(57)【要約】【課題】個々のイベントの相関関係を考慮してインシデントを出力する。【解決手段】監視装置１は、コリレーションルール識別子に、監視対象となるイベントのイベント識別子と、イベント識別子に関連づけられたフィルタリングルールと、複数のイベント識別子の関連を示すコリレーションルールとが関連づけられ、インシデントを出力する条件となるルール定義データ２１と、監視対象装置群４からイベントを取得するイベント取得手段１２と、イベント取得手段１２によって取得されたイベントを解析し、解析されたイベントがフィルタリングルールに合致する場合、コリレーションルールに合致するか否かを判定し、コリレーションルールに合致しない場合は状態を保存するイベント処理手段１３と、イベント処理手段１３においてコリレーションルールに合致する場合、インシデントを出力するインシデント出力手段１４を備える。  【選択図】      図１
2006338305.tif 000002
【特許請求の範囲】
【請求項１】
監視対象装置から出力されるイベントを監視し、インシデントを出力する監視装置において、
コリレーションルール識別子に、監視対象となるイベントのイベント識別子と前記イベント識別子に関連づけられたフィルタリングルールと複数の前記イベント識別子の関連を示すコリレーションルールとが関連づけられた前記インシデントを出力する条件となるルール定義データを記憶装置に記憶するルール定義データ記憶手段と、
前記監視対象装置から前記イベントを取得するイベント取得手段と、
前記記憶された前記ルール定義データを参照して前記イベント取得手段によって取得されたイベントを解析し、解析された前記イベントが前記フィルタリングルールに合致する場合、前記コリレーションルールに合致するか否かを判定し、前記コリレーションルールに合致しない場合は状態を保存するイベント処理手段と、
前記イベント処理手段において前記コリレーションルールに合致する場合、前記インシデントを出力するインシデント出力手段
を備えることを特徴とする監視装置。
【請求項２】
前記フィルタリングルールとして変数を持ち、
前記イベント処理手段は、前記フィルタリングルールの変数に該当する数値毎に、前記コリレーションルールに合致するか否かを判定し、状態を保存する
ことを特徴とする請求項１に記載の監視装置。
【請求項３】
前記イベント処理手段は、解析された前記イベントが前記フィルタリングルールに合致する場合、前記保存された状態データを参照して前記コリレーションルールに合致する可否かを判定し、前記コリレーションルールに合致しない場合は前記コリレーションルールの合致状態を前記状態データとして保存する
ことを特徴とする請求項１又は２に記載の監視装置。
【請求項４】
前記コリレーションルールとして、回数又は時間を持ち、
前記イベント処理手段は更に、前記回数又は時間を考慮して前記コリレーションルールが合致するか否かを判定する
ことを特徴とする請求項１乃至３のいずれか１項に記載の監視装置。
【請求項５】
前記ルール定義データ記憶手段は更に、前記コリレーションルール識別子に、前記コリレーションルールが合致した場合のアクションが関連づけられた前記ルール定義データを前記記憶装置に記憶し、
前記イベント処理手段が前記コリレーションルールに合致すると判定した場合、前記ルール定義データに基づいて、前記アクションの実行を制御する実行アクション制御手段
を更に備えることを特徴とする請求項１乃至４のいずれか１項に記載の監視装置。
【請求項６】
監視対象装置から出力されるイベントを監視し、インシデントを出力する監視プログラムにおいて、
コリレーションルール識別子に、監視対象となるイベントのイベント識別子と前記イベント識別子に関連づけられたフィルタリングルールと複数の前記イベント識別子の関連を示すコリレーションルールとが関連づけられた前記インシデントを出力する条件となるルール定義データを記憶装置に記憶するルール定義データ記憶手段と、
前記監視対象装置から前記イベントを取得するイベント取得手段と、
前記ルール定義データを参照して、前記イベント取得手段によって取得されたイベントを解析し、解析された前記イベントが前記フィルタリングルールに合致する場合、前記コリレーションルールに合致するか否かを判定し、前記コリレーションルールに合致しない場合は状態を保存するイベント処理手段と、
前記イベント処理手段において前記コリレーションルールに合致する場合、前記インシデントを出力するインシデント出力手段
とをコンピュータに実行させることを特徴とする監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視対象装置から出力されるイベントを監視し、インシデントを出力する監視装置及び監視プログラムに関する。
【背景技術】
【０００２】
近年、コンピュータ、通信制御装置などの情報機器発達により、企業活動において、それら情報機器が活用されている。これらの情報機器は、経年変化や環境変化などの様々な要因で、故障や障害のアクシデントが発生する場合がある。アクシデントが発生した場合、情報機器は障害の情報を、エラーメッセージやシステムログなどの形式で出力する。従って、情報機器の管理者は、エラーメッセージやシステムログを監視することにより、情報機器の故障や障害などのアクシデントを把握することができる。
【０００３】
従来、情報機器から出力されたエラーメッセージやシステムログを収集して情報機器の故障や障害を監視する監視装置がある。この監視装置は、監視対象要素から発生する単一のイベント（エラーメッセージやシステムログなど）を抽出して監視対象要素の故障や障害などを監視している。
