(57)【要約】【課題】被監視機器で発生するインシデントへの自動化対応の可否、及び運用形態によるエスカレーション先の分岐を可能とする。【解決手段】イベント管理システム又は作業管理システムから取得されたインシデント情報に関して、事例ＤＢを検索して同様のインシデント情報が存在するかを確認する第１の判定手段と、第１の判定手段による判定の結果、事例ＤＢに同様の事例が存在する場合、インシデントに対する対策が自動化可能かを判断する第２の判定手段と、第２の判定手段による判定の結果、自動化が可能な場合、構成情報ＤＢを検索して、被監視対象の機器の構成情報を抽出する手段と、抽出手段によって得られた構成情報とインシデント情報を基に第２のインシデント情報を作成する手段とを有し、この作成手段によって作成された第２のインシデント情報を基に、運用自動化システムにおいて被監視対象の機器に対する対策を自動的に行う。【選択図】図１
2014032598.tif 000002
【特許請求の範囲】
【請求項１】
被監視対象からイベント情報を収集するイベント管理システム及び被監視対象に対して施される作業を管理する作業管理システムからインシデント情報を受け取り、被監視対象に対する対策を提示することができるインシデント管理システムであって、
収集されたインシデント情報と、該インシデントに対する対策に関する情報と、該対策が自動化可能かを示す情報とを関連付けて登録する事例ＤＢと、
被監視対象の機器の構成情報を登録する構成情報ＤＢと、
該イベント管理システム又は該作業管理システムから取得されたインシデント情報に関して、該事例ＤＢを検索して同様のインシデント情報が存在するかを確認する第１の判定手段と、
該第１の判定手段による判定の結果、該事例ＤＢに同様の事例が存在する場合、該インシデントに対する対策が自動化可能かを判断する第２の判定手段と、
該第２の判定手段による判定の結果、自動化が可能な場合、該構成情報ＤＢを検索して、被監視対象の機器の構成情報を抽出する手段と、
該抽出手段によって得られた構成情報と該インシデント情報を基に第２のインシデント情報を作成する手段と、
該作成手段によって作成された該第２のインシデント情報を基に、被監視対象の機器に対する対策を自動的に行う運用自動化システムと
を有することを特徴とするインシデント管理システム。
【請求項２】
前記インシデント管理システムに接続される、運用者によって操作される運用端末と、
前記第２の判定手段による判定の結果、自動化が不可能な場合、エスカレーション先を該運用端末によるものと決めて、
前記抽出手段によって、該構成情報ＤＢを検索して被監視対象の機器の構成情報を抽出し、
該抽出された構成情報と該インシデント情報を基に第３のインシデント情報を作成する手段を有し、
該作成手段によって作成された該第３のインシデント情報を、前記運用端末へ転送することを特徴とする請求項１のインシデント管理システム。
【請求項３】
更に、インシデント情報を格納するインシデント管理ＤＢを有し、
前記作成手段によって作成された該第２のインシデント情報又は該第３のインシデント情報を、該インシデント管理ＤＢに格納する、
ことを特徴とする請求項１又は２のインシデント管理システム。
【請求項４】
前記運用自動化システムは、該インシデントに対する対応や作業指令を定型的に記載した、複数の運用テンプレートを格納する運用テンプレート管理ＤＢを有し、
前記インシデント管理システムから受け取ったインシデント情報を基に、該運用テンプレート管理ＤＢを検索して、該インシデントに対する対応として最適なテンプレートを選択して、該テンプレートの内容を自動的に実行する、
ことを特徴とする請求項１乃至３のいずれかの項のインシデント管理システム。
【請求項５】
被監視対象からイベント情報を収集するイベント管理システム及び被監視対象に対して施される作業を管理する作業管理システムからインシデント情報を受け取り、被監視対象に対する対策を提示することができるインシデント管理方法であって、
収集されたインシデント情報と、該インシデントに対する対策に関する情報と、該対策が自動化可能かを示す情報とを関連付けて事例ＤＢに登録するステップと、
被監視対象の機器の構成情報を構成情報ＤＢに登録するステップと、
