WO2010038327A1 - イベント情報取得外のｉｔ装置を対象とする根本原因解析方法、装置、プログラム。 - Google Patents

イベント情報取得外のｉｔ装置を対象とする根本原因解析方法、装置、プログラム。 Download PDF

Info

Publication number
WO2010038327A1
WO2010038327A1 PCT/JP2009/000285 JP2009000285W WO2010038327A1 WO 2010038327 A1 WO2010038327 A1 WO 2010038327A1 JP 2009000285 W JP2009000285 W JP 2009000285W WO 2010038327 A1 WO2010038327 A1 WO 2010038327A1
Authority
WO
WIPO (PCT)
Prior art keywords
event
information
computer
analysis method
information processing
Prior art date
Application number
PCT/JP2009/000285
Other languages
English (en)
French (fr)
Inventor
知弘 森村
崇之 永井
菅内　公徳
黒田　沢希
偉浩 荒砥
Original Assignee
株式会社 日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社 日立製作所 filed Critical 株式会社 日立製作所
Priority to US12/444,398 priority Critical patent/US8020045B2/en
Priority to EP09817371.9A priority patent/EP2336890A4/en
Priority to CN200980111739.7A priority patent/CN101981546B/zh
Publication of WO2010038327A1 publication Critical patent/WO2010038327A1/ja
Priority to US13/211,694 priority patent/US8479048B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3495—Performance evaluation by tracing or monitoring for systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0709—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in a distributed system consisting of a plurality of standalone computer nodes, e.g. clusters, client-server systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/079—Root cause analysis, i.e. error or fault diagnosis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3452—Performance evaluation by statistical analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/16—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using machine learning or artificial intelligence
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3476—Data logging
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/86—Event-based monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]

