ログデータ分析装置及びログデータ分析装置のログデータ分析方法及びログデータ分析プログラム
【課題】ログ種類のパターンを考慮した分析をすることができるログデータ分析装置を提供する。
【解決手段】分析基準情報記録部１３１が、連続するログデータのログ種類パターンと信頼値とを対応付けた分析基準情報ＤＢ１３２を記録し、分析部１４０が、分析対象ファイルの各ログデータを先頭とする各グループであって、先頭から所定の時間内に発生した連続するログデータからなる各グループである分析対象グループに含まれるログ種類パターンを、分析基準情報ＤＢ１３２に含まれるログ種類パターンの中から取得し、取得したログ種類パターンに対応する信頼値に基づいて、当該分析対象グループの先頭のログデータが異常かどうかを判定する判定値を算出し、算出した判定値を当該分析対象グループの先頭のログデータに設定し、異常検出部１５０が、設定された判定値に基づいて、分析対象ファイルのログデータの中から、異常なログデータを検出する。
【解決手段】分析基準情報記録部１３１が、連続するログデータのログ種類パターンと信頼値とを対応付けた分析基準情報ＤＢ１３２を記録し、分析部１４０が、分析対象ファイルの各ログデータを先頭とする各グループであって、先頭から所定の時間内に発生した連続するログデータからなる各グループである分析対象グループに含まれるログ種類パターンを、分析基準情報ＤＢ１３２に含まれるログ種類パターンの中から取得し、取得したログ種類パターンに対応する信頼値に基づいて、当該分析対象グループの先頭のログデータが異常かどうかを判定する判定値を算出し、算出した判定値を当該分析対象グループの先頭のログデータに設定し、異常検出部１５０が、設定された判定値に基づいて、分析対象ファイルのログデータの中から、異常なログデータを検出する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば、ログデータを分析するログデータ分析装置及びログデータ分析装置のログデータ分析方法及びログデータ分析プログラムに関する。
【背景技術】
【０００２】
従来技術では、端末操作ログの傾向分析において、まず、印刷の回数やファイルのエクスポート回数など、単一の操作種類で操作回数平均を算出している。そして、算出した操作回数平均を異なる期間の端末操作ログの操作回数と比較することで、分析対象の端末操作ログの操作傾向における変化の検出を実現している（特許文献１参照）。この手法により、例えば、印刷の回数やファイルのエクスポート回数が急激に増えるといった現象を比較的容易に検知することが可能になる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−３３２３４５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
例えば、端末利用者が、アプリケーションの設定情報などを意図的に操作し、システム管理者が想定していないような動作をアプリケーションにさせようとする問題のあるケースがある。このような問題のあるケースは、ファイル操作とアプリケーション起動操作などの複数の種類の操作が関連するものであるため、単一種類の操作の回数に絞って確認する従来の方法のみでは、発見が困難である。また、従来の方法では、このような問題のあるケースが発見された場合には、ログを特定の操作などで絞らずに、問題のあるケースの発生箇所と関連すると思われるログを技術者が目視で、その都度確認する必要がある。
【０００５】
つまり、従来の技術では、上記のような複雑な操作が関連すると考えられる問題のあるケースを、従来の単一の操作種類に特定したログの変化からでは検知することが難しいという課題がある。また、ある問題が発生した場合でも、複雑な操作が関連すると考えられる問題の場合は、発生箇所と関連すると思われるログを技術者が目視で、その都度確認する必要があるため、問題の原因等発見の遅れに繋がる可能性があるという課題がある。
【０００６】
本発明は、上記のような課題を解決するためになされたものであり、ログデータの分析において、複雑な操作が関連する問題が生じた場合であっても、端末操作ログから異常箇所を的確に、かつ、迅速に発見することができるログデータ分析装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るログデータ分析装置は、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析対象ファイルを分析するログデータ分析装置において、
連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録部と、
前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録部により記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定部と、
前記判定値設定部により設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出部とを備えることを特徴とする。
【０００８】
前記ログデータ分析装置は、さらに、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析基準生成用ファイルから、連続するログデータであって、所定の期間内に発生した複数のログデータからなるグループを分析用グループとして処理装置により複数抽出する分析用グループ抽出部と、
前記分析用グループ抽出部により抽出された複数の分析用グループを対象として、分析用グループに含まれる連続するログデータのログ種類の順序であるログ種類パターンが同じである分析用グループの数を処理装置によりカウントしてカウント値を生成し、生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値を、生成したカウント値を用いて処理装置により算出し、算出した信頼値と生成したカウント値に対応する分析用グループの有するログ種類パターンとを対応付けた前記分析基準情報を生成する分析基準情報生成部とを備えることを特徴とする。
【０００９】
前記分析基準情報生成部は、
前記生成したカウント値を、前記生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値として設定することを特徴とする。
【００１０】
前記判定値設定部は、
前記取得したログ種類パターンに対応する信頼値を合算した値を、前記判定値として設定することを特徴とする。
【００１１】
前記分析用グループ抽出部は、
前記分析対象ファイルの少なくとも一部を、前記分析基準生成用ファイルとすることを特徴とする。
【００１２】
前記異常検出部は、
前記分析対象ファイルに蓄積された複数のログデータの中から、所定の基準値以下の判定値が設定されているログデータを前記異常なログデータとして検出する
ことを特徴とする。
【００１３】
本発明に係るログデータ分析装置のログデータ分析方法は、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析対象ファイルを分析するログデータ分析装置のログデータ分析方法において、
分析基準情報記録部が、連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録ステップと、
判定値設定部が、前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録ステップにより記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定ステップと、
異常検出部が、前記判定値設定ステップにより設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出ステップとを備えることを特徴とする。
【００１４】
本発明に係るログデータ分析プログラムは、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている構成を有する分析対象ファイルを分析する処理をコンピュータであるログデータ分析装置に実行させるログデータ分析プログラムにおいて、
連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録処理と、
前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録処理により記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定処理と、
前記判定値設定処理により設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出処理とを、前記コンピュータであるログデータ分析装置に実行させることを特徴とする。
【発明の効果】
【００１５】
本発明に係るログデータ分析装置は、分析基準情報記録部が、連続するログデータのログ種類パターンと信頼値とを対応付けた分析基準情報を記録し、判定値設定部が、分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする各グループであって、先頭のログデータから所定の時間内に発生した連続するログデータからなる各グループである分析対象グループに含まれるログ種類パターンを、分析基準情報に含まれるログ種類パターンの中から取得し、取得したログ種類パターンに対応する信頼値に基づいて、当該分析対象グループの先頭のログデータが異常かどうかを判定する判定値を算出し、算出した判定値を当該分析対象グループの先頭のログデータに設定し、異常検出部が、設定された判定値に基づいて、前記分析対象ファイルのログデータの中から、異常なログデータを検出するので、分析対象ファイルの分析に際し、複数のログ種類が関連する問題が生じた場合であっても、ログ種類パターンを考慮した分析をすることができるので、異常箇所を的確に、かつ、迅速に発見することができるという効果を奏する。
【図面の簡単な説明】
【００１６】
【図１】実施の形態１に係るログデータ分析装置１００の機能ブロックの構成を示す図である。
【図２】実施の形態１に係るログデータ分析装置１００の分析対象ファイルであるログデータファイルの構成を示す図である。
【図３】実施の形態１に係るログデータ分析装置１００の外観の一例を示す図である。
【図４】実施の形態１に係るログデータ分析装置１００のハードウェア資源の一例を示す図である。
【図５】実施の形態１に係る分析条件設定処理の流れを示すフロー図である。
【図６】実施の形態１に係る分析用グループ抽出処理の流れを示すフロー図である。
【図７】分析用グループ抽出処理の一例を図式化して示した図である。
【図８】実施の形態１に係る分析基準情報生成処理の流れを示すフロー図である。
【図９】分析基準情報生成処理により生成される分析基準情報ＤＢの構成を示す図である。
【図１０】実施の形態１に係る分析処理（判定値設定処理）の流れを示すフロー図である。
【図１１】分析処理（判定値設定処理）を図式化した図である。
【図１２】実施の形態１に係る異常検出処理の流れを示すフロー図である。
【図１３】異常検出処理により表示された分析対象ファイル分析結果の一例を示す図である。
【発明を実施するための形態】
【００１７】
以下に、本発明の実施の形態について、図を用いて説明する。
【００１８】
実施の形態１．
図１は、実施の形態１に係るログデータ分析装置１００の機能ブロックの構成を示す図である。図２は、実施の形態１に係るログデータ分析装置１００の分析対象ファイルであるログデータファイル２００の構成を示す図である。図１及び図２を用いて、本実施の形態に係るログデータ分析装置１００の機能ブロックの構成について説明する。
【００１９】
ログデータ分析装置１００は、分析条件設定部１１０、分析条件ＤＢ１１１（分析条件データベース）、分析用グループ抽出部１２０、分析用グループ記憶部１２１、分析基準情報生成部１３０、分析基準情報記録部１３１、分析基準情報ＤＢ１３２（分析基準情報データベース）、分析部１４０、異常検出部１５０を備えている。
【００２０】
ログデータファイル２００は、ログデータ分析装置１００の分析対象となるファイルである。図２に示すように、ログデータファイル２００には、ログデータ２００ｘ（ｘ＝１〜Ｎ）が蓄積されている。ログデータファイル２００は、ログデータ２００ｘの発生日時（発生時刻）を示すログ発生日時（ログ発生時刻）とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている構成を有する。
【００２１】
ログデータ２００ｘは、ログデータ２００ｘが発生した日時であるログ発生日時が設定される項目、ログデータのプロセス名等のログデータを記録した元のログソースが設定される項目、ログデータの操作の種類であるログ操作種類が設定される項目を備えている。「ログソース」と「ログ操作種類」とは、ログ種類の一例である。
【００２２】
例えば、ログデータ２００１は、ログ発生日時が「２００９／０８／０１ １２：００：００」、ログソースが「Ｉｍａｇｅ．ｅｘｅ」、ログ操作種類が「起動」と設定されている。また、例えば、ログデータ２００５は、ログ発生日時が「２００９／０８／０１ １２：００：１５」、ログソースが「Ｄｅｍｏ．ｅｘｅ」、ログ操作種類が「Ｍａｉｌ受信」と設定されている。図２に示すログデータファイル２００は、端末操作のログデータを収集するシステム（端末操作ログ収集システム）から出力された端末操作ログデータファイルである。
【００２３】
