JP2007172131A - 障害予測システム、障害予測方法、障害予測プログラム - Google Patents

Abstract

【課題】予測対象装置で生じたイベントの種類やその発生順序に基づいて障害発生の予測をすることができる障害予測システム等を提供すること
【解決手段】障害予測システム１は、予測対象装置１０に生じたイベントに関するイベントログ３５に対しデータマイニングを実施して、たとえばイベントの発生順序によって特定される前兆パターンを抽出し、解析対象ログに前兆パターンが検出されたときに予測対象装置１０に障害が発生すると予測するログ解析部３９を備えている。
【選択図】図４

Description

本発明は、電子装置に発生する障害を予測する技術に関し、特に電子装置が生成したイベントログを解析して障害を予測する技術に関する。

従来、コンピュータ装置の稼働状態が不安定になったときに発生するエラー情報やアラームを検知し、障害発生の予測をすることが行われている。このような予測方法では、エラー情報やアラームを検知してから障害予測するまでに時間が必要であり、常に障害検知に遅れが生じるという課題があった。
また、別の障害予測方法としては、障害監視用のアプリケーションツール（以下、「ＡＰ」という）をコンピュータ装置にインストールしコンピュータ装置の障害を監視する方法があるが、障害監視用のＡＰがオペレーティング・システム（以下、「ＯＳ」という）上で実行されているため、ＯＳ自身に障害が発生した場合には障害監視用のＡＰもＯＳの障害に巻き込まれてしまい、障害監視機能が失われてしまうという課題があった。
特許文献１には、統計的な手法を用いて対象物に障害が発生するか否かを予測するリモートメンテナンスシステムが記載されている。このリモートメンテナンスシステムを構成する保守装置は、データベースから得られる各識別機能の統計量と計測装置から得られる各識別機能の分布データから算出される統計量を用いて、計測装置の安定性を統計的に定量評価し、計測装置に障害が発生するか否かを予測する。

特開２００１−１３４５４７号公報

特許文献１のシステムでは、数値として表現される「統計量」に基づいて障害発生を予測することができるものの、予測の対象となる装置にどのような事象（イベント）が生じたか、またそれらイベントの発生順序等に基づいて障害発生の有無を予測することができないという問題があった。

そこで、本発明は、予測対象装置で生じたイベントの種類やその発生順序に基づいて障害発生の予測をすることができる障害予測システム等を提供することをその目的とする。

本発明の障害予測システムは、予測対象装置に生じたイベントに関するイベントログに対しデータマイニングを実施して前兆パターンを抽出するパターン抽出部と、解析対象ログに前兆パターンが検出されたときに予測対象装置に障害が発生すると予測するログ解析部とを備えている（請求項１ないし請求項８）。

上記障害予測システムによれば、前兆パターン抽出部は、イベントログに対してデータマイニングを実施するから、人間がイベントログを照査しても推論することが困難な前兆パターンを抽出することができる。ここで、パターンとは特定のイベントの発生頻度が高くなっている、あるイベントと別のイベントが特定の順序で発生している、といったイベントの発生状況である。ログ解析部は、稼動中の予測対象装置の解析対象ログに前兆パターンが検出されるか否かにより、予測対象装置に障害が発生するか否かを予測することができる。
そのため、予測対象装置で生じたイベントの種類やその発生順序に基づいて障害発生の予測をすることができる。

上記障害予測システムにおいて、イベントログから予め定められた項目に関する情報を抽出し予測対象装置を特定する情報と関連付けてログ情報データベースに格納するログ収集部を備え、前兆パターン抽出部は、ログ情報データベースに格納されたイベントログに対してデータマイニングを実施し、ログ解析部は、ログ情報データベースから解析対象ログを抽出するようにしてもよい（請求項２）。
イベントログに含まれる項目や各項目のデータ形式は、予測対象装置の種類や予測対象装置で動作するオペレーティングシステムの種類とその設定等により異なってくる。しかし、上記のようにすれば、予測対象装置が複数ある場合でも、一定のデータフォーマットでログ情報データベースにイベントログを集約することができる。そのため、前兆パターン抽出部によるデータマイニングが行いやすくなる。

