JP2009217392A

JP2009217392A - メッセージ監視システムおよびメッセージフィルタの最適化方法

Info

Publication number: JP2009217392A
Application number: JP2008058558A
Authority: JP
Inventors: Tetsuya Matsuno; 哲也松野
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2008-03-07
Filing date: 2008-03-07
Publication date: 2009-09-24
Anticipated expiration: 2028-03-07
Also published as: JP4888425B2

Abstract

【課題】他のフィルタで検知できているメッセージしか検知しない冗長フィルタを検出するとともに、フィルタをどのように修正すればいいかの目安を提示させる。
【解決手段】メッセージ監視システムにおいて、分析手段が検出したメッセージとこれを検出した総てのフィルタの情報を格納するメッセージログ蓄積部と、他のフィルタによって検知できているメッセージしか検知しない冗長フィルタを抽出する冗長フィルタ分析手段と、フィルタ条件の全部ではないが一部を満たすメッセージを類似メッセージとして検出する類似メッセージ検知手段と、類似メッセージを前記フィルタに関連づけて格納する類似メッセージ蓄積部とを具え、前期冗長フィルタ分析手段は、抽出した冗長フィルタに関連する類似メッセージを前記類似メッセージ蓄積部から取得し、前記冗長フィルタの情報とともに出力してフィルタの修正を促す。
【選択図】図１

Description

本発明は、メッセージ監視システムおよびメッセージフィルタの最適化方法に関し、特に、運用管理システムにおいて設定されたメッセージフィルタ（以下、単に「フィルタ」と称す。）の不適切な定義や他のフィルタで検知できているメッセージしか検知しない冗長なフィルタを検出し、是正しうるようにしたシステムおよび方法に関する。

運用管理システムは通常、監視サーバが通常複数台の被監視サーバからメッセージを収集し、ここで予め設定された１以上のフィルタと比較するよう構成される。総てのメッセージは各被監視サーバが持つメッセージ用のログファイルに格納されるとともに監視サーバに送られてフィルタと比較され、フィルタの全条件にメッセージが合致した場合は検知され監視画面に出力され、そうでないメッセージは監視画面に出力されない。

複数台の被監視サーバが存在するシステムの場合、各サーバの機能や構成は異なり、また各サーバで異なるアプリケーションが動作している状況が一般的である。このような場合、メッセージフィルタは各被監視サーバの機能、構成、アプリケーションに対応するように管理者によって設定される。したがって、システムが大きくなればなるほど、様々な機能、構成、アプリケーションがシステム上に存在することになり、フィルタの数も膨大なものになる。しかしながら、フィルタの設定は管理者が手入力で行うため、設定ミスによりまったくメッセージを検知しないフィルタや、既に設定してあるフィルタとまったく同じメッセージのみ検知するフィルタが設定されてしまうことがある。従来、このようなフィルタを発見し修正するためには総てのフィルタの内容のみならず各サーバの機能、構成、アプリケーション等を確認しなければならず、非常に手間がかかっていた。

このような事態に対処すべく、類似する複数のフィルタや古くなったフィルタの存在を検知してユーザに知らせることにより、ユーザの対処を提起する方法が提案されている（例えば、特許文献１）。従来の方法は、まったくメッセージを検知しないフィルタを条件設定に誤りがあるフィルタあるいは不要なフィルタとして削除するか管理者に修正を促したり、２つのフィルタの各条件を比較して一方のフィルタの条件の総てが他方のフィルタに含まれるようなフィルタを冗長フィルタ（不要なフィルタ）として管理者に提示するようにしている。なお、図２は従来のシステム構成例を示す図である。
特開２００３−１６０９４公報

しかしながら、従来技術ではフィルタの修正は提起できてもどのように修正すべきかの情報を提示するものはなく、管理者がそのフィルタをどのように修正すればメッセージを検知するフィルタになるのかが即座に分からず、結局管理者が各サーバの機能や構成などを確認しながら行い負担が大きかった。また、条件のみを比較して冗長フィルタを検出する方法では、例えばフィルタ条件自体は重複しないが、実際の運用環境において１のフィルタが他のフィルタが検知できているメッセージしか検知しないような場合が生じうる。このような冗長フィルタは２つのフィルタの条件を比較しただけでは見つけることができず、検知された総てのメッセージと各フィルタの設定条件を照らし合わせる必要があるため、膨大な作業量が必要となり管理者が簡単に発見できるものではなかった。

