(57)【要約】【課題】情報処理システムにおいて発生したインシデントの効率的な管理を支援するための技術を提供する。【解決手段】インシデント管理システム１００は、情報処理システムにおいて発生したインシデントごとに、インシデントと、情報処理システムの動作状態を示す少なくとも１つの動作状態情報であって、そのインシデントに関連する少なくとも１つの動作状態情報と、を関連付けて保持するデータ保持部３０と、複数のインシデントの中から選択された選択インシデントに類似する類似インシデントを特定する特定部２１と、を備える。特定部２１は、複数の動作状態情報が選択インシデントに関連付けられている場合、複数のインシデントのうち、選択インシデントと同一の複数の動作状態情報が関連付けられているインシデントを類似インシデントとして特定する。【選択図】図４
2018081403.tif 000002
【特許請求の範囲】
【請求項１】
情報処理システムにおいて発生したインシデントごとに、インシデントと、情報処理システムの動作状態を示す少なくとも１つの動作状態情報であって、そのインシデントに関連する少なくとも１つの動作状態情報と、少なくとも１つの動作状態情報のそれぞれを出力した情報処理システムのノードと、を関連付けて保持するデータ保持部と、
複数のインシデントの中から選択された選択インシデントに類似する類似インシデントを特定する特定部と、を備え、
前記特定部は、１つまたは複数のノードから出力された複数の動作状態情報が選択インシデントに関連付けられている場合、複数のインシデントのうち、選択インシデントと同一の複数の動作状態情報が関連付けられており、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定することを特徴とするインシデント管理システム。
【請求項２】
前記特定部は、選択インシデントとは異なる動作状態情報またはノード情報がより多く関連付けられているインシデントほど、類似度の低いインシデントであると特定することを特徴とする請求項１に記載のインシデント管理システム。
【請求項３】
データ保持部と、特定部と、を備えるインシデント管理システムに実行させるインシデント管理方法であって、
前記データ保持部は、情報処理システムにおいて発生したインシデントごとに、インシデントと、情報処理システムの動作状態を示す少なくとも１つの動作状態情報であって、そのインシデントに関連する少なくとも１つの動作状態情報と、少なくとも１つの動作状態情報のそれぞれを出力した情報処理システムのノードと、を関連付けて保持し、
当該インシデント管理方法は、複数のインシデントの中から選択された選択インシデントに類似する類似インシデントを特定するステップを含み、
前記特定するステップでは、１つまたは複数のノードから出力された複数の動作状態情報が選択インシデントに関連付けられている場合、複数のインシデントのうち、選択インシデントと同一の複数の動作状態情報が関連付けられており、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定することを特徴とするインシデント管理方法。
【請求項４】
情報処理システムにおいて発生したインシデントごとに、インシデントと、情報処理システムの動作状態を示す少なくとも１つの動作状態情報であって、そのインシデントに関連する少なくとも１つの動作状態情報と、少なくとも１つの動作状態情報のそれぞれを出力した情報処理システムのノードと、を関連付けて保持する機能と、
複数のインシデントの中から選択された選択インシデントに類似する類似インシデントを特定する機能と、コンピュータに実現させ、
前記特定する機能は、１つまたは複数のノードから出力された複数の動作状態情報が選択インシデントに関連付けられている場合、複数のインシデントのうち、選択インシデントと同一の複数の動作状態情報が関連付けられており、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定することを特徴とするコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ処理技術に関し、特に、情報処理システムのインシデント管理を支援する技術に関する。
【背景技術】
【０００２】