本実施の形態では、ログデータ分析装置１００は、端末操作に関するログデータファイル２００を分析対象ファイルとしているが、ログデータ分析装置１００が分析対象とするファイルはこのような種類のファイルに限られない。ログデータ分析装置１００は、データを取得した時刻と、そのデータの種類に関する情報とを有する履歴データを蓄積したファイルであれば、分析対象のファイルとして適用可能である。例えば、行動分析に関する履歴データファイル等にも適用することができる。
【００２４】
また、ログデータ分析装置１００は、ログデータファイル２００を、分析対象ファイルとして用いるとともに、後述する分析基準生成用ファイルとしても用いる。
【００２５】
図１に戻り、ログデータ分析装置１００の機能ブロックの説明を続ける。
【００２６】
分析条件設定部１１０は、ログデータ分析装置１００がログデータファイル２００を分析するための条件である分析条件を入力して、入力した分析条件を分析条件ＤＢ１１１に記憶する。分析条件設定部１１０は、予め、ログデータ分析装置１００の利用者により指定された分析の基準となる分析条件（各種情報）を入力する。例えば、分析条件設定部１１０は、分析対象ファイルとするログデータファイル２００の期間を「分析期間１１２」として入力する。分析条件設定部１１０は、分析の対象とするログデータファイル２００の分析に必要な情報が記録されているログデータファイル２００の列位置を「情報記録列１１３」として入力する。また、分析条件設定部１１０は、「所定の時間」内に連続して発生しているログデータを関連あるログデータであるとして抽出するための「所定の時間」の時間幅を「判断時間１１４」として入力する。分析条件設定部１１０は、ログデータ分析装置１００により分析対象ファイルの各ログデータに設定されたログデータの判定値において、所定の基準値以上であれば信頼持てると判断する際の所定の基準値を「判定基準値１１５」として入力する。分析条件設定部１１０は、入力した「分析期間１１２」、「情報記録列１１３」、「判断時間１１４」、「判定基準値１１５」等を分析条件ＤＢ１１１として記憶装置に記憶する。
【００２７】
分析用グループ抽出部１２０は、分析対象ファイルの分析のために利用する分析基準情報ＤＢの生成に用いる分析基準生成用ファイルから、連続するログデータからなるグループであって、ログ発生時刻の最も早い先頭のログデータのログ発生時刻とログ発生時刻の最も遅い末尾のログデータのログ発生時刻との差が所定の時間内であるグループを分析用グループとして複数抽出する。すなわち、分析用グループ抽出部１２０は、分析基準用ファイルから、判断時間１１４内に発生した連続するログデータのグループを分析用グループとして抽出する。分析用グループ抽出部１２０は、抽出した分析用グループを分析用グループ記憶部１２１に記憶する。すなわち、分析用グループ記憶部１２１には、分析用グループ抽出部１２０により抽出された複数の分析用グループが記憶される。
【００２８】
分析基準情報記録部１３１は、連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記憶装置に記録する。例えば、分析基準情報記録部１３１は、後述する分析基準情報生成部１３０により生成された分析基準情報を分析基準情報ＤＢ１３２として記憶装置に記録する。
【００２９】
分析基準情報生成部１３０は、分析用グループ抽出部１２０により抽出された複数の分析用グループを対象として、分析用グループに含まれる連続するログデータのログ種類の順序であるログ種類パターンが同じである分析用グループの数を処理装置によりカウントしてカウント値を生成する。分析基準情報生成部１３０は、生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値を、生成したカウント値を用いて算出し、算出した信頼値と生成したカウント値に対応する分析用グループの有するログ種類パターンとを対応付けた分析基準情報を生成する。例えば、分析基準情報生成部１３０は、生成したカウント値を、前記生成したカウント値に対応する分析用グループの信頼値として設定して分析基準情報を生成する。
【００３０】
本実施の形態では、分析基準情報生成部１３０が分析基準情報の生成の基としている分析用グループを抽出する分析基準生成用ファイルとして、分析対象ファイルとして指定されたファイルを用いている。すなわち、分析対象ファイルと分析基準生成用ファイルは同一のファイルである。しかし、分析基準生成用ファイルは、分析対象ファイルと同一のファイルでもよいし、分析対象ファイルの少なくとも一部のファイルでもよい。あるいは、分析基準生成用ファイルは、分析対象ファイルと同一の種類のファイル（例えば端末操作ログのファイル）でもよいし、他の種類の履歴データを蓄積したファイルでもよい。あるいは、ログデータファイル２００の過去の期間のログデータから、異常のなかった期間を選択して、分析基準生成用ファイルとして利用してもよい。
【００３１】
分析部１４０は、分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、分析基準情報記録部１３１により記録された分析基準情報ＤＢ１３２に含まれるログ種類パターンの中から処理装置により取得する。分析部１４０は、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する。このような分析部１４０の機能により、分析対象ファイルの各ログデータには、各ログデータが異常か否かを判定するための判定値がそれぞれ設定される。分析部１４０は、判定値設定部の一例である。例えば、分析部１４０は、取得したログ種類パターンに対応する信頼値を合算した値を、判定値として対応するログデータに設定する。
【００３２】
異常検出部１５０は、分析部１４０により設定された判定値に基づいて、分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを検出する。異常検出部１５０は、例えば、分析条件ＤＢ１１１から判定基準値１１５を取得して、分析対象ファイルに蓄積された複数のログデータの中から、判定基準値１１５（所定の基準値）以下の判定値が設定されているログデータを異常なログデータとして検出する。
【００３３】
図３は、実施の形態１に係るログデータ分析装置１００の外観の一例を示す図である。図３において、ログデータ分析装置１００は、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示装置９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。システムユニット９１０は、コンピュータであり、ファクシミリ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク９４２（ＬＡＮ）、ゲートウェイ９４１を介してインターネット９４０に接続されている。
【００３４】
図４は、実施の形態１に係るログデータ分析装置１００のハードウェア資源の一例を示す図である。図４において、ログデータ分析装置１００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
【００３５】
ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
【００３６】
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
【００３７】
通信ボード９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４、表示装置９０１などは、入力部、入力装置の一例である。また、入力装置としてタッチパネル等を備えていてもよい。また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。
【００３８】
通信ボード９１５は、電話回線網を介してファクシミリ機９３２、電話器９３１（携帯電話を含む）に接続されている。また、通信ボード９１５は、ＬＡＮ９４２等に接続されている。通信ボード９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。インターネット９４０或いはＩＳＤＮ等のＷＡＮに接続されている場合、ゲートウェイ９４１は不用となる。
【００３９】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
【００４０】
上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」、「〜手段」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明する情報やデータや信号値や変数値やパラメータが、「〜ファイル」、「〜データベース」、「〜データ」の各項目として記憶されている。「〜ファイル」、「〜データベース」、「〜データ」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００４１】
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００４２】
また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。
【００４３】
次に、本実施の形態に係るログデータ分析装置１００のログデータ分析方法及びログデータ分析プログラムのログデータ分析処理について説明する。
【００４４】
図５は、実施の形態１に係る分析条件設定処理の流れを示すフロー図である。
【００４５】
まず、Ｓ１０１において、分析条件設定部１１０は、ログデータファイル２００のうち分析対象とする分析期間１１２を入力装置により入力する。分析期間１１２は、分析対象とする期間として、ログデータ２００ｘの発生日時の期間を指定する。例えば、分析期間１１２として、「２００９／０８／０１／１２：００：００から２００９／０８／０１／１３：００：００まで」のように利用者により指定される。分析条件設定部１１０は、入力した分析期間１１２を分析条件ＤＢ１１１に記録する。
【００４６】
次に、Ｓ１０２〜Ｓ１０４において、分析条件設定部１１０は、ログデータファイル２００の有する情報（項目）のうち、分析に用いる情報（項目）を入力装置により入力する。例えば、利用者は、ログデータファイル２００の有する情報（項目）のうちの分析に用いる情報（項目）を、ログデータファイル２００の列を入力することによって指定する。
【００４７】
Ｓ１０２において、分析条件設定部１１０は、分析に用いる「ログ発生日時」の情報として、「ログ発生日時」項目を指定する。例えば、分析条件設定部１１０は、「ログ発生日時」の情報として、ログデータファイル２００の列「Ａ列」（図２参照）を入力する。
【００４８】
Ｓ１０３において、分析条件設定部１１０は、分析に用いる「ログ種類」の情報として、「ログソース」項目を指定する。例えば、分析条件設定部１１０は、「ログ種類」の情報として、ログデータファイル２００の列「Ｂ列」（図２参照）を入力する。
【００４９】
Ｓ１０４において、分析条件設定部１１０は、分析に用いる「ログ種類」の情報として、「ログ操作種類」項目を指定する。例えば、分析条件設定部１１０は、「ログ種類」の情報として、ログデータファイル２００の列「Ｃ列」（図２参照）を入力する。
【００５０】
分析条件設定部１１０は、Ｓ１０２からＳ１０４において入力したログデータファイル２００の列を情報記録列１１３として分析条件ＤＢ１１１に記録する。これにより、ログデータ分析装置１００は、ファイルの分析の処理に用いる情報（「ログ発生日時」及び「ログ種類」）と、その情報に対応する分析対象ファイルの情報とが関連付けられる。このような処理を行うことで、「ログ発生日時」及び「ログ種類」となる情報を有するログデータファイルであれば、どのような構成を有していてもログデータ分析装置１００の分析対象ファイルとして適用することができる。あるいは、ログデータ分析装置１００は、情報記録列１１３を記録せず、予め定義された「ログ発生日時」及び「ログ種類」とを有するログデータファイルのみを分析対象ファイルとして適用するとしてもよい。
【００５１】
Ｓ１０５において、分析条件設定部１１０は、所定の時間内に連続して発生しているログデータを関連ある複数のログデータのグループ（関連ログ）であると判別するための時間幅を、「判断時間１１４」をして入力装置より入力する。利用者は、例えば、「判断時間１１４」として、「１５秒」、「３０秒」、「１分」等の時間幅を指定する。分析条件設定部１１０は、指定された「判断時間１１４」を分析条件ＤＢ１１１に記録する。
【００５２】
Ｓ１０６において、分析条件設定部１１０は、分析の結果として導き出される各ログデータの判定値において、所定の基準値（数値）以上であれば異常ではないと判断するための「判定基準値１１５」を入力装置により入力する。分析条件設定部１１０は、入力した判定基準値１１５を分析条件ＤＢ１１１に記録する。
【００５３】
以上の処理により、分析条件設定部１１０は、分析条件ＤＢ１１１に「分析期間１１２」、「情報記録列１１３」、「判断時間１１４」、「判定基準値１１５」を設定する。ログデータ分析装置１００は、例えば、分析条件設定画面（図示なし）を表示装置に表示して、利用者に「分析期間１１２」、「情報記録列１１３」、「判断時間１１４」、「判定基準値１１５」を入力させる。
【００５４】
図６は、実施の形態１に係る分析用グループ抽出処理の流れを示すフロー図である。
【００５５】
Ｓ２０１において、分析用グループ抽出部１２０は、分析条件ＤＢ１１１から分析期間１１２を処理装置により読み出す。分析用グループ抽出部１２０は、ログデータファイル２００に蓄積された複数のログデータ２００ｘから、分析期間１１２に発生した連続するログデータを分析基準生成用ファイルとして処理装置により取得する。