したがって、メッセージフィルタの修正を促す場合にどのように修正すればいいかの目安を提示するシステムがあれば便宜である。また、フィルタ条件は他のフィルタと同じではないが当該他のフィルタで検知できているメッセージしか検知しないような冗長なフィルタを簡単に抽出できれば便宜となる。

上記課題を解決するために、本発明は、１以上の条件を含むメッセージフィルタ（以下、単に「フィルタ」と称す。）が格納されるフィルタ蓄積部と、検査対象メッセージの内容を前記フィルタと照合して前記フィルタ条件をすべて満たすメッセージを検出する分析手段とを具えるメッセージ監視システムにおいて、前記分析手段が検出したメッセージとこれを検出した総てのフィルタの情報を格納するメッセージログ蓄積部と、前記メッセージログ蓄積部を参照して他のフィルタによって検知できているメッセージしか検知しないフィルタを抽出する冗長フィルタ分析手段とを具えることを特徴とする。

また、このメッセージ監視システムは、前記フィルタ条件の全部ではないが一部を満たすメッセージを検出する類似メッセージ検知手段と、前記類似メッセージ検出手段が検出した類似メッセージを前記フィルタに関連づけて格納する類似メッセージ蓄積部と、前記フィルタの条件の設定や変更を受け付けるフィルタ更新手段とを具え、前記冗長フィルタ分析手段が、当該冗長フィルタ分析手段が抽出したフィルタに関連する類似メッセージを前記類似メッセージ蓄積部から取得して前記フィルタの情報とともに出力するとともに、前記フィルタ更新手段が前記フィルタの条件変更を受け付けることが望ましい。

また、本発明の別の態様は、１以上の条件を含むメッセージフィルタ（以下、単に「フィルタ」と称す。）が格納されるフィルタ蓄積部と、検査対象メッセージの内容を前記フィルタと照合して前記フィルタ条件をすべて満たすメッセージを検出する分析手段とを具えるメッセージ監視システムにおいて、前記フィルタ条件の全部ではないが一部を満たすメッセージを検出する類似メッセージ検知手段と、前記類似メッセージ検出手段が検出した類似メッセージを前記フィルタに関連づけて格納する類似メッセージ蓄積部と、前記フィルタ蓄積部からメッセージを検知していないフィルタを抽出し当該フィルタに関連する類似メッセージを前記類似メッセージ蓄積部から取得して前記フィルタの情報とともに出力する類似メッセージ出力手段と、前記フィルタの条件の設定や変更を受け付けるフィルタ更新手段とを具えることを特徴とする。

本発明では、分析手段が検出したメッセージとこれを検出した総てのフィルタの情報を蓄積し、例えば単独でメッセージを検知していないような、他のフィルタによって検知できているメッセージしか検知しない冗長フィルタを検出できるようにした。これにより、フィルタの条件だけをみると一致しないものの他のフィルタで検知できているメッセージしか検知しない冗長なフィルタを抽出することができ、不要なフィルタを削除したり修正を促したりすることが可能となる。

また、本発明では、フィルタの条件全部ではないが一部に合致するメッセージを当該フィルタと類似するメッセージとして両者を関連づけて蓄積し、任意のフィルタの修正時に、当該フィルタの類似メッセージをともに管理者に提示する。これにより、管理者がフィルタの修正時にフィルタとその類似メッセージを比較することができ、どのようにフィルタを修正したら例えばこの類似メッセージを検知するようになるかを把握することができる。

また、これらを組み合わせて運用することにより、例えばまったくメッセージを検知しないフィルタや、他のフィルタによって検知されるメッセージしか検知しない冗長フィルタを発見し削除を提示するだけでなく、どのように修正すればそのフィルタがメッセージを検知できるようになるかを提示することが可能となり、管理者が条件の不備等を容易に理解し、より最適な条件に修正する支援となる。また、不要または冗長なフィルタを整理することが可能となり、システムの運用管理におけるフィルタの信頼性の向上およびフィルタ被アック処理の負荷低減、および管理負荷の大幅低減を実現することができる。

