(57)【特許請求の範囲】
【請求項１】
ＩＴ障害を監視する監視サーバが生成した監視イベントを逐次取得し、一つの原因によって発生した単数又は複数のイベントから構成されるＩＴ障害イベントブロックを生成する第一の処理部と、
前記ＩＴ障害イベントブロックに属するイベントに頻出する属性値をもとに特徴情報を求める第二の処理部と、
イベントブロックの特徴情報に発生した変化の内容と発生時間を変化テーブルに記録する第三の処理部と、
前記特徴情報に基づいてＩＴ障害データベースを検索し、新規に取得されたＩＴ障害イベントブロックに類似する過去のＩＴ障害イベントブロックを検索する第四の処理部と、
前記変化テーブルを参照し、検索対象とする時間範囲に応じて検索処理で使用する特徴情報の内容を補正する第五の処理部と
を有することを特徴とするＩＴ障害検知・検索装置。
【請求項２】
請求項１に記載のＩＴ障害検知・検索装置において、
前記第一の処理部において新規に生成されたＩＴ障害イベントブロックを使用し、ＩＴ障害イベントブロックを分類するＩＴ障害分類木を更新する第六の処理部と、
一定期間内に前記ＩＴ障害分類木に発生した編集回数に基づいて、前記ＩＴ障害分類木の変化量を計算する第七の処理部と、
前記変化量が閾値以上の場合、前記ＩＴ障害分類木の変化を解析し、ＩＴ障害イベントブロックの属性値に起こった変化を特定する第八の処理部と
を有することを特徴とするＩＴ障害検知・検索装置。
【請求項３】
請求項１に記載のＩＴ障害検知・検索装置において、
新規に取得したＩＴ障害イベントブロックに対して類似する過去のＩＴ障害イベントブロックとその発生日時を表示部に表示する第九の処理部
を有することを特徴とするＩＴ障害検知・検索装置。
【請求項４】
請求項２に記載のＩＴ障害検知・検索装置において、
前記第六の処理部は、ＩＴ障害イベントブロックのインクリメント処理とデクリメント処理の両方においてＩＴ障害分類木を更新する
ことを特徴とするＩＴ障害検知・検索装置。
【請求項５】
請求項２に記載のＩＴ障害検知・検索装置において、
前記第七の処理部は、インクリメント処理に対しては、ＩＴ障害分類木に対する新規ノード追加、ノード統合、ノード分割処理の有無及び回数から変化量を計算する
ことを特徴とするＩＴ障害検知・検索装置。
【請求項６】
請求項２に記載のＩＴ障害検知・検索装置において、
前記第七の処理部は、デクリメント処理に対しては、ＩＴ障害分類木に対するノード削除、ノード統合、ノード分割の有無及び回数から変化量を計算する
ことを特徴とするＩＴ障害検知・検索装置。
【請求項７】
コンピュータに、
ＩＴ障害を監視する監視サーバが生成した監視イベントを逐次取得し、一つの原因によって発生した単数又は複数のイベントから構成されるＩＴ障害イベントブロックを生成する第一の処理と、
前記ＩＴ障害イベントブロックに属するイベントに頻出する属性値をもとに特徴情報を求める第二の処理と、
イベントブロックの特徴情報に発生した変化の内容と発生時間を変化テーブルに記録する第三の処理と、
前記特徴情報に基づいてＩＴ障害データベースを検索し、新規に取得されたＩＴ障害イベントブロックに類似する過去のＩＴ障害イベントブロックを検索する第四の処理と、
前記変化テーブルを参照し、検索対象とする時間範囲に応じて検索処理で使用する特徴情報の内容を補正する第五の処理と
を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視サーバが生成する障害イベントに基づいて、ＩＴ障害を検知すると共に過去の類似障害を検索する装置及び当該装置をソフトウェア的に実現するプログラムに関する。
【背景技術】
【０００２】
企業経営や社会に大きな影響を与えるＩＴ障害が最近多発している。ＩＴ障害を引き起こす原因は、ハードウェア障害、プログラムのバグ等様々である。特に、社会インフラを提供する企業においては、たとえＩＴ障害が発生した場合でも、事業継続の観点から、目標復旧時間内に復旧を完了し、経営や社会に与える影響を最小限に抑えることが社会的に求められている。
【０００３】
ＩＴ障害による被害の拡大を防ぐには、迅速で適切な初動対応が最も重要となる。このため、復旧担当者による適切な対処を支援する技術、例えば過去の類似するＩＴ障害の発生時に実行した対処方法を検索できる支援技術が求められている。
【０００４】
従来の支援技術は、障害情報とその対処方法をデータベースで管理し、ＩＴ障害に応じた対処方法の検索を可能にしている。特許文献１は、障害情報と対処方法をキーとする検索技術を記述する。特許文献２は、障害情報を、直近のＩＴ障害で更新するための技術を記述する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特許３８６７８６８号
【特許文献２】特許３９８３１３８号
【非特許文献】
【０００６】
【非特許文献１】Fisher, Douglas H. “Knowledge acquisition via incremental clustering”, Machine Learning 2, 139-172, 1987
【非特許文献２】Shohei Hido, Tsuyoshi Ide, Hisashi Kashima, Harunobu Kubo and Hirofumi Matsuzawa, “Unsupervised Change Analysis using Supervised Learning”, In Proc. 2008 Pacific-Asia Conference on Knowledge Discovery and Data Mining (PAKDD2008), Osaka, Japan, May, 2008
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ＩＴシステムの運用中には、監視イベントの属性値に変化を伴う変更が発生することがある。例えばソフトウェアのバージョンがアップデートされると、属性「プロセス名」の属性値に変化が発生する。また例えばサーバ機器が変更されると、属性「サーバ名」の属性値に変化が発生する。
【０００８】
この種の変更は、多くの場合、ＩＴ障害の原因そのものに変化を与えることはない。しかし、表面的な変化であるとしても、監視イベントの属性値が変化すると、障害情報の連続性が損なわれ、過去の対処方法を検索することができない。
【課題を解決するための手段】
