CN102138130A - 检测规则生成装置、检测规则生成方法和计算机程序 - Google Patents

Abstract

本发明能够提供一种能不被操作者的熟练程度左右来生成适当症状的检测规则生成装置、检测规则生成方法以及计算机程序。生成包含多个构件的系统内的事件检测规则。取得包含构件之间的关联信息的系统的系统结构信息，并收集包含记录(log)信息和/或从故障发生时的各构件输出的故障信息的系统的历史信息。基于系统结构信息和历史信息，确定为了生成检测规则而成为要被选择的候选的候选事件，并提示所确定的候选事件。根据所提示的候选事件来生成检测规则。

Description

检测规则生成装置、检测规则生成方法和计算机程序

技术领域

本发明涉及一种能够不依赖操作者的熟练程度来生成能以更高精度检测发生故障事件的检测规则的检测规则生成装置、检测规则生成方法以及计算机程序。

背景技术

由于近来计算机技术的迅速发展，计算机系统理所当然地被加入到构建社会基础设施的基础系统中。为了正常且稳定地运用社会基础设施而产生相当程度的运用成本。作为尽量减少相关运用成本并且提高系统稳定度的技术，自动处理系统(Autonomic Computing Systems)正在受到人们的关注。

自动处理系统为构建系统规模的自我管理型环境的技术整体的总称，表示通过检测来自动消除系统所产生的问题、故障等的系统整体。作为检测系统所产生的问题、故障等的方法，公开了各种各样的方法。

例如，在专利文献1中，公开了一种保守管理系统，其始终监视故障发生事件，当故障发生时以电子邮件发送故障分析所需的初始分析用数据。另外，在专利文献2中，公开了一种故障原因推测系统，其以有限自动机使事件与发生原因的对应关系和故障的产生原因之间的转变模型化，反复进行学习从而提高故障发生原因的推测精度。

进而，在专利文献3中，公开了一种故障分析装置，其预先存储构成系统的结构设备、资源等的结构信息，基于在故障发生时所存储的结构信息分析产生原因，在专利文献4中公开了一种用于发现故障发生的原因部位的支援系统，其能够预先存储在系统中包含的构件之间的依赖关系，基于所显示出的依赖关系而容易地确定成为故障原因的候选的构件。

在先技术文献

专利文献1：日本特开2001-005692号公报

专利文献2：日本特开2007-257184号公报

专利文献3：日本特开2005-316728号公报

专利文献4：日本特开2008-065668号公报

发明内容

但是，在专利文献1所公开的保守管理系统中，尽管能够得到故障分析所需要的初始分析用数据，但是在该初始分析用数据中不含有系统的结构信息，出现了为了按各系统分析固有的故障原因而需要得到进一步的详细信息的问题。另外，在专利文献2所公开的故障原因推测系统中，期待越是出现故障则故障原因的推测精度越高，但在原本适用于基础设施的系统中，强烈要求将故障的产生防于未然，不能说是结合了实际情况的方法。

另外，在专利文献3中使用系统的结构信息、在专利文献4中使用构件之间的依赖关系，从而提高故障发生的原因部位的推测精度，但它们的前提均在于，预先存储用于检测产生了故障的事件的检测规则、以及在该检测规则上附加了故障检测时的推荐动作、建议等的知识信息(以下称为症状：SYMPTOM)。因此，出现如下问题：非常依赖在生成含有检测规则的症状时的操作者的熟练程度，并且症状生成的操作负担非常大，难以进行构成所生成的症状的核心的故障发生事件的检测规则的评价、改善等。

本发明是鉴于相关情况而构成的，其目的在于提供一种检测规则生成装置、检测规则生成方法以及计算机程序，其能够不受操作者的熟练程度所左右来生成适当的症状。

为实现上述目的，第1发明的检测规则生成装置，生成包含多个构件的系统中的事件(event)的检测规则，其特征在于，包括：结构信息取得单元，取得包含上述构件之间的关联信息的上述系统的系统结构信息；历史信息收集单元，收集上述系统的历史信息，该历史信息包括记录信息和/或从上述系统中的故障发生时的各构件输出的故障信息；候选事件确定单元，根据所取得的上述系统结构信息和收集到的上述历史信息来确定是为了生成检测规则而应该选择的候选的候选事件；以及候选事件提示单元，提示所确定的候选事件。

另外，第2发明的检测规则生成装置，其特征在于，在第1发明中，还包括：检测规则生成存储单元，生成上述检测规则来存储在数据库中；和候选事件检测单元，基于所存储的检测规则检测候选事件，其中，上述候选事件提示单元提示检测出的上述候选事件。

另外，第3发明的检测规则生成装置，其特征在于，在第1发明或第2发明中，还包括数据格式转换单元，该数据格式转换单元预先将所收集的上述记录信息和/或上述故障信息转换为统一数据格式，上述历史信息收集单元收集已转换为上述统一数据格式的上述记录信息和/或上述故障信息。

另外，第4发明的检测规则生成装置，其特征在于，在第1发明至第3发明的任一项中，还包括：事件选择接受单元，接受由用户进行的事件选择；检测规则抽取单元，抽取与已接受选择的事件所对应的构件的拓扑布局相应的检测规则；检测规则提示单元，提示所抽取出的检测规则；和数据库更新单元，接受所提示的检测规则的更新而更新上述数据库。

另外，第5发明的检测规则生成装置，其特征在于，在第4发明中，还包括单复数判断单元，该单复数判断单元判断已由上述事件选择接受单元接受选择的事件是否为单数，当由该单复数判断单元判断为单数时，上述检测规则抽取单元抽取上述检测规则来作为确认事件的过滤器模式。

另外，第6发明的检测规则生成装置，其特征在于，在第5发明中，还包括：构件判断单元，当由上述单复数判断单元判断为复数时，判断发送出已接受选择的事件的构件是否为单数；事件判断单元，当由上述构件判断单元判断为单数时，判断已接受选择的事件是否为同一种，当由上述事件判断单元判断为同一种时，上述检测规则抽取单元抽取上述检测规则来作为将预定的数值与阈值进行比较的临界模式，当由上述事件判断单元判断为多种时，上述检测规则抽取单元抽取上述检测规则来作为检测是否存在事件的排列的顺序模式。