本発明を実施するための最良の形態について、添付の図面を参照しながら以下に詳細に説明する。図１は、本発明の一実施例にかかるメッセージ監視システムの機能概略図である。図１を参照すると、本発明の実施例は大きく分けて、メッセージの分析・検知を行う監視サーバ１００と、当該監視サーバ１００に監視される１またはそれ以上の被監視サーバ２００と、管理者が操作する監視端末３００で構成されている。これらは例えばＬＡＮなどの通信ネットワークか専用線で接続されおり、リアルタイムでの情報送受信が可能である。

監視サーバ１００は、監視手段１０１と、運席手段１０２と、フィルタ蓄積部１０３と、メッセージログ蓄積部１０４と、フィルタ更新手段１０５と、類似メッセージ蓄積部１０７と、ヒット数設定手段１０８と、類似メッセージ表示手段１０９と、検知フィルタ付与手段１１０と、冗長フィルタ分析手段１１１とを具えている。このうち分析手段１０２は、類似メッセージ検知手段１０６を含む。実際には、フィルタ蓄積部１０３、メッセージログ蓄積部１０４、および類似メッセージ蓄積部１０７はそれぞれ監視サーバ１００の記憶領域の一部をなし、それ以外の手段は監視サーバ１００の記憶装置に格納されたプログラムまたはプログラムモジュールがＣＰＵやメモリに展開されて初めて具現化する機能要素であるが、説明の便宜のためにそれぞれ１つの手段として記載するものとする。

１以上の被監視サーバ２００はそれぞれ、メッセージログファイル蓄積部２１１を具えている。この監視サーバ２００は実施例によって１台でもよいし、複数台のエージェント装置があってもよい。

監視端末３００は、メッセージ確認手段３０１と、フィルタ設定手段３０２と、類似メッセージ確認手段３０３と、冗長フィルタ確認手段３０４とを具える。これらも監視サーバ１００の各手段と同様に、ソフトウェアとハードウェアが協働することにより具現化する手段である。また、特に図示しないが、この監視端末３００は少なくとも管理者にメッセージやフィルタ構成を提示する表示画面と、管理者からフィルタの設定、修正、削除などの支持を受ける入力手段を具える。

これらの要素はそれぞれ概略以下のように動作する。被監視サーバ２００は、当該サーバ２００で生じたメッセージをメッセージログファイル蓄積部２０１に登録する。

監視サーバ１００の監視手段１０１は、被監視サーバ２００を監視してメッセージログファイル蓄積部２０１からメッセージを受け取り、分析手段１０２にそのメッセージを渡す。フィルタ蓄積部１０３には、管理者によって予め設定されたメッセージフィルタ（以下、単に「フィルタ」と称す。）が蓄積されている。フィルタ更新手段１０５は、監視端末３００のフィルタ設定手段３０２からフィルタの修正、削除、追加のリクエストを受け取り、フィルタ蓄積部１０３に格納されているフィルタの修正、削除、またはフィルタの追加を行う。分析手段１０２はフィルタ蓄積部２０１からフィルタを呼び出し、監視手段１０１から受け取ったメッセージと照合する。フィルタには１以上の条件が設定されており、メッセージが総ての条件を満たす場合にフィルタに合致するとして当該メッセージが検知され、分析手段１０２は検知フィルタ付与手段１１０にそのメッセージおよびこれを検知したフィルタ名を渡す。このとき、複数のフィルタがそのメッセージを検知した場合、そのうちの１つではなく総てのフィルタ名のリストを渡す。また、分析手段１０２はヒット数設定手段１０８に検知したフィルタ名（複数の場合はフィルタ名のリスト）を渡す。ヒット数設定手段１０８は、受け取ったフィルタ名からフィルタ蓄積部１０３に格納されている該当フィルタのヒット数を１だけ加算する。一方、検知フィルタ付与手段１１０は、分析手段１０２から受け取ったメッセージに受け取ったフィルタ名を付与してメッセージログ蓄積部１０４に格納する（図１２参照）。

