JP7034989B2 - 警報集約選別装置及び警報集約選別方法 - Google Patents

Description

本発明は、警報集約選別装置及び警報集約選別方法に関する。

監視対象となるネットワークにおいて、少ない人数の保守担当者でも確実に警告通知を可能とする通知方法が種々提案されている。例えば、特許文献１には、ネットワーク管理システムからの警報情報に基づいて故障情報を作成し、故障情報に従って選択された言語で選択された通知先に選択された通知メディアに対応させた故障メッセージを通知し、トラブルチケットを起票する通知方法が開示されている。

特開２０００－２５９５６３号公報

しかし、特許文献１の技術によれば、監視対象となるネットワークにおいて警報は日常的に多数発生する一方、保守担当者が直接対処しなければならない故障は全てではない。このため、人的資源を効率的に活用することができていなかった。

そこで、本発明は、真に保守担当者が対処すべき警報のみに人的資源を振り分けることができる警報集約選別装置及び警報集約選別方法を提供することを目的とする。

本発明の一態様に係る警報集約選別装置は、監視対象となるネットワークにおいて発生する警報を集約して保守担当者が対処すべき故障に対応する警報を選別する警報集約選別装置であって、取得した警報を所定の属性に沿って集約する集約機能と、集約された前記警報を所定の条件に従って選別する選別機能と、選別された前記警報について報知する報知機能と、をコンピュータ装置に実行させるものであって、前記所定の属性は、前記取得した警報が発生したシステム、前記取得した警報の危険度を示すレベル、前記取得した警報の種類、及び、前記取得した警報の発生原因、のいずれかであり、前記所定の条件は、前記集約された警報が静観対象ではないこと、前記集約された警報の危険度が所定レベル以上であること、前記集約された警報に対する対応情報を保持していないこと、及び、前記集約された警報が所定の多量発生基準を満たしていないこと、の全てを満たすことである。

この態様によれば、所定の条件に従って選別された警報情報のみが報知されるので、真に担当者が対処すべき警報のみに人的資源を振り分けることができる。

本発明の他の態様に係る警報集約選別方法は、監視対象となるネットワークにおいて発生する警報を集約して保守担当者が対処すべき故障に対応する警報を選別する警報集約選別方法であって、取得した警報を所定の属性に沿って集約する集約ステップと、集約された前記警報を所定の条件に従って選別する選別ステップと、選別された前記警報について報知する報知ステップと、を有するものであって、前記所定の属性は、前記取得した警報が発生したシステム、前記取得した警報の危険度を示すレベル、前記取得した警報の種類、及び、前記取得した警報の発生原因、のいずれかであり、前記所定の条件は、前記集約された警報が静観対象ではないこと、前記集約された警報の危険度が所定レベル以上であること、前記集約された警報に対する対応情報を保持していないこと、及び、前記集約された警報が所定の多量発生基準を満たしていないこと、のすべてを満たすことである。

本発明によれば、真に保守担当者が対処すべき警報のみに人的資源を振り分けることができる警報集約選別装置及び警報集約選別方法を提供することができる。

本発明に係る警報集約選別装置の一実施形態を適用するネットワーク管理システムの全体構成図である。 本実施形態の警報集約選別装置の機能を実行するコンピュータ装置のブロック図である。 本実施形態の警報集約選別装置の警報集約機能の説明図である。 本実施形態の警報集約選別装置の警報選別機能の説明図である。 本実施形態における選別パターン１の説明図である。 本実施形態における選別パターン２の説明図である。 本実施形態における選別パターン３の説明図である。 本実施形態における選別パターン４の説明図である。 本実施形態の警報集約選別装置の自動報知機能の説明図である。 本実施形態における警報レベルと自動報知の割付例の説明図である。 本実施形態の警報集約選別方法のフローチャートである。

添付図面を参照して、本発明の好適な実施形態について説明する。

［警報集約選別装置の構成］
まず、図１から図１０を参照して、本発明に係る警報集約選別装置の一実施形態について説明する。図１は、本実施形態の警報集約選別装置を適用するネットワーク管理システムの全体構成図である。

図１に示すように、ネットワーク管理システム１は、警報検出装置１０と、警報集約選別装置１００と、端末装置２０と、を備える。警報検出装置１０は、監視対象となるネットワークシステムに生じる多数の警報を検出する機能を有する。警報集約選別装置１００は、監視対象ネットワークシステムからの警報を集約する装置であって、警報集約部１０１と、警報選別部１０２と、警報報知部１０３と、を備える。端末装置２０は、警報報知部４０からの警報情報を表示する機能を有する。

