JP2016004297A - ログ分類装置、ログ分類方法、及びログ分類プログラム - Google Patents

Abstract

【課題】分散システム上のログを事象毎に分類することである。
【解決手段】ログ分類装置１０は、分散ログ収集部１１と特徴量変換部１３とログ分類部１４とを有する。分散ログ収集部１１は、複数のサーバ２１〜２４から複数のログ２１ａ〜２４ａを収集する。特徴量変換部１３は、分散ログ収集部１１により収集された複数のログ２１ａ〜２４ａの各々を特徴量に変換する。ログ分類部１４は、特徴量変換部１３による変換により得られた上記特徴量と、各ログの生成要因である事象を上記特徴量を基に定義付ける事象定義１２ｂとを用いて、複数のログ２１ａ〜２４ａを、上記事象毎に分類する。
【選択図】図１

Description

本発明は、ログ分類装置、ログ分類方法、及びログ分類プログラムに関する。

近年、複数のサーバを増減させて処理性能を調整し、安定性・可用性の高いシステムを安価に構築可能な分散システムが普及しつつある。分散システムは、一部のサーバの故障やリプレース、バージョンアップ等の事象発生に伴う部分的な停止の場合にも、システム全体としては停止することなく動作可能である。しかしながら、発生した事象が１つであっても、分散システムでは、複数のサーバが連携して動作するため、個々のサーバにおいて複数のエラーメッセージが出力されてしまう。このため、システムの運用者は、同時に大量のエラーログに直面することがあり、この様な場合には、生じた事象の切り分けに多大な労力やコストを費やすこととなる。また、大量のエラーログは、発生した事象（例えば、障害等）の特定を困難とし、サービスレベルの向上を阻害する要因となる。

すなわち、システム運用者は、ある事象が発生したとき、発生した事象のログの関連性を把握しなければならないが、分散システムでは、単一の事象に対し、複数のサーバで個別にログが定義されて出力されるため、各ログを特定の事象と関連付けることは困難である。この様な問題点を解決するために、分散環境においてログを分類する技術が提案されている。例えば、非特許文献１に記載されたログ分類技術は、単語出現頻度やログの長さ等の統計情報をログから抽出した後、該統計情報の大小に応じて、ログを視覚的に区別してユーザに提示するものである。

"見えログ：情報視覚化とテキストマイニングを用いたログ情報解析支援システム"、高田哲司、ITX2001（IPA Technology Expo）、主催：情報処理振興事業協会、後援：経済産業省、November,2001.

しかしながら、上述した従来の技術は、類似するログを集約したり、ログをフィルタリングしたりすることはできても、分散システム上に存在する複数のログを事象毎に分類することはできなかった。すなわち、従来の技術は、ログの一次切り分けを目的として、時間情報に基づくログの集約を行うものであり、生じている事象をログから分類することはできなかった。また、従来の技術では、単一のログのフィルタリングは可能であるが、複数のサーバのログを連携させた分析を行うことはできなかった。

開示の技術は、上記に鑑みてなされたものであって、分散システム上のログを事象毎に分類することができるログ分類装置、ログ分類方法、及びログ分類プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本願の開示するログ分類装置は、一つの態様において、複数のサーバから複数のログを収集する収集部と、前記収集部により収集された複数のログの各々を特徴量に変換する変換部と、前記変換部による変換により得られた前記特徴量と、各ログの生成要因である事象を前記特徴量を基に定義付ける事象定義とを用いて、前記複数のログを、前記事象毎に分類する分類部とを有する。

また、本願の開示するログ分類方法は、一つの態様において、ログ分類装置で実行されるログ分類方法であって、複数のサーバから複数のログを収集する収集工程と、前記収集工程にて収集された複数のログの各々を特徴量に変換する変換工程と、前記変換工程による変換により得られた前記特徴量と、各ログの生成要因である事象を前記特徴量を基に定義付ける事象定義とを用いて、前記複数のログを、前記事象毎に分類する分類工程とを含む。

更に、本願の開示するログ分類プログラムは、一つの態様において、複数のサーバから複数のログを収集する収集ステップと、前記収集ステップにて収集された複数のログの各々を特徴量に変換する変換ステップと、前記変換ステップによる変換により得られた前記特徴量と、各ログの生成要因である事象を前記特徴量を基に定義付ける事象定義とを用いて、前記複数のログを、前記事象毎に分類する分類ステップとをコンピュータに実行させる。

