JP7392852B2 - ルール生成装置、ルール生成方法およびプログラム - Google Patents

Description

本発明は、ルール生成装置、ルール生成方法およびプログラムに関する。

複数の種類および数のネットワーク装置が相互に接続されたネットワーク環境において、障害により多種、多数のアラーム（以下「アラーム群」と称する）が発出された時に、障害からの復旧を図るためには、いかに早く障害の原因を判定するのかが重要となる。

監視対象となるネットワーク装置において、ある障害により発生するイベント（以下「障害イベント」と称する。１つのアラームが１つのイベントに該当する）を基に、その障害要因を判定する、ＩＦ－ＴＨＥＮルールの作成に関する技術が提案されている（例えば、特許文献１、特許文献２）。

特許文献１の技術では、ＩＦ－ＴＨＥＮルールの作成において、オペレータの入力を受けて、ルールのに定義すべき条件部（ＩＦ部）と障害の原因イベント（ＴＨＥＮ部）が作成される。このルール作成において、ルールの条件部のうちの１つの障害イベントが原因イベント、すなわち結論部として定義される。

特許文献２の技術では、特許文献１では対応できない障害事例、すなわち障害原因が直接障害イベントとして発生しないような障害事例にも対応できる。具体的には、障害原因情報と、この障害により発生する障害イベントと、条件部と結論部を含むルールに対応付けられたルールＩＤ（ルールを一意に決めるＩＤ）とを関連付けて登録したデータベースを持ち、さらに新規障害の障害イベントの組み合わせを全通り生成し、新規障害の障害イベントの組み合わせと過去の障害である過去障害の障害イベントの組み合わせから最も発生していない組み合わせを判定させるユニークパターンを障害ごとに抽出するユニーク判定部を有する。このユニーク判定部により、障害ごとに対応するユニークパターンに応じて、ルールを生成または修正する方法となっている。

日本国特許第５６８４９４６号公報 日本国特許第６６３７８５４号公報

特許文献２の技術を含んで従来の技術では、障害原因を判定するＩＦ－ＴＨＥＮルールにおいて、ルール内で使用するアラームを紐付けるためのアラームの分類に相当する、条件部であるＩＦ部の内容のイベント定義が固定的であり、使用途中に変更する状況を想定していない。そのため、様々な故障事例を通じてイベント定義が必要となった場合にも、正確なイベント定義への更新ができない。具体的には、条件部に入れるべきアラームを漏らし、あるいは異なる分類として利用するなど、適切なルールが適用されない。そのため、オペレータによる条件の判断に多大な時間がかかる要因の１つとなっている。

本発明は前記のような実情に鑑みてなされたもので、その目的とするところは、障害原因イベントをより正確に判定することが可能なルール生成装置、ルール生成方法およびプログラムを提供することにある。

本発明の一態様は、障害ごとに、障害箇所および障害要因を含む障害要因情報と、この障害により発生する障害イベントと、条件部と結論部を含むルールに対応付けられたルールＩＤと、を関連付けて登録しているデータベースと、新規の障害である新規障害に関連付けられた障害イベントの取り得る１以上の組み合わせを全通り生成し、新規障害の障害イベントの組み合わせと過去の障害である１以上の過去障害のそれぞれの障害イベントとから最も発生していない組み合わせと判定されるユニークパターンを、前記新規障害が発生するごとに抽出するユニーク判定部と、障害ごとに対応するユニークパターンに応じて、前記ルールを生成または修正するルール生成および修正部と、正規化されたアラームの内容を示す正規化アラームメッセージ、イベントの障害箇所を示すリソース種別、アラーム種別、および当該アラームのイベント判別を示すイベント種別を対応付けて定義したイベントマッピングファイルを取込むイベントマッピングファイル取込部と、入力されたアラーム情報が前記イベントマッピングファイル取込部で取込んだ前記イベントマッピングファイルの定義に合致するか否かを判定し、合致する場合には、イベント種別を前記イベントマッピングファイルに定義された値とし、合致しない場合には、イベント種別を当該アラーム情報のアラーム種別とし、当該イベント種別と当該アラーム情報とを対応付けて障害イベントとして、前記ルール生成および修正部により前記データベースに登録させるイベント種別変換部と、を備える。

