JP7239828B2 - システム管理方法、システム管理プログラム、およびシステム管理装置 - Google Patents

Description

本発明は、システム管理方法、システム管理プログラム、およびシステム管理装置に関する。

データセンタやクラウドコンピューティングシステムにおけるコンピュータシステムは、多くの機器が混在し、システム構成は複雑である。なおここでいう機器には、仮想機器も含まれる。大規模なシステムでは、物理的な機器の故障、リソース逼迫などのさまざまな原因で障害が発生する。複雑な構成のシステムでは、１つの機器で障害が発生すると、その障害の影響が周辺の関連機器に影響を及ぼし、連鎖的に周辺の機器にも障害が発生する場合がある。一部の機器で障害が発生した場合、例えばフェイルオーバなどにより障害の影響を受ける仮想マシン（ＶＭ：Virtual Machine）を別の物理マシンに移動させることで、障害の影響の拡大を抑止することができる。

障害の影響を受ける可能性の判断技術としては、例えば障害の影響を受ける可能性の高さの違いを判別できるようにする影響範囲特定プログラムが提案されている。

特開２０１８－２０５８１１号公報

実際に障害が発生した後にＶＭの移動などフェイルオーバを実施しても、発生した障害の影響によりフェイルオーバに失敗する可能性がある。そこでいずれかの機器での障害の発生により、その障害の影響を受けるリスク（可能性）が高い機器は、実際に障害が発生する前に、障害の影響を受けるリスクが低い物理サーバに移動させることで、該当機器の機能が停止することを抑止できる。

しかし従来は、各機器が他の複数の機器のいずれかで発生する可能性がある障害（未発生の障害）の影響を受けるリスクを正しく計算する技術がない。すなわち、障害発生前に、障害の影響を受けるリスクの高い機器を適切に判断することができない。そのため、障害を受けるリスクが高い機器を、障害発生前に、障害を受けるリスクが低い物理サーバに移動させ、他の機器の障害の影響を受けるリスクを低減させることが困難である。

１つの側面では、本件は、他の機器の障害の影響を受けるリスクを低減させることを目的とする。

１つの案では、コンピュータによるシステム管理方法が提供される。当該システム管理方法によれば、コンピュータが以下の処理を実行する。
コンピュータは、ネットワークに接続されている複数の物理装置および複数の物理装置上に構築された仮想機器を含めた複数の機器それぞれについて、複数の機器の動作状況を示す動作状況情報に基づいて、障害が発生する可能性を示す障害リスクを算出する。次にコンピュータは、機器の種別ごとに障害の影響が及ぶ範囲の探索経路が示された探索経路情報に基づいて、複数の機器それぞれについて、障害が発生した場合に障害の影響が及ぶ影響範囲を算出する。次にコンピュータは、第１物理装置上に構築された仮想機器である分析対象機器を障害の影響範囲に含んでいる機器の障害リスクに基づいて、分析対象機器が他の機器の障害の影響を受ける可能性を示す第１影響リスクを算出する。次にコンピュータは、第１物理装置以外の第２物理装置ごとに、分析対象機器を第１物理装置から第２物理装置に移動させた場合に分析対象機器を障害の影響範囲内に含むこととなる機器の障害リスクに基づいて、分析対象機器が移動後に他の機器の障害の影響を受ける可能性を示す第２影響リスクを算出する。そしてコンピュータは、第２影響リスクが第１影響リスクよりも低い値の第２物理装置のうちの１つを、分析対象機器の移動先に決定する。

１態様によれば、他の機器の障害の影響を受けるリスクを低減させることができる。

第１の実施の形態に係るシステム管理方法の一例を示す図である。 第２の実施の形態のシステム構成例を示す図である。 管理サーバのハードウェアの一構成例を示す図である。 物理サーバで発生した障害の影響範囲の一例を示す図である。 ＶＭで発生した障害の影響範囲の一例を示す図である。 分析対象機器に影響を及ぼす障害想定機器の一例を示す図である。 機器ごとに算出した障害リスクの一例を示す図である。 分析対象機器の影響リスクの計算例を示す図である。 影響リスクが過大となった機器の移動例を示す図である。 管理サーバが有する機能を示すブロック図である。 記憶部が記憶する情報の一例を示す図である。 システム構成モデルの一例を示す図である。 システム構成モデルで表されるシステム構成の一例を示す図である。 障害リスクテーブルの一例を示す図である。 影響リスクテーブルの一例を示す図である。 影響範囲探索経路情報の一例を示す図である。 リスク分析処理の手順の一例を示すフローチャートである。 障害リスクの算出例を示す図である。 障害リスク算出処理の手順の一例を示すフローチャートである。 影響範囲探索の第１の例を示す図である。 影響範囲探索の第２の例を示す図である。 影響範囲探索の第３の例を示す図である。 影響範囲探索の第４の例を示す図である。 影響範囲探索の第５の例を示す図である。 影響範囲判定処理の手順の一例を示すフローチャートである。 分析対象機器に対して影響を及ぼす障害想定機器の検出例を示す図である。 複数の障害想定機器の影響範囲に含まれる分析対象機器の例を示す図である。 影響リスクの算出例を示す図である。 影響リスク算出処理の手順の一例を示すフローチャートである。 影響リスクが高い機器の移動例を示す図である。 移動先判定処理の手順の一例を示すフローチャートである。 移動先候補物理サーバ判定処理の手順の一例を示すフローチャートである。 移動先候補物理サーバリストの一例を示す図である。 物理サーバ選択処理の手順の一例を示すフローチャートである。 推奨移動先物理サーバの選択例を示す図である。 移動先候補ストレージ判定処理の手順の一例を示すフローチャートである。 移動先候補ストレージリストの一例を示す図である。 ストレージ選択処理の手順の一例を示すフローチャートである。 推奨移動先ストレージの選択例を示す図である。 ＶＭ移動処理の手順の一例を示すフローチャートである。 管理用端末装置に表示されるリスク分析画面の一例を示す図である。 ＶＭを自動で移動可能な管理サーバが有する機能を示すブロック図である。 リスク分析処理の手順の一例を示すフローチャートである。 移動先判定処理の手順の一例を示すフローチャートである。 移動先候補物理サーバ判定処理の手順の一例を示すフローチャートである。 物理サーバ選択処理の手順の一例を示すフローチャートである。 移動先候補ストレージ判定処理の手順の一例を示すフローチャートである。 ストレージ選択処理の手順の一例を示すフローチャートである。 ＶＭ移動処理の手順の一例を示すフローチャートである。 ＶＭの自動移動を行う場合のリスク分析画面の一例を示す図である。

以下、本実施の形態について図面を参照して説明する。なお各実施の形態は、矛盾のない範囲で複数の実施の形態を組み合わせて実施することができる。
〔第１の実施の形態〕
まず、第１の実施の形態について説明する。第１の実施の形態は、ＶＭなどの仮想機器を、他の物理装置または仮想機器の障害の影響を受けるリスク（影響リスク）が少ない物理装置で実現させるようにコンピュータシステムを管理するシステム管理方法である。

図１は、第１の実施の形態に係るシステム管理方法の一例を示す図である。図１には、システム管理装置１０を用いて、システム管理方法を実施した場合の例を示している。システム管理装置１０は、例えばシステム管理方法の処理手順が記述されたシステム管理プログラムを実行することにより、システム管理方法を実施することができる。

システム管理装置１０は、システム管理方法を実現するために、記憶部１１と処理部１２とを有する。記憶部１１は、例えばシステム管理装置１０が有するメモリ、またはストレージ装置である。処理部１２は、例えばシステム管理装置１０が有するプロセッサ、または演算回路である。なお、以下の説明において、ストレージ装置を単に「ストレージ」と呼ぶこともある。

システム管理装置１０は、ネットワーク２に接続されている。ネットワーク２には、複数の物理装置１ａ，１ｂ，・・・が接続されている。複数の物理装置１ａ，１ｂ，・・・は、割り当てられた仮想機器を構築する。複数の物理装置１ａ，１ｂ，・・・上に構築される仮想機器には、ＶＭやボリュームがある。例えば物理装置が物理サーバであればその物理装置上でＶＭが構築され、物理装置がストレージであればその物理装置上でボリュームが構築される。

記憶部１１は、例えばシステム構成モデル３を記憶する。システム構成モデル３は、システムを構成する複数の機器の接続関係が示されている。複数の機器には、ネットワーク２に接続されている複数の物理装置１ａ，１ｂ，・・・と複数の物理装置１ａ，１ｂ，・・・上に構築されている仮想機器とが含まれる。図１の例では、ネットワーク２に、物理装置１ａ，１ｂ，・・・として物理ルータ３ａ、３ｅ、物理サーバ３ｂ，３ｆが存在することが示されており、物理装置１ａ，１ｂ，・・・上に構築された仮想機器としてＶＭ３ｃ，３ｄ，３ｇが存在することが示されている。

処理部１２は、システム構成モデル３を参照して、リスク分析の対象となる機器（分析対象機器）が他の機器の障害の影響を受けるリスクを低減させることができるように、仮想機器の移動先とする物理装置を決定する。なお処理部１２は、例えばシステムの管理者が指定した機器を分析対象機器とする。さらに処理部１２は、決定した物理装置に、機器のうち、仮想機器を移動させることもできる。例えば処理部１２は、以下のような処理を実行する。

処理部１２は、まず複数の物理装置１ａ，１ｂ，・・・それぞれについて、障害が発生する可能性を示す障害リスクを算出する（ステップＳ１）。例えば処理部１２は、ネットワーク２に接続されている複数の物理装置１ａ，１ｂ，・・・それぞれから、複数の物理装置１ａ，１ｂ，・・・および複数の物理装置１ａ，１ｂ，・・・上に構築されている仮想機器の動作状況を示す動作状況情報を取得する。動作状況情報には、例えばＣＰＵ（Central Processing Unit）使用率、メモリ使用率、ディスク使用率などの時系列変化を示す情報が含まれる。次に処理部１２は、動作状況情報に基づいて、複数の物理装置および仮想機器それぞれについて、障害が発生する可能性を示す障害リスクを算出する。例えば処理部１２は、稼働時間のうちのＣＰＵ使用率が所定値以上となっている時間の割合を、障害リスクとすることができる。

次に処理部１２は、複数の物理装置および複数の物理装置上に構築された仮想機器それぞれについて、機器に障害が発生した場合のその機器（障害想定機器）の影響範囲を算出する（ステップＳ２）。例えば処理部１２は、機器の種別ごとに障害の影響が及ぶ範囲の探索経路が示された探索経路情報に基づいて、影響範囲にある物理装置または仮想機器を判断する。探索経路情報には、例えば探索起点が物理装置であれば、その物理装置上に構築されている仮想機器を探索することが示されている。探索で見つかった仮想機器が、探索起点の物理装置の影響範囲内の機器である。また探索経路情報には、例えば探索起点がＶＭまたはボリュームなどの仮想機器であれば、その仮想機器を構築している物理装置、およびその物理装置上に構築されている他の仮想機器を探索することが示されている。探索で見つかった機器が、探索起点の仮想機器の影響範囲内の機器である。

次に処理部１２は、第１物理装置上に構築された仮想機器である分析対象機器を障害の影響範囲に含んでいる機器の障害リスクに基づいて、分析対象機器が他の機器の障害の影響を受ける可能性を示す影響リスク（第１影響リスク）を算出する（ステップＳ３）。例えば処理部１２は、分析対象機器を障害の影響範囲に含んでいる機器の障害リスクの合計を、分析対象機器の影響リスクとする。例えば物理ルータ３ａの障害リスクが「０．１」、物理サーバ３ｂの障害リスクが「０．１」、ＶＭ３ｃの障害リスクが「０．３」の場合、ＶＭ３ｄの影響リスクは「０．５」となる。

また処理部１２は、第１物理装置以外の第２物理装置ごとに、分析対象機器が第２物理装置に移動後に他の機器の障害の影響を受ける可能性を示す影響リスク（第２影響リスク）を算出する。例えば処理部１２は、分析対象機器を第１物理装置から第２物理装置に移動させた場合に分析対象機器を障害の影響範囲内に含むこととなる機器を特定する。そして処理部１２は、特定した機器の障害リスクに基づいて、分析対象機器が移動後に他の機器の障害の影響を受ける可能性を示す第２影響リスクを算出する。例えば処理部１２は、分析対象機器３ｄに対応する仮のＶＭ４を、ＶＭを構築可能な物理装置（物理サーバ３ｆ）で構築する場合を想定する。そして処理部１２は、仮のＶＭ４を障害の影響範囲内に含む機器の障害リスクの合計を、仮のＶＭ４の影響リスクとする。物理ルータ３ｅの障害リスクが「０．１」、物理サーバ３ｆの障害リスクが「０．１」、ＶＭ３ｇの障害リスクが「０．１」の場合、仮のＶＭ４の影響リスクは「０．３」となる。仮のＶＭ４の影響リスクが、分析対象機器３ｄを物理サーバ３ｂから物理サーバ３ｆへ移動させた場合の移動後の影響リスクである。

さらに処理部１２は、第２影響リスクが第１影響リスクよりも低い値の第２物理装置のうちの１つを、分析対象機器の移動先に決定する（ステップＳ４）。例えば処理部１２は、分析対象機器の影響リスクが最小となる第２物理装置を、分析対象機器の移動先に決定する。また処理部１２は、影響リスクが所定の閾値以下となる第２物理装置のうちのいずれか１つを、分析対象機器の移動先に決定してもよい。図１の例では、ＶＭ３ｄの影響リスクよりも仮のＶＭ４の方が、影響リスクが小さい。この場合、処理部１２は、物理サーバ３ｆを、分析対象機器（ＶＭ３ｄ）の移動先に決定する。

そして処理部１２は、決定した第２物理装置に分析対象機器を移動させる（ステップＳ５）。例えば物理サーバ３ｂ上に構築されているＶＭ３ｄが分析対象機器の場合、処理部１２は、ＶＭ３ｄを物理サーバ３ｆ上に移動させる。具体的には、処理部１２は、ネットワーク２を介して物理サーバ３ｂに対して、ＶＭ３ｄの物理サーバ３ｆへのマイグレーションを指示する。さらに処理部１２は、物理サーバ３ｆに対して、マイグレーションされたＶＭ３ｄの構築を指示する。

