[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2010024133A1 - 検出ルール生成装置、検出ルール生成方法及びコンピュータプログラム - Google Patents

検出ルール生成装置、検出ルール生成方法及びコンピュータプログラム Download PDF

Info

Publication number
WO2010024133A1
WO2010024133A1 PCT/JP2009/064308 JP2009064308W WO2010024133A1 WO 2010024133 A1 WO2010024133 A1 WO 2010024133A1 JP 2009064308 W JP2009064308 W JP 2009064308W WO 2010024133 A1 WO2010024133 A1 WO 2010024133A1
Authority
WO
WIPO (PCT)
Prior art keywords
detection rule
event
detection
candidate
selection
Prior art date
Application number
PCT/JP2009/064308
Other languages
English (en)
French (fr)
Inventor
祐介 兼安
泰久 後藤
Original Assignee
インターナショナル・ビジネス・マシーンズ・コーポレーション
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by インターナショナル・ビジネス・マシーンズ・コーポレーション filed Critical インターナショナル・ビジネス・マシーンズ・コーポレーション
Priority to JP2010526651A priority Critical patent/JP5274565B2/ja
Priority to KR1020117003458A priority patent/KR20110048522A/ko
Priority to EP09809786.8A priority patent/EP2336889A4/en
Priority to CN2009801340436A priority patent/CN102138130A/zh
Publication of WO2010024133A1 publication Critical patent/WO2010024133A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/02—Knowledge representation; Symbolic representation
    • G06N5/022—Knowledge engineering; Knowledge acquisition
    • G06N5/025—Extracting rules from data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/54—Interprogram communication
    • G06F9/542—Event management; Broadcasting; Multicasting; Notifications

