JP2002259168A - ログ特徴を抽出する装置、方法、およびプログラム - Google Patents

Abstract

(57)【要約】 【課題】対象プログラムの実行等において発生した一連
のイベントを記録した複数のログからログ特徴を抽出す
る装置、方法、およびプログラムを提供することを目的
とする。 【解決手段】一連のイベントが記録された複数のログを
入力し、所定のイベント列を用いてそれぞれのログを変
換ログに変換する。少なくとも複数の変換ログに基づい
て、前記イベント列を構成する各イベントの発生確率を
それぞれ計算する。この計算された発生確率に基づいて
前記変換ログを構成する各イベントの稀少度を計算し、
その大小に基づいて、少なくとも一つのイベントをログ
特徴として表示部等に出力する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、対象プログラムの
デバッグ作業やプログラムの動作理解に有用なログ特徴
を、対象プログラムの動作ログ群から抽出する装置、方
法、およびプログラムに関する。

【０００２】

【従来の技術】近年、ソフトウェア開発の分野におい
て、対象プログラムの動作確認やいわゆるデバッグ作業
のために、対象プログラムの実行動作により得られたロ
グを利用するケースが増加している。具体的には、記録
したイベントの情報からなるログを専用のビューアで表
示してデバッグ作業の一助とするようなログベースのデ
バッグ手法が普及してきている。

【０００３】収集するログの例としては、オペレーティ
ングシステム（ＯＳ）を通じて一連のシステムコールの
発行履歴を記録したものであったり、ハードウェア（あ
るいはエミュレータ）により一連のメモリアクセスの履
歴を記録したものなどが挙げられる。これらにおいて、
システムコールやメモリアクセスがイベントに相当す
る。

【０００４】対象プログラムの実行動作により得られた
ログを用いてデバッグを行う場合、従来では次の２つの
手法が知られている。

【０００５】（１）１つの異常動作ログを丹念に調査し
てバグの原因を探す。

【０００６】（２）正常動作した場合のログと異常動作
した場合のログとを比較して違いを探し出し、これを集
中的に調査する。

【０００７】上記（１）については、ログ中においてど
の箇所を重点的に調査すれば良いかなどの指針が無いの
で、ログの量が増大すると、これに応じてデバッグ作業
にも手間がかかり、また熟練を要するという問題点があ
る。

【０００８】上記（２）については、正常動作と異常動
作の単純な違いだけに着目すると、その着目すべき箇所
が多くなり過ぎて効率的なデバッグに繋がらないという
問題点がある。これは、正常動作時・異常動作時の「違
い」というものをひとまとまりのものとして扱っている
点に問題があると考えられる。

【０００９】

【発明が解決しようとする課題】本発明はこのような事
情を考慮してなされたものであり、対象プログラムの実
行等において発生した一連のイベントを記録した複数の
ログからログ特徴を抽出する装置、方法、およびプログ
ラムを提供することを目的とする。これよりデバッグ作
業の効率化、容易化を図る。

【００１０】

【課題を解決するための手段】上記課題を解決し目的を
達成するために本発明は次のように構成されている。

【００１１】本発明のログ特徴抽出装置は、一連のイベ
ントが記録された複数のログを入力し、所定のイベント
列を用いてそれぞれのログを変換ログに変換するログ変
換手段と、少なくとも複数の前記変換ログに基づいて、
前記イベント列を構成する各イベントの発生確率をそれ
ぞれ計算するイベント発生確率計算手段と、前記計算さ
れた発生確率に基づいて、前記変換ログを構成する各イ
ベントの稀少度を計算する稀少度計算手段と、前記計算
された稀少度の大小に基づいて、少なくとも一つのイベ
ントをログ特徴として出力する出力手段と、を具備する
ことを特徴とする。

