JPH10293704A - ログデータの収集と管理をする情報処理装置 - Google Patents

Abstract

(57)【要約】 【課題】 マネージャがネットワークを介して複数のエ
ージェントからログデータを収集するシステムにおい
て、共通的なデータ形式に基づいてログデータを管理す
る。またマネージャの時刻に基づいたログデータを管理
する。 【解決手段】 マネージャ１０は、各種ルールをエージ
ェント２０に配布する。エージェント２０は、このルー
ルに従って監視対象ログファイル群３０からログデータ
を入力し、正規化し、ログ出力時刻の補正時刻を付加し
て正規化ログファイル４０に格納する。マネージャ１０
からの要求に従ってエージェント２０は、正規化ログフ
ァイル４０から正規化ログデータを取り出してマネージ
ャ１０へ転送する。マネージャ１０は、収集した正規化
ログデータを補正時刻の順に正規化ログデータベース５
０に格納する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、マネージャがネッ
トワークを介してエージェントからログデータを収集す
るシステムに係わり、特にマネージャがシステム内に存
在するログデータを共通的なログデータ形式に基づいて
管理するログデータの収集と管理の方式に関する。

【０００２】

【従来の技術】情報処理装置で実行されるオペレーティ
ングシステム（ＯＳ）やアプリケーションプログラム
は、各種のログ情報を出力する。出力されたログ情報を
収集するいくつかの方式が知られている。例えば特開平
５−２５０２２９号公報は、複数のコンピュータからの
ログデータ収集において、ログデータ中のエラーコード
を検出することにより、エラー状態のコンピュータから
のログデータを優先的に送信するログデータ収集方式を
開示する。また特開平５−２８００８号公報は、情報処
理システムが障害ログを収集するとき貯蔵手段に貯えら
れたログ情報の個数が一定数に達したことを検出し、ロ
グ登録の抑止を行うことにより重要な障害情報の消失を
防ぐログ情報収集方式を開示する。また特開平５−１１
１０２９号公報は、下位の設備端末からのデータが採取
された時刻をデータに付与して上位の制御装置に送るこ
とにより、複数の端末からの各データの時系列的な関係
が損なわれることがないようにするデータ収集方式を開
示する。

【０００３】

【発明が解決しようとする課題】ネットワークを介して
複数のコンピュータが接続され、コンピュータが他のコ
ンピュータと通信しながら処理を進める分散処理システ
ムにおいて、一人のユーザは複数の広範囲に亘るコンピ
ュータやファイルにアクセスし得る。従ってログデータ
を解析することによってコンピュータやファイルへの不
正なアクセスを検出するためには、個々のコンピュータ
が出力するログデータを中央のコンピュータに集約し、
データベースに蓄積する必要がある。しかしながら各種
のシステムプログラムやアプリケーションプログラムが
出力するログデータは、各々そのデータ形式が異なって
いるので、単に個々のコンピュータプログラムが出力す
るログデータを収集して集約するだけではログデータの
解析が困難である。また個々のコンピュータが保有する
時刻がすべてのコンピュータに亘って一致しているとは
限らないので、一般に個々のログデータに付与されてい
る時刻にはずれが生じており、集約されたログデータを
正しい時刻の順序に従って配列することが困難である。

【０００４】本発明は、上記の事情に鑑みてなされたも
のであり、その目的とするところは、共通的なデータ形
式に正規化されたログデータを管理することにある。

【０００５】本発明の他の目的は、各サイトのコンピュ
ータからログデータを収集する中央のコンピュータの時
刻を基準とするログデータを管理することにある。

【０００６】

【課題を解決するための手段】上記目的を達成するた
め、本発明は、監視の対象とするログファイル中のログ
データからあらかじめ定義されたデータ項目に対応する
値を切り出して規定されたデータ項目の値を配列する正
規化されたログデータを作成して蓄積する手段と、蓄積
された正規化ログデータをネットワークを介してマネー
ジャの機能を実行するコンピュータへ送信する手段とを
エージェントの処理手段として有するログデータの収集
をするコンピュータを特徴とする。

【０００７】また本発明は、ネットワークを介してエー
ジェントの機能を実行するコンピュータからあらかじめ
定義された共通のデータ形式に従って正規化されたログ
データであってマネージャの基準とする時刻に基づいて
補正されたログ出力時刻を有する正規化ログデータを受
信する手段と、該正規化ログデータを補正時刻の順にデ
ータベースに蓄積する手段とをマネージャの処理手段と
して有するログデータの収集と管理をするコンピュータ
を特徴とする。

【０００８】

【発明の実施の形態】以下、本発明の一実施形態につい
て図面に基づいて詳細に説明する。

【０００９】図１は、本発明を適用する通信ネットワー
クの一例を示すシステム構成図である。ネットワークは
複数のＬＡＮ１，３，４及びＷＡＮ（ワイド・エリア・
ネットワーク）２に結合されるものである。マネージャ
１０は、計算機の主記憶装置に格納され、ＯＳの下で走
行するアプリケーションプログラム（ＡＰ）である。エ
ージェント２０は、サーバ等の計算機の主記憶装置に格
納され、ＯＳの下で走行するＡＰである。マネージャ１
０は、ＬＡＮ１，３，４又はＷＡＮ２を介してエージェ
ント２０−１，２０−２，２０−３，２０−４と通信す
ることが可能である。図に示すように、エージェント２
０を実行する計算機はエージェント２０と並行して他の
ＡＰを実行することが可能である。マネージャ１０を実
行する計算機もマネージャ１０と並行して他のＡＰを実
行することが可能であるが、充分なＣＰＵ性能と資源を
確保するためには、専用の計算機を割り当てるのが望ま
しい。６０はこのネットワークシステムを管理するネッ
トワーク管理システムであり、ネットワーク管理プログ
ラム及び図示しないネットワーク監視端末から構成され
る。ネットワーク管理システム６０は、ネットワーク資
源についての情報をマネージャ１０に提供する。

