(57)【特許請求の範囲】
【請求項１】
コンピュータシステムの運用管理を行うための運用管理装置であって、
前記コンピュータシステムで発生したアラートから、定義に合致するアラートを抽出する、複数のフィルタリング部と、
前記複数のフィルタリング部のいずれによっても抽出されなかったアラートを、予め設定されている２以上のルールに照合し、いずれかの前記ルールが、前記抽出されなかったアラートに適合するかどうかを判定する、ルール適合判定部と、
いずれかの前記ルールが前記抽出されなかったアラートに適合すると判定された場合に、適合すると判定されたルールに基づいて、前記複数のフィルタリング部のいずれかの前記定義を更新する、フィルタ定義管理部と、
を備えていることを特徴とする運用管理装置。
【請求項２】
前記抽出されなかったアラートを分析し、分析結果に基づいて、前記ルール適合判定部で用いられる前記ルールを作成する、分析部を更に備えている、請求項１に記載の運用管理装置。
【請求項３】
前記複数のフィルタリング部が、カスケード状に接続されており、
前記フィルタ定義管理部が、最初に前記アラートの抽出を行うフィルタリング部の前記定義を更新する、請求項１または２に記載の運用管理装置。
【請求項４】
前記ルールが、適合条件と、前記適合条件に合致したときに追加される新たな定義と、前記新たな定義の有効期間とを含み、
前記フィルタ定義管理部が、前記有効期間の経過時に、前記新たな定義を削除する、請求項１〜３のいずれかに記載の運用管理装置。
【請求項５】
前記分析部が、作成した前記ルールに基づいて更新される定義が、当該定義を用いない前記フィルタリング部の定義と一致するかどうかを判定し、
前記ルール適合判定部が、前記分析部によって一致しないと判定された場合に、作成された前記ルールを用いて照合を行う、請求項２に記載の運用管理装置。
【請求項６】
コンピュータシステムの運用管理を行うための方法であって、
（ａ）前記コンピュータシステムで発生したアラートから、定義に合致するアラートを抽出するフィルタリング処理を複数回実行する、ステップと、
（ｂ）いずれの前記フィルタリング処理によっても抽出されなかったアラートを、予め設定されている２以上のルールに照合し、いずれかの前記ルールが、前記抽出されなかったアラートに適合するかどうかを判定する、ステップと、
（ｃ）前記（ｂ）のステップで、いずれかの前記ルールが、前記抽出されなかったアラートに適合すると判定された場合に、適合すると判定されたルールに基づいて、いずれかの前記フィルタリング処理における前記定義を更新する、ステップと、
を有していることを特徴とする運用管理方法。
【請求項７】
（ｄ）いずれの前記フィルタリング処理によっても抽出されなかったアラートを分析し、分析結果に基づいて、前記（ｂ）のステップで用いられる前記ルールを作成する、ステップを更に有している、請求項６に記載の運用管理方法。
【請求項８】
前記（ａ）のステップにおいて、複数回の前記フィルタリング処理が、順に実行され、
前記（ｃ）のステップにおいて、最初に実行されるフィルタリング処理における前記定義を更新する、請求項６または７に記載の運用管理方法。
【請求項９】
前記ルールが、適合条件と、前記適合条件に合致したときに追加される新たな定義と、前記新たな定義の有効期間とを含む場合に、前記（ｃ）のステップにおいて、前記有効期間の経過時に、前記新たな定義を削除する、請求項６〜８のいずれかに記載の運用管理方法。
【請求項１０】
（ｅ）前記（ｄ）のステップで作成された前記ルールに基づいて更新される定義が、当該定義を用いない前記フィルタリング処理の定義と一致するかどうかを判定する、ステップを、更に有し、
前記（ｅ）のステップで一致しないと判定された場合に、前記（ｂ）のステップにおいて、前記（ｄ）のステップで作成された前記ルールを用いて照合を行う、請求項７に記載の運用管理方法。
【請求項１１】
コンピュータシステムの運用管理をコンピュータによって行うためのプログラムであって、
前記コンピュータに、
（ａ）前記コンピュータシステムで発生したアラートから、定義に合致するアラートを抽出するフィルタリング処理を複数回実行する、ステップと、
（ｂ）いずれの前記フィルタリング処理によっても抽出されなかったアラートを、予め設定されている２以上のルールに照合し、いずれかの前記ルールが、前記抽出されなかったアラートに適合するかどうかを判定する、ステップと、
（ｃ）前記（ｂ）のステップで、いずれかの前記ルールが、前記抽出されなかったアラートに適合すると判定された場合に、適合すると判定されたルールに基づいて、いずれかの前記フィルタリング処理における前記定義を更新する、ステップと、
を実行させる、ことを特徴とするプログラム。
【請求項１２】
（ｄ）いずれの前記フィルタリング処理によっても抽出されなかったアラートを分析し、分析結果に基づいて、前記（ｂ）のステップで用いられる前記ルールを作成する、ステップを、更に前記コンピュータに実行させる、請求項１１に記載のプログラム。
【請求項１３】
前記（ａ）のステップにおいて、複数回の前記フィルタリング処理が、順に実行され、
前記（ｃ）のステップにおいて、最初に実行されるフィルタリング処理における前記定義を更新する、請求項１１または１２に記載のプログラム。
【請求項１４】
前記ルールが、適合条件と、前記適合条件に合致したときに追加される新たな定義と、前記新たな定義の有効期間とを含む場合に、前記（ｃ）のステップにおいて、前記有効期間の経過時に、前記新たな定義を削除する、請求項１１〜１３のいずれかに記載のプログラム。
【請求項１５】
