JP7006347B2 - 管理装置、管理方法とそのプログラム - Google Patents

Description

本発明は、メッセージを抽出する管理装置等に関する。

コンピュータ又はネットワーク装置で発生したイベント又は動作ログのメッセージを収集し、コンピュータ等を監視・管理する運用管理システムがある。メッセージは、コンピュータ等のハードウエア、又は、ソフトウエアごとに生成される。このため、運用管理システムは、フィルタ条件を満たすメッセージを抽出し管理者に提供している。

管理者は、抽出されたメッセージに障害情報を追跡するためのマークを付与することで、抽出されたメッセージと障害とを関連付けて障害情報を管理する。

上記の運用管理システムでは、監視対象のハードウエア、又は、ソフトウエアの変更に応じて、メッセージを抽出するためのフィルタ設定の変更が必要となる。フィルタ設定の変更に漏れ、又は、誤りがあると監視対象のメッセージが抽出できず、見逃される可能性が高まる。

フィルタ設定の補完として特許文献１には、メッセージを構成する単語の重みから重要度を計算し、閾値を超えた場合にメッセージを通知する技術が記載されている。

国際公開第２０１２／０６６６５０号 特開２００６－３１８０７１号公報

特許文献１の技術では、システム管理者がフィルタとして設定するための単語とその重みを予め定義しておく必要がある。しかし、運用管理システムを運用する前にメッセージを構成する単語について適切に定義するのは困難である。

本発明の目的は、フィルタ設定によるメッセージの抽出漏れを抑制できる管理装置等を提供することにある。

本発明の管理装置は、監視対象の状態を表すメッセージのうち、検知の対象である検知メッセージのメッセージ群から抽出された、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とを含むパターンを格納するパターン格納部と、前記パターンの前記固定部分、及び、前記変数部分ごとに前記メッセージ群の中で出現する回数に基づき算出された、前記パターンにおける前記固定部分のスコアおよび前記変数部分ごとのスコアを格納するスコア格納部と、新規メッセージに対し、前記格納されたパターンの中から適合するパターンを選択するパターン選択部と、前記適合するパターンに対応する前記固定部分のスコアと前記変数部分ごとのスコアを用いて、前記新規メッセージの類似度を計算する類似度計算部と、前記類似度が所定の閾値を超えた新規メッセージを出力する出力部を備える。

本発明の管理方法は、監視対象の状態を表すメッセージのうち、検知の対象である検知メッセージのメッセージ群から抽出された、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とを含むパターンを取得し、前記パターンの前記固定部分、及び、前記変数部分ごとに前記メッセージ群の中で出現する回数に基づき算出された、前記パターンにおける前記固定部分のスコアおよび前記変数部分ごとのスコアを取得し、新規メッセージに対し、前記取得したパターンの中から適合するパターンを選択し、前記適合するパターンに対応する前記固定部分のスコアと前記変数部分ごとのスコアを用いて、前記新規メッセージの類似度を計算し、前記類似度が所定の閾値を超えた新規メッセージを出力する。

本発明のプログラムは、コンピュータに、監視対象の状態を表すメッセージのうち、検知の対象である検知メッセージのメッセージ群から抽出された、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とを含むパターンを取得し、前記パターンの前記固定部分、及び、前記変数部分ごとに前記メッセージ群の中で出現する回数に基づき算出された、前記パターンにおける前記固定部分のスコアおよび前記変数部分ごとのスコアを取得し、新規メッセージに対し、前記取得したパターンの中から適合するパターンを選択し、前記適合するパターンに対応する前記固定部分のスコアと前記変数部分ごとのスコアを用いて、前記新規メッセージの類似度を計算し、前記類似度が所定の閾値を超えた新規メッセージを出力する、ことを実行させる。

本発明は、フィルタ設定によるメッセージの抽出漏れを抑制できる。

第１の実施形態の管理装置を含む運用管理システムの概要を示す概要図である。 第１の実施形態の管理装置の構成を示すブロック図である。 第１の実施形態におけるメッセージ群の例を示す図である。 図３に示すメッセージ群から抽出されたパターンの例を示す図である。 第１の実施形態における新規メッセージの一例を示す図である。 図４に示すパターンの固定部分のスコア、変数部分ごとのスコアを算出する例を説明する図である。 図５に示す新規メッセージの類似度の算出を説明する図である。 図７に示す新規メッセージの類似度の正規化を説明する図である。 第１の実施形態の管理装置におけるパターン抽出処理の例を示すフローチャートである。 第１の実施形態の管理装置におけるスコア算出処理の例を示すフローチャートである。 第１の実施形態の管理装置におけるフィルタ適用処理とパターン適用処理の一例を示すフローチャートである。 第２の実施形態の管理装置の構成を示すブロック図である。 第２の実施形態の管理装置におけるメッセージ抽出処理の一例を示すフローチャートである。 第１の実施形態における管理装置をコンピュータで実現する際のハードウエア構成を示すブロック図である。