監視サーバ１００の冗長フィルタ分析手段１１１は、監視端末３００の冗長フィルタ確認手段３０４からリクエストを受けた場合に、メッセージログ蓄積部１０４からメッセージを検知したフィルタ名のリストを得て、後述するような処理によって冗長フィルタ、すなわち他のフィルタで検知されるメッセージしか検知しないフィルタを求め、その後、類似メッセージ蓄積部１０７から冗長フィルタの類似メッセージ（後述）を得て、冗長フィルタの情報とともに監視端末３００の冗長フィルタ確認手段３０４に渡す。分析手段１０２の類似メッセージ検知手段１０６は、分析手段１０２によって検知されなかったメッセージ、すなわちフィルタ条件の全部が一致しなかったメッセージについて、例えば条件の一部が一致したフィルタのうち最も多くの条件が一致したフィルタの類似メッセージとして、そのフィルタ名とともに類似メッセージ蓄積部１０７に格納する。類似メッセージ表示手段１０９は、監視端末３００の類似メッセージ確認手段３０３からリクエストを受けた場合に、フィルタ蓄積部１０３からヒット数が０であるフィルタ名を取得するとともに、当該フィルタの類似メッセージを類似メッセージ蓄積部１０７から取得して、類似メッセージ確認手段３０３に渡す。

監視端末３００のメッセージ確認手段３０１は、監視サーバ１００のメッセージログ蓄積部１０４から各フィルタが検知したメッセージを得て、管理者に提示する。フィルタ設定手段３０２は、管理者の入力操作を受け、フィルタの追加、更新、削除を監視サーバ１００のフィルタ更新手段１０５に行わせる。類似メッセージ確認手段３０３は、定期的あるいは管理者の要求を受けて、監視サーバ１００の類似メッセージ表示手段１０９にリクエストを投げ、ヒット数が０であるフィルタの情報とそのフィルタの類似メッセージを取得して管理者に提示する。冗長フィルタ確認手段３０４は、定期的あるいは管理者の要求を受けて、監視サーバ１００の冗長フィルタ分析手段１１１にリクエストを投げ、冗長フィルタの情報とそのフィルタの類似メッセージを取得して管理者に提示する。

なお、本実施例では管理者が操作する監視端末３００を監視サーバ１００と別に設けているが、監視端末３００の各機能を監視サーバ１００に設けて監視端末３００を省略してもよい。

このように構成された本実施例のシステムの動作について、以下に詳細に説明する。前提として、監視サーバ１００のフィルタ蓄積部１０３には管理者が予め設定した複数のメッセージフィルタが登録されている。これは監視端末３００のフィルタ設定手段３０２から設定されたものである。フィルタ群の一例を図４に示す。本図に示すように、フィルタ毎にフィルタ名の他、フィルタ条件として重要度、アプリケーション、サーバ、本文などが設定されている。

まず、図３を参照して、メッセージの検知動作および類似メッセージの抽出動作について説明する。監視サーバ１００の分析手段１０２（および類似メッセージ検知手段１０６）が監視手段１０１からメッセージを受け取ると、フィルタ蓄積部１０３からフィルタのリスト（図４参照）を得て、メッセージとフィルタの照合を行う。この処理は、分析手段１０２がメッセージ内容のうち１の項目に関して総てのフィルタをチェックし、一致しないフィルタを除外する（ステップＳ０１）。例えば図５に示すように、図４のフィルタ群から示すメッセージ「重要度：ERROR、アプリケーション：Web Server、サーバ：Sv3、本文：Shutdown now.」の「重要度」をキーに抽出し、図５のように「重要度：ERROR」の条件を持つフィルタが抽出される。このように条件を絞ったフィルタのリストが空でない場合（ステップＳ０２）、このフィルタリストを一時的に記憶する（ステップＳ０３）。

