JP2016012193A - 抽出方法、装置、及びプログラム - Google Patents

Abstract

【課題】監視対象の処理装置から得られる異なる種類の情報を、処理装置で発生した異常に関連付けて抽出する方法、装置、プログラムを提供する。【解決手段】構成変更パターン分析部４３が、処理装置の構成を示す構成ログを、構成が変更された時刻間で表される世代毎に取得し、世代間で変更された構成を示す構成変更パターンを抽出する。時系列異常分析部４１が、処理装置の各時刻における各種性能を示す性能ログを取得し、取得した性能ログの時系列変化において異常が検出された時刻を、世代に関連付けて時系列異常として抽出する。パターン異常分析部４２が、処理装置において各時刻で発生するイベントログを取得し、異常が検出されたイベントログが発生した時刻を、世代に関連付けてパターン異常として抽出する。関連分析部４４が、各情報の時系列的な関連及び世代の同一性に基づいて、関連のあるパターン異常、時系列異常、及び構成変更パターンを抽出する。【選択図】図２

Description

本発明は、抽出方法、抽出装置、及び抽出プログラムに関する。

従来、ユーザ側で運用しているシステムを監視し、システムに異常が発生したことを検知した場合に、ユーザ側のシステム管理者等に異常の発生を通知するサービスが行われている。システムでの異常発生を検知する方法として、システムで発生するイベントログの発生状況やイベントログの内容を解析して検知する方法がある。そして、システムの異常が検知されると、システムの構成や性能等の情報に基づいて、異常の原因を推定することが行われている。

特開２００７−２９３３９３号公報 国際公開第２００４／０６１６８１号パンフレット

しかしながら、システムの構成を示す情報、性能を示す情報、及びイベントログは、それぞれ異なる情報であり、それぞれの情報の関連性も不明確である。そのため、システムに発生した異常の原因を推定するためには、人間の作業により、これらの情報の関連性を判断する必要がある。しかし、システムの構成を示す情報、性能を示す情報、及びイベントログの各種情報の情報量は膨大であるため、各種情報の関連性を人間の作業により判断することは、膨大な時間を要し、非効率的である、という問題がある。

本発明は、一つの側面として、監視対象の処理装置から得られる異なる種類の情報を、処理装置で発生した異常に関連付けて抽出することを目的とする。

一つの態様として、処理装置の構成を示す構成情報を、構成が変更された時刻間で表される世代毎に取得し、取得した複数世代分の構成情報に基づいて、世代間で変更された構成を示す第１情報を抽出する。また、前記処理装置の各時刻における各種性能を示す性能情報を取得し、取得した性能情報の時系列変化において異常が検出された時刻を、前記世代に関連付けて第２情報として抽出する。さらに、前記処理装置において各時刻で発生するイベントを示すイベント情報を取得し、異常が検出されたイベント情報が発生した時刻を、前記世代に関連付けて第３情報として抽出する。そして、関連のある前記第１情報、前記第２情報、及び前記第３情報を抽出する。各情報の関連は、前記第１情報が示す世代及び該世代の構成に変更された時刻、前記第２情報が示す時刻及び前記第２情報に関連付けられた世代、並びに前記第３情報が示す時刻及び前記第３情報に関連付けられた世代に基づく。

一つの側面として、監視対象の処理装置から得られる異なる種類の情報を、処理装置で発生した異常に関連付けて抽出することができる、という効果を有する。

第１及び第２実施形態に係る抽出装置を含むシステム構成を示す概略図である。 第１実施形態に係る抽出装置の機能ブロック図である。 イベントログの一例を示す図である。 性能ログの一例を示す図である。 構成ログの一例を示す図である。 共通形式データテーブルの一例を示す図である。 時系列異常分析を説明するための図である。 時系列異常テーブルの一例を示す図である。 共通形式データテーブルの一例を示す図である。 パターン異常テーブルの一例を示す図である。 世代表の一例を示す図である。 キーリストの一例を示す図である。 構成変更パターンテーブルの一例を示す図である。 抽出結果リストの一例を示す図である。 第１及び第２実施形態に係る抽出装置として機能するコンピュータの概略構成を示すブロック図である。 抽出処理の一例を示すフローチャートである。 共通形式変換処理の一例を示すフローチャートである。 第１実施形態における分析処理の一例を示すフローチャートである。 構成変更パターン分析処理の一例を示すフローチャートである。 構成変更パターン分析処理の一例を示すフローチャートである。 関連分析処理の一例を示すフローチャートである。 パターン異常、時系列異常、及び構成変更パターンの横断的な関連を説明するための図である。 構成変更パターンの他の抽出例を説明するための図である。 第２実施形態に係る抽出装置の機能ブロック図である。 イベント化ルールテーブルの一例を示す図である。 イベント生成部の処理対象となる共通形式データの一例を示す図である。 生成したイベントの一例を示す図である。 第２実施形態におけるパターン異常分析部の分析対象となる共通形式データの一例を示す図である。 第２実施形態における分析処理の一例を示すフローチャートである。

以下、図面を参照して開示の技術に係る実施形態の一例を詳細に説明する。

＜第１実施形態＞
図１に示すように、第１実施形態に係る抽出装置１０は、インターネット等のネットワーク１２を介して、複数の処理装置１６を有する処理システム１４と接続される。

図２に、抽出装置１０の機能ブロック図を示す。図２に示すように、抽出装置１０は、収集部２０と、共通形式変換部３０と、分析部４０と、結果出力部５０とを含む。収集部２０はさらに、イベントログ収集部２１と、性能ログ収集部２２と、構成ログ収集部２３と含む。また、分析部４０はさらに、時系列異常分析部４１と、パターン異常分析部４２と、構成変更パターン分析部４３と、関連分析部４４とを含む。なお、時系列異常分析部４１は、本発明の第２情報抽出部の一例である。また、パターン異常分析部４２は、本発明の第３情報抽出部の一例である。また、構成変更パターン分析部４３は、本発明の第１情報抽出部の一例である。また、関連分析部４４は、本発明の関連抽出部の一例である。

イベントログ収集部２１は、処理装置１６で発生した事象（イベント）を記録したイベントログを、各処理装置１６から収集する。図３にイベントログの一例を示す。図３に示すイベントログは、処理装置１６の起動時のイベントを記録したイベントログの一例である。イベントログ収集部２１は、このようなイベントログを、処理装置１６の識別情報（処理装置ＩＤ、図３の例では「ｗｅｂ０１」）と共に収集する。

性能ログ収集部２２は、処理装置１６のＣＰＵやメモリ等のリソースの利用率などを示す性能ログを収集する。図４に性能ログの一例を示す。図４に示す性能ログは、処理装置１６が有する識別情報「１」で識別されるＣＰＵの利用率等を表す性能ログの一例である。性能ログ収集部２２は、このような性能ログを、処理装置１６の識別情報（処理装置ＩＤ、図４の例では「ｗｅｂ０１」）と共に収集する。

構成ログ収集部２３は、処理装置１６を構成するハードウェアの構成、及び処理装置１６にインストールされているオペレーティングシステム（Operating System、ＯＳ）やアプリケーション等のソフトウェアの構成を示す構成ログを収集する。図５に構成ログの一例を示す。図５に示す構成ログは、処理装置１６にインストールされているプログラムの一覧が記録された構成ログの例である。構成ログ収集部２３は、このような構成ログを、処理装置１６の識別情報（処理装置ＩＤ、図５の例では「ｗｅｂ０１」）及び構成ログが示す構成の世代の情報（図５の例では「世代：１」）と共に収集する。

