WO2014033894A1 - サービス性能監視方法 - Google Patents

サービス性能監視方法 Download PDF

Info

Publication number
WO2014033894A1
WO2014033894A1 PCT/JP2012/072097 JP2012072097W WO2014033894A1 WO 2014033894 A1 WO2014033894 A1 WO 2014033894A1 JP 2012072097 W JP2012072097 W JP 2012072097W WO 2014033894 A1 WO2014033894 A1 WO 2014033894A1
Authority
WO
WIPO (PCT)
Prior art keywords
monitoring
event
service
information
baseline
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2012/072097
Other languages
English (en)
French (fr)
Inventor
清美 和田
峰義 増田
健太郎 渡邊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2014532665A priority Critical patent/JP5914669B2/ja
Priority to PCT/JP2012/072097 priority patent/WO2014033894A1/ja
Priority to US14/400,499 priority patent/US9509706B2/en
Publication of WO2014033894A1 publication Critical patent/WO2014033894A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3409—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment for performance assessment
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3495—Performance evaluation by tracing or monitoring for systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H04L43/045—Processing captured monitoring data, e.g. for logfile generation for graphical visualisation of monitoring data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0748—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in a remote unit communicating with a single-box computer node experiencing an error/fault
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/81—Threshold
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/875—Monitoring of systems including the internet
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the embodiment relates to a technology for monitoring and monitoring information systems.
  • an abnormality is detected by setting a threshold for a monitoring target server and monitoring items that can be monitored by the server, and monitoring the threshold for each monitoring item.
  • a threshold value for each monitoring item and the setting work load.
  • the technology includes an abnormal load detecting means 17 for detecting an abnormal load of the system by comparing the current load information of the system 1 and threshold data of the time corresponding to the current load information.
  • Patent Document 1 With the technology disclosed in Patent Document 1, it is difficult to monitor a system that provides services to client computers through a network.
  • the difficulty is, for example, the following (1) or (2).
  • the monitoring value may vary depending on the content of the request from the terminal (for example, the request type and the number of requests per unit time).
  • the past monitoring value is not managed as a baseline in consideration of such request contents, erroneous abnormality detection frequently occurs.
  • a monitoring system for monitoring a service execution infrastructure manages a baseline of component monitoring values for each service load provided by the infrastructure, and reduces the current service load. Use different baselines accordingly. Further, in order to solve the above (2), when the monitoring system detects an abnormality in the service monitoring value or the component monitoring value in the baseline, the event from the latest time to the predetermined time and the time zone within the baseline Compare with the event to identify the differential event (that is, the most recent event that is not normal).
  • FIG. 3 is a diagram illustrating a hardware configuration of a computer according to the first embodiment. It is a figure which shows the structure of the service monitoring server of Example 1. FIG. It is a figure which shows the performance analysis processing flow of the service monitoring manager using the stream data processing system of Example 1.
  • FIG. 3 is an example of configuration information according to the first embodiment. 1 is a configuration example of a Web system that is an example of a system execution platform according to a first embodiment. It is a figure which shows the content of the service monitoring information stream and the service monitoring information stream with business information regarding the system execution base service of the first embodiment.
  • FIG. 1 It is a figure which shows the content of the system monitoring information stream and the system monitoring information stream with business information regarding the component of the system execution base
  • FIG. It is a figure which shows the content of the event monitoring information stream regarding the system execution base
  • FIG. 3 is a flowchart of a performance analysis processing unit according to the first embodiment.
  • FIG. 6 is a flowchart of similar event detection processing according to the first embodiment. It is a figure which shows the monitoring screen of Example 1.
  • FIG. It is a figure which shows the monitoring screen of Example 1.
  • FIG. It is a figure which shows the information system of Example 2.
  • FIG. 10 is a flowchart of similar event detection processing according to the second embodiment. It is a flowchart of the incident search process of Example 2. It is a figure which shows the monitoring screen of Example 2.
  • FIG. 10 is a flowchart of similar event detection processing according to the second embodiment. It is a flowchart of the incident search process of Example 2. It is a figure which shows the monitoring screen of Example 2.
  • Stream A flow of information that represents the time transition of information that can change over time, such as events and measured values.
  • Baseline A past monitoring value or a value obtained by statistically processing a monitoring value, which is the basis for determining an abnormality.
  • program is used as the subject.
  • the program performs processing determined by being executed by the processor using the memory and the communication port (communication control device)
  • the processor is used as the subject.
  • the explanation may be as follows. Further, the processing disclosed with the program as the subject may be processing performed by a computer such as a management server or an information processing apparatus. Further, part or all of the program may be realized by dedicated hardware.
  • Various programs may be installed in each computer by a program distribution server or a storage medium that can be read by the computer.
  • the program distribution server includes a CPU and storage resources, and the storage resources further store a distribution program and a program to be distributed.
  • the distribution program is executed by the CPU, the CPU of the program distribution server distributes the distribution target program to other computers.
  • FIG. 1 is a configuration diagram of an information system including a monitoring system.
  • the monitoring target is a service execution-based Web system 101 and a service that an end user uses from each terminal 102 via the network 104 using the Web browser 103.
  • the monitoring system monitors a plurality of Web systems and services available thereon.
  • the Web is exemplified as an example of the service, but other file sharing services and other network services are included in the service.
  • the Web system 101 is a service execution platform configured by physical or logical components such as a server (configured by a processor, a storage resource, a network, etc.), an OS, and middleware.
  • a server configured by a processor, a storage resource, a network, etc.
  • OS an OS
  • middleware an OS
  • the system remote monitoring server 107 monitors the OS and middleware remote monitoring 109 that remotely monitors the operating performance of the OS and middleware of the servers that constitute the system.
  • the OS monitoring agent 105, the middleware monitoring agent 106, the OS remote monitoring 108, and the middleware remote monitoring 108 transmit monitoring values for predetermined monitoring items of the components that are the monitoring targets to the service monitoring server 113.
  • transmission / reception packets of the Web system 101 are mirrored from the mirror port of the network switch 110 and sent to the traffic monitoring server 111.
  • the traffic monitoring agent 112 mounted on the traffic monitoring server 111 analyzes the HTTP packet and calculates the response time.
  • the traffic monitoring server 111 transmits an overview of the monitoring result HTTP packet and the response time to the service monitoring server 113.
  • a plurality of traffic monitoring servers 111 may be provided, and packets may be collected and analyzed from the connection destination switches.
  • any packet may be used as long as it has a function of collecting packets flowing through the network, analyzing the http packet, calculating the response time, and outputting the http packet information and the response time.
  • the service monitoring method may be other methods, for example, a method of adding a program capable of calculating a response time to a service execution base Web server.
  • the event monitoring manager 116 in the event monitoring server 115 acquires all event information notified from the monitoring target Web system 101 and the various monitoring servers 107 and 111.
  • the types of events that occur on the service execution platform in other words, the event monitoring server detects (including reception)) monitor values such as component failures and warnings, component performance, etc. If it exceeds the limit, some sort of processing has started in the service execution platform (for example, virus scanning, garbage collection, defragmentation, etc.), but it can be considered as an example, but other examples may be used.
  • the service monitoring manager 114 mounted on the service monitoring server 113 compares the component monitoring value with the baseline, makes an abnormality determination, and notifies the event monitoring manager 116 in the event monitoring server 115 of an abnormality notification. Further, based on the overview of the HTTP packet and the response time, the response time and the baseline are compared for each monitored service, an abnormality is determined, and an abnormality notification event is notified to the event monitoring manager 116 in the event monitoring server 115.
  • the events related to the service and related systems are compared between the normal time zone and the abnormal time zone adopted for the baseline, and the difference event or Detect event combinations. Then, it is searched whether or not the difference event and the similar event or the combination of events are included in the past events.
  • a numerical calculation for leveling the response time is performed, and a baseline is set based on the monitoring results.
  • the service monitoring result can be viewed remotely using the Web browser 118 of the terminal 117.
  • the terminal 117 that displays the service monitoring result may be the same as or different from the terminal 102 that receives the service provision.
  • the monitoring system for monitoring the service execution base in this embodiment is composed of three servers: a traffic monitoring server 111, a service monitoring server 113, and an event monitoring server 115. It only needs to be able to handle monitoring and service monitoring. Furthermore, as long as the display and input are mentioned in the claims, the monitoring system may include the terminal 117 in line with the above-mentioned purpose. On the other hand, if the display or input is performed on a server that performs traffic monitoring or service monitoring processing such as a service monitoring server, the monitoring system may not include a terminal. Further, if the monitoring processing is shared by a plurality of servers for the purpose of high reliability, parallelization, and decentralization of the monitoring processing, the monitoring system is a group of servers that handle these processing.
  • component monitoring values will be described using performance values as examples, but other monitoring values (number of component access retries, packet loss rate, number of context switches, request queue length to components, number of queue overflows, etc.) ) Is also applicable.
  • FIG. 2 shows a hardware configuration of a computer other than the terminal 102, the server included in the Web system 101, the traffic monitoring server 111, the system remote monitoring server 107, the event monitoring server 115, and the terminal 117 according to the embodiment.
  • these computers include a processor 201, a memory 202, a storage device 203, and a communication interface 204, which are connected to each other.
  • the computer may include an input device 206 and an output device 207 if necessary.
  • each server and the terminal were collectively demonstrated in FIG. 2, these computers do not necessarily need to be the same hardware. 1 are stored in the memory 202 or the storage device 203 (hereinafter collectively referred to as storage resources) and executed by the processor 201.
  • FIG. 3 is a diagram showing information and programs stored in the storage resources of the computer shown in FIG.
  • the service monitoring manager program 114 (hereinafter simply referred to as the service monitoring manager) is stored in the memory 202 and other information is stored in the storage device 203. However, if stored in a storage resource, each program and information May be stored in either.
  • the service monitoring manager 114 includes a screen display processing unit 301 and a performance analysis processing unit 303.
  • the storage device 203 stores configuration information 304, performance information 305, baseline information 306, event information 307, and system operation information 308.
  • the input device and the output device are illustrated as separate devices. However, since a computer such as a smartphone or a tablet computer is also assumed to be used as a server or a terminal, the input device and the output device are assumed. One device may also serve as the device.
  • FIG. 4 shows an example of the configuration and processing flow of the service monitoring manager 114 in the service monitoring server 113.
  • the service monitoring manager 114 has a performance analysis processing unit 303 using the stream data processing system 302.
  • the query repository 406 stores an execution code of each processing content of the performance analysis processing unit 303.
  • the technique disclosed in Japanese Patent Laid-Open No. 2006-338432 is used. Use it.
  • the present invention is not necessarily realized in Japanese Patent Laid-Open No. 2006-338432, and other implementation methods can be used as long as the baseline information 306, performance information 305, and event information 307 can be updated or created from the following input stream. May be.
  • the stream data processing system 302 receives the service monitoring information stream 401 from the traffic monitoring server 111, the system monitoring information stream 402 from the Web system 101 or the system remote monitoring server 107, and the event monitoring information stream 403 from the event monitoring server 105. These input streams (monitoring information streams) 401 to 403 perform performance analysis processing using the query processing engine 405 via the stream data flow manager 404.
  • the performance analysis processing unit 303 is executed in the order of a task identification process 410, an abnormality determination process 411, a similar event detection process 412, and a baseline setting process 413.
  • a monitoring information stream with business information is generated by adding business information including the service and system of the configuration information 304 to the input streams (monitoring information streams) 401 to 403.
  • the event information stream 407 with business information is stored in the event information 307.
  • a service performance stream with business information within a predetermined time is subjected to statistical processing (calculating an average value, maximum value, minimum value, and variance value) for each service, and statistical
  • the service performance information stream 408 including the determination result is determined by comparing the value with the service performance summary information of the baseline adoption date and time for each business service group of the baseline information 306, and determining whether the value is within the allowable range of the baseline. Stored in the performance information 305.
  • the performance value of the system monitoring information stream with business information is compared with the server performance summary information of the monitoring items by agent of each host at the baseline adoption date for each business system of the baseline information 306, and the baseline permission It is determined whether it is within the range, and the system performance information stream 408 including the determination result is stored in the performance information 305.
  • the event monitoring server 115 is notified.
  • the similar event detection processing 412 is performed based on the event information 307, the event in the abnormal time zone related to the business, and the normal time adopted for the baseline.
  • a band event is taken out and compared to detect a differential event that appears only when an abnormality occurs.
  • the event information 307 is searched for whether there is an event similar to the difference event in the past events related to the business. If there is no similar event in the business, a system similar to the system configuration of the business is detected from the system operation information 308, and the event information on the business related to the similar system among the event information 307 is also searched.
  • difference event information 407 and similar event information 407 are stored in event information 308.
  • Baseline setting processing 413 performs statistical processing on service performance streams with business information within a predetermined time (for example, 1 hour) for each service group (calculates average value, maximum value, minimum value, and variance value). And stored in the baseline information 306.
  • system performance information streams with business information within a predetermined time are statistically processed (average value, maximum value, minimum value, variance value) for each monitoring item for each agent of each host. Calculated) and stored in the baseline information 306.
  • a predetermined time for example, 1 hour
  • the date and time when the average value of throughput / min for each service group is close to the value of throughput / min in the past same time period stored in the baseline information 306 is detected.
  • the baseline adoption date and time for each job in the next time zone is stored in the baseline information 306 as the next time zone on the detection date.
  • FIG. 5A is a schematic diagram showing the configuration information 304.
  • the configuration information 304 stores information about components including business groups included in the Web system (for example, component setting information and attribute information) and relationships between components (communication relationship, inclusion relationship, etc.).
  • FIG. 5 shows that configuration information 502, service group information 503, system information 504, and service information 505 are included as examples included in the configuration information 304.
  • the contents of the business information 502 are a business name 502a, a service group name 502b, and a system name 502c.
  • the contents of the service group information 503 are a service group name 502b and a URI path 503a.
  • the contents of the service information 505 are a service group name 502b, a service name 505a, a service content 505b, a URI path 505c, and a URI query 505d.
  • the contents of the system information 504 are a system name 502c, a host name 504a, and an IP address 504b.
  • FIG. 5B is a diagram showing a configuration example of the Web system.
  • the business group 501 includes a plurality of business tasks 502.
  • the business 502 includes a service group 503 and a system 504.
  • the service group 503 includes a plurality of services 505.
  • the system 504 includes a plurality of hosts 506.
  • the host 506 is composed of a plurality of agents. Note that if a single monitoring system and Web system do not handle a plurality of tasks, there may be no task group. Similarly, a service group may not exist if a plurality of services are not provided.