【０００９】
そこで、本発明者は、属性値に変化がある場合でも、新たに取得したＩＴ障害に類似する過去のＩＴ障害の検索を可能にするための仕組みを提供する。具体的には、ＩＴ障害を監視する監視サーバが生成した監視イベントを逐次取得し、一つの原因よって発生した単数又は複数のイベントから構成されるＩＴ障害イベントブロックを作成する。次に、ＩＴ障害イベントブロックに属するイベントに頻出する属性値をもとに特徴情報を求める。また、イベントブロックの特徴情報に発生した変化の内容と発生時間を変化テーブルに記録する。その後、特徴情報に基づいてＩＴ障害データベースを検索し、新規に取得されたＩＴ障害イベントブロックに類似する過去のＩＴ障害イベントブロックを検索する。この際、変化テーブルを参照し、検索対象とする時間範囲に応じて検索処理で使用する特徴情報の内容を補正する。
【発明の効果】
【００１０】
本発明によれば、何らかの理由で監視イベントの属性値に変化があった場合でも、過去に発生した類似のＩＴ障害イベントを検索することができる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【００１１】
【図１】ＩＴ障害検知・検索システムのシステム構成例を示す図。
【図２】監視サーバが生成する監視イベント例を示す図。
【図３】ＩＴ障害検知・検索コンピュータのシステム構成例を示す図。
【図４−１】ＩＴ障害ＤＢが保持するＩＴ障害イベントブロックテーブルとＩＴ障害特徴テーブルの具体例を示す図。
【図４−２】ＩＴ障害ＤＢが保持するＩＴ障害分類木と変化テーブルの具体例を示す図。
【図５】ＩＴ障害検知・検索プログラムの設定画面例を示す図。
【図６】ＩＴ障害検知・検索プログラムのＩＴ障害検知画面例を示す図。
【図７】ＩＴ障害検知・検索処理の概要を示すフローチャート。
【図８】ＩＴ障害分類木のインクリメント処理を説明するフローチャート。
【図９】ＩＴ障害分類木のデクリメント処理を説明するフローチャート。
【図１０】ＩＴ障害分類木のインクリメント処理を説明する図。
【図１１】ＩＴ障害分類木のデクリメント処理を説明する図。
【図１２】変化検知・解析処理を説明する図。
【図１３】変化解析処理を説明する図。
【発明を実施するための形態】
【００１２】
以下、図面に基づいて、本発明の実施の形態を説明する。なお、本発明の実施の態様は、後述する形態例に限定されるものではなく、その技術思想の範囲において、種々の変形が可能である。
【００１３】
（ＩＴ障害検知・検索システムのシステム構成）
図１に、ＩＴ障害検知・検索コンピュータ１０３を実装するＩＴ障害検知・検索システムの構成例を示す。図１に示すＩＴ障害検知・検索システムは、監視対象サーバ群１０１と、そのコンピュータの状態を監視し、その内容に基づいて監視イベントを生成する監視サーバ１０２と、監視サーバ１０２が生成した監視イベントを解析し、ＩＴ障害の検知や類似する過去のＩＴ障害を検索するＩＴ障害検知・検索コンピュータ１０３と、監視イベントのうちＩＴ障害に関わる情報を格納するＩＴ障害ＤＢ１０４とを有している。
【００１４】
このうち、監視サーバ１０２は、監視対象サーバ群１０１の状態（例えば、監視対象サーバ上で実行されているプロセスの死活など）を監視し、その状態に応じた監視イベントを生成する機能を提供する。生成した監視イベントはＩＴ障害検知・検索コンピュータ１０３に送信される。
【００１５】
図２は、監視サーバ１０２が生成する監視イベントの発生例を示している。監視イベントは、イベントを一意に識別するイベントＩＤ２０１、監視サーバ１０２が監視イベントを生成した日時を表す発生日時２０２、監視イベントの属性２０３から構成されている。
【００１６】
監視イベントの属性は、「情報」、「警告」等の監視イベントの重大度を表す種類２０４、イベントが対象としているプロセス名を表すソース２０５、ソース２０５の状態を一意に識別するイベント番号２０６、ソース２０５を起動したユーザを示すユーザ２０７、ソース２０５が実行されている監視サーバ群１０１内のコンピュータを示すコンピュータ２０８から構成される。
【００１７】
図３に、ＩＴ障害検知・検索コンピュータ１０３の構成例を示す。ＩＴ障害検知・検索コンピュータ１０３は、コンピュータ本体３００と、入力装置３３０と、表示装置３３１と、通信装置３３２とから構成される。なお、通信装置３３２は、監視サーバ１０２及びＩＴ障害ＤＢ１０４と通信する。
【００１８】
コンピュータ本体３００は、データ演算をするＣＰＵ３０１、ＲＯＭ３０２、ＲＡＭ３１０、データを格納するハードディスク駆動装置３２０、これらデバイス間のデータ転送を実現するＣＰＵバス３０７、これらデバイスとＣＰＵバス３０７を結合するインターフェース３０３〜３０６で構成される。
【００１９】
ＲＡＭ３１０には、少なくとも、(1) ＣＰＵ３０１に演算処理させるＩＴ障害検知・検索プログラム３１１の実行領域と、(2) 演算時に一時的に生成させるデータを格納する作業領域３１２が確保される。また、ハードディスク駆動装置３２０の記憶領域には、少なくとも、(1) ＩＴ障害検知・検索プログラムの格納領域としてのプログラム格納部３２１と、(2) 監視サーバ１０２及びＩＴ障害ＤＢ１０４から取得したデータを一時的に格納するデータ格納部３２２が確保される。
【００２０】
（データベースのデータ構造）
図４−１は、ＩＴ障害ＤＢ１０４が保持するＩＴ障害イベントブロックテーブル４００及びＩＴ障害特徴テーブル４１０の構造例を示す。図４−２は、ＩＴ障害ＤＢ１０４が保持するＩＴ障害分類木４２０及び変化テーブル４３０の構造例を示す。
【００２１】
ＩＴ障害イベントブロックテーブル４００は、イベントブロックを一意に特定するイベントブロックＩＤ４０１と、イベントブロックに含まれる単数又は複数のＩＴ障害イベント４０２から構成される。
【００２２】
ここで、イベントブロックとは、一つのＩＴ障害が発生したときに、それに伴って一定時間内に発生した単数又は複数のＩＴ障害イベントの集合である。イベントブロックの作成方法の説明は、ＩＴ障害検知・検索プロセスの説明の際に行う。また、ＩＴ障害イベントは、監視イベントのうち属性「種類」２０４の値が、ＩＴ障害検知・検索プログラムの設定画面５００（図５）のＩＴ障害イベント種類入力部５０１で入力された値のいずれかである監視イベントをいう。
【００２３】
