IT障害を監視する監視サーバが生成した監視イベントを逐次取得し、一つの原因によって発生した単数又は複数のイベントから構成されるIT障害イベントブロックを生成する第一の処理部と、前記IT障害イベントブロックに属するイベントに頻出する属性値をもとに特徴情報を求める第二の処理部と、イベントブロックの特徴情報に発生した変化の内容と発生時間を変化テーブルに記録する第三の処理部と、前記特徴情報に基づいてIT障害データベースを検索し、新規に取得されたIT障害イベントブロックに類似する過去のIT障害イベントブロックを検索する第四の処理部と、前記変化テーブルを参照し、検索対象とする時間範囲に応じて検索処理で使用する特徴情報の内容を補正する第五の処理部とを有することを特徴とするIT障害検知検索装置。請求項1に記載のIT障害検知検索装置において、前記第一の処理部において新規に生成されたIT障害イベントブロックを使用し、IT障害イベントブロックを分類するIT障害分類木を更新する第六の処理部と、一定期間内に前記IT障害分類木に発生した編集回数に基づいて、前記IT障害分類木の変化量を計算する第七の処理部と、前記変化量が閾値以上の場合、前記IT障害分類木の変化を解析し、IT障害イベントブロックの属性値に起こった変化を特定する第八の処理部とを有することを特徴とするIT障害検知検索装置。請求項1に記載のIT障害検知検索装置において、新規に取得したIT障害イベントブロックに対して類似する過去のIT障害イベントブロックとその発生日時を表示部に表示する第九の処理部を有することを特徴とするIT障害検知検索装置。請求項1に記載のIT障害検知検索装置において、前記第六の処理部は、IT障害イベントブロックのインクリメント処理とデクリメント処理の両方においてIT障害分類木を更新することを特徴とする請求項1に記載のIT障害検知検索装置。請求項1に記載のIT障害検知検索装置において、前記第七の処理部は、インクリメント処理に対しては、IT障害分類木に対する新規ノード追加、ノード統合、ノード分割処理の有無及び回数から変化量を計算することを特徴とするIT障害検知検索装置。請求項1に記載のIT障害検知検索装置において、前記第七の処理部は、デクリメント処理に対しては、IT障害分類木に対するノード削除、ノード統合、ノード分割の有無及び回数から変化量を計算することを特徴とするIT障害検知検索装置。コンピュータに、IT障害を監視する監視サーバが生成した監視イベントを逐次取得し、一つの原因によって発生した単数又は複数のイベントから構成されるIT障害イベントブロックを生成する第一の処理と、前記IT障害イベントブロックに属するイベントに頻出する属性値をもとに特徴情報を求める第二の処理と、イベントブロックの特徴情報に発生した変化の内容と発生時間を変化テーブルに記録する第三の処理と、前記特徴情報に基づいてIT障害データベースを検索し、新規に取得されたIT障害イベントブロックに類似する過去のIT障害イベントブロックを検索する第四の処理と、前記変化テーブルを参照し、検索対象とする時間範囲に応じて検索処理で使用する特徴情報の内容を補正する第五の処理とを実行させるプログラム。ITシステムの運用中には、監視イベントの属性値に変化を伴う変更が発生することがある。例えばソフトウェアのバージョンがアップデートされると、属性プロセス名の属性値に変化が発生する。また例えばサーバ機器が変更されると、属性サーバ名の属性値に変化が発生する。この種の変更は、多くの場合、IT障害の原因そのものに変化を与えることはない。しかし、表面的な変化であるとしても、監視イベントの属性値が変化すると、障害情報の連続性が損なわれ、過去の対処方法を検索することができない。そこで、本発明者は、属性値に変化がある場合でも、新たに取得したIT障害に類似する過去のIT障害の検索を可能にするための仕組みを提供する。具体的には、IT障害を監視する監視サーバが生成した監視イベントを逐次取得し、一つの原因よって発生した単数又は複数のイベントから構成されるIT障害イベントブロックを作成する。次に、IT障害イベントブロックに属するイベントに頻出する属性値をもとに特徴情報を求める。また、イベントブロックの特徴情報に発生した変化の内容と発生時間を変化テーブルに記録する。その後、特徴情報に基づいてIT障害データベースを検索し、新規に取得されたIT障害イベントブロックに類似する過去のIT障害イベントブロックを検索する。この際、変化テーブルを参照し、検索対象とする時間範囲に応じて検索処理で使用する特徴情報の内容を補正する。本発明によれば、何らかの理由で監視イベントの属性値に変化があった場合でも、過去に発生した類似のIT障害イベントを検索することができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。以下、図面に基づいて、本発明の実施の形態を説明する。なお、本発明の実施の態様は、後述する形態例に限定されるものではなく、その技術思想の範囲において、種々の変形が可能である。IT障害検知検索システムのシステム構成図1に、IT障害検知検索コンピュータ103を実装するIT障害検知検索システムの構成例を示す。