JP7215574B2 - 監視システム、監視方法及びプログラム - Google Patents

Description

本発明は、監視システム、監視方法及びプログラムに関する。

ＩＣＴ（Information and Communication Technology）システム等のシステムに影響を与える障害が発生したことを検知することは一般的に行われており、近年では、障害が発生するより前に予兆を捉えたいというニーズが増えてきている。これに対して、障害予兆を検知するための既知技術としては以下のような方式が存在する。

＜方式１＞既知の予兆事象と障害事象の因果関係をルールとして記述し、ルールに基づいて判定する（イベントコリレーション、ルールベースＡＩ）。

＜方式２＞既知障害発生時に、所定時間内のイベント一覧を監視システムが提示し、監視者が予兆事象として登録することにより、以降の予兆検知時に紐付けられた既知障害を提示する（特許文献１）。

＜方式３＞さまざまなセンサのデータに対して、障害事象との相関を、教師つき機械学習によって確率モデル（ベイジアンネットワーク、ニューラルネットワークなど）を作成し、センサデータより高確率で発生する障害事象を予測する（特許文献２）。

特開２０１６－２０１０６０号公報 特開２０１８－１１６５４５号公報

＜方式１＞は、予兆事象と障害事象の因果関係が数式等で記述できないとルール化そのものができないという問題があった。＜方式２＞は、所定時間内のイベント一覧から監視者が人手により選択するため、恣意性があり予兆事象と障害事象の因果関係が担保できないという問題があった。＜方式３＞は、予兆となるべきセンサデータと障害事象の相関を確率モデルにより担保しているが、教師つき学習が必要であるため教師データを的確に生成可能なシステム以外では、予測精度がよくならないという問題があった。本発明は、障害予兆を検知する従来の方式に存在するこれらの問題を解決することを課題とする。

本発明によれば、
複数の監視対象各々の監視を行い、前記監視対象の識別情報、及び、前記監視対象に生じている事象を示すイベントを出力する監視実行手段と、
発生したイベント種を示す情報と、前記イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関データベースを、前記監視実行手段が出力した前記イベントに基づき更新するイベント管理手段と、
複数の前記監視対象の互いの関係を示す構成情報に基づき、前記監視実行手段が出力した第１のイベントに関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定する相関度分析手段と、
前記第１の監視対象及び前記第２の監視対象の前記イベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、前記障害イベント種と前記その他のイベント種の前記ステータス値に基づき決定する相関度学習手段と、
出力装置に情報を出力させる監視制御手段と、
を有し、
前記相関度分析手段は、前記相関度学習手段が決定した前記相関度重みに基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析し、
前記監視制御手段は、前記相関度分析手段による分析結果を出力させる監視システムが提供される。

また、本発明によれば、
コンピュータが、
複数の監視対象各々の監視を行い、前記監視対象の識別情報、及び、前記監視対象に生じている事象を示すイベントを出力し、
発生したイベント種を示す情報と、前記イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関データベースを、前記イベントに基づき更新し、
複数の前記監視対象の互いの関係を示す構成情報に基づき、第１のイベントに関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定し、
前記第１の監視対象及び前記第２の監視対象の前記イベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、前記障害イベント種と前記その他のイベント種の前記ステータス値に基づき決定し、
決定した前記相関度重みに基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析し、
分析結果を出力させる監視方法が提供される。

また、本発明によれば、
コンピュータを、
複数の監視対象各々の監視を行い、前記監視対象の識別情報、及び、前記監視対象に生じている事象を示すイベントを出力する監視実行手段、
発生したイベント種を示す情報と、前記イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関データベースを、前記監視実行手段が出力した前記イベントに基づき更新するイベント管理手段、
複数の前記監視対象の互いの関係を示す構成情報に基づき、前記監視実行手段が出力した第１のイベントに関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定する相関度分析手段、
前記第１の監視対象及び前記第２の監視対象の前記イベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、前記障害イベント種と前記その他のイベント種の前記ステータス値に基づき決定する相関度学習手段、
出力装置に情報を出力させる監視制御手段、
として機能させ、
前記相関度分析手段は、前記相関度学習手段が決定した前記相関度重みに基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析し、
前記監視制御手段は、前記相関度分析手段による分析結果を出力させるプログラムが提供される。

本発明によれば、障害予兆を検知する従来の方式に存在する上記問題を解決することができる。

上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。

本実施形態の監視システムの機能ブロック図の一例を示す図である。 本実施形態の監視システムが処理する情報の一例を模式的に示す図である。 本実施形態の監視システムが実行する処理の一例を説明するための図である。 本実施形態の監視システムが処理する情報の一例を模式的に示す図である。 本実施形態の監視システムが処理する情報の一例を模式的に示す図である。 本実施形態の監視システムが実行する処理の一例を説明するための図である。 本実施形態の監視システムの処理の流れの一例を示すフローチャートである。 本実施形態の監視システムの処理の流れの一例を示すフローチャートである。 本実施形態の監視システムの処理の流れの一例を示すフローチャートである。 本実施形態の監視システムの処理の流れの一例を示すフローチャートである。 本実施形態の監視システムのハードウエア構成の一例を示す図である。 本実施形態の監視システムが処理する情報の一例を模式的に示す図である。