上記障害予測システムにおいて、ログ収集部は、予測対象装置に格納されているイベントログに含まれるイベント発生時刻のうち最新のものがログ情報データベースに格納されているイベントログに含まれるイベント発生時刻のうち最新のものよりも後の時刻を示している場合に、予測対象装置にイベントログをログ収集部に送信すべき旨の命令を送信するようにしてもよい（請求項３）。
このようにすれば、ログ収集部は、ログ情報データベースに未格納のイベントログが予測対象装置に格納されているか否かを知ることができ、未格納のイベントログがある場合にのみイベントログの送信命令を予測対象装置に発行することができる。
そのため、無用なイベントログの送信を防止し、通信回線の帯域を浪費することを防止することができる。

上記障害予測システムにおいて、ログ情報データベースから障害発生予測のために必要な項目に関する情報を抽出し障害予測データベースを生成するデータベース生成部を備え、前兆パターン抽出部は、障害予測データベースに格納されたイベントログに対してデータマイニングを実施するようにしてもよい（請求項４）。
イベントログには、障害予測という観点からは必ずしも必要とされないデータ項目が含まれている場合もある。しかし、上記のようにすれば、必要な項目だけを選定し、その情報を対象としてデータマイニングを実施することができる。
そのため、データマイニングの効率を高めることができる。また、イベントログログに含まれる情報のうち必要なものをデータベースとして保存するので、前兆パターンの再抽出に用いることもできる。

上記障害予測システムにおいて、ログ解析部は、障害の種類毎に前兆パターンを抽出し、予測対象装置に障害の発生が予測される場合には、その障害の種類を特定するようにしてもよい（請求項５）。ここで、「障害の種類」とは、障害の発生原因となる部品名、予想される障害の程度等の障害の内容により障害を分類するための情報である。
このようにすれば、予測対象装置の使用者、予測対象装置の保守担当者等は、特定された部品を交換する等の予防措置をとることができる。

上記障害予測システムにおいて、予測対象装置に発生する可能性のある障害の種類とこの障害を未然に防止するための作業手順とを関連付けて格納した作業手順データベースと、ログ解析部が予測対象装置に障害が発生すると予測した場合に作動し、ログ解析部により特定された障害の種類に対応する作業手順を作業手順データベースから取得する作業手順検索部を備えるようにしてもよい（請求項６）。
このようにすれば、予防措置のために必要な作業手順を迅速に取得することができる。

上記障害予測システムにおいて、作業手順検索部は、障害の発生が予測される旨の情報と障害の種類と作業手順とを含む予測情報を予測対象装置の保守を行う要員が利用可能な端末装置に送信するようにしてもよい（請求項７）。
このようにすれば、予測対象装置の保守を行う者は、障害の発生が予測されることと必要な作業手順を早期に知り、早期に予防措置をとることができる。

上記障害予測システムにおいて、予測情報に基づいて行われた保守作業の内容とその保守作業により生じた結果に関する作業結果情報を取得し、この作業結果情報に基づいて障害予測データベースを更新するデータベース更新部備えるようにしてもよい（請求項８）。
このようにすれば、予測実績を障害予測データベースにフィードバックし、前兆パターンの抽出精度を向上させることができる。

本発明の障害予測方法は、イベントログに対してデータマイニングを実施して予測対象装置に障害が発生する前に生じるイベントの発生パターンである前兆パターンを抽出する前兆パターン抽出工程と、予め定められた解析対象期間内に予測対象装置で生じたイベントについてのイベントログである解析対象ログに前兆パターンが検出されたときに予測対象装置に障害が発生すると予測するログ解析工程とにより、予測対象装置に発生する障害を予測する（請求項９）。

上記障害予測方法によれば、前兆パターン抽出工程では、イベントログに対してデータマイニングを実施するから、人間がイベントログを照査しても推論することが困難な前兆パターンを抽出することができる。ログ解析工程では、稼動中の予測対象装置の解析対象ログに前兆パターンが検出されるか否かにより、予測対象装置に障害が発生するか否かを予測することができる。
そのため、予測対象装置で生じたイベントの種類やその発生順序に基づいて障害発生の予測をすることができる。

本発明の障害予測プログラムは、コンピュータに、イベントログに対してデータマイニングを実施して予測対象装置に障害が発生する前に生じるイベントの発生パターンである前兆パターンを抽出する前兆パターン抽出機能と、予め定められた解析対象期間内に予測対象装置で生じたイベントについてのイベントログである解析対象ログに前兆パターンが検出されたときに予測対象装置に障害が発生すると予測するログ解析機能とを実行させることより、予測対象装置に発生する障害を予測する（請求項１０）。

