JP6137175B2 - 階層型確率モデル生成システム、階層型確率モデル生成方法、およびプログラム - Google Patents

Description

本発明は、階層型確率モデル生成システム、階層型確率モデル生成方法、およびプログラムに関する。

システムの信頼性や可用性を解析する手法の一つとして、故障木を用いた解析手法が広く用いられている（例えば、特許文献１）。故障木ではシステムの障害事象をトップ事象として定義し、トップ事象が発生する要因となる事象を基本事象として列挙し、基本事象の組み合わせ論理でトップ事象を表現する。基本事象の組み合わせには論理積に対応したＡＮＤゲート、論理和に対応したＯＲゲート、および、ｎ個の事象のうちｋ個の事象が発生した場合に出力を出すｋ−ｏｕｔ−ｏｆ−ｎゲートなどが用いられる。基本事象の生起確率が与えられれば、各ゲートの種類に対応した演算を繰り返すことによりトップ事象の生起確率を求めることができる。

基本的な故障木の解析では、入力となる基本事象が互いに独立であることが前提となる。基本事象間に依存関係がある場合は、その依存関係を考慮した基本事象の生起確率を求めて解析を行う必要がある。例えば、故障木に含まれないある事象ａによって、二つの基本事象ｂ，ｃが同時に発生する場合を考える。事象ａが発生する確率をＰ（ａ）と表すと、Ｐ（ｂ）とＰ（ｃ）は共にＰ（ａ）を含んでいる。したがって、Ｐ（ｂ）とＰ（ｃ）を用いた解析の過程で、Ｐ（ａ）の影響を重複して考慮してしまう可能性があり、トップ事象の生起確率を正しく求めることができない。

依存関係を多く含むシステムの正確な可用性を求めるためには、状態空間モデルを用いたモデル化と解析が必要となる。例えば、連続時間マルコフ連鎖（ＣＴＭＣ）によってシステムの状態遷移をモデル化し、ＣＴＭＣを解析することによりシステムの稼働状態にある確率を求めることができる。ＣＴＭＣなどの状態空間モデルでは、故障木と異なり、様々な依存関係を考慮したモデル化が可能である。しかし、解析対象のシステムが大規模で複雑になった場合、状態空間モデルは状態爆発の問題に直面する。システムを正確にモデル化することや解析することが困難になる。

そこで、故障木（広くは事象木）と状態空間モデルの長所を組み合わせた階層型確率モデルによる可用性の解析手法が提案されている（例えば、非特許文献１）。故障木の入力となる各基本事象に対して状態空間モデルを定義し、状態空間モデルを解析した結果を故障木に入力してトップ事象の生起確率を求める。依存関係のある部分のみに状態空間モデルを用いることで、正確な解析結果を求めると共に、状態爆発の問題を緩和することができる。

システムが複雑になり、規模が大きくなると、可用性解析のためのモデルの作成が困難になる。これに対し、システムの構成情報や可用性要件に基づいて、故障木や状態空間モデルを自動的に生成する手法が従来用いられてきた（例えば、特許文献２、非特許文献２）。

特開２００７−１２２６３９号公報 特開２０１０−２３７８５５号公報

K. S. Trivedi, D. Wang, D. J. Hunt, A. Rindos, W. E. Smith, B. Vashaw, "Availability Modeling of SIP Protocol on IBM WebSphere," Proc. of PRDC 2008. F. Machida, E. Andrade, D. Kim and K. Trivedi, " Candy: Component-based Availability Modeling Framework for Cloud Service Management Using SysML", In Proc. of 30th IEEE International Symposium on Reliable Distributed Systems (SRDS), pp. 209-218, 2011.

上述のように、大規模で複雑なシステムにおける可用性解析の性能向上（高速化）と信頼性向上を実現するためには、故障木と状態空間モデルのそれぞれの長所を組み合わせた階層型確率モデルを用いることが有効である。しかし、特許文献１，２、および非特許文献１，２に記載された方法では、階層型確率モデルを効率的に生成することができなかった。

そこで、本発明の目的は、大規模で複雑なシステムにおける可用性解析の性能と信頼性を向上させることが可能な階層型確率モデルを効率的に生成することである。

本発明に係る階層型確率モデル生成システムは、システムの可用性要件と前記システムの構成情報に基づいて、前記システムの稼働条件に関する互いに独立して計算できる独立事象を特定する独立事象解析部と、前記独立事象を用いて事象木を生成する事象木生成部と、前記独立事象の生起確率を計算するための状態遷移モデルを生成する状態遷移モデル生成部と、を備えたものである。

本発明に係る階層型確率モデル生成システムは、システムの可用性要件から前記システムの稼働条件を解析して仮事象木を生成する稼働条件解析部と、システムの構成情報に基づいて、前記システムの構成要素の振る舞いを表現する仮状態遷移モデルを生成する仮状態遷移モデル生成部と、前記仮事象木と前記仮状態遷移モデルに基づいて独立基本事象を決定する独立事象決定部と、前記独立基本事象を用いて事象木を生成する事象木生成部と、各々の前記独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、前記仮状態遷移モデルを更新する独立基本事象状態定義部と、を備えたものである。

本発明に係る階層型確率モデル生成方法は、システムの可用性要件と前記システムの構成情報に基づいて、前記システムの稼働条件に関する互いに独立して計算できる独立事象を特定する工程と、前記独立事象を用いて事象木を生成する工程と、前記独立事象の生起確率を計算するための状態遷移モデルを生成する工程と、を備えたものである。

本発明に係る階層型確率モデル生成方法は、システムの可用性要件から前記システムの稼働条件を解析して仮事象木を生成する工程と、システムの構成情報に基づいて、前記システムの構成要素の振る舞いを表現する仮状態遷移モデルを生成する工程と、前記仮事象木と前記仮状態遷移モデルに基づいて独立基本事象を決定する独立事象決定部と、前記独立基本事象を用いて事象木を生成する工程と、各々の前記独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、前記仮状態遷移モデルを更新する工程と、を備えたものである。