本実施形態の監視システムについて詳細に説明する。監視システムは、ＩＣＴシステム等のシステムを監視し、障害を検知・通報する機能を有する。

図１に、本実施形態の監視システム１の機能ブロック図の一例を示す。図示するように、監視システム１は、監視実行部１０１と、監視制御部１０２と、監視ＵＩ（user interface）部１０３と、予兆分析・学習部２とを有する。予兆分析・学習部２は、イベント管理部２０１と、相関度分析部２０２と、相関度学習部２０３と、イベント相関ＤＢ（database）２０４と、構成ＤＢ３０１とを有する。なお、監視システム１は、イベント相関ＤＢ２０４、及び、構成ＤＢ３０１の少なくとも一方を有さなくてもよい。この場合、監視システム１と通信可能に構成された外部装置が、イベント相関ＤＢ２０４、及び、構成ＤＢ３０１の少なくとも一方を有する。以下、各機能部の構成を説明する。

監視実行部１０１は、監視対象システムに含まれる複数の監視対象各々の監視を行い、監視対象の識別情報、及び、監視対象に生じている事象を示すイベントを出力する。

監視対象システムは、ＩＣＴシステム等の任意のシステムである。監視対象は監視対象システム内に存在するリソースである。当該リソースは、例えば、ハードウエア、オペレーティングシステム、ミドルウェア、アプリケーション、ファイル等が例示されるが、これらに限定されない。監視対象を監視する方式は、本実施形態では特に限定されない。例えば、死活監視・ログ監視・閾値監視などのリアルタイムに監視する方式を採用してもよいし、過去データをもとにしたベースライン監視や統計的手法による特徴量検出などの監視方式を採用してもよい。また、監視実行部１０１がイベントを出力するタイミングは様々であり、例えば、予め定められた所定時間毎に出力してもよい。

監視制御部１０２は、監視実行部１０１が出力したイベントを取得する。そして、監視制御部１０２は、監視ＵＩ部１０３を介して監視者にイベント発生を通知する。例えば、監視制御部１０２は、取得したイベントが所定の障害事象を示す場合、監視ＵＩ部１０３を介して監視者に障害事象の発生を示す情報を出力させてもよい。なお、監視制御部１０２は、取得したイベントが所定の障害事象を示さない場合、監視ＵＩ部１０３を介したイベント発生の通知を実行しなくてもよい。

また、監視制御部１０２は、取得したイベントを予兆分析・学習部２に渡す。そして、監視制御部１０２は、渡したイベントに基づく分析結果（検知した予兆）を予兆分析・学習部２から取得し、監視ＵＩ部１０３を介して監視者にその分析結果を通知する。

なお、本明細書において、「取得」とは、ユーザ入力に基づき、又は、プログラムの指示に基づき、「自装置が他の装置や記憶媒体に格納されているデータを取りに行くこと（能動的な取得）」、たとえば、他の装置にリクエストまたは問い合わせして受信すること、他の装置や記憶媒体にアクセスして読出すこと等、および、ユーザ入力に基づき、又は、プログラムの指示に基づき、「自装置に他の装置から出力されるデータを入力すること（受動的な取得）」、たとえば、外部装置から送信されたデータを受信できる状態で待機しており、外部装置から送信されたデータを受信すること、外部装置から配信（または、送信、プッシュ通知等）されるデータを受信すること、また、受信したデータまたは情報の中から選択して取得すること、及び、「データを編集（テキスト化、データの並び替え、一部データの抽出、ファイル形式の変更等）などして新たなデータを生成し、当該新たなデータを取得すること」の少なくともいずれか一方を含む。

監視ＵＩ部１０３は、ディスプレイ、投影装置、スピーカ、メーラ、プリンター等のあらゆる出力装置を介して情報を出力する。例えば、監視ＵＩ部１０３は、監視対象システムに発生したイベントや予兆分析・学習部２による分析結果（検知した予兆）等を出力する。

予兆分析・学習部２は、監視制御部１０２から取得したイベントに基づき、複数のイベント種間の因果関係を示す相関度の大きさを自己学習する。そして、予兆分析・学習部２は、学習した相関度を用いて、所定のイベント（例：新たに発生したイベント）と因果関係のある（相関度の大きな）イベント種を抽出し、監視制御部１０２に提示する。

本実施形態では、監視実行部１０１が出力したイベントを複数のイベント種に分類する。複数のイベント種は、互いに、監視対象の識別情報、及び、監視対象に生じている事象の少なくとも一方が異なる。換言すれば、監視対象の識別情報、及び、監視対象に生じている事象のいずれもが一致する複数のイベントは、同じイベント種に属する。

イベント管理部２０１は、相関度を学習する対象となるイベント種（それまでに発生したイベント種）及び各イベント種の状態を管理する。具体的には、イベント管理部２０１は、それまでに発生したイベント種を示す情報と、イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関ＤＢ２０４を、監視実行部１０１が出力したイベントに基づき更新する。

図２に、イベント相関ＤＢ２０４に格納されている情報の一例を模式的に示す。図示する例では、発生した複数のイベント種を互いに識別する情報であるイベント種ＩＤ（identifier）と、各イベント種に属するイベントが示す監視対象の識別情報及び事象の内容と、各事象が障害事象か否かを示す障害フラグと、各イベント種のステータス値とが互いに対応付けられている。