Definitions

  • the present invention relates to a detection rule generation device, a detection rule generation method, and a computer program capable of generating a detection rule capable of detecting a failure event with higher accuracy without depending on the skill level of an operator. About.
  • Autonomic computing system is a general term for all technologies for building a system-wide self-managed environment, and it refers to all systems that detect and resolve problems and failures that occur in the system autonomously. Various methods have been disclosed for detecting problems, faults, etc. occurring in the system.
  • Patent Document 1 discloses a maintenance management system in which a failure occurrence event is constantly monitored and, when a failure occurs, initial analysis data necessary for failure analysis is transmitted by e-mail.
  • Patent Document 2 discloses a failure cause estimation system that increases the accuracy of failure cause estimation by modeling the correspondence between events and the cause of occurrence and the transition between the cause of the failure with a finite automaton and repeating learning. Has been.
  • Patent Document 3 discloses a failure analysis device that stores configuration information of components, resources, and the like that constitute a system and analyzes the cause of occurrence based on the configuration information stored when a failure occurs.
  • Patent Literature 4 a dependency relationship between components included in the system is stored, and a component that is a failure cause can be easily identified based on the displayed dependency relationship.
  • a support system for discovering the problem is disclosed.
  • Patent Document 3 the system configuration information is used, and in Patent Document 4, the dependency between components is used to improve the accuracy of estimating the cause of the failure. It is premised on storing a detection rule for detecting an event, and knowledge information (hereinafter referred to as “SYMPTOM”) in which a recommended action at the time of failure detection, a comment, and the like are added to the detection rule. Therefore, evaluation and improvement of detection rules for fault occurrence events that are the core of the generated symptom, which greatly depends on the skill level of the worker at the time of symptom generation including the detection rule, and the work burden of symptom generation is great There was a problem that it was difficult.
  • SYMPTOM knowledge information
  • the present invention has been made in view of such circumstances, and provides a detection rule generation device, a detection rule generation method, and a computer program capable of generating an appropriate symptom without depending on the skill level of an operator. For the purpose.
  • a detection rule generation device for generating an event detection rule in a system including a plurality of components.
  • Configuration information acquisition means for acquiring system configuration information
  • history information collection means for collecting history information of the system including log information and / or failure information output from each component when a failure occurs in the system, and acquisition Based on the system configuration information and the collected history information, candidate event specifying means for specifying candidate events to be selected for generating a detection rule, and candidate events for presenting the specified candidate events And presenting means.
  • a detection rule generation device is the detection rule generation / storage means for generating the detection rule and storing it in a database in the first invention, and detecting a candidate event based on the stored detection rule Candidate event detecting means for displaying the candidate event detected by the candidate event presenting means.
  • the detection rule generation device includes a data format conversion means for converting the collected log information and / or the failure information into a unified data format in advance in the first or second aspect,
  • the history information collecting means collects the log information and / or the failure information converted into the unified data format.
  • the detection rule generation device according to any one of the first to third aspects of the present invention, an event selection receiving unit that receives a selection of an event by a user, and a component topology corresponding to the event that has received the selection.
  • a detection rule extracting means for extracting a detection rule corresponding to the detection rule, a detection rule presenting means for presenting the extracted detection rule, and a database updating means for accepting an update of the presented detection rule and updating the database It is characterized by.
  • the detection rule generation device is the detection rule generation device according to the fourth aspect, further comprising a single determination unit that determines whether or not the event selected by the event selection reception unit is singular. When it is determined that the number is singular, the detection rule extracting means extracts the detection rule as a filter pattern for confirming an event.
  • the detection rule generation device determines whether or not there is a single component that has sent out the event for which the selection has been accepted, when the single determination unit determines that there is a plurality.
  • a component determining means, and an event determining means for determining whether or not the event for which the selection has been accepted is the same type when the component determining means determines that the event is singular, and the event determining means determines that the events are the same type
  • the detection rule extraction unit extracts the detection rule as a threshold pattern for comparing a predetermined numerical value with a threshold value.
  • the detection rule extraction unit extracts the detection rule as a sequence pattern for detecting the presence / absence of a sequence of events. It characterized that you have manner.
  • the detection rule generation device determines whether or not a plurality of components are connected on the topology when the component determining means determines that there are a plurality of components. And a parallel relationship determining unit that determines whether or not a plurality of components are in a parallel relationship when the connection determining unit determines that they are not connected, and the parallel relationship determining unit does not have a parallel relationship.
  • the detection rule extracting means extracts the detection rule as the sequence pattern.
  • the detection rule generation device is the event determination for determining whether or not the event for which the selection has been accepted is the same kind when the parallel relationship determination means determines that there is a parallel relationship in the seventh aspect.
  • Means for extracting the detection rule as the threshold pattern, and the event determining means is a plurality of types. If it is determined that the detection rule is extracted, the detection rule extracting means extracts the detection rule as the sequence pattern.
  • the detection rule extraction means extracts the detection rule as the sequence pattern. It is characterized by the above.
  • the detection rule generation device is the serial relation determination means for determining whether or not a plurality of components are in a serial relation when it is determined by the connection determination means in the seventh aspect of the invention.
  • the event determination means for determining whether or not the event for which the selection has been accepted is of the same type when the serial relationship determination means determines that the event is not in the serial relationship, the event determination means determines that the event is the same type
  • the detection rule extracting unit extracts the detection rule as an ordered sequence pattern in which the order is specified, and when the event determining unit determines that there are a plurality of types, the detection rule The extraction means extracts the detection rule as an unordered sequence pattern whose order is not specified, If it is determined that the series relationship column relation determination means, the detection rule extracting means, characterized in that as the ordered sequence pattern the order is specified are as extracting the detection rule.
  • the detection rule generation method is detection rule generation that can be executed by a detection rule generation device that generates an event detection rule in a system including a plurality of components.
  • system configuration information of the system including related information between the components is acquired, and history information of the system including log information and / or failure information output from each component when a failure occurs in the system is obtained.
  • a candidate event that is a candidate to be selected for generating a detection rule is identified, and the identified candidate event is presented
  • the identified candidate event is presented
  • a detection rule generation method is the detection rule generation method according to the eleventh aspect, wherein the detection rule is generated and stored in a database, a candidate event is detected based on the stored detection rule, and the detected candidate It is characterized by presenting an event.
  • the detection rule generation method is that in the eleventh or twelfth aspect of the invention, the collected log information and / or failure information is converted into a unified data format in advance and converted into the unified data format. In addition, the log information and / or the failure information is collected.
  • the detection rule generation method is the detection rule according to any one of the eleventh to thirteenth inventions, wherein the selection of an event by a user is accepted and the topology of the component corresponding to the event for which the selection has been accepted. Is extracted, the extracted detection rule is presented, the update of the presented detection rule is accepted, and the database is updated.
  • a computer program is a computer program that can be executed by a detection rule generation device that generates an event detection rule in a system including a plurality of components.
  • a detection rule generating device configured to acquire configuration information acquisition means for acquiring system configuration information including the related information between the components, log information and / or failure information output from each component when a failure occurs in the system;
  • a computer program according to a sixteenth aspect of the present invention is the computer program according to the fifteenth aspect, based on the detection rule generation / storage means for generating the detection rule and storing the detection rule in a database. It functions as a candidate event detection means for detecting a candidate event, and the candidate event presentation means functions as a means for presenting the detected candidate event.
  • a computer program according to a seventeenth aspect of the present invention is the computer program according to the fifteenth or sixteenth aspect, wherein the detection rule generation device converts the collected log information and / or the failure information into a unified data format in advance.
  • the history information collecting means functions as means for collecting the log information and / or the failure information converted into the unified data format.
  • a computer program according to an eighteenth aspect of the present invention is the computer program according to any one of the fifteenth to seventeenth aspects, wherein the detection rule generating device corresponds to an event selection receiving unit that receives an event selection by a user, and an event that has received a selection.
  • Detection rule extracting means for extracting detection rules according to the topology of the component to be detected
  • detection rule presenting means for presenting the extracted detection rules
  • database updating means for accepting updates of the presented detection rules and updating the database It is made to function.
  • the present invention by including related information between components in the system configuration information, it is possible to generate a detection rule for a failure event including not only the dependency between components but also related information.
  • a detection rule for a failure event including not only the dependency between components but also related information.
  • candidate events based on detection rules it is possible to effectively support detection rule generation work by the user, and to ensure detection rules at a certain level or higher without questioning the skill level of detection rule generation Can be generated.
  • topology when there are a plurality of selection events and the selection events are of the same type. It is an illustration figure of topology when there are a plurality of selection events and there are a plurality of types of selection events. It is an illustration figure of topology when there are a plurality of selection events, the relationship between components is uncorrelated, and the selection events are of the same type. It is an illustration figure of topology when there are a plurality of selection events, the relationship between components is uncorrelated, and there are a plurality of selection events. It is an illustration of a topology when there are a plurality of selection events, the relationship between components is a parallel relationship, and the selection events are of the same type.
  • topology when there are a plurality of selection events, the relationship between components is a parallel relationship, and there are multiple types of selection events. It is an illustration figure of topology in case there are a plurality of selection events, the relationship between components is not a complete serial relationship, and the selection events are of the same type. It is an illustration of a topology when there are a plurality of selection events, the relationship between components is not a complete serial relationship, and there are a plurality of selection events. It is an illustration figure of topology when there are a plurality of selection events, the relationship between components is a complete serial relationship, and the selection events are of the same type. It is an illustration figure of topology when there are a plurality of selection events, the relationship between components is a complete serial relationship, and there are multiple types of selection events.
  • the present invention is a computer program that can be partially executed by a computer. Can be implemented as Therefore, the present invention can take an embodiment of hardware as a detection rule generation device, an embodiment of software, or an embodiment of a combination of software and hardware.
  • the computer program can be recorded on any computer-readable recording medium such as a hard disk, DVD, CD, optical storage device, magnetic storage device or the like.
  • component means all components in a computing environment such as services, applications, middleware, hardware, device drivers, and operating systems.
  • system configuration information is not only information related to the dependency relationship between a plurality of components constituting the system, but also information that can derive a useful relationship for failure analysis, for example, connection relationship in communication, It is a broad concept that includes information on the subject of operation, the relationship of objects, and the like based on commands and instructions. Therefore, the topology diagram of the component can be easily created.
  • the “topology” is a concept indicating a connection relationship and a dependency relationship between components.
  • FIG. 1 is a block diagram showing a configuration example of a detection rule generation device according to an embodiment of the present invention.
  • the detection rule generation device 1 includes at least a CPU (central processing unit) 11, a memory 12, a storage device 13, an I / O interface 14, a communication interface 15, a video interface 16, and a portable disk drive 17. And an internal bus 18 for connecting the hardware described above.
  • the CPU 11 is connected to each hardware unit as described above of the detection rule generation device 1 via the internal bus 18, and controls the operation of each hardware unit described above and is stored in the storage device 13. According to 100, various software functions are performed.
  • the memory 12 is composed of a volatile memory such as SRAM or SDRAM, and a load module is expanded when the computer program 100 is executed, and stores temporary data generated when the computer program 100 is executed.
  • the storage device 13 includes a built-in fixed storage device (hard disk), a ROM, and the like.
  • the computer program 100 stored in the storage device 13 is downloaded by a portable disk drive 17 from a portable recording medium 90 such as a DVD or CD-ROM in which information such as programs and data is recorded. To the memory 12 and executed.
  • a computer program downloaded from an external computer connected to the network 2 via the communication interface 15 may be used.
  • the storage device 13 includes a symptom database 131.
  • a symptom database 131 in addition to detection rules for detecting an event in which a failure has occurred, recommended actions, comments, and the like at the time of failure detection are added for each detection rule.
  • a detection rule is extracted according to the selected event and displayed on the display device 23 together with the component topology diagram.
  • the storage device 13 includes a configuration information storage unit 132 that stores system configuration information of a system to be monitored as to whether or not a failure has occurred, log information of the system to be monitored, and when a failure occurs in the system And a history information storage unit 133 for storing history information such as event information output to.
  • the configuration information storage unit 132 is configured by CCMDB (Change and Configuration Management DB) including dependency information between components of the monitoring target system 200 to be monitored, and related information of each component. Based on the system configuration information stored in the configuration information storage unit 132, the component topology diagram can be displayed.
  • the configuration information storage unit 132 may be provided in the storage device 13, but is usually provided separately from the detection rule generation device 1 according to the present embodiment, and is connected via, for example, the network 2. Equipped with external computers.
  • the communication interface 15 is connected to an internal bus 18 and can transmit / receive data to / from an external computer or the like by being connected to an external network 2 such as the Internet, a LAN, or a WAN.
  • the monitoring target system 200 is also connected via the network 2 and can acquire system configuration information, history information when a failure occurs, and the like.
  • the I / O interface 14 is connected to a data input medium such as a keyboard 21 and a mouse 22 and receives data input.
  • the video interface 16 is connected to a display device 23 such as a CRT monitor or LCD, and displays a predetermined image.
  • FIG. 2 is a functional block diagram at the time of detection rule generation of the detection rule generation device 1 according to the embodiment of the present invention.
  • the configuration information extraction unit 201 extracts system configuration information including related information between components included in the monitoring target system 200 and stores the extracted system configuration information in the configuration information storage unit 132.
  • the system configuration information including related information between components is, for example, connection relationship information in communication between components, link relationship information regarding a relationship between operation and non-operation, and the like.
  • the configuration information extraction unit 201 is not an essential component of the present invention, and system configuration information may be generated in the configuration information storage unit 132 in advance, or may be built in the detection rule generation device 1. It is not necessary. That is, the configuration information extraction unit 201 and the configuration information storage unit 132 are not essential configuration requirements of the detection rule generation device 1 according to the embodiment of the present invention.
  • the configuration information acquisition unit 202 acquires system configuration information stored in the configuration information storage unit 132.
  • the system configuration information is stored in the configuration information storage unit 132 in association with each monitoring target system 200, and corresponding system configuration information is acquired according to the monitoring target system 200.
  • the history information collection unit 203 constantly monitors the monitoring target system 200, and includes history information including failure information such as log information output from each component included in the monitoring target system 200 and / or event information output when a failure occurs. Are collected and stored in the history information storage unit 133.
  • the log information is not limited to a system log or the like that is always output, and may include message information or the like that is output by interrupt processing or the like when a failure occurs.
  • the history information collected by the history information collection unit 203 often has a different data format, and may not be used as basic information for identifying a candidate event as it is. Therefore, it is desirable to provide a data format conversion unit 209 and convert it into a standard unified data format and store it in the history information storage unit 133.
  • the candidate event specifying unit 204 is a detection rule for detecting an event in which a failure has occurred based on the system configuration information acquired by the configuration information acquisition unit 202 and the history information stored in the history information storage unit 133. Identify candidate events that are candidates to be selected to generate.
  • the candidate event presentation unit 205 presents the identified candidate event on the display device 23. Thereby, the user can generate a detection rule with high accuracy by selecting an optimal event from the presented candidate event group.
  • the detection rule generation / storage unit 206 generates a detection rule based on the system configuration information including the component that sent the selected event, and stores it in the symptom database 131.
  • Candidate event detection unit 207 presents a candidate event to be selected next on display device 23 based on the generated detection rule and stored history information. Thereby, the user can select a more optimal event, and can generate a detection rule with higher accuracy.
  • the detection rule presentation unit 208 presents a detection rule to be updated by selecting a candidate event on the display device 23.
  • FIG. 3 is a functional block diagram of the detection rule generation device 1 according to the embodiment of the present invention when the detection rule is updated.
  • the event selection reception unit 301 receives a selection of an event by the user from the event list displayed on the display device 23.
  • the event may be selected using a pointing device such as the mouse 22 or may be selected by key input using the keyboard 21.
  • the detection rule extraction unit 302 extracts a detection rule corresponding to the topology of the component corresponding to the event for which the selection has been accepted.
  • the extracted detection rule is presented on the display device 23 as a part of the screen 40 by the detection rule presentation unit 208. Details of the display screen will be described later.
  • the update unit 303 receives the update of the detection rule presented on the display device 23 and updates the symptom database 131.
  • FIG. 4 is an exemplary diagram of a screen 40 displayed on the display device 23.
