JP6512646B1 - 保守管理装置、システム及びプログラム - Google Patents

Abstract

【課題】インシデントの発生を予測することが可能な保守管理装置、システム、方法及びプログラムを提供すること。【解決手段】本開示に係る保守管理装置１１は、ログ情報を識別するログ識別子とログ情報の時刻情報とを関連付けて記憶する記憶部１１２と、複数のログ識別子を時刻情報に基づいてまとめたログシーケンスを作成し、ログシーケンスの開始時刻と終了時刻との差分からシーケンス時間を算出し、ログシーケンスとシーケンス時間とを関連付けたシーケンスグループにグループ化する分析部１１３と、を備える。分析部１１３は、シーケンスグループが予め登録された正常シーケンスグループ及び異常シーケンスグループと一致しない場合、予め登録されたインシデント予兆グループのうち、シーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生見込み時間を算出する。【選択図】図１

Description

本発明は、保守管理装置、システム、方法及びプログラムに関するものであり、特に、インシデントの発生を予測することが可能な保守管理装置、システム、方法及びプログラムに関する。

情報処理システムにおいては、情報処理システムを継続して運用すること、すなわち、可用性確保がますます重要になっている。しかしながら、情報処理システムの保守管理においては、インシデント予兆を検出してインシデントの発生を予測することが難しいという問題があった。特に、今まで発生したことのない新しい未知のインシデントが発生した場合等では、対応が後追いになるという問題があった。

特許文献１には、監視対象システムが出力するログの相関関係から、監視対象システムのシステム状態の変化が反映された相関関係の変化を監視・検出することが記載されている。また、特許文献１には、監視システムの処理は、監視対象システムが出力した正常時のログから相関値が所定の値以上となるログのペア（組合わせ）を監視対象として選定することが記載されている。また、特許文献１には、監視対象システムを構成する各装置から収集したＯＳ(Operating System)やミドルウェアのログを解析し、ログに含まれる単語や熟語等の連語（言語表現）、あるいは、ＩＰ(Internet Protocol)アドレスなどの計算機固有の表現を抽出し、辞書に登録し、登録した表現にＩＤ(IDentification)付けすることが記載されている。しかしながら、特許文献１には、システムのインシデント予兆を検出することは記載されていない。

特許文献２には、ログ分析システムにおいて、ログの構成パターンが正常パターンと一致せず、異常パターンとも一致しない場合には、そのログと、そのログに付随する参考情報とを異常パターン生成部に出力することが記載されている。また、特許文献２には、異常パターン生成部が判定条件に従って、受信したそのログから異常パターンを生成することが記載されている。しかしながら、特許文献２には、システムのインシデント予兆を検出することは記載されていない。

特許文献３には、判定条件学習処理部が、イベント情報テーブルに登録された所定期間に発生したイベントを検索する第１工程と、該第１工程により検索したイベント中の種別が情報及び警告のイベントを検索する第２工程と、該第２工程により検索したイベントの「発生迄分数」を計算式により算出する第３工程と、該第３工程により「発生迄分数」を算出したイベントをホスト名でグルーピングして同一ホストグループを設定する第４工程と、該第４工程により同一ホストグループに設定したイベントのレコードを予兆情報テーブルにスコア「５」及び使用「○」の初期値で登録する第５工程とを実行することによって、所定期間内に発生したホスト名をグルーピングし、予兆情報テーブルにスコア「５」及び使用「○」の初期値を登録することが記載されている。しかしながら、特許文献３には、システムのインシデント予兆を検出することは記載されていない。

