JP6919438B2

JP6919438B2 - Fault analysis support device, incident management system, fault analysis support method and program

Info

Publication number: JP6919438B2
Application number: JP2017172944A
Authority: JP
Inventors: 康裕萩原; 昌利西川
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2017-09-08
Filing date: 2017-09-08
Publication date: 2021-08-18
Anticipated expiration: 2037-09-08
Also published as: JP2019049802A

Description

本発明は、障害解析支援装置、インシデント管理システム、障害解析支援方法及びプログラムに関する。 The present invention relates to a failure analysis support device, an incident management system, a failure analysis support method and a program.

企業等にて使用されるシステム（例えば、コンピュータシステム）は、複数のサブシステムにより構成されていることが多い。各サブシステムは、部品（演算装置、記憶媒体等）から構成されている。また、ネットワーク技術、情報処理技術の発展に伴いシステムのクラウド化が進展している。クラウドシステムでは、種々のシステムが集約され、それらのログの集中管理が可能となっている。 A system used in a company or the like (for example, a computer system) is often composed of a plurality of subsystems. Each subsystem is composed of parts (arithmetic unit, storage medium, etc.). In addition, with the development of network technology and information processing technology, cloud computing of systems is progressing. In the cloud system, various systems are aggregated and their logs can be centrally managed.

特許文献１には、複数のアプリケーションのログを解析して、異常事象を検知するログ解析装置が開示されている。特許文献１に開示された技術では、ログパターンと称される過去ログ群と統合ログと称される障害発生時ログ群の類似度を計算している。その際、特許文献１では、類似度の計算において、２つのログ群に対して、ログの発生順序を考慮して個々のログを比較している。 Patent Document 1 discloses a log analysis device that analyzes logs of a plurality of applications and detects an abnormal event. In the technique disclosed in Patent Document 1, the similarity between the past log group called the log pattern and the failure occurrence log group called the integrated log is calculated. At that time, in Patent Document 1, in the calculation of the similarity, the individual logs are compared with respect to the two log groups in consideration of the log generation order.

特許文献２には、類似障害の判定条件を自動生成し、障害事例を登録するシステムが開示されている。特許文献２に開示された技術では、過去ログと障害時ログという２つの単独ログの類似度を計算している。 Patent Document 2 discloses a system for automatically generating determination conditions for similar failures and registering failure cases. In the technique disclosed in Patent Document 2, the similarity between two single logs, a past log and a failure log, is calculated.

特開２０１６−０２４７８６号公報Japanese Unexamined Patent Publication No. 2016-0247886 特開２０１４−１１９９８２号公報Japanese Unexamined Patent Publication No. 2014-119892

なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。 In addition, each disclosure of the above prior art documents shall be incorporated into this document by citation. The following analysis was made by the present inventors.

上述のように、システムはサブシステムとその部品により構成されることが多い。ここで、特定の部品（例えば、メモリ）にて障害が発生すると、当該障害が発生した部品に関連する部品及びサブシステムにおいても障害が発生することになる。また、クラウド上に集約されたシステムの一部に障害が発生すると、大量のエラーログが出力されることになる。 As mentioned above, systems are often composed of subsystems and their components. Here, when a failure occurs in a specific component (for example, a memory), a failure also occurs in a component and a subsystem related to the failed component. In addition, if a failure occurs in a part of the system aggregated on the cloud, a large amount of error logs will be output.

このように、何らかの部品等に障害が発生した際には、システムから大量のエラーログが出力されることになる。しかしながら、大量のエラーログにおけるログの因果関係を短時間で紐解くことが困難な状況にある。即ち、大量のエラーログを解析して原因を突き止めることは容易ではない。 In this way, when a failure occurs in some part or the like, a large amount of error logs are output from the system. However, it is difficult to unravel the causal relationship between logs in a large number of error logs in a short time. That is, it is not easy to analyze a large amount of error logs to find out the cause.

また、過去のインシデント情報が蓄積され、管理されていても、障害解析における過去インシデントの利用は自動化されていないことも多く、障害の解決はシステム運用における管理者の個人的なノウハウに依存することも多い。 In addition, even if past incident information is accumulated and managed, the use of past incidents in failure analysis is often not automated, and failure resolution depends on the personal know-how of the administrator in system operation. There are also many.

このように、システムの障害監視を行っていても、障害が発生すると、多数のエラーログが検出されるため、障害の原因を特定するには、多数のエラーログの関係を解き明かす必要があり、コンピュータシステム構成の詳細な理解と調査時間が必要となる。 In this way, even when system failure monitoring is performed, a large number of error logs are detected when a failure occurs. Therefore, in order to identify the cause of the failure, it is necessary to clarify the relationship between the large number of error logs. A detailed understanding of the computer system configuration and investigation time are required.

本発明は、システムに障害が発生した場合に、適切な障害解決案を迅速に提示することに寄与する、障害解析支援装置、インシデント管理システム、障害解析支援方法及びプログラムを提供することを目的とする。 An object of the present invention is to provide a failure analysis support device, an incident management system, a failure analysis support method, and a program that contribute to promptly presenting an appropriate failure solution when a system failure occurs. do.

本発明乃至開示の第１の視点によれば、監視対象装置から得られるエラーログそれぞれについてのフォーマットを特定し、前記特定したフォーマットのそれぞれをログパターンとして抽出する、抽出部と、一日に含まれるエラーログそれぞれについて、前記ログパターンのいずれに該当するかを判定し、前記ログパターンからなるログパターンリストを生成する、生成部と、障害発生時のエラーログと、インシデント発生日における前記ログパターンリストと、に基づいて、前記障害発生時のエラーログと前記インシデント発生日におけるエラーログの類似度を計算する、計算部と、前記類似度に基づいて、前記障害発生時のエラーログから推定されるインシデントの障害解決策を出力する、出力部と、を備える、障害解析支援装置が提供される。 According to the first viewpoint of the present invention or the disclosure, a format for each error log obtained from the monitored device is specified, and each of the specified formats is extracted as a log pattern. For each of the error logs to be generated, it is determined which of the log patterns corresponds to, and a log pattern list composed of the log patterns is generated. It is estimated from the calculation unit that calculates the similarity between the error log at the time of the failure occurrence and the error log at the incident occurrence date based on the list and the error log at the time of the failure occurrence based on the similarity. An error analysis support device provided with an output unit that outputs an error solution of an incident is provided.

本発明乃至開示の第２の視点によれば、監視対象装置に接続された障害監視装置と、前記監視対象装置に発生するインシデントの解析を支援するための障害解析支援装置と、前記障害解析支援装置に情報入力をする端末と、を含み、前記障害解析支援装置は、前記監視対象装置から得られるエラーログそれぞれについてのフォーマットを特定し、前記特定したフォーマットのそれぞれをログパターンとして抽出する、抽出部と、一日に含まれるエラーログそれぞれについて、前記ログパターンのいずれに該当するかを判定し、前記ログパターンからなるログパターンリストを生成する、生成部と、障害発生時のエラーログと、インシデント発生日における前記ログパターンリストと、に基づいて、前記障害発生時のエラーログと前記インシデント発生日におけるエラーログの類似度を計算する、計算部と、前記類似度に基づいて、前記障害発生時のエラーログから推定されるインシデントの障害解決策を出力する、出力部と、を備える、インシデント管理システムが提供される。 According to the second viewpoint of the present invention or the disclosure, the error monitoring device connected to the monitored device, the error analysis support device for supporting the analysis of the incident generated in the monitored device, and the error analysis support. The fault analysis support device includes a terminal for inputting information to the device, specifies a format for each error log obtained from the monitored device, and extracts each of the specified formats as a log pattern. For each of the unit and the error log included in the day, it is determined which of the log patterns corresponds to, and a log pattern list composed of the log patterns is generated. Based on the log pattern list on the incident occurrence date, the calculation unit that calculates the similarity between the error log at the time of the failure and the error log on the incident occurrence date, and the failure occurrence based on the similarity. An incident management system is provided that includes an output unit that outputs an incident failure solution estimated from the error log of the time.

