(57)【要約】【課題】異常箇所の検出を容易に行うことのできるログ解析支援システムを得る。【解決手段】入力部１１０は、ログ情報を、一つの処理毎に分割し、発生順に並んだログ情報リスト１１３としてログ情報格納部１１２に格納する。抽出部１２０は、抽出条件に基づいて特定の処理に関する処理区間毎に区切った抽出ログリスト１２６を生成する。表示部１３０は、第１の座標軸を時間軸とし、第２の座標軸を、ログを生成する対象システムのリソース情報に含まれる項目を用いて設定し、２次元のグラフとしてログを表示する。【選択図】図２
2012203522.tif 000002
【特許請求の範囲】
【請求項１】
生成されたログを入力する入力部と、
予め、一つの動作に関する処理の開始点となるログと、終了点となるログを定義し、これら定義に従って、入力されたログを特定の処理に関する処理区間毎に区切って抽出する抽出部と、
前記区間単位で抽出したログを表示する表示部とを備えたことを特徴とするログ解析支援システム。
【請求項２】
抽出部は、グラフィックユーザインタフェース動作に関する処理区間を一つの処理区間として抽出する事を特徴とする請求項１記載のログ解析支援システム。
【請求項３】
表示部は、第１の座標軸である時間軸に対し、ログを生成する対象システムのリソース情報に含まれる項目を用いて多次元表示するための追加座標軸を設定し、ログ情報を多次元のグラフとして表示させるための表示データを生成する表示処理部を備えたことを特徴とする請求項１または請求項２記載のログ解析支援システム。
【請求項４】
表示部は、比較する複数の処理区間のデータを、時間軸を揃えて表示させるための表示データを生成する比較表示部を備えたことを特徴とする請求項１から請求項３のうちのいずれか１項記載のログ解析支援システム。
【請求項５】
表示部は、時間軸として複数の処理区間のデータの発生順としたことを特徴とする請求項３または請求項４記載のログ解析支援システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、主としてソフトウェアの障害解析を行うためのログ解析支援システムに関する。
【背景技術】
【０００２】
従来より、ソフトウェアでは、動作に関する情報をログ情報として記録する事が行われており、障害発生時には、ログ情報を元に原因の特定を行っている。ログ情報には、発生したイベントの内容や、行った処理の内容、システムの状態など様々な情報が、時刻と共に記録されており、障害発生時には、ログを元に障害原因の解明を行う。
【０００３】
障害発生時には、障害が発生した事を知らせるログが出力される場合もある。この場合は、障害発生を知らせるログを探すだけなので、ログ情報がいくら大量にあっても、単なる検索作業で、障害発生箇所を特定できる。
【０００４】
しかし、想定外の事態によって、意図したものとは異なる結果が発生した場合は、ソフトウェアとしては異常と認識せずに処理が続行されてしまう事がある。このような場合は、障害発生を知らせるログは存在しないため、作業者が障害に関係しそうなログを抽出し、正常動作と比較して、障害の原因となった異常動作を特定する必要がある。しかし、一般的にログ情報は大量に出力され、その中から異常個所を発見する作業は容易ではない。
【０００５】
予め想定できる異常動作であれば、そのパターンを記録しておき、ログと比較する事で、検出を自動化する事が考えられる。この方法は、システムに対する不正アクセスの検出のように、予め想定されている異常動作に対しては有効であるが、一般的に、障害は予期しない動作によって引き起こされるため、異常動作を想定して登録する方法は適さない。
そこで、ログの特徴を分析し、異常と思われる箇所の候補を提示する方法が提案されている。例えば、特許文献１に示された従来装置では、ログの出現頻度を計算し、出現頻度の低いログを、異常動作の可能性が高いと判定している。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００６−１５５０６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記特許文献１に示された装置のように、出現頻度の低いログを異常動作の候補と判断する方法では、普段は発生しないような異常処理が発生した場合に効果が限定され、必要な処理の欠落や、順序の逆転など、処理の手順が原因となる障害の検出は困難である。