なお、処理装置１６の構成は、定期的なタイミング（例えば１ヶ月毎）または変更の必要が生じたタイミングで変更される。本実施形態では、処理装置１６の構成が変更された時点から次に構成が変更された時点までの期間を、構成の１つの世代として取り扱う。また、本実施形態では、例えば、運用側（処理装置１６を使用するユーザ側）から構成変更を行った日時情報を取得するなどして、抽出装置１０に、各世代の開始を示す日時情報を保持しておく。

共通形式変換部３０は、イベントログ収集部２１、性能ログ収集部２２、及び構成ログ収集部２３の各々で収集されたログを受け取り、受け取った各ログを、共通形式に変換する。例えば、共通形式としては、「世代」、「日時」、「位置」、「キー」、及び「内容」の各項目に対応する値を有する形式とすることができる。「位置」とは、どこに配置され処理装置１６から収集したログかを示す情報で、例えば処理装置ＩＤの値が対応する。「キー」とは、「内容」の項目に対応する値の種類を分類可能な情報である。

具体的には、共通形式変換部３０は、受け取ったログを、例えば行単位などの所定単位に分割したり、受け取ったログから予め定めたルールに従って一部を抽出したりすることにより、共通形式に対応した所定単位で各データを抽出する。共通形式変換部３０は、例えば図６に示すように、各列に共通形式の各項目を対応させた共通形式データテーブル６１に、ログから抽出したデータに含まれる値を記録することにより、ログから抽出したデータを共通形式に変換する。すなわち、共通形式データテーブル６１の各行が、共通形式に変換されたデータ（以下、「共通形式データ」という）となる。なお、共通形式データの項目のうち、ログから抽出されたデータが対応する値を有さない項目はブランクにしておく。また、データの抽出元のログの種別に応じて、各データが有する値は異なるため、共通形式変換部３０は、抽出元のログの種別に応じて、ログから抽出されたデータが有する各値を共通形式のどの項目に対応させるかを予め定義しておく。

より具体的には、共通形式変換部３０は、例えば図３に示すようなイベントログから、日時情報（図３の破線部分）を区切りとして各データを抽出し、抽出したデータの日時情報を共通形式データテーブル６１の「日時」の項目に記録する。また、共通形式変換部３０は、ログから抽出したデータの日時情報以外のメッセージ部分を「内容」の項目に記録する。また、共通形式変換部３０は、ログと共に収集された処理装置ＩＤを共通形式データテーブル６１の「位置」の項目に記録する。さらに、共通形式変換部３０は、抽出装置１０で保持している各世代の開始を示す日時情報と、ログから抽出されたデータが有する日時情報とに基づいて、各データの抽出元のログが、処理装置１６の構成が何世代のときに発生または収集されたログかを判定する。そして、判定した世代数を、共通形式データテーブル６１の「世代」の項目に記録する。図６中のＡで示す行は、イベントログから抽出されたデータを変換した共通形式データの一例である。

また、共通形式変換部３０は、例えば図４に示すような性能ログから、性能の項目のそれぞれを、日時情報及びＣＰＵの識別情報と共に、１つのデータとして抽出する。そして、抽出したデータの日時情報を共通形式データテーブル６１の「日時」の項目に記録し、ＣＰＵの識別情報と性能の項目名との組合せを「キー」の項目に記録し、性能の項目の値を「内容」の項目に記録する。また、共通形式変換部３０は、上記と同様に、「世代」及び「位置」の項目も記録する。図６中のＢで示す行は、性能ログから抽出されたデータを変換した共通形式データの一例である。

また、共通形式変換部３０は、例えば図５に示すような構成ログから、要素（例えば１つのプログラム、図５の例では、２行目以降の各行）のそれぞれを、見出し行（例えば１行目）と共に１つのデータとして抽出する。そして、抽出したデータの見出し行の値を共通形式データテーブル６１の「キー」の項目に記録し、各要素の値を「内容」の項目に記録する。また、共通形式変換部３０は、抽出元の構成ログと共に収集された世代の情報及び処理装置ＩＤを、共通形式データテーブル６１の「世代」及び「位置」の項目に記録する。図６中のＣで示す行が、構成ログから抽出されたデータを変換した共通形式データの一例である。

時系列異常分析部４１は、共通形式データテーブル６１に記録された共通形式データのうち、「日時情報」の項目がブランクではなく、かつ「内容」の項目が数値を有する共通形式データを抽出する。時系列異常分析部４１は、抽出した共通形式データが有する数値の時系列変化における異常（以下、「時系列異常」という）の有無を分析する。数値を有する共通形式データは、主には、性能ログ収集部２２で収集された性能ログから抽出されたデータを変換した共通形式データであるが、これに限定されない。なお、例えば図４に示すようなＣＰＵの性能を示す性能ログから抽出されたデータを変換した共通形式データに基づいて時系列異常を分析することで、ＣＰＵに異常が生じているか否かを判定することができる。

時系列異常分析部４１は、具体的には、「キー」及び「位置」が同一の共通形式データが有する数値を日時情報順に並べた系列において、例えばアノマリ分析を利用して検出される変化点を、時系列異常が発生している箇所として抽出する。変化点は、例えば図７に示すように、数値が急激に変化する点や、数値の変化パターンが予め定めた正常な変化パターンに合致しない点等とすることができる。時系列異常分析部４１は、時系列異常を抽出した箇所に対応する日時情報に識別情報（時系列異常ＩＤ）を付与して時系列異常を示す情報とし、例えば図８に示すような時系列異常テーブル６２に記録する。また、時系列異常分析部４１は、保持している世代の開始の日時情報に基づいて、時系列異常の日時情報が含まれる世代を判定し、判定した世代数を時系列異常の情報に対応付けて記録する。

パターン異常分析部４２は、共通形式データテーブル６１に記録された共通形式データのうち、「日時情報」の項目がブランクではなく、かつ「内容」の項目が数値ではない共通形式データを抽出する。パターン異常分析部４２は、抽出した共通形式データが、どのようなパターンで出現しているかに基づいて、出現パターンの異常（以下、「パターン異常」という）の有無を分析する。第１実施形態では、イベントログから抽出したデータを変換した共通形式データが、パターン異常の分析対象の共通形式データとして、共通形式データテーブル６１から抽出される。

また、イベントログから抽出したデータを変換した共通形式データは、図６のＡの行に示すように、「キー」の項目がブランクとなっている。そこで、パターン異常分析部４２は、まず、抽出した共通形式データについて、「内容」の項目に記録された値に基づいて、各共通形式データを分類可能なキーを生成する。例えば、複数の単語とキーとの組を複数定義した辞書を予め用意しておく。そして、抽出した共通形式データの「内容」の項目に含まれる単語が、辞書に定義されたいずれかの組の複数の単語を所定割合以上被覆する場合に、その組のキーを、該当の共通形式データのキーとして生成することができる。パターン異常分析部４２は、例えば図９中の破線部分に示すように、共通形式データテーブル６１においてブランクとなっていた「キー」の項目に、生成したキーを記録する。

また、パターン異常分析部４２は、該当の共通形式データについて生成したキーを日時情報順に並べた系列で表されるパターンを分析する。例えば、繰り返し出現する同一のパターンを抽出し、このパターンに合致しないパターンが出現した場合に、パターン異常として抽出することができる。パターン異常分析部４２は、パターン異常を抽出した箇所に対応するキーを有する共通形式データの日時情報に識別情報（パターン異常ＩＤ）を付与してパターン異常を示す情報とし、例えば図１０に示すようなパターン異常テーブル６３に記録する。また、パターン異常分析部４２は、保持している世代の開始の日時情報に基づいて、パターン異常の日時情報が含まれる世代を判定し、判定した世代数をパターン異常の情報に対応付けて記録する。

