(57)【要約】【課題】  利用者が詳細な分類が行われていない運用履歴に対して、原因箇所が共通である運用履歴ごとに分類を行う。【解決手段】  本発明は、運用履歴の分類を要する運用履歴の範囲が与えられると、運用対象機器について過去に記述された運用履歴を格納した運用履歴ＤＢから、該範囲に該当する運用履歴集合を取得して、各運用履歴から特徴量を抽出し、運用履歴集合を同一の原因個所ごとに、特徴量の類似性により分類する。【選択図】  図１
2015153078.tif 000002
【特許請求の範囲】
【請求項１】
運用対象機器のインシデントに対応するオペレータの実施作業を記録した運用履歴の集合からインシデントの原因箇所が共通である運用履歴ごとに分類する運用履歴分析装置であって、
運用履歴の分類を要する運用履歴の範囲が与えられると、運用対象機器について過去に記述された運用履歴を格納した運用履歴ＤＢから、該範囲に該当する運用履歴集合を取得して、各運用履歴から特徴量を抽出する特徴量抽出手段と、
前記運用履歴集合を同一の原因個所ごとに、前記特徴量の類似性により分類する分類手段と、
を有することを特徴とする運用履歴分析装置。
【請求項２】
前記特徴量抽出手段は、
前記運用履歴に加えて、前記運用対象機器、または、該運用対象機器を監視するシステムから与えられたシステム状態情報の特徴量を抽出する手段を含む
請求項１記載の運用履歴分析装置。
【請求項３】
前記特徴量抽出手段は、
前記運用履歴の要約情報から前記特徴量を抽出する手段を含む
請求項１記載の運用履歴分析装置。
【請求項４】
前記特徴量抽出手段は、
前記システム状態情報のシステムメッセージ、または、前記運用対象機器のシステム数値情報を用いて前記特徴量を抽出する手段を含む
請求項２記載の運用履歴分析装置。
【請求項５】
前記分類手段は、
階層的クラスタリングを用いて、前記特徴量の類似度により分類する手段を含む
請求項１乃至４のいずれか１項に記載の運用履歴分析装置。
【請求項６】
運用対象機器のインシデントに対応するオペレータの実施作業を記録した運用履歴の集合からインシデントの原因箇所が共通である運用履歴ごとに分類する運用履歴分析方法であって、
運用履歴の分類を要する運用履歴の範囲が与えられると、運用対象機器について過去に記述された運用履歴を格納した運用履歴ＤＢから、該範囲に該当する運用履歴集合を取得して、各運用履歴から特徴量を抽出する特徴量抽出ステップと、
前記運用履歴集合を同一の原因個所ごとに、前記特徴量の類似性により分類する分類ステップと、
を行うことを特徴とする運用履歴分析方法。
【請求項７】
コンピュータを、
請求項１乃至５のいずれか１項に記載の運用履歴分析装置の各手段として機能させるための運用履歴分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、運用履歴分析装置及び方法及びプログラムに係り、特に、システム運用におけるオペレータの業務内容を分析するための運用履歴分析装置及び方法及びプログラムに関する。
【背景技術】
【０００２】
今日、オペレータ業務の作業証跡、及び、オペレータの知見の蓄積を目的として、システム運用におけるインシデント発生時の状況と対応作業は運用履歴に記録され、一元的な管理が行われている。蓄積された運用履歴は、新たなインシデントの発生時に、過去の類似した履歴を検索し、過去の対応例を参照することで、同一インシデント発生時の対応検討に用いられる。そのため、同一のインシデントごとに、運用履歴を分類することは有用である。
【０００３】
本明細書では、運用管理の対象となるシステムにおいて、インシデントが発生した箇所を原因箇所と定義する。例えば、ITシステムの場合は、"ケーブル"、"CPU"、"インタフェースカード"などが原因箇所となり得る例として挙げられる。運用履歴は、運用管理の対象となるシステムにおいて発生したインシデントの種類と頻度の統計分析にも用いられるため、運用履歴を原因箇所ごとに分類することは、多くのニーズが存在する。しかしながら、運用履歴に原因箇所が項目として記録されているとは限らない。
【０００４】
こうした中で、運用履歴の作業記録に含まれる単語の類似性を用いて、運用履歴をキーワードごとに分類し、同時に分類の各クラスに対してキーワードをラベル付けするシステムがある（例えば、非特許文献１参照）。
【０００５】
また、運用履歴の統計的分析等を目的として、キーワードとなる単語を抽出した後、各キーワードが示すものが"原因箇所"、"故障を特定した方法"、"故障の解決方法"などいずれに該当するかをラベルとして、各キーワードに人手でラベルを付与する方法がある（例えば、非特許文献２参照）。 
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】Amelie Medem, Marc-Ismael Akodjenou, and Renata Teixeira, "TroubleMiner: Mining network trouble tickets", Integrated Network Management-Workshops, 113-119, 2009
【非特許文献２】Potharaju Rahul, Navendu Jain, and Cristina Nita-Rotaru. "Juggling the jigsaw: Towards automated problem inference from network trouble tickets." Proceedings of the 10th USENIX conference on Networked Systems Design and Implementation. 2013.