第１の実施形態の管理装置を含む運用管理システムの概要について、図１を用いて説明する。図１は、第１の実施形態の管理装置を含む運用管理システムの概要を示す概要図である。

図１に示す運用管理システムは、監視対象９０、エージェント装置１００、管理装置２００、クライアント端末３００を備える。図中、管理装置２００は、エージェント装置１００とクライアント端末３００に通信可能に接続され、エージェント装置１００は、監視対象９０に通信可能に接続されている。以下、図１に示す運用管理システムについて説明する。

監視対象９０は、管理装置２００によって監視される対象である。監視対象９０の例は、コンピュータ、又は、ネットワーク装置である。監視対象９０は、自装置の状態を表すメッセージを生成して出力する。メッセージの一例は、監視対象９０の動作ログに含まれる情報である。メッセージは、監視対象９０からエージェント装置１００へ送信される。

エージェント装置１００は、監視対象９０が出力したメッセージを収集する。収集されたメッセージはエージェント装置１００から管理装置２００に送信される。エージェント装置１００は、複数の監視対象９０からメッセージを収集してもよい。

クライアント端末３００は、管理装置２００が出力したメッセージを受信し、表示制御部（図示せず）によってメッセージを表示部（図示せず）で表示する。運用管理システムの管理者は、メッセージが表示されることで、監視対象９０の状態を把握する。

次に、第１の実施形態の管理装置２００について、図２を用いて説明する。図２は、第１の実施形態の管理装置の構成を示すブロック図である。図２に示す管理装置２００は、エージェント装置１００とクライアント端末３００にそれぞれ通信可能に接続されている。

管理装置２００は、通信部２０１、フィルタ適用部２０２、パターン選択部２０３、類似度計算部２０４、判定部２０５、パターン抽出部２０７、スコア算出部２０８、フィルタ格納部２１０、パターン格納部２２０、スコア格納部２３０、メッセージ格納部２４０を備える。

（管理装置）
通信部２０１は、エージェント装置１００が送信した新規メッセージを受信する。通信部２０１は、フィルタ適用部２０２に新規メッセージを転送する。また、通信部２０１は、新規メッセージをクライアント端末３００に出力する。

フィルタ格納部２１０は、フィルタを格納する。フィルタには、所定文字列を含むメッセージを抽出するための条件が指定されている。フィルタの条件は、例えば、監視対象のハードウエア情報、あるいは、エラーを示す文字列である。

フィルタ適用部２０２は、フィルタ格納部２１０のフィルタを取得し、新規メッセージがフィルタにマッチするか確認する。フィルタにマッチするとは、フィルタに適合するとも呼ばれる。新規メッセージがフィルタにマッチする場合、フィルタ適用部２０２は、マッチする新規メッセージを通信部２０１に転送する。新規メッセージがフィルタにマッチしない場合、フィルタ適用部２０２は、マッチしない新規メッセージをパターン選択部２０３に転送する。

メッセージ格納部２４０は、検知メッセージを格納する。検知メッセージは、例えば、監視対象９０の状態を表すメッセージのうち、過去に検知された検知メッセージである。
なお、検知メッセージは、これに限られず、検知することが望まれるメッセージであってもよい。メッセージ格納部２４０に蓄積された検知メッセージはメッセージ群とも呼ばれる。

パターン抽出部２０７は、メッセージ格納部２４０から検知メッセージを取得し、検知メッセージからパターンを抽出する。パターンは、例えば、テキストマイニングによって検知メッセージから抽出される。パターン抽出部２０７によって抽出されるパターンには、固定部分と変数部分が含まれる。

固定部分とは、検知メッセージのパターンの中で変化しない部分である。変化しない部分とは、例えば、パターンの同一文字列である。変数部分とは、検知メッセージのパターンの中で変化可能な部分である。変化可能な部分とは、文字列の一部が変数のように変わる部分である。

図３は、メッセージ群の例を示す図である。図３中のメッセージ群において、「プロセスが停止状態になりました」は、パターンの固定部分として抽出される。また、図３において、メッセージ群の「Ｓｅｒｖｅｒ１」、「Ｓｅｒｖｅｒ２」、「Ｓｅｒｖｅｒ１」は、パターンの変数部分として抽出される。「Ｓｅｒｖｅｒ１」は、例えば、サーバの名称である。