ＩＴ障害特徴テーブル４１０は、同じ特徴を持つＩＴ障害を一意に特定するＩＴ障害ＩＤ４１１と、ＩＴ障害の特徴４１２と、同じＩＴ障害の特徴を持つイベントブロックＩＤのリスト４１３から構成される。ＩＴ障害の特徴４１２の求め方は後述する。
【００２４】
ＩＴ障害分類木４２０は、特徴４１２に基づくイベントブロックの分類により作成される。図４−２は、当該分類木の概念構成を表している。当該分類木の作成方法は、ＩＴ障害分類木のインクリメント処理/デクリメント処理プロセスにおいて後に詳細に説明する。分類木の各ノードには、その要素として分類されたＩＴ障害イベントブロックが保持される。分類木の構築方法については後述する。
【００２５】
変化テーブル４３０は、イベントブロックの特徴４１２に発生した変化の内容と発生日時を保持するテーブルである。変化テーブル４３０は、発生した変化を一意に特定する変化ＩＤ４３１、変化が発生した日付を示す変化発生日４３２、特徴４１２を構成する属性のうち変化が発生した属性を示す属性名４３３、同属性における変化前の属性値を示す変化前属性値４３４、同属性における変化後の属性値を示す変化後属性値４３５から構成される。例えば変化ＩＤ「１」には、「２０１０／０２／０３」に、属性「コンピュータ０」の属性値が「サーバ１０」から「サーバ２３」に変更されたことが記録されている。
【００２６】
（設定画面例）
図５及び図６に、表示装置３３１に表示されるＩＴ障害検知・検索プログラム３１１のＧＵＩ画面例を示す。
【００２７】
図５は、ＩＴ障害検知・検索プログラム３１１の初期画面として、表示装置３３１に最初に表示される画面（設定画面５００）を表している。この設定画面５００は、ユーザがＩＴ障害とみなすイベントの登録時等に使用される。ＩＴ障害検知・検索プログラム３１１は、設定画面５００の設定内容に基づいて、後述するＩＴ障害検知処理及び検索処理を実行する。
【００２８】
設定画面５００は、ＩＴ障害イベント種類入力部５０１、最大イベント時間間隔入力部５０２、変化検知時間窓幅入力部５０３、変化量閾値入力部５０４、変化解析時間窓幅入力部５０５、開始ボタン５０６から構成される。
ＩＴ障害イベント種類入力部５０１は、ＩＴ障害イベントとみなすイベントの属性「種類」２０４の入力欄である。図５は、「エラー」、「致命的」、「緊急」のラベルを有する監視イベントをＩＴ障害イベントとして扱う場合である。
【００２９】
最大イベント時間間隔入力部５０２は、ＩＴ障害イベントとみなされるイベントが複数観察された場合に、同じ原因により発生したＩＴ障害イベントとみなす時間の範囲を入力するための項目欄である。
【００３０】
例えばＩＴ障害イベントとみなされるイベントが観察されてから次に観察されるまでの時間が、最大イベント時間間隔入力部５０２に入力された時間に収まる場合、該当する複数のイベントは同じ原因に起因して発生したイベントであると判定する。同じ原因に起因する１つ又は複数のイベントを、１つのイベントブロックとして扱う。図５の場合、時間の単位は「分」である。もっとも、時間単位は、秒でも、時間でも、日でも、その他の単位でも良い。
【００３１】
変化検知時間窓幅入力部５０３は、変化を検知する時間の範囲を指定するための項目欄である。図５の場合、時間の単位は「日」である。もっとも、時間単位は、秒でも、分でも、時間でも、その他の単位でも良い。
【００３２】
変化量閾値入力部５０４は、変化の発生が検出された場合に、変化解析を実行するか否かの判断基準（変化量）の閾値を入力するための項目欄である。これを設定することにより、ノイズによる変化の誤検知を回避することができる。
【００３３】
変化解析時間窓幅入力部５０５は、変化解析を実行する時間範囲を指定するための項目欄である。図５の場合、時間の単位は「日」である。もっとも、時間単位は、秒でも、分でも、時間でも、その他の単位でも良い。開始ボタン５０６は、ＩＴ障害検知・検索プログラムの実行を指示するためのボタンである。
【００３４】
（ＩＴ障害検知画面例）
図６は、ＩＴ障害検知・検索プログラム３１１が検知したＩＴ障害及び検索した類似ＩＴ障害の結果を表示する画面６００である。画面６００は、「検知したＩＴ障害」を列記するＩＴ障害テーブル６１０と、「発生した障害イベント」の属性を表示する障害イベントテーブル６２０と、「類似ＩＴ障害」の属性を表示する類似ＩＴ障害テーブル６３０で構成される。
【００３５】
ＩＴ障害テーブル６１０は、検知したＩＴ障害情報を一意に特定するＩＴ障害ＩＤ６１１と、ＩＴ障害を検知した検知日時６１２から構成される。障害イベントテーブル６２０は、ＩＴ障害テーブル６１０内で選択されたＩＴ障害に対して実際に発生した障害イベントの属性の内容を示す表示欄である。属性情報は、イベントＩＤ、発生日時、種類、ソース、イベント番号、ユーザ、コンピュータで構成される。
【００３６】
類似ＩＴ障害テーブル６３０は、ＩＴ障害をイベントブロック単位で一意に特定するＩＴ障害ＩＤ６３１、類似すると判定されたＩＴ障害イベントブロックを構成する個々の監視イベントの属性６３２、検知したＩＴ障害との類似度６３３から構成されている。
【００３７】
（ＩＴ障害検知・検索動作）
図７に、ＩＴ障害検知・検索システムで実行されるＩＴ障害検知・検索プロセスの概略を示す。
【００３８】
（ステップ７００）
ＩＴ障害検知・検索コンピュータ１０３は、ＩＴ障害検知・検索プログラムの設定画面５００（図５）において開始ボタン５０６のクリック入力を検出すると、設定画面５００を通じて設定された属性値を読み込み、ＩＴ障害検知・検索プログラム３１１に基づいた検知処理と検索処理を開始する。
【００３９】
該当処理の実行に際し、ＩＴ障害検知・検索コンピュータ１０３は、ＩＴ障害イベント種類入力部５０１に設定入力されたＩＴ障害イベントを特定する属性「種類」２０４の属性値と、最大イベント時間間隔入力部５０２に設定入力された時間間隔と、変化検知時間窓幅入力部５０３に設定入力された時間範囲と、変化量閾値入力部５０４に設定入力された閾値と、変化解析時間窓幅入力部５０５に設定入力された時間幅を読み込む。
【００４０】
（ステップ７０１）
ＩＴ障害検知・検索コンピュータ１０３は、監視サーバ１０２から通信装置３３２を介して監視イベントを受信する。ＩＴ障害検知・検索コンピュータ１０３は、監視イベントの中からＩＴ障害イベントを選択的に取得し、それ以外のイベントは破棄する。監視イベントがＩＴ障害イベントか否かは、監視イベントの属性「種類」２０４の値が、ＩＴ障害イベント種類入力部５０１に設定入力された値に含まれるか否かに基づいて判定する。この実施例の場合、属性「種類」２０４の値が、「エラー」、「致命的」、「緊急」のいずれであるか判定する。
