JP7294443B2 - 情報流通システム、監視装置及び情報流通方法 - Google Patents

Description

本発明は、情報流通システム、監視装置、共有装置及び情報流通方法に関する。

近年IT（Information Technology）システムの担う機能は複雑化の一途をたどり、それに伴いシステムの構成も大規模化、分散化しつつある。このようなITシステムを健全に運用するため、システムから出力されるログファイルを監視及び分析する技術の重要性もまた高まっている。

システムから出力される膨大なログファイルから、有用な情報を効率的に収集し、分析する技術として多くのものが提案されている（例えば、特許文献１を参照）。特許文献１に記載の技術は、ログファイルに記録される多種、大量のログメッセージを短時間で分析する技術であり、類似の複数ログメッセージを集約し、集約したログメッセージ単位に識別番号を付与することにより、ログメッセージを識別番号の時系列集合に変換する処理を実施する。変換された時系列集合によれば、出力状況の分析を行うことができる。

国際公開第２０１８／１８６３１４号

しかしながら、特許文献１に記載の技術には、ログの分析に関する情報を組織間で利用可能に流通させることが困難な場合があるという問題がある。特許文献１の技術は、コンテンツに対してシステム内の独自のルールで辞書情報として管理する技術であり、流通までは対応していない。例えば、自システムの辞書情報を他システムにそのまま渡しても、他のシステムでは利用することができない。

上述した課題を解決し、目的を達成するために、情報流通システムは、それぞれに対応付けられたITシステムを監視する複数の監視装置と、前記監視装置との間で情報の送受信を行う共有装置と、を有する情報流通システムであって、前記複数の監視装置のそれぞれは、前記ITシステムから出力されるログメッセージを基に障害を検知するための情報である検知情報、及び、障害に関連するログメッセージと障害ごとの対処手順を対応付けた情報である対処手順情報を少なくとも含むノウハウ情報を前記共有装置に提供する提供部と前記共有装置によって管理されている前記ノウハウ情報を取得する取得部と、を有し前記共有装置は、前記複数の監視装置によって提供される前記ノウハウ情報を収集し、収集したノウハウ情報をマージして管理する収集部と、前記複数の監視装置に前記ノウハウ情報を配布する配布部と、を有することを特徴とする。

本発明によれば、ログの分析に関する情報を組織間で利用可能に流通させることができる。

図１は、流通システムの構成例を示す図である。 図２は、監視装置の構成例を示す図である。 図３は、辞書情報の一例を示す図である。 図４は、検知情報の一例を示す図である。 図５は、対処手順情報の一例を示す図である。 図６は、共有装置の構成例を示す図である。 図７は、監視する処理の流れの一例を示すシーケンス図である。 図８は、ログメッセージを整形する処理の流れの一例を示すフローチャートである。 図９は、対処の要否を判定する処理の流れの一例を示すフローチャートである。 図１０は、ブラックリスト及びホワイトリストの作成方法を説明するための図である。 図１１は、IDの付与方法を説明するための図である。 図１２は、判定処理の結果の一例を示す図である。 図１３は、ノウハウ情報を更新する処理の流れの一例を示すシーケンス図である。 図１４は、白黒判断のためのGUIの一例を示す図である。 図１５は、ノウハウ情報を取得する処理の流れの一例を示すシーケンス図である。 図１６は、ルール変換ロジックを作成する処理の流れの一例を示すフローチャートである。 図１７は、ルールを変換する処理の流れの一例を示すフローチャートである。 図１８は、ノウハウ情報を提供する処理の流れの一例を示すシーケンス図である。 図１９は、ノウハウ情報の一例を示す図である。 図２０は、ノウハウ情報の一例を示す図である。 図２１は、ノウハウ情報の一例を示す図である。 図２２は、ノウハウ情報の一例を示す図である。 図２３は、ノウハウ情報の一例を示す図である。 図２４は、情報流通プログラムを実行するコンピュータの一例を示す図である。

以下に、本願に係る情報流通システム、監視装置、共有装置及び情報流通方法の実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

ここで、特許文献１に記載の技術等により、システムの監視及び分析の自動化は進んでいるものの、障害原因の推測や復旧対策の検討等重要事項の判断は、依然として運用者の経験や勘に依存している。そのため運用に係る人件費がシステム運営主体にとって大きな負担となっている。

その一方で、１つの企業体であっても、システムの運用は個々の下部組織が運営主体となって実施していることが多いという現状がある。そのため、複数の運営主体において同様の障害が発生しても、障害発生のタイミングや運営主体ごとのシステム運用スキルや経験に差があるにもかかわらず、障害の分析及び対処が個々の運営主体に閉じて行われているため、システム復旧までにかかるコストにも差が生じることとなってしまう。特に、システム運用を開始する初期の段階では、全ての障害に対し未経験なことより、頻繁に発生するシステム障害への対応に多大なコストがかかってしまう。

また、そのような傾向があることを予想して、監視システムにおいて、アラートを挙げるログメッセージのレベルを下げる設定をすることもある。その結果、システム障害とは何の関係もないログメッセージに関してもアラートが大量に挙がってしまい、システム障害が何も発生していないにもかかわらず全てのアラートを確認する人的稼働が発生してしまい、却って障害と関係のあるログメッセージを見逃してしまうことも起こりえる。逆に、アラートを挙げるログメッセージのレベルを上げ過ぎる設定をすると、既知の障害は検知するが未知の障害は見逃してしまう。このように、システム運用開始の段階でも、ある程度の障害対処のノウハウが必要とされる。

そこで、機密保持等データ授受に係る諸条件を満足した上で、障害への対処に関する情報を異なる組織、さらには異なる企業の間で共有することができれば、初見の障害でも即対処することができるため、障害復旧のスピードが向上してシステムが安定するとともに、これまで、初見の障害に対して対処方法を確立させるためにかかっていた運用コストも削減できる。なお、以降の説明では、組織には、企業及び企業内の部署等が含まれるものとする。

異なる組織間で情報の流通をする技術としては、各組織が個別に識別番号を付与し管理するコンテンツを、複数の組織同士で利用する目的で、送信側及び受信側のいずれとも異なる第３の識別番号を付与してコンテンツを流通させる技術がある。これは、送信中に識別番号が流出し、送信側及び受信側のいずれかの組織に不正アクセスがあっても、該当する関連の情報を保護できるというものである。