同様に、メッセージ群の「ａｐｐ１．ｅｘｅ」、「ａｐｐ２．ｅｘｅ」、「ａｐｐ３．ｅｘｅ」および「０」、「０」、「１」も、パターンの変数部分として抽出される。パターン抽出部２０７は、抽出したパターンをパターン格納部２２０に格納する。「ａｐｐ１．ｅｘｅ」は、例えば、サーバで使用されているプログラムの名称である。「０」、「１」は、例えば、カウント情報である。

図４は、図３のメッセージ群から抽出されたパターンの例を示す図である。図４において、「プロセスが停止になりました」は、パターンの固定部分である。また、「％Ｓｅｒｖｅｒ％」、「％ＰＮＡＭＥ％」、「％ＣＯＵＮＴ％」は、パターンの変数部分である。

スコア算出部２０８は、抽出されたパターンごとに、パターンの固定部分のスコア、変数部分ごとのスコアを算出する。具体的には、スコア算出部２０８は、パターンの固定部分の文字列、変数部分の文字列がメッセージ群で出現した回数（出現回数）に基づいて、パターンにおける固定部分のスコア、変数部分ごとスコアを算出する。

図６は、図４のパターンの固定部分のスコア、変数部分ごとのスコアを算出する例を説明する図である。図６（ａ）は、図４に示すパターンの固定部分におけるスコア算出を表す。図６（ａ）の固定部分に関し、図３のメッセージ群に「プロセスが停止状態になりました」の出現回数が３回のため、固定部分のスコアＡは「３」となる。

図６（ｂ）～（ｄ）は、図４に示すパターンの変数部分におけるスコア算出を表す。図６（ｂ）の変数部分［％Ｓｅｒｖｅｒ％］に関し、図３のメッセージ群において「Ｓｅｒｖｅｒ１」の出現回数は２回であり、変数部分「Ｓｅｒｖｅｒ１」のスコアＡは「２」となる。さらに「Ｓｅｒｖｅｒ２」の出現回数は１回であり、変数部分「Ｓｅｒｖｅｒ２」のスコアＡは「１」となる。

図６（ｃ）の変数部分［％ＰＮＡＭＥ％］に関し、図３のメッセージ群に「ａｐｐ１．ｅｘｅ」、「ａｐｐ２．ｅｘｅ」、「ａｐｐ３．ｅｘｅ」の出現回数はそれぞれ１回となる。このため、変数部分「ａｐｐ１．ｅｘｅ」、「ａｐｐ２．ｅｘｅ」、「ａｐｐ３．ｅｘｅ」のスコアＡはそれぞれ「１」となる。

図６（ｄ）の変数部分［％ＣＯＵＮＴ％］に関し、図３のメッセージ群に含まれる「０」、「１」の出現回数は、それぞれ２回と１回となる。このため、変数部分「０」、「１」のスコアＡは、それぞれ「２」、「１」となる。

メッセージ管理の運用において、例えば、障害情報の追跡用として検知メッセージにマークが付与される場合がある。このため、マーク付与された検知メッセージが含まれている場合、マーク付与に応じてスコア算出に反映させることが好ましい。

以下は、パターンの固定部分、変数部分の出現回数に加え、検知メッセージにマークが付与されていた場合のスコア算出の例である。図３に示す＃２のメッセージには、マークとして「＊」が付与されている。この場合、スコア算出部２０８は、スコアＡに対して、マーク付与による所定値を加算してスコアＢを算出する。具体的には、＃２の検知メッセージのパターンの固定部分のスコア、変数部分ごとのスコアに所定値が加算される。

図６を用いてスコアＢの算出について説明する。図３のメッセージ群のうち、＃２のメッセージには「＊」が付与されている。このため、図６の例では、＃２の検知メッセージのパターンの固定部分、変数部分に対して、「＊」のマークの件数である１を加算してスコアＢが算出される。

具体的には、スコアＢには、＃２の検知メッセージに対応するパターンの固定部分「プロセスが停止状態になりました」のスコアＡの値と、変数部分「Ｓｅｒｖｅｒ２」、「ａｐｐ２．ｅｘｅ」、「０」のスコアＡの値にそれぞれ１が加算される。スコア算出部２０８は、パターンの固定部分、変数部分ごとに算出したスコアをスコア格納部２３０に格納する。