【００４１】
図２に示す監視イベントの場合、イベントＩＤ２０１が「４」、「５」、「６」、「１０」、「１１」、「１２」の監視イベントが、ＩＴ障害イベントとして判定される。これら以外の監視イベントは無視される。
【００４２】
（ステップ７０２）
ＩＴ障害検知・検索コンピュータ１０３は、取得されたＩＴ障害イベントからＩＴ障害イベントブロック（図４−１）を生成し、その後、ＩＴ障害イベントブロックの特徴４１２（図４−１）を計算する。さらに、ＩＴ障害検知・検索コンピュータ１０３は、通信装置３３２を介してＩＴ障害ＤＢ１０４のＩＴ障害イベントブロックテーブル４００及びＩＴ障害特徴テーブル４１０を更新する。
【００４３】
時間的に連続して発生した２つのＩＴ障害イベントが同じイベントブロックに属するか否かの判定は、２つのＩＴ障害イベントの発生日時２０２の時間間隔が、最大イベント時間間隔入力部５０２（図５）の入力値以内か否かにより判断する。
【００４４】
ここで、２つのＩＴ障害イベントの時間間隔が最大イベント時間間隔以内であれば、２つのＩＴ障害イベントは、同じイベントブロック内に分類される。一方、２つのＩＴ障害イベントの時間間隔が最大イベント時間間隔外であれば、別々のイベントブロックに分類される。
【００４５】
例えば、図２の監視イベントの例の場合、イベントＩＤ２０１が「５」と「６」の発生日時２０２の時間間隔は１分２秒である。この値は、設定画面５００（図５）の最大イベント時間間隔入力部５０２で設定された２分以内である。従って、これら２つのＩＴ障害イベントは、ＩＴ障害イベントブロックテーブル４００（図４−１）において、同じイベントブロックＩＤ４０１（すなわち、「１」）に割り当てられている。
【００４６】
一方、イベントＩＤ２０１が「６」と「１０」の監視イベントの発生日時２０２の時間間隔は、最大イベント時間間隔以上である。このため、これら２つのＩＴ障害イベントは、ＩＴ障害イベントブロックテーブル４００（図４−１）において、異なるイベントブロック（すなわち、「１」と「２」）に割り当てられている。
【００４７】
次に、ＩＴ障害検知・検索コンピュータ１０３は、作成したＩＴ障害イベントブロックの特徴量４１２を計算する。ＩＴ障害の特徴４１２は、ＩＴ障害イベントブロックテーブル４００において、同じイベントブロックに含まれる単数又は複数のＩＴ障害イベントの「種類」、「ソース」、「イベント番号」、「ユーザ」、「コンピュータ」の各属性に対して、共通する属性値の頻度を計算し、頻度の高い属性値の上位２つを各属性の「特徴」とする。
【００４８】
例えばＩＴ障害イベントブロックテーブル４００（図４）の場合、イベントブロックＩＤ４０１が「１」のイベントブロックに、イベントＩＤ「４」、「５」、「６」の３つのＩＴ障害イベントが含まれている。属性「種類」に着目すると、属性値「エラー」は２回出現し、「致命的」は１回出現している。
【００４９】
従って、ＩＴ障害特徴テーブル４１０においては、イベントブロックＩＤ「１」の属性「種類」に関し、最も頻度の高い属性値を表す「種類０」に「エラー」が設定され、次に頻度の高い属性値を表す「種類１」に「致命的」が設定されている。
【００５０】
なお、ＩＴ障害特徴テーブル４１０では、各属性の組み合わせが全て共通するイベントブロック同士が１つのＩＴ障害ＩＤ４１１で管理される。例えばイベントブロックＩＤ「１」は、ＩＴ障害ＩＤ４１１「１」で管理される。因みに、ＩＴ障害ＩＤ４１１のイベントブロックＩＤリスト４１３には、イベントブロックＩＤ「１」の他に、「１５」と「３０」も含まれており、それらは同じ特徴を有することが分かる。
【００５１】
因みに、「特徴」は、これらの属性の他、イベントブロック内の先頭イベントの発生日時２０２から最終イベントの発生日時２０２までの平均時間間隔、属性値の平均値に対して差異が大きい属性値等を用いても良い。
【００５２】
（ステップ７０３）
ＩＴ障害検知・検索コンピュータ１０３は、ＩＴ障害ＤＢ１０４のＩＴ障害特徴テーブル４１０を参照し、ステップ７０２で作成したＩＴ障害イベントブロックと同じ特徴４１２を有するイベントブロックＩＤを、イベントブロックＩＤリスト４１３から取得する。すなわち、特徴が類似するＩＴ障害イベントブロックを取得する。
【００５３】
ここで、ＩＴ障害検知・検索コンピュータ１０３は、変化テーブル４３０（図４−２）を参照し、必要に応じて特徴４１２を補正した後の内容にてイベントブロックＩＤリスト４１３を検索する。補正の必要があるのは、監視イベントに過去に変化した属性値が含まれており、かつ、当該変化の発生時点より過去に発生したＩＴ障害イベントを検索対象とする場合である。
【００５４】
例えば図４−２の場合、変化テーブル４３０の変化ＩＤ「１」には、変化発生日「２０１０/０２/０３」に、属性名「コンピュータ０」の属性値が「Server１０」から「Server２３」に変更されたことが記録されている。従って、ステップ７０２で作成したＩＴ障害イベントブロックの特徴４１２に含まれる属性名「コンピュータ０」の値が「Server２３」であった場合に、変化発生日「２０１０/０２/０３」以前に発生したＩＴ障害イベントブロックの検索時には、ＩＴ障害検知・検索コンピュータ１０３は、特徴４１２の属性名「コンピュータ０」の属性値を「Server１０」に変更して検索処理を実行する。勿論、変化発生日「２０１０/０２/０３」以降に発生したＩＴ障害イベントブロックの検索には、現在の特徴４１２に含まれる属性値（すなわち、「Server２３」）をそのまま使用する。
【００５５】
なお、ＩＴ障害特徴テーブル４１０には、現在時刻までに生成されたＩＴ障害イベントブロックの特徴が全て保存されている。勿論、ある属性の属性値に変化があると、変化前とは異なる特徴が生成される。
【００５６】
従来の障害検索技術では、属性値が変更される前の情報を有していないため、専ら属性変更後の特徴を用いてしか類似する特徴を有するＩＴ障害イベントブロックを検索することができない。結果的に、属性値の変更がＩＴ障害の原因には影響しない要因により生じた場合でも、変更以前に行った対策に関する情報を検索することができなかった。
【００５７】