本発明乃至開示の第３の視点によれば、監視対象装置に発生するインシデントの解析を支援するための障害解析支援装置において、前記監視対象装置から得られるエラーログそれぞれについてのフォーマットを特定し、前記特定したフォーマットのそれぞれをログパターンとして抽出するステップと、一日に含まれるエラーログそれぞれについて、前記ログパターンのいずれに該当するかを判定し、前記ログパターンからなるログパターンリストを生成するステップと、障害発生時のエラーログと、インシデント発生日における前記ログパターンリストと、に基づいて、前記障害発生時のエラーログと前記インシデント発生日におけるエラーログの類似度を計算するステップと、前記類似度に基づいて、前記障害発生時のエラーログから推定されるインシデントの障害解決策を出力するステップと、を含む、障害解析支援方法が提供される。 According to the third aspect of the present invention or the disclosure, in the failure analysis support device for supporting the analysis of the incident generated in the monitored device, the format of each error log obtained from the monitored device is specified. A step of extracting each of the specified formats as a log pattern and a step of determining which of the above log patterns corresponds to each of the error logs included in the day and generating a log pattern list composed of the said log patterns. And the step of calculating the similarity between the error log at the time of the failure and the error log on the incident date based on the error log at the time of the failure and the log pattern list on the incident date, and the similarity. A failure analysis support method including a step of outputting a failure solution of an incident estimated from the error log at the time of occurrence of the failure based on the degree is provided.

本発明乃至開示の第４の視点によれば、監視対象装置から得られるエラーログそれぞれについてのフォーマットを特定し、前記特定したフォーマットのそれぞれをログパターンとして抽出する処理と、一日に含まれるエラーログそれぞれについて、前記ログパターンのいずれに該当するかを判定し、前記ログパターンからなるログパターンリストを生成する処理と、障害発生時のエラーログと、インシデント発生日における前記ログパターンリストと、に基づいて、前記障害発生時のエラーログと前記インシデント発生日におけるエラーログの類似度を計算する処理と、前記類似度に基づいて、前記障害発生時のエラーログから推定されるインシデントの障害解決策を出力する処理と、を障害解析支援装置に搭載されたコンピュータに実行させるプログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。 According to the fourth viewpoint of the present invention or the disclosure, a process of specifying a format for each error log obtained from a monitored device and extracting each of the specified formats as a log pattern, and an error included in one day. For each of the logs, a process of determining which of the log patterns corresponds to and generating a log pattern list composed of the log patterns, an error log at the time of failure occurrence, and the log pattern list on the incident occurrence date are added. Based on the process of calculating the similarity between the error log at the time of the failure occurrence and the error log on the incident occurrence date, and the incident failure solution estimated from the error log at the time of the failure occurrence based on the similarity. A process for outputting the error and a program for causing the computer mounted on the error analysis support device to execute the error are provided.
Note that this program can be recorded on a computer-readable storage medium. The storage medium may be a non-transient such as a semiconductor memory, a hard disk, a magnetic recording medium, or an optical recording medium. The present invention can also be embodied as a computer program product.

本発明乃至開示の各視点によれば、システムに障害が発生した場合に、適切な障害解決案を迅速に提示することに寄与する、障害解析支援装置、インシデント管理システム、障害解析支援方法及びプログラムが、提供される。 According to the viewpoints of the present invention and the disclosure, a failure analysis support device, an incident management system, a failure analysis support method and a program that contribute to promptly presenting an appropriate failure solution plan when a system failure occurs. Is provided.

一実施形態の概要を説明するための図である。It is a figure for demonstrating the outline of one Embodiment. 第１の実施形態に係るインシデント管理システムの概略構成の一例を示す図である。It is a figure which shows an example of the schematic structure of the incident management system which concerns on 1st Embodiment. 第１の実施形態に係る障害解析支援装置のハードウェア構成の一例を示す図である。It is a figure which shows an example of the hardware configuration of the fault analysis support apparatus which concerns on 1st Embodiment. 第１の実施形態に係るインシデント管理システムの動作の一例を示すシーケンス図である。It is a sequence diagram which shows an example of the operation of the incident management system which concerns on 1st Embodiment. エラーログデータベースの一例を示す図である。It is a figure which shows an example of an error log database. ログパターン抽出部の動作を説明するための図である。It is a figure for demonstrating operation of a log pattern extraction part. ログパターンデータベースの一例を示す図である。It is a figure which shows an example of a log pattern database. ログパターンリストデータベースの一例を示す図である。It is a figure which shows an example of the log pattern list database. インシデント情報データベースの一例を示す図である。It is a figure which shows an example of the incident information database. ログ類似度データベースの一例を示す図である。It is a figure which shows an example of a log similarity database.

初めに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。 First, an outline of one embodiment will be described. It should be noted that the drawing reference reference numerals added to this outline are added to each element for convenience as an example for assisting understanding, and the description of this outline is not intended to limit anything. Further, the connecting line between the blocks in each figure includes both bidirectional and unidirectional. The one-way arrow schematically shows the flow of the main signal (data), and does not exclude interactivity.

一実施形態に係る障害解析支援装置１００は、抽出部１０１と、生成部１０２と、計算部１０３と、出力部１０４と、を備える（図１参照）。抽出部１０１は、監視対象装置から得られるエラーログそれぞれについてのフォーマットを特定し、特定したフォーマットのそれぞれをログパターンとして抽出する。生成部１０２は、一日に含まれるエラーログそれぞれについて、ログパターンのいずれに該当するかを判定し、ログパターンからなるログパターンリストを生成する。計算部１０３は、障害発生時のエラーログと、インシデント発生日におけるログパターンリストと、に基づいて、障害発生時のエラーログとインシデント発生日におけるエラーログの類似度を計算する。出力部１０４は、類似度に基づいて、障害発生時のエラーログから推定されるインシデントの障害解決策を出力する。 The failure analysis support device 100 according to one embodiment includes an extraction unit 101, a generation unit 102, a calculation unit 103, and an output unit 104 (see FIG. 1). The extraction unit 101 specifies a format for each error log obtained from the monitored device, and extracts each of the specified formats as a log pattern. The generation unit 102 determines which of the log patterns corresponds to each of the error logs included in the day, and generates a log pattern list composed of log patterns. The calculation unit 103 calculates the similarity between the error log at the time of failure occurrence and the error log on the incident occurrence date based on the error log at the time of failure occurrence and the log pattern list on the incident occurrence date. The output unit 104 outputs a failure solution of the incident estimated from the error log at the time of failure based on the similarity.

障害解析支援装置１００は、監視対象装置から得られる過去ログに対して、１件ごとにログのフォーマットパターンを分類し、ログパターンを抽出する。また、障害解析支援装置１００は、一日を単位として、各日に含まれるエラーログが上記ログパターンのいずれに該当するか判定し、各日におけるログパターンリストを生成する。つまり、障害解析支援装置１００は、日次で出現するログパターンの一覧を集計（生成）する。その後、障害解析支援装置１００は、障害発生前後のエラーログ件数のうち、それぞれのログに対するログパターンが、過去インシデント発生日のログパターンリストに一致するログの件数の割合を類似度として計算する。さらに、障害解析支援装置１００は、計算した類似度が高いインシデントが障害発生時にも生じていると捉え、当該類似度の高いインシデントに対応する解決策をユーザに提示する。その結果、システムに障害が発生した場合に、適切な障害解決案を迅速に提示することができる。 The fault analysis support device 100 classifies the log format pattern for each past log obtained from the monitored device, and extracts the log pattern. Further, the failure analysis support device 100 determines which of the above log patterns the error log included in each day corresponds to on a daily basis, and generates a log pattern list for each day. That is, the fault analysis support device 100 aggregates (generates) a list of log patterns that appear daily. After that, the failure analysis support device 100 calculates the ratio of the number of logs whose log patterns for each log match the log pattern list of the past incident occurrence date as the similarity among the number of error logs before and after the occurrence of the failure. Further, the failure analysis support device 100 considers that the calculated incident with high similarity occurs even when the failure occurs, and presents the user with a solution corresponding to the incident with high similarity. As a result, when a system failure occurs, an appropriate failure solution can be promptly presented.

上記障害解析支援装置１００は、同じような障害に対して、同じようなエラーログが障害発生前後に集中して出力されるという考えを利用する。即ち、特定期間の過去ログ集合（例えば、日次のエラーログ）と、障害発生前後の障害時ログ集合（例えば、障害発生前後２時間のエラーログ）に対して、２つのログ集合の類似度を計算する。その際、それぞれの集合に含まれるログを、時系列や因果関係を考慮することなく、２つの集合の共通部分の要素数で類似度が計算される。即ち、独立した要素として、ログフォーマットパターンを利用して、エラーログの内容が一致する要素か異なる要素かを頼りに類似度を計算している。そのため、類似度の計算を迅速に行うことが可能となる。 The failure analysis support device 100 utilizes the idea that similar error logs are centrally output before and after the occurrence of a failure for a similar failure. That is, the similarity between the past log set for a specific period (for example, daily error log) and the failure log set before and after the failure occurrence (for example, the error log for 2 hours before and after the failure occurrence) is similar to the two log sets. To calculate. At that time, the similarity of the logs included in each set is calculated by the number of elements of the common part of the two sets without considering the time series and the causal relationship. That is, as an independent element, the log format pattern is used to calculate the similarity depending on whether the contents of the error log are the same element or different elements. Therefore, the similarity can be calculated quickly.