本願の開示するログ分類装置、ログ分類方法、及びログ分類プログラムは、分散システム上のログを事象毎に分類することができるという効果を奏する。

図１は、ログ分類装置の機能構成を示すブロック図である。 図２は、分散ログ収集部の動作を説明するための図である。 図３は、特徴量変換部の動作を説明するための図である。 図４は、ログ分類部の動作を説明するための図である。 図５は、ログ分類装置の実行するログ分類処理を説明するためのフローチャートである。 図６は、ログ分類プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。

以下に、本願の開示するログ分類装置、ログ分類方法、及びログ分類プログラムの実施例を、図面を参照しながら詳細に説明する。なお、以下の実施例により本願の開示するログ分類装置、ログ分類方法、及びログ分類プログラムが限定されるものではない。

まず、本願の開示する一実施例に係るログ分類装置１０の構成を説明する。図１は、ログ分類装置１０の機能構成を示すブロック図である。図１に示す様に、ログ分類装置１０は、分散ログ収集部１１と記憶部１２と特徴量変換部１３とログ分類部１４とを有する。これら各構成部分は、一方向又は双方向に、信号やデータの入出力が可能な様に接続されている。

分散ログ収集部１１は、分散システム２０を構成する複数のサーバ２１〜２４に存在する複数のログ２１ａ〜２４ａを収集する。ログの収集方法は、例えば、ネットワーク経由でログを受信する方法でもよいし、外部媒体を用いてログをコピーする方法でもよい。また、ログ２１ａ〜２４ａの種類は、発生した事象に応じて異なるが、例えば、エラーログ、プロキシログ、リプリケータログ等である。事象に関しても、複数のサーバ２１〜２４の内、少なくとも１台のサーバの故障、リプレース、バージョンアップ等、任意である。

記憶部１２は、複数の特徴量変換定義１２ａと複数の事象定義１２ｂとを記憶する。特徴量変換定義１２ａは、ログ２１ａ〜２４ａから特徴量を抽出するために使用されるパターンファイルであり、例えば、正規表現パターン、文字列パターン等のファイルである。また、適用される特徴量変換定義１２ａは、ログ２１ａ〜２４ａの属性や種類に応じて異なってもよく、複数の特徴量変換定義１２ａの中から、パターンマッチング等によって選択される。事象定義１２ｂは、ログとログ集合との間のマッチングルールであり、ログ分類部１４は、事象定義１２ｂの参照により、ある単一のログと、ある事象に分類されたログ集合とのマッチングが可能となる。

特徴量変換部１３は、記憶部１２の特徴量変換定義１２ａを参照して、分散ログ収集部１１から入力されたログの各々から、特徴量を抽出し、プロセッサが処理し易い形式にログを変換する。抽出される特徴量は、ログ分類の対象となる分散システムにより異なる。例えば、本実施例に係る分散システム２０では、サーバやモジュール間における通信が重要な要素となるため、例えば、ログの送信元サーバの情報、ログの送信先サーバの情報、メッセージタイプ、時刻等の情報が特徴量として抽出される。

ログ分類部１４は、特徴量変換部１３から入力されるログ情報（例えば、特徴量）と、事前に記憶部１２に記憶されている事象定義１２ｂとを用いて、ログ２１ａ〜２４ａを事象毎に分類する。なお、事象は、発生原因が同一であっても、例えば、発生箇所や発生時刻によって、異なるものとして扱われる。従って、事象による分類結果は、同一原因による事象であっても、その発生箇所や発生時刻等、オペレーション上切り分けるべきものの単位によって、切り分け可能である。