図1に示すIT障害検知検索システムは、監視対象サーバ群101と、そのコンピュータの状態を監視し、その内容に基づいて監視イベントを生成する監視サーバ102と、監視サーバ102が生成した監視イベントを解析し、IT障害の検知や類似する過去のIT障害を検索するIT障害検知検索コンピュータ103と、監視イベントのうちIT障害に関わる情報を格納するIT障害DB104とを有している。このうち、監視サーバ102は、監視対象サーバ群101の状態例えば、監視対象サーバ上で実行されているプロセスの死活などを監視し、その状態に応じた監視イベントを生成する機能を提供する。生成した監視イベントはIT障害検知検索コンピュータ103に送信される。図2は、監視サーバ102が生成する監視イベントの発生例を示している。監視イベントは、イベントを一意に識別するイベントID201、監視サーバ102が監視イベントを生成した日時を表す発生日時202、監視イベントの属性203から構成されている。監視イベントの属性は、情報、警告等の監視イベントの重大度を表す種類204、イベントが対象としているプロセス名を表すソース205、ソース205の状態を一意に識別するイベント番号206、ソース205を起動したユーザを示すユーザ207、ソース205が実行されている監視サーバ群101内のコンピュータを示すコンピュータ208から構成される。図3に、IT障害検知検索コンピュータ103の構成例を示す。IT障害検知検索コンピュータ103は、コンピュータ本体300と、入力装置330と、表示装置331と、通信装置332とから構成される。なお、通信装置332は、監視サーバ102及びIT障害DB104と通信する。コンピュータ本体300は、データ演算をするCPU301、ROM302、RAM310、データを格納するハードディスク駆動装置320、これらデバイス間のデータ転送を実現するCPUバス307、これらデバイスとCPUバス307を結合するインターフェース303~306で構成される。RAM310には、少なくとも、CPU301に演算処理させるIT障害検知検索プログラム311の実行領域と、演算時に一時的に生成させるデータを格納する作業領域312が確保される。また、ハードディスク駆動装置320の記憶領域には、少なくとも、IT障害検知検索プログラムの格納領域としてのプログラム格納部321と、監視サーバ102及びIT障害DB104から取得したデータを一時的に格納するデータ格納部322が確保される。データベースのデータ構造図4-1は、IT障害DB104が保持するIT障害イベントブロックテーブル400及びIT障害特徴テーブル410の構造例を示す。図4-2は、IT障害DB104が保持するIT障害分類木420及び変化テーブル430の構造例を示す。IT障害イベントブロックテーブル400は、イベントブロックを一意に特定するイベントブロックID401と、イベントブロックに含まれる単数又は複数のIT障害イベント402から構成される。ここで、イベントブロックとは、一つのIT障害が発生したときに、それに伴って一定時間内に発生した単数又は複数のIT障害イベントの集合である。イベントブロックの作成方法の説明は、IT障害検知検索プロセスの説明の際に行う。また、IT障害イベントは、監視イベントのうち属性種類204の値が、IT障害検知検索プログラムの設定画面500図5のIT障害イベント種類入力部501で入力された値のいずれかである監視イベントをいう。IT障害特徴テーブル410は、同じ特徴を持つIT障害を一意に特定するIT障害ID411と、IT障害の特徴412と、同じIT障害の特徴を持つイベントブロックIDのリスト413から構成される。IT障害の特徴412の求め方は後述する。IT障害分類木420は、特徴412に基づくイベントブロックの分類により作成される。図4-2は、当該分類木の概念構成を表している。当該分類木の作成方法は、IT障害分類木のインクリメント処理デクリメント処理プロセスにおいて後に詳細に説明する。分類木の各ノードには、その要素として分類されたIT障害イベントブロックが保持される。分類木の構築方法については後述する。変化テーブル430は、イベントブロックの特徴412に発生した変化の内容と発生日時を保持するテーブルである。変化テーブル430は、発生した変化を一意に特定する変化ID431、変化が発生した日付を示す変化発生日432、特徴412を構成する属性のうち変化が発生した属性を示す属性名433、同属性における変化前の属性値を示す変化前属性値434、同属性における変化後の属性値を示す変化後属性値435から構成される。例えば変化ID1には、2010/02/03に、属性コンピュータ0の属性値がサーバ10からサーバ23に変更されたことが記録されている。設定画面例図5及び図6に、表示装置331に表示されるIT障害検知検索プログラム311のGUI画面例を示す。図5は、IT障害検知検索プログラム311の初期画面として、表示装置331に最初に表示される画面設定画面500を表している。この設定画面500は、ユーザがIT障害とみなすイベントの登録時等に使用される。IT障害検知検索プログラム311は、設定画面500の設定内容に基づいて、後述するIT障害検知処理及び検索処理を実行する。