【００１２】また、本発明のログ特徴抽出方法は、一連
のイベントが記録された複数のログを入力するステップ
と、所定のイベント列を用いてそれぞれのログを変換ロ
グに変換するステップと、少なくとも複数の前記変換ロ
グに基づいて、前記イベント列を構成する各イベントの
発生確率をそれぞれ計算するステップと、前記計算され
た発生確率に基づいて、前記変換ログを構成する各イベ
ントの稀少度を計算するステップと、前記計算された稀
少度の大小に基づいて、少なくとも一つのイベントをロ
グ特徴として出力するステップと、を具備することを特
徴とする。

【００１３】また、本発明のログ特徴抽出プログラム
は、コンピュータを、一連のイベントが記録された複数
のログを入力し、所定のイベント列を用いてそれぞれの
ログを変換ログに変換するログ変換手段、少なくとも複
数の前記変換ログに基づいて、前記イベント列を構成す
る各イベントの発生確率をそれぞれ計算するイベント発
生確率計算手段、前記計算された発生確率に基づいて、
前記変換ログを構成する各イベントの稀少度を計算する
稀少度計算手段、前記計算された稀少度の大小に基づい
て、少なくとも一つのイベントをログ特徴として出力す
る出力手段、として機能させるためのプログラムである
ことを特徴とする。

【００１４】

【発明の実施の形態】以下、図面を参照しながら本発明
の実施形態を説明する。

【００１５】（第１実施形態）図１は、本発明の第１実
施形態に係るログ特徴抽出装置の概略構成を示すブロッ
ク図である。本装置は、対象プログラムの動作により出
力されたログ１００を入力し、デバッグ作業者（ユー
ザ）１５から与えられた種々の指定条件に応じて、ログ
１００から対象プログラムのデバッグに有用な特徴を情
報として抽出し、デバッグ作業者１５に提示する装置で
ある。図１に示すように、本装置は、少なくともログ変
換部１、イベント発生確率計算部２、稀少度計算部３、
ログ表示部５を備えている。また、デバッグ作業者１５
からの指定条件に応じた特徴抽出を実現するための構成
要素として、対象ログ指定部８、抽出閾値設定部９、イ
ベント抽出部１０、ソート部４、比較ログ指定部１１を
備えている。

【００１６】ログ１００は、図示しない対象プログラム
の実行時において成立した一連のイベントが記録された
一つのログ又は複数の部分ログで構成されたログ群から
なる。対象プログラムの種別、数量等は任意であり、実
行環境も任意である。

【００１７】ログ１００を準備するための対象プログラ
ムの実行は、図示しないデバッガによる。イベントの収
集・記録処理は、デバッガに組み込まれ、或いはデバッ
ガとは別構成で協調動作する「トレーサ」により行なわ
れる。本明細書でいう「イベント（事象）」とは、デバ
ッグ環境全体で予め定義されており、識別可能なものを
いう。イベントの定義に沿って、トレーサは対象プログ
ラムの実行動作を追跡し、そのデバッグ実行動作単位
（シーケンス）ごとに、成立（発生）した一連のイベン
トをログ１００として記録する。

【００１８】図２は、本実施形態に係るログ特徴抽出装
置の処理の流れを説明するためのフローチャートであ
る。このフローチャートに沿って、本実施形態に係るロ
グ特徴抽出の幾つかの処理動作例を説明する。

【００１９】まず、本実施形態の装置に与えられるログ
１００の一例として、以下に示す７つの動作ログＦ，Ｔ
１〜Ｔ６が与えられた場合を仮定する。また、本例では
イベントの種類が「ａ，ｂ，ｃ，ｄ，ｅ，ｆ，ｇ，ｈ」
と定義されているものとする。動作ログの各々は、これ
ら定義されたイベントのうちのいずれかがその発生順序
に沿って配列（記録）されたものとする。 ログ Ｆ ： ａｂａｂｃｅｇｈ ログＴ１ ： ａｄｅｆｇ ログＴ２ ： ａｂｅｆｈｅｆｈ ログＴ３ ： ａｄｅｆｇｈ ログＴ４ ： ａｂｅｆｇｈ ログＴ５ ： ｃｄｅｆｇ ログＴ６ ： ａｂｅｆｂｅｆｇ 本実施形態のログ特徴抽出装置に入力された上記７つの
動作ログからなるログ１００は、まず、ログ変換される
（ステップＳ１）。すなわち、ログ変換部１は、これら
７つの動作ログの各々を、例えば以下のルールに則って
変換し、変換ログＦ’，Ｔ１’〜Ｔ６’を作成する。