【０００４】
又、ログデータを分析し、相関させるオートノミック・コンピューティング・ログ・トレース・アナライザーがある（非特許文献１の第１５頁第１段落参照）。この非特許文献１に記載の技術では、共通フォーマット、ログを読み込み、時間ベース、フィールド・ベース（ＵＲＬなど）といった様々な基準に基づいてログを相関させ、関連づけられたログ・レコードを表示することを可能にしている。
【非特許文献１】http://www-6.ibm.com/jp/autonomic/pdf/acwp_apd_j.pdf
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、このような従来の技術では、充分なインシデント（通知の必要がある監視対象装置で発生したあらゆる事象）を抽出することは困難である。
【０００６】
例えば、上記監視装置では、単一イベントを監視の対象としている。従って個々の些細なイベントに対してそれぞれインシデントを出力する場合、膨大な量になってしまい充分な障害対策などの処理がなされないおそれがあり、一方インシデントを出力しない場合、監視対象装置が障害対策などの処理対象から完全に外されてしまうので故障や障害の予兆を把握することはできない。
【０００７】
又、非特許文献１に記載の技術では、時間及びフィールドが一致するイベントを関連するものとして抽出しているので、定常的に装置を利用して発生する経年変化などを把握することは困難である。
【０００８】
従って本発明の目的は、個々のイベントの相関関係を考慮してインシデントを出力する監視装置及び監視プログラムを提供することである。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明の第１の特徴は、監視対象装置から出力されるイベントを監視し、インシデントを出力する監視装置に関する。即ち本発明の第１の特徴に係る監視装置は、コリレーションルール識別子に、監視対象となるイベントのイベント識別子とイベント識別子に関連づけられたフィルタリングルールと複数のイベント識別子の関連を示すコリレーションルールとが関連づけられたインシデントを出力する条件となるルール定義データを記憶装置に記憶するルール定義データ記憶手段と、監視対象装置からイベントを取得するイベント取得手段と、前記記憶された前記ルール定義データを参照してイベント取得手段によって取得されたイベントを解析し、解析された前記イベントがフィルタリングルールに合致する場合、コリレーションルールに合致するか否かを判定し、コリレーションルールに合致しない場合は状態を保存するイベント処理手段と、イベント処理手段においてコリレーションルールに合致する場合、インシデントを出力するインシデント出力手段を備える。
【００１０】
この様な本発明によれば、フィルタリングルールの組み合わせである複数イベントの相関関係を、演算子などで指定されたコリレーションルールを用いて、複数装置から出力される複数イベントを対象とした複雑なルール定義を利用して、インシデントを出力することができる。
【００１１】
ここで、フィルタリングルールとして変数を持ち、イベント処理手段は、フィルタリングルールの変数に該当する数値毎に、前記コリレーションルールに合致するか否かを判定し、状態を保存することが好ましい。
【００１２】
この様な本発明によれば、変数を利用することにより、同一のフィルタリングルール及びコリレーションルールであっても、変数毎に状態を保存するので、変数毎にフィルタリングルール及びコリレーションルールのマッチングを判定しインシデントを出力することができる。具体的には、ディスク番号などを変数として表現されたルールの場合、ディスク番号毎に別のインシデントとして出力することができる。
【００１３】
ここで、イベント処理手段は、解析されたイベントがフィルタリングルールに合致する場合、前記保存された状態データを参照してコリレーションルールに合致する可否かを判定し、コリレーションルールに合致しない場合はコリレーションルールの合致状態を状態データとして保存することが好ましい。
【００１４】
この様な本発明によれば、ルールのマッチング状況を、各コリレーションルール及び変数毎に状態データとして記憶するので、監視装置がリブートされてもリブート前に受信したイベントに関する状態を保持したまま、イベントを継続して監視することができる。これにより、マシン状態に依存せずに、監視対象装置を監視することができる。
【００１５】
ここで、コリレーションルールとして、回数又は時間を持ち、イベント処理手段は更に、回数又は時間を考慮してコリレーションルールが合致するか否かを判定することが好ましい。
【００１６】
この様な本発明によれば、指定された条件の回数又は時間にマッチする複数のイベントを抽出することができるので、指定された条件の回数又は時間に適合しないイベントを排除して、余分なインシデントの発生を防ぐことができる。更に、同じ条件の回数間又は時間で発生した同一のイベントを排除して、インシデントの出力の重複を防ぐことができる。
【００１７】
ここで、ルール定義データ記憶手段は更に、コリレーションルール識別子に、コリレーションルールが合致した場合のアクションが関連づけられたルール定義データを記憶装置に記憶し、イベント処理手段がコリレーションルールに合致すると判定した場合、記憶装置からルール定義データに基づいて、アクションの実行を制御する実行アクション制御手段を更に備えることが好ましい。
【００１８】
この様な本発明によれば、インシデントが出力された後に処理すべきことを予め設定し実行させることができる。
【００１９】