また、障害と過去インシデントが類似度で紐づけられるため、障害原因と障害回復手段を一体として、参照することができ、迅速に障害回復作業を行うことができる。さらに、障害と過去インシデントの紐づけが自動的に行われるため、個人的なノウハウに頼ることなく、障害解析／障害回復において、過去インシデント情報を有効に活用することができる。 In addition, since the failure and the past incident are linked by the degree of similarity, the cause of the failure and the means for recovery from the failure can be referred to as one, and the failure recovery work can be performed quickly. Furthermore, since the failure and the past incident are automatically linked, the past incident information can be effectively used in the failure analysis / failure recovery without relying on personal know-how.

なお、本願開示において、特段の釈明がない場合には、「ログ」は「エラーログ」を示す。 In the disclosure of the present application, unless otherwise specified, "log" indicates "error log".

以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。なお、各実施形態において同一構成要素には同一の符号を付し、その説明を省略する。 Specific embodiments will be described in more detail below with reference to the drawings. In each embodiment, the same components are designated by the same reference numerals, and the description thereof will be omitted.

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。 [First Embodiment]
The first embodiment will be described in more detail with reference to the drawings.

［システム構成］
図２は、第１の実施形態に係るインシデント管理システムの概略構成の一例を示す図である。インシデント管理システムは、コンピュータシステムに接続され、当該コンピュータシステムのインシデントを管理するためのシステムである。 [System configuration]
FIG. 2 is a diagram showing an example of a schematic configuration of an incident management system according to the first embodiment. The incident management system is a system that is connected to a computer system and manages incidents of the computer system.

図２を参照すると、インシデント管理システムは、障害監視装置１０と、障害解析支援装置２０と、データベースサーバ３０と、管理者端末４０と、を含んで構成される。インシデント管理システムは、監視対象装置５０に接続されている。また、障害監視装置１０、障害解析支援装置２０、データベースサーバ３０及び管理者端末４０はネットワークを介して互いに通信可能に構成されている。 Referring to FIG. 2, the incident management system includes a fault monitoring device 10, a fault analysis support device 20, a database server 30, and an administrator terminal 40. The incident management system is connected to the monitored device 50. Further, the fault monitoring device 10, the fault analysis support device 20, the database server 30, and the administrator terminal 40 are configured to be able to communicate with each other via a network.

なお、図２には１つの監視対象装置５０を図示しているが、監視対象装置５０の数を限定する趣旨ではない。複数の装置が監視対象となっていても良いことは勿論である。 Although FIG. 2 illustrates one monitored device 50, it is not intended to limit the number of monitored devices 50. Of course, a plurality of devices may be monitored.

障害監視装置１０は、監視対象装置５０を監視する。障害監視装置１０は、監視対象装置５０が出力するエラーログを取得し、当該取得したエラーログをデータベースサーバ３０に登録（格納）する。 The fault monitoring device 10 monitors the monitored device 50. The fault monitoring device 10 acquires an error log output by the monitored device 50, and registers (stores) the acquired error log in the database server 30.

障害解析支援装置２０は、監視対象装置５０に発生するインシデント（障害）の解析を支援するための装置である。具体的には、障害解析支援装置２０は、データベースサーバ３０に登録されているエラーログを解析し、「ログパターン」及び「ログパターンリスト」を生成する。なお、これらの情報に関しては後述する。生成された上記情報は、データベースサーバ３０に登録される。 The fault analysis support device 20 is a device for supporting the analysis of incidents (faults) that occur in the monitored device 50. Specifically, the failure analysis support device 20 analyzes the error log registered in the database server 30 and generates a "log pattern" and a "log pattern list". This information will be described later. The generated information is registered in the database server 30.

また、障害解析支援装置２０は、ユーザ（システム管理者）からインシデント発生に関する情報を取得すると、当該発生したインシデントに対する「障害解決策」を生成し、出力する。障害解析支援装置２０が生成する障害解決策には、発生したインシデントと類似するインシデントの障害原因、障害回復方法（障害回復手段）等が含まれる。 Further, when the failure analysis support device 20 acquires information on the occurrence of an incident from a user (system administrator), it generates and outputs a "fault solution" for the incident that has occurred. The failure solution generated by the failure analysis support device 20 includes a failure cause of an incident similar to the incident that has occurred, a failure recovery method (fault recovery means), and the like.

データベースサーバ３０は、障害監視装置１０、障害解析支援装置２０及び管理者端末４０がアクセス可能なデータベース（ＤＢ；Ｄａｔａｂａｓｅ）を提供するサーバ装置である。データベースサーバ３０が提供する各種データベースに関する説明は後述する。 The database server 30 is a server device that provides a database (DB; database) accessible to the failure monitoring device 10, the failure analysis support device 20, and the administrator terminal 40. A description of various databases provided by the database server 30 will be described later.

管理者端末４０は、ユーザ（システム管理者）が使用する端末である。システム管理者は、監視対象装置５０に障害が発生すると、管理者端末４０を操作して、障害発生前後のエラーログ（以下、障害発生時ログと称する）をデータベースサーバ３０から取得する。その後、システム管理者は、当該取得した障害発生時ログを障害解析支援装置２０に入力する。 The administrator terminal 40 is a terminal used by a user (system administrator). When a failure occurs in the monitored device 50, the system administrator operates the administrator terminal 40 to acquire an error log (hereinafter referred to as a failure occurrence log) before and after the failure occurrence from the database server 30. After that, the system administrator inputs the acquired failure occurrence log to the failure analysis support device 20.

障害解析支援装置２０は、管理者端末４０から取得した障害発生時ログに基づき、上述の「障害解決策」を作成し、出力する。 The failure analysis support device 20 creates and outputs the above-mentioned "failure solution" based on the failure occurrence log acquired from the administrator terminal 40.

［ハードウェア構成］
続いて、インシデント管理システムを構成する各装置のハードウェアについて説明する。 [Hardware configuration]
Next, the hardware of each device constituting the incident management system will be described.

図３は、第１の実施形態に係る障害解析支援装置２０のハードウェア構成の一例を示す図である。障害解析支援装置２０は、所謂、情報処理装置（コンピュータ）により構成可能であり、図３に例示する構成を備える。例えば、障害解析支援装置２０は、内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）１１、メモリ１２、入出力インターフェイス１３及び通信手段であるＮＩＣ（Network Interface Card）１４等を備える。 FIG. 3 is a diagram showing an example of the hardware configuration of the failure analysis support device 20 according to the first embodiment. The fault analysis support device 20 can be configured by a so-called information processing device (computer), and includes the configuration illustrated in FIG. For example, the fault analysis support device 20 includes a CPU (Central Processing Unit) 11, a memory 12, an input / output interface 13, a communication means NIC (Network Interface Card) 14, and the like, which are connected to each other by an internal bus.

なお、図３に示す構成は、障害解析支援装置２０のハードウェア構成を限定する趣旨ではない。障害解析支援装置２０は、図示しないハードウェアを含んでもよい。あるいは、障害解析支援装置２０に含まれるＣＰＵ等の数も図３の例示に限定する趣旨ではなく、例えば、複数のＣＰＵが障害解析支援装置２０に含まれていてもよい。 The configuration shown in FIG. 3 is not intended to limit the hardware configuration of the fault analysis support device 20. The fault analysis support device 20 may include hardware (not shown). Alternatively, the number of CPUs and the like included in the failure analysis support device 20 is not limited to the example shown in FIG. 3, and for example, a plurality of CPUs may be included in the failure analysis support device 20.

メモリ１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、補助記憶装置（ハードディスク等）である。 The memory 12 is a RAM (Random Access Memory), a ROM (Read Only Memory), and an auxiliary storage device (hard disk or the like).

入出力インターフェイス１３は、図示しない表示装置や入力装置のインターフェイスとなる手段である。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。 The input / output interface 13 is a means that serves as an interface for a display device or an input device (not shown). The display device is, for example, a liquid crystal display or the like. The input device is, for example, a device that accepts user operations such as a keyboard and a mouse.

障害解析支援装置２０の機能は、後述する処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ１２に格納されたプログラムをＣＰＵ１１が実行することで実現される。また、そのプログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。即ち、上記処理モジュールが行う機能は、何らかのハードウェアにおいてソフトウェアが実行されることによって実現できればよい。 The function of the fault analysis support device 20 is realized by a processing module described later. The processing module is realized, for example, by the CPU 11 executing a program stored in the memory 12. In addition, the program can be downloaded via a network or updated using a storage medium in which the program is stored. Further, the processing module may be realized by a semiconductor chip. That is, the function performed by the processing module may be realized by executing software on some hardware.

