JP2022039788A - イベント監視装置及びイベント監視方法 - Google Patents

Abstract

【課題】監視対象システム毎の対応を行うことなく適切な閾値を設定する。【解決手段】台帳ガイドメッセージとイベントメッセージとの類似度を計算し、この類似度の最大値を第１の閾値として、この第１の閾値より所定値だけ大きい第２の閾値を設定する閾値決定プログラムと、類似度が第１の閾値と第２の閾値との間である台帳ガイドメッセージをイベントメッセージに対応付ける台帳引当てプログラム２１１と、類似度が第１の閾値を超えるときに監視対象システムの管理者に報知する閾値評価プログラム２１０とを有する。【選択図】図２

Description

本発明は、イベント監視装置及びイベント監視方法に関する。

情報システム（ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）システム）の運用業務の１つにイベント監視業務がある。企業における基幹業務等に利用される重要なＩＴシステムでは不調や異常などの事象が発生するとイベントを発行するように構成されている。

イベントは、ＩＴシステムに実装されるエージェントと呼ばれるプログラムが発行するデータである。エージェントは、ＩＴシステムを構成する要素、例えばハードウェアあるいはＯＳ（オペレーティングシステム）やミドルウェアなどのソフトウェアを監視対象とし、監視対象の性能や生死といった状態を観測し、また監視対象から出力されるログデータを取得する。観測された状態や取得されたログデータが特定の条件に該当すると、エージェントは、特定の条件に対応する事象の発生を表すイベントを発行する。イベントは、発生した事象を人に伝えるためのデータなので、通常、事象が発生した場所や事象が発生した監視対象や発生した事象などを人が読んで分かるように表した文字列データを含んでいる。この文字列データをイベントメッセージという。エージェントが発行したイベントは管理計算機へ送られる。

管理計算機では各エージェントから受信したイベントを蓄積し、一元的に管理する。また、管理計算機では、監視オペレータ（人間）が各エージェントから受信されるイベントを監視する。監視オペレータは、受信したイベントが、台帳管理テーブルに格納された台帳ガイドメッセージとほぼ一致していることを確認することで、監視対象システムであるＩＴシステムが正常に稼働していることを確認している。

監視オペレータが行う作業としては、管理計算機に新しいイベントが到着すると、まず、そのイベントにほぼ一致する台帳ガイドメッセージを台帳管理部から探索する。具体的には、監視オペレータは、文書の目視あるいは文書の検索などを使用して、イベントに含まれているイベントメッセージの内容に近い台帳ガイドメッセージを見つけ出す（引き当てる）。そして、監視オペレータは、イベントメッセージに対応する台帳ガイドメッセージを引き当てることで、ＩＴシステムが正常に稼働していることを監視する。

イベント監視業務には、以上のようなイベントの監視に関する一連の業務が含まれる。イベント監視業務を適切に継続することで、ＩＴシステムの正常稼働を常時検出することが可能となる。言い換えれば、ＩＴシステムが運用されている限り監視オペレータは常にイベント監視業務を行う必要がある。そのため、イベント監視業務の人件費は非常に大きいものとなっている。

特に、監視オペレータがイベントメッセージに対応する台帳ガイドメッセージを見つけ出す作業に多大なコストがかかっている。台帳ガイドメッセージの引当て作業は、台帳ガイドメッセージやイベントメッセージがＩＴシステム固有のものであることが多く、台帳ガイドメッセージに対して正規表現等を行うことで引き当て精度を上げることができるものの、かかる作業も個別対応であるため、イベント監視業務をコンピュータで支援することができたとしても、作り込みに時間と手間を要していた。

そのため、イベント監視業務をコンピュータで支援する際に、プラント監視制御システムとの間で機器名が完全に一致しない場合でも、形態素解析した機器名とスコアをキーにして検索可能にすることで、イベント監視業務の構築を簡易にかつ迅速に行える技術が開示されている（特許文献１参照）。

特開２０１１－１９８１７６号公報

しかしながら、上述した特許文献１に開示された技術では、監視対象機器を絞り込むための閾値が一意に設定されており、監視対象となるＩＴシステム毎の対応に不十分なところが存在していた。

本発明は、上記事情に鑑みなされたものであり、その目的は、監視対象システム毎の対応を行うことなく適切な閾値を設定することが可能なイベント監視装置及びイベント監視方法を提供することにある。

上記課題を解決すべく、本発明の一つの観点に従うイベント監視装置は、情報システムで発生した事象に関連する文字列で示されたイベントメッセージを含むイベントを監視するイベント監視装置であって、文字列で示された典型的な台帳ガイドメッセージを含みイベントへの対処方法を示す複数の台帳データが格納された台帳管理部と、台帳ガイドメッセージとイベントメッセージとの類似度を計算し、この類似度の最大値を第１の閾値として、この第１の閾値より所定値だけ大きい第２の閾値を設定する閾値決定部と、類似度が第１の閾値と第２の閾値との間である台帳ガイドメッセージをイベントメッセージに対応付ける台帳引当て部と、類似度が第１の閾値を超えるときに情報システムの管理者に報知する閾値評価部とを有する。

本発明によれば、監視対象システム毎の対応を行うことなく適切な閾値を設定することが可能なイベント監視装置及びイベント監視方法を実現することができる。

実施形態に係るイベント監視システムのハードウェア構成例を示す図である。 実施形態に係るイベント監視装置である管理サーバの概略構成を示す図である。 実施形態に係るイベント監視システムのサーバの概略構成を示す図である。 実施形態に係るイベント監視装置の動作の一例を説明するための図である。 実施形態に係るイベント監視装置による閾値決定の手順を説明するための図である。 実施形態に係るイベント監視装置の動作の他の例を説明するための図である。 実施形態に係るイベント監視装置のイベント管理テーブルの一例を示す図である。 実施形態に係るイベント監視装置の過去イベントグループ管理テーブルの一例を示す図である。 実施形態に係るイベント監視装置の台帳管理テーブルの一例を示す図である。 実施形態に係るイベント監視装置のイベントと台帳の一致度を管理するテーブルの一例を示す図である。 実施形態に係るイベント監視装置の台帳と過去の代表イベントを管理するテーブルの一例を示す図である。 実施形態に係るイベント監視装置の台帳における閾値管理テーブルの一例を示す図である。 実施形態に係るイベント監視装置の過去イベントグループ管理テーブルの作成手順の一例を説明するためのフローチャートである。 実施形態に係るイベント監視装置の閾値決定手順の一例を説明するためのフローチャートである。 実施形態に係るイベント監視装置の台帳管理テーブルの補充手順の一例を説明するためのフローチャートである。 実施形態に係るイベント監視装置の台帳引当て部及び閾値評価部の動作を説明するためのフローチャートである。 実施形態に係るイベント監視システムのオペレータ端末等に表示される画面の一例を示す図である。