該イベント管理システム又は該作業管理システムから取得されたインシデント情報に関して、該事例ＤＢを検索して同様のインシデント情報が存在するかを確認する第１の判定ステップと、
該第１の判定による判定の結果、該事例ＤＢに同様の事例が存在する場合、該インシデントに対する対策が自動化可能かを判断する第２の判定ステップと、
該第２の判定による判定の結果、自動化が可能な場合、該構成情報ＤＢを検索して、被監視対象の機器の構成情報を抽出するステップと、
該抽出によって得られた構成情報と該インシデント情報を基に第２のインシデント情報を作成するステップと、
該作成手段によって作成された該第２のインシデント情報を基に、運用自動化システムにおいて被監視対象の機器に対する対策を自動的に行うステップと
を有することを特徴とするインシデント管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インシデント管理システム及びその方法に係り、インシデントの検知、収集、対策に係る一連のワークフローを自動的に提供するインシデント管理に関するものである。
【背景技術】
【０００２】
遠隔地にあるデータセンタ等で使用されるサーバやネットワーク機器等で発生するインシデントを、ネットワークを介してコンピュータで収集して監視し管理する業務管理システムが実用化されている。業務管理システムにおけるインシデントの管理業務では、ＳＥ（システムエンジニア）等の運用管理者が、コンピュータに接続された運用端末を操作して、被監視機器から日々発生するインシデントに対し、業務への影響を最小限に抑える事を目的として、関係者への連絡や一次対応を行っている。運用管理者が実施する一次対応は、サービス復旧を目的として、様々なコマンドを用いて実施されるケースが多く、この一次対応を迅速かつ正確に実施し、サービス復旧までの時間を短くすることが重要である。
【０００３】
最近では、インシデントが発生した際に、予め定義したある対応策を基にシステムが自動で実行し、実行結果を確認するシステムが提案されている。例えば、特許文献１には、受付管理システムがインシデント毎にインシデント状態を管理するとともに、ナレッジシステムがエラーコード毎に対応手順を管理し、統合支援システムがインシデント状態と対応手順に基づいてリモート操作システムに監視対象サーバに対して遠隔保守操作させる運用管理システムが記載されている。これにより、数百台規模の多数のコンピュータを監視し障害が発生したコンピュータに対して遠隔操作にて自動的に保守作業を行い、その保守作業の結果まで管理することを可能となる、としている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−２２４８２９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
然るに、被監視機器で発生するインシデントに対する対応策として、実際には全てが完全に自動化できるとは限らず、中には手作業による対応が必要なものが存在する。また、完全に自動化すると、運用管理者にとっては、システムが何を実施しようとしているのか或いは何を実施しているのか、見えなくなるという事態も生じる。
【０００６】
本発明の目的は、被監視機器で発生するインシデントへの自動化対応の可否、及び運用形態によるエスカレーション先の分岐を可能とすることにある。
本発明はまた、自動実行されたインシデントの対策状況を可視化することにある。
【課題を解決するための手段】
【０００７】
本発明に係るインシデント管理システムは、好ましくは、被監視対象からイベント情報を収集するイベント管理システム及び被監視対象に対して施される作業を管理する作業管理システムからインシデント情報を受け取り、被監視対象に対する対策を提示することができるインシデント管理システムであって、
収集されたインシデント情報と、該インシデントに対する対策に関する情報と、該対策が自動化可能かを示す情報とを関連付けて登録する事例ＤＢと、
被監視対象の機器の構成情報を登録する構成情報ＤＢと、
該イベント管理システム又は該作業管理システムから取得されたインシデント情報に関して、該事例ＤＢを検索して同様のインシデント情報が存在するかを確認する第１の判定手段と、