なお、障害監視装置１０、データベースサーバ３０、管理者端末４０等も情報処理装置により構成することが可能であり、その構成は当業者にとって明らかであるため説明を省略する。 The fault monitoring device 10, the database server 30, the administrator terminal 40, and the like can also be configured by the information processing device, and the description thereof will be omitted because the configurations are obvious to those skilled in the art.

［処理モジュール］
続いて、第１の実施形態に係る障害解析支援装置２０の処理構成について説明する。 [Processing module]
Subsequently, the processing configuration of the fault analysis support device 20 according to the first embodiment will be described.

図２を参照すると、障害解析支援装置２０は、通信制御部２０１と、ログパターン抽出部２０２と、ログパターンリスト生成部２０３と、ログ類似度計算部２０４と、解決策出力部２０５と、を含んで構成される。 Referring to FIG. 2, the failure analysis support device 20 includes a communication control unit 201, a log pattern extraction unit 202, a log pattern list generation unit 203, a log similarity calculation unit 204, and a solution output unit 205. Consists of including.

通信制御部２０１は、データベースサーバ３０や管理者端末４０との間の通信を制御する手段である。 The communication control unit 201 is a means for controlling communication with the database server 30 and the administrator terminal 40.

ログパターン抽出部２０２は、監視対象装置５０から得られるエラーログそれぞれについてのフォーマットを特定し、特定したフォーマットのそれぞれをログパターンとして抽出する手段である。具体的には、ログパターン抽出部２０２は、エラーログを解析することでデータベースサーバ３０に登録されているログの記載形式（フォーマット）に関する種別を「ログパターン」として抽出する。例えば、ログパターン抽出部２０２は、エラーログに含まれるメッセージがメモリアクセスに関するものであるか、通信エラーに関するものであるかと言った種別をログパターンとして抽出する。抽出されたログパターンは、データベースサーバ３０に格納される。 The log pattern extraction unit 202 is a means for specifying the format of each error log obtained from the monitored device 50 and extracting each of the specified formats as a log pattern. Specifically, the log pattern extraction unit 202 extracts the type related to the description format (format) of the log registered in the database server 30 as a "log pattern" by analyzing the error log. For example, the log pattern extraction unit 202 extracts the type of the message included in the error log, such as whether it is related to memory access or a communication error, as a log pattern. The extracted log pattern is stored in the database server 30.

ログパターンリスト生成部２０３は、一日に含まれるエラーログそれぞれについて、上述のログパターンのいずれに該当するかを判定し、ログパターンからなるログパターンリストを生成する手段である。より具体的には、ログパターンリスト生成部２０３は、データベースサーバ３０に登録されているエラーログに関し、いずれのログパターンに一致するか判定し、日ごとのログパターンリストを生成する。即ち、ログパターンリスト生成部２０３は、データベースサーバ３０に格納されているエラーログ１件ごとに、先に抽出されたログパターンを対応させ、対応するログパターンを例えば、一日単位で整理する。生成されたログパターンリストは、データベースサーバ３０に格納される。 The log pattern list generation unit 203 is a means for determining which of the above-mentioned log patterns corresponds to each of the error logs included in one day, and generating a log pattern list composed of log patterns. More specifically, the log pattern list generation unit 203 determines which log pattern matches the error log registered in the database server 30, and generates a daily log pattern list. That is, the log pattern list generation unit 203 associates the previously extracted log patterns with each error log stored in the database server 30, and organizes the corresponding log patterns on a daily basis, for example. The generated log pattern list is stored in the database server 30.

ログ類似度計算部２０４は、障害発生時のエラーログと、インシデント発生日におけるログパターンリストと、に基づいて、障害発生時のエラーログとインシデント発生日におけるエラーログの類似度を計算する手段である。ログ類似度計算部２０４は、管理者端末４０から取得した障害発生時ログ（システム管理者が指摘したインシデント発生時のログ）と、日ごとに集計されたログパターンリストのうち過去にインシデントが発生した日のログパターンリストと、を比較して２つのログ集合の類似度（以下、ログ類似度と称する）を計算する。例えば、管理者端末４０から「２０１７年６月１日、１３：００〜１５：００」に含まれるエラーログ（障害発生時ログ）が提供されると、ログ類似度計算部２０４は、当該期間のエラーログと日ごとに集計されたログパターンリストのうち過去にインシデントが発生した日のログパターンリストを用いてログ類似度を計算する。なお、過去にインシデントが発生した日はデータベースサーバ３０に格納されている情報から得ることができる。計算されたログ類似度は、データベースサーバ３０に格納される。 The log similarity calculation unit 204 is a means for calculating the similarity between the error log at the time of failure and the error log at the date of incident based on the error log at the time of failure and the log pattern list on the date of occurrence of the incident. be. The log similarity calculation unit 204 has generated an incident in the past from the failure occurrence log (log at the time of the incident pointed out by the system administrator) acquired from the administrator terminal 40 and the log pattern list aggregated daily. The similarity between the two log sets (hereinafter referred to as log similarity) is calculated by comparing with the log pattern list of the day when the log pattern was created. For example, when the error log (failure occurrence log) included in "June 1, 2017, 13:00 to 15:00" is provided from the administrator terminal 40, the log similarity calculation unit 204 will perform the period. The log similarity is calculated using the error log of the above and the log pattern list of the day when the incident occurred in the past among the log pattern list aggregated for each day. The date when the incident occurred in the past can be obtained from the information stored in the database server 30. The calculated log similarity is stored in the database server 30.

解決策出力部２０５は、ログ類似度に基づいて、障害発生時のエラーログから推定されるインシデントの障害解決策を出力する手段である。 The solution output unit 205 is a means for outputting a failure solution of an incident estimated from an error log at the time of failure based on the log similarity.

［システムの動作］
続いて、第１の実施形態に係るインシデント管理システムの動作を説明する。 [System operation]
Subsequently, the operation of the incident management system according to the first embodiment will be described.

図４は、第１の実施形態に係るインシデント管理システムの動作の一例を示すシーケンス図である。 FIG. 4 is a sequence diagram showing an example of the operation of the incident management system according to the first embodiment.

障害監視装置１０は、監視対象装置５０を監視する（ステップＳ０１）。 The fault monitoring device 10 monitors the monitored device 50 (step S01).

障害監視装置１０は、監視対象装置５０にて障害が発生し、エラーログを検出すると、当該エラーログをデータベースサーバ３０のエラーログデータベース３０１に格納する（ステップＳ０２）。 When the fault monitoring device 10 detects an error log due to a failure in the monitored device 50, the fault monitoring device 10 stores the error log in the error log database 301 of the database server 30 (step S02).

図５は、エラーログデータベース３０１の一例を示す図である。図５に示すように、エラーログの発生日時とその際のメッセージ（ＭＳＧ；Message）がエラーログとして格納される。 FIG. 5 is a diagram showing an example of the error log database 301. As shown in FIG. 5, the date and time when the error log occurred and the message (MSG; Message) at that time are stored as the error log.

障害監視装置１０は、エラーログの取得とエラーログをデータベースサーバ３０に登録する処理を繰り返す。 The fault monitoring device 10 repeats the process of acquiring the error log and registering the error log in the database server 30.

障害解析支援装置２０のログパターン抽出部２０２は、予め定めた時刻に（毎日定刻に）、エラーログデータベース３０１に格納されている前日までのエラーログ全体からログパターンを抽出する（ステップＳ１１）。例えば、ログパターン抽出部２０２は、ログに含まれるメッセージの固定部分（固定メッセージ部分）と変数部分に着目し、ログパターンを抽出する。 The log pattern extraction unit 202 of the failure analysis support device 20 extracts a log pattern from the entire error log up to the previous day stored in the error log database 301 at a predetermined time (at a fixed time every day) (step S11). For example, the log pattern extraction unit 202 focuses on the fixed portion (fixed message portion) and the variable portion of the message included in the log, and extracts the log pattern.