【非特許文献３】MeCab: Yet Another Part-of-Speech and Morphological Analyzer, http://mecab.googlecode.com/svn/trunk/mecab/doc/index.html）
【非特許文献４】木村達明, 渡邉暁, 豊野剛, 西松研, 塩本公平. "大規模ネットワークログ情報のオンライン・テンプレート抽出法". 電子情報通信学会ソサイエティ大会, 2013.
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記の非特許文献１による分類は、クラスに含まれる運用履歴の共通点を表すキーワードが（インタフェースカード、ケーブルなど）、"故障発生機器"（ルータ、スイッチなど）、"発生理由"（メンテナンス、停電など）と多岐に亘るため、クラスごとに共通点の種類と情報の粒度が異なり、統計分析には用いられない。
【０００８】
また、非特許文献２の方法では、人手の介在による利用者への負荷と新規機種導入時の追加作業負荷が避けられない。
【０００９】
本発明は、上記の点に鑑みなされたもので、利用者が詳細な分類が行われていない運用履歴に対して、原因箇所が共通である運用履歴ごとに分類を行うことが可能な運用履歴分析装置及び方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
一態様によれば、運用対象機器のインシデントに対応するオペレータの実施作業を記録した運用履歴の集合からインシデントの原因箇所が共通である運用履歴ごとに分類する運用履歴分析装置であって、
運用履歴の分類を要する運用履歴の範囲が与えられると、運用対象機器について過去に記述された運用履歴を格納した運用履歴ＤＢから、該範囲に該当する運用履歴を取得して、該運用履歴から特徴量を抽出する特徴量抽出手段と、
前記運用履歴の集合を同一の原因個所ごとに、前記特徴量の類似性により分類する分類手段と、を有する運用履歴分析装置が提供される。
【発明の効果】
【００１１】
一態様によれば、詳細な分類が行われていない運用履歴に対して、原因箇所が共通である運用履歴ごとに分類することにより、利用者の負荷が軽減できると共に、ネットワークシステム等の予防保存等の運用管理を可能とする。
【図面の簡単な説明】
【００１２】
【図１】本発明の第１の実施の形態におけるシステム構成例である。
【図２】本発明の第１の実施の形態における運用履歴分析装置のフローチャートである。
【図３】本発明の第２の実施の形態におけるシステム構成例である。
【図４】本発明の第３の実施の形態におけるシステム構成例である。
【発明を実施するための形態】
【００１３】
以下、図面と共に本発明の実施の形態を説明する。
【００１４】
本発明は、運用履歴に紐付く様々なデータから共通の原因箇所を持つ運用履歴ごとに分類するものである。
【００１５】
［第１の実施の形態］
本実施の形態では、過去の運用履歴を原因箇所ごとに分類し、分類結果を利用者に提示、または、過去の運用履歴の追加項目として出力する場合について説明する。
【００１６】
図１は、本発明の第１の実施の形態におけるシステム構成例である。
【００１７】
同図に示すシステムは、監視システム１、運用対象機器２1〜２nからなる運用対象機器群、運用履歴ＤＢ３、システム状態情報ＤＢ４、利用者（端末）５、運用履歴分析装置１０ａを有する。
【００１８】
監視システム１は、各運用対象機器２1〜２nから運用情報を収集し、システム状態情報ＤＢ４に出力する。また、監視システム１は、システム異常時にアラームメッセージの出力ログを運用履歴分析装置１aに出力する。
【００１９】
運用履歴ＤＢ３は、オペレータの実施作業を記録した運用履歴を格納する。
【００２０】
