JP2018081403A

JP2018081403A - Incident management system, incident management method and computer program

Info

Publication number: JP2018081403A
Application number: JP2016222177A
Authority: JP
Inventors: 貴史新里; Takashi Niisato; 裕太水鳥; Yuta Mizutori; 藍野浜田; Aino Hamada
Original assignee: Nomura Research Institute Ltd
Current assignee: Nomura Research Institute Ltd
Priority date: 2016-11-15
Filing date: 2016-11-15
Publication date: 2018-05-24

Abstract

PROBLEM TO BE SOLVED: To provide a technique to support efficient management of an incident which has occurred in an information processing system.SOLUTION: An incident management system 100 includes: a data holding unit 30 which holds an incident and at least a piece of operation state information related to the incident showing an operation state of an information processing system in association with each other per incident which has occurred in the information processing system; and an identification unit 21 which identifies a similar incident which is similar to a selected incident which is selected from among a plurality of incidents. When a plurality of pieces of operation state information are associated with the selected incident, the identification unit 21 identifies an incident associated with a plurality of pieces of operation state information which are associated with the selected incident among a plurality of incidents as the similar incident.SELECTED DRAWING: Figure 4

Description

本発明は、データ処理技術に関し、特に、情報処理システムのインシデント管理を支援する技術に関する。 The present invention relates to data processing technology, and more particularly to technology for supporting incident management of an information processing system.

ＩＴインフラが幅広いユーザ層に活用されるようになってきているなか、ＩＴサービスマネジメントがこれまで以上に重要になってきている。ＩＴサービスマネジメントに関して、英国商務局（ＯＧＣ:Office of Government Commerce）はＩＴＩＬ（Information Technology Infrastructure Library）（登録商標）と呼ばれるベストプラクティス集を公表している。最近では、ＩＴＩＬに従ってＩＴサービスマネジメントの改善に取り組む企業が増えている。 IT service management is becoming more important than ever as IT infrastructure is being used by a wide range of users. Regarding IT service management, the Office of Government Commerce (OGC) has published a collection of best practices called Information Technology Infrastructure Library (ITIL) (registered trademark). Recently, an increasing number of companies are working to improve IT service management according to ITIL.

ＩＴＩＬの中核の一つにサービスサポートがある。サービスサポートは日常的なシステム運用およびユーザサポートに関して記載されたもので、１つの機能と５つのプロセスからなる。機能としては、ユーザからの問い合わせ窓口となるサービスデスク、プロセスとしてはインシデント管理、問題管理、変更管理、リリース管理および構成管理が規定されている。 Service support is one of the cores of ITIL. Service support is described in terms of daily system operation and user support, and consists of one function and five processes. As functions, a service desk that serves as a contact point for inquiries from users, and incident management, problem management, change management, release management, and configuration management are defined as processes.

サービスデスク業務では、エンドユーザからどのような問い合わせがあったのか、それに対してどのように対応したのか、その問い合わせは処理が終わってクローズしたのか、といった様々なことを記録していく。このようなサービスデスク業務を支援するため、エンドユーザからの問い合わせをインシデントとして蓄積していくインシデント管理システムが実用化されている（例えば、特許文献１）。 In the service desk business, various inquiries such as what kind of inquiries are received from end users, how they are responded to, and whether the inquiries have been processed and closed are recorded. In order to support such service desk work, an incident management system that accumulates inquiries from end users as incidents has been put into practical use (for example, Patent Document 1).

特開２００８−１２９９７３号公報JP 2008-129973 A

サービスデスク業務を行う運用部門の担当者は、インシデントが発生すると、そのインシデントに類似するインシデント（以下、「類似インシデント」とも呼ぶ）を特定する。ここで、類似するインシデントとは、根本原因が同じである可能性があるインシデントをいう。類似インシデントがある場合、担当者は、類似インシデントの経過情報に記載された対応内容を、インシデントを終了へ向けて進展させるための情報（すなわちナレッジ情報）として活用しうる。したがって、類似インシデントを的確に特定することができれば、インシデントを迅速に収容へ向けて進展させることができる。 When the incident occurs, the person in charge of the operation department who performs the service desk business specifies an incident similar to the incident (hereinafter also referred to as “similar incident”). Here, the similar incident refers to an incident that may have the same root cause. When there is a similar incident, the person in charge can use the response content described in the progress information of the similar incident as information (that is, knowledge information) for progressing the incident toward the end. Therefore, if similar incidents can be accurately identified, incidents can be rapidly advanced toward containment.

本発明はこうした課題に鑑みてなされたものであり、その主な目的は、情報処理システムにおいて発生したインシデントの効率的な管理を支援するための技術を提供することにある。 The present invention has been made in view of these problems, and a main object thereof is to provide a technique for supporting efficient management of incidents occurring in an information processing system.

上記課題を解決するために、本発明のある態様のインシデント管理システムは、情報処理システムにおいて発生したインシデントごとに、インシデントと、情報処理システムの動作状態を示す少なくとも１つの動作状態情報であって、そのインシデントに関連する少なくとも１つの動作状態情報と、少なくとも１つの動作状態情報のそれぞれを出力した情報処理システムのノードと、を関連付けて保持するデータ保持部と、複数のインシデントの中から選択された選択インシデントに類似する類似インシデントを特定する特定部と、を備えてもよい。特定部は、１つまたは複数のノードから出力された複数の動作状態情報が選択インシデントに関連付けられている場合、複数のインシデントのうち、選択インシデントと同一の複数の動作状態情報が関連付けられており、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定してもよい。 In order to solve the above-described problem, an incident management system according to an aspect of the present invention includes at least one operation state information indicating an incident and an operation state of the information processing system for each incident occurring in the information processing system, A data holding unit that holds and associates at least one operation state information related to the incident and a node of the information processing system that outputs each of the at least one operation state information, and is selected from a plurality of incidents A specifying unit that specifies a similar incident similar to the selected incident. When the plurality of operation state information output from one or a plurality of nodes is associated with the selected incident, the specific unit is associated with a plurality of operation state information identical to the selected incident among the plurality of incidents. In addition, incidents that match the nodes that output the plurality of pieces of operation state information may be identified as similar incidents.

