JP6572722B2 - 事象発生通知プログラム、事象発生通知方法、及び、事象発生通知装置 - Google Patents

Description

本発明は、事象発生通知プログラム、事象発生通知方法、及び、事象発生通知装置に関する。

情報処理システムは、障害等の事象が発生するとエラーや警告を示すメッセージ（エラーメッセージともいう）を出力する。情報処理システムからエラーメッセージが出力された場合、システム管理者は、エラーメッセージに基づいて、情報処理システムで発生している事象を特定する。

システム管理者は、例えば、出力されたエラーメッセージにしたがって、過去のエラーメッセージの履歴を検索し、一致したエラーメッセージに対応する事象を、情報処理システム上で発生している事象として特定する。そして、システム管理者は、特定した事象に応じて、情報処理システムに対する対処を行う。

過去の障害事例を検索する技術については、例えば、特許文献１に記載される。

特開２０１４−１３４９５６号公報

しかしながら、出力されたエラーメッセージにしたがって事象を特定する場合、複数の事象が特定される場合がある。つまり、同一のエラーメッセージが複数の事象に対応する場合があり、エラーメッセージに基づいて事象を特定することは容易ではない。

したがって、例えば、ノウハウを有するシステム管理者が、経験にしたがって、エラーメッセージに基づいて特定した複数の事象から、実際に発生している事象を特定する。このため、システム管理者がノウハウを有している必要があるとともに、事象を特定するために工数がかかる。

１つの側面では、本発明は、事象特定の精度を向上する事象発生通知プログラム、事象発生通知方法、及び、事象発生通知装置を提供することを目的とする。

第１の態様によれば、コンピュータに、情報処理システムから出力されたメッセージのログ情報を取得し、特定の事象の発生に応じて前記情報処理システムから出力される複数のメッセージについて出力順及び出力時間間隔が記憶された記憶部の前記出力順及び前記出力時間間隔と所定の時間差以内の出力時間間隔で、前記複数のメッセージが出力されたことを示す情報が、前記ログ情報に含まれることの検出に応じて、前記ログ情報に含まれる出力順及び出力時間間隔の複数のメッセージに対応する特定の事象が前記情報処理システム上で発生したことを通知する、ことを実行させる。

１つの側面では、事象特定の精度を向上できる。

本実施の形態における情報処理システムの一例を説明する図である。 図１に示したログ採取エージェント２０４が収集したログ情報に含まれるメッセージｍｓの一例を示す図である。 比較例における事象の特定処理を説明する図である。 本実施の形態の事象発生通知プログラムの処理の流れを説明するフローチャート図である。 本実施の形態における事象発生通知プログラムによる事象の特定例を示す第１の図である。 本実施の形態における事象発生通知プログラムによる事象の特定例を示す第２の図である。 本実施の形態における事象発生通知装置１００のハードウェア構成図である。 図７に示した事象発生通知装置１００のソフトウェアブロックの構成図、及び、情報処理システム２００（図１）のソフトウェアブロックの構成図を示す。 図７、図８で説明した対応情報データベース１２２の概要を説明する図である。 対応情報データベース１２２の一例を示す図である。 比較例における、複数のソフトウェアから出力されたメッセージに基づく事象の特定処理を説明する図である。 図７、図８で説明した、本実施の形態における事象発生通知プログラム１２１の事象発生通知処理を説明するフローチャート図である。 追加情報の各項目の係数の一例を示す図である。 図１２の工程Ｓ２２の処理を説明するフローチャート図である。 図１２の工程Ｓ２２の処理の概要を説明する図である。 図１２の工程Ｓ２３の処理を説明する図である。 本実施の形態における事象の特定処理の実施例を説明する第１の図である。 本実施の形態における事象の特定処理の実施例を説明する第２の図である。 本実施の形態における事象の特定処理の実施例を説明する第３の図である。 本実施の形態における事象の特定処理の実施例を説明する第４の図である。 対応情報データベース１２２に規定される事象の発生確率の一例を示す図である。

以下、図面にしたがって本発明の実施の形態について説明する。ただし、本発明の技術的範囲はこれらの実施の形態に限定されず、特許請求の範囲に記載された事項とその均等物まで及ぶものである。

［情報処理システム］
図１は、本実施の形態における情報処理システムの一例を説明する図である。図１に例示する情報処理システム２００は、垂直統合製品が動作するシステムである。垂直統合製品は、例えば、ハードウェア及びソフトウェアを最適に構成、設定して提供されるシステムを示す。垂直統合製品のソフトウェアは、例えば、オペレーションシステム、ミドルウェア、仮想環境、システム管理ソフト等のソフトウェアを含む。

図１に示す情報処理システム２００では、画面出力ソフトウェア２０１（ソフトウェアＡともいう）、業務処理ソフトウェア２０２（ソフトウェアＢともいう）、業務データベースシステム２０３（ソフトウェアＣともいう）、ログ採取エージェント２０４が動作する。以下、画面出力ソフトウェア２０１、業務処理ソフトウェア２０２、業務データベースシステム２０３をソフトウェアとも称する。

業務データベースシステム２０３は、業務処理ソフトウェア２０２が処理するデータをデータベースにしたがって記憶するとともに、データの参照、更新、追加、削除等のアクセス処理を行う。業務処理ソフトウェア２０２は、業務データベースシステム２０３に記憶されたデータを読み出して所定の処理を実行し、処理後のデータを業務データベースシステム２０３に更新する。

また、業務処理ソフトウェア２０２は所定の処理の結果を、画面出力ソフトウェア２０１に出力する。画面出力ソフトウェア２０１は、例えば、業務処理ソフトウェア２０２から出力された結果情報を、情報処理システム２００が備える画面等の出力装置に出力する。

各ソフトウェア（画面出力ソフトウェア２０１、業務処理ソフトウェア２０２、業務データベースシステム２０３）は、処理の結果に応じてメッセージを出力する。したがって、各ソフトウェアで障害や警告等の事象が発生した場合、ソフトウェア２０１〜２０３は、エラーや警告を示すメッセージを出力する。

また、ログ採取エージェント２０４は、各ソフトウェア２０１〜２０３が出力したメッセージを採取する。ログ採取エージェント２０４は、採取したメッセージをログ情報として、記憶媒体等に記憶する。システム管理者は、ログ採取エージェント２０４が収集したログ情報に基づいて、情報処理システム２００の状態を監視する。例えば、ログ情報がエラーや警告を示すメッセージを含む場合、システム管理者は、メッセージに基づいて情報処理システム２００で発生している事象を特定し、事象に応じた対処を行う。

［メッセージ］
図２は、図１に示したログ採取エージェント２０４が収集したログ情報に含まれるメッセージｍｓの一例を示す図である。図２に示すメッセージｍｓは、情報処理システム２００の業務データベースシステム２０３（図１）が出力したメッセージである。図２に示すメッセージは、メッセージ「<INFO> <xxx> - 新たな接続を受け付けました」、及び、メッセージ「<ERROR>メモリ不足が発生しました」を含む。

図１で説明したとおり、システム管理者は、図２に示すような、ログ情報に含まれるメッセージｍｓに基づいて、情報処理システム２００で発生している事象を特定する。例えば、システム管理者は、障害等の事象が発生した場合のメッセージの履歴を保持する。そして、システム管理者は、例えば、ログ情報に含まれるエラーや警告、情報等を示すメッセージｍｓにしたがって、メッセージ履歴を検索することによって、メッセージが一致する過去の事象に基づいて、情報処理システム２００で発生している事象を特定する。

［事象の特定］
図３は、比較例における事象の特定処理を説明する図である。図３に示すメッセージｍｓは、例えば、図２に例示したメッセージｍｓに対応する。なお、図２、図３は、複数のメッセージを例示するが、単一のメッセージであってもよい。

図３に示すように、２つの異なる事象が発生した場合におけるメッセージは、同一である場合がある。例えば、ソフトウェアから出力されるメッセージのバリエーションが少ない場合、異なる事象であっても同一のメッセージが出力される場合がある。したがって、ログ情報に含まれるメッセージｍｓが、メッセージ履歴内の複数の事象に対応する場合がある。図３の例によると、ログ情報に含まれるメッセージｍｓは２つの事象（事象Ａ、事象Ｂ）に対応する。

例えば、事象Ａは、事象「多数の接続が発生している」を示し、業務データベースシステム２０３（図１）に、許容量を超える多数の接続が発生した場合を示す。一方、事象Ｂは、事象「最大メモリ量の設定が小さい」を示し、業務データベースシステム２０３（図１）に設定したメモリ量が不足した場合を示す。

システム管理者は、特定した事象に応じて、情報処理システム２００に対する対処を行う。複数の事象が特定される場合、システム管理者は、メッセージｍｓに基づいて、情報処理システム２００で発生している事象を高精度に特定できす、適切な対処を行うことができない。

例えば、事象Ａが発生している場合、システム管理者は、業務データベースシステム２０３への接続数を低減するために、業務処理ソフトウェア２０２による業務データベースシステム２０３に対する処理を抑制する。一方、事象Ｂが発生している場合、業務データベースシステム２０３の最大メモリ量を増大させるために、当該最大メモリ量の設定を更新する。

このように、特定した事象に応じて、システム管理者が情報処理システム２００に対して行う対処は異なる。したがって、メッセージｍｓに基づいて適切に事象を特定できることが望ましい。

