JP5126229B2 - システム監視プログラム、システム監視方法およびシステム監視装置 - Google Patents

Description

本発明は、複数種類の単位処理を実行するシステムを監視するシステム監視プログラム、システム監視方法およびシステム監視装置に関し、特に、複数種類の単位処理のそれぞれをモデル化した複数の単位処理モデルおよび処理時間に基づいてシステムを監視することによって、システムの異常を精度良く検出することができるシステム監視プログラム、システム監視方法およびシステム監視装置に関するものである。

近年、様々な分野でコンピュータシステムが必要不可欠なインフラシステムとしての役割を担ってきており、コンピュータシステムを停止させることなく正常に稼動させることが増々重要となっている。このため、コンピュータシステムの動作状況を監視し、システムの異常を早期に発見するための様々な技術が開発されている。

例えば、業務システムにおいては、単位処理であるトランザクション（サービス処理の流れ）を分析することが処理状況を監視するために有用であることから、ネットワーク上でサービス処理のためにやりとりされるメッセージのログを収集し、そのログ内のメッセージ間の呼び出し関係に基づいて、トランザクションを推定する技術が開発されている（特許文献１参照）。かかる技術を用いることによって、業務システム内に存在する多数のトランザクションの種類を低頻度のものまで人手を用いないで抽出することができ、システムの分析を支援することができる。

特開２００６−１１６８３号公報

しかしながら、特許文献１に記載された技術では、高頻度のものから非常に低頻度のものまで、膨大な種類のトランザクションが生成されるために、システム全体の状況の把握が困難であるという問題がある。

本発明は、上記に鑑みてなされたものであって、複数種類の単位処理のそれぞれをモデル化した複数の単位処理モデルおよび処理時間に基づいてシステムを監視することによって、システムの異常を精度良く検出することができるシステム監視プログラム、システム監視方法およびシステム監視装置を提供することを目的とする。

上述した課題を解決し、目的を達成するため、請求項１に係る発明は、複数種類の単位処理を実行するシステムを監視するシステム監視プログラムであって、システムによって実行された単位処理が前記複数種類の単位処理のそれぞれをモデル化した複数の単位処理モデルのいずれかに一致し、かつ、処理時間が正常である割合をモデル・マッチ率として算出するモデル・マッチ率算出手順と、前記モデル・マッチ率算出手順により算出されたモデル・マッチ率に基づいてシステムが正常であるか否かを判定するシステム状態判定手順とをコンピュータに実行させることを特徴とする。

この請求項１の発明によれば、システムによって実行された単位処理が複数の単位処理モデルのいずれかに一致し、かつ、処理時間が正常である割合をモデル・マッチ率として算出し、算出したモデル・マッチ率に基づいてシステムが正常であるか否かを判定するよう構成したので、単位処理モデルと一致はしても処理時間に異常がある単位処理を検出することができる。

また、請求項２に係る発明は、上記発明において、前記システム状態判定手順によりシステムが正常でないと判定された場合に、前記モデル・マッチ率算出手順により処理時間が正常でないと判定された単位処理に対して単位処理を構成する複数の要素処理の中で異常な要素処理を各要素処理の処理時間に基づいて特定する異常要素処理特定手順をさらにコンピュータに実行させることを特徴とする。

この請求項２の発明によれば、システムが正常でないと判定した場合に、処理時間が正常でないと判定した単位処理に対して単位処理を構成する複数の要素処理の中で異常な要素処理を各要素処理の処理時間に基づいて特定するよう構成したので、異常原因の特定を容易にすることができる。

また、請求項３に係る発明は、上記発明において、前記異常要素処理特定手順により特定された要素処理の異常の原因として注意を要する要注意箇所を各要素箇所の処理時間に基づいて特定する要注意箇所特定手順をさらにコンピュータに実行させることを特徴とする。

この請求項３の発明によれば、特定した要素処理の異常の原因として注意を要する要注意箇所を各要素箇所の処理時間に基づいて特定するよう構成したので、より詳細なレベルでの異常原因の特定を支援することができる。

また、請求項４に係る発明は、上記発明において、前記要注意箇所特定手順により複数の要注意箇所が特定された場合に、要注意箇所を有するモデルである要注意モデルと一致するトランザクションの所定期間における出現回数と、要注意箇所を構成要素として有するモデルあるいは要注意モデルと一致するトランザクションの該所定期間における出現回数に基づいて各要注意箇所の問題性を評価して出力する問題性評価手順をさらにコンピュータに実行させることを特徴とする。

この請求項４の発明によれば、複数の要注意箇所を特定した場合に、要注意箇所を有するモデルである要注意モデルと一致するトランザクションの所定期間における出現回数と、要注意箇所を構成要素として有するモデルあるいは要注意モデルと一致するトランザクションの該所定期間における出現回数に基づいて各要注意箇所の問題性を評価して出力するよう構成したので、定量的なデータに基づいて異常分析を支援することができる。

また、請求項５に係る発明は、上記発明において、前記単位処理は業務システムのトランザクション処理であり、前記複数の要素処理はウェブ処理、アプリケーション処理およびデータベース処理であり、データベース処理の要注意箇所にはデータベースを構成するテーブルが含まれることを特徴とする。

この請求項５の発明によれば、単位処理は業務システムのトランザクション処理であり、複数の要素処理はウェブ処理、アプリケーション処理およびデータベース処理であり、データベース処理の要注意箇所にはデータベースを構成するテーブルが含まれるよう構成したので、業務システムの異常を精度良く検出することができる。

また、請求項６に係る発明は、複数種類の単位処理を実行するシステムを監視するシステム監視装置によるシステム監視方法であって、システムによって実行された単位処理が前記複数種類の単位処理のそれぞれをモデル化した複数の単位処理モデルのいずれかに一致し、かつ、処理時間が正常である割合をモデル・マッチ率として算出するモデル・マッチ率算出ステップと、前記モデル・マッチ率算出ステップにより算出されたモデル・マッチ率に基づいてシステムが正常であるか否かを判定するシステム状態判定ステップとを含んだことを特徴とする。

この請求項６の発明によれば、システムによって実行された単位処理が複数の単位処理モデルのいずれかに一致し、かつ、処理時間が正常である割合をモデル・マッチ率として算出し、算出したモデル・マッチ率に基づいてシステムが正常であるか否かを判定するよう構成したので、単位処理モデルと一致はしても処理時間に異常がある単位処理を検出することができる。

また、請求項７に係る発明は、複数種類の単位処理を実行するシステムを監視するシステム監視装置であって、システムによって実行された単位処理が前記複数種類の単位処理のそれぞれをモデル化した複数の単位処理モデルのいずれかに一致し、かつ、処理時間が正常である割合をモデル・マッチ率として算出するモデル・マッチ率算出手段と、前記モデル・マッチ率算出手段により算出されたモデル・マッチ率に基づいてシステムが正常であるか否かを判定するシステム状態判定手段とを備えたことを特徴とする。

この請求項７の発明によれば、システムによって実行された単位処理が複数の単位処理モデルのいずれかに一致し、かつ、処理時間が正常である割合をモデル・マッチ率として算出し、算出したモデル・マッチ率に基づいてシステムが正常であるか否かを判定するよう構成したので、単位処理モデルと一致はしても処理時間に異常がある単位処理を検出することができる。

本発明によれば、単位処理モデルと一致はしても処理時間に異常がある単位処理を検出するので、処理時間をシステムの異常検出に用いない場合と比較してより精度良くシステムの異常を検出することができるという効果を奏する。