本発明に係るプログラムは、コンピュータをシステムの可用性要件と前記システムの構成情報に基づいて、前記システムの稼働条件に関する互いに独立して計算できる独立事象を特定する独立事象解析部と、前記独立事象を用いて事象木を生成する事象木生成部と、前記独立事象の生起確率を計算するための状態遷移モデルを生成する状態遷移モデル生成部と、して機能させるためのものである。

本発明に係るプログラムは、コンピュータをシステムの可用性要件から前記システムの稼働条件を解析して仮事象木を生成する稼働条件解析部と、システムの構成情報に基づいて、前記システムの構成要素の振る舞いを表現する仮状態遷移モデルを生成する仮状態遷移モデル生成部と、前記仮事象木と前記仮状態遷移モデルに基づいて独立基本事象を決定する独立事象決定部と、前記独立基本事象を用いて事象木を生成する事象木生成部と、各々の前記独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、前記仮状態遷移モデルを更新する独立基本事象状態定義部と、して機能させるためのものである。

本発明によれば、大規模で複雑なシステムにおける可用性解析の性能と信頼性を向上させることが可能な階層型確率モデルを効率的に生成することができる。

本発明の実施の形態１による、階層型確率モデル生成システムの構成を示すブロック図。 本発明の実施の形態１による、独立事象解析部の構成を示すブロック図。 本発明の実施の形態１による、可用性要件に基づく仮事象木の生成の動作の流れ図。 本発明の実施の形態１による、システム構成情報に基づく状態遷移モデルの生成の動作の流れ図。 本発明の実施の形態１による、基本事象とシステム構成要素独立集合の対応関係を特定する動作の流れ図。 本発明の実施の形態１による、独立基本事象を特定する動作の流れ図。 本発明の実施の形態１による、事象木を生成する動作の流れ図。 本発明の実施の形態１による、独立基本事象に対応した状態遷移モデルを生成する動作の流れ図。 本発明の実施の形態１による、階層型確率モデルを解析する動作の流れ図。 本発明の実施の形態２による、階層型確率モデル生成システムの構成を示すブロック図。 本発明の実施の形態２による、システム構成要素から状態遷移モデルを生成する動作の流れ図。 本発明の実施の形態２による、基本事象と状態遷移モデルの独立成分の対応関係を特定する動作の流れ図。 本発明の実施の形態２による、基本事象に対応する状態遷移モデルの状態を定義する動作の流れ図。 本発明の実施例による、可用性要件を示す表。 本発明の実施例による、システム構成情報を示す図。 本発明の実施例による、仮事象木を示す図。 本発明の実施例による、システム構成要素独立集合を示す図。 本発明の実施例による、基本事象とシステム構成要素独立集合の対応関係を表す図。 本発明の実施例による、Ａｗｐ２とＡａｐ１を含む極小な中間事象を表す図。 本発明の実施例による、独立基本事象と独立基本事象構成要素集合の対応関係を示す図。 本発明の実施例による、事象木を示す図。 本発明の実施例による、負荷分散装置の状態遷移を表す連続時間マルコフ連鎖の例を示す図。

実施の形態１．
次に、本発明を実施するための形態について、図面を参照して詳細に説明する。

［構成の説明］
図１は、本発明の実施の形態１による、階層型確率モデル生成システムの構成を示すブロック図である。図に示すように、階層型確率モデル生成システムは、独立事象解析部１００、可用性要件格納部１０１、システム構成情報格納部１０２、事象木生成部１１０、事象木格納部１１１、状態遷移モデル生成部１１２、状態遷移モデル格納部１１３を備えている。

階層型確率モデル生成システムは、ＣＰＵ、ＲＯＭやＲＡＭ等のメモリ、各種の情報を格納する外部記憶装置、入力インタフェース、出力インタフェース、通信インタフェース及びこれらを結ぶバスを備える専用又は汎用のコンピュータを適用することができる。なお、階層型確率モデル生成システムは、単一のコンピュータにより構成されるものであっても、通信回線を介して互いに接続された複数のコンピュータにより構成されるものであってもよい。

独立事象解析部１００、事象木生成部１１０、状態遷移モデル生成部１１２は、ＣＰＵがＲＯＭ等に格納された所定のプログラムを実行することにより実現される機能のモジュールに相当する。可用性要件格納部１０１、システム構成情報格納部１０２、事象木格納部１１１、状態遷移モデル格納部１１３は、外部記憶装置により実装される。

各構成要素の動作の概略について説明する。まず、入力データとなる可用性要件とシステム構成情報は、可用性要件格納部１０１、システム構成情報格納部１０２にそれぞれ格納される。独立事象解析部１００はこれらの入力データを参照し、事象木の入力となる互いに独立した（statistically independent）基本事象を決定する。

事象木生成部１１０は、独立基本事象のみで構成される事象木を生成し、事象木格納部１１１に格納する。状態遷移モデル生成部１１２は各独立基本事象の生起確率を求めるための状態遷移モデルを生成し、状態遷移モデル格納部１１３に格納する。最終的に出力される、事象木と状態遷移モデルがシステムの可用性を解析するための階層型確率モデルとなる。

図２は独立事象解析部１００の詳細な構成を示すブロック図である。独立事象解析部１００は、稼働条件解析部１０３、仮事象木格納部１０４、依存関係解析部１０５、システム構成要素独立集合格納部１０６、独立事象決定部１０７、独立基本事象格納部１０８、独立事象構成要素集合格納部１０９を備えている。

独立事象解析部１００の各構成要素の動作の概略について説明する。稼働条件解析部１０３は可用性要件とシステム構成情報を参照し、仮事象木を作成し、仮事象木格納部１０４に格納する。依存関係解析部１０５はシステム構成情報を参照してシステム構成要素の独立集合を抽出し、システム構成要素独立集合格納部１０６に格納する。独立事象決定部１０７は仮事象木とシステム構成要素独立集合に基づいて、独立基本事象を特定して独立基本事象格納部１０８に格納すると共に、独立基本事象に対応したシステム構成要素の集合を独立事象構成要素集合格納部１０９に格納する。