【００１０】図２は、マネージャとエージェントが行う
処理動作の概略を示す図である。マネージャ１０は、定
義された各種ルールをエージェント２０へ配布する
()。エージェント２０は、受信したルールを登録し、
そのルールに従い監視対象ログファイル群３０からログ
データを入力し()、ログデータを正規化した後、正規
化ログファイル４０に格納する()。このとき正規化ロ
グデータ中のログ出力時刻をマネージャ１０の時刻を基
準とする補正時刻によつて補正する。エージェント２０
は、マネージャ１０からログ収集要求があったとき正規
化ログファイル４０から正規化されたログデータを取り
出し()、マネージャ１０へ転送する()。マネージャ
１０は、収集した正規化ログデータを補正時刻の順に正
規化ログデータベース５０に格納する()。またマネー
ジャ１０は、必要に応じて正規化ログデータベース５０
から任意の正規化ログデータを抽出し、その解析を行
う。

【００１１】図３は、マネージャ１０の構成を示す機能
ブロック図である。ルール１１０は定義された各種ルー
ルであり、記憶装置に格納される。正規化ログデータベ
ース５０は、収集された正規化ログデータを格納するデ
ータベースであり、記憶装置に格納される。ネットワー
ク管理システム６０は、ネットワークを介してマネージ
ャ１０を格納する計算機と接続される他の計算機および
ネットワークを監視する端末装置から構成されるシステ
ムであり、マネージャ１０と同じ計算機で走行するネッ
トワーク管理プログラムは、ネットワークの構成要素で
ある各通信回線、ルータ、中継機、各種計算機、計算機
のプログラム等の動作状態（接続中／接続断，動作中／
停止状態など）、各ネットワーク構成要素の所在場所な
どを管理する。以下マネージャ１０を構成する各機能モ
ジュールの機能の概略について述べる。

【００１２】（１）ルール定義１００ 運用者が各種ルールを定義するためのプログラムツール
であり、図示しない入力装置及び表示装置を介してユー
ザが容易にルールを設定できるようなＧＵＩ（グラフィ
カル・ユーザ・インタフェース）を提供する。

【００１３】（２）スケジューラ１０１ ルール配布及びログ収集を実行する契機をそれぞれルー
ル配布１０６及びログ収集１０７に知らせるプログラム
である。契機の例として、例えば毎日午後５時、毎週土
曜日の午後３時１５分などのように実行開始を指示す
る。

【００１４】（３）プロセス管理１０２ マネージャ１０の１００〜１０９を付す各機能モジュー
ルの起動／停止を制御するプログラムである。

【００１５】（４）ログ解析１０３ データベース管理１０９を介して正規化ログデータベー
ス５０から正規化ログデータ群を抽出し、所定の解析を
行うプログラムである。以下ログ事象がログインである
場合のログデータ解析の例を表１に示す。ログ事象及び
正規化項目については後述する。

【００１６】

【表１】

【００１７】（５）構成管理１０４ 対象とするエージェント２０の一覧を管理するプログラ
ムである。またネットワーク管理システム６０に問い合
わせを行ってエージェント２０が動作する計算機の動作
有無やｐｉｎｇの応答時間等の情報を取得してルール配
布１０６又はログ収集１０７に渡す。

【００１８】（６）ルール管理１０５ ルール定義１００から定義された各種ルールを受け取っ
てルール１１０に格納する。またルール１１０からルー
ルを読み出してルール配布１０６に渡す。

【００１９】（７）ルール配布１０６ スケジューラ１０１の指示に従い、ルール管理１０５か
ら各種ルールを取得してエージェント２０ヘ配布するプ
ログラムである。

【００２０】（８）ログ収集１０７ スケジューラ１０１の指示に従い、エージェント２０か
ら正規化ログファイルを収集するプログラムである。

【００２１】（９）データ通信１０８ ルール配布１０６及びログ収集１０７がエージェント２
０と通信するときに通信制御を行うプログラムである。

【００２２】（１０）データベース管理１０９ ログ収集１０７がエージェント２０から収集した正規化
ログデータ群（正規化ログファイル）を正規化ログデー
タベース５０に格納し、ログ解析１０３からの要求によ
って正規化ログデータを検索し抽出する。また所定の保
存期間を過ぎた正規化ログデータを正規化ログデータベ
ース５０から削除し、未使用の記憶領域を生み出す。

【００２３】図４は、エージェント２０の構成を示す機
能ブロック図である。ルール２０５は配布を受けた各種
ルールであり、記憶装置に格納される。監視対象ログフ
ァイル群３０は、監視対象とするログファイルであり、
記憶装置に格納される。正規化ログファイル４０は、正
規化ログデータを格納するファイルであり、記憶装置に
格納される。以下エージェント２０を構成する各機能モ
ジュールの機能の概略について述べる。

【００２４】（１）データ通信２００ データ通信２００は、ルール管理２０３及びログファイ
ル管理２０４がマネージャ１０と通信するときに通信制
御を行うプログラムである。

【００２５】（２）プロセス管理２０１ エージェント２０の２００〜２０４を付す各機能モジュ
ールの起動／停止を制御するプログラムである。

【００２６】（３）ログ入力２０２ ルール管理２０３からログファイル監視ルールやフォー
マットルール等を取得し、監視対象ログファイル群３０
から入力したログデータを正規化した後、正規化ログデ
ータをログファイル管理２０４へ渡すプログラムであ
る。

【００２７】（４）ルール管理２０３ マネージャ１０から配布された各種ルールをルール２０
５として記憶装置に格納し、ログ入力２０２又はログフ
ァイル管理２０４の要求に応じてルールを提供するプロ
グラムである。

【００２８】（５）ログファイル管理２０４ ルール管理２０３からフィルタリングルールを取得し、
ログ入力２０２から受け取った正規化ログデータをフィ
ルタリングし、補正時刻を付加して正規化ログファイル
４０に格納する。マネージャ１０のログ収集１０７から
正規化ログファイル４０の収集要求を受信したとき、正
規化ログファイル４０をマネ―ジャ１０へ転送する。

