(57)【要約】【課題】不具合等の箇所を運用管理者等に指摘するネットワーク運用サポート方法及びシステム並びにプログラムを提供する。【解決手段】システム１０は、字句解析手段２２、状況判断モデル構築手段２６及び状況判断手段２８を備える。字句解析手段２２は、監視メッセージに含まれる字句の中から予め登録された字句を抽出して、これと１対１に対応させた属性情報と状態情報を得ている。状況判断モデル構築手段２６は確率モデルを構築している。状況判断手段２８は、確率モデル、属性情報及び状態情報を入力し、この属性情報及び状態情報を確率モデルに入れて確率伝播計算を行い、推論結果を得ている。推論に際しては、監視目的に応じて構造化して作成したベイジアンネット確率モデルを用いる。得られた推論結果は、定常状態と比較した状態変移度や重要度に従って加工され、高位の計算値を持つ監視対象オブジェクトとその状態が編集されてユーザに提示される。【選択図】図１
2008011121.tif 000002
【特許請求の範囲】
【請求項１】
監視対象ネットワークの確率モデルを状況判断モデル構築手段で構築し、
前記監視対象ネットワークを構成している各部の状態に起因して得られる監視メッセージの中から抽出する字句を予め登録するとともに、前記各部の属性情報と状態情報とを示す表面事象を前記字句に対応させて字句解析手段に予め登録し、
前記字句解析手段で、入力した前記監視メッセージの中から登録した前記字句を抽出することにより前記表面事象を得て、
前記表面事象を入力条件として前記確率モデルに与えて確率伝播計算を状況判断手段で行い、推論結果を得る、
ことを特徴とするネットワーク運用サポート方法。
【請求項２】
前記確率モデルを、
監視目的となるノードで構成した抽象概念レイヤーと、
ネットワーク・コンフィグレーションの物理構成に対応し、監視対象オブジェクトとなるノードで構成したオブジェクトレイヤーと、
前記監視メッセージの前記表面事象を示すノードで構成した表面事象レイヤーとで構築し、
前記表面事象レイヤーを構成するノードは、前記オブジェクトレイヤーを構成する複数のノードと接続する、
ことを特徴とする請求項１に記載のネットワーク運用サポート方法。
【請求項３】
前記表面事象を、
１つの前記監視メッセージから得た表面事象を前記確率モデルに与える単発型と、
ある時間を予め設定して、この時間内に前記監視対象ネットワークの不具合が改善されなければ表面事象を前記確率モデルに与える組合せ型と、
ある時間を予め設定して、この時間内に得た複数の前記表面事象を前記確率モデルに与える連鎖型と、
のいずれかに分類することを特徴とする請求項１または２に記載のネットワーク運用サポート方法。
【請求項４】
前記推論結果を、因果関係または依存関係の順方向・逆方向の前記確率伝播計算を行って得られた確率値と、初期状態の確率値との差を求めて得ることを特徴とする請求項１ないし３のいずれかに記載のネットワーク運用サポート方法。
【請求項５】
前記推論結果から得た状態変移度、予め設定した監視対象オブジェクトの重要度および予め設定した事象の優先度を用いて重み付けし、
この重み付けした中から予め指定した数の重要度の高いオブジェクトおよびその状態を抽出して判断結果を得る、
ことを特徴とする請求項１ないし４のいずれかに記載のネットワーク運用サポート方法。
【請求項６】
監視メッセージに含まれる字句の中から抽出したい字句を予め記憶し、入力した前記監視メッセージの中から抽出したい字句を検索し、抽出した字句に対応した属性情報を得るとともに、抽出した字句に対応した状態情報を得る字句解析手段と、
監視対象ネットワークを、監視目的と、監視対象オブジェクトと、属性情報および状態情報とで構成して、前記監視対象ネットワークの確率モデルを構築する状況判断モデル構築手段と、
前記状況判断モデル構築手段および前記字句解析手段に接続し、前記確率モデル、前記属性情報および前記状態情報を入力し、この属性情報および状態情報を前記確率モデルに入れて確率伝播計算を行い、推論結果を得る状況判断手段と、
を備えたことを特徴とするネットワーク運用サポートシステム。
【請求項７】
前記状況判断手段に接続しており、前記状況判断手段から入力した前記推論結果を元に状態変移度や事象の重要度を求め、予め設定した数の上位の前記監視対象オブジェクトを抽出する判断結果提示手段を備えたことを特徴とする請求項６に記載のネットワーク運用サポートシステム。
【請求項８】
請求項６または７に記載のネットワーク運用サポートシステムの各手段としてコンピュータを機能させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視対象ネットワークから得た監視メッセージを処理して、不具合を運用管理者等に提示するネットワーク運用サポート方法およびネットワーク運用サポートシステム並びにプログラムに関するものである。
【背景技術】
【０００２】
コンピュータやコンピュータ・ネットワーク（監視対象ネットワーク）を構成している監視対象物（監視対象オブジェクト）の個別監視システムは、自己が担当する監視対象オブジェクトの状態を監視し、状態が変移する都度、または一定間隔毎に状態を監視メッセージに編集して報告している。この監視メッセージの送り先は通常、マネージャと呼ばれている各個別監視システムの管理システムやコンソール画面である。そして各マネージャは、さらに自らの監視メッセージを統合マネージャに集中させる場合もある。
【０００３】
ところで監視対象オブジェクトに不具合が発生する場合があるので、いち早く不具合箇所を特定して、この不具合を解消しなければならない。このためコンピュータを運用するサイトやオペレーションセンターで働く運用管理者や運行担当者（以下運用管理者等という。）は、監視メッセージの収集方式や内容の形式に関わらず、マネージャや統合マネージャに集められた監視メッセージをコンソール画面上で目視し、自らの知識によって不具合箇所と緊急度を判定してアクションを起こさなければならない。
