ホーム > 特許ランキング > 株式会社日立システムズ
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024147352
(43)【公開日】2024-10-16
(54)【発明の名称】監視システムおよび監視方法
(51)【国際特許分類】
G06F 11/07 20060101AFI20241008BHJP
G06F 11/34 20060101ALI20241008BHJP
【ＦＩ】
G06F11/07 181
G06F11/07 140A
G06F11/34 147
【審査請求】未請求
【請求項の数】8
【出願形態】ＯＬ
(21)【出願番号】P 2023060306
(22)【出願日】2023-04-03
(71)【出願人】
【識別番号】000233491
【氏名又は名称】株式会社日立システムズ
(74)【代理人】
【識別番号】110000062
【氏名又は名称】弁理士法人第一国際特許事務所
(72)【発明者】
【氏名】那須 弘志
(72)【発明者】
【氏名】高村 啓輝
【テーマコード（参考）】
5B042
【Ｆターム（参考）】
5B042JJ29
5B042KK13
5B042MA08
5B042MA14
5B042MA16
5B042MC22
5B042MC35
5B042MC37
(57)【要約】
【課題】本発明では、システム管理者に対して適切な通知を行う技術を提供することを目的とする。
【解決手段】本発明の監視システムの一つは、業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析部と、業務システムに対する運用作業と運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得部と、ベースラインおよび運用作業情報に基づいて、業務システムに関する通知を行う通知判定部と、を備え、通知判定部は、監視指標がベースラインを逸脱した期間である外れ値発生期間を検出し、外れ値発生期間と運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、外れ値発生期間と運用作業情報の間に関連性がない場合、異常通知を行う。
【選択図】図１
【解決手段】本発明の監視システムの一つは、業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析部と、業務システムに対する運用作業と運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得部と、ベースラインおよび運用作業情報に基づいて、業務システムに関する通知を行う通知判定部と、を備え、通知判定部は、監視指標がベースラインを逸脱した期間である外れ値発生期間を検出し、外れ値発生期間と運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、外れ値発生期間と運用作業情報の間に関連性がない場合、異常通知を行う。
【選択図】図１
【特許請求の範囲】
【請求項1】
業務システムを監視し、異常を通知する監視システムであって、
前記業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析部と、
前記業務システムに対する運用作業と前記運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得部と、
前記ベースラインおよび前記運用作業情報に基づいて、前記業務システムに関する通知を行う通知判定部と、を備え、
前記通知判定部は、
前記監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出し、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記異常通知を行う、監視システム。
前記業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析部と、
前記業務システムに対する運用作業と前記運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得部と、
前記ベースラインおよび前記運用作業情報に基づいて、前記業務システムに関する通知を行う通知判定部と、を備え、
前記通知判定部は、
前記監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出し、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記異常通知を行う、監視システム。
【請求項2】
請求項１に記載の監視システムであって、
前記通知判定部は、
前記外れ値発生期間と前記実施期間の間に重複する部分がない場合、前記異常通知を行わず、
前記外れ値発生期間と前記実施期間の間に重複する部分がある場合、前記異常通知を行う、監視システム。
前記通知判定部は、
前記外れ値発生期間と前記実施期間の間に重複する部分がない場合、前記異常通知を行わず、
前記外れ値発生期間と前記実施期間の間に重複する部分がある場合、前記異常通知を行う、監視システム。
【請求項3】
請求項２に記載の監視システムであって、
前記通知判定部は、
前記外れ値発生期間と前記実施期間の間のずれが許容期間以内である場合、前記外れ値発生期間と前記実施期間の間に重複する部分があるとみなし、前記異常通知を行う、監視システム。
前記通知判定部は、
前記外れ値発生期間と前記実施期間の間のずれが許容期間以内である場合、前記外れ値発生期間と前記実施期間の間に重複する部分があるとみなし、前記異常通知を行う、監視システム。
【請求項4】
請求項１に記載の監視システムであって、
前記運用作業情報は、前記業務システムのシステム管理者によって入力される、監視システム。
前記運用作業情報は、前記業務システムのシステム管理者によって入力される、監視システム。
【請求項5】
請求項１に記載の監視システムであって、
前記通知判定部は、前記業務システムに対して行われた操作ログを取得し、前記操作ログに基づいて前記運用作業および前記実施期間を検出する、監視システム。
前記通知判定部は、前記業務システムに対して行われた操作ログを取得し、前記操作ログに基づいて前記運用作業および前記実施期間を検出する、監視システム。
【請求項6】
請求項１に記載の監視システムであって、
前記業務システムの前記稼働状況を示すインターフェース部と、
前記監視システムの外部の通知サービスを経由して通知を行う外部通知部と、をさらに備え
前記通知判定部は、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、前記インターフェース部を用いて前記異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記インターフェース部または前記外部通知部の少なくともいずれかを用いて前記異常通知を行う、監視システム。
前記業務システムの前記稼働状況を示すインターフェース部と、
前記監視システムの外部の通知サービスを経由して通知を行う外部通知部と、をさらに備え
前記通知判定部は、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、前記インターフェース部を用いて前記異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記インターフェース部または前記外部通知部の少なくともいずれかを用いて前記異常通知を行う、監視システム。
【請求項7】
請求項１に記載の監視システムであって、
前記業務システムは仮想マシンである、監視システム。
前記業務システムは仮想マシンである、監視システム。
【請求項8】
業務システムを監視し、異常を通知する監視方法であって、
前記業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析ステップと、
前記業務システムに対する運用作業と前記運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得ステップと、
前記ベースラインおよび前記運用作業情報に基づいて、前記業務システムに関する通知を行う通知判定ステップと、を備え、
前記通知判定ステップは、