  • a topology diagram showing the dependency relationship of components included in the monitoring target system 200 is displayed.
  • recommended information display area 42 recommended detection rules and additional events recommended as additional events are displayed.
  • the event list display area 43 displays a list of events included in the monitored system 200.
  • the event selection accepting unit 301 accepts selection of a candidate event from the events displayed in the event list display area 43, the candidate event that has accepted the selection and the event having a dependency relationship are highlighted.
  • the display color of the candidate event that has received the selection and the event having the dependency relationship is changed and displayed.
  • the highlighting method is not particularly limited, and the luminance may be changed.
  • the detection rules extracted by the detection rule extraction unit 302 are displayed in the recommended information display area 42 according to the priority order.
  • the topology diagram displayed in the topology diagram display area 41 varies.
  • recommended additional events are also displayed in the recommended information display area 42, and are displayed in the topology diagram display area 41 when the update unit 303 selects an additional event with a pointing device such as the mouse 22. It is additionally displayed in the topology diagram. As a result, the symptom database 131 can be updated.
  • FIG. 5 is a view showing an example of a typical rule pattern of the generated detection rule.
  • FIG. 5A shows an example of a filter pattern
  • FIG. 5B shows an example of a sequence pattern
  • FIG. 5C shows an example of a threshold pattern.
  • the filter pattern is a detection rule for confirming whether or not each event matches an event for which selection has been accepted, and there is one event for which selection has been accepted. This is a valid detection rule.
  • the event f is the selected event “1” among the events a to i.
  • the sequence pattern is a detection rule for detecting the presence / absence of a sequence of events, and is an effective detection rule when there are a plurality of events for which selection has been accepted.
  • the event c corresponding to the selected event '1' and the event e corresponding to the selected event '2' are included. It is confirmed that they exist in this order.
  • the threshold pattern is a detection rule that compares a predetermined numerical value with a threshold value, and is a detection rule that is effective when there are a plurality of events for which selection has been accepted.
  • events b, d, f, and g corresponding to the selected event “1” among events a to i are counted.
  • the event that is hatched in FIG. 5C is an event corresponding to the selected event “1” existing within a certain period T, and the threshold (threshold) is set to “4” event. , It can be confirmed that it is selected within the threshold range.
  • FIG. 6 is a flowchart showing a procedure of detection rule generation processing of the CPU 11 of the detection rule generation device 1 according to the embodiment of the present invention.
  • the detection rule generation device 1 acquires system configuration information including related information between components included in the monitoring target system 200 (step S601).
  • the system configuration information may be acquired in advance and stored in the configuration information storage unit 132.
  • the CPU 11 of the detection rule generation device 1 constantly monitors the monitoring target system 200 and includes failure information such as log information output from each component included in the monitoring target system 200 and / or event information output when a failure occurs.
  • History information is collected (step S602), the data format is converted into a standard unified data format (step S603), and stored in the history information storage unit 133 of the storage device 13 (step S604).
  • the log information is not limited to a system log or the like that is always output, and may include message information or the like that is output by interrupt processing or the like when a failure occurs.
  • the CPU 11 Based on the system configuration information stored in the configuration information storage unit 132 of the storage device 13 and the history information stored in the history information storage unit 133, the CPU 11 selects candidates to be selected to generate a detection rule. A candidate event is identified (step S605). The CPU 11 displays and outputs the identified candidate event on the display device 23 (step S606).
  • the method for identifying the candidate event based on the system configuration information stored in the configuration information storage unit 132 of the storage device 13 and the history information stored in the history information storage unit 133 is not particularly limited.
  • the candidate event identification processing procedure when the detection rule is the rule pattern shown in FIG. 5 will be specifically described with reference to the drawings.
  • the sequence pattern is further classified into two types of rule patterns. That is, the ordered sequence pattern means a sequence pattern whose order is specified, and the unordered sequence pattern means a sequence pattern whose order is not specified.
  • FIG. 7 is a diagram illustrating candidate events when a filter pattern is selected from the detection rules.
  • FIG. 7A is an exemplary diagram of a topology diagram displayed in the topology diagram display area 41
  • FIG. 7B is an exemplary diagram of events displayed in the event list display area 43.
  • components A and C2 are selected as proximity components 71 having a dependency relationship close to component B2.
  • An event corresponding to the selected components A and C2 and existing within a certain period T is a candidate event.
  • components B1, B2, and B3 are selected as the same-type component 72 that is in parallel with the component B2.
  • Events corresponding to the selected components B1, B2, and B3 and existing within a certain period T are candidate events. Accordingly, events C, D, E, D ′, I, and C ′ that are candidate events corresponding to the sending component groups 74 and 75 shown in FIG. 7B are specified as candidate events.
  • FIG. 8 is an illustration of candidate events when an ordered sequence pattern is selected from the detection rules.
  • FIG. 8A is an exemplary diagram of a topology diagram displayed in the topology diagram display area 41
  • FIG. 8B is an exemplary diagram of events displayed in the event list display area 43.
  • components A, B1, and C1 are selected as components 81 that are in a serial relationship with components A and B1.
  • An event corresponding to the selected components A, B1, and C1 and existing within a certain period T is a candidate event. Therefore, events E, A ′, K, and E that are candidate events corresponding to the sending component groups 83 and 84 shown in FIG. 8B are specified as candidate events.
  • FIG. 9 is an illustration of candidate events when an unordered sequence pattern is selected from the detection rules.
  • FIG. 9A is an exemplary diagram of a topology diagram displayed in the topology diagram display area 41
  • FIG. 9B is an exemplary diagram of events displayed in the event list display area 43.
  • FIG. 9A when the events that have been selected by the user are components A, B1, B2, and C2 indicated by arrows 92, 92,..., They are displayed in the event list display area 43.
  • Event A ′ that has received selection at component A
  • event D ′ that has received selection at component B1
  • event B that has received selection at component B2
  • event C ′ that has received selection at component C2.
  • FIG. 9B the event group that has received the selection is hatched.
  • components A, B1, B2, B3, C1, and C2 are selected as components 91 that are serially or partially in series with components A, B1, B2, and C2. .
  • Events corresponding to the selected components A, B1, B2, B3, C1, and C2 and existing within a certain period T are candidate events. Therefore, the events D, I, and K that are candidate events corresponding to the sending components 93, 94, and 95 shown in FIG. 9B are specified as candidate events.
  • FIG. 10 is an illustration of candidate events when a threshold pattern is selected from the detection rules.
  • FIG. 10A is an exemplary diagram of a topology diagram displayed in the topology diagram display area 41
  • FIG. 10B is an exemplary diagram of events displayed in the event list display area 43.
  • the components C1, C2, and C3 are selected as the component 101 that is in parallel with the components C2 and C3.
  • An event corresponding to the selected components C1, C2, and C3 and existing within a certain period T is a candidate event. Therefore, events E, K, and E that are candidate events corresponding to the sending components 103, 104, and 105 shown in FIG. 10B are specified as candidate events.
  • FIG. 11 is a flowchart showing a procedure of detection rule update processing of the CPU 11 of the detection rule generation device 1 according to the embodiment of the present invention.
  • the CPU 11 of the detection rule generation device 1 accepts selection of an event by the user (step S1101).
  • the selection of the event by the user may be selection by a pointing device such as the mouse 22 or selection by key input using the keyboard 21.
  • CPU11 extracts the detection rule according to the topology of the component corresponding to the event which received selection (step S1102).
  • the CPU 11 displays the extracted detection rule on the display device 23 (step S1103), receives an update of the detection rule (step S1104), and updates the symptom database 131 (step S1105).
  • FIG.12 and FIG.13 is a flowchart which shows the procedure of the detection rule extraction process of CPU11 of the detection rule production
  • the CPU 11 of the detection rule generating device 1 determines whether or not there are a plurality of selection events that have been accepted by the user (step S1201).
  • the CPU 11 determines that the selected event is singular (step S1201: NO)
  • the CPU 11 preferentially extracts the filter pattern as a detection rule (step S1202).
  • a threshold pattern may be extracted.
  • FIG. 14 is a view showing an example of the topology when there is a single selected event.
  • FIG. 14A is an exemplary diagram of an event including the event occurrence time
  • FIG. 14B is an exemplary diagram of a topology diagram including the event occurrence time.
  • the event A sent from the component A occurs alone at 10:10, and extraction of a detection rule other than confirming the existence of the event or counting the number of events is not conceivable. Therefore, the filter pattern is preferentially extracted as the detection rule, and the threshold pattern is exceptionally extracted.
  • step S1201 when the CPU 11 of the detection rule generating device 1 determines that there are a plurality of selection events (step S1201: YES), the CPU 11 determines whether there are a plurality of components that have transmitted the plurality of selection events. Is determined (step S1203). When the CPU 11 determines that the number of components sent is singular (step S1203: NO), the CPU 11 determines whether or not the type of the selected event is the same type (step S1204).
  • step S1204 When the CPU 11 determines that the type of the selected event is the same type (step S1204: YES), the CPU 11 preferentially extracts the threshold pattern as the detection rule (step S1205). Of course, although it is exceptional, it goes without saying that the filter pattern may be extracted.
  • FIG. 15 is a view showing an example of the topology when there are a plurality of selection events and the selection events are of the same type.
  • FIG. 15A is an exemplary diagram of an event including an event occurrence time
  • FIG. 15B is an exemplary diagram of a topology diagram including the event occurrence time.
  • the three events A sent from the component A have occurred at 10:10, 20 and 30 minutes, respectively, and detection other than counting the number of events or confirming the existence of the event Rule extraction is unthinkable. Therefore, the threshold pattern is preferentially extracted as the detection rule, and the filter pattern is exceptionally extracted.
  • step S1204 when the CPU 11 of the detection rule generation device 1 determines that there are a plurality of types of selected events (step S1204: NO), the CPU 11 extracts a sequence pattern as a detection rule (step S1206). Depending on whether or not the selected events are ordered, either the ordered sequence pattern or the unordered sequence pattern may be extracted with priority, but the selection events are different from each other. It is preferable to extract the sequence sequence with priority.
  • FIG. 16 is a view showing an example of a topology when there are a plurality of selection events and a plurality of selection events.
  • FIG. 16A is an exemplary diagram of an event including an event occurrence time
  • FIG. 16B is an exemplary diagram of a topology diagram including the event occurrence time.
  • the three types of events A, B, and C sent from the component A are generated at 10:10, 20 and 30 minutes, respectively, and only the detection rule considering the event occurrence order can be extracted. . Therefore, a sequence pattern is extracted as a detection rule.
  • step S1203 when the CPU 11 of the detection rule generating device 1 determines that there are a plurality of components sent out (step S1203: YES), the CPU 11 determines whether or not a plurality of components are connected on the topology. Is determined (step S1207). When it is determined that the CPU 11 is not connected on the topology (step S1207: NO), the CPU 11 determines whether the connection relationship between the components is a parallel relationship (step S1208).
  • step S1208 determines whether or not the type of the selected event is the same type (step S1209).
  • step S1209: YES the CPU 11 extracts an unordered sequence pattern as a detection rule (step S1210).
  • a threshold pattern may be extracted, or an ordered sequence pattern may be extracted depending on the situation.
  • FIG. 17 is a view showing an example of the topology when there are a plurality of selection events, the relationship between components is uncorrelated, and the selection events are of the same type.
  • FIG. 17A is an exemplary diagram of an event including an event occurrence time
  • FIG. 17B is an exemplary diagram of a topology diagram including the event occurrence time.
  • the same event A is generated from the three components A, B, and C at 10:10, 20 and 30 minutes, respectively, and it is preferable to detect the sequence of events although they are out of order. Therefore, it is preferable to extract the unordered sequence pattern with priority as a detection rule.
  • step S1209 when the CPU 11 of the detection rule generation device 1 determines that there are a plurality of types of selected events (step S1209: NO), the CPU 11 extracts a sequence pattern as a detection rule (step S1211). ). Depending on whether the selected events are ordered, either the ordered sequence pattern or the unordered sequence pattern may be extracted with priority, but the components are not in a serial or parallel relationship. It is preferable to extract the unordered sequence pattern with priority.
  • FIG. 18 is an exemplary diagram of a topology when there are a plurality of selection events, the relationships between components are uncorrelated, and there are a plurality of types of selection events.
  • FIG. 18A is an exemplary diagram of an event including an event occurrence time
  • FIG. 18B is an exemplary diagram of a topology diagram including the event occurrence time.
  • step S ⁇ b> 1208: YES when the CPU 11 of the detection rule generation device 1 determines that the connection relationship between the components is a parallel relationship (step S ⁇ b> 1208: YES), the CPU 11 determines whether or not the type of the selected event is the same type. Is determined (step S1212). When the CPU 11 determines that the type of the selected event is the same type (step S1212: YES), the CPU 11 extracts a threshold pattern as a detection rule (step S1213). Of course, although it is exceptional, an unordered sequence pattern may be extracted, or an ordered sequence pattern may be extracted depending on the situation.
  • FIG. 19 is an example of a topology when there are a plurality of selection events, the relationship between components is a parallel relationship, and the selection events are of the same type.
  • FIG. 19A is an exemplary diagram of an event including an event occurrence time
  • FIG. 19B is an exemplary diagram of a topology diagram including the event occurrence time.
  • an event A is generated at 10:10, 20 and 30 minutes from the three components A, B and C connected in parallel to the component P, respectively. It is preferable to detect the alignment. Therefore, it is preferable to extract the unordered sequence pattern with priority as a detection rule.
  • step S1212 when the CPU 11 of the detection rule generation device 1 determines that there are a plurality of types of selected events (step S1212: NO), the CPU 11 extracts an unordered sequence pattern as a detection rule. (Step S1214).
  • a threshold pattern may be extracted, or an ordered sequence pattern may be extracted depending on the situation.
  • FIG. 20 is an exemplary diagram of the topology when there are a plurality of selection events, the relationship between components is a parallel relationship, and there are a plurality of types of selection events.
  • FIG. 20A is an exemplary diagram of an event including the event occurrence time
  • FIG. 20B is an exemplary diagram of a topology diagram including the event occurrence time.
  • different events A, B, and C are generated from three components A, B, and C connected to the component P in parallel at 10:10, 20 and 30 minutes, respectively. It is preferable to count the number of occurrences of events rather than the sequence of events. Therefore, it is preferable to extract the threshold pattern preferentially as a detection rule.
  • step S 1301 when the CPU 11 of the detection rule generation device 1 determines that the topology is connected (step S ⁇ b> 1207: YES), the CPU 11 determines that the components are completely in series as shown in FIG. 13. It is determined whether or not (step S1301). When the CPU 11 determines that the components are not in a complete serial relationship (step S1301: NO), the CPU 11 determines whether the type of the selected event is the same type (step S1302).
  • step S1302 determines that the type of the selected event is the same type (step S1302: YES)
  • the CPU 11 extracts an ordered sequence pattern as a detection rule (step S1303).
  • a threshold pattern may be extracted, or an unordered sequence pattern may be extracted depending on the situation.
  • FIG. 21 is an exemplary diagram of a topology when there are a plurality of selection events, and the relationship between components is not a complete serial relationship, but the selection events are of the same type.
  • FIG. 21A is an exemplary diagram of an event including the event occurrence time
  • FIG. 21B is an exemplary diagram of a topology diagram including the event occurrence time.
  • the event A is generated at 10:10, 20 and 30 minutes from the two components B and C connected in parallel to the component A and the component A, respectively. It is preferable to detect the sequence of events even in random order rather than counting. Therefore, it is preferable to extract the unordered sequence pattern with priority as a detection rule.
  • step S1302 when the CPU 11 of the detection rule generation device 1 determines that there are a plurality of types of selected events (step S1302: NO), the CPU 11 extracts a sequence pattern as a detection rule (step S1304). Depending on whether or not the selected events are ordered, either the ordered sequence pattern or the unordered sequence pattern may be extracted with priority, but the components are not in a complete serial relationship. It is preferable to extract the unordered sequence pattern with priority.
  • FIG. 22 is an exemplary diagram of a topology when there are a plurality of selection events and the relationship between components is not a complete serial relationship, but there are a plurality of types of selection events.
  • FIG. 22A is an exemplary diagram of an event including the event occurrence time
  • FIG. 22B is an exemplary diagram of a topology diagram including the event occurrence time.
  • step S ⁇ b> 1301: YES when the CPU 11 of the detection rule generation device 1 determines that the components are in a completely serial relationship (step S ⁇ b> 1301: YES), the CPU 11 determines whether or not the type of the selected event is the same type. Judgment is made (step S1305). If the CPU 11 determines that the type of the selected event is the same type (step S1305: YES), the CPU 11 extracts an ordered sequence pattern as a detection rule (step S1306). Of course, although it is exceptional, a threshold pattern may be extracted, or an unordered sequence pattern may be extracted depending on the situation.
  • FIG. 23 is an exemplary diagram of a topology when there are a plurality of selection events, the relationship between components is a complete serial relationship, and the selection events are of the same type.
  • FIG. 23A is an exemplary diagram of an event including an event occurrence time
  • FIG. 23B is an exemplary diagram of a topology diagram including the event occurrence time.
  • event A occurs from components A, B, and C that are in a serial relationship at 10:10, 20 and 30 minutes, respectively, and it is preferable to detect the sequence of events in a certain order. Therefore, it is preferable to preferentially extract the ordered sequence pattern as a detection rule.
  • step S1305 when the CPU 11 of the detection rule generation device 1 determines that there are a plurality of types of selected events (step S1305: NO), the CPU 11 extracts a sequence pattern as a detection rule (step S1307). Depending on whether or not the selected events are ordered, either the ordered sequence pattern or the unordered sequence pattern may be prioritized and extracted, but since the components are in a complete serial relationship, It is preferable to extract the ordered sequence pattern with priority.
  • FIG. 24 is an exemplary diagram of a topology when there are a plurality of selection events, the relationship between components is a complete serial relationship, and there are a plurality of types of selection events.
  • FIG. 24A is an exemplary diagram of an event including the event occurrence time
  • FIG. 24B is an exemplary diagram of a topology diagram including the event occurrence time.
  • different events A, B, and C are generated from components A, B, and C that are in a serial relationship at 10:10, 20, and 30 minutes, respectively, and a sequence of events in a certain order is detected. It is preferable. Therefore, it is preferable to preferentially extract the ordered sequence pattern as a detection rule.
  • the present embodiment by including related information between components in the system configuration information, it is possible to generate a detection rule for a failure event including not only dependency between components but also related information. it can.
  • presenting candidate events based on detection rules it is possible to effectively support detection rule generation work by the user, and to ensure detection rules at a certain level or higher without questioning the skill level of detection rule generation Can be generated.
  • a storage device of an external computer connected to the detection rule generation device according to the present embodiment via a network is provided with a topology database, a configuration information storage unit, and a history information storage unit, and is read as necessary. May be.
  • Detection Rule Generation Device 11 CPU 12 Memory (shared memory) 13 storage device 14 I / O interface 15 communication interface 16 video interface 17 portable disk drive 18 internal bus 23 display device 90 portable recording medium 100 computer program 131 symptom database 132 configuration information storage unit 133 history information storage unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Computing Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Computational Linguistics (AREA)
  • Artificial Intelligence (AREA)
  • Quality & Reliability (AREA)
  • Multimedia (AREA)
  • Debugging And Monitoring (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