事象木生成部１１０は、独立基本事象格納部１０８を参照して仮事象木を更新し、事象木格納部１１１に格納する。一方、状態遷移モデル生成部１１２は独立基本事象格納部１０８と独立事象構成要素集合格納部１０９とを参照して状態遷移モデルを生成して状態遷移モデル格納部１１３に格納する。

［動作の説明］
次に、図３〜図６に示す流れ図を参照して、本実施の形態の動作について説明する。
図３は、可用性要件に基づく仮事象木の生成の動作を示す流れ図である。
まず、稼働条件解析部１０３は、入力された可用性要件１０１を参照し、対象とするシステムが稼働するために必要な条件を抽出する（ステップ１００１）。

次に、稼働条件解析部１０３は、システム構成情報１０２を参照し、必要条件を満たすための構成を特定する（ステップ１００２）。

可用性要件１０１は、システムを稼働させるために何がいくつ必要かという情報を与える。一方、システム構成情報１０２は、システムの機能がどのようなコンポーネント（プロセス、サーバ、仮想サーバ、ストレージなど）で構成され、コンポーネント間にどのような依存関係（ホスト関係、スタンバイ関係、障害波及関係など）があるかという情報を与える。例えば、機能Ａと機能Ｂから構成されるシステムを考える。可用性要件は、例えば「各機能は少なくとも一つ以上のプロセスで実行されている必要がある」という条件として与えられる。一方、システム構成情報からは「機能Ａを実行するプロセスａ１、ａ２と機能Ｂを実行するプロセスｂ１、ｂ２がある」という情報が与えられる。

稼働条件解析部１０３は、これらの情報から、可用性要件を満たすための基本事象を特定する（ステップ１００３）。この例では、「ａ１が稼働」、「ａ２が稼働」、「ｂ１が稼働」、「ｂ２が稼働」という４つの基本事象を特定できる。

稼働条件解析部１０３は、得られた基本事象と可用性要件との関係に基づき、仮事象木を生成する（ステップ１００４）。この例で得られる仮事象木は以下の論理式と等価である。

システム稼働＝（［ａ１が稼働］ＯＲ［ａ２が稼働］）ＡＮＤ（［ｂ１が稼働］ＯＲ［ｂ２が稼働］）

すなわち、機能Ａ、機能Ｂの何れかで二つのプロセスが同時に停止しない限り、システムは稼働状態にあることが表現される。生成された仮事象木は仮事象木格納部１０４へ格納する（ステップ１００４）。仮事象木は可用性要件を表しているが、事象木の入力となる基本事象は必ずしも独立事象であるとは限らない。そこで、次にシステムの依存関係を解析する。

図４は、システム構成情報に基づく状態遷移モデルの生成の動作を示す流れ図である。依存関係解析部１０５は、システム構成情報格納部１０２を参照し（ステップ２００１）、構成要素間の依存関係を表す記述に基づいて依存関係グラフを作成する（ステップ２００２）。ここで作成される依存関係グラフは、システムの構成要素をノードとし、構成要素間の依存関係をエッジとしたグラフ構造である。

次に、この依存関係グラフを連結成分に分割する（ステップ２００３）。連結成分の導出にはグラフ理論で一般的に知られているアルゴリズムが用いられる。連結成分同士の間に依存関係はないため、各連結成分からシステム構成要素の独立集合を求めることができる（ステップ２００４）。得られた独立集合Ｓｉ（１≦ｉ≦ｎ）は、システム構成要素独立集合格納部１０６に格納する。

図５および図６を用いて、仮事象木とシステム構成要素独立集合から独立基本事象を決定する動作について説明する。
まず、独立事象決定部１０７は、仮事象木格納部１０４を参照し、仮事象木を構成する基本事象の集合ｅ＿ｊ（１≦ｊ≦ｍ）を取得する（ステップ３００１）。

次に、独立事象決定部１０７は、各基本事象ｅ＿ｊに対し、ｅ＿ｊに関連するシステム構成要素を特定し、その構成要素を含む独立集合Ｓｉを特定する（ステップ３００３、３００４）。先の例では、プロセスａ１を含む独立集合Ｓｉを特定する処理に相当する。これにより、基本事象ｅ＿ｊと独立集合Ｓｉの対応関係が得られる（ステップ３００５）。これは、すなわち、基本事象ｅ＿ｊが独立集合Ｓｉに含まれるシステム構成要素の状態変化によって発生することを表している。

次に、図６の流れ図に示すように、独立基本事象を決定すると共に、独立基本事象に対応するシステム構成要素の集合である独立事象構成要素集合を決定する。
複数の基本事象ｅ＿ｊが共通の独立集合Ｓｉに対応する場合、これらの基本事象は独立ではない。

独立事象決定部１０７は、Ｓｉに対応する基本事象の集合Ｅｉを抽出し（ステップ３００９）、｜Ｅｉ｜＞１、すなわち、Ｓｉに対応する基本事象が２つ以上あるか否かを判定する（ステップ３０１０）。｜Ｅｉ｜＞１の場合は、これらの事象の依存関係を考慮する必要がある。

｜Ｅｉ｜＝１の場合（ステップ３０１０；ＮＯ）は、ｅ＿ｊとＳｉの間に一対一の関係があるため、ｅ＿ｊを独立基本事象格納部１０８に記録し、Ｓｉを独立事象構成要素集合格納部１０９に格納する（ステップ３０１１、３０１２）。

｜Ｅｉ｜＞１の場合（ステップ３０１０；ＹＥＳ）は、仮事象木ＴにおいてＥｉに属す全ての基本事象の影響を受ける極小の中間事象ｆ＿ｉを見つける（ステップ３０１３）。ここで、極小な中間事象とは、仮事象木ＴにおいてＥｉの基本事象の影響を受ける全ての中間ノードの中で、高さが最小（根ノードからの距離が最大）のノードに対応し、そのノードにおいてＥｉの基本事象に関連する項のみを取りだして作られる事象のことを示す。

