベントデータのフローを示す第一の図である。
【図１５】トラフィック量記憶部に記憶されるトラフィック量の第二の例を示す図である。
【図１６】配備先情報記憶部の第二の更新例を示す図である。
【図１７】送信先情報の第二の例を示す図である。
【図１８】ネットワークシステムにおけるイベントデータのフローを示す第二の図である。
【図１９】トラフィック量記憶部に記憶されるトラフィック量の第三の例を示す図である。
【図２０】配備先情報記憶部の第三の更新例を示す図である。
【図２１】送信先情報の第三の例を示す図である。
【図２２】ネットワークシステムにおけるイベントデータのフローを示す第三の図である。
【図２３】トラフィック量記憶部に記憶されるトラフィック量の第四の例を示す図である。
【図２４】配備先情報記憶部の第四の更新例を示す図である。
【図２５】送信先情報の第四の例を示す図である。
【図２６】ネットワークシステムにおけるイベントデータのフローを示す第四の図である。
【図２７】トラフィック量記憶部に記憶されるトラフィック量の第五の例を示す図である。
【図２８】送信先が不定であるイベントデータをルートノードへ送信させるための送信先情報の例を示す図である。
【図２９】ネットワークシステムにおけるイベントデータのフローを示す第五の図である。
【発明を実施するための形態】
【００１３】
以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態におけるネットワークシステムの構成例を示す図である。図１に示されるネットワークシステム１は、サーバコンピュータにおいて生成されるログ情報を収集し、ログ情報に基づいて各サーバコンピュータが構成するシステム毎に異常を検知し、システムにおける異常の発生を、当該システムの管理者等に通知等するものである。
【００１４】
図１において、ネットワークシステム１は、サーバノード３０ａ、３０ｂ、３０ｃ、及び３０ｄ等の１以上のサーバノード３０、ＧＷノード２０ａ、２０ｂ、２０ｃ、及び２０ｄ等の１以上のＧＷノード２０、及び１つのルートノード１０等を含む。各ノードは、相互にネットワークを介して通信可能とされている。なお、サーバノード３０ａ、３０ｂ、３０ｃ、及び３０ｄを区別しない場合、「サーバノード３０」という。また、ＧＷノード２０ａ、２０ｂ、２０ｃ、及び２０ｄを区別しない場合、「ＧＷノード２０」という。
【００１５】
サーバノード３０は、所定のサービスの提供するサーバコンピュータである。サーバノード３０は、自身が有するログ生成機能によって生成されるログ情報を示すイベントデータ（以下、「ログデータ」という。）を、リアルタイムに又は一定期間毎に、ＧＷノード２０又はルートノード１０に送信する。なお、サーバノード３０ａ及び３０ｂは、サーバシステム４０ｘに属する。サーバノード３０ｃ及び３０ｄは、サーバシステム４０ｙに属する。
【００１６】
ＧＷノード２０は、サーバノード３０又は他のＧＷノード２０からイベントデータを受信し、受信されたイベントデータを、他のＧＷノード２０又はルートノード１０に送信（又は転送）する通信機器である。ＧＷノード２０は、必要に応じて、受信されたイベントデータに対して加工処理を実行し、加工処理によって生成されるイベントデータを送信する。
【００１７】
加工処理とは、例えば、フィルタリング処理又は集約処理等である。フィルタリング処理とは、例えば、不要なイベントを破棄する処理である。集約処理とは、複数のイベントを集約することにより得られるイベントを出力する処理である。加工処理によれば、ネットワークシステム１において流通するイベントデータのデータ量を削減することができる。但し、データ量が削減されない加工処理が存在してもよい。
【００１８】
ルートノード１０は、イベントデータが収集されるノードである。ルートノード１０に収集されるイベントデータに基づいて、各種のサービスが提供される。ルートノード１０は、また、イベントデータに対する加工処理を、各ノードに分散して配備させるための処理（以下、「分散配備処理」という。）を実行する。本実施の形態において、分散配備処理は、初期配備処理と本配備処理との２段階の手順を含む。
【００１９】
初期配備処理は、ルートノード１０へのイベントデータの送信が開始される前において各ノードに加工処理を配備する処理をいう。すなわち、初期配備処理では、ルートノード１０へのイベントデータの送信は実行されず、下位ノードにおいて部分的にイベントデータの送信が行われる。初期配備処理では、イベントデータの発生状況や、ネットワークシステム１における部分的なイベントデータの送信状況等に基づいて、順次、加工処理の配備先が決定され、当該配備先に加工処理が配備される。加工処理の配備は、イベントデータのトラフィック量が、ルートノード１０が受信可能な許容量以下となるまで繰り返される。換言すれば、初期配備処理は、イベントデータのトラフィック量が、ルートノード１０によって受信可能な許容量以下となった時点で終了する。
【００２０】
初期配備処理が終了すると、ルートノード１０にもイベントデータが送信されるようになる。その後、本配備処理が実行される。本配備処理では、ネットワークシステム１における全体のイベントデータの送信状況に鑑みて、イベントデータのトラフィック量の削減の効果が大きいことが期待されるノードに対して、加工処理が配備される。
【００２１】
すなわち、本実施の形態では、初期配備処理によって、ルートノード１０が受信可能な程度までトラフィック量が削減された後に、本配備処理が実行される。したがって、イベントデータの加工処理の分散配備に際し、ルートノード１０周辺の負荷の過剰な増加を回避できる可能性を高めることができる。なお、本配備処理は、公知の方法によって実行されてもよい。例えば、特開２０１３−４７９２２号公報等に記載された方法によって、本配備処理が実行されてもよい。本実施の形態では、主に、初期配備処理について説明する。
【００２２】
なお、本実施の形態において、ルートノード１０から見て、サーバノード３０及びＧＷノード２０を区別しない場合、これらのノードを「下位ノード」という。また、イベントデータの送信元のノードに対する送信先のノードを、「上位ノード」という。
【００２３】
また、図１では、イベントデータの送信に関する論理的なネットワーク構成が示されている。イベントデータやその他の通信データを構成するパケット等の送信は、別途配置されるルータ等を介して行われる。したがって、例えば、各サーバノード３０とルートノード１０とは、ＧＷノード２０を介さずに通信することも可能である。
【００２４】
図２は、本発明の実施の形態におけるルートノードのハードウェア構成例を示す図である。図２のルートノード１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。
【００２５】
ルートノード１０での処理を実現するプログラムは、記録媒体１０１によって提供される。プログラムを記録した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
【００２６】
メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従ってルートノード１０に係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。
【００２７】
なお、記録媒体１０１の一例としては、ＣＤ−ＲＯＭ、ＤＶＤディスク、又はＵＳＢメモリ等の可搬型の記録媒体が挙げられる。また、補助記憶装置１０２の一例としては、ＨＤＤ（Hard Disk Drive）又はフラッシュメモリ等が挙げられる。記録媒体１０１及び補助記憶装置１０２のいずれについても、コンピュータ読み取り可能な記録媒体に相当する。
【００２８】
図３は、本発明の実施の形態におけるルートノードの機能構成例を示す図である。図３において、ルートノード１０は、モジュール登録部１１１、ＮＷトポロジー取得部１１２、トラフィック量集計部１１３、トラフィック量判定部１１４、属性情報取得先選択部１１５、属性情報取得部１１６、インスタンス生成部１１７、配備先決定部１１８、配備実行部１１９、及び送信先設定部１２０等を有する。これら各部は、ルートノード１０にインストールされたプログラムが、ＣＰＵ１０４に実行させる処理により実現される。