設定画面500は、IT障害イベント種類入力部501、最大イベント時間間隔入力部502、変化検知時間窓幅入力部503、変化量閾値入力部504、変化解析時間窓幅入力部505、開始ボタン506から構成される。IT障害イベント種類入力部501は、IT障害イベントとみなすイベントの属性種類204の入力欄である。図5は、エラー、致命的、緊急のラベルを有する監視イベントをIT障害イベントとして扱う場合である。最大イベント時間間隔入力部502は、IT障害イベントとみなされるイベントが複数観察された場合に、同じ原因により発生したIT障害イベントとみなす時間の範囲を入力するための項目欄である。例えばIT障害イベントとみなされるイベントが観察されてから次に観察されるまでの時間が、最大イベント時間間隔入力部502に入力された時間に収まる場合、該当する複数のイベントは同じ原因に起因して発生したイベントであると判定する。同じ原因に起因する1つ又は複数のイベントを、1つのイベントブロックとして扱う。図5の場合、時間の単位は分である。もっとも、時間単位は、秒でも、時間でも、日でも、その他の単位でも良い。変化検知時間窓幅入力部503は、変化を検知する時間の範囲を指定するための項目欄である。図5の場合、時間の単位は日である。もっとも、時間単位は、秒でも、分でも、時間でも、その他の単位でも良い。変化量閾値入力部504は、変化の発生が検出された場合に、変化解析を実行するか否かの判断基準変化量の閾値を入力するための項目欄である。これを設定することにより、ノイズによる変化の誤検知を回避することができる。変化解析時間窓幅入力部505は、変化解析を実行する時間範囲を指定するための項目欄である。図5の場合、時間の単位は日である。もっとも、時間単位は、秒でも、分でも、時間でも、その他の単位でも良い。開始ボタン506は、IT障害検知検索プログラムの実行を指示するためのボタンである。IT障害検知画面例図6は、IT障害検知検索プログラム311が検知したIT障害及び検索した類似IT障害の結果を表示する画面600である。画面600は、検知したIT障害を列記するIT障害テーブル610と、発生した障害イベントの属性を表示する障害イベントテーブル620と、類似IT障害の属性を表示する類似IT障害テーブル630で構成される。IT障害テーブル610は、検知したIT障害情報を一意に特定するIT障害ID611と、IT障害を検知した検知日時612から構成される。障害イベントテーブル620は、IT障害テーブル610内で選択されたIT障害に対して実際に発生した障害イベントの属性の内容を示す表示欄である。属性情報は、イベントID、発生日時、種類、ソース、イベント番号、ユーザ、コンピュータで構成される。類似IT障害テーブル630は、IT障害をイベントブロック単位で一意に特定するIT障害ID631、類似すると判定されたIT障害イベントブロックを構成する個々の監視イベントの属性632、検知したIT障害との類似度633から構成されている。IT障害検知検索動作図7に、IT障害検知検索システムで実行されるIT障害検知検索プロセスの概略を示す。ステップ700IT障害検知検索コンピュータ103は、IT障害検知検索プログラムの設定画面500図5において開始ボタン506のクリック入力を検出すると、設定画面500を通じて設定された属性値を読み込み、IT障害検知検索プログラム311に基づいた検知処理と検索処理を開始する。該当処理の実行に際し、IT障害検知検索コンピュータ103は、IT障害イベント種類入力部501に設定入力されたIT障害イベントを特定する属性種類204の属性値と、最大イベント時間間隔入力部502に設定入力された時間間隔と、変化検知時間窓幅入力部503に設定入力された時間範囲と、変化量閾値入力部504に設定入力された閾値と、変化解析時間窓幅入力部505に設定入力された時間幅を読み込む。ステップ701IT障害検知検索コンピュータ103は、監視サーバ102から通信装置332を介して監視イベントを受信する。IT障害検知検索コンピュータ103は、監視イベントの中からIT障害イベントを選択的に取得し、それ以外のイベントは破棄する。監視イベントがIT障害イベントか否かは、監視イベントの属性種類204の値が、IT障害イベント種類入力部501に設定入力された値に含まれるか否かに基づいて判定する。この実施例の場合、属性種類204の値が、エラー、致命的、緊急のいずれであるか判定する。図2に示す監視イベントの場合、イベントID201が4、5、6、10、11、12の監視イベントが、IT障害イベントとして判定される。これら以外の監視イベントは無視される。ステップ702IT障害検知検索コンピュータ103は、取得されたIT障害イベントからIT障害イベントブロック図4-1を生成し、その後、IT障害イベントブロックの特徴412図4-1を計算する。さらに、IT障害検知検索コンピュータ103は、通信装置332を介してIT障害DB104のIT障害イベントブロックテーブル400及びIT障害特徴テーブル410を更新する。時間的に連続して発生した2つのIT障害イベントが同じイベントブロックに属するか否かの判定は、2つのIT障害イベントの発生日時202の時間間隔が、最大イベント時間間隔入力部502図5の入力値以内か否かにより判断する。