JP2019101711A

JP2019101711A - 異常種別判定装置、異常種別判定方法及びプログラム

Info

Publication number: JP2019101711A
Application number: JP2017231354A
Authority: JP
Inventors: 松尾　洋一; Yoichi Matsuo; 洋一松尾; 敬志郎渡辺; Keishiro Watanabe; 川原　亮一; Ryoichi Kawahara; 亮一川原
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2017-12-01
Filing date: 2017-12-01
Publication date: 2019-06-24
Anticipated expiration: 2037-12-01
Also published as: JP6787873B2

Abstract

【課題】通信ネットワークで発生した異常の種別を判定すること。【解決手段】通信ネットワークで発生した異常の種別を判定する異常種別判定装置であって、前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、異常が発生した機器を推定する異常推定手段と、前記異常推定手段により計算された最大事後確率に基づいて、前記異常の種別が定型又は非定型のいずれであるかを判定する種別判定手段と、を有することを特徴とする。【選択図】図１

Description

本発明は、異常種別判定装置、異常種別判定方法及びプログラムに関する。

通信ネットワークで発生した異常の対応は、異常検知、異常箇所・要因の特定、復旧の順に行われる。このとき、異常箇所・要因の特定では、例えば、人の知識による異常箇所・要因の推定手法、ルールベースによる異常箇所・要因の推定手法、因果モデルによる異常箇所・要因の推定手法等が行われている（非特許文献１〜３参照）。これらの異常箇所・要因の推定手法は、学習フェーズと推論フェーズとの２つのフェーズから構成される。

例えば、人の知識による異常箇所・要因の推定手法における学習フェーズでは、過去の異常事象の把握や通信ネットワークの構造等を学習し、知識（例えば、或る機器が故障すれば、通信ネットワークの構造や過去の異常事象の情報から、故障機器に繋がっている別の或る機器からアラートが出る等）を習得する。また、例えば、ルールベースによる異常箇所・要因の推定手法における学習フェーズでは、人の知識に基づいてルール（例えば、機器Ａ、機器Ｂ及び機器Ｃの３台の機器からアラートが出た場合、異常が発生した機器は機器Ｗである等）を作成する。更に、例えば、因果モデルによる異常箇所・要因の推定手法における学習フェーズでは、ルールを確率で表し、通信ネットワークシステムの構成要素であるルータやサーバ等の異常と、通信ネットワークシステムの構成要素から得られるエラーログやアラート、トラヒック量等を表す様々な観測情報の値との因果関係を表す因果モデルを構築する。なお、因果モデルには、通信ネットワークシステムの構成要素である機器（例えば、ルータやサーバ等）の状態又は異常発生の原因となる何等かの要因の状態を示す機器・要因状態層と、観測状態を表す観測状態層とが含まれる。

次に、例えば、人の知識による異常箇所・要因の推定手法における推論フェーズでは、人の知識とアラートの出力内容とに基づいて異常箇所・要因を推定する。また、例えば、ルールベースによる異常箇所・要因の推定手法における推論フェーズでは、学習フェーズで作成したルール群の中から、アラートの出力内容に対応するルールを抽出することで、異常箇所・要因を推定する。更に、例えば、因果モデルによる異常箇所・要因の推定手法における推論フェーズでは、通信ネットワークシステムで異常が発生したときに得られる観測情報の値と、学習フェーズで作成した因果モデルとから、事前確率と条件付き確率とが最大になるようにエッジを逆に辿ることで、異常箇所・要因を推定する。なお、事前確率と条件付き確率とが最大となる場合の事後確率を最大事後確率と呼び、この時の機器・要因状態層の値が推定結果である。

ここで、通信ネットワークで異常が発生しても機器がアラートを出力しない場合がある。また、因果モデルによる異常箇所・要因の推定手法において、観測情報の分析ミス等によって観測状態層のノードを異常状態と推定してしまう場合がある。このように、本来の観測情報の状態（言い換えれば、真の観測状態）を必ずしも容易に判断できない場合がある。このような異常は非定型異常と呼ばれる。一方で、通信ネットワークの構成や過去の異常事象の情報等から学習された知識やルール、因果モデル等で異常箇所・要因を推定できる異常は定型異常と呼ばれる。

