JP6515937B2 - イベント解析装置、イベント解析システム、イベント解析方法、イベント解析プログラム、および記録媒体 - Google Patents

Description

本発明は、イベント解析装置、イベント解析システム、イベント解析方法、イベント解析プログラム、および記録媒体に関する。

様々な設備を持つプラントでは、プラント内に配置されたそれぞれの設備が稼働している状態の監視や設備の運転の制御を行うことを目的として、フィールド機器と呼ばれる複数の現場機器（測定器や操作器）が設置されている。それぞれのフィールド機器は、例えば、設備の運転を制御する制御室に設置された制御装置によって制御される。また、プラントでは、それぞれの制御装置が、例えば、プラント内に構築された専用の通信ネットワークによって相互に接続され、分散制御システム（Ｄｉｓｔｒｉｂｕｔｅｄ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ：ＤＣＳ）などの制御システムが構築されている。

一般的な分散制御システムでは、設備のアラームや設備に対する操作などのイベントの情報を、イベントデータとして収集し、収集したそれぞれのイベントデータの履歴（ログ）をイベントデータログに記録することが行われている。設備のアラームのイベントとは、例えば、フィールド機器が測定したデータに基づいて発した警報などであり、これに対するイベントデータとは、発した警報などに関する情報である。また、設備に対する操作のイベントとは、例えば、プラントにおいて設備の運転の制御や保守を行う作業員などのオペレータが、設備の稼働状態に応じて設備に対して行った設定変更の操作などであり、これに対するイベントデータとは、オペレータが設備に対して行った操作の内容や変更した設定の内容を表す情報である。分散制御システムでは、アラームが発せされるごとや操作が行われるごと、つまり、１回のイベントごとに、発せされたアラームや行われた操作の内容を表すそれぞれのイベントデータをイベントデータログに記録している。

この分散制御システムにおいて記憶したイベントデータログは、プラントの安全な操業や操業の改善を図ることを目的として解析される。このイベントデータログの解析には、イベント解析装置が用いられる。従来のイベント解析装置では、イベントデータログに含まれるそれぞれのイベントデータの数、つまり、イベントの発生件数などに関する統計的な解析が行われていた。また、近年では、イベント解析装置において、イベントデータログに含まれる複数の異なる種類のイベントデータ同士の関係、つまり、異なるイベント間の因果関係の解析も行われている。

例えば、特許文献１には、イベント間の因果関係の解析を行うイベント解析装置の技術が提案されている。特許文献１に開示されたイベント解析装置では、例えば、設備の稼働を管理する管理者などのイベント解析装置のユーザが着目したイベントと他のイベントとの因果関係を解析することができる。例えば、特許文献１に開示されたイベント解析装置では、プラントにおいて発生したアラームとオペレータの操作とのそれぞれのイベント間の因果関係を解析することによって、関連するイベントを抽出することができる。より具体的には、特許文献１に開示されたイベント解析装置における因果関係の解析結果から、イベントとして記憶されたオペレータの操作が、発生したアラームに起因するものであることがわかった場合には、このオペレータの操作を、アラームに対応するために必要なオペレータの操作（イベント）として抽出することができる。また、特許文献１に開示されたイベント解析装置における因果関係の解析結果から、イベントとして記憶されたアラームが、オペレータの操作に起因するものであることがわかった場合には、このアラームを、オペレータの操作が行われた後に発生することが予想されるアラーム（イベント）として抽出することができる。

そして、特許文献１に開示されたイベント解析装置が適用されたプラントでは、因果関係の解析結果に基づいて、異常となっている（アラームが発せられている）原因の推定や、アラームを発する際の条件の設定、それぞれの設備に対してオペレータが手動で行っていた操作の改善などを行なうことができるようになる。例えば、特許文献１に開示されたイベント解析装置によって因果関係を解析した結果、連鎖的に起こる強い因果関係を持った複数のアラームのイベントが抽出された場合、アラームを発生したフィールド機器の連鎖を辿って異常（アラーム）の原因を推定（特定）したり、アラームを発生したそれぞれのフィールド機器におけるアラームの設定を変更してアラームのイベントが発生する回数を減らすように合理化を図ったりすることができる。また、例えば、特許文献１に開示されたイベント解析装置によって因果関係を解析した結果、あるアラームが発生したことによって必要となるオペレータの操作のイベントが抽出（特定）された場合には、抽出（特定）された操作が自動的に実行させるような施策を講じることによって、以降に同じアラームが発生した場合にオペレータが行う操作の自動化を図ることもできる。