前記監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出する検出ステップと、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記異常通知を行う異常通知ステップと、をさらに有する監視方法。
前記業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析ステップと、
前記業務システムに対する運用作業と前記運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得ステップと、
前記ベースラインおよび前記運用作業情報に基づいて、前記業務システムに関する通知を行う通知判定ステップと、を備え、
前記通知判定ステップは、
前記監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出する検出ステップと、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記異常通知を行う異常通知ステップと、をさらに有する監視方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、監視システムおよび監視方法に関する。
【背景技術】
【0002】
従来から、仮想マシンが形成されたシステムにおいて、システムを監視し異常を検知する方法が知られている。
【0003】
例えば、特許文献１は、少なくとも一つのＨＣＩノード１０３～１０５及びこのＨＣＩノード１０３～１０５と通信可能に構成され、ＨＣＩノード１０３～１０５の稼働情報を取得して異常検知を行う上位管理基盤１００を有する計算機システムＳであって、ＨＣＩノード１０３～１０５は、ＨＣＩノード１０３～１０５において実行されるイベントに関連するＨＣＩノード１０３～１０５のリソース、及び、イベントによるＨＣＩノード１０３～１０５の影響の種別を含むイベント通知テーブル１１３を作成し、上位管理基盤１００に送信し、稼働情報は、ＨＣＩノード１０３～１０５のリソースの負荷を含んでおり、上位管理基盤１００は、稼働情報とイベント通知テーブル１１３とを用いて異常検知を行う、技術が開示されている。
これによって、特許文献１においては、学習モデルに基づいた異常検知機能時に、本来不必要な通知によって発生する確認作業が削減される。
これによって、特許文献１においては、学習モデルに基づいた異常検知機能時に、本来不必要な通知によって発生する確認作業が削減される。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２０２２－２８２０８号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかし、従来の機械学習によるシステム異常検知においては、ソフトウエアアップデート等の運用作業により発生する不定期かつ想定内の挙動が、誤って異常と見なされる場合がある。つまり、本来であれば必要のない通知がシステム管理者に発せられ、システム管理者を煩わせることになる。特許文献１では、このような不要な通知の発生について想定されていない。
そこで、本発明では、システム管理者に対して適切な通知を行う技術を提供することを目的とする。
そこで、本発明では、システム管理者に対して適切な通知を行う技術を提供することを目的とする。
【課題を解決するための手段】
【0006】
上記の課題を解決するために、代表的な本発明の監視システムの一つは、業務システムを監視し、異常を通知する監視システムであって、前記業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析部と、前記業務システムに対する運用作業と前記運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得部と、前記ベースラインおよび前記運用作業情報に基づいて、前記業務システムに関する通知を行う通知判定部と、を備え、前記通知判定部は、前記監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出し、前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記異常通知を行うものである。
【発明の効果】
【0007】
本発明によれば、システム管理者に対して適切な通知を行うことができる。
上記した以外の課題、構成および効果は、以下の実施をするための形態における説明により明らかにされる。
上記した以外の課題、構成および効果は、以下の実施をするための形態における説明により明らかにされる。
【図面の簡単な説明】
【0008】
【発明を実施するための形態】
【0009】
以下、図面を参照して、本発明の実施形態について説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【0010】
本開示において、「クラウドサービス」とは、ネットワーク、サーバ、ストレージ、ソフトウエア、データなどのインフラストラクチャ（以下、「インフラ」ともいう。）および通信資源（リソース）をインターネットなどの通信ネットワークを通じて提供すること、または提供されるインフラおよび通信資源を指す。インフラおよびコンピュータ資源には、サービスをも含む。
また、「サービス」という用語を用いる場合、例えば「情報収集サービス」という場合、情報収集の機能を実現するためのインフラおよびコンピュータ資源を意味する。
また、「サービス」という用語を用いる場合、例えば「情報収集サービス」という場合、情報収集の機能を実現するためのインフラおよびコンピュータ資源を意味する。
【0011】
「オペレーションシステム（ＯＳ）」とは、コンピュータとユーザの間のユーザインターフェースとして機能する基本ソフトウエアである。アプリケーション（以下、「アプリ」ともいう。）とは、コンピュータのＯＳ上で動作するソフトウエアのことを指す。
「仮想マシン（ＶＭ）」とは、物理的なハードウエア構成によらずに形成されたソフトウエア上で実現されたコンピュータのことを指す。
「プログラム」とは、一般的にはソフトウエアを指すところ、本開示においてはクラウドサービスによって提供される機能およびシステムの意味を含む。
「仮想マシン（ＶＭ）」とは、物理的なハードウエア構成によらずに形成されたソフトウエア上で実現されたコンピュータのことを指す。
「プログラム」とは、一般的にはソフトウエアを指すところ、本開示においてはクラウドサービスによって提供される機能およびシステムの意味を含む。
【0012】
［第１実施形態］
（監視システムの構成）
図１は、監視システム１の構成を示す図である。監視システム１は、インフラ管理サービス１０と、メトリクス分析サービス２０と操作ログ収集サービス３０と可視化通知サービス４０によって構成される。
（監視システムの構成）
図１は、監視システム１の構成を示す図である。監視システム１は、インフラ管理サービス１０と、メトリクス分析サービス２０と操作ログ収集サービス３０と可視化通知サービス４０によって構成される。
【0013】
（インフラ管理サービス）
インフラ管理サービス１０は、クラウドサービスによって構成されるシステムである。インフラ管理サービス１０は、業務システム１１、データベース（ＤＢ）部１６、メトリクス監視サービス１７、操作ログ監視サービス１８、ネットワーク１９、を含む。
インフラ管理サービス１０は、クラウドサービスによって構成されるシステムである。インフラ管理サービス１０は、業務システム１１、データベース（ＤＢ）部１６、メトリクス監視サービス１７、操作ログ監視サービス１８、ネットワーク１９、を含む。
【0014】
業務システム１１は、企業における特定の業務を行うために構成されたシステムであり、例えば在庫管理システムや会計管理システムや顧客管理システムなどが含まれる。業務システム１１は、仮想的なメモリの機能および仮想的なＣＰＵの機能を有する仮想マシンである。業務システム１１は、ＯＳ１２とウイルス対策ソフト１３と業務アプリ１４と情報収集エージェント１５を有する。
【0015】