  • FIG. 6 shows a service monitoring information stream 401 and a service monitoring information stream 605 with business information which is an output result of the business identification processing 410.
  • the service monitoring information stream 401 includes time 601, request information 602, response information 603, and response time 604.
  • the contents of the request information 602 are a transmission source IP address 602a, a method 602b, a URI path 602c, and a URI query 602d.
  • the contents of the response information 603 are an HTTP status code 603a and a transfer data amount 603b.
  • the service monitoring information stream with business information includes a time 601, a business name 502a, a service group name 502b, service information 505, request information 602, response information 603, and a response time 604.
  • the contents of the service information 505 are a service name 505a and service contents 505b.
  • FIG. 7 shows a system monitoring information stream 402 and a system monitoring information stream 706 with business information as an output result of the business identification processing 410.
  • the system monitoring information stream 402 includes time 701, host information 702, agent name 703, monitoring item 704, and performance value 705.
  • the contents of the host information 702 are a host name 702a and an IP address 702b.
  • the contents of the monitoring item 704 are a record name 704a and a field name 704b.
  • the system monitoring information stream 706 with business information includes a time 701, a business name 502a, a system name 502c, host information 702, an agent name 703, a monitoring item 704, and a performance value 705.
  • FIG. 8 shows an event monitoring information stream 403, a service event information stream with business information 407a and a system event information stream with business information 407b as output results of the business identification process 410.
  • the event monitoring information stream 403 includes time 801, event information 802, object type 803, and object information 804.
  • the contents of the event information 802 are a severity 802a, a registration time 802b, an event ID 802c, a source 802d, a message 802e, and an action 802f.
  • the object type 803 is information for identifying the event issuer, and includes service information, system information, job information, and the like.
  • the service event information stream 407a with business information includes a time 801, a business name 502a, a service group name 502b, service information 505, and event information 802.
  • the system event information stream with business information 407b includes a time 801, a business name 502a, a system name 502c, host information 702, and event information 802.
  • FIG. 9 shows an event information table 307a in the event information 307 that stores the event information stream 407 with business information, and a differential event that stores an event monitoring information stream with business information of the differential event and similar events in the similar event search processing 412. It is a table structure of the information table 307b and the similar event information table 307c.
  • Each event information table 307a, 307b, 307c has the same table structure, and includes a time 801, a business name 502a, a service group name 502b, service information 505, a system name 502c, host information 702, and event information 802.
  • FIG. 10 shows the service performance information in the performance information 306 that stores the service performance information stream 408a as a result of the baseline determination by obtaining the statistical value in the abnormality determination processing 411 for the service monitoring information stream 605 with business information. It is a table 305a.
  • the service performance information stream 408a with business information includes a time 1001, a business name 502a, a service group name 502b, service information 505, a determination 1002, a response time statistical value 1003 per minute, a throughput accumulated value 1004 per minute, 1 It consists of an error rate cumulative value 1005 per minute.
  • the contents of the service performance information table 305a include time 1001, service name 502a, service group name 502b, service information 505, determination 1002, response time statistical value 1003 per minute, throughput accumulated value 1004 per minute, 1 minute
  • the accumulated error rate is 1005.
  • FIG. 11 is a system performance information table 305b in the performance information 306 that stores the system performance information stream 408b as a result of the baseline determination in the abnormality determination processing 411 for the system monitoring information stream with business information 706.
  • the system performance information stream 408b with business information includes a time 1101, a business name 502a, a system name 502c, host information 702, an agent name 703, a monitoring item 704, performance information 705, and a determination 1102.
  • the contents of the system performance information table 305b are time 1101, business name 502a, system name 502c, host information 702, agent name 703, monitoring item 704, performance information 705, and determination 1102.
  • FIG. 12 shows a service performance information stream with business information 408a.
  • a baseline setting process 413 a statistical value of service performance is obtained for each service group in a predetermined time (for example, 1 hour).
  • a service group baseline with business information that detects the day with the closest average throughput value per minute in the same time zone, and sets the next time zone on that detection date as the baseline adoption date for each job in the next time zone It is the service group performance summary information table 306a of the baseline information 306 that stores the information stream 409a.
  • Service performance baseline information stream 409a with business information includes time 1201, business name 502a, service group name 502b, throughput (statistical value) 1202, error rate (statistical value) 1203, response time (statistical value) 1204, and baseline adoption.
  • the contents of the service group performance summary information table 306a include time 1201, business name 502a, service group name 502b, throughput statistical value (1202), error rate (statistical value) 1203, response time (statistical value) 1204, baseline adoption date and time. 1205.
  • FIG. 13 shows the performance value statistics for the monitoring item of the host agent in the system in a predetermined time (for example, 1 hour) in the baseline setting process 413 for the system performance information stream with business information 408b.
  • the system baseline information stream 409b with business information includes a time 1301, a business name 502a, a system name 502c, host information 702, an agent name 703, a monitoring item 704, and a performance value (statistical value) 1302.
  • the contents of the system performance summary information table 306b are time 1301, business name 502a, system name 502c, host information 702, agent name 703, monitoring item 704, and performance value (statistical value) 1302.
  • FIG. 14 shows a service catalog table 1401 and a system operation information table 1402 included in the system operation information 308.
  • the contents of the service catalog table 1401 include a system type 1403, a server specification 1404, an OS type 1405, a middleware type 1406, and a quantity 1407.
  • the contents of the system operation information table 1402 include system name 502c, system type 1403, UP (User Program) information 1408, cumulative operation days 1409, number of alert occurrences 1410, number of failures 1411, average service performance information 1412 for a predetermined period, predetermined period Of the average system performance information 1413.
  • the service catalog table 1401 is registered by a PaaS (Platform as a Service) provider.
  • the system operation information table 1402 registers a system name 502c, a system type 1403 selected from the service catalog table 1401, and UP information 1408 at the time of system construction or renewal.
  • the cumulative number of working days 1409, the number of alert occurrences 1410, and the number of failures 1411 are periodically registered and updated from separately managed incident management.
  • the average service performance information 1412 for a predetermined period and the average system performance information 1413 for a predetermined period are periodically added and registered and updated from the performance information 305.
  • the system operation information table 1402 is necessary to search for a system having the same system type 1403 as the target system, or to select a system having a long operation history or a similar operation among similar systems.
  • FIG. 15 is a processing flow of the performance analysis processing unit 303.
  • the performance analysis processing unit 303 performs processing in the order of a task identification process 410, an abnormality determination process 411, a similar event detection process 412, and a baseline setting process 413.
  • the business identification process 410 includes a process 1501 for receiving a monitoring information stream and a process 1502 for adding business information to the monitoring information stream.
  • the reception process 1501 receives new information of the monitoring information stream.
  • event monitoring information stream when the object type is a service, the task related to the service group in the service information stored in the object information is acquired, and event monitoring information with a job type is created.
  • event monitoring information with business type is stored in the event information 307.
  • Abnormality determination processing 411 obtains statistical values (average, maximum, minimum, variance) of performance values for the service monitoring information stream with business type that arrives within a predetermined time, and creates a service performance information stream with business type Processing 1503 and the statistical value of the service performance information with business type is determined whether it exceeds the baseline, and the service performance information stream with business type is registered in the performance information 305, or the system monitoring information with business type The processing 1504 determines whether the performance value for the monitoring item of the agent in the host does not exceed the baseline, and registers the system performance information stream with business type in the performance information 305.
  • Similar event detection processing 412 compares event information between normal time and abnormal time to detect a difference event, and searches for whether there is an event similar to the difference event in the past, event information comparison processing 1506 It consists of an event search process 1507.
  • a process 1508 for creating performance summary information within a predetermined time is a service performance (response time, throughput, etc.) per unit time (for example, 1 minute) for each service group for each business. Then, a statistical value within a predetermined time (for example, 1 hour) is calculated to create service performance summary information. Also, the processing 1508 calculates a statistical value within a predetermined time (for example, 1 hour) of the performance value of the monitoring item for each agent of each host in the system, and creates system performance summary information. In the processing 1508, statistical values (maximum value, minimum value, average value) of performance information are accumulated every unit time (for example, 1 minute).
  • a process 1509 for detecting a past statistical value close to a throughput statistical value within a predetermined time and determining a baseline for the next time zone is performed when the performance summary information for a predetermined time (for example, 1 hour) is accumulated.
  • a predetermined time for example, 1 hour
  • the closest date is found among the throughput statistics of the same business service group in the past same time zone, and is stored in the baseline information 306 as the baseline adoption date of the next time zone.
  • FIG. 16 shows the flow of the similar event detection process 412.
  • the similar event detection process 412 includes an event information comparison process 1506 and a similar event search process 1507.
  • the event information comparison process 1506 is a process 1601 for acquiring event information within the most recent predetermined time including the baseline excess time, and a process 1602 for acquiring event information in the baseline adoption time period (normal time) for each business.
  • the event ID is compared between the baseline excess time zone (abnormal) event and the baseline adoption time zone (normal) event, and a differential event that does not appear when normal but appears when abnormal is detected. Is stored in the event information 307.
  • the similar event search process 1507 is a process 1604 for searching for a difference event (combination) that matches the event ID from past events of the same job, a suitability determination unit 1605 for the difference event, and a matching event is found.
  • FIG. 17 shows a monitoring screen 1700 when a baseline excess is detected as a result of baseline monitoring of services and related system performance for each business, and a differential event that does not appear at normal time is detected.
  • the monitoring screen 1700 includes a business list display unit 1701, a display period designation unit 1702, a topology display unit 1703, a differential event list display unit 1704, and a graph display unit 1705.
  • the business list display unit 1701 selects the business to be confirmed on the monitoring screen 1700.
  • the display period designation unit 1702 designates the period
  • the topology display unit 1703 confirms the service constituting the business and the operating status of the host in the system.
  • the differential event list display unit 1704 displays events that appear only when there is an abnormality.
  • the graph display unit 1705 confirms the performance trend of the abnormal part selected by the topology display unit 1703 and the occurrence status of the event selected by the difference event list within the period specified by the display period specifying unit 1702.
  • the baseline of the response time of the day 1706 in which the event 2 occurs is The response time of the day 1707 with the closest number of accesses is taken as the baseline.
  • a similar event is searched from past events related to a job having the same job or a similar system, and the search result is displayed in the similar event list 1804.
  • the graph display unit 1805 compares the occurrence status and performance trend of similar events with the current time and the past, predicts the occurrence of a failure, and presents information that can be dealt with before the failure occurs.
  • FIG. 19 is a diagram showing the configuration of the second embodiment. The difference from the first embodiment is that an incident management server 119 is added. In the incident management server 119, the incident management 120 program is stored in a storage resource and executed.
  • FIG. 20 shows the configuration and processing flow when adding similar incident information to the configuration and processing flow of the service monitoring manager 114 in FIG. 4 in cooperation with the incident management 120 of the incident management server 119. It is.
  • the similar event detection process 412 becomes an abnormality related to the business from the event information 307 when the service performance or the system operation performance exceeds the allowable range of the baseline.
  • the difference event that appears only at the time of abnormality is detected by taking out and comparing the event in the normal time zone and the event in the normal time zone adopted for the baseline.
  • incident management server 119 incident management 120, whether or not there is similar incident information in the incident information 2002 that has been registered based on the past events related to the business in question. Search for. If a similar incident is found as a result of the search, an incident information stream 2003 with business information is generated and stored in the similar incident information 2004.
  • the incident information table 2102 includes a title 2108, an importance 2109, an incident ID 2110, a URL 2111 to the incident ID, a business name 502a, a service group name 502b, a system name 502c, an occurrence date 2112, and an event ID 2113 related to the incident.
  • the incident search result output information 2103 has contents corresponding to the items in the incident information table 2102.
  • FIG. 22 is a processing flow in which a similar fault search processing 2201 is added to the processing flow of the similar event detection processing 412 in FIG.
  • the event information comparison process 1506 detects a differential event and stores it in the event information 307.
  • the similar fault search processing 2201 searches whether there is an incident based on the related event similar to the difference event (combination).
  • the similar fault search process 2201 generates a process 2202 that creates a data set including a search period, business information, and a difference event (combination), and generates a search command that uses the created data set as an input parameter and returns a similar incident as a return value.
  • a process 2205 for determining whether or not a similar incident is found is performed. If a similar incident is found, a process 2206 for storing a similar incident information list in the similar incident information table is performed, and similar incident information is obtained. Store in 2004. If no incident is found, similar event search processing 1507 is executed.
  • FIG. 23 shows the flow of the incident search process 2001 in the incident management 120 in the incident management server 119.
  • the incident search process 2001 includes a process 2301 for extracting incidents of the same business within the period from the search start date to the end date, a process 2302 for extracting incidents including related events from the extracted incidents, and an extracted incident A process 2303 for creating a data set including “title”, “severity”, “incident ID”, “URL to incident ID”, “business name”, “occurrence date / time”, and “related event ID” from the information; And processing 2304 for transmitting the created data set.
  • FIG. 24 is a monitoring screen that is executed by the screen display processing unit 301 of the service monitoring manager 114 installed in the service monitoring server 113 and displayed on the Web browser 118 of the terminal 117.
  • FIG. 24 is a monitoring screen 2400 that is a result of detecting a similar incident, unlike the monitoring screen 1800 that is a result of detecting a similar event with respect to a differential event in FIG.
  • incident information 2407 is displayed in the incident screen 2406, and it can be determined whether or not an event that is currently occurring leads to a failure. Further, since the incident execution screen 2406 displays the contents entered by the service execution infrastructure administrator such as workarounds and solutions, the service execution infrastructure administrator can refer to the display information and trouble It is possible to deal with it before it occurs.
  • the service performance that fluctuates indefinitely and the system internal processing such as the batch job that performs routine processing on a regular basis both are past performance information of similar usage conditions.
  • it was difficult to find a baseline it finds a date that is close to the current throughput among the past service throughputs in the same time period. Now, you can find it accurately in a short time.
  • the event transmitted from the event monitoring server 115 as a stream may be detected by the event monitoring server 115 when the event monitoring server 115 receives a message indicating the content of the event from the Web system 101.
  • a method is also conceivable in which the event monitoring server 115 transmits a status acquisition request to the service execution base and performs event detection according to the received status.
  • event detection may be realized by other methods.