本発明の一態様によれば、障害原因イベントをより正確に判定することが可能となる。

図１は、本発明の一実施形態に係るルール生成部全体の構成を示すブロック図である。 図２は、同実施形態に係るアラーム情報の項目構成を例示する図である。 図３は、同実施形態に係るイベントマッピングファイルの項目構成を例示する図である。 図４は、同実施形態に係るイベントデータベースに格納されるイベント情報の項目構成を例示する図である。 図５は、同実施形態に係る処理内容を示す変換部による処理全体の内容を示すフローチャートである。 図６は、同実施形態に係る図５の取込み済のイベント情報に対するイベント種別の変換処理の詳細な内容を示すサブルーチンのフローチャートである。 図７は、同実施形態に係る処理内容を示す図５の新規取込みのイベント情報に対するイベント種別の変換処理の詳細な内容を示すサブルーチンのフローチャートである。 図８は、同実施形態に係る図６および図７のイベントマッピングファイルの定義に基づいたイベント種別の変換処理の詳細を示すサブルーチンのフローチャートである。 図９は、同実施形態に係るイベント種別の定義ファイルの例を示す図である。 図１０は、同実施形態に係るイベントマッピングファイルに対する変換機能の形態を列挙する図である。 図１１は、同実施形態に係る第１の実施例としてイベントを分散する場合について説明する図である。 図１２は、同実施形態に係る第２の実施例としてイベントを集約する場合について説明する図である。 図１３は、同実施形態に係る第３の実施例としてイベントを編集する場合について説明する図である。

以下、本発明を多数のネットワーク接続環境に設置されるルール生成装置に適用した場合の一実施形態について説明する。

［構成］
図１は、本発明の一実施形態に係るルール生成装置全体の構成を示すブロック図である。ルール生成装置は、図示するようにイベント取込部１１、変換部１２、イベントマッピング取込部１３、ルール生成部１４、イベントデータベース（ＤＢ）１５、およびルールデータベース（ＤＢ）１６を備えている。イベント取込部１１は、新規に発生した障害イベント（新規障害とも称す）のイベント情報ＡＩを取込んで変換部１２へ出力する。本実施形態では、イベント情報ＡＩをアラーム報知を伴うアラーム情報ＡＩとも称する。

図２は、イベント取込部１１が取込むアラーム情報ＡＩの項目構成を例示する図である。図示する如く、アラーム情報は、アラームメッセージ、ノード名、リセット種別、およびアラーム種別の項目を含む。アラームメッセージは、アラーム内容の文字列（例えば「ＡＡＡ＿ＰＩＮＧ＿ＦＡＩＬ＿ＸＸＸ」）である。ノード名は、ノードを一意に特定するキーである当該ノード名（例えば「ＳＷ００１ａ」）である。リソース種別は、装置筐体のどの部位で障害イベントが発生したのかを示す種別（例えば「ｃｈａｓｓｉｓ」「ｃａｒｄ」「ｐｏｒｔ」）である。アラーム種別は、当該アラームの種別（例えば「ＰｉｎｇＭｏｎｉｔｏｒ（Ｐ０００１）」）であり、事前にユーザ（オペレータ）により設定される。

なお、アラーム情報ＡＩとしては他にタイムスタンプやＯＩＤ（オブジェクト識別子）等の項目も含むが、本実施形態には直接関係しないものとして記載を省略する。

変換部１２は、ルールの条件部として使うイベント１つ１つの定義をイベント種別を用いて外部定義化したイベントマッピングファイルＩＭＦを、イベントマッピング取込部１３により取込んだ上で保持させて、当該イベントマッピングファイルを参照する。

図３は、イベントマッピングファイルＩＭＦの項目構成を例示する図である。イベントマッピングファイルＩＭＦは、正規化アラームメッセージ、リソース種別、アラーム種別、およびイベント種別の各項目を含む。正規化アラームメッセージは、各種ネットワークで取扱われるアラームメッセージを取り纏めるための正規化されたアラーム内容の文字列（例えば「（正規化文字列）＋ＰＩＮＧ＿ＦＡＩＬ＋（正規化文字列））である。リソース種別は、装置筐体のどの部位で障害イベントが発生したのかを示す種別（例えば「ｃｈａｓｓｉｓ」「ｃａｒｄ」「ｐｏｒｔ」）である。アラーム種別は、当該アラームの種別（例えば「ＰｉｎｇＭｏｎｉｔｏｒ（Ｐ０００１）」）であり、事前にユーザ（オペレータ）により設定される。イベント種別は、当該アラームのイベント判別を示す種別（例えば「ＰＩＮＧ＿ＦＡＩＬ＿ａ」）である。