該第１の判定手段による判定の結果、該事例ＤＢに同様の事例が存在する場合、該インシデントに対する対策が自動化可能かを判断する第２の判定手段と、
該第２の判定手段による判定の結果、自動化が可能な場合、該構成情報ＤＢを検索して、被監視対象の機器の構成情報を抽出する手段と、
該抽出手段によって得られた構成情報と該インシデント情報を基に第２のインシデント情報を作成する手段と、
該作成手段によって作成された該第２のインシデント情報を基に、被監視対象の機器に対する対策を自動的に行う運用自動化システムを有することを特徴とするインシデント管理システムとして構成される。
【０００８】
好ましい例では、前記インシデント管理システムに接続される、運用者によって操作される運用端末と、
前記第２の判定手段による判定の結果、自動化が不可能な場合、エスカレーション先を該運用端末によるものと決めて、
前記抽出手段によって、該構成情報ＤＢを検索して被監視対象の機器の構成情報を抽出し、
該抽出された構成情報と該インシデント情報を基に第３のインシデント情報を作成する手段を有し、
該作成手段によって作成された該第３のインシデント情報を、前記運用端末へ転送することを特徴とする上記インシデント管理システムとして構成される。
【０００９】
また好ましくは、更に、インシデント情報を格納するインシデント管理ＤＢを有し、
前記作成手段によって作成された該第２のインシデント情報又は該第３のインシデント情報を、該インシデント管理ＤＢに格納することを特徴とする上記インシデント管理システムとして構成される。
【００１０】
また好ましくは、前記運用自動化システムは、該インシデントに対する対応や作業指令を定型的に記載した、複数の運用テンプレートを格納する運用テンプレート管理ＤＢを有し、
前記インシデント管理システムから受け取ったインシデント情報を基に、該運用テンプレート管理ＤＢを検索して、該インシデントに対する対応として最適なテンプレートを選択して、該テンプレートの内容を自動的に実行する、ことを特徴とする上記インシデント管理システムとして構成される。
【００１１】
本発明に係るインシデント管理方法は、好ましくは、被監視対象からイベント情報を収集するイベント管理システム及び被監視対象に対して施される作業を管理する作業管理システムからインシデント情報を受け取り、被監視対象に対する対策を提示することができるインシデント管理方法であって、
収集されたインシデント情報と、該インシデントに対する対策に関する情報と、該対策が自動化可能かを示す情報とを関連付けて事例ＤＢに登録するステップと、
被監視対象の機器の構成情報を構成情報ＤＢに登録するステップと、
該イベント管理システム又は該作業管理システムから取得されたインシデント情報に関して、該事例ＤＢを検索して同様のインシデント情報が存在するかを確認する第１の判定ステップと、
該第１の判定による判定の結果、該事例ＤＢに同様の事例が存在する場合、該インシデントに対する対策が自動化可能かを判断する第２の判定ステップと、
該第２の判定による判定の結果、自動化が可能な場合、該構成情報ＤＢを検索して、被監視対象の機器の構成情報を抽出するステップと、
該抽出によって得られた構成情報と該インシデント情報を基に第２のインシデント情報を作成するステップと、
該作成手段によって作成された該第２のインシデント情報を基に、運用自動化システムにおいて被監視対象の機器に対する対策を自動的に行うステップを有することを特徴とするインシデント管理方法として構成される。
【発明の効果】
【００１２】
本発明によれば、発生したインシデントの自動化対応の可否を実現でき、運用形態によるエスカレーション先の分岐をすることが可能となる。また、自動実行されたインデント対策状況を可視化するができる。これにより、運用の効率化による運用管理者の作業時間を逓減することができる。
【図面の簡単な説明】
【００１３】
【図１】一実施例における業務管理システムの全体構成例を示す図。
【図２】一実施例におけるエスカレーション先分岐表の例を示す図。
【図３】一実施例における事例ＤＢの構成例を示す図。
【図４】一実施例における構成情報ＤＢの構成例を示す図。