一方、本実施例の場合、現在時刻に取得されたＩＴ障害イベントブロックと特徴が共通するイベントブロックだけでなく（すなわち、属性変更後の特徴が共通するイベントブロックだけでなく）、属性値が変更される前の特徴４１２と共通するイベントブロックについても検索結果に含めることができる。ここで、過去のＩＴ障害イベントブロックに過去の対策等が関連付けてデータベースに保存されている場合には、属性値の変更の有無によらず、今回のＩＴ障害イベントに対する適切な対策等を提示することができる。すなわち、復旧作業に従事する担当者が適切な対策を効率良く実行できるように支援することができる。
【００５８】
（ステップ７０４）
ＩＴ障害検知・検索コンピュータ１０３は、ステップ７０２で作成したＩＴ障害イベントブロックと、ステップ７０３で取得したＩＴ障害イベントブロック間の類似度を計算する。２つのイベントブロック（イベントブロックＡ、イベントブロックＢ）間の類似度は、例えば次式
0005735326.tif 000002
により算出する。勿論、先程説明した変化テーブル４３０を参照して、変化の前か後かを考慮し、適時属性値を変更して類似度の計算を行う。
【００５９】
（ステップ７１０）
ＩＴ障害検知・検索コンピュータ１０３は、ＩＴ障害の検知結果を、表示装置３３１のＩＴ障害検知画面６００（図６）に表示する。ＩＴ障害検知画面６００には、障害イベントテーブル６２０と類似ＩＴ障害テーブル６３０が表示される。障害イベントテーブル６２０には、ステップ７０２で作成されたＩＴ障害イベントブロックが表示される。類似ＩＴ障害テーブル６３０には、ステップ７０３で検索された類似ＩＴ障害イベントブロックが類似度６３３と共に表示される。
【００６０】
図６の場合、類似ＩＴ障害テーブル６３０のＩＴ障害ＩＤ「８１」に対応するＩＴ障害イベントブロックは、ステップ７０２で作成したＩＴ障害イベントブロックと、発生日時を除き、全ての属性で属性値が一致する。このため、ＩＴ障害ＩＤ「８１」のＩＴ障害イベントブロックと、障害イベントテーブル６２０に表示された２つのイベントブロックとの類似度は１００％である。
【００６１】
また、ＩＴ障害ＩＤ「９９」のＩＴ障害イベントブロックと、障害イベントテーブル６２０のイベントブロックとの類似度は８７％である。ここで、ＩＴ障害ＩＤ「９９」に属するＩＴ障害イベントブロックを構成する属性数の合計は１５個（＝５個×３）である。イベントＩＤ「３４５」及び「３４６」で特定されるイベントブロックについては、全ての属性について属性値の一致が認められ、イベントＩＤ「３４７」で特定されるイベントブロックについては３つの属性について属性値の一致が認められる。従って、類似度は、１３／１５で計算される。
【００６２】
（ステップ７０５）
次に、ＩＴ障害分類木の更新機能について説明する。すなわち、ＩＴ障害分類木の保守管理機能について説明する。従来のKmeansなどの教師なしクラスタリングアルゴリズムでは、構成する訓練データ（ＩＴ障害イベントブロックの集合）に変更（ＩＴ障害イベントブロックの削除や追加）があると、ＩＴ障害分類木のようなクラスターを新規に再作成する必要がある。しかし、その計算量は膨大であり、しかも過去に作成したクラスターに対する変化を連続的に追跡することが困難である。そこで、本実施例では、これらの技術的課題を解決可能な手法について説明する。
【００６３】
ＩＴ障害検知・検索コンピュータ１０３は、現在の時刻を起点とし、ある時間範囲内に発生したＩＴ障害イベントブロックのリストＡと、現在のＩＴ障害分類木４２０を構成しているＩＴ障害イベントブロックのリストＢとを比較する。この比較処理は、ステップ７０３、７０４及び７１０と同時並行的に実行される。比較対象とする時間範囲は、設定画面５００（図５）の変化検知時間窓幅入力部５０３に設定入力された値で与えられる。
【００６４】
ＩＴ障害検知・検索コンピュータ１０３は、リストＢに含まれているがリストＡに含まれていないＩＴ障害イベントブロックをＩＴ障害分類木からデクリメントし、ＩＴ障害分類木４２０を更新する。一方、ＩＴ障害検知・検索コンピュータ１０３は、リストＡに含まれていているがリストＢに含まれていないＩＴ障害イベントブロックをＩＴ障害分類木にインクリメントし、ＩＴ障害分類木４２０を更新する。デクリメント処理とインクリメント処理の詳細については後述する。
【００６５】
（ステップ７０６）
ＩＴ障害検知・検索コンピュータ１０３は、所定時間単位でＩＴ障害分類木に生じた変化量を計算する。例えば１日単位で変化量を計算する。変化量は、例えば次式
0005735326.tif 000003
により計算する。
【００６６】
ここで、Ｄ（ＩＴ障害分類木Ａ, ＩＴ障害分類木Ｂ）は、ＩＴ障害分類木ＡとＩＴ障害分類木Ｂとの間の編集距離を表す。編集距離とは、一方を他方に変形するために要する最小手順回数で与えられる。例えばインクリメント処理には、図１０（１）〜（３）に示す編集処理がある。この場合、編集距離は１カウントされる。また例えばデクリメント処理には、図１１（１）〜（３）に示す編集処理がある。この場合、編集距離は１カウントされる。
【００６７】
図１２の上段に、一日単位で計算されたＩＴ障害分類木４２０の変化量の時間変化を示すグラフ１２００を示す。グラフ１２００の横軸は時間であり、縦軸は変化量（％）である。
【００６８】
（ステップ７０７）
ＩＴ障害検知・検索コンピュータ１０３は、ステップ７０６で算出された変化量と、設定画面５００（図５）の変化量閾値入力部５０４に設定入力された閾値とを比較する。変化量が閾値以上であった場合、ＩＴ障害検知・検索コンピュータ１０３は、ステップ７０８に進む。一方、変化量が閾値より小さい場合、ＩＴ障害検知・検索コンピュータ１０３は、ステップ７０１に戻る。
【００６９】
（ステップ７０８）
ＩＴ障害検知・検索コンピュータ１０３は、変化量が閾値を越える変化が発生した場合、例えば非特許文献２に開示の手法を用いて解析し、変化の前後において特徴４１２を構成するどの属性名４３３の属性値がどのように変化したかを特定する。特定された結果は、ＩＴ障害ＤＢ１０４の変化テーブル４３０に反映される。
【００７０】
次に、変化解析処理の一例を示す。ＩＴ障害検知・検索コンピュータ１０３は、変化量が閾値を超えた日を起点とし、その前後所定期間内に取得されたＩＴ障害イベントブロックをＩＴ障害イベントブロックテーブル４００（図４−１）から取得する。ＩＴ障害イベントブロックを取得する時間範囲は、設定画面５００（図５）の変化解析時間窓幅入力部５０５に設定された値を使用する。図５の場合は、３０日である。
