JP2019133246A - 順序制御プログラム、順序制御方法、及び情報処理装置 - Google Patents

Abstract

【課題】アノマリ事象対応の遅延による問題の発生を抑制できる順序制御プログラムを提供する。【解決手段】順序制御プログラムは、システムに含まれる複数のマシンの監視データに基づき、前記複数のマシンのいずれかで発生したアノマリ事象を検知するアノマリ事象検知処理を行い、複数のアノマリ事象が検知された場合、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、検知された前記複数のアノマリ事象それぞれの発生元のマシンごとに、該マシンで実行されるサービスに対して特定の関係性を有する他のサービスの数を特定し、検知された前記複数のアノマリ事象に関する情報を、特定した前記他のサービスの数に応じた順序で表示部に表示する、処理をコンピュータに実行させる。【選択図】図１２

Description

本件は、順序制御プログラム、順序制御方法、及び情報処理装置に関する。

サーバ装置、ストレージ装置、ネットワーク装置などを含むInformation and Communication Technology（ＩＣＴ）システムが知られている。また、例えばサーバ装置からCentral Processing Unit（ＣＰＵ）やメモリの使用状況に関する時系列データを採取して、使用状況の時間変化をモニタにグラフで表示する観測装置も知られている。特に、観測装置がＩＣＴシステムのアノマリ事象を検知し、アノマリ事象の発生状況をモニタに表示する技術も知られている（以上、例えば特許文献１参照）。

特開２０１７−０７２８８２号公報

ところで、アノマリ事象が大量に検知された場合、ＩＣＴシステムの運用者又は管理者（以下、単に運用者という。）には、アノマリ事象に対する対応の優先順位を判断し、そのアノマリ事象に対応することが求められる。特に、運用者にはアノマリ事象が検知されてからそのアノマリ事象に起因する問題が発生するまでの時間内で優先順位を判断し、そのアノマリ事象に対応することが求められる。

運用者が優先順位の判断を誤り、アノマリ事象に対する対応が遅延すると、そのアノマリ事象に起因する問題が発生する。例えば、システム障害を引き起こす可能性があるアノマリ事象が検知された場合に、運用者がそのアノマリ事象に対する対応の優先順位の判断を誤ると、システム障害が発生する可能性がある。仮に、システム障害が現実に発生すると、ＩＣＴシステムを利用する多くの利用者が影響を受けるおそれがある。

そこで、１つの側面では、アノマリ事象対応の遅延による問題の発生を抑制できる順序制御プログラム、順序制御方法、及び情報処理装置を提供することを目的とする。

１つの実施態様では、順序制御プログラムは、システムに含まれる複数のマシンの監視データに基づき、前記複数のマシンのいずれかで発生したアノマリ事象を検知するアノマリ事象検知処理を行い、複数のアノマリ事象が検知された場合、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、検知された前記複数のアノマリ事象それぞれの発生元のマシンごとに、該マシンで実行されるサービスに対して特定の関係性を有する他のサービスの数を特定し、検知された前記複数のアノマリ事象に関する情報を、特定した前記他のサービスの数に応じた順序で表示部に表示する、処理をコンピュータに実行させる。

１つの実施態様では、順序制御プログラムは、システムに含まれる複数の監視対象の監視データに基づき、前記複数の監視対象のいずれかについて発生したアノマリ事象を検知するアノマリ事象検知処理を行い、複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元の監視対象ごとに、該監視対象について発生したアノマリ事象の検知頻度を算出し、検知された前記複数のアノマリ事象に関する情報を、算出した前記検知頻度に応じた順序で表示部に表示する、処理をコンピュータに実行させる。

アノマリ事象対応の遅延による問題の発生を抑制することができる。

図１は情報処理システムの一例である。 図２はＣＭＤＢの一例である。 図３は分析サーバのハードウェア構成の一例である。 図４（ａ）は分析サーバのブロック図の一例である。図４（ｂ）はデータ記憶部の一例である。 図５は第１データ管理テーブルの一例である。 図６（ａ）は第２データ管理テーブル及び第３データ管理テーブルの一例である。図６（ｂ）は第４データ管理テーブルの一例である。 図７は第５データ管理テーブルの一例である。 図８はデータ収集部が実行する第１処理の一例を示すフローチャートである。 図９はアノマリ検知部及び表示順序制御部が実行する第２処理の一例を示すフローチャートである。 図１０は表示優先度の一例を説明する図である。 図１１はデータ可視化部が実行する第３処理の一例を示すフローチャートである。 図１２はアノマリ一覧画面の一例である。 図１３はアノマリ詳細画面の一例である。 図１４はアノマリ一覧画面の他の一例である。 図１５はアノマリ一覧画面の他の一例である。 図１６はアノマリ詳細画面の他の一例である。

以下、本件を実施するための形態について図面を参照して説明する。

（第１実施形態）
図１は情報処理システムＳの一例である。図２はConfiguration Management Database（ＣＭＤＢ）１４０の一例である。情報処理システムＳは、監視対象システム１００と構成収集サーバ１３０と記憶部としてのＣＭＤＢ１４０とを備えている。ＣＭＤＢ１４０は構成収集サーバ１３０に含まれていてもよい。また、情報処理システムＳは、性能監視サーバ１５０とイベント監視サーバ１７０とを備えている。さらに、情報処理システムＳは、管理サーバ１９０と情報処理装置としての分析サーバ２００と運用端末３００とを備えている。

尚、情報処理システムＳの構成要素から監視対象システム１００、構成収集サーバ１３０、ＣＭＤＢ１４０、性能監視サーバ１５０、イベント監視サーバ１７０、運用端末３００の少なくとも１つを除外してもよい。すなわち、情報処理システムＳは少なくとも管理サーバ１９０と分析サーバ２００とを備えていればよい。また、運用端末３００は、図１に示すように、入力部３１０、表示部３２０、及び制御部（不図示）を含むPersonal Computer（ＰＣ）によって実現することができる。運用端末３００をタブレット端末といったスマートデバイスによって実現してもよい。運用端末３００は運用者によって操作される。

監視対象システム１００は複数のホストマシン１１０を含んでいる。複数のホストマシン１１０の一部又は全部は互いに接続されている。複数のホストマシン１１０は通信ネットワークＮＷを介して構成収集サーバ１３０、性能監視サーバ１５０、及びイベント監視サーバ１７０と接続されている。通信ネットワークＮＷとしては、例えばインターネットやLocal Area Network（ＬＡＮ）などがある。ホストマシン１１０は例えばＷｅｂサーバ、アプリケーションサーバ、データベースサーバ、仮想化サーバといった各種のサーバ装置、ストレージ装置、ネットワーク装置などが該当する。したがって、監視対象システム１００は計算機システム又はＩＣＴシステムと呼ばれる場合もある。情報処理システムＳ又は監視対象システム１００のエンドユーザである利用者（不図示）は、監視対象システム１００にアクセスして、監視対象システム１００が実行又は提供（以下、単に実行という。）する複数のサービスを利用することができる。複数のサービスとしては、例えばデータ処理サービスや画像化サービスなど、業務支援に関するサービスがある。

尚、監視対象システム１００にはクラウド基盤又はクラウド環境（以下、単にクラウド基盤という。）を構築するソフトウェア群（例えばOpen Stackなど）が実装されている。より詳しくは、上述したホストマシン１１０によってはKeystoneと呼ばれるソフトウェアが実装されている。Keystoneは利用者の管理やアクセス制御といった認証機能を発揮する。また、ホストマシン１１０によってはNovaと呼ばれるソフトウェアが実装されている。Novaは仮想マシンを実行するコンピュート機能を発揮する。その他、Swift、Glance、Cinderなどのソフトウェアも知られている。これらのソフトウェアが互いに連携することによって、監視対象システム１００はクラウド基盤を実現する。