【課題】作業者の熟練度合に左右されることなく適切なシンプトンを生成することができる検出ルール生成装置、検出ルール生成方法及びコンピュータプログラムを提供する。 【解決手段】複数のコンポーネントを含むシステムでのイベントの検出ルールを生成する。コンポーネント間の関連情報を含むシステムのシステム構成情報を取得し、ログ情報及び／又は障害発生時の各コンポーネントから出力される障害情報を含むシステムの履歴情報を収集する。システム構成情報及び履歴情報に基づいて、検出ルールを生成するために選択されるべき候補となる候補イベントを特定し、特定された候補イベントを提示する。提示された候補イベントに基づいて検出ルールを生成する。

Description

検出ルール生成装置、検出ルール生成方法及びコンピュータプログラム
　本発明は、作業者の熟練度に依存することなく、障害が発生したイベントをより精度良く検出することが可能な検出ルールを生成することができる検出ルール生成装置、検出ルール生成方法及びコンピュータプログラムに関する。
　昨今のコンピュータ技術の急速な発展により、コンピュータシステムは社会インフラを構築する基幹システムに当然のように組み込まれている。社会インフラを定常的に正常に運用するためには、相当の運用コストが発生する。斯かる運用コストを少しでも削減し、しかもシステムの安定度を高める技術としてオートノミック・コンピューティング・システムが注目されている。
 オートノミック・コンピューティング・システムは、システム規模の自己管理型環境を構築する技術全体の総称であり、システムに生じた問題、障害等を検出して自律的に解消するシステム全般を意味している。システムに生じた問題、障害等を検出する方法は、多様な方法が開示されている。
 例えば特許文献１では、障害発生イベントを常時監視しておき、障害が発生した場合には障害解析に必要な初期解析用データを電子メールで送信する保守管理システムが開示されている。また、特許文献２では、イベントと発生原因との対応関係及び障害の発生原因間の遷移を有限オートマトンでモデル化し、学習を繰り返すことにより障害の発生原因の推定精度を高める障害原因推定システムが開示されている。
 さらに特許文献３では、システムを構成する構成機器、リソース等の構成情報を記憶しておき、障害発生時に記憶してある構成情報に基づいて発生原因を解析する障害解析装置が開示されており、特許文献４では、システムに含まれるコンポーネント間の依存関係を記憶しておき、表示されている依存関係に基づいて障害原因の候補となるコンポーネントを容易に特定することができる、障害発生の原因箇所を発見するための支援システムが開示されている。
特開２００１－００５６９２号公報 特開２００７－２５７１８４号公報 特開２００５－３１６７２８号公報 特開２００８－０６５６６８号公報
　しかし、特許文献１に開示されている保守管理システムでは、障害解析に必要な初期解析用データを入手することができるものの、該初期解析用データにはシステムの構成情報が含まれておらず、システムごとに固有の障害要因を解析するためにはさらなる詳細情報を入手する必要があるという問題点があった。また、特許文献２に開示されている障害原因推定システムでは、障害が発生すればするほど障害原因の推定精度が高まることが期待されるが、そもそも基幹インフラに適用されるシステムにおいては障害の発生を未然に防止することが強く要求されており、実態に即した方法とは言えない。
　また、特許文献３では、システムの構成情報を、特許文献４ではコンポーネント間の依存関係を、それぞれ用いることで障害発生の原因箇所の推定精度を高めているが、いずれも事前に障害が生じたイベントを検出するための検出ルール、及び該検出ルールに障害検出時の推奨アクション、コメント等を付加した知識情報（以下、シンプトン：ＳＹＭＰＴＯＭ）を記憶しておくことが前提となる。したがって、検出ルールを含むシンプトン生成時の作業者の熟練度合に大きく依存するとともに、シンプトン生成の作業負担が多大である、生成されたシンプトンの中核をなす障害発生イベントの検出ルールの評価、改善等が困難であるという問題点があった。
　本発明は斯かる事情に鑑みてなされたものであり、作業者の熟練度合に左右されることなく適切なシンプトンを生成することができる検出ルール生成装置、検出ルール生成方法及びコンピュータプログラムを提供することを目的とする。
　上記目的を達成するために第１発明に係る検出ルール生成装置は、複数のコンポーネントを含むシステムでのイベントの検出ルールを生成する検出ルール生成装置において、前記コンポーネント間の関連情報を含む前記システムのシステム構成情報を取得する構成情報取得手段と、ログ情報及び／又は前記システムでの障害発生時の各コンポーネントから出力される障害情報を含む前記システムの履歴情報を収集する履歴情報収集手段と、取得した前記システム構成情報及び収集した前記履歴情報に基づいて、検出ルールを生成するために選択されるべき候補となる候補イベントを特定する候補イベント特定手段と、特定された候補イベントを提示する候補イベント提示手段とを備えることを特徴とする。
　また、第２発明に係る検出ルール生成装置は、第１発明において、前記検出ルールを生成してデータベースに記憶する検出ルール生成・記憶手段と、記憶されている検出ルールに基づいて候補イベントを検出する候補イベント検出手段とを備え、前記候補イベント提示手段は、検出された前記候補イベントを提示するようにしてあることを特徴とする。
　また、第３発明に係る検出ルール生成装置は、第１又は第２発明において、収集される前記ログ情報及び／又は前記障害情報を事前に統一データ形式に変換するデータ形式変換手段を備え、前記履歴情報収集手段は、前記統一データ形式に変換された前記ログ情報及び／又は前記障害情報を収集するようにしてあることを特徴とする。
　また、第４発明に係る検出ルール生成装置は、第１乃至第３発明のいずれか１つにおいて、ユーザによるイベントの選択を受け付けるイベント選択受付手段と、選択を受け付けたイベントに対応するコンポーネントのトポロジーに応じた検出ルールを抽出する検出ルール抽出手段と、抽出された検出ルールを提示する検出ルール提示手段と、提示された検出ルールの更新を受け付けて前記データベースを更新するデータベース更新手段とを備えることを特徴とする。
　また、第５発明に係る検出ルール生成装置は、第４発明において、前記イベント選択受付手段で選択を受け付けたイベントが単数であるか否かを判断する単複判断手段を備え、該単複判断手段で単数であると判断した場合、前記検出ルール抽出手段は、イベントを確認するフィルタ・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする。
　また、第６発明に係る検出ルール生成装置は、第５発明において、前記単複判断手段で複数であると判断した場合、選択を受け付けたイベントを送り出したコンポーネントが単数であるか否かを判断するコンポーネント判断手段と、該コンポーネント判断手段で単数であると判断した場合、選択を受け付けたイベントが同種であるか否かを判断するイベント判断手段とを備え、該イベント判断手段で同種であると判断した場合、前記検出ルール抽出手段は、所定の数値を閾値と比較するスレッシュホールド・パターンとして前記検出ルールを抽出するようにしてあり、前記イベント判断手段で複数種であると判断した場合、前記検出ルール抽出手段は、イベントの並びの存否を検出するシーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする。
　また、第７発明に係る検出ルール生成装置は、第６発明において、前記コンポーネント判断手段で複数であると判断した場合、複数のコンポーネント間がトポロジー上で接続されているか否かを判断する接続判断手段と、該接続判断手段で接続されていないと判断した場合、複数のコンポーネントが並列関係にあるか否かを判断する並列関係判断手段とを備え、該並列関係判断手段で並列関係にないと判断した場合、前記検出ルール抽出手段は、前記シーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする。
　また、第８発明に係る検出ルール生成装置は、第７発明において、前記並列関係判断手段で並列関係にあると判断した場合、選択を受け付けたイベントが同種であるか否かを判断するイベント判断手段を備え、該イベント判断手段で同種であると判断した場合、前記検出ルール抽出手段は、前記スレッシュホールド・パターンとして前記検出ルールを抽出するようにしてあり、前記イベント判断手段で複数種であると判断した場合、前記検出ルール抽出手段は、前記シーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする。
　また、第９発明に係る検出ルール生成装置は、第７発明において、前記接続判断手段で接続されていると判断した場合、前記検出ルール抽出手段は、前記シーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする。
　また、第１０発明に係る検出ルール生成装置は、第７発明において、前記接続判断手段で接続されていると判断した場合、複数のコンポーネントが直列関係にあるか否かを判断する直列関係判断手段と、該直列関係判断手段で直列関係にないと判断した場合、選択を受け付けたイベントが同種であるか否かを判断するイベント判断手段とを備え、該イベント判断手段で同種であると判断した場合、前記検出ルール抽出手段は、順序が特定されているオーダード・シーケンス・パターンとして前記検出ルールを抽出するようにしてあり、前記イベント判断手段で複数種であると判断した場合、前記検出ルール抽出手段は、順序が特定されていないアンオーダード・シーケンス・パターンとして前記検出ルールを抽出するようにしてあり、前記直列関係判断手段で直列関係にあると判断した場合、前記検出ルール抽出手段は、順序が特定されているオーダード・シーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする。
　次に、上記目的を達成するために第１１発明に係る検出ルール生成方法は、複数のコンポーネントを含むシステムでのイベントの検出ルールを生成する検出ルール生成装置で実行することが可能な検出ルール生成方法において、前記コンポーネント間の関連情報を含む前記システムのシステム構成情報を取得し、ログ情報及び／又は前記システムでの障害発生時の各コンポーネントから出力される障害情報を含む前記システムの履歴情報を収集し、取得した前記システム構成情報及び収集した前記履歴情報に基づいて、検出ルールを生成するために選択されるべき候補となる候補イベントを特定し、特定された候補イベントを提示することを特徴とする。
　また、第１２発明に係る検出ルール生成方法は、第１１発明において、前記検出ルールを生成してデータベースに記憶し、記憶されている検出ルールに基づいて候補イベントを検出し、検出された前記候補イベントを提示することを特徴とする。
　また、第１３発明に係る検出ルール生成方法は、第１１又は第１２発明において、収集される前記ログ情報及び／又は前記障害情報を事前に統一データ形式に変換し、前記統一データ形式に変換された前記ログ情報及び／又は前記障害情報を収集することを特徴とする。
　また、第１４発明に係る検出ルール生成方法は、第１１乃至第１３発明のいずれか１つにおいて、ユーザによるイベントの選択を受け付け、選択を受け付けたイベントに対応するコンポーネントのトポロジーに応じた検出ルールを抽出し、抽出された検出ルールを提示し、提示された検出ルールの更新を受け付けて前記データベースを更新することを特徴とする。
　次に、上記目的を達成するために第１５発明に係るコンピュータプログラムは、複数のコンポーネントを含むシステムでのイベントの検出ルールを生成する検出ルール生成装置で実行することが可能なコンピュータプログラムにおいて、前記検出ルール生成装置を、前記コンポーネント間の関連情報を含む前記システムのシステム構成情報を取得する構成情報取得手段、ログ情報及び／又は前記システムでの障害発生時の各コンポーネントから出力される障害情報を含む前記システムの履歴情報を収集する履歴情報収集手段、取得した前記システム構成情報及び収集した前記履歴情報に基づいて、検出ルールを生成するために選択されるべき候補となる候補イベントを特定する候補イベント特定手段、及び特定された候補イベントを提示する候補イベント提示手段として機能させることを特徴とする。
　また、第１６発明に係るコンピュータプログラムは、第１５発明において、前記検出ルール生成装置を、前記検出ルールを生成してデータベースに記憶する検出ルール生成・記憶手段、記憶されている検出ルールに基づいて候補イベントを検出する候補イベント検出手段として機能させ、前記候補イベント提示手段を、検出された前記候補イベントを提示する手段として機能させることを特徴とする。
　また、第１７発明に係るコンピュータプログラムは、第１５又は第１６発明において、前記検出ルール生成装置を、収集される前記ログ情報及び／又は前記障害情報を事前に統一データ形式に変換するデータ形式変換手段として機能させ、前記履歴情報収集手段を、前記統一データ形式に変換された前記ログ情報及び／又は前記障害情報を収集する手段として機能させることを特徴とする。
　また、第１８発明に係るコンピュータプログラムは、第１５乃至第１７発明のいずれか１つにおいて、前記検出ルール生成装置を、ユーザによるイベントの選択を受け付けるイベント選択受付手段、選択を受け付けたイベントに対応するコンポーネントのトポロジーに応じた検出ルールを抽出する検出ルール抽出手段、抽出された検出ルールを提示する検出ルール提示手段、及び提示された検出ルールの更新を受け付けて前記データベースを更新するデータベース更新手段として機能させることを特徴とする。
　本発明によれば、システム構成情報にコンポーネント間の関連情報を含むことにより、コンポーネント間の依存関係だけではなく関連情報も含めて障害発生イベントの検出ルールを生成することができる。また、検出ルールに基づいて候補イベントを提示することにより、ユーザによる検出ルール生成作業を効果的に支援することができ、検出ルール生成の熟練度合を問うことなく一定レベル以上の検出ルールを確実に生成することができる。
本発明の実施の形態に係る検出ルール生成装置の構成例を示すブロック図である。 本発明の実施の形態に係る検出ルール生成装置の検出ルール生成時の機能ブロック図である。 本発明の実施の形態に係る検出ルール生成装置の検出ルール更新時の機能ブロック図である。 表示装置に表示される画面の例示図である。 生成される検出ルールの典型的なルール・パターンの例示図である。 本発明の実施の形態に係る検出ルール生成装置のＣＰＵの検出ルール生成処理の手順を示すフローチャートである。 検出ルールのうちフィルタ・パターンが選択された場合の候補イベントの例示図である。 検出ルールのうちオーダード・シーケンス・パターンが選択された場合の候補イベントの例示図である。 検出ルールのうちアンオーダード・シーケンス・パターンが選択された場合の候補イベントの例示図である。 検出ルールのうちスレッシュホールド・パターンが選択された場合の候補イベントの例示図である。 本発明の実施の形態に係る検出ルール生成装置のＣＰＵの検出ルール更新処理の手順を示すフローチャートである。 本発明の実施の形態に係る検出ルール生成装置のＣＰＵの検出ルール抽出処理の手順を示すフローチャートである。 本発明の実施の形態に係る検出ルール生成装置のＣＰＵの検出ルール抽出処理の手順を示すフローチャートである。 選択イベントが単数である場合のトポロジーの例示図である。 選択イベントが複数であり、選択イベントが同種である場合のトポロジーの例示図である。 選択イベントが複数であり、選択イベントが複数種である場合のトポロジーの例示図である。 選択イベントが複数であり、コンポーネント間の関係が無相関であり、選択イベントが同種である場合のトポロジーの例示図である。 選択イベントが複数であり、コンポーネント間の関係が無相関であり、選択イベントが複数種である場合のトポロジーの例示図である。 選択イベントが複数であり、コンポーネント間の関係が並列関係であり、選択イベントが同種である場合のトポロジーの例示図である。 選択イベントが複数であり、コンポーネント間の関係が並列関係であり、選択イベントが複数種である場合のトポロジーの例示図である。 選択イベントが複数であり、コンポーネント間の関係が完全な直列関係ではなく、選択イベントが同種である場合のトポロジーの例示図である。 選択イベントが複数であり、コンポーネント間の関係が完全な直列関係ではなく、選択イベントが複数種である場合のトポロジーの例示図である。 選択イベントが複数であり、コンポーネント間の関係が完全な直列関係であり、選択イベントが同種である場合のトポロジーの例示図である。 選択イベントが複数であり、コンポーネント間の関係が完全な直列関係であり、選択イベントが複数種である場合のトポロジーの例示図である。
　以下、本発明の実施の形態に係る検出ルール生成装置について、図面に基づいて具体的に説明する。以下の実施の形態は、特許請求の範囲に記載された発明を限定するものではなく、実施の形態の中で説明されている特徴的事項の組み合わせの全てが解決手段の必須事項であるとは限らないことは言うまでもない。
　また、本発明は多くの異なる態様にて実施することが可能であり、実施の形態の記載内容に限定して解釈されるべきものではない。実施の形態を通じて同じ要素には同一の符号を付している。
　以下の実施の形態では、コンピュータシステムにコンピュータプログラムを導入した検出ルール生成装置について説明するが、当業者であれば明らかな通り、本発明はその一部をコンピュータで実行することが可能なコンピュータプログラムとして実施することができる。したがって、本発明は、検出ルール生成装置というハードウェアとしての実施の形態、ソフトウェアとしての実施の形態、又はソフトウェアとハードウェアとの組み合わせの実施の形態をとることができる。コンピュータプログラムは、ハードディスク、ＤＶＤ、ＣＤ、光記憶装置、磁気記憶装置等の任意のコンピュータで読み取ることが可能な記録媒体に記録することができる。