以下、本発明の実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。

なお、以下の説明において、「メモリ」は、１以上のメモリであり、典型的には主記憶デバイスでよい。メモリ部における少なくとも１つのメモリは、揮発性メモリであってもよいし不揮発性メモリであってもよい。

また、以下の説明において、「プロセッサ」は、１以上のプロセッサである。少なくとも１つのプロセッサは、典型的には、ＣＰＵ（Central Processing Unit）のようなマイクロプロセッサであるが、ＧＰＵ（Graphics Processing Unit）のような他種のプロセッサでもよい。少なくとも１つのプロセッサは、シングルコアでもよいしマルチコアでもよい。

また、少なくとも１つのプロセッサは、処理の一部又は全部を行うハードウェア回路（例えばＦＰＧＡ（Field-Programmable Gate Array）又はＡＳＩＣ（Application Specific Integrated Circuit））といった広義のプロセッサでもよい。

本開示において、ストレージ装置（デバイス）は、１台のＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の１台のストレージドライブ、複数台のストレージドライブを含むＲＡＩＤ装置、及び複数のＲＡＩＤ装置を含む。また、ドライブがＨＤＤである場合には、例えば、ＳＡＳ（Serial Attached SCSI） ＨＤＤを含んでもよく、ＮＬ－ＳＡＳ（ニアラインＳＡＳ） ＨＤＤを含んでもよい。

また、以下の説明において、「ｘｘｘテーブル」といった表現により、入力に対して出力が得られる情報を説明することがあるが、この情報は、どのような構造のデータでもよいし、入力に対する出力を発生するニューラルネットワークのような学習モデルでもよい。従って、「ｘｘｘテーブル」を「ｘｘｘ情報」と言うことができる。

また、以下の説明において、各テーブルの構成は一例であり、１つのテーブルは、２以上のテーブルに分割されてもよいし、２以上のテーブルの全部又は一部が１つのテーブルであってもよい。

また、以下の説明において、「プログラム」を主語として処理を説明する場合があるが、プログラムは、プロセッサによって実行されることで、定められた処理を、適宜に記憶資源（例えば、メモリ）及び／又は通信インターフェースデバイス（例えば、ポート）を用いながら行うため、処理の主語がプログラムとされてもよい。プログラムを主語として説明された処理は、プロセッサまたはそのプロセッサを有する計算機が行う処理としてもよい。

プログラムは、計算機のような装置にインストールされてもよいし、例えば、プログラム配布サーバ又は計算機が読み取り可能な（例えば非一時的な）記録媒体にあってもよい。また、以下の説明において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。

なお、実施例を説明する図において、同一の機能を有する箇所には同一の符号を付し、その繰り返しの説明は省略する。

また、以下の説明において、同種の要素を区別しないで説明する場合には、参照符号（又は、参照符号のうちの共通符号）を使用し、同種の要素を区別して説明する場合は、要素の識別番号（又は参照符号）を使用することがある。

図面において示す各構成要素の位置、大きさ、形状、範囲などは、発明の理解を容易にするため、実際の位置、大きさ、形状、範囲などを表していない場合がある。このため、本発明は、必ずしも、図面に開示された位置、大きさ、形状、範囲などに限定されない。

図１は、実施形態に係るイベント監視装置が適用されるイベント監視システムのハードウェア構成例を示す図である。

図１において、本実施例のイベント監視装置が適用されるイベント監視システムは、監視対象となる管理システム（以下、監視対象システムと称する）１００と、この監視対象システム１００を監視する管理サーバ１０１と、オペレータ端末１７０と、上位管理者端末１８０とを概略有する。これら監視対象システム１００、管理サーバ１０１、オペレータ端末１７０及び上位管理者端末１８０はネットワークスイッチ１０３を介して互いに通信可能とされている。ここに、監視対象システム１００は情報システムを構成し、管理サーバ１０１はイベント監視装置を構成する。

監視対象システム１００はサーバ１０２を有し、主に、このサーバ１０２で発生する事象に関連するイベントメッセージが管理サーバ１０１に通知される。図示例の監視対象システム１００ではサーバ１０２が複数台（５台）設けられているが、その台数に特段の限定はない。

サーバ１０２は、ＰＣＩエクスプレススイッチ（ＰＣＩｅ－ＳＷ）１０７、ネットワークインターフェースコントローラ（ＮＩＣ）１１２Ｂ、ネットワークスイッチ（ＮＷ－ＳＷ）１０４を介してストレージシステム１０５に接続されている。ストレージシステム１０５は複数のストレージ装置を有し、これらストレージ装置は複数の論理ユニット（ＬＵ）として管理されている。また、サーバ１０２は、ホストバスアダプタ１１５及びファイバチャンネルスイッチ（ＦＣ－ＳＷ）１０８を介してもストレージシステム１０５に接続されている。加えて、ストレージシステム１０５は、ＦＣ－ＳＷ１０８またはＮＷ－ＳＷ１０４を介して管理サーバ１０１にも直接接続されている。

管理サーバ１０１は、制御プログラム１１０及び管理テーブル群１１１を有する。制御プログラム１１０等の具体的構成については後述する。

イベント監視システムを構成する監視対象システム１００、管理サーバ１０１、オペレータ端末１７０及び上位管理者端末１８０は、各種情報処理が可能な情報処理装置である。

図２は、実施形態に係るイベント監視装置である管理サーバ１０１の概略構成を示す図である。

管理サーバ１０１は、プロセッサの一例であるＣＰＵ２０１、メモリ２０２、ディスクインタフェース２０３、ネットワークインタフェース２０４、ＰＣＩエクスプレスインタフェース２０５及びサーバマネジメントコントローラの一例であるベースボードマネジメントコントローラ（ＢＭＣ）４０１を有する。

メモリ２０２には、ファームウェアなどの制御プログラム１１０が格納されている。管理サーバ１０１の動作開始時（例えば電源投入時）にファームウェア等のプログラムをこのメモリから読み出して実行し、管理サーバ１０１の全体制御を行う。また、メモリ２０２には、プログラム以外にも、管理サーバ１０１の各処理に必要な管理テーブル群１１１が格納されている。

