JP5380386B2 - 機器情報管理システム及び方法 - Google Patents

Description

本発明は、機器情報管理システム・機器監視システム（電子機器の性能・障害などを監視し情報を管理するシステム）などの技術に関し、特に、対象の複数の電子機器における複数の様々な形式のデータ（機器情報）を比較し、類似の傾向を示すデータなどを抽出し、機器の異常やその原因などを検出する技術に関する。

現在、ＩＴシステム機器など（ネットワークでつながるサーバ等）の各種の電子機器（以下「機器」ともいう）を対象としてその性能や障害などを監視する技術には、様々なものがある。

例えば、特開２０００−２９３４１１号公報（特許文献１）では、各種障害に関する情報を蓄積したデータベースの中から必要な情報を自動的に収集し、収集したデータを分析し、その分析結果とあらかじめ用意されている評価基準とを比較して評価を行い、その分析・評価の結果を出力することにより、障害の分析やグラフ化などの作業を人手により行わなくても、一連の開発工程の中の任意の段階で分析・評価の処理を自動的に実行することにより、異常の有無を判定し、適切な対策を早期に行えるようにする技術について記載されている。

特開２００２−２０２８１３号公報（特許文献２）では、製造ライン上で処理中のユニットの障害データをリアルタイムに収集し、収集した障害データを、位置、障害種別、及びユニット別に集計し、集計した位置、障害内容、及びユニット毎のいずれか１つ以上のリストを表示すると共にグラフィカルに表示する技術について記載されている。

特開２００７−２４１４２６号公報（特許文献３）では、対象となるアプリケーションに追跡ログを出力するための処理を実装し、エラー発生時にアプリケーションが出力した追跡ログをログ分析手段で読み込み、そのエラーが発生するに至った処理経路を示すログと、同様の処理経路を示しているエラー発生時点以前のログとを比較し、呼び出し関係が異なる処理部分を抽出して出力する技術について記載されている。

特開２０００−２９３４１１号公報 特開２００２−２０２８１３号公報 特開２００７−２４１４２６号公報

従来、各種の機器の性能や障害などを監視する技術は、大きくは、（ａ）閾値監視（閾値比較判定）による手法（コンピュータで処理する一手法）、（ｂ）機器を管理する人（以下「機器管理者」等）のスキルや経験に頼る手法、がある。

（ａ）の手法は、機器単体の異常を検出することに適するが、別機器の影響により当該機器に異常が発生するケースでは、この手法では異常の原因（影響関係）を発見（特定）することができない。（ａ）の手法で異常の原因を発見できない場合、（ｂ）の手法を用いる。

（ｂ）の手法で、機器管理者は、異常が検出された機器に原因が見つからない場合、その発生が想像できるケースを経験から導き出し、原因として考えられる全ての機器の状況を調査していく。（ｂ）の手法では、原因確定までに要する時間（比較的時間がかかる）の問題、および、経験による個人差のため画一的なサービス提供が難しいという問題、等がある。また、機器を含むシステムが巨大化するほど、この傾向は顕著となり、原因となる機器が影響を及ぼす範囲（影響範囲）などの特定が困難となる。例えばネットワークでつながる複数のサーバ等の機器がある場合、原因や影響範囲の機器やその機能の特定が困難となる。

従来の手法におけるこれらの欠点を補うために、現在の多くの機器情報管理システム・機器監視システムでは、システム・機器の稼働状況の見える化（可視化）などの機能を備えるようになってきている。しかし、このような機能を用いて、どの機器を見るべきか、さらに機器が持つどの情報を見るべきか等については、依然として見る者（機器管理者など）の経験などに頼らざるを得ない。

以上を鑑み、本発明の主な目的は、機器情報管理システム等に係わり、複数の機器の性能・障害などの監視を一様に行うことができ、また、原因や影響範囲の機器や機能の特定などを容易に行うことができる技術を提供することである。

前記目的を実現するために、本発明は、各々様々な機能を持つ複数の各々の機器（電子機器）のデータ（機器情報）をネットワーク等を通じて収集して管理し、各機器の性能や障害などに係わる状態（稼働状態）を監視する処理などを行うコンピュータシステム（機器情報管理システム・機器監視システム）などの技術であって、複数の機器・機能に関するデータ（機器情報）を抽象化する変換、及び当該抽象化されたデータの比較・判定や推定などの処理を行うことにより、機器・機能における正常／異常などの状態の判定や、異常の原因となる機器・機能や、異常による影響範囲に含まれる機器・機能などの特定などを行い、それらの情報を管理者などに対して出力する手段を有することを特徴とする。