上記障害予測プログラムによれば、前兆パターン抽出機能は、イベントログに対してデータマイニングを実施するから、人間がイベントログを照査しても推論することが困難な前兆パターンを抽出することができる。ログ解析機能は、稼動中の予測対象装置の解析対象ログに前兆パターンが検出されるか否かにより、予測対象装置に障害が発生するか否かを予測することができる。
そのため、予測対象装置で生じたイベントの種類やその発生順序に基づいて障害発生の予測をすることができる。

本発明によれば、イベントログに対してデータマイニングを実施することにより、前兆パターンを抽出することができる。そして、稼動中の予測対象装置の解析対象ログに前兆パターンが検出されるか否かにより、予測対象装置に障害が発生するか否かを予測することができる。
そのため、予測対象装置で生じたイベントの種類やその発生順序に基づいて障害発生の予測をすることができる。

以下、図を参照しながら本発明の一実施形態である障害予測システム１の構成と動作について説明する。
図１は、障害予測システム１の構成を示す全体図である。
障害予測システム１は、予測対象装置の一例であるコンピュータ装置１０とログ情報管理装置２０とログ情報解析装置３０を備えている。コンピュータ装置１０とログ情報管理装置２０とログ情報解析装置３０は、たとえばインターネットやイントラネットなどネットワーク２を介して接続されている。
コンピュータ装置１０は、ユーザが通常業務の処理をするために使用している装置であり、コンピュータ装置１０で発生したイベントのログ情報１４（イベントログ）を生成し、これを記憶装置に保存する。コンピュータ装置１０は、ログ情報をログ情報管理装置２０の要求に応じてログ情報管理装置２０にネットワーク２を介して送信する。

ログ情報管理装置２０は、コンピュータ装置１０が生成するイベントログを収集してログ情報データベース２４を生成し管理する。また、ユーザ情報データベース２３を記憶装置内に格納し管理する。ログ情報管理装置２０は、これら二つのデータベースに格納されている情報を、ログ情報解析装置３０の要求に応じてログ情報管理装置３０にネットワーク２を介して送信する。

ログ情報解析装置３０は、ログ情報管理装置２０のログ情報データベース２４とユーザ情報データベース２３に格納されている情報から所定の情報を抽出し、障害予測データベース３４と解析用データベース３５を生成する。そして、障害予測データベースに格納されるログ情報にデータマインに具を実施して前兆パターンを抽出し、この前兆パターンが解析用データベース３５に含まれている場合に、コンピュータ装置１０に障害が発生すると予測する。障害発生が予測される場合はその種類と障害に対応するための作業手順を特定し、それらの情報をコンピュータ装置１０あるいは保守員が参照可能な他の端末装置に通知する。
なお、図１では、コンピュータ装置１０は１台だけを図示しているが、コンピュータ装置１０は複数台であってもよい。またコンピュータ装置の１０の種類も複数のものが混在していてもよい。

図２は、コンピュータ装置１０の機能ブロック図である。
コンピュータ装置１０は、たとえばパーソナルコンピュータ、サーバコンピュータ、ネットワーク機器、ストレージ装置、プリンタ等の情報処理装置であり、情報送受信部１１と制御部１２とログ生成部１３と記憶部１５を備えている。記憶部１５は、たとえば固定ディスク装置（以下、「ＨＤＤ」という）により構成され、ログ情報１４を格納している。
情報送受信部１１は、たとえばネットワークアダプタにより構成され、ログ情報管理装置２０及びログ情報解析装置３０との間でネットワーク２を介して情報の送受信を行う。
制御部１２は、メモリ管理やタスク管理を行いコンピュータ装置１０全体の動作をコントロールする。制御部１２は、たとえば、ＣＰＵとＣＰＵが実行するオペレーティングシステムにより実現される。
ログ生成部１３は、コンピュータ装置１０内でイベントが発生したときにログ情報を生成し記憶部１４に格納する。どのようなイベントが発生したときにログ情報を生成するかは、予め定めておく。