Definitions

  • the technology disclosed in the present specification relates to an operation management method, an apparatus, a system, a program, a medium including a program, and a program distribution apparatus for managing the operation of an information processing system including a server computer, a network apparatus, and a storage apparatus.
  • IT systems In recent years, IT systems (IT is an abbreviation of Information Technology. In the following, IT systems are sometimes referred to as information processing systems.) There are various IT devices (hereinafter sometimes referred to as information processing devices) via a network. The connection increases the complexity and scale, and the failure affects various IT devices via the network.
  • Patent Document 1 discloses an event correlation technique for analyzing fault locations and causes using event information notified of fault contents from an IT device. .
  • the event correlation technique can also be said to be a technique for estimating the root cause by utilizing the correlation of events transmitted from a computer at the time of failure.
  • Non-Patent Document 2 the root cause is quickly determined by using an inference engine based on an expert system by creating a rule by pairing a combination of the technology and the event at the time of the failure with a presumed root cause.
  • Technology is disclosed.
  • the operation management server that performs processing necessary for operation management cannot collect events of all IT devices connected to the network, the operation management server limits the IT devices that receive (or acquire) event information, Display analysis results using root cause analysis technology.
  • the analysis technique is based on the premise that event information can be acquired from all IT devices connected to the network.
  • event information can be acquired from all IT devices connected to the network.
  • the failure-occurring IT device analyzes The rule is not applied because it is out of scope, and the root cause of the failure cannot be determined.
  • the present invention relates to an apparatus, system, and method related to analysis of events occurring in a plurality of information processing apparatuses in an information processing system including a plurality of information processing apparatuses, a screen output apparatus, a processor, and an operation management server having a memory. , Providing programs and storage media.
  • each of the plurality of information processing devices is a part of the plurality of information processing devices to be accessed in order to use a network service as a client.
  • a plurality of event acquisition target devices that are part of the plurality of information processing devices and from which the operation management server acquires event information are stored in the memory.
  • An event including the first event type related to the network service that is registered in the configuration information included in the plurality of information processing apparatuses and the second event type is different from the first event type related to the network service Event corresponding to the second event type when an event including that event type is detected
  • Correlation analysis rule information indicating that an event corresponding to the first event type may occur due to occurrence is stored in the memory, and a plurality of the event information collected from the plurality of event acquisition target devices is stored in the memory
  • the first event information including the first event type is identified from the plurality of event information stored in the memory based on the correlation analysis rule information, and based on the configuration information,
  • a failure factor device is identified, and based on the correlation analysis rule information and the configuration information, the failure factor device recognizes the plurality of event acquisition devices. If the target device is not a target device, the first event acquisition target device, the first event type, the failure factor device, and the second event type are transmitted to the screen output device to identify information. To the screen output device, it is estimated that an event corresponding to the first event information generated in one event acquisition target device is caused by an event of the second event type occurring in the failure factor device. Display.
  • the correlation analysis rule information includes a first information processing device that is one of the plurality of information processing devices in which the first event type has occurred, and the plurality of information processing in which the second event type has occurred.
  • Topology condition information indicating a topology condition between a second information processing apparatus that is one of the apparatuses may be included, and the factor specifying step may specify the failure factor apparatus based on the topology condition information.
  • the event-related information processing device based on the correlation analysis rule information and the configuration information, a part of the plurality of information processing devices that are server devices of the plurality of event acquisition target devices and are not included in the plurality of event acquisition target devices.
  • the event-related information processing device is identified, the event information can be acquired from the event-related information processing device, and the event information can be acquired from the event-related information processing device based on the result of the investigation
  • information indicating the event-related information processing device may be transmitted to the screen output device to display on the screen output device that event information can be acquired from the event-related information processing device.
  • the event information acquisition possibility investigation is performed by the operation management server with respect to an information processing apparatus that has an IP address included in a range of IP addresses that is set in advance as the investigation range. It may be based on the result of access based on the procedure.
  • the failure factor device is a storage device that has a controller and provides a logical volume
  • the network service is a service that provides the logical volume by a block access type protocol
  • the first event type May be a failure of the controller
  • the first event type may be an access failure to the logical volume.
  • the plurality of event information includes the second event type, Identify the second event information from which the failure factor device is the acquisition source, and specify information identifying the first event acquisition target device, the first event information, the failure factor device, and the second event information.
  • the operation management server By transmitting to the screen output device, an event corresponding to the first event information generated in the first event acquisition target device occurs and an event corresponding to the second event information generated in the failure factor device occurs. It may be displayed on the screen output device that this is a factor.
  • the operation management server registers the information processing apparatus from which the event information is to be acquired as the event acquisition target apparatus in the configuration information, and uses a plurality of event information stored in the operation management server. Identifying event information that matches pre-stored rules, identifying the server device of the network service to which the event information relates, and causing the event to occur in the client information processing device that generated the event information It is displayed that the event is related to the network service.
  • an analysis result can be displayed even when an event occurs in an IT device that does not acquire event information.
  • FIG. 1 is an overall configuration diagram of an operation management system of the present invention.
  • 1 schematically shows an overall processing flow of failure analysis, which is one embodiment of the present invention.
  • 1 schematically shows one typical configuration example of an IT system targeted by the present invention.
  • Fig. 3 schematically shows correlation analysis rule information used in the operation management system of the present invention.
  • FIG. 5 schematically shows a topology specified as an application target in the correlation analysis rule information shown in FIG. 4.
  • 2 schematically shows a rule application destination management table which is an example of a table-like data structure for managing a list of IT devices to which rules are applied. It is a generation processing flow of application information of correlation analysis rule information which is one of the embodiments of the present invention.
  • 2 schematically shows configuration information related to an IP-SAN storage of a management target IT device held by configuration management in the first embodiment of the present invention. It is an example of a screen display which proposes to a user to include an unmanaged IT apparatus in a management object in a first embodiment of the present invention.
  • 2 schematically shows an unmanaged IT device management table as an example of a table-like data structure for managing unmanaged IT devices in the first embodiment of the present invention.
  • 2 schematically shows a rule application destination management table that holds a list of rule application destination IT devices in the first embodiment of the present invention.
  • FIG. 2 schematically shows connection information of an FC-SAN storage device acquired by a computer serving as an FC-SAN client in the first embodiment of the present invention.
  • 2 schematically shows information related to FC-SAN storage of a management target IT device held by configuration management in the first embodiment of the present invention.
  • FIG. 3 schematically shows identification information and a public name related to a file server that can be acquired by a computer serving as a file server in the first embodiment of the present invention.
  • the screen display processing flow of a failure analysis result in 1st embodiment of this invention is shown typically.
  • 3 schematically shows an example of failure analysis result data when an unmanaged IT device is the cause of a failure in the first embodiment of the present invention.
  • FIG. 3 schematically shows an example of a screen display configuration of a failure analysis result when an unmanaged IT device is the cause of a failure in the first embodiment of the present invention.
  • 4 schematically shows a screen display of a failure analysis result when an unmanaged IT device is the cause of a failure in the first embodiment of the present invention.
  • the whole processing flow of failure analysis in a second embodiment of the present invention is typically shown. It is a generation processing flow of application information of correlation analysis rule information which is one of the embodiments of the present invention.
  • FIG. 1 is an overview diagram showing one configuration of an information processing system for carrying out the present invention.
  • the information processing system includes an operation management system and an operation management server.
  • the operation management system monitors and manages the computers, network switches (NW switches), and storage devices that make up the IT system as management targets and the operation management server N0.
  • the operation management server N0 of the present invention has an event receiver C0 that receives event information such as state changes, failure information, and notification information in the IT device to be managed, and a rule R0 that is defined in advance based on the received event information.
  • a rule engine C1 that performs failure analysis based on the configuration, a configuration management C3 that manages configuration information of IT devices to be managed, and a screen display unit C2 that outputs information necessary for managing these operations to the screen. It is equipped.
  • the operation management system includes a screen output device M1 that is a device for displaying information for operation management on the screen based on control of the screen display unit and output data, and is connected to the operation management server N0.
  • the screen output device M1 may be a display device connected to the operation management server in the first place. However, if the analysis result information can be displayed to the administrator of the operation management system, the screen output device M1 may be replaced with another device. May be.
  • the screen output device M1 as a screen output device, an e-mail transmitted from the operation management server N0 can be received and displayed, or based on analysis result information transmitted from the operation management server N0.
  • the rule engine C1 further reads analysis rule information R0 (hereinafter also referred to as correlation analysis rule information) for event correlation analysis, acquires configuration information T0 from the configuration management C3, and stores the rules in the IT system.
  • a rule application unit C11 that performs processing for application to the IT device, and a rule application destination management table C130 that manages application information that is information for applying the rule to the IT device in the rule application unit.
  • a rule memory C13 which is a working memory for performing analysis processing, and an event analysis processing unit C12 that receives event information received by the event receiving unit C0 and performs correlation analysis of events.
  • the rule application destination management table C130 may be stored in the memory of the operation management server N0 even if it does not exist in the rule memory C13.
  • the correlation analysis rule information may be created and stored by the administrator of the operation management server N0, may be stored in the memory by including the correlation analysis rule information in the program of the present invention described later, or Correlation analysis rule information may be stored in the memory by program initialization processing.
  • hardware constituting the operation management server N0 includes a processor, a memory (including a secondary storage device represented by a semiconductor memory and an HDD), and a network port. Each hardware is connected by an internal network such as a bus.
  • the event receiving unit C0, the route engine C1, the screen display unit C2, and the configuration management C3 are stored in the memory of the operation management server N0 and can be realized as programs executed by the processor. Some or all of the functions may be realized by hardware.
  • a program including the event receiving unit C0, the route engine C1, the screen display unit C2, and the configuration management C3 is referred to as an event analysis program.
  • the correlation analysis rule information R0, the configuration information T0, and the rule application destination management table C130 are stored in the memory of the operation management server N0. Further, the configuration information T0 will be described later, IP-SAN storage device connection information (FIG. 8), IP-SAN storage information (FIG. 9), FC-SAN storage device connection information (FIG. 13), FC-SAN. Information on storage (FIG. 14), identification information on file server, and public name (FIG. 15) are included. Also, the non-managed IT device management table (FIG. 11), which will be described later, will be described as being included in the configuration information. However, if it is stored in the memory of the operation management server N0, it is stored as information other than the configuration information T0. May be.
  • the identification information and public name related to the file server, and the unmanaged IT device management table do not need to have a specific format or data structure such as a text file, a table, or a queue structure, and may include information described later.
  • the operation management server stores event information received from various IT devices to be managed in an event database defined in the memory as an event entry.
  • the event database may have any data structure as long as one or more event entries are included.
  • the event information includes the event content, but may include the event occurrence time. Further, the event database may leave past event information as a history according to a predetermined condition. In addition, when stored in the memory in the event database, the operation management server program (particularly the configuration management C3) associates the identification information of the event information acquisition target IT device with the event information reception time by the operation management server. It may be included.
  • the event content includes at least the type of event, and in some cases, the event content may include information that identifies the hardware and software in the IT device in which the event occurred.
  • the operating state of the IT device has become a predetermined state (for example, the occurrence of a hardware failure or a software failure is included in this).
  • the health check result is a predetermined result.
  • the IT device has received a network access that satisfies a predetermined condition (for example, when the number of requests received by the IT device exceeds a predetermined number of times, or when a network packet identified as a requested DoS attack is (This includes the case of receiving a predetermined number of times, and the case of receiving a request from an IT device other than the specified IT device)
  • the event analysis program is stored in the memory by a method of installation or copying from a medium such as a DVD-ROM or CD-ROM storing the program, or the program from a program distribution server that can communicate with the operation management server N0.
  • a method of receiving (or information that can generate the program on the memory) is conceivable, but other methods may be used
  • the root cause of the failure of the information processing system is analyzed by the operation management server N0 described above.
  • an IT device to be managed is designated in advance, and necessary information is received from the IT device with event information as an analysis target by correlation analysis.
  • the IT devices to be received are determined because the management of all IT devices connected to the network is necessary for the management server processor, memory, hard disk and other storage devices This is to avoid this problem by narrowing down the objects to be managed.
  • the management tool is a commercial tool, the number of licenses is often limited depending on the type and number of IT devices to be managed. For this reason, in the IT system, for event information analysis, the operation management server N0 acquires or is permitted to acquire event information (hereinafter, the IT device to be monitored, or the IT device to be managed or managed).
  • IT device in-management IT device, or event acquisition target device
  • similar expressions apply to computers, switches, routers, storage devices that are the actual status of IT devices
  • operation management server IT device in which N0 does not acquire or suppress acquisition of event information hereinafter referred to as an unmonitored IT device, an unmanaged IT device, an unmanaged IT device, an unmanaged IT device, or an event-related information processing device
  • an unmonitored IT device an unmanaged IT device, an unmanaged IT device, an unmanaged IT device, or an event-related information processing device
  • the IT devices that have been found, confirmed, or managed at least once in the operation management server N0 Classified as having never been discovered, confirmed, or controlled.
  • an IT device that has been managed even once, or an IT device that has been discovered or confirmed may be discovered, even if it is not equivalent to an IT device that is monitored and managed
  • there is a configuration in which configuration information acquired by confirmation for example, an IP address of an IT device, a host name, or a FQDN (Fully Qualified Domain Name) is held and managed internally.
  • an unmanaged IT device that does not have corresponding configuration information in the operation management server N0, and an unmanaged IT device in which part or all of the corresponding configuration information is already stored in the operation management server N0. It is defined as an IT device that is not managed.
  • Cases that are not managed by the operation management system include cases where IT devices within the management target use services provided globally, such as DNS servers, firewalls, access rights problems, network configurations, There are cases where information collection for management by the operation management system cannot be sufficiently performed due to inadequate access means.
  • the present invention is intended for correlation analysis between a plurality of IT devices existing on a network. However, even if events due to factors that are inherently correlated devices occur at the same time, the clocks of the individual devices are shifted, and the event information transfer timing is also shifted.
  • the event information to be analyzed is event information generated or received within a time width (period) predetermined by the program developer or a period determined by the administrator. In addition, even if a factor occurs, the occurrence of an event related to the factor may occur (for example, when a predetermined network service is received from a server computer via a caching process such as a Web service or a DNS service) ), It is necessary to analyze the period rather than the specific time.
  • a suitable event is preferably an item that occurs dynamically to some extent.
  • the time at which an event occurs in the IT device (or reception by the operation management server) due to the occurrence of a predetermined factor, and the event occurs in another IT device (or operation management in response to the factor) More preferably, the difference in time received by the server is a factor of an event within the period.
  • the information considered as the configuration information is preferably the type and number of hardware constituting the IT device, communication identification information and name necessary for communicating with the device, and some IT device management Although it can be changed by a person, quasi-static information is preferable.
  • FIG. 2 shows a rough processing flow of one embodiment of the present invention based on the above configuration.
  • the rule engine C1 reads the correlation analysis rule information R0 in advance, acquires the configuration information T0 to be managed from the configuration management C3, searches the identification information of the IT device to which the rule group R0 is applied from T0, It is stored in the rule application destination management table C130.
  • the process of S1 is a preparation for a failure analysis process by an event to be performed thereafter, and may be performed before the analysis process.
  • the analysis process is performed before the operation is started, and the rule application destination management table C130 is held in the rule memory C13 in advance.
  • the event reception unit C0 waits for the reception of an event raised from the IT device to be managed in the operation management system.
  • S3 relates to the operation operation of the operation management system, and is a step for confirming whether stop processing has been instructed, and for stopping the operation.
  • the specified cause of failure is output to the screen display unit C14.
  • the screen display unit C14 outputs and displays a screen necessary for operation management on the screen output device M1 by transmitting analysis information based on the received analysis result output data.
  • the received event information may be temporarily stored in the event database as an alternative to the processing of S2 and S4.
  • FIG. 3 is an overview diagram showing one configuration of the IT system assumed in the embodiment of the present invention.
  • the IT system of FIG. 3 is an operation management target composed of a computer N10, a computer N11, a computer N12 that are managed by the management server N0, an IP switch N21 and an FC switch N31 that are network switches, a storage device N40, and a storage device N41
  • the number of IT devices such as computers, switches, routers, storage devices, etc. described here is merely an example, and at least the IT devices that act as servers that provide network services and the clients that receive the network services are provided. It is only necessary that the IT apparatus having the role is included in the operation management system.
  • the storage device U1 of the IT device that is not managed is a storage device that has an IP-SAN interface, and provides a logical volume to the managed computer N10. Further, the storage device U2 of the IT device that is not managed is a storage device that has an FC-SAN interface, and provides a logical volume to the managed computer N13 via the managed FC switch N31.
  • the computer U3 or the computer U5 of the IT apparatus that is not managed is a file server, and the file system is open to both the managed computers N10 and N11. However, the computer U3 is in a network segment different from the operation management system. Detailed information about the computer U3 cannot be acquired from the network.
  • the file server of the computer U5 belongs to the same network segment as the operation management system, and is a computer that can be automatically detected by the operation management system. IT equipment that was not done. Further, the computer U4 of the IT device that is not managed is a DNS server, and the name resolution function is applied to all IT devices of the IT system of FIG.
  • FIG. 4 is an example of a rule that suggests that the failure of the controller of the storage apparatus is the root cause for the IT system shown in FIG.
  • a rule for identifying the root cause of failure analysis is often based on event correlation and indicates a combination of events predicted to occur and a pair of failure causing the root cause in an if-then format.
  • a rule having a meaning such as “if the condition described in if is true, the then part is true” is written.
  • the rule is described in the if-then format in the same way as a general rule such as an expert system, and information regarding the IT device to which the rule is applied is defined in the condition part of the if in advance. It shall be.
  • the rule description format itself does not have to be an if-then format, and the topology only needs to be defined in advance as some connection / relationship information that can identify the IT device to which the rule is applied.
  • the correlation analysis rule information includes one or more rule entries.
  • the rule entry may include the following information.
  • (A) A condition entry indicating a condition including the type of event to which the rule conforms. As described above, the condition entry may include the topology as a condition.
  • (B) A cause entry indicating an event that is a cause when the condition is met and a location of the IT apparatus or the hardware / software of the IT apparatus related to the event.
  • a rule R1 based on a controller failure of an IP-SAN storage device using iSCSI a rule R2 based on a controller failure of an FC-SAN storage device using Fiber Channel
  • a rule R3 whose root cause is a failure of a file server and a rule R4 whose root cause is a network non-reachability to a DNS server are defined in advance as shown in FIG.
  • FIG. 6 shows a rule application destination management table, which is information for holding an IT device to which the rule is applied, for the rule.
  • the rule application destination management table is information including a column C101 of identification information indicating a rule and a column C102 of a list of IT devices to which the rule is applied to store the identification information of an IT device to which the rule is applied. Need not be.
  • the table-like data structure may be managed by dividing the table into a plurality of table-like data structures by normalizing the table.
  • FIG. 5 shows a topology pattern in which each rule is applied to the rules R1 to R4 shown in FIG. (1) in FIG. 5 shows the topology of the connection / relation information suggested by the IF part of the rule R1, and the computer indicating the computer has an iScsiInitiator and indicates the storage device via the IpSwitch indicating the IP switch. Indicates that it is connected to the Storage iScsiTarget.
  • the iScsiTarget is an iSCSI name for identifying the connection destination of the iScsiInitiator, and the rule R1 for the combination of the computer and the storage device in which the iSCSI target of the connection destination of the computer and the iSCSI name of the iScsi port of the storage device match. Applies.
  • the IT apparatus to which rule R1 is applied is as shown in the rows L101 and L102 in FIG.
  • (2) in FIG. 5 also indicates that the computer is provided with FcHba, and FcHba is connected to FcPort of the storage device via FcSwitch, as suggested by the IF part of rule R2.
  • the connection destination port WWN WWN (WWN: World Wide Name) possessed by FcHba and FcPortWWN which is the WWN of FcPort which is the port of the Fiber Channel of the storage device are assumed to have a connection relationship, and the rule R2 Applicable.
  • the IT device to which the rule R2 is applied as a combination of these computers and storage devices is the row of L103 in FIG.
  • the IF part of rule R3 indicates the file server-client topology.
  • a computer T31 having information ImportedFileShare indicating that the file system of the file server is mounted, and a computer T33 having information ExportFileShare indicating that the file system is open to the outside are respectively connected to the client ⁇ via the IP switch T32.
  • the ImportedFileShare T311 has file server identification information (such as an IP address and FQDN (Fullly Qualified Domain Name)) and the public name of the public file system as the information about the file server of the mount source, and the ExportFileShare T331.
  • a file client is a computer pair indicated by the identification information of the file server pointed to by the ImportedFileShare, the computer has the information of the ExportFileShare, and the public name of the ExportFileShare matches the public name pointed to by the ImportedFileShare of the computer T31.
  • the topology of the DNS server and client suggested by rule R4 is to resolve the IP address and FQDN name by the computer T42, which is a DNS server providing a name resolution service, and the DNS server.