ＯＳ１２は、業務システム１１における基本ソフトウエアである。ＯＳ１２は、運用作業者の入力操作に基づいて、ウイルス対策ソフト１３、業務アプリ１４、および情報収集エージェント１５を動作させる。ウイルス対策ソフト１３は、業務システム１１をウイルスから防御するためのソフトウエアである。例えば、ウイルス対策ソフト１３は、業務システム１１に侵入したウイルスを駆除したり、業務システム１１から出力されるファイルにウイルスが含まれていないかどうかをチェックしたりする。また、ウイルス対策ソフト１３は、外部のコンピュータや仮想マシンとの間の通信状況を監視してウイルスの侵入を予防するファイアウォールの機能を備えている場合もある。業務アプリ１４は、業務システム１１に要求される特定の機能を行うためのアプリケーションである。
【0016】
業務システム１１に含まれる構成は、これに限定されない。例えば、文書作成や電子メールを使用するための汎用アプリが含まれていてもよい。
【0017】
データベース（ＤＢ）部１６は、業務システム１１において用いられるデータまたは業務システム１１において生成されたデータを保存する。
【0018】
メトリクス監視サービス１７は、インフラ管理サービス１０内のリソースのメトリクスに関する情報を収集する。具体的には、メトリクスとしては、サーバのリソース状況（ＣＰＵ使用率（稼働率）、メモリ使用量等）、サービス状況（レイテンシ、トランザクション量、エラーレート等）が含まれる。メトリクス監視サービス１７は、収集したメトリクスの情報を後述するメトリクス分析サービス２０へ送信する。
【0019】
情報収集エージェント１５は、業務システム１１内のリソースに関するメトリクスの情報を収集する機能を有するソフトウエアである。情報収集エージェント１５は、メトリクス監視サービス１７が取得するメトリクスの情報より詳細な情報を取得できる。例えば、ＣＰＵ使用率に関しては「ユーザＣＰＵ使用率」と「システムＣＰＵ使用率」を取得できる。また、業務アプリに関して「リクエスト数／秒」「リクエストエラー率／秒」「レスポンス時間」を取得できる。情報収集エージェント１５は、収集したメトリクスの情報を後述するメトリクス分析サービス２０へ送信する。
【0020】
操作ログ監視サービス１８は、運用作業者が業務システム１１に行った操作に関する情報を収集し、操作ログとして保持する。操作ログとしては、運用作業者のログイン情報、情報の操作履歴、情報にアクセスした時間等が含まれる。操作ログ監視サービス１８は、操作ログを後述する操作ログ収集サービス３０へ送信する。
【0021】
メトリクス監視サービス１７および操作ログ監視サービス１８は、インフラ管理サービス１０の情報資源を使用して上述の機能を実現する。業務システム１１とメトリクス監視サービス１７の間および業務システム１１と操作ログ監視サービス１８の間にはネットワーク１９が設けられており、ネットワーク１９を介して情報が伝達される。
【0022】
なお、本開示では、業務システム１１を、異常を検知する監視対象である仮想マシン（ＶＭ１）として説明するが、仮想マシンは１つに限定されない。複数の仮想マシンが形成され、それぞれの仮想マシンを検出対象としてもよい。
【0023】
（メトリクス分析サービス）
メトリクス分析サービス２０は、メトリクスに関する情報を分析する機能を有する。例えば、メトリクス分析サービス２０は、メトリクスが正常であるとみなされる範囲を示すベースラインを算出する。メトリクス分析サービス２０の機能については後述する。
メトリクス分析サービス２０は、メトリクスに関する情報を分析する機能を有する。例えば、メトリクス分析サービス２０は、メトリクスが正常であるとみなされる範囲を示すベースラインを算出する。メトリクス分析サービス２０の機能については後述する。
【0024】
（操作ログ収集サービス）
操作ログ収集サービス３０は、監視データに含まれる操作ログにもとづいて、業務システム１１に対して行われた運用作業と運用作業の実施期間を示す運用作業情報を取得する機能を有する。操作ログ収集サービス３０の機能については後述する。
操作ログ収集サービス３０は、監視データに含まれる操作ログにもとづいて、業務システム１１に対して行われた運用作業と運用作業の実施期間を示す運用作業情報を取得する機能を有する。操作ログ収集サービス３０の機能については後述する。
【0025】
（可視化通知サービス）
可視化通知サービス４０は、情報取得部４１および４３、監視・分析情報記憶部４２、操作ログ記憶部４４、運用作業情報記憶部４５、通知判定部４６、インターフェース部（以下、「ＩＦ部」ともいう。）４７、外部通知部４７ａ、副インターフェース部（以下、「副ＩＦ部」）ともいう。）４８、副外部通知部４８ａを含む。
可視化通知サービス４０は、情報取得部４１および４３、監視・分析情報記憶部４２、操作ログ記憶部４４、運用作業情報記憶部４５、通知判定部４６、インターフェース部（以下、「ＩＦ部」ともいう。）４７、外部通知部４７ａ、副インターフェース部（以下、「副ＩＦ部」）ともいう。）４８、副外部通知部４８ａを含む。
【0026】
情報取得部４１は、監視データに含まれるメトリクスおよびメトリクスの分析データに関する情報をメトリクス分析サービス２０から取得し、監視・分析情報記憶部４２へ保存するためのプログラムである。監視・分析情報記憶部４２は、メトリクスの監視データおよび分析データを保存する。情報取得部４３は、操作ログおよび運用作業に関する情報を操作ログ収集サービス３０から取得し、操作ログ記憶部４４へ保存する。操作ログ記憶部４４は、操作ログおよび運用作業に関する情報を保存する。運用作業情報記憶部４５は、運用作業が行われる期間に関する情報を保存する。
【0027】
通知判定部４６は、監視・分析情報記憶部４２、操作ログ記憶部４４、運用作業情報記憶部４５から情報を取得し、運用作業および監視データの検証を行う。通知判定部４６は、監視・分析情報記憶部４２から取得したベースラインと操作ログ記憶部４４または運用作業情報記憶部４５から取得した運用作業情報に基づいて通知を行う。通知判定部４６は、システム管理者または運用作業者のいずれに通知を行うか判断をする。
【0028】
ＩＦ部４７は、業務システム１１の稼働状況を示すものであり、監視システムを運営するシステム管理者に向けて設けられている。ＩＦ部４７は、ユーザインターフェースとして、例えば表示機能を有している。また、ＩＦ部４７は、システム管理者の入力操作を受け付ける機能を有している。ＩＦ部４７は、例えば、後述するように運用作業の作業スケジュールを受け付け、運用作業情報記憶部４５に作業スケジュールを入力することが可能である。副ＩＦ部４８は、主に運用作業者に向けた通知を行う。
外部通知部４７ａは、メールやチャットサービス等、可視化通知サービス４０の外部の通知サービスを経由してシステム管理者に通知をする。副外部通知部４８ａは、前記可視化通知サービス４０の外部の通知サービスを経由して運用作業者に通知をする。
外部通知部４７ａは、メールやチャットサービス等、可視化通知サービス４０の外部の通知サービスを経由してシステム管理者に通知をする。副外部通知部４８ａは、前記可視化通知サービス４０の外部の通知サービスを経由して運用作業者に通知をする。
【0029】
以上、監視システム１の構成について説明したが、監視システムの構成はこれに限定されず、構成を適宜設定することも可能である。具体例としては、監視システム１は、業務システム１１を監視し、異常を通知する監視システムであって、業務システム１１の稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析部５０と、業務システム１１に対する運用作業と運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得部６０と、ベースラインおよび運用作業情報に基づいて、業務システム１１に関する通知を行う通知判定部４６と、業務システム１１の前記稼働状況を示すインターフェース部４７と、を備える、ということも可能である。監視指標分析部５０は、メトリクス監視サービス１７、メトリクス分析サービス２０、情報取得部４１、監視・分析情報記憶部４２によって実現される機能を有する。運用作業情報取得部６０は、操作ログ監視サービス１８、操作ログ収集サービス３０、情報取得部４３、操作ログ記憶部４４、運用作業情報記憶部４５によって実現される機能を有する。
【0030】
なお、インフラ管理サービス１０とメトリクス分析サービス２０と操作ログ収集サービス３０と可視化通知サービス４０は、異なるクラウドサービスから提供されることが想定されているが、本開示はこれに限定されない。同じサービス提供者から提供されるものであってもよい。また、本開示は、クラウドサービスに限定されることもなく、オンプレミスの形態に適用することも可能である。