次に、ログ分類装置１０の動作を説明する。

図２は、分散ログ収集部１１の動作を説明するための図である。図２では、ＴＣＰ（Transmission Control Protocol）、ＵＤＰ（User Datagram Protocol）等を用いたログの監視、及びＦＴＰ（File Transfer Protocol）、ＳＣＰ（Secure Copy Protocol）、ＳＦＴＰ（Secure shell File Transfer Protocol）等を用いたログファイルの取得を例示する。図２に示す様に、分散ログ収集部１１は、例えば、ＩＰ（Internet Protocol）アドレス“10.100.20.200”を有するサーバ２１から、ログ平文２１ａ−１“Jan 16 12:03:41 ERROR with server…”のログ２１ａを受信する。次に、分散ログ収集部１１は、ログ２１ａの平文２１ａ−１に対して、ソース情報（例えば、ＩＰアドレス、ログファイル名）を付加し、例えば“（10.100.20.200,proxy.log）Jan 16 12:03:41 ERROR with server…”として、後段の特徴量変換部１３に出力する。

図３は、特徴量変換部１３の動作を説明するための図である。図３では、分散ログとして、ソース情報が“10.100.20.201,proxy.log”、平文が“Jan 16 12:04:10 proxy ERROR with file-server 10.100.20.23:6000/dv4:Connection refused”のログが、特徴量変換部１３に入力された場合を例示する。この場合、特徴量変換部１３は、後段のログ分類部１４においてログの分類に使用される情報を、特徴量として抽出する。抽出される特徴量は、例えば、ログの送信元サーバ“10.100.20.201/proxy”、ログの送信先サーバ“10.100.20.23/file-server/dv4”、メッセージタイプ“CONREFUSED”、及びログの生成された時刻“1389841450”の各情報である。これら各情報は、図３に示す様に、ＩＰアドレス/プロセス/デバイスという様に、階層的に表現されるものとしてもよい。

図４は、ログ分類部１４の動作を説明するための図である。図４に示す様に、ログ分類部１４は、特徴量変換部１３から入力されるログ情報“10.100.20.201/proxy,10.100.20.23/file-server/dv4,CONREFUSED,1389841450”と、記憶部１２内の事象定義１２ｂとを用いて、ログ２１ａ〜２４ａの平文を、条件式にマッチするログ集合Ｃ１〜Ｃ３に分類する。事象定義１２ｂは、例えば、以下の条件式Ｅ１により定義される。例えば、条件ａ１が「送信先サーバの第１階層が全て同じ」、条件ａ２が「送信元サーバがproxyかつメッセージタイプがCONREFUSED」、条件ａ３が「送信先サーバがreplicatorかつメッセージタイプがCONREFUSED」、条件ａ４が「時間差が30分以内のものが少なくとも１つ」である場合、条件式Ｅ１は、図４に示す様に、ａ１∧（ａ２∨ａ３）∧ａ４と定義される。この条件式Ｅ１は、分類されるログと、既に分類済のログ集合に対して、反復的に適用されるものとしてもよい。

ここで、説明を簡単にするため、ログ分類の途中状態を想定する。また、事象定義ＲをＲ＝｛ｒ１，ｒ２，・・・，ｒｍ｝とし、ログが分類済である事象に対応するログ集合をＣｉとし、ログが分類済の事象の集合ＣをＣ＝｛Ｃ１，Ｃ２，・・・，Ｃｎ｝とする。なお、ｍ、ｉ、ｎは何れも自然数である。ログ分類部１４は、あるログに関し、Ｃ１からＣｎを順次取得し、ｒ１〜ｒｍの条件に一致するか否かを判定する。該判定の結果、ログ集合Ｃｉに関し、事象定義Ｒの中に条件が一致するものがあれば、ログ分類部１４は、上記ログをログ集合Ｃｉの要素とする。これに対し、Ｃに含まれる何れのログ集合とも条件が一致しない場合には、ログ分類部１４は、上記ログの存在を新たな事象の発生とみなし、そのログのみを含むログ集合をＣに追加する。

以下、図５を参照しながら、ログ分類装置１０の動作について、より詳細に説明する。

図５は、ログ分類装置１０の実行するログ分類処理を説明するためのフローチャートである。Ｓ１では、ログ分類部１４は、特徴量変換部１３から特徴量の集合Ｌを取得する。集合Ｌには、例えば、上記“10.100.20.201/proxy,10.100.20.23/file-server/dv4,CONREFUSED,1389841450”が要素として含まれる。Ｓ２では、ログ分類部１４は、集合Ｌが空集合でないか否かを判定する。該判定の結果、集合Ｌが空集合でない場合（Ｓ２；Ｙｅｓ）、ログ分類部１４は、集合Ｌから、１つのログｌ＝ｐｏｐ（Ｌ）を抽出する（Ｓ３）。