一方で、ログ分析に関するコンテンツを組織内で管理する際、コンテンツが複数存在する場合にはコンテンツ間を関連付ける情報として管理ルールが必要である。セキュリティ要件を満足して組織を跨る流通が可能となったとしても、コンテンツだけを流通させても管理ルールが流通しなければ、コンテンツ間の関係が不明となり、利用できなくなるので、コンテンツの送受信側双方において、複数コンテンツとともにその互いの管理ルールとを管理する必要がある。この場合、管理コストを抑えるためコンテンツの重複は排除される必要がある。

そのため、ログ分析に関するコンテンツを流通させる場合には、自システムと送受信が発生するシステムごとに、複数コンテンツとともに互いの管理ルールを管理する必要があり、各システムの管理コストが増大する。そのため、例えばAとB、AとCと情報やり取りしたらAとB、AとCの対応表が必要になる。また、B，Cから同一のコンテンツが送信されたとしても、チェックによる重複排除をせずに、異なるシステムの間のやり取りを記録する必要があるため、全てのコンテンツの管理が必要になる。

本実施形態の情報流通システムは、管理コストを抑えて、ログの分析に関する情報を複数組織間で利用可能にして流通させることを１つの目的としている。図１は、流通システムの構成例を示す図である。図１に示すように、情報流通システム１は、組織ごとの監視システム及び共有装置を有する。例えば、Ａ社の監視システム１Ａは、監視装置１０Ａ、端末２０Ａ及びITシステム３０Ａを有する。ここで、各装置及びシステムの符号を、組織を区別せずに、監視装置１０、端末２０及びITシステム３０のように表記する場合がある。共有装置５０は、各組織の監視システムとデータ通信が可能であり、情報を共有するための共有センタとして機能する。

監視装置１０は、ITシステム３０の監視及び運用を行うための装置である。監視装置１０は、共有装置５０にITシステム３０の監視に関するノウハウ情報を提供し、共有装置５０からノウハウ情報を取得する。また、共有装置５０は、監視装置１０から収集したノウハウ情報をマージし管理する。そして、共有装置５０は、管理しているノウハウ情報を監視装置１０に配布する。ノウハウ情報には、後述する検知情報、対処手順情報及び辞書情報等が含まれる。さらに、ノウハウ情報にドキュメント情報が含まれていてもよい。

各組織の監視装置１０は、独自のルールでノウハウ情報を管理している。共有装置５０は、ノウハウ情報を収集し、共通化した上で各組織の監視装置１０に配布する。なお、共有装置５０は、ITシステムの監視及び運用を行わないものであってもよいし、ITシステムの監視及び運用を兼ねるものであってもよい。また、共有装置５０は、各組織からの問合せに対し、当該組織のシステムで発生した事象を再現するためのシステムを構築するものであってもよい。

図２を用いて、監視装置１０の構成を説明する。図２は、監視装置の構成例を示す図である。図２に示すように、監視装置１０は、転送部１０１、整形部１０２、分析部１０３、判定部１０４、更新部１０５、支援部１０６、通知部１０７、取得部１５０及び提供部１６０を有する。また、監視装置１０は、監視関連情報１２０及び分析関連情報１４０を記憶する。監視関連情報１２０は、対処要否情報１２１、検知情報１２２、対処手順情報１２３及びドキュメント情報１２４を含む。また、分析関連情報１４０は、出力ログ情報１４１及び辞書情報１４２を含む。また、対処要否情報１２１は、要対処情報１２１１、対処不要情報１２１２及び対処要否不明情報１２１３を含む。

ここで、監視装置１０が記憶する情報のうち、検知情報１２２及び対処手順情報１２３がノウハウ情報に含まれる。また、ノウハウ情報は、さらに辞書情報１４２を含んでいてもよい。

図３に示すように、辞書情報１４２は、IDと文字列の抽象的表現を対応付けた情報である。図３は、辞書情報の一例を示す図である。辞書情報１４２は、検知情報１２２と対処手順情報１２３を関連付ける情報であり、ログメッセージの抽象的表現をIDにより識別するための情報である。

ログメッセージの内容は、個々のログメッセージごとに異なる部分と、不変の部分とが存在することが考えられる。そこで、異なる部分を共通的な表現で表すことができれば、複数のログメッセージを１つの形式に集約することができる。辞書情報１４２は、正規表現により複数のログメッセージを１つの形式に集約するための情報である。正規表現は、抽象的表現の一例である。

また、辞書情報１４２のように、ログメッセージの抽象的表現単位に識別番号を付与することにより、個々のログメッセージ単位に識別番号を付与する場合に比べて、新たに付与する識別番号の絶対数を抑制することができるため、管理するデータレコード数を少なくすることが可能となる。

検知情報１２２は、ITシステム３０から出力されるログメッセージを基に障害を検知するための情報である。図４は、検知情報の一例を示す図である。図４に示すように、検知情報１２２は、ログメッセージがブラックリスト及びホワイトリストのどちらに含まれるかを示す情報である。

また、対処手順情報１２３は、障害に関連するログメッセージと障害ごとの対処手順を対応付けた情報である。図５は、対処手順情報の一例を示す図である。図５に示すように、対処手順情報１２３は、対処手順ドキュメントのファイル名である。なお、対処手順ドキュメントのファイルの実体は、ドキュメント情報１２４である。

ノウハウ情報に含まれる各情報は、組織内部で更新されるものとする。すなわち、初見のログメッセージを検知した場合には、当該ログメッセージには、独自に新規の識別番号が付与される。そして、当該ログメッセージは、ブラックリスト及びホワイトリストのいずれにも該当するものはないため、「グレー」という扱いとして、別途内容を確認し、「ブラック」「ホワイト」のいずれかに紐付けされる。

当該ログメッセージに関する初見の障害については、対処し復旧したことを確認した後、その一連の手順がドキュメントとしてまとめられ、ドキュメントの情報は対処手順情報１２３及びドキュメント情報１２４に追加される。そして、以降同様の障害が発生した場合には、追加されたドキュメントに沿って対処が行われる。

