ログ管理方法、ログ管理装置、及びプログラム
【課題】ファイル操作に関するログデータのデータ量を削減することが可能なログ管理方法を得る。
【解決手段】ログ管理方法は、ファイル操作のログを管理するログ管理方法であって、（Ａ）所定期間内に操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、（Ｂ）ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、を備える。
【解決手段】ログ管理方法は、ファイル操作のログを管理するログ管理方法であって、（Ａ）所定期間内に操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、（Ｂ）ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータにおけるファイル操作のログを管理するログ管理方法、ログ管理装置、及びプログラムに関する。
【背景技術】
【０００２】
下記特許文献１には、背景技術に係る情報分析システムが開示されている。当該システムにおいて、クライアントコンピュータは、自身におけるファイル操作（移動、印刷、コピー、メール添付）の操作履歴に関する操作履歴データを、通信回線網を介して所定の時間間隔で分析用サーバに送信する。分析用サーバは、受信した操作履歴データを操作履歴データベースに蓄積する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第４４９００２９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら上記特許文献１に開示されたシステムによると、クライアントコンピュータにおいてデータのバックアップが実行されて大量のファイルのコピーが発生した場合等に、大量の操作履歴データがクライアントコンピュータから分析用サーバに送信され、操作履歴データベースに蓄積される。企業等において多数のクライアントコンピュータがネットワークに接続されている場合には、各クライアントコンピュータの操作履歴データが操作履歴データベースに蓄積されるため、操作履歴データベースに蓄積されるデータ量は膨大なものとなる。また、クライアントコンピュータの使用者や管理者が、操作履歴データベースに蓄積されている操作履歴データを読み出して操作履歴を確認する場合にも、操作履歴データが膨大であるために見通しが悪く、注視すべき操作履歴を見落としてしまう可能性がある。
【０００５】
本発明はかかる事情に鑑みて成されたものであり、ファイル操作に関するログデータのデータ量を削減することが可能な、ログ管理方法、ログ管理装置、及びプログラムを得ることを目的とするものである。
【課題を解決するための手段】
【０００６】
本発明の第１の態様に係るログ管理方法は、ファイル操作のログを管理するログ管理方法であって、（Ａ）操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、（Ｂ）前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、を備えることを特徴とするものである。
【０００７】
第１の態様に係るログ管理方法によれば、ログデータに記録されている複数のログイベントが、ログイベント間の関連性に基づいて一又は複数のグループに集約される。このように、複数のログイベントを一又は複数のグループに集約することにより、ログデータのデータ量を削減することが可能となる。
【０００８】
本発明の第２の態様に係るログ管理方法は、第１の態様に係るログ管理方法において特に、前記ステップ（Ｂ）におけるログイベントの集約は、同一の又は関連するプロセス別に行われることを特徴とするものである。
【０００９】
第２の態様に係るログ管理方法によれば、ログイベントの集約は、同一の又は関連するプロセス別に行われる。従って、プロセス同士の関連性が低い複数のログイベントが同一のグループに集約されることを回避できるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００１０】
本発明の第３の態様に係るログ管理方法は、第１又は第２の態様に係るログ管理方法において特に、前記ステップ（Ｂ）は、（Ｂ−１）前記ログデータに記録されている複数のログイベントの各々について、一の代表フォルダを特定するステップと、（Ｂ−２）前記ログデータに記録されている複数のログイベントのうち、前記代表フォルダが共通する二以上のログイベントを、同一のグループとして集約するステップと、を有することを特徴とするものである。
【００１１】
第３の態様に係るログ管理方法によれば、複数のログイベントの各々について一の代表フォルダを特定し、代表フォルダが共通する二以上のログイベントを同一のグループとして集約する。これにより、代表フォルダ以下の複数のフォルダへのアクセスを示す複数のログイベントを、代表フォルダへのアクセスを示すログイベントとして集約することが可能となる。
【００１２】
本発明の第４の態様に係るログ管理方法は、第３の態様に係るログ管理方法において特に、前記代表フォルダは、各ログイベントのパス情報に階層的に記述されている複数のフォルダの中から選択されることを特徴とするものである。
【００１３】
第４の態様に係るログ管理方法によれば、代表フォルダは、各ログイベントのパス情報に階層的に記述されている複数のフォルダの中から選択される。従って、ログイベントのパス情報に含まれない無関係のフォルダが当該ログイベントの代表フォルダとして選択されることを回避できるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００１４】
本発明の第５の態様に係るログ管理方法は、第４の態様に係るログ管理方法において特に、前記代表フォルダは、プロセスからフォルダへのアクセス数に応じて求まる所定の指標に基づいて選択されることを特徴とするものである。
【００１５】
第５の態様に係るログ管理方法によれば、代表フォルダは、プロセスからフォルダへのアクセス数に応じて求まる所定の指標（例えば重み）に基づいて選択される。これにより、ユーザが行った作業の場所として特徴的なフォルダを代表フォルダとして選択することができるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００１６】
本発明の第６の態様に係るログ管理方法は、第５の態様に係るログ管理方法において特に、前記指標としては、対象となるプロセスからのアクセス数が大きく、他のプロセスからのアクセス数が小さいフォルダが前記代表フォルダとして選択されるような指標が用いられることを特徴とするものである。
【００１７】
第６の態様に係るログ管理方法によれば、対象となるプロセスからのアクセス数が大きく、他のプロセスからのアクセス数が小さいフォルダが代表フォルダとして選択されるような指標が用いられる。従って、ログイベント毎に最適な代表フォルダを選択することが可能となる。
【００１８】
本発明の第７の態様に係るログ管理方法は、第５又は第６の態様に係るログ管理方法において特に、パス情報に記述されている複数のフォルダの中に、前記指標の値が等しい二以上のフォルダが含まれる場合には、当該二以上のフォルダのうち最下層のフォルダが前記代表フォルダとして選択されることを特徴とするものである。
【００１９】
第７の態様に係るログ管理方法によれば、パス情報に記述されている複数のフォルダの中に、指標の値が等しい二以上のフォルダが含まれる場合には、当該二以上のフォルダのうち最下層のフォルダが代表フォルダとして選択される。パス情報における上層のフォルダよりも下層のフォルダのほうが、ユーザが行った作業の内容に具体的に関連している。従って、当該二以上のフォルダのうち最下層のフォルダを代表フォルダとして選択することにより、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００２０】
本発明の第８の態様に係るログ管理方法は、第３〜第７のいずれか一つの態様に係るログ管理方法において特に、（Ｃ）第１のフォルダを代表フォルダとする第１のグループと、当該第１のフォルダとの間のハミング距離が所定値以下である第２のフォルダを代表フォルダとする第２のグループとを、第３のグループとして集約するステップをさらに備えることを特徴とするものである。
【００２１】
第８の態様に係るログ管理方法によれば、第１のフォルダを代表フォルダとする第１のグループと、当該第１のフォルダとの間のハミング距離が所定値以下である第２のフォルダを代表フォルダとする第２のグループとが、第３のグループとして集約される。このように、複数のグループを新たなグループにさらに集約することにより、ログデータのデータ量をさらに削減することが可能となる。
【００２２】
本発明の第９の態様に係るログ管理方法は、第８の態様に係るログ管理方法において特に、前記ステップ（Ｃ）は、前記ステップ（Ｂ）によって集約されたグループ数が所定の上限値を超える場合に実行されることを特徴とするものである。
【００２３】
第９の態様に係るログ管理方法によれば、複数のグループから一の新たなグループへの集約は、グループ数が所定の上限値を超える場合に実行される。このように、グループ数が所定の上限値を超えている場合にはグループ同士の集約を行うことにより、グループ数を上限値以下に抑えることが可能となる。