なお、図３の例では、＃２の検知メッセージに付与されたマークは１つであるが、これに限られない。例えば、検知メッセージのレベルに応じて付与するマークの数を複数にする、あるいは、マークにもレベルを導入してもよい。また、スコア算出部３０８は、付与されたマークの数、又は、マークのレベルに応じて所定値を増加させてもよい。

通信部２０１は、新規メッセージをパターン選択部２０３に転送する。パターン選択部２０３は、パターン格納部２２０の中に新規メッセージにマッチするパターンがあるか確認する。

パターン選択部２０３は、格納されたパターンの固定部分および変数部分が新規メッセージに含まれていれば、マッチするパターン（適合するパターン、とも称する）があると判断する。パターン選択部２０３によるパターンの選択はこれに限られない。

マッチするパターンがある場合、パターン選択部２０３は、新規メッセージとマッチするパターンを類似度計算部２０４に転送する。マッチするパターンがない場合、パターン選択部２０３は、処理を終了する。

類似度計算部２０４は、スコア格納部２３０から新規メッセージにマッチするパターンの固定部分と変数部分のスコアを取得する。類似度計算部２０４は、マッチするパターンのスコアを用いて、新規メッセージに適合するパターンの固定部分と変数部分のスコアを、新規メッセージの類似度として算出する。また、他に算出した類似度と比較するために１で正規化し、類似度（正規化）を算出する。

図５は、新規メッセージの例を表す図である。図５に示す新規メッセージにおいて、「プロセスが停止状態になりました」は、パターンの固定部分となり、「Ｓｅｒｖｅｒ３」、「ａｐｐ２．ｅｘｅ」、「０」は、パターンの変数部分となる。

図７は、図５の新規メッセージの類似度の算出を説明する図である。図５に示す新規メッセージに適合するパターンのスコアは、図６より、固定部分の「プロセスが停止状態になりました」のスコアが４となる。さらに、変数部分の「Ｓｅｒｖｅｒ３」は存在しないのでスコアが０、「ａｐｐ２．ｅｘｅ」のスコアが２、「０」のスコアが３となる。新規メッセージの類似度（合計値）は９となる。

図８は、図７に示す新規メッセージの類似度の正規化を説明する図である。図６より、新規メッセージの類似度の最大値は「プロセスが停止状態になりました」のスコアが４、「Ｓｅｒｖｅｒ１」または「Ｓｅｒｖｅｒ２」のスコアが２、「ａｐｐ２．ｅｘｅ」のスコアが２、「０」のスコアが３となる。よって、新規メッセージの類似度（最大合計値）は１１になる。このため、新規メッセージの類似度（正規化）は９／１１＝０．８２となる。類似度計算部２０４は、算出された新規メッセージの類似度を判定部２０５に転送する。

判定部２０５は、新規メッセージの類似度と予め設定された閾値を比較し、類似度が閾値を超えた場合、新規メッセージを通信部２０１に転送する。通信部２０１は、新規メッセージをクライアント端末３００に送信する。

次に、第１の実施形態における管理装置の動作について、図面を用いて説明する。第１の実施形態における管理装置の動作は、パターンスコア算出モードと運用モードの２つの動作モードを備える。

パターンスコア算出モードでは、管理装置２００は、検知メッセージが蓄積されたメッセージ群からパターンを抽出するパターン抽出処理と、抽出したパターンのスコアを算出するスコア算出処理を実行する。

運用モードでは、管理装置２００は、フィルタ適用処理と、パターン適用処理を実行する。フィルタ適用処理では、新規メッセージをクライアント端末３００に出力するか否かの処理としてフィルタが用いられる。また、パターン適用処理では、新規メッセージをクライアント端末３００に出力するか否かの処理として新規メッセージの類似度が用いられる。

管理装置２００によるパターン抽出処理について、図９を用いて説明する。図９は、管理装置２００によるパターン抽出処理の例を示すフローチャートである。管理装置２００は、パターン抽出処理として、検知メッセージが蓄積されたメッセージ群から固定部分と変数部分を含むパターンを抽出する。

パターン抽出部２０７は、検知メッセージが蓄積されたメッセージ格納部２４０からメッセージ群を取得し、固定部分と変数部分を含むパターンを抽出する（ステップＳ１０１）。

なお、パターンの固定部分は、メッセージのパターンのうち文字列が同一の部分である。変数部分は、メッセージのパターンのうち文字列の一部が変数のように変わる部分である。パターン抽出部２０７は、パターン格納部２２０に抽出したパターンを格納する（ステップＳ１０２）
管理装置２００によるスコア算出処理について、図１０を用いて説明する。図１０は、管理装置２００におけるスコア算出処理の例を示すフローチャートである。

