CN104111858A - 事件分析器和计算机可读存储介质 - Google Patents

Abstract

本发明公开了一种事件分析器，其包括：事件日志采集模块，其被构造为采集事件日志；事件日志存储模块，其被构造为将所述事件日志变换为事件矩阵并且存储所述事件矩阵；事件发生顺序确定模块，其被构造为基于所述事件矩阵来确定装置事件的发生顺序；贝叶斯网络生成模块，其被构造为指定作为候选父节点的装置事件，以计算通过将所述作为处理对象的装置事件移动每个单位时间而得到的虚拟装置事件处的与每个指定的候选父节点对应的评价值，并且选择作为父节点的装置事件和移动量；以及分析模块，其被构造为输出估计为要分析的装置事件的原因的装置事件、或估计为后发生的装置事件，并且输出基于所述移动量的时间差信息。

Description

事件分析器和计算机可读存储介质

技术领域

本公开涉及分析事件(例如，工厂等内发生的警报以及操作员随后进行的操作流程)并且在考虑发生时间差的情况下提取事件之间的因果关系的事件分析器，并且涉及计算机可读存储介质。

背景技术

在利用诸如分布在工厂内的现场控制器之类的控制系统来控制诸如传感器和致动器之类的现场装置的分布式控制系统等中，获取并分析诸如发生在工厂等内的警报以及操作员随后进行的操作流程之类的事件的事件分析器是已知的。

图14是示出了现有技术的事件分析器的构造的框图。如该图所示，事件分析器300具有事件日志采集模块310、事件日志分析模块320、以及分析结果输出模块330。

在一些情况下，控制系统360将诸如操作员对控制系统360执行的操作的记录之类的事件保存为日志，而在一些情况下，历史记录器370将事件保存为日志。事件日志采集模块310从控制系统360和历史记录器370之一或两者处采集事件日志。然后，事件日志采集模块310将该事件日志记录在事件日志数据库340中，该事件日志数据库340设在事件分析器300的内部或外部。

事件日志分析模块320执行统计处理，例如，针对事件日志数据库340中记录的事件来计算每个事件的发生频率和发生率。经由分析结果输出模块330在显示装置350中表示事件列表、发生状况直方图、以及统计处理结果。用户可以通过参照显示装置350内表示的所述信息来改善工厂操作效率。

[现有技术文献]

[专利文献]

[专利文献1]JP-A-2005-216148

[非专利文献]

[非专利文献1]J.Pearl“Probabilistic Reasoning inIntelligent Systems:Networks of Plausible Inference”,MorganKaufman,1988

通常，控制系统中诸如发生在工厂内的警报以及操作员随后进行的操作之类的事件并非相互独立而是相互关联的。例如，存在这样的情况：由于具体操作而导致某个警报发生；以及某个警报接着另一警报而发生。

迄今为止，在事件分析器中，仅执行了诸如简单的统计处理之类的分析。由此，用户应确定事件之间的关系。然而，如果实现了使用户能够掌握事件之间的因果关系的分析，则有助于预测出将接着一事件发生的另一事件。这样的分析是方便的。

而且，根据工厂内控制系统中的各事件之间的相互关系，事件通常有一定的时间滞后。因此，期望在考虑事件之间的发生时间差的情况下掌握事件之间的因果关系。

发明内容

本发明的示例性实施例提供了一种事件分析器和计算机可读存储介质，可以在考虑事件之间的发生时间差的情况下掌握事件之间的因果关系。

事件分析器被构造为分析包括多个装置内发生的警报、和对所述多个装置执行的操作在内的事件，所述事件分析器包括：

事件日志采集模块，其被构造为采集包括事件的发生时间和日期、装置标识、和事件类型标识在内的事件日志；

事件日志存储模块，其被构造为将所述事件日志变换为事件矩阵并且存储所述事件矩阵，所述事件矩阵按时间先后顺序表示通过将所述装置标识与所述事件类型标识相互组合而得到的每个装置事件的发生与否；

事件发生顺序确定模块，其被构造为基于所述事件矩阵来确定装置事件的发生顺序；

贝叶斯网络生成模块，其被构造为基于所述发生顺序来指定相对于作为处理对象的装置事件而作为候选父节点的装置事件，以基于信息量参考计算通过将所述作为处理对象的装置事件移动每个单位时间而得到的虚拟装置事件处的与每个指定的候选父节点对应的评价值，并且选择作为父节点的装置事件和移动量，从而生成贝叶斯网络；以及