另外，第7发明的检测规则生成装置，其特征在于，在第6发明中，还包括：连接判断单元，当由上述构件判断单元判断为多个时，判断多个构件之间是否在拓扑布局上相连接；和并列关系判断单元，当由上述连接判断单元判断为没有连接时，判断多个构件是否处于并列关系，当由上述并列关系判断单元判断为未处于并列关系时，上述检测规则抽取单元抽取上述检测规则来作为上述顺序模式。

另外，第8发明的检测规则生成装置，其特征在于，在第7发明中，还包括事件判断单元，该事件判断单元当由上述并列关系判断单元判断为处于并列关系时，判断已接受选择的事件是否为同一种，当由上述事件判断单元判断为同一种时，上述检测规则抽取单元抽取上述检测规则来作为上述临界模式，当由上述事件判断单元判断为多种时，上述检测规则抽取单元抽取上述检测规则来作为上述顺序模式。

另外，第9发明的检测规则生成装置，其特征在于，在第7发明中，当由上述连接判断单元判断为相连接时，上述检测规则抽取单元抽取上述检测规则来作为上述顺序模式。

另外，第10发明的检测规则生成装置，其特征在于，在第7发明中，还包括：串联关系判断单元，当由上述连接判断单元判断为相连接时，判断多个构件是否处于串联关系；和事件判断单元，当由上述串联关系判断单元判断为没有处于串联关系时，判断已接受选择的事件是否为同一种，当由上述事件判断单元判断为同一种时，上述检测规则抽取单元抽取上述检测规则来作为顺序被确定的有序顺序模式，当由上述事件判断单元判断为多种时，上述检测规则抽取单元抽取上述检测规则来作为顺序未被确定的无序顺序模式，当由上述串联关系判断单元判断为处于串联关系时，上述检测规则抽取单元抽取上述检测规则来作为顺序被确定的有序顺序模式。

接着，为实现上述目的，第11发明的检测规则生成方法，能够由生成包含多个构件的系统中的事件的检测规则的检测规则生成装置来执行，其特征在于，取得包含上述构件之间的关联信息的上述系统的系统结构信息，收集上述系统的历史信息，该历史信息包括记录信息和/或从上述系统中的故障发生时的各构件输出的故障信息，根据所取得的上述系统结构信息和收集到的上述历史信息来确定是为了生成检测规则而应该选择的候选的候选事件，提示所确定的候选事件。

另外，第12发明的检测规则生成方法，其特征在于，在第11发明中，生成上述检测规则来存储在数据库中，基于所存储的检测规则检测候选事件，提示检测出的上述候选事件。

另外，第13发明的检测规则生成方法，其特征在于，在第11发明或第12发明中，将所收集的上述记录信息和/或上述故障信息预先转换为统一数据格式，收集已转换为上述统一数据格式的上述记录信息和/或上述故障信息。

另外，第14发明的检测规则生成方法，其特征在于，在第11发明至第13发明的任一项中，接受由用户进行的事件选择，抽取与已接受选择的事件所对应的构件的拓扑布局相应的检测规则，提示抽取出的检测规则，接受所提示的检测规则的更新来更新上述数据库。

接着，为了实现上述目的，第15发明的计算机程序，能够由生成包含多个构件的系统中的事件的检测规则的检测规则生成装置来执行，其特征在于，使上述检测规则生成装置作为如下单元发挥作用，即：结构信息取得单元，取得包含上述构件之间的关联信息的上述系统的系统结构信息；历史信息收集单元，收集上述系统的历史信息，该历史信息包括记录信息和/或从上述系统中的故障发生时的各构件输出的故障信息；候选事件确定单元，根据所取得的上述系统结构信息和收集到的上述历史信息来确定是为了生成检测规则而应该选择的候选的候选事件；以及候选事件提示单元，提示所确定的候选事件。

另外，第16发明的计算机程序，其特征在于，在第15发明中，使上述检测规则生成装置作为检测规则生成存储单元和候选事件检测单元发挥作用，其中，上述检测规则生成存储单元生成上述检测规则来存储在数据库中，上述候选事件检测单元基于所存储的检测规则检测候选事件，使上述候选事件提示单元作为用于提示检测出的上述候选事件的单元而发挥作用。

另外，第17发明的计算机程序，其特征在于，在第15发明或第16发明中，使上述检测规则生成装置作为将所收集的上述记录信息和/或上述故障信息预先转换为统一数据格式的数据格式转换单元而发挥作用，使上述历史信息收集单元作为收集已转换为上述统一数据格式的上述记录信息和/或上述故障信息的单元而发挥作用。

另外，第18发明的计算机程序，其特征在于，在第15发明至第17发明的任一项中，使上述检测规则生成装置作为如下单元发挥作用，即：事件选择接受单元，接受由用户进行的事件选择；检测规则抽取单元，抽取与已接受选择的事件所对应的构件的拓扑布局相应的检测规则；检测规则提示单元，提示抽取出的检测规则；以及数据库更新单元，接受所提示的检测规则的更新而更新上述数据库。

根据本发明，通过在系统结构信息中包含构件之间的关联信息，不仅包含构件之间的依赖关系还包含关联信息来生成故障发生事件的检测规则。另外，通过基于检测规则提示候选事件，能够有效地支援由用户进行的检测规则生成操作，能够与检测规则生成的熟练程度无关来可靠地生成一定水平以上的检测规则。