システム状態情報ＤＢ４には、監視システム１から利用者（端末）５に対して発出されたアラームメッセージや運用対象機器２が出力するsyslogなどの文字列で表される情報を格納する。
【００２１】
運用履歴分析装置１０ａは、特徴量取得部１１、分類部１２、ユーザインタフェース１３を有する。
【００２２】
以下、図２のフローチャートに沿って運用履歴分析装置１０ａの処理を説明する。
【００２３】
予め運用対象となる運用対象機器pの運用履歴が運用履歴ＤＢ３に、インシデントにおけるシステム状態情報がシステム状態情報ＤＢ４に蓄積されているものとする。
【００２４】
ステップ１０１）ユーザインタフェース部１３から利用者５によって指定された運用履歴の分類を要する運用履歴の範囲（例えば、No.0020〜No.0040まで）が指定されると、特徴量取得部１１は、運用履歴ＤＢ３またはシステム状態情報ＤＢ４のいずれかまたは両方から情報を読み込む。
【００２５】
ステップ１０２）まず、運用履歴ＤＢ３から特徴量を取得する場合について説明する。
【００２６】
運用履歴のタイトルや事象名などの要約情報の記述には、原因箇所が記述される場合が多く、また、全ての運用履歴に要約情報が存在するため、要約情報を用いることは全ての運用履歴の分類を可能にする利点がある。そこで、本実施の形態では、一例として、要約情報を特徴量として用いる。分類を行う運用履歴のうち、k番目の運用履歴をTkとする。Tkの事象名の文をSkとしたとき、Skに含まれる単語の集合Wk={wk1,wk2,…,wkn}とし、特徴量D(Tk)=Wkとする。SkからのWkの獲得は、形態素解析器Mecab(例えば、非特許文献３）等を用いる。
【００２７】
また、運用履歴ＤＢ３の運用履歴に記載された他の項目を特徴量として用いることも可能である。例えば、運用対象機器pのインシデント発生機種、インシデントが発生した場所、インシデントが発生したサービス名、などである。これにより、任意の粒度での分類が可能となる。
【００２８】
ステップ１０３）次に、システム状態情報ＤＢ４から特徴量を取得する場合について説明する。
【００２９】
運用対象となる運用対象機器p1〜pn自体、あるいは監視システム１によって、システム状態情報が利用者（端末）５に向けて出力される。システム状態情報の例としては、監視システム１のアラームメッセージ、syslog、MIB(Management Information Base)情報などが挙げられ、システム状態情報ＤＢ４に格納されているものとする。システム状態情報は原因箇所の状態に応じて出力され、運用履歴を記述する利用者５に依らないロバストな情報である。そこで、インシデント発生時のシステム状態を特徴量とする。
【００３０】
具体的には、１）システムメッセージを用いた特徴量を取得する方法と、２）システム数値情報を用いた特徴量を取得する方法がある。
【００３１】
１）システムメッセージを用いた特徴量を取得する場合：
運用履歴ＤＢ３の分類する運用履歴の集合の内、k番目の運用履歴をTkとし、Tkに記載された故障における、システムメッセージの集合Mkを特徴量として用いる。システムメッセージは、監視システムのアラームメッセージや運用対象のシステムの構成機器が出力するsyslogなど、文字列として観測されるものである。システムメッセージの獲得方法は、運用履歴ＤＢ３の運用履歴におけるシステムメッセージの記述欄を用いるか、または運用履歴に記載されたインシデント時刻の前後t分以内に出力されたシステムメッセージを獲得する、という方法が考えられる。時間幅tは利用者が定義する。システムメッセージを特徴量として用いる方法は、上記の運用履歴の特徴量を得る方法と同様に、システムメッセージに含まれる単語を特徴量とする方法と、非特許文献４のログテンプレート化手法などを用いて同様の意味を表すシステムメッセージに対して同一のIDを与え、IDの集合を特徴量とする方法が考えられる。IDを特徴量とする場合は、Tkに対応したシステムメッセージのIDの集合を特徴量とする方法が考えられる。IDを特徴量とする場合は、Tkに対応したシステムメッセージのＩＤの集合を、MIDkとし、D(Tk)=MIDkとする。