フィルタのリストが空でない場合で、且つメッセージで比較していない項目がある場合（ステップＳ０４）、メッセージの次の項目に注目して、現在一時保存しているフィルタリストに含まれる総てのフィルタのチェックを行い、さらに条件を絞ったフィルタのリストを作成する（ステップＳ０５からステップＳ０１へ戻る）。これを具体的に説明すると、図５にリストアップされたフィルタについて、メッセージの次の項目「アプリケーション：Web Server」の条件で絞ると図６のリストとなり、さらに次の項目「サーバ：Sv3」の条件で絞ると図７のリストとなり、さらに次の項目「本文：Shutdown now.」の条件で絞ると図８のようにリストが空となる。

ステップＳ０４で次の項目がなくなった場合、現在一時保存しているフィルタリストに含まれるフィルタはそのメッセージに対して総ての条件が合致しているため、それらのフィルタにメッセージが検知された倒して、メッセージを検知フィルタ付与手段１１０からメッセージログ蓄積部１０４に格納する（ステップＳ０６）。これが監視端末３００のメッセージ確認手段３０１により管理者に提示される。また、分析手段１０２は現在一時記憶しているフィルタのリストをヒット数設定手段１０８に渡す。ヒット数設定手段１０８はフィルタ蓄積部１０３にアクセスし、メッセージを検知した各フィルタのヒット数に１を加算する（ステップＳ０７）。

一方、条件比較中にフィルタリストが空となった場合（ステップＳ０２：Ｎ）、すなわち図８に示すように条件に一致するフィルタがなくなった場合、メッセージは現在一時的に記憶しているフィルタのリストに類似しているメッセージとして、一時記憶しているフィルタリストとともに類似メッセージ蓄積部１０７に格納する（ステップＳ０８）。ただし、メッセージとフィルタの比較において最初の項目が一致しないため該当フィルタがない場合には、類似メッセージと判断することなく処理を終了する。

このようにして、メッセージを検知したフィルタのヒット数に１が加算されるとともに、検知しないが条件の多くが一致するメッセージがそのフィルタに類似するメッセージとして把握され、類似メッセージ蓄積部１０７に蓄積される。なお、本実施例では最も多くの条件が合致するメッセージを類似するメッセージとして蓄積するようにしているが、これは他の基準で類似か否かを定めるようにしてもよい。例えば、所定数以上の条件が一致したら類似とするなどが考えられる。

次に、まったくメッセージを検知していないフィルタを確認し、修正する処理について説明する。例えば管理者が監視端末３００の類似メッセージ確認手段３０３を操作すると、当該手段３０３が監視サーバ１００の類似メッセージ表示手段１０９にリクエストを送る。リクエストを受け取った類似メッセージ表示手段１０９は、フィルタ蓄積部１０３を参照してヒット数が「０」であるフィルタを抽出し、その情報から類似メッセージ蓄積部１０７を参照して当該フィルタに類似するメッセージを抽出する。ヒット数が０であるフィルタと類似メッセージは監視端末３００の類似メッセージ確認手段３０３に送られて管理者に提示される。図１０は、ヒット数が０であるフィルタの情報を示す画面例である。いずれかのフィルタを指定すると、図１１に示すように、ヒット数が０であるフィルタと、その類似メッセージが同時に表示される。これを見て管理者はメッセージを検知しないフィルタの条件と、このフィルタに近い条件の類似メッセージを比較することができ、この類似メッセージを検知するようにフィルタを修正することが可能となる。図１１に示すように、画面下側には「フィルタの修正」ボタンが設けられており、これを押下することによりフィルタ設定手段３０２からフィルタを修正することができる。なお、類似メッセージ確認手段３０３のリクエストは管理者の入力操作時以外にも、所定の期間毎にヒット数が０のフィルタをチェックして管理者に是正を促すように構成してもよい。また、上記実施例はヒット数が「０」のフィルタを抽出するが、これはヒット数が０でなく所定値以下のフィルタを抽出するようにしてもよい。

