(57)【要約】  保存するデータ量の増大を抑制しつつ、異常の検出精度や該異常の分析精度の低下を抑制できる情報処理装置、情報処理システム及び監視方法を提供する。被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、指標値が第１のしきい値を超えた場合、該イベントに関連する被監視装置及びプロセスの監視強化を指示する異常検出手段と、異常検出手段から監視強化が指示されると、追加で監視すべきイベントである追加イベントを決定し、該決定した追加イベントの監視を監視強化の対象である被監視装置に指示する収集指示手段とを有する。
2018155371.tif 000002
【特許請求の範囲】
【請求項１】
被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、収集した前記イベントデータに基づいて、該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、前記指標値が前記第１のしきい値を超えた場合、該イベントに関連する前記被監視装置及び前記プロセスの監視強化を指示する異常検出手段と、
前記異常検出手段から前記監視強化が指示されると、該監視強化の契機となった前記イベントに関連する前記被監視装置及び前記プロセスにおいて、追加で監視すべきイベントである追加イベントを決定し、該決定した前記追加イベントの監視を前記監視強化の対象である前記被監視装置に指示する収集指示手段と、
を有する情報処理装置。
【請求項２】
前記異常検出手段は、
前記第１のしきい値を超えた指標値が、予め設定された該第１のしきい値よりも高い第２のしきい値をさらに超えたか否かを判定し、前記指標値が前記第２のしきい値を超えた場合、当該イベントに関連する前記被監視装置で異常が発生したと判定し、該異常が発生した旨を出力する請求項１記載の情報処理装置。
【請求項３】
前記イベント及び前記追加イベントを示すデータの送受信に用いる前記被監視装置との通信帯域を管理する帯域管理手段をさらに有し、
前記収集指示手段は、
前記追加イベントを決定すると、該追加イベントのデータ量を推定し、前記帯域管理手段に対して、前記追加イベントを監視する被監視装置及び推定した前記追加イベントのデータ量を通知すると共に、前記被監視装置に割り当てる通信帯域の変更を指示し、
前記帯域管理手段は、
前記収集指示手段から前記被監視装置に割り当てる通信帯域の変更が指示されると、前記追加イベントのデータ量に基づいて、前記追加イベントを監視する前記被監視装置に割り当てる通信帯域を増大させる請求項１または２記載の情報処理装置。
【請求項４】
前記収集指示手段は、
前記監視強化の契機となる前記イベントが発生したプロセスあるいはプロセス対を示す情報及び前記指標値と、前記追加イベントとの関係を示す予め作成された判定表を用いて、前記追加イベントを決定する請求項１から３のいずれか１項記載の情報処理装置。
【請求項５】
請求項１から４のいずれか１項記載の情報処理装置と、
前記情報処理装置の監視対象となる、少なくとも１台の被監視装置を備えた監視対象システムと、
を有する情報処理システム。
【請求項６】
前記被監視装置は、
前記プロセスで発生する前記イベントを監視するイベント監視手段と、
前記イベント監視手段で監視する前記イベントとは異なる前記追加イベントを監視する追加イベント監視手段と、
を有する請求項５記載の情報処理システム。
【請求項７】
コンピュータが、
被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、
収集した前記イベントデータに基づいて該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、
前記指標値が前記第１のしきい値を超えた場合、該イベントに関連する前記被監視装置及び前記プロセスの監視強化を決定し、
該監視強化の契機となった前記イベントに関連する前記被監視装置及び前記プロセスにおいて追加で監視すべきイベントである追加イベントを決定し、
該決定した前記追加イベントの監視を前記監視強化の対象である前記被監視装置に指示する監視方法。
【請求項８】
前記コンピュータが、
前記第１のしきい値を超えた指標値が予め設定された該第１のしきい値よりも高い第２のしきい値をさらに超えたか否かを判定し、
前記指標値が前記第２のしきい値を超えた場合、当該イベントに関連する前記被監視装置で異常が発生したと判定し、該異常が発生した旨を出力する請求項７記載の監視方法。
【請求項９】
前記コンピュータが、
前記追加イベントを決定すると、該追加イベントのデータ量を推定し、
前記追加イベントのデータ量に基づいて、前記追加イベントを監視する被監視装置に割り当てる通信帯域を増大させる請求項７または８記載の監視方法。
【請求項１０】
前記コンピュータが、
前記監視強化の契機となる前記イベントが発生したプロセスあるいはプロセス対を示す情報及び前記指標値と、前記追加イベントとの関係を示す予め作成された判定表を用いて、前記追加イベントを決定する請求項７から９のいずれか１項記載の監視方法。
【請求項１１】
コンピュータに、
被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、
収集した前記イベントデータに基づいて該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、
前記指標値が前記第１のしきい値を超えた場合、該イベントに関連する前記被監視装置及び前記プロセスの監視強化を決定し、