人の知識による異常箇所・要因の推定手法、ルールベースによる異常箇所・要因の推定手法、因果モデルによる異常箇所・要因の推定手法では、定型異常の異常箇所・要因を推定することができる。また、因果モデルによる異常箇所・要因の推定手法では、観測情報の不正確性に対応する関数を導入し、推定時に因果モデルの修正を行うことで、非定型異常の異常箇所・要因も推定可能な手法が提案されている（非特許文献４参照）。

Srikanth Kandula, Dina Katabi, and Jean-philippe Vasseur. Shrink: A tool for failure diagnosis in IP networks. Proceedings of the 2005 ACM SIGCOMM workshop on Mining network data, pages 173-178, 2005. R.R. Kompella, J. Yates, A. Greenberg, and A.C. Snoeren. IP Fault Localization via Risk Modeling. IEEE Transactions on Dependable and Secure Computing, 7(4):1-14, 2010. He Yan, Lee Breslau, Zihui Ge, Dan Massey, Dan Pei, and Jennifer Yates. G-RCA: A Generic Root Cause Analysis Platform for Service Quality Management in Large IP Networks. IEEE/ACM Transactions on Networking, 20(6):1734-1747, 2012. 松尾洋一, 中野雄介, 渡邉暁, 渡辺敬志郎, 石橋圭介, 川原亮一, "非定型故障の原因箇所推定技術の検討," 信学会総合大会, B-7-35, 2017.

しかしながら、従来の推定手法では、通信ネットワークで異常が発生した際に、当該異常が定型異常又は非定型異常のいずれであるかを判定することができなかった。

例えば、非特許文献１〜３に開示されている推定手法では、全ての事象を定型異常として推定する。この場合、推定結果に基づいて人が対応した結果、異常から復旧すれば定型異常、復旧できなければ非定型異常であることが判明する。このため、通信ネットワークで異常が発生してから、当該異常が定型異常又は非定型異常のいずれであるかが判明するまでに時間を要していた。

一方で、非特許文献４に開示されている推定手法では、非定型異常の可能性を加味しながら解の候補を推定した後、推定した解の候補のうち、最大事後確率が最大となる解の候補を最終的な解として選択する。このため、通信ネットワークで発生した異常が定型異常又は非定型異常のいずれであるかを判定することができるものの、その判定結果を得るまでに時間を要していた。

このように、従来の推定手法では、通信ネットワークで異常が発生した際に異常種別（定型異常又は非定型異常）を判定することができなかった。

本発明は、上記の点に鑑みてなされたもので、通信ネットワークで発生した異常の種別を判定することを目的とする。

そこで、本発明の実施の形態では、通信ネットワークで発生した異常の種別を判定する異常種別判定装置であって、前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、異常が発生した機器を推定する異常推定手段と、前記異常推定手段により計算された最大事後確率に基づいて、前記異常の種別が定型又は非定型のいずれであるかを判定する種別判定手段と、を有することを特徴とする。

通信ネットワークで発生した異常の種別を判定することができる。

本発明の実施の形態における異常種別判定装置の機能構成の一例を示す図である。本発明の実施の形態における異常種別の判定処理の一例を示すフローチャートである。本発明の実施の形態における異常種別判定装置のハードウェア構成の一例を示す図である。

以下、本発明の実施の形態について、図面を参照しながら説明する。以降では、因果モデルによる異常箇所・要因の推定手法を用いる異常種別判定装置１０において、最大事後確率の変化に基づいて異常種別（定型異常又は非定型異常）を判定する場合について説明する。

因果モデルによる異常箇所・要因の推定手法では、現在の観測情報の値に対して、事前確率と条件付き確率とが最大となる事後確率（最大事後確率）を計算することで、機器・要因状態層を推定する。正常状態（機器・要因状態層での異常状態のノード数が０）や定型異常に対しては、従来手法により因果モデルが構築できているため、最大事後確率は高くなる。一方で、非定型異常では、因果モデルが不完全であるため、推定結果を得ることができるものの最大事後確率は、正常状態や定型異常の場合と比べて低下する。

そこで、本発明の実施の形態における異常種別判定装置１０では、因果モデルによる異常箇所・要因の推定手法によって算出された最大事後確率の変化に基づいて異常種別を判定する。