　本発明の実施の形態では、システム構成情報にコンポーネント間の関連情報を含むことにより、コンポーネント間の依存関係だけではなく関連情報も含めて障害発生イベントの検出ルールを生成することができる。また、検出ルールに基づいて候補イベントを提示することにより、ユーザによる検出ルール生成作業を効果的に支援することができ、検出ルール生成の熟練度合を問うことなく一定レベル以上の検出ルールを確実に生成することができる。ここで、「コンポーネント」とは、サービス、アプリケーション、ミドルウェア、ハードウェア、デバイスドライバ、オペレーティングシステム等のコンピューティング環境におけるコンポーネント全般を意味している。また、「システム構成情報」とは、システムを構成している複数のコンポーネント間の依存関係に関する情報だけではなく、障害解析に有用な関連を導出することが可能な情報、例えば通信における接続関係、命令、指示等による操作主体、客体の関係等の情報を含む広い概念である。したがって、コンポーネントのトポロジー図を容易に作成することができる。
　また、ログ情報及び／又は障害情報を統一データ形式にて収集することにより、ログ情報及び／又は障害情報に含まれるイベントの表示、解析が容易となり、候補イベントをより容易に特定することができる。
　さらに、選択を受け付けたイベントに対応した検出ルールを容易に更新することができ、より実際のシステム構成に即した検出ルールを生成することが可能となる。ここで「トポロジー」とは、コンポーネント間の接続関係、依存関係を示す概念である。
　図１は、本発明の実施の形態に係る検出ルール生成装置の構成例を示すブロック図である。本発明の実施の形態に係る検出ルール生成装置１は、少なくともＣＰＵ（中央演算装置）１１、メモリ１２、記憶装置１３、Ｉ／Ｏインタフェース１４、通信インタフェース１５、ビデオインタフェース１６、可搬型ディスクドライブ１７及び上述したハードウェアを接続する内部バス１８で構成されている。
　ＣＰＵ１１は、内部バス１８を介して検出ルール生成装置１の上述したようなハードウェア各部と接続されており、上述したハードウェア各部の動作を制御するとともに、記憶装置１３に記憶されているコンピュータプログラム１００に従って、種々のソフトウェア的機能を実行する。メモリ１２は、ＳＲＡＭ、ＳＤＲＡＭ等の揮発性メモリで構成され、コンピュータプログラム１００の実行時にロードモジュールが展開され、コンピュータプログラム１００の実行時に発生する一時的なデータ等を記憶する。
　記憶装置１３は、内蔵される固定型記憶装置（ハードディスク）、ＲＯＭ等で構成されている。記憶装置１３に記憶されているコンピュータプログラム１００は、プログラム及びデータ等の情報を記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体９０から、可搬型ディスクドライブ１７によりダウンロードされ、実行時には記憶装置１３からメモリ１２へ展開して実行される。もちろん、通信インタフェース１５を介してネットワーク２に接続されている外部のコンピュータからダウンロードされたコンピュータプログラムであっても良い。
　また記憶装置１３は、シンプトンデータベース１３１を備えている。シンプトンデータベース１３１には、障害が発生したイベントを検出するための検出ルールに加えて、検出ルールごとに障害検出時の推奨アクション、コメント等を付加してある。ユーザが、障害が発生したイベントを選択した場合、選択されたイベントに応じて検出ルールが抽出され、コンポーネントのトポロジー図とともに表示装置２３に表示される。
　また記憶装置１３は、障害が発生したか否かの監視対象となるシステムのシステム構成情報を記憶する構成情報記憶部１３２と、監視対象となるシステムのログ情報、該システムで障害が発生した場合に出力されるイベント情報等の履歴情報を記憶する履歴情報記憶部１３３とを備えている。構成情報記憶部１３２は、監視対象となる監視対象システム２００のコンポーネント間の依存関係情報、各コンポーネントの関連情報等を含むＣＣＭＤＢ（Ｃｈａｎｇｅ　ａｎｄ　Ｃｏｎｆｉｇｕｒａｔｉｏｎ　Ｍａｎａｇｅｍｅｎｔ　ＤＢ）で構成されている。構成情報記憶部１３２に記憶されているシステム構成情報に基づいてコンポーネントのトポロジー図を表示することができる。なお、構成情報記憶部１３２は、記憶装置１３内に備わっていても良いが、通常は本実施の形態に係る検出ルール生成装置１とは別個に設けてあり、例えばネットワーク２を介して接続されている外部コンピュータ等に備わっている。
　通信インタフェース１５は内部バス１８に接続されており、インターネット、ＬＡＮ、ＷＡＮ等の外部のネットワーク２に接続されることにより、外部のコンピュータ等とデータ送受信を行うことが可能となっている。また、監視対象システム２００ともネットワーク２を介して接続されており、システム構成情報、障害発生時の履歴情報等を取得することが可能となっている。
　Ｉ／Ｏインタフェース１４は、キーボード２１、マウス２２等のデータ入力媒体と接続され、データの入力を受け付ける。また、ビデオインタフェース１６は、ＣＲＴモニタ、ＬＣＤ等の表示装置２３と接続され、所定の画像を表示する。
　図２は、本発明の実施の形態に係る検出ルール生成装置１の検出ルール生成時の機能ブロック図である。構成情報抽出部２０１は、監視対象システム２００に含まれるコンポーネント間の関連情報を含むシステム構成情報を抽出して、構成情報記憶部１３２に記憶する。コンポーネント間の関連情報を含むシステム構成情報とは、例えばコンポーネント間の通信における接続関係情報、操作・非操作の関係に関するリンク関係情報等である。なお、構成情報抽出部２０１は本発明に必須の構成要件ではなく、事前に構成情報記憶部１３２にシステム構成情報を生成しておいても良く、検出ルール生成装置１内に内蔵していてもいなくても良い。すなわち、構成情報抽出部２０１及び構成情報記憶部１３２は、本発明の実施の形態に係る検出ルール生成装置１の必須の構成要件ではない。
　構成情報取得部２０２は、構成情報記憶部１３２に記憶されているシステム構成情報を取得する。システム構成情報は監視対象システム２００ごとに対応付けて構成情報記憶部１３２に記憶してあり、監視対象システム２００に応じて対応するシステム構成情報を取得する。
　履歴情報収集部２０３は、監視対象システム２００を常時監視し、監視対象システム２００に含まれる各コンポーネントから出力されたログ情報及び／又は障害発生時に出力されるイベント情報等の障害情報を含む履歴情報を収集して、履歴情報記憶部１３３に記憶する。ログ情報は、常時出力されるシステムログ等に限定されるものではなく、障害発生時に割り込み処理等により出力されるメッセージ情報等を含んでも良い。
　なお、履歴情報収集部２０３で収集した履歴情報は、それぞれデータ形式が相違することが多く、そのままでは候補イベントを特定する基本情報として用いることができない場合も生じうる。そこで、データ形式変換部２０９を備え、標準的な統一データ形式に変換して履歴情報記憶部１３３へ記憶しておくことが望ましい。
　候補イベント特定部２０４は、構成情報取得部２０２で取得されたシステム構成情報及び履歴情報記憶部１３３に記憶されている履歴情報に基づいて、障害が発生しているイベントを検出するための検出ルールを生成するために選択されるべき候補となる候補イベントを特定する。
　候補イベント提示部２０５は、特定された候補イベントを表示装置２３に提示する。これにより、ユーザは提示された候補イベント群の中から最適なイベントを選択することにより、精度良く検出ルールを生成することができる。
　一方、検出ルール生成・記憶部２０６は、選択されたイベントを送出したコンポーネントを含むシステム構成情報に基づいて検出ルールを生成し、シンプトンデータベース１３１に記憶する。候補イベント検出部２０７は、生成された検出ルール及び記憶してある履歴情報に基づいて、次に選択対象となる候補イベントを表示装置２３に提示する。これにより、ユーザはより最適なイベントを選択することができ、より精度良く検出ルールを生成することができる。検出ルール提示部２０８は、候補イベントを選択することにより更新する対象となる検出ルールを表示装置２３に提示する。
　図３は、本発明の実施の形態に係る検出ルール生成装置１の検出ルール更新時の機能ブロック図である。イベント選択受付部３０１は、表示装置２３に表示されているイベントリストの中から、ユーザによるイベントの選択を受け付ける。イベントの選択は、マウス２２等のポインティングデバイスによる選択でも良いし、キーボード２１によるキー入力による選択であっても良い。
　検出ルール抽出部３０２は、選択を受け付けたイベントに対応するコンポーネントのトポロジーに応じた検出ルールを抽出する。抽出された検出ルールは、検出ルール提示部２０８により、表示装置２３に画面４０の一部として提示される。表示画面の詳細は後述する。更新部３０３は、表示装置２３に提示された検出ルールの更新を受け付け、シンプトンデータベース１３１を更新する。
　図４は、表示装置２３に表示される画面４０の例示図である。トポロジー図表示領域４１には、監視対象システム２００に含まれるコンポーネントの依存関係を示すトポロジー図を表示する。推奨情報表示領域４２には、推奨される検出ルール及び追加イベントとして推奨される追加イベントが表示される。
　イベントリスト表示領域４３には、監視対象システム２００に含まれるイベントが一覧表示される。イベント選択受付部３０１により、イベントリスト表示領域４３に表示されているイベントから候補イベントの選択を受け付けた場合、選択を受け付けた候補イベント及び依存関係を有するイベントが強調表示される。図４では、選択を受け付けた候補イベント及び依存関係を有するイベントの表示色を変更して表示している。強調表示の方法は特に限定されるものではなく、輝度を変更しても良い。
　検出ルール抽出部３０２により抽出された検出ルールは、優先順位に応じて推奨情報表示領域４２に表示される。表示された検出ルールをマウス２２等のポインティングデバイスにより選択することにより、トポロジー図表示領域４１に表示されるトポロジー図が変動する。
　また、推奨情報表示領域４２には、推奨される追加イベントも表示されており、更新部３０３にてマウス２２等のポインティングデバイスにより追加イベントを選択等することにより、トポロジー図表示領域４１に表示されているトポロジー図に追加表示される。これによりシンプトンデータベース１３１を更新することができる。
　図５は、生成される検出ルールの典型的なルール・パターンの例示図である。図５（ａ）はフィルタ・パターンの例示図を、図５（ｂ）はシーケンス・パターンの例示図を、図５（ｃ）はスレッシュホールド・パターンの例示図を、それぞれ示している。
　図５（ａ）に示すように、フィルタ・パターンは、個々のイベントが選択を受け付けたイベントと一致しているか否かを確認する検出ルールであり、選択を受け付けたイベントが１つである場合に有効な検出ルールである。図５（ａ）では、イベントａからｉまでの中でイベントｆが選択イベント‘１’であることを確認している。
　図５（ｂ）に示すように、シーケンス・パターンは、イベントの並びの存否を検出する検出ルールであり、選択を受け付けたイベントが複数である場合に有効な検出ルールである。図５（ｂ）では、イベントａからｉまでの中での一定期間Ｔ内に存在するイベントの中に、選択イベント‘１’に相当するイベントｃ、選択イベント‘２’に相当するイベントｅがこの順序で存在することを確認している。
　図５（ｃ）に示すように、スレッシュホールド・パターンは、所定の数値を閾値と比較する検出ルールであり、選択を受け付けたイベントが複数である場合に有効な検出ルールである。図５（ｃ）では、イベントａからｉまでの中で選択イベント‘１’に相当するイベントｂ、ｄ、ｆ、ｇを計数している。図５（ｃ）でハッチング表示されているイベントは、一定期間Ｔ内に存在する選択イベント‘１’に相当するイベントであり、閾値（スレッシュホールド）を‘４’イベントと設定していることから、閾値の範囲内で選択されていることを確認することができる。
　図６は、本発明の実施の形態に係る検出ルール生成装置１のＣＰＵ１１の検出ルール生成処理の手順を示すフローチャートである。まず検出ルール生成装置１は、監視対象システム２００に含まれるコンポーネント間の関連情報を含むシステム構成情報を取得する（ステップＳ６０１）。もちろん、事前にシステム構成情報を取得して、構成情報記憶部１３２に記憶しておいても良い。
　検出ルール生成装置１のＣＰＵ１１は、監視対象システム２００を常時監視し、監視対象システム２００に含まれる各コンポーネントから出力されたログ情報及び／又は障害発生時に出力されるイベント情報等の障害情報を含む履歴情報を収集し（ステップＳ６０２）、データ形式を標準的な統一データ形式に変換して（ステップＳ６０３）、記憶装置１３の履歴情報記憶部１３３に記憶する（ステップＳ６０４）。ログ情報は、常時出力されるシステムログ等に限定されるものではなく、障害発生時に割り込み処理等により出力されるメッセージ情報等を含んでも良い。
　ＣＰＵ１１は、記憶装置１３の構成情報記憶部１３２に記憶されているシステム構成情報及び履歴情報記憶部１３３に記憶されている履歴情報に基づいて、検出ルールを生成するために選択されるべき候補となる候補イベントを特定する（ステップＳ６０５）。ＣＰＵ１１は、特定された候補イベントを表示装置２３に表示出力する（ステップＳ６０６）。
　記憶装置１３の構成情報記憶部１３２に記憶されているシステム構成情報及び履歴情報記憶部１３３に記憶されている履歴情報に基づいて、候補イベントを特定する方法は、特に限定されるものではない。ここでは、検出ルールが図５に示すルール・パターンである場合の候補イベントの特定処理手順について、図面を参照しながら具体的に説明する。
　なお、検出ルールのルール・パターンのうち、シーケンス・パターンについては、さらに２種類のルール・パターンに分類する。すなわち、オーダード・シーケンス・パターンは、順序が特定されているシーケンス・パターンを意味しており、アンオーダード・シーケンス・パターンとは、順序が特定されていないシーケンス・パターンを意味している。
　図７は、検出ルールのうちフィルタ・パターンが選択された場合の候補イベントの例示図である。図７（ａ）は、トポロジー図表示領域４１に表示されるトポロジー図の例示図であり、図７（ｂ）は、イベントリスト表示領域４３に表示されているイベントの例示図である。
　図７（ａ）に示すように、ユーザによる選択を受け付けたイベントが、矢印７３で示されたコンポーネントＢ２である場合、イベントリスト表示領域４３に表示されているコンポーネントＢ２にて選択を受け付けたイベントＢが強調表示される。図７（ｂ）では、コンポーネントＢ２にて選択を受け付けたイベントＢがハッチング表示されている。
　そして、図７（ａ）のトポロジー図から、コンポーネントＢ２に近接する依存関係を有する近接コンポーネント７１として、コンポーネントＡ、Ｃ２が選択される。選択されたコンポーネントＡ、Ｃ２に対応し、一定期間Ｔ内に存在するイベントが候補イベントとなる。また、コンポーネントＢ２と並列関係にある同種コンポーネント７２として、コンポーネントＢ１、Ｂ２、Ｂ３が選択される。選択されたコンポーネントＢ１、Ｂ２、Ｂ３に対応し、一定期間Ｔ内に存在するイベントが候補イベントとなる。したがって、図７（ｂ）に示す送出コンポーネント群７４、７５に対応する候補イベントであるイベントＣ、Ｄ、Ｅ、Ｄ’、Ｉ、Ｃ’が候補イベントとして特定される。
　図８は、検出ルールのうちオーダード・シーケンス・パターンが選択された場合の候補イベントの例示図である。図８（ａ）は、トポロジー図表示領域４１に表示されるトポロジー図の例示図であり、図８（ｂ）は、イベントリスト表示領域４３に表示されているイベントの例示図である。
　図８（ａ）に示すように、ユーザによる選択を受け付けたイベントが、矢印８２、８２で示されたコンポーネントＡ、Ｂ１である場合、イベントリスト表示領域４３に表示されているコンポーネントＡにて選択を受け付けたイベントＣ’、コンポーネントＢ１にて選択を受け付けたイベントＤ’が強調表示される。図８（ｂ）では、選択を受け付けた両イベントがハッチング表示されている。
　そして、図８（ａ）のトポロジー図から、コンポーネントＡ、Ｂ１と直列関係にあるコンポーネント８１として、コンポーネントＡ、Ｂ１、Ｃ１が選択される。選択されたコンポーネントＡ、Ｂ１、Ｃ１に対応し、一定期間Ｔ内に存在するイベントが候補イベントとなる。したがって、図８（ｂ）に示す送出コンポーネント群８３、８４に対応する候補イベントであるイベントＥ、Ａ’、Ｋ、Ｅが候補イベントとして特定される。
　図９は、検出ルールのうちアンオーダード・シーケンス・パターンが選択された場合の候補イベントの例示図である。図９（ａ）は、トポロジー図表示領域４１に表示されるトポロジー図の例示図であり、図９（ｂ）は、イベントリスト表示領域４３に表示されているイベントの例示図である。
　図９（ａ）に示すように、ユーザによる選択を受け付けたイベントが、矢印９２、９２、・・・で示されたコンポーネントＡ、Ｂ１、Ｂ２、Ｃ２である場合、イベントリスト表示領域４３に表示されているコンポーネントＡにて選択を受け付けたイベントＡ’、コンポーネントＢ１にて選択を受け付けたイベントＤ’、コンポーネントＢ２にて選択を受け付けたイベントＢ、コンポーネントＣ２にて選択を受け付けたイベントＣ’が強調表示される。図９（ｂ）では、選択を受け付けたイベント群がハッチング表示されている。
　そして、図９（ａ）のトポロジー図から、コンポーネントＡ、Ｂ１、Ｂ２、Ｃ２と直列関係又は部分的直列関係にあるコンポーネント９１として、コンポーネントＡ、Ｂ１、Ｂ２、Ｂ３、Ｃ１、Ｃ２が選択される。選択されたコンポーネントＡ、Ｂ１、Ｂ２、Ｂ３、Ｃ１、Ｃ２に対応し、一定期間Ｔ内に存在するイベントが候補イベントとなる。したがって、図９（ｂ）に示す送出コンポーネント９３、９４、９５に対応する候補イベントであるイベントＤ、Ｉ、Ｋが候補イベントとして特定される。
　図１０は、検出ルールのうちスレッシュホールド・パターンが選択された場合の候補イベントの例示図である。図１０（ａ）は、トポロジー図表示領域４１に表示されるトポロジー図の例示図であり、図１０（ｂ）は、イベントリスト表示領域４３に表示されているイベントの例示図である。