構成収集サーバ１３０は複数のホストマシン１１０にアクセスし、各ホストマシン１１０が有する種々の構成情報を動的に収集してＣＭＤＢ１４０に格納する。構成情報としては、ホストマシン１１０のハードウェア構成に関する情報（具体的にはホストマシンの名称やＩＰアドレスなど）や、仮想環境に関する情報（具体的にはハイパーバイザーの版数、ＣＰＵやメモリの使用状況など）がある。また、構成情報としては、Operating System（ＯＳ）やアプリケーションソフトウェア（以下、単にアプリという）に関する情報や、パッチ適用の状況及びアプリのパラメータ設定状況に関する情報もある。その他、構成収集サーバ１３０はアクセスしたホストマシン１１０が実行するサービスとそのサービスに関連する一世代上のサービスと一世代下のサービスを特定して構成情報として格納する。また、構成収集サーバ１３０は複数のホストマシン１１０の親子関係又は主従関係（以下、単に親子関係という。）を特定して構成情報として格納する。

これにより、ＣＭＤＢ１４０は、図２に示すように、各ホストマシン１１０の構成情報をホストマシン１１０毎に記憶する。例えば、「ホスト２」の名称を有するホストマシン１１０は「ホスト１」の名称を有するホストマシン１１０が親であり、「ホスト３」の名称を有するホストマシン１１０が子の関係を有する。また、「ホスト２」の名称を有するホストマシン１１０はサービス３、サービス４、及びサービス５を実行する。一方で、「ホスト２」の名称を有するホストマシン１１０が実行するサービスに関連するサービスとして、親の関係にあるホストマシン１１０が実行するサービス１及びサービス２と、「ホスト３」の名称を有するホストマシン１１０が実行するサービス６とがある。このように、複数のサービス１〜６にはホストマシン１１０の親子関係に伴う特定の関係性がある。したがって、例えば「ホスト２」の名称を有するホストマシン１１０に障害が発生すると、サービス３〜５及び一世代下のサービス６の実行が停止するが、一世代上のサービス１〜２の実行は継続する。尚、運用者が構成情報をＣＭＤＢ１４０に格納する操作を行って、運用端末３００がＣＭＤＢ１４０に構成情報を格納してもよい。

性能監視サーバ１５０は通信ネットワークＮＷを介して各ホストマシン１１０及び各ホストマシン１１０のリソースを監視する。具体的には、性能監視サーバ１５０はハードウェア資源（例えばＣＰＵやメモリなど）を監視する。性能監視サーバ１５０はソフトウェア資源を監視してもよい。性能監視サーバ１５０は監視対象であるリソースから性能や負荷といったデータを監視データとして取得する。監視データには、ＣＰＵ使用率やメモリ使用率、ディスクスループットなどがリソースの性能や負荷として含まれている。性能監視サーバ１５０は取得した監視データを様々な角度で対比して管理する。

イベント監視サーバ１７０は通信ネットワークＮＷを介して監視対象システム１００で発生する種々のイベント（事象）を監視する。例えば、イベント監視サーバ１７０は、監視対象システム１００で実行される複数のサービスのサービスレベルの低下の原因となり得るイベントが発生すると、そのイベントの発生を検知し、インシデント情報（以下、ＩＮＣチケットという。）を発行して管理サーバ１９０に通知する。詳細は後述するが、ＩＮＣチケットは、チケットの識別子、チケットの発行日時、発生したイベントに関連するサービスの名称、そのサービスを実行するホストマシン１１０の名称、発生したイベントの内容などを含んでいる。

管理サーバ１９０は不図示のチケットＤＢを備え、イベント監視サーバ１７０から通知されたＩＮＣチケットをチケットＤＢにより記憶して管理する。また、管理サーバ１９０は利用者端末（不図示）が発行して通知したＩＮＣチケットや運用端末３００が発行して通知した変更要求チケットをチケットＤＢにより記憶して管理する。利用者端末は利用者が利用する端末装置である。尚、利用者端末が発行したＩＮＣチケットには、チケットの識別情報、チケットの発行日時のほか、監視対象システム１００に関する問い合わせなどが含まれている。一方、運用端末３００が発行した変更要求チケットには、チケットの識別子、チケットの発行日時、ホストマシン１１０の変更により影響を受けるサービスの名称、そのサービスを実行するホストマシン１１０の名称、改変や修正といった変更内容などを含んでいる。

分析サーバ２００はＣＭＤＢ１４０、性能監視サーバ１５０、管理サーバ１９０、及び運用端末３００と接続されている。分析サーバ２００は、図１に示すように、ＣＭＤＢ１４０、性能監視サーバ１５０、管理サーバ１９０、及び運用端末３００と直接的に接続されていてもよいし、通信ネットワークＮＷを介してＣＭＤＢ１４０、性能監視サーバ１５０、管理サーバ１９０、及び運用端末３００と間接的に接続されていてもよい。

分析サーバ２００は性能監視サーバ１５０が取得した監視データを収集し、収集した監視データに基づいてアノマリ事象検知処理を実行する。アノマリ事象検知処理は、監視データを分析し、ホストマシン１１０やそのリソースの通常時、正常時、又は定常時（以下、単に通常時という。）の状態と違う状態を検知する処理である。アノマリ事象検知処理により通常時の状態と違う状態が検知されると、ホストマシン１１０やそのリソース、ホストマシン１１０を含む監視対象システム１００に問題が発生する可能性がある。

また、分析サーバ２００は、アノマリ事象が検知された監視データ（以下、アノマリデータという。）と、ＣＭＤＢ１４０が記憶する構成情報とに基づいて、アノマリ事象に関するアノマリ情報の表示順序を決定する。分析サーバ２００は、アノマリデータと、アノマリ事象の検知頻度とに基づいて、アノマリ情報の表示順序を決定してもよい。検知頻度はアノマリ事象を連続して検知した連続検知数であってもよいし、単位時間あたりの検知回数であってもよい。本実施形態では、検知頻度の一例として連続検知数を使用して説明する。

さらに、分析サーバ２００は、アノマリデータと、構成情報と、アノマリ事象の検知頻度と、管理サーバ１９０が管理するＩＮＣチケットの発行数とに基づいて、アノマリ事象情報の表示順序を決定してもよい。表示順序を決定する際に、ＩＮＣチケットの発行数を利用することで、アノマリ事象に起因する問題が発生する可能性の確度が向上する。例えば、ＩＮＣチケットが全く発行されていなければ、アノマリ事象が検知されても、そのアノマリ事象に起因する問題が発生する可能性は低いと想定される。尚、詳細は後述するが、分析サーバ２００は運用端末３００から各種の要求や指示を受け付けると、アノマリ情報を、決定した表示順序で、運用端末３００の表示部３２０に表示する。

次に、図３を参照して、分析サーバ２００のハードウェア構成について説明する。尚、上述した複数のホストマシン１１０、構成収集サーバ１３０、ＣＭＤＢ１４０、性能監視サーバ１５０、イベント監視サーバ１７０、管理サーバ１９０、及び運用端末３００については基本的に分析サーバ２００と同様のハードウェア構成であるため、説明を省略する。