【０００４】
なおネットワークの監視システムについて開示したものには、特許文献１，２がある。
【特許文献１】特開２０００−１５１６０５号公報
【特許文献２】特開２００２−２２９８７１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
前述したように運用管理者等は、監視メッセージを読んでその内容を判断し、自らの知識に基づいて不具合箇所と緊急度を判定し、素早くアクションを起こす必要がある。また運用管理者等は、現在表示されている監視メッセージの内容が、過去の「どの」経験と同じ事態かを思い起こし、この経験に基づいてアクションを起こすことが重要である。このため運用管理者等は、ネットワークに関する十分な知識や豊富な経験が必要なので、経験や知識の無い運用管理者等は十分な対応をとることができない場合がある。
【０００６】
また監視メッセージは１つだけ送られてくるばかりでなく、短時間に大量に送られてくることもある。すなわち監視対象ネットワークを構成しているある装置に不具合が発生した場合に、この装置に関連する他の装置に対しても前述した不具合の影響を及ぼすことがある。そして、この他の装置に関連している、さらに他の装置に対しても、前述した不具合の影響を及ぼすことがある。このようなときには、不具合が発生した装置についての監視メッセージが送られるとともに、不具合が波及した他の装置についての監視メッセージも送られるので、不具合の根源となる装置について送られた監視メッセージが、他の装置について送られてきた大量の監視メッセージに埋れてしまう。
【０００７】
そして不具合が他の装置に波及すればする程、不具合の根源とならない装置に起因して送られてきた派生型の監視メッセージによって、不具合の根源となる監視メッセージが埋れてしまう。また監視メッセージとして現れてくる表面的な不具合が、本当に起こっている根源的な不具合と異なる場合もある。このような状況では、特に運用管理者等の知識や経験が重要になってくるが、近年は、ネットワークが大規模になり運用サイト数も急増したことにより、知識や経験の少ない運用管理者等が増えているので、不具合を素早く判断して、ネットワークの不具合箇所を指摘することができなくなっている。
【０００８】
また特許文献１に開示された発明は事象の報告をオペレータにしているだけで、トラブルの原因となった箇所を特定しておらず、また原因箇所を特定するには、ジャーナルログを見てオペレータが検討しなければならない。このためオペレータに対して知識や経験が要求され、問題解決のために素早く対応できない。
【０００９】
さらに特許文献２に開示された発明は、短時間に大量のメッセージを受けた場合に対応できず、また不具合の根源がわからないおそれがある。このため不具合の根源を特定するためには、オペレータに対して知識や経験が要求される。
【００１０】
本発明は、監視メッセージを運用管理者等に代わって解読し、監視対象ネットワークの不具合箇所を高速に判断して運用管理者等に指摘するネットワーク運用サポート方法およびシステム並びにプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明に係るネットワーク運用サポート方法は、監視対象ネットワーク上の物理的・論理的オブジェクトの依存関係を示す独自の確率モデルを状況判断モデル構築手段で構築し、監視対象ネットワークを構成している各部（監視対象オブジェクト）の状態に起因して得られる監視メッセージの中から抽出する字句を予め登録するとともに、前述した各部の属性情報と状態情報とを示す表面事象を前記字句に対応させて字句解析手段に予め登録し、この字句解析手段では、監視対象ネットワークから得た監視メッセージの中から登録した字句を抽出することにより表面事象を得て、この表面事象を条件として確率モデルに与えて確率伝播計算を状況判断手段で行い、推論結果を得ることを特徴としている。
【００１２】
また本発明に係るネットワーク運用サポート方法は、確率モデルを、監視目的となるノードで構成した抽象概念レイヤーと、ネットワーク・コンフィグレーションの物理構成に対応し、監視対象オブジェクトとなるノードで構成したオブジェクトレイヤーと、監視メッセージの表面事象を示すノードで構成した表面事象レイヤーとで構築し、表面事象レイヤーを構成するノードは、オブジェクトレイヤーを構成する複数のノードと接続することを特徴としている。
【００１３】
また前述した表面事象を、１つの監視メッセージから得た表面事象を確率モデルに与える単発型と、ある時間を予め設定して、この時間内に監視対象ネットワークの不具合が改善されたことを報告するメッセージが受信されなければ表面事象を確率モデルに与える組合せ型と、ある時間を予め設定して、この時間内に得た一定の分類範囲内の複数の表面事象を確率モデルに与える連鎖型と、のいずれかに分類することを特徴としている。
【００１４】
また前述した推論結果を、因果関係または依存関係の順方向・逆方向の確率伝播計算を行って得られた確率値と、初期状態（無条件）の確率値との差を求めて得ることを特徴としている。
【００１５】
また本発明に係るネットワーク運用サポート方法は、監視対象オブジェクトの推論結果から得た状態変移度、予め設定した監視対象オブジェクトの重要度および予め設定した事象の優先度を用いて重み付け、すなわち事象の重要度を求めて、重要度の高いオブジェクトとその状態を指定された数だけ抽出することによって判断結果を得ることを特徴としている。
【００１６】