ＩＴインフラが幅広いユーザ層に活用されるようになってきているなか、ＩＴサービスマネジメントがこれまで以上に重要になってきている。ＩＴサービスマネジメントに関して、英国商務局（ＯＧＣ:Office of Government Commerce）はＩＴＩＬ（Information Technology Infrastructure Library）（登録商標）と呼ばれるベストプラクティス集を公表している。最近では、ＩＴＩＬに従ってＩＴサービスマネジメントの改善に取り組む企業が増えている。
【０００３】
ＩＴＩＬの中核の一つにサービスサポートがある。サービスサポートは日常的なシステム運用およびユーザサポートに関して記載されたもので、１つの機能と５つのプロセスからなる。機能としては、ユーザからの問い合わせ窓口となるサービスデスク、プロセスとしてはインシデント管理、問題管理、変更管理、リリース管理および構成管理が規定されている。
【０００４】
サービスデスク業務では、エンドユーザからどのような問い合わせがあったのか、それに対してどのように対応したのか、その問い合わせは処理が終わってクローズしたのか、といった様々なことを記録していく。このようなサービスデスク業務を支援するため、エンドユーザからの問い合わせをインシデントとして蓄積していくインシデント管理システムが実用化されている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−１２９９７３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
サービスデスク業務を行う運用部門の担当者は、インシデントが発生すると、そのインシデントに類似するインシデント（以下、「類似インシデント」とも呼ぶ）を特定する。ここで、類似するインシデントとは、根本原因が同じである可能性があるインシデントをいう。類似インシデントがある場合、担当者は、類似インシデントの経過情報に記載された対応内容を、インシデントを終了へ向けて進展させるための情報（すなわちナレッジ情報）として活用しうる。したがって、類似インシデントを的確に特定することができれば、インシデントを迅速に収容へ向けて進展させることができる。
【０００７】
本発明はこうした課題に鑑みてなされたものであり、その主な目的は、情報処理システムにおいて発生したインシデントの効率的な管理を支援するための技術を提供することにある。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明のある態様のインシデント管理システムは、情報処理システムにおいて発生したインシデントごとに、インシデントと、情報処理システムの動作状態を示す少なくとも１つの動作状態情報であって、そのインシデントに関連する少なくとも１つの動作状態情報と、少なくとも１つの動作状態情報のそれぞれを出力した情報処理システムのノードと、を関連付けて保持するデータ保持部と、複数のインシデントの中から選択された選択インシデントに類似する類似インシデントを特定する特定部と、を備えてもよい。特定部は、１つまたは複数のノードから出力された複数の動作状態情報が選択インシデントに関連付けられている場合、複数のインシデントのうち、選択インシデントと同一の複数の動作状態情報が関連付けられており、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定してもよい。
【０００９】
本発明の別の態様は、インシデント管理方法である。この方法は、データ保持部と、特定部と、を備えるインシデント管理システムに実行させるインシデント管理方法であって、データ保持部は、情報処理システムにおいて発生したインシデントごとに、インシデントと、情報処理システムの動作状態を示す少なくとも１つの動作状態情報であって、そのインシデントに関連する少なくとも１つの動作状態情報と、少なくとも１つの動作状態情報のそれぞれを出力した情報処理システムのノードと、を関連付けて保持し、当該インシデント管理方法は、複数のインシデントの中から選択された選択インシデントに類似する類似インシデントを特定するステップを含む。特定するステップでは、１つまたは複数のノードから出力された複数の動作状態情報が選択インシデントに関連付けられている場合、複数のインシデントのうち、選択インシデントと同一の複数の動作状態情報が関連付けられており、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定する。
【００１０】
なお、以上の構成要素の任意の組合せ、本発明の表現をコンピュータプログラム、コンピュータプログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。
【発明の効果】
【００１１】