国際公開第２０１７／０３７８０１号 国際公開第２０１６／１３２７１７号 特開２０１６−２０１０６０号公報

上記のように、情報処理システムの保守管理においては、インシデント予兆を検出してインシデントの発生を予測することが難しいという問題があった

本開示の目的は、上述した課題のいずれかを解決する保守管理装置、システム、方法及びプログラムを提供することにある。

本開示に係る保守管理装置は、
ログ情報を収集する収集部と、
前記ログ情報を識別するログ識別子と前記ログ情報の時刻情報とを関連付けて記憶する記憶部と、
複数の前記ログ識別子を前記時刻情報に基づいてまとめたログシーケンスを作成し、前記ログシーケンスの開始時刻と終了時刻との差分からシーケンス時間を算出し、前記ログシーケンスと前記シーケンス時間とを関連付けたシーケンスグループにグループ化する分析部と、
を備え、
前記分析部は、前記シーケンスグループが予め登録された正常シーケンスグループ及び異常シーケンスグループと一致しない場合、予め登録されたインシデント予兆グループのうち、前記シーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生までのインシデント発生見込み時間を算出する。

本開示に係るシステムは、
顧客サイトに設置された保守管理装置と、前記顧客サイトの保守管理装置に接続され、保守センターに設置された保守管理装置と、を備え、
前記保守センターに設置された保守管理装置は、
ログ情報を収集する収集部と、
前記ログ情報を識別するログ識別子と前記ログ情報の時刻情報とを関連付けて記憶する記憶部と、
複数の前記ログ識別子を前記時刻情報に基づいてまとめたログシーケンスを作成し、前記ログシーケンスの開始時刻と終了時刻との差分からシーケンス時間を算出し、前記ログシーケンスと前記シーケンス時間とを関連付けたシーケンスグループにグループ化する分析部と、を有し、
前記分析部は、前記シーケンスグループが予め登録された正常シーケンスグループ及び異常シーケンスグループと一致しない場合、予め登録されたインシデント予兆グループのうち、前記シーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生までのインシデント発生見込み時間を算出する。

本開示に係る方法は、
ログ情報を収集し、
前記ログ情報を識別するログ識別子と前記ログ情報の時刻情報とを関連付けて記憶し、
複数の前記ログ識別子を前記時刻情報に基づいてまとめたログシーケンスを作成し、前記ログシーケンスの開始時刻と終了時刻との差分からシーケンス時間を算出し、前記ログシーケンスと前記シーケンス時間とを関連付けたシーケンスグループにグループ化し、
前記シーケンスグループが予め登録された正常シーケンスグループ及び異常シーケンスグループと一致しない場合、予め登録されたインシデント予兆グループのうち、前記シーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生までのインシデント発生見込み時間を算出する。

本開示に係るプログラムは、
ログ情報を収集し、
前記ログ情報を識別するログ識別子と前記ログ情報の時刻情報とを関連付けて記憶し、
複数の前記ログ識別子を前記時刻情報に基づいてまとめたログシーケンスを作成し、前記ログシーケンスの開始時刻と終了時刻との差分からシーケンス時間を算出し、前記ログシーケンスと前記シーケンス時間とを関連付けたシーケンスグループにグループ化し、
前記シーケンスグループが予め登録された正常シーケンスグループ及び異常シーケンスグループと一致しない場合、予め登録されたインシデント予兆グループのうち、前記シーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生までのインシデント発生見込み時間を算出する、
ことをコンピュータに実行させる。

本開示によれば、インシデントの発生を予測することが可能な保守管理装置、システム、方法及びプログラムを提供することができる。

実施の形態に係る保守管理装置を例示するブロック図である。 実施の形態に係るシステムを例示するブロック図である。 実施の形態に係る保守管理装置の動作を例示するフローチャートである。 実施の形態に係るログ情報の分析の様子を例示する模式図である。 実施の形態に係る保守管理装置の動作を例示するフローチャートである。 実施の形態に係るログ情報の分析の様子を例示する模式図である。 実施の形態に係る保守管理装置の動作を例示するフローチャートである。 実施の形態に係るログ情報の分析の様子を例示する模式図である。

以下、図面を参照して本発明の実施の形態について説明する。各図面において、同一又は対応する要素には同一の符号が付されており、説明の明確化のため、必要に応じて重複説明を省略する。