図３は分析サーバ２００のハードウェア構成の一例である。図３に示すように、分析サーバ２００は、少なくともハードウェアプロセッサとしてのＣＰＵ２００Ａ、Random Access Memory（ＲＡＭ）２００Ｂ、Read Only Memory（ＲＯＭ）２００Ｃ、及びネットワークＩ／Ｆ（インタフェース）２００Ｄを含んでいる。分析サーバ２００は、必要に応じて、Hard Disk Drive（ＨＤＤ）２００Ｅ、入力Ｉ／Ｆ２００Ｆ、出力Ｉ／Ｆ２００Ｇ、入出力Ｉ／Ｆ２００Ｈ、ドライブ装置２００Ｉの少なくとも１つを含んでいてもよい。ＣＰＵ２００Ａからドライブ装置２００Ｉまでは、内部バス２００Ｊによって互いに接続されている。すなわち、分析サーバ２００はコンピュータによって実現することができる。尚、ＣＰＵ２００Ａに代えてMicro Processing Unit（ＭＰＵ）をハードウェアプロセッサとして利用してもよい。

入力Ｉ／Ｆ２００Ｆには、入力装置７１０が接続される。入力装置７１０としては、例えばキーボードやマウスなどがある。出力Ｉ／Ｆ２００Ｇには、表示装置７２０が接続される。表示装置７２０としては、例えば液晶ディスプレイがある。入出力Ｉ／Ｆ２００Ｈには、半導体メモリ７３０が接続される。半導体メモリ７３０としては、例えばUniversal Serial Bus（ＵＳＢ）メモリやフラッシュメモリなどがある。入出力Ｉ／Ｆ２００Ｈは、半導体メモリ７３０に記憶されたプログラムやデータを読み取る。入力Ｉ／Ｆ２００Ｆ及び入出力Ｉ／Ｆ２００Ｈは、例えばＵＳＢポートを備えている。出力Ｉ／Ｆ２００Ｇは、例えばディスプレイポートを備えている。

ドライブ装置２００Ｉには、可搬型記録媒体７４０が挿入される。可搬型記録媒体７４０としては、例えばCompact Disc（ＣＤ）−ＲＯＭ、Digital Versatile Disc（ＤＶＤ）といったリムーバブルディスクがある。ドライブ装置２００Ｉは、可搬型記録媒体７４０に記録されたプログラムやデータを読み込む。ネットワークＩ／Ｆ２００Ｄは、例えばＬＡＮポートを備えている。ネットワークＩ／Ｆ２００Ｄは上述したＣＭＤＢ１４０、性能監視サーバ１５０、管理サーバ１９０、及び運用端末３００と接続される。

上述したＲＡＭ２００Ｂには、ＲＯＭ２００ＣやＨＤＤ２００Ｅに記憶されたプログラムがＣＰＵ２００Ａによって一時的に格納される。ＲＡＭ２００Ｂには、可搬型記録媒体７４０に記録されたプログラムがＣＰＵ２００Ａによって一時的に格納される。格納されたプログラムをＣＰＵ２００Ａが実行することにより、ＣＰＵ２００Ａは後述する各種の機能を実現し、また、後述する各種の処理を実行する。尚、プログラムは後述するフローチャートに応じたものとすればよい。

次に、図４から図７を参照して、分析サーバ２００の機能構成について説明する。

図４（ａ）は分析サーバ２００のブロック図の一例である。図４（ｂ）はデータ記憶部２２０の一例である。図５は第１データ管理テーブルＴ１の一例である。図６（ａ）は第２データ管理テーブルＴ２及び第３データ管理テーブルＴ３の一例である。図６（ｂ）は第４データ管理テーブルＴ４の一例である。図７は第５データ管理テーブルＴ５の一例である。図４（ａ）に示すように、分析サーバ２００は、処理部としての、データ収集部２１０、アノマリ検知部２３０、表示順序制御部２４０、及びデータ可視化部２５０を含んでいる。また、分析サーバ２００はデータ記憶部２２０を含んでいる。データ記憶部２２０は、図４（ｂ）に示すように、第１データ管理テーブルＴ１、第２データ管理テーブルＴ２、第３データ管理テーブルＴ３、第４データ管理テーブルＴ４、及び第５データ管理テーブルＴ５により管理された種々のデータを記憶する。

尚、データ収集部２１０は、公知のログ収集転送ツール（例えばFluentdやLogstashなどのソフトウェア）と後述する第１処理とをＣＰＵ２００Ａが実行することによって実現することができる。データ記憶部２２０は、Open Source Software（ＯＳＳ）の分散型検索リアルタイム分析エンジン（例えばElasticsearchなどのソフトウェア）をＣＰＵ２００Ａが実行し、ＨＤＤ２００Ｅと協同することによって実現することができる。アノマリ検知部２３０及び表示順序制御部２４０は後述する第２処理をＣＰＵ２００Ａが実行することによって実現することができる。データ可視化部２５０は、公知のデータ可視化ツール（例えばkibanaなどのソフトウェア）と後述する第３処理とをＣＰＵ２００Ａが実行することによって実現することができる。

データ収集部２１０は性能監視サーバ１５０から監視データを収集する。より詳しくは、データ収集部２１０は数分から十数分の単位で定期的に性能監視サーバ１５０にアクセスし、性能監視サーバ１５０が複数のホストマシン１１０のそれぞれから取得した監視データを収集する。データ収集部２１０は監視データを収集すると、収集した監視データをデータ記憶部２２０に格納する。これにより、データ記憶部２２０は監視データを記憶する。特に、監視データは第１データ管理テーブルＴ１により管理される。

ここで、図５に示すように、第１データ管理テーブルＴ１はホストマシン１１０と監視対象リソースの組み合わせ毎に複数の監視データを管理する。第１データ管理テーブルＴ１は収集日時、ホストマシン、監視対象リソース、データ値、単位、アノマリ分析結果、及びアノマリ検知日時といった複数のフィールドを有する。収集日時のフィールドには監視データを収集した日時が登録される。ホストマシンのフィールドにはホストマシン１１０の名称又は識別子が登録される。監視対象リソースのフィールドには監視対象リソースの名称が登録される。データ値と単位のフィールドには監視データの性能を表す実測値とその実測値の単位を表す記号又は文字がそれぞれ登録される。例えば監視対象リソース「ＣＰＵ」に対し単位「％」が登録されている場合、データ値「７８」はＣＰＵ使用率を表している。同様に、監視対象リソース「メモリ」に対し単位「％」が登録されている場合、データ値「６４」はメモリ使用率を表している。

アノマリ分析結果のフィールドにはアノマリ事象を検知したか否かを識別する識別フラグが登録される。例えば識別フラグ「１」はアノマリ事象を検知したことを表し、識別フラグ「０」はアノマリ事象を検知しなかったことを表す。アノマリ検知日時のフィールドにはアノマリ事象を検知した日時が登録される。アノマリ事象を検知した日時は、識別フラグ「１」が登録された監視データ（以下、アノマリデータという。）に対して登録され、識別フラグ「０」が登録された監視データ（以下、非アノマリデータという。）に対しては登録されない。このように、第１データ管理テーブルＴ１によりホストマシン１１０と監視対象リソースの組み合わせ毎に複数のアノマリデータ及び非アノマリデータが管理される。

また、データ収集部２１０は管理サーバ１９０からＩＮＣチケット及び変更要求チケットを収集する。より詳しくは、データ収集部２１０は数分から十数分の単位で定期的に管理サーバ１９０にアクセスし、管理サーバ１９０が管理するＩＮＣチケット及び変更要求チケットを収集する。データ収集部２１０はＩＮＣチケット及び変更要求チケットを収集すると、収集したＩＮＣチケット及び変更要求チケットをデータ記憶部２２０に格納する。これにより、データ記憶部２２０はＩＮＣチケット及び変更要求チケットを記憶する。ＩＮＣチケットは第２データ管理テーブルＴ２及び第３データ管理テーブルＴ３により発行元毎に管理される。また、変更要求チケットは第４データ管理テーブルＴ４により管理される。

