(57)【要約】【課題】  コンピュータシステムの資源の異常事象を検知し，再発傾向がある異常事象を，より早期かつ高精度で検知する。【解決手段】  監視情報取得部１０３は，監視対象リソース２の監視情報を取得する。通常モード監視部１０９は，通常モード監視ポリシ定義と監視情報を比較し，異常事象を検知すると，緊急モード監視部１１１へ監視が切り替えられる。緊急モード監視部１１１は，緊急モード監視ポリシ定義をもとに監視情報を分析し，異常事象が解消したと判定する。再現事象検出部１１５は，判定を受けて，今回の異常事象の分析結果と分析結果記憶部１１３の過去の分析結果とを比較し，分析結果が類似し，かつ分析結果が生じていた期間が所定の設定再現期間以内であるものを再現事象と判定する。緊急モード監視部１１１は，再現事象がある異常事象の解消判定時から所定の再現期間の経過後に通常モード監視へ切り替える。【選択図】  図１
2008059102.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータシステムの各資源を監視するために，コンピュータを，
監視間隔を含む通常モード監視の監視条件および異常事象の発生を判定する異常検知条件を定義する通常モード監視ポリシ定義，ならびに前記通常モード監視より短い間隔で設定された監視間隔を含む緊急モード監視の監視条件および前記異常事象の解消を判定する異常解消条件を定義する緊急モード監視ポリシ定義を記憶するポリシ定義記憶部と，
監視対象の資源の監視情報を取得する監視情報取得部と，
前記通常モード監視ポリシ定義にもとづいて，前記資源を監視し，当該資源に発生した異常事象を検知する通常モード監視部と，
前記緊急モード監視ポリシ定義にもとづいて，前記資源の所定の状態を分析し，前記分析結果をもとに前記異常事象が解消したか否かを判定する緊急モード監視部と，
前記緊急モード監視部による過去の分析結果を記憶する分析結果記憶部と，
前記緊急モード監視部によって前記異常事象が解消されたと判定された場合に，当該異常事象の分析結果と前記分析結果記憶部に記憶された分析結果とを比較し，分析結果が類似し，かつ該異常事象が複数あり，該複数の該異常事象が生じた時間の間隔である再現期間が所定の設定再現期間以内である過去の分析結果を，当該異常事象を再現事象と判定する再現事象検出部とを備えて，
前記通常モード監視部が前記異常事象の検知を通知した場合に，前記資源の監視を前記通常モード監視から前記緊急モード監視へ切り替えて行い，前記緊急モード監視部が前記異常事象の解消を通知した場合に，前記再現期間を緊急モード監視の延長期間として，前記異常事象の解消の通知時から前記延長期間の経過後に，前記資源の監視を前記緊急モード監視から前記通常モード監視へ切り替えて行う
監視装置として機能させるためのコンピュータ資源監視プログラム。
【請求項２】
前記コンピュータを，
前記再現事象検出部では，前記過去の分析結果から２つ以上の再現事象が検出された場合に，前記設定再現期間以内であって，かつ前記再現事象が生じた時間の間隔のうち最長期間を前記再現期間とし，該再現期間を前記延長期間として決定する処理を行う
監視装置として機能させるための請求項１記載のコンピュータ資源監視プログラム。
【請求項３】
前記コンピュータを，
前記ポリシ定義記憶部に，所定の契機に実行されるアクションの定義を含む前記通常モード監視ポリシ定義が記憶されている場合に，前記契機となる時に前記アクションを実行するアクション発行部を備える
監視装置として機能させるための請求項１または請求項２のいずれか一項に記載のコンピュータ資源監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，コンピュータシステムの各資源の使用状況を定期的に監視するコンピュータ資源監視プログラムに関し，特に，各資源の定期監視を，少なくとも監視間隔が異なる２つの監視モードによる監視を行うものに関する。
【背景技術】
【０００２】
従来から，コンピュータシステムを構成するＣＰＵ，メモリ，ディスクなどの資源状態を，定期監視システムでは，所定の条件にもとづいて異常を検知した場合に監視間隔を短くすることによって，重大な異常事象をなるべく早く検知できるようにして，監視精度を向上させる手法が広く知られている。
【０００３】
このような従来の定期監視システムでは，異常検知の条件と同様に，異常検知後の緊急モードの監視から通常モードの監視への復旧条件も定められており，収集した資源の状態が設定された復旧条件を満たした場合に，当該資源は復旧したものと判断して，監視間隔をもとの通常モード時の間隔に戻すことが行われている。
【０００４】
例えば，特許文献１では，計算機システムのリソース使用率の変動状況を監視し，この使用率が複数設けた閾値のうち，どの閾値に該当するかを判断して監視間隔を変更する。これによって，使用率の変動に応じて監視間隔を動的に変更している。