このような原因の特定には、その動作に関する処理全体のログの検証が必要であるが、従来では、ある動作に関する処理のログ範囲を特定するといった技術は存在しておらず、作業者が自ら判断する必要があった。
また、ログの範囲を特定しても、一つの動作の処理手順が常に完全に同じとは限らない。機械的な照合では、一致率や特徴動作の指定などが考えられるが、照合結果を見ながら、このような条件を細かく再調整するのは手間がかかる。このような場合、作業者が、大凡の傾向を見て大雑把に比較する方が適しているが、従来では大凡の傾向を見るために適した方法が存在しなかった。
【０００８】
この発明は上記のような課題を解決するためになされたもので、異常箇所の検出を容易に行うことのできるログ解析支援システムを得ることを目的とする。
【課題を解決するための手段】
【０００９】
この発明に係るログ解析支援システムは、生成されたログを入力する入力部と、予め、一つの動作に関する処理の開始点となるログと、終了点となるログを定義し、これら定義に従って、入力されたログを特定の処理に関する処理区間毎に区切って抽出する抽出部と、区間単位で抽出したログを表示する表示部とを備えたものである。
【発明の効果】
【００１０】
この発明のログ解析支援システムは、一つの動作に関する処理の開始点となるログと、終了点となるログを定義し、これら定義に従って、入力されたログを特定の処理に関する処理区間毎に区切って抽出するようにしたので、ログの傾向を比較することができるため、異常箇所の検出を容易に行うことができる。
【図面の簡単な説明】
【００１１】
【図１】この発明の実施の形態１によるログ解析支援システムを示す構成図である。
【図２】この発明の実施の形態１によるログ解析支援システムを動作例と共に示す構成図である。
【図３】この発明の実施の形態１によるログ解析支援システムの処理区間毎に抽出したログと加工後のログとを示す説明図である。
【図４】この発明の実施の形態１によるログ解析支援システムの複数の処理区間のログの表示例を示す説明図である。
【図５】この発明の実施の形態１によるログ解析支援システムの比較表示部を追加した場合の表示部の構成図である。
【図６】この発明の実施の形態１によるログ解析支援システムの比較表示用に再加工した後のログと、その加工手順を示す説明図である。
【図７】この発明の実施の形態１によるログ解析支援システムの複数の処理区間を時間軸を揃えて表示する表示例の説明図である。
【図８】この発明の実施の形態１によるログ解析支援システムの複数の処理区間を時間軸を揃え、重ねて表示する表示例の説明図である。
【図９】この発明の実施の形態２によるログ解析支援システムの表示例を示す説明図である。
【発明を実施するための形態】
【００１２】
本発明では、まず、解析対象とする動作を、きっかけとなる処理と、結果となる処理で、ログの区間が明確に規定できる種類の動作に限定する。
例えば、複数の機能が、イベントによって互いに連携して動作するシステムであれば、あるイベントＡをきっかけとして処理が開始され、そこから更に複数のイベントが発生して複数の機能が連携して処理を行い、最終的にイベントＡに起因して発生した全てのイベントが処理されて、一つの動作が完結する。きっかけとなるイベントＡから、結果となる全てのイベントの処理が終了するまでが、一つのイベント処理動作に関する処理の範囲と言える。
また、制御システムであれば、外乱をきっかけとして、内部で制御処理が発生し、結果として内部状態が静定する。この場合は、外乱の発生から、内部状態の静定までが、一つの制御動作に関する処理の範囲と言える。
本発明では、マルチプロセスやマルチスレッドのように、同時並行処理によって出力されるログは対象としない。
【００１３】
本発明では、動作に関する処理の範囲毎に、ログを区切って抽出する事で、大量のログの中から対象箇所を探す手間が不要になり、各動作のログの比較を容易に行う事ができる。
更に、区間を特定したログを比較する際に、着目する特徴だけを抜き出して多次元のグラフとして表示する。通常のログは、時間軸だけの１次元の情報である。これに対して、時間以外の要素を第２、第３の軸として、ログをグラフ化する事によって、処理の傾向を図形として表示出来る。この結果、作業者が細かい情報を無視して処理の傾向を容易に把握する事ができる。以下、この発明の実施の形態１について説明する。