管理装置２００は、スコア算出処理として、検知メッセージにマッチするパターンに対し、パターンの固定部分と変数部分の出現回数に応じてパターンのスコアを算出する。図１０に示すスコア算出処理は、出現回数に加え、検知メッセージの付与されたマークに応じてスコアに所定値を加算する例である。以下、スコア算出処理の詳細を説明する。

スコア算出部２０８は、メッセージ格納部２４０から検知メッセージを１つ取出す（ステップＳ２０１）。スコア算出部２０８は、パターン格納部２２０からパターンを１つ取出す（ステップＳ２０２）。スコア算出部２０８は、検知メッセージがパターンにマッチするか確認する（ステップＳ２０３）。

検知メッセージがパターンにマッチしない場合（ステップＳ２０３：Ｎｏ）、スコア算出部２０８は、ステップＳ２０２に戻ってパターン格納部２２０から別のパターンを１つ取出す。検知メッセージにマッチするパターンがパターン格納部２２０に１つも格納されていない場合、スコア算出部２０８は、別の検知メッセージを取出す。

検知メッセージがパターンにマッチする場合（ステップＳ２０３：Ｙｅｓ）、スコア算出部２０８は、マッチしたパターンの固定部分、変数部分のスコアに所定値を加算する。所定値の例は、例えば１である。パターンの固定部分、変数部分のスコアの初期値はそれぞれ０とする。パターンがマッチした際に加算する値は、１に限られない。また、所定値は、固定部分と変数部分とで変えてもよい。

スコア算出部２０８は、取出した検知メッセージにマークが付与されているか確認する（ステップＳ２０５）。マークが付与されていない場合（ステップＳ２０５：Ｎｏ）、パターンのスコアをスコア格納部２３０に格納する（ステップＳ２０７）。

マークが付与されている場合（ステップＳ２０７：Ｙｅｓ）、スコア算出部２０８は、マッチしたパターンの固定部分、変数部分のスコアに所定値を加算する。所定値は、例えば、１である。パターンがマッチした際に加算する値は、１に限られない。また、所定値は、固定部分と変数部分とで変えてもよい。スコア算出部２０８は、パターンのスコアをスコア格納部２３０に格納する（ステップＳ２０７）。

スコア算出部２０８は、検知メッセージが残っているか確認する（ステップＳ２０８）。検知メッセージが残っている場合（ステップＳ２０８：Ｙｅｓ）、ステップＳ２０１に戻り別の検知メッセージを取出す。スコア算出部２０８は、検知メッセージが残っていない場合（ステップＳ２０８：Ｎｏ）、ステップＳ２０１からＳ２０８までのスコア算出処理を終了する。

管理装置２００による運用モードについて、図１１を用いて説明する。図１１は、管理装置２００のフィルタ適用処理とパターン適用処理の一例を示すフローチャートである。図１１に示す運用モードは、ステップＳ３０２のフィルタ適用処理とステップＳ３０３からステップＳ３０６のパターン適用処理を含む。

フィルタ適用部２０２は、通信部２０１から新規メッセージを取得する（ステップＳ３０１）。

フィルタ適用部２０２は、新規メッセージがフィルタにマッチするか確認する（ステップＳ３０２）。フィルタにマッチする場合、フィルタ適用部２０２は、新規メッセージを通信部２０１へ転送し、通信部２０１は、クライアント端末３００に新規メッセージを出力する。フィルタにマッチしない場合、フィルタ適用部２０２は、新規メッセージをパター
パターン選択部２０３は、パターン格納部２２０からメッセージ群のパターンを取出す（ステップＳ３０３）。パターン選択部２０３は、新規メッセージに対して、パターン格納部２２０の中に新規メッセージにマッチするパターンがあるか確認する（ステップＳ３０４）。パターン選択部２０３は、新規メッセージに格納されたパターンの固定部分および変数部分が含まれていれば、新規メッセージにマッチするパターンがあると判断する。

新規メッセージにマッチするパターンが無い場合、パターン選択部２０３は、新規メッセージをクライアント端末３００に出力せず、メッセージ抽出処理を終了する。

新規メッセージにマッチするパターンがある場合、パターン選択部２０３は、新規メッセージと適合パターンを類似度計算部２０４に転送する。類似度計算部は、新規メッセージの類似度を計算する（ステップＳ３０５）。

図５に示す新規メッセージの例を用いて、類似度計算部２０４の類似度計算処理を説明する。図５に示す新規メッセージにおいて、「プロセスが停止状態になりました」は、パターンの固定部分、「Ｓｅｒｖｅｒ３」、「ａｐｐ２．ｅｘｅ」、「０」は、パターンの変数部分である。