【００２０】・ログ中に発生し得るイベントを発生し得
る順序で並べる。 ・２つ以上のイベントからなる部分イベント列が繰り返
されている場合、これを１つにまとめる。ただし部分イ
ベント列の間に他のイベントが挟まれている場合はその
まま残す。 ・各ログにおいて発生したイベントを１に設定する。 ・発生していないイベントを０に設定する。 ログ変換により作成された変換ログＦ’，Ｔ１’〜Ｔ
６’を図３に示す。例えば動作ログＦから得られた変換
ログＦ’は「１１１０１０１１」であるが、これは、ロ
グ変換の基準となるイベント列「ａｂｃｄｅｆｇｈ」
と、動作ログＦ「ａｂａｂｃｅｇｈ」において部分イベ
ント列を纏めた「ａｂｃｅｇｈ」とを比較することに得
られる。

【００２１】次に、ステップＳ２においてイベント発生
確率の計算を行なう。イベント発生確率計算部２は、ロ
グ変換部１が作成した変換ログＦ’，Ｔ１’〜Ｔ６’の
全てを参照し、各変換ログにおいてイベントが発生した
か否かを調べることにより、ログ変換の基準としたイベ
ント列「ａｂｃｄｅｆｇｈ」を構成する各イベントが発
生する確率を計算する。

【００２２】例えばイベントａが発生しているは、７つ
の変換ログ中６つであり、当該イベントａの発生確率は
６／７（８６％）となる。また、イベントｅは、７つの
変換ログ全てにおいて発生しているので、当該イベント
ｅの発生確率は７／７（１００％）となる。このように
して計算した各イベントの発生確率を図４の一覧表およ
び図５の棒グラフに示す。

【００２３】次に、ステップＳ３において、上記イベン
ト列「ａｂｃｄｅｆｇｈ」を構成する各イベントの稀少
度を計算する。

【００２４】ここでいう「稀少度」とは、イベント発生
確率計算部２で計算された各イベントの発生確率に基づ
いて稀少度計算部３が計算する値をいう。稀少度はその
イベントが発生したこと、あるいは発生しなかったこと
が、どれほど珍しい現象であるかを示す。稀少度の値が
小さくなるほどそのイベントは（発生又は非発生が）珍
しいということになる。本実施形態はこのような稀少度
の値をイベント抽出の根拠としている。稀少度は例えば
以下の規則で与えられる。 ・対象ログで発生しているイベントには、イベントの発
生確率×１００を与える。

【００２５】・対象ログで発生していないイベントに
は、（１−（イベントの発生確率））×１００を与え
る。

【００２６】対象ログとは、稀少度を計算する際の対象
となるログであり、ここでは上記動作ログＦ，Ｔ１〜Ｔ
６のいずれかである。

【００２７】例えば、動作ログＦを対象ログとしたと
き、この動作ログＦにおけるイベントの稀少度を図６の
一覧表および図７の棒グラフにより示す。図６から分か
るように、例えばイベントａは当該動作ログＦにおいて
発生しており、その稀少度はその発生確率に相当する８
６となる。また、イベントｄは当該動作ログＦにおいて
発生しておらず、その稀少度は（（１−イベントｄの発
生確率））×１００＝５７となる。

【００２８】そして、各イベントの稀少度のうち、最も
値が小さいのはイベントｆの１４である。これは、動作
ログＦにおいて、イベントｆが発生しなかった事実が、
他のイベントの発生／非発生の事実よりも珍しいことを
意味している。

【００２９】したがって、動作ログＦについては「イベ
ントｆの非発生」がログ特徴として抽出されたことにな
る。この抽出されたログ特徴をログ表示部５が表示する
ことにより（ステップＳ９）、これからログを精査する
デバッグ作業者１５に有益なデバッグ支援情報が提供さ
れる。デバッグ作業者は、動作ログＦについて「イベン
トｆの非発生」を特に勘案して当該ログＦの精査を行え
ば良いという指針を得ることができ、デバッグ作業を効
率的に行うことができるようになる。