【００２４】
本発明の第１０の態様に係るログ管理方法は、第９の態様に係るログ管理方法において特に、前記第１のフォルダの上層フォルダと前記第２のフォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダが、前記第３のグループの代表フォルダとして割り当てられることを特徴とするものである。
【００２５】
第１０の態様に係るログ管理方法によれば、第１のフォルダの上層フォルダと第２のフォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダが、第３のグループの代表フォルダとして割り当てられる。パス情報における上層のフォルダよりも下層のフォルダのほうが、ユーザが行った作業の内容に具体的に関連している。従って、第１のフォルダの上層フォルダと第２のフォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダを、第３のグループの代表フォルダとして割り当てることにより、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００２６】
本発明の第１１の態様に係るログ管理装置は、ファイル操作のログを管理するログ管理装置であって、操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得する取得部と、前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループに集約する集約処理部と、を備えることを特徴とするものである。
【００２７】
第１１の態様に係るログ管理装置によれば、ログデータに記録されている複数のログイベントが、ログイベント間の関連性に基づいて一又は複数のグループに集約される。このように、複数のログイベントを一又は複数のグループに集約することにより、ログデータのデータ量を削減することが可能となる。
【００２８】
本発明の第１２の態様に係るプログラムは、ファイル操作のログを管理するログ管理装置に搭載されるコンピュータに、（Ａ）操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、（Ｂ）前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、を実行させるためのプログラムである。
【００２９】
第１２の態様に係るプログラムによれば、ログデータに記録されている複数のログイベントが、ログイベント間の関連性に基づいて一又は複数のグループに集約される。このように、複数のログイベントを一又は複数のグループに集約することにより、ログデータのデータ量を削減することが可能となる。
【発明の効果】
【００３０】
本発明によれば、ファイル操作に関するログデータのデータ量を削減することが可能となる。
【図面の簡単な説明】
【００３１】
【図１】本発明の実施の形態に係るログ管理システムの全体構成を簡略化して示す図である。
【図２】コンピュータのハードウェア構成を示す図である。
【図３】ログデータの一例を示す図である。
【図４】コンピュータにおけるフォルダ構造の一例を簡略化して示す図である。
【図５】プログラムを実行することによって処理部に実現される機能を示すブロック図である。
【図６】集約処理手段を具体的に示すブロック図である。
【図７】取得手段及び集約処理手段によって実行される処理の流れを示すフローチャートである。
【図８】ログデータの一例を示す図である。
【発明を実施するための形態】
【００３２】
以下、本発明の実施の形態について、図面を用いて詳細に説明する。なお、異なる図面において同一の符号を付した要素は、同一又は相応する要素を示すものとする。
【００３３】
図１は、本発明の実施の形態に係るログ管理システム１の全体構成を簡略化して示す図である。ログ管理システム１は、例えば企業内のコンピュータネットワークに適用される。図１の接続関係で示すように、ログ管理システム１は、サーバ装置２と、ユーザが使用するクライアントコンピュータとしてのコンピュータ３と、専用網やＩＰ（Internet Protocol）網等の通信ネットワーク４とを備えて構成されている。サーバ装置２及びコンピュータ３は、通信ネットワーク４を介して相互にデータ通信が可能である。
【００３４】
図２は、コンピュータ３のハードウェア構成を示す図である。図２の接続関係で示すように、コンピュータ３は、ＣＰＵ（Central Processing Unit）等の処理部１１と、液晶ディスプレイ等の表示部１２と、通信ネットワーク４を介してデータ通信を行うための通信部１３と、半導体メモリやハードディスク等の記憶部１４と、マウスやキーボード等の入力部１５とを備えて構成されている。記憶部１４には、クライアントプログラムとしてのプログラム２０と、コンピュータ３におけるファイル操作（フォルダ操作を含む）の操作履歴であるログを記録したログデータ２１とが記憶されている。
【００３５】
図３は、ログデータ２１Ａの一例を示す図である。ユーザがコンピュータ３を用いてファイル操作を行うと、１回のファイル操作に対して１個のログイベント５０がログデータ２１Ａに記録される。従って、例えば１０００回のファイル操作が行われると、１０００個のログイベント５０が記録されたログデータ２１Ａが作成される。
【００３６】
図３に例示したログデータ２１Ａには、操作日時、操作内容、ファイルパス、プログラムパス、及びプロセスＩＤの項目が含まれる。但し、これ以外の項目が含まれていてもよい。
【００３７】
操作日時の項目には、ユーザがファイル操作を行った日時等の時刻情報が記述される。
【００３８】
操作内容の項目には、ファイル作成、ファイル更新、ファイル削除、ファイルリネーム、ファイルコピー、フォルダ作成、フォルダ削除、フォルダリネーム、フォルダコピー等の事象が記述される。
【００３９】
ファイルパスの項目には、操作対象となったファイルに関するコンピュータ３内の絶対パスが記述される。
【００４０】
プログラムパスの項目には、ファイルを操作したプログラムに関するコンピュータ３内の絶対パスが記述される。
【００４１】
プロセスＩＤの項目には、ファイルを操作したプログラムプロセスに関するＩＤ（ＯＳから割り当てられたもの）が記述される。
【００４２】
図４は、コンピュータ３におけるフォルダ構造の一例を簡略化して示す図である。コンピュータ３のＣドライブに、フォルダ名が「ａａａ」のフォルダＦａ、フォルダ名が「ｂｂｂ」のフォルダＦｂ、フォルダ名が「ｃｃｃ」のフォルダＦｃ、フォルダ名が「ｄｄｄ」のフォルダＦｄ、フォルダ名が「ｅｅｅ」のフォルダＦｅ、フォルダ名が「ｆｆｆ」のフォルダＦｆ、フォルダ名が「ｇｇｇ」のフォルダＦｇ、及びフォルダ名が「ｈｈｈ」のフォルダＦｈを含む階層構造が構築されている。フォルダＦａはフォルダＦｂに対する親フォルダであり、フォルダＦｂはフォルダＦｃ，Ｆｆに対する親フォルダであり、フォルダＦｃはフォルダＦｄ，Ｆｅに対する親フォルダであり、フォルダＦｆはフォルダＦｇ，Ｆｈに対する親フォルダである。フォルダＦｃにはファイルＸ１が保存されており、フォルダＦｄにはファイルＸ２が保存されており、フォルダＦｅにはファイルＸ３が保存されており、フォルダＦｇにはファイルＸ４が保存されており、フォルダＦｈにはファイルＸ５，Ｘ６が保存されている。
【００４３】
図５は、プログラム２０を実行することによって処理部１１に実現される機能を示すブロック図である。図５に示すように処理部１１は、取得手段３１及び集約処理手段３２を有する。換言すれば、プログラム２０は、ログ管理装置に搭載されるコンピュータを、取得手段３１及び集約処理手段３２として機能させるためのプログラムである。
【００４４】
図６は、集約処理手段３２を具体的に示すブロック図である。図６に示すように集約処理手段３２は、分類部４０、算出部４１、選択部４２、集約部４３、合併部４４、及び書換部４５を有する。
【００４５】
図７は、取得手段３１及び集約処理手段３２によって実行される処理の流れを示すフローチャートである。
【００４６】
まずステップＴ０１において取得手段３１は、記憶部１４からログデータ２１Ａを読み出すことによってログデータ２１Ａを取得する。取得手段３１は、ログデータ２１Ａを集約処理手段３２に入力する。
【００４７】
次にステップＴ０２において分類部４０は、ログデータ２１Ａに記録されている複数のログイベント５０をプロセス別の区分に分類する。その際、分類部４０は、ログデータ２１Ａ内のプログラムパス及びプロセスＩＤの組合せ（プロセス情報）によってプロセスを識別する。なお、プロセス情報が互いに異なるプロセスであっても、共通のファイルを同時に処理する等のように複数のプロセスが互いに関連する場合には、これらのプロセスが同一区分に分類されるように予め関連付けておいてもよい。また、プログラムパス又はプロセスＩＤが記述されていない（つまり空文字である）ログイベントについては、空文字のプロセスとして「その他」の区分に分類する。また、所定の期間単位（１日単位、半日単位、３時間単位等）に分割してログイベント５０の分類を行ってもよい。この場合、同一プロセスによる同一ファイルの操作に基づくログイベントであっても、期間単位が異なれば別プロセスの区分に分類される。