特開２０１４−１２７０９３号公報

ところで、プラントにおいては、発生したアラームとオペレータの操作とは、必ずしも関係している（因果関係がある）とは限らない。つまり、プラントにおいてオペレータが行う操作は、必ずしもアラームが発生したことに起因するものとは限らない。プラントにおいてオペレータは、それぞれの設備で行っている様々な工程（プロセス）において、例えば、フィールド機器などが測定したそれぞれのデータの傾向（トレンド）を確認しながら、設備の運転の制御や保守の作業を行っている。このとき、オペレータは、確認したデータのトレンドから、プロセスにおけるデータの値（以下、「プロセス値」という）が不安定であるなど、正常なプロセスにおいて目標としているプロセス値の範囲から逸脱してしまいそうな場合には、アラームが発生するよりも前に対応する操作を行うこともある。つまり、オペレータは、これからアラームが発生することが予測されるプロセス値の変化（変動）の前兆を察知した場合、アラームが発生していない状態であっても、事前に対応する操作を行うこともある。

しかしながら、特許文献１に開示されたイベント解析装置では、発生したアラームのイベントとオペレータの操作のイベントとの因果関係を解析することはできるものの、上述したようなアラームと因果関係を持たないオペレータの操作までを含めて解析を行うことができない。つまり、特許文献１に開示されたイベント解析装置では、アラームのイベントと因果関係を持たないオペレータの操作のイベントについては、設備におけるどのようなプロセスの状態に対してオペレータが行った操作であるのか、ここでオペレータが行った操作によってプロセスが変更されてプロセス値にどのような影響が及んだのかなどに関しての解析を行うことができない。このため、特許文献１に開示されたイベント解析装置では、ユーザが着目したアラームのイベントとの因果関係を持っていないイベントに関連する他のイベントを抽出することができない。

また、プラントにおいては、オペレータによって操作が行われた後に、必ずしもアラームが発生するとは限らない。例えば、プラントにおいては、オペレータがそれぞれの設備に対して行った操作によってプロセスが変更され、変更されたプロセスの影響によってプロセス値に変化が現れた場合でも、アラームが発生しないこともある。これは、通常、オペレータは、設備におけるプロセスが正常に行われるように、つまり、アラームが発生しないように設備に対する操作を行うからである。また、プラントにおいては、それぞれの設備に設置されたフィールド機器ごとにアラームの設定が行われる（例えば、同じプロセスに関連するフィールド機器のアラームの設定がプロセスの順番に変更されないなど、それぞれのフィールド機器同士でアラームの設定が連携されていない）ため、オペレータが行った操作によって変更されたプロセスの影響が、後段の設備に順次伝搬していったとしても、必ずしもそれぞれの設備におけるアラームが順番に（連鎖的に）発生するとは限らない。

しかしながら、特許文献１に開示されたイベント解析装置では、連鎖的に起こる複数のアラームのイベントを抽出することによって、アラームの連鎖を辿って異常（アラーム）の原因を推定したり、アラームの合理化を図ったりすることができるものの、上述したようにアラームと因果関係を持たないオペレータの操作に影響されて現れたプロセス値の変化によるアラームに関しては、連鎖を辿れるような複数のアラームのイベントを抽出することができない。つまり、特許文献１に開示されたイベント解析装置では、アラームのイベントと因果関係を持たないオペレータの操作に影響されて現れたプロセス値の変化までを含めた解析を行うことができない。

このため、特許文献１に開示されたイベント解析装置が適用されたプラントにおいては、アラームと因果関係を持たないオペレータの操作までを含めて解析を行って、異常（アラーム）の原因を推定したり、アラームの合理化を図ったり、オペレータが手動で行っていた操作の自動化を図ったりすることができない。イベント解析装置において、アラームと因果関係を持たないオペレータの操作までを含めて解析を行うためには、発生したアラームとオペレータの操作とのイベントのみではなく、プロセスの稼働状態の変化、つまり、プロセス値の変化までを含めて、因果関係を解析することが必要になると考えられる。

