(57)【要約】  本発明は、ログ内容の事前知識なしに特定の事象に関連する情報を高精度に出力することができるログ分析方法、システムおよびプログラムを提供する。本発明の一実施形態に係るログ分析システム１００は、複数のログを含む分析対象ログを入力するログ入力部１１０と、事象の前後の所定の時間範囲における複数のログ間の時系列の相関関係の有無を判定する相関判定部１３０と、相関判定部による判定の結果に基づいて、事象を検出する事象検出部１４０と、を備える。そのため、ログ分析システムは、ログ内容（ログメッセージの意味等）の事前知識を用いずに既知の事象に係る情報を出力する。
2018069950.tif 000002
【特許請求の範囲】
【請求項１】
複数のログを含む分析対象ログを入力する工程と、
事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する工程と、
前記判定の結果に基づいて、前記事象を検出する工程と、
を含むログ分析方法。
【請求項２】
前記判定する工程は、予め記録された前記相関関係と前記複数のログとが一致又は類似するか否かを比較することによって、前記分析対象ログ中の前記相関関係の有無を判定する、請求項１に記載のログ分析方法。
【請求項３】
前記検出する工程は、前記相関関係に一致又は類似する前記複数のログの数に基づいて、前記事象を検出する、請求項１又は２に記載のログ分析方法。
【請求項４】
前記入力する工程は、前記分析対象ログ中の前記複数のログを順次入力し、
前記検出する工程は、順次入力された前記複数のログ中に、前記相関関係に一致又は類似する前記複数のログが出現した時に、前記事象の発生の予兆を検出する、請求項１〜３のいずれか一項に記載のログ分析方法。
【請求項５】
前記検出する工程は、前記判定する工程において前記相関関係が有ると判定された場合に前記事象が既知であると識別し、そうでない場合に前記事象が未知であると識別する、請求項１〜３のいずれか一項に記載のログ分析方法。
【請求項６】
前記分析対象ログに含まれる各ログが、変化可能な変数部分と変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する工程をさらに含み、
前記判定する工程は、前記形式間の時系列の前記相関関係の有無を判定する、請求項１〜５のいずれか一項に記載のログ分析方法。
【請求項７】
既知の事象の前後の所定の時間範囲における前記複数のログ間の時系列の前記相関関係を学習する工程をさらに含む、請求項１〜６のいずれか一項に記載のログ分析方法。
【請求項８】
前記学習する工程は、前記複数のログ間の遷移確率を算出し、前記遷移確率が所定の閾値以上である前記複数のログを前記相関関係として学習する、請求項７に記載のログ分析方法。
【請求項９】
前記学習する工程は、前記複数のログのうち、前記事象との関連性が高いものを前記相関関係として学習する、請求項７又は８に記載のログ分析方法。
【請求項１０】
前記入力する工程は、複数の前記分析対象ログを入力し、
前記学習する工程は、前記複数のログのうち、複数の前記分析対象ログに共通して出現するものを前記相関関係として学習する、請求項７又は８に記載のログ分析方法。
【請求項１１】
コンピュータに、
複数のログを含む分析対象ログを入力する工程と、
事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する工程と、
前記判定の結果に基づいて、前記事象を検出する工程と、
を実行させるログ分析プログラム。
【請求項１２】
複数のログを含む分析対象ログを入力するログ入力部と、
事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する相関判定部と、
前記判定の結果に基づいて、前記事象を検出する事象検出部と、
を備えるログ分析システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログの分析を行うためのログ分析方法、システムおよびプログラムに関する。
【背景技術】
【０００２】
コンピュータ上で実行されるシステムでは、一般的にイベントの結果やメッセージ等を含むログが出力される。システム異常等が発生した際には、多数のログに基づいたログ分析が行われる。特に近年、システムの大規模化が進んでおり、ログの数が膨大になっているため、ユーザ（オペレータ等）が目視で関連するログを辿ることは難しい。したがって、システムによって異常等の特定の事象に関連するログのみを抽出することが求められている。【０００３】
ログ内容（ログメッセージの意味等）の事前知識を用いる従来のログ分析技術は、事前知識がない場合にログを分析できない。それに対して、特許文献１に記載の技術は、同一の出力元（ホスト）から短い時間差で出力されたログを相関があるものと推定して出力する。このような構成により、事前知識がない場合であっても同じ事象に関連するログを抽出することができる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】国際公開第２０１６／０３１６８１号
【発明の概要】
【０００５】
一般的なシステムにおいては、複数の種類の装置およびプログラムから、様々な種類のログが出力される。そのため同じ事象に関連するログであっても、処理のタイミングが異なる等の理由により、出力される時刻が大きく異なる場合がある。しかしながら、特許文献１に記載の技術は単純に発生した時刻が近いログ同士を相関していると推定するため、時刻が離れているログ同士の関連性を検出することができない。
【０００６】
本発明は、上述の問題に鑑みて行われたものであって、ログ内容の事前知識なしに特定の事象に関連する情報を高精度に出力することができるログ分析方法、システムおよびプログラムを提供することを目的とする。
【０００７】
本発明の第１の態様は、ログ分析方法であって、複数のログを含む分析対象ログを入力する工程と、事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する工程と、前記判定の結果に基づいて、前記事象を検出する工程と、を含む。
【０００８】
本発明の第２の態様は、ログ分析プログラムであって、コンピュータに、複数のログを含む分析対象ログを入力する工程と、事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する工程と、前記判定の結果に基づいて、前記事象を検出する工程と、を実行させる。
【０００９】
本発明の第３の態様は、ログ分析システムであって、複数のログを含む分析対象ログを入力するログ入力部と、事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する相関判定部と、前記判定の結果に基づいて、前記事象を検出する事象検出部と、を備える。