［実施の形態］
図１は、実施の形態に係る保守管理装置を例示するブロック図である。
図２は、実施の形態に係るシステムを例示するブロック図である。

図１及び図２に示すように、システム１０ｓは、保守センター１０に設置された保守管理装置１１と、お客様サイト２０に設置された保守管理装置２１と、を備える。また、システム１０ｓは、お客様サイト３０に設置された保守管理装置３１と、お客様サイト４０に設置された保守管理装置４１と、をさらに備える。保守管理装置１１は、保守管理装置２１と保守管理装置３１とに接続される。お客様サイトを顧客サイトと称することもある。

保守管理装置１１と保守管理装置２１と保守管理装置３１とは、通信回線６０を介して接続される。保守管理装置１１は、保守管理装置２１から通信回線６０を経由して、お客様サイト２０のログ情報等を含む保守情報を収集する。また、保守管理装置１１は、保守管理装置３１から通信回線６０を経由して、お客様サイト３０のログ情報等を含む保守情報を収集する。

保守管理装置４１は通信回線６０に接続していないので、保守拠点５０の保守員５１が保守管理装置４１を使用してお客様サイト４０のログ情報等を含む保守情報を採取する。保守管理装置１１は、保守員５１が採取したお客様サイト４０のログ情報等を含む保守情報を収集する。

保守管理装置１１は、収集部１１１と記憶部１１２と分析部１１３とログ分類部１１４と異常シーケンス生成部１１５と分析結果出力部１１６とを備える。

収集部１１１は、複数のお客様サイト（お客様サイト２０とお客様サイト３０とお客様サイト４０）のそれぞれの各種ログ情報を収集する。収集部１１１は、ログ読み込み部１１１１と送受信部１１１２とを有する。送受信部１１１２は、通信回線６０を経由して、お客様サイト２０とお客様サイト３０のそれぞれのログ情報を収集する。送受信部１１１２は、このようにして、お客様サイト２０とお客様サイト３０で発生した障害事象の通報情報や障害発生時のログ情報を定期的に収集する。

通信回線６０に接続していないお客様サイト４０のログ情報は、保守拠点５０から出動した保守員５１によって採取され、保守管理装置１１へ送信される。ログ読み込み部１１１１は、保守員５１が採取したお客様サイト４０のログ情報等を含む保守情報を読み込んで収集する。

ログ分類部１１４は、収集したログ情報をトークンに分離する。ログ情報は、ログ情報を識別するためのログ識別子と、ログ情報が収集された時刻である時刻情報と、を有する。時刻情報をタイプスタンプと称することもある。ログ分類部１１４は、ログ情報のタイムスタンプ以外の情報に対して、クラスタリングアルゴリズムを適用してログ情報を分類する。ログ分類部１１４は、ログ識別子記憶部１１２１を参照し、受信したログ情報に対応するログ識別子を確認する。ログ分類部１１４は、対応するログ識別子が未登録である場合、新たなログ識別子を付与する。

記憶部１１２は、ログ識別子記憶部１１２１とログシーケンス記憶部１１２２とを有する。ログ識別子記憶部１１２１は、ログ分類部１１４が分類した後のログ識別子と、ログ情報の時刻情報と、を関連付けて記憶する。

分析部１１３は、ログ分析部１１３１と正常分析部１１３２と異常分析部１１３３とを有する。ログ分析部１１３１は、複数のログ識別子を時刻情報に基づいてまとめたログシーケンスを作成する。すなわち、ログ分析部１１３１は、時刻情報からログ情報（ログ識別子）の出力順序情報を取得し、出力順序情報に基づいてログ識別子をシーケンス化してログシーケンスを作成する。シーケンス化されたログ識別子をログシーケンスと称する。

ログ分析部１１３１は、ログシーケンスの開始時刻と終了時刻との差分からシーケンス時間を算出する。ログ分析部１１３１は、ログシーケンスと、算出したシーケンス時間と、を関連付けたシーケンスグループにグループ化する。