構成変更パターン分析部４３は、共通形式データテーブル６１に記録された共通形式データのうち、構成ログから抽出されたデータを変換した共通形式データを用いて、構成変更パターンを分析する。構成変更パターンは、構成の各要素（例えば各プログラム）がどの世代で変更されたかを示す情報である。処理装置１６の構成を変更した際の設定等に誤りがあった場合には、処理装置１６に異常が発生する原因の一つとなるため、構成変更パターンを抽出しておくことで、処理装置１６に異常が発生した際の原因の推定が容易になる。

構成変更パターン分析部４３は、共通形式データテーブル６１に記録された共通形式データのうち、時系列異常分析部４１及びパターン異常分析部４２の分析の対象とならないデータを抽出する。本実施形態では、構成ログから抽出されたデータを変換した共通形式のデータが抽出される。構成変更パターン分析部４３は、抽出した各共通形式データを、「キー」及び「位置」が同一で日時情報が古い他の共通形式データと比較して、世代毎に値の変化があったか否かを示す世代表６４を作成する。例えば、図１１に示すように、抽出した共通形式データのキーを各行に対応させ、各世代を各列に対応させた表を世代表６４とすることができる。また、各キーに対して識別情報（キーＩＤ）を付与する。図１１の例では、世代表６４の各マスには、そのマスの行に対応するキーを有する共通形式データの「内容」の値が同一の世代間では同一の値が設定され、共通形式データの「内容」の値が異なる世代間では異なる値が設定される。

構成変更パターン分析部４３は、作成した世代表６４に基づいて、処理装置１６の構成の世代間で値が変化した共通形式データの情報を抽出する。具体的には、構成変更パターン分析部４３は、世代表６４において、世代ｇの列に設定された値と世代ｇ−１の列に設定された値とが異なる行（図１１中のＡ）に対応するキーに付与されたキーＩＤを抽出し、例えば図１２に示すようなキーリスト６５に記録する。構成変更パターン分析部４３は、世代毎に抽出したキーＩＤを列挙したものを構成変更パターンとし、識別情報（構成変更パターンＩＤ）を付与する。

なお、世代表６４における分析対象の各世代の全ての値が異なる行（図１１中のＢ）は、構成が変更される毎に設定が変更されることが正常であることを表していると判断して、構成変更パターンの抽出から除外する。また、構成変更パターン分析部４３は、抽出した構成変更パターンに含まれる世代と、保持している世代の開始の日時情報とに基づいて、構成変更パターンに対応する日時情報を判定する。構成変更パターン分析部４３は、例えば図１３に示すような構成変更パターンテーブル６６に、判定した日時情報に構成変更パターンＩＤを付与して、構成変更パターンを示す情報として記録する。また、構成変更パターン分析部４３は、構成変更パターンＩＤが示す構成変更パターンに含まれる世代を、構成変更パターンの情報に対応付けて記録する。

関連分析部４４は、時系列異常分析部４１で抽出された時系列異常、パターン異常分析部４２で抽出されたパターン異常、及び構成変更パターン分析部４３で抽出された構成変更パターンの関連を分析し、関連のある情報群を１組とする抽出結果を出力する。具体的には、関連分析部４４は、時系列異常テーブル６２及びパターン異常テーブル６３を参照する。そして、関連分析部４４は、時系列異常の日時情報がパターン異常の日時情報より前で、かつ世代が同一の時系列異常とパターン異常とのペア（以下、「時系列異常−パターン異常ペア」と表記する）を抽出する。また、関連分析部４４は、時系列異常テーブル６２及び構成変更パターンテーブル６６を参照する。そして、関連分析部４４は、構成変更パターンの日時情報が時系列異常の日時情報より前で、かつ世代が同一の時系列異常と構成変更パターンとのペア（以下、「時系列異常−構成変更パターンペア」と表記する）を抽出する。

さらに、関連分析部４４は、抽出した時系列異常−パターン異常ペア及び時系列異常−構成変更パターンペアから、共通する時系列異常を有する時系列異常−パターン異常ペアと時系列異常−構成変更パターンペアとを抽出する。関連分析部４４は、抽出した両ペアに含まれる時系列異常ＩＤ、パターン異常ＩＤ、及び構成変更パターンＩＤを列挙して、１つの抽出結果とし、識別情報（結果ＩＤ）を付与する。

結果出力部５０は、関連分析部４４で抽出した抽出結果を、例えば図１４に示すような抽出結果リスト６７にする。結果出力部５０は、抽出結果リスト６７と、抽出結果を参照するための各種テーブルとを出力する。各種テーブルは、抽出結果リスト６７に記録された時系列異常ＩＤ、パターン異常ＩＤ、及び構成変更パターンＩＤの各々の内容を参照するための時系列異常テーブル６２、パターン異常テーブル６３、及び構成変更パターンテーブル６６を含む。また、各種テーブルは、構成変更パターンを特定するためのキーリスト６５、及びキーリスト６５に記録されたキーＩＤが示すキーを特定するための世代表６４を含む。また、各種テーブルは、時系列異常、パターン異常、及び構成変更パターンの詳細を参照するための共通形式データテーブル６１を含む。

抽出装置１０は、例えば図１５に示すコンピュータ７０で実現することができる。コンピュータ７０はＣＰＵ７２、メモリ７４、不揮発性の記憶部７６、入出力インターフェース（Ｉ／Ｆ）７７、及びネットワークＩ／Ｆ７８を備えている。ＣＰＵ７２、メモリ７４、記憶部７６、入出力Ｉ／Ｆ７７、及びネットワークＩ／Ｆ７８は、バス７９を介して互いに接続されている。

記憶部７６はＨＤＤ（Hard Disk Drive）、ＳＳＤ（solid state drive）、フラッシュメモリ等によって実現できる。記憶媒体としての記憶部７６には、コンピュータ７０を抽出装置１０として機能させるための抽出プログラム１１０が記憶されている。ＣＰＵ７２は、抽出プログラム１１０を記憶部７６から読み出してメモリ７４に展開し、抽出プログラム１１０が有するプロセスを順次実行する。

抽出プログラム１１０は、収集プロセス１２０と、共通形式変換プロセス１３０と、分析プロセス１４０と、結果出力プロセス１５０とを有する。収集プロセス１２０はさらに、イベントログ収集プロセス１２１と、性能ログ収集プロセス１２２と、構成ログ収集プロセス１２３とを有する。また、分析プロセス１４０はさらに、時系列異常分析プロセス１４１と、パターン異常分析プロセス１４２と、構成変更パターン分析プロセス１４３と、関連分析プロセス１４４とを有する。