本発明によれば、情報処理システムにおいて発生したインシデントの効率的な管理を支援できる。
【図面の簡単な説明】
【００１２】
【図１】実施の形態の運用管理システムの構成を示す図である。
【図２】インシデント情報画面を示す図である。
【図３】類似インシデント一覧画面を示す図である。
【図４】インシデント管理システムの機能構成を示すブロック図である。
【図５】図４の動作状態情報保持部のデータ構造を示す図である。
【図６】図４のノード情報保持部のデータ構造を示す図である。
【図７】形態素解析により抽出された動作状態情報を示す図である。
【発明を実施するための形態】
【００１３】
図１は、実施の形態の運用管理システム７００の構成を示す。情報処理システム４００で総称される第１情報処理システム４００ａ、第２情報処理システム４００ｂ、第３情報処理システム４００ｃ、・・・は、様々な企業の基幹系システムや情報系システムを含む。運用管理システム７００は、ＩＴサービス企業（例えばＳＩ企業）に構築されたコンピュータシステムである。運用管理システム７００は、複数の情報処理システム４００に対する運用管理サービスを提供する。言い換えれば、運用管理システム７００は、ＩＴサービス企業の運用部門による運用管理業務を支援する。
【００１４】
運用管理システム７００は、情報処理システム４００に対する運用管理サービスを提供する。運用管理システム７００は、インシデント管理システム１００と、監視装置２００と、運用担当者端末３００と、を含む。インシデント管理システム１００は、監視装置２００や運用担当者端末３００から送信されたインシデントに関する情報を管理する。インシデント管理システム１００の詳細な機能構成は図２に関連して後述する。
【００１５】
監視装置２００は、情報処理システム４００の動作状態を監視し、例えば死活監視処理やハードウェアリソースの使用状況の監視処理を実行する。情報処理システム４００の動作状態が所定の異常状態になった場合、監視装置２００は、新たなインシデントを起票してそのインシデント情報をインシデント管理システム１００へ送信する。また監視装置２００は、インシデントを起票済の情報処理システム４００の動作状態が変化した場合、そのインシデントの更新情報をインシデント管理システム１００へ送信する。
【００１６】
運用担当者端末３００は、運用部門の担当者（以下、「運用担当者」と呼ぶ）により操作される情報処理端末であり、インシデント管理システム１００から提供されたインシデント情報画面や類似インシデント一覧画面（いずれも後述）を所定のディスプレイに表示させる。運用担当者端末３００は、情報処理システム４００で発生したインシデントに関する情報（例えばインシデント情報画面に対して入力されたインシデントの起票情報や更新情報）の入力を運用担当者から受け付ける。そして、その情報をインシデント管理システム１００へ送信する。
【００１７】
図２は、インシデント情報画面を示す。インシデント情報画面は、インシデント管理システム１００に保持されたインシデントに関する各種の属性情報を表示する。運用担当者は、インシデント情報画面に対して基本情報８００や詳細情報８０２を入力して新たなインシデントを起票する。運用担当者は、インシデントに対する検討や作業の進展に伴って、インシデント情報画面において経過情報８０１を逐次追加し、またインシデントのステータスを適宜変更する。また、図示しないが、運用担当者は経過情報８０１に任意でタグ（以下、「履歴タグ」と呼ぶ）を付与してもよく、あらかじめ記憶させたキーワードと履歴タグの組み合わせに基づいて履歴タグが自動で付与されるようにしてもよい。監視装置２００からインシデント管理システム１００へ送信される情報も、図２で示すインシデントの各種属性情報である。なお図２のインシデント情報画面には、インシデント属性情報保持部３１（後述）に保持される複数のインシデントのうち運用担当者が選択した１つのインシデント（以下、「選択インシデント」とも呼ぶ）の情報が表示される。類似インシデントボタン８０３は、選択インシデントに類似する類似インシデントを検索（特定）する際に押下される。
【００１８】
図３は、類似インシデント一覧画面を示す。類似インシデント一覧画面は、インシデント情報画面の類似インシデントボタン８０３が押下されると表示される画面であり、類似インシデントの一覧が類似スコア（後述）の順に表示される。インシデントＩＤ欄８１０には、インシデントを一意に特定するためのＩＤであって、特定された類似インシデントのインシデントＩＤが表示される。タイトル欄８１４には、類似インシデントのタイトルが表示される。類似スコア欄８１２には、類似インシデントの類似度を示す点数が表示される。タイトル欄８１４には、類似インシデントのタイトルが表示される。タイトル欄８１４のタイトルにはリンクが張られており、ユーザがタイトルを押下することによってその類似インシデントのインシデント情報画面が表示される。