また、ＩＦ部４７、外部通知部４７ａ、副ＩＦ部４８、副外部通知部４８ａをそれぞれ別個の構成として示すが、共通の構成によって複数の機能を有するものとしてもよい。例えば、ＩＦ部４７と副ＩＦ部４８は１つの構成とし、インターフェースに関する機能をシステム管理者を対象とする場合と運用作業者を対象とする場合に分けて行うこととすることも可能である。また、外部通知部４７ａと副外部通知部４８ａを１つの構成とし、通知機能をシステム管理者を対象とする場合と運用作業者を対象とする場合に分けて行うことすることも可能である。
また、ＩＦ部４７、外部通知部４７ａ、副ＩＦ部４８、副外部通知部４８ａをそれぞれ別個の構成として示すが、共通の構成によって複数の機能を有するものとしてもよい。例えば、ＩＦ部４７と副ＩＦ部４８は１つの構成とし、インターフェースに関する機能をシステム管理者を対象とする場合と運用作業者を対象とする場合に分けて行うこととすることも可能である。また、外部通知部４７ａと副外部通知部４８ａを１つの構成とし、通知機能をシステム管理者を対象とする場合と運用作業者を対象とする場合に分けて行うことすることも可能である。
【0031】
（監視データの取得例）
図２は、メトリクス分析サービス２０における分析の一例を示す図である。ここでは、メトリクスとしてＣＰＵ使用率およびメモリ使用量が用いられる場合を示す。
図２は、メトリクス分析サービス２０における分析の一例を示す図である。ここでは、メトリクスとしてＣＰＵ使用率およびメモリ使用量が用いられる場合を示す。
【0032】
図２（ａ）は、メトリクス分析サービス２０が取得し保存するメトリクスの一例を示すメトリクステーブル２１を示す図である。項目「監視対象」は、監視データを検出する対象を指す。ここでは業務システム１１であるＶＭ１が監視対象とされている。項目「検出日時」は、監視データが検出された日時を示す。例えば、メトリクスは所定の時間間隔ごとに取得される。項目「メトリクス」は、監視データ取得対象のメトリクスを示す。ここではＣＰＵ使用率またはメモリ使用量が監視データ取得対象とされている。項目「値」は前記項目「メトリクス」の監視データの値を示す。図２（ａ）に示されるように、監視対象ＶＭ１について、日時（ｄａｔｅ１、ｔｉｍｅ１）において、ＣＰＵ使用率がｃ１、メモリ使用量がｍ１である。また、日時（ｄａｔｅ２、ｔｉｍｅ２）においてＣＰＵ使用率がｃ２、メモリ使用量がｍ２である。日時（ｄａｔｅ３、ｔｉｍｅ３）においてＣＰＵ使用率がｃ３、メモリ使用量がｍ３である。
【0033】
なお、監視対象はＶＭ１に限定されず他の仮想マシン（ＶＭ２、ＶＭ３、…）を監視対象としてもよい。また、監視データとして取得されるメトリクスは、２つに限定されず、他の指標をメトリクスとして検出してもよい。
【0034】
図２（ｂ）は、メトリクス分析サービス２０によって予測されたＣＰＵ使用率の一例を示す図である。実線で示された予測値曲線２２は、所定の期間、例えば今後１か月（ｍｍｄｄ０からｍｍｄｄ１）のＣＰＵ使用率を示す。また、点線で示された帯状の領域であるベースライン２３は、ＣＰＵ使用率が正常であるとみなされる範囲を示す。ベースライン２３は、例えば予測値曲線２２が示す値の±１０％の範囲とすることが可能である。
【0035】
予測値曲線２２の導出の方法として、例えば、過去３か月の監視データに基づいてＣＰＵ使用率の周期性を検出して予測値曲線２２とすることが可能である。予測値曲線２２およびベースライン２３の設定の仕方はこの方法に限定されず、適宜選択し得る。インターフェース部４７を介して、システム管理者が指定する構成とすることも可能である。
【0036】
メトリクステーブル２１、ＣＰＵ使用率の予測値曲線２２、およびベースライン２３に関する情報は、監視・分析情報記憶部４２に保存される。
【0037】
図３は、操作ログ収集サービス３０における運用作業の検出の一例を示す図である。図３（ａ）は、運用作業者が監視対象に行う運用作業を判定するための判断基準３１を示す図である。項目「運用作業」は、運用作業者によって行われる運用作業の種類を示す。項目「作業手順」は、運用作業中に行われる操作の手順を示す。操作ログ収集サービス３０は、監視データに含まれる操作ログを検出し、作業手順のとおりに操作が行われたことを判断して、運用作業が行われたことを特定する。
【0038】
Ｌｉｎｕｘ（登録商標）系のＯＳを例にとって説明すると、運用作業のうちＯＳの更新は、操作１として、ＶＭ（業務システム１１）にＳＳＨ（Secure Shell)を用いてログインがされる。操作２として、最新安定版カーネルのパッケージがダウンロードされる。操作３として、ダウンロードしたカーネルがインストールされる。操作４として、ＶＭが再起動される。
【0039】
また、運用作業のうち業務アプリの更新は、操作１として、ＶＭにログインがされる。操作２として、必要パッケージのダウンロードおよびインストールがされる。操作３として、ＶＭにＳＳＨを用いてログインがされる。操作４として、最新アプリのパッケージが特定のリポジトリからダウンロードされる。操作５として、ダウンロードしたアプリのパッケージがインストールされる。
なお、操作１および操作２はパッケージの追加をするものであり、業務アプリの更新前に必要に応じて実施される。このため、操作１および操作２は省略することも可能である。
なお、操作１および操作２はパッケージの追加をするものであり、業務アプリの更新前に必要に応じて実施される。このため、操作１および操作２は省略することも可能である。
【0040】
また、運用作業のうち、ウイルス対策ソフトの更新は、操作１として、ＶＭにＳＳＨを用いてログインがされる。操作２として、最新ウイルス対策ソフトのパッケージまたは当該ソフト更新プラグラムを特定のリポジトリからダウンロードする。操作３として、ウイルス対策ソフト更新を実行する、つまりダウンロードしたパッケージのインストールまたは更新プログラムの実行をする。
【0041】
図３（ｂ）は、操作ログ収集サービス３０によって検出された運用作業情報を示す運用作業テーブル３２の一例を示す図である。運用作業情報は、運用作業と運用作業の実施期間を示す情報である。項目「監視対象」は、監視の対象となった対象であり、かつ運用作業が行われた対象を示す。項目「運用作業」は、行われた運用作業を示す。項目「開始日時」は、運用作業が開始された日時を示す。項目「終了日時」は、運用作業が終了した日時を示す。
【0042】
図３（ｂ）に示されるように、監視対象ＶＭ１について、ＯＳ更新の作業が、開始日時（ｄａｔｅ１０、ｔｉｍｅ１０）に開始され、終了日時（ｄａｔｅ１１、ｔｉｍｅ１１）に終了した。開始日時は、ＯＳ更新作業の操作１「ＶＭにＳＳＨでログインする」が行われた日時である。また、終了日時は、ＯＳ更新作業の操作３「ＶＭを再起動する」が行われた日時である。同様に、アプリ更新は、開始日時（ｄａｔｅ１２、ｔｉｍｅ１２）に開始され、終了日時（ｄａｔｅ１３、ｔｉｍｅ１３）に終了した。ウイルス対策ソフト更新は、開始日時（ｄａｔｅ１４、ｔｉｍｅ１４）に開始され、終了日時（ｄａｔｅ１５、ｔｉｍｅ１５）に終了した。
【0043】
操作ログおよび運用作業テーブル３２に関する情報は、操作ログ記憶部４４に保存される。
【0044】
なお、監視対象はＶＭ１に限定されず他の仮想マシン（ＶＭ２、ＶＭ３、…）を監視対象としてもよい。また、判断基準３１は、システム管理者がインターフェース部４７を介して指定する構成としてもよい。
【0045】
また、判断基準３１として、運用作業者によって行われる操作ログを用いる方法を示したが、本開示はこれ限定されない。業務アプリの更新は、ＣＩ／ＣＤ（Continuous Integration/Continuous Delivery (Deployment)）により一部の操作が自動化される場合がある。この場合には、例えばデプロイの開始時間および終了時間、または、更新の失敗があった場合には平均修復時間など、ＣＩ／ＣＤを実行する各ツールの挙動を監視することによって、業務アプリの更新が行われたことを検出することが可能である。また、業務アプリの更新が自動化された場合、メトリクス監視サービス１７およびメトリクス分析サービス２０によって、業務アプリの更新が行われたことを検知することとしてもよい。
【0046】