【００１４】
実施の形態１．
図１は、この発明の実施の形態１によるログ解析支援システムを示す構成図である。
図１に示すログ解析支援システムは、生成されたログファイル１００を入力する入力部１１０と、予め、一つの動作に関する処理の開始点となるログと、終了点となるログを定義し、これら定義に従って、入力されたログを特定の処理に関する処理区間毎に区切って抽出する抽出部１２０と、区間単位で抽出したログを表示する表示部１３０から構成されている。
【００１５】
入力部１１０は、ログ情報を読み込むための入力処理部１１１と、読み込んだログを格納するためのログ情報格納部１１２を備えている。
入力部１１０が読み込むログ情報は、発生したイベントの内容や、行った処理の内容、システムの状態など、様々な情報が、その時刻と共に記録されている。ログ情報には、全てのログがまとめて記録されているため、入力処理部１１１は、この情報を一つの処理毎に分割し、発生順に並んだログのリストとして、ログ情報格納部１１２に格納する。
なお、入力処理部１１１は、ファイルやシリアル出力などの外部情報を入力するためのインタフェースと、読み込む情報をユーザが指定するために、ファイル選択手段などの一般的なインタフェースを持つものとする。
【００１６】
抽出部１２０は、動作毎の処理範囲の定義条件を設定するための抽出条件設定部１２１と、設定された定義条件を格納するための抽出条件格納部１２２と、設定された条件に従って区間単位でログを抽出する抽出処理部１２３と、抽出したログを格納するための抽出ログ格納部１２４とを備えている。
【００１７】
処理範囲の定義条件とは、一つの動作に関する処理の開始点となるログと、終了点となるログを定義する事である。例えば、グラフィックユーザインタフェース（以下、ＧＵＩ）に着目した場合、ユーザ操作をきっかけとしてシステム内の処理が実行され、最終的に描画の更新が行われる。ユーザ操作を記録したログが開始点のログ、描画処理を記録したログが終了点のログとなる。ユーザ操作とは、ハードウェアのボタン押下や、タッチパネル操作などを指す。終了点の定義は、特定の処理のログだけでなく、一定時間以上、特定の処理が発生していない、などの条件の指定でも構わない。
【００１８】
抽出条件設定部１２１では、動作と処理範囲の定義条件を抽出条件格納部１２２に登録する。定義条件の入力は、設定ファイルなどで入力するか、あるいは、ユーザが対話的に入力する手段を提供してもよい。実施の形態１では、ユーザは登録された動作の中から、抽出する動作を選択するものとする。
【００１９】
抽出処理部１２３は、指定された動作に関する処理範囲毎にログを区切って抽出し、抽出ログ格納部１２４に登録する。
【００２０】
表示部１３０は、区間単位で抽出したログの中から、更に条件を限定するための検索処理部１３１と、ログを多次元のグラフとして表示するための条件を設定する表示条件設定部１３２と、設定された表示条件に従って多次元のグラフとして表示するための変換処理を行う表示処理部１３３と、グラフを表示するためのインタフェースを備えるグラフ表示部１３４と、設定した表示条件を格納する表示条件格納部１３５とを備えている。
【００２１】
処理区間を切り出すための動作は、ＧＵＩ操作や制御操作といった、大きな単位であり、始点ログとなる処理は複数存在する。例えば、ＧＵＩ操作であれば、始点ログとなるのは「ユーザ操作」という種類の処理であるが、「ユーザ操作」には、ＥＮＴＥＲキー押下、音量操作、メニュー選択など、様々な操作がある。そこで、検索処理部１３１において、処理区間毎に切り出したログの中から、２次的な絞込みを行う。
【００２２】
ログ情報は、通常、ログの発生時刻や発生順などの時間軸で並べた１次元のリストである。これを、多次元のグラフとして表示するには、第２、第３の軸を作る必要がある。表示条件設定部１３２では、第２、第３の軸として使用する項目を定義する。表示処理部１３３では、指定された項目の情報をログから取り出し、グラフとして表示可能なデータを作成し、グラフ表示部１３４でグラフを表示する。
【００２３】
なお、グラフが２次元であるか３次元であるかは重要ではない。重要なのは、時間軸という１次元だけの座標軸を持つリストであるログに対し、他の要素の座標軸を追加する事で図形として表示可能にするという点である。