そして本発明に係るネットワーク運用サポートシステムは、字句解析手段、状況判断モデル構築手段および状況判断手段を備えたことを特徴としている。そして字句解析手段は、監視対象オブジェクトの不具合等によって得られる監視メッセージに含まれる字句の中から抽出したい字句を予め記憶し、入力した監視メッセージの中から抽出したい字句を検索し、抽出した字句に対応した属性情報を得るとともに、抽出した字句に対応した状態情報を得ることを特徴としている。また状況判断モデル構築手段は、監視対象ネットワークを監視目的と、監視対象オブジェクトと、属性情報および状態情報とで構成して、監視対象ネットワークの確率モデルを構築することを特徴としている。さらに状況判断手段は、状況判断モデル構築手段および字句解析手段に接続し、確率モデル、属性情報および状態情報を入力し、この属性情報および状態情報を確率モデルに入れて確率伝播計算を行い、推論結果を得ることを特徴としている。
【００１７】
また本発明に係るネットワーク運用サポートシステムは、状況判断手段に接続しており、状況判断手段から入力した推論結果を元にして状態変移度と事象の重要度を求め、予め設定した数の上位の監視対象オブジェクトを抽出する判断結果提示手段を備えたことを特徴としている。
【００１８】
また本発明に係るプログラムは、前述したネットワーク運用サポートシステムの各手段としてコンピュータを機能させることを特徴としている。
【発明の効果】
【００１９】
監視メッセージを解読して属性情報と状態情報を示す表面事象を読み出すことで、不具合等が発生している場所と状況を得る。そして表面事象を確率モデルに入力して確率伝播計算を行うことにより、不具合等の根源となる監視対象オブジェクトを推定できる。また表面事象や確率伝播計算の結果は直に得ることができる。これにより非専門家の運用管理者等に対して必要なアクションの箇所を素早く指摘できる。
【００２０】
また確率モデルを複数のレイヤーに分割したので、複数有る監視対象オブジェクトのうち、監視対象オブジェクト同士の因果関係や依存関係を示すことができ、根源となる監視対象オブジェクトを正確に推定できる。また表面事象レイヤーのノードと、これに接続するオブジェクトレイヤーのノードとを１対多の関係で接続したので、不具合等の根源に行き着くルートを複数用意でき、根源を正確に特定できる。
【００２１】
また状況判断手段において、表面事象を単発型、組合せ型および連鎖型のいずれかに分類しているので、監視対象オブジェクトの状況に適切に対応でき、より正確に根源となる監視対象オブジェクトを特定できる。また表面事象が連鎖型の場合は、関係する表面事象を纏めて確率モデルに入力しているので、根源となる監視対象オブジェクトにたどり着き易くなる。
【００２２】
また確率モデルに入力条件を与えて得た確率値と無条件のときの確率値との差を取って状態変移度を求めているので、無条件のときから確率がどれだけ変移したか分かり、変化の大きいものに注目できる。また確率伝播計算の推論結果を、判断結果提示手段で重み付け処理しているので、推論結果の重要度を考慮でき、より正確に根源となる監視オブジェクトを特定できる。
【００２３】
またプログラムをコンピュータにインストールすると、このコンピュータはネットワーク運用サポートシステムとして動作できる。
【発明を実施するための最良の形態】
【００２４】
以下に、本発明に係るネットワーク運用サポート方法およびシステム並びにプログラムの最良の実施形態について説明する。図１はネットワーク運用サポートシステムのブロック図である。図２はネットワークのブロック図である。
【００２５】
図２に示すように、ネットワーク運用サポートシステム１０には、このシステム１０によって監視される監視対象ネットワーク１２が接続している。そしてネットワーク運用サポートシステム１０が、複数の監視対象ネットワーク１２を監視する場合には、これらの監視対象ネットワーク１２によって監視対象ネットワーク群１４を構成している。そして監視対象ネットワーク１２には、それぞれにマネージャ１６を設けている。マネージャ１６は、自己が受け持つ監視範囲や監視対象物に不具合等が発生したら、テキストベースの監視メッセージを出力するものである。
【００２６】
この監視メッセージは、一般的に、メッセージ本文の他にデータ要素を持っている。このデータ要素は、事象の発生時刻や報告者、情報発生源、その他の情報等である。ここで報告者とは、監視メッセージを生成した各個別監視システムの総称である。またその他情報とは、報告時刻や宛先、規約データ・オブジェクト修飾子等である。
【００２７】
なおマネージャ１６はベンダ毎に種々の製品がある。そしてユーザのコンピュータサイトにおいては、コンピュータメーカーやベンダの提案にしたがって種々のマネージャ１６を組み合わせて使用することが多い。組合せの対象になるものは、例えば、レガシーシステムや様々なサーバ等のコンピュータシステム、ルータやハブ、スイッチ等の通信機器、ネットワーク上で独立したディスク装置やバックアップ装置等の入出力機器、個別ユーザ用のコンピュータや端末機器、周辺機器等の端末システム等の製品である。
このようなマネージャ１６は、ネットワーク運用サポートシステム１０に統合マネージャ１８を介して接続していたり、直接に接続していたりする。
【００２８】
ネットワーク運用サポートシステム１０は、図１に示すように、監視メッセージ・インターフェース２０（以下入力手段２０という。）、字句解析手段２２、構成情報記憶手段２４、状況判断モデル構築手段２６、状況判断手段２８および判断結果提示手段３０を備えている。入力手段２０は統合マネージャ１８やマネージャ１６に接続しており、これらから監視メッセージを受信するようになっている。この入力手段２０に字句解析手段２２が接続している。
【００２９】
字句解析手段２２は、定型句（字句）で監視メッセージを走査し、表面事象を解読している。この字句解析手段２２には、監視メッセージの中から抽出したい定型句が予め登録してある。また字句解析手段２２には、定型句から属性情報（ノード正式名称）を得るために、定型句と属性情報とを予め対応させてあるとともに、定型句から状態情報（状態値）を得るために、定型句と状態情報とを予め対応させて、これらを登録してある。なお定型句には同義のものがあるため、複数の定型句から一の属性情報が得られるようになっており、また複数の定型句から一の状態情報が得られるようになっている。