【００５６】
本実施の形態では、Ｓ２０１において取得された分析基準生成用ファイルは、ログデータ分析装置１００の分析対象である分析対象ファイルでもある。すなわち、本実施の形態のログデータ分析装置１００では、分析対象ファイルと、分析基準生成用ファイルとが同じ内容のファイルである。
【００５７】
例えば、分析条件設定部１１０は、分析基準生成用ファイルを指定するための分析基準生成用ファイルの期間（分析基準生成用期間）を予め入力し、入力した分析基準生成用期間を分析条件ＤＢ１１１に記録しておく。そして、分析用グループ抽出部１２０は、分析条件ＤＢ１１１に記録された分析基準生成用期間を読み出して、読み出した分析基準生成用期間に発生したログデータを、ログデータファイル２００から取得して分析基準生成用ファイルとしてもよい。
【００５８】
Ｓ２０２において、分析用グループ抽出部１２０は、分析基準生成用ファイルの各ログデータに、各ログデータを一意に識別するための値であるログデータＩＤを設定する。
【００５９】
Ｓ２０４において、分析用グループ抽出部１２０は、分析基準生成用ファイルからログデータを取り出し処理対象ログデータとする。また、分析用グループ抽出部１２０は、分析条件ＤＢ１１１から判断時間１１４を読み出す。Ｓ２０５において、分析用グループ抽出部１２０は、処理対象ログデータのログ発生日時から判断時間１１４以内に発生した連続するログデータを、分析基準生成用ファイルから処理装置を用いて抽出する。分析用グループ記憶部１２１は、抽出した連続するログデータを分析用グループとして記憶装置に記憶する。分析用グループ記憶部１２１は、分析用グループの含む連続するログデータのログデータＩＤを分析用グループとして記憶装置に記憶してもよい。
【００６０】
分析用グループ抽出部１２０及び分析用グループ記憶部１２１は、Ｓ２０４からＳ２０５の処理を、分析基準生成用ファイルに含まれるすべてのログデータについて実行する。
【００６１】
つまり、分析用グループ抽出処理は、処理対象ログデータの発生時刻以降、かつ、分析条件ＤＢ１１１から読み込んだ判断時間１１４の幅以内に発生している連続するログデータ同士を「時間的関連性があるもの」とする分析手法である。
【００６２】
図７は、分析用グループ抽出処理の一例を図式化して示した図である。
【００６３】
図７では、分析期間１１２は「２００９／０８／０１ １２：００から２００９／０８／０１ １３：００」であり、判断時間１１４は「１５秒」である。分析基準生成用ファイルの１行目のログデータについて、１行目のログデータのログ発生日時から判断時間１１４「１５秒」以内に発生したログデータであって、１行目のログデータから連続するログデータは、ログデータＩＤ「２」、「３」、「４」のログデータである。すなわち、１行目のログデータに対する分析用グループ１２１１は、１行目から４行目までのログデータとなる。また、分析基準生成用ファイルの２行目のログデータについて、２行目のログデータのログ発生日時から判断時間１１４「１５秒」以内に発生したログデータであって、１行目のログデータから連続するログデータは、ログデータＩＤ「３」、「４」のログデータである。すなわち、２行目のログデータに対する分析用グループ１２１２は、２行目から４行目までのログデータとなる。
【００６４】
図８は、実施の形態１に係る分析基準情報生成処理の流れを示すフロー図である。
【００６５】
Ｓ３０２において、分析基準情報生成部１３０は、分析用グループ抽出処理において抽出された複数の分析用グループ（分析用グループ記憶部１２１）の中から、処理対象の分析用グループ（以下、処理対象分析用グループとする）を取り出す。
【００６６】
Ｓ３０３において、分析基準情報生成部１３０は、分析用グループ記憶部１２１の中から、処理対象分析用グループに含まれる連続するログデータのログ種類（ログソース及びログ操作種類）の順序であるログ種類パターンが同じである分析用グループがあるか否かを処理装置により判断する。分析基準情報生成部１３０は、処理対象分析用グループと同じログ種類パターン（以下、処理対象ログ種類パターンとする）があると判断した場合には、Ｓ３０４へ進む。分析基準情報生成部１３０は、処理対象ログ種類パターンがないと判断した場合には、Ｓ３０２へ戻る。
【００６７】
また、分析基準情報生成部１３０は、Ｓ３０２において取り出した処理対象分析用グループの処理対象ログ種類パターンが、既に処理対象となったことのあるログ種類パターンと同一である場合には、次の処理対象分析用グループを取り出すとしてもよい。
【００６８】
Ｓ３０４において、分析基準情報生成部１３０は、処理対象ログ種類パターンと同一のログ種類パターンの分析用グループを、分析用グループ記憶部１２１に記憶されている複数の分析用グループを対象として処理装置によりカウントする。分析基準情報生成部１３０は、カウントした値を処理対象カウント値とし、処理対象分析用グループのログ種類パターン（処理対象ログ種類パターン）と対応付けて処理装置により一時記憶する。
【００６９】
Ｓ３０５において、分析基準情報記録部１３１は、処理対象ログ種類パターンの信頼値として、Ｓ３０４にて一時記憶された処理対象ログ種類パターンの処理対象カウント値を設定して、処理対象ログ種類パターンと信頼値とを対応付けて分析基準情報ＤＢ１３２に処理装置により記憶する。
【００７０】
分析基準情報生成部１３０及び分析基準情報記録部１３１は、分析用グループ記憶部１２１の中に処理対象としていない分析用グループが存在する間、Ｓ３０２からＳ３０５の処理を繰り返す。
【００７１】
図９は、分析基準情報生成処理により生成される分析基準情報ＤＢの構成を示す図である。
【００７２】
図９に示すように、１行目のログに対する分析用グループ１２１１のログ種類パターン１３１１は、“「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」”である。例えば、このログ種類パターン１３１１を、処理対象分析用グループに含まれる連続するログデータのログ種類（ログソース及びログ操作種類）の順序であるログ種類パターンとする。ｎ行目のログに対する分析用グループ１２１ｎのログ種類パターン１３１ｎは、“「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」”である。例えば、このログ種類パターン１３１ｎを、ログ種類パターンが同じである分析用グループのログ種類パターンであるとする。そうすると、分析基準情報生成部１３０は、ログ種類パターン１３１１とログ種類パターン１３１ｎとが同一であると判断してカウントする。
【００７３】
分析基準情報生成部１３０は、ログ種類パターン１３１１と同一のログ種類パターンのカウントが終了し、ログ種類パターン１３１１のカウント値は「３１」であるとする。分析基準情報記録部１３１は、分析基準情報ＤＢ１３２に、ログ種類パターン１３１１を設定し、対応するカウント値「３１」をログ種類パターン１３１１に対応付けて設定する。さらに、分析基準情報記録部１３１は、ログ種類パターン１３１１を一意に識別するパターンＩＤ「Ｐ１」を設定する。
【００７４】
ここでは、例えば、ログ種類パターン１３１１をカウントしたカウント値「３１」を、そのままログ種類パターン１３１１の信頼値「３１」としている。つまり、ログ種類パターン１３１１の信頼値「３１」とは、分析用グループ記憶部１２１の中に、ログ種類パターン１３１１を有する分析用グループが３１個あることを意味している。カウント値は、数が多ければ多い程、対象のログ種類パターンが通常多く行われる操作のパターンであることを意味する。反対に、カウント値の数が少なければ、対象のログ種類パターンは、通常行われない操作のパターンであると考えられ、異常な操作の可能性が高いことを意味する。したがって、カウント値を信頼値とすることは、対象のログ種類パターンの信頼の度合いを意味する数値として適している。
【００７５】
その他、カウント値を用いて信頼値を算出する方法としては、例えば、通常のログ種類パターン（操作パターン）の始まりとして信頼度が高いと考えられる「起動」が対象のログ種類パターンの先頭にある場合には、カウント値に所定の重み付けをした値を信頼値にする等の方法を適用してもよい。
【００７６】
本実施の形態の分析基準情報生成処理では、処理対象分析用グループのログ種類パターンと同一のログ種類パターンを有する分析用グループをカウントして分析基準情報ＤＢ１３２を生成した。あるいは、例えば、次のような条件でカウントすることにより分析基準情報ＤＢ１３２を生成してもよい。
【００７７】
例えば、図８のＳ３０２において、分析基準情報生成部１３０は、分析用グループ記憶部１２１から分析用グループ（端末操作ログパターン）を順次１グループずつとして取込む。この１グループを処理対象分析用グループとする。そして、分析基準情報生成部１３０は、処理対象分析用グループのログ種類パターンが次の条件と一致するログ種類パターンを検出する。まず、分析基準情報生成部１３０は、処理対象分析用グループの１行目に記録されたログソース及びログ操作種類が同一な分析用グループ（操作パターン）を「情報類似性があるもの」とし、この条件に一致するものを分析用グループ記憶部１２１から抽出する。次に、分析基準情報生成部１３０は、処理対象分析用グループのログ種類パターンに記録されたログ種類を上から順に確認し、そのログ種類の順番と同一の組み合わせが、比較の対象とする分析用グループ群（すなわち、分析用グループ記憶部１２１内の処理対象分析用グループ以外の分析用グループ）のログ種類パターンにも存在するものを「順序関係性があるもの」として、存在する分析用グループを抽出する。このような処理によって、例えば、Ａというケースのログデータと、Ｂ、Ｃというログデータが順に組み合わさっているログ種類パターンを検出した場合、そのログ種類パターンを基準ログ種類パターンとして記録すると共に、基準ログ種類パターンの検出件数を「カウント値（パターン信頼値）」として数値で記録する。以上の処理を分析用グループ記憶部１２１内の全分析用グループに対して行なう。
【００７８】
図１０は、実施の形態１に係る分析処理の流れを示すフロー図である。分析処理は、判定値設定処理の一例である。
【００７９】
Ｓ４０２において、分析部１４０は、分析対象ファイルから処理対象ログデータを１行（１レコード）取り出す。
【００８０】
Ｓ４０３において、分析部１４０は、分析基準情報ＤＢ１３２に含まれるログ種類パターンのうち、処理対象ログデータのログ種類（ログソース及びログ操作種類）と同一のログ種類がログ種類パターンの１行目（先頭）に設定されているログ種類パターンがあるか否かを処理装置により判断する。分析部１４０は、処理対象ログデータのログ種類（ログソース及びログ操作種類）が先頭に設定されているログ種類パターンがあると判断した場合には（Ｓ４０３でＹＥＳ）、Ｓ４０４へ進む。分析部１４０は、処理対象ログデータのログ種類（ログソース及びログ操作種類）が先頭に設定されているログ種類パターンがないと判断した場合には（Ｓ４０３でＮＯ）、Ｓ４０２へ戻る。
【００８１】
Ｓ４０４において、分析部１４０は、処理対象ログデータを先頭として、連続する複数のログデータであって、処理対象ログデータのログ発生日時から判断時間１１４以内に発生したログデータを処理対象グループとして処理対象ファイルから処理装置により抽出する。分析部１４０は、抽出した処理対象グループのログ種類の順序パターンであるログ種類パターンを含むログ種類パターンが、分析基準情報ＤＢ１３２にあるか否かを処理装置により判断する。分析部１４０は、処理対象グループのログ種類パターンを含むログパターンがあると判断した場合には（Ｓ４０４にてＹＥＳ）、Ｓ４０５へ進む。分析部１４０は、処理対象グループのログ種類パターンを含むログ種類パターンがないと判断した場合には（Ｓ４０４にてＮＯ）、Ｓ４０２へ戻る。
【００８２】
Ｓ４０５において、分析部１４０は、分析基準情報ＤＢ１３２から、処理対象グループのログ種類パターンを含むログ種類パターン（ログパターンＩＤ）を処理装置により抽出する。分析部１４０は、抽出した処理対象グループのログ種類パターンを含むログ種類パターンが複数ある場合には、抽出した複数のログ種類パターンに対応する複数の信頼値を処理装置により合算して判定値とする。分析部１４０は、算出した判定値を処理対象グループの先頭のログデータ、すなわち処理対象ログデータの判定値として、処理対象ログデータに設定する。
【００８３】
分析部１４０は、分析対象ファイルに分析していないログデータが存在する間、すなわち判定値が設定されていないログデータ存在する間、Ｓ４０２からＳ４０５の処理を繰り返す。
【００８４】
図１１は、分析処理（判定値設定処理）を図式化した図である。図１１を用いて、分析処理の具体例について説明する。
【００８５】
図１１において、分析対象ファイルの１行目のログデータを処理対象ログデータとする場合の、分析処理について説明する。まず、分析処理では、１行目のログデータを先頭として、判断時間１１４「１５秒」以内に発生した連続するログデータを処理対象グループとする。
【００８６】
処理対象グループのログ種類パターン（処理対象ログパターンとする）は、「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」である。分析基準情報ＤＢ１３２から、処理対象ログ種類パターンを含むログ種類パターンの情報（ログパターンＩＤ）を抽出し、以下の２つの情報が抽出されたとする。抽出された２つの情報は、「パターンＩＤ「Ｐ１」、ログ種類パターン：「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」、信頼値：「３１」」の情報と、「パターンＩＤ「Ｐ１０」、ログ種類パターン：「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」「Ｄｅｍｏ．ｅｘｅ／終了」、信頼値：「１０」」の情報である。