本発明の第２の特徴は、監視対象装置から出力されるイベントを監視し、インシデントを出力する監視プログラムに関する。即ち、本発明の第２の特徴に係る監視プログラムは、コリレーションルール識別子に、監視対象となるイベントのイベント識別子とイベント識別子に関連づけられたフィルタリングルールと複数のイベント識別子の関連を示すコリレーションルールとが関連づけらたインシデントを出力する条件となるルール定義データを記憶装置に記憶するルール定義データ記憶手段と、監視対象装置からイベントを取得するイベント取得手段と、ルール定義データを参照して、イベント取得手段によって取得されたイベントを解析し、解析されたイベントがフィルタリングルールに合致する場合、コリレーションルールに合致するか否かを判定し、コリレーションルールに合致しない場合は状態を保存するイベント処理手段と、イベント処理手段においてコリレーションルールに合致する場合、インシデントを出力するインシデント出力手段とをコンピュータに実行させる。
【発明の効果】
【００２０】
本発明によれば、個々のイベントの相関関係を考慮してインシデントを出力する監視装置及び監視プログラムを提供することができる。
【発明を実施するための最良の形態】
【００２１】
次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。
【００２２】
（最良の実施の形態）
（監視システム）
本発明の最良の実施の形態に係る監視システム１０は、監視対象装置群４から出力されるイベントを監視し、インシデントを出力する監視装置１と、監視装置１から情報を収集する管理システム３と、監視装置１の監視対象の装置である監視対象装置群４を備えている。監視装置１と管理システム３は、インターネットなどの通信ネットワーク２ａによって接続され、監視装置１と監視対象装置群４は、社内ＬＡＮなどの通信ネットワーク２ｂによって接続される。ここでは、通信ネットワーク２ａと通信ネットワーク２ｂとは異なるネットワークとして記載しているが、同一の通信ネットワークであっても良い。ここで、監視装置１が出力するインシデントは、障害に至ることなく自己修正できるような、小さなエラーに基づいて推測され、適切な処理が行われないと事故となる可能性がある事象もしくは管理システム３に通知する必要がある監視対象装置４１ａ、４１ｂ、４１ｃ上で発生したあらゆる事象である。
【００２３】
管理システム３は、保守ナレッジデータ３１と運用ルールデータ３２を備える。管理システム３は、監視装置１から入力されるインシデントの情報に基づいて、監視対象装置群４の状況を把握し、保守ナレッジデータ３１を参照して、監視対象装置群４の管理者などに対応策などを通知する。
【００２４】
監視対象装置群４は、本発明の最良の実施の形態に係る監視装置１が監視し、その結果を管理システム３に通知する装置の集合である。この監視対象装置群４は、コンピュータ、通信制御装置、製造装置などのあらゆる監視対象装置４１ａ、４１ｂ、４１ｃが含まれる。監視対象装置４１ａ、４１ｂ、４１ｃは、装置に限らず、コンピュータ上で動作するプログラム、アプリケーション、ミドルウェアなども含まれても良い。各監視対象装置４１ａ、４１ｂ、４１ｃは、それぞれエージェント４２ａ、４２ｂ、４２ｃを備えている。
【００２５】
エージェント４２ａは、監視対象装置４１ａが出力するイベントを通信ネットワーク２ｂを介して監視装置１に送信する。ここで、監視対象装置４１ａが出力するイベントは、オペレーションシステムのシステムログやイベントログ、ミドルウェアやアプリケーションのログ、ネットワークやバスを流れるメッセージやパケット、ＳＮＭＰイベント、ＣＢＥイベント、メール、ニュース、システム内の通知イベントであるＣＩＭイベントなど、様々な形態が含まれる。又、エージェント４２ａに対して設定することにより、所定のイベントや時間のみ抽出するように設定することも可能である。
【００２６】
ここでは、監視対象装置４１ａ及びエージェント４２ａについて説明したが、監視対象装置４１ｂ及びエージェント４２ｂ、監視対象装置４１ｃ及びエージェント４２ｃについても同様である。
【００２７】
（監視装置）
図２に示すように、本発明の最良の実施の形態に係る監視装置１は、中央処理制御装置１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ（Random Access Memory）１０３及び入出力インタフェース１０９が、バス１１０を介して接続されている。入出力インタフェース１０９には、入力装置１０４、表示装置１０５、通信制御装置１０６、記憶装置１０７及びリムーバブルディスク１０８が接続されている。
【００２８】
中央処理制御装置１０１は、入力装置１０４からの入力信号に基づいてＲＯＭ１０２から監視装置１を起動するためのブートプログラムを読み出して実行し、更に記憶装置１０７に記憶されたオペレーティングシステムを読み出す。更に中央処理制御装置１０１は、入力装置１０４や通信制御装置１０６などの入力信号に基づいて、各種装置の制御を行ったり、ＲＡＭ１０３や記憶装置１０７などに記憶されたプログラム及びデータを読み出したりしてＲＡＭ１０３にロードするとともに、ＲＡＭ１０３から読み出されたプログラムのコマンドに基づいて、データの計算又は加工など、後述する一連の処理を実現する処理装置である。
【００２９】