【００１０】
本発明によれば、事象の前後の所定の時間範囲における複数のログ間の時系列の相関関係に基づいて、該事象を検出するため、ログ内容に関する事前知識がない場合であっても既知の事象に係る情報を出力することができる
【図面の簡単な説明】
【００１１】
【図１】第１の実施形態に係るログ分析システムのブロック図である。
【図２Ａ】第１の実施形態に係る分析対象ログの模式図である。
【図２Ｂ】第１の実施形態に係るフォーマットの模式図である。
【図３】第１の実施形態に係るログ分析方法の模式図である。
【図４】第１の実施形態に係る例示的な相関パターンの模式図である。
【図５】第１の実施形態に係るログ分析システムの概略構成図である。
【図６】第１の実施形態に係るログ分析方法のフローチャートを示す図である。
【図７】第２の実施形態に係るログ分析システムのブロック図である。
【図８】第２の実施形態に係るログ分析方法のフローチャートを示す図である。
【図９】第３の実施形態に係るログ分析システムのブロック図である。
【図１０】第３の実施形態に係るログ分析方法のフローチャートを示す図である。
【図１１】各実施形態に係るログ分析システムのブロック図である。
【発明を実施するための形態】
【００１２】
以下、図面を参照して、本発明の実施形態を説明するが、本発明は本実施形態に限定されるものではない。なお、以下で説明する図面で、同機能を有するものは同一符号を付け、その繰り返しの説明は省略することもある。
【００１３】
（第１の実施形態）
図１は、本実施形態に係るログ分析システム１００のブロック図である。図１において、矢印は主なデータの流れを示しており、図１に示したもの以外のデータの流れがあってよい。図１において、各ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図１に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受は、データバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてよい。
【００１４】
ログ分析システム１００は、処理部として、ログ入力部１１０、フォーマット判定部１２０、相関判定部１３０および事象検出部１４０を備える。また、ログ分析システム１００は、記憶部として、フォーマット記憶部１５１および相関関係記憶部１５２を備える。
【００１５】
ログ入力部１１０は、分析の対象とする分析対象ログ１０を受け取り、ログ分析システム１００に入力する。分析対象ログ１０は、ログ分析システム１００の外部から取得されてよく、あるいはログ分析システム１００の内部に予め記録されたものを読み出すことにより取得されてよい。分析対象ログ１０は、１つ以上の装置又はプログラムから出力される１つ以上のログを含む。分析対象ログ１０は、任意のデータ形式（ファイル形式）で表されたログであり、例えばバイナリデータ又はテキストデータでよい。また、分析対象ログ１０はデータベースのテーブルとして記録されてよく、あるいはテキストファイルとして記録されてよい。
【００１６】
図２Ａは、例示的な分析対象ログ１０の模式図である。本実施形態における分析対象ログ１０は、装置又はプログラムから出力される１つのログを１単位とし、１つ以上の任意の数のログを含む。１つのログは１行の文字列でよく、あるいは複数行の文字列でよい。すなわち、分析対象ログ１０は分析対象ログ１０に含まれるログの総体を指し、ログは分析対象ログ１０から抜き出された１つのログを指す。各ログは、タイムスタンプおよびメッセージ等を含む。ログ分析システム１００は、特定の種類のログに限らず、広範な種類のログを分析対象とすることができる。例えば、ｓｙｓｌｏｇ、イベントログ等のオペレーティングシステムやアプリケーションなどから出力されるメッセージを記録する任意のログを分析対象ログ１０として用いることができる。
【００１７】
フォーマット判定部１２０は、分析対象ログ１０に含まれる各ログに対して、フォーマット記憶部１５１に予め記録されているいずれのフォーマット（形式）に合致するかを判定し、合致するフォーマットを用いて各ログを変数部分と定数部分とに分離する。フォーマットとは、ログの特性に基づいて予め決められた、ログの種類である。ログの特性は、互いに類似するログ間で変化しやすい又は変化しづらいという性質や、ログ中で変化しやすい部分とみなせる文字列が記載されているという性質を含む。変数部分とはフォーマットの中で変化可能な部分であり、定数部分とはフォーマットの中で変化しない部分である。入力されたログ中の変数部分の値（数値、文字列およびその他のデータを含む）を変数値と呼ぶ。変数部分および定数部分はフォーマット毎に異なる。そのため、あるフォーマットでは変数部分として定義される部分が、別のフォーマットでは定数部分として定義されることや、その逆があり得る。
【００１８】
図２Ｂは、フォーマット記憶部１５１に記録される例示的なフォーマットの模式図である。フォーマットは、一意のフォーマットＩＤに関連付けられたフォーマットを表す文字列を含む。フォーマットは、ログ中の変化可能な部分に所定の識別子を記載することによって変数部分として規定し、ログ中の変数部分以外の部分を定数部分として規定する。変数部分の識別子として、例えば「＜変数：タイムスタンプ＞」はタイムスタンプを表す変数部分を示し、「＜変数：文字列＞」は任意の文字列を表す変数部分を示し、「＜変数：数値＞」は任意の数値を表す変数部分を示し、「＜変数：ＩＰ＞」は任意のＩＰアドレスを表す変数部分を示す。変数部分の識別子はこれらに限られず、正規表現や、取り得る値のリスト等の任意の方法により定義されてよい。また、フォーマットは変数部分を含まずに定数部分のみによって構成されてよく、あるいは定数部分を含まずに変数部分のみによって構成されてよい。
【００１９】
例えば、フォーマット判定部１２０は、図２Ａの３行目のログを、図２ＢのＩＤが１であるフォーマットに合致すると判定する。そして、フォーマット判定部１２０は、判定されたフォーマットに基づいて該ログを処理し、タイムスタンプである「２０１５／０８／１７  ０８：２８：３７」、文字列である「ＳＶ００３」、数値である「３２５８」およびＩＰアドレスである「１９２．１６８．１．２３」を変数値として決定する。
【００２０】
図２Ｂにおいて、フォーマットは視認性のために文字列のリストで表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。また、フォーマットはバイナリファイル又はテキストファイルとしてフォーマット記憶部１５１に記録されてよく、あるいはデータベースのテーブルとしてフォーマット記憶部１５１に記録されてよい。