図６に、ログ情報の一例を示す。ログ情報１４には、イベント毎に、「種類」、「日付」、「時刻」、「ソース」、「分類」、「イベントＩＤ」、「ユーザー」、「コンピュータ」の各情報が記憶されている。図６の１行のデータがひとつのイベントに対応するイベントログである。
「種類」は、イベントの重要度による分類を示す情報である。「日付」と「時刻」は、イベントが発生した日付と時刻を示す情報である。「ソース」は、イベントを発生させたプログラムの名称を示す情報である。「分類」は、イベントをイベントソースにより分類するための情報である。「イベントＩＤ」は、イベントの種別を示す情報であり、たとえば「６００５」は「イベントログサービスの開始」を意味し、このような対応関係がイベントの種別毎に予め定められている。「ユーザー」は、イベントの発生要因となったユーザーのコンピュータ装置１０におけるユーザー名を示す情報である。「コンピュータ」は、イベントが発生したコンピュータ、すなわちコンピュータ装置１０の名前、たとえばＮｅｔＢＩＯＳ名を示す情報である。この名前は、障害予測システム１において、コンピュータ装置１０を識別するための名前とは必ずしも一致しない。
ログ情報に含まれる情報は上記の例には限定されない。たとえば、イベントが発生した時点でＣＰＵの特定のレジスタに格納されていたデータの内容等を記録するようにしてもよい。

図３は、ログ情報管理装置２０の機能ブロック図である。
ログ情報管理装置２０は、たとえば、データベース管理システムを実行するサーバコンピュータであり、情報送受信部２１、制御部２２、記憶部２５、ログ収集部２６を備えている。記憶部２５は、たとえばＨＤＤにより構成され、ユーザ情報データベース２３とログ情報データベース２４が記憶されている。
情報送受信部２１は、たとえばネットワークアダプタにより構成され、コンピュータ装置１０及びログ情報解析装置３０との間でネットワーク２を介して情報の送受信を行う。
制御部２２は、メモリ管理やタスク管理を行いログ情報管理装置２０全体の動作をコントロールする。制御部２２は、たとえば、ＣＰＵとＣＰＵが実行するオペレーティングシステムにより実現される。

ユーザ情報データベース２３は、コンピュータ装置１０を利用しているユーザに関する情報を管理するデータベースである。
図７に、ユーザ情報データベース２３のデータ構造の一例を示す。
ユーザ情報データベース２３には、「ユーザ名」、「ユーザコード」、「装置名」、「装置型番」、「備考」の各情報が記憶されている。「ユーザ名」は、コンピュータ装置１０を使用しているユーザの名称を示す情報である。「ユーザコード」は、「ユーザ名」毎に固有となるように付されたユーザを識別するための情報である。「装置名」は、コンピュータ装置の商品名と種別を示す情報である。「装置型番」は、コンピュータ装置１０の型番を示す情報である。「備考」は、たとえばコンピュータ装置１０の使用環境等のコンピュータ装置１０に関する付随的な情報である。

ログ情報データベース２４は、ネットワーク２を介してコンピュータ装置１０の記憶部１５に保存されているログ情報１４からイベントログを収集し一括管理するデータベースである。
図８に、ログ情報データベース２４のデータ構造の一例を示す。
ログ情報データベース２４には、イベント毎に「装置番号」、「装置名」、「種類」、「日付」、「時刻」、「ソース」、「イベント」の各情報が記憶されている。各情報の内容は、図６と図７で説明したとおりである。コンピュータ装置１０が複数あり、それらが生成するログ情報の内容やデータ形式が異なる場合でも、図８に示した形式でそれらを一括管理する。

図４は、ログ情報解析装置３０の機能ブロック図である。
ログ情報解析装置２０は、たとえば、データベース管理システムを実行するサーバコンピュータであり、情報送受信部３１、制御部３２、記憶部３７、データベース生成部３８、ログ解析部３９、作業手順検索部４０、データベース更新部４１を備えている。記憶部３７は、たとえばＨＤＤにより構成され、障害予測データベース３４と解析用データベース３５と作業手順データベース３６が記憶されている。
情報送受信部３１は、たとえばネットワークアダプタにより構成され、コンピュータ装置１０及びログ情報管理装置２０との間でネットワーク２を介して情報の送受信を行う。
制御部３２は、メモリ管理やタスク管理を行いログ情報解析装置３０全体の動作をコントロールする。制御部１２は、たとえば、ＣＰＵとＣＰＵが実行するオペレーティングシステムにより実現される。

