JP2012234381A - ネットワーク運用管理システム、ネットワーク監視サーバ、ネットワーク監視方法およびプログラム - Google Patents

Abstract

【課題】複数のイベントが複合的に原因となる不具合の発生原因およびその対策を特定することを可能とするネットワーク運用管理システム等を提供する。
【解決手段】ネットワーク監視サーバ１０は、各監視対象装置からメッセージを受信するアラート受信部１１３と、メッセージを事象ごとにグループ化するグループ化部１１６と、グループ化されたメッセージをパターン定義と照合するパターン照合部１１８と、パターン定義に該当する場合に予め記憶された対策情報を出力する対策情報出力部１１９とを備えると共に、パターン定義に含まれない内容のイベントを一次フィルタとして抽出する一次フィルタ抽出部１１５と、一次フィルタとして抽出されたイベントの発生を該当する監視対象装置に監視させる監視要求部１１７と、グループ化部による処理より先にメッセージに一次フィルタを適用する一次フィルタ部１１２とを備える。
【選択図】図１

Description

本発明はネットワーク運用管理システム、ネットワーク監視サーバ、ネットワーク監視方法およびプログラムに関し、特に複数のイベントが複合的に原因となる不具合の発生原因およびその対策を特定するネットワーク運用管理システム等に関する。

コンピュータネットワークで相互に接続された各々の装置（コンピュータ、ネットワーク機器など）の動作を確認し、何か不具合が発生した際にその原因を特定するために、監視専用のサーバを当該ネットワークに接続して、各々の監視対象装置において何かの動作を示すイベントが発生するたびに、このサーバにその旨を報告するというネットワーク運用管理システムがある。そのようなサーバを、本明細書ではネットワーク監視サーバという。

図８は、特許文献１などに記載されている、既存のネットワーク運用管理システム９０１の一例について示す説明図である。ネットワーク運用管理システム９０１は、監視サーバ９１０と、監視端末９２０と、複数の監視対象装置９３０がネットワーク９４０を介して相互に接続されて構成される。監視対象装置９３０とは、より具体的には、たとえばネットワークスイッチ、データベースサーバ、およびアプリケーションサーバなどである。これらの装置で動作するＯＳ、ミドルウェア、データベース、アプリケーション、ファームウェアなどもまた監視対象となりうる。

各々の監視対象装置９３０において何かの動作を示すイベントが発生すると、これらの監視対象装置９３０は発生したイベントの内容を示すメッセージを監視サーバ９１０に報告する。監視サーバ９１０では、このメッセージから、一定のルールに従ってホスト名、ハードウェア名（またはソフトウェア名）、エラーコードなどを抽出して、過去において発生した不具合のパターンと照合することによって、不具合の発生原因を特定し、その対応策を監視端末９２０に出力する。これによって、複数のイベントが複合的に原因となった不具合であっても、的確にその原因を特定することができる。

これに関連する技術として、この他には次の各々がある。その中でも特許文献２には、複数種類のアラームの組み合わせを予めパターンとして登録して、これによって不具合の発生原因を特定するという半導体製造装置が記載されている。特許文献３には、各々の監視対象装置に対して予め記憶された監視方法で当該装置を監視し、検出された障害に応じてその障害が発生した業務を特定するという障害解析装置が記載されている。

特許文献４には、発生機器（監視対象装置）ごとにグループ化された発生パターンと発生した障害とを比較して、発生原因を特定するという障害監視装置が記載されている。特許文献５には、伝送ケーブルが挿入されていない状態を特定して、通常の障害発生と伝送ケーブルの不挿入との論理和によって警報を発生するという伝送路警報発生方式について記載されている。

特許第４３１８６４３号公報 特開２００４−１２７９８９号公報 特開２００５−３１６７２８号公報 特開２０１０−０４９５５１号公報 特開平０５−１０２８９０号公報

前述のように、複数のイベントを過去において発生した不具合のパターンと照合して不具合の発生原因およびその対策を特定する技術は、特許文献１、３、４などに記載されている既存の技術である。

しかしながら、これらの技術だと、たとえば２つのイベントが複合的に原因となった不具合が発生パターンとして登録されている場合だと、そのうちの一方のイベントが発生したらもう一方のイベントの発生待ちの状態となる。従って、この「もう一方のイベント」の報告が何らかの原因（たとえばネットワークの輻輳など）で遅れた場合、監視サーバはその「もう一方のイベント」の報告を単純に待ち続けてしまうので、当該監視サーバの他の動作も遅延させることとなる。

また、それらの技術では、全ての監視対象装置から報告される全てのイベントを同一の発生パターンと比較する必要があるので、その点でも監視サーバに負荷をかけてしまうこととなる。

これらの問題を解決しうる技術は、残る特許文献２および５にも記載されていない。特許文献２の技術は、コンピュータネットワークに対して適用可能な構成を備えていない。また、特許文献５の技術もコンピュータネットワークを対象とするものではなく、障害が発生するとすぐにその旨を出力するというものである。従って、特許文献１〜５の技術を全て組み合わせることがそもそも無理であり、上記の問題を解決することはできない。