【図５】一実施例におけるインシデントのエスカレーション先を判定する動作のフローチャート。
【図６】一実施例における運用状況を表示する画面の例を示す図。
【図７】一実施例におけるコマンドテンプレートの例を示す図。
【図８】一実施例におけるインシデントの例を示す図。
【図９】一実施例における事例ＤＢに格納されるインシデント情報の例を示す図。
【図１０】一実施例において作成されるインシデント情報の例を示す図。
【発明を実施するための形態】
【００１４】
以下発明の一実施形態を、図面により詳細に設計する。
図１は、業務管理システムの全体構成を示す。
業務管理システムは、イベント管理システム１１、作業管理システム１２、インシデント管理システム１３、運用自動化システム１４、及び事例データベース（ＤＢ）１５、インシデント管理ＤＢ、構成情報ＤＢ１７を含んで構成される。また運用自動化システム１４はテンプレート管理ＤＢ１８を有する。この業務管理システムは、１台のサーバでそれぞれのシステム１１〜１４の機能を実現するアプリケーションプログラムを実行することで実現することができるが、複数台のサーバでそれぞれのアプリケーションプログラムを実行することで各システムを実現してもよい。
【００１５】
イベント管理システム１１は、ネットワークを通して被監視機器に接続され、被監視機器から収集されるSNMPトラップやシステムログ等の監視情報を含むイベントを収集して管理し、必要なインシデント（図８参照）をインシデント管理システム３へ転送する。
作業管理システム１２は、ネットワークを通して運用ＳＥが使用する運用端末に接続され、作業工程表の生成及び作業進捗の管理を行うと共に運用端末へ作業開始終了の通知等を行う。更に、作業内容をインシデントとして、インシデント管理システム３へ転送する。
【００１６】
インシデント管理システム１３は、イベント管理システム１１から転送されたインシデントや、作業管理システム１２から転送された作業内容を示すインシデントを受け取り、インシデントの対応が完了するまで、そのインシデントを一元管理する。受け取ったインシデントは、事例ＤＢ１５を参照して、ワークアラウンドの有無、自動化対応の可否を条件にインシデントに分類される。また、構成情報ＤＢ１７（図４参照）の機器の情報と紐づけてインシデント管理ＤＢ１６（図１０参照）に登録される。また、インシデント管理ＤＢ１６に登録する際にエスカレーション先分岐表６０（図６参照）して、ワークアラウンドごとにエスカレーション分岐先を判断する。例えば、エスカレーション先分岐表６０の＃２、３に該当するインシデントは運用ＳＥ（運用ＳＥが使用する運用端末）へエスカレーションし、＃１に該当するインシデントは運用自動化システム４へエスカレーションする。
【００１７】
なお、図示していないが、インシデント管理システム１３は、表示機能及び入力機能を持つＧＵＩを備えている。ＧＵＩの画面には、運用自動化システム１４での実行状況や運用ＳＥが使用する運用端末の作業の実行状況が表示される。管理者は画面の内容を閲覧可能である
運用自動化システム１４は、あらかじめ複数の運用テンプレートを格納した運用テンプレート管理ＤＢ１８を有する。運用テンプレートはインシデントに対する対応や作業指令を定型的に記載した指示書又は指令であり、この内容は自動的に実行される（図７参照）。インシデント管理システム１３から受け取ったインシデントを基に、運用テンプレート管理ＤＢ１８を検索して、発生したインシデントに対する対応として最適なテンプレートを選択して、そのテンプレートの内容を実行する。その実行後に、現在の状況、予定、結果をインシデント管理３に通知する。
【００１８】
図７は、運用テンプレートの例を示す。
この運用テンプレートは、実際に発行するコマンドのひな形を示す「コマンド」列、可変情報を変換する条件を示す可変情報変換条件、可変情報、発行条件、成功判定の項目を有する。
可変情報とは、可変となる監視対象の機器を識別する。可変情報変換条件は、可変情報の変換条件を示す。発行条件は、コマンドを複数発行する場合に有効となる発行条件を定義する。発行条件には、ハードウエアやソフトウエアの条件を定義することができ、この情報をもとに、構成情報ＤＢ１７から発行する対象のホストや通信機器を特定する。成功判定は、コマンド実行の成否を示す。