Ｓ４では、ログ分類部１４は、マッチング（上記条件式を満たすか否か）の確認対象となるログ集合番号ｉに対し、初期値として、ｉ＝１を設定する。Ｓ５では、ログ集合番号ｉがログ集合Ｃの数ｎ（Ｃ）以下であるか否かを判定する。該判定の結果、ｉ≦ｎ（Ｃ）である場合（Ｓ５；Ｙｅｓ）には、ログ分類部１４は、マッチング（上記条件式を満たすか否か）の確認対象となる事象定義番号ｊに対し、初期値として、ｊ＝１を設定する（Ｓ６）。なお、ｉ，ｊは自然数である。Ｓ７では、ログ分類部１４は、事象定義番号ｊが事象定義Ｒの数ｎ（Ｒ）以下であるか否かを判定する。

上記判定の結果、ｊ≦ｎ（Ｒ）である場合（Ｓ７；Ｙｅｓ）には、ログ分類部１４は、上記Ｓ３におけるログｌが、ｉ番目のログ集合Ｃｉと、ｊ番目の事象定義Ｒｊとに、マッチ（合致）するか否かの判定を行う（Ｓ８）。該判定の結果、ログｌがログ集合Ｃｉと事象定義Ｒｊとにマッチしない場合（Ｓ８；Ｎｏ）には、ログ分類部１４は、ｊに１を加算し（Ｓ９）、次の事象定義Ｒｊに対して、上述したＳ７以降の処理を実行する。同様に、上記Ｓ７における判定の結果、ｊ＞ｎ（Ｒ）である場合（Ｓ７；Ｎｏ）には、ログ分類部１４は、ｉに１を加算し（Ｓ１０）、次のログ集合Ｃｉに対して、上述したＳ５以降の処理を実行する。

また、上記Ｓ５における判定の結果、ｉ＞ｎ（Ｃ）である場合（Ｓ５；Ｎｏ）には、ログ分類部１４は、ログｌを新たなログ集合Ｃｉとみなす（Ｓ１１）。これにより、ログｌのみを構成要素とする新たなログ集合Ｃｉが作成される。その後、Ｓ２に戻る。更に、上記Ｓ８における判定の結果、ログｌがログ集合Ｃｉと事象定義Ｒｊとにマッチする場合（Ｓ８；Ｙｅｓ）には、ログ分類部１４は、ログｌを、マッチしたログ集合Ｃｉに追加する（Ｓ１２）。これにより、ログｌは、分類済のログ集合Ｃｉの構成要素の一つとなる。その後、Ｓ２に戻る。

なお、上記Ｓ２における判定の結果、集合Ｌが空集合である場合（Ｓ２；Ｎｏ）には、ログ分類部１４は、一連のログ分類処理を終了する。

以上説明した様に、ログ分類装置１０は、分散ログ収集部１１と特徴量変換部１３とログ分類部１４とを有する。分散ログ収集部１１は、複数のサーバ２１〜２４から複数のログ２１ａ〜２４ａを収集する。特徴量変換部１３は、分散ログ収集部１１により収集された複数のログ２１ａ〜２４ａの各々を特徴量に変換する。ログ分類部１４は、特徴量変換部１３による変換により得られた上記特徴量と、各ログの生成要因である事象を上記特徴量を基に定義付ける事象定義とを用いて、複数のログ２１ａ〜２４ａを、上記事象毎に分類する。

また、ログ分類装置１０において、ログ分類部１４は、複数のログ２１ａ〜２４ａを上記事象毎に分類する際、複数のログ２１ａ〜２４ａの分類により得られたログ集合Ｃ１〜Ｃ３と、分類対象のログとのマッチングを行い、該マッチングにより得られた新たなログ集合を、次の分類対象となるログの分類に用いるものとしてもよい。更に、上記特徴量は、該特徴量に対応するログの送信元のサーバの情報（例えば、ＩＰアドレス、プロセス、デバイス）と、上記ログの送信先のサーバの情報（例えば、ＩＰアドレス、プロセス、デバイス）とを含むものとしてもよい。また、上記事象は、複数のサーバ２１〜２４の内、少なくとも１つのサーバにおいて発生した故障であり、複数のログ２１ａ〜２４ａは、上記故障を契機として生成されるものとしてもよい。