例えば、仮事象木Ｔ＝ｅ＿１ ＡＮＤ （ｅ＿２ ＯＲ ｅ＿３ ＯＲ（ｅ＿４ ＡＮＤ ｅ＿５））に対し、Ｅｉ＝｛ｅ＿２，ｅ＿４｝である場合を考える。Ｅｉに影響を受けるノードはＴの根ノード、および、中間ノードＴ１＝（ｅ＿２ ＯＲ ｅ＿３ ＯＲ （ｅ＿４ ＡＮＤ ｅ＿５））の二つがあるが、高さが最小のものは中間ノードＴ１である。Ｔ１においてＥｉの基本事象に影響を受ける項はｅ＿２および（ｅ＿４ ＡＮＤ ｅ＿５）であるから、極小の中間事象ｆ＿ｉは、ｆ＿ｉ＝ｅ＿２ ＯＲ （ｅ＿４ ＡＮＤ ｅ＿５）となる。

このようにして抽出された中間事象ｆ＿ｉは、Ｅｉに属する全ての基本事象の影響を集約する事象として扱える。ところが、ｆ＿ｉにＥｉ以外の基本事象の影響が含まれる場合はそれらの事象も合わせて考慮しなければならない。

そこで、次にｆ＿ｉをルートとする仮事象木の部分木Ｔｉを特定し、ＴｉにＥｉ以外の基本事象が含まれるか否かを調べる（ステップ３０１４、３０１５）。ＴｉがＥｉの基本事象のみで構成されている場合は（ステップ３０１５；ＮＯ）、ｆ＿ｉをＳｉに対応する独立基本事象とし、独立基本事象格納部１０８に格納する（ステップ３０１９）。

一方、Ｅｉ以外の基本事象ｅ＿ｉあるいは他の独立基本事象ｆ＿ｉが存在した場合は（ステップ３０１５；ＹＥＳ）、それらの事象に対応する独立集合Ｓｉ’を全てＳｉにグループ化する（ステップ３０１６、３０１７）。さらに、再グループ化したＳｉに対し基本事象集合Ｅｉを抽出し直し、新たな中間事象ｆ＿ｉを探す（ステップ３０１８）。生成されるｆ＿ｉに対応する部分木ＴｉがＥｉの要素のみで構成されるようになるまで、この手続きを繰り返す。

少なくとも根ノードは全ての基本事象を含むため、最悪でも根ノードが選択されることによってｆ＿ｉが決定する。この手続きで再グループ化されたＳｉはｆ＿ｉに対応する独立事象構成要素集合として独立基本事象格納部１０８に格納される（ステップ３０１２）。残っているＳｉについて手続きを繰り返すことにより、全ての独立基本事象ｆ＿ｉとそれに対応する独立事象構成要素集合を特定することができる。

図７は、仮事象木と独立基本事象から事象木を生成する動作を示す流れ図である。事象木生成部１１０は、独立基本事象格納部１０８と仮事象木格納部１０４を参照し（ステップ４００１、４００２）、独立基本事象を葉ノードとする事象木に変換し（ステップ４００３）、事象木格納部１１１に格納する（ステップ４００４）。独立基本事象は仮事象木における中間ノードに対応するため、得られる事象木は仮事象木の部分木となる。

図８は、独立基本事象と独立事象構成要素集合から各独立事象構成要素集合に対応した状態空間モデルを生成する動作を示す流れ図である。
状態遷移モデル生成部１１２は、独立事象構成要素集合格納部１０９に格納された各独立事象構成要素集合Ｓｉから状態遷移モデルを作成する（ステップ５００１〜５００３）。システム構成要素の依存関係に基づいて状態遷移モデルを作成する手段としては非特許文献２に示す手法を用いることができる。この手法では、各構成要素の種類ごとに事前に定義された状態空間モデルのコンポーネントと、依存関係の情報に基づいてコンポーネントを組み合わせるルールとを用いて状態空間モデルを作成する。

次に、独立基本事象格納部１０８からＳｉに対応する独立基本事象ｆ＿ｉを取得する（ステップ５００４）。ｆ＿ｉはＳｉから生成された状態空間モデルの状態に関連づけられるため、ｆ＿ｉに対応する状態を特定する（ステップ５００５）。この状態の確率を計算することにより、ｆ＿ｉの生起確率を求めることができる。

以上の動作を経て得られた、事象木１１１および状態遷移モデル１１３によって、対象とするシステムの可用性を解析するための階層型確率モデルが得られる。
次に、図９を用いて階層型確率モデルによる解析の例について説明する。ここでは、階層型確率モデルの解析として、非特許文献１に示す方式等を用いる。

階層型確率モデルでは、初めに事象木の独立基本事象の生起確率を求める必要がある。この生起確率は、独立基本事象に対応した状態遷移モデルを解析することで求めることができる。まず、状態遷移モデル格納部１１３に格納された状態遷移モデルＭｉを参照する（ステップ６００１）。

次に、Ｍｉを定常状態解析することにより、基本独立事象ｆ＿ｉの生起確率を計算する（ステップ６００３）。状態遷移モデル（例えばＣＴＭＣ）の定常状態解析には、数値解析法や離散時間シミュレーションなどが用いられ、定常状態における各状態の確率を求めることができ、この定常状態確率から事象の生起確率を計算できる。求めた生起確率は事象木１０４の入力にセットし（ステップ６００４）、全ての入力値が求まった後に事象木の解析によりトップ事象の生起確率を計算する（ステップ６００７）。事象木の解析は故障木における確率の計算と同様であり、基本事象間の論理演算に基づいて確率を計算する。

以上のように、本実施の形態によれば、可用性要件とシステム構成情報に基づいて互いに独立して計算できる独立基本事象を特定し、独立基本事象のみを入力とした事象木と、独立基本事象の生起確率を求めるための状態遷移モデルを生成するようにしたので、可用性解析のための階層型確率モデルを自動的に生成することができる。