分析模块，其被构造为输出估计为要分析的装置事件的原因的装置事件、或估计为后发生的装置事件，并输出基于所述移动量的时间差信息。

在所述事件分析器中，所述事件发生顺序确定模块将所述事件矩阵划分为具有预定时间宽度的时间窗，并且基于每个时间窗内的装置事件的发生顺序来确定装置事件整体的发生顺序。

在所述事件分析器中，在从未选候选父节点中选择另一父节点的情况下，对于已为其选择了多个父节点的作为处理对象的装置事件，所述贝叶斯网络生成模块在保持选择父节点时所选的多个父节点中的每一个父节点与所述作为处理对象的装置事件的相对移动量的状态下，基于所述信息量参考计算通过将所选的多个父节点和所述作为处理对象的装置事件作为一组节点移动每个单位时间而得到的虚拟装置事件处的评价值。

在所述事件分析器中，所述移动量的最大值等于每个时间窗的时间宽度。

计算机可读存储介质存储使得计算机用作事件分析器的程序，所述事件分析器被构造为分析包括多个装置内发生的警报、和对所述多个装置执行的操作在内的事件，所述事件分析器包括：

事件日志采集模块，其被构造为采集包括事件的发生时间和日期、装置标识、和事件类型标识在内的事件日志；

事件日志存储模块，其被构造为将所述事件日志变换为事件矩阵并且存储所述事件矩阵，所述事件矩阵按时间先后顺序表示通过将所述装置标识与所述事件类型标识相互组合而得到的每个装置事件的发生与否；

事件发生顺序确定模块，其被构造为基于所述事件矩阵来确定装置事件的发生顺序；

贝叶斯网络生成模块，其被构造为基于所述发生顺序来指定相对于作为处理对象的装置事件而作为候选父节点的装置事件，以基于信息量参考计算通过将所述作为处理对象的装置事件移动每个单位时间而得到的虚拟装置事件处的与每个指定的候选父节点对应的评价值，并且选择作为父节点的装置事件和移动量，从而生成贝叶斯网络；以及

分析模块，其被构造为输出估计为要分析的装置事件的原因的装置事件、或估计为后发生的装置事件，并且输出基于所述移动量的时间差信息。

根据本发明的示例性实施例，可以提供一种事件分析器和计算机可读存储介质，其可以在考虑事件之间的发生时间差的情况下掌握事件之间的因果关系。

附图说明

图1是示出根据本实施例的事件分析器的构造的框图。

图2是示出事件日志采集模块和事件日志存储模块中每一个的操作的流程图。

图3是示出事件日志的示图。

图4是示出事件矩阵的示图。

图5是示出由事件发生顺序确定模块基于事件矩阵来确定装置事件的发生顺序的处理的流程图。

图6A至图6D是示出确定装置事件的发生顺序的处理的示图。

图7是示出由贝叶斯网络生成模块生成贝叶斯网络的处理的流程图。

图8是示出事件矩阵的“时间块化(time-blocking)”处理的示图。

图9是示出计算与每个候选父节点对应的最大评价值的处理的流程图。

图11A至图11C是示出通过转移计算评价值的处理的示图。

图12是示出构造的贝叶斯网络的示图。

图13是示出利用贝叶斯网络由分析模块执行分析的处理的流程图。

图14是示出现有技术的事件分析器的构造的框图。

具体实施方式

在下文中参照附图来描述本发明的实施例。图1是示出根据本实施例的事件分析器的构造的框图。如该图所示，事件分析器100包括事件日志采集模块110、事件日志存储模块120、事件分析模块130和分析结果输出模块140。

可以使用诸如个人计算机和服务器计算机之类的通用信息处理单元来构造事件分析器100。也就是，信息处理单元可以通过执行计算机程序来起到事件分析器100的作用，该计算机程序用于执行在下文中将描述的处理。显然，事件分析器100可以被构造为专用装置。

事件日志采集模块110与现有技术中的事件日志采集模块类似地从与其连接的控制系统、历史记录器等处采集事件日志。事件日志包括每个事件发生的时间和日期、每个事件发生时所在的装置的标识(标签)、每个事件的类型的标识等。

事件日志存储模块120将由事件日志采集模块110采集的事件日志记录于设在事件分析器100内部或外部的事件日志数据库(DB)210。事件日志存储模块120还记录这样类型的数据：其适合于由事件分析模块130执行的析并且通过变换每个相关联的事件日志得到。