メモリ２０２には、制御プログラム１１０として、閾値評価プログラム２１０、台帳引当てプログラム２１１、閾値決定プログラム２１２、イベント管理プログラム２１３、一致度計算プログラム２１４及びオペレーティングシステム（ＯＳ）２１６が格納されている。ＯＳ２１６を除く各種プログラムは、このプログラムがＣＰＵ２０１によって実行されることで、それぞれのプログラムに対応した機能部が実現される。それぞれのプログラムに対応した機能部が行う機能については後に詳述する。

また、メモリ２０２には、管理テーブル群１１１として、イベント管理テーブル２２０、台帳管理テーブル２２１、過去イベントグループ管理テーブル２２２、イベントと台帳の一致度を管理するテーブル２２３、台帳と過去の代表イベントを管理するテーブル２２４、及び台帳における閾値管理テーブル２２５が格納されている。これら各種テーブルの具体的構成については後に詳述する。

図３は、実施形態に係るイベント監視システムのサーバ１０２の概略構成を示す図である。

サーバ１０２は、プロセッサの一例であるＣＰＵ３０１、メモリ３０２、ディスクインタフェース３０３、ネットワークインタフェース３０４、ＰＣＩエクスプレスインタフェース３０５及びベースボードマネジメントコントローラ（ＢＭＣ）４０１を有する。

本実施例のサーバ１０２は、複数の仮想マシン（ＶＭ）３１４が動作する構成を有する。それぞれのＶＭ３１４上では、ＯＳ３３１及び業務アプリケーション３４１が動作し、また、これらＯＳ３３１、業務アプリケーション３４１の動作を監視する監視プログラム３４２、及び監視プログラム３４２による監視の結果としてイベント毎にイベントメッセージを発行するイベント発行プログラム３４３が動作している。メモリ３０２には、ＶＭ３１４を実現するための上述した各種プログラムが格納されている。

また、メモリ３０２には、これら仮想マシン３１４をサーバ１０２上で動作させるためのハイパバイザ３１５、及びサーバ１０２の全体動作のためのＯＳ３１６が格納されている。

図４は、実施形態に係るイベント監視装置である管理サーバ１０１の動作の一例を説明するための図である。図４に示す管理サーバ１０１の動作は、過去に監視対象システム１００から出力された代表的なイベントメッセージ（以下、代表メッセージと称する）に基づいて、管理サーバ１０１が機械学習の手法を用いて閾値を決定する、学習フェーズの動作である。

まず、管理サーバ１０１による監視対象システム１００の監視動作に先立って、上位管理者は、上位管理者端末１８０を介して台帳管理テーブル２２１を格納する。台帳管理テーブル２２１の具体的構成は後述するが、この台帳管理テーブル２２１には、監視対象システム１００から出力されるイベントメッセージに引き当てられ、監視対象システム１００が正常に稼働している際にこの監視対象システム１００から出力されるべき典型的な台帳ガイドメッセージと、この台帳ガイドメッセージが出力された際に実行すべき処理が記述されている。台帳管理テーブル２２１の作成方法に特段の限定はないが、通常、上位管理者が手作業で作成する。

監視対象システム１００において各種イベントが実行され、イベント発行プログラム３４３及びＢＭＣ４０１が適宜イベントメッセージを出力すると、イベント管理プログラム２１３はこのイベントメッセージを受信し、このイベントメッセージをイベント管理テーブル２２０に格納する。

次に、一致度計算プログラム２１４は、所定のタイミング（詳細は後述）でイベント管理テーブル２２０を参照し、代表イベントをとりまとめて必要となる事項を過去イベントグループ管理テーブル２２２に格納する。閾値決定プログラム２１２は、この過去イベントグループ管理テーブル２２２及び台帳管理テーブル２２１を参照して、後述する手順により閾値を決定する。閾値決定プログラム２１２により決定された閾値は台帳における閾値管理テーブル２２５に格納される。また、閾値決定プログラム２１２は、決定した閾値を上位管理者端末１８０に提示する。

図５は、実施形態に係るイベント監視装置である管理サーバ１０１による閾値決定の手順を説明するための図である。

まず、閾値決定プログラム２１２は、台帳管理テーブル２２１及び過去イベントグループ管理テーブル２２２に格納されているイベントメッセージ及び代表メッセージを単語単位に分割する。単語単位への分割手法に特段の限定はないが、一例として、mecabなどの形態素解析プログラムを用いることが好ましい。

一例として、"backup process func A_Func B is starting. XXX YYYY ZZ"なるメッセージに対して、閾値決定プログラム２１２は、{backup, process, func, A, _, Func, B, is, starting, XXX, YYYY, ZZ}（カンマで単語が区切られているものとする）という単語単位の形態素解析結果を出力する。

次いで、閾値決定プログラム２１２は、N-gramにより、形態素解析結果である単語単位の出力に基づいて単語の組（単語列）を生成する。上述のメッセージを例に取れば、1-gramの場合は {backup}, {process}, {func}, {A}, {_}, {Func}, {B}, {is}, {starting}, {XXX}, {YYYY}, {ZZ}、2-gramの場合は {backup,process}, {process,func}, {func,A}, {A,_}, {_,Func}, {Func,B} {B,is}, {is,starting}, {starting,XXX}, {XXX,YYYY}, {YYYY,ZZ}、1-gramと2gramの組で作成した単語列としては[{backup}, {process}, {func}, {A}, {_}, {Func}, {B}, {is}, {starting}, {XXX}, {YYYY}, {ZZ}, {backup,process}, {process,func}, {func,A}, {A,_}, {_,Func}, {Func,B} {B,is}, {is,starting}, {starting,XXX}, {XXX,YYYY}, {YYYY,ZZ}]（ここに、｛｝でくくられる文字列が単語列である）となる。どれだけの数の単語を用いて単語列を生成するかは任意であり、上記の例に限定はされない。

次に、閾値決定プログラム２１２は、台帳管理テーブル２２１内の台帳ガイドメッセージの単語列、及び過去イベントグループ管理テーブル２２２に格納されている代表メッセージの単語列に基づいて、次の数を算出する。
Ｆ：台帳管理テーブル２２１内のメッセージ本文の単語列の総数
ｆ：代表イベント内の代表メッセージ本文の単語列のうち、台帳管理テーブル２２１内のメッセージ本文の単語列と一致した数が一番多い値：トップ
ｇ：代表イベント内の代表メッセージ本文の単語列のうち，台帳管理テーブル２２１内のメッセージ本文の単語列と一致した数が二番目に多い値：次点