なお、従来から、複数のプロセスにおける時系列的なプロセス値の間の相関などを求めることによって、それぞれのプロセス間の関連性を解析する方法が知られている。しかし、従来のプロセス間の関連性を解析する方法では、時系列的なプロセス値のみからプロセス間の関連性を解析するため、特許文献１に開示されたイベント解析装置とは逆に、発生したアラームやオペレータの操作などのイベントまでを含めた解析を行っていない。つまり、従来では、発生したアラームと、オペレータの操作と、プロセスの稼働状態の変化とを含めて因果関係を解析する技術（方法）は、開示されていない。

本発明は、上記の課題に基づいてなされたものであり、プラント内に配置されたそれぞれの設備で行っている工程のデータの変動と、設備のアラームや設備に対する操作などのイベントとを組み合わせて因果関係を解析することができるイベント解析装置、イベント解析システム、イベント解析方法、イベント解析プログラム、および記録媒体を提供することを目的としている。

上記の課題を解決するため、本発明のイベント解析装置は、プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集部と、前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集部と、収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出部と、検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換部と、収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析部と、を備える。

また、本発明のイベント解析装置は、収集した同種類の単発の前記イベントを、継続的な期間を有するイベントに集約するイベントデータ集約部、をさらに備える。

また、本発明のイベント解析装置における前記トレンド変化検出部は、収集した前記プロセスデータを解析し、前記トレンド変化の期間を検出する。

また、本発明のイベント解析装置における前記イベントデータ変換部は、検出された前記トレンド変化の期間を継続的な期間として有する前記プロセス変動イベントに変換する。

また、本発明のイベント解析装置における前記因果関係解析部は、前記イベントデータと前記プロセス変動イベントデータとを前記イベントの種類別で解析し、各種類の前記イベントの発生回数と、異なる種類の前記イベントの発生期間が重なった回数とをカウントすることにより、前記イベントの間の関連度を算出し、関連度の高い前記イベントと前記プロセス変動イベントを１つのグループにまとめる。

また、本発明のイベント解析装置における前記因果関係解析部は、前記グループにまとめた前記イベントと前記プロセス変動イベントとの情報を、時間軸を所定の基準時間幅で分割したブロックに投影し、前記ブロックごとの各種類の前記イベントの発生有無に基づいて前記イベントと前記プロセス変動イベントとの間の条件付き確率を算出することにより、前記イベントと前記プロセス変動イベントとの因果関係を解析する。

また、本発明のイベント解析装置における前記因果関係解析部は、前記ブロックごとの異なる種類の前記イベントの開始時刻の差に基づいて、前記イベントと前記プロセス変動イベントとの遅れ時間の分布をさらに算出する。

また、本発明のイベント解析装置における前記因果関係解析部は、前記ブロックごとの各種類の前記イベントの継続期間に基づいて、前記イベントと前記プロセス変動イベントとの継続期間の分布をさらに算出する。

また、本発明のイベント解析装置における前記因果関係解析部は、解析された前記因果関係、遅れ時間の分布、継続期間の分布を表す因果モデルを構築する。

また、本発明のイベント解析装置における前記因果関係解析部は、構築された前記因果モデルに基づき、収集された前記イベントが発生した原因となる前記プロセスデータの前記トレンド変化を推定する。

また、本発明のイベント解析装置における前記因果関係解析部は、構築された前記因果モデルに基づき、収集された前記イベントから将来的な前記プロセスデータの前記トレンド変化を推定する。

また、本発明のイベント解析装置における前記因果関係解析部は、構築された前記因果モデルに基づき、収集された前記イベントまたは前記プロセスデータの前記トレンド変化から前記プラントの異常を予測する。

また、本発明のイベント解析システムは、プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集部と、前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集部と、収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出部と、検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換部と、収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析部と、を具備したイベント解析装置、を備える。

また、本発明のイベント解析方法は、プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集ステップと、前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集ステップと、収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出ステップと、検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換ステップと、収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析ステップと、を含む。

また、本発明のイベント解析プログラムは、プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集処理と、前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集処理と、収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出処理と、検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換処理と、収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析処理と、をコンピュータに実行させる。

また、本発明の記録媒体は、プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集処理と、前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集処理と、収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出処理と、検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換処理と、収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析処理と、をコンピュータに実行させるためのイベント解析プログラムを記録したコンピュータ読み取り可能な記録媒体である。

本発明によれば、プラント内に配置されたそれぞれの設備で行っている工程のデータの変動と、設備のアラームや設備に対する操作などのイベントとを組み合わせて因果関係を解析することができるという効果が得られる。

