JP5453871B2 - イベント判別装置、イベント判別プログラム、イベント判別方法 - Google Patents

Description

システム構成機器から出力されるイベントに対し、正常イベントであるか異常イベントであるかを判別するイベント判別装置、イベント判別プログラム、イベント判別方法に関する。

近年、運用されているシステムを構成する機器が出力するイベントを監視し、異常イベントが発生した場合にシステム管理者に通知するイベント監視システムが構築されている。

イベント監視システムは、運用システムを構成する機器が出力するイベントについて、定義された障害パターンに一致するかを監視し、パターンに一致した場合、トラブルが発生したと判断して運用者に通知する。このようなイベントの監視を行うにあたって、障害パターンを事前に用意する必要がある。

図９を参照しつつ従来のイベント監視システムの障害パターンの抽出について説明する。

まず、事前準備として、システム構成機器から出力されるイベントに対し、例えばＣＰＵに関するイベント、メモリに関するイベント等の分類作業がなされる。この分類作業は、システム開発者の手動によって行われるか、若しくはイベントに付されたイベントＩＤに基づき機械的に分類される。

次に、分類されたイベントごとに、システム管理者が正常と思われるイベントを抽出し、抽出された正常と思われるイベントをイベント監視装置に登録する。イベント監視装置には、過去に発生したイベントが過去事例として登録されているＤＢ（データベース）を有しており、登録された正常と思われるイベントで、ＤＢ内の過去のイベントに対しフィルタをかけることで、正常でないイベント（すなわち異常イベント）を抽出する。

逆に、システム管理者が異常と思われるイベントを抽出し、当該異常と思われるイベントで過去事例に対しフィルタをかけることで、正常イベントを抽出することも可能である。

また、関連のある技術として、以下の文献が開示されている。

特開２００８−４１０４１号広報

監視対象となるシステムは、システム規模増大に伴い、新種のトラブルも発生する。よって、システム管理者は、イベントを見ても正常イベントかどうか分からないケースが発生している。

また、トラブル発生を示すイベントパターンを作成するのに時間とコストがかかり、迅速に対応することができない。このことは初動対応の遅れにつながり、システム復旧の遅延の原因となる。

さらに、正常イベントであるか異常イベントであるかは、担当者の恣意的な基準に依存しており、また正常イベントか異常イベントかの判断も、システムの挙動について詳細な知識がないと曖昧になる。またその選択する作業に手間がかかる。

本発明は上述した問題点を解決するためになされたものであり、イベントの判別をイベントログのみで自動で行うことができるイベント判別装置、イベント判別プログラム、イベント判別方法を提供することを目的とする。

イベント判別装置は、所定期間内のイベントログから、該所定期間内で発生したイベントの一覧を作成するイベント一覧作成部と、前記イベント一覧作成部によって作成された一覧内のイベントに対応するログが全て取得されるまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、前記一覧内のイベント全てが取得された時点のログよりも過去のログに対応する、前記一覧内のイベントを正常イベントとして設定する正常イベント抽出部と、を備える。

イベント判別プログラムは、所定期間内のイベントログから、該所定期間内で発生したイベントの一覧を作成し、作成された一覧内のイベントに対応するログが全て取得されるまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、前記一覧内のイベント全てが取得された時点のログよりも過去のログに対応する、前記一覧内のイベントを正常イベントとして設定する処理をコンピュータに実行させる。

イベント判別方法は、所定期間内のイベントログから、該所定期間内で発生したイベントの一覧を作成し、作成された一覧内のイベントに対応するログが全て取得されるまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、前記一覧内のイベント全てが取得された時点のログよりも過去のログに対応する、前記一覧内のイベントを正常イベントとして設定する処理をコンピュータが実行する。

