JP6981063B2 - 表示制御プログラム、表示制御方法、及び表示制御装置 - Google Patents

Description

本件は、表示制御プログラム、表示制御方法、及び表示制御装置に関する。

監視対象のシステムを構成するコンポーネント（計算機、オペレーティングシステムおよびアプリケーションなど）から性能情報を収集して分析し、そのシステムの性能が適正か否かを判定する監視システムが知られている（例えば、特許文献１参照）。また、システム監視ソフトウェアが予め登録したルール（データの閾値チェックなど）をチェックする機能を提供するものの、システムの運用監視者が監視のために見るべきデータは膨大にあることも知られている（例えば、特許文献２参照）。

特開２０１５−０９２４２０号公報 国際公開第２０１７／０３７８０１号

そこで、１つの側面では、監視作業の作業負担を軽減できる表示制御プログラム、表示制御方法、及び表示制御装置を提供することを目的とする。

１つの実施態様では、表示制御プログラムは、監視対象の複数の装置のそれぞれについて複数種類の観測データの情報を収集するとともに、収集した前記複数種類の観測データについてアノマリ検知処理を行い、前記アノマリ検知処理の結果に基づき、特定の期間内におけるアノマリが検知された第１の時間帯と、アノマリが検知された装置との対応関係を示す第１の表示を行い、前記第１の表示において、前記装置と前記第１の時間帯の一部である第２の時間帯との組み合わせの指定を受け付けると、前記指定の直後に、指定された前記装置の前記第２の時間帯における前記複数種類の観測データのそれぞれについてアノマリが検知されたか否かを示す第２の表示を行い、前記第２の表示において、観測データの指定を受け付けると、前記第２の表示で指定された前記観測データについての時系列変化と前記第２の時間帯とをアノマリが検知された箇所が分かるように示す第３の表示を行う、処理をコンピュータに実行させることを特徴とする。

監視作業の作業負担を軽減することができる。

図１は表示制御システムの一例である。 図２は分析サーバのハードウェア構成の一例である。 図３は分析サーバのブロック図の一例である。 図４は観測データ記憶部の一例である。 図５は観測データの正規分布の一例である。 図６は観測データ収集部及びアノマリ検知部が実行する第１処理の一例を示すフローチャートである。 図７は観測データ可視化部が実行する第２処理の一例を示すフローチャートである。 図８はアノマリ分析画面の一例である。 図９はアノマリ分析画面の一例である。 図１０はアノマリ分析画面の一例である。 図１１はアノマリ分析画面の一例である。 図１２はアノマリ分析画面の一例である。 図１３はアノマリ分析画面の一例である。 図１４はアノマリ分析画面の一例である。 図１５（ａ）及び（ｂ）は分析期間の設定変更の一例を説明する図である。

以下、本件を実施するための形態について図面を参照して説明する。

図１は表示制御システムＳの一例である。表示制御システムＳは、監視対象システム１００と監視サーバ１５０と表示制御装置としての分析サーバ２００とを構成要素として備えている。表示制御システムＳの構成要素に監視端末３００を含めてもよいし、含めなくてもよい。監視端末３００は、例えば入力装置、表示装置、制御装置を含むPersonal Computer（ＰＣ）や、タブレット端末といったスマートデバイスによって実現される。

監視対象システム１００は複数の監視対象リソース１１０を含んでいる。監視対象リソース１１０はコンピュータ資源であって、例えばＷｅｂサーバ、アプリケーションサーバ、データベースサーバ、仮想化サーバといった各種のサーバ装置、ストレージ装置、ネットワーク装置などが該当する。したがって、監視対象システム１００は計算機システム又はInformation and Communication Technology（ＩＣＴ）システムと呼ばれる場合もある。表示制御システムＳのエンドユーザ（不図示）は監視対象システム１００にアクセスして監視対象リソース１１０が提供する種々の機能を利用することができる。

監視サーバ１５０は通信ネットワークＮＷを通じて監視対象リソース１１０にアクセスし、監視対象リソース１１０の性能や負荷を監視する。具体的には、監視サーバ１５０は複数の監視対象リソース１１０のそれぞれからＣＰＵ使用率やメモリ空き情報、ディスクスループットといった監視対象リソース１１０の動作情報を表す複数種類の性能値を取得し、取得した性能値を様々な角度で対比して管理する。尚、通信ネットワークＮＷとしてはLocal Area Network（ＬＡＮ）やインターネットなどがある。

分析サーバ２００は監視サーバ１５０と接続されている。例えば分析サーバ２００は、図１に示すように、監視サーバ１５０と直接的に接続されていてもよいし、通信ネットワークＮＷを介して監視サーバ１５０と間接的に接続されていてもよい。分析サーバ２００は監視サーバ１５０が取得した複数種類の性能値のログを観測データとして収集し、収集した複数種類の観測データについてアノマリ検知処理を実行する。アノマリ検知処理は、複数種類の観測データを分析し、監視対象リソース１１０の通常時の状態との違いを検知又は検出する処理である。詳細は後述するが、分析サーバ２００は監視端末３００から各種の指示を受け付けると、監視端末３００にアノマリ分析結果を表す各種の表示を行う。