［本実施の形態の概要］
本実施の形態において、記憶部は、特定の事象の発生に応じて情報処理システム２００から出力される複数のメッセージについて出力順及び出力時間間隔を記憶する。また、本実施の形態における事象発生通知プログラムは、情報処理システム２００から出力されたメッセージのログ情報を取得する。

そして、事象発生通知プログラムは、記憶部に記憶された出力順及び出力時間間隔と所定の時間差以内の出力時間間隔で、複数のメッセージが出力されたことを示す情報が、ログ情報に含まれるか否かを判定する。そして、事象発生通知プログラムは、ログ情報に含まれることの検出に応じて、ログ情報に含まれる出力順及び出力時間間隔の複数のメッセージに対応する特定の事象が情報処理システム２００で発生したことを通知する。

事象に応じて出力される複数のメッセージが同一である場合であっても、当該複数のメッセージの出力順及び出力時間間隔は、事象に応じて異なるケースが高い。したがって、本実施の形態における事象発生通知プログラムは、予め、事象に応じて出力される複数のメッセージについて、出力順及び出力時間間隔を、事象ごとに記憶した記憶部を参照する。

これにより、事象発生通知プログラムは、ログ情報に含まれる複数のメッセージに加えて、複数のメッセージの出力順及び所定の時間差のずれ幅を含む出力時間間隔に基づくことにより、情報処理システム２００で発生している特定の事象を高精度に検出できる。

したがって、システム管理者が情報処理システム２００のノウハウを有していない場合であっても、コストを要することなく、情報処理システム２００上で発生している事象を高精度に特定することが可能になる。また、事象を簡易に特定することが可能になるため、事象に応じた対処を迅速に行うことが可能になる。

図４は、本実施の形態の事象発生通知プログラムの処理の流れを説明するフローチャート図である。

Ｓ１１：事象発生通知プログラムは、情報処理システム２００から出力されたメッセージのログ情報を取得する。ログ情報は、例えば、図１で説明した、ログ採取エージェント２０４が収集した各ソフトウェアのメッセージの集合を示す。事象発生通知プログラムは、ログ情報を逐一取得してもよいし、ログ情報を所定の間隔毎に取得してもよい。

Ｓ１２：事象発生通知プログラムは、対応情報データベース１２２（記憶部に対応）を参照し、対応情報データベース１２２に記憶された出力順及び出力時間間隔と所定の時間差以内の出力時間間隔で、複数のメッセージが出力されたことを示す情報が、ログ情報に含まれることを検出する。対応情報データベース１２２は、特定の事象の発生に応じて情報処理システム２００から出力される複数のメッセージについて出力順及び出力時間間隔を記憶する。

複数のメッセージの出力順は、複数のメッセージ間の出力の順番である。また、複数のメッセージの出力時間間隔は、一部のメッセージが繰り返し出力される場合における出力時刻の間隔や、複数のメッセージ間の出力時刻の間隔等を示す。出力時間間隔は、複数のメッセージのうち、一部のメッセージの出力時間間隔でもよい。また、出力時間間隔は、出力回数を含んでいてもよい。

また、出力時間間隔は、所定の時間差を有する。例えば、出力時間間隔「１０秒間隔」は、所定の時間差「２秒」を有する。したがって、出力時間間隔「１０秒間隔」のメッセージは、例えば、「８秒間隔」〜「１２秒間隔」のメッセージも含む。システム管理者は、例えば、実測値等に基づいて、出力時間間隔の所定の時間差を設定する。

メッセージの出力時間間隔は、情報処理システム２００やネットワーク等の負荷状態やタイミングに応じて、多少のずれ幅が生じる場合がある。したがって、出力時間間隔が所定の時間差を有することによって、出力時間が前後する場合であっても、対応情報データベース１２２の出力順及び出力時間間隔で複数のメッセージが出力されたことを示す情報が、ログ情報１２３に含まれることを、適切に検出可能になる。

Ｓ１３：事象発生通知プログラムは、ログ情報に含まれる出力順及び出力時間間隔の複数のメッセージに対応する、特定の事象が情報処理システム２００上で発生したことを通知する。具体的に、事象発生通知プログラムは、ログ情報に含まれる出力順及び出力時間間隔の複数のメッセージに対応して、対応情報データベース１２２上で規定された事象を検出し通知する。

このように、本実施の形態における事象発生通知プログラムは、複数のメッセージの出力順及び出力時間間隔に注目することによって、より高精度に事象を特定できる。これにより、事象発生通知プログラムは、情報処理システム２００からエラーや警告等を示すメッセージが出力された際に、事象を効率的に特定し、対処を迅速に行うことを可能にする。

次に、図５、図６にしたがって、本実施の形態における事象発生通知プログラムによる事象の特定例を説明する。

図５は、本実施の形態における事象発生通知プログラムによる事象の特定例を示す第１の図である。図５に示す複数のメッセージｍｓ−１は、第１のメッセージ「<INFO> <xxx> - 新たな接続を受け付けました」、及び、第２のメッセージ「<ERROR>メモリ不足が発生しました」を含む。

図５のメッセージｍｓ−１の例によると、第１のメッセージが約１０秒間隔で出力された後、第２のメッセージが出力される。即ち、複数のメッセージの出力順は、第１のメッセージ、第２のメッセージの順である。また、第１のメッセージの出力時間間隔は８秒〜１２秒である。

図３の例と同様にして、図５、図６の例において、第１、第２のメッセージは、２つの事象（事象Ａ及び事象Ｂ）に対応する。ただし、事象Ａと事象Ｂとは、第１のメッセージの出力時間間隔が異なる。

例えば、事象Ａにおける第１のメッセージの出力時間間隔は１０秒間隔を示し、所定の時間差は例えば２秒である。一方、事象Ｂにおける第１のメッセージの出力時間間隔は不等間隔を示す。したがって、事象発生通知プログラムは、対応情報データベース１２２に記憶された、事象Ａ、Ｂの複数のメッセージのうち、出力順及び出力時間間隔が図５に示す複数のメッセージと同一の事象Ａを、情報処理システム２００で発生している事象として特定する。

図６は、本実施の形態における事象発生通知プログラムによる事象の特定例を示す第２の図である。図６に示す複数のメッセージｍｓ−２は、図５の例と同様にして、第１のメッセージ「<INFO> <xxx> - 新たな接続を受け付けました」、及び、第２のメッセージ「<ERROR>メモリ不足が発生しました」を含む。

一方、図６のメッセージｍｓ−２の例によると、第１のメッセージが不等間隔に３回出力された後、第２のメッセージが出力される。即ち、複数のメッセージの出力順は、第１のメッセージ、第２のメッセージの順であって、第１のメッセージの出力時間間隔は不等間隔である。

したがって、事象発生通知プログラムは、対応情報データベース１２２に記憶された、事象Ａ、Ｂの複数のメッセージのうち、出力順及び出力時間間隔が図６に示す複数のメッセージと同一の事象Ｂを、情報処理システム２００で発生している事象として特定する。

図５、図６に示すように、事象に応じて出力されるメッセージｍｓ−１、ｍｓ−２が同一でも、メッセージｍｓ−１、ｍｓ−２の出力順や出力時間間隔は事象に応じて異なる場合がある。複数のメッセージの出力順及び出力時間間隔は、メッセージが出力された際のソフトウェアの処理内容や動作状態を表わす。したがって、事象に応じて、複数のメッセージが同一であっても、その出力順や出力時間間隔が異なっているケースが多い。

したがって、本実施の形態における事象発生通知プログラムは、メッセージだけでなく、メッセージの出力順及び出力時間間隔に注目することによって、簡易に、高精度に、事象を特定できる。

次に、図７にしたがって、本実施の形態における事象発生通知装置のハードウェア構成図を、図８にしたがって、本実施の形態における事象発生通知装置のソフトウェアブロック図を説明する。

［事象発生通知装置のハードウェア構成図］
図７は、本実施の形態における事象発生通知装置１００のハードウェア構成図である。事象発生通知装置１００は、例えば、ＣＰＵ（Central Processing Unit：ＣＰＵ）１０１、メインメモリ１１０や補助記憶装置１１１等を備えるメモリ１０２、通信インタフェース部１０３を有する。各部は、バス１０４を介して相互に接続する。

ＣＰＵ１０１は、バス１０４を介してメモリ１０２等と接続するとともに、事象発生通知装置１００全体の制御を行う。通信インタフェース部１０３は、情報処理システム２００（図１）等と接続し、データの送受信を行う。ＲＡＭ（Random Access Memory：ＲＡＭ）等を示すメインメモリ１１０は、ＣＰＵ１０１が処理を行うデータ等を記憶する。

補助記憶装置１１１は、ＣＰＵ１０１が実行するオペレーションシステムのプログラムを格納する領域（図示せず）や、事象発生通知プログラム格納領域１２１を有する。また、補助記憶装置１１１は、さらに、対応情報データベース格納領域１２２、ログ情報格納領域１２３を有する。補助記憶装置１１１は、ＨＤＤ（Hard disk drive：ＨＤＤ）、不揮発性半導体メモリ等を示す。

事象発生通知プログラム格納領域１２１の事象発生通知プログラム（以下、事象発生通知プログラム１２１と称する）は、ＣＰＵ１０１の実行によって、本実施の形態における事象の特定処理、及び、特定した事象の通知処理を実現する。

対応情報データベース格納領域１２２の対応情報データベース（以下、対応情報データベース１２２と称する）は、特定の事象の発生に応じて情報処理システム２００から出力される複数のメッセージについて出力順及び出力時間間隔を記憶する。対応情報データベース１２２の詳細は、図９、図１０にしたがって後述する。

