JP5126698B2 - 運用管理装置、運用管理方法および運用管理プログラム - Google Patents

Description

本発明は、ＷＥＢサービスや業務サービスといった情報通信サービスを提供するサービスシステムのシステム状態の分析を行う運用管理装置、運用管理方法および運用管理プログラムに関し、特に、サービスシステムの信頼性を高めたり、運用管理装置を操作する者の操作負担を軽減したりすることができる運用管理装置、運用管理方法および運用管理プログラムに関する。

ＷＥＢサービスのような情報通信サービスの社会インフラとしての重要性が高まるにつれて、そのサービスを提供する装置（以下、サービスシステムと記す。）の安定稼動が重要となっている。このようなサービスシステムの運用管理は、従来管理者が手作業で行っていた。しかし、サービスシステムが大規模・複雑化するにつれて、管理者に要求される知識および操作の面での負担が飛躍的に増大し、判断ミスや操作ミスによるサービス停止といった問題も発生している。

このため、ハードウェアあるいはソフトウェアを一元的に状態監視し制御する統合運用管理システムでは、複数の機器から収集したイベントデータ（状態通知）に基づいて異常状態の組み合わせ等の分析を自動的に行い、大局的な問題点や原因を推定して管理者に通知し、対処支援を行うことができる。

関連技術の運用管理装置の例が、特許文献１に記載されている。

関連技術の運用管理装置は、順次発生するイベントデータの組み合わせを条件として指定して条件に応じた対処等を定めた運用ルール情報を保持している。イベントデータは、サービスシステムの状態を表すデータである。運用管理装置は、発生したイベントデータが運用ルール情報で指定されている条件を満たしているときに、その運用ルール情報に従って対処等を行う。

このようにして運用管理装置は、予め想定されるサービスシステムの異常状態の監視や対処を行う。このような運用管理装置を用いることで、多数の機器を手動で監視し対処する場合に比べて、管理者の作業負担が大幅に軽減される。運用ルール情報に従って自動的に対処等が行われることによって、管理者の経験や能力に依らず一定の監視および対処を行うことができ、運用管理品質が向上する。

図２５は、一般的に知られている関連技術の運用管理装置の構成を示すブロック図である。図２５に例示する運用管理装置４１は、イベントデータ取得手段２と、イベント蓄積手段７と、イベント分析手段４と、判定条件蓄積手段３と、ユーザ対話手段５と、制御手段６とを備えている。また、運用管理装置４１は、サービスシステム１と接続されている。運用管理装置４１とサービスシステム１は、通信回線あるいは通信ネットワークを介して接続されていてもよい。また、運用管理装置４１とサービスシステム１とが１つの装置として構成されていてもよい。

サービスシステム１は、ＷＥＢサービスや業務サービスといった情報通信サービスを提供する情報処理装置等である。例えば、サービスシステム１は、端末（図示せず。）からの要求に応じてＷｅｂページを端末に送信したり、端末からの要求に応じて業務処理を実行したりする。サービスシステム１が提供する業務サービスは特に限定されない。

サービスシステム１は、イベントデータを生成するイベントデータ生成手段７１を備える。イベントデータは、サービスシステム１の状態を表す情報である。例えば、イベントデータは、サービスシステム１が備えるハードウェアやサービスシステム１に搭載されたソフトウェアの状態や、サービスシステム１が実行した処理の結果等を表す。

イベントデータ生成手段７１は、ハードウェアやソフトウェアの状態を監視し、その状態を表す情報をイベントデータとして生成する。また、イベントデータ生成手段７１は生成したイベントデータを運用管理装置４１に送信する。なお、個々のイベントデータが表しているサービスシステム１の状態をイベントと記す。

イベント蓄積手段７は、サービスシステム１の動作状態の変化に従って順次生成されるイベントデータを記憶する記憶装置である。

イベントデータ取得手段２は、イベントデータ生成手段７１が順次生成して送信したイベントデータを受信し、受信したイベントデータをイベント蓄積手段７に記憶させる。また、イベントデータ取得手段２は、サービスシステム１から新たにイベントデータを受信した場合、そのイベントデータをイベント分析手段４に出力する。

判定条件蓄積手段３は、運用ルール情報を記憶する記憶装置である。運用ルール情報には、多数のイベントデータからイベントデータを抽出するための条件が定められている。

イベント分析手段４は、運用ルール情報を参照して、条件に合致するイベントデータを抽出する。なお、抽出すべきイベントデータは、管理者が監視したいと考えるイベントデータであり、どのようなイベントデータを抽出すべきかは、予め管理者によって定められる。抽出すべきイベントデータとして、例えば、障害の予兆となる状態を示すイベントデータ、障害の発生を示すイベントデータ、定期的に確認すべき項目を示すイベントデータ等がある。そして、予め抽出すべきイベントデータとして定められたイベントデータを抽出するための条件が管理者によって決定され、その条件を表した運用ルール情報が管理者によって作成される。判定条件蓄積手段３は、この運用ルール情報を記憶する。

イベント分析手段４は、イベントデータ取得手段２からイベントデータが入力されると、判定条件蓄積手段３に記憶された運用ルール情報を参照して、運用ルール情報に定められた条件に合致するイベントデータであるか否かを判定する。また、運用ルール情報には、条件に合致するイベントデータが存在する場合に実行すべき処理が記述されている場合がある。ただし、運用ルール情報にそのような処理が記述されていない場合もある。

イベント分析手段４は、分析結果（判定結果）をユーザ対話手段５に出力する。このとき、イベント分析手段４は、条件に合致すると判定されたイベントデータおよびその判定に用いた運用ルール情報も併せて、ユーザ対話手段５に出力する。

ユーザ対話手段５は、例えば、キーボードやマウス等の入力デバイスとディスプレイ装置とを含み、サービスシステム１の管理者に情報を表示したり、または、管理者からの操作を受け付ける。

ユーザ対話手段５は、例えば、イベント分析手段４による分析結果、条件に合致すると判定されたイベントデータおよびその判定に用いた運用ルール情報を表示する。ユーザ対話手段５は、管理者による対話入力に従って、判定条件蓄積手段３に記憶された運用ルール情報を修正する。また、ユーザ対話手段５は、管理者による対話入力に応じて、サービスシステム１に対する制御指示を制御手段６に出力する。

制御手段６は、ユーザ対話手段５からの制御指示に基づいて、サービスシステム１を制御する。

次に、イベントデータについて説明する。図２６は、図２５に例示する従来の運用管理装置４１がサービスシステム１から受信して記憶するイベントデータの例を示す説明図である。図２６（ｂ）はイベントデータの例を示し、図２６（ａ）は、サービスシステム１の状態変化に伴って順次収集されるイベントデータの一覧を示すデータ（以下、イベントリストと記す。）を示す。

図２６に示す例では、個々のイベントデータは、収集されたイベントデータを一意に識別するための番号と、イベントデータの種類を表す情報と、発生日時と、発生元のハードウェアあるいはソフトウェアを示す情報と、イベントデータの形式を示すＩＤと、イベント発生に関わるユーザ名と、イベントの補足説明文とを含む。イベントデータに他の情報が含まれていてもよい。図２６に例示するイベントリスト１００は、各イベントデータから上記の情報（番号等の各情報）を抽出して列挙した情報である。なお、イベントデータには番号が含まれていなくてもよいが、以下の説明では、便宜的に番号が含まれている場合を例にして説明する。イベントデータを一意に識別する番号は、イベント取得手段２が受信したイベントデータに付加する。

図２６（ｂ）に例示するイベントデータ１０１は、イベントリスト１１０に示す各イベントデータのうち、番号がＥ９００５であるイベントデータの記述例を示す。本例では、イベントデータ１０１が、ＴＹＰＥ（種類）やＳＥＲＶＥＲといったサービスシステムの状態を表す属性の名称とその値（属性値）がイコール記号（＝）で連結されたテキストファイルである場合を示している。

イベントリスト１００は、イベントデータに含まれる各属性の名称およびその値の記述を解釈して生成される。すなわち、イベントリストを生成する場合には、イベント取得手段２が、受信したイベントデータからＴＹＰＥ（種類）やＳＥＲＶＥＲの各属性値の値を抽出し、１つのイベントデータから抽出したＴＹＰＥ（種類）等の各属性値の値を対応付け、イベントデータ毎にイベントリスト１００に追加していけばよい。

図２６に示す例では、イベントデータのＴＹＰＥ属性からイベントリストにおける種類を生成し、イベントデータのＤＡＴＥ１（日付）とＴＩＭＥ１（時刻）からイベントリストにおける日時の項目を生成し、イベントデータのＳＥＲＶＥＲとＳＯＵＲＣＥからイベントリストにおける発生元の項目を生成する。同様に、イベントデータのＵＳＥＲからイベントリストにおけるユーザを生成する。

なお、図２６では、イベントデータ１０１のＴＹＰＥ属性として記述されている“ＩＮＦＯＲＭＡＴＩＯＮ”からイベントリストにおける「情報」という文字列を導出してイベントリストに含めている。このようなイベントデータ１０１に含まれる各属性の属性値に対応する文字列を予め定めておき、その文字列をイベントリストに含めてもよい。

なお、図２６では、コンピュータの状態を示す一般的な項目を示すイベントデータを例示しているが、イベントデータは他の情報を含んでいてもよい。イベントデータは、属性と、その属性の値とを対応させてサービスシステム１の状態を表す。また、イベントデータは、テキスト形式のデータであってもバイナリ形式のデータであってもよい。

イベントデータ取得手段２は、受信した全てのイベントデータを図２６（ｂ）に例示するようなイベント毎のファイルとしてイベント蓄積手段７に記憶させてもよい。また、受信した全てのイベントデータから、図２６（ａ）に例示する表形式のイベントリストを生成し、各イベントデータをイベントリストの形式でイベント蓄積手段７に記憶させてもよい。以下の説明では、イベントデータ取得手段２が各イベントデータをイベントリストの形式でイベント蓄積手段７に記憶させる場合を例にして説明する。

図２７は、判定条件蓄積手段３に記憶される運用ルール情報およびフィルタ情報の例を示す説明図である。図２７（ａ）は運用ルール情報の例を示し、図２７（ｂ）はフィルタ情報の例を示している。フィルタ情報は、イベント分析手段４が抽出すべきイベントデータの条件を表す情報である。

ただし、イベント分析手段４がイベントデータを抽出する条件は、１つのフィルタ情報だけによって定めるとは限らず、条件が複数のフィルタ情報によって定められる場合もある。イベント分析手段４がイベントデータを抽出する条件は、運用ルール情報内で、１つまたは複数のフィルタ情報の組み合わせとして記述される。運用ルール情報において、イベントデータを抽出する条件として記述された１つまたは複数のフィルタ情報の組み合わせを組み合わせ条件と記す。

なお、運用ルール情報内に１つまたは複数のフィルタ情報の組み合わせを直接記述してもよいが、ここでは、運用ルール情報に組み合わせ条件としてフィルタ情報の識別情報が記述される場合を例にして説明する。なお、フィルタ情報は予め管理者に作成され、判定条件蓄積手段３に記憶される。

フィルタ情報は、イベントデータと同様に“ＳＯＵＲＣＥ”等の属性と、属性の値とが含まれている。ただし、フィルタ情報に含まれる全ての属性に、属性の値が定められているとは限らない。

図２７（ｂ）に例示するフィルタ情報２０２では、“ＳＯＵＲＵＣＥ”というソフトウェアを表す属性の属性値が“ＢＩＺＡＰ”という業務ソフトウェアであり、“ＥＶＥＮＴＩＤ”というイベントデータの形式のＩＤを表す属性の属性値が“８０００”であり、他の属性には属性値が定められていない。フィルタ情報で定めている属性の値がいずれも、イベントデータに含まれているその属性の値と一致している場合、イベント分析手段４は、イベントデータが、フィルタ情報が示す条件を満足していると判定する。

図２７（ａ）に例示するように、運用ルール群（運用ルール情報の集合）２００に属する各運用ルール情報は、運用ルール情報を識別する番号と、組み合わせ条件と、イベントデータが条件に合致したと判定された場合に実行する処理内容と、運用ルールの説明文とを含む。

例えば、図２７（ａ）に例示する運用ルール群２００のうち、番号がＲ０１２０である運用ルール情報は、イベントデータと条件Ｆ００１１（図２７に示すフィルタ情報２０１参照。）および条件Ｆ００１２（フィルタ情報２０２参照。）との判定結果が共に真であれば、すなわち、イベントデータが条件Ｆ００１１、Ｆ００１２の双方に合致していれば、対処としてＭｉｇ（＄Ｆ００１２．ＳＯＵＲＣＥ，＄ＳＶ（ＮＯＵＰＤＡＴＥ））というコマンドを実行することを示している。

ここで例示した運用ルール情報Ｒ０１２０は、サービスシステム１に含まれるコンピュータで、ソフトウェアの自動アップデートが行われた後に業務ソフトウェアが異常となった場合に生成されるイベントデータを検出するためのルールである。そして、この運用ルール情報Ｒ０１２０には、アップデートが行われていない別のコンピュータへ業務ソフトウェアを移動させるというコマンドも記述されている。

フィルタ情報２０１で示される条件Ｆ００１１は、『イベントデータ内のＳＯＵＲＣＥ属性値が「ｕｐｄａｔｅｒ」であり、かつ、ＥＶＥＮＴＩＤ属性値が４００１である』という条件である。従って、イベント分析手段４は、そのようなイベントデータを検出した場合に、そのイベントデータは条件Ｆ００１１に合致すると判定する（条件Ｆ００１１との判定が真になる。）。

条件Ｆ００１に合致するイベントデータの例として、図２６に示すイベントデータＥ９００２が挙げられる。また、図２７に示す条件Ｆ００１２は、『イベントデータ内のＳＯＵＲＣＥが「ＢＩＺＡＰ」でありＥＶＥＮＴＩＤが「８０００」である』という条件である。例えば、図２６に例示するイベントデータＥ９００４がこの条件に合致する。従って、イベント分析手段４は、例えば図２６に示すイベントデータＥ９００４がイベントデータ取得手段２から入力された場合に、そのイベントデータは条件Ｆ００１２に合致すると判定する（条件Ｆ００１２との判定が真になる。）。

ここで述べた条件Ｆ００１１は、ソフトウェアのアップデートが行われたことを示すイベントデータを抽出するための条件である。また、条件Ｆ００１２は、ＢＩＺＡＰという業務ソフトウェアがエラーとなったことを示すイベントデータを抽出するための条件である。

また、条件Ｆ００１１、Ｆ００１２を組み合わせ条件とする運用ルール情報Ｒ０１２０（図２７（ａ）参照。）に記述される対処は、条件Ｆ００１２に合致したイベントデータのＳＯＵＲＣＥ属性値に記述される業務ソフトウェア（＄Ｆ００１２．ＳＯＵＲＣＥ）を、アップデートが行われていないことを示すＮＯＵＰＤＡＴＥの属性値を持つコンピュータ（＄ＳＶ（ＮＯＵＰＤＡＴＥ））に移動（Ｍｉｇ（））することを示している。

ここで、＄記号から始まる文字列は変数であり、イベント分析手段４で運用ルール情報が判定される際に、実際のイベントデータあるいは別途与えられた処理関数によって値が確定する情報であることを示す。別途与えられた処理関数によって決定する値とは、イベントデータ以外によって決定される値であり、例えば、「現在時刻」が該当する。以下、＄記号は変数を示すものとして説明する。

同様に、運用ルール情報Ｒ０１３０は、ジョブ異常を検出する図示しないフィルタ情報であるＦ００１３とイベントデータとが合致したときに、対処として、ＭａｉｌＴｏ（ｏｐｅｒａｔｏｒ）というコマンドを実行することを示す。“ＭａｉｌＴｏ（ｏｐｅｒａｔｏｒ）”は、管理者へのメール通報を行うコマンドである。

このように運用ルール情報は、イベントデータが組み合わせ条件に合致すると判定した場合に、実行すべき対処を示している。

なお、図２７（ａ）では、運用ルール情報としてｉｆ−ｔｈｅｎ形式で記述される一般的なルールを例として挙げている。運用ルール情報は、このようなルールに限定されるものではない。例えば、組み合わせ情報としてフィルタ情報を記述するのではなく、正規表現等の一般的な構造解析手法を用いて情報を抽出するものであってもよい。

また、サービスシステム１の状態監視のみを行う場合には、対処が管理者通報や画面表示に固定されるため、対処の項目が省略される場合もある。さらに、能力の高い管理者のみを想定する場合には、理解促進のための説明文がない場合もある。いずれの場合でも、サービスシステム１の状態を表すイベントデータの分析を行えるものであればよい。すなわち、イベントデータが条件に合致しているか否か判定を判定し、合致するイベントデータを抽出することができるものであればよい。

以下、運用ルール情報において、イベントデータを抽出する条件をイベントデータで表す場合を例にして説明する。

また、イベント分析手段４は、内部メモリを有し、そのメモリに、個々のフィルタ情報を識別する番号（フィルタ番号）毎に、そのフィルタ番号を組み合わせ情報として記述している運用ルール情報の番号とを対応付けた情報（以下、分析状態表と記す。）を記憶する。

また、フィルタ番号が示すフィルタ情報に合致するイベントデータがイベント分析手段４に入力された場合、イベント分析手段４は、そのイベントデータの番号をフィルタ情報に対応付けて分析状態表に追加する。

図２８は、イベント分析手段４が内部メモリ等に保持する分析状態表の例を示す。図２８では、図２６に示すイベントデータが順次イベント分析手段４に入力されイベント分析手段４が分析（イベントデータと条件とが合致するか否かの判定処理）を行っていったときの分析状態表の変化の例を示している。

図２８に示すように、分析状態表では、運用ルール群２００の組み合わせ条件として記述されている個々のフィルタ情報の番号と、そのフィルタ情報の番号を記述した運用ルール情報の番号とが、フィルタ情報の番号毎に対応付けて列挙されている。また、フィルタ情報と合致したイベントデータが存在する場合には、そのイベントデータの番号もフィルタ情報に対応付けて分析状態表に追加される。なお、図２７に示す運用ルール群２００では個々の運用ルール情報からフィルタ情報を探索することができる。

一方、図２８に示す分析状態表は、フィルタ情報の番号をすべて列挙した情報であり、フィルタ情報から運用ルールを特定するために用いられる。例えば、図２８に示す分析状態表３０１のフィルタ番号Ｆ００１１の行を参照すると、このフィルタ情報は、図２７に示す運用ルール群２００における番号Ｒ０１２０のルールと対応付けられている。

従って、フィルタ番号Ｆ００１１を組み合わせ条件として記述している運用ルール情報Ｒ０１２０を検索することができる。また、図２８に示す分析状態表３０１のフィルタ番号Ｆ００１１の行では、イベントデータＥ９００２が対応付けられている。従って、フィルタ番号Ｆ００１１のフィルタ情報に合致するイベントデータとしてイベントデータＥ９００２が存在することを示している。

イベント分析手段４は、イベントデータ取得手段２からイベントデータＥ９００２が入力された時点で、表の上から順にフィルタ情報とマッチングを行う。すなわち、イベントデータがフィルタ情報に合致しているか否かを、分析状態表に記述されたフィルタ番号毎に判定していく。イベントデータがフィルタ情報と合致していると判定したならば、イベント分析手段４は、そのイベントデータの番号を、合致していると判定したフィルタ情報の番号に対応付けて分析状態表に記述する。分析状態表に記述されたイベントデータの番号から、対応する運用ルール情報の組み合わせ条件に合致するか否かの判定対象となるイベントデータを特定することができる。