ＣＰＵ７２は、イベントログ収集プロセス１２１を実行することで、図２に示すイベントログ収集部２１として動作する。また、ＣＰＵ７２は、性能ログ収集プロセス１２２を実行することで、図２に示す性能ログ収集部２２として動作する。また、ＣＰＵ７２は、構成ログ収集プロセス１２３を実行することで、図２に示す構成ログ収集部２３として動作する。また、ＣＰＵ７２は、共通形式変換プロセス１３０を実行することで、図２に示す共通形式変換部３０として動作する。また、ＣＰＵ７２は、時系列異常分析プロセス１４１を実行することで、図２に示す時系列異常分析部４１として動作する。また、ＣＰＵ７２は、パターン異常分析プロセス１４２を実行することで、図２に示すパターン異常分析部４２として動作する。また、ＣＰＵ７２は、構成変更パターン分析プロセス１４３を実行することで、図２に示す構成変更パターン分析部４３として動作する。また、ＣＰＵ７２は、関連分析プロセス１４４を実行することで、図２に示す関連分析部４４として動作する。また、ＣＰＵ７２は、結果出力プロセス１５０を実行することで、図２に示す結果出力部５０として動作する。これにより、抽出プログラム１１０を実行したコンピュータ７０が、抽出装置１０として機能することになる。

なお、抽出装置１０は、例えば半導体集積回路、より詳しくはＡＳＩＣ（Application Specific Integrated Circuit）等で実現することも可能である。

次に、第１実施形態に係る抽出装置１０の作用について説明する。抽出装置１０では、図１６に示す抽出処理が実行される。なお、抽出装置１０は、処理装置１６の構成の各世代の開始を示す日時情報を保持しているものとする。

図１６に示す抽出処理のステップＳ１０で、イベントログ収集部２１が、各処理装置１６から、イベントログを処理装置ＩＤと共に収集する。また、性能ログ収集部２２が、各処理装置１６から、性能ログを処理装置ＩＤと共に収集する。さらに、構成ログ収集部２３が、各処理装置１６から、構成ログを処理装置ＩＤ及び世代の情報と共に収集する。次に、ステップＳ２０で、図１７に詳細を示す共通形式変換処理が実行される。

図１７に示す共通形式変換処理のステップＳ２１で、共通形式変換部３０が、イベントログ収集部２１、性能ログ収集部２２、及び構成ログ収集部２３のいずれかで収集されたログを受け取る。そして、共通形式変換部３０が、受け取ったログが、構成ログか否かを判定する。この判定は、イベントログ収集部２１、性能ログ収集部２２、及び構成ログ収集部２３のいずれからログを受け取ったかを判定することにより行うことができる。受け取ったログが構成ログの場合には、処理はステップＳ２２へ移行し、性能ログまたはイベントログの場合には、処理はステップＳ２３へ移行する。

ステップＳ２２では、共通形式変換部３０が、例えば図５に示すような構成ログから、要素（例えば１つのプログラム、図５の例では、２行目以降の各行）のそれぞれを、見出し行（例えば１行目）と共に１つのデータとして抽出する。そして、抽出したデータ見出し行の値を共通形式データテーブル６１の「キー」の項目に記録し、各要素の値を「内容」の項目に記録する。また、共通形式変換部３０は、抽出元の構成ログと共に収集された世代の情報及び処理装置ＩＤを、共通形式データテーブル６１の「世代」及び「位置」の項目に記録する。

一方、ステップＳ２３では、共通形式変換部３０が、受け取ったログが、性能ログか否かを判定する。性能ログの場合には、処理はステップＳ２４へ移行し、イベントログの場合には、処理はステップＳ２５へ移行する。

ステップＳ２４では、共通形式変換部３０が、例えば図４に示すような性能ログから、性能の項目のそれぞれを、日時情報及びＣＰＵの識別情報と共に、１つのデータとして抽出する。そして、抽出したデータの日時情報を共通形式データテーブル６１の「日時」の項目に記録し、ＣＰＵの識別情報と性能の項目名との組合せを「キー」の項目に記録し、性能の項目の値を「内容」の項目に記録する。さらに、共通形式変換部３０は、抽出装置１０で保持している各世代の開始を示す日時情報と、ログから抽出されたデータが有する日時情報とに基づいて判定した世代数を、「世代」の項目に記録する。

ステップＳ２５では、共通形式変換部３０が、例えば図３に示すようなイベントログから、日時情報を区切りとして各データを抽出し、抽出したデータの日時情報を共通形式データテーブル６１の「日時」の項目に記録する。また、共通形式変換部３０は、ログから抽出したデータの日時情報以外のメッセージ部分を「内容」の項目に記録する。また、共通形式変換部３０は、上記ステップＳ２４の場合と同様に、「世代」及び「位置」の項目も記録する。

受け取ったログから抽出した各データについて共通形式データテーブル６１への記録、すなわち共通形式データへの変換が終了すると、共通形式変換処理は終了し、処理は図１６に示す抽出処理にリターンする。複数のログを受け取った場合には、各ログについて本ルーチンを実行する。

次に、図１６に示す抽出処理のステップＳ３０で、図１８に詳細を示す分析処理が実行される。

図１８に示す分析処理のステップＳ３１で、時系列異常分析部４１が、共通形式データテーブル６１に記録された共通形式データを、「キー」及び「位置」が同一の共通形式データ群に分類する。なお、「キー」の項目がブランクの共通形式データは、「キー」の項目がブランクの共通形式データ群として分類する。

次に、ステップＳ３２で、時系列異常分析部４１が、未処理のキー、すなわち、以降の処理が未処理の共通形式データ群を示すキーが存在するか否かを判定する。未処理のキーが存在する場合には、処理はステップＳ３３へ移行し、存在しない場合には、処理はステップＳ４０へ移行する。

ステップＳ３３では、時系列異常分析部４１が、未処理のキーから１つを選択する。次に、ステップＳ３４で、時系列異常分析部４１が、選択したキーに対応する共通形式データ群に含まれる共通形式データの全てが、「日時情報」の項目がブランクではなく、かつ「内容」の項目が数値を有するか否かを判定する。肯定判定の場合には、処理はステップＳ３５へ移行し、否定判定の場合には、処理はステップＳ３６へ移行する。

ステップＳ３５では、時系列異常分析部４１が、選択したキーに対応する共通形式データが有する数値を日時情報順に並べた系列において、例えばアノマリ分析を利用して検出される変化点を、時系列異常が発生している箇所として抽出する。そして、時系列異常分析部４１は、時系列異常を抽出した箇所に対応する日時情報に識別情報（時系列異常ＩＤ）を付与して時系列異常を示す情報とし、例えば図８に示すような時系列異常テーブル６２に、世代の情報と共に記録する。

ステップＳ３６では、パターン異常分析部４２が、上記ステップＳ３３で選択されたキーに対応する共通形式データ群に含まれる共通形式データの全てが、「日時情報」の項目がブランクではなく、かつ「内容」の項目が数値ではないか否かを判定する。肯定判定の場合には、処理はステップＳ３７へ移行し、否定判定の場合には、処理はステップＳ３９へ移行する。

ステップＳ３７では、パターン異常分析部４２が、選択されたキーに対応する共通形式データの「内容」の項目に記録された値に基づいて、各共通形式データのキーを生成する。次に、ステップＳ３８で、パターン異常分析部４２が、選択されたキーに対応する共通形式データについて生成したキーを日時情報順に並べた系列で表されるパターンから、パターン異常を抽出する。そして、パターン異常分析部４２は、パターン異常を抽出した箇所に対応するキーを有する共通形式データの日時情報に識別情報（パターン異常ＩＤ）を付与してパターン異常を示す情報とし、例えば図１０に示すようなパターン異常テーブル６３に、世代の情報と共に記録する。

一方、ステップＳ３９では、選択されたキーに対応する共通形式データは、時系列異常分析部４１及びパターン異常分析部４２のいずれの分析対象にもならなかったため、構成変更パターン分析部４３の分析対象とするために、一旦、構成データリストに追加する。構成データリストは、記録されるデータが構成変更パターン分析部４３の分析対象となるデータである点を除いては、共通形式データテーブル６１と同様の構成とすることができる。