本コンピュータシステムは、例えば、各々様々な機能を持つ複数の電子機器のデータを、ネットワークを通じて収集して管理し、各電子機器の稼働状態を監視する、機器情報管理システムである。各電子機器のデータは、当該電子機器及び機能の違いに応じて、各々異なる形式を持つ場合がある。本機器情報管理システムは、各電子機器から当該電子機器及び当該電子機器が持つ機能に関する第１のデータ（稼働状態に係わる機器情報、各々形式が異なり得る）をネットワークを通じて収集しデータベースに格納する収集処理部と、複数の各電子機器の第１のデータを、それぞれ異なる形式であっても、比較可能な共通の形式の第２のデータに抽象化する変換の処理を行う抽象化処理部と、複数の各電子機器の第１のデータまたは第２のデータを用いて、当該データ同士の比較により、前記複数の各電子機器の稼働状態を判定して異常の電子機器または機能を検出する処理を行う判定処理部と、上記異常が検出された場合の第１の電子機器または機能について、前記複数の各電子機器の第１のデータまたは第２のデータを用いて、当該データ同士の比較により、当該異常の原因となる第２の電子機器または機能、または当該異常の影響範囲に含まれる第３の電子機器または機能、の少なくとも一方を特定する処理を行う特定処理部と、を有し、上記判定及び特定の結果を含む情報を出力する。

本発明の代表的なものによれば、機器情報管理システム等に係わり、複数の機器の性能・障害などの監視を一様に行うことができ、また、原因や影響範囲の機器や機能の特定などを容易に行うことができる。

本発明の一実施の形態のコンピュータシステム（機器情報管理システムを含む）の構成例を示す図である。 本実施の形態における、（ａ）収集タイミング、（ｂ）判定タイミング、（ｃ）機器情報、を記述・登録するデータの構造及び例を示す図である。 本実施の形態における、（ａ）抽象化ルール、（ｂ）抽象化済みデータ、を記述・登録するデータの構造及び例を示す図である。 本実施の形態における、機器情報収集処理手順を示す図である。 本実施の形態における、判定処理手順などを示す図である。 本実施の形態における、第１のデータ比較の処理手順を示す図である。 本実施の形態における、第２のデータ比較の処理手順を示す図である。 (ａ),(ｂ)は、本実施の形態における、データの単純化の方法の例を示す図である。 （ａ）〜（ｃ）は、本実施の形態における、異常状態の開始点の決定の方法の例を示す図である。 本実施の形態における、異常状態の開始点の比較の例を示す図である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一符号を付し、その繰り返しの説明は省略する。

本実施の形態のコンピュータシステムは、特徴として、各々異なるデータ（機器情報）の形式であり得る複数の各機器１１０・各機能５０を対象として（図１等）、データ（機器情報：第１のデータ）の抽象化及び当該抽象化されたデータ（第２のデータ）の比較などの処理（図３、図８〜図１０等）を行うことにより、機器１１０・機能５０の異常状態の判定や、異常の原因の機器１１０・機能５０の特定や、異常による影響範囲に含まれる機器１１０・機能５０の特定などの処理（図５〜図７等）を行う機能を備える。

［システム］
図１に、本発明の一実施の形態のコンピュータシステム（機器情報管理システム１２０を含む）全体の構成例を示している。本システム全体として、ネットワーク１０１で接続される、複数の機器１１０｛１１０Ａ，１１０Ｂ，１１０Ｃ等｝、及び複数の機器１１０の情報を管理し機器の状態の監視などを行う機器情報管理システム１２０を有する。

複数の各々の機器１１０は、管理・監視の対象であり、中央演算処理装置などの計算処理能力を有し、この能力を利用して実現される様々な機能５０（機能ａ等）を持つ。例えば機器１１０Ａは、機能ａ，ｂ，ｃ等を持つ。機器１１０は例えばサーバ装置、その機能５０は例えばサービス処理機能などである。

各機器１１０は、管理部１１１、情報保存部１１２、及び１つ以上の情報収集部１１５等を有する。各部は所定のハードウェア・ソフトウェア（プログラム処理など）により実現される。なお、機器１１０Ａ，１１０Ｂ，１１０Ｃに関して同様の各部（１１１，１１２，１１５等）を有する構成であるが、これら各機器１１０は、異なる様々な機能５０を有していてよい。

管理部１１１は、機器情報管理システム１２０や他の機器１１０などの要求者から受信した要求に応じて、必要な情報（機器情報など）を情報保存部１１２から抽出し、要求者に送信する。

情報収集部１１５は、対応付けられた機能５０についての情報を収集し、情報保存部１１２に保存する。一つの情報収集部１１５は、一つの機能５０、または幾つかの機能５０に対して対応付けられる。図１の例では、機能ａに対しては情報収集部１１５ａ、機能ｂと機能ｃに対しては情報収集部１１５ｂｃがそれぞれ対応付けられている。