ログ情報格納領域１２３のログ情報（以下、ログ情報１２３と称する）は、情報処理システム２００から出力されたメッセージ群を有する。ログ情報１２３は、例えば、図１に示したログ採取エージェント２０４が収集したメッセージを有する。

［事象発生通知装置のソフトウェアブロック図］
図８は、図７に示した事象発生通知装置１００のソフトウェアブロックの構成図、及び、情報処理システム２００（図１）のソフトウェアブロックの構成図を示す。図８に示す情報処理システム２００は、図１で説明したとおりである。図８において、図１で示したものと同一のものは、同一の記号で示す。

図７に示す事象発生通知プログラム１２１は、取得モジュール１３１と通知モジュール１３２とを有する。取得モジュール１３１は、情報処理システム２００のログ採取エージェント２０４が収集したメッセージ群を、ログ情報１２３として取得する。

通知モジュール１３２は、対応情報データベース１２２を参照する。通知モジュール１３２は、対応情報データベース１２２に記憶された、出力順及び出力時間間隔と所定の時間差以内の出力時間間隔で、複数のメッセージが出力されたことを示す情報が、ログ情報１２３に含まれることを検出する。また、通知モジュール１３２は、ログ情報１２３に含まれる、出力順及び出力時間間隔の複数のメッセージに対応する特定の事象が情報処理システム２００上で発生したことを通知する。

次に、図９、図１０にしたがって、本実施の形態における対応情報データベース１２２の一例を説明する。

［対応情報データベース１２２］
図９は、図７、図８で説明した対応情報データベース１２２の概要を説明する図である。なお、図９は、３つの事象の情報を例示するが、対応情報データベース１２２は多数の事象の情報を有してもよい。

図９に示す対応情報データベース１２２は、事象が発生に応じて出力された複数のメッセージについて追加情報を記憶する。本実施の形態における追加情報は、例えば、複数のメッセージの出力順、出力時間間隔、出力開始時刻、出力条件（付加情報）等を含む。なお、追加情報は、少なくとも出力順及び出力時間間隔を含んでいればよい。

出力順及び出力時間間隔は前述したとおりである。出力開始時刻は、複数の一連のメッセージの出力が開始される時刻である。事象によっては、所定の時刻に発生し、メッセージの出力開始時刻に特徴を有する場合がある。このため、出力順及び出力時間間隔に加えて、出力開始時刻が一致するか否かに基づいて事象を特定することによって、より高精度に事象を特定することが可能になる。

また、出力条件は、例えば、メッセージが含む付加情報等である。例えば、メッセージによっては、付加情報として、処理を指示したユーザの情報や、障害が発生した箇所を特定可能な位置（アドレス）情報等を含む。このため、出力順及び出力時間間隔に加えて、付加情報が一致するか否かに基づいて事象を特定することによって、より高精度の事象を特定することが可能になる。

図１０は、対応情報データベース１２２の一例を示す図である。図１０における、各事象のメッセージは、例えば、図１に示したソフトウェアＡ〜Ｃそれぞれから出力されたメッセージを示す。ただし、この例に限定されるものではない。各事象のメッセージは、１つのソフトウェア（例えば、ソフトウェアＡのみ）から出力されたメッセージであってもよい。

図１０の例によると、項目「１」の事象が発生した場合、ソフトウェアＡからメッセージ「“項目なし”(検索結果が 0 件)」が出力され、ソフトウェアＢからメッセージ「<エラー>ネットワークとの接続が切断された」が出力される。また、ソフトウェアＣからメッセージ「<INFO> <xxx> - 新たな接続を受け付けました」、「<エラー>メモリ不足が発生しました」が出力される。

また、項目「１」の事象が発生した場合におけるメッセージの出力順は、ソフトウェアＣ、ソフトウェアＢ、ソフトウェアＡ、ソフトウェアＣである。また、ソフトウェアＡ、Ｂの出力時間間隔は、「繰り返し無」を示し、ソフトウェアＣのメッセージ「<INFO> <xxx> - 新たな接続を受け付けました」の出力時間間隔は、「１０秒間隔」である。項目「１」は、事象「多数の接続が発生している」場合を示し、項目「１」の事象を事象Ａとも称する。

また、図１０の例によると、項目「２」の事象が発生した場合に、ソフトウェアＡ〜Ｃから出力されるメッセージは、項目「１」と同様である。また、項目「２」の事象が発生した場合のメッセージの出力順は、ソフトウェアＣ、ソフトウェアＢ、ソフトウェアＡである。また、ソフトウェアＡ、Ｂの出力時間間隔は、「繰り返し無」を示し、ソフトウェアＣのメッセージ「<INFO> <xxx> - 新たな接続を受け付けました」の出力時間間隔は「不等間隔」である。項目「２」は、事象「最大メモリ量の設定が小さい」場合を示し、項目「２」の事象を事象Ｂとも称する。

また、図１０の例によると、項目「３」の事象が発生した場合、ソフトウェアＡからメッセージ「<エラー>ネットワークとの接続が切断されました」、「“項目なし”(検索結果が 0 件)」が出力される。また、ソフトウェアＢからメッセージ「<エラー>ネットワーク＜ｚｚｚ＞との接続が切断された」が出力される。また、ソフトウェアＣからメッセージ「<INFO> <xxx> - 新たな接続を受け付けました」、「<エラー>メモリ不足が発生した」が出力される。

また、項目「３」の事象が発生した場合におけるメッセージの出力順は、ソフトウェアＣ、ソフトウェアＡ、ソフトウェアＢ、ソフトウェアＣである。また、ソフトウェアＡ〜Ｃの出力時間間隔は、「繰り返し無」を示す。このように、追加情報は、繰り返し出力されないこと、即ち、１回のみ出力される旨の情報を、出力時間間隔として有していてもよい。また、ソフトウェアＢのメッセージの出力条件（付加情報）は、情報「ｚｚｚ」である。

項目「３」は、事象「ソフトウェアＡとＢの間でネットワークで遅延発生」した場合を示し、項目「３」の事象を事象Ｃとも称する。

また、図１０の例によると、項目「４」の事象が発生した場合、ソフトウェアＡからメッセージ「“項目なし”(検索結果が 0 件)」が出力される。また、ソフトウェアＢからメッセージ「<警告> 無応答時間がタイムアウト制限に達しました」、「<エラー>ネットワークとの接続が切断された」が出力される。また、ソフトウェアＣからメッセージ「<INFO> <xxx> - 新たな接続を受け付けました」、「<エラー>メモリ不足が発生した」が出力される。

また、項目「４」の事象が発生した場合におけるメッセージの出力順は、ソフトウェアＣ、ソフトウェアＢ、ソフトウェアＡ、ソフトウェアＣである。また、ソフトウェアＡ〜Ｃの出力時間間隔は、「繰り返し無」を示す。メッセージの出力開始時刻は、時刻「15:00:00」から１０分間の期間を示す。項目「４」は、事象「ソフトウェアＣの高負荷（スローダウン）」場合を示し、項目「４」の事象を事象Ｄとも称する。

なお、対応情報データベース１２２は、必ずしも、ログ情報１２３に含まれるメッセージと同一のメッセージを記憶していなくてもよい。対応情報データベース１２２が記憶するメッセージは、各メッセージの一部の情報であってもよい。一部の情報に基づいて同一のメッセージであることが判定可能である場合があるため、対応情報データベース１２２は、同一のメッセージであることを示す、一部の情報を記憶してればよい。

ここで、図７、図８に示した事象発生通知プログラム１２１の処理の詳細を説明する前に、情報処理システム２００上で複数のソフトウェアが動作する場合における課題をさらに説明する。

［複数のソフトウェア］
本実施の形態では、図１に示したように、情報処理システム２００上で複数のソフトウェア２０１〜２０３（ソフトウェアＡ〜Ｃともいう）が動作してもよい。この場合、情報処理システム２００上で障害等が発生した場合、ログ情報１２３は、複数のソフトウェアＡ〜Ｃから出力されたメッセージを含む。

情報処理システム２００で複数のソフトウェアが動作する場合、それぞれのソフトウェアごとに異なる事象が発生している場合がある。または、複数の事象が発生している場合がある。したがって、情報処理システム２００で複数のソフトウェアＡ〜Ｃが動作する場合、事象を適切に特定することは容易ではない。

図１１は、比較例における、複数のソフトウェアから出力されたメッセージに基づく事象の特定処理を説明する図である。図１１に示すログ情報３２３は、各ソフトウェアＡ〜Ｃから出力されたメッセージを含む。

システム管理者が全てのソフトウェアのノウハウを有することは容易ではなく、ソフトウェアに応じて管理者が異なる場合が多い。したがって、各ソフトウェアの担当のシステム管理者が、各ソフトウェアのメッセージに基づいて、事象を特定する。

具体的に、ソフトウェアＡを担当するシステム管理者は、ソフトウェアＡのメッセージにしたがって、ソフトウェアＡのメッセージの履歴３００ａを検索することによって、事象１〜事象３を特定する。同様に、ソフトウェアＢを担当するシステム管理者は、ソフトウェアＢのメッセージにしたがって、ソフトウェアＢのメッセージの履歴３００ｂを検索することによって、事象１を特定する。

さらに、ソフトウェアＣを担当するシステム管理者は、ソフトウェアＣのメッセージにしたがって、ソフトウェアＣのメッセージの履歴３００ｃを検索することによって、事象１、事象３を特定する。