以下、代表イベント内の代表メッセージ本文の単語列のうち、台帳管理テーブル２２１内のメッセージ本文の単語列と一致した数を類似度と称することがある。

閾値決定プログラム２１２は、ｆ／Ｆ、つまり類似度の最大値（図中top scoreとして示す）を閾値（第１の閾値）として決定する。そして、閾値決定プログラム２１２は、この閾値の上下に閾値上限（第２の閾値）及び閾値下限（第３の閾値）を、さらには閾値下限より下に次点閾値上限（第４の閾値）を決定する。

まず、閾値決定プログラム２１２は、top scoreの１ステップ上の値である（ｆ＋１）／Ｆを算出し、この（ｆ＋１）／Ｆの値（Ｆ≧ｆ＞ｇであるからこの値は１以下の値になる）を小数点の所定桁になるように切り下げ、この値を閾値上限とする（図中（１）で示す）。あるいは、閾値決定プログラム２１２は、（ｆ＋１）／Ｆの絶対値（図中｛｝で示す）から所定の固定値（図示例では０．０１）を減じた値を閾値上限とする（図中（２）で示す）。さらには、閾値決定プログラム２１２は、ｆ／Ｆの絶対値に所定の固定値（図示例では０．０１）を加算した値を閾値上限とする（図中（３）で示す）。閾値上限は、閾値に対して大なる値であればよく、管理サーバ１０１による監視動作を円滑に行いうる観点から適宜選択、調整がされうる。

また、閾値決定プログラム２１２は、top scoreの１ステップ下の値である（ｆ－１）／Ｆを算出し、この（ｆ－１）／Ｆの値（Ｆ≧ｆ＞ｇであるからこの値も１以下の値になる）を小数点の所定桁になるように切り上げ、この値を閾値下限とする（図中（１）で示す）。あるいは、閾値決定プログラム２１２は、（ｆ－１）／Ｆの絶対値（図中｛｝で示す）から所定の固定値（図示例では０．０１）を加算した値を閾値下限とする（図中（２）で示す）。さらには、閾値決定プログラム２１２は、ｆ／Ｆの絶対値に所定の固定値（図示例では０．０１）を減じた値を閾値下限とする（図中（３）で示す）。閾値下限も、閾値に対して小なる値であればよく、管理サーバ１０１による監視動作を円滑に行いうる観点から適宜選択、調整がされうる。

そして、閾値決定プログラム２１２は、類似度の次点（図中second scoreとして示す）の１ステップ上の値である（ｇ＋１）／Ｆを算出し、この（ｇ＋１）／Ｆの値（Ｆ≧ｆ＞ｇであるからこの値も１以下の値になる）を小数点の所定桁になるように切り下げ、この値を次点閾値上限とする（図中（１）で示す）。あるいは、閾値決定プログラム２１２は、（ｇ＋１）／Ｆの絶対値（図中｛｝で示す）から所定の固定値（図示例では０．０１）を減じた値を次点閾値上限とする（図中（２）で示す）。さらには、閾値決定プログラム２１２は、ｇ／Ｆの絶対値に所定の固定値（図示例では０．０１）を加算した値を次点閾値上限とする（図中（３）で示す）。次点閾値上限も、閾値下限に対して小なる値であればよく、管理サーバ１０１による監視動作を円滑に行いうる観点から適宜選択、調整がされうる。

このように、閾値上限、閾値下限及び次点閾値上限を設けた理由について簡単に説明する。一般的なイベント監視装置では、台帳管理テーブル２２１に格納された台帳ガイドメッセージと監視対象システム１００から出力されるイベントメッセージとの類似度を算出し、一例として、本実施例における閾値以上の類似度を有するイベントメッセージが出力されたら台帳ガイドメッセージを引当て、監視対象システム１００が正常に稼働していることを確認している。

しかしながら、本発明者の解析により、閾値以上の類似度を有するイベントメッセージの中には、台帳管理テーブル２２１に格納されていないイベント、すなわち未知のイベント（以下、未知イベントと称する事がある）に係るメッセージが含まれる可能性があり、また、閾値を下回る類似度を有するイベントメッセージの中には、無視してもよいメッセージと上述の未知イベントに係るメッセージとが含まれる可能性があることが判明した。

そこで、本発明者は、類似度が閾値上限と閾値下限との間にあるイベントメッセージについては正常なイベントに関するメッセージであると判断し、台帳ガイドメッセージを引当て、また、類似度が閾値上限を上回るか、あるいは、閾値下限と次点閾値上限との間にあるイベントメッセージについては未知イベントに係るイベントメッセージであると判断し、上位管理者に通知する構成を考案した。

ここで、閾値決定プログラム２１２は、閾値上限、閾値下限及び次点閾値上限の全てを決定する、あるいは、後述する閾値評価プログラム２１０が、これら閾値上限、閾値下限及び次点閾値上限の全てに基づいて判断を行う必要はない。類似度が（ａ）閾値上限を超えたか否か、または（ｂ）閾値下限と次点閾値上限との間にあるか否かの少なくとも一方について判断を行えばよい。

また、閾値上限と閾値下限とを設けたのは、閾値のみでの判定であると類似度に若干のブレが生じることがあるので、一定の範囲を設けることでより的確な判定を行うためである。

図６は、実施形態に係るイベント監視装置の動作の他の例を説明するための図である。図６に示す管理サーバ１０１の動作は、図４に示す学習フェーズによる閾値決定動作の後、監視対象システム１００から出力されたイベントメッセージに基づいて、管理サーバ１０１が台帳管理テーブル２２１との引当て、及び、未知イベントの検出を行う、推論フェーズの動作である。

学習フェーズと同様に、監視対象システム１００において各種イベントが実行され、イベント発行プログラム３４３及びＢＭＣ４０１が適宜イベントメッセージを出力すると、イベント管理プログラム２１３はこのイベントメッセージを受信し、このイベントメッセージをイベント管理テーブル２２０に格納する。

次に、台帳引当てプログラム２１１は、イベント管理テーブル２２０に格納された新着のイベントメッセージと台帳管理テーブル２２１に格納された台帳ガイドメッセージとの類似度（一致度）を算出し、イベントと台帳の一致度を管理するテーブル２２３に格納する。