【００２９】図５〜図１４は、正規化ログデータの構造
の一例を示す図である。

【００３０】図５は、正規化ログファイル４０に格納さ
れる正規化ログデータ３００の概略構成を示す図であ
る。正規化ログデータ３００は、共通情報クラス３０１
と必要に応じて追加されるユーザ情報クラス３０２、サ
ービス情報クラス３０３、アドレス情報クラス３０４、
ファイル情報クラス３０５、トラフィク情報クラス３０
６、個別情報クラス３０７等から構成される。共通情報
クラス３０１は、すべての正規化ログデータ３００に必
須の情報クラスであり、残りの情報クラスは出力された
ログデータに応じて選択されるものである。

【００３１】図６は、共通情報クラス３０１のデータ構
成を示す図である。正規化バージョン３１０は、正規化
のバージョンを示す番号である。ログ種別はログ事象３
１１、ログ事象結果３１２、ログ出力プログラム３１
３、データ格納クラス３１４及びログファイル名３１５
を含む。ログ出力プログラム３１３はログを出力したＯ
Ｓ又はＡＰの名称であり、ログファイル名３１５はログ
出力プログラム３１３が出力したログファイルの名称で
ある。ログ事象３１１、ログ事象結果３１２及びデータ
格納クラス３１４については後述する。マネージャは、
マネージャを搭載する計算機のホスト名３１６とホスト
ＩＰアドレス３１７を格納する。エージェントは、ログ
を入力したエージェントを搭載する計算機のホスト名３
１８とホストＩＰアドレス３１９を格納する。監視対象
は、監視対象とするサーバ等の計算機のホスト名３２０
とホストＩＰアドレス３２１を格納する。時刻はログ出
力時刻３２２と補正時刻３２３から成る。ログ出力時刻
３２２はログを出力した計算機の局所的な時刻であり、
補正時刻３２３はマネージャ１０を搭載する計算機の時
刻に基づいて補正した時刻である。フィルタリングルー
ル名３２４は、ログデータを正規化するときに適用した
フィルタリングルールの名称である。

【００３２】図７は、ユーザ情報クラス３０２のデータ
構成を示す図である。ユーザ情報クラス３０２は、ログ
インしたユーザに関する情報を記録するものであり、ユ
ーザ名３３０、ユーザＩＤ（ＵＩＤ）３３１、ユーザ変
更した後のユーザ名３３２、変更後のＵＩＤ３３３、ユ
ーザのセキュリティレベル３３４、計算機やファイルへ
のアクセス権３３５、アクセスした結果３３６及びユー
ザが操作した端末装置の名称（端末名３３７）を格納す
る。

【００３３】図８は、サービス情報クラス３０３のデー
タ構成を示す図である。サービス情報クラス３０３は、
ユーザに提供したサービスについての情報を記録する。
サービスは、サービス名３４０、サービスバージョン３
４１、サービス提供のために起動したプロセスの名称
（プロセス名３４２）及びプロセスＩＤ３４３を格納す
る。

【００３４】図９は、アドレス情報クラス３０４のデー
タ構成を示す図である。アドレス情報クラス３０４は、
他計算機とコネクションを行ったときの情報を記録する
ものであり、接続元及び接続先のホスト名、ＩＰアドレ
ス、ＭＡＣアドレス、ポート番号の他にコネクション状
態、コネクションの開始時刻と終了時刻及び他計算機へ
のアクセス結果を格納する。

【００３５】図１０は、ファイル情報クラス３０５のデ
ータ構成を示す図である。ファイル情報クラス３０５
は、ユーザが作成又は変更したファイルについてファイ
ル名、変更前のアクセス情報及び変更後のアクセス情報
を記録する。アクセス情報は、ファイルの作成時刻、最
終修正時刻、最終アクセス時刻、ファイルのｉ−ｎｏｄ
ｅ番号、アクセス許可の有無、ＵＩＤ、グループＩＤ
（ＧＩＤ）及び最終的なファイルのサイズを格納する。

【００３６】図１１は、トラフィク情報クラス３０６の
データ構成を示す図である。トラフィク情報クラス３０
６は、メール管理プログラム、ファイル転送プログラム
等が出力するログ情報であり、ネットワークを介するデ
ータやメッセージの受信バイト数、送信バイト数及びデ
ータの転送時間（処理時間）を記録する。

【００３７】図１２は、個別情報クラス３０７のデータ
構成を示す図である。個別情報クラス３０７は、オプシ
ョンであり、プログラムが出力するメッセージテキスト
の原文そのままの情報である。

【００３８】図１３は、データ格納クラス３１４のデー
タ構造を示す図である。“Ｔ１”はデータ格納クラス３
１４を識別するためのタグであり、“Ｌ１”は存在する
情報クラスを指定する領域Ｖ１の長さを示す。“Ｖ１”
は、各正規化ログデータ３００に含まれる情報クラスを
指定する領域であり、情報クラスの指定の開始を示すタ
グ、情報クラス識別子の長さ及び情報クラス識別子を順
番に指定する。情報クラス識別子の長さは可変長であ
る。各情報クラスを識別する番号をｘとすると、Ｔｘ
（ｘ≧２）は情報クラスの開始を示すタグであり、Ｌｘ
（ｘ≧２）はそのＶｘの部分の長さであり、Ｖｘ（ｘ≧
２）は情報クラス識別子である。マネージャ１０は、こ
のデータ格納クラス３１４により各正規化ログデータが
有する情報クラスを認識する。

【００３９】図１４は、正規化項目のうちコード化が可
能なもののコード化テーブル６００の一例を示す図であ
る。正規化項目のログ事象３１１が“ｌｏｇｉｎ”の場
合はコード“１”に、ユーザ変更“ｓｕ”の場合はコー
ド“２”というようにコード化される。コネクト（ｃｏ
ｎｎｅｃｔ）は、計算機間でファイル転送やプログラム
間通信を行う際のコネクションに関するログ事象を示
す。ファイルは内容変更されたファイルに関するログ事
象、ジョブはジョブの起動／停止／終了状態に関するロ
グ事象である。メールはメール使用に関するログ事象を
示す。ログ事象結果３１２はログ事象の結果であり、成
功か失敗かを区分する。ユーザ情報クラス３０２のアク
セス権３３５についてはあり又はなしを区分する。ユー
ザ情報クラス３０２及びアドレス情報クラス３０４のア
クセス結果については、成功か失敗かを区分する。ファ
イル情報クラス３０５のアクセス許可については、あり
又はなしを区分する。