システム管理者の判断その他の外部からの追加情報なしで、イベントログのみで正常イベントかを判別することができ、作業時間、作業コストが軽減される。

従来のイベント監視システムにおける、本実施の形態のイベント判別装置が担う処理範囲を示す図である。 本実施の形態に係るイベント判別装置の特徴的な機能を示す図である。 本実施の形態に係るイベント判別装置の機能ブロックの一例を示す図である。 本実施の形態に係るイベント判別手法の着目点について説明するための図である。 本実施の形態に係るイベント判別手法の内容の一例を説明するための図である。 本実施の形態に係るイベント判別装置の動作の一例を示すフローチャートである。 本実施の形態に係るイベント判別装置のハードウェア構成の一例を示す図である。 本実施の形態に係るイベント判別装置内部のハードウェア構成の一例を示す図である。 従来のイベント判別手法の例を示す図である。

図１に、従来のイベント監視システムにおける、本実施の形態のイベント判別装置が担う処理範囲を示す。本実施の形態のイベント判別装置は、図１の破線で囲まれた処理を実施する。すなわち、本実施の形態のイベント判別装置は、パターン検知機能が使用する異常イベントであって、運用担当者やシステム管理者に通知される異常イベントのパターンを、過去に発生したイベント事例から抽出する処理を行う。

尚、イベントとは、機器に生じた事象を意味し、イベントが発生した機器は、自ら有する記憶装置または外部にログとして出力するか、または外部へトラップとして通知する。また、外部からの問いかけ（ポーリング）によって、自己の状態を通知する機能を有する機器もある。イベント監視システムは、これらログ出力、トラップ、ポーリング結果をイベント発生日時とともに過去事例として記憶部に蓄積する。以下、イベントが上述手段その他の何かしらの手段で通知、または取得されたデータを、イベントログまたは単にログと称す。このイベントログには、当該イベントが発生した日時を伴ったデータであるものとする。

次に、図２に基づき、本実施の形態に係るイベント判別装置の特徴的な機能について説明する。イベント判別装置１００は、たとえばＣＰＵに関するイベント、メモリに関するイベント等に分類されたイベントに対し、正常時のイベントか異常時のイベントかを判別する機能部を有する。

イベント判別装置１００は、例えばシステム管理者の判断その他の外部からの追加情報なしで、過去に発生したイベントログのみによって正常イベントか異常イベントかを判定することができる。

図３に、イベント判別装置１００の機能ブロックを示す。イベント判別装置１００は、イベント範囲抽出部１（イベント一覧作成部）、正常イベント抽出部２、異常イベント抽出部３を備える。

イベント範囲抽出部１は、所定期間内のイベントログから、その所定期間内で発生したイベントの一覧であるイベント種別テーブル５０を作成する。

正常イベント抽出部２は、イベント範囲抽出部１によって作成されたイベント種別テーブル５０内のイベントに対応するログが全て取得されるまで、上述の所定期間内の最新日時を出発点として、過去にさかのぼりながらイベントログ内のログを取得し、イベント種別テーブル５０内のイベント全てが取得された時点のログよりも過去のログに対応する、イベント種別テーブル５０内のイベントを正常イベントとして設定する。

異常イベント抽出部３は、正常イベント抽出部２によって正常イベントと設定されたイベント以外のイベント種別テーブル５０内のイベントを異常イベントとして設定する。

次に、図４を参照しつつ本実施の形態に係るイベント判別手法の着目点について説明する。図４は、横軸を時間軸としたイベントの発生順を示しており、右方向に進むほど新しいイベントとなる。

イベント判別装置１００では、以下の点に着目することで、正常時、および異常時に出力されたイベントが混在した状態で記録されているイベントログから、正常時と異常時のイベントを判別することを可能にする。
・正常時のイベントは、システムが正常な時、異常な時のどちらでも出力され得る。
・異常時のイベントは、システムが正常な時には出力されない。すなわち異常時のイベントは、システムに障害が発生した後のみで出力される。

Ａ、Ｂ、Ｃを正常イベント、Ｏ、Ｐ、Ｑを異常イベントとすると、図４の例によれば、対象機器が正常なときには、正常状態であるがゆえにＯ、Ｐ、Ｑの異常イベントは発生せず、正常イベントであるＡ、Ｂ、Ｃのみが発生する。ここで、対象機器上でトラブルが発生した場合、それ以降はＯ、Ｐ、Ｑの異常イベントおよび正常イベントであるＡ、Ｂ、Ｃが発生する。

