インシデント・プールの管理方法、システムおよびコンピュータ・プログラム
【課題】インシデント・プールを管理する。
【解決手段】インシデントのプールであって、所定の初期期間を有するプールを作成すること、受信されたインシデントそれぞれをプールに割り当てること、インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てること、インシデントの１つ以上に関して、インシデントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかを判断すること、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、インシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、インシデントが、その所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めることを含む。
【解決手段】インシデントのプールであって、所定の初期期間を有するプールを作成すること、受信されたインシデントそれぞれをプールに割り当てること、インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てること、インシデントの１つ以上に関して、インシデントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかを判断すること、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、インシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、インシデントが、その所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めることを含む。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の分野は、データ処理であり、さらに具体的に言い換えると、分散処理システムにおける、イベントおよびアラート抑制に関連した適切なアラートの配信、ならびにイベントおよびアラート分析のためのインシデント・プール（ｉｎｃｉｄｅｎｔ ｐｏｏｌ）の管理のための方法、システムおよび製品である。
【背景技術】
【０００２】
１９４８年のＥＤＶＡＣコンピュータ・システムの開発は、コンピュータ時代の幕開けとして言及されることが多い。そのとき以来、コンピュータ・システムは、非常に複雑なデバイスへと発達してきた。今日のコンピュータは、ＥＤＶＡＣなどの初期のシステムよりも大幅に高度化されている。典型的には、コンピュータ・システムは、ハードウェアおよびソフトウェア・コンポーネントの組み合わせ、アプリケーション・プログラム、オペレーティング・システム、プロセッサ、バス、メモリ、入出力デバイスなどを含む。半導体加工およびコンピュータ・アーキテクチャの進歩がコンピュータのパフォーマンスのさらなる向上を推進していくにつれて、ハードウェアの向上したパフォーマンスを生かすよう、より高度なコンピュータ・ソフトウェアが発達し、今日では、わずか数年前よりも大幅に強力なコンピュータ・システムがもたらされている。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
集中的な計算用の現代の分散処理システムは、多数のデバイスを有し、多くのプロセスが各デバイス上で実行されることもあり、それらはすべて、自動エラー回復のため、システム管理者へのレポーティングのため、およびその他の理由による、エラーおよびステータス・レポーティングを行うことができる。多くの場合、例えばエラーの場合には、そのようなエラー・レポートおよびステータス・レポートの多さに圧倒され、それらを意味のある形で扱うことができない。例えば、１０万のエラー・レポートを受信するシステム管理者は、そのようなレポートの多さに圧倒されると考えられ、その結果、全体としてそうしたレポートの有益さおよび適切さはいっそう失われていく。
【課題を解決するための手段】
【０００４】
分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理する方法、システム、およびコンピュータ・プログラムが提供され、分散処理システムの１つ以上のコンポーネントからの複数のインシデント（ｉｎｃｉｄｅｎｔ）を、インシデント・アナライザ（ｉｎｃｉｄｅｎｔ ａｎａｌｙｚｅｒ）によってインシデント・キューから受信すること、インシデントのプールであって、所定の初期期間を有するプールを、インシデント・アナライザによって作成すること、受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること、インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てること、インシデント・アナライザによって、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする（ｃｌｏｓｅ）条件が満たされたかどうかを、インシデント・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、そのインシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること、インシデントが、その所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し（ｅｖｉｃｔ）、インシデントを次のプールに含めることが含まれる。
【０００５】
本発明の前述およびその他の目的、特徴、および利点が、添付の図面に表す本発明の例示の実施形態の、より詳しい以下の記載から明らかになる。添付の図面では、同じ参照番号は、概して本発明の例示の実施形態の同じ部分を表現する。
【図面の簡単な説明】
【０００６】
【図１】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート抑制を用いた適切なアラートの配信のための例示のシステムを表す。
【図２】本発明の実施形態による、イベントおよびアラート抑制を用いた適切なアラートの配信で有用な例示のコンピュータを含む自動計算機（ａｕｔｏｍａｔｅｄ ｃｏｍｐｕｔｉｎｇ ｍａｃｈｉｎｅｒｙ）のブロック図を示す。
【図３】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート抑制を用いた適切なアラートの配信のための例示のシステムのブロック図を示す。
【図４】本発明の実施形態による、イベント・プールへのイベントの割り当てを表す図を示す。
【図５】本発明の実施形態による、アラート・プールへのアラートの割り当てを表す図を示す。
【図６】本発明の実施形態による、イベントおよびアラート抑制を用いた適切なアラートの配信方法の例を表すフローチャートを示す。
【図７】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理する例示の方法を表すフローチャートを示す。
【図８】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するさらなる方法を表すフローチャートを示す。
【図９】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するさらなる方法を表すフローチャートを示す。
【発明を実施するための形態】
【０００７】
分散処理システムにおいて、本発明の実施形態に従い、イベントおよびアラート分析ならびに適切なアラートの配信のためにインシデント・プールを管理するための例示の方法、システム、およびコンピュータ・プログラムについて、添付の図面を参照して記載される。図１より開始する。図１は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析ならびに適切なアラートの配信のために、インシデント・プールを管理する例示のシステムを表す。分散処理システムは、典型的には、コンピュータ・ネットワークを介して通信する複数の自律コンピュータまたは半自律コンピュータ（ｓｅｍｉ−ａｕｔｏｎｏｍｏｕｓ ｃｏｍｐｕｔｅｒ）として実装される。そのような分散処理システムの例では、コンピュータは、共通の目的を達成するために相互に対話することが多い。そのような、例としての分散システムで実行されるコンピュータ・プログラムは、典型的には分散プログラムと呼ばれ、そのようなプログラムを書くプロセスを表現するには、分散プログラミングが用いられることが多い。
【０００８】
図１の例では、分散処理システム（１０１）は、並列コンピュータ・ネットワーク（１００）、データ記憶デバイス（１１８）の形態のコンピュータの不揮発性メモリ、プリンタ（１２０）の形態のコンピュータの出力デバイス、およびコンピュータ端末（１２２）の形態のコンピュータの入出力デバイスとして実装されている。図１の例の並列コンピュータ・ネットワーク（１００）は、複数の計算ノード（１０２）も含む。各計算ノードは、１つ以上のコンピュータ・プロセッサ、専用のコンピュータ・メモリ、および専用の入出力機能性から成る、自動計算デバイスである。計算ノード（１０２）は、データ通信のために、いくつかの独立したデータ通信ネットワークによって結合されており、このデータ通信ネットワークには、高速イーサネット（Ｒ）ネットワーク（１７４）、ジョイント・テスト・アクション・グループ（「ＪＴＡＧ：Ｊｏｉｎｔ Ｔｅｓｔ Ａｃｔｉｏｎ Ｇｒｏｕｐ」）ネットワーク（１０４）、共同動作向けに最適化されたツリー・ネットワーク（１０６）、およびポイント・ツー・ポイント動作向けに最適化されたトーラス・ネットワーク（１０８）が含まれる。ツリー・ネットワーク（１０６）は、計算ノードをツリー構造として編成するように計算ノードに接続されたデータ通信リンクを含む、データ通信ネットワークである。各データ通信ネットワークは、計算ノード（１０２）間のデータ通信リンクを用いて実装される。データ通信リンクは、並列コンピュータの計算ノード間の並列動作のためのデータ通信を提供する。
【０００９】
並列コンピュータ・ネットワーク（１００）は、計算ノードに加えて、データ通信ネットワークの１つ（１７４）を介して計算ノード（１０２）に結合された入出力（「Ｉ／Ｏ：ｉｎｐｕｔ／ｏｕｔｐｕｔ」）ノード（１１０、１１４）を含む。Ｉ／Ｏノード（１１０、１１４）は、計算ノード（１０２）と、Ｉ／Ｏデバイス（１１８、１２０、１２２）との間のＩ／Ｏサービスを提供する。Ｉ／Ｏノード（１１０、１１４）は、ローカル・エリア・ネットワーク（「ＬＡＮ：ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ」）（１３０）を介して、データ通信のために接続されている。さらに、並列コンピュータ・ネットワーク（１００）は、ネットワークの１つ（１０４）を介して計算ノードに結合されたサービス・ノード（１１６）を含む。サービス・ノード（１１６）は、プログラムを計算ノードへロードすること、計算ノード上でのプログラム実行を開始すること、計算ノード上でのプログラム動作の結果を回収することなど、複数の計算ノードに共通するサービスを提供する。サービス・ノード（１１６）は、イベントおよびアラート分析モジュール（１２４）を実行し、コンピュータ端末（１２２）上で実行されているサービス・アプリケーション・インターフェース（１２６）を介してシステム管理者（１２８）と通信する。
【００１０】
図１の分散処理システムのコンポーネント、すなわち、分散処理システムのデバイスまたは図１の分散処理システムのデバイス上で実行されているプロセスの多くは、イベントを介して何らかの形態のエラーまたはステータス・レポーティングを行うことができ、上記のコンポーネントの多くはさらに、そのようなイベントの１つ以上に応答してアラートを受信できる。本発明の実施形態による有用な分散処理システムでは、多くの場合、何十万または何百万ものコンポーネントが、多くの場合はイベントの形態のインシデントの提供またはアラートの受信を行うことができる。
【００１１】
インシデントとは、本明細書で使用される総称であり、以下に記載されるイベントなど、分散処理システムのコンポーネント上での特定の事象（ｏｃｃｕｒｒｅｎｃｅ）の識別情報もしくは通知、または、以下に記載されるアラートなど、多くの場合イベントに基づく、事象の純化された識別情報、または、当業者が想到するであろうその他の通知を指す。
【００１２】
インシデントは、本発明の実施形態によるイベントおよびアラート分析のためにプールにおいて管理される。インシデントのプールは、インシデントの発生時間、インシデント・キューへの記録時間、インシデント・プールに含められた時間、または当業者が想到するであろうその他の時間に基づいて整理されたインシデントの集合である。
【００１３】
図１のサービス・ノード（１１６）には、イベントおよびアラート分析モジュール（１２４）がインストールされており、イベントおよびアラート分析モジュール（１２４）は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理できるイベント・アナライザおよびアラート・アナライザとして実装された、少なくとも２つのインシデント・アナライザを含む。イベントおよびアラート分析モジュール（１２４）は、分散処理システムの１つ以上のコンポーネントからの複数のインシデントを受信すること、インシデントのプールであって、所定の初期期間を有するプールを作成すること、受信されたインシデントそれぞれをプールに割り当てること、各インシデントに、プールに含められるべき所定の最短時間を割り当てること、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかを判断すること、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、そのインシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること、ならびにインシデントが、その所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めることができる自動計算機として実装される。
【００１４】
さらに、イベントおよびアラート分析モジュール（１２４）は、本発明の実施形態による分散処理システムにおいて、イベントおよびアラート抑制を用いた適切なアラート配信を行うことができる。図１のイベントおよびアラート分析モジュール（１２４）は、分散処理システムの１つ以上のコンポーネントからの複数のイベントを、イベント・キューにおいて受信すること、イベント到着ルール（ｅｖｅｎｔ ａｒｒｉｖａｌ ｒｕｌｅｓ）、イベント・プール動作ルール（ｅｖｅｎｔｓ ｐｏｏｌ ｏｐｅｒａｔｉｏｎ ｒｕｌｅｓ）、イベント抑制ルール（ｅｖｅｎｔ ｓｕｐｐｒｅｓｓｉｏｎ ｒｕｌｅｓ）、およびイベント・プール・クローズ・ルール（ｅｖｅｎｔｓ ｐｏｏｌ ｃｌｏｓｕｒｅ ｒｕｌｅｓ）を含むイベント分析ルールを含むイベント・アナライザによって、イベント・プールに、受信されたイベントそれぞれを割り当てること、イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザによって１つ以上のアラートを特定すること、イベント・アナライザによって、イベント・プール動作ルールに基づき、イベント・プールをクローズすること、クローズされたイベント・プール内の１つ以上のイベントを抑制するかどうかを、イベント・アナライザによってイベント抑制ルールに基づき判断すること、ならびに、イベント・アナライザによって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラートを特定すること、イベント・アナライザによって特定されたすべてのアラートを、イベント・アナライザによってアラート・アナライザに送信すること、特定されたアラートを、アラート・アナライザによってアラート・プールに割り当てること、任意のアラートを抑制するかどうかを、アラート・アナライザによって、アラート分析ルールと、アラート・プール内のアラートとに基づき判断すること、ならびに、抑制されないアラートを、分散処理システムの１つ以上のコンポーネントに送ることができる自動計算機として実装される。
【００１５】
一部の実施形態では、抑制されないアラートは、分散処理システムの１つ以上のコンポーネントに送られる。そのようなコンポーネントの１つは、システム管理者に表示するために、コンピュータ端末（１２２）としてもよい。他のコンポーネントには、イベントを生成したコンポーネント、エラー・レポーティング用のコンポーネント、自動エラー回復用のコンポーネント、またはそのほか当業者が想到するであろう任意のコンポーネントが含まれ得る。
【００１６】
図１のイベントおよびアラート分析モジュール（１２４）は、任意の時点で、受信されるイベントおよび生成されるアラートなど、発生するインシデントの数を、分散処理システムにおける問題または事象を特定しようと試みるシステム管理者（１２８）にとって、より扱いやすいものにすることを可能にする。本発明の実施形態による、イベントおよびアラート分析、ならびにイベントおよびアラート抑制を用いる適切なアラートの配信のためのインシデント・プールの管理は、分散処理システムに関連する機能およびエラーの管理方法を判断する際にユーザにとってより意味のあるアラートを提供する。
【００１７】
図１に表されている例示の分散処理システムを構成するノード、ネットワーク、およびＩ／Ｏデバイスの構成は、説明のみのためのものであり、本発明を制限するものではない。本発明の実施形態によるイベントおよびアラート分析、ならびに適切なアラートの配信のためにインシデント・プールを管理できる分散データ処理システムは、当業者が想到するであろうように、図１に示されていないさらなるノード、ネットワーク、デバイス、およびアーキテクチャを含んでもよい。図１の例の並列コンピュータ・ネットワーク（１００）は、１６の計算ノード（１０２）を含む。本発明の実施形態による適切なアラートの配信を行うことができる並列コンピュータは、何千もの計算ノードを含むこともある。上記のデータ処理システムにおけるネットワークは、イーサネットおよびＪＴＡＧに加えて、例えばＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ：伝送制御プロトコル）、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ：インターネット・プロトコル）、および当業者が想到するであろう他のものを含む、多数のデータ通信プロトコルをサポートし得る。本発明の様々な実施形態は、図１に表されているものに加えて、様々なハードウェア・プラットフォーム上に実装され得る。
【００１８】
本発明による、イベントおよびアラート分析、ならびにイベントおよびアラート抑制を用いる適切なアラートの配信のためのインシデント・プールの管理は、概して、コンピュータ、すなわち自動計算機を用いて実装される。例えば、図１のシステムでは、並列コンピュータのすべてのサービス・ノード、Ｉ／Ｏノード、計算ノードが、少なくともある程度、コンピュータとして実装される。したがって、さらなる説明のために、図２は、本発明の実施形態による適切なアラートの配信で有用な例示のコンピュータ（１５２）を含む自動計算機のブロック図を示す。図２のコンピュータ（１５２）は、少なくとも１つのプロセッサ（１５６）、すなわち「ＣＰＵ」、ならびにランダム・アクセス・メモリ（１６８）（「ＲＡＭ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ」）を含み、ＲＡＭ（１６８）は、高速メモリ・バス（１６６）およびバス・アダプタ（１５８）を介して、プロセッサ（１５６）と、コンピュータ（１５２）の他のコンポーネントとに接続され、さらに、分散処理システム（１０１）の他のコンポーネントとの通信用のアダプタに、拡張バスを介して接続されている。
【００１９】
ＲＡＭ（１６８）には、本発明の実施形態による適切なアラートの配信のための自動計算機のモジュールである、イベントおよびアラート分析モジュール（１２４）が記憶されている。イベントおよびアラート分析モジュール（１２４）は、本発明の実施形態による２つのインシデント・アナライザを含む。インシデント・アナライザは、イベント・アナライザ（２０８）およびアラート・アナライザ（２１８）を含む。イベント・アナライザ（２０８）およびアラート・アナライザは、それぞれ、本発明の実施形態による分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理することができる。本発明の実施形態によれば、イベント・アナライザは、分散処理システムの１つ以上のコンポーネントからの複数のイベントを、イベント・アナライザによってイベント・キューから受信すること、イベントのプールであって、所定の初期期間を有するプールを、イベント・アナライザによって作成すること、受信されたイベントそれぞれを、イベント・アナライザによってプールに割り当てること、イベント・アナライザによって、各イベントに、プールに含められるべき所定の最短時間を割り当てること、イベント・アナライザによって、イベントの１つ以上に関して、そのイベントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかをイベント・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各イベントに関して、そのイベントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、イベントが、その所定の最短時間プールに入っていた場合、クローズされたプールにイベントを含めること、ならびにイベントが、その所定の最短時間プールに入っていない場合、クローズされたプールからイベントを取り出し、イベントを次のプールに含めることによって、イベントのプールの管理を行う。
【００２０】
本発明の実施形態によれば、アラート・アナライザは、分散処理システムの１つ以上のコンポーネントからの複数のアラートを、アラート・アナライザによってアラート・キューから受信すること、アラートのプールであって、所定の初期期間を有するプールを、アラート・アナライザによって作成すること、受信されたアラートそれぞれを、アラート・アナライザによってプールに割り当てること、アラート・アナライザによって、各アラートに、プールに含められるべき所定の最短時間を割り当てること、アラート・アナライザによって、アラートの１つ以上に関して、そのアラートに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかをアラート・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各アラートに関して、そのアラートが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、アラートが、その所定の最短時間プールに入っていた場合、クローズされたプールにアラートを含めること、ならびにアラートが、その所定の最短時間プールに入っていない場合、クローズされたプールからアラートを取り出し、アラートを次のプールに含めることによって、アラートのプールの管理を行う。
【００２１】
図２のイベント・アナライザは、受信されたイベントに基づきアラートを特定できる、自動計算機のモジュールである。すなわち、イベント・アナライザは、主として、イベントを受信し、アラートを生成する。多くの実施形態において、複数のイベント・アナライザが並行して実装される。上記のイベント・アナライザは、イベントの特定のプールに割り当てられることが多く、特定のコンポーネントからのイベントまたは特定の事象に起因するイベントに集中して、より簡潔なアラートのセットを生成してもよい。
【００２２】
図２のアラート・アナライザは、送るべきアラートをイベントおよび他のアラートから特定すること、送るべき追加のアラートを特定すること、およびイベント・アナライザによって特定された、不要な、または不適切な、またはその他の理由で望ましくないアラートを抑制することができる、自動計算機のモジュールである。すなわち、アラート・アナライザは、主として、アラートおよびイベントを受信し、そのアラートおよびイベントに基づきアラートを生成または転送する。多くの実施形態において、複数のアラート・アナライザが並行して実装される。上記のアラート・アナライザは、アラートの特定のプールに割り当てられることが多く、特定の属性を持つアラートに集中して、より簡潔なアラートのセットを生成してもよい。
【００２３】
図２のイベントおよびアラート分析モジュール（１２４）は、分散処理システム（１０１）の１つ以上のコンポーネント（例えば１００、１８２、１８１、１８０および１７０）からの複数のイベントを、イベント・キューにおいて受信すること、受信されたイベントそれぞれをイベント・アナライザ（２０８）によってイベント・プールに割り当てること、イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザ（２０８）によって１つ以上のアラートを特定すること、イベント・アナライザ（２０８）によって、イベント・プール動作ルールに基づき、イベント・プールをクローズすること、クローズされたイベント・プール内の１つ以上のイベントを抑制するかどうかを、イベント・アナライザ（２０８）によってイベント抑制ルールに基づき判断すること、イベント・アナライザ（２０８）によって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラートを特定すること、イベント・アナライザによって特定されたすべてのアラートを、イベント・アナライザ（２０８）によってアラート・アナライザ（２１８）に送信すること、特定されたアラートを、アラート・アナライザ（２１８）によってアラート・プールに割り当てること、任意のアラートを抑制するかどうかを、アラート・アナライザ（２１８）によって、アラート分析ルールと、アラート・プール内のアラートとに基づき判断すること、ならびに、抑制されないアラートを、分散処理システムの１つ以上のコンポーネントに送ること（４２８）のコンピュータ・プログラム命令を含む。
【００２４】
ＲＡＭ（１６８）には、オペレーティング・システム（１５４）も記憶されている。本発明の実施形態による適切なアラートの配信に有用なオペレーティング・システムには、ＵＮＩＸ（ＴＭ）、Ｌｉｎｕｘ（ＴＭ）、Ｍｉｃｒｏｓｏｆｔ ＸＰ（ＴＭ）、ＡＩＸ（ＩＢＭ社の登録商標）、ＩＢＭのｉ５／ＯＳ（ＩＢＭ社の登録商標）、および当業者が想到するであろう他のものが含まれる。図２の例のオペレーティング・システム（１５４）、イベントおよびアラート分析モジュール（１２４）、イベント・アナライザ（２０８）、アラート・アナライザ（２１８）は、ＲＡＭ（１６８）内に示されているが、そのようなソフトウェアの多くのコンポーネントは、典型的には、例えばディスク・ドライブ（１７０）などの不揮発性メモリにも記憶される。
【００２５】