　図１０（ａ）に示すように、ユーザによる選択を受け付けたイベントが、矢印１０２、１０２で示されたコンポーネントＣ２、Ｃ３である場合、イベントリスト表示領域４３に表示されているコンポーネントＣ２にて選択を受け付けたイベントＢ、コンポーネントＣ３にて選択を受け付けたイベントＩが強調表示される。図１０（ｂ）では、選択を受け付けた両イベントがハッチング表示されている。
　そして、図１０（ａ）のトポロジー図から、コンポーネントＣ２、Ｃ３と並列関係にあるコンポーネント１０１として、コンポーネントＣ１、Ｃ２、Ｃ３が選択される。選択されたコンポーネントＣ１、Ｃ２、Ｃ３に対応し、一定期間Ｔ内に存在するイベントが候補イベントとなる。したがって、図１０（ｂ）に示す送出コンポーネント１０３、１０４、１０５に対応する候補イベントであるイベントＥ、Ｋ、Ｅが候補イベントとして特定される。
　次に図１１は、本発明の実施の形態に係る検出ルール生成装置１のＣＰＵ１１の検出ルール更新処理の手順を示すフローチャートである。検出ルール生成装置１のＣＰＵ１１は、ユーザによるイベントの選択を受け付ける（ステップＳ１１０１）。ユーザによるイベントの選択は、マウス２２等のポインティングデバイスによる選択でも良いし、キーボード２１によるキー入力による選択であっても良い。
　ＣＰＵ１１は、選択を受け付けたイベントに対応するコンポーネントのトポロジーに応じた検出ルールを抽出する（ステップＳ１１０２）。ＣＰＵ１１は、抽出された検出ルールを表示装置２３へ表示し（ステップＳ１１０３）、検出ルールの更新を受け付け（ステップＳ１１０４）、シンプトンデータベース１３１を更新する（ステップＳ１１０５）。
　検出ルールの抽出方法は特に限定されるものではないが、選択されたイベント及びトポロジーに応じて推奨されるルール・パターンがある程度まで特定される。図１２及び図１３は、本発明の実施の形態に係る検出ルール生成装置１のＣＰＵ１１の検出ルール抽出処理の手順を示すフローチャートである。
　図１２において、検出ルール生成装置１のＣＰＵ１１は、ユーザによる選択を受け付けた選択イベントが複数であるか否かを判断する（ステップＳ１２０１）。ＣＰＵ１１が、選択イベントが単数であると判断した場合（ステップＳ１２０１：ＮＯ）、ＣＰＵ１１は、検出ルールとしてフィルタ・パターンを優先して抽出する（ステップＳ１２０２）。もちろん、例外的ではあるが、スレッシュホールド・パターンを抽出しても良いことは言うまでもない。
　図１４は、選択イベントが単数である場合のトポロジーの例示図である。図１４（ａ）は、イベント発生時刻を含むイベントの例示図であり、図１４（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図１４では、コンポーネントＡから送出されたイベントＡが単独で１０時１０分に発生しており、イベントの存在を確認するか、イベント数を計数するか以外の検出ルールの抽出は考えられない。したがって、検出ルールとしてフィルタ・パターンを優先して抽出し、例外的にスレッシュホールド・パターンを抽出する。
　図１２に戻って、検出ルール生成装置１のＣＰＵ１１が、選択イベントが複数であると判断した場合（ステップＳ１２０１：ＹＥＳ）、ＣＰＵ１１は、複数の選択イベントを送出したコンポーネントが複数であるか否かを判断する（ステップＳ１２０３）。ＣＰＵ１１が、送出したコンポーネントが単数であると判断した場合（ステップＳ１２０３：ＮＯ）、ＣＰＵ１１は、選択イベントの種類が同種であるか否かを判断する（ステップＳ１２０４）。
　ＣＰＵ１１が、選択イベントの種類が同種であると判断した場合（ステップＳ１２０４：ＹＥＳ）、ＣＰＵ１１は、検出ルールとしてスレッシュホールド・パターンを優先して抽出する（ステップＳ１２０５）。もちろん、例外的では有るが、フィルタ・パターンを抽出しても良いことは言うまでもない。
　図１５は、選択イベントが複数であり、選択イベントが同種である場合のトポロジーの例示図である。図１５（ａ）は、イベント発生時刻を含むイベントの例示図であり、図１５（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図１５では、コンポーネントＡから送出された３つのイベントＡが、それぞれ１０時１０分、２０分、３０分に発生しており、イベント数を計数するか、イベントの存在を確認するか以外の検出ルールの抽出は考えられない。したがって、検出ルールとしてスレッシュホールド・パターンを優先して抽出し、例外的にフィルタ・パターンを抽出する。
　図１２に戻って、検出ルール生成装置１のＣＰＵ１１が、選択イベントの種類が複数種であると判断した場合（ステップＳ１２０４：ＮＯ）、ＣＰＵ１１は、検出ルールとしてシーケンス・パターンを抽出する（ステップＳ１２０６）。選択イベントの順序付けの有無に応じて、オーダード・シーケンス・パターンかアンオーダード・シーケンス・パターンかのいずれかを優先して抽出すれば良いが、選択イベントが互いに相違していることから、オーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図１６は、選択イベントが複数であり、選択イベントが複数種である場合のトポロジーの例示図である。図１６（ａ）は、イベント発生時刻を含むイベントの例示図であり、図１６（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図１６では、コンポーネントＡから送出された３種類のイベントＡ、Ｂ、Ｃが、それぞれ１０時１０分、２０分、３０分に発生しており、イベントの発生順序を考慮した検出ルールしか抽出できない。したがって、検出ルールとしてシーケンス・パターンを抽出する。
　図１２に戻って、検出ルール生成装置１のＣＰＵ１１が、送出したコンポーネントが複数であると判断した場合（ステップＳ１２０３：ＹＥＳ）、ＣＰＵ１１は、複数のコンポーネント間がトポロジー上で接続されているか否かを判断する（ステップＳ１２０７）。ＣＰＵ１１が、トポロジー上で接続されていないと判断した場合（ステップＳ１２０７：ＮＯ）、ＣＰＵ１１は、コンポーネント間の接続関係が並列関係であるか否かを判断する（ステップＳ１２０８）。
　ＣＰＵ１１が、コンポーネント間の接続関係が並列関係ではないと判断した場合（ステップＳ１２０８：ＮＯ）、ＣＰＵ１１は、選択イベントの種類が同種であるか否かを判断する（ステップＳ１２０９）。ＣＰＵ１１が、選択イベントの種類が同種であると判断した場合（ステップＳ１２０９：ＹＥＳ）、ＣＰＵ１１は、検出ルールとしてアンオーダード・シーケンス・パターンを抽出する（ステップＳ１２１０）。もちろん、例外的では有るが、スレッシュホールド・パターンを抽出しても良いし、状況によってはオーダード・シーケンス・パターンを抽出しても良い。
　図１７は、選択イベントが複数であり、コンポーネント間の関係が無相関であり、選択イベントが同種である場合のトポロジーの例示図である。図１７（ａ）は、イベント発生時刻を含むイベントの例示図であり、図１７（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図１７では、３つのコンポーネントＡ、Ｂ、Ｃから、それぞれ１０時１０分、２０分、３０分に同じイベントＡが発生しており、順不同ではあるもののイベントの並びを検出することが好ましい。したがって、検出ルールとしてアンオーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図１２に戻って、検出ルール生成装置１のＣＰＵ１１が、選択イベントの種類が複数種であると判断した場合（ステップＳ１２０９：ＮＯ）、ＣＰＵ１１は、検出ルールとしてシーケンス・パターンを抽出する（ステップＳ１２１１）。選択イベントの順序付けの有無に応じて、オーダード・シーケンス・パターンかアンオーダード・シーケンス・パターンかのいずれかを優先して抽出すれば良いが、コンポーネント間が直列関係でも並列関係でもないことから、アンオーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図１８は、選択イベントが複数であり、コンポーネント間の関係が無相関であり、選択イベントが複数種である場合のトポロジーの例示図である。図１８（ａ）は、イベント発生時刻を含むイベントの例示図であり、図１８（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図１８では、３つのコンポーネントＡ、Ｂ、Ｃから、それぞれ１０時１０分、２０分、３０分に異なるイベントＡ、Ｂ、Ｃが発生しており、順不同ではあるもののイベントの並びを検出することが好ましい。したがって、検出ルールとしてアンオーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図１２に戻って、検出ルール生成装置１のＣＰＵ１１が、コンポーネント間の接続関係が並列関係であると判断した場合（ステップＳ１２０８：ＹＥＳ）、ＣＰＵ１１は、選択イベントの種類が同種であるか否かを判断する（ステップＳ１２１２）。ＣＰＵ１１が、選択イベントの種類が同種であると判断した場合（ステップＳ１２１２：ＹＥＳ）、ＣＰＵ１１は、検出ルールとしてスレッシュホールド・パターンを抽出する（ステップＳ１２１３）。もちろん、例外的では有るが、アンオーダード・シーケンス・パターンを抽出しても良いし、状況によってはオーダード・シーケンス・パターンを抽出しても良い。
　図１９は、選択イベントが複数であり、コンポーネント間の関係が並列関係であり、選択イベントが同種である場合のトポロジーの例示図である。図１９（ａ）は、イベント発生時刻を含むイベントの例示図であり、図１９（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図１９では、コンポーネントＰに接続されて並列関係にある３つのコンポーネントＡ、Ｂ、Ｃから、それぞれ１０時１０分、２０分、３０分にイベントＡが発生しており、順不同ではあるもののイベントの並びを検出することが好ましい。したがって、検出ルールとしてアンオーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図１２に戻って、検出ルール生成装置１のＣＰＵ１１が、選択イベントの種類が複数種であると判断した場合（ステップＳ１２１２：ＮＯ）、ＣＰＵ１１は、検出ルールとしてアンオーダード・シーケンス・パターンを抽出する（ステップＳ１２１４）。もちろん、例外的では有るが、スレッシュホールド・パターンを抽出しても良いし、状況によってはオーダード・シーケンス・パターンを抽出しても良い。
　図２０は、選択イベントが複数であり、コンポーネント間の関係が並列関係であり、選択イベントが複数種である場合のトポロジーの例示図である。図２０（ａ）は、イベント発生時刻を含むイベントの例示図であり、図２０（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図２０では、コンポーネントＰに接続されて並列関係にある３つのコンポーネントＡ、Ｂ、Ｃから、それぞれ１０時１０分、２０分、３０分に異なるイベントＡ、Ｂ、Ｃが発生しており、イベントの並びよりはむしろイベントの発生数を計数することが好ましい。したがって、検出ルールとしてスレッシュホールド・パターンを優先して抽出することが好ましい。
　図１２に戻って、検出ルール生成装置１のＣＰＵ１１が、トポロジー上で接続されていると判断した場合（ステップＳ１２０７：ＹＥＳ）、ＣＰＵ１１は、図１３に示すように、コンポーネント間が完全な直列関係にあるか否かを判断する（ステップＳ１３０１）。ＣＰＵ１１が、コンポーネント間が完全な直列関係にないと判断した場合（ステップＳ１３０１：ＮＯ）、ＣＰＵ１１は、選択イベントの種類が同種であるか否かを判断する（ステップＳ１３０２）。
　ＣＰＵ１１が、選択イベントの種類が同種であると判断した場合（ステップＳ１３０２：ＹＥＳ）、ＣＰＵ１１は、検出ルールとしてオーダード・シーケンス・パターンを抽出する（ステップＳ１３０３）。もちろん、例外的では有るが、スレッシュホールド・パターンを抽出しても良いし、状況によってはアンオーダード・シーケンス・パターンを抽出しても良い。
　図２１は、選択イベントが複数であり、コンポーネント間の関係が完全な直列関係ではなく、選択イベントが同種である場合のトポロジーの例示図である。図２１（ａ）は、イベント発生時刻を含むイベントの例示図であり、図２１（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図２１では、コンポーネントＡ、コンポーネントＡに接続されて並列関係にある２つのコンポーネントＢ、Ｃから、それぞれ１０時１０分、２０分、３０分にイベントＡが発生しており、イベントの発生数を計数するよりはむしろ順不同であってもイベントの並びを検出することが好ましい。したがって、検出ルールとしてアンオーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図１３に戻って、検出ルール生成装置１のＣＰＵ１１が、選択イベントの種類が複数種であると判断した場合（ステップＳ１３０２：ＮＯ）、ＣＰＵ１１は、検出ルールとしてシーケンス・パターンを抽出する（ステップＳ１３０４）。選択イベントの順序付けの有無に応じて、オーダード・シーケンス・パターンかアンオーダード・シーケンス・パターンかのいずれかを優先して抽出すれば良いが、コンポーネント間が完全な直列関係にないことから、アンオーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図２２は、選択イベントが複数であり、コンポーネント間の関係が完全な直列関係ではなく、選択イベントが複数種である場合のトポロジーの例示図である。図２２（ａ）は、イベント発生時刻を含むイベントの例示図であり、図２２（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図２２では、コンポーネントＡ、コンポーネントＡに接続されて並列関係にある２つのコンポーネントＢ、Ｃから、それぞれ１０時１０分、２０分、３０分に異なるイベントＡ、Ｂ、Ｃが発生しており、順不同であってもイベントの並びを検出することが好ましい。したがって、検出ルールとしてアンオーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図１３に戻って、検出ルール生成装置１のＣＰＵ１１が、コンポーネント間が完全な直列関係にあると判断した場合（ステップＳ１３０１：ＹＥＳ）、ＣＰＵ１１は、選択イベントの種類が同種であるか否かを判断する（ステップＳ１３０５）。ＣＰＵ１１が、選択イベントの種類が同種であると判断した場合（ステップＳ１３０５：ＹＥＳ）、ＣＰＵ１１は、検出ルールとしてオーダード・シーケンス・パターンを抽出する（ステップＳ１３０６）。もちろん、例外的では有るが、スレッシュホールド・パターンを抽出しても良いし、状況によってはアンオーダード・シーケンス・パターンを抽出しても良い。
　図２３は、選択イベントが複数であり、コンポーネント間の関係が完全な直列関係であり、選択イベントが同種である場合のトポロジーの例示図である。図２３（ａ）は、イベント発生時刻を含むイベントの例示図であり、図２３（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図２３では、直列関係にあるコンポーネントＡ、Ｂ、Ｃから、それぞれ１０時１０分、２０分、３０分にイベントＡが発生しており、一定順序のイベントの並びを検出することが好ましい。したがって、検出ルールとしてオーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図１３に戻って、検出ルール生成装置１のＣＰＵ１１が、選択イベントの種類が複数種であると判断した場合（ステップＳ１３０５：ＮＯ）、ＣＰＵ１１は、検出ルールとしてシーケンス・パターンを抽出する（ステップＳ１３０７）。選択イベントの順序付けの有無に応じて、オーダード・シーケンス・パターンかアンオーダード・シーケンス・パターンかのいずれかを優先して抽出すれば良いが、コンポーネント間が完全な直列関係であることから、オーダード・シーケンス・パターンを優先して抽出することが好ましい。
　図２４は、選択イベントが複数であり、コンポーネント間の関係が完全な直列関係であり、選択イベントが複数種である場合のトポロジーの例示図である。図２４（ａ）は、イベント発生時刻を含むイベントの例示図であり、図２４（ｂ）は、イベント発生時刻を含むトポロジー図の例示図である。
　図２４では、直列関係にあるコンポーネントＡ、Ｂ、Ｃから、それぞれ１０時１０分、２０分、３０分に異なるイベントＡ、Ｂ、Ｃが発生しており、一定順序のイベントの並びを検出することが好ましい。したがって、検出ルールとしてオーダード・シーケンス・パターンを優先して抽出することが好ましい。
　以上のように本実施の形態によれば、システム構成情報にコンポーネント間の関連情報を含むことにより、コンポーネント間の依存関係だけではなく関連情報も含めて障害発生イベントの検出ルールを生成することができる。また、検出ルールに基づいて候補イベントを提示することにより、ユーザによる検出ルール生成作業を効果的に支援することができ、検出ルール生成の熟練度合を問うことなく一定レベル以上の検出ルールを確実に生成することができる。
　なお、本発明は上記実施例に限定されるものではなく、本発明の趣旨の範囲内であれば多種の変更、改良等が可能である。例えばネットワークを介して本実施の形態に係る検出ルール生成装置に接続されている外部のコンピュータの記憶装置に、トポロジーデータベース、構成情報記憶部、履歴情報記憶部を備え、必要に応じて読み出すようにしても良い。
　１　検出ルール生成装置
　１１　ＣＰＵ
　１２　メモリ（共有メモリ）
　１３　記憶装置
　１４　Ｉ／Ｏインタフェース
　１５　通信インタフェース
　１６　ビデオインタフェース
　１７　可搬型ディスクドライブ
　１８　内部バス
　２３　表示装置
　９０　可搬型記録媒体
　１００　コンピュータプログラム
　１３１　シンプトンデータベース
　１３２　構成情報記憶部
　１３３　履歴情報記憶部