【００１９】
なお、図示しないが、インシデントＩＤの代わりに、インシデントを特定するタグ（以下、「インシデント管理タグ」と呼ぶ）を表示するようにしてもよい。例えば、あらかじめインシデントＩＤとインシデント管理タグを関連付けて登録し、前記所定の組み合わせに基づいて、インシデントを一意に特定するインシデント管理タグを類似インシデント一覧画面に示してもよい。
【００２０】
図４は、インシデント管理システム１００の機能構成を示すブロック図である。これら各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。
【００２１】
インシデント管理システム１００は、通信処理部１０と、データ処理部２０と、データ保持部３０と、を含む。通信処理部１０は、運用担当者端末３００とのインタフェースを担当する。また通信処理部１０は、監視装置２００との通信処理も担当する。データ処理部２０は、通信処理部１０によって取得されたデータやデータ保持部３０に保持されたデータをもとにして各種のデータ処理を実行する。データ処理部２０は、通信処理部１０とデータ保持部３０との間のインタフェースの役割も果たす。データ保持部３０は、あらかじめ用意された各種の設定データや、通信処理部１０やデータ処理部２０から受け取ったデータを保持する。
【００２２】
通信処理部１０は、入力部１１と、表示制御部１２と、インシデント情報受付部１３と、を含む。入力部１１は運用担当者からの入力を受け付ける。表示制御部１２は、画面生成部２４（後述）により生成される各種情報を画面表示させる。表示制御部１２は、例えばインシデント情報画面を運用担当者端末３００のディスプレイに表示させる。
【００２３】
インシデント情報受付部１３は、監視装置２００から、インシデントの各種属性情報を指定したインシデントの起票情報および更新情報を受け付ける。またインシデント情報受付部１３は、運用担当者端末３００から、インシデント情報画面に入力されたインシデントの属性情報をインシデントの起票情報や更新情報として受け付ける。そして、監視装置２００および運用担当者端末３００から受け付けたインシデントの属性情報をインシデント属性情報保持部３１（後述）に格納する。
【００２４】
データ保持部３０は、インシデント属性情報保持部３１と、動作状態情報保持部３２と、ノード情報保持部３３と、を含む。データ保持部３０は、主として、メモリやハードディスクなど任意の記録媒体により構成される。
【００２５】
インシデント属性情報保持部３１は、複数の情報処理システム４００のそれぞれにおいて発生した複数のインシデントに関する属性情報を保持する。この属性情報は、図２のインシデント情報画面で示した各種情報項目であり、例えば、インシデントＩＤ・システム名・ステータス・優先度等を含む。
【００２６】
動作状態情報保持部３２は、インシデントに関係する可能性がある動作状態情報を保持する。動作状態情報は、情報処理システム４００に含まれるノード（ネットワーク機器、サーバ、ストレージ）、その上で動作しているＯＳ、ミドルウェア、またはアプリケーションソフトウェア（以下、これらを情報処理システム４００の「構成要素」とも呼ぶ）の動作状態に関する情報を含む。図５は、動作状態情報保持部３２のデータ構造を示す。動作状態情報保持部３２は、インシデントＩＤ３２ａと、ノード３２ｂと、動作状態情報３２ｃとを対応付けて保持する。インシデントＩＤ３２ａはインシデントを一意に識別するＩＤであり、図２のインシデント情報画面のインシデントＩＤや図３の類似インシデント一覧画面のインシデントＩＤと対応する。ノード３２ｂは、情報処理システム４００のノードを示す。動作状態情報３２ｃは、情報処理システム４００の構成要素の動作状態情報であって、後述するように登録部２３がログから抽出した動作状態情報を示す。例えば、インシデントＩＤ「０００２」のインシデント（以下、インシデント（０００２）のように表記する）には、Ａサーバ０１またはその上で動作しているＯＳ等から抽出された動作状態情報と、Ｂルータまたはその上で動作しているＯＳ等から抽出された動作状態情報が関連付けられている。
【００２７】