本発明の別の態様は、インシデント管理方法である。この方法は、データ保持部と、特定部と、を備えるインシデント管理システムに実行させるインシデント管理方法であって、データ保持部は、情報処理システムにおいて発生したインシデントごとに、インシデントと、情報処理システムの動作状態を示す少なくとも１つの動作状態情報であって、そのインシデントに関連する少なくとも１つの動作状態情報と、少なくとも１つの動作状態情報のそれぞれを出力した情報処理システムのノードと、を関連付けて保持し、当該インシデント管理方法は、複数のインシデントの中から選択された選択インシデントに類似する類似インシデントを特定するステップを含む。特定するステップでは、１つまたは複数のノードから出力された複数の動作状態情報が選択インシデントに関連付けられている場合、複数のインシデントのうち、選択インシデントと同一の複数の動作状態情報が関連付けられており、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定する。 Another aspect of the present invention is an incident management method. This method is an incident management method that is executed by an incident management system including a data holding unit and a specifying unit, and the data holding unit performs an incident and an information processing system for each incident that occurs in the information processing system. At least one piece of operation state information indicating the operation state, and at least one piece of operation state information related to the incident and the node of the information processing system that outputs each of the at least one piece of operation state information are stored in association with each other. The incident management method includes a step of identifying a similar incident similar to a selected incident selected from a plurality of incidents. In the identifying step, when a plurality of operation state information output from one or a plurality of nodes is associated with the selected incident, a plurality of operation state information identical to the selected incident is associated among the plurality of incidents. The incidents that match the nodes that output the plurality of pieces of operation state information are identified as similar incidents.

なお、以上の構成要素の任意の組合せ、本発明の表現をコンピュータプログラム、コンピュータプログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。 It should be noted that any combination of the above-described constituent elements and a conversion of the expression of the present invention between a computer program, a recording medium storing the computer program, and the like are also effective as an aspect of the present invention.

本発明によれば、情報処理システムにおいて発生したインシデントの効率的な管理を支援できる。 According to the present invention, it is possible to support efficient management of incidents that occur in an information processing system.

実施の形態の運用管理システムの構成を示す図である。It is a figure which shows the structure of the operation management system of embodiment. インシデント情報画面を示す図である。It is a figure which shows an incident information screen. 類似インシデント一覧画面を示す図である。It is a figure which shows a similar incident list screen. インシデント管理システムの機能構成を示すブロック図である。It is a block diagram which shows the function structure of an incident management system. 図４の動作状態情報保持部のデータ構造を示す図である。It is a figure which shows the data structure of the operation state information holding | maintenance part of FIG. 図４のノード情報保持部のデータ構造を示す図である。It is a figure which shows the data structure of the node information holding part of FIG. 形態素解析により抽出された動作状態情報を示す図である。It is a figure which shows the operation state information extracted by the morphological analysis.

図１は、実施の形態の運用管理システム７００の構成を示す。情報処理システム４００で総称される第１情報処理システム４００ａ、第２情報処理システム４００ｂ、第３情報処理システム４００ｃ、・・・は、様々な企業の基幹系システムや情報系システムを含む。運用管理システム７００は、ＩＴサービス企業（例えばＳＩ企業）に構築されたコンピュータシステムである。運用管理システム７００は、複数の情報処理システム４００に対する運用管理サービスを提供する。言い換えれば、運用管理システム７００は、ＩＴサービス企業の運用部門による運用管理業務を支援する。 FIG. 1 shows a configuration of an operation management system 700 according to the embodiment. The first information processing system 400a, the second information processing system 400b, the third information processing system 400c,..., Which are collectively referred to as the information processing system 400, include backbone systems and information systems of various companies. The operation management system 700 is a computer system built in an IT service company (for example, an SI company). The operation management system 700 provides an operation management service for a plurality of information processing systems 400. In other words, the operation management system 700 supports the operation management work by the operation department of the IT service company.

運用管理システム７００は、情報処理システム４００に対する運用管理サービスを提供する。運用管理システム７００は、インシデント管理システム１００と、監視装置２００と、運用担当者端末３００と、を含む。インシデント管理システム１００は、監視装置２００や運用担当者端末３００から送信されたインシデントに関する情報を管理する。インシデント管理システム１００の詳細な機能構成は図２に関連して後述する。 The operation management system 700 provides an operation management service for the information processing system 400. The operation management system 700 includes an incident management system 100, a monitoring device 200, and an operation staff terminal 300. The incident management system 100 manages information related to incidents transmitted from the monitoring device 200 and the operator terminal 300. A detailed functional configuration of the incident management system 100 will be described later with reference to FIG.

監視装置２００は、情報処理システム４００の動作状態を監視し、例えば死活監視処理やハードウェアリソースの使用状況の監視処理を実行する。情報処理システム４００の動作状態が所定の異常状態になった場合、監視装置２００は、新たなインシデントを起票してそのインシデント情報をインシデント管理システム１００へ送信する。また監視装置２００は、インシデントを起票済の情報処理システム４００の動作状態が変化した場合、そのインシデントの更新情報をインシデント管理システム１００へ送信する。 The monitoring device 200 monitors the operating state of the information processing system 400, and executes, for example, life and death monitoring processing or hardware resource usage status monitoring processing. When the operation state of the information processing system 400 becomes a predetermined abnormal state, the monitoring apparatus 200 issues a new incident and transmits the incident information to the incident management system 100. In addition, when the operating state of the information processing system 400 that has issued an incident changes, the monitoring apparatus 200 transmits update information of the incident to the incident management system 100.

運用担当者端末３００は、運用部門の担当者（以下、「運用担当者」と呼ぶ）により操作される情報処理端末であり、インシデント管理システム１００から提供されたインシデント情報画面や類似インシデント一覧画面（いずれも後述）を所定のディスプレイに表示させる。運用担当者端末３００は、情報処理システム４００で発生したインシデントに関する情報（例えばインシデント情報画面に対して入力されたインシデントの起票情報や更新情報）の入力を運用担当者から受け付ける。そして、その情報をインシデント管理システム１００へ送信する。 The operation person in charge terminal 300 is an information processing terminal operated by a person in charge in the operation department (hereinafter referred to as “operation person”), and is provided with an incident information screen and a similar incident list screen provided from the incident management system 100 ( (Both described later) are displayed on a predetermined display. The operation staff terminal 300 accepts input of information related to an incident that has occurred in the information processing system 400 (for example, incident draft information and update information input to the incident information screen) from the operation staff. Then, the information is transmitted to the incident management system 100.