【００３０】
そして字句解析手段２２は、属性情報と状態情報を監視メッセージから別々に抽出できるようになっている。より具体的に説明すると、字句解析手段２２は、入力手段２０を介して入力した監視メッセージをテキスト検索し、この監視メッセージに含まれている登録された定型句を読み出して、この抽出した定型句から属性情報を得るとともに、抽出した定型句から状態情報を得て、属性情報と状態情報を表面事象として出力している。このような字句解析手段２２に状況判断手段２８が接続している。
【００３１】
また構成情報記憶手段２４は、監視対象ネットワーク１２の包含関係や従属関係（依存関係）、因果関係を記憶している。すなわち監視対象ネットワーク１２には、マネージャ１６が監視を行っている監視対象オブジェクトが有り、この監視対象オブジェクトの依存関係や因果関係を構成情報記憶手段２４が記憶している。この構成情報記憶手段２４に状況判断モデル構築手段２６が接続している。
【００３２】
状況判断モデル構築手段２６は、構成情報記憶手段２４に蓄積されている包含関係や従属関係、因果関係を用いて確率モデル（状況判断モデル）を構築している。図３は構築された確率モデルの説明図である。確率モデルは、監視対象ネットワーク１２を構成している構成要素をノードとして、関連するノード同士を接続することにより構成してある。なおノードは、図３に示す楕円形状の部分を指している。
【００３３】
具体的には、確率モデルは、抽象概念レイヤー４０、オブジェクトレイヤー４２および表面事象レイヤー４４を備えている。そして抽象概念レイヤー４０が上流になるとともに、表面事象レイヤー４４が下流になっている。各レイヤーは、構成要素となるノードを備えている。そして抽象概念レイヤー４０は監視目的やサービス要因、監視対象オブジェクトの要約因子等（以下監視目的という。）となるノードで構成してある。またオブジェクトレイヤー４２は、ネットワーク・コンフィグレーションの物理構成に対応し、監視対象オブジェクトとなるノードで構成してある。さらに表面事象レイヤー４４は、監視メッセージの表面事象を示すノードで構成してある。そして各ノードには、下位概念となるノードがその下流に接続している。このとき構成情報記憶手段２４に蓄積してある因果関係や依存関係に基づいて、ノード同士を接続している。このような確率モデルを構築する状況判断モデル構築手段２６には、状況判断手段２８が接続している。
【００３４】
状況判断手段２８は、字句解析手段２２から表面事象を入力するとともに、状況判断モデル構築手段２６から確率モデルを入力し、表面事象を入力条件として確率モデル上で確率伝播計算（ベイズ推論を用いた推論計算）を行っている。なお状況判断手段２８は、入力した表面事象を単発型、組合せ型および連鎖型の３タイプに分けた後、推論計算を行っている。これにより監視メッセージによって報告された、不具合の可能性の高い監視対象オブジェクトを推定している。この状況判断手段２８に判断結果提示手段３０が接続している。
【００３５】
判断結果提示手段３０は、状況判断手段２８で得られた推論結果のうち、定常状態と比較した場合の状態変移度の上位となる監視対象を拾い出している。具体的には、判断結果提示手段３０は、推論された複数の監視対象オブジェクトの中から、不具合の可能性がより高い（状態変移が大きく重要な）上位の監視対象オブジェクトを拾い出している。なお監視対象オブジェクトは、推論結果に対して重み付け処理を行い、重要度順に指定された個数を拾い出し、この処理・判断結果を、監視対象ネットワーク１２を監視している運用管理者等に提示している。なお重み付けの処理は、不具合（異常事態）に注目するために行っている。
【００３６】
次に、図３に例示する確率モデルについて、より詳しく説明する。この確率モデルが表現しているのは、(１)監視対象ネットワーク１２の全体または一部を総体的に評価する論理単位、(２)監視対象オブジェクトとその状態（オブジェクトの状態）、(３)マネージャ１６が報告した監視対象オブジェクトとその状態（表面事象）の３種類の要素を因果関係で結んだものである。すなわち確率モデルによって、監視対象ネットワーク１２を構成する監視対象オブジェクトの依存関係を扱うことができる。
【００３７】
具体的に示すと、確率モデルは、運用管理者等が初期操作（電源オン）をした後、単独で運転できる単位（例えばコンピュータシステムやインテリジェントな通信／周辺機器等）を最上位とし、その機器上で作動するプロセスやリソースを依存オブジェクトとして表記している。このような依存関係は、監視対象オブジェクトの全階層にわたって継承されている。
【００３８】
また確率モデルは、ネットワーク・コンフィグレーションにそった装置の派生事象等や因果情報も盛り込んでいる。さらに確率モデルは、マネージャ１６のうち単体で動く監視手段を独立体として表記しているが、コンピータ上の監視エージェント等プロセスとして動くものは、その実装体の従属オブジェクトとして表現している。
【００３９】
このような確率モデルの構造は、監視対象ネットワーク１２上の事象の因果関係や装置同士の依存関係に準拠している。そして確率モデルは、（ア）上位の監視対象オブジェクトが立ち上がると下位の監視対象オブジェクトが作動可能になる、（イ）上位に障害が起きると下位に影響し、上位が停止すると下位も停止する、（ウ）特定の監視対象オブジェクトを集めて論理的な監視単位を形成することができる、（エ）各監視対象オブジェクトと前記監視エージェントの状態が作用して監視メッセージを作る、という主な事実関係を有している。
【００４０】