具体地，通过设置每个事件日志的最小时间单位的时间轴从而在横向或纵向上延展，并且在相反方向上排列通过对装置的标识和事件类型的标识进行组合而得到的各个项，由此生成矩阵。然后，将矩阵的形式变换为另一形式，在该另一形式中，表示事件日志中包含的每个事件的发生的信息被输入至分别与该事件的发生时间和日期、该事件发生时所在的装置、以及该事件的类型对应的每个列。由此，得到了事件矩阵。

在下文中，通过变换事件日志而得到的数据被称为“事件矩阵”。装置和事件类型的组合被称为“装置事件”。例如，在装置“标签1”内发生的事件“警报1”表示为装置事件“标签1：警报1”。对装置“标签2”执行的操作“操作1”表示为装置事件“标签2：操作1”。

记录事件矩阵的事件日志DB210可以记录大容量的矩阵。因此，优选使用诸如NoSQL之类的横向扩展灵活的分布式DB作为事件日志DB210。这是因为事件矩阵具有高容量，并且存在在工厂的操作期间装置的数量发生变化的情况，这使得对灵活性有要求。显然，通用DB可以用作事件日志DB210。

事件分析模块130是在考虑装置事件之间的发生时间差的情况下分析装置事件之间的因果关系的功能模块，该因果关系利用贝叶斯网络来表示。具体地，事件分析模块130执行基于由事件存储模块120生成的事件矩阵来构造贝叶斯网络的处理、分析作为要分析的装置事件(即，作为分析对象的装置事件)的原因的装置事件和与作为分析对象的装置事件对应的预测的装置事件的处理、以及通过分析结果输出模块140将分析结果输出至显示装置230等的处理。

为了执行这些处理，事件分析模块130包括事件发生顺序确定模块131、贝叶斯网络生成模块132、以及分析模块133。以下将描述在每个功能块处执行的处理。而且，用于存储生成的贝叶斯网络的贝叶斯网络DB220设在事件分析器100的内部或外部。

贝叶斯网络是一种随机推理模型，其是一种利用概率描述因果关系的图形模型，并且利用有向图结构表示复杂因果关系的推理，以及利用条件概率表示各变量之间的关系。

因果特征由有向图表示的网络来表示。然后，执行随机推理。由此，可以预测复杂且不确定的事件的发生率和发生概率。基于到目前为止积累的信息得到每个这样的事件的发生概率，并沿着发展路径进行计算。因此，可以定量地表示具有复杂路径的因果关系的发生概率。

因此，可以利用贝叶斯网络随机地表示作为某个装置事件的原因的装置事件。而且，可以随机地表示在某个装置事件发生后可能发生的装置事件。另外，通过利用长时间内的事件日志来构造贝叶斯网络，诸如季节变化和周期性维修之类的因素可以包括在分析时要考虑的因素内。

在现有技术内，通过学习多个事件的同时发生情况并由此提取事件之间的因果关系的处理(典型的有K2算法)来构造贝叶斯网络。根据工厂内的控制系统中的装置事件间的相互关系，装置事件不一定同时发生。装置事件常常具有一定的时间滞后。因此，根据本实施例，改善了K2算法，构造了能够考虑装置事件的发生时间差的贝叶斯网络。

接下来，描述事件分析器100的操作。首先，参照图2所示的流程图来描述事件日志采集模块110和事件日志存储模块120中每一个的操作。如果是预定的采集定时(在步骤S101处为是)，在步骤S102处，事件日志采集模块110从控制系统、历史记录器等采集事件日志。

如图3中的示例所示，事件日志包括每个事件发生的时间和日期、以及每个事件的装置标识(标签)和事件标识。另外，事件日志可以包括诸如“操作”和“警报”之类的表示事件类型的信息。图3中示出的示例表示于2012年10月21日18:00:00在装置“标签1”处发生警报“警报1”，以及于2012年10月21日18:00:03对装置“标签2”执行操作“操作1”。

采集事件日志的定时可以设置为恒定的周期性定时、用户指定的定时、预定的触发定时等。预先设置采集事件日志是可取的。

一旦采集了事件日志，在步骤S103处，事件日志存储模块120基于该事件日志生成事件矩阵。如上所述，按如下步骤得到事件矩阵。首先，通过设置每个事件日志的最小时间单位的时间轴从而在纵向或横向上延展，并且在相反方向上排列通过组合装置的标识和事件类型的标识得到的各个项，由此生成矩阵。然后，将该矩阵的形式变换为另一形式，在该另一形式中，表示事件日志内包含的每个事件的发生的信息被输入至分别与事件的发生时间和日期、事件发生时所在的装置、以及事件的类型对应的每一列。