【特許文献１】特開２００５−４３３６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし，異常事象のなかには，再発する傾向があるものもある。採取された監視データからは復旧したように見えても，小さな異常状態が続いているような場合に，復旧後に再度異常を生じる場合がある。
【０００６】
したがって，検知された異常事象が復旧判定後にも再発する傾向があるか否かを判断し，再発傾向がある異常事象に対して，再発可能性が高い期間中は，通常より細やかな監視を行って，再発を監視する必要がある。
【０００７】
本発明の目的は，コンピュータシステムの資源を通常モードと緊急モードとの２つのモードで監視する場合に，通常モードの監視中に検知された異常事象を，監視間隔がより短い緊急モードで監視し，異常事象が解消したと判定した場合でも，再発傾向がある異常事象については緊急モードでの監視を継続することによって，再発しやすい異常事象を，より早期かつ高精度で検知できる処理をコンピュータに実行させるためのプログラムを提供することである。
【課題を解決するための手段】
【０００８】
本発明は，コンピュータシステムの資源を通常モードと，通常モードより短い間隔で監視する緊急モードとの２つの監視モードを切り替えて監視する場合に，通常モード中に異常事象が検知されると，緊急モードへ切り替える。そして，緊急モード中に監視情報を分析し，この異常事象が解消されたものと判定した場合でも，解消したとみなした異常事象に再発傾向があれば，直ちに通常モードへの復帰を行わずに，所定の期間について緊急モードでの監視を続行し，通常より短い監視間隔で資源を監視することを特徴とする。
【０００９】
本発明は，コンピュータシステムの各資源を監視するために，コンピュータを，１）監視間隔を含む通常モード監視の監視条件および異常事象の発生を判定する異常検知条件を定義する通常モード監視ポリシ定義，ならびに前記通常モード監視より短い間隔で設定された監視間隔を含む緊急モード監視の監視条件および前記異常事象の解消を判定する異常解消条件を定義する緊急モード監視ポリシ定義を記憶するポリシ定義記憶部と，２）監視対象の資源の監視情報を取得する監視情報取得部と，３）前記通常モード監視ポリシ定義にもとづいて，前記資源を監視し，当該資源に発生した異常事象を検知する通常モード監視部と，４）前記緊急モード監視ポリシ定義にもとづいて，前記資源の所定の状態を分析し，前記分析結果をもとに前記異常事象が解消したか否かを判定する緊急モード監視部と，５）前記緊急モード監視部による過去の分析結果を記憶する分析結果記憶部と，６）前記緊急モード監視部によって前記異常事象が解消されたと判定された場合に，当該異常事象の分析結果と前記分析結果記憶部に記憶された分析結果とを比較し，分析結果が類似し，かつ該異常事象が複数あり，該複数の該異常事象が生じた時間の間隔である再現期間が所定の設定再現期間以内である過去の分析結果を，当該異常事象を再現事象と判定する再現事象検出部とを備えて，前記通常モード監視部が前記異常事象の検知を通知した場合に，前記資源の監視を前記通常モード監視から前記緊急モード監視へ切り替えて行い，前記緊急モード監視部が前記異常事象の解消を通知した場合に，前記再現期間を緊急モード監視の延長期間として，前記異常事象の解消の通知時から前記延長期間の経過後に，前記資源の監視を前記緊急モード監視から前記通常モード監視へ切り替えて行う監視装置として機能させるためのプログラムである。
【００１０】
本発明のプログラムがインストールされ実行されるコンピュータは，監視間隔を含む通常モード監視の監視条件および異常事象の発生を判定する異常検知条件を定義する通常モード監視ポリシ定義と，通常モード監視より短い間隔で設定された監視間隔を含む緊急モード監視の監視条件および異常事象の解消を判定する異常解消条件を定義する緊急モード監視ポリシ定義とを記憶するポリシ定義記憶部を備える監視装置として機能し，以下のように動作する。
【００１１】
監視情報取得部は，監視対象であるコンピュータシステムの各資源から定期的に所定の監視情報として，各資源の所定の状態を示す瞬間の計測値（監視値）を取得する。通常モード監視部は，通常モード監視ポリシ定義の監視条件にもとづいて，資源の監視値を異常検知条件と比較し，異常事象を検知する。そして，通常モード監視部は，異常事象を検知すると，資源の監視が緊急モード監視部へ切り替えられる。
【００１２】
緊急モード監視部は，緊急モード監視ポリシ定義にもとづいて，資源の監視値を分析し，分析結果をもとに異常事象が解消したか否かを判定する。また，分析結果を分析結果記憶部に記憶する。
【００１３】
再現事象検出部は，緊急モード監視中に異常事象が解消されたと判定された場合に，異常事象の分析結果と分析結果記憶部に記憶された過去の分析結果とを比較し，分析結果が類似し，かつ異常事象が複数あり，複数の異常事象が生じた時間の間隔である再現期間が所定の設定再現期間以内である過去の異常事象を，この異常事象の再現事象と判定する。そして，緊急モード監視部が，異常事象の解消を通知すると，異常事象の解消の判定時から設定再現期間の経過後に通常モード監視へ切り替えられる。
【００１４】