次に、図２を参照して、警報集約選別装置１００の機能を実行するコンピュータ装置２００のハードウェア構成例について説明する。図２は、本実施形態の警報集約選別装置の機能を実行するコンピュータ装置のブロック図である。図２に示すように、コンピュータ装置２００は、主なハードウェア構成として、制御部２０１と、記憶装置２０４と、警報集約部１０１と、警報選別部１０２と、警報報知部１０３と、インタフェース２０５とを含む。

制御部２０１は、ＣＰＵ（Central Processing Unit）２０２及びメモリ２０３を含む。コンピューティング装置２００は、例えば、ＣＰＵ２０２がメモリ２０３及び記憶装置２０４等に格納された所定のソフトウェアプログラム（例えば、警報集約選別プログラム）を実行することにより、他のハードウェア構成の処理及び動作を制御することにより、各種の機能を実現する。即ち、コンピュータ装置２００は、制御部２０１の制御の下、所定のプログラムを実行することにより、他のハードウェアと協働して警報集約選別機能を実現する。なお、図２には、コンピュータ装置２００が備える主要な構成が示されているにすぎず、コンピュータ装置２００は、一般的な情報処理装置が備える他の構成も備える。

記憶装置２０４は、ハードディスク等により構成される。記憶装置２０４は、制御部２０１によりデータ読み出し及び書き込みが行われる。すなわち、記憶装置２０４には、コンピュータ装置２００における処理に必要なソフトウェアプログラムなどのデータが書き込まれており、さらに、当該処理の結果のデータが書き込まれる。警報集約部１０１は、警報検出装置１０から取得した警報情報を所定の属性に沿って集約する警報集約機能を有する。警報選別部１０３は、警報集約部１０２で集約された警報情報を所定の条件に従って選別する選別機能を有する。警報報知部１０３は、警報選別部１０３で選別された警報情報について報知する報知機能を有する。周辺装置インタフェース２０５は、コンピュータ装置２００が操作入力装置２０６や端末装置２０等の周辺機器との間の通信を可能にするインタフェースである。

次に、図２及び図３を参照して、本実施形態の警報集約選別装置１００の警報集約機能について説明する。図３は、本実施形態の警報集約選別装置の警報集約機能の説明図である。図２を参照して説明したように、警報検出装置１０から取得した警報情報は、警報集約部１０１において、所定の属性に沿って集約される。図３に示すように、警報情報を集約するための属性は、当該警報が発生したシステム３１、当該警報の危険度を示す警報レベル３２、当該警報の種類３３、当該警報の発生原因３４、のいずれか一つ以上に沿って集約することが好ましい。

システム３１は、監視対象となるネットワークシステムにおいて、当該警報が発生したシステムに応じてノードを特定する属性である。システム３１は、例えば、システムＡ…システムＸのように、当該警報が発生したシステムに応じて集約するので、対象システムやノードを特定できる。警報レベル３２は、当該警報の危険度を示すレベルに応じて集約する属性である。警報レベル３２は、例えば、レベルＡ、レベルＢ…レベルＸのように、当該警報の危険度を示すレベルに応じて集約するので、当該警報の緊急度に応じた報知ができる。警報の種類３３は、同種の警報情報（メッセージ）を適用するグループ属性である。警報の種類３３は、例えば、メッセージグループ１、メッセージグループ２…メッセージグループＸのように、当該警報の種類に応じて集約するので、適切な自動報知メッセージを特定できる。発生原因３４は、当該警報のトリガーとなる発生原因で集約する属性である。発生原因３４は、例えば、トオリガー１、トリガー２、トリガー３、トリガー４…トリガーＮ、トリガーＸ、トリガーＹのように、当該警報の発生原因に応じて集約するので、適切な自動報知メッセージを特定できる。トリガーが異なれば原則１警報として扱うが、１回のポーリングで得られた複数の警報情報について、同一のシステム／メッセージグループ／トリガー名単位で集約処理を行い、１インシデント(事象）として起票発行する。ここで、「ポーリング」とは、装置側がネットワークに対し一定の間隔で警報情報のアップを要求することをいう。

次に、図２及び図４を参照して、本実施形態の警報集約選別装置１００の警報選別機能について説明する。図２を参照して説明したように、警報集約部１０２で集約された警報情報は、警報選別部１０２において、所定の条件に従って選別される。集約された警報を選別するための条件は、当該警報が静観対象ではないこと、当該警報の危険度が所定のレベル以上であること、当該警報に対する対応手順等の対応情報(ナレッジ情報)を保持していないこと、当該警報が所定の多量発生基準を満たしていないこと、のいずれか一つ以上を満たしていることが好ましい。