閾値評価プログラム２１０は、台帳引当てプログラム２１１が算出した類似度と、台帳における閾値管理テーブル２２５に格納された閾値、閾値上限、閾値下限及び次点閾値上限に基づき、類似度が閾値上限を超えたか否か、及び、類似度が閾値下限と次点閾値上限との間にあるか否かを判定する。そして、これら判定のいずれかが肯定されたら、閾値評価プログラム２１０は、オペレータ（オペレータ端末１７０）に対して未知イベントを検出した旨を提示し、オペレータによる判断を促す。

一方、上述した判定が否定された、つまり類似度が閾値上限と閾値下限の間にあると判定されたら、台帳引当てプログラム２１１は、類似度が最大値となる台帳ガイドメッセージを引当て、その結果をオペレータ端末１７０及び上位管理者（上位管理者端末１８０）に提示する。また、類似度が次点閾値上限を下回ると判定されたら、台帳引当てプログラム２１１は特段の提示動作を行わない（イベントメッセージを捨てる）。

図７は、実施形態に係るイベント監視装置のメモリ２０２に格納されたイベント管理テーブル２２０の一例を示す図である。

イベント管理テーブル２２０は、エントリとして、事象ＩＤ７０１、発生日時７０２、ハッシュ値７０３、イベントＩＤ７０４、メッセージ本文７０５、引当て済台帳ＩＤ７０６及びイベントの単語列総数７０７を有する。

事象ＩＤ７０１はイベント管理テーブル２２０の各行を特定するＩＤである。発生日時７０２はイベントの発生日時である。ハッシュ値７０３はイベントメッセージのハッシュ値であり、イベント管理プログラム２１３が算出する。イベントＩＤ７０４はイベントを特定するＩＤである。メッセージ本文７０５は監視対象システム１００から出力されるイベントメッセージの本文である。引当て済台帳ＩＤ７０６は、メッセージ本文７０５に記述されたイベントメッセージが引き当てられた台帳ガイドメッセージのＩＤであり、台帳引当てプログラム２１１により入力される。イベントの単語列総数７０７は、メッセージ本文７０５に記述されたイベントメッセージの単語列総数であり、イベント管理プログラム２１３が算出する。

図８は、実施形態に係るイベント監視装置のメモリ２０２に格納された過去イベントグループ管理テーブル２２２の一例を示す図である。

図８に示す過去イベントグループ管理テーブル２２２の各エントリは、一致度計算プログラム２１４により算出される。より詳細には、一致度計算プログラム２１４は、過去のあるイベントに対して、その他の過去のイベントと単語列を比較し，最も一致度が高いものを代表的なイベントメッセージとしてグループ化する。そして、一致度計算プログラム２１４は、この過去イベントグループ管理テーブル２２２を一致度でソートする。過去イベントグループ管理テーブル２２２の各エントリを計算してテーブル２２２を作成するタイミングは任意であり、一例として、新着イベントが到着する度にやっても良いし、定期的に実施しても良いし、一定数のイベントが到着したタイミングで実施しても良い。

過去イベントグループ管理テーブル２２２は、エントリとして、グループＩＤ８０１、代表メッセージ本文８０２、一致度８０３、代表メッセージ本文の単語列総数８０４及びグループ内イベント数８０５を有する。

グループＩＤ８０１はグループを特定するＩＤである。代表メッセージ本文８０２は、このグループを代表する代表的なイベントメッセージの本文である。一致度８０３はこの代表的なイベントメッセージの一致度である。代表メッセージ本文の単語列総数８０４は、代表メッセージ本文８０２に格納された代表的なイベントメッセージの本文の単語列総数である。グループ内イベント数８０５は、このグループにどれだけのイベントが含まれているかを示す数である。

過去イベントグループ管理テーブル２２２は、閾値決定プログラム２１２による機械学習の教師データであり、また、上位管理者が監視対象システム１００から到着するイベントメッセージが適正であるか否かを判定する根拠ともなる。

図９は、実施形態に係るイベント監視装置の台帳管理テーブル２２１の一例を示す図である。既に説明したように、台帳管理テーブル２２１は上位管理者等が人手で入力することを想定している。

台帳管理テーブル２２１は、エントリとして、台帳ＩＤ９０１、発生日時指定９０２、台帳のメッセージ本文９０３、到着時に実行する処理９０４及び回数／単位期間９０５を有する。

台帳ＩＤ９０１は、台帳メッセージ本文（台帳ガイドメッセージ）９０３を特定するＩＤである。発生日時指定９０２は、台帳メッセージ本文９０３が監視対象システム１００から通常出力される日時である。台帳のメッセージ本文９０３は、監視対象システム１００から出力されるべき台帳ガイドメッセージである。到着時に実行する処理９０４は、台帳のメッセージ本文９０３が監視対象システム１００から出力された際に行うべき処理である。回数／単位期間９０５は、台帳のメッセージ本文９０３が監視対象システム１００から出力される頻度である。

図１０は、実施形態に係るイベント監視装置のイベントと台帳の一致度を管理するテーブル２２３の一例を示す図である。

イベントと台帳の一致度を管理するテーブル２２３は、エントリとして、管理ＩＤ１００１、事象ＩＤ１００２、メッセージ本文１００３、単語列総数１００４、一致率１００５、一致数１００６、不一致、不足率１００７、不一致、不足数１００８、台帳ＩＤ１００９、メッセージ本文１０１０、単語列総数１０１１、一致率１０１２、一致数１０１３、不一致、不足率１０１４、及び不一致、不足数１０１５を有する。

管理ＩＤ１００１は、イベントと台帳の一致度を管理するテーブル２２３の各行を特定するＩＤである。

事象ＩＤ１００２、メッセージ本文１００３、単語列総数１００４、一致率１００５、一致数１００６、不一致、不足率１００７、不一致、不足数１００８はイベントに関するエントリであり、事象ＩＤ１００２は図７のイベント管理テーブル２２０の事象ＩＤ７０１と共通する。メッセージ本文１００３は図７のイベント管理テーブル２２０のメッセージ本文７０５と共通する。単語列総数１００４は図７のイベント管理テーブル２２０のイベントの単語列総数７０７と共通する。

一致率１００５は、メッセージ本文１００３に記述されたイベントメッセージがイベントと台帳の双方にある率である。一致数１００６は、メッセージ本文１００３に記述されたイベントメッセージがイベントと台帳の双方にある数である。不一致、不足率１００７は、メッセージ本文１００３に記述されたイベントメッセージがイベントにあって台帳にない率である。不一致、不足数１００８は、メッセージ本文１００３に記述されたイベントメッセージがイベントにあって台帳にない数である。一致率１００５、一致数１００６、不一致、不足率１００７及び不一致、不足数１００８の分母はイベントである。