図４は、運用作業情報記憶部４５に保存される運用作業スケジュール４５１の一例を示す図である。運用作業スケジュール４５１は、ＩＦ部４７を通じてシステム管理者によって入力される。また、運用作業テーブル３２と同様に、運用作業スケジュール４５１においても、運用作業と運用作業の実施期間を示す運用作業情報が示されている。
【0047】
運用作業スケジュール４５１には、予定される運用作業の作業日程が示される。項目「運用作業」は、予定される運用作業を示す。項目「対象」は、運用作業が行われる対象を示す。項目「開始予定日時」は、運用作業が開始される予定の日時を示す。項目「終了予定日時」は、運用作業が完了する予定の日時を示す。図４に示されるように、ＯＳの更新は、ＶＭ１について行われ、開始予定日時（ｄａｔｅ２０、ｔｉｍｅ２０）に開始され、終了予定日時（ｄａｔｅ２１、ｔｉｍｅ２１）に完了する予定である。業務アプリの更新は、ＶＭ１について、開始予定日時（ｄａｔｅ２２、ｔｉｍｅ２２）に開始され、終了予定日時（ｄａｔｅ２３，ｔｉｍｅ２３」に完了する予定である。ウイルス対策ソフトの更新は、ＶＭ１について、開始予定日時（ｄａｔｅ２４、ｔｉｍｅ２４）に開始され、終了予定日時（ｄａｔｅ２５，ｔｉｍｅ２５）に完了する予定である。
【0048】
なお、運用作業スケジュール４５１の項目は、これに限定されない。例えば、項目として運用作業者を加えることも可能である。
【0049】
（運用作業とメトリクスの検証）
通知判定部４６は、監視・分析情報記憶部４２、操作ログ記憶部４４、運用作業情報記憶部４５から取得した情報に基づいて、メトリクスに外れ値が含まれているかどうか検出する。通知判定部４６は、監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出する。図５および図６を参照して、外れ値が発生する期間である外れ値発生期間の検出方法を説明する。
通知判定部４６は、監視・分析情報記憶部４２、操作ログ記憶部４４、運用作業情報記憶部４５から取得した情報に基づいて、メトリクスに外れ値が含まれているかどうか検出する。通知判定部４６は、監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出する。図５および図６を参照して、外れ値が発生する期間である外れ値発生期間の検出方法を説明する。
【0050】
【0051】
外れ値の検出が行われる前に、メトリクスの指定と、指定されたメトリクスの外れ値検出を行う期間である検出範囲４６１を設定する。図５（ａ）においては、メトリクスとしてＣＰＵ使用率が指定され、かつ００：００から１５：００までを検出範囲４６１としている。なお、時間軸の目盛りの間隔は、理解をしやすくするために大きさを変更して記載している。また、通知判定部４６は、メトリクス分析サービス２０から検出範囲４６１において検出されたメトリクスの値および、検出範囲４６１においてベースライン２３ａを取得する。メトリクス曲線４６３は、検出範囲４６１において検出されたメトリクスの値を示す。メトリクス曲線４６３は、メトリクス分析サービス２０によって取得され、００：００から、ｔ１、ｔ２、…、１５：００まで間の時刻におけるＣＰＵ使用量を示す。
【0052】
最初に、時刻００：００のメトリクスを参照し、外れ値であるかどうかを判定する。ここでは時刻００：００のＣＰＵ使用率はベースライン２３ａ内にあるため、次の時刻ｔ１のＣＰＵ使用率について判定する。以降、外れ値が検出されるまで、次の時刻のＣＰＵ使用率が参照され、判定が行われる。
【0053】
判定が繰り返される場合、時刻１０：０５のＣＰＵ使用率がベースライン２３ａを超えることが判定される。最初に外れ値が判定された時刻である時刻１０：０５は、外れ値判定時刻ｏｕｔｌｉｅｒ＿ｓｔａｒｔとして記録される。
【0054】
時刻１０：０５以降の時刻のＣＰＵ使用率も参照され、外れ値であるかどうか判定される。外れ値であると判定される間、ＣＰＵ使用率の参照および判定が繰り返される。
【0055】
判定が繰り返される場合、時刻１０：５２のＣＰＵ使用率がベースライン２３ａに含まれることが判定される。外れ値の期間が続いた後で最初に外れ値と判定されない時刻である時刻１０：５２は、外れ値発生終了時刻ｏｕｔｉｅｒ＿ｅｎｄとして記録される。
【0056】
１０：５２以降についてもＣＰＵ使用率の参照および判定が継続され、時刻１２：００まで行われる。このようにして、外れ値発生期間４６４が検出される。
【0057】
図６は、通知判定部４６が行う外れ値発生期間の検出方法を示す図である。
【0058】
最初に、通知判定部４６は、検出範囲４６１の始まりの時刻のメトリクスを参照し（ステップＳ２）、外れ値であるかどうかを判定する（ステップＳ３）。通知判定部４６は、外れ値が検出されるまで、次の時刻のＣＰＵ使用率を判定する（ステップＳ３においてＮｏとなってからステップＳ９に移行し、ステップＳ３に戻る）。
【0059】
通知判定部４６は、外れ値であることを判定すると（ステップＳ３においてＹｅｓ）、外れ値が発生した時刻を外れ値発生開始時刻ｏｕｔｌｉｅｒ＿ｓｔａｒｔとして取得する（ステップＳ４）。
【0060】
通知判定部４６は、外れ値発生開始時刻以降のＣＰＵ使用率も参照し、外れ値であるかどうか判定する。外れ値であると判定される間、ＣＰＵ使用率の参照および判定を繰り返す（ステップＳ５からステップＳ７）。
【0061】
通知判定部４６は、判定が繰り返される場合、外れ値の期間が続いた後で外れ値と判定されない時刻を、外れ値発生終了時刻ｏｕｔｉｅｒ＿ｅｎｄとして取得する（ステップＳ７においてＮｏとなってからステップＳ８に移行する）。
【0062】
通知判定部４６は、検出範囲４６１の終了する時刻までＣＰＵ使用量の参照および判定を繰り返す。検出範囲４６１内のメトリクスの参照が終了した場合（ステップＳ１においてＮｏ）、通知判定部４６は、外れ値発生期間４６４についての検証を終了する。
【0063】
（外れ値発生期間と運用作業との関連性）
続いて、図５（ａ）に加えて図５（ｂ）および図５（ｃ）をも参照して、外れ値発生期間４６４と運用作業の間の関連性の判断方法を説明する。図５（ｂ）は、通知判定部４６が保存する許容期間条件４６５を示す図である。図５（ｃ）は、通知判定部４６が運用作業情報記憶部４５から取得した運用作業スケジュール４５１ａを示す図である。第１実施形態においては、運用作業スケジュール４５１ａに示される運用作業および運用作業の実施予定期間を運用作業情報として扱われる。なお、図５（ｂ）の項目「開始予定日時」において、簡単のため、日付は省略し、時刻のみ表示する。
続いて、図５（ａ）に加えて図５（ｂ）および図５（ｃ）をも参照して、外れ値発生期間４６４と運用作業の間の関連性の判断方法を説明する。図５（ｂ）は、通知判定部４６が保存する許容期間条件４６５を示す図である。図５（ｃ）は、通知判定部４６が運用作業情報記憶部４５から取得した運用作業スケジュール４５１ａを示す図である。第１実施形態においては、運用作業スケジュール４５１ａに示される運用作業および運用作業の実施予定期間を運用作業情報として扱われる。なお、図５（ｂ）の項目「開始予定日時」において、簡単のため、日付は省略し、時刻のみ表示する。
【0064】
許容期間条件４６５は、外れ値発生期間４６４と運用作業の実施期間との間に重複する部分がない場合であっても、外れ値発生期間と運用作業の実施期間の間に関連性があるとみなす扱いとする、期間のずれの許容範囲を示す。ここで運用作業には、予定どおりに行われることが好ましいものと、予定に一致させる必要性が小さいもの、がある。例えば、ＯＳの更新は、予定どおりに行われることが好ましいため、許容時間を１０分以内としている。一方、ウイルス対策ソフトの更新は、予定どおりに行われなくとも業務システムの運用上の問題は大きくないため、許容時間を６０分以内としている。なお、本開示はこれらの数値に限定されるものではなく、これらの数値は適宜設定し得る。
【0065】
まず、外れ値発生期間４６４の外れ値発生開始時刻ｏｕｔｌｉｅｒ＿ｓｔａｒｔと外れ値発生終了時刻ｏｕｔｉｅｒ＿ｅｎｄが参照される。
【0066】
続いて、外れ値発生期間４６４に対して、許容期間条件４６５のうち最長の許容期間を選択して、運用作業の実施期間が含まれるとみなしうる最大の範囲である想定期間を算出する。許容期間条件４６５を参照すると、最大の許容期間はウイルス対策ソフトの更新の６０分である。したがって、想定期間の最早の開始時刻ｓｔａｒｔ＿ｍａｘ＝ｏｕｔｌｉｅｒ＿ｓｔａｒｔ－６０分＝０９：０５、想定期間の最遅の終了時間ｅｎｄ＿ｍａｘ＝ｏｕｔｉｅｒ＿ｅｎｄ＋６０分＝１１：５２を算出する。