これにより，資源の異常事象が検出された後，その資源の監視情報が正常の範囲内となって異常事象が解消された場合でも，過去に異常事象の再現事象がある場合には，この異常事象の解消の通知時からしばらくの間（再現期間）は，緊急モードによる監視が続行され，通常モード時よりも短い監視間隔で監視が行われる。よって，再発傾向がある異常事象の再発を，従来よりも早期に検知することができる。
【００１５】
また，本発明は，コンピュータを，前記再現事象検出部では，前記過去の分析結果から２つ以上の再現事象が検出された場合に，前記設定再現期間以内であって，かつ，前記再現事象が生じた時間の間隔のうち最長期間を，前記再現期間とし，該再現期間を前記延長期間として決定する処理を行う監視装置として機能させることができる。
【００１６】
資源の異常事象が解消したと判定された後に，緊急モード監視を続行する場合に，異常事象と類似する過去の再現現象が生じていた期間をもとに緊急モード監視の延長時間を定める。よって，再発傾向がある異常事象に応じて，再発する可能性が高いと考えられる期間を，通常より短い監視間隔の監視モードで監視しつつ，適切なタイミングで通常モードへ戻すことができる。
【００１７】
また，本発明は，コンピュータを，前記ポリシ定義記憶部に，所定の契機に対応づけて実行されるアクションの定義を含む前記通常モード監視ポリシ定義または前記緊急モード監視ポリシ定義が記憶されている場合に，前記契機となる時に前記アクションを実行するアクション発行部を備える監視装置として機能させることができる。
【００１８】
これにより，異常事象検知と対応づけて，データの移動，データの圧縮，所定の宛先へのメール通知などのアクションが定義されていると，異常事象検知の通知時にこれらのアクションが自動的に実行されるため，予め対応策がわかっているような異常事象について，直ちに対処したり，関係者へ迅速に通知したりすることができる。
【００１９】
以上の本発明は，コンピュータが読み取り可能な可搬媒体メモリ，半導体メモリ，ハードディスクなどの適当な記録媒体に格納することができ，これらの記録媒体に記録して提供され，または，通信インタフェースを介して種々の通信網を利用した送受信により提供される。
【発明の効果】
【００２０】
本発明によれば，通常モード監視で異常事象が検知された後に，緊急モード監視に切り替えて監視情報を分析し，分析結果から異常事象が解消されたと判定しても，直ちに通常モード監視に復帰せずに，この異常事象に類似する過去の異常事象から再発傾向の有無を分析し，再発可能性がある異常事象については，緊急モードの監視を再発可能性が高い期間だけ延長することによって，再発性が高い異常事象の再発を，従来に比べてより早期に検知することができる。
【００２１】
例えば，複数台のサーバによるクラスタ・システムの運用を監視する場合に，異常事象発見の遅れによって異常状態のサーバのみで留まる障害がシステム全体に影響を及ぼすという状況が回避でき，システム運用可用性の向上に寄与することができる。
【発明を実施するための最良の形態】
【００２２】
図１は，本発明を実施するための最良の形態における構成例を示す図である。
【００２３】
コンピュータ資源監視装置１は，監視対象リソース２（コンピュータのＣＰＵ，メモリ，ディスクなどの資源）の状態を示す所定の監視情報をネットワーク３を介して収集し，監視対象リソース２の異常を検知する装置である。本実施の形態において，コンピュータ資源監視装置１は，ＣＰＵ，メモリなどを備えるコンピュータにインストールされるプログラムとして実施される。
【００２４】
コンピュータ資源監視装置１は，ポリシ定義記憶部１０１，監視情報取得部１０３，取得情報記憶部１０５，監視モード切り替え部１０７，通常モード監視部１０９，緊急モード監視部１１１，分析結果記憶部１１３，再現事象検出部１１５，再現期間記憶部１１７，アクション発行部１１９，およびポリシ定義設定部１２１を備える。
【００２５】
ポリシ定義記憶部１０１は，通常モード監視の監視条件および異常検知条件を定義する通常モード監視ポリシ定義，ならびに緊急モード監視の監視条件および異常解消条件を定義する緊急モード監視ポリシ定義を記憶する記憶手段である。
【００２６】
通常モード監視ポリシ定義の監視条件として，監視対象（監視する資源およびその情報），監視対象期間（監視を行う期間），監視情報（監視対象リソース２の所定の状態を示す値），監視間隔（監視情報を採取する間隔），アクションの有無（所定の契機に対応づけてアクションを実行するか否かの設定），アクションの内容，通常モード監視／緊急モード監視の切り替えの要否（通常モード監視と緊急モード監視とを切り替えて監視するか否かの設定）などが設定される。
【００２７】
アクションの定義内容は，所定の時に自動的に実行される処理のコマンド，設定値などである。例えば，監視対象リソース２がファイル容量である場合に，異常事象の検知時に対応づけて，所定の容量のファイルを別のディスクに移動するアクション，ファイルを圧縮するアクションなどを自動実行するコマンドが設定される。また，所定の管理者へ異常事象を検知した旨の通知を送信するアクションや，システムログ情報をファイル出力するアクションなどが設定されてもよい。
