JP2003132019A - 計算機システムの障害監視方法 - Google Patents

Abstract

(57)【要約】 【課題】本発明はネットワーク、マネージャ計算機に必
要以上の処理負荷をかけることなく、必要十分な量のロ
グを収集し、さらに詳細な情報を得るという作業を自動
化する。さらに、異常箇所の特定と程度をわかりやすく
表示すること。 【解決手段】一つまたは複数の計算機と該計算機の障害
監視をする管理マネージャーとを有するネットワークに
おける障害監視方法であって、管理マネージャーから前
記計算機に収集すべきログのレベル情報を送信し、計算
機は指示されたレベル以上のログを収集し、計算機から
前記管理マネージャーに対し前記収集したログを送信す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、計算機の運用管理
に関し、特に計算機のログの取り扱いの技術に関する。

【０００２】

【従来の技術】従来、コンピュータの各種ログをネット
ワークを利用して転送し、別のコンピュータにおいて監
視することは広く行われてきた。それらはログを全て転
送してしまうものがほとんどであった。しかし、全ての
ログを転送することはネットワークの負荷を増加させる
ことになり、特にネットワークの転送能力に比較して出
力されるログの量が多い場合に問題になる。また、ログ
を収集した計算機にとっても大量の収集されたログをす
べて解析するのは解析処理に負荷がかかり、やはり問題
になっている。そのため、オペレーティングシステムの
なかには、ログのメッセージごとに重要度を付加し、そ
の重要度に応じて破棄するのか、ログファイルに記録す
るのか、別の計算機に転送するのかなどの判別を行うも
のがある。このように、従来、ログを転送する際に重要
と思われるログのみを抽出し、転送することが考えられ
ているが、重要なログであるかどうかはログを出力した
側の計算機の基準にしたがって判断しており、本当にネ
ットワークの負荷や収集した計算機の負荷を軽くしてい
るかどうかは一概には言えなかった。また、重要である
かどうかの基準をログを出力した側の計算機の基準で決
めているため、監視を行う計算機においては重要な情報
がログを抽出する計算機では重要でない情報と判断され
転送されないことがあるなどの問題があった。

【０００３】また、上記従来例では、複数の計算機から
出力されたログの関連付けや出力されたログに基づきさ
らに詳細な情報を得るという作業は管理者の判断で手作
業で行う必要があった。

【０００４】さらに、例えば、「ＴＣＰ／ＩＰとＯＳＩ
ネットワーク管理、ＳＲＣ」に記載のように、出力され
る情報の重要度に応じて画面上の色を変化させることは
行われているが、それはそのホストの情報の重要度のみ
に応じて変化させているだけであった。

【０００５】従来、コンピュータのログ記録方式として
は、ログ情報をそのまま補助記憶装置に書き出す方式が
知られていた。補助記憶装置はローカルな補助記憶装置
を用いることが普通であるが、ネットワークを用いリモ
ートな補助記憶装置に記録することも行われていた。

【０００６】しかし、これらは動作記録をそのままの状
態で補助記憶装置に書き出しており、動作記録が出力さ
れてから補助記憶装置に保存されるまでの通信中やコン
ピュータ内部において、あるいは主記憶装置や補助記憶
装置に記録されている間に、情報が変化あるいは改ざん
されたとしても、それを検出することはできず、よっ
て、保存されているログを読み取ったときにその正当性
を検査することはできなかった。また、何らかの手段を
用いてログ情報が変化あるいは改ざんされていることが
わかった場合、もとのログを復元することはできなかっ
た。

【０００７】

【発明が解決しようとする課題】本発明はネットワーク
に必要以上の負荷をかけることなく、さらにマネージャ
計算機に必要以上の処理負荷をかけることなく、さら
に、エージェントの状態の把握に必要十分な量のログを
収集する方法及びプログラム、さらにはそれを用いた計
算機又はシステムを提供するものである。

【０００８】さらに、本発明は一個所の計算機の状態を
監視するだけではわからない事象を検出する方法及びプ
ログラム、さらにはそれを用いた計算機又はシステムを
提供するものである。