情報保存部１１２は、上記収集される情報（機器情報）を保存する。機器情報は、機能５０の情報を含むものとする。情報保存部１１２は、ファイル形式、データベース形式など、様々な態様（形式）で情報（機器情報など）を保存する。機器１１０及び機能５０に応じて、その情報（機器情報）は異なる形式を有してよい。図１の例では、機器１１０Ａの機器情報（データＡ）、機器１１０Ｂの機器情報（データＢ）、機器１１０Ｃの機器情報（データＣ）は、それぞれ異なる形式であってよい。

機器情報管理システム１２０は、各機器１１０の情報（情報収集部１１５により収集され情報保存部１１２に保存された機器情報）を、ネットワーク１０１を介して収集（取得）して管理し、各機器１１０に関する性能・障害の監視などを行うシステムであり、機器情報管理処理部１２１、及び機器情報管理ＤＢ（データベース）１２２等を有する構成である。

機器情報管理処理部１２１は、収集処理部１３０、判定処理部１４０、抽象化処理部１５０、及び原因特定処理部１６０、の４つの処理部（サブシステム）を有する。各処理部（サブシステム）は、所定のハードウェア・ソフトウェア（プログラム処理など）により実現される。

収集処理部１３０は、機器情報管理システム１２０が管理する対象の機器１１０の情報（機器情報）を、ネットワーク１０１等を介して収集（取得）し、データベース１２２に登録（格納）する処理を行う。

判定処理部１４０は、収集処理部１３０により収集された機器１１０の情報について、機器１１０の状態（性能や障害に係わる状態）に関する正常／異常などを判定する処理を行う。この判定により、機器１１０（ないし機能５０）の状態に関する異常を発見する。

抽象化処理部１５０は、判定処理部１４０により異常を発見した場合に、データベース１２２（機器情報）から、機器１１０、機能５０、時間帯、等の必要な情報データを抽出し、抽出した情報データを抽象化する変換の処理を行う。この抽象化（変換）の処理は、複数の機器１１０でデータの形式などが異なっていても比較が可能なようにする処理である。

原因特定処理部１６０は、抽象化処理部１５０により抽象化した情報データを比較することにより、機器１１０（ないし機能５０）の異常に関する原因（原因となる機器１１０や機能５０）や、機器１１０（ないし機能５０）の異常による影響範囲（影響を受けた機器１１０や機能５０）などを特定ないし推定する処理を行う。

本コンピュータシステムでは、上記の判定や特定の結果を含む各情報を出力する。例えば管理者のコンピュータ端末に対する情報の通知や表示などを行う。

［データベース・管理情報］
本コンピュータシステムにおいて機器情報管理ＤＢ１２２に格納・管理される情報データとして、（ａ）収集タイミング、（ｂ）判定タイミング、（ｃ）機器情報、（ｄ）抽象化ルール、（ｅ）抽象化済みデータ、等を有する。それぞれ詳しくは後述する。

図２（ａ）は、収集タイミングの情報の例を示す。本情報では、機器ＩＤで識別される機器１１０ごと、及び機能ＩＤで識別される機能５０ごとに、情報を収集するタイミング（例えば毎日、毎時など）の情報を格納する。本情報の設定は、管理者などにより本システムに対して可能である。例えば、機器１１０Ａの機能ａについての機器情報の収集タイミングが“毎日”に設定されている。

図２（ｂ）は、判定タイミングの情報の例を示す。本情報では、機器ＩＤ及び機能ＩＤごとに、判定を実行するタイミング（例えば毎日、毎時など）、及び判定の際の閾値を登録する。本情報の設定は、管理者などにより本システムに対して可能である。例えば、機器１１０Ａの機能ａについての機器情報の判定タイミングが“毎日”、当該判定の閾値が“7200”に設定されている。

図２（ｃ）は、機器情報（各機器１１０から収集される情報）の例を示す。本情報では、収集などの「時刻」の情報と、機器ＩＤ及び機能ＩＤと、当該機器１１０の状態に係わるログデータ等の「情報」と、状態に係わる「フラグ」と、を有する。「情報」の項目は、例えば通信アクセスのコマンドやアドレスやステータス等を格納する。「フラグ」の項目は、当該機器１１０・機能５０の正常／異常などの状態、及び当該状態の判定処理（１４０による）の判定済み／未判定などを示す値が格納される。フラグの値は例えば“正常”、“異常”、“未判定”などを含む。“未判定”の場合は、後述の未判定データに該当し、そうでない場合は、判定済みデータに該当する。図２（ｃ）の例では、ある時刻における機器１１０Ａの機能ａについての機器情報（ログデータ等）が格納されており、フラグは“未判定”である。