該監視強化の契機となった前記イベントに関連する前記被監視装置及び前記プロセスにおいて追加で監視すべきイベントである追加イベントを決定し、
該決定した前記追加イベントの監視を前記監視強化の対象である前記被監視装置に指示する処理を実行させるプログラムを格納する、コンピュータが読み取り可能な記録媒体。
【請求項１２】
前記コンピュータに、
前記第１のしきい値を超えた指標値が予め設定された該第１のしきい値よりも高い第２のしきい値をさらに超えたか否かを判定し、
前記指標値が前記第２のしきい値を超えた場合、当該イベントに関連する前記被監視装置で異常が発生したと判定し、該異常が発生した旨を出力する処理を実行させる請求項１１記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
【請求項１３】
前記コンピュータに、
前記追加イベントを決定すると、該追加イベントのデータ量を推定し、
前記追加イベントのデータ量に基づいて、前記追加イベントを監視する被監視装置に割り当てる通信帯域を増大させる処理を実行させる請求項１１または１２記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
【請求項１４】
前記コンピュータに、
前記監視強化の契機となる前記イベントが発生したプロセスあるいはプロセス対を示す情報及び前記指標値と、前記追加イベントとの関係を示す予め作成された判定表を用いて、前記追加イベントを決定する処理を実行させる請求項１１から１３のいずれか１項記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理システム、監視方法、及び、記録媒体に関する。
【背景技術】
【０００２】
近年の情報処理システムは、社会基盤や経済活動、日常生活等に深く関わっているため、円滑に動作させることが重要になる。そのため、情報処理システムには、その動作を監視して異常の有無を判定すると共に、異常が発生した場合は、該異常を分析し、その分析結果や発生要因等をシステム管理者等に通知するための監視装置を備えた構成がある。監視装置には、通常、コンピュータ等の情報処理装置が用いられる。【０００３】
例えば、特許文献１には、監視対象となるホスト装置（コンピュータ、サーバ、記憶システム、通信制御システム、端末装置等）で発生する各種イベントをそれぞれ収集し、各種イベントに関連するプロセス及び該プロセス間の関係を示す状態グラフを作成することで、ホスト装置毎の状態把握を容易にする技術が記載されている。なお、イベントとは、プロセス間におけるメッセージやデータの送受信、任意のプロセスによる他のプロセスの生成や消去、任意のプロセスから特定のファイルに対するアクセス等、ホスト装置で実行される各種プロセスにおける所定の動作を指す。【０００４】
また、特許文献２には、上記イベントに関連するプロセス及び該プロセス間の関係を示す状態グラフを作成すると共に、監視対象となるホスト装置の通常動作時の条件を示す平常モデルを作成し、作成した状態グラフ及び平常モデルに基づいてホスト装置の動作が正常であるか否かを判定する技術が記載されている。【０００５】
特許文献３には、監視対象となるホスト装置において、複数個所で異常が検出された場合に、上記状態グラフ上の経路のうち、複数個所の異常で共通する経路を抽出することで、発生した異常が影響する範囲を絞り込む方法が記載されている。【０００６】
なお、関連技術として、特許文献４には、運用管理システムにおける障害解析用の稼動データ抽出に関する技術が開示されている。また、特許文献５には、医用機器におけるログデータ収集に関する技術が開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】国際公開第２０１５／１４１２２０号
【特許文献２】国際公開第２０１５／１４１２２１号
【特許文献３】国際公開第２０１５／１４０８４３号
【特許文献４】特開２００４−１７８３３６号公報
【特許文献５】特開２００９−１０６４９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
通常、上述した監視対象となるホスト装置では多量のイベントが発生するため、該イベントを収集する情報処理装置の記憶容量や処理負荷を低減するには収集するイベントの種類やデータ量を制限する必要がある。例えば、上記特許文献１には、保存された状態グラフを所定の時間が経過した後に乱数を用いて確率的に削除する、あるいは同じデータを集約することで、情報処理装置で保存するデータ量を低減することが記載されている。上記特許文献２及び３では、情報処理装置の記憶容量や処理負荷を低減するための手法は何も示されていない。【０００９】
より多くの種類のイベントやより多くのデータを保存すれば、イベントの詳細な分析が可能になるため、監視対象となるホスト装置で発生する異常の検出精度や該異常の分析精度の向上が期待できる。一方、収集するイベントあるいはイベントから生成する状態グラフ等を低減させると、監視対象となるホスト装置で発生する異常の検出精度や分析精度が低下するおそれがある。【００１０】
情報処理装置で保存するデータ量を低減しつつ異常の検出精度や分析精度の低下を抑制するには、例えば異常を効率的に検出できるイベントや分析に最適なイベントを選定して収集すればよい。【００１１】
しかしながら、そのような方法は、既に知られている異常の検出や分析には有効であるが、未だ知られていない異常の検出や分析に有用なイベントを選定することは難しい。【００１２】