図２に戻り、転送部１０１は、ITシステム３０で出力されるログレコードから構成されるログファイルを、監視装置１０に取り込む。整形部１０２は、ログメッセージを所定の形式に整形する。整形部１０２は、ログレコード内の情報であるログメッセージを、分析部１０３が読み込める書式に整形する。

分析部１０３は、整形部１０２によって整形されたログメッセージを分析し、所定の種別のいずれかに分類する。また、分析部１０３は、IDと文字列の抽象的表現を対応付けた辞書情報を基にログメッセージのIDを特定し、IDを基に分類を行う。また、分析部１０３は、新規のIDを払い出した場合、当該IDを辞書情報１４２に追加する。

分析部１０３は、特許文献１に記載の分析装置と同等の機能を有するものであるものとする。すなわち、分析部１０３は、システムから出力されたテキストログに含まれるメッセージを種別ごとに分類し、分類した各メッセージに、種別ごとに設定されたＩＤを付与することができる。そして、分析部１０３は種別を判定部１０４に受け渡す。

判定部１０４は、種別及び検知情報１２２に基づき、ログメッセージが、対処が必要な障害と関連がある要対処情報１２１１であるか、障害との関連がない対処不要情報１２１２であるか、障害との関連が不明な対処要否不明情報１２１３であるかを判定する。

判定部１０４は、IDの付与されたログメッセージの時系列を、検知情報１２２に記録されたIDと照合して、ブラックリスト及びホワイトリストのいずれに属するか、あるいはいずれにも属しないかを判定して、障害との関連があって対処が必要な要対処情報１２１１と、障害との関連がない対処不要情報１２１２、及び障害との関連が不明な対処要否不明情報１２１３とに分類することができる。

更新部１０５は、ユーザの入力に基づき検知情報に含まれるログメッセージに関する情報を更新する。更新部１０５は、対処要否不明情報１２１３に該当するログメッセージに紐付くIDと要対処（ブラックリスト対象）と対処不要（ホワイトリスト対象）の関係を、新たに検知情報１２２に追加する。更新部１０５はまた、判定部１０４に検知情報１２２の更新を反映させるために、判定部１０４を制御することも可能である。

支援部１０６は、該当するログメッセージに紐付くIDを要対処もしくは対処不要に分類する操作インタフェースを提供する。

通知部１０７は、判定部１０４によって、ログメッセージが要対処情報１２１１又は対処要否不明情報１２１３と判定された場合、ログメッセージに関連する障害の対処手順を検索し、通知する。具体的には、通知部１０７は、要対処情報１２１１と対処要否不明情報１２１３を監視対象とし、それぞれの情報の追加を検知したら、端末２０に対して警報に相当する情報を送り、該当するIDに関連する障害への対処手順を記載したドキュメントを対処手順情報１２３及びドキュメント情報１２４から検索して、端末２０に提示する。

取得部１５０は、共有装置５０によって管理されているノウハウ情報を取得する。また、取得部１５０は、取得したノウハウ情報に含まれる辞書情報と、既存の辞書情報１４２との対応関係を変換情報１５４として管理する。また、取得部１５０は、変換部１５１、要求部１５２及び管理部１５３を有する。

提供部１６０は、ITシステム３０から出力されるログメッセージを基に障害を検知するための情報である検知情報１２２、及び、障害に関連するログメッセージと障害ごとの対処手順を対応付けた情報である対処手順情報１２３を少なくとも含むノウハウ情報を共有装置５０に提供する。提供部１６０は、ノウハウ情報に辞書情報１４２を含めて提供することができる。さらに、提供部１６０は、ノウハウ情報にドキュメント情報５２４を含めて提供することができる。

端末２０は、分析部１０３を操作して、対処要否不明情報１２１３を分析し、該当する対処要否不明情報１２１３がこれまで知られていなかった新規の障害と関連するか、もしくは障害とは無関係かを判断するために必要な情報を得ることができる。

図６を用いて、共有装置５０の構成を説明する。図６は、監視装置の構成例を示す図である。図６に示すように、共有装置５０は、配布部５５０、収集部５６０を有する。また、共有装置５０は、ノウハウ情報５２０を記憶する。ノウハウ情報５２０は、検知情報５２２、対処手順情報５２３、ドキュメント情報５２４及び辞書情報５４２を含む。

配布部５５０は、複数の監視装置１０にノウハウ情報５２０を配布する。収集部５６０は、複数の監視装置１０によって提供されるノウハウ情報を収集し、収集したノウハウ情報をマージして管理する。

図７は、監視する処理の流れの一例を示すシーケンス図である。以降、各処理部の間で発生する情報の受け渡し方は、ファイル形式及びストリーム形式のいずれも可能であるものとする。

転送部１０１は、ITシステム３０で出力されるログレコードから構成されるログファイルを、監視装置１０内に取り込み（ステップＳ００１）、整形部１０２に渡す（ステップＳ００２）。

整形部１０２は、ログレコード内の情報であるログメッセージを、分析部１０３が読み込める書式に整形して（ステップＳ００３）、整形後の情報を分析部１０３に渡す（ステップＳ００４）。

分析部１０３は、ログメッセージを種別ごとに分類し、分類した各メッセージに、種別ごとに設定されたIDを付与し（ステップＳ００５）、IDの付与されたログメッセージの時系列情報として判定部１０４に渡す（ステップＳ００６）。

判定部１０４は、IDの付与されたログメッセージの時系列を、検知情報１２２に記録されたIDと照合して、ブラックリスト及びホワイトリストのいずれに属するか、あるいはいずれにも属しないかを判定して（ステップＳ００７）、障害との関連があって対処が必要な要対処情報１２１１と、障害との関連がない対処不要情報１２１２、及び障害との関連が不明な対処要否不明情報１２１３とに分類して追加する（ステップＳ００８）。

通知部１０７は、要対処情報１２１１と対処要否不明情報１２１３を監視対象とし（ステップＳ００９）、それぞれの情報の追加を検知したら、端末２０に対して通知情報を送り（ステップＳ０１０）、該当するIDに関連する障害への対処手順を記載したドキュメントを対処手順情報１２３とドキュメント情報１２４から検索して（ステップＳ０１１）、端末２０に通知する（ステップＳ０１２）。