图4示出了通过变换图3所示的事件日志得到的事件矩阵。这里，事件日志的最小时间单位被设为1秒。因此，各项在事件矩阵的纵向上以1秒的间隔排列。另外，在事件矩阵的横向上排列装置事件，每个装置事件均通过组合装置标识和事件类型标识而得到。例如，生成了诸如“标签1：警报1”、“标签2：警报3”、以及“标签2：操作1”之类的列。图4仅示出了4列；然而，实际上，通过组合各装置和各事件类型可以得到多个列。

根据该示例，2012年10月21日18:00:00在装置“标签1”处生成了警报“警报1”。因此，将“1”作为表示装置事件发生的信息输入至相关联的列。类似地，因为2012年10月21日18:00:03对装置“标签2”执行了操作“操作1”，所以将“1”输入至相关联的列。附带地，将“0”输入至没有装置事件发生的每一列。

当生成了事件矩阵时，在步骤S104处，事件日志存储模块120将生成的事件矩阵连同事件日志一起记录在事件日志DB210中。这时，将该数据附加地记录至先前的数据从而还能够使用先前的数据是可取的。然后，在步骤S101处，事件日志采集模块110等待下一个采集定时。

接下来，在下文中描述由事件分析模块130基于事件矩阵构造贝叶斯网络的处理。事件分析模块130构造贝叶斯网络的处理可以划分为：由事件分析模块130的事件发生顺序确定模块131基于事件矩阵来确定装置事件的发生顺序的处理，以及由事件分析模块130的贝叶斯网络生成模块132生成贝叶斯网络的处理。

首先，参照图5所示的流程图来描述由事件发生顺序确定模块131基于事件矩阵确定装置事件的发生顺序的处理。构造贝叶斯网络需要指定候选父节点。由此，事件发生顺序确定模块131基于事件矩阵确定装置事件的发生顺序。附带地，处于原因侧的装置事件被称为父节点，而处于结果侧的装置事件被称为子节点。

用于确定装置事件的发生顺序的算法包括基于互相关函数的最大相关值的计算方法，如专利文献1所述。然而，因为互相关函数的计算耗时，在根据本实施例的以下程序中更快地确定了装置事件的发生顺序。

在步骤S201处，在预定的更新定时处，事件分析模块130的事件发生顺序确定模块131读取记录在事件日志DB210内的事件矩阵。也就是，在预定的定时处更新贝叶斯网络。更新贝叶斯网络的定时可以设置为恒定的周期性定时、由用户指定的定时、预定的触发定时等。预先设置更新贝叶斯网络的定时是可取的。

接下来，在步骤S202处，以预定的时间宽度来提取事件矩阵，从而将事件矩阵划分为时间窗(time window)。每个时间窗的时间宽度设置为相互关联的装置事件之间假定的发生时间差的最大值。在假定具有因果关系的装置事件之间的发生时间差不超过1小时的工厂的情况下，将每个时间窗的时间宽度设置为1小时便足够了。

可以根据要分析的工厂或者基于分析的目的来改变每个时间窗的时间宽度。例如，当分析主要由具有较少滞后因素(例如，流量和压力)的装置构造的工厂时，可以减小每个时间窗的时间宽度。当分析主要由具有很多滞后因素(例如，温度)的装置构造的工厂时，可以增加每个时间窗的时间宽度。

当事件矩阵被划分为时间窗时，在步骤S203处，记录每个时间窗中的装置事件的发生顺序。例如，按图6A所示的顺序发生的装置事件所根据的事件矩阵(在图6A中，事件矩阵表示得像直线，并且每个“装置事件”被简称为“事件”)被提取为4个时间窗。然后，记录以下内容：在第一时间窗中装置事件A先发生，装置事件C第二发生，如图6B所示，类似地，在第三时间窗中，装置事件A、B和C按该顺序发生。

接下来，在步骤S204处，通过将装置事件相互组合来生成装置事件对。计算在每个装置事件对中的发生顺序。根据所有的装置事件生成装置事件对。例如，如果假设感兴趣的装置事件对为一对装置事件A和B，则在装置事件A和B均发生的时间窗中如下来计算发生顺序。也就是，计算装置事件A在另一装置事件B之前发生的次数、装置事件B在另一装置事件A之前发生的次数、以及装置事件A和B同时发生的次数。

