JP2018157431A - 情報処理装置、情報処理方法およびプログラム - Google Patents

Abstract

【課題】効果的に通信に関する解析を行うことができる情報処理装置、情報処理方法及びプログラムを提供する。【解決手段】情報処理装置は、通信に関する情報について、複数の異なるタイムスケールについて解析の処理を実行するタイムスケール処理部を備える。タイムスケール処理部は、それぞれのタイムスケールごとに、タイムスケールの時間に含まれる前記通信に関する情報に基づいて解析の処理を実行する。また、解析の処理は、通信に関する情報について異常を検出する処理を含む。【選択図】図２

Description

本発明は、情報処理装置、情報処理方法およびプログラムに関する。

高速通信サービスとしてＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）のサービスが知られている。ＬＴＥのサービスを提供する一般なテレコミュニケーションネットワークでは、一台のＭＭＥ（Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｅｎｔｉｔｙ）に対して、多数の基地局装置（ｅＮｏｄｅＢ：ｅｖｏｌｖｅｄ Ｎｏｄｅ Ｂ）が収容されている。また、それぞれのｅＮｏｄｅＢには、多数の端末装置（ＵＥ：Ｕｓｅｒ Ｅｑｕｉｐｍｅｎｔ）が収容されている。

このため、それぞれのｅＮｏｄｅＢとＭＭＥとを相互接続するＳ１−ＭＭＥのインタフェースでは、それぞれのｅＮｏｄｅＢに収容されている多数の端末装置に関する膨大な数のデータ・パケットが通信されている。これらのデータ・パケットは、それぞれの端末装置の状態の変化（遷移）を契機に発生する。状態の変化としては、例えば、アタッチ、ハンドオフ、あるいは、アイドル状態への遷移などがある。
このようなデータ・パケットを監視する装置（モニタリング装置）では、多数の端末装置により通信されるデータ・パケットが混在した状態で観測される。なお、個々のデータ・パケットから、直接、端末装置を特定すること、あるいは、端末装置の状態を特定することはできない。

特許文献１には、Ｓ１−ＭＭＥのインタフェースを流れるデータ・パケットを監視して、当該データ・パケットに基づいて得られる制御信号を端末装置ごとの単位でマッピングする技術が記載されている（特許文献１参照。）。マッピングされた制御信号のシーケンスを解析することで、端末装置の状態を管理することが可能である。ＩＭＳＩ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ）を用いることで端末装置を特定することも可能であるが、端末装置の識別を目的とする際にはＴＭＳＩ（Ｔｅｍｐｏｒａｒｙ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ）単位で状態を管理することも考えられる。

非特許文献１には、Ｓ１ Ａｐｐｌｉｃａｔｉｏｎのプロトコルについて記載されている（非特許文献１参照。）。
非特許文献２には、プロトコルの正常性を確認する手法が記載されており、ｃｏｎｆｏｒｍａｎｃｅ ｔｅｓｔｉｎｇと呼ばれている（非特許文献２参照。）。この技術は、端末装置の状態の遷移を標準化仕様と比較することで、実装されているネットワークが仕様通りに動作するか否かを検証する方式として、広く利用されている。しかしながら、この技術では、仕様通りに実装されているネットワークにおいて発生する品質劣化ならびに異常を捉えることはできない。

また、一般的に、ネットワーク機器が正常に運用されているか否かを監視するために、通信キャリアについて、設備のログを監視し、あわせてコールログを監視している。このような監視において、エラーログの発生に基づいて、ネットワークの異常を検出している。しかしながら、エラーが生成されない品質の劣化については、迅速に捉えることが容易ではない。

さらに、一般的に、異常検出システムは、事前に「異常」を定義して、当該定義における特徴に基づいて異常を抽出する。このような異常検出システムは、ルールベースシステムあるいはエキスパートシステムと呼ばれている。しかしながら、異常が顕在化する前に当該異常を定義することが困難である。例えば、ＬＴＥのネットワークにおける通信品質の監視においては、使用者（客などのユーザ）の申告を未然に防ぐことが困難である。このため、正しく実装されたネットワークを運用する通信キャリアにおいても、継続的に高品質の通信サービスを提供することが困難な場合があった。

特開２０１６−１５２５２８号公報

３ＧＰＰ ＴＳ ３６．４１３ Ｖ１２．５．０ （２０１５−０３） Ｓ１ Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ （Ｓ１ＡＰ） Ｌｅｅ，Ｄ．；Ｄｏｎｇｌｕｏ Ｃｈｅｎ；Ｒｕｉｂｉｎｇ Ｈａｏ；Ｍｉｌｌｅｒ，Ｒ．Ｅ．；Ｊｉａｎｐｉｎｇ Ｗｕ；Ｘｉａ Ｙｉｎ，"Ｎｅｔｗｏｒｋ Ｐｒｏｔｏｃｏｌ Ｓｙｓｔｅｍ Ｍｏｎｉｔｏｒｉｎｇ−Ａ Ｆｏｒｍａｌ Ａｐｐｒｏａｃｈ Ｗｉｔｈ Ｐａｓｓｉｖｅ Ｔｅｓｔｉｎｇ"，ＩＥＥＥ／ＡＣＭ ＴＲＡＮＳＡＣＴＩＯＮＳ ＯＮ ＮＥＴＷＯＲＫＩＮＧ，ＶＯＬ．１４，ＮＯ．２，ｐｐ．４２４−４３７，ＡＰＲＩＬ ２００６

上述のように、通信ネットワークにおいて、制御信号などに基づく解析を行う技術には、未だに不十分な点があった。

本発明は、このような事情を考慮してなされたもので、効果的に通信に関する解析を行うことができる情報処理装置、情報処理方法およびプログラムを提供することを課題とする。