図８は、ログメッセージを整形する処理の流れの一例を示すフローチャートである。図８に示す処理は、図７のステップＳ００３の処理に相当する。図８に示すように、整形部１０２は、整形前の元ログメッセージからタイムスタンプ部分を抽出し（ステップＳ００３１）、タイムスタンプ部分を分析部１０３が処理可能な形式に変換する（ステップＳ００３２）。さらに、整形部１０２は、タイムスタンプ、出力したホスト名、ログファイル名、整形前ログメッセージの順にフォーマットを変換して記録する（ステップＳ００３３）。

図９は、対処の要否を判定する処理の流れの一例を示すフローチャートである。図９に示す処理は、図７のステップＳ００７の処理に相当する。図９に示すように、判定部１０４は、ログメッセージが、ブラックリストにマッチするかどうかを、IDをキー情報として検知情報１２２から検索して判定する（ステップＳ００７１）。判定部１０４は、ブラックリストに合致するものがあれば（ステップＳ００７１、Yes）、ログメッセージを要対処情報１２１１に追加する（ステップＳ００７２）。

次に、判定部１０４は、ログメッセージが、ホワイトリストにマッチするかどうかを同様の処理で判定する（ステップＳ００７３）。判定部１０４は、ホワイトリストに合致するものがあれば（ステップＳ００７３、Yes）、ログメッセージを対処不要情報１２１２に追加する（ステップＳ００７４）。

ログメッセージがいずれにも合致しない場合（ステップＳ００７１、Ｓ００７３の両方でNo）、判定部１０４は、ログメッセージを対処要否不明情報１２１３に追加する（ステップＳ００７５）。

判定部１０４によるブラックリスト判定、ホワイトリスト判定の順番は、ログを出力するシステムの出力傾向や、監視の方針等に応じて変更することも可能である。例えば、既知の障害を出来るだけ早く検知したければ、判定部１０４は、ブラックリストとの照合を最初に行ってもよい。一方、既知の対処不要情報１２１２を早く除去したければ、判定部１０４は、ホワイトリストとの照合を最初に行ってもよい。

図１０は、ブラックリスト及びホワイトリストの作成方法を説明するための図である。図１０左側のように検知情報１２２がDBにより管理されている場合、判定部１０４は、ステップＳ００７の処理においてその都度DB検索処理を行うことになる。これを避けるため、監視装置１０は、図１０の右側のように、あらかじめブラックリスト、ホワイトリストをDBから作成し、メモリに記憶しておけば、照合処理に係る計算コストを小さくすることができる。

図１１は、IDの付与方法を説明するための図である。図１１のログメッセージは、OpenStackを構成するシステムにおいて、ホスト名controller01で表されるコントローラノードのCinder Volumeアプリケーションプログラムから出力されたログメッセージ（ファイル名cinder-volume.log）の１レコードである。

整形部１０２は、ログメッセージ中のタイムスタンプを抽出し、タイムスタンプ部分を分析部１０３が処理可能な形式に変換して、さらにタイムスタンプ、出力したホスト名、ログファイル名、整形前ログメッセージの順にフォーマットを変換したものを、整形後ログメッセージとする。分析部１０３は、整形後ログメッセージにID付与処理を行う。

図１２は、判定処理の結果の一例を示す図である。図１２の例では、分かりやすくするためにログファイルをテーブル形式で表している。今、図１２のようなID付与後のログファイルに対して、判定部１０４は、ステップＳ００７において、ID=2のログメッセージはホワイトリストに含まれるため、対処不要情報１２１２と判定する。また、判定部１０４は、ID=7のログメッセージはブラックリストに含まれるため、要対処情報１２１１と判定する。また、判定部１０４は、ID=20のログメッセージはブラックリスト、ホワイトリストのいずれにも含まれないため、対処要否不明情報１２１３と判定する。

図１３は、ノウハウ情報を更新する処理の流れの一例を示すシーケンス図である。ユーザは、端末２０を通じて、分析部１０３に対して分析を指示する（ステップＳ１０１）。分析部１０３は、シーケンスの抽出、有意ログの抽出、余分な情報の除去、パターンの抽出等を、単独又は複数実行し（ステップＳ１０２）、その結果を提示する（ステップＳ１０３）。

ステップＳ１０１～Ｓ１０３は試行錯誤を伴うため、分析部１０３は、判断をするのに十分な結果を得られるまで分析処理を繰り返し実行する。そして、対処要否不明情報１２１３に該当するログメッセージへの対処要否の判断（白黒判断）ができるまで情報が得られたとき、利用者は端末２０を通じて、該当するログメッセージに紐付くIDをブラック又はホワイトのいずれかに指定する（ステップＳ１０４）。

支援部１０６は、ブラック又はホワイトに指定する指示を更新部１０５に伝える（ステップＳ１０５）。更新部１０５は、検知情報１２２に、該当するIDとブラック・ホワイトの指定を追加する（ステップＳ１０６）。そして、更新部１０５は、検知情報１２２の更新を反映させるために判定部１０４を制御する（ステップＳ１０７）。さらに、更新部１０５は、該当する新規障害への対処手順が確立した後、該当するIDと、ドキュメントファイル名、ドキュメントファイル実体を、端末２０からの操作（ステップＳ１０８）を通じて追加する（ステップＳ１０９）。

図１４は、白黒判断のためのGUIの一例を示す図である。支援部１０６は、IDとログメッセージ、ブラックかホワイトかを、端末２０からユーザに指定させるためのGUIを表示する。図１４の画面の左側のグリッドは、IDとログメッセージ、ブラックかホワイトかの指定をリスト表示して、ブラックかホワイトかをラジオボタンで指定させるためのものである。図１４の画面の右側は、ログメッセージの時系列を分析した結果を表示する領域である。ユーザは、分析を試行錯誤して、最終的にどのIDのログメッセージが障害と関係するか、あるいは無関係かを判断し、画面操作により指定する。更新部１０５は、指定を受けて、検知情報１２２にＩID及びログメッセージを追加する。

このように、支援部１０６は、判定部１０４によってログメッセージが対処要否不明情報１２１３であると判定された場合、ログメッセージに関する情報をユーザに通知し、さらにログメッセージが要対処情報１２１１であるか否かを示す情報の入力を受け付ける。