イベント管理部２０１は、監視実行部１０１が新たなイベントを出力すると、監視対象の識別情報、及び、監視対象に生じている事象のいずれもが新たなイベントと一致するイベント種がイベント相関ＤＢ２０４に登録されているか確認する。登録されていない場合には、イベント管理部２０１は、新たなイベントを新たなイベント種としてイベント相関ＤＢ２０４に登録し、予め定められた初期値をステータス値として登録する。一方、登録されている場合には、イベント管理部２０１は、新たなイベントが属するイベント種のステータス値を初期値に更新する。このようにして、イベント管理部２０１は、監視実行部１０１が出力した新たなイベントが属するイベント種の情報を更新する。

また、イベント管理部２０１は、イベント相関ＤＢ２０４に登録されているイベント種のステータス値を、時間経過に応じて変化させる。例えば、イベントの発生時に設定される初期値が最大であり、イベント管理部２０１は時間経過とともにステータス値を小さくする。イベント管理部２０１は、任意のタイミング（例：所定時間毎に）で、線形減少関数や反比例関数などの時間経過に応じて値が漸減していく関数（図３参照）に基づき、イベント相関ＤＢ２０４に登録されているイベント種各々のステータス値を再計算し、更新することができる。

相関度分析部２０２は、複数の監視対象の互いの関係を示す構成情報に基づき、監視実行部１０１が出力した新たなイベント（以下、「第１のイベント」）に関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定する。第１の監視対象と第２の監視対象は、構成的に互いに近く（例：処理しているサーバが同一等）、各々に発生したイベントに因果関係が存在する可能性がある。上記「所定の関係」の内容は特段制限されないが、様々な方法でこのような第１の監視対象と第２の監視対象との間の関係を定義することができる。

ここで、一例を説明する。図４に、構成情報の一例を模式的に示す。図示するように、複数の監視対象の互いの関係は、階層型の木構造で管理されてもよい。そして、相関度分析部２０２は、この木構造において、第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定してもよい。例えば第１の監視対象がぶら下がる所定のノード（第１の監視対象の上位ノード）にぶら下がる他の監視対象を、第２の監視対象として特定してもよい。所定のノードは、第１の監視対象からＭ（Ｍは１以上の整数）階層上の上位ノードであってもよい。

例えば、図４に示す例において、第１の監視対象が「ファイル１１」である場合、「ファイル１１」がぶら下がるノード「ＡＰ１」にぶら下がる他の監視対象「ファイル１２」を第２の監視対象として特定してもよい。他の例として、第１の監視対象が「ファイル１１」である場合、「ファイル１１」がぶら下がるノード「物理サーバ１」にぶら下がる他の監視対象「ＡＰ１」、「ファイル１２」、「ＡＰ２」、「ファイル２１」、「ファイル２２」を第２の監視対象として特定してもよい。

なお、監視対象イベントの構成は変更される場合がある。そこで、上述した監視制御部１０２は、監視実行部１０１が出力したイベントに基づき、構成情報を自動更新する機能を有してもよい。

例えば、監視実行部１０１が出力したイベントに記述される第１の監視対象が、構成ＤＢ３０１にて管理される構成情報内に存在しない場合は、監視制御部１０２は、イベント中の第２の監視対象ノードの配下に新たなノードとして追加する。また、第１の監視対象が存在している場合でも、第２の監視対象が上位ノードではない場合も同様に、第２の監視対象ノードの配下に第１の監視対象を追加する。このようにして、図４に示される構成情報は図５に示される構成情報に更新される。

また、相関度分析部２０２は、以下で説明する相関度学習部２０３が決定した相関度重みに基づき、第１のイベントが障害イベント種の中のいずれかの予兆であるか否かを分析することができる。当該処理の詳細は後述する。

相関度学習部２０３は、イベント種間の因果関係を学習する機能を有する。具体的には、相関度学習部２０３は、上記第１の監視対象及び上記第２の監視対象のイベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、障害イベント種とその他のイベント種のステータス値に基づき決定する。

「第１の監視対象のイベント種」は、第１の監視対象に発生したイベントが属するイベント種であり、例えば、図２に示すイベント種の中の「監視対象の識別情報」が第１の監視対象を示すイベント種である。

「第２の監視対象のイベント種」は、第２の監視対象に発生したイベントが属するイベント種であり、例えば、図２に示すイベント種の中の「監視対象の識別情報」が第２の監視対象を示すイベント種である。

「障害イベント種」は、事象が障害事象であるイベント種であり、例えば、図２に示すイベント種の中の障害フラグが立っているイベント種である。

図６を用いて、相関度学習部２０３による処理の概要を説明する。Ａ_１乃至Ａ_ｍは、第１の監視対象及び第２の監視対象のイベント種のｍ個のその他のイベント種各々のステータス値である。Ｘ_１乃至Ｘ_ｎは、第１の監視対象及び第２の監視対象のイベント種のｎ個の障害イベント種各々のステータス値である。ω_１１乃至ω_ｍｎは、ｍ個のその他のイベント種の中の任意の１つと、ｎ個の障害イベント種の中の任意の１つとでつくられるｍ×ｎ個の組各々の相関度重みである。