【００２４】
表示処理部１３３では、指定された項目を座標軸として、グラフを作成するため、指定された項目に関する情報を取り出し、グラフとして表示可能なデータを作成して、グラフ表示部１３４に送出し、グラフ表示部１３４では表示処理部１３３からのデータに基づいてグラフを表示する。
【００２５】
また、本発明のログ解析支援システムはコンピュータを用いて実現され、上述した入力処理部１１１、抽出条件設定部１２１、抽出処理部１２３、検索処理部１３１、表示条件設定部１３２及び表示処理部１３３は、それぞれの機能に対応したソフトウェアと、これらのソフトウェアを実行するためのＣＰＵやメモリといったハードウェアから構成されている。あるいは、これら機能部の少なくとも一部を専用のハードウェアで構成してもよい。
【００２６】
次に、実施の形態１のログ解析支援システムの具体的な動作を図２に基づいて説明する。
まず、入力部１１０において、ログファイル１００に記録されたログ情報を読み込む。この時点では、大量のログが一つの大きなデータとなっているので、既定の区切り情報に従って、一つずつのログに分解する。ここでは、ログファイル１００はテキストファイルとして生成され、改行文字が個々のログの区切りを示している。
入力処理部１１１は、ログファイル１００を読み込み、改行毎に一つのログとして取り出す。ログは発生時刻と、ログの内容の組み合わせを一つの要素として、ログ情報格納部１１２のログ情報リスト１１３に追加する。
【００２７】
次に、抽出部１２０では、指定された動作に関する処理区間毎の抽出を行う。
抽出条件設定部１２１において、抽出条件格納部１２２に格納された動作のリスト（抽出条件リスト１２５）を図示しないディスプレイ等で提示し、どの動作に対する処理のログを切り出すのかをユーザに指定させる。ここでは、ユーザはＧＵＩ動作のログを取り出すため、ＧＵＩ動作を選択したとする。なお、抽出可能な動作と、その動作の開始点ログと終了点ログの定義は、設定ファイルなどで登録したり、追加登録用のインタフェースを提供してユーザが追加できるようにすることが望ましい。
【００２８】
抽出する動作が指定されると、抽出処理部１２３では、ログ情報格納部１１２に格納されたログ情報リスト１１３に対し、先頭から順に探査を行う。始点となるログを見つけると、その箇所を記録しておき、終点となるログを探す。終点となるログを見つけると、先に見つけた始点ログから、この終点ログまでを一つの範囲として抽出する。抽出した範囲内のログを、一つの要素として、抽出ログ格納部１２４の抽出ログリスト１２６に登録する。こうして定義されるログの範囲を、処理区間と呼ぶ。終点ログが見つからないまま、次の始点ログが出現した場合は、次の始点ログの手前までを処理区間とみなす。これにより、終点ログが欠落する障害の場合でも、処理区間を切り出す事が出来る。
実施の形態１では、ＧＵＩ動作を抽出対象として選択する。ＧＵＩ動作は、ユーザ操作や外部イベントの発生を始点とし、描画処理を終点とする範囲を処理区間とする。ただし、描画更新が発生しない場合もあるので、この場合は、次の描画処理区間の開始位置の直前までが処理区間として抽出する。
【００２９】
最後に、表示部１３０において、ログをグラフ化して表示する。
まず、検索処理部１３１において、２次的な絞込みを行う。検索処理部１３１は、絞込み条件として指定可能な条件をユーザに提示し、選択させるインタフェースを備えているものとする。例えば、図２の抽出ログリスト１２６では、始点ログとなるユーザ操作はＡ，Ｂの２種類が含まれている。ここで、ユーザ操作Ａに限定して絞込みを行うと、区間３のユーザ操作ＢをトリガとするＧＵＩ操作のログは表示対象から外れる。なお、この絞り込みは、必ずしも表示処理の最初に行う必要はない。障害発生箇所を特定する事の見通しが全く立たない場合は、まず、ＧＵＩ操作の処理区間を全て表示し、そこから、疑わしいと思われる操作を徐々に絞りこむ、という使い方であってもよい。
【００３０】
次に、ユーザが表示条件設定部１３２において、第２の座標軸とする項目を設定する。ここではイベントの優先度を設定する。追加座標軸に設定する項目の候補は、解析対象のソフトウェアによって異なるので、設定ファイルなどで登録したり、追加登録用のインタフェースを提供してユーザが追加できるようにしてもよい。図示例では表示条件リスト１３６が設けられている。