本発明は上述したような背景技術が有する課題を解決するためになされたものであり、保存するデータ量の増大を抑制しつつ、異常の検出精度や該異常の分析精度の低下を抑制できる情報処理装置、情報処理システム、監視方法、及び、記録媒体を提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記目的を達成するため本発明の情報処理装置は、被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、収集した前記イベントデータに基づいて、該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、前記指標値が前記第１のしきい値を超えた場合、該イベントに関連する前記被監視装置及び前記プロセスの監視強化を指示する異常検出手段と、
前記異常検出手段から前記監視強化が指示されると、該監視強化の契機となった前記イベントに関連する前記被監視装置及び前記プロセスにおいて、追加で監視すべきイベントである追加イベントを決定し、該決定した前記追加イベントの監視を前記監視強化の対象である前記被監視装置に指示する収集指示手段と、
を有する。【００１４】
本発明の情報処理システムは、上記情報処理装置と、
前記情報処理装置の監視対象となる、少なくとも１台の被監視装置を備えた監視対象システムと、
を有する。【００１５】
本発明の監視方法は、コンピュータが、
被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、
収集した前記イベントデータに基づいて該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、
前記指標値が前記第１のしきい値を超えた場合、該イベントに関連する前記被監視装置及び前記プロセスの監視強化を決定し、
該監視強化の契機となった前記イベントに関連する前記被監視装置及び前記プロセスにおいて追加で監視すべきイベントである追加イベントを決定し、
該決定した前記追加イベントの監視を前記監視強化の対象である前記被監視装置に指示する方法である。【００１６】
本発明のコンピュータが読み取り可能な記録媒体は、コンピュータに、
被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、
収集した前記イベントデータに基づいて該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、
前記指標値が前記第１のしきい値を超えた場合、該イベントに関連する前記被監視装置及び前記プロセスの監視強化を決定し、
該監視強化の契機となった前記イベントに関連する前記被監視装置及び前記プロセスにおいて追加で監視すべきイベントである追加イベントを決定し、
該決定した前記追加イベントの監視を前記監視強化の対象である前記被監視装置に指示する処理を実行させるプログラムを格納する記録媒体である。
【発明の効果】
【００１７】
本発明によれば、情報処理装置で保存するデータ量の増大を抑制しつつ、情報処理装置が検出する異常の検出精度や該異常の分析精度の低下を抑制できる。
【図面の簡単な説明】
【００１８】
【図１】本発明の情報処理装置の一構成例を示すブロック図である。
【図２】本発明の情報処理システムの一構成例を示すブロック図である。
【図３】図２に示した収集指示部が備える判定表の一例を示すグラフである。
【図４】図１及び２に示した情報処理装置を実現するコンピュータの一構成例を示すブロック図である。
【図５】本発明の情報処理装置の処理手順の一例を示すフローチャートである。
【発明を実施するための形態】
【００１９】
次に本発明について図面を用いて説明する。
【００２０】
なお、図面中の一方向性の矢印は、データの流れの方向を端的に示したもので、双方向性を排除するものではない。  図１は、本発明の情報処理装置の一構成例を示すブロック図である。
【００２１】
図１に示すように本発明の情報処理装置２０は、被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、収集したイベントデータに基づいて被監視装置毎の異常の発生有無を判定する異常検出手段２１０と、被監視装置に追加イベントの監視を指示する収集指示手段２２０とを有する。
【００２２】
図２は、本発明の情報処理システムの一構成例を示すブロック図である。
【００２３】
図２に示す情報処理システム１は、監視対象となる少なくとも１台のホスト装置１００を備える監視対象システム１０と、監視対象システム１０が備える各ホスト装置１００を監視する情報処理装置２０とを有する。
【００２４】
ホスト装置１００は、少なくとも１つのプロセス（処理）を実行する装置であり、該プロセスで発生するイベントを監視するイベント監視手段１０１と、イベント監視手段１０１で監視するイベントとは異なるイベントを監視する追加イベント監視手段１０２とを有する。ホスト装置１００は、上記被監視装置の一例であり、コンピュータ、サーバ、記憶システム、通信制御システム、端末装置等で構成される。
【００２５】
イベント監視手段１０１は、各ホスト装置１００における標準的なイベント（以下、標準イベントと称す）の発生有無を監視する。標準イベントの「監視」とは、標準イベントの発生を検出し、検出した標準イベントを示す標準イベントデータを情報処理装置２０へ送信する処理を指す。標準イベントとしては、例えばプロセスによる新たなプロセスの生成あるいは終了、プロセスによるファイルのオープンまたはクローズ、プロセスによるファイルの作成または消去、ホスト装置１００内またはホスト装置１００間におけるプロセス間通信等がある。イベント監視手段１０１は、監視対象システム１０の運用時に、常時、標準イベントの発生有無を監視する。