図２は、インシデント情報画面を示す。インシデント情報画面は、インシデント管理システム１００に保持されたインシデントに関する各種の属性情報を表示する。運用担当者は、インシデント情報画面に対して基本情報８００や詳細情報８０２を入力して新たなインシデントを起票する。運用担当者は、インシデントに対する検討や作業の進展に伴って、インシデント情報画面において経過情報８０１を逐次追加し、またインシデントのステータスを適宜変更する。また、図示しないが、運用担当者は経過情報８０１に任意でタグ（以下、「履歴タグ」と呼ぶ）を付与してもよく、あらかじめ記憶させたキーワードと履歴タグの組み合わせに基づいて履歴タグが自動で付与されるようにしてもよい。監視装置２００からインシデント管理システム１００へ送信される情報も、図２で示すインシデントの各種属性情報である。なお図２のインシデント情報画面には、インシデント属性情報保持部３１（後述）に保持される複数のインシデントのうち運用担当者が選択した１つのインシデント（以下、「選択インシデント」とも呼ぶ）の情報が表示される。類似インシデントボタン８０３は、選択インシデントに類似する類似インシデントを検索（特定）する際に押下される。 FIG. 2 shows an incident information screen. The incident information screen displays various attribute information related to the incident held in the incident management system 100. The person in charge of operation inputs the basic information 800 and the detailed information 802 on the incident information screen and issues a new incident. The person in charge of operation sequentially adds the progress information 801 on the incident information screen as the incident is examined and the work progresses, and appropriately changes the status of the incident. Although not shown, the person in charge of operation may arbitrarily add a tag (hereinafter referred to as “history tag”) to the progress information 801, and the history tag is based on a combination of a keyword and a history tag stored in advance. You may make it give automatically. Information transmitted from the monitoring device 200 to the incident management system 100 is also various attribute information of the incident shown in FIG. In the incident information screen of FIG. 2, information on one incident (hereinafter also referred to as “selected incident”) selected by the operation person among a plurality of incidents held in the incident attribute information holding unit 31 (described later) is displayed. Is displayed. A similar incident button 803 is pressed when searching for (identifying) a similar incident similar to the selected incident.

図３は、類似インシデント一覧画面を示す。類似インシデント一覧画面は、インシデント情報画面の類似インシデントボタン８０３が押下されると表示される画面であり、類似インシデントの一覧が類似スコア（後述）の順に表示される。インシデントＩＤ欄８１０には、インシデントを一意に特定するためのＩＤであって、特定された類似インシデントのインシデントＩＤが表示される。タイトル欄８１４には、類似インシデントのタイトルが表示される。類似スコア欄８１２には、類似インシデントの類似度を示す点数が表示される。タイトル欄８１４には、類似インシデントのタイトルが表示される。タイトル欄８１４のタイトルにはリンクが張られており、ユーザがタイトルを押下することによってその類似インシデントのインシデント情報画面が表示される。 FIG. 3 shows a similar incident list screen. The similar incident list screen is a screen that is displayed when the similar incident button 803 on the incident information screen is pressed, and a list of similar incidents is displayed in the order of similar scores (described later). In the incident ID column 810, an ID for uniquely identifying an incident and an incident ID of the identified similar incident is displayed. The title column 814 displays the titles of similar incidents. In the similar score column 812, a score indicating the similarity of similar incidents is displayed. The title column 814 displays the titles of similar incidents. The title column 814 is linked to the title, and when the user presses the title, the incident information screen of the similar incident is displayed.

なお、図示しないが、インシデントＩＤの代わりに、インシデントを特定するタグ（以下、「インシデント管理タグ」と呼ぶ）を表示するようにしてもよい。例えば、あらかじめインシデントＩＤとインシデント管理タグを関連付けて登録し、前記所定の組み合わせに基づいて、インシデントを一意に特定するインシデント管理タグを類似インシデント一覧画面に示してもよい。 Although not shown, a tag for identifying an incident (hereinafter referred to as “incident management tag”) may be displayed instead of the incident ID. For example, an incident ID and an incident management tag may be registered in association with each other in advance, and an incident management tag that uniquely identifies an incident based on the predetermined combination may be displayed on the similar incident list screen.

図４は、インシデント管理システム１００の機能構成を示すブロック図である。これら各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。 FIG. 4 is a block diagram illustrating a functional configuration of the incident management system 100. Each of these blocks can be realized in hardware by an element such as a CPU of a computer or a mechanical device, and is realized in software by a computer program or the like, but here, functions realized by their cooperation. Draw a block. Therefore, those skilled in the art will understand that these functional blocks can be realized in various forms by a combination of hardware and software.

インシデント管理システム１００は、通信処理部１０と、データ処理部２０と、データ保持部３０と、を含む。通信処理部１０は、運用担当者端末３００とのインタフェースを担当する。また通信処理部１０は、監視装置２００との通信処理も担当する。データ処理部２０は、通信処理部１０によって取得されたデータやデータ保持部３０に保持されたデータをもとにして各種のデータ処理を実行する。データ処理部２０は、通信処理部１０とデータ保持部３０との間のインタフェースの役割も果たす。データ保持部３０は、あらかじめ用意された各種の設定データや、通信処理部１０やデータ処理部２０から受け取ったデータを保持する。 Incident management system 100 includes a communication processing unit 10, a data processing unit 20, and a data holding unit 30. The communication processing unit 10 is in charge of an interface with the operation staff terminal 300. The communication processing unit 10 is also in charge of communication processing with the monitoring device 200. The data processing unit 20 executes various data processing based on the data acquired by the communication processing unit 10 and the data stored in the data storage unit 30. The data processing unit 20 also serves as an interface between the communication processing unit 10 and the data holding unit 30. The data holding unit 30 holds various setting data prepared in advance and data received from the communication processing unit 10 or the data processing unit 20.

通信処理部１０は、入力部１１と、表示制御部１２と、インシデント情報受付部１３と、を含む。入力部１１は運用担当者からの入力を受け付ける。表示制御部１２は、画面生成部２４（後述）により生成される各種情報を画面表示させる。表示制御部１２は、例えばインシデント情報画面を運用担当者端末３００のディスプレイに表示させる。 The communication processing unit 10 includes an input unit 11, a display control unit 12, and an incident information reception unit 13. The input unit 11 receives an input from a person in charge of operation. The display control unit 12 displays various information generated by a screen generation unit 24 (described later) on the screen. For example, the display control unit 12 displays an incident information screen on the display of the operator terminal 300.

インシデント情報受付部１３は、監視装置２００から、インシデントの各種属性情報を指定したインシデントの起票情報および更新情報を受け付ける。またインシデント情報受付部１３は、運用担当者端末３００から、インシデント情報画面に入力されたインシデントの属性情報をインシデントの起票情報や更新情報として受け付ける。そして、監視装置２００および運用担当者端末３００から受け付けたインシデントの属性情報をインシデント属性情報保持部３１（後述）に格納する。 The incident information receiving unit 13 receives from the monitoring apparatus 200 incident incident information and update information that specify various incident attribute information. The incident information receiving unit 13 receives incident attribute information input on the incident information screen from the operation staff terminal 300 as incident draft information and update information. The incident attribute information received from the monitoring device 200 and the operation staff terminal 300 is stored in the incident attribute information holding unit 31 (described later).

データ保持部３０は、インシデント属性情報保持部３１と、動作状態情報保持部３２と、ノード情報保持部３３と、を含む。データ保持部３０は、主として、メモリやハードディスクなど任意の記録媒体により構成される。 The data holding unit 30 includes an incident attribute information holding unit 31, an operation state information holding unit 32, and a node information holding unit 33. The data holding unit 30 is mainly composed of an arbitrary recording medium such as a memory or a hard disk.