ステップＳ４０では、図１９及び図２０に詳細を示す構成変更パターン分析処理が実行される。

図１９の構成変更パターン分析処理のステップＳ４１で、構成変更パターン分析部４３が、世代表６４を初期化する。具体的には、構成変更パターン分析部４３は、構成データリストに保存された共通形式データの全てのキーを種類毎に世代表６４の行に設定し、各キーにキーＩＤを付与する。また、構成データリストに保存された共通形式データに含まれる全ての世代を世代番号順に各々世代表６４の列に設定する。

次に、ステップＳ４２で、構成変更パターン分析部４３が、未処理のキーが存在するか否かを判定し、存在する場合には、処理はステップＳ４３へ移行し、存在しない場合には、処理は図２０のステップＳ４９へ移行する。ステップＳ４３では、構成変更パターン分析部４３が、未処理のキーから１つのキー（キーＩＤ＝ｉのキー、以下「キーｉ」と表記する）を選択する。

次に、ステップＳ４４で、構成変更パターン分析部４３が、世代表６４の列に設定した世代のうち、以降の処理が未処理の世代が存在するか否かを判定する。未処理の世代が存在する場合には、処理はステップＳ４５へ移行し、存在しない場合には、処理はステップＳ４２に戻る。

ステップＳ４５では、構成変更パターン分析部４３が、未処理の世代のうち、最も古い世代（世代ｇ、図１１の世代表６４の例では、ｇ＝１，２，・・・，６）を選択する。次に、構成変更パターン分析部４３が、構成データリストに保存されたキーｉの共通形式データを参照して、世代ｇの共通形式データの「内容」の値と、世代ｇ−１の共通形式データの「内容」の値とが同一か否かを判定する。「内容」の値が同一の場合には、処理はステップＳ４７へ移行し、異なる場合には、処理はステップＳ４８へ移行する。また、世代ｇ−１が存在しない場合（例えば図１１の世代表６４の例では、ｇ＝１の場合）も、処理はステップＳ４８へ移行する。

ステップＳ４７では、構成変更パターン分析部４３が、世代表６４のキーｉに対応する行と、世代ｇ−１に対応する列とで表されるマスに設定されている値を、キーｉに対応する行と、世代ｇに対応する列で表されるマスに設定する。一方、ステップＳ４８では、構成変更パターン分析部４３が、キーｉに対応する行と、世代ｇに対応する列で表されるマスに、「ｇ」を設定する。

次に、図２０のステップＳ４９では、構成変更パターン分析部４３が、世代表６４において、全て同じ値が設定されている行、または全て異なる値が設定されている行に対応するキーにマークを付与する。このマークは、構成変更パターンの抽出処理の対象から除外することを示すマークである。なお、全て同じ値が設定されている行は、マークが付与されていなくても構成変更パターンとして抽出されないが、マークを付与しておくことで、以降の処理を簡略化することができる。

次に、ステップＳ５０で、構成変更パターン分析部４３が、未処理の世代が存在するか否かを判定する。未処理の世代が存在する場合には、処理はステップＳ５１へ移行し、構成変更パターン分析部４３が、未処理の世代から１つの世代ｇを選択する。

次に、ステップＳ５２で、構成変更パターン分析部４３が、未処理のキーが存在するか否かを判定し、存在する場合には、処理はステップＳ５３へ移行し、構成変更パターン分析部４３が、未処理のキーから１つのキーｉを選択する。

次に、ステップＳ５４で、構成変更パターン分析部４３が、キーｉにマークが付与されているか否かを判定する。キーｉにマークが付与されていない場合には、処理はステップＳ５５へ移行し、マークが付与されている場合には、処理はステップＳ５２に戻る。

ステップＳ５５では、構成変更パターン分析部４３が、世代表６４のキーｉに対応する行において、世代ｇに対応する列と世代ｇ−１に対応する列とに設定された値が異なるか否かを判定する。異なる場合には、処理はステップＳ５６へ移行し、同一の場合には、処理はステップＳ５２に戻る。ステップＳ５６では、構成変更パターン分析部４３が、例えば図１２に示すようなキーリスト６５に、世代ｇの行を追加し、対応するキーＩＤの項目に「ｉ」を記録する。なお、キーリストに既に世代ｇの行が存在する場合には、その行のキーＩＤの項目に「ｉ」を追加する。

上記ステップＳ５２で、未処理のキーが存在しないと判定されると、処理はステップＳ５７へ移行する。ステップＳ５７では、構成変更パターン分析部４３が、キーリスト６５の世代ｇの行に構成変更パターンＩＤを付与して、処理はステップＳ５０に戻る。

ステップＳ５０で、未処理の世代が存在しないと判定されると、処理はステップＳ５８へ移行し、構成変更パターン分析部４３が、抽出した構成変更パターンに含まれる世代と、保持している世代の開始の時刻情報とに基づいて、構成変更パターンに対応する日時情報を判定する。そして、構成変更パターン分析部４３は、判定した日時情報に識別情報（構成変更パターンＩＤ）を付与して、構成変更パターンを示す情報とし、例えば図１３に示すような構成変更パターンテーブル６６に、世代の情報と共に記録する。構成変更パターンテーブル６６への記録が終了すると、処理は図１８に示す分析処理にリターンする。

次に、図１８に示す分析処理のステップＳ６０で、図２１に詳細を示す関連分析処理が実行される。

図２１に示す関連分析処理のステップＳ６１で、関連分析部４４が、時系列異常テーブル６２及びパターン異常テーブル６３を参照する。そして、関連分析部４４は、時系列異常の日時情報がパターン異常の日時情報より前で、かつ世代が同一の時系列異常−パターン異常ペアを抽出する。

次に、ステップＳ６２で、関連分析部４４が、時系列異常テーブル６２及び構成変更パターンテーブル６６を参照する。そして、関連分析部４４は、構成変更パターンの日時情報が時系列異常の日時情報より前で、かつ世代が同一の時系列異常−構成変更パターンペアを抽出する。

次に、ステップＳ６３で、関連分析部４４が、抽出した時系列異常−パターン異常ペア及び時系列異常−構成変更パターンペアから、共通する時系列異常を有する時系列異常−パターン異常ペアと時系列異常−構成変更パターンペアとを抽出する。そして、関連分析部４４は、抽出した両ペアに含まれる時系列異常ＩＤ、パターン異常ＩＤ、及び構成変更パターンＩＤを列挙して、１つの抽出結果とし、結果ＩＤを付与し、処理は図１６に示す抽出処理にリターンする。

次に、図１６に示す抽出処理のステップＳ７０で、結果出力部５０が、関連分析部４４で抽出された抽出結果を、例えば図１４に示すような抽出結果リスト６７にする。そして、結果出力部５０は、抽出結果リスト６７を、時系列異常テーブル６２、パターン異常テーブル６３、構成変更パターンテーブル６６等の各種テーブルと共に出力し、抽出処理を終了する。

以上説明したように、第１実施形態に係る抽出装置によれば、イベントログ、性能ログ、及び構成ログから、時系列異常、パターン異常、及び構成変更パターンの各々を分析する。そして、時系列異常、パターン異常、及び構成変更パターンが生じた日時を手がかりに、これらの関連を分析する。従って、処理装置から得られる異なる種類の情報を、処理装置で発生した異常に関連付けて抽出することができる。この抽出結果を参照することで、例えば図２２に示すように、パターン異常、時系列異常、及び構成変更パターンの関連を横断的に把握して、異常の原因を推定することができる。より具体的には、処理装置１６に対して行われたどの構成変更に起因して、リソースのどの部分に異常が生じたことにより、パターン異常として処理装置１６の異常が検出されたかということを、容易に把握することができる。