このように、ソフトウェア別に事象を特定する場合、ソフトウェアに応じて異なる事象が特定される場合がある。また、図２、図３にしたがって前述したとおり、各ソフトウェアについて、メッセージ（ソフトウェアＡのメッセージ）に基づいて複数の事象（例えば、事象１〜３）が特定される場合がある。

したがって、情報処理システム２００上で実際に発生している事象を特定する場合、複数のソフトウェアのノウハウを有するシステム管理者が、ソフトウェアごとに特定された各事象に基づいて事象の判定を行う。ただし、複数のソフトウェアに精通したシステム管理者による判定処理はコストを要する。このように、情報処理システム２００上で複数のソフトウェアが動作する場合における、事象の特定は困難である。

本実施の形態における事象発生通知プログラム１２１の処理は、情報処理システム２００で複数のソフトウェアが動作し、ログ情報１２３が複数のソフトウェアから出力されたメッセージを含む場合についても有効である。

情報処理システム２００における障害状態は、複数のソフトウェア間で連動して発生する場合がある。複数のメッセージの出力順及び出力時間間隔は、メッセージが出力された際の、複数のソフトウェアの処理内容や動作状態を表わす。したがって、事象に応じて、複数のメッセージが同一であっても、複数のソフトウェアによる一連のメッセージの、出力順及び出力時間間隔が異なっている場合が多い。

したがって、本実施の形態における事象発生通知プログラム１２１は、さらに、異なるソフトウェアから出力された各メッセージ間の出力順及び出力時間間隔に基づいて、１つまたは複数の事象を特定する。これにより、事象発生通知プログラム１２１は、ログ情報１２３が複数のソフトウェアＡ〜Ｃから出力されたメッセージを含む場合に、情報処理システム２００で発生している１つまたは複数の事象を、簡易に、高精度に特定できる。

以下、本実施の形態では、情報処理システム２００で複数のソフトウェアＡ〜Ｃが動作する場合を例示する。

次に、図１２〜図１６にしたがって、図７、図８に示した事象発生通知プログラム１２１の処理の詳細を説明する。また、図１７〜図２０にしたがって、事象発生通知プログラム１２１の処理の実施例を説明する。

［事象発生通知プログラム１２１の処理］
図１２は、図７、図８で説明した、本実施の形態における事象発生通知プログラム１２１の事象発生通知処理を説明するフローチャート図である。

Ｓ２１：取得モジュール１３１は、ログ採取エージェント２０４が収集したメッセージ群を、ログ情報１２３（図７）として取得する。取得モジュール１３１は、ログ採取エージェント２０４が収集したメッセージを、逐一取得してもよいし、所定の間隔毎に取得してもよい。

また、取得モジュール１３１は、例えば、ログ情報１２３にエラーや警告、所定の情報等を示すメッセージが含まれることの検出に応じて、工程Ｓ２２以降の処理を通知モジュール１３２に指示する。

Ｓ２２：通知モジュール１３２は、指示に応じて、対応情報データベース１２２に規定される複数のメッセージのうち、ログ情報１２３内に所定の値（第２の基準値）以上の度合いで合致する複数のメッセージを検出する。工程Ｓ２２の処理の詳細は、図１４のフローチャート図にしたがって後述する。

Ｓ２３：通知モジュール１３２は、工程Ｓ２２で検出した対応情報データベース１２２の複数のメッセージの追加情報の少なくとも出力順及び出力時間間隔が、ログ情報１２３内の複数のメッセージと一致するか否かを判定する。前述したとおり、出力時間間隔は所定の時間差を有する。

ログ情報１２３内の複数のメッセージは、例えば、タイムスタンプ等の時刻情報を有する。したがって、通知モジュール１３２は、各メッセージの時刻情報に基づいて、メッセージの出力順及び出力時間間隔、出力開始時刻を取得できる。また、通知モジュール１３２は、各メッセージが含む情報に基づいて、メッセージの出力条件を取得できる。

Ｓ２４：出力順及び出力時間間隔が一致する場合（Ｓ２３のＹｅｓ）、対応情報データベース１２２に記憶された出力順及び出力時間間隔と所定の時間差以内の出力時間間隔で複数のメッセージが出力されたことを示す情報が、ログ情報１２３に含まれることを示す。したがって、通知モジュール１３２は、ログ情報１２３に含まれることを検出した、対応情報データベース１２２の情報に対応する事象を、情報処理システム２００上で発生している事象として特定する。

そして、通知モジュール１３２は、例えば、特定した事象を、事象発生通知装置１００（図７）の表示装置（図７に図示せず）等に通知する。または、通知モジュール１３２は、特定した事象を、情報処理システム２００やシステム管理者の端末装置等に通知してもよい。

Ｓ２５：出力順及び出力時間間隔が一致しない場合（Ｓ２３のＮｏ）、通知モジュール１３２は、対応情報データベース１２２に規定されていない事象が発生していることを、表示装置等に通知する。そして、通知モジュール１３２は、例えば、メッセージに基づいてシステム管理者等が調査して特定した事象に関連付けて、複数のメッセージについての追加情報を対応情報データベース１２２に新たに登録する。

即ち、通知モジュール１３２は、別の特定の事象の発生に応じて情報処理システムから出力される複数のメッセージについて出力順及び出力時間間隔が記憶部に記憶されていない場合、当該複数のメッセージについて出力順及び出力時間間隔を、記憶部に記憶する。したがって、通知モジュール１３２は、新規の事象を検知した場合に、複数のメッセージの追加情報を対応情報データベース１２２に登録して更新する。

これにより、新規の事象と同事象が再発した場合、通知モジュール１３２は、更新した対応情報データベース１２２を参照することによって、新規の事象を適切に特定できる。このように、情報処理システム２００の運用過程で、対応情報データベース１２２を、順次更新して保持することによって、新規の事象が発生した場合であっても、恒常的に高精度に事象を特定できる。

図１２のフローチャート図に示すように、通知モジュール１３２は、対応情報データベース１２２（記憶部）の複数のメッセージが出力されたことを示す情報がログ情報１２３に含まれる度合いをそれぞれ算出する。そして、通知モジュール１３２は、度合いが第２の基準値を超える記憶部の複数のメッセージの出力順及び出力時間間隔が所定の時間差以内の出力時間間隔で、ログ情報１２３に含まれる複数のメッセージと一致する場合に、ログ情報１２３に含まれることを検出する。

つまり、通知モジュール１３２は、ログ情報１２３に含まれる複数のメッセージと、所定の度合い以上合致する、対応情報データベース１２２の複数のメッセージを対象として、出力順及び出力時間間隔の判定を行う。これにより、通知モジュール１３２は、ログ情報１２３内のメッセージに一部の欠落や相違が生じている場合であっても、対応情報データベース１２２の出力順及び出力時間間隔の複数のメッセージが、ログ情報１２３に含まれるか否かを適切に判定できる。

これにより、通知モジュール１３２は、対応情報データベース１２２の情報のうち、ログ情報１２３に含まれる、出力順及び出力時間間隔の複数のメッセージを適切に検出できる。したがって、通知モジュール１３２は、情報処理システム２００で発生している事象を高精度に特定できる。

また、本実施の形態における記憶部（対応情報データベース１２２）は、複数のメッセージの出力開始時刻、複数のメッセージに付加された付加情報のいずれかをさらに記憶する。そして、通知モジュール１３２は、記憶部の、出力順及び出力時間間隔に加えて、出力開始時刻、付加情報のいずれかが一致する複数のメッセージが出力されたことを示す情報が、ログ情報に含まれることを検出する。

このように、通知モジュール１３２は、出力順及び出力時間間隔に加えて、出力開始時刻、付加情報（出力条件に対応）等に注目して、事象を特定する。これにより、通知モジュール１３２は、メッセージが同一である複数の事象から、情報処理システム２００で発生している事象を高精度に特定できる。また、通知モジュール１３２は、出力開始時刻や、付加情報に特徴がある事象が発生した場合に、情報処理システム２００で発生している事象を高精度に特定できる。

（Ｓ２３：追加情報の各項目の第１の係数）
なお、通知モジュール１３２は、工程Ｓ２３において、追加情報に含まれるそれぞれの項目に重み係数を適用してもよい。即ち、出力順及び出力時間間隔と、出力開始時刻、付加情報いずれかまたは両方、の項目それぞれはそれぞれ第１の係数を有する。

そして、通知モジュール１３２は、記憶部の複数のメッセージが出力されたことを示す情報がログ情報１２３に含まれる場合に、項目の一致に応じて当該項目に対応する第１の係数を加算して合計値を算出する。通知モジュール１３２は、合計値が第１の基準値を超える場合に、ログ情報１２３に含まれることを検出する。記憶部は、対応情報データベース１２２に対応する。

これにより、事象発生通知プログラム１２１は、複数のメッセージが出力されたことを示す情報がログ情報１２３に含まれる複数の事象のうち、追加情報の合致度に基づいて、情報処理システム２００で発生している事象をより高精度に特定できる。また、事象発生通知プログラム１２１は、複数の事象が特定される場合、追加情報の一致度に基づいて、複数の事象の間の、事象の発生確率の順位を判定できる。

図１３は、追加情報の各項目の係数の一例を示す図である。図１３の例によると、メッセージの出力順及び出力時間間隔に対する係数は、値「１．０」である。また、メッセージの出力開始時刻に対する係数は、値「０．５」であって、メッセージの出力条件の係数は、値「０．３」である。