次に、図２を参照して、分析サーバ２００のハードウェア構成について説明する。尚、上述した複数の監視対象リソース１１０、監視サーバ１５０、及び監視端末３００については基本的に分析サーバ２００と同様のハードウェア構成であるため、説明を省略する。

図２は分析サーバ２００のハードウェア構成の一例である。図２に示すように、分析サーバ２００は、少なくともプロセッサとしてのCentral Processing Unit（ＣＰＵ）２００Ａ、Random Access Memory（ＲＡＭ）２００Ｂ、Read Only Memory（ＲＯＭ）２００Ｃ及びネットワークＩ／Ｆ（インタフェース）２００Ｄを含んでいる。分析サーバ２００は、必要に応じて、Hard Disk Drive（ＨＤＤ）２００Ｅ、入力Ｉ／Ｆ２００Ｆ、出力Ｉ／Ｆ２００Ｇ、入出力Ｉ／Ｆ２００Ｈ、ドライブ装置２００Ｉの少なくとも１つを含んでいてもよい。ＣＰＵ２００Ａからドライブ装置２００Ｉまでは、内部バス２００Ｊによって互いに接続されている。少なくともＣＰＵ２００ＡとＲＡＭ２００Ｂとが協働することによってコンピュータが実現される。尚、ＣＰＵ２００Ａに代えてMicro Processing Unit（ＭＰＵ）をプロセッサとして利用してもよい。

入力Ｉ／Ｆ２００Ｆには、入力装置７１０が接続される。入力装置７１０としては、例えばキーボードやマウスなどがある。出力Ｉ／Ｆ２００Ｇには、表示装置７２０が接続される。表示装置７２０としては、例えば液晶ディスプレイがある。入出力Ｉ／Ｆ２００Ｈには、半導体メモリ７３０が接続される。半導体メモリ７３０としては、例えばUniversal Serial Bus（ＵＳＢ）メモリやフラッシュメモリなどがある。入出力Ｉ／Ｆ２００Ｈは、半導体メモリ７３０に記憶されたプログラムやデータを読み取る。入力Ｉ／Ｆ２００Ｆ及び入出力Ｉ／Ｆ２００Ｈは、例えばＵＳＢポートを備えている。出力Ｉ／Ｆ２００Ｇは、例えばディスプレイポートを備えている。

ドライブ装置２００Ｉには、可搬型記録媒体７４０が挿入される。可搬型記録媒体７４０としては、例えばCompact Disc（ＣＤ）−ＲＯＭ、Digital Versatile Disc（ＤＶＤ）といったリムーバブルディスクがある。ドライブ装置２００Ｉは、可搬型記録媒体７４０に記録されたプログラムやデータを読み込む。ネットワークＩ／Ｆ２００Ｄは、例えばＬＡＮポートを備えている。ネットワークＩ／Ｆ２００Ｄは上述した通信ネットワークＮＷと接続される。

上述したＲＡＭ２００Ｂには、ＲＯＭ２００ＣやＨＤＤ２００Ｅに記憶されたプログラムがＣＰＵ２００Ａによって格納される。ＲＡＭ２００Ｂには、可搬型記録媒体７４０に記録されたプログラムがＣＰＵ２００Ａによって格納される。格納されたプログラムをＣＰＵ２００Ａが実行することにより、後述する各種の機能が実現され、また、後述する各種の処理が実行される。尚、プログラムは後述するフローチャートに応じたものとすればよい。

次に、図３から図５を参照して、分析サーバ２００の機能構成について説明する。

図３は分析サーバ２００のブロック図の一例である。図４は観測データ記憶部２２０の一例である。図５は観測データの正規分布１０の一例である。図３に示すように、分析サーバ２００は、処理部としての観測データ収集部２１０、アノマリ検知部２３０、及び観測データ可視化部２４０を含んでいる。また、分析サーバ２００は観測データ記憶部２２０を含んでいる。

尚、観測データ収集部２１０は、公知のログ収集転送ツール（例えばFluentdやLogstashなどのソフトウェア）をＣＰＵ２００Ａが実行することによって実現される。観測データ記憶部２２０は、Open Source Software（ＯＳＳ）の分散型検索リアルタイム分析エンジン（例えばElasticserchなどのソフトウェア）をＣＰＵ２００Ａが実行し、ＨＤＤ２００Ｅと協同することによって実現される。アノマリ検知部２３０は後述する第１処理の一部をＣＰＵ２００Ａが実行することによって実現される。観測データ可視化部２４０は、公知のデータ可視化ツール（例えばkibanaなどのソフトウェア）をＣＰＵ２００Ａが実行することによって実現される。