インシデント属性情報保持部３１は、複数の情報処理システム４００のそれぞれにおいて発生した複数のインシデントに関する属性情報を保持する。この属性情報は、図２のインシデント情報画面で示した各種情報項目であり、例えば、インシデントＩＤ・システム名・ステータス・優先度等を含む。 The incident attribute information holding unit 31 holds attribute information related to a plurality of incidents that occurred in each of the plurality of information processing systems 400. This attribute information is various information items shown on the incident information screen in FIG. 2, and includes, for example, an incident ID, a system name, a status, a priority, and the like.

動作状態情報保持部３２は、インシデントに関係する可能性がある動作状態情報を保持する。動作状態情報は、情報処理システム４００に含まれるノード（ネットワーク機器、サーバ、ストレージ）、その上で動作しているＯＳ、ミドルウェア、またはアプリケーションソフトウェア（以下、これらを情報処理システム４００の「構成要素」とも呼ぶ）の動作状態に関する情報を含む。図５は、動作状態情報保持部３２のデータ構造を示す。動作状態情報保持部３２は、インシデントＩＤ３２ａと、ノード３２ｂと、動作状態情報３２ｃとを対応付けて保持する。インシデントＩＤ３２ａはインシデントを一意に識別するＩＤであり、図２のインシデント情報画面のインシデントＩＤや図３の類似インシデント一覧画面のインシデントＩＤと対応する。ノード３２ｂは、情報処理システム４００のノードを示す。動作状態情報３２ｃは、情報処理システム４００の構成要素の動作状態情報であって、後述するように登録部２３がログから抽出した動作状態情報を示す。例えば、インシデントＩＤ「０００２」のインシデント（以下、インシデント（０００２）のように表記する）には、Ａサーバ０１またはその上で動作しているＯＳ等から抽出された動作状態情報と、Ｂルータまたはその上で動作しているＯＳ等から抽出された動作状態情報が関連付けられている。 The operation state information holding unit 32 holds operation state information that may be related to an incident. The operation state information includes nodes (network devices, servers, storages) included in the information processing system 400, OS, middleware, or application software (hereinafter referred to as “components” of the information processing system 400) operating on the nodes. (Also referred to as “operating state”). FIG. 5 shows a data structure of the operation state information holding unit 32. The operation state information holding unit 32 holds the incident ID 32a, the node 32b, and the operation state information 32c in association with each other. The incident ID 32a is an ID for uniquely identifying an incident, and corresponds to the incident ID on the incident information screen in FIG. 2 and the incident ID on the similar incident list screen in FIG. A node 32 b indicates a node of the information processing system 400. The operation state information 32c is operation state information of components of the information processing system 400, and indicates operation state information extracted from the log by the registration unit 23 as described later. For example, the incident with the incident ID “0002” (hereinafter referred to as incident (0002)) includes the operation state information extracted from the A server 01 or the OS operating on the server A, the B router, The operating state information extracted from the operating OS or the like operating on that is associated.

図６は、ノード情報保持部３３のデータ構造を示す。ノード情報保持部３３は、ノード名３３ａと、類似判定ノード名３３ｂと、を対応づけて保持する。ノード名３３ａは、ノードを一意に識別するノード名である。類似判定ノード名３３ｂは、特定部２１（後述）により類似インシデントを特定する際に使用されるノード名である。図６の例では、Ａサーバ０１とＡサーバ０２はいずれも類似判定ノード名が「Ａサーバ」である。したがって、特定部２１は、類似インシデントを特定する際、Ａサーバ０１とＡサーバ０２を同一のノードとして取り扱う。 FIG. 6 shows the data structure of the node information holding unit 33. The node information holding unit 33 holds the node name 33a and the similarity determination node name 33b in association with each other. The node name 33a is a node name that uniquely identifies the node. The similarity determination node name 33b is a node name used when a similar incident is specified by the specifying unit 21 (described later). In the example of FIG. 6, the similarity determination node name of both the A server 01 and the A server 02 is “A server”. Therefore, the specifying unit 21 handles the A server 01 and the A server 02 as the same node when specifying a similar incident.

図４に戻り、データ処理部２０は、特定部２１と、登録部２３と、画面生成部２４と、を含む。登録部２３は、インシデントごとに、そのインシデントに関係する可能性がある動作状態情報を動作状態情報保持部３２に登録する。具体的には、登録部２３は、インシデントの発生前後の所定期間（例えばインシデント発生時刻の前後１０分間）における情報処理システム４００の各構成要素のログを取得し、構成要素ごとのログの出力規則を考慮して（例えば構成要素ごとのキーワードをキーにして）、ログから動作状態情報を抽出する。そして、登録部２３は、抽出した動作状態情報を動作状態情報保持部３２に登録する。 Returning to FIG. 4, the data processing unit 20 includes a specifying unit 21, a registration unit 23, and a screen generation unit 24. For each incident, the registration unit 23 registers operation state information that may be related to the incident in the operation state information holding unit 32. Specifically, the registration unit 23 acquires a log of each component of the information processing system 400 in a predetermined period before and after the occurrence of the incident (for example, 10 minutes before and after the incident occurrence time), and a log output rule for each component (For example, using a keyword for each component as a key), the operation state information is extracted from the log. Then, the registration unit 23 registers the extracted operation state information in the operation state information holding unit 32.

特定部２１は、動作状態情報保持部３２を参照して、選択インシデントに類似する類似インシデントを特定する。なお、特定部２１は、類似インシデントを特定する際、ノード情報保持部３３の類似判定ノード名が同じノードを同一のノードとして取り扱う。例えば、特定部２１は、類似判定ノード名がいずれも「Ａサーバ」であるノード（Ａサーバ０１）とノード（Ａサーバ０２）を同一のノードとして取り扱う。なお、特定部２１が同一のノードとして取り扱うノードを決定する方法はこれに限られない。例えば、ノード名がノードの種別を表す文字列と数字との組み合わせである場合、特定部２１は、ノード名から数字を削除した名前が同じノードを、同一のノードとして取り扱うよう決定してもよい。 The specifying unit 21 refers to the operation state information holding unit 32 and specifies a similar incident similar to the selected incident. The identifying unit 21 treats nodes having the same similarity determination node name in the node information holding unit 33 as the same node when identifying a similar incident. For example, the specifying unit 21 treats a node (A server 01) and a node (A server 02) whose similarity determination node names are both “A server” as the same node. Note that the method of determining the nodes handled by the specifying unit 21 as the same node is not limited to this. For example, when the node name is a combination of a character string representing the type of the node and a number, the specifying unit 21 may determine to treat the same name by removing the number from the node name as the same node. .

具体的には、特定部２１は、１つの動作状態情報が選択インシデントに関連付けられている場合、その動作状態情報と同一の動作状態情報が関連付けられ、かつ、その動作状態情報を出力したノードが一致するインシデントを類似インシデントとして特定する。 Specifically, when one piece of operation state information is associated with the selected incident, the specifying unit 21 associates the same operation state information with the operation state information, and the node that has output the operation state information Identify matching incidents as similar incidents.