【００３０】ある実施形態では、稀少度計算部３は、動
作ログＦ，Ｔ１〜Ｔ６の全てを対象に上記ログ特徴を抽
出する。本実施形態ではデバッグ作業者１５が対象ログ
を指定可能に構成される。すなわち、対象ログ指定部８
を備えており、デバッグ作業者１５から対象ログの指定
を受け付ける（ステップＳ４）。デバッグ作業者１５
は、対象ログ指定部８を通じて、動作ログ群Ｆ，Ｔ１〜
Ｔ６のうち「どのログに対して、各イベントの特徴を導
き出すか」を指定できる。

【００３１】また、本実施形態は、稀少度に対して閾値
を設定してログ特徴を抽出することも可能に構成され
る。デバッグ作業者１５は、閾値抽出設定部９を介して
稀少度に対する所望の閾値を設定する（ステップＳ
５）。イベント抽出部１０は、対象ログ指定部８におい
て指定された対象ログについて、閾値抽出設定部９にお
いて設定された閾値以下の稀少度を有する一つ又は複数
のイベントをその対象ログの特徴として抽出する（ステ
ップＳ７）。例えば、閾値抽出設定部９において稀少度
３０が閾値として与えられた場合、イベント抽出部１０
は３０以下の稀少度を有するイベントｃおよびｆが対象
ログＦの特徴的イベントとして抽出される。イベントｃ
は「稀に発生するイベント」、ｆは「珍しく発生しなか
ったイベント」である。抽出されたこれらイベントは、
ログ表示部５において表示される。

【００３２】また、本実施形態は、指定された比較ログ
と対象ログとの差分のログ（差分ログという）を生成
し、この差分ログからログ特徴を抽出可能に構成されて
いる。比較ログ指定部１１は、デバッグ作業者１５から
比較ログの指定を受け付ける（ステップＳ６）。ここ
で、デバッグ作業者１５が比較ログを指定するのではな
く、本実施形態の装置が、有意な比較を行えるように類
似度の高いログを検索するよう構成してもよい。この場
合、例えば本願と同一出願人による出願に係る特願平１
２−１６３７９２号に記載の技術を利用し、対象ログと
の比較に適したログを得て、これを上記比較ログとす
る。イベント抽出部１０は、対象ログと比較ログとの差
分ログを生成すると、この差分ログを構成する各イベン
トについて、例えば閾値抽出設定部９において設定され
た閾値以下の稀少度を有するイベントがログ特徴として
抽出（ステップＳ７）され、ログ表示部５において表示
される（ステップＳ９）。

【００３３】また、本実施形態は、稀少度に基づき抽出
されたイベント群をソートして表示出力することも可能
に構成される。ソート部４は、ログ特徴の抽出条件に応
じて、全ての動作ログのそれぞれのイベント群、対象ロ
グのイベント群、対象ログにおいて閾値以下の稀少度を
有するイベント群、対象ログと比較ログとの差分ログの
イベント群、あるいは差分ログにおいて閾値以下の稀少
度を有するイベント群をソート処理する（ステップＳ
８）。具体的には、稀少度に沿ってイベント群を昇順に
ソートする。

【００３４】例えば対象ログを動作ログＦとし、この対
象ログから閾値３０以下の稀少度を有するイベント群
｛ｃ，ｆ｝が抽出されている場合、各イベントの稀少度
はそれぞれ２９，１４である（図６参照）ので、これを
昇順に並び替えて｛ｆ，ｃ｝の順番として出力する。ロ
グ表示部５はこのようにソートされたログ特徴を表示す
る（ステップＳ９）。

【００３５】ステップＳ９において、ログ表示部５は、
ログ特徴として抽出されたイベント群を強調表示した
り、そのイベントの稀少度の値を併せて表示したり、そ
のイベントの発生有無を表示したりする。