附图说明

图1是表示本发明实施方式的检测规则生成装置的结构例的框图。

图2是本发明实施方式的检测规则生成装置的检测规则生成时的功能框图。

图3是本发明实施方式的检测规则生成装置的检测规则更新时的功能框图。

图4是显示在显示装置中的画面的例示图。

图5是所生成的检测规则的典型的规则模式的例示图。

图6是表示本发明实施方式的检测规则生成装置的CPU的检测规则生成处理的顺序的流程图。

图7是选择出检测规则中的过滤器模式时的候选事件的例示图。

图8是选择出检测规则中有序顺序模式时的候选事件的例示图。

图9是选择出检测规则中无序顺序模式时的候选事件的例示图。

图10是选择出检测规则中临界(threshold)模式时的候选事件的例示图。

图11是表示本发明实施方式的检测规则生成装置的CPU的检测规则更新处理的顺序的流程图。

图12是表示本发明实施方式的检测规则生成装置的CPU的检测规则抽取处理的顺序的流程图。

图13是表示本发明实施方式的检测规则生成装置的CPU的检测规则抽取处理的顺序的流程图。

图14是表示选择事件为单数时的拓扑布局的例示图。

图15是选择事件为多个、选择事件为同一种时的拓扑布局的例示图。

图16是选择事件为多个、选择事件为多种时的拓扑布局的例示图。

图17是选择事件为多个、构件之间的关系为不相关、选择事件为同一种时的拓扑布局的例示图。

图18是选择事件为多个、构件之间的关系为不相关、选择事件为多种时的拓扑布局的例示图。

图19是选择事件为多个、构件之间的关系为并列关系、选择事件为同一种时的拓扑布局的例示图。

图20是选择事件为多个、构件之间的关系为并列关系、选择事件为多种时的拓扑布局的例示图。

图21是选择事件为多个、构件之间的关系不是完全的串联关系、选择事件为同一种时的拓扑布局的例示图。

图22是选择事件为多个，构件之间的关系不是完全的串联关系、选择事件为多种时的拓扑布局的例示图。

图23是选择事件为多个、构件之间的关系是完全的串联关系、选择事件为同一种时的拓扑布局的例示图。

图24是选择事件为多个、构件之间的关系是完全的串联关系、选择事件为多种时的拓扑布局的例示图。

标号说明

1检测规则生成装置

11CPU

12存储器(公用存储器)

13存储装置

14I/O接口

15通信接口

16视频接口

17可移动式盘驱动器

18内部总线

23显示装置

90可移动式记录介质

100计算机程序

131症状数据库

132结构信息存储部

133历史信息存储部

具体实施方式

以下、基于附图具体说明本发明实施方式的检测规则生成装置。以下的实施方式并不限定记载于权利要求书中的发明，不言而喻，在实施方式中说明的特征的事项的所有组合并不一定是解决方案的必要事项。

另外，本发明能以许多不同的方式实施，并不应限于实施方式的记载内容而进行解释。通过实施方式对相同的要素标以相同的标号。

在以下的实施方式中，对在计算机系统中导入了计算机程序的检测规则生成装置进行说明，但只要是本领域技术人员即可得知，本发明能够作为其一部分可由计算机执行的计算机程序来实施。因此，本发明能够取为做成检测规则生成装置这样的硬件的实施方式、做成软件的实施方式、或者软件和硬件的组合的实施方式。计算机程序能够记录在硬盘、DVD、CD、光存储装置、磁存储装置等任意的可由计算机读取的记录介质中。

在本发明的实施方式中，在系统结构信息中包含构件之间的关联信息，从而能够不仅包含构件之间的依赖关系还包含关联信息来生成故障发生事件的检测规则。另外，基于检测规则提示候选事件，从而能够有效地支援由用户进行的检测规则生成操作，能够与检测规则生成的熟练程度无关来可靠地生成一定水平以上的检测规则。在此，“构件(component)”指的是服务、应用程序、中间件、硬件、设备驱动器、操作系统等的计算机信息处理环境下的全部构件。另外，“系统结构信息”指的是不仅包含关于构成系统的多个构件之间的依赖关系的信息，还包含能导出对故障分析有用的关联的信息、例如通信中的连接关系、基于指令、指示等的操作主客体的关系等的信息的宽泛概念。因此，能够容易地做成构件的拓扑图。

另外，通过以统一的数据格式收集记录信息和/或故障信息，能够容易地进行记录信息和/或故障信息所含有的事件的显示、分析，能更为容易地确定候选事件。

进而，能够容易地更新与已接受选择的事件对应的检测规则，能够生成适于更实际的系统结构的检测规则。在此，“拓扑”指的是表示构件之间的连接关系、依赖关系的概念。

图1是表示本发明实施方式的检测规则生成装置的结构例的框图。本发明实施方式的检测规则生成装置1至少包括CPU(中央运算装置)11、存储器12、存储装置13、I/O接口14、通信接口15、视频接口16、可移动式盘驱动器17以及连接上述的硬件的内部总线18。

CPU11经由内部总线18与检测规则生成装置1的上述那样的硬件各部相连接，控制上述硬件各部的工作，并且依照存储在存储装置13中的计算机程序100执行各种软件的功能。存储器12由SRAM、SDRAM等易失性存储器构成，在执行计算机程序100时解压装载模块，存储执行计算机程序100时产生的临时数据等。

存储装置13由内置的固定型存储装置(硬盘)、ROM等构成。存储在存储装置13中的计算机程序100利用可移动式盘驱动器17从记录了程序和数据等信息的DVD、CD-ROM等可移动式记录介质90被下载，在执行时从存储装置13解压到存储器12来执行。当然，也可以是，经由通信接口15从连接在网络2上的外部计算机下载得来的计算机程序。

另外，存储装置13具有症状数据库131。在症状数据库131中，除了附加用于检测产生了故障的事件的检测规则之外，还按各检测规则附加故障检测时的推荐动作、建议等。在用户选择了产生了故障的事件时，根据选择出的事件抽取出检测规则，与构件的拓扑图一起显示在显示装置23中。

另外，存储装置13具有存储成为是否产生了故障的监视对象的系统的系统结构信息的结构信息存储部132；以及存储成为监视对象的系统的记录信息、在该系统中产生了故障时输出的事件信息等的历史信息的历史信息存储部133。结构信息存储部132由具有成为监视对象的监视对象系统200的构件之间的依赖关系信息、各构件的关联信息等的CCMDB(Change and Configuration Management DB：变更与配置管理数据库)构成。能够基于存储在结构信息存储部132中的系统结构信息显示构件的拓扑图。另外，结构信息存储部132可以存在于存储装置13内，但通常与本实施方式的检测规则生成装置1单独设置，例如，存在于经由网络2连接的外部计算机等中。