図３（ａ）は、抽象化ルール（変換ルール）の情報の例を示す。本情報では、抽象化処理（１５０による）で用いる抽象化ルール（変換ルール）を登録する。ルールＩＤごとに、データ種類ＩＤ、ルール（定義）、時間単位、備考、等を格納する。データ種類ＩＤは、データ種類（形式）のＩＤである。前述の各機器情報（データＡ〜Ｃ等）の形式が異なる場合にも当該ＩＤにより識別される。ルール（定義）は、例えば、行数の数え上げ、単語の出現頻度、などがある。ここでいう行数や単語は、図２（ｃ）の機器情報の「情報」（ログデータ等）の項目を対象とする。時間単位は、ルールに関する時間単位を示す。備考は、ルールに関する説明を示す。

図３（ａ）の例では、第１のルール（ルールＩＤ：“AR001”）として、データ種類ＩＤが“D001”のデータ（機器情報）に関して、１分間単位での行数の数え上げ（カウント）を適用することを示す。即ち、第１のルールによる抽象化（変換）処理では、１分間において記録されるログの発生数（行数に対応）をカウントして当該数値を時系列（数値列）で出力することを示す。また、第２のルール（ルールＩＤ：“AR002”）として、データ種類ＩＤが“D002”のデータ（機器情報）に関して、１時間単位での単語の出現頻度を適用することを示す。１時間に記録されるログに含まれる単語別の出現頻度を求めて、当該数値を時系列（１時間ごとの数値列）で出力することを示す。

図３（ｂ）は、抽象化済みデータ（抽象化データ）の例を示す。本情報では、図３（ａ）の抽象化ルールの情報に基づいて抽象化（変換）されたデータを格納する。なお、本情報では、後述するが、「抽象化済み正常データ」、及び「抽象化済み未判定データ」を含む。本情報では、時間単位（開始時刻、終了時刻）ごと、機器ＩＤ及び機能ＩＤごとに、抽象化データを格納する。抽象化データの項目は、上記図３（ａ）のルールに基づき得られた数値列などの出力が格納される。

その他、図示しないが、システム内の複数の機器１１０・機能５０に関する異常発見箇所（１４０による判定結果）のデータや、それらに関する原因・影響範囲など（１６０による特定結果）のデータなどを保持する。例えば、異常発見箇所は機器Ａの機能ａであり、その異常の原因は機器Ｂの機能ｂであり、その異常の影響範囲は機器Ｃの機能ｃである、といった情報を格納する。

［情報収集］
図４に、本システムの要素間における機器情報収集処理手順（収集処理部１３０により機器１１０（例えば１１０Ａ）から情報（機器情報）を収集する際の手順）を示す。Ｓは手順（処理ステップ等）を示す。

収集処理部１３０は、データベース１２２から、情報を収集したい対象の機器１１０（本例では図１の機器１１０Ａとする）についての収集タイミングの情報（図２（ａ））を入手する（要求（Ｓ３０１），抽出（Ｓ３０２），返戻（Ｓ３０３）等）。

そして収集処理部１３０は、その収集タイミングの情報に従い、情報を収集するための機能（収集処理部１３０が持つ一機能）を起動し、当該収集タイミングが来るまで待機する（Ｓ３０４）。当該収集タイミングが来ると、対象の機器１１０（１１０Ａ）の管理部１１１に対して情報要求を送付する（Ｓ３０５）。

上記情報要求を受信した機器１１０（１１０Ａ）の管理部１１１は、要求者についての認証を行い（Ｓ３０６）、認証の通過に基づいて、情報保存部１１２から必要な情報（機器情報）を抽出し、収集処理部１３０に返戻する（Ｓ３０７〜Ｓ３１０）。

対象の機器１１０から上記情報を受信した収集処理部１３０は、その情報をデータベース１２２に登録し（Ｓ３１１，Ｓ３１２）、Ｓ３０４に戻り、次の収集タイミングが来るのを待つ。

［判定］
図５に、判定処理手順（判定処理部１４０により機器情報について機器１１０の状態を判定する処理を行う際の手順）などを示す。

抽象化処理部１５０は、データベース１２２（図３（ｂ））から、予め抽象化されている正常時のデータ（「抽象化済み正常データ」）、及び図２（ｂ）の判定タイミング（閾値を含む）などの情報を入手する。そして、これらの情報を判定処理部１４０に送付し、当該判定タイミングが来るまで待機する（Ｓ５０１〜Ｓ５０４）。上記の正常時とは、機器１１０の稼働状態が正常の時である。

上記判定タイミングになると、抽象化処理部１５０は、データベース１２２の図２（ｃ）の機器情報から、フラグの値が“未判定”であるレコードのデータ（「未判定データ」）を入手する（Ｓ５０５）。そして、抽象化処理部１５０は、この未判定データを抽象化（変換）処理し、判定処理部１４０に送付する（Ｓ５０６，Ｓ５０７）。以下、上記抽象化した「未判定データ」を、「抽象化済み未判定データ」と呼ぶ。