【００２６】
イベント監視手段１０１は、例えば上記特許文献１に記載されたプロセス生成監視手段、ファイルアクセス監視手段、ホスト内プロセス間通信監視手段及びホスト間プロセス間通信監視手段等の機能を備えた、周知の監視用エージェントで実現できる。
【００２７】
追加イベント監視手段１０２は、イベント監視手段１０１では監視しない追加のイベント（以下、追加イベントと称す）の発生有無を監視する。追加イベントの「監視」とは、追加イベントの発生を検出し、検出した追加イベントを示す追加イベントデータを情報処理装置２０へ送信する処理を指す。追加イベント監視手段１０２は、情報処理装置２０からの指示にしたがって、追加イベントの監視を開始または終了する。
【００２８】
追加イベント監視手段１０２で監視する追加イベントは、上記標準イベントよりも発生頻度が高く処理負荷が高いイベント、あるいはデータ量が大きく、大きな通信帯域や記憶容量を必要とするイベントとする。追加イベントとしては、例えばプロセスからのメモリに対するアクセス、プロセスからのライブラリルーチンの呼び出し等がある。追加イベント監視手段１０２は、例えばＯＳ（Operating System）、システムライブラリ等のシステムソフトウェアが提供する機能で実現できる。
【００２９】
上述したように、イベント監視手段１０１で検出された標準イベントを示す標準イベントデータ及び追加イベント監視手段１０２で検出された追加イベントを示す追加イベントデータは、不図示の通信装置を介して情報処理装置２０に送信される。監視対象システム１０と情報処理装置２０間の通信には、周知の有線通信方式または無線通信方式を用いればよい。
【００３０】
図２に示すように、情報処理装置２０は、収集した標準イベントデータに基づいてホスト装置１００毎の異常の発生有無を判定する異常検出部２１と、ホスト装置１００が備える追加イベント監視手段１０２に追加イベントの監視開始または監視終了を指示する収集指示部２２と、標準イベントデータ及び追加イベントデータの送受信に用いるホスト装置１００毎の通信帯域を管理する帯域管理部２３とを有する。異常検出部２１は図１に示した異常検出手段２１０の一例であり、収集指示部２２は図１に示した収集指示手段２２０の一例である。帯域管理部２３は、帯域管理手段の一例である。
【００３１】
異常検出部２１は、イベント監視手段１０１及び追加イベント監視手段１０２を用いて各ホスト装置１００で検出された標準イベントデータ及び追加イベントデータをそれぞれ収集する。
【００３２】
また、異常検出部２１は、収集した標準イベントデータに基づいてホスト装置１００毎の異常の発生有無を判定する。異常検出部２１は、例えば上記特許文献２に記載されたグラフ化部及び平常モデル生成部を備え、グラフ化部で作成されたプロセス毎の状態グラフと、平常モデル生成部で作成されたホスト装置毎の平常モデルとを比較することで、ホスト装置１００毎の異常の発生有無を判定すればよい。
【００３３】
状態グラフは、各ホスト装置１００が実行する一つあるいは複数のプロセスを頂点（ノードあるいは節点）とし、各プロセス間の接続関係（リンクあるいは枝）を辺とする図（グラフ）または表で表される。状態グラフには、各プロセス（頂点）あるいはプロセス間（辺）で発生する標準イベントを示す標準イベントデータが頂点あるいは辺に関連付けて記録される。平常モデルは、ホスト装置１００が通常動作時に満たすべき条件の集合である。グラフ化部及び平常モデル生成部の機能は、上記特許文献２に記載されているため、ここではその詳細な説明は省略する。
【００３４】
本実施形態の異常検出部２１は、異常の発生有無の判定に２段階のしきい値を用いる。
第１のしきい値は、ホスト装置１００の監視強化の開始判定に用いる、予め設定された判定レベルに設定する。第２のしきい値は、情報処理システム１の管理者等に対する、ホスト装置１００における異常発生の通知判定に用いる、第１のしきい値よりも高い判定レベルに設定する。ここで言う監視強化とは、ホスト装置１００が備えるイベント監視手段１０１で検出された標準イベントを示す標準イベントデータを収集すると共に、追加イベント監視手段１０２で検出された追加イベントを示す追加イベントデータを併せて収集する処理を指す。
【００３５】
第１のしきい値及び第２のしきい値は、標準イベントに関連する所定の指標値に対して、情報処理システム１の管理者等によって予め設定される。例えば、標準イベントとして、２つのプロセスｘ、ｙ間におけるデータ送受信の発生有無を監視し、指標値として、その発生頻度を用いる場合、該発生頻度に対して第１のしきい値及び第２のしきい値をそれぞれ設定する。
【００３６】
具体的には、平常モデルにおけるプロセスｘ、ｙ間におけるデータ送受信の発生頻度の平均値が６．０であり、標準偏差が３．０である場合、例えば、第１のしきい値として発生頻度４．０及び８．０を設定し、第２のしきい値として発生頻度３．０及び９．０を設定する。
【００３７】
この場合、異常検出部２１は、プロセスｘ、ｙ間におけるデータ送受信の発生頻度が３．０以上４.０未満、あるいは８．０より大きく９．０以下であるとき、該プロセスｘ、ｙ、あるいは該プロセスｘ、ｙを実行するホスト装置１００の監視強化を収集指示部２２に指示する。
【００３８】
