(57)【要約】【課題】  システム管理者の判断その他の外部からの追加情報なしで、イベントログのみで正常イベントかを判別することができるイベント判別装置を提供する。【解決手段】  所定期間内のイベントログから、所定期間内で発生したイベントの一覧であるイベント種別テーブル５０を作成するイベント範囲抽出部１と、イベント種別テーブル５０内のイベントが全て取得されるまで、所定期間内の最新日時を出発点として、過去にさかのぼりながらイベントログ内のログを取得し、イベント種別テーブル５０内のイベント全てが取得された時点のログよりも過去のログに対応する、イベント種別テーブル５０内のイベントを正常イベントとして設定する正常イベント抽出部２と、を備えるイベント判別装置を提供する。【選択図】図３
2010231568.tif 000002
【特許請求の範囲】
【請求項１】
所定期間内のイベントログから、該所定期間内で発生したイベントの一覧を作成するイベント一覧作成部と、
前記イベント一覧作成部によって作成された一覧内のイベントに対応するログが全て取得されるまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、前記一覧内のイベント全てが取得された時点のログよりも過去のログに対応する、前記一覧内のイベントを正常イベントとして設定する正常イベント抽出部と、
を備えるイベント判別装置。
【請求項２】
請求項１に記載のイベント判別装置において、さらに、
前記正常イベント抽出部によって正常イベントと設定されたイベント以外の前記一覧内のイベントを異常イベントとして設定する異常イベント抽出部を備えることを特徴とするイベント判別装置。
【請求項３】
請求項１に記載のイベント判別装置において、
前記イベント一覧作成部は、
所定期間内で発生したイベントごとに、出現フラグ、種類フラグを有する一覧を作成し、
前記正常イベント抽出部は、前記一覧内に現在処理しているログに対応するイベントがある場合に前記一覧内の該当するイベントの出現フラグを出現旨のフラグに設定し、前記一覧内のイベント全ての出現フラグが出現旨のフラグに設定された場合、現在処理しているログよりも過去のログに対応する前記一覧内のイベントの、種類フラグを正常旨のフラグに設定することを特徴とするイベント判別装置。
【請求項４】
所定期間内のイベントログから、該所定期間内で発生したイベントの一覧を作成し、
作成された一覧内のイベントに対応するログが全て取得されるまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、
前記一覧内のイベント全てが取得された時点のログよりも過去のログに対応する、前記一覧内のイベントを正常イベントとして設定する処理をコンピュータに実行させるイベント判別プログラム。
【請求項５】
所定期間内のイベントログから、該所定期間内で発生したイベントの一覧を作成し、
作成された一覧内のイベントに対応するログが全て取得されるまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、
前記一覧内のイベント全てが取得された時点のログよりも過去のログに対応する、前記一覧内のイベントを正常イベントとして設定する処理をコンピュータが実行するイベント判別方法。
【発明の詳細な説明】
【技術分野】
【０００１】
システム構成機器から出力されるイベントに対し、正常イベントであるか異常イベントであるかを判別するイベント判別装置、イベント判別プログラム、イベント判別方法に関する。
【背景技術】
【０００２】
近年、運用されているシステムを構成する機器が出力するイベントを監視し、異常イベントが発生した場合にシステム管理者に通知するイベント監視システムが構築されている。
【０００３】
イベント監視システムは、運用システムを構成する機器が出力するイベントについて、定義された障害パターンに一致するかを監視し、パターンに一致した場合、トラブルが発生したと判断して運用者に通知する。このようなイベントの監視を行うにあたって、障害パターンを事前に用意する必要がある。
【０００４】
図９を参照しつつ従来のイベント監視システムの障害パターンの抽出について説明する。
【０００５】
まず、事前準備として、システム構成機器から出力されるイベントに対し、例えばＣＰＵに関するイベント、メモリに関するイベント等の分類作業がなされる。この分類作業は、システム開発者の手動によって行われるか、若しくはイベントに付されたイベントＩＤに基づき機械的に分類される。
【０００６】