（ｅ）前記（ｄ）のステップで作成された前記ルールに基づいて更新される定義が、当該定義を用いない前記フィルタリング処理の定義と一致するかどうかを判定する、ステップを、更に前記コンピュータに実行させ、
前記（ｅ）のステップで一致しないと判定された場合に、前記（ｂ）のステップにおいて、前記（ｄ）のステップで作成された前記ルールを用いて照合を行う、請求項１２に記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータシステムの運用及び管理を行うための運用管理装置、運用管理方法、及びこれらを実現するためのプログラムに関する。
【背景技術】
【０００２】
近年、企業等では、コンピュータシステムの重要度は益々高まっており、その運用管理は極めて重要なものとなっている。一方、コンピュータシステムは、年々、大規模化及び複雑化しているため、運用管理における管理者の負担は益々増大している。このような状況の下、コンピュータシステムの運用管理を効率良く行えるようにするため、種々の運用管理装置（運用管理サーバ）が提案されている。
【０００３】
一般に、運用管理装置は、監視対象となるサーバ及びアプリケーションプログラムの異常の発生を監視し、異常を検知すると、コンピュータシステムの管理者に異常の発生を通報する。また、このとき、全ての異常が管理者に通報されるとすると、管理者の負担が増大してしまうため、通常、運用管理装置は、予め定義されたフィルタによって必要なアラートを抽出し、抽出したアラートのみを通報する（例えば、特許文献１参照。）。
【０００４】
具体的には、特許文献１は、複数のフィルタを所定の順序で使用し、いずれかのフィルタによって抽出されたアラートを管理者に通報する運用管理装置を開示している。また、特許文献１に開示の運用管理装置では、フィルタ毎に、その条件に一致した回数がカウントされ、一致した回数の多い順にフィルタの使用順序が並べ替えられる。このため、特許文献１に開示の運用管理装置によれば、フィルタリングに必要な計算量を出来るだけ少なくできるので、運用管理装置における負荷の軽減を図ることが可能となる。
【０００５】
また、特許文献１に開示の運用管理装置では、フィルタ定義は、管理者によって作成される。更に、管理者は、フィルタで抽出されなかったアラートが発生した場合は、その発生頻度及び発生傾向等を分析し、フィルタ定義が適切となるように更新を行う必要がある。このため、特許文献１に開示の運用管理装置では、管理者における負担の軽減が求められている。
【０００６】
特許文献２は、管理者の負担の軽減を目的とした運用管理装置を開示している。具体的には、特許文献２は、フィルタに定義されていない未登録のアラートが出力された場合に、設定された閾値を超えているかを判定し、超えている場合に、この未登録のアラートを管理者に通報する運用管理装置を開示している。閾値の具体例としては、例えばｘ秒以内にアラートが出力された件数等が挙げられる。また、特許文献２に開示の運用管理装置は、未登録のアラートの抽出条件をそのままフィルタ条件とすることもできる。
【０００７】
このように、特許文献２に開示の運用管理装置によれば、看過できない未登録のアラートであっても管理者に通知されるため、管理者における負担は軽減されると考えられる。また、未登録のアラートの検知が可能となるため、管理対象のコンピュータシステムにおける予期せぬトラブルの発生が防止される。
【０００８】
また、近年の大規模化されたコンピュータシステムでは、アラートは頻繁に発生し、更に、これに合わせて、未登録のアラートの発生も増加しているが、特許文献２に開示の運用管理装置では、未登録のアラートは管理者に通報される。従って、特許文献２に開示の運用管理装置によれば、未登録のアラートが増加しても、管理者は適切にフィルタ定義を更新することができると考えられる。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００６−２６００５６号公報
【特許文献２】特開２００９−０６４０９８号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら、大規模化されたコンピュータシステムでは、時間帯によって、アラートの傾向が変化するという事態が生じている。これに対して、特許文献２に開示された運用管理装置では、未登録のアラートを通報するかどうかの判断は一律に行われ、アラートの傾向の変化に応じて判断が変化することはない。よって、管理者に通報すべきアラートが確実に通報されない可能性がある。
【００１１】
また、特許文献２に開示された運用管理装置は、未登録のアラートに合わせて新たにフィルタ条件を生成することができるが、フィルタ条件の作成の対象となるかどうかの判断も一律に行われる。よって、未登録のアラートが突発的且つ大量に発生した場合（アラートラッシュ）に対応することは困難である。
【００１２】
このように、特許文献２に開示された運用管理装置では、アラートに応じて自動的にフィルタ定義の適切化を行うことは不可能である。従って、管理者は、フィルタ定義を適切なものとするために、別途分析を行う必要があり、このことは、管理者にとって大きな負担となる。
【００１３】
本発明の目的は、上記問題を解消し、コンピュータシステムで発生したアラートに応じてフィルタ定義を動的に更新でき、且つ、管理者の負担の軽減を図り得る、運用管理装置、運用管理方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【００１４】