ここで、図６（ａ）に示すように、第２データ管理テーブルＴ２はイベント監視サーバ１７０が発行した複数のＩＮＣチケットを管理する。また、第３データ管理テーブルＴ３は利用者端末が発行した複数のＩＮＣチケットを管理する。第２データ管理テーブルＴ２はチケットＩＤ、発行日時、サービス名、ホストマシン、及びタイトルといった複数のフィールドを有する。チケットＩＤのフィールドにはＩＮＣチケットを識別する識別子が登録される。発行日時のフィールドにはＩＮＣチケットの発行日時が登録される。サービス名のフィールドには発生したイベントに関連するサービスの名称が登録される。ホストマシンのフィールドにはそのサービスを実行するホストマシン１１０の名称又は識別子が登録される。タイトルのフィールドには発生したイベントの内容が登録される。尚、第３データ管理テーブルＴ３については、基本的に、第２データ管理テーブルＴ２と同様であるため、詳細な説明は省略する。

一方、図６（ｂ）に示すように、第４データ管理テーブルＴ４は運用端末３００が発行した複数の変更要求チケットを管理する。第４データ管理テーブルＴ４はチケットＩＤ、発行日時、サービス名、ホストマシン、及びタイトルといった複数のフィールドを有する。チケットＩＤのフィールドには変更要求チケットを識別する識別子が登録される。発行日時のフィールドには変更要求チケットの発行日時が登録される。サービス名のフィールドにはホストマシン１１０の変更により影響を受けるサービスの名称が登録される。ホストマシンのフィールドにはそのサービスを実行するホストマシン１１０の名称又は識別子が登録される。タイトルのフィールドには改変や修正といった変更内容が登録される。

アノマリ検知部２３０はデータ記憶部２２０から監視データを取得し、取得した監視データについてアノマリ事象検知処理を実行する。例えば、アノマリ検知部２３０はデータ記憶部２２０から取得した監視データに基づいて、監視データ（具体的には監視データのデータ値）の正規分布をホストマシン１１０と監視対象リソースとの組み合わせ毎に生成し、正規分布の平均値μから２σ以上離れた監視データをアノマリ事象として検知する。アノマリ検知部２３０はアノマリ事象を検知した監視データについて、第１データ管理テーブルＴ１に含まれるアノマリ分析結果のフィールドに識別フラグ「１」を分析結果として登録する。アノマリ検知部２３０はアノマリ事象を検知した監視データについて、第１データ管理テーブルＴ１に含まれるアノマリ検知日時のフィールドに検知日時を登録する。一方、アノマリ検知部２３０はアノマリ事象を検知しなかった監視データについて、第１データ管理テーブルＴ１に含まれるアノマリ分析結果に識別フラグ「０」を分析結果として登録する。すなわち、アノマリ検知部２３０は、監視データをアノマリデータと非アノマリデータに分類する。

表示順序制御部２４０はアノマリ情報の表示順序を制御する。より詳しくは、表示順序制御部２４０はアノマリ検知部２３０が監視データをアノマリデータと非アノマリデータに分類すると、データ記憶部２２０からアノマリデータとＩＮＣチケットと変更要求チケットとを取得する。特に、表示順序制御部２４０はイベント監視サーバ１７０が発行したＩＮＣチケットと利用者端末が発行したＩＮＣチケットの両方を取得する。表示順序制御部２４０はアノマリデータとＩＮＣチケットと変更要求チケットとを取得すると、ＣＭＤＢ１４０が記憶する構成情報を参照し、アノマリデータとＩＮＣチケットと変更要求チケットと構成情報とに基づいて、種々の処理を実行して、アノマリ情報の表示順序を決定する。尚、表示順序制御部２４０が実行する処理の詳細については後述する。表示順序制御部２４０は表示順序を決定すると、表示順序が登録された表示対象データを生成してデータ記憶部２２０に格納する。表示対象データは第５データ管理テーブルＴ５によって管理される。

ここで、図７に示すように、第５データ管理テーブルＴ５はアノマリＩＤ、検知日時、経過時間、ホストマシン、監視対象リソースといった複数のフィールドを有する。アノマリＩＤのフィールドには表示対象データを識別する識別子が登録される。アノマリＩＤは表示対象データが生成される度に表示順序制御部２４０によって付与される。検知日時のフィールドにはアノマリデータのアノマリ検知日時が登録される。経過時間のフィールドにはアノマリ検知日時から現在日時まで経過した経過時間が登録される。すなわち、経過時間はアノマリ検知日時と現在日時との差を表している。ホストマシンのフィールドにはアノマリデータのホストマシン１１０の名称又は識別子が登録される。監視対象リソースのフィールドにはアノマリデータの監視対象リソースの名称が登録される。

また、図７に示すように、第５データ管理テーブルＴ５はＩＮＣチケット数（サーバ発行）、変更要求チケット数、ＩＮＣチケット数（ユーザ発行）といった複数のフィールドを有する。ＩＮＣチケット数（サーバ発行）のフィールドには、イベント監視サーバ１７０が発行したＩＮＣチケットの数が登録される。変更要求チケット数のフィールドには、運用端末３００が発行した変更要求チケットの数が登録される。ＩＮＣチケット数（ユーザ発行）のフィールドには、利用者端末が発行したＩＮＣチケットの数が登録される。尚、イベント監視サーバ１７０及び利用者端末がそれぞれ発行した各ＩＮＣチケットには、いずれもホストマシン１１０の名称が含まれているため、ホストマシン１１０毎に各ＩＮＣチケットの数を特定することができる。また、変更要求チケットにもホストマシン１１０の名称が含まれているため、ホストマシン１１０毎に変更要求チケットの数を特定することができる。

さらに、図７に示すように、第５データ管理テーブルＴ５は連続検知数、関連サービス数、表示順序といった複数のフィールドを有する。連続検知数のフィールドには、監視対象リソースについて発生したアノマリ事象を連続して検知した回数が登録される。例えば、監視対象リソースについて発生したアノマリ事象が１分間隔で４分間に渡って連続して検知された場合、連続検知数のフィールドには数値「４」が登録される。尚、連続検知数は検知頻度の一例であって、単位時間あたりにアノマリ事象を検知した回数を検知頻度として利用してもよい。関連サービス数のフィールドには、そのホストマシン１１０が実行するサービスと関連する他のサービスの数が登録される。例えば、構成情報（図２参照）に基づけば、「ホスト１」の名称を有するホストマシン１１０は、サービス１及びサービス２の２つを実行し、「ホスト２」の名称を有するホストマシン１１０がサービス３〜サービス５の３つを実行する。このため、図７に示すように、「ホスト１」の名称を有するホストマシン１１０に対応する関連サービス数のフィールドには、数値「３」が登録される。表示順序のフィールドには表示順序制御部２４０がアノマリデータとＩＮＣチケットと変更要求チケットと構成情報とに基づいて決定した表示順序が登録される。尚、本実施形態では、１２３件の表示対象データが第５データ管理テーブルＴ５によって管理されている。

データ可視化部２５０は運用端末３００からアノマリ一覧画面の表示を要求する画面表示要求を受け付けると、データ記憶部２２０から表示対象データを取得し、取得した表示対象データを可視化する。例えば、データ可視化部２５０は取得した表示対象データを表示順序に基づいて並び替え、並び替えた表示対象データから表示順序のフィールドを除外したアノマリ情報を生成する。データ可視化部２５０はアノマリ情報を生成すると、生成したアノマリ情報を含むアノマリ一覧画面を運用端末３００の表示部３２０に表示する。