このようにして、分析対象機器が他の機器の障害の影響を受ける影響リスクを低下させることができる。すなわちシステム管理装置１０は、仮想機器が構築されている物理機器の障害リスクだけでなく、その物理機器上の他の仮想機器や、その物理機器に接続された他の物理装置での障害リスクを考慮して、仮想機器を構築する物理装置を決定することができる。その結果、例えば仮想機器を構築する物理装置の障害リスクのみを考慮して仮想機器を構築する物理装置を決定する場合に比べて、その仮想機器を安定して運用できる可能性が向上する。

なお処理部１２は、仮の機器の影響リスクが閾値以下となるような物理装置のうち、分析対象機器が構築されている物理装置との間のネットワーク２の経路上の他の物理装置の数が最小となる第２物理装置を、移動先に決定してもよい。これにより、仮想機器を移動させる際のシステムの処理負荷の低減（例えばネットワークの通信負荷の低減）を図ることができる。

また処理部１２は、仮の機器の影響リスクが閾値以下となるような物理装置のうち、分析対象機器が構築されている物理装置との間のネットワーク２の経路上の他の物理装置の障害リスクの合計が最小となる第２物理装置を、移動先に決定してもよい。これにより、仮想機器を移動させる際に障害の影響を受ける可能性を低減し、仮想機器を確実に移動させることができる。

処理部１２は、複数の物理装置のいずれかで構築されている既存の仮想機器それぞれについて、影響リスクの低減が可能かどうかを定期的に判断し、影響リスクの低減が可能な仮想機器を、影響リスクが低減する物理装置へ自動的に移動させることもできる。その場合、処理部１２は、複数の物理装置のいずれかで構築されている仮想機器ごとに、探索経路情報に基づいて、既存の仮想機器に障害の影響を及ぼす障害想定機器を判断する。次に処理部１２は、既存の仮想機器ごとに、障害想定機器の障害リスクに基づいて、仮想機器が障害想定機器の障害の影響を受ける可能性を示す影響リスクを算出する。そして処理部１２は、影響リスクが移動前影響リスク閾値を超えている仮想機器の移動先を決定し、他の物理装置に移動させる。これにより、システム全体をリスクの少ない状態に保つことができ、システムの安定性が向上する。

〔第２の実施の形態〕
次に第２の実施の形態について説明する。第２の実施の形態は、特に重要なＶＭなどの機器（例えば銀行などの社会的責任の大きい機器など）をユーザが指定し、該当機器が周辺機器によって障害を受けるリスクを低減できるようにしたものである。

図２は、第２の実施の形態のシステム構成例を示す図である。ネットワーク２０には、監視対象の機器として、例えばサーバ３１ａ，３１ｂ，・・・、端末装置３２ａ，３２ｂ，・・・、ストレージ装置３３ａ，３３ｂ，・・・、ネットワーク機器３４ａ，３４ｂ，・・・などがある。ネットワーク２０には、さらに管理サーバ１００と管理用端末装置３０が接続されている。管理サーバ１００は、監視対象の機器から情報を取得し、障害の影響を受けるリスクの高い機器を検出し、その機器を、リスクが低くなる物理サーバへ移動させる。管理用端末装置３０は、システムの管理者が使用するコンピュータである。

図３は、管理サーバのハードウェアの一構成例を示す図である。管理サーバ１００は、プロセッサ１０１によって装置全体が制御されている。プロセッサ１０１には、バス１０９を介してメモリ１０２と複数の周辺機器が接続されている。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、例えばＣＰＵ、ＭＰＵ（Micro Processing Unit）、またはＤＳＰ（Digital Signal Processor）である。プロセッサ１０１がプログラムを実行することで実現する機能の少なくとも一部を、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）などの電子回路で実現してもよい。

メモリ１０２は、管理サーバ１００の主記憶装置として使用される。メモリ１０２には、プロセッサ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１０２には、プロセッサ１０１による処理に利用する各種データが格納される。メモリ１０２としては、例えばＲＡＭ（Random Access Memory）などの揮発性の半導体記憶装置が使用される。

バス１０９に接続されている周辺機器としては、ストレージ装置１０３、グラフィック処理装置１０４、入力インタフェース１０５、光学ドライブ装置１０６、機器接続インタフェース１０７およびネットワークインタフェース１０８がある。

ストレージ装置１０３は、内蔵した記録媒体に対して、電気的または磁気的にデータの書き込みおよび読み出しを行う。ストレージ装置１０３は、コンピュータの補助記憶装置として使用される。ストレージ装置１０３には、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。なお、ストレージ装置１０３としては、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）を使用することができる。

グラフィック処理装置１０４には、モニタ２１が接続されている。グラフィック処理装置１０４は、プロセッサ１０１からの命令に従って、画像をモニタ２１の画面に表示させる。モニタ２１としては、有機ＥＬ（Electro Luminescence）を用いた表示装置や液晶表示装置などがある。

入力インタフェース１０５には、キーボード２２とマウス２３とが接続されている。入力インタフェース１０５は、キーボード２２やマウス２３から送られてくる信号をプロセッサ１０１に送信する。なお、マウス２３は、ポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。

光学ドライブ装置１０６は、レーザ光などを利用して、光ディスク２４に記録されたデータの読み取りを行う。光ディスク２４は、光の反射によって読み取り可能なようにデータが記録された可搬型の記録媒体である。光ディスク２４には、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）などがある。

機器接続インタフェース１０７は、管理サーバ１００に周辺機器を接続するための通信インタフェースである。例えば機器接続インタフェース１０７には、メモリ装置２５やメモリリーダライタ２６を接続することができる。メモリ装置２５は、機器接続インタフェース１０７との通信機能を搭載した記録媒体である。メモリリーダライタ２６は、メモリカード２７へのデータの書き込み、またはメモリカード２７からのデータの読み出しを行う装置である。メモリカード２７は、カード型の記録媒体である。

ネットワークインタフェース１０８は、ネットワーク２０に接続されている。ネットワークインタフェース１０８は、ネットワーク２０を介して、他のコンピュータまたは通信機器との間でデータの送受信を行う。

管理サーバ１００は、以上のようなハードウェア構成によって、第２の実施の形態の処理機能を実現することができる。なお、第１の実施の形態に示したシステム管理装置１０も、図３に示した管理サーバ１００と同様のハードウェアにより実現することができる。

管理サーバ１００は、例えばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、第２の実施の形態の処理機能を実現する。管理サーバ１００に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。例えば、管理サーバ１００に実行させるプログラムをストレージ装置１０３に格納しておくことができる。プロセッサ１０１は、ストレージ装置１０３内のプログラムの少なくとも一部をメモリ１０２にロードし、プログラムを実行する。また管理サーバ１００に実行させるプログラムを、光ディスク２４、メモリ装置２５、メモリカード２７などの可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１０１からの制御により、ストレージ装置１０３にインストールされた後、実行可能となる。またプロセッサ１０１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。

このようなシステムにおいて、管理サーバ１００は、ユーザが指定したＶＭについて、他の機器の障害の影響を受ける可能性（影響リスク）を計算する。影響リスクとは、周辺機器からの障害の影響を受ける可能性を表す値である。そして管理サーバ１００は、影響リスクの値を用い、障害が発生する前に、障害を受ける可能性の低い物理サーバへＶＭを移動し、そのＶＭに対して障害の影響が及ぶことを抑止する。以下、影響リスクを算出する対象の機器を、分析対象機器と呼ぶ。

管理サーバ１００は、例えば周辺機器の障害リスクと影響範囲の重ね合わせから、分析したい機器自身の障害リスクだけではなく周辺機器から受ける影響リスクを算出する。ここで障害リスクとは、各機器の障害が発生する可能性を表す値である。影響範囲とは、ある機器に障害が発生したことによって、影響を受ける機器のことである。そして管理サーバ１００は、現構成での分析対象機器の影響リスクと仮に分析対象機器を他の物理サーバへ移動した場合の影響リスクを比較し、影響リスクが低くなる物理サーバへ分析対象機器を移動する。

図４は、物理サーバで発生した障害の影響範囲の一例を示す図である。図４の例では、物理ルータ４１に物理スイッチ４２が接続されている。物理スイッチ４２に物理サーバ４３が接続されている。物理サーバ４３ではＶＭ４８ａ～４８ｃが動作している。物理ルータ４４に物理スイッチ４５が接続されている。物理スイッチ４５にストレージ４６が接続されている。ボリューム４７を用いてＶＭ４８ｃ，４８ｄが構築されている。また２台の物理ルータ４１，４４が互いに接続されている。なおボリューム４７は、ストレージ４６内の記憶領域の管理単位である。１つのストレージ４６内に複数のボリュームを生成することも可能である。

ここで物理サーバ４３において障害が発生した場合を想定する。なお、影響範囲の抽出処理において障害が発生したものと想定する機器を障害想定機器と呼ぶ。障害想定機器が物理サーバ４３の場合、管理サーバ１００は、例えばその物理サーバ４３上のＶＭ４８ａ～４８ｃを影響範囲とする。

図５は、ＶＭで発生した障害の影響範囲の一例を示す図である。図５の例では、ＶＭ４８ｃを障害想定機器としている。障害想定機器がＶＭ４８ｃの場合、管理サーバ１００は、例えばそのＶＭ４８ｃが構築されている物理サーバ４３とその物理サーバ４３上の他のＶＭ４８ａ，４８ｂを影響範囲に含める。また管理サーバ１００は、障害想定機器であるＶＭ４８ｃが構築されているボリューム４７、そのボリューム４７を有するストレージ４６、およびそれらのボリューム４７とストレージ４６とを利用している他のＶＭ４８ｄを、影響範囲に含める。

障害想定機器としては、物理サーバ、ＶＭ以外にも、物理スイッチ、物理ルータ、ボリューム、ストレージが想定される。管理サーバ１００は、機器の種別ごとの影響範囲の抽出方法が定義されており、機器ごとに、機器の種別に応じた影響範囲を抽出する。管理サーバ１００は、例えば１時間単位程度の間隔で定期的に、各機器の影響範囲を抽出する。また管理サーバ１００は、システムの構成情報の変化を検出したタイミングで、各機器の影響範囲を抽出してもよい。さらに管理サーバ１００は、分析対象機器に対する影響リスクを分析するタイミングで、各機器の影響範囲を抽出してもよい。

なお、図５の例では、障害想定機器がＶＭの場合、同じ物理サーバ上の他のＶＭを影響範囲に含めている。この理由の１つは、オーバーコミット時など、同じホスト上のＶＭのＣＰＵ使用量によって他のＶＭの性能に影響が出る可能性があり得るためである。同じ物理サーバ上の他のＶＭを影響範囲とした他の理由は、障害想定機器であるＶＭへの人による設定ミスで物理サーバの通信帯域が占領され、他のＶＭに影響を及ぼすことがあり得るためである。

管理サーバ１００は、機器ごとに、その機器が影響範囲となっている機器を抽出する。これより、ある機器を分析対象機器とした場合に、分析対象機器が他のどの機器の影響範囲に含まれているのかが分かる。そこで管理サーバ１００は、障害による影響を及ぼす範囲に分析対象機器を含む機器（障害想定機器）を抽出する。

図６は、分析対象機器に影響を及ぼす障害想定機器の一例を示す図である。例えば、分析対象機器がＶＭ４８ｃの場合、そのＶＭ４８ｃが構築されている物理サーバ４３とその物理サーバ４３上に構築されている他のＶＭ４８ａ，４８ｂが障害想定機器に含まれる。また分析対象機器であるＶＭ４８ｃが構築されているボリューム４７やストレージ４６とそのボリューム４７上に構築されている他のＶＭ４８ｄ、ストレージ４６に設けられた他のボリューム（図示せず）も障害想定機器に含まれる。さらに分析対象機器であるＶＭ４８ｃが構築されている物理サーバ４３やストレージ４６に接続される物理スイッチ４２，４５と物理ルータ４１，４４も障害想定機器に含まれる。これらの障害想定機器群のいずれかに障害が発生した場合、分析対象機器であるＶＭ４８ｃに障害の影響が及ぶ。

また管理サーバ１００は、各機器について、機器自身の障害リスクを算出する。障害リスクには、リソース障害リスク、利用者障害リスク、耐用障害リスク、環境障害リスクなどがある。

例えば管理サーバ１００は、仮想機器（ＶＭやボリューム）に関する障害リスクとして、リソース障害リスクと利用者障害リスクとを計算する。
リソース障害リスクは、リソースの余力不足により生じる障害のリスクである。例えば管理サーバ１００は、ＶＭに割り当てられているリソース（ＣＰＵ、メモリ、ストレージ装置）の使用状況が１００％または１００％に近い値に達した時間を、該当ＶＭの稼働時間で割った値を、該当ＶＭのリソース障害リスクとする。なお、ＶＭに割り当てるリソース量を自動調整することでリソース障害リスクを低減することは可能であるが、リソース量の自動調整は、時間と負荷がかかり性能が劣化することがある。そのためリソースの自動調整が頻繁に起こることは、パフォーマンスの安定維持ができない可能性が高く、システムの動作が不安定になるという障害のリスクを生じさせる。そこで管理サーバ１００は、リソース量の自動調整機能の有無にかかわらず、リソース障害リスクを、機器の障害リスクのうちの１つに含める。

利用者障害リスクとは、利用者による不適切な機器の利用によって生じる障害のリスクである。例えば管理サーバ１００は、利用者の操作ミスや設定ミスなどによる障害があった場合、今後も同様のミスが発生する可能性があるとして一定の障害リスクを、利用者障害リスクとして算出する。

また管理サーバ１００は、物理機器に関する障害リスクとして、耐用障害リスクと環境障害リスクとを算出する。
耐用障害リスクは、機器の使用履歴（使用年数、使用状況）と、耐用年数または製造者が保証する使用時間とを比較して算出される障害リスクである。例えば管理サーバ１００は、機器の一般的な耐用年数と現在の使用年数との差や、機器の故障回数に基づいて、対象障害リスクを計算する。

環境障害リスクは、機器の使用環境に起因して過去に発生した障害の発生を加味して計算される障害リスクである。例えば管理サーバ１００は、温度上昇や部品故障など、通常の耐用年数とは異なる不良が生じた機器には、一定の環境障害リスクを付与する。

管理サーバ１００は、例えば各機器について、上記のような種類別の障害リスクを算出し、それらの障害リスクの合計を、該当機器の障害リスクとする。よって障害リスクは０以上の任意の値となる。なお管理サーバ１００は、システム全体で算出された機器ごとの障害リスクの最大値で、各機器の障害リスクを除算するなどで、障害リスクの値を０から１の範囲内に正規化してもよい。なお管理サーバ１００は、算出する障害リスクの種類を、システムを構成するすべての機器に関して同じとし、障害リスクの算出条件を、すべての機器に関して等しくする。