【００７１】
以下では、図１２の下段に示すグラフ１２１０を用いて変化解析処理に伴うＩＴ障害イベントの取得処理を説明する。なお、グラフ１２１０の横軸は時間であり、縦軸はＩＴ障害の発生頻度である。
【００７２】
前述したように、ＩＴ障害分類木４２０の変化量１２０２は、「２０１０/０５/２０」に閾値１２０１を超えている。従って、ＩＴ障害検知・検索コンピュータ１０３は、「２０１０/０５/２０」に対して前３０日間１２１１及び後３０日間１２１２の範囲でＩＴ障害イベントブロックを取得する。
【００７３】
次に、ＩＴ障害検知・検索コンピュータ１０３は、取得されたＩＴ障害イベントブロックに対する特徴４１２をＩＴ障害特徴テーブル４１０から取得する。その上で、ＩＴ障害検知・検索コンピュータ１０３は、変化前のＩＴ障害イベントブロックには「変化前」のラベルを付加し、変化後のＩＴ障害イベントブロックには「変化後」のラベルを付加した変化解析テーブル１３００（図１３）を作業領域３１２に作成する。
【００７４】
最後に、ＩＴ障害検知・検索コンピュータ１０３は、変化解析テーブル１３００の特徴１３０１とラベル１３０２を参照し、作業領域３１２上にＩＤ３やＣ４．５などの教師あり学習アルゴリズムを用いて変化解析決定木１３１０（図１３）を構築する。変化解析決定木１３１０には、変化前後で属性値がどのように変化したかの情報が表現される。
【００７５】
図１３に示す変化解析決定木１３１０は、属性名「ソース０」の属性値が変化の前後で「Process６」から「Process７」に変化されたこと、属性名「コンピュータ０」の属性値が「Server２」から「Server８」に変化されたことを表している。
【００７６】
（ＩＴ障害分類木のインクメント処理）
次に、図８を用い、ＩＴ障害分類木４２０のインクリメント処理の詳細を説明する。この処理は、従来の概念クラスタリングＣＯＢＷＥＢにおけるインクリメント処理と同じ処理である（非特許文献１）。以下では、実施例に特有の処理であるデクリメント処理との比較の観点からインクリメント処理の内容を説明する。インクリメント処理とは、ＩＴ障害分類木４２０に新たなＩＴ障害イベントブロックの特徴４１２を１個追加して、ＩＴ障害分類木４２０を更新する処理である。
【００７７】
（ステップ８００）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」にＩＴ障害分類木４２０の「rootノード」を設定する。
【００７８】
（ステップ８０１）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定しているＩＴ障害分類木４２０のノードに対し、今回追加しようとしているＩＴ障害イベントブロックの特徴４１２を追加する。
【００７９】
（ステップ８０２）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定しているＩＴ障害分類木４２０のノードがrootノードであり、かつ、そのrootノードが子ノードを持っていないか否かを判定する。ＩＴ障害検知・検索コンピュータ１０３は、肯定結果が得られた場合はステップ８０３を実行し、否定結果が得られた場合はステップ８０４を実行する。
【００８０】
（ステップ８０３）
ＩＴ障害検知・検索コンピュータ１０３は、ＩＴ障害分類木４２０の新規ノードを作成し、新規ノードに当該ＩＴ障害イベントブロックの特徴４１２を追加する。さらに、この新規ノードをrootノードの子ノードとして追加する。
【００８１】
（ステップ８０４）
ＩＴ障害検知・検索コンピュータ１０３は、次の４つの場合についてＣＵ値（Category Utility）を計算する。
（１）適当な子ノードの要素にＩＴ障害イベントブロックを追加したときのＣＵ値（Category Utility）
（２）ＩＴ障害イベントブロックを要素に持つ新規ノードを作成し、子ノードとして追加したときのＣＵ値（Category Utility）
（３）適当な２つの子ノードを統合したときのＣＵ値（Category Utility）
（４）適当な子ノードを分割したときのＣＵ値（Category Utility）
【００８２】
ＣＵ値（Category Utility）は、次式で与えられる。
0005735326.tif 000004
ここで、ｎは子ノード数、Ｃkはｋ番目の子ノードを表し、Ａiは特徴４１２のi番目の属性、Ｖi, jはi番目の属性の属性値がｊ番目の属性値であることを意味している。
【００８３】
（ステップ８０５）
ＩＴ障害検知・検索コンピュータ１０３は、ステップ８０４で計算した４種類のＣＵ値（Category Utility）を比較する。
（１）追加
適当な子ノードの要素にＩＴ障害イベントブロックを追加したときのＣＵ値（Category Utility）が最大の場合は、ステップ８０６を実行する。
（２）新規
ＩＴ障害イベントブロックを要素に持つ新規ノードを作成し、子ノードとして追加したときのＣＵ値（Category Utility）が最大の場合は、ステップ８０７を実行する。
（３）統合
適当な２つの子ノードを統合したときのＣＵ値（Category Utility）が最大の場合は、ステップ８０８を実行する。
（４）分割
適当な子ノードを分割したときのＣＵ値（Category Utility）が最大の場合は、ステップ８０９を実行する。
【００８４】
（ステップ８０６）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定されているＩＴ障害分類木４２０を構成する子ノードのうち、ＩＴ障害イベントブロックを要素に追加すると、最大のＣＵ値（Category Utility）が得られる子ノードに対し、ＩＴ障害イベントブロックを追加する。
【００８５】
さらに、ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に、ＩＴ障害イベントブロックを追加した子ノードを新たに設定する。
【００８６】
（ステップ８０７）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定されているＩＴ障害分類木４２０のノードに対し、ＩＴ障害イベントブロックを含む新規の子ノードを追加する。
【００８７】