本発明の実施形態におけるイベント解析装置を備えたイベント解析システムの概略構成を示したブロック図である。 本発明の実施形態のイベント解析装置におけるハードウェア構成の一例を示したブロック図である。 本発明の実施形態のイベント解析装置において因果関係を解析する際の処理の流れを示したシーケンス図である。 本発明の実施形態のイベント解析装置においてプロセスデータのトレンドの変化を検出する処理、およびプロセス変動イベントデータを生成する処理の一例を説明する図である。 本発明の実施形態のイベント解析装置において収集したイベントデータを集約して継続イベントデータを生成する処理の一例を説明する図である。 本発明の実施形態のイベント解析装置において統合したイベントデータの一例を説明する図である。 本発明の実施形態のイベント解析装置において関連性の高いイベントを絞り込む処理の一例を説明する図である。 本発明の実施形態のイベント解析装置において関連性の高いイベントをまとめる処理の一例を説明する図である。 本発明の実施形態のイベント解析装置において因果モデルを構築するためのイベントデータを生成する処理の一例を説明する図である。 本発明の実施形態のイベント解析装置において構築した因果モデルの一例を示した図である。

以下、本発明の実施形態について、図面を参照して説明する。図１は、本発明の実施形態におけるイベント解析装置を備えたイベント解析システムの概略構成を示したブロック図である。図１において、イベント解析システム１は、イベント解析装置１０と、イベントデータベース１１と、因果モデルデータベース１２と、表示装置１３と、制御システム１４と、ヒストリアン１５と、を含んで構成される。

イベント解析システム１は、制御システム１４やヒストリアン１５などから収集した、プラント内に配置されたそれぞれの設備などにおけるイベント（例えば、制御システム１４自身のイベントも含む）のデータ（以下、「イベントデータ」という）と、設備で行っている様々な工程（プロセス）のデータ（以下、「プロセスデータ」という）とを統合させて、プラント内の様々なイベントの間の因果関係を解析するシステムである。なお、プラントとしては、石油の精製や化学製品の生産を行う工業プラントの他、ガス田や油田などの井戸元やその周辺を管理制御するプラント、水力・火力・原子力などの発電を管理制御するプラント、太陽光や風力などの環境発電を管理制御するプラント、上下水やダムなどを管理制御するプラントなどが含まれる。

制御システム１４は、プラント内に配置されたそれぞれの設備の稼働を制御する制御システムである。制御システム１４は、プラント内において、例えば、分散制御システム（Ｄｉｓｔｒｉｂｕｔｅｄ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ：ＤＣＳ）として構築されている。制御システム１４は、例えば、制御を行う対象の設備に設置された不図示のフィールド機器などの制御機器や、制御を行う対象の設備に対応する不図示の操作機器などから、イベントデータやプロセスデータを取得する。なお、制御システム１４がイベントデータやプロセスデータを取得する機器は、上述したフィールド機器（制御機器）や操作機器の他にも様々な機器が考えられるが、以下の説明においては、制御システム１４は、フィールド機器および操作機器からイベントデータやプロセスデータを取得するものとして説明する。

ここで、フィールド機器は、設置されている設備が稼働しているときの動作状態（例えば、圧力、温度、流量など）を測定する測定機能、さらには、測定した結果に基づいて設備の動作状態を診断する診断機能を備えた測定器や、入力された制御信号に応じて設置されている設備の動作を制御する制御機能（例えば、アクチュエータなど）を備えた操作器などの現場機器である。

フィールド機器は、設置されている設備の動作状態を測定機能によって測定した測定値（例えば、圧力値、温度、流量など）のデータを、設備において実施しているプロセスのプロセスデータとして、制御システム１４に逐次出力する。なお、プロセスデータには、出力する測定値の種類（例えば、圧力値、温度、流量など）の情報も含まれている。また、プロセスデータには、自フィールド機器を識別するために付与されているタグ名などの情報が紐付けられている。なお、プロセスデータとして出力する測定値は、フィールド機器が測定した測定値のみではなく、測定値から計算された計算値を含んでいてもよい。測定値からの計算値の計算は、フィールド機器において行ってよいし、フィールド機器に接続された不図示の外部機器によって行ってもよい。