上記目的を達成するため、本発明における運用管理装置は、コンピュータシステムの運用管理を行うための運用管理装置であって、
前記コンピュータシステムで発生したアラートから、定義に合致するアラートを抽出する、複数のフィルタリング部と、
前記複数のフィルタリング部のいずれによっても抽出されなかったアラートを、予め設定されている２以上のルールに照合し、いずれかの前記ルールが、前記抽出されなかったアラートに適合するかどうかを判定する、ルール適合判定部と、
いずれかの前記ルールが前記抽出されなかったアラートに適合すると判定された場合に、適合すると判定されたルールに基づいて、前記複数のフィルタリング部のいずれかの前記定義を更新する、フィルタ定義管理部と、
を備えていることを特徴とする。
【００１５】
また、上記目的を達成するため、本発明における運用管理方法は、コンピュータシステムの運用管理を行うための方法であって、
（ａ）前記コンピュータシステムで発生したアラートから、定義に合致するアラートを抽出するフィルタリング処理を複数回実行する、ステップと、
（ｂ）いずれの前記フィルタリング処理によっても抽出されなかったアラートを、予め設定されている２以上のルールに照合し、いずれかの前記ルールが、前記抽出されなかったアラートに適合するかどうかを判定する、ステップと、
（ｃ）前記（ｂ）のステップで、いずれかの前記ルールが、前記抽出されなかったアラートに適合すると判定された場合に、適合すると判定されたルールに基づいて、いずれかの
前記フィルタリング処理における前記定義を更新する、ステップと、
を有していることを特徴とする。
【００１６】
更に、上記目的を達成するため、本発明におけるプログラムは、コンピュータシステムの運用管理をコンピュータによって行うためのプログラムであって、
前記コンピュータに、
（ａ）前記コンピュータシステムで発生したアラートから、定義に合致するアラートを抽出するフィルタリング処理を複数回実行する、ステップと、
（ｂ）いずれの前記フィルタリング処理によっても抽出されなかったアラートを、予め設定されている２以上のルールに照合し、いずれかの前記ルールが、前記抽出されなかったアラートに適合するかどうかを判定する、ステップと、
（ｃ）前記（ｂ）のステップで、いずれかの前記ルールが、前記抽出されなかったアラートに適合すると判定された場合に、適合すると判定されたルールに基づいて、いずれかの前記フィルタリング処理における前記定義を更新する、ステップと、
を実行させる、ことを特徴とする。
【発明の効果】
【００１７】
以上の特徴により、本発明における運用管理装置、運用管理方法、及びプログラムによれば、コンピュータシステムで発生したアラートに応じてフィルタ定義を動的に更新でき、且つ、管理者の負担の軽減を図ることができる。
【図面の簡単な説明】
【００１８】
【図１】図１は、本発明の実施の形態における運用管理装置の概略構成を示すブロック図である。
【図２】図２は、本発明の実施の形態における運用管理装置によるフィルタリング処理からルール適合判定処理までを示すフロー図である。
【図３】図３は、本発明の実施の形態における運用管理装置による定義更新処理を示すフロー図である。
【図４】図４は、本発明の実施の形態における運用管理装置によるルール更新処理を示すフロー図である。
【図５】図５は、図４に示されたルール更新処理に含まれる分析処理及びルール作成処理を具体的に示すフロー図である。
【発明を実施するための形態】
【００１９】
（実施の形態）
以下、本発明の実施の形態における、運用管理装置、運用管理方法、及びプログラムについて、図１〜図５を参照しながら説明する。最初に、本実施の形態における運用管理装置１の構成について説明する。図１は、本発明の実施の形態における運用管理装置の概略構成を示すブロック図である。
【００２０】
図１に示すように、運用管理装置１は、コンピュータシステム１０の運用管理を行うための装置である。コンピュータシステム１０は、クライアントコンピュータ、サーバコンピュータといった多数のコンピュータをネットワークで接続することによって構築されている。そして、コンピュータシステム１０は、一種のアラート発生装置であり、コンピュータシステム１０で発生したアラートは、運用管理装置１に入力される。
【００２１】
また、図１に示すように、運用管理装置１は、コンピュータシステム１０で発生したアラートに対してフィルタリング処理を行うフィルタリング処理部２と、フィルタリング処理によって抽出されたアラートの処理を行う処理部４とを備えている。
【００２２】
このうち、フィルタリング処理部２は、第１のフィルタリング部２１と、第２のフィルタリング部２２とを備えている。第１のフィルタリング部２１及び第２のフィルタリング部２２は、それぞれ、コンピュータシステム１０で発生したアラートから、定義（フィルタ定義）に合致するアラートを抽出する。なお、第１のフィルタリング部２１と、第２のフィルタリング部２２とでは、フィルタ定義は異なっている。また、本実施の形態では、フィルタリング処理部２は、３以上のフィルタリング部を備えていても良い。
【００２３】
また、処理部４は、ルール適合判定部４２とフィルタ定義管理部４３とを備えている。ルール適合判定部４２は、フィルタリング部２１及び２２のいずれによっても抽出されなかったアラートを、予め設定されている２以上のルールに照合し、いずれかのルールが、抽出されなかったアラートに適合するかどうかを判定する。
【００２４】
フィルタ定義管理部４３は、いずれかのルールが、抽出されなかったアラートに適合すると判定された場合に、適合すると判定されたルールに基づいて、第１のフィルタリング部２１又は第２のフィルタリング部２２のフィルタ定義を更新する。