すなわち、ログ分析部１１３１は、シーケンス開始からシーケンス完了までの最大時間を含めてグループ化する。グループ化したログシーケンス（シーケンスグループ）は、ログシーケンス記憶部１１２２に記憶される。シーケンス時間は、シーケンス開始からシーケンス完了までの最大時間である。シーケンス時間を、シーケンス最大時間、又はシーケンス完了最大時間と称することもある。

正常分析部１１３２は、シーケンスグループを所定の時間毎にシーケンス時間までずらしながら、シーケンスグループと予め記憶された正常シーケンスグループとを比較して正常シーケンスグループに対する適合率を算出する。すなわち、シーケンス開始時刻からシーケンス終了時刻まで所定の時間毎にずらしながら、シーケンスグループと正常シーケンスグループとを比較する。正常分析部１１３２は、正常シーケンスグループと一致しているシーケンスグループを正常と判断する。

異常分析部１１３３は、正常シーケンスグループと一致しないシーケンスグループに対して、予め記憶された異常シーケンスグループと一致するか否かを判断する。具体的には、異常分析部１１３３は、シーケンスグループを所定の時間毎にシーケンス時間までずらしながら、シーケンスグループと予め記憶された異常シーケンスグループとを比較して異常シーケンスグループに対する適合率を算出する。

異常分析部１１３３は、正常シーケンスグループと一部だけ一致し、他は一致しないシーケンスグループを異常と判断する。また、異常分析部１１３３は、正常シーケンスと一致せず、異常シーケンスグループと一致するシーケンスグループを異常と判断してもよい。

分析部１１３は、シーケンスグループが予め登録された正常シーケンスグループと一致せず、且つ、予め登録された異常シーケンスグループとも一致しない場合、予め登録されたインシデント予兆グループと比較する。

分析部１１３は、シーケンスグループとインシデント予兆グループとを、所定の時間毎にシーケンス時間までずらしながら、シーケンスグループとインシデント予兆グループとを比較して適合率を算出する。

分析部１１３は、比較した結果、インシデント予兆グループのうち、シーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生までのインシデント発生見込み時間を算出する。

正常シーケンスグループとは、シーケンス開始からシーケンス完了まで正常に動作したシーケンスグループである。異常シーケンスグループとは、シーケンス開始からシーケンス完了までの間に何等かの理由（インシデンドの発生等）により、シーケンスが停止したりして正常に動作しなかったシーケンスグループである。

インシデント予兆グループは、正常シーケンスグループに含まれず、異常シーケンスグループにも含まれないシーケンスグループである。インシデント予兆グループには、今までインシデントが発生したことは無いが、今後、新規のインシデントが発生し、異常シーケンスグループになる可能性が高いシーケンスグループが含まれる。

異常シーケンス生成部１１５は、今まで発生したことのない新規のインシデントが発生した場合、このインシデントが発生したシーケンスを、新規の異常シーケンスグループの１つとして生成する。また、異常シーケンス生成部１１５は、今後、新規のインシデントが発生し、異常シーケンスグループになる可能性が高いインシデント予兆グループを生成する。

異常分析部１１３３が異常と判断したシーケンスグループがログシーケンス記憶部１１２２に記憶されていない場合、異常シーケンス生成部１１５は、異常と判断されたシーケンスグループに基づいて新たなシーケンスグループを生成する。生成された新たなシーケンスグループのうち、インシデントの発生時刻よりも前のシーケンスグループは、インシデント予兆グループとしてログシーケンス記憶部１１２２に記憶される。

分析結果出力部１１６は、分析部１１３が分析した結果を出力し表示する。分析結果出力部１１６は、例えば、分析部１１３が算出した正常ログシーケンスグループに対する適合率とインシデント発生見込み時間とを出力する。また、分析結果出力部１１６は、インシデントの発生の契機と異常シーケンスの発生期間とを表示してもよい。

システム１０ｓの保守者は、インシデントが発生した場合、動作の把握やインシデント発生の原因究明のため、お客様サイトの保守管理装置から出力されるログ情報を収集する。保守者は、収集したログ情報を分析して状態判断や原因調査を行うことにより、インシデント発生の原因を究明する。