【００３２】
２）システム数値情報を用いた特徴量を取得する場合：
システム状態情報ＤＢ４の運用対象となるシステム数値情報を特徴量として用いる。システム数値情報は、例えば、ネットワークシステムであれば、"パケット数"、"応答時間"、ITシステムであれば"接続ユーザ数"など、システム状態情報のうち、数値として観測される情報である。
【００３３】
ステップ１０４）分類部１２は、特徴量取得部１１で運用履歴の特徴量を取得した場合には、運用履歴の集合を同一の原因個所ごとに分類する。運用履歴の分類手法は何でもよいが、以下の（１）〜（３）では、階層的クラスタリングを用いた場合について説明する。運用履歴を１つ以上要素に持つ集合を、「クラス」と呼ぶ。本発明では、分類の対象となる運用履歴の集合をクラスに分類する。
【００３４】
（１）クラスのセントロイドの定義：
クラスの集合のうち、i番目のクラスをCiとする。クラス間の結合において類似度を計算するため、クラスの代表値であるセントロイドを定義する。クラスCiに属する運用履歴をCi={Ti1,Ti2,…,TiK}としたとき、CiのセントロイドCdiの定義は、システムメッセージのような集合型の特徴量の場合には、例えば、以下のようなものが考えられる。
【００３５】
Cdi=D(Ti1)∪D(Ti2)∪…∪D(TiK)
また、システム数値情報のような数値型の特徴量の場合には、次のようなものが考えられる。
【００３６】
Cdi=(Σn(D(tin))/K
（２）クラス間の類似度の定義：
セントロイドを用いて、クラスのペア（Ci,Cj）間の類似度sim(Ci,Cj)を定義する。sim(Ci,Cj)は、集合型の特徴量については、例えば、次のようなJaccard係数に基づく定義が考えられる。
【００３７】
sim(Ci,Cj)=|Cdi∩Cdj|/|Cdi∪Cdj|
また、数値型の特徴量の場合には、次のようなものが考えられる。
【００３８】
sim（Ci,Cj）=√Σ(Cdi−Cdj)2
（３）分類の実施：
分類の対象となる全ての運用履歴を用いて、階層的クラスタリングを実施する。
【００３９】
全ての運用履歴について、運用履歴を唯一つ含むクラスを得る。上記の（２）で定義した運用履歴のクラス間の類似度を用いて、全クラスのペアのうち、最も類似度の高いクラスのペア（Cp',Cq'）と、類似度sim(Cp',Cq')を獲得する。事前に定義した閾値をεとし、sim(Cp',Cq')<εであれば、存在する全てのクラスを分類結果としてステップ１０５に移行する。一方、sim(Cp',Cq')≧εであれば、Cp',Cq'をクラスの集合から取り除き、新たなクラスCp'q''=C p'∪C q'を作成する。その後、類似度の計算と最も類似度の高いクラスのペアを獲得する処理に戻り、存在するクラス数が１になるか、最大の類似度が閾値以下になって処理が終了するまで繰り返す。
【００４０】
ステップ１０５）  ステップ１０４の処理が終了したら、分類結果がユーザインタフェース１３を介して利用者（端末）５に出力される。これを利用者５は統計分析の入力として用いる。
【００４１】
［第２の実施の形態］
前述の第１の実施の形態では、過去の運用履歴について分類を行い、統計分析の入力としたが、本実施の形態では、新規に運用対象機器に発生したインシデントを含めた分類を行い、新規に発生したインシデントと同じクラスに分類される過去の運用履歴を提示する場合を説明する。
【００４２】
図３は、本発明の第２の実施の形態におけるシステム構成例を示す。同図において、図１と同一構成部分には同一符号を付し、その説明を省略する。