変換部１２は、イベントマッピング取込部１３が取込んで保持するイベントマッピングファイルＩＭＦに基づき、イベント取込部１１が取込んだアラーム情報ＡＩのイベント種別が合致するか否かにより、適宜必要に応じて、イベント情報ＡＩのイベント種別を修正した後にルール生成部１４へ出力する一方で、イベントマッピング取込部１３が保持するイベントマッピングファイルＩＭＦの内容を更新する。

ルール生成部１４は、イベントデータベース（ＤＢ）１５およびルールデータベース（ＤＢ）１６と接続される。ルール生成部１４は、新規の障害である新規障害に関連付けられた障害イベントの取り得る１以上の組み合わせを全通り生成してイベントデータベース１５に登録し、新規障害の障害イベントの組み合わせと、イベントデータベース１５に格納される過去の障害である１以上の過去障害のそれぞれの障害イベントとから、最も発生していない組み合わせと判定されるユニークパターンを、新規障害が発生するごとに抽出する。その上でルール生成部１４は、障害ごとに対応するユニークパターンを条件部とし、障害要因情報を結論部として、ルールデータベース１６に格納するルール情報ＲＬを必要に応じて新規に生成、または修正する。

図４は、イベントデータベース１５に格納されるイベント情報の項目構成を例示する図である。図示する如く、イベント情報は、アラームメッセージ、ノード名、リセット種別、アラーム種別、およびイベント種別の項目を含む。アラームメッセージは、アラーム内容の文字列（例えば「ＡＡＡ＿ＰＩＮＧ＿ＦＡＩＬ＿ＸＸＸ」）である。ノード名は、ノードを一意に特定するキーである当該ノード名（例えば「ＳＷ００１ａ」）である。リソース種別は、装置筐体のどの部位で障害イベントが発生したのかを示す種別（例えば「ｃｈａｓｓｉｓ」「ｃａｒｄ」「ｐｏｒｔ」）である。アラーム種別は、当該アラームの種別（例えば「ＰｉｎｇＭｏｎｉｔｏｒ（Ｐ０００１）」）であり、事前にユーザ（オペレータ）により設定される。イベント種別は、当該アラームのイベント判別を示す種別（例えば「ＰＩＮＧ＿ＦＡＩＬ＿ａ」）である。

ルールデータベース１６に格納されるルール情報ＲＬは、ルール名と、ＩＦ－ＴＨＥＮルールの条件部（ＩＦ部）である障害イベントと、同ルールの結論部（ＴＨＥＮ部）である、障害箇所および障害要因を含む障害要因情報とが対応付けられた構成を有する。

［動作］
以下、変換部１２がイベントマッピングファイルＩＭＦの定義を用いて、１以上の新規の障害イベントのイベント情報ＡＩに対応する際の処理動作について説明する。
図５は、イベント取込部１１が新規の障害イベントとして１以上のイベント情報ＡＩを取込んだ際に、変換部１２が実行する処理全体の内容を示すフローチャートである。

まず変換部１２は、イベントマッピング取込部１３によりイベントマッピングファイルＩＭＦを取込ませて保持させる（ステップＳ１０１）。

変換部１２は、イベントマッピング取込部１３で得たイベントマッピングファイルＩＭＦに基づいて、イベントデータベース１５に取込み済の過去の障害イベントのイベント種別の変換処理を実行する（ステップＳ１０２）。

図６は、この取込み済の過去のイベント情報に対するイベント種別の変換処理の詳細な処理内容を示すサブルーチンのフローチャートである。

まず変換部１２は、ルール生成部１４によりイベントデータベース１５から未処理のイベント情報のうちの１行分を取り出させる（ステップＳ２０１）。

変換部１２は、取り出したイベント情報が、イベントマッピング取込部１３で取込んだイベントマッピングファイルＩＭＦの定義に合致するか否かを判断する（ステップＳ２０２）。