判定処理部１４０は、上記の抽象化済み未判定データと抽象化済み正常データとを比較して判定する（Ｓ５０８）。例えば、両者の差異が、閾値（Ｓ５０３によるもの）以内である場合は「正常」、閾値を超える場合は「異常」と判定する。そして、この判定結果に応じて、データベース１２２の「未判定データ」のフラグの値を“正常”／“異常”などの値に更新し、当該判定結果の情報を登録する（Ｓ５０９，Ｓ５１０）。なおこれにより当該データは「未判定データ」から「判定済みデータ」となる。そして、Ｓ５０４に戻る。Ｓ５１１以降は原因特定処理部１６０に係わる処理であり後述する。

［データ抽象化（変換）］
前記図５のＳ５０６のデータ抽象化（変換）に関する技術について詳述する。本実施の形態で、データ抽象化（変換）とは、複数の機器１１０・機能５０における様々な形式のデータを、比較可能な共通の形式に抽象化（変換）する技術である。例えば図１の各機器１１０（１１０Ａ〜１１０Ｃ）の機器情報（データＡ〜Ｃ）は、異なる形式のデータであり、これらが共通の形式のデータに抽象化（変換）される。

上記のデータ抽象化の処理の手順の例は以下である。抽象化処理部１５０は、データベース１２２（図２（ｃ））から、未判定データを入手する（Ｓ５０５）。さらに、入手した未判定データに対応して適用する抽象化ルールを、データベース１２２（図３（ａ））から入手する。次に、抽象化処理部１５０は、入手した抽象化ルールに従い、未判定データを抽象化する変換処理を行う。そして、抽象化処理部１５０は、その結果（抽象化済みデータ）を、データベース１２２（図３（ｂ））に登録する。本実施の形態では、前述のルール例に従い、データ形式ごとに、及び時間単位ごとに、ログデータの量を行数などによってカウントして時系列の数値として出力する。

［第１のデータ比較（状態の判定）］
図６を用いて、前記図５のＳ５０８の閾値比較判定（抽象化済み正常データと抽象化済み未判定データとの比較）の処理に関する技術（以下「第１のデータ比較」）について詳述する。本実施の形態で、第１のデータ比較とは、抽象化処理部１５０により抽象化したデータ（複数の抽象化済みデータ）を判定処理部１４０により比較することで機器１１０・機能５０の状態（正常／異常）の判定（即ち異常の発見）を行う技術である。未判定とは判定対象のことであり、正常とは稼働状態が正常と判定されていることを示す。

図６に、第１のデータ比較の処理の手順を示す。判定処理部１４０は、抽象化処理部１５０から、前記図３（ｂ）に基づく、抽象化済み正常データ（Ｄ０とする）を入手し（Ｓ６０１、前記Ｓ５０３に対応）、また、抽象化済み未判定データ（Ｄ１とする）を入手する（Ｓ６０２、前記Ｓ５０７に対応）。

判定処理部１４０は、抽象化済み正常データ（Ｄ０）と抽象化済み未判定データ（Ｄ１）とにおける最初から最後までの差（ｉ番目のデータ単位ごとの差）を求め、その絶対値の総和を求め、それを差異（ＤＤとする）の値として出力する（Ｓ６０３〜Ｓ６０７）。

判定処理部１４０は、この差異（ＤＤ）の値が、前述の所定の閾値以下である場合は、当該未判定データに対応する機器１１０・機能５０の状態を「正常」、閾値を超える場合は「異常」と判定する。

［第２のデータ比較（原因・影響範囲の特定）］
図７を用いて、前記図５のＳ５１３の原因及び影響範囲の特定などに関する技術（以下「第２のデータ比較」）について詳述する。本実施の形態で、第２のデータ比較とは、複数の異なる機器１１０、機能５０、収集タイミング、等の抽象化済みデータを比較することで、原因及び影響範囲の機器１１０・機能５０などを特定する技術である。

図７に、第２のデータ比較の処理の手順を示す。原因特定処理部１６０は、抽象化処理部１５０から、抽象化済み未判定データ（Ｄ１）を入手する（Ｓ７０１、前記Ｓ５１１に対応）。次に、原因特定処理部１６０は、抽象化処理部１５０から、該当する時間帯における、フラグの値が“異常”である、全ての抽象化済みデータ（Ｄｎ）（０≦ｎ≦Ｎ）を入手する（Ｓ７０２、前記Ｓ５１２に対応）。ｎは０以上の整数、Ｎは対象の機器１１０や機能５０の最大数である。

Ｎ＞０の判定（Ｓ７０３）において、Ｎ＝０の場合（No）、つまりＤｎが無い場合、原因特定処理部１６０は、異常の原因が、抽象化済み未判定データ（Ｄ１）と関連付けられた機器１１０・機能５０自体にあると推定し、影響範囲は無しとして（Ｓ７０４）、終了する。