ここで、2つのIT障害イベントの時間間隔が最大イベント時間間隔以内であれば、2つのIT障害イベントは、同じイベントブロック内に分類される。一方、2つのIT障害イベントの時間間隔が最大イベント時間間隔外であれば、別々のイベントブロックに分類される。例えば、図2の監視イベントの例の場合、イベントID201が5と6の発生日時202の時間間隔は1分2秒である。この値は、設定画面500図5の最大イベント時間間隔入力部502で設定された2分以内である。従って、これら2つのIT障害イベントは、IT障害イベントブロックテーブル400図4-1において、同じイベントブロックID401すなわち、1に割り当てられている。一方、イベントID201が6と10の監視イベントの発生日時202の時間間隔は、最大イベント時間間隔以上である。このため、これら2つのIT障害イベントは、IT障害イベントブロックテーブル400図4-1において、異なるイベントブロックすなわち、1と2に割り当てられている。次に、IT障害検知検索コンピュータ103は、作成したIT障害イベントブロックの特徴量412を計算する。IT障害の特徴412は、IT障害イベントブロックテーブル400において、同じイベントブロックに含まれる単数又は複数のIT障害イベントの種類、ソース、イベント番号、ユーザ、コンピュータの各属性に対して、共通する属性値の頻度を計算し、頻度の高い属性値の上位2つを各属性の特徴とする。例えばIT障害イベントブロックテーブル400図4の場合、イベントブロックID401が1のイベントブロックに、イベントID4、5、6の3つのIT障害イベントが含まれている。属性種類に着目すると、属性値エラーは2回出現し、致命的は1回出現している。従って、IT障害特徴テーブル410においては、イベントブロックID1の属性種類に関し、最も頻度の高い属性値を表す種類0にエラーが設定され、次に頻度の高い属性値を表す種類1に致命的が設定されている。なお、IT障害特徴テーブル410では、各属性の組み合わせが全て共通するイベントブロック同士が1つのIT障害ID411で管理される。例えばイベントブロックID1は、IT障害ID4111で管理される。因みに、IT障害ID411のイベントブロックIDリスト413には、イベントブロックID1の他に、15と30も含まれており、それらは同じ特徴を有することが分かる。因みに、特徴は、これらの属性の他、イベントブロック内の先頭イベントの発生日時202から最終イベントの発生日時202までの平均時間間隔、属性値の平均値に対して差異が大きい属性値等を用いても良い。ステップ703IT障害検知検索コンピュータ103は、IT障害DB104のIT障害特徴テーブル410を参照し、ステップ702で作成したIT障害イベントブロックと同じ特徴412を有するイベントブロックIDを、イベントブロックIDリスト413から取得する。すなわち、特徴が類似するIT障害イベントブロックを取得する。ここで、IT障害検知検索コンピュータ103は、変化テーブル430図4-2を参照し、必要に応じて特徴412を補正した後の内容にてイベントブロックIDリスト413を検索する。補正の必要があるのは、監視イベントに過去に変化した属性値が含まれており、かつ、当該変化の発生時点より過去に発生したIT障害イベントを検索対象とする場合である。例えば図4-2の場合、変化テーブル430の変化ID1には、変化発生日20100203に、属性名コンピュータ0の属性値がServer10からServer23に変更されたことが記録されている。従って、ステップ702で作成したIT障害イベントブロックの特徴412に含まれる属性名コンピュータ0の値がServer23であった場合に、変化発生日20100203以前に発生したIT障害イベントブロックの検索時には、IT障害検知検索コンピュータ103は、特徴412の属性名コンピュータ0の属性値をServer10に変更して検索処理を実行する。勿論、変化発生日20100203以降に発生したIT障害イベントブロックの検索には、現在の特徴412に含まれる属性値すなわち、Server23をそのまま使用する。なお、IT障害特徴テーブル410には、現在時刻までに生成されたIT障害イベントブロックの特徴が全て保存されている。勿論、ある属性の属性値に変化があると、変化前とは異なる特徴が生成される。従来の障害検索技術では、属性値が変更される前の情報を有していないため、専ら属性変更後の特徴を用いてしか類似する特徴を有するIT障害イベントブロックを検索することができない。結果的に、属性値の変更がIT障害の原因には影響しない要因により生じた場合でも、変更以前に行った対策に関する情報を検索することができなかった。一方、本実施例の場合、現在時刻に取得されたIT障害イベントブロックと特徴が共通するイベントブロックだけでなくすなわち、属性変更後の特徴が共通するイベントブロックだけでなく、属性値が変更される前の特徴412と共通するイベントブロックについても検索結果に含めることができる。ここで、過去のIT障害イベントブロックに過去の対策等が関連付けてデータベースに保存されている場合には、属性値の変更の有無によらず、今回のIT障害イベントに対する適切な対策等を提示することができる。