（情報流通に関する処理）
ここで、提供部１６０、取得部１５０、配布部５５０及び収集部５６０によって実現される情報流通について詳しく説明する。監視装置１０の提供部１６０は、自システムが独自のルールに基づいて管理する検知情報、対処手順情報、ドキュメント情報、辞書情報を共有装置５０の収集部５６０に対して送信する。収集部５６０は、受信した検知情報、対処手順情報、ドキュメント情報、辞書情報を一時的に保持する。

収集部５６０の受付部５６１は、ノウハウ情報の重複有無を確認する。そして、変換部５６２は、受信した検知情報、対処手順情報、ドキュメント情報、辞書情報を共有装置５０の独自のルールに基づいて管理方法を変更する。管理部５６３は、管理方法変更済みの各情報について、既存の検知情報、対処手順情報、ドキュメント情報、辞書情報とマージして管理する。

変換部５６２は、受信したシステムの独自ルールと、共有装置５０の独自ルールとの対応関係を、変換情報５６４として管理している。受付部５６１は、複数組織からのノウハウ情報の提供を受け付けるので、同時に提供されたノウハウ情報の同一内容の有無を、ここで確認することができる。

配布部５５０は、共有装置５０が独自のルールに基づいて管理する検知情報、対処手順情報、ドキュメント情報、辞書情報を、取得部１５０からのノウハウ情報要求に応じて取得部１５０に対して送信する。

取得部１５０の要求部１５２は、共有装置５０に対して、共有装置５０が管理している検知情報、対処手順情報、ドキュメント情報、辞書情報を要求する。変換部１５１は、受信した共有装置５０の検知情報、対処手順情報、ドキュメント情報、辞書情報を自システムの独自のルールに基づいて管理方法を変更する。

管理部１５３は、管理方法変更済みの各情報について、既存の検知情報、対処手順情報、ドキュメント情報、辞書情報とマージして管理する。変換部１５１は、受信したシステムの独自ルールと、共有装置５０の独自ルールとの対応関係を、変換情報１５４として管理している。

図１５は、ノウハウ情報を取得する処理の流れの一例を示すシーケンス図である。図１５に示すように、要求部１５２は、共有装置５０の配布部５５０に対してノウハウ情報を要求する（ステップＳ２０１）。配布部５５０は、送信するノウハウ情報５２０を読み込み（ステップＳ２０２）、変換部１５１に情報を送信する（ステップＳ２０３）。

変換部１５１は、受信した情報と既存の管理している情報からルール変換ロジックを作成し（ステップＳ２０４）、この変換ロジックを基にして受信した情報のルールを変換し、既存の情報とマージする（ステップＳ２０５）。変換部１５１は、マージして既存の情報にはない未登録の情報のみを追加登録する（ステップＳ２０６）。

図１６は、ルール変換ロジックを作成する処理の流れの一例を示すフローチャートである。図１６に示す処理は、図１５のステップＳ２０４の処理に相当する。図１６に示すように、変換部１５１は、最初に、受信した辞書情報と、自システムが管理している辞書情報とを突き合わせる（ステップＳ２０４１）。

変換部１５１は、両者を突き合わせることにより、（１）受信した辞書情報には存在せず、自システムが管理している辞書情報には存在する情報、（２）受信した辞書情報に存在し、自システムが管理している辞書情報には存在しない情報、（３）受信した辞書情報、自システムが管理している辞書情報双方に存在する情報の３種類に分類する（ステップＳ２０４２）。

変換部１５１は、（２）及び（３）に分類した情報については、受信した辞書情報の管理ルールを抽出し、さらに（２）について、自システムの管理ルールを適用する（ステップＳ２０４３）。そして、変換部１５１は、（２）、（３）について受信した辞書情報の管理ルールと独自ルールとの対応関係を、変換情報１５４に登録する（ステップＳ２０４４）。

図１７は、ルールを変換する処理の流れの一例を示すフローチャートである。図１７に示す処理は、図１５のステップＳ２０５の処理に相当する。図１７に示すように、変換部１５１は、ステップＳ２０４４で登録した変換情報１５４を読み込み（ステップＳ２０５１）、受信した検知情報と対処手順情報の該当するものに対して、独自ルールを適用する（ステップＳ２０５２）。

図１８は、ノウハウ情報を提供する処理の流れの一例を示すシーケンス図である。図１８に示すように、監視装置１０の提供部１６０は、自システムで管理しているノウハウ情報を提供する（ステップＳ３０１）。このとき、共有装置５０の受付部５６１は、同時にA社以外からの複数社からノウハウ情報を受け付けていれば、重複した情報の有無を確認し、重複排除する（ステップＳ３０２）。そして、受付部５６１は、重複を排除したノウハウ情報を変換部５６２に渡す（ステップＳ３０３）。

変換部５６２は、受信した情報と既存の管理している情報からルール変換ロジックを作成し（ステップＳ３０４）、この変換ロジックを基にして受信した情報のルールを変換し、既存の情報とマージする（ステップＳ３０５）。変換部５６２は、マージして既存の情報にはない未登録の情報のみを追加登録する（ステップＳ３０６）。ステップＳ３０４及びＳ３０５の処理は、それぞれ前述のステップＳ２０４及びＳ２０５の処理と同様である。

次に、数種類のユースケースを用いて、具体的な情報のやり取りの前後における情報の変化を示す。図１９～図２３は、ノウハウ情報の一例を示す図である。この例では、共有装置５０は各ノウハウ情報に対して識別番号g1, g2, g3, …を付与して管理するルールを採用しているものとする。同じく、A社の監視装置１０は、各ノウハウ情報に対して識別番号a1, a2, a3, …を付与して管理するルールを採用しているものとする。また、B社の監視装置１０は、各ノウハウ情報に対して識別番号b1, b2, b3, …を付与して管理するルールを採用しているものとする。また、Z社の監視装置１０は、各ノウハウ情報に対して識別番号z1, z2, z3, …を付与して管理するルールを採用しているものとする。