【００２９】
ルートノード１０は、また、モジュール記憶部１３１、モジュール定義記憶部１３２、ＮＷトポロジー記憶部１３３、トラフィック量記憶部１３４、及び配備先情報記憶部１３５等を利用する。これら各記憶部は、補助記憶装置１０２、又はルートノード１０にネットワークを介して接続される記憶装置等を用いて実現可能である。
【００３０】
モジュール登録部１１１は、各ノードに加工処理を実行させるプログラムモジュール（以下、単に「モジュール」という。）に関する情報を、モジュール記憶部１３１及びモジュール定義記憶部１３２に登録する。例えば、モジュール登録部１１１は、モジュールの開発者が利用する端末装置からモジュールのアップロードを受け付け、当該モジュールをモジュール記憶部１３１に登録する。モジュール登録部１１１は、また、アップロードされたモジュールに関する定義情報を、モジュールの開発者が利用する端末装置から受け付け、当該定義情報をモジュール定義記憶部１３２に登録する。
【００３１】
図４は、モジュール記憶部の構成例を示す図である。図４において、モジュール記憶部１３１は、モジュール識別子に対応付けて、モジュールの実体であるバイナリコードを記憶する。モジュール識別子は、モジュールごとの識別情報である。例えば、Ｃ言語でプログラミングされたモジュールについては関数名がモジュール識別子とされてもよい。また、Ｊａｖａ（登録商標）言語でプログラミングされたモジュールについてはクラス名がモジュール識別子とされてもよい。
【００３２】
図４において、モジュール識別子が、「システムＩＤ付与」であるモジュール（以下、「システムＩＤ付与モジュール」という。）は、ログデータに対して、当該ログデータの生成元のサーバノード３０が属するサーバシステム４０の識別情報（以下、「システムＩＤ」という。）を付与する処理（以下、「システムＩＤ付与処理」という。）を、当該モジュールが配備されたノードに実行させるモジュールである。システムＩＤ付与処理は、ログデータに対してシステムＩＤを付与する処理であるため、システムＩＤ付与処理に入力されるイベントデータの数と、システムＩＤ付与処理から出力されるイベントデータの数との関係は、１対１である。
【００３３】
また、モジュール識別子が、「異常検知」であるモジュール（以下、「異常検知モジュール」という。）は、システムＩＤが付与されたログデータに基づいて、サーバシステム４０別に、異常の発生の検知を行う処理（以下、「異常検知処理」という。）を、当該モジュールが配備されたノードに実行させるモジュールである。異常検知処理では、異常な値（文字列）を含むログデータが検知された場合に、異常の検知を示すイベントデータが出力される。したがって、異常検知処理に入力されるイベントデータの数と、異常検知処理から出力されるイベントデータの数との関係は、多対１である。すなわち、異常検知処理によれば、イベントデータのデータ量が削減される。
【００３４】
なお、モジュール記憶部１３１には、モジュールに関してバイナリコード以外のデータが記憶されてもよい。例えば、モジュールがスクリプト言語で実装される場合には、スクリプトが記述されたテキストデータが、モジュール識別子に対応付けられて記憶されてもよい。また、コンパイル前のソースコードがモジュール識別子に対応付けられて記憶されてもよい。ソースコードが記憶される場合に、モジュールが配備される段階においてルートノード１０又は配備先のノードでコンパイル等が実行されてもよい。
【００３５】
図５は、モジュール定義記憶部の構成例を示す図である。図５において、モジュール定義記憶部１３２は、モジュール記憶部１３１に記憶されたモジュールごとに、モジュール識別子、入力イベント型名、出力イベント型名、及び集約属性名等を対応付けて記憶する。
【００３６】
入力イベント型名は、モジュールに対して入力データとなるイベントデータのイベント型の名前である。イベント型とは、イベントデータのデータ型である。又は、イベント型は、イベントデータによって示されるイベントの型若しくは種別であるともいえる。例えば、ログデータのイベント型名は、「サーバログ」である。システムＩＤ付与処理によって出力されるイベントデータのイベント型名は、「システムＩＤ付きサーバログ」である。異常検知処理によって出力されるイベントデータのイベント型名は、「異常検知」である。
【００３７】
出力イベント型名は、モジュールによって出力されるイベントデータのイベント型名である。集約属性名は、イベントデータに含まれる属性項目のうちイベントデータを集約する単位を識別するための属性項目の項目名である。
【００３８】
図５では、システムＩＤ付与処理を実行するモジュールは、サーバログ型のイベントデータ（すなわち、ログデータ）が入力されると、システムＩＤ付与付きサーバログ型のイベントデータを出力することが示されている。なお、システムＩＤ付与処理では、ログデータに含まれている属性のうち、項目名が「ホストＩＤ」の値によって、システムＩＤが特定される。したがって、集約属性名として、「ホストＩＤ」が記憶されている。なお、ホストＩＤとは、サーバノード３０ごとの識別情報である。
【００３９】
また、異常検知処理を実行するモジュールは、システムＩＤ付きサーバログ型のイベントデータが入力されると、異常検知型のイベントデータを出力することが示されている。なお、異常の検知は、システムＩＤ単位でおこなわれる。したがって、集約属性名には、「システムＩＤ」が記憶されている。
【００４０】
ＮＷトポロジー取得部１１２は、各ノードの接続関係を示すネットワークトポロジーに関する情報を取得する。例えば、ＮＷトポロジー取得部１１２は、各下位ノードから、当該下位ノードに接続された上位ノードのノードＩＤを取得する。ノードＩＤとは、ノードごとの識別情報である。ＮＷトポロジー取得部１１２は、取得されたノードＩＤを、当該ノードＩＤの取得元のノードのノードＩＤに対応付けてＮＷトポロジー記憶部１３３に記憶する。
【００４１】
図６は、ＮＷトポロジー記憶部の構成例を示す図である。図６に示されるように、ＮＷトポロジー記憶部１３３は、各下位ノードのノードＩＤに対応付けて、当該下位ノードに接続される上位ノードのノードＩＤを記憶する。「サーバノードＡ」、「サーバノードＢ」、サーバノードＣ」、「サーバノードＤ」は、それぞれ、サーバノード３０ａ、３０ｂ、３０ｃ、３０ｄのノードＩＤである。「ＧＷノードＡ」、「ＧＷノードＢ」、ＧＷノードＣ」、「ＧＷノードＤ」は、それぞれ、ＧＷノード２０ａ、２０ｂ、２０ｃ、２０ｄのノードＩＤである。「ルートノード」は、ルートノード１０のノードＩＤである。
【００４２】
図６の例は、図１に示される各ノードの接続関係に対応する。すなわち、図６の例では、サーバノード３０ａ及びサーバノード３０ｂの上位ノードがＧＷノード２０ａであり、サーバノード３０ｃ及びサーバノード３０ｄの上位ノードがＧＷノード２０ｂであり、ＧＷノード２０ａの上位ノードがＧＷノード２０ｃであり、ＧＷノード２０ｂの上位ノードがＧＷノード２０ｄであり、ＧＷノード２０ｃ及びＧＷノード２０ｄの上位ノードがルートノード１０であることが示されている。なお、ＮＷトポロジー記憶部１３３には、ノード間のコスト（通信料や帯域幅等）が付加情報として記憶されてもよい。
【００４３】
トラフィック量集計部１１３は、ルートノード１０へ収集される予定のイベントデータのトラフィック量（データ量）を集計する。例えば、トラフィック量集計部１１３は、各下位ノードから、ルートノード１０への送信予定のイベントデータのトラフィック量を収集し、収集されたトラフィック量を、トラフィック量記憶部１３４に記憶する。トラフィック量集計部１１３は、トラフィック量記憶部１３４に記憶されたトラフィック量を集計する。
【００４４】
図７は、トラフィック量記憶部に記憶されるトラフィック量の第一の例を示す図である。図７において、トラフィック量記憶部１３４は、下位ノードごとに、ノードＩＤ、トラフィック量、及びイベント型名を対応付けて記憶する。
【００４５】