相関度学習部２０３は、任意のタイミング（例：所定時間毎に）で繰り返し、相関度重みω_１１乃至ω_ｍｎを計算する。上述の通りステータス値は時間経過ともに変化するので、各タイミングにおいてＡ_１乃至Ａ_ｍ及びＸ_１乃至Ｘ_ｎの中の少なくとも１つが、その直前のタイミングにおける値から変化している可能性がある。

相関度学習部２０３は、図６の「学習」の計算式に示すように、第１の決定タイミングにおける第１の障害イベント種（ステータス値Ｘ_１）と第１のその他のイベント種（ステータス値Ａ_１）との間の前記相関度重みω_１１の決定処理では、直前の決定タイミングで決定した第１の障害イベント種と第１のその他のイベント種との間の相関度重みω_１１を、第１の決定タイミングにおける第１の障害イベント種のステータス値Ｘ_１と第１のその他のイベント種のステータス値Ａ_１とに基づき補正（Ａ_１×Ｘ_１を加算）した値を相関度重みとして決定することができる。この場合、第１の決定タイミングにおける第１の障害イベント種のステータス値Ｘ_１及び第１のその他のイベント種のステータス値Ａ_１が大きい程、補正による相関度重みの増加幅が大きくなる。このような計算式によれば、より近いタイミングで発生するほど、その２つのイベント種の組における相関度重みが大きくなる。なお、図示する補正の方法（Ａ_１とＸ_１の積を加算）はあくまで一例であり、上述のような効果が得られればその他の方法を採用してもよい。

ここで、相関度分析部２０２が、相関度学習部２０３が決定した相関度重みに基づき、第１のイベントが障害イベント種の中のいずれかの予兆であるか否かを分析する処理について説明する。

相関度分析部２０２は、第１の監視対象及び第２の監視対象のその他のイベント種のステータス値Ａ_１乃至Ａ_ｍと、第１の監視対象及び第２の監視対象の障害イベント種のステータス値Ｘ_１乃至Ｘ_ｎと、相関度学習部２０３が決定した相関度重みω_１１乃至ω_ｍｎとに基づき、障害イベント種毎にその他のイベント種との間の相関度を算出し、算出した相関度に基づき、第１のイベントが障害イベント種の中のいずれかの予兆であるか否かを分析する。

例えば、相関度分析部２０２は、図３の「予兆検知」の計算式に基づき、上記相関度を算出することができる。図示する計算式は、ｎ個の障害イベント種の中のｋ番目の障害イベント種の相関度Ｆ_ｋを算出する式を示す。なお、図示する計算式の右辺の分子は、複数のその他の予兆イベント全てのステータス値と、複数のその他の予兆イベント各々とｋ番目の障害イベント種との間の関係（相関度重み）とを反映した値となるが、第１のイベントの発生直後は第１のイベントが属するイベント種のステータス値が最大となり、最も支配的となる。このため、第１のイベントが属するイベント種とｋ番目の障害イベント種との間の相関をよく表した相関度Ｆ_ｋが算出される。なお、図３に示す計算式はあくまで一例であり、同様の作用効果が得られる範囲で変形が可能である。

相関度分析部２０２は、例えば、算出した相関度が基準値以上の障害イベント種がある場合、第１のイベントはその障害イベント種が示す障害の予兆と推定することができる。一方、算出した相関度が基準値以上の障害イベント種がない場合、相関度分析部２０２は、第１のイベントは障害の予兆でないと推定することができる。

次に、図７乃至図１０のフローチャートを用いて、監視システム１の処理の流れの一例を説明する。

まず、図７に示すように、監視制御部１０２は新たなイベントを監視実行部１０１から取得すると（Ｓ１）、そのイベントが障害事象を示すか確認する（Ｓ２）。

障害事象を示す場合（Ｓ２のＹｅｓ）、監視制御部１０２は、障害発生を監視者に通知する（Ｓ３）。具体的には、監視制御部１０２は、監視ＵＩ部１０３に、障害事象の発生を示す情報を出力させる。出力される情報は、障害事象の内容、及び、その障害事象が発生している監視対象の識別情報等を含むことができる。

一方、障害事象を示さない場合（Ｓ２のＮｏ）、監視制御部１０２は、監視者への通知処理を実行しない。

また、図８に示すように、監視制御部１０２は新たなイベントを監視実行部１０１から取得すると（Ｓ１０）、予兆分析・学習部２にそのイベントを渡す。

予兆分析・学習部２のイベント管理部２０１は、新たなイベントに基づき、イベント相関ＤＢ２０４を更新する（Ｓ２０）。

ここで、図９のフローチャートを用いて、Ｓ２０の処理の流れの一例を説明する。イベント管理部２０１は、監視対象の識別情報、及び、監視対象に生じている事象のいずれもが新たなイベントと一致するイベント種がイベント相関ＤＢ２０４に登録されているか確認する（Ｓ２１）。

登録されていない場合（Ｓ２１のＮｏ）、イベント管理部２０１は、新たなイベントを新たなイベント種としてイベント相関ＤＢ２０４に登録し、予め定められた初期値をステータス値として設定する（Ｓ２３）。