  • the client computer T41 is paired and stored in the application management table shown in FIG.
  • the configuration for topology information related to connections and relationships described in these rules is pre-defined in the system and is uniquely determined by the description of the rules.
  • FIGS. 7 and 21 show one embodiment of the present invention in detail for step S1 in the rule application unit C11 of FIG. According to this processing flow, the first embodiment will be described assuming the IT system of FIG. 3 and the rules R1 to R4 of FIG. 7 and 21 are all performed by the rule application unit. Further, it is assumed that the operation management system stores in advance IT devices that have been discovered once and can determine that the IT device has been discovered. Alternatively, if the operation management system does not have a function to automatically find an IT device in the IT system, or has a function to automatically find an IT device, but does not have a function to store the found IT device, The processing shown in FIGS. 7 and 21 is performed assuming that no discovered IT device exists.
  • S101 it is determined whether there is a rule to be read into the correlation analysis rule information information R0, that is, a rule that has not been read. As a result of the determination, if there is a rule to be read (YES), the process proceeds to S102. If not (NO), the process ends. Since the rules to be read exist as R1 to R4, YES is determined here, and the process proceeds to S102.
  • one rule is read and, for example, a mark is added or stored as a read rule so that it can be recognized that the rule has been read.
  • the rule R1 is read, the rule R1 is stored as a read rule, and the process proceeds to S103.
  • the search condition of the IT device corresponding to the topology information described in the rule is obtained, and the process proceeds to S4.
  • topology information of the rule R1 as a search condition of the IT device to which the computer having the iScsiInitiator, the storage device having the iSCSI port identified by the iScsiTarget, and the IP switch connected thereto apply the rule R1 Become.
  • the search condition is defined in advance for the rule description.
  • the client side IT device is searched from the configuration information of the management target IT device in the topology information.
  • the configuration information search is performed on the database if the configuration information is managed, and the search is performed on the file if the file is a file, regardless of the storage medium or device to be searched.
  • a computer having an iScsiInitiator indicating a client in the topology of the rule R1 is searched from the configuration information.
  • the identification information of the computer N10 and the computer N11 is found by the search.
  • one of the unselected IT devices is selected and assumed to be selected.
  • the computer N10 is selected, and the computer N10 is selected, and the process proceeds to S107.
  • the server-side IT device information includes information for identifying the server-side IT device (IP address, host name, FQDN, etc.), information on the service to be provided (public name of the public file system on the file server ( Or a LUN number for identifying a disk volume of a storage device, an iSCSI name of a connection destination, or an FC Port WWN).
  • ConnectedIscsiTarget which is the iSCSI name of the connection destination shown in FIG. 8, is acquired as information on the storage device on the server side facing the computer N10.
  • S108 it is determined whether there is information on the server-side IT device acquired in S107 that has not been searched for an IT device corresponding to the information. If YES (YES), the process proceeds to S109. If it does not exist (NO), the process proceeds to S105. In the present embodiment, as shown in FIG. 8, since there are at least three unsearched information (YES), the process proceeds to S109.
  • the information includes identification information indicating an IT apparatus (more specifically, a computer) and iSCSI identification information of a storage apparatus to which the IT apparatus is connected. Have.
  • one piece of unsearched information is selected from the server-side IT device information acquired in S107, and the server-side IT device is searched from the managed configuration information based on this information.
  • the storage device having the iSCSI name shown in the L201 line of the ConnectedIscsiTarget shown in FIG. 8 acquired from the computer N10 in the iScsiTarget is searched from the configuration information to be managed.
  • the information includes identification information indicating the storage apparatus and identification information in iSCSI included in the storage apparatus.
  • Event acquisition permission / inhibition information indicating whether or not is included in the configuration information T0, and the determination in S110 is performed by referring to the data.
  • S111 it is determined whether or not the IT device has already been discovered in the operation management system. That is, whether or not the operation management system is an IT device whose presence has been discovered, confirmed, or managed even once, and the operation management system partially has static configuration information. Judge here. In the present embodiment, there is no configuration information related to the storage apparatus having the iScsiTarget that matches the ConnectedIscsiTarget in the L201 line in FIG. 8, and the process proceeds to S112 assuming that the resource is not a discovered resource (NO).
  • the determination in S111 includes a method of determining whether there is information (for example, event acquisition availability information) about the device in the configuration information.
  • an attempt is made to discover a storage apparatus having an iScsiTarget that matches the ConnectedIscsiTarget in the L201 line in FIG. 8 from an unmanaged IT apparatus.
  • a search method for the presence / absence of an unmanaged IT device in S112 it is acquired from configuration information, or acquired from a communication identifier such as an IP address or FQDN corresponding to a target resource input by a user, or configuration information, or A request for providing a service related to the target resource is transmitted to the IP address in the network address corresponding to the network segment including the target resource input by the user or a communication identifier such as FQDN.
  • discovery is attempted from the IT system shown in FIG.
  • S113 it is determined whether the discovery attempted in S112 is successful. If successful (YES), the process proceeds to S14. Otherwise (NO), the process proceeds to S116. In this embodiment, the process moves to S114 on the assumption that the storage apparatus U3 shown in FIG. 3 has been found as the corresponding storage apparatus.
  • S114 it is determined whether the IT device discovered in S113 can be a management target of the operation management system. Judgment as to whether or not it can be managed is based on whether or not the information necessary for the operation management system to monitor and manage can be acquired from the target IT device. Information required for monitoring and management varies depending on the operation management system. Common information includes information for identifying the IT device, for example, an IP address, or WWN (World Wide Name), Alternatively, it is at least one piece of information such as some unique identification information (number), device name (host name), FQDN, or the like.
  • the operation management server N0 has a predetermined criterion and makes this determination based on the criterion.
  • the information related to the storage device U3 it is determined that this storage device has an iSCSI port, and that the iSCSI name of the iSCSI port can be obtained as the iSCSI target information and can be managed.
  • the process proceeds to S115. Since the device may be a management target in subsequent processing, it is determined in this step that the event information can be received from the IT device in addition to the confirmation processing. Good.
  • S115 it is shown to the user whether or not the IT apparatus discovered in S113 is to be managed.
  • the storage device U3 is discovered as a storage server of the computer N1, and whether or not the storage device U3 is to be managed is presented.
  • the presentation screen is shown in FIG.
  • the operation management server N0 (particularly the rule engine) receives an input from the management screen output device.
  • S117 it is determined whether or not the IT device discovered by the user is a management target. If the IT device is a management target (YES), the process proceeds to S118. Otherwise (NO), the process proceeds to S119. In this embodiment, it is assumed that the user has not managed the storage apparatus U3, and the process proceeds to S119.
  • the server opposite to the client is stored and managed as information that can be acquired in the unmanaged IT device management table as an unmanaged IT device, and the process proceeds to S120.
  • the FQDN as information for identifying the apparatus and the iSCSI name of the storage apparatus's IP port, iScsiTarget, can be acquired.
  • table TL3 the storage apparatus U3
  • the management harm IT apparatus management table TL3 contains the following information about each unmanaged IT apparatus discovered.
  • A Identification information of unmanaged IT device
  • B C401 which is the type of unmanaged IT device
  • C C402 which is communication identification information of an unmanaged IT device
  • D C403 which is identification information necessary for accessing the service of the unmanaged IT device
  • the identification information of the unmanaged IT device is stored in the rule application destination management table TL1 as shown in FIG. 12, after being marked so that the IT device is unmanaged.
  • the identification information is stored in the rule application destination management table TL1 based on the information in the unmanaged IT device management table regarding the storage device U3.
  • the process returns to S8 as to whether there is search information related to the server-side IT device opposite to the selected client-side IT device.
  • the storage device corresponding to L202 is searched by configuration management.
  • the IT device for L202 is a management target, so in S110 it is determined that it is a management target IT device and the process moves to S120.
  • a list of the storage device N40 and the computer N10 as IT devices to be managed is stored in L101 of the rule application destination management table of FIG. 11 as an application destination IT device of rule R1.
  • the rule R1 can be applied to the unmanaged storage device U1 that provides the logical volume to the computer N10.
  • Steps 601 to 603 in FIG. 16 the screen marking unit C2 acquires failure analysis result data D1 indicating the result of failure analysis in the rule engine shown in FIG. 17 from the rule engine C1.
  • the rule engine C1 (particularly the event processing analysis unit C12) performs the processing described in S4 of FIG. 2, and FIGS.
  • the failure analysis result data D1 includes data including failure cause IT device information that is information related to the failure cause IT device, and a received event list that is information related to events of the management target IT device received by the operation management system.
  • the failure cause IT device information D11 includes information indicating the failure cause IT device and information related to the location of the failure location. The information regarding the location of the fault location depends on how much fault information can be acquired from the fault-causing IT device that is an IT device that is not managed. When failure information cannot be acquired at all, it becomes unknown as shown in FIG.
  • the received event list includes a received event source that is information related to a received event that is related to the received event in the rule defined for the failure, an event type that indicates information related to the content of the event, and including.
  • the unmanaged IT device management table of FIG. 11 is searched based on the information of the failure cause IT device in the failure analysis result data D11, and information related to the unmanaged IT device is acquired, and the process proceeds to S606.
  • the storage device U1 is acquired from L401 in FIG.
  • the configuration example of the screen at that time is related to a message that the unmanaged IT device is the root cause of the failure, a failure analysis result that is a result of analyzing the cause of the failure, and a failure that has occurred.
  • a screen display such as a window or a dialog including failure information detected by the operation management system, for example, a received event, is output to the screen output device M1.
  • An example of a screen display in the case where the failure of the storage U1, which is an unmanaged IT apparatus of the present embodiment, is the root cause is as shown in FIG.
  • Information indicating that the failure cause IT device is not a management target and what type of IT device is, for example, an IP-SAN storage device. For example, an IP address of 192.168 .. It is a screen display including that it is 100.15.
  • the process proceeds to S102.
  • the rule R2 is read, and R2 is marked as read.
  • the topology information described in rule R2 is the FC-SAN topology shown in (2) of FIG. 4, and the server is connected via the Fiber Channel Host Bus Adapter on the client side, that is, the computer T21 having FcHbaT211 and the FC switch T22.
  • the topology to which the storage device T23 having FcPortT231, which is the port of the Fiber Channel, is connected on the side is determined as a search condition.
  • the computer N13 is selected and is selected.
  • the Connected FcPortWWN C502 indicating the WWN of the FC Port that is the Fiber Channel port of the storage device on the server side of the connection destination is collected from the computer N13.
  • connection information of the FC-SAN storage apparatus in FIG. 13 will be described.
  • the information corresponding to each IT apparatus includes the Fiber Channel communication identification information of the connection destination storage apparatus.
  • the Connected FcPortWWN which is the search information related to the storage device connected to the computer N13, has not been searched, and the process advances to S109.
  • the information includes identification information indicating the storage device and communication identification information in the Fiber Channel included in the storage device.
  • FIG. 10 shows an example of screen display according to the rule R1, but the configuration of the screen display is basically the same, and only the contents of the message are replaced with those of the actual IT device.
  • the identification information of the storage apparatus U2 and the instruction information for managing the apparatus are received from the administrator.
  • Information acquired as a management target is event information and configuration management information.
  • the storage apparatus U2 is registered as an IT apparatus to be managed in the rule application destination management table together with the computer N14 as an application destination IT apparatus of the rule R2.
  • the data is registered in a table-like data structure including the column C101 of the rule shown in FIG. 12 and the column C102 that stores the IT device list to which the rule is applied.
  • the failure analysis of the FC-SAN storage device that is an IT device that is not a management target can be performed for the rule R2 by the conventional rule-based event correlation.
  • the IP-SAN storage that is not managed by rule R1 Is performed in the steps of FIG. 16 in the same manner as the process of displaying the screen as the root cause of the failure.
  • rule R3 Since there is rule R3 in S101, the process proceeds to S102.
  • rule R3 is read and R103 is marked as read.
  • R103 as the topology information described in the rule R3, as the topology of the file server / client of FIG. 4 (3), the computer T31 having the ImportedFileShareT311 indicating that the file system disclosed on the client side is mounted, The topology to which the computer T33 having the ExportFileShare T331 indicating that the server side has a file system open to other computers is connected to the server side via the IP switch T32.
  • the computer N10 is the client-side IT device that has been searched for and has not been selected, so the process proceeds to S106.
  • the computer N10 of FIG. 3 is selected as an unselected client-side IT device, and is selected.
  • the information of ImportedFileShare indicating which file server's public file system is mounted is obtained as search information of the computer facing the computer N10 as the server-side IT device of the topology of (3) in FIG. .
  • a column C701 of the client side computer as shown in FIG. 15 As a table for managing information on the file server acquired from the client side, a column C701 of the client side computer as shown in FIG. 15, a column C702 of identification information about the corresponding file server, and a column C703 about the public name of the file server It is managed by a data structure including, for example, a table.
  • Information regarding the file server acquired from the client side may be acquired in advance in the table of FIG. 15 as configuration information, or may be acquired from the client side IT apparatus in the processing of S7. That is, the acquisition timing may be performed until the processing of S107 is completed.
  • the information included in FIG. 15 will be described.
  • the information includes the following information for each individual file server.
  • A Identification information of file server as IT device
  • B Identification information and public name as one or more file servers
  • S108 information on the file server on the client side acquired in S107 is shown in line L701 in FIG. Since there is no search, the process proceeds to S9.
  • exportfs. domain2. try to find a computer called com.
  • the DNS server is inquired to resolve the IP address, and the existence of the IP address is confirmed by pinging, and then access is attempted by telnet, ssh, or Windows (registered trademark) remote connection.
  • exportfs. domain2. The ping for the IP address to com returns success and the existence can be confirmed, but since it does not have the authentication information of the server, the other access fails and the process proceeds to S114 assuming that login is impossible.
  • exportfs. domain2. com is registered in the unmanaged IT device management table of FIG. Specifically, information acquired on the client side is stored in the file server identification information and the service identification information as indicated by L403 in FIG.
  • the rule application information for the pair of com with the computer U is generated. Specifically, as in L107 of FIG. 121, the computer N10 and the computer U3 that is an unmanaged IT device are registered in the application IT device list for the rule R3.
  • the failure analysis can be performed on the computer U3 that is an unmanaged IT device that is a file server of the computer N10.
  • S115 a screen for suggesting that the computer U5 is included in the management target is displayed, and in S116, the user receives an instruction to manage the computer U5 as a user input in S116.
  • the rule N3 is stored in the rule memory as a data structure as shown in the L108 line in FIG. 12 so that the rule R3 can be applied to the topology in which the computer N11 is the client as the IT device within management and the computer U5 is the file server.
  • the failure analysis for the computer U5 of the file server that has been discovered and is not subject to management can be performed according to the flow of FIG. 2, and the screen display unit C2 performs the flow of FIG.
  • the cause of the failure can be output to the display device M1.
  • step S101 to S104 the computer N10 is found as an IT device on the client side for the rule R4.
  • steps S105 to S107 the DNS server IP address 192.168.100.1 is acquired from the computer N10 as DNS server search information for the computer N10.
  • steps S108 to S110 using the acquired IP address 192.168.100.1, it is confirmed that there is no DNS server in the configuration information T0 to be managed by the configuration management C3, and the process proceeds to S111.
  • S111 it is determined that the DNS server is not a discovered IT device, and the process proceeds to S112.
  • S112 an attempt is made to access the node having the IP address 192.168.100.1 from the real IT system.
  • the process proceeds to S119.
  • the computer with the IP address 192.168.100.1 is the non-management-target IT device, and the information is stored and managed as the DNS server with the identification information U4 as shown in L404 of FIG. 11, and the process proceeds to S120.
  • the client computer N10 and the computer U4 of the unmanaged IT device that is the DNS server are stored as the application device list to which rule 4 is applied as shown in line L109 in FIG.
  • the failure analysis of the computer U4 which is an unmanaged DNS server, can be analyzed by event correlation based on the conventional rules, and the unmanaged DNS server can be identified as the cause of the failure.
  • the application of rule 4 to the other IT devices in FIG. 3 can be similarly performed by generating application information for the computer U4 which is an unmanaged DNS server.
  • the flow shown in FIG. 16 is performed on the screen display unit C2, thereby displaying on the screen that the DNS server, which is an unmanaged IT device, is the root cause of the failure. be able to.
  • the processing procedure of the overall processing flow of the failure analysis shown in FIG. 2 in the first embodiment is created in the application information in the rule application unit C11 as shown in FIG. Step S4b is performed after step S3b for receiving an event and before step S5b of the event analysis process in the event analysis unit C12.
  • the difference between the second embodiment and the first embodiment is only the timing of creating rule application information.
  • the present invention is implemented by changing the timing of rule application information, the effect is not impaired, and it is possible to display an IT device that is not a management target on the screen as a root cause device of a failure. .
  • the realized program has a part or all of the following processing.
  • identification information of a server device that is a part of the plurality of information processing devices to be accessed in order to use a network service as a client is used as configuration information included in the memory.
  • Configuration information storage processing to be stored.
  • Rule storage process (D) Event storage processing for storing a plurality of pieces of event information collected from the plurality of event acquisition target devices in the memory.
  • Event information specifying processing for specifying first event information including the first event type from the plurality of event information stored in the memory based on the correlation analysis rule information.
  • Event information specifying processing for specifying first event information including the first event type from the plurality of event information stored in the memory based on the correlation analysis rule information.
  • the first event acquisition target device that is one of the event acquisition target devices that transmitted the first event information, and the network service corresponding to the first event type Factor identification processing for identifying a failure factor device that is a server device of the first event acquisition target device.
  • the correlation analysis rule information includes a first information processing device that is one of the plurality of information processing devices in which the first event type has occurred, and the plurality of information in which the second event type has occurred.
  • Topology condition information indicating a topology condition between the second information processing apparatus that is one of the processing apparatuses may be included, and the factor specifying step may specify the failure factor apparatus based on the topology condition information . Since the information processing apparatus in which an event has occurred by such a process can present an estimation limited to the information processing apparatus actually used, it is more convenient for the user of the operation management server.
  • the operation management server may have the following processing.
  • H Based on the correlation analysis rule information and the configuration information, the server device of the plurality of event acquisition target devices, the one of the plurality of information processing devices not included in the plurality of event acquisition target devices Related device identification processing for identifying an event-related information processing device that is a section.
  • I Event information acquisition possibility investigation processing for investigating whether event information can be obtained from the event-related information processing apparatus.
  • J Based on the result of the investigation, when event information can be acquired from the event-related information processing device, information identifying the event-related information processing device is transmitted to the screen output device, so that the event Event information acquisition target addition proposal processing for displaying on the screen output device that event information can be acquired from the related information processing device.
  • Such processing can be performed quickly and without forgetting to register from the time when event monitoring is newly required or possible on the operation management server due to changes in the information processing device administrator or management method. Can be promoted.
  • the event information acquisition possibility investigation processing is performed on the operation management server with respect to an information processing apparatus having an IP address included in a range of IP addresses set in advance as the investigation range. May be based on the result of access based on a predetermined procedure.
  • an information processing device especially a server computer accessed via the Internet
  • access is made by the investigation process May be regarded as unauthorized access or unauthorized attack by access monitoring. Therefore, by identifying the IP address of an information processing device that is obviously not subject to event monitoring, or the range of IP addresses of information processing devices that can be subject to event monitoring, it is misidentified as such unauthorized access or unauthorized attack. Communication can be suppressed.
  • the failure factor device is a storage device that has a controller and provides a logical volume
  • the network service is a service that provides the logical volume by a block access type protocol (for example, Fiber Channel or iSCSI).
  • the first event type may be a failure of the storage apparatus, and the first event type may be an access failure to the logical volume.
  • the failure factor device is a computer that provides DNS as the network service, wherein the first event type is a DNS request failure and the first event type is a DNS server communication interruption. Good.
  • the failure factor device is a file server computer having a NIC that receives data from at least one of the plurality of information processing devices and providing a stored file to at least one of the plurality of information processing devices.
  • the network service is a network file sharing service for sharing files stored in the file server computer, and the first event type is the occurrence of a failure of the file server (for example, the occurrence of a NIC failure, the processor of the file server) Even if the first event type is a failure to access the file provided by the network file sharing service) Good.
  • the plurality of event information includes the second event type, Identifying the second event information from which the failure factor device is the acquisition source, and information identifying the first event acquisition target device, the first event information, the failure factor device, and the second event information;
  • an event corresponding to the first event information generated in the first event acquisition target device is an event corresponding to the second event information generated in the failure factor device. It may be displayed on the screen output device that the occurrence is a factor.
  • the first information processing device is a computer
  • the second information processing device is a storage device
  • the topology condition information indicates a connection relationship of a topology in which the computer and the storage device are connected.
  • a combination of communication identification information corresponding to a computer and communication identification information corresponding to the storage device may be included.
  • the communication identification information may be at least one of an iSCSI name, an IP address, and a WWN in Fiber Channel.
  • the first information processing apparatus is a computer
  • the second information processing apparatus is a file server computer that provides a file stored by a file sharing service to the plurality of information processing apparatuses
  • the topology condition information is: Including a combination of communication identification information corresponding to the computer indicating a topology connection relationship between the computer and the file server computer, and communication identification information corresponding to the file server computer or an export name for publishing the file Also good.
  • the first information processing apparatus is a computer
  • the second information processing apparatus is a DNS server computer that provides a DNS as a network sharing service to the plurality of information processing apparatuses
  • the topology condition information is stored in the computer.
  • a combination of communication identification information corresponding to the computer indicating a connection relationship of a topology connected to the DNS server computer and communication identification information corresponding to the DNS server computer.
  • the communication identification information corresponding to the computer and the communication identification information corresponding to the DNS server computer may be IP addresses or FQDNs.
  • the operation management server may be composed of one or more computers.