一構成例として、通信に関する情報について、複数の異なるタイムスケールについて解析の処理を実行するタイムスケール処理部を備える、情報処理装置である。
一構成例として、情報処理装置において、前記タイムスケール処理部は、それぞれの前記タイムスケールごとに、前記タイムスケールの時間に含まれる前記通信に関する情報に基づいて前記解析の処理を実行する、構成が用いられてもよい。
一構成例として、情報処理装置において、前記通信に関する情報は、通信の回数または通信の時間に関する情報である、構成が用いられてもよい。
一構成例として、情報処理装置において、前記解析の処理は、前記通信に関する情報について異常を検出する処理を含む、構成が用いられてもよい。

一構成例として、タイムスケール処理部が、通信に関する情報について、複数の異なるタイムスケールについて解析の処理を実行する、情報処理方法である。

一構成例として、タイムスケール処理部が、通信に関する情報について、複数の異なるタイムスケールについて解析の処理を実行するステップ、をコンピュータに実行させるためのプログラムである。

本発明によれば、効果的に通信に関する解析を行うことができる。

本発明の一実施形態に係る通信システムの概略的な構成を示すブロック図である。 本発明の一実施形態に係る情報処理装置の概略的な構成を示すブロック図である。 本発明の一実施形態に係る時系列データの解析の一例を説明するための図である。 本発明の一実施形態に係る時系列データの解析の他の例を説明するための図である。 本発明の一実施形態に係る時系列データのトレンドの一例を説明するための図である。 本発明の一実施形態に係る時系列データのトレンドの他の例を説明するための図である。 本発明の一実施形態に係る通信に関する時系列データの一例を示す図である。 本発明の一実施形態に係る異常検出処理の手順の一例を示すフローチャートである。

以下、図面を参照し、本発明の実施形態について説明する。
以下の実施形態は、ＬＴＥを例として説明するが、例えば、ＬＴＥ以外のネットワークに適用されてもよい。

［通信システム］
図１は、本発明の一実施形態に係る通信システム１の概略的な構成を示すブロック図である。
本実施形態では、ＬＴＥのネットワークに適用した場合を示す。
ＬＴＥのネットワークは、Ｅ−ＵＴＲＡＮ（Ｅｖｏｌｖｅｄ Ｕｎｉｖｅｒｓａｌ Ｔｅｒｒｅｓｔｒｉａｌ Ｒａｄｉｏ Ｎｅｔｗｏｒｋ）と呼ばれる無線のネットワークと、ＥＰＣ（Ｅｖｏｌｖｅｄ Ｐａｃｋｅｔ Ｃｏｒｅ）と呼ばれるコアネットワークから構成されている。

Ｅ−ＵＴＲＡＮは、基地局装置（ｅＮｏｄｅＢ）２１−１〜２１−３のみで構成される。
ＥＰＣは、ＭＭＥ装置３１、Ｓ−ＧＷ（Ｓｅｒｖｉｎｇ−Ｇａｔｅｗａｙ）装置４１、Ｐ−ＧＷ（ＰＤＮ（Ｐａｃｋｅｔ ｄａｔａ ｎｅｔｗｏｒｋ）−Ｇａｔｅｗａｙ）装置４２、図示していないＨＳＳ装置など、複数の装置群によって構成される。

本実施形態に係る通信システム１は、さらに、端末装置（ＵＥ）１１−１〜１１−３を備える。
本実施形態に係る通信システム１は、さらに、ＰＤＮあるいはインターネットなどのネットワーク４３、記憶装置３２、情報処理装置５１を備える。
なお、端末装置１１−１〜１１−３、基地局装置２１−１〜２１−３、ＭＭＥ装置３１、Ｓ−ＧＷ装置４１あるいはＰ−ＧＷ装置４２は、それぞれ、例えば、多数備えられており、図１では、一部のみが示されている。

各端末装置１１−１〜１１−３は、例えば、スマートホンなどの装置である。各端末装置１１−１〜１１−３は、人（例えば、ユーザ）により携帯されるなどして、移動可能である。
各端末装置１１−１〜１１−３と、基地局装置２１−１〜２１−３との間で、無線により通信を行う。
２個以上の基地局装置２１−１〜２１−３の間で、信号の通信を行う。

各基地局装置２１−１〜２１−３と、ＭＭＥ装置３１とは、Ｓ１−ＭＭＥのインタフェースの回線１０１〜１０３を介して、通信を行う。各基地局装置２１−１〜２１−３は、回線１０１〜１０３を介して、例えば、端末装置１１−１〜１１−３の状態に関する情報をＭＭＥ装置３１に送信する。回線１０１〜１０３は、コントロールプレーン（Ｃｏｎｔｒｏｌ−ｐｌａｎｅ）である。
各基地局装置２１−１〜２１−３と、Ｓ−ＧＷ装置４１とは、インタフェースの回線１１１〜１１３を介して、通信を行う。回線１１１〜１１３は、ユーザプレーン（Ｕｓｅｒ−ｐｌａｎｅ）である。
ＭＭＥ装置３１と、Ｓ−ＧＷ装置４１とは、Ｓ１１のインタフェースの回線１０４を介して、通信を行う。Ｓ−ＧＷ装置４１は、回線１０４を介して、例えば、端末装置１１−１〜１１−３の状態に関する情報をＭＭＥ装置３１に送信する。回線１０４は、コントロールプレーン（Ｃｏｎｔｒｏｌ−ｐｌａｎｅ）である。

Ｓ−ＧＷ装置４１と、Ｐ−ＧＷ装置４２とは、Ｓ５／Ｓ８のインタフェースの回線１２１、１２２を介して、通信を行う。回線１２１は、コントロールプレーン（Ｃｏｎｔｒｏｌ−ｐｌａｎｅ）である。回線１２２は、ユーザプレーン（Ｕｓｅｒ−ｐｌａｎｅ）である。
Ｐ−ＧＷ装置４２は、インタフェースの回線１３１を介して、ネットワーク４３との間で通信を行う。回線１３１は、ユーザプレーン（Ｕｓｅｒ−ｐｌａｎｅ）である。