通信接口15与内部总线18连接，通过与因特网、LAN、WAN等外部的网络2连接，能够与外部的计算机等进行数据的收发。另外，也经由网络2与监视对象系统200连接，能够取得系统结构信息、故障发生时的历史信息等。

I/O接口14与键盘21、鼠标22等数据输入介质连接，接受数据的输入。另外，视频接口16与CRT监视器、LCD等显示装置23连接，显示预定的图像。

图2是本发明实施方式的检测规则生成装置1的检测规则生成时的功能框图。结构信息抽取部201抽取包含监视对象系统200所具有的构件之间的关联信息的系统结构信息、并存储在结构信息存储部132中。包含构件之间的关联信息的系统结构信息是指例如构件之间的通信中的连接关系信息、关于操作或非操作的关系的链接关系信息等。结构信息抽取部201并不是本发明中必需的结构要件，也可以是预先在结构信息存储部132中生成系统结构信息，还可以内置于检测规则生成装置1内。也就是说，结构信息抽取部201和结构信息存储部132并不是本发明实施方式的检测规则生成装置1的必须结构要件。

结构信息取得部202取得存储在结构信息存储部132中的系统结构信息。系统结构信息与各监视对象系统200对应地存储在结构信息存储部132中，根据监视对象系统200取得对应的系统结构信息。

历史信息收集部203始终监视监视对象系统200，收集包含从监视对象系统200所包含的各构件输出的记录信息和/或故障发生时输出的包含事件信息等故障信息的历史信息，将其存储在历史信息存储部133中。记录信息不限于始终输出的系统记录等，也可以包含在故障发生时通过中断处理等输出的消息信息等。

另外，在历史信息收集部203中收集到的历史信息，往往是各自的数据格式不同，有可能产生无法直接用作确定候选事件的基本信息的情况。因此，最好是具有数据格式转换部209，转换为标准的统一数据格式而预先存储到历史信息存储部133中。

候选事件确定部204基于由结构信息取得部202所取得的系统结构信息和存储在历史信息存储部133中的历史信息，确定成为为了生成用于检测产生故障的事件的检测规则而要选择的候选的候选事件。

候选事件提示部205在显示装置23中提示所确定的候选事件。由此，用户从所提示的候选事件组中选择最合适的事件，从而能够高精度地生成检测规则。

另一方面，检测规则生成存储部206基于包含发送出所选择的事件的构件的系统结构信息生成检测规则，并存储在症状数据库131中。候选事件检测部207基于所生成的检测规则和所存储的历史信息，将接下来成为选择对象的候选事件提示到显示装置23中。由此，用户能够选择最佳的事件，能更高精度地生成检测规则。检测规则提示部208将成为通过选择候选事件而更新的对象的检测规则提示到显示装置23中。

图3是本发明实施方式的检测规则生成装置1的检测规则更新时的功能框图。事件选择接受部301从显示在显示装置23中的事件列表中接受由用户进行的事件选择。事件的选择既可以是基于鼠标22等指示器件的选择，也可以是基于键盘21的键输入的选择。

检测规则抽取部302抽取与已接受选择的事件所对应的构件的拓扑布局相应的检测规则。抽取出的检测规则作为画面40的一部分由检测规则提示部208提示到显示装置23中。显示画面的详细情况将在后面叙述。更新部303接受提示给显示装置23的检测规则的更新，对症状数据库131进行更新。

图4是显示在显示装置23中的画面40的例示图。在拓扑图显示区域41中显示表示包含在监视对象系统200中的构件的依赖关系的拓扑图。在推荐信息显示区域42中显示所推荐的检测规则和作为追加事件推荐的追加事件。

在事件列表显示区域43中一览显示在监视对象系统200中包含的事件。当利用事件选择接受部301从显示在事件列表显示区域43的事件中接受候选事件的选择时，强调显示已接受选择的候选事件和具有依赖关系的事件。在图4中，将已接受选择的候选事件和具有依赖关系的事件的显示颜色变更来进行显示。强调显示的方法没有特别限定，也可以是改变亮度。

由检测规则抽取部302抽取出的检测规则按照优先顺序而显示在推荐信息显示区域42中。利用鼠标22等指示器件来选择显示出的检测规则，从而显示在拓扑图显示区域41中的拓扑图发生变动。

另外，在推荐信息显示区域42中还显示所推荐的追加事件，在更新部303中，利用鼠标22等指示器件选择追加事件等，从而在显示于拓扑图显示区域41中的拓扑图上进行追加显示。由此能够更新症状数据库131。

图5是所生成的检测规则的典型规则模式的例示图。图5的(a)表示过滤器模式的例示图，图5的(b)表示顺序模式的例示图，图5的(c)表示临界模式的例示图。

如图5的(a)所示，过滤器模式是确认各个事件是否与已接受选择的事件一致的检测规则，且是已接受选择的事件为1个时有效的检测规则。在图5的(a)中，确认了在事件a～i中事件f为选择事件‘1’。

如图5的(b)所示，顺序模式是检测是否存在事件的排列的检测规则，且是已接受选择的事件为多个时有效的检测规则。在图5的(b)中，确认了在事件a～i中的一定期间T内存在的事件中，按顺序存在相当于选择事件‘1’的事件c、相当于选择事件‘2’的事件e。

如图5的(c)所示，临界模式是将预定的数值与阈值进行比较的检测规则，且是已接受选择的事件为多个时有效的检测规则。在图5的(c)中，对事件a～i中相当于选择事件‘1’的事件b、d、f、g进行计数。在图5的(c)中用阴影显示的事件是在一定期间T内存在的、相当于选择事件‘1’的事件，由于将阈值(临界)设定为‘4’事件，因此能够确认在阈值的范围内进行了选择。

图6是表示本发明实施方式的检测规则生成装置1的CPU11的检测规则生成处理的顺序的流程图。首先，检测规则生成装置1取得包含监视对象系统200所包含的构件之间的关联信息的系统结构信息(步骤S601)。当然，也可以预先取得系统结构信息而将其存储在结构信息存储部132中。