本実施の形態における第１の基準値は、値「１．０」である。システム管理者は、例えば、出力順及び出力時間間隔が一致した場合における係数の合計値を、第１の基準値として設定する。したがって、出力順及び出力時間間隔が一致しない場合、他の項目が一致した場合であっても、係数の合計値は、第１の基準値に達しない。

このように、通知モジュール１３２は、各項目の係数の合計値を基準値と比較する。これにより、通知モジュール１３２は、出力順及び出力時間間隔（所定の時間差を含む）が一致する場合に、対応情報データベース１２２に、ログ情報１２３の出力順及び出力時間間隔が同一の複数のメッセージが含まれることを適切に検出できる。

また、出力順及び出力時間間隔に加えて、出力開始時刻が一致した場合、重み係数の合計値は、値「１．５（＝１．０＋０．５）」である。一方、出力順及び出力時間間隔に加えて、出力条件が一致した場合、重み係数の合計値は、値「１．３（＝１．０＋０．３）」である。したがって、通知モジュール１３２は、追加情報の項目の一致度合いに応じて、複数の事象間で、実際に発生している確率がより高い事象を特定できる。

次に、図１４にしたがって図１２に示したフローチャート図の工程Ｓ２２の処理を詳細を説明する。

［図１２の工程Ｓ２２］
図１４は、図１２の工程Ｓ２２の処理を説明するフローチャート図である。前述したとおり、通知モジュール１３２は、工程Ｓ２２として、対応情報データベース１２２に規定される複数のメッセージのうち、ログ情報１２３内に所定の値（第２の基準値）以上の度合いで合致する複数のメッセージを検出する。

Ｓ３１：通知モジュール１３２は、対応情報データベース１２２に規定された、複数のメッセージと、ログ情報１２３内のメッセージとを照合する。

Ｓ３２：通知モジュール１３２は、対応情報データベース１２２に記憶された複数のメッセージと、ログ情報１２３内のメッセージとの合致度を算出する。前述したとおり、環境や事象の内容に応じて、複数のメッセージの一部が欠落する場合や異なる場合がある。したがって、通知モジュール１３２は、対応情報データベース１２２に規定された複数のメッセージについて、ログ情報１２３内のメッセージとの合致度を算出する。

Ｓ３３：通知モジュール１３２は、工程Ｓ３２で算出した合致度が、第２の基準値を超える複数のメッセージを抽出する。これにより、通知モジュール１３２は、複数のメッセージの全てが一致していない場合であっても、所定の度合い以上で一致する複数のメッセージを、対応情報データベース１２２から適切に検出できる。本実施の形態における第２の基準値は、例えば、６０％である。

（Ｓ３３：ソフトウェアごとの第２の係数）
なお、通知モジュール１３２は、工程Ｓ３３において、ソフトウェア別に設定した係数を適用して、メッセージの合致度を算出してもよい。即ち、ソフトウェアはそれぞれ第２の係数を有する。そして、通知モジュール１３２は、記憶部の複数のメッセージに含まれる各メッセージのうち、ログ情報１２３に含まれるメッセージについて、当該メッセージの出力元のソフトウェアに対応する第２の係数を適用し、度合いを算出する。記憶部は、対応情報データベース１２２に対応する。

システム管理者は、例えば、事象に応じてメッセージが異なる度合い等に基づいて、ソフトウェアごとの第２の係数を設定する。例えば、本実施の形態において、ソフトウェアＢのメッセージは、事象に応じてメッセージが異なる度合いが大きい。つまり、ソフトウェアＢのメッセージが一致している場合、当該メッセージに対応する事象が発生している可能性が高い。したがって、システム管理者は、ソフトウェアＢの係数を、ソフトウェアＡ、Ｃに対して大きい値に設定する。

本実施の形態例におけるソフトウェアＡの係数は「２０％」、ソフトウェアＢの係数は「５０％」、ソフトウェアＣの係数は「２０％」である。そして、通知モジュール１３２は、式「｛（ソフトウェアＡのメッセージの合致×２０％）＋（ソフトウェアＢのメッセージの合致×５０％）＋（ソフトウェアＣのメッセージの合致×３０％）｝」にしたがって、合致度を算出する。

これにより、通知モジュール１３２は、事象に応じてメッセージが異なるソフトウェアから出力されたメッセージが合致した場合の合致度を、より大きい値にすることができる。つまり、通知モジュール１３２は、ソフトウェアＢのメッセージが一致する場合に、より大きい値の合致度を算出できる。

前述したとおり、通知モジュール１３２は、合致度が所定の基準値を超える場合に、対応情報データベース１２２に規定された複数のメッセージが出力されたことを示す情報が、ログ情報１２３に含まれることを適切に検出する。したがって、通知モジュール１３２は、ソフトウェアごとに異なる第２の係数を適用することによって、より高精度に、事象を特定することができる。

（図１２の工程Ｓ２２の処理の概要）
図１５は、図１２の工程Ｓ２２の処理の概要を説明する図である。図１５は、図１０に示した対応情報データベース１２２の情報を模式的に表す図である。図１５に示す、対応情報データベース１２２に規定された各メッセージを示す楕円のうち、斜線で示す楕円はログ情報１２３に含まれるメッセージを示し、白抜きで示す楕円はログ情報１２３に含まれないメッセージを示す。

図１５は、ソフトウェアＡがメッセージ「“項目なし”(検索結果が 0 件)」を、ソフトウェアＢがメッセージ「ネットワークとの接続が切断された」を出力した場合を例示する。また、ソフトウェアＣは、メッセージ「<INFO> <xxx> -新たな接続を受け付けました」、及び、「<エラー>メモリ不足が発生しました」を出力する。

これらのメッセージを図１０に示した対応情報データベース１２２と照合すると、項目「１」「２」の複数のメッセージの全てと一致する。したがって、通知モジュール１３２は、項目「１」「２」のメッセージと、ログ情報１２３内のメッセージとの合致度として、値「１００％（＝２０＋５０＋３０）」を算出する。

一方、項目「３」における複数のメッセージのうち、ソフトウェアＢ、Ｃのメッセージが一致し、ソフトウェアＡのメッセージは一部のみが一致する。したがって、通知モジュール１３２は、項目「３」のメッセージとログ情報１２３内のメッセージとの合致度として、値「８０％（＝５０＋３０）」を算出する。

また、項目「４」における複数のメッセージのうち、ソフトウェアＡ、Ｃのメッセージが一致し、ソフトウェアＢのメッセージは一部のみが一致する。したがって、通知モジュール１３２は、項目「４」のメッセージとログ情報１２３内のメッセージとの合致度として、値「５０％（＝２０＋３０）」を算出する。

同様にして、項目「５」（図１０に図示せず）における複数のメッセージのうち、例えば、ソフトウェアＣのメッセージのみが一致する。したがって、通知モジュール１３２は、項目「５」のメッセージとログ情報１２３内のメッセージとの合致度として、値「３０％」を算出する。

前述したとおり、本実施の形態における第２の基準値は、例えば、６０％である。したがって、通知モジュール１３２は、対応情報データベース１２２に規定される各項目のうち、ログ情報１２３内に第２の基準値「６０％」以上の度合いで合致する、項目「１」〜「３」の複数のメッセージを検出する。

一方、仮に、各ソフトウェアのメッセージに第２の係数を適用しない場合、項目「３」、「４」の複数のメッセージの合致度は、例えば、値「６６％」となる。したがって、通知モジュール１３２は、項目「１」〜「４」の複数のメッセージを検出する。

このように、通知モジュール１３２は、ソフトウェアごとに異なる係数を適用して合致度を算出することによって、対応情報データベース１２２内の複数のメッセージが出力されたことを示す情報が、ログ情報１２３に含まれることをより高精度に検出できる。これにより、通知モジュール１３２は、より適切に、事象を特定することができる。

また、通知モジュール１３２は、合致度が第２の基準値を超える項目の複数のメッセージを検出することによって、ログ情報１２３が一部のメッセージの欠落や相違を有する場合であっても、ログ情報１２３に含まれる複数のメッセージを適切に検出できる。

（図１２の工程Ｓ２３の処理の概要）
図１６は、図１２の工程Ｓ２３の処理を説明する図である。図１６は、図１５と同様にして、図１０に示した対応情報データベース１２２の情報を模式的に表す。前述したとおり、通知モジュール１３２は、工程Ｓ２３として、対応情報データベース１２２の複数のメッセージの追加情報の少なくとも出力順及び出力時間間隔が、ログ情報１２３内の複数のメッセージと一致するか否かを判定する。

図１６の例によると、項目「１」の複数のメッセージの出力順及び出力時間間隔は、ログ情報１２３内の複数のメッセージの出力順及び出力時間間隔と一致する。また、項目「１」の追加情報は、出力開始時刻や出力条件を含んでいない。したがって、係数の合計値は値「１．０」となる。

また、図１６の例によると、項目「２」の出力順及び出力時間間隔はログ情報１２３内の複数のメッセージの出力順及び出力時間間隔と一致しない。また、項目「２」は、追加情報の追加情報は出力開始時刻や出力条件を含んでいないため、係数の合計値は値「０」となる。

一方、項目「３」の出力順及び出力時間間隔はログ情報１２３内の複数のメッセージの出力順及び出力時間間隔と一致しないものの、出力条件は一致する。したがって、項目「３」の係数の合計値は値「０．３」となる。