例如，在图6B所示的示例中，关于装置事件A和B的装置事件对Pair{A,B}，装置事件A在另一装置事件B之前发生的次数和装置事件B在另一装置事件A之前发生的次数均计算为1。关于装置事件A和C的装置事件对Pair{A,C}，装置事件A在另一装置事件C之前发生的次数计算为2。装置事件C在另一装置事件A之前发生的次数计算为0。装置事件A和C同时发生的次数计算为1。此外，关于装置事件对Pair{B,C}，装置事件B在另一装置事件C之前发生的次数为3。

然后，在步骤S205处，基于计算的数量来确定每个装置事件对中装置事件的发生顺序。通过将装置事件对中具有最大发生次数的装置事件看作该装置事件对中在另一装置之前发生的装置事件，从而确定每个装置事件对中的装置事件的发生顺序。

例如，如图6D所示，关于装置事件对Pair{A,C}，装置事件A在另一装置事件C之前发生的次数计算为2。装置事件A和C同时发生的次数计算为1。装置事件C在另一装置事件A之前发生的次数计算为0。因此，装置事件A和C的发生顺序确定为A→C。

附带地，如在装置事件对Pair{A,B}的情况相同，也就是，在装置事件A在另一装置事件B之前发生的次数等于装置事件B在另一装置事件A之前发生的次数的情况下，其中在事件矩阵中最早发生的装置事件被看作在另一装置事件之前发生的装置事件的发生顺序被确定为该装置事件对中的装置事件的发生顺序。在该示例中，如图6A所示，装置事件A最早发生。因此，装置事件A和B组成的对的发生顺序被确定为A→B。

如果确定了每个装置事件对的发生顺序，则在步骤S206处，基于所确定的每个装置事件对的发生顺序来确定所有装置事件的发生顺序。通用的排序算法等可以用于确定该顺序。可以通过确定装置事件的发生顺序来指定与每个装置事件相对应的候选父节点。

以上已描述了由事件发生顺序确定模块131基于事件矩阵来确定各装置事件的发生顺序的处理。

接下来，在下文中描述由事件分析模块130的贝叶斯网络生成模块132生成贝叶斯网络的处理。根据本实施例的生成贝叶斯网络的处理是通过改善作为典型的贝叶斯网络构造方法的K2算法而开发。从通过确定装置事件的发生顺序而指定的候选父节点中选择每个装置事件的父节点。信息量参考(例如，基于条件概率P(子节点|多个父节点)的最小描述长度(MDL))被用作用于选择多个父节点的评价值。

图7是示出由贝叶斯网络生成模块132生成贝叶斯网络的处理的流程图。

考虑到即使在彼此相互关联、具有时间差的装置事件的情况下，装置事件之间的发生时间差也不是恒定的，而是变化的。因此，如果参考事件矩阵的最小时间单位来生成贝叶斯网络，则对装置事件之间的关联可能评价不充分。因此，根据本实施例，在步骤S300处，为了构造贝叶斯网络，执行将事件矩阵的时间单位改变为更长时间单位的处理。该处理被称为事件矩阵的“时间块化(time-blocking)”。在以下处理中，利用经过“时间块化”的事件矩阵来执行处理。

图8示出了“时间块化”的示例，即，将事件矩阵的1秒的最小时间单位改变为1分钟的“时间块”的时间单位。图8中示出了在经过“时间块化”的时间块的时间宽度中发生的装置事件的数量。另外，可以在不执行“时间块化”的情况下使用事件矩阵的最小时间单位来构造贝叶斯网络。此外，“时间块”的单位时间可以可选地根据要分析的工厂、分析目的等来确定。

此外，在工厂内存在各种装置的情况下，可以通过确定多个单位时间而不是单个单位时间并且根据每个单位时间的时间宽度来构造贝叶斯网络，由此执行分析。为了便于该处理，事件矩阵被构造为设置每个事件日志的最小时间单位的时间轴以便延展。

同时，如果将相关领域的K2算法应用至贝叶斯网络的生成而不做修改，则计算在经过了“时间块化”的事件矩阵中同时发生的装置事件中的每个的条件概率，并且选择每个装置事件的父节点。然而，如果装置事件之间的发生时间差大于“时间块”的时间单位，则不能评价因果关系。因此，根据本实施例，利用时间上移动的虚拟装置事件来选择每个装置事件的父节点，从而将装置事件之间的发生时间差考虑在内。

另外，每个装置事件的发生时间并非毫无限制地移动。每个装置事件的发生时间在彼此相互关联的装置事件之间假设的发生时间差的最大值的极限内移动。该最大移动宽度等于每个时间窗的时间宽度。在“时间块”的单位时间内执行该移动，使得移动量在0至最大移动宽度之间变化。在每个移动量下执行因果关系的评价。