例えば、選択インシデントがインシデント（０００８）の場合、特定部２１は、選択インシデント（０００８）と同様に「Ｄサーバ」において「Diskusedover70%」が検知されたインシデント（０００１）とインシデント（０００５）とを、類似インシデントとして特定する。 For example, when the selected incident is the incident (0008), the identifying unit 21 identifies the incident (0001) and the incident (0005) in which “Diskusedover 70%” is detected in the “D server” in the same manner as the selected incident (0008). Identify as a similar incident.

また、特定部２１は、１つまたは複数のノードから出力された複数の動作状態情報が選択インシデントに関連付けられている場合、それら複数の動作状態情報と同一の複数の動作状態情報が関連付けられており、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定する。 Further, when a plurality of operation state information output from one or a plurality of nodes is associated with the selected incident, the specifying unit 21 associates a plurality of operation state information that is the same as the plurality of operation state information. The incidents that match the nodes that output the plurality of pieces of operation state information are identified as similar incidents.

例えば、選択インシデントがインシデント（００１２）の場合、特定部２１は、選択インシデント（００１２）と同様に「Ａサーバ０１」または「Ａサーバ０２」で「CPUuserdover90%」が検知され、「Ｂルータ」で「NWcheckedNG」が検知されているインシデント（０００２）とインシデント（０００５）とインシデント（００１０）を類似インシデントとして特定する。 For example, when the selected incident is the incident (0012), the identifying unit 21 detects “CPUuserdover90%” in the “A server 01” or “A server 02” in the same manner as the selected incident (0012), and the “B router”. Incident (0002), incident (0005), and incident (0010) in which “NWcheckedNG” is detected are identified as similar incidents.

また、特定部２１は、特定した類似インシデントの類似度（類似度スコア）も特定する。例えば、特定部２１は、選択インシデントに関連付けられている１または複数の動作状態情報とは異なる動作状態情報がより多く関連付けられているインシデントほど、類似度の低い類似インシデントであると特定する。本実施の形態では、特定部２１は、選択インシデントとは異なる動作状態情報が関連付けられている分だけ類似度スコア「１００点」から減点する（例えば１つ当たり−２０点する）ことにより、類似度を特定する。 The identifying unit 21 also identifies the similarity (similarity score) of the identified similar incident. For example, the specifying unit 21 specifies that an incident in which more operation state information different from one or more operation state information associated with the selected incident is associated is a similar incident with a lower similarity. In the present embodiment, the specifying unit 21 deducts points from the similarity score “100 points” by the amount associated with the operation state information different from the selected incident (for example, by assigning −20 points for each), thereby making the similarity Specify the degree.

例えば、動作状態情報が図５の状態の場合、選択インシデント（００１２）の類似インシデントであるインシデント（０００２）、インシデント（０００５）、インシデント（００１０）の類似スコアはそれぞれ、１００点、８０点、６０点となる。 For example, when the operation state information is the state of FIG. 5, the similarity scores of incident (0002), incident (0005), and incident (0010) that are similar incidents of the selected incident (0012) are 100 points, 80 points, and 60 points, respectively. It becomes a point.

画面生成部２４は、インシデント情報画面や類似インシデント一覧画面などの各種画面を生成する。 The screen generator 24 generates various screens such as an incident information screen and a similar incident list screen.

以上のように構成されたインシデント管理システム１００について、類似インシデントを特定するときの動作を説明する。選択インシデントのインシデント情報画面で類似インシデント検索ボタン（図２の類似インシデントボタン８０３）が押下されると、特定部２１は、類似インシデントを特定する。画面生成部２４は、特定部２１により特定された類似インシデントが表示された類似インシデント一覧画面を生成する。表示制御部１２は、画面生成部２４が生成した類似インシデント一覧画面を画面表示させる。ユーザは、類似インシデント一覧画面のタイトルに張られたリンクをクリックして類似インシデントのインシデント情報画面を表示させる。ユーザは、表示された類似インシデントの経過情報等に記載された対応内容を、選択インシデントを終了へ向けて進展させるための情報（すなわちナレッジ情報）として活用する。 With respect to the incident management system 100 configured as described above, an operation when a similar incident is specified will be described. When a similar incident search button (similar incident button 803 in FIG. 2) is pressed on the incident information screen of the selected incident, the specifying unit 21 specifies a similar incident. The screen generation unit 24 generates a similar incident list screen on which the similar incidents specified by the specifying unit 21 are displayed. The display control unit 12 displays the similar incident list screen generated by the screen generation unit 24 on the screen. The user clicks the link attached to the title of the similar incident list screen to display the incident information screen of similar incidents. The user utilizes the response content described in the displayed progress information of the similar incident as information (that is, knowledge information) for advancing the selected incident toward the end.

以上説明した実施の形態のインシデント管理システム１００によると、１つまたは複数のノードで出力（検知）された複数の動作状態情報が選択インシデントに関連付けられている場合、選択インシデントと同一の複数の動作状態情報が関連付けられ、かつ、それら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定する。ここで、情報処理システム４００では、１つの原因から生じた障害によって多数の構成要素が連鎖的に影響を受けることがある。これに対し、実施の形態のインシデント管理システム１００では、上述のように、関連付けられた「複数」の動作状態情報が一致し、しかもそれら複数の動作状態情報をそれぞれ出力したノードが一致するインシデントを類似インシデントとして特定するため、構成要素に連鎖的に障害が発生するようなインシデントであっても高精度に類似インシデントを特定でき、その類似インシデントのナレッジを活用できる。すなわち、インシデントの効率的な管理を支援できる。 According to the incident management system 100 of the embodiment described above, when a plurality of operation state information output (detected) by one or a plurality of nodes is associated with a selected incident, a plurality of operations identical to the selected incident Incidents that are associated with state information and that match the nodes that output the plurality of pieces of operation state information are identified as similar incidents. Here, in the information processing system 400, a large number of components may be affected in a chain manner by a failure caused by one cause. On the other hand, in the incident management system 100 according to the embodiment, as described above, incidents in which the associated “plurality” of operation state information matches and nodes that output the plurality of operation state information respectively match each other are detected. Since the incident is identified as a similar incident, it is possible to identify a similar incident with high accuracy even if it is an incident in which a failure occurs in a component, and the knowledge of the similar incident can be used. That is, efficient management of incidents can be supported.