例えば、図６（ａ）に示すように、メッセージ（ＭＳＧ）１は、「メモリアクセスエラー」という固定部分とエラーが生じたアドレスを示す「ＡＤＤ１」という変数部分により構成されているとする。また、図６（ｂ）に示すように、メッセージ２は、「メモリアクセスエラー」という固定部分と「ＡＤＤ２」という変数部分により構成されているとする。さらに、図６（ｃ）に示すように、メッセージ３は、「通信エラー」という固定部分と「０００１」という変数部分により構成されているとする。図６（ｃ）に示す「０００１」はエラーコードであり、通信エラーの内容により変化する値である。 For example, as shown in FIG. 6A, it is assumed that the message (MSG) 1 is composed of a fixed part called "memory access error" and a variable part called "ADD1" indicating the address where the error occurred. Further, as shown in FIG. 6B, it is assumed that the message 2 is composed of a fixed part called “memory access error” and a variable part called “ADD2”. Further, as shown in FIG. 6C, it is assumed that the message 3 is composed of a fixed part called "communication error" and a variable part called "0001". “0001” shown in FIG. 6C is an error code, which is a value that changes depending on the content of the communication error.

ログパターン抽出部２０２は、各メッセージ（図６の例では３つのメッセージ）を比較することで「メモリアクセスエラー」という固定部分を抽出する。即ち、メッセージにおける位置と内容が一致する場合に当該領域は固定部分として抽出される。また、ログパターン抽出部２０２は、固定部分に続く領域は、２つのメッセージ間で異なっているので当該固定部分に続く領域を変数部分として抽出する。 The log pattern extraction unit 202 extracts a fixed portion called "memory access error" by comparing each message (three messages in the example of FIG. 6). That is, when the position and the content in the message match, the area is extracted as a fixed portion. Further, since the area following the fixed portion is different between the two messages, the log pattern extraction unit 202 extracts the area following the fixed portion as the variable portion.

ログパターン抽出部２０２は、固定部分が一致し、且つ、変数部分が異なるメッセージの形態を１つのログフォーマットとして抽出する。 The log pattern extraction unit 202 extracts a message format in which fixed portions match and variable portions differ as one log format.

図６の例では、図６（ａ）と図６（ｂ）に示すメッセージは共に同じフォーマットにより記載されている判断され、１つのログフォーマットとして抽出される。一方、図６（ｃ）に示すメッセージは、図６（ａ）及び（ｂ）に示すメッセージとは異なるフォーマットを有すると判断され、別のログフォーマットとして抽出される。 In the example of FIG. 6, the messages shown in FIGS. 6 (a) and 6 (b) are both determined to be described in the same format and are extracted as one log format. On the other hand, the message shown in FIG. 6 (c) is determined to have a format different from the message shown in FIGS. 6 (a) and 6 (b), and is extracted as another log format.

ログパターン抽出部２０２は、エラーログデータベース３０１に格納されたエラーログを対象として上記処理を行い、ログフォーマット（ログパターン）を抽出する。 The log pattern extraction unit 202 performs the above processing on the error log stored in the error log database 301, and extracts the log format (log pattern).

抽出されたログフォーマットに関する情報は、ログパターンデータベース３０２に格納される。 Information about the extracted log format is stored in the log pattern database 302.

図７は、ログパターンデータベース３０２の一例を示す図である。図７に示すように、ログパターンデータベース３０２には、パターンの名称とその詳細（ログパターンフォーマットの詳細）が関連付けられて登録される。ログパターン抽出部２０２が定刻に動作することによって、監視開始日から前日までのエラーログに対して、対応するログパターンが抽出されることになる。 FIG. 7 is a diagram showing an example of the log pattern database 302. As shown in FIG. 7, the name of the pattern and its details (details of the log pattern format) are associated and registered in the log pattern database 302. When the log pattern extraction unit 202 operates on time, the corresponding log pattern is extracted from the error log from the monitoring start date to the previous day.

次に、障害解析支援装置２０のログパターンリスト生成部２０３は、ログパターンリストを生成する（ステップＳ１２）。 Next, the log pattern list generation unit 203 of the failure analysis support device 20 generates a log pattern list (step S12).

具体的には、ログパターンリスト生成部２０３は、エラーログデータベース３０１に格納されているエラーログが、先に抽出されたログパターンのいずれに該当するかを判定し、日ごとのログパターンからなるリスト（ログパターンリスト）を生成する。ログパターンリスト生成部２０３は、エラーログデータベース３０１から、一日分のエラーログを取り出す。ログパターンリスト生成部２０３は、取り出された一日分のログそれぞれに対して、ログパターンデータベース３０２に格納されたログパターンのいずれに該当するかを判定する。即ち、ログパターンリスト生成部２０３は、一日分のエラーログそれぞれに関し、ログパターンデータベース３０２に格納されたいずれのログパターンフォーマットを有するのか判定する。 Specifically, the log pattern list generation unit 203 determines which of the previously extracted log patterns the error log stored in the error log database 301 corresponds to, and is composed of daily log patterns. Generate a list (log pattern list). The log pattern list generation unit 203 retrieves one day's worth of error logs from the error log database 301. The log pattern list generation unit 203 determines which of the log patterns stored in the log pattern database 302 corresponds to each of the retrieved daily logs. That is, the log pattern list generation unit 203 determines which log pattern format stored in the log pattern database 302 is possessed for each error log for one day.

ログパターンリスト生成部２０３は、このような処理を監視開始日から前日（定期的に動作する時刻の前の日）までに対して行う。その結果、監視開始日から前日までの任意の日に対して、一日に発生したログパターンに関する一覧（リスト）が作成される。 The log pattern list generation unit 203 performs such processing from the monitoring start date to the day before (the day before the time of periodic operation). As a result, a list of log patterns that occur in one day is created for any day from the monitoring start date to the previous day.

なお、ログパターン抽出部２０２が抽出したログパターンが前日の結果と相違しない場合には、ログパターンリストの内容も変化することはない。従って、この場合、ログパターンリスト生成部２０３は、既に作成済みのログパターンリストを再生成する必要はなく、前日（ログパターンリストが未生成）のログパターンリストに限り生成すればよい。 If the log pattern extracted by the log pattern extraction unit 202 does not differ from the result of the previous day, the contents of the log pattern list do not change either. Therefore, in this case, the log pattern list generation unit 203 does not need to regenerate the already created log pattern list, and may generate only the log pattern list of the previous day (the log pattern list has not been generated).

ログパターンリストは、日ごとに区分されログパターンリストデータベース３０３に格納される。図８は、ログパターンリストデータベース３０３の一例を示す図である。図８を参照すると、日ごとに発生したログパターンリストが管理されている。 The log pattern list is divided by day and stored in the log pattern list database 303. FIG. 8 is a diagram showing an example of the log pattern list database 303. With reference to FIG. 8, the log pattern list generated every day is managed.

障害解析支援装置２０は、上記２つのステップを定刻に実行する。つまり、ログパターン抽出部２０２及びログパターンリスト生成部２０３は予め定めた時刻に動作してログパターンの抽出とログパターンリストの生成を定期的に行う。 The fault analysis support device 20 executes the above two steps on time. That is, the log pattern extraction unit 202 and the log pattern list generation unit 203 operate at a predetermined time to extract the log pattern and generate the log pattern list on a regular basis.

システムに障害が発生すると、システム管理者は、管理者端末４０を用いて障害発生前後のエラーログ（障害発生時ログ）をエラーログデータベース３０１から取得し、障害解析支援装置２０に入力する（ステップＳ２１）。 When a system failure occurs, the system administrator uses the administrator terminal 40 to acquire error logs (logs at the time of failure occurrence) before and after the failure from the error log database 301 and input them to the failure analysis support device 20 (step). S21).

当該入力を契機として、障害解析支援装置２０のログ類似度計算部２０４は、ログ類似度の計算を開始する。つまり、ログ類似度計算部２０４は、ユーザから障害発生日のエラーログが入力されると、ログ類似度の計算を開始する。 With the input as an opportunity, the log similarity calculation unit 204 of the failure analysis support device 20 starts the calculation of the log similarity. That is, the log similarity calculation unit 204 starts the calculation of the log similarity when the error log of the failure occurrence date is input from the user.

ログ類似度計算部２０４は、ログパターンデータベース３０２に格納された情報と、ログパターンリストデータベース３０３に格納された情報と、インシデント情報データベース３０４に格納された情報と、障害発生時ログと、を用いてログ類似度を計算する。 The log similarity calculation unit 204 uses the information stored in the log pattern database 302, the information stored in the log pattern list database 303, the information stored in the incident information database 304, and the failure log. And calculate the log similarity.

インシデント情報データベース３０４は、過去に発生したインシデントに関する情報を保持するデータベースである。図９は、インシデント情報データベース３０４の一例を示す図である。図９を参照すると、インシデントごとにその発生日と対応方法が関連付けられて登録されている。なお、インシデント情報データベース３０４の管理（情報の登録等）は、システム管理者により行われる。 The incident information database 304 is a database that holds information on incidents that have occurred in the past. FIG. 9 is a diagram showing an example of the incident information database 304. With reference to FIG. 9, each incident is registered in association with its occurrence date and response method. The management of the incident information database 304 (registration of information, etc.) is performed by the system administrator.