本発明の目的は、監視サーバに対する負荷を少なくして、複数のイベントが複合的に原因となる不具合の発生原因およびその対策を的確かつ迅速に特定することを可能とするネットワーク運用管理システム、ネットワーク監視サーバ、ネットワーク監視方法およびプログラムを提供することにある。

上記目的を達成するため、本発明に係るネットワーク運用管理システムは、複数の監視対象装置と、各監視対象装置で行われた動作について示すデータであるイベントを受信して各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムであって、ネットワーク監視サーバが、各監視対象装置からイベントの発生を示すメッセージを受信するアラート受信部と、メッセージを事象ごとにグループ化するグループ化部と、グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断するパターン照合部と、グループ化されたメッセージがパターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する対策情報出力部とを備えると共に、グループ化されたメッセージに含まれてかつパターン定義に含まれない内容のイベントを一次フィルタとして抽出する一次フィルタ抽出部と、一次フィルタとして抽出されたイベントの発生を該当する監視対象装置に監視させる監視要求部と、グループ化部による処理より先にメッセージに一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する一次フィルタ部とを備えることを特徴とする。

上記目的を達成するため、本発明に係るネットワーク監視サーバは、複数の監視対象装置と相互に接続され、各監視対象装置で行われた動作について示すデータであるイベントを受信して各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバであって、各監視対象装置からイベントの発生を示すメッセージを受信するアラート受信部と、メッセージを事象ごとにグループ化するグループ化部と、グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断するパターン照合部と、グループ化されたメッセージがパターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する対策情報出力部とを備えると共に、グループ化されたメッセージに含まれてかつパターン定義に含まれない内容のイベントを一次フィルタとして抽出する一次フィルタ抽出部と、一次フィルタとして抽出されたイベントの発生を該当する監視対象装置に監視させる監視要求部と、フィルタ部による処理より先にメッセージに一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する一次フィルタ部とを備えることを特徴とする。

上記目的を達成するため、本発明に係るネットワーク監視方法は、複数の監視対象装置と、各監視対象装置で行われた動作について示すデータであるイベントを受信して各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムにあって、各監視対象装置からイベントの発生を示すメッセージをネットワーク監視サーバのアラート受信部が受信し、メッセージをネットワーク監視サーバのグループ化部が事象ごとにグループ化し、グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かをネットワーク監視サーバのパターン照合部が判断し、グループ化されたメッセージがパターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報をネットワーク監視サーバの対策情報出力部が出力し、グループ化されたメッセージに含まれてかつパターン定義に含まれない内容のイベントをネットワーク監視サーバの一次フィルタ抽出部が一次フィルタとして抽出し、一次フィルタとして抽出されたイベントの発生をネットワーク監視サーバの監視要求部が該当する監視対象装置に監視させ、改めて受信されたメッセージに対してグループ化の処理より先にネットワーク監視サーバの一次フィルタ部が一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出することを特徴とする。

上記目的を達成するため、本発明に係るネットワーク監視プログラムは、複数の監視対象装置と、各監視対象装置で行われた動作について示すデータであるイベントを受信して各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムにあって、ネットワーク監視サーバが備えるコンピュータに、各監視対象装置からイベントの発生を示すメッセージを受信する手順、メッセージを事象ごとにグループ化する手順、グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断する手順、グループ化されたメッセージがパターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する手順、グループ化されたメッセージに含まれてかつパターン定義に含まれない内容のイベントを一次フィルタとして抽出する手順、一次フィルタとして抽出されたイベントの発生を該当する監視対象装置に監視させる手順、および改めて受信されたメッセージに対してグループ化の処理より先に一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する手順を実行させることを特徴とする。

本発明は、上述したように、グループ化されたメッセージに含まれてかつパターン定義に含まれない内容のイベントを一次フィルタとして抽出し、受信したメッセージに最初に一次フィルタを適用して該当する内容のイベントを検出するように構成したので、フィルタリングにかかる処理を軽減することができる。

これによって、監視サーバに対する負荷を少なくして、複数のイベントが複合的に原因となる不具合の発生原因およびその対策を的確かつ迅速に特定することが可能であるという、優れた特徴を持つネットワーク運用管理システム、ネットワーク監視サーバ、ネットワーク監視方法およびプログラムを提供することができる。

図２で示した監視サーバのより詳しい構成について示す説明図である。 本発明の実施形態に係るネットワーク運用管理システムの構成について示す説明図である。 図１に示したフィルタ定義、メッセージ正規化ルール、パターン定義、関連情報、および対策情報の各々の初期状態でのデータ内容について示す説明図である。 図１に示した監視サーバの動作について示すフローチャートである。 図１に示したネットワーク運用管理システムで、図３に示した初期データの例に対して実際に観測されたメッセージの例を示す説明図である。 図１に示したネットワーク運用管理システムで、図５に示したメッセージに対応してグループ化部が作成したグループＡおよびグループＢの内容について示す説明図である。 図１に示したネットワーク運用管理システムで、図５に示したメッセージに対応して一次フィルタ抽出部が作成した一次フィルタ定義について示す説明図である。 特許文献１などに記載されている、既存のネットワーク運用管理システムの一例について示す説明図である。