ノードＩＤは、トラフィック量の取得先のノードのノードＩＤである。トラフィック量は、ノードＩＤに係るノードからルートノード１０への送信予定のイベントデータのトラフィック量である。イベント型名は、ノードＩＤに係るノードからルートノード１０への送信予定のイベントデータのイベントタ型名である。
【００４６】
図７の例では、初期状態における各ノードにおけるトラフィック量が示されている。本実施の形態において、初期状態とは、分散配備処理の実行前であって、かつ、ルートノード１０へのイベントデータの送信が開始される前の状態をいう。したがって、初期状態において、イベントデータは、イベントデータの発生元であるサーバノード３０から先に送信されることはない。すなわち、初期状態における各サーバノード３０のトラフィック量は、当該サーバノード３０において生成されるログデータのデータ量を示す。また、サーバノード３０から上位にはログデータは送信されないため、各ＧＷノード２０に対するトラフィック量は「０」となっている。
【００４７】
トラフィック量判定部１１４は、トラフィック量集計部１１３による集計結果が、ルートノード１０が受信可能な許容量以下であるか否かを判定する。
【００４８】
属性情報取得先選択部１１５は、加工処理のインスタンスを生成するために必要な情報の取得先とする下位ノードを選択する。例えば、属性情報取得先選択部１１５は、いずれかの下位ノードに配備することで、ルートノード１０に収集されるトラフィック量の削減効果が高いと予測されるインスタンスを生成するために必要な情報の取得先とする下位ノードを選択する。
【００４９】
インスタンスとは、加工処理に対して、当該加工処理に利用される集約属性名について具体的な値が適用されたものをいう。例えば、システムＩＤ付与処理であれば、システムＩＤの付与対象とするログデータのホストＩＤの値が特定された結果が、システムＩＤ処理のインスタンスである。本実施の形態では、４つのサーバノード３０が有るため、４つのホストＩＤが有る。したがって、システムＩＤ付与処理に関しては、４つのインスタンスが生成される。また、加工処理のインスタンスを生成するための必要な情報とは、当該加工処理の集約属性名に係る属性項目の値（以下、「集約属性値」という。）である。例えば、システムＩＤ付与処理であれば、ホストＩＤの値である。異常検知処理であれば、システムＩＤの値である。
【００５０】
属性情報取得部１１６は、属性情報取得先選択部１１５によって選択された下位ノードから、加工処理のインスタンスを生成するために必要な情報を取得する。例えば、属性情報取得部１１６は、初期配備先として決定された下位ノードから、当該下位ノードに対して配備されるインスタンスについて、モジュール定義記憶部１３２に記憶されている集約属性名に係る集約属性値を取得する。
【００５１】
配備先決定部１１８は、初期配備処理及び本配備処理において、インスタンスの配備先とするノードを決定する。例えば、配備先決定部１１８は、インスタンスを配備することでイベントデータのトラフィック量の削減効果が高いノードを、当該インスタンスの配備先として決定する。配備先決定部１１８による配備先の決定方法は、例えば、特開２０１３−４７９２２号公報に記載された方法と同様でもよい。
【００５２】
インスタンス生成部１１７は、属性情報取得部１１６によって取得された情報に基づいて、インスタンスを生成する。インスタンスは、例えば、モジュール識別子と集約属性値とが特定されることによって、生成される。
【００５３】
配備先決定部１１８及びインスタンス生成部１１７による処理結果は、配備先情報記憶部１３５に記憶される。
【００５４】
図８は、配備先情報記憶部の構成例を示す図である。図８において、配備先情報記憶部１３５は、配備先が決定されたインスタンスごとに、インスタンス識別子、入力イベント型、集約属性値、及び配備先ノードＩＤ等を記憶する。
【００５５】
インスタンス識別子は、インスタンスごとの識別子である。入力イベント型は、当該インスタンスに入力されるイベントデータのイベント型である。集約属性名は、当該インスタンスの集約属性名である。配備先ノードＩＤは、当該インスタンスの配備先のノードのノードＩＤである。
【００５６】
なお、本実施の形態において、インスタンス識別子は、「モジュール識別子［集約属性値］」という形式を有する。但し、図８は、初期状態における配備先情報記憶部１３５の記憶内容を示す。したがって、図８では、加工処理ごと（モジュールごと）に、インスタンス識別子が統合されている。すなわち、図８において、１行目のレコードは、システムＩＤ付与処理に関する複数のインスタンスの集合に対するレコードである。また、２行目のレコードは、異常検知処理である複数のインスタンスの集合に対するレコードである。したがって、図８に示されるレコードにおいて、インスタンス識別子は、当該インスタンスに利用されるモジュール識別子と同じ値となっている。
【００５７】
配備実行部１１９は、配備先情報記憶部１３５に記憶された配備先情報に基づいて、インスタンスの配備先のノードに対してモジュール及び当該モジュールによって実現されるインスタンスの集約属性値等を送信する。
【００５８】
送信先設定部１２０は、下位ノードごとに、イベントデータの送信経路を示す情報（以下、「送信先情報」という。）を生成し、生成された送信先情報を、各下位ノードに送信する。送信先情報の具体的な内容は、イベントデータの送信先のノードを示す情報である。すなわち、各加工処理には前後関係が有る。例えば、本実施の形態では、システムＩＤ付与処理の後に異常検知処理が実行される必要が有る。また、各インスタンスは、各ノードに分散されて配備される。したがって、各ログデータに対して、正しい順序で加工処理が実行されるようにするために、すなわち、各ログデータが正しい送信経路で送信（転送）されるようにするために、各ノードには、イベントデータの送信先のノードを示す送信先情報が設定される。
【００５９】
図９は、本発明の実施の形態におけるＧＷノードの機能構成例を示す図である。図９において、ＧＷノード２０は、ＮＷトポロジー検出部２１１、ＮＷトポロジー送信部２１２、モジュール受信部２１３、送信先情報受信部２１４、イベント受信部２１５、モジュール実行部２１６、イベント送信部２１７、トラフィック量集計部２１８、及び属性情報送信部２１９等を有する。これら各部は、ＧＷノード２０にインストールされたプログラムが、ＧＷノード２０のＣＰＵに実行させる処理により実現される。
【００６０】
ＧＷノード２０は、また、イベント記憶部２２１を有する。イベント記憶部２２１は、ＧＷノード２０が有する補助記憶装置又はメモリ装置等を用いて実現可能である。
【００６１】
ＮＷトポロジー検出部２１１は、当該ＧＷノード２０に接続されている上位ノードに関する情報を検出する。例えば、ＮＷトポロジー検出部２１１は、ＵＰｎＰ（Universal Plug and Play ）プロトコル等を用いて、当該ＧＷノード２０と同一のローカルネットワーク内に存在する他のＧＷノード２０を認識したり、ルートノード１０から他のＧＷノード２０の存在の通知を受けたりすることによって上位ノードを検出する。なお、ＧＷノード２０とルートノード１０とのネットワーク接続の確立は、ルートノード１０のＵＲＬ等のアドレス情報をＧＷノード２０に設定しておくことにより実現できる。
【００６２】
ＮＷトポロジー送信部２１２は、ＮＷトポロジー検出部２１１によって検出された情報を、ルートノード１０に送信する。例えば、ＮＷトポロジー送信部２１２は、当該ＧＷノード２０に接続されている上位ノードのノードＩＤをルートノード１０に送信する。
【００６３】
モジュール受信部２１３は、ルートノード１０から送信されるモジュール及び集約属性値を受信する。送信先情報受信部２１４は、ルートノード１０から送信される送信先情報を受信する。イベント受信部２１５は、サーバノード３０又は他のＧＷノード２０から送信されるイベントデータを受信する。
【００６４】
モジュール実行部２１６は、受信されたイベントデータに適用されるべきモジュール等が、モジュール受信部２１３によって受信されている場合に、当該モジュールに基づくインスタンスを実行する。
【００６５】