記憶装置３２は、端末装置１１−１〜１１−３の状態に関する情報を記憶する。
本実施形態では、ＭＭＥ装置３１が各基地局装置２１−１〜２１−３あるいはＳ−ＧＷ装置４１から受信した情報、または、当該情報を用いて得られる情報が、記憶装置３２に記憶される。
ここで、記憶装置３２に記憶される情報は、例えば、ＭＭＥ装置３１が各基地局装置２１−１〜２１−３から受信した情報と、ＭＭＥ装置３１がＳ−ＧＷ装置４１から受信した情報とのうちの任意の一方に基づいてもよく、または、両方に基づいてもよい。
一般に、Ｓ１−ＭＭＥのインタフェースの回線１０１〜１０３を流れる信号に基づいて、各端末装置１１−１〜１１−３の位置の情報が、各基地局装置２１−１〜２１−３ごとの単位で、記憶装置３２に記憶（記録）される。

情報処理装置５１は、記憶装置３２に記憶された情報に基づいて、端末装置１１−１〜１１−３の状態などを管理する処理を行う。
情報処理装置５１は、例えば、人（管理者など）により操作されて動作してもよく、または、あらかじめ定められた規則にしたがって（自動的に）動作してもよい。

［情報処理装置］
図２は、本発明の一実施形態に係る情報処理装置５１の概略的な構成を示すブロック図である。
本実施形態では、情報処理装置５１が独立な装置として、通信システム１に備えられている。または、情報処理装置５１の機能が、通信システム１におけるいずれかの装置（例えば、ＭＭＥ装置３１または他の装置）に備えられてもよい。または、情報処理装置５１の機能が、通信システム１における２個以上の装置に分散されて備えられてもよい。

情報処理装置５１は、入力部２１１と、出力部２１２と、記憶部２１３と、制御部２１４を備える。
制御部２１４は、制御信号情報取得部２３１と、タイムスケール処理部２３２と、表示情報生成部２３３を備える。

入力部２１１は、情報を入力する。入力部２１１は、例えば、他の装置から情報を入力してもよく、または、操作部を有し、人により行われた当該操作部の操作の情報を受け付けて入力してもよい。
出力部２１２は、情報を出力する。出力部２１２は、例えば、他の装置に情報を出力してもよく、一例として、ディスプレイ装置などの表示装置の画面に情報を表示出力してもよい。
記憶部２１３は、情報を記憶する。
制御部２１４は、各種の処理あるいは制御を行う。
一例として、記憶部２１３は制御プログラムおよびパラメータを記憶し、制御部２１４はＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を備えて当該ＣＰＵにより当該パラメータを用いて当該制御プログラムを実行することで、各種の処理あるいは制御を行ってもよい。

制御信号情報取得部２３１は、制御信号に関する情報（制御信号情報）を取得する。本実施形態では、制御信号情報取得部２３１は、記憶装置３２に記憶された制御信号情報を取得する。
ここで、図１に示される通信システム１におけるネットワークに流れる制御信号には、例えば、プロトコルのメッセージを有する信号が含まれる。このようなメッセージに基づいて、それぞれの端末装置１１−１〜１１−３の状態、および状態の遷移が把握され得る。
なお、制御信号情報取得部２３１により制御信号情報を取得する手法としては、任意であってもよく、例えば、既に記憶された制御信号情報（例えば、ログの情報）を取得する手法が用いられてもよく、あるいは、リアルタイムなどで、通信されるデータ・パケット（信号）をパッシブで観測してキャプチャする手法が用いられてもよい。

タイムスケール処理部２３２は、通信に関する情報について、タイムスケールを用いた処理を実行することで、当該情報を解析する。通信に関する情報としては、例えば、制御信号情報取得部２３１により取得された制御信号情報が用いられる。本実施形態では、タイムスケール処理部２３２は、複数の異なるタイムスケールを用いた処理を実行する。
表示情報生成部２３３は、表示装置の画面に表示するための情報（表示情報）を生成する。当該表示情報は、例えば、出力部２１２によって、表示装置の画面に表示出力される。

ここで、タイムスケール処理部２３２は、端末装置１１−１〜１１−３の状態の検出（推定的な検出でもよい。）を行う機能を有する。本実施形態では、タイムスケール処理部２３２は、記憶装置３２に記憶された情報（入力部２１１により入力された当該情報）に基づいて、Ｓ１−ＭＭＥとＳ１１の一方または両方のシグナリング解析を行い、これにより、端末装置１１−１〜１１−３の状態を検出する。

具体例として、タイムスケール処理部２３２は、Ｓ１−ＭＭＥインタフェースとＳ１１インタフェースの一方または両方を流れるデータ・パケットをモニタリング（監視）してキャプチャした結果（当該データ・パケット）に基づいて、端末装置１１−１〜１１−３ごとの単位で制御信号をマッピングして当該制御信号のシーケンスを解析することで、端末装置１１−１〜１１−３ごとの状態を検出する。端末装置１１−１〜１１−３ごとの状態には、例えば、端末装置１１−１〜１１−３ごとの位置の情報および移動に関する情報などが含まれてもよい。ここで、解析としては、例えば、Ｓ１ＡＰプロトコルとＧＴＰｖ２プロトコルの一方または両方の解析が用いられてもよい。また、端末装置１１−１〜１１−３の特定を目的とせず識別を目的とする場合には、ＩＭＳＩの単位でなく、ＴＭＳＩの単位で、端末装置１１−１〜１１−３の状態が検出および管理されてもよい。