【００３１】
追加座標軸に設定する項目は、ログ情報に含まれている内容を指定する。ログ情報とは、処理の内容やシステムの状態、イベントの種類、イベントの優先度やメモリやＣＰＵなどのリソースの使用量、処理時間など、ログに含まれる情報を指す。また、処理時間はログに直接記述されていなくても、イベント処理開始のログとイベント処理終了のログの発生時刻の差分から計算する事もできる。このように、ログに直接記述されていなくても、ログを加工する事で取得可能な情報も、合わせてログ情報と呼ぶ。
【００３２】
ログ情報の中でも、メモリ使用量やＣＰＵ占有率、処理時間など、コンピュータのリソースの使用状況に関する情報をリソース情報と呼んで区別する。また、本発明では、イベント優先度のように、リソースを使用するための判断材料となる情報も、広い意味でのリソース情報とみなす。リソース情報は、隣り合う要素同士は関連性が高いため、処理特性を軸に設定する項目とした場合、機械的にグループ化して単位の粒度を変更できる。
更に、第３の座標軸として、メモリ使用量などを指定してもよい。ただし、実施の形態１では、説明を簡単にするため、第２の座標軸だけを追加した２次元のグラフとして表示する例を示す。
【００３３】
次に、表示処理部１３３では、抽出部１２０で作成した処理区間毎の抽出ログリスト１２６の内容を、グラフとして表示するための処理を行う。まず、一つ目の処理区間のログを取り出す。図３（ａ）は、抽出した処理区間のログの詳細を示したものである。この時点では、ログに記録されている全てのログ情報が含まれている。処理区間内のログを一つずつ取り出し、図３（ｂ）に示すように、ログ情報の中から、第２の座標軸の項目であるイベント優先度だけを取り出した表を作成する。この表に基づいて、図２のグラフ表示部１３４は、第１の座標軸１３７ａを発生時間とし、第２の座標軸１３７ｂをイベント優先度として、格納されているログを、一つずつ、グラフ中の該当位置にプロットし、線で結んだ折れ線グラフ１３７を表示する。これを全ての処理区間のログについて繰り返し、ログのグラフを表示する。この結果、ログの内容は、図４に示すように、単なる波形のような図形として表示できるため、作業者が目視で比較する際に、テキスト情報に比べて、遥かに容易に行うことができる。
複数の機能が連携する動作では、途中で発生する通信の繰り返し数が異なるなど、無視してよい違いが発生する場合があるが、このような場合でも、図形の大まかな形状だけを比較すればよい。
【００３４】
イベントの優先度に着目すると、動作の処理の傾向は、ある規則性が現れる。イベント駆動のシステムでは、イベントは優先度に従って処理され、個々のイベント処理の間に、他のイベントの処理が割り込む事はなく、一つのイベントの処理が終わる度に残りのイベントがチェックされ、その時点で最も優先度の高いイベントが処理される。イベントの処理によって新たなイベントが発生した場合は、まずは処理待ちのイベントリストに追加され、最初のイベントの処理が終わった時点で、優先度に従って処理される。
このため、イベントの優先度を座標軸とした場合、徐々に優先度の低いイベントに収束する傾向がある。イベントの処理によってより優先度の高い新たなイベントが発生すると、優先度の低い方に収束しかけた波が、また優先度の高い方に戻る。この小さな山は、一つの処理区間内での、更に小さな処理区間と言える。
【００３５】
実施の形態１では、イベントの優先度が低・中・高の３種類ある場合、開始点となるユーザ操作と、終了点となる描画処理を優先度低の下のレベルに位置づける。このように表示すると、折れ線と時間軸で囲まれた閉じた図形になる場合は描画処理で終了したケース、閉じていない図形は描画処理なしで終了したケースである事が一目で判断できる。
【００３６】
ログの表示は、図４（ａ）の画面４０１に示すように、連続で表示してもよいが、図４（ｂ）の画面４０２〜４０４に示すように動作単位で別の画面に表示する方法もある。図４（ａ）のように連続して表示した場合、全体の時間軸の中での動作の発生位置が明確になる。一方、図４（ｂ）のように動作単位で別の画面に表示すると、任意の処理区間のログを並べて表示する事ができるため、時間的に離れた位置にある処理区間を並べて比較したり、注目した処理区間だけを表示するなど、比較し易いというメリットがある。
【００３７】