図４は、本実施形態の警報集約選別装置の警報選別機能の説明図である。図４に示すように、警報選別機能は、集約された全警報に対して、静観対象４１、警報レベル４２、対応情報の有無４３及び大量発報４４の条件に従って、自動起票対象となる警報を選別する。静観対象４１は、当該警報が静観対象であるか否かを判断し、静観でない警報を選別する。警報レベル４２は、当該警報が危険域、重要警戒域、警戒域、特別注意域、注意域のどの危険レベルにあるかを判断し、警戒域以上である場合の警報を選別する。対応情報有無４３は、当該警報に対する対応手順等の対応情報を保持しているか否かを判断し、対応情報がない場合に選別する。大量発報４４は、当該警報が所定の多量発生基準を満たしているか否かを判断し、多量発生基準を満たしていない場合に選別する。本実施形態では、当該警報が静観対象ではないこと、当該警報の危険度が所定のレベル以上であること、当該警報に既に対応した旨の情報を保持していないこと、当該警報が所定の多量発生基準を満たしていないこと、の条件を段階的に判断し、自動起票対象警報として選別する。

次に、図５から図８を参照して、本実施形態の警報選別機能の選別パターンについて説明する。図５は、本実施形態における選別パターン１の説明図である。図５に示すように、選別パターン１は、警報情報の警報レベルを選別対象とし、静観情報や対応情報は参考にしない。即ち、選別パターン１は、警報レベルが危険域以上である場合に自動起票対象とする選別パターンである。選別パターン１においては、メッセージグループがアプリケーション（ＡＰ）であるか、データベース（ＤＢ）であるか、警報メッセージの種類に拘わらず、自動起票対象とする。

図６は、本実施形態における選別パターン２の説明図である。図６に示すように、選別パターン２は、警報情報の警報メッセージの種類を選別対象とし、静観情報や対応情報は参考にしない。即ち、選別パターン２は、警報メッセージが「エラー（error）メッセージ」である場合に自動起票対象とする選別パターンである。選別パターン２においては、警報レベルが危険域にあっても、警報メッセージがエラー（error）メッセージでなければ自動起用の対象としない。また、選別パターン２では、メッセージグループがアプリケーション（ＡＰ）であるか、データベース（ＤＢ）であるかに拘わらず、自動起票対象とする。なお、選別パターン２において、システムＡのノード（Node）１、メッセージグループＤＢは、警報レベルが危険域にあるが、警報メッセージが「CPUが５０％を超過しました」であって静観情報に存在するので、自動起票対象としない。

図７は、本実施形態における選別パターン３の説明図である。図７に示すように、選別パターン３は、警報情報のみならず、静観情報や対応情報を参考に選別する。即ち、選別パターン３において、システムＡのノード（Node）１、メッセージグループＡＰは、警報レベルが危険域にあり、警報メッセージが「エラー（error）メッセージ」であるが、対応情報が存在するので、自動起票対象としない。また、システムＡのノード（Node）１、メッセージグループＤＢは、警報レベルが危険域にあり、警報メッセージが「CPUが５０％を超過しました」であるが、静観情報が存在するので自動起票対象としない。これに対し、システムＡのノード（Node）２、メッセージグループＡＰは、警報レベルが危険域にあって、かつ警報メッセージが「エラー（error）メッセージ」であり、静観情報及び対応が存在しないので自動起用の対象とする。また、システムＢのノード（Node）１、メッセージグループＡＰは、警報レベルが危険域にあって、かつ警報メッセージが「エラー（error）メッセージ」であり、静観情報及び対応が存在しないので自動起用の対象とする。

図８は、本実施形態における選別パターン４の説明図である。図８に示すように、選別パターン４は、警報情報の同一システム・同一ノード（Node）、同一メッセージグループにおいて、警報が多数回繰り返される場合の選別パターンである。即ち、同一のシステム／ノード／メッセージグループにおいて大量警報（例えば30件以上）が発生した場合は、重大障害が発生した可能性があるものと判断し、大量発生の印をつけ、個別対応ではない統制対応とする。

次に、図９を参照して、本実施形態の警報集約選別装置１００の自動報知機能について説明する。図９は、本実施形態の警報集約選別装置の自動報知機能の説明図である。図９に示すように、自動起票対象警報９１は、警報レベル毎に振り分けて端末装置２０に自動報知される。例えば、警報レベル３２が危険域及び重要警戒域にある場合は、緊急性を要するため、保守担当者２１の端末装置２０に自動架電される。また、警報レベル３２が警戒域にある場合は、緊急性を要しないため、保守担当者２１の端末装置２０にメール送信される。統制対応の必要なもの(大量発報、対応情報がある警報、危険域警報)の場合は、保守担当者２１の警報ランプを鳴動させるようにしてもよい。