Claims (18)

  1. 　複数のコンポーネントを含むシステムでのイベントの検出ルールを生成する検出ルール生成装置において、
    　前記コンポーネント間の関連情報を含む前記システムのシステム構成情報を取得する構成情報取得手段と、
    　ログ情報及び／又は前記システムでの障害発生時の各コンポーネントから出力される障害情報を含む前記システムの履歴情報を収集する履歴情報収集手段と、
    　取得した前記システム構成情報及び収集した前記履歴情報に基づいて、検出ルールを生成するために選択されるべき候補となる候補イベントを特定する候補イベント特定手段と、
    　特定された候補イベントを提示する候補イベント提示手段と
    　を備えることを特徴とする検出ルール生成装置。
  2. 　前記検出ルールを生成してデータベースに記憶する検出ルール生成・記憶手段と、
    　記憶されている検出ルールに基づいて候補イベントを検出する候補イベント検出手段と　を備え、
    　前記候補イベント提示手段は、検出された前記候補イベントを提示するようにしてあることを特徴とする請求項１記載の検出ルール生成装置。
  3. 　収集される前記ログ情報及び／又は前記障害情報を事前に統一データ形式に変換するデータ形式変換手段を備え、
    　前記履歴情報収集手段は、前記統一データ形式に変換された前記ログ情報及び／又は前記障害情報を収集するようにしてあることを特徴とする請求項１又は２記載の検出ルール生成装置。
  4. 　ユーザによるイベントの選択を受け付けるイベント選択受付手段と、
    　選択を受け付けたイベントに対応するコンポーネントのトポロジーに応じた検出ルールを抽出する検出ルール抽出手段と、
    　抽出された検出ルールを提示する検出ルール提示手段と、
    　提示された検出ルールの更新を受け付けて前記データベースを更新するデータベース更新手段と
    　を備えることを特徴とする請求項１乃至３のいずれか一項に記載の検出ルール生成装置。
  5. 　前記イベント選択受付手段で選択を受け付けたイベントが単数であるか否かを判断する単複判断手段を備え、
    　該単複判断手段で単数であると判断した場合、前記検出ルール抽出手段は、イベントを確認するフィルタ・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする請求項４記載の検出ルール生成装置。
  6. 　前記単複判断手段で複数であると判断した場合、選択を受け付けたイベントを送り出したコンポーネントが単数であるか否かを判断するコンポーネント判断手段と、
    　該コンポーネント判断手段で単数であると判断した場合、選択を受け付けたイベントが同種であるか否かを判断するイベント判断手段と
    　を備え、
    　該イベント判断手段で同種であると判断した場合、前記検出ルール抽出手段は、所定の数値を閾値と比較するスレッシュホールド・パターンとして前記検出ルールを抽出するようにしてあり、
    　前記イベント判断手段で複数種であると判断した場合、前記検出ルール抽出手段は、イベントの並びの存否を検出するシーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする請求項５記載の検出ルール生成装置。
  7. 　前記コンポーネント判断手段で複数であると判断した場合、複数のコンポーネント間がトポロジー上で接続されているか否かを判断する接続判断手段と、
    　該接続判断手段で接続されていないと判断した場合、複数のコンポーネントが並列関係にあるか否かを判断する並列関係判断手段と
    　を備え、
    　該並列関係判断手段で並列関係にないと判断した場合、前記検出ルール抽出手段は、前記シーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする請求項６記載の検出ルール生成装置。
  8. 　前記並列関係判断手段で並列関係にあると判断した場合、選択を受け付けたイベントが同種であるか否かを判断するイベント判断手段を備え、
    　該イベント判断手段で同種であると判断した場合、前記検出ルール抽出手段は、前記スレッシュホールド・パターンとして前記検出ルールを抽出するようにしてあり、
    　前記イベント判断手段で複数種であると判断した場合、前記検出ルール抽出手段は、前記シーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする請求項７記載の検出ルール生成装置。
  9. 　前記接続判断手段で接続されていると判断した場合、前記検出ルール抽出手段は、前記シーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする請求項７記載の検出ルール生成装置。
  10. 　前記接続判断手段で接続されていると判断した場合、複数のコンポーネントが直列関係にあるか否かを判断する直列関係判断手段と、
    　該直列関係判断手段で直列関係にないと判断した場合、選択を受け付けたイベントが同種であるか否かを判断するイベント判断手段と
    　を備え、
    　該イベント判断手段で同種であると判断した場合、前記検出ルール抽出手段は、順序が特定されているオーダード・シーケンス・パターンとして前記検出ルールを抽出するようにしてあり、
    　前記イベント判断手段で複数種であると判断した場合、前記検出ルール抽出手段は、順序が特定されていないアンオーダード・シーケンス・パターンとして前記検出ルールを抽出するようにしてあり、
    　前記直列関係判断手段で直列関係にあると判断した場合、前記検出ルール抽出手段は、順序が特定されているオーダード・シーケンス・パターンとして前記検出ルールを抽出するようにしてあることを特徴とする請求項７記載の検出ルール生成装置。
  11. 　複数のコンポーネントを含むシステムでのイベントの検出ルールを生成する検出ルール生成装置で実行することが可能な検出ルール生成方法において、
    　前記コンポーネント間の関連情報を含む前記システムのシステム構成情報を取得し、
    　ログ情報及び／又は前記システムでの障害発生時の各コンポーネントから出力される障害情報を含む前記システムの履歴情報を収集し、
    　取得した前記システム構成情報及び収集した前記履歴情報に基づいて、検出ルールを生成するために選択されるべき候補となる候補イベントを特定し、
    　特定された候補イベントを提示することを特徴とする検出ルール生成方法。
  12. 　前記検出ルールを生成してデータベースに記憶し、
    　記憶されている検出ルールに基づいて候補イベントを検出し、
    　検出された前記候補イベントを提示することを特徴とする請求項１１記載の検出ルール生成方法。
  13. 　収集される前記ログ情報及び／又は前記障害情報を事前に統一データ形式に変換し、
    　前記統一データ形式に変換された前記ログ情報及び／又は前記障害情報を収集することを特徴とする請求項１１又は１２記載の検出ルール生成方法。
  14. 　ユーザによるイベントの選択を受け付け、
    　選択を受け付けたイベントに対応するコンポーネントのトポロジーに応じた検出ルールを抽出し、
    　抽出された検出ルールを提示し、
    　提示された検出ルールの更新を受け付けて前記データベースを更新することを特徴とする請求項１１乃至１３のいずれか一項に記載の検出ルール生成方法。
  15. 　複数のコンポーネントを含むシステムでのイベントの検出ルールを生成する検出ルール生成装置で実行することが可能なコンピュータプログラムにおいて、
    　前記検出ルール生成装置を、
    　前記コンポーネント間の関連情報を含む前記システムのシステム構成情報を取得する構成情報取得手段、
    　ログ情報及び／又は前記システムでの障害発生時の各コンポーネントから出力される障害情報を含む前記システムの履歴情報を収集する履歴情報収集手段、
    　取得した前記システム構成情報及び収集した前記履歴情報に基づいて、検出ルールを生成するために選択されるべき候補となる候補イベントを特定する候補イベント特定手段、及び
    　特定された候補イベントを提示する候補イベント提示手段
    　として機能させることを特徴とするコンピュータプログラム。
  16. 　前記検出ルール生成装置を、
    　前記検出ルールを生成してデータベースに記憶する検出ルール生成・記憶手段、
    　記憶されている検出ルールに基づいて候補イベントを検出する候補イベント検出手段
    　として機能させ、
    　前記候補イベント提示手段を、検出された前記候補イベントを提示する手段として機能させることを特徴とする請求項１５記載のコンピュータプログラム。
  17. 　前記検出ルール生成装置を、
    　収集される前記ログ情報及び／又は前記障害情報を事前に統一データ形式に変換するデータ形式変換手段として機能させ、
    　前記履歴情報収集手段を、前記統一データ形式に変換された前記ログ情報及び／又は前記障害情報を収集する手段として機能させることを特徴とする請求項１５又は１６記載のコンピュータプログラム。
  18. 　前記検出ルール生成装置を、
    　ユーザによるイベントの選択を受け付けるイベント選択受付手段、
    　選択を受け付けたイベントに対応するコンポーネントのトポロジーに応じた検出ルールを抽出する検出ルール抽出手段、
    　抽出された検出ルールを提示する検出ルール提示手段、及び
    　提示された検出ルールの更新を受け付けて前記データベースを更新するデータベース更新手段
    　として機能させることを特徴とする請求項１５乃至１７のいずれか一項に記載のコンピュータプログラム。 
PCT/JP2009/064308 2008-08-29 2009-08-13 検出ルール生成装置、検出ルール生成方法及びコンピュータプログラム WO2010024133A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2010526651A JP5274565B2 (ja) 2008-08-29 2009-08-13 検出ルール生成装置、検出ルール生成方法及びコンピュータプログラム
KR1020117003458A KR20110048522A (ko) 2008-08-29 2009-08-13 검출 규칙 생성 장치, 검출 규칙 생성 방법 및 컴퓨터 프로그램
EP09809786.8A EP2336889A4 (en) 2008-08-29 2009-08-13 DETECTION RULE GENERATING DEVICE, DETECTION RULE GENERATING METHOD, AND COMPUTER PROGRAM
CN2009801340436A CN102138130A (zh) 2008-08-29 2009-08-13 检测规则生成装置、检测规则生成方法和计算机程序