台帳ＩＤ１００９、メッセージ本文１０１０、単語列総数１０１１、一致率１０１２、一致数１０１３、不一致、不足率１０１４、不一致、不足数１０１５は台帳ガイドメッセージに関するエントリであり、台帳ＩＤ１００９は図９の台帳管理テーブル２２１の台帳ＩＤ９０１と共通する。メッセージ本文１０１０は図９の台帳管理テーブル２２１の台帳のメッセージ本文９０３と共通する。単語列総数１０１１はメッセージ本文１０１０に記述された台帳ガイドメッセージの単語列の総数である。

一致率１０１２は、メッセージ本文１０１０に記述されたイベントメッセージがイベントと台帳の双方にある率である。一致数１０１３は、メッセージ本文１０１０に記述されたイベントメッセージがイベントと台帳の双方にある数である。不一致、不足率１０１４は、メッセージ本文１０１０に記述されたイベントメッセージがイベントにあって台帳にない率である。不一致、不足数１０１５は、メッセージ本文１０１０に記述されたイベントメッセージがイベントにあって台帳にない数である。一致率１０１２、一致数１０１３、不一致、不足率１０１４及び不一致、不足数１０１５の分母は台帳である。

図１１は、実施形態に係るイベント監視装置の台帳と過去の代表イベントを管理するテーブル２２４の一例を示す図である。

台帳と過去の代表イベントを管理するテーブル２２４は、エントリとして、台帳ＩＤ１１０１、メッセージ本文１１０２、単語列総数１１０３、一致率１１０４、一致数１１０５、不一致、不足率１１０６、不一致、不足数１１０７、単語列総数１１０８、一致率１１０９、一致数１１１０、不一致、不足率１１１１、及び不一致、不足数１１１２を有する。

台帳ＩＤ１１０１、メッセージ本文１１０２、単語列総数１１０３、一致率１１０４、一致数１１０５、不一致、不足率１１０６、不一致、不足数１１０７は台帳ガイドメッセージに関するエントリであり、台帳ＩＤ１１０１は図９の台帳管理テーブル２２１の台帳ＩＤ９０１と共通する。メッセージ本文１１０２は図９の台帳管理テーブル２２１の台帳のメッセージ本文９０３と共通する。単語列総数１１０３は図１０のイベントと台帳の一致度を管理するテーブル２２３の単語列総数１０１１と共通する。

一致率１１０４は、メッセージ本文１１０２に記述された台帳ガイドメッセージが台帳と代表イベントの双方にある率である。一致数１１０５は、メッセージ本文１１０２に記述された台帳ガイドメッセージが台帳と代表イベントの双方にある数である。不一致、不足率１１０６は、メッセージ本文１０１０に記述された台帳ガイドメッセージが台帳にあって代表イベントにない率である。不一致、不足数１１０７は、メッセージ本文１０１０に記述された台帳ガイドメッセージが台帳にあって代表イベントにない数である。一致率１１０４、一致数１１０５、不一致、不足率１１０６及び不一致、不足数１１０７の分母は台帳である。

単語列総数１１０８、一致率１１０９、一致数１１１０、不一致、不足率１１１１、不一致、不足数１１１２は代表イベントに関するエントリであり、単語列総数１１０８は図８の過去イベントグループ管理テーブル２２２の代表メッセージ本文の単語列総数８０４と共通する。

一致率１１０９は、代表イベントが台帳と代表イベントの双方にある率である。一致数１１１０は、代表イベントが台帳と代表イベントの双方にある数である。不一致、不足率１１１１は、代表イベントが台帳にない率である。不一致、不足数１１１２は、代表イベントが台帳にない数である。一致率１１０９、一致数１１１０、不一致、不足率１１１１及び不一致、不足数１１１２の分母は代表イベントである。

図１２は、実施形態に係るイベント監視装置の台帳における閾値管理テーブル２２５の一例を示す図である。

台帳における閾値管理テーブル２２５は、エントリとして、台帳ＩＤ１２０１、メッセージ本文１２０２、回数／単位期間１２０３、過去イベントの代表メッセージ本文１２０４、グループ内イベント数１２０５、グループＩＤ１２０６、閾値１２０７、閾値上限１２０８、閾値下限１２０９、次点閾値上限１２１０、台帳の単語列総数１２１１及び引当済事象ＩＤ１２１２を有する。

台帳ＩＤ１２０１は図９の台帳管理テーブル２２１の台帳ＩＤ９０１と共通する。メッセージ本文１２０２は図９の台帳管理テーブル２２１の台帳のメッセージ本文９０３と共通する。回数／単位期間１２０３は、図９の台帳管理テーブル２２１の回数／単位期間９０５と共通する。

過去イベントの代表メッセージ本文１２０４は、図８の過去イベントグループ管理テーブル２２２の代表メッセージ本文８０２と共通する。グループ内イベント数１２０５は、図８の過去イベントグループ管理テーブル２２２のグループ内イベント数８０５と共通する。グループＩＤ１２０６は、図８の過去イベントグループ管理テーブル２２２のグループＩＤ８０１と共通する。

閾値１２０７、閾値上限１２０８、閾値下限１２０９、次点閾値上限１２１０は、学習フェーズにおいて閾値決定プログラム２１２により算出され、格納される。台帳の単語列総数１２１１は、台帳ＩＤ１２０１により特定される台帳ガイドメッセージの単語列の総数である。引当済事象ＩＤ１２１２は、推論フェーズにおいて台帳引当てプログラム２１１が引き当てたイベントの事象ＩＤであり、図７のイベント管理テーブル２２０の事象ＩＤ７０１と共通する。

次に、図１３～図１６のフローチャートを参照して、本実施例のイベント監視装置である管理サーバ１０１の動作について説明する。

図１３は、実施形態に係るイベント監視装置の過去イベントグループ管理テーブル２２２の作成手順の一例を説明するためのフローチャートであり、一致度計算プログラム２１４により実行される。

まず、一致度計算プログラム２１４は、イベント管理テーブル２２０の特定のイベントを参照する（ステップＳ１３０１）。次いで、一致度計算プログラム２１４は、イベント管理テーブル２２０の特定のイベント以外のイベントを参照し、類似度（一致度）を算出する（ステップＳ１３０２）。さらに、一致度計算プログラム２１４は、ステップＳ１３０２で算出した類似度でイベントをソートし、同じ類似度を持つイベントの個数を数える（ステップＳ１３０３）。そして、一致度計算プログラム２１４は、類似度がトップ、次点、次々点に対応するイベントの個数を含め、過去イベントグループ管理テーブル２２２のエントリに各値を格納する。