【００２５】
このように、運用管理装置１では、いずれのフィルタリング部によっても抽出されないアラートが発生した場合は、これに対応するためフィルタ定義が更新される。また、フィルタ定義の更新は、予め用意されている複数のルールの中からアラートに適合するルールを選出し、選出されたルールを用いて行われる。つまり、フィルタ定義の更新は、一律ではなく、アラートの内容に応じて行われている。従って、運用管理装置１によれば、アラートに応じてフィルタ定義は動的に更新され、この結果、フィルタ定義の更新時の管理者の負担は軽減される。
【００２６】
次に、本実施の形態における運用管理装置１の構成について下記の表１〜表４を用いて更に具体的に説明する。本実施の形態では、図１に示すように、第１のフィルタリング部２１と、第２のフィルタリング部２２とは、カスケード状に接続され、アラートは、先ず、第１のフィルタリング部２１に入力される。
【００２７】
本実施の形態では、第１のフィルタリング部２１のフィルタ定義に合致しなかったアラートのみが、第２のフィルタリング部２２に入力される。第２のフィルタリング部２２は、第１のフィルタリング部２１のフィルタ定義に合致しなかったアラートを対象として、フィルタリング処理を行う。
【００２８】
また、本実施の形態では、第１のフィルタリング部２１及び第２のフィルタリング部２２は、アラートがそれぞれのフィルタ定義に合致した場合は、各フィルタ定義に従った動作を実行する。例えば、フィルタ定義に、アラートが合致した場合に、アラート処理装置１１に通報を行う旨が記述されているとする。この場合、第１のフィルタリング部２１及び第２のフィルタリング部２２は、フィルタ定義に合致したアラートを、外部のアラート処理装置１１に送信（通報）する。なお、アラート処理装置１１は、コンピュータシステム１０で発生したアラートに応じて、障害の復旧処理、ソフトウェアの更新等を行う装置である。
【００２９】
また、本実施の形態では、フィルタ定義管理部４３は、後述するように、新たなフィルタ定義の追加、及び使用済のフィルタ定義の削除を行う。更に、フィルタ定義管理部４３は、第１のフィルタリング部２１のフィルタ定義に対してのみ更新を行う。
【００３０】
更に、本実施の形態では、図１に示すように、運用管理装置１は、ファイルタリング処理部２及び処理部４に加えて、記憶部３と、分析部５とを備えている。更に、運用管理装置１において、処理部４は、アラート処理部４１を備えている。
【００３１】
アラート処理部４１は、アラートが、第１のフィルタリング部２１によって抽出されず、その後、第２のフィルタリング部２２によっても抽出されなかった場合に、このアラートを取得し、これを記憶部３へと出力する。また、アラート処理部４１は、アラートを記憶部３に出力する際に、そのことをルール適合判定部４２に通知する。
【００３２】
記憶部３は、第１のフィルタ定義記憶部３１と、第２のフィルタ定義記憶部３２と、アラート蓄積部３３と、ルール記憶部３４とを備えている。このうち、第１のフィルタ定義記憶部３１は、第１のフィルタリング部２１が使用するフィルタ定義（以下「第１のフィルタ定義」）を記憶している。
【００３３】
下記の表１は、第１のフィルタリング部２１で使用されるフィルタ定義の一例を示している。表１に示すように、各第１のフィルタ定義は、抽出対象となるアラートのタイプ（種別）と、同アラートのメッセージと、当該フィルタ定義を削除するための条件（フィルタ定義の削除条件）とを含んでいる。本実施の形態では、後述するように、フィルタ定義管理部４３は、フィルタ定義の削除条件に従い、使用が見込まれない、例えば、古いフィルタ定義、及び特殊なフィルタ定義等を削除する。これにより、フィルタリング処理部２における負荷の軽減が図られる。
【００３４】
【表１】
0005435225.tif 000002
【００３５】
第２のフィルタ定義記憶部３２は、第２のフィルタリング部２２が使用するフィルタ定義（以下「第２のフィルタ定義」）を記憶している。下記の表２は、第２のフィルタリング部２２で使用されるフィルタ定義の一例を示している。表２に示すように、各第２のフィルタ定義も、表１に示した第１のフィルタ定義と同様に、抽出対象となるアラートのタイプ（種別）と、同アラートのメッセージとを含んでいる。但し、第２のフィルタ定義は、フィルタ定義の削除条件（表１参照）の代わりに、外部への通報の実行の有無を指示する識別子を含んでいる。
【００３６】
【表２】
0005435225.tif 000003
【００３７】
また、表１に示された各第１のフィルタ定義は、後述する分析部５によって作成される
が、本実施の形態はこの態様に限定されるものではない。本実施の形態では、幾つかの第１のフィルタ定義は、管理者によって予め作成されていても良い。また、表２に示された第２のフィルタ定義は、管理者によって予め作成される。
【００３８】
下記の表３は、本実施の形態においてコンピュータシステム１０で発生したアラートの一例（アラート例１）を示している。表３では、各アラートは、「発生日時」、「タイプ（種別）」、及び「メッセージ」とで特定されている。
【００３９】
【表３】
0005435225.tif 000004
【００４０】
また、記憶部３において、アラート蓄積部３３は、アラート処理部４１によってアラートが出力されると、この出力されたアラートを蓄積する。更に、ルール記憶部３４は、ルール適合判定部４２が利用するルールを記憶している。表４は、ルール適合判定部４２が利用するルールの一例を示している。
【００４１】