【００４０】図１５〜図２０は、ルールのデータ形式を
示す図である。

【００４１】図１５は、マネージャルール４５０の一例
を示す図である。ＤＢ＿ＭＡＸ４５１は正規化ログデー
タベース５０が正規化ログデータを保存可能な期間を示
す保存期間を定義する。ＲＵＬＥ＿ＭＡＸ４５２はルー
ル配布に使用できる最大の通信路数を定義する。ＬＯＧ
＿ＭＡＸ４５３はログ収集に使用できる最大の通信路数
を定義する。ルール配布１０６やログ収集１０７は、こ
の多重度数だけ通信路を使用できるが、処理の要求がこ
の多重度より大きい場合は通信路を順番に使用し、通信
路が空くまで待った後、残りの処理を実行する。

【００４２】図１６は、エージェント２０の動作条件ル
ール４７０の一例を示す図である。ＭＡＮＡＧＥＲ＿Ａ
ＤＤＲＥＳＳ４７１はマネージャのＩＰアドレスを定義
し、ＦＩＬＥ＿ＭＡＸＳＩＺＥ４７２は正規化ログファ
イル４０が使用できる最大の記憶容量を定義する。

【００４３】図１７は、ログファイル監視ルール５００
の一例を示す図である。ＴＡＲＧＥＴ＿ＬＯＧは監視対
象ログファイル名を定義し、ＦＯＲＭＡＴによりファイ
ルの形式（ＳＥＱ：シーケンシャル形式、ＷＲＡＰ：ラ
ップアラウンド形式）を定義し、ＩＮＴＥＲＶＡＬによ
り監視間隔の時間（たとえば、１０分間隔）を定義す
る。ＦＭＴ＿ＮＡＭＥは当該ログファイルを正規化する
ときに適用するルールを定義する。例により説明する
と、 TARGET_LOG:/usr/adm/syslog.log,FORMAT=SEQ,INTERVAL
=10m,FMT_NAME=abc; は、シ−ケンシャル形式のファイル／ｕｓｒ／ａｄｍ／
ｓｙｓｌｏｇ．ｌｏｇを１０分間隔で監視し、フォーマ
ットルールａｂｃにより正規化処理を行うことを示す。
ＦＭＴ＿ＮＡＭＥの指定がない場合は、エージェント２
０の間で共通のフォーマットルールにより正規化を行
う。

【００４４】図１８と図１９は、フォーマットルール５
１０及び５１５の一例を示す図である。ログデータがテ
キスト形式の場合はＦＭＴ＿Ｔを適用し、バイナリ形式
の場合はＦＭＴ＿Ｂを適用する。ＲＥＧＴＥＸＴ＝“文
字列ｎ”は、ログデータを選択する条件を示し、ログデ
ータ中に文字列ｎが存在すれば、以下に示す規則に従っ
てログデータを正規化することを示す。＆＆は論理積
（ＡＮＤ）を示し、複数の文字列の存在を選択条件とす
ることができる。｜はｔｈｅｎを意味し、以下ログデー
タの文字列のシーケンスに従って文字列から順に正規化
項目を拾って行くことを意味する。正規化項目とは、各
情報クラスで定義されるデータ項目のことである。：
は、ログデータの先頭から順番にポインタをずらして正
規化項目に対応する値を切り出すための区切り文字であ
る。正規化項目に続いて［］内に指定される文字は、任
意のポインタから認識する文字列の長さ、またはその文
字列が可変長の場合に認識する最後の文字を指定する。
ＳＫＩＰは、ログデータの先頭から順番にポインタをず
らしていった場合、正規化項目に関係ない文字列が存在
する場合にその文字列を読み飛ばすことを意味し、［］
内には読み飛ばす文字数又は認識する最後の文字となる
“区切り文字”を指定する。区切り文字を指定した場合
は、その区切り文字まで読み飛ばす。以下フォーマット
ルールの例を挙げる。 （ａ）フォーマットルールＡ FMT_T:REGTEXT == “SU” && REGTEXT == “+” | ログ
事象 == “2” | ログ事象結果== “0” :SKIP[“ ”]:
ログ出力時刻[10]: SKIP[3]:端末名[“ ”]:ユーザ名
[“-”]:変更後のユーザ名[“ ”]; （ｂ）フォーマットルールＢ FMT_T:REGTEXT == “connect” && REGTEXT == “refus
ed" | ログ事象 == “3" | ログ事象結果 == “1" :ロ
グ出力時刻[15]: 接続先ホスト名[“ ”]:プロセス名
[“["]:プロセスＩＤ[“]"]:SKIP[“from "]:接続元ホ
スト名[“ ”];。 図２１は、ログファイルに格納されているメッセージテ
キストの原文の例を示す図である。メッセージテキスト
５５１及び５５２は、ＯＳが出力するユーザ変更に関す
るメッセージテキストの例である。メッセージテキスト
５５３〜５５５は、ＯＳがコネクション時に出力するメ
ッセージテキストである。メッセージテキスト５５６及
び５５７は、ＯＳのジョブ管理が出力するメッセージテ
キストである。

【００４５】メッセージテキスト５５１をフォーマット
ルールＡによって正規化すると、 ・ログ事象３１１＝２（ｓｕ） ・ログ事象結果３１２＝０（成功） ・ログ出力時刻３２２＝１／３０ １１：１８のエポッ
クタイム ・端末名３３７＝ｔｔｙｐ５ ・ユーザ名３３０＝ｆｕｊｉｎｏ ・変更後のユーザ名３３２＝ｒｏｏｔ となる。