（実施形態）
以下、本発明の実施形態の構成について添付図１〜２に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係るネットワーク運用管理システム１は、複数の監視対象装置３０と、各監視対象装置で行われた動作について示すデータであるイベントを受信して各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバ（監視サーバ１０）とが相互に接続されて構成されるネットワーク運用管理システムである。監視サーバ１０は、各監視対象装置からイベントの発生を示すメッセージを受信するアラート受信部１１１と、メッセージを事象ごとにグループ化するグループ化部１１６と、グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断するパターン照合部１１８と、グループ化されたメッセージがパターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する対策情報出力部１１９とを備えると共に、グループ化されたメッセージに含まれてかつパターン定義に含まれない内容のイベントを一次フィルタとして抽出する一次フィルタ抽出部１１５と、一次フィルタとして抽出されたイベントの発生を該当する監視対象装置に監視させる監視要求部１１７と、グループ化部による処理より先にメッセージに一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する一次フィルタ部１１２とを備える。

また、この監視サーバ１０は、予め記憶されたフィルタ定義に基づいて各監視対象装置から受信したメッセージの内容に対応してメッセージの通知の要否を決定するフィルタ部１１３と、メッセージからイベントの内容を示す種類名を抽出するメッセージ正規化部１１４とを備えると共に、グループ化部１１６がメッセージから抽出された種類名を事象ごとにグループ化する。

そして、一次フィルタ抽出部１１５が、一次フィルタに該当する内容のイベントが検出された場合に該一次フィルタの当該検出に係る項目を削除する機能を有する。そして、監視要求部１１７から一次フィルタとして抽出されたイベントの発生を監視するよう依頼された監視対象装置が、イベントの発生を検出した場合にこれを示すメッセージを予め与えられた監視間隔に関わらず監視サーバ１０に送信する。

以上の構成を備えることにより、本実施形態のネットワーク運用管理システム１は、監視サーバに対する負荷を少なくして、複数のイベントが複合的に原因となる不具合の発生原因およびその対策を的確かつ迅速に特定することが可能となる。
以下、これをより詳細に説明する。

図２は、本発明の実施形態に係るネットワーク運用管理システム１の構成について示す説明図である。ネットワーク運用管理システム１は、監視サーバ１０と、監視端末２０と、複数の監視対象装置３０がネットワーク４０を介して相互に接続されて構成される。本実施形態では、ネットワークスイッチ３１、データベースサーバ３２、およびアプリケーションサーバ３３を含む複数の装置を総称して監視対象装置３０という。

監視サーバ１０は、ネットワーク４０に接続された各々の機器（以後対象装置という）で行われた動作について示すデータであるイベントを受信し、このイベントから各対象装置で発生した不具合の原因を特定するコンピュータ装置である。監視端末２０は、ネットワーク管理者が操作するコンピュータ装置であり、監視サーバ１０が特定した不具合の原因についてネットワーク管理者に表示し、またネットワーク管理者から監視サーバ１０への操作指示も監視端末２０を介して行われる。

監視対象装置３０の中には、複数のネットワーク間でデータの交換を行うネットワークスイッチ３１、他のコンピュータからの照会に応じてデータの検索や更新を行って得られたデータを返却するデータベースサーバ３２、および他のコンピュータからの指令に応じてアプリケーションソフトを動作させてその処理結果を返却するアプリケーションサーバ３３が含まれる。

図１は、図２で示した監視サーバ１０のより詳しい構成について示す説明図である。監視サーバ１０は、一般的なコンピュータとしての構成を備えている。即ち、監視サーバ１０は、コンピュータプログラムとして記述された各種処理を実行する主体である主演算制御手段（ＣＰＵ: Central Processing Unit）１１と、主演算制御手段１１によって処理されるデータを記憶する記憶手段１２と、ネットワーク４０に接続して他のコンピュータとの間でデータ通信を行う通信手段１３とを備える。

主演算制御手段１１は、ネットワーク監視プログラムが動作することにより、アラート受信部１１１、一次フィルタ部１１２、フィルタ部１１３、メッセージ正規化部１１４、一次フィルタ抽出部１１５、グループ化部１１６、監視要求部１１７、パターン照合部１１８、および対策情報出力部１１９の各々として動作する。また、記憶手段１２には、フィルタ定義１２１、メッセージ正規化ルール１２２、パターン定義１２３、関連情報１２４、対策情報１２５、および一次フィルタ定義１２６の各々が記憶されている。

アラート受信部１１１は、各々の監視対象装置３０において発生したイベントを示すメッセージを、通信手段１３を介して受信する。一次フィルタ部１１２は、アラート受信部１１１で受信したメッセージに一次フィルタ定義１２６を適用し、この定義に当てはまるメッセージを受信した場合はメッセージ正規化部１１４にアラートを通知し、当てはまらないメッセージを受信した場合はフィルタ部１１３にアラートを通知する。