また、異常検出部２１は、プロセスｘ、ｙ間におけるデータ送受信の発生頻度が３．０未満あるいは９．０を超えたとき、該プロセスｘ、ｙを実行するホスト装置１００で異常が発生したと判定し、不図示の表示装置等に表示することで情報処理システム１の管理者等に該当するホスト装置１００における異常の発生を通知する。
【００３９】
異常検出部２１は、収集指示部２２に対する監視強化の指示時、例えば監視強化の対象となる状態グラフ及び該状態グラフ上の位置、並びに判定に用いた指標値を収集指示部２２に通知する。上述したように、状態グラフ上の位置は監視強化の契機となる標準イベントが発生したプロセスあるいはプロセス対を示している。以下では、この監視強化の対象となるプロセスあるいはプロセス対等を示す情報を「監視契機情報」と称す場合がある。
【００４０】
収集指示部２２は、異常検出部２１から監視強化が指示されると、通知された状態グラフ及び該状態グラフ上の位置が示す頂点または辺を識別することで監視を強化すべき対象（ホスト装置及びプロセス）を判別する。また、収集指示部２２は、異常検出部２１から通知された状態グラフ上の位置（＝監視契機情報）及び指標値に基づいて、追加で収集すべき追加イベントを決定する。収集指示部２２は、例えば指標値及び監視契機情報と追加イベントとの関係を示す、予め作成した判定表を用いて、追加イベントを決定すればよい。
【００４１】
図３は、図２に示した収集指示部が備える判定表の一例を示すグラフである。
【００４２】
図３に示すように、例えば、指標値が「アクセス頻度」であり、監視契機情報が「プロセスａ−ファイルｂ」である場合、収集指示部２２は、プロセスａがファイルｂから読み出した、またはプロセスａがファイルｂに書き込んだデータ収集を追加イベントとして決定する。
【００４３】
また、指標値が「アクセス頻度」であり、監視契機情報が「プロセスｃ−プロセスｄ」である場合、収集指示部２２は、プロセスｃ及びｄ間で送受信しているデータ収集を追加イベントとして決定すると共に、プロセスｃ及びｄのメモリに対するアクセスを追加イベントとして決定する。これは、共有メモリを利用したプロセスｃ及びｄ間のデータ送受信を監視するためである。
【００４４】
また、指標値が頂点における「次数」であり、監視契機情報が「プロセスｅ−ファイル」である場合、収集指示部２２は、プロセスｅからのメモリに対するアクセスを追加イベントとして決定する。なお、「次数」とは、一般的には状態グラフの頂点に接合する辺の数を意味する。ここでは、頂点（プロセスｅ）からアクセスするファイル数を指す。
【００４５】
図３に示す指標値＊を含む項は、任意の条件が発生したときの追加イベントの一例を示している。例えば、図３に示すように、条件（監視契機情報）としてプロセスｆが平常時にアクセスしないライブラリｇが定義されている場合（プロセスｆ−ライブラリｇ）、収集指示部２２は、プロセスｆによってライブラリｇがオープンされると、該ライブラリｇのＡＰＩ（Application Programming Interface）呼び出しを追加イベントとして決定する。
【００４６】
このようにして追加イベントを決定すると、収集指示部２２は監視を強化するホスト装置１００の追加イベント監視手段１０２に対して、決定した追加イベントの監視を指示する。また、収集指示部２２は、追加イベントを決定すると、該追加イベントのデータ量を推定する。追加イベントのデータ量は、例えば、追加イベント毎に予め定義された追加イベントデータ長及びその発生頻度に基づいて推定すればよい。
【００４７】
収集指示部２２は、追加イベントのデータ量を推定すると、帯域管理部２３に対して、追加イベントを監視するホスト装置１００及び推定した該追加イベントのデータ量を通知すると共に、該ホスト装置１００に割り当てる通信帯域の変更を指示する。
【００４８】
帯域管理部２３は、収集指示部２２からホスト装置１００に割り当てる通信帯域の変更が指示されると、通知された追加イベントのデータ量に基づいて、該追加イベントを監視するホスト装置１００に割り当てる通信帯域を増大させる。
【００４９】
一般に、情報処理装置２０と監視対象システム１０間のデータ送受信に用いる通信帯域は有限であるため、任意のホスト装置１００に割り当てる通信帯域を増大させると、他のホスト装置１００に割り当てる通信帯域を該増大分だけ減らす必要がある。通信帯域を減らすホスト装置１００としては、例えば監視契機情報に関連する状態グラフ上の頂点または辺と接している頂点または辺を含まないホスト装置１００を選択すればよい。そのようなホスト装置１００が無い場合、帯域管理部２３は、監視契機情報に関連する状態グラフ上で頂点または辺が接していないプロセスを含むホスト装置１００の通信帯域を減らせばよい。全てのプロセスの頂点または辺が、監視契機情報に関連する状態グラフ上の頂点または辺と接している場合、帯域管理部２３は、現時点までに異常が発生していないプロセスを含むホスト装置１００の通信帯域を減らせばよい。
【００５０】
ホスト装置１００は、情報処理装置２０から追加イベントの監視が指示されると、該指示にしたがって、追加イベント監視手段１０２を用いて指定された追加イベントの監視を開始する。また、ホスト装置１００は、情報処理装置２０から通知された通信帯域内に収まるように、情報処理装置２０へ送信するデータ量を調整しつつ、検出した標準イベントデータ及び追加イベントデータを情報処理装置２０へ送信する。
【００５１】