次に、図１３のフローチャートを参照して、条件自体は一致しないが他のフィルタで検知できているメッセージしか検知しないフィルタ（冗長フィルタ）を検知する処理について説明する。監視サーバ１００の分析手段１０２がメッセージとフィルタの比較を行い、メッセージが検知された場合、分析手段１０２は検知したフィルタ名のリストをメッセージとともに検知フィルタ付与手段１１０に渡す。検知フィルタ付与手段１１０は、受け取ったメッセージにこれを検知したフィルタ名のリストを付与してメッセージログ蓄積部１０４に登録する。図１２は、メッセージログ蓄積部１０４に格納されるデータ例である。本図に示すように、メッセージごとに内容とこれを検知したフィルタ名が登録されている。

例えば管理者が監視端末３００の冗長フィルタ確認手段３０４を操作すると、冗長フィルタ確認手段３０４から監視サーバ１００の冗長フィルタ分析手段１１１にリクエストを送る。冗長フィルタ分析手段１１１は、メッセージログ蓄積部１０４からメッセージを検知したフィルタ名のリストを取得し、他のフィルタが検知しているメッセージのみを検知しているような冗長フィルタを抽出する。この方法を、図１３のフローチャートを用いて説明する。なお、以下の説明において２つのフィルタＡとＢがある場合に、フィルタＢがフィルタＡの検知できるメッセージしか検知しない場合、フィルタＡはフィルタＢを包含するといい、またフィルタＢはフィルタＡに被包含されていると呼ぶ。

図１３に示すように、冗長フィルタ分析手段１１１は、まずフィルタ蓄積部１０３にある１つのフィルタに注目し（ステップＳ１０）、メッセージログ蓄積部１０４からそのフィルタを含む組を抽出し（ステップＳ１１）、この組に含まれる他のフィルタを被包含フィルタリストに追加する（ステップＳ１２〜Ｓ１３）。これを具体的に説明すると、図１２のメッセージログ蓄積部１０４の内容があるとして、まずフィルタＦ＿１に注目し、上から１，３，４番目のメッセージの値（Ｆ＿１，Ｆ＿３）、（Ｆ＿１）、（Ｆ＿１，Ｆ＿３）を抽出し、この組に含まれる他のフィルタＦ＿３を、Ｆ＿１を包含する可能性のあるフィルタとして、図１４に示す被包含フィルタリストに追加する。図１４に示すように、フィルタＦ＿１の被包含の可能性があるフィルタとしてＦ＿３が登録される。この処理において、注目しているフィルタを含む組がなければステップＳ１４に進む。まだ注目していないフィルタがある場合には次のフィルタに注目し、同様に被包含の可能性があるフィルタのリストを作成していく（ステップＳ１４，Ｓ１５からステップＳ１１へ）。このようにして図１２のメッセージリストから図１４の被包含リストを作成する。

フィルタ蓄積部１０３に登録された総てのフィルタについて被包含の可能性があるフィルタのリストを取得したら、また１つずつフィルタに着目し（ステップＳ１６）、図１４のリストからそのフィルタを含む組を抽出する（ステップＳ１７）。現在注目しているフィルタを包含している可能性のあるフィルタ（図１４でＦ＿１に注目した場合のＦ＿３）がそれらの総ての組に含まれているならば、そのフィルタを、現在注目しているフィルタを包含するフィルタとして確定され、逆に含まれていない組があればそのフィルタは現在注目しているフィルタを包含していないとしてリストから除外する（ステップＳ１８〜Ｓ１９）。この処理を総てのフィルタに対して行い（ステップＳ２０、Ｓ２１）、フィルタの被包含関係のリストを完成させて、冗長フィルタを抽出する。図１５は、図１２のリストから上記処理により得られるフィルタの被包含関係のリストであり、本図に示すようにフィルタＦ＿３はＦ＿１に包含されている、すなわちＦ＿３はＦ＿１に対し冗長であるということが判明する。

なお、冗長フィルタを抽出する処理は少し簡単にして、例えば図１２のリストにおいて、メッセージを単独で検知していないフィルタを抽出することにより行ってもよい。すなわち、あるフィルタが検知したメッセージが常に他のフィルタにも検知されている場合をいずれかのフィルタに包含されているとして扱い、単独でメッセージを検知している場合は除外する。これは検出精度は確実でないが簡単かつ負荷を少なく実行することができる。