检测规则生成装置1的CPU11始终监视监视对象系统200，收集具有从监视对象系统200所具有的各构件输出的记录信息和/或在故障发生时输出的事件信息等故障信息的历史信息(步骤S602)，将数据格式转换为标准的统一数据格式(步骤S603)，存储在存储装置13的历史信息存储部133中(步骤S604)。记录信息并不限于始终输出的系统记录等，也可以具有在故障发生时通过中断处理等输出的消息信息等。

CPU11根据存储在存储装置13的结构信息存储部132中的系统结构信息和存储在历史信息存储部133中的历史信息，来确定是为了生成检测规则而应该选择的候选的候选事件(步骤S605)。CPU11将所确定的候选事件显示输出到显示装置23中(步骤S606)。

基于存储在存储装置13的结构信息存储部132中的系统结构信息和存储在历史信息存储部133中的历史信息来确定候选事件的方法并没有特别限定。在此，参照附图具体说明检测规则为图5所示的规则模式时的候选事件的确定处理顺序。

另外，对于检测规则的规则模式中的顺序模式，还进一步分为2种规则模式。即，有序顺序模式表示顺序被确定的顺序模式，无序顺序模式表示顺序未被确定的顺序模式。

图7是选择了检测规则中的过滤器模式时的候选事件的例示图。图7的(a)是显示在拓扑图显示区域41中的拓扑图的例示图，图7的(b)是显示在事件列表显示区域43中的事件的例示图。

如图7的(a)所示，接受了由用户进行选择的事件为以箭头73示出的构件B2时，通过在事件列表显示区域43中显示出的构件B2强调显示已接受选择的事件B。在图7的(b)中，通过构件B2以阴影显示已接受选择的事件B。

并且，从图7的(a)的拓扑图选择构件A、C2作为具有与构件B2邻近的依赖关系的邻近构件71。与选择出的构件A、C2对应，在一定期间T内存在的事件成为候选事件。另外，作为与构件B2处于并列关系的同一种构件72，选择构件B1、B2、B3。对应于选择出的构件B1、B2、B3，在一定期间T内存在的事件成为候选事件。因此，与图7的(b)所示的发送构件组74、75对应的候选事件即事件C、D、E、D’、I、C’被确定为候选事件。

图8是选择了检测规则中的有序顺序模式时的候选事件的例示图。图8的(a)是显示在拓扑图显示区域41中的拓扑图的例示图，图8的(b)是显示在事件列表显示区域43中的事件的例示图。

如图8的(a)所示，接受了由用户进行选择的事件为以箭头82、82所示的构件A、B1时，通过显示在事件列表显示区域43中的构件A强调显示接受了选择的事件C’、通过构件B1强调显示接受了选择的事件D’。在图8的(b)中，接受了选择的两个事件以阴影显示。

并且，从图8的(a)的拓扑图中选择构件A、B1、C1作为与构件A、B1处于串联关系的构件81。与选择出的构件A、B1、C1对应，在一定期间T内存在的事件成为候选事件。因此，在图8的(b)中示出的与发送构件组83、84对应的候选事件即事件E、A’、K、E被确定为候选事件。

图9是选择了检测规则中的无序顺序模式时的候选事件的例示图。图9的(a)是显示在拓扑图显示区域41中的拓扑图的例示图，图9的(b)是显示在事件列表显示区域43中的事件的例示图。

如图9的(a)所示，接受了由用户进行选择的事件为以箭头92、92、...所示的构件A、B1、B2、C2时，通过显示在事件列表显示区域43中的构件A强调显示接受了选择的事件A’，通过构件B1强调显示接受了选择的事件D’，通过构件B2强调显示接受了选择的事件B，通过构件C2强调显示接受了选择的事件C’。在图9的(b)中，接受了选择的事件组以阴影显示。

并且，从图9的(a)的拓扑图中选择构件A、B1、B2、B3、C1、C2构件，作为与构件A、B1、B2、C2处于串联关系或者部分串联关系的构件91。与选择出的构件A、B1、B2、B3、C1、C2对应，在一定期间T内存在的事件成为候选事件。因此，图9的(b)所示的与发送构件93、94、95对应的候选事件即事件D、I、K被确定为候选事件。

图10是选择了检测规则中的临界模式时的候选事件的例示图。图10的(a)是显示在拓扑图显示区域41中的拓扑图的例示图，图10的(b)是显示在事件列表显示区域43中的事件的例示图。

如图10的(a)所示，接受了由用户进行选择的事件为以箭头102、102所示的构件C2、C3时，通过显示在事件列表显示区域43中的构件C2强调显示接受了选择的事件B，通过构件C3强调显示接受了选择的事件I。在图10的(b)中，接受了选择的两个事件以阴影显示。

并且，从图10的(a)的拓扑图中选择构件C1、C2、C3作为与构件C2、C3处于并列关系的构件101。与选择出的构件C1、C2、C3对应，在一定期间T内存在的事件成为候选事件。因此，图10(b)所示的与发送构件103、104、105对应的候选事件即事件E、K、E被确定为候选事件。

接着，图11是表示本发明实施方式的检测规则生成装置1的CPU11的检测规则更新处理的顺序的流程图。检测规则生成装置1的CPU11接受由用户进行的事件选择(步骤S1101)。由用户进行的事件选择既可以是利用鼠标22等指示器件进行的选择，也可以是利用键盘21的键输入进行的选择。

CPU11抽取与接受了选择的事件所对应的构件的拓扑布局相应的检测规则(步骤S1102)。CPU11将抽取出的检测规则显示到显示装置23中(步骤S1103)，接受检测规则的更新(步骤S1104)，更新症状数据库131(步骤S1105)。

检测规则的抽取方法并没有特别限定，但被确定为具有根据选择出的事件和拓扑进行推荐的规则模式的程度。图12和图13是表示本发明实施方式的检测规则生成装置1的CPU11的检测规则抽取处理的顺序的流程图。