図１０（１）は、新規ノードの追加を説明する図である。変更前のＩＴ障害分類木１０００には、「node」の子要素として「child_node_Ｂ」及び「child_node_Ｃ」がある。今、「node」に、ＩＴ障害イベントブロックを含む新規ノードを追加すると、最大のＣＵ値（Category Utility）が得られる。このとき、ＩＴ障害イベントブロックを要素に持つ新規ノード「new_node」を作成し、「node」の子ノードとして追加する。これにより、新規子ノードを追加したＩＴ障害分類木１００１が得られる。
【００８８】
（ステップ８０８）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定されているＩＴ障害分類木４２０を構成する子ノードのうち、統合すると最大のＣＵ値（Category Utility）が得られる２つの子ノードを統合する。
【００８９】
図１０（２）は、ノードの統合を説明する図である。変更前のＩＴ障害分類木１０１０には、「node」の子要素として「child_node_Ａ」、「child_node_Ｂ」、「child_node_Ｃ」がある。今、「child_node_Ａ」と「child_node_Ｂ」を統合すると、最大のＣＵ値（Category Utility）が得られるとする。このとき、ＩＴ障害検知・検索コンピュータ１０３は、新規ノード「new_node」を作成し、その親ノードに「node」を設定する一方、その子ノードに「child_node_Ａ」及び「child_node_Ｂ」を設定する。この結果、「child_node_Ａ」と「child_node_Ｂ」を統合したＩＴ障害分類木１０１１が得られる。
【００９０】
（ステップ８０９）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定されているＩＴ障害分類木４２０を構成する子ノードのうち、分割すると最大のＣＵ値（Category Utility）が得られる子ノードを分割する。
【００９１】
図１０（３）は、ノードの分割を説明する図である。変更前のＩＴ障害分類木１０２０には、「node」の子要素として「child_node_Ａ」及び「child_node_Ｂ」があり、「child_node_Ａ」の子ノードとして「grandchild_node_Ｃ」及び「grandchild_node_Ｄ」がある。今、「child_node_Ａ」を分割することで最大のＣＵ値（Category Utility）が得られるとする。このとき、ＩＴ障害検知・検索コンピュータは、「child_node_Ａ」を削除して「grandchild_node_Ｃ」及び「grandchild_node_Ｄ」を「node」の子要素とする。この結果、「child_node_Ａ」を分割したＩＴ障害分類木１０２１が得られる。
【００９２】
（ＩＴ障害分類木のデクリメント処理）
次に、図９を用い、ＩＴ障害分類木４２０のデクリメント処理の詳細を説明する。デクリメント処理とは、ＩＴ障害分類木４２０から１個のＩＴ障害イベントブロックを削除することにより、ＩＴ障害分類木４２０を更新する処理のことをいう。
【００９３】
（ステップ９００）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」にＩＴ障害分類木４２０の「rootノード」を設定する。
【００９４】
（ステップ９０１）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定しているＩＴ障害分類木４２０のノードから、削除しようとしているＩＴ障害イベントブロックを削除する。
【００９５】
（ステップ９０２）
ＩＴ障害検知・検索コンピュータ１０３は、ステップ９０１においてＩＴ障害イベントブロックが削除されたことにより、変数「node」に設定しているＩＴ障害分類木４２０のノードが要素を持たない状態になったか否かを判定する。ＩＴ障害検知・検索コンピュータ１０３は、要素が存在しない場合にはステップ９０３に進み、要素が存在する場合にはステップ９０４に進む。
【００９６】
（ステップ９０３）
この場合、「node」は空である。従って、ＩＴ障害検知・検索コンピュータ１０３は、ＩＴ障害分類木４２０から変数「node」に設定しているノードを削除する。
【００９７】
図１１（１）はノードの削除を説明する図である。変更前のＩＴ障害分類木１１００には、「parent node」の下に、子ノード「node」、「node Ｂ」及び「node Ｃ」が存在する。一方、変更後のＩＴ障害分類木１１０１では、「node」が削除されている。
【００９８】
（ステップ９０４）
ＩＴ障害検知・検索コンピュータ１０３は、次の３つの場合についてＣＵ値（Category Utility）を計算する。
（１）ＩＴ障害イベントブロックを要素に持つ子ノードから、対象とするイベントブロックを削除したときのＣＵ値（Category Utility）
（２）ＩＴ障害イベントブロックを要素に持つ子ノードから、対象とするイベントブロックを削除し、他の子ノードと統合したときのＣＵ値（Category Utility）。図１１（２）に統合する場合の例を示す。詳細は後述する。
（３）ＩＴ障害イベントブロックを要素に持つ子ノードを分割したときのＣＵ値（Category Utility）図１１（３）に分割の例を示す。詳細は後述する。
【００９９】
（ステップ９０５）
ＩＴ障害検知・検索コンピュータ１０３は、ステップ９０５で計算したＣＵ値（Category Utility）を比較する。ＩＴ障害イベントブロックを要素に持つ子ノードから、対象とするイベントブロックを削除したときのＣＵ値（Category Utility）が最大になる場合、ＩＴ障害検知・検索コンピュータ１０３はステップ９０６を実行する。これに対し、子ノードを統合したときのＣＵ値（Category Utility）が最大になる場合、ＩＴ障害検知・検索コンピュータ１０３はステップ９０７を実行する。そして、子ノードを分割したときのＣＵ値（Category Utility）が最大になる場合、ＩＴ障害検知・検索コンピュータ１０３はステップ９０８を実行する。
【０１００】
（ステップ９０６）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定されているＩＴ障害分類木４２０を構成する子ノードのうち、当該ＩＴ障害イベントブロックを含む子ノードを新たに変数「node」に設定する。