【０００９】さらに、本発明は計算機に異常が発生した
場合に、オペレータが監視画面を見た瞬間にどの計算機
のどのあたりがどの程度異常になっているかをわかりや
すく表現する方法及びプログラム、さらにはそれを用い
た計算機又はシステムを提供するものである。

【００１０】さらに、本発明は複数の計算機から出力さ
れたログの関連付けや出力されたログに基づきさらに詳
細な情報を得るという作業を自動化することで管理者の
負担を軽減させる方法及びプログラム、さらにはそれを
用いた計算機又はシステムを提供するものである。

【００１１】さらに、本発明は計算機から出力されるロ
グが途中で改ざんされたり、盗聴されたり、偽のログを
紛れ込ませたりするのを防ぎ、さらに、一部を改ざんさ
れた場合にでも元の情報を復元できる方法及びプログラ
ム、さらにはそれを用いた計算機又はシステムを提供す
るものである。

【００１２】

【課題を解決するための手段】本発明の計算機監視方式
は複数の計算機から収集されたログを同時に監視し、そ
れらを合わせて見ることによって発見できる不信な行為
や、それらのログの矛盾をチェックすることによって不
信な行為を検出する。

【００１３】本発明の計算機監視方式はアラームまたは
ログを監視する計算機が監視される側の監視レベルを設
定する。

【００１４】さらに、本発明の計算機監視方式はログに
出力された内容から、その原因に関して仮説を立て、そ
れを立証するためにさらに詳細なログを収集し、原因を
絞り込む。

【００１５】さらに、本発明の計算機監視方式は不信な
挙動を示す計算機のあやしさの度合いや、あやしい計算
機が存在する可能性がある範囲に応じて監視画面上の色
を変化させたり、警告音を変化させたりする。

【００１６】さらに、本発明の計算機監視方式はログを
保存したり、転送する前に電子署名を行う。

【００１７】さらに、本発明の計算機監視方式はログに
冗長なデータを付加することにより、ログの一部が紛失
または改ざんされた場合においても元のログデータを復
元できる。

【００１８】さらにまた、本発明の計算機監視方式はロ
グを複数の計算機に分割して保存しておくことにより、
分割されたログの一部が紛失または改ざんされた場合に
おいても元のデータを復元できる。

【００１９】

【発明の実施の形態】ログを出力し、監視される側の計
算機をエージェントと呼び、ログを解析することにより
エージェントを監視する側の計算機をマネージャと呼
ぶ。また、文章および図の中においてデータベースをＤ
Ｂと略して書くことがある。

【００２０】図１において、計算機１０１、１０２およ
び１０３は監視対象の計算機、計算機１０４は監視作業
を行う計算機である。計算機１０１、１０２および１０
３はそれぞれログ１１１、１１２および１１３を出力
し、それらは全てそれぞれ補助記憶装置１２１、１２２
および１２３に格納される。また、どのようなログを収
集するのかという情報は補助記憶装置１２４に格納され
ており、必要に応じて計算機１０１、１０２、１０３に
転送され、補助記憶装置１２１、１２２、１２３に記憶
される。なお、この図ではエージェントは１０１、１０
２、１０３の３台のみが記述されているが、３台に限定
される必要はない。また、マネージャである計算機１０
４とエージェントが同一の個体である形体を取ってもよ
い。

【００２１】また、図２は図１のエージェントとマネー
ジャを１台ずつ抜き出し、詳細を書いた図である。あら
かじめ補助記憶装置である解析ルール事例データベース
２０１には図４に示されるようなログから得られた事象
に対する仮定すべき原因、それを立証するためにどのよ
うな調査を行えばよいか、また、立証されたときにどの
ような処置を行えばよいかが記録されている。データ解
析部２０３はあらかじめ収集項目制御部２０４を通し
て、解析ルール事例の一部をエージェントに転送してお
く。転送された解析ルールは補助記憶装置２２１に記憶
される。