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Mining & Analysis (AREA)
  • Environmental & Geological Engineering (AREA)
  • Computing Systems (AREA)
  • Debugging And Monitoring (AREA)

Description

サービス性能監視方法
　実施例は、情報システムを課監視する技術に関する。
　従来、システム監視では、監視対象サーバおよび当該サーバで監視可能な監視項目に対して、閾値を設定して、各監視項目ごとに閾値監視をすることで、異常検知を行っていた。しかし、各監視項目に対して適切な閾値を設定することは難しく、設定作業負荷も大きいため、特許文献１では、「計算機システム１の過去の負荷情報に基づいてシステムの負荷の時間的な推移を示す負荷モデルデータを作成する負荷モデルデータ作成手段１４と、負荷モデルデータに指定されたしきい値補正データを加算し、しきい値データを時系列に算出するしきい値データ作成手段１６と、システム１の現在の負荷情報とそれに対応する時刻のしきい値データを比較することによりシステムの異常負荷を検出する異常負荷検出手段１７とを具備する」技術を開示している。
特開２００１－１４２７４６号公報
　特許文献１に開示の技術では、ネットワークを通じてクライアント計算機にサービスを提供するシステムを監視対象とすることが難しい。その困難さはたとえば以下の（１）又は（２）である。
　（１）ネットワークサービスを提供するシステム（サービス実行基盤）のコンポーネントを監視する場合、端末からのリクエスト内容（例えば、リクエストタイプや、単位時間当たりのリクエスト数）によって監視値は変化し得るが、特許文献１ではそういったリクエスト内容を加味して過去の監視値をベースラインとして管理していないため、誤った異常検知が多発する。
　（２）サービス実行基盤で異常を検知した場合、迅速に当該システムで発生するイベントの分析をすることができない。
　以上の課題、特に上記（１）を解決するため、サービス実行基盤を監視する監視システムは、同基盤が提供するサービスの負荷毎にコンポーネントの監視値のベースラインを管理し、現在のサービス負荷に応じてベースラインを使い分ける。また、上記（２）を解決するため、監視システムはベースラインでサービス監視値又はコンポーネント監視値の異常を検知した場合は、直近から所定時間分前までのイベントと、ベースラインの時間帯内のイベントとを比較して、差分イベント（つまり普通でない直近のイベント）を特定する。
　本発明によって、ネットワークサービスを提供するサービス実行基盤を効果的に監視することができる。
実施例１の情報システムを示す図である。 実施例１の計算機のハードウェア構成を示す図である。 実施例１のサービス監視サーバの構成を示す図である。 実施例１のストリームデータ処理システムを用いたサービス監視マネージャの性能解析処理フローを示す図である。 実施例１の構成情報の例である。 実施例１のシステム実行基盤の一例であるＷｅｂシステムの構成例である。 実施例１のシステム実行基盤のサービスに関する、サービス監視情報ストリームと業務情報付きサービス監視情報ストリームの内容を示す図である。 実施例１のシステム実行基盤のコンポーネントに関する、システム監視情報ストリームと業務情報付きシステム監視情報ストリームの内容を示す図である。 実施例１のシステム実行基盤に関する、イベント監視情報ストリームと業務情報付きイベント情報ストリームの内容を示す図である。 実施例１の業務情報付きイベント情報ストリームの格納先の、イベント情報テーブル、差分イベント情報テーブル、及び類似イベント情報テーブルを示す図である。 実施例１の業務情報付きサービス性能情報ストリームの格納先の、サービス性能情報テーブルを示す図である。 実施例１の業務情報付きシステム性能情報ストリームの格納先の、システム性能情報テーブルを示す図である。 実施例１の業務情報付きサービスグループベースライン情報ストリームの格納先の、サービスグループ性能要約情報テーブルを示す図である。 実施例１の業務情報付きシステムベースライン情報ストリームの格納先の、システム性能要約情報テーブルを示す図である。 実施例１のサービスカタログテーブルと、サービスカタログに基づくシステム稼働情報テーブルを示す図である。 実施例１の性能解析処理部のフロー図である。 実施例１の類似事象検出処理のフロー図である。 実施例１の監視画面を示す図である。 実施例１の監視画面を示す図である。 実施例２の情報システムを示す図である。 実施例２のストリームデータ処理システムを用いたサービス監視マネージャの性能解析処理フローを示す図である。 実施例２のインシデントを取り扱うための情報を示した図である。 実施例２の類似事象検出処理のフロー図である。 実施例２のインシデント検索処理のフロー図である。 実施例２の監視画面を示す図である。
　以下に実施例の内容を説明する。なお、以後の説明では以下の用語を用いるがその意味は少なくとも以下である。
　ストリーム：イベントや測定値等、時間によって変化し得る情報の時間推移を表した、情報の流れである。
　ベースライン：異常を判断する際の元となる過去の監視値又は監視値を統計処理した値である。
　なお、以後の説明では「ａａａテーブル」、「ａａａリスト」、「ａａａＤＢ」、「ａａａキュー」等の表現にて本発明の情報を説明するが、これら情報は必ずしもテーブル、リスト、ＤＢ、キュー、等のデータ構造以外で表現されていてもよい。そのため、データ構造に依存しないことを示すために「ａａａテーブル」、「ａａａリスト」、「ａａａＤＢ」、「ａａａキュー」等について「ａａａ情報」と呼ぶことがある。
　さらに、各情報の内容を説明する際に、「識別情報」、「識別子」、「名」、「名前」、「ＩＤ」という表現を用いるが、これらについてはお互いに置換が可能である。
　以後の説明では「プログラム」を主語として説明を行う場合があるが、プログラムはプロセッサによって実行されることで定められた処理をメモリ及び通信ポート（通信制御デバイス）を用いながら行うため、プロセッサを主語とした説明としてもよい。また、プログラムを主語として開示された処理は管理サーバ等の計算機、情報処理装置が行う処理としてもよい。また、プログラムの一部または全ては専用ハードウェアによって実現されてもよい。
　また、各種プログラムはプログラム配布サーバや、計算機が読み取り可能な記憶メディアによって各計算機にインストールされてもよい。この場合、プログラム配布サーバはＣＰＵと記憶資源を含み、記憶資源はさらに配布プログラムと配布対象であるプログラムを記憶している。そして、配布プログラムをＣＰＵが実行することで、プログラム配布サーバのＣＰＵは配布対象のプログラムを他の計算機に配布する。
　図１は、監視システムを含む情報システムの構成図である。監視対象は、サービス実行基盤のＷｅｂシステム１０１と、エンドユーザが各端末１０２からＷｅｂブラウザ１０３を用いてネットワーク１０４経由で利用するサービスである。監視システムは複数のＷｅｂシステムとその上で利用可能なサービスを監視する。なお、本実施例ではサービスの一例としてＷｅｂを例示するが、その他ファイル共有サービスや、その他のネットワークサービスがサービスに含まれる。
　Ｗｅｂシステム１０１は、サーバ（プロセッサ、記憶資源、ネットワーク等から構成される）、ＯＳ、ミドルウェア等の物理的又は論理的なコンポーネントから構成されるサービス実行基盤である。そしてＷｅｂシステム１０１を監視する場合、たとえば監視対象サーバ内に常駐してＯＳやミドルウェアの稼働性能を監視するＯＳ監視エージェント１０５やミドルウェア監視エージェント１０６が監視する。あるいは、システムリモート監視サーバ１０７が、システムを構成するサーバのＯＳやミドルウェアの稼働性能をリモート監視するＯＳリモート監視１０８やミドルウェアリモート監視１０９が監視する。ＯＳ監視エージェント１０５、ミドルウェア監視エージェント１０６、ＯＳリモート監視１０８、ミドルウェアリモート監視１０８は、それぞれが監視対象としているコンポーネントの所定の監視項目についての監視値を、サービス監視サーバ１１３に送信する。
　Ｗｅｂアクセスで利用するサービス監視は、ネットワークスイッチ１１０のミラーポートからＷｅｂシステム１０１の送受信パケットをミラーリングして、トラフィック監視サーバ１１１に送る。トラフィック監視サーバ１１１に搭載されたトラフィック監視エージェント１１２がＨｔｔｐパケットを解析して、応答時間を算出する。トラフィック監視サーバ１１１は、監視結果のＨｔｔｐパケットの概要と応答時間を、サービス監視サーバ１１３に送信する。ここで、トラフィック監視サーバ１１１が複数あり、それぞれ接続先スイッチからパケットを収集して解析してもよい。また、トラフィック監視サーバ１１１に限らず、ネットワークを流れるパケットを収集して、Ｈｔｔｐパケットを解析して、応答時間を算出して、Ｈｔｔｐパケット情報と応答時間を出力する機能を有するものであればよい。なおサービス監視の方法はこれ以外の方法、例えば、サービス実行基盤のＷｅｂサーバに応答時間を算出可能なプログラムを追加するといった方法を採用してもよい。
　イベント監視サーバ１１５内のイベント監視マネージャ１１６は、監視対象であるＷｅｂシステム１０１や、各種監視サーバ１０７や１１１から通知される全てのイベント情報を取得する。なお、サービス実行基盤で発生する（別な言い方をするとイベント監視サーバが検知（受信も含む）する）イベントの種別としては、コンポーネントの障害や警告、コンポーネントの性能などの監視値が所定の基準を超えた場合、サービス実行基盤内で何らかの処理が始まった場合（例えばウィルススキャンやガーベージコレクション、デフラグ等）、とったものが例として考えられるが他の例でもかまわない。
　サービス監視サーバ１１３に搭載されたサービス監視マネージャ１１４は、コンポーネント監視値をベースラインと比較し、異常判定を行い、異常通知をイベント監視サーバ１１５内イベント監視マネージャ１１６に通知する。また、Ｈｔｔｐパケット概要と応答時間に基づいて、監視対象サービス毎に応答時間とベースラインとを比較し、異常判定を行い、異常通知イベントをイベント監視サーバ１１５内イベント監視マネージャ１１６に通知する。
　ここで、コンポーネント監視値またはサービス性能が異常の場合は、当該サービスと関連システムに関するイベントのうち、ベースラインに採用した正常時間帯と異常時間帯のイベントを比較し、異常時に出現する差分イベントまたはイベントの組み合わせを検出する。そして、当該差分イベントと類似イベントまたはイベントの組み合わせが、過去のイベントの中に含まれているかどうかを検索する。
　さらに、応答時間を平準化するための数値計算を行い、監視結果に基づいてベースラインを設定する。
　サービス監視の結果は、端末１１７のＷｅｂブラウザ１１８を用いて、リモートから見ることができる。もちろん、サービス監視の結果を表示する端末１１７は、サービス提供を受ける端末１０２と同じであってもよく、別であってもよい。