ここで取り出した過去のイベント情報が、イベントマッピング取込部１３で取込んだイベントマッピングファイルＩＭＦの定義に合致すると判断した場合にのみ（ステップＳ２０２のＹＥＳ）、変換部１２は取り出したイベント情報中のイベント種別を、イベントマッピングファイルＩＭＦの定義に基づいて変換する（ステップＳ２０３）。このイベント情報の変換の詳細な処理内容については後述する。

変換部１２は、イベント種別を変換した過去のイベント情報を、あらためてルール生成部１４によりイベントデータベース１５に格納させることで、当該イベント情報の更新を実行する（ステップＳ２０４）。

またステップＳ２０２において、取り出した過去のイベント情報が、イベントマッピング取込部１３で取込んだイベントマッピングファイルＩＭＦの定義に合致しないと判断した場合（ステップＳ２０２のＮＯ）、変換部１２はステップ２０３での当該イベント情報中のイベント種別の変換処理を行わずに、そのままルール生成部１４によりイベントデータベース１５に格納させることで、当該イベント情報の更新を実行する（ステップＳ２０４）。

こうして、イベントデータベース１５から取り出した過去のイベント情報がイベントマッピングファイルＩＭＦの定義と合致するか否かにより、適宜必要に応じたイベントデータベース１５に格納しているイベント情報のイベント種別の更新処理を実行した後に、変換部１２は、イベントデータベース１５でまだ未処理のイベント情報があるか否かを判断する（ステップＳ２０５）。

イベントデータベース１５でまだ未処理の過去のイベント情報があると判断すると（ステップＳ２０５のＮＯ）、変換部１２はステップＳ２０１からの処理に戻って、イベントデータベース１５に格納されている未処理の過去のイベント情報に対する同様の処理を実行する。

こうしてステップＳ２０１～Ｓ２０５の処理を繰り返し実行し、イベントデータベース１５でまだ未処理の過去のイベント情報に関して、イベントマッピングファイルＩＭＦの定義と合致するか否かに応じたイベント種別の変換処理を実行する。

そして、ステップＳ２０５において、イベントデータベース１５でもう未処理の過去のイベント情報はないと判断すると（ステップＳ２０５のＹＥＳ）、以上で変換部１２は、イベントデータベース１５に格納されている未処理の過去のイベント情報がないものとして、図６のサブルーチンを終了して、図５のメインルーチンに戻る。

図５のメインルーチンにおいて、次に変換部１２は、新規に入力した１以上のイベント情報を一括して取込む（ステップＳ３０１）。

変換部１２は、取込んだ新規の１以上のイベント情報中から未処理のイベント情報１行分を取り出させる（ステップＳ３０２）。

変換部１２は、取り出したイベント情報が、イベントマッピング取込部１３で取込んだイベントマッピングファイルＩＭＦの定義に合致するか否かを判断する（ステップＳ３０３）。

ここで取り出した新規のイベント情報が、イベントマッピング取込部１３で取込んだイベントマッピングファイルＩＭＦの定義に合致すると判断した場合にのみ（ステップＳ３０３のＹＥＳ）、変換部１２は取り出したイベント情報中のイベント種別を、イベントマッピングファイルＩＭＦの定義に基づいて変換する（ステップＳ３０４）。このイベント情報の変換の詳細な処理内容については後述する。

変換部１２は、イベント種別を変換した過去のイベント情報を、ルール生成部１４によりイベントデータベース１５に格納させ、イベントデータベース１５に登録されるイベント情報を更新させる（ステップＳ３０５）。

またステップＳ３０３において、取り出した新規のイベント情報が、イベントマッピング取込部１３で取込んだイベントマッピングファイルＩＭＦの定義に合致しないと判断した場合（ステップＳ３０３のＮＯ）、変換部１２はステップ３０４での当該イベント情報中のイベント種別の変換処理を行わずに、そのままルール生成部１４によりイベントデータベース１５にイベント情報を新規に格納させることで、イベントデータベース１５に登録されるイベント情報を更新させする（ステップＳ３０５）。