【００８７】
分析部１４０は、抽出した２つのログ種類パターン（パターンＩＤ「Ｐ１」と「Ｐ１０」）に設定されている信頼値「３１」と「１１」とを合算して「４２」とし、合算した値を処理対象グループの先頭のログデータ、すなわち処理対象ログデータの判定値として処理対象ログデータに設定する。このように、１行目のログデータの判定値は、「４２」と設定される。
【００８８】
以上の処理を処理対象ファイルの各ログデータについて実行することにより、処理対象ファイルの各ログデータについて判定値がそれぞれ設定される。
【００８９】
以上の分析処理（判定値設定処理）を換言して、以下に説明する。
Ｓ４０２において、分析部１４０は、分析対象ファイルのログデータを順次１行ずつとして取込み（この１行を以下処理対象ログデータとする）、分析基準情報ＤＢ１３２に記録されているログ種類パターン（以下、基準ログ種類パターン）と比較を行なう。比較方法は以下の２つ（２段階）ある。（１）処理対象ログデータに書かれたログソース及びログ操作種類の情報が、比較を行なう基準ログ種類パターンの１行目におけるログソース・種類と一致するものを、同一ログソース・種類から発生しているものである「情報元に一致があるもの」とする比較、（２）比較を行なう処理対象ログデータの行以降に発生しているログデータが、基準ログ種類パターンで組み合わされているログデータのパターンと同じ順番で「判断時間１１４」内に発生しているものを「順序に関連性があるもの」とする比較。（１）及び（２）の比較の結果、処理対象ログデータの行に関連して一致する基準ログ種類パターンが検出された場合には、その行に対して検出された基準ログ種類パターンの信頼値を設定する。以上の処理を分析対象ファイルのログデータ全行に対して行なう。
【００９０】
図１２は、実施の形態１における異常検出処理の流れを示すフロー図である。
【００９１】
Ｓ５０１において、異常検出部１５０は、分析対象ファイルの各ログデータに設定された各判定値と、分析条件ＤＢ１１１に記録されている判定基準値１１５とを処理装置によりそれぞれ比較する。異常検出部１５０は、比較した結果、判定基準値１１５以下の判定値が設定されているログデータを、異常なログデータとして分析対象ファイルから検出する。異常検出部１５０は、例えば、異常なログデータとして検出されたログデータに異常フラグを設定する。
【００９２】
Ｓ５０２において、異常検出部１５０は、分析結果を表示装置に表示する。異常検出部１５０は、例えば、分析対象ファイルのログデータのうち、異常フラグが設定されているログデータに、警告マークを付して表示装置に表示する。
【００９３】
図１３は、異常検出処理により表示された分析対象ファイル分析結果の一例を示す図である。図１３に示すように、異常検出部１５０は、分析対象ファイルの各ログデータに各判定値を設定したものを、「分析対象ファイル分析結果」として表示装置に表示する。さらに、異常検出部１５０は、例えば、異常フラグが設定されているログデータが正常なログデータと区別されるように表示する。異常検出部１５０は、例えば、異常なログデータのセルの色やセルのパターンを変えたり、異常なログデータを丸や四角で囲んだりして、正常なログデータと区別できるように表示する。また、異常検出部１５０は、事前に設定されている判定基準値１１５を分析対象ファイル分析結果とともに表示してもよい。
【００９４】
図１３では、異常なログデータを楕円で囲んで区別するとともに、分析対象ファイル分析結果の下部に判定基準値１１５を表示する例を示している。
【００９５】
例えば、ログデータＩＤ「７」のログデータは、判定値が「１」であり、基準判定値「５」に満たない。このようなログデータは、この後の操作を考慮すると、信頼の持てない操作（ここでは、メールの内容が持ち出された可能性のあるケース）の始まりであると考えられ異常なログデータとして検出される。
【００９６】
例えば、ログデータＩＤ「１」のログデータは、判定値が「４２」であり、基準判定値「５」を十分に満たす。このようなログデータは、この後の操作を考慮すると、信頼の持てる操作の始まりであると考えられ異常なログデータとして検出されない。例えば、文章編集ソフトを起動し、「印刷」「ファイル保存」を行ったケース（Ｋ１１）である。あるいは、ログデータＩＤ「２」のログデータは、判定値が「３１」であり、基準判定値「５」を十分に満たす。このようなログデータも、この後の操作を考慮すると、信頼の持てる操作の始まりであると考えられ異常なログデータとして検出されない。例えば、メールソフトを起動し、「メール送受信」を行ったケース（Ｋ１２）である。
【００９７】
以上の異常検出処理を換言して、以下に説明する。
異常検出部１５０は、分析対象ファイルの各ログデータ（各行）に記録された判定値と判定基準値１１５とを比較し、判定基準値１１５を満たさない判定値の行を、信頼のもてない異常な操作が行なわれている可能性がある箇所と判断し、判定基準値１１５を満たしている行を信頼が十分な信頼の持てる操作が行なわれている箇所であると判断する。その結果、表示装置に判定基準値１１５を満たさなかったログデータを示すことでログデータ分析装置１００の分析結果とする。
【００９８】
本実施の形態では、以下のようなログデータ分析装置１００について説明した。
実施の形態１に係るログデータ分析装置１００は、（１）分析対象ファイルの分析の基準となる各種情報を操作者が予め指定するための部分（分析条件設定部１１０）と、（２）分析の基準とされた分析基準生成用ファイルのログデータの傾向パターンを解析する部分（分析用グループ抽出部１２０）と、（３）ログデータの傾向パターン同士を照らし合わせてパターン自体の信頼性を算出する部分（分析基準情報生成部１３０、分析基準情報記録部１３１）と、（４）ログの傾向パターンと、任意のログを比較してログの差異を検出する部分（分析部１４０）と、（５）及び（４）の結果導き出される異常な操作が行なわれている可能性のあるログを画面に表示する部分（異常検出部１５０）とを備えることを特徴とする。
【００９９】
実施の形態１に係るログデータ分析装置１００のログデータ分析方法は、分析用グループ抽出部１２０が、分析対象ファイルの端末操作ログにて任意の操作ログが発生後、事前に操作者により指定された「判断時間」の間に発生した複数の操作ログを一つのログの組合せであるパターンとし、分析用グループとして抽出する。分析基準情報生成部１３０（及び分析基準情報記録部１３１）が、分析用グループ抽出部１２０で抽出したパターン（分析用グループ）を互いに比較し、組合せ中に記録された操作ログが記録されている順番が同一のものを検出し、同一のものが検出された場合にはその検出回数を該当パターンの「信頼値」として記録する。分析部１４０では、端末操作ログと端末操作パターンを比較し、パターンが一致した場合にはそのパターンに設定された「信頼値」をパターンと一致した端末操作ログの行に判定値として設定する。異常検出部１５０では、端末操作ログに記録された「判定値」と事前に操作者により指定された「判定基準値」とを比較して判定基準値より小さいものを信頼の持てない操作ログと判断し、一方大きいものを信頼の持てる操作ログと判断する。
【０１００】
本実施の形態に係るログデータ分析装置１００によれば、ログデータのログ種類パターンを解析するパターン解析部（分析用グループ抽出部、分析基準情報生成部）と、解析結果のログ種類パターンと分析対象ファイルのログデータのログ種類パターンとをする比較して分析対象ファイルを分析する分析部とを有することで、複数のログデータの中にあるログ種類パターンとのずれを発見可能とすることができる。
【０１０１】
本実施の形態に係るログデータ分析装置１００によれば、問題が発生している可能性のあるログデータの箇所をピンポイントで押さえることが可能となる。このため、本実施の形態に係るログデータ分析装置１００によれば、担当者がログデータを目視で確認する時間を抑えるとともに、担当者の技術に関わらずぶれの無い分析結果を導き出すことが可能となる。
【符号の説明】
【０１０２】
１００ ログデータ分析装置、１１０ 分析条件設定部、１１１ 分析条件ＤＢ、１１２ 分析期間、１１３ 情報記録列、１１４ 判断時間、１１５ 判定基準値、１２０ 分析用グループ抽出部、１２１ 分析用グループ記憶部、１３０ 分析基準情報生成部、１３１ 分析基準情報記録部、１３２ 分析基準情報ＤＢ、１４０ 分析部、１５０ 異常検出部、２００ ログデータファイル、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ装置、９０７ スキャナ装置、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９３１ 電話器、９３２ ファクシミリ機、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ、５００１，５００２，５００３ システム、１２１１，１２１ｎ 分析用グループ、１３１１，１３１ｎ ログ種類パターン。
【技術分野】
【０００１】
本発明は、例えば、ログデータを分析するログデータ分析装置及びログデータ分析装置のログデータ分析方法及びログデータ分析プログラムに関する。
【背景技術】
【０００２】
従来技術では、端末操作ログの傾向分析において、まず、印刷の回数やファイルのエクスポート回数など、単一の操作種類で操作回数平均を算出している。そして、算出した操作回数平均を異なる期間の端末操作ログの操作回数と比較することで、分析対象の端末操作ログの操作傾向における変化の検出を実現している（特許文献１参照）。この手法により、例えば、印刷の回数やファイルのエクスポート回数が急激に増えるといった現象を比較的容易に検知することが可能になる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−３３２３４５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
例えば、端末利用者が、アプリケーションの設定情報などを意図的に操作し、システム管理者が想定していないような動作をアプリケーションにさせようとする問題のあるケースがある。このような問題のあるケースは、ファイル操作とアプリケーション起動操作などの複数の種類の操作が関連するものであるため、単一種類の操作の回数に絞って確認する従来の方法のみでは、発見が困難である。また、従来の方法では、このような問題のあるケースが発見された場合には、ログを特定の操作などで絞らずに、問題のあるケースの発生箇所と関連すると思われるログを技術者が目視で、その都度確認する必要がある。
【０００５】
つまり、従来の技術では、上記のような複雑な操作が関連すると考えられる問題のあるケースを、従来の単一の操作種類に特定したログの変化からでは検知することが難しいという課題がある。また、ある問題が発生した場合でも、複雑な操作が関連すると考えられる問題の場合は、発生箇所と関連すると思われるログを技術者が目視で、その都度確認する必要があるため、問題の原因等発見の遅れに繋がる可能性があるという課題がある。
【０００６】
本発明は、上記のような課題を解決するためになされたものであり、ログデータの分析において、複雑な操作が関連する問題が生じた場合であっても、端末操作ログから異常箇所を的確に、かつ、迅速に発見することができるログデータ分析装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るログデータ分析装置は、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析対象ファイルを分析するログデータ分析装置において、
連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録部と、
前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録部により記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定部と、
前記判定値設定部により設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出部とを備えることを特徴とする。
【０００８】
前記ログデータ分析装置は、さらに、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析基準生成用ファイルから、連続するログデータであって、所定の期間内に発生した複数のログデータからなるグループを分析用グループとして処理装置により複数抽出する分析用グループ抽出部と、
前記分析用グループ抽出部により抽出された複数の分析用グループを対象として、分析用グループに含まれる連続するログデータのログ種類の順序であるログ種類パターンが同じである分析用グループの数を処理装置によりカウントしてカウント値を生成し、生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値を、生成したカウント値を用いて処理装置により算出し、算出した信頼値と生成したカウント値に対応する分析用グループの有するログ種類パターンとを対応付けた前記分析基準情報を生成する分析基準情報生成部とを備えることを特徴とする。
【０００９】
前記分析基準情報生成部は、
前記生成したカウント値を、前記生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値として設定することを特徴とする。
【００１０】
前記判定値設定部は、