【００２１】
相関判定部１３０および事象検出部１４０は、以下に説明するログ分析方法によって、分析対象ログ１０において相関関係記憶部１５２に記録された時系列の相関関係（相関パターン）の有無を判定することによって既知の事象との類似性を判定し、該既知の事象の発生を事前又は事後に検出して出力する。
【００２２】
図３は、本実施形態に係るログ分析方法の模式図である。本実施形態に係るログ分析方法は、インバリアント分析を用いて学習された相関パターンに基づいて、分析対象ログにおいて特定の事象を発見する。インバリアント分析は、一種の相関分析であり、時系列データから値同士の相関係数を算出することによって相関関係（不変関係ともいう）をモデルとして学習する。そして分析対象データと学習されたモデルとを比較することによって、分析時の状態とモデル生成時の状態とが類似している又は類似していないことを判定することができる。
【００２３】
まず、図３を用いて予め学習されている相関パターンについて説明する。相関関係記憶部１５２には、予め学習ログＬ０から学習された、既知の事象Ｅ０の前後におけるログ間の時系列の相関関係である相関パターンＰが記録されている。すなわち、相関パターンＰは、既知の事象Ｅ０の前後に出現することが学習済の複数のログ間の相関関係を表す。学習ログＬ０は、事象Ｅ０の発生時刻を含む所定の時間範囲内に出力されたログ群である。学習ログＬ０の時間範囲は、事象Ｅ０の発生時刻から所定の時間戻った時刻から、事象Ｅ０の発生時刻から所定の時間進んだ時刻までである。学習ログＬ０の時間範囲は、事象Ｅ０の発生時刻を起点として前後に対称でも非対称でもよい。学習ログＬ０の定義は分析対象ログ１０と同様である。相関パターンＰ０の学習のために、１つの学習ログＬ０を用いてよく、あるいは複数の学習ログＬ０を用いてよい。
【００２４】
既知の事象Ｅ０は、ログを出力したシステム自体に発生した異常、監視システムにより検出された異常、正常であるが検出すべき事象等、検出対象とする特定の事象である。事象Ｅ０の発生時刻は、学習ログＬ０中において事象Ｅ０に対応する１つのログの時刻（タイムスタンプ）により表されてよい。学習ログＬ０中に事象Ｅ０に対応するログが存在しない場合には、事象Ｅ０の発生時刻は、学習ログＬ０の時間範囲内の特定の時刻により表されてもよい。すなわち、学習ログＬ０に事象Ｅ０を表すログが含まれていても含まれていなくてもよい。
【００２５】
具体的には、学習ログＬ０のうち事象Ｅ０の発生時刻を含む所定の時間範囲内（例えば事象Ｅ０の発生時刻の前後１０分以内）のログについて、相関係数として該ログのフォーマットＩＤ間の遷移確率が算出され、遷移確率が所定の閾値以上のログ群が相関パターンＰとして学習される。遷移確率は、時系列で隣接する２つのログ、あるいは所定の時間内（例えば１０秒以内）に出力された２つのログの全ての組について算出される。相関パターンＰは、相関のあるログ（フォーマットＩＤ）の順列又は組み合わせである。遷移確率は、学習ログＬ０の中で第１の種類のログの後に第２の種類のログ（あるいはその逆）が出現する確率であり、その順列又は組み合わせの発生回数が大きいほど高い値になる。換言すると、事象Ｅ０の前後のログにおいて、ログの各種類の発生回数の時系列データから、ログ間の相関関係が学習される。学習された相関パターンＰは、事象Ｅ０を識別する情報とともに相関関係記憶部１５２に記録される。本実施形態ではログ間の相関係数を算出するためにログのフォーマットＩＤを用いたが、ログに含まれる変数値、あるいはフォーマットＩＤと変数値との組み合わせ等、ログの特性を表すことが可能な任意の値を用いてよい。
【００２６】
図４は、相関関係記憶部１５２に記録される例示的な相関パターンの模式図である。相関パターンは、事象を識別する事象ＩＤに関連付けられて記録される。換言すると、既知の事象の事象ＩＤに、１つ以上の相関パターンが関連付けられて記録される。各相関パターンは、事象の前後において相関関係が判定された２つ以上のフォーマットＩＤを含む。図４において、相関パターンは視認性のために文字列のリストで表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。また、相関パターンはバイナリファイル又はテキストファイルとして相関関係記憶部１５２に記録されてよく、あるいはデータベースのテーブルとして相関関係記憶部１５２に記録されてよい。
【００２７】
各相関パターンＰに含まれるログのフォーマットＩＤの数は、図３および図４の例では２つであるが、遷移確率が所定の閾値以上である２つ以上の任意の数でよい。これにより、事象Ｅ０の前後に出現する２つ以上のログ（フォーマット）の相関パターンを学習することができる。
【００２８】
相関パターンの学習方法として、ここに示したインバリアント分析に限られず、既知の事象Ｅ０の前後のログの時系列データからログ間の相関関係を学習できる任意の方法を用いてよい。
【００２９】
次に、図３を用いて相関パターンに基づく事象検出方法について説明する。分析対象ログＬ１は、フォーマット判定部１２０によってフォーマットが判定された後の分析対象ログ１０である。分析対象ログＬ１の時間範囲内に、検出対象の事象Ｅ１が発生するものとする。事象Ｅ１は既知でも未知でもよい。相関判定部１３０は、分析対象ログ１０中の各ログ群に対して、相関関係記憶部１５２に記録された相関パターンＰと一致又は類似するか否かの比較を行う。相関パターンＰに類似することの判定は、相関パターンＰに含まれる複数のログ（フォーマット）と一致する割合が所定の閾値以上であること、あるいは相関パターンＰに含まれる複数のログ（フォーマット）を並び替えたものであること等の任意の規則により行われる。
【００３０】
そして、事象検出部１４０は、分析対象ログＬ１の中に既知の事象Ｅ０に関連付けられた相関パターンＰが所定の基準を満たすように出現する場合に、事象Ｅ１として該既知の事象Ｅ０が発生したことを検出し、事象Ｅ０および事象Ｅ１に係る情報を出力する。事象の検出基準として、相関パターンＰの出現回数の合計値、入力ログの数に対する相関パターンＰの出現回数の比率、１つの事象（事象ＩＤ）に関連付けられた相関パターンＰの網羅率等、入力ログ中の相関パターンＰの出現回数を用いた任意の基準を用いてよい。
【００３１】
事象の検出のために、分析対象ログ１０の出力中に順次検出する方式、および分析対象ログ１０の出力後に事後検出する方式の少なくとも一方を用いることができる。
【００３２】
（１）順次検出