したがって、通知モジュール１３２は、対応情報データベース１２２の項目「１」〜「３」のうち、係数の合計値が値「１．０」以上となる項目「１」を検出する。即ち、通知モジュール１３２は、対応情報データベース１２２の項目「１」〜「３」のうち、出力順及び出力時間間隔が一致する項目「１」を検出する。

このように、通知モジュール１３２は、対応情報データベース１２２の項目「１」の出力順及び出力時間間隔と所定の時間差以内の出力時間間隔で、複数のメッセージが出力されたことを示す情報が、ログ情報１２３に含まれることを検出する。そして、通知モジュール１３２は、項目「１」に対応する事象Ａを、情報処理システム２００上で発生している事象として特定する（図１２のＳ２４）。

このように、本実施の形態例における事象発生通知プログラム１２１は、情報処理システム２００から出力された複数のメッセージの出力順及び出力時間間隔に基づいて、適切に、情報処理システム２００で発生している事象を特定できる。

なお、いずれの項目の係数の合計値も値「１．０」未満である場合、通知モジュール１３２は、複数のメッセージの追加情報を、対応情報データベース１２２に追加して記憶する。これにより、通知モジュール１３２は、新規の事象に関する、複数のメッセージの追加情報を対応情報データベース１２２に適宜、更新できる。

次に、図１７〜図２０にしたがって、本実施の形態における事象の特定処理の実施例１〜４を説明する。

（実施例１）
図１７は、本実施の形態における事象の特定処理の実施例を説明する第１の図である。図１７は、ログ情報１２３が含む複数のメッセージｍｓ−１１の一例を示す。

図１７に示す実施例によると、例えば、ソフトウェアＣは、多数の接続を受け付けたことに応じて、約１０秒間隔に、メッセージ「<INFO> <xxx> -新たな接続を受け付けました」を出力する。そして、ソフトウェアＡがソフトウェアＢに対して検索処理を指示すると、ソフトウェアＢは、ソフトウェアＡから指示された検索処理を実行するためにソフトウェアＣにアクセスする。

ただし、ソフトウェアＣは、多数の接続の受付処理を行っていることにより、一定時間経過してもソフトウェアＢに応答できない。したがって、ソフトウェアＢは、メッセージ「ネットワークとの接続が切断された」を出力し、ソフトウェアＡにエラーを通知する。そして、ソフトウェアＡは、エラーが返却されたことにより、メッセージ「“項目なし”(検索結果が 0 件)」を出力する。また、ソフトウェアＣは、処理が停滞したことにより、メッセージ「＜エラー＞メモリ不足が発生しました」を出力する。

したがって、図１７に示すログ情報１２３は、ソフトウェアＣによる、約１０秒間隔のメッセージ「新たな接続を受け付けました」を有する。また、ログ情報１２３は、時刻「14:10:09」に、ソフトウェアＢによるメッセージ「＜エラー＞メモリ不足が発生しました」と、時刻「14:10:10」に、ソフトウェアＡによるメッセージ「“項目なし”(検索結果が 0 件)」を有する。そして、ログ情報１２３は、時刻「14:10:11」に、ソフトウェアＣによるメッセージ「＜エラー＞メモリ不足が発生しました」を有する。

図１０に示した対応情報データベース１２２と照合すると、項目「１」〜「３」の複数のソフトウェアのメッセージが、６０％（第２の基準値）以上の合致度で一致する。したがって、通知モジュール１３２は、項目「１」〜「３」の追加情報と、図１７に示す複数のメッセージの追加情報とを照合する。

このように、本実施の形態における通知モジュール１３２は、所定の値以上に合致した項目を、追加情報を比較する対象とする。これにより、仮に、図１７にログ情報に、一部のメッセージの欠落や相違が存在する場合であっても、追加情報を比較する対象の項目を、適切に検出することが可能になる。

図１７に示すログ情報１２３によると、メッセージの出力順は、ソフトウェアＣ（一部）、ソフトウェアＢ、ソフトウェアＡ、ソフトウェアＣ（一部）の順である。ソフトウェアＣのメッセージの出力時間間隔は、約１０秒間隔であって、許容したずれ幅の範囲内である。

したがって、図１７に示すログ情報１２３の出力順及び出力時間間隔は、図１０に示した対応情報データベース１２２における項目「１」の出力順及び出力時間間隔と一致し、追加情報の係数の合計値は、値「１．０」となる。これに対し、他の項目「２」、「３」の出力順及び出力時間間隔は、図１７に示すログ情報１２３の出力順及び出力時間間隔と一致しない。したがって、他の項目「２」〜「４」の追加情報の係数の合計値は、値「１．０」未満である。

これにより、通知モジュール１３２は、項目「１」の事象Ａを、情報処理システム２００上で発生している事象として特定する。つまり、事象発生通知プログラム１２１は、情報処理システム２００上で、ソフトウェアＣにおける多数の接続が発生していることを特定する。

（実施例２）
図１８は、本実施の形態における事象の特定処理の実施例を説明する第２の図である。図１８は、ログ情報１２３が含む複数のメッセージｍｓ−１２の一例を示す。

図１８に示す実施例によると、例えば、ソフトウェアＣは、不等間隔に３回、接続を受け付けたことに応じて、不等間隔のメッセージ「<INFO> <xxx> -新たな接続を受け付けました」を出力する。そして、図１７の例と同様にして、ソフトウェアＡがソフトウェアＢに対して検索処理を指示すると、ソフトウェアＢは、ソフトウェアＡから指示された検索処理を実行するためにソフトウェアＣにアクセスする。

ただし、図１８の実施例によると、ソフトウェアＣに設定されている最大メモリ量が小さい。これにより、ソフトウェアＣは、メモリ量の不足により、ソフトウェアＢによる新たな接続を受け付けることができず、メッセージ「＜エラー＞メモリ不足が発生しました」を出力する。

ソフトウェアＢは、一定時間経過してもソフトウェアＣから応答がないことにより、メッセージ「ネットワークとの接続が切断された」を出力し、ソフトウェアＡにエラーを通知する。ソフトウェアＡは、ソフトウェアＢからエラーが通知されたことにより、メッセージ「“項目なし”(検索結果が 0 件)」を出力する。

したがって、図１８に示すログ情報１２３は、ソフトウェアＣによる、不等間隔のメッセージ「<INFO> <xxx> -新たな接続を受け付けました」と、時刻「14:10:00」のメッセージ「＜エラー＞メモリ不足が発生しました」を有する。また、ログ情報１２３は、時刻「14:10:09」に、ソフトウェアＢによるメッセージ「＜エラー＞メモリ不足が発生しました」と、時刻「14:10:10」に、ソフトウェアＡによるメッセージ「“項目なし”(検索結果が 0 件)」を有する。

図１０に示した対応情報データベース１２２と照合すると、図１７の例と同様にして、項目「１」〜「３」の、各ソフトウェアのメッセージが、６０％以上の合致度で一致する。したがって、図１７の実施例と同様にして、通知モジュール１３２は、対応情報データベース１２２内の項目「１」〜「３」の、複数のメッセージを抽出する。

図１８に示すログ情報１２３によると、メッセージの出力順は、ソフトウェアＣ、ソフトウェアＢ、ソフトウェアＡの順であって、ソフトウェアＣのメッセージは不等間隔である。したがって、図１７に示すログ情報１２３の出力順及び出力時間間隔は、図１０に示した対応情報データベース１２２における項目「２」の出力順及び出力時間間隔と一致し、追加情報の係数の合計値は、値「１．０」である。これに対し、他の項目「１」、「３」の追加情報の係数の合計値は、値「１．０」未満である。

したがって、通知モジュール１３２は、項目「２」の事象Ｂを、情報処理システム２００上で発生している事象として特定する。つまり、事象発生通知プログラム１２１は、情報処理システム２００上で、ソフトウェアＣにおける最大メモリ量の設定値の不足が発生していることを特定する。

なお、最大メモリ量に対応する接続可能数が検知可能である場合、出力時間間隔は、さらに、メッセージ「<INFO> <xxx> -新たな接続を受け付けました」の出力回数が３回である旨の情報を有していてもよい。これにより、通知モジュール１３２は、メッセージと追加情報とに基づいて、さらに高精度に、事象を特定できる。

（実施例３）
図１９は、本実施の形態における事象の特定処理の実施例を説明する第３の図である。図１９は、ログ情報１２３が含む複数のメッセージｍｓ−１３の一例を示す。

図１９に示す実施例によると、ソフトウェアＡとソフトウェアＢとの間でネットワークの遅延が生じている。これにより、接続のタイムアウトが生じ、例えば、ソフトウェアＡは、メッセージ「＜エラー＞ネットワークとの接続が切断されました」、及び、メッセージ「“項目なし”(検索結果が 0 件)」を出力する。

また、例えば、ソフトウェアＢは、検索処理のためソフトウェアＣにアクセスし、正常な応答を受信し、ソフトウェアＡに対する応答を試みる。ただし、ソフトウェアＢとソフトウェアＡと間の通信が遅延状態にあるため、ソフトウェアＢは、ソフトウェアＡに通知を送信できず、メッセージ「ネットワーク＜ｚｚｚ＞との接続が切断された」を出力する。また、ソフトウェアＣは、ソフトウェアＢから指示された処理の結果をソフトウェアＢに通知した後、例えば、処理の停滞等に応じて、メッセージ「＜エラー＞メモリ不足が発生しました」を出力する。