また、実施の形態のインシデント管理システム１００によると、情報処理システム４００のログから抽出された情報が動作状態情報としてインシデントと関連付けられ、関連付けられた動作状態情報に基づき類似インシデントが特定される。ここで、従来のインシデント管理システムでは、運用担当者が入力したサマリー情報に基づき類似インシデントが特定されていた。運用担当者によっては、同じ事象であっても、例えば「ＣＰＵ使用率が高騰」というサマリー情報を入力する者もいれば「応答が遅い」というサマリー情報を入力する者もいる。つまり、同じ事象であっても運用担当者によって入力されるサマリー情報が異なりうる。もちろん、運用担当者が同じであっても、事象が発生したタイミングによっては、異なるサマリー情報が入力されうる。そのため、従来のインシデント管理システムでは、同じ事象であっても類似インシデントとして特定されない場合があった。一方、運用担当者ごとで入力情報が異ならないようにインシデントに関する情報としてログをそのまま関連付けることも考えられるが、データ容量が膨大となるため現実的ではない。これに対し、実施の形態のインシデント管理システム１００では、上述のようにログから抽出された動作状態情報がインシデントに関連付けられ、動作状態情報に基づき類似インシデントが特定されるため、より高精度に類似インシデントを特定できる。 Further, according to the incident management system 100 of the embodiment, information extracted from the log of the information processing system 400 is associated with an incident as operation state information, and a similar incident is specified based on the associated operation state information. Here, in the conventional incident management system, similar incidents are specified based on summary information input by the person in charge of operations. Depending on the person in charge of operation, for example, there are those who input the summary information that “the CPU usage rate is rising”, for example, and those who input the summary information that “the response is slow”, even for the same event. That is, the summary information input by the person in charge of operation can be different even for the same event. Of course, even if the person in charge of the operation is the same, different summary information can be input depending on the timing when the event occurs. Therefore, in the conventional incident management system, there are cases where the same event is not identified as a similar incident. On the other hand, it is conceivable to associate logs directly as incident-related information so that input information does not differ for each person in charge of operation, but this is not realistic because the data capacity becomes enormous. On the other hand, in the incident management system 100 according to the embodiment, the operation state information extracted from the log as described above is associated with the incident, and similar incidents are identified based on the operation state information. Identify incidents.

（変形例１）
実施の形態では、登録部２３が情報処理システム４００の各構成要素のログを取得し、構成要素ごとのログの出力規則を考慮して（例えば構成要素ごとのキーワードをキーにして）、ログから動作状態情報を抽出する場合について説明したが、これに限られない。登録部２３は、各構成要素から取得したログを文字列に要素分解して動作状態情報を抽出してもよい。一例として、登録部２３は、取得したログを形態素に分解し、各要素について活用形、原形、品詞を決定する形態素解析を実施し、名詞として決定された要素を動作状態情報として抽出してもよい。 (Modification 1)
In the embodiment, the registration unit 23 obtains a log of each component of the information processing system 400, considers a log output rule for each component (for example, using a keyword for each component as a key), and logs from the log. Although the case where operation state information is extracted has been described, the present invention is not limited to this. The registration unit 23 may extract the operation state information by decomposing the log acquired from each component into character strings. As an example, the registration unit 23 decomposes the acquired log into morphemes, performs a morphological analysis to determine a utilization form, original form, and part of speech for each element, and extracts an element determined as a noun as operation state information Good.

図７に、形態素解析により抽出された動作状態情報を示す。図７は図５に対応する。図７では、抽出された要素（動作状態情報）をそれぞれ括弧（[]）で区切って表示している。「−」は、動作状態情報が抽出されなかった、インシデントが発生した前後の所定期間に出力されたログは無かったことを示している。 FIG. 7 shows operation state information extracted by morphological analysis. FIG. 7 corresponds to FIG. In FIG. 7, the extracted elements (operation state information) are displayed separated by parentheses ([]). “-” Indicates that there was no log output during a predetermined period before and after the incident occurred when the operation state information was not extracted.

特定部２１は、形態素解析により抽出された動作状態情報に基づいて選択インシデントに類似する類似インシデントを特定する。本変形例では、特定部２１はまず、選択インシデントに関連付けられている各ノードの動作状態情報を１つずつ取り出して総当たりで動作状態情報の組み合わせを作成する。特定部２１は、インシデント属性情報保持部３１に保持される選択インシデント以外のインシデントについても同様に、関連付けられている各ノードの動作状態情報を１つずつ取り出して総当たりで動作状態情報の組み合わせを作成する。そして、特定部２１は、選択インシデントの動作状態情報の組み合わせと一致する動作状態情報の組み合わせを有するインシデントを類似インシデントと特定する。 The specifying unit 21 specifies a similar incident similar to the selected incident based on the operation state information extracted by morphological analysis. In the present modification, the specifying unit 21 first extracts the operation state information of each node associated with the selected incident one by one, and creates a combination of the operation state information with brute force. Similarly, for the incidents other than the selected incident held in the incident attribute information holding unit 31, the specifying unit 21 takes out the operation state information of each associated node one by one, and sets the combination of the operation state information in a brute force manner. create. Then, the specifying unit 21 specifies an incident having a combination of operation state information that matches the combination of operation state information of the selected incident as a similar incident.

例えば選択インシデントがインシデント（０００５）の場合、特定部２１は、関連付けられている２つのノードの動作状態を１つずつ取り出して総当たりで組み合わせて以下の２０通りの動作状態情報の組み合わせを生成する。
Ａサーバ：MODULE001 × Ｂルータ：2016/08/14
Ａサーバ：MODULE001 × Ｂルータ：NIC01
Ａサーバ：MODULE001 × Ｂルータ：NWchecked OK
Ａサーバ：MODULE001 × Ｂルータ：NIC02
Ａサーバ：MODULE001 × Ｂルータ：NWcheckedNG
Ａサーバ：Status005 × Ｂルータ：2016/08/14
Ａサーバ：Status005 × Ｂルータ：NIC01
Ａサーバ：Status005 × Ｂルータ：NWchecked OK
Ａサーバ：Status005 × Ｂルータ：NIC02
Ａサーバ：Status005 × Ｂルータ：NWcheckedNG
Ａサーバ：CPUusedover90% × Ｂルータ：2016/08/14
Ａサーバ：CPUusedover90% × Ｂルータ：NIC01
Ａサーバ：CPUusedover90% × Ｂルータ：NWchecked OK
Ａサーバ：CPUusedover90% × Ｂルータ：NIC02
Ａサーバ：CPUusedover90% × Ｂルータ：NWcheckedNG
Ａサーバ：IO ERR × Ｂルータ：2016/08/14
Ａサーバ：IO ERR × Ｂルータ：NIC01
Ａサーバ：IO ERR × Ｂルータ：NWchecked OK
Ａサーバ：IO ERR × Ｂルータ：NIC02
Ａサーバ：IO ERR × Ｂルータ：NWcheckedNG For example, when the selected incident is incident (0005), the specifying unit 21 extracts the operation states of two associated nodes one by one and combines them in a brute force manner to generate the following 20 combinations of operation state information. .
A server: MODULE001 x B router: 2016/08/14
A server: MODULE001 × B router: NIC01
A server: MODULE001 × B router: NWchecked OK
A server: MODULE001 × B router: NIC02
A server: MODULE001 × B router: NWcheckedNG
A server: Status005 × B router: 08/14/2016
A server: Status005 × B router: NIC01
A server: Status005 × B router: NWchecked OK
A server: Status005 × B router: NIC02
A server: Status005 × B router: NWcheckedNG
A server: CPUused 90% x B router: 2016/08/14
A server: CPUusedover90% × B router: NIC01
A server: CPUusedover90% × B router: NWchecked OK
A server: CPUusedover90% × B router: NIC02
A server: CPUusedover90% × B router: NWcheckedNG
A server: IO ERR × B router: 2016/08/14
A server: IO ERR × B router: NIC01
A server: IO ERR × B router: NWchecked OK
A server: IO ERR × B router: NIC02
A server: IO ERR × B router: NWcheckedNG