類似度計算部２０４は、新規メッセージにマッチするパターンの固定部分と変数部分のスコアを、スコア格納部２３０から取得する。類似度計算部２０４は、マッチするパターンのスコアを用いて、新規メッセージにマッチするパターンの固定部分のスコアと変数部分のスコアを合計し、新規メッセージの類似度として算出する（ステップＳ３０５）。類似度計算部２０４は、算出された新規メッセージの類似度を判定部２０５に転送する。

判定部２０５は、新規メッセージの類似度と設定された閾値を比較し、類似度が閾値を超えた場合（ステップＳ３０６：Ｙｅｓ）、新規メッセージを通信部２０１に転送する。通信部２０１は、新規メッセージをクライアント端末３００に出力する（ステップＳ３０７）。類似度が閾値以下の場合、判定部２０５は、新規メッセージをクライアント端末３００に出力することなく、処理を終了する。

管理装置２００は、新規メッセージに対し、格納されたパターンの中から適合するパターンを選択し、適合するパターンに対応する固定部分のスコアと変数部分ごとのスコアを用いて、新規メッセージの類似度を計算し、類似度が所定の閾値を超えた新規メッセージを出力する。管理装置２００は、格納されたパターンとして、検知の対象である検知メッセージのメッセージ群から抽出されたメッセージのパターンを用いるので、メッセージの抽出漏れを抑制することができる。

また、管理装置２００で用いるパターンは、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とあるように、メッセージ群から抽出されたパターンの構成が固定部分と変数部分に分けている。変数部分のパターンを導入することで、監視対象にハードウエアが追加されて監視対象から当該ハードウエアに関連するメッセージが出力されたとしても、管理装置２００で抽出可能となる。例えば、図５のＳｅｒｖｅｒ３は、検知する対象である図３のメッセージ＃１～＃３に含まれていなくても抽出可能となる。

管理装置２００は、新規メッセージに対し、所定文字列を含むメッセージを抽出するためのフィルタ適用処理をした後に、パターン適用処理を実行している。これにより、フィルタ設定によるメッセージの抽出漏れを抑制できる。

次に、第２の実施形態の管理装置について、図１２を用いて説明する。第２の実施形態の管理装置４００は、第１の実施形態の管理装置２００からパターンスコア算出モードで用いる構成を除いていた形態である。第２の実施形態の管理装置４００では、予め、パターン抽出処理と、スコア算出処理が完了しているものとする。また、第２の実施形態の管理装置４００は、第１の実施形態の管理装置２００からフィルタ適用処理に用いる構成を除いた形態となっている。
図１２は、第２の実施形態の管理装置の構成を示すブロック図である。第２の実施形態の管理装置４００は、パターン選択部４０３、類似度計算部４０４、出力部４０５、パターン格納部４２０、スコア格納部４３０を備える。

パターン格納部４２０は、監視対象の状態を表すメッセージのうち、検知の対象である検知メッセージのメッセージ群から抽出された、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とを含むパターンを格納する。

スコア格納部４３０は、パターンの固定部分、及び、変数部分ごとにメッセージ群の中で出現する回数に基づき算出された、パターンにおける固定部分のスコアおよび変数部分ごとのスコアを格納する。

パターン選択部４０３は、新規メッセージに対し、パターン格納部４２０に格納されたパターンの中から適合するパターンを選択する。類似度計算部４０４は、適合するパターンに対応する固定部分のスコアと変数部分ごとのスコアを用いて、新規メッセージの類似度を計算する。出力部４０５は、類似度が所定の閾値を超えた新規メッセージを出力する。新規メッセージの類似度が所定の閾値を超えているか否かは、出力部４０５が新規メッセージを出力する前段として管理装置４００の判定部（図示せず）が判定する。

次に第２の実施形態に係る管理装置の動作について、図１２、図１３を用いて説明する。図１３は、第２の実施形態に係る管理装置の動作を示すフローチャートである。第２の実施形態に係る管理装置４００において、パターン選択部４０３は、監視対象の状態を表すメッセージのうち、検知の対象である検知メッセージのメッセージ群から抽出されたパターンを、パターン格納部４２０から取得する（ステップＳ４０１）。当該パターンは、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とを含む。

類似度計算部４０４は、パターンの固定部分、及び、変数部分ごとにメッセージ群の中で出現する回数に基づいて算出された、パターンにおける固定部分のスコアおよび変数部分ごとのスコアを、スコア格納部４３０から取得する（ステップＳ４０２）。