また、本発明によれば、異常原因の特定を容易にするので、システム運用者は効率良くシステムの異常に対応することができるという効果を奏する。

また、本発明によれば、より詳細なレベルでの異常原因の特定を支援するので、システム運用者は効率良くシステムの異常に対応することができるという効果を奏する。

また、本発明によれば、定量的なデータに基づいて異常分析を支援するので、精度良くシステムの異常を分析することができるという効果を奏する。

また、本発明によれば、業務システムの異常を精度良く検出するので、業務システムの運用を支援することができるという効果を奏する。

図１は、本実施例に係るトランザクション監視装置によるトランザクションの監視とトランザクション詳細分析装置による異常個所の特定を説明するための説明図である。 図２−１は、本実施例に係るトランザクション監視装置およびトランザクション詳細分析装置によるシステム監視・分析手順を説明するための説明図（１）である。 図２−２は、本実施例に係るトランザクション監視装置およびトランザクション詳細分析装置によるシステム監視・分析手順を説明するための説明図（２）である。 図２−３は、本実施例に係るトランザクション監視装置およびトランザクション詳細分析装置によるシステム監視・分析手順を説明するための説明図（３）である。 図２−４は、本実施例に係るトランザクション監視装置およびトランザクション詳細分析装置によるシステム監視・分析手順を説明するための説明図（４）である。 図３は、本実施例に係るトランザクション監視装置の構成を示す機能ブロック図である。 図４は、新規トラン情報格納部１３１が格納する新規トラン情報の一例を示す図である。 図５は、モニタリング設定情報格納部１３２が格納するモニタリング設定情報の一例を示す図である。 図６−１は、モデル情報格納部１３３が格納するモデル情報の一例を示す図（１）である。 図６−２は、モデル情報格納部１３３が格納するモデル情報の一例を示す図（２）である。 図６−３は、モデル情報格納部１３３が格納するモデル情報の一例を示す図（３）である。 図７−１は、分析結果トラン情報格納部１３４が格納する分析結果トラン情報の一例を示す図（１）である。 図７−２は、分析結果トラン情報格納部１３４が格納する分析結果トラン情報の一例を示す図（２）である。 図８は、モニタリング情報格納部１３５が格納するモニタリング情報の一例を示す図である。 図９は、本実施例に係るトランザクション監視装置１００によるトランザクション監視処理の処理手順を示すフローチャートである。 図１０は、トランザクション詳細分析装置の構成を示す機能ブロック図である。 図１１は、詳細分析用設定情報格納部２３１が格納する詳細分析用設定情報の一例を示す図である。 図１２−１は、トラン構成要素間非類似度格納部１３４が格納するトラン構成要素間非類似度の一例を示す図（１）である。 図１２−２は、トラン構成要素間非類似度格納部１３４が格納するトラン構成要素間非類似度の一例を示す図（２）である。 図１３は、トランザクションｔｉとモデルＭｊとの間の非類似度を説明するための説明図である。 図１４は、分析結果トラン情報格納部２３４が格納する分析結果トラン情報の一例を示す図である。 図１５は、処理時間が正常範囲からはずれている箇所を問題箇所として抽出する処理を説明するための説明図である。 図１６は、問題箇所評価部２４８による問題性の評価を説明するための説明図である。 図１７は、詳細分析結果表示部２５０が表示する詳細分析結果の一例を示す図である。 図１８は、本実施例に係るトランザクション詳細分析装置２００によるトランザクション詳細分析処理の処理手順を示すフローチャートである。 図１９は、本実施例に係るトランザクション監視プログラムを実行するコンピュータの構成を示す機能ブロック図である。

符号の説明

１００ トランザクション監視装置
１１０ 入力部
１２０ 出力部
１３１ 新規トラン情報格納部
１３２ モニタリング設定情報格納部
１３３ モデル情報格納部
１３４ 分析結果トラン情報格納部
１３５ モニタリング情報格納部
１４１ トラン抽出部
１４２ モニタリング設定情報読込部
１４３ モデル情報読込部
１４４ 新規トラン情報読込部
１４５ トラン−モデルマッチング処理部
１４６ モデル・マッチ率評価部
１４７ モニタリング情報表示部
１５０ 参照情報記憶部
１６０ 制御部
２００ トランザクション詳細分析装置
２１０ 入力部
２２０ 出力部
２３１ 詳細分析用設定情報格納部
２３２ トラン構成要素間非類似度格納部
２３３ モデル情報格納部
２３４ 分析結果トラン情報格納部
２３５ 詳細分析結果格納部
２４１ 詳細分析用設定処理部
２４２ トラン構成要素間非類似度読込部
２４３ モデル情報読込部
２４４ トラン情報読込部
２４５ 類似モデル検索部
２４６ 要注意モデル抽出部
２４７ 要注意モデル内要注意箇所抽出部
２４８ 問題箇所評価部
２４９ トラン情報更新処理部
２５０ 詳細分析結果表示部
２６０ 参照情報記憶部
２７０ 制御部
３００ コンピュータ
３１０ ＲＡＭ
３１１ トランザクション監視プログラム
３２０ ＣＰＵ
３３０ ＨＤＤ
３４０ ＬＡＮインタフェース
３５０ 入出力インタフェース
３６０ ＤＶＤドライブ

以下に、本発明に係るシステム監視プログラム、システム監視方法およびシステム監視装置の実施例を図面に基づいて詳細に説明する。なお、以下では、トランザクション監視装置が業務システムを監視し、業務システムに異常が検出されるとトランザクション詳細分析装置がトランザクションの詳細分析を行う場合について説明するが、一つの装置が業務システムの監視とトランザクションの詳細分析を行うようにすることもできる。

まず、本実施例に係るトランザクション監視装置によるトランザクションの監視とトランザクション詳細分析装置による異常個所の特定について説明する。図１は、本実施例に係るトランザクション監視装置によるトランザクションの監視とトランザクション詳細分析装置による異常個所の特定を説明するための説明図である。本実施例に係るトランザクション監視装置およびトランザクション詳細分析装置は、トランザクションの種類ごとにトランザクションのモデルと処理時間を記憶する。

そして、本実施例に係るトランザクション監視装置は、実際のトランザクションをモデルと比較し、一致するモデルがない場合には、トランザクションを異常であると判定する。また、一致するモデルがある場合にも、業務システムのＷｅｂ階層（ウェブ階層）、Ａｐｐ階層（アプリケーション階層）、ＤＢ階層（データベース階層）の各処理時間のいずれかがモデルの各階層の処理時間と比べて非常に長い場合には、トランザクションを異常であると判定する。図１では、モデル「Ｍ１」および「Ｍ３」にそれぞれ一致したトランザクションのＤＢ階層の処理がモデルに比べて非常に遅いため、それらのトランザクションが異常であると判定される。

このように、本実施例に係るトランザクション監視装置は、実際のトランザクションがモデルと一致するか否かだけでなく、Ｗｅｂ階層、Ａｐｐ階層、ＤＢ階層の各処理時間をモデルの処理時間と比較してトランザクションの異常判定を行うことによって、モデルには一致するにもかかわらず異常なトランザクションを検出することができ、モデルと一致するか否かだけによってシステムを監視する場合と比較して、より正確にシステムの異常を検出することができる。なお、処理時間を用いることなくモデルだけを用いてシステムを監視するトランザクション監視装置については、特願２００６−０９９３５１に記載されている。