図１４は、実施形態に係るイベント監視装置の閾値決定手順の一例を説明するためのフローチャートであり、台帳における閾値管理テーブル２２５の各値を格納する手順を示すフローチャートである。

まず、閾値決定プログラム２１２が過去イベントグループ管理テーブル２２２を参照する（ステップＳ１４０１）。次いで、一致度計算プログラム２１４が、台帳と過去の代表イベントを管理するテーブル２２４の台帳および代表イベントの単語列総数・一致数・不一致数・不足数を参照する（ステップＳ１４０２）。そして、一致度計算プログラム２１４は、閾値、閾値上限、閾値下限及び次点閾値上限を算出し、台帳における閾値管理テーブル２２５に格納する（ステップＳ１４０３）。

図１５は、実施形態に係るイベント監視装置の台帳管理テーブル２２１の補充手順の一例を説明するためのフローチャートである。図１５のフローチャートに示す手順は、例えば監視対象システム１００によっては台帳管理テーブル２２１に格納される台帳ガイドメッセージや過去イベントグループ管理テーブル２２２に格納される代表イベントメッセージの個数、特に過去イベントグループ管理テーブル２２２における一致度が高い（top scoreの）代表イベントメッセージの個数が不足する場合、一致度が次点の（second scoreの）代表イベントメッセージの個数を繰り込んで処理するものであり、本実施例のイベント監視装置である管理サーバ１０１の動作に必須のものではない。

まず、一致度計算プログラム２１４は、イベント管理テーブル２２０の特定のイベントを参照する（ステップＳ１５０１）。次いで、一致度計算プログラム２１４は、イベント管理テーブル２２０の特定のイベント以外のイベントを参照し、類似度（一致度）を算出する（ステップＳ１５０２）。さらに、一致度計算プログラム２１４は、ステップＳ１３０２で算出した類似度でイベントをソートし、同じ類似度を持つイベントの個数を数える（ステップＳ１５０３）。

次に、一致度計算プログラム２１４は、台帳管理テーブル２２１の回数／単位期間９０５を参照する（ステップＳ１５０４）。そして、一致度計算プログラム２１４は、ステップＳ１５０４で参照した回数／単位期間９０５とステップＳ１５０３で数えたイベントの個数とを比較する（ステップＳ１５０５）。その結果、台帳管理テーブル２２１の回数／単位期間９０５がイベントの個数以上であれば（ステップＳ１５０６においてＹＥＳ）ステップＳ１５０９に進み、台帳管理テーブル２２１の回数／単位期間９０５がイベントの個数より少なければ（ステップＳ１５０６においてＮＯ）ステップＳ１５０７に進む。

ステップＳ１５０７では、次点の一致度を持つイベントグループを参照し、このイベントの個数を合算する（ステップＳ１５０８）。その後、プログラムはステップＳ１５０５に戻る。

一方、ステップＳ１５０９では、一致度計算プログラム２１４が、台帳における閾値管理テーブル２２５へ代表メッセージ文・グループ内イベント数の合計値・グルーピングに含むグループＩＤ全てを格納する。そして、一致度計算プログラム２１４は、台帳における閾値管理テーブル２２５へ一致度（合算した場合は低いほうの値）を閾値として格納する。

図１６は、実施形態に係るイベント監視装置の推論フェーズにおける台帳引当てプログラム２１１及び閾値評価プログラム２１０の動作を説明するためのフローチャートである。

まず、イベント管理プログラム２１３は、監視対象システム１００から新着イベントを受け取り、イベント管理テーブル２２０へ格納する（ステップＳ１６０１）。次いで、台帳引当てプログラム２１１は、新着イベントと各台帳との一致度を計算し，イベントと台帳の一致度を管理するテーブル２２３へ格納する（ステップＳ１６０２）。

次いで、閾値評価プログラム２１０は、ステップＳ１６０２で算出した一致度（類似度）が閾値上限を超えているか、あるいは閾値下限と次点閾値上限との間にあるか否かを判定する（ステップＳ１６０３）。その結果、判定が肯定されたら（ステップＳ１６０３においてＹＥＳ）ステップＳ１６０４に移行し、判定が否定されたら（ステップＳ１６０３においてＮＯ）ステップＳ１６０５に移行する。

ステップＳ１６０４では、閾値評価プログラム２１０が未知イベントを検出した旨をオペレータ端末１７０や上位管理者端末１８０に通知する。

一方、ステップＳ１６０５では、台帳引当てプログラム２１１が、台帳における閾値管理テーブル２２５を参照する。そして、台帳引当てプログラム２１１は、ステップＳ１６０２で算出した一致度が次点閾値上限より小さいか否かを判定し（ステップＳ１６０６）、判定が肯定されたら（ステップＳ１６０６においてＹＥＳ）プログラムを終了し、判定が否定されたら（ステップＳ１６０６においてＮＯ）ステップＳ１６０７に進む。次いで、ステップＳ１６０７において、台帳引当てプログラム２１１は、ステップＳ１６０２で算出した一致度が閾値に一致するか否かを判定し、判定が肯定されたら（ステップＳ１６０７においてＹＥＳ）プログラムを終了し、判定が否定されたら（ステップＳ１６０７においてＮＯ）ステップＳ１６０８に進む。

ステップＳ１６０８では、台帳引当てプログラム２１１が、イベント管理テーブル２２０へ引き当てた台帳を格納する。

さらに、台帳引当てプログラム２１１は、ステップＳ１６０２で算出した一致度が閾値より小さいか否かを判定し（ステップＳ１６０９）、判定が肯定されたら（ステップＳ１６０９においてＹＥＳ）ステップＳ１６１０に進み、判定が否定されたら（ステップＳ１６０９においてＮＯ）プログラムを終了する。

ステップＳ１６１０において、台帳引当てプログラム２１１は、台帳における閾値管理テーブル２２５の閾値を更新する。

なお、ステップＳ１６０４において未知イベントを検出したことをトリガとして、学習フェーズの動作を再度行ってもよい（学習をやり直す）。

図１７は、実施形態に係るイベント監視システムのオペレータ端末１７０等に表示される画面の一例を示す図である。

オペレータ端末１７０等の画面には、事象ＩＤ１７０１、イベントＩＤ１７０２、引当の有無１７０３、未知イベント検出の有無１７０４、イベントの発生日時１７０５、引き当てられた台帳のＩＤ１７０６が表示される。図１７に示す画面は単なる一例であり、図１７の例に限定されない。