また、同一の世代に含まれる時系列異常、パターン異常、及び構成変更パターンを関連する一群の抽出結果として扱うことで、どの構成変更に起因して異常が生じたかをより的確に把握することができる。

なお、第１実施形態では、構成ログから抽出したデータが有する値が、世代ｇと世代ｇ−１との間で変化している場合に、構成変更パターンとして抽出する場合について説明したが、これに限定されない。例えば図２３に示すように、世代表６４において、行毎（キー毎）に、ある世代ｇの前後複数世代を含むウインドウ６８を設定する。図２３の例では、世代ｇ＝４について、世代ｇより前の２世代（前半）と、世代ｇを含む世代ｇ以降の２世代（後半）との４世代分のウインドウ６８を設定している。そして、ウインドウ６８内の前半のマスに設定されている値の各々が同一で、かつ後半のマスに設定されている値の各々が同一であり、さらに、前半の値と後半の値とが異なる場合に、世代ｇで構成変更があったことを示す構成変更パターンを抽出することができる。これにより、１つ前の世代の値のみと比較する場合に比べ、ある世代で構成が変更されたことをより確実に捉えることができる。

また、第１実施形態では、世代表に設定する値を世代数とする場合について説明したが、これに限定されない。共通形式データの「内容」の値が同一の場合には、世代間で同一の値を設定し、「内容」の値が異なる場合には、異なる値を設定すればよい。

また、第１実施形態では、各種ログから抽出したデータを共通形式に変換する場合について説明したが、これに限定されない。第１実施形態では、時系列異常分析、パターン異常分析、及び構成変更パターン分析の各々に用いるデータを、各々の分析に応じた形式に変換すればよい。

＜第２実施形態＞
次に、第２実施形態について説明する。なお、第２実施形態に係る抽出装置について、第１実施形態に係る抽出装置１０と同様の部分については、同一符号を付して詳細な説明を省略する。

図２４に示すように、抽出装置２１０は、収集部２０と、共通形式変換部３０と、分析部２４０と、結果出力部５０とを含む。分析部２４０はさらに、時系列異常分析部４１と、パターン異常分析部２４２と、構成変更パターン分析部２４３と、関連分析部４４と、イベント生成部４５とを含む。

イベント生成部４５は、共通形式データテーブル６１に記録された共通形式データのうち、「日時情報」の項目がブランクではなく、かつ「内容」の項目が数値を有する共通形式データを抽出する。イベント生成部４５は、抽出した数値を有する共通形式データが、所定のルールを満たす場合に、ルールを満たしたことを示すイベントを生成する。所定のルールは、例えば図２５に示すようなイベント化ルールテーブル６９に記憶されているものとする。図２５に示すイベント化ルールテーブル６９に記憶されたルールＩＤ＝１のルールは、「キー」が「ｃｐｕ１＿ｕｓａｇｅ」の共通形式データの「内容」の平均値が、ｔｈｒｅｓｈｏｌｄ＝０．７５以上の場合に、イベントを発生させることを表している。なお、上記の例のように、複数の共通形式データの値を平均する等のルールのように、１つのルールを複数の共通形式データに適用する場合は、「世代」及び「位置」が同一の共通形式データに適用する。

例えば、共通形式データテーブル６１に記録された数値を有する共通形式データのうち、図２６に示すように、「世代」及び「位置」が同一（図２６の例では、世代＝１、位置＝ｗｅｂ０１）の共通形式データが４つ抽出されたとする。イベント生成部４５は、例えば図２５のルールを適用し、４つの共通形式データの「内容」の平均値が、ｔｈｒｅｓｈｏｌｄ＝０．７５以上の場合に、例えば図２７に示すような、ルールを満たしたことを示すイベントを生成する。イベントは、共通形式で生成する。

具体的には、イベント生成部４５は、生成するイベントの「世代」及び「位置」に、ルールを適用した共通形式データと同じ「世代」及び「位置」を設定する。また、イベント生成部４５は、生成するイベントの「日時」に、ルールを適用した共通形式データの「日時」のうち、最新の日時情報、最古の日時情報等、いずれかの日時情報を設定する。さらに、イベント生成部４５は、生成するイベントの「キー」に、ルールを満たしたことにより生成したイベントであることを示すキーを設定する。例えば、適用したルールのキーに「＿ｅｖｅｎｔ」を付加したキーとすることができる。なお、生成するイベントの「内容」はブランクでよい。イベント生成部４５は、生成したイベントを、パターン異常分析部２４２へ受け渡す。

構成変更パターン分析部２４３は、第１実施形態の構成変更パターン分析部４３と同様に、構成変更パターンを分析する。第２実施形態の構成変更パターン分析部２４３は、さらに、構成変更パターン分析に利用する共通形式データの「日時」に、その共通形式データが示す構成の世代の開始時刻を設定し、パターン異常分析部２４２へ受け渡す。

パターン異常分析部２４２は、第１実施形態に係るパターン異常分析部４２の分析対象と同様に、イベントログから抽出した共通形式データを分析対象とする。さらに、第2実施形態では、イベント生成部４５及び構成変更パターン分析部２４３から受け渡された共通形式データも、パターン異常の分析対象に加える。図２８に、第２実施形態のパターン異常分析部２４２の分析対象となる共通形式データの一例を示す。図２８のＡに示す行は、第１実施形態と同様、イベントログから抽出した共通形式データに対してキーを生成した共通形式データの一例である。図２８のＢに示す行は、イベント生成部４５から受け渡されたイベント（共通形式データ）の一例である。図２８のＣに示す行は、構成変更パターン分析部２４３から受け渡された共通形式データの一例である。

パターン異常分析部２４２は、図２８に示すような分析対象の共通形式データについて、第１実施形態と同様に、各共通形式データのキーを日時情報順に並べた系列で表されるパターンに基づいて、パターン異常を分析する。

抽出装置２１０は、例えば図１５に示すコンピュータ７０で実現することができる。記憶部７６には、コンピュータ７０を抽出装置２１０として機能させるための抽出プログラム５１０が記憶されている。ＣＰＵ７２は、抽出プログラム５１０を記憶部７６から読み出してメモリ７４に展開し、抽出プログラム５１０が有するプロセスを順次実行する。

抽出プログラム５１０は、収集プロセス１２０と、共通形式変換プロセス１３０と、分析プロセス５４０と、結果出力プロセス１５０とを有する。分析プロセス５４０はさらに、時系列異常分析プロセス１４１と、パターン異常分析プロセス５４２と、構成変更パターン分析プロセス５４３と、関連分析プロセス１４４と、イベント生成プロセス１４５とを有する。

ＣＰＵ７２は、パターン異常分析プロセス５４２を実行することで、図２４に示すパターン異常分析部２４２として動作する。また、ＣＰＵ７２は、構成変更パターン分析プロセス５４３を実行することで、図２４に示す構成変更パターン分析部２４３として動作する。また、ＣＰＵ７２は、イベント生成プロセス１４５を実行することで、図２４に示すイベント生成部４５として動作する。他のプロセスについては、第１実施形態と同様である。これにより、抽出プログラム５１０を実行したコンピュータ７０が、抽出装置２１０として機能することになる。