现详细描述这些处理。首先，在步骤S301处，设置作为处理对象的子节点。以任意的顺序设置装置事件中的作为处理对象的子节点。

在步骤S302处，在没有父节点的情况下根据信息量参考来计算设为处理对象的子节点的评价值。而且，在步骤S303处，生成候选父节点的列表。候选父节点是在作为处理对象的子节点之前发生的装置事件。

然后，在步骤S304处，对应于每个候选父节点计算最大评价值。该处理将参照图9所述的流程图进行详细描述。

首先，在步骤S3041处，从候选父节点列表中以任意顺序设定要评价的候选父节点PN。起初，在步骤S3042处，将移动量St设置为0。然后，在步骤S3043处，计算子节点CN和候选父节点PN处的评价值。

接下来，在步骤S3045处，将移动量增加1。在步骤S3043处，计算前移了数分钟的移动量的每个子节点CN(St)和候选父节点PN处的评价值。也就是，计算假设先发生数分钟的移动量St的子节点处的评价值。

在步骤S3045处增加移动量St的同时，重复在步骤S3043处计算前移了数分钟的移动量的每个子节点CN(St)和候选父节点PN处的评价值的处理，直至在步骤S3044处移动量St到达最大。

因此，可以得到与要评价的候选父节点PN对应的评价值的最大值和那时的移动量St。由此，在步骤S3046处，记录与要评价的候选父节点PN对应的最大值和那时子节点CN的移动量St。

例如，在图11A中经过“时间块化”的事件矩阵中，如果装置事件C被设为作为处理对象的子节点，同时装置事件B被设为要评价的父节点，则图11B示出了如果装置事件C的移动量St设为1(移动量St＝1)则评价值被最大化。

在步骤S3047处对所有的候选父节点重复执行以上处理。由此，在步骤S304处执行计算每个候选父节点处的最大评价值的处理。

返回至对图7所示的流程图的描述，在步骤S305处，提取其中一个最大评价值最高的候选父节点和那时的移动量St。如果该提取的候选父节点的评价值不高于没有父节点的情况下的评价值(步骤S306处为否)，则在步骤S307处将作为处理对象的子节点确定为根节点。然后，在步骤S314和S301处设置下一个子节点，重复以上的处理。

如果提取的候选父节点的最大评价值高于没有父节点的情况下评价值(步骤S306处为是)，则在步骤S308处将提取的候选父节点选择作为处理对象的子节点的父节点，同时选择移动量。

然后，检查候选父节点列表中是否存在未选择的候选父节点。如果没有候选父节点(步骤S309处为否)，则完成对该子节点的处理。在步骤S314和S301处，设置下一个作为处理对象的子节点。然后重复以上处理。

如果存在未选择的候选父节点(步骤S309处为是)，则在步骤S310处计算与每个未选候选父节点对应的最大评价值。也就是，执行将另一候选父节点添加至已选父节点的情况下的评价处理。将参照图10所示的流程图来详细描述该处理。

首先，在步骤S3101处，在候选父节点列表中的未选候选父节点中设置要评价的候选父节点PN。起初，在步骤S312处，将移动量St设置为0。也就是，在步骤S3103处，在子节点的实际发生时间处，计算子节点CN、选择的父节点、以及要评价的候选父节点PN中的每一个处的评价值。那时，在保持选择该父节点时选择的父节点到子节点CN的相对移动量的状态下计算评价值。例如，如果选择某个父节点时子节点CN的移动量为3，则选择的父节点处于这样的状态：其中，选择的父节点到子节点CN的移动量为-3。在子节点CN的移动量为0的状态下计算评价值，所选择的父节点的移动量为-3，并且要评价的候选父节点的移动量为0。

接下来，在步骤S3105处，移动量增加1。在步骤S3103处，计算向前移动了数分钟的移动量的子节点CN、选择的父节点、和要评价的候选父节点PN处的评价值。那时，子节点CN和选择的父节点作为一组节点移动。也就是，选择的父节点与子节点CN一起作为一组一起移动，同时保持选择该父节点时选择的父节点到子节点CN的相对移动量。

例如，如果选择父节点时的移动量为3(相对移动量为-3)，则子节点CN的移动量为1，选择的父节点的移动量为-3+1＝-2，并且候选父节点PN的移动量为0。然后，计算评价值。在有多个选择的父节点的情况下，在保持选择相关联的父节点时每个选择的父节点到子节点的相对移动量的同时，将每个选择的父节点与子节点作为一组一起移动。