Abstract

　運用管理サーバにて、イベント情報取得対象の情報処理装置をイベント取得対象装置として構成情報に登録し、運用管理サーバに格納した複数のイベント情報から、予め格納したルールに適合するイベント情報を特定し、当該イベント情報が関連するネットワークサービスのサーバ装置を特定し、イベント情報を生成したクライアント情報処理装置で発生した当該イベントの要因がサーバ装置で発生したネットワークサービスに関するイベントであることを表示する。  

Description

イベント情報取得外のＩＴ装置を対象とする根本原因解析方法、装置、プログラム。
　本願明細書に開示される技術は、サーバコンピュータ、ネットワーク装置、ストレージ装置を含む情報処理システムの運用を管理する運用管理方法、装置、システム、プログラム、プログラムを含む媒体及びプログラムの配布装置に関する。
　近年、ＩＴシステム（ＩＴはＩｎｆｏｒｍａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙの略。なお、以後はＩＴシステムを情報処理システムと呼ぶことがある）はネットワークを介して様々なＩＴ装置（以後、情報処理装置と呼ぶことがある）が接続することで複雑化・大規模化し、障害はネットワークを介して様々なＩＴ装置に影響を与えている。これらの障害の箇所と原因を特定する根本原因解析技術として、特許文献１にはＩＴ装置から障害内容を通知されるイベント情報を用いて障害箇所と原因を解析するイベント相関技術が開示されている。また、イベント相関技術は、障害時に計算機から送信されるイベントの相関を利用して、根本原因を推測する技術とも言える。
　また、非特許文献２では、当該技術と障害時のイベントの組み合わせと推測される根本原因を対にしてルール化することで、エキスパートシステムをベースとした推論エンジンを用いて根本原因を迅速に突き止める技術が開示されている。
米国特許第６，２４９，７５５号明細書 "Ｒｅｔｅ：　Ａ　Ｆａｓｔ　Ａｌｇｏｒｉｔｈｍ　ｆｏｒ　ｔｈｅ　Ｍａｎｙ　Ｐａｔｔｅｒｎ／Ｍａｎｙ　Ｏｂｊｅｃｔ　Ｐａｔｔｅｒｎ　Ｍａｔｃｈ　Ｐｒｏｂｌｅｍ"，　ＡＲＴＩＦＩＣＩＡＬ　ＩＮＴＥＬＬＩＧＥＮＣＥ，　Ｖｏｌ．　１９，　ｎｏ．　１，　１９８２，　ｐｐ．　１７－３７
　運用管理に必要な処理を行う運用管理サーバはネットワークに接続された全てのＩＴ装置のイベントを採取することはできないため、運用管理サーバはイベント情報を受信（または取得）するＩＴ装置を限定し、根本原因解析技術を用いて解析結果を表示する。
　しかし、当該解析技術はネットワークに接続された全てのＩＴ装置からイベント情報の取得ができることを前提としている。その結果、運用管理サーバがイベント情報を取得しないＩＴ装置でイベント（例えば障害）が発生し、イベント情報を取得しているＩＴ装置がこの障害の影響を受けた場合に、障害発生ＩＴ装置が解析対象外であるためにルールが適用されず、障害の根本原因を突き止められない。
本発明は、複数の情報処理装置と画面出力装置とプロセッサとメモリを有する運用管理サーバとから構成される情報処理システムの、前記複数の情報処理装置で発生するイベントの解析に関する装置、システム、方法、プログラム、記憶メディアを提供する。
本発明の一実施例によると、前記運用管理サーバについて、前記複数の情報処理装置の各々が、クライアントとしてネットワークサービスを用いるためにアクセス対象とする前記複数の情報処理装置の一部であるサーバ装置の識別情報を、前記メモリが有する構成情報に格納し、前記複数の情報処理装置の一部であって、前記運用管理サーバがイベント情報を取得する対象である複数のイベント取得対象装置を前記メモリが有する構成情報に登録し、前記複数の情報処理装置で発生する前記ネットワークサービスに関連した第一のイベント種別を含むイベントと、前記ネットワークサービスに関連した前記第一のイベント種別とは異なる第二のイベント種別を含むイベントと、を検知した場合に、前記第二のイベント種別に対応するイベントの発生が原因で前記第一のイベント種別に対応するイベントが発生し得ることを示す相関解析ルール情報を前記メモリに格納し、前記複数のイベント取得対象装置から収集した複数の前記イベント情報を前記メモリに格納し、前記相関解析ルール情報を元に、前記メモリに格納した複数の前記イベント情報から、前記第一のイベント種別を含む第一のイベント情報を特定し、前記構成情報を元に、前記第一のイベント情報を送信したイベント取得対象装置の一つである第一イベント取得対象装置と、前記第一のイベント種別に対応する前記ネットワークサービスにおける前記第一イベント取得対象装置のサーバ装置である障害要因装置とを特定し、前記相関解析ルール情報と前記構成情報とを元に、前記障害要因装置が前記複数のイベント取得対象装置でない場合に、前記第一イベント取得対象装置と前記第一のイベント種別と前記障害要因装置と前記第二のイベント種別とを特定する情報を前記画面出力装置へ送信することで、前記第一イベント取得対象装置で発生した前記第一のイベント情報に対応したイベントが、前記障害要因装置で前記第二のイベント種別のイベントが発生したことが要因と推定されることを前記画面出力装置へ表示させる。
　なお、前記相関解析ルール情報は、前記第一のイベント種別が発生した前記複数の情報処理装置の一つである第一情報処理装置と、前記第二のイベント種別が発生した前記複数の情報処理装置の一つである第二情報処理装置と、の間のトポロジ条件を示すトポロジ条件情報を含み、前記要因特定ステップは、前記トポロジ条件情報に基づいて前記障害要因装置を特定してもよい。
　また、前記相関解析ルール情報と前記構成情報に基づいて、前記複数のイベント取得対象装置のサーバ装置であって、前記複数のイベント取得対象装置に含まれない、前記複数の情報処理装置の一部であるイベント関連情報処理装置を特定し、前記イベント関連情報処理装置からイベント情報の取得が可能か調査し、前記調査の結果を元に、前記イベント関連情報処理装置からイベント情報の取得が可能な場合は前記イベント関連情報処理装置を特定する情報を前記画面出力装置へ送信することで、前記イベント関連情報処理装置からイベント情報の取得が可能であることを前記画面出力装置へ表示させてもよい。
　また、前記イベント情報取得可否調査は、前記複数の情報処理装置であって予め調査範囲として設定されたＩＰアドレスの範囲に含まれるＩＰアドレスを有する情報処理装置に対して、前記運用管理サーバが所定の手順に基づくアクセスを行った結果に基づいてもよい。
　また、前記障害要因装置はコントローラを有し、論理ボリュームを提供するストレージ装置であって、前記ネットワークサービスは前記論理ボリュームをブロックアクセス形式のプロトコルによって提供するサービスであって、前記第一のイベント種別が前記コントローラの障害発生であり、前記第一のイベント種別が前記論理ボリュームへのアクセス失敗であってもよい。
また、前記相関解析ルール情報と前記構成情報とを元に、前記障害要因装置が前記複数のイベント取得対象装置の一つの場合に、複数の前記イベント情報から前記第二のイベント種別を含み、前記障害要因装置が取得元である第二のイベント情報を特定し、前記第一イベント取得対象装置と前記第一のイベント情報と前記障害要因装置と前記第二のイベント情報とを特定する情報を前記画面出力装置へ送信することで、前記第一イベント取得対象装置で発生した前記第一のイベント情報に対応したイベントが、前記障害要因装置で発生した前記第二のイベント情報に対応したイベントが発生したことが要因であることを前記画面出力装置へ表示させてもよい。
また、本発明の別な一実施例によると、運用管理サーバにて、イベント情報取得対象の情報処理装置をイベント取得対象装置として構成情報に登録し、運用管理サーバに格納した複数のイベント情報から、予め格納したルールに適合するイベント情報を特定し、当該イベント情報が関連するネットワークサービスのサーバ装置を特定し、イベント情報を生成したクライアント情報処理装置で発生した当該イベントの要因がサーバ装置で発生したネットワークサービスに関するイベントと推定されることを表示する。
　本発明によれば、イベント情報を取得しないＩＴ装置にてイベントが発生した場合も解析結果を表示することができる。
本発明の運用管理システムの全体構成図を示したものである。 本発明における実施形態の１つである障害解析の全体処理フローを模式的に示したものである。 本発明が対象とするＩＴシステムの代表的な構成例の一つを模式的に示したものである。 本発明の運用管理システムで用いられる相関解析ルール情報を模式的に示したものである。 図４に示した相関解析ルール情報で適用対象として指定されるトポロジを模式的に示したものである。 ルールの適用先となるＩＴ装置のリストを管理するテーブル状のデータ構造の一例であるルール適用先管理テーブルを模式的に示したものである。 本発明の実施形態の１つである相関解析ルール情報の適用情報の生成処理フローである。 本発明の第一実施形態におけるＩＰ－ＳＡＮのクライアントとなる計算機で取得したＩＰ－ＳＡＮストレージ装置の接続情報を模式的に示したものである。 本発明の第一実施形態における、構成管理で保持する管理対象ＩＴ装置のＩＰ－ＳＡＮストレージに関する構成情報を模式的に示したものである。 本発明の第一実施形態における、管理外ＩＴ装置を管理対象に含めることをユーザに提案する画面表示例である。 本発明の第一実施形態における、管理外ＩＴ装置を管理するためのテーブル状のデータ構造の一例である管理外ＩＴ装置管理テーブルを模式的に示したものである。 本発明の第一実施形態における、ルールの適用先ＩＴ装置のリストを保有するルール適用先管理テーブルを模式的に示したものである。 本発明の第一実施形態におけるＦＣ－ＳＡＮのクライアントとなる計算機で取得したＦＣ－ＳＡＮストレージ装置の接続情報を模式的に示したものである。 本発明の第一実施形態における、構成管理で保持する管理対象ＩＴ装置のＦＣ－ＳＡＮストレージに関する情報を模式的に示したものである。 本発明の第一実施形態における、ファイルサーバとなる計算機において取得できるファイルサーバに関する識別情報と公開名を模式的に示したものである。 本発明の第一実施形態における、障害解析結果の画面表示処理フローを模式的に示したものである。 本発明の第一実施形態における、管理外ＩＴ装置が障害の原因である場合の障害解析結果データの一例を模式的に示したものである。 本発明の第一実施形態における、管理外ＩＴ装置が障害の原因である場合の障害解析結果の画面表示の構成例を模式的に示したものである。 本発明の第一実施形態における、管理外ＩＴ装置が障害の原因である場合の障害解析結果の画面表示を模式的に示したものである。 本発明の第二実施形態における、障害解析の全体処理フローを模式的に示したものである。 本発明の実施形態の１つである相関解析ルール情報の適用情報の生成処理フローである。
符号の説明
Ｎ０．．．運用管理サーバ
Ｎ１乃至Ｎ３．．．計算機
Ｎ４．．．ネットワーク（ＮＷ）スイッチ
Ｎ５．．．ストレージ装置
Ｏ１．．．計算機
Ｏ２．．．ＮＷスイッチ
Ｏ３．．．ストレージ装置
Ｍ１．．．画面出力装置
　以下に、本発明の実施の形態を説明する。
　図１は、本発明を実施するため情報処理システムの１つの構成を示した概観図である。
情報処理システムは運用管理システムと、運用管理サーバから構成される。運用管理システムは、ＩＴシステムを構成する計算機、ネットワークスイッチ（ＮＷスイッチ）、及びストレージ装置を管理対象として、運用管理サーバＮ０でこれらを監視・管理している。
本発明の運用管理サーバＮ０は、管理対象のＩＴ装置における状態変化、障害情報、通知情報などのイベント情報を受信するイベント受信部Ｃ０と、受信したイベント情報にもとづき、予め定義されたルールＲ０にもとづいて障害解析を行うルールエンジンＣ１と、管理対象のＩＴ装置の構成情報を管理する構成管理Ｃ３と、これらの運用管理するために必要となる情報を画面に出力するための画面表示部Ｃ２が備わっている。
　また、運用管理システムには、画面表示部の制御と出力データに基づいて、運用管理のための情報を画面に表示するための装置である画面出力装置Ｍ１があり、運用管理サーバＮ０と接続している。なお、画面出力装置Ｍ１としては第一に運用管理サーバに接続されたディスプレイ装置であることが考えられるが、運用管理システムの管理者に解析結果情報を表示することができれば他の装置で代替してもよい。画面出力装置Ｍ１のそのほかの例としては、画面出力装置として運用管理サーバＮ０が送信する電子メールを受信し、表示可能な携帯端末であったり、運用管理サーバＮ０が送信する解析結果情報を元に管理者に情報提供し、また管理者からの入力を受け付けて運用管理サーバＮ０に送信するディスプレイ付計算機がある。
　ルールエンジンＣ１は、さらにイベントの相関解析のための解析ルール情報Ｒ０（以後、相関解析ルール情報と呼ぶことがある）を読みこみ、構成管理Ｃ３から構成情報Ｔ０を取得して、ルールをＩＴシステムのＩＴ装置に適用するための処理を行うルール適用部Ｃ１１と、ルール適用部においてルールをＩＴ装置に適用するための情報である適用情報を管理するルール適用先管理テーブルＣ１３０を管理し、ルールの解析処理を行うためのワーキングメモリであるルールメモリＣ１３と、イベント受信部Ｃ０で受信したイベント情報を受け取り、イベントの相関解析を行う、イベント解析処理部Ｃ１２から成る。なお、ルール適用先管理テーブルＣ１３０はルールメモリＣ１３内に存在しなくても、運用管理サーバＮ０のメモリに格納されればよい。
　なお、相関解析ルール情報は運用管理サーバＮ０の管理者によって作成・格納されてもよく、後述する本発明のプログラムに相関解析ルール情報を含めることでメモリに格納してもよく、または本発明のプログラムの初期化処理によって相関解析ルール情報をメモリに格納してもよい。
　なお、運用管理サーバＮ０を構成するハードウェアとしては、プロセッサ、メモリ（半導体メモリ及びＨＤＤに代表される二次記憶装置を含む）、ネットワークポートがある。それぞれのハードウェアはバス等の内部ネットワークによって接続される。なお、イベント受信部Ｃ０、ルートエンジンＣ１、画面表示部Ｃ２、構成管理Ｃ３は運用管理サーバＮ０のメモリに格納され、プロセッサによって実行されるプログラムとして実現されることが第一に考えられるが、これら機能の一部または全てをハードウェアで実現してもよい。なお、以後の説明ではイベント受信部Ｃ０、ルートエンジンＣ１、画面表示部Ｃ２、構成管理Ｃ３を含むプログラムをイベント解析プログラムと呼ぶ。
　また、また、相関解析ルール情報Ｒ０、構成情報Ｔ０、ルール適用先管理テーブルＣ１３０は、運用管理サーバＮ０のメモリに格納されている。さらに、構成情報Ｔ０は後ほど説明する、ＩＰ－ＳＡＮストレージ装置の接続情報（図８）、ＩＰ－ＳＡＮストレージに関する情報（図９）、ＦＣ－ＳＡＮストレージ装置の接続情報（図１３）、ＦＣ－ＳＡＮストレージに関する情報（図１４）、ファイルサーバに関する識別情報と公開名（図１５）の少なくとも一つが含まれる。また、後ほど説明する管理外ＩＴ装置管理テーブル（図１１）についても構成情報に含まれるものとして説明するが、運用管理サーバＮ０のメモリに格納されていれば構成情報Ｔ０以外の情報として格納されていてもよい。
　さらに、相関解析ルール情報Ｒ０、構成情報Ｔ０、ルール適用先管理テーブルＣ１３０、ＩＰ－ＳＡＮストレージ装置の接続情報、ＩＰ－ＳＡＮストレージに関する情報、ＦＣ－ＳＡＮストレージ装置の接続情報、ＦＣ－ＳＡＮストレージに関する情報、ファイルサーバに関する識別情報と公開名、管理外ＩＴ装置管理テーブルについてはテキストファイルやテーブル、キュー構造など特定のフォーマット、データ構造である必要はなく、後ほど説明する情報が含まれていればよい。以後の説明及び請求項にてより一般的な情報であることを明記するため、相関解析ルール情報Ｒ０、構成情報Ｔ０、ルール適用先管理テーブルＣ１３０、ＩＰ－ＳＡＮストレージ装置の接続情報、ＦＣ－ＳＡＮストレージ装置の接続情報、ＩＰ－ＳＡＮストレージに関する情報、ＦＣ－ＳＡＮストレージに関する情報、ファイルサーバに関する識別情報と公開名、管理外ＩＴ装置管理テーブルを、それぞれ相関解析ルール情報情報、構成情報、ルール適用先管理情報、ＩＰ－ＳＡＮストレージ装置の接続情報、ＦＣ－ＳＡＮストレージ装置の接続情報、ＩＰ－ＳＡＮストレージに関する情報、ＦＣ－ＳＡＮストレージに関する情報、ファイルサーバに関する識別及び公開名情報、管理外ＩＴ装置管理情報と呼ぶことがある。
　なお、図示はしていないが、運用管理サーバは管理対象の様々なＩＴ装置から受信するイベント情報をイベントエントリとしてメモリ内に定義したイベントデータベースに格納する。なお、イベントデータベースは一つ以上のイベントエントリが含まれていればどのようなデータ構造であっても良い。
　なお、イベント情報はイベント内容が含まれるが、イベント発生時間を含んでもよい。さらにイベントデータベースは過去のイベント情報を定められた条件に従って履歴として残しても良い。また、イベントデータベースに含め、メモリに格納する場合は、運用管理サーバのプログラム（特に構成管理Ｃ３）はイベント情報取得対象のＩＴ装置の識別情報と、運用管理サーバによるイベント情報受信時間と関連付け、共に含めるようにしてもよい。なお、イベント内容は少なくともイベントの種別が含まれ、場合によっては当該イベントが発生ＩＴ装置内のハードウェア及びソフトウェアを特体する情報が含まれてもよい。
　またイベントの種別としては例えば以下が考えれれるが、これ以外の種別が存在してもよい。
（Ａ）当該ＩＴ装置のの稼動状態が予め定められた状態となったこと（例えばハードウェア障害や、ソフトウェア障害の発生がこれに含まれる）
（Ｂ）ヘルスチェック結果が予め定められた結果となったこと。（例えば一定時間ヘルスチェック応答が無かった場合がこれに含まれる）
（Ｃ）処理速度やＩＴ装置を構成するコンポーネントであるプロセッサやメモリ、ＨＤＤなどの消費リソース量が予め定められた条件に適合したこと（例えばＨＤＤの残り容量が１０％を下回った場合がこれに含まれる）
（Ｄ）ＩＴ装置が予め定められた条件を満たすネットワークアクセスを受信したこと（例えば、ＩＴ装置が受信したリクエストが所定の回数を超えた場合や、リクエストされたＤｏＳ攻撃と識別されるネットワークパケットを所定回数受信した場合や、定められたＩＴ装置以外のＩＴ装置からリクエストを受信した場合がこれに含まれる）
　なお、イベント解析プログラムのメモリへの格納は当該プログラムを記憶したＤＶＤ－ＲＯＭやＣＤ－ＲＯＭ等の媒体からのインストールやコピーによる方法や、運用管理サーバＮ０と通信可能なプログラム配布サーバからの当該プログラム（または当該プログラムをメモリ上で生成可能な情報）を受信する方法が考えられるが、これ以外の方法であってもよい。また、運用管理サーバＮ０へのプログラム格納を予め格納した後で運用管理サーバＮ０を流通させる形態であってもよい。
　以上説明した運用管理サーバＮ０によって情報処理システムの障害の根本原因を解析する。
　なお、運用管理システムでは、予め管理する対象のＩＴ装置を指定し、イベント情報を相関解析による解析対象として当該ＩＴ装置から必要な情報を受信する。このように運用管理システムにおいて、受信するＩＴ装置を定めるのは、ネットワークに接続されたＩＴ装置を全て管理することは、管理するために必要となる管理サーバのプロセッサ、メモリ、ハードディスクなどの記憶装置などの消費量が膨大となり、実用的な監視が困難であるため、管理する対象を絞ることでこれを回避するためである。また、管理ツールが商用のものである場合には、管理するＩＴ装置の種類や台数などによりライセンス数に制限がある場合がほとんどである。このためＩＴシステムにおいては、イベント情報解析のために、運用管理サーバＮ０がイベント情報を取得するまたは取得を許可されているＩＴ装置（以後、監視されるＩＴ装置、又は管理されるＩＴ装置又は管理ＩＴ装置又は管理内ＩＴ装置又はイベント取得対象装置と表現することがある。なお同様の表現はＩＴ装置の実態である計算機、スイッチ、ルータ、ストレージ装置に対しても適用する）と、運用管理サーバＮ０がイベント情報取得を取得しない又は取得を抑止されているＩＴ装置（以後、監視されないＩＴ装置、又は管理されないＩＴ装置又は管理外のＩＴ装置又は管理外ＩＴ装置又はイベント関連情報処理装置と表現することがある。なお同様の表現はＩＴ装置の実態である計算機、スイッチ、ルータ、ストレージ装置に対しても適用する）が存在する。
　運用管理サーバＮ０において監視・管理されないＩＴ装置については、さらに、一度でも運用管理サーバＮ０において存在を発見、又は確認、又は管理されたことがあるＩＴ装置と、一度も運用管理サーバＮ０において、その存在を発見、又は確認、又は管理されたことがないものに分類される。運用管理サーバＮ０によっては、一度でも管理したことがあるＩＴ装置、又は発見、又は確認したことがあるＩＴ装置については、監視・管理されているＩＴ装置と同等とはいわないまでも、当該発見または確認によって取得した構成情報、例えばＩＴ装置のＩＰアドレス、又はホスト名、又はＦＱＤＮ（Ｆｕｌｌｙ　Ｑｕａｌｉｆｉｅｄ　Ｄｏｍａｉｎ　Ｎａｍｅ）などを内部に保持して管理するものもある。本発明では、対応する構成情報を運用管理サーバＮ０が持たない管理対象外のＩＴ装置と、対応する構成情報の一部又は全てを運用管理サーバＮ０に格納済みの管理対象外のＩＴ装置とを含めて、管理対象外のＩＴ装置として定義する。
　運用管理システムの管理対象外であるケースとしては、ＤＮＳサーバのようにグローバルに提供されたサービスを管理対象内のＩＴ装置が利用している場合や、ファイアーウォール、アクセス権の問題、ネットワーク構成、アクセス手段の不備などの事情により、運用管理システムが管理するための情報収集を十分に行えない場合などがある。
　なお、本発明はネットワーク上に存在する複数のＩＴ装置同士の相関解析を対象としている。しかし、本来相関のある複数装置である要因によるイベントが同時発生したとしても個々の装置のクロックにはずれが生じ、さらにイベント情報転送のタイミングにもずれが生じるため、運用管理サーバＮ０が解析対象とするイベント情報はプログラム開発者が予め定めたられた時間幅（期間）または管理者が定めた期間内に発生または受信したイベント情報を解析する。また、ある要因が発生したとしても当該要因に関係するイベントの発生はずれが生じることがあるため（例えば、ＷｅｂサービスやＤＮＳサービス等、サーバ計算機からキャッシング処理を介在させて所定のネットワークサービスを受ける場合）、特定の時間ではなくて期間を対象とした解析が必要となる。
　なお、イベントとして好適なものはある程度動的に発生する事項であることが好ましい。さらには、所定の要因が発生して要因となるＩＴ装置でのイベントが発生（または運用管理サーバが受信）する時間と、当該要因を受けて別なＩＴ装置でのイベントが発生（または運用管理サーバが受信）する時間の差が、前記期間内であるイベントの要因であることがより好適である。
　一方の構成情報として考えられる情報は、ＩＴ装置を構成するハードウェアの種類及び個数や、当該装置と通信するために必要な通信識別情報や名前といったものが好適であり、一部ＩＴ装置の管理者によって変更は可能であるが準静的な情報が好適である。
　図２は、上記の構成にもとづく本発明における実施形態の１つの大まかな処理の流れを示したものである。
　Ｓ１においてルールエンジンＣ１は、予め相関解析ルール情報Ｒ０を読み込み、構成管理Ｃ３から管理対象の構成情報Ｔ０を取得して、ルール群Ｒ０の適用先のＩＴ装置の識別情報をＴ０から検索して、ルール適用先管理テーブルＣ１３０に格納しておく。Ｓ１の処理は、この後に行うイベントによる障害解析処理のための準備であり、解析処理の前までに行えばよい。実施形態の１つである第一実施形態では、解析処理を運用開始前に行い、予めルール適用先管理テーブルＣ１３０をルールメモリＣ１３内に保持しているものとする。