図２９は、図２５に例示する従来の運用管理装置のイベント分析手段４の動作の例を示すフローチャートである。以下、図２５から図２９を参照して、従来の運用管理装置の動作を説明する。

予め、ユーザ対話手段５には、管理者から運用ルール群およびフィルタ情報が入力される。そして、ユーザ対話手段５は、その運用ルール群およびフィルタ情報を判定条件蓄積手段３に記憶させる。ここでは、図２７（ａ）に示す運用ルール群２００と、図２７（ｂ）に示すフィルタ情報２０１、２０２を含むフィルタ情報の集合が判定条件蓄積手段３に記憶されている場合を例にして説明する。

サービスシステム１のイベントデータ生成手段７１は、順次サービスシステム１の動作状態を検出してイベントデータを生成し、イベントデータを運用管理装置４１に送信する。イベントデータ取得手段２は、サービスシステム１からイベントデータを受信すると、そのイベントデータをイベント蓄積手段７に記憶させ、また、そのイベントデータをイベント分析手段４に出力する。

イベント分析手段４は、イベントデータ取得手段２からイベントデータを入力され、イベントデータの入力がない場合には、イベントデータの入力を待つ（ステップＳ７０１）。

イベントデータ取得手段２からイベントデータが入力されると（ステップＳ７０１のＹｅｓ）、イベント分析手段４は例えば以下に示すように、運用ルール群２００に含まれる運用ルール情報で組み合わせ条件とされたフィルタ情報とそのイベントデータとが合致するか否かを判定する。

イベント分析手段４は、図２８に例示する分析状態表を参照して、分析状態表にフィルタ番号が列挙されているフィルタ情報のうち、イベントデータと合致しているか否かの判定が行われていないフィルタ情報の有無を判定する（ステップＳ７０２）。イベントデータと合致しているか否かの判定が行われていないフィルタ情報が存在しているならば（ステップＳ７０２のＹｅｓ）、イベント分析手段４は、そのフィルタ情報のうちの１つとイベントデータとが合致するか否かを判定する（ステップＳ７０３）。

ステップＳ７０３における判定結果がフィルタ情報とイベントデータとが合致していないという判定結果であれば（ステップＳ７０４のＮｏ）、ステップＳ７０２に移行し、ステップＳ７０２以降の動作を繰り返す。イベントデータと合致しているか否かの判定が行われていないフィルタ情報が存在していなければ（ステップＳ７０２のＮｏ）、ステップＳ７０１に移行して新たなイベントデータの入力を待つ。

ステップＳ７０３における判定結果がフィルタ情報とイベントデータとが合致しているという判定結果であれば（ステップＳ７０４のＹｅｓ）、イベント分析手段４は、その入力されたイベントデータの番号を、合致すると判定されたフィルタ情報のフィルタ番号に対応付けて分析状態表に記録する（ステップＳ７０５）。

例えば、イベントデータ取得手段２から図２６（ａ）に示すイベントデータイベントデータＥ９００２が入力され、そのイベントデータＥ９００２がフィルタ番号Ｆ００１１で示されるフィルタ情報２０１と合致すると判定された場合、分析状態表においてフィルタ番号Ｆ００１１に対応させてＥ９００２を記録する（ステップＳ７０５）。図２８に示す分析状態表３０１はこの状態を示している。

さらに、イベント分析手段４は、イベントデータと合致しているフィルタ情報のフィルタ番号から運用ルール情報を特定し、イベントデータがその運用ルール情報の組み合わせ条件を満足しているか否かを判定する（ステップＳ７０６）。

ステップＳ７０６における判定結果がイベントデータは組み合わせ条件を満足していないという判定結果であれば（ステップＳ７０７のＮｏ）、ステップＳ７０１に移行して新たなイベントデータの入力を待つ。一方、ステップＳ７０６における判定結果がイベントデータは組み合わせ条件を満足しているという判定結果であれば（ステップＳ７０７のＹｅｓ）、イベント分析手段４は、ステップＳ７０６で特定された運用ルール情報で指定された対処を実行する（ステップＳ７０８）。そして、イベント分析手段４に入力されたイベントデータの番号を分析状態表から削除する（ステップＳ７０９）。

例えば、上記の例のようにステップＳ７０５の処理を行った場合、イベント分析手段４は、分析状態表３０１から、フィルタ番号Ｆ００１１に対応するルール番号であるＲ０１２０を特定し、イベントデータがその運用ルール情報の組み合わせ条件である「Ｆ００１１ ＡＮＤ Ｆ００１２」を満足するか否かを判定する（ステップＳ７０６）。

イベントデータＥ９００２がイベント分析手段４に入力されたときの分析状態表３０１を参照すると、Ｆ００１１には対応するイベントデータが記録されているため真であるが、Ｆ００１２には対応するイベントデータが記録されていないため偽となり、運用ルール情報Ｒ０１２０の組み合わせ条件は偽である。すなわち、イベントデータＥ９００２は運用ルール情報Ｒ０１２０の組み合わせ条件の組み合わせ条件を満足しない（ステップＳ７０７のＮｏ）。従って、ステップＳ７０１に移行して新たなイベントデータの入力を待つ。

例示した上記の動作の後、イベント分析手段４にイベントデータＥ９００３（図２６参照。）が入力されると（ステップＳ７０１のＹｅｓ）、イベント分析手段４は、そのイベントデータＥ９００３と合致するフィルタ情報を特定する（ステップＳ７０２〜Ｓ７０４）。ここでは、イベントデータＥ９００３とフィルタ番号Ｆ００１０のフィルタ情報とが合致していたとする。すると、イベント分析手段４は、Ｆ００１０に対応させてＥ９００３を記録する（ステップＳ７０５）。

続いて、イベント分析手段４は、Ｆ００１０に対応する運用ルール情報Ｒ０１１０を特定し、イベントデータＥ９００３がその運用ルール情報の組み合わせ条件を満足するか否かを判定する（ステップＳ７０６）。運用ルール情報Ｒ０１１０の組み合わせ条件はＦ００１０のみを示しているので（図２７（ａ）参照。）、イベントデータＥ９００３は、Ｆ００１０からなる組み合わせ条件を満足する（ステップＳ７０７のＹｅｓ）。

従って、運用ルール情報の対処を実行することになるが（ステップＳ７０８）、運用ルール情報Ｒ０１１０には該当する対処が記述されていないので（図２７（ａ）参照。）何も処理を行わない。

次に、運用ルール情報の条件判定が完了したことから、分析状態表から対応イベント（ここではＥ９００３）を削除し（ステップ７０９）、ステップＳ７０１に移行する。この時点での分析状態表は、図２８に示す分析状態表３０１と同様である。

さらに、同様にしてイベント分析手段４にイベントデータＥ９００４が入力され、そのイベントデータとフィルタ番号Ｆ００１２のフィルタ情報とが合致すると判定すると（ステップＳ７０１〜Ｓ７０４）、イベント分析手段４は、分析状態表に対応イベントとしてＥ９００４を記録する（ステップＳ７０５）。すなわち、Ｆ００１２に対応させてイベントデータの番号Ｅ９００４を記憶する。

この結果、分析状態表３０１は、図２８に示す分析状態表３０２の状態になる。さらに、イベント分析手段４は、Ｆ００１２に対応する運用ルール情報Ｒ０１２０を特定し、イベントデータＥ９００３がその運用ルール情報の組み合わせ条件を満足するか否かを判定する（ステップＳ７０６）。このとき、分析状態表３０２（図２８参照。）ではＦ００１１とＦ００１２の両方に対応イベントが存在することから条件判定が真となる（ステップ７０７のＹｅｓ）。

よって、イベント分析手段４は、ユーザ対話手段５および制御手段６を介してサービスシステム１に対して対処を実行し（ステップＳ７０８）、運用ルール情報Ｒ０１２０に対応する対応イベント（Ｅ９００２，Ｅ９００４）を削除する（ステップＳ７０９）。この結果、分析状態表３０２は、図２８に示す分析状態表３０３の状態になる。

図２６（ａ）に示すイベントデータＥ９００５は、このようにして行われた対処の結果を示すイベントデータであり、運用ルール情報Ｒ０１１０の組み合わせ条件に合致するものとする。

イベント分析手段４は、イベントデータのうち、運用ルール情報の組み合わせ条件に合致したイベントデータからなるリストを作成して、イベント蓄積手段１に記憶させる態様もある。このリストは、図２６（ａ）に示すイベントリストと同様のフォーマットのリストとして作成される。

このようにして運用ルール情報の組み合わせ条件に合致したイベントデータのリストを作成した場合、ユーザ対話手段５は、そのリストをユーザ対場手段５を介して管理者に提示する。管理者は、このリストの中のイベントデータＥ９００５を参照することで、異常に自動的に対処が行われたことを知ることができる。

また、運用ルール情報として対処を指定していない異常を発見した場合等、ユーザ対話手段５を介して制御手段６に制御指示を行い、手動で対処を行うことができる。なお、イベントデータ取得手段２が受信したイベントデータは全てファイル毎にあるいはイベントリストとしてイベント蓄積手段１に記憶されている。これらのイベントデータ（イベントリスト）をユーザ対話手段５に表示させることで、管理者により詳細な情報を確認させることができる。

このように、図２５に示す関連技術の運用管理装置では、順次発生するイベントデータを抽出するための組み合わせ条件を運用ルール情報で指定することによって、予め想定されるサービスシステム１の異常状態の監視および対処を行うことができる。そして、多数の機器を手動で監視し対処する場合に比べて、大幅に作業負担が軽減される。また、自動化によって、管理者の経験や能力に依らず一定の監視および対処を行うことができ、運用管理品質が向上する。

また、特許文献２には、情報処理システムに将来障害が発生する可能性を予測するステップを含む性能監視方法が記載されている。

特開２００６−２４４４０４号公報 特開２００５−３２７２６１号公報（段落０００９）

関連技術の運用管理装置では、イベント分析手段４は、入力されたイベントデータの中から、運用ルール情報の組み合わせ条件に合致するイベントデータを抽出する。組み合わせ条件は、フィルタ情報の組み合わせとして記述されるので、予め発生する時間順序が判明しているイベントデータに対しても、時系列とは関係なく、各フィルタ情報と合致しているか否かの判定を行うことになる。

イベント分析手段４に入力されたイベントデータがどのフィルタ情報に合致するかを判定するために、すべてのフィルタ情報とマッチングする必要があり、処理負荷が大きいという問題があった。

例えば、前述した運用ルール情報Ｒ０１２０の組み合わせ条件は、Ｆ００１１およびＦ００１２である。Ｆ００１１に合致するイベントデータが発生し、Ｆ００１２に合致するイベントデータがその後に発生することがわかっている場合であっても、各イベント毎に全てのフィルタ情報のマッチングを行う。このため、イベントデータＥ９００４が発生した時点で、分析状態表３０２で示す対応（Ｅ９００４とＦ００１２との対応）を見つけるためには、既にＥ９００２と合致するフィルタ情報Ｆ００１１とのマッチングも含めて、順次マッチングを繰り返す必要があった。

特に、サービスシステムが多数の機器で構成される大規模環境では、人手での運用管理が難しいため、運用管理装置による運用管理の自動化が最も望まれている。しかし、関連技術の運用管理装置では、このような環境では、運用ルール情報の数も、その条件として指定されるフィルタ情報の組合せも多くなり、飛躍的に処理負荷が増大するため、適用が困難であるという問題があった。

さらに、この関連技術の運用管理装置では、運用ルール情報の組み合わせ条件として複数のフィルタ条件を指定し、それらに合致する複数のイベントデータを検出したときに対処を行う。この場合、個々のイベントデータを特定するためのフィルタ条件と、発生元の関係や時間順序等のサービスシステムの特性に依存する環境依存のフィルタ条件を区別することができない。

前述の例では、イベントデータＥ９００２とイベントデータＥ９００４の発生元がＳＶ３で同じである（図２６（ａ）参照）。これらの発生元が異なっていたとしても、運用ルール情報Ｒ０１２０の条件は真となる。これは、例示したフィルタ情報に発生元のＳＥＲＶＥＲを特定する記述がないためである（図２７（ｂ）参照）。

仮に発生元を特定する記述をフィルタ情報に追加するとしても、発生元が同じ場合に限定すれば良いのか、異なっていても一定の条件で真になるようにすれば良いのかは、サービスシステム１の特性に依存する。例えば、運用ルール情報Ｒ０１２０を設定した主旨を考慮すれば、業務ソフトウェアが稼動するコンピュータでアップデートが行われた場合を特定することになるが、独立したコンピュータで実現されたシステムであれば、発生元が同じ場合のみに限定することになり、複数のコンピュータが付加分散等で連携する場合は、連携するコンピュータかどうかで区別することになる。

このように、環境依存の条件とほとんど環境に依存しない（不変とみなせる）条件を区別することができないため、結果的に、実際に発生するイベントデータの系列に合わせてフィルタ情報に環境依存の条件を多数記述する必要がある。このため、条件記述が複雑で判読性が低下することから、管理者が適切に運用ルール情報を設定することが難しくなるという問題があった。また、類似する他のシステムへの適用が困難となり、個々のサービスシステム毎に管理者が調整する作業が多くなるという問題があった。

また、例えば、ある運用ルール情報Ｐの組み合わせ条件ではフィルタ情報Ａ、Ｂが指定され、他の運用ルール情報Ｑの組み合わせ条件ではフィルタ情報Ａ、Ｃが指定されていたとする。そして、運用ルール情報Ｐでは、フィルタ情報Ａ、Ｂに合致する各イベントデータとして、発生元サーバが同一であるイベントデータを抽出し、運用ルール情報Ｑでは、フィルタ情報Ａ、Ｃに合致する各イベントデータとして、発生元サーバが同一であるか否かを問わないイベントデータを抽出するとする。この場合、フィルタ情報Ａの記述が複雑になり、フィルタ情報の判読性が低下する。

以上に説明したように、関連技術の運用管理装置では、処理負荷が大きいため大規模環境に適用できないという問題があった。また、環境依存の記述が多くなるため、適切に運用ルール情報を設定できないという問題があった。

そして、発生したイベントデータがどのフィルタ条件に合致するかを判定するために、すべてのフィルタ情報とマッチングする必要があり、処理負荷が大きいという問題があった。特に、サービスシステムが多数の機器で構成される大規模環境では、運用ルール情報の数も、その条件として指定されるフィルタ情報の組合わせも多くなり、飛躍的に処理負荷が増大するという問題があった。

さらに、実際に発生するイベントデータの系列に合わせてフィルタ情報に環境依存の条件を多数記述する必要があり、条件記述が複雑で判読性が低下することから、管理者が適切に運用ルール情報を設定することが難しくなるという問題があった。

そこで、本発明は、イベントデータと条件とが合致するか否かの判定を行う際の処理負荷を軽減してイベントデータの分析を迅速に行うことができる運用管理装置、運用管理方法および運用管理プログラムを提供することを目的とする。また、個々のイベントデータを特定するための条件と、サービスシステムの特性に依存する条件を区別し、管理者が運用ルール情報を容易に理解でき適切に設定できる運用管理装置、運用管理方法および運用管理プログラムを提供することを目的とする。

本発明の運用管理装置は、管理対象システムの状態を表す属性の名称とその属性値とを対応付けたイベントデータが定められた条件に合致したときに処理を行う運用管理装置であって、次のルール記憶手段、個別フィルタ情報記憶手段、予測イベント一覧記憶手段、予測イベント対応表記憶手段、個別フィルタ情報特定手段、予測イベントデータ生成手段、およびルール判定手段を有する。

ルール記憶手段は、実行する処理を定めた運用ルール情報を記憶する。

個別フィルタ情報記憶手段は、運用ルール情報毎に定められた条件となる情報であって、属性と属性値とを対応づけた情報であり、属性値の一部が過去のイベントデータから推測される参考値として記述されることがあり、また、属性値の一部が変数として記述されることがある個別フィルタ情報を記憶する。

予測イベント一覧記憶手段は、個別フィルタ情報で変数として記述された属性値に管理対象システムで生成されたイベントデータの属性値を代入したデータである予測イベントデータを記憶する予測イベントデータ記憶手段と、生成されたイベントデータと、当該イベントデータに合致する個別フィルタ情報から生成された予測イベントデータと、運用ルール情報に対応する個別フィルタ情報の集合であるグループであってイベントデータに合致する個別フィルタ情報が属するグループとを対応付けた情報である予測イベント一覧を記憶する。

予測イベント対応表記憶手段は、運用ルール情報と、運用ルール情報が定める条件となる各個別フィルタ情報と、その各個別フィルタ情報が属するグループと、個別フィルタ情報から生成された予測イベントデータとを対応付けた情報である予測イベント対応表を記憶する。

予測イベントデータ合致判定手段は、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致している場合にイベントデータと予測イベントデータとが合致すると判定し、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致していない場合にイベントデータと予測イベントデータとが合致しないと判定する。

個別フィルタ情報特定手段は、イベントデータと予測イベントデータとが合致しないと判定された場合に、参考値以外の属性値がイベントデータの属性値と合致する個別フィルタ情報を特定する。

予測イベントデータ生成手段は、個別フィルタ情報の特定に成功した場合に、当該個別フィルタ情報が属するグループに属する各個別フィルタ情報の変数にイベントデータの属性値を代入して、その各個別フィルタ情報毎に予測イベントデータを生成し、予測イベントデータ記憶手段に予測イベントデータを記憶させ、イベントデータと予測イベントデータとイベントデータに合致する個別フィルタ情報が属するグループとの対応関係を示す情報を予測イベント一覧記憶手段に記憶させ、生成された予測イベントデータとその予測イベントデータの生成に用いられた個別フィルタ情報のグループと、当該グループに属する各個別フィルタ情報と、その各個別フィルタ情報を条件とする運用ルール情報との対応関係を示す情報を予測イベント対応表記憶手段に記憶させる。

ルール判定手段は、予測イベントデータ生成手段が予測イベントデータを生成した後に、当該予測イベントデータを生成するために用いたイベントデータに合致する個別フィルタ情報が属するグループと予測イベント一覧で対応付けられた各イベントデータが、そのグループに対応する運用ルール情報の個別フィルタ情報を満足しているか否かを判定し、満足している場合に運用ルール情報が定める処理を実行する。

本発明では、運用ルール情報毎に定められた条件となる情報であって、属性と属性値とを対応づけた情報であり、属性値の一部が過去のイベントデータから推測される参考値として記述されることがあり、また、属性値の一部が変数として記述されることがある個別フィルタ情報を用いるとともに、個別フィルタ情報で変数として記述された属性値に管理対象システムで生成されたイベントデータの属性値を代入したデータである予測イベントデータを用いる。そして、上述のような予測イベント一覧記憶手段、予測イベント対応表記憶手段、予測イベントデータ合致判定手段を備える。従って、環境に適合したルール条件を定めることができ、ルール判定の精度を高めることができる。

また、予測イベントデータ合致判定手段は、イベントデータと、実際に発生するイベントデータと形式が似た予測イベントデータとが合致するか否かを判定するため、複数のイベントデータ間の相関記述がし易く、予め発生が予想されるイベントデータを優先的に処理することができる。そのため、条件式の全比較が必要な関連技術の運用管理装置に比べて、大幅に処理速度を向上できる。この結果、大規模環境等、ルール条件の多い環境にも適用することができる。

さらにまた、相関関係等の環境依存条件を具体的な値に展開した予測イベントデータを生成することで、例えば、機器構成やソフトウェア挙動に変化があった場合等に、予測された値との差異が検出され、管理者に提示し対処を促すことができる。この結果、環境変化に追随して運用ルール情報を洗練していく作業を支援することができ、効率的な運用を実現できる。