在图12中，检测规则生成装置1的CPU11判断接受了由用户进行选择的选择事件是否为多个(步骤S1201)。CPU11判断为选择事件为单数时(步骤S1201：否)，CPU11优先抽取过滤器模式作为检测规则(步骤S1202)。当然，不言而喻也存在例外，也可以抽取临界模式。

图14是选择事件为单数时的拓扑布局的例示图。图14的(a)是包含事件产生时刻的事件的例示图，图14的(b)是包含事件产生时刻的拓扑图的例示图。

在图14中，从构件A发送出的事件A单独产生在10点10分，确认事件的存在或对事件数进行计数，此外的检测规则的抽取并不被考虑。因此，优先抽取过滤器模式作为检测规则，例外地抽取临界模式。

返回图12，当检测规则生成装置1的CPU11判断为选择事件为多个时(步骤S1201：是)，CPU11判断发送出多个选择事件的构件是否为多个(步骤S1203)。CPU11判断为发送出的构件为单数时(步骤S1203：否)，CPU11判断选择事件的种类是否为同一种(步骤S1204)。

CPU11判断为选择事件的种类为同一种时(步骤S1204：是)，CPU11优先抽取临界模式作为检测规则(步骤S1205)。当然，不言而喻也存在例外，也可以抽取过滤器模式。

图15是表示选择事件为多个、选择事件为同一种时的拓扑布局的例示图。图15的(a)是具有事件产生时刻的事件的例示图，图15的(b)是具有事件产生时刻的拓扑图的例示图。

在图15中，从构件A发送出的3个事件A分别产生在10点10分、10点20分、10点30分，确认事件的存在或对事件数进行计数，此外的检测规则的抽取并不被考虑。因此，优先抽取临界模式作为检测规则，例外地抽取过滤器模式。

返回图12，检测规则生成装置1的CPU11判断为选择事件的种类为多种时(步骤S1204：否)，CPU11抽取顺序模式作为检测规则(步骤S1206)。根据选择事件添加顺序的有无，优先抽取有序顺序模式或无序顺序模式即可，但由于选择事件相互不同，因此优选的是优先抽取有序顺序模式。

图16是选择事件为多个、选择事件为多种时的拓扑布局的例示图。图16的(a)是具有事件产生时刻的事件的例示图，图16的(b)是具有事件产生时刻的拓扑图的例示图。

在图16中，从构件A发送出的3种类的事件A、B、C分别产生在10点10分、10点20分、10点30分，只能抽取考虑了事件的产生顺序的检测规则。因此，抽取顺序模式作为检测规则。

返回图12，检测规则生成装置1的CPU11判断为发送出的构件为多种时(步骤S1203：是)，CPU11判断多个构件之间是否在拓扑布局上连接(步骤S1207)。CPU11判断为在拓扑布局上并未连接时(步骤S1207：否)，CPU11判断构件之间的连接关系是否为并列关系(步骤S1208)。

CPU11判断为构件之间的连接关系不是并列关系时(步骤S1208：否)，CPU11判断选择事件的种类是否为同一种(步骤S1209)。CPU11判断为选择事件的种类为同一种时(步骤S1209：是)，CPU11抽取无序顺序模式作为检测规则(步骤S1210)。当然也存在例外，既可以抽取临界模式，也可以根据状况抽取有序顺序模式。

图17是选择事件为多个、构件之间的关系为不相关、选择事件为同一种时的拓扑布局的例示图。图17的(a)是具有事件产生时刻的事件的例示图，图17的(b)是具有事件产生时刻的拓扑图的例示图。

在图17中，由3个构件A、B、C分别在10点10分、10点20分、10点30分产生相同的事件A，优选的是检测顺序不同的事件的排列。因此，优选的是优先抽取无序顺序模式作为检测规则。

返回图12，检测规则生成装置1的CPU11判断为选择事件的种类为多种时(步骤S1209：否)，CPU11抽取顺序模式作为检测规则(步骤S1211)。根据选择事件添加顺序的有无优先抽取有序顺序模式或无序顺序模式即可，但由于构件之间既不是串联关系也不是并列关系，因此优选的是优先抽取无序顺序模式。

图18是选择事件为多个、构件之间的关系为不相关、选择事件为多种时的拓扑布局的例示图。图18的(a)是具有事件产生时刻的事件的例示图，图18的(b)是具有事件产生时刻的拓扑图的例示图。

在图18中，由3个构件A、B、C分别在10点10分、10点20分、10点30分产生不同的事件A、B、C，优选的是尽管顺序不同也检测事件的排列。因此，优选的是优先抽取无序顺序模式作为检测规则。

返回图12，检测规则生成装置1的CPU11判断为构件之间的连接关系为并列关系时(步骤S1208：是)，CPU11判断选择事件的种类是否为同一种(步骤S1212)。CPU11判断为选择事件的种类为同一种时(步骤S1212：是)，CPU11抽取临界模式作为检测规则(步骤S1213)。当然也存在例外，既可以抽取无序顺序模式，也可以根据状况抽取有序顺序模式。

图19是选择事件为多个、构件之间的关系为并列关系、选择事件为同一种时的拓扑布局的例示图。图19的(a)是具有事件产生时刻的事件的例示图，图19的(b)是具有事件产生时刻的拓扑图的例示图。

在图19中，由与构件P连接而处于并列关系的3个构件A、B、C分别在10点10分、10点20分、10点30分产生事件A，优选的是尽管顺序不同也检测事件的排列。因此，优选的是优先抽取无序顺序模式作为检测规则。

返回图12，检测规则生成装置1的CPU11判断为选择事件的种类为多种时(步骤S1212：否)，CPU11抽取无序顺序模式作为检测规则(步骤S1214)。当然也存在例外，既可以抽取临界模式，也可以根据状况抽取有序顺序模式。

图20是选择事件为多个、构件之间的关系为并列关系、选择事件为多种时的拓扑布局的例示图。图20的(a)是具有事件产生时刻的事件的例示图，图20的(b)是具有事件产生时刻的拓扑图的例示图。

在图20中，由与构件P连接而处于并列关系的3个构件A、B、C分别在10点10分、10点20分、10点30分产生不同的事件A、B、C，优选的是不进行事件的排列而对事件的产生数进行计数。因此，优选的是优先抽取临界模式作为检测规则。