観測データ収集部２１０は監視サーバ１５０から複数種類の観測データを収集する。より詳しくは、観測データ収集部２１０は定期的に（例えば１０分単位に）監視サーバ１５０にアクセスし、監視サーバ１５０が複数の監視対象リソース１１０のそれぞれから取得した複数種類の性能値をそれぞれ観測データとして収集する。観測データ収集部２１０は観測データを収集すると、収集した観測データを観測データ記憶部２２０に格納する。これにより、図４に示すように、観測データ記憶部２２０は監視対象リソース１１０毎に複数種類の観測データを記憶する。

具体的には、観測データ記憶部２２０は分析対象テーブルＴ１により管理された観測データを記憶する。分析対象テーブルＴ１は収集日時、リソースＩＤ、データ種別ＩＤ、データ値、単位、及びアノマリ分析結果といった複数の構成要素を対応付けて管理する。収集日時は観測データを収集した日時である。リソースＩＤは監視対象リソース１１０を識別する識別情報である。データ種別ＩＤは観測データの性能種別を識別する識別情報である。データ値と単位は観測データの性能を表す実測値とその実測値の単位を表す記号又は文字である。アノマリ分析結果は後述するアノマリを検知したか否かを識別する識別フラグである。例えば識別フラグ「１」はアノマリを検知したことを表し、識別フラグ「０」はアノマリを検知しなかったことを表す。このように、分析対象テーブルＴ１により監視対象リソース１１０毎に性能に関する複数種類の観測データが管理される。

アノマリ検知部２３０は観測データ記憶部２２０から観測データを取得し、観測データについてアノマリ検知処理を実行する。例えば、アノマリ検知部２３０は観測データ記憶部２２０から取得した観測データに基づいて、図５に示すように、観測データ（具体的には観測データのデータ値）の正規分布１０をリソースＩＤ毎かつデータ種別ＩＤ毎に生成し、正規分布１０の平均値μから２σ以上離れた観測データをアノマリとして検知する。アノマリ検知部２３０はアノマリを検知した観測データについて、分析対象テーブルＴ１のアノマリ分析結果に識別フラグ「１」を分析結果として登録する。一方、アノマリ検知部２３０はアノマリを検知しなかった観測データについて、分析対象テーブルＴ１のアノマリ分析結果に識別フラグ「０」を分析結果として登録する。

観測データ可視化部２４０は監視端末３００からアノマリ分析画面の表示を要求する画面表示要求を受け付けると、観測データ記憶部２２０から識別フラグが登録された観測データを取得し、取得した観測データを可視化する。例えば、観測データ可視化部２４０は取得した観測データのデータ値を時系列に表すグラフを生成するとともに、アノマリ分析結果に識別フラグ「１」が登録された観測データに対応するグラフの箇所に、アノマリが検知されたことが分かるマークを付与する。当該マークの形状及び色は設計などに適宜決定することができる。詳細は後述するが、本実施形態では、当該マークの形状を円とし、当該マークの色を赤としている。観測データ可視化部２４０はマークを付与したグラフを含むアノマリ分析画面の表示を監視端末３００に行う。

続いて、分析サーバ２００の動作について説明する。

図６は観測データ収集部２１０及びアノマリ検知部２３０が実行する第１処理の一例を示すフローチャートである。第１処理は定期的に（例えば１０分単位に）実行される。まず、観測データ収集部２１０は監視サーバ１５０から観測データを収集し（ステップＳ１０１）、収集した観測データを観測データ記憶部２２０に格納する（ステップＳ１０２）。

ステップＳ１０２の処理が完了すると、アノマリ検知部２３０は設定時間が到来したか否かを判断する（ステップＳ１０３）。設定時間は上述した定期より長い時間（例えば１時間といった数時間）である。したがって、例えば観測データ収集部２１０は１０分おきに観測データを収集して観測データ記憶部２２０に格納し、アノマリ検知部２３０は１時間おきにステップＳ１０３の処理以後の処理を実行するか否かを判断する。

例えば、アノマリ検知部２３０が前回ステップＳ１０３の処理以後の処理を実行してから設定時間が到来していない場合（ステップＳ１０３：ＮＯ）、後続のステップＳ１０４からＳ１０６の処理をスキップする。これにより、観測データ収集部２１０は観測データを収集してから１０分経過する度に、観測データを収集して観測データ記憶部２２０に格納する。これにより、観測データ記憶部２２０には観測データが蓄積される。

一方、アノマリ検知部２３０が前回ステップＳ１０３の処理以後の処理を実行してから設定時間が到来している場合（ステップＳ１０３：ＹＥＳ）、アノマリ検知部２３０は観測データ記憶部２２０から観測データを取得する（ステップＳ１０４）。ステップＳ１０４の処理が完了すると、アノマリ検知部２３０はアノマリ検知処理を実行し（ステップＳ１０５）、分析結果を分析対象テーブルＴ１に登録する（ステップＳ１０６）。これにより、観測データに識別フラグ「０」又は識別フラグ「１」が関連付けられる（図４参照）。

図７は観測データ可視化部２４０が実行する第２処理の一例を示すフローチャートである。図８から図１４はアノマリ分析画面の一例である。尚、図９から図１２及び図１４では、アノマリ分析画面の下段が省略されて示されている。また、図１３では、後述する分析期間及び指定対象項目などが省略されて示されている。