表４に示すように、ルールは、アラートに対する「条件文（適合条件）」と、適合した時に実行される「実行文（更新内容）」とを含んでいる。具体的には、表４の例では、「実行文」には、条件文に合致したときに追加される新たなフィルタ定義と、新たなフィルタ定義の有効期間とが含まれている。
【００４２】
表４に示されたルールが用いられる場合、ルール適合判定部４２は、アラート処理部４１からの通知を受けると、アラートが「条件文」と一致するかどうかを判定する。アラートがルールの「条件文」と一致する場合は、ルール適合判定部４２は、アラートが適合したルールをフィルタ定義管理部４３に送信する。そして、フィルタ定義管理部４３は、上述したように、適合したルールに基づいてフィルタ定義を更新する。
【００４３】
例えば、適合したルールが表４に示されたルールであった場合は、フィルタ定義管理部４３は、「実行文」に従って新たなフィルタ定義を作成し、これを第１のフィルタ定義記憶部３１に記憶させる。また、フィルタ定義管理部４３は、新たなフィルタ定義を追加した場合は、追加時からの時間を計測し、「実行文」に含まれる有効期間の経過時に、新たな定義の削除も実行する。
【００４４】
【表４】
0005435225.tif 000005
【００４５】
分析部５は、蓄積アラート分析部５１と、ルールチェック部５２とを備えている。このうち、蓄積アラート分析部５１は、アラート蓄積部３３に蓄積されているアラートを分析する。具体的には、蓄積アラート分析部５１は、アラートの発生頻度及び傾向を分析する。更に、蓄積アラート分析部５１は、分析結果に基づいて、ルール適合判定部４２で用いられるルールの候補（ルール候補）を作成する。なお、蓄積アラート分析部５１による分析処理及びルール作成処理の具体例については、図５を用いて後述する。
【００４６】
ルールチェック部５２は、ルールチェック部５２は、作成されたルール候補に基づいて更新されるフィルタ定義（即ち、第１のフィルタリング部２１のフィルタ定義）が、当該定義を用いない第２のフィルタリング部２２の第２のフィルタ定義と一致するかどうかを判定する。そして、ルールチェック部５２は、判定の結果、一致しないと判定した場合は、作成したルール候補を、新たなルールとして、ルール記憶部３４に記憶させる。これにより、ルール適合判定部４２は、ルールチェック部５２によって作成されたルールを用いて、アラートとの照合を行うことになる。
【００４７】
次に、本実施の形態における運用管理装置１の動作について、図２〜図５を用いて説明する。また、本実施の形態では、運用管理装置１を動作させることによって、運用管理方法が実施される。よって、本実施の形態における運用管理方法の説明は、以下の運用管理装置１の動作説明に代える。なお、以下の説明では、適宜図１を参酌する。
【００４８】
先ず、図２を用いて運用管理装置１におけるフィルタリング処理からルール適合判定処理までについて説明する。図２は、本発明の実施の形態における運用管理装置によるフィルタリング処理からルール適合判定処理までを示すフロー図である。また、図２に示す処理の実行に際して、第１のフィルタ定義記憶部３１が、表１に示したフィルタ定義を記憶し、第２のフィルタ定義記憶部３２が、表２に示したフィルタ定義を記憶しているとする。また、ルール記憶部３４が、表４に示したルールを記憶しているとする。
【００４９】
図２に示すように、最初に、第１のフィルタリング部２１が、コンピュータシステム１０で発生したアラートを受信する（ステップＡ１）。続いて、第１のフィルタリング部２１は、第１のフィルタ定義記憶部３１にアクセスして、受信したアラートが第１のフィルタ定義に合致するかどうかを判定する（ステップＡ２）。
【００５０】
ステップＡ２の結果、受信したアラートが第１のフィルタ定義に合致しない場合、第１のフィルタリング部２１は、アラートを第２のフィルタリング部２２に送信する（ステップＡ３）。
【００５１】
一方、ステップＡ２の結果、受信したアラートが第１のフィルタ定義に合致する場合は、第１のフィルタリング部２１は、第１のフィルタ定義に従った動作を実行する（ステップＡ４）。例えば、ステップＡ４において、第１のフィルタリング部２１は、アラートを外部のアラート処理装置１１に送信（通報）することができる。ステップＡ４が実行されると、運用管理装置１における処理は終了する。
【００５２】
次に、第２のフィルタリング部２２は、ステップＡ３で送信されたアラートが第２のフィルタ定義に合致するかどうかを判定する（ステップＢ１）。ステップＢ１の判定の結果、ステップＡ３で送信されたアラートが第２のフィルタ定義に合致しない場合は、第２のフィルタリング部２２は、デフォルトの動作を実行する（ステップＢ２）。本実施の形態では、第２のフィルタリング部２２は、デフォルトの動作として、アラートをアラート処理部４１に送信する。
【００５３】
一方、ステップＢ１の判定の結果、ステップＡ３で入力されたアラートが第２のフィルタ定義に合致する場合は、第２のフィルタリング部２２は、第２のフィルタ定義に従った動作を実行する（ステップＢ３）。例えば、ステップＢ３において、第２のフィルタリング部２２は、アラートを外部のアラート処理装置１１に送信（通報）する、又は送信（通報）しない。ステップＢ３が実行されると、運用管理装置１における処理は終了する。
【００５４】
ここで、コンピュータシステム１０において、タイプが「ログ監視」、メッセージが「ｗａｒｎｉｎｇ  １」のアラート（表１参照）が発生し、第１のフィルタリング部２１がこれを受信した場合（ステップＡ１）を想定する。この場合、アラートが第１のフィルタ定義に合致するため（ステップＡ２）、第１のフィルタリング部２１は、第１のフィルタ定義に従い、アラートをアラート処理装置１１に通報する（ステップＡ４）。