また、本実施例に係るトランザクション詳細分析装置は、ＤＢメッセージごとの処理時間をＤＢ階層の処理時間とともに記憶し、ＤＢ階層の処理に異常がある場合には、ＤＢメッセージごとの処理時間をモデルと比較して、データベースを構成するテーブルのうちどのテーブルに問題があるかを特定する。図１では、「Ｍ１」に一致したトランザクションと「Ｍ３」に一致したトランザクションのデータベース処理の共通部分はテーブル「ＴＢＬ＿Ａ」および「ＴＢＬ＿Ｂ」の処理であり、「ＴＢＬ＿Ａ」の処理がモデルと比較して特に遅いことから、「ＴＢＬ＿Ａ」が問題箇所として特定される。

このように、本実施例に係るトランザクション詳細分析装置は、ＤＢ階層の処理に異常がある場合には、ＤＢメッセージごとの処理時間をモデルの処理時間と比較して、データベースを構成するテーブルのうちどのテーブルに問題があるかを特定することによって、異常原因の詳細な分析を支援することができる。

次に、本実施例に係るトランザクション監視装置およびトランザクション詳細分析装置によるシステム監視・分析手順の概要について説明する。図２−１〜図２−４は、本実施例に係るトランザクション監視装置およびトランザクション詳細分析装置によるシステム監視・分析手順を説明するための説明図（１）〜（４）である。

図２−１に示すように、本実施例に係るトランザクション監視装置は、モデル・マッチ率を計算し、モデル・マッチ率が所定の閾値を下回ると、警告を出力するとともにトランザクション詳細分析装置に詳細分析を指示し、トランザクション詳細分析装置が、異常原因特定を支援する詳細分析を開始する。

ここで、モデル・マッチ率とは、単位時間当たりに観測されたトランザクション数に対して、いずれかのモデルと一致し、かつ、トランザクション内の各階層の処理時間が全て正常範囲内にあるトランザクションの数の割合である。なお、トランザクション内の各階層の処理時間の正常範囲は、モデルの処理時間の平均±係数×標準偏差などの統計量に基づいて決めることができる。あるいは、システム運用者が決めることもできる。

詳細分析では、トランザクション詳細分析装置は、図２−２に示すように、単位時間当たりの各モデルにマッチしたトランザクションの処理時間の内訳（Ｗｅｂ階層、Ａｐｐ階層、ＤＢ階層の平均値）を計算し、正常範囲からはずれている箇所を要注意箇所として抽出する。

図２−２では、モデル「Ｍ１」および「Ｍ３」のＤＢ階層の処理時間が正常範囲からはずれているため、モデル「Ｍ１」および「Ｍ３」が要注意モデルとして抽出される。また、モデルＭ１で処理が行われるテーブル「ＴＡＮＴＯＳＹＡ」、「ＫＯＫＹＡＫＵ」および「ＳＡＩＢＡＮ」ならびに処理を行ったサーバのＩＤ「１０．２３．４５．６７」と、モデルＭ３で処理が行われるテーブル「ＪＹＵＴＹＵ」、「ＫＯＫＹＡＫＵ」、「ＴＡＮＴＯＳＹＡ」、「ＭＥＩＳＡＩ」、「ＺＡＩＫＯ」および「ＳＨＯＨＩＮ」ならびに処理を行ったサーバのＩＤ「１０．２３．４５．６７」が要注意箇所として抽出される。

そして、トランザクション詳細分析装置は、図２−３に示すように、モデル「Ｍ１」および「Ｍ３」の要注意箇所であるＤＢ階層のＤＢ処理メッセージ群に対してＤＢ処理メッセージごとに処理時間の平均値を求めてモデルの平均値と比較し、正常範囲からはずれているＤＢ処理メッセージに共通のテーブル「ＫＯＫＹＡＫＵ」を「問題性大」であると判定する。

図２−３では、モデルＭ１のＤＢ階層が６個のＤＢ処理メッセージから構成され、モデルＭ２のＤＢ階層が７個のＤＢ処理メッセージから構成され、モデル「Ｍ１」の２番目のＤＢ処理メッセージとモデル「Ｍ３」の２番目のＤＢ処理メッセージが正常範囲からはずれており、テーブル「ＫＯＫＹＡＫＵ」が両方のＤＢ処理メッセージに共通しているため、トランザクション詳細分析装置は、テーブル「ＫＯＫＹＡＫＵ」を「問題性大」であると判定する。

これに対して、サーバのＩＤ「１０．２３．４５．６７」は、図２−４に示すように、要注意モデル「Ｍ１」および「Ｍ３」に共通に出現するが、要注意モデル以外の正常モデル「Ｍ２」、「Ｍ４」および「Ｍ５」にも出現する。したがって、トランザクション詳細分析装置は、サーバ「１０．２３．４５．６７」を「問題性小」であると判定する。また、モデル「Ｍ３」の２番目のＤＢ処理メッセージだけに出現するテーブル「ＴＡＮＴＯＳＹＡ］および「ＪＹＵＴＹＵ」は、「問題性大」と「問題性小」の間に位置付けられる。

このように、本実施例に係るトランザクション詳細分析装置は、モデル・マッチ率が所定の閾値を下回ると、トランザクションの処理時間に基づいて要注意箇所を抽出し、要注意箇所が要注意モデルと正常モデルにどのように出現しているかに基づいて各要注意箇所の問題性を評価することによって、システムの異常原因の特定を支援することができる。

次に、本実施例に係るトランザクション監視装置の構成について説明する。図３は、本実施例に係るトランザクション監視装置の構成を示す機能ブロック図である。同図に示すように、このトランザクション監視装置１００は、入力部１１０と、出力部１２０と、新規トラン情報格納部１３１と、モニタリング設定情報格納部１３２と、モデル情報格納部１３３と、分析結果トラン情報格納部１３４と、モニタリング情報格納部１３５と、トラン抽出部１４１と、モニタリング設定情報読込部１４２と、モデル情報読込部１４３と、新規トラン情報読込部１４４と、トラン−モデルマッチング処理部１４５と、モデル・マッチ率評価部１４６と、モニタリング情報表示部１４７と、参照情報記憶部１５０と、制御部１６０とを有する。

入力部１１０は、トランザクションの監視に関する各種の指示をシステム運用者から受け付ける処理部であり、具体的には、システム運用者によるマウスやキーボードを用いた指示を受け付ける。出力部１２０は、トランザクション監視装置１００の監視結果を出力する処理部であり、具体的には、表示装置に監視結果を表示する。

新規トラン情報格納部１３１は、監視対象である新規のトランザクションに関する情報を新規トラン情報として格納する格納部である。図４は、新規トラン情報格納部１３１が格納する新規トラン情報の一例を示す図である。同図に示すように、新規トラン情報格納部１３１は、トランザクションを構成する個々の処理ごとに、トランザクションを識別するトランＩＤ、各処理の開始時刻および終了時刻、プロトコル種別、処理内容、トランザクションのクライアントＩＤならびに処理を実行したサーバＩＤを新規トラン情報として格納する。

モニタリング設定情報格納部１３２は、システム監視に関する設定情報をモニタリング設定情報として格納する格納部である。図５は、モニタリング設定情報格納部１３２が格納するモニタリング設定情報の一例を示す図である。同図に示すように、このモニタリング設定情報格納部１３２は、モデル・マッチ率評価条件およびモデル・マッチ率判定基準をモニタリング設定情報として格納する。