まず、観測データ可視化部２４０は監視端末３００から画面表示要求を受け付けるまで待機する（ステップＳ２０１：ＮＯ）。観測データ可視化部２４０は画面表示要求を受け付けると（ステップＳ２０１：ＹＥＳ）、装置俯瞰図を表示する（ステップＳ２０２）。

ここで、装置俯瞰図は、特定の期間内におけるアノマリが検知された時間帯と、アノマリが検知された監視対象リソース１１０との対応関係で示す図である。具体的には、図８に示すように、観測データ可視化部２４０は、アノマリ検知処理の結果に基づき、アノマリ分析画面の上段に装置俯瞰図２１の表示を行う。装置俯瞰図２１は、特定の期間としての分析期間「２０１７年２月１８日９時００分」から「２０１７年２月１８日２４時００分」まで１時間おきに、リソースＩＤ毎のアノマリの検知状況を示している。装置俯瞰図２１における黒色領域２１Ａは、アノマリが検知されたリソースＩＤと時間帯の組合せである。装置俯瞰図２１における白色領域２１Ｂは、アノマリが検知されなかったリソースＩＤと時間帯の組合せである。

観測データ可視化部２４０はアノマリの検知数に基づいて、リソースＩＤの並び順を決定する。より詳しくは、観測データ可視化部２４０はアノマリの検知数が多いほど、そのリソースＩＤを上位に配置した装置俯瞰図２１を表示する。したがって、必ずしもリソースＩＤに対する黒色領域２１Ａの数が多いほど、そのリソースＩＤが上位に配置される訳ではなく、その時間帯に多くのアノマリが検知されていれば、アノマリが検知されたそのリソースＩＤが上位に配置される。例えば、ある第１のリソースＩＤの第１の時間帯におけるアノマリ検知数が１回であり、ある第２のリソースＩＤの第１の時間帯におけるアノマリ検知数が３回である場合、観測データ可視化部２４０は第２のリソースＩＤを第１のリソースＩＤより上位に配置した装置俯瞰図２１の表示を行う。尚、観測データ可視化部２４０は装置俯瞰図２１より下の図の表示を行ってもよいし、行わなくてもよい。

図７に戻り、ステップＳ２０２の処理が完了すると、次いで、観測データ可視化部２４０は監視端末３００からフィルタリング指定を受け付けるまで待機する（ステップＳ２０３：ＮＯ）。観測データ可視化部２４０はフィルタリング指定を受け付けると（ステップＳ２０３：ＹＥＳ）、指定対象項目を表示する（ステップＳ２０４）。

例えば、図８に示すように、装置俯瞰図２１においてポインタＰｔによりリソースＩＤと時間帯との組み合わせを指定して指示すると、観測データ可視化部２４０は、当該組み合わせの指定を受け付ける。本実施形態ではリソースＩＤ「ｓｖｒ２４」及び時間帯「１７：００−１８：００」の組み合わせがポインタＰｔにより指定されている。観測データ可視化部２４０は、リソースＩＤと時間帯との組み合わせの指定を受け付けると、図９に示すように、装置俯瞰図２１の上段に２つの指定対象項目とチェックボックス３１，３２の表示を行う。本実施形態では、観測データ可視化部２４０は、指定対象項目「リソースＩＤ：ｓｖｒ２４」と指定対象項目「時間帯：１７：００−１８：００」の表示を行っている。チェックボックス３１，３２はそれぞれの指定対象項目を選択するための選択欄である。指定対象項目の表示が行われた直後には、チェックボックス３１，３２のいずれにもチェックが入力されている。また、観測データ可視化部２４０は、２つの指定対象項目等の表示と併せて、実行ボタンＢｔ１及びキャンセルボタンＢｔ２の表示を行う。

ここで、図７に示すように、観測データ可視化部２４０は監視端末３００からフィルタリング実行を受け付けるまで待機する（ステップＳ２０５：ＮＯ）。観測データ可視化部２４０はフィルタリング実行を受け付けると（ステップＳ２０５：ＹＥＳ）、さらに、時間帯が除外されているか否かを判断する（ステップＳ２０６）。時間帯が除外されている場合（ステップＳ２０６：ＹＥＳ）、観測データ可視化部２４０は第１の性能俯瞰図を表示する（ステップＳ２０７）。

より詳しく説明すると、図９に示すように、ポインタＰｔにより実行ボタンＢｔ１が押下されると、観測データ可視化部２４０はフィルタリング実行を受け付ける。ここで、図９に示すように、指定対象項目「時間帯：１７：００−１８：００」に対応するチェックボックス３２に対するチェックがポインタＰｔにより外された状態でポインタＰｔにより実行ボタンＢｔ１が押下されると、ステップＳ２０６の処理において、観測データ可視化部２４０は時間帯が除外されていると判断する。この場合、図１０に示すように、観測データ可視化部２４０はアノマリ分析画面の中段に第１の性能俯瞰図４１の表示を行う。また、観測データ可視化部２４０は第１の性能俯瞰図４１の表示と併せて、装置俯瞰図２１を更新する。具体的には、観測データ可視化部２４０はリソースＩＤを限定しつつ、時間帯については限定しない装置俯瞰図２１の表示を行う。