イベント記憶部２２１は、モジュール実行部２１６によって出力されるイベントデータの履歴を記憶する。例えば、モジュール実行部２１６によって実行される加工処理に関する、入力イベント型、入力イベントのトラフィック量、出力イベント型等が、イベント記憶部２２１に記憶される。
【００６６】
イベント送信部２１７は、イベント受信部２１５によって受信されたイベントデータ、又はモジュール実行部２１６によって実行される加工処理によって出力されるイベントデータを、送信先情報に基づいて特定されるノードへ送信する。
【００６７】
トラフィック量集計部２１８は、ＧＷノード２０からルートノード１０に送信されるイベントデータのトラフィック量を集計し、集計結果をルートノード１０に送信する。例えば、トラフィック量集計部２１８は、トラフィック量集計要求をルートノード１０から受信すると、イベント送信部２１７から送信される、又はイベント送信部２１７から送信予定のイベントデータのトラフィック量を集計し、集計結果をルートノード１０に送信する。
【００６８】
属性情報送信部２１９は、属性情報送信要求をルートノード１０から受信すると、モジュール実行部２１６によって処理され、送信されるイベントデータから、指定された属性項目の値を取り出し、当該値をルートノード１０に送信する。
【００６９】
図１０は、本発明の実施の形態におけるサーバノードの機能構成例を示す図である。図１０において、サーバノード３０は、ＮＷトポロジー検出部３１１、ＮＷトポロジー送信部３１２、送信先情報受信部３１３、イベント生成部３１４、イベント送信部３１５、トラフィック量集計部３１６、及び属性情報送信部３１７等を有する。これら各部は、サーバノード３０にインストールされたプログラムが、サーバノード３０のＣＰＵに実行させる処理により実現される。
【００７０】
イベント生成部３１４は、ログデータを生成する。その他の各部については、ＧＷノード２０が有する同名の各部と同様である。
【００７１】
なお、サーバノード３０は、モジュール受信部２１３及びモジュール実行部２１６等に対応する構成を有さない。これは、便宜上、本実施の形態において、サーバノード３０は、インスタンスの配備対象とされないからである。但し、サーバノード３０にインスタンスが配備されてもよい。この場合、サーバノード３０は、モジュール受信部２１３及びモジュール実行部２１６等に対応する構成を有してもよい。
【００７２】
以下、ルートノード１０が実行する初期配備処理の処理手順について説明する。図１１は、初期配備処理の処理手順の一例を説明するためのフローチャートである。図１１の処理の開始時において、各下位ノードに対して設定されている送信先情報は、全てのイベント型に関して送信先のノードが不定であることを示す。すなわち、全てのイベントデータについて、ノード間の送信は行われない。なお、送信先ノードが不定であるイベントデータは、ルートノード１０に送信される予定のイベントデータである。但し、送信先情報において、送信先がルートノードであることが示されていると、ルートノードへのイベントデータの送信が開始されてしまうため、当初の送信先情報では、全てのイベント型に関して送信先のノードが不定とされている。
【００７３】
ステップＳ１０１において、トラフィック量集計部１１３は、各下位ノードから、送信先が不定であるイベントデータのトラフィック量を取得し、取得されたトラフィック量をトラフィック量記憶部１３４に記憶する。すなわち、トラフィック量集計部１１３は、各サーバノード３０のトラフィック量集計部３１６、及び各ＧＷノード２０のトラフィック量集計部２１８によって集計されているトラフィック量を、各サーバノード３０及び各ＧＷノード２０から取得する。この時点における取得結果は、例えば、図７に示される通りである。この時点では、イベントデータの送信は行われないため、各サーバノード３０において生成されるログデータの送信先が不定である。したがって、各サーバノード３０において生成されるログデータのトラフィック量が取得される。なお、トラフィック量をトラフィック量記憶部１３４において、トラフィック量が記憶されているノードは、その時点において、ルートノードへイベントデータを送信する予定のノードである。
【００７４】
続いて、トラフィック量集計部１１３は、トラフィック量記憶部１３４に記憶されているトラフィック量を集計する（Ｓ１０２）。すなわち、トラフィック量記憶部１３４に記憶されているトラフィック量の総和が算出される。図７の例では、集計結果は、以下の通りである。
【００７５】
１００＋５０＋８０＋７０＝３００（Ｍｂｐｓ）
続いて、トラフィック量判定部１１４は、集計結果が、閾値α以下であるか否かを判定する（Ｓ１０３）。閾値αは、例えば、ルートノード１０の受信可能な許容量である。すなわち、ここでは、各サーバノード３０において発生するイベントデータ（ログデータ）が、そのままサーバノード３０に送信された場合に、サーバノード３０が、全てのイベントデータを受信可能か否かが判定される。なお、安全を見込んで、当該許容量より小さい値が閾値αとされてもよい。本実施の形態において、閾値αの値は、２００（Ｍｐｂｓ）であるとする。したがって、各下位ノードのトラフィック量が図７に示される通りである場合、集計結果は、閾値αを超えると判定される。
【００７６】
集計結果が閾値αを超える場合（Ｓ１０３でＮｏ）、属性情報取得先選択部１１５は、インスタンスの生成に必要な属性値の取得先とする下位ノードを一つ選択する（Ｓ１０４）。選択候補となる下位ノードは、トラフィック量が０より大きい下位ノードである。本実施の形態では、選択候補の中でトラフィック量が最大である下位ノードが選択される。ここで選択される下位ノードにおいて生成されるイベントデータは、上位ノードへ送信されることになる。イベントデータが上位ノードに送信されるということは、当該イベントデータに対して加工処理が実行されることを意味する。そうすると、選択候補の中でトラフィック量が最大である下位ノードのイベントデータに対して加工処理が適用されれば、トラフィック量の削減効果が相対的に大きいと考えられる。したがって、本実施の形態では、選択候補の中でトラフィック量が最大である下位ノードが選択される。なお、選択候補の中からの一つの下位ノードの選択方法は、特定のものに限定されない。例えば、ランダムに下位ノードが選択されてもよい。
【００７７】
図７の例では、サーバノード３０ａのトラフィック量が最大である。したがって、サーバノード３０ａが、属性値の取得先として選択される。
【００７８】
続いて、属性情報取得部１１６は、選択された下位ノードにおいて送信予定のイベントデータの属性値を取得する（Ｓ１０５）。属性値の取得対象となる属性項目は、例えば、トラフィック量記憶部１３４及びモジュール定義記憶部１３２に基づいて特定される。具体的には、図７に示されるトラフィック量記憶部１３４によれば、サーバノード３０ａにおいて発生しているイベントデータのイベント型は、サーバログ型である。また、図５に示されるモジュール定義記憶部１３２によれば、サーバログ型を入力イベント型名とするモジュールの集約属性名は、ホストＩＤである。したがって、ここでは、サーバノード３０ａにおいて生成されるログデータのホストＩＤの値が、サーバノード３０ａから取得される。サーバノード３０ａにおいて生成されるログデータのホストＩＤの値は、サーバノード３０ａのホストＩＤである。
【００７９】
続いて、インスタンス生成部１１７は、ステップＳ１０４において選択されたノードにおいて生成されているイベントデータに対して適用されるべきインスタンスを生成する（Ｓ１０５）。図５より、サーバノード３０ａにおいて発生しているサーバログ型のイベントデータを入力データとする処理は、システムＩＤ付与処理である。したがって、システムＩＤ付与処理に関して、サーバノード３０ａのホストＩＤを集約属性値とするインスタンスが生成される。当該インスタンスのインスタンス識別子は、「システムＩＤ付与［ホストＩＤ＝ａａ］」である。なお、「ａａ」は、サーバノード３０ａのホストＩＤである。
【００８０】