ここで、モデル・マッチ率評価条件は、モデル・マッチ率すなわち新規のトランザクションがモデルとマッチする率を評価する時間間隔である。また、モデル・マッチ率判定基準は、モデル・マッチ率に基づいてシステムの処理状況を判定する基準であり、この例では、トランザクション監視装置１００は、モデル・マッチ率が「０．９０以上１．００以下」の場合にはシステムの処理状況を「正常」と判定し、「０．８０以上０．９０未満」の場合にはシステムの処理状況を「注意」と判定し、「０．００以上０．８０未満」の場合にはシステムの処理状況を「警告」と判定する。

モデル情報格納部１３３は、トランザクションのモデルの情報をモデル情報として格納する格納部である。図６−１〜図６−３は、モデル情報格納部１３３が格納するモデル情報の一例を示す図（１）〜（３）である。これらの図に示すように、このモデル情報格納部１３３は、「Ｍ１」、「Ｍ２」などトランザクションのモデルを識別するモデルＩＤとモデルを定義する情報を対応させて記憶する。モデルを定義する情報は、モデルを構成する処理ごとにノード、プロトコル種別、処理内容および正常範囲から構成される。

ここで、ノードは、処理が行われる階層（Ｗｅｂ階層−Ａｐｐ階層−ＤＢ階層）と階層内での一連番号を表す。例えばノード「０」はＷｅｂ階層の最初の処理を表し、ノード「０−０」はＷｅｂ階層の最初の処理におけるＡｐｐ階層の最初の処理を表し、ノード「０−０−ｎ」はＷｅｂ階層の最初の処理でのＡｐｐ階層の最初の処理におけるＤＢ階層のｎ＋１番目の処理を表す。なお、ノード「０−０−＊」は、Ｗｅｂ階層の最初の処理でのＡｐｐ階層の最初の処理におけるＤＢ階層の一連の処理をまとめたものであり、処理内容は、ＤＢ階層の処理で処理されるテーブルを示す。また、正常範囲は、各処理が正常に行われる場合の処理時間の下限値と上限値を示す。

例えば、モデル「Ｍ１」のノード「０−０−＊」のＤＢ階層の処理で処理されるテーブルは「ＴＡＮＴＯＳＹＡ］、「ＫＯＫＹＡＫＵ」および「ＳＥＩＢＡＮ」であり、処理時間が０．００５８秒と０．０３６８秒の範囲内であればＤＢ階層の処理は正常であることを示す。

分析結果トラン情報格納部１３４は、新規のトランザクションがモデルとマッチしたか否かの分析結果を分析結果トラン情報として格納する格納部である。ここで、マッチするとは、処理内容が一致し、かつ処理時間が正常範囲内である場合である。

図７−１および図７−２は、分析結果トラン情報格納部１３４が格納する分析結果トラン情報の一例を示す図（１）および（２）である。これらの図に示すように、この分析結果トラン情報格納部１３４は、新規トラン情報にモデルＩＤ、ノード、処理時間および状態が分析結果として追加された情報を分析結果トラン情報として格納する。ここで、モデルＩＤは、新規のトランザクションに処理内容が一致したモデルのモデルＩＤであり、ノードは、対応するモデルのノードであり、処理時間は、処理に要した時間である。

また、状態は、一致したモデルがない場合には「非マッチ」であり、一致したモデルがあり処理時間が正常範囲内である場合には「正常」であり、一致したモデルはあるが処理時間が正常範囲からはずれている場合には「問題」がある。なお、ここでは、ＤＢ階層の各ＤＢメッセージに対して処理時間が正常範囲内であるか否かが判定されているが、ＤＢメッセージの処理時間が正常範囲内であるか否かの判定は後述する詳細分析で行われる。

モニタリング情報格納部１３５は、業務システムの処理状況のモニタリング結果をモニタリング情報として格納する格納部である。図８は、モニタリング情報格納部１３５が格納するモニタリング情報の一例を示す図である。同図に示すように、このモニタリング情報格納部１３５は、６０秒ごとに業務システムのモニタリング結果として、時刻、処理したトランザクションの数であるトラン観測数、正常と判定されたトランザクションの数である正常モデル数、モデル・マッチ率、業務システムの状態をモニタリング情報として格納する。

ここで、６０秒はモデル・マッチ率評価条件として設定された値であり、業務システムの状態はモデル・マッチ率判定基準に基づいて判定された業務システムの状態である。また、モデル・マッチ率評価条件およびモデル・マッチ率判定基準はモニタリング設定情報としてシステム運用者により設定された値である。

トラン抽出部１４１は、ネットワーク上でトランザクション処理のためにやりとりされるメッセージのログを収集し、そのログ内のメッセージ間の呼び出し関係に基づいて、トランザクションを抽出する処理部であり、抽出したトランザクションに関する情報を新規トラン情報格納部１３１に格納する。なお、ここでは、トラン抽出部１４１をトランザクション監視装置１００内に設けることとしたが、トラン抽出部１４１を別の装置に設けることもできる。

モニタリング設定情報読込部１４２は、モニタリング設定情報格納部１３２からモニタリング設定情報を読み出して参照情報記憶部１５０に書き込む処理部であり、モデル情報読込部１４３は、モデル情報格納部１３３からモデル情報を読み出して参照情報記憶部１５０に書き込む処理部である。

新規トラン情報読込部１４４は、新規トラン情報格納部１３１から新規のトランザクションの情報を読み出してトラン−モデルマッチング処理部１４５に一つずつ渡す処理部である。

トラン−モデルマッチング処理部１４５は、新規トラン情報読込部１４４から新規のトランザクションの情報を一つずつ受け取り、参照情報記憶部１５０に記憶されたモデル情報を参照して新規のトランザクションがモデルのいずれかに一致するか否かを判定し、一致するモデルがある場合には、各階層の処理ごとに処理時間が正常範囲内であるか否かを判定する処理部である。

そして、トラン−モデルマッチング処理部１４５は、新規のトランザクションがモデルのいずれかにも一致しない場合には、その処理の状態を「非マッチ」とし、一致したモデルがあり処理時間が正常範囲内である場合には、その処理の状態を「正常」とし、一致したモデルはあるが処理時間が正常範囲内でない場合には、その処理の状態を「問題」とする。そして、各処理の情報に処理時間などと一緒に処理の状態を付加して分析結果トラン情報格納部１３４に書き込む。なお、ＤＢ階層の一連の処理をまとめた処理以外の個別の処理についての「正常」か「問題」かの判定は、後述する詳細分析時に行われる。

このように、トラン−モデルマッチング処理部１４５が、新規のトランザクションがモデルのいずれかに一致した場合でも、各階層の処理ごとの処理時間が正常範囲内であるか否かを判定することによって、処理内容だけでなく各階層の処理時間に基づいてシステムの異常をより正確に検出することができる。

モデル・マッチ率評価部１４６は、モデル・マッチ率評価条件の時間間隔でモデル・マッチ率を計算し、業務システムの処理状態をモデル・マッチ率判定基準に基づいて特定する処理部であり、特定した状態をモニタリング情報としてモニタリング情報格納部１３５に格納する。このモデル・マッチ率評価部１４６は、単位時間当たりに観測されたトランザクション数に対して、いずれかのモデルと一致し、かつ、トランザクション内の各階層の処理時間が全て正常範囲内にあるトランザクションの数の割合をモデル・マッチ率として計算する。