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008221142 2008-08-29
JP2008-221142 2008-08-29

Publications (1)

Publication Number Publication Date
WO2010024133A1 true WO2010024133A1 (ja) 2010-03-04

Family

ID=41721302

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/064308 WO2010024133A1 (ja) 2008-08-29 2009-08-13 検出ルール生成装置、検出ルール生成方法及びコンピュータプログラム

Country Status (6)

Country Link
US (1) US8612372B2 (ja)
EP (1) EP2336889A4 (ja)
JP (1) JP5274565B2 (ja)
KR (1) KR20110048522A (ja)
CN (1) CN102138130A (ja)
WO (1) WO2010024133A1 (ja)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010108224A (ja) * 2008-10-30 2010-05-13 Internatl Business Mach Corp <Ibm> 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
JP2010108223A (ja) * 2008-10-30 2010-05-13 Internatl Business Mach Corp <Ibm> 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
JP2010108225A (ja) * 2008-10-30 2010-05-13 Internatl Business Mach Corp <Ibm> 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
US9262260B2 (en) 2012-09-27 2016-02-16 Fujitsu Limited Information processing apparatus, information processing method, and recording medium
US9747366B2 (en) 2014-03-07 2017-08-29 Fujitsu Limited Configuration information management method and configuration information management apparatus
US10565533B2 (en) 2014-05-09 2020-02-18 Camelot Uk Bidco Limited Systems and methods for similarity and context measures for trademark and service mark analysis and repository searches
US10896212B2 (en) 2014-05-09 2021-01-19 Camelot Uk Bidco Limited System and methods for automating trademark and service mark searches
US11100124B2 (en) 2014-05-09 2021-08-24 Camelot Uk Bidco Limited Systems and methods for similarity and context measures for trademark and service mark analysis and repository searches
JP7551745B2 (ja) 2019-10-31 2024-09-17 キンドリル・インク Ｍｌベースのイベント・ハンドリング

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012081080A1 (ja) * 2010-12-13 2012-06-21 株式会社日立製作所 設計支援システム
US9142965B2 (en) 2011-07-28 2015-09-22 Tigo Energy, Inc. Systems and methods to combine strings of solar panels
US8793538B2 (en) 2012-01-30 2014-07-29 Hewlett-Packard Development Company, L.P. System error response
CN103888304B (zh) * 2012-12-19 2017-08-04 华为技术有限公司 一种多节点应用的异常检测方法及相关装置
US9088541B2 (en) 2013-05-31 2015-07-21 Catbird Networks, Inc. Systems and methods for dynamic network security control and configuration
US9912549B2 (en) 2013-06-14 2018-03-06 Catbird Networks, Inc. Systems and methods for network analysis and reporting
US11196636B2 (en) 2013-06-14 2021-12-07 Catbird Networks, Inc. Systems and methods for network data flow aggregation
WO2015059791A1 (ja) * 2013-10-24 2015-04-30 三菱電機株式会社 情報処理装置及び情報処理方法及びプログラム
WO2016036752A2 (en) 2014-09-05 2016-03-10 Catbird Networks, Inc. Systems and methods for creating and modifying access control lists
JP6564305B2 (ja) * 2015-10-30 2019-08-21 株式会社日立システムズ 管理サーバ及びこれを用いた管理方法
US10205736B2 (en) * 2017-02-27 2019-02-12 Catbird Networks, Inc. Behavioral baselining of network systems
US10572332B1 (en) * 2017-10-30 2020-02-25 Wells Fargo Bank, N.A. Failure prediction system
US11681710B2 (en) * 2018-12-23 2023-06-20 Microsoft Technology Licensing, Llc Entity extraction rules harvesting and performance

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08292902A (ja) * 1995-04-20 1996-11-05 Fuji Xerox Co Ltd 情報処理装置
JP2008033725A (ja) * 2006-07-31 2008-02-14 Nec Corp 運用管理システム、監視装置、監視設定情報生成方法及びプログラム
JP2008041041A (ja) * 2006-08-10 2008-02-21 Hitachi Information Systems Ltd ログ通知条件定義支援装置とログ監視システムおよびプログラムとログ通知条件定義支援方法

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0877010A (ja) * 1994-09-07 1996-03-22 Hitachi Ltd データ分析方法および装置
US6601048B1 (en) * 1997-09-12 2003-07-29 Mci Communications Corporation System and method for detecting and managing fraud
JP2001005692A (ja) 1999-06-25 2001-01-12 Toshiba Corp 計算機システムおよびその保守管理システム並びに障害通知方法
WO2003100619A1 (fr) * 2002-05-28 2003-12-04 Fujitsu Limited Dispositif, programme et procede de detection d'acces non autorise
JP4575020B2 (ja) 2004-04-28 2010-11-04 三菱電機株式会社 障害解析装置
JP4746850B2 (ja) * 2004-06-21 2011-08-10 富士通株式会社 パターン生成プログラム
JP2006031109A (ja) * 2004-07-12 2006-02-02 Ntt Docomo Inc 管理システム及び管理方法
JP2007172131A (ja) * 2005-12-20 2007-07-05 Nec Fielding Ltd 障害予測システム、障害予測方法、障害予測プログラム
JP4862446B2 (ja) 2006-03-22 2012-01-25 日本電気株式会社 障害原因推定システム、方法、及び、プログラム
JP2008065688A (ja) 2006-09-08 2008-03-21 Toshiba Corp 医療検査情報統合システム
JP2008292902A (ja) 2007-05-28 2008-12-04 Canon Inc 像振れ補正装置および撮像装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08292902A (ja) * 1995-04-20 1996-11-05 Fuji Xerox Co Ltd 情報処理装置
JP2008033725A (ja) * 2006-07-31 2008-02-14 Nec Corp 運用管理システム、監視装置、監視設定情報生成方法及びプログラム
JP2008041041A (ja) * 2006-08-10 2008-02-21 Hitachi Information Systems Ltd ログ通知条件定義支援装置とログ監視システムおよびプログラムとログ通知条件定義支援方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2336889A4 *

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010108224A (ja) * 2008-10-30 2010-05-13 Internatl Business Mach Corp <Ibm> 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
JP2010108223A (ja) * 2008-10-30 2010-05-13 Internatl Business Mach Corp <Ibm> 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
JP2010108225A (ja) * 2008-10-30 2010-05-13 Internatl Business Mach Corp <Ibm> 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
US9262260B2 (en) 2012-09-27 2016-02-16 Fujitsu Limited Information processing apparatus, information processing method, and recording medium
US9747366B2 (en) 2014-03-07 2017-08-29 Fujitsu Limited Configuration information management method and configuration information management apparatus
US10565533B2 (en) 2014-05-09 2020-02-18 Camelot Uk Bidco Limited Systems and methods for similarity and context measures for trademark and service mark analysis and repository searches
US10896212B2 (en) 2014-05-09 2021-01-19 Camelot Uk Bidco Limited System and methods for automating trademark and service mark searches
US11100124B2 (en) 2014-05-09 2021-08-24 Camelot Uk Bidco Limited Systems and methods for similarity and context measures for trademark and service mark analysis and repository searches
JP7551745B2 (ja) 2019-10-31 2024-09-17 キンドリル・インク Ｍｌベースのイベント・ハンドリング

Also Published As

Publication number Publication date
KR20110048522A (ko) 2011-05-11
US8612372B2 (en) 2013-12-17
EP2336889A1 (en) 2011-06-22
JP5274565B2 (ja) 2013-08-28
EP2336889A4 (en) 2016-07-27
CN102138130A (zh) 2011-07-27
US20100057667A1 (en) 2010-03-04
JPWO2010024133A1 (ja) 2012-01-26

Similar Documents

Publication Publication Date Title
JP5274565B2 (ja) 検出ルール生成装置、検出ルール生成方法及びコンピュータプログラム
JP5285084B2 (ja) 検出イベントに応じたアクション実行を支援するシステム、検出イベントに応じたアクション実行を支援する方法、支援装置及びコンピュータプログラム
CN110928772B (zh) 一种测试方法及装置
JP5132779B2 (ja) 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
CN107886238B (zh) 一种基于海量数据分析的业务流程管理系统及方法
US10797958B2 (en) Enabling real-time operational environment conformity within an enterprise architecture model dashboard
JP5468837B2 (ja) 異常検出方法、装置、及びプログラム
WO2014196129A1 (ja) 障害分析装置、障害分析方法、および、記録媒体
JP5880866B2 (ja) ランタイムシステムの故障の木解析の方法、システム及びプログラム
US8140919B2 (en) Display of data used for system performance analysis
JP4928848B2 (ja) 計算機システム統合管理環境におけるメッセージ変換装置
JPWO2009150737A1 (ja) 保守業務支援プログラム、保守業務支援方法および保守業務支援装置
JP2010108223A (ja) 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
JP5569438B2 (ja) あいまい記述自動検出装置及びその方法
JP2009134535A (ja) ソフトウェア開発支援装置、ソフトウェア開発支援方法及びソフトウェア開発支援プログラム
JP5220556B2 (ja) 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
KR101810648B1 (ko) 모바일 어플리케이션의 사용성 저해 요소 분석 장치 및 방법
US20110320587A1 (en) Real-time determination of software installation status
JP5258040B2 (ja) 障害イベントの検出を支援する装置、障害イベントの検出を支援する方法及びコンピュータプログラム
JP2010128894A (ja) データベース生成装置、データベース生成方法及びコンピュータプログラム
JP4663526B2 (ja) 帳票作成支援装置、帳票作成支援方法、および帳票作成支援プログラム
Tarak et al. DIA4M: A Tool to Streamline DevOps Processes of Distributed Cloud-Native Systems
JP2006277179A (ja) データベースチューニング装置及びデータベースチューニング方法並びにプログラム
KR20170032608A (ko) 엔터프라이즈 비즈니스 서비스 레벨의 통합 모니터링 방법 및 시스템
JP2016177667A (ja) ブロックダイヤグラム管理装置、ブロックダイヤグラム管理方法及びプログラム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980134043.6

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09809786

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 20117003458

Country of ref document: KR

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 2010526651

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

REEP Request for entry into the european phase

Ref document number: 2009809786

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2009809786

Country of ref document: EP