一方、登録されている場合（Ｓ２１のＹｅｓ）、イベント管理部２０１は、新たなイベントが属するイベント種のステータス値を初期値に更新する（Ｓ２２）。

次いで、イベント管理部２０１は、イベント相関ＤＢ２０４に登録されているその他のイベント種のステータス値を、更新する（Ｓ２４）。例えば、イベント管理部２０１は、線形減少関数や反比例関数などの時間経過に応じて値が漸減していく関数と、経過時間とに基づき、イベント相関ＤＢ２０４に登録されているイベント種各々のステータス値を再計算し、更新する。なお、Ｓ２１乃至Ｓ２３の処理と、Ｓ２４の処理との処理順は図示する例に限定されない。

図８に戻り、イベント相関ＤＢ２０４が更新された後、相関度分析部２０２及び相関度学習部２０３による予兆分析が行われる（Ｓ３０）。

ここで、図１０のフローチャートを用いて、Ｓ３０の処理の流れの一例を説明する。まず、最新のイベント相関ＤＢ２０４に基づき、第１の監視対象及び第２の監視対象の障害イベント種とその他のイベント種との間の相関度重みを算出する処理が行われる（Ｓ３１）。当該処理の詳細は上述したので、ここでの説明は省略する。

次いで、第１の監視対象及び第２の監視対象の障害イベント種毎に、第１の監視対象及び第２の監視対象のその他のイベント種との間の相関度を算出する処理が行われる（Ｓ３２）。当該処理の詳細は上述したので、ここでの説明は省略する。

次いで、Ｓ３２で算出した相関度に基づき、新たなイベントが障害の予兆か否かを分析する処理が行われる（Ｓ３３）。当該処理の詳細は上述したので、ここでの説明は省略する。

図８に戻り、Ｓ３０で新たなイベントが障害の予兆と判断された場合（Ｓ４０のＹｅｓ）、監視制御部１０２は監視ＵＩ部１０３を介して分析結果を監視者に通知する（Ｓ５０）。例えば、監視制御部１０２は、Ｓ３２で算出された相関度が基準値以上の障害イベント種を示す情報を監視ＵＩ部１０３に出力させてもよい。なお、Ｓ３２で算出された相関度が基準値以上の障害イベント種が複数ある場合、監視制御部１０２は、複数の障害イベント種を示す情報を監視ＵＩ部１０３に出力させてもよい。この場合、監視制御部１０２は、各障害イベント種の相関度、又は、相関度に基づき算出される「各障害イベント種の予兆である確信度」を、監視ＵＩ部１０３に出力させてもよい。

一方、Ｓ３０で新たなイベントが障害の予兆と判断されなかった場合（Ｓ４０のＮｏ）、監視制御部１０２は監視ＵＩ部１０３を介した分析結果の通知を実行しない。

次に、本実施形態の監視システム１のハードウエア構成の一例を説明する。監視システム１が備える各機能は、任意のコンピュータのＣＰＵ（Central Processing Unit）、メモリ、メモリにロードされるプログラム、そのプログラムを格納するハードディスク等の記憶ユニット（あらかじめ装置を出荷する段階から格納されているプログラムのほか、ＣＤ（Compact Disc）等の記憶媒体やインターネット上のサーバ等からダウンロードされたプログラムをも格納できる）、ネットワーク接続用インターフェイスを中心にハードウエアとソフトウエアの任意の組合せによって実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当業者には理解されるところである。

図１１は、監視システム１のハードウエア構成を例示するブロック図である。図１１に示すように、監視システム１は、プロセッサ１Ａ、メモリ２Ａ、入出力インターフェイス３Ａ、周辺回路４Ａ、バス５Ａを有する。周辺回路４Ａには、様々なモジュールが含まれる。なお、周辺回路４Ａは有さなくてもよい。なお、監視システム１は物理的及び／又は論理的に一体となった１つの装置で構成されてもよいし、物理的及び／又は論理的に分かれた複数の装置で構成されてもよい。物理的及び／又は論理的に分かれた複数の装置で構成される場合、複数の装置各々が上記ハードウエア構成を備えることができる。

バス５Ａは、プロセッサ１Ａ、メモリ２Ａ、周辺回路４Ａ及び入出力インターフェイス３Ａが相互にデータを送受信するためのデータ伝送路である。プロセッサ１Ａは、例えばＣＰＵ、ＧＰＵ（Graphics Processing Unit）などの演算処理装置である。メモリ２Ａは、例えばＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）などのメモリである。入出力インターフェイス３Ａは、入力装置、外部装置、外部サーバ、外部センサ、カメラ等から情報を取得するためのインターフェイスや、出力装置、外部装置、外部サーバ等に情報を出力するためのインターフェイスなどを含む。入力装置は、例えばキーボード、マウス、マイク、タッチパネル、物理ボタン、カメラ等である。出力装置は、例えばディスプレイ、スピーカ、プリンター、メーラ等である。プロセッサ１Ａは、各モジュールに指令を出し、それらの演算結果をもとに演算を行うことができる。

次に、本実施形態の監視システム１の実施例を説明する。

監視システム１では、監視実行部１０１にて監視対象の状況を監視し、監視結果をイベントとして監視制御部１０２に通知する。ここで、イベントには、監視対象情報と事象情報（事象内容や重要度レベルなどを指す）とが含まれる。重要度レベルは、重大な障害から単なる情報通知までを段階的に数値やラベル等で示すものである。

監視制御部１０２は、監視実行部１０１からのイベントを受信すると、まず監視対象情報より監視対象の増減や構成変更の有無を認識し、監視対象間の構成情報として構成ＤＢ３０１に格納する。