図２のコンピュータ（１５２）は、拡張バス（１６０）およびバス・アダプタ（１５８）を介して、プロセッサ（１５６）と、コンピュータ（１５２）のその他のコンポーネントとに結合された、ディスク・ドライブ・アダプタ（１７２）を含む。ディスク・ドライブ・アダプタ（１７２）は、不揮発性データ記憶装置を、ディスク・ドライブ（１７０）の形態でコンピュータ（１５２）に接続する。本発明の実施形態による適切なアラートの配信のためのコンピュータで有用なディスク・ドライブ・アダプタには、統合ドライブ・エレクトロニクス（「ＩＤＥ：Ｉｎｔｅｇｒａｔｅｄ Ｄｒｉｖｅ Ｅｌｅｃｔｒｏｎｉｃｓ」）アダプタ、小型コンピュータ・システム・インターフェース（「ＳＣＳＩ：Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ」）アダプタ、および当業者が想到するであろう他のものが含まれる。さらに、不揮発性コンピュータ・メモリは、当業者が想到するであろうように、光ディスク・ドライブ、電気的消去可能プログラム可能読み取り専用メモリ（いわゆる「ＥＥＰＲＯＭ：ｅｌｅｃｔｒｉｃａｌｌｙ ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ」または「フラッシュ」メモリ）、ＲＡＭドライブなどとして実装されてもよい。
【００２６】
図２のコンピュータ（１５２）の例は、１つ以上の入出力（「Ｉ／Ｏ」）アダプタ（１７８）を含む。Ｉ／Ｏアダプタは、例えば、コンピュータ・ディスプレイ画面などのディスプレイ・デバイスへの出力、ならびにキーボードおよびマウスなどのユーザ入力デバイス（１８１）からのユーザ入力を制御するソフトウェア・ドライバおよびコンピュータ・ハードウェアを介して、ユーザ指向の入出力を実装する。図２のコンピュータ（１５２）の例は、ビデオ・アダプタ（２０９）を含み、これは、ディスプレイ画面またはコンピュータ・モニタなどのディスプレイ・デバイス（１８０）へのグラフィック出力用に特別に設計されたＩ／Ｏアダプタの例である。ビデオ・アダプタ（２０９）は、高速ビデオ・バス（１６４）、バス・アダプタ（１５８）、および、同じく高速バスであるフロント・サイド・バス（１６２）を介してプロセッサ（１５６）に接続されている。
【００２７】
図２の例示のコンピュータ（１５２）は、その他のコンピュータ（１８２）とのデータ通信および並列コンピュータ・ネットワーク（１００）とのデータ通信用の通信アダプタ（１６７）を含む。上記のデータ通信は、ＲＳ−２３２接続を介してシリアル方式で、ユニバーサル・シリアル・バス（「ＵＳＢ：Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ」）などの外部バスを介して、ＩＰデータ通信ネットワークなどのデータ通信ネットワークを介して、および当業者が想到するであろう他の方法で実行され得る。通信アダプタは、ハードウェア・レベルのデータ通信を実装し、それを介して１つのコンピュータが別のコンピュータへ直接またはデータ通信ネットワークを介してデータ通信を送信する。本発明の実施形態による適切なアラートの配信に有用な通信アダプタの例には、有線ダイヤルアップ通信用のモデム、有線データ通信ネットワーク通信用のイーサネット（ＩＥＥＥ ８０２．３）アダプタ、および無線データ通信ネットワーク通信用の８０２．１１アダプタが含まれる。
【００２８】
さらなる説明のために、図３は、本発明の実施形態による、分散処理システム（１０１）におけるイベントおよびアラート分析ならびに適切なアラートの配信のために、インシデント・プールを管理する例示のシステムのブロック図を示す。図３の方法は、イベント・キュー（２０６）において、分散処理システム（１０１）の１つ以上のコンポーネントからの複数のイベント（２０２）を受信することを含む。本発明の実施形態による分散処理システムのコンポーネントは、分散処理システムのデバイス、または分散処理システムのデバイス上で実行されているプロセスであってもよい。上記のコンポーネントは、多くの場合はエラーまたはステータス・レポーティングのために、何らかの形態のイベント送信ができることが多い。
【００２９】
本発明の実施形態によるイベントは、分散処理システムのコンポーネント内またはコンポーネント上での特定の事象の通知である。本発明によれば、そのようなイベントは、事象が発生したコンポーネントまたは別のレポーティング・コンポーネントから、イベントおよびアラート分析モジュールに送信される。イベントは、データ処理システムのコンポーネントにおいて発生するエラーの通知であることが多い。イベントは、データ通信ネットワークまたは共有メモリのいずれかを介して送信されるメッセージとして実装されることが多い。本発明の実施形態によるイベントおよびアラート分析に関する典型的なイベントは、発生時間、記録時間、イベント・タイプ、イベントＩＤ、レポーティング・コンポーネント、およびソース・コンポーネント、ならびにその他の属性を含む。発生時間は、コンポーネント上でイベントが発生した時間である。記録時間は、イベント・キュー（２０６）にイベントが含められた時間であり、典型的には、図３の例にあるモニタ（２０４）によってイベントに挿入される。イベント・タイプは、当業者が想到するであろうように、例えば電源エラー、リンク障害エラー、メッセージの未受信またはパケット損失に関するエラーなどの一般的なイベントのタイプである。イベントＩＤは、イベントの固有の識別情報である。レポーティング・コンポーネントは、イベントをレポートしたコンポーネントの識別情報である。ソース・コンポーネントは、イベントが発生したコンポーネントの識別情報である。すべてではないが、多くの場合、レポーティング・コンポーネントと、ソース・コンポーネントとは、分散処理システムの同一コンポーネントである。
【００３０】
図３の例では、イベントおよびアラート分析モジュール（１２４）は、分散処理システムのコンポーネントからイベントを受信し、受信されたイベント（２０２）をイベント・キュー（２０６）に入れるモニタ（２０４）を含む。図３のモニタ（２０４）は、分散処理システムのコンポーネントから、その合図に応じてイベントを受信してもよく、分散処理システムのコンポーネントの１つ以上に定期的にポーリングを行ってもよく、または当業者が想到するであろうその他の方法でコンポーネントからイベントを受信してもよい。
【００３１】
図３のシステムは、イベント・アナライザ（２０８）を含む。図３のイベント・アナライザ（２０８）は、受信されたイベントに基づきアラートを特定できる、自動計算機のモジュールである。すなわち、イベント・アナライザは、主として、イベントを受信し、アラートを生成する。多くの実施形態において、複数のイベント・アナライザが並行して実装される。イベント・アナライザは、イベントの特定のプールに割り当てられることが多く、特定のコンポーネントからのイベントまたは特定の事象に起因するイベントに集中して、より簡潔なアラートのセットを生成してもよい。
【００３２】
図３のイベント・アナライザ（２０８）は、受信されたイベント（２０２）それぞれをイベント・プール（２１２）に割り当てる。イベント・プール（２１２）は、イベントの発生時間、イベント・キューへの記録時間、イベント・プールに含められた時間、または当業者が想到するであろうその他の時間に基づいて整理されたイベントの集合である。すなわち、イベント・プールは、時間に基づいて整理されたイベントの集合である。上記のイベント・プールは、多くの場合、時間に関係するイベントのグループを分析し、それに基づきアラートを特定する能力を提供する。上記のイベント・プールは、関係する複数のイベントに基づき、より少数で、より適切なアラートを特定するのに有用であることが多い。
【００３３】
本発明の実施形態によれば、イベント・プール（２１２）は、イベント・アナライザ（２０８）によって管理される。本発明の実施形態によれば、イベント・アナライザは、分散処理システムの１つ以上のコンポーネントからの複数のイベントを、イベント・アナライザによってイベント・キューから受信すること、イベントのプールであって、所定の初期期間を有するプールを、イベント・アナライザによって作成すること、受信されたイベントそれぞれを、イベント・アナライザによってプールに割り当てること、イベント・アナライザによって、各イベントに、プールに含められるべき所定の最短時間を割り当てること、イベント・アナライザによって、イベントの１つ以上に関して、そのイベントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかをイベント・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各イベントに関して、そのイベントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、イベントが、その所定の最短時間プールに入っていた場合、クローズされたプールにイベントを含めること、イベントが、その所定の最短時間プールに入っていない場合、クローズされたプールからイベントを取り出し、イベントを次のプールに含めることによって、イベントのプールの管理を行う。
【００３４】
前述のように、図３の方法によるイベント・プールは、所定の初期期間を有する。図３の例では、受信されたイベントそれぞれをイベント・アナライザによってイベント・プールに割り当てることは、イベント・プールに割り当てられる各イベントごとに、そのイベントに割り当てられている特定の期間、所定の初期期間を延長することを含む。このように、アラートを特定するために有益に使用され得るイベントの集合がイベント・プールに割り当てられるまで、受信される各イベントごとにプールが延長される。
【００３５】
上記のように、本発明の一部の実施形態では、２つ以上のイベント・アナライザが並行して動作してもよい。よって、各イベント・アナライザが、本発明の実施形態による適切なアラートの配信のために、１つ以上のイベント・プールを保持してもよい。したがって、イベント・アナライザによってイベントをイベント・プールに割り当てることは、１つ以上の特定のコンポーネントからのイベントのみを選択することを含んでもよい。そのような実施形態では、特定のイベント・プールに対して、特定のコンポーネントが選択されて、１つ以上のコンポーネントの特定のセットからの、特定の期間に関連するイベントが提供されてもよい。
【００３６】
さらに、イベント・アナライザによる、イベントのイベント・プールへの割り当ては、特定のイベント・タイプのイベントのみを選択することによって実行されてもよい。そのような実施形態では、特定のイベント・プールに対して、特定のイベントが選択されて、イベント・タイプの特定のセットからの、特定の期間に関連するイベントが提供されてもよい。
【００３７】
図３の例にあるイベント・アナライザ（２０８）は、イベント分析ルール（２１０）と、イベント・プールに割り当てられているイベントとに基づき、１つ以上のアラート（２１４）を特定する。イベント分析ルール（２１０）は、受信されたイベントを意味があるように構文解析し、イベントに基づき適切なアラートを特定するための、所定のルールの集合である。
【００３８】
図３のイベント分析ルール（２１０）は、イベント到着ルール（２３０）、イベント・プール動作ルール（２３２）、イベント抑制ルール（２３４）、およびイベント・プール・クローズ・ルール（２３６）を含む。イベント到着ルール（２３０）は、イベントがイベント・プールに割り当てられるときに、それらのイベントに基づき、リアル・タイムでアラートを特定するための、設定可能な所定のルールである。すなわち、イベント到着ルール（２３０）は、イベント・プールをクローズする前に、イベントに基づきアラートを特定する。上記のルールは、主として、当該イベントの属性に基づき特定のアラートを特定するよう、あらかじめ定められる。イベント到着ルールは、例えば、イベントの特定のイベント・タイプもしくはコンポーネント・タイプ、またはそのイベントの他の属性に基づき、システム管理者に送る所定の特定のアラートを特定することを指示してもよい。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００３９】
本発明の実施形態によるアラートは、２つ以上のイベントに基づく、エラーなどの事象の純化された識別情報であり、したがって、分散処理システムにおける事象の影響との関連で、事象の識別情報を提供する。多くの場合、アラートは、データ処理システムの１つ以上のコンポーネントから受信された複数のイベントに基づき特定される、特定のエラー・タイプの事象、例えば単一のリンク障害に基づいて多数のイベントをそれぞれ生成する複数のデバイスの間のリンク障害、または多数のイベントを引き起こす電源障害などの通知であり得る。
【００４０】
アラートは、データ通信ネットワークまたは共有メモリを介して送信されるメッセージとして実装されることが多い。本発明の実施形態による典型的なアラートは、アラートが特定されるもととなった受信イベントの属性に基づいて付加された属性を有する。
【００４１】
イベント・プール動作ルール（２３２）は、イベント・プールの動作を制御するための、設定可能な所定のルールである。上記のルールは、各イベント・プールの所定の初期期間を特定するルール、新たなイベントそれぞれがプールに割り当てられるとプールが延長される時間の長さを指示するルール、プールがクローズされるときにイベントの集合にイベントが含められるために、それまでにそのイベントがプールに入っていなければならない最短時間を指示するルール、イベント・プールのクローズを制御するルール、および当業者が想到するであろう他のものを含む。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００４２】
イベント抑制ルール（２３４）は、アラートの特定に使用されるクローズされたイベントのプール内の１つ以上のイベントを抑制するための、設定可能な所定のルールである。すなわち、多くの場合、クローズされたイベント・プール内のイベントは、重複したイベントであること、冗長なイベントであること、もしくはその他の理由でアラートの特定に不要である、または役に立たないイベントであることがある。上記の抑制ルールは、主として、抑制される当該イベントを、削除、廃棄、またはその他の形で無視するようあらかじめ定められる。イベント抑制ルールは、例えば、特定のイベント・タイプまたはコンポーネント・タイプの、閾値数を超えるイベントが抑制されるよう指示してもよい。上記のルールにも柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００４３】
イベント・プール・クローズ・ルール（２３６）は、クローズされたイベント・プール内の抑制されないイベントと、イベント到着ルールによって特定されたアラートとに基づきアラートを特定するための、設定可能な所定のルールである。すなわち、イベント・プール・クローズ・ルールは、クローズされたイベント・プール内の、１つ以上の抑制されないイベントに基づき、または抑制されないイベントすべてにさえも基づき、新たなアラートを特定する。さらに、イベント・プール・クローズ・ルールは、イベント到着ルール（２３０）によって特定されたアラートに基づき、またはイベント到着ルール（２３０）によって特定されたアラートと、クローズされたイベント・プール内の抑制されないイベントのうちの１つ以上との組み合わせに基づき、アラートを特定する。
【００４４】
図３の例にあるイベント・アナライザ（２０８）は、イベント・アナライザ（２０８）によって特定されたすべてのアラート（２１４）をアラート・アナライザ（２１８）に送信する。図３のアラート・アナライザは、送るべきアラートをイベントおよび他のアラートから特定すること、送るべき追加のアラートを特定すること、およびイベント・アナライザによって特定された、不要な、または不適切な、またはその他の理由で望ましくない、もしくは役に立たないアラートを抑制することができる、自動計算機のモジュールである。すなわち、アラート・アナライザは、主として、アラートおよびイベントを受信し、そのアラートおよびイベントに基づきアラートを生成または転送する。多くの実施形態において、複数のアラート・アナライザが並行して実装される。図３の例にあるアラート（２１４）は、イベント・アナライザ（２０８）から、アラート・アナライザ（２１８）にアラート・キュー（２１６）を介して送信される。
【００４５】
図３のアラート・アナライザ（２１８）は、特定されたアラート（２１４）それぞれをアラート・プール（２２４）に割り当てる。アラート・プール（２２４）は、アラートの特定をもたらす１つ以上のイベントの時間、アラートの特定時間、または当業者が想到するであろう他の時間に基づいて整理されたアラートの集合である。すなわち、アラート・プールは、時間に基づいて整理されたアラートの集合である。上記のアラート・プールは、多くの場合、特定されて何らかの時間に従いアラート・プールに含められた、アラートのグループを分析する能力を提供する。上記のアラート・プールは、関係する複数のイベントおよび関係する複数のアラートに基づき、より少数で、より適切なアラートを特定するのに有用であることが多い。
【００４６】
本発明の実施形態によれば、アラート・アナライザは、分散処理システムの１つ以上のコンポーネントからの複数のアラートを、アラート・アナライザによってアラート・キューから受信すること、アラートのプールであって、所定の初期期間を有するプールを、アラート・アナライザによって作成すること、受信されたアラートそれぞれを、アラート・アナライザによってプールに割り当てること、アラート・アナライザによって、各アラートに、プールに含められるべき所定の最短時間を割り当てること、アラート・アナライザによって、アラートの１つ以上に関して、そのアラートに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかをアラート・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各アラートに関して、そのアラートが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、アラートが、その所定の最短時間プールに入っていた場合、クローズされたプールにアラートを含めること、アラートが、その所定の最短時間プールに入っていない場合、クローズされたプールからアラートを取り出し、アラートを次のプールに含めることによって、アラートのプールの管理を行う。
【００４７】
アラート・アナライザは、特定されたアラートを、アラートの属性または当該のアラートが特定されるもととなったイベントの属性に基づき、アラート・プール（２２４）に割り当ててもよい。例えば、図３のアラート・アナライザは、当業者が想到するであろうように、１つ以上の特定のコンポーネントからのイベントから生じたアラート、特定のアラート・タイプに関連するアラートを選択することなどによって、アラートをアラート・プール（２２４）に割り当ててもよい。
【００４８】
図３のアラート・アナライザ（２１８）は、任意のアラートを抑制するかどうかを、アラート分析ルール（２２２）と、アラート・プール内のアラートとに基づき判断する。アラートの抑制は、典型的には、アラートを廃棄すること、アラートを削除すること、または別の形で、無視すること、または抑制されるアラートを分散処理システムのコンポーネントに送らないことによって実行される。
【００４９】
アラート分析ルール（２２２）は、例えばシステム管理者に表示するためなどに分散処理システムのコンポーネントに送られるより適切なアラートのセットを提供し、分散処理システムの１つ以上のコンポーネントに送られる追加のアラートを特定するために、１つ以上のアラートを抑制するルールの集合である。例えば、アラート分析ルールは、当業者が想到するであろうように、重複したアラートが抑制されること、特定のコンポーネントに送られる特定のタイプのアラートが抑制されることなどを指示してもよい。上記のアラートは、自動エラー回復用の分散処理システムのコンポーネントにとって、またはシステム管理者にとって、より意味があるものであってもよい。システム管理者は、他の場合であれば、いくつかの分析されていない生のアラートによって、より少ない情報しか与えられないと考えられる。
【００５０】
さらに、図３のアラート・アナライザ（２１８）は、イベント・キュー（２０６）にアクセスできる。一部の実施形態では、図３のアラート・アナライザ（２１８）は、アラート分析ルールに基づき、イベント・キューからイベントを選択し、任意のアラートを抑制するかどうかを、選択されたイベントに基づき判断してもよい。すなわち、アラート分析ルールは、アラートの抑制、および１つ以上のコンポーネントに送る追加のアラートの特定に関して、イベントおよびその属性も考慮に入れてもよい。上記のイベントは、アラート・プール内のアラートに関係してもよく、またはそうしたアラートからは独立していてもよい。
【００５１】
図３のアラート・アナライザ（２１８）は、抑制されないアラートを、分散処理システムの１つ以上のコンポーネントに送る。アラート・アナライザは、アラートをメッセージとして、データ通信ネットワークを通して、または共有メモリを介して、または当業者が想到するであろうその他の方法で送信することによって、抑制されないアラートを分散処理システムの１つ以上のコンポーネントに送ってもよい。図３の例では、抑制されないアラート（２２０）は、システム管理者（１２８）に対して表示されるようコンピュータ端末（１２２）に送られる。
【００５２】
さらに、図３のアラート・アナライザ（２１８）は、アラート分析ルール（２２２）、アラート・プール（２２４）内のアラート、および選択されたイベント（２０２）に基づき、１つ以上の追加のアラートを特定し、分散処理システムの１つ以上のコンポーネントに送ることができる。追加のアラートは、イベント・アナライザによって特定されていない１つ以上のアラートを含んでもよい。そのような追加のアラートは、システム管理者の、分散処理システムのコンポーネントに、追加情報を提供してもよい。
【００５３】
上記のように、本発明による適切なアラートの配信は、イベントをイベント・プールに割り当てることを含み、そのプールは、本発明の実施形態に従って管理される。さらなる説明のために、図４は、本発明の実施形態による、イベント・プールへのイベントの割り当てを表す図を示す。イベント・プール（２１２）は、イベントの発生時間、イベント・キューへの記録時間、イベント・プールに含められた時間、または当業者が想到するであろうその他の時間に基づいて整理されたイベントの集合である。すなわち、イベント・プールは、時間に基づいて整理されたイベントの集合である。上記のイベント・プールは、多くの場合、時間に関係するイベントのグループを分析し、それに基づきアラートを特定する能力を提供する。上記のイベント・プールは、関係する複数のイベントに基づき、より少数で、より適切なアラートを特定するのに有用であることが多い。
【００５４】
本発明の実施形態によるイベント・プールは、主として、イベント・プール動作ルールに従って動作させられ、多くの場合、このルール自体はイベント分析ルールに含まれる。上記のイベント・プール動作ルールは、イベント・プールの動作を制御するための、設定可能な所定のルールである。上記のルールは、各イベント・プールの所定の初期期間を特定するルール、新たなイベントそれぞれがプールに割り当てられるとプールが延長される時間の長さを指示するルール、プールがクローズされるときにイベントの集合にイベントが含められるために、それまでにそのイベントがプールに入っていなければならない最短時間を指示するルール、イベント・プールのクローズを制御するルール、および当業者が想到するであろう他のものを含む。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００５５】
多くの場合、イベントは、記録時間に従いイベント・プールに割り当てられる。すなわち、イベントは、典型的には、イベント・キューにおいて受信された順序でイベント・プールに挿入される。図４の例では、イベント・プール（２１２）のタイミングは、第１のイベント「イベント０」（４００）が、時間ｔ０にイベント・プール（２１２）に割り当てられたときに開始される。図４のイベント・プールは、所定の初期期間ｔ０〜ｔｆで開始される。すなわち、第１のイベント「イベント０」（４００）を受信すると、図４のイベント・プールは、ｔ０に始まりｔｆに終わる所定の初期期間を有する。所定の初期期間は、当業者が想到するであろうように、分散処理システム内のコンポーネントの数、イベント受信の頻度、主に受信されるイベントのタイプなど、当業者が想到するであろういつくかの要因に基づき設定してもよい。
【００５６】
図４の例では、所定の初期期間ｔ０〜ｔｆの間イベント・プールに割り当てられる新たなイベントごとに、そのイベントに割り当てられている特定の期間、初期期間が延長される。図４の例では、「イベント１」（４０２）をイベント・プール（２１２）に割り当てると、所定の初期期間ｔ０〜ｔｆが、時間ｅ１を有する「延長１」（４０６）延長され、それによって新たな時間がもたらされ、ｔｆ＋ｅ１より前にプールに他のイベントが割り当てられなければｔｆ＋ｅ１にイベント・プール（２１２）がクローズされる。同じく、図４の例では、時間ｅ２を有する「イベント２」（４０４）をイベント・プールに割り当てると、そのときすでに延長されている期間ｔ０〜ｔｆ＋ｅ１が、再び延長２（４０８）延長され、それによって新たな時間が規定され、ｔｆ＋ｅ１＋ｅ２より前、またはイベント・プールの何らかの最長時間が終了する前にプールに他のイベントが割り当てられなければ時間ｔｆ＋ｅ１＋ｅ２にプールがクローズされる。このように、アラートを特定するために有益に使用され得るイベントの集合がイベント・プールに割り当てられるまで、受信される各イベントごとにイベント・プールが延長される。
【００５７】
本発明の典型的な実施形態では、イベント・プールは、それ以上は延長できない最長持続時間を有してもよい。そのような場合には、閾値期間イベント・プールになかったイベントは、次のイベント・プールに移動される、という要求事項が存在してもよい。一部の実施形態では、次のイベント・プールに移動されるそうしたイベントの属性は、最初のイベント・プールを用いる本発明の実施形態による適切なアラートの配信に使用され、他の実施形態では、そうしたイベントの属性は、そのイベントの移動先である次のイベント・プールを用いる適切なアラートの配信に使用される。
【００５８】
図４の例では、プールをクローズする条件が満たされると、イベント・アナライザは、イベント・プール（２１２）内の各イベント（４００、４０２、４０４）に関して、そのイベントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断する。イベントが、その所定の最短時間プールに入っていた場合、イベントは、本発明の実施形態による適切なアラートの配信のためのイベント分析のために、クローズされたプールに含められる。イベントが、その所定の最短時間プールに入っていない場合、イベントは、クローズされたプールから取り出され、本発明の実施形態による適切なアラートの配信のためのイベント分析のために、次のプールに含められる。
【００５９】
多くの実施形態では、複数のイベント・プールが並行して使用されてもよく、そのようなイベント・プールの１つ以上が、特定のイベント・アナライザに割り当てられる。そのような実施形態では、イベント・アナライザは、特定の属性を有するイベント・プール内のイベントを対象としてもよい。
【００６０】