步骤S3103处的处理为在向前移动数分钟的移动量的子节点CN、与子节点CN保持相对移动量的选择的父节点、以及要评价的候选父节点PN处的评价值的计算。在步骤S3105处增加移动量St的同时，重复步骤S3103处的处理直至在步骤S3104处移动量St最大化。

因此，在要评价的候选父节点PN处，可以得到评价值的最大值以及那时子节点CN的移动量St。由此，在步骤S3106处，记录最大评价值和那时的移动量。

例如，图11C示出了当在移动量St＝1的条件下装置事件B被选为装置事件C的父节点时将装置事件A设为要评价的候选父节点的情况的示例。该示例表示当选择装置事件B时装置事件B与装置事件C的相对移动量为-1，并且装置事件Ｃ和与装置事件Ｃ具有-1的相对移动量的装置事件B作为一组移动St＝3的移动量时装置事件A的评价值最大化。在该情况下，装置事件B本身的移动量为3-1＝2。

在步骤S3107处，对所有未选择的候选父节点重复执行以上处理。由此，在步骤S310处执行计算每个未选择的候选父节点处的最大评价值的处理。

返回至图7所示的流程图的描述，在步骤S311处，提取其中一个最大评价值最高的未选候选父节点以及那时的移动量St。如果评价值不高于添加未选父节点之前的评价值(步骤S312处为否)，则在步骤S314和S301处设置下一个作为处理对象的子节点，而不添加未选父节点。然后，重复以上处理。

如果与提取的未选候选父节点对应的最大评价值高于该评价值(在步骤S312处为是)，则在步骤S313处，将提取的未选候选父节点添加为作为处理对象的子节点的父节点，同时添加表示相关联的移动量的信息。

如果在步骤S309处候选父节点列表中存在未选的候选父节点，则重复步骤S310的处理之后的计算每个未选候选父节点处的最大评价值的处理。

在步骤S314重复执行以上处理直至不存在未处理的子节点。由此，构造了包括表示移动量的信息的贝叶斯网络。如图12所示，根据构造的贝叶斯网络，可以利用概率通过有向图来表示装置事件之间的因果关系。而且，可以基于选择父节点时的移动量来得到子节点和父节点之间的发生时间差。因此，可以定量地表示装置事件之间的发生时间差。

在前述描述中，已描述了通过改进K2算法得到的贝叶斯网络构造程序。然而，本发明还适用于除K2算法之外的贝叶斯网络构建方法，例如，最大权重生成树(maximum weight spanning tree,MWST)算法。

接下来，参照图13所示的流程图来描述由分析模块133利用贝叶斯网络执行分析的处理。

当分析模块133接收来自用户的分析请求(步骤S401处为是)时，在步骤S402处，执行利用贝叶斯网络的分析。用户可以请求对发生的警报、频繁的警报、要执行的操作等进行分析。而且，用户可以进行离线分析请求以便改善工厂效率等。

根据利用贝叶斯网络的分析，可以利用随机推理来计算作为要分析的装置事件的原因的装置事件和将来可能发生的装置事件以及它们的概率。典型的随机推理算法是概率传播方法。

根据本实施例，为了推测装置事件的原因，通过参考贝叶斯网络的结构来追踪从观测的装置事件到根节点的路径。然后，将根节点位置处的装置事件提取作为主候选原因。通过随机推理计算出主候选原因的发生概率。而且，基于表示装置事件之间的发生时间差的信息，从观测的装置事件的发生时间估计出主候选原因的发生时间。

例如，如果在图12所示的贝叶斯网络中观测装置事件C，则装置事件C发生的原因可以是装置事件A或装置事件B。通过执行基于概率传播方法的计算可以估计出装置事件A早发生3分钟的概率为41％，并且装置事件B早发生1分钟的概率为53％。

另外，为了预测从观测的装置事件预测出将来可能发生的装置事件，通过参考贝叶斯网络的结构，将子节点和后代节点提取作为将来可能发生的候选装置事件。然后，通过随机推理计算出每个候选装置事件的发生的概率。而且，基于表示装置事件之间的发生时间差的信息，从观测的装置事件的发生时间估计出预测的装置事件的发生时间。

例如，如果在图12所示的贝叶斯网络中观测装置事件A，通过执行基于概率传播方法的计算可以预测出装置事件C晚发生3分钟的概率为63％。如果在贝叶斯网络中观测装置事件B，则通过执行根据概率传播方法的计算可以预测出装置事件C晚发生1分钟的概率为81％。