【００２２】アプリケーションプログラム２２４から出
力されたログは補助記憶装置であるログデータベース２
２３に記憶される。

【００２３】図３に計算機101,102,103,104,106のハー
ドウエア構成を示す。

【００２４】図３に示すように各計算機は、中央処理装
置（３０２）と、主記憶装置（３０１）と、通信回線
（３０５）やローカルエリアネットワーク（３０４）等
のネットワークとの間のデータの入出力を制御するネッ
トワーク制御装置（３０３）と、デイスク装置（３０
６）およびその入出力を制御するデイスク制御装置（３
０７）と、表示装置（３０８）およびその入出力を制御
する表示制御装置（３０９）とを備えて構成されてい
る。

【００２５】図４に解析ルール事例データベースの一例
を示す。データベースは表形式になっており、ログから
得られて情報、考えられる原因、仮定を立証するために
必要な調査方法、および立証されたときの対処方法が記
憶されている。

【００２６】また、図５にデータ解析部２０３が収集さ
れたログデータを解析する手順をフローチャートによっ
て示す。

【００２７】エージェント２２５のログフィルタ２２２
は解析事例データベース２２１に従ってログデータベー
ス２２３からデータを取り出し、マネージャ２０７のロ
グ収集部２０５へ転送する。転送されたデータはログデ
ータベース２０６に保存される。データ解析部２０３は
解析ルール事例データベース２０１に従って、ログ収集
部２０５からログデータを得、データを解析する。この
とき必要に応じて収集項目制御部２０４にさらに詳細な
ログの収集を指示する。また、収集項目制御部２０４は
マシンの負荷の状況やネットワークの負荷および収集さ
れてきているログの量などを解析ルール事例データベー
スに照らし合わせて、収集するログの項目を制御する。

【００２８】また、データ解析部２０３における解析結
果はコンソール制御部２０２に送られ、さらにコンソー
ル計算機の中にあるコンソール制御部２１２に送られ、
画面表示２１１に表示される。

【００２９】オペレータからの指示はキーボード入力２
１３およびマウス入力２１５から行われ、コンソール制
御部２１２およびコンソール制御部２０２を通り、デー
タ解析部２０３に送られる。

【００３０】再び図１を用いて説明を行う。補助記憶装
置121,122,123に記憶されたログの要約や重要だと思わ
れるログはネットワークを経由して計算機１０４に送ら
れる。

【００３１】何に関するログが重要で計算機１０４に送
らなくてはいけないかというルールはあらかじめ計算機
１０４から計算機１０１、１０２、１０３に指示してお
く。この指示はシステムを構築したときに行われるほ
か、計算機１０４が必要と判断するたびに行われる。例
えば、ネットワークの負荷が高くなっている時や計算機
１０４の負荷が高くなっている時などは本当に重要なロ
グだけを転送することにより転送するログの量を少なく
なるよう指示したり、監視を強めたいときはあまり重要
でないと思われるログも転送するように指示をしたりす
る。

【００３２】計算機１０４は転送されたログ１３１、１
３２および１３３を個別に解析し、監視するほか、それ
らを同時に監視し、それらをあわせて見ることによって
発見できる事象をチェックする。

【００３３】またオペレータ１０５はコンソール計算機
１０６を操作する。コンソール計算機１０６は計算機１
０４に対し、必要な情報を提供するよう要求し、計算機
１０４は要求された情報が自分の補助記憶装置１２４に
記録されていればそれを返答する。リモートにある計算
機１０１、１０２、１０３に問い合わせないとわからな
い情報が要求された場合、コンソール計算機にリモート
計算機に問い合わせる必要があることを通知し、リモー
ト計算機に問い合わせるかどうかオペレータの指示を待
つ。オペレータが取り寄せる旨、指示した場合、計算機
１０４は計算機１０１、１０２、１０３と通信を行い、
ログを取り寄せ、その結果をコンソール計算機１０６に
通知する。

【００３４】この例では、計算機１０４が答えられない
場合、オペレータ１０５に問い合わせる間、指示を待っ
ているが、先行して計算機１０１、１０２、１０３と通
信を行い、情報を取り寄せておくことにより、オペレー
タ１０５が取り寄せる指示を出してから計算機１０４が
返答できるまでの時間を短縮することができる。