図６は、ノード情報保持部３３のデータ構造を示す。ノード情報保持部３３は、ノード名３３ａと、類似判定ノード名３３ｂと、を対応づけて保持する。ノード名３３ａは、ノードを一意に識別するノード名である。類似判定ノード名３３ｂは、特定部２１（後述）により類似インシデントを特定する際に使用されるノード名である。図６の例では、Ａサーバ０１とＡサーバ０２はいずれも類似判定ノード名が「Ａサーバ」である。したがって、特定部２１は、類似インシデントを特定する際、Ａサーバ０１とＡサーバ０２を同一のノードとして取り扱う。
【００２８】
図４に戻り、データ処理部２０は、特定部２１と、登録部２３と、画面生成部２４と、を含む。登録部２３は、インシデントごとに、そのインシデントに関係する可能性がある動作状態情報を動作状態情報保持部３２に登録する。具体的には、登録部２３は、インシデントの発生前後の所定期間（例えばインシデント発生時刻の前後１０分間）における情報処理システム４００の各構成要素のログを取得し、構成要素ごとのログの出力規則を考慮して（例えば構成要素ごとのキーワードをキーにして）、ログから動作状態情報を抽出する。そして、登録部２３は、抽出した動作状態情報を動作状態情報保持部３２に登録する。
【００２９】
特定部２１は、動作状態情報保持部３２を参照して、選択インシデントに類似する類似インシデントを特定する。なお、特定部２１は、類似インシデントを特定する際、ノード情報保持部３３の類似判定ノード名が同じノードを同一のノードとして取り扱う。例えば、特定部２１は、類似判定ノード名がいずれも「Ａサーバ」であるノード（Ａサーバ０１）とノード（Ａサーバ０２）を同一のノードとして取り扱う。なお、特定部２１が同一のノードとして取り扱うノードを決定する方法はこれに限られない。例えば、ノード名がノードの種別を表す文字列と数字との組み合わせである場合、特定部２１は、ノード名から数字を削除した名前が同じノードを、同一のノードとして取り扱うよう決定してもよい。
【００３０】
具体的には、特定部２１は、１つの動作状態情報が選択インシデントに関連付けられている場合、その動作状態情報と同一の動作状態情報が関連付けられ、かつ、その動作状態情報を出力したノードが一致するインシデントを類似インシデントとして特定する。
【００３１】
例えば、選択インシデントがインシデント（０００８）の場合、特定部２１は、選択インシデント（０００８）と同様に「Ｄサーバ」において「Diskusedover70%」が検知されたインシデント（０００１）とインシデント（０００５）とを、類似インシデントとして特定する。
【００３２】
また、特定部２１は、１つまたは複数のノードから出力された複数の動作状態情報が選択インシデントに関連付けられている場合、それら複数の動作状態情報と同一の複数の動作状態情報が関連付けられており、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定する。
【００３３】
例えば、選択インシデントがインシデント（００１２）の場合、特定部２１は、選択インシデント（００１２）と同様に「Ａサーバ０１」または「Ａサーバ０２」で「CPUuserdover90%」が検知され、「Ｂルータ」で「NWcheckedNG」が検知されているインシデント（０００２）とインシデント（０００５）とインシデント（００１０）を類似インシデントとして特定する。
【００３４】
また、特定部２１は、特定した類似インシデントの類似度（類似度スコア）も特定する。例えば、特定部２１は、選択インシデントに関連付けられている１または複数の動作状態情報とは異なる動作状態情報がより多く関連付けられているインシデントほど、類似度の低い類似インシデントであると特定する。本実施の形態では、特定部２１は、選択インシデントとは異なる動作状態情報が関連付けられている分だけ類似度スコア「１００点」から減点する（例えば１つ当たり−２０点する）ことにより、類似度を特定する。
【００３５】
例えば、動作状態情報が図５の状態の場合、選択インシデント（００１２）の類似インシデントであるインシデント（０００２）、インシデント（０００５）、インシデント（００１０）の類似スコアはそれぞれ、１００点、８０点、６０点となる。
【００３６】
画面生成部２４は、インシデント情報画面や類似インシデント一覧画面などの各種画面を生成する。
【００３７】