【００３６】以上説明したように、本実施形態によれ
ば、デバッグ作業者１５から与えられた種々の指定条件
に応じて、ログ１００から対象プログラムのデバッグに
有用な特徴（異常動作時の特徴など）を抽出してデバッ
グ作業者１５に提示することができる。したがって、デ
バッグ作業者１５はログ１００の精査を行う際の指針を
得ることができ、デバッグ作業を効率的に行うことがで
きるようになる。

【００３７】（第２実施形態）次に、本発明の第２実施
形態を説明する。第２実施形態は、ログに関する条件を
デバッグ作業者が指定した上でログ特徴抽出を行うもの
である。

【００３８】図８は、第２実施形態に係るログ特徴抽出
装置の概略構成を示すブロック図である。同装置におい
て、第１実施形態のものと同一の構成要素には同一の参
照符号を付してある。第２実施形態では、第１実施形態
に示した構成に対し、さらに、ログ群１００を構成する
複数の動作ログにおいて重複するログを特定する同一パ
ターン特定部６、およびログ群１００における動作ログ
の存在比率をデバッグ作業者が指定するためのログ比率
指定部７が付加されている。

【００３９】動作ログの準備段階として、以下の動作ロ
グがログ１００に記録済みであった場合を仮定する。 ログＦ ： ａｂｃａｂｃｅｇｈ ログＴ１ ： ａｄｅｆｇ ログＴ２ ： ａｂｅｆｈ ログＴ３ ： ａｄｅｆｇ ログＴ４ ： ａｂｅｆｇｈｇｈ 第１実施形態と同様に、第２実施形態においても先ず上
記動作ログＦ，Ｔ１〜Ｔ４に対してログ変換部１がログ
変換を行う。ログ変換により得られた変換ログＦ’，Ｔ
１’〜Ｔ４’の一覧を図９に示す。

【００４０】同一パターン特定部６は、変換ログＦ’，
Ｔ１’〜Ｔ４’において、パターンが同一であり重複す
る変換ログを特定する。図９を参照するに、ここでは変
換ログＴ１’とＴ３’とが重複するログであると特定さ
れる。なお、変換ログではなく変換前の動作ログから重
複ログを特定するようにしても良い。

【００４１】パターンが同一でありログ群１００におい
て重複する変換ログの組を一つの集合にまとめると、ロ
グ群１００は、以下４つの集合に分類される。

【００４２】 ｛Ｆ’｝ ｛Ｔ１’，Ｔ３’｝ ｛Ｔ２’｝ ｛Ｔ４’｝ 上記各変換ログの集合において、重複ログが複数存在す
る場合、代表に１つの要素（ログ）のみを残して他の要
素は削除する。例えば上記変換ログ集合｛Ｔ１’，Ｔ
３’｝において、変換ログＴ１’は代表として残し、Ｔ
３’は削除する。

【００４３】結果として、ここでは、変換ログＦ’，Ｔ
１’，Ｔ２’，Ｔ４’の４つがログ群１００となる。

【００４４】ログ比率指定部７は、対象プログラムを様
々な状況で実行させた場合、各ログが実際にはどれくら
いの割合で存在し得るかの指定をデバッグ作業者１５か
ら受け付ける。本実施形態では、ログ１００において記
録されているログはＦ，Ｔ１（Ｔ３），Ｔ２，Ｔ４の４
種類であるが、現実にプログラムを様々な状況で実行さ
せると以下のような存在比率と予想されたとする。

【００４５】 ログＦ ： １０％ ログＴ１ ： ２０％ ログＴ２ ： ４０％ ログＴ４ ： ３０％ このような動作ログの存在比率の指定がなされている場
合、イベント発生確率計算部２は、単純にログ群１００
に記録されている動作ログの本数に基くのではなく、与
えられた存在比率を用いて重み付けを行う。上記のよう
に動作ログの存在比率が指定されている場合、重み付け
されたイベント発生率は図１０及び図１１のようにな
る。なお、図１０は、イベント毎の発生確率を示す一覧
表、図１１は、これを示す棒グラフである。