　なお、本実施例のおけるサービス実行基盤を監視する監視システムはトラフィック監視サーバ１１１、サービス監視サーバ１１３、イベント監視サーバ１１５の３つのサーバより構成されているが、最低１つのサーバで以後に示すトラフィック監視とサービス監視が処理できればよい。さらに、請求項において表示や入力について触れているのであれば監視システムには上記趣旨に沿った端末１１７が含まれてもよい。反対に、サービス監視サーバ等トラフィック監視やサービス監視処理を行うサーバで表示や入力を行うのであれば、監視システムには端末を含まなくても良い。また、監視処理の高信頼化や並列化、分散化といった目的で複数のサーバで監視処理を分担するのであればこれら処理を担うサーバをまとめた存在が監視システムである。
　なお、以後はコンポーネントの監視値は性能値を例として説明を行うが、その他の監視値（コンポーネントへのアクセスリトライ数、パケットロス率、コンテキストスイッチ数、コンポーネントへのリクエストキュー長やキュー溢れ回数等）にも適用可能である。
　次に実施例の端末１０２、Ｗｅｂシステム１０１に含まれるサーバ、トラフィック監視サーバ１１１、システムリモート監視サーバ１０７、イベント監視サーバ１１５、端末１１７以外の計算機のハードウェア構成を図２に示す。図２にあるようにこれら計算機は、プロセッサ２０１、メモリ２０２、記憶デバイス２０３、通信インターフェース２０４を含み、これらは互いに接続される。なお、計算機は必要であれば入力デバイス２０６、出力デバイス２０７を含むことがある。なお、各サーバ、端末をまとめて図２で説明したが、これら計算機が必ずしも同一ハードウェアでなくてもよい。そして、図１の各計算機の隅丸の四角で表されたプログラムは、メモリ２０２又は記憶デバイス２０３（以後、まとめて記憶資源と呼ぶ）に格納され、プロセッサ２０１によって実行される。
　図３は、図２で示した計算機の記憶資源に格納される情報、プログラムを表した図である。なお、図ではサービス監視マネージャプログラム１１４（以後は単にサービス監視マネージャと呼ぶ）はメモリ２０２、そのほかの情報は記憶デバイス２０３に格納されているが、記憶資源に格納されるのであれば各プログラム及び情報はどちらに記憶されても良い。サービス監視マネージャ１１４は画面表示処理部３０１と性能解析処理部３０３を含む。記憶デバイス２０３には、構成情報３０４、性能情報３０５、ベースライン情報３０６、イベント情報３０７、システム稼働情報３０８が格納される。端末１１７からＷｅｂブラウザ１１８経由でやりとりする入出力情報、Ｗｅｂシステム１０１やシステムリモート監視サーバ１０７から受信するコンポーネント監視値情報、トラフィック監視サーバ１１１から受信するＨｔｔｐパケットの情報、イベント監視サーバ１１５から受信するイベント情報は、通信インターフェース２０４により入出力される。なお、図２及び図３では入力デバイスと出力デバイスは別なデバイスとして図されているが、スマートフォンやタブレットコンピュータのような計算機がサーバや端末として用いることも想定されることから、入力デバイスと出力デバイスは１つのデバイスが兼ねても良い。
　図４は、サービス監視サーバ１１３内の、サービス監視マネージャ１１４の構成と処理フローの例である。サービス監視マネージャ１１４は、ストリームデータ処理システム３０２を用いた性能解析処理部３０３をもつ。クエリリポジトリ４０６には、性能解析処理部３０３の各処理内容の実行コードが格納されている。ストリームデータ処理システム内部で、ストリームデータを格納する方法、受け付けられたクエリの解析、最適化および生成されたクエリ実行形式の登録方法などについては、特開２００６－３３８４３２号公報に開示された技術を用いればよい。ただし、ただし本発明は必ずしも特開２００６－３３８４３２号公報で実現する必要はなく、以下に示す入力ストリームからベースライン情報３０６、性能情報３０５、イベント情報３０７を更新又は作成できれば他の実現方式であってもよい。
　ストリームデータ処理システム３０２は、トラフィック監視サーバ１１１からサービス監視情報ストリーム４０１、Ｗｅｂシステム１０１やシステムリモート監視サーバ１０７からシステム監視情報ストリーム４０２、イベント監視サーバ１０５からイベント監視情報ストリーム４０３を受信する。これら入力ストリーム（監視情報ストリーム）４０１から４０３は、ストリームデータフローマネージャ４０４を経由して、クエリ処理エンジン４０５を使用して、性能解析処理を行う。性能解析処理部３０３は、業務識別処理４１０、異常判定処理４１１、類似事象検出処理４１２、ベースライン設定処理４１３の順で実行される。
　業務識別処理４１０では、入力ストリーム（監視情報ストリーム）４０１から４０３に、構成情報３０４のサービスとシステムからなる業務情報を付加した業務情報付き監視情報ストリームを生成する。業務情報付きイベント情報ストリーム４０７は、イベント情報３０７に格納する。
　異常判定処理４１１では、所定時間内（例えば１分間）の業務情報付きサービス性能ストリームを、サービス毎に、性能値を統計処理（平均値、最大値、最小値、分散値を算出）し、統計値を、ベースライン情報３０６の業務別サービスグループ毎の、ベースライン採用日時のサービス性能要約情報と比較し、ベースライン許容範囲内かどうかを判定し、判定結果を含むサービス性能情報ストリーム４０８を、性能情報３０５に格納する。また、業務情報付きシステム監視情報ストリームの性能値を、ベースライン情報３０６の業務別システム毎の、ベースライン採用日時の、各ホストのエージェント別監視項目のサーバ性能要約情報と比較し、ベースライン許容範囲内かどうかを判定し、判定結果を含むシステム性能情報ストリーム４０８を、性能情報３０５に格納する。ここで、サービス性能およびシステム性能に対して異常と判定された場合は、イベント監視サーバ１１５に通知する。
　類似事象検出処理４１２は、サービス性能またはシステム稼働性能がベースライン許容範囲を超過した場合に、イベント情報３０７から、当該業務に関する、異常となった時間帯のイベントと、ベースラインに採用した正常時間帯のイベントを取り出して比較し、異常時にしか現れない差分イベントを検出する。イベント情報３０７のうち、当該業務に関する過去のイベントに、差分イベントと類似のイベントがないかどうかを検索する。当該業務内に類似イベントがなければ、システム稼働情報３０８から、当該業務のシステム構成と類似のシステムを検出し、イベント情報３０７のうち、類似システムに関する業務のイベント情報も、検索対象とする。当該処理の結果、差分イベント情報４０７と類似イベント情報４０７を、イベント情報３０８に格納する。
　ベースライン設定処理４１３は、所定時間内（例えば１時間）内の業務情報付きサービス性能ストリームを、サービスグループ毎に、性能値を統計処理（平均値、最大値、最小値、分散値を算出）し、ベースライン情報３０６に格納する。また、所定時間内（例えば１時間）内の業務情報付きシステム性能情報ストリームを、各ホストのエージェント別の監視項目毎に、性能値を統計処理（平均値、最大値、最小値、分散値を算出）し、ベースライン情報３０６に格納する。所定時間（例えば１時間）単位で、サービスグループ毎の、スループット／分の平均値と、ベースライン情報３０６に格納されている過去の同一時間帯のスループット／分の値が近い日時を検出して、翌時間帯の業務別ベースライン採用日時を、当該検出日の翌時間帯として、ベースライン情報３０６に格納する。
　図５Ａは、構成情報３０４を示す模式図である。構成情報３０４は、Ｗｅｂシステムに含まれる業務グループを含むコンポーネントに関する情報（例えばコンポーネントの設定情報や属性情報）や、コンポーネント同士の関係（通信関係や包含関係等）を格納している。図５では構成情報３０４に含まれる例として構成情報５０２、サービスグループ情報５０３、システム情報５０４、サービス情報５０５を含むことを示している。
　業務情報５０２の内容は、業務名５０２ａ、サービスグループ名５０２ｂ、システム名５０２ｃである。サービスグループ情報５０３の内容は、サービスグループ名５０２ｂ、ＵＲＩパス５０３ａである。サービス情報５０５の内容は、サービスグループ名５０２ｂ、サービス名５０５ａ、サービス内容５０５ｂ、ＵＲＩパス５０５ｃ、ＵＲＩクエリ５０５ｄである。システム情報５０４の内容は、システム名５０２ｃ、ホスト名５０４ａ、ＩＰアドレス５０４ｂである。
　図５ＢはＷｅｂシステムの構成例を示した図である。業務グループ５０１は、複数の業務５０２から成る。業務５０２は、サービスグループ５０３とシステム５０４から成る。サービスグループ５０３は、複数のサービス５０５から成る。システム５０４は複数のホスト５０６から成る。ホスト５０６は複数のエージェントから成る。なお、１監視システム及びＷｅｂシステムで複数の業務を扱わないのであれば、業務グループは存在しなくてもよい。同様に複数のサービスを提供しないのであればサービスグループは存在しなくてもよい。
　図６は、サービス監視情報ストリーム４０１と、業務識別処理４１０の出力結果の業務情報付きサービス監視情報ストリーム６０５である。
　サービス監視情報ストリーム４０１は、時刻６０１、リクエスト情報６０２、レスポンス情報６０３、応答時間６０４より成る。リクエスト情報６０２の内容は、送信元ＩＰアドレス６０２ａ、メソッド６０２ｂ、ＵＲＩパス６０２ｃ、ＵＲＩクエリ６０２ｄである。レスポンス情報６０３の内容は、ＨＴＴＰステータスコード６０３ａ、転送データ量６０３ｂである。
　業務情報付きサービス監視情報ストリームは、時刻６０１、業務名５０２ａ、サービスグループ名５０２ｂ、サービス情報５０５、リクエスト情報６０２、レスポンス情報６０３、応答時間６０４から成る。サービス情報５０５の内容は、サービス名５０５ａ、サービス内容５０５ｂである。
　図７は、システム監視情報ストリーム４０２と、業務識別処理４１０の出力結果の業務情報付きシステム監視情報ストリーム７０６である。
　システム監視情報ストリーム４０２は、時刻７０１、ホスト情報７０２、エージェント名７０３、監視項目７０４、性能値７０５である。ホスト情報７０２の内容は、ホスト名７０２ａ、ＩＰアドレス７０２ｂである。監視項目７０４の内容は、レコード名７０４ａ、フィールド名７０４ｂである。
　業務情報付きシステム監視情報ストリーム７０６は、時刻７０１、業務名５０２ａ、システム名５０２ｃ、ホスト情報７０２、エージェント名７０３、監視項目７０４、性能値７０５から成る。
　図８は、イベント監視情報ストリーム４０３と、業務識別処理４１０の出力結果の業務情報付きサービスイベント情報ストリーム４０７ａおよび業務情報付きシステムイベント情報ストリーム４０７ｂである。
　イベント監視情報ストリーム４０３は、時刻８０１、イベント情報８０２、オブジェクトタイプ８０３、オブジェクト情報８０４から成る。イベント情報８０２の内容は、重大度８０２ａ、登録時刻８０２ｂ、イベントＩＤ８０２ｃ、ソース　８０２ｄ、メッセージ８０２ｅ、アクション８０２ｆである。オブジェクトタイプ８０３は、イベント発行元を識別するための情報で、サービス情報、システム情報、ジョブ情報などである。
　業務情報付きサービスイベント情報ストリーム４０７ａは、時刻８０１、業務名５０２ａ、サービスグループ名５０２ｂ、サービス情報５０５、イベント情報８０２から成る。