フィルタ部１１３は、一次フィルタ部１１２から渡されたメッセージにフィルタ定義１２１を適用し、このメッセージのタイプおよび対象機器に対応する監視サーバ１０の動作を決定する。メッセージ正規化部１１４は、メッセージにメッセージ正規化ルール１２２を適用して、そのメッセージの種類名１１４ａを抽出する。

一次フィルタ抽出部１１５は、フィルタ定義１２１の中から抽出しようとしている事象に関連するデータを一次フィルタ定義１２６として抽出する。グループ化部１１６は、メッセージ正規化部１１４で抽出されたメッセージの種類名１１４ａを、事象ごとにグループ化する。

監視要求部１１７は、一次フィルタ抽出部１１５で抽出された監視項目について、該監視項目に関連する監視対象装置３０に対してその項目についての監視を依頼する。パターン照合部１１８は、グループ化部１１６でグループ化された種類名１１４ａをパターン定義１２３と照合して不具合の原因を特定する。対策情報出力部１１９は、対策情報１２５を参照して、特定された不具合の原因に対応する対応策を監視端末２０に出力する。

図３は、図１に示したフィルタ定義１２１、メッセージ正規化ルール１２２、パターン定義１２３、関連情報１２４および対策情報１２５の各々の初期状態でのデータ内容について示す説明図である。これらのデータでは、いわゆるワイルドカード（字数に関係のない任意の文字列）を「＊」の記号で示している。

フィルタ定義１２１は、メッセージの種類を示すタイプ１２１ａ、そのメッセージの発生しうる機器を示す対象機器名１２１ｂ、メッセージの内容を示すメッセージ本文１２１ｃ、およびそのメッセージを受信したことをシステム管理者に通知するか否かについて示す通知要否１２１ｄといった各データを含む。メッセージ正規化ルール１２２は、そのメッセージの種類を示すタイプ１２２ａ（１２１ａに対応）と、そのメッセージ本文１２１ｃから種類名１１４ａを抽出する際のルールを示す抽出条件１２２ｂといった各データを含む。

図３に示した例では、タイプ１２１ａ（１２２ａ）が「ログ監視」の場合には通知要否１２１ｄは「通知する」、抽出条件１２２ｂは「：より左側の文字列を抽出」と定義されている。タイプ１２１ａ（１２２ａ）が「プロセス監視」の場合には通知要否１２１ｄは「通知しない」、抽出条件１２２ｂは「：より左側の文字列を抽出」と定義されている。タイプ１２１ａが「ネットワーク監視」の場合には通知要否１２１ｄは「通知する」だが、抽出条件１２２ｂは定義されていない。

パターン定義１２３は、種類名１１４ａのグループであるパターングループ１２３ｂと、そのパターングループ１２３ｂに対応する事象１２３ｃとが、各パターンと事象の組に対して与えられるＩＤ１２３ａに対応して記憶される。関連情報１２４は、種類名１１４ａに対応する対象機器名１２４ａおよびタイプ１２４ｂ（１２１ａ，１２２ａに対応）とが記憶されている。

対策情報１２５は、パターン定義１２３のＩＤ１２３ａで示される事象に対応する対処方法１２５ａが示されている。ここまで、フィルタ定義１２１、メッセージ正規化ルール１２２、パターン定義１２３、関連情報１２４、対策情報１２５が予め与えられて記憶手段１２に記憶されているデータである。

図４は、図１に示した監視サーバ１０の動作について示すフローチャートである。アラート受信部１１１が監視対象装置３０からのメッセージを受信すると（ステップＳ２０１）、一次フィルタ部１１２がこのメッセージに一次フィルタ定義１２６を適用して当てはまるか否かを判定する（ステップＳ２０２）。当てはまらない場合はステップＳ２０３に、当てはまる場合はステップＳ２１０に各々進む。

ステップＳ２０２で、受信したメッセージが一次フィルタ定義１２６に当てはまらない場合（ステップＳ２０２がノー）、フィルタ部１１３がそのメッセージにフィルタ定義１２１を適用し、このメッセージのタイプおよび対象機器に対応する監視サーバ１０がこのメッセージをシステム管理者に通知するか否かを決定して（ステップＳ２０３）ステップＳ２０４に進む。そして、引き続いてメッセージ正規化部１１４が、メッセージにメッセージ正規化ルール１２２を適用して、そのメッセージの種類名１１４ａを抽出する（ステップＳ２０４）。抽出された種類名１１４ａを、グループ化部１１６が事象ごとにグループ化する（ステップＳ２０５）。

そして、グループ化された種類名１１４ａを、パターン照合部１１８がパターン定義１２３と照合し、パターン定義１２３に該当するパターンが登録されているか否かを判断する（ステップＳ２０６）。登録されていれば、対策情報出力部１１９が該当するＩＤ１２３ａに対応する対処方法１２５ａを監視端末２０に出力して（ステップＳ２０７）、ステップＳ２０１からの処理を繰り返す。