実施の形態２．
図１０は、本発明の実施の形態２による、階層型確率モデル生成システムの構成を示すブロック図である。図１および図２と同一の符号は、対応する構成要素を表している。
図１０に示すように、実施の形態２は、可用性要件格納部１０１、システム構成情報格納部１０２、稼働条件解析部１０３、仮事象木格納部１０４、独立事象決定部１０７、独立基本事象格納部１０８、事象木生成部１１０、事象木格納部１１１、状態遷移モデル格納部１１３、仮状態遷移モデル生成部１１４、仮状態遷移モデル格納部１１５、独立基本事象状態定義部１１６を備えている。

各構成要素の動作の概略について説明する。まず、入力となる可用性要件とシステム構成情報は、可用性要件格納部１０１、システム構成情報格納部１０２にそれぞれ格納される。稼働条件解析部１０３は、可用性要件とシステム構成情報を参照し、仮事象木１０４を作成する。

仮状態遷移モデル生成部１１４は、システム構成情報を参照してシステム構成要素の振る舞いを表現する状態遷移モデルを生成し、仮状態遷移モデル格納部１１５に格納する。独立事象決定部１０７は、仮事象木１０４と仮状態遷移モデル１１５に基づいて独立基本事象を特定して独立基本事象格納部１０８に格納する。

事象木生成部１１０は、独立基本事象格納部１０８を参照して仮事象木を更新し、事象木格納部１１１に格納する。一方、独立基本事象状態定義部１１６は、各独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、状態遷移モデルを更新して状態遷移モデル格納部１１３に格納する。最終的に出力される事象木１１１と状態遷移モデル１１３がシステムの可用性を解析するための階層型確率モデルとなる。

次に、図３、および図１１〜図１３に示す流れ図を参照して、本実施の形態の動作について説明する。
図３は、稼働条件解析部１０３による仮事象木の生成の動作を示す流れ図であり、動作は実施の形態１と同様である。

図１１は、システム構成情報から仮状態遷移モデルを生成する動作を示す流れ図である。仮状態遷移モデル生成部１１４は、システム構成情報１０２を参照し（ステップ７００１）、システムの構成要素と構成要素間の依存関係を特定する。

次に、仮状態遷移モデル生成部１１４は、各システム構成要素を予め決められた規則に従い状態遷移モデルに変換する（ステップ７００２）。

次に、仮状態遷移モデル生成部１１４は、各システム依存関係情報に対し、依存関係を状態遷移モデルで表現するための修正を加える（ステップ７００３）。

生成された状態遷移モデルは仮状態遷移モデル格納部１１５に格納する（ステップ７００４）。状態遷移モデルの生成は非特許文献２に示される手法など、公知の手法を用いる。

図１２は、仮事象木の基本事象と仮状態遷移モデルの独立成分を対応づける動作を示す流れ図である。独立事象決定部１０７は、仮事象木１０４を参照し、仮事象木を構成する基本事象の集合ｅ＿ｊ（１≦ｊ≦ｍ）を取得する（ステップ８００１）。

次に、独立事象決定部１０７は、各基本事象ｅ＿ｊに対し、ｅ＿ｊに関連する状態遷移モデル内の独立成分Ｍｉを特定する（ステップ８００３）。ここで、状態遷移モデルの部分集合Ｍｉが独立成分であるとは、Ｍｉの中の全ての状態遷移がＭｉ以外の状態遷移に影響を与えることはなく、かつ、Ｍｉ以外の状態遷移によってＭｉの状態遷移が影響を受けないことを表す。これにより、基本事象ｅ＿ｊと独立成分Ｍｉの対応関係を得る（ステップ８００４）。

次に、独立事象決定部１０７は、ｅ＿ｊとＭｉの対応関係から独立基本事象を特定する。図６に示す流れ図において、システム構成要素独立集合Ｓｉを状態遷移モデルの独立成分Ｍｉに置き換えることにより、同様な手続きによって独立基本事象を特定することができる。特定した独立基本事象に基づいて事象木を生成する動作は、実施の形態１の図７の動作と同様である。

図１３は、特定した独立基本事象に対応する状態遷移モデル上の状態を特定する動作を示す流れ図である。
独立基本事象状態定義部１１６は、各独立基本事象ｆ＿ｉに対し、ｆ＿ｉに対応する状態遷移モデルの成分Ｇｉを特定する（ステップ９００１〜９００３）。Ｇｉは独立基本事象を特定する際に得られるもので、図６の流れ図において独立事象構成要素集合に該当するものである。また、Ｇｉには複数の独立成分Ｍｉを含む場合もある。

次に、独立基本事象状態定義部１１６は、特定したＧｉにおいて、ｆ＿ｉに対応する状態を特定する（ステップ９００４）。例えば、ｆ＿１が（［ａ１が稼働］ＯＲ［ａ２が稼働］）という事象を表している場合、Ｇｉにおいてａ１とａ２の少なくともどちらか一方が稼働している状態を見つける。状態遷移モデルにおいてこの状態にある確率が、ｆ＿ｉの生起確率となる。

独立基本事象状態定義部１１６は、ｆ＿ｉに対応する状態を定義して状態遷移モデルを更新し、状態遷移モデル格納部１１３に格納する（ステップ９００５）。

以上のように、本実施形態によれば、仮の状態遷移モデルを先に生成し、仮事象木との対応関係から基本独立事象を特定し、基本独立事象の生起確率を計算するための状態を最後に特定するように構成した。これにより、仮の状態遷移モデルを人手によって修正した場合にも独立事象決定部で基本独立事象の特定が行え、対応した階層型確率モデルを生成することができる。したがって、状態モデルの完全自動生成が難しい場合に、利用者が状態モデルを適宜修正してモデル化をするような場合にも適用できる。