なお確率モデルは、前述した（ア）ないし（エ）の事実関係を取り込むために、抽象概念レイヤー４０、オブジェクトレイヤー４２および表面事象レイヤー４４の各階層を有している。抽象概念レイヤー４０は、監視目的となるノードで構成してある。具体的には、抽象概念レイヤー４０は、個別監視システムやネットワーク、サービス状況のノードを備えている。
【００４１】
またオブジェクトレイヤー４２は、監視対象オブジェクトとそれらの上下関係や依存関係となるノードで構成してある。具体的には、オブジェクトレイヤー４２はノードとして、個別監視システムの下位概念となる前記監視エージェント、ネットワークの下位概念となる通信ハブやコンピュータ、サービス状況の下位概念となるサービスを備えている。またオブジェクトレイヤー４２はノードとして、前述した通信ハブの下位概念となる通信１や通信２、コンピュータの下位概念となるリソースやインターフェース、プロセスを備えている。さらにオブジェクトレイヤー４２はノードとして、前述したリソースの下位概念となる演算処理装置（ＣＰＵ）やメモリ、ハードディスクドライブ（ＨＤＤ）、前述したインターフェースの下位概念となる通信、前述したプロセスの下位概念となる前記監視エージェントや前記サービスを備えている。
【００４２】
さらに表面事象レイヤー４４は、監視対象オブジェクトと前記監視エージェントの状態の組合せに依存した監視メッセージ内容となるノードで構成してある。具体的には、表面事象レイヤー４４はノードとして、通信１や通信２、ＣＰＵ、メモリ、ＨＤＤ、通信、サービスを備えている。なお表面事象レイヤー４４を構成する各ノードは、上位概念（オブジェクトレイヤー４２）にあるノードのうちの少なくとも２つと接続している。
【００４３】
そして確率モデルでは、事象間の因果関係を各ノードの条件確率として表（ＣＰＴ：Ｃｏｎｄｉｔｉｏｎａｌ  Ｐｒｏｂａｂｉｌｉｔｙ  Ｔａｂｌｅ）に表現している。この条件確率表はノード毎に持ち、親ノードの状態値に応じて子ノードが取り得る状態値の確率を設定している。なお最上流のノードの条件確率表は、条件の無い表になっている。
【００４４】
そして状況判断の処理においては、この条件確率表を用いて逆推論を行っている。すなわち与えられる入力条件は結論側の「表面事象」の状態値で、状況判断手段２８は同時確率の計算式を用いて親ノード（前記監視エージェントと監視対象プロセス）の状態の確率を計算している。
【００４５】
また確率モデルは、監視対象オブジェクトに加えて前記監視エージェントと監視メッセージを追加することにより、ネットワーク運用サポートシステム１０が影響を受ける障害事象を追跡することができ、根源の推測がより広くなるとともに、確実になる。例えば、あるシステム上で複数のプロセスが監視不能に陥った場合、その根源として、監視対象ネットワーク１２の障害、そのシステムのリソースが満杯、セキュリティ攻撃によるＣＰＵの空回りで前記監視エージェントが動かない等の推測が可能になり、対応策の選択肢が広がる。
【００４６】
なおネットワーク運用サポートシステム１０では、後述するように、これらの根源を確率による重み付けによって提示し、優先度のついたアクション推奨を行うことができる。
【００４７】
次に、ネットワーク運用サポート方法について説明する。図４はサポート方法を説明するフローである。まずマネージャ１６は、監視対象オブジェクトに不具合等が発生すると、不具合が発生したことを示す監視メッセージを出力する。この監視メッセージは、統合マネージャ１８を介してマネージャ１６からネットワーク運用サポートシステム１０に入力し、またはマネージャ１６からネットワーク運用サポートシステム１０に直接に入力する。なお統合マネージャ１８を介すか否かは、ユーザの設定によって変わる。
【００４８】
ネットワーク運用サポートシステム１０では、入力手段２０で監視メッセージを受信する（Ｓ１００）。この後、監視メッセージは字句解析手段２２に入力する。字句解析手段２２には、監視メッセージから必要な定型句を検出するために、予め検出したい定型句が定義してある（Ｓ１０２）。すなわち字句解析手段２２は、定型句となる検索対象オブジェクト名と検索対象語句を登録している。そして字句解析手段２２は、定型句（検索対象オブジェクト名）から属性情報（ノード正式名称）を得るためにオブジェクト管理テーブルを備えるとともに、定型句（検索対象語句）から状態情報（状態値）を得るために事象管理テーブルを備えている（Ｓ１０２）。
【００４９】
図５はオブジェクト管理テーブル上のデータ管理項目を示している。通常の監視メッセージは「どこの何が、どうなった」という形式であることを踏まえ、「どこの何」を確率モデルのノード名として定義している。これを「ノード正式名称」欄に指定し、それを引き当てるために「どこの」に相当する値を「親オブジェクト」欄に、「何」に相当して変換する値を「オブジェクト名」欄に指定している。ノードが特定されると、クラスとサブクラスが判明し、取り得る状態の範囲が特定できる。これら要素が直接指摘できない場合に備え、字句解析手段２２は要素毎に「検索対象オブジェクト名」を登録し、「オブジェクト名」および「ノード正式名称」への変換を可能にしている。なおオブジェクト管理テーブルで管理している項目は、検索対象オブジェクト名、不具合検知の最小単位を示すオブジェクト名、オブジェクトの大分類を示すクラス、親オブジェクト、オブジェクトの中分類を示すサブクラス、属性情報を示すノード正式名称、サブネットワーク（サブネットＩＤ）およびＣｏｍｍｅｎｔｓである。
【００５０】
図６は事象管理テーブル上のデータ管理項目を示している。事象は、監視対象オブジェクトが「どうなったか」を規定するものである。各事象はオブジェクトのサブクラスと１対多の関係にある。またサブクラスの属性が「あり得る事象」の範囲を規定する。このため字句解析手段２２は、この事実を利用しながら字句解析を行っている。そして検索対象語句は、空白で区切って複数の語句を指定することができる。なお事象管理テーブルで管理している項目は、検索対象語句、事象名称、サブクラス、状態値、事象タイプおよび間隔である。