上記のように、本発明による適切なアラートの配信は、さらに、アラート・プールにアラートを割り当てることを含む。さらなる説明のために、図５は、本発明の実施形態による、アラート・プールへのアラートの割り当てを表す図を示す。図５のアラート・プール（２２４）は、図４のイベント・プールと似た形で動作する。すなわち、図５の例によるアラート・プールは、アラートを含み、アラート・プールのタイミングは、第１のアラート「アラート０」（５００）により時間ｔ０に始まり、所定の初期期間ｔ０〜ｔｆを有するよう設定されている。図５の例では、所定の初期期間ｔ０〜ｔｆにアラート・プールに割り当てられる新たなアラートごとに、そのアラートに割り当てられている特定の期間、初期期間が延長される。図５の例では、「アラート１」（５０２）をアラート・プール（２２４）に割り当てると、所定の初期期間ｔ０〜ｔｆが、時間ｅ１を有する「延長１」（５０６）延長され、それによって新たな時間がもたらされ、ｔｆ＋ｅ１より前にプールに他のアラートが割り当てられなければｔｆ＋ｅ１にアラート・プール（２２４）がクローズされる。同じく、図５の例では、時間ｅ２を有する「アラート２」（５０４）をアラート・プールに割り当てると、そのときすでに延長されている期間ｔ０〜ｔｆ＋ｅ１が、再び「延長２」（５０８）延長され、それによって新たな時間が規定され、ｔｆ＋ｅ１＋ｅ２より前、またはアラート・プールの何らかの最長時間が終了する前にプールに他のアラートが割り当てられなければ時間ｔｆ＋ｅ１＋ｅ２にプールがクローズされる。
【００６１】
本発明の典型的な実施形態では、アラート・プールは、それ以上は延長できない最長持続時間を有してもよい。そのような場合には、閾値期間アラート・プールになかったアラートは、次のアラート・プールに移動される、という要求事項が存在してもよい。一部の実施形態では、次のアラート・プールに移動されるそうしたアラートの属性は、最初のアラート・プールを用いる本発明の実施形態による適切なアラートの配信に使用され、他の実施形態では、そうしたアラートの属性は、そのアラートの移動先である次のアラート・プールを用いる適切なアラートの配信に使用される。
【００６２】
図５の例では、プールをクローズする条件が満たされると、アラート・アナライザは、アラート・プール（２２４）内の各アラート（５００、５０２、５０４）に関して、そのアラートが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断する。アラートが、その所定の最短時間プールに入っていた場合、アラートは、本発明の実施形態による適切なアラートの配信のためのアラート分析のために、クローズされたプールに含められる。アラートが、その所定の最短時間プールに入っていない場合、アラートは、クローズされたプールから取り出され、本発明の実施形態による適切なアラートの配信のためのアラート分析のために、次のプールに含められる。
【００６３】
多くの実施形態では、複数のアラート・プールが並行して使用されてもよく、そのようなアラート・プールの１つ以上が、特定のアラート・アナライザに割り当てられる。そのような実施形態では、アラート・アナライザは、特定の属性を有するアラート・プール内のアラートを対象としてもよい。
【００６４】
さらなる説明のために、図６は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート抑制を用いた適切なアラートの配信方法の例を表すフローチャートを示す。図６の方法は、分散処理システムの１つ以上のコンポーネントからの複数のイベント（２０２）を、イベント・キューにおいて受信すること（４０２）を含む。本発明の実施形態による、イベントおよびアラート抑制を用いる適切なアラートの配信において有用なイベントは、発生時間、記録時間、イベント・タイプ、イベントＩＤ、レポーティング・コンポーネント、およびソース・コンポーネントを含み得る。
【００６５】
分散処理システムの１つ以上のコンポーネントからの複数のイベント（２０２）を、イベント・キューにおいて受信すること（４０２）は、データ処理システムの１つ以上のコンポーネントによって開始されたイベントを受信して、イベントが発生した時間に従って、またはイベントが受信された時間に従って、イベントをイベント・キューに記憶することによって実行されてもよい。さらに、分散処理システムの１つ以上のコンポーネントからの複数のイベント（２０２）を、イベント・キューにおいて受信すること（４０２）は、ステータスに関してコンポーネントにポーリングを行ってそれに応答してイベントを受信し、イベントが発生した時間に従って、またはイベントが受信された時間に従って、イベントをイベント・キューに記憶することによって実行されてもよい。
【００６６】
さらに、図６の方法は、受信されたイベントそれぞれを、イベント・アナライザによってイベント・プール（２１２）に割り当てること（４０４）を含む。本発明の一部の実施形態では、受信されたイベント（２０２）それぞれを、イベント・アナライザによってイベント・プール（２１２）に割り当てること（４０４）は、イベントを、記録時間に従ってイベント・プールに割り当てることによって実行されてもよい。さらに、受信されたイベント（２０２）それぞれを、イベント・アナライザによってイベント・プール（２１２）に割り当てること（４０４）は、イベントの属性に基づき実行されてもよい。上記の属性は、当業者が想到するであろうように、イベントを作成する事象が発生したコンポーネントの識別情報またはタイプ、イベントのレポーティング・コンポーネント、イベントＩＤ、イベント・タイプなどを含んでもよい。
【００６７】
図６の方法によるイベント・プールは、所定の初期期間の間に発生するイベントを含み、図６の例では、受信されたイベントそれぞれをイベント・アナライザによってイベント・プールに割り当てること（４０４）は、イベント・プールに割り当てられる各イベントごとに、そのイベントに割り当てられている特定の期間、所定の初期期間を延長すること（４３２）を含む。
【００６８】
イベント・アナライザは、イベント到着ルール、イベント・プール動作ルール、イベント抑制ルール、およびイベント・プール・クローズ・ルールを含む、イベント分析ルール（２１０）を含む。イベント到着ルールは、イベントがイベント・プールに割り当てられるときに、それらのイベントに基づき、リアル・タイムでアラートを特定するための、設定可能な所定のルールである。すなわち、イベント到着ルールは、イベント・プールをクローズする前に、イベントに基づきアラートを特定する。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００６９】
本発明の実施形態によるアラートは、２つ以上のイベントに基づく、エラーなどの事象の純化された識別情報であり、したがって、分散処理システムにおける事象の影響との関連で、事象の識別情報を提供する。多くの場合、アラートは、データ処理システムの１つ以上のコンポーネントから受信された複数のイベントに基づき特定される、特定のエラー・タイプの事象、例えば単一のリンク障害に基づいて多数のイベントをそれぞれ生成する複数のデバイスの間のリンク障害、または多数のイベントを引き起こす電源障害などの通知であり得る。
【００７０】
アラートは、データ通信ネットワークまたは共有メモリを介して送信されるメッセージとして実装されることが多い。本発明の実施形態による典型的なアラートは、アラートが特定されるもととなった受信イベントの属性に基づいて付加された属性を有する。
【００７１】
イベント・プール動作ルールは、イベント・プールの動作を制御するための、設定可能な所定のルールである。上記のルールは、各イベント・プールの所定の初期期間を特定するルール、新たなイベントそれぞれがプールに割り当てられるとプールが延長される時間の長さを指示するルール、プールがクローズされるときにイベントの集合にイベントが含められるために、それまでにそのイベントがプールに入っていなければならない最短時間を指示するルール、イベント・プールのクローズを制御するルール、および当業者が想到するであろう他のものを含む。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００７２】
イベント抑制ルールは、アラートの特定に使用されるクローズされたイベントのプール内の１つ以上のイベントを抑制するための、設定可能な所定のルールである。すなわち、多くの場合、クローズされたイベント・プール内のイベントは、重複したイベントであること、冗長なイベントであること、もしくはその他の理由でアラートの特定に不要である、または役に立たないイベントであることがある。上記の抑制ルールは、主として、抑制される当該イベントを、削除、廃棄、またはその他の形で無視するようあらかじめ定められる。イベント抑制ルールは、例えば、特定のイベント・タイプまたはコンポーネント・タイプの、閾値数を超えるイベントが抑制されるよう指示してもよい。上記のルールにも柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００７３】
イベント・プール・クローズ・ルールは、クローズされたイベント・プール内の抑制されないイベントと、イベント到着ルールによって特定されたアラートとに基づきアラートを特定するための、設定可能な所定のルールである。すなわち、イベント・プール・クローズ・ルールは、クローズされたイベント・プール内の、１つ以上の抑制されないイベントに基づき、または抑制されないイベントすべてにさえも基づき、新たなアラートを特定する。さらに、イベント・プール・クローズ・ルールは、イベント到着ルールによって特定されたアラートに基づき、またはイベント到着ルールによって特定されたアラートと、クローズされたイベント・プール内の抑制されないイベントのうちの１つ以上との組み合わせに基づき、アラートを特定する。
【００７４】
さらに、図６の例の方法は、イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザによって１つ以上のアラート（２１４）を特定すること（４１０）を含む。イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザによって１つ以上のアラート（２１４）を特定すること（４１０）は、イベントがイベント・プールに割り当てられるときに、そのイベントの１つ以上の属性に基づきアラートを特定することによって実行されてもよい。イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザによって１つ以上のアラート（２１４）を特定すること（４１０）は、イベントの属性と、イベント到着ルールとを比較して、比較の結果として１つ以上のアラートを特定することによって実行されてもよい。上記の属性には、イベントが受信されたもとのコンポーネントのタイプ、イベントを作成するコンポーネントのタイプ、イベントを作成するコンポーネントの識別情報、イベントが作成または受信された時間、イベント内でレポートされているエラー、および当業者が想到するであろう多数の他のものが含まれ得る。
【００７５】
さらに、図６の方法は、イベント・アナライザによって、イベント・プール動作ルールに基づき、イベント・プール（２１２）をクローズすること（４１２）を含む。イベント・アナライザによって、イベント・プール動作ルールに基づき、イベント・プール（２１２）をクローズすること（４１２）は、イベント・プール動作ルールによって指示されている、新たなイベントのイベント・プールへの割り当てを停止する条件が満たされたと判断し、クローズされたイベントのプールに含められる特定のイベントを、そうしたイベント・プール動作ルールに基づき特定することによって実行されてもよい。
【００７６】
イベント・プールをクローズすることは、イベント・プールの初期期間と、初期期間に対する延長となった、イベント・プールにおいて受信されたイベントの任意の特定の期間とが終了したと判断することによって実行されてもよい。そのような場合には、イベント・プールの初期期間と、初期期間に対する延長となった、イベント・プールにおいて受信されたイベントの任意の特定の期間とが終了する前に、新たなイベントが受信されなければ、プールはクローズされる。
【００７７】
さらに、イベント・プールをクローズすることは、イベント・プールの最長持続時間が終了したと判断することによって実行されてもよい。そのような場合には、イベント・プールの最長持続時間が終了した後に受信される新たなイベントの数にかかわらず、プールはクローズされる。そのような実施形態では、イベント・プールの最長持続時間によって、本発明の実施形態による適切なアラートの配信に有用な数を超えるイベントをイベント・プールが含むことが防がれる。
【００７８】
さらに、図６の方法は、イベント・アナライザによって、イベント抑制ルールに基づき、クローズされたイベント・プール（２１２）内の１つ以上のイベントを抑制するかどうかを判断すること（４１４）を含む。イベント・アナライザによって、イベント抑制ルールに基づき、クローズされたイベント・プール（２１２）内の１つ以上のイベントを抑制するかどうかを判断すること（４１４）は、クローズされたプール内の１つ以上のイベントの属性に基づき、クローズされたプール内のイベントのうちの１つ以上を、削除、廃棄、またはその他の形で無視するかどうかを判断することによって実行されてもよい。
【００７９】
図６の方法は、イベント・アナライザによって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラート（４１７）を特定すること（４１６）を含む。イベント・アナライザによって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラート（４１７）を特定すること（４１６）は、イベントがイベント・プールに割り当てられるときに、そのイベントの１つ以上の属性に基づきアラートを特定することによって実行されてもよい。イベント・アナライザによって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラート（４１７）を特定すること（４１６）は、イベント・プールの抑制されないイベントを選択し、イベント・プールの抑制されないイベントの属性と、プール・クローズ・ルールとを比較し、比較の結果として１つ以上の追加のアラートを特定することによって実行されてもよい。上記の属性には、抑制されないイベントの１つ以上が受信されたもとのコンポーネントのタイプ、抑制されないイベントを作成するコンポーネントのタイプ、抑制されないイベントを作成するコンポーネントの識別情報、イベントが作成または受信された時間、イベントによってレポートされている１つ以上のエラー、プール内のイベントの数、および当業者が想到するであろう多数の他のものが含まれ得る。
【００８０】
図６の方法は、イベント・アナライザによって特定されたすべてのアラートを、イベント・アナライザによってアラート・アナライザに送信すること（４１８）を含む。イベント・アナライザによって特定されたすべてのアラート（２１４）を、イベント・アナライザによってアラート・アナライザに送信すること（４１８）は、イベント・アナライザからアラート・アナライザに、アラートを含むメッセージを送信することによって実行されてもよい。そのようなメッセージは、イベント・アナライザからアラート・アナライザに、ネットワークを通して、または共有メモリを介して、または当業者が想到するであろう他の方法で送信されてもよい。
【００８１】
図６の方法は、特定されたアラートを、アラート・アナライザによってアラート・プール（２２４）に割り当てること（４２０）を含む。図６の方法によるアラート・プールは、所定の初期期間を有する。図６の例では、特定されたアラートをアラート・アナライザによってアラート・プール（２２４）に割り当てること（４２０）は、アラート・プールに割り当てられる各アラートごとに、そのアラートに割り当てられている特定の期間、所定の初期期間を延長することを含む。さらに、特定されたアラートを、アラート・アナライザによってアラート・プール（２２４）に割り当てること（４２０）は、アラートの属性に基づき実行されてもよい。そうした属性は、当業者が想到するであろうように、アラートの特定に使用されたイベントを作成する事象が発生したコンポーネントの識別情報またはタイプ、アラートＩＤ、アラート・タイプなどを含んでもよい。
【００８２】
図６の方法は、任意のアラートを抑制するかどうかを、アラート・アナライザによって、アラート分析ルール（２２２）と、アラート・プール内のアラートとに基づき判断すること（４２２）を含む。任意のアラートを抑制するかどうかを、アラート・アナライザによって、アラート分析ルール（２２２）と、アラート・プール内のアラートとに基づき判断すること（４２２）は、アラートの１つ以上の属性に基づき実行されてもよい。そのような属性は、当業者が想到するであろうように、アラートの特定に使用されたイベントを作成する事象が発生したコンポーネントの識別情報またはタイプ、アラートＩＤ、アラート・タイプなどを含んでもよい。そのような実施形態では、任意のアラートを抑制するかどうかを、アラート・アナライザによって、アラート分析ルール（２２２）と、アラート・プール内のアラートとに基づき判断すること（４２２）は、アラート・プール内のアラートの属性と、アラート分析ルールとを比較して、比較の結果として、アラート分析ルールに従って、抑制される１つ以上のアラートを特定することによって実行されてもよい。
【００８３】
図６の方法は、抑制されないアラートを、分散処理システムの１つ以上のコンポーネントに送ること（４２８）を含む。抑制されないアラートを分散処理システムの１つ以上のコンポーネントに送ること（４２８）は、アラートを含むメッセージを分散処理システムの１つ以上のコンポーネントに送信することによって実行されてもよい。多くの場合、アラートは、メッセージとしてシステム管理者に送信され、分散処理システム内での１つ以上の事象についてシステム管理者に報告してもよい。
【００８４】
上記のように、アラート分析ルールは、イベントに基づき、追加のアラートを選択しても、またはアラートを抑制してもよい。そのような実施形態では、任意のアラートを抑制するかどうかを判断することは、イベントを選択して、その選択されたイベントに基づき、任意のアラートを抑制するかどうかを判断することを含む。したがって、図６の方法はさらに、アラート・アナライザによって、アラート分析ルール（２２２）、アラート・プール（２２４）内のアラート、および任意の選択されたイベントに基づき、１つ以上の追加のアラートを特定すること（４２６）を含み、図６の方法では、抑制されないアラートを送ること（４２８）はさらに、任意の追加のアラートを、分散処理システムの１つ以上のコンポーネントに送ること（４３０）を含む。
【００８５】
上記のように、本発明の実施形態による適切なアラートの配信は、イベント、アラート、または当業者が想到するであろうその他のインシデントなどのインシデントの１つ以上のプールの管理を含む。さらなる説明のために、図７は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理する例示の方法を表すフローチャートを示す。図７の方法は、分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってイベント・キューから受信すること（７０２）を含む。図７のインシデントは、イベントとして実装されてもよく、インシデントのプールは、イベント・プールとして実装されてもよい。さらに、図７のインシデントは、アラートとして実装されてもよく、インシデントのプールは、アラート・プールとして実装されてもよい。
【００８６】
分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってインシデント・キューから受信すること（７０２）は、上記で説明したように、イベント・アナライザによってイベント・キューからイベントを受信することによって実行されてもよい。上記のイベントは、分散処理システムの１つ以上のコンポーネントから送信されてもよい。さらに、分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってインシデント・キューから受信すること（７０２）は、上記で説明したように、アラート・アナライザによって、アラート・キューからアラートを受信することによって実行されてもよい。上記のアラートは、上記で説明したように、イベント・アナライザによって生成されてもよい。
【００８７】
図７の方法は、インシデントのプール（７０８）であって、所定の初期期間を有するプールを、インシデント・アナライザによって作成すること（７０６）を含む。図７の方法は、インシデント・アナライザによって、インシデントのプール（７０８）を作成すること（７０６）を含み、これは、イベントまたはアラートを含めるデータ構造を作成し、イベント、アラート、または当業者が想到するであろうその他のインシデントを当該データ構造内に含める初期期間を、当該データ構造に対して規定することによって実行されてもよい。
【００８８】
さらに、図７の方法は、受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること（７１０）を含む。受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること（７１０）は、インシデントの属性に基づき実行されてもよい。受信されたインシデントそれぞれをプールに割り当てること（７１０）は、例えば、当業者が想到するであろうように、イベントを作成するコンポーネント、イベント・タイプ、アラート・タイプ、イベントをレポートするコンポーネント、イベントに基づきアラートが作成された該イベントをレポートまたは作成したコンポーネントなどの属性に基づき、イベント、アラート、またはその他のインシデントを選択することによって実行されてもよい。
【００８９】
さらに、図７の方法は、プール（７０８）に含められるべき所定の最短時間（７１４）を、各インシデントにインシデント・アナライザによって割り当てること（７１２）を含む。プールに含められるべき所定の最短時間（７１４）は、典型的には、プールの初期期間よりも短く、その結果、最初に到着するインシデントは、インシデントのプールがクローズされるときにそのプールに含まれる。所定の最短時間は、当業者が想到するであろうように、インシデントの属性によって異なってもよい。インシデントの属性によって異なる最短時間を考慮することによって、様々な形態の分散処理システムにおける本発明の実施形態によるプールの管理における柔軟性が提供される。
【００９０】
図７の方法は、インシデント・アナライザによって、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プール（７０８）の所定の初期期間を延長すること（７１６）を含む。所定の初期期間が延長される特定の期間は、インシデントのタイプ、インシデントの識別情報、インシデントが作成された、または送られたコンテキスト、および当業者が想到するであろう他のものなどのインシデントの属性によって決まってもよい。
【００９１】
さらに、図７の方法は、プール（７０８）をクローズする条件が満たされたかどうかを、インシデント・アナライザによって判断すること（７１８）を含む。プール（７０８）をクローズする条件が満たされたかどうかを、インシデント・アナライザによって判断すること（７１８）は、プールの最長時間が経過したかどうかを判断することによって実行されてもよい。プールに対して規定される最長時間は、主として、分散処理システムのサイズ、分散処理システムのコンポーネント、分散処理システムの計算上の要求事項、および当業者が想到するであろう他のものなどの、分散処理システムの要素によって決まる。典型的には、最長時間は、意味のあるイベントまたはアラート分析に十分なインシデントをプールに蓄積できるよう十分に長く、ただし分析がインシデントの多さに圧倒されず、かつアラートの適時レポートが可能なよう十分に短く規定される。
【００９２】
インシデント・アナライザによって、プール（７０８）をクローズする条件が満たされたかどうかを判断すること（７１８）は、別のインシデントがプールに割り当てられる前に、所定の初期期間と、プールに割り当てられた任意のインシデントに関連する任意の延長時間（ｅｘｔｅｎｓｉｏｎｓ ｏｆ ｔｉｍｅ）とが経過したと判断することによって実行されてもよい。そのような実施形態では、通常、所定の初期期間およびプールに対するすべての延長時間は、プールの最長時間より前に経過しており、その結果、プールはプールの最長時間より前にクローズされる。
【００９３】
さらに、図７の方法は、プールをクローズする条件が満たされると、プール内の各インシデントに関して、そのインシデントが、プール（７０８）に含められるべきその所定の最短時間（７１４）、プールに入っていたかどうかを判断すること（７２０）を含む。プール内の各インシデントに関して、そのインシデントが、プール（７０８）に含められるべきその所定の最短時間（７１４）、プールに入っていたかどうかを判断すること（７２０）は、各インシデントがプールにあった時間の長さと、プールに含められるべきその最短時間とを比較することによって実行されてもよい。
【００９４】
図７の方法は、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること（７２２）を含む。クローズされたプールにインシデントを含めること（７２２）は、インシデントを、イベント分析、アラート分析、または当業者が想到するであろう他のインシデント分析用に、クローズされたプールに保持することによって実行される。
【００９５】
図７の方法は、インシデントが、その所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めること（７２４）を含む。クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めること（７２４）は、次のプールを作成して、インシデントを次のプールへと移動させることによって実行されてもよい。次のプールを作成し、インシデントを次のプールへと移動させることは、その、次のプールに移動させられるイベントの最短時間と少なくとも同じ長さの所定の時間を、次のプールに関して規定することを含んでもよい。
【００９６】
さらなる説明のために、図８は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するさらなる方法を表すフローチャートを示す。分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってインシデント・キューから受信すること（７０２）、インシデントのプール（７０８）であって、所定の初期期間を有するプールを、インシデント・アナライザによって作成すること（７０６）、受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること（７１０）、インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てること（７１２）、インシデント・アナライザによって、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プール（７０８）の所定の初期期間を延長すること（７１６）、プールをクローズする条件が満たされたかどうかを、インシデント・アナライザによって判断すること（７１８）、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、インシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること（７２０）、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること（７２２）、インシデントがその所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めること（７２４）を、図８の方法が含むという点で、図８の方法は図７の方法に似ている。