次に、図１０を参照して、本実施形態における警報レベルと自動報知の割付例を説明する。図１０は、本実施形態における警報レベルと自動報知の割付例の説明図である。図１０に示すように、警報集約機能による処理を行う際に、警報レベルを参照し、警報レベル毎に処理を変更する。警報レベルは、例えば、注意域、特別注意域、警戒域、重要警戒域、危険域のレベルに分類される。注意域は、システムの軽微な警告やインシデントの予防を促すイベントであり、対処を実施しなくてもサービスへの影響は発生しない。特別注意域は、システムリソースの注意を促すイベントであり、経過観察が必要な事象である。サービスへの影響は発生しない。警戒域は、システムに異常が発生しているが、翌日以降に適切な対処をする事でサービスへの影響は発生しない。重要警戒域は、システムに異常が発生しているが即時に適切な対処をする事でサービスへの影響は発生しない。危険域は、システムに異常が発生しており、一部のサービスが利用不可、または特定のデータ不正や処理異常が発生する可能性がある。

警報レベル毎にサービスへの影響及び基本対応の「あり、なし」を判断する。基本対応においては、インシデント（事象）の登録、自動報知方法（メール、電話）、業務影響確認の「あり、なし」を判断する。そして、図１０におけるＲの範囲をロジック化して、自動報知の割り付けを行う。

［警報集約選別装置の作用、警報集約選別方法］
次に、本実施形態の警報集約選別装置１００の作用を説明しながら、本実施形態の警報集約選別方法について説明する。本実施形態の警報集約選別方法は、監視対象システムからの警報を集約する警報集約選別方法である。本実施形態の警報集約選別方法は、取得した警報情報を所定の属性に沿って集約する警報集約ステップと、集約された警報情報を所定の条件に従って選別する選別ステップと、選別された警報情報について報知する報知ステップと、を有する。

以下、図１、図２及び図１１を参照して、本実施形態の警報集約選別方法を具体的に説明する。図１１は、本実施形態の警報集約選別方法のフローチャートである。図１、図２及び図１１に示すように、警報検出装置１０が監視対象となるネットワークシステムから警報を検出すると、警報集約選別装置１００は、警報検出装置１０から警報情報を取得する（Ｓ３１０）。次に、警報集約選別装置１００の警報集約部１０１は、警報を集約するために警報の属性を判断する（Ｓ３２０）。警報の属性は、当該警報が発生したシステム、当該警報の危険度を示すレベル、当該警報の種類、当該警報の発生原因、のいずれか一つ以上に沿っている。さらに、警報集約部１０１は、警報の属性に基づいて、警報を集約する（Ｓ３３０）。

次に、警報集約選別装置１００の警報選別部１０２は、警報集約部１０１において集約された警報が所定の条件を満たすか否かを判断する（Ｓ３４０）。本実施形態において選別するための条件は、当該警報が静観対象ではないこと、当該警報の危険度が所定レベル以上であること、当該警報に既に対応した旨の情報を保持していないこと、当該警報が所定の多量発生基準を満たしていないこと、のいずれか一つ以上を満たすことが好ましい。警報選別部１０２は、所定の条件を満たすと判断した場合（Ｓ３４０／ＹＥＳ）は、警報を選別する（Ｓ３５０）。警報選別部１０２は、所定の条件を満たさないと判断した場合（Ｓ３４０／ＮＯ）は、警報選別部１０２は選別条件の判断を続ける（Ｓ３４０）。

次に、警報選別部１０２は、選別された警報レベルが所定のレベル以上であるか否かを判断する（Ｓ３６０）。警報レベルは、例えば、注意域、特別注意域、警戒域、重要警戒域、危険域のレベルに分類される。本実施形態における所定のレベルは、例えば、危険域以上とする。警報選別部１０２は、警報レベルが所定のレベル以上であると判断した場合（Ｓ３６０／ＹＥＳ）は、大量警報であるか否かを判断する（Ｓ３７０）。警報選別部１０２は、警報レベルが所定のレベル未満であると判断した場合（Ｓ３６０／ＮＯ）は、警報レベルが所定のレベルか否かの判断を続ける（Ｓ３６０）。