また、監視制御部１０２は、事象情報の内容に応じて、監視ＵＩ部１０３を介して監視者に事象の発生を通知する（例：障害事象を示す場合に通知）。

また、監視制御部１０２は、取得したイベントを予兆分析・学習部２に送る。なお、事象の発生を通知した場合（すなわち、障害事象を示す場合）、監視制御部１０２は、「障害イベント」との情報を付与して、当該イベントを予兆分析・学習部２に送る。

予兆分析・学習部２では、イベント管理部２０１がイベントを受け取る。イベント管理部２０１では、当該イベントの種類（イベント種）が既知・未知のいずれか（すなわち、イベント相関ＤＢ２０４に登録されているか否か）、及び、障害イベントか否かを分類する。当該イベントの種類が未知の場合は、新しいイベント種としてイベント相関ＤＢ２０４に追加する。障害イベントか否かは、そのイベントを障害として監視者に通知するかどうかである。

予兆分析・学習部２は、相関度を学習する動作と、相関度に基づく予兆検知の動作を行う。

まず、相関度学習の動作について説明する。イベント管理部２０１は、イベント相関ＤＢ２０４に登録されているイベント種各々のステータス値を計算する。イベント種のステータス値は、発生した時点で最大値とし、時間経過により漸減していく関数（図３）により繰り返し計算され、更新される。この漸減を表す関数としては線形減少関数や反比例関数などが考えられるが、関数の具体的な式については特に限定しない。例えば、発生したイベントについては、直前のステータス値が閾値より大きければ同一のイベントが連続発生していると考えてそのままの値を用い、閾値より小さければ新たなイベントとして最大値をセットする。発生したイベント以外のイベント種については直前のステータス値をもとに関数に当てはめてステータス値を再計算して新たなステータス値とする。これらステータス値をイベント相関ＤＢ２０４に格納する。

続いて、イベント管理部２０１が受け取った新たなイベントの監視対象情報をキーとして構成ＤＢ３０１より構成的に近い監視対象（所定の関係を満たす監視対象）を抽出し、抽出された構成的に近い監視対象（第２の監視対象）とキーが示す監視対象（第１の監視対象）についての障害イベント種をイベント相関ＤＢ２０４より抽出し、新たなイベントとの相関度重みの学習対象とする。構成的な近さの抽出方法としては、構成を階層型の木構造で管理して階層の上下関係にある場合に階層の差を近さと判断する方法などが考えられるが、特に限定しない。例えば、図１２に示すように、予めノード間の距離を定義し、当該定義が構成ＤＢ３０１に登録されていてもよい。そして、予兆分析・学習部２は、当該定義に基づき２つのノード間の距離を算出してもよい。そして、予兆分析・学習部２は、当該距離が閾値以下の２つのノードは互いに構成的に近い監視対象とみなしてもよい。

学習対象として抽出された構成的に近い監視対象の障害イベント種と、イベント管理部２０１が受け取った新たなイベントは、図６に示すような関係式にて相関度学習部２０３にてその相関度重みに対して、両方のイベントのステータスが大きな値（発生状態）ほど相関度重みの調整幅を大きくする。

これによって両方のイベントが関連して発生する頻度が高いほど相関度重みが大きくなるという学習を行う。

次に、予兆検知の動作について説明する。イベント管理部２０１が受け取った新たなイベントに基づくイベント相関ＤＢ２０４の更新が行われた後、相関度分析部２０２は、更新後のイベント相関ＤＢ２０４が示す各イベント種のステータス値と、更新後のイベント相関ＤＢ２０４に基づき算出された相関度重みと、図６に示す「予兆検知」の計算式とに基づき、障害イベント種毎に相関度Ｆ_ｋを算出する。その後、予兆分析・学習部２は、相関度が予め設定された閾値を越えた障害イベント種と、イベント管理部２０１が受け取った新たなイベントとをペアとして、監視制御部１０２に通知する。監視制御部１０２は、障害の予兆となるイベントが発生したとして監視ＵＩ部１０３から監視者に提示する。

次に、本実施形態の変形例を説明する。複数の障害イベント種各々とその他のイベント種との間の相関度は、Ｎ対１対応で計算してもよいし、１対１対応で計算してもよい。１対１対応とする場合、監視制御部１０２が取得した新たなイベント（第１のイベント）が属するその他のイベント種と、障害イベント種との相関度を計算することができる。Ｎ対１対応で計算する場合、この計算の仕組みを階層型ニューラルネットワーク等で実現するといったことが考えられる。

また、障害の予兆を検知した場合、監視ＵＩ部１０３を通じて監視者に通知するとしているが、各障害に対して決まっている対処がある場合、それを提示したり、対処を自動実行したりする構成を新たに組み入れることも可能である。

次に、本実施形態の作用効果を説明する。本実施形態の監視システム１は、自システムで検出するイベントをもとに自己学習するため、教師付き学習のように正確な教師データを用意する必要がなく、予兆検知のモデルを内部に生成し、予兆検知が実現できる。