続いて、分析サーバ２００の動作について説明する。

図８はデータ収集部２１０が実行する第１処理の一例を示すフローチャートである。データ収集部２１０は第１処理を所定の時間毎に定期的に実行する。まず、データ収集部２１０は性能監視サーバ１５０から監視データを収集し（ステップＳ１０１）、収集した監視データをデータ記憶部２２０に格納する（ステップＳ１０２）。ステップＳ１０２の処理が完了すると、データ収集部２１０は管理サーバ１９０から各種のチケットを収集し（ステップＳ１０３）、収集したチケットをデータ記憶部２２０に格納する（ステップＳ１０４）。すなわち、データ収集部２１０は発行元が異なる各ＩＮＣチケットと変更要求チケットとを収集し、収集したＩＮＣチケット及び変更要求チケットをデータ記憶部２２０に格納する。尚、データ収集部２１０はチケットを収集して格納してから、監視データを収集して格納してもよい。ステップＳ１０４の処理が完了すると、データ収集部２１０は処理を終了する。

図９はアノマリ検知部２３０及び表示順序制御部２４０が実行する第２処理の一例を示すフローチャートである。図１０は表示優先度の一例を説明する図である。アノマリ検知部２３０及び表示順序制御部２４０は第２処理を定期的に実行する。まず、図９に示すように、アノマリ検知部２３０は設定時間が到来したか否かを判断する（ステップＳ２０１）。設定時間は上述した所定の時間より長い時間（例えば１時間といった数時間）である。例えばデータ収集部２１０は１０分毎に監視データと各種のチケットを収集してデータ記憶部２２０に格納し、アノマリ検知部２３０は１時間毎にステップＳ２０１の処理以後の処理を実行するか否かを判断する。

例えば、アノマリ検知部２３０がステップＳ２０１の処理以後の処理を前回実行してから設定時間が到来していない場合（ステップＳ２０１：ＮＯ）、後続のステップＳ２０２からＳ２１３の処理をスキップする。これにより、データ収集部２１０は監視データ及び各種のチケットを収集してから１０分経過する度に、監視データ及び各種のチケットを収集してデータ記憶部２２０に格納する。これにより、データ記憶部２２０には時系列の監視データと各種のチケットが蓄積される。

一方、アノマリ検知部２３０がステップＳ２０１の処理以後の処理を前回実行してから設定時間が到来している場合（ステップＳ２０１：ＹＥＳ）、アノマリ検知部２３０はデータ記憶部２２０から監視データを取得する（ステップＳ２０２）。ステップＳ２０２の処理が完了すると、アノマリ検知部２３０はアノマリ事象検知処理を実行し（ステップＳ２０３）、分析結果と検知日時を第１データ管理テーブルＴ１に登録する（ステップＳ２０４）。これにより、監視データはアノマリデータと非アノマリデータに分類される。

ステップＳ２０４の処理が完了すると、次いで、表示順序制御部２４０はデータ記憶部２２０からアノマリデータを取得し（ステップＳ２０５）、次いで、各種のチケットを取得する（ステップＳ２０６）。ステップＳ２０４の処理が完了すると、次いで、表示順序制御部２４０はＣＭＤＢ１４０が記憶する構成情報を参照し（ステップＳ２０７）、関連サービス数を特定する（ステップＳ２０８）。ステップＳ２０８の処理が完了すると、次いで、表示順序制御部２４０は連続検知数を算出し（ステップＳ２０９）、チケット数を特定する（ステップＳ２１０）。特に、表示順序制御部２４０はホストマシン１１０毎のチケット数をチケットの種別毎に特定する。これにより、イベント監視サーバ１７０が特定のホストマシン１１０に対して発行したＩＮＣチケットの数と、利用者端末が特定のホストマシン１１０に対して発行したＩＮＣチケットの数と、運用端末３００が特定のホストマシン１１０に対して発行した変更要求チケットの数が特定される。

ステップＳ２１０の処理が完了すると、表示順序制御部２４０は経過時間を計測し（ステップＳ２１１）、次いで、表示順序を決定する（ステップＳ２１２）。より詳しくは、表示順序制御部２４０は、関連サービス数、連続検知数、イベント監視サーバ１７０が発行したＩＮＣチケットのチケット数、利用者端末が発行したＩＮＣチケットのチケット数、経過時間、及び予め定めた表示優先度に基づいて、アノマリ情報の表示順序を決定する。表示順序制御部２４０は、表示順序を決定する際に、運用端末３００が発行した変更要求チケットのチケット数を利用してもよい。

ここで、図１０に示すように、最も高い表示優先度は関連サービス数に定められている。そして、連続検知数、利用者端末が発行したＩＮＣチケットのチケット数、イベント監視サーバ１７０が発行したＩＮＣチケットのチケット数の順に表示優先度が定められ、経過時間に最も低い表示優先度が定められている。これらの優先度は例えば問題が発生した際の影響の大きさなどに従って定めればよい。したがって、例えば関連サービス数に数値「５」が登録され、連続検知数に数値「１」が登録された表示対象データと、関連サービス数に数値「３」が登録され、連続検知数に数値「９」が登録された表示対象データとが存在する場合、前者の表示対象データに応じたアノマリ情報が後者の表示対象データに応じたアノマリ情報より上位に表示される。

また、関連サービス数、連続検知数、利用者端末が発行したＩＮＣチケットのチケット数、及びイベント監視サーバ１７０が発行したＩＮＣチケットのチケット数は、いずれも、その数が多いほど、その表示対象データに応じたアノマリ情報は上位に表示される。逆に、関連サービス数、連続検知数、利用者端末が発行したＩＮＣチケットのチケット数、及びイベント監視サーバ１７０が発行したＩＮＣチケットのチケット数は、いずれも、その数が少ないほど、その表示対象データに応じたアノマリ情報は下位に表示される。例えば、関連サービス数にいずれも数値「３」が登録された２つの表示対象データが存在する場合、一方の表示対象データに連続検知数に数値「９」が登録され、他方の表示対象データの連続検知数に数値「７」が登録されている場合、前者の表示対象データに応じたアノマリ情報が後者の表示対象データに応じたアノマリ情報より上位に表示される。

ただし、経過時間については、経過時間が短いほど、アノマリ情報が上位に表示される。アノマリ事象が検知されてから現在時刻までの時間が短いアノマリ事象ほど運用者は急いで対応することが求められる。これはアノマリ事象が検知されてから現在時刻までの時間が長いアノマリ事象については問題が発生していないと想定されるからである。

図９に戻り、ステップＳ２１２の処理が完了すると、表示順序制御部２４０は決定した表示順序を登録した表示対象データを生成し、生成した表示対象データをデータ記憶部２２０に格納する（ステップＳ２１３）。これにより、データ記憶部２２０は第５データ管理テーブルＴ５により管理された表示対象データを記憶する（図７参照）。ステップＳ２１３の処理が完了すると、アノマリ検知部２３０及び表示順序制御部２４０は処理を終了する。アノマリ検知部２３０及び表示順序制御部２４０は以上説明した処理を動的に繰り返し実行する。特に、表示順序制御部２４０は関連サービス数や連続検知数、各種のＩＮＣチケットの数などに基づいて表示順序を定期的に決定するため、表示順序は動的に変化する。