【００１９】
図２は、エスカレーション先分岐表の例を示す。
エスカレーション先分岐表２０は、監視したインシデントの対応としてエスカレーション先が自動か、又は運用ＳＥ（システムエンジニア）等を含む運用管理者かを示す定義表であり、インシデント管理システムの記憶部に保持される。
エスカレーション分岐先表は、被監視機器で発生するインシデントであるワークアラウンドの有無のフラグ、そのワークアラウンドへの対応が自動化されているか否かを示す自動化可否フラグ、及び対応をとるエスカレーション先を示す項目、から構成される。エスカレーション先は、運用自動化システム１４又は運用ＳＥが記録される。
【００２０】
図３は、事例データベースの構成例を示す。
（Ａ）のCase Table（ケーステーブル）３１は、事例（Case）を管理するテーブルであり、事例を識別するケースＩＤ（case ID），事例を表すメッセージパターン (msg pattern)、事例の原因及び対策を含む事例の内容を表すcase content IDの項目から構成される。このcase content IDによって、Content Table３４に関連付けられる。
【００２１】
（Ｂ）のMsg Pattern Table（メッセージパターンテーブル）３２は、事例の判定条件を管理するテーブルであり、メッセージパターン(msg pattern)、事例の判定条件を特定するmsg rule IDの項目から構成される。メッセージパターン(msg pattern)によってCase Table（ケーステーブル）３１と関連付けられる。
【００２２】
（Ｃ）のRule Table（ルールテーブル）３３は、受け取ったメッセージとの合致を判定するための条件を定義するテーブルであり、msg rule IDに対応して、監視対象の機器のアドレス（source info）と、メッセージ（インシデントが含まれる）の項目から構成される。msg rule IDによって、Msg Pattern Table（メッセージパターンテーブル）３２と関連付けられる。
【００２３】
（Ｄ）のContent Table（コンテンツテーブル）３４は、原因や対策を管理するテーブルであり、case content IDに対応して、事例の原因を特定するoccasion info id、対策を特定するmeasure ID、対策の自動化が可能か否かを表すautomationの項目から構成される。自動化可能な場合には、automationの項目に「TRUE」が登録され、自動化不可能な場合には、automationの項目に「FALSE」が登録される。
【００２４】
（Ｅ）のMeasure Table（対策テーブル）３５は、対策内容を管理するテーブルであり、measure IDに対応して、対策（measure）、及びworkaroundの項目から構成される。measure IDによってContent Table（コンテンツテーブル）３４と関連付けられる。
【００２５】
なお、図示していないが、事例の原因を登録した原因テーブル、及び対策の内容を登録した対策テーブルは別に用意されており、Content Table（コンテンツテーブル）３４のoccasion info ID及びmeasure IDによって、原因テーブル及び対策テーブルのそれぞれの内容に関連付けられる。
【００２６】
図４は、構成情報データベースの構成例を示す。
構成情報ＤＢは、被監視機器に関する構成情報を登録するものであり、サーバや通信機器の種別を表す区分、ホスト名、そのＩＰアドレス、各サーバや通信機器をグルーピングするためのエイリアス名、ハードウエアのベンダ名や機種名を格納したハードウエア情報、インストールされたソフトウエア、等の情報を登録する。
【００２７】
図１０は、インシデント情報の構成例を示す。
このインシデント情報は、構成情報を基に作成されるものであって、インシデント情報ＤＢ１６に格納されるものである。このインシデント情報は、発生日時、発生元の機器のＩＰアドレス、メッセージ、区分、機器名、エイリアス名、ハードウエア、ソフトウエア、事例ＩＤ、対策、及び自動化（TRUE又はFALSE）を示す情報から構成される。（Ａ）が自動化の場合、（Ｂ）が運用ＳＥによる場合を示す。