【００２８】
異常検知条件は，通常モード監視中に監視対象リソース２での異常事象の発生を判定する条件であり，最大／最小警告値，最大／最小閾値，通常許容範囲の上限／下限値，連続検知回数などが設定される。
【００２９】
最大／最小警告値は，監視情報が１回でも超えた場合に異常事象と判定するための閾値である。最大／最小閾値は，監視情報が所定回数（連続検知回数）を超えた場合に異常事象と判定するための閾値である。通常許容範囲の上限／下限値は，監視情報の正常状態の範囲を示す値である。
【００３０】
緊急モード監視ポリシ定義の監視条件は，通常モード監視の監視条件と同様の項目について設定される。設定値は，通常モード監視ポリシ定義と同様でもよい。ただし，監視間隔は，通常モード監視ポリシ定義で設定された監視間隔より短い間隔で設定される。
【００３１】
異常解消条件は，通常モード監視で検知された異常事象の解消を判定する条件である。本実施の形態では，緊急モード監視での異常事象の解消判定のために，監視情報の値の傾き，絶対量，差分を用いた分析を行う。異常解消条件として，各分析での上限／下限閾値および閾値超過発生回数，解消判定期間などが設定される。所定の分析値が，解消判定期間内に上限／下限閾値を超過した回数が，閾値超過発生回数に達していなければ，異常解消条件を満たしたものと判定する。
【００３２】
なお，通常モード監視ポリシ定義および緊急モード監視ポリシ定義は，監視対象リソース２ごとに個別に設定してもよく，また，全監視対象リソース２について一括して設定してもよい。
【００３３】
監視情報取得部１０３は，監視対象リソース２の監視情報（監視値）を定期的に取得し，取得情報記憶部１０５に蓄積する処理手段である。
【００３４】
通常モード監視部１０９は，通常モード監視ポリシ定義にもとづいて，監視対象リソース２を監視し，発生した異常事象を検知する処理手段である。
【００３５】
通常モード監視部１０９は，設定された監視間隔で取得した監視値と，通常モード監視ポリシ定義の異常検知条件の設定値とを比較し，監視値が異常検知条件を満たした場合に，異常事象を検知したと判定する。
【００３６】
具体的には，以下のように判定する。
【００３７】
（１）  取得した監視情報（監視値）と，異常検知条件の最大閾値とを比較し，監視値が最大閾値を超過するかを検査する。監視値が最大閾値を超過したら，連続して最大閾値を超過した回数が，異常検知条件の連続異常検知回数に達したかを検査する。そして，監視値が最大閾値を連続して超過した回数が，連続異常検知回数に到達した場合に，異常事象を検知したと判定し，「異常事象検知」を監視モード切り替え部１０７，アクション発行部１１９に通知する。最小閾値の場合も同様に処理する。
【００３８】
（２）  取得した監視値が最大閾値と最小閾値との範囲内であれば，監視値と通常許容値の上限値および下限値との比較を行い，監視値が通常許容値の範囲外となったら，すなわち通常許容値の上限値または下限値のいずれかを超過したら，連続して上限値または下限値を超過した回数が，連続逸脱検知回数に達したかを検査する。そして，監視値が上限値または下限値を連続して超過した回数が，連続逸脱検知回数に到達した場合に，異常事象を検知したと判定し，「異常事象検知」を監視モード切り替え部１０７，アクション発行部１１９に通知する。
【００３９】
（３）  取得した監視値と最大警告値とを比較し，監視値が，最大警告値を超過したかを検査する。監視値が最大警告値を超過したら，異常事象を検知したと判定し，「異常事象検知」を監視モード切り替え部１０７，アクション発行部１１９に通知する。
【００４０】
なお，最大警告値を連続して複数回超えた場合に異常事象を検知したと判定するようにしてもよい。
【００４１】
最小警告値の場合も同様に処理する。
【００４２】
（４）  上記（１）〜（３）に該当しない場合は，通常モード監視を継続して行う。
【００４３】
緊急モード監視部１１１は，緊急モード監視ポリシ定義にもとづいて，監視対象リソース２の監視情報を分析し，分析値をもとに異常事象が解消したか否かを判定する緊急モード監視を行う処理手段である。緊急モード監視部１１１は，分析結果のログ情報を分析結果記憶部１１３に格納する。
【００４４】
緊急モード監視部１１１は，監視情報を以下の３つの分析方法で分析し，その分析結果から，分析値が異常解消条件を満たした場合に，異常事象が解消したと判定する。
【００４５】
（１）傾きによる分析
異常解消条件として，監視値の傾きの正常状態の範囲を示す上限閾値／下限閾値を設定しておく。
【００４６】
今回取得した監視値をｘn，前回取得した監視値をｘn-1とし，その差を監視間隔の時間（ｔ秒）で割った値ｄ＝（ｘn−ｘn-1）／ｔを監視間隔ごとに算出する。算出値が，上限閾値または下限閾値を超過したかを検査し，異常解消条件として設定された解消判定期間中に算出値が上限閾値または下限閾値を超過した閾値超過回数を監視する。