【００９７】
図８の方法では、インシデント（７０４）の１つ以上がイベントであり、図８の方法がさらに、プール（７０８）に割り当てられている１つ以上のイベントに基づき１つ以上のアラートを特定すること（７２６）を含むという点で、図８の方法は、図７の方法とは異なる。プール（７０８）に割り当てられている１つ以上のイベントに基づき１つ以上のアラートを特定すること（７２６）は、上記で説明したようにイベント到着ルールに基づきアラートを特定することによって、上記で説明したようにプール・クローズ・ルールに基づき追加のアラートを特定することによって、さらに当業者が想到するであろう他の方法で、実行されてもよい。
【００９８】
図８の方法では、インシデントを取り出し、インシデントを次のプールに含めること（７２４）はさらに、少なくとも１つのイベントを取り出し（８０２）、取り出されたイベントを次のプールに含め（８０４）、取り出されたイベントに基づき特定された任意のアラートと、クローズされたプールとを関連付けること（８０６）を含む。さらに、インシデントを取り出し、インシデントを次のプールに含めること（７２４）は、少なくとも１つのイベントを取り出すこと（８０２）を含み、取り出されたイベントを次のプールに含めること（８０４）は、次のプールを作成し、インシデントを次のプールへと移動させることによって実行されてもよい。
【００９９】
取り出されたイベントに基づき特定された任意のアラートと、クローズされたプールとを関連付けること（８０６）は、イベント到着ルールに基づき特定された任意のアラートを、アラート・アナライザによるアラート分析のために、クローズされたプールを用いて保持することによって実行されてもよい。そのような実施形態では、イベントは取り出されて次のプールに含められるが、そのイベントに基づき特定された任意のアラートは、アラート分析のために、クローズされたプールを用いて保持される。
【０１００】
さらなる説明のために、図９は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するさらなる方法を表すフローチャートを示す。分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってインシデント・キューから受信すること（７０２）、インシデントのプール（７０８）であって、所定の初期期間を有するプールを、インシデント・アナライザによって作成すること（７０６）、受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること（７１０）、インシデント・アナライザによって、各インシデントに、プールに含められるべき最短時間を割り当てること（７１２）、インシデント・アナライザによって、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プール（７０８）の所定の初期期間を延長すること（７１６）、プールをクローズする条件が満たされたかどうかを、インシデント・アナライザによって判断すること（７１８）、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、インシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること（７２０）、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること（７２２）、インシデントがその所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めること（７２４）を、図９の方法が含むという点で、図９の方法は図７および８の方法に似ている。
【０１０１】
図９の方法では、インシデント（７０４）の１つ以上がイベント（２０２）であり、図９の方法がさらに、プール（７０８）に割り当てられている１つ以上のイベントに基づき１つ以上のアラートを特定すること（７２６）を含むという点で、図９の方法は図７の方法とは異なる。プール（７０８）に割り当てられている１つ以上のイベントに基づき１つ以上のアラートを特定すること（７２６）は、上記で説明したようにイベント到着ルールに基づきアラートを特定することによって、上記で説明したようにプール・クローズ・ルールに基づき追加のアラートを特定することによって、および当業者が想到するであろう他の方法で、実行されてもよい。
【０１０２】
図９の方法では、インシデントを取り出し、インシデントを次のプールに含めること（７２４）はさらに、少なくとも１つのイベントを取り出し（９０２）、取り出されたイベントを次のプールに含め（９０４）、取り出されたイベントに基づき特定された任意のアラートと、次のプールとを関連付けること（９０６）を含む。さらに、インシデントを取り出し、インシデントを次のプールに含めること（７２４）は、少なくとも１つのイベントを取り出すこと（９０２）を含み、取り出されたイベントを次のプールに含めること（９０４）は、次のプールを作成し、インシデントを次のプールへと移動させることによって実行されてもよい。
【０１０３】
取り出されたイベントに基づき特定された任意のアラートと、次のプールとを関連付けること（９０６）は、イベント到着ルールに基づき特定された任意のアラートと、アラート・アナライザによるアラート分析のための、クローズされたプールとの関連付けを解除し、当該のアラートと、次のプールとを関連付けることによって実行されてもよい。そのような実施形態では、イベントは取り出されて次のプールに含められ、そのイベントに基づき特定された任意のアラートも、次のプールを用いたアラート分析のために、次のプールと関連付けられる。
【０１０４】
一部の実施形態では、アラートは、他のアラートに基づき特定されてもよい。したがって、そのような実施形態では、図９の方法による、取り出されたイベントに基づき特定された任意のアラートと、次のプールとを関連付けることはさらに、すでに次のプールと関連付けられている特定されたアラートに依存する任意のアラートまたはイベントであって、クローズされたプール内の該任意のアラートまたはイベントを、無効にすることによって実行されてもよい。すなわち、すでに次のプールに関連付けられているアラートに基づき特定されたアラートは、クローズされたプールにおいて無効にされる。そうしたアラートを無効にすることで、すでに次のプールと関連付けられているアラートに対する、クローズされたプールにおける依存がなくなる。
【０１０５】
当業者であれば当然のことであるが、本発明の側面は、システム、方法またはコンピュータ・プログラムとして具現化され得る。したがって、本発明の側面は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態（ファームウェア、常駐ソフトウェア、マイクロコードなどを含む）、または本願明細書においてすべて概して「回路」、「モジュール」または「システム」と呼ばれ得る、ソフトウェアおよびハードウェアの側面を兼ね備えた実施形態の形態をとってもよい。さらに、本発明の側面は、コンピュータ可読プログラム・コードが具現化された１つ以上のコンピュータ可読媒体（単数または複数）において具現化されたコンピュータ・プログラムの形態をとることもできる。
【０１０６】
１つ以上のコンピュータ可読媒体（単数または複数）の任意の組み合わせが利用され得る。コンピュータ可読媒体は、コンピュータ可読信号媒体またはコンピュータ可読記憶媒体とされ得る。コンピュータ可読記憶媒体は、例えば、限定はされないが、電子、磁気、光学、電磁気、赤外線、もしくは半導体システム、装置、もしくはデバイス、または前述のものの任意の適切な組み合わせとすることもできる。コンピュータ可読記憶媒体のより具体的な例（包括的でないリスト）には、１つ以上のワイヤを有する電気的接続、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ：ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、消去可能プログラム可能読み取り専用メモリ（ＥＰＲＯＭ（ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）またはフラッシュ・メモリ）、光ファイバ、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ−ＲＯＭ：ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、光学式記憶デバイス、磁気記憶デバイスまたは前述のものの任意の適切な組み合わせが含まれるであろう。この文書の文脈では、コンピュータ可読記憶媒体は、命令実行システム、装置もしくはデバイスによって、またはそれに関連して使用されるプログラムを含むこと、または記憶することができる任意の有形の媒体であればよい。
【０１０７】
コンピュータ可読信号媒体は、例えば、ベースバンドに、または搬送波の一部として、伝播データ信号において具現化されたコンピュータ可読プログラム・コードを備える伝播データ信号を含み得る。そのような伝播信号は、限定はされないが、電磁気、光学、またはその任意の適切な組み合わせを含む様々な形態のいずれかをとってよい。コンピュータ可読信号媒体は、コンピュータ可読記憶媒体でなく、命令実行システム、装置もしくはデバイスによって、またはそれに関連して使用されるプログラムを伝達すること、伝播させること、または搬送することができる、任意のコンピュータ可読媒体としてもよい。
【０１０８】
コンピュータ可読媒体上に具現化されたプログラム・コードは、限定はされないが、無線、有線、光ファイバ・ケーブル、ＲＦなどを使用して、または前述のものの任意の適切な組み合わせを含む任意の適切な媒体を使用して送られてもよい。
【０１０９】
本発明の側面の動作を実行するコンピュータ・プログラム・コードは、Ｊａｖａ（Ｒ）、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋または同様のものなどのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語もしくは同様のプログラミング言語などの従来の手続きプログラミング言語を含む、１つ以上のプログラミング言語の任意の組み合わせで書かれていてよい。プログラム・コードは、スタンド・アロン・ソフトウェア・パッケージとして、完全にユーザのコンピュータ上で実行されること、部分的にユーザのコンピュータ上で実行されること、または部分的にユーザのコンピュータ上で、かつ部分的にリモート・コンピュータ上で実行されること、または完全にリモート・コンピュータもしくはサーバ上で実行されることもできる。後者のシナリオでは、ローカル・エリア・ネットワーク（ＬＡＮ）、もしくは広域ネットワーク（ＷＡＮ：ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）を含む任意のタイプのネットワークを介してリモート・コンピュータがユーザのコンピュータに接続されてもよく、または、外部コンピュータに接続されてもよい（例えば、インターネット・サービス・プロバイダを使用しインターネットを介して）。
【０１１０】
本発明の側面は、本発明の実施形態による方法、装置（システム）およびコンピュータ・プログラムのフローチャート図またはブロック図あるいはその両方を参照して、以上に記載される。当然のことながら、フローチャート図またはブロック図、あるいはその両方の各ブロック、およびフローチャート図またはブロック図、あるいはその両方の複数ブロックの組み合わせは、コンピュータ・プログラム命令により実装可能である。当該コンピュータ・プログラム命令が、マシンを生じるよう、汎用コンピュータ、専用コンピュータ、またはその他のプログラム可能データ処理装置のプロセッサに提供されて、この命令が、コンピュータまたはその他のプログラム可能データ処理装置のプロセッサにより実行されて、フローチャートまたはブロック図あるいはその両方のブロックまたは複数ブロックにおいて指定された機能／動作を実装する手段を作り出すようにすることもできる。
【０１１１】
さらに、特定の形で機能するようコンピュータ、その他のプログラム可能データ処理装置、またはその他のデバイスに指示することができる当該コンピュータ・プログラム命令は、コンピュータ可読媒体に記憶されて、コンピュータ可読媒体に記憶されたこの命令が、フローチャートまたはブロック図あるいはその両方のブロックもしくは複数ブロックにおいて指定された機能／動作を実装する命令を含む製品を生じるようにすることもできる。
【０１１２】
さらに、コンピュータ・プログラム命令は、コンピュータ、その他のプログラム可能データ処理装置、またはその他のデバイスにロードされて、コンピュータ、その他のプログラム可能装置、またはその他のデバイス上で一連の動作ステップが実行されるようにしてコンピュータに実装されるプロセスを生じさせ、コンピュータまたはその他のプログラム可能装置上で実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックもしくは複数ブロックにおいて指定された機能／動作を実装するためのプロセスを提供するようにすることもできる。
【０１１３】
各図面のフローチャートおよびブロック図は、本発明の様々な実施形態によるシステム、方法およびコンピュータ・プログラムの考えられる実装のアーキテクチャ、機能性および動作を表す。この関連で、フローチャートまたはブロック図内の各ブロックは、指定の論理機能（単数または複数）を実装する１つ以上の実行可能命令を含むモジュール、セグメント、またはコードの一部を表現することもできる。なお、さらに、いくつかの代わりの実装では、ブロック内に示されている機能が、図面に示されているのとは異なる順序で生じてもよい。例えば、関連する機能性次第で、連続して示されている２つのブロックが実際には事実上同時に実行されてもよく、または、各ブロックが逆順で実行されることがあってもよい。なお、さらに、ブロック図もしくはフローチャート図あるいはその両方の各ブロック、およびブロック図もしくはフローチャート図あるいはその両方の複数ブロックの組み合わせは、指定の機能もしくは動作を実行する専用ハードウェア・ベース・システム、または専用ハードウェアおよびコンピュータ命令の組み合わせにより実装することができる。
【０１１４】
本発明の真の意図から逸脱することなく、本発明の様々な実施形態において、改変または変更が加えられ得ることが、前述の記載から分かるであろう。本明細書の記載は、説明のみを目的としており、限定的な意味に解釈されてはならない。本発明の範囲は、添付の特許請求の範囲の言葉によってのみ限定される。
【符号の説明】
【０１１５】
１０１ 分散処理システム
１２２ 端末
１２４ イベントおよびアラート分析モジュール
１２８ システム管理者
２０２ イベント
２０４ モニタ
２０６ イベント・キュー
２０８ イベント・アナライザ
２１０ イベント分析ルール
２１２ イベント・プール
２１４、２２０ アラート
２１６ アラート・キュー
２１８ アラート・アナライザ
２２２ アラート分析ルール
２２４ アラート・プール
２３０ イベント到着ルール
２３２ イベント・プール動作ルール
２３４ イベント抑制ルール
２３６ イベント・プール・クローズ・ルール
【技術分野】
【０００１】
本発明の分野は、データ処理であり、さらに具体的に言い換えると、分散処理システムにおける、イベントおよびアラート抑制に関連した適切なアラートの配信、ならびにイベントおよびアラート分析のためのインシデント・プール（ｉｎｃｉｄｅｎｔ ｐｏｏｌ）の管理のための方法、システムおよび製品である。
【背景技術】
【０００２】
１９４８年のＥＤＶＡＣコンピュータ・システムの開発は、コンピュータ時代の幕開けとして言及されることが多い。そのとき以来、コンピュータ・システムは、非常に複雑なデバイスへと発達してきた。今日のコンピュータは、ＥＤＶＡＣなどの初期のシステムよりも大幅に高度化されている。典型的には、コンピュータ・システムは、ハードウェアおよびソフトウェア・コンポーネントの組み合わせ、アプリケーション・プログラム、オペレーティング・システム、プロセッサ、バス、メモリ、入出力デバイスなどを含む。半導体加工およびコンピュータ・アーキテクチャの進歩がコンピュータのパフォーマンスのさらなる向上を推進していくにつれて、ハードウェアの向上したパフォーマンスを生かすよう、より高度なコンピュータ・ソフトウェアが発達し、今日では、わずか数年前よりも大幅に強力なコンピュータ・システムがもたらされている。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
集中的な計算用の現代の分散処理システムは、多数のデバイスを有し、多くのプロセスが各デバイス上で実行されることもあり、それらはすべて、自動エラー回復のため、システム管理者へのレポーティングのため、およびその他の理由による、エラーおよびステータス・レポーティングを行うことができる。多くの場合、例えばエラーの場合には、そのようなエラー・レポートおよびステータス・レポートの多さに圧倒され、それらを意味のある形で扱うことができない。例えば、１０万のエラー・レポートを受信するシステム管理者は、そのようなレポートの多さに圧倒されると考えられ、その結果、全体としてそうしたレポートの有益さおよび適切さはいっそう失われていく。
【課題を解決するための手段】
【０００４】
分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理する方法、システム、およびコンピュータ・プログラムが提供され、分散処理システムの１つ以上のコンポーネントからの複数のインシデント（ｉｎｃｉｄｅｎｔ）を、インシデント・アナライザ（ｉｎｃｉｄｅｎｔ ａｎａｌｙｚｅｒ）によってインシデント・キューから受信すること、インシデントのプールであって、所定の初期期間を有するプールを、インシデント・アナライザによって作成すること、受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること、インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てること、インシデント・アナライザによって、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする（ｃｌｏｓｅ）条件が満たされたかどうかを、インシデント・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、そのインシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること、インシデントが、その所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し（ｅｖｉｃｔ）、インシデントを次のプールに含めることが含まれる。
【０００５】
本発明の前述およびその他の目的、特徴、および利点が、添付の図面に表す本発明の例示の実施形態の、より詳しい以下の記載から明らかになる。添付の図面では、同じ参照番号は、概して本発明の例示の実施形態の同じ部分を表現する。
【図面の簡単な説明】
【０００６】
【図１】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート抑制を用いた適切なアラートの配信のための例示のシステムを表す。
【図２】本発明の実施形態による、イベントおよびアラート抑制を用いた適切なアラートの配信で有用な例示のコンピュータを含む自動計算機（ａｕｔｏｍａｔｅｄ ｃｏｍｐｕｔｉｎｇ ｍａｃｈｉｎｅｒｙ）のブロック図を示す。
【図３】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート抑制を用いた適切なアラートの配信のための例示のシステムのブロック図を示す。
【図４】本発明の実施形態による、イベント・プールへのイベントの割り当てを表す図を示す。
【図５】本発明の実施形態による、アラート・プールへのアラートの割り当てを表す図を示す。
【図６】本発明の実施形態による、イベントおよびアラート抑制を用いた適切なアラートの配信方法の例を表すフローチャートを示す。
【図７】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理する例示の方法を表すフローチャートを示す。
【図８】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するさらなる方法を表すフローチャートを示す。
【図９】本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するさらなる方法を表すフローチャートを示す。
【発明を実施するための形態】
【０００７】
分散処理システムにおいて、本発明の実施形態に従い、イベントおよびアラート分析ならびに適切なアラートの配信のためにインシデント・プールを管理するための例示の方法、システム、およびコンピュータ・プログラムについて、添付の図面を参照して記載される。図１より開始する。図１は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析ならびに適切なアラートの配信のために、インシデント・プールを管理する例示のシステムを表す。分散処理システムは、典型的には、コンピュータ・ネットワークを介して通信する複数の自律コンピュータまたは半自律コンピュータ（ｓｅｍｉ−ａｕｔｏｎｏｍｏｕｓ ｃｏｍｐｕｔｅｒ）として実装される。そのような分散処理システムの例では、コンピュータは、共通の目的を達成するために相互に対話することが多い。そのような、例としての分散システムで実行されるコンピュータ・プログラムは、典型的には分散プログラムと呼ばれ、そのようなプログラムを書くプロセスを表現するには、分散プログラミングが用いられることが多い。
【０００８】
図１の例では、分散処理システム（１０１）は、並列コンピュータ・ネットワーク（１００）、データ記憶デバイス（１１８）の形態のコンピュータの不揮発性メモリ、プリンタ（１２０）の形態のコンピュータの出力デバイス、およびコンピュータ端末（１２２）の形態のコンピュータの入出力デバイスとして実装されている。図１の例の並列コンピュータ・ネットワーク（１００）は、複数の計算ノード（１０２）も含む。各計算ノードは、１つ以上のコンピュータ・プロセッサ、専用のコンピュータ・メモリ、および専用の入出力機能性から成る、自動計算デバイスである。計算ノード（１０２）は、データ通信のために、いくつかの独立したデータ通信ネットワークによって結合されており、このデータ通信ネットワークには、高速イーサネット（Ｒ）ネットワーク（１７４）、ジョイント・テスト・アクション・グループ（「ＪＴＡＧ：Ｊｏｉｎｔ Ｔｅｓｔ Ａｃｔｉｏｎ Ｇｒｏｕｐ」）ネットワーク（１０４）、共同動作向けに最適化されたツリー・ネットワーク（１０６）、およびポイント・ツー・ポイント動作向けに最適化されたトーラス・ネットワーク（１０８）が含まれる。ツリー・ネットワーク（１０６）は、計算ノードをツリー構造として編成するように計算ノードに接続されたデータ通信リンクを含む、データ通信ネットワークである。各データ通信ネットワークは、計算ノード（１０２）間のデータ通信リンクを用いて実装される。データ通信リンクは、並列コンピュータの計算ノード間の並列動作のためのデータ通信を提供する。
【０００９】
並列コンピュータ・ネットワーク（１００）は、計算ノードに加えて、データ通信ネットワークの１つ（１７４）を介して計算ノード（１０２）に結合された入出力（「Ｉ／Ｏ：ｉｎｐｕｔ／ｏｕｔｐｕｔ」）ノード（１１０、１１４）を含む。Ｉ／Ｏノード（１１０、１１４）は、計算ノード（１０２）と、Ｉ／Ｏデバイス（１１８、１２０、１２２）との間のＩ／Ｏサービスを提供する。Ｉ／Ｏノード（１１０、１１４）は、ローカル・エリア・ネットワーク（「ＬＡＮ：ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ」）（１３０）を介して、データ通信のために接続されている。さらに、並列コンピュータ・ネットワーク（１００）は、ネットワークの１つ（１０４）を介して計算ノードに結合されたサービス・ノード（１１６）を含む。サービス・ノード（１１６）は、プログラムを計算ノードへロードすること、計算ノード上でのプログラム実行を開始すること、計算ノード上でのプログラム動作の結果を回収することなど、複数の計算ノードに共通するサービスを提供する。サービス・ノード（１１６）は、イベントおよびアラート分析モジュール（１２４）を実行し、コンピュータ端末（１２２）上で実行されているサービス・アプリケーション・インターフェース（１２６）を介してシステム管理者（１２８）と通信する。
【００１０】
図１の分散処理システムのコンポーネント、すなわち、分散処理システムのデバイスまたは図１の分散処理システムのデバイス上で実行されているプロセスの多くは、イベントを介して何らかの形態のエラーまたはステータス・レポーティングを行うことができ、上記のコンポーネントの多くはさらに、そのようなイベントの１つ以上に応答してアラートを受信できる。本発明の実施形態による有用な分散処理システムでは、多くの場合、何十万または何百万ものコンポーネントが、多くの場合はイベントの形態のインシデントの提供またはアラートの受信を行うことができる。
【００１１】
インシデントとは、本明細書で使用される総称であり、以下に記載されるイベントなど、分散処理システムのコンポーネント上での特定の事象（ｏｃｃｕｒｒｅｎｃｅ）の識別情報もしくは通知、または、以下に記載されるアラートなど、多くの場合イベントに基づく、事象の純化された識別情報、または、当業者が想到するであろうその他の通知を指す。
【００１２】
インシデントは、本発明の実施形態によるイベントおよびアラート分析のためにプールにおいて管理される。インシデントのプールは、インシデントの発生時間、インシデント・キューへの記録時間、インシデント・プールに含められた時間、または当業者が想到するであろうその他の時間に基づいて整理されたインシデントの集合である。
【００１３】
図１のサービス・ノード（１１６）には、イベントおよびアラート分析モジュール（１２４）がインストールされており、イベントおよびアラート分析モジュール（１２４）は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理できるイベント・アナライザおよびアラート・アナライザとして実装された、少なくとも２つのインシデント・アナライザを含む。イベントおよびアラート分析モジュール（１２４）は、分散処理システムの１つ以上のコンポーネントからの複数のインシデントを受信すること、インシデントのプールであって、所定の初期期間を有するプールを作成すること、受信されたインシデントそれぞれをプールに割り当てること、各インシデントに、プールに含められるべき所定の最短時間を割り当てること、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかを判断すること、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、そのインシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること、ならびにインシデントが、その所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めることができる自動計算機として実装される。