入力装置１０４は、操作者が各種の操作を入力するキーボード、マウスなどの入力デバイスにより構成されており、操作者の操作に基づいて入力信号を作成し、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送信される。表示装置１０５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイなどであり、中央処理制御装置１０１からバス１１０及び入出力インタフェース１０９を介して表示装置１０５において表示させる出力信号を受信し、例えば中央処理制御装置１０１の処理結果などを表示する装置である。通信制御装置１０６は、ＬＡＮカードやモデムなどの装置であり、監視装置１をインターネットやＬＡＮなどの通信ネットワークに接続する装置である。通信制御装置１０６を介して通信ネットワークと送受信したデータは入力信号又は出力信号として、入出力インタフェース及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００３０】
記憶装置１０７は半導体記憶装置や磁気ディスク装置であって、中央処理制御装置１０１で実行されるプログラムやデータが記憶されている。リムーバブルディスク１０８は、光ディスクやフレキシブルディスクのことであり、ディスクドライブによって読み書きされた信号は、入出力インタフェース１０９及びバス１１０を介して中央処理制御装置１０１に送受信される。
【００３１】
本発明の最良の実施の形態に係る監視装置１の記憶装置１０７には、監視プログラムが記憶されるとともに、図１に示すように、ルール定義データ２１、パラメータ定義データ２２、状態データ２３、ログデータ２４が記憶される。又、ＣＤ−ＲＯＭなどの記憶媒体や記憶装置１０７に記憶された監視プログラムが監視装置１にインストールされ、監視装置１の中央処理制御装置１０１に読み込まれ実行されることによって、図１に示すように、ルール定義更新手段１１、イベント取得手段１２、イベント処理手段１３、インシデント出力手段１４、実行アクション制御手段１５が監視装置１に実装される。
【００３２】
ルール定義データ２１は、コリレーションルール識別子に、監視対象となるイベントのイベント識別子と、イベント識別子に関連づけられたフィルタリングルールと、複数のイベント識別子の関連を示すコリレーションルールとが関連づけられ、インシデントを出力する条件のデータである。ルール定義データ２１において、フィルタリングルールに変数が含まれていても良い。ルール定義データ２１は更に、コリレーションルールとして、回数又は時間が含まれても良い。ルール定義データ２１は更に、コリレーションルール識別子に、コリレーションルールが合致した場合のアクションが関連づけられていても良い。予め管理システム３などで作成されたルール定義データが、監視装置１に取得されて記憶装置１０７にルール定義データ２１として記憶されても良い。
【００３３】
ルール定義データ２１は、図３に示すようなデータ構造とデータの一例を備える。ルール定義データ２１は、フィルタリングルール及びコリレーションルールを備える。フィルタリングルールは、単一の監視対象から発生するイベントを抽出するためのルールが記述されている。フィルタリングルールとして、適切なイベントを抽出するための文字列パターンが記述されている。この文字列パターンには変数を含むことができ、正規表現として、「.* Memory Error .*」などと記載され、「.」（任意文字）、「*」（直前１文字繰り返し）、「{|}」（文字列選択）などが利用される。更にフィルタリングルールの変数として、「$a>10」や「$m="read"」等の演算子を用いて記述することができる。コリレーションルールは、複数の監視対象装置から出力される複数イベントについて、相関関係のルールが「and」、「or」、「not」、「( 」、「)」などの演算子によって記述されている。例えば、イベント「Ｅ１」とイベント「Ｅ２」の双方のイベントが出現する演算子を「and」で表した場合、コリレーションルールは「M1 and M2」と記載される。又、コリレーションルールについて、イベントの回数を指定して、同一イベントの複数発生に対するルールを定義することができる。例えば、イベント「Ｅ１」が２回発生した場合にマッチするルールは、「E1*2」と記述される。例えばコリレーションルール識別子「Ｒ１０１」のルールは、フィルタリングルールで定義されるイベントＥ１、Ｅ２及びＥ３について、「Ｅ１  ａｎｄ  Ｅ２  ａｎｄ  Ｅ３」の条件が同一アドレス及び同一ビットで１ヶ月に２回以上発生した場合に当該条件に合致したとされる。イベントＥ１のフィルタリング条件は、「Device-A: error issued and corrected」、イベントＥ２のフィルタリング条件は、「error address $ADDRESS」、イベントＥ３のフィルタリング条件は、「error bit $BIT」である。ここで「＄」で開始される文字列は、変数名を示しており、ここに設定される変数名毎にコリレーションルールが合致するか否かが判定される。コリレーションルール識別子「Ｒ１０１」のルールは、イベントＥ２の変数「$ADDRESS」及びイベントＥ３の変数「$BIT」に設定される数値毎にコリレーションルールの合致状況が保持される。
【００３４】
具体的には、デバイスＡは多数の要素で構成され、各要素はエラーを発生することがある。エラーを発生した要素は、アドレス（$ADDRESS）とビット（$BIT）で特定される。エラーが発生するとデバイスＡにおいて自己訂正される様に設計されている。このとき、図３のコリレーションルール識別子Ｒ１０１のイベント識別子Ｅ１、Ｅ２及びＥ３の各フィルタリングルールに記載されているイベントが出力される。これらのイベントの出力は正常なものであるが、デバイスＡの同一要素が１ヶ月に２回以上エラーを発生するのは異常の予兆と判断される。このとき、異なるアドレス及びビットでエラーが発生するのは正常であるが、同一アドレス及び同一ビットで１ヶ月に２回以上のエラーが発生する場合、異常のインシデントとして検出され、そのデバイスＡを正常なデバイスに交換する様に指示を出力することができる。