【００４７】
（２）絶対量による分析
通常モード監視時と同じ監視間隔で採取した監視値の傾きおよび絶対量について正常状態の範囲を示す上限閾値／下限閾値を設定しておく。
【００４８】
通常モード監視時と同じ監視間隔で採取した監視値の傾きおよび絶対量を算出し，算出値が，上限閾値または下限閾値を超過したかを検査し，解消判定期間中に算出値が上限閾値または下限閾値を超過した閾値超過回数を監視する。
【００４９】
（３）差分による分析
連続する監視値の差分について，正常状態の範囲を示す上限閾値／下限閾値を設定しておく。
【００５０】
今回取得した監視値をｘn，前回取得した監視値をｘn-1，ｘn-2，…，とし，過去ｍ回の監視回数分の情報をもとに，以下の式（１）で値Ａvを算出する。
【００５１】
【数１】
2008059102.tif 000003
【００５２】
さらに，値Ａvに対して，以下の式（２）で値ＰAVを算出する。
【００５３】
【数２】
2008059102.tif 000004
【００５４】
値ＰAVが，上限閾値または下限閾値を超過したかを検査し，解消判定期間中に値ＰAVが上限閾値または下限閾値を超過した閾値超過回数を監視する。
【００５５】
この差分による分析は，短い時間間隔でＣＰＵの使用率やファイル容量などの増減幅が大きく変動するような異常事象の監視に有効である。値ＰAVが大きいほど増減幅が広いことを意味するため，設定した上限閾値または下限閾値と比較し，異常解消条件を満たすかを検査することで，通常モード監視への復帰判断が可能となる。
【００５６】
上記３つの分析それぞれで発生した分析値の閾値超過回数を監視する。そして，３つの分析すべてにおいて，解消判定期間中の閾値超過回数が異常解消条件の設定回数に達しなければ，異常解消条件を満たすとして，異常事象が解消したと判定する。そして，異常事象が解消したと判定した場合に，「異常事象解消」を監視モード切り替え部１０７，再現事象検出部１１５，アクション発行部１１９に通知する。
【００５７】
さらに，緊急モード監視部１１１は，緊急モード監視ポリシ定義として，定常的な異常状態を判定する条件として指定回数を設定しておき，緊急モード監視部１１１は，これら３つの分析について，分析値が上限閾値または下限閾値を連続して超えた回数が指定回数以上となった場合に，定常的な異常状態になったと判定する。そして，定常的な状態になったと判定した場合に，「定常的異常状態」をアクション発行部１１９に通知する。
【００５８】
再現事象検出部１１５は，緊急モード監視部１１１から「異常事象解消」が通知されると，所定の照合項目について，今回の異常事象の監視値の分析結果と分析結果記憶部１１３に記憶された過去の分析結果とを比較し，分析結果が類似し，かつ前記類似する過去の分析結果（類似事象）が生じていた期間が所定の設定再現期間以内であるものを，この異常事象の再現事象と判定する処理手段である。
【００５９】
再現事象検出部１１５は，緊急モード監視部１１１による，監視情報の傾き，絶対量，および差分による分析のそれぞれの分析結果と，所定の期間（例えば，現在から遡った２ヶ月間）の過去の分析結果とをパターンマッチングし，所定の誤差以内で一致する分析結果（分析値のパターン）があるか否かを照合する。そして，今回の分析結果と類似する過去の分析結果を類似事象とし，複数の類似事象を検出した場合には，第１の類似事象の発生から第２の類似事象の発生までの期間が，設定再現期間以内であるかを検査する。類似事象の発生までの期間が設定再現期間内であるときは，その類似事象を，今回の異常事象の再現事象と判定する。そして，再現事象の有無を監視モード切り替え部１０７へ通知する。さらに，再現事象検出部１１５は，再現事象が生じていた期間をもとに再現期間を算出し，再現期間記憶部１１７へ格納する。
【００６０】
設定再現期間に示される値は，異常事象が再現（再発）する傾向を持つか否かを判断するために設ける値である。例えば，異常事象Ａ１が発生した後に，類似の異常事象Ａ２が発生した場合に，異常事象Ａ２を異常事象Ａ１が再現（再発）したものとみなすか否かを判断する必要がある。そこで，設定再現期間として，例えば３時間という値を設定していたとすると，異常事象Ａ１の発生から異常事象Ａ２の発生までの間が３時間以内であれば，異常事象Ａ２を異常事象Ａ１が再現（再発）したものとみなすことにする。
【００６１】
なお，設定再現期間をどのような値に設定するかは，本発明を運用する際に，運用者が適宜決定すればよい。
【００６２】
再現期間として設定される値は，異常事象Ａ２を異常事象Ａ１が再現（再発）したものとみなした場合に，異常事象Ａ１の発生から異常事象Ａ２の発生までにかかった時間である。例えば，異常事象Ａ１の発生から異常事象Ａ２の発生までにかかった時間が２時間であった場合には，異常事象Ａ１は，２時間の再現期間で再発する傾向があるとみなすことができる。
【００６３】
再現事象検出部１１５は，具体的には，以下のような処理を行う。
【００６４】