なお、抽出装置２１０は、例えば半導体集積回路、より詳しくはＡＳＩＣ等で実現することも可能である。

次に、第２実施形態に係る抽出装置２１０の作用について説明する。第２実施形態に係る抽出装置２１０において実行される抽出処理は、第１実施形態における抽出処理と、分析処理の内容が異なる。以下では、図２９を参照して、第２実施形態における分析処理について説明する。なお、第１実施形態における分析処理と同様の処理については、同一符号を付して詳細な説明を省略する。

図２９に示す分析処理のステップＳ３４で、時系列異常分析部４１が、選択したキーに対応する共通形式データ群に含まれる共通形式データの全てが、「日時情報」の項目がブランクではなく、かつ「内容」の項目が数値を有するか否かを判定する。肯定判定の場合には、処理はステップＳ２３１へ移行し、否定判定の場合には、処理はステップＳ３６へ移行する。

次に、ステップＳ２３１で、イベント生成部４５が、選択したキーに対応する共通形式データ群を、さらに「世代」及び「位置」毎に分類する。そして、イベント化ルールテーブル６９を参照して、各共通形式データ群に適用可能なルールが存在するか否かを判定する。存在する場合には処理はステップＳ２３２へ移行し、存在しない場合には、処理はステップＳ３５へ移行する。

ステップＳ２３２では、イベント生成部４５が、各共通形式データ群が、適用したルールを満たす場合に、ルールを満たしたことを示すイベントを、共通形式データとして生成する。イベント生成部４５は、生成したイベントを、一旦、イベントリストに追加する。イベントリストは、共通形式データテーブル６１と同様の構成とすることができる。

ステップＳ３５では、時系列異常分析部４１が、第１実施形態と同様に、選択したキーに対応する共通形式データ群に基づいて、時系列異常分析を行って、処理はステップＳ３２に戻る。

また、ステップＳ３７で、パターン異常分析部２４２が、「日時情報」の項目がブランクではなく、かつ「内容」の項目が数値ではない共通形式データの「内容」の項目に記録された値に基づいて、各共通形式データのキーを生成する。次に、ステップＳ２３３で、パターン異常分析部２４２が、キーを生成した共通形式データを、イベントリストに追加し、処理はステップＳ３２に戻る。

また、ステップＳ３４及びＳ３６で否定判定され、処理がステップＳ３９へ移行すると、構成変更パターン分析部２４３が、選択されたキーに対応する共通形式データを、一旦、構成データリストに追加する。さらに、ステップＳ２３４で、構成変更パターン分析部２４３は、選択されたキーに対応する共通形式データの「日時」に、その共通形式データが示す構成の世代の開始時刻を設定し、イベントリストに追加し、処理はステップＳ３２に戻る。

ステップＳ３２で否定判定されると、処理はステップＳ２３５へ移行し、パターン異常分析部２４２が、イベントリストに記憶されている共通形式データを分析対象として、第１実施形態と同様に、パターン異常を抽出する。従って、ステップＳ２３５では、性能ログから抽出したデータを変換した共通形式データに所定のルールを適用して生成したイベント、及び構成ログから抽出して変換した共通形式データに日時情報を付加したデータも、パターン異常の分析対象となる。

以上説明したように、第２実施形態に係る抽出装置２１０によれば、異なる種類のログから抽出したデータを共通形式に変換することで、複数種類のデータを組み合わせてパターン異常分析を行うことができる。

なお、第２実施形態では、イベントログ、性能ログ、及び構成ログの各々から抽出したデータを共通形式に変換したデータを、さらにパターン異常分析に利用するためにデータ変換する場合について説明したが、これに限定されない。イベントログ、性能ログ、及び構成ログの各々から抽出したデータのいずれか２種類を共通形式データに変換してもよい。例えば、イベントログ及び構成ログから抽出したデータを共通形式データに変換し、この共通形式データに基づいて、パターン異常を分析してもよい。さらにこの場合、性能ログから抽出したデータに基づいて分析した時系列異常と、イベントログ及び構成ログを抽出元とする共通形式データに基づいて分析したパターン異常との関連を分析するようにしてもよい。

また、上記では開示の技術に係る抽出プログラムの一例である抽出プログラム１１０、５１０が記憶部７６に予め記憶（インストール）されている態様を説明したが、これに限定されない。開示の技術に係る抽出プログラムは、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ＵＳＢメモリ等の記録媒体に記録された形態で提供することも可能である。

以上の実施形態に関し、更に以下の付記を開示する。

（付記１）
コンピュータに、
処理装置の構成を示す構成情報を、構成が変更された時刻間で表される世代毎に取得し、取得した複数世代分の構成情報に基づいて、世代間で変更された構成を示す第１情報を抽出し、
前記処理装置の各時刻における各種性能を示す性能情報を取得し、取得した性能情報の時系列変化において異常が検出された時刻を、前記世代に関連付けて第２情報として抽出し、
前記処理装置において各時刻で発生するイベントを示すイベント情報を取得し、異常が検出されたイベント情報が発生した時刻を、前記世代に関連付けて第３情報として抽出し、
前記第１情報が示す世代及び前記処理装置が該世代の構成に変更された時刻、前記第２情報が示す時刻及び前記第２情報に関連付けられた世代、並びに前記第３情報が示す時刻及び前記第３情報に関連付けられた世代に基づいて、関連のある前記第１情報、前記第２情報、及び前記第３情報を抽出する
ことを含む処理を実行させる抽出方法。

（付記２）
前記第３情報を抽出する際、前記世代の構成に変更された時刻を付加した構成情報を、前記イベント情報として用いる付記１記載の抽出方法。

（付記３）
前記第３情報を抽出する際、前記性能情報が予め定めた条件を満たす場合に、該条件を満たす性能情報を変換したイベント情報を用いる付記１または付記２記載の抽出方法。

（付記４）
前記コンピュータに、
前記構成情報、前記性能情報、及び前記イベント情報の各々を、共通形式のデータに変換する
ことを含む処理をさらに実行させる付記１〜付記３のいずれか１項記載の抽出方法。

（付記５）
前記第１情報を抽出する際、前記複数世代分の構成情報に基づいて、構成情報の内容が同一の場合には世代毎に同じ値を設定し、構成情報の内容が異なる場合には世代毎に異なる値を設定した世代表を作成し、前記世代表に設定された値の差分により表されるパターンを、前記第１情報として抽出する付記１〜付記４のいずれか１項記載の抽出方法。

（付記６）
処理装置の構成を示す構成情報を、構成が変更された時刻間で表される世代毎に取得し、取得した複数世代分の構成情報に基づいて、世代間で変更された構成を示す第１情報を抽出する第１情報抽出部と、
前記処理装置の各時刻における各種性能を示す性能情報を取得し、取得した性能情報の時系列変化において異常が検出された時刻を、前記世代に関連付けて第２情報として抽出する第２情報抽出部と、
前記処理装置において各時刻で発生するイベントを示すイベント情報を取得し、異常が検出されたイベント情報が発生した時刻を、前記世代に関連付けて第３情報として抽出する第３情報抽出部と、
前記第１情報が示す世代及び前記処理装置が該世代の構成に変更された時刻、前記第２情報が示す時刻及び前記第２情報に関連付けられた世代、並びに前記第３情報が示す時刻及び前記第３情報に関連付けられた世代に基づいて、関連のある前記第１情報、前記第２情報、及び前記第３情報を抽出する関連抽出部と、
を含む抽出装置。