上記着目点に基づき、図５を参照しつつ本実施の形態のイベント判別手法について説明する。図５は、正常時と異常時のイベントが混在している例を示したものである。Ａ、Ｂ、Ｃは図４と同様に正常時のイベントであり、Ｏ、Ｐ、Ｑは異常時のイベントであるとする。

また、図５（Ａ）、（Ｃ）、（Ｅ）は、図４と同様に横軸を時間軸としたイベントの発生順を示しており、右方向に進むほど新しいイベントとなる。また本例では、「最新」と矢印で示された点は、イベントの内容を調べた日時とする。

上述の説明とおり、システムが正常であるとき、イベントログには正常時のイベントＡ、Ｂ、Ｃしか記録されない。ある時刻でトラブルが発生したとすると、その日時以降、イベントログには異常時のイベントＯ、Ｐ、Ｑが記録される。

図５（Ａ）に初期状態を示す。初期状態では、ログ全体が読み込まれる。初期状態では、どのイベントが正常時のイベントで、どのイベントが異常時のイベントかは、まだ分かっていない。

次にイベント範囲抽出部１は、出現しているイベントの種類を、一覧にしてイベント種別テーブル５０を作成する。この時点で作成されるイベント種別テーブル５０を図５（Ｂ）に示す。イベント種別テーブル５０は、イベントの内容（イベント）ごとに、そのイベントが判別の過程でイベントログ内に出現したかを示すフラグ（出現）、および、そのイベントが判別の過程で正常、異常のどちらに判別されたかを示すフラグ（種類）の各データを有する。図５（Ｂ）で示した状態では、出現フラグはFalse、種類フラグはUnknownとなる。

正常イベント抽出部２は、最新時刻を出発点として、ログを過去方向にさかのぼりながら、イベントごとに以下を行う（図５（Ｃ）参照）。
・観察されたイベントについて、イベント種別テーブル５０の該当するイベントの出現フラグをTrueに変更する。
・イベント種別テーブル５０内の全てのイベントについて、出現フラグがTrueであるか判定する。

図５（Ｄ）に、最新日時から過去にさかのぼった日時ｔ０までのイベントに対し、処理が行われたときのイベント種別テーブル５０の状態を示す。正常イベント抽出部２は、全てのイベントの出現フラグがTrueとなるまで上記処理が繰り返される。

正常イベント抽出部２は、全てのイベントの出現フラグがTrueになったら、さらにログを過去方向にさかのぼりながら、観察されたイベントについて、イベント種別テーブル５０の該当するイベントの、種類フラグを正常に変更する（図５（Ｅ）参照）。すなわち、正常イベント抽出部２は、全てのイベントの出現フラグがTrueになったら、それ以前のイベントを正常イベントとする。

異常イベント抽出部３は、正常イベント抽出部２による処理が完了した後に、イベント種別テーブル５０のうち、種類フラグがUnknownのままになっているイベントについて、種類フラグを異常に変更する。

正常イベント抽出部２、および異常イベント抽出部３の処理後のイベント種別テーブル５０を図５（Ｆ）に示す。以上で、全てのイベントについて、正常と異常の判別が完了する。

次に、イベント判別装置１００の動作について、図６のフローチャートを参照しつつ説明する。

イベント範囲抽出部１は、イベント種別テーブル５０を作成（初期化）する（Ｓ１）。イベント範囲抽出部１は、イベントログからログを１つ取り出し（Ｓ２）、ログの終端に到達したかを判別する（Ｓ３）。ここで、ログの終端に到達していない場合（Ｓ３、Ｎ）、イベント範囲抽出部１は、イベント種別テーブル５０を参照し（Ｓ４）、取り出したイベントが既にイベント種別テーブル５０内に存在するイベントであるかを判定する（Ｓ５）、ここで取り出したログがイベント種別テーブル５０内に存在するイベントである場合（Ｓ５、Ｙ）、処理はＳ２に戻り、イベント種別テーブル５０内に存在するイベントで無い場合（Ｓ５、Ｎ）、イベント範囲抽出部１は、イベント種別テーブル５０に出現フラグ＝false、状態フラグ＝Unknownとして当該取り出したイベントを追加する（Ｓ６）。追加後、処理はＳ２に戻る。