　業務情報付きシステムイベント情報ストリームは４０７ｂは、時刻８０１、業務名５０２ａ、システム名５０２ｃ、ホスト情報７０２、イベント情報８０２から成る。
　図９は、業務情報付きイベント情報ストリーム４０７を格納するイベント情報３０７内のイベント情報テーブル３０７ａ、類似事象検索処理４１２で差分イベントおよび類似イベントの、業務情報付きイベント監視情報ストリームを格納する、差分イベント情報テーブル３０７ｂ、類似イベント情報テーブル３０７ｃのテーブル構成である。各イベント情報テーブル３０７ａ、３０７ｂ、３０７ｃは、同一テーブル構成で、時刻８０１、業務名５０２ａ、サービスグループ名５０２ｂ、サービス情報５０５、システム名５０２ｃ、ホスト情報７０２、イベント情報８０２から成る。
　図１０は、業務情報付きサービス監視情報ストリーム６０５に対して、異常判定処理４１１で統計値を求めてベースライン判定した結果の、サービス性能情報ストリーム４０８ａを格納する、性能情報３０６内のサービス性能情報テーブル３０５ａである。業務情報付きサービス性能情報ストリーム４０８ａは、時間１００１、業務名５０２ａ、サービスグループ名５０２ｂ、サービス情報５０５、判定１００２、１分あたりの応答時間の統計値１００３、１分あたりのスループット累積値１００４、１分あたりのエラー率累積値１００５から成る。サービス性能情報テーブル３０５ａの内容は、時間１００１、業務名５０２ａ、サービスグループ名５０２ｂ、サービス情報５０５、判定１００２、１分あたりの応答時間の統計値１００３、１分あたりのスループット累積値１００４、１分あたりのエラー率の累積値１００５である。
　図１１は、業務情報付きシステム監視情報ストリーム７０６に対して、異常判定処理４１１でベースライン判定した結果の、システム性能情報ストリーム４０８ｂを格納する、性能情報３０６内のシステム性能情報テーブル３０５ｂである。業務情報付きシステム性能情報ストリーム４０８ｂは、時刻１１０１、業務名５０２ａ、システム名５０２ｃ、ホスト情報７０２、エージェント名７０３、監視項目７０４、性能情報７０５、判定１１０２から成る。システム性能情報テーブル３０５ｂの内容は、時刻１１０１、業務名５０２ａ、システム名５０２ｃ、ホスト情報７０２、エージェント名７０３、監視項目７０４、性能情報７０５、判定１１０２である。
　図１２は、業務情報付きサービス性能情報ストリーム４０８ａに対して、ベースライン設定処理４１３で、所定時間（例えば１時間）で、サービスグループ毎の、サービス性能の統計値を求めて、同一サービスグループ内、同一時間帯で、１分あたりのスループット平均値が最も近い日を検出し、当該検出日の翌時間帯を、翌時間帯の業務別ベースライン採用日時とする、業務情報付きサービスグループベースライン情報ストリーム４０９ａを格納する、ベースライン情報３０６のサービスグループ性能要約情報テーブル３０６ａである。業務情報付きサービス性能ベースライン情報ストリーム４０９ａは、時間１２０１、業務名５０２ａ、サービスグループ名５０２ｂ、スループット（統計値）１２０２、エラー率（統計値）１２０３、応答時間（統計値）１２０４、ベースライン採用日時１２０５から成る。サービスグループ性能要約情報テーブル３０６ａの内容は、時間１２０１、業務名５０２ａ、サービスグループ名５０２ｂ、スループット統計値（１２０２）、エラー率（統計値）１２０３、応答時間（統計値）１２０４、ベースライン採用日時１２０５である。
　図１３は、業務情報付きシステム性能情報ストリーム４０８ｂに対して、ベースライン設定処理４１３で、所定時間（例えば１時間）で、システム内のホストのエージェントの監視項目に対する性能値の統計値を求めて、結果の業務情報付きシステムベースライン情報ストリーム４０９ｂを格納する、ベースライン情報３０６のシステム性能要約情報テーブル３０６ｂである。業務情報付きシステムベースライン情報ストリーム４０９ｂは、時間１３０１、業務名５０２ａ、システム名５０２ｃ、ホスト情報７０２、エージェント名７０３、監視項目７０４、性能値（統計値）１３０２から成る。システム性能要約情報テーブル３０６ｂの内容は、時間１３０１、業務名５０２ａ、システム名５０２ｃ、ホスト情報７０２、エージェント名７０３、監視項目７０４、性能値（統計値）１３０２である。
　図７の業務情報付きシステム監視情報ストリーム７０６の時刻７０１が属する時間帯の、業務名５０２ａと一致する、図１２のサービスグループ性能要約情報テーブル３０６ａの時間１２０１と業務名５０２ａの、ベースライン採用日時１２０５をみて、図１３のシステム性能要約情報テーブル３０６ｂの性能値（統計値）を使用する。
　図１４は、システム稼働情報３０８に含まれるサービスカタログテーブル１４０１と、システム稼働情報テーブル１４０２である。サービスカタログテーブル１４０１の内容は、システム種別１４０３、サーバスペック１４０４、ＯＳ種別１４０５、ミドルウェア種別１４０６、数量１４０７から成る。
　システム稼働情報テーブル１４０２の内容は、システム名５０２ｃ、システム種別１４０３、ＵＰ（Ｕｓｅｒ　Ｐｒｏｇｒａｍ）情報１４０８、累積稼働日数１４０９、アラート発生件数１４１０、障害件数１４１１、所定期間の平均サービス性能情報１４１２、所定期間の平均システム性能情報１４１３から成る。
　サービスカタログテーブル１４０１は、ＰａａＳ（Ｐｌａｔｆｏｒｍ　ａｓ　ａ　Ｓｅｒｖｉｃｅ）提供者が、提供サービスを登録する。
　システム稼働情報テーブル１４０２は、システムを構築時や更改時に、システム名５０２ｃと、サービスカタログテーブル１４０１から選択したシステム種別１４０３と、ＵＰ情報１４０８を登録する。また、累積稼働日数１４０９、アラート発生件数１４１０、障害件数１４１１は、別に管理されているインシデント管理から、定期的に登録更新される。さらに所定期間の平均サービス性能情報１４１２、所定期間の平均システム性能情報１４１３は、性能情報３０５から、定期的に集計処理されて登録更新される。
　システム稼動情報テーブル１４０２は、対象システムとシステム種別１４０３が同一のシステムを検索したり、類似システムのうち、稼動実績の長いあるいは近いシステムを選択するために必要である。
　図１５は、性能解析処理部３０３の処理の流れである。性能解析処理部３０３は、業務識別処理４１０、異常判定処理４１１、類似事象検出処理４１２、ベースライン設定処理４１３の順で処理する。
　業務識別処理４１０は、監視情報ストリームを受信する処理１５０１と、監視情報ストリームに業務情報を付加する処理１５０２からなる。受信処理１５０１は監視情報ストリームの新しい情報を受信する。
　監視情報ストリームに業務情報を付加する処理１５０２は、構成情報３０４を参照して、サービス監視情報ストリームの場合は、ＵＲＩが共通のサービスグループに関連する業務を取得し、ＵＲＩとクエリが共通のサービス情報を取得し、業務種別付きサービス監視情報ストリームを作成する。
　システム監視情報ストリームの場合は、ホストが含まれるシステムに関連する業務を取得し、業務情報付きシステム監視情報ストリームを作成する。
　イベント監視情報ストリームの場合は、オブジェクトタイプがサービスの場合は、オブジェクト情報に格納されているサービス情報のうちのサービスグループに関連する業務を取得し、業務種別付きイベント監視情報を作成する。オブジェクトタイプがホストの場合は、ホストが含まれるシステムに関連する業務を取得し、業務種別付きイベント監視情報を作成する。業務種別付きイベント監視情報は、イベント情報３０７に格納する。
　異常判定処理４１１は、所定時間内に到着する業務種別付きサービス監視情報ストリームに対して、性能値の統計値（平均、最大、最小、分散）を求めて、業務種別付きサービス性能情報ストリームを作成する処理１５０３と、業務種別付きサービス性能情報の統計値が、ベースラインを超過していないかを判定し、業務種別付きサービス性能情報ストリームを性能情報３０５に登録する、または業務種別付きシステム監視情報のホスト内エージェントの監視項目に対する性能値がベースラインを超過していないかを判定し、業務種別付きシステム性能情報ストリームを性能情報３０５に登録する処理１５０４から成る。
　ベースライン許容範囲を超過するか否かの判定部１５０５の結果、ベースラインを超過する場合、類似事象検出処理４１２を実行する。類似事象検出処理４１２は、正常時と異常時のイベント情報を比較して差分イベントを検出する、イベント情報比較処理１５０６と、差分イベントと類似のイベントが過去に存在するかどうかを検索する、類似イベント検索処理１５０７から成る。
　ベースライン設定処理４１３において、まず、所定時間内の性能要約情報を作成する処理１５０８は、業務毎に、サービスグループ毎の単位時間（例えば１分）あたりのサービス性能（応答時間、スループットなど）の、所定時間（例えば１時間）内の統計値を算出して、サービス性能要約情報を作成する。また、同処理１５０８は、システム内の各ホストのエージェント毎の監視項目の性能値の所定時間（例えば１時間）内の統計値を算出して、システム性能要約情報を作成する。同処理１５０８は、単位時間（例えば１分）おきに、性能情報の統計値(最大値、最小値、平均値)を累積していく。
次に、所定時間内のスループット統計値と近い過去の統計値を検出して翌時間帯のベースラインを決定する処理１５０９は、所定時間(例えば１時間)分の性能要約情報が累積された時点で、同一業務のサービスグループの、過去同一時間帯のスループット統計値のうち、最も近い日にちを見つけて、翌時間帯のベースライン採用日として、ベースライン情報３０６に格納する。
　図１６は、類似事象検出処理４１２の処理の流れである。類似事象検出処理４１２は、イベント情報比較処理１５０６と類似イベント検索処理１５０７から成る。
　イベント情報比較処理１５０６は、業務毎に、ベースライン超過時点を含む直近の所定時間内のイベント情報を取得する処理１６０１と、ベースライン採用時間帯（正常時）のイベント情報を取得する処理１６０２と、ベースライン超過時間帯（異常時）のイベントと、ベースライン採用時間帯（正常時）のイベントで、イベントＩＤを比較し、正常時には出現しないが異常時に出現する差分イベントを検出し、差分イベントをイベント情報３０７に格納する処理１６０３から成る。
　類似イベント検索処理１５０７は、同一業務の過去のイベントから、差分イベント（組み合わせ）とイベントＩＤが一致するものを検索する処理１６０４と、差分イベントとの適合性判定部１６０５と、適合イベントが見つかった場合に類似イベント（組み合わせ）をイベント情報３０７に格納する処理１６０６と、システム稼働情報３０８を参照して、当該業務と関連するシステムと、同一のシステム構成をもつ他システムを検索する処理１６０７と、システム類似度判定部１６０８と、類似システム関連業務の過去イベントから、差分イベント（組み合わせ）とイベントＩＤが一致するものを検索する処理１６０９成る。
　図１７から図１８は、サービス監視サーバ１１３にインストールされたサービス監視マネージャ１１４の画面表示処理部３０１によって実行され、端末１１７のＷｅｂブラウザ１１８上で表示する監視画面である。