次に、このようにして抽出された冗長フィルタの確認、削除、および修正処理について説明する。例えば管理者が監視端末３００の冗長フィルタ確認手段３０４を操作すると、当該手段３０４が監視サーバ１００の冗長フィルタ分析手段１１１にリクエストを送る。リクエストを受け取った冗長フィルタ分析手段１１１は、上記の処理により冗長フィルタを抽出するとともに、類似メッセージ蓄積部１０７から冗長フィルタに類似したメッセージを取得し、監視端末３００に送る。監視端末３００の冗長フィルタ確認手段３０４は受け取った情報を画面表示して管理者に提示する。図１６および図１７は冗長フィルタを提示する画面例である。図１６の画面に検出された冗長フィルタがリスト表示され、いずれかのフィルタを指定すると図１７の詳細情報が表示される。この画面上で管理者は冗長フィルタの存在を確認し、提示された類似メッセージを見て冗長フィルタをどのように修正すればこの類似メッセージを検知するかを把握して、冗長フィルタを修正することができる。このフィルタの削除または修正は、監視端末３００のフィルタ設定手段３０２が実行する。

以上、詳細に説明したように、本発明によれば、すでに設定してあるフィルタに類似するメッセージを蓄積し、あるフィルタ修正の必要が生じたときに当該フィルタの類似メッセージを提示することにより、例えばまったくメッセージを検知しないフィルタを管理者が認識し、どのように修正すればそのフィルタがメッセージを検知するようになるかを簡単に把握することができる。

また、メッセージを検知したフィルタのリストをメッセージとともに蓄積し、このリストを分析することで冗長なフィルタを抽出できるようにしたため、他のフィルタによって検知されるメッセージしか検知しないような冗長なフィルタを発見し、管理者に削除または修正を促すことができるため、無駄なフィルタを減らすことができ、メッセージとフィルタの比較回数を減らして処理負担を軽減させることができる。

本発明は、運用管理システムを含む情報処理産業に好適に利用することができる。

本発明の一実施例にかかるメッセージ監視システムの構成を示す概略図である。従来のメッセージ監視システムの構成を示す概略図である。図１のシステムで各フィルタの類似するメッセージを抽出する処理を示すフローチャートである。図１に示すフィルタ蓄積部１０３の登録内容の一例を示す図である。図３の動作における条件比較処理を説明するための図である。図３の動作における条件比較処理を説明するための図である。図３の動作における条件比較処理を説明するための図である。図３の動作における条件比較処理を説明するための図である。図１に示す類似メッセージ蓄積部１０７の登録内容の一例を示す図である。図１に示す類似メッセージ確認手段３０３により提示される画面例を示す図である。図１に示す類似メッセージ確認手段３０３により提示される画面例を示す図である。図１に示すメッセージログ蓄積部１０４の登録内容の一例を示す図である。図１のシステムで冗長フィルタを抽出する処理を示すフローチャートである。図１３の処理で作成されるリストの例である。図１３の処理で作成されるリストの例である。図１に示す冗長フィルタ確認手段３０４により提示される画面例を示す図である。図１に示す冗長フィルタ確認手段３０４により提示される画面例を示す図である。

符号の説明

１００監視サーバ
１０１監視手段
１０２分析手段
１０３フィルタ蓄積部
１０４メッセージログ蓄積部
１０５フィルタ更新手段
１０７類似メッセージ蓄積部
１０８ヒット数設定手段
１０９類似メッセージ表示手段
１１０検知フィルタ付与手段
１１１冗長フィルタ分析手段
２００被監視サーバ
２０１メッセージログファイル蓄積部
３００監視端末
３０１メッセージ確認手段
３０２フィルタ設定手段
３０３類似メッセージ確認手段
３０４冗長フィルタ確認手段