本発明の実施例として、３階層Ｗｅｂアプリケーションシステムの可用性評価の例を示す。
図１４および図１５は、可用性評価のための入力となる３階層Ｗｅｂアプリケーションシステムに対する可用性要件、およびシステム構成情報の例である。

システムは負荷分散機能（ＬＢ）、Ｗｅｂ機能（Ｗｅｂ）、アプリケーション機能（ＡＰ）、データベース機能（ＤＢ）の四つの機能で構成される。図１４の可用性要件は、システムを稼働させるためには各機能に対して少なくとも一つずつプロセスが必要であることを示している（表の２列目を参照）。

一方、図１５のシステム構成情報には、システムを構成するプロセスとハードウェア、およびそれらの依存関係が示されている。例えば、負荷分散機能（ＬＢ）とＬＢプロセスは「実現」という関係を持っている。これは、負荷分散機能がＬＢプロセスによって実現されていることを示している。また、ＬＢプロセスとＬＢ装置との間には「ホスト」という関係がある。これは、ＬＢプロセスがＬＢ装置上でホストされて稼働していることを表している。

これらの依存関係の情報は、何れも可用性に影響のある関係であり、可用性評価において考慮する必要がある。例えば、ＬＢプロセスはＬＢ装置上で稼働しているため、ＬＢ装置が故障すればＬＢプロセスも停止する。ＬＢプロセスが停止すると負荷分散機能を実現するプロセスがなくなるため、負荷分散機能が利用不能になる。Ｗｅｂ機能、アプリケーション機能、データベース機能についても同様である。

また、図１５のシステム構成では、Ｗｅｂプロセス２とＡＰプロセス１がともにＷｅｂＡＰサーバ（ｗａｓ）と「ホスト」の関係を持つことが示されている。すなわち、Ｗｅｂプロセス２とＡＰプロセス１は一つのＷｅｂＡＰサーバを共有して利用している。

これらの入力に対し、稼働条件解析部１０３は、図３の流れ図に示す動作にしたがって仮事象木を生成する。可用性要件に含まれる各機能に対し、機能を実現するプロセスを特定できるため、基本事象は「ｌｐが稼働」、「ｗｐ１が稼働」、「ｗｐ２が稼働」、「ａｐ１が稼働」、「ａｐ２が稼働」、「ｄｐが稼働」の６つとなる。プロセスｘが稼働という事象をＡｘと表記すれば、システムが稼働状態にある事象Ａｓｙｓは可用性要件から以下のように表現できる。

Ａｓｙｓ＝Ａｌｐ ＡＮＤ （Ａｗｐ１ ＯＲ Ａｗｐ２） ＡＮＤ （Ａａｐ１ ＯＲ Ａａｐ２） ＡＮＤ Ａｄｐ

Ｗｅｂ機能やＡＰ機能は冗長化された二つのプロセスのうちどちらかが稼働していれば機能するため、ＯＲの関係を持つ。図１６は、Ａｓｙｓに対応する事象木を表している。例えば、ＬＢプロセスが停止した場合は、Ａｌｐがｆａｌｓｅ（＝０）となり、直ちにＡｓｙｓもｆａｌｓｅ（＝０）となる。また、Ｗｅｂプロセス１が停止した場合はＡｗｐ１がｆａｌｓｅとなるが、Ａｗｐ２がｔｒｕｅ（＝１）である限りＡｓｙｓはｆａｌｓｅとはならない。

依存関係解析部１０５は、図４の流れ図の動作にしたがって、システム構成情報からシステム構成要素の依存関係グラフを生成する。図１５に示されるシステム構成要素中のプロセスを表すブロックと、装置やサーバを表すブロックをそれぞれノードとし、ブロックの依存関係をエッジとして抽象化することにより依存関係グラフが得られる。

図１７に生成された依存関係のグラフを示す。図１７中点線で示す領域は、グラフの連結成分を表している。連結成分間をまたがる辺はない。各連結成分から、５つのシステム構成要素の独立集合Ｓ１＝｛ｌｐ，ｌｄ｝，Ｓ２＝｛ｗｐ１，ｗｓ｝，Ｓ３＝｛ｗｐ２，ａｐ１，ｗａｓ｝，Ｓ４＝｛ａｐ２，ａｓ｝，Ｓ５＝｛ｄｐ，ｄｓ｝が得られる。

次に、独立事象決定部１０７は、仮事象木とシステム構成要素独立集合を入力として事象木を構成するための独立基本事象を決定する。独立事象決定部１０７は、まず図５の流れ図の動作にしたがって仮事象木の基本事象に対応するシステム構成要素独立集合を特定する。この結果、図１８に示す対応関係が得られる。例えば、ＬＢプロセスが稼働しているという基本事象Ａｌｐは、独立集合Ｓ１に対応している。また、Ｗｅｂプロセス２が稼働しているという基本事象Ａｗｐ２、および、ＡＰプロセス１が稼働しているという基本事象Ａａｐ１は共に独立集合Ｓ３に対応している。

ここで得られた対応関係の情報に基づき、図６の流れ図にしたがって各Ｓｉに対する独立基本事象を生成する。Ｓｉに対応する基本事象が１つの場合は、その事象を独立基本事象ｆ＿ｉとして格納する（図６のステップ３０１０、３０１１）。ここで、Ｓ１に対応する基本事象はＡｌｐのみであるため、Ａｌｐは基本独立事象ｆ＿１として格納される。Ｓ２，Ｓ４，Ｓ５についても同様である。

一方、Ｓｉに対応する基本事象が２つ以上の場合は、それらを含む仮事象木中の中間事象ｆ＿ｉを求める必要がある（図６のステップ３０１３）。

図１８で示されるように、Ｓ３は二つの基本事象Ａｗｐ２とＡａｐ１に対応づけられているため、これらの事象を含む極小な中間事象を探すと、ｆ＿３＝（Ａｗｐ１ ＯＲ Ａｗｐ２） ＡＮＤ （Ａａｐ１ ＯＲ Ａａｐ２）が得られる。