特定部２１は、選択インシデント以外のインシデントについても同様に、動作状態情報の組み合わせを生成する。そして、特定部２１は、各インシデントについて、選択インシデントの動作状態上の組み合わせと一致する動作状態情報の組み合わせを持つか確認し、一致する動作状態情報の組み合わせがあるインシデントを類似インシデントと特定する。例えば選択インシデントがインシデント（０００５）の場合、特定部２１は、選択インシデント（０００５）の動作状態情報の組み合わせと一致する以下の２組の動作状態情報の組み合わせを持つインシデント（０００１）を類似インシデントとして特定する。
Ａサーバ：CPUusedover90% × Ｂルータ：NWchecked NG
Ａサーバ：IO ERR × Ｂルータ：NWcheckedNG Similarly, the identifying unit 21 generates a combination of operation state information for incidents other than the selected incident. Then, the identifying unit 21 checks whether each incident has a combination of operation state information that matches the combination on the operation state of the selected incident, and identifies an incident that has a combination of the matching operation state information as a similar incident. For example, when the selected incident is the incident (0005), the specifying unit 21 sets the incident (0001) having the following two combinations of the operation state information that matches the combination of the operation state information of the selected incident (0005) as the similar incident. Identify.
A server: CPUusedover90% × B router: NWchecked NG
A server: IO ERR × B router: NWcheckedNG

また特定部２１は、選択インシデント（０００５）の動作状態情報の組み合わせと一致する以下の１つの動作状態情報の組み合わせを持つインシデント（０００３）を類似インシデントとして特定する。
Ａサーバ：CPUusedover90% × Ｂルータ：NWchecked NG Further, the specifying unit 21 specifies an incident (0003) having one combination of the following operation state information that matches the combination of operation state information of the selected incident (0005) as a similar incident.
A server: CPUusedover90% × B router: NWchecked NG

特定部２１はまた、特定した類似インシデントの類似度（類似度スコア）も特定する。特定部２１は、選択インシデントの動作状態情報の組み合わせと一致する動作状態情報の組み合わせの数が多いほど、類似度の高い類似インシデントであると特定する。また特定部２１は、選択インシデントとは異なるノードの動作状態情報が関連付けられているインシデントほど類似度の低い類似インシデントであると特定する。具体的には、特定部２１は、選択インシデントと同じ動作状態情報の組み合わせの数だけ類似度スコアに加点（例えば１つあたり＋２０点）し、選択インシデントとは異なるノードの動作状態情報が関連付けられている場合はその異なるノードの数だけ類似度スコアから減点（例えば１つあたり−５点）することにより、類似度を特定する。 The identifying unit 21 also identifies the similarity (similarity score) of the identified similar incident. The identifying unit 21 identifies a similar incident with a higher degree of similarity as the number of combinations of operating state information that matches the operating state information combination of the selected incident increases. Further, the specifying unit 21 specifies that an incident associated with operation state information of a node different from the selected incident is a similar incident having a lower similarity. Specifically, the specifying unit 21 adds points (for example, +20 points for each) to the similarity score by the number of combinations of the same operation state information as the selected incident, and the operation state information of a node different from the selected incident is associated. If the number of different nodes is different, the similarity score is specified by deducting points from the similarity score (for example, -5 points per one).

本変形例によれば、実施の形態のインシデント管理システム１００によって奏される作用効果と同様の作用効果が奏される。加えて、本変形によれば、登録部２３が形態素解析によりログから抽出した動作状態情報に基づき、特定部２１が類似インシデントを特定できる。この場合、ユーザが構成要素ごとのログの出力規則を把握する必要がないため、ユーザの負担が軽減される。 According to this modification, the same operational effects as the operational effects achieved by the incident management system 100 of the embodiment are exhibited. In addition, according to this modification, the specifying unit 21 can specify the similar incident based on the operation state information extracted from the log by the registration unit 23 through the morphological analysis. In this case, since it is not necessary for the user to understand the log output rule for each component, the burden on the user is reduced.

（変形例２）
実施の形態では特に言及しなかったが、対応が完了したインシデントについては、そのインシデントを終了へ向けて進展させるために実行した復旧処理をスクリプトとして登録してもよい。この場合、特定部２１は、インシデントが起票され、インシデントに動作状態情報が関連付けられると、自動で類似インシデントを特定し、類似度スコアを特定する。特定部２１は、類似インシデントの類似スコアが所定の閾値以上であり、かつ、類似インシデントにスクリプトが登録されていた場合は、そのスクリプトを自動実行する。本変形例によれば、類似インシデントを特定する操作を実行し、類似インシデントを確認し、類似インシデントと同様の復旧処理を実行する、という手間が省け運用担当者の負荷を軽減できる。なお、スクリプトは、運用担当者が作成して登録しても、インシデントの対応を行った際のログから自動で作成され登録されてもよい。 (Modification 2)
Although not particularly mentioned in the embodiment, for an incident for which the response has been completed, a recovery process executed to advance the incident toward the end may be registered as a script. In this case, when the incident is issued and the operation state information is associated with the incident, the specifying unit 21 automatically specifies the similar incident and specifies the similarity score. If the similarity score of the similar incident is equal to or greater than a predetermined threshold and a script is registered for the similar incident, the specifying unit 21 automatically executes the script. According to the present modification, it is possible to reduce the burden on the operation staff by saving the trouble of executing the operation for identifying the similar incident, confirming the similar incident, and executing the recovery process similar to the similar incident. Note that the script may be created and registered by the person in charge of the operation, or may be automatically created and registered from the log when the incident is handled.

（変形例３）
実施の形態では、運用担当者が１つの選択インシデントを指定でき、選択された１つの選択インシデントに類似する類似インシデントを特定する場合について説明したが、これに限られない。運用担当者が複数の選択インシデントを指定できてもよい。例えば、運用担当者は、インシデント一覧画面（不図示）においてインシデント一覧の中から複数のインシデントを指定することで複数の選択インシデントを指定できる。この場合、例えば特定部２１が、選択されたインシデントごとに類似インシデントを特定し、それらを和集合したものを、選択された複数の選択インシデントの類似インシデントとしてもよい。 (Modification 3)
In the embodiment, the case has been described in which the person in charge of operation can specify one selected incident and specifies a similar incident similar to the selected one selected incident, but the present invention is not limited to this. The operations staff may be able to specify multiple selected incidents. For example, the person in charge of operation can designate a plurality of selected incidents by designating a plurality of incidents from the incident list on an incident list screen (not shown). In this case, for example, the specifying unit 21 may specify similar incidents for each selected incident, and a sum of them may be used as similar incidents of a plurality of selected incidents.