モニタリング情報表示部１４７は、モニタリング情報格納部１３５に格納されたモニタリング情報を出力部１２０を介して表示する処理部である。参照情報記憶部１５０は、モニタリング設定情報読込部１４２およびモデル情報読込部１４３によってそれぞれ読み込まれたモニタリング設定情報およびモデル情報を記憶する記憶部である。この参照情報記憶部１５０が記憶する情報は、トラン−モデルマッチング処理部１４５およびモデル・マッチ率評価部１４６によって参照される。

制御部１６０は、上述した入力部１１０、出力部１２０、トラン抽出部１４１、モニタリング設定情報読込部１４２、モデル情報読込部１４３、新規トラン情報読込部１４４、トラン−モデルマッチング処理部１４５、モデル・マッチ率評価部１４６、モニタリング情報表示部１４７を制御してトランザクション監視装置１００を一つの装置として機能させる。なお、図３において格納部は磁気ディスク装置内に設けられ、格納部と処理部間の矢印は、処理部から格納部へのアクセスを表す。

次に、本実施例に係るトランザクション監視装置１００によるトランザクション監視処理の処理手順について説明する。図９は、本実施例に係るトランザクション監視装置１００によるトランザクション監視処理の処理手順を示すフローチャートである。

同図に示すように、このトランザクション監視処理では、モニタリング設定情報読込部１４２がモニタリング設定情報を読み込んで参照情報記憶部１５０に書き込み（ステップＳ１０１）、モデル情報読込部１４３がモデル情報を読み込んで参照情報記憶部１５０に書き込む（ステップＳ１０２）。

そして、新規トラン情報読込部１４４が新規トランザクションｔを読み込んでトラン−モデルマッチング処理部１４５に渡し（ステップＳ１０３）、トラン−モデルマッチング処理部１４５がトランザクションの観測数に「１」を加える（ステップＳ１０４）。なお、トランザクションの観測数は「０」に初期化されているものとする。

そして、トラン−モデルマッチング処理部１４５は、参照情報記憶部１５０からモデルを検索し（ステップＳ１０５）、トラザクションｔと一致するモデルがあるか否かを判定する（ステップＳ１０６）。その結果、トラザクションｔに一致するモデルがある場合には、各階層での処理時間が正常範囲内であるか否かを判定し（ステップＳ１０７）、全階層での処理時間が正常範囲内である場合には、モデル・マッチ数に「１」を加える（ステップＳ１０８）。一方、処理時間が正常範囲内でない階層が一つでもある場合あるいは一致するモデルがない場合には、モデル・マッチ数はそのままとする。なお、モデル・マッチ数は「０」に初期化されているものとする。

そして、トラン−モデルマッチング処理部１４５は、トランザクションｔの情報、判定結果などを分析結果トラン情報格納部１３４に書き入れる（ステップＳ１０９）。そして、モデル・マッチ率評価部１４６が、参照情報記憶部１５０のモデル・マッチ率評価条件を参照し、モデル・マッチ率評価条件を満たすか否か、すなわち、モデル・マッチ率を評価する時間になったか否かを判定し（ステップＳ１１０）、モデル・マッチ率評価条件を満たさない場合には、ステップＳ１１７に進む。

一方、モデル・マッチ率評価条件を満たす場合には、モデル・マッチ率評価部１４６は、トランザクションの観測数およびモデル・マッチ数を用いてモデル・マッチ率を計算する。そして、モデル・マッチ率評価部１４６は、計算したモデル・マッチ率から業務システムの状態をモデル・マッチ率判定基準に基づいて特定し、特定した状態をモニタリング情報格納部１３５に書き入れる（ステップＳ１１１）。

そして、モニタリング情報表示部１４７が、モニタリング情報格納部１３５に書き入れられたモデル・マッチ率が正常範囲内か否かを判定し（ステップＳ１１２）、正常範囲内である場合には、モデル・マッチ率のグラフ表示を更新し（ステップＳ１１３）、正常範囲内でない場合には、アラート情報を付けてモデル・マッチ率のグラフ表示を更新する（ステップＳ１１４）。また、制御部１６０が、トランザクション詳細分析装置に詳細分析を指示する（ステップＳ１１５）。

そして、制御部１６０は、トランザクションの観測数およびモデル・マッチ数を「０」に初期化し（ステップＳ１１６）、所定のモニター終了条件を満たすか否かを判定し（ステップＳ１１７）、所定のモニター終了条件を満たさない場合には、ステップＳ１０３に戻って次のトランザクションを処理し、所定のモニター終了条件を満たす場合には、トランザクション監視処理を終了する。

このように、モデル・マッチ率が正常範囲内でない場合に、制御部１６０がトランザクション詳細分析装置に詳細分析を指示することによって、詳細分析を開始することができる。

次に、トランザクション詳細分析装置の構成について説明する。図１０は、トランザクション詳細分析装置の構成を示す機能ブロック図である。同図に示すように、このトランザクション詳細分析装置２００は、入力部２１０と、出力部２２０と、詳細分析用設定情報格納部２３１と、トラン構成要素間非類似度格納部２３２と、モデル情報格納部２３３と、分析結果トラン情報格納部２３４と、詳細分析結果格納部２３５と、詳細分析用設定処理部２４１と、トラン構成要素間非類似度読込部２４２と、モデル情報読込部２４３と、トラン情報読込部２４４と、類似モデル検索部２４５と、要注意モデル抽出部２４６と、要注意モデル内要注意箇所抽出部２４７と、問題箇所評価部２４８と、トラン情報更新処理部２４９と、詳細分析結果表示部２５０と、参照情報記憶部２６０と、制御部２７０とを有する。

入力部２１０は、詳細分析に関する指示などをシステム運用者から受け付ける処理部であり、具体的には、システム運用者によるマウスやキーボードを用いた指示を受け付ける。出力部２２０は、トランザクション詳細分析装置２００の分析結果を出力する処理部であり、具体的には、表示装置に要注意箇所やその評価結果などを表示する。

詳細分析用設定情報格納部２３１は、詳細分析に関する設定情報を詳細分析用設定情報として格納する格納部である。図１１は、詳細分析用設定情報格納部２３１が格納する詳細分析用設定情報の一例を示す図である。同図に示すように、詳細分析用設定情報格納部２３１は、トラン−モデル間の非類似度計算のための編集距離のコスト係数を格納する。

ここで、トラン−モデル間の非類似度計算のための編集距離のコスト係数とは、トランザクションｔを編集（構成要素を追加・削除・置換）して、モデルｍに一致させるためのコストであり、「追加用」はトランザクションｔに１文字（１構成要素）を追加するためのコストであり、「削除用」はトランザクションｔから１文字（１構成要素）を削除するためのコストである。なお、トランザクションｔの１文字（１構成要素）ｐを別の１文字（１構成要素）ｑに置換するためのコストは、以下のトラン構成要素間非類似度格納部２３２が格納するトラン構成要素間非類似度によって与えられる。

トラン構成要素間非類似度格納部２３２は、トラン構成要素間すなわちトランザクションを構成する要素間の非類似度をトラン構成要素間非類似度として格納する格納部である。図１２−１および図１２−２は、トラン構成要素間非類似度格納部２３２が格納するトラン構成要素間非類似度の一例を示す図（１）および（２）である。このトラン構成要素間非類似度格納部２３２は、図１２−１に示すように、構成要素を識別する記号に、「ＨＴＴＰ」、「ＩＩＯＰ」などのトラン構成要素のプロトコル種別、プロトコル種別以外のトラン構成要素を構成する"文字列"、文字列長を対応させて格納するとともに、図１２−２に示すように、トラン構成要素間の編集距離および非類似度を格納する。