【００５５】
また、コンピュータシステム１０において、タイプが「プロセス監視」、メッセージが「ｉｎｆｏ：ｔｅｓｔｍｓｇ」のアラートが発生し、第１のフィルタリング部２１がこれを受信した場合（ステップＡ１）を想定する。この場合、アラートは、第１のフィルタ定義に合致しないため（ステップＡ２）、第２のフィルタリング部２２に送信される（ステップＡ３）。一方、このアラートは、第２のフィルタ定義（表２参照）に合致するため（ステップＢ１）、第２のフィルタリング部２２は、第２のフィルタ定義に従い、アラートをアラート処理装置１１に通報しない（ステップＢ３）。
【００５６】
更に、コンピュータシステム１０において、タイプが「プロセス監視」、メッセージが「ｔｅｓｔｍｓｇ」のアラートが発生し、第１のフィルタリング部２１がこれを受信した場合（ステップＡ１）を想定する。この場合、アラートは、第１のフィルタ定義に合致しないため（ステップＡ２）、第２のフィルタリング部２２に送信される（ステップＡ３）。また、このアラートは、第２のフィルタ定義にも合致しないため（ステップＢ１）、第２のフィルタリング部２２は、デフォルトの動作として、アラートのアラート処理部４１への送信を実行する（ステップＢ２）。
【００５７】
次に、ステップＢ２が実行されると、アラート処理部４１は、受信したアラートをアラート蓄積部３３に送信し、このアラートをアラート蓄積部３３に記憶させる（ステップＣ１）。また、ステップＣ１では、アラート処理部４１は、アラートをアラート蓄積部３３に出力する際に、そのことをルール適合判定部４２に通知する。
【００５８】
次に、ルール適合判定部４２は、ルール記憶部３４にアクセスし、記憶されている複数のルール（表４参照）の中から一つのルールを取り出す（ステップＤ１）。続いて、ルール適合判定部４２は、取り出したルールが、アラート蓄積部３３に蓄積されているアラートに適合するかどうかを判定する（ステップＤ２）。
【００５９】
ステップＤ２の判定の結果、取り出したルールがアラートに適合しない場合は、スール適合判定部４２は、全てのルールについて適合判定が終了したかどうかを判定する（ステップＤ５）。ステップＤ５の判定の結果、全てのルールについて適合判定が終了していない場合は、ルール適合判定部４２は、再度ステップＤ１を実行する。また、ステップＤ５の判定の結果、全てのルールについて適合判定が終了している場合は、運用管理装置における処理は終了する。
【００６０】
一方、ステップＤ２の判定の結果、取り出したルールがアラートに適合する場合は、ルール適合判定部４２、この取り出したルールをフィルタ定義管理部４３に通知する（ステップＤ３）。ステップＤ３の実行により、フィルタ定義管理部４３による定義更新処理が実行される（ステップＤ４）。定義更新処理については、図３を用いて後述する。
【００６１】
次に、図３を用いて運用管理装置１における定義更新処理について説明する。図３は、本発明の実施の形態における運用管理装置による定義更新処理を示すフロー図である。なお、図３に示す処理の実行に際しても、第１のフィルタ定義記憶部３１が、表１に示したフィルタ定義を記憶し、第２のフィルタ定義記憶部３２が、表２に示したフィルタ定義を記憶しているとする。また、ルール記憶部３４が、表４に示したルールを記憶しているとする。
【００６２】
図３に示すように、先ず、フィルタ定義管理部４３は、先のステップＤ２において適合すると判定されたルールの「実行文」に従い、新たなフィルタ定義を作成し、これを第１のフィルタ定義記憶部３１に記憶させる（ステップＥ１）。ステップＥ１により、第１のフィルタ定義記憶部３１には、新たな第１のフィルタ定義が追加されることになる。
【００６３】
次に、フィルタ定義管理部４３は、ルールの「実行文」に規定されている有効期間が経過するまで、待機する（ステップＥ２）。フィルタ定義管理部４３が待機している間、新たなフィルタ定義を用いてステップＡ２が実行される。よって、以前のステップＡ２及びＢ１でフィルタ定義に合致しないと判定されたアラートは、ステップＥ１の実行後においては、ステップＡ２においてフィルタ定義に合致すると判断される。
【００６４】
その後、フィルタ定義管理部４３は、ルールの「実行文」に規定されている有効期間が経過すると、ステップＥ１で追加した第１のフィルタ定義を、第１のフィルタ定義記憶部３１から削除する（ステップＥ３）。その後、運用管理装置１における処理は終了する。
【００６５】
ここで、表５〜表７に示すアラーとの一例を用いて、図２及び図３に示した処理について具体的に説明する。先ず、コンピュータシステム１０において、下記の表５（アラート例２）に示すようにアラートラッシュが発生した場合を想定する。表５に示すアラートラッシュは、第１のフィルタ定義及び第２のフィルタ定義のいずれにも合致しないため、第２のフィルタリング部２２は、このアラートをアラート処理部４１に送信する（Ｂ２）。アラート処理部４１は、受信したアラートをアラート蓄積部３３に記憶させる（ステップＣ１）。
【００６６】
そして、ルール適合判定部４２は、条件文「同一タイプ、且つ、同一メッセージのアラートが３件連続で発生している」のルール（表４参照）を取り出した場合に（ステップＤ１）、取り出したルールが表５に示すアラートに適合すると判定する（ステップＤ２）。
ルール適合判定部４２は、表５に示すアラートを、フィルタ定義管理部４３に送信する（ステップＤ３）。
【００６７】