【００３５】また、この例では計算機１０４が答えられ
ない場合、オペレータ１０５にリモートの計算機に問い
合わせるべきかどうかの判断を委ねたが、この判断は計
算機１０４またはコンソール計算機１０６が行う構成も
考えられる。

【００３６】また、この例ではより詳しい情報を収集す
る最初のきっかけをオペレータ１０５が行っているが、
これはコンソール計算機１０６、計算機１０４がそれま
でに収集されているログをチェックすることにより自動
的に判断する構成も考えられるし、計算機１０１、１０
２、１０３のうちいづれかが自ら判断し、情報の収集の
必要性をアラームという形で計算機１０４に通知する構
成も考えられる。

【００３７】さらに、計算機１０４は自分の保持する情
報のみでは要求に答えられないと判断した時、やみくも
に計算機１０１、１０２、１０３に情報を要求するので
はなく、計算機１０１、１０２、１０３において何が起
こっているのかを仮定し、それを証明するために計算機
１０１、１０２、１０３に問い合わせる構成が考えられ
る。例えば、計算機１０１と１０２は通信を行いながら
計算処理を行っているとする。計算機１０１で補助記憶
装置があふれたり、機器の故障が起こったりなどして計
算機１０２と正常な通信が行えなかったとする。計算機
１０２はその通信が正常に行えなかったことを検知でき
ずに処理を続け、誤った答を出力する。計算機１０４、
コンソール計算機１０６、オペレータ１０５のいづれか
がその異常な答えに気づいた場合、計算機１０４はさら
なる情報の収集を行うことになるが、この時、「計算機
１０２が異常な答えを出力したのは計算機１０１との通
信が正常に行われなかったからではないか」と仮定し、
計算機１０１か１０２のいづれかもしくは両方に通信の
記録を提出するよう要求する。その記録から通信が正常
に行われていないことが判明すればそこが原因であった
ことが証明されたことになる。さらに、その通信の異常
は計算機１０１の補助記憶装置があふれたことが原因で
あると仮定し、計算機１０１に補助記憶装置に関する情
報を報告させる。補助記憶装置があふれているという報
告があった場合、計算機１０４の仮定が正しかったこと
が証明される。

【００３８】以上の仮定を図６においてフローチャート
にて示す。

【００３９】この例においては、原因となる事象を仮定
し、それを検証するためにログを収集するという過程を
経ることにより、最初の段階では計算機１０１や１０２
のログのうち一部のみを転送すればよいことや、仮定を
検証するために詳細なログを収集するときにでも仮定を
検証するために必要なログのみを収集するために収集す
るログの量を少なく押さえることができ、そのため計算
機１０４の解析負荷を低く押さえたり、ネットワークの
トラフィックを低く押さえることができるといった効果
が期待される。

【００４０】また、これまでの例においてはリアルタイ
ムに処理する様子を記述したが、計算機１０４がログを
収集するタイミングは一定期間ごとにおこなってもよ
く、その場合はバッチ的に処理することにより同様の処
理が可能である。

【００４１】図９は、コンソール計算機１０６におい
て、オペレータ１０５に情報を提示する時に重要度や異
常な範囲によって色を変化させるようすをあらわした画
面（９０１）である。例えば、上記例において、計算機
１０２から異常な答が出力されたことを検出した場合、
計算機１０１と１０２の通信が異常であったと仮定した
段階でコンソール計算機１０６の画面上において計算機
１０１と１０２を示す部分が黄色の警告表示で囲むよう
に表示される（９０１）。さらに計算機１０１が原因と
仮定された段階で表示９０２の代わりに計算機１０１の
表示を赤く表示する（９０３）。この例では仮定された
段階で色を変化させたが、証明された段階において色を
変化させることとするのもよい。

【００４２】また、ここまで計算機１０４は計算機１０
１、１０２、１０３に関する全般的な事柄を監視するも
のとしてきたが、特にコンピュータセキュリティに特化
した監視システムも考えられる。