ここで、第１の性能俯瞰図４１は、指定されたリソースＩＤにおける分析期間内における複数種類の観測データについて、アノマリが検知された時間帯と観測データとの対応関係を示す図である。第１の性能俯瞰図４１は、分析期間「２０１７年２月１８日９時００分」から「２０１７年２月１８日２４時００分」まで１時間おきに、データ種別ＩＤ毎にアノマリの検知状況を示している。第１の性能俯瞰図４１における黒色領域４１Ａは、アノマリが検知されたデータ種別ＩＤと時間帯の組合せである。第１の性能俯瞰図４１における白色領域４１Ｂは、アノマリが検知されなかったデータ種別ＩＤと時間帯の組合せである。尚、観測データ可視化部２４０は、リソースＩＤの並び順の決定と同様に、アノマリの検知数に基づいて、データ種別ＩＤの並び順を決定する。

図７に戻り、観測データ可視化部２４０は監視端末３００から時間帯指定を受け付けるまで待機する（ステップＳ２０８：ＮＯ）。観測データ可視化部２４０は時間帯指定を受け付けると（ステップＳ２０８：ＹＥＳ）、第２の性能俯瞰図を表示する（ステップＳ２０９）。

例えば、図１０に示すように、リソースＩＤが限定された装置俯瞰図２１においてポインタＰｔにより時間帯を指定して指示すると、観測データ可視化部２４０は、時間帯指定を受け付ける。本実施形態では時間帯「１７：００−１８：００」がポインタＰｔにより指定されている。観測データ可視化部２４０は、時間帯指定を受け付けると、図１１に示すように、リソースＩＤだけでなく、時間帯も限定された装置俯瞰図５１と第２の性能俯瞰図５２に更新する。本実施形態では、観測データ可視化部２４０は、リソースＩＤ「ｓｖｒ２４」と時間帯「１７：００−１８：００」に限定された装置俯瞰図５１と第２の性能俯瞰図５２の表示を行っている。すなわち、分析期間における分析開始時刻「９：００」から分析終了時刻「２４：００」までが時間帯「１７：００−１８：００」に更新されている。

尚、図７に示すステップＳ２０６の処理において、時間帯が除外されていない場合（ステップＳ２０６：ＮＯ）、観測データ可視化部２４０は、ステップＳ２０７及びＳ２０８の処理をスキップして、ステップＳ２０９の処理を実行する。具体的には、図１２に示すように、指定対象項目「時間帯：１７：００−１８：００」に対応するチェックボックス３２に対するチェックがポインタＰｔにより外されていない状態でポインタＰｔにより実行ボタンＢｔ１が押下されると、ステップＳ２０６の処理において、観測データ可視化部２４０は時間帯が除外されていないと判断する。この場合、観測データ可視化部２４０は、図１１に示すように、リソースＩＤ「ｓｖｒ２４」と時間帯「１７：００−１８：００」に限定された装置俯瞰図５１と第２の性能俯瞰図５２の表示を行う。すなわち、この場合、観測データ可視化部２４０は、図１０に示すような、第１の性能俯瞰図４１を含むアノマリ分析画面を表示せずに、図１１に示すような、第２の性能俯瞰図５２を含むアノマリ分析画面を表示する。

図７に戻り、ステップＳ２０９の処理が完了すると、観測データ可視化部２４０はデータ指定を受け付けるまで待機する（ステップＳ２１０：ＮＯ）。観測データ可視化部２４０はデータ指定を受け付けると（ステップＳ２１０：ＹＥＳ）、アノマリ確認図を表示する（ステップＳ２１１）。

例えば、図１１に示すように、リソースＩＤ及び時間帯が限定された第２の性能俯瞰図５２においてポインタＰｔにより観測データを指定して指示すると、観測データ可視化部２４０は、データ指定を受け付ける。本実施形態ではデータ種別ＩＤ「ＣＰＵ使用率」の観測データがポインタＰｔにより指定されているが、時間帯「１７：３０−１７：４５」は指定されずに除外される。すなわち、第２の性能俯瞰図５２においてポインタＰｔにより観測データを指定して指示する場合、指定した位置の時間帯には限定されない。観測データ可視化部２４０は、データ指定を受け付けると、図１３に示すように、リソースＩＤと時間帯が限定されたアノマリ確認図６１の表示をアノマリ分析画面の下段に行う。本実施形態では、観測データ可視化部２４０は、リソースＩＤ「ｓｖｒ２４」と時間帯「１７：００−１８：００」に限定されたアノマリ確認図６１の表示を行っている。