【００４６】算出されたイベント毎の発生確率に基づ
き、上記第１実施形態と同様に稀少度算出等が行われ、
発生又は非発生が特徴的（稀少）なイベントとしてログ
特徴が抽出される。

【００４７】このような第２実施形態によれば、第１実
施形態と同様に、抽出されたログ特徴によりログ１００
の精査を行う際の指針を得ることができる。さらに、多
数のデバッグ実行を実際に行って動作ログを収集しなく
ても、これを同一パターンのログの存在比率を指定して
重み付けを行うことに代えることができ、ある程度有効
な精度でログ特徴を抽出できる。したがって、より効率
的にデバッグ作業を行えるようになる。

【００４８】以上説明した実施形態は、ソフトウェアと
して実現可能であり、コンピュータに所定の手段を実行
させるための（あるいはコンピュータを所定の手段とし
て機能させるための、あるいはコンピュータに所定の機
能を実現させるための）プログラムとして実施すること
もでき、該プログラムを記録したコンピュータ読取り可
能な記録媒体として実施することもできる。

【００４９】なお、この発明の実施の形態で例示した構
成は一例であって、それ以外の構成を排除する趣旨のも
のではなく、例示した構成の一部を他のもので置き換え
たり、例示した構成の一部を省いたり、例示した構成に
別の機能あるいは要素を付加したり、それらを組み合わ
せたりすることなどによって得られる別の構成も可能で
ある。また、例示した構成と論理的に等価な別の構成、
例示した構成と論理的に等価な部分を含む別の構成、例
示した構成の要部と論理的に等価な別の構成なども可能
である。また、例示した構成と同一もしくは類似の目的
を達成する別の構成、例示した構成と同一もしくは類似
の効果を奏する別の構成なども可能である。また、この
発明の実施の形態で例示した各種構成部分についての各
種バリエーションは、適宜組み合わせて実施することが
可能である。また、この発明の実施の形態は、個別装置
としての発明、関連を持つ２以上の装置についての発
明、システム全体としての発明、個別装置内部の構成部
分についての発明、またはそれらに対応する方法の発明
等、種々の観点、段階、概念またはカテゴリに係る発明
を包含・内在するものである。従って、この発明の実施
の形態に開示した内容からは、例示した構成に限定され
ることなく発明を抽出することができるものである。

【００５０】

【発明の効果】以上説明したように、本発明によれば、
対象プログラムの実行等において発生した一連のイベン
トを記録した複数のログからログ特徴を抽出する装置、
方法、およびプログラムを提供でき、デバッグ作業の効
率化、容易化を図ることができる。

【図面の簡単な説明】

【図１】本発明の第１実施形態に係るログ特徴抽出装置
の概略構成を示すブロック図

【図２】第１実施形態に係るログ特徴抽出装置の動作を
示すフローチャート

【図３】第１実施形態に係るログ変換結果を一覧表によ
り示す図

【図４】第１実施形態に係るイベント毎の発生確率を一
覧表により示す図

【図５】第１実施形態に係るイベント毎の発生確率を棒
グラフにより示す図

【図６】第１実施形態に係るイベント毎の稀少度を一覧
表により示す図

【図７】第１実施形態に係るイベント毎の稀少度を棒グ
ラフにより示す図

【図８】本発明の第２実施形態に係るログ特徴抽出装置
の概略構成を示すブロック図

【図９】第２実施形態に係るログ変換結果を一覧表によ
り示す図

【図１０】第２実施形態に係るイベント毎の重み付けさ
れた発生確率を一覧表により示す図

【図１１】第２実施形態に係るイベント毎の重み付けさ
れた発生確率を棒グラフにより示す図

【符号の説明】

１…ログ変換部 ２…イベント発生確率計算部 ３…稀少度計算部 ４…抽出イベント群ソート部 ５…ログ表示部 ６…同一パターン特定部 ７…ログ比率指定部 ８…対象ログ指定部 ９…抽出閾値設定部 １０…イベント抽出部 １１…比較ログ指定部 １５…ユーザ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 田村 文隆 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内 (72)発明者 平山 雅之 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内 Ｆターム(参考） 5B042 GC02 GC08 HH12 HH20 JJ10 MA08 MA10 MA11 MA14 MC40 NN01 NN08 NN31