ログ分類装置１０は、事象定義１２ｂを蓄える記憶部１２を有する。すなわち、ログ分類装置１０は、予め、事象の分類モデルを定義しておき、複数のログを関連付けて１つの事象として分類するので、ある事象に関連するログを、簡易かつ迅速に特定することができる。これにより、ログ分類装置１０は、分散構成を有するシステムにおいて機器単位で出力される各々のログを、事象ベースで分類することが可能となる。従って、システムの運用者が生じた事象を切り分けるための分析稼働に伴う労力やコストは削減される。また、発生した事象（例えば、障害等）の特定が容易となり、サービスレベルが向上する。更に、ログ分類装置１０は、ログから特徴量を抽出し、該特徴量に対するログ集合へのマッチングルール（例えば、事象定義Ｒ）を、ログが分類済のログ集合に対して、再帰的に繰り返し適用する。

また、ログ分類装置１０は、あらゆるログを特徴量に変換する変換式を有し、特徴量の中に分散単位（例えば、図１のサーバ２１〜２４）間の連携情報（例えば、図３の送信元情報、送信先情報）を保有する。すなわち、ログ分類装置１０は、各ログを特徴量に変換する際、リクエストの送信元と送信先との連携情報が特徴量に含まれる様に変換するため、分散環境における複数種のログを連携させたログ分類を行うことができる。

（ログ分類プログラム）
図６は、ログ分類プログラムによる情報処理がコンピュータ１００を用いて具体的に実現されることを示す図である。図６に示す様に、コンピュータ１００は、例えば、メモリ１０１と、ＣＰＵ（Central Processing Unit）１０２と、ハードディスクドライブインタフェース１０３と、ディスクドライブインタフェース１０４と、シリアルポートインタフェース１０５と、ビデオアダプタ１０６と、ネットワークインタフェース１０７とを有し、これらの各部はバスＢによって接続される。

メモリ１０１は、図６に示す様に、ＲＯＭ（Read Only Memory）１０１ａ及びＲＡＭ（Random Access Memory）１０１ｂを含む。ＲＯＭ１０１ａは、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３は、図６に示す様に、ハードディスクドライブ１０８に接続される。ディスクドライブインタフェース１０４は、図６に示す様に、ディスクドライブ１０９に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０９に挿入される。シリアルポートインタフェース１０５は、図６に示す様に、例えばマウス１１０、キーボード１１１に接続される。ビデオアダプタ１０６は、図６に示す様に、例えばディスプレイ１１２に接続される。

ここで、図６に示す様に、ハードディスクドライブ１０８は、例えば、ＯＳ（Operating System）１０８ａ、アプリケーションプログラム１０８ｂ、プログラムモジュール１０８ｃ、プログラムデータ１０８ｄ、特徴量変換定義１２ａ、事象定義１２ｂを記憶する。すなわち、開示の技術に係るログ分類プログラムは、コンピュータ１００によって実行される指令が記述されたプログラムモジュール１０８ｃとして、例えばハードディスクドライブ１０８に記憶される。具体的には、上記実施例で説明した分散ログ収集部１１と、特徴量変換部１３と、ログ分類部１４との各々と同様の情報処理を実行する各種手順が記述されたプログラムモジュール１０８ｃが、ハードディスクドライブ１０８に記憶される。また、ログ分類プログラムによる情報処理に用いられるデータは、プログラムデータ１０８ｄとして、例えばハードディスクドライブ１０８に記憶される。そして、ＣＰＵ１０２が、ハードディスクドライブ１０８に記憶されたプログラムモジュール１０８ｃやプログラムデータ１０８ｄを必要に応じてＲＡＭ１０１ｂに読み出し、上記各種手順を実行する。

なお、ログ分類プログラムに係るプログラムモジュール１０８ｃやプログラムデータ１０８ｄは、ハードディスクドライブ１０８に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０９等を介してＣＰＵ１０２によって読み出されてもよい。あるいは、ログ分類プログラムに係るプログラムモジュール１０８ｃやプログラムデータ１０８ｄは、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７を介してＣＰＵ１０２によって読み出されてもよい。