Ｎ＞０の場合（Yes）、原因特定処理部１６０は、抽象化済み未判定データ（Ｄ１）を単純化し（Ｓ７０５）、単純化したＤ１をグラフ化し、そのグラフを画像データ（Ｇ１とする）に変換する（Ｓ７０６）。ここで、上記の単純化（Ｓ７０５）の方法としては、例えば以下の２つが考えられる（なおこれらに限らずに様々な方法を適用してもよい）。

第１の方法： 最小値が０，最大値が１になるように変換する。図８（ａ）に、この第１の方法の場合の変換を示す。

第２の方法： 最小値が０，最大値が１になるように変換した後、０．５より大きい値を１に、０．５より小さい値を０に変換する。図８（ｂ）に、この第２の方法の場合の変換を示す。

次に、原因特定処理部１６０は、上記の抽象化済みデータ（Ｄｎ（０≦ｎ≦Ｎ））の一つ一つに対しても、上記のＤ１と同様に、単純化、グラフ化、画像データ（Ｇｎ）への変換を行う（Ｓ７０７〜Ｓ７０９）。画像データ（Ｇｎ）への変換では、Ｇ１と同じサイズ・形式の画像データ（Ｇｎ）に変換する。

次に、原因特定処理部１６０は、上記のＧ１とＧｎを比較し、異常状態の開始点の差異を抽出する（Ｓ７１０）。この異常状態の開始点の決定方法としては、例えば以下の３つが考えられる（なおこれらに限らず様々な方法を適用してもよい）。

第１の方法： データ毎に定められている閾値（前述の異常を判定するための閾値）を超えた点を、異常状態の開始点（Ｐ）とする。図９（ａ）に、この第１の方法の場合の例を示す。

第２の方法： 平均値（Ｄ１，Ｄｎを含む複数のデータの平均値）を超えた点を異常状態の開始点とする。図９（ｂ）に、この第２の方法の場合の例を示す。

第３の方法： 予め決定される設定値（第１の方法の閾値とは別の設定値。データに依らずに一定値）を超えた点を異常状態の開始点とする。図９（ｃ）に、この第３の方法の場合の例を示す。

原因特定処理部１６０は、上記比較の結果、Ｇｎの開始点（Ｐｎとする）がＧ１の開始点（Ｐ１とする）より前である場合は、当該Ｄｎと関連付けられた機器１１０・機能５０を、原因の候補とする。また、Ｇｎの開始点（Ｐｎ）がＧ１の開始点（Ｐ１）より後である場合は、当該Ｄｎと関連付けられた機器１１０・機能５０を、影響範囲に加える（Ｓ７１０）。

図１０に、上記Ｓ７１０における比較の例を示す。（ａ）は、抽象化済みデータＤｊ１（開始点：Ｐｊ１），（ｂ）は、抽象化済み未判定データＤ１（開始点：Ｐ１），（ｃ）は、抽象化済みデータＤｊ２（開始点：Ｐｊ２）を示す。開始点の関係が、Ｐｊ１＜Ｐ１＜Ｐｊ２の場合である。Ｄｊ１（Ｐｊ１）がＤ１（Ｐ１）よりも早い場合、異常原因がＤｊ１にあると推定される。Ｄｊ２（Ｐｊ２）がＤ１（Ｐ１）よりも遅い場合、Ｄｊ２は異常の影響を受けている（影響範囲に含まれる）と推定される。

図７のフローで全てのＤｎ（ｎ）に対して処理を行い（Ｓ７１１，Ｓ７１２）、全ての処理が終わったとき（Ｓ７１１−Yes）、原因特定処理部１６０（あるいは機器情報管理処理部１２１）は、原因の候補（機器・機能）を異常状態の開始点（Ｐ）の早い順に並べ替え、その情報を出力する。また、影響範囲に含まれる機器・機能についても、異常状態の開始点（Ｐ）の早い順に並べ替え、その情報を出力する（Ｓ７１３）。

結果、例えば、図１の機器１１０Ａが異常原因、機器１１０Ｂが異常個所、機器１１０Ｃが影響範囲、といったように情報が出力されることになり、機器管理者は、その情報を端末の画面等で参照することで、システム内の複数の機器１１０・機能５０に関する性能や障害などに係わる状態及び関係を容易に把握することができる。

［効果等］
以上説明したように、本実施の形態によれば、前述したデータの抽象化及び比較などの処理機能により、各種機器１１０・機能５０における形式が異なるログデータ等（機器情報）を扱うことができるため、複数の機器１１０・機能５０の性能や障害などの監視を一様に行うことができ、また、異常の原因や影響範囲の特定などを容易に行うことができる。

本システムでは、機器１１０単体の異常の検出に限らず、複数の機器１１０間の影響関係による異常の原因や影響範囲などの検出・特定も容易化される。また、検出・特定までに要する時間も短縮化し得る。また、管理者の経験やスキルなどの個人差によらずにサービスが提供できる。また、機器１１０を含む対象システムの巨大化に対しても対処することができる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることは言うまでもない。