こうして、新規に取込んだイベント情報がイベントマッピングファイルＩＭＦの定義と合致するか否かにより、適宜必要に応じてイベント種別を変換したイベント情報をイベントデータベース１５に更新登録させた後に、変換部１２は、まだ未処理の新規のイベント情報があるか否かを判断する（ステップＳ３０６）。

取込んだ新規のイベント情報でまだ未処理のものがあると判断すると（ステップＳ３０６のＮＯ）、変換部１２はステップＳ３０２からの処理に戻って、イベント取込部１１が取込んだ新規の未処理のイベント情報に対する同様の処理を実行する。

こうしてステップＳ３０２～Ｓ３０６の処理を繰り返し実行し、イベント取込部１１が取込んだ新規の未処理のイベント情報に関して、イベントマッピングファイルＩＭＦの定義と合致するか否かに応じたイベント種別の変換処理を実行する。

そして、ステップＳ３０６において、イベント取込部１１が取込んだ新規のイベント情報でもう未処理のものはないと判断すると（ステップＳ３０６のＹＥＳ）、以上で変換部１２は、イベント取込部１１が取込んだ新規の未処理のイベント情報がないものとして、図７のサブルーチンを終了し、図５のメインルーチンにおいても処理を終了する。

図８は、図６のステップＳ２０３、および図７のステップＳ３０４における、イベントマッピングファイルＩＭＦの定義に基づいた過去および新規のイベント情報中のイベント種別の変換処理の詳細を示すサブルーチンのフローチャートである。

変換部１２は、まずアラーム情報（イベント情報）を１行分取込む（ステップＳ４０１）。変換部１２は、取込んだアラーム情報中のアラームメッセージが、イベントマッピングファイルＩＭＦの正規化されたアラームメッセージと合致するか否かを判断する（ステップＳ４０２）。

取込んだアラーム情報中のアラームメッセージが、イベントマッピングファイルＩＭＦの正規化されたアラームメッセージと合致すると判断した場合（ステップＳ４０２のＹＥＳ）、変換部１２は、イベントデータベース１５に格納されているイベント情報のイベント種別を、該当するイベントマッピングファイルＩＭＦで定義されたイベント種別に合わせて変換し（ステップＳ４０３）、以上で図８の変換処理を終えて、図６または図７の処理に戻る。

またステップＳ４０２において、取込んだアラーム情報中のアラームメッセージが、イベントマッピングファイルＩＭＦの正規化されたアラームメッセージとは合致しないと判断した場合（ステップＳ４０２のＮＯ）、変換部１２は、イベントデータベース１５に格納されているイベント情報のイベント種別を、取込んだアラーム情報のアラーム種別を用いて変換し（ステップＳ４０４）、以上で図８の変換処理を終えて、図６または図７の処理に戻る。

なお、イベントマッピング取込部１３が取込むイベントマッピングファイルＩＭＦ中のイベント種別に関して、次の２種類の手法を提案する。すなわち、
１．イベント種別は、任意に記載する手法
２．イベント種別は、後述するイベント種別の定義ファイルに従って、予め決められたものから選択する手法
のいずれかである。

図９は、２．の手法で利用するイベント種別の定義ファイルの例を示す図である。図９では、温度（ＴＥＭＰＥＲＡＴＵＲＥ）に関する各種の障害状況や接続（ＬＩＮＫ）が断たれている障害状況等を定義している。

２．の手法を用いた場合、イベント情報ＡＩを新規に取込む対象となるネットワークが複数あった場合でも、イベント種別が共通化されることで、イベント種別を外部定義化するためのイベントマッピングファイルＩＭＦが汎用化され、異なるネットワーク間で当該イベントマッピングファイルＩＭＦを共通化して利用することが可能となる。

次に、変換部１２によりイベントマッピング取込部１３が取込むイベントマッピングファイルＩＭＦの定義の変更機能について説明する。
図１０は、変換部１２がイベントマッピングファイルＩＭＦに対する機能変更の形態を列挙している。変換部１２は、イベントマッピングファイルＩＭＦに対して、追加、削除、および編集を行うことを可能とする。

イベントマッピングファイルＩＭＦの追加は、具体的にはイベント種別の分散を行うことで実現される。イベントマッピングファイルＩＭＦの集約は、具体的にはイベント種別の集約を行うことで実現される。イベントマッピングファイルＩＭＦの編集は、具体的にはイベント種別の変更、またはリソース種別の変更を行うことで実現される。