本発明の第１の実施の形態に係る運用管理装置の構成を示すブロック図である。 第１の実施の形態における予測イベントデータを生成する動作のフローチャートである。 第１の実施の形態における個別フィルタ情報の例を示す説明図である。 第１の実施の形態における予測イベントデータの例を示す説明図である。 図２に示すステップＳ７１３の処理経過の例を示すフローチャートである。 図５に示すステップＳ６０１で抽出されたイベントデータの例を示す説明図である。 第１の実施の形態におけるイベントデータの例を示す説明図である。 第１の実施の形態における予測イベント対応表の例を示す説明図である。 第１の実施の形態におけるフィルタ一覧を示す説明図である。 第１の実施の形態における予測イベント一覧を示す説明図である。 図２に示すステップＳ７１４の動作を示すフローチャートである。 第１の実施の形態におけるユーザ対話手段が表示する画面の例を示す説明図である。 第１の実施の形態における予測イベント対応表の遷移の例を示す説明図である。 第１の実施の形態における予測イベント一覧の遷移の例を示す説明図である。 第１の実施の形態における個別フィルタ情報の例を示す説明図である。 第１の実施の形態における修正されたフィルタ情報の例を示す説明図である。 第１の実施の形態における修正された個別フィルタ情報の例を示す説明図である。 第１の実施の形態における修正された予測イベントデータの例を示す説明図である。 本発明の第２の実施の形態に係る運用管理装置の構成を示すブロック図である。 第２の実施の形態におけるイベントデータの例を示す説明図である。 第２の実施の形態における予測イベント対応表の遷移の例を示す説明図である。 第２の実施の形態における予測イベント一覧の遷移の例を示す説明図である。 第２の実施の形態における予測イベント一覧の遷移の例を示す説明図である。 本発明の第３の実施の形態に係る運用管理装置の構成を示すブロック図である。 関連技術の運用管理装置の構成例を示すブロック図である。 （ａ）および（ｂ）は、関連技術におけるイベントデータの例を示す説明図である。 （ａ）および（ｂ）は、関連技術における運用ルール情報およびフィルタ情報の例を示す説明図である。 関連技術における分析状態表の例を示す説明図である。 関連技術の運用管理装置の動作の例を示すフローチャートである。

符号の説明

２ イベントデータ取得手段
３ 判定条件蓄積手段
４ イベント分析手段
５ ユーザ対話手段
６ 制御手段
７ イベント蓄積手段
８ 予測イベント蓄積手段
９ 予測イベント管理手段
１０ 予測イベント分析手段
１１ ジョブ管理手段
３１ 運用管理装置

以下、本発明の実施の形態に係る運用管理装置、運用管理方法および運用管理プログラムについて、図面を参照して説明する。

（第１の実施の形態）
図１は、本発明の第１の実施の形態に係る運用管理装置の構成を示すブロック図である。図２５に示す関連技術の運用管理装置４１の構成要素と同様の構成要素については、図２５と同一の符号を付し説明を省略する。

図１に示す本実施の形態の運用管理装置３１は、図２５に示す関連技術の運用管理装置が備えるイベントデータ取得手段２、イベント蓄積手段７、イベント分析手段４、判定条件蓄積手段３、ユーザ対話手段５、制御手段６に加えて、予測イベント蓄積手段８と、予測イベント管理手段９と、予測イベント分析手段１０とを備える。

予測イベント蓄積手段８は、判定条件蓄積手段３に蓄積される運用ルール情報毎に管理されたフィルタ情報である個別フィルタ情報と、将来発生が期待されるイベントデータを示す予測イベントデータとを記憶する記憶装置である。ここで、運用ルール情報毎に管理されるとは、個々の運用ルール情報毎に用意されるということを意味する。

例えば、関連技術の運用管理装置において、１つのフィルタ情報は、複数の運用ルール情報の組み合わせ情報として指定されることがあった。本実施の形態における個別フィルタ情報は、１つの運用管理情報にのみ対応する。個別フィルタ情報は、後述の予測イベント対応表（図８参照。）に示すように、運用ルール情報に対応付けられている。

図８に示す例では、例えば、運用ルール情報Ｒ０１２０に個別フィルタ情報Ｆ１０１１、Ｆ１０１２が対応付けられている。個別フィルタ情報Ｆ１０１１、Ｆ１０１２はそれぞれ運用ルール情報Ｒ０１２０のみに対応し、他の運用ルール情報には対応付けられていない。また、個別フィルタ情報および予測イベントデータの例については後述する。

予測イベント管理手段９は、判定条件蓄積手段３に蓄積される各々の運用ルール情報の組み合わせ条件で指定されるフィルタ情報と、イベント蓄積手段７に蓄積される過去のイベントデータの履歴とから個別フィルタ情報を生成して、個別フィルタ情報を予測イベント蓄積手段８に記憶させる。個別フィルタ情報を生成する動作の例については後述する。

なお、運用ルール情報の組み合わせ条件で指定されるフィルタ情報は、関連技術の運用管理装置におけるフィルタ情報と同様の情報である。予測イベント管理手段９がフィルタ情報から個別フィルタ情報を生成するのではなく、管理者によってユーザ対話手段５を介して予測イベント管理手段９に個別フィルタ情報が入力され、予測イベント管理手段９が管理者によって入力された個別フィルタ情報を予測イベント蓄積手段８に記憶させてもよい。

また、予測イベント管理手段９が個別フィルタ情報を生成する際に、個別フィルタ情報をユーザ対話手段５に表示させ、管理者に修正された場合には修正された個別フィルタ情報を予測イベント蓄積手段８に記憶させる態様であってもよい。このように、予測イベント管理手段９が管理者と対話的に個別フィルタ情報を生成してもよい。

予測イベント分析手段１０には、イベントデータ取得手段２からイベントデータが入力される。予測イベント分析手段１０は、予測イベント蓄積手段８に蓄積される個別フィルタ情報から予測イベントデータを生成して予測イベント蓄積手段８に記憶させる。

また、予測イベント分析手段１０は、入力されたイベントデータが予測イベントデータ、個別フィルタ情報に合致するか否かを判定する処理を行う。また、その判定結果をイベント分析手段４に出力する。入力されたイベントデータが予測イベントデータ、個別フィルタ情報に合致するか否かを判定する処理は、後述のステップＳ７２１、Ｓ７２３の処理であり、処理の詳細については後で述べる。

さらに、イベント分析手段４は、図２５を用いて説明した機能に加えて、予測イベント分析手段１０から判定結果が入力され、合致したイベントデータに対応する運用ルール情報の判定を行う機能も有する。この判定処理は、後述のステップＳ７２６の処理であり、処理の詳細については後で述べる。また、イベント分析手段４は、予測イベントまたは個別フィルタに含まれる推測された属性値がイベントデータと一致しない場合にユーザ対話手段５を介して管理者に確認を促す機能も有する。

図２は、本実施の形態の運用管理装置が予測イベントデータを生成する動作のフローチャートである。以下、図３および図４を用いて個別フィルタ情報および予測イベントデータを説明した上で、本発明の動作について説明する。

図３は、本実施の形態の運用管理装置で用いられる個別フィルタ情報の例を示す説明図である。個別フィルタ情報は、フィルタ情報に含まれる属性のうち属性値が定められていない属性に対して参考値を追加した情報である。参考値とは、過去にサービスシステム１から受信したイベントデータから推測される属性値である。以下の説明では、参考値となる属性値は“［”および“］”という括弧の記号で囲んで表すこととする。フィルタ情報の複数の属性に対して参考値を付加して個別フィルタ情報を生成してもよい。

図３に示す個別フィルタ情報２１１は、図２７（ｂ）に示すフィルタ情報２０１のＴＩＭＥ１（イベントデータ発生時刻）の属性およびＳＥＲＶＥＲの属性に対して参考値を追加して得られた個別フィルタ情報の例を示している。同様に、図３に示す個別フィルタ情報２１２は、図２７（ｂ）に示すフィルタ情報のＴＩＭＥ１の属性およびＳＯＵＲＣＥの属性に対して参考値を追加して得られた個別フィルタ情報の例を示している。

また、個別フィルタ情報に対しては、個別フィルタ情報を一意に識別するための番号が付与される。例えば、個別フィルタ情報２１１では、他の個別フィルタ情報やフィルタ情報と区別するために、Ｆ１０１１という番号が記述されている。本例では、図２７（ｂ）のフィルタ情報２０１から図３の個別フィルタ情報２１１を生成するときに、番号をＦ１０１１に変更している。

参考値は、例えば、変数を用いて記述される。本例では、変数を＄記号から始まる文字列で表している。図３に示す例では“＄Ｆ０１”や“＄Ｆ０２”等の変数で参考値が記述されている。また、複数のイベントデータがそれぞれ異なる個別フィルタ情報に合致していることを表す際に、その複数のイベントデータの属性値に相関性があるという条件も含めて表現しなければならない場合がある。その場合には、複数の個別フィルタ情報で同一の変数（変数でなくてもよい。）を記述していればよい。

図３に示す変数“＄Ｆ０１”および“＄Ｆ０２”は、個別フィルタ情報２１１、２１２それぞれで用いられている。また、図３に示す“ＰＥＲＩＯＤ（＄Ｆ０１，＊）”は、変数＄Ｆ０１から一定期間内であることを表している。また、複数の個別フィルタ情報において参考値として共通の変数を用いて、その変数で表された参考値も含めて複数のイベントデータが個々の個別フィルタ情報にそれぞれ合致している場合、イベントデータに相関があるという。また、異なる個別フィルタ情報間で共通の変数を用いて表された参考値を相関情報と記す。図３に示す例では、＄Ｆ０１、＄Ｆ０２、ＰＥＲＩＯＤ（＄Ｆ０１，＊）がそれぞれ相関情報に該当する。

また、参考値は、変数ではなく、具体的な値であってもよい。例えば、個別フィルタ情報に、［ＳＶ４］等の変数を用いない参考値が付加されていてもよい。そして、そのような具体的な値を用いた参考値を複数の個別フィルタ情報に記述して相関性を表してもよい。

図４は、本実施の形態の運用管理装置が生成する予測イベントデータの例を示す説明図である。予測イベントデータは、個別フィルタ情報に記述された変数を、検出されたイベントデータの属性値で置き換えた情報である。図４に示す予測イベントデータ２２１、２２２は、それぞれ図３に示す個別フィルタ情報２１１、２１２の変数をイベントデータ内の属性値で置き換えた情報である。

また、予測イベントデータを生成する際にも、予測イベントデータを識別する番号が予測イベントデータに記述される。例えば、図４に示す予測イベントデータでは、他の情報と区別するためにＦ１１１１という番号が記述されている。本例では、図３の個別フィルタ情報２１１から図４の予測イベントデータ２２１を生成するときに、番号をＦ１１１１に変更している。

以下、図２７、図１、図２、図３、図４を参照して、本実施の形態における予測イベントデータ生成の動作を説明する。

まず、管理者によって、ユーザ対話手段５に運用ルール情報の修正指示が入力され、ユーザ対話手段５は、修正指示に従い（すなわち管理者に操作に従い）、判定条件蓄積手段３に記憶された運用ルール情報を修正する（ステップＳ７１１）。

ステップＳ７１１では、新たな運用ルール情報がユーザ対話手段５に入力され、ユーザ対話手段５がその運用ルール情報を判定条件蓄積手段３に記憶させてもよい。ここでは、判定条件蓄積手段３に記憶されていた運用ルール情報Ｒ０１２０の組み合わせ条件が、図２７（ａ）に例示するように“Ｆ００１１ ＡＮＤ Ｆ００１２”に修正されたとする。

続いて、予測イベント管理手段９は、入力された運用ルール情報（修正された運用ルール情報）の組み合わせ条件が示すフィルタ情報２０１およびフィルタ情報２０２を判定条件蓄積手段３から読み出し、個別フィルタ情報として予測イベント蓄積手段８に記憶させる（ステップＳ７１２）。この時点では、予測イベント蓄積手段８に記憶された個別フィルタ情報は、判定条件蓄積手段３に記憶されたフィルタ情報と同一である。

続くステップＳ７１３において、予測イベント蓄積手段８に記憶された個別フィルタ情報に参考値を追加する。なお、ステップＳ１２および後述のステップＳ１３の動作は、運用ルール情報毎に行う。

ステップＳ７１２の後、予測イベント管理手段９は、イベント蓄積手段７からイベントデータを読み出し、個別フィルタ情報に合致する過去のイベントデータの特性に基づいて参考値を追加する（ステップ７１３）。

図２７（ｂ）に示すフィルタ情報の属性値は、イベントデータがフィルタ情報と合致すると判定されるために、イベントデータの属性値が必ず一致しなければならない値である。一方、個別フィルタ情報に含まれる参考値は、サービスシステム１の使用環境で過去に発生したイベントデータによく現れていたことを示すものであり、一致する可能性が高い値を示す。

ステップＳ７１３における参考値の導出は、過去のイベントデータを統計的に解析する一般的な手法により実現できる。以下、予測イベント管理手段９がステップＳ７１３において参考値を導出する動作について説明する。なお、以下に示す参考値の導出動作は一例であり、他の動作で参考値を導出してもよい。

図５は、ステップＳ７１２で予測イベント蓄積手段８に記憶された個別フィルタ情報に参考値を追加するステップＳ７１３の処理経過の例を示すフローチャートである。予測イベント管理手段９は、イベント蓄積手段７に記憶されている過去のイベントデータから、ステップＳ７１１で判定条件蓄積手段３に記憶された運用ルール情報の組み合わせ条件に合致する各イベントデータを抽出する（ステップＳ６０１）。

例えば、ステップＳ７１１で、図２７（ａ）に例示する運用ルール情報Ｒ０１２０が判定条件蓄積手段３に記憶された場合、予測イベント管理手段９は、イベント蓄積手段７に記憶されている過去のイベントデータから、運用ルール情報Ｒ０１２０の組み合わせ条件として指定されたフィルタ情報２０１およびフィルタ２０２（図２７（ｂ）参照。）に合致するイベントデータを抽出する。このとき、予測イベント管理手段９は、組み合わせ条件で指定された各フィルタ情報毎に合致するイベントデータの検索に成功した時点で、その各フィルタ条件に合致するイベントデータの集合を抽出する。

図６は、このようにステップＳ６０１で抽出されたイベントデータの例を示す説明図である。

図６に示す例では、運用ルール情報Ｒ０１２０の組み合わせ条件で指定されたフィルタ情報２０１、２０２（図２７参照。）に合致するイベントデータＥ８０１０、Ｅ８０２０が抽出されていることを示している。このイベントデータＥ８０１０、Ｅ８０２０は、２００６年６月２９日の時点で生成されていたイベントデータである。予測イベント管理手段９は、フィルタ情報２０１、２０２に合致するイベントデータＥ８０１０、Ｅ８０２０を検索した時点で、そのイベントデータＥ８０１０、Ｅ８０２０の集合を抽出する。

同様に、図６に示す例では、フィルタ情報２０１、２０２（図２７参照。）に合致するイベントデータＥ８０３０、Ｅ８０４０が抽出されていることを示している。このイベントデータＥ８０３０、Ｅ８０４０は、２００６年１０月２日の時点で生成されていたイベントデータである。予測イベント管理手段９は、フィルタ情報２０１、２０２に合致するイベントデータＥ８０３０、Ｅ８０４０を検索した時点で、そのイベントデータＥ８０３０、Ｅ８０４０の集合を抽出する。

これらのイベントデータは、月末にパッチの適用が行われた後に次の業務を開始したときに異常が発生したことを示している。イベントデータＥ８０１０、Ｅ８０２０は、６月末に管理者が手動でパッチ適用を実行して異常が発生したことを示している。イベントデータＥ８０３０、Ｅ８０４０は、９月末に自動でパッチ適用が実行されて異常が発生したことを示している。

ステップＳ６０１の後、予測イベント管理手段９は、同種のイベントデータに共通する属性値を抽出する（ステップＳ６０２）。ここで、「同種のイベントデータ」とは、ステップＳ６０１で抽出されたイベントデータのうち、同一のフィルタ情報に合致すると判定されたイベントデータである。

例えば、図６に示す例では、イベントデータＥ８０１０、Ｅ３０３０は、いずれも図２７（ｂ）に示すフィルタ情報２０１に合致していると判定されているので同種のイベントデータに該当する。同様に、イベントデータＥ８０２０、Ｅ８０３０は、いずれもフィルタ情報２０２（図２７（ｂ）参照。）に合致していると判定されているので、同種のイベントデータに該当する。

予測イベント管理手段９は、同種のイベントデータＥ８０１０、Ｅ８０３０から、共通する属性値を抽出する。すなわち、発生元を示すＳＯＵＲＣＥの「ｕｐｄａｔｅｒ」とＥＶＥＮＴＩＤの「４００１」を抽出する。ただし、これらの属性値は、すでにフィルタ情報２０１に記述されている値であり、参考値として追加される属性値ではない。

同様に、予測イベント管理手段９は、同種のイベントデータＥ８０２０、Ｅ８０４０から、共通する属性値「ＢＩＺＡＰ」、「８０００」を抽出するが、これらもフィルタ情報２０２に記述された値であり、参考値として追加される値ではない。

続いて、予測イベント管理手段９は、組み合わせ条件となるフィルタ情報２０１、２０２に合致するものとして抽出されたイベントデータの集合毎に、イベントデータ間の相関性を特定する（ステップＳ６０３）。すなわち、予測イベント管理手段９は、組み合わせ条件との１回の条件判定で合致すると判定されたイベントデータの組毎に、イベントデータ間の相関性を特定する。

予測イベント管理手段９は、まず、イベントデータＥ８０１０、Ｅ８０２０の属性値を比較して、相関性を特定する。予測イベント管理手段９は、この２つのイベントデータＥ８０１０、Ｅ８０２０の属性値をそれぞれ比較し、一致する属性値および発生日時の順番を特定する。すると、以下の比較結果（比較結果１とする。）が得られる。

・種類が「不明」で一致
・日付が「２００６／６／２９」で一致
・時刻は、Ｅ８０１０の方が先に発生
・発生元のサーバが「ＳＶ２」で一致
・ユーザが「ｒｏｏｔ」で一致・説明の最初の文字列が「手動：」で一致

イベントデータＥ８０１０、Ｅ８０２０の属性値の比較により、以上の５つの相関関係が判明し、この比較結果が参考値の候補となる。

同様に、予測イベント管理手段９は、イベントデータＥ８０３０、Ｅ８０４０の属性値を比較して相関性を特定する。すると、以下の比較結果（比較結果２とする。）が得られる。

・時刻は、Ｅ８０３０の方が先に発生
・発生元のサーバが「ＳＶ３」で一致

イベントデータＥ８０３０、Ｅ８０４０の属性値の比較により、以上の２つの相関関係が判明する。

予測イベント管理手段９は、イベントデータの集合毎の比較結果として得た相関関係から共通する相関関係を特定する。本例では、比較結果１、２において、以下の相関関係が共通している。

・時刻は、フィルタ情報２０１に合致するイベントの方が先に発生
・発生元のサーバが一致

予測イベント管理手段９は、共通していた相関関係を参考値として個別フィルタ情報に追加する（ステップＳ６０４）。また、同種のイベントデータに共通する属性値であってフィルタ情報に記述されていない属性値をステップＳ６０２で抽出していた場合には、予測イベント管理手段９は、その属性値を相関値として個別フィルタ情報に追加する。