第１の例では、A社が自システムを構築して、まだノウハウ情報が何も管理されていない状態で、最初に共有装置５０に対しノウハウ情報を要求したとする。図１９は、第１の例において、A社の監視装置１０が最初に共有装置５０に対しノウハウ情報を要求した時点での、共有装置５０が管理する検知情報５２２、対処手順情報５２３、辞書情報５４２の例である。この時点で共有装置５０に登録されているノウハウ情報は、A社以外の会社から提供されたノウハウ情報、又は、共有装置５０自身が独自に確立したノウハウ情報である。

そして、共有装置５０からA社の監視装置１０にノウハウ情報が配布された場合、A社の監視装置１０のノウハウ情報は図２０のようになる。すなわち、ステップＳ２０４に従うと、A社の監視装置１０の辞書情報１４２の初期状態には何も登録されていないため、共有装置５０の辞書情報５４２がそのまま登録される。ここで、該当する識別番号は、A社の管理ルールに沿ってそれぞれa1, a2が付与される。同時に、変換情報１５４も作成される。同様に、A社の監視装置１０の検知情報１２２、対処手順情報１２３の初期状態には何も登録されていないため、共有装置５０の検知情報５２２、対処手順情報５２３がそのまま登録される。さらに、A社の監視装置１０は、ステップＳ２０５に従って識別番号を変換する。

第２の例では、第１の例を経てA社がシステムを運用し、独自に確立したノウハウを共有装置５０に提供したとする。図２１は、共有装置５０が管理する検知情報５２２、対処手順情報５２３、辞書情報５４２の例を示す。共有装置５０では識別番号g1, g2, g3, …を付与して管理している。図２２は、A社が管理する検知情報１２２、対処手順情報１２３、辞書情報１４２の例を示す。A社では識別番号a1, a2, a3, …を付与して管理している。

図２１と図２２の例では、a1が付与された情報とg1が付与された情報及び、a2が付与された情報とg2が付与された情報とは、それぞれ一致しているものとする。a1とa2は、第１の例によりA社の監視装置１０の運用初期の段階で登録されたノウハウ情報である。次に、a3, a6はA社が運用開始後に独自に作成したノウハウ情報であるが、共有装置５０においても、A社以外から提供されたもので、偶然同じものが登録されているものとし、それぞれg5, g4と一致している。そして、a4, a5はA社が独自に作成したノウハウ情報であるが、共有装置５０には提供されていない。さらに、g3, g6は共有装置５０がA社以外から提供されたノウハウ情報である。

図２１及び図２２の状態から、図１８に従ってA社の監視装置１０から共有装置５０にノウハウ情報が提供されたとすると、共有装置５０には図２３のようにノウハウ情報が管理される。すなわち、ステップＳ３０４に従うと、A社の監視装置１０の辞書情報のうち、a3, a6はそれぞれ共有装置５０の既登録情報g6, g3に該当する。この場合、a3, a6とg6, g3とでは互いの登録順番が逆転しているが、共有装置５０の管理ルールに従うため、辞書情報５４２において特に変更されることはない。変換情報５６４にはこの対応関係が記録される。

そして、A社の監視装置１０の辞書情報のうち、a4, a5は共有装置５０には登録されていないため、共有装置５０の識別番号を付与して登録され、それぞれg7, g8となる。この例では、共有装置５０は、A社のシステムの辞書情報を読み込んだ順に未登録情報を登録する。そして、この対応が変換情報５６４に登録される。同様に、A社の監視装置１０の検知情報、対処手順情報の未登録情報が共有装置５０の検知情報５２２、対処手順情報５２３に登録される。さらに、共有装置５０は、ステップＳ３０５に従って識別番号を変換する。

ここで説明したように、監視装置１０は、それぞれ異なるルールで辞書情報を管理することができる。すなわち、監視装置１０の分析部１０３は、文字列の抽象的表現のそれぞれに第１のIDを付与した辞書情報を生成し、辞書情報を基にログメッセージの第１のIDを特定し、第１のIDを基に分類を行う。例えば、第１のIDは、A社の監視装置１０によって付与されるa1、a2、a3等の識別番号である。また、提供部１６０は、ノウハウ情報に辞書情報を含めて提供する。

一方、共有装置５０の収集部５６０は、収集した辞書情報の抽象的表現に、第１のIDと異なる第２のIDを付与して管理する。例えば、第２のIDは、共有装置５０によって付与されるg1、g2、g3等の識別番号である。また、提供部１６０は、ノウハウ情報に辞書情報を含めて提供する。そして、配布部５５０は、第２のIDが付与された辞書情報を監視装置１０に配布する。さらに、監視装置１０の取得部１５０は、第１のIDと第２のIDとの対応関係を変換情報１５４として管理する。

一方で、監視装置１０は、共有装置５０によって定められる共通的なルールで辞書情報を管理してもよい。この場合、監視装置１０の分析部１０３は、文字列の抽象的表現の一覧である辞書情報を基にログメッセージの分類を行う。また、提供部１６０は、ノウハウ情報に辞書情報を含めて提供する。

共有装置５０の収集部５６０は、収集した辞書情報の抽象的表現にIDを付与して管理する。例えば、共有装置５０は、IDとしてg1、g2、g3等の識別番号を付与する。また、配布部５５０は、収集部５６０によってIDが付与された辞書情報を配布する。その後、監視装置１０の取得部１５０は、共有装置５０によって付与されたIDを用いて辞書情報を管理する。

［効果］
これまで説明してきたように、提供部１６０は、ITシステム３０から出力されるログメッセージを基に障害を検知するための情報である検知情報、及び、障害に関連するログメッセージと障害ごとの対処手順を対応付けた情報である対処手順情報を少なくとも含むノウハウ情報を共有装置５０に提供する。また、取得部１５０は、共有装置５０によって管理されているノウハウ情報を取得する。また、収集部５６０は、複数の監視装置１０によって提供されるノウハウ情報を収集し、収集したノウハウ情報をマージして管理する。また、配布部５５０は、複数の監視装置１０にノウハウ情報を配布する。このように、共有装置５０は、複数の監視装置１０で利用されるノウハウ情報をマージし、一元管理することができる。この結果、情報流通システム１によれば、ログの分析に関する情報を組織間で利用可能に流通させることができる。