ステップＳ２０５で、該当するパターンがパターン定義１２３に登録されていなければ、一次フィルタ抽出部１１５がそのグループ化された種類名１１４ａでパターン定義１２３に含まれていない内容を一次フィルタ定義１２６として作成する（ステップＳ２０８）。そして、その一次フィルタ定義１２６に含まれる内容に関して、監視要求部１１７がそれに該当する監視対象装置３０に対してその項目についての監視を依頼して（ステップＳ２０９）、ステップＳ２０１からの処理を繰り返す。この監視を依頼された監視対象装置３０は、該当する項目について、所定の監視間隔に関わらず優先的に監視サーバ１０に報告する。

ステップＳ２０２で、受信したメッセージが一次フィルタ定義１２６に当てはまる場合（ステップＳ２０２がイエス）、一次フィルタ抽出部１１５が一次フィルタ定義１２６からその当てはまる内容を削除し（ステップＳ２１０）、ステップＳ２０４に進む。

図５は、図１に示したネットワーク運用管理システム１で、図３に示した初期データの例に対して実際に観測されたメッセージ１３１および１３２の例を示す説明図である。メッセージには、発生日時、タイプ名（１２４ｂ，１２１ａ，１２２ａに対応）、メッセージ本文（１２１ｃに対応）の各データを含む。以後、メッセージ１３１に含まれる各データを発生日時１３１ａ、タイプ名１３１ｂ、メッセージ本文１３１ｃといい、メッセージ１３１より後の時点で送信されたメッセージ１３２に含まれる各データを発生日時１３２ａ、タイプ名１３２ｂ、メッセージ本文１３２ｃということにする。

メッセージ１３１は、発生日時１３１ａ「西暦２０１１年４月１１日０時１分０秒」に発生したタイプ名１３１ｂ「ログ監視」、メッセージ本文１３１ｃ「ＤＢＥＲＲＯＲ１：データベースとの接続が切断しました」という内容のメッセージである。ここでいうデータベースとは、データベースサーバ３２のことである。このメッセージ１３１は、アプリケーションサーバ３３で発生したものである。

監視サーバ１０では、アラート受信部１１１がメッセージ１３１を受けて（ステップＳ２０１）、これに反応した一次フィルタ部１１２がメッセージ１３１に一次フィルタ定義１２６を適用して当てはまるか否かを判定する（ステップＳ２０２）が、この時点では一次フィルタ定義１２６が空欄であるので、当てはまらない場合のステップＳ２０３に処理が進む。

これを受けたフィルタ部１１３がメッセージ１３１にフィルタ定義１２１を適用し、このメッセージのタイプおよび対象機器に対応する監視サーバ１０がこのメッセージをシステム管理者に通知するか否かを決定する（ステップＳ２０３）。この場合はフィルタ定義１２１の１行目のタイプ１２１ａ「ログ監視」に該当するので、通知要否１２１ｄは「通知する」となる。

引き続いて、ステップＳ２０４がメッセージ１３１にメッセージ正規化ルール１２２を適用して、そのメッセージの種類名１１４ａを抽出する（ステップＳ２０４）。この場合はメッセージ正規化ルール１２２の１行目のタイプ１２２ａ「ログ監視」に該当するので、これに対応する抽出条件１２２ｂにある通り、メッセージ本文１３１ｃの「：より左側の文字列を抽出」して、種類名１１４ａは「ＤＢＥＲＲＯＲ１」となる。

引き続いて、グループ化部１１６が種類名１１４ａ「ＤＢＥＲＲＯＲ１」をグループ化する（ステップＳ２０５）。この場合は、「ＤＢＥＲＲＯＲ１」だけをグループＡ１４１とする。図６は、図１に示したネットワーク運用管理システム１で、図５に示したメッセージ１３１および１３２に対応してグループ化部１１６が作成したグループＡ１４１およびグループＢ１４２の内容について示す説明図である。グループＢ１４２の内容については後述する。

そして、ステップＳ２０５で作成されたグループＡ１４１に対して、パターン照合部１１８がパターン定義１２３と照合し、パターン定義１２３に該当するパターンが登録されているか否かを判断する（ステップＳ２０６）。この場合は、パターン定義１２３に該当するパターンが登録されていないが、ＩＤ１２３ａ＝「１」で示される対象機器１２３ｂのパターングループのうちの一方が「ＤＢＥＲＲＯＲ１」である。もう一方が「ＳＷＥＲＲＯＲ１」である。

従って、ここではステップＳ２０８〜２０９に進み、ＩＤ１２３ａ＝「１」で示される対象機器１２３ｂのパターングループに含まれていてグループＡ１４１に含まれていない内容である「ＳＷＥＲＲＯＲ１」について一次フィルタ定義１２６を作成し（ステップＳ２０８）、その「ＳＷＥＲＲＯＲ１」に該当するネットワークスイッチ３１に、その内容を監視するよう要求する（ステップＳ２０９）。この監視を依頼されたネットワークスイッチ３１は、「ＳＷＥＲＲＯＲ１」に該当する項目について、所定の監視間隔に関わらず優先的に監視サーバ１０に報告する。