なお、本実施形態では、設備ログを用いてＥ−ＵＴＲＡＮおよびＥＰＣのなかにおけるすべての監視が行われている。また、本実施形態では、コールログを用いてＳ１−Ｕインタフェースを流れるユーザデータについて監視が行われている。

［情報処理装置において行われる処理］
図３〜図６を参照して、情報処理装置５１において行われる処理を説明する。
情報処理装置５１では、タイムスケール処理部２３２は、制御信号情報取得部２３１により取得された情報に基づいて、解析の対象とする情報（解析対象情報）を取得する。
ここで、解析対象情報としては、様々な情報が用いられてもよい。本実施形態では、タイムスケール処理部２３２は、解析対象情報として、ＬＴＥの端末装置１１−１〜１１−３により行われる通信に関して、通信の回数の情報、あるいは、通信の所要時間の情報を取得する。

通信の回数の情報としては、例えば、１個以上の所定の基地局装置２１−１〜２１−３について、端末装置１１−１〜１１−３（当該基地局装置２１−１〜２１−３にアクセスする１個以上の端末装置）が当該基地局装置２１−１〜２１−３とのコネクションを生成するための処理を実行した回数の情報が用いられる。
また、通信の所要時間の情報としては、例えば、１個以上の端末装置１１−１〜１１−３について、当該端末装置１１−１〜１１−３がネットワークへアクセスするとき、または、当該ネットワークが当該端末装置１１−１〜１１へアクセスするときに、アクセス元（当該端末装置１１−１〜１１−３または当該ネットワーク）がリクエスト信号を送信してからアクセス先（当該ネットワークまたは当該端末装置１１−１〜１１−３）からの応答（例えば、ＡＣＫ）が返ってくるまでに要する時間の情報が用いられる。

なお、他の例として、タイムスケール処理部２３２は、解析対象情報として、１個以上の端末装置１１−１〜１１−３について、当該端末装置１１−１〜１１−３の状態の遷移の情報（状態遷移情報）を取得してもよい。

タイムスケール処理部２３２は、解析対象情報を、時系列のデータ（時系列データ）として取得（例えば、生成）する。そして、タイムスケール処理部２３２は、解析対象情報について、所定の解析の処理を実行する。この場合に、タイムスケール処理部２３２は、タイムスケールごとに、当該タイムスケール（開始時刻と終了時刻との間の時間）の時間に含まれる解析対象情報（解析対象情報の母集団）を使用して、解析の処理を実行する。このため、もともとの解析対象情報の母集団が同じであっても、タイムスケールごとに、使用される解析対象情報の母集団が変化し得て、解析の結果が変化し得る。

本実施形態では、タイムスケール処理部２３２は、順序統計を用いた解析の処理を実行する。つまり、本実施形態では、時系列データの特徴量として、順序統計の特徴量が用いられる。ここで、複数の異なる順序統計の特徴量が任意に組み合わされて用いられてもよい。
なお、特徴量として、順序統計以外の特徴量が用いられてもよい。

図３は、本発明の一実施形態に係る時系列データの解析の一例を説明するための図である。
図３に示されるグラフでは、横軸は時刻ｔを表し、縦軸は観測値を表す。当該観測値は、解析対象情報の値（以下、「対象値」ともいう。）を示す。また、図３の例では、複数の対象値からなる時系列データについて、タイムスケール３２１（スケール１）、上限閾値３１１、７５パーセンタイル値３１２、５０パーセンタイル値に相当する中央値（メディアン）３１３、２５パーセンタイル値３１４、下限閾値３１５を示してある。また、時刻Ｔ１、Ｔ２（Ｔ１＜Ｔ２）を示してある。また、多数の対象値のうち、説明の便宜上から、時刻Ｔ１と時刻Ｔ２との間にある２個の対象値３３１、３３２を示してある。

ここで、７５パーセンタイル値３１２、中央値（メディアン）３１３、２５パーセンタイル値３１４は、タイムスケール３２１を使用してタイムスケール処理部２３２により算出された値である。また、上限閾値３１１は、７５パーセンタイル値３１２と中央値３１３との間に、これらの差に基づいてタイムスケール処理部２３２により設定された値である。

図４は、本発明の一実施形態に係る時系列データの解析の他の例を説明するための図である。
図４に示されるグラフでは、横軸は時刻ｔを表し、縦軸は観測値を表す。当該観測値は、解析対象情報の値（対象値）を示す。また、図４の例では、複数の対象値からなる時系列データについて、タイムスケール４２１（スケール２）、上限閾値４１１、７５パーセンタイル値４１２、５０パーセンタイル値に相当する中央値（メディアン）４１３、２５パーセンタイル値４１４、下限閾値４１５を示してある。また、時刻Ｔ１、Ｔ２を示してある。また、多数の対象値のうち、説明の便宜上から、時刻Ｔ１と時刻Ｔ２との間にある２個の対象値３３１、３３２を示してある。

ここで、７５パーセンタイル値４１２、中央値（メディアン）４１３、２５パーセンタイル値４１４は、タイムスケール処理部２３２により算出された値である。また、上限閾値４１１は、７５パーセンタイル値４１２と中央値４１３との間に、これらの差に基づいてタイムスケール処理部２３２により設定された値である。
また、図３の例と図４の例とで、時刻Ｔ１、時刻Ｔ２、対象値３３１、対象値３３２は同じである。
また、図４の例におけるタイムスケール４２１と、図３の例におけるタイムスケール３２１は、いずれも時刻Ｔ１および時刻Ｔ２を含む。また、図４の例におけるタイムスケール４２１の方が、図３の例におけるタイムスケール３２１よりも、時間幅が小さい（短い）。また、図４の例におけるタイムスケール４２１（開始時刻と終了時刻との間の時間）は、図３の例におけるタイムスケール３２１（開始時刻と終了時刻との間の時間）に含まれる。