続いて、配備先決定部１１８は、ステップＳ１０６において生成されたインスタンスの配備先のノードを決定する（Ｓ１０７）。インスタンスの配備先のノードの決定は、公知の方法に基づいて、行われもよい。例えば、特開２０１３−４７９２２号公報に記載された方法に基づいて、インスタンスの配備先が決定されてもよい。または、ステップＳ１０４において選択された下位ノードに接続されている上位ノードが、インスタンスの配備先として決定されてもよい。ここでは、ＧＷノード２０ａが、インスタンスの配備先として決定されたこととする。その結果、配備先情報記憶部１３５は、図１２に示されるように更新される。
【００８１】
図１２は、配備先情報記憶部の第一の更新例を示す図である。図１２において、１番目のレコードが、新たに生成されたインスタンスに関する配備先情報を含むレコードである。当該レコードには、当該インスタンスのインスタンス識別子、当該インスタンスが利用するモジュールの入力イベント型及び集約属性名、並びに当該インスタンスの配備先のノードＩＤが含まれている。すなわち、当該レコードには、ＧＷノード２０ａに対して、ホストＩＤが「ａａ」であることに基づいて特定されるログデータに対するシステムＩＤ付与処理が割り当てられたことが示されている。
【００８２】
続いて、配備実行部１１９は、当該レコードに基づいて、ステップＳ１０７において配備先として決定されたノードに対するインスタンスの配備を実行する（Ｓ１０８）。すなわち、当該ノードに対してインスタンスが割り当てられる。ここでは、ＧＷノード２０ａに対して、システムＩＤ付与処理に係るモジュールと、システムＩＤ付与処理の集約属性名であるホストＩＤに対する集約属性値である「ａａ」とが、ＧＷノード２０ａに送信される。
【００８３】
続いて、送信先設定部１２０は、ステップＳ１０４において選択されたノードと、ステップＳ１０７においてインスタンスの配備先として決定されたノードとのそれぞれに対する送信先情報を生成し、当該送信先情報を当該各ノードに送信する（Ｓ１０９）。ここでは、図１３に示されるような送信先情報が送信される。
【００８４】
図１３は、送信先情報の第一の例を示す図である。図１３において、（１）は、サーバノード３０ａに対して送信される送信先情報の例である。（２）は、ＧＷノード２０ａに対して送信される送信先情報の例である。各送信先情報は、イベント型名、送信先モジュール、及び送信ノード等の項目を有する。イベント型名は、当該送信先情報によって送信先が示されるイベントデータのイベント型名である。送信先モジュールは、モジュールに対してイベントデータが入力される場合に、当該モジュールのモジュール識別子である。送信先ノードは、送信先のノードのノードＩＤである。
【００８５】
（１）によれば、サーバノード３０ａには、サーバログ型のイベントデータ（すなわち、ログデータ）の送信先が、ＧＷノード２０ａであることを示す送信先情報が送信される。（２）によれば、ＧＷノード２０ａには、サーバログ型のイベントデータを、システムＩＤ付与処理に係るモジュールに処理させることを示す送信先情報が送信される。但し、（２）には、システムＩＤ付与処理によって生成されるイベントデータの送信先のノードは、指定されていない。
【００８６】
（１）に示されるような送信先情報を受信したサーバノード３０ａは、ログデータをＧＷノード２０ａに送信するようになる。また、（２）に示されるような送信先情報を受信したＧＷノード２０ａは、サーバノード３０ａから受信されるログデータに対して、システムＩＤ付与処理を実行するようになる。なお、システムＩＤ付与処理を実行するために必要なモジュール及び集約属性値は、ステップＳ１０８において、ＧＷノード２０ａに送信されている。
【００８７】
図１３に示されるような送信先情報が、サーバノード３０ａ及びＧＷノード２０ｂに設定されることにより、ネットワークシステム１におけるイベントデータのフローは、図１４に示されるように変化する。
【００８８】
図１４は、ネットワークシステムにおけるイベントデータのフローを示す第一の図である。図１４において、ノード間を結ぶ破線の線分は、イベントデータが送信されない区間を示す。ノード間を結ぶ太線の矢印は、イベントデータが送信される区間、及びイベントデータの送信方向を示す。図１４では、サーバノード３０ａにおいて発生するログデータが、ＧＷノード２０ａに送信されるようになったことが示されている。但し、ＧＷノード２０ａに設定される送信先情報には、送信先のノードが指定されていないため、ＧＷノード２０ａからは、イベントデータは送信されない。このように、ステップＳ１０４〜Ｓ１０９によって、サーバ３０ａからのログデータの送信経路（転送経路）に対して加工処理を実行するＧＷノード２０ａが追加される。
【００８９】
続いて、ステップＳ１０１以降が繰り返される。図１４に示されるような状況において、ステップＳ１０１では、例えば、図１５に示されるようなトラフィック量が取得される。
【００９０】
図１５は、トラフィック量記憶部に記憶されるトラフィック量の第二の例を示す図である。図１５では、サーバノード３０ａのトラフィック量が０（Ｍｂｐｓ）になっている。これは、サーバノード３０ａにおいて発生するログデータについては、送信先が不定である状態が解消されたからである。一方、ＧＷノード２０ａに対するトラフィック量が、１００（Ｍｂｐｓ）になっている。当該トラフィック量の値は、図７に示されるサーバノード３０ａのトラフィック量と同じである。すなわち、ＧＷノード２０ａにおいては、サーバノード３０ａから受信されるログデータに対して、システムＩＤ付与処理が実行されることにより生成されるイベントデータの送信先のノードが不定である。また、システムＩＤ付与処理に入力されるイベントデータの数と、当該処理から出力されるイベントデータの数は、１対１である。したがって、サーバノード３０ａから受信されるログデータのトラフィック量が、そのままＧＷノード２０ａにおいて送信先が不定であるイベントデータのトラフィック量となる。なお、ＧＷノード２０ａにおいて送信先が不定であるイベントデータは、システムＩＤ付与処理によって生成されるシステムＩＤ付きサーバログ型のイベントデータである。したがって、図１５では、「システムＩＤ付きサーバログ」が、ＧＷノード２０ａのトラフィック量に対するイベント型名として記憶されている。また、サーバノード３０ａのトラフィック量が０（Ｍｂｐｓ）となり、ＧＷノード２０ａのトラフィック量が１００（Ｍｂｐｓ）となったことにより、サーバノード３０ａが、ルートノード１０へイベントデータを送信する予定のノードから除外され、ＧＷノード２０ａが、ルートノード１０へイベントデータを送信する予定のノードが追加されたことになる。
【００９１】
図１５に示されるトラフィック量の集計結果は、３００（Ｍｂｐｓ）であり、閾値αを超える（Ｓ１０３でＮｏ）。したがって、再度、ステップＳ１０４以降が実行される。ステップＳ１０４では、トラフィック量が最大であるＧＷノード２０ａが選択される。また、「システムＩＤ付与付きサーバログ」を入力イベント型名とする異常検知処理に関するインスタンスを生成するために必要なシステムＩＤが、ＧＷノード２０ａから取得される。より詳しくは、ＧＷノード２０ａは、ルートノード１０からのシステムＩＤの取得要求に応じ、ＧＷノード２０ａにおいて実行されるシステムＩＤ付与処理によってログデータに対して付与されるシステムＩＤをルートノード１０に返信する。なお、ログデータには、ホストＩＤが含まれている。システムＩＤ付与処理では、ログデータに含まれているホストＩＤに対応付けられて所定のデータベースに記憶されているシステムＩＤが、当該ログデータに対して付与される。サーバノード３０ａからのログデータに対しては、サーバシステム４０ｘのシステムＩＤ（「ｘｘ」）が付与される。
【００９２】
続いて、集約属性値を「ｘｘ」とする異常検知処理に関するインスタンスが生成され（Ｓ１０６）、当該インスタンスの配備先が、例えば、ＧＷノード２０ｃに決定される（Ｓ１０７）。その結果、配備先情報記憶部１３５は、図１６に示されるように更新される。
【００９３】
図１６は、配備先情報記憶部の第二の更新例を示す図である。図１６において、３番目のレコードが、新たに生成されたインスタンスに関する配備先情報を含むレコードである。当該レコードには、当該インスタンスのインスタンス識別子（「異常検知［システムＩＤ＝ｘｘ］」）、当該インスタンスが利用するモジュールの入力イベント型及び集約属性名、並びに当該インスタンスの配備先のノードＩＤが含まれている。