以上のように構成されたインシデント管理システム１００について、類似インシデントを特定するときの動作を説明する。選択インシデントのインシデント情報画面で類似インシデント検索ボタン（図２の類似インシデントボタン８０３）が押下されると、特定部２１は、類似インシデントを特定する。画面生成部２４は、特定部２１により特定された類似インシデントが表示された類似インシデント一覧画面を生成する。表示制御部１２は、画面生成部２４が生成した類似インシデント一覧画面を画面表示させる。ユーザは、類似インシデント一覧画面のタイトルに張られたリンクをクリックして類似インシデントのインシデント情報画面を表示させる。ユーザは、表示された類似インシデントの経過情報等に記載された対応内容を、選択インシデントを終了へ向けて進展させるための情報（すなわちナレッジ情報）として活用する。
【００３８】
以上説明した実施の形態のインシデント管理システム１００によると、１つまたは複数のノードで出力（検知）された複数の動作状態情報が選択インシデントに関連付けられている場合、選択インシデントと同一の複数の動作状態情報が関連付けられ、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定する。ここで、情報処理システム４００では、１つの原因から生じた障害によって多数の構成要素が連鎖的に影響を受けることがある。これに対し、実施の形態のインシデント管理システム１００では、上述のように、関連付けられた「複数」の動作状態情報が一致し、しかもそれら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定するため、構成要素に連鎖的に障害が発生するようなインシデントであっても高精度に類似インシデントを特定でき、その類似インシデントのナレッジを活用できる。すなわち、インシデントの効率的な管理を支援できる。
【００３９】
また、実施の形態のインシデント管理システム１００によると、情報処理システム４００のログから抽出された情報が動作状態情報としてインシデントと関連付けられ、関連付けられた動作状態情報に基づき類似インシデントが特定される。ここで、従来のインシデント管理システムでは、運用担当者が入力したサマリー情報に基づき類似インシデントが特定されていた。運用担当者によっては、同じ事象であっても、例えば「ＣＰＵ使用率が高騰」というサマリー情報を入力する者もいれば「応答が遅い」というサマリー情報を入力する者もいる。つまり、同じ事象であっても運用担当者によって入力されるサマリー情報が異なりうる。もちろん、運用担当者が同じであっても、事象が発生したタイミングによっては、異なるサマリー情報が入力されうる。そのため、従来のインシデント管理システムでは、同じ事象であっても類似インシデントとして特定されない場合があった。一方、運用担当者ごとで入力情報が異ならないようにインシデントに関する情報としてログをそのまま関連付けることも考えられるが、データ容量が膨大となるため現実的ではない。これに対し、実施の形態のインシデント管理システム１００では、上述のようにログから抽出された動作状態情報がインシデントに関連付けられ、動作状態情報に基づき類似インシデントが特定されるため、より高精度に類似インシデントを特定できる。
【００４０】
（変形例１）
実施の形態では、登録部２３が情報処理システム４００の各構成要素のログを取得し、構成要素ごとのログの出力規則を考慮して（例えば構成要素ごとのキーワードをキーにして）、ログから動作状態情報を抽出する場合について説明したが、これに限られない。登録部２３は、各構成要素から取得したログを文字列に要素分解して動作状態情報を抽出してもよい。一例として、登録部２３は、取得したログを形態素に分解し、各要素について活用形、原形、品詞を決定する形態素解析を実施し、名詞として決定された要素を動作状態情報として抽出してもよい。
【００４１】
図７に、形態素解析により抽出された動作状態情報を示す。図７は図５に対応する。図７では、抽出された要素（動作状態情報）をそれぞれ括弧（[]）で区切って表示している。「−」は、動作状態情報が抽出されなかった、インシデントが発生した前後の所定期間に出力されたログは無かったことを示している。
【００４２】
特定部２１は、形態素解析により抽出された動作状態情報に基づいて選択インシデントに類似する類似インシデントを特定する。本変形例では、特定部２１はまず、選択インシデントに関連付けられている各ノードの動作状態情報を１つずつ取り出して総当たりで動作状態情報の組み合わせを作成する。特定部２１は、インシデント属性情報保持部３１に保持される選択インシデント以外のインシデントについても同様に、関連付けられている各ノードの動作状態情報を１つずつ取り出して総当たりで動作状態情報の組み合わせを作成する。そして、特定部２１は、選択インシデントの動作状態情報の組み合わせと一致する動作状態情報の組み合わせを有するインシデントを類似インシデントと特定する。