図１１はデータ可視化部２５０が実行する第３処理の一例を示すフローチャートである。図１２はアノマリ一覧画面の一例である。図１３はアノマリ詳細画面の一例である。尚、アノマリ一覧画面及びアノマリ詳細画面の画面レイアウトについては適宜変更してもよい。

まず、図１１に示すように、データ可視化部２５０は運用端末３００から画面表示要求を受け付けるまで待機する（ステップＳ３０１：ＮＯ）。データ可視化部２５０は画面表示要求を受け付けると（ステップＳ３０１：ＹＥＳ）、アノマリ一覧画面を表示する（ステップＳ３０２）。より詳しくは、データ可視化部２５０はデータ記憶部２２０が記憶する表示対象データの中からアノマリ検知日時と現在日時との差である経過時間が予め定めた特定の時間（例えば２４時間）以内の表示対象データを抽出し、抽出した表示対象データに基づいてアノマリ一覧画面を生成して表示する。

アノマリ一覧画面は、図１２に示すように、アノマリ事象の検知数と、優先順位に並んだ複数のアノマリ情報の一覧を含んでいる。図１２では、上位数件のアノマリ情報が示されているが、縦方向のスクロールバーを設けることにより、下位のアノマリ情報が表示されるようにしてもよい。また、アノマリ一覧画面は、経過時間の割合を表す円グラフと経過時間の内訳、ホストマシン１１０の割合を表す円グラフとホストマシン１１０の名称の内訳、監視対象リソースの割合を表す円グラフと監視対象リソースの名称の内訳を含んでいる。特に、ホストマシン１１０の名称と監視対象リソースの名称はアノマリ事象が検知された数が多い順に表示されている。ホストマシン１１０の名称及び監視対象リソースの名称が指定されると、データ可視化部２５０は表示されたアノマリ情報の一覧から指定された名称を含むアノマリ情報に絞り込んで表示する。このように、大量のアノマリ事象が検知されても、これらのアノマリ事象に関するアノマリ情報が優先順位に並んで表示されるため、運用者はアノマリ事象に対する対応の優先順位の判断を誤る可能性が減少する。この結果、アノマリ事象に対する対応の遅延により問題が発生することを抑制することができる。尚、アノマリ情報に関連する情報も併せて表示されるため、優先順位の判断を誤る可能性がさらに減少する。

図１１に戻り、ステップＳ３０２の処理が完了すると、次いで、データ可視化部２５０は運用端末３００からアノマリ情報の指定を受け付けるまで待機する（ステップＳ３０３：ＮＯ）。データ可視化部２５０はアノマリ情報の指定を受け付けると（ステップＳ３０３：ＹＥＳ）、アノマリ詳細画面を表示する（ステップＳ３０４）。より詳しくは、データ可視化部２５０は指定されたアノマリ情報に関するアノマリ詳細画面を表示する。

例えば、図１２に示すように、アノマリ詳細画面に表示された複数のアノマリ情報の中からポインタＰｔによりいずれか１つのアノマリ情報を指定して指示（例えばクリックやタップなど）すると、データ可視化部２５０は、アノマリ情報の指定を受け付ける。本実施形態ではアノマリＩＤ「８８」のアノマリ情報がポインタＰｔにより指定されている。データ可視化部２５０は、アノマリ情報の指定を受け付けると、図１３に示すように、指定されたアノマリ情報に関するアノマリ詳細画面を表示する。

特に、データ可視化部２５０は指定されたアノマリ情報に含まれるホストマシン１１０の名称及び監視対象リソースの名称に基づいて、データ記憶部２２０からこれらの名称を含む監視データを抽出してグラフ化し、グラフ化した監視データを表すグラフＧＲ１をアノマリ詳細画面内に表示する。抽出した監視データにはアノマリデータと非アノマリデータが混在するため、データ可視化部２５０はアノマリデータをグラフ化した部分に対しマークＭ１を付与して強調して表示する。

また、データ可視化部２５０は指定されたアノマリ情報に含まれるホストマシン１１０の名称に基づいて、ＣＭＤＢ１４０からその名称と関連付けられた関連サービス名全てを抽出してアノマリ詳細画面内に表示する。さらに、データ可視化部２５０は指定されたアノマリ情報に含まれるホストマシン１１０の名称に基づいて、データ記憶部２２０からその名称を含むＩＮＣチケット及び変更要求チケットを抽出してアノマリ詳細画面内に表示する。特に、尚、データ可視化部２５０はアノマリ事象の検知日時から前後１時間以内の発行日時が登録されたＩＮＣチケット及び変更要求チケットを抽出してアノマリ詳細画面内に表示する。尚、図１３では、イベント監視サーバ１７０が発行したＩＮＣチケットが示されているが、利用者端末が発行したＩＮＣチケットであってもよい。

以上、第１実施形態によれば、分析サーバ２００はアノマリ検知部２３０、表示順序制御部２４０、及びデータ可視化部２５０を含んでいる。アノマリ検知部２３０は監視対象システム１００に含まれる複数のホストマシン１１０の監視データに基づき、複数のホストマシン１１０のいずれかで発生したアノマリ事象を検知するアノマリ事象検知処理を実行する。複数のアノマリ事象が検知された場合、表示順序制御部２４０は監視対象システム１００で実行される複数のサービス間の関係を示す構成情報を記憶するＣＭＤＢ１４０を参照する。そして、表示順序制御部２４０は検知された複数のアノマリ事象それぞれの発生元のホストマシン１１０ごとに、該ホストマシン１１０で実行されるサービスに対して特定の関係性を有する他のサービスの数を関連サービス数として特定する。データ可視化部２５０は検知された複数のアノマリ事象に関するアノマリ情報を、特定した関連サービス数に応じた表示順序で運用端末３００の表示部３２０に表示する。これにより、アノマリ事象対応の遅延による問題の発生を抑制することができる。

また、アノマリ検知部２３０は監視対象システム１００に含まれる複数の監視対象リソースの監視データに基づき、複数の監視対象リソースのいずれかについて発生したアノマリ事象を検知するアノマリ事象検知処理を実行する。複数のアノマリ事象が検知された場合、表示順序制御部２４０は検知された複数のアノマリ事象それぞれの発生元の監視対象リソースごとに、該監視対象リソースについて発生したアノマリ事象の連続検知数を算出する。データ可視化部２５０は検知された複数のアノマリ事象に関するアノマリ情報を、算出した連続検知数に応じた表示順序で運用端末３００の表示部３２０に表示する。このような処理によっても同様に、アノマリ事象対応の遅延による問題の発生を抑制することができる。

（第２実施形態）
続いて、図１４から図１６を参照して、本件の第２実施形態について説明する。

図１４及び図１５はアノマリ一覧画面の他の一例である。図１６はアノマリ詳細画面の他の一例である。第２実施形態では、表示順序制御部２４０は、複数のアノマリ事象が検知された場合、検知された複数のアノマリ事象それぞれの発生元のホストマシン１１０を特定する。一方、データ可視化部２５０は、表示順序制御部２４０が特定したホストマシン１１０が共通し、かつ、特定したホストマシン１１０で発生したアノマリ事象の検知日時の差が閾値時間以内であると判断した場合、検知された複数のアノマリ事象に関するアノマリ情報を集約した代表のアノマリ情報を表示する。

これにより、図１４に示すように、「ホスト５」の名称を有する２つの共通するホストマシン１１０のアノマリ情報について、検知日時の差が閾値時間（例えば５分）以内である場合には、データ可視化部２５０は、アノマリ情報を集約して表示することが可能であることを提示する集約マークＧ１を表示する。そして、ポインタＰｔにより集約マークＧ１が指定されて指示されると、データ可視化部２５０は、その指示に基づいて、図１５に示すように、優先順位が高い方のアノマリ情報に低い方のアノマリ情報を集約し、優先順位が高い方のアノマリ情報を代表のアノマリ情報として表示する。