順次検出の場合、ログ入力部１１０およびフォーマット判定部１２０は、分析対象ログ１０中のログを順次（所定の個数ずつ）受け取ってフォーマット判定を行う。相関判定部１３０は、順次入力されてフォーマットが判定された入力ログと相関関係記憶部１５２に記録された相関パターンＰとを順次比較し、該入力ログ中にそれぞれの相関パターンＰが出現する回数を数える。そして、事象検出部１４０は、ある事象Ｅ０（事象ＩＤ）に関連付けられた相関パターンＰの出現回数の合計値（あるいは相関パターンＰの出現回数の比率、相関パターンＰの網羅率）が所定の閾値以上になった時に、事象Ｅ１として既知の事象Ｅ０が発生することを検出し、事象Ｅ０および事象Ｅ１に係る情報を出力する。このような構成により、事象Ｅ１が発生するよりも前に、予め学習された相関パターンの存在に基づいて事象の予兆を検出することができる。
【００３３】
（２）事後検出
事後検出の場合、ログ入力部１１０およびフォーマット判定部１２０は、分析対象とする時間範囲（例えばユーザによる指定時刻又は事象Ｅ１の発生時刻の前後１０分以内）内の分析対象ログ１０の全体を受け取ってフォーマット判定を行う。相関判定部１３０は、フォーマットが判定された入力ログと相関関係記憶部１５２に記録された相関パターンＰとを比較し、該入力ログ中にそれぞれの相関パターンＰが出現する回数を数える。そして、事象検出部１４０は、ある事象Ｅ０（事象ＩＤ）に関連付けられた相関パターンＰの出現回数の合計値（あるいは相関パターンＰの出現回数の比率、相関パターンＰの網羅率）が所定の閾値以上である場合に、事象Ｅ１として既知の事象Ｅ０が発生したことを検出し、事象Ｅ０および事象Ｅ１に係る情報を出力する。このような構成により、分析対象ログ１０における事象Ｅ１の発生前後の状況を事後で分析する、あるいは認識されていなかった事象Ｅ１の発生を分析対象ログ１０から発見することができる。
【００３４】
事象検出部１４０による事象検出結果の出力は、ログ分析システム１００に接続された表示装置２０を用いた表示によって行われる。事象検出部は、表示装置２０に事象Ｅ０の内容、事象Ｅ１の発生時刻、事象Ｅ１の前後のログおよび相関パターン等、事象に係る情報を表示する。事象検出結果の出力は、これに限られず、プリンタ、スピーカ、ランプ等、任意の方法によって行われてよい。
【００３５】
図５は、本実施形態に係るログ分析システム１００の例示的な機器構成を示す概略構成図である。ログ分析システム１００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１０１と、メモリ１０２と、記憶装置１０３と、通信インターフェース１０４とを備えるログ分析システム１００は独立した装置でよく、あるいは他の装置と一体に構成されてよい。
【００３６】
通信インターフェース１０４は、データの送受信を行う通信部であり、有線通信および無線通信の少なくとも一方の通信方式を実行可能に構成される。通信インターフェース１０４は、該通信方式に必要なプロセッサ、電気回路、アンテナ、接続端子等を含む。通信インターフェース１０４は、ＣＰＵ１０１からの信号に従って、該通信方式を用いてネットワークに接続され、通信を行う。通信インターフェース１０４は、例えば分析対象ログ１０を外部から受信する。
【００３７】
記憶装置１０３は、ログ分析システム１００が実行するプログラムや、プログラムによる処理結果のデータ等を記憶する。記憶装置１０３は、読み取り専用のＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）や、読み書き可能のハードディスクドライブ又はフラッシュメモリ等を含む。また、記憶装置１０３は、ＣＤ−ＲＯＭ等のコンピュータ読取可能な可搬記憶媒体を含んでもよい。メモリ１０２は、ＣＰＵ１０１が処理中のデータや記憶装置１０３から読み出されたプログラムおよびデータを一時的に記憶するＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等を含む。
【００３８】
ＣＰＵ１０１は、処理に用いる一時的なデータをメモリ１０２に一時的に記録し、記憶装置１０３に記録されたプログラムを読み出し、該プログラムに従って該一時的なデータに対して種々の演算、制御、判別などの処理動作を実行する処理部としてのプロセッサである。また、ＣＰＵ１０１は、記憶装置１０３に処理結果のデータを記録し、また通信インターフェース１０４を介して処理結果のデータを外部に送信する。
【００３９】
本実施形態においてＣＰＵ１０１は、記憶装置１０３に記録されたプログラムを実行することによって、図１のログ入力部１１０、フォーマット判定部１２０、相関判定部１３０および事象検出部１４０として機能する。また、本実施形態において記憶装置１０３は、図１のフォーマット記憶部１５１および相関関係記憶部１５２として機能する。
【００４０】
ログ分析システム１００は、図５に示す具体的な構成に限定されない。ログ分析システム１００は、１つの装置に限られず、２つ以上の物理的に分離した装置が有線又は無線で接続されることにより構成されていてもよい。ログ分析システム１００に含まれる各部は、それぞれ電気回路構成により実現されていてもよい。ここで、電気回路構成とは、単一のデバイス、複数のデバイス、チップセット又はクラウドを概念的に含む文言である。
【００４１】
また、ログ分析システム１００の少なくとも一部がＳａａＳ（Ｓｏｆｔｗａｒｅ  ａｓ  ａ  Ｓｅｒｖｉｃｅ）形式で提供されてよい。すなわち、ログ分析システム１００を実現するための機能の少なくとも一部が、ネットワーク経由で実行されるソフトウェアによって実行されてよい。
【００４２】
図６は、本実施形態に係るログ分析システム１００を用いるログ分析方法のフローチャートを示す図である。まず、ログ入力部１１０は、出力中の分析対象ログ１０内のログを順次（所定の個数ずつ）受け取り、ログ分析システム１００に入力する（ステップＳ１０１）。フォーマット判定部１２０は、ステップＳ１０１で入力された分析対象ログ１０に含まれる各ログについて、フォーマット記憶部１５１に記録されたいずれのフォーマットに適合するか判定する（ステップＳ１０２）。
【００４３】
次に、相関判定部１３０は、ステップＳ１０２でフォーマットが判定されたログと相関関係記憶部１５２に記録された相関パターンとを順次比較し、該ログ中にそれぞれの相関パターンが出現する回数を数える（ステップＳ１０３）。
【００４４】
事象検出部１４０は、ある事象（事象ＩＤ）に関連付けられた相関パターンがログ中に所定の基準を満たすように出現する場合に（ステップＳ１０４のＹＥＳ）、該事象が発生することを検出し、該事象に係る情報を出力する（ステップＳ１０５）。事象の検出基準として、上述のように相関パターンの出現回数の合計値、ログの数に対する相関パターンの出現回数の比率、１つの事象（事象ＩＤ）に関連付けられた相関パターンの網羅率等を用いてよい。相関パターンがログ中に所定の基準を満たすように出現していない場合には（ステップＳ１０４のＮＯ）、ステップＳ１０６に進む。
【００４５】