ｆ＿３はトップ事象Ａｓｙｓに対応する事象の一部であるが、ＡｌｐとＡｄｐの項は基本事象Ａｗｐ２とＡａｐ１と関連しないため除外される。ｆ＿３を根ノードとする仮事象木の部分木Ｔ３を図１９に示す。この木に含まれる全ての基本事象を参照すると、Ａｗｐ２とＡａｐ１以外にＡｗｐ１とＡａｐ２が含まれることがわかる。したがって、これらの基本事象に関連する全ての独立集合をＳ３にグループ化する必要がある（ステップ３０１５〜３０１７）。

Ａｗｐ１はＳ２と関連し、Ａａｐ２はＳ４と関連するため、Ｓ２とＳ４がＳ３にグループ化される。この結果Ｓ３＝｛ｗｐ１，ｗｓ，ｗｐ２，ａｐ１，ｗａｓ，ａｐ２，ａｓ｝となる。再グループ化されたＳ３に対し、対応する全ての基本事象を抽出しＥ３を更新する（ステップ３０１８）。

この時生成されるＥ３の要素は｛Ａｗｐ１，Ａｗｐ２，Ａａｐ１，Ａａｐ２｝である。Ｅ３に対して極小な中間事象を調べると、結果は先に得られた結果ｆ＿３と同じになる。ｆ＿３はＥ３以外の事象を含まないため、ｆ＿３が最終的にＳ３に対応する独立基本事象として格納される。以上の手続きにより、最終的に図２０に示す基本独立事象と基本独立事象構成要素集合の対応関係が得られる。ただし、ｆ＿１＝Ａｌｐ、ｆ＿３＝（Ａｗｐ１ ＯＲ Ａｗｐ２） ＡＮＤ （Ａａｐ１ ＯＲ Ａａｐ２）、ｆ＿５＝Ａｄｐである。

得られた基本独立事象ｆ＿１、ｆ＿３、ｆ＿５を用いて、仮事象木は図２１に示す事象木に更新される。最後に、図８の流れ図に示す動作にしたがって各Ｓｉに対応する状態遷移モデルを生成する。例えば、Ｓ１に対する状態遷移モデルの生成例を示す。ｌｐとｌｄが取り得る状態をそれぞれ１（稼働）、０（停止）で表す。ｌｐとｌｄの状態の対ｍは、（１，１）、（０，１）、（０，０）を値として取り得る。

ここで、（１，０）は、ＬＢプロセスが稼働しており、かつＬＢ装置が停止している状態を表すため、存在しないことに注意する。ｍに関する状態遷移は、図２２のように表現できる。「ｌｐ故障」や「ｌｐ復旧」などの状態遷移に対して平均遷移時間が与えられれば、この状態遷移モデルは連続時間マルコフ連鎖（ＣＴＭＣ）となる。

ＣＴＭＣはロードバランサ装置に限らず、装置とプロセスで構成されるサブシステムにおいて共通して適用できるモデルなので、あらかじめサブシステムの構成に対応したＣＴＭＣをテンプレートとして保存しておくことで、状態遷移モデルを自動的に生成できる。

ＬＢに対応する独立基本事象はｆ＿１＝Ａｌｐであるから、ｆ＿１は図１８のＣＴＭＣにおいて（１，１）の状態に対応することがわかる（ｌｐが稼働している状態）。ｆ＿１の生起確率は、ＣＴＭＣにおいて（１，１）の状態にある確率であり、これはＣＴＭＣの定常状態解析によって求めることができる。

なお、ここでは状態遷移モデルの生成方法としてＣＴＭＣの生成方法を示したが、より複雑な状態遷移を持つ要素に対しては非特許文献２等に示されるペトリネットなどのモデル生成方法が利用できる。

Ｓ１、Ｓ３、Ｓ５に対してそれぞれ状態遷移モデルを生成し、状態遷移モデル格納部１１３に格納する。以上で得られた事象木と状態遷移モデルにより、階層型確率モデルが得られる。

この出願は、２０１２年５月１０日に出願された日本出願特願２０１２−１０８６４５を基礎とする優先権を主張し、その開示の全てをここに取り込む。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

上記の実施の形態の一部または全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）システムの可用性要件と前記システムの構成情報に基づいて、前記システムの稼働条件に関する互いに独立して計算できる独立事象を特定する独立事象解析部と、
前記独立事象を用いて事象木を生成する事象木生成部と、
前記独立事象の生起確率を計算するための状態遷移モデルを生成する状態遷移モデル生成部と、を備えた階層型確率モデル生成システム。

（付記２）前記独立事象解析部は、
前記可用性要件から前記システムの稼働条件を解析して仮事象木を生成する稼働条件解析部と、
前記システムの構成情報から前記システム構成要素間の依存関係を解析して、システム構成要素独立集合を抽出する依存関係解析部と、
前記仮事象木と前記システム構成要素独立集合に基づいて、独立基本事象を決定する独立事象決定部と、を備え、
前記事象木生成部は、前記独立基本事象を用いて事象木を生成し、
前記状態遷移モデル生成部は、前記独立基本事象の生起確率を計算するための状態遷移モデルを生成する、付記１に記載の階層型確率モデル生成システム。

（付記３）システムの可用性要件から前記システムの稼働条件を解析して仮事象木を生成する稼働条件解析部と、
システムの構成情報に基づいて、前記システムの構成要素の振る舞いを表現する仮状態遷移モデルを生成する仮状態遷移モデル生成部と、
前記仮事象木と前記仮状態遷移モデルに基づいて独立基本事象を決定する独立事象決定部と、
前記独立基本事象を用いて事象木を生成する事象木生成部と、
各々の前記独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、前記仮状態遷移モデルを更新する独立基本事象状態定義部と、を備えた階層型確率モデル生成システム。

（付記４）システムの可用性要件と前記システムの構成情報に基づいて、前記システムの稼働条件に関する互いに独立して計算できる独立事象を特定する工程と、
前記独立事象を用いて事象木を生成する工程と、
前記独立事象の生起確率を計算するための状態遷移モデルを生成する工程と、を備えた階層型確率モデル生成方法。