なお、上記実施例では、サーバ２１〜２４に発生する事象として、故障、リプレース、バージョンアップを例示したが、これらに限らず、上記事象は、例えば、ウィルス定義ファイルのダウンロード、定期バックアップ処理等、ログが生成される事象であればよい。

また、上述したログ分類装置１０の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的態様は、図示のものに限らず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することもできる。例えば、特徴量変換部１３と、ログ分類部１４とを１つの構成要素として統合してもよい。反対に、ログ分類部１４に関し、事象毎に通常のログ分類を実行する部分と、ログとログ集合とのマッチングにより再帰的なログ分類を実行する部分とに分散してもよい。更に、ハードディスクドライブ１０８を、ログ分類装置１０の外部装置として、ネットワークやケーブル経由で接続する様にしてもよい。

１０ ログ分類装置
１１ 分散ログ収集部
１２ 記憶部
１２ａ 特徴量変換定義
１２ｂ 事象定義
１３ 特徴量変換部
１４ ログ分類部
２０ 分散システム
２１、２２、２３、２４ サーバ
２１ａ、２２ａ、２３ａ、２４ａ ログ
２１ａ−１、２２ａ−１、２３ａ−１、２４ａ−１ ログ平文
１００ コンピュータ
１０１ メモリ
１０１ａ ＲＯＭ
１０１ｂ ＲＡＭ
１０２ ＣＰＵ
１０３ ハードディスクドライブインタフェース
１０４ ディスクドライブインタフェース
１０５ シリアルポートインタフェース
１０６ ビデオアダプタ
１０７ ネットワークインタフェース
１０８ ハードディスクドライブ
１０８ａ ＯＳ
１０８ｂ アプリケーションプログラム
１０８ｃ プログラムモジュール
１０８ｄ プログラムデータ
１０９ ディスクドライブ
１１０ マウス
１１１ キーボード
１１２ ディスプレイ
Ｃ１、Ｃ２、Ｃ３ ログ集合
Ｅ１ 条件式

Claims (6)

1. 複数のサーバから複数のログを収集する収集部と、
   前記収集部により収集された複数のログの各々を特徴量に変換する変換部と、
   前記変換部による変換により得られた前記特徴量と、各ログの生成要因である事象を前記特徴量を基に定義付ける事象定義とを用いて、前記複数のログを、前記事象毎に分類する分類部と
   を有することを特徴とするログ分類装置。
2. 前記分類部は、前記複数のログを前記事象毎に分類する際、前記複数のログの分類により得られたログ集合と、分類対象のログとのマッチングを行い、該マッチングにより得られた新たなログ集合を、次の分類対象となるログの分類に用いることを特徴とする請求項１に記載のログ分類装置。
3. 前記特徴量は、該特徴量に対応するログの送信元のサーバの情報と、前記ログの送信先のサーバの情報とを含むことを特徴とする請求項１に記載のログ分類装置。
4. 前記事象は、前記複数のサーバの内、少なくとも１つのサーバにおいて発生した故障であり、
   前記複数のログは、前記故障を契機として生成されることを特徴とする請求項１に記載のログ分類装置。
5. ログ分類装置で実行されるログ分類方法であって、
   複数のサーバから複数のログを収集する収集工程と、
   前記収集工程にて収集された複数のログの各々を特徴量に変換する変換工程と、
   前記変換工程による変換により得られた前記特徴量と、各ログの生成要因である事象を前記特徴量を基に定義付ける事象定義とを用いて、前記複数のログを、前記事象毎に分類する分類工程と
   を含むことを特徴とするログ分類方法。
6. 複数のサーバから複数のログを収集する収集ステップと、
   前記収集ステップにて収集された複数のログの各々を特徴量に変換する変換ステップと、
   前記変換ステップによる変換により得られた前記特徴量と、各ログの生成要因である事象を前記特徴量を基に定義付ける事象定義とを用いて、前記複数のログを、前記事象毎に分類する分類ステップと
   をコンピュータに実行させるためのログ分類プログラム。

Images