尚、図１０と同様の図１４に示すように、リソースＩＤが限定された第１の性能俯瞰図４１においてポインタＰｔにより時間帯を指定して指示すると、観測データ可視化部２４０は、時間帯指定を受け付ける。本実施形態では時間帯「１７：００−１８：００」がポインタＰｔにより指定されている。観測データ可視化部２４０は、このような時間帯指定を受け付けても、図１３に示すように、リソースＩＤと時間帯が限定されたアノマリ確認図６１の表示を行う。

ここで、アノマリ確認図６１は、指定されたリソースＩＤ及び時間帯について、指定されたデータ種別ＩＤの観測データについての時系列変化を、アノマリが検知された箇所が分かるように示す図である。より詳しくは、図１３に示すように、アノマリ確認図６１は、指定されたリソースＩＤ及び時間帯について、指定されたデータ種別ＩＤの観測データについての時系列変化を、通常時の上限及び下限をそれぞれ表すグラフＧ１，Ｇ２及びデータ値を表すグラフＧ３により表している。特に、本実施形態では、アノマリ確認図６１は、指定されたリソースＩＤ「ｓｖｒ２４」及び時間帯「１７：００−１８：００」について、指定されたデータ種別ＩＤ「ＣＰＵ使用率」の観測データについての時系列変化を示している。マークＭ１，Ｍ２はグラフＧ３がグラフＧ１及びグラフＧ２を超えた箇所に付与されている。具体的には、マークＭ１はグラフＧ３がグラフＧ２を超えた箇所に付与されており、マークＭ２はグラフＧ３がグラフＧ１を超えた箇所に付与されている。マークＭ１，Ｍ２により運用監視者はアノマリが検知された箇所を理解できる。尚、図１３では、２つのマークＭ１，Ｍ２が付与されているが、グラフＧ３によってはマークＭ１，Ｍ２のどちらかであったり、３つ以上のマークが付与されたりすることもある。図７に戻り、ステップＳ２１１の処理が完了すると、観測データ可視化部２４０は第２処理を終了する。

以上、本実施形態によれば、分析サーバ２００は観測データ収集部２１０、アノマリ検知部２３０、及び観測データ可視化部２４０を備えている。観測データ収集部２１０は、複数の監視対象リソース１１０のそれぞれについて複数種類の観測データの情報を収集する。アノマリ検知部２３０は、観測データ収集部２１０が収集した複数種類の観測データについてアノマリ検知処理を実行する。

そして、観測データ可視化部２４０は、アノマリ検知処理の結果に基づき、分析期間内におけるアノマリが検知された時間帯と、アノマリが検知された監視対象リソース１１０との対応関係を示す装置俯瞰図２１の表示を行う。また、観測データ可視化部２４０は、装置俯瞰図２１の表示において、監視対象リソース１１０と時間帯との組み合わせの指定を受け付けると、指定された監視対象リソース１１０における分析期間内における複数種類の観測データについてアノマリが検知された時間帯と観測データとの対応関係を示す第１の性能俯瞰図４１の表示を行う。さらに、観測データ可視化部２４０は、第１の性能俯瞰図４１の表示において、観測データの指定を受け付けると、装置俯瞰図２１で指定された監視対象リソース１１０及び時間帯について、第１の性能俯瞰図４１の表示で指定された観測データについての時系列変化をアノマリが検知された箇所が分かるように示すアノマリ確認図６１の表示を行う。これにより、監視作業の作業負担を軽減することができる。

以上、本発明の好ましい実施形態について詳述したが、本発明に係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

例えば、観測データ可視化部２４０は、上述した分析期間を設定又は選択（以下、単に設定という）に基づいて変更してもよい。具体的には、図１５（ａ）に示すように、アノマリ分析画面に含まれる分析期間の表示領域がポインタＰｔにより指示されると、観測データ可視化部２４０は、図１５（ｂ）に示すように、分析期間を設定する画面７０の表示を行う。運用監視者が画面７０に含まれる複数の設定項目７１に指示を与えると、観測データ可視化部２４０は指示に基づいて、分析開始日時及び分析終了日時を変更する。このように、分析期間を適宜変更することにより、運用監視者は様々な分析期間でアノマリ検知状況を確認することができる。

また、上述した実施形態では、アノマリ検知部２３０は観測データの正規分布１０を利用して、観測データのアノマリを検知することを説明した。例えば観測データ収集部２１０が連続する過去の複数日（例えば１週間など）における同時刻の観測データを収集した場合、アノマリ検知部２３０は観測データ収集部２１０が収集したこれらの観測データに基づいて、分析日当日の観測データのアノマリを検知するようにしてもよい。これにより、１日単位であればアノマリが検知されていても、１週間単位であればアノマリが検知されない場合がある。このように、分析期間を変えることにより、運用監視者は多角的にアノマリ検知状況を確認することができる。