なお、異常検出部２１は、監視強化の契機となった指標値が予め設定された上記第１のしきい値よりも低い第３のしきい値よりも低くなった場合、あるいは該指標値が第３のしきい値よりも低い状態で所定の時間が経過したとき、監視強化の終了を収集指示部２２に通知する。その場合、収集指示部２２は、監視強化のための処理、すなわち追加イベント監視手段１０２を用いた追加イベントの監視終了をホスト装置１００に指示する。ホスト装置１００は、情報処理装置２０から追加イベントの監視終了が指示されると、該指示にしたがって追加イベント監視手段１０２を用いた追加イベントの監視を終了する。
【００５２】
図１に示した情報処理装置２０が備える異常検出手段２１０及び収集指示手段２２０、並びに図２に示した情報処理装置２０が備える異常検出部２１、収集指示部２２及び帯域管理部２３は、例えば図４に示すコンピュータで実現できる。
【００５３】
図４は、図１及び２に示した情報処理装置を実現するコンピュータの一構成例を示すブロック図である。
【００５４】
図４に示すコンピュータは、プログラムにしたがって所定の処理を実行する処理装置２００と、処理装置２００に対してコマンドや情報等を入力するための入力装置３００と、処理装置２００の処理結果を出力するための出力装置４００とを有する。
【００５５】
入力装置３００には、マウスやトラックボール等のポインティング・デバイス、キーボード、タッチパッド、タッチパネル等が用いられる。出力装置４００には、ディスプレイやモニタ等の表示装置、プリンタ等が用いられる。
【００５６】
処理装置２００は、ＣＰＵ（Central Processing Unit）２０１と、ＣＰＵ２０１の処理で必要な情報を一時的に保持する主記憶装置２０２と、ＣＰＵ２０１に処理を実行させるためのプログラムが記録された記録媒体２０３と、各ホスト装置１００から送信された標準イベントデータ、追加イベントデータ、標準イベントデータから作成した状態グラフ、ホスト装置１００毎の平常モデル等を保存するデータ蓄積装置２０４と、主記憶装置２０２、記録媒体２０３及びデータ蓄積装置２０４とのデータ転送を制御するメモリ制御インタフェース部２０５と、入力装置３００及び出力装置４００とのインタフェース装置であるＩ／Ｏインタフェース部２０６と、監視対象システム１０が備える各ホスト装置１００とデータや情報を送受信するための通信装置２０７とを備え、それらがバス２０８を介して接続される。データ蓄積装置２０４は、処理装置２００内に備えられる必要はなく、処理装置２００から独立して備えられていてもよい。
【００５７】
処理装置２００は、記録媒体２０３に記録されたプログラムにしたがって処理を実行することで、上述した異常検出手段２１０及び収集指示手段２２０、あるいは異常検出部２１、収集指示部２２及び帯域管理部２３の機能を実現する。記録媒体２０３は、磁気ディスク、半導体メモリ、光ディスクあるいはその他の記録媒体であってもよい。
【００５８】
図５は、本発明の情報処理装置の処理手順の一例を示すフローチャートである。
【００５９】
図２に示した情報処理システム１において、監視対象システム１０の運用が開始されると、各ホスト装置１００は、自装置が備えるイベント監視手段１０１を用いて所定の標準イベントの発生有無を監視し、該イベント監視手段１０１で標準イベントを検出すると、検出した標準イベントを示す標準イベントデータを情報処理装置２０に送信する。
【００６０】
図５に示すように、情報処理装置２０は、監視対象システム１０の各ホスト装置１００から標準イベントデータが送信されると、異常検出部２１を用いて該標準イベントデータをそれぞれ蓄積する（ステップＳ１）。このとき、情報処理装置２０は、異常検出部２１を用いて、蓄積した標準イベントデータから上述した状態グラフを作成してもよい。
【００６１】
次に、情報処理装置２０は、異常検出部２１を用いて、各標準イベントに関連する指標値が、該指標値に設定された第１のしきい値を超えたか否かをそれぞれ判定する（ステップＳ２）。第１のしきい値を超える指標値が無い場合、情報処理装置２０はステップＳ１及びＳ２の処理を繰り返す。
【００６２】
第１のしきい値を超える指標値がある場合、情報処理装置２０は、該第１のしきい値を超えた指標値に関連するプロセス及びホスト装置１００において、収集指示部２２を用いて、追加で監視すべき追加イベントを決定し（ステップＳ３）、監視強化の対象となるホスト装置（以下、監視強化ホスト装置と称す）１００へ決定した追加イベントの監視を指示する（ステップＳ４）。
【００６３】
監視強化ホスト装置は、情報処理装置２０から追加イベントの監視が指示されると、該指示にしたがって追加イベント監視手段１０２を用いて指定された追加イベントを監視する。このとき、監視強化ホスト装置は、イベント監視手段１０１を用いて検出した標準イベントを示す標準イベントデータ及び追加イベント監視手段１０２を用いて検出した追加イベントを示す追加イベントデータをそれぞれ情報処理装置２０に送信する。
【００６４】
情報処理装置２０は、異常検出部２１を用いて、監視強化ホスト装置から送信された標準イベントデータ及び追加イベントデータをそれぞれ蓄積する（ステップＳ５）。
【００６５】
次に、情報処理装置２０は、異常検出部２１を用いて、監視強化ホスト装置において監視強化の契機となった標準イベントに関連する指標値が第３のしきい値よりも低いか否かを判定する（ステップＳ６）。該指標値が第３のしきい値以上である場合、情報処理装置２０はステップＳ８の処理へ移行する。
【００６６】
一方、監視強化ホスト装置において、監視強化の契機となった標準イベントに関連する指標値が第３のしきい値よりも低い場合、情報処理装置２０は、収集指示部２２を用いて、監視強化ホスト装置に追加イベントの監視終了を指示し（ステップＳ７）、ステップＳ１の処理に戻ってステップＳ１〜Ｓ６の処理を繰り返す。
【００６７】