【００９４】
続いて、当該インスタンスが、ＧＷノード２０ｃに配備される（Ｓ１０８）。また、図１７に示される送信先情報が、ＧＷノード２０ａ及びＧＷノード２０ｃのそれぞれに送信される（Ｓ１０９）。
【００９５】
図１７は、送信先情報の第二の例を示す図である。図１７において、（１）は、ＧＷノード２０ａに対して送信される送信先情報であり、（２）は、ＧＷノード２０ｃに対して送信される送信先情報である。（１）の送信先情報は、図１３の（２）の送信先情報の定義に加えて、システムＩＤ付きサーバログ型のイベントデータを、ＧＷノード２０ｃに送信すべきことを示す定義を含む。また、（２）の送信先情報は、システムＩＤ付きサーバログ型のイベントデータに対して、異常検知処理を実行すべきことを示す。
【００９６】
図１７に示されるような送信先情報が、ＧＷノード２０ａ及びＧＷノード２０ｃのそれぞれに設定されることにより、ＧＷノード２０ａは、システムＩＤ付与処理によって生成されるイベントデータを、ＧＷノード２０ｃに送信するようになる。また、ＧＷノード２０ｃは、ＧＷノード２０ａから受信されるイベントデータに対して、異常検知処理を実行するようになる。その結果、ネットワークシステム１におけるイベントデータのフローは、図１８に示されるように変化する。
【００９７】
図１８は、ネットワークシステムにおけるイベントデータのフローを示す第二の図である。図１８には、ＧＷノード２０ａからＧＷノード２０ｃに対してイベントデータが送信されるようになったことが示されている。
【００９８】
続いて、ステップＳ１０１以降が繰り返される。図１８に示されるような状況において、ステップＳ１０１では、例えば、図１９に示されるようなトラフィック量が取得される。
【００９９】
図１９は、トラフィック量記憶部に記憶されるトラフィック量の第三の例を示す図である。図１９では、ＧＷノード２０ａにおいて送信先が不定であるイベントデータのトラフィック量が、０（Ｍｂｐｓ）となり、ＧＷノード２０ｃにおいて送信先が不定であるイベントデータのトラフィック量が、１０（Ｍｂｐｓ）となったことが示されている。ＧＷノード２０ｃにおけるトラフィック量が、１００（Ｍｂｐｓ）より少ないのは、ＧＷノード２０ｃにおいて実行される異常検知処理によって、ＧＷノード２０ｃから受信されるイベントデータの中から異常を示すイベントデータのみが抽出されるからである。
【０１００】
図１９に示されるトラフィック量の集計結果は、２１０（Ｍｂｐｓ）であり、閾値αを超える（Ｓ１０３でＮｏ）。したがって、再度、ステップＳ１０４以降が実行される。ステップＳ１０４では、トラフィック量が最大であるサーバノード３０ｃが選択される。また、「サーバログ」を入力イベント型名とするシステムＩＤ付与処理に関するインスタンスを生成するために必要なホストＩＤが、サーバノード３０ｃから取得される。サーバノード３０ｃのホストＩＤは、「ｃｃ」であるとする。
【０１０１】
続いて、集約属性値を「ｃｃ」とするシステムＩＤ処理に関するインスタンスが生成され（Ｓ１０６）、当該インスタンスの配備先が、例えば、ＧＷノード２０ｂに決定される（Ｓ１０７）。その結果、配備先情報記憶部１３５は、図２０に示されるように更新される。
【０１０２】
図２０は、配備先情報記憶部の第三の更新例を示す図である。図２０において、２番目のレコードが、新たに生成されたインスタンスに関する配備先情報を含むレコードである。当該レコードには、当該インスタンスのインスタンス識別子（「システムＩＤ付与［システムＩＤ＝ｃｃ］」）、当該インスタンスが利用するモジュールの入力イベント型及び集約属性名、並びに当該インスタンスの配備先のノードＩＤが含まれている。
【０１０３】
続いて、当該インスタンスが、サーバノード３０ｃに配備される（Ｓ１０８）。また、図２１に示される送信先情報が、サーバノード３０ｃ及びＧＷノード２０ｂのそれぞれに送信される（Ｓ１０９）。
【０１０４】
図２１は、送信先情報の第三の例を示す図である。図２１において、（１）は、サーバノード３０ｃに対して送信される送信先情報であり、（２）は、ＧＷノード２０ｂに対して送信される送信先情報である。（１）の送信先情報は、ログデータをＧＷノード２０ｂに送信すべきことを示す。（２）の送信先情報は、ログデータに対してシステムＩＤ付与処理を実行すべきことを示す。
【０１０５】
図２１に示されるような送信先情報が、サーバノード３０ｃ及びＧＷノード２０ｂのそれぞれに設定されることにより、サーバノード３０ｃは、ログデータを、ＧＷノード２０ｂに送信するようになる。また、ＧＷノード２０ｂは、サーバノード３０ｃから受信されるログデータに対して、システムＩＤ付与処理を実行するようになる。その結果、ネットワークシステム１におけるイベントデータのフローは、図２２に示されるように変化する。
【０１０６】
図２２は、ネットワークシステムにおけるイベントデータのフローを示す第三の図である。図２２には、サーバノード３０ｃからＧＷノード２０ｂに対してイベントデータが送信されるようになったことが示されている。
【０１０７】
続いて、ステップＳ１０１以降が繰り返される。図１８に示されるような状況において、ステップＳ１０１では、例えば、図２３に示されるようなトラフィック量が取得される。
【０１０８】
図２３は、トラフィック量記憶部に記憶されるトラフィック量の第四の例を示す図である。図２３では、サーバノード３０ｃにおいて送信先が不定であるイベントデータのトラフィック量が、０（Ｍｂｐｓ）となり、ＧＷノード２０ｂにおいて送信先が不定であるイベントデータのトラフィック量が、８０（Ｍｂｐｓ）となったことが示されている。
【０１０９】
図２３に示されるトラフィック量の集計結果は、２１０（Ｍｂｐｓ）であり、閾値αを超える（Ｓ１０３でＮｏ）。したがって、再度、ステップＳ１０４以降が実行される。ステップＳ１０４では、トラフィック量が最大であるＧＷノード２０ｂが選択される。また、「システムＩＤ付与付きサーバログ」を入力イベント型名とする異常検知処理に関するインスタンスを生成するために必要なシステムＩＤが、ＧＷノード２０ｂから取得される。当該システムＩＤは、ＧＷノード２０ｂが属するサーバシステム４０ｙのシステムＩＤである。当該システムＩＤは、「ｙｙ」であるとする。
【０１１０】
続いて、集約属性値を「ｙｙ」とする異常検知処理に関するインスタンスが生成され（Ｓ１０６）、当該インスタンスの配備先が、例えば、ＧＷノード２０ｄ決定される（Ｓ１０７）。その結果、配備先情報記憶部１３５は、図２４に示されるように更新される。
【０１１１】
図２４は、配備先情報記憶部の第四の更新例を示す図である。図２４において、５番目のレコードが、新たに生成されたインスタンスに関する配備先情報を含むレコードである。当該レコードには、当該インスタンスのインスタンス識別子（「異常検知［システムＩＤ＝ｙｙ］」）、当該インスタンスが利用するモジュールの入力イベント型及び集約属性名、並びに当該インスタンスの配備先のノードＩＤが含まれている。
【０１１２】
続いて、当該インスタンスが、ＧＷノード２０ｄに配備される（Ｓ１０８）。また、図２５に示される送信先情報が、ＧＷノード２０ｂ及びＧＷノード２０ｄのそれぞれに送信される（Ｓ１０９）。
【０１１３】
図２５は、送信先情報の第四の例を示す図である。図２５において、（１）は、ＧＷノード２０ｂに対して送信される送信先情報であり、（２）は、ＧＷノード２０ｄに対して送信される送信先情報である。（１）の送信先情報は、図２１の（２）の送信先情報の定義に加えて、システムＩＤ付きサーバログ型のイベントデータを、ＧＷノード２０ｄに送信すべきことを示す定義を含む。また、（２）の送信先情報は、システムＩＤ付きサーバログ型のイベントデータに対して、異常検知処理を実行すべきことを示す。
【０１１４】