　Ｓ２においては、イベント受信部Ｃ０にて、運用管理システム内の管理対象のＩＴ装置から上げられるイベントの受信待ちうけを行う。
　Ｓ３では、運用管理システムの運用操作に関するものであり、停止処理が指示されたかどうかを確認するためのステップであり、運用の停止を行うためのものである。
　Ｓ４においては、イベント受信部Ｃ０でイベントを受信したかどうかの判断を行う。受信した場合には、Ｓ５においてイベント受信部Ｃ０より受信したイベントをイベント解析処理部Ｃ１２に入力して、ルール適用先管理テーブルＣ１３０にもとづいて該当するルールを求めて、該ルールに従い障害原因を特定する。
　Ｓ５においては、特定した障害原因を画面表示部Ｃ１４に出力する。画面表示部Ｃ１４は、受け取った解析結果出力データを元に解析情報を送信することで、画面出力装置Ｍ１に運用管理に必要な画面を出力・表示する。
　なお、Ｓ２及びＳ４の処理の代替として受信したイベント情報を一旦イベントデータベースに格納してもよい。
　この大まかな処理の流れにおいて、ルール適用部の処理に手を加えることで、構成やその後の処理の流れを大幅に変えることなく、管理対象でないＩＴ装置の障害の原因解析を行えることが本発明の効果の１つである。
　図３は、本発明の実施形態で想定するＩＴシステムの構成の１つを示した概観図である。図３のＩＴシステムは、管理サーバＮ０が運用管理する計算機Ｎ１０、計算機Ｎ１１、計算機Ｎ１２と、ネットワークスイッチであるＩＰスイッチＮ２１とＦＣスイッチＮ３１、ストレージ装置Ｎ４０とストレージ装置　Ｎ４１で構成される運用管理対象である運用管理システムと、管理サーバＮ０が管理しない管理対象外のＩＴ装置としてストレージ装置Ｕ２と計算機Ｕ５と、ルータＮ２０を介してネットワークＧ０に接続されるストレージ装置Ｕ１と、計算機Ｕ３と計算機Ｕ４と、から構成される。なお、個々で記した計算機、スイッチ、ルータ、ストレージ装置等のＩＴ装置の個数は一例であり、少なくともネットワークサービスを提供するサーバの役目を持ったＩＴ装置と、当該ネットワークサービスの提供を受けるクライアントの役目を持ったＩＴ装置が運用管理システムに含まれていればよい。
　管理対象外のＩＴ装置のストレージ装置Ｕ１はＩＰ－ＳＡＮのインタフェースを備えるストレージ装置であり、管理対象の計算機Ｎ１０に対して論理ボリュームを提供している。また、管理対象外のＩＴ装置のストレージ装置Ｕ２はＦＣ－ＳＡＮのインタフェースを備えるストレージ装置であり、管理対象のＦＣスイッチＮ３１を介して管理対象の計算機Ｎ１３に対して論理ボリュームを提供している。管理対象外のＩＴ装置の計算機Ｕ３又は計算機Ｕ５はファイルサーバであり、それぞれ管理対象の計算機Ｎ１０、Ｎ１１の両方にファイルシステムを公開しているが、計算機Ｕ３は運用管理システムとは違うネットワークセグメントに属しており、計算機Ｕ３に関する詳細な情報はネットワーク上から取得できないようになっている。
　一方で、計算機Ｕ５のファイルサーバは、運用管理システムと同一のネットワークセグメントに属しており、運用管理システムにより自動で存在を発見することができる計算機で、運用時に発見されたが、管理対象とはされなかったＩＴ装置である。また、管理対象外のＩＴ装置の計算機Ｕ４はＤＮＳサーバであり、図３のＩＴシステムの全てのＩＴ装置に対して名前解決機能を適用している。
　ここでは理解のために第一実施形態について述べる前に、管理対象のＩＴ装置に対し、イベント相関技術のルールをどのように適用するかについて説明する。
　図４は、図１で示したＩＴシステムに対して、ストレージ装置のコントローラの障害が根本原因であることを示唆するルールの例である。こうした障害解析の根本原因を特定するルールは、イベント相関に基づき、発生すると予測されるイベントの組み合わせと、根本原因となる障害のペアをｉｆ－ｔｈｅｎ形式で示すことが多い。ｉｆ－ｔｈｅｎ形式のルール表現においては、“もしｉｆ　に記述された条件が成立するならば、ｔｈｅｎ部分が真である”のような意味のルールを表記する。
　実施例では、エキスパートシステムなどの一般的なルールと同様にｉｆ－ｔｈｅｎの形式でルールが記述されているものとし、ルールの適用対象となるＩＴ装置に関する情報がｉｆの条件部分に予め定義されているものとする。なお、ルールの記述形式自体はｉｆ－ｔｈｅｎ形式でなくても良く、ルールを適用する対象となるＩＴ装置が特定できる何かしらの接続・関係情報としてトポロジが予め定義されていればよい。
　なお、それぞれのルールを実際に格納する情報はルールエントリである。相関解析ルール情報は一つ以上のルールエントリを含む。なお、より抽象化すると当該ルールエントリは以下の情報が含まれると言っても良い。
（Ａ）当該ルールが適合するイベントの種別を含んだ条件を示す条件エントリ。上記の通り、この条件エントリにはトポロジを条件として含めてもよい。
（Ｂ）当該条件が適合した場合に原因となるイベントと、当該イベントが関係するＩＴ装置又はＩＴ装置のハードウェア・ソフトウェアの箇所を表す原因エントリ。
　第１実施例として、ｉＳＣＳＩを利用したＩＰ－ＳＡＮのストレージ装置のコントローラ障害を根本原因とするルールＲ１と、Ｆｉｂｒｅ　Ｃｈａｎｎｅｌを利用したＦＣ－ＳＡＮのストレージ装置のコントローラ障害を根本原因とするルールＲ２と、ファイルサーバの障害を根本原因とするルールＲ３と、ＤＮＳサーバへのネットワーク不到達を根本原因とするルールＲ４が図４に示すように予め定義されているものとする。また、図６には、ルールに対して、該ルールを適用するＩＴ装置を保持する情報である、ルール適用先管理テーブルを示した。ルール適用先管理テーブルは、ルールを指し示す識別情報のカラムＣ１０１とそのルールを適用させる対象のＩＴ装置の識別情報を格納する適用先ＩＴ装置のリストのカラムＣ１０２から成る情報であり、データベース上のテーブルである必要はない。なお、本テーブル状のデータ構造は、テーブルを正規化することにより、複数のテーブル状のデータ構造に分割して管理されていてもよい。
　図３で示したルールＲ１乃至Ｒ４に対して、それぞれのルールを適用させるトポロジのパターンを図５に示した。図５の（１）は、ルールＲ１のＩＦ部が示唆する接続・関係情報のトポロジを示しており、計算機を示すＣｏｍｐｕｔｅｒが、ｉＳｃｓｉＩｎｉｔｉａｔｏｒを持ち、ＩＰスイッチを示すＩｐＳｗｉｔｃｈを介して、ストレージ装置を示すＳｔｏｒａｇｅのｉＳｃｓｉＴａｒｇｅｔと接続されていることを示す。ｉＳｃｓｉＴａｒｇｅｔは、ｉＳｃｓｉＩｎｉｔｉａｔｏｒの接続先を識別するためのｉＳＣＳＩ名であり、計算機が持つ接続先のｉＳｃｓｉＴａｒｇｅｔと、ストレージ装置が持つｉＳｃｓｉのポートのｉＳＣＳＩ名が一致する計算機とストレージ装置の組み合わせに対してルールＲ１が適用される。図３で示されるＩＴシステムにおいては、ルールＲ１の適用先のＩＴ装置は図６のＬ１０１とＬ１０２の行のようになる。
　また、図５の（２）についても同様に、ルールＲ２のＩＦ部が示唆するように、計算機がＦｃＨｂａを備え、ＦｃＨｂａがＦｃＳｗｉｔｃｈを介して、ストレージ装置のＦｃＰｏｒｔに繋がっていることを示す。このとき、ＦｃＨｂａが持つ接続先ポートＷＷＮ（ＷＷＮ：　Ｗｏｒｌｄ　Ｗｉｄｅ　Ｎａｍｅ）と、ストレージ装置のＦｉｂｒｅ　ＣｈａｎｎｅｌのポートであるＦｃＰｏｒｔのＷＷＮであるＦｃＰｏｒｔＷＷＮは一致しているものを接続関係があるものとしてルールＲ２の適用対象とする。図３のＩＴシステムにおいて、これらの計算機とストレージ装置の組み合わせとしてルールＲ２の適用先のＩＴ装置は図６のＬ１０３の行になる。
　図５の（３）については、ルールＲ３のＩＦ部がファイルサーバ－クライアントのトポロジを示している。ファイルサーバのファイルシステムをマウントしていることを示す情報ＩｍｐｏｒｔｅｄＦｉｌｅＳｈａｒｅを持つコンピュータＴ３１と、外部にファイルシステムを公開していることを示す情報ＥｘｐｏｒｔｅｄＦｉｌｅＳｈａｒｅを持つコンピュータＴ３３は、ＩＰスイッチＴ３２を介してそれぞれクライアント－ファイルサーバの関係である。このとき、ＩｍｐｏｒｔｅｄＦｉｌｅＳｈａｒｅ　Ｔ３１１にはマウント元のファイルサーバに関する情報として、ファイルサーバの識別情報（ＩＰアドレスやＦＱＤＮ（Ｆｕｌｌｙ　Ｑｕａｌｉｆｉｅｄ　Ｄｏｍａｉｎ　Ｎａｍｅ）など）と、公開しているファイルシステムの公開名を持ち、ＥｘｐｏｒｔｅｄＦｉｌｅＳｈａｒｅ　Ｔ３３１には、公開しているファイルシステムの場所と公開名（共有名とも呼ばれる）を持つ。
　ＩｍｐｏｒｔｅｄＦｉｌｅＳｈａｒｅが指しているファイルサーバの識別情報で示されるコンピュータで、なおかつそのコンピュータがＥｘｐｏｒｔｅｄＦｉｌｅＳｈａｒｅの情報を持ち、ＥｘｐｏｒｔｅｄＦｉｌｅＳｈａｒｅの公開名がコンピュータＴ３１のＩｍｐｏｒｔｅｄＦｉｌｅＳｈａｒｅが指している公開名と一致するコンピュータのペアをファイルクライアント－ファイルサーバのトポロジとしてルールＲ３を適用する。したがって、図３のＩＴシステムにおいては、これを満たす組み合わせとしてルールＲ３の適用先のＩＴ装置は図６のＬ１０４の行になる。
　図５の（４）については、ルールＲ４が示唆するＤＮＳサーバとクライアントのトポロジであり、名前解決サービスを提供しているＤＮＳサーバであるコンピュータＴ４２と、ＤＮＳサーバによりＩＰアドレスとＦＱＤＮの名前を解決しているクライアントのコンピュータＴ４１がペアとなって、図６に示す適用先管理テーブルに格納される。
　こうしたルールに記述された接続や関係に関するトポロジ情報に対する構成は、予めシステムで定義されているものとし、ルールの記述によって一意に定められる。
　ルールに対する適用先のＩＴ装置に関しては図６の適用先管理テーブルを持つことにより、イベント発生時にこのテーブルを参照することで、イベントがどのルールに関連するものなのかを判断し、適用すべきルールを選択することができる。以上が、管理対象のＩＴ装置に対するルールの適用方法である。
　図７及び図２１は、図２のルール適用部Ｃ１１におけるステップＳ１について、本発明の実施形態の１つを詳細化したものである。この処理フローに従い、図３のＩＴシステムと、図４のルールＲ１乃至Ｒ４を想定して第一実施形態を説明する。なお、図７及び図２１の処理は、全てルール適用部において行われるものである。また、予め運用管理システムは、一度発見したことがあるＩＴ装置について記憶しており、発見済みのＩＴ装置であると判断できることを前提とする。あるいは、運用管理システムが、ＩＴシステム内のＩＴ装置を自動で発見する機能を持たない場合、又は自動で発見する機能を持っていても、発見したＩＴ装置について記憶する機能がない場合には、発見済みのＩＴ装置は存在しないものとして図７及び図２１の処理を行う。
　（一般的なフローの説明及びルールＲ１を適用した場合について）
Ｓ１０１において、相関解析ルール情報情報Ｒ０に読み込むルール、すなわち読み込み済みでないルールが存在するかを判断する。判断の結果、読み込むルールが存在する（ＹＥＳの）場合には、Ｓ１０２に移る。そうでなければ（ＮＯの場合）終了する。読み込むルールはＲ１乃至Ｒ４と存在するので、ここではＹＥＳとなりＳ１０２に移る。
　Ｓ１０２においては、ルールを１つ読み込み、読み込み済みとわかるように、例えばしるしをつけたり、読み込み済みのルールとして記憶したりする。実施形態では、ルールのＲ１を読み込み、ルールＲ１を読み込み済みルールとして記憶してＳ１０３に移る。
　Ｓ１０３においては、ルールに記述されたトポロジ情報に対応するＩＴ装置の検索条件を求めてＳ４に移る。実施形態では、ルールＲ１のトポロジ情報として、ｉＳｃｓｉＩｎｉｔｉａｔｏｒを持つ計算機と、ｉＳｃｓｉＴａｒｇｅｔで識別されるｉＳＣＳＩのポートを持つストレージ装置、およびこれらに接続されたＩＰスイッチがルールＲ１を適用するＩＴ装置の検索条件となる。検索条件は、予めルールの記述に対して定義されているものとする。
　Ｓ１０４においては、トポロジ情報のうち、クライアント側のＩＴ装置を管理対象のＩＴ装置の構成情報から検索する。なお、構成情報の検索は、構成情報を管理しているものがデータベースであればデータベースに対して行い、ファイルであればファイルに対して行い、検索対象とする記憶メディアやデバイスなどは問わない。実施形態では、ルールＲ１のトポロジにおいてクライアントを示す、ｉＳｃｓｉＩｎｉｔｉａｔｏｒを持つ計算機を構成情報から検索する。本実施例では、計算機Ｎ１０又は計算機Ｎ１１がｉＳｃｓｉＩｎｉｔｉａｔｏｒを持つものとすると、計算機Ｎ１０と計算機Ｎ１１の識別情報が検索により見つかる。
　Ｓ１０５においては、Ｓ１０６以降の処理を複数の計算機の場合について実行するため、検索で見つかったＩＴ装置で未選択なＩＴ装置があるかを判断する。本実施例では、計算機Ｎ１０と計算機Ｎ１１が未選択なＩＴ装置であるためＳ１０６に進む。
　Ｓ１０６においては、未選択なＩＴ装置から１つを選択し、選択済みとする。本実施例では計算機Ｎ１０を選択し、計算機Ｎ１０を選択済みとしてＳ１０７に進む。
　Ｓ１０７においては、Ｓ１０６に於いて選択したＩＴ装置とトポロジ上で対向となるサーバ側のＩＴ装置の情報を取得する。ここでサーバ側のＩＴ装置の情報としては、サーバ側のＩＴ装置を識別する情報（ＩＰアドレス、又はホスト名、ＦＱＤＮなど）や、提供するサービスに関する情報（ファイルサーバにおける公開ファイルシステムの公開名（共有名とも呼ばれる）や、ストレージ装置のディスクボリュームを識別するＬＵＮ番号、あるいは接続先のｉＳＣＳＩ名、またはＦＣ　ＰｏｒｔのＷＷＮ）がある。本実施例では、計算機Ｎ１０に対向するサーバ側のストレージ装置の情報として、図８に示す接続先のｉＳＣＳＩ名であるＣｏｎｎｅｃｔｅｄＩｓｃｓｉＴａｒｇｅｔを取得する。
　Ｓ１０８においては、Ｓ１０７で取得したサーバ側のＩＴ装置に関する情報のうち、その情報に対応するＩＴ装置を検索していないものが存在するかを判断し、存在する（ＹＥＳ）場合にはＳ１０９に、存在しない（ＮＯ）場合にはＳ１０５に移る。本実施例では、図８に示すように少なくとも３つの未検索の情報が存在する（ＹＥＳ）ため、Ｓ１０９に移る。
　なお、ここで図８に含まれる情報を説明すると、当該情報にはＩＴ装置（より具体的には計算機）を示す識別情報と、当該ＩＴ装置が接続先とするストレージ装置のｉＳＣＳＩにおける識別情報を有する。
　Ｓ１０９においては、Ｓ１０７で取得したサーバ側のＩＴ装置の情報のうち、未検索のものを１つ選択し、この情報を元にサーバ側のＩＴ装置を管理対象の構成情報から検索する。本実施例では、計算機Ｎ１０より取得した図８に示されるＣｏｎｎｅｃｔｅｄＩｓｃｓｉＴａｒｇｅｔのＬ２０１行で示されるｉＳＣＳＩ名をｉＳｃｓｉＴａｒｇｅｔに持つストレージ装置を管理対象の構成情報から検索する。
　Ｓ１１０において、Ｓ１０９の検索の結果、管理対象のＩＴ装置に該当するものが存在しない（ＮＯ）場合には、Ｓ１１１に移る。一方で、管理対象のＩＴ装置に該当するものが存在する（ＹＥＳ）場合には、通常のルール適用処理と同様となり、Ｓ１２１に移る。本実施例では、管理対象のストレージ装置のｉＳｃｓｉＴａｒｇｅｔに関する構成情報は図９に示したものとする。このとき、図８のＬ２０１行のＣｏｎｎｅｃｔｅｄＩｓｃｓｉＴａｒｇｅｔと一致するｉＳｃｓｉＴａｒｇｅｔを持つストレージ装置は図９に示したように管理対象には存在しないため、Ｓ１１１に移る。
　なお、ここで図９に含まれる情報を説明すると、当該情報にはストレージ装置を示す識別情報と、当該ストレージ装置が有するｉＳＣＳＩにおける識別情報を有する。
　なお、発見済みの一つ以上のＩＴ装置毎に当該装置がイベント取得対象であるかどうか（すなわち当該装置が監視される装置であるかどうか、言い方を代えると当該装置に対するイベント取得を許可しているか抑止しているか）を示すイベント取得可否情報が構成情報Ｔ０に含まれており、当該データを参照することでＳ１１０の判断を行う。
　Ｓ１１１においては、運用管理システムにおいて既に発見したことがあるＩＴ装置であるかどうかを判断する。すなわち、運用管理システムにおいて、一度でも存在を発見、又は確認、又は管理されたことがあるＩＴ装置であって、部分的に運用管理システムが静的構成情報を持つようなＩＴ装置であるかどうかをここでは判断する。本実施例では、図８のＬ２０１行のＣｏｎｎｅｃｔｅｄＩｓｃｓｉＴａｒｇｅｔと一致するｉＳｃｓｉＴａｒｇｅｔを持つストレージ装置に関する構成情報は一切なく、発見済みリソースでない（ＮＯ）であるものとしてＳ１１２に進む。
　なお、Ｓ１１１の判断は構成情報に当該装置に関する情報（例えばイベント取得可否情報）が存在するかどうかで判別する方法がある。
　Ｓ１１２において、図８のＬ２０１行のＣｏｎｎｅｃｔｅｄＩｓｃｓｉＴａｒｇｅｔと一致するｉＳｃｓｉＴａｒｇｅｔを持つストレージ装置を、管理外のＩＴ装置から発見を試みる。Ｓ１１２の管理外ＩＴ装置の有無の検索方法の一例としては、構成情報より取得、又はユーザにより入力された対象となるリソースに対応するＩＰアドレスやＦＱＤＮなどの通信識別子、又は構成情報から取得、又はユーザにより入力された対象となるリソースを含むネットワークセグメントに対応するＩＰアドレスであるネットワークアドレス内のＩＰアドレス、又はＦＱＤＮなどの通信識別子に対して、対象となるリソースに関するサービス提供を求めるリクエストを送信し、その応答の有無を待って対象とするリソースの存在を確認する方法がある。本実施例では、図３に示すＩＴシステムから発見を試みる。
　Ｓ１１３においては、Ｓ１１２で試みた発見が成功したかどうかを判断する。成功した（ＹＥＳ）場合にはＳ１４に移る。さもなければ（ＮＯ）Ｓ１１６に移る。本実施例では、図３に示すストレージ装置Ｕ３が該当するストレージ装置として発見されたものとしてＳ１１４に移る。
　Ｓ１１４においては、Ｓ１１３に於いて発見したＩＴ装置を、運用管理システムの管理対象とすることができるかどうかを判断する。管理対象とすることができるかどうかの判断は、その運用管理システムが監視・管理するために必要となる情報が、対象のＩＴ装置から取得できるかどうかで判断する。監視・管理するために必要となる情報については、運用管理システムごとに様々であるが、共通的なものとしては、そのＩＴ装置を識別する情報、例えばＩＰアドレス、又はＷＷＮ（Ｗｏｒｌｄ　Ｗｉｄｅ　Ｎａｍｅ）、又は何かしらのユニークな識別情報（番号）、装置名（ホスト名）、ＦＱＤＮなど、少なくとも１つ以上の情報である。
　また、そのＩＴ装置を構成するハードウェアの種類または個数に関する一つ以上の情報も、ある程度は取得できるほうが好ましい。本発明では、運用管理サーバＮ０が所定の判断基準を持ち、その判断基準によってこの判断を行うものとする。本実施例では、ストレージ装置Ｕ３に関する情報として、このストレージ装置がｉＳＣＳＩのポートを備え、そのｉＳＣＳＩポートのｉＳＣＳＩ名としてｉＳｃｓｉＴａｒｇｅｔの情報が取得できるものとし、管理対象にすることができると判定されたものとしてＳ１１５に進む。なお、続く処理にて当該装置を管理対象とする場合があるため、本ステップにて当該ＩＴ装置からイベント情報が受信可能であることを確認処理に加え、確認できた場合のみＳ１１５に進むようにしてもよい。
　Ｓ１１５においては、Ｓ１１３において発見されたＩＴ装置を管理対象とするかどうかをユーザに提示する。本実施例では、ストレージ装置Ｕ３が計算機Ｎ１のストレージサーバとして発見されたことと、ストレージ装置Ｕ３を管理対象に入れるかどうかを提示する。提示画面は、図１０である。
　Ｓ１１６においては、運用管理サーバＮ０（特にルールエンジン）は管理画面出力装置からの入力を受信する。
　Ｓ１１７において、ユーザが発見したＩＴ装置を管理対象としたかどうかを判断し、管理対象とした（ＹＥＳ）場合にはＳ１１８に進み、そうでなければ（ＮＯ）Ｓ１１９に進む。本実施例においては、ユーザはストレージ装置Ｕ３を管理対象としなかったものとしＳ１１９に進む。
　Ｓ１１８においては、ユーザが管理対象に含める判断をしたＩＴ装置に対して情報を取得し、管理対象のＩＴ装置として構成管理に情報を格納する。本実施例では、この時点ではこちらの分岐には来ていない。
　Ｓ１１９においては、クライアントと対向となるサーバを、管理外ＩＴ装置として管理外ＩＴ装置管理テーブルに取得可能な情報について格納して管理し、Ｓ１２０に進む。本実施例では、ストレージ装置Ｕ３について、装置を識別する情報としてＦＱＤＮと、ストレージ装置のＩＰポートのｉＳＣＳＩ名であるｉＳｃｓｉＴａｒｇｅｔが取得可能な情報であるものとし、これを図１１の管理外ＩＴ装置管理テーブルＴＬ３に格納する。
　なお、ここで図１１の説明を行うと、管理害ＩＴ装置管理テーブルＴＬ３には発見した管理外ＩＴ装置の各々について以下の情報を含む。
（Ａ）管理外ＩＴ装置の識別情報
（Ｂ）管理外ＩＴ装置の種別であるＣ４０１
（Ｃ）管理外ＩＴ装置の通信識別情報であるＣ４０２
（Ｄ）管理外ＩＴ装置のサービスにアクセスするために必要な識別情報であるＣ４０３
　Ｓ１２０においては、管理外ＩＴ装置の識別情報を、該ＩＴ装置が管理外であることがわかるような印をつけた上で、図１２に示すようにルール適用先管理テーブルＴＬ１に格納する。本実施例では、ストレージ装置Ｕ３に関する管理外ＩＴ装置管理テーブルの情報を元に識別情報を、ルール適用先管理テーブルＴＬ１に格納する。格納した後、選択したクライアント側のＩＴ装置に対向するサーバ側のＩＴ装置に関する検索情報が存在するかについてＳ８に戻る。
　本実施例において、Ｓ１０８に戻ると、Ｓ１０７に於いて取得したサーバ側のストレージ装置に関する検索情報で未検索のものが存在するかを判断するが、計算機Ｎ１０に関するサーバ側のストレージに関する検索情報は図８のＬ２０２の行が存在するため、Ｓ１０９に移る。
　Ｓ１０９に移ると、Ｌ２０２に対応するストレージ装置を構成管理にて検索する。実施例では図９のように、Ｌ２０２に対応するストレージ装置が存在するため、Ｌ２０２に対するＩＴ装置は管理対象であることがわかるので、Ｓ１１０において管理対象のＩＴ装置であると判断してＳ１２０に移る。Ｓ１２０では、管理対象のＩＴ装置としてストレージ装置Ｎ４０と計算機Ｎ１０のリストをルールＲ１の適用先ＩＴ装置として図１１のルール適用先管理テーブルのＬ１０１に格納する。
　以上のステップにより、計算機Ｎ１０に対して論理ボリュームを提供している管理対象外のストレージ装置Ｕ１を含めてルールＲ１を適用できるようになる。
　次に図１１のルール適用先管理テーブルを用いて、図２のＳ６の一例、つまり管理外のストレージ装置Ｕ１で障害が発生した場合に、前記ストレージ装置Ｕ１を障害の根本原因として画面表示する処理について説明する。
　ストレージ装置Ｕ１からコントローラの障害イベントが発生し、図１のイベント解析処理部Ｃ１２において図１１のルール適用先管理テーブルを元にルールによるイベント相関によって障害の原因箇所を特定されると、解析結果の情報が、画面表示部Ｃ２に送信される。画面表示部Ｃ２では、図１６のフローにもとづき、根本原因のＩＴ装置が管理対象かどうかを判断して、適切な画面を画面表示装置Ｍ１に表示させる。
　図１６のステップ６０１から６０３において画面標示部Ｃ２において、図１７に示したルールエンジンにおける障害解析の結果を示す障害解析結果データＤ１をルールエンジンＣ１から取得する。なお、ルールエンジンＣ１（特にイベント処理解析部Ｃ１２）は図２のＳ４及び図４及び図５にて説明した処理を行っている。
　障害解析結果データＤ１は、障害原因ＩＴ装置に関する情報である障害原因ＩＴ装置情報と、運用管理システムが受信した管理対象のＩＴ装置のイベントに関する情報である受信イベントリストと、を含むデータから成る。障害原因ＩＴ装置情報Ｄ１１は、障害原因ＩＴ装置を示す情報と、障害箇所の部位に関する情報を含む。障害箇所の部位に関する情報は、管理対象外のＩＴ装置である障害原因ＩＴ装置からどの程度の障害情報を取得できるかによる。全く障害情報を取得できない場合には、図１７のように不明となる。受信イベントリストは、この障害について定義されているルールにおいて、関連がある受信イベントに関する情報である、受信イベントの発信元に関する情報である受信イベント発信元と、イベントの内容に関する情報を示すイベント種別とを含む。