次に、分類されたイベントごとに、システム管理者が正常と思われるイベントを抽出し、抽出された正常と思われるイベントをイベント監視装置に登録する。イベント監視装置には、過去に発生したイベントが過去事例として登録されているＤＢ（データベース）を有しており、登録された正常と思われるイベントで、ＤＢ内の過去のイベントに対しフィルタをかけることで、正常でないイベント（すなわち異常イベント）を抽出する。
【０００７】
逆に、システム管理者が異常と思われるイベントを抽出し、当該異常と思われるイベントで過去事例に対しフィルタをかけることで、正常イベントを抽出することも可能である。
【０００８】
また、関連のある技術として、以下の文献が開示されている。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００８−４１０４１号広報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
監視対象となるシステムは、システム規模増大に伴い、新種のトラブルも発生する。よって、システム管理者は、イベントを見ても正常イベントかどうか分からないケースが発生している。
【００１１】
また、トラブル発生を示すイベントパターンを作成するのに時間とコストがかかり、迅速に対応することができない。このことは初動対応の遅れにつながり、システム復旧の遅延の原因となる。
【００１２】
さらに、正常イベントであるか異常イベントであるかは、担当者の恣意的な基準に依存しており、また正常イベントか異常イベントかの判断も、システムの挙動について詳細な知識がないと曖昧になる。またその選択する作業に手間がかかる。
【００１３】
本発明は上述した問題点を解決するためになされたものであり、イベントの判別をイベントログのみで自動で行うことができるイベント判別装置、イベント判別プログラム、イベント判別方法を提供することを目的とする。
【課題を解決するための手段】
【００１４】
イベント判別装置は、所定期間内のイベントログから、該所定期間内で発生したイベントの一覧を作成するイベント一覧作成部と、前記イベント一覧作成部によって作成された一覧内のイベントに対応するログが全て取得されるまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、前記一覧内のイベント全てが取得された時点のログよりも過去のログに対応する、前記一覧内のイベントを正常イベントとして設定する正常イベント抽出部と、を備える。
【００１５】
イベント判別プログラムは、所定期間内のイベントログから、該所定期間内で発生したイベントの一覧を作成し、作成された一覧内のイベントに対応するログが全て取得されるまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、前記一覧内のイベント全てが取得された時点のログよりも過去のログに対応する、前記一覧内のイベントを正常イベントとして設定する処理をコンピュータに実行させる。
【００１６】
イベント判別方法は、所定期間内のイベントログから、該所定期間内で発生したイベントの一覧を作成し、作成された一覧内のイベントに対応するログが全て取得されるまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、前記一覧内のイベント全てが取得された時点のログよりも過去のログに対応する、前記一覧内のイベントを正常イベントとして設定する処理をコンピュータが実行する。
【発明の効果】
【００１７】
システム管理者の判断その他の外部からの追加情報なしで、イベントログのみで正常イベントかを判別することができ、作業時間、作業コストが軽減される。
【図面の簡単な説明】
【００１８】
【図１】従来のイベント監視システムにおける、本実施の形態のイベント判別装置が担う処理範囲を示す図である。
【図２】本実施の形態に係るイベント判別装置の特徴的な機能を示す図である。
【図３】本実施の形態に係るイベント判別装置の機能ブロックの一例を示す図である。
【図４】本実施の形態に係るイベント判別手法の着目点について説明するための図である。
【図５】本実施の形態に係るイベント判別手法の内容の一例を説明するための図である。
【図６】本実施の形態に係るイベント判別装置の動作の一例を示すフローチャートである。
【図７】本実施の形態に係るイベント判別装置のハードウェア構成の一例を示す図である。
【図８】本実施の形態に係るイベント判別装置内部のハードウェア構成の一例を示す図である。
【図９】従来のイベント判別手法の例を示す図である。
【発明を実施するための形態】
【００１９】