【００１４】
さらに、イベントおよびアラート分析モジュール（１２４）は、本発明の実施形態による分散処理システムにおいて、イベントおよびアラート抑制を用いた適切なアラート配信を行うことができる。図１のイベントおよびアラート分析モジュール（１２４）は、分散処理システムの１つ以上のコンポーネントからの複数のイベントを、イベント・キューにおいて受信すること、イベント到着ルール（ｅｖｅｎｔ ａｒｒｉｖａｌ ｒｕｌｅｓ）、イベント・プール動作ルール（ｅｖｅｎｔｓ ｐｏｏｌ ｏｐｅｒａｔｉｏｎ ｒｕｌｅｓ）、イベント抑制ルール（ｅｖｅｎｔ ｓｕｐｐｒｅｓｓｉｏｎ ｒｕｌｅｓ）、およびイベント・プール・クローズ・ルール（ｅｖｅｎｔｓ ｐｏｏｌ ｃｌｏｓｕｒｅ ｒｕｌｅｓ）を含むイベント分析ルールを含むイベント・アナライザによって、イベント・プールに、受信されたイベントそれぞれを割り当てること、イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザによって１つ以上のアラートを特定すること、イベント・アナライザによって、イベント・プール動作ルールに基づき、イベント・プールをクローズすること、クローズされたイベント・プール内の１つ以上のイベントを抑制するかどうかを、イベント・アナライザによってイベント抑制ルールに基づき判断すること、ならびに、イベント・アナライザによって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラートを特定すること、イベント・アナライザによって特定されたすべてのアラートを、イベント・アナライザによってアラート・アナライザに送信すること、特定されたアラートを、アラート・アナライザによってアラート・プールに割り当てること、任意のアラートを抑制するかどうかを、アラート・アナライザによって、アラート分析ルールと、アラート・プール内のアラートとに基づき判断すること、ならびに、抑制されないアラートを、分散処理システムの１つ以上のコンポーネントに送ることができる自動計算機として実装される。
【００１５】
一部の実施形態では、抑制されないアラートは、分散処理システムの１つ以上のコンポーネントに送られる。そのようなコンポーネントの１つは、システム管理者に表示するために、コンピュータ端末（１２２）としてもよい。他のコンポーネントには、イベントを生成したコンポーネント、エラー・レポーティング用のコンポーネント、自動エラー回復用のコンポーネント、またはそのほか当業者が想到するであろう任意のコンポーネントが含まれ得る。
【００１６】
図１のイベントおよびアラート分析モジュール（１２４）は、任意の時点で、受信されるイベントおよび生成されるアラートなど、発生するインシデントの数を、分散処理システムにおける問題または事象を特定しようと試みるシステム管理者（１２８）にとって、より扱いやすいものにすることを可能にする。本発明の実施形態による、イベントおよびアラート分析、ならびにイベントおよびアラート抑制を用いる適切なアラートの配信のためのインシデント・プールの管理は、分散処理システムに関連する機能およびエラーの管理方法を判断する際にユーザにとってより意味のあるアラートを提供する。
【００１７】
図１に表されている例示の分散処理システムを構成するノード、ネットワーク、およびＩ／Ｏデバイスの構成は、説明のみのためのものであり、本発明を制限するものではない。本発明の実施形態によるイベントおよびアラート分析、ならびに適切なアラートの配信のためにインシデント・プールを管理できる分散データ処理システムは、当業者が想到するであろうように、図１に示されていないさらなるノード、ネットワーク、デバイス、およびアーキテクチャを含んでもよい。図１の例の並列コンピュータ・ネットワーク（１００）は、１６の計算ノード（１０２）を含む。本発明の実施形態による適切なアラートの配信を行うことができる並列コンピュータは、何千もの計算ノードを含むこともある。上記のデータ処理システムにおけるネットワークは、イーサネットおよびＪＴＡＧに加えて、例えばＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ：伝送制御プロトコル）、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ：インターネット・プロトコル）、および当業者が想到するであろう他のものを含む、多数のデータ通信プロトコルをサポートし得る。本発明の様々な実施形態は、図１に表されているものに加えて、様々なハードウェア・プラットフォーム上に実装され得る。
【００１８】
本発明による、イベントおよびアラート分析、ならびにイベントおよびアラート抑制を用いる適切なアラートの配信のためのインシデント・プールの管理は、概して、コンピュータ、すなわち自動計算機を用いて実装される。例えば、図１のシステムでは、並列コンピュータのすべてのサービス・ノード、Ｉ／Ｏノード、計算ノードが、少なくともある程度、コンピュータとして実装される。したがって、さらなる説明のために、図２は、本発明の実施形態による適切なアラートの配信で有用な例示のコンピュータ（１５２）を含む自動計算機のブロック図を示す。図２のコンピュータ（１５２）は、少なくとも１つのプロセッサ（１５６）、すなわち「ＣＰＵ」、ならびにランダム・アクセス・メモリ（１６８）（「ＲＡＭ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ」）を含み、ＲＡＭ（１６８）は、高速メモリ・バス（１６６）およびバス・アダプタ（１５８）を介して、プロセッサ（１５６）と、コンピュータ（１５２）の他のコンポーネントとに接続され、さらに、分散処理システム（１０１）の他のコンポーネントとの通信用のアダプタに、拡張バスを介して接続されている。
【００１９】
ＲＡＭ（１６８）には、本発明の実施形態による適切なアラートの配信のための自動計算機のモジュールである、イベントおよびアラート分析モジュール（１２４）が記憶されている。イベントおよびアラート分析モジュール（１２４）は、本発明の実施形態による２つのインシデント・アナライザを含む。インシデント・アナライザは、イベント・アナライザ（２０８）およびアラート・アナライザ（２１８）を含む。イベント・アナライザ（２０８）およびアラート・アナライザは、それぞれ、本発明の実施形態による分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理することができる。本発明の実施形態によれば、イベント・アナライザは、分散処理システムの１つ以上のコンポーネントからの複数のイベントを、イベント・アナライザによってイベント・キューから受信すること、イベントのプールであって、所定の初期期間を有するプールを、イベント・アナライザによって作成すること、受信されたイベントそれぞれを、イベント・アナライザによってプールに割り当てること、イベント・アナライザによって、各イベントに、プールに含められるべき所定の最短時間を割り当てること、イベント・アナライザによって、イベントの１つ以上に関して、そのイベントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかをイベント・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各イベントに関して、そのイベントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、イベントが、その所定の最短時間プールに入っていた場合、クローズされたプールにイベントを含めること、ならびにイベントが、その所定の最短時間プールに入っていない場合、クローズされたプールからイベントを取り出し、イベントを次のプールに含めることによって、イベントのプールの管理を行う。
【００２０】
本発明の実施形態によれば、アラート・アナライザは、分散処理システムの１つ以上のコンポーネントからの複数のアラートを、アラート・アナライザによってアラート・キューから受信すること、アラートのプールであって、所定の初期期間を有するプールを、アラート・アナライザによって作成すること、受信されたアラートそれぞれを、アラート・アナライザによってプールに割り当てること、アラート・アナライザによって、各アラートに、プールに含められるべき所定の最短時間を割り当てること、アラート・アナライザによって、アラートの１つ以上に関して、そのアラートに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかをアラート・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各アラートに関して、そのアラートが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、アラートが、その所定の最短時間プールに入っていた場合、クローズされたプールにアラートを含めること、ならびにアラートが、その所定の最短時間プールに入っていない場合、クローズされたプールからアラートを取り出し、アラートを次のプールに含めることによって、アラートのプールの管理を行う。
【００２１】
図２のイベント・アナライザは、受信されたイベントに基づきアラートを特定できる、自動計算機のモジュールである。すなわち、イベント・アナライザは、主として、イベントを受信し、アラートを生成する。多くの実施形態において、複数のイベント・アナライザが並行して実装される。上記のイベント・アナライザは、イベントの特定のプールに割り当てられることが多く、特定のコンポーネントからのイベントまたは特定の事象に起因するイベントに集中して、より簡潔なアラートのセットを生成してもよい。
【００２２】
図２のアラート・アナライザは、送るべきアラートをイベントおよび他のアラートから特定すること、送るべき追加のアラートを特定すること、およびイベント・アナライザによって特定された、不要な、または不適切な、またはその他の理由で望ましくないアラートを抑制することができる、自動計算機のモジュールである。すなわち、アラート・アナライザは、主として、アラートおよびイベントを受信し、そのアラートおよびイベントに基づきアラートを生成または転送する。多くの実施形態において、複数のアラート・アナライザが並行して実装される。上記のアラート・アナライザは、アラートの特定のプールに割り当てられることが多く、特定の属性を持つアラートに集中して、より簡潔なアラートのセットを生成してもよい。
【００２３】
図２のイベントおよびアラート分析モジュール（１２４）は、分散処理システム（１０１）の１つ以上のコンポーネント（例えば１００、１８２、１８１、１８０および１７０）からの複数のイベントを、イベント・キューにおいて受信すること、受信されたイベントそれぞれをイベント・アナライザ（２０８）によってイベント・プールに割り当てること、イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザ（２０８）によって１つ以上のアラートを特定すること、イベント・アナライザ（２０８）によって、イベント・プール動作ルールに基づき、イベント・プールをクローズすること、クローズされたイベント・プール内の１つ以上のイベントを抑制するかどうかを、イベント・アナライザ（２０８）によってイベント抑制ルールに基づき判断すること、イベント・アナライザ（２０８）によって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラートを特定すること、イベント・アナライザによって特定されたすべてのアラートを、イベント・アナライザ（２０８）によってアラート・アナライザ（２１８）に送信すること、特定されたアラートを、アラート・アナライザ（２１８）によってアラート・プールに割り当てること、任意のアラートを抑制するかどうかを、アラート・アナライザ（２１８）によって、アラート分析ルールと、アラート・プール内のアラートとに基づき判断すること、ならびに、抑制されないアラートを、分散処理システムの１つ以上のコンポーネントに送ること（４２８）のコンピュータ・プログラム命令を含む。
【００２４】
ＲＡＭ（１６８）には、オペレーティング・システム（１５４）も記憶されている。本発明の実施形態による適切なアラートの配信に有用なオペレーティング・システムには、ＵＮＩＸ（ＴＭ）、Ｌｉｎｕｘ（ＴＭ）、Ｍｉｃｒｏｓｏｆｔ ＸＰ（ＴＭ）、ＡＩＸ（ＩＢＭ社の登録商標）、ＩＢＭのｉ５／ＯＳ（ＩＢＭ社の登録商標）、および当業者が想到するであろう他のものが含まれる。図２の例のオペレーティング・システム（１５４）、イベントおよびアラート分析モジュール（１２４）、イベント・アナライザ（２０８）、アラート・アナライザ（２１８）は、ＲＡＭ（１６８）内に示されているが、そのようなソフトウェアの多くのコンポーネントは、典型的には、例えばディスク・ドライブ（１７０）などの不揮発性メモリにも記憶される。
【００２５】
図２のコンピュータ（１５２）は、拡張バス（１６０）およびバス・アダプタ（１５８）を介して、プロセッサ（１５６）と、コンピュータ（１５２）のその他のコンポーネントとに結合された、ディスク・ドライブ・アダプタ（１７２）を含む。ディスク・ドライブ・アダプタ（１７２）は、不揮発性データ記憶装置を、ディスク・ドライブ（１７０）の形態でコンピュータ（１５２）に接続する。本発明の実施形態による適切なアラートの配信のためのコンピュータで有用なディスク・ドライブ・アダプタには、統合ドライブ・エレクトロニクス（「ＩＤＥ：Ｉｎｔｅｇｒａｔｅｄ Ｄｒｉｖｅ Ｅｌｅｃｔｒｏｎｉｃｓ」）アダプタ、小型コンピュータ・システム・インターフェース（「ＳＣＳＩ：Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ」）アダプタ、および当業者が想到するであろう他のものが含まれる。さらに、不揮発性コンピュータ・メモリは、当業者が想到するであろうように、光ディスク・ドライブ、電気的消去可能プログラム可能読み取り専用メモリ（いわゆる「ＥＥＰＲＯＭ：ｅｌｅｃｔｒｉｃａｌｌｙ ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ」または「フラッシュ」メモリ）、ＲＡＭドライブなどとして実装されてもよい。
【００２６】
図２のコンピュータ（１５２）の例は、１つ以上の入出力（「Ｉ／Ｏ」）アダプタ（１７８）を含む。Ｉ／Ｏアダプタは、例えば、コンピュータ・ディスプレイ画面などのディスプレイ・デバイスへの出力、ならびにキーボードおよびマウスなどのユーザ入力デバイス（１８１）からのユーザ入力を制御するソフトウェア・ドライバおよびコンピュータ・ハードウェアを介して、ユーザ指向の入出力を実装する。図２のコンピュータ（１５２）の例は、ビデオ・アダプタ（２０９）を含み、これは、ディスプレイ画面またはコンピュータ・モニタなどのディスプレイ・デバイス（１８０）へのグラフィック出力用に特別に設計されたＩ／Ｏアダプタの例である。ビデオ・アダプタ（２０９）は、高速ビデオ・バス（１６４）、バス・アダプタ（１５８）、および、同じく高速バスであるフロント・サイド・バス（１６２）を介してプロセッサ（１５６）に接続されている。
【００２７】
図２の例示のコンピュータ（１５２）は、その他のコンピュータ（１８２）とのデータ通信および並列コンピュータ・ネットワーク（１００）とのデータ通信用の通信アダプタ（１６７）を含む。上記のデータ通信は、ＲＳ−２３２接続を介してシリアル方式で、ユニバーサル・シリアル・バス（「ＵＳＢ：Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ」）などの外部バスを介して、ＩＰデータ通信ネットワークなどのデータ通信ネットワークを介して、および当業者が想到するであろう他の方法で実行され得る。通信アダプタは、ハードウェア・レベルのデータ通信を実装し、それを介して１つのコンピュータが別のコンピュータへ直接またはデータ通信ネットワークを介してデータ通信を送信する。本発明の実施形態による適切なアラートの配信に有用な通信アダプタの例には、有線ダイヤルアップ通信用のモデム、有線データ通信ネットワーク通信用のイーサネット（ＩＥＥＥ ８０２．３）アダプタ、および無線データ通信ネットワーク通信用の８０２．１１アダプタが含まれる。
【００２８】
さらなる説明のために、図３は、本発明の実施形態による、分散処理システム（１０１）におけるイベントおよびアラート分析ならびに適切なアラートの配信のために、インシデント・プールを管理する例示のシステムのブロック図を示す。図３の方法は、イベント・キュー（２０６）において、分散処理システム（１０１）の１つ以上のコンポーネントからの複数のイベント（２０２）を受信することを含む。本発明の実施形態による分散処理システムのコンポーネントは、分散処理システムのデバイス、または分散処理システムのデバイス上で実行されているプロセスであってもよい。上記のコンポーネントは、多くの場合はエラーまたはステータス・レポーティングのために、何らかの形態のイベント送信ができることが多い。
【００２９】
本発明の実施形態によるイベントは、分散処理システムのコンポーネント内またはコンポーネント上での特定の事象の通知である。本発明によれば、そのようなイベントは、事象が発生したコンポーネントまたは別のレポーティング・コンポーネントから、イベントおよびアラート分析モジュールに送信される。イベントは、データ処理システムのコンポーネントにおいて発生するエラーの通知であることが多い。イベントは、データ通信ネットワークまたは共有メモリのいずれかを介して送信されるメッセージとして実装されることが多い。本発明の実施形態によるイベントおよびアラート分析に関する典型的なイベントは、発生時間、記録時間、イベント・タイプ、イベントＩＤ、レポーティング・コンポーネント、およびソース・コンポーネント、ならびにその他の属性を含む。発生時間は、コンポーネント上でイベントが発生した時間である。記録時間は、イベント・キュー（２０６）にイベントが含められた時間であり、典型的には、図３の例にあるモニタ（２０４）によってイベントに挿入される。イベント・タイプは、当業者が想到するであろうように、例えば電源エラー、リンク障害エラー、メッセージの未受信またはパケット損失に関するエラーなどの一般的なイベントのタイプである。イベントＩＤは、イベントの固有の識別情報である。レポーティング・コンポーネントは、イベントをレポートしたコンポーネントの識別情報である。ソース・コンポーネントは、イベントが発生したコンポーネントの識別情報である。すべてではないが、多くの場合、レポーティング・コンポーネントと、ソース・コンポーネントとは、分散処理システムの同一コンポーネントである。
【００３０】
図３の例では、イベントおよびアラート分析モジュール（１２４）は、分散処理システムのコンポーネントからイベントを受信し、受信されたイベント（２０２）をイベント・キュー（２０６）に入れるモニタ（２０４）を含む。図３のモニタ（２０４）は、分散処理システムのコンポーネントから、その合図に応じてイベントを受信してもよく、分散処理システムのコンポーネントの１つ以上に定期的にポーリングを行ってもよく、または当業者が想到するであろうその他の方法でコンポーネントからイベントを受信してもよい。
【００３１】
図３のシステムは、イベント・アナライザ（２０８）を含む。図３のイベント・アナライザ（２０８）は、受信されたイベントに基づきアラートを特定できる、自動計算機のモジュールである。すなわち、イベント・アナライザは、主として、イベントを受信し、アラートを生成する。多くの実施形態において、複数のイベント・アナライザが並行して実装される。イベント・アナライザは、イベントの特定のプールに割り当てられることが多く、特定のコンポーネントからのイベントまたは特定の事象に起因するイベントに集中して、より簡潔なアラートのセットを生成してもよい。
【００３２】
図３のイベント・アナライザ（２０８）は、受信されたイベント（２０２）それぞれをイベント・プール（２１２）に割り当てる。イベント・プール（２１２）は、イベントの発生時間、イベント・キューへの記録時間、イベント・プールに含められた時間、または当業者が想到するであろうその他の時間に基づいて整理されたイベントの集合である。すなわち、イベント・プールは、時間に基づいて整理されたイベントの集合である。上記のイベント・プールは、多くの場合、時間に関係するイベントのグループを分析し、それに基づきアラートを特定する能力を提供する。上記のイベント・プールは、関係する複数のイベントに基づき、より少数で、より適切なアラートを特定するのに有用であることが多い。
【００３３】
本発明の実施形態によれば、イベント・プール（２１２）は、イベント・アナライザ（２０８）によって管理される。本発明の実施形態によれば、イベント・アナライザは、分散処理システムの１つ以上のコンポーネントからの複数のイベントを、イベント・アナライザによってイベント・キューから受信すること、イベントのプールであって、所定の初期期間を有するプールを、イベント・アナライザによって作成すること、受信されたイベントそれぞれを、イベント・アナライザによってプールに割り当てること、イベント・アナライザによって、各イベントに、プールに含められるべき所定の最短時間を割り当てること、イベント・アナライザによって、イベントの１つ以上に関して、そのイベントに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかをイベント・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各イベントに関して、そのイベントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、イベントが、その所定の最短時間プールに入っていた場合、クローズされたプールにイベントを含めること、イベントが、その所定の最短時間プールに入っていない場合、クローズされたプールからイベントを取り出し、イベントを次のプールに含めることによって、イベントのプールの管理を行う。
【００３４】
前述のように、図３の方法によるイベント・プールは、所定の初期期間を有する。図３の例では、受信されたイベントそれぞれをイベント・アナライザによってイベント・プールに割り当てることは、イベント・プールに割り当てられる各イベントごとに、そのイベントに割り当てられている特定の期間、所定の初期期間を延長することを含む。このように、アラートを特定するために有益に使用され得るイベントの集合がイベント・プールに割り当てられるまで、受信される各イベントごとにプールが延長される。
【００３５】
上記のように、本発明の一部の実施形態では、２つ以上のイベント・アナライザが並行して動作してもよい。よって、各イベント・アナライザが、本発明の実施形態による適切なアラートの配信のために、１つ以上のイベント・プールを保持してもよい。したがって、イベント・アナライザによってイベントをイベント・プールに割り当てることは、１つ以上の特定のコンポーネントからのイベントのみを選択することを含んでもよい。そのような実施形態では、特定のイベント・プールに対して、特定のコンポーネントが選択されて、１つ以上のコンポーネントの特定のセットからの、特定の期間に関連するイベントが提供されてもよい。
【００３６】
さらに、イベント・アナライザによる、イベントのイベント・プールへの割り当ては、特定のイベント・タイプのイベントのみを選択することによって実行されてもよい。そのような実施形態では、特定のイベント・プールに対して、特定のイベントが選択されて、イベント・タイプの特定のセットからの、特定の期間に関連するイベントが提供されてもよい。
【００３７】
図３の例にあるイベント・アナライザ（２０８）は、イベント分析ルール（２１０）と、イベント・プールに割り当てられているイベントとに基づき、１つ以上のアラート（２１４）を特定する。イベント分析ルール（２１０）は、受信されたイベントを意味があるように構文解析し、イベントに基づき適切なアラートを特定するための、所定のルールの集合である。
【００３８】
図３のイベント分析ルール（２１０）は、イベント到着ルール（２３０）、イベント・プール動作ルール（２３２）、イベント抑制ルール（２３４）、およびイベント・プール・クローズ・ルール（２３６）を含む。イベント到着ルール（２３０）は、イベントがイベント・プールに割り当てられるときに、それらのイベントに基づき、リアル・タイムでアラートを特定するための、設定可能な所定のルールである。すなわち、イベント到着ルール（２３０）は、イベント・プールをクローズする前に、イベントに基づきアラートを特定する。上記のルールは、主として、当該イベントの属性に基づき特定のアラートを特定するよう、あらかじめ定められる。イベント到着ルールは、例えば、イベントの特定のイベント・タイプもしくはコンポーネント・タイプ、またはそのイベントの他の属性に基づき、システム管理者に送る所定の特定のアラートを特定することを指示してもよい。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００３９】
本発明の実施形態によるアラートは、２つ以上のイベントに基づく、エラーなどの事象の純化された識別情報であり、したがって、分散処理システムにおける事象の影響との関連で、事象の識別情報を提供する。多くの場合、アラートは、データ処理システムの１つ以上のコンポーネントから受信された複数のイベントに基づき特定される、特定のエラー・タイプの事象、例えば単一のリンク障害に基づいて多数のイベントをそれぞれ生成する複数のデバイスの間のリンク障害、または多数のイベントを引き起こす電源障害などの通知であり得る。
【００４０】
アラートは、データ通信ネットワークまたは共有メモリを介して送信されるメッセージとして実装されることが多い。本発明の実施形態による典型的なアラートは、アラートが特定されるもととなった受信イベントの属性に基づいて付加された属性を有する。
【００４１】
イベント・プール動作ルール（２３２）は、イベント・プールの動作を制御するための、設定可能な所定のルールである。上記のルールは、各イベント・プールの所定の初期期間を特定するルール、新たなイベントそれぞれがプールに割り当てられるとプールが延長される時間の長さを指示するルール、プールがクローズされるときにイベントの集合にイベントが含められるために、それまでにそのイベントがプールに入っていなければならない最短時間を指示するルール、イベント・プールのクローズを制御するルール、および当業者が想到するであろう他のものを含む。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００４２】
イベント抑制ルール（２３４）は、アラートの特定に使用されるクローズされたイベントのプール内の１つ以上のイベントを抑制するための、設定可能な所定のルールである。すなわち、多くの場合、クローズされたイベント・プール内のイベントは、重複したイベントであること、冗長なイベントであること、もしくはその他の理由でアラートの特定に不要である、または役に立たないイベントであることがある。上記の抑制ルールは、主として、抑制される当該イベントを、削除、廃棄、またはその他の形で無視するようあらかじめ定められる。イベント抑制ルールは、例えば、特定のイベント・タイプまたはコンポーネント・タイプの、閾値数を超えるイベントが抑制されるよう指示してもよい。上記のルールにも柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００４３】