Claims

１以上の条件を含むメッセージフィルタ（以下、単に「フィルタ」と称す。）が格納されるフィルタ蓄積部と、検査対象メッセージの内容を前記フィルタと照合して前記フィルタ条件をすべて満たすメッセージを検出する分析手段とを具えるメッセージ監視システムにおいて、
前記分析手段が検出したメッセージとこれを検出した総てのフィルタの情報を格納するメッセージログ蓄積部と、前記メッセージログ蓄積部を参照して他のフィルタによって検知できているメッセージしか検知しないフィルタを抽出する冗長フィルタ分析手段とを具えることを特徴とするメッセージ監視システム。
請求項１に記載のメッセージ監視システムがさらに、前記フィルタ条件の全部ではないが一部を満たすメッセージを検出する類似メッセージ検知手段と、前記類似メッセージ検出手段が検出した類似メッセージを前記フィルタに関連づけて格納する類似メッセージ蓄積部と、前記フィルタの条件の設定や変更を受け付けるフィルタ更新手段とを具え、
前記冗長フィルタ分析手段は、当該冗長フィルタ分析手段が抽出したフィルタに関連する類似メッセージを前記類似メッセージ蓄積部から取得して前記フィルタの情報とともに出力するとともに、前記フィルタ更新手段が前記フィルタの条件変更を受け付けることを特徴とするメッセージ監視システム。
１以上の条件を含むメッセージフィルタ（以下、単に「フィルタ」と称す。）が格納されるフィルタ蓄積部と、検査対象メッセージの内容を前記フィルタと照合して前記フィルタ条件をすべて満たすメッセージを検出する分析手段とを具えるメッセージ監視システムにおいて、
前記フィルタ条件の全部ではないが一部を満たすメッセージを検出する類似メッセージ検知手段と、前記類似メッセージ検出手段が検出した類似メッセージを前記フィルタに関連づけて格納する類似メッセージ蓄積部と、前記フィルタ蓄積部からメッセージを検知していないフィルタを抽出し当該フィルタに関連する類似メッセージを前記類似メッセージ蓄積部から取得して前記フィルタの情報とともに出力する類似メッセージ出力手段と、前記フィルタの条件の設定や変更を受け付けるフィルタ更新手段とを具えることを特徴とするメッセージ監視システム。
１以上のフィルタ条件を含むメッセージフィルタ（以下、単に「フィルタ」と称す。）が格納されるフィルタ蓄積部と、検査対象メッセージの内容を前記フィルタと照合して前記フィルタ条件を総て満たすメッセージを検出する分析手段とを具えるシステムにおけるフィルタ最適化方法において、
前記分析手段が検出したメッセージとこれを検出した総てのフィルタの情報をメッセージログ蓄積部に登録するステップと、冗長フィルタ分析手段が、前記メッセージログ蓄積部を参照して他のフィルタによって検知できているメッセージしか検知しない冗長フィルタを抽出するステップとを具えることを特徴とするフィルタ最適化方法。
請求項４に記載の方法がさらに、類似メッセージ分析部が前記フィルタの条件の全部ではないが一部を満たすメッセージを類似メッセージとして検出するステップと、ここで検出された類似メッセージを前記フィルタに関連づけて類似メッセージ蓄積部に登録するステップと、前記冗長フィルタ分析手段が、前記冗長フィルタに関連する類似メッセージを前記類似メッセージ蓄積部から取得して前記冗長フィルタの情報とともに出力するステップと、フィルタ更新手段が前記フィルタの条件変更を受け付けるステップとを具えることを特徴とするフィルタ最適化方法。
１以上のフィルタ条件を含むメッセージフィルタ（以下、単に「フィルタ」と称す。）が格納されるフィルタ蓄積部と、検査対象メッセージの内容を前記フィルタと照合して前記フィルタ条件を総て満たすメッセージを検出する分析手段とを具えるシステムにおけるフィルタ最適化方法において、
類似メッセージ検出手段が、前記フィルタ条件の全部ではないが一部を満たすメッセージを検出して類似メッセージ蓄積部に格納するステップと、類似メッセージ出力種だが、前記フィルタ蓄積部からメッセージを検知していないフィルタを抽出し当該フィルタに関連する類似メッセージを前記類似メッセージ蓄積部から取得して前記フィルタの情報とともに出力するステップと、フィルタ更新手段が、前記フィルタの条件の設定や変更を受け付けるステップとを具えることを特徴とするフィルタ最適化方法。