なお、以上の説明に関して更に以下の付記を開示する。
（付記１）監視対象の複数の装置のそれぞれについて複数種類の観測データの情報を収集するとともに、収集した前記複数種類の観測データについてアノマリ検知処理を行い、前記アノマリ検知処理の結果に基づき、特定の期間内におけるアノマリが検知された時間帯と、アノマリが検知された装置との対応関係を示す第１の表示を行い、前記第１の表示において、装置と時間帯との組み合わせの指定を受け付けると、指定された前記装置における前記特定の期間内における前記複数種類の観測データについてアノマリが検知された時間帯と観測データとの対応関係を示す第２の表示を行い、前記第２の表示において、観測データの指定を受け付けると、前記第１の表示で指定された前記装置及び前記時間帯について、前記第２の表示で指定された前記観測データについての時系列変化をアノマリが検知された箇所が分かるように示す第３の表示を行う、処理をコンピュータに実行させることを特徴とする表示制御プログラム。
（付記２）前記第２の表示を行う処理は、前記第１の表示において、装置と時間帯との組み合わせの指定を受け付け、指定された時間帯を外す選択を受け付けると、前記第２の表示を行う、ことを特徴とする付記１に記載の表示制御プログラム。
（付記３）前記第２の表示を行う処理は、前記第１の表示において、装置と時間帯との組み合わせの指定を受け付け、指定された時間帯を残す選択を受け付けると、指定された前記装置における前記時間帯における前記複数種類の観測データについてアノマリが検知された時間帯と観測データとの対応関係を示す第４の表示を行う、ことを特徴とする付記１又は２に記載の表示制御プログラム。
（付記４）前記第１の表示を行う処理は、前記特定の期間内に検知されたアノマリの検知数に基づいて、前記アノマリが検知された装置を識別する識別情報の並び順を決定する、ことを特徴とする付記１から３のいずれか１項に記載の表示制御プログラム。
（付記５）前記第２の表示を行う処理は、前記特定の期間内に検知されたアノマリの検知数に基づいて、前記アノマリが検知された観測データを識別する識別情報の並び順を決定する、ことを特徴とする付記１から４のいずれか１項に記載の表示制御プログラム。
（付記６）前記特定の期間は、設定又は選択に基づいて変更可能である、ことを特徴とする付記１から５のいずれか１項に記載の表示制御プログラム。
（付記７）監視対象の複数の装置のそれぞれについて複数種類の観測データの情報を収集するとともに、収集した前記複数種類の観測データについてアノマリ検知処理を行い、前記アノマリ検知処理の結果に基づき、特定の期間内におけるアノマリが検知された時間帯と、アノマリが検知された装置との対応関係を示す第１の表示を行い、前記第１の表示において、装置と時間帯との組み合わせの指定を受け付けると、指定された前記装置における前記特定の期間内における前記複数種類の観測データについてアノマリが検知された時間帯と観測データとの対応関係を示す第２の表示を行い、前記第２の表示において、観測データの指定を受け付けると、前記第１の表示で指定された前記装置及び前記時間帯について、前記第２の表示で指定された前記観測データについての時系列変化をアノマリが検知された箇所が分かるように示す第３の表示を行う、処理をコンピュータが実行することを特徴とする表示制御方法。
（付記８）監視対象の複数の装置のそれぞれについて複数種類の観測データの情報を収集するとともに、収集した前記複数種類の観測データについてアノマリ検知処理を行い、前記アノマリ検知処理の結果に基づき、特定の期間内におけるアノマリが検知された時間帯と、アノマリが検知された装置との対応関係を示す第１の表示を行い、前記第１の表示において、装置と時間帯との組み合わせの指定を受け付けると、指定された前記装置における前記特定の期間内における前記複数種類の観測データについてアノマリが検知された時間帯と観測データとの対応関係を示す第２の表示を行い、前記第２の表示において、観測データの指定を受け付けると、前記第１の表示で指定された前記装置及び前記時間帯について、前記第２の表示で指定された前記観測データについての時系列変化をアノマリが検知された箇所が分かるように示す第３の表示を行う、処理を実行する処理部を備えることを特徴とする表示制御装置。
（付記９）前記処理部は、前記第１の表示において、装置と時間帯との組み合わせの指定を受け付け、指定された時間帯を外す選択を受け付けると、前記第２の表示を行う、ことを特徴とする付記８に記載の表示制御装置。
（付記１０）前記処理部は、前記第１の表示において、装置と時間帯との組み合わせの指定を受け付け、指定された時間帯を残す選択を受け付けると、指定された前記装置における前記時間帯における前記複数種類の観測データについてアノマリが検知された時間帯と観測データとの対応関係を示す第４の表示を行う、ことを特徴とする付記８又は９に記載の表示制御装置。
（付記１１）前記処理部は、前記特定の期間内に検知されたアノマリの検知数に基づいて、前記アノマリが検知された装置を識別する識別情報の並び順を決定する、ことを特徴とする付記８から１０のいずれか１項に記載の表示制御装置。
（付記１２）前記処理部は、前記特定の期間内に検知されたアノマリの検知数に基づいて、前記アノマリが検知された観測データを識別する識別情報の並び順を決定する、ことを特徴とする付記８から１１のいずれか１項に記載の表示制御装置。
（付記１３）前記特定の期間は、設定又は選択に基づいて変更可能である、ことを特徴とする付記８から１２のいずれか１項に記載の表示制御装置。