分析対象ログ１０の受け取りが終了していない場合には（ステップＳ１０６のＮＯ）、ステップＳ１０１に戻って分析対象ログ１０の入力から事象の検出および出力までを繰り返す。分析対象ログ１０の受け取りが終了した場合には（ステップＳ１０６のＮＯ）、処理を終了する。
【００４６】
図６のフローチャートは分析対象ログ１０の出力中に順次検出する方式を示しているが、分析対象ログ１０の出力後に事後検出する方式を用いる場合にはステップＳ１０１において分析対象とする時間範囲内の分析対象ログ１０の全体を入力すればよい。
【００４７】
ログ分析システム１００のＣＰＵ１０１は、図６に示すログ分析方法に含まれる各ステップ（工程）の主体となる。すなわち、ＣＰＵ１０１は、図６に示すログ分析方法を実行するためのプログラムをメモリ１０２又は記憶装置１０３から読み出し、該プログラムを実行してログ分析システム１００の各部を制御することによって図６に示すログ分析方法を実行する。
【００４８】
本実施形態に係るログ分析システム１００は、既知の事象の前後のログから相関分析によって学習されたログ間の相関関係（相関パターン）を用いてログ分析を行うため、ログ内容（ログメッセージの意味等）の事前知識がなくとも既知の事象を検出することができる。
【００４９】
（第２の実施形態）
本実施形態は、第１の実施形態で用いられる相関関係（相関パターン）の学習方法に係る発明である。図７は、本実施形態に係るログ分析システム２００のブロック図である。ログ分析システム２００は、第１の実施形態に係るログ分析システム１００と共通のログ入力部１１０、フォーマット判定部１２０、フォーマット記憶部１５１および相関関係記憶部１５２に加えて、処理部である相関分析部２６０および事象学習部２７０をさらに備える。本実施形態に係るログ分析システム２００は、第１の実施形態に係るログ分析システム１００と一体化されてもよい。
【００５０】
ログ入力部１１０およびフォーマット判定部１２０は、分析対象ログ１０に対して、第１の実施形態と同様にフォーマット判定を行う。相関分析部２６０は、分析対象ログ１０（図３の学習ログＬ０）から、インバリアント分析（相関分析）を用いて既知の事象Ｅ０の前後に出現する相関パターンＰを判定する。事象学習部２７０は、判定された相関パターンＰを学習結果として相関関係記憶部１５２に記録する。分析対象ログ１０として、事象Ｅ０の発生時刻を含む所定の時間範囲内に出力されたログ群を用いる。学習対象として１つ又は複数の分析対象ログ１０を用いてよい。相関関係記憶部１５２に記録される相関パターンＰの具体的な例は、図４と同様である。
【００５１】
既知の事象Ｅ０は、ログを出力したシステム自体に発生した異常、監視システムにより検出された異常、正常であるが検出すべき事象等、検出対象とする特定の事象である。既知の事象Ｅ０の発生時刻は、事象Ｅ０の発生時刻は、分析対象ログ１０中において事象Ｅ０に対応する１つのログの時刻（タイムスタンプ）、あるいは事象Ｅ０に対応するログが無い場合には分析対象ログ１０の時間範囲内で事象Ｅ０が発生した時刻が用いられる。
【００５２】
具体的には、相関分析部２６０は、分析対象ログ１０のうち事象Ｅ０の発生時刻を含む所定の時間範囲内（例えば事象Ｅ０の発生時刻の前後１０分以内）のログについて、相関係数として該ログのフォーマットＩＤ間の遷移確率を算出する。ここで、相関分析部２６０は、時系列で隣接する２つのログ、あるいは所定の時間内（例えば１０秒以内）に出力された２つのログの全ての組について遷移確率を算出する。そして相関分析部２６０は、遷移確率が所定の閾値以上のログ群を相関パターンＰとして判定する。相関パターンＰは、相関のあるログ（フォーマットＩＤ）の順列又は組み合わせである。遷移確率は、分析対象ログ１０の中で第１の種類のログの後に第２の種類のログ（あるいはその逆）が出現する確率であり、その順列又は組み合わせの発生回数が大きいほど高い値になる。換言すると、事象Ｅ０の前後のログにおいて、相関分析部２６０は、ログの各種類の発生回数の時系列データから、ログ間の相関関係を判定する。事象学習部２７０は、判定された相関パターンＰを、事象Ｅ０を識別する情報とともに相関関係記憶部１５２に記録する。本実施形態ではログ間の相関係数を算出するためにログのフォーマットＩＤを用いたが、ログに含まれる変数値、あるいはフォーマットＩＤと変数値との組み合わせ等、ログの特性を表すことが可能な任意の値を用いてよい。
【００５３】
相関パターンの学習方法として、ここに示したインバリアント分析に限られず、既知の事象Ｅ０の前後のログの時系列データからログ間の相関関係を学習できる任意の方法を用いてよい。
【００５４】
相関分析部２６０は、遷移確率が所定の閾値以上のログ群のうち、事象Ｅ０との関連性が高いもののみを相関パターンＰとして判定してもよい。具体的には、事象Ｅ０との関連性の高さは、事象Ｅ０を含む所定の時間範囲（例えば事象Ｅ０の発生時刻の前後１０分）よりも外に遷移確率が所定の閾値以上のログ群が出現するか否かによって判定することができる。すなわち、遷移確率が所定の閾値以上のログ群であっても、事象Ｅ０を含む所定の時間範囲よりも外に出現するものを、相関パターンＰとして判定しない。このような構成によって、事象Ｅ０とは無関係に発生するログ群を相関パターンＰの判定から除外し、既知の事象Ｅ０と密接に関連する相関パターンＰのみを学習することができる。
【００５５】
複数の分析対象ログ１０がログ入力部１１０から入力される場合に、相関分析部２６０は、遷移確率が所定の閾値以上のログ群のうち、２つ以上の分析対象ログ１０に共通して出現するものを相関パターンＰとして判定してもよい。相関パターンＰの判定基準とする分析対象ログ１０の数は２つ以上の任意の数でよい。このような構成によって、異なる時期に取得された複数の分析対象ログ１０に基づいて学習を行うことができるため、より高精度に既知の事象Ｅ０を検出することができる。
【００５６】
図８は、本実施形態に係るログ分析システム２００を用いる学習方法のフローチャートを示す図である。まず、ログ入力部１１０は、既知の事象の発生時刻を含む所定の時間範囲内の分析対象ログ１０内のログを受け取り、ログ分析システム１００に入力する（ステップＳ２０１）。フォーマット判定部１２０は、ステップＳ２０１で入力された分析対象ログ１０に含まれる各ログについて、フォーマット記憶部１５１に記録されたいずれのフォーマットに適合するか判定する（ステップＳ２０２）。
【００５７】
次に、相関分析部２６０は、ステップＳ２０２でフォーマットが判定されたログから、ログ間の相関係数（ここでは遷移確率）を算出し（ステップＳ２０３）、ステップＳ２０３で算出された相関係数が所定の閾値以上のログ群を相関パターンとして判定する（ステップＳ２０４）。
【００５８】