イベント・プール・クローズ・ルール（２３６）は、クローズされたイベント・プール内の抑制されないイベントと、イベント到着ルールによって特定されたアラートとに基づきアラートを特定するための、設定可能な所定のルールである。すなわち、イベント・プール・クローズ・ルールは、クローズされたイベント・プール内の、１つ以上の抑制されないイベントに基づき、または抑制されないイベントすべてにさえも基づき、新たなアラートを特定する。さらに、イベント・プール・クローズ・ルールは、イベント到着ルール（２３０）によって特定されたアラートに基づき、またはイベント到着ルール（２３０）によって特定されたアラートと、クローズされたイベント・プール内の抑制されないイベントのうちの１つ以上との組み合わせに基づき、アラートを特定する。
【００４４】
図３の例にあるイベント・アナライザ（２０８）は、イベント・アナライザ（２０８）によって特定されたすべてのアラート（２１４）をアラート・アナライザ（２１８）に送信する。図３のアラート・アナライザは、送るべきアラートをイベントおよび他のアラートから特定すること、送るべき追加のアラートを特定すること、およびイベント・アナライザによって特定された、不要な、または不適切な、またはその他の理由で望ましくない、もしくは役に立たないアラートを抑制することができる、自動計算機のモジュールである。すなわち、アラート・アナライザは、主として、アラートおよびイベントを受信し、そのアラートおよびイベントに基づきアラートを生成または転送する。多くの実施形態において、複数のアラート・アナライザが並行して実装される。図３の例にあるアラート（２１４）は、イベント・アナライザ（２０８）から、アラート・アナライザ（２１８）にアラート・キュー（２１６）を介して送信される。
【００４５】
図３のアラート・アナライザ（２１８）は、特定されたアラート（２１４）それぞれをアラート・プール（２２４）に割り当てる。アラート・プール（２２４）は、アラートの特定をもたらす１つ以上のイベントの時間、アラートの特定時間、または当業者が想到するであろう他の時間に基づいて整理されたアラートの集合である。すなわち、アラート・プールは、時間に基づいて整理されたアラートの集合である。上記のアラート・プールは、多くの場合、特定されて何らかの時間に従いアラート・プールに含められた、アラートのグループを分析する能力を提供する。上記のアラート・プールは、関係する複数のイベントおよび関係する複数のアラートに基づき、より少数で、より適切なアラートを特定するのに有用であることが多い。
【００４６】
本発明の実施形態によれば、アラート・アナライザは、分散処理システムの１つ以上のコンポーネントからの複数のアラートを、アラート・アナライザによってアラート・キューから受信すること、アラートのプールであって、所定の初期期間を有するプールを、アラート・アナライザによって作成すること、受信されたアラートそれぞれを、アラート・アナライザによってプールに割り当てること、アラート・アナライザによって、各アラートに、プールに含められるべき所定の最短時間を割り当てること、アラート・アナライザによって、アラートの１つ以上に関して、そのアラートに割り当てられている特定の期間、プールの所定の初期期間を延長すること、プールをクローズする条件が満たされたかどうかをアラート・アナライザによって判断すること、プールをクローズする条件が満たされた場合、プール内の各アラートに関して、そのアラートが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること、アラートが、その所定の最短時間プールに入っていた場合、クローズされたプールにアラートを含めること、アラートが、その所定の最短時間プールに入っていない場合、クローズされたプールからアラートを取り出し、アラートを次のプールに含めることによって、アラートのプールの管理を行う。
【００４７】
アラート・アナライザは、特定されたアラートを、アラートの属性または当該のアラートが特定されるもととなったイベントの属性に基づき、アラート・プール（２２４）に割り当ててもよい。例えば、図３のアラート・アナライザは、当業者が想到するであろうように、１つ以上の特定のコンポーネントからのイベントから生じたアラート、特定のアラート・タイプに関連するアラートを選択することなどによって、アラートをアラート・プール（２２４）に割り当ててもよい。
【００４８】
図３のアラート・アナライザ（２１８）は、任意のアラートを抑制するかどうかを、アラート分析ルール（２２２）と、アラート・プール内のアラートとに基づき判断する。アラートの抑制は、典型的には、アラートを廃棄すること、アラートを削除すること、または別の形で、無視すること、または抑制されるアラートを分散処理システムのコンポーネントに送らないことによって実行される。
【００４９】
アラート分析ルール（２２２）は、例えばシステム管理者に表示するためなどに分散処理システムのコンポーネントに送られるより適切なアラートのセットを提供し、分散処理システムの１つ以上のコンポーネントに送られる追加のアラートを特定するために、１つ以上のアラートを抑制するルールの集合である。例えば、アラート分析ルールは、当業者が想到するであろうように、重複したアラートが抑制されること、特定のコンポーネントに送られる特定のタイプのアラートが抑制されることなどを指示してもよい。上記のアラートは、自動エラー回復用の分散処理システムのコンポーネントにとって、またはシステム管理者にとって、より意味があるものであってもよい。システム管理者は、他の場合であれば、いくつかの分析されていない生のアラートによって、より少ない情報しか与えられないと考えられる。
【００５０】
さらに、図３のアラート・アナライザ（２１８）は、イベント・キュー（２０６）にアクセスできる。一部の実施形態では、図３のアラート・アナライザ（２１８）は、アラート分析ルールに基づき、イベント・キューからイベントを選択し、任意のアラートを抑制するかどうかを、選択されたイベントに基づき判断してもよい。すなわち、アラート分析ルールは、アラートの抑制、および１つ以上のコンポーネントに送る追加のアラートの特定に関して、イベントおよびその属性も考慮に入れてもよい。上記のイベントは、アラート・プール内のアラートに関係してもよく、またはそうしたアラートからは独立していてもよい。
【００５１】
図３のアラート・アナライザ（２１８）は、抑制されないアラートを、分散処理システムの１つ以上のコンポーネントに送る。アラート・アナライザは、アラートをメッセージとして、データ通信ネットワークを通して、または共有メモリを介して、または当業者が想到するであろうその他の方法で送信することによって、抑制されないアラートを分散処理システムの１つ以上のコンポーネントに送ってもよい。図３の例では、抑制されないアラート（２２０）は、システム管理者（１２８）に対して表示されるようコンピュータ端末（１２２）に送られる。
【００５２】
さらに、図３のアラート・アナライザ（２１８）は、アラート分析ルール（２２２）、アラート・プール（２２４）内のアラート、および選択されたイベント（２０２）に基づき、１つ以上の追加のアラートを特定し、分散処理システムの１つ以上のコンポーネントに送ることができる。追加のアラートは、イベント・アナライザによって特定されていない１つ以上のアラートを含んでもよい。そのような追加のアラートは、システム管理者の、分散処理システムのコンポーネントに、追加情報を提供してもよい。
【００５３】
上記のように、本発明による適切なアラートの配信は、イベントをイベント・プールに割り当てることを含み、そのプールは、本発明の実施形態に従って管理される。さらなる説明のために、図４は、本発明の実施形態による、イベント・プールへのイベントの割り当てを表す図を示す。イベント・プール（２１２）は、イベントの発生時間、イベント・キューへの記録時間、イベント・プールに含められた時間、または当業者が想到するであろうその他の時間に基づいて整理されたイベントの集合である。すなわち、イベント・プールは、時間に基づいて整理されたイベントの集合である。上記のイベント・プールは、多くの場合、時間に関係するイベントのグループを分析し、それに基づきアラートを特定する能力を提供する。上記のイベント・プールは、関係する複数のイベントに基づき、より少数で、より適切なアラートを特定するのに有用であることが多い。
【００５４】
本発明の実施形態によるイベント・プールは、主として、イベント・プール動作ルールに従って動作させられ、多くの場合、このルール自体はイベント分析ルールに含まれる。上記のイベント・プール動作ルールは、イベント・プールの動作を制御するための、設定可能な所定のルールである。上記のルールは、各イベント・プールの所定の初期期間を特定するルール、新たなイベントそれぞれがプールに割り当てられるとプールが延長される時間の長さを指示するルール、プールがクローズされるときにイベントの集合にイベントが含められるために、それまでにそのイベントがプールに入っていなければならない最短時間を指示するルール、イベント・プールのクローズを制御するルール、および当業者が想到するであろう他のものを含む。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００５５】
多くの場合、イベントは、記録時間に従いイベント・プールに割り当てられる。すなわち、イベントは、典型的には、イベント・キューにおいて受信された順序でイベント・プールに挿入される。図４の例では、イベント・プール（２１２）のタイミングは、第１のイベント「イベント０」（４００）が、時間ｔ０にイベント・プール（２１２）に割り当てられたときに開始される。図４のイベント・プールは、所定の初期期間ｔ０〜ｔｆで開始される。すなわち、第１のイベント「イベント０」（４００）を受信すると、図４のイベント・プールは、ｔ０に始まりｔｆに終わる所定の初期期間を有する。所定の初期期間は、当業者が想到するであろうように、分散処理システム内のコンポーネントの数、イベント受信の頻度、主に受信されるイベントのタイプなど、当業者が想到するであろういつくかの要因に基づき設定してもよい。
【００５６】
図４の例では、所定の初期期間ｔ０〜ｔｆの間イベント・プールに割り当てられる新たなイベントごとに、そのイベントに割り当てられている特定の期間、初期期間が延長される。図４の例では、「イベント１」（４０２）をイベント・プール（２１２）に割り当てると、所定の初期期間ｔ０〜ｔｆが、時間ｅ１を有する「延長１」（４０６）延長され、それによって新たな時間がもたらされ、ｔｆ＋ｅ１より前にプールに他のイベントが割り当てられなければｔｆ＋ｅ１にイベント・プール（２１２）がクローズされる。同じく、図４の例では、時間ｅ２を有する「イベント２」（４０４）をイベント・プールに割り当てると、そのときすでに延長されている期間ｔ０〜ｔｆ＋ｅ１が、再び延長２（４０８）延長され、それによって新たな時間が規定され、ｔｆ＋ｅ１＋ｅ２より前、またはイベント・プールの何らかの最長時間が終了する前にプールに他のイベントが割り当てられなければ時間ｔｆ＋ｅ１＋ｅ２にプールがクローズされる。このように、アラートを特定するために有益に使用され得るイベントの集合がイベント・プールに割り当てられるまで、受信される各イベントごとにイベント・プールが延長される。
【００５７】
本発明の典型的な実施形態では、イベント・プールは、それ以上は延長できない最長持続時間を有してもよい。そのような場合には、閾値期間イベント・プールになかったイベントは、次のイベント・プールに移動される、という要求事項が存在してもよい。一部の実施形態では、次のイベント・プールに移動されるそうしたイベントの属性は、最初のイベント・プールを用いる本発明の実施形態による適切なアラートの配信に使用され、他の実施形態では、そうしたイベントの属性は、そのイベントの移動先である次のイベント・プールを用いる適切なアラートの配信に使用される。
【００５８】
図４の例では、プールをクローズする条件が満たされると、イベント・アナライザは、イベント・プール（２１２）内の各イベント（４００、４０２、４０４）に関して、そのイベントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断する。イベントが、その所定の最短時間プールに入っていた場合、イベントは、本発明の実施形態による適切なアラートの配信のためのイベント分析のために、クローズされたプールに含められる。イベントが、その所定の最短時間プールに入っていない場合、イベントは、クローズされたプールから取り出され、本発明の実施形態による適切なアラートの配信のためのイベント分析のために、次のプールに含められる。
【００５９】
多くの実施形態では、複数のイベント・プールが並行して使用されてもよく、そのようなイベント・プールの１つ以上が、特定のイベント・アナライザに割り当てられる。そのような実施形態では、イベント・アナライザは、特定の属性を有するイベント・プール内のイベントを対象としてもよい。
【００６０】
上記のように、本発明による適切なアラートの配信は、さらに、アラート・プールにアラートを割り当てることを含む。さらなる説明のために、図５は、本発明の実施形態による、アラート・プールへのアラートの割り当てを表す図を示す。図５のアラート・プール（２２４）は、図４のイベント・プールと似た形で動作する。すなわち、図５の例によるアラート・プールは、アラートを含み、アラート・プールのタイミングは、第１のアラート「アラート０」（５００）により時間ｔ０に始まり、所定の初期期間ｔ０〜ｔｆを有するよう設定されている。図５の例では、所定の初期期間ｔ０〜ｔｆにアラート・プールに割り当てられる新たなアラートごとに、そのアラートに割り当てられている特定の期間、初期期間が延長される。図５の例では、「アラート１」（５０２）をアラート・プール（２２４）に割り当てると、所定の初期期間ｔ０〜ｔｆが、時間ｅ１を有する「延長１」（５０６）延長され、それによって新たな時間がもたらされ、ｔｆ＋ｅ１より前にプールに他のアラートが割り当てられなければｔｆ＋ｅ１にアラート・プール（２２４）がクローズされる。同じく、図５の例では、時間ｅ２を有する「アラート２」（５０４）をアラート・プールに割り当てると、そのときすでに延長されている期間ｔ０〜ｔｆ＋ｅ１が、再び「延長２」（５０８）延長され、それによって新たな時間が規定され、ｔｆ＋ｅ１＋ｅ２より前、またはアラート・プールの何らかの最長時間が終了する前にプールに他のアラートが割り当てられなければ時間ｔｆ＋ｅ１＋ｅ２にプールがクローズされる。
【００６１】
本発明の典型的な実施形態では、アラート・プールは、それ以上は延長できない最長持続時間を有してもよい。そのような場合には、閾値期間アラート・プールになかったアラートは、次のアラート・プールに移動される、という要求事項が存在してもよい。一部の実施形態では、次のアラート・プールに移動されるそうしたアラートの属性は、最初のアラート・プールを用いる本発明の実施形態による適切なアラートの配信に使用され、他の実施形態では、そうしたアラートの属性は、そのアラートの移動先である次のアラート・プールを用いる適切なアラートの配信に使用される。
【００６２】
図５の例では、プールをクローズする条件が満たされると、アラート・アナライザは、アラート・プール（２２４）内の各アラート（５００、５０２、５０４）に関して、そのアラートが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断する。アラートが、その所定の最短時間プールに入っていた場合、アラートは、本発明の実施形態による適切なアラートの配信のためのアラート分析のために、クローズされたプールに含められる。アラートが、その所定の最短時間プールに入っていない場合、アラートは、クローズされたプールから取り出され、本発明の実施形態による適切なアラートの配信のためのアラート分析のために、次のプールに含められる。
【００６３】
多くの実施形態では、複数のアラート・プールが並行して使用されてもよく、そのようなアラート・プールの１つ以上が、特定のアラート・アナライザに割り当てられる。そのような実施形態では、アラート・アナライザは、特定の属性を有するアラート・プール内のアラートを対象としてもよい。
【００６４】
さらなる説明のために、図６は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート抑制を用いた適切なアラートの配信方法の例を表すフローチャートを示す。図６の方法は、分散処理システムの１つ以上のコンポーネントからの複数のイベント（２０２）を、イベント・キューにおいて受信すること（４０２）を含む。本発明の実施形態による、イベントおよびアラート抑制を用いる適切なアラートの配信において有用なイベントは、発生時間、記録時間、イベント・タイプ、イベントＩＤ、レポーティング・コンポーネント、およびソース・コンポーネントを含み得る。
【００６５】
分散処理システムの１つ以上のコンポーネントからの複数のイベント（２０２）を、イベント・キューにおいて受信すること（４０２）は、データ処理システムの１つ以上のコンポーネントによって開始されたイベントを受信して、イベントが発生した時間に従って、またはイベントが受信された時間に従って、イベントをイベント・キューに記憶することによって実行されてもよい。さらに、分散処理システムの１つ以上のコンポーネントからの複数のイベント（２０２）を、イベント・キューにおいて受信すること（４０２）は、ステータスに関してコンポーネントにポーリングを行ってそれに応答してイベントを受信し、イベントが発生した時間に従って、またはイベントが受信された時間に従って、イベントをイベント・キューに記憶することによって実行されてもよい。
【００６６】
さらに、図６の方法は、受信されたイベントそれぞれを、イベント・アナライザによってイベント・プール（２１２）に割り当てること（４０４）を含む。本発明の一部の実施形態では、受信されたイベント（２０２）それぞれを、イベント・アナライザによってイベント・プール（２１２）に割り当てること（４０４）は、イベントを、記録時間に従ってイベント・プールに割り当てることによって実行されてもよい。さらに、受信されたイベント（２０２）それぞれを、イベント・アナライザによってイベント・プール（２１２）に割り当てること（４０４）は、イベントの属性に基づき実行されてもよい。上記の属性は、当業者が想到するであろうように、イベントを作成する事象が発生したコンポーネントの識別情報またはタイプ、イベントのレポーティング・コンポーネント、イベントＩＤ、イベント・タイプなどを含んでもよい。
【００６７】
図６の方法によるイベント・プールは、所定の初期期間の間に発生するイベントを含み、図６の例では、受信されたイベントそれぞれをイベント・アナライザによってイベント・プールに割り当てること（４０４）は、イベント・プールに割り当てられる各イベントごとに、そのイベントに割り当てられている特定の期間、所定の初期期間を延長すること（４３２）を含む。
【００６８】
イベント・アナライザは、イベント到着ルール、イベント・プール動作ルール、イベント抑制ルール、およびイベント・プール・クローズ・ルールを含む、イベント分析ルール（２１０）を含む。イベント到着ルールは、イベントがイベント・プールに割り当てられるときに、それらのイベントに基づき、リアル・タイムでアラートを特定するための、設定可能な所定のルールである。すなわち、イベント到着ルールは、イベント・プールをクローズする前に、イベントに基づきアラートを特定する。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００６９】
本発明の実施形態によるアラートは、２つ以上のイベントに基づく、エラーなどの事象の純化された識別情報であり、したがって、分散処理システムにおける事象の影響との関連で、事象の識別情報を提供する。多くの場合、アラートは、データ処理システムの１つ以上のコンポーネントから受信された複数のイベントに基づき特定される、特定のエラー・タイプの事象、例えば単一のリンク障害に基づいて多数のイベントをそれぞれ生成する複数のデバイスの間のリンク障害、または多数のイベントを引き起こす電源障害などの通知であり得る。
【００７０】
アラートは、データ通信ネットワークまたは共有メモリを介して送信されるメッセージとして実装されることが多い。本発明の実施形態による典型的なアラートは、アラートが特定されるもととなった受信イベントの属性に基づいて付加された属性を有する。
【００７１】
イベント・プール動作ルールは、イベント・プールの動作を制御するための、設定可能な所定のルールである。上記のルールは、各イベント・プールの所定の初期期間を特定するルール、新たなイベントそれぞれがプールに割り当てられるとプールが延長される時間の長さを指示するルール、プールがクローズされるときにイベントの集合にイベントが含められるために、それまでにそのイベントがプールに入っていなければならない最短時間を指示するルール、イベント・プールのクローズを制御するルール、および当業者が想到するであろう他のものを含む。上記のルールには柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００７２】
イベント抑制ルールは、アラートの特定に使用されるクローズされたイベントのプール内の１つ以上のイベントを抑制するための、設定可能な所定のルールである。すなわち、多くの場合、クローズされたイベント・プール内のイベントは、重複したイベントであること、冗長なイベントであること、もしくはその他の理由でアラートの特定に不要である、または役に立たないイベントであることがある。上記の抑制ルールは、主として、抑制される当該イベントを、削除、廃棄、またはその他の形で無視するようあらかじめ定められる。イベント抑制ルールは、例えば、特定のイベント・タイプまたはコンポーネント・タイプの、閾値数を超えるイベントが抑制されるよう指示してもよい。上記のルールにも柔軟性があり、特定の分散計算システムおよびその機能に合わせられてもよい。
【００７３】
イベント・プール・クローズ・ルールは、クローズされたイベント・プール内の抑制されないイベントと、イベント到着ルールによって特定されたアラートとに基づきアラートを特定するための、設定可能な所定のルールである。すなわち、イベント・プール・クローズ・ルールは、クローズされたイベント・プール内の、１つ以上の抑制されないイベントに基づき、または抑制されないイベントすべてにさえも基づき、新たなアラートを特定する。さらに、イベント・プール・クローズ・ルールは、イベント到着ルールによって特定されたアラートに基づき、またはイベント到着ルールによって特定されたアラートと、クローズされたイベント・プール内の抑制されないイベントのうちの１つ以上との組み合わせに基づき、アラートを特定する。
【００７４】
さらに、図６の例の方法は、イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザによって１つ以上のアラート（２１４）を特定すること（４１０）を含む。イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザによって１つ以上のアラート（２１４）を特定すること（４１０）は、イベントがイベント・プールに割り当てられるときに、そのイベントの１つ以上の属性に基づきアラートを特定することによって実行されてもよい。イベント到着ルールと、イベント・プールに割り当てられているイベントとに基づき、イベント・アナライザによって１つ以上のアラート（２１４）を特定すること（４１０）は、イベントの属性と、イベント到着ルールとを比較して、比較の結果として１つ以上のアラートを特定することによって実行されてもよい。上記の属性には、イベントが受信されたもとのコンポーネントのタイプ、イベントを作成するコンポーネントのタイプ、イベントを作成するコンポーネントの識別情報、イベントが作成または受信された時間、イベント内でレポートされているエラー、および当業者が想到するであろう多数の他のものが含まれ得る。
【００７５】
さらに、図６の方法は、イベント・アナライザによって、イベント・プール動作ルールに基づき、イベント・プール（２１２）をクローズすること（４１２）を含む。イベント・アナライザによって、イベント・プール動作ルールに基づき、イベント・プール（２１２）をクローズすること（４１２）は、イベント・プール動作ルールによって指示されている、新たなイベントのイベント・プールへの割り当てを停止する条件が満たされたと判断し、クローズされたイベントのプールに含められる特定のイベントを、そうしたイベント・プール動作ルールに基づき特定することによって実行されてもよい。
【００７６】
イベント・プールをクローズすることは、イベント・プールの初期期間と、初期期間に対する延長となった、イベント・プールにおいて受信されたイベントの任意の特定の期間とが終了したと判断することによって実行されてもよい。そのような場合には、イベント・プールの初期期間と、初期期間に対する延長となった、イベント・プールにおいて受信されたイベントの任意の特定の期間とが終了する前に、新たなイベントが受信されなければ、プールはクローズされる。
【００７７】
さらに、イベント・プールをクローズすることは、イベント・プールの最長持続時間が終了したと判断することによって実行されてもよい。そのような場合には、イベント・プールの最長持続時間が終了した後に受信される新たなイベントの数にかかわらず、プールはクローズされる。そのような実施形態では、イベント・プールの最長持続時間によって、本発明の実施形態による適切なアラートの配信に有用な数を超えるイベントをイベント・プールが含むことが防がれる。
【００７８】
さらに、図６の方法は、イベント・アナライザによって、イベント抑制ルールに基づき、クローズされたイベント・プール（２１２）内の１つ以上のイベントを抑制するかどうかを判断すること（４１４）を含む。イベント・アナライザによって、イベント抑制ルールに基づき、クローズされたイベント・プール（２１２）内の１つ以上のイベントを抑制するかどうかを判断すること（４１４）は、クローズされたプール内の１つ以上のイベントの属性に基づき、クローズされたプール内のイベントのうちの１つ以上を、削除、廃棄、またはその他の形で無視するかどうかを判断することによって実行されてもよい。
【００７９】
図６の方法は、イベント・アナライザによって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラート（４１７）を特定すること（４１６）を含む。イベント・アナライザによって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラート（４１７）を特定すること（４１６）は、イベントがイベント・プールに割り当てられるときに、そのイベントの１つ以上の属性に基づきアラートを特定することによって実行されてもよい。イベント・アナライザによって、イベント・プール・クローズ・ルールと、イベント・プールに割り当てられている任意の抑制されないイベントとに基づき、１つ以上の追加のアラート（４１７）を特定すること（４１６）は、イベント・プールの抑制されないイベントを選択し、イベント・プールの抑制されないイベントの属性と、プール・クローズ・ルールとを比較し、比較の結果として１つ以上の追加のアラートを特定することによって実行されてもよい。上記の属性には、抑制されないイベントの１つ以上が受信されたもとのコンポーネントのタイプ、抑制されないイベントを作成するコンポーネントのタイプ、抑制されないイベントを作成するコンポーネントの識別情報、イベントが作成または受信された時間、イベントによってレポートされている１つ以上のエラー、プール内のイベントの数、および当業者が想到するであろう多数の他のものが含まれ得る。