【００４６】メッセージテキスト５５４をフォーマット
ルールＢによって正規化すると、 ・ログ事象３１１＝３（ｃｏｎｎｅｃｔ） ・ログ事象結果３１２＝１（失敗） ・ログ出力時刻３２２＝Ｊａｎ １２ １３：１２：１
５のエポックタイム ・接続先ホスト名３５４＝ｈｏｓｔａ ・接続先ＩＰアドレス３５５＝ｈｏｓｔａをＩＰアドレ
スに変換した値 ・プロセス名３４２＝ｆｔｐｄ ・プロセスＩＤ３４３＝１１１１ ・接続元ホスト名３５０＝ｈｏｓｔｂ ・接続元ＩＰアドレス３５１＝ｈｏｓｔｂをＩＰアドレ
スに変換した値 となる。

【００４７】図２０は、フィルタリングルール５２０の
一例を示す図であり、ログファイル管理２０４が該当す
る正規化ログデータだけを格納するためのルールであ
る。ＦＬＴはフィルタリングルールであることを示し、
正規化項目が指定した文字列やコードであったり、指定
した時間帯の正規化ログデータであった場合、そのよう
な条件に適合する正規化ログデータだけを抽出して格納
する。＝＝はイコールを、！＝はｎｏｔイコールを、＆
＆は論理積ＡＮＤを、｜｜は論理和ＯＲを、―は時間間
隔をそれぞれ意味する。

【００４８】図２２は、正規化ログデータベース５０の
データ構造を例示する図である。正規化ログデータベー
ス５０は、正規化ログデータを補正時刻６３０の順に配
列して格納する。ある補正時刻６３０から共通情報クラ
ス６３１のログデータにチェインする。また共通情報ク
ラス６３１からこれに続いて存在する情報クラスのログ
データに次々とチェインする。情報クラスに対応して示
される検索キーは、正規化ログデータを検索するときに
キーとして使用される正規化項目を示すものである。ま
た補正時刻６３０から次の補正時刻６３０へチェインが
張られている。ユーザは、補正時刻６３０によって、ま
た該当する情報クラスの検索キーを指定することによっ
て正規化ログデータベース５０から目的とする正規化ロ
グデータを効率良く抽出することができる。

【００４９】図２３は、マネージャ１０のルール配布１
０６の処理の流れを示すＰＡＤ図である。ルール配布１
０６は、初期設定（ステップ７０１）後、プロセス管理
１０２から終了要求が来るまでループし（ステップ７０
２）、イベントを持つ（ステップ７０３）。イベントに
は、スケジューラ１０１からのルール配布要求（ステッ
プ７０４）とプロセス管理１０２からの終了要求（ステ
ップ７１２）がある。

【００５０】ルール配布要求（ステップ７０４）を受信
した場合は、ルール管理１０５を介して配布するルール
と配布先であるエージェント２０の一覧を取得し（ステ
ップ７０５）、構成管理１０４からエージェント２０の
動作状態及び応答時間の情報を取得する（ステップ７０
６）。取得したエージェント２０のｐｉｎｇ応答時間を
応答時間の小さい順番に並べ替える（ステップ７０
７）。このとき動作していないエージェント２０につい
ては、応答時間を無限大と解釈する。ルールを配布する
エージェント２０の数だけループし（ステップ７０
８）、エージェント２０が動作している場合（ステップ
７０９ＹＥＳ）は応答時間の小さい順番にルールを配布
し（ステップ７１０）、エージェント２０が動作してい
ない場合はルール配布失敗のメッセージを出力する（ス
テップ７１１）。ルール配布に当っては、ＲＵＬＥ＿Ｍ
ＡＸ４５２を適用する。配布したルールは、エージェン
ト２０のルール管理２０３に転送される。

【００５１】終了要求を受信した場合は（ステップ７１
２）、ループを抜けて終了処理を行う（ステップ７１
３）。

【００５２】図２４は、マネージャ１０のログ収集１０
７の処理の流れを示すＰＡＤ図である。ログ収集１０７
は、初期設定（ステップ８０１）後、プロセス管理１０
２から終了要求が来るまでループし（ステップ８０
２）、イベントを持つ（ステップ８０３）。イベントに
は、スケジューラ１０１からのログ収集要求（ステップ
８０４）、エージェント２０からの起動通知（ステップ
８１１）、及びプロセス管理１０２からの終了要求（ス
テップ８１６）がある。

【００５３】ログ収集要求を受信した場合は（ステップ
８０４）、スケジューラ１０１からログを収集するエー
ジェント２０の一覧を取得し（ステップ８０５）、構成
管理１０４からこれらのエージェント２０の動作状態及
び応答時間の情報を取得するとともに、応答時間の短い
順番にエージェント２０をソートする（ステップ８０
６）。ログを収集するエージェント２０の数分ループし
（ステップ８０７）、エージェントが動作している場合
（ステップ８０８ＹＥＳ）はログを収集し（ステップ８
０９）、エージェントが動作していない場合（ステップ
８０８ＮＯ）はログ収集失敗メッセージを出力する（ス
テップ８１０）。ログ収集に当っては、ＬＯＧ＿ＭＡＸ
４５３を適用する。ログ収集１０７は、エージェント２
０のログファイル管理２０４を介して正規化ログファイ
ル４０を収集する。