【００４８】
次にステップＴ０３において算出部４１は、あるプロセス（着目プロセス）の区分に分類された各ログイベント５０について、フォルダの重みを算出する。具体的には以下のとおりである。なお、重みは、プロセスからフォルダへのアクセス数に応じて求まる指標の一つである。
【００４９】
まず、各ログイベント５０のファイルパス（絶対パス）を、フォルダ階層ごとに分類する。例えば、図４に示したファイルＸ２のファイルパスが「C:\aaa\bbb\ccc\ddd\X2」である場合には、当該ファイルパスを「C:」「C:\aaa」「C:\aaa\bbb」「C:\aaa\bbb\ccc」「C:\aaa\bbb\ccc\ddd」に分類する。なお、ファイルパスが記述されていない（つまり空文字である）ログイベントについては、上記と同様に「その他」の区分に分類する。
【００５０】
次に、フォルダ階層ごとに分類した複数のフォルダの各々について、ログデータ２１Ａ内に出現する全てのプロセスのうち自フォルダが１回以上出現したプロセス数ｐｄｆｉを求める。ここで、添え字「ｉ」はフォルダを識別する番号又は符号である。例えば、フォルダＦｃが１つのプロセスＰ１に関するログイベント５０のみに出現する場合にはｐｄｆＦｃ＝１となり、２つのプロセスＰ１，Ｐ２に関するログイベント５０に出現する場合にはｐｄｆＦｃ＝２となる。なお、過去に作成した一以上のログデータにおける算出値を用いてもよい。
【００５１】
次に、フォルダ階層ごとに分類した複数のフォルダの各々について、着目プロセスに関する全ログイベント５０内に出現した総出現数ｄｆｉ，ｊを求める。ここで、添え字「ｊ」はプロセスを識別する番号又は符号である。例えば、フォルダＦｅがプロセスＰ１に関する１０個のログイベント５０に出現した場合にはｄｆＦｅ，Ｐ１＝１０となり、２０個のログイベント５０に出現した場合にはｄｆＦｅ，Ｐ１＝２０となる。
【００５２】
次に、フォルダ階層ごとに分類した複数のフォルダの各々について、以下の式（１）で表される重みｄｗｉ，ｊを求める。式（１）における「ｎｐ」は、ログデータ２１Ａ内に出現するプロセスの総数である。なお、所定の期間単位に分割してログイベント５０の分類を行う場合には、「ｎｐ」は分割された範囲内でのプロセスの総数となる。また、過去に作成した一以上のログデータを利用する場合には、「ｎｐ」は当該ログデータ内に出現するプロセスの総数となる。
【００５３】
【数１】
【００５４】
式（１）から明らかなように、対象となる着目プロセスからのアクセス数が大きい（つまりｄｆｉ，ｊが大きい）ほど、また、他のプロセスからのアクセス数が小さい（つまりｐｄｆｉが小さい）ほど、重みｄｗｉ，ｊの値は大きくなる。
【００５５】
ステップＴ０３に引き続き、次にステップＴ０４において選択部４２は、各ログイベント５０について、重みｄｗｉ，ｊが最も大きいフォルダを代表フォルダとして選択する。その際、重みｄｗｉ，ｊが最も大きいフォルダが複数存在する場合には、その中で最深のフォルダを代表フォルダとして選択する。例えば、プロセスＰ１によるファイルＸ２の操作に基づくログイベント５０に関しては、フォルダＦａの重みｄｗＦａ，Ｐ１と、フォルダＦｂの重みｄｗＦｂ，Ｐ１と、フォルダＦｃの重みｄｗＦｃ，Ｐ１と、フォルダＦｄの重みｄｗＦｄ，Ｐ１とを比較し、値が最も大きいフォルダを当該ログイベント５０に関する代表フォルダとして選択する。また、例えばフォルダＦｂの重みｄｗＦｂ，Ｐ１とフォルダＦｃの重みｄｗＦｃ，Ｐ１とが最も大きい場合には、最深のフォルダＦｃを代表フォルダとして選択する。なお、重みｄｗｉ，ｊが最も大きいフォルダが複数存在する場合に、その中で最浅のフォルダを代表フォルダとして選択してもよい。これにより、ログイベントの代表フォルダが重複しやすくなるため、グループ化を促進することができる。
【００５６】
次にステップＴ０５において集約部４３は、ログデータ２１Ａに記録されている複数のログイベント５０を、代表フォルダが共通するログイベント同士でグループ化することにより、一又は複数のグループに集約する。換言すれば、ログデータ２１Ａに記録されている複数のログイベント５０を、ログイベント間の関連性に基づいて一又は複数のグループに集約する。つまり、代表フォルダが共通するログイベント同士は関連性を有しており（あるいは関連性が高く）、代表フォルダが共通しないログイベント同士は関連性を有していない（あるいは関連性が低い）ということである。例えば、プロセスＰ１によるファイルＸ１，Ｘ２，Ｘ３の操作に基づくログイベント５０の代表フォルダがいずれもフォルダＦｃである場合には、これらのログイベント５０を、フォルダＦｃを代表フォルダとするグループに集約する。また例えば、プロセスＰ１によるファイルＸ４，Ｘ５，Ｘ６の操作に基づくログイベント５０の代表フォルダがいずれもフォルダＦｆである場合には、これらのログイベント５０を、フォルダＦｆを代表フォルダとするグループに集約する。
【００５７】
以上のステップＴ０３〜Ｔ０５の処理は、ログデータ２１Ａ内に出現する全てのプロセスに関して順に実行される。
【００５８】
全てのプロセスに関する処理が完了すると（つまりステップＴ０６が「ＮＯ」）、次にステップＴ０７において合併部４４は、集約後のグループ数が所定の上限値以下であるか否かを判定する。上限値は、例えば、記憶部１４の全記憶容量のうちログデータ２１の記憶領域として割り当てられている領域のサイズに応じて設定される。そして、グループ数が上限値を超えている場合（つまりステップＴ０７が「ＮＯ」）には、次にステップＴ０８において合併部４４は、複数のグループの合併処理を行う。具体的には以下のとおりである。
【００５９】
まず、全ての代表フォルダのうち、重みｄｗｉ，ｊが最も小さい代表フォルダ（第１フォルダ）を選択する。なお、重みｄｗｉ，ｊが最も小さい代表フォルダが複数存在する場合には、その中で最深の代表フォルダを選択する。
【００６０】
次に、選択した代表フォルダとの間のハミング距離が最も小さい別の代表フォルダ（第２フォルダ）を特定する。なお、ハミング距離が最も小さい代表フォルダが複数存在する場合には、その中で最深の代表フォルダを選択する。
【００６１】
次に、第１フォルダを代表フォルダとするグループ（第１グループ）と、第２フォルダを代表フォルダとするグループ（第２グループ）とを合併することにより、これらのグループを第３グループとして集約する。また、第１フォルダの先祖フォルダと第２フォルダの先祖フォルダとで共通する一以上のフォルダのうち、最深のフォルダを、第３グループの代表フォルダとして割り当てる。ここで「先祖フォルダ」とは、あるフォルダの絶対パス内において当該フォルダより上層のフォルダを意味する。
【００６２】
例えば、重みｄｗｉ，ｊが最も小さい代表フォルダがフォルダＦｃであり、フォルダＦｃとの間のハミング距離が最も小さい代表フォルダがフォルダＦｆである場合には、フォルダＦｃを代表フォルダとするグループと、フォルダＦｆを代表フォルダとするグループとを合併する。そして、合併後の新たなグループの代表フォルダとして、フォルダＦｂを割り当てる。
【００６３】
グループの合併処理は、グループ数が上記の上限値以下（つまりステップＴ０７が「ＹＥＳ」）となるまで繰り返される。
【００６４】
次にステップＴ０９において書換部４５は、ログデータ２１Ａを新たなログデータ２１Ｂに書き換える。図８は、ログデータ２１Ｂの一例を示す図である。ログデータ２１Ｂでは、ログデータ２１Ａにおけるグループ内の複数のファイル操作に関する複数のログイベントが、そのグループの代表フォルダに対する１個のログイベントとして記述される。例えば、ログデータ２１ＡにおけるファイルＸ１，Ｘ２，Ｘ３の更新に関する３個のログイベントは、ログデータ２１Ｂでは、代表フォルダＦｃのファイル操作という１個のログイベントとして記述される。
【００６５】
図８に例示したログデータ２１Ｂには、最終操作日時、操作内容内訳、フォルダパス、プログラムパス、及びプロセスＩＤの項目が含まれる。
【００６６】
最終操作日時の項目には、グループ内のファイルやフォルダに関して、ユーザが何らかの操作を行った最終日時等の時刻情報が記述される。
【００６７】
操作内容内訳の項目には、グループ内のファイルやフォルダに関して、ファイル作成、ファイル更新、ファイル削除、ファイルリネーム、ファイルコピー、フォルダ作成、フォルダ削除、フォルダリネーム、フォルダコピー等の事象の内訳（回数、割合等）が記述される。
【００６８】
フォルダパスの項目には、各グループの代表フォルダに関するコンピュータ３内の絶対パスが記述される。
【００６９】
プログラムパスの項目には、ファイルを操作したプログラムに関するコンピュータ３内の絶対パスが記述される。
【００７０】
プロセスＩＤの項目には、ファイルを操作したプログラムプロセスに関するＩＤ（ＯＳから割り当てられたもの）が記述される。
【００７１】
記憶部１４に記憶されていた集約前のログデータ２１Ａが、集約後の新たなログデータ２１Ｂに書き換えられることにより、集約処理手段３２による処理は終了する。
【００７２】
ログデータ２１Ｂは、コンピュータ３において定期的（例えば１日１回）に作成されて、あるいは、ユーザ又はサーバ装置２からの作成命令に応じて作成されて、コンピュータ３から通信ネットワーク４を介してサーバ装置２に送信される。そして、サーバ装置２は、受信したログデータ２１Ｂを蓄積する。