【００８０】
図６の方法は、イベント・アナライザによって特定されたすべてのアラートを、イベント・アナライザによってアラート・アナライザに送信すること（４１８）を含む。イベント・アナライザによって特定されたすべてのアラート（２１４）を、イベント・アナライザによってアラート・アナライザに送信すること（４１８）は、イベント・アナライザからアラート・アナライザに、アラートを含むメッセージを送信することによって実行されてもよい。そのようなメッセージは、イベント・アナライザからアラート・アナライザに、ネットワークを通して、または共有メモリを介して、または当業者が想到するであろう他の方法で送信されてもよい。
【００８１】
図６の方法は、特定されたアラートを、アラート・アナライザによってアラート・プール（２２４）に割り当てること（４２０）を含む。図６の方法によるアラート・プールは、所定の初期期間を有する。図６の例では、特定されたアラートをアラート・アナライザによってアラート・プール（２２４）に割り当てること（４２０）は、アラート・プールに割り当てられる各アラートごとに、そのアラートに割り当てられている特定の期間、所定の初期期間を延長することを含む。さらに、特定されたアラートを、アラート・アナライザによってアラート・プール（２２４）に割り当てること（４２０）は、アラートの属性に基づき実行されてもよい。そうした属性は、当業者が想到するであろうように、アラートの特定に使用されたイベントを作成する事象が発生したコンポーネントの識別情報またはタイプ、アラートＩＤ、アラート・タイプなどを含んでもよい。
【００８２】
図６の方法は、任意のアラートを抑制するかどうかを、アラート・アナライザによって、アラート分析ルール（２２２）と、アラート・プール内のアラートとに基づき判断すること（４２２）を含む。任意のアラートを抑制するかどうかを、アラート・アナライザによって、アラート分析ルール（２２２）と、アラート・プール内のアラートとに基づき判断すること（４２２）は、アラートの１つ以上の属性に基づき実行されてもよい。そのような属性は、当業者が想到するであろうように、アラートの特定に使用されたイベントを作成する事象が発生したコンポーネントの識別情報またはタイプ、アラートＩＤ、アラート・タイプなどを含んでもよい。そのような実施形態では、任意のアラートを抑制するかどうかを、アラート・アナライザによって、アラート分析ルール（２２２）と、アラート・プール内のアラートとに基づき判断すること（４２２）は、アラート・プール内のアラートの属性と、アラート分析ルールとを比較して、比較の結果として、アラート分析ルールに従って、抑制される１つ以上のアラートを特定することによって実行されてもよい。
【００８３】
図６の方法は、抑制されないアラートを、分散処理システムの１つ以上のコンポーネントに送ること（４２８）を含む。抑制されないアラートを分散処理システムの１つ以上のコンポーネントに送ること（４２８）は、アラートを含むメッセージを分散処理システムの１つ以上のコンポーネントに送信することによって実行されてもよい。多くの場合、アラートは、メッセージとしてシステム管理者に送信され、分散処理システム内での１つ以上の事象についてシステム管理者に報告してもよい。
【００８４】
上記のように、アラート分析ルールは、イベントに基づき、追加のアラートを選択しても、またはアラートを抑制してもよい。そのような実施形態では、任意のアラートを抑制するかどうかを判断することは、イベントを選択して、その選択されたイベントに基づき、任意のアラートを抑制するかどうかを判断することを含む。したがって、図６の方法はさらに、アラート・アナライザによって、アラート分析ルール（２２２）、アラート・プール（２２４）内のアラート、および任意の選択されたイベントに基づき、１つ以上の追加のアラートを特定すること（４２６）を含み、図６の方法では、抑制されないアラートを送ること（４２８）はさらに、任意の追加のアラートを、分散処理システムの１つ以上のコンポーネントに送ること（４３０）を含む。
【００８５】
上記のように、本発明の実施形態による適切なアラートの配信は、イベント、アラート、または当業者が想到するであろうその他のインシデントなどのインシデントの１つ以上のプールの管理を含む。さらなる説明のために、図７は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理する例示の方法を表すフローチャートを示す。図７の方法は、分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってイベント・キューから受信すること（７０２）を含む。図７のインシデントは、イベントとして実装されてもよく、インシデントのプールは、イベント・プールとして実装されてもよい。さらに、図７のインシデントは、アラートとして実装されてもよく、インシデントのプールは、アラート・プールとして実装されてもよい。
【００８６】
分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってインシデント・キューから受信すること（７０２）は、上記で説明したように、イベント・アナライザによってイベント・キューからイベントを受信することによって実行されてもよい。上記のイベントは、分散処理システムの１つ以上のコンポーネントから送信されてもよい。さらに、分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってインシデント・キューから受信すること（７０２）は、上記で説明したように、アラート・アナライザによって、アラート・キューからアラートを受信することによって実行されてもよい。上記のアラートは、上記で説明したように、イベント・アナライザによって生成されてもよい。
【００８７】
図７の方法は、インシデントのプール（７０８）であって、所定の初期期間を有するプールを、インシデント・アナライザによって作成すること（７０６）を含む。図７の方法は、インシデント・アナライザによって、インシデントのプール（７０８）を作成すること（７０６）を含み、これは、イベントまたはアラートを含めるデータ構造を作成し、イベント、アラート、または当業者が想到するであろうその他のインシデントを当該データ構造内に含める初期期間を、当該データ構造に対して規定することによって実行されてもよい。
【００８８】
さらに、図７の方法は、受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること（７１０）を含む。受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること（７１０）は、インシデントの属性に基づき実行されてもよい。受信されたインシデントそれぞれをプールに割り当てること（７１０）は、例えば、当業者が想到するであろうように、イベントを作成するコンポーネント、イベント・タイプ、アラート・タイプ、イベントをレポートするコンポーネント、イベントに基づきアラートが作成された該イベントをレポートまたは作成したコンポーネントなどの属性に基づき、イベント、アラート、またはその他のインシデントを選択することによって実行されてもよい。
【００８９】
さらに、図７の方法は、プール（７０８）に含められるべき所定の最短時間（７１４）を、各インシデントにインシデント・アナライザによって割り当てること（７１２）を含む。プールに含められるべき所定の最短時間（７１４）は、典型的には、プールの初期期間よりも短く、その結果、最初に到着するインシデントは、インシデントのプールがクローズされるときにそのプールに含まれる。所定の最短時間は、当業者が想到するであろうように、インシデントの属性によって異なってもよい。インシデントの属性によって異なる最短時間を考慮することによって、様々な形態の分散処理システムにおける本発明の実施形態によるプールの管理における柔軟性が提供される。
【００９０】
図７の方法は、インシデント・アナライザによって、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プール（７０８）の所定の初期期間を延長すること（７１６）を含む。所定の初期期間が延長される特定の期間は、インシデントのタイプ、インシデントの識別情報、インシデントが作成された、または送られたコンテキスト、および当業者が想到するであろう他のものなどのインシデントの属性によって決まってもよい。
【００９１】
さらに、図７の方法は、プール（７０８）をクローズする条件が満たされたかどうかを、インシデント・アナライザによって判断すること（７１８）を含む。プール（７０８）をクローズする条件が満たされたかどうかを、インシデント・アナライザによって判断すること（７１８）は、プールの最長時間が経過したかどうかを判断することによって実行されてもよい。プールに対して規定される最長時間は、主として、分散処理システムのサイズ、分散処理システムのコンポーネント、分散処理システムの計算上の要求事項、および当業者が想到するであろう他のものなどの、分散処理システムの要素によって決まる。典型的には、最長時間は、意味のあるイベントまたはアラート分析に十分なインシデントをプールに蓄積できるよう十分に長く、ただし分析がインシデントの多さに圧倒されず、かつアラートの適時レポートが可能なよう十分に短く規定される。
【００９２】
インシデント・アナライザによって、プール（７０８）をクローズする条件が満たされたかどうかを判断すること（７１８）は、別のインシデントがプールに割り当てられる前に、所定の初期期間と、プールに割り当てられた任意のインシデントに関連する任意の延長時間（ｅｘｔｅｎｓｉｏｎｓ ｏｆ ｔｉｍｅ）とが経過したと判断することによって実行されてもよい。そのような実施形態では、通常、所定の初期期間およびプールに対するすべての延長時間は、プールの最長時間より前に経過しており、その結果、プールはプールの最長時間より前にクローズされる。
【００９３】
さらに、図７の方法は、プールをクローズする条件が満たされると、プール内の各インシデントに関して、そのインシデントが、プール（７０８）に含められるべきその所定の最短時間（７１４）、プールに入っていたかどうかを判断すること（７２０）を含む。プール内の各インシデントに関して、そのインシデントが、プール（７０８）に含められるべきその所定の最短時間（７１４）、プールに入っていたかどうかを判断すること（７２０）は、各インシデントがプールにあった時間の長さと、プールに含められるべきその最短時間とを比較することによって実行されてもよい。
【００９４】
図７の方法は、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること（７２２）を含む。クローズされたプールにインシデントを含めること（７２２）は、インシデントを、イベント分析、アラート分析、または当業者が想到するであろう他のインシデント分析用に、クローズされたプールに保持することによって実行される。
【００９５】
図７の方法は、インシデントが、その所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めること（７２４）を含む。クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めること（７２４）は、次のプールを作成して、インシデントを次のプールへと移動させることによって実行されてもよい。次のプールを作成し、インシデントを次のプールへと移動させることは、その、次のプールに移動させられるイベントの最短時間と少なくとも同じ長さの所定の時間を、次のプールに関して規定することを含んでもよい。
【００９６】
さらなる説明のために、図８は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するさらなる方法を表すフローチャートを示す。分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってインシデント・キューから受信すること（７０２）、インシデントのプール（７０８）であって、所定の初期期間を有するプールを、インシデント・アナライザによって作成すること（７０６）、受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること（７１０）、インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てること（７１２）、インシデント・アナライザによって、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プール（７０８）の所定の初期期間を延長すること（７１６）、プールをクローズする条件が満たされたかどうかを、インシデント・アナライザによって判断すること（７１８）、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、インシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること（７２０）、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること（７２２）、インシデントがその所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めること（７２４）を、図８の方法が含むという点で、図８の方法は図７の方法に似ている。
【００９７】
図８の方法では、インシデント（７０４）の１つ以上がイベントであり、図８の方法がさらに、プール（７０８）に割り当てられている１つ以上のイベントに基づき１つ以上のアラートを特定すること（７２６）を含むという点で、図８の方法は、図７の方法とは異なる。プール（７０８）に割り当てられている１つ以上のイベントに基づき１つ以上のアラートを特定すること（７２６）は、上記で説明したようにイベント到着ルールに基づきアラートを特定することによって、上記で説明したようにプール・クローズ・ルールに基づき追加のアラートを特定することによって、さらに当業者が想到するであろう他の方法で、実行されてもよい。
【００９８】
図８の方法では、インシデントを取り出し、インシデントを次のプールに含めること（７２４）はさらに、少なくとも１つのイベントを取り出し（８０２）、取り出されたイベントを次のプールに含め（８０４）、取り出されたイベントに基づき特定された任意のアラートと、クローズされたプールとを関連付けること（８０６）を含む。さらに、インシデントを取り出し、インシデントを次のプールに含めること（７２４）は、少なくとも１つのイベントを取り出すこと（８０２）を含み、取り出されたイベントを次のプールに含めること（８０４）は、次のプールを作成し、インシデントを次のプールへと移動させることによって実行されてもよい。
【００９９】
取り出されたイベントに基づき特定された任意のアラートと、クローズされたプールとを関連付けること（８０６）は、イベント到着ルールに基づき特定された任意のアラートを、アラート・アナライザによるアラート分析のために、クローズされたプールを用いて保持することによって実行されてもよい。そのような実施形態では、イベントは取り出されて次のプールに含められるが、そのイベントに基づき特定された任意のアラートは、アラート分析のために、クローズされたプールを用いて保持される。
【０１００】
さらなる説明のために、図９は、本発明の実施形態による、分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するさらなる方法を表すフローチャートを示す。分散処理システムの１つ以上のコンポーネントからの複数のインシデント（７０４）を、インシデント・アナライザによってインシデント・キューから受信すること（７０２）、インシデントのプール（７０８）であって、所定の初期期間を有するプールを、インシデント・アナライザによって作成すること（７０６）、受信されたインシデントそれぞれを、インシデント・アナライザによってプールに割り当てること（７１０）、インシデント・アナライザによって、各インシデントに、プールに含められるべき最短時間を割り当てること（７１２）、インシデント・アナライザによって、インシデントの１つ以上に関して、そのインシデントに割り当てられている特定の期間、プール（７０８）の所定の初期期間を延長すること（７１６）、プールをクローズする条件が満たされたかどうかを、インシデント・アナライザによって判断すること（７１８）、プールをクローズする条件が満たされた場合、プール内の各インシデントに関して、インシデントが、プールに含められるべきその所定の最短時間、プールに入っていたかどうかを判断すること（７２０）、インシデントが、その所定の最短時間プールに入っていた場合、クローズされたプールにインシデントを含めること（７２２）、インシデントがその所定の最短時間プールに入っていない場合、クローズされたプールからインシデントを取り出し、インシデントを次のプールに含めること（７２４）を、図９の方法が含むという点で、図９の方法は図７および８の方法に似ている。
【０１０１】
図９の方法では、インシデント（７０４）の１つ以上がイベント（２０２）であり、図９の方法がさらに、プール（７０８）に割り当てられている１つ以上のイベントに基づき１つ以上のアラートを特定すること（７２６）を含むという点で、図９の方法は図７の方法とは異なる。プール（７０８）に割り当てられている１つ以上のイベントに基づき１つ以上のアラートを特定すること（７２６）は、上記で説明したようにイベント到着ルールに基づきアラートを特定することによって、上記で説明したようにプール・クローズ・ルールに基づき追加のアラートを特定することによって、および当業者が想到するであろう他の方法で、実行されてもよい。
【０１０２】
図９の方法では、インシデントを取り出し、インシデントを次のプールに含めること（７２４）はさらに、少なくとも１つのイベントを取り出し（９０２）、取り出されたイベントを次のプールに含め（９０４）、取り出されたイベントに基づき特定された任意のアラートと、次のプールとを関連付けること（９０６）を含む。さらに、インシデントを取り出し、インシデントを次のプールに含めること（７２４）は、少なくとも１つのイベントを取り出すこと（９０２）を含み、取り出されたイベントを次のプールに含めること（９０４）は、次のプールを作成し、インシデントを次のプールへと移動させることによって実行されてもよい。
【０１０３】
取り出されたイベントに基づき特定された任意のアラートと、次のプールとを関連付けること（９０６）は、イベント到着ルールに基づき特定された任意のアラートと、アラート・アナライザによるアラート分析のための、クローズされたプールとの関連付けを解除し、当該のアラートと、次のプールとを関連付けることによって実行されてもよい。そのような実施形態では、イベントは取り出されて次のプールに含められ、そのイベントに基づき特定された任意のアラートも、次のプールを用いたアラート分析のために、次のプールと関連付けられる。
【０１０４】
一部の実施形態では、アラートは、他のアラートに基づき特定されてもよい。したがって、そのような実施形態では、図９の方法による、取り出されたイベントに基づき特定された任意のアラートと、次のプールとを関連付けることはさらに、すでに次のプールと関連付けられている特定されたアラートに依存する任意のアラートまたはイベントであって、クローズされたプール内の該任意のアラートまたはイベントを、無効にすることによって実行されてもよい。すなわち、すでに次のプールに関連付けられているアラートに基づき特定されたアラートは、クローズされたプールにおいて無効にされる。そうしたアラートを無効にすることで、すでに次のプールと関連付けられているアラートに対する、クローズされたプールにおける依存がなくなる。
【０１０５】
当業者であれば当然のことであるが、本発明の側面は、システム、方法またはコンピュータ・プログラムとして具現化され得る。したがって、本発明の側面は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態（ファームウェア、常駐ソフトウェア、マイクロコードなどを含む）、または本願明細書においてすべて概して「回路」、「モジュール」または「システム」と呼ばれ得る、ソフトウェアおよびハードウェアの側面を兼ね備えた実施形態の形態をとってもよい。さらに、本発明の側面は、コンピュータ可読プログラム・コードが具現化された１つ以上のコンピュータ可読媒体（単数または複数）において具現化されたコンピュータ・プログラムの形態をとることもできる。
【０１０６】
１つ以上のコンピュータ可読媒体（単数または複数）の任意の組み合わせが利用され得る。コンピュータ可読媒体は、コンピュータ可読信号媒体またはコンピュータ可読記憶媒体とされ得る。コンピュータ可読記憶媒体は、例えば、限定はされないが、電子、磁気、光学、電磁気、赤外線、もしくは半導体システム、装置、もしくはデバイス、または前述のものの任意の適切な組み合わせとすることもできる。コンピュータ可読記憶媒体のより具体的な例（包括的でないリスト）には、１つ以上のワイヤを有する電気的接続、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ：ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、消去可能プログラム可能読み取り専用メモリ（ＥＰＲＯＭ（ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）またはフラッシュ・メモリ）、光ファイバ、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ−ＲＯＭ：ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、光学式記憶デバイス、磁気記憶デバイスまたは前述のものの任意の適切な組み合わせが含まれるであろう。この文書の文脈では、コンピュータ可読記憶媒体は、命令実行システム、装置もしくはデバイスによって、またはそれに関連して使用されるプログラムを含むこと、または記憶することができる任意の有形の媒体であればよい。
【０１０７】
コンピュータ可読信号媒体は、例えば、ベースバンドに、または搬送波の一部として、伝播データ信号において具現化されたコンピュータ可読プログラム・コードを備える伝播データ信号を含み得る。そのような伝播信号は、限定はされないが、電磁気、光学、またはその任意の適切な組み合わせを含む様々な形態のいずれかをとってよい。コンピュータ可読信号媒体は、コンピュータ可読記憶媒体でなく、命令実行システム、装置もしくはデバイスによって、またはそれに関連して使用されるプログラムを伝達すること、伝播させること、または搬送することができる、任意のコンピュータ可読媒体としてもよい。
【０１０８】
コンピュータ可読媒体上に具現化されたプログラム・コードは、限定はされないが、無線、有線、光ファイバ・ケーブル、ＲＦなどを使用して、または前述のものの任意の適切な組み合わせを含む任意の適切な媒体を使用して送られてもよい。
【０１０９】
本発明の側面の動作を実行するコンピュータ・プログラム・コードは、Ｊａｖａ（Ｒ）、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋または同様のものなどのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語もしくは同様のプログラミング言語などの従来の手続きプログラミング言語を含む、１つ以上のプログラミング言語の任意の組み合わせで書かれていてよい。プログラム・コードは、スタンド・アロン・ソフトウェア・パッケージとして、完全にユーザのコンピュータ上で実行されること、部分的にユーザのコンピュータ上で実行されること、または部分的にユーザのコンピュータ上で、かつ部分的にリモート・コンピュータ上で実行されること、または完全にリモート・コンピュータもしくはサーバ上で実行されることもできる。後者のシナリオでは、ローカル・エリア・ネットワーク（ＬＡＮ）、もしくは広域ネットワーク（ＷＡＮ：ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）を含む任意のタイプのネットワークを介してリモート・コンピュータがユーザのコンピュータに接続されてもよく、または、外部コンピュータに接続されてもよい（例えば、インターネット・サービス・プロバイダを使用しインターネットを介して）。
【０１１０】
本発明の側面は、本発明の実施形態による方法、装置（システム）およびコンピュータ・プログラムのフローチャート図またはブロック図あるいはその両方を参照して、以上に記載される。当然のことながら、フローチャート図またはブロック図、あるいはその両方の各ブロック、およびフローチャート図またはブロック図、あるいはその両方の複数ブロックの組み合わせは、コンピュータ・プログラム命令により実装可能である。当該コンピュータ・プログラム命令が、マシンを生じるよう、汎用コンピュータ、専用コンピュータ、またはその他のプログラム可能データ処理装置のプロセッサに提供されて、この命令が、コンピュータまたはその他のプログラム可能データ処理装置のプロセッサにより実行されて、フローチャートまたはブロック図あるいはその両方のブロックまたは複数ブロックにおいて指定された機能／動作を実装する手段を作り出すようにすることもできる。
【０１１１】
さらに、特定の形で機能するようコンピュータ、その他のプログラム可能データ処理装置、またはその他のデバイスに指示することができる当該コンピュータ・プログラム命令は、コンピュータ可読媒体に記憶されて、コンピュータ可読媒体に記憶されたこの命令が、フローチャートまたはブロック図あるいはその両方のブロックもしくは複数ブロックにおいて指定された機能／動作を実装する命令を含む製品を生じるようにすることもできる。
【０１１２】
さらに、コンピュータ・プログラム命令は、コンピュータ、その他のプログラム可能データ処理装置、またはその他のデバイスにロードされて、コンピュータ、その他のプログラム可能装置、またはその他のデバイス上で一連の動作ステップが実行されるようにしてコンピュータに実装されるプロセスを生じさせ、コンピュータまたはその他のプログラム可能装置上で実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックもしくは複数ブロックにおいて指定された機能／動作を実装するためのプロセスを提供するようにすることもできる。
【０１１３】
各図面のフローチャートおよびブロック図は、本発明の様々な実施形態によるシステム、方法およびコンピュータ・プログラムの考えられる実装のアーキテクチャ、機能性および動作を表す。この関連で、フローチャートまたはブロック図内の各ブロックは、指定の論理機能（単数または複数）を実装する１つ以上の実行可能命令を含むモジュール、セグメント、またはコードの一部を表現することもできる。なお、さらに、いくつかの代わりの実装では、ブロック内に示されている機能が、図面に示されているのとは異なる順序で生じてもよい。例えば、関連する機能性次第で、連続して示されている２つのブロックが実際には事実上同時に実行されてもよく、または、各ブロックが逆順で実行されることがあってもよい。なお、さらに、ブロック図もしくはフローチャート図あるいはその両方の各ブロック、およびブロック図もしくはフローチャート図あるいはその両方の複数ブロックの組み合わせは、指定の機能もしくは動作を実行する専用ハードウェア・ベース・システム、または専用ハードウェアおよびコンピュータ命令の組み合わせにより実装することができる。