【００３５】
コリレーションルール識別子「Ｒ１０２」に関するコリレーションルールは、フィルタリングルールで定義されるイベントＥ１及びＥ２について、「Ｅ１  ａｎｄ  Ｅ２」の条件が５分以内に発生した場合に、当該条件に合致したとされる。イベントＥ１のフィルタリング条件は、「Program-X error」、イベントＥ２のフィルタリング条件は「Program-Y fail」である。具体的には、コリレーションルール識別子「Ｒ１０２」に関するコリレーションルールは、プログラムＸとプログラムＹのエラーである。Ｅ１のフィルタリングルール「Program-X error」は、プログラムＸのエラーであって、Ｅ２のフィルタリングルール「Program-Y fail」は、プログラムＹのエラーである。プログラムＸとプログラムＹは基本的には独立したプログラムであるが、ただし、プログラムＸのエラーの状況によっては、プログラムＹもその影響を受けてエラーとなる。イベント「Ｅ１」が発生した５分以内にイベント「Ｅ２」が発生した場合、イベント「Ｅ２」は、イベント「Ｅ１」の影響を受けたものであると考えられる。このコリレーションルールはこの様な場合にインシデントを出力する。
【００３６】
コリレーションルール識別子「Ｒ１０３」に関するコリレーションルールは、フィルタリングルールで定義されるイベントＥ１及びＥ２について、「Ｅ１  ａｎｄ  Ｅ２」の条件が同一要素で２４時間以内に発生した場合に、当該条件に合致したとされる。イベントＥ１のフィルタリング条件は、「Device-B: $ELEMENT type-1 error」、イベントＥ２のフィルタリング条件は「Device-B: $ELEMENT type-2 error」である。具体的には、コリレーションルール識別子「Ｒ１０３」に関するコリレーションルールは、デバイスＢに関するルールである。デバイスＢは様々なタイプのエラーを発生するが、デバイスＢにおいて自己訂正される様に設計されている。同一要素について、タイプ１とタイプ２のエラーが共に２４時間以内に発生する場合は、デバイスＢを交換する様に指示を出力することができる。  図３に示す例では、単一の装置からのイベントに基づいてフィルタリングルールが設定されているが、複数の装置にまたがってフィルタリングルールを設定し、それらのフィルタリングルールによって抽出されたイベントについて、コリレーションルールが定義されても良い。
【００３７】
又、ルール定義データ２１は、コリレーションルールに合致するか否かの判定を行う為に、コリレーションルールの優先度が付与されていても良い。この場合、複数のコリレーションルールに関係するイベントが検出されると、優先度の高いコリレーションルールに合致すると、合致したコリレーションルールに関するインシデントを出力し、そのコリレーションルールの状態をクリアする。一方、優先度の低いコリレーションルールについては、イベントが検出される前の状態のまま保持される。
【００３８】
パラメータ定義データ２２は、監視装置１のイベント処理手段１３の動作仕様を制御するための各種パラメータが記憶されている。予め管理システム３などで作成されたパラメータ定義データが、監視装置１に取得されて記憶装置１０７にパラメータ定義データ２２として記憶されても良い。
【００３９】
状態データ２３は、ルール定義データ２１に記憶されたコリレーションルールの条件の合致状況が保持されている。
【００４０】
ログデータ２４は、イベント処理手段１３において実行された様々な情報、処理結果などが記憶されている。
【００４１】
ルール定義更新手段１１は、入力装置１０４から入力されるルールを取得し、ルール定義データ２１に挿入し記憶装置１０７に記憶する手段である。ルール定義更新手段１１は、管理システム３から運用ルールデータ３２を取得して、ルール定義データ２１に挿入されても良い。この運用ルールの取得は、監視装置１からのリクエストに応じて実行されても良いし、予め定められたタイミングで実行されても良い。又、ルール定義更新手段１１は、予め管理システム３などで作成されたルール定義データを取得して、記憶装置１０７にルール定義データ２１として記憶しても良い。予めルール定義データを記憶装置１０７に記憶することによって、監視装置１は、管理者の入力の手間を省いて、自立監視することができる。
【００４２】
イベント取得手段１２は、監視対象装置群４からイベントを取得する手段である。監視対象装置群４のエージェント４２ａ、４２ｂ、４２ｃ…から随時イベントが送信されても良いし、イベント取得手段１２が予め定められたタイミングでイベントを取得しても良い。
【００４３】
イベント処理手段１３は、記憶装置１０７からルール定義データ及びパラメータ定義データ２２を読み出すとともに、イベント取得手段１２によって取得されたイベントを解析し、解析されたイベントがフィルタリングルールに合致する場合、状態データ２３を記憶装置から読み出して、コリレーションルールに合致するか否かを判定し、コリレーションルールに合致しない場合は状態データ２３に状態を保存する。ここで、状態の保持の方法は、既存のステートマシンにより実装される。更にイベント処理手段１３は、フィルタリングルールの変数に該当する数値毎に、コリレーションルールに合致するか否かを判定し、状態データ２３に状態を保存する。更にイベント処理手段は、回数又は時間を考慮してコリレーションルールが合致するか否かを判定する。具体的には、状態データ２３において、フィルタリングルールに合致したイベントが発生した時刻が記憶され、記憶された時刻に基づいて回数及び時間が考慮されてコリレーションルールが合致したか否かが判定される。