次に、比較の方法として、ユーザが選択した任意の区間を、時間軸を揃えて表示する例について説明する。
図５は、この例における表示部１３０ａの構成を示している。この例では、図２で示したような基本のシステム構成に対し、比較表示部１３８を追加した構成である。なお、表示部１３０ａ以外の構成は図２と同様であるため、他の構成の図示は省略している。比較表示部１３８は、比較する処理区間について、先頭ログの時間軸上の位置が揃うように表示するため、比較表示用時刻の計算を行う。
【００３８】
図６（ａ）は、比較表示用に再加工したログリストを示し、図６（ｂ）は、比較表示用時刻を求めるための加工手順を示すフローチャートである。
先頭ログを基準として時間軸を揃える場合、まず、先頭ログの発生時刻ｔ０（図６（ａ）では発生時刻６０１）を取得し、このログの比較表示用時刻６０２に０を設定する（ステップＳＴ１）。次に、処理区間内に次のログがあるため（ステップＳＴ２）、２番目のログの発生時刻ｔｎ（発生時刻６０３）を取得し（ステップＳＴ３）、先頭ログの発生時刻（発生時刻６０１）を減算した値（ｔｎ−ｔ０）を、２番目のログの表示用時刻（比較表示用時刻６０４）に設定する（ステップＳＴ４）。これを繰り返して、処理区間内の全てのログについて、先頭ログの発生時刻を０とした場合の時刻を求めて、比較表示用時刻として登録する。即ち、ステップＳＴ２において処理区間内に次のログが無くなるまで繰り返す。これを、比較表示する全ての処理区間について実行する。
【００３９】
比較表示部１３８は、上記の処理で求めた比較表示用時刻を用いて、グラフ表示部１３４に対し、時間軸を揃えた比較用グラフの表示データを送出する。
比較表示の方法は、図７に示すように、時間軸上の基準位置７０１を揃えて並べて表示する他、図８に示すように、複数の処理区間を重ねて表示してもよい。比較する処理区間の数が多い場合は、並べて表示した方が見易く、比較する処理区間の数が少ない場合は、重ね合わせた表示の方が比較し易い。
【００４０】
なお、図８（ａ）は、先頭ログを基準として複数の処理区間を重ねた場合であり、先頭ログの位置が基準位置８０１となっている。また、図８（ｂ）は指定されたログを基準として複数の処理区間を重ねた場合である。すなわち、図８（ｂ）は、それぞれの処理区間の二つ目のログの位置を基準として表示した例である。二つ目のログが基準の位置８０２に位置するように、ログの発生時刻の補正を行って表示している。初期処理にバラツキがある事が分かっている操作などは、このように比較の基準点に任意のログを指定する事で、本当に比較したい部分を重ね合わせて比較する事ができる。
【００４１】
以上説明したように、実施の形態１のログ解析支援システムによれば、生成されたログを入力する入力部と、予め、一つの動作に関する処理の開始点となるログと、終了点となるログを定義し、これら定義に従って、入力されたログを特定の処理に関する処理区間毎に区切って抽出する抽出部と、区間単位で抽出したログを表示する表示部とを備えたので、ログの傾向を比較することができるため、異常箇所の検出を容易に行うことができる。
【００４２】
また、実施の形態１のログ解析支援システムによれば、抽出部は、グラフィックユーザインタフェース動作に関する処理区間を一つの処理区間として抽出するようにしたので、互いに重複しない処理区間を確実に抽出することができる。
【００４３】
また、実施の形態１のログ解析支援システムによれば、表示部は、第１の座標軸である時間軸に対し、ログを生成する対象システムのリソース情報に含まれる項目を用いて多次元表示するための追加座標軸を設定し、ログ情報を多次元のグラフとして表示させるための表示データを生成する表示処理部を備えたので、多次元のグラフとして表示することにより、図形として認識することができるため、ログの比較が容易となり、異常箇所の検出をより簡単に行うことができる。また、リソース情報に着目すると、特に一定のパターンが現れやすいため、異常パターンが発見し易く、さらに、隣り合う要素同士は関連性が高いため、機械的にグループ化して単位の粒度を変更することができる。すなわち、図形をより大雑把なレベルで見ることができる。
【００４４】
また、実施の形態１のログ解析支援システムによれば、表示部は、比較する複数の処理区間のデータを、時間軸を揃えて表示させるための表示データを生成する比較表示部を備えたので、比較対照の相違点を明確にすることができる。