（１）今回の異常事象の分析結果（分析値のパターン）と過去の分析結果（分析値のパターン）とを照合した結果，過去の分析結果から，今回の分析結果に類似する分析値のパターンが検出できなかったときは，今回の異常事象は「初めての異常事象」であると判定し，監視モード切り替え部１０７へ「再現事象なし」を通知する。この場合，再現期間の算出を行わない。
【００６５】
（２）今回の分析結果に類似する分析結果（類似事象）が１つ検出できたときは，今回の異常事象は「２度目の異常事象」であると判定する。そして，検出した類似事象が生じた時間が現在から遡って設定再現期間以内であるときは，この類似事象を再現事象と判定し，「再現事象あり」を監視モード切り替え部１０７へ通知する。
【００６６】
一方，検出した類似事象が生じた時間が現在から遡って設定再現期間を超えるときは，「再現事象なし」を監視モード切り替え部１０７へ通知する。
【００６７】
（３）さらに，過去の分析結果から，上記の再現事象に相当する分析結果が複数検出したときは，「再現事象あり」を監視モード切り替え部１０７へ通知する。そして，検出した再現事象ごとに，その事象が生じた時間を取得し，第１の異常事象と第２の異常事象とが生じた時間の間隔が設定再現期間以内であって，かつ取得した事象が生じた時間の間隔のうち最長期間を再現期間とし，再現期間記憶部１１７に記憶する。
【００６８】
監視モード切り替え部１０７は，通常モード監視部１０９から「異常事象検知」が通知されると，監視対象リソース２の監視を緊急モード監視へ切り替え，緊急モード監視部１１１から「異常事象解消」が通知されると，監視対象リソース２の監視を通常モード監視へ切り替える処理手段である。
【００６９】
監視モード切り替え部１０７は，通常モード監視部１０９から「異常事象検知」が通知されると，緊急モード監視部１１１に監視開始を通知する。緊急モード監視部１１１は，緊急モード監視ポリシ定義にもとづいた緊急モード監視を開始する。これにより，通常モード監視より短い監視間隔で監視する監視モードに切り替えられる。
【００７０】
また，監視モード切り替え部１０７は，通常モード監視部１０９から「異常事象解消」が通知されると，再現事象検出部１１５の通知を待ち，「再現事象なし」が通知されると，通常モード監視部１０９へ監視開始を通知する。
【００７１】
一方，再現事象検出部１１５から「再現事象あり」が通知されると，再現期間記憶部１１７から取得した再現期間を延長期間として，緊急モード監視を延長期間の間続行し，延長期間経過後に通常モード監視部１０９へ監視開始を通知する。
【００７２】
これにより，過去に同様の異常事象が複数回生じた期間を再発の可能性が高い期間（再発期間）とみなして，この期間分を延長期間として緊急モード監視を続行し，通常時よりも，より短い監視間隔で監視対象リソース２を監視し，再発可能性が高い期間を経過してから通常モード監視に復帰することができる。
【００７３】
再現期間記憶部１１７は，再現事象検出部１１５で算出された再現期間を記憶する記憶手段である。再現期間記憶部１１７は，再現事象検出部によって再現期間が格納されていない場合は，所定の設定再現期間が格納されてもよい。
【００７４】
アクション発行部１１９は，「異常事象検知」，「異常事象解消」，「定常的異常状態」などの通知を受け取ると，通常モード監視ポリシ定義または緊急モード監視ポリシ定義に定義された該当するアクションを実行する処理手段である。
【００７５】
ポリシ定義設定部１２１は，管理者，使用者によって入力された情報をもとに，通常モード監視ポリシ定義または緊急モード監視ポリシ定義を，設定または更新する処理手段である。
【００７６】
なお，本発明の別の実施の形態における構成例として，図１の構成例から，監視モード切り替え部１０７を省いた構成例であってもよい。この場合に，通常モード監視部１０９および緊急モード監視部１１１が，それぞれ監視モードの切り替えの契機となる所定の通知を渡しあう。通知した監視部は監視処理を休止し，通知を受けた監視部が監視処理を開始することによって，監視モードを切り替える。
【００７７】
図２および図３は，本発明の処理の流れを示す図である。図２および図３の処理の例では，コンピュータ資源監視装置１は，監視モード切り替え部１０７を省いた構成例で実施され，通常モード監視部１０９および緊急モード監視部１１１は，相互に通知しあい，監視処理を切り替えるものとする。
【００７８】
通常モード監視部１０９は，ポリシ定義記憶部１０１から，通常モード監視ポリシ定義を読み込む（ステップＳ１）。監視対象リソース２に通常モード監視ポリシ定義に定義された監視対象が存在すれば（ステップＳ２のＹＥＳ），監視情報取得部１０３は，ネットワーク３を介して定期的に取得した監視情報を取得情報記憶部１０５に蓄積し，通常モード監視部１０９は，蓄積された監視情報をもとに通常モード監視を行う（ステップＳ３）。監視対象リソース２に通常モード監視ポリシ定義に定義された監視対象が存在しなければ（ステップＳ２のＮＯ），処理を終了する。
【００７９】