すなわち、復旧作業に従事する担当者が適切な対策を効率良く実行できるように支援することができる。ステップ704IT障害検知検索コンピュータ103は、ステップ702で作成したIT障害イベントブロックと、ステップ703で取得したIT障害イベントブロック間の類似度を計算する。2つのイベントブロックイベントブロックA、イベントブロックB間の類似度は、例えば次式により算出する。勿論、先程説明した変化テーブル430を参照して、変化の前か後かを考慮し、適時属性値を変更して類似度の計算を行う。ステップ710IT障害検知検索コンピュータ103は、IT障害の検知結果を、表示装置331のIT障害検知画面600図6に表示する。IT障害検知画面600には、障害イベントテーブル620と類似IT障害テーブル630が表示される。障害イベントテーブル620には、ステップ702で作成されたIT障害イベントブロックが表示される。類似IT障害テーブル630には、ステップ703で検索された類似IT障害イベントブロックが類似度633と共に表示される。図6の場合、類似IT障害テーブル630のIT障害ID81に対応するIT障害イベントブロックは、ステップ702で作成したIT障害イベントブロックと、発生日時を除き、全ての属性で属性値が一致する。このため、IT障害ID81のIT障害イベントブロックと、障害イベントテーブル620に表示された2つのイベントブロックとの類似度は100である。また、IT障害ID99のIT障害イベントブロックと、障害イベントテーブル620のイベントブロックとの類似度は87である。ここで、IT障害ID99に属するIT障害イベントブロックを構成する属性数の合計は15個=5個×3である。イベントID345及び346で特定されるイベントブロックについては、全ての属性について属性値の一致が認められ、イベントID347で特定されるイベントブロックについては3つの属性について属性値の一致が認められる。従って、類似度は、13/15で計算される。ステップ705次に、IT障害分類木の更新機能について説明する。すなわち、IT障害分類木の保守管理機能について説明する。従来のKmeansなどの教師なしクラスタリングアルゴリズムでは、構成する訓練データIT障害イベントブロックの集合に変更IT障害イベントブロックの削除や追加があると、IT障害分類木のようなクラスターを新規に再作成する必要がある。しかし、その計算量は膨大であり、しかも過去に作成したクラスターに対する変化を連続的に追跡することが困難である。そこで、本実施例では、これらの技術的課題を解決可能な手法について説明する。IT障害検知検索コンピュータ103は、現在の時刻を起点とし、ある時間範囲内に発生したIT障害イベントブロックのリストAと、現在のIT障害分類木420を構成しているIT障害イベントブロックのリストBとを比較する。この比較処理は、ステップ703、704及び710と同時並行的に実行される。比較対象とする時間範囲は、設定画面500図5の変化検知時間窓幅入力部503に設定入力された値で与えられる。IT障害検知検索コンピュータ103は、リストBに含まれているがリストAに含まれていないIT障害イベントブロックをIT障害分類木からデクリメントし、IT障害分類木420を更新する。一方、IT障害検知検索コンピュータ103は、リストAに含まれていているがリストBに含まれていないIT障害イベントブロックをIT障害分類木にインクリメントし、IT障害分類木420を更新する。デクリメント処理とインクリメント処理の詳細については後述する。ステップ706IT障害検知検索コンピュータ103は、所定時間単位でIT障害分類木に生じた変化量を計算する。例えば1日単位で変化量を計算する。変化量は、例えば次式により計算する。ここで、DIT障害分類木AIT障害分類木Bは、IT障害分類木AとIT障害分類木Bとの間の編集距離を表す。編集距離とは、一方を他方に変形するために要する最小手順回数で与えられる。例えばインクリメント処理には、図101~3に示す編集処理がある。この場合、編集距離は1カウントされる。また例えばデクリメント処理には、図111~3に示す編集処理がある。この場合、編集距離は1カウントされる。図12の上段に、一日単位で計算されたIT障害分類木420の変化量の時間変化を示すグラフ1200を示す。グラフ1200の横軸は時間であり、縦軸は変化量である。ステップ707IT障害検知検索コンピュータ103は、ステップ706で算出された変化量と、設定画面500図5の変化量閾値入力部504に設定入力された閾値とを比較する。変化量が閾値以上であった場合、IT障害検知検索コンピュータ103は、ステップ708に進む。一方、変化量が閾値より小さい場合、IT障害検知検索コンピュータ103は、ステップ701に戻る。ステップ708IT障害検知検索コンピュータ103は、変化量が閾値を越える変化が発生した場合、例えば非特許文献2に開示の手法を用いて解析し、変化の前後において特徴412を構成するどの属性名433の属性値がどのように変化したかを特定する。特定された結果は、IT障害DB104の変化テーブル430に反映される。