ステップＳ６０４において、共通していた相関関係を参考値として個別フィルタ情報に追加する場合、予測イベント管理手段９は、一致する事項（上記の例ではサーバ）に関しては、共通の変数を用いて表した参考値を各個別フィルタ情報に追加すればよい。また、時間の前後関係を表す場合には、例えば、個別フィルタ情報間で共通の変数を用い、さらに、上述のＰＥＲＩＯＤ等の所定の表現を用いた参考値をフィルタ情報に追加すればよい。ここでは、ＰＥＲＩＯＤという表現を用いた場合を例示したが、参考値として、変数と他の計算式の組み合わせで示される式を追加してもよい。また、変数のみを参考値として追加してもよい。

図３は、このようにして生成された個別フィルタ情報の例であり、”［”と”］”で囲まれた記述が参考値を示す。＄Ｆ０１や＄Ｆ０２は変数を表し、個別フィルタ情報２１１と個別フィルタ情報２１２の間で一致する情報であることを示す。この例では、この運用ルール情報の組み合わせ条件に合致すると判定される２つのイベントデータでは、ＳＥＲＶＥＲ属性の値が一致し、発生時刻は個別フィルタ情報２１２に合致するイベントデータが後（ＰＥＲＩＯＤ（＄Ｆ０１、＊）は＄Ｆ０１以降の期間を示す処理関数）になることを示す。

図６で説明したように、この実行環境では、過去の例から手動で実行される場合と自動で実行される場合とがあり、それぞれで属性値や説明に違いが発生する。また、これまでの実績では、異常は、同じサーバからのイベントデータとなっている。図３に示す参考値では、このような実行環境に依存する条件が適切に設定されている。

なお、上記の参考値の生成方法の説明では、属性値が完全に一致する場合と、属性値の順序関係が判明した場合という簡単な例で説明したが、この例に限定されるものではい。参考値の導出は、一般に知られている情報の構造解析手法やマイニング手法を利用して参考値を推定することによって行ってもよい。

上記の例示した手法以外の手法であっても、過去のイベントデータが有する特徴から出現確率の高い属性値の候補あるいは相関関係が決定できるものであれば、本発明の個別フィルタ情報に参考値として記述することができ、実行環境に依存した条件として利用できるものである。また、管理者が個別フィルタ情報を生成し、ユーザ対話手段５を介して予測イベント管理手段９にその個別フィルタ情報が入力され、予測イベント管理手段９がその個別フィルタ情報を予測イベント蓄積手段８に記憶させてもよい。

また、予測イベント管理手段９は、個別フィルタ情報を他の情報と区別して一意に表す番号を識別情報として個別フィルタ情報に記述する。図３に示す例では、個別フィルタ２１１、２１２にそれぞれ番号Ｆ１０１１、Ｆ１０１２が記述されている。

以上のように個別フィルタ情報に参考値を追加する処理を行った後、イベントデータ取得手段２が新たにイベントデータを受信してそのイベントデータを予測イベント分析手段１０に出力した場合、予測イベント分析手段１０は、そのイベントデータと予測イベント蓄積手段８に記憶された個別フィルタ情報とのマッチングを行う。そして、イベントデータが個別フィルタ情報に合致する場合には、予測イベント分析手段１０は、個別フィルタ情報の参考値をイベントデータの属性値に置き換えた情報を個別フィルタ情報とは別に生成する（ステップＳ１４）。この情報が予測イベントデータである。

例えば、ステップＳ７１３で、図３に例示する個別フィルタ情報２１１、２１２が予測イベント蓄積手段８に記憶されたとする。その状態で、イベントデータ取得手段２が予測イベント分析手段１０に対して、個別フィルタ情報２１１に合致するイベントデータを出力したとする。すると、予測イベント分析手段１０は、そのイベントデータに含まれる属性値で参考値の値を書き換えた予測イベントデータを生成する（ステップＳ７１４）。

図４に示す予測イベントデータ２２１は、このようにして生成された予測イベントデータである。また、このとき参考値に含まれる変数をイベントデータの属性値に置き換えたならば、その変数を記述した他の個別フィルタ情報においても、その変数を属性値に置き換えた予測イベントデータを生成する。

本例では、個別フィルタ情報２１２（図３参照。）の変数を置き換えた予測イベントデータ２２２（図４参照。）を生成する。予測イベントデータ２２１は、既に発生したイベントデータに対応するものであるが、予測イベントデータ２２２は、まだ発生していないイベントデータを示している。図４に示す予測イベントデータは、ＳＥＲＶＥＲが「ＳＶ４」であるイベントデータが入力される可能性が高いことを示している。ステップＳ７１４の動作の詳細は、図１１を用いて後述する。

以下、図７に例示するイベントデータがサービスシステム１から送られる場合を例にして説明する。図７に例示するイベントリスト１１０では、番号がＥ９００２であるイベントデータの発生元がＳＶ４である点で、図２６に示すイベントリスト１００と異なる。また、図７に例示するイベントリスト１２０は、イベントリスト１１０が生成された状態からさらに時間が経過してＥ９００５〜Ｅ９００８のイベントデータが追加されたイベントリストである。

図８は、本発明の運用管理装置が用いる予測イベント対応表の例を示す説明図である。予測イベント対応表は、運用ルール情報と、個別フィルタ情報と、予測イベントデータとの対応関係を示す情報である。また、１つの運用ルール情報に対応する個別フィルタ情報のグループには、運用ルール情報の番号と一対一に対応するグループの番号が割り当てられる。この割り当ては、例えば、予測イベント管理手段９が行う。

予測イベント対応表では、具体的には、上記のグループを識別する番号と、そのグループの番号に対応する運用ルール情報の番号と、個別フィルタ情報の組み合わせ（フィルタ系列と呼ぶことにする。）と、予測イベントデータの生成状況を示す監視状況とが対応付けられている。

図８に示す予測イベント対応表４０１、４０２、４０３は、それぞれ、図７に示すイベントデータＥ９００１、Ｅ９００３、Ｅ９００３が検出された時点での予測イベント対応表を示している。イベントデータＥ９００１〜Ｅ９００３の検出に伴い、図８に示すように予測イベント対応表の内容は遷移する。

グループの番号と、運用ルール情報の番号と、フィルタ系列との対応関係は、運用ルール情報が修正されなければ変化しない。予測イベント対応表におけるグループの番号と、運用ルール情報の番号と、フィルタ系列との対応関係を示す部分は、ステップＳ７１３で運用ルール情報に対応する個別フィルタ情報を作成した後に、予測イベント管理手段９がグループの番号を新たに割り当てて作成し、運用管理装置の記憶装置（予測イベント対応表記憶手段）に記憶させておけばよい。ただし、他のタイミングで作成してもよい。また、監視状況の部分はイベントデータの入力に応じて書き換えられる。

図９は、本発明の運用管理装置が用いるフィルタ一覧を示す説明図である。フィルタ一覧は、各個別フィルタ情報の番号毎に、個別フィルタ情報が属するフィルタ系列（グループ）の番号を対応付けた情報である。また、図９に示す個別フィルタ情報２１０は、フィルタ一覧で列挙される個別フィルタ情報の一例を示す。

なお、図９に示す個別フィルタ情報２１０には参考値が付加されていないが、付加すべき参考値が存在しない場合には、個別フィルタ情報と、フィルタ情報は番号以外が共通の情報となる。フィルタ一覧では、個別フィルタ情報が列挙され、それぞれの個別フィルタ情報に対応するグループの番号が記述される。

個別フィルタ情報に合致するイベントデータを予測イベント分析手段１０が検出した場合、予測イベント分析手段１０は、その個別フィルタ情報に対応するグループの番号をフィルタ一覧から特定することができ、さらにその番号に対応する運用ルール情報や予測イベントデータを予測イベント対応表（図８参照。）を参照して特定することができる。

さらに、運用ルール情報の番号から、図２７（ａ）に示す運用ルール情報に含まれる対処内容を特定することができる。フィルタ一覧は、例えば、ステップＳ７１３で運用ルール情報に対応する個別フィルタ情報を作成した後に、予測イベント管理手段９が作成し、運用管理装置の記憶装置に記憶させておけばよい。フィルタ一覧の作成タイミングは、他のタイミングであってもよい。

図１０は、本発明の運用管理装置が用いる予測イベント一覧を示す説明図である。予測イベント一覧は、予測イベントデータを識別する番号と、予測イベントデータに対応するグループの番号と、予測イベントデータに合致したイベントデータの番号と、対応する運用ルール情報の各個別フィルタ情報が示す条件の判定が完了しているか否かを示す情報とを含む。

図１０に示す予測イベント一覧３２１、３２２、３２３は、それぞれイベントデータＥ９００１、Ｅ９００２、Ｅ９００３が検出された場合の予測イベント一覧を示し、それぞれ図８に示す予測イベント対応表４０１、４０２、４０３と対応している。例えば、予測イベント対応表が図８に示す予測イベント対応表４０１のようになっている場合、予測イベント一覧は図１０に示す予測イベント一覧３２１のようになっている。予測イベント一覧は、運用管理装置が備える記憶装置（予測イベント一覧記憶手段）に記憶される。

図１１は、上述のステップＳ７１４の動作を示すフローチャートである。また、図１２は、ユーザ対話手段５が表示する画面の例を示す説明図である。

図２を用いて説明した通り、管理者からユーザ対話手段５に運用ルール情報Ｒ０１２０（図２７参照。）が入力されると、ユーザ対話手段５は、その運用ルール情報Ｒ０１２０を判定条件蓄積手段３に記憶される。すると、予測イベント管理手段９は図３に例示する個別フィルタ情報を生成し予測イベント蓄積手段８に記憶させる（ステップＳ７１１〜Ｓ７１３）。運用ルール情報Ｒ０１１０、運用ルール情報Ｒ０１３０に対応する個別フィルタ情報も同様にして生成される。

予測イベント管理手段９は、運用ルール情報毎にグループ番号を割り当て、個々の個別フィルタ情報の番号と、個別フィルタ情報に対応する運用ルール情報に対して割り当てたグループの番号とを対応付けたフィルタ一覧３１１（図９参照。）を生成する。

次に、図７に示すイベントデータが順次発生する場合を例にして説明する。サービスシステム１が動作状態に応じたイベントデータＥ９００１を生成し、イベントデータ取得手段２がそのイベントデータを受信すると、イベントデータ取得手段２はそのイベントデータを予測イベント分析手段１０に出力する。予測イベント分析手段１０は、イベントデータ取得手段２からイベントデータが入力されると、ステップＳ１４の処理を行う。具体的には、図１１に示す動作を行う。

まず、予測イベント分析手段１０は、イベントデータ取得手段２から入力されたイベントデータＥ９００１と、予測イベントデータとのマッチングを行う（ステップＳ７２１）。ステップＳ７２１では、予測イベントデータに含まれる参考値以外の属性値と、入力されたイベントデータに含まれる属性値とが一致するか否かを判定する。

また、予測イベントデータの属性値として参考値でない変数がある場合には、その参考値でない変数とイベントデータの属性値との合致判定は行わなくてよい。ただし、予測イベントデータが生成されていない場合には、イベントデータと予測イベントデータは一致しないことになる（ステップＳ７２２のＮｏ）。ここでは、予測イベントデータが存在していない状態から説明する。従って、イベントデータと予測イベントデータは一致しないことになり、ステップＳ７２３に移行する。

ステップＳ７２３では、入力されたイベントデータＥ９００１と個別フィルタ情報とのマッチング（フィルタ判定処理）を行う。具体的には、予測イベント分析手段１０は、フィルタ一覧３１１（図９参照。）に列挙される個別フィルタ情報を１つずつ予測イベント蓄積手段８から読み込み、イベントデータと個別フィルタ情報とが合致するか否かを判定する。

予測イベント分析手段１０は、個別フィルタ情報に含まれる参考値以外の属性値が全てイベントデータに含まれる属性値と一致していれば合致すると判定し、そうでなければ合致しないと判定する。合致しなければ、次の個別フィルタ情報を１つ読み込み同様に、イベントデータと合致するか否かを判定する。

予測イベント分析手段１０は、イベントデータと個別フィルタ情報とが合致するか、あるいは、イベントデータと合致するか否かを判定していない個別フィルタ情報が存在しなくなるまで、上記の動作を繰り返す。この繰り返し処理は、図２９に示すステップＳ７０２〜Ｓ７０４の繰り返し処理と同様である。

本例では、予測イベント分析手段１０は、イベントデータＥ９００１と番号がＦ１０１０である個別フィルタ情報２１０（図９参照。）とが合致すると判定し（ステップＳ７２３およびステップＳ７２４のＹｅｓ）、ステップＳ７２５に移行する。

ステップＳ７２５において予測イベント分析手段１０は、フィルタ一覧３１１を参照し、イベントデータと合致すると判定した個別フィルタ情報の番号に対応するグループの番号（本例ではＧ０１１０。図９参照。）を抽出する。そして、予測イベント分析手段１０は、そのグループの番号に対応する新たな予測イベントデータを生成する（ステップＳ７２５）。

ステップ７２３でイベントデータと合致すると判定された個別フィルタ情報がある場合、その個別フィルタ情報は、運用ルール情報の組み合わせ条件となる複数のフィルタ情報から生成された個別フィルタ情報のうちの一つ目の個別フィルタ情報である。すなわち、ステップＳ７２３からステップＳ７２５に移行したということは、運用ルール情報に対応する個別フィルタ情報のいずれかに合致する最初のイベントデータが入力されていたという状況に該当する。

このように、ステップＳ７２３からステップＳ７２５に移行した場合、予測イベント分析手段１０は、個別フィルタ情報の変数に、入力されたイベントデータの属性値を代入し、識別情報となる番号を付与した予測イベントデータを生成する。

そして、ステップ７２３でイベントデータと合致すると判定された個別フィルタ情報と同じグループに属する他の個別フィルタ情報があり、その個別フィルタ情報に上記の変数と同一の変数が含まれていれば、その変数にイベントデータの値を代入した予測イベントデータも生成する。

そして、予測イベント分析手段１０は、予測イベント対応表の監視状況を示す情報として、個別フィルタ情報の番号に対応付けて個別フィルタ情報の番号を予測イベント対応表に記述する（図８に示す予測イベント対応表４０１参照。）。

さらに、予測イベント分析手段１０は、予測イベントデータの番号（ここではＦ１１１０とする。）と、グループの番号と、イベントデータの番号（ここではＥ９００１）とを対応付けた予測イベント一覧を作成する（図１０に示す予測イベント一覧３２１参照。ただし、「済」という情報はこの時点では付加されていない。）。

また、予測イベント分析手段１０は、予測イベント対応表４０１（図８参照。）から、グループの番号に対応する運用ルール情報の番号Ｒ０１１０を特定し、その番号の運用ルール情報、イベントデータ、および運用ルール情報に対応する個別フィルタ情報をイベント分析手段４に出力する。このとき、予測イベント分析手段１０は、イベントデータとして、運用ルール情報に対応するグループ番号を特定し、さらに予測イベント一覧においてそのグループ番号に対応付けられている各イベントデータをイベント分析手段４に出力する。

イベント分析手段４は、予測イベント分析手段１０から入力された運用ルール情報の条件とイベントデータとが合致するか否かを判定する（ステップＳ７２６）。すなわち、予測イベント分析手段１０から入力された運用ルール情報に対応する各個別フィルタ情報とイベントデータとが合致するか否かを判定する。

本例では、運用ルール情報に対応する個別フィルタ情報が１つだけであり、その個別フィルタ情報（Ｆ１０１０）はイベントデータＥ９００１に合致するので、運用ルール情報の条件とイベントデータとが合致すると判定されることになる。しかし、運用ルール情報Ｒ０１１０（図２７参照）は、対処を指定していないので、対処は実行されない。

この場合、イベント分析手段４は、「何も行わない」という処理をユーザ対話手段５を介して管理者に提示するとともに制御手段６に通知する。ユーザ対話手段５は、同時にこの対処の結果（「何も行わない」という表示を完了したこと）を予測イベント管理手段９に通知する。すると、予測イベント管理手段９は、対処が完了したことから図１０の予測イベント一覧３２１の判定項目に「済」を記述し、ステップ７２１へ戻る。

同様に、サービスシステム１が図７に示すイベントデータＥ９００２を生成し運用管理装置に送信してイベントデータ取得手段２がそのイベントデータを受信した結果、予測イベント分析手段１０にイベントデータ取得手段２からイベントデータＥ９００２が入力されたとする。すると、既に説明した場合と同様に、予測イベント分析手段１０は、そのイベントデータＥ９００２と予測イベントデータとのマッチングを行う（ステップＳ７２１）。

この時点で、図１０に示す予測イベント一覧３２１に示すように、番号がＦ１１１０の予測イベントデータが存在するが、対応するイベントデータと運用ルール情報の条件との判定が行われたことを示す「済」という情報が付加されているので、番号がＦ１１１０の予測イベントデータは、ステップＳ７２１でのマッチングの対象にならない。よって、ここでは、イベントデータＥ９００２と予測イベントデータとが一致しないと判定し（ステップＳ７２２のＮｏ）、ステップＳ７２３に移行する。

予測イベント分析手段１０は、イベントデータＥ９００２と、図３に示す個別フィルタ情報２１１（番号Ｆ１０１１）とが合致すると判定し（ステップＳ７２３、ステップＳ７２４のＹｅｓ）、ステップＳ７２５に移行する。ステップＳ７２５において予測イベント分析手段１０は、フィルタ一覧３１１を参照し、イベントデータと合致すると判定した個別フィルタ情報の番号に対応するグループの番号（本例ではＧ０１２０。図９参照）を抽出する。そして、予測イベント分析手段１０は、そのグループの番号に対応する新たな予測イベントデータを生成する（ステップＳ７２５）。

ここでは、ステップＳ７２３からステップＳ７２５に移行しているので、予測イベント分析手段１０は、個別フィルタ情報の変数に、入力されたイベントデータの属性値を代入し、識別情報となる番号を付与した予測イベントデータを生成する。すなわち、イベントデータＥ９００２と合致する個別フィルタ情報２１１（番号Ｆ１０１１）の変数に、イベントデータＥ９００２の属性値を代入した予測イベントデータを生成する。

具体的には、個別フィルタ情報２１１（番号Ｆ１０１１）の変数（図３参照。）に、イベントデータＥ９００２のＴＩＭＥ１およびＳＥＲＶＥＲの属性値を代入した予測イベントデータ（図４に示す番号Ｆ１１１１の予測イベントデータ）を生成する。予測イベント分析手段１０は、予測イベントデータを他の情報と区別するために識別情報となる番号（ここではＦ１１１１）を付与する。

そして、ステップ７２３でイベントデータと合致すると判定された個別フィルタ情報と同じグループに属する他の個別フィルタ情報（図３に示す番号がＦ１０１２の個別フィルタ情報）があり、その個別フィルタ情報に同一の変数が含まれている。

従って、予測イベント分析手段１０は、その個別フィルタ情報（番号Ｆ１０１２）の変数にイベントデータＥ９００２の属性値を代入した予測イベントデータも生成する。具体的には、個別フィルタ情報２１２（番号Ｆ１０１２）の変数（図３参照。）に、イベントデータＥ９００２のＴＩＭＥ１およびＳＥＲＶＥＲの属性値を代入した予測イベントデータ（図４に示す番号Ｆ１１１２の予測イベントデータ）を生成する。

また、予測イベント分析手段１０は、予測イベントデータの番号（ここではＦ１１１０とする。）と、グループの番号と、イベントデータの番号とを対応付けた情報を予測イベント一覧に追加する。