これにより、例えば、因果モデルによる異常箇所・要因の推定手法として、非特許文献４に開示されている推定手法を用いる場合に、本発明の実施の形態における異常種別判定装置１０では、異常箇所・要因が特定される前に、通信ネットワークで発生した異常の種別を判定することができる。したがって、例えば、本発明の実施の形態における異常種別判定装置１０のユーザ（例えば、通信ネットワークのオペレータ等）は、異常種別に応じた復旧作業の準備（特に、異常種別が非定型異常である場合には、通常とは異なる復旧作業の準備）を行うことができ、迅速な異常の復旧を行うことができるようになる。

また、例えば、因果モデルによる異常箇所・要因の推定手法として、非特許文献３に開示されている推定手法を用いる場合に、本発明の実施の形態における異常種別判定装置１０では、異常種別が非定型異常であると判定された場合に、当該推定手法による推定結果を出力しないようにすることができる。これにより、非特許文献３に開示されている推定手法（すなわち、全ての事象を定型異常として推定する手法）を用いた場合における誤った推定結果の出力（言い換えれば、実際に発生した異常は非定型異常であるにも関わらず、定型異常が発生したとして異常箇所・要因を推定した結果の出力）を防止することができ、例えばオペレータ等による復旧作業の手戻り等を防止すると共に、計算時間を短縮することができる。

なお、本発明の実施の形態における異常種別判定装置１０が用いる因果モデルによる異常箇所・要因の推定手法は、非特許文献３〜４に開示されている推定手法に限られず、因果モデルによって異常箇所・要因を推定する任意の手法を用いることができる。

＜機能構成＞
まず、本発明の実施の形態における異常種別判定装置１０の機能構成について、図１を参照しながら説明する。図１は、本発明の実施の形態における異常種別判定装置１０の機能構成の一例を示す図である。

図１に示すように、本発明の実施の形態における異常種別判定装置１０は、異常推定処理部１０１と、最大事後確率取得部１０２と、手法判定部１０３と、分類判定部１０４と、乖離度判定部１０５と、ＵＩ部１０６とを有する。

また、図１に示すように、本発明の実施の形態における異常種別判定装置１０は、第１の最大事後確率記憶部１０７と、第２の最大事後確率記憶部１０８とを有する。

異常推定処理部１０１は、観測情報を取得する度に、因果モデルによる異常箇所・要因の推定手法によって、当該観測情報から最大事後確率を計算して、通信ネットワークで発生した異常の異常箇所・要因を推定する。

なお、観測情報は、上述したように、例えば、通信ネットワークシステムの構成要素から得られるエラーログやアラート、トラヒック量等を表す情報である。観測情報の値（観測値）は、例えば、エラーログやアラートである場合に「１」、そうでない場合に「０」となる。同様に、観測情報の値（観測値）は、例えば、機器のトラヒック量が或る閾値を超えた場合に「１」、そうでない場合に「０」となる。異常種別判定装置１０は、例えば、各機器のエラーログやアラート、トラヒック量等を収集する収集装置から観測情報を取得しても良いし、異常種別判定装置１０が各機器からエラーログやアラート、トラヒック情報等を収集することで観測情報を取得しても良い。

また、異常推定処理部１０１は、分類判定部１０４又は乖離度判定部１０５により判定された異常種別に応じて、第１の最大事後確率記憶部１０７又は第２の最大事後確率記憶部１０８に最大事後確率を格納する。

第１の最大事後確率記憶部１０７には、定型異常が発生した場合における過去Ｔ回の最大事後確率を記憶する。第１の最大事後確率記憶部１０７は、例えば、現在を基準として、最新の定型異常が発生した場合における最大事後確率をｐ_１１、１回前に定型異常が発生した場合における最大事後確率をｐ_１２、２回前に定型異常が発生した場合における最大事後確率をｐ_１３、・・・、Ｔ−１回前に定型異常が発生した場合における最大事後確率をｐ_１Ｔとした場合に、ｐ_１１、ｐ_１２、・・・、ｐ_１Ｔを要素とするベクトルＰ_１を記憶する。なお、Ｔは予め決められた値である。

第２の最大事後確率記憶部１０８には、非定型異常が発生した場合における最大事後確率を記憶する。第２の最大事後確率記憶部１０８は、例えば、これまでに非定型異常がＳ回発生した場合、最新の非定型異常が発生した場合における最大事後確率をｐ_２１、１回前に非定型異常が発生した場合における最大事後確率をｐ_２２、２回前に非定型異常が発生した場合における最大事後確率をｐ_２３、・・・、Ｓ−１回前に定型異常が発生した場合における最大事後確率をｐ_２Ｓとした場合に、ｐ_２１、ｐ_２２、・・・、ｐ_２Ｓを要素とするベクトルＰ_２を記憶する。