【００４３】
本実施の形態では、運用対象機器２で新たに発生したインシデントについて、利用者（端末）５あるいは監視システム１がシステム状態情報（アラームメッセージ）を運用履歴分析装置１０ｂに与え、システム状態情報が最も類似している運用履歴のクラスと含まれる運用履歴を利用者（端末）５へ提示する場合を示している。図３のシステム構成では、システム状態情報が監視システム１から特徴量取得部１１に与えられるため、システム状態情報ＤＢ４は不要となる。
【００４４】
この場合、運用履歴分析装置１０ｂには、ユーザインタフェース１３を介して利用者（端末）５から分類を行う過去の運用履歴の範囲が指定され、監視システム１から新規に発生した故障におけるシステム状態情報が入力される。この新規に発生したインシデントが運用履歴の様式と持つとは限らないが、分類においてはシステム状態情報から分類が可能なため、運用履歴がないか未完成なシステム状態情報のみのデータを運用履歴と同等に扱う。これは、新規発生したインシデント対応時に、類似した運用履歴を参照する場合を想定している。対応中のインシデントは運用履歴が完成していない場合があり、この場合アラームメッセージ等「システム状態情報」のみから分類を実施する。運用履歴分析装置１０ｂの分類部１２は、利用者（端末）５からの範囲の入力によって、第１の実施の形態におけるステップ１０３の２）と同様の方法により、指定された範囲のシステム状態情報の分類を開始し、分類結果のうち、運用対象機器pで新規に発生したインシデントと同一のクラスに属する運用履歴を利用者（端末）５に提示する。
【００４５】
［第３の実施の形態］
前述の第１、第２の実施の形態では、共に対象とするインシデントを含めて分類を実施し、結果を活用したが、本実施の形態では、予め運用履歴を分類しておき、新たなインシデントに対して類似性の高いクラスを順に獲得し、関連性の高い運用履歴を順次参照してインシデントの根本原因分析に用いる場合について説明する。
【００４６】
図４は、本発明の第３の実施の形態におけるシステム構成例である。
【００４７】
同図において、図１と同一構成部分には同一符号を付し、その説明を省略する。
【００４８】
同図の構成には、クラスＤＢ６が設けられている。当該クラスＤＢ６には、任意の手法（例えば、第１の実施の形態における図２のステップ１０４の処理）により運用情報ＤＢ３の運用情報に対して予め分類を実施した結果が格納される。
【００４９】
運用履歴分析装置１０ｃの特徴量取得部１１は、入力されたシステム状態情報を特徴量に変換して分類部１２に出力する。
【００５０】
運用履歴分析装置１０ｃの分類部１２は、利用者（端末）５から新たなインシデントのシステム状態情報が入力されると、クラスＤＢ６の各クラスとの類似度を計算し、類似度の高いクラスから順に利用者（端末）５に提示する。
【００５１】
なお、上記の図１、３，４に示す運用履歴分析装置１０ａ，１０ｂ，１０ｃの各構成要素の処理をプログラムとして構築し、運用履歴分析装置として利用されるコンピュータにインストールして実行させる、または、ネットワークを介して流通させることが可能である。
【００５２】
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【符号の説明】
【００５３】
１  監視システム
２  運用対象装置
３  運用履歴ＤＢ
４  システム状態情報ＤＢ
５  利用者（端末）
６  クラスＤＢ
１０ａ，１０ｂ，１０ｃ  運用履歴分析装置
１１  特徴量取得部
１２  分類部
１３  ユーザインタフェース
【図１】
2015153078.tif 000003
【図２】
2015153078.tif 000004
【図３】
2015153078.tif 000005
【図４】
2015153078.tif 000006