データベース生成部３８は、ログ情報管理装置２０に格納されているユーザ情報データベース２３とログ情報データベース２４から、障害予測のために必要な情報を抽出し障害予測データベース３４を生成する。データベース生成部３８は、ユーザ情報データベース２３とログ情報データベース２４は、解析の対象となるログ、たとえば特定のコンピュータ装置１０に一定の期間内に生じたログを抽出して解析用データベース３５を生成する。
ログ解析部３９（パターン抽出部及びログ解析部の一例）は、障害予測データベース３４に含まれるデータにデータマイニングを実施して障害の種類毎に前兆パターンを抽出する。ログ解析部３９は解析用データベース３５に、前兆パターンが含まれているか否かを調べ、含まれている場合に、コンピュータ装置１０に障害が発生すると予測する。さらに、障害の発生が予測される場合には、その種類も特定する。
作業手順検索部４０は、ログ解析部３９が特定した障害の種類に基づいて作業手順データベース３６を検索し、障害発生を回避するための作業手順を特定し、この情報をネットワーク２を介してコンピュータ装置１０等の保守者が利用可能な装置に送信する。
データベース更新部４１は、作業手順検索部４０が送信した情報に応じてコンピュータ装置１０にて実際に実施された障害回避の作業手順に関する情報をネットワーク２を介して受信し、その情報に基づいて障害予測データベース３４の更新を行う。

障害予測データベース３４は、ログ情報管理装置２０から取得した情報からマイニング用に必要な情報を抽出し加工することにより生成され、コンピュータ装置１０の装置型番または装置名をキーにしてコンピュータ装置情報とログ情報を関連付けしたデータベースである。障害予測データベース３４には、コンピュータ装置１０に実際に障害が発生した時点とその時点から前兆パターンを抽出するのに十分な時間をさかのぼった時点との間にコンピュータ装置１０に発生したイベントのイベントログが含まれ、このデータベースに対してログ解析部３９がデータマイニングを実施し前兆パターンを抽出する。
図９に、障害予測データベース３４の一例を示す。この例では、ログ情報データベース２４から、「装置型番」「装置名」「ソース」「イベントＩＤ」の各項目を抽出している。

解析用データベース３５は、解析対象期間内にコンピュータ装置１０で発生したイベントのイベントログをログ情報データベース２４から抽出して生成されたデータベースであり、ログ解析部３９は、このデータベースに前兆パターンが含まれているか否かを調べることにより障害の発生を予測する。
図１０に、解析用データベースの一例を示す。図１０の「データ」は、イベントが発生した時点でコンピュータ装置１０のＣＰＵの特定のレジスタに格納されていたデータの内容を１６進数で示したものである。

作業手順データベース３５は、障害の種類とその傷害に対処するための作業手順を関連付けて格納したデータベースである。
図１１に作業手順データベースの一例を示す。「障害予測箇所」は、障害が発生する部品の名称を示す情報である。「作業内容」は、傷害を回避するために行うべき作業の種類を示す情報である。「作業手順番号」は、「障害予測箇所」と「作業内容」により特定される障害の種類対応する作業手順を特定するための情報である。「備考」には、具体的な作業手順と、その作業を行う際の注意点等が格納されている。

次に、障害予測システム１の動作について説明する。
図５は、障害予測システム１の動作を示すフローチャートである。
コンピュータ装置１０内にて何らかのイベントが発生すると（Ｓ１０１）、コンピュータ装置１０のログ生成部１３がログ情報１４を生成し（Ｓ１０２）、記憶部１５に格納する（Ｓ１０３）。

ログ情報管理装置２０のログ収集部２６は、ネットワーク２と情報送受信部２１を介して一定時間毎にコンピュータ装置１０対し、記憶部１５に保存されている全てのログ情報１４の発生日付と時刻に関する情報（以下、「発生時刻情報」という）を送信するよう命令する（Ｓ１０４）。
コンピュータ装置１０の情報送受信部１１は、ネットワーク２を介して発生時刻情報をログ情報管理データベース２０に送信する（Ｓ１０５）。
ログ情報管理データベース２０の制御部２２は、受信した発生時刻情報とログ情報データベース２４に記憶されているログ情報の発生日付と時刻に関する情報（以下、「格納済み時刻情報」という）とを比較し、ログ情報１４にログ情報データベース２４に取り込まれていないログ情報があるか否かを判定する（Ｓ１０６）。
判定方法としては、たとえば、受信した発生時刻情報に含まれる時刻のうち最新のものが格納済み時刻情報に含まれる時刻のうち最新のものよりも前（早い）である場合は、ログ情報１４には未格納のログは含まれていないと判定し、受信した発生時刻情報に含まれる時刻のうち最新のものが格納済み時刻情報に含まれる時刻のうち最新のものよりも後（遅い）である場合は、ログ情報１４に未格納のログが含まれていると判定する。
ログ収集部２６は、コンピュータ装置１０のログ情報１４にログ情報データベース２４に未格納のログがないと判定した（Ｓ１０６の判定がノーの）場合は、一定時間後に再度ネットワーク２を介してコンピュータ装置１０に保存されているログ情報を送信するよう命令する（Ｓ１０４に戻る）。