最後に事象学習部２７０は、ステップＳ２０４で判定された相関パターンを、事象を識別する情報とともに相関関係記憶部１５２に記録する（ステップＳ２０５）。
【００５９】
ログ分析システム１００のＣＰＵ１０１は、図８に示す学習方法に含まれる各ステップ（工程）の主体となる。すなわち、ＣＰＵ１０１は、図８に示す学習方法を実行するためのプログラムをメモリ１０２又は記憶装置１０３から読み出し、該プログラムを実行してログ分析システム１００の各部を制御することによって図８に示す学習方法を実行する。
【００６０】
本実施形態に係るログ分析システム２００は、既知の事象の前後のログから相関分析によってログ間の相関関係（相関パターン）を学習するため、ログ内容（ログメッセージの意味等）の事前知識がなくとも既知の事象を検出することが可能になる。
【００６１】
（第３の実施形態）
本実施形態は、監視システム等により検出された異常等の事象が既知又は未知であるか相関パターンを用いて判定し、判定結果に基づいて異なる処理を行う。図９は、本実施形態に係るログ分析システム３００のブロック図である。ログ分析システム３００は、第１の実施形態に係るログ分析システム１００と共通のログ入力部１１０、フォーマット判定部１２０、相関判定部１３０、事象検出部１４０、フォーマット記憶部１５１および相関関係記憶部１５２、ならびに第２の実施形態に係るログ分析システム１００と共通の相関分析部２６０および事象学習部２７０に加えて、処理部である既知事象出力部３８０をさらに備える。本実施形態に係るログ分析システム３００は、第１および第２の実施形態に係るログ分析システム１００、２００と一体化されてもよい。
【００６２】
ログ分析システム３００には、異常（事象）の発生を検出する異常監視システム３０が接続されている。異常監視システム３０が異常を検出すると、ログ入力部１１０は異常監視システム３０から該異常の発生時刻を含む異常情報を受け取る。異常監視システム３０は、異常に限られず、検出対象とする特定の事象を検出してよい。そして、ログ入力部１１０は、異常監視システム３０によって検出された異常の発生時刻を含む所定の時間範囲内に出力された分析対象ログ１０を、ログ分析システム３００に入力する。フォーマット判定部１２０は、分析対象ログ１０に対して、第１の実施形態と同様にフォーマット判定を行う
【００６３】
相関判定部１３０は、分析対象ログ１０中の各ログ群に対して、相関関係記憶部１５２に記録された相関パターンＰと一致又は類似するか否かの比較を行う。相関パターンＰに類似することの判定は、相関パターンＰに含まれる複数のログ（フォーマット）と一致する割合が所定の閾値以上であること、あるいは相関パターンＰに含まれる複数のログ（フォーマット）を並び替えたものであること等の任意の規則により行われる。
【００６４】
そして、事象検出部１４０は、分析対象ログ１０の中にある既知の事象Ｅ０に関連付けられた相関パターンＰが所定の基準を満たすように出現する場合に、異常監視システム３０により検出された異常が既知の事象Ｅ０であることを検出し、そうでない場合に、該異常が未知の事象であることを検出する。具体的な相関パターンＰの検出方法は、第１の実施形態と同様である。
【００６５】
事象検出部１４０によって異常監視システム３０から通知された異常が既知の事象Ｅ０であることを検出された場合には、既知事象出力部３８０は表示装置２０を用いて既知の事象Ｅ０に係る情報を出力する。既知の事象Ｅ０に係る情報としては、例えば既知の事象Ｅ０が過去に発生した日時、既知の事象Ｅ０の内容、既知の事象Ｅ０の対処方法等を出力してよい。既知の事象Ｅ０に係る情報は、相関関係記憶部１５２に予め記録されたものから取得されてよく、あるいはログ分析システム３００の外部から取得されてよい。
【００６６】
事象検出部１４０によって異常監視システム３０から通知された異常が未知の事象であることを検出された場合には、相関分析部２６０および事象学習部２７０は、異常監視システム３０から通知された異常を既知の事象とするように、分析対象ログ１０に対して第２の実施形態と同様に相関パターンＰの学習を行う。学習された相関パターンＰは、相関関係記憶部１５２に記録される。さらに、異常監視システム３０から通知された異常が未知の事象である場合には、表示装置２０を用いて検出された異常が未知である旨を出力してよい。
【００６７】
図１０は、本実施形態に係るログ分析システム３００を用いるログ分析方法のフローチャートを示す図である。まず、ログ入力部１１０は、異常監視システム３０から異常の発生時刻を含む異常情報を受け取る（ステップＳ３０１）。そして、ログ入力部１１０は、ステップＳ３０１で受け取った異常の発生時刻を含む所定の時間範囲内の分析対象ログ１０内のログを受け取り、ログ分析システム３００に入力する（ステップＳ３０２）。フォーマット判定部１２０は、ステップＳ３０１で入力された分析対象ログ１０に含まれる各ログについて、フォーマット記憶部１５１に記録されたいずれのフォーマットに適合するか判定する（ステップＳ３０３）。
【００６８】
次に、相関判定部１３０は、ステップＳ３０３でフォーマットが判定されたログと相関関係記憶部１５２に記録された相関パターンとを比較し、該ログ中にそれぞれの相関パターンが出現する回数を数える（ステップＳ３０４）。
【００６９】
ある事象（事象ＩＤ）に関連付けられた相関パターンがログ中に所定の基準を満たすように出現する場合に（ステップＳ３０５のＹＥＳ）、事象検出部１４０は、異常監視システム３０により検出された異常が既知の事象であることを検出する（ステップＳ３０６）。次に、既知事象出力部３８０は、ステップＳ３０６で判定された既知の事象に係る情報を、表示装置２０を用いて出力する（ステップＳ３０７）。
【００７０】
相関パターンがログ中に所定の基準を満たすように出現しない場合に（ステップＳ３０５のＮＯ）、事象検出部１４０は、異常監視システム３０により検出された異常が未知の事象であることを検出する（ステップＳ３０８）。次に、相関分析部２６０は、ステップＳ３０３でフォーマットが判定されたログから、ログ間の相関係数（ここでは遷移確率）を算出する（ステップＳ３０９）。そして相関分析部２６０は、ステップＳ３０９で算出された相関係数が所定の閾値以上のログ群を相関パターンとして判定する（ステップＳ３１０）。
【００７１】
そして、事象学習部２７０は、ステップＳ３１０で判定された相関パターンを、事象（すなわち異常監視システム３０により検出された異常）を識別する情報とともに相関関係記憶部１５２に記録する（ステップＳ３１１）。また、検出された異常が未知である旨を、表示装置２０を用いて出力してよい。
【００７２】
ログ分析システム１００のＣＰＵ１０１は、図１０に示す学習方法に含まれる各ステップ（工程）の主体となる。すなわち、ＣＰＵ１０１は、図１０に示す学習方法を実行するためのプログラムをメモリ１０２又は記憶装置１０３から読み出し、該プログラムを実行してログ分析システム１００の各部を制御することによって図１０に示す学習方法を実行する。