フィルタ定義管理部４３は、ステップＤ１で取り出されたルールの「実行文」に従い、第１のフィルタ定義部記憶部３１に、タイプが「ログ監視」、メッセージが「ｅｒｒｏｒ
ａ」となったフィルタ定義を追加する（ステップＥ１）。これにより、ステップＥ１の実行から、ルールの「実行文」に規定されている有効期間が経過するまでの間、アラート（表５参照）は、第１のフィルタリング部２１でヒットする。よって、第２のフィルタリング部２２では、フィルタリング処理は実行されない。
【００６８】
更に、フィルタ定義管理部４３は、ルールの「実行文」に従い３０秒間待機する（ステップＥ２）。そして、フィルタ定義管理部４３は、有効期間（３０秒間）の経過後、ステップＥ１で追加したフィルタ定義（タイプ「ログ監視」、メッセージ「ｅｒｒｏｒ  ａ」）を削除する（ステップＥ３）。
【００６９】
【表５】
0005435225.tif 000006
【００７０】
また、コンピュータシステム１０において、下記の表６（アラート例３）に示すようにアラートラッシュが発生した場合を想定する。表６に示すアラートラッシュも、表５の場合と同様に、アラート蓄積部３３に記憶される（ステップＣ１）。
【００７１】
そして、ルール適合判定部４２は、条件文「同一タイプ、且つ、同一メッセージのアラートが１秒間に５件発生している」のルール（表４参照）を取り出した場合に（ステップＤ１）、取り出したルールが表６に示すアラートに適合すると判定する（ステップＤ２）。ルール適合判定部４２は、表６に示すアラートを、フィルタ定義管理部４３に送信する（ステップＤ３）。
【００７２】
次に、この場合も、ルールの実行文に従って、第１のフィルタ定義が追加される（ステップＥ１）、有効期間の経過後（ステップＥ２）、追加された第１のフィルタ定義は削除される（ステップＥ３）。
【００７３】
【表６】
0005435225.tif 000007
【００７４】
更に、コンピュータシステム１０において、下記の表７（アラート例４）に示すようにアラートラッシュが発生した場合を想定する。表７に示すアラートラッシュも、表５の場合と同様に、アラート蓄積部３３に記憶される（ステップＣ１）。
【００７５】
そして、ルール適合判定部４２は、条件文「タイプ「ログ監視」、且つ、メッセージ「ｅｒｒｏｒ  数字」のアラートが３件連続で発生している。」のルール（表４参照）を取り出した場合に（ステップＤ１）、取り出したルールが表７に示すアラートに適合すると判定する（ステップＤ２）。ルール適合判定部４２は、表７に示すアラートを、フィルタ定義管理部４３に送信する（ステップＤ３）。
【００７６】
次に、この場合も、ルールの実行文に従って、第１のフィルタ定義が追加され（ステップＥ１）、有効期間の経過後（ステップＥ２）、追加された第１のフィルタ定義は削除される（ステップＥ３）。
【００７７】
【表７】
0005435225.tif 000008
【００７８】
次に、図４及び図５を用いて運用管理装置１におけるルール更新処理について説明する。先ず、図４を用いてルール更新処理の全体について説明する。図４は、本発明の実施の形態における運用管理装置によるルール更新処理を示すフロー図である。
【００７９】
先ず、図４に示すように、分析部５において、蓄積アラート分析部５１が、アラートの発生頻度及び傾向を分析し、分析結果に基づいて、ルール適合判定部４２で用いられるルールの候補（ルール候補）を作成する（ステップＦ１）。
【００８０】
次に、蓄積アラート分析部５１は、ステップＦ１で作成したルール候補が、既にルール記憶部３４に記憶されていないかどうか判定する（ステップＦ２）。ステップＦ１での判定の結果、ルール候補が既にルール記憶部３４に記憶されている場合は、分析部５における処理は終了する。一方、判定の結果、ルール候補が既にルール記憶部３４に記憶されてない場合は、ルールチェック部５２によってステップＧ１が実行される。
【００８１】
ステップＧ１では、ルールチェック部５２は、ステップＦ１で作成されたルール候補に基づいて追加される第１のフィルタ定義が、第２のフィルタリング部２２が用いる第２のフィルタ定義と一致するかどうかを判定する。
【００８２】
ステップＧ１での判定の結果、一致する場合は、分析部５における処理は終了する。一方、ステップＧ１での判定の結果、一致しない場合は、ルールチェック部５２は、作成したルール候補を、新たなルールとして、ルール記憶部３４に記憶させる（ステップＧ２）。これにより、ルール適合判定部４２は、追加された新たなルールを用いて、アラートとの照合を実行する。ステップＧ２の終了後、分析部５における処理は終了する。
【００８３】
ここで、図５を用いて、図４に示したステップＦ１（分析処理及びルール作成処理）の具体例について説明する。図５は、図４に示されたルール更新処理に含まれる分析処理及びルール作成処理を具体的に示すフロー図である。また、以下の説明では、コンピュータシステム１０において、表８に示すアラートが発生し、これがアラート蓄積部３３に記憶されていることを想定して説明する。
【００８４】
【表８】
0005435225.tif 000009
【００８５】
図５に示すように、先ず、蓄積アラート分析部５１は、アラート蓄積部３３からアラートを取り出し、取り出したアラートをタイプ別に分類する（ステップＩ１）。表９は、タイプ別に分類されたアラートを示している。次に、蓄積アラート分析部５１は、タイプ別に分類されたアラートを更に単語数に基づいて分類する（ステップＩ２）。表１０は、単語数に基づいて分類されたアラートを示している。
【００８６】
【表９】
0005435225.tif 000010