在步骤S403处，利用贝叶斯网络进行分析的结果可以经由分析结果输出模块140显示在显示装置230中、由打印机(未示出)打印、或者作为电子数据输出。

输出的信息不限于原因推理信息和事件预测信息。例如，可以基于警报/操作感觉的因果关系和发生时间差来提取常规串行操作的序列，并将其作为分析结果输出。提取的序列用作用以使恒定重复的操作自动化的信息。由此，可以实现工厂操作的稳定性和效率改善。

贝叶斯网络不仅可以用于帮助掌握装置事件之间的因果关系，而且还可以用于通过构造贝叶斯网络来对装置事件进行分组。具体地，诸如尾随警报(tailgating alarm)之类的同时发生的概率高且协同性高的警报是通过将这样的警报相互组合来处理的。由此，可以减少工厂内警报的发生次数。

此外，基于装置事件之间的因果关系，可以指定不必要的警报发生的原因。另外，可以预测重要警报的发生概率和发生时间。可以呈现过去警报发生时执行的对策。而且，可以掌握从警报发生的时刻到操作员响应警报时的另一时刻的滞后时间。

Claims (5)

1.一种事件分析器，被构造为分析包括多个装置内发生的警报、和对所述多个装置执行的操作在内的事件，所述事件分析器包括：

事件日志采集模块，其被构造为采集包括事件的发生时间和日期、装置标识、和事件类型标识在内的事件日志；

事件日志存储模块，其被构造为将所述事件日志变换为事件矩阵并且存储所述事件矩阵，所述事件矩阵按时间先后顺序表示通过将所述装置标识与所述事件类型标识相互组合而得到的每个装置事件的发生与否；

事件发生顺序确定模块，其被构造为基于所述事件矩阵来确定装置事件的发生顺序；

贝叶斯网络生成模块，其被构造为基于所述发生顺序来指定相对于作为处理对象的装置事件而作为候选父节点的装置事件，以基于信息量参考计算通过将所述作为处理对象的装置事件移动每个单位时间而得到的虚拟装置事件处的与每个指定的候选父节点对应的评价值，并且选择作为父节点的装置事件和移动量，从而生成贝叶斯网络；以及

分析模块，其被构造为输出估计为要分析的装置事件的原因的装置事件、或估计为后发生的装置事件，并且输出基于所述移动量的时间差信息。

2.根据权利要求1所述的事件分析器，其中所述事件发生顺序确定模块将所述事件矩阵划分为具有预定时间宽度的时间窗，并且基于每个时间窗内的装置事件的发生顺序来确定装置事件整体的发生顺序。

3.根据权利要求2所述的事件分析器，其中，在从未选候选父节点中选择另一父节点的情况下，对于已为其选择了多个父节点的作为处理对象的装置事件，所述贝叶斯网络生成模块在保持选择父节点时所选的多个父节点中的每一个父节点与所述作为处理对象的装置事件的相对移动量的状态下，基于所述信息量参考计算通过将所选的多个父节点和所述作为处理对象的装置事件作为一组节点移动每个单位时间而得到的虚拟装置事件处的评价值。

4.根据权利要求3所述的事件分析器，其中所述移动量的最大值等于每个时间窗的时间宽度。

5.一种计算机可读存储介质，存储使得计算机用作事件分析器的程序，所述事件分析器被构造为分析包括多个装置内发生的警报、和对所述多个装置执行的操作在内的事件，所述事件分析器包括：

事件日志采集模块，其被构造为采集包括事件的发生时间和日期、装置标识、和事件类型标识在内的事件日志；

事件日志存储模块，其被构造为将所述事件日志变换为事件矩阵并且存储所述事件矩阵，所述事件矩阵按时间先后顺序表示通过将所述装置标识与所述事件类型标识相互组合而得到的每个装置事件的发生与否；

事件发生顺序确定模块，其被构造为基于所述事件矩阵来确定装置事件的发生顺序；

贝叶斯网络生成模块，其被构造为基于所述发生顺序来指定相对于作为处理对象的装置事件而作为候选父节点的装置事件，以基于信息量参考计算通过将所述作为处理对象的装置事件移动每个单位时间而得到的虚拟装置事件处的与每个指定的候选父节点对应的评价值，并且选择作为父节点的装置事件和移动量，从而生成贝叶斯网络；以及

分析模块，其被构造为输出估计为要分析的装置事件的原因的装置事件、或估计为后发生的装置事件，并且输出基于所述移动量的时间差信息。