図７は、図１に示したネットワーク運用管理システム１で、図５に示したメッセージ１３１に対応して一次フィルタ抽出部１１５が作成した一次フィルタ定義１２６について示す説明図である。一次フィルタ定義１２６は、フィルタ定義１２１から一次フィルタ抽出部１１５が抽出して作成するデータであるので、データ項目はフィルタ定義１２１と同一である。換言すれば、一次フィルタ定義１２６は、フィルタ定義１２１と同一のデータ項目を、対象機器１２３ｂのパターングループに含まれていてグループＡ１４１に含まれていない内容について抽出したものである。「ＳＷＥＲＲＯＲ１」は、ネットワークスイッチ３１で発生したエラーである。

図５に示したメッセージ１３２は、上記のステップＳ２０９の要求に対応して、ネットワークスイッチ３１が送信したメッセージである。その内容は、発生日時１３２ａ「西暦２０１１年４月１１日０時１分１秒」に発生したタイプ名１３２ｂ「ネットワーク監視」、メッセージ本文１３１ｃ「ＳＷＥＲＲＯＲ１：ネットワークスイッチのポート１番が故障しました」というものである。

この場合、ステップＳ２０２までは上記と同様に動作するが、ステップＳ２０２の判断で、メッセージ１３２の内容が一次フィルタ定義１２６に合致するので、ステップＳ２１０に進んで、一次フィルタ定義１２６の内容は削除される（ステップＳ２１０）。そして、ステップＳ２０４に進んで、メッセージの種類名１１４ａ「ＳＷＥＲＲＯＲ１」が抽出され（ステップＳ２０４）、グループ化部１１６が種類名１１４ａ「ＤＢＥＲＲＯＲ１」と「ＳＷＥＲＲＯＲ１」とを含む新たなグループＢ１４２を作成する（ステップＳ２０５）。

このグループＢ１４２は、ステップＳ２０６の判断で、パターン定義１２３のＩＤ１２３ａ＝「１」で示されるパターングループ１２３ｂに該当する。そこでステップＳ２０６の判断で、ステップＳ２０７に進み、対策情報出力部１１９がＩＤ１２３ａ＝「１」に該当する対処方法１２５ａ＝「ネットワークスイッチを交換する」を検索し、監視端末２０に出力して（ステップＳ２０７）、ステップＳ２０１からの処理を繰り返す。

（第１の実施形態の全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。本実施形態に係るネットワーク監視方法は、複数の監視対象装置と、各監視対象装置で行われた動作について示すデータであるイベントを受信して各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムにあって、各監視対象装置からイベントの発生を示すメッセージをネットワーク監視サーバのアラート受信部が受信し（図４・ステップＳ２０１）、メッセージをネットワーク監視サーバのグループ化部が事象ごとにグループ化し（図４・ステップＳ２０５）、グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かをネットワーク監視サーバのパターン照合部が判断し（図４・ステップＳ２０６）、グループ化されたメッセージがパターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報をネットワーク監視サーバの対策情報出力部が出力し（図４・ステップＳ２０７）、グループ化されたメッセージに含まれてかつパターン定義に含まれない内容のイベントをネットワーク監視サーバの一次フィルタ抽出部が一次フィルタとして抽出し（図４・ステップＳ２０８）、一次フィルタとして抽出されたイベントの発生をネットワーク監視サーバの監視要求部が該当する監視対象装置に監視させ（図４・ステップＳ２０９）、改めて受信されたメッセージに対してグループ化の処理より先にネットワーク監視サーバの一次フィルタ部が一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する（図４・ステップＳ２０２）。

ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するコンピュータであるネットワーク監視サーバ１０に実行させるようにしてもよい。本プログラムは、非一時的な記録媒体、例えば、ＤＶＤ、ＣＤ、フラッシュメモリ等に記録されてもよい。その場合、本プログラムは、記録媒体からコンピュータによって読み出され、実行される。 この動作により、本実施形態は以下のような効果を奏する。

本実施形態は、上記したように、複数のイベントが複合的に原因となる不具合について、その原因の一部となるイベントが発生したら、それ以外の該当するイベントを一次フィルタとして抽出して優先的に監視し、これに該当するイベントを該当する機器に監視させるように構成した。このことにより、該当するイベントが発生したら優先的に検出されるので、通常のフィルタ定義の中で検出するよりもフィルタリングにかかる処理の分量を軽減して、迅速かつ軽快に検出処理を行うことができる。

これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。

上述した実施形態について、その新規な技術内容の要点をまとめると、以下のようになる。なお、上記実施形態の一部または全部は、新規な技術として以下のようにまとめられるが、本発明は必ずしもこれに限定されるものではない。

（付記１） 複数の監視対象装置と、前記各監視対象装置で行われた動作について示すデータであるイベントを受信して前記各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムであって、
前記ネットワーク監視サーバが、
前記各監視対象装置から前記イベントの発生を示すメッセージを受信するアラート受信部と、前記メッセージを事象ごとにグループ化するグループ化部と、前記グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断するパターン照合部と、前記グループ化されたメッセージが前記パターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する対策情報出力部とを備えると共に、
前記グループ化されたメッセージに含まれてかつ前記パターン定義に含まれない内容のイベントを一次フィルタとして抽出する一次フィルタ抽出部と、
前記一次フィルタとして抽出されたイベントの発生を該当する前記監視対象装置に監視させる監視要求部と、
前記グループ化部による処理より先に前記メッセージに前記一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する一次フィルタ部と
を備えることを特徴とするネットワーク運用管理システム。