パターン選択部４０３は、新規メッセージに対し、パターンの中から適合するパターンを選択する（ステップＳ４０３）。類似度計算部４０４は、適合するパターンに対応する固定部分のスコアと変数部分ごとのスコアを用いて、新規メッセージの類似度を計算する（ステップＳ４０４）。出力部４０５は、類似度が所定の閾値を超えた新規メッセージを出力する（ステップＳ４０５）。

（第２の実施形態の効果）
管理装置４００は、新規メッセージに対し、格納されたパターンの中から適合するパターンを選択し、適合するパターンに対応する固定部分のスコアと変数部分ごとのスコアを用いて、新規メッセージの類似度を計算し、類似度が所定の閾値を超えた新規メッセージを出力する。管理装置４００は、格納されたパターンとして、検知の対象である検知メッセージのメッセージ群から抽出されたメッセージのパターンを用いるので、メッセージの抽出漏れを抑制することができる。

また、管理装置４００で用いるパターンは、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とあるように、メッセージ群から抽出されたパターンの構成が固定部分と変数部分に分けている。変数部分のパターンを導入することで、監視対象にハードウエアが追加されて監視対象から当該ハードウエアに関連するメッセージが出力されたとしても、管理装置４００で抽出可能となる。例えば、図５のＳｅｒｖｅｒ３は、検知する対象である図３のメッセージ＃１～＃３に含まれていなくても抽出可能となる。
（ハードウエア構成）
図１４は、第１、第２の実施形態における管理装置をコンピュータで実現する際のハードウエア構成を示す図である。第１、第２の実施形態において、管理装置の各構成要素は、機能単位のブロックを示している。各構成要素の一部又は全部は、例えば、図１４に示すようなコンピュータ６００とプログラムとの任意の組み合わせにより実現される。コンピュータ６００は、一例として、以下のような構成を含む。
ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）６０１、
ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）６０２、
ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）６０３、
ＲＡＭ６０３にロードされるプログラム６０４、
プログラム６０４を格納する記憶装置６０５、
記録媒体６０６の読み書きを行うドライブ装置６０７、
通信ネットワーク６０９と接続する通信インターフェース６０８、
データの入出力を行う入出力インターフェース６１０、
各構成要素を接続するバス６１１
管理装置２００、又は、管理装置４００の各構成要素は、これらの機能を実現するプログラム６０４をＣＰＵ６０１が取得して実行することで実現される。各構成要素の機能を実現するプログラム６０４は、例えば、予め記憶装置６０５又はＲＡＭ６０３に格納されており、必要に応じてＣＰＵ６０１が読み出す。なお、プログラム６０４は、通信ネットワーク６０９を介してＣＰＵ６０１に供給されてもよいし、予め記録媒体６０６に格納されており、ドライブ装置６０７が当該プログラムを読み出してＣＰＵ６０１に供給してもよい。

管理装置２００、４００の実現方法には、様々な変形例がある。例えば、管理装置２００、４００は、各構成要素にそれぞれ別個のコンピュータ６００とプログラムとの任意の組み合わせにより実現されてもよい。また、管理装置２００、４００が備える複数の構成要素が、一つのコンピュータ６００とプログラムとの任意の組み合わせにより実現されてもよい。

また、管理装置２００、４００の各構成要素の一部又は全部は、その他の汎用または専用の回路、プロセッサ等やこれらの組み合わせによって実現される。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。コンピュータ６００の代わりにＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）のようなプログラマブルロジックデバイスを用いてもよい。

さらに、管理装置２００、４００の各構成要素の一部又は全部は、上述した回路等とプログラムとの組み合わせによって実現されてもよい。

また、管理装置２００、４００の各構成要素の一部又は全部が複数の情報処理装置や回路等により実現される場合には、複数の情報処理装置や回路等は、集中配置されてもよいし、分散配置されてもよい。例えば、情報処理装置や回路等は、クライアントアンドサーバシステム、クラウドコンピューティングシステム等、各々が通信ネットワークを介して接続される形態として実現されてもよい。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