次に、変化解析処理の一例を示す。IT障害検知検索コンピュータ103は、変化量が閾値を超えた日を起点とし、その前後所定期間内に取得されたIT障害イベントブロックをIT障害イベントブロックテーブル400図4-1から取得する。IT障害イベントブロックを取得する時間範囲は、設定画面500図5の変化解析時間窓幅入力部505に設定された値を使用する。図5の場合は、30日である。以下では、図12の下段に示すグラフ1210を用いて変化解析処理に伴うIT障害イベントの取得処理を説明する。なお、グラフ1210の横軸は時間であり、縦軸はIT障害の発生頻度である。前述したように、IT障害分類木420の変化量1202は、20100520に閾値1201を超えている。従って、IT障害検知検索コンピュータ103は、20100520に対して前30日間1211及び後30日間1212の範囲でIT障害イベントブロックを取得する。次に、IT障害検知検索コンピュータ103は、取得されたIT障害イベントブロックに対する特徴412をIT障害特徴テーブル410から取得する。その上で、IT障害検知検索コンピュータ103は、変化前のIT障害イベントブロックには変化前のラベルを付加し、変化後のIT障害イベントブロックには変化後のラベルを付加した変化解析テーブル1300図13を作業領域312に作成する。最後に、IT障害検知検索コンピュータ103は、変化解析テーブル1300の特徴1301とラベル1302を参照し、作業領域312上にID3やC4.5などの教師あり学習アルゴリズムを用いて変化解析決定木1310図13を構築する。変化解析決定木1310には、変化前後で属性値がどのように変化したかの情報が表現される。図13に示す変化解析決定木1310は、属性名ソース0の属性値が変化の前後でProcess6からProcess7に変化されたこと、属性名コンピュータ0の属性値がServer2からServer8に変化されたことを表している。IT障害分類木のインクメント処理次に、図8を用い、IT障害分類木420のインクリメント処理の詳細を説明する。この処理は、従来の概念クラスタリングCOBWEBにおけるインクリメント処理と同じ処理である非特許文献1。以下では、実施例に特有の処理であるデクリメント処理との比較の観点からインクリメント処理の内容を説明する。インクリメント処理とは、IT障害分類木420に新たなIT障害イベントブロックの特徴412を1個追加して、IT障害分類木420を更新する処理である。ステップ800IT障害検知検索コンピュータ103は、変数nodeにIT障害分類木420のrootノードを設定する。ステップ801IT障害検知検索コンピュータ103は、変数nodeに設定しているIT障害分類木420のノードに対し、今回追加しようとしているIT障害イベントブロックの特徴412を追加する。ステップ802IT障害検知検索コンピュータ103は、変数nodeに設定しているIT障害分類木420のノードがrootノードであり、かつ、そのrootノードが子ノードを持っていないか否かを判定する。IT障害検知検索コンピュータ103は、肯定結果が得られた場合はステップ803を実行し、否定結果が得られた場合はステップ804を実行する。ステップ803IT障害検知検索コンピュータ103は、IT障害分類木420の新規ノードを作成し、新規ノードに当該IT障害イベントブロックの特徴412を追加する。さらに、この新規ノードをrootノードの子ノードとして追加する。ステップ804IT障害検知検索コンピュータ103は、次の4つの場合についてCU値CategoryUtilityを計算する。1適当な子ノードの要素にIT障害イベントブロックを追加したときのCU値CategoryUtility2IT障害イベントブロックを要素に持つ新規ノードを作成し、子ノードとして追加したときのCU値CategoryUtility3適当な2つの子ノードを統合したときのCU値CategoryUtility4適当な子ノードを分割したときのCU値CategoryUtilityCU値CategoryUtilityは、次式で与えられる。ここで、nは子ノード数、Ckはk番目の子ノードを表し、Aiは特徴412のi番目の属性、Vijはi番目の属性の属性値がj番目の属性値であることを意味している。ステップ805IT障害検知検索コンピュータ103は、ステップ804で計算した4種類のCU値CategoryUtilityを比較する。1追加適当な子ノードの要素にIT障害イベントブロックを追加したときのCU値CategoryUtilityが最大の場合は、ステップ806を実行する。2新規IT障害イベントブロックを要素に持つ新規ノードを作成し、子ノードとして追加したときのCU値CategoryUtilityが最大の場合は、ステップ807を実行する。3統合適当な2つの子ノードを統合したときのCU値CategoryUtilityが最大の場合は、ステップ808を実行する。4分割適当な子ノードを分割したときのCU値CategoryUtilityが最大の場合は、ステップ809を実行する。