この結果、図１０に示す予測イベント一覧３２２が得られる。番号Ｆ１１１１と、グループ番号Ｇ０１２０と、イベントデータＥ９００２とを対応付けた情報が追加されている。また、番号Ｆ１１１２の予測イベントデータは、イベントデータＥ９００２に合致する個別フィルタ情報と同じグループの個別フィルタ情報から生成されているので、対応するイベントデータはこの時点で存在していない（図１０に示す予測イベント一覧３２２参照。）。

また、予測イベント分析手段１０は、生成した予測イベントデータの番号（Ｆ１１１１，Ｆ１１１２）を、グループ番号１２０に対応付けて予測イベント対応表の「監視状況」に記述する（図８に示す予測イベント対応表４０２参照。）。

予測イベント分析手段１０は、予測イベント対応表４０２（図８参照。）から、グループの番号に対応する運用ルール情報の番号Ｒ０１２０を特定し、その番号の運用ルール情報、イベントデータ、および運用ルール情報に対応する個別フィルタ情報をイベント分析手段４に出力する。

イベント分析手段４は、予測イベント分析手段１０から入力された運用ルール情報に対応する各個別フィルタ情報とイベントデータとが合致するか否かを判定する（ステップＳ７２６）。ここでは、図３に示す個別フィルタ情報２１２（番号Ｆ１０１２）に合致するイベントデータが揃っていないので、番号Ｒ０１２０の運用ルール情報の条件は満たされていないと判定する。その後、予測イベント分析手段１０は、新たなイベントデータの入力を待つ。

さらに、イベントデータＥ９００３（図７参照。）が予測イベント分析手段１０に入力された場合には、イベントデータＥ９００１が入力されたときと同様の動作を行う。すると、新たな予測イベントデータ（番号Ｆ１２１０とする。）が生成され、また、ステップＳ７２６のルール判定処理が行われる。また、この結果、図８に示す予測イベント対応表４０３および図１０に示す予測イベント一覧３２３が得られる。

ここで、続いてイベントデータＥ９００４が発生した場合を例として、管理者によるフィルタ情報修正時の動作について説明する。イベントデータＥ９００４（図７参照。）は、ＳＥＲＶＥＲ属性の値を除いて、図４に示す予測イベント情報２２２と合致する。予測イベントデータ２２２におけるＳＥＲＶＥＲ属性は参考値であり、「ＳＶ４」を想定しているが、実際に発生したイベントデータＥ９００４では「ＳＶ３」となっている。

関連技術の運用管理装置の説明で用いた図２６のイベントリスト１００では、発生元が同じ「ＳＶ３」というコンピュータであったが、図７に示すイベントリスト１１０では、「ＳＶ３」と「ＳＶ４」という２つの発生元がある。これは、例えば、「ＳＶ３」のみで運用していたシステムに「ＳＶ４」を追加した場合に相当する。関連技術の運用管理装置では、このように機器の種類が増えた場合、その環境変化に合わせてフィルタ情報を修正しなければ管理者の望む動作が得られないことになる。

図１０に示す予測イベント一覧３２３の状態で、イベントデータＥ９００４が予測イベント分析手段１０に入力されると、予測イベント分析手段１０がイベントデータＥ９００４と予測イベントデータとのマッチングを行う（ステップＳ７２１）。

図１３は予測イベント対応表の遷移の例を示す説明図であり、図１４は予測イベント一覧の遷移の例を示す説明図である。図１３に示す予測イベント対応表４０４〜４０６は、それぞれ図１４に示す予測イベント一覧３２４〜３２６に対応している。上記のように、予測イベント分析手段１０が、イベントデータＥ９００４と予測イベントデータとが合致しているか否かを判定する処理（ステップＳ７２１）では、イベントデータＥ９００４と図４に示す予測イベントデータ（番号Ｆ１１１２）とが合致すると判定する（ステップＳ７２２のＹｅｓ）。

また、イベントデータと予測イベントデータとが合致したと判定したとき、予測イベント分析手段１０は、予測イベントデータ（番号Ｆ１１１２）に合致するイベントデータの番号を予測イベント一覧に記述する。この結果、図１０に示す予測イベント一覧３２３が、図１４に示す予測イベント一覧３２４に遷移する。このときの予測イベント対応表は、図１３に示す予測イベント対応表４０４である。

イベントデータと予測イベントデータとが合致した場合、ステップＳ７２７に移行し、予測イベント分析手段１０は、イベントデータの属性値と予測イベントデータの参考値が合致しているか否かを判定する（ステップＳ７２７）。イベントデータの属性値と予測イベントデータの参考値が合致していれば（ステップＳ７２７のＹｅｓ）、ステップＳ７２５に移行する。イベントデータの属性値と予測イベントデータの参考値が合致していなければ（ステップＳ７２７のＮｏ）、ステップＳ７２１で予測イベントデータと合致したイベントデータおよび、参考値とイベントデータの属性値との比較情報（比較結果）をイベント分析手段４に出力する。

イベント分析手段４は、ユーザ対話手段５を介して管理者にイベントデータ、参考値とイベントデータの属性値との比較結果を提示する（ステップＳ７２８）。図１２の画面９０１は、このようにして出力された画面の例である。画面９０１は、参考値が一致しないことを示すメッセージ表示欄９０２と、運用ルール情報および個別フィルタ情報の概要を参考値と共に示すツリー表示欄９０３と、現在のイベントデータの内容および項目毎のマッチング結果を示すデータ表示欄９０４と、管理者による入力を受け取るボタン９０５、９０６とを含む。

図１２に例示する画面では、ツリー表示欄９０３で、参考値である「ＳＶ４」がイベントデータの属性値と異なっていることを示す「★」印を提示し、データ表示欄９０４で、項目毎の比較結果を○、△、×で表している。○は、一致していることを表し、△は参考値と一致していないことを表している。管理者はこの画面を参照して、イベントデータＥ９００４を合致するルールとして運用ルール情報を受け入れるか、または、フィルタ情報を変更して再判定を行うかを選択することができる。ボタン９０６は、フィルタ情報を変更することを指示するボタンであり、ボタン９０５は、フィルタ情報を変更しないことを指示するボタンである。

イベントデータと予測イベントデータとでＳＥＲＶＥＲの属性値が異なっていても両者が合致していると判断してよい場合として、同じ機器が複数の別名を持つ場合や、複数の機器が連携しているため業務ソフトウェアへの影響がある場合等が考えられる。

この場合、管理者が画面９０１で例示した「このイベントで判定」のボタン９０５を押下すると、予測イベント管理手段９は、フィルタ情報の変更を行わないという指示が入力されたと判定し（ステップＳ７２９のＮｏ）、ステップＳ７２５に移行する。ステップＳ７２５では、予測イベント分析手段１０は予測イベントデータの生成を行う（ステップ７２５）。

ここで、ステップＳ７２３を経ずに、ステップＳ７２７の判定を行ってから、ステップＳ７５に以降しているということは、運用ルール情報に対応する個別フィルタ情報のいずれかに合致する２番目以降のイベントデータが入力されているということである。このとき、運用ルール情報に対応する個別フィルタ情報のいずれかに合致するイベントデータが入力されてステップＳ７２３を経てステップＳ７２５に移行したときに、その最初のイベントデータの属性値が、同じグループに属する各個別フィルタ情報に入力されて各個別フィルタ情報に対応する予測イベントデータが作成されている。

従って、ステップＳ７２３を経ずに、ステップＳ７２７を経て、ステップＳ７２５に移行した場合、予測イベント分析手段１０は、個別フィルタ情報の参考値にイベントデータの属性値を代入して予測イベントデータを生成する動作を行わなくてよい。

ステップＳ７２５では、予測イベント分析手段１０は、既に説明したように、運用ルール情報、イベントデータ、および運用ルール情報に対応する個別フィルタ情報をイベント分析手段４に出力する処理も行う。

この後、イベント分析手段４は、Ｓ７２６の判定処理を行うが、運用ルール情報の条件が満たされたと判定され、運用ルール情報の対処が実行されるのは、運用ルール情報に対応する個別フィルタ情報のいずれかに合致する最後のイベントデータが入力されて（すなわち、各個別フィルタに合致するイベントデータが入力済みとなって）ステップＳ７２７からステップＳ７２５、Ｓ７２６に移行した場合（運用ルール情報に対応する個別フィルタが１つしかない場合にはステップＳ７２３からステップＳ７２５、Ｓ７２６に移行した場合）である。

また、フィルタ情報を変更しないという指示を入力するためのボタン９０５が押下されたということは、運用ルール情報Ｒ０１２０の判定にイベントデータＥ９００４を用いたということである。このことから、運用ルール情報の満たすための条件として推定されていたイベントデータＳＥＲＶＥＲ属性も一致しているという条件は満たす必要がないことになる。

よって、予測イベント管理手段９は、運用ルール情報Ｒ０１２０に対応する個別フィルタ情報を特定し、その個別フィルタ情報からイベントデータのＳＥＲＶＥＲ属性が一致するという条件を表す参考値を削除する。なお、予測イベント対応表で運用ルール情報と個別フィルタ情報とが対応付けられているので、予測イベント対応表を参照することで運用ルール情報に対応する個別フィルタ情報を特定できる。

この場合、予測イベント管理手段９は、運用ルール情報Ｒ０１２０に対応する個別フィルタ情報（番号Ｆ１０１１、Ｆ１０１２。図３参照。）からそれぞれ、ＳＥＲＶＥＲ属性が一致するという条件を表す参考値［＄Ｆ０２］を削除して、図１５に示す個別フィルタ情報２１１、２１２（番号Ｆ１０１１，Ｆ１０１２）を再生成し、予測イベント蓄積手段８に記憶させる。この結果、イベントデータの属性値と参考値との不一致が解消したことになる。

なお、フィルタ情報を変更しないという指示を入力するためのボタン９０５が押下された場合（ステップＳ７２９のＮｏ）、予測イベント管理手段９は個別フィルタ情報の変更を行うがこの処理は図１１において省略している。また、変更されるのは個別フィルタ情報であって、フィルタ情報ではない。

ステップＳ７２５の後、イベント分析手段４は、ルール判定処理を行う（ステップＳ７２６）。すなわち、予測イベント分析手段１０から入力された運用ルール情報に対応する各個別フィルタ情報とイベントデータとが合致するか否かを判定する。ここではイベントデータは、運用ルールＲ０１２０の条件（運用ルールＲ０１２０の個別フィルタ情報）を満足するので対処が実行される。

また、イベントデータと予測イベントデータとでＳＥＲＶＥＲの属性値が同一である必要がある場合、管理者は、図１２に例示した「条件を変更する」のボタン９０６を押下する。ボタン９０６が押下されると、予測イベント管理手段９は、フィルタ情報の変更を行うという指示が入力されたと判定し（ステップＳ７９２のＹｅｓ）、参考値とイベントデータの属性値が一致しなければならないことを反映するように、判定条件蓄積手段３に記憶されているフィルタ情報（ここでは運用ルール情報Ｒ０１２０のフィルタ情報）を修正する。

具体的には、運用ルール情報Ｒ０１２０の組み合わせ条件として指定されている各フィルタ情報のＳＥＲＶＥＲ属性の属性値として共通の変数を記述する。この変数は参考値としない。本例では、“［］”という括弧で囲まずに変数を記述する。図１６は、このようにして修正されたフィルタ情報を示す。

予測イベント管理手段９は、運用ルール情報Ｒ０１２０で指定された各フィルタ情報２０１、２０２（図２７（ｂ）参照。）のＳＥＲＶＥＲ属性の属性値として共通の変数「＄ＳＶ」を追加記述し、図１６に示すフィルタ情報２０１、２０２を判定条件蓄積手段３に記憶させる。

この結果、各フィルタ条件２０１、２０２に合致するイベントデータのＳＥＲＶＥＲ属性の属性値が同じであることが、運用ルール情報Ｒ０１２０の条件として追加されたことになる。また、予測イベント管理手段９は、フィルタ情報が変更したことに伴い、そのフィルタ情報から生成された個別フィルタ情報、およびその個別フィルタ情報から生成された予測イベントデータに対しても、フィルタ情報に対する修正と同様の修正を行う（ステップＳ７３０）。

本例では、予測イベント管理手段９は、図３個別フィルタ情報２１１、２１２のＳＥＲＶＥＲ属性をそれぞれ参考値である［＄Ｆ０２］から、参考値でない同一の変数＄ＳＶに修正する。図１７に示す個別フィルタ情報２１３、２１４は、このように修正された個別フィルタ情報を示している。

また、予測イベント管理手段９は、図４に示す各予測イベントデータのＳＥＲＶＥＲ属性を参考値から、参考値でない属性値に修正する。本例では、参考値を示す“［］”を削除することによって参考値［ＳＶ４］を、参考値でない属性値ＳＶ４に修正する。図１８に示す予測イベントデータ２１３、２１４は、このように修正された予測イベントデータを示している。

以上のようにフィルタ情報、個別フィルタ情報および予測イベントデータを修正した後、ステップＳ７２１に戻り、予測イベント分析手段１０は、入力されたイベントデータＥ９００４に対して再度ステップＳ７２１以降の処理を行う。

すると、予測イベント分析手段１０は、発生元（すなわちＳＥＲＶＥＲ属性）がＳＶ３として記述されたイベントデータＥ９００４と、ＳＥＲＶＥＲ属性がＳＶ４（参考値ではない。）である予測イベントデータ２２４（図１８参照。）とが合致しないと判定する（ステップＳ７２１、ステップＳ７２２のＮｏ）。すなわち、イベントデータＥ９００４は、既に入力されているイベントデータＥ９００２とは関連しないイベントデータとして扱われることになる。

続いて、ステップＳ７２３の処理を行い、ステップＳ７２５に移行する。ステップＳ７２３からステップＳ７２５に移行しているので、予測イベント分析手段１０は、個別フィルタ情報の変数に、入力されたイベントデータの属性値を代入し、識別情報となる番号を付与した予測イベントデータを生成する。すなわち、図４に示す予測イベントデータ２２１、２２２（番号Ｆ１１１１，Ｆ１１１２）を生成した動作と同様の動作で、予測イベントデータを生成する。

なお、ステップＳ７３０で、個別フィルタ情報が修正されているので、新たな予測イベントデータが生成される。ここで、番号Ｆ１２１１の予測イベントデータと番号Ｆ１２１２の予測イベントデータが生成されたとする。

また、予測イベント分析手段１０は、予測イベント一覧３２２（図１０参照）を得る動作と同様にして同様にして、図１４に示す予測イベント一覧３２４に情報を追加して、図１４に示す予測イベント一覧３２５を生成する。予測イベント一覧３２５では、Ｅ９００４とＦ１２１２が対応付けられていて、イベントデータＥ９００４に合致する個別フィルタ情報から予測イベントデータＦ１２１２が生成され、その個別フィルタ情報と同じグループの個別フィルタ情報から予測イベントデータＦ１２１１が生成されていることを表している。

また、予測イベント分析手段１０は、予測イベント対応表のルール番号Ｒ０１２０に対応する監視状況として、Ｆ１２１１、Ｆ１２１２を追加する。この結果、予測イベント対応表４０４（図１３参照。）は、予測イベント対応表４０５（図１３参照。）に遷移する。なお、Ｆ１２１１とＦ１２１２は、ＴＩＭＥ１属性の参考値によって、Ｆ１２１１が先に発生することが期待されている。既にＦ１２１２が先に発生した状態で、Ｆ１２１１に合致するイベントデータが後で発生すると、同様に参考値との不一致がある場合の処理が行われることになる。

このようにして、新たなイベントが発生する度に、予測イベントデータの生成やマッチングが行われる。図７のイベントリスト１２０は、さらにイベントデータが生成された例である。イベントデータＥ９００５が予測イベント分析手段１０に入力されると、図１４に示す予測イベント一覧３２５は予測イベント一覧３２６に遷移する。なお、このとき、図１３に示す予測イベント対応表４０５は、予測イベント対応表４０６に遷移する。

予測イベント一覧３２６に示すように、イベントデータＥ９００５は、Ｆ１１１２に合致し、運用ルール情報Ｒ０１２０の判定が真となって、「ＳＶ４」での対処が行われる。この対処の結果がイベントデータＥ９００６（図７参照。）である。さらに、イベントデータＥ９００７が、予測イベントデータＦ１２１１に対応するため、同様に「ＳＶ３」での対処が行われ、結果がイベントデータＥ９００８で示される。

このように、本実施の形態によれば、管理者が汎用的な論理によって運用ルール情報を作成した場合に、その条件に過去の履歴から実行環境に依存する条件が自動的に付与された予測イベントデータが生成される。環境依存の条件（例えば、イベントデータの発生元のサーバが同一である等の条件）によって環境に適合するように変数で記述されたルール条件となるため、ルール判定の精度を高めることができる。

また、環境依存の条件設定が自動化され、管理者が指定する条件が分離されているため、条件記述が複雑になることがなく、類似環境に運用ルール情報を適用しやすい。この結果、管理者が運用ルール情報を扱う場合の作業負担が大幅に減少し、適用範囲が拡大するという効果がある。

さらに、本実施の形態によれば、発生したイベントデータに応じて予測イベントデータが生成される。論理的な条件式による判定ではなく、実際に発生するイベントデータと形式が似た予測イベントデータとのマッチングによって判定されるため、複数のイベントデータ間の相関記述がし易く、予め発生が予想されるイベントデータを優先的に処理することができるため、条件式の全比較が必要な関連技術の運用管理装置に比べて、大幅に処理速度を向上できる。この結果、大規模環境等、ルール条件の多い環境にも適用可能である。

さらにまた、相関関係等の環境依存条件を具体的な値に展開した予測イベントデータを生成することで、例えば、機器構成やソフトウェア挙動に変化があった場合等に、予測された値との差異が検出され、管理者に提示し対処を促すことができる。この結果、環境変化に追随して運用ルール情報を洗練していく作業を支援することができ、効率的な運用を実現できる。

なお、本実施の形態では、フィルタ情報が異なる運用ルール情報を例として動作を説明したが、その例に固定されるものではなく、複数ルールで共通のフィルタ情報を指定されるものであっても良い。この場合でも、共通するフィルタ情報から運用ルール情報毎の個別フィルタ情報が生成されて、予測イベントデータを生成することができる。

また、本実施の形態では、過去のイベントデータから参考値を生成する例で説明したが、その例に固定されるものではなく、一般に知られている特長分析の技術を用いて他の種類の情報から生成するものであっても、管理者によって直接入力されるものであっても良い。いずれの場合においても、発生するイベントデータと同様の系列を持つ予測イベントデータを生成し、そのイベントデータ間の相関や参考値が指定できるものであれば、同様の効果が得られるものである。

なお、予測イベント一覧や予測イベント対応表を変更するタイミングは、第１の実施の形態で説明したタイミングに限定されない。

（第２の実施の形態）
図１９は、本発明の第２の実施の形態を示すブロック図である。図１に示す第１の実施の形態の運用管理装置３１と同様の構成要素については、図１と同一の符号を付し説明を省略する。

第２の実施の形態の運用管理装置３１は、図１に示す第１の実施の形態の運用管理装置が備えるイベントデータ取得手段２、イベント蓄積手段７、イベント分析手段４、判定条件蓄積手段３、ユーザ対話手段５、制御手段６、予測イベント蓄積手段８、予測イベント管理手段９、予測イベント分析手段１０に加えて、ジョブ管理手段１１を備える。

ジョブ管理手段１１は、定期的な処理の実行や条件分岐等の手順を有する処理の実行計画に従って制御手段に指示を行うとともに、処理の実行に伴って発生するイベントデータの予定を予測イベント管理手段９に通知する。