【００７３】
なお、コンピュータ３は、ログデータ２１Ｂの作成後もログデータ２１Ａを破棄せず保持してもよい。また、ログデータ２１Ｂと併せてログデータ２１Ａをサーバ装置２に送信してもよい。ログデータ２１Ｂはいわばログデータ２１Ａのダイジェスト版であり、データ量の削減の観点からは有利であるが、情報の詳細性はログデータ２１Ａより低い。従って、ログデータ２１Ａ，２１Ｂの双方を保持することによって、操作履歴の簡易な検索等はログデータ２１Ｂを用いて行い、詳細な解析等はログデータ２１Ａを用いて行うというような用途に利用できる。
【００７４】
また、コンピュータ３からサーバ装置２にログデータ２１Ａを送信し、サーバ装置２がログデータ２１Ａに基づいてログデータ２１Ｂを作成してもよい。サーバ装置２は、ログデータ２１Ｂの作成後に、ログデータ２１Ａを破棄してもよいし、破棄せず保持してもよい。
【００７５】
このように本実施の形態に係るログ管理方法によれば、ログデータ２１Ａに記録されている複数のログイベントが、ログイベント間の関連性に基づいて一又は複数のグループに集約される。このように、複数のログイベントを一又は複数のグループに集約することにより、ログデータのデータ量を削減することが可能となる。
【００７６】
また、本実施の形態に係るログ管理方法によれば、ログイベントの集約は、同一の又は関連するプロセス別に行われる。従って、プロセス同士の関連性が低い複数のログイベントが同一のグループに集約されることを回避できるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００７７】
また、本実施の形態に係るログ管理方法によれば、複数のログイベントの各々について一の代表フォルダを特定し、代表フォルダが共通する二以上のログイベントを同一のグループとして集約する。これにより、代表フォルダ以下の複数のフォルダへのアクセスを示す複数のログイベントを、代表フォルダへのアクセスを示すログイベントとして集約することが可能となる。
【００７８】
また、本実施の形態に係るログ管理方法によれば、代表フォルダは、各ログイベントのパス情報に階層的に記述されている複数のフォルダの中から選択される。従って、ログイベントのパス情報に含まれない無関係のフォルダが当該ログイベントの代表フォルダとして選択されることを回避できるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００７９】
また、本実施の形態に係るログ管理方法によれば、代表フォルダは、プロセスからフォルダへのアクセス数に応じて求まる所定の指標に基づいて選択される。これにより、ユーザが行った作業の場所として特徴的なフォルダを代表フォルダとして選択することができるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００８０】
また、本実施の形態に係るログ管理方法によれば、対象となるプロセスからのアクセス数が大きく、他のプロセスからのアクセス数が小さいフォルダが代表フォルダとして選択されるような指標（重み）が用いられる。従って、ログイベント毎に最適な代表フォルダを選択することが可能となる。
【００８１】
また、本実施の形態に係るログ管理方法によれば、パス情報に記述されている複数のフォルダの中に、重みの値が等しい二以上のフォルダが含まれる場合には、当該二以上のフォルダのうち最下層のフォルダが代表フォルダとして選択される。パス情報における上層のフォルダよりも下層のフォルダのほうが、ユーザが行った作業の内容に具体的に関連している。従って、当該二以上のフォルダのうち最下層のフォルダを代表フォルダとして選択することにより、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００８２】
また、本実施の形態に係るログ管理方法によれば、第１フォルダを代表フォルダとする第１グループと、当該第１フォルダとの間のハミング距離が所定値以下である第２フォルダを代表フォルダとする第２グループとが、第３グループとして集約される。このように、複数のグループを新たなグループにさらに集約することにより、ログデータのデータ量をさらに削減することが可能となる。
【００８３】
また、本実施の形態に係るログ管理方法によれば、複数のグループから一の新たなグループへの集約は、グループ数が所定の上限値を超える場合に実行される。このように、グループ数が所定の上限値を超えている場合にはグループ同士の集約を行うことにより、グループ数を上限値以下に抑えることが可能となる。
【００８４】
また、本実施の形態に係るログ管理方法によれば、第１フォルダの上層フォルダと第２フォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダが、第３グループの代表フォルダとして割り当てられる。パス情報における上層のフォルダよりも下層のフォルダのほうが、ユーザが行った作業の内容に具体的に関連している。従って、第１フォルダの上層フォルダと第２フォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダを、第３グループの代表フォルダとして割り当てることにより、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００８５】
なお、今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。
【符号の説明】
【００８６】
３ コンピュータ
１１ 処理部
１４ 記憶部
２０ プログラム
２１，２１Ａ，２１Ｂ ログデータ
３１ 取得手段
３２ 集約処理手段
４０ 分類部
４１ 算出部
４２ 選択部
４３ 集約部
４４ 合併部
４５ 書換部
【技術分野】
【０００１】
本発明は、コンピュータにおけるファイル操作のログを管理するログ管理方法、ログ管理装置、及びプログラムに関する。
【背景技術】
【０００２】
下記特許文献１には、背景技術に係る情報分析システムが開示されている。当該システムにおいて、クライアントコンピュータは、自身におけるファイル操作（移動、印刷、コピー、メール添付）の操作履歴に関する操作履歴データを、通信回線網を介して所定の時間間隔で分析用サーバに送信する。分析用サーバは、受信した操作履歴データを操作履歴データベースに蓄積する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第４４９００２９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら上記特許文献１に開示されたシステムによると、クライアントコンピュータにおいてデータのバックアップが実行されて大量のファイルのコピーが発生した場合等に、大量の操作履歴データがクライアントコンピュータから分析用サーバに送信され、操作履歴データベースに蓄積される。企業等において多数のクライアントコンピュータがネットワークに接続されている場合には、各クライアントコンピュータの操作履歴データが操作履歴データベースに蓄積されるため、操作履歴データベースに蓄積されるデータ量は膨大なものとなる。また、クライアントコンピュータの使用者や管理者が、操作履歴データベースに蓄積されている操作履歴データを読み出して操作履歴を確認する場合にも、操作履歴データが膨大であるために見通しが悪く、注視すべき操作履歴を見落としてしまう可能性がある。
【０００５】
本発明はかかる事情に鑑みて成されたものであり、ファイル操作に関するログデータのデータ量を削減することが可能な、ログ管理方法、ログ管理装置、及びプログラムを得ることを目的とするものである。
【課題を解決するための手段】
【０００６】
本発明の第１の態様に係るログ管理方法は、ファイル操作のログを管理するログ管理方法であって、（Ａ）操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、（Ｂ）前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、を備えることを特徴とするものである。
【０００７】
第１の態様に係るログ管理方法によれば、ログデータに記録されている複数のログイベントが、ログイベント間の関連性に基づいて一又は複数のグループに集約される。このように、複数のログイベントを一又は複数のグループに集約することにより、ログデータのデータ量を削減することが可能となる。
【０００８】
本発明の第２の態様に係るログ管理方法は、第１の態様に係るログ管理方法において特に、前記ステップ（Ｂ）におけるログイベントの集約は、同一の又は関連するプロセス別に行われることを特徴とするものである。
【０００９】
第２の態様に係るログ管理方法によれば、ログイベントの集約は、同一の又は関連するプロセス別に行われる。従って、プロセス同士の関連性が低い複数のログイベントが同一のグループに集約されることを回避できるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００１０】