ここで、トラン構成要素ｐ、ｑ間の編集距離とは、トラン構成要素ｐからトラン構成要素ｑを得るまでに文字を挿入・削除・置換する回数であり、トラン構成要素ｐ、ｑ間の非類似度ｅｄ（ｐ，ｑ）は、ｐ、ｑが同一種別のプロトコルである場合は、
ｅｄ(ｐ，ｑ)＝（ｐ、ｑ間の編集距離）／（ｐとｑの文字列長の和）
で定義され、ｐ，ｑが異種別のプロトコルである場合は、
ｅｄ(ｐ，ｑ)＝１ （規定値）
で定義される。

例えば、図１２−２において、トラン構成要素Ａとトラン構成要素Ｍとは同一種別のプロトコルであり、トラン構成要素間の編集距離が３、すなわちトラン構成要素Ａの文字列「/dir/program1.cgi?」に対して文字の挿入・削除・置換を１回行うことでトラン構成要素Ｍの文字列「/dir/program3.cgi?」が得られ、さらに、トラン構成要素Ａの文字列長は「１８」であり、トラン構成要素Ｍの文字列長は「１８」であることから、これらのトラン構成要素Ａ、Ｍ間の非類似度ｅｄ(Ａ，Ｍ)は、
ｅｄ(Ａ，Ｍ)＝１／（１８＋１８）＝０．０２７７
となる。

また、トラン構成要素Ａとトラン構成要素Ｂとは、プロトコル種別が異なることから、これらのトラン構成要素Ａ、Ｂ間の非類似度ｅｄ(Ａ，Ｂ)は規定値をとり、
ｅｄ(Ａ，Ｂ)＝１
となる。

モデル情報格納部２３３は、モデル情報格納部１３３と同様に、トランザクションのモデルの情報をモデル情報として格納する格納部である。

分析結果トラン情報格納部２３４は、分析結果トラン情報格納部１３４と同様に、トランザクションの分析結果を分析結果トラン情報として格納する格納部であるが、類似モデルに関する情報も格納する。ここで、類似モデルとは、モデルと完全には一致しないが最もトランザクションに類似するモデルであり、トラン−モデル間非類似度すなわちトランザクションとモデルとの間の非類似度に基づいて特定される。

トランザクションとモデルとの間の非類似度は、トランザクションとモデルの各構成要素を１記号とみなした記号列間の編集距離である。ただし、構成要素ｐ、ｑ間の編集距離は一定値「１」ではなく、トラン構成要素間の非類似度ｅｄ(ｐ，ｑ)である。図１３は、トランザクションｔｉとモデルＭｊとの間の非類似度を説明するための説明図である。同図は、トランザクション「ｔ３４２」とモデル「Ｍ２」および「Ｍ５」との間のトラン−モデル間非類似度を示している。

例えば、図１２−１に示した記号を用いて、「ｔ３４２」を記号列「ＷＸＲ」と表わし、「Ｍ２」を記号列「ＪＫＬＩ」と表わすと、トランザクション「ｔ３４２」とモデル「Ｍ２」との間の非類似度Ｌ（ｔ３４２，Ｍ２）は、図１３に示すように、Ｗ→Ｊの編集距離（０．０７８９）、Ｘ→Ｋの編集距離（０．０７１４）、Ｒ→Ｌの編集距離（０．２７５８）および１文字追加コスト（０．０２０）の和であり、０．４４６１となる。同様に、図１２−１に示した記号を用いて、「Ｍ５」を記号列「ＷＸＲＹａｂｃｄｅｆａｇｂｈｉＩ」と表わすと、トランザクション「ｔ３４２」とモデル「Ｍ５」との間の非類似度Ｌ（ｔ３４２，Ｍ５）は、図１３に示すように、１４文字追加コストであり、１４×０．０２０＝０．２８０となる。したがって、他のモデルとのトラン−モデル間非類似度の中に０．２８０より小さいものがなければ「Ｍ５」が「ｔ３４２」の類似モデルとなる。

図１４は、分析結果トラン情報格納部２３４が格納する分析結果トラン情報の一例を示す図である。ただし、この例では、いずれのモデルとも一致しなかったトランザクションだけを示している。同図に示すように、いずれのモデルとも一致しなかったトランザクションの場合には、モデルＩＤがカッコ「（）」で囲われ、状態が「非マッチ」となる。なお、モデルに一致したトランザクションに関する分析結果トラン情報の一例は図７−１に示したとおりである。すなわち、分析結果トラン情報格納部１３４の説明で記載したように、図７−１は、詳細分析後の分析結果トラン情報を示している。

詳細分析結果格納部２３５は、トランザクションの詳細分析結果を格納する格納部であり、具体的には、要注意箇所や各要注意箇所の問題性の評価結果などの情報を格納する。

詳細分析用設定処理部２４１は、詳細分析用設設定情報格納部２３１から詳細分析用設情報を読み出して参照情報記憶部２６０に書き込む処理部であり、トラン構成要素間非類似度読込部２４２は、トラン構成要素間非類似度格納部２３２からトラン構成要素間非類似度を読み出して参照情報記憶部２６０に書き込む処理部である。

モデル情報読込部２４３は、モデル情報格納部２３３からモデル情報を読み出して参照情報記憶部２６０に書き込む処理部であり、トラン情報読込部２４４は、分析結果トラン情報格納部２３４からいずれのモデルとも一致しなかったトランザクションおよび処理時間が正常範囲からはずれたトランザクションの情報を読み出して参照情報記憶部２６０に書き込む処理部である。

類似モデル検索部２４５は、モデルとマッチしなかったトランザクションに類似するモデルを参照情報記憶部２６０から検索する処理部であり、検索した類似モデルの情報を要注意モデルの情報として詳細分析結果格納部２３５に書き入れる。

要注意モデル抽出部２４６は、処理時間が正常範囲からはずれたトランザクションと一致したモデルを要注意モデルとして抽出する処理部であり、抽出した要注意モデルの情報を詳細分析結果格納部２３５に書き入れる。

要注意モデル内要注意箇所抽出部２４７は、トランザクションと類似モデルとの相違箇所または処理時間が正常範囲からはずれている箇所を要注意箇所として抽出する処理部である。図１５は、処理時間が正常範囲からはずれている箇所を要注意箇所として抽出する処理を説明するための説明図である。同図（ａ）は、処理時間の階層別内訳を各モデルおよび各モデルと一致したトランザクションについて示している。また、ここでは、「Ｍ１」と「Ｍ３」のＤＢ処理のトランザクションの平均値がモデルの処理時間の平均値±係数×標準偏差で計算される正常範囲からはずれている場合を示している。

要注意モデル内要注意箇所抽出部２４７は、同図（ｂ）に示すように、モデル「Ｍ１」および「Ｍ３」のＤＢ処理時間を要素別処理時間に分解することによって、モデル「Ｍ１」の２番目の要素処理およびモデル「Ｍ３」の２番目の要素処理を要注意箇所として抽出する。

問題箇所評価部２４８は、要注意箇所を有する要注意モデルの一定期間での出現回数と、要注意箇所を有するモデルあるいは要注意モデルの一定期間での出現回数とに基づいて、各要注意箇所の問題箇所としての問題性を評価する処理部であり、評価結果を詳細分析結果格納部２３５に書き入れる。ここで、モデルの一定期間での出現回数とは、モデルに一致したトランザクションの一定期間での数である。