図１に、従来のイベント監視システムにおける、本実施の形態のイベント判別装置が担う処理範囲を示す。本実施の形態のイベント判別装置は、図１の破線で囲まれた処理を実施する。すなわち、本実施の形態のイベント判別装置は、パターン検知機能が使用する異常イベントであって、運用担当者やシステム管理者に通知される異常イベントのパターンを、過去に発生したイベント事例から抽出する処理を行う。
【００２０】
尚、イベントとは、機器に生じた事象を意味し、イベントが発生した機器は、自ら有する記憶装置または外部にログとして出力するか、または外部へトラップとして通知する。また、外部からの問いかけ（ポーリング）によって、自己の状態を通知する機能を有する機器もある。イベント監視システムは、これらログ出力、トラップ、ポーリング結果をイベント発生日時とともに過去事例として記憶部に蓄積する。以下、イベントが上述手段その他の何かしらの手段で通知、または取得されたデータを、イベントログまたは単にログと称す。このイベントログには、当該イベントが発生した日時を伴ったデータであるものとする。
【００２１】
次に、図２に基づき、本実施の形態に係るイベント判別装置の特徴的な機能について説明する。イベント判別装置１００は、たとえばＣＰＵに関するイベント、メモリに関するイベント等に分類されたイベントに対し、正常時のイベントか異常時のイベントかを判別する機能部を有する。
【００２２】
イベント判別装置１００は、例えばシステム管理者の判断その他の外部からの追加情報なしで、過去に発生したイベントログのみによって正常イベントか異常イベントかを判定することができる。
【００２３】
図３に、イベント判別装置１００の機能ブロックを示す。イベント判別装置１００は、イベント範囲抽出部１（イベント一覧作成部）、正常イベント抽出部２、異常イベント抽出部３を備える。
【００２４】
イベント範囲抽出部１は、所定期間内のイベントログから、その所定期間内で発生したイベントの一覧であるイベント種別テーブル５０を作成する。
【００２５】
正常イベント抽出部２は、イベント範囲抽出部１によって作成されたイベント種別テーブル５０内のイベントに対応するログが全て取得されるまで、上述の所定期間内の最新日時を出発点として、過去にさかのぼりながらイベントログ内のログを取得し、イベント種別テーブル５０内のイベント全てが取得された時点のログよりも過去のログに対応する、イベント種別テーブル５０内のイベントを正常イベントとして設定する。
【００２６】
異常イベント抽出部３は、正常イベント抽出部２によって正常イベントと設定されたイベント以外のイベント種別テーブル５０内のイベントを異常イベントとして設定する。
【００２７】
次に、図４を参照しつつ本実施の形態に係るイベント判別手法の着目点について説明する。図４は、横軸を時間軸としたイベントの発生順を示しており、右方向に進むほど新しいイベントとなる。
【００２８】
イベント判別装置１００では、以下の点に着目することで、正常時、および異常時に出力されたイベントが混在した状態で記録されているイベントログから、正常時と異常時のイベントを判別することを可能にする。
・正常時のイベントは、システムが正常な時、異常な時のどちらでも出力され得る。
・異常時のイベントは、システムが正常な時には出力されない。すなわち異常時のイベントは、システムに障害が発生した後のみで出力される。
【００２９】
Ａ、Ｂ、Ｃを正常イベント、Ｏ、Ｐ、Ｑを異常イベントとすると、図４の例によれば、対象機器が正常なときには、正常状態であるがゆえにＯ、Ｐ、Ｑの異常イベントは発生せず、正常イベントであるＡ、Ｂ、Ｃのみが発生する。ここで、対象機器上でトラブルが発生した場合、それ以降はＯ、Ｐ、Ｑの異常イベントおよび正常イベントであるＡ、Ｂ、Ｃが発生する。
【００３０】
上記着目点に基づき、図５を参照しつつ本実施の形態のイベント判別手法について説明する。図５は、正常時と異常時のイベントが混在している例を示したものである。Ａ、Ｂ、Ｃは図４と同様に正常時のイベントであり、Ｏ、Ｐ、Ｑは異常時のイベントであるとする。
【００３１】
また、図５（Ａ）、（Ｃ）、（Ｅ）は、図４と同様に横軸を時間軸としたイベントの発生順を示しており、右方向に進むほど新しいイベントとなる。また本例では、「最新」と矢印で示された点は、イベントの内容を調べた日時とする。
【００３２】
上述の説明とおり、システムが正常であるとき、イベントログには正常時のイベントＡ、Ｂ、Ｃしか記録されない。ある時刻でトラブルが発生したとすると、その日時以降、イベントログには異常時のイベントＯ、Ｐ、Ｑが記録される。
【００３３】
図５（Ａ）に初期状態を示す。初期状態では、ログ全体が読み込まれる。初期状態では、どのイベントが正常時のイベントで、どのイベントが異常時のイベントかは、まだ分かっていない。