Ｓ３の処理において、ログの終端に到達したと判定された場合（Ｓ３、Ｙ）、正常イベント抽出部２は、最新のログを一つイベントログより取り出す（Ｓ７）。正常イベント抽出部２は、イベントログの終端に達したかを判定し（Ｓ８）、終端に達している場合（Ｓ８、Ｙ）、処理は終了する。

終端に達していない場合（Ｓ８、Ｎ）、イベント種別テーブル５０の該当するイベントに対し、出現フラグ＝trueにする（Ｓ９）。正常イベント抽出部２は、全てのイベントの出現フラグがtrueかを判定し（Ｓ１０）、全ての出現フラグがtrueでない場合（Ｓ１０、Ｎ）、処理はＳ７に戻り、次のログに対し引き続き処理が続行される。一方、全ての出現フラグがtrueである場合（Ｓ１０、Ｙ）、正常イベント抽出部２は、イベント種別テーブル５０内の、これより前のログに対応するイベントに対し状態フラグ＝正常に設定する（Ｓ１１）。

異常イベント抽出部３は、イベント種別テーブル５０内の残りのイベント（状態フラグ＝正常でないイベント）について、状態＝異常に設定する。

尚、既存のパターン検知機能部は、状態フラグが異常と設定されたイベントが機器より出力された場合に運用担当者やシステム管理者へ通知する。

上述の例では、イベントログの内容を調べた時刻からログ終端までの全てのログを処理範囲としているが、イベント判別装置１００は、任意に指定された日時を範囲として処理を行うこともできる。すなわち、イベント範囲抽出部１は、少なくとも過去にイベントが発生している時点から、任意の日時前までのログを処理範囲としてもよい。

本実施の形態のイベント判別装置１００は、ＣＰＵに関するイベント、メモリに関するイベント等に分類された後に処理を行うものとしたが、分類されていなくても当然適用可能である。

なお、本発明は以下に示すようなコンピュータシステムにおいて適用可能である。図７は、本発明が適用されるコンピュータシステムの一例を示す図である。この図に示すコンピュータシステム９００は、ＣＰＵやディスクドライブ等を内蔵した本体部９０１、本体部９０１からの指示により画像を表示するディスプレイ９０２、コンピュータシステム９００に種々の情報を入力するためのキーボード９０３、ディスプレイ９０２の表示画面９０２ａ上の任意の位置を指定するマウス９０４及び外部のデータベース等にアクセスして他のコンピュータシステムに記憶されているプログラム等をダウンロードする通信装置９０５を有する。通信装置９０５は、ネットワーク通信カード、モデムなどが考えられる。

上述したような、イベント判別装置を構成するコンピュータシステムにおいて上述した各ステップを実行させるプログラムを、イベント判別プログラムとして提供することができる。このプログラムは、コンピュータシステムにより読み取り可能な記録媒体に記憶させることによって、イベント判別装置のコンピュータシステムに実行させることが可能となる。上述した各ステップを実行するプログラムは、ディスク９１０等の可搬型記録媒体に格納されるか、通信装置９０５により他のコンピュータシステムの記録媒体９０６からダウンロードされる。また、コンピュータシステム９００に少なくともイベント判別機能を持たせるイベント判別プログラムは、コンピュータシステム９００に入力されてコンパイルされる。このプログラムは、コンピュータシステム９００を、イベント判別機能を有するイベント判別システムとして動作させる。また、このプログラムは、例えばディスク９１０等のコンピュータ読み取り可能な記録媒体に格納されていても良い。ここで、コンピュータシステム９００により読み取り可能な記録媒体としては、ＲＯＭやＲＡＭ等のコンピュータに内部実装される内部記憶装置、ディスク９１０やフレキシブルディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の可搬型記憶媒体や、コンピュータプログラムを保持するデータベース、或いは、他のコンピュータシステム並びにそのデータベースや、通信装置９０５のような通信手段を介して接続されるコンピュータシステムでアクセス可能な各種記録媒体を含む。