【００４３】例えば、計算機１０４がログに示された情
報からその原因を仮定し、それを証明するためにより詳
細な情報を収集するシステムにおいて、以下のようなも
のが考えられる。図７を用いて説明する。

【００４４】コンピュータネットワークにおける侵入者
がデータを盗み出す場合、必要なデータのみを盗み出す
のではなく、読み取ることのできるデータを全て侵入者
の手元のコンピュータに転送し、あとからそれらを解析
する方法が取られることがある。そのような場合、ネッ
トワークにおけるファイル転送量が通常を大きく上回
る。そこでネットワーク上におけるファイルの転送量を
監視しておき、通常のトラフィックを大きく上回るファ
イル転送量を検出した場合（７０２）、データベースか
ら自動バックアップを行っているのではないかと仮定す
る（７０３）。

【００４５】そこで、その仮定を立証するために、自動
バックアップのスケジュールおよび実行状況を調査する
（７０４）。ファイル転送を行っている計算機が自動バ
ックアップの対象になっていないこと、あるいはスケジ
ュールが組まれていないことを発見すると「自動バック
アップを行っている」という仮定は却下される（７０
５）。

【００４６】さらに解析ルール事例データベース２０１
を参照することにより、管理者が手動でバックアップを
行っていると仮定する（７０６）。その仮定を立証する
ためファイル転送を行っている者がバックアップを行う
権限を持っているか、およびバックアップを行う命令を
発行したかどうかを調査する（７０７）。

【００４７】その結果、ファイル転送を行っている者は
バックアップの権限を持っていないことを発見すると
「手動バックアップを行っている」という仮定は却下さ
れる（７０８） さらにデータベースを検索すると「侵入者がデータを持
ち出している」と仮定できる（７０９）。そこでファイ
ル転送を行っている者の使用計算機、ファイル転送先を
チェックする（７１０）。その結果、侵入者がデータを
不正に持ち出していることを発見し（７１２）、仮定が
立証される（７１２）。

【００４８】さらに以下、図１０を用いてログ改ざん防
止に関する発明の説明を行う。

【００４９】計算機1001はプログラムの実行結果などを
ログとして出力する。この出力されたログに付加情報を
持たせながら分割し、さらに電子署名を行った後、暗号
化する。ここで付加情報というのはログがn個に分割さ
れた場合、n個未満の個数のログを見るだけで、元の情
報が取り出せるように工夫した情報のことである。例え
ば元のログに付加情報を加えてa,b,cの３つのログに分
割した場合、いづれか２つを読み出すことにより元の情
報を取り出せるよう工夫した情報である。

【００５０】具体的な一例をあげると、出力されたログ
が１行１０２４文字のログを３台の計算機で分割して記
憶する場合には、前半５１２文字と、後半５１２文字と
に分割し、また前半部分と後半部分のXORを取ったもの
を付加情報とする。ここで前半部分と後半部分のXORと
いうのは前半部分の１文字目と後半部分の１文字目のXO
Rをとったものを１文字目とし、以下２文字目、３文字
目と５１２文字目まで同様に繰り返して生成された文字
列のことをいう。

【００５１】ログは通信線1002,1003,1004を通り、それ
ぞれ計算機1005,1006,1007が受け取る。計算機1005,100
6,1007は受け取ったログ情報を復号化したのち、記憶装
置に保存する。

【００５２】計算機1011はログを読み出すにあたって、
通常計算機1005,1006,1007の３台にアクセスすることに
より計算機1001が出力したログを読み出すことができる
が、計算機1005,1006,1007のうちいづれかの１台の記憶
装置の内容が変化、改ざんされていた場合でも、他の２
台の情報から計算機1001が出力したログを復元すること
ができる。

【００５３】さきほどのXORの例でいえば前半５１２文
字のデータ、あるいは後半５１２文字のデータが失われ
てしまったとしても、前半後半のデータのうち、失われ
ていない方のデータとXORしたデータとのＸＯＲを計算
することにより、失われてしまったデータを復元するこ
とができる。