本発明の第３の態様に係るログ管理方法は、第１又は第２の態様に係るログ管理方法において特に、前記ステップ（Ｂ）は、（Ｂ−１）前記ログデータに記録されている複数のログイベントの各々について、一の代表フォルダを特定するステップと、（Ｂ−２）前記ログデータに記録されている複数のログイベントのうち、前記代表フォルダが共通する二以上のログイベントを、同一のグループとして集約するステップと、を有することを特徴とするものである。
【００１１】
第３の態様に係るログ管理方法によれば、複数のログイベントの各々について一の代表フォルダを特定し、代表フォルダが共通する二以上のログイベントを同一のグループとして集約する。これにより、代表フォルダ以下の複数のフォルダへのアクセスを示す複数のログイベントを、代表フォルダへのアクセスを示すログイベントとして集約することが可能となる。
【００１２】
本発明の第４の態様に係るログ管理方法は、第３の態様に係るログ管理方法において特に、前記代表フォルダは、各ログイベントのパス情報に階層的に記述されている複数のフォルダの中から選択されることを特徴とするものである。
【００１３】
第４の態様に係るログ管理方法によれば、代表フォルダは、各ログイベントのパス情報に階層的に記述されている複数のフォルダの中から選択される。従って、ログイベントのパス情報に含まれない無関係のフォルダが当該ログイベントの代表フォルダとして選択されることを回避できるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００１４】
本発明の第５の態様に係るログ管理方法は、第４の態様に係るログ管理方法において特に、前記代表フォルダは、プロセスからフォルダへのアクセス数に応じて求まる所定の指標に基づいて選択されることを特徴とするものである。
【００１５】
第５の態様に係るログ管理方法によれば、代表フォルダは、プロセスからフォルダへのアクセス数に応じて求まる所定の指標（例えば重み）に基づいて選択される。これにより、ユーザが行った作業の場所として特徴的なフォルダを代表フォルダとして選択することができるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００１６】
本発明の第６の態様に係るログ管理方法は、第５の態様に係るログ管理方法において特に、前記指標としては、対象となるプロセスからのアクセス数が大きく、他のプロセスからのアクセス数が小さいフォルダが前記代表フォルダとして選択されるような指標が用いられることを特徴とするものである。
【００１７】
第６の態様に係るログ管理方法によれば、対象となるプロセスからのアクセス数が大きく、他のプロセスからのアクセス数が小さいフォルダが代表フォルダとして選択されるような指標が用いられる。従って、ログイベント毎に最適な代表フォルダを選択することが可能となる。
【００１８】
本発明の第７の態様に係るログ管理方法は、第５又は第６の態様に係るログ管理方法において特に、パス情報に記述されている複数のフォルダの中に、前記指標の値が等しい二以上のフォルダが含まれる場合には、当該二以上のフォルダのうち最下層のフォルダが前記代表フォルダとして選択されることを特徴とするものである。
【００１９】
第７の態様に係るログ管理方法によれば、パス情報に記述されている複数のフォルダの中に、指標の値が等しい二以上のフォルダが含まれる場合には、当該二以上のフォルダのうち最下層のフォルダが代表フォルダとして選択される。パス情報における上層のフォルダよりも下層のフォルダのほうが、ユーザが行った作業の内容に具体的に関連している。従って、当該二以上のフォルダのうち最下層のフォルダを代表フォルダとして選択することにより、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００２０】
本発明の第８の態様に係るログ管理方法は、第３〜第７のいずれか一つの態様に係るログ管理方法において特に、（Ｃ）第１のフォルダを代表フォルダとする第１のグループと、当該第１のフォルダとの間のハミング距離が所定値以下である第２のフォルダを代表フォルダとする第２のグループとを、第３のグループとして集約するステップをさらに備えることを特徴とするものである。
【００２１】
第８の態様に係るログ管理方法によれば、第１のフォルダを代表フォルダとする第１のグループと、当該第１のフォルダとの間のハミング距離が所定値以下である第２のフォルダを代表フォルダとする第２のグループとが、第３のグループとして集約される。このように、複数のグループを新たなグループにさらに集約することにより、ログデータのデータ量をさらに削減することが可能となる。
【００２２】
本発明の第９の態様に係るログ管理方法は、第８の態様に係るログ管理方法において特に、前記ステップ（Ｃ）は、前記ステップ（Ｂ）によって集約されたグループ数が所定の上限値を超える場合に実行されることを特徴とするものである。
【００２３】
第９の態様に係るログ管理方法によれば、複数のグループから一の新たなグループへの集約は、グループ数が所定の上限値を超える場合に実行される。このように、グループ数が所定の上限値を超えている場合にはグループ同士の集約を行うことにより、グループ数を上限値以下に抑えることが可能となる。
【００２４】
本発明の第１０の態様に係るログ管理方法は、第９の態様に係るログ管理方法において特に、前記第１のフォルダの上層フォルダと前記第２のフォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダが、前記第３のグループの代表フォルダとして割り当てられることを特徴とするものである。
【００２５】
第１０の態様に係るログ管理方法によれば、第１のフォルダの上層フォルダと第２のフォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダが、第３のグループの代表フォルダとして割り当てられる。パス情報における上層のフォルダよりも下層のフォルダのほうが、ユーザが行った作業の内容に具体的に関連している。従って、第１のフォルダの上層フォルダと第２のフォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダを、第３のグループの代表フォルダとして割り当てることにより、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００２６】
本発明の第１１の態様に係るログ管理装置は、ファイル操作のログを管理するログ管理装置であって、操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得する取得部と、前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループに集約する集約処理部と、を備えることを特徴とするものである。
【００２７】
第１１の態様に係るログ管理装置によれば、ログデータに記録されている複数のログイベントが、ログイベント間の関連性に基づいて一又は複数のグループに集約される。このように、複数のログイベントを一又は複数のグループに集約することにより、ログデータのデータ量を削減することが可能となる。
【００２８】
本発明の第１２の態様に係るプログラムは、ファイル操作のログを管理するログ管理装置に搭載されるコンピュータに、（Ａ）操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、（Ｂ）前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、を実行させるためのプログラムである。
【００２９】
第１２の態様に係るプログラムによれば、ログデータに記録されている複数のログイベントが、ログイベント間の関連性に基づいて一又は複数のグループに集約される。このように、複数のログイベントを一又は複数のグループに集約することにより、ログデータのデータ量を削減することが可能となる。
【発明の効果】
【００３０】
本発明によれば、ファイル操作に関するログデータのデータ量を削減することが可能となる。
【図面の簡単な説明】
【００３１】
【図１】本発明の実施の形態に係るログ管理システムの全体構成を簡略化して示す図である。
【図２】コンピュータのハードウェア構成を示す図である。
【図３】ログデータの一例を示す図である。
【図４】コンピュータにおけるフォルダ構造の一例を簡略化して示す図である。
【図５】プログラムを実行することによって処理部に実現される機能を示すブロック図である。
【図６】集約処理手段を具体的に示すブロック図である。
【図７】取得手段及び集約処理手段によって実行される処理の流れを示すフローチャートである。
【図８】ログデータの一例を示す図である。
【発明を実施するための形態】
【００３２】
以下、本発明の実施の形態について、図面を用いて詳細に説明する。なお、異なる図面において同一の符号を付した要素は、同一又は相応する要素を示すものとする。
【００３３】
図１は、本発明の実施の形態に係るログ管理システム１の全体構成を簡略化して示す図である。ログ管理システム１は、例えば企業内のコンピュータネットワークに適用される。図１の接続関係で示すように、ログ管理システム１は、サーバ装置２と、ユーザが使用するクライアントコンピュータとしてのコンピュータ３と、専用網やＩＰ（Internet Protocol）網等の通信ネットワーク４とを備えて構成されている。サーバ装置２及びコンピュータ３は、通信ネットワーク４を介して相互にデータ通信が可能である。