　Ｓ６０４において、取得した障害解析結果データＤ１１の障害原因ＩＴ装置の情報から、管理対象か管理対象外かを判断する。本実施例では管理対象外のＩＴ装置であるため、Ｓ６０５に進む。
　Ｓ６０５では、障害解析結果データＤ１１の障害原因ＩＴ装置の情報を元に図１１の管理外ＩＴ装置管理テーブルを検索して、該管理外ＩＴ装置に関する情報を取得してＳ６０６に進む。本実施例ではストレージ装置Ｕ１について図１１のＬ４０１から取得する。
　Ｓ６０６では、Ｓ６０５にて取得した情報を含めて、発生した障害の根本原因が、管理外のＩＴ装置が原因であることを画面に表示する。その際の画面の構成例は、図１８のように、管理外ＩＴ装置が障害の根本原因であることを伝えるメッセージと、障害の原因について解析した結果である障害解析結果と、発生した障害に関して運用管理システムが検知している障害情報、例えば受信しているイベントなど、とを含んだウィンドウ、又はダイアログなど、画面表示を画面出力装置Ｍ１に出す。本実施例の管理外のＩＴ装置であるストレージＵ１の障害が根本原因であるケースにおける画面表示例は、図１９のようになる。障害原因ＩＴ装置が、管理対象外であることがわかる情報と、そのＩＴ装置の種別が何であるか、例えばＩＰ－ＳＡＮストレージ装置であり、ＩＴ装置の識別情報として例えばＩＰアドレスが１９２．１６８．１００．１５であることを含むような画面表示である。
　以上のステップにより、管理対象外ＩＴ装置のストレージ装置Ｕ１に障害があった場合に、ルールＲ１のようなＩＰ－ＳＡＮストレージの障害が管理対象外で起こった場合について適用できるようになり、根本原因が管理対象外のＩＰ－ＳＡＮストレージであることを画面に表示することができる。
　（ルールＲ２についての処理フロー）
　ルールＲ２について、図３のＩＴシステムを対象とした実施例をもとにフローを説明する。
　Ｓ１０１においてルールＲ２があるためＳ１０２に進み、Ｓ１０２では、ルールＲ２を読み込み、Ｒ２に読み込み済みの印をつける。Ｓ１０３において、ルールＲ２に記述されたトポロジ情報として図４の（２）のＦＣ－ＳＡＮトポロジとして、クライアント側にＦｉｂｒｅ　ＣｈａｎｎｅｌのＨｏｓｔ　Ｂｕｓ　Ａｄａｐｔｅｒ、すなわちＦｃＨｂａＴ２１１を持つ計算機Ｔ２１、ＦＣスイッチＴ２２を介して、サーバ側にＦｉｂｒｅ　ＣｈａｎｎｅｌのポートであるＦｃＰｏｒｔＴ２３１を持つストレージ装置Ｔ２３が接続されているトポロジを検索条件に定める。
　Ｓ１０４において、クライアント側のＩＴ装置として、ＦｃＨｂａを持つ計算機である計算機Ｎ１３が見つかったものとする。
　Ｓ１０５において、計算機Ｎ１３が未選択なＩＴ装置であるので、Ｓ１０６に進む。
　Ｓ１０６において、計算機Ｎ１３を選択して、選択済みとする。
　Ｓ１０７において、図１３に示したように計算機Ｎ１３より、接続先のサーバ側のストレージ装置のＦｉｂｒｅ　ＣｈａｎｎｅｌのポートであるＦＣ　ＰｏｒｔのＷＷＮを示すＣｏｎｎｅｃｔｅｄＦｃＰｏｒｔＷＷＮ　Ｃ５０２を収集する。
　なお、図１３のＦＣ－ＳＡＮストレージ装置の接続情報について説明すると、個々のＩＴ装置に対応する情報として、接続先のストレージ装置が有するＦｉｂｒｅＣｈａｎｎｅｌの通信識別情報を含む。
　Ｓ１０８において、計算機Ｎ１３における接続先のストレージ装置に関する検索情報であるＣｏｎｎｅｃｔｅｄＦｃＰｏｒｔＷＷＮについて、未検索であるためＳ１０９に進む。
　Ｓ１０９において、計算機Ｎ１３で取得したＣｏｎｎｅｃｔｅｄＦｃＰｏｒｔＷＷＮとして、Ｌ５０１行目のＣ５０２の値を用いて、構成管理において、このＷＷＮをＦｃＰｏｒｔのＷＷＮに持つストレージ装置を検索する。
　Ｓ１１０において、Ｓ１０９で検索の結果、図１３のＬ５０１行目のＣ５０２の値をＦｃＰｏｒｔのＷＷＮとして持つストレージが図１４に示すように管理対象の構成情報には存在しなかったため、Ｓ１１１に進む。
　なお、ここで図１４に含まれる情報を説明すると、当該情報にはストレージ装置を示す識別情報と、当該ストレージ装置が有するＦｉｂｒｅＣｈａｎｎｅｌにおける通信識別情報を有する。
　Ｓ１１１において、発見済みのストレージ装置の中で、図１３のＬ５０１行目のＣ５０２の値をＦｃＰｏｒｔのＷＷＮとして持つストレージ装置Ｕ２を発見したため、Ｓ１１５に進む。
　Ｓ１１５において、発見済みのストレージ装置Ｕ２を管理内に含めるように提案する画面を表示する。図１０は、ルールＲ１における画面表示例であるが、画面表示の構成は基本的に同様であり、メッセージの中身が実際のＩＴ装置のものに置き換わるのみである。
　Ｓ１１６にて管理者よりストレージ装置Ｕ２の識別情報と当該装置を管理対象とする指示情報を受信する。
　Ｓ１１７において、ユーザが管理対象に含めたかどうかを確認し、本実施例では管理対象に含めたためＳ１１８に進む。
　Ｓ１１８において、管理対象として新たに追加したストレージ装置Ｕ２について、管理対象のＩＴ装置として取得が必要な情報を収集する。管理対象として取得する情報は、イベント情報と構成管理情報である。
　Ｓ１２１においては、ストレージ装置Ｕ２を管理対象のＩＴ装置として、計算機Ｎ１４とともにルールＲ２の適用先ＩＴ装置としてルール適用先管理テーブルに登録する。本ケースの例では図１２に示したルールのカラムＣ１０１と、そのルールの適用先となるＩＴ装置リストを格納するカラムＣ１０２から成る、テーブル状のデータ構造に登録する。
　以上により、ルールＲ２に対して、管理対象外のＩＴ装置であるＦＣ－ＳＡＮストレージ装置の障害解析が従来のルールベースのイベント相関で行えるようになる。
なお、障害解析の結果データを元に、管理対象外のＩＴ装置であるＦＣ－ＳＡＮストレージが障害の根本原因であると画面表示を出す処理については、ルールＲ１の管理対象外のＩＰ－ＳＡＮストレージを障害の根本原因であると画面表示した処理と同様にして図１６のステップで行う。
　上記の処理ステップにより、ルールＲ２に対しても、管理対象外ＩＴ装置のストレージ装置Ｕ２に障害があった場合に、ルールＲ２のようなＦＣ－ＳＡＮストレージの障害が管理対象外で起こった場合について適用できるようになり、根本原因が管理対象外のＦＣ－ＳＡＮストレージであることを画面に表示することができる。
（ルールＲ３についての処理フロー）
　ルールＲ３について、図３のＩＴシステムを対象とした実施例をもとにフローを説明する。
　Ｓ１０１においてルールＲ３があるためＳ１０２に進み、Ｓ１０２では、ルールＲ３を読み込み、Ｒ１０３に読み込み済みの印をつける。Ｓ１０３において、ルールＲ３に記述されたトポロジ情報として図４の（３）のファイルサーバ・クライアントのトポロジとして、クライアント側に公開されているファイルシステムをマウントしていることを示すＩｍｐｏｒｔｅｄＦｉｌｅＳｈａｒｅＴ３１１を持つ計算機Ｔ３１、ＩＰスイッチＴ３２を介して、サーバ側に他の計算機に公開しているファイルシステムを持つことを示すＥｘｐｏｒｔｅｄＦｉｌｅＳｈａｒｅＴ３３１を持つ計算機Ｔ３３が接続されているトポロジを検索条件に定める。
　Ｓ１０４において、図４の（３）のトポロジのクライアント側のＩＴ装置として、図３の計算機Ｎ１０が見つかったものとする。
　Ｓ１０５において、検索されたクライアント側のＩＴ装置として計算機Ｎ１０があり、未選択であるため、Ｓ１０６に進む。
　Ｓ１０６において、未選択のクライアント側のＩＴ装置として図３の計算機Ｎ１０を選択し、選択済みとする。
　Ｓ１０７において、計算機Ｎ１０と、図４の（３）のトポロジのサーバ側のＩＴ装置として対向する計算機の検索情報として、どのファイルサーバの公開ファイルシステムをマウントしているかを示すＩｍｐｏｒｔｅｄＦｉｌｅＳｈａｒｅの情報を取得する。クライアント側から取得するファイルサーバに関する情報を管理するテーブルとして図１５のようなクライアント側のコンピュータのカラムＣ７０１と、それに対応するファイルサーバに関する識別情報のカラムＣ７０２と、ファイルサーバの公開名に関するカラムＣ７０３を含むデータ構造、例えばテーブルなどで管理する。なお、クライアント側から取得するファイルサーバに関する情報は、予め構成情報として図１５のテーブルで取得済みであっても構わないし、Ｓ７の処理においてクライアント側のＩＴ装置から取得してきても構わない。すなわち取得するタイミングは、Ｓ１０７の処理が完了するまでに行われていればよい。
　なお、ここで図１５に含まれる情報を説明すると、当該情報には個々のファイルサーバ毎に以下の情報を含む。
（Ａ）ファイルサーバーのＩＴ装置としての識別情報
（Ｂ）一つ以上のファイルサーバとしての識別情報と公開名
　Ｓ１０８において、Ｓ１０７で取得したクライアント側のファイルサーバに関する情報は、図１５のＬ７０１行であり、未検索であるためＳ９に進む。
　Ｓ１０９において、図１５のＬ７０１行目のファイルサーバの識別情報のカラムＣ７０２の値、すなわちｅｘｐｏｒｔｆｓ．ｄｏｍａｉｎ２．ｃｏｍというＦＱＤＮを持つＩＴ装置を検索する。
　Ｓ１１０において、管理対象の構成情報Ｔ０の中にｅｘｐｏｒｔｆｓ．ｄｏｍａｉｎ２．ｃｏｍというＦＱＤＮを持つ計算機が存在しないことから、Ｓ１１１に進む。
　Ｓ１１１において、発見済みリソースの中にｅｘｐｏｒｔｆｓ．ｄｏｍａｉｎ２．ｃｏｍ　というＦＱＤＮを持つ計算機が存在しないことから、Ｓ１１２に進む。
　Ｓ１１２において、ｅｘｐｏｒｔｆｓ．ｄｏｍａｉｎ２．ｃｏｍという計算機の発見を試みる。発見は、ＤＮＳサーバに問い合わせてＩＰアドレスを解決し、そのＩＰアドレスに対してｐｉｎｇによりか存在を確認した上で、ｔｅｌｎｅｔ、又はｓｓｈ、又はＷｉｎｄｏｗｓ（登録商標）のリモート接続などによりアクセスを試みる。本実施例では、ｅｘｐｏｒｔｆｓ．ｄｏｍａｉｎ２．ｃｏｍに対するＩＰアドレスに対するｐｉｎｇは成功を返し、存在が確認できるが、そのサーバの認証情報を持たないため、その他のアクセスは失敗してログインできないものとしてＳ１１４に進む。
　Ｓ１１４において、発見したｅｘｐｏｒｔｆｓ．ｄｏｍａｉｎ２．ｃｏｍの計算機は、ｐｉｎｇでの応答を返すものの、それ以外の情報が取得できず、管理対象とすることができないのでＳ１１９に進む。
　Ｓ１１９において、ｅｘｐｏｒｔｆｓ．ｄｏｍａｉｎ２．ｃｏｍの計算機を図１１の管理外ＩＴ装置管理テーブルに登録する。具体的には図１０のＬ４０３のように、ファイルサーバ識別情報と、サービス識別情報にクライアント側で取得した情報を格納する。
　Ｓ１２０において、クライアント側の計算機Ｎ１０とｅｘｐｏｒｔｆｓ．ｄｏｍａｉｎ２．ｃｏｍの計算機Ｕとのペアに対するルール適用情報を生成する。具体的には、図１２１のＬ１０７のように、ルールＲ３に対して、適用先ＩＴ装置リストに、計算機Ｎ１０と管理外ＩＴ装置である計算機Ｕ３を登録する。
　以上により、計算機Ｎ１０のファイルサーバである管理外のＩＴ装置である計算機Ｕ３についても障害解析が行えるようになる。
　同様にして、Ｓ１０１からＳ１０４のステップにより、ルールＲ３についてクライアント側のＩＴ装置として計算機Ｎ１１が見つかった場合の実施形態の処理フローを説明する。
Ｓ１０５からＳ１０７のステップにより、計算機Ｎ１１に対するファイルサーバとして
図１５のＬ７０３の行に示したファイルサーバに関する情報を取得する。Ｓ１０９において管理対象のＩＴ装置に図１５のＬ７０３行で示されたファイルサーバは見つからないため、Ｓ１１１に進む。Ｓ１１１においては、発見済みのリソースの中に図１５のＬ７０３行で示されたＩＰアドレスを持つ計算機Ｕ５が存在するので、Ｓ１１５に進む。
　Ｓ１１５において、計算機Ｕ５を管理対象に含めるように提案する画面を表示し、Ｓ１１６にてユーザ入力としてユーザが計算機Ｕ５を管理対象とする指示を受信する。
　Ｓ１１７において、Ｓ１１６ユーザが計算機Ｕ５を管理対象とする指示を受信したため、Ｓ１１８に進む。
　Ｓ１１８において、計算機Ｕ５を管理対象とするための情報として、発見済みリソースとして保持していたＩＴ装置の識別情報、アクセスのための情報の他に、計算機Ｕ５の接続デバイスの構成情報と、稼動状態と、性能情報とを含む監視情報を取得して、構成管理Ｃ３の管理対象の構成情報Ｔ０に格納する。
　Ｓ１２１において、管理内ＩＴ装置として計算機Ｎ１１をクライアント、計算機Ｕ５をファイルサーバとするトポロジに対してルールＲ３を適用できるように、図１２のＬ１０８行目のようなデータ構造としてルールメモリに格納する。
　以上により、発見済みのＩＴ装置で、なおかつ管理対象外であったファイルサーバの計算機Ｕ５に対する障害解析が、図２のフローにしたがって行え、画面表示部Ｃ２において図１６のフローに行うことで、画面表示装置Ｍ１に障害原因を出力することができるようになる。
　（ルールＲ４についての処理フロー）
　ルールＲ４について、図３のＩＴシステムを対象とした実施例をもとにフローを説明する。
　Ｓ１０１からＳ１０４のステップにより、ルールＲ４についてクライアント側のＩＴ装置として計算機Ｎ１０を見つける。Ｓ１０５からＳ１０７のステップにより、計算機Ｎ１０に対するＤＮＳサーバの検索情報として、計算機Ｎ１０よりＤＮＳサーバのＩＰアドレス１９２．１６８．１００．１を取得する。　Ｓ１０８からＳ１１０のステップにより、取得したＩＰアドレス１９２．１６８．１００．１を利用して構成管理Ｃ３の管理対象の構成情報Ｔ０にＤＮＳサーバが存在しないことを確認し、Ｓ１１１に進む。Ｓ１１１では、ＤＮＳサーバは発見済みＩＴ装置ではないことを判断して、Ｓ１１２に進み、Ｓ１１２において実ＩＴシステムからＩＰアドレス１９２．１６８．１００．１のノードに対するアクセスを試みる。アクセスの結果、ｐｉｎｇによるネットワーク到達が確認できたものの、認証情報を持たないためログインはできず、Ｓ１１４において管理対象とすることができないと判断してＳ１１９に進む。Ｓ１１９においては、ＩＰアドレス１９２．１６８．１００．１の計算機を管理対象外ＩＴ装置として図１１のＬ４０４に示したようにＤＮＳサーバとして識別情報Ｕ４で情報を格納・管理してＳ１２０に進む。Ｓ１２０において、クライアントの計算機Ｎ１０と、ＤＮＳサーバである管理外のＩＴ装置の計算機Ｕ４をルール４の適用先ＩＴ装置リストとして図１２のＬ１０９行のように格納する。
　以上のステップにより、管理外のＤＮＳサーバである計算機Ｕ４の障害解析が、従来のルールによるイベント相関により解析できるようになり、障害原因として管理外のＤＮＳサーバを特定することができるようになる。
　図３のそのほかのＩＴ装置に対するルール４の適用についても同様にして、管理外のＤＮＳサーバである計算機Ｕ４に対して適用情報が生成されることで行える。
　また、他のルールの実施例と同様にして、図１６のフローを画面表示部Ｃ２にて行うことで、管理外のＩＴ装置であるＤＮＳサーバが障害の根本原因であることを画面に表示することができる。
　本発明の第２の実施形態は、第１の実施形態において図２に示した障害解析の全体処理フローの処理手順を、図２０に示したように、ルール適用部Ｃ１１における適用情報を作成するステップＳ４ｂをイベント受信するステップＳ３ｂよりもあとで、なおかつイベント解析部Ｃ１２におけるイベント解析処理のステップＳ５ｂよりも前のステップで行う。
この第２実施形態と、第１実施形態の違いは、ルールの適用情報を作成するタイミングのみである。
　上記のように、ルールの適用情報のタイミングを変えて本発明を実施しても効果は損なわれず、管理対象外のＩＴ装置を障害の根本原因装置であると画面に表示することは可能である。
　以上、本願明細書の実施例１と実施例２による複数の情報処理装置と画面出力装置とに接続され、プロセッサとメモリを有する運用管理サーバにおける前記複数の情報処理装置で発生するイベントの解析を実現するプログラムは以下の処理の一部または全てを有する。
（ａ）前記複数の情報処理装置の各々が、クライアントとしてネットワークサービスを用いるためにアクセス対象とする前記複数の情報処理装置の一部であるサーバ装置の識別情報を、前記メモリが有する構成情報に格納する構成情報格納処理。
（ｂ）前記複数の情報処理装置の一部であって、前記運用管理サーバがイベント情報を取得する対象である複数のイベント取得対象装置を前記メモリが有する構成情報に登録する登録処理。
（ｃ）前記複数の情報処理装置で発生する前記ネットワークサービスに関連した第一のイベント種別を含むイベントと、前記ネットワークサービスに関連した前記第一のイベント種別とは異なる第二のイベント種別を含むイベントと、を検知した場合に、前記第二のイベント種別に対応するイベントの発生が原因で前記第一のイベント種別に対応するイベントが発生し得ることを示す相関解析ルール情報を前記メモリに格納するルール格納処理。
（ｄ）前記複数のイベント取得対象装置から収集した複数の前記イベント情報を前記メモリに格納するイベント格納処理。
（ｅ）前記相関解析ルール情報を元に、前記メモリに格納した複数の前記イベント情報から、前記第一のイベント種別を含む第一のイベント情報を特定するイベント情報特定処理。
（ｆ）前記構成情報を元に、前記第一のイベント情報を送信したイベント取得対象装置の一つである第一イベント取得対象装置と、前記第一のイベント種別に対応する前記ネットワークサービスにおける前記第一イベント取得対象装置のサーバ装置である障害要因装置とを特定する、要因特定処理。
（ｇ）前記相関解析ルール情報と前記構成情報とを元に、前記障害要因装置が前記複数のイベント取得対象装置でない場合に、前記第一イベント取得対象装置と前記第一のイベント種別と前記障害要因装置と前記第二のイベント種別とを特定する情報を前記画面出力装置へ送信することで、前記第一イベント取得対象装置で発生した前記第一のイベント情報に対応したイベントが、前記障害要因装置で前記第二のイベント種別のイベントが発生したことが要因と推定されることを前記画面出力装置へ表示させる解析結果送信処理。
　さらには、前記相関解析ルール情報は、前記第一のイベント種別が発生した前記複数の情報処理装置の一つである第一情報処理装置と、前記第二のイベント種別が発生した前記複数の情報処理装置の一つである第二情報処理装置と、の間のトポロジ条件を示すトポロジ条件情報を含み、前記要因特定ステップは、前記トポロジ条件情報に基づいて前記障害要因装置を特定してもよい。このような処理によってイベントが発生した情報処理装置が実際に用いている情報処理装置に限定して推定を提示できるため、より運用管理サーバの利用者に利便性の高い。
　また、運用管理サーバは以下の処理を有してもよい。
（ｈ）前記相関解析ルール情報と前記構成情報に基づいて、前記複数のイベント取得対象装置のサーバ装置であって、前記複数のイベント取得対象装置に含まれない、前記複数の情報処理装置の一部であるイベント関連情報処理装置を特定する、関連装置特定処理。
（ｉ）前記イベント関連情報処理装置からイベント情報の取得が可能か調査する、イベント情報取得可否調査処理。
（ｊ）前記調査の結果を元に、前記イベント関連情報処理装置からイベント情報の取得が可能な場合は前記イベント関連情報処理装置を特定する情報を前記画面出力装置へ送信することで、前記イベント関連情報処理装置からイベント情報の取得が可能であることを前記画面出力装置へ表示させる、イベント情報取得対象追加提案処理。
　このような処理は、情報処理装置の管理者または管理方法の変更によって新たに運用管理サーバでイベント監視が必要または可能となった時点から迅速に、登録忘れをせずに運用管理サーバへの登録を促進することができる。
　さらには、前記イベント情報取得可否調査処理は、前記複数の情報処理装置であって予め調査範囲として設定されたＩＰアドレスの範囲に含まれるＩＰアドレスを有する情報処理装置に対して、前記運用管理サーバが所定の手順に基づくアクセスを行った結果に基づいてもよい。情報処理装置（特にインターネットを介してアクセスするサーバ計算機）には不正アクセスや不正攻撃を防止するために当該装置外部からのアクセスを監視している場合があり、当該調査処理によるアクセスを行った場合もアクセス監視により不正アクセスや不正攻撃と見なされることがある。そのため、明らかにイベント監視の対象としない情報処理装置のＩＰアドレス、またはイベント監視対象になりうる情報処理装置のＩＰアドレスの範囲を特定することで、こうした不正アクセスや不正攻撃と誤認されるような通信を抑止することができる。
　さらには、前記障害要因装置はコントローラを有し、論理ボリュームを提供するストレージ装置であって、前記ネットワークサービスは前記論理ボリュームをブロックアクセス形式のプロトコル（例えばＦｉｂｒｅＣｈａｎｎｅｌやｉＳＣＳＩがある）によって提供するサービスであって、前記第一のイベント種別が前記ストレージ装置の障害発生であり、前記第一のイベント種別が前記論理ボリュームへのアクセス失敗であってもよい。
　さらには、前記障害要因装置は前記ネットワークサービスとしてＤＮＳを提供する計算機であって、前記第一のイベント種別がＤＮＳ要求失敗であり、前記第一のイベント種別がＤＮＳサーバの通信断絶であってもよい。
　さらには、前記障害要因装置は前記複数の情報処理装置の少なくとも一つからデータを受信するＮＩＣを有し、格納したファイルを前記複数の情報処理装置の少なくとも一つに提供するファイルサーバ計算機であって、前記ネットワークサービスは前記ファイルサーバ計算機が格納したファイルを共有するネットワークファイル共有サービスであって、前記第一のイベント種別が前記ファイルサーバの障害発生（例えばＮＩＣの障害発生、ファイルサーバが有するプロセッサが実行するソフトウェアの不具合の発生、その他ファイルサーバの通信機能が停止する障害の発生）であり、前記第一のイベント種別が前記ネットワークファイル共有サービスで提供されたファイルへのアクセス失敗であってもよい。
　さらには、前記相関解析ルール情報と前記構成情報とを元に、前記障害要因装置が前記複数のイベント取得対象装置の一つの場合に、複数の前記イベント情報から前記第二のイベント種別を含み、前記障害要因装置が取得元である第二のイベント情報を特定し、前記第一イベント取得対象装置と前記第一のイベント情報と前記障害要因装置と前記第二のイベント情報とを特定する情報を前記画面出力装置へ送信することで、前記第一イベント取得対象装置で発生した前記第一のイベント情報に対応したイベントが、前記障害要因装置で発生した前記第二のイベント情報に対応したイベントが発生したことが要因であることを前記画面出力装置へ表示させてもよい。
　さらには、前記第一情報処理装置が計算機であり、前記第二情報処理装置がストレージ装置であり、前記トポロジ条件情報は、前記計算機と前記ストレージ装置とが接続するトポロジの接続関係を示す、前記計算機に対応する通信識別情報と前記ストレージ装置に対応する通信識別情報との組み合わせを含めても良い。なお、これら通信識別情報としてはｉＳＣＳＩ名と、ＩＰアドレスと、ＦｉｂｒｅＣｈａｎｎｅｌにおけるＷＷＮとの少なくとも一つが考えられる。
　さらには、前記第一情報処理装置が計算機であり、前記第二情報処理装置はファイル共有サービスによって格納したファイルを前記複数の情報処理装置へ提供するファイルサーバ計算機であり、前記トポロジ条件情報は、前記計算機と前記ファイルサーバ計算機とが接続するトポロジの接続関係を示す前記計算機に対応する通信識別情報と前記ファイルサーバ計算機に対応する通信識別情報又は前記ファイルを公開するエクスポート名との組み合わせを含めても良い。
　さらには、前記第一情報処理装置は計算機であり、前記第二情報処理装置がネットワーク共有サービスとしてＤＮＳを前記複数の情報処理装置に提供するＤＮＳサーバ計算機であり、前記トポロジ条件情報は、前記計算機と前記ＤＮＳサーバ計算機とが接続するトポロジの接続関係を示す前記計算機に対応する通信識別情報と前記ＤＮＳサーバ計算機に対応する通信識別情報との組み合わせを含めても良い。なお、前記計算機に対応する通信識別情報と前記ＤＮＳサーバ計算機に対応する通信識別情報とは、ＩＰアドレス又はＦＱＤＮが考えられる。
　さらには、前記運用管理サーバは一つ以上の計算機から構成されてもよい。