図７は、機器ごとに算出した障害リスクの一例を示す図である。図７の例では、障害リスクの値が０～１の範囲内に正規化されている。
管理サーバ１００は、機器ごとに算出した障害リスクと各機器の影響範囲とに基づいて、分析対象機器の影響リスクを算出する。影響リスクの算出方法は以下の通りである。

管理サーバ１００は、分析対象機器が影響範囲となっているすべての機器の障害リスクを加算することで、分析対象機器の影響リスクを算出する。影響リスクは周辺機器の障害リスクから算出されるものであるため、分析対象機器の障害リスクは、その分析対象機器の影響リスクには含まれない。

影響リスクは０以上の任意の値となるが、障害リスク算出の条件は等しく設定されているため、機器ごとの影響リスクも同じ条件の下で比較できる。なお管理サーバ１００は、システム全体で算出された最大値で各影響リスクを除算するなどで、影響リスクの値を０から１の範囲内に正規化してもよい。

図８は、分析対象機器の影響リスクの計算例を示す図である。図８の例では、ＶＭ４８ｃが分析対象機器である。ＶＭ４８ｃは、物理サーバ４３を障害想定機器としたときの影響範囲に含まれる。またＶＭ４８ｃは、ストレージ４６を障害想定機器としたときの影響範囲にも含まれる。そこで管理サーバ１００は、ＶＭ４８ｃの影響リスクの算出の際には、物理サーバ４３の障害リスク「０．１３」とストレージ４６の障害リスク「０．０７」とを、ＶＭ４８ｃの影響リスクに加算する。他の機器が障害想定機器となる場合も同様に、管理サーバ１００は、順次、ＶＭ４８ｃが影響範囲に入っている機器の障害リスクを、ＶＭ４８ｃの影響リスクに加算していく。ＶＭ４８ｃを影響範囲に含むすべての障害想定機器の障害リスクの合計が、ＶＭ４８ｃの影響リスクとなる。

管理サーバ１００は、分析対象機器の影響リスクが所定の閾値を超えた場合に、分析対象機器のネットワーク上での位置を移動させてもよい。例えば分析対象機器がＶＭの場合、管理サーバ１００は、そのＶＭを現在稼働させている物理サーバから、他の物理サーバに移動させる。

図９は、影響リスクが過大となった機器の移動例を示す図である。図９に示すシステムには、物理ルータ５１ａ～５１ｄ、物理スイッチ５２ａ～５２ｄ、物理サーバ５３ａ，５３ｂ、ストレージ５４ａ，５４ｂ、ボリューム５５ａ～５５ｃ、およびＶＭ５６ａ～５６ｋが含まれる。

管理サーバ１００は、物理サーバ５３ａ上に構築されているＶＭ５６ｅを分析対象機器として影響リスクを計算し、影響リスクが所定の閾値を超えたと判断すると、ＶＭ５６ｅを他の物理サーバ５３ｂ上に移動した場合の仮のＶＭ５７の影響リスクを算出する。管理サーバ１００は、仮のＶＭ５７の影響リスクが十分に低ければ、分析対象機器であるＶＭ５６ｅを仮のＶＭ５７の位置に移動させる。例えば管理サーバ１００は、物理サーバ５３ａの仮想化マネージャに対して、ＶＭ５６ｅの物理サーバ５３ｂへのマイグレーションを指示する。なお管理サーバ１００は、特に重要な機器を優先的に、影響リスクが低くなる物理サーバへ移動させる。

仮のＶＭ５７の影響リスクは、仮のＶＭ５７の位置（どの物理サーバ上に構築され、どのボリュームを使用するか）の周辺機器の障害リスクに依存するが、各機器の障害リスクの計算には、周辺機器の障害リスクの値は用いない。そのため仮のＶＭ５７の位置に分析対象機器であるＶＭ５６ｅを移動させても、移動先の周辺機器の障害リスクが変わることもない。

管理サーバ１００は、例えば、移動させるＶＭ５６ｅをできるだけ近い位置を、移動先の候補とする。この場合、管理サーバ１００は、ＶＭ５６ｅが構築された物理サーバ５３ａとのネットワーク上の距離が近い物理サーバから順に移動先の候補とし、移動先の候補となった物理サーバに仮のＶＭ５７を構築した場合の、仮のＶＭ５７の影響リスクを算出する。そして管理サーバ１００は、仮のＶＭ５７の影響リスクが予め決めた閾値以下となった場所を、ＶＭ５６ｅの移動先とする。

図９の例では、分析対象機器であるＶＭ５６ｅの影響リスクは「０．８７」であるが、仮のＶＭ５７の影響リスクは「０．１１」である。そこで管理サーバ１００は、ＶＭ５６ｅを仮のＶＭ５７の位置へ移動させる。

なお管理サーバ１００は、仮のＶＭ５７の影響リスクを算出する場合、例えばＶＭ５６ｅを移動可能なすべての場所について、その場所に仮のＶＭ５７を構築した場合の影響リスクを計算してもよい。また管理サーバ１００は、計算時間短縮のため、影響リスクの小さい物理サーバから優先的に、その物理サーバに仮のＶＭ５７を構築した場合の影響リスクを計算してもよい。

さらに管理サーバ１００は、分析対象機器であるＶＭ５６ｅを移動させる際に、経由するスイッチやルータの数ができるだけ少なくなる場所を、移動先とすることもできる。例えば管理サーバ１００は、ＶＭ５６ｅが構築された物理サーバ５３ａと同じ物理ルータ５１ａを利用した同じラック内の他の物理サーバがある場合、その物理サーバを移動先候補として優先的に選出することができる。これにより、移動のための通信帯域の使用量を削減することができ、機器の移動に伴うシステムの効率の低下を抑止できる。

次に、管理サーバ１００における障害のリスクの低減機能について具体的に説明する。
図１０は、管理サーバが有する機能を示すブロック図である。管理サーバ１００は、記憶部１１０、障害リスク算出部１２０、影響範囲判定部１３０、影響リスク算出部１４０、移動先判定部１５０、ＶＭ移動部１６０、およびリスク分析制御部１７０を有する。

記憶部１１０は、システム内の機器の影響リスクの算出に利用する情報を記憶する。例えばメモリ１０２またはストレージ装置１０３の記憶領域の一部が、記憶部１１０として使用される。

障害リスク算出部１２０は、リスク分析制御部１７０からの指示に応じて、システム内の機器それぞれの障害リスクを算出する。障害リスク算出部１２０は、算出した障害リスクを記憶部１１０に格納する。また障害リスク算出部１２０は、ネットワーク２０を介してシステム構成を監視し、システム構成を示すシステム構成モデルを記憶部１１０に格納する。

影響範囲判定部１３０は、各機器の障害リスクが算出されると、システム内の機器それぞれの影響範囲を判定する。影響範囲判定部１３０は、判定した影響範囲の情報を記憶部１１０に格納する。

影響リスク算出部１４０は、各機器の影響範囲が算出されると、リスク分析制御部１７０から指定された分析対象装置の影響リスクを算出する。影響リスク算出部１４０は、算出した影響リスクを記憶部１１０に格納する。

移動先判定部１５０は、リスク分析制御部１７０から推奨移動先の判定指示を受信した場合、分析対象機器の影響リスクを低減可能な移動先を判定する。移動先判定部１５０は、判定した移動先を示す情報をリスク分析制御部１７０に送信する。

ＶＭ移動部１６０は、分析対象機器の移動が決定された場合に、該当機器の起動を、その機器が構築されている物理機器に送信する。
リスク分析制御部１７０は、リスク分析に用いる情報の入力の受け付け、および分析結果の表示を行う。例えばリスク分析制御部１７０は、分析対象機器の指定入力や影響リスクが閾値を超えたＶＭの移動実行指示を受け付ける。そしてリスク分析制御部１７０は、管理サーバ１００のリスク分析のための機能を制御して分析結果を取得する。またリスク分析制御部１７０は、分析結果を管理用端末装置３０に表示させる。

なお、図１０に示した各要素間を接続する線は通信経路の一部を示すものであり、図示した通信経路以外の通信経路も設定可能である。また、図１０に示した各要素の機能は、例えば、その要素に対応するプログラムモジュールをコンピュータに実行させることで実現することができる。

図１１は、記憶部が記憶する情報の一例を示す図である。記憶部１１０には、例えばシステム構成モデル１１１、障害リスクテーブル１１２、影響リスクテーブル１１３，および影響範囲探索経路情報１１４が格納される。

システム構成モデル１１１は、システムに含まれる機器、および機器間の接続関係を示す情報である。障害リスクテーブル１１２は、機器ごとに判定された、該当機器で障害の発生した場合の影響範囲が設定されたデータテーブルである。影響リスクテーブル１１３は、分析対象機器の影響リスクが設定されたデータテーブルである。影響範囲探索経路情報１１４は、機器の種別ごとの、影響範囲の探索経路を示す情報である。

以下、図１２～図１６を参照して、記憶部１１０に格納されている情報の詳細を説明する。
図１２は、システム構成モデルの一例を示す図である。システム構成モデル１１１には、機器情報と接続情報とが含まれる。機器情報には、システムの構成要素である機器（ＶＭなどの仮想機器も含まれる）の名称（機器名）と、機器の機能が設定されている。接続情報には、ネットワーク上で直接接続されている機器のリストが設定されている。なお各機器の機器名は、機能を示す名称の後に識別番号を付与した名前としてもよい。機器名が「ＳＶ」で始まる機器はサーバである。機器名が「ＶＭ」で始まる機器は仮想マシン（ＶＭ）である。機器名が「Ｓｔｏｒａｇｅ」で始まる機器はストレージである。機器名が「Ｖｏｌｕｍｅ」で始まる機器はボリュームである。

図１３は、システム構成モデルで表されるシステム構成の一例を示す図である。システム構成１１１ａに示されるように、システム内には多数の機器が複雑に関係し合っている。そのため、１つの機器に障害が発生すると、その障害の影響は他の機器にも及ぶ。多数の機器からの影響を受けやすい機器は、他の機器の障害の影響により機能低下などの問題が生じるリスクが高い。そこで各機器の影響リスクを正しく計算し、影響リスクを低減することが重要となる。

図１４は、障害リスクテーブルの一例を示す図である。障害リスクテーブル１１２には、障害想定機器、障害リスク、および影響範囲にある機器の欄が設けられている。障害想定機器の欄には、障害が発生したと仮定した機器であり、影響範囲の探索が行われた起点となる機器名が設定されている。障害リスクの欄には、障害想定機器の障害リスクが設定されている。影響範囲にある機器の欄には、障害想定機器で障害が発生した場合にその障害の影響を受ける範囲に含まれる機器の機器名が設定されている。

図１５は、影響リスクテーブルの一例を示す図である。影響リスクテーブル１１３には、分析対象機器、影響リスク、構築物理サーバ、接続ストレージ、および障害想定機器の欄が設けられている。分析対象機器の欄には、分析の対象となった場合の機器名が設定されている。影響リスクの欄には、分析対象機器について算出された影響リスクが設定されている。構築物理サーバの欄には、分析対象機器が構築されている物理サーバの機器名が設定されている。接続ストレージの欄には、分析対象機器が接続されているストレージの機器名が設定されている。障害想定機器の欄には、分析対象機器を影響範囲に含む障害想定機器の機器名が設定されている。

図１６は、影響範囲探索経路情報の一例を示す図である。影響範囲探索経路情報１１４には、障害想定機器、探索機器種別、および影響範囲探索経路の欄が設けられている。障害想定機器の欄には、障害想定機器の種別が設定されている。探索機器種別の欄には、影響範囲探索の対象とする機器の種別（ストレージ関連機器なのかサーバ関連機器なのか）が設定されている。影響範囲探索経路の欄には、影響範囲の探索のために機器間の接続関係を辿る経路（接続関係探索経路）が設定されている。

管理サーバ１００は、記憶部１１０に格納した情報を用いて、分析対象機器のリスク分析を実施する。
図１７は、リスク分析処理の手順の一例を示すフローチャートである。以下、図１７に示す処理をステップ番号に沿って説明する。

［ステップＳ１０１］リスク分析制御部１７０は、分析対象機器の入力を受け付ける。例えばリスク分析制御部１７０は、管理用端末装置３０に対して、リスク分析画面の画面データを送信する。管理用端末装置３０は、受信した画面データに基づいてリスク分析画面を表示する。管理者は、表示されたリスク分析画面を参照し、管理用端末装置３０に分析対象機器を指定した影響リスク算出処理の実行を指示する入力を行う。管理用端末装置３０は、影響リスク算出処理の実行を指示する入力に応じて、分析対象機器を指定した影響リスク算出要求を管理サーバ１００に送信する。リスク分析制御部１７０は、影響リスク算出要求を受信すると、障害リスク算出部１２０に対して障害リスクの算出を指示する。またリスク分析制御部１７０は、影響リスク算出部１４０に対して分析対象機器を示す情報（例えば機器名）を送信する。

［ステップＳ１０２］障害リスク算出部１２０は、リスク分析制御部１７０からの指示に応じて、各機器の障害リスクを算出する。障害リスク算出部１２０は、障害リスクの算出処理が終了すると、影響範囲判定部１３０に影響範囲の判定を指示する。なお、障害リスク算出処理の詳細は後述する（図１９参照）。

［ステップＳ１０３］影響範囲判定部１３０は、障害リスク算出部１２０からの指示に応じて、各機器で障害が発生した場合の影響範囲を判定する。影響範囲判定部１３０は、影響範囲判定処理が終了すると、影響リスク算出部１４０に影響リスクの算出を指示する。なお影響範囲判定処理の詳細は後述する（図２５参照）。

［ステップＳ１０４］影響リスク算出部１４０は、影響範囲判定部１３０からの指示に応じて、分析対象機器の影響リスクを算出する。影響リスク算出部１４０は、影響リスク算出処理が終了すると、影響リスクの算出結果をリスク分析制御部１７０に送信する。なお、影響リスク算出処理の詳細は後述する（図２９参照）。

［ステップＳ１０５］リスク分析制御部１７０は、分析対象機器の影響リスクを管理用端末装置３０の画面に表示させる。管理者は、表示された画面により、分析対象機器の影響リスクを認識する。