また、フィールド機器は、測定機能によって測定した測定値を診断機能によって診断した結果、例えば、測定値が予め定められた範囲内に入っていないなど、設置された設備の動作状態が正常ではないことを通知する必要があると診断された場合、ランプや音によって警報を発して周囲に通知する。このとき、フィールド機器は、警報を発したことを表す情報を、設備におけるアラームのイベント（以下、「アラームイベント」という）のイベントデータ（以下、「アラームイベントデータ」という）として制御システム１４に出力する。なお、アラームイベントデータには、警報（アラーム）の種類（例えば、上限値オーバー、下限値オーバーなど）を表す情報や、診断機能によって診断した結果などのデータも含まれている。また、アラームイベントデータにも、プロセスデータと同様に、タグ名の情報が紐付けられている。

また、フィールド機器は、例えば、プラントにおいて設備の運転の制御や保守を行う作業員などのオペレータによる操作機器の操作に従って、設備の動作を制御するために設定する設定値などを制御機能が変更した場合に、設定値の変更を行ったことを表す情報を、設備に対する操作のイベント（以下、「操作イベント」という）のイベントデータ（以下、「操作イベントデータ」という）として制御システム１４に出力する。なお、操作イベントデータには、変更（設定）した設定の種類（例えば、圧力値、電圧値、電流値など）を表す情報や、制御機能によって変更（設定）した設定値などのデータも含まれている。また、アラームイベントデータにも、プロセスデータやアラームイベントデータと同様に、タグ名の情報が紐付けられている。オペレータが操作する操作機器は、例えば、スイッチやボリューム（可変抵抗器）が配置された不図示の操作盤や操作卓など、それぞれの設備に配置された操作機器であってもよいし、オペレータが携帯する不図示の携帯端末機器などの操作機器であってもよい。また、操作イベントデータは、操作機器の操作に従ったフィールド機器が制御システム１４に出力してもよいし、オペレータに操作された操作機器が直接、制御システム１４に出力してもよい。

制御システム１４は、フィールド機器（操作機器であってもよい）から出力されたプロセスデータ、アラームイベントデータ、および操作イベントデータのそれぞれを取得する。なお、制御システム１４では、フィールド機器（または操作機器）から出力されたアラームイベントデータおよび操作イベントデータを、イベントデータとして取得する。このとき、制御システム１４は、それぞれのデータを取得した現在の時間（日時）を記録する。そして、制御システム１４は、時間（日時）の情報、つまり、それぞれのデータを取得した時間（日時）の情報を付与したプロセスデータとイベントデータとのそれぞれを、例えば、プラント内に構築された専用の通信ネットワークを介して、イベント解析装置１０に出力する。

なお、制御システム１４は、それぞれのデータを取得した時間（日時）の情報を付与したプロセスデータとイベントデータとのそれぞれを、不図示の記憶部に一旦記憶してから、予め定めた期間（時間）分のデータをまとめて、つまり、予め定めた期間分の履歴（ログ）として、イベント解析装置１０に出力してもよい。また、制御システム１４は、フィールド機器（操作機器であってもよい）からプロセスデータとイベントデータとのそれぞれを取得するごとに、それぞれのデータを取得した時間（日時）の情報を付与したプロセスデータとイベントデータとのそれぞれを、イベント解析装置１０に逐次出力してもよい。

ヒストリアン１５は、制御システム１４が取得したプロセスデータとイベントデータとのそれぞれと同じデータを時系列に保存することによって、長期間分のデータの履歴（ログ）を保存するデータ保存装置である。ヒストリアン１５は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、フラッシュメモリ（Ｆｌａｓｈ Ｍｅｍｏｒｙ）などの種々のメモリや、ＨＤＤ（Ｈａｒｄ ｄｉｓｋ ｄｒｉｖｅ：ハードディスクドライブ）などの記憶装置を含んで構成される。なお、ヒストリアン１５も、プロセスデータとイベントデータとのそれぞれを保存する際に、それぞれのデータを取得した時間（日時）の情報を付与する。ヒストリアン１５は、保存しているプロセスデータのログ（以下、「プロセスログデータ」という）と、保存しているイベントデータのログ（以下、「イベントログデータ」という）とのそれぞれを、例えば、プラント内に構築された専用の通信ネットワークを介して、イベント解析装置１０に出力する。