【００３４】
次にイベント範囲抽出部１は、出現しているイベントの種類を、一覧にしてイベント種別テーブル５０を作成する。この時点で作成されるイベント種別テーブル５０を図５（Ｂ）に示す。イベント種別テーブル５０は、イベントの内容（イベント）ごとに、そのイベントが判別の過程でイベントログ内に出現したかを示すフラグ（出現）、および、そのイベントが判別の過程で正常、異常のどちらに判別されたかを示すフラグ（種類）の各データを有する。図５（Ｂ）で示した状態では、出現フラグはFalse、種類フラグはUnknownとなる。
【００３５】
正常イベント抽出部２は、最新時刻を出発点として、ログを過去方向にさかのぼりながら、イベントごとに以下を行う（図５（Ｃ）参照）。
・観察されたイベントについて、イベント種別テーブル５０の該当するイベントの出現フラグをTrueに変更する。
・イベント種別テーブル５０内の全てのイベントについて、出現フラグがTrueであるか判定する。
【００３６】
図５（Ｄ）に、最新日時から過去にさかのぼった日時ｔ０までのイベントに対し、処理が行われたときのイベント種別テーブル５０の状態を示す。正常イベント抽出部２は、全てのイベントの出現フラグがTrueとなるまで上記処理が繰り返される。
【００３７】
正常イベント抽出部２は、全てのイベントの出現フラグがTrueになったら、さらにログを過去方向にさかのぼりながら、観察されたイベントについて、イベント種別テーブル５０の該当するイベントの、種類フラグを正常に変更する（図５（Ｅ）参照）。すなわち、正常イベント抽出部２は、全てのイベントの出現フラグがTrueになったら、それ以前のイベントを正常イベントとする。
【００３８】
異常イベント抽出部３は、正常イベント抽出部２による処理が完了した後に、イベント種別テーブル５０のうち、種類フラグがUnknownのままになっているイベントについて、種類フラグを異常に変更する。
【００３９】
正常イベント抽出部２、および異常イベント抽出部３の処理後のイベント種別テーブル５０を図５（Ｆ）に示す。以上で、全てのイベントについて、正常と異常の判別が完了する。
【００４０】
次に、イベント判別装置１００の動作について、図６のフローチャートを参照しつつ説明する。
【００４１】
イベント範囲抽出部１は、イベント種別テーブル５０を作成（初期化）する（Ｓ１）。イベント範囲抽出部１は、イベントログからログを１つ取り出し（Ｓ２）、ログの終端に到達したかを判別する（Ｓ３）。ここで、ログの終端に到達していない場合（Ｓ３、Ｎ）、イベント範囲抽出部１は、イベント種別テーブル５０を参照し（Ｓ４）、取り出したイベントが既にイベント種別テーブル５０内に存在するイベントであるかを判定する（Ｓ５）、ここで取り出したログがイベント種別テーブル５０内に存在するイベントである場合（Ｓ５、Ｙ）、処理はＳ２に戻り、イベント種別テーブル５０内に存在するイベントで無い場合（Ｓ５、Ｎ）、イベント範囲抽出部１は、イベント種別テーブル５０に出現フラグ＝false、状態フラグ＝Unknownとして当該取り出したイベントを追加する（Ｓ６）。追加後、処理はＳ２に戻る。
【００４２】
Ｓ３の処理において、ログの終端に到達したと判定された場合（Ｓ３、Ｙ）、正常イベント抽出部２は、最新のログを一つイベントログより取り出す（Ｓ７）。正常イベント抽出部２は、イベントログの終端に達したかを判定し（Ｓ８）、終端に達している場合（Ｓ８、Ｙ）、処理は終了する。
【００４３】
終端に達していない場合（Ｓ８、Ｎ）、イベント種別テーブル５０の該当するイベントに対し、出現フラグ＝trueにする（Ｓ９）。正常イベント抽出部２は、全てのイベントの出現フラグがtrueかを判定し（Ｓ１０）、全ての出現フラグがtrueでない場合（Ｓ１０、Ｎ）、処理はＳ７に戻り、次のログに対し引き続き処理が続行される。一方、全ての出現フラグがtrueである場合（Ｓ１０、Ｙ）、正常イベント抽出部２は、イベント種別テーブル５０内の、これより前のログに対応するイベントに対し状態フラグ＝正常に設定する（Ｓ１１）。
【００４４】
異常イベント抽出部３は、イベント種別テーブル５０内の残りのイベント（状態フラグ＝正常でないイベント）について、状態＝異常に設定する。
【００４５】
尚、既存のパターン検知機能部は、状態フラグが異常と設定されたイベントが機器より出力された場合に運用担当者やシステム管理者へ通知する。
【００４６】