【００５４】エージェント起動通知を受信した場合は
（ステップ８１１）、構成管理１０４からエージェント
２０とのｐｉｎｇ（ＩＣＭＰエコーリクエスト）の応答
時間を取得する（ステップ８１２）。ＩＣＭＰ（Ｉｎｔ
ｅｒｎｅｔ ＣｏｎｔｒｏｌＭｅｓｓａｇｅ Ｐｒｏｔ
ｏｃｏｌ）は、通信ネットワークの管理に関する国際的
な標準規格の１つであるアイ・エイ・ビー（ＩＡＢ：Ｉ
ｎｔｅｒｎｅｔ Ａｃｔｉｖｉｔｉｅｓ Ｂｏａｒｄ）
の管理標準である。ＩＣＭＰを使用すると、ＩＰノード
（例えばコンピュータ）が他のＩＰノードと通信可能で
あるか否かを確認できる。またｐｉｎｇを使用すると、
任意のＩＰノードと通信可能であるか否かの動作状態と
応答時間を取得できる。ｐｉｎｇ応答時間を取得できた
場合（ステップ８１３ＹＥＳ）は、マネージャ１０の現
在時刻にこの応答時間から得られる通信時間を加算した
時刻を起動通知を発行したエージェント２０へ通知する
（ステップ８１４）。マネージャの時刻をエージェント
に伝えるためには、マネージャの時刻にマネージャから
エージェントへの通信時間を加えた時刻を通知すればよ
い。ｐｉｎｇの応答時間は、マネージャからエージェン
トとエージェントからマネージャ、つまり行きと返りの
通信時間を加えた時間間隔である。そこでｐｉｎｇ応答
時間の１／２を通信時間として利用する。すなわちマネ
ージャは、次の計算式によりエージェントの時刻を推定
しエージェントへ通知する。 （エージェントの時刻）≒（マネージャの時刻）＋（ｐ
ｉｎｇ応答時間）／２ 応答時間を取得できなかった場合（ステップ８１３Ｎ
Ｏ）、すなわちネットワーク管理システム６０から情報
を得られない場合は、単にマネージャ１０の現在時刻を
エージェント２０へ通知する（ステップ８１５）。エー
ジェント２０は、マネージャ１０の現在時刻を取得して
正規化ログデータの補正時刻３２３に適用する。

【００５５】終了要求を受信した場合は（ステップ８１
６）、ループを抜けて終了処理を行う（ステップ８１
７）。

【００５６】図２５は、マネージャ１０の構成管理１０
４の処理の流れを示すＰＡＤ図である。構成管理１０４
は、初期設定（ステップ９０１）後、プロセス管理１０
２から終了要求が来るまでループし（ステップ９０
２）、イベントを持つ（ステップ９０３）。イベントに
はルール配布１０６からのエージェント情報格納要求
（ステップ９０４）、ルール配布１０６やログ収集１０
７からのエージェント情報取得要求（ステップ９０９）
と、プロセス管理１０２からの終了要求（ステップ９１
３）がある。

【００５７】エージェント情報格納要求を受信した場合
は（ステップ９０４）、ルール配布１０６からルールを
配布したエージェント２０の情報を取得する（ステップ
９０５）。エージェント２０の情報とは、ルールの配布
時刻、配布したルール名などである。ネットワーク管理
システム６０と通信可能であるとき（ステップ９０６Ｙ
ＥＳ）は、取得したエージェント情報をネットワーク管
理システム６０に渡す（ステップ９０７）。ネットワー
ク管理システム６０は、受信したルール配布の履歴情報
をネットワーク管理のために利用可能である。ネットワ
ーク管理システム６０と通信できないとき（ステップ９
０６ＮＯ）は、エージェント情報を構成管理１０４が保
有するファイルへ格納する（ステップ９０８）。

【００５８】エージェント情報取得要求を受信した場合
は（ステップ９０９）、ネットワーク管理システム６０
と通信できるとき（ステップ９１０ＹＥＳ）には、ネッ
トワーク管理システム６０からエージェント２０の一
覧、動作有無やｐｉｎｇの応答時間等を取得しこれらの
情報を要求元に返す（ステップ９１１）。ネットワーク
管理システム６０と通信できないとき（ステップ９１０
ＮＯ）には、構成管理１０４のファイルからエージェン
トの一覧についての情報を取得して要求元に返す（ステ
ップ９１２）。

【００５９】終了要求を受信した場合は（ステップ９１
３）、ループを抜けて終了処理（ステップ９１４）を行
う。

【００６０】図２６は、マネージャ１０のデータベース
管理１０９の処理の流れを示すＰＡＤ図である。データ
ベース管理１０９は、初期設定（ステップ１００１）
し、正規化ログデータベース５０に格納している正規化
ログデータの保存期間の確認を要求（ステップ１００
２）した後、プロセス管理１０２から終了要求が来るま
でループし（ステップ１００３）、イベントを持つ（ス
テップ１００４）。イベントには、ログ収集１０７から
の正規化ログデータ格納通知（ステップ１００５）、ロ
グ解析１０３からの正規化ログデータ抽出要求（ステッ
プ１００８）、データベース管理１０９自身が正規化ロ
グデータの保存期間を確認するための要求（ステップ１
０１０）と、プロセス管理１０２からの終了要求（ステ
ップ１０１４）がある。

【００６１】正規化ログデータ格納通知を受けた場合は
（ステップ１００５）、ログ収集１０７から正規化ログ
データを取得し正規化ログデータベース５０に格納する
（ステップ１００６）。格納に当っては、図２２のデー
タ構造に従って正規化ログデータを格納する。正規化ロ
グデータは補正時刻６３０の順に配列されるので、この
順に従って正規化ログデータをマージする。また正規化
ログデータの保存期間確認を要求する（ステップ１００
７）。

【００６２】正規化ログデータ抽出要求を受信した場合
は（ステップ１００８）、指定された検索キーにより正
規化ログデータベース５０を検索し、その結果抽出した
データを要求元へ応答する（ステップ１００９）。

【００６３】保存期間確認要求（ステップ１０１０）を
受信した場合は、正規化ログデータベース５０に格納さ
れている正規化ログデータの一番古い補正時刻６３０と
現在時刻の差と、ＤＢ＿ＭＡＸ４５１とを比較し（ステ
ップ１０１１）、保存期間より古い正規化ログデータを
保存しているときは古い正規化ログデータを削除し（ス
テップ１０１２）、運用者に知らせるために削除メッセ
ージを出力する（ステップ１０１３）。

【００６４】終了要求を受信した場合は（ステップ１０
１４）、ループを抜けて終了処理（ステップ１０１５）
を行う。

【００６５】図２７は、エージェント２０のログ入力２
０２の処理の流れを示すＰＡＤ図である。ログ入力２０
２は、初期設定し（ステップ１１０１）、エージェント
２０のルール管理２０３からログファイル監視ルール５
００とフォーマットルール５１０，５１５等を取得（ス
テップ１１０２）後、プロセス管理２０１から終了要求
が来るまでループし（ステップ１１０３）、イベントを
持つ（ステップ１１０４）。イベントには、ログファイ
ル管理２０４からのログ入力中断要求（ステップ１１０
５）とログ入力再開要求（ステップ１１０７）、プロセ
ス管理２０１からの終了要求（ステップ１１０９）及び
時間監視によるタイマ割り込みがある。