［ステップＳ１０６］リスク分析制御部１７０は、ＶＭ移動候補影響リスク閾値の入力を受け付ける。例えば管理者は、分析対象機器がＶＭであり、影響リスクが高すぎると判断した場合、ＶＭ移動候補影響リスク閾値を指定した推奨移動先判定処理の実行指示を、管理用端末装置３０に入力する。管理用端末装置３０は、管理者からの入力に応じて、ＶＭ移動候補影響リスク閾値を含む推奨移動先判定処理の実行要求を管理サーバ１００に送信する。リスク分析制御部１７０は、ＶＭ移動候補影響リスク閾値を含む推奨移動先判定処理の実行要求を受信すると、移動先判定部１５０に、推奨移動先判定要求を送信する。

［ステップＳ１０７］移動先判定部１５０は、推奨移動先判定要求に応じて、移動先判定処理を実行する。移動先判定部１５０は、移動先判定処理が終了すると、リスク分析制御部１７０に、推奨移動先（例えばＶＭを構築する物理サーバの装置名、ＶＭを接続するストレージの装置名）と推奨移動先の影響リスクを示す情報を送信する。なお、移動先判定処理の詳細は後述する（図３０参照）。

［ステップＳ１０８］リスク分析制御部１７０は、推奨移動先のネットワーク上の位置と推奨移動先の影響リスクとを示す画面を、管理用端末装置３０に表示させる。管理者は、管理用端末装置３０の画面を参照し、ＶＭを移動させると判断した場合、管理用端末装置３０にＶＭの移動実行の指示を入力する。また管理者は、ＶＭを移動させないと判断した場合、管理用端末装置３０にリスク分析処理終了の指示を入力する。管理用端末装置３０は、管理者からの入力に応じて、管理サーバ１００にＶＭの移動要求、またはリスク分析処理の終了要求を送信する。

［ステップＳ１０９］リスク分析制御部１７０は、ＶＭの移動要求を受信したか否かを判断する。リスク分析制御部１７０は、ＶＭの移動要求を受信した場合、ＶＭの移動の実行をＶＭ移動部１６０に指示し、処理をステップＳ１１０に進める。またリスク分析制御部１７０は、ＶＭの移動要求を受信せずにリスク分析処理の終了要求を受信した場合、リスク分析処理を終了する。

［ステップＳ１１０］ＶＭ移動部１６０は、分析対象機器であるＶＭを、推奨移動先となった位置に移動させる。ＶＭ移動処理の詳細は後述する（図４０参照）。
［ステップＳ１１１］リスク分析制御部１７０は、ＶＭの移動が完了すると、ＶＭの移動結果を示す画面を、管理用端末装置３０に表示させる。その後、リスク分析処理が終了する。

このような手順で、分析対象機器の影響リスクの算出とＶＭの移動とが行われる。
次に、障害リスク算出処理について詳細に説明する。
図１８は、障害リスクの算出例を示す図である。障害リスク算出部１２０は、例えばリソースの稼働状況から障害リスクを算出する。すなわち、機器で使用可能なリソース量が逼迫していると、その機器の障害が起こる可能性が高くなる。そこで障害リスク算出部１２０は、ＣＰＵ、メモリ、ストレージの稼働状況に基づいて障害リスクを算出する。例えば障害リスク算出部１２０は、ＣＰＵ、メモリ、ストレージの少なくとも１つについて、稼働時間に対し、使用率が所定の閾値（１００％または１００％に近い値）を超えた時間の比率を算出し、その比率を障害リスクとする。なお障害リスク算出部１２０は、ＣＰＵ、メモリ、ストレージのうちの２つ以上について、使用率が閾値を超えた時間比率を算出し、それらの比率の合計を障害リスクとすることもできる。

例えば障害リスク算出部１２０は、１週間の稼働時間（１６８時間）のうちのＣＰＵ使用率が９５％以上の時間の割合を、稼働状況による障害リスクとする。図１８の例では、ＣＰＵ使用率が９５％以上になった時間の合計が１６時間である。そのため、障害リスクは０．０９５（＝１６／１６８）となる。

障害リスク算出部１２０は、過去の障害状況を加味して障害リスクを算出することもできる。例えば障害リスク算出部１２０は、利用者の操作ミスや設定ミスなどによる障害があった場合、今後も同様のミスが発生する可能性があるとして、同じ利用者が管理する機器には、一定の障害リスクを付与する。また障害リスク算出部１２０は、物理機器では耐用年数を加味して障害リスクを算出することもできる。例えば障害リスク算出部１２０は、機器の耐用年数までの残存期間や故障確立に応じて算出した値を、障害リスクに加算する。さらに障害リスク算出部１２０は、物理機器では環境温度を加味して障害リスクを算出することもできる。例えば障害リスク算出部１２０は、データセンタ内での温度分布を取得し、機器が比較的高い温度領域に設置されている場合は、データセンタの平均温度（または予め設定された温度）に対する機器周辺の温度の割合に応じた値を、障害リスクに加算する。このように、リソースの稼働状況、過去の障害状況、物理機器の耐用年数や環境温度それぞれから算出される障害リスクを足し合わせることで、適切な障害リスクを算出することができる。

図１９は、障害リスク算出処理の手順の一例を示すフローチャートである。以下、図１９に示す処理をステップ番号に沿って説明する。
［ステップＳ１２１］障害リスク算出部１２０は、システム構成モデル１１１の機器情報を参照し、未選択の機器を１つ選択する。

［ステップＳ１２２］障害リスク算出部１２０は、選択した機器の障害リスクを算出する。例えば障害リスク算出部１２０は、選択した機器から、ＣＰＵ使用率などの運用状況の時系列変化を示す情報を取得し、障害リスクを算出する。障害リスク算出部１２０は、算出した障害リスクを、障害リスクテーブル１１２における選択した機器の機器名に対応するレコードに設定する。

［ステップＳ１２３］障害リスク算出部１２０は、すべての機器を選択したか否かを判断する。障害リスク算出部１２０は、すべての機器が選択済みであれば、障害リスク算出処理を終了する。また障害リスク算出部１２０は、未選択の機器があれば、処理をステップＳ１２１に進める。

このようにしてすべての機器の障害リスクが算出され、算出した障害リスクの値が障害リスクテーブル１１２に設定される。障害リスクの算出が終了すると、影響範囲判定部１３０により、各機器の障害の影響範囲が判定される。障害の影響範囲に含まれる機器は、図１６に示した影響範囲探索経路に従って探索される。以下、図２０～図２４を参照し、影響範囲探索経路に従った影響範囲の探索例について説明する。

図２０は、影響範囲探索の第１の例を示す図である。図２０には、障害想定機器がＶＭの場合の影響範囲の探索例が示されている。障害想定機器がＶＭの場合、ストレージ関連機器の探索とサーバ関連機器の探索とが行われる。ストレージ関連機器の探索における影響範囲探索経路は「ＶＭ→Ｖｏｌｕｍｅ→Ｓｔｏｒａｇｅ→Ｖｏｌｕｍｅ→ＶＭ」である。これはストレージを共有する機器を探索する影響範囲探索経路であり、ストレージを共有しない機器は影響範囲に含まれない。サーバ関連機器の探索における影響範囲探索経路は「ＶＭ→ＳＶ→ＶＭ」である。これは物理サーバを共有する機器を探索する影響範囲探索経路であり、物理サーバを共有しない機器は影響範囲に含まれない。

影響範囲判定部１３０は、機器名「ＶＭ１」のＶＭが障害想定機器の場合、経路６１ａ，６１ｂに沿ってストレージ関連機器を探索し、経路６１ｃに沿ってサーバ関連機器を探索する。そして影響範囲判定部１３０は、経路６１ａ～６１ｃ上の機器を、「ＶＭ１」の影響範囲にある機器と判定する。なお経路６１ａに示すように、影響範囲の探索では、１つの機器を２度通る経路が許容される。

図２１は、影響範囲探索の第２の例を示す図である。図２１には、障害想定機器がボリューム（Ｖｏｌｕｍｅ）の場合の影響範囲の探索例が示されている。障害想定機器がボリュームの場合、ストレージ関連機器の探索が行われる。障害想定機器がボリュームの場合の影響範囲探索経路は「Ｖｏｌｕｍｅ→Ｓｔｏｒａｇｅ→Ｖｏｌｕｍｅ→ＶＭ」である。これはストレージを共有する機器を探索する影響範囲探索経路であり、ストレージを共有しない機器は影響範囲に含まれない。

影響範囲判定部１３０は、機器名「Ｖｏｌｕｍｅ２」のボリュームが障害想定機器の場合、経路６２ａ，６２ｂに沿ってストレージ関連機器を探索する。そして影響範囲判定部１３０は、経路６２ａ，６２ｂ上の機器を、「Ｖｏｌｕｍｅ２」の影響範囲にある機器と判定する。なお経路６２ａに示すように、影響範囲の探索では、障害想定機器を通る経路が許容される。

図２２は、影響範囲探索の第３の例を示す図である。図２２には、障害想定機器がストレージ（Ｓｔｏｒａｇｅ）の場合の影響範囲の探索例が示されている。障害想定機器がストレージの場合、ストレージ関連機器の探索が行われる。障害想定機器がストレージの場合の影響範囲探索経路は「Ｓｔｏｒａｇｅ→Ｖｏｌｕｍｅ→ＶＭ」である。これはストレージを共有する機器を探索する影響範囲探索経路であり、ストレージを共有しない機器は影響範囲に含まれない。

影響範囲判定部１３０は、機器名「Ｓｔｏｒａｇｅ１」のストレージが障害想定機器の場合、経路６３ａ～６３ｃに沿ってストレージ関連機器を探索する。そして影響範囲判定部１３０は、経路６３ａ～６３ｃ上の機器を、「Ｓｔｏｒａｇｅ１」の影響範囲にある機器と判定する。

図２３は、影響範囲探索の第４の例を示す図である。図２３には、障害想定機器が物理サーバ（ＳＶ）の場合の影響範囲の探索例が示されている。障害想定機器が物理サーバの場合、サーバ関連機器の探索が行われる。障害想定機器が物理サーバの場合の影響範囲探索経路は「ＳＶ→ＶＭ」である。これは物理サーバを共有する機器を探索する影響範囲探索経路であり、物理サーバを共有しない機器は影響範囲に含まれない。

影響範囲判定部１３０は、機器名「ＳＶ１」の物理サーバが障害想定機器の場合、経路６４ａ，６４ｂに沿ってサーバ関連機器を探索する。そして影響範囲判定部１３０は、経路６４ａ，６４ｂ上の機器を、「ＳＶ１」の影響範囲にある機器と判定する。

図２４は、影響範囲探索の第５の例を示す図である。図２４には、障害想定機器が物理スイッチ（Ｓｗｉｔｃｈ）の場合の影響範囲の探索例が示されている。障害想定機器が物理スイッチの場合、ストレージ関連機器の探索とサーバ関連機器の探索とが行われる。ストレージ関連機器の探索における影響範囲探索経路は「Ｓｗｉｔｃｈ→Ｓｔｏｒａｇｅ→Ｖｏｌｕｍｅ→ＶＭ」である。サーバ関連機器の探索における影響範囲探索経路は「Ｓｗｉｔｃｈ→ＳＶ→ＶＭ」である。これらは物理スイッチから、物理ルータと異なるポートに接続されたストレージまたは物理サーバを経由して接続された機器を探索する影響範囲探索経路である。

影響範囲判定部１３０は、機器名「Ｓｗｉｔｃｈ２」が障害想定機器の場合、経路６５ａ～６５ｃに沿ってストレージ関連機器を探索する。そして影響範囲判定部１３０は、経路６５ａ～６５ｃ上の機器を、「Ｓｗｉｔｃｈ２」の影響範囲にある機器と判定する。また影響範囲判定部１３０は、機器名「Ｓｗｉｔｃｈ１」が障害想定機器の場合、経路６５ｄ，６５ｅに沿ってサーバ関連機器を探索する。そして影響範囲判定部１３０は、経路６５ｄ，６５ｅ上の機器を、「Ｓｗｉｔｃｈ１」の影響範囲にある機器と判定する。

図２５は、影響範囲判定処理の手順の一例を示すフローチャートである。以下、図２５に示す処理をステップ番号に沿って説明する。
［ステップＳ１３１］影響範囲判定部１３０は、システム構成モデル１１１を参照し、影響範囲探索の起点となる機器（障害想定機器）の機器名と機能（種別）とを読み込む。例えば影響範囲判定部１３０は、システム構成モデル１１１に示されるすべての機器を、障害想定機器とする。

［ステップＳ１３２］影響範囲判定部１３０は、影響範囲探索経路情報１１４から、機器の種別ごとの影響範囲探索経路を読み込む。
［ステップＳ１３３］影響範囲判定部１３０は、未選択の障害想定機器を１つ選択する。

［ステップＳ１３４］影響範囲判定部１３０は、選択した障害想定機器の影響範囲を、その機器の種別に応じた影響範囲探索経路に従って探索する。影響範囲判定部１３０は、影響範囲の探索により、影響範囲内にあると判断した機器の機器名を、障害リスクテーブル１１２の選択した機器の機器名に対応するレコードに設定する。

［ステップＳ１３５］影響範囲判定部１３０は、すべての障害想定機器を選択したか否かを判断する。影響範囲判定部１３０は、すべての機器が選択済みであれば、影響範囲判定処理を終了する。また影響範囲判定部１３０は、未選択の機器があれば、処理をステップＳ１３３に進める。

このようにして機器ごとの影響範囲が判定される。その結果、障害リスクテーブル１１２には、各機器の障害リスクの値とその機器に障害が発生した場合の影響範囲にある機器の機器名が設定される。影響リスク算出部１４０は、障害リスクテーブル１１２に設定された情報に基づいて、分析対象機器に対して影響を及ぼす障害想定機器を検出する。

図２６は、分析対象機器に対して影響を及ぼす障害想定機器の検出例を示す図である。例えば影響リスク算出部１４０は、分析対象機器ごとに、その機器が影響範囲となっている障害想定機器の機器名を障害リスクテーブル１１２から抽出し、影響リスクテーブル１１３に格納する。これにより影響リスクテーブル１１３には、分析対象機器に対して障害による影響を及ぼす可能性のある他の機器の機器名のリストが保存される。