なお、図１に示したイベント解析システム１の構成では、制御システム１４とヒストリアン１５とのそれぞれを１つずつ備えている構成を示している。しかし、イベント解析システム１に備える制御システム１４とヒストリアン１５との数は、図１に示した構成のように１つずつに限定されるものではない。つまり、イベント解析システム１は、複数の制御システム１４やヒストリアン１５を備えた構成であってもよい。

また、図１に示したイベント解析システム１の構成では、制御システム１４とヒストリアン１５とを、異なる装置として備えている構成を示している。しかし、イベント解析システム１における制御システム１４とヒストリアン１５との構成は、図１に示した構成に限定されるものではない。例えば、ヒストリアン１５は、制御システム１４においてプロセスデータとイベントデータとのそれぞれを記憶する機能として、制御システム１４に備えられる構成であってもよい。つまり、ヒストリアン１５は、制御システム１４に内蔵されて、分散制御システムなどの制御システムを構築する構成要素であってもよい。

イベント解析装置１０は、制御システム１４から取得したプロセスデータ（プロセスログデータ）およびイベントデータ（イベントログデータ）や、ヒストリアン１５から取得したプロセスログデータおよびイベントログデータに基づいて（組み合わせて）、プラント内の様々なイベントの間の因果関係を解析する処理装置である。なお、以下の説明においては、イベント解析装置１０が、制御システム１４やヒストリアン１５からプロセスログデータおよびイベントログデータを取得し、取得したプロセスログデータに含まれるプロセスデータや、イベントログデータに含まれるイベントデータを組み合わせて、それぞれのデータ同士の因果関係を解析するものとして説明する。

イベント解析装置１０では、プロセスデータとイベントデータとを統合させた因果関係の解析の処理（解析処理）を行う。より具体的には、イベント解析装置１０は、予め定めた長い期間のプロセスデータの傾向（トレンド）を解析することによって、プロセスデータに表されている測定値（以下、「プロセス値」という）が、目標とするプロセス値（目標値）から逸脱してから安定するまでの区間、すなわち、プロセス値が変動している区間を検出する。そして、イベント解析装置１０は、検出したそれぞれの区間においてプロセス値が同じように変動している時間的な継続性のある状態を、設備におけるプロセスの１つのイベント（以下、「プロセス変動イベント」という）とし、このプロセス変動イベントにおいてプロセス値が変動している状態を表す情報を、イベントデータに含まれるアラームイベントデータや操作イベントデータと同様の形式で表したプロセス変動イベントデータを生成する。つまり、イベント解析装置１０は、プロセスデータのトレンドから、トレンドが変化している箇所（区間）をプロセス変動イベントとして検出してプロセス変動イベントデータを生成することによって、プロセスデータをイベントデータに変換している。さらに、イベント解析装置１０は、イベントデータに含まれるアラームイベントデータや操作イベントデータに対しても時間的な概念を考慮する（適用する）。そして、イベント解析装置１０は、生成（変換）したプロセス変動イベントデータと、時間的な概念を考慮した（適用した）イベントデータに含まれるアラームイベントデータや操作イベントデータとに基づいて、それぞれのイベント同士、つまり、プロセス変動イベント、アラームイベント、および操作イベントのそれぞれのイベント間の因果関係の解析を行う。なお、イベント解析装置１０における因果関係の解析では、それぞれのイベントの因果関係を表したベイジアンネットワークなどの因果モデルを構築することによって行う。このベイジアンネットワークには、それぞれのイベント間の因果関係の情報に加えて、それぞれのイベントデータに対して考慮した時間的な概念として、少なくとも、それぞれのイベントの時間的な継続性と、それぞれのイベント間の遅れ時間とが含まれている。このため、イベント解析装置１０では、着目したイベントが発生する原因の推定や、着目したイベントを原因とした他のイベントの発生の予測などのイベント間の因果関係の解析と同時に、イベント間の時間差の分布や、それぞれのイベントの継続期間の分布を算出することができる。また、イベント解析装置１０は、因果関係の解析結果や、算出したイベント間の時間差の分布、それぞれのイベントの継続期間の分布などの情報に基づいて、着目したイベントや予測した他のイベントの発生確率、発生時間、および継続期間の推定を行うことができる。そして、イベント解析装置１０は、推定や予測を行った結果を表示装置１３に出力して表示させることによって、例えば、プラントにおけるプロセス運転の管理者や制御システム１４のオペレータなどのイベント解析装置１０のユーザに様々な情報を提示し、ユーザによる操業運転を支援する。