したがって、図１９に示すログ情報１２３は、ソフトウェアＡによる、時刻「14:09:59」のメッセージ「＜エラー＞ネットワークとの接続が切断されました」、及び、時刻「14:10:00」のメッセージ「“項目なし”(検索結果が 0 件)」を有する。また、ログ情報１２３は、時刻「14:10:05」に、ソフトウェアＢによるメッセージ「ネットワーク＜ｚｚｚ＞との接続が切断された」、時刻「14:11:00」に、ソフトウェアＣによるメッセージ「＜エラー＞メモリ不足が発生しました」を有する。

図１０に示した対応情報データベース１２２と照合すると、項目「１」〜「３」の、各ソフトウェアのメッセージが、６０％以上の合致度で一致する。したがって、通知モジュール１３２は、対応情報データベース１２２内の項目「１」〜「３」の、複数のメッセージを抽出する。

図１９に示すログ情報１２３によると、メッセージの出力順は、ソフトウェアＣ（一部）、ソフトウェアＡ、ソフトウェアＢ、ソフトウェアＣ（一部）の順であって、各ソフトウェアのメッセージは、１回のみ出力され出力時間間隔を有していない。また、ソフトウェアＢのメッセージ「ネットワーク＜ｚｚｚ＞との接続が切断された」における情報「ｚｚｚ」は出力条件（付加情報）を示す。

したがって、図１９に示すログ情報１２３の出力順及び出力時間間隔、出力条件は、図１０に示した対応情報データベース１２２における項目「３」の追加情報と一致し、追加情報の係数の合計値は、値「１．３」となる。これに対し、他の項目「１」、「２」の追加情報の係数の合計値は、値「１．０」未満である。

したがって、通知モジュール１３２は、項目「３」の事象Ｃを、情報処理システム２００上で発生している事象として特定する。これにより、事象発生通知プログラム１２１は、ソフトウェアＡとソフトウェアＢとの間において、ネットワークの遅延が発生していることを特定する。

仮に、図１９に示すメッセージの出力順及び出力時間間隔が、項目「１」〜「３」の出力順及び出力時間間隔と一致する場合、通知モジュール１３２は、項目「１」〜「３」に対応する事象Ａ〜Ｃを、情報処理システム２００で発生している事象として特定する。したがって、追加情報が、出力順及び出力時間間隔に加えて、出力条件を含むことにより、通知モジュール１３２は、さらに高精度に情報処理システム２００で発生している事象を特定できる。

（実施例４）
図２０は、本実施の形態における事象の特定処理の実施例を説明する第４の図である。図２０は、ログ情報１２３が含む複数のメッセージｍｓ−１４の一例を示す。

図２０に示す実施例によると、例えば、ソフトウェアＣは、多数の接続を受け付けたことにより、高負荷状態となり処理がスローダウンしている。そして、ソフトウェアＡがソフトウェアＢに対して検索処理を指示すると、ソフトウェアＢは、ソフトウェアＡから指示された検索処理を実行するためにソフトウェアＣにアクセスする。ただし、ソフトウェアＣは、処理がスローダウンしていることにより、一定時間経過してもソフトウェアＢに応答できない。

したがって、ソフトウェアＢは、メッセージ「＜警告＞無応答時間がタイムアウト制限に達しました」、及び、メッセージ「ネットワークとの接続が切断された」を出力し、ソフトウェアＡにエラーを通知する。そして、ソフトウェアＡは、エラーが返却されたことにより、メッセージ「“項目なし”(検索結果が 0 件)」を出力する。また、ソフトウェアＣは、処理がスローダウンした状態が所定の期間経過した後、メッセージ「＜エラー＞メモリ不足が発生しました」を出力する。

したがって、図２０に示すログ情報１２３は、ソフトウェアＢによる、時刻「15:10:04」のメッセージ「＜警告＞無応答時間がタイムアウト制限に達しました」、時刻「15:10:05」のメッセージ「ネットワークとの接続が切断された」を有する。また、ログ情報１２３は、時刻「15:10:06」に、ソフトウェアＡによるメッセージ「“項目なし”(検索結果が 0 件)」を、時刻「15:11:00」に、ソフトウェアＣによるメッセージ「＜エラー＞メモリ不足が発生しました」を有する。

図１０に示した対応情報データベース１２２と照合すると、項目「４」の各ソフトウェアのメッセージのみが、６０％以上の合致度で一致する。具体的に、項目「１」、「２」の合致度は値「５０％」を示し、項目「３」の合致度は値「３０％」を示す。したがって、通知モジュール１３２は、対応情報データベース１２２内の項目「４」の、複数のメッセージを抽出する。このように、メッセージの出力元のソフトウェアに応じて係数を設定することにより、より高精度に事象を特定可能になる。

また、図２０に示すログ情報１２３によると、メッセージの出力順は、ソフトウェアＣ（一部）、ソフトウェアＢ、ソフトウェアＡ、ソフトウェアＣ（一部）の順であって、各ソフトウェアのメッセージは、１回のみ出力され出力時間間隔を有していない。また、ソフトウェアＣの出力開始時刻「15:09:00」は、時刻「15:00:00」から１０分間の期間を示す出力開始時刻を満たす。

したがって、図２０に示すログ情報１２３の出力順及び出力時間間隔、出力開始時刻は、図１０に示した対応情報データベース１２２における項目「４」の追加情報と一致し、追加情報の係数の合計値は、値「１．５」となる。これにより、通知モジュール１３２は、項目「４」の事象Ｄを、情報処理システム２００上で発生している事象として特定する。したがって、事象発生通知プログラム１２１は、ソフトウェアＣが多数の接続を受け付けたことにより高負荷状態となり、処理がスローダウンしていることを特定する。

［発生確率の判定］
なお、本実施の形態における通知モジュール１３２は、例えば、対応情報データベース１２２に規定される複数の事象の発生確率を判定し、表示装置等に出力してもよい。これにより、システム管理者は、事象の発生確率に基づいて、事象に対する対処の実施順を判定できる。

図２１は、対応情報データベース１２２に規定される事象の発生確率の一例を示す図である。通知モジュール１３２は、例えば、複数のメッセージの合致度や、追加情報の一致に応じた係数の合計値等に基づいて、事象の発生確率を判定する。

図２１の例によると、事象Ａ〜事象Ｄのうち、事象Ａに対応する複数のメッセージの合致度は、最も大きい。また、事象Ａの出力順及び出力時間間隔は、ログ情報１２３内の複数のメッセージと一致する。また、事象Ｂに対応する複数のメッセージの合致度は、事象Ａに次いで大きく、事象Ｂの出力順及び出力時間間隔についても、ログ情報１２３内の複数のメッセージと一致する。一方、事象Ｃ、事象Ｄに対応する複数のメッセージの合致度は、事象Ａ及び事象Ｂに対して低く、出力順及び出力時間間隔は一致しない。

したがって、通知モジュール１３２は、例えば、事象Ａ（１００％）、事象Ｂ（８０％）の順に発生確率を設定する。そして、通知モジュール１３２は、事象Ｃ、事象Ｄの発生確率を、事象Ａ及び事象Ｂに対して小さい値（２０％）に設定する。

これにより、システム管理者は、事象の発生確率の順位に応じて、情報処理システム２００を確認できるとともに、確認の優先順位を効率的に決定できる。また、システム管理者は、情報処理システム２００上で多数の事象が発生している場合に、効率的に、事象を特定できる。

［他の実施の形態］
なお、上記の実施の形態では、複数のメッセージと追加情報とに基づいて、単独の事象が特定される場合を例示した。ただし、この例に限定されるものではない。情報処理システム２００では、実際に複数の事象が発生している場合がある。したがって、通知モジュール１３２は、複数のメッセージと追加情報とに基づいて、複数の事象を特定してもよい。

なお、本実施の形態例における対応情報データベース１２２は、エラーや警告等の事象が発生した場合における、複数のメッセージと追加情報を記憶する。ただし、この例に限定されるものではなく、対応情報データベース１２２は、正常時におけるメッセージや追加情報等をさらに記憶していてもよい。

以上の実施の形態をまとめると、次の付記のとおりである。

（付記１）
コンピュータに、
情報処理システムから出力されたメッセージのログ情報を取得し、
特定の事象の発生に応じて前記情報処理システムから出力される複数のメッセージについて出力順及び出力時間間隔が記憶された記憶部の前記出力順及び前記出力時間間隔と所定の時間差以内の出力時間間隔で、前記複数のメッセージが出力されたことを示す情報が、前記ログ情報に含まれることの検出に応じて、前記ログ情報に含まれる出力順及び出力時間間隔の複数のメッセージに対応する特定の事象が前記情報処理システム上で発生したことを通知する、
ことを実行させることを特徴とする事象発生通知プログラム。

（付記２）
付記１において、
前記情報処理システムは、複数のソフトウェアを実行し、
前記ログ情報は、前記複数のソフトウェアから出力されたメッセージを含む、
事象発生通知プログラム。

（付記３）
付記１または２において、
前記記憶部は、前記複数のメッセージの出力開始時刻、前記複数のメッセージに付加された付加情報のいずれかをさらに記憶し、
前記通知は、前記記憶部の、前記出力順及び前記出力時間間隔に加えて、前記出力開始時刻、前記付加情報のいずれかが一致する前記複数のメッセージが出力されたことを示す情報が、前記ログ情報に含まれることを検出する、
事象発生通知プログラム。

（付記４）
付記３において、
前記出力順及び前記出力時間間隔と、前記出力開始時刻、前記付加情報のいずれかまたは両方と、の項目はそれぞれ第１の係数を有し、
前記通知は、
前記記憶部の複数のメッセージが出力されたことを示す情報が前記ログ情報に含まれる場合に、前記項目の一致に応じて当該項目に対応する第１の係数を加算して合計値を算出し、
前記合計値が第１の基準値を超える場合に、前記ログ情報に含まれることを検出する、
事象発生通知プログラム。