上述の例では、イベントログの内容を調べた時刻からログ終端までの全てのログを処理範囲としているが、イベント判別装置１００は、任意に指定された日時を範囲として処理を行うこともできる。すなわち、イベント範囲抽出部１は、少なくとも過去にイベントが発生している時点から、任意の日時前までのログを処理範囲としてもよい。
【００４７】
本実施の形態のイベント判別装置１００は、ＣＰＵに関するイベント、メモリに関するイベント等に分類された後に処理を行うものとしたが、分類されていなくても当然適用可能である。
【００４８】
なお、本発明は以下に示すようなコンピュータシステムにおいて適用可能である。図７は、本発明が適用されるコンピュータシステムの一例を示す図である。この図に示すコンピュータシステム９００は、ＣＰＵやディスクドライブ等を内蔵した本体部９０１、本体部９０１からの指示により画像を表示するディスプレイ９０２、コンピュータシステム９００に種々の情報を入力するためのキーボード９０３、ディスプレイ９０２の表示画面９０２ａ上の任意の位置を指定するマウス９０４及び外部のデータベース等にアクセスして他のコンピュータシステムに記憶されているプログラム等をダウンロードする通信装置９０５を有する。通信装置９０５は、ネットワーク通信カード、モデムなどが考えられる。
【００４９】
上述したような、イベント判別装置を構成するコンピュータシステムにおいて上述した各ステップを実行させるプログラムを、イベント判別プログラムとして提供することができる。このプログラムは、コンピュータシステムにより読み取り可能な記録媒体に記憶させることによって、イベント判別装置のコンピュータシステムに実行させることが可能となる。上述した各ステップを実行するプログラムは、ディスク９１０等の可搬型記録媒体に格納されるか、通信装置９０５により他のコンピュータシステムの記録媒体９０６からダウンロードされる。また、コンピュータシステム９００に少なくともイベント判別機能を持たせるイベント判別プログラムは、コンピュータシステム９００に入力されてコンパイルされる。このプログラムは、コンピュータシステム９００を、イベント判別機能を有するイベント判別システムとして動作させる。また、このプログラムは、例えばディスク９１０等のコンピュータ読み取り可能な記録媒体に格納されていても良い。ここで、コンピュータシステム９００により読み取り可能な記録媒体としては、ＲＯＭやＲＡＭ等のコンピュータに内部実装される内部記憶装置、ディスク９１０やフレキシブルディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の可搬型記憶媒体や、コンピュータプログラムを保持するデータベース、或いは、他のコンピュータシステム並びにそのデータベースや、通信装置９０５のような通信手段を介して接続されるコンピュータシステムでアクセス可能な各種記録媒体を含む。
【００５０】
ここで、上述のイベント判別装置のハードウェア構成について図８を参照しつつ説明する。イベント判別装置は、演算処理装置であるＣＰＵ９５１、主記憶装置であるメモリ９５２、ディスク９１０等を格納し、データの読み書きを行うディスクドライブ９５３、不揮発性の記憶装置である不揮発性記憶装置９５４を備え、また外部とのデータの通信を制御するＩ／Ｏ装置９５５を備える。尚、上述したイベント判別装置内の各機能ブロックは、ＣＰＵ９５１、メモリ９５２、不揮発性記憶装置９５４、Ｉ／Ｏ装置９５５のハードウェア資源と、不揮発性記憶装置９５４内に予め保持されているソフトウェアとが協働することで実現される。
【００５１】
本発明は、その精神または主要な特徴から逸脱することなく、他の様々な形で実施することができる。そのため、前述の実施の形態は、あらゆる点で単なる例示に過ぎず、限定的に解釈してはならない。本発明の範囲は、特許請求の範囲によって示すものであって、明細書本文には、何ら拘束されない。更に、特許請求の範囲の均等範囲に属する全ての変形、様々な改良、代替および改質は、全て本発明の範囲内のものである。
【符号の説明】
【００５２】
１  イベント範囲抽出部、２  正常イベント抽出部、３  異常イベント抽出部、５０  イベント種別テーブル、１００  イベント判別装置。
【図１】
2010231568.tif 000003
【図２】
2010231568.tif 000004
【図３】
2010231568.tif 000005
【図４】
2010231568.tif 000006
【図５】
2010231568.tif 000007
【図６】
2010231568.tif 000008
【図７】
2010231568.tif 000009
【図８】
2010231568.tif 000010
【図９】
2010231568.tif 000011