Claims (9)

【特許請求の範囲】
1. 【請求項１】 一連のイベントが記録された複数のログ
   を入力し、所定のイベント列を用いてそれぞれのログを
   変換ログに変換するログ変換手段と、 少なくとも複数の前記変換ログに基づいて、前記イベン
   ト列を構成する各イベントの発生確率をそれぞれ計算す
   るイベント発生確率計算手段と、 前記計算された発生確率に基づいて、前記変換ログを構
   成する各イベントの稀少度を計算する稀少度計算手段
   と、 前記計算された稀少度の大小に基づいて、少なくとも一
   つのイベントをログ特徴として出力する出力手段と、 を具備することを特徴とするログ特徴抽出装置。
2. 【請求項２】 前記稀少度計算手段により計算された稀
   少度の順で前記ログ特徴をソートするソート手段を具備
   することを特徴とする請求項１に記載のログ特徴抽出装
   置。
3. 【請求項３】 前記複数のログの中からいずれか一つの
   対象ログを指定する対象ログ指定手段を具備し、 前記出力手段は、前記対象ログのイベント列のみについ
   て前記ログ特徴を出力することを特徴とする請求項１又
   は２のいずれか一項に記載のログ特徴抽出装置。
4. 【請求項４】 稀少度の閾値を指定する閾値指定手段を
   具備し、 前記出力手段は、指定された閾値に基づいて前記ログ特
   徴のイベントを限定して出力することを特徴とする請求
   項１乃至３のいずれか一項に記載のログ特徴抽出装置。
5. 【請求項５】 前記対象ログと比較するログを指定する
   比較ログ指定手段と、 前記対象ログと前記比較ログとの差分を取得する手段
   と、を具備し、 前記出力手段は前記差分に含まれるイベント列から前記
   ログ特徴を出力することを特徴とする請求項３又は４の
   いずれか一項に記載のログ特徴抽出装置。
6. 【請求項６】 前記複数のログの中の少なくともいずれ
   かのログの存在比率を指定するログ比率指定手段を具備
   し、 前記イベント発生確率計算手段は、前記存在比率に応じ
   た重み付けをして当該ログ中の各イベントの発生確率を
   計算することを特徴とする請求項１乃至５のいずれか一
   項に記載のログ特徴抽出装置。
7. 【請求項７】 パターンが同一である前記変換ログの組
   を特定する同一パターン特定手段と、前記パターンが同
   一である前記変換ログの組のうち、一つを残して他を削
   除する手段と、を具備することを特徴とする請求項１乃
   至６のいずれかに記載のログ特徴抽出装置。
8. 【請求項８】 一連のイベントが記録された複数のログ
   を入力するステップと、 所定のイベント列を用いてそれぞれのログを変換ログに
   変換するステップと、 少なくとも複数の前記変換ログに基づいて、前記イベン
   ト列を構成する各イベントの発生確率をそれぞれ計算す
   るステップと、 前記計算された発生確率に基づいて、前記変換ログを構
   成する各イベントの稀少度を計算するステップと、 前記計算された稀少度の大小に基づいて、少なくとも一
   つのイベントをログ特徴として出力するステップと、を
   具備することを特徴とするログ特徴抽出方法。
9. 【請求項９】 コンピュータを、 一連のイベントが記録された複数のログを入力し、所定
   のイベント列を用いてそれぞれのログを変換ログに変換
   するログ変換手段、 少なくとも複数の前記変換ログに基づいて、前記イベン
   ト列を構成する各イベントの発生確率をそれぞれ計算す
   るイベント発生確率計算手段、 前記計算された発生確率に基づいて、前記変換ログを構
   成する各イベントの稀少度を計算する稀少度計算手段、 前記計算された稀少度の大小に基づいて、少なくとも一
   つのイベントをログ特徴として出力する出力手段、とし
   て機能させるためのログ特徴抽出プログラム。