【００４３】
例えば選択インシデントがインシデント（０００５）の場合、特定部２１は、関連付けられている２つのノードの動作状態を１つずつ取り出して総当たりで組み合わせて以下の２０通りの動作状態情報の組み合わせを生成する。
Ａサーバ：MODULE001  ×  Ｂルータ：2016/08/14
Ａサーバ：MODULE001  ×  Ｂルータ：NIC01
Ａサーバ：MODULE001  ×  Ｂルータ：NWchecked OK
Ａサーバ：MODULE001  ×  Ｂルータ：NIC02
Ａサーバ：MODULE001  ×  Ｂルータ：NWcheckedNG
Ａサーバ：Status005  ×  Ｂルータ：2016/08/14
Ａサーバ：Status005  ×  Ｂルータ：NIC01
Ａサーバ：Status005  ×  Ｂルータ：NWchecked OK
Ａサーバ：Status005  ×  Ｂルータ：NIC02
Ａサーバ：Status005  ×  Ｂルータ：NWcheckedNG
Ａサーバ：CPUusedover90%  ×  Ｂルータ：2016/08/14
Ａサーバ：CPUusedover90%  ×  Ｂルータ：NIC01
Ａサーバ：CPUusedover90%  ×  Ｂルータ：NWchecked OK
Ａサーバ：CPUusedover90%  ×  Ｂルータ：NIC02
Ａサーバ：CPUusedover90%  ×  Ｂルータ：NWcheckedNG
Ａサーバ：IO ERR  ×  Ｂルータ：2016/08/14
Ａサーバ：IO ERR  ×  Ｂルータ：NIC01
Ａサーバ：IO ERR  ×  Ｂルータ：NWchecked OK
Ａサーバ：IO ERR  ×  Ｂルータ：NIC02
Ａサーバ：IO ERR  ×  Ｂルータ：NWcheckedNG
【００４４】
特定部２１は、選択インシデント以外のインシデントについても同様に、動作状態情報の組み合わせを生成する。そして、特定部２１は、各インシデントについて、選択インシデントの動作状態上の組み合わせと一致する動作状態情報の組み合わせを持つか確認し、一致する動作状態情報の組み合わせがあるインシデントを類似インシデントと特定する。例えば選択インシデントがインシデント（０００５）の場合、特定部２１は、選択インシデント（０００５）の動作状態情報の組み合わせと一致する以下の２組の動作状態情報の組み合わせを持つインシデント（０００１）を類似インシデントとして特定する。
Ａサーバ：CPUusedover90%  ×  Ｂルータ：NWchecked NG
Ａサーバ：IO ERR  ×  Ｂルータ：NWcheckedNG
【００４５】
また特定部２１は、選択インシデント（０００５）の動作状態情報の組み合わせと一致する以下の１つの動作状態情報の組み合わせを持つインシデント（０００３）を類似インシデントとして特定する。
Ａサーバ：CPUusedover90%  ×  Ｂルータ：NWchecked NG
【００４６】
特定部２１はまた、特定した類似インシデントの類似度（類似度スコア）も特定する。特定部２１は、選択インシデントの動作状態情報の組み合わせと一致する動作状態情報の組み合わせの数が多いほど、類似度の高い類似インシデントであると特定する。また特定部２１は、選択インシデントとは異なるノードの動作状態情報が関連付けられているインシデントほど類似度の低い類似インシデントであると特定する。具体的には、特定部２１は、選択インシデントと同じ動作状態情報の組み合わせの数だけ類似度スコアに加点（例えば１つあたり＋２０点）し、選択インシデントとは異なるノードの動作状態情報が関連付けられている場合はその異なるノードの数だけ類似度スコアから減点（例えば１つあたり−５点）することにより、類似度を特定する。
【００４７】
本変形例によれば、実施の形態のインシデント管理システム１００によって奏される作用効果と同様の作用効果が奏される。加えて、本変形によれば、登録部２３が形態素解析によりログから抽出した動作状態情報に基づき、特定部２１が類似インシデントを特定できる。この場合、ユーザが構成要素ごとのログの出力規則を把握する必要がないため、ユーザの負担が軽減される。
【００４８】
（変形例２）