また、本実施形態では、予兆事象と障害事象の因果関係を、監視システム１が検出したイベント間の相関の大きさとしてとらえ、因果関係を監視システム１自体が人手や外部からの教師データに依存せずに自己学習する仕組みを持つ。これにより、＜方式１＞でルール化困難であった因果関係の問題について、因果関係をシステム自身が見出すことを可能としている。また、＜方式２＞の問題であった人手による恣意性の排除による因果関係の担保も実現可能としている。また、＜方式３＞の問題である教師データの妥当性についても、教師データを用いない方式により解決している。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限定されない。
１． 複数の監視対象各々の監視を行い、前記監視対象の識別情報、及び、前記監視対象に生じている事象を示すイベントを出力する監視実行手段と、
発生したイベント種を示す情報と、前記イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関データベースを、前記監視実行手段が出力した前記イベントに基づき更新するイベント管理手段と、
複数の前記監視対象の互いの関係を示す構成情報に基づき、前記監視実行手段が出力した第１のイベントに関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定する相関度分析手段と、
前記第１の監視対象及び前記第２の監視対象の前記イベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、前記障害イベント種と前記その他のイベント種の前記ステータス値に基づき決定する相関度学習手段と、
出力装置に情報を出力させる監視制御手段と、
を有し、
前記相関度分析手段は、前記相関度学習手段が決定した前記相関度重みに基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析し、
前記監視制御手段は、前記相関度分析手段による分析結果を出力させる監視システム。
２． １に記載の監視システムにおいて、
前記イベント管理手段は、
前記監視実行手段が新たなイベントを出力すると、前記監視対象の識別情報、及び、前記監視対象に生じている事象のいずれもが前記新たなイベントと一致する前記イベント種が前記イベント相関データベースに登録されているか確認し、
登録されていない場合には、前記新たなイベントを新たな前記イベント種として前記イベント相関データベースに登録し、初期値を前記ステータス値として登録し、
登録されている場合には、前記新たなイベントが属する前記イベント種の前記ステータス値を前記初期値に更新する監視システム。
３． １又は２に記載の監視システムにおいて、
前記イベント管理手段は、前記イベント相関データベースに登録されている前記ステータス値を、時間経過に応じて変化させる監視システム。
４． １から３のいずれかに記載の監視システムにおいて、
前記相関度学習手段は、
繰り返し、前記相関度重みを決定し、
第１の決定タイミングにおける第１の障害イベント種と第１のその他のイベント種との間の前記相関度重みの決定処理では、直前の決定タイミングで決定した前記第１の障害イベント種と前記第１のその他のイベント種との間の前記相関度重みを、前記第１の決定タイミングにおける前記第１の障害イベント種及び前記第１のその他のイベント種の前記ステータス値に基づき補正した値を前記相関度重みとして決定する監視システム。
５． ４に記載の監視システムにおいて、
前記ステータス値は、前記イベントの発生時が最大であり、時間経過とともに小さくなり、
前記相関度学習手段は、前記第１の決定タイミングにおける前記第１の障害イベント種及び前記第１のその他のイベント種の前記ステータス値が大きい程、補正による前記相関度重みの増加幅を大きくする監視システム。
６． １から５のいずれかに記載の監視システムにおいて、
前記相関度分析手段は、前記第１の監視対象及び前記第２の監視対象の前記障害イベント種毎に、前記第１の監視対象及び前記第２の監視対象の前記その他のイベント種との間の相関度を算出し、算出した前記相関度に基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析する監視システム。
７． １から６のいずれかに記載の監視システムにおいて、
前記監視制御手段は、前記監視実行手段が出力した前記イベントに基づき、前記構成情報を更新する監視システム。
８． １から７のいずれかに記載の監視システムにおいて、
前記監視制御手段は、前記監視実行手段が出力した前記イベントが所定の障害事象を示す場合、前記障害事象の発生を示す情報を出力させる監視システム。
９． コンピュータが、
複数の監視対象各々の監視を行い、前記監視対象の識別情報、及び、前記監視対象に生じている事象を示すイベントを出力し、
発生したイベント種を示す情報と、前記イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関データベースを、前記イベントに基づき更新し、
複数の前記監視対象の互いの関係を示す構成情報に基づき、第１のイベントに関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定し、
前記第１の監視対象及び前記第２の監視対象の前記イベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、前記障害イベント種と前記その他のイベント種の前記ステータス値に基づき決定し、
決定した前記相関度重みに基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析し、
分析結果を出力させる監視方法。
１０． コンピュータを、
複数の監視対象各々の監視を行い、前記監視対象の識別情報、及び、前記監視対象に生じている事象を示すイベントを出力する監視実行手段、
発生したイベント種を示す情報と、前記イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関データベースを、前記監視実行手段が出力した前記イベントに基づき更新するイベント管理手段、
複数の前記監視対象の互いの関係を示す構成情報に基づき、前記監視実行手段が出力した第１のイベントに関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定する相関度分析手段、
前記第１の監視対象及び前記第２の監視対象の前記イベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、前記障害イベント種と前記その他のイベント種の前記ステータス値に基づき決定する相関度学習手段、
出力装置に情報を出力させる監視制御手段、
として機能させ、
前記相関度分析手段は、前記相関度学習手段が決定した前記相関度重みに基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析し、
前記監視制御手段は、前記相関度分析手段による分析結果を出力させるプログラム。

以上、実施形態（及び実施例）を参照して本願発明を説明したが、本願発明は上記実施形態（及び実施例）に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１９年６月２７日に出願された日本出願特願２０１９－１２０１６８号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (10)