警報選別部１０２は、大量警報でないと判断した場合（Ｓ３７０／ＮＯ）は、自動起票対象とする（Ｓ３８０）。警報集約選別装置１００の警報報知部１０３は、インタフェース２０５を介して端末装置２０へ自動報知を行い（Ｓ３９０）、処理を終了する。警報選別部１０２は、大量警報であると判断した場合（Ｓ３７０／ＹＥＳ）は、自動起票対象としない（Ｓ４００）。この場合、警報報知部１０３は警報ランプを鳴動させて（Ｓ４１０）、処理を終了する。

以上説明したように、本実施形態の警報集約選別装置１００は、取得した警報情報を所定の属性に沿って集約する警報集約機能と、集約された警報情報を所定の条件に従って選別する選別機能と、選別された警報情報について報知する報知機能と、をコンピュータ装置に実行させる。したがって、本実施形態の警報集約選別装置１００によれば、所定の条件に従って選別された警報情報のみが報知されるので、真に担当者が対処すべき警報のみに人的資源を振り分けることができ、人的資源を有効活用することができる。

また、本実施形態において、警報を集約するための属性は、当該警報が発生したシステム、当該警報の危険度を示すレベル、当該警報の種類、当該警報の発生原因、のいずれか一つ以上に沿っている。当該警報が発生したシステムに応じて集約するので、対象システムやノードを特定することができる。また、当該警報の危険度を示すレベルに応じて集約するので、警報の緊急度に応じた報知ができる。さらに、当該警報の種類に応じて集約するので、適切な自動報知メッセージを特定することができる。そして、当該警報の発生原因に応じて集約するので、適切な自動報知メッセージを特定することができる。

さらに、本実施形態において、集約された警報を選別するための条件は、当該警報が静観対象ではないこと、当該警報の危険度が所定レベル以上であること、当該警報に対する対応手順等の対応情報を保持していないこと、当該警報が所定の多量発生基準を満たしていないこと、のいずれか一つ以上を満たしている。静観対象ではないことを条件としたので、経過観察中の警報を報知対象から除外し、選別処理を効率化することができる。また、警報の危険度が所定レベル以上であることを条件としたので、緊急度の高くないものを報知対象から除外し、選別処理を効率化することができる。さらに、対応手順等の対応情報を保持していないことを条件としたので、無駄を排除し、選別処理を効率化することができる。そして、多量発生基準を満たしていないことを条件としたので、地震などの天災・災害時の大量警報には適切に統制対象にできる。

以上説明した実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。実施形態が備える各要素並びにその配置、材料、条件、形状及びサイズ等は、例示したものに限定されるわけではなく適宜変更することができる。また、異なる実施形態で示した構成同士を部分的に置換し又は組み合わせることが可能である。

１…ネットワーク管理システム、１０…警報検出装置、２０…端末装置、２１…保守担当者、１００…警報集約選別装置、１０１…警報集約部、１０２…警報選別部、１０３…警報報知部、２００…コンピュータ装置

Claims (2)

1. 監視対象となるネットワークにおいて発生する警報を集約して保守担当者が対処すべき故障に対応する警報を選別する警報集約選別装置であって、
   取得した警報を所定の属性に沿って集約する集約機能と、
   集約された前記警報を所定の条件に従って選別する選別機能と、
   選別された前記警報について報知する報知機能と、
   をコンピュータ装置に実行させるものであって、
   前記所定の属性は、前記取得した警報が発生したシステム、前記取得した警報の危険度を示すレベル、前記取得した警報の種類、及び、前記取得した警報の発生原因、のいずれかであり、
   前記所定の条件は、前記集約された警報が静観対象ではないこと、前記集約された警報の危険度が所定レベル以上であること、前記集約された警報に対する対応情報を保持していないこと、及び、前記集約された警報が所定の多量発生基準を満たしていないこと、の全てを満たすことである、
   警報集約選別装置。
2. 監視対象となるネットワークにおいて発生する警報を集約して保守担当者が対処すべき故障に対応する警報を選別する警報集約選別方法であって、
   取得した警報を所定の属性に沿って集約する集約ステップと、
   集約された前記警報を所定の条件に従って選別する選別ステップと、
   選別された前記警報について報知する報知ステップと、
   を有するものであって、
   前記所定の属性は、前記取得した警報が発生したシステム、前記取得した警報の危険度を示すレベル、前記取得した警報の種類、及び、前記取得した警報の発生原因、のいずれかであり、
   前記所定の条件は、前記集約された警報が静観対象ではないこと、前記集約された警報の危険度が所定レベル以上であること、前記集約された警報に対する対応情報を保持していないこと、及び、前記集約された警報が所定の多量発生基準を満たしていないこと、のすべてを満たすことである、
   警報集約選別方法。

Images