整形部１０２は、ログメッセージを所定の形式に整形する。また、分析部１０３は、整形部１０２によって整形されたログメッセージを分析し、所定の種別のいずれかに分類する。また、判定部１０４は、種別及び検知情報に基づき、ログメッセージが、対処が必要な障害と関連がある要対処情報１２１１であるか、障害との関連がない対処不要情報１２１２であるか、障害との関連が不明な対処要否不明情報１２１３であるかを判定する。また、通知部１０７は、判定部１０４によって、ログメッセージが要対処情報１２１１又は対処要否不明情報１２１３と判定された場合、対処手順情報からログメッセージに関連する障害の対処手順を検索し、通知する。このように、監視装置１０は、複数の組織で集められたノウハウ情報を利用して監視を行う。これにより、ユーザは、より多くの情報に基づく監視結果を得ることができる。

分析部１０３は、文字列の抽象的表現の一覧である辞書情報を基にログメッセージの分類を行う。また、提供部１６０は、ノウハウ情報に辞書情報を含めて提供する。また、収集部５６０は、収集した辞書情報の抽象的表現にIDを付与して管理する。また、配布部５５０は、収集部５６０によってIDが付与された辞書情報を配布する。これにより、監視装置１０は、独自ルールを適用することなく、共通のルールを利用してノウハウ情報を管理することができる。

分析部１０３は、文字列の抽象的表現のそれぞれに第１のIDを付与した辞書情報を生成し、辞書情報を基にログメッセージの第１のIDを特定し、第１のIDを基に分類を行う。また、提供部１６０は、ノウハウ情報に辞書情報を含めて提供する。また、収集部５６０は、収集した辞書情報の抽象的表現に、第１のIDと異なる第２のIDを付与して管理する。また、配布部５５０は、第２のIDが付与された辞書情報を配布する。また、取得部１５０は、第１のIDと第２のIDとの対応関係を変換情報１５４として管理する。これにより、監視装置１０は、共有されているノウハウ情報の識別情報を維持しつつ、さらに独自ルールを適用して利用することができる。

分析部１０３は、IDと文字列の抽象的表現を対応付けた辞書情報を基にログメッセージのIDを特定し、IDを基に分類を行う。また、提供部１６０は、ノウハウ情報に辞書情報を含めて提供する。これにより、情報流通システムは、複数のログメッセージを集約してノウハウ情報として管理することができる。

取得部１５０は、取得したノウハウ情報に含まれる辞書情報と、既存の辞書情報との対応関係を変換情報として管理する。これにより、監視装置１０は、共有されているノウハウ情報の識別情報を維持しつつ、さらに独自ルールを適用して利用することができる。

通知部１０７は、判定部１０４によってログメッセージが対処要否不明情報１２１３であると判定された場合、ログメッセージに関する情報をユーザに通知し、さらにログメッセージが要対処情報１２１１であるか否かを示す情報の入力を受け付ける。また、更新部１０５は、ユーザの入力に基づき検知情報に含まれるログメッセージに関する情報を更新する。これにより、情報流通システム１は、ユーザが判断した結果をノウハウ情報に反映させることができる。

なお、前述の通り、分析部１０３は、特許文献１に記載の分析装置と同様の処理を行うことができる。すなわち、分析部１０３は、システムから出力されたテキストログに含まれるメッセージを種別ごとに分類し、分類した各メッセージに、種別ごとに設定されたＩＤを付与する。また、分析部１０３は、メッセージに付された発生日時に基づいて、所定の時間幅ごとのメッセージのテキストログにおける出現状況を、ＩＤごとに表した行列を作成する。また、分析部１０３は、作成した行列から、ＩＤの組み合わせであるパターンを複数抽出する。また、分析部１０３は、複数のパターンそれぞれに含まれるＩＤそれぞれについて重要度を計算し、重要度が所定の閾値以上であるか否かを判定する。また、分析部１０３は、テキストログの各メッセージを分類工程で付与されたＩＤに置換したログから、判定工程が所定の閾値以上であると判定したＩＤのみを抜き出した有意ログを生成する。また、分析部１０３は、重要度の高いＩＤがどのような順序で出現しているのかを表すシーケンスのそれぞれの出現回数を、生成した有意ログからカウントし、当該出現回数が所定の閾値以上でかつ所定の条件を満たすシーケンスを抽出する。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、CPU（Central processing unit）及び当該CPUにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
一実施形態として、監視装置１０及び共有装置５０は、パッケージソフトウェアやオンラインソフトウェアとして上記の情報流通処理を実行する情報流通プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の情報流通プログラムを情報処理装置に実行させることにより、情報処理装置を監視装置１０及び共有装置５０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、タブレット端末、ウェアラブル端末、携帯電話機やPHS（Personal Handyphone System）等の移動体通信端末、さらには、PDA（Personal Digital Assistant）等のスレート端末等がその範疇に含まれる。

また、監視装置１０及び共有装置５０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の情報流通処理に関するサービスを提供する情報流通サーバ装置として実装することもできる。例えば、情報流通サーバ装置は、グラフデータを入力とし、グラフ信号処理又はグラフデータの分析結果を出力とする情報流通サービスを提供するサーバ装置として実装される。この場合、情報流通サーバ装置は、Webサーバとして実装することとしてもよいし、アウトソーシングによって上記の情報流通処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。

図２４は、情報流通プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、CPU１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ROM（Read Only Memory）１０１１及びRAM（Random Access Memory）１０１２を含む。ROM１０１１は、例えば、BIOS（BASIC Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、監視装置１０及び共有装置５０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、監視装置１０及び共有装置５０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、SSDにより代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、CPU１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてRAM１０１２に読み出して、上述した実施形態の処理を実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してCPU１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（LAN（Local Area Network）、WAN（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してCPU１０２０によって読み出されてもよい。