ステップＳ８において、情報処理装置２０は、異常検出部２１を用いて、監視強化ホスト装置において監視強化の契機となった標準イベントに関連する指標値が第２のしきい値を超えたか否かを判定する。該指標値が第２のしきい値を超えていない場合、情報処理装置２０はステップＳ５〜Ｓ８の処理を繰り返す。
【００６８】
一方、監視強化ホスト装置において、監視強化の契機となった標準イベントに関連する指標値がさらに第２のしきい値を超えた場合、情報処理装置２０は、異常検出部２１を用いて、監視強化ホスト装置で異常が発生したと判定する。また、情報処理装置２０は、表示装置等の出力装置を用いて異常が発生した旨を出力することで、情報処理システム１の管理者等に該監視強化ホスト装置における異常の発生を通知する（ステップＳ９）。
【００６９】
情報処理装置２０は、異常の発生を通知した監視強化ホスト装置に関する標準イベントデータや追加イベントデータの出力を情報処理システム１の管理者等から指示されると、該監視強化ホスト装置から収集した標準イベントデータや追加イベントデータを表示装置等の出力装置を用いて出力する。また、情報処理装置２０がイベントの分析手段（不図示）を備えている場合、情報処理装置２０は、異常の発生を通知した監視強化ホスト装置から収集した標準イベントデータや追加イベントデータの分析結果を表示装置等の出力装置を用いて出力することで情報処理システム１の管理者等に通知する。
【００７０】
本発明によれば、情報処理装置２０は、監視対象システム１０で発生する標準イベントに関連する所定の指標値が第１のしきい値を超えたか否かを判定し、指標値が第１のしきい値を超えた標準イベントに関連するプロセスやホスト装置１００について監視対象システム１０に追加イベントの発生有無を監視させる。
【００７１】
したがって、指標値が第１のしきい値を超えないプロセスやホスト装置１００については、標準イベントのみを監視することになるため、情報処理装置２０で収集・保存するデータ量の増大が抑制される。
【００７２】
一方、異常の発生が疑われる、指標値が第１のしきい値を超えたプロセスやホスト装置１００については、監視対象システム１０に追加イベントの発生有無を監視させることで、情報処理装置２０では、該プロセスやホスト装置１００に関してより詳細なイベントデータが収集される。そのため、情報処理装置２０を用いた、ホスト装置１００で発生する異常の検出精度や該異常の分析精度の向上が期待できる。よって、情報処理装置２０で保存するデータ量の増大を抑制しつつ、監視対象システム１０で発生する異常の検出精度や該異常の分析精度の低下が抑制される。
【００７３】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されない。本願発明の構成や詳細に対して、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【００７４】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【００７５】
（付記１）
被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、収集した前記イベントデータに基づいて、該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、前記指標値が前記第１のしきい値を超えた場合、該イベントに関連する前記被監視装置及び前記プロセスの監視強化を指示する異常検出手段と、
前記異常検出手段から前記監視強化が指示されると、該監視強化の契機となった前記イベントに関連する前記被監視装置及び前記プロセスにおいて、追加で監視すべきイベントである追加イベントを決定し、該決定した前記追加イベントの監視を前記監視強化の対象である前記被監視装置に指示する収集指示手段と、
を有する情報処理装置。
【００７６】
（付記２）
前記異常検出手段は、
前記第１のしきい値を超えた指標値が、予め設定された該第１のしきい値よりも高い第２のしきい値をさらに超えたか否かを判定し、前記指標値が前記第２のしきい値を超えた場合、当該イベントに関連する前記被監視装置で異常が発生したと判定し、該異常が発生した旨を出力する付記１記載の情報処理装置。
【００７７】
（付記３）
前記イベント及び前記追加イベントを示すデータの送受信に用いる前記被監視装置との通信帯域を管理する帯域管理手段をさらに有し、
前記収集指示手段は、
前記追加イベントを決定すると、該追加イベントのデータ量を推定し、前記帯域管理手段に対して、前記追加イベントを監視する被監視装置及び推定した前記追加イベントのデータ量を通知すると共に、前記被監視装置に割り当てる通信帯域の変更を指示し、
前記帯域管理手段は、
前記収集指示手段から前記被監視装置に割り当てる通信帯域の変更が指示されると、前記追加イベントのデータ量に基づいて、前記追加イベントを監視する前記被監視装置に割り当てる通信帯域を増大させる付記１または２記載の情報処理装置。
【００７８】
（付記４）
前記収集指示手段は、
前記監視強化の契機となる前記イベントが発生したプロセスあるいはプロセス対を示す情報及び前記指標値と、前記追加イベントとの関係を示す予め作成された判定表を用いて、前記追加イベントを決定する付記１から３のいずれか一つに記載の情報処理装置。
【００７９】
（付記５）
付記１から４のいずれか一つに記載の情報処理装置と、
前記情報処理装置の監視対象となる、少なくとも１台の被監視装置を備えた監視対象システムと、
を有する情報処理システム。
【００８０】
（付記６）