初めに、ログ類似度計算部２０４は、障害発生時ログに含まれるエラーログの総数（障害発生時のログ全体件数）をカウントする。次に、ログ類似度計算部２０４は、障害発生時ログの各ログに対応するログパターンを特定する。具体的には、ログ類似度計算部２０４は、ログパターンデータベース３０２からログパターンフォーマットの詳細を取得し、障害発生時ログに含まれるエラーログそれぞれがいずれのログパターンに該当するかを判定する。 First, the log similarity calculation unit 204 counts the total number of error logs included in the failure log (the total number of logs at the time of failure). Next, the log similarity calculation unit 204 specifies a log pattern corresponding to each log of the failure occurrence log. Specifically, the log similarity calculation unit 204 acquires the details of the log pattern format from the log pattern database 302, and determines which log pattern each error log included in the failure occurrence log corresponds to.

次に、ログ類似度計算部２０４は、インシデント情報データベース３０４にアクセスし、当該データベースに登録されたインシデントの発生日を取得する。次に、ログ類似度計算部２０４は、障害発生時ログに含まれるエラーログの総数に対する、各インシデント発生日のログパターンと障害発生時ログに含まれるエラーログのログパターンの一致数の割合を計算する。当該ログ総数に対する一致数の割合がログ類似度となる。 Next, the log similarity calculation unit 204 accesses the incident information database 304 and acquires the occurrence date of the incident registered in the database. Next, the log similarity calculation unit 204 calculates the ratio of the number of matches between the log pattern of each incident occurrence date and the error log log pattern included in the failure occurrence log to the total number of error logs included in the failure occurrence log. calculate. The ratio of the number of matches to the total number of logs is the log similarity.

例えば、障害発生時ログには５件のエラーログが含まれているものとする。さらに、当該５件のエラーログに関し、ログフォーマットを特定すると、パターン１、パターン２、パターン３、パターン４、パターン６というログパターンが特定されたものとする。 For example, it is assumed that the failure log contains five error logs. Further, when the log format is specified for the five error logs, it is assumed that the log patterns of pattern 1, pattern 2, pattern 3, pattern 4, and pattern 6 are specified.

続いて、図９に示すインシデント情報データベース３０４を確認すると、インシデント１の発生日は、２０１７年６月１日であることが分かる。そこで、ログ類似度計算部２０４は、２０１７年６月１日のログパターンリストを取得する。図８を参照すると、２０１７年６月１日には、５件のログパターンが登録されており、それぞれ、パターン１〜パターン５となっている。障害発生時ログのログパターンと２０１７年６月１日のログパターンの一致／不一致を確認すると、パターン１〜パターン４が一致している。従って、障害発生時ログに含まれるエラーログの総数に対する、インシデント発生日（２０１７年６月１日）のログパターンリストと障害発生時ログに含まれるエラーログのログパターンの一致数の割合を計算すると、４／５＊１００＝８０％となる。 Subsequently, when the incident information database 304 shown in FIG. 9 is confirmed, it can be seen that the date of occurrence of incident 1 is June 1, 2017. Therefore, the log similarity calculation unit 204 acquires the log pattern list of June 1, 2017. Referring to FIG. 8, five log patterns are registered on June 1, 2017, which are patterns 1 to 5, respectively. When the match / mismatch between the log pattern of the failure occurrence log and the log pattern of June 1, 2017 is confirmed, patterns 1 to 4 match. Therefore, the ratio of the number of matches between the log pattern list of the incident occurrence date (June 1, 2017) and the error log log pattern included in the failure occurrence log to the total number of error logs included in the failure occurrence log is calculated. Then, 4/5 * 100 = 80%.

続いて、図９に示すインシデント情報データベース３０４を確認すると、インシデント２の発生日は、２０１７年６月２日であることが分かる。そこで、ログ類似度計算部２０４は、２０１７年６月２日のログパターンリストを取得する。図８を参照すると、２０１７年６月２日には、５件のログパターンが登録されており、それぞれ、パターン６、パターン１０〜パターン１３となっている。従って、障害発生時ログに含まれるエラーログの総数に対する、インシデント発生日（２０１７年６月２日）のログパターンリストと障害発生時ログに含まれるエラーログのログパターンの一致数の割合を計算すると、１／５＊１００＝２０％となる。 Subsequently, when the incident information database 304 shown in FIG. 9 is confirmed, it can be seen that the occurrence date of the incident 2 is June 2, 2017. Therefore, the log similarity calculation unit 204 acquires the log pattern list of June 2, 2017. With reference to FIG. 8, five log patterns are registered on June 2, 2017, which are pattern 6, pattern 10 and pattern 13, respectively. Therefore, the ratio of the number of matches between the log pattern list of the incident occurrence date (June 2, 2017) and the error log log pattern included in the failure occurrence log to the total number of error logs included in the failure occurrence log is calculated. Then, 1/5 * 100 = 20%.

ログ類似度計算部２０４は、上記計算をインシデント情報データベース３０４に登録された各インシデントについて実行し、インシデントごとのログ類似度を計算する（全てのインシデントに関してログ類似度が計算される）。計算されたインシデントごとのログ類似度は、ログ類似度データベース３０５に格納される（図１０参照）。 The log similarity calculation unit 204 executes the above calculation for each incident registered in the incident information database 304, and calculates the log similarity for each incident (the log similarity is calculated for all incidents). The calculated log similarity for each incident is stored in the log similarity database 305 (see FIG. 10).

このように、ログ類似度計算部２０４は、システム管理者から障害発生時ログを取得するとログ類似度の計算を開始する。その際、ログ類似度計算部２０４は、システム管理者が指定した障害発生時ログと、インシデント情報データベース３０４に格納されている各インシデントから得られるインシデント発生日のログパターンリストを比較することで、各インシデントにおけるログ類似度を計算し、計算したログ類似度を、ログ類似度データベース３０５に格納する。また、ログ類似度は、障害発生時ログの全体件数のうち、障害発生時ログの各ログに対応するログパターンが、インシデント発生日のログパターンリストに含まれる件数の割合として計算される。 In this way, the log similarity calculation unit 204 starts the calculation of the log similarity when the log at the time of failure is acquired from the system administrator. At that time, the log similarity calculation unit 204 compares the failure occurrence log specified by the system administrator with the incident occurrence date log pattern list obtained from each incident stored in the incident information database 304. The log similarity in each incident is calculated, and the calculated log similarity is stored in the log similarity database 305. In addition, the log similarity is calculated as a ratio of the number of log patterns corresponding to each log of the failure occurrence log included in the log pattern list of the incident occurrence date in the total number of failure occurrence logs.

ログ類似度の計算が終了すると、解決策出力部２０５は、「障害解決策」を生成し、出力する（ステップＳ１４）。具体的には、解決策出力部２０５は、ログ類似度データベース３０５にアクセスし、最も類似度の高いインシデントを特定する。その後、解決策出力部２０５は、インシデント情報データベース３０４にアクセスし、最も類似度の高いインシデントに対応する「対処方法」のフィールドから対処方法を取得する。解決策出力部２０５は、取得した対処方法を「障害解決策」として外部に出力する。例えば、解決策出力部２０５は、障害解決策を印刷してもよいし、ネットワークを介して外部装置（例えば、管理者端末４０）に送信してもよい。 When the calculation of the log similarity is completed, the solution output unit 205 generates and outputs a "fault solution" (step S14). Specifically, the solution output unit 205 accesses the log similarity database 305 and identifies the incident with the highest similarity. After that, the solution output unit 205 accesses the incident information database 304 and acquires a coping method from the “Countermeasure” field corresponding to the incident having the highest degree of similarity. The solution output unit 205 outputs the acquired coping method as a "fault solution" to the outside. For example, the solution output unit 205 may print the failure solution or transmit it to an external device (for example, the administrator terminal 40) via the network.

以上のように、第１の実施形態に係る障害解析支援装置２０は、調査対象の障害に対して、過去インシデントとの類似度を障害発生前後のログと過去インシデント発生日の日次ログに関するフォーマットパターンを利用して計算する。さらに、障害解析支援装置２０は、類似度の高いインシデントの障害解決方法を「障害解決案」として提示する。その結果、インシデント情報を利用した障害解析支援装置であって、システムに障害が発生した場合に、適切な障害解決案を迅速に提示できる装置が提供出来る。 As described above, the failure analysis support device 20 according to the first embodiment formats the failure to be investigated in terms of similarity to the past incident with the log before and after the failure occurrence and the daily log of the past incident occurrence date. Calculate using patterns. Further, the fault analysis support device 20 presents a fault resolution method for incidents having a high degree of similarity as a “fault solution plan”. As a result, it is possible to provide a failure analysis support device that uses incident information and can promptly present an appropriate failure solution plan when a failure occurs in the system.