（付記２） 予め記憶されたフィルタ定義に基づいて前記各監視対象装置から受信した前記メッセージの内容に対応して前記メッセージの通知の要否を決定するフィルタ部と、
前記メッセージから前記イベントの内容を示す種類名を抽出するメッセージ正規化部とを備えると共に、
前記グループ化部が前記メッセージから抽出された種類名を事象ごとにグループ化することを特徴とする、付記１に記載のネットワーク運用管理システム。

（付記３） 前記一次フィルタ抽出部が、前記一次フィルタに該当する内容のイベントが検出された場合に該一次フィルタの当該検出に係る項目を削除する機能を有することを特徴とする、付記１に記載のネットワーク運用管理システム。

（付記４） 前記監視要求部から前記一次フィルタとして抽出されたイベントの発生を監視するよう依頼された前記監視対象装置が、前記イベントの発生を検出した場合にこれを示すメッセージを予め与えられた監視間隔に関わらず前記ネットワーク監視サーバに送信することを特徴とする、付記１に記載のネットワーク運用管理システム。

（付記５） 複数の監視対象装置と相互に接続され、前記各監視対象装置で行われた動作について示すデータであるイベントを受信して前記各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバであって、
前記各監視対象装置から前記イベントの発生を示すメッセージを受信するアラート受信部と、前記メッセージを事象ごとにグループ化するグループ化部と、前記グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断するパターン照合部と、前記グループ化されたメッセージが前記パターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する対策情報出力部とを備えると共に、
前記グループ化されたメッセージに含まれてかつ前記パターン定義に含まれない内容のイベントを一次フィルタとして抽出する一次フィルタ抽出部と、
前記一次フィルタとして抽出されたイベントの発生を該当する前記監視対象装置に監視させる監視要求部と、
前記フィルタ部による処理より先に前記メッセージに前記一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する一次フィルタ部と
を備えることを特徴とするネットワーク監視サーバ。

（付記６） 複数の監視対象装置と、前記各監視対象装置で行われた動作について示すデータであるイベントを受信して前記各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムにあって、
前記各監視対象装置から前記イベントの発生を示すメッセージを前記ネットワーク監視サーバのアラート受信部が受信し、
前記メッセージを前記ネットワーク監視サーバのグループ化部が事象ごとにグループ化し、
前記グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを前記ネットワーク監視サーバのパターン照合部が判断し、
前記グループ化されたメッセージが前記パターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を前記ネットワーク監視サーバの対策情報出力部が出力し、
前記グループ化されたメッセージに含まれてかつ前記パターン定義に含まれない内容のイベントを前記ネットワーク監視サーバの一次フィルタ抽出部が一次フィルタとして抽出し、
前記一次フィルタとして抽出されたイベントの発生を前記ネットワーク監視サーバの監視要求部が該当する前記監視対象装置に監視させ、
改めて受信された前記メッセージに対して前記グループ化の処理より先に前記ネットワーク監視サーバの一次フィルタ部が前記一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する
ことを特徴とするネットワーク監視方法。

（付記７） 複数の監視対象装置と、前記各監視対象装置で行われた動作について示すデータであるイベントを受信して前記各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムにあって、
前記ネットワーク監視サーバが備えるコンピュータに、
前記各監視対象装置から前記イベントの発生を示すメッセージを受信する手順、
前記メッセージを事象ごとにグループ化する手順、
前記グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断する手順、
前記グループ化されたメッセージが前記パターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する手順、
前記グループ化されたメッセージに含まれてかつ前記パターン定義に含まれない内容のイベントを一次フィルタとして抽出する手順、
前記一次フィルタとして抽出されたイベントの発生を該当する前記監視対象装置に監視させる手順、
および改めて受信された前記メッセージに対して前記グループ化の処理より先に前記一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する手順
を実行させることを特徴とするネットワーク監視プログラム。

本発明は、コンピュータネットワークに対して幅広く適用することが可能である。

１ ネットワーク運用管理システム
１０ 監視サーバ
１１ 主演算制御手段
１２ 記憶手段
１３ 通信手段
２０ 監視端末
３０ 監視対象装置
３１ ネットワークスイッチ
３２ データベースサーバ
３３ アプリケーションサーバ
４０ ネットワーク
１１１ アラート受信部
１１２ 一次フィルタ部
１１３ フィルタ部
１１４ メッセージ正規化部
１１５ 一次フィルタ抽出部
１１６ グループ化部
１１７ 監視要求部
１１８ パターン照合部
１１９ 対策情報出力部
１２１ フィルタ定義
１２２ メッセージ正規化ルール
１２３ パターン定義
１２４ 関連情報
１２５ 対策情報
１２６ 一次フィルタ定義
１３１，１３２ メッセージ
１４１ グループＡ
１４２ グループＢ

Claims (7)