　図１７は、業務別に、サービスと関連システム性能をベースライン監視した結果、ベースライン超過を検知し、正常時には出現しない差分イベントを検出した際の、監視画面１７００である。監視画面１７００は、業務一覧表示部１７０１、表示期間指定部１７０２、トポロジー表示部１７０３、差分イベント一覧表示部１７０４、グラフ表示部１７０５から構成される。
　本監視画面の使い方は、まず、統合イベント監視ツール側で、業務内サービスあるいはホストでの異常に気付くと、監視画面１７００で、業務一覧表示部１７０１より、確認したい業務を選択する。次に、表示期間指定部１７０２で期間を指定して、トポロジー表示部１７０３により、業務を構成するサービスおよびシステム内ホストの稼働状況を確認する。また、このとき、差分イベント一覧表示部１７０４で、異常時にしか現れないイベントが表示される。そして、グラフ表示部１７０５では、表示期間指定部１７０２で指定した期間内の、トポロジー表示部１７０３で選択した異常箇所の性能傾向と、差分イベント一覧で選択したイベントの発生状況を、確認する。グラフ表示部１７０５において、ベースラインに採用するのは、直近のアクセス数が最も近い同一時間帯の日付の性能値であるため、イベント２が発生している日１７０６の応答時間のベースラインは、最もアクセス数が近い日１７０７の応答時間をベースラインとしている。
　図１８は、図１７で検出した差分イベントに対して、同一業務および、同一システム構成の他業務の過去イベントのなかから、類似イベントを検出した結果の監視画面１８００である。監視画面１８００は、業務一覧表示部１８０１、表示期間指定部１８０２、差分イベント一覧表示部１８０３、類似イベント一覧表示部１８０４、グラフ表示部１８０５から構成される。
　本監視画面の使い方は、図１７で検出した異常時の差分イベントについて、差分イベント一覧表示部１８０３で、表示期間指定部１８０２で期間を指定して、差分イベントの発生状況を発生件数で確認する。ここで、差分イベントが頻繁に発生しており、無視できるイベントなのか、めったに発生しない注意すべきイベントなのかを判別する。
　続いて、発生件数の少ない注意すべきイベントの場合、同一業務または類似システムからなる業務に関わる過去のイベントのなかから、類似イベントを検索し、検索結果を類似イベント一覧１８０４で表示する。
　グラフ表示部１８０５で、類似イベント発生状況と性能傾向を、現時点と過去と比較し、障害発生を予測し、障害発生前に対処が可能な情報を提示する。
　以上が実施例１の説明である。
　次に実施例２を図を用いて説明する。
　図１９は、実施例２の構成を示した図であり、実施例１との差異はインシデント管理サーバ１１９を追加したことである。インシデント管理サーバ１１９内には、インシデント管理１２０プログラムを記憶資源に格納し、実行する。
　図２０は、図４のサービス監視サーバ１１３内の、サービス監視マネージャ１１４の構成と処理フローに、インシデント管理サーバ１１９のインシデント管理１２０と連携して、類似インシデント情報を追加する場合の構成と処理フローである。ストリームデータ処理システム３０２内の性能解析処理部３０３において、類似事象検出処理４１２は、サービス性能またはシステム稼働性能がベースライン許容範囲を超過した場合に、イベント情報３０７から、当該業務に関する、異常となった時間帯のイベントと、ベースラインに採用した正常時間帯のイベントを取り出して比較し、異常時にしか現れない差分イベントを検出する。そして、インシデント管理サーバ１１９内インシデント管理１２０のインシデント検索処理２００１で、差分イベントが、当該業務に関する過去のイベントに基づいて登録済みのインシデント情報２００２のなかに、類似のインシデント情報が存在するかどうかを検索する。検索の結果、類似インシデントが見つかった場合には、業務情報付きインシデント情報ストリーム２００３を生成し、類似インシデント情報２００４に格納する。
　図２１は、図２０のインシデント検索処理２００１の、入力情報２１０１と出力情報２１０３、インシデント情報２００２内のインシデント情報テーブル２１０１と、類似インシデント情報２００４内の類似インシデント情報テーブル２１０４である。
　インシデント検索のための入力情報２１０１は、検索対象期間を示す開始日時２１０５と終了日時２１０６、検索対象の業務名５０２ａ、サービスグループ名５０２ｂ、システム名５０２ｃ、インシデントに関連するイベントＩＤ２１０７からなる。
　インシデント情報テーブル２１０２は、タイトル２１０８、重要度２１０９、インシデントＩＤ２１１０、インシデントＩＤへのＵＲＬ２１１１、業務名５０２ａ、サービスグループ名５０２ｂ、システム名５０２ｃ、発生日時２１１２、インシデントに関連するイベントＩＤ２１１３から成る。
　インシデント検索結果の出力情報２１０３は、２１０２のインシデント情報テーブルの各項目に対応する内容である。
　類似インシデント情報テーブル２１０４は、２１０３のインシデント検索結果を格納するために、インシデント情報に対応する各項目から成る。
　図２２は、図１６の類似事象検出処理４１２の処理の流れに、類似障害検索処理２２０１を追加した処理フローである。類似事象検出処理４１２において、イベント情報比較処理１５０６により、差分イベントを検出し、イベント情報３０７に格納する。
　次に、類似障害検索処理２２０１で、差分イベント（組み合わせ）と類似の関連イベントに基づくインシデントが存在するかどうかを検索する。類似障害検索処理２２０１は、検索期間と業務情報と差分イベント（組み合わせ）から成るデータセットを作成する処理２２０２と、作成したデータセットを入力パラメータとして、類似インシデントを返り値とする検索コマンドを生成する処理２２０３と、生成した検索コマンドをインシデント管理に送信し、類似インシデント情報一覧を受信する処理２２０４から成る。
　類似障害検索処理２２０１の結果、類似インシデントが見つかったか否かの判定処理２２０５を行い、類似インシデントが見つかった場合は、類似インシデント情報一覧を類似インシデント情報テーブルに格納する処理２２０６を行い、類似インシデント情報２００４に格納する。るインシデントが見つからなかった場合は、類似イベント検索処理１５０７を実行する。
　図２３は、インシデント管理サーバ１１９内のインシデント管理１２０での、インシデント検索処理２００１の処理の流れである。インシデント検索処理２００１は、検索開始日時から終了日時の期間内で、同一業務のインシデントを抽出する処理２３０１と、抽出したインシデントのうち、関連イベントが含まれるインシデントを抽出する処理２３０２と、抽出したインシデント情報から、“タイトル”、“重大度”、“インシデントＩＤ”、“インシデントＩＤへのＵＲＬ”、“業務名”、“発生日時”、“関連イベントＩＤ”から成るデータセットを作成する処理２３０３と、作成したデータセットを送信する処理２３０４から成る。
　図２４は、サービス監視サーバ１１３にインストールされたサービス監視マネージャ１１４の画面表示処理部３０１によって実行され、端末１１７のＷｅｂブラウザ１１８上で表示する監視画面である。図２４は、図１８の、差分イベントに対して、類似イベントを検出した結果の監視画面１８００と異なり、類似インシデントを検出した結果の監視画面２４００である。
　監視画面２４００において、差分イベント一覧２４０１に対して、検索期間２４０２を指定すると、当該イベントの発生件数が表示される。
　次に、類似検索対象にチェック２４０３の付与されたイベント（組み合わせ）に関するインシデントを検索した結果が、類似インシデント一覧２４０４に表示される。
　さらに、インシデントＩＤ２４０５をクリックすると、インシデント詳細ＵＲＬ先のインシデント画面２４０６が表示される。インシデント画面２４０６内には、インシデント情報２４０７が表示され、現在発生しているイベントが、障害につながるかどうかを判断することができる。さらに、インシデント画面２４０６には、回避策や解決策といったサービス実行基盤の管理者が行い、そして入力した内容が表示されるため、サービス実行基盤の管理者は、これら表示情報を参考にして、障害発生前に対処することが可能となる。
　以上、実施例１及び２の監視システムによって、例えば、不確定に変動するサービス利用と、定時に定型処理するバッチジョブなどのシステム内部処理とで、両方共に類似の利用状況の過去の性能情報であるベースラインを見つけるのは困難であったが、同一時間帯の過去のサービスのスループットのなかで、現在のスループットと近い日にちを見つけるので、定時実行内部処理を加味したシステムおよびサービスのベースラインを、短期間に精度よく見つけることができるようになった。
　また、実施例１及び２の監視システムによって、ベースラインの許容範囲を超過した場合、この先放っておくと障害に至ってしまうため対処が必要なケースと、時間経過とともに自然回復するため対処が不要なケースがあるが、予兆段階で正しい判断をするための情報を提示できるようになった。
　さらに、実施例１及び２の監視システムによって、サービス利用状況が近い、同一時間帯のシステム稼動性能をベースラインとすることで、外部アクセス変動(外乱)によらない、システム内部処理異常に気づくことができるようになった。従って、外部アクセスによる外的要因か、内部処理異常の内部要因かを切り分けられるようになり、原因調査に要する時間を削減でき、適切な対象方法をとることができるようになった。
　なお、図１６にあるように、ステップ１６０２にて取得するイベント情報は、採用されたベースラインの時間帯のイベント情報であるため、結果的に取得されるイベント情報もその時のサービス監視の値に適したものが選択される。これは例えばサービスリクエストが多い時と少ない時とで発生するイベントが相違する場合に好適である。しかし、図１６の類似事象検出処理はベースラインをサービス監視の値と関連付けて管理しない場合でも適用することで、サービス実行基盤で異常を検知後に迅速にイベント分析は可能である。これは図２２も同様である。
　なお、コンポーネントの異常検知に用いるベースラインをその時のサービス監視値に近いベースラインを１つ選ぶ代わりに、複数のベースラインから擬似的なベースラインを合成（例えば２つのベースラインの平均化等）してもよい。このような合成はサービス実行基盤のサービス負荷がわずかに増加した場合にコンポーネントの監視値が急激に変化しない場合は好適である。一方の１つのベースラインを選択する場合は、図１７のようなベースライン表示をした場合に、表示ベースラインは事実として発生したものであることから、監視システムのユーザーは事実ベースでの分析をより深く行うことが出来る。また、１つのベースラインを選択した場合のほうが、対応するイベント情報を選択しやすい。
　なお、イベント監視サーバ１１５からストリームとして送信されてきたイベントは、イベント監視サーバ１１５がＷｅｂシステム１０１からイベントの内容を示すメッセージを受信したことでイベント監視サーバ１１５が検知するが考えられる。また、他のイベント検知の方法としては、イベント監視サーバ１１５がサービス実行基盤に状態取得要求を送信し、そこで受信した状態によってイベント検知を行う方法も考えられる。しかし、イベント検知は他の方法で実現してもよい。
１０１・・・Ｗｅｂシステム、１０２・・・端末、１１１・・・トラフィック監視サーバ、１１３サービス監視サーバ