図３は、実施の形態に係る保守管理装置の動作を例示するフローチャートである。
図４は、実施の形態に係るログ情報の分析の様子を例示する模式図である。

図３及び図４に示すように、収集部１１１がログ情報を受信すると、ログ分類部１１４は、ログ情報をトークンに分離する（ステップＳ１０１）。図４に示す「２０１７／１１／１１ １５：３５：５３」は、ログ情報の時刻情報（タイムスタンプ）である。ログ分類部１１４は、トークンに分離したログ情報に対してクラスタリングアルゴリズムを適用する（ステップＳ１０２）。一度、トークンに分離されたログ情報は、ログ分類部１１４により再びトークンの一部が結合されて複数のクラスタになる。

ログ分類部１１４は、ログ識別子記憶部１１２１を参照し、受信したログ情報に対応するログ識別子が、ログ識別子記憶部１１２１に記憶（登録）済みか否かを確認する（ステップＳ１０３）。

ログ分類部１１４は、ログ情報に対応するログ識別子が未登録である場合、受信したログ情報に新たなログ識別子を付与する（ステップＳ１０４）。図４に示す「ＳＩＤ００００１」は、ログ情報に付与された新たなログ識別子である。ログ識別子と時刻情報とは、ログ識別子記憶部１１２１に記憶され登録される（ステップＳ１０５）。

図５は、実施の形態に係る保守管理装置の動作を例示するフローチャートである。
図６は、実施の形態に係るログ情報の分析の様子を例示する模式図である。

図５及び図６に示すように、分析部１１３のログ分析部１１３１は、ログ識別子とログの出力順序に従い、ログ識別子をシーケンス化する（ステップＳ２０１）。

図６で、簡単のため、複数のログ情報のうちの２つのログ情報を示す。１つ目は、ログ識別子が「ＳＩＤ０００１０」であり、ログ情報の時刻情報が「２０１７／１１／１１ １５：２５：５０」である。２つ目は、ログ識別子が「ＳＩＤ００００１」であり、ログ情報の時刻情報が「２０１７／１１／１１ １５：３５：５３」である。これらは、ステップＳ２０１によって、「ＳＩＤ０００１０→ＳＩＤ００００１」のようにシーケンス化される。

ログ分析部１１３１は、ログシーケンスの開始時刻とログシーケンスの終了時刻との差分からシーケンス完了までの最大時間を算出する（ステップＳ２０２）。図６に示す「００：１０：０３」は、シーケンス完了までの最大時間を示す。シーケンス完了までの最大時間をシーケンス完了最大時間、シーケンス最大時間、又はシーケンス時間と称する。

ログ分析部１１３１は、ログシーケンスと、シーケンス完了最大時間と、をまとめてシーケンスグループにグループ化する（ステップＳ２０３）。図６に示す「ＳＩＤ０００１０」と「ＳＩＤ００００１」と「００：１０：０３」とは、グループ化されたシーケンスグループを示す。

インシデントが発生していないシーケンスグループ（ログシーケンス）は、正常シーケンスグループであると判断され、ログシーケンス記憶部１１２２に記憶（登録）される。正常シーケンスグループであると判断されたシーケンスグループは、後述するステップＳ３０１において、正常シーケンスグループによる分析が行われる。

図７は、実施の形態に係る保守管理装置の動作を例示するフローチャートである。
図８は、実施の形態に係るログ情報の分析の様子を例示する模式図である。

図７に示すように、分析部１１３の正常分析部１１３２は、シーケンスグループ（ログシーケンス）を受信した後、ログシーケンス記憶部１１２２に記憶された正常シーケンスグループを参照し、正常シーケンスグループによる分析を行う（ステップＳ３０１）。