前記被監視装置は、
前記プロセスで発生する前記イベントを監視するイベント監視手段と、
前記イベント監視手段で監視する前記イベントとは異なる前記追加イベントを監視する追加イベント監視手段と、
を有する付記５記載の情報処理システム。
【００８１】
（付記７）
コンピュータが、
被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、
収集した前記イベントデータに基づいて該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、
前記指標値が前記第１のしきい値を超えた場合、該イベントに関連する前記被監視装置及び前記プロセスの監視強化を決定し、
該監視強化の契機となった前記イベントに関連する前記被監視装置及び前記プロセスにおいて追加で監視すべきイベントである追加イベントを決定し、
該決定した前記追加イベントの監視を前記監視強化の対象である前記被監視装置に指示する監視方法。
【００８２】
（付記８）
前記コンピュータが、
前記第１のしきい値を超えた指標値が予め設定された該第１のしきい値よりも高い第２のしきい値をさらに超えたか否かを判定し、
前記指標値が前記第２のしきい値を超えた場合、当該イベントに関連する前記被監視装置で異常が発生したと判定し、該異常が発生した旨を出力する付記７記載の監視方法。
【００８３】
（付記９）
前記コンピュータが、
前記追加イベントを決定すると、該追加イベントのデータ量を推定し、
前記追加イベントのデータ量に基づいて、前記追加イベントを監視する被監視装置に割り当てる通信帯域を増大させる付記７または８記載の監視方法。
【００８４】
（付記１０）
前記コンピュータが、
前記監視強化の契機となる前記イベントが発生したプロセスあるいはプロセス対を示す情報及び前記指標値と、前記追加イベントとの関係を示す予め作成された判定表を用いて、前記追加イベントを決定する付記７から９のいずれか一つに記載の監視方法。
【００８５】
（付記１１）
コンピュータに、
被監視装置のプロセスで検出された所定のイベントを示すイベントデータを収集し、
収集した前記イベントデータに基づいて該イベントに関連する所定の指標値が予め設定された第１のしきい値を超えたか否かを判定し、
前記指標値が前記第１のしきい値を超えた場合、該イベントに関連する前記被監視装置及び前記プロセスの監視強化を決定し、
該監視強化の契機となった前記イベントに関連する前記被監視装置及び前記プロセスにおいて追加で監視すべきイベントである追加イベントを決定し、
該決定した前記追加イベントの監視を前記監視強化の対象である前記被監視装置に指示する処理を実行させるプログラムを格納する、コンピュータが読み取り可能な記録媒体。
【００８６】
（付記１２）
前記コンピュータに、
前記第１のしきい値を超えた指標値が予め設定された該第１のしきい値よりも高い第２のしきい値をさらに超えたか否かを判定し、
前記指標値が前記第２のしきい値を超えた場合、当該イベントに関連する前記被監視装置で異常が発生したと判定し、該異常が発生した旨を出力する処理を実行させる付記１１記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
【００８７】
（付記１３）
前記コンピュータに、
前記追加イベントを決定すると、該追加イベントのデータ量を推定し、
前記追加イベントのデータ量に基づいて、前記追加イベントを監視する被監視装置に割り当てる通信帯域を増大させる処理を実行させる付記１１または１２記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
【００８８】
（付記１４）
前記コンピュータに、
前記監視強化の契機となる前記イベントが発生したプロセスあるいはプロセス対を示す情報及び前記指標値と、前記追加イベントとの関係を示す予め作成された判定表を用いて、前記追加イベントを決定する処理を実行させる付記１１から１３のいずれか一つに記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
【００８９】
この出願は、２０１７年２月２２日に出願された日本出願特願２０１７−０３１１６６を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
【符号の説明】
【００９０】
１    情報処理システム
１０    監視対象システム
２０    情報処理装置
２１    異常検出部
２２    収集指示部
２３    帯域管理部
１０１    イベント監視手段
１０２    追加イベント監視手段
２００    処理装置
２０１    ＣＰＵ
２０２    主記憶装置
２０３    記録媒体
２０４    データ蓄積装置
２０５    メモリ制御インタフェース部
２０６    Ｉ／Ｏインタフェース部
２０７    通信装置
２０８    バス
２１０    異常検出手段
２２０    収集指示手段
３００    入力装置
４００    出力装置
【図１】
2018155371.tif 000003
【図２】
2018155371.tif 000004
【図３】
2018155371.tif 000005
【図４】
2018155371.tif 000006
【図５】
2018155371.tif 000007
【国際調査報告】
2018155371.tif 000008
2018155371.tif 000009
2018155371.tif 000010
2018155371.tif 000011