タイムスケール処理部２３２は、例えば、上限の閾値（上限閾値３１１、４１１）を設定して、それぞれの対象値（対象値３３１、３３２など）が当該上限閾値３１１、４１１を超えるか否かを判定することが可能である。そして、タイムスケール処理部２３２は、例えば、当該上限閾値３１１、４１１を超える対象値は異常値であると判定することが可能である。
また、タイムスケール処理部２３２は、例えば、下限の閾値（下限閾値３１５、４１５）を設定して、それぞれの対象値（対象値３３１、３３２など）が当該下限閾値３１５、４１５未満であるか否かを判定することが可能である。そして、タイムスケール処理部２３２は、例えば、当該下限閾値３１５、４１５未満である対象値は異常値であると判定することが可能である。

具体的に、図３の例において、タイムスケール処理部２３２が上限閾値３１１を設定すると、２個の対象値３３１、３３２はいずれも当該上限閾値３１１を超えないため、当該対象値３３１、３３２は異常ではないと判定する。
一方、図４の例において、タイムスケール処理部２３２が上限閾値４１１を設定すると、２個の対象値３３１、３３２のうちで、対象値３３１は当該上限閾値４１１を超えないが、対象値３３２は当該上限閾値４１１を超えるため、当該対象値３３１は異常ではないが、当該対象値３３２は異常であると判定する。

図３および図４の例のように、タイムスケール３２１、４２１が設けられる位置あるいは長さなどによって、対象値の異常判定結果が変わり得る。
そこで、本実施形態では、タイムスケール処理部２３２は、複数の異なるタイムスケールを使用して、解析対象情報（対象値）の解析の処理を行うことが可能である。

このように、本実施形態に係る情報処理装置５１では、異常値を判定するにあたって、事前に時間区分（タイムスケール３２１、４２１）を定義することで、時間区分内のデータの集合を規定し、集合の要素同士を比較することなどができる。
この場合に、時間区分の大きさなどによって、基準（例えば、閾値）が変わってしまう場合が考えられる。例えば、数日オーダーのスケールでは異常値と判定されない対象値（要素）であっても、数分オーダーのスケールでは異常値と判定される場合もある。
このため、本実施形態に係る情報処理装置５１では、種々のタイムスケールに基づいた異常値の判定結果を同時に判定することが可能である。

ここで、時系列データから異常値を判定するにあたっては、データのトレンド（長期変動）を考慮するために、時間の推移にともなって母集団を変化させる必要があると考えられる。すなわち、時間の推移にともなって、古い要素が削除されて新しい要素が追加される母集団が用いられる必要があると考えられる。
また、時系列データは、必ずしも正規分布にしたがっているとは限られない。このため、本実施形態では、異常値の判定は、例えば、平均あるいは分散ではなく、中央値あるいはパーセンタイルに基づいて行われる。閾値としては、例えば、上下のうちの一方または両方に設定され、上側の閾値（上限閾値）を超える（当該閾値を上回る）対象値、あるいは、下側の閾値（下限閾値）未満である（当該閾値を下回る）対象値を異常値と判定する。

なお、閾値を設定する手法としては、特に限定は無い。
例えば、上限閾値あるいは下限閾値は、任意の１つ以上のパーセンタイル値を用いて設定されてもよい。当該パーセンタイル値としては、例えば、１０パーセンタイル値、２５パーセンタイル値、５０パーセンタイル値（中央値）、７５パーセンタイル値、９０パーセンタイル値などがあり、他のパーセンタイル値でもよい。
一例として、上限閾値として、｛５０パーセンタイル値＋α（７５パーセンタイル値−５０パーセンタイル値）｝が用いられてもよい。αは、任意の実数値でもよく、例えば、０以上の値である。
一例として、下限閾値として、｛５０パーセンタイル値＋β（２５パーセンタイル値−５０パーセンタイル値）｝が用いられてもよい。βは、任意の実数値でもよく、例えば、０以上の値である。
ここで、αとβとは、例えば、同じ値が用いられてもよく、または、異なる値が用いられてもよい。

また、図３および図４の例では２個の異なるタイムスケールが用いられる場合を示したが、タイムスケール処理部２３２は、３個以上の異なるタイムスケールを用いて解析の処理を実行してもよい。
また、複数の異なるタイムスケールの組み合わせとしては、様々な組み合わせが用いられてもよい。
また、タイムスケール処理部２３２は、例えば、複数の異なるタイムスケジュールに関する解析処理を、２個以上のタイムスケールについて並列して同時に実行してもよく、または、それぞれのタイムスケジュールについて異なる時間に実行してもよい。

図５は、本発明の一実施形態に係る時系列データのトレンドの一例を説明するための図である。
図５に示されるグラフでは、横軸は時刻ｔを表し、縦軸は観測値を表す。当該観測値は、解析対象情報の値（対象値）を示す。また、図５の例では、複数の対象値からなる時系列データについて、観測値が大きい場合のおよそのライン（高レベルライン５１１）と、観測値が小さい場合のおよそのライン（低レベルライン５１２）と、高レベルライン５１１と低レベルライン５１２との間の範囲（分布の幅５２１）を示してある。また、多数の対象値のうち、説明の便宜上から、１個の対象値５３１を示してある。

図５の例では、トレンドとして、高レベルライン５１１と低レベルライン５１２との間の範囲に、多数の対象値が含まれる。また、幾つかの対象値（例えば、対象値５３１）は、当該範囲から外れた値（外れ値）となり得る。

図６は、本発明の一実施形態に係る時系列データのトレンドの他の例を説明するための図である。
図６に示されるグラフでは、横軸は時刻ｔを表し、縦軸は観測値を表す。当該観測値は、解析対象情報の値（対象値）を示す。図６の例では、図５に示されるものと同じ高レベルライン５１１、低レベルライン５１２、および分布の幅５２１を示してある。