【００５４】ここでは計算機1001において、ログに付加
情報を加え分割した後、認証情報を加え暗号化を行って
いるが、認証情報を加える作業と付加情報を加え分割す
る作業と、暗号化は、そのいづれかもしくは全部を行わ
ないことも可能である。その場合は計算機1011におい
て、それらに対応した処理を省くこととする。

【００５５】また、ここではログを出力する計算機と記
憶する計算機と読み出す計算機を別の個体としたが、こ
れらは一つの個体の内部において実現されてもよい。

【００５６】以上に説明したように、本発明によれば、
ネットワークおよびマネージャ計算機に必要以上の処理
負荷をかけることなく、さらに、エージェントの状態の
把握に必要十分な量のログを収集することが可能とな
る。

【００５７】さらに、本発明によれば、一個所の計算機
の状態を監視するだけではわからない事象を検出するこ
とが可能となる。

【００５８】さらに、本発明によれば、計算機に異常が
発生した場合に、オペレータが監視画面を見た瞬間にど
の計算機システムの異常の範囲と異常の程度が容易に把
握できる。

【００５９】さらに、本発明によれば複数の計算機から
出力されたログの関連付けや出力されたログに基づきさ
らに詳細な情報を得るという作業を自動化することで管
理者の負担を軽減させることができる。

【００６０】さらに、本発明によれば計算機から出力さ
れるログが途中で改ざんされたり、盗聴されたり、偽の
ログを紛れ込ませたりするのを防ぎ、さらに、一部を改
ざんされた場合にでも元の情報を復元することができ
る。

【００６１】

【発明の効果】以上に説明したように、、本発明によれ
ば、システムに発生する事象を正確に検出することが可
能となり、異常が発生した場合でもその範囲と程度を容
易に把握できる。また、データを復元することも可能に
なる。

【図面の簡単な説明】

【図１】本実施例に係る計算機システムの全体構成図。

【図２】マネージャが、各計算機のログを収集／解析す
ることにより各計算機を監視するためのシステム構成を
表す図。

【図３】マネージャおよびエージェントの各計算機のハ
ードウエア構成図。

【図４】解析ルール事例ＤＢの内容の一例を表す図。

【図５】ログに出力された内容から、その原因に関して
仮説を立て、それを立証するために詳細なログを収集
し、要因を絞り込む基本手順を表す図。

【図６】ログに出力された内容から、その原因に関して
仮説を立て、それを立証するためにさらに詳細なログを
収集し、要因を絞り込む手順の一例。

【図７】ログに出力された内容から、その原因に関して
仮説を立て、それを立証するためにさらに詳細なログを
収集し、要因を絞り込む手順の一例。

【図８】ログに出力された内容から、その原因に関して
仮説を立て、それを立証するためにさらに詳細なログを
収集し、要因を絞り込む過程において、コンソールの画
面上に色表示を行うことを含めた手順の一例。

【図９】オペレータの監視画面の一例を表す図。

【図１０】ログの改ざん防止および改ざんされた場合の
回復のためのシステム構成を表す図。

【符号の説明】

１０１〜１０４：計算機、１０５：オペレータ、１０
６：コンソール、１２１〜１２４：補助記憶装置、２０
１：解析ルール事例ＤＢ、２０２：コンソール制御部、
２０３：データ解析部、２０４：収集項目制御部、２０
５：ログ収集部、２０６：ログＤＢ、２０７：マネージ
ャ、２１１：画面表示部、２１３：キーボード入力部、
２１２：コンソール制御部、２２１：解析ルール事例Ｄ
Ｂ、２２２：ログフィルタ、２２３：ログＤＢ、２２
４：アプリケーションプログラム、２２５：エージェン
ト、３００：計算機、３０１：主記憶装置、３０２：中
央処理装置、３０３：ネットワーク制御装置、３０４：
ローカルエリアネットワーク、３０５：通信回線、３０
６：デイスク装置、３０７：デイスク制御装置、９０
１：画面領域、９０２、９０３：障害の原因と推定され
る領域、１００１：ログ出力マシン、１００２〜１００
４、１００８〜１０１０：ログデータ、１０１１：ログ
表示マシン。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｇ０６Ｆ 11/34 Ｇ０６Ｆ 11/34 Ｐ 13/00 ３５１ 13/00 ３５１Ｎ (72)発明者 藤野 修司 神奈川県横浜市戸塚区戸塚町5030番地 株 式会社日立製作所ソフトウェア事業部内 (72)発明者 佐藤 俊夫 神奈川県横浜市戸塚区戸塚町5030番地 株 式会社日立製作所ソフトウェア事業部内 Ｆターム(参考） 5B042 GA12 JJ02 JJ03 KK07 KK13 KK15 KK20 MA08 MA09 MA11 MA16 5B085 AA08 AC03 AC14 AC16 BA07 BE04 BG01 BG02 BG07 5B089 GA04 GB02 JA35 JB14