前記取得したログ種類パターンに対応する信頼値を合算した値を、前記判定値として設定することを特徴とする。
【００１１】
前記分析用グループ抽出部は、
前記分析対象ファイルの少なくとも一部を、前記分析基準生成用ファイルとすることを特徴とする。
【００１２】
前記異常検出部は、
前記分析対象ファイルに蓄積された複数のログデータの中から、所定の基準値以下の判定値が設定されているログデータを前記異常なログデータとして検出する
ことを特徴とする。
【００１３】
本発明に係るログデータ分析装置のログデータ分析方法は、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析対象ファイルを分析するログデータ分析装置のログデータ分析方法において、
分析基準情報記録部が、連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録ステップと、
判定値設定部が、前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録ステップにより記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定ステップと、
異常検出部が、前記判定値設定ステップにより設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出ステップとを備えることを特徴とする。
【００１４】
本発明に係るログデータ分析プログラムは、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている構成を有する分析対象ファイルを分析する処理をコンピュータであるログデータ分析装置に実行させるログデータ分析プログラムにおいて、
連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録処理と、
前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録処理により記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定処理と、
前記判定値設定処理により設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出処理とを、前記コンピュータであるログデータ分析装置に実行させることを特徴とする。
【発明の効果】
【００１５】
本発明に係るログデータ分析装置は、分析基準情報記録部が、連続するログデータのログ種類パターンと信頼値とを対応付けた分析基準情報を記録し、判定値設定部が、分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする各グループであって、先頭のログデータから所定の時間内に発生した連続するログデータからなる各グループである分析対象グループに含まれるログ種類パターンを、分析基準情報に含まれるログ種類パターンの中から取得し、取得したログ種類パターンに対応する信頼値に基づいて、当該分析対象グループの先頭のログデータが異常かどうかを判定する判定値を算出し、算出した判定値を当該分析対象グループの先頭のログデータに設定し、異常検出部が、設定された判定値に基づいて、前記分析対象ファイルのログデータの中から、異常なログデータを検出するので、分析対象ファイルの分析に際し、複数のログ種類が関連する問題が生じた場合であっても、ログ種類パターンを考慮した分析をすることができるので、異常箇所を的確に、かつ、迅速に発見することができるという効果を奏する。
【図面の簡単な説明】
【００１６】
【図１】実施の形態１に係るログデータ分析装置１００の機能ブロックの構成を示す図である。
【図２】実施の形態１に係るログデータ分析装置１００の分析対象ファイルであるログデータファイルの構成を示す図である。
【図３】実施の形態１に係るログデータ分析装置１００の外観の一例を示す図である。
【図４】実施の形態１に係るログデータ分析装置１００のハードウェア資源の一例を示す図である。
【図５】実施の形態１に係る分析条件設定処理の流れを示すフロー図である。
【図６】実施の形態１に係る分析用グループ抽出処理の流れを示すフロー図である。
【図７】分析用グループ抽出処理の一例を図式化して示した図である。
【図８】実施の形態１に係る分析基準情報生成処理の流れを示すフロー図である。
【図９】分析基準情報生成処理により生成される分析基準情報ＤＢの構成を示す図である。
【図１０】実施の形態１に係る分析処理（判定値設定処理）の流れを示すフロー図である。
【図１１】分析処理（判定値設定処理）を図式化した図である。
【図１２】実施の形態１に係る異常検出処理の流れを示すフロー図である。
【図１３】異常検出処理により表示された分析対象ファイル分析結果の一例を示す図である。
【発明を実施するための形態】
【００１７】
以下に、本発明の実施の形態について、図を用いて説明する。
【００１８】
実施の形態１．
図１は、実施の形態１に係るログデータ分析装置１００の機能ブロックの構成を示す図である。図２は、実施の形態１に係るログデータ分析装置１００の分析対象ファイルであるログデータファイル２００の構成を示す図である。図１及び図２を用いて、本実施の形態に係るログデータ分析装置１００の機能ブロックの構成について説明する。
【００１９】
ログデータ分析装置１００は、分析条件設定部１１０、分析条件ＤＢ１１１（分析条件データベース）、分析用グループ抽出部１２０、分析用グループ記憶部１２１、分析基準情報生成部１３０、分析基準情報記録部１３１、分析基準情報ＤＢ１３２（分析基準情報データベース）、分析部１４０、異常検出部１５０を備えている。
【００２０】
ログデータファイル２００は、ログデータ分析装置１００の分析対象となるファイルである。図２に示すように、ログデータファイル２００には、ログデータ２００ｘ（ｘ＝１〜Ｎ）が蓄積されている。ログデータファイル２００は、ログデータ２００ｘの発生日時（発生時刻）を示すログ発生日時（ログ発生時刻）とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている構成を有する。
【００２１】
ログデータ２００ｘは、ログデータ２００ｘが発生した日時であるログ発生日時が設定される項目、ログデータのプロセス名等のログデータを記録した元のログソースが設定される項目、ログデータの操作の種類であるログ操作種類が設定される項目を備えている。「ログソース」と「ログ操作種類」とは、ログ種類の一例である。
【００２２】
例えば、ログデータ２００１は、ログ発生日時が「２００９／０８／０１ １２：００：００」、ログソースが「Ｉｍａｇｅ．ｅｘｅ」、ログ操作種類が「起動」と設定されている。また、例えば、ログデータ２００５は、ログ発生日時が「２００９／０８／０１ １２：００：１５」、ログソースが「Ｄｅｍｏ．ｅｘｅ」、ログ操作種類が「Ｍａｉｌ受信」と設定されている。図２に示すログデータファイル２００は、端末操作のログデータを収集するシステム（端末操作ログ収集システム）から出力された端末操作ログデータファイルである。
【００２３】
本実施の形態では、ログデータ分析装置１００は、端末操作に関するログデータファイル２００を分析対象ファイルとしているが、ログデータ分析装置１００が分析対象とするファイルはこのような種類のファイルに限られない。ログデータ分析装置１００は、データを取得した時刻と、そのデータの種類に関する情報とを有する履歴データを蓄積したファイルであれば、分析対象のファイルとして適用可能である。例えば、行動分析に関する履歴データファイル等にも適用することができる。
【００２４】
また、ログデータ分析装置１００は、ログデータファイル２００を、分析対象ファイルとして用いるとともに、後述する分析基準生成用ファイルとしても用いる。
【００２５】
図１に戻り、ログデータ分析装置１００の機能ブロックの説明を続ける。
【００２６】
分析条件設定部１１０は、ログデータ分析装置１００がログデータファイル２００を分析するための条件である分析条件を入力して、入力した分析条件を分析条件ＤＢ１１１に記憶する。分析条件設定部１１０は、予め、ログデータ分析装置１００の利用者により指定された分析の基準となる分析条件（各種情報）を入力する。例えば、分析条件設定部１１０は、分析対象ファイルとするログデータファイル２００の期間を「分析期間１１２」として入力する。分析条件設定部１１０は、分析の対象とするログデータファイル２００の分析に必要な情報が記録されているログデータファイル２００の列位置を「情報記録列１１３」として入力する。また、分析条件設定部１１０は、「所定の時間」内に連続して発生しているログデータを関連あるログデータであるとして抽出するための「所定の時間」の時間幅を「判断時間１１４」として入力する。分析条件設定部１１０は、ログデータ分析装置１００により分析対象ファイルの各ログデータに設定されたログデータの判定値において、所定の基準値以上であれば信頼持てると判断する際の所定の基準値を「判定基準値１１５」として入力する。分析条件設定部１１０は、入力した「分析期間１１２」、「情報記録列１１３」、「判断時間１１４」、「判定基準値１１５」等を分析条件ＤＢ１１１として記憶装置に記憶する。
【００２７】
分析用グループ抽出部１２０は、分析対象ファイルの分析のために利用する分析基準情報ＤＢの生成に用いる分析基準生成用ファイルから、連続するログデータからなるグループであって、ログ発生時刻の最も早い先頭のログデータのログ発生時刻とログ発生時刻の最も遅い末尾のログデータのログ発生時刻との差が所定の時間内であるグループを分析用グループとして複数抽出する。すなわち、分析用グループ抽出部１２０は、分析基準用ファイルから、判断時間１１４内に発生した連続するログデータのグループを分析用グループとして抽出する。分析用グループ抽出部１２０は、抽出した分析用グループを分析用グループ記憶部１２１に記憶する。すなわち、分析用グループ記憶部１２１には、分析用グループ抽出部１２０により抽出された複数の分析用グループが記憶される。
【００２８】
分析基準情報記録部１３１は、連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記憶装置に記録する。例えば、分析基準情報記録部１３１は、後述する分析基準情報生成部１３０により生成された分析基準情報を分析基準情報ＤＢ１３２として記憶装置に記録する。
【００２９】
分析基準情報生成部１３０は、分析用グループ抽出部１２０により抽出された複数の分析用グループを対象として、分析用グループに含まれる連続するログデータのログ種類の順序であるログ種類パターンが同じである分析用グループの数を処理装置によりカウントしてカウント値を生成する。分析基準情報生成部１３０は、生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値を、生成したカウント値を用いて算出し、算出した信頼値と生成したカウント値に対応する分析用グループの有するログ種類パターンとを対応付けた分析基準情報を生成する。例えば、分析基準情報生成部１３０は、生成したカウント値を、前記生成したカウント値に対応する分析用グループの信頼値として設定して分析基準情報を生成する。
【００３０】
本実施の形態では、分析基準情報生成部１３０が分析基準情報の生成の基としている分析用グループを抽出する分析基準生成用ファイルとして、分析対象ファイルとして指定されたファイルを用いている。すなわち、分析対象ファイルと分析基準生成用ファイルは同一のファイルである。しかし、分析基準生成用ファイルは、分析対象ファイルと同一のファイルでもよいし、分析対象ファイルの少なくとも一部のファイルでもよい。あるいは、分析基準生成用ファイルは、分析対象ファイルと同一の種類のファイル（例えば端末操作ログのファイル）でもよいし、他の種類の履歴データを蓄積したファイルでもよい。あるいは、ログデータファイル２００の過去の期間のログデータから、異常のなかった期間を選択して、分析基準生成用ファイルとして利用してもよい。
【００３１】
分析部１４０は、分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、分析基準情報記録部１３１により記録された分析基準情報ＤＢ１３２に含まれるログ種類パターンの中から処理装置により取得する。分析部１４０は、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する。このような分析部１４０の機能により、分析対象ファイルの各ログデータには、各ログデータが異常か否かを判定するための判定値がそれぞれ設定される。分析部１４０は、判定値設定部の一例である。例えば、分析部１４０は、取得したログ種類パターンに対応する信頼値を合算した値を、判定値として対応するログデータに設定する。
【００３２】
異常検出部１５０は、分析部１４０により設定された判定値に基づいて、分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを検出する。異常検出部１５０は、例えば、分析条件ＤＢ１１１から判定基準値１１５を取得して、分析対象ファイルに蓄積された複数のログデータの中から、判定基準値１１５（所定の基準値）以下の判定値が設定されているログデータを異常なログデータとして検出する。
【００３３】
図３は、実施の形態１に係るログデータ分析装置１００の外観の一例を示す図である。図３において、ログデータ分析装置１００は、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示装置９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。システムユニット９１０は、コンピュータであり、ファクシミリ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク９４２（ＬＡＮ）、ゲートウェイ９４１を介してインターネット９４０に接続されている。