図１６は、問題箇所評価部２４８による問題性の評価を説明するための説明図である。同図に示すように、問題箇所評価部２４８は、問題箇所ｘの期間ｓにおける問題性を（問題箇所ｘが要注意箇所となっている要注意モデルの期間ｓにおける出現回数）／（問題箇所ｘを構成要素として有するモデルあるいは要注意モデルの期間ｓにおける出現回数）によって評価する。

例えば、問題箇所をテーブル「ＫＯＫＹＡＫＵ」とすると、「ＫＯＫＹＡＫＵ」は要注意モデル「Ｍ１」および「Ｍ３」の要注意箇所であるので、問題性を評価する式の分子の対象となるモデルは「Ｍ１」と「Ｍ３」であり、分子の値は「Ｍ１」の出現回数と「Ｍ３」の出現回数の和で１１＋９＝２０である。また、図６−１〜図６−３に示したように、「ＫＯＫＹＡＫＵ」を構成要素とするモデルは「Ｍ１」および「Ｍ３」であり、要注意モデルは「Ｍ１」および「Ｍ３」であるので、問題性を評価する式の分母の対象となるモデルは「Ｍ１」と「Ｍ３」であり、分母の値も「Ｍ１」の出現回数と「Ｍ３」の出現回数の和で１１＋９＝２０である。したがって、問題性を評価する式の値は２０／２０＝１．００となる。

また、問題箇所をテーブル「ＴＡＮＴＯＳＹＡ」とすると、「ＴＡＮＴＯＳＹＡ」は要注意モデル「Ｍ３」の要注意箇所であるので、問題性を評価する式の分子の対象となるモデルは「Ｍ３」であり、分子の値は「Ｍ３」の出現回数＝９である。また、図６−１〜図６−３に示したように、「ＴＡＮＴＯＳＹＡ」を構成要素とするモデルは「Ｍ１」および「Ｍ３」であり、要注意モデルは「Ｍ１」および「Ｍ３」であるので、問題性を評価する式の分母の対象となるモデルは「Ｍ１」と「Ｍ３」であり、分母の値は「Ｍ１」の出現回数と「Ｍ３」の出現回数の和で１１＋９＝２０である。したがって、問題性を評価する式の値は９／２０＝０．４５となる。

このように、問題箇所評価部２４８が、問題箇所ｘの期間ｓにおける問題性を定量的に評価することによって、定量的な評価に基づいて異常原因を特定することができる。

トラン情報更新処理部２４９は、詳細分析結果に基づいて分析結果トラン情報格納部２３４の分析結果トラン情報を更新する処理部である。

詳細分析結果表示部２５０は、詳細分析結果格納部２３５に格納された詳細分析結果を出力部２２０を介して表示する処理部である。図１７は、詳細分析結果表示部２５０が表示する詳細分析結果の一例を示す図である。同図に示すように、詳細分析結果表示部２５０は、問題箇所を問題性の大きい順に要注意箇所とともに詳細分析結果として表示する。システム運用者は、この詳細分析結果に基づいてシステムの異常原因を効率良く特定することができる。

参照情報記憶部２６０は、詳細分析用設定処理部２４１、トラン構成要素間非類似度読込部２４２、モデル情報読込部２４３およびトラン情報読込部２４４によってそれぞれ読み込まれた詳細分析用設定情報、トラン構成要素間非類似度、モデル情報およびトラン情報を記憶する記憶部である。この参照情報記憶部２６０が記憶する情報は、類似モデル検索部２４５、要注意モデル抽出部２４６、要注意モデル内要注意箇所抽出部２４７によって参照される。

制御部２７０は、上述した入力部２１０、出力部２２０、詳細分析用設定処理部２４１、トラン構成要素間非類似度読込部２４２、モデル情報読込部２４３、トラン情報読込部２４４、類似モデル検索部２４５、要注意モデル抽出部２４６、要注意モデル内要注意箇所抽出部２４７、問題箇所評価部２４８、トラン情報更新処理部２４９、詳細分析結果表示部２５０を制御してトランザクション詳細分析装置２００を一つの装置として機能させる。なお、図１０において格納部は磁気ディスク装置内に設けられ、格納部と処理部間の矢印は、処理部から格納部へのアクセスを表す。

次に、本実施例に係るトランザクション詳細分析装置２００によるトランザクション詳細分析処理の処理手順について説明する。図１８は、本実施例に係るトランザクション詳細分析装置２００によるトランザクション詳細分析処理の処理手順を示すフローチャートである。

同図に示すように、このトランザクション詳細分析処理では、詳細分析用設定処理部２４１が詳細分析用設定情報を読み込んで参照情報記憶部２６０に書き込み（ステップＳ２０１）、モデル情報読込部２４３がモデル情報を読み込んで参照情報記憶部２６０に書き込む（ステップＳ２０２）。また、トラン構成要素間非類似度読込部２４２がトラン構成要素間非類似度を読み込んで参照情報記憶部２６０に書き込む（ステップＳ２０３）。

そして、トラン情報読込部２４４が分析結果トラン情報格納部２３４から所定期間内でモデルのいずれにも一致しなかったトランザクションｔ１，・・・，ｔｎの情報を読み込んで参照情報記憶部２６０に書き込む（ステップＳ２０４）。そして、制御部２７０は、各トランザクションの情報ｔｉに対してステップＳ２０５〜ステップＳ２０６を行うように制御する。

すなわち、類似モデル検索部２４５が参照情報記憶部２６０からｔｉを読み出し、ｔｉに最も類似するモデルＭｋを検索して要注意モデルとして詳細分析結果格納部２３５に書き込む（ステップＳ２０５）。そして、要注意モデル内要注意箇所抽出部２４７がｔｉとＭｋとの相違箇所を要注意箇所Ｐとして抽出し、詳細分析結果格納部２３５に書き込む（ステップＳ２０６）。そして、要注意モデル内要注意箇所抽出部２４７は、要注意モデルＭｋで問題が生じている階層・プロトコル・サーバＩＤなどを要注意箇所Ｑとして抽出し、詳細分析結果格納部２３５に書き込む（ステップＳ２０７）。

そして、トラン情報読込部２４４が分析結果トラン情報格納部２３４から所定期間内で処理時間が正常範囲からはずれたトランザクションｔ１，・・・，ｔｎの情報を読み込んで参照情報記憶部２６０に書き込む（ステップＳ２０８）。そして、制御部２７０は、各トランザクションの情報ｔｉに対してステップＳ２０９〜ステップＳ２１１を行うように制御する。

すなわち、要注意モデル抽出部２４６がｔｉが属するモデルすなわちｔｉと一致したモデルＭｊを要注意モデルとして詳細分析結果格納部２３５に書き込む（ステップＳ２０９）。そして、要注意モデル内要注意箇所抽出部２４７がｔｉの処理時間情報をＭｊの階層・プロトコル別に集計し（ステップＳ２１０）、ｔｉの構成要素の中で処理時間がＭｊの正常範囲からはずれているものを要注意箇所Ｒとして抽出し、詳細分析結果格納部２３５に書き込む（ステップＳ２１１）。そして、要注意モデル内要注意箇所抽出部２４７は、要注意モデルＭｊで問題が生じている階層・プロトコル・サーバＩＤなどを要注意箇所Ｓとして抽出し、詳細分析結果格納部２３５に書き込む（ステップＳ２１２）。