最大事後確率取得部１０２は、異常推定処理部１０１により計算された最大事後確率を取得する。

手法判定部１０３は、所定の基準によって、分類判定部１０４又は乖離度判定部１０５のいずれにより異常種別を判定するかを判定する。

分類判定部１０４は、所定の分類器を用いた手法によって異常種別を判定する。すなわち、分類判定部１０４は、最大事後確率取得部１０２により取得された最大事後確率を所定の分類器に入力することで、通信ネットワークで発生した異常の異常種別を判定する。分類器としては、例えば、ＳＶＭ（Support Vector Machine）を用いた分類器を用いることができる。このような分類器は、第１の最大事後確率記憶部１０７に記憶されているベクトルＰ_１の各要素に対して定型異常を示すラベルを付与したデータと、第２の最大事後確率記憶部１０８に記憶されているベクトルＰ_２の各要素に対して非定型異常を示すラベルを付与したデータとを教師データとして予め学習される。

乖離度判定部１０５は、乖離度を用いた手法によって異常種別を判定する。すなわち、乖離度判定部１０５は、最大事後確率取得部１０２により取得された最大事後確率と、第１の最大事後確率記憶部１０７に記憶されているベクトルＰ_１の各要素との乖離度を計算することで、通信ネットワークで発生した異常の異常種別を判定する。このような乖離度の計算手法としては、例えば、ＬｏｃａｌｏｕｔｌｉｅｒＦａｃｔｏｒやＣｈａｎｇｅＦｉｎｄｅｒ等の外れ値検知手法を用いれば良い。この場合、どの程度外れていたら非定型異常とするかを判定するための閾値が必要となる。このような閾値は、例えば、オペレータの知識や通信ネットワークの運用ポリシー、検定手法等を用いて決定される。

ＵＩ部１０６は、分類判定部１０４又は乖離度判定部１０５による判定結果（すなわち、通信ネットワークで発生した異常の異常種別）を表示する。通信ネットワークで発生した異常の異常種別が表示されることで、オペレータ等は、異常種別に応じた復旧作業の準備を行うことができるようになる。

なお、本発明の実施の形態における異常種別判定装置１０は、１台のコンピュータで構成されていても良いし、複数台のコンピュータで構成されていても良い。異常種別判定装置１０が複数台のコンピュータで構成されている場合、当該異常種別判定装置１０が有する各機能部（異常推定処理部１０１、最大事後確率取得部１０２、手法判定部１０３、分類判定部１０４、乖離度判定部１０５、及びＵＩ部１０６）は、複数台のコンピュータに分散されていても良い。

また、異常種別判定装置１０が複数台のコンピュータで構成されている場合、当該異常種別判定装置１０が有する各記憶部（第１の最大事後確率記憶部１０７及び第２の最大事後確率記憶部１０８）は、複数台のコンピュータに分散されていても良い。

＜異常種別の判定処理＞
次に、本発明の実施の形態における異常種別の判定処理について、図２を参照しながら説明する。図２は、本発明の実施の形態における異常種別の判定処理の一例を示すフローチャートである。なお、異常種別の判定処理は、観測情報が取得される度に実行される。

ステップＳ１０１：異常推定処理部１０１は、因果モデルによる異常箇所・要因の推定手法によって、取得した観測情報から最大事後確率を計算して、通信ネットワークで発生した異常の異常箇所・要因を推定する。

ステップＳ１０２：次に、最大事後確率取得部１０２は、異常推定処理部１０１により計算された最大事後確率を取得する。

ステップＳ１０３：次に、手法判定部１０３は、所定の基準によって、分類判定部１０４による手法（分類器を用いた手法）又は乖離度判定部１０５による手法（乖離度を用いた手法）のいずれにより異常種別を判定するかを判定する。

ここで、所定の基準としては、例えば、学習済の分類器が存在する場合は分類器を用いた手法によって異常種別を判定すると判定し、学習済の分類器が存在せず、かつ、過去Ｔ回の最大事後確率が第１の最大事後確率記憶部１０７に記憶されている場合は乖離度を用いた手法によって異常種別を判定すると判定すれば良い。ただし、所定の基準は、これに限られず、例えば、ユーザ等によってどちらの手法を用いるかが予め設定されていても良い。