ジョブ管理手段１１は、制御手段６に対し、サービスシステム１に処理を実行させる指示を、予め定められたタイミングで出力する。制御手段６は、この指示がジョブ管理手段１１から入力されると、サービスシステム１に処理を実行させる。サービスシステム１のイベントデータ生成手段７１は、処理の実行に伴ってイベントデータを順次生成し、運用管理装置３１に送信する。

また、ジョブ管理手段１１は、サービスシステム１による処理の実行に伴ってサービスシステム１から順次送信されるイベントデータに合致する個別フィルタ情報を予め記憶しておく。そして、ジョブ管理手段１１は、処理の実行に伴って発生するイベントデータの予定を表す情報として、その個別フィルタ情報を予測イベント管理手段９に出力する。このとき、ジョブ管理手段１１は、発生するイベントデータの順番にあわせて、各イベントデータに合致する個別フィルタ情報の順番を指定して個別フィルタ情報を予測イベント管理手段９に出力する。

なお、ジョブ管理手段１１は、予測イベント管理手段９に出力する個別フィルタ情報およびその順番の情報を予め記憶する。ジョブ管理手段１１が制御手段６に指示を出力することでサービスシステム１が実行する処理は予め決まっているので、どのようなイベントデータが順次発生するのかも予めわかっている。

従って、管理者がその各イベントデータに合致する個別フィルタ情報を作成して順番を指定してジョブ管理手段１１に入力し、ジョブ管理手段１１が各個別フィルタ情報および順番を記憶しておけばよい。

ジョブ管理手段１１は、例えば、サービスシステム１に処理を実行させる時刻を予め記憶し、その時刻になったときに、処理の実行に伴って生成される各イベントデータに対応する各個別フィルタ情報およびその順番を予測イベント管理手段９に出力すればよい。

予測イベント管理手段９は、第１の実施の形態で説明した処理に加えて、ジョブ管理手段１１から受け取ったイベントデータの予定（すなわち順番が指定された個別フィルタ情報）に従って、予測イベントデータを生成する機能を新たに有する。

以下、図２０に示すイベントリスト１３０に含まれる各イベントデータがサービスシステム１から送られる場合を例にして説明する。図２０に示すイベントデータＥ９００１、Ｅ９００２、Ｅ９００３は、図７に示すイベントデータＥ９００１、Ｅ９００２、Ｅ９００３と同様である。また、図２０に示すイベントデータＥ２００１、Ｅ２００２、Ｅ２００３は、ジョブの実行に伴って順次生成されるイベントデータである。ただし、Ｅ２００３は、ジョブ実行時にエラーが生じた場合に生成されるイベントデータである。

図２１は、本実施の形態における予測イベント対応表の遷移の例を示す説明図である。図２２および図２３は、本実施の形態における予測イベント一覧の遷移の例を示す説明図である。

以下、本実施の形態における運用管理装置の動作を説明する。

ジョブ管理手段１１は、所定のタイミング（例えば予め定められた日時）になると、制御手段６に対し、サービスシステム１に処理を実行させる指示を出力する。また、このとき、ジョブ管理手段１１は、サービスシステム１が処理の実行に伴い生成する各イベントデータに合致する個別フィルタ情報を、順番を指定して予測イベント管理手段９に出力する。

制御手段６は、ジョブ管理手段１１からの指示に従ってサービスシステム１に処理を実行させる。すると、サービスシステム１はその処理の実行に伴いイベントデータを順次生成して運用管理装置３１に送信する。例えば、サービスシステム１は、その処理に含まれる個々の処理ステップの成否を示すイベントデータを順次生成して運用管理装置３１に送信する。

その結果、運用管理装置３１には、図２０に示すように、サービスシステム１が提供する業務サービスのイベントデータ（例えば、Ｅ９００１、Ｅ９００２、Ｅ９００３）に混じって、ジョブ管理手段１１の指示に起因して実行した処理（ジョブ）のイベントデータ（図２０に示すＥ２００１、Ｅ２００２、Ｅ２００３）も送信される。例えば、図２０に示すイベントデータＥ２００１は、「ＳＶ３」というコンピュータ上のｊｏｂというソフトウェア機能が「ＪＯＢ１」という処理の実行に成功したことを示す。

また、予測イベント管理手段９は、このようなイベントデータの発生予定をジョブ管理手段１１から個別フィルタ情報として受け取り、予測イベント蓄積手段８に記憶させる。そして、その個別フィルタの集合を１つのグループとして、グループ番号を割り当てる。

そして、予測イベント管理手段９は、ジョブ管理手段１１から入力された個別フィルタ情報をフィルタ系列として個々の個別フィルタ情報の番号（本例ではＦ２００１、Ｆ２００２、Ｆ２００３とする。）と、割り当てたグループの番号（Ｇ０２００とする。）とを対応付けて予測イベント対応表に追加する。

このとき、運用ルール情報の番号は対応付けない。個別フィルタ情報の順番は、Ｆ２００１、Ｆ２００２、Ｆ２００３の順であるものとする。図２１に示す予測イベント４１０において、Ｇ０２００は上述のグループの番号であり、対応するルール番号はなく、フィルタ系列としてイベントデータの発生予定を示す個別フィルタ情報Ｆ２００１、Ｆ２００２、Ｆ２００３が設定されている。

この例では、Ｆ２００１、Ｆ２００２、Ｆ２００３のフィルタ系列は、ジョブが成功した場合に順次発生するイベントデータに合致する個別フィルタ情報である。イベントデータＥ２００３は、ジョブがエラーになったときに生成されるイベントデータであり、その場合、管理者へのメール通知を行うという対象を定めた運用ルール情報Ｒ０１３０が適用され、図２７に示すように管理者へのメール通報を行う対処が実行される。従って、ジョブ成功時のイベントデータに対応する個別フィルタ情報Ｆ２００３は、イベントデータＥ２００３とは合致しない。

図２３に示すイベントデータＥ９００１が生成され、予測イベント分析手段１０に入力されると、予測イベント分析手段１０は、ステップＳ７２１以降の処理を行う。イベントデータＥ９００１が入力されたときに、イベントデータＥ９００１と合致する予測イベントデータは存在せず、また、イベントデータＥ９００１と合致する個別フィルタＦ２００１は、ジョブ管理手段１１から予測イベント管理手段９に送られ、予測イベント蓄積手段８に記憶されている。

従って、ステップＳ７２１からステップＳ７２３を経てステップＳ７２５の処理を行う。予測イベント分析手段１０は、予測イベントデータとして、Ｆ２１０１とＦ２１０２を生成する。ここでは、入力されたイベントデータがＥ２００１であり、予測イベント分析手段１０は、そのイベントデータに続く次のイベントデータに対応する予測イベントデータも生成する。その予測イベントデータがＦ２１０２である。

次のイベントデータに対応する予測イベントデータは、同じグループ内の次の個別フィルタ情報を用いて、第１の実施の形態と同様に作成すればよい。この個別フィルタ情報はジョブ管理手段１１が出力した個別フィルタ情報であり、順番も指定されているので、次のイベントデータに対応する次の個別フィルタ情報を特定して予測イベントデータを生成することができる。

予測イベント分析手段１０は、イベントデータＥ２００１と、グループ番号Ｇ０２００と、Ｅ２００１から生成した予測イベントデータＦ２１０１とを対応付けた情報を予測イベント一覧に追加する。また、グループ番号Ｇ０２００と、Ｆ２１０２とを対応付けた情報を予測イベント一覧に追加する。Ｅ２００１に続くイベントデータはまだ入力されていないので、Ｆ２１０２に対応するイベントデータはこの時点ではない。図２２に示す予測イベント一覧３３１は、この状態の予測イベント一覧を表している。

また、予測イベント分析手段１０は、生成した予測イベントデータＦ２１０１、Ｆ２１０２を、グループ番号Ｇ０２００およびフィルタ系列Ｆ２００１、Ｆ２００２、Ｆ２００３に対応付けて、予測イベント対応表の監視状況に記述する。

図２１に示す予測イベント対応表４１０は、この状態の予測イベント対応表を表している。ジョブ実行に関するイベントデータは順次発生するものであるため、ジョブに関する１つのイベントデータが入力された場合、予測イベント分析手段１０は、次のイベントに対応する予測イベントデータを生成し、予測イベント対応表４１０に記述する（図２１に示す予測イベント対応表４１０参照。）。

同様に、イベントデータＥ９００２およびイベントデータＥ２００２が生成され予測イベント分析手段１０に入力されると、ステップＳ７２１以降の処理を行い、図２２に示す予測イベント一覧３３２を導出する。すなわち、Ｅ９００２と、グループ番号Ｇ０１２０と、新たに生成した予測イベントデータＦ１１１１とを対応付けた情報、および新たな予測イベントデータＦ１１１２とグループ番号Ｇ０１２０とを対応付けた情報を予測イベント一覧に追加する。この動作は第１の実施の形態と同様である。

また、イベントデータＥ２００２と、グループ番号Ｇ０２００と、新たに生成した予測イベントデータＦ２１０２とを対応付けた情報を予測イベント一覧に追加する。さらに、次のイベントデータに対応する予測イベントデータも作成し（Ｆ２１０３とする。）、Ｆ２１０３とグループ番号Ｇ０２００とを対応付けた情報を予測イベント一覧に追加する（図２２に示す予測イベント一覧３３２）。

イベントデータＥ２００３が発生せず（すなわちエラーが発生せず）、正常に終了した場合のイベントデータが予測イベント分析手段１０に入力された場合もステップＳ７２１以降の処理を行い、予測イベント分析手段１０は、そのイベントデータを予測イベント一覧３３２において、Ｆ２１０３およびＧ０２００に対応付けて記述し、Ｇ０２００に対応する各予測イベントデータに関する処理が終わったことを示す情報（本例では「済」）を記述する。

また、ジョブが正常に終了せず、ジョブの異常終了を示すイベントデータＥ２００３が生成されて、予測イベント分析手段１０に入力されたとする。予測イベント分析手段１０は、ステップＳ７２１以降の処理を行う。この場合、ステップＳ７２１からステップＳ７２３に以降し、正常終了時の個別フィルタ情報Ｆ２００１、Ｆ２００２、Ｆ２００３のグループとは合致せず、他の個別フィルタ情報（Ｆ１０１３とする。）と合致し、ステップＳ７２５に移行する。

予測イベント分析手段１０は、予測イベントデータ（Ｆ１１１３とする。）を生成し、Ｆ１１１３、Ｇ０１３０、Ｅ２００３を対応付けた情報を予測イベント一覧に追加する（図２３に示す予測イベント一覧３３３）。既に説明したように、Ｅ２００３発生時には、ルールＲ０１３０が適用されるものであり、個別フィルタ情報Ｆ１０１３は、Ｒ０１３０に対応付けられているものとする。

予測イベント分析手段１０は、Ｇ０１３０、Ｒ０１３０、Ｆ１０１３に対応する情報として、生成した予測イベントデータの番号Ｆ１１１３を予測イベント対応表に追加する（図２１に示す予測イベント対応表４１１参照。）。

この後、ステップＳ７２６に以降し、さらに運用ルール情報Ｒ０１３０の対処が実行される。すなわち、管理者へのメール通知が行われる。この通知を受けた管理者は、異常終了としてジョブを中断してもよい。あるいは、サービスシステム１を復旧させてもよい。

予測イベント管理手段９は、ユーザ対話手段５を介して、ジョブを終了する旨の情報が入力された場合、ジョブ管理手段１１から入力された個別フィルタ情報をフィルタ系列としている情報を予測イベント対応表から削除する。

本例では、予測イベント対応表４１１（図２１参照。）からＧ０２００と、Ｆ２００１、Ｆ２００２、Ｆ２００３と、Ｆ２１０１、Ｆ２１０２を対応付けた情報を削除する。図２１に示す予測イベント対応表４１２は、このときの予測イベント対応表を表している。また、予測イベント管理手段９は、そのグループ番号Ｇ０２００に対応付けられた情報を予測イベント一覧から削除する。この結果得られる予測イベント一覧は、図２３に示す予測イベント一覧３３４である。

また、管理者がサービスシステム１を復旧させ、正常に終了したときのイベントデータが運用管理装置に送信する。このイベントデータが予測イベント分析手段１０に入力されると、ステップＳ７２１以降の処理を行う。この結果、予測イベント分析手段１０は、そのイベントデータを予測イベント一覧３３３において、Ｆ２１０３およびＧ０２００に対応付けて記述し、Ｇ０２００に対応する各予測イベントデータに関する処理が終わったことを示す情報（本例では「済」）を記述する。

なお、本例では、ジョブの異常終了を示すイベントデータＥ２００３に応じた運用ルール情報Ｒ０１３０で、管理者へのメール通知を定めた例を示したが、異常終了を示すイベントデータＥ２００３に応じた運用ルール情報Ｒ０１３０において、ジョブ管理手段１１から入力された個別フィルタ情報に基づいて生成した情報（本例では、グループ番号Ｇ０２００に対応する情報）を、予測イベント対応表や予測イベント一覧から削除するコマンドを定めていてもよい。

また、サービスシステム１がジョブ終了の通知を予測イベント管理手段９に送信し、予測イベント管理手段９は、その通知を受信したときにそのジョブに関連する情報（本例では、グループ番号Ｇ０２００に対応する情報）を、予測イベント対応表や予測イベント一覧から削除してもよい。

以上のように、本実施の形態によれば、ジョブ実行に伴って計画的に発生が予想されるイベントデータを予測イベントデータとマッピングして迅速に処理することができるため、ジョブ実行に伴い多数のイベントデータが発生しても、他の運用ルール情報の条件判定に影響を与えることがない。

ジョブは、日時指定等によって計画的に行われるものであり、ジョブに対応するイベントデータの発生日時や系列も予め定められている。しかしながら、曜日によって実行時間をシフトしたり、エラーになった場合の処理等様々な手順が規定されているため、そのようなジョブの手順をすべて理解できないと発生するイベントデータの系列を予測することができない。また、複雑な手順に対応するルール条件として正確に記述することも難しい。

関連技術の運用管理装置では、他のルール条件と同様に記述して処理していたため、多数の正常イベントによって処理負荷が増大したり、他の条件と合致してしまって誤判定となったりするような問題があった。これに対して、本実施の形態の運用管理装置は、運用ルール情報の条件から予測イベントデータを生成してマッチングする方法であるため、論理条件式の判定ではなく、順次発生するイベントデータの系列として、ジョブ実行のイベントデータを効率的に処理することができる。

（第３の実施の形態）
図２４は、本発明の第３の実施の形態を示すブロック図である。第１の実施の形態、第２の実施の形態の運用管理装置３１と同様の構成要素については、図１および図１９と同一の符号を付し説明を省略する。以下、図２４、図２１を用いて、本発明の第３の実施の形態を説明する。

本実施の形態の運用管理装置は、サービスシステムに対して、優先的に送信すべきイベントデータを指示する。このような指示を行う運用管理装置をマネージャ装置３０と記す。また、このような指示を受ける装置をエージェント装置２０と記す。エージェント装置２０は、サービスシステム１を含む。

また、サービスシステム１は、イベントデータ生成手段７１の他に、マネージャ装置（運用管理装置）３０からの指示に応じて優先的に送信すべきイベントデータを優先的に送信する通信制御手段１２を備える。エージェント装置２０と、マネージャ装置３０とは、通信回線あるいは通信ネットワークを介して接続される。

通信制御手段１２は、イベントデータ取得手段２へのイベントデータの送信および制御手段６からの制御指示の受信を行うとともに、予測イベント管理手段９の指示を受けて、イベントデータの送受信の速度あるいは順序を変更する。イベントデータの送受信の速度あるいは順序を変更するとは、例えば、予測イベント管理手段９が指示した条件に合致するイベントデータがイベントデータ生成手段７１によって生成されたならば、直ちにそのイベントデータを運用管理装置３０に送信し、その他のイベントデータ（指示された条件に合致しないイベントデータ）は、一定時間間隔毎にまとめて送信することである。

予測イベント管理手段９は、第２の実施の形態の機能に加えて、予測イベントデータの生成状況に応じて、優先的に受信するイベントデータを指定する情報をサービスシステム１の通信制御手段１２に送信する。

本実施の形態の運用管理装置が備える各手段の動作は、第１の実施の形態や第２の実施の形態と同様である。ただし、予測イベント管理手段９が、通信制御手段１２に対して、受信するイベントデータの優先度を制御する。運用管理装置が優先的に受信すべきイベントデータは、運用管理装置の予測イベント管理手段９が生成した予測イベントデータに合致するイベントデータである。

ただし、ジョブ実行に伴う正常なイベントとして生成された予測イベントデータに合致するイベントデータは、特に急いで受信する必要はない。生成された予測イベントデータは、予測イベント対応表に記述されている（図２１に示す予測イベント対応表の「監視状況」参照。）。

予測イベント対応表に記述された予測イベントデータのうち、対応するルール番号の記述がない予測イベントデータは、ジョブ実行に伴う正常なイベントとして生成された予測イベントデータであり、そのようなイベントデータに合致するイベントデータは、急いで受信する必要はない。

一方、予測イベント対応表に記述された予測イベントデータのうち、対応するルール番号の記述がある予測イベントデータに合致するイベントデータは、優先的に受信すべきイベントデータである。予測イベント管理手段９は、予測イベント対応表に、ルール番号に対応付けられた予測イベントデータの番号が記述されている場合には、その番号によって特定される予測イベントデータをサービスシステム１に送信することによって、その予測イベントデータに合致するイベントデータを優先的に送信することを要求する。

サービスシステム１が備える通信制御手段１２は、予測イベント管理手段９から予測イベントデータを受信する。そして、通信制御手段１２は、イベントデータ生成手段７１がイベントデータを生成したときに、そのイベントデータと受信した予測イベントデータとが合致するか否かを判定する。このとき、予測イベントデータに含まれる参考値以外の属性値とイベントデータの属性値とが合致していれば、両者は合致すると判定すればよい。

通信制御手段１２は、予測イベントデータに合致するイベントデータは、直ちに運用管理装置に送信する。一方、予測イベントデータに合致していないイベントデータは、保持しておく。そして、通信制御手段１２は、一定期間毎に（例えば１０分ごとに）、保持しているイベントデータを運用管理装置に送信する。

通信制御手段１２が送信したイベントデータは、イベントデータ取得手段２に受信される。イベントデータ取得手段２がイベントデータを受信した後の動作は、第１の実施の形態あるいは第２の実施の形態と同様である。

通信ネットワークを介して情報を収集する関連技術の運用管理装置では、多数のイベントを頻繁に受信すると通信帯域が圧迫されてイベントデータの欠落が発生する場合があり、逆にイベントデータの受信間隔を長くしていると負荷は低減するものの、分析に遅れが出て障害が発生するといった問題があった。

また、条件判定の結果に応じてイベントデータの送信タイミングを制御する従来の運用管理装置では、条件判定が論理条件式で行われるため、送信タイミングを制御するエージェント装置側でも論理条件式の判定が必要となり、処理負荷が増大するという問題があった。

これに対して、本実施の形態の運用管理装置では、条件を予測イベントデータに展開してマッチングする方式であるため、イベントデータ単位のフィルタ（イベントデータを指定する条件となる予測イベントデータ）をそのままエージェント装置に指定することができ、処理負荷を増加させず、分析に適した送信制御を行うことができる。

以上、本発明の実施の形態について説明したが、本発明は以上の実施の形態にのみ限定されず、その他各種の付加変更が可能である。また、本発明の運用管理装置が備える各手段は、その有する機能をハードウェア的に実現することは勿論、コンピュータとプログラムとで実現することができる。プログラムは、磁気ディスクや半導体メモリ等のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時等にコンピュータに読み取られ、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施の形態における各手段として機能させる。