Ｓ 表示制御システム
１００ 監視対象システム
１１０ 監視対象リソース
１５０ 監視サーバ
２００ 分析サーバ
２１０ 観測データ収集部
２２０ 観測データ記憶部
２３０ アノマリ検知部
２４０ 観測データ可視化部
３００ 監視端末

Claims (8)

1. 監視対象の複数の装置のそれぞれについて複数種類の観測データの情報を収集するとともに、収集した前記複数種類の観測データについてアノマリ検知処理を行い、
   前記アノマリ検知処理の結果に基づき、特定の期間内におけるアノマリが検知された第１の時間帯と、アノマリが検知された装置との対応関係を示す第１の表示を行い、
   前記第１の表示において、前記装置と前記第１の時間帯の一部である第２の時間帯との組み合わせの指定を受け付けると、前記指定の直後に、指定された前記装置の前記第２の時間帯における前記複数種類の観測データのそれぞれについてアノマリが検知されたか否かを示す第２の表示を行い、
   前記第２の表示において、観測データの指定を受け付けると、前記第２の表示で指定された前記観測データについての時系列変化と前記第２の時間帯とをアノマリが検知された箇所が分かるように示す第３の表示を行う、
   処理をコンピュータに実行させることを特徴とする表示制御プログラム。
2. 前記第２の表示を行う処理は、前記第１の時間帯と、アノマリが検知された複数の装置との対応関係を示す前記第１の表示において、前記複数の装置のいずれかと前記第２の時間帯との組み合わせの指定を受け付け、指定された前記第２の時間帯を外す選択を受け付けると、指定された前記複数の装置のいずれかの前記第１の時間帯における前記複数種類の観測データのそれぞれについてアノマリが検知されたか否かを示す所定の表示を行う、
   ことを特徴とする請求項１に記載の表示制御プログラム。
3. 前記第２の表示を行う処理は、前記第１の時間帯と、アノマリが検知された複数の装置との対応関係を示す前記第１の表示において、前記複数の装置のいずれかと前記第２の時間帯との組み合わせの指定を受け付け、指定された前記第２の時間帯を残す選択を受け付けると、指定された前記複数の装置のいずれかの前記第２の時間帯における前記複数種類の観測データのそれぞれについてアノマリが検知されたか否かを示す第４の表示を行う、
   ことを特徴とする請求項１又は２に記載の表示制御プログラム。
4. 前記第１の表示を行う処理は、前記特定の期間内に検知されたアノマリの検知数に基づいて、前記アノマリが検知された装置を識別する識別情報の並び順を決定する、
   ことを特徴とする請求項１から３のいずれか１項に記載の表示制御プログラム。
5. 前記第２の表示を行う処理は、前記特定の期間内に検知されたアノマリの検知数に基づいて、前記アノマリが検知された観測データを識別する識別情報の並び順を決定する、
   ことを特徴とする請求項１から４のいずれか１項に記載の表示制御プログラム。
6. 前記特定の期間は、設定又は選択に基づいて変更可能である、
   ことを特徴とする請求項１から５のいずれか１項に記載の表示制御プログラム。
7. 監視対象の複数の装置のそれぞれについて複数種類の観測データの情報を収集するとともに、収集した前記複数種類の観測データについてアノマリ検知処理を行い、
   前記アノマリ検知処理の結果に基づき、特定の期間内におけるアノマリが検知された第１の時間帯と、アノマリが検知された装置との対応関係を示す第１の表示を行い、
   前記第１の表示において、前記装置と前記第１の時間帯の一部である第２の時間帯との組み合わせの指定を受け付けると、前記指定の直後に、指定された前記装置の前記第２の時間帯における前記複数種類の観測データのそれぞれについてアノマリが検知されたか否かを示す第２の表示を行い、
   前記第２の表示において、観測データの指定を受け付けると、前記第２の表示で指定された前記観測データについての時系列変化と前記第２の時間帯とをアノマリが検知された箇所が分かるように示す第３の表示を行う、
   処理をコンピュータが実行することを特徴とする表示制御方法。
8. 監視対象の複数の装置のそれぞれについて複数種類の観測データの情報を収集するとともに、収集した前記複数種類の観測データについてアノマリ検知処理を行い、
   前記アノマリ検知処理の結果に基づき、特定の期間内におけるアノマリが検知された第１の時間帯と、アノマリが検知された装置との対応関係を示す第１の表示を行い、
   前記第１の表示において、前記装置と前記第１の時間帯の一部である第２の時間帯との組み合わせの指定を受け付けると、前記指定の直後に、指定された前記装置の前記第２の時間帯における前記複数種類の観測データのそれぞれについてアノマリが検知されたか否かを示す第２の表示を行い、
   前記第２の表示において、観測データの指定を受け付けると、前記第２の表示で指定された前記観測データについての時系列変化と前記第２の時間帯とをアノマリが検知された箇所が分かるように示す第３の表示を行う、
   処理を実行する処理部を備えることを特徴とする表示制御装置。

Images