また、図面中の矢印の方向は、一例を示すものであり、ブロック間の信号の向きを限定するものではない。

９０ 監視対象
１００ エージェント装置
２００、４００ 管理装置
３００ クライアント端末
２０１ 通信部
２０２ フィルタ適用部
２０３、４０３ パターン選択部
２０４、４０４ 類似度計算部
２０５ 判定部
２０７ パターン抽出部
２０８ スコア算出部
２１０ フィルタ格納部
２２０、４２０ パターン格納部
２３０、４３０ スコア格納部
２４０ メッセージ格納部
４０５ 出力部
６００ コンピュータ
６０１ ＣＰＵ
６０２ ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）
６０３ ＲＡＭ
６０４ プログラム
６０５ 記憶装置
６０６ 記録媒体
６０７ ドライブ装置
６０８ 通信インターフェース
６０９ 通信ネットワーク
６１０ 入出力インターフェース
６１１ バス

Claims (10)

1. 監視対象の状態を表すメッセージのうち、検知の対象である検知メッセージのメッセージ群から抽出された、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とを含むパターンを格納するパターン格納手段と、
   前記パターンの前記固定部分、及び、前記変数部分ごとに前記メッセージ群の中で出現する回数に基づき算出された、前記パターンにおける前記固定部分のスコアおよび前記変数部分ごとのスコアを格納するスコア格納手段と、
   新規メッセージに対し、前記格納されたパターンの中から適合するパターンを選択するパターン選択手段と、
   前記適合するパターンに対応する前記固定部分のスコアと前記変数部分ごとのスコアを用いて、前記適合するパターンに対する前記新規メッセージの類似度を計算する類似度計算手段と、
   前記類似度が所定の閾値を超えた新規メッセージを出力する出力手段と、
   を備える管理装置。
2. 前記メッセージ群は、マークが付与された検知メッセージを含み、
   前記マークが付与された検知メッセージに対して、前記マークの付与に応じて前記パターンの前記固定部分のスコアと前記変数部分ごとのスコアに所定値が加算される、
   請求項１に記載の管理装置。
3. 前記所定値が、前記マークの数、又は、前記マークのレベルに応じて変化する、
   請求項２に記載の管理装置。
4. 前記新規メッセージに対し、所定文字列を含むメッセージを抽出するためのフィルタを適用するフィルタ適用手段を、更に備え、
   前記フィルタ適用手段は、前記フィルタに適合しない新規メッセージを前記類似度計算手段に転送する、
   請求項１から３のいずれか１つに記載の管理装置。
5. 前記フィルタ適用手段は、前記フィルタに適合する新規メッセージを前記出力手段に転送し、
   前記出力手段は、前記転送された新規メッセージを出力する、
   請求項４に記載の管理装置。
6. 前記メッセージ群から、前記固定部分と前記変数部分とを含むパターンを抽出するパターン抽出手段を、更に備える、
   請求項１から５のいずれか１つに記載の管理装置。
7. 前記パターンの前記固定部分、及び、前記変数部分ごとに前記メッセージ群の中で出現する回数に基づいて、前記固定部分のスコアおよび前記変数部分ごとのスコアを算出するスコア算出手段を、更に備える、
   請求項１から６のいずれか１つに記載の管理装置。
8. 自装置の状態を表すメッセージを生成して出力する、少なくとも１つの監視対象と、
   請求項１に記載の管理装置と、を備える、
   管理システム。
9. 監視対象の状態を表すメッセージのうち、検知の対象である検知メッセージのメッセージ群から抽出された、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とを含むパターンを取得し、
   前記パターンの前記固定部分、及び、前記変数部分ごとに前記メッセージ群の中で出現する回数に基づき算出された、前記パターンにおける前記固定部分のスコアおよび前記変数部分ごとのスコアを取得し、
   新規メッセージに対し、前記取得したパターンの中から適合するパターンを選択し、
   前記適合するパターンに対応する前記固定部分のスコアと前記変数部分ごとのスコアを用いて、前記適合するパターンに対する前記新規メッセージの類似度を計算し、
   前記類似度が所定の閾値を超えた新規メッセージを出力する、
   管理方法。
10. コンピュータに、
    監視対象の状態を表すメッセージのうち、検知の対象である検知メッセージのメッセージ群から抽出された、文字列が同一である固定部分と文字列の少なくとも一部が変化する変数部分とを含むパターンを取得し、
    前記パターンの前記固定部分、及び、前記変数部分ごとに前記メッセージ群の中で出現する回数に基づき算出された、前記パターンにおける前記固定部分のスコアおよび前記変数部分ごとのスコアを取得し、
    新規メッセージに対し、前記取得したパターンの中から適合するパターンを選択し、
    前記適合するパターンに対応する前記固定部分のスコアと前記変数部分ごとのスコアを用いて、前記適合するパターンに対する前記新規メッセージの類似度を計算し、
    前記類似度が所定の閾値を超えた新規メッセージを出力する、
    ことを実行させるプログラム。

Images