返回图12，检测规则生成装置1的CPU11判断为在拓扑布局上相连接时(步骤S1207：是)，如图13所示，CPU11判断构件之间是否处于完全串联关系(步骤S1301)。CPU11判断为构件之间不处于完全的串联关系时(步骤S1301：否)，CPU11判断选择事件的种类是否为同一种(步骤S1302)。

CPU11判断为选择事件的种类为同一种时(步骤S1302：是)，CPU11抽取有序顺序模式作为检测规则(步骤S1303)。当然也存在例外，既可以抽取临界模式，也可以根据状况抽取无序顺序模式。

图21是选择事件为多个、构件之间的关系不是完全串联关系、选择事件为同一种时的拓扑布局的例示图。图21的(a)是具有事件产生时刻的事件的例示图，图21的(b)是具有事件产生时刻的拓扑图的例示图。

在图21中，由构件A、与构件A连接而处于并列关系的2个构件B、C分别在10点10分、10点20分、10点30分产生事件A，优选的是不对事件的产生数进行计数而即使是顺序不同也检测事件的排列。因此，优选的是优先抽取无序顺序模式作为检测规则。

返回图13，检测规则生成装置1的CPU11判断为选择事件的种类为多种时(步骤S1302：否)，CPU11抽取顺序模式作为检测规则(步骤S1304)。根据选择事件添加顺序的有无，优先抽取有序顺序模式或无序顺序模式即可，但由于构件之间没有处于完全串联关系，因此优选的是优先抽取无序顺序模式。

图22是选择事件为多个、构件之间的关系不是完全串联关系、选择事件为多种时的拓扑布局的例示图。图22的(a)是具有事件产生时刻的事件的例示图，图22的(b)是具有事件产生时刻的拓扑图的例示图。

在图22中，由构件A、与构件A连接而处于并列关系的2个构件B、C分别在10点10分、10点20分、10点30分产生不同的事件A、B、C，优选的是即使顺序不同也检测事件的排列。因此，优选的是优先抽取无序顺序模式作为检测规则。

返回图13，检测规则生成装置1的CPU11判断为构件之间处于完全串联关系时(步骤S1301：是)，CPU11判断选择事件的种类是否为同一种(步骤S1305)。CPU11判断为选择事件的种类为同一种时(步骤S1305：是)，CPU11抽取有序顺序模式作为检测规则(步骤S1306)。当然也存在例外，既可以抽取临界模式，也可以根据状况抽取无序顺序模式。

图23是选择事件为多个、构件之间的关系为完全串联关系、选择事件为同一种时的拓扑布局的例示图。图23的(a)是具有事件产生时刻的事件的例示图，图23的(b)是具有事件产生时刻的拓扑图的例示图。

在图23中，由处于串联关系的构件A、B、C分别在10点10分、10点20分、10点30分产生事件A，优选的是检测一定顺序的事件的排列。因此，优选的是优先抽取有序顺序模式作为检测规则。

返回图13，检测规则生成装置1的CPU11判断为选择事件的种类为多种时(步骤S1305：否)，CPU11抽取顺序模式作为检测规则(步骤S1307)。根据选择事件添加顺序的有无，优先抽取有序顺序模式或无序顺序模式即可，由于构件之间为完全的串联关系，因此优选的是优先抽取有序顺序模式。

图24是选择事件为多个、构件之间的关系为完全的串联关系、选择事件为多种时的拓扑布局的例示图。图24的(a)是具有事件产生时刻的事件的例示图，图24的(b)是具有事件产生时刻的拓扑图的例示图。

在图24中，由处于串联关系的构件A、B、C分别在10点10分、10点20分、10点30分别产生不同的事件A、B、C，优选的是检测一定顺序的事件的排列。因此，优选的是优先抽取有序顺序模式作为检测规则。

如上所述，根据本实施方式，通过在系统结构信息中包含构件之间的关联信息，能够不仅包含构件之间的依赖关系还包含关联信息来生成故障发生事件的检测规则。另外，通过根据检测规则来提示候选事件，能够有效地支援由用户进行的检测规则生成操作，能够与检测规则生成的熟练程度无关来可靠地生成一定水平以上的检测规则。

本发明并不限于上述实施例，在本发明的宗旨的范围内可以进行多种改变、改良等。例如本发明也可以构成为：在通过网络与本实施方式的检测规则生成装置连接的外部计算机的存储装置中具有拓扑数据库、结构信息存储部、历史信息存储部，根据需要来进行读出。

Claims (18)