【００２８】
次に、図５を参照して、インシデントのエスカレーション先を判定する処理動作について説明する。
イベント管理システム１１及び作業管理システム１２で発生したインシデントは、インシデント管理システムへ転送される(Ｓ５００)。例えば、イベント管理システム１１で発生するインシデントは、図８に示すようなものである。
【００２９】
インシデント管理システムは、その転送されたインシデントを受け取ると、事例ＤＢ１５から事例を取得する（Ｓ５１１）。事例ＤＢ５に登録されたRule Table３３を参照して、事例が存在するか否か確認する（Ｓ５１５）。確認の結果、合致する事例が存在する場合、図９に示すような、インシデント情報を取得する。このインシデント情報はインシデントと事例ＤＢ内のインシデント情報とを対応付けたものであり、これは、発生日時、発生元、メッセージ、事例ごとに付与される事例ＩＤ、対策、自動化可能かを示す情報を含んでいる。
【００３０】
そして次に、事例ＤＢ１５のContents Table３４を参照して、対策の自動化対応可能かを確認する（Ｓ５１３）。確認の結果、対策の自動化が可能な場合、構成情報ＤＢ１７を検索して被監視機器の構成情報を抽出し、その構成情報と先ほど取得したインシデント情報を対応付けて（Ｓ５１４）、図１０（Ａ）に示すような、インシデント情報（自動化「TRUE」を含む）を作成する（Ｓ５１５）。その作成したインシデント情報をインシデント管理ＤＢ１６に登録する。その後、運用自動化システム４へエスカレーションする（Ｓ５１６）。
【００３１】
一方、上記の確認判断Ｓ５１２で事例が存在しない場合又は対策の自動化判断Ｓ５１３で自動化が不可の場合には、構成情報ＤＢ１７を検索して被監視機器の構成情報を抽出し、その構成情報とインシデント情報を対応付けて（Ｓ５２４）、図１０（Ｂ）に示すような、インシデント情報（自動化「FALSE」を含む）を作成する（Ｓ５１５）。その作成したインシデント情報をインシデント管理ＤＢ１６に登録する。
その後、作成されたインシデント情報を運用ＳＥが操作する運用端末へ転送して、運用ＳＥによる対策へとインシデントがエスカレーションする（Ｓ５２６）。運用ＳＥは運用端末に表示されたインシデント情報を参照して、インシデントに対する対策を行うことになる。
【００３２】
図６は、運用自動化システムで実行される運用の状況を表示する画面の例である。
運用自動化システム１４にエスカレーションされ、運用自動化システムに登録された時点でインシデント管理システム１３における管理端末で、運用状況の一覧が閲覧可能になる。運用状況の一覧において、運用項目６１には実施する作業が表示される。ステータス６２には、作業状況が表示される。結果６３には、作業が正常に終了したか失敗したかが表示される。開始日時６４、終了日時６５には、それぞれの作業の開始、終了日時が表示される。詳細のボタン６を押下することにより、具体的な作業内容が別画面に表示され、管理者はそれを確認することができる。
【符号の説明】
【００３３】
１１：イベント管理システム  １２：作業管理システム  １３：インシデント管理システム
１４：運用自動化システム    １５：事例ＤＢ          １６：インシデント管理ＤＢ
１７：構成情報ＤＢ            １８：運用テンプレート管理ＤＢ
２０：エスカレーション先分岐表  ３１：Case Table    ３２：Msg Pattern Table
３３：Rule Table              ３４：Contents Table    ３５：Measure Table
【図１】
2014032598.tif 000003
【図２】
2014032598.tif 000004
【図３】
2014032598.tif 000005
【図４】
2014032598.tif 000006
【図５】
2014032598.tif 000007
【図６】
2014032598.tif 000008
【図７】
2014032598.tif 000009
【図８】
2014032598.tif 000010
【図９】
2014032598.tif 000011
【図１０】
2014032598.tif 000012