例えば分析対象機器が機器名「ＶＭ１」の機器の場合、影響リスク算出部１４０は、障害リスクテーブル１１２の影響範囲にある機器の欄から「ＶＭ１」を検索する。そして影響リスク算出部１４０は、影響範囲に機器「ＶＭ１」を含む障害想定機器の機器名「ＳＶ１」、「Ｖｏｌｕｍｅ２」、「Ｓｔｏｒａｇｅ１」、「Ｓｗｉｔｃｈ２」を分析対象機器「ＶＭ１」に対応付けて、影響リスクテーブル１１３に登録する。

このようにして、分析対象機器に障害の影響を及ぼす障害想定機器が抽出される。抽出された障害想定機器が多い分析対象機器ほど、他の機器の障害の影響を受けて、その分析対象機器の動作にも問題が生じる可能性が高いことになる。

図２７は、複数の障害想定機器の影響範囲に含まれる分析対象機器の例を示す図である。図２７の例では、機器名「ＶＭ１」の機器が分析対象機器である。分析対象機器「ＶＭ１」に影響を及ぼす障害想定機器は多数存在する。換言すると、障害想定機器それぞれの影響範囲を重ね合わせたとき、分析対象機器「ＶＭ１」の位置で影響範囲が多重に重なり合う。例えば障害想定機器「ＳＶ１」、「Ｓｗｉｔｃｈ２」、「Ｖｏｌｕｍｅ２」それぞれの影響範囲が、分析対象機器「ＶＭ１」の位置で重なり合っている。

影響リスク算出部１４０は、分析対象機器の位置での障害想定機器の影響範囲の重なりの量を反映させて、分析対象機器の影響リスクを算出する。
図２８は、影響リスクの算出例を示す図である。例えば影響リスク算出部１４０は、分析対象機器を影響範囲に含むすべての障害想定機器の障害リスクの合計を、分析対象機器の影響リスクとする。すなわち、分析対象機器に対して障害の影響を及ぼすすべての機器の障害リスクを重ね合わせることで、分析対象機器の影響リスクが算出される。

例えば影響リスク算出部１４０は、分析対象機器が機器名「ＶＭ１」の機器の場合、「ＶＭ１」を影響範囲に含む障害想定機器の障害リスクの値を、影響リスクテーブル１１３の分析対象機器「ＶＭ１」の影響リスクの値に加算していく。図２８の例では影響リスク算出部１４０は、機器「ＳＶ１」の障害リスク「０．１３」、機器「Ｖｏｌｕｍｅ２」の障害リスク「０．０５」、機器「Ｓｔｏｒａｇｅ１」の障害リスク「０．０２」、機器「Ｓｗｉｔｃｈ２」の障害リスク「０．１０」を、影響リスクとして順次加算する。

なお影響リスク算出部１４０は、例えば、影響リスクを、分析対象機器を指定する入力があったとき算出する。また影響リスク算出部１４０は、すべての機器についての影響リスクを定期的に算出し、影響リスクテーブル１１３に保存しておいてもよい。

図２９は、影響リスク算出処理の手順の一例を示すフローチャートである。以下、図２９に示す処理をステップ番号に沿って説明する。
［ステップＳ１４１］影響リスク算出部１４０は、システム構成モデル１１１を参照し、システム内のすべての機器の機器名を読み込む。

［ステップＳ１４２］影響リスク算出部１４０は、未選択の機器を１つ選択し、分析対象機器とする。
［ステップＳ１４３］影響リスク算出部１４０は、障害リスクテーブル１１２から、分析対象機器に影響を及ぼす障害想定機器の機器名を抽出する。影響リスク算出部１４０は、抽出した機器名を、分析対象機器の機器名に対応付けて影響リスクテーブル１１３に登録する。

［ステップＳ１４４］影響リスク算出部１４０は、障害リスクテーブル１１２と影響リスクテーブル１１３とを参照し、分析対象機器の影響リスクを算出する。例えば影響リスク算出部１４０は、影響リスクテーブル１１３から、分析対象機器に影響を及ぼす障害想定機器の機器名を１つずつ抽出する。次に影響リスク算出部１４０は、障害リスクテーブル１１２から、抽出した機器名に対応する障害リスクの値を抽出する。そして影響リスク算出部１４０は、抽出した障害リスクの値を、影響リスクテーブル１１３における分析対象機器の影響リスクの値に加算する。影響リスク算出部１４０は、分析対象機器に影響を及ぼす障害想定機器の障害リスクの値の加算が完了すると、現在の分析対象機器の影響リスクの算出を終了する。

［ステップＳ１４５］影響リスク算出部１４０は、すべての機器を選択したか否かを判断する。影響リスク算出部１４０は、すべての機器が選択済みであれば、影響リスク算出処理を終了する。また影響リスク算出部１４０は、未選択の機器があれば、処理をステップＳ１４２に進める。

このようにして、分析対象機器の影響リスクを算出することができる。なお図２９の例では、システム内のすべての機器について、それぞれを分析対象機器としたときの影響リスクを算出しているが、影響リスク算出部１４０は、影響リスクの算出対象を、管理者によって指定された分析対象機器に限定してもよい。

分析対象機器の影響リスクの算出結果は、リスク分析制御部１７０によって、管理用端末装置３０に表示される。管理者は、影響リスクの算出結果を参照し、分析対象機器の影響リスクが過大であると判断した場合、その分析対象機器を利用しているユーザに、リスクの内容を通知することができる。

例えば管理者は、ユーザへ、ユーザが利用する機器の影響リスクが、管理者が設定した値（閾値）よりも高い値となった旨を通知するとともに、影響リスクを下げる方法（新機種や新契約の提案など）を提示する。なお影響リスク算出部１４０は、影響リスクの最大値が「１」となるよう正規化しておいてもよい。これにより、管理者による閾値の設定がしやすくなる。

また管理者は、分析対象機器の影響リスクが閾値を超えた場合、分析対象機器を、影響リスクが低くなる物理サーバへ移動させることもできる。例えば契約などによる重要な機器の影響リスクが、設定した値（閾値）よりも大きくなった場合、管理者の判断により、重要機器を影響リスクが閾値より低くなる物理サーバへ移動させる。

例えば管理者は、分析対象機器を移動させると判断した場合、管理サーバ１００に、推奨移動先の判定を指示する。管理サーバ１００は、仮のＶＭを設定し、そのＶＭの影響リスクを予め算出し、算出結果を管理用端末装置３０の画面に表示する。これにより、管理者は、実際に機器を移動させる前に、移動後の影響リスクを確認することができ、影響リスクが確実に低くなる物理サーバへ移動させることができる。

図３０は、影響リスクが高い機器の移動例を示す図である。図３０の例では、機器名「ＶＭ１」の機器の影響リスクは「０．４５」である。機器「ＶＭ１」を移動させる場合、管理サーバ１００は、仮のＶＭが定義され、仮のＶＭをさまざまな位置に配置することで、機器を移動させた場合に影響リスクが低くなる位置を探索する。図３０の例では、影響リスクが「０．０３」となる位置が検出されている。管理者が、影響リスクが「０．０３」となった位置へ機器「ＶＭ１」を移動させてよいと判断し、移動の実行指示を入力すると、管理サーバ１００の制御により、機器「ＶＭ１」が仮のＶＭの位置へ移動する。

なお、予め設定した機器において設定した値（閾値）よりも影響リスクが大きくなった場合に、該当機器を、管理サーバ１００が自動で影響リスクが低くなる物理サーバへ移動させることも可能である。

このような機器の移動を行うことで、影響リスクの低いシステムが構築される。すなわち、システムを再構築する前に、仮のＶＭにより事前に影響リスクを算出することで、重要機器の影響リスクが低くなるようなシステムを確実に構築することができる。また、システム全体の機器の平均の影響リスクが低くなるようなシステムを構築することも可能となる。

管理サーバ１００は、推奨移動先として、例えば仮のＶＭの影響リスクが最小となる位置に決定することができる。また管理サーバ１００は、現在の影響リスクに比べ、管理者が設定した閾値（例えば８０％）以下になるまで、仮のＶＭの位置を変えながら影響リスクを算出し、影響リスクが閾値以下となる位置を検出したとき、その位置を推奨移動先としてもよい。なお管理サーバ１００は、推奨移動先とする条件を満たす仮のＶＭの位置が検出できない場合、推奨移動先が検出できない旨を管理者に通知して、閾値の再設定を促してもよい。

なおシステム内の機器のうちの重要な機器は、例えば機器ごとに算出した重要度に基づいて判断することができる。例えば管理用端末装置３０または管理サーバ１００は、さまざまな重要度の指標のうちの１つを選択し、その指標の重要度が所定値以上の機器を、影響リスクを低減させる重要機器と判断する。また管理用端末装置３０または管理サーバ１００は、さまざまな重要度の指標それぞれの値の合計を、該当機器の重要度とすることもできる。重要度の算出方法としては、以下のような例が考えられる。

第１の重要度算出方法として、契約上の利用金額を段階に分けて設定する方法が考えられる。例えば管理者は、管理用端末装置３０または管理サーバ１００を用いて、月額の利用金額を５段階評価する。そして管理者は、管理用端末装置３０または管理サーバ１００に、高い利用金額の顧客が利用している機器ほど重要度を高く設定する。

第２の重要度算出方法として、過去の障害事例の業種、顧客規模とその被害金額から、同じ業種、顧客規模の顧客が利用する機器に対し、同様の被害金額が発生するとして重要度を設定する方法が考えられる。例えば管理者は、管理用端末装置３０または管理サーバ１００を用いて過去の障害事例の業種、顧客規模とその被害金額を計算する。そして管理者は、管理用端末装置３０または管理サーバ１００に、被害金額が大規模な顧客と業種または顧客規模が同じ顧客が利用する機器であるほど重要度を高く設定する。

第３の重要度算出方法として、開発環境であるか、実際に顧客が利用する本番環境であるかで重要度を設定する方法が考えられる。例えば管理者は、管理用端末装置３０または管理サーバ１００に、開発環境に使用する機器の重要度よりも、本番環境で使用する機器の重要度を高く設定する。

第４の重要度算出方法として、各機器に接続される上位機器の台数を自動で算出する機能を追加し、接続される機器の台数によって重要度を設定する方法が考えられる。例えば管理者は、接続される機器の台数を５段階評価し、管理用端末装置３０または管理サーバ１００に、接続数の多い機器ほど重要度を高く設定する。

第５の重要度算出方法として、機器を利用する顧客の業種によって、重要度を設定する方法が考えられる。例えば管理者は、管理用端末装置３０または管理サーバ１００に、銀行などの社会的重要度が高い業種の顧客が使用する機器の重要度を、それ以外の顧客が使用する機器の重要度よりも高く設定する。

以下、移動先判定処理について詳細に説明する。
図３１は、移動先判定処理の手順の一例を示すフローチャートである。以下、図３１に示す処理をステップ番号に沿って説明する。

［ステップＳ１５１］移動先判定部１５０は、システム構成モデル１１１、影響リスクテーブル１１３、およびＶＭ移動候補影響リスク閾値７０に基づいて、分析対象機器の移動先とすることができる移動先候補物理サーバを判定する。なお、ＶＭ移動候補影響リスク閾値７０は、管理者によって予め指定された値である。例えば管理者が管理用端末装置３０に対して、ＶＭ移動候補影響リスク閾値７０の入力、および推奨移動先判定指示の操作を行うと、管理用端末装置３０から管理サーバ１００に、ＶＭ移動候補影響リスク閾値７０を含むＶＭの推奨移動先判定要求が送信される。移動先判定部１５０は、判定した物理サーバの機器名を、移動先候補物理サーバリスト７１に設定する。なお、移動先候補物理サーバ判定処理の詳細は後述する（図３２参照）。

［ステップＳ１５２］移動先判定部１５０は、移動先候補物理サーバリスト７１と障害リスクテーブル１１２とに基づいて、推奨移動先とする物理サーバを選択する。物理サーバ選択処理の詳細は後述する（図３４参照）。

［ステップＳ１５３］移動先判定部１５０は、分析対象機器がストレージに接続されているか否かを判断する。移動先判定部１５０は、ストレージに接続されていれば、処理をステップＳ１５４に進める。また移動先判定部１５０は、ストレージに接続されていなければ、移動先判定処理を終了する。

［ステップＳ１５４］移動先判定部１５０は、システム構成モデル１１１、影響リスクテーブル１１３、およびＶＭ移動候補影響リスク閾値７０に基づいて、分析対象機器の移動先とすることができる移動先候補ストレージを判定する。移動先判定部１５０は、判定したストレージの機器名を、移動先候補ストレージリスト７２に設定する。なお、移動先候補ストレージ判定処理の詳細は後述する（図３６参照）。

［ステップＳ１５５］移動先判定部１５０は、移動先候補ストレージリスト７２と障害リスクテーブル１１２とに基づいて、推奨移動先とするストレージを選択する。ストレージ選択処理の詳細は後述する（図３８参照）。

次に移動先候補物理サーバ判定処理について詳細に説明する。
図３２は、移動先候補物理サーバ判定処理の手順の一例を示すフローチャートである。以下、図３２に示す処理をステップ番号に沿って説明する。

［ステップＳ１６１］移動先判定部１５０は、システム構成モデル１１１を参照し、分析対象機器の現在の構築物理サーバ以外の物理サーバのうち、未選択の物理サーバを１台選択する。

［ステップＳ１６２］移動先判定部１５０は、影響リスクテーブル１１３を参照し、選択した物理サーバ上に分析対象機器を構築した場合の影響リスク（移動後影響リスク）を算出する。例えば移動先判定部１５０は、選択した物理サーバ上に構築した仮のＶＭを定義する。そして移動先判定部１５０は、図２９に示した影響リスク処理のステップＳ１４３，Ｓ１４４と同様の処理を実行し、仮のＶＭの影響リスクを算出する。仮のＶＭの影響リスクが、移動後影響リスクである。

［ステップＳ１６３］移動先判定部１５０は、移動後影響リスクがＶＭ移動候補影響リスク閾値７０未満か否かを判断する。移動先判定部１５０は、ＶＭ移動候補影響リスク閾値７０未満であれば、処理をステップＳ１６４に進める。また移動先判定部１５０は、ＶＭ移動候補影響リスク閾値７０未満でなければ、処理をステップＳ１６５に進める。

［ステップＳ１６４］移動先判定部１５０は、選択した物理サーバの機器名と移動後影響リスクとを、移動先候補として移動先候補物理サーバリスト７１に登録する。
［ステップＳ１６５］移動先判定部１５０は、分析対象機器が構築された物理サーバ以外のすべての物理サーバが選択済みか否かを判断する。移動先判定部１５０は、分析対象機器以外のすべての物理サーバが選択済みであれば、移動先候補物理サーバ判定処理を終了する。また移動先判定部１５０は、未選択の物理サーバがあれば、処理をステップＳ１６１に進める。