本発明は、サーバシステム等を対象とした機器監視システムなどに利用可能である。

５０…機能、１０１…ネットワーク、１１０｛１１０Ａ，１１０Ｂ，１１０Ｃ｝…機器（電子機器）、１１１…管理部、１１２…情報保存部、１１５｛１１５ａ，１１５ｂｃ｝…情報収集部、１２０…機器情報管理システム、１２１…機器情報管理処理部、１２２…機器情報管理ＤＢ、１３０…収集処理部、１４０…判定処理部、１５０…抽象化処理部、１６０…原因特定処理部。

Claims (4)

1. 各々様々な機能を持つ複数の電子機器のデータを、ネットワークを通じて収集して管理し、各電子機器の稼働状態を監視する、機器情報管理システムであって、
   前記各電子機器のデータは、当該電子機器及び機能の違いに応じて、異なる形式を持つ場合があり、
   本機器情報管理システムは、
   前記各電子機器から当該電子機器及び当該電子機器が持つ機能に関する第１のデータを前記ネットワークを通じて収集しデータベースに格納する収集処理部と、
   前記複数の各電子機器の第１のデータを、比較可能な共通の形式の第２のデータに抽象化する変換の処理を行う抽象化処理部と、
   前記複数の各電子機器の第１のデータまたは第２のデータを用いて、当該データ同士の比較により、前記複数の各電子機器の稼働状態を判定して異常の電子機器または機能を検出する処理を行う判定処理部と、
   上記異常が検出された場合の第１の電子機器または機能について、前記複数の各電子機器の第１のデータまたは第２のデータを用いて、当該データ同士の比較により、当該異常の原因となる第２の電子機器または機能、または当該異常の影響範囲に含まれる第３の電子機器または機能、の少なくとも一方を特定する処理を行う特定処理部と、を有し、
   上記判定及び特定の結果を含む情報を出力し、
   前記抽象化処理部は、前記データベースから、未判定の状態の電子機器または機能の第１のデータと、当該未判定の第１のデータに対応して適用するルールの情報と、を入手し、次に、上記未判定の第１のデータを上記ルールに従って前記抽象化する変換の処理を行い、これにより得られる抽象化済みの前記第２のデータを前記データベースに登録する処理を行い、
   前記第１のデータは、当該電子機器または機能の稼働に関するログデータを含み、
   前記第１のデータまたは第２のデータは、当該電子機器または機能の稼働状態及び未判定かどうかを表すフラグを含み、
   前記収集処理部は、前記複数の各電子機器及び各機能からの前記第１のデータの収集を、前記複数の各電子機器及び各機能ごとに、設定された第１のタイミングで実行し、
   前記判定処理部は、前記判定の処理を、前記複数の各電子機器及び各機能ごとに、設定された第２のタイミング及び閾値で実行し、
   前記抽象化処理部は、前記抽象化する変換の処理を、設定された前記ルールに従って実行し、これにより得られる抽象化済みの前記第２のデータを前記データベースに格納し、
   前記ルールとして、前記第１のデータの形式ごとに、及び時間単位ごとに、前記ログデータの量をカウントして時系列の数値として出力するルールを有し、
   前記ルールとして、前記ログデータの発生の行数をカウントするルール、及び前記ログデータに含まれる単語の出現頻度を求めるルールを含むこと、を特徴とする機器情報管理システム。
2. 請求項１記載の機器情報管理システムにおいて、
   前記判定処理部は、
   前記抽象化処理部または前記データベースから、正常の状態の１つ以上の電子機器または機能に関する前記抽象化済みの前記第２のデータ（Ｄ０）と、未判定の状態の電子機器または機能に関する前記抽象化済みの前記第２のデータ（Ｄ１）と、を入手する処理と、
   上記正常の第２のデータ（Ｄ０）と上記未判定の第２のデータ（Ｄ１）とにおいて、最初から最後までデータ単位ごとに差を求め、当該差の絶対値の総和を求め、当該総和を当該第２のデータ（Ｄ０，Ｄ１）間の差異値（ＤＤ）として計算する処理と、
   上記差異値（ＤＤ）が所定の閾値以下の場合は当該未判定の状態の電子機器または機能に関する稼働状態を正常と判定し、当該閾値を超える場合は異常と判定する処理と、を行うこと、を特徴とする機器情報管理システム。
3. 請求項１記載の機器情報管理システムにおいて、
   前記特定処理部は、
   前記抽象化処理部または前記データベースから、未判定の状態の電子機器または機能に関する前記抽象化済みの第２のデータ（Ｄ１）と、該当する時間帯における、前記稼働状態が異常と判定された電子機器または機能に関する、全ての前記抽象化済みの第２のデータ（Ｄｎ）（０≦ｎ≦Ｎ）と、を入手する処理を行い、