【００７３】
本実施形態に係るログ分析システム３００は、既知の事象から学習されたログ間の相関関係（相関パターン）に基づいて異常監視システムにより検出された異常が既知か未知かを判定するため、異常の直接的な原因が分からない場合であっても既知か未知かを知ることができる。さらに検出された異常が既知の場合には関連する既知の事象の情報を出力するため、異常の原因究明や対処が容易になる。さらに検出された異常が未知の場合には、異常の前後のログから相関パターンを学習し、また未知の異常であることをユーザに通知することができる。
【００７４】
（その他の実施形態）
図１１は、上述の各実施形態に係るログ分析システム１００、３００の概略構成図である。図１１には、ログ分析システム１００、３００が分析対象ログ１０において予め記録された時系列の相関関係（相関パターン）の有無を判定することによって既知の事象との類似性を判定し、該既知の事象を検出する装置として機能するための構成例が示されている。ログ分析システム１００、３００は、複数のログを含む分析対象ログを入力するログ入力部１１０と、事象の前後の所定の時間範囲における複数のログ間の時系列の相関関係の有無を判定する相関判定部１３０と、判定の結果に基づいて、事象を検出する事象検出部１４０と、を備える。
【００７５】
本発明は、上述の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲において適宜変更可能である。
【００７６】
上述の実施形態の機能を実現するように該実施形態の構成を動作させるプログラム（より具体的には、図６、８、１０に示す処理をコンピュータに実行させるログ分析プログラム）を記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のプログラムが記録された記録媒体はもちろん、そのプログラム自体も各実施形態に含まれる。
【００７７】
該記録媒体としては例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ上で動作して処理を実行するものも各実施形態の範疇に含まれる。
【００７８】
上述の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【００７９】
（付記１）
複数のログを含む分析対象ログを入力する工程と、
事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する工程と、
前記判定の結果に基づいて、前記事象を検出する工程と、
を含むログ分析方法。
【００８０】
（付記２）
前記判定する工程は、予め記録された前記相関関係と前記複数のログとが一致又は類似するか否かを比較することによって、前記分析対象ログ中の前記相関関係の有無を判定する、付記１に記載のログ分析方法。
【００８１】
（付記３）
前記検出する工程は、前記相関関係に一致又は類似する前記複数のログの数に基づいて、前記事象を検出する、付記１又は２に記載のログ分析方法。
【００８２】
（付記４）
前記入力する工程は、前記分析対象ログ中の前記複数のログを順次入力し、
前記検出する工程は、順次入力された前記複数のログ中に、前記相関関係に一致又は類似する前記複数のログが出現した時に、前記事象の発生の予兆を検出する、付記１〜３のいずれか一項に記載のログ分析方法。
【００８３】
（付記５）
前記検出する工程は、前記判定する工程において前記相関関係が有ると判定された場合に前記事象が既知であると識別し、そうでない場合に前記事象が未知であると識別する、付記１〜３のいずれか一項に記載のログ分析方法。
【００８４】
（付記６）
前記分析対象ログに含まれる各ログが、変化可能な変数部分と変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する工程をさらに含み、
前記判定する工程は、前記形式間の時系列の前記相関関係の有無を判定する、付記１〜５のいずれか一項に記載のログ分析方法。
【００８５】
（付記７）
既知の事象の前後の所定の時間範囲における前記複数のログ間の時系列の前記相関関係を学習する工程をさらに含む、付記１〜６のいずれか一項に記載のログ分析方法。
【００８６】
（付記８）
前記学習する工程は、前記複数のログ間の遷移確率を算出し、前記遷移確率が所定の閾値以上である前記複数のログを前記相関関係として学習する、付記７に記載のログ分析方法。
【００８７】
（付記９）
前記学習する工程は、前記複数のログのうち、前記事象との関連性が高いものを前記相関関係として学習する、付記７又は８に記載のログ分析方法。
【００８８】
（付記１０）
前記入力する工程は、複数の前記分析対象ログを入力し、
前記学習する工程は、前記複数のログのうち、複数の前記分析対象ログに共通して出現するものを前記相関関係として学習する、付記７又は８に記載のログ分析方法。
【００８９】
（付記１１）
コンピュータに、
複数のログを含む分析対象ログを入力する工程と、
事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する工程と、
前記判定の結果に基づいて、前記事象を検出する工程と、
を実行させるログ分析プログラム。
【００９０】
（付記１２）
複数のログを含む分析対象ログを入力するログ入力部と、
事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する相関判定部と、
前記判定の結果に基づいて、前記事象を検出する事象検出部と、
を備えるログ分析システム。
【図１】
2018069950.tif 000003
【図２Ａ】
2018069950.tif 000004
【図２Ｂ】
2018069950.tif 000005
【図３】
2018069950.tif 000006
【図４】
2018069950.tif 000007
【図５】
2018069950.tif 000008
【図６】
2018069950.tif 000009
【図７】
2018069950.tif 000010
【図８】
2018069950.tif 000011
【図９】
2018069950.tif 000012
【図１０】
2018069950.tif 000013
【図１１】
2018069950.tif 000014
【手続補正書】
【提出日】平成31年2月25日(2019.2.25)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数のログを含む分析対象ログを入力する工程と、