ステップ806IT障害検知検索コンピュータ103は、変数nodeに設定されているIT障害分類木420を構成する子ノードのうち、IT障害イベントブロックを要素に追加すると、最大のCU値CategoryUtilityが得られる子ノードに対し、IT障害イベントブロックを追加する。さらに、IT障害検知検索コンピュータ103は、変数nodeに、IT障害イベントブロックを追加した子ノードを新たに設定する。ステップ807IT障害検知検索コンピュータ103は、変数nodeに設定されているIT障害分類木420のノードに対し、IT障害イベントブロックを含む新規の子ノードを追加する。図101は、新規ノードの追加を説明する図である。変更前のIT障害分類木1000には、nodeの子要素としてchildnodeB及びchildnodeCがある。今、nodeに、IT障害イベントブロックを含む新規ノードを追加すると、最大のCU値CategoryUtilityが得られる。このとき、IT障害イベントブロックを要素に持つ新規ノードnewnodeを作成し、nodeの子ノードとして追加する。これにより、新規子ノードを追加したIT障害分類木1001が得られる。ステップ808IT障害検知検索コンピュータ103は、変数nodeに設定されているIT障害分類木420を構成する子ノードのうち、統合すると最大のCU値CategoryUtilityが得られる2つの子ノードを統合する。図102は、ノードの統合を説明する図である。変更前のIT障害分類木1010には、nodeの子要素としてchildnodeA、childnodeB、childnodeCがある。今、childnodeAとchildnodeBを統合すると、最大のCU値CategoryUtilityが得られるとする。このとき、IT障害検知検索コンピュータ103は、新規ノードnewnodeを作成し、その親ノードにnodeを設定する一方、その子ノードにchildnodeA及びchildnodeBを設定する。この結果、childnodeAとchildnodeBを統合したIT障害分類木1011が得られる。ステップ809IT障害検知検索コンピュータ103は、変数nodeに設定されているIT障害分類木420を構成する子ノードのうち、分割すると最大のCU値CategoryUtilityが得られる子ノードを分割する。図103は、ノードの分割を説明する図である。変更前のIT障害分類木1020には、nodeの子要素としてchildnodeA及びchildnodeBがあり、childnodeAの子ノードとしてgrandchildnodeC及びgrandchildnodeDがある。今、childnodeAを分割することで最大のCU値CategoryUtilityが得られるとする。このとき、IT障害検知検索コンピュータは、childnodeAを削除してgrandchildnodeC及びgrandchildnodeDをnodeの子要素とする。この結果、childnodeAを分割したIT障害分類木1021が得られる。IT障害分類木のデクリメント処理次に、図9を用い、IT障害分類木420のデクリメント処理の詳細を説明する。デクリメント処理とは、IT障害分類木420から1個のIT障害イベントブロックを削除することにより、IT障害分類木420を更新する処理のことをいう。ステップ900IT障害検知検索コンピュータ103は、変数nodeにIT障害分類木420のrootノードを設定する。ステップ901IT障害検知検索コンピュータ103は、変数nodeに設定しているIT障害分類木420のノードから、削除しようとしているIT障害イベントブロックを削除する。ステップ902IT障害検知検索コンピュータ103は、ステップ901においてIT障害イベントブロックが削除されたことにより、変数nodeに設定しているIT障害分類木420のノードが要素を持たない状態になったか否かを判定する。IT障害検知検索コンピュータ103は、要素が存在しない場合にはステップ903に進み、要素が存在する場合にはステップ904に進む。ステップ903この場合、nodeは空である。従って、IT障害検知検索コンピュータ103は、IT障害分類木420から変数nodeに設定しているノードを削除する。図111はノードの削除を説明する図である。変更前のIT障害分類木1100には、parentnodeの下に、子ノードnode、nodeB及びnodeCが存在する。一方、変更後のIT障害分類木1101では、nodeが削除されている。ステップ904IT障害検知検索コンピュータ103は、次の3つの場合についてCU値CategoryUtilityを計算する。1IT障害イベントブロックを要素に持つ子ノードから、対象とするイベントブロックを削除したときのCU値CategoryUtility2IT障害イベントブロックを要素に持つ子ノードから、対象とするイベントブロックを削除し、他の子ノードと統合したときのCU値CategoryUtility。図112に統合する場合の例を示す。詳細は後述する。3IT障害イベントブロックを要素に持つ子ノードを分割したときのCU値CategoryUtility図113に分割の例を示す。詳細は後述する。ステップ905IT障害検知検索コンピュータ103は、ステップ905で計算したCU値CategoryUtilityを比較する。