１ 情報流通システム
１０ 監視装置
２０ 端末
３０ ITシステム
５０ 共有装置
１０１ 転送部
１０２ 整形部
１０３ 分析部
１０４ 判定部
１０５ 更新部
１０６ 支援部
１０７ 通知部
１２０ 監視関連情報
１２１ 対処要否情報
１２２、５２２ 検知情報
１２３、５２３ 対処手順情報
１２４、５２４ ドキュメント情報
１４０ 分析関連情報
１４１ 出力ログ情報
１４２、５４２ 辞書情報
１５０ 取得部
１５１、５６２ 変換部
１５２ 要求部
１５３、５６３ 管理部
１５４、５６４ 変換情報
１６０ 提供部
５２０ ノウハウ情報
５５０ 配布部
５６０ 収集部
５６１ 受付部
１２１１ 要対処情報
１２１２ 対処不要情報
１２１３ 対処要否不明情報

Claims (7)

1. それぞれに対応付けられたIT（Information Technology）システムを監視する複数の監視装置と、前記監視装置との間で情報の送受信を行う共有装置と、を有する情報流通システムであって、
   前記複数の監視装置のそれぞれは、
   前記ITシステムから出力されるログメッセージを基に障害を検知するための情報である検知情報、及び、障害に関連するログメッセージと障害ごとの対処手順を対応付けた情報である対処手順情報を少なくとも含むノウハウ情報を前記共有装置に提供する提供部と
   前記共有装置によって管理されている前記ノウハウ情報を取得する取得部と、
   ログメッセージを分析し、所定の種別のいずれかに分類する分析部と、
   前記種別及び前記検知情報に基づき、前記ログメッセージが、対処が必要な障害と関連がある要対処情報であるか、障害との関連がない対処不要情報であるか、障害との関連が不明な対処要否不明情報であるかを判定する判定部と、
   前記判定部によって、前記ログメッセージが要対処情報又は対処要否不明情報と判定された場合、前記対処手順情報から前記ログメッセージに関連する障害の対処手順を検索し、通知する通知部と、
   を有し
   前記共有装置は、
   前記複数の監視装置によって提供される前記ノウハウ情報を収集し、収集したノウハウ情報をマージして管理する収集部と、
   前記複数の監視装置に前記ノウハウ情報を配布する配布部と、
   を有することを特徴とする情報流通システム。
2. 前記複数の監視装置のそれぞれは、前記ログメッセージを所定の形式に整形する整形部
   をさらに有することを特徴とする請求項１に記載の情報流通システム。
3. 前記分析部は、文字列の抽象的表現の一覧である辞書情報を基に前記ログメッセージの分類を行い、
   前記提供部は、前記ノウハウ情報に前記辞書情報を含めて提供し、
   前記収集部は、収集した前記辞書情報の前記抽象的表現にIDを付与して管理し、
   前記配布部は、前記収集部によってIDが付与された前記辞書情報を配布する
   ことを特徴とする請求項１に記載の情報流通システム。
4. 前記分析部は、文字列の抽象的表現のそれぞれに第１のIDを付与した辞書情報を生成し、前記辞書情報を基に前記ログメッセージの前記第１のIDを特定し、前記第１のIDを基に分類を行い、
   前記提供部は、前記ノウハウ情報に前記辞書情報を含めて提供し、
   前記収集部は、収集した前記辞書情報の前記抽象的表現に、前記第１のIDと異なる第２のIDを付与して管理し、
   前記配布部は、前記第２のIDが付与された前記辞書情報を配布し、
   前記取得部は、前記第１のIDと前記第２のIDとの対応関係を変換情報として管理することを特徴とする請求項１に記載の情報流通システム。
5. 前記監視装置は、
   前記判定部によって前記ログメッセージが対処要否不明情報であると判定された場合、前記ログメッセージに関する情報をユーザに通知し、さらに前記ログメッセージが要対処情報であるか否かを示す情報の入力を受け付ける支援部と、
   ユーザの入力に基づき前記検知情報に含まれる前記ログメッセージに関する情報を更新する更新部と、
   をさらに有することを特徴とする請求項１から３のいずれか１項に記載の情報流通システム。
6. ITシステムから出力されるログメッセージを基に障害を検知するための情報である検知情報、及び、障害に関連するログメッセージと障害ごとの対処手順を対応付けた情報である対処手順情報を少なくとも含むノウハウ情報を共有装置に提供する提供部と
   前記共有装置によって複数の監視装置から収集され、マージされ管理されている前記ノウハウ情報を取得する取得部と、
   ログメッセージを分析し、所定の種別のいずれかに分類する分析部と、
   前記種別及び前記検知情報に基づき、前記ログメッセージが、対処が必要な障害と関連がある要対処情報であるか、障害との関連がない対処不要情報であるか、障害との関連が不明な対処要否不明情報であるかを判定する判定部と、
   前記判定部によって、前記ログメッセージが要対処情報又は対処要否不明情報と判定された場合、前記対処手順情報から前記ログメッセージに関連する障害の対処手順を検索し、通知する通知部と、
   を有することを特徴とする監視装置。
7. それぞれに対応付けられたIT（Information Technology）システムを監視する複数の監視装置と、前記監視装置との間で情報の送受信を行う共有装置と、を有する情報流通システムによって実行される情報流通方法であって、
   前記複数の監視装置のそれぞれが、前記ITシステムから出力されるログメッセージを基に障害を検知するための情報である検知情報、及び、障害に関連するログメッセージと障害ごとの対処手順を対応付けた情報である対処手順情報を少なくとも含むノウハウ情報を前記共有装置に提供する提供工程と
   前記共有装置が、前記複数の監視装置によって提供される前記ノウハウ情報を収集し、収集したノウハウ情報をマージして管理する収集工程と、
   前記共有装置が、前記複数の監視装置に前記ノウハウ情報を配布する配布工程と、
   前記監視装置が、前記共有装置によって管理されている前記ノウハウ情報を取得する取得工程と、
   を含み、
   前記監視装置が、ログメッセージを分析し、所定の種別のいずれかに分類する分析工程と、
   前記監視装置が、前記種別及び前記検知情報に基づき、前記ログメッセージが、対処が必要な障害と関連がある要対処情報であるか、障害との関連がない対処不要情報であるか、障害との関連が不明な対処要否不明情報であるかを判定する判定工程と、
   前記監視装置が、前記判定工程によって、前記ログメッセージが要対処情報又は対処要否不明情報と判定された場合、前記対処手順情報から前記ログメッセージに関連する障害の対処手順を検索し、通知する通知工程と、
   をさらに含むことを特徴とする情報流通方法。

Images