【００５１】
またオブジェクト管理テーブルや事象管理テーブルでは、前述した項目の他に、補助的な語句管理項目として、同義語や名前付けルール、定型句群を管理している。なお名前付けルールは、標準では、クラスやサブクラス毎に特定の接頭詞を付加する方法を前提としている。
【００５２】
そして字句解析手段２２は、定型句による字句解析を行う（Ｓ１０４）。すなわち字句解析手段２２は、まず予め登録されている定型句（検索対象オブジェクト名）が監視メッセージに含まれているか検索し、定型句が含まれているなら、その定型句から「どこの何」を表すノード正式名称を得る。例えば図５の上段に示すように、監視メッセージに「ｉｐｏｐ３ｄ」（検索対象オブジェクト名）が含まれているなら、ノード正式名称が「ＭＡＩＬ１＿ｉｐｏｐ３ｄＲ」と判断する。なお前述した「どこの何」（属性情報）は、確率モデル内のノードの相対的な位置関係を示しており、ノードの依存関係や因果関係によって表されている。
【００５３】
この後、字句解析手段２２は、予め登録されている定型句（検索対象語句）が監視メッセージに含まれているか再度検索し、この監視メッセージの中に含まれる定型句から「どうなったか」を表す状態値を得る。例えば図６の上段に示すように、監視メッセージに「ａｄｄｒｅｓｓ  ｎｏｔ  ｌｉｓｔｅｄ」（検索対象語句）が含まれているなら、状態値が「Ｓｅｃ＿Ａｔｔａｃｋ」と判断する。
【００５４】
このようにして字句解析手段２２は事象の主語と述語を設定する（Ｓ１０６）。すなわち表面事象を決定する。この後、表面事象は状況判断手段２８に入力する。
【００５５】
状況判断手段２８は、入力した表面事象の事象タイプを分類する（Ｓ１０８）。すなわち状況判断手段２８は、単発型、組合せ型および連鎖型のいずれかの事象タイプに表面事象を分類する。この分類は、属性情報や状態情報に応じて、単発型、組合せ型および連鎖型のいずれかに当てはまるように予め設定することにより行える。そして単発型は、１つの監視メッセージから得た表面事象をそのまま確率モデルの入力条件としている。
【００５６】
また組合せ型は、不具合の発生を示す監視メッセージと、不具合の終了を示す監視メッセージまたは他の状態への移行したことを示す監視メッセージとの組合せを利用する形態である。具体的な一例としては、メモリの使用率が警戒域まで上昇した後、一定時間内に正常状態に戻る、または、さらに危険域まで達した後に正常状態に戻る等の事象の把握を行うためのものである。
【００５７】
さらに連鎖型は、複数の監視対象オブジェクトが接続して監視対象ネットワーク１２を構成している場合に、ある１つの監視対象オブジェクトに不具合等が発生して他の監視対象オブジェクトに派生（連鎖）したときの事象（派生事象）を把握するためのものである。そして連鎖型は、同一の監視対象ネットワーク１２から一定時間内に受信した全ての監視メッセージによる見掛けの事象を蓄積し、その時間が経った後に条件設定して状況を判定する形態である。これによって、見掛けの事象とは異なる根源事象の推定が可能になる。具体的な一例としては、複数のサービスプロセスが「認識不能」または「監視不可」の状態に陥るのは、多くの場合、個別監視システムの通信エラーに起因している。このため監視メッセージが報告した「見掛けの事象」から、ネットワーク運用サポートシステム１０のエラーという根源を推測できるように確率モデルを構築している。なお連鎖型では、表面事象を分類する範囲を予め規定しておくことができる。すなわち不具合等の根源が複数ある場合に、各根源から不具合等がそれぞれ派生していくことがあるので、連鎖型では表面事象の分類範囲（グループ）を予め規定することで、根源を区別している。そして分類範囲の規定は、図５に示すオブジェクト管理テーブルのデータ項目にサブネットワーク（サブネットＩＤ）を設けておき、このサブネットワークの違いにより行えばよい。すなわちサブネットワーク項目に示される番号によって、分類範囲を規定している。そしてサブネットワーク項目のデフォルト設定は親オブジェクトの範囲と同じにしているが、必要に応じて分類範囲を広げたり狭めたりできる。
【００５８】
そして、単発型、組合せ型および連鎖型のそれぞれの処理は次のようになっている。単発型は、分類された表面事象を、そのまま確率モデルの入力条件としている（Ｓ１１８）。すなわち字句解析手段２２に入力した１つの監視メッセージから１つの表面事象を得て、この表面事象が単独で確率モデルの入力条件となっている。
【００５９】
図７は組合せ型の推論の前処理を示すフローである。組合せ型は、事象開始タイプと事象終了タイプに表面事象を予め分類している。具体的な一例としては、メモリの使用率が警戒域になる事象や、危険域になる事象を事象開始タイプに分類し、メモリの使用率が正常になる事象を事象終了タイプに分類している。そして事象開始タイプの表面事象が分類されてくると（Ｓ２００）、まず監視メッセージで報告された監視対象オブジェクトの状態を作業用一覧表に設定（記録）する（Ｓ２０２）。この状態は、例えば、メモリの使用率が警戒域に達した、または危険域に達した等を表している。
【００６０】
この後、タイマーを起動して一定時間のカウントを開始するとともに（Ｓ１１０，Ｓ２０４）、次の表面事象が入力するまで待機状態となる（Ｓ２０６）。そして、このタイマーが終了する前に、終了を示す監視メッセージが届いた場合は正常と見なして終了する。すなわち、前述した監視メッセージで報告してきた状態が終了したことを示す監視メッセージが届いた場合は、事象終了タイプの表面事象を入力する（Ｓ２０８）。そして該当する監視対象オブジェクトの作業用一覧表を検索して（Ｓ２１０）、タイマーをキャンセルするとともに（Ｓ１１２，Ｓ２１２）、作業用一覧表に記録されている監視対象オブジェクトの状態を消去（初期化）する（Ｓ２１４）。この後は、次の表面事象が入力するまで待機状態となる（Ｓ２１６）。