1. 複数の監視対象各々の監視を行い、前記監視対象の識別情報、及び、前記監視対象に生じている事象を示すイベントを出力する監視実行手段と、
   発生したイベント種を示す情報と、前記イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関データベースを、前記監視実行手段が出力した前記イベントに基づき更新するイベント管理手段と、
   複数の前記監視対象の互いの関係を示す構成情報に基づき、前記監視実行手段が出力した第１のイベントに関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定する相関度分析手段と、
   前記第１の監視対象及び前記第２の監視対象の前記イベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、前記障害イベント種と前記その他のイベント種の前記ステータス値に基づき決定する相関度学習手段と、
   出力装置に情報を出力させる監視制御手段と、
   を有し、
   前記相関度分析手段は、前記相関度学習手段が決定した前記相関度重みに基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析し、
   前記監視制御手段は、前記相関度分析手段による分析結果を出力させる監視システム。
2. 請求項１に記載の監視システムにおいて、
   前記イベント管理手段は、
   前記監視実行手段が新たなイベントを出力すると、前記監視対象の識別情報、及び、前記監視対象に生じている事象のいずれもが前記新たなイベントと一致する前記イベント種が前記イベント相関データベースに登録されているか確認し、
   登録されていない場合には、前記新たなイベントを新たな前記イベント種として前記イベント相関データベースに登録し、初期値を前記ステータス値として登録し、
   登録されている場合には、前記新たなイベントが属する前記イベント種の前記ステータス値を前記初期値に更新する監視システム。
3. 請求項１又は２に記載の監視システムにおいて、
   前記イベント管理手段は、前記イベント相関データベースに登録されている前記ステータス値を、時間経過に応じて変化させる監視システム。
4. 請求項１から３のいずれか１項に記載の監視システムにおいて、
   前記相関度学習手段は、
   繰り返し、前記相関度重みを決定し、
   第１の決定タイミングにおける第１の障害イベント種と第１のその他のイベント種との間の前記相関度重みの決定処理では、直前の決定タイミングで決定した前記第１の障害イベント種と前記第１のその他のイベント種との間の前記相関度重みを、前記第１の決定タイミングにおける前記第１の障害イベント種及び前記第１のその他のイベント種の前記ステータス値に基づき補正した値を前記相関度重みとして決定する監視システム。
5. 請求項４に記載の監視システムにおいて、
   前記ステータス値は、前記イベントの発生時が最大であり、時間経過とともに小さくなり、
   前記相関度学習手段は、前記第１の決定タイミングにおける前記第１の障害イベント種及び前記第１のその他のイベント種の前記ステータス値が大きい程、補正による前記相関度重みの増加幅を大きくする監視システム。
6. 請求項１から５のいずれか１項に記載の監視システムにおいて、
   前記相関度分析手段は、前記第１の監視対象及び前記第２の監視対象の前記障害イベント種毎に、前記第１の監視対象及び前記第２の監視対象の前記その他のイベント種との間の相関度を算出し、算出した前記相関度に基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析する監視システム。
7. 請求項１から６のいずれか１項に記載の監視システムにおいて、
   前記監視制御手段は、前記監視実行手段が出力した前記イベントに基づき、前記構成情報を更新する監視システム。
8. 請求項１から７のいずれか１項に記載の監視システムにおいて、
   前記監視制御手段は、前記監視実行手段が出力した前記イベントが所定の障害事象を示す場合、前記障害事象の発生を示す情報を出力させる監視システム。
9. コンピュータが、
   複数の監視対象各々の監視を行い、前記監視対象の識別情報、及び、前記監視対象に生じている事象を示すイベントを出力し、
   発生したイベント種を示す情報と、前記イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関データベースを、前記イベントに基づき更新し、
   複数の前記監視対象の互いの関係を示す構成情報に基づき、第１のイベントに関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定し、
   前記第１の監視対象及び前記第２の監視対象の前記イベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、前記障害イベント種と前記その他のイベント種の前記ステータス値に基づき決定し、
   決定した前記相関度重みに基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析し、
   分析結果を出力させる監視方法。
10. コンピュータを、
    複数の監視対象各々の監視を行い、前記監視対象の識別情報、及び、前記監視対象に生じている事象を示すイベントを出力する監視実行手段、
    発生したイベント種を示す情報と、前記イベント種各々の発生及び発生からの経過時間の大きさを示すステータス値とを格納するイベント相関データベースを、前記監視実行手段が出力した前記イベントに基づき更新するイベント管理手段、
    複数の前記監視対象の互いの関係を示す構成情報に基づき、前記監視実行手段が出力した第１のイベントに関わる第１の監視対象と所定の関係を有する１つ又は複数の第２の監視対象を特定する相関度分析手段、
    前記第１の監視対象及び前記第２の監視対象の前記イベント種の中の障害発生を示す障害イベント種とその他のイベント種との間の相関度重みを、前記障害イベント種と前記その他のイベント種の前記ステータス値に基づき決定する相関度学習手段、
    出力装置に情報を出力させる監視制御手段、
    として機能させ、
    前記相関度分析手段は、前記相関度学習手段が決定した前記相関度重みに基づき、前記第１のイベントが前記障害イベント種の中のいずれかの予兆であるか否かを分析し、
    前記監視制御手段は、前記相関度分析手段による分析結果を出力させるプログラム。

Images