【００４５】
実施の形態２．
上記実施の形態１では、イベントの発生時刻を時間軸として表示したが、時間軸を正規化して、発生時刻ではなく、発生順で表示した方が適している場合もあり、このような例を実施の形態２として説明する。なお、実施の形態２における図面上の構成は実施の形態１における図１や図２または図５に示す構成と同様であるため、これらの図を用いて説明する。
実施の形態２の表示処理部１３３は、時間軸として実施の形態１におけるイベントの発生時刻に代えてイベントの発生順とした表示データを生成する処理部である。これ以外のログ解析支援システムにおける構成は実施の形態１と同様である。
【００４６】
図９は、実施の形態２の表示例を示す説明図であり、第２の座標軸９０１に処理時間を使用する例である。
イベントは必ず一つずつ処理されるため、イベント処理の開始を示すログ（イベント開始ログ）から終了を示すログ（イベント終了ログ）までの時間を計算する事で、各イベントの処理時間を計算する事ができる。そこで、表示処理部１３３において、まず、各イベントの処理時間を計算する。各イベントのイベント開始ログに対応するイベント終了ログを見つけ、発生時刻の差分を、そのイベントの処理時間として記憶する。この場合、時間軸に発生時間をとるメリットはないので、時間軸９０２にはイベントの発生順を用いる。また、開始ログと終了ログの両方を表示する必要はないので、開始ログのみ表示する。先頭のイベントから順に、イベントの処理時間をプロットすると、グラフ表示部１３４において、図９（ａ）に示すグラフが表示できる。
【００４７】
処理時間のような物理量を第２の座標軸にする場合は、図９（ｂ）のように、棒グラフなどの方が直感的に判りやすい場合もある。棒グラフの場合は、一つの矩形９０３が、一つのイベント処理を示す。この場合、一つの画面にまとめて表示する場合は、処理区間を示す表示が必要となる。折れ線グラフなど、各ログの位置を結ぶ場合は、線で結ばれた一つの固まりが一つの処理区間であることが分かるが、棒グラフなどの場合は、どこまでが処理区間であるかが分からないためである。
そこで、図９（ｂ）に示すように、処理区間の始点ログと終了ログの位置に区切り線９０４，９０５を表示すると共に、対応する始点ログ位置の区切り線９０４と、終点ログ位置の区切り線９０５を関連付ける両方向矢印９０６を表示する。更に、終点ログが存在しない場合は、片方向矢印９０７を表示することで、終点ログの存在有無を区別して表示する。
【００４８】
以上説明したように、実施の形態２のログ解析支援システムによれば、表示部は、時間軸として複数の処理区間のデータの発生順としたので、例えば、処理時間を第２の座標軸に使用する場合など、発生時刻が意味を持たない場合に、パターンを単純化することで、複数の処理区間の比較を容易に行うことができる。また、抽出した処理区間が、時間軸上の一部にのみ存在する場合でも、ログを集約して見る事ができる。
【００４９】
なお、本願発明はその発明の範囲内において、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
【符号の説明】
【００５０】
１００  ログファイル、１１０  入力部、１１１  入力処理部、１１２  ログ情報格納部、１１３  ログ情報リスト、１２０  抽出部、１２１  抽出条件設定部、１２２  抽出条件格納部、１２３  抽出処理部、１２４  抽出ログ格納部、１２５  抽出条件リスト、１２６  抽出ログリスト、１３０  表示部、１３１  検索処理部、１３２  表示条件設定部、１３３  表示処理部、１３４  グラフ表示部、１３５  表示条件格納部、１３６  表示条件リスト、１３７  折れ線グラフ、１３８  比較表示部。
【図１】
2012203522.tif 000003
【図２】
2012203522.tif 000004
【図３】
2012203522.tif 000005
【図４】
2012203522.tif 000006
【図５】
2012203522.tif 000007
【図６】
2012203522.tif 000008
【図７】
2012203522.tif 000009
【図８】
2012203522.tif 000010
【図９】
2012203522.tif 000011