【００８７】
【表１０】
0005435225.tif 000011
【００８８】
続いて、蓄積アラート分析部５１は、メッセージの単語数が同一となるアラートの組み合わせ毎に、同一単語の個数と、同一単語が出現する確率（ヒット割合）とを算出する（ステップＩ３）。表１１は、ステップＩ３による算出結果を示している。なお、表１１では、単語数が２の場合の算出結果のみが示されている。
【００８９】
【表１１】
0005435225.tif 000012
【００９０】
次に、蓄積アラート分析部５１は、ヒット割合が上位の組み合わせを特定し、各組み合わせのメッセージにおいて、同一でない単語を「※」とし、得られたメッセージをルール候補とする（ステップＩ４）。表１２は、作成されたルール候補を示している。また、ステップＩ４では、蓄積アラート分析部５１は、ルール候補の形式を表４に準じた形式へと変換することもできる。
【００９１】
ステップＩ４の終了後、図４に示したステップＦ２が実行される。なお、蓄積アラート分析部５１による分析処理及びルール作成処理のアルゴリズムは、図４に示すアルゴリズムに限定されるものではない。本実施の形態では、他のアルゴリズムが用いられていても良い。
【００９２】
【表１２】
0005435225.tif 000013
【００９３】
また、本実施の形態におけるプログラムは、コンピュータに、ステップＡ１〜Ａ４、Ｂ１〜Ｂ３、Ｃ１、Ｄ１〜Ｄ５、Ｅ１〜Ｅ３、Ｆ１〜Ｆ２、Ｇ１〜Ｇ２、Ｉ１〜Ｉ４（図２〜図５参照）を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における運用管理装置１と運用管理方法とを実現することができる。この場合、コンピュータのＣＰＵ（Central ProcessingUnit）は、フィルタリング処理部２、処理部４、及び分析部５として機能し、処理を行なう。また、コンピュータに備えられたハードディスク等の記憶装置は、記憶部３として機能することができる。
【００９４】
更に、本実施の形態では、運用管理装置１において、フィルタリング処理部２、記憶部３、処理部４、及び分析部５は、それぞれ別のコンピュータによって実現されていても良い。この場合、各コンピュータは、ネットワークによって接続され、一つの運用管理装置１として機能することとなる。
【００９５】
また、この場合、各コンピュータには、対応する処理を実行するプログラムがインストールされることになる。例えば、フィルタリング処理部２として機能するコンピュータには、ステップＡ１〜Ａ４、及びステップＢ１〜Ｂ３を実行させるプログラムがインストールされる。また、処理部４として機能するコンピュータには、ステップＣ１、ステップＤ１〜Ｄ５、及びステップＥ１〜Ｅ３を実行させるプログラムがインストールされる。更に、分析部５として機能するコンピュータには、ステップＧ１〜Ｇ２、及びステップＩ１〜Ｉ４を実行させるプログラムがインストールされる。
【００９６】
以上のように、本実施の形態では、第２のフィルタリング部２２が動作する前に、第１のフィルタリング部２１が動作する。このため、第２のフィルタリング部２２でヒットしないアラートが大量に発生した場合、この大量のアラートは、第１のフィルタリング部２１によってフィルタリングされるので、第２のフィルタリング部２２のフィルタリング処理における負荷が高くなり過ぎないようにすることができる。
【００９７】
また、本実施の形態では、アラートの発生を契機として、ルール適合判定部４２は、アラートが複数のルールのいずれに適合するかを判定し、適合するルールに応じて、動的に、第１のフィルタ定義を更新することがきる。このため、本実施の形態によれば、アラートラッシュのような、突発的な変化にも対応でき、管理者の負担が軽減される。
【００９８】
更に、本実施の形態では、ルールに適合しないアラートが発生していた場合は、このアラートは蓄積され、分析の対象となる。つまり、分析部５によって、蓄積されているアラートの分析が行われ、これに対応する新たなルールが作成される。この結果、新たなルールに基づいて、フィルタ定義の追加が行われるので、ルールに適合しないアラートが発生しても、このアラートをフィルタリングによって抽出することが可能となる。また、アラートの分析及び新たなルールの作成は、運用管理装置１における余剰処理時間に行うことができ、運用管理装置１に余分な負荷がかかるのを抑制することができる。
【産業上の利用可能性】
【００９９】
本発明によれば、コンピュータシステムの運用管理において、アラートに応じてフィルタ定義を動的に更新でき、更に、管理者の負担を軽減できる。よって、本発明は、コンピュータシステム、特には大規模なコンピュータシステムの運用及び管理に有用である。
【符号の説明】
【０１００】
１  運用管理装置
２  フィルタリング処理部
３  記憶部
４  処理部
５  分析部
１０  コンピュータシステム
１１  アラート処理装置
２１  第１のフィルタリング部
２２  第２のフィルタリング部
３１  第１のフィルタ定義記憶部
３２  第２のフィルタ定義記憶部
３３  アラート蓄積部
３４  ルール記憶部
４１  アラート処理部
４２  ルール適合判定部
４３  フィルタ定義管理部
５１  蓄積アラート分析部
５２  ルールチェック部
【図１】
0005435225.tif 000014
【図２】
0005435225.tif 000015
【図３】
0005435225.tif 000016
【図４】
0005435225.tif 000017
【図５】
0005435225.tif 000018