ここで、上述のイベント判別装置のハードウェア構成について図８を参照しつつ説明する。イベント判別装置は、演算処理装置であるＣＰＵ９５１、主記憶装置であるメモリ９５２、ディスク９１０等を格納し、データの読み書きを行うディスクドライブ９５３、不揮発性の記憶装置である不揮発性記憶装置９５４を備え、また外部とのデータの通信を制御するＩ／Ｏ装置９５５を備える。尚、上述したイベント判別装置内の各機能ブロックは、ＣＰＵ９５１、メモリ９５２、不揮発性記憶装置９５４、Ｉ／Ｏ装置９５５のハードウェア資源と、不揮発性記憶装置９５４内に予め保持されているソフトウェアとが協働することで実現される。

本発明は、その精神または主要な特徴から逸脱することなく、他の様々な形で実施することができる。そのため、前述の実施の形態は、あらゆる点で単なる例示に過ぎず、限定的に解釈してはならない。本発明の範囲は、特許請求の範囲によって示すものであって、明細書本文には、何ら拘束されない。更に、特許請求の範囲の均等範囲に属する全ての変形、様々な改良、代替および改質は、全て本発明の範囲内のものである。

１ イベント範囲抽出部、２ 正常イベント抽出部、３ 異常イベント抽出部、５０ イベント種別テーブル、１００ イベント判別装置。

Claims (5)

1. 所定期間内のイベントログから、該所定期間内で発生したイベントの種類の一覧を作成するイベント一覧作成部と、
   前記イベント一覧作成部によって作成された一覧内のイベントの種類が全て出現するまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、前記一覧内のイベントの種類が全て出現した時点のログよりも過去のログに対応する、前記一覧内のイベントの種類を正常イベントとして設定する正常イベント抽出部と、
   を備えるイベント判別装置。
2. 請求項１に記載のイベント判別装置において、さらに、
   前記正常イベント抽出部によって正常イベントと設定されたイベントの種類以外の前記一覧内のイベントの種類を異常イベントとして設定する異常イベント抽出部を備えることを特徴とするイベント判別装置。
3. 請求項１に記載のイベント判別装置において、
   前記イベント一覧作成部は、
   所定期間内で発生したイベントの種類ごとに、出現フラグ、種類フラグを有する一覧を作成し、
   前記正常イベント抽出部は、前記一覧内に現在処理しているログに対応するイベントの種類がある場合に前記一覧内の該当するイベントの種類の出現フラグを出現旨のフラグに設定し、前記一覧内のイベントの種類全ての出現フラグが出現旨のフラグに設定された場合、前記イベントログのうちの現在処理しているログよりも過去のログに対応する前記一覧内のイベントの種類の、種類フラグを正常旨のフラグに設定することを特徴とするイベント判別装置。
4. 所定期間内のイベントログから、該所定期間内で発生したイベントの種類の一覧を作成し、
   作成された一覧内のイベントの種類が全て出現するまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、
   前記一覧内のイベントの種類が全て出現した時点のログよりも過去のログに対応する、前記一覧内のイベントの種類を正常イベントとして設定する処理をコンピュータに実行させるイベント判別プログラム。
5. 所定期間内のイベントログから、該所定期間内で発生したイベントの種類の一覧を作成し、
   作成された一覧内のイベントの種類が全て出現するまで、前記所定期間内の最新日時を出発点として、過去にさかのぼりながら前記イベントログ内のログを取得し、
   前記一覧内のイベントの種類が全て出現した時点のログよりも過去のログに対応する、前記一覧内のイベントの種類を正常イベントとして設定する処理をコンピュータが実行するイベント判別方法。

Images