また、障害解析支援装置２０は、２つのログ集合の比較（類似度計算）を行う際に、エラーログの発生順序を考慮しない。エラーの発生順序を考慮すると、システム構成変更やシステム利用状況によって、同じログが繰り返し発生したり、発生順序が異なったり、新規ログが混入したりして、類似度が大きく変動してしまうためである。例えば、特許文献１に開示された技術におけるログパターンは、システム構成に関する詳細な知識を利用して、作成される必要がある。対して、第１の実施形態に係る障害解析支援装置２０では、期間が指定されることで機械的に過去ログ集合を作成することができ、ログ類似度の計算を容易に行うことができる。 Further, the failure analysis support device 20 does not consider the order in which error logs occur when comparing two log sets (similarity calculation). Considering the order of error occurrence, the same log may occur repeatedly, the order of occurrence may be different, or new logs may be mixed in depending on the system configuration change or system usage status, and the similarity may fluctuate greatly. be. For example, the log pattern in the technique disclosed in Patent Document 1 needs to be created by utilizing detailed knowledge about the system configuration. On the other hand, in the failure analysis support device 20 according to the first embodiment, the past log set can be mechanically created by designating the period, and the log similarity can be easily calculated.

さらに、特許文献２に開示された技術では、過去ログと障害時ログの比較において、因果関係（親子関係）を判定しているのに対して、第１の実施形態に係る障害解析支援装置２０では、そのような因果関係の判定は行わない。この点からも、ログ類似度の計算を容易に行うことができる。 Further, in the technique disclosed in Patent Document 2, the causal relationship (parent-child relationship) is determined in the comparison between the past log and the failure log, whereas the failure analysis support device 20 according to the first embodiment. Then, such a causal relationship is not determined. From this point as well, the log similarity can be easily calculated.

上記実施形態にて説明したインシデント管理システムの構成（図２）は例示であって、システムの構成を限定する趣旨ではない。例えば、データベースサーバ３０を使用せず、必要な情報は障害解析支援装置２０の内部に保持する形態であってもよい。あるいは、障害監視装置１０と障害解析支援装置２０の間で機能分担を行っても良い。例えば、障害監視装置１０がログパターンの抽出やログパターンリストの生成を行っても良い。 The configuration of the incident management system (FIG. 2) described in the above embodiment is an example, and is not intended to limit the configuration of the system. For example, the database server 30 may not be used, and the necessary information may be stored inside the failure analysis support device 20. Alternatively, the functions may be shared between the fault monitoring device 10 and the fault analysis support device 20. For example, the fault monitoring device 10 may extract a log pattern or generate a log pattern list.

ここで、ログは、情報／警告／異常（エラー）に分類される。そこで、障害発生時のログ全体のうち、異常ログ（エラーログ）の割合が高い等の事情がある場合には、異常ログだけを対象にログパターンを作成するのではなく、情報／警告／異常のすべてのログを対象にログパターンを作成して、類似度計算に利用してもよい。 Here, the log is classified into information / warning / abnormality (error). Therefore, if there is a situation such as a high ratio of error logs (error logs) in the entire log at the time of failure, instead of creating a log pattern only for the error logs, information / warning / abnormality You may create a log pattern for all the logs in the above and use it for similarity calculation.

上述の説明で用いた複数のフローチャートでは、複数の工程（処理）が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。 In the plurality of flowcharts used in the above description, a plurality of steps (processes) are described in order, but the execution order of the steps executed in each embodiment is not limited to the order of description. In each embodiment, the order of the illustrated steps can be changed within a range that does not hinder the contents, for example, each process is executed in parallel.

上記の説明により、本発明の産業上の利用可能性は明らかであるが、本発明は、システム運用管理などに好適に適用可能である。 Although the industrial applicability of the present invention is clear from the above description, the present invention is suitably applicable to system operation management and the like.

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
上述の第１の視点に係る障害解析支援装置のとおりである。
［付記２］
前記抽出部は、エラーログに含まれるメッセージの固定部分と変数部分を用いて前記ログパターンの抽出を行う、好ましくは付記１の障害解析支援装置。
［付記３］
前記抽出部及び前記生成部は予め定めた時刻に動作して前記ログパターンの抽出と前記ログパターンリストの生成を定期的に行う、好ましくは付記１又は２の障害解析支援装置。
［付記４］
前記抽出部は、前記監視対象装置の監視を開始した監視開始日から前記定期的に動作する時刻の前日までのエラーログを対象として、前記ログパターンを抽出する、好ましくは付記３の障害解析支援装置。
［付記５］
前記計算部は、前記障害発生時のエラーログに含まれるエラーログの総数に対する、前記インシデント発生日のログパターンと前記障害発生時のエラーログに含まれるエラーログのログパターンの一致数を、前記類似度として計算する、好ましくは付記１乃至４のいずれか一に記載の障害解析支援装置。
［付記６］
前記計算部は、ユーザから前記障害発生時のエラーログが入力されると、前記類似度の計算を開始する、好ましくは付記１乃至５のいずれか一に記載の障害解析支援装置。
［付記７］
前記出力部は、前記障害解決策を外部装置に出力する、好ましくは付記１乃至６のいずれか一に記載の障害解析支援装置。
［付記８］
上述の第２の視点に係るインシデント管理システムのとおりである。
［付記９］
上述の第３の視点に係る障害解析支援方法のとおりである。
［付記１０］
上述の第４の視点に係るプログラムのとおりである。
なお、付記８〜付記１０の形態は、付記１の形態と同様に、付記２の形態〜付記７の形態に展開することが可能である。 Some or all of the above embodiments may also be described, but not limited to:
[Appendix 1]
This is the fault analysis support device according to the first viewpoint described above.
[Appendix 2]
The extraction unit extracts the log pattern using the fixed portion and the variable portion of the message included in the error log, preferably the failure analysis support device of Appendix 1.
[Appendix 3]
The extraction unit and the generation unit operate at a predetermined time to periodically extract the log pattern and generate the log pattern list, preferably the failure analysis support device of Appendix 1 or 2.
[Appendix 4]
The extraction unit extracts the log pattern from the error log from the monitoring start date when the monitoring of the monitored device is started to the day before the time when the device is periodically operated, preferably the failure analysis support of Appendix 3. Device.
[Appendix 5]
The calculation unit determines the number of matches between the log pattern of the incident occurrence date and the error log log pattern included in the error log at the time of the failure with respect to the total number of error logs included in the error log at the time of the failure. The failure analysis support device according to any one of Supplementary notes 1 to 4, which is calculated as the degree of similarity.
[Appendix 6]
The calculation unit starts the calculation of the similarity when the error log at the time of occurrence of the failure is input from the user, preferably the failure analysis support device according to any one of Supplementary notes 1 to 5.
[Appendix 7]
The output unit outputs the failure solution to an external device, preferably the failure analysis support device according to any one of Supplementary notes 1 to 6.
[Appendix 8]
This is the incident management system according to the second viewpoint described above.
[Appendix 9]
This is the failure analysis support method according to the third viewpoint described above.
[Appendix 10]
This is the program related to the fourth viewpoint described above.
The forms of Appendix 8 to Appendix 10 can be expanded to the forms of Appendix 2 to Appendix 7 in the same manner as the form of Appendix 1.

なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。 Each disclosure of the above-mentioned patent documents cited shall be incorporated into this document by citation. Within the framework of the entire disclosure (including the scope of claims) of the present invention, it is possible to change or adjust the embodiments or examples based on the basic technical idea thereof. Further, various combinations or selections of various disclosure elements (including each element of each claim, each element of each embodiment or embodiment, each element of each drawing, etc.) within the framework of all disclosure of the present invention. Is possible. That is, it goes without saying that the present invention includes all disclosure including the scope of the claim, and various modifications and modifications that can be made by a person skilled in the art in accordance with the technical idea. In particular, with respect to the numerical range described in this document, it should be interpreted that any numerical value or small range included in the range is specifically described even if there is no other description.