そして、データ可視化部２５０は代表のアノマリ情報を表示するとともに、その代表のアノマリ情報に集約マークＧ２を付与して表示する。ポインタＰｔにより集約マークＧ２が指定されて指示されると、データ可視化部２５０は、その指示に基づいて、図１４に示すように、代表のアノマリ情報を展開する。尚、アノマリ情報を集約した場合、データ可視化部２５０は、集約前の監視対象リソースの名称全てを表示するが、監視対象リソース以外の表示項目（例えば連続検知数や関連サービス数など）については、代表のアノマリ情報の表示項目を優先して表示する。

一方、図１５に示すように、集約マークＧ２が表示されたアノマリ情報の表示領域から集約マークＧ２の表示領域を除いた残りの領域がポインタＰｔにより指定されて指示されると、データ可視化部２５０は、指定されたアノマリ情報の指定を受け付ける。データ可視化部２５０は、アノマリ情報の指定を受け付けると、図１６に示すように、指定されたアノマリ情報に関するアノマリ詳細画面を表示する。この場合、アノマリ詳細画面は集約前の監視対象リソースのそれぞれの監視データを抽出してグラフ化し、グラフ化したそれぞれの監視データを表すグラフＧＲ１，ＧＲ２をアノマリ詳細画面内に表示する。第１実施形態でも説明したように、抽出した監視データにはアノマリデータと非アノマリデータが混在するため、データ可視化部２５０はアノマリデータをグラフ化した部分に対しマークＭ１，Ｍ２を付与して強調して表示する。これにより、共通するホストマシン１１０に発生した複数のアノマリ事象に対し運用者はまとめて対応することができる。

尚、データ可視化部２５０は、構成情報を記憶するＣＭＤＢ１４０を参照して、特定したホストマシン１１０それぞれで実行されるサービス間に特定の関係性があると判断した場合、特定の関係性があると判断されたサービスを実行するホストマシン１１０それぞれで発生したアノマリ事象に関するアノマリ情報を並べて表示してもよい。特定の関係性とは、例えば関連するサービスの有無、及び検知日時が閾値時間以内であるか否かなどがある。

これにより、例えば「ホスト５」の名称を有するホストマシン１１０が実行するサービスと「ホスト４」の名称を有するホストマシン１１０が実行するサービスが関連しており、かつ、検知日時の差が閾値時間（例えば５分）以内である場合には、データ可視化部２５０は特定の関係性があると判断し、図１４に示すように、「ホスト５」の名称を有するアノマリ情報と「ホスト４」の名称を有するアノマリ情報を優先度の高い方に並べて表示する。尚、アノマリ情報を並べて表示する場合、並べる前のアノマリ情報を残しておいてもよいし、表示対象から除外してもよい。本実施形態では、「ホスト４」の名称を有するアノマリ情報を残して表示している。これにより、サービスが関連する複数のアノマリ事象に対し運用者はまとめて対応することができる。

以上、本発明の好ましい実施形態について詳述したが、本発明に係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。例えば、上述した第１処理から第３処理の少なくとも１つは、管理サーバ１９０など、分析サーバ２００以外の各種サーバが実行してもよいし、運用端末３００が実行してもよい。

なお、以上の説明に関して更に以下の付記を開示する。
（付記１）システムに含まれる複数のマシンの監視データに基づき、前記複数のマシンのいずれかで発生したアノマリ事象を検知するアノマリ事象検知処理を行い、複数のアノマリ事象が検知された場合、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、検知された前記複数のアノマリ事象それぞれの発生元のマシンごとに、該マシンで実行されるサービスに対して特定の関係性を有する他のサービスの数を特定し、検知された前記複数のアノマリ事象に関する情報を、特定した前記他のサービスの数に応じた順序で表示部に表示する、処理をコンピュータに実行させることを特徴とする順序制御プログラム。
（付記２）システムに含まれる複数の監視対象の監視データに基づき、前記複数の監視対象のいずれかについて発生したアノマリ事象を検知するアノマリ事象検知処理を行い、複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元の監視対象ごとに、該監視対象について発生したアノマリ事象の検知頻度を算出し、検知された前記複数のアノマリ事象に関する情報を、算出した前記検知頻度に応じた順序で表示部に表示する、処理をコンピュータに実行させることを特徴とする順序制御プログラム。
（付記３）前記システムで実行される複数のサービスのサービスレベルの低下の原因となり得る事象に基づくインシデント情報の数を特定し、検知された前記複数のアノマリ事象に関する情報を、特定した前記インシデント情報の数にも応じた順序で表示する、処理を実行させることを特徴とする付記１又は２に記載の順序制御プログラム。
（付記４）前記アノマリ事象を検知してから経過した時間を計測し、検知された前記複数のアノマリ事象に関する情報を、計測した前記時間にも応じた順序で表示する、処理を実行させることを特徴とする付記１から３のいずれか１項に記載の順序制御プログラム。
（付記５）計測した前記時間が短いほど、検知された前記複数のアノマリ事象に関する情報を上位に表示する、処理を実行させることを特徴とする付記４に記載の順序制御プログラム。
（付記６）複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元のマシンを特定し、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、特定した前記マシンそれぞれで実行されるサービス間に特定の関係性があると判断した場合、前記特定の関係性があると判断されたサービスを実行するマシンそれぞれで発生したアノマリ事象に関する情報を並べて表示する、処理を実行させることを特徴とする付記１から５のいずれか１項に記載の順序制御プログラム。
（付記７）複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元のマシンを特定し、特定した前記マシンが共通し、かつ、特定した前記マシンで発生したアノマリ事象の検知時刻の差が閾値時間以内であると判断した場合、検知された前記複数のアノマリ事象に関する情報を集約した代表の情報を表示する、処理を実行させることを特徴とする付記１から６のいずれか１項に記載の順序制御プログラム。
（付記８）システムに含まれる複数のマシンの監視データに基づき、前記複数のマシンのいずれかで発生したアノマリ事象を検知するアノマリ事象検知処理を行い、複数のアノマリ事象が検知された場合、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、検知された前記複数のアノマリ事象それぞれの発生元のマシンごとに、該マシンで実行されるサービスに対して特定の関係性を有する他のサービスの数を特定し、検知された前記複数のアノマリ事象に関する情報を、特定した前記他のサービスの数に応じた順序で表示部に表示する、処理をコンピュータが実行することを特徴とする順序制御方法。
（付記９）システムに含まれる複数の監視対象の監視データに基づき、前記複数の監視対象のいずれかについて発生したアノマリ事象を検知するアノマリ事象検知処理を行い、複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元の監視対象ごとに、該監視対象について発生したアノマリ事象の検知頻度を算出し、検知された前記複数のアノマリ事象に関する情報を、算出した前記検知頻度に応じた順序で表示部に表示する、処理をコンピュータが実行することを特徴とする順序制御方法。
（付記１０）システムに含まれる複数のマシンの監視データに基づき、前記複数のマシンのいずれかで発生したアノマリ事象を検知するアノマリ事象検知処理を行い、複数のアノマリ事象が検知された場合、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、検知された前記複数のアノマリ事象それぞれの発生元のマシンごとに、該マシンで実行されるサービスに対して特定の関係性を有する他のサービスの数を特定し、検知された前記複数のアノマリ事象に関する情報を、特定した前記他のサービスの数に応じた順序で表示部に表示する、処理を実行する処理部を有することを特徴とする情報処理装置。
（付記１１）システムに含まれる複数の監視対象の監視データに基づき、前記複数の監視対象のいずれかについて発生したアノマリ事象を検知するアノマリ事象検知処理を行い、複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元の監視対象ごとに、該監視対象について発生したアノマリ事象の検知頻度を算出し、検知された前記複数のアノマリ事象に関する情報を、算出した前記検知頻度に応じた順序で表示部に表示する、処理を実行する処理部を有することを特徴とする情報処理装置。
（付記１２）前記処理部は、前記システムで実行される複数のサービスのサービスレベルの低下の原因となり得る事象に基づくインシデント情報の数を特定し、検知された前記複数のアノマリ事象に関する情報を、特定した前記インシデント情報の数にも応じた順序で表示する、ことを特徴とする付記１０又は１１に記載の情報処理装置。
（付記１３）前記処理部は、前記アノマリ事象を検知してから経過した時間を計測し、検知された前記複数のアノマリ事象に関する情報を、計測した前記時間にも応じた順序で表示する、ことを特徴とする付記１０から１２のいずれか１項に記載の情報処理装置。
（付記１４）前記処理部は、計測した前記時間が短いほど、検知された前記複数のアノマリ事象に関する情報を上位に表示する、ことを特徴とする付記１３に記載の情報処理装置。
（付記１５）前記処理部は、複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元のマシンを特定し、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、特定した前記マシンそれぞれで実行されるサービス間に特定の関係性があると判断した場合、前記特定の関係性があると判断されたサービスを実行するマシンそれぞれで発生したアノマリ事象に関する情報を並べて表示する、ことを特徴とする付記１０から１４のいずれか１項に記載の情報処理装置。
（付記１６）前記処理部は、複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元のマシンを特定し、特定した前記マシンが共通し、かつ、特定した前記マシンで発生したアノマリ事象の検知時刻の差が閾値時間以内であると判断した場合、検知された前記複数のアノマリ事象に関する情報を集約した代表の情報を表示する、ことを特徴とする付記１０から１５のいずれか１項に記載の情報処理装置。