Claims (11)

【特許請求の範囲】
1. 【請求項１】 一つまたは複数の計算機と該計算機の障
   害監視をする管理マネージャーとを有するネットワーク
   における障害監視方法であって、前記管理マネージャー
   から前記計算機に収集すべきログのレベル情報を送信
   し、前記計算機は指示されたレベル以上のログを収集
   し、前記計算機から前記管理マネージャーに対し前記収
   集したログを送信することを特徴とする障害監視方法。
2. 【請求項２】 一つまたは複数の計算機と該計算機の障
   害監視をする管理マネージャーとを有するネットワーク
   における障害監視方法であって、 前記複数の計算機の一つで起こった異常の報告に対し
   て、前記管理マネージャーが前記異常な状態に到った原
   因を推測し、 前記推測した第１の原因が正しいことを証明するために
   前記管理マネージャーから前記異常が発生した計算機に
   対して、より詳細なログを収集することを要求するリク
   エストを送り、前記異常が発生した計算機が前記推測さ
   れた第１の原因を証明するためにログを収集し、前記異
   常が発生した計算機のから前記管理マネージャーへ前記
   収集したログを送信し、前記管理マネージャーが前記収
   集されたログを参照することにより推測が正しかったこ
   とを判断することを特徴とする障害監視方法。
3. 【請求項３】 一つまたは複数の計算機と該計算機の障
   害監視をする管理マネージャーとを有するネットワーク
   における障害監視方法であって、 前記複数の計算機の一つで起こった異常の報告に対し
   て、前記管理マネージャーが前記異常な状態に到った原
   因を推測して、 前記推測した第１の原因が正しいことを証明するために
   前記管理マネージャーから前記異常が発生した計算機を
   含めた前記複数の計算機のいくつか又は全て対して、よ
   り詳細なログを収集することを要求するリクエストを送
   り、前記要求を受けた複数の計算機のそれぞれが前記推
   測された第１の原因を証明するためにログを収集し、前
   記要求を受けた複数の計算機のそれぞれから前記管理マ
   ネージャーへ前記収集したログを送信し、前記管理マネ
   ージャーが前記収集されたログを参照することにより推
   測が正しかったことを判断することを特徴とする障害監
   視方法。
4. 【請求項４】 一つまたは複数の計算機と該計算機の障
   害監視をする管理マネージャーとを有するネットワーク
   における障害監視方法であって、 前記複数の計算機の一つで起こった異常の報告に対し
   て、前記管理マネージャーが前記異常な状態に到った第
   １の原因を推測して、 前記推測した第１の原因が正しいことを証明するために
   前記管理マネージャーから前記異常が発生した計算機に
   対して、より詳細なログを収集することを要求するリク
   エストを送り、前記異常が発生した計算機が前記推測さ
   れた第１の原因を証明するためにログを収集し、前記異
   常が発生した計算機から前記管理マネージャーへ前記収
   集したログを送信し、前記管理マネージャーが前記収集
   されたログを参照することにより第１の原因を引き起こ
   した第２の原因と該第２の原因が発生した計算機を推測
   し、前記管理マネージャーから前記第２の原因が発生し
   たと推測される計算機へ前記推測された第２の原因を証
   明するためにより詳細なログを収集することを要求する
   リクエストを送り、前記第２の原因が発生したと推測さ
   れる計算機が前記推測された第２の原因を証明するため
   にログを収集し、前記第２の原因が発生したと推測され
   る計算機から前記管理マネージャーへ前記収集したログ
   を送信し、前記管理マネージャーが前記収集されたログ
   を参照することにより推測が正しかったことを判断する
   という手順を踏むことを特徴とする障害監視方法。