   上記全ての第２のデータ（Ｄｎ）において、
   Ｎ＝０の場合、
   上記未判定の第２のデータ（Ｄ１）に関連付けられた電子機器または機能を当該異常の原因と推定し、当該異常による影響範囲に含まれる電子機器または機能は無いと推定する処理を行い、
   Ｎ≧１の場合、
   上記未判定の第２のデータ（Ｄ１）を単純化し、当該単純化したデータ（Ｄ１）をグラフ化し、当該グラフ化されたデータ（Ｄ１）を画像データ（Ｇ１）へ変換する処理を行い、
   上記異常の第２のデータ（Ｄｎ）の各々に対して、上記未判定の第２のデータ（Ｄ１）と同様に、単純化、グラフ化、及び画像データ（Ｇｎ）へ変換する処理を行い、
   次に、上記未判定の第２のデータ（Ｄ１）の画像データ（Ｇ１）と上記異常の状態の第２のデータ（Ｄｎ）の画像データ（Ｇｎ）とを比較して、両者の異常状態の開始点（Ｐ１，Ｐｎ）の差異を抽出し、
   上記開始点（Ｐ１，Ｐｎ）の差異について、ＰｎがＰ１よりも前である場合、当該異常の第２のデータ（Ｄｎ）に関連付けられた電子機器または機能を当該異常の原因の候補とし、ＰｎがＰ１よりも後の場合、当該異常の第２のデータ（Ｄｎ）に関連付けられた電子機器または機能を当該異常による影響範囲に含まれるものとして追加し、
   上記全ての第２のデータ（Ｄｎ）に対する処理の終了後、上記原因の候補を上記開始点の早い順に並べ替えた情報と、上記影響範囲に含まれるものを、上記開始点の早い順に並べ替えた情報と、を出力する処理を行うこと、を特徴とする機器情報管理システム。
4. 各々様々な機能を持つ複数の電子機器のデータを、ネットワークを通じて収集して管理し、各電子機器の稼働状態を監視する、機器情報管理システムにおける機器情報管理方法であって、
   前記各電子機器のデータは、当該電子機器及び機能の違いに応じて、異なる形式を持つ場合があり、
   本機器情報管理方法は、
   前記各電子機器から当該電子機器及び当該電子機器が持つ機能に関する第１のデータを前記ネットワークを通じて収集しデータベースに格納する収集処理ステップと、
   前記複数の各電子機器の第１のデータを、比較可能な共通の形式の第２のデータに抽象化する変換の処理を行う抽象化処理ステップと、
   前記複数の各電子機器の第１のデータまたは第２のデータを用いて、当該データ同士の比較により、前記複数の各電子機器の稼働状態を判定して異常の電子機器または機能を検出する処理を行う判定処理ステップと、
   上記異常が検出された場合の第１の電子機器または機能について、前記複数の各電子機器の第１のデータまたは第２のデータを用いて、当該データ同士の比較により、当該異常の原因となる第２の電子機器または機能、または当該異常の影響範囲に含まれる第３の電子機器または機能、の少なくとも一方を特定する処理を行う特定処理ステップと、
   上記判定及び特定の結果を含む情報を出力する処理ステップと、を有し、
   前記抽象化処理ステップは、前記データベースから、未判定の状態の電子機器または機能の第１のデータと、当該未判定の第１のデータに対応して適用するルールの情報と、を入手し、次に、上記未判定の第１のデータを上記ルールに従って前記抽象化する変換の処理を行い、これにより得られる抽象化済みの前記第２のデータを前記データベースに登録する処理を行い、
   前記第１のデータは、当該電子機器または機能の稼働に関するログデータを含み、
   前記第１のデータまたは第２のデータは、当該電子機器または機能の稼働状態及び未判定かどうかを表すフラグを含み、
   前記収集処理ステップは、前記複数の各電子機器及び各機能からの前記第１のデータの収集を、前記複数の各電子機器及び各機能ごとに、設定された第１のタイミングで実行し、
   前記判定処理ステップは、前記判定の処理を、前記複数の各電子機器及び各機能ごとに、設定された第２のタイミング及び閾値で実行し、
   前記抽象化処理ステップは、前記抽象化する変換の処理を、設定された前記ルールに従って実行し、これにより得られる抽象化済みの前記第２のデータを前記データベースに格納し、
   前記ルールとして、前記第１のデータの形式ごとに、及び時間単位ごとに、前記ログデータの量をカウントして時系列の数値として出力するルールを有し、
   前記ルールとして、前記ログデータの発生の行数をカウントするルール、及び前記ログデータに含まれる単語の出現頻度を求めるルールを含むこと、を特徴とする機器情報管理方法。

Images