【００３４】
図４は、実施の形態１に係るログデータ分析装置１００のハードウェア資源の一例を示す図である。図４において、ログデータ分析装置１００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
【００３５】
ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
【００３６】
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
【００３７】
通信ボード９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４、表示装置９０１などは、入力部、入力装置の一例である。また、入力装置としてタッチパネル等を備えていてもよい。また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。
【００３８】
通信ボード９１５は、電話回線網を介してファクシミリ機９３２、電話器９３１（携帯電話を含む）に接続されている。また、通信ボード９１５は、ＬＡＮ９４２等に接続されている。通信ボード９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。インターネット９４０或いはＩＳＤＮ等のＷＡＮに接続されている場合、ゲートウェイ９４１は不用となる。
【００３９】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
【００４０】
上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」、「〜手段」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明する情報やデータや信号値や変数値やパラメータが、「〜ファイル」、「〜データベース」、「〜データ」の各項目として記憶されている。「〜ファイル」、「〜データベース」、「〜データ」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００４１】
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【００４２】
また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。
【００４３】
次に、本実施の形態に係るログデータ分析装置１００のログデータ分析方法及びログデータ分析プログラムのログデータ分析処理について説明する。
【００４４】
図５は、実施の形態１に係る分析条件設定処理の流れを示すフロー図である。
【００４５】
まず、Ｓ１０１において、分析条件設定部１１０は、ログデータファイル２００のうち分析対象とする分析期間１１２を入力装置により入力する。分析期間１１２は、分析対象とする期間として、ログデータ２００ｘの発生日時の期間を指定する。例えば、分析期間１１２として、「２００９／０８／０１／１２：００：００から２００９／０８／０１／１３：００：００まで」のように利用者により指定される。分析条件設定部１１０は、入力した分析期間１１２を分析条件ＤＢ１１１に記録する。
【００４６】
次に、Ｓ１０２〜Ｓ１０４において、分析条件設定部１１０は、ログデータファイル２００の有する情報（項目）のうち、分析に用いる情報（項目）を入力装置により入力する。例えば、利用者は、ログデータファイル２００の有する情報（項目）のうちの分析に用いる情報（項目）を、ログデータファイル２００の列を入力することによって指定する。
【００４７】
Ｓ１０２において、分析条件設定部１１０は、分析に用いる「ログ発生日時」の情報として、「ログ発生日時」項目を指定する。例えば、分析条件設定部１１０は、「ログ発生日時」の情報として、ログデータファイル２００の列「Ａ列」（図２参照）を入力する。
【００４８】
Ｓ１０３において、分析条件設定部１１０は、分析に用いる「ログ種類」の情報として、「ログソース」項目を指定する。例えば、分析条件設定部１１０は、「ログ種類」の情報として、ログデータファイル２００の列「Ｂ列」（図２参照）を入力する。
【００４９】
Ｓ１０４において、分析条件設定部１１０は、分析に用いる「ログ種類」の情報として、「ログ操作種類」項目を指定する。例えば、分析条件設定部１１０は、「ログ種類」の情報として、ログデータファイル２００の列「Ｃ列」（図２参照）を入力する。
【００５０】
分析条件設定部１１０は、Ｓ１０２からＳ１０４において入力したログデータファイル２００の列を情報記録列１１３として分析条件ＤＢ１１１に記録する。これにより、ログデータ分析装置１００は、ファイルの分析の処理に用いる情報（「ログ発生日時」及び「ログ種類」）と、その情報に対応する分析対象ファイルの情報とが関連付けられる。このような処理を行うことで、「ログ発生日時」及び「ログ種類」となる情報を有するログデータファイルであれば、どのような構成を有していてもログデータ分析装置１００の分析対象ファイルとして適用することができる。あるいは、ログデータ分析装置１００は、情報記録列１１３を記録せず、予め定義された「ログ発生日時」及び「ログ種類」とを有するログデータファイルのみを分析対象ファイルとして適用するとしてもよい。
【００５１】
Ｓ１０５において、分析条件設定部１１０は、所定の時間内に連続して発生しているログデータを関連ある複数のログデータのグループ（関連ログ）であると判別するための時間幅を、「判断時間１１４」をして入力装置より入力する。利用者は、例えば、「判断時間１１４」として、「１５秒」、「３０秒」、「１分」等の時間幅を指定する。分析条件設定部１１０は、指定された「判断時間１１４」を分析条件ＤＢ１１１に記録する。
【００５２】
Ｓ１０６において、分析条件設定部１１０は、分析の結果として導き出される各ログデータの判定値において、所定の基準値（数値）以上であれば異常ではないと判断するための「判定基準値１１５」を入力装置により入力する。分析条件設定部１１０は、入力した判定基準値１１５を分析条件ＤＢ１１１に記録する。
【００５３】
以上の処理により、分析条件設定部１１０は、分析条件ＤＢ１１１に「分析期間１１２」、「情報記録列１１３」、「判断時間１１４」、「判定基準値１１５」を設定する。ログデータ分析装置１００は、例えば、分析条件設定画面（図示なし）を表示装置に表示して、利用者に「分析期間１１２」、「情報記録列１１３」、「判断時間１１４」、「判定基準値１１５」を入力させる。
【００５４】
図６は、実施の形態１に係る分析用グループ抽出処理の流れを示すフロー図である。
【００５５】
Ｓ２０１において、分析用グループ抽出部１２０は、分析条件ＤＢ１１１から分析期間１１２を処理装置により読み出す。分析用グループ抽出部１２０は、ログデータファイル２００に蓄積された複数のログデータ２００ｘから、分析期間１１２に発生した連続するログデータを分析基準生成用ファイルとして処理装置により取得する。
【００５６】
本実施の形態では、Ｓ２０１において取得された分析基準生成用ファイルは、ログデータ分析装置１００の分析対象である分析対象ファイルでもある。すなわち、本実施の形態のログデータ分析装置１００では、分析対象ファイルと、分析基準生成用ファイルとが同じ内容のファイルである。
【００５７】
例えば、分析条件設定部１１０は、分析基準生成用ファイルを指定するための分析基準生成用ファイルの期間（分析基準生成用期間）を予め入力し、入力した分析基準生成用期間を分析条件ＤＢ１１１に記録しておく。そして、分析用グループ抽出部１２０は、分析条件ＤＢ１１１に記録された分析基準生成用期間を読み出して、読み出した分析基準生成用期間に発生したログデータを、ログデータファイル２００から取得して分析基準生成用ファイルとしてもよい。
【００５８】
Ｓ２０２において、分析用グループ抽出部１２０は、分析基準生成用ファイルの各ログデータに、各ログデータを一意に識別するための値であるログデータＩＤを設定する。
【００５９】
Ｓ２０４において、分析用グループ抽出部１２０は、分析基準生成用ファイルからログデータを取り出し処理対象ログデータとする。また、分析用グループ抽出部１２０は、分析条件ＤＢ１１１から判断時間１１４を読み出す。Ｓ２０５において、分析用グループ抽出部１２０は、処理対象ログデータのログ発生日時から判断時間１１４以内に発生した連続するログデータを、分析基準生成用ファイルから処理装置を用いて抽出する。分析用グループ記憶部１２１は、抽出した連続するログデータを分析用グループとして記憶装置に記憶する。分析用グループ記憶部１２１は、分析用グループの含む連続するログデータのログデータＩＤを分析用グループとして記憶装置に記憶してもよい。
【００６０】
分析用グループ抽出部１２０及び分析用グループ記憶部１２１は、Ｓ２０４からＳ２０５の処理を、分析基準生成用ファイルに含まれるすべてのログデータについて実行する。
【００６１】
つまり、分析用グループ抽出処理は、処理対象ログデータの発生時刻以降、かつ、分析条件ＤＢ１１１から読み込んだ判断時間１１４の幅以内に発生している連続するログデータ同士を「時間的関連性があるもの」とする分析手法である。
【００６２】
図７は、分析用グループ抽出処理の一例を図式化して示した図である。
【００６３】
図７では、分析期間１１２は「２００９／０８／０１ １２：００から２００９／０８／０１ １３：００」であり、判断時間１１４は「１５秒」である。分析基準生成用ファイルの１行目のログデータについて、１行目のログデータのログ発生日時から判断時間１１４「１５秒」以内に発生したログデータであって、１行目のログデータから連続するログデータは、ログデータＩＤ「２」、「３」、「４」のログデータである。すなわち、１行目のログデータに対する分析用グループ１２１１は、１行目から４行目までのログデータとなる。また、分析基準生成用ファイルの２行目のログデータについて、２行目のログデータのログ発生日時から判断時間１１４「１５秒」以内に発生したログデータであって、１行目のログデータから連続するログデータは、ログデータＩＤ「３」、「４」のログデータである。すなわち、２行目のログデータに対する分析用グループ１２１２は、２行目から４行目までのログデータとなる。
【００６４】
図８は、実施の形態１に係る分析基準情報生成処理の流れを示すフロー図である。
【００６５】
Ｓ３０２において、分析基準情報生成部１３０は、分析用グループ抽出処理において抽出された複数の分析用グループ（分析用グループ記憶部１２１）の中から、処理対象の分析用グループ（以下、処理対象分析用グループとする）を取り出す。
【００６６】
Ｓ３０３において、分析基準情報生成部１３０は、分析用グループ記憶部１２１の中から、処理対象分析用グループに含まれる連続するログデータのログ種類（ログソース及びログ操作種類）の順序であるログ種類パターンが同じである分析用グループがあるか否かを処理装置により判断する。分析基準情報生成部１３０は、処理対象分析用グループと同じログ種類パターン（以下、処理対象ログ種類パターンとする）があると判断した場合には、Ｓ３０４へ進む。分析基準情報生成部１３０は、処理対象ログ種類パターンがないと判断した場合には、Ｓ３０２へ戻る。
【００６７】
また、分析基準情報生成部１３０は、Ｓ３０２において取り出した処理対象分析用グループの処理対象ログ種類パターンが、既に処理対象となったことのあるログ種類パターンと同一である場合には、次の処理対象分析用グループを取り出すとしてもよい。
【００６８】
Ｓ３０４において、分析基準情報生成部１３０は、処理対象ログ種類パターンと同一のログ種類パターンの分析用グループを、分析用グループ記憶部１２１に記憶されている複数の分析用グループを対象として処理装置によりカウントする。分析基準情報生成部１３０は、カウントした値を処理対象カウント値とし、処理対象分析用グループのログ種類パターン（処理対象ログ種類パターン）と対応付けて処理装置により一時記憶する。
【００６９】
Ｓ３０５において、分析基準情報記録部１３１は、処理対象ログ種類パターンの信頼値として、Ｓ３０４にて一時記憶された処理対象ログ種類パターンの処理対象カウント値を設定して、処理対象ログ種類パターンと信頼値とを対応付けて分析基準情報ＤＢ１３２に処理装置により記憶する。
【００７０】
分析基準情報生成部１３０及び分析基準情報記録部１３１は、分析用グループ記憶部１２１の中に処理対象としていない分析用グループが存在する間、Ｓ３０２からＳ３０５の処理を繰り返す。
【００７１】
図９は、分析基準情報生成処理により生成される分析基準情報ＤＢの構成を示す図である。
【００７２】
図９に示すように、１行目のログに対する分析用グループ１２１１のログ種類パターン１３１１は、“「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」”である。例えば、このログ種類パターン１３１１を、処理対象分析用グループに含まれる連続するログデータのログ種類（ログソース及びログ操作種類）の順序であるログ種類パターンとする。ｎ行目のログに対する分析用グループ１２１ｎのログ種類パターン１３１ｎは、“「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」”である。例えば、このログ種類パターン１３１ｎを、ログ種類パターンが同じである分析用グループのログ種類パターンであるとする。そうすると、分析基準情報生成部１３０は、ログ種類パターン１３１１とログ種類パターン１３１ｎとが同一であると判断してカウントする。