通常モード監視部１０９は，監視情報（監視値）が異常検知条件を満たすか否かを検査する（ステップＳ４）。監視情報が異常検知条件を満たすまで（ステップＳ４のＮＯ），ステップＳ３の処理を行い，監視値が異常検知条件を満たしたときは（ステップＳ４のＹＥＳ），「異常事象検知」を緊急モード監視部１１１，アクション発行部１１９へ通知し，緊急モード監視部１１１が監視を開始して，緊急モード監視へ切り替えられる（ステップＳ５）。
【００８０】
アクション発行部１１９は，ポリシ定義記憶部１０１を参照して，「異常事象検知」に対応して実行するアクションが定義されているかを調べ（ステップＳ６），実行するアクションが定義されていれば（ステップＳ６のＹＥＳ），所定のアクションを実行する（ステップＳ７）。
【００８１】
監視情報取得部１０３は，ネットワーク３を介して定期的に取得した監視情報を取得情報記憶部１０５に蓄積し，緊急モード監視部１１１は，蓄積された監視情報をもとに緊急モード監視を行う（ステップＳ８）。
【００８２】
緊急モード監視部１１１は，取得された監視情報の分析を行うかを判定し（ステップＳ９），取得された監視情報を分析するときは（ステップＳ９のＹＥＳ），所定の分析（傾き，絶対量，差分）を行い，分析結果（分析値）を分析結果記憶部１１３に蓄積する（ステップＳ１０）。
【００８３】
緊急モード監視部１１１は，分析値が異常解消条件を満たしているかを検査し（ステップＳ１１），分析値が異常解消条件を満たしていれば（ステップＳ１１のＹＥＳ），分析結果記憶部１１３に蓄積された過去の分析結果から，今回の分析結果に類似する分析結果（類似事象）の有無を判定する（ステップＳ１２）。
【００８４】
今回の分析結果と類似し，かつ複数の当該事象が生じた時間の間隔が設定再現期間内であるものを再現事象とし，再現事象の有無を判定する（ステップＳ１３）。過去の分析結果に再現事象があれば（ステップＳ１３のＹＥＳ），ステップＳ１４の処理へ進み，過去の分析結果に再現事象がなければ（ステップＳ１３のＮＯ），ステップＳ１の処理へ戻る。
【００８５】
さらに，検出された再現事象が２つ以上であれば（ステップＳ１４のＹＥＳ），設定再現期間以内で，かつ検出された再現事象が生じた時間の間隔のうち最長期間を，再現期間として再現期間記憶部１１７に格納し，「再現事象あり」を通常モード監視部１０９へ通知する（ステップＳ１５）。一方，検出された再現事象が１つであれば（ステップＳ１４のＮＯ），設定再現期間をそのままとし，「再現事象あり」を通常モード監視部１０９へ通知する（ステップＳ１６）。
【００８６】
緊急モード監視部１１１は，再現期間記憶部１１７の再現期間を取得して延長期間とし，延長期間の経過を監視し（ステップＳ１７），延長期間の経過後に（ステップＳ１７のＹＥＳ），ステップＳ１の処理へ戻り，通常モード監視部１０９は，通常モード監視を開始する。
【００８７】
また，分析値が異常解消条件を満たしていなければ（ステップＳ１１のＮＯ），定常的な異常状態かを検査し（ステップＳ１８），定常的な異常状態であれば（ステップＳ１８のＹＥＳ），定常的な異常状態を管理者へ通知し，監視対象の情報にフラグをたてて，以降は監視情報の蓄積のみを行う（ステップＳ１９）。
【００８８】
上記のように，本発明によれば，通常モード監視中に異常事象が検知された場合に，検知された異常事象が継続して定常的な異常状態となるか，または異常状態が解消するかを，より短い監視間隔の緊急モードで監視する。また，緊急モード監視中は，監視情報から算出した分析値を組み合わせて異常事象の解消を判定・評価する。これによって，従来の資源使用率や単純平均値が閾値を超過したか否かの判定による障害検知よりも，より細やかな障害監視が可能となる。
【００８９】
また，緊急モード監視中の監視情報の分析結果を蓄積しておき，異常事象が解消したと判定した場合に，過去の分析結果をもとに異常事象の再現傾向を調べ，再現傾向がある異常事象が解消したと判定した場合に，直ちに通常モード監視へ復帰せずに，再発可能性の高い期間は，緊急モード監視を続行する。これによって，再発の可能性が高い期間は，より細やかな監視を行い，異常事象をより早期に検知することができる。
【００９０】
さらに，通常モード監視へ切り戻す前に緊急モード監視を延長する期間を，過去の再現事象の発生時間をもとに決定することによって，細かい監視を行う期間を，より効率的に設定することができる。
【００９１】
このように，本発明は，異常状態の判定の解除判断の精度を向上させ，異常事象の早期発見に繋げることができる。
【００９２】
以上，本発明をその実施の形態により説明したが，本発明はその主旨の範囲において種々の変形が可能であることは当然である。
【００９３】
本発明の形態および実施例の特徴を列記すると以下のとおりである。
【００９４】
（付記１）
コンピュータシステムの各資源を監視するために，コンピュータを，
監視間隔を含む通常モード監視の監視条件および異常事象の発生を判定する異常検知条件を定義する通常モード監視ポリシ定義，ならびに前記通常モード監視より短い間隔で設定された監視間隔を含む緊急モード監視の監視条件および前記異常事象の解消を判定する異常解消条件を定義する緊急モード監視ポリシ定義を記憶するポリシ定義記憶部と，