このようにして、分析対象機器に対応する移動先候補物理サーバリスト７１が生成される。
図３３は、移動先候補物理サーバリストの一例を示す図である。移動先候補物理サーバリスト７１には、移動先候補物理サーバの欄と移動後影響リスクの欄とが設けられている。移動先候補物理サーバの欄には、移動先候補物理サーバと判定された物理サーバの機器名が設定されている。移動後影響リスクの欄には、分析対象機器を移動先候補物理サーバ上に移動した場合の移動後影響リスクが設定されている。移動先候補物理サーバリスト７１は、移動先判定部１５０により、例えばメモリ１０２に格納される。

移動先判定部１５０は、移動先候補物理サーバリスト７１の中から、移動先として推奨する物理サーバを選択する。
図３４は、物理サーバ選択処理の手順の一例を示すフローチャートである。以下、図３４に示す処理をステップ番号に沿って説明する。

［ステップＳ１７１］移動先判定部１５０は、移動先候補物理サーバリスト７１から、未選択の移動先候補物理サーバを１台選択する。
［ステップＳ１７２］移動先判定部１５０は、分析対象機器が構築されている物理サーバと選択した移動先候補物理サーバとの間の経路上のノード数を算出する。例えば移動先判定部１５０は、影響リスクテーブル１１３に基づいて分析対象機器の構築物理サーバを判断する。そして移動先判定部１５０は、システム構成モデル１１１を参照し、構築物理サーバから選択した移動先候補物理サーバまでの最短の接続関係を辿り、辿った経路上のノード数（機器数）を計数する。移動先判定部１５０は、計算したノード数を、選択した移動先候補物理サーバに対応付けて、移動先候補物理サーバリスト７１に設定する。

［ステップＳ１７３］移動先判定部１５０は、障害リスクテーブル１１２を参照し、分析対象機器が構築されている物理サーバと選択した移動先候補物理サーバとの間の経路上のノード（機器）の障害リスクの合計値（経路間ノード障害リスク合計値）を算出する。移動先判定部１５０は、計算した経路間ノード障害リスク合計値を、選択した移動先候補物理サーバに対応付けて、移動先候補物理サーバリスト７１に設定する。

［ステップＳ１７４］移動先判定部１５０は、すべての移動先候補物理サーバを選択したか否かを判断する。移動先判定部１５０は、すべての移動先候補物理サーバが選択済みの場合、処理をステップＳ１７５に進める。また移動先判定部１５０は、未選択の移動先候補物理サーバがある場合、処理をステップＳ１７１に進める。

［ステップＳ１７５］移動先判定部１５０は、移動先候補物理サーバリスト７１を参照し、各移動先候補物理サーバの移動後影響リスク、経路間ノード数、および経路間ノード障害リスク合計値に基づいて、推奨移動先物理サーバを選択する。

図３５は、推奨移動先物理サーバの選択例を示す図である。図３５には、分析対象機器「ＶＭ１」の推奨移動先物理サーバの選択例が示されている。移動先候補物理サーバリスト７３には、移動先候補物理サーバごとの経路間ノード数と経路間障害リスク合計値が追加登録されている。

移動先判定部１５０は、例えば第１の選択基準として、経路間ノード数が最も少ない移動先候補物理サーバを選択する。第１の選択基準に該当する移動先候補物理サーバが複数ある場合、移動先判定部１５０は、第２の選択基準として、第１の選択基準で該当する複数の移動先候補物理サーバの中から、経路間ノード障害リスク合計値が最も小さい移動先候補物理サーバを選択する。第２の選択基準に該当する移動先候補物理サーバが複数ある場合、移動先判定部１５０は、第３の選択基準として、第２の選択基準で該当する複数の移動先候補物理サーバの中から、移動後影響リスクが最も小さい移動先候補物理サーバを選択する。なお、第１から第３の選択基準の順番は、例えば、第１に移動後影響リスクが最も小さいこと、第２に経路間ノード障害リスク合計値が最も小さいこと、第３に経路間ノード数が最も少ないことのように、管理者が適宜変更してもよい
図３５の例では、第１の選択基準を満たす移動先候補物理サーバとして、経路間ノード数が「６」である２台の移動先候補物理サーバ「ＳＶ１１」、「ＳＶ２１」が存在する。移動先候補物理サーバ「ＳＶ１１」の経路間ノード障害リスク合計値は「０．０１５」であり、移動先候補物理サーバ「ＳＶ２１」の経路間ノード障害リスク合計値「０．０２１」より小さい。しがって移動先判定部１５０は、移動先候補物理サーバ「ＳＶ１１」を推奨移動先物理サーバとして選択する。

次に移動先候補ストレージ判定処理について詳細に説明する。
図３６は、移動先候補ストレージ判定処理の手順の一例を示すフローチャートである。以下、図３６に示す処理をステップ番号に沿って説明する。

［ステップＳ１８１］移動先判定部１５０は、システム構成モデル１１１を参照し、分析対象機器が接続されているストレージ以外のストレージのうち、未選択のストレージを１台選択する。

［ステップＳ１８２］移動先判定部１５０は、影響リスクテーブル１１３を参照し、分析対象機器を選択したストレージに接続した場合の影響リスク（移動後影響リスク）を算出する。例えば移動先判定部１５０は、選択したストレージに接続した仮のＶＭを定義する。そして移動先判定部１５０は、図２９に示した影響リスク処理のステップＳ１４３，Ｓ１４４と同様の処理を実行し、仮のＶＭの影響リスクを算出する。仮のＶＭの影響リスクが、移動後影響リスクである。

［ステップＳ１８３］移動先判定部１５０は、移動後影響リスクがＶＭ移動候補影響リスク閾値７０未満か否かを判断する。移動先判定部１５０は、ＶＭ移動候補影響リスク閾値７０未満であれば、処理をステップＳ１８４に進める。また移動先判定部１５０は、ＶＭ移動候補影響リスク閾値７０未満でなければ、処理をステップＳ１８５に進める。

［ステップＳ１８４］移動先判定部１５０は、選択したストレージの機器名と移動後影響リスクとを、移動先候補として移動先候補ストレージリスト７２に登録する。
［ステップＳ１８５］移動先判定部１５０は、分析対象機器以外のすべてのストレージが選択済みか否かを判断する。移動先判定部１５０は、分析対象機器が接続されているストレージ以外のすべてのストレージが選択済みであれば、移動先候補ストレージ判定処理を終了する。また移動先判定部１５０は、未選択のストレージがあれば、処理をステップＳ１８１に進める。

このようにして、分析対象機器に対応する移動先候補ストレージリスト７２が生成される。
図３７は、移動先候補ストレージリストの一例を示す図である。移動先候補ストレージリスト７２には、移動先候補ストレージの欄と移動後影響リスクの欄とが設けられている。移動先候補ストレージの欄には、移動先候補ストレージと判定されたストレージの機器名が設定されている。移動後影響リスクの欄には、分析対象機器を移動先候補ストレージに接続した場合の移動後影響リスクが設定されている。移動先候補ストレージリスト７２は、移動先判定部１５０により、例えばメモリ１０２に格納される。

移動先判定部１５０は、移動先候補ストレージリスト７２の中から、移動先として推奨するストレージを選択する。
図３８は、ストレージ選択処理の手順の一例を示すフローチャートである。以下、図３８に示す処理をステップ番号に沿って説明する。

［ステップＳ１９１］移動先判定部１５０は、移動先候補ストレージリスト７２から、未選択の移動先候補ストレージを１台選択する。
［ステップＳ１９２］移動先判定部１５０は、分析対象機器が構築されているストレージと選択した移動先候補ストレージとの間の経路上のノード数を算出する。例えば移動先判定部１５０は、影響リスクテーブル１１３に基づいて分析対象機器に接続されたストレージを判断する。そして移動先判定部１５０は、システム構成モデル１１１を参照し、分析対象機器に接続されたストレージから選択した移動先候補ストレージまでの最短の接続関係を辿り、辿った経路上のノード数（機器数）を計数する。移動先判定部１５０は、計算したノード数を、選択した移動先候補ストレージに対応付けて、移動先候補ストレージリスト７２に設定する。

［ステップＳ１９３］移動先判定部１５０は、障害リスクテーブル１１２を参照し、分析対象機器が接続されているストレージと選択した移動先候補ストレージとの間の経路上のノード（機器）の障害リスクの合計値（経路間ノード障害リスク合計値）を算出する。移動先判定部１５０は、計算した経路間ノード障害リスク合計値を、選択した移動先候補ストレージに対応付けて、移動先候補ストレージリスト７２に設定する。

［ステップＳ１９４］移動先判定部１５０は、すべての移動先候補ストレージを選択したか否かを判断する。移動先判定部１５０は、すべての移動先候補ストレージが選択済みの場合、処理をステップＳ１９５に進める。また移動先判定部１５０は、未選択の移動先候補ストレージがある場合、処理をステップＳ１９１に進める。

［ステップＳ１９５］移動先判定部１５０は、移動先候補ストレージリスト７２を参照し、各移動先候補ストレージの移動後影響リスク、経路間ノード数、および経路間ノード障害リスク合計値に基づいて、推奨移動先ストレージを選択する。

図３９は、推奨移動先ストレージの選択例を示す図である。図３９には、分析対象機器「ＶＭ１」の推奨移動先ストレージの選択例が示されている。移動先候補ストレージリスト７４には、移動先候補ストレージごとの経路間ノード数と経路間障害リスク合計値が追加登録されている。

移動先判定部１５０は、例えば第１の選択基準として、経路間ノード数が最も少ない移動先候補ストレージを選択する。第１の選択基準に該当する移動先候補ストレージが複数ある場合、移動先判定部１５０は、第２の選択基準として、第１の選択基準で該当する複数の移動先候補ストレージの中から、経路間ノード障害リスク合計値が最も小さい移動先候補ストレージを選択する。第２の選択基準に該当する移動先候補ストレージが複数ある場合、移動先判定部１５０は、第３の選択基準として、第２の選択基準で該当する複数の移動先候補ストレージの中から、移動後影響リスクが最も小さい移動先候補ストレージを選択する。なお、第１から第３の選択基準の順番は、例えば、第１に移動後影響リスクが最も小さいこと、第２に経路間ノード障害リスク合計値が最も小さいこと、第３に経路間ノード数が最も少ないことのように、管理者が適宜変更してもよい
図３９の例では、第１の基準を満たす移動先候補ストレージとして、経路間ノード数が「６」である２台の移動先候補ストレージ「Ｓｔｏｒａｇｅ１１」、「Ｓｔｏｒａｇｅ２１」が存在する。移動先候補ストレージ「Ｓｔｏｒａｇｅ１１」の移動後影響リスクは「０．１２」であり、移動先候補ストレージ「Ｓｔｏｒａｇｅ２１」の移動後影響リスク「０．２０」より小さい。しがって移動先判定部１５０は、移動先候補ストレージ「Ｓｔｏｒａｇｅ１１」を推奨移動先ストレージとして選択する。

推奨移動先物理サーバと推奨移動先ストレージとが決定すると、リスク分析制御部１７０が、管理用端末装置３０に、ＶＭを推奨移動先物理サーバへ移動し、推奨移動先ストレージに接続した場合の影響リスクを表示させる。そして管理者からＶＭの移動実行を指示する操作が行われると、管理用端末装置３０から管理サーバへ、ＶＭの移動実行要求が送信される。管理サーバ１００では、ＶＭの移動実行要求に応じて、ＶＭ移動部１６０が分析対象機器であるＶＭの移動処理を実行する。

図４０は、ＶＭ移動処理の手順の一例を示すフローチャートである。以下、図４０に示す処理をステップ番号に沿って説明する。
［ステップＳ２０１］ＶＭ移動部１６０は、推奨移動先物理サーバがあるか否かを判断する。例えばリスク分析制御部１７０は、推奨移動先物理サーバがある場合、推奨移動先物理サーバの機器名をＶＭ移動部１６０に送信する。ＶＭ移動部１６０は、リスク分析制御部１７０から推奨移動先物理サーバの機器名を取得した場合、推奨移動先物理サーバがあると判断する。ＶＭ移動部１６０は、推奨移動先物理サーバがある場合、処理をステップＳ２０２に進める。またＶＭ移動部１６０は、推奨移動先物理サーバがない場合、処理をステップＳ２０３に進める。

［ステップＳ２０２］ＶＭ移動部１６０は、分析対象機器であるＶＭを、推奨移動先物理サーバに移動する。例えばＶＭ移動部１６０は、分析対象機器が構築されている物理サーバに対して、推奨移動先物理サーバへの分析対象機器のマイグレーションを指示する。

［ステップＳ２０３］ＶＭ移動部１６０は、推奨移動先ストレージがあるか否かを判断する。例えばリスク分析制御部１７０は、推奨移動先ストレージがある場合、推奨移動先ストレージの機器名をＶＭ移動部１６０に送信する。ＶＭ移動部１６０は、リスク分析制御部１７０から推奨移動先ストレージの機器名を取得した場合、推奨移動先ストレージがあると判断する。ＶＭ移動部１６０は、推奨移動先ストレージがある場合、処理をステップＳ２０４に進める。またＶＭ移動部１６０は、推奨移動先ストレージがない場合、ＶＭ移動処理を終了する。

［ステップＳ２０４］ＶＭ移動部１６０は、分析対象機器であるＶＭを、推奨移動先ストレージに接続する。例えばＶＭ移動部１６０は、分析対象機器であるＶＭに対して、推奨移動先ストレージへの接続設定を行う。

このようにして影響リスクが高いＶＭを、影響リスクが低くなる位置に移動させることができる。その結果、障害発生時に、その障害がシステム全体に及ぼす影響を低減することが可能となる。

また管理者は、例えば管理用端末装置３０に表示されたリスク分析画面により、管理サーバ１００への指示の入力をすることができる。
図４１は、管理用端末装置に表示されるリスク分析画面の一例を示す図である。リスク分析画面８０には、システム構成図８１が表示されている。システム構成図８１には、管理対象のシステムに含まれる機器と、機器間の接続関係が示されている。システム構成図８１では、例えば影響リスクが所定値以上となったＶＭが強調表示されており、そのＶＭの近辺に、そのＶＭの影響リスクが表示されている。またシステム構成図８１では、推奨移動先となる位置に定義された仮のＶＭが表示されており、仮のＶＭの近辺に、仮のＶＭの位置に移動させた場合の影響リスクが表示されている。

