IBM 相関規則の記述

前提条件

  1. イベント相関の計画
  2. イベントの相関を取る規則の設計
  3. 症状データベースの作成または症状データベースのインポート、そして症状データベースの編集

手順

症状データベースの作成および編集時には、症状エディターが開きます。そして、症状エディターの「症状定義 (Symptom Definitions)」ビューで規則と規則ブロックを作成することができます。

規則を作成する際は、相関を取るイベントを選択することができます (タイマー規則を除く)。

規則を作成しながら、規則の保管とコンパイルを行うことができます。

ヒント: 症状データベースおよび症状定義の作成方法については、「症状データベースの作成」虎の巻に記載されている作業を実行してください。この虎の巻を開く手順は、次のとおりです。

  1. メインメニュー・バーで、「ヘルプ」>「虎の巻」とクリックする。
  2. ログおよびトレース・アナライザー」を展開して、「症状データベースの作成」をクリックする。
  3. OK」をクリックする。

規則の作成

規則を作成するには、次のようにします。

  1. 「症状定義 (Symptom Definitions)」ビューで、「カタログ (Catalog)」を右クリックして、「新規」>「定義 (Definition)」とクリックします。
  2. 定義 (Definition)」を右クリックして、「新規」>「規則 (Rule)」とクリックします。
  3. 規則 (Rule)」を右クリックして、「新規 (New)」>「<act_rule>」とクリックします。ここで、<act_rule> は、次の IBM(R) 相関規則のいずれかです。 各規則パターンについては、下にある『関連参照』セクションのリンクを参照してください。
注: ログおよびトレース・アナライザーは、タイマー規則および <timeWindow> 要素を無視します。 <timeWindow> 要素は、フィルター規則以外のすべての IBM 相関規則に含まれています。「パターン特性 (Pattern Specifics)」タブで指定されるイベントの収集時間は、常に「この規則がアクティブな限りイベントを収集 (Collect events as long as this rule is active)」に設定してください。

規則ブロックの作成

規則ブロックを作成するには、次のようにします。

  1. 「症状定義 (Symptom Definitions)」ビューで、「カタログ (Catalog)」を右クリックして、「新規」>「定義 (Definition)」とクリックします。
  2. 定義 (Definition)」を右クリックして、「新規」>「規則 (Rule)」とクリックします。
  3. 規則 (Rule)」を右クリックして、「新規」>「規則ブロック (Rule Block)」とクリックします。
  4. オプション: 規則ブロックの中に規則ブロックを作成するには、「規則ブロック (Rule Block)」を右クリックして、「新規」>「規則ブロック (Rule Block)」とクリックします。
  5. 規則ブロック (Rule Block)」を右クリックして、「新規」>「<act_rule>」とクリックします。 <act_rule> についての説明は、上の「規則の作成」セクションにあります。
  6. オプション: 規則ブロック内に追加の規則を作成するには、規則ブロック内の各規則につき、ステップ 5 を繰り返します。
制限: 規則ブロック内に「フィルター規則 (Filter Rule)」を作成してはいけません。「フィルター規則 (Filter Rule)」を作成するのは、規則の中だけにしてください。

イベントの選択

相関対象のイベントを選択するには、次のようにします。

  1. 特定の IBM 相関規則の「イベント選択 (Event Selection)」タブをクリックします。このタブは、タイマー規則については使用できません。
  2. イベント・タイプを指定します。
    1. 追加」をクリックします。
    2. イベント定義プロバイダー (Event definition provider)」フィールドで、 LogAndTraceEventProvider を選択します。
    3. イベント・タイプ (Event types)」フィールドで、「イベント・タイプ (Event Types)」を展開した上でタイプを選択するか、「新規イベント・タイプ (New event type)」フィールドに別のイベント・タイプを入力します。
    4. OK」をクリックする。
  3. 次のようにして、式を指定します。
    1. メインメニュー・バーで、「ウィンドウ」>「ビューの表示」> 「スニペット (Snippets)」とクリックします。
    2. 「スニペット (Snippets)」ビューで、「ログおよびトレース・アナライザー・イベント処理 (Log and Trace Analyzer event processing)」カテゴリーをクリックして、そのカテゴリーのスニペットを表示します。
    3. 式に含めるスニペットを選択します。
    4. スニペットをクリックして、「式 (Expression)」フィールドにドラッグします。 コードは、「式 (Expression)」フィールドのカーソルの位置に挿入されます。 プロンプトが出されたら、コードを式に含める前に、コードに対する入力を行ってください。
    5. オプション:「式 (Expression)」フィールドでコードを修正します。

規則の保管とコンパイル

症状エディターで規則の保管とコンパイルを行うには、次のようにします。

  1. メインメニュー・バーから、「ウィンドウ」>「ビューの表示」>「問題」とクリックして、「問題」ビューを表示します。
  2. メインメニュー・バーで「ファイル」>「保管」とクリックして、規則の保管とコンパイルを行います。「問題」ビューに、コンパイル中に発生したエラーが表示されます。

関連概念
規則言語の概要

関連タスク
イベント相関の計画
イベントの相関を取る規則の設計

関連参照
規則セットの編成の要約
言語要素のリファレンス