なお、選択インシデントが複数、例えば２つ（以下、それぞれを「選択インシデント１」と「選択インシデント２」と呼ぶ）選択されている場合、類似インシデント一覧画面において、選択インシデント１と選択インシデント２の双方に類似すると特定された類似インシデントを上位に表示するようにしてもよく、その下位に、選択インシデント１と選択インシデント２のいずれかに類似する類似インシデントを表示してもよい。 When a plurality of selected incidents are selected, for example, two (hereinafter referred to as “selected incident 1” and “selected incident 2”, respectively), both selected incident 1 and selected incident 2 are displayed on the similar incident list screen. Similar incidents identified as being similar to the above may be displayed at the top, and similar incidents similar to either the selected incident 1 or the selected incident 2 may be displayed below the similar incident.

また、複数インシデントを選択する場合に、時系列選択を行うこともできる。例えば選択インシデントが複数、例えば２つ（以下、それぞれを「選択インシデント１」と「選択インシデント２」と呼ぶ）選択されており、インシデント１の後にインシデント２が発生していた場合、特定部２１は、インシデント１の後にインシデント２が生じているという時系列関係（時系列の前後関係の他、発生時間差も評価対象に加えることができる）も踏まえ、過去に同様に、この時系列関係でインシデント１に類似するインシデント１´の後にインシデント２に類似するインシデント２´が発生している類似インシデント群がないかどうかを検索することもできる。 In addition, when selecting a plurality of incidents, time series selection can also be performed. For example, when a plurality of selected incidents, for example, two (hereinafter referred to as “selected incident 1” and “selected incident 2”, respectively) are selected, and the incident 2 occurs after the incident 1, the specifying unit 21 Based on the time-series relationship that incident 2 occurs after incident 1 (in addition to the time-series context, the occurrence time difference can also be added to the evaluation target), the incident 1 It is also possible to search whether there is a similar incident group in which an incident 2 ′ similar to the incident 2 occurs after the incident 1 ′ similar to.

（変形例４）
実施の形態および上述の変形例では特に言及しなかったが、特定部２１によって特定された類似インシデントのうち、ユーザが類似インシデントであると認定した類似インシデントについては、ユーザがインシデント管理システム１００に対してその認定をフィードバックできる（例えば、チェックボックスによってフラグを立てる）ようにしてもよい。インシデント管理システム１００は、そのフィードバックを受け、選択インシデントと、特定部２１により類似インシデントと特定され、かつ、ユーザによって類似インシデントであると認定された類似インシデントとを紐付けて記憶してもよい。例えば、インシデント属性情報保持部３１の属性情報の１つとして、ユーザによって認定された類似インシデントのインシデントＩＤを保持ししてもよい。ユーザは、このように記憶された紐付け関係を利用できる。例えば、過去のインシデントを検索して抽出された過去インシデントを参照している場合に、その過去インシデントと類似関係にあるインシデントを更に参照することができる。また例えば、選択インシデントに類似する類似インシデントを検索した場合に抽出された類似インシデントと類似関係にあるインシデントを参照可能とすることもできる。特に、一般的に、類似関係数が多い過去インシデントは良く参照されるインシデントであり、過去ナレッジとしての価値が高い。 (Modification 4)
Although not specifically mentioned in the embodiment and the above-described modified example, among the similar incidents identified by the identifying unit 21, for the similar incidents that the user has identified as similar incidents, the user The authorization may be fed back (for example, flagged by a check box). The incident management system 100 may receive the feedback and associate and store the selected incident and the similar incident identified as the similar incident by the identifying unit 21 and recognized as the similar incident by the user. For example, as one of the attribute information of the incident attribute information holding unit 31, an incident ID of a similar incident certified by the user may be held. The user can use the association relationship stored in this way. For example, when referring to a past incident extracted by searching for a past incident, it is possible to further refer to an incident having a similar relationship with the past incident. Further, for example, it is possible to make it possible to refer to an incident having a similar relationship with the similar incident extracted when a similar incident similar to the selected incident is searched. In particular, in general, past incidents with a large number of similar relationships are incidents that are often referred to, and have a high value as past knowledge.

２１特定部、３０データ保持部、３１インシデント属性情報保持部、３２動作状態情報保持部、１００インシデント管理システム、４００情報処理システム。 21 Identification part, 30 Data holding part, 31 Incident attribute information holding part, 32 Operation state information holding part, 100 Incident management system, 400 Information processing system.

Claims

For each incident that occurs in the information processing system, the incident and at least one operation state information indicating the operation state of the information processing system, at least one operation state information related to the incident, and at least one operation state information A data holding unit that holds the information processing system nodes that output the
A specific unit that identifies a similar incident similar to a selected incident selected from a plurality of incidents, and
In the case where a plurality of operation state information output from one or a plurality of nodes is associated with a selected incident, the specifying unit associates a plurality of operation state information identical to the selected incident among the plurality of incidents. And an incident management system that identifies incidents that match the nodes that output the plurality of pieces of operation state information as similar incidents.

2. The incident management system according to claim 1, wherein the specifying unit specifies an incident having a lower degree of similarity as an incident associated with more operation state information or node information different from the selected incident. .

An incident management method for causing an incident management system comprising a data holding unit and a specific unit to execute,
The data holding unit includes, for each incident that occurs in the information processing system, an incident and at least one operation state information indicating an operation state of the information processing system, and at least one operation state information related to the incident; A node of an information processing system that outputs each of at least one piece of operation state information,
The incident management method includes a step of identifying a similar incident similar to a selected incident selected from a plurality of incidents,
In the identifying step, when a plurality of operation state information output from one or a plurality of nodes is associated with the selected incident, a plurality of operation state information identical to the selected incident is associated among the plurality of incidents. And an incident that matches the nodes that output the plurality of pieces of operating state information, respectively, is identified as a similar incident.

For each incident that occurs in the information processing system, the incident and at least one operation state information indicating the operation state of the information processing system, at least one operation state information related to the incident, and at least one operation state information A function of associating and holding the nodes of the information processing system that output each of the
A computer with the ability to identify similar incidents similar to the selected incident selected from multiple incidents,
In the case where a plurality of operation state information output from one or a plurality of nodes is associated with a selected incident, the function to be identified is associated with a plurality of operation state information identical to the selected incident among the plurality of incidents. And a computer program characterized by identifying similar incidents as incidents that match the nodes that output the plurality of pieces of operation state information.