【0067】
続いて、想定期間に実施されうる運用作業を検出する。運用作業スケジュール４５１ａによると、業務アプリの更新は、開始予定日時が９：３０、終了予定日時が１０：００である。想定期間に実施され得る運用作業の候補として、業務アプリの更新が検出される。
【0068】
なお、最早の開始時刻ｓｔａｒｔ＿ｍａｘと最遅の終了時間ｅｎｄ＿ｍａｘに予定された運用作業がない場合、外れ値発生期間４６４の要因が運用作業でないことが想定される。この場合には、システム管理者に対して状況が伝達される。
【0069】
次に、外れ値発生期間４６４に対して、推定された運用作業との間に実際に関連性があるかどうかを判断する。推定された運用作業である業務アプリの更新が行われうる場合の期間を、見込期間とする。また、業務アプリの更新の許容期間は３０分である。業務アプリの更新の見込み期間の最早の開始時刻ｓｔａｒｔ＝ｏｕｔｌｉｅｒ＿ｓｔａｒｔ－３０分＝０９：３５、見込期間の最遅の終了時間ｅｎｄ＝ｏｕｔｉｅｒ＿ｅｎｄ＋１０分＝１１：２２を算出する。
【0070】
見込期間は、運用作業スケジュール４５１ａ上の業務システムの更新の期間と重複している部分がある。このことから、外れ値発生期間４６４の発生と、業務システムの更新の作業との間に関連性があると判断される。外れ値発生期間と運用業務の実施期間との間の関連性があるので、外れ値の要因が運用作業にあると想定される。この場合には、いったん、運用作業者に対して状況が伝達される。運用作業者が業務システムの稼働状況を確認したうえで、必要があれば運用者業者からシステム管理者に状況が伝えられる。
【0071】
なお、仮に見込期間と運用作業のいずれの間にも関連を見出すことができない場合、ＣＰＵ使用量の外れ値の発生要因を別途調査する必要が生じる。この場合には、システム管理者に対して状況が通知される。
【0072】
外れ値発生期間４６４の検証が済んだので、次の外れ値発生期間に対して検証が継続される。
【0073】
図７は、通知判定部４６が行う外れ値発生期間と運用作業との関連性の判断方法を示す図である。通知判定部４６は、外れ値発生期間と運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、外れ値発生期間と運用作業情報の間に関連性がない場合、異常通知を行う。以下、詳細を説明する。
【0074】
通知判定部４６は、外れ値発生期間４６４の外れ値発生開始時刻ｏｕｔｌｉｅｒ＿ｓｔａｒｔと外れ値発生終了時刻ｏｕｔｉｅｒ＿ｅｎｄを参照する（ステップＳ１２）。
【0075】
続いて、通知判定部４６は、外れ値発生期間４６４に対して、許容期間条件４６５のうち最大の許容期間を選択して、運用作業の実施期間が含まれるとみなしうる最大の範囲である想定期間を算出する。通知判定部４６は、想定期間の最早の開始時刻をｓｔａｒｔ＿ｍａｘ＝ｏｕｔｌｉｅｒ＿ｓｔａｒｔ－最大の許容期間、想定期間の最遅の終了時間ｅｎｄ＿ｍａｘ＝ｏｕｔｉｅｒ＿ｅｎｄ＋最大の許容期間、をそれぞれ算出する（ステップＳ１３）。
【0076】
続いて、通知判定部４６は、運用作業スケジュール４５１ａに示される運用作業情報から想定期間に実施され得る運用作業を検出する（Ｓ１４）。運用作業が検出されない場合（ステップＳ１４においてＮｏ）、通知判定部４６は、外れ値発生期間４６４と運用作業情報の間に関連性がないと判断する。通知判定部４６は、ＩＦ部４７を用いて通知を行い、システム管理者に異常を示す通知を行う（ステップＳ１９）。
【0077】
次に、通知判定部４６は、検出した運用作業の許容期間を参照する（ステップＳ１５）。また、通知判定部４６は、検出された運用作業の許容期間を参照する。通知判定部４６は、検出された運用作業が行われうる見込期間について、見込期間の最早の開始時刻ｓｔａｒｔ＝ｏｕｔｌｉｅｒ＿ｓｔａｒｔ－検出された運用作業の許容期間、見込期間の最遅の終了時間ｅｎｄ＝ｏｕｔｉｅｒ＿ｅｎｄ＋検出された運用作業の許容期間、をそれぞれ算出する（ステップＳ１６）。
【0078】
通知判定部４６は、検出された運用作業に関して、見込期間と運用作業スケジュール４５１ａ上の実施期間の間に重複する部分があるかどうか判定する（ステップＳ１７）。重複する部分がない場合、通知判定部４６は、外れ値発生期間と運用作業情報の間に関連性がないと判断する。通知判定部４６は、ＩＦ部４７を用いて、システム管理者に異常を示す通知を行う（ステップＳ１９）。重複する部分がある場合、通知判定部４６は、外れ値発生期間と運用作業情報の間に関連性があると判断する。通知判定部４６は、副ＩＦ部４８を用いて、運用作業者に異常を示す通知を行う（ステップＳ１８）。
【0079】
なお、仮に見込期間と運用作業のいずれの間にも関連を見出すことができない場合、ＣＰＵ使用量の外れ値の発生要因を別途調査する必要が生じる。この場合には、通知判定部４６は、ＩＦ部４７を用いて、システム管理者に異常を示す通知を行う（ステップＳ１９）。
【0080】
通知判定部４６は、検証が行われた外れ値発生期間は処理対象から外し（ステップＳ２０）、次の外れ値発生期間を検証する（ステップＳ１１）。
【0081】
なお、ステップＳ１４において、想定期間において実施されうる運用作業が複数検出された場合、ステップＳ１５からステップＳ１７は、検出された運用作業毎に行われる。
【0082】
また、ステップＳ１９においてＩＦ部４７が用いられ、ステップＳ１８において副ＩＦ部４８を用いられているが、本開示はこれに限定されない。例えば、通知判定部４６は、ＩＦ部４７の代わりにまたはＩＦ部４７とともに、外部通知部４７ａを用いて異常を示す通知を行うことが可能である。また、通知判定部４６は、副ＩＦ部４８の代わりにまたは副ＩＦ部４８とともに、副外部通知部４８ａを用いて異常を示す通知を行うことも可能である。
例えば、外部通知部４７ａは、可視化通知サービス４０に接続する端末装置とは異なる端末装置を通じて、システム管理者に異常を示す通知を行う。言い換えると、外部通知部４７ａは、監視システム１に含まれない、監視システム１の外部の通知サービスを経由して通知を行う。通知判定部４６は、ＩＦ部４７または外部通知部４７ａの少なくともいずれかを用いて異常を示す通知を行う。このようにすることで、可視化通知サービス４０のＩＦ部４７を通じて通知の確認が行われない場合であっても、システム管理者に対して通知を行うことが可能となる。
同様に、副外部通知部４８ａは、可視化通知サービス４０に接続する端末装置とは異なる端末装置を通じて、運用作業者に異常を示す通知を行う。言い換えると、副外部通知部４８ａは、監視システム１に含まれない、監視システム１の外部の通知サービスを経由して通知を行う。通知判定部４６は、副ＩＦ部４８または副外部通知部４８ａの少なくともいずれかを用いて異常を示す通知を行う。このようにすることで、可視化通知サービス４０の副ＩＦ部４８を通じて通知の確認が行われない場合であっても、運用作業者に対して通知を行うことが可能となる。
例えば、外部通知部４７ａは、可視化通知サービス４０に接続する端末装置とは異なる端末装置を通じて、システム管理者に異常を示す通知を行う。言い換えると、外部通知部４７ａは、監視システム１に含まれない、監視システム１の外部の通知サービスを経由して通知を行う。通知判定部４６は、ＩＦ部４７または外部通知部４７ａの少なくともいずれかを用いて異常を示す通知を行う。このようにすることで、可視化通知サービス４０のＩＦ部４７を通じて通知の確認が行われない場合であっても、システム管理者に対して通知を行うことが可能となる。
同様に、副外部通知部４８ａは、可視化通知サービス４０に接続する端末装置とは異なる端末装置を通じて、運用作業者に異常を示す通知を行う。言い換えると、副外部通知部４８ａは、監視システム１に含まれない、監視システム１の外部の通知サービスを経由して通知を行う。通知判定部４６は、副ＩＦ部４８または副外部通知部４８ａの少なくともいずれかを用いて異常を示す通知を行う。このようにすることで、可視化通知サービス４０の副ＩＦ部４８を通じて通知の確認が行われない場合であっても、運用作業者に対して通知を行うことが可能となる。
【0083】
（システム管理者に対する通知）