Claims (14)

  1. 複数の情報処理装置と画面出力装置とに接続され、プロセッサとメモリを有する運用管理サーバにおける前記複数の情報処理装置で発生するイベントの解析方法であって、
    前記複数の情報処理装置の各々が、クライアントとしてネットワークサービスを用いるためにアクセス対象とする前記複数の情報処理装置の一部であるサーバ装置の識別情報を、前記メモリが有する構成情報に格納する構成情報格納ステップと、
    前記複数の情報処理装置の一部であって、前記運用管理サーバがイベント情報を取得する対象である複数のイベント取得対象装置を前記メモリが有する構成情報に登録する登録ステップと、
    前記複数の情報処理装置で発生する前記ネットワークサービスに関連した第一のイベント種別を含むイベントと、前記ネットワークサービスに関連した前記第一のイベント種別とは異なる第二のイベント種別を含むイベントと、を検知した場合に、前記第二のイベント種別に対応するイベントの発生が原因で前記第一のイベント種別に対応するイベントが発生し得ることを示す相関解析ルール情報を前記メモリに格納するルール格納ステップと、
    前記複数のイベント取得対象装置から収集した複数の前記イベント情報を前記メモリに格納するイベント格納ステップと、
    前記相関解析ルール情報を元に、前記メモリに格納した複数の前記イベント情報から、前記第一のイベント種別を含む第一のイベント情報を特定するイベント情報特定ステップと、
    前記構成情報を元に、前記第一のイベント情報を送信したイベント取得対象装置の一つである第一イベント取得対象装置と、前記第一のイベント種別に対応する前記ネットワークサービスにおける前記第一イベント取得対象装置のサーバ装置である障害要因装置とを特定する、要因特定ステップと、
    前記相関解析ルール情報と前記構成情報とを元に、前記障害要因装置が前記複数のイベント取得対象装置でない場合に、前記第一イベント取得対象装置と前記第一のイベント種別と前記障害要因装置と前記第二のイベント種別とを特定する情報を前記画面出力装置へ送信することで、前記第一イベント取得対象装置で発生した前記第一のイベント情報に対応したイベントが、前記障害要因装置で前記第二のイベント種別のイベントが発生したことが要因と推定されることを前記画面出力装置へ表示させる解析結果送信ステップと、
    を有することを特徴としたイベントの解析方法。
  2. 請求項１記載のイベント解析方法であって、
    前記相関解析ルール情報は、前記第一のイベント種別が発生した前記複数の情報処理装置の一つである第一情報処理装置と、前記第二のイベント種別が発生した前記複数の情報処理装置の一つである第二情報処理装置と、の間のトポロジ条件を示すトポロジ条件情報を含み、
    前記要因特定ステップは、前記トポロジ条件情報に基づいて前記障害要因装置を特定する、
    ことを特徴としたイベントの解析方法。
  3. 請求項２記載のイベントの解析方法であって、
    前記相関解析ルール情報と前記構成情報に基づいて、前記複数のイベント取得対象装置のサーバ装置であって、前記複数のイベント取得対象装置に含まれない、前記複数の情報処理装置の一部であるイベント関連情報処理装置を特定する、関連装置特定ステップと、
    前記イベント関連情報処理装置からイベント情報の取得が可能か調査する、イベント情報取得可否調査ステップと、
    前記調査の結果を元に、前記イベント関連情報処理装置からイベント情報の取得が可能な場合は前記イベント関連情報処理装置を特定する情報を前記画面出力装置へ送信することで、前記イベント関連情報処理装置からイベント情報の取得が可能であることを前記画面出力装置へ表示させる、イベント情報取得対象追加提案ステップと、
    を有することを特徴としたイベントの解析方法。
  4. 請求項３記載のイベントの解析方法であって、
    前記イベント情報取得可否調査ステップは、前記複数の情報処理装置であって予め調査範囲として設定されたＩＰアドレスの範囲に含まれるＩＰアドレスを有する情報処理装置に対して、前記運用管理サーバが所定の手順に基づくアクセスを行った結果に基づくことを特徴としたイベントの解析方法。
  5. 請求項１記載のイベントの解析方法であって、
    前記障害要因装置はコントローラを有し、論理ボリュームを提供するストレージ装置であって、
    前記ネットワークサービスは前記論理ボリュームをブロックアクセス形式のプロトコルによって提供するサービスであって、
    前記第一のイベント種別が前記ストレージ装置の障害発生であり、前記第一のイベント種別が前記論理ボリュームへのアクセス失敗である、
    ことを特徴としたイベントの解析方法。
  6. 請求項５記載のイベントの解析方法であって、前記ブロックアクセス形式のプロトコルはＦｉｂｒｅＣｈａｎｎｅｌ又はｉＳＣＳＩであることを特徴としたイベントの解析方法。
  7. 請求項１記載のイベントの解析方法であって、
    前記障害要因装置は前記ネットワークサービスとしてＤＮＳを提供する計算機であって、前記第一のイベント種別がＤＮＳ要求失敗であり、前記第一のイベント種別がＤＮＳサーバの通信断絶である、
    ことを特徴としたイベントの解析方法。
  8. 請求項１記載のイベントの解析方法であって、
    前記障害要因装置は格納したファイルを前記複数の情報処理装置の少なくとも一つに提供するファイルサーバ計算機であって、
    前記ネットワークサービスは前記ファイルサーバ計算機が格納したファイルを共有するネットワークファイル共有サービスであって、
    前記第一のイベント種別が前記ファイルサーバ計算機の障害発生であり、前記第一のイベント種別が前記ネットワークファイル共有サービスで提供されたファイルへのアクセス失敗である、
    ことを特徴としたイベントの解析方法。
  9. 請求項１記載のイベントの解析方法であって、
    前記相関解析ルール情報と前記構成情報とを元に、前記障害要因装置が前記複数のイベント取得対象装置の一つの場合に、複数の前記イベント情報から前記第二のイベント種別を含み、前記障害要因装置が取得元である第二のイベント情報を特定し、前記第一イベント取得対象装置と前記第一のイベント情報と前記障害要因装置と前記第二のイベント情報とを特定する情報を前記画面出力装置へ送信することで、前記第一イベント取得対象装置で発生した前記第一のイベント情報に対応したイベントが、前記障害要因装置で発生した前記第二のイベント情報に対応したイベントが発生したことが要因であることを前記画面出力装置へ表示させる第二解析結果送信ステップ、
    とを有することを特徴としたイベントの解析方法。
  10. 請求項２記載のイベントの解析方法であって、
    前記第一情報処理装置が計算機であり、前記第二情報処理装置がストレージ装置であり、
    前記トポロジ条件情報は、前記計算機と前記ストレージ装置とが接続するトポロジの接続関係を示す、前記計算機に対応する通信識別情報と前記ストレージ装置に対応する通信識別情報との組み合わせを含む、
    ことを特徴としたイベントの解析方法。
  11. 請求項１０記載のイベントの解析方法であって、
    前記計算機に対応する計算機通信識別情報と前記ストレージ装置に対応する通信識別情報とは、ｉＳＣＳＩ名と、ＩＰアドレスと、ＦｉｂｒｅＣｈａｎｎｅｌにおけるＷＷＮとの少なくとも一つであることを特徴とするイベントの解析方法。
  12. 請求項２記載のイベントの解析方法であって、
    前記第一情報処理装置が計算機であり、前記第二情報処理装置はファイル共有サービスによって格納したファイルを前記複数の情報処理装置へ提供するファイルサーバ計算機であり、
    前記トポロジ条件情報は、前記計算機と前記ファイルサーバ計算機とが接続するトポロジの接続関係を示す前記計算機に対応する通信識別情報と前記ファイルサーバ計算機に対応する通信識別情報又は前記ファイルを公開するエクスポート名との組み合わせを含む、
    ことを特徴としたイベントの解析方法。
  13. 請求項２記載のイベントの解析方法であって、
    前記第一情報処理装置は計算機であり、前記第二情報処理装置がネットワーク共有サービスとしてＤＮＳを前記複数の情報処理装置に提供するＤＮＳサーバ計算機であり、
    前記トポロジ条件情報は、前記計算機と前記ＤＮＳサーバ計算機とが接続するトポロジの接続関係を示す前記計算機に対応する通信識別情報と前記ＤＮＳサーバ計算機に対応する通信識別情報との組み合わせを含む、
    ことを特徴としたイベントの解析方法。
  14. 請求項１３記載のイベントの解析方法であって、
    前記計算機に対応する通信識別情報と前記ＤＮＳサーバ計算機に対応する通信識別情報とは、ＩＰアドレス又はＦＱＤＮである、
    ことを特徴としたイベントの解析方法。
PCT/JP2009/000285 2008-09-30 2009-01-26 イベント情報取得外のｉｔ装置を対象とする根本原因解析方法、装置、プログラム。 WO2010038327A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
US12/444,398 US8020045B2 (en) 2008-09-30 2009-01-26 Root cause analysis method, apparatus, and program for IT apparatuses from which event information is not obtained
EP09817371.9A EP2336890A4 (en) 2008-09-30 2009-01-26 CAUSE ANALYSIS PROCEDURE FOR AN IT DEVICE WHICH DOES NOT IDENTIFY EVENT INFORMATION, AND DEVICE AND PROGRAM THEREFOR
CN200980111739.7A CN101981546B (zh) 2008-09-30 2009-01-26 以不取得事件信息的it装置为对象的根本原因分析方法、装置及程序
US13/211,694 US8479048B2 (en) 2008-09-30 2011-08-17 Root cause analysis method, apparatus, and program for IT apparatuses from which event information is not obtained

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008252093A JP5237034B2 (ja) 2008-09-30 2008-09-30 イベント情報取得外のｉｔ装置を対象とする根本原因解析方法、装置、プログラム。
JP2008-252093 2008-09-30

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US12/444,398 A-371-Of-International US8020045B2 (en) 2008-09-30 2009-01-26 Root cause analysis method, apparatus, and program for IT apparatuses from which event information is not obtained
US13/211,694 Continuation US8479048B2 (en) 2008-09-30 2011-08-17 Root cause analysis method, apparatus, and program for IT apparatuses from which event information is not obtained

Publications (1)

Publication Number Publication Date
WO2010038327A1 true WO2010038327A1 (ja) 2010-04-08

Family

ID=42073117

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/000285 WO2010038327A1 (ja) 2008-09-30 2009-01-26 イベント情報取得外のｉｔ装置を対象とする根本原因解析方法、装置、プログラム。

Country Status (5)

Country Link
US (2) US8020045B2 (ja)
EP (1) EP2336890A4 (ja)
JP (1) JP5237034B2 (ja)
CN (1) CN101981546B (ja)
WO (1) WO2010038327A1 (ja)