【００４４】
インシデント出力手段１４は、イベント処理手段１３においてコリレーションルールに合致する場合、インシデントを管理システム３などに出力する。
【００４５】
実行アクション制御手段１５は、イベント処理手段１３によってコリレーションルールに合致すると判定されると、記憶装置からルール定義データ２１を読み出し、アクションの実行を制御する。このアクションには、他装置を制御する制御用外部コマンドや、情報収集する情報収集用コマンド等が含まれる。
【００４６】
次に、図４乃至図７を参照して、本発明の最良の実施の形態に係る監視装置１のイベント処理手段１３について、具体的例を用いて説明する。
【００４７】
図４及び図５に示す例は、図３に示すコリレーションルール識別子「Ｒ１０１」に関するイベントの具体例である。図４においては、アドレス「１２９」及びビット「７」においてエラーが発生した２４日後に、同じくアドレス「１２９」及びビット「７」においてエラーが発生した場合である。この場合、図３に示すコリレーションルール識別子「Ｒ１０１」のコリレーションルールに合致するので、監視装置１はインシデントを出力する。一方、図５においては、アドレス「１２９」及びビット「７」においてエラーが発生した２４日後に、アドレス「１３２」及びビット「５」においてエラーが発生した。この場合、図３に示すコリレーションルール識別子「Ｒ１０１」のコリレーションルールに合致しないので、監視装置１はインシデントを出力せず、状態データ２３に状態を記憶する。
【００４８】
図６及び図７に示す例は、図３に示すコリレーションルール識別子「Ｒ１０３」に関するイベントの具体例である。図６においては、要素「blue-chip」にタイプ１のエラーが発生した約７時間後に、同じく要素「blue-chip」にタイプ２のエラーが発生していた場合である。この場合、図３に示すコリレーションルール識別子「Ｒ１０３」のコリレーションルールに合致するので、監視装置１はインシデントを出力する。一方、図７においては、要素「blue-chip」にタイプ１のエラーが発生した約９時間後に、要素「red-chip」にタイプ２のエラーが発生している。この場合、図３に示すコリレーションルール識別子「Ｒ１０３」のコリレーションルールに合致しないので、監視装置１はインシデントを出力しない。
【００４９】
次に、図８乃至図１２を参照して、イベント処理手段１３による状態データ２３の更新を説明する。コリレーションルール識別子「Ｒ３０１」及び「Ｒ３０２」について説明する。ここでは、イベント「Ｅ１」及び「Ｅ２」について、同一のフィルタリング条件を備え、コリレーションルール識別子「Ｒ３０１」のコリレーションルールは「Ｅ１  ａｎｄ  Ｅ２  ａｎｄ  Ｅ３」であって、コリレーションルール識別子「Ｒ３０２」のコリレーションルールは「Ｅ１  ａｎｄ  Ｅ３」である。コリレーションルール識別子「Ｒ３０１」及び「Ｒ３０２」については、変数定義、繰り返し及び時間定義などはないものとして説明する。又、図８乃至図１２に示す例において、コリレーションルール識別子「Ｒ３０１」の優先度は、コリレーションルール識別子「Ｒ３０２」の優先度に比べて、高いものとして説明する。  
まず、図８では、状態データ２３ａにおいてコリレーションルール識別子「Ｒ３０１」及び「Ｒ３０２」に含まれるいずれのイベントも受信されていない状態を示す。ここで、イベント「Ｅ３」が受信されると、図９に示すように、コリレーションルール識別子「Ｒ３０１」及び「Ｒ３０２」それぞれの状態について、状態データ２３ｂにおいてイベント「Ｅ３」が受信されたことが示される。次に、イベント「Ｅ２」が受信されると、図１０に示すように、状態データ２３ｃにおいてコリレーションルール識別子「Ｒ３０１」の状態について、イベント「Ｅ２」が受信されたことが示される。更に、イベント「Ｅ１」が受信されると、図１１に示すように、コリレーションルール識別子「Ｒ３０１」及び「Ｒ３０２」の状態について、状態データ２３ｄにおいてイベント「Ｅ１」が受信されたことが示される。このとき、コリレーションルール識別子「Ｒ３０１」のコリレーションルールが合致したことになるので、コリレーションルールＲ３０１に関するインシデントが出力される。インシデントが出力されると、図１２に示すように、状態データ２３ｅにおいて、コリレーションルール識別子「Ｒ３０１」の状態がクリアされる一方、優先度の低いコリレーションルール識別子「Ｒ３０２」の状態データは、状態データ３２ｄと同様の状態のまま保持される。
【００５０】
更に、コリレーションルールに時間や繰り返しが含まれる場合、状態データ２３は、時間や繰り返しの属性を備え、イベントが発生するたびに、それらの属性を考慮して条件に合致するか否かが判定される。
【００５１】
（監視プログラム）
次に、図１３を参照して、本発明の最良の実施の形態に係る監視プログラムの処理を説明する。
【００５２】
まず、ステップＳ１０１において、記憶装置１０７からルール定義データ２１が読み出され、ステップＳ１０２において、記憶装置１０７からパラメ−タ定義データ２２が読み出される。次に、ステップＳ１０３において、イベント取得手段１２によって、イベントの入力が待機される。イベントが入力されると、ステップＳ１０４に進む。
【００５３】