【００３４】
図２は、コンピュータ３のハードウェア構成を示す図である。図２の接続関係で示すように、コンピュータ３は、ＣＰＵ（Central Processing Unit）等の処理部１１と、液晶ディスプレイ等の表示部１２と、通信ネットワーク４を介してデータ通信を行うための通信部１３と、半導体メモリやハードディスク等の記憶部１４と、マウスやキーボード等の入力部１５とを備えて構成されている。記憶部１４には、クライアントプログラムとしてのプログラム２０と、コンピュータ３におけるファイル操作（フォルダ操作を含む）の操作履歴であるログを記録したログデータ２１とが記憶されている。
【００３５】
図３は、ログデータ２１Ａの一例を示す図である。ユーザがコンピュータ３を用いてファイル操作を行うと、１回のファイル操作に対して１個のログイベント５０がログデータ２１Ａに記録される。従って、例えば１０００回のファイル操作が行われると、１０００個のログイベント５０が記録されたログデータ２１Ａが作成される。
【００３６】
図３に例示したログデータ２１Ａには、操作日時、操作内容、ファイルパス、プログラムパス、及びプロセスＩＤの項目が含まれる。但し、これ以外の項目が含まれていてもよい。
【００３７】
操作日時の項目には、ユーザがファイル操作を行った日時等の時刻情報が記述される。
【００３８】
操作内容の項目には、ファイル作成、ファイル更新、ファイル削除、ファイルリネーム、ファイルコピー、フォルダ作成、フォルダ削除、フォルダリネーム、フォルダコピー等の事象が記述される。
【００３９】
ファイルパスの項目には、操作対象となったファイルに関するコンピュータ３内の絶対パスが記述される。
【００４０】
プログラムパスの項目には、ファイルを操作したプログラムに関するコンピュータ３内の絶対パスが記述される。
【００４１】
プロセスＩＤの項目には、ファイルを操作したプログラムプロセスに関するＩＤ（ＯＳから割り当てられたもの）が記述される。
【００４２】
図４は、コンピュータ３におけるフォルダ構造の一例を簡略化して示す図である。コンピュータ３のＣドライブに、フォルダ名が「ａａａ」のフォルダＦａ、フォルダ名が「ｂｂｂ」のフォルダＦｂ、フォルダ名が「ｃｃｃ」のフォルダＦｃ、フォルダ名が「ｄｄｄ」のフォルダＦｄ、フォルダ名が「ｅｅｅ」のフォルダＦｅ、フォルダ名が「ｆｆｆ」のフォルダＦｆ、フォルダ名が「ｇｇｇ」のフォルダＦｇ、及びフォルダ名が「ｈｈｈ」のフォルダＦｈを含む階層構造が構築されている。フォルダＦａはフォルダＦｂに対する親フォルダであり、フォルダＦｂはフォルダＦｃ，Ｆｆに対する親フォルダであり、フォルダＦｃはフォルダＦｄ，Ｆｅに対する親フォルダであり、フォルダＦｆはフォルダＦｇ，Ｆｈに対する親フォルダである。フォルダＦｃにはファイルＸ１が保存されており、フォルダＦｄにはファイルＸ２が保存されており、フォルダＦｅにはファイルＸ３が保存されており、フォルダＦｇにはファイルＸ４が保存されており、フォルダＦｈにはファイルＸ５，Ｘ６が保存されている。
【００４３】
図５は、プログラム２０を実行することによって処理部１１に実現される機能を示すブロック図である。図５に示すように処理部１１は、取得手段３１及び集約処理手段３２を有する。換言すれば、プログラム２０は、ログ管理装置に搭載されるコンピュータを、取得手段３１及び集約処理手段３２として機能させるためのプログラムである。
【００４４】
図６は、集約処理手段３２を具体的に示すブロック図である。図６に示すように集約処理手段３２は、分類部４０、算出部４１、選択部４２、集約部４３、合併部４４、及び書換部４５を有する。
【００４５】
図７は、取得手段３１及び集約処理手段３２によって実行される処理の流れを示すフローチャートである。
【００４６】
まずステップＴ０１において取得手段３１は、記憶部１４からログデータ２１Ａを読み出すことによってログデータ２１Ａを取得する。取得手段３１は、ログデータ２１Ａを集約処理手段３２に入力する。
【００４７】
次にステップＴ０２において分類部４０は、ログデータ２１Ａに記録されている複数のログイベント５０をプロセス別の区分に分類する。その際、分類部４０は、ログデータ２１Ａ内のプログラムパス及びプロセスＩＤの組合せ（プロセス情報）によってプロセスを識別する。なお、プロセス情報が互いに異なるプロセスであっても、共通のファイルを同時に処理する等のように複数のプロセスが互いに関連する場合には、これらのプロセスが同一区分に分類されるように予め関連付けておいてもよい。また、プログラムパス又はプロセスＩＤが記述されていない（つまり空文字である）ログイベントについては、空文字のプロセスとして「その他」の区分に分類する。また、所定の期間単位（１日単位、半日単位、３時間単位等）に分割してログイベント５０の分類を行ってもよい。この場合、同一プロセスによる同一ファイルの操作に基づくログイベントであっても、期間単位が異なれば別プロセスの区分に分類される。
【００４８】
次にステップＴ０３において算出部４１は、あるプロセス（着目プロセス）の区分に分類された各ログイベント５０について、フォルダの重みを算出する。具体的には以下のとおりである。なお、重みは、プロセスからフォルダへのアクセス数に応じて求まる指標の一つである。
【００４９】
まず、各ログイベント５０のファイルパス（絶対パス）を、フォルダ階層ごとに分類する。例えば、図４に示したファイルＸ２のファイルパスが「C:\aaa\bbb\ccc\ddd\X2」である場合には、当該ファイルパスを「C:」「C:\aaa」「C:\aaa\bbb」「C:\aaa\bbb\ccc」「C:\aaa\bbb\ccc\ddd」に分類する。なお、ファイルパスが記述されていない（つまり空文字である）ログイベントについては、上記と同様に「その他」の区分に分類する。
【００５０】
次に、フォルダ階層ごとに分類した複数のフォルダの各々について、ログデータ２１Ａ内に出現する全てのプロセスのうち自フォルダが１回以上出現したプロセス数ｐｄｆｉを求める。ここで、添え字「ｉ」はフォルダを識別する番号又は符号である。例えば、フォルダＦｃが１つのプロセスＰ１に関するログイベント５０のみに出現する場合にはｐｄｆＦｃ＝１となり、２つのプロセスＰ１，Ｐ２に関するログイベント５０に出現する場合にはｐｄｆＦｃ＝２となる。なお、過去に作成した一以上のログデータにおける算出値を用いてもよい。
【００５１】
次に、フォルダ階層ごとに分類した複数のフォルダの各々について、着目プロセスに関する全ログイベント５０内に出現した総出現数ｄｆｉ，ｊを求める。ここで、添え字「ｊ」はプロセスを識別する番号又は符号である。例えば、フォルダＦｅがプロセスＰ１に関する１０個のログイベント５０に出現した場合にはｄｆＦｅ，Ｐ１＝１０となり、２０個のログイベント５０に出現した場合にはｄｆＦｅ，Ｐ１＝２０となる。
【００５２】
次に、フォルダ階層ごとに分類した複数のフォルダの各々について、以下の式（１）で表される重みｄｗｉ，ｊを求める。式（１）における「ｎｐ」は、ログデータ２１Ａ内に出現するプロセスの総数である。なお、所定の期間単位に分割してログイベント５０の分類を行う場合には、「ｎｐ」は分割された範囲内でのプロセスの総数となる。また、過去に作成した一以上のログデータを利用する場合には、「ｎｐ」は当該ログデータ内に出現するプロセスの総数となる。
【００５３】
【数１】
【００５４】
式（１）から明らかなように、対象となる着目プロセスからのアクセス数が大きい（つまりｄｆｉ，ｊが大きい）ほど、また、他のプロセスからのアクセス数が小さい（つまりｐｄｆｉが小さい）ほど、重みｄｗｉ，ｊの値は大きくなる。
【００５５】
ステップＴ０３に引き続き、次にステップＴ０４において選択部４２は、各ログイベント５０について、重みｄｗｉ，ｊが最も大きいフォルダを代表フォルダとして選択する。その際、重みｄｗｉ，ｊが最も大きいフォルダが複数存在する場合には、その中で最深のフォルダを代表フォルダとして選択する。例えば、プロセスＰ１によるファイルＸ２の操作に基づくログイベント５０に関しては、フォルダＦａの重みｄｗＦａ，Ｐ１と、フォルダＦｂの重みｄｗＦｂ，Ｐ１と、フォルダＦｃの重みｄｗＦｃ，Ｐ１と、フォルダＦｄの重みｄｗＦｄ，Ｐ１とを比較し、値が最も大きいフォルダを当該ログイベント５０に関する代表フォルダとして選択する。また、例えばフォルダＦｂの重みｄｗＦｂ，Ｐ１とフォルダＦｃの重みｄｗＦｃ，Ｐ１とが最も大きい場合には、最深のフォルダＦｃを代表フォルダとして選択する。なお、重みｄｗｉ，ｊが最も大きいフォルダが複数存在する場合に、その中で最浅のフォルダを代表フォルダとして選択してもよい。これにより、ログイベントの代表フォルダが重複しやすくなるため、グループ化を促進することができる。
【００５６】