またリスク分析画面８０には、テキストボックス８２，８３やボタン８４～８７が表示されている。テキストボックス８２は、分析対象機器の機器名を入力するためのテキストボックスである。テキストボックス８３は、ＶＭ移動候補影響リスク閾値を入力するためのテキストボックスである。

ボタン８４は、影響リスクの算出指示を入力するためのボタンである。ボタン８４が押下されると、管理用端末装置３０は、テキストボックス８２に設定された機器名を分析対象機器として指定した影響リスク算出要求を、管理サーバ１００に対して送信する。

ボタン８５は、推奨移動先の判定指示を入力するためのボタンである。ボタン８５が押下されると、管理用端末装置３０は、テキストボックス８３に設定されたＶＭ移動先候補リスク閾値を含む推奨移動先判定要求を、管理サーバ１００に対して送信する。

ボタン８６は、ＶＭの移動実行指示を入力するためのボタンである。ボタン８６が押下されると、管理用端末装置３０は、ＶＭの移動実行要求を管理サーバ１００に対して送信する。

ボタン８７は、ＶＭの移動をキャンセルさせるためのボタンである。ボタン８７が押下されると、管理用端末装置３０は、ＶＭ移動のキャンセル要求を管理サーバ１００に対して送信する。ＶＭ移動のキャンセル要求を受信した管理サーバ１００では、移動させたＶＭを元の位置に戻す処理を行う。例えば管理サーバ１００のＶＭ移動部１６０は、ＶＭの移動先の物理サーバに対して、該ＶＭの元の物理サーバへのマイグレーションを指示する。

管理者は、このようなリスク分析画面８０を参照して、影響リスクが所定値以上となったＶＭが存在すること、該当ＶＭを移動させることで影響リスクの低減が図れることを把握できる。そして、管理者が、管理用端末装置３０のリスク分析画面８０への入力操作を行うことで、ＶＭを移動させることができる。

〔第３の実施の形態〕
第３の実施の形態は、影響リスクが閾値を超えた機器の有無を管理サーバで定期的に監視し、該当する機器を発見した場合には自動で影響リスクを低減させるものである。これにより、管理者が関与せずに、システムが自律的にシステムのリスクを低い状態に維持することができる。

図４２は、ＶＭを自動で移動可能な管理サーバが有する機能を示すブロック図である。管理サーバ２００は、記憶部２１０、障害リスク算出部２２０、影響範囲判定部２３０、影響リスク算出部２４０、移動先判定部２５０、ＶＭ自動移動部２６０、およびリスク分析制御部２７０を有する。

記憶部２１０は、システム内の機器の影響リスクの算出に利用する情報を記憶する。例えば管理サーバ２００が有するメモリまたはストレージ装置の記憶領域の一部が、記憶部２１０として使用される。なお、記憶部２１０に記憶される情報は、図１１に示した第２の実施の形態の記憶部１１０に記憶される情報と同様である。

障害リスク算出部２２０は、リスク分析制御部２７０からＶＭの自動移動の実行開始の指示を受信すると、定期的にシステム内の機器それぞれの障害リスクを算出する。障害リスク算出部２２０は、算出した障害リスクを記憶部２１０に格納する。また障害リスク算出部２２０は、ネットワーク２０を介してシステム構成を監視し、システム構成を示すシステム構成モデルを記憶部２１０に格納する。

影響範囲判定部２３０は、各機器の障害リスクが算出されると、システム内の機器それぞれの影響範囲を判定する。影響範囲判定部２３０は、判定した影響範囲の情報を記憶部２１０に格納する。

影響リスク算出部２４０は、各機器の影響範囲が算出されると、各機器を分析対象装置とした場合の影響リスクを算出する。影響リスク算出部２４０は、算出した影響リスクを記憶部２１０に格納する。

移動先判定部２５０は、分析対象機器の影響リスクが所定の閾値以上の場合、その機器の影響リスクを低減可能な移動先を判定する。移動先判定部２５０は、判定した移動先を示す情報をリスク分析制御部２７０に送信する。

ＶＭ自動移動部２６０は、移動先の判定により影響リスクが所定の閾値以下となる移動先が検出できた場合、分析対象機器を自動で移動させる。例えばＶＭ自動移動部２６０は、移動させる分析対象機器が構築されている物理サーバに、該当分析対象機器の移動先の物理サーバへのマイグレーションを指示する。

リスク分析制御部２７０は、リスク分析に用いる情報の入力の受け付け、および分析結果の表示を行う。例えばリスク分析制御部２７０は、ＶＭの移動の自動実行の入力、自動移動させるＶＭの影響リスクの閾値、移動先の影響リスクの閾値などの入力を受け付ける。またリスク分析制御部２７０は、ＶＭの移動結果を管理用端末装置３０に表示させる。

なお、図４２に示した各要素間を接続する線は通信経路の一部を示すものであり、図示した通信経路以外の通信経路も設定可能である。また、図４２に示した各要素の機能は、例えば、その要素に対応するプログラムモジュールをコンピュータに実行させることで実現することができる。

図４３は、リスク分析処理の手順の一例を示すフローチャートである。以下、図４３に示す処理をステップ番号に沿って説明する。
［ステップＳ３０１］リスク分析制御部２７０は、ＶＭ移動前影響リスク閾値、ＶＭ移動実行影響リスク閾値の入力を受け付ける。例えばリスク分析制御部２７０は、管理用端末装置３０に対して、リスク分析画面の画面データを送信する。管理用端末装置３０は、受信した画面データに基づいてリスク分析画面を表示する。管理者は、表示されたリスク分析画面を参照し、管理用端末装置３０にＶＭ移動前影響リスク閾値とＶＭ移動実行影響リスク閾値とを入力するとともに、ＶＭの自動実行を指示する入力を行う。管理用端末装置３０は、ＶＭの自動実行を指示する入力に応じて、ＶＭ移動前影響リスク閾値とＶＭ移動実行影響リスク閾値とを含むＶＭ自動移動要求を管理サーバ２００に送信する。リスク分析制御部２７０は、ＶＭ自動移動要求を受信すると、障害リスク算出部２２０に対してＶＭの自動移動の実行開始を指示する。またリスク分析制御部２７０は、移動先判定部２５０に対してＶＭ移動前影響リスク閾値とＶＭ移動実行影響リスク閾値とを送信する。なお、ＶＭ移動実行影響リスク閾値は、ＶＭ移動前影響リスク閾値よりも低い値であることが、リスク分析制御部２７０が入力を受け付ける条件である。

［ステップＳ３０２］障害リスク算出部２２０は、各機器の障害リスクを算出する。障害リスク算出部２２０は、障害リスクの算出処理が終了すると、影響範囲判定部２３０に影響範囲の判定を指示する。なお第３の実施の形態における障害リスク算出処理の詳細は、第２の実施の形態における障害リスク算出処理（図１９参照）と同様である。

［ステップＳ３０３］影響範囲判定部２３０は、障害リスク算出部２２０からの指示に応じて、各機器で障害が発生した場合の影響範囲を判定する。影響範囲判定部２３０は、影響範囲判定処理が終了すると、影響リスク算出部２４０に影響リスクの算出を指示する。なお第３の実施の形態における影響範囲判定処理の詳細は、第２の実施の形態における影響範囲判定処理（図２５参照）と同様である。

［ステップＳ３０４］影響リスク算出部２４０は、影響範囲判定部２３０からの指示に応じて、分析対象機器の影響リスクを算出する。影響リスク算出部２４０は、影響リスク算出処理が終了すると、影響リスクの算出結果をリスク分析制御部２７０に送信する。なお第３の実施の形態における影響リスク算出処理の詳細は、第２の実施の形態における影響リスク算出処理（図２９参照）と同様である。

［ステップＳ３０５］移動先判定部２５０は、影響リスクが過大なＶＭが存在するか否かを判断する。例えば移動先判定部２５０は、リスク分析制御部２７０から取得したＶＭ移動前影響リスク閾値と、各機器の影響リスク閾値とを比較する。移動先判定部２５０は、影響リスクが移動前影響リスク閾値を超える機器が少なくとも１つでもあれば、影響リスクが過大なＶＭが存在すると判断する。移動先判定部２５０は、影響リスクが過大なＶＭが存在する場合、処理をステップＳ３０６に進める。また移動先判定部２５０は、影響リスクが過大なＶＭが存在しない場合、処理をステップＳ３１０に進める。

［ステップＳ３０６］移動先判定部２５０は、移動先判定処理を実行する。なお、移動先判定処理の詳細は後述する（図４４参照）。
［ステップＳ３０７］移動先判定部２５０は、影響リスクを低減可能な移動先があるか否かを判断する。例えば移動先判定部２５０は、リスク分析制御部２７０から取得したＶＭ移動実行影響リスク閾値と、各機器の影響リスク閾値とを比較する。移動先判定部２５０は、影響リスクが移動前影響リスク閾値を超える機器が少なくとも１つでもあれば、影響リスクを低減可能な移動先があると判断する。移動先判定部２５０は、影響リスクを低減可能な移動先がある場合、処理をステップＳ３０８に進める。また移動先判定部２５０は、影響リスクを低減可能な移動先がない場合、処理をステップＳ３１０に進める。

［ステップＳ３０８］ＶＭ自動移動部２６０は、ＶＭ移動処理を行う。ＶＭ移動処理の詳細は後述する（図４９参照）。
［ステップＳ３０９］リスク分析制御部２７０は、ＶＭの移動が完了すると、ＶＭの移動結果を示す画面を、管理用端末装置３０に表示させる。

［ステップＳ３１０］リスク分析制御部２７０は、リスク分析処理の終了を指示する入力が行われたか否かを判断する。リスク分析制御部２７０は、リスク分析処理の終了の入力が行われた場合、障害リスク算出部２２０に処理の終了を通知し、リスク分析処理を終了する。またリスク分析制御部２７０は、リスク分析処理の終了の入力が行われていなければ、処理をステップＳ３１１に進める。

［ステップＳ３１１］障害リスク算出部２２０は、周期的なリスク分析タイミングになったか否かを判断する。障害リスク算出部２２０は、リスク分析タイミングになった場合、処理をステップＳ３０２に進める。また障害リスク算出部２２０は、リスク分析タイミングになっていなければ、処理をステップＳ３１０に進める。

このような手順で、影響リスクが過大となったＶＭの、影響リスクが低減される位置への自動移動が行われる。
以下、第３の実施の形態における移動先判定処理について、詳細に説明する。

図４４は、移動先判定処理の手順の一例を示すフローチャートである。以下、図４４に示す処理をステップ番号に沿って説明する。
［ステップＳ３１１］移動先判定部２５０は、影響リスクテーブル１１３を参照し、移動するか否かの判定対象とする機器を１台選択する。

［ステップＳ３１２］移動先判定部２５０は、選択した機器の影響リスクが、ＶＭ移動前影響リスク閾値７５を超えているか否かを判断する。移動先判定部２５０は、ＶＭ移動前影響リスク閾値７５を超えている場合、処理をステップＳ３１３に進める。また移動先判定部２５０は、ＶＭ移動前影響リスク閾値７５を超えていない場合、処理をステップＳ３１４に進める。

［ステップＳ３１３］移動先判定部２５０は、選択した機器を、移動対象機器リスト７６に登録する。
［ステップＳ３１４］移動先判定部２５０は、影響リスクテーブル１１３に登録されているすべての機器を選択したか否かを判断する。移動先判定部２５０は、すべての機器が選択済みであれば、処理をステップＳ３１５に進める。また移動先判定部２５０は、未選択の機器があれば、処理をステップＳ３１１に進める。

［ステップＳ３１５］移動先判定部２５０は、移動対象機器リスト７６、システム構成モデル１１１、影響リスクテーブル１１３、およびＶＭ移動実行影響リスク閾値７７に基づいて、移動対象となった分析対象機器の移動先とすることができる移動先候補物理サーバを判定する。移動先判定部２５０は、判定した物理サーバの機器名を、移動対象の分析対象機器ごとの移動先候補物理サーバリスト７１ａ，７１ｂ，・・・に設定する。なお、移動先候補物理サーバ判定処理の詳細は後述する（図４５参照）。

［ステップＳ３１６］移動先判定部２５０は、移動先候補物理サーバリスト７１ａ，７１ｂ，・・・、システム構成モデル１１１、および障害リスクテーブル１１２に基づいて、推奨移動先とする物理サーバを選択する。物理サーバ選択処理の詳細は後述する（図４６参照）。

［ステップＳ３１７］移動先判定部２５０は、移動対象の分析対象機器がストレージに接続されているか否かを判断する。移動先判定部２５０は、ストレージに接続されていれば、処理をステップＳ３１８に進める。また移動先判定部２５０は、ストレージに接続されていなければ、移動先判定処理を終了する。

［ステップＳ３１８］移動先判定部２５０は、システム構成モデル１１１、影響リスクテーブル１１３、およびＶＭ移動実行影響リスク閾値７７に基づいて、移動対象の分析対象機器の移動先とすることができる移動先候補ストレージを判定する。移動先判定部２５０は、判定したストレージの機器名を、移動対象の分析対象機器ごとの移動先候補ストレージリスト７２ａ，７２ｂ，・・・に設定する。なお、移動先候補ストレージ判定処理の詳細は後述する（図４７参照）。

［ステップＳ３１９］移動先判定部２５０は、移動先候補ストレージリスト７２ａ，７２ｂ，・・・、システム構成モデル１１１、および障害リスクテーブル１１２に基づいて、推奨移動先とするストレージを選択する。ストレージ選択処理の詳細は後述する（図４８参照）。

次に移動先候補物理サーバ判定処理について詳細に説明する。
図４５は、移動先候補物理サーバ判定処理の手順の一例を示すフローチャートである。なお図４５に示すステップＳ３２２～Ｓ３２６の処理は、図３２に示す第２の実施の形態におけるステップＳ１６１～Ｓ１６５の処理と同様である。そこで以下に、図４５における第２の実施の形態と異なるステップＳ３２１，Ｓ３２７の処理について説明する。

［ステップＳ３２１］移動先判定部２５０は、移動対象機器リスト７６から、移動対象となっている分析対象機器のうち、未選択の分析対象機器を１台選択する。その後、移動先判定部２５０は、ステップＳ３２２～Ｓ３２６の処理により、選択した分析対象機器についての移動先候補物理サーバリストを生成する。