1. 複数の監視対象装置と、前記各監視対象装置で行われた動作について示すデータであるイベントを受信して前記各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムであって、
   前記ネットワーク監視サーバが、
   前記各監視対象装置から前記イベントの発生を示すメッセージを受信するアラート受信部と、前記メッセージを事象ごとにグループ化するグループ化部と、前記グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断するパターン照合部と、前記グループ化されたメッセージが前記パターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する対策情報出力部とを備えると共に、
   前記グループ化されたメッセージに含まれてかつ前記パターン定義に含まれない内容のイベントを一次フィルタとして抽出する一次フィルタ抽出部と、
   前記一次フィルタとして抽出されたイベントの発生を該当する前記監視対象装置に監視させる監視要求部と、
   前記グループ化部による処理より先に前記メッセージに前記一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する一次フィルタ部と
   を備えることを特徴とするネットワーク運用管理システム。
2. 予め記憶されたフィルタ定義に基づいて前記各監視対象装置から受信した前記メッセージの内容に対応して前記メッセージの通知の要否を決定するフィルタ部と、
   前記メッセージから前記イベントの内容を示す種類名を抽出するメッセージ正規化部とを備えると共に、
   前記グループ化部が前記メッセージから抽出された種類名を事象ごとにグループ化することを特徴とする、請求項１に記載のネットワーク運用管理システム。
3. 前記一次フィルタ抽出部が、前記一次フィルタに該当する内容のイベントが検出された場合に該一次フィルタの当該検出に係る項目を削除する機能を有することを特徴とする、請求項１に記載のネットワーク運用管理システム。
4. 前記監視要求部から前記一次フィルタとして抽出されたイベントの発生を監視するよう依頼された前記監視対象装置が、前記イベントの発生を検出した場合にこれを示すメッセージを予め与えられた監視間隔に関わらず前記ネットワーク監視サーバに送信することを特徴とする、請求項１に記載のネットワーク運用管理システム。
5. 複数の監視対象装置と相互に接続され、前記各監視対象装置で行われた動作について示すデータであるイベントを受信して前記各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバであって、
   前記各監視対象装置から前記イベントの発生を示すメッセージを受信するアラート受信部と、前記メッセージを事象ごとにグループ化するグループ化部と、前記グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断するパターン照合部と、前記グループ化されたメッセージが前記パターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する対策情報出力部とを備えると共に、
   前記グループ化されたメッセージに含まれてかつ前記パターン定義に含まれない内容のイベントを一次フィルタとして抽出する一次フィルタ抽出部と、
   前記一次フィルタとして抽出されたイベントの発生を該当する前記監視対象装置に監視させる監視要求部と、
   前記フィルタ部による処理より先に前記メッセージに前記一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する一次フィルタ部と
   を備えることを特徴とするネットワーク監視サーバ。
6. 複数の監視対象装置と、前記各監視対象装置で行われた動作について示すデータであるイベントを受信して前記各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムにあって、
   前記各監視対象装置から前記イベントの発生を示すメッセージを前記ネットワーク監視サーバのアラート受信部が受信し、
   前記メッセージを前記ネットワーク監視サーバのグループ化部が事象ごとにグループ化し、
   前記グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを前記ネットワーク監視サーバのパターン照合部が判断し、
   前記グループ化されたメッセージが前記パターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を前記ネットワーク監視サーバの対策情報出力部が出力し、
   前記グループ化されたメッセージに含まれてかつ前記パターン定義に含まれない内容のイベントを前記ネットワーク監視サーバの一次フィルタ抽出部が一次フィルタとして抽出し、
   前記一次フィルタとして抽出されたイベントの発生を前記ネットワーク監視サーバの監視要求部が該当する前記監視対象装置に監視させ、
   改めて受信された前記メッセージに対して前記グループ化の処理より先に前記ネットワーク監視サーバの一次フィルタ部が前記一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する
   ことを特徴とするネットワーク監視方法。
7. 複数の監視対象装置と、前記各監視対象装置で行われた動作について示すデータであるイベントを受信して前記各監視対象装置で発生した不具合の原因を特定するネットワーク監視サーバとが相互に接続されて構成されるネットワーク運用管理システムにあって、
   前記ネットワーク監視サーバが備えるコンピュータに、
   前記各監視対象装置から前記イベントの発生を示すメッセージを受信する手順、
   前記メッセージを事象ごとにグループ化する手順、
   前記グループ化されたメッセージを予め記憶されたパターン定義と照合して当該パターン定義に該当するか否かを判断する手順、
   前記グループ化されたメッセージが前記パターン定義に該当する場合にこのパターン定義に対応して予め記憶された対策情報を出力する手順、
   前記グループ化されたメッセージに含まれてかつ前記パターン定義に含まれない内容のイベントを一次フィルタとして抽出する手順、
   前記一次フィルタとして抽出されたイベントの発生を該当する前記監視対象装置に監視させる手順、
   および改めて受信された前記メッセージに対して前記グループ化の処理より先に前記一次フィルタを適用して該一次フィルタに該当する内容のイベントが発生したか否かを検出する手順
   を実行させることを特徴とするネットワーク監視プログラム。

Images