実施の形態では特に言及しなかったが、対応が完了したインシデントについては、そのインシデントを終了へ向けて進展させるために実行した復旧処理をスクリプトとして登録してもよい。この場合、特定部２１は、インシデントが起票され、インシデントに動作状態情報が関連付けられると、自動で類似インシデントを特定し、類似度スコアを特定する。特定部２１は、類似インシデントの類似スコアが所定の閾値以上であり、かつ、類似インシデントにスクリプトが登録されていた場合は、そのスクリプトを自動実行する。本変形例によれば、類似インシデントを特定する操作を実行し、類似インシデントを確認し、類似インシデントと同様の復旧処理を実行する、という手間が省け運用担当者の負荷を軽減できる。なお、スクリプトは、運用担当者が作成して登録しても、インシデントの対応を行った際のログから自動で作成され登録されてもよい。
【００４９】
（変形例３）
実施の形態では、運用担当者が１つの選択インシデントを指定でき、選択された１つの選択インシデントに類似する類似インシデントを特定する場合について説明したが、これに限られない。運用担当者が複数の選択インシデントを指定できてもよい。例えば、運用担当者は、インシデント一覧画面（不図示）においてインシデント一覧の中から複数のインシデントを指定することで複数の選択インシデントを指定できる。この場合、例えば特定部２１が、選択されたインシデントごとに類似インシデントを特定し、それらを和集合したものを、選択された複数の選択インシデントの類似インシデントとしてもよい。
【００５０】
なお、選択インシデントが複数、例えば２つ（以下、それぞれを「選択インシデント１」と「選択インシデント２」と呼ぶ）選択されている場合、類似インシデント一覧画面において、選択インシデント１と選択インシデント２の双方に類似すると特定された類似インシデントを上位に表示するようにしてもよく、その下位に、選択インシデント１と選択インシデント２のいずれかに類似する類似インシデントを表示してもよい。
【００５１】
また、複数インシデントを選択する場合に、時系列選択を行うこともできる。例えば選択インシデントが複数、例えば２つ（以下、それぞれを「選択インシデント１」と「選択インシデント２」と呼ぶ）選択されており、インシデント１の後にインシデント２が発生していた場合、特定部２１は、インシデント１の後にインシデント２が生じているという時系列関係（時系列の前後関係の他、発生時間差も評価対象に加えることができる）も踏まえ、過去に同様に、この時系列関係でインシデント１に類似するインシデント１´の後にインシデント２に類似するインシデント２´が発生している類似インシデント群がないかどうかを検索することもできる。
【００５２】
（変形例４）
実施の形態および上述の変形例では特に言及しなかったが、特定部２１によって特定された類似インシデントのうち、ユーザが類似インシデントであると認定した類似インシデントについては、ユーザがインシデント管理システム１００に対してその認定をフィードバックできる（例えば、チェックボックスによってフラグを立てる）ようにしてもよい。インシデント管理システム１００は、そのフィードバックを受け、選択インシデントと、特定部２１により類似インシデントと特定され、かつ、ユーザによって類似インシデントであると認定された類似インシデントとを紐付けて記憶してもよい。例えば、インシデント属性情報保持部３１の属性情報の１つとして、ユーザによって認定された類似インシデントのインシデントＩＤを保持ししてもよい。ユーザは、このように記憶された紐付け関係を利用できる。例えば、過去のインシデントを検索して抽出された過去インシデントを参照している場合に、その過去インシデントと類似関係にあるインシデントを更に参照することができる。また例えば、選択インシデントに類似する類似インシデントを検索した場合に抽出された類似インシデントと類似関係にあるインシデントを参照可能とすることもできる。特に、一般的に、類似関係数が多い過去インシデントは良く参照されるインシデントであり、過去ナレッジとしての価値が高い。
【符号の説明】
【００５３】
２１  特定部、  ３０  データ保持部、  ３１  インシデント属性情報保持部、  ３２  動作状態情報保持部、  １００  インシデント管理システム、  ４００  情報処理システム。
【図１】
2018081403.tif 000003
【図２】
2018081403.tif 000004
【図３】
2018081403.tif 000005
【図４】
2018081403.tif 000006
【図５】
2018081403.tif 000007
【図６】
2018081403.tif 000008
【図７】
2018081403.tif 000009