次にステップＴ０５において集約部４３は、ログデータ２１Ａに記録されている複数のログイベント５０を、代表フォルダが共通するログイベント同士でグループ化することにより、一又は複数のグループに集約する。換言すれば、ログデータ２１Ａに記録されている複数のログイベント５０を、ログイベント間の関連性に基づいて一又は複数のグループに集約する。つまり、代表フォルダが共通するログイベント同士は関連性を有しており（あるいは関連性が高く）、代表フォルダが共通しないログイベント同士は関連性を有していない（あるいは関連性が低い）ということである。例えば、プロセスＰ１によるファイルＸ１，Ｘ２，Ｘ３の操作に基づくログイベント５０の代表フォルダがいずれもフォルダＦｃである場合には、これらのログイベント５０を、フォルダＦｃを代表フォルダとするグループに集約する。また例えば、プロセスＰ１によるファイルＸ４，Ｘ５，Ｘ６の操作に基づくログイベント５０の代表フォルダがいずれもフォルダＦｆである場合には、これらのログイベント５０を、フォルダＦｆを代表フォルダとするグループに集約する。
【００５７】
以上のステップＴ０３〜Ｔ０５の処理は、ログデータ２１Ａ内に出現する全てのプロセスに関して順に実行される。
【００５８】
全てのプロセスに関する処理が完了すると（つまりステップＴ０６が「ＮＯ」）、次にステップＴ０７において合併部４４は、集約後のグループ数が所定の上限値以下であるか否かを判定する。上限値は、例えば、記憶部１４の全記憶容量のうちログデータ２１の記憶領域として割り当てられている領域のサイズに応じて設定される。そして、グループ数が上限値を超えている場合（つまりステップＴ０７が「ＮＯ」）には、次にステップＴ０８において合併部４４は、複数のグループの合併処理を行う。具体的には以下のとおりである。
【００５９】
まず、全ての代表フォルダのうち、重みｄｗｉ，ｊが最も小さい代表フォルダ（第１フォルダ）を選択する。なお、重みｄｗｉ，ｊが最も小さい代表フォルダが複数存在する場合には、その中で最深の代表フォルダを選択する。
【００６０】
次に、選択した代表フォルダとの間のハミング距離が最も小さい別の代表フォルダ（第２フォルダ）を特定する。なお、ハミング距離が最も小さい代表フォルダが複数存在する場合には、その中で最深の代表フォルダを選択する。
【００６１】
次に、第１フォルダを代表フォルダとするグループ（第１グループ）と、第２フォルダを代表フォルダとするグループ（第２グループ）とを合併することにより、これらのグループを第３グループとして集約する。また、第１フォルダの先祖フォルダと第２フォルダの先祖フォルダとで共通する一以上のフォルダのうち、最深のフォルダを、第３グループの代表フォルダとして割り当てる。ここで「先祖フォルダ」とは、あるフォルダの絶対パス内において当該フォルダより上層のフォルダを意味する。
【００６２】
例えば、重みｄｗｉ，ｊが最も小さい代表フォルダがフォルダＦｃであり、フォルダＦｃとの間のハミング距離が最も小さい代表フォルダがフォルダＦｆである場合には、フォルダＦｃを代表フォルダとするグループと、フォルダＦｆを代表フォルダとするグループとを合併する。そして、合併後の新たなグループの代表フォルダとして、フォルダＦｂを割り当てる。
【００６３】
グループの合併処理は、グループ数が上記の上限値以下（つまりステップＴ０７が「ＹＥＳ」）となるまで繰り返される。
【００６４】
次にステップＴ０９において書換部４５は、ログデータ２１Ａを新たなログデータ２１Ｂに書き換える。図８は、ログデータ２１Ｂの一例を示す図である。ログデータ２１Ｂでは、ログデータ２１Ａにおけるグループ内の複数のファイル操作に関する複数のログイベントが、そのグループの代表フォルダに対する１個のログイベントとして記述される。例えば、ログデータ２１ＡにおけるファイルＸ１，Ｘ２，Ｘ３の更新に関する３個のログイベントは、ログデータ２１Ｂでは、代表フォルダＦｃのファイル操作という１個のログイベントとして記述される。
【００６５】
図８に例示したログデータ２１Ｂには、最終操作日時、操作内容内訳、フォルダパス、プログラムパス、及びプロセスＩＤの項目が含まれる。
【００６６】
最終操作日時の項目には、グループ内のファイルやフォルダに関して、ユーザが何らかの操作を行った最終日時等の時刻情報が記述される。
【００６７】
操作内容内訳の項目には、グループ内のファイルやフォルダに関して、ファイル作成、ファイル更新、ファイル削除、ファイルリネーム、ファイルコピー、フォルダ作成、フォルダ削除、フォルダリネーム、フォルダコピー等の事象の内訳（回数、割合等）が記述される。
【００６８】
フォルダパスの項目には、各グループの代表フォルダに関するコンピュータ３内の絶対パスが記述される。
【００６９】
プログラムパスの項目には、ファイルを操作したプログラムに関するコンピュータ３内の絶対パスが記述される。
【００７０】
プロセスＩＤの項目には、ファイルを操作したプログラムプロセスに関するＩＤ（ＯＳから割り当てられたもの）が記述される。
【００７１】
記憶部１４に記憶されていた集約前のログデータ２１Ａが、集約後の新たなログデータ２１Ｂに書き換えられることにより、集約処理手段３２による処理は終了する。
【００７２】
ログデータ２１Ｂは、コンピュータ３において定期的（例えば１日１回）に作成されて、あるいは、ユーザ又はサーバ装置２からの作成命令に応じて作成されて、コンピュータ３から通信ネットワーク４を介してサーバ装置２に送信される。そして、サーバ装置２は、受信したログデータ２１Ｂを蓄積する。
【００７３】
なお、コンピュータ３は、ログデータ２１Ｂの作成後もログデータ２１Ａを破棄せず保持してもよい。また、ログデータ２１Ｂと併せてログデータ２１Ａをサーバ装置２に送信してもよい。ログデータ２１Ｂはいわばログデータ２１Ａのダイジェスト版であり、データ量の削減の観点からは有利であるが、情報の詳細性はログデータ２１Ａより低い。従って、ログデータ２１Ａ，２１Ｂの双方を保持することによって、操作履歴の簡易な検索等はログデータ２１Ｂを用いて行い、詳細な解析等はログデータ２１Ａを用いて行うというような用途に利用できる。
【００７４】
また、コンピュータ３からサーバ装置２にログデータ２１Ａを送信し、サーバ装置２がログデータ２１Ａに基づいてログデータ２１Ｂを作成してもよい。サーバ装置２は、ログデータ２１Ｂの作成後に、ログデータ２１Ａを破棄してもよいし、破棄せず保持してもよい。
【００７５】
このように本実施の形態に係るログ管理方法によれば、ログデータ２１Ａに記録されている複数のログイベントが、ログイベント間の関連性に基づいて一又は複数のグループに集約される。このように、複数のログイベントを一又は複数のグループに集約することにより、ログデータのデータ量を削減することが可能となる。
【００７６】
また、本実施の形態に係るログ管理方法によれば、ログイベントの集約は、同一の又は関連するプロセス別に行われる。従って、プロセス同士の関連性が低い複数のログイベントが同一のグループに集約されることを回避できるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００７７】
また、本実施の形態に係るログ管理方法によれば、複数のログイベントの各々について一の代表フォルダを特定し、代表フォルダが共通する二以上のログイベントを同一のグループとして集約する。これにより、代表フォルダ以下の複数のフォルダへのアクセスを示す複数のログイベントを、代表フォルダへのアクセスを示すログイベントとして集約することが可能となる。
【００７８】
また、本実施の形態に係るログ管理方法によれば、代表フォルダは、各ログイベントのパス情報に階層的に記述されている複数のフォルダの中から選択される。従って、ログイベントのパス情報に含まれない無関係のフォルダが当該ログイベントの代表フォルダとして選択されることを回避できるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００７９】
また、本実施の形態に係るログ管理方法によれば、代表フォルダは、プロセスからフォルダへのアクセス数に応じて求まる所定の指標に基づいて選択される。これにより、ユーザが行った作業の場所として特徴的なフォルダを代表フォルダとして選択することができるため、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００８０】
また、本実施の形態に係るログ管理方法によれば、対象となるプロセスからのアクセス数が大きく、他のプロセスからのアクセス数が小さいフォルダが代表フォルダとして選択されるような指標（重み）が用いられる。従って、ログイベント毎に最適な代表フォルダを選択することが可能となる。
【００８１】
また、本実施の形態に係るログ管理方法によれば、パス情報に記述されている複数のフォルダの中に、重みの値が等しい二以上のフォルダが含まれる場合には、当該二以上のフォルダのうち最下層のフォルダが代表フォルダとして選択される。パス情報における上層のフォルダよりも下層のフォルダのほうが、ユーザが行った作業の内容に具体的に関連している。従って、当該二以上のフォルダのうち最下層のフォルダを代表フォルダとして選択することにより、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００８２】
また、本実施の形態に係るログ管理方法によれば、第１フォルダを代表フォルダとする第１グループと、当該第１フォルダとの間のハミング距離が所定値以下である第２フォルダを代表フォルダとする第２グループとが、第３グループとして集約される。このように、複数のグループを新たなグループにさらに集約することにより、ログデータのデータ量をさらに削減することが可能となる。