【００７３】
分析基準情報生成部１３０は、ログ種類パターン１３１１と同一のログ種類パターンのカウントが終了し、ログ種類パターン１３１１のカウント値は「３１」であるとする。分析基準情報記録部１３１は、分析基準情報ＤＢ１３２に、ログ種類パターン１３１１を設定し、対応するカウント値「３１」をログ種類パターン１３１１に対応付けて設定する。さらに、分析基準情報記録部１３１は、ログ種類パターン１３１１を一意に識別するパターンＩＤ「Ｐ１」を設定する。
【００７４】
ここでは、例えば、ログ種類パターン１３１１をカウントしたカウント値「３１」を、そのままログ種類パターン１３１１の信頼値「３１」としている。つまり、ログ種類パターン１３１１の信頼値「３１」とは、分析用グループ記憶部１２１の中に、ログ種類パターン１３１１を有する分析用グループが３１個あることを意味している。カウント値は、数が多ければ多い程、対象のログ種類パターンが通常多く行われる操作のパターンであることを意味する。反対に、カウント値の数が少なければ、対象のログ種類パターンは、通常行われない操作のパターンであると考えられ、異常な操作の可能性が高いことを意味する。したがって、カウント値を信頼値とすることは、対象のログ種類パターンの信頼の度合いを意味する数値として適している。
【００７５】
その他、カウント値を用いて信頼値を算出する方法としては、例えば、通常のログ種類パターン（操作パターン）の始まりとして信頼度が高いと考えられる「起動」が対象のログ種類パターンの先頭にある場合には、カウント値に所定の重み付けをした値を信頼値にする等の方法を適用してもよい。
【００７６】
本実施の形態の分析基準情報生成処理では、処理対象分析用グループのログ種類パターンと同一のログ種類パターンを有する分析用グループをカウントして分析基準情報ＤＢ１３２を生成した。あるいは、例えば、次のような条件でカウントすることにより分析基準情報ＤＢ１３２を生成してもよい。
【００７７】
例えば、図８のＳ３０２において、分析基準情報生成部１３０は、分析用グループ記憶部１２１から分析用グループ（端末操作ログパターン）を順次１グループずつとして取込む。この１グループを処理対象分析用グループとする。そして、分析基準情報生成部１３０は、処理対象分析用グループのログ種類パターンが次の条件と一致するログ種類パターンを検出する。まず、分析基準情報生成部１３０は、処理対象分析用グループの１行目に記録されたログソース及びログ操作種類が同一な分析用グループ（操作パターン）を「情報類似性があるもの」とし、この条件に一致するものを分析用グループ記憶部１２１から抽出する。次に、分析基準情報生成部１３０は、処理対象分析用グループのログ種類パターンに記録されたログ種類を上から順に確認し、そのログ種類の順番と同一の組み合わせが、比較の対象とする分析用グループ群（すなわち、分析用グループ記憶部１２１内の処理対象分析用グループ以外の分析用グループ）のログ種類パターンにも存在するものを「順序関係性があるもの」として、存在する分析用グループを抽出する。このような処理によって、例えば、Ａというケースのログデータと、Ｂ、Ｃというログデータが順に組み合わさっているログ種類パターンを検出した場合、そのログ種類パターンを基準ログ種類パターンとして記録すると共に、基準ログ種類パターンの検出件数を「カウント値（パターン信頼値）」として数値で記録する。以上の処理を分析用グループ記憶部１２１内の全分析用グループに対して行なう。
【００７８】
図１０は、実施の形態１に係る分析処理の流れを示すフロー図である。分析処理は、判定値設定処理の一例である。
【００７９】
Ｓ４０２において、分析部１４０は、分析対象ファイルから処理対象ログデータを１行（１レコード）取り出す。
【００８０】
Ｓ４０３において、分析部１４０は、分析基準情報ＤＢ１３２に含まれるログ種類パターンのうち、処理対象ログデータのログ種類（ログソース及びログ操作種類）と同一のログ種類がログ種類パターンの１行目（先頭）に設定されているログ種類パターンがあるか否かを処理装置により判断する。分析部１４０は、処理対象ログデータのログ種類（ログソース及びログ操作種類）が先頭に設定されているログ種類パターンがあると判断した場合には（Ｓ４０３でＹＥＳ）、Ｓ４０４へ進む。分析部１４０は、処理対象ログデータのログ種類（ログソース及びログ操作種類）が先頭に設定されているログ種類パターンがないと判断した場合には（Ｓ４０３でＮＯ）、Ｓ４０２へ戻る。
【００８１】
Ｓ４０４において、分析部１４０は、処理対象ログデータを先頭として、連続する複数のログデータであって、処理対象ログデータのログ発生日時から判断時間１１４以内に発生したログデータを処理対象グループとして処理対象ファイルから処理装置により抽出する。分析部１４０は、抽出した処理対象グループのログ種類の順序パターンであるログ種類パターンを含むログ種類パターンが、分析基準情報ＤＢ１３２にあるか否かを処理装置により判断する。分析部１４０は、処理対象グループのログ種類パターンを含むログパターンがあると判断した場合には（Ｓ４０４にてＹＥＳ）、Ｓ４０５へ進む。分析部１４０は、処理対象グループのログ種類パターンを含むログ種類パターンがないと判断した場合には（Ｓ４０４にてＮＯ）、Ｓ４０２へ戻る。
【００８２】
Ｓ４０５において、分析部１４０は、分析基準情報ＤＢ１３２から、処理対象グループのログ種類パターンを含むログ種類パターン（ログパターンＩＤ）を処理装置により抽出する。分析部１４０は、抽出した処理対象グループのログ種類パターンを含むログ種類パターンが複数ある場合には、抽出した複数のログ種類パターンに対応する複数の信頼値を処理装置により合算して判定値とする。分析部１４０は、算出した判定値を処理対象グループの先頭のログデータ、すなわち処理対象ログデータの判定値として、処理対象ログデータに設定する。
【００８３】
分析部１４０は、分析対象ファイルに分析していないログデータが存在する間、すなわち判定値が設定されていないログデータ存在する間、Ｓ４０２からＳ４０５の処理を繰り返す。
【００８４】
図１１は、分析処理（判定値設定処理）を図式化した図である。図１１を用いて、分析処理の具体例について説明する。
【００８５】
図１１において、分析対象ファイルの１行目のログデータを処理対象ログデータとする場合の、分析処理について説明する。まず、分析処理では、１行目のログデータを先頭として、判断時間１１４「１５秒」以内に発生した連続するログデータを処理対象グループとする。
【００８６】
処理対象グループのログ種類パターン（処理対象ログパターンとする）は、「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」である。分析基準情報ＤＢ１３２から、処理対象ログ種類パターンを含むログ種類パターンの情報（ログパターンＩＤ）を抽出し、以下の２つの情報が抽出されたとする。抽出された２つの情報は、「パターンＩＤ「Ｐ１」、ログ種類パターン：「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」、信頼値：「３１」」の情報と、「パターンＩＤ「Ｐ１０」、ログ種類パターン：「Ｉｍａｇｅ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／印刷」「Ｄｅｍｏ．ｅｘｅ／起動」「Ｉｍａｇｅ．ｅｘｅ／書出し」「Ｄｅｍｏ．ｅｘｅ／終了」、信頼値：「１０」」の情報である。
【００８７】
分析部１４０は、抽出した２つのログ種類パターン（パターンＩＤ「Ｐ１」と「Ｐ１０」）に設定されている信頼値「３１」と「１１」とを合算して「４２」とし、合算した値を処理対象グループの先頭のログデータ、すなわち処理対象ログデータの判定値として処理対象ログデータに設定する。このように、１行目のログデータの判定値は、「４２」と設定される。
【００８８】
以上の処理を処理対象ファイルの各ログデータについて実行することにより、処理対象ファイルの各ログデータについて判定値がそれぞれ設定される。
【００８９】
以上の分析処理（判定値設定処理）を換言して、以下に説明する。
Ｓ４０２において、分析部１４０は、分析対象ファイルのログデータを順次１行ずつとして取込み（この１行を以下処理対象ログデータとする）、分析基準情報ＤＢ１３２に記録されているログ種類パターン（以下、基準ログ種類パターン）と比較を行なう。比較方法は以下の２つ（２段階）ある。（１）処理対象ログデータに書かれたログソース及びログ操作種類の情報が、比較を行なう基準ログ種類パターンの１行目におけるログソース・種類と一致するものを、同一ログソース・種類から発生しているものである「情報元に一致があるもの」とする比較、（２）比較を行なう処理対象ログデータの行以降に発生しているログデータが、基準ログ種類パターンで組み合わされているログデータのパターンと同じ順番で「判断時間１１４」内に発生しているものを「順序に関連性があるもの」とする比較。（１）及び（２）の比較の結果、処理対象ログデータの行に関連して一致する基準ログ種類パターンが検出された場合には、その行に対して検出された基準ログ種類パターンの信頼値を設定する。以上の処理を分析対象ファイルのログデータ全行に対して行なう。
【００９０】
図１２は、実施の形態１における異常検出処理の流れを示すフロー図である。
【００９１】
Ｓ５０１において、異常検出部１５０は、分析対象ファイルの各ログデータに設定された各判定値と、分析条件ＤＢ１１１に記録されている判定基準値１１５とを処理装置によりそれぞれ比較する。異常検出部１５０は、比較した結果、判定基準値１１５以下の判定値が設定されているログデータを、異常なログデータとして分析対象ファイルから検出する。異常検出部１５０は、例えば、異常なログデータとして検出されたログデータに異常フラグを設定する。
【００９２】
Ｓ５０２において、異常検出部１５０は、分析結果を表示装置に表示する。異常検出部１５０は、例えば、分析対象ファイルのログデータのうち、異常フラグが設定されているログデータに、警告マークを付して表示装置に表示する。
【００９３】
図１３は、異常検出処理により表示された分析対象ファイル分析結果の一例を示す図である。図１３に示すように、異常検出部１５０は、分析対象ファイルの各ログデータに各判定値を設定したものを、「分析対象ファイル分析結果」として表示装置に表示する。さらに、異常検出部１５０は、例えば、異常フラグが設定されているログデータが正常なログデータと区別されるように表示する。異常検出部１５０は、例えば、異常なログデータのセルの色やセルのパターンを変えたり、異常なログデータを丸や四角で囲んだりして、正常なログデータと区別できるように表示する。また、異常検出部１５０は、事前に設定されている判定基準値１１５を分析対象ファイル分析結果とともに表示してもよい。
【００９４】
図１３では、異常なログデータを楕円で囲んで区別するとともに、分析対象ファイル分析結果の下部に判定基準値１１５を表示する例を示している。
【００９５】
例えば、ログデータＩＤ「７」のログデータは、判定値が「１」であり、基準判定値「５」に満たない。このようなログデータは、この後の操作を考慮すると、信頼の持てない操作（ここでは、メールの内容が持ち出された可能性のあるケース）の始まりであると考えられ異常なログデータとして検出される。
【００９６】
例えば、ログデータＩＤ「１」のログデータは、判定値が「４２」であり、基準判定値「５」を十分に満たす。このようなログデータは、この後の操作を考慮すると、信頼の持てる操作の始まりであると考えられ異常なログデータとして検出されない。例えば、文章編集ソフトを起動し、「印刷」「ファイル保存」を行ったケース（Ｋ１１）である。あるいは、ログデータＩＤ「２」のログデータは、判定値が「３１」であり、基準判定値「５」を十分に満たす。このようなログデータも、この後の操作を考慮すると、信頼の持てる操作の始まりであると考えられ異常なログデータとして検出されない。例えば、メールソフトを起動し、「メール送受信」を行ったケース（Ｋ１２）である。
【００９７】
以上の異常検出処理を換言して、以下に説明する。
異常検出部１５０は、分析対象ファイルの各ログデータ（各行）に記録された判定値と判定基準値１１５とを比較し、判定基準値１１５を満たさない判定値の行を、信頼のもてない異常な操作が行なわれている可能性がある箇所と判断し、判定基準値１１５を満たしている行を信頼が十分な信頼の持てる操作が行なわれている箇所であると判断する。その結果、表示装置に判定基準値１１５を満たさなかったログデータを示すことでログデータ分析装置１００の分析結果とする。
【００９８】
本実施の形態では、以下のようなログデータ分析装置１００について説明した。
実施の形態１に係るログデータ分析装置１００は、（１）分析対象ファイルの分析の基準となる各種情報を操作者が予め指定するための部分（分析条件設定部１１０）と、（２）分析の基準とされた分析基準生成用ファイルのログデータの傾向パターンを解析する部分（分析用グループ抽出部１２０）と、（３）ログデータの傾向パターン同士を照らし合わせてパターン自体の信頼性を算出する部分（分析基準情報生成部１３０、分析基準情報記録部１３１）と、（４）ログの傾向パターンと、任意のログを比較してログの差異を検出する部分（分析部１４０）と、（５）及び（４）の結果導き出される異常な操作が行なわれている可能性のあるログを画面に表示する部分（異常検出部１５０）とを備えることを特徴とする。
【００９９】