（第４の実施の形態）
本発明の第４の実施の形態に係る運用管理装置は、管理対象システムの状態を表す属性の名称とその属性値とを対応付けたイベントデータが定められた条件に合致したときに処理を行うもので、以下のルール記憶手段、個別フィルタ情報記憶手段、予測イベント一覧記憶手段、予測イベント対応表記憶手段、予測イベントデータ合致判定手段、個別フィルタ情報特定手段、予測イベントデータ生成手段、およびルール判定手段を有する。

ルール記憶手段（例えば、判定条件蓄積手段３）は、実行する処理を定めた運用ルール情報を記憶する。

個別フィルタ情報記憶手段（例えば、予測イベント蓄積手段８）は、運用ルール情報毎に定められた条件となる情報であって、属性と属性値とを対応づけた情報であり、属性値の一部が過去のイベントデータから推測される参考値として記述されることがあり、また、属性値の一部が変数として記述されることがある個別フィルタ情報を記憶する。

予測イベントデータ記憶手段（例えば、予測イベント蓄積手段８）は、個別フィルタ情報で変数として記述された属性値に管理対象システムで生成されたイベントデータの属性値を代入したデータである予測イベントデータを記憶する。

予測イベント一覧記憶手段は、生成されたイベントデータと、当該イベントデータに合致する個別フィルタ情報から生成された予測イベントデータと、運用ルール情報に対応する個別フィルタ情報の集合であるグループであってイベントデータに合致する個別フィルタ情報が属するグループとを対応付けた情報である予測イベント一覧を記憶する。

予測イベント対応表記憶手段は、運用ルール情報と、運用ルール情報が定める条件となる各個別フィルタ情報と、その各個別フィルタ情報が属するグループと、個別フィルタ情報から生成された予測イベントデータとを対応付けた情報である予測イベント対応表を記憶する。

予測イベントデータ合致判定手段（例えば、ステップＳ７２１の処理を行う予測イベント分析手段１０）は、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致している場合にイベントデータと予測イベントデータとが合致すると判定し、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致していない場合にイベントデータと予測イベントデータとが合致しないと判定する。

個別フィルタ情報特定手段（例えば、ステップＳ７２３の処理を行う予測イベント分析手段１０）は、イベントデータと予測イベントデータとが合致しないと判定された場合に、参考値以外の属性値がイベントデータの属性値と合致する個別フィルタ情報を特定する。

予測イベントデータ生成手段（例えば、ステップＳ７２５の処理を行う予測イベント分析手段１０）は、個別フィルタ情報の特定に成功した場合に、当該個別フィルタ情報が属するグループに属する各個別フィルタ情報の変数にイベントデータの属性値を代入して、その各個別フィルタ情報毎に予測イベントデータを生成し、予測イベントデータ記憶手段に予測イベントデータを記憶させ、イベントデータと予測イベントデータとイベントデータに合致する個別フィルタ情報が属するグループとの対応関係を示す情報を予測イベント一覧記憶手段に記憶させ、生成された予測イベントデータとその予測イベントデータの生成に用いられた個別フィルタ情報のグループと、当該グループに属する各個別フィルタ情報と、その各個別フィルタ情報を条件とする運用ルール情報との対応関係を示す情報を予測イベント対応表記憶手段に記憶させる。

ルール判定手段（例えば、ステップＳ７２６の処理を行うイベント分析手段４）は、予測イベントデータ生成手段が予測イベントデータを生成した後に、当該予測イベントデータを生成するために用いたイベントデータに合致する個別フィルタ情報が属するグループと予測イベント一覧で対応付けられた各イベントデータが、そのグループに対応する運用ルール情報の個別フィルタ情報を満足しているか否かを判定し、満足している場合に運用ルール情報が定める処理を実行する。

本実施の形態の上記構成において、次の参考値合致判定手段、ユーザインタフェース手段、および修正手段を備えてもよい。

参考値合致判定手段（例えば、ステップＳ７２５の処理を行う予測イベント分析手段１０）は、イベントデータと予測イベントデータとが合致すると判定された場合に、予測イベントデータに含まれる参考値がイベントデータの属性値に合致するか否かを判定する。

ユーザインタフェース手段（例えば、ステップＳ７２８の処理を行うイベント分析手段４およびユーザ対話手段５）は、イベントデータと予測イベントデータとが合致すると判定され予測イベントデータに含まれる参考値がイベントデータの属性値に合致しないと判定された場合に、運用ルール情報およびイベントデータを表示するとともに参考値と合致しない属性値を表示し、運用ルール情報の条件を変更するか否かの指示が入力される。

修正手段（例えば、予測イベント管理手段９）は、運用ルール情報の条件を変更しない旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性の参考値を個別フィルタ情報から削除し、運用ルール情報の条件を変更する旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性であってその予測イベントデータの生成に用いた個別フィルタ情報が属するグループの個別フィルタ情報の属性の属性値を変数を用いた属性値に書き換え、イベントデータの属性値と合致していなかった予測イベントデータの参考値を参考値でない属性値に書き換える。

本実施の形態の上記構成において、次のジョブ管理手段を備えてもよい。
ジョブ管理手段（例えば、ジョブ管理手段１１）は、予め発生順序が決まっている複数イベントデータに合致する複数の個別フィルタ情報を保持し、その複数の個別フィルタ情報を順番を指定して予測イベントデータ生成手段に通知する。

この場合、予測イベントデータ生成手段が、その複数の個別フィルタ情報の集合を１つのグループとして、当該グループとその複数の個別フィルタ情報とを対応付けた情報を予測イベント対応表記憶手段に記憶させ、ジョブ管理手段が通知した個別フィルタ情報と、当該個別フィルタ情報に合致するイベントデータから予測フィルタ情報を生成した場合に、その個別フィルタ情報の次の個別フィルタ情報の変数にそのイベントデータの属性値を代入した予測イベントデータを生成し、生成した予測イベントデータを、グループと複数の個別フィルタ情報とを対応付けた情報に追加する。

上記構成によれば、計画的に発生が予想されるイベントデータを予測イベントデータとマッピングして迅速に処理することができるため、管理対象システムの動作に伴い多数のイベントデータが発生しても、他の運用ルール情報の条件判定に影響を与えることがない。

本実施の形態の上記構成において、次の優先イベントデータ要求手段を備えてもよい。

優先イベントデータ要求手段（例えば、予測イベント管理手段９）は、予測イベント対応表記憶手段で運用ルール情報に対応付けられた予測イベントデータが存在する場合に、当該予測イベントデータを管理対象システムに通知することによって、管理対象システムが生成したイベントデータのうちその予測イベントデータに合致するイベントデータを優先的に通知することを管理対象システムに要求する。

上記構成によれば、イベントデータ単位の条件となる予測イベントデータを管理対象システムに指定して、処理負荷を増加させず、分析に適した送信制御を管理対象システムに対して行うことができる。

本実施の形態の上記構成において、次の個別フィルタ情報生成手段を備えてもよい。

個別フィルタ情報生成手段（例えば、ステップＳ７１２、Ｓ７１３の処理を行う予測イベント管理手段９）は、属性と参考値でない属性値とを対応付けた情報であるフィルタ情報を記憶するフィルタ情報記憶手段（例えば、判定条件蓄積手段３）と、過去に生成されたイベントデータであって運用ルール情報が指定するフィルタ情報に合致するイベントデータから推測される属性値を参考値としてそのフィルタ情報に付加することで個別フィルタ情報を生成する。

上記構成によれば、個別フィルタ情報を生成するために用いるフィルタ情報の記述が複雑にならない。さらに、運用ルール情報を類似環境に適用する場合にも、同様にして共通的な記述であるフィルタ情報から適用先の環境に応じた個別フィルタ情報が生成される。その結果、管理者が運用ルール情報を扱う場合の作業負担が大幅に減少し、適用範囲を拡大し易くなる。

（第５の実施の形態）
本発明の第５の実施の形態に係る運用管理方法は、管理対象システムの状態を表す属性の名称とその属性値とを対応付けたイベントデータが定められた条件に合致したときに処理を行う運用管理装置に適用される。

運用管理装置は、以下のルール記憶手段、個別フィルタ情報記憶手段、予測イベントデータ記憶手段、予測イベント一覧記憶手段、および予測イベント対応表記憶手段を備える。

ルール記憶手段（例えば、判定条件蓄積手段３）は、実行する処理を定めた運用ルール情報を記憶する。

個別フィルタ情報記憶手段（例えば、予測イベント蓄積手段８）は、運用ルール情報毎に定められた条件となる情報であって、属性と属性値とを対応づけた情報であり、属性値の一部が過去のイベントデータから推測される参考値として記述されることがあり、また、属性値の一部が変数として記述されることがある個別フィルタ情報を記憶する。

予測イベントデータ記憶手段（例えば、予測イベント蓄積手段８）は、個別フィルタ情報で変数として記述された属性値に管理対象システムで生成されたイベントデータの属性値を代入したデータである予測イベントデータを記憶する。

予測イベント一覧記憶手段は、生成されたイベントデータと、当該イベントデータに合致する個別フィルタ情報から生成された予測イベントデータと、運用ルール情報に対応する個別フィルタ情報の集合であるグループであってイベントデータに合致する個別フィルタ情報が属するグループとを対応付けた情報である予測イベント一覧を記憶する。

予測イベント対応表記憶手段は、運用ルール情報と、運用ルール情報が定める条件となる各個別フィルタ情報と、その各個別フィルタ情報が属するグループと、個別フィルタ情報から生成された予測イベントデータとを対応付けた情報である予測イベント対応表を記憶する。

上記構成の運用管理装置に適用される運用管理方法は、以下の動作を行う。

まず、予測イベントデータ合致判定手段（例えば、予測イベント分析手段１０）が、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致している場合にイベントデータと予測イベントデータとが合致すると判定し、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致していない場合にイベントデータと予測イベントデータとが合致しないと判定する。

次に、個別フィルタ情報特定手段（例えば、予測イベント分析手段１０）が、イベントデータと予測イベントデータとが合致しないと判定された場合に、参考値以外の属性値がイベントデータの属性値と合致する個別フィルタ情報を特定する。

次に、予測イベントデータ生成手段（例えば、予測イベント分析手段１０）が、個別フィルタ情報の特定に成功した場合に、当該個別フィルタ情報が属するグループに属する各個別フィルタ情報の変数にイベントデータの属性値を代入して、その各個別フィルタ情報毎に予測イベントデータを生成し、予測イベントデータ記憶手段に予測イベントデータを記憶させ、イベントデータと予測イベントデータとイベントデータに合致する個別フィルタ情報が属するグループとの対応関係を示す情報を予測イベント一覧記憶手段に記憶させ、生成された予測イベントデータとその予測イベントデータの生成に用いられた個別フィルタ情報のグループと、当該グループに属する各個別フィルタ情報と、その各個別フィルタ情報を条件とする運用ルール情報との対応関係を示す情報を予測イベント対応表記憶手段に記憶させる。

次に、予測イベントデータ生成手段が予測イベントデータを生成した後に、ルール判定手段（例えば、イベント分析手段４）が、当該予測イベントデータを生成するために用いたイベントデータに合致する個別フィルタ情報が属するグループと予測イベント一覧で対応付けられた各イベントデータが、そのグループに対応する運用ルール情報の個別フィルタ情報を満足しているか否かを判定し、満足している場合に運用ルール情報が定める処理を実行する。

本実施の形態の上記構成において、次の動作を行ってもよい。

まず、参考値合致判定手段（例えば、予測イベント分析手段１０）が、イベントデータと予測イベントデータとが合致すると判定された場合に、予測イベントデータに含まれる参考値がイベントデータの属性値に合致するか否かを判定する。

次に、ユーザインタフェース手段（例えば、イベント分析手段４およびユーザ対話手段５）が、イベントデータと予測イベントデータとが合致すると判定され予測イベントデータに含まれる参考値がイベントデータの属性値に合致しないと判定された場合に、運用ルール情報およびイベントデータを表示するとともに参考値と合致しない属性値を表示し、運用ルール情報の条件を変更するか否かの指示が入力される。

次に、修正手段（例えば、予測イベント管理手段９）が、運用ルール情報の条件を変更しない旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性の参考値を個別フィルタ情報から削除し、運用ルール情報の条件を変更する旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性であってその予測イベントデータの生成に用いた個別フィルタ情報が属するグループの個別フィルタ情報の属性の属性値を変数を用いた属性値に書き換え、イベントデータの属性値と合致していなかった予測イベントデータの参考値を参考値でない属性値に書き換える。

本実施の形態の上記構成において、次の動作を行ってもよい。

まず、ジョブ管理手段（例えば、ジョブ管理手段１１）が、予め発生順序が決まっている複数イベントデータに合致する複数の個別フィルタ情報を保持し、その複数の個別フィルタ情報を順番を指定して予測イベントデータ生成手段に通知する。

次に、予測イベントデータ生成手段が、その複数の個別フィルタ情報の集合を１つのグループとして、当該グループとその複数の個別フィルタ情報とを対応付けた情報を予測イベント対応表記憶手段に記憶させ、ジョブ管理手段が通知した個別フィルタ情報と、当該個別フィルタ情報に合致するイベントデータから予測フィルタ情報を生成した場合に、その個別フィルタ情報の次の個別フィルタ情報の変数にそのイベントデータの属性値を代入した予測イベントデータを生成し、生成した予測イベントデータを、グループと複数の個別フィルタ情報とを対応付けた情報に追加する。

本実施の形態の上記構成において、次の動作を行ってもよい。

優先イベントデータ要求手段（例えば、予測イベント管理手段９）が、予測イベント対応表記憶手段で運用ルール情報に対応付けられた予測イベントデータが存在する場合に、当該予測イベントデータを管理対象システムに通知することによって、管理対象システムが生成したイベントデータのうちその予測イベントデータに合致するイベントデータを優先的に通知することを管理対象システムに要求する。

（第６の実施の形態）
本発明の第６の実施の形態に係る運用管理プログラムは、管理対象システムの状態を表す属性の名称とその属性値とを対応付けたイベントデータが定められた条件に合致したときに処理を行うコンピュータに搭載される。

コンピュータは、以下のルール記憶手段、個別フィルタ情報記憶手段、予測イベントデータ記憶手段、予測イベント一覧記憶手段、および予測イベント対応表記憶手段を備える。

ルール記憶手段（例えば、判定条件蓄積手段３）は、実行する処理を定めた運用ルール情報を記憶する。

個別フィルタ情報記憶手段（例えば、予測イベント蓄積手段８）は、運用ルール情報毎に定められた条件となる情報であって、属性と属性値とを対応づけた情報であり、属性値の一部が過去のイベントデータから推測される参考値として記述されることがあり、また、属性値の一部が変数として記述されることがある個別フィルタ情報を記憶する。

予測イベントデータ記憶手段（例えば、予測イベント蓄積手段８）は、個別フィルタ情報で変数として記述された属性値に管理対象システムで生成されたイベントデータの属性値を代入したデータである予測イベントデータを記憶する。

予測イベント一覧記憶手段は、生成されたイベントデータと、当該イベントデータに合致する個別フィルタ情報から生成された予測イベントデータと、運用ルール情報に対応する個別フィルタ情報の集合であるグループであってイベントデータに合致する個別フィルタ情報が属するグループとを対応付けた情報である予測イベント一覧を記憶する。

予測イベント対応表記憶手段は、運用ルール情報と、運用ルール情報が定める条件となる各個別フィルタ情報と、その各個別フィルタ情報が属するグループと、個別フィルタ情報から生成された予測イベントデータとを対応付けた情報である予測イベント対応表を記憶する。

上記構成のコンピュータに搭載される運用管理プログラムは、コンピュータに、次の予測イベントデータ合致判定処理、個別フィルタ情報特定処理、予測イベントデータ生成処理、およびルール判定処理を実行させる。

予測イベントデータ合致判定処理は、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致している場合にイベントデータと予測イベントデータとが合致すると判定し、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致していない場合にイベントデータと予測イベントデータとが合致しないと判定する。

個別フィルタ情報特定処理は、イベントデータと予測イベントデータとが合致しないと判定された場合に、参考値以外の属性値がイベントデータの属性値と合致する個別フィルタ情報を特定する。

予測イベントデータ生成処理は、個別フィルタ情報の特定に成功した場合に、当該個別フィルタ情報が属するグループに属する各個別フィルタ情報の変数にイベントデータの属性値を代入して、その各個別フィルタ情報毎に予測イベントデータを生成し、予測イベントデータ記憶手段に予測イベントデータを記憶させ、イベントデータと予測イベントデータとイベントデータに合致する個別フィルタ情報が属するグループとの対応関係を示す情報を予測イベント一覧記憶手段に記憶させ、生成された予測イベントデータとその予測イベントデータの生成に用いられた個別フィルタ情報のグループと、当該グループに属する各個別フィルタ情報と、その各個別フィルタ情報を条件とする運用ルール情報との対応関係を示す情報を予測イベント対応表記憶手段に記憶させる。

ルール判定処理は、予測イベントデータ生成処理で予測イベントデータを生成した後に、当該予測イベントデータを生成するために用いたイベントデータに合致する個別フィルタ情報が属するグループと予測イベント一覧で対応付けられた各イベントデータが、そのグループに対応する運用ルール情報の個別フィルタ情報を満足しているか否かを判定し、満足している場合に運用ルール情報が定める処理を実行する。

本実施の形態の上記構成において、コンピュータに、次の参考値合致判定処理、表示処理、および修正処理を実行させてもよい。

参考値合致判定処理は、イベントデータと予測イベントデータとが合致すると判定された場合に、予測イベントデータに含まれる参考値がイベントデータの属性値に合致するか否かを判定する。

表示処理は、イベントデータと予測イベントデータとが合致すると判定され予測イベントデータに含まれる参考値がイベントデータの属性値に合致しないと判定された場合に、運用ルール情報およびイベントデータを表示するとともに参考値と合致しない属性値を表示する。

修正処理は、運用ルール情報の条件を変更しない旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性の参考値を個別フィルタ情報から削除し、運用ルール情報の条件を変更する旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性であってその予測イベントデータの生成に用いた個別フィルタ情報が属するグループの個別フィルタ情報の属性の属性値を変数を用いた属性値に書き換え、イベントデータの属性値と合致していなかった予測イベントデータの参考値を参考値でない属性値に書き換える。

本実施の形態の上記構成において、コンピュータに、次の処理を実行させてもよい。

この処理は、予め発生順序が決まっている複数イベントデータに合致する複数の個別フィルタ情報であって順番が定められている個別フィルタ情報の集合を１つのグループとして、当該グループとその複数の個別フィルタ情報とを対応付けた情報を予測イベント対応表記憶手段に記憶させる処理を実行させ、予測イベントデータ生成処理で、順番が定められている個別フィルタ情報と、当該個別フィルタ情報に合致するイベントデータから予測フィルタ情報を生成した場合に、その個別フィルタ情報の次の個別フィルタ情報の変数にそのイベントデータの属性値を代入した予測イベントデータを生成し、生成した予測イベントデータを、グループと複数の個別フィルタ情報とを対応付けた情報に追加する。

本実施の形態の上記構成において、コンピュータに、次の優先イベントデータ要求処理を実行させてもよい。

優先イベントデータ要求処理は、コンピュータに、予測イベント対応表記憶手段で運用ルール情報に対応付けられた予測イベントデータが存在する場合に、当該予測イベントデータを管理対象システムに通知することによって、管理対象システムが生成したイベントデータのうちその予測イベントデータに合致するイベントデータを優先的に通知することを管理対象システムに要求する。

この出願は、２００７年３月１４日に出願された日本出願特願２００７−０６４６７８号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