図８は、ＩＦ部４７の表示の一例を示す図である。ＩＦ部４７は、複数のデータを一覧形式で表示する。外れ値表４７１は、累積所定の期間において検出された外れ値の検出結果を示す。項目「順位」は、外れ値が検出された回数を示す。項目「監視対象」は、異常を検知する対象を示す。項目「メトリクス」は、外れ値が検出された指標を示す。項目「外れ値数」は、外れ値が発生した回数を示す。例えば、ラベル４７０に示されるように２０２２年１２月の１か月間のなかで、ＶＭ１では、ＣＰＵ使用率に関して外れ値が１２５８回だけ検出された。また、ＶＭ２では、メモリ使用量に関して外れ値が１００３回だけ検出された。
図８は、ＩＦ部４７の表示の一例を示す図である。ＩＦ部４７は、複数のデータを一覧形式で表示する。外れ値表４７１は、累積所定の期間において検出された外れ値の検出結果を示す。項目「順位」は、外れ値が検出された回数を示す。項目「監視対象」は、異常を検知する対象を示す。項目「メトリクス」は、外れ値が検出された指標を示す。項目「外れ値数」は、外れ値が発生した回数を示す。例えば、ラベル４７０に示されるように２０２２年１２月の１か月間のなかで、ＶＭ１では、ＣＰＵ使用率に関して外れ値が１２５８回だけ検出された。また、ＶＭ２では、メモリ使用量に関して外れ値が１００３回だけ検出された。
【0084】
折れ線グラフ４７４は、メトリクス曲線４７５およびベースライン２３ｂを含む。メトリクス曲線４７５は、プルダウンリスト４７２および４７３によって指定された、ＶＭ１のＣＰＵ使用率を示す。ベースライン２３ｂは、ＶＭ１のＣＰＵ使用率が正常であるとみなされる数値の範囲を示す。また、メトリクス曲線４７５において、外れ値が発生した個所に、「外れ値ａ」、「外れ値ｂ」、「外れ値ｃ」のテキストが表示される。
【0085】
ロリポッププロット４７７は、運用作業が行われた期間を示す。バー４７８はＯＳの更新が行われた期間を示す。バー４７９は業務アプリの更新が行われた期間を示す。バー４８０はウイルス対策ソフトの更新が行われた期間を示す。
【0086】
ここで、外れ値ａからバー４７８の間には破線が描かれており、また、外れ値ｃとバー４８０の間には破線が描かれている。これは、外れ値の発生と運用作業の発生の間に関連性があることを示す。一方、外れ値ｂについては、関連性がある運用作業が示されていない。外れ値Ｂの場合、警告表示４７６を表示することによって、システム管理者に通知がされる。また、外れ値ａおよび外れ値ｃの場合、運用作業に関連して発生したものである。折れ線グラフ４７４に示されるように警告表示は行われない。
【0087】
なお、外れ値ａおよび外れ値ｃについては、異常ではあるもののシステム管理者がすぐに対応を要するものではない場合も含まれる。通知判定部４６は、副ＩＦ部４８を通じて運用作業者に通知を行う。副ＩＦ部４８は、例えば運用作業者が操作をする業務システム１１の表示部に、運用作業期間中にＣＰＵ使用量が増大したことを示す表示をする。
【0088】
なお、図８に示される表示は一例であり、本開示はこれに限定されるものではない。警告表示４７６の代わりに、外れ値ｂの異常が明示されるように、外れ値ｂに対応するメトリクス曲線４７５および時刻を強調表示することとしてもよい。また、ＩＦ部４７の表示部は、液晶パネルのように表示機能のみを有するものであってもよいし、タッチパネルディスプレイのように表示機能およびユーザの入力を受け付ける入力機能を有するものであってもよい。
【0089】
なお、項目４８１から４８３は、システム管理者の選択を受け付けると、各項目によって示される運用作業の運用作業スケジュールを表示することも可能である。また、システム管理者によって、運用作業の入力を受け付けることが可能な入力表示を示すことも可能である。
【0090】
【0091】
図９（ａ）は、ＣＰＵ使用率に外れ値発生期間が生じ、かつ外れ値発生期間の近い日時に運用作業の実施期間がない場合を示す。外れ値が運用作業によるものではないため、異常の特定が必要である。この場合、ＩＦ部４７を介してシステム管理者に通知がなされるので、外れ値の要因を早急に特定することが可能となる。
【0092】
一方、図９（ｂ）は、外れ値発生期間が生じ、かつ外れ値発生期間の近い日時に運用作業の実施期間がある場合を示す。外れ値は異常ではあるものの、外れ値の要因が運用作業であることが想定される。この場合、まず、副ＩＦ部４８を介して運用作業者に通知がなされる。直接的にシステム管理者に通知がなされないため、システム管理者が不要な対応をする必要がなくなる。
【0093】
このように第１実施形態によれば、ベースラインに基づいてメトリクスに外れ値が発生したことを判定し、外れ値発生期間と運用作業が行われる期間との間に関連性があるかどうか判断する。外れ値の発生が、運用作業に起因する想定される範囲内の挙動であるか、または運用作業に起因しない想定される範囲外の挙動であれるか、が判断される。外れ値発生が想定内か否か場合分けをしたうえで通知がなされるため、例えば、システム管理者に対しては想定内の外れ値発生の場合には通知をせず、想定外の外れ値発生の場合に通知が行うように設定することが可能である。このように外れ値発生に場合分けをしたうえで通知することによって、システム管理者に対して適切な通知を行うことが可能となる。
なお、第１実施形態においては、通知としてＩＦ部４８における警告表示４７６ならびに外部通知部４７ａおよび副外部通知部４８ａによって行われるメール等のテキスト情報による通知を示したが、本開示はこれに限定されない。音声やハプティクスデバイスを用いた通知など、ユーザに警告情報を伝達する通知方法として適用することも可能である。
なお、第１実施形態においては、通知としてＩＦ部４８における警告表示４７６ならびに外部通知部４７ａおよび副外部通知部４８ａによって行われるメール等のテキスト情報による通知を示したが、本開示はこれに限定されない。音声やハプティクスデバイスを用いた通知など、ユーザに警告情報を伝達する通知方法として適用することも可能である。
【0094】
［第２実施形態］
第２実施形態は、通知判定部４６において、運用作業情報記憶部４５から取得した運用作業スケジュール４５１ａの代わりに、操作ログ収集サービス３０によって記録された運用作業テーブル３２を用いる点で、第１実施形態と異なる。以下の説明において、上述の第１実施形態と同一又は同等の構成要素については同一の符号を付し、その説明を簡略又は省略する。
第２実施形態は、通知判定部４６において、運用作業情報記憶部４５から取得した運用作業スケジュール４５１ａの代わりに、操作ログ収集サービス３０によって記録された運用作業テーブル３２を用いる点で、第１実施形態と異なる。以下の説明において、上述の第１実施形態と同一又は同等の構成要素については同一の符号を付し、その説明を簡略又は省略する。
【0095】
第１実施形態において図７のステップＳ１４に示されるように、想定期間に含まれうる運用作業は、運用作業スケジュール４５１ａから抽出されていた。これに対し、第２実施形態にといては、想定期間に含まれる運用作業を、運用作業テーブル３２から抽出する。
【0096】
運用作業テーブル３２は、業務システム１１に行われた操作ログに基づいて検出された運用作業および実施期間を示す。第２実施形態においては、システム管理者が運用作業のスケジュールを入力しない場合であっても、外れ値発生期間と運用作業情報の間の関連性を検証することが可能となる。
【0097】
以上、本発明の実施の形態について説明したが、本発明は、上述した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能である。
例えば、第１実施形態と第２実施形態を組み合わせてもよい。運用作業スケジュール４５１ａと運用作業テーブル３２に基づいて、運用作業および実施期間の整合性を判断したうえで、外れ値発生期間と運用作業情報の間の関連性を検証することも可能である。このようにすることで、外れ値発生期間の要因の切り分けの精度を高めることができ、システム管理者に対する通知を適切に行うことが可能となる。
例えば、第１実施形態と第２実施形態を組み合わせてもよい。運用作業スケジュール４５１ａと運用作業テーブル３２に基づいて、運用作業および実施期間の整合性を判断したうえで、外れ値発生期間と運用作業情報の間の関連性を検証することも可能である。このようにすることで、外れ値発生期間の要因の切り分けの精度を高めることができ、システム管理者に対する通知を適切に行うことが可能となる。
【0098】
［その他の実施形態］
本開示は、次の態様も含む。
（態様１）
業務システムを監視し、異常を通知する監視システムであって、
前記業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析部と、