このように構成される本実施形態によれば、監視対象システム１００毎の対応を行うことなく適切な閾値を設定することが可能なイベント監視装置及びイベント監視方法を実現することができる。

なお、上記した実施例は本発明を分かりやすく説明するために構成を詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、各実施例の構成の一部について、他の構成に追加、削除、置換することが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、本発明は、実施例の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をコンピュータに提供し、そのコンピュータが備えるプロセッサが記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施例の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、ハードディスク、ＳＳＤ（Solid State Drive）、光ディスク、光磁気ディスク、ＣＤ－Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

また、本実施例に記載の機能を実現するプログラムコードは、例えば、アセンブラ、Ｃ／Ｃ＋＋、ｐｅｒｌ、Ｓｈｅｌｌ、ＰＨＰ、Ｊａｖａ（登録商標）等の広範囲のプログラム又はスクリプト言語で実装できる。

上述の実施例において、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。全ての構成が相互に接続されていてもよい。

１００…監視対象システム １０１…管理サーバ １０２…サーバ １１０…制御プログラム １１１…管理テーブル群 １７０…オペレータ端末 １８０…上位管理者端末 ２１０…閾値評価プログラム ２１１…台帳引当てプログラム ２１２…閾値決定プログラム ２１３…イベント管理プログラム ２１４…一致度計算プログラム ２２０…イベント管理テーブル ２２１…台帳管理テーブル ２２２…過去イベントグループ管理テーブル ２２３…イベントと台帳の一致度を管理するテーブル ２２４…台帳と過去の代表イベントを管理するテーブル ２２５…台帳における閾値管理テーブル

Claims (11)

1. 情報システムで発生した事象に関連する文字列で示されたイベントメッセージを含むイベントを監視するイベント監視装置であって、
   文字列で示された典型的な台帳ガイドメッセージを含み前記イベントへの対処方法を示す複数の台帳データが格納された台帳管理部と、
   前記台帳ガイドメッセージと前記イベントメッセージとの類似度を計算し、この類似度の最大値を第１の閾値として、この第１の閾値より所定値だけ大きい第２の閾値を設定する閾値決定部と、
   前記類似度が前記第１の閾値と前記第２の閾値との間である前記台帳ガイドメッセージを前記イベントメッセージに対応付ける台帳引当て部と、
   前記類似度が前記第１の閾値を超えるときに前記情報システムの管理者に報知する閾値評価部と
   を有することを特徴とするイベント監視装置。
2. 前記閾値決定部は、前記台帳ガイドメッセージと前記イベントメッセージの単語または単語の組の一致度に基づいて前記類似度を算出することを特徴とする請求項１に記載のイベント監視装置。
3. 前記閾値決定部は、前記台帳ガイドメッセージと前記イベントメッセージの単語または単語の組の一致数の最大値を前記台帳ガイドメッセージの単語数で除した数を前記第１の閾値とし、前記最大値より１つ大きい数を前記台帳ガイドメッセージの単語数で除した数を前記第２の閾値とすることを特徴とする請求項２に記載のイベント監視装置。
4. 前記情報システムからの前記イベントメッセージを保管するイベント管理部を有することを特徴とする請求項１に記載のイベント監視装置。
5. 前記イベント管理部に格納されている前記イベントメッセージのうち単語の一致度が高い前記イベントメッセージを代表イベントメッセージとしてまとめる一致度計算部を有し、
   前記閾値決定部は、前記台帳ガイドメッセージと前記代表イベントメッセージとの類似度を計算することを特徴とする請求項４に記載のイベント監視装置。
6. 情報システムで発生した事象に関連する文字列で示されたイベントメッセージを含むイベントを監視するイベント監視装置であって、
   文字列で示された典型的な台帳ガイドメッセージを含み前記イベントへの対処方法を示す複数の台帳データが格納された台帳管理部と、
   前記台帳ガイドメッセージと前記イベントメッセージとの類似度を計算し、この類似度の最大値を第１の閾値として、この第１の閾値より所定値だけ小さい第３の閾値と、前記類似度の第２の最大値である第４の閾値とを設定する閾値決定部と、
   前記類似度が前記第１の閾値と前記第３の閾値との間である前記台帳ガイドメッセージを前記イベントメッセージに対応付ける台帳引当て部と、
   前記類似度が前記第３の閾値と前記第４の閾値との間であるときに前記情報システムの管理者に報知する閾値評価部と
   を有することを特徴とするイベント監視装置。
7. 前記閾値決定部は、前記台帳ガイドメッセージと前記イベントメッセージの単語または単語の組の一致度に基づいて前記類似度を算出することを特徴とする請求項６に記載のイベント監視装置。
8. 前記閾値決定部は、前記台帳ガイドメッセージと前記イベントメッセージの単語または単語の組の一致数の最大値を前記台帳ガイドメッセージの単語数で除した数を前記第１の閾値とし、前記最大値より１つ小さい数を前記台帳ガイドメッセージの単語数で除した数を前記第３の閾値とすることを特徴とする請求項７に記載のイベント監視装置。
9. 前記情報システムからの前記イベントメッセージを保管するイベント管理部を有することを特徴とする請求項６に記載のイベント監視装置。
10. 前記イベント管理部に格納されている前記イベントメッセージのうち単語の一致度が高い前記イベントメッセージを代表イベントメッセージとしてまとめる一致度計算部を有し、
    前記閾値決定部は、前記台帳ガイドメッセージと前記代表イベントメッセージとの類似度を計算することを特徴とする請求項９に記載のイベント監視装置。
11. 情報システムで発生した事象に関連する文字列で示されたイベントメッセージを含むイベントを監視し、文字列で示された典型的な台帳ガイドメッセージを含み前記イベントへの対処方法を示す複数の台帳データが格納された台帳管理部を有するイベント監視装置によるイベント監視方法であって、
    前記台帳ガイドメッセージと前記イベントメッセージとの類似度を計算し、この類似度の最大値を第１の閾値として、この第１の閾値より所定値だけ大きい第２の閾値を設定し、
    前記類似度が前記第１の閾値と前記第２の閾値との間である前記台帳ガイドメッセージを前記イベントメッセージに対応付け、
    前記類似度が前記第１の閾値を超えるときに前記情報システムの管理者に報知する
    ことを特徴とするイベント監視方法。

Images