イベント解析装置１０は、イベントデータ収集部１０１と、イベントデータ集約部１０２と、プロセスデータ収集部１０３と、トレンド変化検出部１０４と、イベントデータ変換部１０５と、因果関係解析部１０６と、解析結果出力部１０７と、を含んで構成される。また、因果関係解析部１０６は、関連性解析モジュール１０６１と、因果モデル構築モジュール１０６２と、因果分析モジュール１０６３と、を含んで構成される。なお、図１に示したイベント解析装置１０の構成では、イベント解析装置１０において選択的な追加機能を実現するための構成要素の一例として、因果関係解析部１０６内に、異常予測モジュール１０６４も含んでいる構成を示している。なお、イベント解析装置１０の動作や、イベント解析装置１０を構成するそれぞれの構成要素の機能や動作に関する詳細な説明は、後述する。

イベントデータベース１１は、イベント解析装置１０が因果関係の解析処理を実行する際に利用されるデータベースである。イベントデータベース１１には、イベント解析装置１０が取得したアラームイベントデータや操作イベントデータ、イベント解析装置１０が変換したプロセス変動イベントデータなどのイベントデータが記憶される。イベントデータベース１１は、例えば、ＲＯＭ、ＲＡＭ、フラッシュメモリなどの種々のメモリや、ＨＤＤなどの記憶装置を含んで構成される。

因果モデルデータベース１２は、イベントデータベース１１と同様に、イベント解析装置１０が因果関係の解析処理を実行する際に利用されるデータベースである。ただし、因果モデルデータベース１２には、イベント解析装置１０における因果関係の解析処理において構成されたベイジアンネットワークなどの因果モデルが記憶される。因果モデルデータベース１２も、イベントデータベース１１と同様に、例えば、ＲＯＭ、ＲＡＭ、フラッシュメモリなどの種々のメモリや、ＨＤＤなどの記憶装置を含んで構成される。

なお、図１に示したイベント解析システム１の構成では、イベントデータベース１１と因果モデルデータベース１２とがそれぞれ異なるデータベースとして構成されている場合を示している。しかし、イベント解析システム１に備えるイベントデータベース１１と因果モデルデータベース１２との構成は、図１に示したように別々のデータベースの構成に限定されるものではない。例えば、イベント解析システム１において、イベントデータベース１１と因果モデルデータベース１２とを１つのデータベースで構成し、この１つのデータベース内の記憶容量を分けて使用する構成であってもよい。また、イベントデータベース１１と因果モデルデータベース１２とのそれぞれは、例えば、クラウドコンピューティングシステムにおけるインターネット上の記憶装置などの外部の記憶装置であってもよい。また、イベントデータベース１１と因果モデルデータベース１２とのそれぞれは、イベント解析装置１０の構成要素として、イベント解析装置１０内に備える構成であってもよい。

表示装置１３は、イベント解析装置１０から出力された情報に応じた表示画面を生成して表示することによって、イベント解析装置１０のユーザに様々な情報を提示するための表示端末装置である。より具体的には、表示装置１３は、イベント解析装置１０が出力した因果関係の解析結果や、時間差の分布の情報、継続期間の分布の情報などに応じた表示画面を生成してユーザに提示する。表示装置１３は、例えば、液晶ディスプレイ（ＬＣＤ：Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）などの表示デバイスを含んで構成される。なお、表示装置１３は、ユーザによって操作され、イベント解析装置１０が因果関係の解析処理を行う際の指示を入力するために、押圧センサなどによって構成される不図示の操作装置の機能を備えていてもよい。つまり、表示装置１３は、操作装置と組み合わされたタッチパネルとして構成されていてもよい。

このような構成によって、イベント解析システム１では、プラント内に配置されたそれぞれの設備で行っている様々なプロセスのプロセスデータを、イベントデータ（プロセス変動イベントデータ）に変換する。そして、イベント解析システム１では、プロセスデータを変換したイベントデータと、従来のイベント解析装置においても用いていた、設備におけるイベントデータ（アラームイベントデータおよび操作イベントデータ）とを統合させて、つまり、設備におけるプロセスやイベントを組み合わせて、プラント内の様々なイベント同士の因果関係を解析する。