ログ収集部２６は、コンピュータ装置１０のログ情報１４にログ情報データベース２４に未格納のログがあると判定した（Ｓ１０６の判定がイエスの）場合は、未格納のログをログ情報データベース２４に格納する（Ｓ１０７からＳ１１１）。ログ収集部２６は、未格納のログのうち最新の１件の送信をコンピュータ装置１０にネットワーク２を介して命令する（Ｓ１０８）。コンピュータ装置１０の情報送受信部１１は、命令に応じて１件のログをログ情報管理装置２０にネットワーク２を介して送信する（Ｓ１０９）。ログ情報管理装置２０のログ収集部２６は、ログを受信し（Ｓ１１０）、これをログ情報データベース２４に格納する（Ｓ１１１）。障害予測システム１は、Ｓ１０８からＳ１１１までの動作を、送信するログの時刻がログの受信を開始した時点でログ情報データベース２４に格納されていたログの発生時刻のうち最新のものよりも前になるまで繰り返す（Ｓ１０７）。

ログ情報解析装置３０のログ解析部３９は、ネットワーク２と情報送受信部３１を介して一定時間毎にログ情報管理装置２０に対してログ情報データベース２４に格納されているユーザ情報とログ情報を送信するよう命令を出す（Ｓ１１２）。
ログ情報管理装置２０の情報送受信部１１は、ネットワーク２を介してログ情報解析装置３０にユーザ情報とログ情報を送信する（Ｓ１１３）。
データベース生成部３８は、ログ情報管理装置２０から受信した利用者情報とログ情報の関連付けを行い、コンピュータ装置１０の装置型番または装置名をキーにして解析用データベース３４を作成する。また、データベース生成部３８は、受信した情報から今回解析するログを抽出し解析用データベース３５も生成する（Ｓ１１４）。

ログ解析部３９は、作成された障害予測データベース３５に格納されたイベント情報に対してデータマイニングを行い前兆パターンを抽出する（Ｓ１１５）。
マイニングの終了後、ログ解析部３９は、解析用データベース３５を照査し、コンピュータ装置１０内にて発生したログ情報の内容とイベントの発生順序が、マイニング技術により解析された前兆パターンと一致しているかどうか比較を行う（Ｓ１１６）。
前兆パターンと一致するパターンが解析用データベース３４から発見できなかった（Ｓ１１６の判定がノーの）場合は、予測処理を終了する。

前兆パターンと一致するパターンが発見された場合は、ログ解析部３９は、障害の発生が予測される部品名（たとえば、「ＣＰＵ」）と障害発生を回避するための対処方針（たとえば、「交換」）を特定する。作業手順検索部４０は、装置型番と部品名と対処方針を検索キーとして作業手順データベース３６を検索し、検索条件と一致するレコードの「備考」フィールドに記憶されている作業手順を取得する（Ｓ１１７）。
作業手順検索部４０は、ログ解析部３９による予測結果とそれに対する障害回避作業手順を、ネットワーク２を介してコンピュータ装置１０に送信する（Ｓ１１８）。
コンピュータ装置１０は、受信した予測結果と障害回避作業手順を表示装置に表示する（Ｓ１１９）。図１２は、予測結果の表示画面の一例である。複数のコンピュータ装置について障害の発生が予測される場合には、それぞれについての情報が表示される。画面下部のボタン５０をユーザがクリックすると、図１３に示す作業手順が表示される。この画面には、具体的な作業手順と注意事項等が表示される。コンピュータ装置１０のユーザ又は保守業務を行う保守員は、表示された手順を参照し障害回避作業を実施する。

作業が終了した後、ユーザ又は保守業務を行う保守員はコンピュータ装置１０に実施した作業内容の入力する（Ｓ１２０）。このステップで入力する情報は、たとえば、Ｓ１１９で表示された作業手順で障害回避をすることができたか否か、Ｓ１１９で表示されたものと異なる作業手順で対応した場合にはその具体的な作業手順とそれにより生じた結果等の情報である。
コンピュータ装置１０の情報送受信部１１は、入力された情報を、ネットワーク２を介してログ情報解析装置３０に送信する（Ｓ１２１）。
ログ情報解析装置３０のデータベース更新部４１は、受信した情報を障害予測データベース３４に反映させて障害発生するパターンやログ情報の内容とイベントの発生順序に関する相関関係パターンに関する障害予測データベース３４の更新を行う（Ｓ１２２）。
これによって、マイニング用データの更新を行い、障害予測に関する特定精度を向上させていく。