正常分析部１１３２は、受信したシーケンスグループが正常シーケンスグループと一致する場合、受信したシーケンスグループを正常と判断する（ステップＳ３０２：Ｙｅｓ）。

分析結果出力部１１６は、シーケンスグループが正常と判断された場合（ステップＳ３０２：Ｙｅｓ）、シーケンスグループが正常である旨の分析結果を出力する（ステップＳ３１１）。

正常分析部１１３２は、受信したシーケンスグループが正常シーケンスグループと一致しない場合（ステップＳ３０２：Ｎｏ）、シーケンス完了最大時間の範囲における適合率（類似度）を算出する（ステップＳ３０３）。

正常分析部１１３２は、シーケンスグループと正常シーケンスグループとを、所定の時間毎にシーケンス完了最大時間までずらしながら比較してそれらの適合率を算出する。適合率には、ログ識別子適合率とシーケンス順序適合率とがある。ログ識別子適合率は、シーケンスグループ（ログシーケンス）中の適合するログ識別子の数に基づいて算出される。シーケンス順序適合率は、適合するログ識別子の順序に基づいて算出される。

図８に示すように、記憶されている正常シーケンスグループが「ＳＩＤ００００２→ＳＩＤ０００１０→ＳＩＤ００１００」であり、受信した新規のシーケンスグループが「ＳＩＤ００００１→ＳＩＤ００１００→ＳＩＤ０００１０」である場合を考える。このような場合、新規のシーケンスグループの中の３つのログ識別子のうち、「ＳＩＤ００１００」と「ＳＩＤ０００１０」とが、正常シーケンスグループにも存在する。３つのログ識別子のうち２つのログ識別子が同じである。これに基づいて、例えば、ログ識別子適合率は、６６．７％（パーセント）と算出される。

ステップＳ３０３の後、異常分析部１１３３は、ログシーケンス記憶部１１２２に記憶された異常シーケンスグループを参照し、異常シーケンスグループによる分析を行う（ステップＳ３０４）。

異常分析部１１３３は、受信したシーケンスグループが異常シーケンスグループと一致する場合、受信したシーケンスグループを異常と判断する（ステップＳ３０５：Ｙｅｓ）。

分析結果出力部１１６は、受信したシーケンスグループが異常と判断された場合（ステップＳ３０５：Ｙｅｓ）、受信したシーケンスグループが異常である旨の分析結果を出力する（ステップＳ３１１）。

ステップＳ３０２で正常と判断されず（ステップＳ３０２：Ｎｏ）、且つ、ステップＳ３０５で異常と判断されない（ステップＳ３０５：Ｎｏ）シーケンスグループは、今までとは異なる新規の（未知の）シーケンスグループである。

異常シーケンス生成部１１５は、未知のシーケンスグループに対してステップＳ３０３で算出した正常シーケンスグループとの適合率を含む付加情報を付加し、未知のシーケンスグループに基づいて新たな異常シーケンスグループを生成する（ステップＳ３０６）。すなわち、異常シーケンス生成部１１５は、受信したシーケンスグループが正常シーケンスグループと一部だけ一致し、異常シーケンスグループと一致しない場合、受信したシーケンスグループに基づいて新たな異常シーケンスグループを生成する。

ステップＳ３０６の後、分析部１１３は、受信したシーケンスグループが、インシデントが発生した時刻よりも前のシーケンスグループか否かを判断する（ステップＳ３０７）。

分析部１１３は、受信したシーケンスグループのうち、インシデントが発生した時刻よりも前のシーケンスグループを、インシデント予兆グループとしてログシーケンス記憶部１１２２に記憶する。インシデント予兆グループは、異常シーケンスグループとは異なり、今までインシデントが発生したことは無いが、今後、新規のインシデントが発生し、異常シーケンスグループになる可能性が高いシーケンスグループである。

分析部１１３は、インシデント予兆グループとされたシーケンスグループに、インシデント予兆グループの情報を追加で付与する（ステップＳ３０８）。インシデント予兆グループの情報とは、例えば、現在時刻とインシデントの発生時刻との差分の時間である。この差分の時間を、インシデント猶予時間と称することもある。