１０障害監視装置
１１ＣＰＵ
１２メモリ
１３入出力インターフェイス
１４ＮＩＣ
２０、１００障害解析支援装置
３０データベースサーバ
４０管理者端末
５０監視対象装置
１０１抽出部
１０２生成部
１０３計算部
１０４出力部
２０１通信制御部
２０２ログパターン抽出部
２０３ログパターンリスト生成部
２０４ログ類似度計算部
２０５解決策出力部
３０１エラーログデータベース
３０２ログパターンデータベース
３０３ログパターンリストデータベース
３０４インシデント情報データベース
３０５ログ類似度データベース 10 Fault monitoring device 11 CPU
12 Memory 13 I / O interface 14 NIC
20, 100 Fault analysis support device 30 Database server 40 Administrator terminal 50 Monitored device 101 Extraction unit 102 Generation unit 103 Calculation unit 104 Output unit 201 Communication control unit 202 Log pattern extraction unit 203 Log pattern list generation unit 204 Log similarity calculation Part 205 Solution Output Part 301 Error Log Database 302 Log Pattern Database 303 Log Pattern List Database 304 Incident Information Database 305 Log Similarity Database

Claims

監視対象装置から得られるエラーログそれぞれについてのフォーマットを特定し、前記特定したフォーマットのそれぞれをログパターンとして抽出する、抽出部と、
一日に含まれるエラーログそれぞれについて、前記ログパターンのいずれに該当するかを判定し、前記ログパターンからなるログパターンリストを生成する、生成部と、
障害発生時のエラーログと、インシデント発生日における前記ログパターンリストと、に基づいて、前記障害発生時のエラーログと前記インシデント発生日におけるエラーログの類似度を計算する、計算部と、
前記類似度に基づいて、前記障害発生時のエラーログから推定されるインシデントの障害解決策を出力する、出力部と、
を備える、障害解析支援装置。 An extraction unit that specifies the format of each error log obtained from the monitored device and extracts each of the specified formats as a log pattern.
For each error log included in a day, a generator that determines which of the log patterns corresponds to and generates a log pattern list composed of the log patterns, and
Based on the error log at the time of failure occurrence and the log pattern list on the incident occurrence date, the calculation unit that calculates the similarity between the error log at the time of failure occurrence and the error log on the incident occurrence date.
An output unit that outputs an incident failure solution estimated from the error log at the time of the failure based on the similarity.
A fault analysis support device equipped with.

前記抽出部は、エラーログに含まれるメッセージの固定部分と変数部分を用いて前記ログパターンの抽出を行う、請求項１の障害解析支援装置。 The failure analysis support device according to claim 1, wherein the extraction unit extracts the log pattern using a fixed portion and a variable portion of a message included in the error log.

前記抽出部及び前記生成部は予め定めた時刻に動作して前記ログパターンの抽出と前記ログパターンリストの生成を定期的に行う、請求項１又は２の障害解析支援装置。 The failure analysis support device according to claim 1 or 2, wherein the extraction unit and the generation unit operate at a predetermined time to periodically extract the log pattern and generate the log pattern list.

前記抽出部は、前記監視対象装置の監視を開始した監視開始日から前記定期的に動作する時刻の前日までのエラーログを対象として、前記ログパターンを抽出する、請求項３の障害解析支援装置。 The failure analysis support device according to claim 3, wherein the extraction unit extracts the log pattern from the error log from the monitoring start date when the monitoring of the monitored device is started to the day before the time when the device is periodically operated. ..

前記計算部は、前記障害発生時のエラーログに含まれるエラーログの総数に対する、前記インシデント発生日のログパターンと前記障害発生時のエラーログに含まれるエラーログのログパターンの一致数を、前記類似度として計算する、請求項１乃至４のいずれか一項に記載の障害解析支援装置。 The calculation unit determines the number of matches between the log pattern of the incident occurrence date and the error log log pattern included in the error log at the time of the failure with respect to the total number of error logs included in the error log at the time of the failure. The failure analysis support device according to any one of claims 1 to 4, which is calculated as the degree of similarity.

前記計算部は、ユーザから前記障害発生時のエラーログが入力されると、前記類似度の計算を開始する、請求項１乃至５のいずれか一項に記載の障害解析支援装置。 The failure analysis support device according to any one of claims 1 to 5, wherein the calculation unit starts calculation of the similarity when an error log at the time of occurrence of the failure is input from the user.

前記出力部は、前記障害解決策を外部装置に出力する、請求項１乃至６のいずれか一項に記載の障害解析支援装置。 The failure analysis support device according to any one of claims 1 to 6, wherein the output unit outputs the failure solution to an external device.

監視対象装置に接続された障害監視装置と、
前記監視対象装置に発生するインシデントの解析を支援するための障害解析支援装置と、
前記障害解析支援装置に情報入力をする端末と、
を含み、
前記障害解析支援装置は、
前記監視対象装置から得られるエラーログそれぞれについてのフォーマットを特定し、前記特定したフォーマットのそれぞれをログパターンとして抽出する、抽出部と、
一日に含まれるエラーログそれぞれについて、前記ログパターンのいずれに該当するかを判定し、前記ログパターンからなるログパターンリストを生成する、生成部と、
障害発生時のエラーログと、インシデント発生日における前記ログパターンリストと、に基づいて、前記障害発生時のエラーログと前記インシデント発生日におけるエラーログの類似度を計算する、計算部と、
前記類似度に基づいて、前記障害発生時のエラーログから推定されるインシデントの障害解決策を出力する、出力部と、
を備える、インシデント管理システム。 The fault monitoring device connected to the monitored device and
A failure analysis support device for supporting the analysis of incidents that occur in the monitored device, and
A terminal that inputs information to the failure analysis support device,
Including
The fault analysis support device is
An extraction unit that specifies the format of each error log obtained from the monitored device and extracts each of the specified formats as a log pattern.
For each error log included in a day, a generator that determines which of the log patterns corresponds to and generates a log pattern list composed of the log patterns, and
Based on the error log at the time of failure occurrence and the log pattern list on the incident occurrence date, the calculation unit that calculates the similarity between the error log at the time of failure occurrence and the error log on the incident occurrence date.
An output unit that outputs an incident failure solution estimated from the error log at the time of the failure based on the similarity.
Incident management system with.

監視対象装置に発生するインシデントの解析を支援するための障害解析支援装置において、
前記監視対象装置から得られるエラーログそれぞれについてのフォーマットを特定し、前記特定したフォーマットのそれぞれをログパターンとして抽出するステップと、
一日に含まれるエラーログそれぞれについて、前記ログパターンのいずれに該当するかを判定し、前記ログパターンからなるログパターンリストを生成するステップと、
障害発生時のエラーログと、インシデント発生日における前記ログパターンリストと、に基づいて、前記障害発生時のエラーログと前記インシデント発生日におけるエラーログの類似度を計算するステップと、
前記類似度に基づいて、前記障害発生時のエラーログから推定されるインシデントの障害解決策を出力するステップと、
を含む、障害解析支援方法。 In the failure analysis support device to support the analysis of incidents that occur in the monitored device,
A step of specifying a format for each error log obtained from the monitored device and extracting each of the specified formats as a log pattern.
For each error log included in a day, a step of determining which of the log patterns corresponds to and generating a log pattern list composed of the log patterns, and
Based on the error log at the time of failure occurrence and the log pattern list on the incident occurrence date, the step of calculating the similarity between the error log at the time of failure occurrence and the error log on the incident occurrence date, and
Based on the similarity, the step of outputting the failure solution of the incident estimated from the error log at the time of the failure, and
Fault analysis support methods, including.

監視対象装置から得られるエラーログそれぞれについてのフォーマットを特定し、前記特定したフォーマットのそれぞれをログパターンとして抽出する処理と、
一日に含まれるエラーログそれぞれについて、前記ログパターンのいずれに該当するかを判定し、前記ログパターンからなるログパターンリストを生成する処理と、
障害発生時のエラーログと、インシデント発生日における前記ログパターンリストと、に基づいて、前記障害発生時のエラーログと前記インシデント発生日におけるエラーログの類似度を計算する処理と、
前記類似度に基づいて、前記障害発生時のエラーログから推定されるインシデントの障害解決策を出力する処理と、
を障害解析支援装置に搭載されたコンピュータに実行させるプログラム。 A process of specifying the format of each error log obtained from the monitored device and extracting each of the specified formats as a log pattern.
For each error log included in a day, a process of determining which of the log patterns corresponds to and generating a log pattern list composed of the log patterns, and
Based on the error log at the time of failure occurrence and the log pattern list on the incident occurrence date, the process of calculating the similarity between the error log at the time of failure occurrence and the error log on the incident occurrence date, and
Based on the similarity, the process of outputting the failure solution of the incident estimated from the error log at the time of the failure, and the process of outputting the failure solution of the incident.
Is a program that is executed by the computer installed in the fault analysis support device.