【００８３】
また、本実施の形態に係るログ管理方法によれば、複数のグループから一の新たなグループへの集約は、グループ数が所定の上限値を超える場合に実行される。このように、グループ数が所定の上限値を超えている場合にはグループ同士の集約を行うことにより、グループ数を上限値以下に抑えることが可能となる。
【００８４】
また、本実施の形態に係るログ管理方法によれば、第１フォルダの上層フォルダと第２フォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダが、第３グループの代表フォルダとして割り当てられる。パス情報における上層のフォルダよりも下層のフォルダのほうが、ユーザが行った作業の内容に具体的に関連している。従って、第１フォルダの上層フォルダと第２フォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダを、第３グループの代表フォルダとして割り当てることにより、集約されたログデータをユーザが事後的に確認する際に、作業内容を容易に理解することが可能となる。
【００８５】
なお、今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。
【符号の説明】
【００８６】
３ コンピュータ
１１ 処理部
１４ 記憶部
２０ プログラム
２１，２１Ａ，２１Ｂ ログデータ
３１ 取得手段
３２ 集約処理手段
４０ 分類部
４１ 算出部
４２ 選択部
４３ 集約部
４４ 合併部
４５ 書換部
【特許請求の範囲】
【請求項１】
ファイル操作のログを管理するログ管理方法であって、
（Ａ）操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、
（Ｂ）前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、
を備える、ログ管理方法。
【請求項２】
前記ステップ（Ｂ）におけるログイベントの集約は、同一の又は関連するプロセス別に行われる、請求項１に記載のログ管理方法。
【請求項３】
前記ステップ（Ｂ）は、
（Ｂ−１）前記ログデータに記録されている複数のログイベントの各々について、一の代表フォルダを特定するステップと、
（Ｂ−２）前記ログデータに記録されている複数のログイベントのうち、前記代表フォルダが共通する二以上のログイベントを、同一のグループとして集約するステップと、
を有する、請求項１又は２に記載のログ管理方法。
【請求項４】
前記代表フォルダは、各ログイベントのパス情報に階層的に記述されている複数のフォルダの中から選択される、請求項３に記載のログ管理方法。
【請求項５】
前記代表フォルダは、プロセスからフォルダへのアクセス数に応じて求まる所定の指標に基づいて選択される、請求項４に記載のログ管理方法。
【請求項６】
前記指標としては、対象となるプロセスからのアクセス数が大きく、他のプロセスからのアクセス数が小さいフォルダが前記代表フォルダとして選択されるような指標が用いられる、請求項５に記載のログ管理方法。
【請求項７】
パス情報に記述されている複数のフォルダの中に、前記指標の値が等しい二以上のフォルダが含まれる場合には、当該二以上のフォルダのうち最下層のフォルダが前記代表フォルダとして選択される、請求項５又は６に記載のログ管理方法。
【請求項８】
（Ｃ）第１のフォルダを代表フォルダとする第１のグループと、当該第１のフォルダとの間のハミング距離が所定値以下である第２のフォルダを代表フォルダとする第２のグループとを、第３のグループとして集約するステップ
をさらに備える、請求項３〜７のいずれか一つに記載のログ管理方法。
【請求項９】
前記ステップ（Ｃ）は、前記ステップ（Ｂ）によって集約されたグループ数が所定の上限値を超える場合に実行される、請求項８に記載のログ管理方法。
【請求項１０】
前記第１のフォルダの上層フォルダと前記第２のフォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダが、前記第３のグループの代表フォルダとして割り当てられる、請求項９に記載のログ管理方法。
【請求項１１】
ファイル操作のログを管理するログ管理装置であって、
操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得する取得部と、
前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループに集約する集約処理部と、
を備える、ログ管理装置。
【請求項１２】
ファイル操作のログを管理するログ管理装置に搭載されるコンピュータに、
（Ａ）操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、
（Ｂ）前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、
を実行させるための、プログラム。
【請求項１】
ファイル操作のログを管理するログ管理方法であって、
（Ａ）操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、
（Ｂ）前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、
を備える、ログ管理方法。
【請求項２】
前記ステップ（Ｂ）におけるログイベントの集約は、同一の又は関連するプロセス別に行われる、請求項１に記載のログ管理方法。
【請求項３】
前記ステップ（Ｂ）は、
（Ｂ−１）前記ログデータに記録されている複数のログイベントの各々について、一の代表フォルダを特定するステップと、
（Ｂ−２）前記ログデータに記録されている複数のログイベントのうち、前記代表フォルダが共通する二以上のログイベントを、同一のグループとして集約するステップと、
を有する、請求項１又は２に記載のログ管理方法。
【請求項４】
前記代表フォルダは、各ログイベントのパス情報に階層的に記述されている複数のフォルダの中から選択される、請求項３に記載のログ管理方法。
【請求項５】
前記代表フォルダは、プロセスからフォルダへのアクセス数に応じて求まる所定の指標に基づいて選択される、請求項４に記載のログ管理方法。
【請求項６】
前記指標としては、対象となるプロセスからのアクセス数が大きく、他のプロセスからのアクセス数が小さいフォルダが前記代表フォルダとして選択されるような指標が用いられる、請求項５に記載のログ管理方法。
【請求項７】
パス情報に記述されている複数のフォルダの中に、前記指標の値が等しい二以上のフォルダが含まれる場合には、当該二以上のフォルダのうち最下層のフォルダが前記代表フォルダとして選択される、請求項５又は６に記載のログ管理方法。
【請求項８】
（Ｃ）第１のフォルダを代表フォルダとする第１のグループと、当該第１のフォルダとの間のハミング距離が所定値以下である第２のフォルダを代表フォルダとする第２のグループとを、第３のグループとして集約するステップ
をさらに備える、請求項３〜７のいずれか一つに記載のログ管理方法。
【請求項９】
前記ステップ（Ｃ）は、前記ステップ（Ｂ）によって集約されたグループ数が所定の上限値を超える場合に実行される、請求項８に記載のログ管理方法。
【請求項１０】
前記第１のフォルダの上層フォルダと前記第２のフォルダの上層フォルダとで共通する一以上のフォルダのうちの最下層のフォルダが、前記第３のグループの代表フォルダとして割り当てられる、請求項９に記載のログ管理方法。
【請求項１１】
ファイル操作のログを管理するログ管理装置であって、
操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得する取得部と、
前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループに集約する集約処理部と、
を備える、ログ管理装置。
【請求項１２】
ファイル操作のログを管理するログ管理装置に搭載されるコンピュータに、
（Ａ）操作されたファイルに関するプロセス情報及びパス情報を含むログイベントが複数記録されたログデータを取得するステップと、
（Ｂ）前記ログデータに記録されている複数のログイベントを、ログイベント間の関連性に基づいて一又は複数のグループとして集約するステップと、
を実行させるための、プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１２−２０８５６５（Ｐ２０１２−２０８５６５Ａ）
【公開日】平成２４年１０月２５日（２０１２．１０．２５）
【国際特許分類】
【出願番号】特願２０１１−７１７５５（Ｐ２０１１−７１７５５）
【出願日】平成２３年３月２９日（２０１１．３．２９）
【出願人】（５０４１２６１１２）住友電工システムソリューション株式会社 (78)
【Ｆターム（参考）】
【公開日】平成２４年１０月２５日（２０１２．１０．２５）
【国際特許分類】
【出願日】平成２３年３月２９日（２０１１．３．２９）
【出願人】（５０４１２６１１２）住友電工システムソリューション株式会社 (78)
【Ｆターム（参考）】
[ Back to top ]