本発明は、管理対象となるシステムの状態を表すイベントデータが条件に合致する場合に対処を実施する運用管理装置に好適に適用される。

Claims (16)

1. 管理対象システムの状態を表す属性の名称とその属性値とを対応付けたイベントデータが、定められた条件に合致したときに処理を行う運用管理装置であって、
   実行する処理を定めた運用ルール情報を記憶するルール記憶手段と、
   運用ルール情報毎に定められた条件となる情報であって、属性と属性値とを対応づけた情報であり、属性値の一部が過去のイベントデータから推測される参考値として記述されることがあり、また、属性値の一部が変数として記述されることがある個別フィルタ情報を記憶する個別フィルタ情報記憶手段と、
   個別フィルタ情報で変数として記述された属性値に管理対象システムで生成されたイベントデータの属性値を代入したデータである予測イベントデータを記憶する予測イベントデータ記憶手段と、
   生成されたイベントデータと、当該イベントデータに合致する個別フィルタ情報から生成された予測イベントデータと、運用ルール情報に対応する個別フィルタ情報の集合であるグループであってイベントデータに合致する個別フィルタ情報が属するグループとを対応付けた情報である予測イベント一覧を記憶する予測イベント一覧記憶手段と、
   運用ルール情報と、運用ルール情報が定める条件となる各個別フィルタ情報と、前記各個別フィルタ情報が属するグループと、個別フィルタ情報から生成された予測イベントデータとを対応付けた情報である予測イベント対応表を記憶する予測イベント対応表記憶手段と、
   新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致している場合にイベントデータと予測イベントデータとが合致すると判定し、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致していない場合にイベントデータと予測イベントデータとが合致しないと判定する予測イベントデータ合致判定手段と、
   イベントデータと予測イベントデータとが合致しないと判定された場合に、参考値以外の属性値がイベントデータの属性値と合致する個別フィルタ情報を特定する個別フィルタ情報特定手段と、
   個別フィルタ情報の特定に成功した場合に、当該個別フィルタ情報が属するグループに属する各個別フィルタ情報の変数にイベントデータの属性値を代入して、前記各個別フィルタ情報毎に予測イベントデータを生成し、予測イベントデータ記憶手段に予測イベントデータを記憶させ、イベントデータと予測イベントデータとイベントデータに合致する個別フィルタ情報が属するグループとの対応関係を示す情報を予測イベント一覧記憶手段に記憶させ、生成された予測イベントデータとその予測イベントデータの生成に用いられた個別フィルタ情報のグループと、当該グループに属する各個別フィルタ情報と、前記各個別フィルタ情報を条件とする運用ルール情報との対応関係を示す情報を予測イベント対応表記憶手段に記憶させる予測イベントデータ生成手段と、
   予測イベントデータ生成手段が予測イベントデータを生成した後に、当該予測イベントデータを生成するために用いたイベントデータに合致する個別フィルタ情報が属するグループと予測イベント一覧で対応付けられた各イベントデータが、前記グループに対応する運用ルール情報の個別フィルタ情報を満足しているか否かを判定し、満足している場合に運用ルール情報が定める処理を実行するルール判定手段とを備えた
   ことを特徴とする運用管理装置。
2. イベントデータと予測イベントデータとが合致すると判定された場合に、予測イベントデータに含まれる参考値がイベントデータの属性値に合致するか否かを判定する参考値合致判定手段と、
   イベントデータと予測イベントデータとが合致すると判定され予測イベントデータに含まれる参考値がイベントデータの属性値に合致しないと判定された場合に、運用ルール情報およびイベントデータを表示するとともに参考値と合致しない属性値を表示し、運用ルール情報の条件を変更するか否かの指示が入力されるユーザインタフェース手段と、
   運用ルール情報の条件を変更しない旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性の参考値を個別フィルタ情報から削除し、運用ルール情報の条件を変更する旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性であって前記予測イベントデータの生成に用いた個別フィルタ情報が属するグループの個別フィルタ情報の属性の属性値を変数を用いた属性値に書き換え、イベントデータの属性値と合致していなかった予測イベントデータの参考値を参考値でない属性値に書き換える修正手段とを備えた
   請求項１に記載の運用管理装置。
3. 予め発生順序が決まっている複数イベントデータに合致する複数の個別フィルタ情報を保持し、前記複数の個別フィルタ情報を順番を指定して予測イベントデータ生成手段に通知するジョブ管理手段を備え、
   予測イベントデータ生成手段は、前記複数の個別フィルタ情報の集合を１つのグループとして、当該グループと前記複数の個別フィルタ情報とを対応付けた情報を予測イベント対応表記憶手段に記憶させ、ジョブ管理手段が通知した個別フィルタ情報と、当該個別フィルタ情報に合致するイベントデータから予測フィルタ情報を生成した場合に、前記個別フィルタ情報の次の個別フィルタ情報の変数に前記イベントデータの属性値を代入した予測イベントデータを生成し、生成した予測イベントデータを、グループと複数の個別フィルタ情報とを対応付けた前記情報に追加する
   請求項１または請求項２に記載の運用管理装置。
4. 予測イベント対応表記憶手段で運用ルール情報に対応付けられた予測イベントデータが存在する場合に、当該予測イベントデータを管理対象システムに通知することによって、管理対象システムが生成したイベントデータのうち前記予測イベントデータに合致するイベントデータを優先的に通知することを管理対象システムに要求する優先イベントデータ要求手段を備えた
   請求項１から請求項３のうちのいずれか１項に記載の運用管理装置。
5. 属性と参考値でない属性値とを対応付けた情報であるフィルタ情報を記憶するフィルタ情報記憶手段と、
   過去に生成されたイベントデータであって運用ルール情報が指定するフィルタ情報に合致するイベントデータから推測される属性値を参考値として前記フィルタ情報に付加することで個別フィルタ情報を生成する個別フィルタ情報生成手段とを備えた
   請求項１から請求項４のうちのいずれか１項に記載の運用管理装置。
6. 管理対象システムの状態を表す属性の名称とその属性値とを対応付けたイベントデータが定められた条件に合致したときに処理を行う運用管理装置であって、
   実行する処理を定めた運用ルール情報を記憶するルール記憶手段と、
   運用ルール情報毎に定められた条件となる情報であって、属性と属性値とを対応づけた情報であり、属性値の一部が過去のイベントデータから推測される参考値として記述されることがあり、また、属性値の一部が変数として記述されることがある個別フィルタ情報を記憶する個別フィルタ情報記憶手段と、
   個別フィルタ情報で変数として記述された属性値に管理対象システムで生成されたイベントデータの属性値を代入したデータである予測イベントデータを記憶する予測イベントデータ記憶手段と、
   生成されたイベントデータと、当該イベントデータに合致する個別フィルタ情報から生成された予測イベントデータと、運用ルール情報に対応する個別フィルタ情報の集合であるグループであってイベントデータに合致する個別フィルタ情報が属するグループとを対応付けた情報である予測イベント一覧を記憶する予測イベント一覧記憶手段と、
   運用ルール情報と、運用ルール情報が定める条件となる各個別フィルタ情報と、前記各個別フィルタ情報が属するグループと、個別フィルタ情報から生成された予測イベントデータとを対応付けた情報である予測イベント対応表を記憶する予測イベント対応表記憶手段とを備えた運用管理装置に適用される運用管理方法であって、
   予測イベントデータ合致判定手段が、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致している場合にイベントデータと予測イベントデータとが合致すると判定し、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致していない場合にイベントデータと予測イベントデータとが合致しないと判定し、
   個別フィルタ情報特定手段が、イベントデータと予測イベントデータとが合致しないと判定された場合に、参考値以外の属性値がイベントデータの属性値と合致する個別フィルタ情報を特定し、
   予測イベントデータ生成手段が、個別フィルタ情報の特定に成功した場合に、当該個別フィルタ情報が属するグループに属する各個別フィルタ情報の変数にイベントデータの属性値を代入して、前記各個別フィルタ情報毎に予測イベントデータを生成し、予測イベントデータ記憶手段に予測イベントデータを記憶させ、イベントデータと予測イベントデータとイベントデータに合致する個別フィルタ情報が属するグループとの対応関係を示す情報を予測イベント一覧記憶手段に記憶させ、生成された予測イベントデータとその予測イベントデータの生成に用いられた個別フィルタ情報のグループと、当該グループに属する各個別フィルタ情報と、前記各個別フィルタ情報を条件とする運用ルール情報との対応関係を示す情報を予測イベント対応表記憶手段に記憶させ、
   予測イベントデータ生成手段が予測イベントデータを生成した後に、ルール判定手段が、当該予測イベントデータを生成するために用いたイベントデータに合致する個別フィルタ情報が属するグループと予測イベント一覧で対応付けられた各イベントデータが、前記グループに対応する運用ルール情報の個別フィルタ情報を満足しているか否かを判定し、満足している場合に運用ルール情報が定める処理を実行する
   ことを特徴とする運用管理方法。
7. 参考値合致判定手段が、イベントデータと予測イベントデータとが合致すると判定された場合に、予測イベントデータに含まれる参考値がイベントデータの属性値に合致するか否かを判定し、
   ユーザインタフェース手段が、イベントデータと予測イベントデータとが合致すると判定され予測イベントデータに含まれる参考値がイベントデータの属性値に合致しないと判定された場合に、運用ルール情報およびイベントデータを表示するとともに参考値と合致しない属性値を表示し、運用ルール情報の条件を変更するか否かの指示が入力され、
   修正手段が、運用ルール情報の条件を変更しない旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性の参考値を個別フィルタ情報から削除し、運用ルール情報の条件を変更する旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性であって前記予測イベントデータの生成に用いた個別フィルタ情報が属するグループの個別フィルタ情報の属性の属性値を変数を用いた属性値に書き換え、イベントデータの属性値と合致していなかった予測イベントデータの参考値を参考値でない属性値に書き換える
   請求項６に記載の運用管理方法。
8. ジョブ管理手段が、予め発生順序が決まっている複数イベントデータに合致する複数の個別フィルタ情報を保持し、前記複数の個別フィルタ情報を順番を指定して予測イベントデータ生成手段に通知し、
   予測イベントデータ生成手段が、前記複数の個別フィルタ情報の集合を１つのグループとして、当該グループと前記複数の個別フィルタ情報とを対応付けた情報を予測イベント対応表記憶手段に記憶させ、ジョブ管理手段が通知した個別フィルタ情報と、当該個別フィルタ情報に合致するイベントデータから予測フィルタ情報を生成した場合に、前記個別フィルタ情報の次の個別フィルタ情報の変数に前記イベントデータの属性値を代入した予測イベントデータを生成し、生成した予測イベントデータを、グループと複数の個別フィルタ情報とを対応付けた前記情報に追加する
   請求項６または請求項７に記載の運用管理方法。
9. 優先イベントデータ要求手段が、予測イベント対応表記憶手段で運用ルール情報に対応付けられた予測イベントデータが存在する場合に、当該予測イベントデータを管理対象システムに通知することによって、管理対象システムが生成したイベントデータのうち前記予測イベントデータに合致するイベントデータを優先的に通知することを管理対象システムに要求する
   請求項６から請求項８のうちのいずれか１項に記載の運用管理方法。
10. 管理対象システムの状態を表す属性の名称とその属性値とを対応付けたイベントデータが定められた条件に合致したときに処理を行うコンピュータであって、
    実行する処理を定めた運用ルール情報を記憶するルール記憶手段と、
    運用ルール情報毎に定められた条件となる情報であって、属性と属性値とを対応づけた情報であり、属性値の一部が過去のイベントデータから推測される参考値として記述されることがあり、また、属性値の一部が変数として記述されることがある個別フィルタ情報を記憶する個別フィルタ情報記憶手段と、
    個別フィルタ情報で変数として記述された属性値に管理対象システムで生成されたイベントデータの属性値を代入したデータである予測イベントデータを記憶する予測イベントデータ記憶手段と、
    生成されたイベントデータと、当該イベントデータに合致する個別フィルタ情報から生成された予測イベントデータと、運用ルール情報に対応する個別フィルタ情報の集合であるグループであってイベントデータに合致する個別フィルタ情報が属するグループとを対応付けた情報である予測イベント一覧を記憶する予測イベント一覧記憶手段と、
    運用ルール情報と、運用ルール情報が定める条件となる各個別フィルタ情報と、前記各個別フィルタ情報が属するグループと、個別フィルタ情報から生成された予測イベントデータとを対応付けた情報である予測イベント対応表を記憶する予測イベント対応表記憶手段とを備えたコンピュータに搭載される運用管理プログラムであって、
    コンピュータに、
    新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致している場合にイベントデータと予測イベントデータとが合致すると判定し、新たに生成されたイベントデータの属性値が、既に存在する予測イベントデータの参考値以外の属性値と合致していない場合にイベントデータと予測イベントデータとが合致しないと判定する予測イベントデータ合致判定処理、
    イベントデータと予測イベントデータとが合致しないと判定された場合に、参考値以外の属性値がイベントデータの属性値と合致する個別フィルタ情報を特定する個別フィルタ情報特定処理、
    個別フィルタ情報の特定に成功した場合に、当該個別フィルタ情報が属するグループに属する各個別フィルタ情報の変数にイベントデータの属性値を代入して、前記各個別フィルタ情報毎に予測イベントデータを生成し、予測イベントデータ記憶手段に予測イベントデータを記憶させ、イベントデータと予測イベントデータとイベントデータに合致する個別フィルタ情報が属するグループとの対応関係を示す情報を予測イベント一覧記憶手段に記憶させ、生成された予測イベントデータとその予測イベントデータの生成に用いられた個別フィルタ情報のグループと、当該グループに属する各個別フィルタ情報と、前記各個別フィルタ情報を条件とする運用ルール情報との対応関係を示す情報を予測イベント対応表記憶手段に記憶させる予測イベントデータ生成処理、および
    予測イベントデータ生成処理で予測イベントデータを生成した後に、当該予測イベントデータを生成するために用いたイベントデータに合致する個別フィルタ情報が属するグループと予測イベント一覧で対応付けられた各イベントデータが、前記グループに対応する運用ルール情報の個別フィルタ情報を満足しているか否かを判定し、満足している場合に運用ルール情報が定める処理を実行するルール判定処理
    を実行させるための運用管理プログラム。
11. コンピュータに、
    イベントデータと予測イベントデータとが合致すると判定された場合に、予測イベントデータに含まれる参考値がイベントデータの属性値に合致するか否かを判定する参考値合致判定処理、
    イベントデータと予測イベントデータとが合致すると判定され予測イベントデータに含まれる参考値がイベントデータの属性値に合致しないと判定された場合に、運用ルール情報およびイベントデータを表示するとともに参考値と合致しない属性値を表示する表示処理、
    運用ルール情報の条件を変更しない旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性の参考値を個別フィルタ情報から削除し、運用ルール情報の条件を変更する旨の指示が入力された場合に、イベントデータの属性値と予測イベントデータの参考値とが一致していなかった属性であって前記予測イベントデータの生成に用いた個別フィルタ情報が属するグループの個別フィルタ情報の属性の属性値を変数を用いた属性値に書き換え、イベントデータの属性値と合致していなかった予測イベントデータの参考値を参考値でない属性値に書き換える修正処理
    を実行させる請求項１０に記載の運用管理プログラム。
12. コンピュータに、
    予め発生順序が決まっている複数イベントデータに合致する複数の個別フィルタ情報であって順番が定められている個別フィルタ情報の集合を１つのグループとして、当該グループと前記複数の個別フィルタ情報とを対応付けた情報を予測イベント対応表記憶手段に記憶させる処理を実行させ、
    予測イベントデータ生成処理で、前記順番が定められている個別フィルタ情報と、当該個別フィルタ情報に合致するイベントデータから予測フィルタ情報を生成した場合に、前記個別フィルタ情報の次の個別フィルタ情報の変数に前記イベントデータの属性値を代入した予測イベントデータを生成し、生成した予測イベントデータを、グループと複数の個別フィルタ情報とを対応付けた前記情報に追加する処理を実行させる
    請求項１０または請求項１１に記載の運用管理プログラム。
13. コンピュータに、
    予測イベント対応表記憶手段で運用ルール情報に対応付けられた予測イベントデータが存在する場合に、当該予測イベントデータを管理対象システムに通知することによって、管理対象システムが生成したイベントデータのうち前記予測イベントデータに合致するイベントデータを優先的に通知することを管理対象システムに要求する優先イベントデータ要求処理を実行させる
    請求項１０から請求項１２のうちのいずれか１項に記載の運用管理プログラム。
14. 管理対象システムの状態を表す属性とその属性値とを対応付けたイベントデータに応じて処理を行う運用管理装置であって、
    生成された前記イベントデータの属性値が、予め設定された予測イベントデータの参考値以外の属性値と合致している場合に、予め設定された個別フィルタ情報のグループに対応付けられた複数の個別フィルタ情報から、前記イベントデータの属性値と合致する属性値を持つ個別フィルタ情報を特定する手段と、
    特定された前記個別フィルタ情報の属するグループに対応付けられた複数の個別フィルタ情報の変数に前記イベントデータの属性値を加えて、前記複数の個別フィルタ情報毎に予測イベントデータを生成する手段と、
    前記予測イベントデータ生成に用いた前記イベントデータに合致する前記個別フィルタ情報のグループと予め対応付けられた複数のイベントデータが、前記個別フィルタ情報のグループと予め対応付けられた運用ルール情報の条件を満足しているか否かを判定し、満足している場合に前記運用ルール情報に従い処理を実行する手段と、
    を備えたことを特徴とする運用管理装置。
15. 管理対象システムの状態を表す属性とその属性値とを対応付けたイベントデータに応じて処理を行う運用管理装置の動作方法であって、
    生成された前記イベントデータの属性値が、予め設定された予測イベントデータの参考値以外の属性値と合致している場合に、予め設定された個別フィルタ情報のグループに対応付けられた複数の個別フィルタ情報から、前記イベントデータの属性値と合致する属性値を持つ個別フィルタ情報を特定し、
    特定された前記個別フィルタ情報の属するグループに対応付けられた複数の個別フィルタ情報の変数に前記イベントデータの属性値を加えて、前記複数の個別フィルタ情報毎に予測イベントデータを生成し、
    前記予測イベントデータ生成に用いた前記イベントデータに合致する前記個別フィルタ情報のグループと予め対応付けられた複数のイベントデータが、前記個別フィルタ情報のグループと予め対応付けられた運用ルール情報の条件を満足しているか否かを判定し、満足している場合に前記運用ルール情報に従い処理を実行することを特徴とする運用管理方法。
16. 管理対象システムの状態を表す属性とその属性値とを対応付けたイベントデータに応じて処理を行う運用管理装置の動作プログラムであって、
    コンピュータに、
    生成された前記イベントデータの属性値が、予め設定された予測イベントデータの参考値以外の属性値と合致している場合に、予め設定された個別フィルタ情報のグループに対応付けられた複数の個別フィルタ情報から、前記イベントデータの属性値と合致する属性値を持つ個別フィルタ情報を特定する処理と、
    特定された前記個別フィルタ情報の属するグループに対応付けられた複数の個別フィルタ情報の変数に前記イベントデータの属性値を加えて、前記複数の個別フィルタ情報毎に予測イベントデータを生成する処理と、
    前記予測イベントデータ生成に用いた前記イベントデータに合致する前記個別フィルタ情報のグループと予め対応付けられた複数のイベントデータが、前記個別フィルタ情報のグループと予め対応付けられた運用ルール情報の条件を満足しているか否かを判定し、満足している場合に前記運用ルール情報に従い処理を実行する処理と、
    を実行させるための運用管理プログラム。

Images