ステップＳ１０４：手法判定部１０３により分類器を用いた手法によって異常種別を判定すると判定された場合、分類判定部１０４は、最大事後確率取得部１０２により取得された最大事後確率を学習済の分類器に入力することで、当該最大事後確率に対してラベル（定型異常を示すラベル又は非定型異常を示すラベル）を付与する。これにより、通信ネットワークで発生した異常（すなわち、当該最大事後確率を計算するために用いられた観測情報が示す異常）の異常種別が判定される。

ステップＳ１０５：手法判定部１０３により乖離度を用いた手法によって異常種別を判定すると判定された場合、乖離度判定部１０５は、最大事後確率取得部１０２により取得された最大事後確率と、第１の最大事後確率記憶部１０７に記憶されているベクトルＰ_１の各要素との乖離度を計算することで、通信ネットワークで発生した異常の異常種別を判定する。このとき、乖離度判定部１０５は、計算した乖離度が、予め決定された閾値以上である場合に、通信ネットワークで発生した異常は非定型異常であると判定し、当該乖離度が閾値未満である場合に当該異常は定型異常であると判定する。

ステップＳ１０６：ＵＩ部１０６は、分類判定部１０４又は乖離度判定部１０５による判定結果（すなわち、通信ネットワークで発生した異常の異常種別）を表示する。なお、このとき、ＵＩ部１０６は、異常推定処理部１０１により推定された推定結果（すなわち、通信ネットワークで異常が発生した箇所・要因を示す情報）を表示しても良い。ただし、上述したように、例えば、非特許文献３に開示されている推定手法を用いた場合に、異常種別が非定型異常であるときは、推定結果を表示しないようにしても良い。

ステップＳ１０７：異常推定処理部１０１は、分類判定部１０４又は乖離度判定部１０５により判定された異常種別に応じて、第１の最大事後確率記憶部１０７又は第２の最大事後確率記憶部１０８に最大事後確率を格納する。

すなわち、異常推定処理部１０１は、分類判定部１０４又は乖離度判定部１０５により判定された異常種別が定型異常である場合、最大事後確率を第１の最大事後確率記憶部１０７に格納する。このとき、異常推定処理部１０１は、第１の最大事後確率記憶部１０７に格納されている最も古い最大事後確率を削除した上で、当該最大事後確率を格納する。

一方で、異常推定処理部１０１は、分類判定部１０４又は乖離度判定部１０５により判定された異常種別が非定型異常である場合、最大事後確率を第２の最大事後確率記憶部１０８に格納する。

なお、図２に示す例では、ステップＳ１０４の分類器を用いた手法と、ステップＳ１０５の乖離度を用いた手法とのうちのいずれか一方の手法を用いて異常種別を判定したが、これに限られず、例えば、両方の手法を用いて異常種別を判定しても良い。両方の手法を用いて異常種別を判定した場合は、ＵＩ部１０６により、両方の判定結果を表示しても良いし、いずれか一方の判定結果を表示しても良い。

以上のように、本発明の実施の形態における異常種別判定装置１０は、因果モデルによる異常箇所・要因の推定手法を用いる場合に、分類器を用いた手法又は乖離度を用いた手法によって、最大事後確率の変化から異常種別を判定することができる。

＜ハードウェア構成＞
最後に、本発明の実施の形態における異常種別判定装置１０のハードウェア構成について、図３を参照しながら説明する。図３は、本発明の実施の形態における異常種別判定装置１０のハードウェア構成の一例を示す図である。

図３に示すように、本発明の実施の形態における異常種別判定装置１０は、入力装置１１と、表示装置１２と、外部Ｉ／Ｆ１３と、ＲＡＭ（Random Access Memory）１４と、ＲＯＭ（Read Only Memory）１５と、ＣＰＵ（Central Processing Unit）１６と、通信Ｉ／Ｆ１７と、補助記憶装置１８とを有する。これら各ハードウェアは、それぞれがバス１９を介して通信可能に接続されている。

入力装置１１は、例えばキーボードやマウス、タッチパネル等であり、ユーザが各種操作を入力するのに用いられる。表示装置１２は、例えばディスプレイ等であり、異常種別判定装置１０の処理結果を表示する。なお、異常種別判定装置１０は、入力装置１１及び表示装置１２の少なくとも一方を有していなくても良い。