（付記５）システムの可用性要件から前記システムの稼働条件を解析して仮事象木を生成する工程と、
システムの構成情報に基づいて、前記システムの構成要素の振る舞いを表現する仮状態遷移モデルを生成する工程と、
前記仮事象木と前記仮状態遷移モデルに基づいて独立基本事象を決定する独立事象決定部と、
前記独立基本事象を用いて事象木を生成する工程と、
各々の前記独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、前記仮状態遷移モデルを更新する工程と、を備えた階層型確率モデル生成方法。

（付記６）コンピュータを
システムの可用性要件と前記システムの構成情報に基づいて、前記システムの稼働条件に関する互いに独立して計算できる独立事象を特定する独立事象解析部と、
前記独立事象を用いて事象木を生成する事象木生成部と、
前記独立事象の生起確率を計算するための状態遷移モデルを生成する状態遷移モデル生成部と、して機能させるためのプログラム。

（付記７）コンピュータを
システムの可用性要件から前記システムの稼働条件を解析して仮事象木を生成する稼働条件解析部と、
システムの構成情報に基づいて、前記システムの構成要素の振る舞いを表現する仮状態遷移モデルを生成する仮状態遷移モデル生成部と、
前記仮事象木と前記仮状態遷移モデルに基づいて独立基本事象を決定する独立事象決定部と、
前記独立基本事象を用いて事象木を生成する事象木生成部と、
各々の前記独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、前記仮状態遷移モデルを更新する独立基本事象状態定義部と、して機能させるためのプログラム。

本発明は、大規模で複雑なシステムにおける可用性解析の性能と信頼性を向上させることに適している。

１００ 独立事象解析部、１０１ 可用性要件格納部、１０２ システム構成情報格納部、１０３ 稼働条件解析部、１０４ 仮事象木格納部、１０５ 依存関係解析部、１０６ システム構成要素独立集合格納部、１０７ 独立事象決定部、１０８ 独立基本事象格納部、１０９ 独立事象構成要素集合格納部、１１０ 事象木生成部、１１１ 事象木格納部、１１２ 状態遷移モデル生成部、１１３ 状態遷移モデル格納部、１１４ 仮状態遷移モデル生成部、１１５ 仮状態遷移モデル格納部、１１６ 独立基本事象状態定義部

Claims (7)

1. システムの可用性要件と前記システムの構成情報に基づいて、前記システムの稼働条件に関する互いに独立して計算できる独立事象を特定する独立事象解析部と、
   前記独立事象を用いて事象木を生成する事象木生成部と、
   前記独立事象の生起確率を計算するための状態遷移モデルを生成する状態遷移モデル生成部と、を備えた階層型確率モデル生成システム。
2. 前記独立事象解析部は、
   前記可用性要件から前記システムの稼働条件を解析して仮事象木を生成する稼働条件解析部と、
   前記システムの構成情報からシステム構成要素間の依存関係を解析して、システム構成要素独立集合を抽出する依存関係解析部と、
   前記仮事象木と前記システム構成要素独立集合に基づいて、独立基本事象を決定する独立事象決定部と、を備え、
   前記事象木生成部は、前記独立基本事象を用いて事象木を生成し、
   前記状態遷移モデル生成部は、前記独立基本事象の生起確率を計算するための状態遷移モデルを生成する、請求項１に記載の階層型確率モデル生成システム。
3. システムの可用性要件から前記システムの稼働条件を解析して仮事象木を生成する稼働条件解析部と、
   システムの構成情報に基づいて、前記システムの構成要素の振る舞いを表現する仮状態遷移モデルを生成する仮状態遷移モデル生成部と、
   前記仮事象木と前記仮状態遷移モデルに基づいて独立基本事象を決定する独立事象決定部と、
   前記独立基本事象を用いて事象木を生成する事象木生成部と、
   各々の前記独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、前記仮状態遷移モデルを更新する独立基本事象状態定義部と、を備えた階層型確率モデル生成システム。
4. システムの可用性要件と前記システムの構成情報に基づいて、前記システムの稼働条件に関する互いに独立して計算できる独立事象を特定する工程と、
   前記独立事象を用いて事象木を生成する工程と、
   前記独立事象の生起確率を計算するための状態遷移モデルを生成する工程と、を備えた階層型確率モデル生成方法。
5. システムの可用性要件から前記システムの稼働条件を解析して仮事象木を生成する工程と、
   システムの構成情報に基づいて、前記システムの構成要素の振る舞いを表現する仮状態遷移モデルを生成する工程と、
   前記仮事象木と前記仮状態遷移モデルに基づいて独立基本事象を決定する工程と、
   前記独立基本事象を用いて事象木を生成する工程と、
   各々の前記独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、前記仮状態遷移モデルを更新する工程と、を備えた階層型確率モデル生成方法。
6. コンピュータを
   システムの可用性要件と前記システムの構成情報に基づいて、前記システムの稼働条件に関する互いに独立して計算できる独立事象を特定する独立事象解析部と、
   前記独立事象を用いて事象木を生成する事象木生成部と、
   前記独立事象の生起確率を計算するための状態遷移モデルを生成する状態遷移モデル生成部と、して機能させるためのプログラム。
7. コンピュータを
   システムの可用性要件から前記システムの稼働条件を解析して仮事象木を生成する稼働条件解析部と、
   システムの構成情報に基づいて、前記システムの構成要素の振る舞いを表現する仮状態遷移モデルを生成する仮状態遷移モデル生成部と、
   前記仮事象木と前記仮状態遷移モデルに基づいて独立基本事象を決定する独立事象決定部と、
   前記独立基本事象を用いて事象木を生成する事象木生成部と、
   各々の前記独立基本事象に対し、対応する状態遷移モデル上の状態を特定し、前記仮状態遷移モデルを更新する独立基本事象状態定義部と、して機能させるためのプログラム。

Images