［ステップＳ３２７］移動先判定部２５０は、移動対象機器リスト７６に示されるすべての分析対象機器を選択したか否かを判断する。移動先判定部２５０は、移動対象のすべての分析対象機器が選択済みであれば、移動先候補物理サーバ判定処理を終了する。また移動先判定部２５０は、未選択の分析対象機器があれば、処理をステップＳ３２１に進める。

このようにして、移動対象の分析対象機器それぞれに対応する移動先候補物理サーバリスト７１ａ，７１ｂ，・・・が生成される。移動先判定部２５０は、移動対象の分析対象機器それぞれについて、対応する移動先候補物理サーバリスト７１ａ，７１ｂ，・・・の中から、移動先として推奨する物理サーバを選択する。

図４６は、物理サーバ選択処理の手順の一例を示すフローチャートである。なお図４６に示すステップＳ３３２～Ｓ３３６の処理は、図３４に示す第２の実施の形態におけるステップＳ１７１～Ｓ１７５の処理と同様である。そこで以下に、図４６における第２の実施の形態と異なるステップＳ３３１，Ｓ３３７の処理について説明する。

［ステップＳ３３１］移動先判定部２５０は、移動対象機器リスト７６から、移動対象となっている分析対象機器のうち、未選択の分析対象機器を１台選択する。その後、移動先判定部２５０は、ステップＳ３３２～Ｓ３３６の処理により、選択した分析対象機器の推奨移動先物理サーバを選択する。

［ステップＳ３３７］移動先判定部２５０は、移動対象機器リスト７６に示されるすべての分析対象機器を選択したか否かを判断する。移動先判定部２５０は、移動対象のすべての分析対象機器が選択済みであれば、移動先候補物理サーバ判定処理を終了する。また移動先判定部２５０は、未選択の分析対象機器があれば、処理をステップＳ３３１に進める。

次に移動先候補ストレージ判定処理について詳細に説明する。
図４７は、移動先候補ストレージ判定処理の手順の一例を示すフローチャートである。なお図４７に示すステップＳ３４２～Ｓ３４６の処理は、図３６に示す第２の実施の形態におけるステップＳ１８１～Ｓ１８５の処理と同様である。そこで以下に、図４７における第２の実施の形態と異なるステップＳ３４１，Ｓ３４７の処理について説明する。

［ステップＳ３４１］移動先判定部２５０は、移動対象機器リスト７６から、移動対象となっている分析対象機器のうち、未選択の分析対象機器を１台選択する。その後、移動先判定部２５０は、ステップＳ３４２～Ｓ３４６の処理により、選択した分析対象機器についての移動先候補ストレージリストを生成する。

［ステップＳ３４７］移動先判定部２５０は、移動対象機器リスト７６に示されるすべての分析対象機器を選択したか否かを判断する。移動先判定部２５０は、移動対象のすべての分析対象機器が選択済みであれば、移動先候補ストレージ判定処理を終了する。また移動先判定部２５０は、未選択の分析対象機器があれば、処理をステップＳ３４１に進める。

このようにして、移動対象の分析対象機器それぞれに対応する移動先候補ストレージリスト７２ａ，７２ｂ，・・・が生成される。移動先判定部２５０は、移動対象の分析対象機器それぞれについて、対応する移動先候補ストレージリスト７２ａ，７２ｂ，・・・の中から、移動先として推奨するストレージを選択する。

図４８は、ストレージ選択処理の手順の一例を示すフローチャートである。なお図４８に示すステップＳ３５２～Ｓ３５６の処理は、図３８に示す第２の実施の形態におけるステップＳ１９１～Ｓ１９５の処理と同様である。そこで以下に、図４８における第２の実施の形態と異なるステップＳ３５１，Ｓ３５７の処理について説明する。

［ステップＳ３５１］移動先判定部２５０は、移動対象機器リスト７６から、移動対象となっている分析対象機器のうち、未選択の分析対象機器を１台選択する。その後、移動先判定部２５０は、ステップＳ３５２～Ｓ３５６の処理により、選択した分析対象機器の推奨移動先ストレージを選択する。

［ステップＳ３５７］移動先判定部２５０は、移動対象機器リスト７６に示されるすべての分析対象機器を選択したか否かを判断する。移動先判定部２５０は、移動対象のすべての分析対象機器が選択済みであれば、ストレージ選択処理を終了する。また移動先判定部２５０は、未選択の分析対象機器があれば、処理をステップＳ３５１に進める。

このようにして、移動対象の分析対象機器ごとに、推奨移動先物理サーバと推奨移動先ストレージとが判定される。移動先判定部２５０は、移動対象の分析対象機器ごとの推奨移動先物理サーバと推奨移動先ストレージとを、ＶＭ自動移動部２６０に送信する。するとＶＭ自動移動部２６０は、ＶＭ移動処理を実行する。

図４９は、ＶＭ移動処理の手順の一例を示すフローチャートである。なお図４９に示すステップＳ３６２～Ｓ３６５の処理は、図４０に示す第２の実施の形態におけるステップＳ２０１～Ｓ２０４の処理と同様である。そこで以下に、図４９における第２の実施の形態と異なるステップＳ３６１，Ｓ３６６の処理について説明する。

［ステップＳ３６１］移動先判定部２５０は、移動対象機器リスト７６から、移動対象となっている分析対象機器のうち、未選択の分析対象機器を１台選択する。その後、移動先判定部２５０は、ステップＳ３６２～Ｓ３６５の処理により、選択した分析対象機器であるＶＭの推奨移動先物理サーバへの移動、および推奨移動先ストレージへの接続処理を実施する。

［ステップＳ３６６］移動先判定部２５０は、移動対象機器リスト７６に示されるすべての分析対象機器を選択したか否かを判断する。移動先判定部２５０は、移動対象のすべての分析対象機器が選択済みであれば、ＶＭ移動処理を終了する。また移動先判定部２５０は、未選択の分析対象機器があれば、処理をステップＳ３６１に進める。

このようにして、管理サーバ２００は、定期的にリスク分析を行い、影響リスクが過大となったＶＭを、影響リスクが低減する位置に自動で移動させることができる。なおＶＭの移動結果は、リスク分析制御部２７０によって、管理用端末装置３０のリスク分析画面に表示される。

図５０は、ＶＭの自動移動を行う場合のリスク分析画面の一例を示す図である。リスク分析画面９０には、システム構成図９１が表示されている。システム構成図９１には、管理対象のシステムに含まれる機器と、機器間の接続関係が示されている。システム構成図９１では、例えば自動で移動されたＶＭの移動前の位置が強調表示されており、その位置の近辺に、そのＶＭの移動前の影響リスクが表示されている。またシステム構成図９１では、移動されたＶＭの移動後の位置に、移動されたＶＭが表示されており、そのＶＭの近辺に、移動後の影響リスクが表示されている。

またリスク分析画面９０には、テキストボックス９２，９３やボタン９４が表示されている。テキストボックス９２は、ＶＭ移動前影響リスク閾値を入力するためのテキストボックスである。テキストボックス９３は、ＶＭ移動実行影響リスク閾値を入力するためのテキストボックスである。なお、ＶＭ移動実行影響リスク閾値は、ＶＭ移動前影響リスク閾値よりも低い値のみが設定可能である。

ボタン９４は、ＶＭの移動の自動実行処理の開始を指示するためのボタンである。ボタン９４が押下されると、管理用端末装置３０は、テキストボックス９２，９３に設定された値を含むＶＭ移動自動実行要求を管理サーバ２００に対して送信する。

管理者は、このようなリスク分析画面９０を参照して、影響リスクの低減処理の実行状況を把握することができる。
〔その他の実施の形態〕
第２・第３の実施の形態では、影響リスクが過大なＶＭを移動させる例を示したが、同様の処理で影響リスクが過大なボリュームを移動させることもできる。

また第２・第３の実施の形態では、すでにシステム上に構築されている機器の影響リスクが過大な場合にその機器の移動先を判定しているが、管理サーバ１００，２００は、新たにシステムに追加する機器についても同様の処理で適切な構築場所を判定できる。そして管理サーバ２００，３００は、影響リスクが最も低い位置（物理サーバやストレージ）に、新たな機器を構築することができる。例えば管理サーバ１００は、機器の追加要求に応じて、移動先判定処理（図３１参照）を実行する。そして管理サーバは、移動先判定処理で得られた推奨移動先物理サーバに新たな機器（例えばＶＭ）を構築させ、移動先判定処理で得られた推奨移動先ストレージに構築した機器を接続する。

以上、実施の形態を例示したが、実施の形態で示した各部の構成は同様の機能を有する他のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。さらに、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。

１ａ，１ｂ 物理装置
２ ネットワーク
３ システム構成モデル
３ａ，３ｅ 物理ルータ
３ｂ，３ｆ 物理サーバ
３ｃ，３ｄ，３ｇ ＶＭ
４ 仮のＶＭ
１０ システム管理装置
１１ 記憶部
１２ 処理部

Claims (8)

1. コンピュータが、
   ネットワークに接続されている複数の物理装置および前記複数の物理装置上に構築された仮想機器を含めた複数の機器それぞれについて、前記複数の機器の動作状況を示す動作状況情報に基づいて、障害が発生する可能性を示す障害リスクを算出し、
   機器の種別ごとに障害の影響が及ぶ範囲の探索経路が示された探索経路情報に基づいて、前記複数の機器それぞれについて、障害が発生した場合に障害の影響が及ぶ影響範囲を算出し、
   第１物理装置上に構築された仮想機器である分析対象機器を障害の影響範囲に含んでいる機器の前記障害リスクに基づいて、前記分析対象機器が他の機器の障害の影響を受ける可能性を示す第１影響リスクを算出し、
   前記第１物理装置以外の第２物理装置ごとに、前記分析対象機器を前記第１物理装置から前記第２物理装置に移動させた場合に前記分析対象機器を障害の影響範囲内に含むこととなる機器の前記障害リスクに基づいて、前記分析対象機器が移動後に他の機器の障害の影響を受ける可能性を示す第２影響リスクを算出し、
   前記第２影響リスクが前記第１影響リスクよりも低い値の前記第２物理装置のうちの１つを、前記分析対象機器の移動先に決定する、
   システム管理方法。
2. 移動先の決定では、前記第２影響リスクが、前記第１影響リスクよりも低い値に設定された閾値以下である前記第２物理装置のうちの１つを、前記分析対象機器の移動先に決定する、
   請求項１記載のシステム管理方法。
3. 移動先の決定では、前記第１物理装置と、前記第２影響リスクが前記第１影響リスクよりも低い値の前記第２物理装置それぞれとの間の前記ネットワークの通信経路上の他の物理装置の数に基づいて、前記分析対象機器の移動先の前記第２物理装置を決定する、
   請求項１または２に記載のシステム管理方法。
4. 移動先の決定では、前記第１物理装置と、前記第２影響リスクが前記第１影響リスクよりも低い値の前記第２物理装置それぞれとの間の前記ネットワークの通信経路上の他の物理装置の前記障害リスクに基づいて、前記分析対象機器の移動先の前記第２物理装置を決定する、
   請求項１ないし３のいずれかに記載のシステム管理方法。
5. 前記第１影響リスクの算出では、前記複数の物理装置上に構築された仮想機器それぞれを前記分析対象機器として、前記複数の物理装置上に構築された仮想機器それぞれの前記第１影響リスクを算出し、
   移動先の決定では、前記第１影響リスクが移動前影響リスク閾値を超えている前記分析対象機器の移動先を決定する、
   請求項１ないし４のいずれかに記載のシステム管理方法。
6. 前記第１影響リスクの算出では、前記分析対象機器を障害の影響範囲内に含んでいる機器の前記障害リスクの合計を、前記第１影響リスクとする、
   請求項１ないし５のいずれかに記載のシステム管理方法。
7. コンピュータに、
   ネットワークに接続されている複数の物理装置および前記複数の物理装置上に構築された仮想機器を含めた複数の機器それぞれについて、前記複数の機器の動作状況を示す動作状況情報に基づいて、障害が発生する可能性を示す障害リスクを算出し、
   機器の種別ごとに障害の影響が及ぶ範囲の探索経路が示された探索経路情報に基づいて、前記複数の機器それぞれについて、障害が発生した場合に障害の影響が及ぶ影響範囲を算出し、
   第１物理装置上に構築された仮想機器である分析対象機器を障害の影響範囲に含んでいる機器の前記障害リスクに基づいて、前記分析対象機器が他の機器の障害の影響を受ける可能性を示す第１影響リスクを算出し、
   前記第１物理装置以外の第２物理装置ごとに、前記分析対象機器を前記第１物理装置から前記第２物理装置に移動させた場合に前記分析対象機器を障害の影響範囲内に含むこととなる機器の前記障害リスクに基づいて、前記分析対象機器が移動後に他の機器の障害の影響を受ける可能性を示す第２影響リスクを算出し、
   前記第２影響リスクが前記第１影響リスクよりも低い値の前記第２物理装置のうちの１つを、前記分析対象機器の移動先に決定する、
   処理を実行させるシステム管理プログラム。
8. ネットワークに接続されている複数の物理装置および前記複数の物理装置上に構築された仮想機器を含めた複数の機器それぞれについて、前記複数の機器の動作状況を示す動作状況情報に基づいて、障害が発生する可能性を示す障害リスクを算出し、機器の種別ごとに障害の影響が及ぶ範囲の探索経路が示された探索経路情報に基づいて、前記複数の機器それぞれについて、障害が発生した場合に障害の影響が及ぶ影響範囲を算出し、第１物理装置上に構築された仮想機器である分析対象機器を障害の影響範囲に含んでいる機器の前記障害リスクに基づいて、前記分析対象機器が他の機器の障害の影響を受ける可能性を示す第１影響リスクを算出し、前記第１物理装置以外の第２物理装置ごとに、前記分析対象機器を前記第１物理装置から前記第２物理装置に移動させた場合に前記分析対象機器を障害の影響範囲内に含むこととなる機器の前記障害リスクに基づいて、前記分析対象機器が移動後に他の機器の障害の影響を受ける可能性を示す第２影響リスクを算出し、前記第２影響リスクが前記第１影響リスクよりも低い値の前記第２物理装置のうちの１つを、前記分析対象機器の移動先に決定する処理部、
   を有するシステム管理装置。

Images