【００６６】ログ入力中断要求を受信した場合は（ステ
ップ１１０５）、ログ入力を中断する（ステップ１１０
６）。中断する要因は、正規化ログファイル４０の容量
がＦＩＬＥ＿ＭＡＸＳＩＺＥ４７２に達したときであ
る。

【００６７】ログ入力再開要求を受信した場合は（ステ
ップ１１０７）、ログ入力を再開する（ステップ１１０
８）。再開する要因は、正規化ログファイルをマネージ
ャ１０へ転送したときである。

【００６８】終了要求を受信した場合は（ステップ１１
０９）、ループを抜けて終了処理（ステップ１１１７）
を行う。

【００６９】ログファイル監視ルール５００に設定され
た監視間隔に従ってログファイルの監視時刻になったと
き、監視対象ログファイル群３０をオープンし（ステッ
プ１１１１）、このログファイルのファイル管理情報を
取得する。ファイル管理情報が前回取得したもの同じか
否かを確認する（ステップ１１１２）。同じ場合は（ス
テップ１１１２ＹＥＳ）、前回オープンしたファイルと
同じ内容であるため前回のファイルのオフセットからロ
グデータを入力する（ステップ１１１３）。前回のファ
イルのオフセットは、当該ファイルについて前回入力済
のレコードの次のレコードを指している。異なる場合は
（ステップ１１１２ＮＯ）、新しいファイル（前回オー
プンしたファイルは削除された等）であると解釈し、先
頭からログデータを入力する（ステップ１１１４）。そ
の後、入力したログデータを正規化し（ステップ１１１
５）、正規化ログデータをログファイル管理２０４ヘ通
知する（ステップ１１１６）。ログデータの正規化は、
上記のようにフォーマットルール５１０，５１５等を適
用して行う。正規化ログデータをログファイル管理２０
４に渡した後、当該ログファイルをクローズし、監視間
隔に従って次の監視時刻にタイマを設定する。

【００７０】図２８は、エージェント２０のログファイ
ル管理２０４の処理の流れを示すＰＡＤ図である。ログ
ファイル管理２０４は、初期設定し（ステップ１２０
１）、ルール管理２０３から動作条件ルール４７０とフ
ィルタリングルール５２０を取得（ステップ１２０２）
した後、プロセス管理２０１から終了要求が来るまでル
ープし（ステップ１２０３）、イベントを持つ（ステッ
プ１２０４）。イベントには、ログ入力２０２からの正
規化ログデータ格納通知（ステップ１２０５）、マネー
ジャ１０のログ収集１０７からのログ収集要求（ステッ
プ１２０９）、ログファイル管理２０４自身からの正規
化ログファイル容量確認要求（ステップ１２１１）、マ
ネージャ１０のログ収集１０７からのマネージャ時刻の
通知（ステップ１２１６）と、プロセス管理２０１から
の終了要求（ステップ１２１８）がある。

【００７１】正規化ログデータ格納通知を受信した場合
は（ステップ１２０５）、ログ入力２０２から正規化ロ
グデータを取得し（ステップ１２０６）、エージェント
とマネージャの時間差（ステップ１２１７の処理結果）
とログ出力時刻３２２から補正時刻３２３を計算する。
ログ入力２０２から取得した正規化ログデータにこの補
正時刻３２３を追加して正規化ログファイル４０に格納
する（ステップ１２０７）。取得した正規化ログデータ
にフィルタリングルール５２０を適用して条件に合致す
る正規化ログデータのみを正規化ログファイル４０に格
納する。次に正規化ログファイル容量確認要求を発行す
る（ステップ１２０８）。

【００７２】ログ収集要求を受信した場合は（ステップ
１２０９）、正規化ログファイル４０中の正規化ログデ
ータを補正時刻３２３の順にソートした後、ＭＡＮＡＧ
ＥＲ＿ＡＤＤＲＥＳＳ４７１に示されるマネージャ１０
ヘ転送する（ステップ１２１０）。

【００７３】正規化ログファイル容量確認要求を受信し
た場合は（ステップ１２１１）、正規化ログファイルの
使用容量とＦＩＬＥ＿ＭＡＸＳＩＺＥ４７２を比較し
（ステップ１２１２）、最大サイズに達したとき（ステ
ップ１２１２ＹＥＳ）は、ログ入力２０２ヘ中断通知を
発行する（ステップ１２１３）。最大サイズに達してい
ないとき（ステップ１２１２ＮＯ）は、前回中断要求を
発行したか確認し（ステップ１２１４）、発行していた
とき（ステップ１２１４ＹＥＳ）は、ログ入力２０２へ
ログ入力再開要求を通知する（ステップ１２１５）。

【００７４】マネージャ時刻の通知を受信した場合は
（ステップ１２１６）、エージェントとマネージャのコ
ンピュータ時刻の差を計算する（ステップ１２１７）。

【００７５】終了要求を受信した場合は（ステップ１２
１８）、ループを抜けて終了処理（ステップ１２１９）
を行う。

【００７６】

【発明の効果】以上説明したように本発明によれば、エ
ージェントが複数のログファイルを監視し種々の形式で
出力されたログデータを入力した後、正規化を行い共通
的なデータ形式に変換する。また必要なログデータだけ
を抽出し、ログデータの出力時刻としてマネージャの時
計に合わせた補正時刻を使用するようにしたので、運用
者はネットワークに存在する複数のコンピュータのログ
データを統一したデータ形式及び時刻に基づいて解析す
ることができる。

【００７７】またマネージャが蓄積するログデータにつ
いては、所定期間のログデータを保存するようにしたの
で、古いログデータから順に削除する形でログ情報の総
量を規制できる。