そして、問題箇所評価部２４８が、要注意箇所Ｐ、Ｑ、Ｒ、Ｓのそれぞれを問題箇所として問題性を評価し（ステップＳ２１３）、問題性を評価した値の大きい順に問題箇所をソートして問題箇所リストを生成し（ステップＳ２１４）、詳細分析結果格納部２３５に格納する（ステップＳ２１５）。そして、詳細分析結果表示部２５０が要注意箇所および問題箇所リストを表示し（ステップＳ２１６）、トラン情報更新処理部２４９が分析結果トラン情報格納部２３４を更新する（ステップＳ２１７）。

上述してきたように、本実施例では、トランザクション監視装置１００のモデル・マッチ率評価部１４６が、単位時間当たりに観測されたトランザクション数に対して、いずれかのモデルに一致し、かつトランザクション内の各階層での処理時間が正常範囲内であるトランザクションの割合をモデル・マッチ率として評価することとしたので、モデルには一致しても処理に時間がかかる場合を異常として検出することができる。したがって、モデルとのマッチとしてモデルと一致するかだけを判定して処理時間を用いない場合と比較して、より精度良く異常を検出することができる。

また、本実施例では、トランザクション詳細分析装置２００の要注意モデル内要注意箇所抽出部２４７が処理時間が正常範囲からはずれている箇所を要注意箇所として抽出し、問題箇所評価部２４８が、各要注意箇所に対して問題箇所としての問題性を評価し、詳細分析結果表示部２５０が問題箇所の評価結果および要注意箇所を表示することとしたので、システムの異常原因の特定を支援することができる。したがって、システム運用者は効率良くシステムの異常原因を特定することができる。

また、本実施例では、要注意モデル内要注意箇所抽出部２４７が、処理時間が正常範囲からはずれている箇所がＤＢ階層である場合に、データベースを構成するテーブルレベルで要注意箇所を抽出することとしたので、データベースシステムの異常原因分析にとって重要なテーブルレベルでの分析を支援することができる。

なお、本実施例では、トランザクション監視装置およびトランザクション詳細分析装置について説明したが、トランザクション監視装置またはトランザクション詳細分析装置が有する構成をソフトウェアによって実現することで、同様の機能を有するトランザクション監視プログラムまたはトランザクション詳細分析プログラムを得ることができる。そこで、これらのプログラムを実行するコンピュータについて説明する。

図１９は、本実施例に係るトランザクション監視プログラムを実行するコンピュータの構成を示す機能ブロック図である。なお、トランザクション詳細分析プログラムも同様の構成を有するコンピュータで実行することができる。同図に示すように、このコンピュータ３００は、ＲＡＭ３１０と、ＣＰＵ３２０と、ＨＤＤ３３０と、ＬＡＮインタフェース３４０と、入出力インタフェース３５０と、ＤＶＤドライブ３６０とを有する。

ＲＡＭ３１０は、プログラムやプログラムの実行途中結果などを記憶するメモリであり、ＣＰＵ３２０は、ＲＡＭ３１０からプログラムを読み出して実行する中央処理装置である。ＨＤＤ３３０は、プログラムやデータを格納するディスク装置であり、ＬＡＮインタフェース３４０は、コンピュータ３００をＬＡＮ経由で他のコンピュータに接続するためのインタフェースである。入出力インタフェース３５０は、マウスやキーボードなどの入力装置および表示装置を接続するためのインタフェースであり、ＤＶＤドライブ３６０は、ＤＶＤの読み書きを行う装置である。

そして、このコンピュータ３００において実行されるトランザクション監視プログラム３１１は、ＤＶＤに記憶され、ＤＶＤドライブ３６０によってＤＶＤから読み出されてコンピュータ３００にインストールされる。あるいは、このトランザクション監視プログラム３１１は、ＬＡＮインタフェース３４０を介して接続された他のコンピュータシステムのデータベースなどに記憶され、これらのデータベースから読み出されてコンピュータ３００にインストールされる。そして、インストールされたトランザクション監視プログラム３１１は、ＨＤＤ３３０に記憶され、ＲＡＭ３１０に読み出されてＣＰＵ３２０によって実行される。

また、本実施例では、トランザクションを監視、分析する場合について説明したが、本発明はこれに限定されるものではなく、トランザクションのような単位処理を処理するコンピュータシステムに同様に適用することができる。

以上のように、本発明に係るシステム監視装置、システム監視方法およびシステム監視プログラムは、コンピュータシステムの監視や障害分析に有用であり、特に、データベースを使用するシステムの監視や障害分析に適している。

Claims (7)

1. 複数種類の単位処理を実行するシステムを監視するシステム監視プログラムであって、
   システムによって実行された単位処理が前記複数種類の単位処理のそれぞれをモデル化した複数の単位処理モデルのいずれかに一致し、かつ、処理時間が正常である割合をモデル・マッチ率として算出するモデル・マッチ率算出手順と、
   前記モデル・マッチ率算出手順により算出されたモデル・マッチ率に基づいてシステムが正常であるか否かを判定するシステム状態判定手順と
   をコンピュータに実行させることを特徴とするシステム監視プログラム。
2. 前記システム状態判定手順によりシステムが正常でないと判定された場合に、前記モデル・マッチ率算出手順により処理時間が正常でないと判定された単位処理に対して単位処理を構成する複数の要素処理の中で異常な要素処理を各要素処理の処理時間に基づいて特定する異常要素処理特定手順
   をさらにコンピュータに実行させることを特徴とする請求項１に記載のシステム監視プログラム。
3. 前記異常要素処理特定手順により特定された要素処理の異常の原因として注意を要する要注意箇所を各要素箇所の処理時間に基づいて特定する要注意箇所特定手順
   をさらにコンピュータに実行させることを特徴とする請求項２に記載のシステム監視プログラム。
4. 前記要注意箇所特定手順により複数の要注意箇所が特定された場合に、要注意箇所を有するモデルである要注意モデルと一致するトランザクションの所定期間における出現回数と、要注意箇所を構成要素として有するモデルあるいは要注意モデルと一致するトランザクションの該所定期間における出現回数に基づいて各要注意箇所の問題性を評価して出力する問題性評価手順
   をさらにコンピュータに実行させることを特徴とする請求項３に記載のシステム監視プログラム。
5. 前記単位処理は業務システムのトランザクション処理であり、前記複数の要素処理はウェブ処理、アプリケーション処理およびデータベース処理であり、データベース処理の要注意箇所にはデータベースを構成するテーブルが含まれることを特徴とする請求項４に記載のシステム監視プログラム。
6. 複数種類の単位処理を実行するシステムを監視するシステム監視装置によるシステム監視方法であって、
   システムによって実行された単位処理が前記複数種類の単位処理のそれぞれをモデル化した複数の単位処理モデルのいずれかに一致し、かつ、処理時間が正常である割合をモデル・マッチ率として算出するモデル・マッチ率算出ステップと、
   前記モデル・マッチ率算出ステップにより算出されたモデル・マッチ率に基づいてシステムが正常であるか否かを判定するシステム状態判定ステップと
   を含んだことを特徴とするシステム監視方法。
7. 複数種類の単位処理を実行するシステムを監視するシステム監視装置であって、
   システムによって実行された単位処理が前記複数種類の単位処理のそれぞれをモデル化した複数の単位処理モデルのいずれかに一致し、かつ、処理時間が正常である割合をモデル・マッチ率として算出するモデル・マッチ率算出手段と、
   前記モデル・マッチ率算出手段により算出されたモデル・マッチ率に基づいてシステムが正常であるか否かを判定するシステム状態判定手段と
   を備えたことを特徴とするシステム監視装置。

Images