【０１０１】
（ステップ９０７）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定されているＩＴ障害分類木４２０を構成する子ノードのうち、統合すると最大のＣＵ値（Category Utility）が得られる２つの子ノードを統合する。
【０１０２】
図１１（２）は、ノードの統合を説明する図である。変更前のＩＴ障害分類木１１１０には、「node」の子要素として「child_node_Ａ」、「child_node_Ｂ」及び「child_node_Ｃ」がある。今、「child_node_Ａ」が削除対象とするＩＴ障害イベントブロックを保持しており、「child_node_Ｂ」と統合することで最大のＣＵ値（Category Utility）が得られるとする。このとき、ＩＴ障害検知・検索コンピュータ１０３は、新規ノード「new_node」を作成し、その親ノードとして「node」を設定し、その子ノードとして「child_node_Ａ」及び「child_node_Ｂ」を設定する。この結果、「child_node_Ａ」と「child_node_Ｂ」を統合したＩＴ障害分類木１１１が生成される。ただし、「new_node」のＩＴ障害イベントブロック要素には、「child_node_Ａ」と「child_node_Ｂ」の要素を加えたものを設定する。
【０１０３】
（ステップ９０８）
ＩＴ障害検知・検索コンピュータ１０３は、変数「node」に設定されているＩＴ障害分類木４２０の子ノードのうち、対象とするＩＴ障害イベントブロックを含むノードを削除することによりノードを分割する。
【０１０４】
図１１（３）は、ノードの分割を説明する図である。変更前のＩＴ障害分類木１１２０には、「node」の子要素として「child_node_Ａ」及び「child_node_Ｂ」があり、更に「child_node_Ａ」の子要素として「grandchild_node_Ｃ」及び「grandchild_node_Ｄ」がある。今、該当ＩＴ障害イベントブロックを含む「child_node_Ａ」を分割することで最大のＣＵ値（Category Utility）が得られるとする。このとき、ＩＴ障害検知・検索コンピュータ１０３は、「child_node_Ａ」を削除して「grandchild_node_Ｃ」及び「grandchild_node_Ｄ」を「node」の子要素とする。この結果、「child_node_Ａ」を分割したＩＴ障害分類木１１２１が得られる。
【０１０５】
（まとめ）
以上説明したように、本実施例によれば、ＩＴシステムの運用中に監視イベントの属性値に変化を伴う変更が発生した場合でも、過去に発生した類似のＩＴ障害イベントブロックの検索が可能となる。その結果、過去の同種のＩＴ障害発生時に実行した対策を、復旧担当者に効果的に提供することができる。
【０１０６】
また、本実施例の場合、ＩＴシステム変更後に発生した監視イベントについてＩＴ障害分類木を最初から再作成するのではなく、ノードのインクリメント処理及びデクリメント処理による修正を可能とする。これにより、ＩＴ障害分類木の作成に要する計算量を削減することができる。
【０１０７】
また、本実施例の場合、ＩＴ障害分類木の変化量が閾値を越える場合には、その変化の発生時を起点として前後所定の範囲内で変化した属性と属性値を解析して決定木を作成する。これにより、ＩＴ障害分類木に生じた構造変化の追跡が可能となる。
【０１０８】
（他の形態例）
本発明は上述した実施例に限定されるものでなく、様々な変形例が含まれる。例えば、上述した形態例は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある形態例の一部を他の形態例の構成に置き換えることが可能であり、また、ある形態例の構成に他の形態例の構成を加えることも可能である。また、各形態例の構成の一部について、他の構成を追加、削除又は置換することも可能である。
【０１０９】
また、上述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路その他のハードウェアとして実現しても良い。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することにより実現しても良い。すなわち、ソフトウェアとして実現しても良い。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリやハードディスク、SSD（Solid State Drive）等の記憶装置、ICカード、SDカード、DVD等の記憶媒体に格納することができる。
【０１１０】
また、制御線や情報線は、説明上必要と考えられるものを示すものであり、製品上必要な全ての制御線や情報線を表すものでない。実際にはほとんど全ての構成が相互に接続されていると考えて良い。
【符号の説明】
【０１１１】
１０１…監視対象サーバ群
１０２…監視サーバ
１０３…ＩＴ障害検知・検索コンピュータ
１０４…ＩＴ障害ＤＢ
３１１…ＩＴ障害検知・検索プログラム
４００…ＩＴ障害イベントブロックテーブル
４１０…ＩＴ障害特徴テーブル
４２０…ＩＴ障害分類木
４３０…変化テーブル
５００…設定画面
５０１…ＩＴ障害イベント種類入力部
５０２…最大イベント時間間隔入力部
５０３…変化検知時間窓幅入力部
５０４…変化量閾値入力部
５０５…変化解析時間窓幅入力部
１３００…変化解析テーブル
１３１０…変化解析決定木
【図１】
0005735326.tif 000005
【図２】
0005735326.tif 000006
【図３】
0005735326.tif 000007
【図４−１】
0005735326.tif 000008
【図４−２】
0005735326.tif 000009
【図５】
0005735326.tif 000010
【図６】
0005735326.tif 000011
【図７】
0005735326.tif 000012
【図８】
0005735326.tif 000013
【図９】
0005735326.tif 000014
【図１０】
0005735326.tif 000015
【図１１】
0005735326.tif 000016
【図１２】
0005735326.tif 000017
【図１３】
0005735326.tif 000018