【００７８】さらに収集したログデータを補正時刻及び
正規化項目によって検索可能としたので、運用者は必要
なログ情報を容易に取得できる。

【図面の簡単な説明】

【図１】実施形態のネットワークシステムの構成図であ
る。

【図２】実施形態のマネージャとエージェントが行う処
理動作の概略を示す図である。

【図３】実施形態のマネージャ１０の構成を示す機能ブ
ロック図である。

【図４】実施形態のエージェント２０の構成を示す機能
ブロック図である。

【図５】実施形態の正規化ログデータの概略構成を示す
図である。

【図６】実施形態の共通情報クラスのデータ構成を示す
図である。

【図７】実施形態のユーザ情報クラスのデータ構成を示
す図である。

【図８】実施形態のサービス情報クラスのデータ構成を
示す図である。

【図９】実施形態のアドレス情報クラスのデータ構成を
示す図である。

【図１０】実施形態のファイル情報クラスのデータ構成
を示す図である。

【図１１】実施形態のトラフィフィック情報クラスのデ
ータ構成を示す図である。

【図１２】実施形態の個別情報クラスのデータ構成を示
す図である。

【図１３】実施形態のデータ格納クラスのデータ構造を
示す図である。

【図１４】正規化項目のコード化テーブルの例を示す図
である。

【図１５】マネージャルールの例を示す図である。

【図１６】エージェントの動作条件ルールの例を示す図
である。

【図１７】エージェントのログファイル監視ルールの例
を示す図である。

【図１８】エージェントのフォーマットルール（その
１）の例を示す図である。

【図１９】エージェントのフォーマットルール（その
２）の例を示す図である。

【図２０】エージェントのフィルタリングルールの例を
示す図である。

【図２１】監視対象ログファイルのログデータであるメ
ッセージテキストの例を示す図である。

【図２２】実施形態の正規化ログデータベースのデータ
構造を示す図である。

【図２３】実施形態のマネージャが行うルール配布の処
理の流れを示すＰＡＤ図である。

【図２４】実施形態のマネージャが行うログ収集の処理
の流れを示すＰＡＤ図である。

【図２５】実施形態のマネージャが行う構成管理の処理
の流れを示すＰＡＤ図である。

【図２６】実施形態のマネージャが行うデータベース管
理の処理の流れを示すＰＡＤ図である。

【図２７】実施形態のエージェントが行うログ入力の処
理の流れを示すＰＡＤ図である。

【図２８】実施形態のエージェントが行うログファイル
管理の処理の流れを示すＰＡＤ図である。

【符号の説明】

１０・・・マネージャ、２０・・・エージェント、４０
・・・正規化ログファイル、５０・・・正規化ログデー
タベース、６０・・・ネットワーク管理システム、１０
４・・・構成管理、１０６・・・ルール配布、１０７・
・・ログ収集、１０９・・・データベース管理、１１０
・・・ルール、２０２・・・ログ入力、２０４・・・ロ
グファイル管理、２０５・・・ルール

───────────────────────────────────────────────────── フロントページの続き (72)発明者 中野 秀紀 東京都千代田区大手町二丁目６番２号 株 式会社日立情報ネットワーク内 (72)発明者 森田 眞司 神奈川県横浜市戸塚区戸塚町5030番地 株 式会社日立製作所ソフトウェア開発本部内 (72)発明者 山田 貢 神奈川県横浜市戸塚区戸塚町5030番地 株 式会社日立製作所ソフトウェア開発本部内 (72)発明者 新村 美貴 神奈川県横浜市戸塚区戸塚町5030番地 株 式会社日立製作所ソフトウェア開発本部内

Claims (5)

【特許請求の範囲】
1. 【請求項１】監視の対象とするログファイル中のログデ
   ータからあらかじめ定義されたデータ項目に対応する値
   を切り出して規定されたデータ項目の値を配列する正規
   化されたログデータを作成して蓄積する手段と、蓄積さ
   れた正規化ログデータをネットワークを介してマネージ
   ャの機能を実行する情報処理装置へ送信する手段とをエ
   ージェントの処理手段として有することを特徴とするロ
   グデータの収集をする情報処理装置。
2. 【請求項２】コンピュータ読み取り可能な記憶媒体上に
   実体化され、ログデータを収集するエージェント機能を
   有するコンピュータプログラムであって、該プログラム
   は以下のステップを含む： （ａ）監視の対象とするログファイル中のログデータか
   らあらかじめ定義されたデータ項目に対応する値を切り
   出して規定されたデータ項目の値を配列する正規化され
   たログデータを作成し、（ｂ）蓄積された正規化ログデ
   ータをネットワークを介してマネージャの機能を実行す
   るコンピュータへ送信する。
3. 【請求項３】ネットワークを介してエージェントの機能
   を実行する情報処理装置からあらかじめ定義された共通
   のデータ形式に従って正規化されたログデータであって
   マネージャの基準とする時刻に基づいて補正されたログ
   出力時刻を有する正規化ログデータを受信する手段と、
   該正規化ログデータを補正時刻の順にデータベースに蓄
   積する手段とをマネージャの処理手段として有すること
   を特徴とするログデータの収集と管理をする情報処理装
   置。
4. 【請求項４】該補正時刻とマネージャの現在時刻との差
   分の時間が所定の保存期間を超過している正規化ログデ
   ータを該データベースから削除する手段をさらに設ける
   ことを特徴とする請求項３記載のログデータの収集と管
   理をする情報処理装置。
5. 【請求項５】コンピュータ読み取り可能な記憶媒体上に
   実体化され、ログデータの収集と管理をするマネージャ
   機能を有するコンピュータプログラムであって、該プロ
   グラムは以下のステップを含む： （ａ）ネットワークを介してエージェントの機能を実行
   するコンピュータからあらかじめ定義された共通のデー
   タ形式に従って正規化されたログデータであってマネー
   ジャの基準とする時刻に基づいて補正されたログ出力時
   刻を有する正規化ログデータを受信し、（ｂ）該正規化
   ログデータを補正時刻の順にデータベースに蓄積する。