【０１１４】
本発明の真の意図から逸脱することなく、本発明の様々な実施形態において、改変または変更が加えられ得ることが、前述の記載から分かるであろう。本明細書の記載は、説明のみを目的としており、限定的な意味に解釈されてはならない。本発明の範囲は、添付の特許請求の範囲の言葉によってのみ限定される。
【符号の説明】
【０１１５】
１０１ 分散処理システム
１２２ 端末
１２４ イベントおよびアラート分析モジュール
１２８ システム管理者
２０２ イベント
２０４ モニタ
２０６ イベント・キュー
２０８ イベント・アナライザ
２１０ イベント分析ルール
２１２ イベント・プール
２１４、２２０ アラート
２１６ アラート・キュー
２１８ アラート・アナライザ
２２２ アラート分析ルール
２２４ アラート・プール
２３０ イベント到着ルール
２３２ イベント・プール動作ルール
２３４ イベント抑制ルール
２３６ イベント・プール・クローズ・ルール
【特許請求の範囲】
【請求項１】
分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理する方法であって、
前記分散処理システムの１つ以上のコンポーネントからの複数のインシデントを、インシデント・アナライザによってインシデント・キューから受信するステップと、
前記インシデント・アナライザによって、インシデントのプールを作成するステップと、
受信されたインシデントそれぞれを、前記インシデント・アナライザによって前記プールに割り当てるステップと、
前記インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てるステップと、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断するステップと、
前記プールをクローズする条件が満たされた場合、前記プール内の各インシデントに関して、前記インシデントが、プールに含められるべきその所定の最短時間、前記プールに入っていたかどうかを判断するステップと、
前記インシデントが、その所定の最短時間前記プールに入っていた場合、前記クローズされたプールに前記インシデントを含めるステップと、
前記インシデントが、その所定の最短時間前記プールに入っていない場合、前記クローズされたプールから前記インシデントを取り出し、前記インシデントを次のプールに含めるステップと、
を含む、前記方法。
【請求項２】
前記インシデントのうちの１つ以上は、イベントを含み、前記方法は、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定するステップをさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めるステップは、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記クローズされたプールとを関連付けるステップをさらに含む、請求項１に記載の方法。
【請求項３】
前記インシデントのうちの１つ以上は、イベントを含み、前記方法は、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定するステップをさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めるステップは、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けるステップをさらに含む、請求項１に記載の方法。
【請求項４】
前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けるステップは、すでに前記次のプールに関連付けられている前記特定されたアラートに依存する任意のアラートまたはイベントであって、前記クローズされたプール内の前記任意のアラートまたはイベントを、無効にするステップをさらに含む、請求項３に記載の方法。
【請求項５】
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断するステップは、前記プールの最長時間が経過したかどうかを判断するステップをさらに含む、請求項１に記載の方法。
【請求項６】
インシデントの前記プールは、所定の初期期間を有し、前記方法は、前記インシデント・アナライザによって、前記インシデントの１つ以上に関して、前記インシデントに割り当てられている特定の期間、前記プールの前記所定の初期期間を延長するステップをさらに含み、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断するステップは、別のインシデントが前記プールに割り当てられる前に、前記所定の初期期間と、前記プールに割り当てられた任意のインシデントに関連する任意の延長時間とが経過したと判断するステップをさらに含む、請求項１に記載の方法。
【請求項７】
前記インシデントは、イベントを含み、インシデントの前記プールは、イベント・プールを含む、請求項１に記載の方法。
【請求項８】
前記インシデントは、アラートを含み、インシデントの前記プールは、アラート・プールを含む、請求項１に記載の方法。
【請求項９】
分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するシステムであって、前記システムは、コンピュータ・プロセッサと、前記コンピュータ・プロセッサに動作可能なように結合されたコンピュータ・メモリとを含み、前記コンピュータ・メモリ内にコンピュータ・プログラム命令が配置されており、前記コンピュータ・プログラム命令は、前記コンピュータ・プロセッサによって実行されると、前記システムに、
前記分散処理システムの１つ以上のコンポーネントからの複数のインシデントを、インシデント・アナライザによってインシデント・キューから受信するステップと、
前記インシデント・アナライザによって、インシデントのプールを作成するステップと、
受信されたインシデントそれぞれを、前記インシデント・アナライザによって前記プールに割り当てるステップと、
前記インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てるステップと、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断するステップと、
前記プールをクローズする条件が満たされた場合、前記プール内の各インシデントに関して、前記インシデントが、プールに含められるべきその所定の最短時間、前記プールに入っていたかどうかを判断するステップと、
前記インシデントが、その所定の最短時間前記プールに入っていた場合、前記クローズされたプールに前記インシデントを含めるステップと、
前記インシデントが、その所定の最短時間前記プールに入っていない場合、前記クローズされたプールから前記インシデントを取り出し、前記インシデントを次のプールに含めるステップと、
を実行させることができる、システム。
【請求項１０】
前記インシデントのうちの１つ以上は、イベントを含み、前記システムは、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定できるコンピュータ・プログラム命令をさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めるステップは、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記クローズされたプールとを関連付けるステップをさらに含む、請求項９に記載のシステム。
【請求項１１】
前記インシデントのうちの１つ以上は、イベントを含み、前記システムは、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定できるコンピュータ・プログラム命令をさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めるステップは、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けるステップをさらに含む、請求項９に記載のシステム。
【請求項１２】
前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けるステップは、すでに前記次のプールに関連付けられている前記特定されたアラートに依存する任意のアラートまたはイベントであって、前記クローズされたプール内の前記任意のアラートまたはイベントを、無効にするステップをさらに含む、請求項１１に記載のシステム。
【請求項１３】
分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するためのコンピュータ・プログラムであって、前記コンピュータ・プログラムは、コンピュータ可読記憶媒体上に配置され、前記コンピュータ・プログラムは、
前記分散処理システムの１つ以上のコンポーネントからの複数のインシデントを、インシデント・アナライザによってインシデント・キューから受信すること、
前記インシデント・アナライザによって、インシデントのプールを作成すること、
受信されたインシデントそれぞれを、前記インシデント・アナライザによって前記プールに割り当てること、
前記インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てること、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断すること、
前記プールをクローズする条件が満たされた場合、前記プール内の各インシデントに関して、前記インシデントが、プールに含められるべきその所定の最短時間、前記プールに入っていたかどうかを判断すること、
前記インシデントが、その所定の最短時間前記プールに入っていた場合、前記クローズされたプールに前記インシデントを含めること、および
前記インシデントが、その所定の最短時間前記プールに入っていない場合、前記クローズされたプールから前記インシデントを取り出し、前記インシデントを次のプールに含めること、
のコンピュータ・プログラム命令を含む、コンピュータ・プログラム。
【請求項１４】
前記インシデントのうちの１つ以上は、イベントを含み、前記コンピュータ・プログラムは、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定することのコンピュータ・プログラム命令をさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めることのコンピュータ・プログラム命令は、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記クローズされたプールとを関連付けることのコンピュータ・プログラム命令をさらに含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１５】
前記インシデントのうちの１つ以上は、イベントを含み、前記コンピュータ・プログラムは、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定することのコンピュータ・プログラム命令をさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めることのコンピュータ・プログラム命令は、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けることのコンピュータ・プログラム命令をさらに含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１６】
前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けることのコンピュータ・プログラム命令は、すでに前記次のプールに関連付けられている前記特定されたアラートに依存する任意のアラートまたはイベントであって、前記クローズされたプール内の前記任意のアラートまたはイベントを、無効にすることのコンピュータ・プログラム命令をさらに含む、請求項１５に記載のコンピュータ・プログラム。
【請求項１７】
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断することのコンピュータ・プログラム命令は、前記プールの最長時間が経過したかどうかを判断することのコンピュータ・プログラム命令をさらに含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１８】
前記プールは、所定の初期期間を有し、前記コンピュータ・プログラムは、前記インシデント・アナライザによって、前記インシデントの１つ以上に関して、前記インシデントに割り当てられている特定の期間、前記プールの前記所定の初期期間を延長することのコンピュータ・プログラム命令を含み、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断することのコンピュータ・プログラム命令は、別のインシデントが前記プールに割り当てられる前に、前記所定の初期期間と、前記プールに割り当てられた任意のインシデントに関連する任意の延長時間とが経過したと判断することのコンピュータ・プログラム命令をさらに含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１９】
前記インシデントは、イベントを含み、インシデントの前記プールは、イベント・プールを含む、請求項１３に記載のコンピュータ・プログラム。
【請求項２０】
前記インシデントは、アラートを含み、インシデントの前記プールは、アラート・プールを含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１】
分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理する方法であって、
前記分散処理システムの１つ以上のコンポーネントからの複数のインシデントを、インシデント・アナライザによってインシデント・キューから受信するステップと、
前記インシデント・アナライザによって、インシデントのプールを作成するステップと、
受信されたインシデントそれぞれを、前記インシデント・アナライザによって前記プールに割り当てるステップと、
前記インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てるステップと、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断するステップと、
前記プールをクローズする条件が満たされた場合、前記プール内の各インシデントに関して、前記インシデントが、プールに含められるべきその所定の最短時間、前記プールに入っていたかどうかを判断するステップと、
前記インシデントが、その所定の最短時間前記プールに入っていた場合、前記クローズされたプールに前記インシデントを含めるステップと、
前記インシデントが、その所定の最短時間前記プールに入っていない場合、前記クローズされたプールから前記インシデントを取り出し、前記インシデントを次のプールに含めるステップと、
を含む、前記方法。
【請求項２】
前記インシデントのうちの１つ以上は、イベントを含み、前記方法は、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定するステップをさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めるステップは、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記クローズされたプールとを関連付けるステップをさらに含む、請求項１に記載の方法。
【請求項３】
前記インシデントのうちの１つ以上は、イベントを含み、前記方法は、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定するステップをさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めるステップは、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けるステップをさらに含む、請求項１に記載の方法。
【請求項４】
前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けるステップは、すでに前記次のプールに関連付けられている前記特定されたアラートに依存する任意のアラートまたはイベントであって、前記クローズされたプール内の前記任意のアラートまたはイベントを、無効にするステップをさらに含む、請求項３に記載の方法。
【請求項５】
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断するステップは、前記プールの最長時間が経過したかどうかを判断するステップをさらに含む、請求項１に記載の方法。
【請求項６】
インシデントの前記プールは、所定の初期期間を有し、前記方法は、前記インシデント・アナライザによって、前記インシデントの１つ以上に関して、前記インシデントに割り当てられている特定の期間、前記プールの前記所定の初期期間を延長するステップをさらに含み、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断するステップは、別のインシデントが前記プールに割り当てられる前に、前記所定の初期期間と、前記プールに割り当てられた任意のインシデントに関連する任意の延長時間とが経過したと判断するステップをさらに含む、請求項１に記載の方法。
【請求項７】
前記インシデントは、イベントを含み、インシデントの前記プールは、イベント・プールを含む、請求項１に記載の方法。
【請求項８】
前記インシデントは、アラートを含み、インシデントの前記プールは、アラート・プールを含む、請求項１に記載の方法。
【請求項９】
分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するシステムであって、前記システムは、コンピュータ・プロセッサと、前記コンピュータ・プロセッサに動作可能なように結合されたコンピュータ・メモリとを含み、前記コンピュータ・メモリ内にコンピュータ・プログラム命令が配置されており、前記コンピュータ・プログラム命令は、前記コンピュータ・プロセッサによって実行されると、前記システムに、
前記分散処理システムの１つ以上のコンポーネントからの複数のインシデントを、インシデント・アナライザによってインシデント・キューから受信するステップと、
前記インシデント・アナライザによって、インシデントのプールを作成するステップと、
受信されたインシデントそれぞれを、前記インシデント・アナライザによって前記プールに割り当てるステップと、
前記インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てるステップと、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断するステップと、
前記プールをクローズする条件が満たされた場合、前記プール内の各インシデントに関して、前記インシデントが、プールに含められるべきその所定の最短時間、前記プールに入っていたかどうかを判断するステップと、
前記インシデントが、その所定の最短時間前記プールに入っていた場合、前記クローズされたプールに前記インシデントを含めるステップと、
前記インシデントが、その所定の最短時間前記プールに入っていない場合、前記クローズされたプールから前記インシデントを取り出し、前記インシデントを次のプールに含めるステップと、
を実行させることができる、システム。
【請求項１０】
前記インシデントのうちの１つ以上は、イベントを含み、前記システムは、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定できるコンピュータ・プログラム命令をさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めるステップは、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記クローズされたプールとを関連付けるステップをさらに含む、請求項９に記載のシステム。
【請求項１１】
前記インシデントのうちの１つ以上は、イベントを含み、前記システムは、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定できるコンピュータ・プログラム命令をさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めるステップは、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けるステップをさらに含む、請求項９に記載のシステム。
【請求項１２】
前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けるステップは、すでに前記次のプールに関連付けられている前記特定されたアラートに依存する任意のアラートまたはイベントであって、前記クローズされたプール内の前記任意のアラートまたはイベントを、無効にするステップをさらに含む、請求項１１に記載のシステム。
【請求項１３】
分散処理システムにおけるイベントおよびアラート分析のためにインシデント・プールを管理するためのコンピュータ・プログラムであって、前記コンピュータ・プログラムは、コンピュータ可読記憶媒体上に配置され、前記コンピュータ・プログラムは、
前記分散処理システムの１つ以上のコンポーネントからの複数のインシデントを、インシデント・アナライザによってインシデント・キューから受信すること、
前記インシデント・アナライザによって、インシデントのプールを作成すること、
受信されたインシデントそれぞれを、前記インシデント・アナライザによって前記プールに割り当てること、
前記インシデント・アナライザによって、各インシデントに、プールに含められるべき所定の最短時間を割り当てること、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断すること、
前記プールをクローズする条件が満たされた場合、前記プール内の各インシデントに関して、前記インシデントが、プールに含められるべきその所定の最短時間、前記プールに入っていたかどうかを判断すること、
前記インシデントが、その所定の最短時間前記プールに入っていた場合、前記クローズされたプールに前記インシデントを含めること、および
前記インシデントが、その所定の最短時間前記プールに入っていない場合、前記クローズされたプールから前記インシデントを取り出し、前記インシデントを次のプールに含めること、
のコンピュータ・プログラム命令を含む、コンピュータ・プログラム。
【請求項１４】
前記インシデントのうちの１つ以上は、イベントを含み、前記コンピュータ・プログラムは、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定することのコンピュータ・プログラム命令をさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めることのコンピュータ・プログラム命令は、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記クローズされたプールとを関連付けることのコンピュータ・プログラム命令をさらに含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１５】
前記インシデントのうちの１つ以上は、イベントを含み、前記コンピュータ・プログラムは、前記プールに割り当てられている１つ以上のイベントに基づき、１つ以上のアラートを特定することのコンピュータ・プログラム命令をさらに含み、
前記インシデントを取り出し、前記インシデントを次のプールに含めることのコンピュータ・プログラム命令は、少なくとも１つのイベントを取り出し、前記取り出されたイベントを、前記次のプールに含め、前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けることのコンピュータ・プログラム命令をさらに含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１６】
前記取り出されたイベントに基づき特定された任意のアラートと、前記次のプールとを関連付けることのコンピュータ・プログラム命令は、すでに前記次のプールに関連付けられている前記特定されたアラートに依存する任意のアラートまたはイベントであって、前記クローズされたプール内の前記任意のアラートまたはイベントを、無効にすることのコンピュータ・プログラム命令をさらに含む、請求項１５に記載のコンピュータ・プログラム。
【請求項１７】
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断することのコンピュータ・プログラム命令は、前記プールの最長時間が経過したかどうかを判断することのコンピュータ・プログラム命令をさらに含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１８】
前記プールは、所定の初期期間を有し、前記コンピュータ・プログラムは、前記インシデント・アナライザによって、前記インシデントの１つ以上に関して、前記インシデントに割り当てられている特定の期間、前記プールの前記所定の初期期間を延長することのコンピュータ・プログラム命令を含み、
前記プールをクローズする条件が満たされたかどうかを、前記インシデント・アナライザによって判断することのコンピュータ・プログラム命令は、別のインシデントが前記プールに割り当てられる前に、前記所定の初期期間と、前記プールに割り当てられた任意のインシデントに関連する任意の延長時間とが経過したと判断することのコンピュータ・プログラム命令をさらに含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１９】
前記インシデントは、イベントを含み、インシデントの前記プールは、イベント・プールを含む、請求項１３に記載のコンピュータ・プログラム。
【請求項２０】
前記インシデントは、アラートを含み、インシデントの前記プールは、アラート・プールを含む、請求項１３に記載のコンピュータ・プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１２−９９０９２（Ｐ２０１２−９９０９２Ａ）
【公開日】平成２４年５月２４日（２０１２．５．２４）
【国際特許分類】
【出願番号】特願２０１１−１９７４６２（Ｐ２０１１−１９７４６２）
【出願日】平成２３年９月９日（２０１１．９．９）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【Ｆターム（参考）】
【公開日】平成２４年５月２４日（２０１２．５．２４）
【国際特許分類】
【出願日】平成２３年９月９日（２０１１．９．９）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【Ｆターム（参考）】
[ Back to top ]