また、図６の例では、時刻Ｔ１１、Ｔ１２（Ｔ１１＜Ｔ１２）を示してある。図６の例では、時刻Ｔ１１と時刻Ｔ１２との間の時間では、その周囲の時間（時刻Ｔ１１よりも前の時間、時刻Ｔ１２よりも後の時間）と比べて、トレンドが変化している。図６の例では、時刻Ｔ１１と時刻Ｔ１２との間の時間における複数の対象値からなる時系列データについて、観測値が大きい場合のおよそのライン（高レベルライン６１１）と、観測値が小さい場合のおよそのライン（低レベルライン６１２）と、高レベルライン６１１と低レベルライン６１２との間の範囲（分布の幅６２１）を示してある。また、多数の対象値のうち、説明の便宜上から、時刻Ｔ１１と時刻Ｔ１２との間にある１個の対象値６３１を示してある。

図６の例では、時刻Ｔ１１と時刻Ｔ１２との間の時間におけるトレンドとして、高レベルライン６１１と低レベルライン６１２との間の範囲に、多数の対象値が含まれる。また、幾つかの対象値（例えば、対象値６３１）は、当該範囲から外れた値（外れ値）となり得る。しかしながら、当該対象値（例えば、対象値６３１）は、異なるトレンドにおいては、外れ値にはならない可能性がある。つまり、あるタイムスケールが用いられる場合には外れ値となるが、他のタイムスケールが用いられる場合には外れ値とはならないことがあり得る。ここで、外れ値は、異常値となり得る。

このように、トレンドごとに、対象値に関する高レベルライン５１１、６１１あるいは低レベルライン５１２、６１２が変化し得て、外れ値（例えば、異常値）の範囲が変化し得る。
なお、高レベルライン５１１、６１１として、上限閾値が用いられてもよい。また、低レベルライン５１２、６１２として、下限閾値が用いられてもよい。

タイムスケール処理部２３２は、例えば高レベルライン５１１、６１１、低レベルライン５１２、６１２、あるいは分布の幅５２１、６２１などに基づいて、時系列データにおける外れ値を異常値として検出することが可能である。
また、タイムスケール処理部２３２は、例えば高レベルライン５１１、６１１、低レベルライン５１２、６１２、あるいは分布の幅５２１、６２１などに基づいて、時系列データのトレンドの変化（例えば、トレンドの急峻な変化点など）を検出することが可能である。このようなトレンドの変化は、何らかの異常に起因して発生する場合があり得ることから、異常として検出されてもよい。具体例として、ある基地局装置２１−１〜２１−３に故障が発生した場合には、当該基地局装置２１−１〜２１−３の周辺の基地局装置で通信の混雑が発生して、外れ値が多く発生し得る。

ここで、時間的に広範囲に及ぶトレンドの変化を異常と判定する場合、例えば、当該トレンドの変化はある時刻（開始時刻）から別のある時刻（終了時刻）まで連続して発生しているとみなす。
タイムスケール処理部２３２は、例えば、トレンドの変化（異常とみなす期間）の開始時刻から終了時刻までの期間よりも短いタイムスケールで解析の処理を実行することで、時系列データのトレンドの変化を検出することができる。一例として、タイムスケール処理部２３２は、外れ値の数あるいはレベルなどが（例えば、所定の閾値を超えて）変化した場合に、トレンドが変化したと判定することが可能である。

このように、タイムスケール処理部２３２は、対象値の異常値、あるいは、トレンドの変化（異常）を検出することが可能である。
ここで、タイムスケール処理部２３２は、１個以上のタイムスケールにおける過去の解析処理結果の情報（学習データ）を記憶部２１３に記憶しておき、同一のタイムスケールで得られた現在の解析処理結果の情報と過去の解析処理結果の情報とを比較することで、現在の解析処理結果の情報について、外れ値あるいはトレンドの変化などの異常を検出（判定）してもよい。過去の解析処理結果の情報としては、例えば、様々な異なるデータセット（例えば、様々な異なる対象値の群を含む時系列データ）の解析処理結果を集約などした情報が用いられてもよく、これにより、汎化性を持たせることが図られる。

また、タイムスケール処理部２３２は、機械学習の機能を備えてもよく、機械学習を行うことで、過去の解析処理結果の情報に関する学習を行ってもよい。つまり、過去の解析処理結果の情報として、機械学習の結果の情報が用いられてもよい。当該学習は、例えば、順序統計の特徴量に関して行われてもよく、具体例として、対象値の分布に関する情報、外れ値（例えば、数あるいはレベルなど）に関する情報、トレンドの変化などの異常に関する情報、上限閾値または下限閾値の変化の情報などが用いられてもよい。
なお、例えば、過去の対象値の数が不十分である場合などのように、過去の解析処理結果の情報が十分に取得できない場合には、順序統計ではなく、算術平均に基づいた尺度（例えば、平均、あるいは、標準偏差）を用いて、異常の検出が行われることが好ましい一例であると考えられる。

以上のように、本実施形態に係る情報処理装置５１では、複数の異なるタイムスケールについて、効果的に通信に関する解析を行うことができる。
本実施形態に係る情報処理装置５１では、例えば、教師データが無くても、通信に関する解析を行うことができる。
本実施形態に係る情報処理装置５１では、例えば、過去の情報（例えば、過去の３０日の情報など）に基づいて、現在の情報の確からしさを判定して、その結果に基づいて、現在の情報について、確認の順序などを決定することが可能である。
また、本実施形態に係る情報処理装置５１では、例えば、外れ値の数などに基づいて、上限閾値あるいは下限閾値を調整してもよい。一例として、本実施形態に係る情報処理装置５１では、例えば、外れ値の数が一定（または、ほぼ一定）となるように、上限閾値あるいは下限閾値を調整してもよい。