Claims (15)

  1. 　複数のコンポーネントを含み、前記コンポーネントを用いて所定のサービスを提供するサービス実行基盤と通信可能な通信インターフェースと、
    　記憶資源と、
    　前記サービス実行基盤から、前記所定のサービスの監視値であるサービス監視ストリームと、前記コンポーネントの監視値であるコンポーネント監視ストリームと、を受信処理するプロセッサと、
    　を有する監視システムであって、
    　前記プロセッサは、
    　（Ａ）過去の所定の時間帯のコンポーネント監視ストリームに基づいてコンポーネントベースラインを作成し、
    　（Ｂ）過去の所定の時間帯のサービス測定ストリームの統計値を計算し、
    　（Ｃ）前記作成したコンポーネントベースラインを、前記所定の時間帯及び（Ｂ）で計算した統計値と対応付けて前記記憶資源に格納し、
    　（Ｄ）前記コンポーネントベースライン作成後、サービス監視ストリーム及びコンポーネント監視ストリームを新たに受信したら、当該新規受信したサービス監視ストリームに適するコンポーネントベースラインを選択し、前記選択したコンポーネントベースラインを基準に当該新規受信したコンポーネント監視ストリームの異常を判断する、
    　を処理する監視システム。
  2. 　請求項１記載の監視システムであって、
    　前記監視システムは表示装置を有し、
    　前記プロセッサは、
    　　前記新規受信したサービス監視値と、
    　　前記新規受信したコンポーネント監視値と、
    　　前記選択したコンポーネントベースラインと、
    　を前記表示装置に表示させる、
    　監視システム。
  3. 　請求項２記載の監視システムであって、
    　前記プロセッサは、
    　（Ｅ）前記サービス実行基盤のイベントを検知し、検知した時間と共に記憶資源に格納し、
    　（Ｆ）（Ｄ）にて異常と判断した場合、（Ｄ）のコンポーネントベースラインに対応付けられた前記所定の時間帯を取得し、取得した時間帯内に検知したイベントを選択し、
    　（Ｇ）選択したイベントに基づいて、前記所定の時間帯では検知してなかった直近から所定期間前までのイベントを選択し、
    　（Ｈ）（Ｇ）で選択したイベントの内容を表示する、
    　監視システム。
  4. 　請求項３記載の監視システムであって、
    　前記プロセッサは、
    　（Ｉ）（Ｇ）で選択したイベントを過去のイベントから検索することで、類似するイベントを当該類似イベントの検知時間と共に表示する、
    　監視システム。
  5. 　請求項４記載の監視システムであって、
    　前記検索対象となる過去のイベントには、システム構成上類似する他のサービス実行基盤のイベントも含まれる、
    　監視システム。
  6. 　請求項３記載の監視システムであって、
    　前記プロセッサは、
    　（Ｊ）（Ｇ）で選択したイベントをインシデント情報に含まれるイベントと比較することで、前記直近から所定期間前までに新たに検知したイベントに関連する可能性があるインシデントの内容を表示する、
    　監視システム。
  7. 　複数のコンポーネントを含み、前記コンポーネントを用いて所定のサービスを提供するサービス実行基盤を監視する監視システムで実行する監視プログラムであって、
    　前記監視プログラムは、
    　前記サービス実行基盤から、前記所定のサービスの監視値であるサービス監視ストリームと、前記コンポーネントの監視値であるコンポーネント監視ストリームと、を受信し、
    　（Ａ）過去の所定の時間帯のコンポーネント監視ストリームに基づいてコンポーネントベースラインを作成し、
    　（Ｂ）過去の所定の時間帯のサービス測定ストリームの統計値を計算し、
    　（Ｃ）前記作成したコンポーネントベースラインを、前記所定の時間帯及び（Ｂ）で計算した統計値と対応付けて前記監視システムの記憶資源に格納し、
    　（Ｄ）前記コンポーネントベースライン作成後、サービス監視ストリーム及びコンポーネント監視ストリームを新たに受信したら、当該新規受信したサービス監視ストリームに適するコンポーネントベースラインを選択し、前記選択したコンポーネントベースラインを基準に当該新規受信したコンポーネント監視ストリームの異常を判断する、
    　ステップを含む監視プログラム。
  8. 　請求項７記載の監視プログラムであって、
    　前記監視プログラムは、
    　　前記新規受信したサービス監視値と、
    　　前記新規受信したコンポーネント監視値と、
    　　前記選択したコンポーネントベースラインと、
    　を前記監視システムの表示装置に表示させる、
    　ステップを含む監視プログラム。
  9. 　請求項８記載の監視プログラムであって、
    　前記監視プログラムは、
    　（Ｅ）前記サービス実行基盤のイベントを検知し、検知した時間と共に記憶資源に格納し、
    　（Ｆ）（Ｄ）にて異常と判断した場合、（Ｄ）のコンポーネントベースラインに対応付けられた前記所定の時間帯を取得し、取得した時間帯内に検知したイベントを選択し、
    　（Ｇ）選択したイベントに基づいて、前記所定の時間帯では検知してなかった直近から所定期間前までのイベントを選択し、
    　（Ｈ）（Ｇ）で選択したイベントの内容を表示する、
    　ステップを含む監視プログラム。
  10. 　請求項９記載の監視プログラムであって、
    　前記監視プログラムは、
    　（Ｉ）（Ｇ）で選択したイベントを過去のイベントから検索することで、類似するイベントを当該類似イベントの検知時間と共に表示する、
    　ステップを含む監視プログラム。
  11. 　請求項１０記載の監視プログラムであって、
    　前記検索対象となる過去のイベントには、システム構成上類似する他のサービス実行基盤のイベントも含まれる、
    　監視プログラム。
  12. 　請求項９記載の監視プログラムであって、
    　前記監視プログラムは、
    　（Ｊ）（Ｇ）で選択したイベントをインシデント情報に含まれるイベントと比較することで、前記直近から所定期間前までに新たに検知したイベントに関連する可能性があるインシデントの内容を表示する、
    　ステップを含む監視プログラム。
  13. 　請求項３記載の監視システムであって、
    　前記イベントの検知とは、
    　　前記監視システムが前記サービス実行基盤からイベントの内容を記した情報を受信すること、
    　または
    　　前記サービス実行基盤の状態を取得することで、前記監視システムが前記サービス実行基盤にてイベントが発生したと判断する、
    　ことを特徴とする監視システム。
  14. 　請求項９記載の監視プログラムであって、
    　前記イベントの検知とは、
    　　前記監視システムが前記サービス実行基盤からイベントの内容を記した情報を受信すること、
    　または
    　　前記サービス実行基盤の状態を取得することで、前記監視システムが前記サービス実行基盤にてイベントが発生したと判断する、
    　ことを特徴とする監視プログラム。
  15. 　複数のコンポーネントを含み、前記コンポーネントを用いて所定のサービスを提供するサービス実行基盤と、
    　前記サービス実行基盤の監視値を含む監視ストリームを受信処理する監視システムと、
    　を有するシステムであって、
    　前記監視システムは、
    　（１）前記サービス実行基盤のイベントを検知し、検知した時間と共に記憶資源に格納し、
    　（２）過去の監視ストリームに基づいてベースラインを作成し、
    　（３）前記作成したベースラインを、基となった前記過去の監視ストリームの時間帯と関連付けて前記記憶資源に格納し、
    　（４）前記ベースライン作成後、監視ストリームを新たに受信したら、前記ベースラインを基準に当該新規受信した監視ストリームの異常を判断し、
    　（５）（４）にて異常と判断した場合、（４）のベースラインに対応付けられた時間帯を取得し、取得した時間帯内に検知したイベントを選択し、
    　（６）選択したイベントに基づいて、前記取得した時間帯では検知してなかった直近から所定期間前までのイベントを選択し、
    　（７）（Ｇ）で選択したイベントの内容を表示する、
    　システム。
PCT/JP2012/072097 2012-08-31 2012-08-31 サービス性能監視方法 Ceased WO2014033894A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2014532665A JP5914669B2 (ja) 2012-08-31 2012-08-31 サービス性能監視方法
PCT/JP2012/072097 WO2014033894A1 (ja) 2012-08-31 2012-08-31 サービス性能監視方法
US14/400,499 US9509706B2 (en) 2012-08-31 2012-08-31 Service performance monitoring method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2012/072097 WO2014033894A1 (ja) 2012-08-31 2012-08-31 サービス性能監視方法

Publications (1)

Publication Number Publication Date
WO2014033894A1 true WO2014033894A1 (ja) 2014-03-06

Family

ID=50182742

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/072097 Ceased WO2014033894A1 (ja) 2012-08-31 2012-08-31 サービス性能監視方法

Country Status (3)

Country Link
US (1) US9509706B2 (ja)
JP (1) JP5914669B2 (ja)
WO (1) WO2014033894A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021060733A (ja) * 2019-10-04 2021-04-15 富士ゼロックス株式会社 監視装置及び監視プログラム