実施の形態１に係るログデータ分析装置１００のログデータ分析方法は、分析用グループ抽出部１２０が、分析対象ファイルの端末操作ログにて任意の操作ログが発生後、事前に操作者により指定された「判断時間」の間に発生した複数の操作ログを一つのログの組合せであるパターンとし、分析用グループとして抽出する。分析基準情報生成部１３０（及び分析基準情報記録部１３１）が、分析用グループ抽出部１２０で抽出したパターン（分析用グループ）を互いに比較し、組合せ中に記録された操作ログが記録されている順番が同一のものを検出し、同一のものが検出された場合にはその検出回数を該当パターンの「信頼値」として記録する。分析部１４０では、端末操作ログと端末操作パターンを比較し、パターンが一致した場合にはそのパターンに設定された「信頼値」をパターンと一致した端末操作ログの行に判定値として設定する。異常検出部１５０では、端末操作ログに記録された「判定値」と事前に操作者により指定された「判定基準値」とを比較して判定基準値より小さいものを信頼の持てない操作ログと判断し、一方大きいものを信頼の持てる操作ログと判断する。
【０１００】
本実施の形態に係るログデータ分析装置１００によれば、ログデータのログ種類パターンを解析するパターン解析部（分析用グループ抽出部、分析基準情報生成部）と、解析結果のログ種類パターンと分析対象ファイルのログデータのログ種類パターンとをする比較して分析対象ファイルを分析する分析部とを有することで、複数のログデータの中にあるログ種類パターンとのずれを発見可能とすることができる。
【０１０１】
本実施の形態に係るログデータ分析装置１００によれば、問題が発生している可能性のあるログデータの箇所をピンポイントで押さえることが可能となる。このため、本実施の形態に係るログデータ分析装置１００によれば、担当者がログデータを目視で確認する時間を抑えるとともに、担当者の技術に関わらずぶれの無い分析結果を導き出すことが可能となる。
【符号の説明】
【０１０２】
１００ ログデータ分析装置、１１０ 分析条件設定部、１１１ 分析条件ＤＢ、１１２ 分析期間、１１３ 情報記録列、１１４ 判断時間、１１５ 判定基準値、１２０ 分析用グループ抽出部、１２１ 分析用グループ記憶部、１３０ 分析基準情報生成部、１３１ 分析基準情報記録部、１３２ 分析基準情報ＤＢ、１４０ 分析部、１５０ 異常検出部、２００ ログデータファイル、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ装置、９０７ スキャナ装置、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９３１ 電話器、９３２ ファクシミリ機、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ、５００１，５００２，５００３ システム、１２１１，１２１ｎ 分析用グループ、１３１１，１３１ｎ ログ種類パターン。
【特許請求の範囲】
【請求項１】
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析対象ファイルを分析するログデータ分析装置において、
連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録部と、
前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録部により記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定部と、
前記判定値設定部により設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出部とを備えることを特徴とするログデータ分析装置。
【請求項２】
前記ログデータ分析装置は、さらに、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析基準生成用ファイルから、連続するログデータであって、所定の期間内に発生した複数のログデータからなるグループを分析用グループとして処理装置により複数抽出する分析用グループ抽出部と、
前記分析用グループ抽出部により抽出された複数の分析用グループを対象として、分析用グループに含まれる連続するログデータのログ種類の順序であるログ種類パターンが同じである分析用グループの数を処理装置によりカウントしてカウント値を生成し、生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値を、生成したカウント値を用いて処理装置により算出し、算出した信頼値と生成したカウント値に対応する分析用グループの有するログ種類パターンとを対応付けた前記分析基準情報を生成する分析基準情報生成部とを備える
ことを特徴とする請求項１に記載のログデータ分析装置。
【請求項３】
前記分析基準情報生成部は、
前記生成したカウント値を、前記生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値として設定することを特徴とする請求項２に記載のログデータ分析装置。
【請求項４】
前記判定値設定部は、
前記取得したログ種類パターンに対応する信頼値を合算した値を、前記判定値として設定することを特徴とする請求項２または３に記載のログデータ分析装置。
【請求項５】
前記分析用グループ抽出部は、
前記分析対象ファイルの少なくとも一部を、前記分析基準生成用ファイルとすることを特徴とする請求項２から４のいずれかに記載のログデータ分析装置。
【請求項６】
前記異常検出部は、
前記分析対象ファイルに蓄積された複数のログデータの中から、所定の基準値以下の判定値が設定されているログデータを前記異常なログデータとして検出する
ことを特徴とする請求項１から５のいずれかに記載のログデータ分析装置。
【請求項７】
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析対象ファイルを分析するログデータ分析装置のログデータ分析方法において、
分析基準情報記録部が、連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録ステップと、
判定値設定部が、前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録ステップにより記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定ステップと、
異常検出部が、前記判定値設定ステップにより設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出ステップと
を備えることを特徴とするログデータ分析装置のログデータ分析方法。
【請求項８】
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている構成を有する分析対象ファイルを分析する処理をコンピュータであるログデータ分析装置に実行させるログデータ分析プログラムにおいて、
連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録処理と、
前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録処理により記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定処理と、
前記判定値設定処理により設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出処理とを、前記コンピュータであるログデータ分析装置に実行させることを特徴とするログデータ分析プログラム。
【請求項１】
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析対象ファイルを分析するログデータ分析装置において、
連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録部と、
前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録部により記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定部と、
前記判定値設定部により設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出部とを備えることを特徴とするログデータ分析装置。
【請求項２】
前記ログデータ分析装置は、さらに、
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析基準生成用ファイルから、連続するログデータであって、所定の期間内に発生した複数のログデータからなるグループを分析用グループとして処理装置により複数抽出する分析用グループ抽出部と、
前記分析用グループ抽出部により抽出された複数の分析用グループを対象として、分析用グループに含まれる連続するログデータのログ種類の順序であるログ種類パターンが同じである分析用グループの数を処理装置によりカウントしてカウント値を生成し、生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値を、生成したカウント値を用いて処理装置により算出し、算出した信頼値と生成したカウント値に対応する分析用グループの有するログ種類パターンとを対応付けた前記分析基準情報を生成する分析基準情報生成部とを備える
ことを特徴とする請求項１に記載のログデータ分析装置。
【請求項３】
前記分析基準情報生成部は、
前記生成したカウント値を、前記生成したカウント値に対応する分析用グループの有するログ種類パターンの信頼値として設定することを特徴とする請求項２に記載のログデータ分析装置。
【請求項４】
前記判定値設定部は、
前記取得したログ種類パターンに対応する信頼値を合算した値を、前記判定値として設定することを特徴とする請求項２または３に記載のログデータ分析装置。
【請求項５】
前記分析用グループ抽出部は、
前記分析対象ファイルの少なくとも一部を、前記分析基準生成用ファイルとすることを特徴とする請求項２から４のいずれかに記載のログデータ分析装置。
【請求項６】
前記異常検出部は、
前記分析対象ファイルに蓄積された複数のログデータの中から、所定の基準値以下の判定値が設定されているログデータを前記異常なログデータとして検出する
ことを特徴とする請求項１から５のいずれかに記載のログデータ分析装置。
【請求項７】
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている分析対象ファイルを分析するログデータ分析装置のログデータ分析方法において、
分析基準情報記録部が、連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録ステップと、
判定値設定部が、前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録ステップにより記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定ステップと、
異常検出部が、前記判定値設定ステップにより設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出ステップと
を備えることを特徴とするログデータ分析装置のログデータ分析方法。
【請求項８】
ログデータの発生時刻を示すログ発生時刻とログデータの種類を示すログ種類とを含むログデータがログ発生時刻順に連続して複数蓄積されている構成を有する分析対象ファイルを分析する処理をコンピュータであるログデータ分析装置に実行させるログデータ分析プログラムにおいて、
連続するログデータのログ種類の順序であるログ種類パターンと、対応するログ種類パターンの信頼値とを対応付けた分析基準情報を記録する分析基準情報記録処理と、
前記分析対象ファイルに蓄積された複数のログデータの各ログデータを先頭のログデータとする連続するログデータからなる各グループであって、先頭のログデータのログ発生時刻と末尾のログデータのログ発生時刻との差が所定の時間内である各グループである分析対象グループに含まれる連続するログデータのログ種類の順序を含むログ種類パターンを、前記分析基準情報記録処理により記録された分析基準情報に含まれるログ種類パターンの中から処理装置により取得し、取得したログ種類パターンに対応する信頼値に基づいて、ログ種類パターンが取得された分析対象グループの先頭のログデータが異常かどうかを判定する判定値を処理装置により算出し、算出した判定値をログ種類パターンが取得された分析対象グループの先頭のログデータに設定する判定値設定処理と、
前記判定値設定処理により設定された判定値に基づいて、前記分析対象ファイルに蓄積された複数のログデータの中から、異常なログデータを処理装置により検出する異常検出処理とを、前記コンピュータであるログデータ分析装置に実行させることを特徴とするログデータ分析プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１１−６５４４０（Ｐ２０１１−６５４４０Ａ）
【公開日】平成２３年３月３１日（２０１１．３．３１）
【国際特許分類】
【出願番号】特願２００９−２１５７６５（Ｐ２００９−２１５７６５）
【出願日】平成２１年９月１７日（２００９．９．１７）
【出願人】（５０１１５８５３８）三菱電機インフォメーションテクノロジー株式会社 (28)
【Ｆターム（参考）】
【公開日】平成２３年３月３１日（２０１１．３．３１）
【国際特許分類】
【出願日】平成２１年９月１７日（２００９．９．１７）
【出願人】（５０１１５８５３８）三菱電機インフォメーションテクノロジー株式会社 (28)
【Ｆターム（参考）】
[ Back to top ]