本実施形態に係る通信システム１では、情報処理装置５１により、例えば、通信回数あるいは通信開始時における所要時間などについて取得された統計量に基づいて、エラーを伴わない通信品質劣化（エラーを発生しない通信品質劣化）を検出することが可能である。ここで、エラーを伴わない通信品質劣化は、例えば、端末装置１１−１〜１１−３の使用者（顧客）に影響を与えるようなエラーを伴わない通信品質劣化（例えば、当該顧客の申告によって初めて顕在化するような通信品質劣化）を含む。
また、本実施形態に係る通信システム１では、情報処理装置５１により、例えば、正しく実装されたネットワークにおいて、異常を検出することが可能である。
なお、本実施形態では、通信品質の監視を例として説明したが、本実施形態と同様な構成および動作を、一般的な時系列データなどに適用することも可能である。

［実施形態において実施されてもよい技術］
図７〜図８を参照して、本実施形態において実施されてもよい技術を説明する。なお、当該技術の一部または全部は、本実施形態に係る通信システム１において、実施されてもよく、または、実施されなくてもよい。

本例では、教師データ無しで異常の検出に基づいて通信の品質を監視する方式の例を示す。本例では、ＬＴＥのネットワークを対象として、時系列データの外れ値、あるいは、時系列データの急峻なトレンド変化を異常として検出することが可能である。
本例では、情報処理装置５１において、ＬＴＥのネットワークの通信品質を監視するために、Ｃ−Ｐｌａｎｅの信号（例えば、Ｓ１−ＭＭＥあるいはＳ１１の信号）において観測されるイベントを抽出（検出）する。当該イベントとしては、様々なものが用いられてもよく、例えば、コネクションの初期化、コネクションの確立、コネクションの切断、ハンドオーバ、ページングなどが用いられてもよい。

図７は、本発明の一実施形態に係る通信に関する時系列データの一例を示す図である。
図７には、時刻ｔを表す横軸を示してある。
本例では、情報処理装置５１は、制御部２１４において、タイムスケール処理部２３２などにより、それぞれの端末装置１１−１〜１１−３の状態を管理し、その管理の内容に基づいて、端末装置１１−１〜１１−３ごとに、イベントの時系列データを生成する。
図７の例では、所定の１個の端末装置（例えば、端末装置１１−１〜１１−３のうちのいずれか）について、複数のイベントＥａ、Ｅｂ、Ｅｃが時系列に並べられている。図７の例では、それぞれのイベントＥａ、Ｅｂ、Ｅｃは、発生した時刻の位置に示されている。
本例では、イベントＥａはコネクションの初期化を表わしており、イベントＥｂはコネクションの確立を表わしており、イベントＥｃはコネクションの切断を表わしている。図７の例では、それぞれのイベントＥａ、Ｅｂ、Ｅｃは、異なるタイミングで重複して発生し得る。

本例では、情報処理装置５１は、制御部２１４において、タイムスケール処理部２３２などにより、すべての種類のイベントＥａ、Ｅｂ、Ｅｃに関する発生回数、および、すべての種類のイベントＥａ、Ｅｂ、Ｅｃの組み合わせに関する時間間隔を、時系列データ（組み合わせの時系列データ）として、算出する。当該時間間隔は、例えば、１個の組み合わせに含まれる２個のイベントの間の時間間隔である。
ここで、イベントＥａ、Ｅｂ、Ｅｃの組み合わせとしては、例えば、ｉをａ、ｂ、ｃのいずれかとし、ｊをａ、ｂ、ｃのいずれかとして、組み合わせである（イベントＥｉ、イベントＥｊ）がある。ここで、組み合わせにおけるイベントＥｉとイベントＥｊとは、例えば、イベントＥｉに対して同じイベントＥｊのなかで最も当該イベントＥｉに時間的に近いイベントＥｊの関係がある。但し、ｉとｊが同じである場合には、イベントＥｉに対して最も時間的に近い当該イベントＥｉ以外のイベントＥｊの関係がある。

このように、情報処理装置５１は、制御部２１４において、タイムスケール処理部２３２などにより、端末装置１１−１〜１１−３ごとに、イベントの数、およびイベントの間隔（時間間隔）を算出（検出）する。そして、情報処理装置５１は、制御部２１４において、タイムスケール処理部２３２などにより、算出された情報をすべての端末装置１１−１〜１１−３について集約し（本例では、時系列に並べて）、一つの時系列データを生成する。当該時系列データは、複数の端末装置１１−１〜１１−３に関する情報を含む。

ここで、情報処理装置５１は、制御部２１４において、タイムスケール処理部２３２により、例えば、端末装置１１−１〜１１−３ごとに関する時系列データ、あるいは、複数の端末装置１１−１〜１１−３に関する時系列データに基づいて、複数の異なるタイムスケールを用いた解析の処理を実行してもよい。
本例では、複数の端末装置１１−１〜１１−３に関する時系列データに基づいて解析が行われる場合を示す。

情報処理装置５１は、制御部２１４において、タイムスケール処理部２３２などにより、集約された時系列データに対して異常値を判定する処理を実行する。
ここで、情報処理装置５１は、制御部２１４において、タイムスケール処理部２３２などにより、例えば、領域（エリア）ごと、時間ごと、ユーザ（端末装置）の属性ごと、あるいは、デバイスの種類ごと、などについて、判定された異常値を集計してもよい。このような集計の結果は、例えば、異常値の傾向を調査するためなどに役立つ。
例えば、特に、コネクションの確立、ハンドオーバ、ページングといったイベントは、端末装置１１−１〜１１−３（例えば、スマートフォンなど）に対するユーザの操作に直接関係するイベントであり、このようなイベントに関する指標が関係する異常値はＬＴＥ ＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）のＫＰＩ（Ｋｅｙ Ｐｅｒｆｏｒｍａｎｃｅ Ｉｎｄｉｃａｔｏｒ）となり得る。