5. 【請求項５】一つまたは複数の計算機と該計算機の障害
   監視をする管理マネージャーとを有するネットワークに
   おける障害監視方法であって、 前記複数の計算機の一つで起こった異常の報告に対し
   て、前記管理マネージャーが前記異常な状態に到った第
   １の原因を推測して、 前記推測した第１の原因が正しいことを証明するために
   前記管理マネージャーから前記異常が発生した計算機を
   含めた前記複数の計算機のいくつか又は全てに対して、
   より詳細なログを収集することを要求するリクエストを
   送り、前記要求を受けた複数の計算機のそれぞれが前記
   推測された第１の原因を証明するためにログを収集し、
   前記要求を受けた複数の計算機のそれぞれから前記管理
   マネージャーへ前記収集したログを送信し、前記管理マ
   ネージャーが前記収集されたログを参照することにより
   第１の原因を引き起こした第２の原因と該第２の原因が
   発生した計算機を推測し、前記管理マネージャーから前
   記第２の原因が発生したと推測される計算機を含めた前
   記複数の計算機のいくつか又は全てに対して、前記推測
   された第２の原因を証明するためにより詳細なログを収
   集することを要求するリクエストを送り、前記要求を受
   けた計算機が前記推測された第２の原因を証明するため
   にログを収集し、前記要求を受けた計算機から前記管理
   マネージャーへ前記収集したログを送信し、前記管理マ
   ネージャーが前記収集されたログを参照することにより
   推測が正しかったことを判断するという手順を踏むこと
   を特徴とする計算機システムの監視方法。
6. 【請求項６】請求項１乃至５に記載の障害監視方法であ
   って、 ネットワークが混雑しているときは管理マネージャーが
   計算機に対して収集すべきログのレベルを上げ、重要な
   ログのみを収集するように指示し、ネットワークがすい
   ているときは前記管理マネージャーが前記計算機に対し
   て収集すべきログのレベルを下げ、詳細なログまで収集
   するように指示することを特徴とする障害監視方法。
7. 【請求項７】請求項１乃至５に記載の障害監視方法であ
   って、 管理マネージャーの負荷が高いときは前記管理マネージ
   ャーが計算機に対して収集すべきログのレベルを上げ、
   重要なログのみを収集するように指示し、前記管理マネ
   ージャーの負荷が低いときは前記管理マネージャーが前
   記計算機に対して収集すべきログのレベルを下げ、詳細
   なログまで収集するように指示することを特徴とする障
   害監視方法。
8. 【請求項８】請求項１乃至５に記載の障害監視方法であ
   って、 管理マネージャーがその時点で設定されているレベルよ
   り重要なレベルのログのみが必要と判断したときには前
   記管理マネージャーが前記計算機に対して収集すべきロ
   グのレベルを上げることにより重要なログのみを収集す
   るように指示し、前記管理マネージャーがその時点で設
   定されているレベルより詳細なレベルのログまでもが必
   要と判断したときには前記管理マネージャーが前記計算
   機に対して収集すべきログのレベルを下げることにより
   詳細なログまで収集するように指示することを特徴とす
   る障害監視方法。
9. 【請求項９】請求項１乃至５に記載の障害監視方法であ
   って、 監視画面上であって異常が発生した計算機を示す文字又
   は画像の色を変化させることを特徴とする障害監視方
   法。
10. 【請求項１０】 請求項１乃至５に記載の障害監視方法
    であって、 監視画面上であって異常の発生表示すると共に異常の原
    因を表示することを特徴とする障害監視方法。
11. 【請求項１１】 請求項１乃至５に記載の障害監視方法
    であって、 監視画面上であって異常の発生表示すると共に警告音を
    発生することを特徴とする障害監視方法。