前記業務システムに対する運用作業と前記運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得部と、
前記ベースラインおよび前記運用作業情報に基づいて、前記業務システムに関する通知を行う通知判定部と、を備え、
前記通知判定部は、
前記監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出し、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記異常通知を行う、監視システム。
（態様２）
態様１に記載の監視システムであって、
前記通知判定部は、
前記外れ値発生期間と前記実施期間の間に重複する部分がない場合、前記異常通知を行わず、
前記外れ値発生期間と前記実施期間の間に重複する部分がある場合、前記異常通知を行う、監視システム。
（態様３）
態様１または２に記載の監視システムであって、
前記通知判定部は、
前記外れ値発生期間と前記実施期間の間のずれが許容期間以内である場合、前記外れ値発生期間と前記実施期間の間に重複する部分があるとみなし、前記異常通知を行う、監視システム。
（態様４）
態様１から３のいずれか１つに記載の監視システムであって、
前記運用作業情報は、前記業務システムのシステム管理者によって入力される、監視システム。
（態様５）
態様１から４のいずれか１つに記載の監視システムであって、
前記通知判定部は、前記業務システムに対して行われた操作ログを取得し、前記操作ログに基づいて前記運用作業および前記実施期間を検出する、監視システム。
（態様６）
態様１から５のいずれか１つに記載の監視システムであって、
前記業務システムの前記稼働状況を示すインターフェース部と、
前記監視システムの外部の通知サービスを経由して通知を行う外部通知部と、をさらに備え
前記通知判定部は、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、前記インターフェース部に前記異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記インターフェース部に前記異常通知を行うことまたは前記外部通知部に前記異常通知をさせることの少なくともいずれかを実行する、監視システム。
（態様７）
態様１から６のいずれか１つに記載の監視システムであって、
前記業務システムは仮想マシンである、監視システム。
（態様８）
業務システムを監視し、異常を通知する監視方法であって、
前記業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析ステップと、
前記業務システムに対する運用作業と前記運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得ステップと、
前記ベースラインおよび前記運用作業情報に基づいて、前記業務システムに関する通知を行う通知判定ステップと、を備え、
前記通知判定ステップは、
前記監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出する検出ステップと、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記異常通知を行う異常通知ステップと、をさらに有する監視方法。
本開示は、次の態様も含む。
（態様１）
業務システムを監視し、異常を通知する監視システムであって、
前記業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析部と、
前記業務システムに対する運用作業と前記運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得部と、
前記ベースラインおよび前記運用作業情報に基づいて、前記業務システムに関する通知を行う通知判定部と、を備え、
前記通知判定部は、
前記監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出し、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記異常通知を行う、監視システム。
（態様２）
態様１に記載の監視システムであって、
前記通知判定部は、
前記外れ値発生期間と前記実施期間の間に重複する部分がない場合、前記異常通知を行わず、
前記外れ値発生期間と前記実施期間の間に重複する部分がある場合、前記異常通知を行う、監視システム。
（態様３）
態様１または２に記載の監視システムであって、
前記通知判定部は、
前記外れ値発生期間と前記実施期間の間のずれが許容期間以内である場合、前記外れ値発生期間と前記実施期間の間に重複する部分があるとみなし、前記異常通知を行う、監視システム。
（態様４）
態様１から３のいずれか１つに記載の監視システムであって、
前記運用作業情報は、前記業務システムのシステム管理者によって入力される、監視システム。
（態様５）
態様１から４のいずれか１つに記載の監視システムであって、
前記通知判定部は、前記業務システムに対して行われた操作ログを取得し、前記操作ログに基づいて前記運用作業および前記実施期間を検出する、監視システム。
（態様６）
態様１から５のいずれか１つに記載の監視システムであって、
前記業務システムの前記稼働状況を示すインターフェース部と、
前記監視システムの外部の通知サービスを経由して通知を行う外部通知部と、をさらに備え
前記通知判定部は、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、前記インターフェース部に前記異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記インターフェース部に前記異常通知を行うことまたは前記外部通知部に前記異常通知をさせることの少なくともいずれかを実行する、監視システム。
（態様７）
態様１から６のいずれか１つに記載の監視システムであって、
前記業務システムは仮想マシンである、監視システム。
（態様８）
業務システムを監視し、異常を通知する監視方法であって、
前記業務システムの稼働状況を示す監視指標を取得し、監視指標が正常であるとみなされる範囲を示すベースラインを算出する監視指標分析ステップと、
前記業務システムに対する運用作業と前記運用作業の実施期間を示す運用作業情報を取得する運用作業情報取得ステップと、
前記ベースラインおよび前記運用作業情報に基づいて、前記業務システムに関する通知を行う通知判定ステップと、を備え、
前記通知判定ステップは、
前記監視指標が前記ベースラインを逸脱した期間である外れ値発生期間を検出する検出ステップと、
前記外れ値発生期間と前記運用作業情報の間に関連性がある場合、異常を示す通知である異常通知を行わず、
前記外れ値発生期間と前記運用作業情報の間に関連性がない場合、前記異常通知を行う異常通知ステップと、をさらに有する監視方法。
【符号の説明】
【0099】
１ 監視システム、１０ インフラ管理サービス、１１ 業務システム、１２ ＯＳ、１３ ウイルス対策ソフト、１４ 業務アプリ、１５ 情報収集エージェント、１６ データベース（ＤＢ）部、１７ メトリクス監視サービス、１８ 操作ログ監視サービス、１９ ネットワーク、２０ メトリクス分析サービス、２１ メトリクステーブル、２２ 予測値曲線、２３、２３ａ、２３ｂ ベースライン、３０ 操作ログ収集サービス、３１ 判断基準、３２ 運用作業テーブル、４０ 可視化通知サービス、４１ 情報取得部、４２ 監視・分析情報記憶部、４３ 情報取得部、４４ 操作ログ記憶部、４５ 運用作業情報記憶部、４６ 通知判定部、４７ インターフェース（ＩＦ）部、４７ａ 外部通知部、４８ 副インターフェース（副ＩＦ）部、４８ａ 副外部通知部、５０ 監視指標分析部、６０ 運用作業情報取得部、４５１、４５１ａ 運用作業スケジュール、４６１ 検出範囲、４６３ メトリクス曲線、４６４ 外れ値発生期間、４６５ 許容期間条件、４７０ ラベル、４７１ 外れ値表、４７２、４７３ プルダウンリスト、４７４ 線グラフ、４７５ メトリクス曲線、４７６ 警告表示、４７７ ロリポッププロット、４７８－４７９ バー、４８１－４８３ 項目
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】