監視対象の資源の監視情報を取得する監視情報取得部と，
前記通常モード監視ポリシ定義にもとづいて，前記資源を監視し，当該資源に発生した異常事象を検知する通常モード監視部と，
前記緊急モード監視ポリシ定義にもとづいて，前記資源の所定の状態を分析し，前記分析結果をもとに前記異常事象が解消したか否かを判定する緊急モード監視部と，
前記緊急モード監視部による過去の分析結果を記憶する分析結果記憶部と，
前記緊急モード監視部によって前記異常事象が解消されたと判定された場合に，当該異常事象の分析結果と前記分析結果記憶部に記憶された分析結果とを比較し，分析結果が類似し，かつ該異常事象が複数あり，該複数の該異常事象が生じた時間の間隔である再現期間が所定の設定再現期間以内である過去の分析結果を，当該異常事象を再現事象と判定する再現事象検出部とを備えて，
前記通常モード監視部が前記異常事象の検知を通知した場合に，前記資源の監視を前記通常モード監視から前記緊急モード監視へ切り替えて行い，前記緊急モード監視部が前記異常事象の解消を通知した場合に，前記再現期間を緊急モード監視の延長期間として，前記異常事象の解消の通知時から前記延長期間の経過後に，前記資源の監視を前記緊急モード監視から前記通常モード監視へ切り替えて行う
監視装置として機能させるためのコンピュータ資源監視プログラム。
【００９５】
（付記２）
前記コンピュータを，
前記再現事象検出部では，前記過去の分析結果から２つ以上の再現事象が検出された場合に，前記設定再現期間以内であって，かつ前記再現事象が生じた時間の間隔のうち最長期間を前記再現期間とし，該再現期間を前記延長期間として決定する処理を行う
監視装置として機能させるための前記付記１記載のコンピュータ資源監視プログラム。
【００９６】
（付記３）
前記コンピュータを，
前記ポリシ定義記憶部に，所定の契機に実行されるアクションの定義を含む前記通常モード監視ポリシ定義が記憶されている場合に，前記契機となる時に前記アクションを実行するアクション発行部を備える
監視装置として機能させるための前記付記１または前記付記２のいずれか一項に記載のコンピュータ資源監視プログラム。
【００９７】
（付記４）
前記コンピュータを，
前記ポリシ定義記憶部に，資源の定常的な異常状態の定義を含む前記緊急モード監視ポリシ定義が記憶されている場合に，前記異常事象が検出された資源が，前記定常的な異常状態に該当すると判定されたときは，前記異常状態を所定の宛先へ通知する異常通知部を備える
監視装置として機能させるための前記付記１ないし前記付記３のいずれか一項に記載のコンピュータ資源監視プログラム。
【００９８】
（付記５）
コンピュータが，コンピュータシステムの各資源を監視する処理方法であって，
監視対象の資源の監視情報を取得し，
監視間隔を含む通常モード監視の監視条件および異常事象の発生を判定する異常検知条件を定義する通常モード監視ポリシ定義にもとづいて，前記資源を監視し，当該資源に発生した異常事象を検知し，
前記通常モード監視において前記異常事象が検知された場合に，前記通常モード監視より短い間隔で設定された監視間隔を含む緊急モード監視の監視条件および前記異常事象の解消を判定する異常解消条件を定義する緊急モード監視ポリシ定義にもとづいて，前記資源の所定の状態を分析し，前記分析結果を分析結果記憶手段に格納し，前記分析結果をもとに前記異常事象が解消したか否かを判定し，
前記緊急モード監視において前記異常事象が解消されたと判定された場合に，当該異常事象の分析結果と前記分析結果記憶部に記憶された分析結果とを比較し，分析結果が類似し，かつ該異常事象が複数あり，該複数の該異常事象が生じた時間の間隔である再現期間が所定の設定再現期間以内である過去の分析結果を，当該異常事象を再現事象と判定し，
前記緊急モード監視において前記異常事象が解消されたと判定された場合に，前記再現期間を緊急モード監視の延長期間として，前記通知時から前記延長期間の経過後に，前記資源の監視を前記緊急モード監視から前記通常モード監視へ切り替えて行う
ことを特徴とするコンピュータ資源監視処理方法。
【図面の簡単な説明】
【００９９】
【図１】本発明を実施するための最良の形態における構成例を示す図である。
【図２】本発明の処理の流れを示す図である。
【図３】本発明の処理の流れを示す図である。
【符号の説明】
【０１００】
１  コンピュータ資源監視装置
１０１  ポリシ定義記憶部
１０３  監視情報取得部
１０５  取得情報記憶部
１０７  監視モード切り替え部
１０９  通常モード監視部
１１１  緊急モード監視部
１１３  分析結果記憶部
１１５  再現事象検出部
１１７  再現期間記憶部
１１９  アクション発行部
１２１  ポリシ定義設定部
２  監視対象リソース
３  ネットワーク
【図１】
2008059102.tif 000005
【図２】
2008059102.tif 000006
【図３】
2008059102.tif 000007