ステップＳ１０４において、全てのコリレーションルールについて、ステップＳ１０５乃至ステップＳ１１４の処理が行われる。  
具体的には、当該コリレーションルールの全てのフィルタリングルールについて、ステップＳ１０５乃至ステップＳ１０７が繰り返される。ここで、ステップＳ１０５において、ステップＳ１０３で入力されたイベントが、当該フィルタリングルールに合致するか判定される。合致しない場合は、次のフィルタリングルールについて処理する。一方、合致する場合は、ステップＳ１０６においてマッチしたイベント情報を記憶し、ステップＳ１０７においてそのルールに関する状態を状態データ２３に記憶する。全てのフィルタリングルールに関する判定が終了すると、ステップＳ１０８において、当該コリレーションルールにマッチするか否かが判定される。マッチしない場合は、次のコリレーションルールについて処理する。
【００５４】
一方マッチした場合、ステップＳ１０９において、当該コリレーションルールにアクションが指定されているか否かが判定される。指定されている場合、ステップＳ１１０において当該アクションが実行し、必要に応じて結果が取得される。一方、アクションが指定されていない場合、ステップＳ１１１において、インシデント出力手段１４によってインシデントが出力されるとともに、イベント取得手段１２によってログデータ２４にログが出力される。更に、ステップＳ１１３において、イベント取得手段１２にいよって、状態データ２３において、当該コリレーションルールの状態がクリアされる。当該コリレーションルールに変数が含まれる場合、この変数に関するコリレーションルールの状態のみがクリアされる。コリレーションルールの状態がクリアされると、「全てのコリレーションルール」に関するループを抜けて、ステップＳ１０３に戻り、新たなイベントが入力されるまで、処理が待機される。
【００５５】
次に、図１４を参照して、本発明の最良の実施の形態に係る監視装置１において、ルール定義更新手段１１において、ルール定義データ２１を更新するときに表示装置１０５に表示するルール定義画面について説明する。このルール定義画面には、コリレーションルール毎にルール番号（コリレーションルール識別子）が設定される。更に、このコリレーションルールで参照されるそれぞれのイベントについて、そのイベントのフィルタリングルールがイベント書式として記憶される。更に、イベント書式に変数名が入力された場合、変数条件として複数の文言を指定することもできる。更に条件として、各イベント毎の相関関係が、and、orなどの演算子を用いて入力される。条件成立間隔として、最初のイベントが検知されてから最後のイベントが検知されるまでの時間間隔が入力される。テキストボックスには数値が入力され、コンボボックスは、「秒」「分」「時」「日」「週」「月」などの数値の単位が選択される。アクションとして、当該コリレーションルールに合致した場合に、実行アクション制御手段１５によって実行されるアクションコマンドが入力される。更に、当該ルールの説明や対策も入力される。
【００５６】
この様に、従来において、主に単一の監視対象から発生する単純なイベント抽出しか扱うことができなかったが、本発明の最良の実施の形態に係る監視装置１によれば、複数の監視対象から発生する複数のイベントを扱うことができる。更に、本発明の最良の実施の形態に係る監視装置１によれば、複数の監視対象から発生する複数のイベントが相関関係を持つ場合でも、複数のイベント間の相関関係を各種演算子や変数などを用いたコリレーションルールを定義することにより、判別することができる。
【００５７】
（変形例）
本発明の最良の実施の形態に示す監視システム１０は、簡略すると図１５に示すように、監視対象側サイトに監視対象装置４１ａ、４１ｂ、監視装置１を備え、管理側サイトに管理装置３０を備えている。監視対象装置４１ａ、４１ｂには、それぞれ監視装置１にイベントを送信するエージェント４２ａ、４２ｂを備え、監視装置１に備えられたエージェント１ａが受信する。ここで、エージェント１ａは、図１に示す監視装置１の各要素に相当する。監視装置１のエージェント１ａは、監視対象装置４１ａ、４１ｂから受信したイベントを管理装置３０の管理ツール３０ａに送信する。この場合、監視装置１と管理装置３０は例えばＴＣＰ／ＩＰなどのプロトコルで相互に通信可能に接続される。
【００５８】
次に、図１６乃至図１８を参照して、本発明の最良の実施の形態の変形例に係る監視システム１０を説明する。
【００５９】
図１６に示す本発明の最良の実施の形態の変形例１に係る監視システム１０は、図１５に示す監視システム１０と比べて、メールサーバを備える点が異なる。監視装置１のエージェント１ａは、監視対象側サイトに備えられたメールサーバ６ａ及び管理側サイトに備えられたメールサーバ６ｂを介して、管理装置３０宛にメールを送信する。この場合、監視装置１と管理装置３０は、ＳＭＴＰ及びＰＯＰなどのメールのプロトコルで通信可能に接続される。
【００６０】
図１７に示す本発明の最良の実施の形態の変形例２に係る監視システム１０は、図１５に示す監視システム１０と比べて、監視装置１を備えていない点が異なる。この場合、監視対象装置４１ａ、４１ｂのそれぞれに備えられたエージェント４２ａ、４２ｂには、図１を参照して説明した監視装置１の各要素が実装されている。監視対象装置４１ａ、４１ｂのエージェント４２ａ、４２ｂは、管理装置３０とＴＣＰ／ＩＰなどのプロトコルで相互に通信可能に接続される。
【００６１】