分析部１１３は、受信したシーケンスグループがログシーケンス記憶部１１２２に予め登録されたインシデント予兆グループと一致した場合（同一のものがあった場合）、統計解析を行いインシデント発生見込み時間を算出する（ステップＳ３０９）。

分析部１１３は、シーケンスグループとインシデント予兆グループとを比較し、インシデント予兆グループのうち、最も適合率の高いシーケンスグループに基づいてインシデント発生見込み時間を算出してもよい。

シーケンスグループとインシデント発生見込み時間とは、ログシーケンス記憶部１１２２に記憶される（ステップＳ３１０）。

また、分析部１１３は、インシデントが発生した後のシーケンスグループを、インシデント発生中やインシデント発生後の後処理で出力された参考のシーケンスグループとして、ログシーケンス記憶部１１２２に記憶してもよい。

分析結果出力部１１６は、ログシーケンス記憶部１１２２に新たに記憶されたシーケンスグループの分析結果を出力する（ステップＳ３１１）。

分析結果出力部１１６が出力した出力結果は、保守センター１０と保守拠点５０に在籍する保守員５１に通知される。このため、保守員５１は、インシデント発生後、即座に保守作業に取り掛かることができる。

また、出力結果には、インシデント予兆グループとインシデント発生見込み時間とが含まれる。このため、保守員５１は、インシデントが発生する前において、事前の対処を行うことができる。

実施の形態に係る保守管理装置１１は、予め登録されたインシデント予兆グループのうち、受信したログシーケンスのシーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生見込み時間を算出する。すなわち、保守管理装置１１は、インシデント予兆グループを使用してインシデントの発生を予測し、インシデント発生見込み時間を算出しこれを出力する。これにより、インシデントの発生を予測することが可能な保守管理装置、システム、方法及びプログラムを提供することができる。

また、実施の形態に係る保守管理装置１１は、受信したログシーケンスがどの装置（お客様サイト）から送信されたものかを把握できるので、インシデントが発生すると予測される装置（箇所）を特定することができる。

また、実施の形態に係る保守管理装置１１は、ログを解析するためにログ情報の代わりにログ識別子と時刻情報とを記憶する。これにより、保守管理装置１１は、全てのログ情報を記憶する場合と比べて、ログ情報の情報量を低減し、記憶容量を低減し、運用管理コストを低減することができる。

また、実施の形態に係る保守管理装置１１は、インシデントが発生する時刻を予測するので、その予測時刻に合わせて保守員５１を予め待機させておくことができる。これにより、インシデントの発生から解決までの時間を短縮することができる。

また、実施の形態に係るシステム１０ｓは、１台の保守管理装置１１を使用してシステム１０ｓ全体の保守管理を行う。これにより、システム１０ｓは、ホスト単位で保守管理する場合と比べて保守管理のためのコストを低減することができる。

尚、実施の形態では、保守管理装置１１がインシデントの発生を予測することを例に挙げて説明したが、これには限定されない。実施の形態は、保守センター１０等において、インシデントの発生を分析するプログラムが動作できる環境を有する装置であれば、どのような情報処理システム、情報処理装置、ソフトウェアにも適用することができる。

また、上記の実施の形態では、本発明をハードウェアの構成として説明したが、本発明はこれに限定されるものではない。本発明は、各構成要素の処理を、ＣＰＵ（Central Processing Unit）にコンピュータプログラムを実行させることにより実現することも可能である。

上記の実施の形態において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実態のある記録媒体(tangible storage medium)を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ−ＲＯＭ（Read Only Memory）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ(Erasable PROM)）、フラッシュＲＯＭ、ＲＡＭ(Random Access Memory)を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。

１０…保守センター
１０ｓ…システム
１１…保守管理装置
１１１…収集部
１１１１…ログ読み込み部
１１１２…送受信部
１１２…記憶部
１１２１…ログ識別子記憶部
１１２２…ログシーケンス記憶部
１１３…分析部
１１３１…ログ分析部
１１３２…正常分析部
１１３３…異常分析部
１１４…ログ分類部
１１５…異常シーケンス生成部
１１６…分析結果出力部
２０、３０、４０…お客様サイト
２１、３１、４１…保守管理装置
２２、２３、３２、４２…ログ情報記憶部
５０…保守拠点
５１…保守員
６０…通信回線