図２５に示されるような送信先情報が、ＧＷノード２０ｂ及びＧＷノード２０ｄのそれぞれに設定されることにより、ＧＷノード２０ｂは、システムＩＤ付与処理によって生成されるイベントデータを、ＧＷノード２０ｄに送信するようになる。また、ＧＷノード２０ｄは、ＧＷノード２０ｂから受信されるイベントデータに対して、異常検知処理を実行するようになる。その結果、ネットワークシステム１におけるイベントデータのフローは、図２６に示されるように変化する。
【０１１５】
図２６は、ネットワークシステムにおけるイベントデータのフローを示す第四の図である。図２６には、ＧＷノード２０ｂからＧＷノード２０ｄに対してイベントデータが送信されるようになったことが示されている。
【０１１６】
続いて、ステップＳ１０１以降が繰り返される。図２６に示されるような状況において、ステップＳ１０１では、例えば、図２７に示されるようなトラフィック量が取得される。
【０１１７】
図２７は、トラフィック量記憶部に記憶されるトラフィック量の第五の例を示す図である。図２７では、ＧＷノード２０ｂにおいて送信先が不定であるイベントデータのトラフィック量が、０（Ｍｂｐｓ）となり、ＧＷノード２０ｄにおいて送信先が不定であるイベントデータのトラフィック量が、８（Ｍｂｐｓ）となったことが示されている。ＧＷノード２０ｄにおいて実行される異常検知処理によって、ＧＷノード２０ｄから受信されるイベントデータの中から異常を示すイベントデータのみが抽出されるため、ＧＷノード２０ｄにおけるトラフィック量は、８０（Ｍｂｐｓ）より少なくなっている。
【０１１８】
図２７に示されるトラフィック量の集計結果は、１３８（Ｍｂｐｓ）であり、閾値α以下である（Ｓ１０３でＹｅｓ）。そこで、送信先設定部１２０は、送信先が不定であるイベントデータをルートノード１０へ送信させるための送信先情報を生成し、当該送信先情報を、送信先が不定であるイベントデータを生成している各ノードに送信する（Ｓ１１０）。すなわち、ルートノード１０へのイベントデータを開始させるための設定が、当該各ノードに対して行われる。
【０１１９】
送信先が不定であるイベントデータを生成するノードは、トラフィック量記憶部１３４において、ノードＩＤに対応付けられて０（Ｍｂｐｓ）を超えるトラフィック量が記憶されているノードである。図２７によれば、該当するノードは、サーバノード３０ｂ、サーバノード３０ｄ、ＧＷノード２０ｃ、及びＧＷノード２０ｄである。したがって、これらのノードに対して、図２８に示されるような送信先情報が送信される。
【０１２０】
図２８は、送信先が不定であるイベントデータをルートノードへ送信させるための送信先情報の例を示す図である。図２８において、（１）送信先情報は、サーバノード３０ｂ及びサーバノード３０ｄに送信される送信先情報である。当該送信先情報は、サーバログ型のイベントデータを、ルートノード１０に送信すべきことを示す。
【０１２１】
（２）の送信先情報は、ＧＷノード２０ｃ及びＧＷノード２０ｄに送信される送信先情報である。当該送信先情報は、ＧＷノード２０ｃに既に設定されている図１７の（２）の送信先情報、又はＧＷノード２０ｄに既に設定されている図２５の（２）の送信先情報の定義に加え、異常検知型のイベントデータを、ルートノード１０に送信すべきことを示す定義を含む。
【０１２２】
図２８の（１）に示される送信先情報が、サーバノード３０ｂ及びサーバノード３０ｄに設定されることにより、サーバノード３０ｂ及びサーバノード３０ｄは、ログデータをルートノード１０に送信するようになる。また、図２８の（２）に示される送信先情報が、ＧＷノード２０ｃ及びＧＷノード２０ｄに設定されることにより、ＧＷノード２０ｃ及びＧＷノード２０ｄは、異常検知処理により生成されるイベントデータを、ルートノード１０に送信するようになる。その結果、ネットワークシステム１におけるイベントデータのフローは、図２９に示されるように変化する。
【０１２３】
図２９は、ネットワークシステムにおけるイベントデータのフローを示す第五の図である。図２９には、サーバノード３０ｂ及びサーバノード３０ｄからルートノード１０へログデータが送信され、ＧＷノード２０ｃ及びＧＷノード２０ｄから、サーバノード３０ａのログデータ又はサーバノード３０ｃのログデータに対してシステムＩＤ付与処理及び異常検知処理の実行により生成されるイベントデータが送信されることが示されている。
【０１２４】
図２９に示される状態において、ルートノード１０に送信されるイベントデータのトラフィック量は、約１３８（Ｍｂｐｓ）であり、ルートノード１０の許容量の範囲内である。斯かる状況において、ルートノード１０は、本配備処理を実行する（Ｓ１１１）。本配備処理では、例えば、イベントデータのトラフィック量の削減効果がより大きくなるように、インスタンスの配備が行われる。なお、本配備処理は、例えば、特開２０１３−４７９２２号公報に記載されている方法等、公知の方法を利用して行われてもよい。
【０１２５】
上述したように、本実施の形態によれば、ルートノード１０にはイベントデータが送信されない状態において、イベントデータのデータ量が、ルートノード１０の受信可能な許容量の範囲内となるように、各下位ノードに対してインスタンスが配備される。その結果、ルートノード１０周辺のネットワーク負荷の過剰な増加が回避される可能性を高めることができる。
【０１２６】
なお、本実施の形態においてルートノード１０が実行した処理は、ルートノード１０以外のコンピュータによって実行されてもよい。例えば、イベントデータの送信には関わらないコンピュータが、各ノードの状況を監視して、本実施の形態においてルートノード１０が実行した処理を実行してもよい。
【０１２７】
なお、本実施の形態において、ルートノード１０は、設定装置の一例である。トラフィック量集計部１１３は、第一の取得部の一例である。トラフィック量判定部１１４は、判定部の一例である。配備先決定部１１８及び送信先設定部１２０は、追加部の一例である。送信先設定部１２０は、設定部の一例である。属性情報取得部１１６は、第二の取得部の一例である。イベントデータの加工処理は、データ量を削減する処理の一例である。
【０１２８】
以上、本発明の実施例について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【０１２９】
以上の説明に関し、更に以下の項を開示する。
（付記１）
特定のノードへデータを送信する予定の各ノードからの送信予定のデータ量を、前記各ノードから取得する第一の取得部と、
前記第一の取得部によって取得されるデータ量の総和が閾値以下であるかを判定する判定部と、
前記総和が前記閾値を超える場合に、前記特定のノードへのデータの送信経路に、データ量を削減する処理を実行する１以上のノードを追加する追加部と、
ノードの追加後に前記特定のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量の総和が前記閾値以下である場合は、当該各ノードに対して、前記特定のノードへのデータの送信を開始させるための設定を行う設定部と、
を有することを特徴とする設定装置。
（付記２）
前記追加部は、ノードの追加後に前記特定のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量が前記閾値を超える場合は、前記送信経路に、データ量を削減する処理を実行する１以上のノードを更に追加する、
ことを特徴とする付記１記載の設定装置。
（付記３）
前記追加部は、ノードの追加前に前記特定のノードへデータを送信する予定の各ノードのうちの一部のノードについて、データの送信先を追加されるノードとし、前記追加されるノードを、前記特定のノードへデータを送信する予定のノードに含める、
ことを特徴とする付記２記載の設定装置。
（付記４）
前記追加部は、前記特定のノードへのデータの送信経路に追加されるノードに、データ量を削減する処理を割り当てる、
ことを特徴とする付記１乃至３いずれか一項記載の設定装置。
（付記５）
前記データ量を削減する処理に利用される情報を、前記特定のノードへデータを送信する予定のいずれかのノードから取得する第二の取得部を有し、
前記追加部は、前記特定のノードへのデータの送信経路に追加されるノードに、前記第二の取得部によって取得された情報に基づいて特定されるデータのデータ量を削減する処理を割り当てる、