外部Ｉ／Ｆ１３は、外部装置とのインタフェースである。外部装置には、記録媒体１３ａ等がある。異常種別判定装置１０は、外部Ｉ／Ｆ１３を介して、記録媒体１３ａ等の読み取りや書き込みを行うことができる。記録媒体１３ａには、例えば、本発明の実施の形態における異常種別判定装置１０が有する各機能部を実現するためのプログラムが格納されていても良い。

記録媒体１３ａには、例えば、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等がある。

ＲＡＭ１４は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ１５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。ＲＯＭ１５には、例えば、ＯＳ（Operating System）設定やネットワーク設定等が格納されている。ＣＰＵ１６は、ＲＯＭ１５や補助記憶装置１８等からプログラムやデータをＲＡＭ１４上に読み出して処理を実行する演算装置である。

通信Ｉ／Ｆ１７は、異常種別判定装置１０を通信ネットワークに接続するためのインタフェースである。本発明の実施の形態における異常種別判定装置１０が有する各機能部を実現するためのプログラムは、例えば、通信Ｉ／Ｆ１７を介して、所定のサーバ等から取得（ダウンロード）されても良い。

補助記憶装置１８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等であり、プログラムやデータを格納している不揮発性の記憶装置である。補助記憶装置１８に格納されているプログラムやデータには、例えば、ＯＳ、当該ＯＳ上において各種機能を実現するアプリケーションプログラム、本発明の実施の形態における異常種別判定装置１０が有する各機能部を実現するためのプログラム等がある。

本発明の実施の形態における異常種別判定装置１０が有する各機能部（異常推定処理部１０１、最大事後確率取得部１０２、手法判定部１０３、分類判定部１０４、乖離度判定部１０５、及びＵＩ部１０６）は、当該異常種別判定装置１０にインストールされた１以上のプログラムがＣＰＵ１６に実行させる処理により実現される。

また、本発明の実施の形態における異常種別判定装置１０が有する各記憶部（第１の最大事後確率記憶部１０７及び第２の最大事後確率記憶部１０８）は、例えば補助記憶装置１８を用いて実現される。なお、第１の最大事後確率記憶部１０７及び第２の最大事後確率記憶部１０８の少なくとも一方の記憶部が、例えば、異常種別判定装置１０と通信ネットワークを介して接続される記憶装置等を用いて実現されても良い。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

１０異常種別判定装置
１０１異常推定処理部
１０２最大事後確率取得部
１０３手法判定部
１０４分類判定部
１０５乖離度判定部
１０６ＵＩ部
１０７第１の最大事後確率記憶部
１０８第２の最大事後確率記憶部

Claims

通信ネットワークで発生した異常の種別を判定する異常種別判定装置であって、
前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、異常が発生した機器を推定する異常推定手段と、
前記異常推定手段により計算された最大事後確率に基づいて、前記異常の種別が定型又は非定型のいずれであるかを判定する種別判定手段と、
を有することを特徴とする異常種別判定装置。
前記種別判定手段は、
前記種別が定型である異常が発生した場合における過去Ｔ回の最大事後確率と、前記異常推定手段により計算された最大事後確率との乖離度が、所定の閾値以上であるか否かを判定することにより、前記異常の種別が定型又は非定型のいずれであるかを判定する、ことを特徴とする請求項１に記載の異常種別判定装置。
前記種別判定手段は、
前記種別が定型である異常が発生した場合における過去Ｔ回の最大事後確率と、前記種別が非定型である異常が発生した場合における最大事後確率とを学習データとして予め学習された分類器を用いて、前記異常推定手段により計算された最大事後確率に対応する異常の種別が定型又は非定型のいずれであるかを判定する、ことを特徴とする請求項１又は２に記載の異常種別判定装置。
通信ネットワークで発生した異常の種別を判定する異常種別判定装置が、
前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、異常が発生した機器を推定する異常推定手順と、
前記異常推定手順により計算された最大事後確率に基づいて、前記異常の種別が定型又は非定型のいずれであるかを判定する種別判定手順と、
を実行することを特徴とする異常種別判定方法。
コンピュータを、請求項１乃至３の何れか一項に記載の異常種別判定装置における各手段として機能させるためのプログラム。