Families Citing this family (75)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10324779B1 (en) * 2013-06-21 2019-06-18 Amazon Technologies, Inc. Using unsupervised learning to monitor changes in fleet behavior
US10255124B1 (en) 2013-06-21 2019-04-09 Amazon Technologies, Inc. Determining abnormal conditions of host state from log files through Markov modeling
DE112016002999T5 (de) * 2015-07-01 2018-03-15 Mitsubishi Electric Corporation Anomalie-detektionssystem für verteilte ausrüstungen
US10482231B1 (en) * 2015-09-22 2019-11-19 Amazon Technologies, Inc. Context-based access controls
US9509710B1 (en) * 2015-11-24 2016-11-29 International Business Machines Corporation Analyzing real-time streams of time-series data
US10504026B2 (en) 2015-12-01 2019-12-10 Microsoft Technology Licensing, Llc Statistical detection of site speed performance anomalies
US10263833B2 (en) 2015-12-01 2019-04-16 Microsoft Technology Licensing, Llc Root cause investigation of site speed performance anomalies
US10171335B2 (en) * 2015-12-01 2019-01-01 Microsoft Technology Licensing, Llc Analysis of site speed performance anomalies caused by server-side issues
JP6622581B2 (ja) * 2015-12-11 2019-12-18 キヤノン株式会社 情報提示方法及び装置
CN105391602B (zh) * 2015-12-15 2019-02-26 北京奇虎科技有限公司 一种数据采集测试方法和装置
EP3403187A4 (en) * 2016-01-14 2019-07-31 Sumo Logic SINGLE CLICK DELTA ANALYSIS
US10708155B2 (en) * 2016-06-03 2020-07-07 Guavus, Inc. Systems and methods for managing network operations
CN106250290A (zh) * 2016-08-03 2016-12-21 广州唯品会信息科技有限公司 异常信息的分析方法及装置
US10797964B2 (en) * 2016-11-26 2020-10-06 Amazon Technologies, Inc. System event notification service
US11973784B1 (en) 2017-11-27 2024-04-30 Lacework, Inc. Natural language interface for an anomaly detection framework
US11785104B2 (en) 2017-11-27 2023-10-10 Lacework, Inc. Learning from similar cloud deployments
US12058160B1 (en) 2017-11-22 2024-08-06 Lacework, Inc. Generating computer code for remediating detected events
US12457231B1 (en) 2017-11-27 2025-10-28 Fortinet, Inc. Initiating and utilizing pedigree for content
US12348545B1 (en) 2017-11-27 2025-07-01 Fortinet, Inc. Customizable generative artificial intelligence (‘AI’) assistant
US12401669B1 (en) 2017-11-27 2025-08-26 Fortinet, Inc. Container vulnerability management by a data platform
US12034754B2 (en) 2017-11-27 2024-07-09 Lacework, Inc. Using static analysis for vulnerability detection
US12549577B1 (en) 2017-11-27 2026-02-10 Fortinet, Inc. Tracking and relating discovered security issues over time
US11792284B1 (en) 2017-11-27 2023-10-17 Lacework, Inc. Using data transformations for monitoring a cloud compute environment
US12095796B1 (en) 2017-11-27 2024-09-17 Lacework, Inc. Instruction-level threat assessment
US12284197B1 (en) 2017-11-27 2025-04-22 Fortinet, Inc. Reducing amounts of data ingested into a data warehouse
US12580932B1 (en) 2017-11-27 2026-03-17 Fortinet, Inc. Customer onboarding and integration with anomaly detection systems
US11741238B2 (en) 2017-11-27 2023-08-29 Lacework, Inc. Dynamically generating monitoring tools for software applications
US20220232024A1 (en) 2017-11-27 2022-07-21 Lacework, Inc. Detecting deviations from typical user behavior
US12463996B1 (en) 2017-11-27 2025-11-04 Fortinet, Inc. Risk engine that utilizes key performance indicators
US12452272B1 (en) 2017-11-27 2025-10-21 Fortinet, Inc. Reducing resource consumption spikes in an anomaly detection framework
US12309236B1 (en) 2017-11-27 2025-05-20 Fortinet, Inc. Analyzing log data from multiple sources across computing environments
US12368745B1 (en) 2017-11-27 2025-07-22 Fortinet, Inc. Using natural language queries to conduct an investigation of a monitored system
US12511110B1 (en) 2017-11-27 2025-12-30 Fortinet, Inc. Development and distribution of components for an anomaly detection framework
US12126643B1 (en) 2017-11-27 2024-10-22 Fortinet, Inc. Leveraging generative artificial intelligence (‘AI’) for securing a monitored deployment
US12407701B1 (en) 2017-11-27 2025-09-02 Fortinet, Inc. Community-based generation of policies for a data platform
US12381901B1 (en) 2017-11-27 2025-08-05 Fortinet, Inc. Unified storage for event streams in an anomaly detection framework
US10425437B1 (en) * 2017-11-27 2019-09-24 Lacework Inc. Extended user session tracking
US12407702B1 (en) 2017-11-27 2025-09-02 Fortinet, Inc. Gathering and presenting information related to common vulnerabilities and exposures
US12580935B1 (en) 2017-11-27 2026-03-17 Fortinet, Inc. Scoring of events in an edge-based data platform
US12355793B1 (en) 2017-11-27 2025-07-08 Fortinet, Inc. Guided interactions with a natural language interface
US12613930B1 (en) 2017-11-27 2026-04-28 Fortinet, Inc. Ensuring exactly once data ingestion
US12537836B1 (en) 2017-11-27 2026-01-27 Fortinet, Inc. Risk scoring based on entity correlation
US12309185B1 (en) 2017-11-27 2025-05-20 Fortinet, Inc. Architecture for a generative artificial intelligence (AI)-enabled assistant
US12463995B1 (en) 2017-11-27 2025-11-04 Fortinet, Inc. Tiered risk engine with user cohorts
US11770398B1 (en) 2017-11-27 2023-09-26 Lacework, Inc. Guided anomaly detection framework
US12267345B1 (en) 2017-11-27 2025-04-01 Fortinet, Inc. Using user feedback for attack path analysis in an anomaly detection framework
US12355626B1 (en) 2017-11-27 2025-07-08 Fortinet, Inc. Tracking infrastructure as code (IaC) asset lifecycles
US12323449B1 (en) 2017-11-27 2025-06-03 Fortinet, Inc. Code analysis feedback loop for code created using generative artificial intelligence (‘AI’)
US12463994B1 (en) 2017-11-27 2025-11-04 Fortinet, Inc. Handling of certificates by intermediate actors
US20220224707A1 (en) 2017-11-27 2022-07-14 Lacework, Inc. Establishing a location profile for a user device
US12549575B1 (en) 2017-11-27 2026-02-10 Fortinet, Inc. Determining user risk based on user posture and activity
US11979422B1 (en) 2017-11-27 2024-05-07 Lacework, Inc. Elastic privileges in a secure access service edge
US12526297B2 (en) 2017-11-27 2026-01-13 Fortinet, Inc. Annotating changes in software across computing environments
US11765249B2 (en) 2017-11-27 2023-09-19 Lacework, Inc. Facilitating developer efficiency and application quality
US20220232025A1 (en) 2017-11-27 2022-07-21 Lacework, Inc. Detecting anomalous behavior of a device
US12563071B1 (en) 2017-11-27 2026-02-24 Fortinet, Inc. Using generative artificial intelligence to interface with a knowledge graph
US12418555B1 (en) 2017-11-27 2025-09-16 Fortinet Inc. Guiding query creation for a generative artificial intelligence (AI)-enabled assistant
US12495052B1 (en) 2017-11-27 2025-12-09 Fortinet, Inc. Detecting package execution for threat assessments
US12335348B1 (en) 2017-11-27 2025-06-17 Fortinet, Inc. Optimizing data warehouse utilization by a data ingestion pipeline
US11894984B2 (en) 2017-11-27 2024-02-06 Lacework, Inc. Configuring cloud deployments based on learnings obtained by monitoring other cloud deployments
US11849000B2 (en) 2017-11-27 2023-12-19 Lacework, Inc. Using real-time monitoring to inform static analysis
US12130878B1 (en) 2017-11-27 2024-10-29 Fortinet, Inc. Deduplication of monitored communications data in a cloud environment
US12309182B1 (en) 2017-11-27 2025-05-20 Fortinet, Inc. Customer onboarding and integration with anomaly detection systems
US12598205B1 (en) 2017-11-27 2026-04-07 Fortinet, Inc. Browser-based detection of data exfiltration
US12563064B2 (en) 2017-11-27 2026-02-24 Fortinet, Inc. Distinguishing user-initiated activity from application-initiated activity
US12489771B1 (en) 2017-11-27 2025-12-02 Fortinet, Inc. Detecting anomalous behavior of nodes in a hierarchical cloud deployment
US11818156B1 (en) 2017-11-27 2023-11-14 Lacework, Inc. Data lake-enabled security platform
US12261866B1 (en) 2017-11-27 2025-03-25 Fortinet, Inc. Time series anomaly detection
US12556559B1 (en) 2018-03-30 2026-02-17 Fortinet, Inc. Providing generative artificial intelligence (AI)-enabled notebook interfaces for a security framework
CN108667688A (zh) * 2018-04-19 2018-10-16 北京搜狐新媒体信息技术有限公司 一种数据监控方法及装置
US11201955B1 (en) 2019-12-23 2021-12-14 Lacework Inc. Agent networking in a containerized environment
US11256759B1 (en) 2019-12-23 2022-02-22 Lacework Inc. Hierarchical graph analysis
US11171853B2 (en) * 2020-01-30 2021-11-09 Ciena Corporation Constraint-based event-driven telemetry
US11403157B1 (en) * 2020-01-31 2022-08-02 Splunk Inc. Identifying a root cause of an error
EP4266179A1 (en) 2022-02-16 2023-10-25 Nokia Technologies Oy Metrics in distributed computing

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001142746A (ja) * 1999-11-11 2001-05-25 Nec Software Chubu Ltd 計算機システムの負荷監視装置
JP2005316808A (ja) * 2004-04-30 2005-11-10 Nec Software Chubu Ltd 性能監視装置および性能監視方法並びにプログラム
JP2011034208A (ja) * 2009-07-30 2011-02-17 Hitachi Ltd 異常検出方法、装置、及びプログラム

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020093527A1 (en) * 2000-06-16 2002-07-18 Sherlock Kieran G. User interface for a security policy system and method
US7917647B2 (en) * 2000-06-16 2011-03-29 Mcafee, Inc. Method and apparatus for rate limiting
US7287278B2 (en) * 2003-08-29 2007-10-23 Trend Micro, Inc. Innoculation of computing devices against a selected computer virus
US6885907B1 (en) * 2004-05-27 2005-04-26 Dofasco Inc. Real-time system and method of monitoring transient operations in continuous casting process for breakout prevention
CN102393735B (zh) * 2005-04-04 2014-07-09 费舍-柔斯芒特系统股份有限公司 一种用于处理加工厂中收集的与过程参数有关的数据的方法
US7760861B1 (en) * 2005-10-31 2010-07-20 At&T Intellectual Property Ii, L.P. Method and apparatus for monitoring service usage in a communications network
US9037922B1 (en) * 2012-05-01 2015-05-19 Amazon Technololgies, Inc. Monitoring and analysis of operating states in a computing environment

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001142746A (ja) * 1999-11-11 2001-05-25 Nec Software Chubu Ltd 計算機システムの負荷監視装置
JP2005316808A (ja) * 2004-04-30 2005-11-10 Nec Software Chubu Ltd 性能監視装置および性能監視方法並びにプログラム
JP2011034208A (ja) * 2009-07-30 2011-02-17 Hitachi Ltd 異常検出方法、装置、及びプログラム

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021060733A (ja) * 2019-10-04 2021-04-15 富士ゼロックス株式会社 監視装置及び監視プログラム
JP7367441B2 (ja) 2019-10-04 2023-10-24 富士フイルムビジネスイノベーション株式会社 監視装置及び監視プログラム

Also Published As

Publication number Publication date
JPWO2014033894A1 (ja) 2016-08-08
US9509706B2 (en) 2016-11-29
JP5914669B2 (ja) 2016-05-11
US20150135312A1 (en) 2015-05-14

Similar Documents

Publication Publication Date Title
JP5914669B2 (ja) サービス性能監視方法
JP5416833B2 (ja) 性能監視装置，方法，プログラム
JP5546686B2 (ja) 監視システム、及び監視方法
US20120030346A1 (en) Method for inferring extent of impact of configuration change event on system failure
US9514387B2 (en) System and method of monitoring and measuring cluster performance hosted by an IAAS provider by means of outlier detection
US9021077B2 (en) Management computer and method for root cause analysis
EP2874064B1 (en) Adaptive metric collection, storage, and alert thresholds
US20160378583A1 (en) Management computer and method for evaluating performance threshold value
US20150120914A1 (en) Service monitoring system and service monitoring method
KR101971013B1 (ko) 빅데이터 기반의 클라우드 인프라 실시간 분석 시스템 및 그 제공방법
US20130036214A1 (en) System and method for managing environment configuration using snapshots
US9692654B2 (en) Systems and methods for correlating derived metrics for system activity
US9705772B2 (en) Identification apparatus, identification method and identification program
JP2013054402A (ja) 運用監視装置、運用監視プログラム及び記録媒体
US9021078B2 (en) Management method and management system
US9645877B2 (en) Monitoring apparatus, monitoring method, and recording medium
US7734769B2 (en) Monitoring system of apparatuses connected in a network, monitoring apparatus, monitoring method and program
JP2012181744A (ja) 分散ファイルシステムにおける運用監視システム及び運用監視方法
JP2018190205A (ja) 事業者間一括サービス管理装置および事業者間一括サービス管理方法
EP3798955A1 (en) Management of tickets and resolution processes for an industrial automation environment
US20220414618A1 (en) Management and aggregation of ticket data from multiple sources
JP7167749B2 (ja) 情報処理装置、情報処理システム、及び情報処理プログラム
CN119149341A (zh) 一种MongoDB数据库集群实例的监控方法以及装置
JP5624683B2 (ja) 管理サーバ、管理システム、および、管理方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12883862

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14400499

Country of ref document: US

ENP Entry into the national phase

Ref document number: 2014532665

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12883862

Country of ref document: EP

Kind code of ref document: A1