（付記５）
付記１乃至４のいずれかにおいて、
前記通知は、
前記記憶部の前記複数のメッセージが出力されたことを示す情報が前記ログ情報に含まれる度合いをそれぞれ算出し、
前記度合いが第２の基準値を超える前記記憶部の複数のメッセージの前記出力順及び出力時間間隔が前記所定の時間差以内の出力時間間隔で、前記ログ情報に含まれる複数のメッセージと一致する場合に、前記ログ情報に含まれることを検出する、
事象発生通知プログラム。

（付記６）
付記５において、
前記ログ情報は複数のソフトウェアから出力されたメッセージを含み、
前記複数のソフトウェアはそれぞれ第２の係数を有し、
前記通知は、前記記憶部の前記複数のメッセージに含まれる各メッセージのうち、前記ログ情報に含まれるメッセージについて、当該メッセージの出力元のソフトウェアに対応する前記第２の係数を適用し、前記度合いを算出する、
事象発生通知プログラム。

（付記７）
付記１乃至６のいずれかにおいて、
前記通知は、特定の事象の発生に応じて前記情報処理システムから出力される複数のメッセージについて出力順及び出力時間間隔が前記記憶部に記憶されていない場合、当該複数のメッセージについて出力順及び出力時間間隔を、前記記憶部に記憶する、
事象発生通知プログラム。

（付記８）
情報処理システムから出力されたメッセージのログ情報を取得し、
特定の事象の発生に応じて前記情報処理システムから出力される複数のメッセージについて出力順及び出力時間間隔が記憶された記憶部の前記出力順及び前記出力時間間隔と所定の時間差以内の出力時間間隔で、前記複数のメッセージが出力されたことを示す情報が、前記ログ情報に含まれることの検出に応じて、前記ログ情報に含まれる出力順及び出力時間間隔の複数のメッセージに対応する特定の事象が前記情報処理システム上で発生したことを通知する、
事象発生通知方法。

（付記９）
付記８において、
前記情報処理システムは、複数のソフトウェアを実行し、
前記ログ情報は、前記複数のソフトウェアから出力されたメッセージを含む、
事象発生通知方法。

（付記１０）
付記８または９において、
前記記憶部は、前記複数のメッセージの出力開始時刻、前記複数のメッセージに付加された付加情報のいずれかをさらに記憶し、
前記通知は、前記記憶部の、前記出力順及び前記出力時間間隔に加えて、前記出力開始時刻、前記付加情報のいずれかが一致する前記複数のメッセージが出力されたことを示す情報が、前記ログ情報に含まれることを検出する、
事象発生通知方法。

（付記１１）
付記１０において、
前記出力順及び前記出力時間間隔と、前記出力開始時刻、前記付加情報のいずれかまたは両方と、の項目はそれぞれ第１の係数を有し、
前記通知は、
前記記憶部の複数のメッセージが出力されたことを示す情報が前記ログ情報に含まれる場合に、前記項目の一致に応じて当該項目に対応する第１の係数を加算して合計値を算出し、
前記合計値が第１の基準値を超える場合に、前記ログ情報に含まれることを検出する、
事象発生通知方法。

（付記１２）
付記８乃至１１のいずれかにおいて、
前記通知は、特定の事象の発生に応じて前記情報処理システムから出力される複数のメッセージについて出力順及び出力時間間隔が前記記憶部に記憶されていない場合、当該複数のメッセージについて出力順及び出力時間間隔を、前記記憶部に記憶する、
事象発生通知方法。

（付記１３）
特定の事象の発生に応じて情報処理システムから出力される複数のメッセージについて出力順及び出力時間間隔を記憶する記憶部と、
前記情報処理システムから出力されたメッセージのログ情報を取得する取得部と、
前記記憶部に記憶された前記出力順及び前記出力時間間隔と所定の時間差以内の出力時間間隔で、前記複数のメッセージが出力されたことを示す情報が、前記ログ情報に含まれることの検出に応じて、前記ログ情報に含まれる出力順及び出力時間間隔の複数のメッセージに対応する特定の事象が前記情報処理システム上で発生したことを通知する制御部と、
を備えたことを特徴とする事象発生通知装置。

（付記１４）
付記１３において、
前記情報処理システムは、複数のソフトウェアを実行し、
前記ログ情報は、前記複数のソフトウェアから出力されたメッセージを含む、
事象発生通知装置。

（付記１５）
付記１３または１４において、
前記記憶部は、前記複数のメッセージの出力開始時刻、前記複数のメッセージに付加された付加情報のいずれかをさらに記憶し、
前記制御部は、前記記憶部の、前記出力順及び前記出力時間間隔に加えて、前記出力開始時刻、前記付加情報のいずれかが一致する前記複数のメッセージが出力されたことを示す情報が、前記ログ情報に含まれることを検出する、
事象発生通知装置。

（付記１６）
付記１５において、
前記出力順及び前記出力時間間隔と、前記出力開始時刻、前記付加情報のいずれかまたは両方と、の項目はそれぞれ第１の係数を有し、
前記制御部は、
前記記憶部の複数のメッセージが出力されたことを示す情報が前記ログ情報に含まれる場合に、前記項目の一致に応じて当該項目に対応する第１の係数を加算して合計値を算出し、
前記合計値が第１の基準値を超える場合に、前記ログ情報に含まれることを検出する、
事象発生通知装置。

（付記１７）
付記１３乃至１６のいずれかにおいて、
前記制御部は、特定の事象の発生に応じて前記情報処理システムから出力される複数のメッセージについて出力順及び出力時間間隔が前記記憶部に記憶されていない場合、当該複数のメッセージについて出力順及び出力時間間隔を、前記記憶部に記憶する、
事象発生通知装置。

１００：事象発生通知装置、２００：情報処理システム、１２１：事象発生通知プログラム、１３１：取得モジュール、１３２：通知モジュール、１２２：対応情報データベース、１２３：ログ情報

Claims (7)

1. コンピュータに、
   情報処理システムから出力されたメッセージのログ情報を取得し、
   特定の事象の発生に応じて前記情報処理システムから出力される複数のメッセージについてのメッセージの種類ごとの出力順と、前記複数のメッセージに含まれる同一種類のメッセージの出力時間間隔との組合せが記憶された記憶部を参照し、前記出力順と、前記出力時間間隔に対し所定の時間差以内である時間間隔との第１組合せを特定し、
   特定した前記第１組合せに対応する複数のメッセージが前記ログ情報に含まれることの検出に応じて、前記特定の事象が前記情報処理システム上で発生したことを通知する、
   処理を実行させることを特徴とする事象発生通知プログラム。
2. 請求項１において、
   前記情報処理システムは、複数のソフトウェアを実行し、
   前記ログ情報は、前記複数のソフトウェアから出力されたメッセージを含む、
   事象発生通知プログラム。
3. 請求項１または２において、
   前記記憶部は、前記複数のメッセージの出力開始時刻、前記複数のメッセージに付加された付加情報のいずれかをさらに記憶し、
   前記通知は、前記記憶部の、前記出力順及び前記出力時間間隔に加えて、前記出力開始時刻、前記付加情報のいずれかが一致する前記複数のメッセージが出力されたことを示す情報が、前記ログ情報に含まれることを検出する、
   事象発生通知プログラム。
4. 請求項１乃至３のいずれかにおいて、
   前記通知は、前記特定の事象の発生に応じて前記情報処理システムから出力される複数のメッセージについて出力順及び出力時間間隔が前記記憶部に記憶されていない場合、当該複数のメッセージについて出力順及び出力時間間隔を、前記記憶部に記憶する、
   事象発生通知プログラム。
5. 請求項１において、
   前記通知は、
   特定した前記第１組合せに対応する複数のメッセージが前記ログ情報に含まれると判定した場合、前記特定の事象が前記情報処理システム上で発生したことを通知する、
   事象発生通知プログラム。
6. 情報処理システムから出力されたメッセージのログ情報を取得し、
   特定の事象の発生に応じて前記情報処理システムから出力される複数のメッセージについてのメッセージの種類ごとの出力順と、前記複数のメッセージに含まれる同一種類のメッセージの出力時間間隔との組合せが記憶された記憶部を参照し、前記出力順と、前記出力時間間隔に対し所定の時間差以内である時間間隔との第１組合せを特定し、
   特定した前記第１組合せに対応する複数のメッセージが前記ログ情報に含まれることの検出に応じて、前記特定の事象が前記情報処理システム上で発生したことを通知する、
   処理をコンピュータに実行させることを特徴とする事象発生通知方法。
7. 特定の事象の発生に応じて情報処理システムから出力される複数のメッセージについてのメッセージの種類ごとの出力順と、前記複数のメッセージに含まれる同一種類のメッセージの出力時間間隔との組合せを記憶する記憶部と、
   前記情報処理システムから出力されたメッセージのログ情報を取得する取得部と、
   前記記憶部を参照し、前記出力順と、前記出力時間間隔に対し所定の時間差以内である時間間隔との第１組合せを特定し、特定した前記第１組合せに対応する複数のメッセージが前記ログ情報に含まれることの検出に応じて、前記特定の事象が前記情報処理システム上で発生したことを通知する制御部と、
   を備えたことを特徴とする事象発生通知装置。

Images