図１１は、本実施形態の第１の実施例として、あるルールの条件部（ＩＦ部）として使用されているイベントを分散する場合について説明する図である。図１１（Ａ）は、イベント種別の分散を行なう前のイベントマッピングファイルＩＭＦを例示している。ここでイベント種別「Ｔｅｍｐｅｒａｔｕｒｅ」に複数のアラームメッセージがマッピングされた状態を例示している。なお、図１１（Ａ）における正規化表現は一例であり、以下に正規化表現が現出する箇所も同様に一例を示すものとする。

図１１（Ｂ）は、イベント種別を分散した後のイベントマッピングファイルＩＭＦを例示する。ルールの条件部に使用されるイベントを温度域（０－５０［℃］／６０－９０［℃］）に応じて分散し、それぞれに異なるイベント種別（ＴＥＭＰＥＲＡＴＵＲＥ＿ＩＮＦＯ／ＴＥＭＰＥＲＡＴＵＲＥ＿ＣＲＩＴＩＣＡＬ）を設定した場合を例示している。

そのため、図１１（Ｃ）に示す、適用前のルールＡの条件部に使用されるイベントが、図１１（Ｂ）に示したイベントマッピングファイルＩＭＦを適用することで分散されて、図１１（Ｄ）の適用後で示すように、異なるアラームメッセージを発するイベントとして、より正確なルールを適用させることが可能となる。

イベントマッピングファイルＩＭＦの集約は、具体的にはイベント種別の集約を行うことで実現される。
図１２は、本実施形態の第２の実施例として、あるルールの条件部（ＩＦ部）として使用されているイベントを集約する場合について説明する図である。図１２（Ａ）は、イベント種別の集約を行なう前のイベントマッピングファイルＩＭＦを例示している。ここで通番「１」のイベント種別が「ＰＩＮＧ＿ＦＡＩＬ＿α」、通番「２」のイベント種別が「ＰＩＮＧ＿ＦＡＩＬ＿β」として、別のアラームメッセージがマッピングされた状態を例示している。

図１２（Ｂ）は、イベント種別を集約した後のイベントマッピングファイルＩＭＦを例示する。通番「１」「２」のイベントマッピングファイルをともにイベント種別「ＰＩＮＧ＿ＦＡＩＬ＿α」）とした場合を例示している。

そのため、図１２（Ｃ）に示す、適用前のルールＡの条件部に使用されるイベントを集約し、図１２（Ｄ）の適用後で示すように、より正確なルールを適用させることが可能となる。

図１３は、本実施形態の第３の実施例として、あるルールの条件部（ＩＦ部）として使用されているイベントの編集（リソース種別を変更）する場合について説明する図である。図１３（Ａ）は、イベント種別「ＰＩＮＧ＿ＦＡＩＬ＿β」がマッピングされている通番「２」のイベントマッピングファイルのリソース種別が「ｃｈａｓｓｉｓ」である変更前の状態を例示している。

図１３（Ｂ）は、変更後のイベントマッピングファイルＩＭＦを例示する。通番「２」のイベントマッピングファイルのリソース種別を「ｐｏｒｔ」に変更している。

そのため、図１３（Ｃ）に示す、適用前のルールＡの条件部に使用されるイベントのリソース種別（識別が発生した箇所）が、図１３（Ｄ）の適用後で示すように「ｃｈａｓｓｉｓ」から「ｐｏｒｔ」へと変更され、より正確なルールとなる。

以上のように、変換部１２がイベントマッピングファイルＩＭＦの変更を行った場合、ルール生成部１４は、随時、変更されたイベントマッピングファイルＩＭＦに基づいて、その時点でイベントデータベース１５に格納されているイベント情報とルールデータベース１６に格納されているルールとを更新設定する。

以上のようにイベントマッピングファイルＩＭＦを変更する結果として、故障事例を通じて障害イベントの定義を随時更新でき、より正確なルールが生成できる。

［実施形態の効果］
以上に詳述した如く本実施形態によれば、障害イベントを外部定義化したイベントマッピングファイルの変更により、イベント定義を随時更新することができ、障害原因イベントをより正確に判定することが可能となる他、オペレータによる負担を軽減して、ネットワーク障害からの復旧を迅速化できる。