Ｓ 情報処理システム
１００ 監視対象システム
１１０ ホストマシン
１３０ 構成収集サーバ
１４０ ＣＭＤＢ
１５０ 性能監視サーバ
１７０ イベント監視サーバ
１９０ 管理サーバ
２００ 分析サーバ
２１０ データ収集部
２２０ データ記憶部
２３０ アノマリ検知部
２４０ 表示順序制御部
２５０ データ可視化部
３００ 運用端末

Claims (11)

1. システムに含まれる複数のマシンの監視データに基づき、前記複数のマシンのいずれかで発生したアノマリ事象を検知するアノマリ事象検知処理を行い、
   複数のアノマリ事象が検知された場合、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、検知された前記複数のアノマリ事象それぞれの発生元のマシンごとに、該マシンで実行されるサービスに対して特定の関係性を有する他のサービスの数を特定し、
   検知された前記複数のアノマリ事象に関する情報を、特定した前記他のサービスの数に応じた順序で表示部に表示する、
   処理をコンピュータに実行させることを特徴とする順序制御プログラム。
2. システムに含まれる複数の監視対象の監視データに基づき、前記複数の監視対象のいずれかについて発生したアノマリ事象を検知するアノマリ事象検知処理を行い、
   複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元の監視対象ごとに、該監視対象について発生したアノマリ事象の検知頻度を算出し、
   検知された前記複数のアノマリ事象に関する情報を、算出した前記検知頻度に応じた順序で表示部に表示する、
   処理をコンピュータに実行させることを特徴とする順序制御プログラム。
3. 前記システムで実行される複数のサービスのサービスレベルの低下の原因となり得る事象に基づくインシデント情報の数を特定し、
   検知された前記複数のアノマリ事象に関する情報を、特定した前記インシデント情報の数にも応じた順序で表示する、
   処理を実行させることを特徴とする請求項１又は２に記載の順序制御プログラム。
4. 前記アノマリ事象を検知してから経過した時間を計測し、
   検知された前記複数のアノマリ事象に関する情報を、計測した前記時間にも応じた順序で表示する、
   処理を実行させることを特徴とする請求項１から３のいずれか１項に記載の順序制御プログラム。
5. 計測した前記時間が短いほど、検知された前記複数のアノマリ事象に関する情報を上位に表示する、
   処理を実行させることを特徴とする請求項４に記載の順序制御プログラム。
6. 複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元のマシンを特定し、
   前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、特定した前記マシンそれぞれで実行されるサービス間に特定の関係性があると判断した場合、前記特定の関係性があると判断されたサービスを実行するマシンそれぞれで発生したアノマリ事象に関する情報を並べて表示する、
   処理を実行させることを特徴とする請求項１から５のいずれか１項に記載の順序制御プログラム。
7. 複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元のマシンを特定し、
   特定した前記マシンが共通し、かつ、特定した前記マシンで発生したアノマリ事象の検知時刻の差が閾値時間以内であると判断した場合、検知された前記複数のアノマリ事象に関する情報を集約した代表の情報を表示する、
   処理を実行させることを特徴とする請求項１から６のいずれか１項に記載の順序制御プログラム。
8. システムに含まれる複数のマシンの監視データに基づき、前記複数のマシンのいずれかで発生したアノマリ事象を検知するアノマリ事象検知処理を行い、
   複数のアノマリ事象が検知された場合、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、検知された前記複数のアノマリ事象それぞれの発生元のマシンごとに、該マシンで実行されるサービスに対して特定の関係性を有する他のサービスの数を特定し、
   検知された前記複数のアノマリ事象に関する情報を、特定した前記他のサービスの数に応じた順序で表示部に表示する、
   処理をコンピュータが実行することを特徴とする順序制御方法。
9. システムに含まれる複数の監視対象の監視データに基づき、前記複数の監視対象のいずれかについて発生したアノマリ事象を検知するアノマリ事象検知処理を行い、
   複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元の監視対象ごとに、該監視対象について発生したアノマリ事象の検知頻度を算出し、
   検知された前記複数のアノマリ事象に関する情報を、算出した前記検知頻度に応じた順序で表示部に表示する、
   処理をコンピュータが実行することを特徴とする順序制御方法。
10. システムに含まれる複数のマシンの監視データに基づき、前記複数のマシンのいずれかで発生したアノマリ事象を検知するアノマリ事象検知処理を行い、
    複数のアノマリ事象が検知された場合、前記システムで実行される複数のサービス間の関係を示す情報を記憶する記憶部を参照して、検知された前記複数のアノマリ事象それぞれの発生元のマシンごとに、該マシンで実行されるサービスに対して特定の関係性を有する他のサービスの数を特定し、
    検知された前記複数のアノマリ事象に関する情報を、特定した前記他のサービスの数に応じた順序で表示部に表示する、
    処理を実行する処理部を有することを特徴とする情報処理装置。
11. システムに含まれる複数の監視対象の監視データに基づき、前記複数の監視対象のいずれかについて発生したアノマリ事象を検知するアノマリ事象検知処理を行い、
    複数のアノマリ事象が検知された場合、検知された前記複数のアノマリ事象それぞれの発生元の監視対象ごとに、該監視対象について発生したアノマリ事象の検知頻度を算出し、
    検知された前記複数のアノマリ事象に関する情報を、算出した前記検知頻度に応じた順序で表示部に表示する、
    処理を実行する処理部を有することを特徴とする情報処理装置。

Images