事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する工程と、
前記判定の結果に基づいて、前記事象を検出する工程と、
を含むログ分析方法。
【請求項２】
前記判定する工程は、予め記録された前記相関関係と前記複数のログとが一致又は類似するか否かを比較することによって、前記分析対象ログ中の前記相関関係の有無を判定する、請求項１に記載のログ分析方法。
【請求項３】
前記検出する工程は、前記相関関係に一致又は類似する前記複数のログの数に基づいて、前記事象を検出する、請求項１又は２に記載のログ分析方法。
【請求項４】
前記入力する工程は、前記分析対象ログ中の前記複数のログを順次入力し、
前記検出する工程は、順次入力された前記複数のログ中に、前記相関関係に一致又は類似する前記複数のログが出現した時に、前記事象の発生の予兆を検出する、請求項１〜３のいずれか一項に記載のログ分析方法。
【請求項５】
前記検出する工程は、前記判定する工程において前記相関関係が有ると判定された場合に前記事象が既知であると識別し、そうでない場合に前記事象が未知であると識別する、請求項１〜３のいずれか一項に記載のログ分析方法。
【請求項６】
前記分析対象ログに含まれる各ログが、変化可能な変数部分と変化しない定数部分とを含む、予め決められた複数の形式のいずれに合致するか判定する工程をさらに含み、
前記判定する工程は、前記形式間の時系列の前記相関関係の有無を判定する、請求項１〜５のいずれか一項に記載のログ分析方法。
【請求項７】
既知の事象の前後の所定の時間範囲における前記複数のログ間の時系列の前記相関関係を学習する工程をさらに含む、請求項１〜６のいずれか一項に記載のログ分析方法。
【請求項８】
前記学習する工程は、前記複数のログ間の遷移確率を算出し、前記遷移確率が所定の閾値以上である前記複数のログを前記相関関係として学習する、請求項７に記載のログ分析方法。
【請求項９】
コンピュータに、
複数のログを含む分析対象ログを入力する工程と、
事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する工程と、
前記判定の結果に基づいて、前記事象を検出する工程と、
を実行させるログ分析プログラム。
【請求項１０】
複数のログを含む分析対象ログを入力するログ入力部と、
事象の前後の所定の時間範囲における前記複数のログ間の時系列の相関関係の有無を判定する相関判定部と、
前記判定の結果に基づいて、前記事象を検出する事象検出部と、
を備えるログ分析システム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００４５
【補正方法】変更
【補正の内容】
【００４５】
分析対象ログ１０の受け取りが終了していない場合には（ステップＳ１０６のＮＯ）、ステップＳ１０１に戻って分析対象ログ１０の入力から事象の検出および出力までを繰り返す。分析対象ログ１０の受け取りが終了した場合には（ステップＳ１０６のＹＥＳ）、処理を終了する。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００５６
【補正方法】変更
【補正の内容】
【００５６】
図８は、本実施形態に係るログ分析システム２００を用いる学習方法のフローチャートを示す図である。まず、ログ入力部１１０は、既知の事象の発生時刻を含む所定の時間範囲内の分析対象ログ１０内のログを受け取り、ログ分析システム２００に入力する（ステップＳ２０１）。フォーマット判定部１２０は、ステップＳ２０１で入力された分析対象ログ１０に含まれる各ログについて、フォーマット記憶部１５１に記録されたいずれのフォーマットに適合するか判定する（ステップＳ２０２）。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００５９
【補正方法】変更
【補正の内容】
【００５９】
ログ分析システム２００のＣＰＵ１０１は、図８に示す学習方法に含まれる各ステップ（工程）の主体となる。すなわち、ＣＰＵ１０１は、図８に示す学習方法を実行するためのプログラムをメモリ１０２又は記憶装置１０３から読み出し、該プログラムを実行してログ分析システム２００の各部を制御することによって図８に示す学習方法を実行する。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００６１
【補正方法】変更
【補正の内容】
【００６１】
（第３の実施形態）
本実施形態は、監視システム等により検出された異常等の事象が既知又は未知であるか相関パターンを用いて判定し、判定結果に基づいて異なる処理を行う。図９は、本実施形態に係るログ分析システム３００のブロック図である。ログ分析システム３００は、第１の実施形態に係るログ分析システム１００と共通のログ入力部１１０、フォーマット判定部１２０、相関判定部１３０、事象検出部１４０、フォーマット記憶部１５１および相関関係記憶部１５２、ならびに第２の実施形態に係るログ分析システム２００と共通の相関分析部２６０および事象学習部２７０に加えて、処理部である既知事象出力部３８０をさらに備える。本実施形態に係るログ分析システム３００は、第１および第２の実施形態に係るログ分析システム１００、２００と一体化されてもよい。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００６７
【補正方法】変更
【補正の内容】
【００６７】
図１０は、本実施形態に係るログ分析システム３００を用いるログ分析方法のフローチャートを示す図である。まず、ログ入力部１１０は、異常監視システム３０から異常の発生時刻を含む異常情報を受け取る（ステップＳ３０１）。そして、ログ入力部１１０は、ステップＳ３０１で受け取った異常の発生時刻を含む所定の時間範囲内の分析対象ログ１０内のログを受け取り、ログ分析システム３００に入力する（ステップＳ３０２）。フォーマット判定部１２０は、ステップＳ３０２で入力された分析対象ログ１０に含まれる各ログについて、フォーマット記憶部１５１に記録されたいずれのフォーマットに適合するか判定する（ステップＳ３０３）。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００７２
【補正方法】変更
【補正の内容】
【００７２】
ログ分析システム３００のＣＰＵ１０１は、図１０に示す学習方法に含まれる各ステップ（工程）の主体となる。すなわち、ＣＰＵ１０１は、図１０に示す学習方法を実行するためのプログラムをメモリ１０２又は記憶装置１０３から読み出し、該プログラムを実行してログ分析システム３００の各部を制御することによって図１０に示す学習方法を実行する。
【国際調査報告】
2018069950.tif 000015
2018069950.tif 000016