【００６１】
これに対し、前述したタイマーが時間切れになった場合は、タイマーイベントを起動して（Ｓ１１４，Ｓ２１８）、該当する監視対象オブジェクトの作業用一覧表を検索し（Ｓ２２０）、これに記録されている監視対象オブジェクトの表面事象を確率モデルの入力条件とする（Ｓ１１８，Ｓ２２２）。
【００６２】
図８は連鎖型の推論の前処理を示すフローである。連鎖型は、表面事象が分類されてくると（Ｓ３００）、前述したようにグループ毎に表面事象を累積する（Ｓ１１６）。具体的には、まずグループ管理表の有無を確認している（Ｓ３０２）。このグループ管理表が有する項目は、サブネットワーク、このサブネットワーク内で発生した事象、この事象の発生時刻、オブジェクト名、オブジェクトタイプおよび状態値である。このようなグループ管理表を使用するのは、連鎖型がサブネットワークの定義毎に処理を行っているからである。
【００６３】
そして分類されてきた表面事象についてグループ管理表が無ければ（新規の場合）、グループ管理表を初期設定（作成）する（Ｓ３０４）。これによりサブネットワーク内で連鎖型の最初の監視メッセージを識別したことになるので、この時点でタイマーを起動する（Ｓ３０６）。なおタイマーの設定時間は１ないし２秒程度であればよい。そしてタイマーの設定時間が切れるまで、前記サブネットワーク内の連鎖している監視メッセージの表面事象をグループ管理表で全て一次記録する。
【００６４】
これに対し、分類されてきた表面事象について、既にグループ管理表が作成してあるならば（既存グループ）、グループ管理表を更新する（Ｓ３０８）。すなわち分類されてきた表面事象を、既存のグループ管理表に追記する。この後、次の表面事象が入力するまで待機状態となる（Ｓ３１０）。
【００６５】
この後、グループ管理表毎に設けられているタイマーの設定時間が切れたら、図４に示すように表面事象の累積を終了するとともに（Ｓ１１７）、図８に示すようにタイマーイベントを起動する（Ｓ３１２）。そして次の表面事象が入力するまで待機状態となる（Ｓ３１０）。またタイマーイベントを起動した後は、該当するグループ管理表を取得して（Ｓ３１４）、このグループ管理表に一次記録されている全ての表面事象を確率モデルの入力条件とする（Ｓ１１８，Ｓ３１６）。
【００６６】
そして図４に示すように状況判断手段２８は、図３に例示する確率モデルを状況判断モデル構築手段２６から入力する（Ｓ１２０）。この後、状況判断手段２８は、確率モデルの表面事象レイヤー４４に前述した入力条件を設定する。すなわち確率モデルの各ノードは状態を示す値を持っているので、表面事象の内容にしたがって、「どの監視対象オブジェクト（ノード）がどうなった（どの状態値になった）か」を入力する。
【００６７】
この後、状況判断手段２８は状況判断を行う（Ｓ１２２）。具体的には、ベイジアンネットワークの確率伝播計算を実行して、入力した監視対象オブジェクトから条件確率が伝播する全ての監視対象オブジェクトの条件確率を再計算する。すなわち因果関係の順方向・逆方向の確率が計算され、関連する監視対象オブジェクトと前述した論理単位の各状態の確率が確定する。これにより、論理的に関連する監視対象オブジェクトの確率が得られる。そして状況判断手段２８は、得られた確率値と、何も入力条件を与えていない状態（定常の状態）の確率値との差を基に、各ノードと状態値の重要度を勘案して「状態変移度」を求めて推論結果を得ている。この推論結果は、判断結果提示手段３０に入力する。
【００６８】
また判断結果提示手段３０は、ノード・ステート制御テーブルを入力している（Ｓ１２４）。このノード・ステート制御テーブルは、判断結果提示手段３０で行う推論結果の評価・再加工に利用される、推論結果加工用のデータである。図９はノード・ステート制御テーブルの説明図である。ノード・ステート制御テーブルは、ノード制御データ部、ステート制御データ部およびメッセージ編集部を備えている。
【００６９】
ノード制御データ部は、確率モデル内に定義された各ノードの振る舞いや処理に関する記述である。そしてノード制御データ部の主要な定義情報は、ノード正式名称（確率モデル上の正式名称）、ノードをユーザ向けに表示する時の名称であるモデル表示名、確率モデル上でのノードの用途および確率モデル内における相対的なノードの重要度等の項目である。ここでノードの用途は、条件入力用ノード「Ｉｎ」と推論結果出力用ノード「Ｏｕｔ」に分類することができる。さらに推論結果出力用ノードは、実体ノードと抽象ノードに分類することができる。なお一般的に、オブジェクトのクラスやサブクラスを表現するノードは抽象ノードである。
【００７０】
またノード重要度は、推論結果に対する注目度合いを表現している。なお一般的には、用途に応じて次の傾向がある。入力用ノードは、推論結果に対する注目度が非常に低い。出力（実体）ノードは、ユーザの実際のアクション対象になるため、推論結果に対する注目度が非常に高い。出力（抽象）ノードは、状況判断のために重要なものであるが、アクションの対象にならない分、実体ノードよりも少し低く設定してよい。またステート制御データ部は、確率モデル内の各ノードが取り得る値（状態値）に関する記述である。そしてステート制御データ部の主要な定義情報は、状態値名（確率モデル上の正式名称）、状態値をユーザ向けに表示する時の名称である状態値表示名、確率モデル・ノード内における優先度およびエラー通知等の表現方法等の項目である。なお表現方法は、「ノードＸＸＸ がＹＹＹという状態になった」という形式で、優先度をノードと状態値毎に個別に定義することができる。またメッセージ編集部は、推論および状態変移度計算の結果としてユーザに通知すべき事象の様式を規定している。この規定される様式は、編集フォーマット等である。