IT障害イベントブロックを要素に持つ子ノードから、対象とするイベントブロックを削除したときのCU値CategoryUtilityが最大になる場合、IT障害検知検索コンピュータ103はステップ906を実行する。これに対し、子ノードを統合したときのCU値CategoryUtilityが最大になる場合、IT障害検知検索コンピュータ103はステップ907を実行する。そして、子ノードを分割したときのCU値CategoryUtilityが最大になる場合、IT障害検知検索コンピュータ103はステップ908を実行する。ステップ906IT障害検知検索コンピュータ103は、変数nodeに設定されているIT障害分類木420を構成する子ノードのうち、当該IT障害イベントブロックを含む子ノードを新たに変数nodeに設定する。ステップ907IT障害検知検索コンピュータ103は、変数nodeに設定されているIT障害分類木420を構成する子ノードのうち、統合すると最大のCU値CategoryUtilityが得られる2つの子ノードを統合する。図112は、ノードの統合を説明する図である。変更前のIT障害分類木1110には、nodeの子要素としてchildnodeA、childnodeB及びchildnodeCがある。今、childnodeAが削除対象とするIT障害イベントブロックを保持しており、childnodeBと統合することで最大のCU値CategoryUtilityが得られるとする。このとき、IT障害検知検索コンピュータ103は、新規ノードnewnodeを作成し、その親ノードとしてnodeを設定し、その子ノードとしてchildnodeA及びchildnodeBを設定する。この結果、childnodeAとchildnodeBを統合したIT障害分類木111が生成される。ただし、newnodeのIT障害イベントブロック要素には、childnodeAとchildnodeBの要素を加えたものを設定する。ステップ908IT障害検知検索コンピュータ103は、変数nodeに設定されているIT障害分類木420の子ノードのうち、対象とするIT障害イベントブロックを含むノードを削除することによりノードを分割する。図113は、ノードの分割を説明する図である。変更前のIT障害分類木1120には、nodeの子要素としてchildnodeA及びchildnodeBがあり、更にchildnodeAの子要素としてgrandchildnodeC及びgrandchildnodeDがある。今、該当IT障害イベントブロックを含むchildnodeAを分割することで最大のCU値CategoryUtilityが得られるとする。このとき、IT障害検知検索コンピュータ103は、childnodeAを削除してgrandchildnodeC及びgrandchildnodeDをnodeの子要素とする。この結果、childnodeAを分割したIT障害分類木1121が得られる。まとめ以上説明したように、本実施例によれば、ITシステムの運用中に監視イベントの属性値に変化を伴う変更が発生した場合でも、過去に発生した類似のIT障害イベントブロックの検索が可能となる。その結果、過去の同種のIT障害発生時に実行した対策を、復旧担当者に効果的に提供することができる。また、本実施例の場合、ITシステム変更後に発生した監視イベントについてIT障害分類木を最初から再作成するのではなく、ノードのインクリメント処理及びデクリメント処理による修正を可能とする。これにより、IT障害分類木の作成に要する計算量を削減することができる。また、本実施例の場合、IT障害分類木の変化量が閾値を越える場合には、その変化の発生時を起点として前後所定の範囲内で変化した属性と属性値を解析して決定木を作成する。これにより、IT障害分類木に生じた構造変化の追跡が可能となる。他の形態例本発明は上述した実施例に限定されるものでなく、様々な変形例が含まれる。例えば、上述した形態例は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある形態例の一部を他の形態例の構成に置き換えることが可能であり、また、ある形態例の構成に他の形態例の構成を加えることも可能である。また、各形態例の構成の一部について、他の構成を追加、削除又は置換することも可能である。また、上述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路その他のハードウェアとして実現しても良い。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することにより実現しても良い。すなわち、ソフトウェアとして実現しても良い。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリやハードディスク、SSDSolidStateDrive等の記憶装置、ICカード、SDカード、DVD等の記憶媒体に格納することができる。また、制御線や情報線は、説明上必要と考えられるものを示すものであり、製品上必要な全ての制御線や情報線を表すものでない。実際にはほとんど全ての構成が相互に接続されていると考えて良い。