（付記７）
前記第３情報抽出部は、前記世代の構成に変更された時刻を付加した構成情報を、前記イベント情報として用いる付記６記載の抽出装置。

（付記８）
前記第３情報抽出部は、前記性能情報が予め定めた条件を満たす場合に、該条件を満たす性能情報を変換したイベント情報を用いる付記６または付記７記載の抽出装置。

（付記９）
前記構成情報、前記性能情報、及び前記イベント情報の各々を、共通形式のデータに変換する共通形式変換部をさらに含む付記６〜付記８のいずれか１項記載の抽出装置。

（付記１０）
前記第１情報抽出部は、前記複数世代分の構成情報に基づいて、構成情報の内容が同一の場合には世代毎に同じ値を設定し、構成情報の内容が異なる場合には世代毎に異なる値を設定した世代表を作成し、前記世代表に設定された値の差分により表されるパターンを、前記第１情報として抽出する付記６〜付記９のいずれか１項記載の抽出装置。

（付記１１）
コンピュータに、
処理装置の構成を示す構成情報を、構成が変更された時刻間で表される世代毎に取得し、取得した複数世代分の構成情報に基づいて、世代間で変更された構成を示す第１情報を抽出し、
前記処理装置の各時刻における各種性能を示す性能情報を取得し、取得した性能情報の時系列変化において異常が検出された時刻を、前記世代に関連付けて第２情報として抽出し、
前記処理装置において各時刻で発生するイベントを示すイベント情報を取得し、異常が検出されたイベント情報が発生した時刻を、前記世代に関連付けて第３情報として抽出し、
前記第１情報が示す世代及び前記処理装置が該世代の構成に変更された時刻、前記第２情報が示す時刻及び前記第２情報に関連付けられた世代、並びに前記第３情報が示す時刻及び前記第３情報に関連付けられた世代に基づいて、関連のある前記第１情報、前記第２情報、及び前記第３情報を抽出する
ことを含む処理を実行させるための抽出プログラム。

（付記１２）
前記第３情報を抽出する際、前記世代の構成に変更された時刻を付加した構成情報を、前記イベント情報として用いる付記１１記載の抽出プログラム。

（付記１３）
前記第３情報を抽出する際、前記性能情報が予め定めた条件を満たす場合に、該条件を満たす性能情報を変換したイベント情報を用いる付記１１または付記１２記載の抽出プログラム。

（付記１４）
前記コンピュータに、
前記構成情報、前記性能情報、及び前記イベント情報の各々を、共通形式のデータに変換する
ことを含む処理をさらに実行させるための付記１１〜付記１３のいずれか１項記載の抽出プログラム。

（付記１５）
前記第１情報を抽出する際、前記複数世代分の構成情報に基づいて、構成情報の内容が同一の場合には世代毎に同じ値を設定し、構成情報の内容が異なる場合には世代毎に異なる値を設定した世代表を作成し、前記世代表に設定された値の差分により表されるパターンを、前記第１情報として抽出する付記１１〜付記１４のいずれか１項記載の抽出プログラム。

１０、２１０ 抽出装置
１６ 処理装置
２０ 収集部
２１ イベントログ収集部
２２ 性能ログ収集部
２３ 構成ログ収集部
３０ 共通形式変換部
４０、２４０ 分析部
４１ 時系列異常分析部
４２、２４２ パターン異常分析部
４３、２４３ 構成変更パターン分析部
４４ 関連分析部
４５ イベント生成部
５０ 結果出力部
７０ コンピュータ
７２ ＣＰＵ
７４ メモリ
７６ 記憶部
１１０、５１０ 抽出プログラム

Claims (7)

1. コンピュータに、
   処理装置の構成を示す構成情報を、構成が変更された時刻間で表される世代毎に取得し、取得した複数世代分の構成情報に基づいて、世代間で変更された構成を示す第１情報を抽出し、
   前記処理装置の各時刻における各種性能を示す性能情報を取得し、取得した性能情報の時系列変化において異常が検出された時刻を、前記世代に関連付けて第２情報として抽出し、
   前記処理装置において各時刻で発生するイベントを示すイベント情報を取得し、異常が検出されたイベント情報が発生した時刻を、前記世代に関連付けて第３情報として抽出し、
   前記第１情報が示す世代及び前記処理装置が該世代の構成に変更された時刻、前記第２情報が示す時刻及び前記第２情報に関連付けられた世代、並びに前記第３情報が示す時刻及び前記第３情報に関連付けられた世代に基づいて、関連のある前記第１情報、前記第２情報、及び前記第３情報を抽出する
   ことを含む処理を実行させる抽出方法。
2. 前記第３情報を抽出する際、前記世代の構成に変更された時刻を付加した構成情報を、前記イベント情報として用いる請求項１記載の抽出方法。
3. 前記第３情報を抽出する際、前記性能情報が予め定めた条件を満たす場合に、該条件を満たす性能情報を変換したイベント情報を用いる請求項１または請求項２記載の抽出方法。
4. 前記コンピュータに、
   前記構成情報、前記性能情報、及び前記イベント情報の各々を、共通形式のデータに変換する
   ことを含む処理をさらに実行させる請求項１〜請求項３のいずれか１項記載の抽出方法。
5. 前記第１情報を抽出する際、前記複数世代分の構成情報に基づいて、構成情報の内容が同一の場合には世代毎に同じ値を設定し、構成情報の内容が異なる場合には世代毎に異なる値を設定した世代表を作成し、前記世代表に設定された値の差分により表されるパターンを、前記第１情報として抽出する請求項１〜請求項４のいずれか１項記載の抽出方法。
6. 処理装置の構成を示す構成情報を、構成が変更された時刻間で表される世代毎に取得し、取得した複数世代分の構成情報に基づいて、世代間で変更された構成を示す第１情報を抽出する第１情報抽出部と、
   前記処理装置の各時刻における各種性能を示す性能情報を取得し、取得した性能情報の時系列変化において異常が検出された時刻を、前記世代に関連付けて第２情報として抽出する第２情報抽出部と、
   前記処理装置において各時刻で発生するイベントを示すイベント情報を取得し、異常が検出されたイベント情報が発生した時刻を、前記世代に関連付けて第３情報として抽出する第３情報抽出部と、
   前記第１情報が示す世代及び前記処理装置が該世代の構成に変更された時刻、前記第２情報が示す時刻及び前記第２情報に関連付けられた世代、並びに前記第３情報が示す時刻及び前記第３情報に関連付けられた世代に基づいて、関連のある前記第１情報、前記第２情報、及び前記第３情報を抽出する関連抽出部と、
   を含む抽出装置。
7. コンピュータに、
   処理装置の構成を示す構成情報を、構成が変更された時刻間で表される世代毎に取得し、取得した複数世代分の構成情報に基づいて、世代間で変更された構成を示す第１情報を抽出し、
   前記処理装置の各時刻における各種性能を示す性能情報を取得し、取得した性能情報の時系列変化において異常が検出された時刻を、前記世代に関連付けて第２情報として抽出し、
   前記処理装置において各時刻で発生するイベントを示すイベント情報を取得し、異常が検出されたイベント情報が発生した時刻を、前記世代に関連付けて第３情報として抽出し、
   前記第１情報が示す世代及び前記処理装置が該世代の構成に変更された時刻、前記第２情報が示す時刻及び前記第２情報に関連付けられた世代、並びに前記第３情報が示す時刻及び前記第３情報に関連付けられた世代に基づいて、関連のある前記第１情報、前記第２情報、及び前記第３情報を抽出する
   ことを含む処理を実行させるための抽出プログラム。

Images