なお、Ｓ１１８での情報送信先は、コンピュータ装置１０以外の装置としてもよい。たとえば、保守要員が携行する携帯電話機等の携帯端末に送信し、Ｓ１１９の情報の表示、Ｓ１２０の情報入力、Ｓ１２１の情報送信もこの携帯端末で行うようにしてもよい。

次に、障害予測システム１の効果について説明する。
ログ解析部３９は、解析用データベースに格納されたイベントログに対してデータマイニングを実施するから、人間がイベントログを照査しても推論することが困難な前兆パターンを抽出することができる。ログ解析部３９は、稼動中のコンピュータ装置１０の解析対象ログに前兆パターンが検出されるか否かにより、コンピュータ装置１０に障害が発生するか否かを予測することができる。
そのため、コンピュータ装置１０で生じたイベントの種類やその発生順序に基づいて障害発生の予測をすることができる。

コンピュータ装置が複数ある場合でも、ログ収集部２６は、一定のデータフォーマットでログ情報データベース２４にイベントログを集約することができる。そのため、ログ解析部３９によるデータマイニングが行いやすくなる。
また、障害発生の予測を、ログ収集部２６が予め収集したログ情報データベース２４に基づいて行うので、コンピュータ装置１０で動作するＯＳに生じる障害も予測し、これを回避することができる。

ログ収集部２６は、イベントログに含まれるイベントの発生時刻に基づいて、ログ情報データベース２４に未格納のイベントログがコンピュータ装置１０のログ情報１４に格納されているか否かを調べ、未格納のイベントログがある場合にのみイベントログの送信命令をコンピュータ装置に発行することができる。
そのため、無用なイベントログの送信を防止し、ネットワーク２の帯域を浪費することを防止することができる。

データベース生成手段３８は、ユーザ情報データベース２３とログ情報データベース２４から必要な項目だけを選定し、ログ解析部３９は、その情報を対象としてデータマイニングを実施することができる。
そのため、データマイニングの効率を高めることができる。また、イベントログログに含まれる情報のうち必要なものを解析用データベースとして保存するので、前兆パターンの再抽出に用いることもできる。

ログ解析部３９は、発生の予想される障害の種類を特定するから、予測対象装置の使用者、予測対象装置の保守担当者等は、特定された部品を交換する等の予防措置をとることができる。

作業手順検索部４１は、障害の種類に応じた作業手順を作業手順データベース３６から取得し、この情報をコンピュータ装置１０等に送信するから、コンピュータ装置１０の保守担当者等は、予防措置のために必要な作業手順を迅速に取得することができる。

上記障害予測システムにおいて、予測情報に基づいて行われた保守作業の内容に関する作業結果情報を取得し、この作業結果情報に基づいて障害予測データベースを更新するデータベース更新部備えるようにしてもよい（請求項８）。
データベース更新部４１は、作業実績をコンピュータ装置１０等から受信し、その情報に基づいて障害予測データベース３５を更新するから、ログ解析部３９により予測実績を障害予測データベース３５にフィードバックし、前兆パターンの抽出精度を向上させることができる。

本発明の一実施形態である障害予測システムの全体図である。 コンピュータ装置の機能ブロック図である。 ログ情報管理装置の機能ブロック図である。 ログ情報解析装置の機能ブロック図である。 障害予測システムの動作を示すフローチャートである。 ログ情報のデータ構造を示す図である。 ユーザ情報データベースのデータ構造を示す図である。 ログ情報データベースのデータ構造を示す図である。 障害予測データベースのデータ構造を示す図である。 解析用データベースのデータ構造を示す図である。 作業手順データベースのデータ構造を示す図である。 解析結果の通知画面を示す図である。 作業手順の通知画面を示す図である。

符号の説明

１ 障害予測システム
１０ コンピュータ装置
１１ 情報送受信部
１３ ログ生成部
１４ ログ情報
２０ ログ情報管理装置
２１ 情報送受信部
２３ ユーザ情報データベース
２４ ログ情報データベース
２６ ログ情報収集部
３０ ログ情報解析装置
３１ 情報送受信部
３４ 障害予測データベース
３５ 解析用データベース
３６ 作業手順データベース
３８ データベース生成部
３９ ログ解析部
４０ 作業手順検索部
４１ データベース更新部