図８は、本発明の一実施形態に係る異常検出処理の手順の一例を示すフローチャートである。
本例では、情報処理装置５１は、制御部２１４において、当該異常検出処理を行う。

（ステップＳ１）
情報処理装置５１は、制御信号情報取得部２３１により、制御信号（制御信号情報）を収集（取得）する。
（ステップＳ２）
情報処理装置５１は、タイムスケール処理部２３２などにより、収集された信号（情報）に基づいて、端末装置１１−１〜１１−３ごとに、イベントの時系列の情報（時系列データ）を生成する。
（ステップＳ３）
情報処理装置５１は、タイムスケール処理部２３２などにより、生成された時系列データに基づいて、端末装置１１−１〜１１−３ごとに、イベントの組み合わせに関する時間間隔の情報を生成する。

（ステップＳ４）
情報処理装置５１は、タイムスケール処理部２３２などにより、生成された情報に基づいて、すべての端末装置１１−１〜１１−３について、イベントの組み合わせ（例えば、時間間隔）に関する時系列の情報（時系列データ）を生成する。
（ステップＳ５）
情報処理装置５１は、タイムスケール処理部２３２などにより、生成された情報（イベントの組み合わせに関する時系列データ）に基づいて、異常値を検出する。
（ステップＳ６）
情報処理装置５１は、タイムスケール処理部２３２などにより、検出された異常値を集計する。
（ステップＳ７）
情報処理装置５１は、タイムスケール処理部２３２などにより、異常値の集計結果に基づいて、所定の値（例えば、任意の指標）を算出（取得）する。

本例では、情報処理装置５１により、例えば、エラーを伴わない通信品質劣化（エラーを発生しない通信品質劣化）を検出することが可能である。
また、本例では、情報処理装置５１により、例えば、正しく実装されたネットワークにおいて、異常を検出することが可能である。

［実施形態のまとめ］
一構成例として、通信に関する情報について、複数の異なるタイムスケール（例えば、図３〜図４の例におけるタイムスケール３２１、４２１など）について解析の処理を実行するタイムスケール処理部（本実施形態では、タイムスケール処理部２３２）を備える、情報処理装置（本実施形態では、情報処理装置５１）である。
一構成例として、情報処理装置において、タイムスケール処理部は、それぞれのタイムスケールごとに、タイムスケールの時間に含まれる通信に関する情報に基づいて解析の処理を実行する。
一構成例として、情報処理装置において、通信に関する情報は、通信の回数または通信の時間に関する情報である。
一構成例として、情報処理装置において、解析の処理は、通信に関する情報について異常を検出する処理を含む。

一構成例として、タイムスケール処理部が、通信に関する情報について、複数の異なるタイムスケールについて解析の処理を実行する、情報処理方法（本実施形態では、情報処理装置５１において行われる情報処理の方法）である。
一構成例として、タイムスケール処理部が、通信に関する情報について、複数の異なるタイムスケールについて解析の処理を実行するステップ、をコンピュータに実行させるためのプログラム（本実施形態では、情報処理装置５１を構成するコンピュータにおいて実行されるプログラム）である。

以上に示した実施形態に係る各装置（例えば、情報処理装置５１など）の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体（記憶媒体）に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、処理を行ってもよい。

なお、ここでいう「コンピュータシステム」とは、オペレーティング・システム（ＯＳ：Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）あるいは周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに、「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークあるいは電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記のプログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）あるいは電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記のプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、上記のプログラムは、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

以上、本発明の実施形態について図面を参照して詳述したが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

１…通信システム、１１−１〜１１−３…端末装置、２１−１〜２１−３…基地局装置（ｅＮｏｄｅＢ）、３１…ＭＭＥ装置、３２…記憶装置、４１…Ｓ−ＧＷ装置、４２…Ｐ−ＧＷ装置、４３…ネットワーク、５１…情報処理装置、１０１〜１０４、１１１〜１１３、１２１〜１２２、１３１…回線、２１１…入力部、２１２…出力部、２１３…記憶部、２１４…制御部、２３１…制御信号情報取得部、２３２…タイムスケール処理部、２３３…表示情報生成部、３１１、４１１…上限閾値、３１２、４１２…７５パーセンタイル値、３１３、４１３…中央値、３１４、４１４…２５パーセンタイル値、３１５、４１５…下限閾値、３２１、４２１…タイムスケール、３３１〜３３２、５３１、６３１…対象値、５１１、６１１…高レベルライン、５１２、６１２…低レベルライン、５２１、６２１…分布の幅

Claims (6)

1. 通信に関する情報について、複数の異なるタイムスケールについて解析の処理を実行するタイムスケール処理部を備える、
   情報処理装置。
2. 前記タイムスケール処理部は、それぞれの前記タイムスケールごとに、前記タイムスケールの時間に含まれる前記通信に関する情報に基づいて前記解析の処理を実行する、
   請求項１に記載の情報処理装置。
3. 前記通信に関する情報は、通信の回数または通信の時間に関する情報である、
   請求項１または請求項２のいずれか１項に記載の情報処理装置。
4. 前記解析の処理は、前記通信に関する情報について異常を検出する処理を含む、
   請求項１から請求項３のいずれか１項に記載の情報処理装置。
5. タイムスケール処理部が、通信に関する情報について、複数の異なるタイムスケールについて解析の処理を実行する、
   情報処理方法。
6. タイムスケール処理部が、通信に関する情報について、複数の異なるタイムスケールについて解析の処理を実行するステップ、
   をコンピュータに実行させるためのプログラム。

Images