なお本発明の装置は、コンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能となる。

その他、本願発明は、前記実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、前記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適当な組み合わせにより種々の発明が抽出され得る。例えば、実施形態に示される全構成要件からいくつかの構成要件が削除されても、発明が解決しようとする課題の欄で述べた課題が解決でき、発明の効果の欄で述べられている効果が得られる場合には、この構成要件が削除された構成が発明として抽出され得る。

１１…イベント取込部、
１２…変換部、
１３…イベントマッピング取込部、
１４…ルール生成部、
１５…イベントデータベース（ＤＢ）、
１６…ルールデータベース（ＤＢ）、
ＡＩ…イベント情報（アラーム情報）、
ＩＭＦ…イベントマッピングファイル、
ＲＬ…ルール。

Claims (5)

1. 障害ごとに、障害箇所および障害要因を含む障害要因情報と、この障害により発生する障害イベントと、条件部と結論部を含むルールに対応付けられたルール名と、を関連付けて登録しているデータベースと、
   新規の障害である新規障害に関連付けられた障害イベントの取り得る１以上の組み合わせを全通り生成し、新規障害の障害イベントの組み合わせと過去の障害である１以上の過去障害のそれぞれの障害イベントとから最も発生していない組み合わせと判定されるユニークパターンを、前記新規障害が発生するごとに抽出するユニーク判定部と、
   障害ごとに対応するユニークパターンに応じて、前記ルールを生成または修正するルール生成および修正部と、
   正規化されたアラームの内容を示す正規化アラームメッセージ、イベントの障害箇所を示すリソース種別、アラーム種別、および当該アラームのイベント判別を示すイベント種別を対応付けて定義したイベントマッピングファイルを取込むイベントマッピングファイル取込部と、
   入力されたアラーム情報が前記イベントマッピングファイル取込部で取込んだ前記イベントマッピングファイルの定義に合致するか否かを判定し、合致する場合には、イベント種別を前記イベントマッピングファイルに定義された値とし、合致しない場合には、イベント種別を当該アラーム情報のアラーム種別とし、当該イベント種別と当該アラーム情報とを対応付けて障害イベントとして、前記ルール生成および修正部により前記データベースに登録させるイベント種別変換部と、
   を備えるルール生成装置。
2. 前記イベントマッピングファイル取込部で取込む前記イベントマッピングファイル中のイベント種別は、予め定められた定義ファイル中から選択されたものである、
   請求項１に記載のルール生成装置。
3. 前記イベント種別変換部は、前記イベントマッピングファイルの定義を変更し、
   前記ルール生成および修正部は、定義が変更された前記イベントマッピングファイルに基づいて登録している内容を更新する、
   請求項１に記載のルール生成装置。
4. 障害ごとに、障害箇所および障害要因を含む障害要因情報と、この障害により発生する障害イベントと、条件部と結論部を含むルールに対応付けられたルール名と、を関連付けてデータベースに登録し、
   新規の障害である新規障害に関連付けられた障害イベントの取り得る１以上の組み合わせを全通り生成し、新規障害の障害イベントの組み合わせと過去の障害である１以上の過去障害のそれぞれの障害イベントとから最も発生していない組み合わせと判定されるユニークパターンを、前記新規障害が発生するごとに抽出し、
   障害ごとに対応するユニークパターンに応じて、前記ルールを生成または修正し、
   正規化されたアラームの内容を示す正規化アラームメッセージ、イベントの障害箇所を示すリソース種別、アラーム種別、および当該アラームのイベント判別を示すイベント種別を対応付けて定義したイベントマッピングファイルを取込み、
   入力されたアラーム情報が前記イベントマッピングファイルの定義に合致するか否かを判定し、合致する場合には、イベント種別を前記イベントマッピングファイルに定義された値とし、合致しない場合には、イベント種別を当該アラーム情報のアラーム種別とし、当該イベント種別と当該アラーム情報とを対応付けて障害イベントとして、前記データベースに登録させる、
   ことを有するルール生成方法。
5. 請求項１乃至３いずれかに記載のルール生成装置が備える各部の処理を、前記ルール生成のプロセッサに実行させるプログラム。

Images