IBM 相関規則の記述
前提条件
- イベント相関の計画
- イベントの相関を取る規則の設計
- 症状データベースの作成または症状データベースのインポート、そして症状データベースの編集
手順
症状データベースの作成および編集時には、症状エディターが開きます。そして、症状エディターの「症状定義 (Symptom Definitions)」ビューで規則と規則ブロックを作成することができます。
規則を作成する際は、相関を取るイベントを選択することができます (タイマー規則を除く)。
規則を作成しながら、規則の保管とコンパイルを行うことができます。
ヒント: 症状データベースおよび症状定義の作成方法については、「症状データベースの作成」虎の巻に記載されている作業を実行してください。この虎の巻を開く手順は、次のとおりです。
- メインメニュー・バーで、「ヘルプ」>「虎の巻」とクリックする。
- 「ログおよびトレース・アナライザー」を展開して、「症状データベースの作成」をクリックする。
- 「OK」をクリックする。
規則の作成
規則を作成するには、次のようにします。
- 「症状定義 (Symptom Definitions)」ビューで、「カタログ (Catalog)」を右クリックして、「新規」>「定義 (Definition)」とクリックします。
- 「定義 (Definition)」を右クリックして、「新規」>「規則 (Rule)」とクリックします。
- 「規則 (Rule)」を右クリックして、「新規 (New)」>「<act_rule>」とクリックします。ここで、<act_rule> は、次の IBM(R) 相関規則のいずれかです。
- フィルター規則 (Filter Rule)
- コレクション規則 (Collection Rule)
- 計算規則 (Computation Rule)
- 重複規則 (Duplicate Rule)
- シーケンス規則 (Sequence Rule)
- しきい値規則 (Threshold Rule)
- タイマー規則 (Timer Rule)
各規則パターンについては、下にある『関連参照』セクションのリンクを参照してください。
注: ログおよびトレース・アナライザーは、タイマー規則および <timeWindow> 要素を無視します。
<timeWindow> 要素は、フィルター規則以外のすべての IBM 相関規則に含まれています。「パターン特性 (Pattern Specifics)」タブで指定されるイベントの収集時間は、常に「この規則がアクティブな限りイベントを収集 (Collect events as long as this rule is active)」に設定してください。
規則ブロックの作成
規則ブロックを作成するには、次のようにします。
- 「症状定義 (Symptom Definitions)」ビューで、「カタログ (Catalog)」を右クリックして、「新規」>「定義 (Definition)」とクリックします。
- 「定義 (Definition)」を右クリックして、「新規」>「規則 (Rule)」とクリックします。
- 「規則 (Rule)」を右クリックして、「新規」>「規則ブロック (Rule Block)」とクリックします。
- オプション: 規則ブロックの中に規則ブロックを作成するには、「規則ブロック (Rule Block)」を右クリックして、「新規」>「規則ブロック (Rule Block)」とクリックします。
- 「規則ブロック (Rule Block)」を右クリックして、「新規」>「<act_rule>」とクリックします。
<act_rule> についての説明は、上の「規則の作成」セクションにあります。
- オプション: 規則ブロック内に追加の規則を作成するには、規則ブロック内の各規則につき、ステップ 5 を繰り返します。
制限: 規則ブロック内に「フィルター規則 (Filter Rule)」を作成してはいけません。「フィルター規則 (Filter Rule)」を作成するのは、規則の中だけにしてください。
イベントの選択
相関対象のイベントを選択するには、次のようにします。
- 特定の IBM 相関規則の「イベント選択 (Event Selection)」タブをクリックします。このタブは、タイマー規則については使用できません。
- イベント・タイプを指定します。
- 「追加」をクリックします。
- 「イベント定義プロバイダー (Event definition provider)」フィールドで、
LogAndTraceEventProvider を選択します。
- 「イベント・タイプ (Event types)」フィールドで、「イベント・タイプ (Event Types)」を展開した上でタイプを選択するか、「新規イベント・タイプ (New event type)」フィールドに別のイベント・タイプを入力します。
- 「OK」をクリックする。
- 次のようにして、式を指定します。
- メインメニュー・バーで、「ウィンドウ」>「ビューの表示」>
「スニペット (Snippets)」とクリックします。
- 「スニペット (Snippets)」ビューで、「ログおよびトレース・アナライザー・イベント処理 (Log and Trace Analyzer event processing)」カテゴリーをクリックして、そのカテゴリーのスニペットを表示します。
- 式に含めるスニペットを選択します。
- スニペットをクリックして、「式 (Expression)」フィールドにドラッグします。
コードは、「式 (Expression)」フィールドのカーソルの位置に挿入されます。
プロンプトが出されたら、コードを式に含める前に、コードに対する入力を行ってください。
- オプション:「式 (Expression)」フィールドでコードを修正します。
規則の保管とコンパイル
症状エディターで規則の保管とコンパイルを行うには、次のようにします。
- メインメニュー・バーから、「ウィンドウ」>「ビューの表示」>「問題」とクリックして、「問題」ビューを表示します。
- メインメニュー・バーで「ファイル」>「保管」とクリックして、規則の保管とコンパイルを行います。「問題」ビューに、コンパイル中に発生したエラーが表示されます。
関連概念
規則言語の概要
関連タスク
イベント相関の計画
イベントの相関を取る規則の設計
関連参照
規則セットの編成の要約
言語要素のリファレンス
(C) Copyright IBM Corporation 2006. All Rights Reserved.