図１８に示す本発明の最良の実施の形態の変形例３に係る監視システム１０は、図１５に示す監視システム１０と比べて監視装置１を備えておらず、メールサーバ６ａ及び６ｂを備えている点が異なる。この場合、監視対象装置４１ａ、４１ｂのそれぞれに備えられたエージェント４２ａ、４２ｂには、図１を参照して説明した監視装置１の各要素が実装されている。監視対象装置４１ａ、４１ｂのエージェント４２ａ、４２ｂは、監視対象側サイトに備えられたメールサーバ６ａ及び管理側サイトに備えられたメールサーバ６ｂを介して、管理装置３０宛にメールを送信する。この場合、監視対象装置４１ａ及び４１ｂと管理装置３０は、ＳＭＴＰ及びＰＯＰなどのメールのプロトコルで通信可能に接続される。
【００６２】
（その他の実施の形態）
上記のように、本発明の最良の実施の形態及びその変形例によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなる。
【００６３】
例えば、本発明の最良の実施の形態に記載した監視装置は、図１に示すように一つのハードウェア上に構成されても良いし、その機能や処理数に応じて複数のハードウェア上に構成されても良い。又、既存の情報システム上に実現されても良い。
【００６４】
本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【００６５】
【図１】本発明の最良の実施の形態に係る監視システムのシステム構成図である。
【図２】本発明の最良の実施の形態に係る監視装置のハードウェア構成図である。
【図３】本発明の最良の実施の形態に係る監視装置のルール定義データのデータ構造とデータの一例を説明する図である。
【図４】本発明の最良の実施の形態に係る監視装置において、コリレーションルール識別子「Ｒ１０１」について、条件に合致する場合を説明する図である。
【図５】本発明の最良の実施の形態に係る監視装置において、コリレーションルール識別子「Ｒ１０１」について、条件に合致しない場合を説明する図である。
【図６】本発明の最良の実施の形態に係る監視装置において、コリレーションルール識別子「Ｒ１０３」について、条件に合致する場合を説明する図である。
【図７】本発明の最良の実施の形態に係る監視装置において、コリレーションルール識別子「Ｒ１０１」について、条件に合致しない場合を説明する図である。
【図８】本発明の最良の実施の形態に係る監視装置において、いずれのイベントも発生していない場合の状態データの遷移を説明する図である。
【図９】本発明の最良の実施の形態に係る監視装置において、イベント「Ｅ３」が発生した場合の状態データの遷移を説明する図である。
【図１０】本発明の最良の実施の形態に係る監視装置において、イベント「Ｅ２」が発生した場合の状態データの遷移を説明する図である。
【図１１】本発明の最良の実施の形態に係る監視装置において、イベント「Ｅ１」が発生した場合の状態データの遷移を説明する図である。
【図１２】本発明の最良の実施の形態に係る監視装置において、ルールＲ３０１についてインシデントが出力された場合の状態データの遷移を説明する図である。
【図１３】本発明の最良の実施の形態に係る監視プログラムの処理を説明するフローチャートである。
【図１４】本発明の最良の実施の形態に係る監視装置において、入力装置からルール定義データを設定するルール定義画面の一例である。
【図１５】本発明の最良の実施の形態に係る監視システムの簡略なシステム構成図である。
【図１６】本発明の最良の実施の形態の変形例１に係る監視システムの簡略なシステム構成図である。
【図１７】本発明の最良の実施の形態の変形例２に係る監視システムの簡略なシステム構成図である。
【図１８】本発明の最良の実施の形態の変形例３に係る監視システムの簡略なシステム構成図である。
【符号の説明】
【００６６】
１…監視装置
１ａ…エージェント
２ａ、２ｂ…通信ネットワーク
３…管理システム
４…監視対象装置群
６ａ、６ｂ…メールサーバ
１０…監視システム
１１…ルール定義更新手段
１２…イベント取得手段
１３…イベント処理手段
１４…インシデント出力手段
１５…実行アクション制御手段
２１…ルール定義データ
２２…パラメータ定義データ
２３、２３ａ、２３ｂ、２３ｃ、２３ｄ…状態データ
２４…ログデータ
３０…管理装置
３０ａ…管理ツール
３１…保守ナレッジデータ
３２…運用ルールデータ
４１ａ、４１ｂ、４１ｃ…監視対象装置
４２ａ、４２ｂ、４２ｃ…エージェント
１０１…中央処理制御装置
１０２…ＲＯＭ
１０３…ＲＡＭ
１０４…入力装置
１０５…表示装置
１０６…通信制御装置
１０７…記憶装置
１０８…リムーバブルディスク
１０９…入出力インタフェース
１１０…バス
【図１】
2006338305.tif 000003
【図２】
2006338305.tif 000004
【図３】
2006338305.tif 000005
【図４】
2006338305.tif 000006
【図５】
2006338305.tif 000007
【図６】
2006338305.tif 000008
【図７】
2006338305.tif 000009
【図８】
2006338305.tif 000010
【図９】
2006338305.tif 000011
【図１０】
2006338305.tif 000012
【図１１】
2006338305.tif 000013
【図１２】
2006338305.tif 000014
【図１３】
2006338305.tif 000015
【図１４】
2006338305.tif 000016
【図１５】
2006338305.tif 000017
【図１６】
2006338305.tif 000018
【図１７】
2006338305.tif 000019
【図１８】
2006338305.tif 000020