1.一种检测规则生成装置，其生成包含多个构件的系统中的事件的检测规则，其特征在于，包括：

结构信息取得单元，其取得包含上述构件之间的关联信息的上述系统的系统结构信息；

历史信息收集单元，其收集上述系统的历史信息，该历史信息包含记录信息和/或从上述系统中的故障发生时的各构件输出的故障信息；

候选事件确定单元，其根据所取得的上述系统结构信息和收集到的上述历史信息来确定候选事件，其中该候选事件是为了生成检测规则而应该选择的候选；以及

候选事件提示单元，其提示所确定的候选事件。

2.根据权利要求1所述的检测规则生成装置，其特征在于，

还包括：

检测规则生成存储单元，其生成上述检测规则来存储在数据库中；和

候选事件检测单元，其根据所存储的检测规则来检测候选事件，

其中，上述候选事件提示单元提示检测出的上述候选事件。

3.根据权利要求1或权利要求2所述的检测规则生成装置，其特征在于，

还包括数据格式转换单元，该数据格式转换单元预先将所收集的上述记录信息和/或上述故障信息转换为统一数据格式，

上述历史信息收集单元收集已转换为上述统一数据格式的上述记录信息和/或上述故障信息。

4.根据权利要求1～3中任一项所述的检测规则生成装置，其特征在于，还包括：

事件选择接受单元，其接受由用户进行的事件选择；

检测规则抽取单元，其抽取与已接受选择的事件对应的构件的拓扑布局相应的检测规则；

检测规则提示单元，其提示抽取出的检测规则；和

数据库更新单元，其接受所提示的检测规则的更新来更新上述数据库。

5.根据权利要求4所述的检测规则生成装置，其特征在于，

还包括单复数判断单元，该单复数判断单元判断已由上述事件选择接受单元接受选择的事件是否为单数，

当由上述单复数判断单元判断为单数时，上述检测规则抽取单元抽取上述检测规则来作为确认事件的过滤器模式。

6.根据权利要求5所述的检测规则生成装置，其特征在于，

还包括：

构件判断单元，当由上述单复数判断单元判断为复数时，该构件判断单元判断发送出已接受选择的事件的构件是否为单数；

事件判断单元，当由上述构件判断单元判断为单数时，该事件判断单元判断已接受选择的事件是否为同一种，

当由上述事件判断单元判断为同一种时，上述检测规则抽取单元抽取上述检测规则来作为将预定的数值与阈值进行比较的临界模式，

当由上述事件判断单元判断为多种时，上述检测规则抽取单元抽取上述检测规则来作为检测是否存在事件排列的顺序模式。

7.根据权利要求6所述的检测规则生成装置，其特征在于，

还包括：

连接判断单元，当由上述构件判断单元判断为多个时，该连接判断单元判断多个构件之间是否在拓扑布局上相连接；和

并列关系判断单元，当由上述连接判断单元判断为没有连接时，判断多个构件是否处于并列关系，

当由上述并列关系判断单元判断为未处于并列关系时，上述检测规则抽取单元抽取上述检测规则来作为上述顺序模式。

8.根据权利要求7所述的检测规则生成装置，其特征在于，

还包括事件判断单元，当由上述并列关系判断单元判断为处于并列关系时，该事件判断单元判断已接受选择的事件是否为同一种，

当由上述事件判断单元判断为同一种时，上述检测规则抽取单元抽取上述检测规则来作为上述临界模式，

当由上述事件判断单元判断为多种时，上述检测规则抽取单元抽取上述检测规则来作为上述顺序模式。

9.根据权利要求7所述的检测规则生成装置，其特征在于，

当由上述连接判断单元判断为相连接时，上述检测规则抽取单元抽取上述检测规则来作为上述顺序模式。

10.根据权利要求7所述的检测规则生成装置，其特征在于，

还包括：

串联关系判断单元，当由上述连接判断单元判断为相连接时，该串联关系判断单元判断多个构件是否处于串联关系；和

事件判断单元，当由上述串联关系判断单元判断为没有处于串联关系时，该事件判断单元判断已接受选择的事件是否为同一种，

当由上述事件判断单元判断为同一种时，上述检测规则抽取单元抽取上述检测规则来作为顺序被确定的有序顺序模式，

当由上述事件判断单元判断为多种时，上述检测规则抽取单元抽取上述检测规则来作为顺序未被确定的无序顺序模式，

当由上述串联关系判断单元判断为处于串联关系时，上述检测规则抽取单元抽取上述检测规则来作为顺序被确定的有序顺序模式。

11.一种检测规则生成方法，能够由生成包含多个构件的系统中的事件的检测规则的检测规则生成装置来执行，其特征在于，

取得包含上述构件之间的关联信息的上述系统的系统结构信息，

收集上述系统的历史信息，该历史信息包含记录信息和/或从上述系统中的故障发生时的各构件输出的故障信息，

根据所取得的上述系统结构信息和收集到的上述历史信息来确定候选事件，其中该候选事件是为了生成检测规则而应该选择的候选，

提示所确定的候选事件。

12.根据权利要求11所述的检测规则生成方法，其特征在于，

生成上述检测规则来存储在数据库中，

根据所存储的检测规则来检测候选事件，

提示检测出的上述候选事件。

13.根据权利要求11或权利要求12所述的检测规则生成方法，其特征在于，

将所收集的上述记录信息和/或上述故障信息预先转换为统一数据格式，

收集已转换为上述统一数据格式的上述记录信息和/或上述故障信息。

14.根据权利要求11～13中任一项所述的检测规则生成方法，其特征在于，

接受由用户进行的事件选择，

抽取与已接受选择的事件对应的构件的拓扑布局相应的检测规则，

提示抽取出的检测规则，

接受所提示的检测规则的更新来更新上述数据库。

15.一种计算机程序，能够由生成包含多个构件的系统中的事件的检测规则的检测规则生成装置来执行，其特征在于，

使上述检测规则生成装置作为以下单元来发挥作用：

结构信息取得单元，其取得包含上述构件之间的关联信息的上述系统的系统结构信息；

历史信息收集单元，其收集上述系统的历史信息，该历史信息包含记录信息和/或从上述系统中的故障发生时的各构件输出的故障信息；

候选事件确定单元，其根据所取得的上述系统结构信息和收集到的上述历史信息来确定候选事件，其中该候选事件是为了生成检测规则而应该选择的候选；以及

候选事件提示单元，其提示所确定的候选事件。

16.根据权利要求15所述的计算机程序，其特征在于，

使上述检测规则生成装置作为检测规则生成存储单元和候选事件检测单元来发挥作用，其中，上述检测规则生成存储单元生成上述检测规则来存储在数据库中，上述候选事件检测单元根据所存储的检测规则来检测候选事件，

使上述候选事件提示单元作为用于提示检测出的上述候选事件的单元来发挥作用。

17.根据权利要求15或权利要求16所述的计算机程序，其特征在于，

使上述检测规则生成装置作为将所收集的上述记录信息和/或上述故障信息预先转换为统一数据格式的数据格式转换单元来发挥作用，

使上述历史信息收集单元作为用于收集已转换为上述统一数据格式的上述记录信息和/或上述故障信息的单元来发挥作用。

18.根据权利要求15～17中任一项所述的计算机程序，其特征在于，

使上述检测规则生成装置作为以下单元发挥作用：

事件选择接受单元，其接受由用户进行的事件选择；

检测规则抽取单元，其抽取与已接受选择的事件对应的构件的拓扑布局相应的检测规则；

检测规则提示单元，其提示抽取出的检测规则；以及

数据库更新单元，其接受所提示的检测规则的更新来更新上述数据库。

Images