【００７１】
そして判断結果提示手段３０は、不具合の状況を重視するために、前述した状態変移度の上位のものを処理し、評価・再加工を行っている（Ｓ１２６）。具体的には、まず判断結果提示手段３０は、状況判断手段２８で得られた推論結果、すなわち原因となる監視対象オブジェクト候補と、ノード・ステート制御テーブルを入力する。
【００７２】
そして判断結果提示手段３０は、不具合の障害状況を重視する判定を行うために、監視対象オブジェクトの重要度、事象・状態の優先度および各事象の状態変移度の３要素を検討している。ここで監視対象オブジェクトの重要度は、確率モデル上でノードとして定義されている。また事象・状態の優先度は、確率モデル上でノードのステート（状態値）として定義されている。さらに各事象の状態変移度は、発生しているであろう尤度を示している。なお状態変移度は、今回の入力条件の下で推論した確率値から無条件（入力条件なし）の場合の確率値を引いたものである。
【００７３】
そして判断結果提示手段３０は、入力条件の下で推論した確率値と、通常の状態（入力条件なし）の確率値との差（状態変移）に対して、ネットワーク運用サポートシステム１０の運用になくてはならないオブジェクトの障害に近い事象程重く評価し、正常に近い事象を軽く評価するために、事象の重要度を求めている。この事象の重要度は、次の式により求められる。
「事象の重要度」＝「状態変移度」×「オブジェクトの重要度」／「事象の優先度」
【００７４】
これにより判断結果として事象の重要度が得られる。この事象の重要度は、最重要領域、要注意領域および無視可能領域に分類でき、「事象の重要度」を加味した変移度計算結果が、運用管理者等の考え方や注目度に近くなる。
【００７５】
この後、判断結果提示手段３０は重要度の高いオブジェクトとその状態を指定された数だけ抜き出して判断結果を提示する（Ｓ１２８）。具体的には、判断結果提示手段３０に備えられているコンソール画面上に判断結果が表示される。なお推論結果の重要度の高い方から順にオブジェクトを抜き出す数は、適宜設定することができる。また判断結果を提示するには、複数の提示方法がある。例えば、最重要イベントのみテキスト形式に編集して表示したり、上位数個の重要イベントを羅列して一覧表示したり、最重要イベントを障害と見立てて、事項のアクション推奨システムを起動し、最重要イベントに関するデータ値をアクション推奨システムに渡したりする提示方法がある。
【００７６】
なおこのような動作をさせるプログラムを構成しておき、これをコンピュータにインストールすればネットワーク運用サポートシステム１０となる。
【００７７】
このようなネットワーク運用サポートシステム１０によれば、マネージャ１６から報告されてくる監視メッセージを解読して「何処で」と「何が」（表面事象）を読み出すことで、監視対象オブジェクトの不具合等の箇所を得ることができる。そして表面事象を確率モデルに入力して確率伝播計算を行うことにより、根源となる監視対象オブジェクトを推定できる。また表面事象や確率伝播計算の結果は直に得ることができる。これにより、ネットワーク全体に対する影響度やサービス継続の可能性を判断できる、非専門家のスタッフに対して必要なアクションの箇所を素早く指摘できる。
【００７８】
また確率モデルを複数のレイヤー４０，４２，４４に分割したので、監視対象オブジェクトの依存関係を示すことができ、根源となる監視対象オブジェクトを正確に推定できる。また表面事象レイヤー４４のノードは、オブジェクトレイヤー４２の複数のノードと接続したので、根源に行き着くルートを複数用意することができ、不具合等の箇所を正確に特定できる。なお各ルートは、確率伝播計算の対象として対等の関係になっている。
【００７９】
また確率モデルに入力条件を与えて得た確率値と、無条件のときの確率値との差を取って状態変移を求めているので、無条件のときから確率がどれだけ変移したか分かり、変化の大きいものに注目できる。
【００８０】
また確率伝播計算の推論結果を、判断結果提示手段３０で重み付け処理しているので、推論結果の重要度を考慮でき、より正確に不具合等の箇所を特定できる。
【００８１】
また状況判断手段２８において、表面事象を単発型、組合せ型および連鎖型のいずれかに分類しているので、監視対象オブジェクトの状況に適切に対応できる。すなわち関係する表面事象を纏めて確率モデルに入力しているので、根源となる監視対象オブジェクトにたどり着き易くなり、より正確に不具合等の箇所を特定できる。
【図面の簡単な説明】
【００８２】
【図１】ネットワーク運用サポートシステムのブロック図である。
【図２】ネットワークのブロック図である。
【図３】確率モデルの説明図である。
【図４】サポート方法を説明するフローである。
【図５】オブジェクト管理テーブル上のデータ管理項目を示す図である。
【図６】事象管理テーブル上のデータ管理項目を示す図である。
【図７】組合せ型の推論の前処理を示すフローである。
【図８】連鎖型の推論の前処理を示すフローである。
【図９】ノード・ステート制御テーブルの説明図である。
【符号の説明】
【００８３】
１０………ネットワーク運用サポートシステム、２２………字句解析手段、２６………状況判断モデル構築手段、２８………状況判断手段、３０………判断結果提示手段。
【図１】
2008011121.tif 000003
【図２】
2008011121.tif 000004
【図３】
2008011121.tif 000005
【図４】
2008011121.tif 000006
【図５】
2008011121.tif 000007
【図６】
2008011121.tif 000008
【図７】
2008011121.tif 000009
【図８】
2008011121.tif 000010
【図９】
2008011121.tif 000011