Families Citing this family (108)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8112378B2 (en) 2008-06-17 2012-02-07 Hitachi, Ltd. Methods and systems for performing root cause analysis
JP5325981B2 (ja) * 2009-05-26 2013-10-23 株式会社日立製作所 管理サーバ及び管理システム
JP5385982B2 (ja) * 2009-07-16 2014-01-08 株式会社日立製作所 障害の根本原因に対応した復旧方法を表す情報を出力する管理システム
US7996723B2 (en) * 2009-12-22 2011-08-09 Xerox Corporation Continuous, automated discovery of bugs in released software
US8411577B2 (en) * 2010-03-19 2013-04-02 At&T Intellectual Property I, L.P. Methods, apparatus and articles of manufacture to perform root cause analysis for network events
DE102010024966A1 (de) * 2010-06-24 2011-07-07 Siemens Aktiengesellschaft, 80333 Verfahren und Softwareprogrammprodukt zum Bestimmen einer Güte einer Informtionstechnischen Anlage
WO2012014305A1 (ja) * 2010-07-29 2012-02-02 株式会社日立製作所 システム障害における構成変更事象の影響度推定方法
US8819220B2 (en) 2010-09-09 2014-08-26 Hitachi, Ltd. Management method of computer system and management system
US8386602B2 (en) 2010-11-02 2013-02-26 International Business Machines Corporation Relevant alert delivery in a distributed processing system
US8364813B2 (en) 2010-11-02 2013-01-29 International Business Machines Corporation Administering incident pools for event and alert analysis
US8621277B2 (en) 2010-12-06 2013-12-31 International Business Machines Corporation Dynamic administration of component event reporting in a distributed processing system
US8868984B2 (en) * 2010-12-07 2014-10-21 International Business Machines Corporation Relevant alert delivery in a distributed processing system with event listeners and alert listeners
US8805999B2 (en) 2010-12-07 2014-08-12 International Business Machines Corporation Administering event reporting rules in a distributed processing system
US8737231B2 (en) 2010-12-07 2014-05-27 International Business Machines Corporation Dynamic administration of event pools for relevant event and alert analysis during event storms
EP2602718A4 (en) 2011-03-08 2015-06-10 Hitachi Ltd METHOD FOR MANAGING COMPUTER SYSTEM AND MANAGEMENT DEVICE
JP5352027B2 (ja) * 2011-03-28 2013-11-27 株式会社日立製作所 計算機システムの管理方法及び管理装置
US8756462B2 (en) 2011-05-24 2014-06-17 International Business Machines Corporation Configurable alert delivery for reducing the amount of alerts transmitted in a distributed processing system
US8645757B2 (en) 2011-05-26 2014-02-04 International Business Machines Corporation Administering incident pools for event and alert analysis
US8676883B2 (en) 2011-05-27 2014-03-18 International Business Machines Corporation Event management in a distributed processing system
US9213621B2 (en) 2011-05-27 2015-12-15 International Business Machines Corporation Administering event pools for relevant event analysis in a distributed processing system
US8880943B2 (en) 2011-06-22 2014-11-04 International Business Machines Corporation Restarting event and alert analysis after a shutdown in a distributed processing system
US8713366B2 (en) 2011-06-22 2014-04-29 International Business Machines Corporation Restarting event and alert analysis after a shutdown in a distributed processing system
US9419650B2 (en) 2011-06-22 2016-08-16 International Business Machines Corporation Flexible event data content management for relevant event and alert analysis within a distributed processing system
US8392385B2 (en) 2011-06-22 2013-03-05 International Business Machines Corporation Flexible event data content management for relevant event and alert analysis within a distributed processing system
US9389946B2 (en) 2011-09-19 2016-07-12 Nec Corporation Operation management apparatus, operation management method, and program
US20130097215A1 (en) 2011-10-18 2013-04-18 International Business Machines Corporation Selected Alert Delivery In A Distributed Processing System
US20130097272A1 (en) 2011-10-18 2013-04-18 International Business Machines Corporation Prioritized Alert Delivery In A Distributed Processing System
US8887175B2 (en) 2011-10-18 2014-11-11 International Business Machines Corporation Administering incident pools for event and alert analysis
US9178936B2 (en) 2011-10-18 2015-11-03 International Business Machines Corporation Selected alert delivery in a distributed processing system
US8713581B2 (en) 2011-10-27 2014-04-29 International Business Machines Corporation Selected alert delivery in a distributed processing system
WO2013078671A1 (zh) * 2011-12-02 2013-06-06 华为技术有限公司 一种故障检测方法、网关、用户设备及通信系统
US9092329B2 (en) * 2011-12-21 2015-07-28 Sap Se Process integration alerting for business process management
WO2013121529A1 (ja) 2012-02-14 2013-08-22 株式会社日立製作所 コンピュータプログラムおよび監視装置
FR2987533B1 (fr) * 2012-02-23 2014-11-28 Aspserveur Procede et systeme d'analyse de correlation de defauts pour un centre informatique
US9354961B2 (en) * 2012-03-23 2016-05-31 Hitachi, Ltd. Method and system for supporting event root cause analysis
WO2013157144A1 (ja) * 2012-04-20 2013-10-24 富士通株式会社 プログラム、情報処理装置およびイベント処理方法
WO2013168211A1 (ja) 2012-05-07 2013-11-14 株式会社日立製作所 計算機システム、ストレージ管理計算機及びストレージ管理方法
WO2014001841A1 (en) 2012-06-25 2014-01-03 Kni Műszaki Tanácsadó Kft. Methods of implementing a dynamic service-event management system
US9413685B1 (en) 2012-06-28 2016-08-09 Emc Corporation Method and apparatus for cross domain and cross-layer event correlation
US9298582B1 (en) 2012-06-28 2016-03-29 Emc Corporation Method and apparatus for performance data transformation in a cloud computing system
US8954811B2 (en) 2012-08-06 2015-02-10 International Business Machines Corporation Administering incident pools for incident analysis
US8943366B2 (en) 2012-08-09 2015-01-27 International Business Machines Corporation Administering checkpoints for incident analysis
JP5719974B2 (ja) 2012-09-03 2015-05-20 株式会社日立製作所 複数の監視対象デバイスを有する計算機システムの管理を行う管理システム
US9053000B1 (en) * 2012-09-27 2015-06-09 Emc Corporation Method and apparatus for event correlation based on causality equivalence
JP6039352B2 (ja) * 2012-10-12 2016-12-07 キヤノン株式会社 デバイス管理システム、デバイス管理システムの制御方法、及びプログラム
JP6080862B2 (ja) * 2012-10-30 2017-02-15 株式会社日立製作所 管理計算機およびルール生成方法
US20140297821A1 (en) * 2013-03-27 2014-10-02 Alcatel-Lucent Usa Inc. System and method providing learning correlation of event data
CN104583968B (zh) 2013-04-05 2017-08-04 株式会社日立制作所 管理系统及管理程序
US9361184B2 (en) 2013-05-09 2016-06-07 International Business Machines Corporation Selecting during a system shutdown procedure, a restart incident checkpoint of an incident analyzer in a distributed processing system
US9170860B2 (en) 2013-07-26 2015-10-27 International Business Machines Corporation Parallel incident processing
WO2015019488A1 (ja) * 2013-08-09 2015-02-12 株式会社日立製作所 管理システム及びその管理システムによるイベント解析方法
US9658902B2 (en) 2013-08-22 2017-05-23 Globalfoundries Inc. Adaptive clock throttling for event processing
US9256482B2 (en) 2013-08-23 2016-02-09 International Business Machines Corporation Determining whether to send an alert in a distributed processing system
US9086968B2 (en) 2013-09-11 2015-07-21 International Business Machines Corporation Checkpointing for delayed alert creation
US9602337B2 (en) 2013-09-11 2017-03-21 International Business Machines Corporation Event and alert analysis in a distributed processing system
JP2015076072A (ja) * 2013-10-11 2015-04-20 キヤノン株式会社 監視装置、監視方法、及びプログラム
JP6190468B2 (ja) * 2013-10-30 2017-08-30 株式会社日立製作所 管理システム、プラン生成方法、およびプラン生成プログラム
CN103747028B (zh) * 2013-11-27 2018-05-25 上海斐讯数据通信技术有限公司 一种授予用户临时root权限的方法
DE112013006475T5 (de) * 2013-11-29 2015-10-08 Hitachi, Ltd. Verwaltungssystem und Verfahren zur Unterstützung einer Analyse in Bezug auf eine Hauptursache eines Ereignisses
US9389943B2 (en) 2014-01-07 2016-07-12 International Business Machines Corporation Determining a number of unique incidents in a plurality of incidents for incident processing in a distributed processing system
CN106062765B (zh) 2014-02-26 2017-09-22 三菱电机株式会社 攻击检测装置和攻击检测方法
US10523521B2 (en) 2014-04-15 2019-12-31 Splunk Inc. Managing ephemeral event streams generated from captured network data
US10127273B2 (en) 2014-04-15 2018-11-13 Splunk Inc. Distributed processing of network data using remote capture agents
US11086897B2 (en) 2014-04-15 2021-08-10 Splunk Inc. Linking event streams across applications of a data intake and query system
US10700950B2 (en) 2014-04-15 2020-06-30 Splunk Inc. Adjusting network data storage based on event stream statistics
US10366101B2 (en) 2014-04-15 2019-07-30 Splunk Inc. Bidirectional linking of ephemeral event streams to creators of the ephemeral event streams
US9762443B2 (en) * 2014-04-15 2017-09-12 Splunk Inc. Transformation of network data at remote capture agents
US10462004B2 (en) 2014-04-15 2019-10-29 Splunk Inc. Visualizations of statistics associated with captured network data
US11281643B2 (en) 2014-04-15 2022-03-22 Splunk Inc. Generating event streams including aggregated values from monitored network data
US9923767B2 (en) 2014-04-15 2018-03-20 Splunk Inc. Dynamic configuration of remote capture agents for network data capture
US10360196B2 (en) 2014-04-15 2019-07-23 Splunk Inc. Grouping and managing event streams generated from captured network data
US10693742B2 (en) 2014-04-15 2020-06-23 Splunk Inc. Inline visualizations of metrics related to captured network data
US9838512B2 (en) 2014-10-30 2017-12-05 Splunk Inc. Protocol-based capture of network data using remote capture agents
JP6330456B2 (ja) * 2014-04-30 2018-05-30 富士通株式会社 相関係数算出方法、相関係数算出プログラムおよび相関係数算出装置
JP2015215639A (ja) * 2014-05-07 2015-12-03 株式会社リコー 障害管理システム、障害管理装置、機器、障害管理方法、及びプログラム
JP6287691B2 (ja) * 2014-08-28 2018-03-07 富士通株式会社 情報処理装置、情報処理方法および情報処理プログラム
US9596253B2 (en) 2014-10-30 2017-03-14 Splunk Inc. Capture triggers for capturing network data
US9946614B2 (en) * 2014-12-16 2018-04-17 At&T Intellectual Property I, L.P. Methods, systems, and computer readable storage devices for managing faults in a virtual machine network
US10334085B2 (en) 2015-01-29 2019-06-25 Splunk Inc. Facilitating custom content extraction from network packets
US10067984B2 (en) * 2016-02-24 2018-09-04 Bank Of America Corporation Computerized system for evaluating technology stability
US10223425B2 (en) * 2016-02-24 2019-03-05 Bank Of America Corporation Operational data processor
US10366367B2 (en) 2016-02-24 2019-07-30 Bank Of America Corporation Computerized system for evaluating and modifying technology change events
US10275183B2 (en) * 2016-02-24 2019-04-30 Bank Of America Corporation System for categorical data dynamic decoding
US10366337B2 (en) 2016-02-24 2019-07-30 Bank Of America Corporation Computerized system for evaluating the likelihood of technology change incidents
US10275182B2 (en) * 2016-02-24 2019-04-30 Bank Of America Corporation System for categorical data encoding
US10216798B2 (en) * 2016-02-24 2019-02-26 Bank Of America Corporation Technical language processor
US10366338B2 (en) 2016-02-24 2019-07-30 Bank Of America Corporation Computerized system for evaluating the impact of technology change incidents
US10019486B2 (en) * 2016-02-24 2018-07-10 Bank Of America Corporation Computerized system for analyzing operational event data
US10387230B2 (en) * 2016-02-24 2019-08-20 Bank Of America Corporation Technical language processor administration
US10430743B2 (en) 2016-02-24 2019-10-01 Bank Of America Corporation Computerized system for simulating the likelihood of technology change incidents
CN105786635B (zh) * 2016-03-01 2018-10-12 国网江苏省电力公司电力科学研究院 一种面向故障敏感点动态检测的复杂事件处理系统及方法
US10339032B2 (en) * 2016-03-29 2019-07-02 Microsoft Technology Licensing, LLD System for monitoring and reporting performance and correctness issues across design, compile and runtime
US10637745B2 (en) * 2016-07-29 2020-04-28 Cisco Technology, Inc. Algorithms for root cause analysis
CN106778178A (zh) * 2016-12-28 2017-05-31 广东虹勤通讯技术有限公司 指纹名片的调用方法及装置
CN106844173A (zh) * 2016-12-29 2017-06-13 四川九洲电器集团有限责任公司 一种信息处理方法及电子设备
JP6870347B2 (ja) * 2017-01-31 2021-05-12 オムロン株式会社 情報処理装置、情報処理プログラムおよび情報処理方法
CN107562632B (zh) * 2017-09-12 2020-08-28 北京奇艺世纪科技有限公司 针对推荐策略的a/b测试方法及装置
US11075925B2 (en) 2018-01-31 2021-07-27 EMC IP Holding Company LLC System and method to enable component inventory and compliance in the platform
CN111819915B (zh) * 2018-03-15 2022-08-23 株式会社富士 安装系统
US10754708B2 (en) 2018-03-28 2020-08-25 EMC IP Holding Company LLC Orchestrator and console agnostic method to deploy infrastructure through self-describing deployment templates
US10693722B2 (en) 2018-03-28 2020-06-23 Dell Products L.P. Agentless method to bring solution and cluster awareness into infrastructure and support management portals
US10795756B2 (en) 2018-04-24 2020-10-06 EMC IP Holding Company LLC System and method to predictively service and support the solution
US11086738B2 (en) * 2018-04-24 2021-08-10 EMC IP Holding Company LLC System and method to automate solution level contextual support
US11599422B2 (en) 2018-10-16 2023-03-07 EMC IP Holding Company LLC System and method for device independent backup in distributed system
US10862761B2 (en) 2019-04-29 2020-12-08 EMC IP Holding Company LLC System and method for management of distributed systems
US11301557B2 (en) 2019-07-19 2022-04-12 Dell Products L.P. System and method for data processing device management
KR20220083221A (ko) * 2020-12-11 2022-06-20 삼성전자주식회사 IoT 환경의 허브 장치 및 로컬 네트워크 기반 이벤트 처리 방법
US20230259344A1 (en) * 2022-02-16 2023-08-17 Saudi Arabian Oil Company System and method for tracking and installing missing software applications

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11259331A (ja) * 1998-03-13 1999-09-24 Nippon Telegr & Teleph Corp <Ntt> ネットワークにおける障害箇所検出方法及び装置及びネットワークにおける障害箇所検出プログラムを格納した記憶媒体
JP2004348640A (ja) * 2003-05-26 2004-12-09 Hitachi Ltd ネットワーク管理システム及びネットワーク管理方法
JP2005316728A (ja) * 2004-04-28 2005-11-10 Mitsubishi Electric Corp 障害解析装置、障害解析方法及び障害解析プログラム
JP2006133983A (ja) * 2004-11-04 2006-05-25 Hitachi Ltd 情報処理装置、情報処理装置の制御方法、及びプログラム
JP2006338305A (ja) * 2005-06-01 2006-12-14 Toshiba Corp 監視装置及び監視プログラム
JP2007334716A (ja) * 2006-06-16 2007-12-27 Nec Corp 運用管理システム、監視装置、被監視装置、運用管理方法及びプログラム

Family Cites Families (34)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5528516A (en) 1994-05-25 1996-06-18 System Management Arts, Inc. Apparatus and method for event correlation and problem reporting
US5546452A (en) * 1995-03-02 1996-08-13 Geotel Communications Corp. Communications system using a central controller to control at least one network and agent system
US6023507A (en) * 1997-03-17 2000-02-08 Sun Microsystems, Inc. Automatic remote computer monitoring system
US6393386B1 (en) * 1998-03-26 2002-05-21 Visual Networks Technologies, Inc. Dynamic modeling of complex networks and prediction of impacts of faults therein
US6393474B1 (en) * 1998-12-31 2002-05-21 3Com Corporation Dynamic policy management apparatus and method using active network devices
US6292718B2 (en) * 1999-01-28 2001-09-18 International Business Machines Corp. Electronic control system
CN100384191C (zh) * 1999-06-10 2008-04-23 阿尔卡塔尔互联网运行公司 基于策略的网络体系结构
US6823299B1 (en) * 1999-07-09 2004-11-23 Autodesk, Inc. Modeling objects, systems, and simulations by establishing relationships in an event-driven graph in a computer implemented graphics system
US6820042B1 (en) * 1999-07-23 2004-11-16 Opnet Technologies Mixed mode network simulator
US6654782B1 (en) * 1999-10-28 2003-11-25 Networks Associates, Inc. Modular framework for dynamically processing network events using action sets in a distributed computing environment
US6829639B1 (en) * 1999-11-15 2004-12-07 Netvision, Inc. Method and system for intelligent global event notification and control within a distributed computing environment
DE19958825A1 (de) * 1999-12-07 2001-06-13 Zeiss Carl Jena Gmbh Verfahren zur Kontrolle eines Steuerungssystems
US7197546B1 (en) * 2000-03-07 2007-03-27 Lucent Technologies Inc. Inter-domain network management system for multi-layer networks
US6871344B2 (en) * 2000-04-24 2005-03-22 Microsoft Corporation Configurations for binding software assemblies to application programs
US6854069B2 (en) * 2000-05-02 2005-02-08 Sun Microsystems Inc. Method and system for achieving high availability in a networked computer system
US7237138B2 (en) * 2000-05-05 2007-06-26 Computer Associates Think, Inc. Systems and methods for diagnosing faults in computer networks
US6915338B1 (en) * 2000-10-24 2005-07-05 Microsoft Corporation System and method providing automatic policy enforcement in a multi-computer service application
US20030046615A1 (en) * 2000-12-22 2003-03-06 Alan Stone System and method for adaptive reliability balancing in distributed programming networks
DE10065118A1 (de) * 2000-12-28 2002-07-04 Bosch Gmbh Robert System und Verfahren zur Steuerung und/oder Überwachung eines wenigstens zwei Steuergeräte aufweisenden Steuergeräteverbundes
US7028228B1 (en) * 2001-03-28 2006-04-11 The Shoregroup, Inc. Method and apparatus for identifying problems in computer networks
US20030014644A1 (en) * 2001-05-02 2003-01-16 Burns James E. Method and system for security policy management
DE10162853C1 (de) * 2001-12-17 2003-06-05 Iav Gmbh Kraftfahrzeugsteuersystem und Verfahren zur Kraftfahrzeugsteuerung
US20030214908A1 (en) * 2002-03-19 2003-11-20 Anurag Kumar Methods and apparatus for quality of service control for TCP aggregates at a bottleneck link in the internet
US6996500B2 (en) * 2002-10-30 2006-02-07 Hewlett-Packard Development Company, L.P. Method for communicating diagnostic data
US7263632B2 (en) * 2003-05-07 2007-08-28 Microsoft Corporation Programmatic computer problem diagnosis and resolution and automated reporting and updating of the same
US7237267B2 (en) * 2003-10-16 2007-06-26 Cisco Technology, Inc. Policy-based network security management
US6968291B1 (en) * 2003-11-04 2005-11-22 Sun Microsystems, Inc. Using and generating finite state machines to monitor system status
US7584382B2 (en) * 2004-02-19 2009-09-01 Microsoft Corporation Method and system for troubleshooting a misconfiguration of a computer system based on configurations of other computer systems
US8131830B2 (en) * 2004-04-19 2012-03-06 Hewlett-Packard Development Company, L.P. System and method for providing support services using administrative rights on a client computer
US8627149B2 (en) * 2004-08-30 2014-01-07 International Business Machines Corporation Techniques for health monitoring and control of application servers
US8554916B2 (en) * 2005-04-11 2013-10-08 Accenture Global Services Gmbh Service delivery platform and development of new client business models
US7464298B2 (en) * 2005-07-01 2008-12-09 International Business Machines Corporation Method, system, and computer program product for multi-domain component management
US7801712B2 (en) * 2006-06-15 2010-09-21 Microsoft Corporation Declaration and consumption of a causality model for probable cause analysis
US8208381B2 (en) * 2007-07-27 2012-06-26 Eg Innovations Pte. Ltd. Root-cause approach to problem diagnosis in data networks

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11259331A (ja) * 1998-03-13 1999-09-24 Nippon Telegr & Teleph Corp <Ntt> ネットワークにおける障害箇所検出方法及び装置及びネットワークにおける障害箇所検出プログラムを格納した記憶媒体
JP2004348640A (ja) * 2003-05-26 2004-12-09 Hitachi Ltd ネットワーク管理システム及びネットワーク管理方法
JP2005316728A (ja) * 2004-04-28 2005-11-10 Mitsubishi Electric Corp 障害解析装置、障害解析方法及び障害解析プログラム
JP2006133983A (ja) * 2004-11-04 2006-05-25 Hitachi Ltd 情報処理装置、情報処理装置の制御方法、及びプログラム
JP2006338305A (ja) * 2005-06-01 2006-12-14 Toshiba Corp 監視装置及び監視プログラム
JP2007334716A (ja) * 2006-06-16 2007-12-27 Nec Corp 運用管理システム、監視装置、被監視装置、運用管理方法及びプログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"Rete: A Fast Algorithm for the Many Pattern/Many Object Pattern Match Problem", ARTIFICIAL INTELLIGENCE, vol. 19, no. 1, 1982, pages 17 - 37
See also references of EP2336890A4

Also Published As

Publication number Publication date
US8479048B2 (en) 2013-07-02
US20110302305A1 (en) 2011-12-08
EP2336890A4 (en) 2016-04-13
CN101981546A (zh) 2011-02-23
JP2010086115A (ja) 2010-04-15
EP2336890A1 (en) 2011-06-22
US8020045B2 (en) 2011-09-13
JP5237034B2 (ja) 2013-07-17
US20100325493A1 (en) 2010-12-23
CN101981546B (zh) 2015-04-01

Similar Documents

Publication Publication Date Title
JP5237034B2 (ja) イベント情報取得外のｉｔ装置を対象とする根本原因解析方法、装置、プログラム。
US9954888B2 (en) Security actions for computing assets based on enrichment information
JP6816139B2 (ja) 情報伝送パフォーマンス警告を生成するための方法、システム、および装置
US9531664B2 (en) Selecting between domain name system servers of a plurality of networks
US20080016115A1 (en) Managing Networks Using Dependency Analysis
US9043461B2 (en) Firewall event reduction for rule use counting
Andersen et al. Topology inference from BGP routing dynamics
US9473369B2 (en) Application topology based on network traffic
US11696110B2 (en) Distributed, crowdsourced internet of things (IoT) discovery and identification using Block Chain
Giotsas et al. Periscope: Unifying looking glass querying
US20090210523A1 (en) Network management method and system
KR101416523B1 (ko) 보안 시스템 및 그것의 동작 방법
US20090129290A1 (en) Method for acquiring information of network resources connected to ports of network switches
Bahl et al. Discovering dependencies for network management
US20210058411A1 (en) Threat information extraction device and threat information extraction system
US8195977B2 (en) Network fault isolation
JP4772025B2 (ja) Ｐ２ｐ通信検出装置、及びその方法とプログラム
KR101359369B1 (ko) ICMPv6 NIQ를 이용한 네트워크 내 호스트 동작 상태 확인 및 탐색 방법
CN110034977B (zh) 一种设备安全性监测方法及安全性监测设备
Kothapalli Measurement, Analysis, and System Implementation of Internet Proxy Servers
KR101528611B1 (ko) 서버 인터넷 주소를 이용한 공유 단말 검출 방법 및 그 장치
Kvitchko SUNUP: ICMP TIMESTAMP BEHAVIORS IN FINGERPRINTING
US20050154776A1 (en) Method and apparatus for non-invasive discovery of relationships between nodes in a network
Verma et al. Discovery
Mosley IPv6 network infrastructure and stability inference

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980111739.7

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 12444398

Country of ref document: US

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09817371

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2009817371

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 6932/DELNP/2010

Country of ref document: IN

NENP Non-entry into the national phase

Ref country code: DE