Claims (10)

1. 所定のイベントが生じたときにこのイベントの内容を示す情報であるイベントログを生成する機能を備えた予測対象装置に発生する障害を予測する障害予測システムにおいて、
   前記イベントログに対してデータマイニングを実施して前記予測対象装置に障害が発生した時点の前に生じたイベントの発生パターンである前兆パターンを抽出する前兆パターン抽出部と、
   予め定められた解析対象期間内に前記予測対象装置で生じたイベントについてのイベントログである解析対象ログに前記前兆パターンが検出されたときに前記予測対象装置に障害が発生すると予測するログ解析部とを備えたことを特徴とした障害予測システム。
2. 前記イベントログから予め定められた項目に関する情報を抽出し前記予測対象装置を特定する情報と関連付けてログ情報データベースに格納するログ収集部を備え、
   前記前兆パターン抽出部は、前記ログ情報データベースに格納されたイベントログに対してデータマイニングを実施し、
   前記ログ解析部は、前記ログ情報データベースから前記解析対象ログを抽出することを特徴とした請求項１に記載の障害予測システム。
3. 前記ログ収集部は、前記予測対象装置に格納されている前記イベントログに含まれるイベント発生時刻のうち最新のものが前記ログ情報データベースに格納されているイベントログに含まれるイベント発生時刻のうち最新のものよりも後の時刻を示している場合に、前記予測対象装置に前記イベントログを前記ログ収集部に送信すべき旨の命令を送信することを特徴とした請求項２に記載の障害予測システム。
4. 前記ログ情報データベースから障害発生予測のために必要な項目に関する情報を抽出し障害予測データベースを生成するデータベース生成部を備え、
   前記前兆パターン抽出部は、前記障害予測データベースに格納されたイベントログに対してデータマイニングを実施することを特徴とした請求項２または請求項３に記載の障害予測システム。
5. 前記ログ解析部は、前記障害の種類毎に前記前兆パターンを抽出し、前記予測対象装置に障害の発生が予測される場合には、その障害の種類を特定することを特徴とした請求項１ないし請求項４のいずれかひとつに記載の障害予測システム。
6. 前記予測対象装置に発生する可能性のある障害の種類とこの障害を未然に防止するための作業手順とを関連付けて格納した作業手順データベースと、
   前記ログ解析部が前記予測対象装置に障害が発生すると予測した場合に作動し、前記ログ解析部により特定された障害の種類に対応する前記作業手順を前記作業手順データベースから取得する作業手順検索部を備えたことを特徴とした請求項５に記載の障害予測システム。
7. 前記作業手順検索部は、障害の発生が予測される旨の情報と前記障害の種類と前記作業手順とを含む予測情報を前記予測対象装置の保守を行う要員が利用可能な端末装置に送信することを特徴とした請求項６に記載の障害予測システム。
8. 前記予測情報に基づいて行われた保守作業の内容とその保守作業により生じた結果に関する作業結果情報を取得し、この作業結果情報に基づいて前記障害予測データベースを更新するデータベース更新部を備えたことを特徴とした請求項７に記載の障害予測システム。
9. イベントログを生成する機能を備えた予測対象装置に発生する障害を予測する障害予測方法において、
   前記イベントログに対してデータマイニングを実施して前記予測対象装置に障害が発生する前に生じるイベントの発生パターンである前兆パターンを抽出する前兆パターン抽出工程と、
   予め定められた解析対象期間内に前記予測対象装置で生じたイベントについてのイベントログである解析対象ログに前記前兆パターンが検出されたときに前記予測対象装置に障害が発生すると予測するログ解析工程とを備えたことを特徴とした障害予測方法。
10. イベントログを生成する機能を備えた予測対象装置に発生する障害を予測する障害予測プログラムにおいて、
    コンピュータに、
    前記イベントログに対してデータマイニングを実施して前記予測対象装置に障害が発生する前に生じるイベントの発生パターンである前兆パターンを抽出する前兆パターン抽出機能と、
    予め定められた解析対象期間内に前記予測対象装置で生じたイベントについてのイベントログである解析対象ログに前記前兆パターンが検出されたときに前記予測対象装置に障害が発生すると予測するログ解析機能とを実行させることを特徴とした障害予測プログラム。

Images