ことを特徴とする付記４記載の設定装置。
（付記６）
複数のノードを含むネットワークシステムであって、
前記複数のノードのうちの第一のノードは、
前記第一のノードへデータを送信する予定の各ノードからの送信予定のデータ量を、前記各ノードから取得する第一の取得部と、
前記第一の取得部によって取得されるデータ量の総和が閾値以下であるかを判定する判定部と、
前記総和が前記閾値を超える場合に、前記第一のノードへのデータの送信経路に、データ量を削減する処理を実行する１以上のノードを追加する追加部と、
ノードの追加後に前記第一のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量の総和が前記閾値以下である場合は、当該各ノードに対して、前記第一のノードへのデータの送信を開始させるための設定を行う設定部と、
を有することを特徴とするネットワークシステム。
（付記７）
前記追加部は、ノードの追加後に前記第一のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量が前記閾値を超える場合は、前記送信経路に、データ量を削減する処理を実行する１以上のノードを更に追加する、
ことを特徴とする付記６記載のネットワークシステム。
（付記８）
前記追加部は、ノードの追加前に前記第一のノードへデータを送信する予定の各ノードのうちの一部のノードについて、データの送信先を追加されるノードとし、前記追加されるノードを、前記第一のノードへデータを送信する予定のノードに含める、
ことを特徴とする付記７記載のネットワークシステム。
（付記９）
前記追加部は、前記第一のノードへのデータの送信経路に追加されるノードに、データ量を削減する処理を割り当てる、
ことを特徴とする付記６乃至８いずれか一項記載のネットワークシステム。
（付記１０）
前記第一のノードは、前記データ量を削減する処理に利用される情報を、前記第一のノードへデータを送信する予定のいずれかのノードから取得する第二の取得部を有し、
前記追加部は、前記第一のノードへのデータの送信経路に追加されるノードに、前記第二の取得部によって取得された情報に基づいて特定されるデータのデータ量を削減する処理を割り当てる、
ことを特徴とする付記９記載のネットワークシステム。
（付記１１）
コンピュータに、
特定のノードへデータを送信する予定の各ノードからの送信予定のデータ量を、前記各ノードから取得し、
取得されるデータ量の総和が閾値以下であるかを判定し、
前記総和が前記閾値を超える場合に、前記特定のノードへのデータの送信経路に、データ量を削減する処理を実行する１以上のノードを追加し、
ノードの追加後に前記特定のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量の総和が前記閾値以下である場合は、当該各ノードに対して、前記特定のノードへのデータの送信を開始させるための設定する、
処理を実行させる設定プログラム。
（付記１２）
前記追加する処理は、ノードの追加後に前記特定のノードへデータを送信する予定の各ノードから取得される送信予定のデータ量が前記閾値を超える場合は、前記送信経路に、データ量を削減する処理を実行する１以上のノードを更に追加する、
ことを特徴とする付記１１記載の設定プログラム。
（付記１３）
前記追加する処理は、ノードの追加前に前記特定のノードへデータを送信する予定の各ノードのうちの一部のノードについて、データの送信先を追加されるノードとし、前記追加されるノードを、前記特定のノードへデータを送信する予定のノードに含める、
ことを特徴とする付記１２記載の設定プログラム。
（付記１４）
前記追加する処理は、前記特定のノードへのデータの送信経路に追加されるノードに、データ量を削減する処理を割り当てる、
ことを特徴とする付記１１乃至１３いずれか一項記載の設定プログラム。
（付記１５）
前記データ量を削減する処理に利用される情報を、前記特定のノードへデータを送信する予定のいずれかのノードから取得し、
前記追加する処理は、前記特定のノードへのデータの送信経路に追加されるノードに、取得された情報に基づいて特定されるデータのデータ量を削減する処理を割り当てる、
ことを特徴とする付記１４記載の設定プログラム。
【符号の説明】
【０１３０】
１            ネットワークシステム
１０          ルートノード
２０          ＧＷノード
３０          サーバノード
４０ｘ        サーバシステム
４０ｙ        サーバシステム
１００        ドライブ装置
１０１        記録媒体
１０２        補助記憶装置
１０３        メモリ装置
１０４        ＣＰＵ
１０５        インタフェース装置
１１１        モジュール登録部
１１２        ＮＷトポロジー取得部
１１３        トラフィック量集計部
１１４        トラフィック量判定部
１１５        属性情報取得先選択部
１１６        属性情報取得部
１１７        インスタンス生成部
１１８        配備先決定部
１１９        配備実行部
１２０        送信先設定部
１３１        モジュール記憶部
１３２        モジュール定義記憶部
１３３        ＮＷトポロジー記憶部
１３４        トラフィック量記憶部
１３５        配備先情報記憶部
２１１        ＮＷトポロジー検出部
２１２        ＮＷトポロジー送信部
２１３        モジュール受信部
２１４        送信先情報受信部
２１５        イベント受信部
２１６        モジュール実行部
２１７        イベント送信部
２１８        トラフィック量集計部
２１９        属性情報送信部
２２１        イベント記憶部
３１１        ＮＷトポロジー検出部
３１２        ＮＷトポロジー送信部
３１３        送信先情報受信部
３１４        イベント生成部
３１５        イベント送信部
３１６        トラフィック量集計部
３１７        属性情報送信部
Ｂ            バス
【図１】
2015207918.tif 000003
【図２】
2015207918.tif 000004
【図３】
2015207918.tif 000005
【図４】
2015207918.tif 000006
【図５】
2015207918.tif 000007
【図６】
2015207918.tif 000008
【図７】
2015207918.tif 000009
【図８】
2015207918.tif 000010
【図９】
2015207918.tif 000011
【図１０】
2015207918.tif 000012
【図１１】
2015207918.tif 000013
【図１２】
2015207918.tif 000014
【図１３】
2015207918.tif 000015
【図１４】
2015207918.tif 000016
【図１５】
2015207918.tif 000017
【図１６】
2015207918.tif 000018
【図１７】
2015207918.tif 000019
【図１８】
2015207918.tif 000020
【図１９】
2015207918.tif 000021
【図２０】
2015207918.tif 000022
【図２１】
2015207918.tif 000023
【図２２】
2015207918.tif 000024
【図２３】
2015207918.tif 000025
【図２４】
2015207918.tif 000026
【図２５】
2015207918.tif 000027
【図２６】
2015207918.tif 000028
【図２７】
2015207918.tif 000029
【図２８】
2015207918.tif 000030
【図２９】
2015207918.tif 000031