Claims (9)

1. ログ情報を収集する収集部と、
   前記ログ情報を識別するログ識別子と前記ログ情報の時刻情報とを関連付けて記憶する記憶部と、
   複数の前記ログ識別子を前記時刻情報に基づいてまとめたログシーケンスを作成し、前記ログシーケンスの開始時刻と終了時刻との差分からシーケンス時間を算出し、前記ログシーケンスと前記シーケンス時間とを関連付けたシーケンスグループにグループ化する分析部と、
   を備え、
   前記分析部は、前記シーケンスグループが予め登録された正常シーケンスグループ及び異常シーケンスグループと一致しない場合、予め登録されたインシデント予兆グループのうち、前記シーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生までのインシデント発生見込み時間を算出する、
   保守管理装置。
2. 前記インシデント発生見込み時間を出力する分析結果出力部をさらに備える、
   請求項１に記載の保守管理装置。
3. 前記分析部は、前記時刻情報から前記ログ情報の出力順序情報を取得し、前記出力順序情報に基づいて前記ログ識別子をシーケンス化して前記ログシーケンスを作成する
   請求項１又は２に記載の保守管理装置。
4. 前記ログ情報に対応するログ識別子が未登録である場合、前記ログ情報に新たなログ識別子が付与される、
   請求項１乃至３のいずれか１つに記載の保守管理装置。
5. 前記分析部は、前記シーケンスグループと前記インシデント予兆グループとを、所定の時間毎に前記シーケンス時間までずらしながら、前記シーケンスグループと前記インシデント予兆グループとを比較して前記適合率を算出する、
   請求項１乃至４のいずれか１つに記載の保守管理装置。
6. 前記時刻情報は、前記ログ情報が収集された時刻である、
   請求項１乃至５のいずれか１つに記載の保守管理装置。
7. 顧客サイトに設置された保守管理装置と、前記顧客サイトの保守管理装置に接続され、保守センターに設置された保守管理装置と、を備え、
   前記保守センターに設置された保守管理装置は、
   ログ情報を収集する収集部と、
   前記ログ情報を識別するログ識別子と前記ログ情報の時刻情報とを関連付けて記憶する記憶部と、
   複数の前記ログ識別子を前記時刻情報に基づいてまとめたログシーケンスを作成し、前記ログシーケンスの開始時刻と終了時刻との差分からシーケンス時間を算出し、前記ログシーケンスと前記シーケンス時間とを関連付けたシーケンスグループにグループ化する分析部と、を有し、
   前記分析部は、前記シーケンスグループが予め登録された正常シーケンスグループ及び異常シーケンスグループと一致しない場合、予め登録されたインシデント予兆グループのうち、前記シーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生までのインシデント発生見込み時間を算出する、
   システム。
8. 前記インシデント発生見込み時間を出力する分析結果出力部をさらに備える、
   請求項７に記載のシステム。
9. ログ情報を収集し、
   前記ログ情報を識別するログ識別子と前記ログ情報の時刻情報とを関連付けて記憶し、
   複数の前記ログ識別子を前記時刻情報に基づいてまとめたログシーケンスを作成し、前記ログシーケンスの開始時刻と終了時刻との差分からシーケンス時間を算出し、前記ログシーケンスと前記シーケンス時間とを関連付けたシーケンスグループにグループ化し、
   前記シーケンスグループが予め登録された正常シーケンスグループ及び異常シーケンスグループと一致しない場合、予め登録されたインシデント予兆グループのうち、前記シーケンスグループと最も適合率の高いシーケンスグループに基づいてインシデント発生までのインシデント発生見込み時間を算出する、
   ことをコンピュータに実行させるプログラム。

Images