次に、イベント解析装置１０のより詳細な構成および動作について説明する。まず、イベント解析装置１０を構成するそれぞれの構成要素の機能や動作について説明する。上述したように、イベント解析装置１０は、イベントデータ収集部１０１と、イベントデータ集約部１０２と、プロセスデータ収集部１０３と、トレンド変化検出部１０４と、イベントデータ変換部１０５と、因果関係解析部１０６と、解析結果出力部１０７と、を含んで構成される。

イベントデータ収集部１０１は、制御システム１４やヒストリアン１５から、イベントログデータを取得する。より具体的には、イベントデータ収集部１０１は、イベント解析装置１０が因果関係の解析処理を開始するとき、または予め定めた時間間隔で定期的に、制御システム１４やヒストリアン１５にイベントログデータの出力を要求し、この要求に応じて制御システム１４やヒストリアン１５から出力されたイベントログデータを取得する。

なお、イベントログデータには、プラントにおいて瞬時的に発生した単発のイベント（アラームイベントまたは操作イベント）のそれぞれを１回のイベントとして、それぞれのイベントごとのイベントデータ（アラームイベントデータや操作イベントデータ）が、複数含まれている。イベントログデータに含まれるそれぞれのイベントデータには、イベントの発生時刻と、イベントの種類を表す情報が付与されている。それぞれのイベントデータに付与されている発生時刻の情報は、制御システム１４またはヒストリアン１５がイベントデータを取得したときに付与した時間（日時）の情報である。また、それぞれのイベントデータに付与されているイベントの種類を表す情報には、識別名（イベントが発生したフィールド機器を識別するタグ名）や、パラメータ（警報（アラーム）の種類や設定（操作）の種類などの情報、診断結果や設定値のデータなど）、タイプ（アラームイベントであることを表す「Ａｌａｒｍ」や操作イベントであることを表す「Ｏｐｅｒａｔｉｏｎ」）などの情報が含まれている。

イベントデータ収集部１０１は、取得したイベントログデータを、イベントデータ集約部１０２に出力する。なお、イベントデータ収集部１０１は、制御システム１４から逐次出力されたイベントデータ（１回ごとのイベントデータ）を取得した場合には、それぞれのイベントデータを順次、イベントデータ集約部１０２に出力する。

イベントデータ集約部１０２は、イベントデータ収集部１０１から出力されたイベントログデータに含まれる複数のイベントデータに対して、予め定められた集約処理を施して集約する。イベントデータ集約部１０２が行う集約処理は、同じ種類の単発のイベントを、時間的な継続期間を持つ１つのイベントに変換する（集約する）処理である。より具体的には、イベントデータ集約部１０２は、集約処理において、イベントデータに付与されたイベントの種類の情報に基づいて、１つのイベントデータとしてまとめられる同じ種類のイベントデータ（単発のイベントのイベントデータ）を、時間的な継続期間を持つ１つのイベントデータにまとめる。例えば、イベントデータ集約部１０２は、集約処理において、イベントの種類を表す情報として、同じ識別名、同じパラメータ、同じタイプの情報が付与されたイベントデータ、つまり、同じフィールド機器における同じイベントのイベントデータを、同じ種類のイベントデータであると判定して、１つのイベントデータにまとめる。

より具体的には、プラントでは、フィールド機器が測定した測定値が、設備におけるプロセスの目標値の前後で変動するなどの理由によって、想定される短い期間内（例えば、１０分以内）に同じ種類のアラームイベントが再び発せられることがある。そして、この想定される短い期間内の同じ種類のアラームイベントは、繰り返し発せられることもある。この場合、イベントログデータには、想定される短い時間（日時）の間隔（等間隔でない場合もある）で、同じ種類の単発のアラームイベント（１回のアラームイベント）が、複数含まれることになる。そこで、イベントデータ集約部１０２は、想定される短い期間を予め定め、この予め定めた短い期間内に繰り返される複数の同じ種類の単発のアラームイベントをアラームイベント群（グループ）として扱い、このアラームイベント群に対応するそれぞれのアラームイベントデータを、同じ種類のアラームイベントが発せられている期間を継続期間として持った１つのアラームイベントデータとしてまとめる処理を行う。

また、プラントでは、オペレータが設備に対して設定値を変更する操作をする際に、複数回に渡って徐々に設定値を変更するランピングの操作を行ったなどの理由によって、想定される短い期間内（例えば、５分以内）に同じ種類（ただし、設定値は異なる場合がある）の操作イベントが繰り返し発せられることもある。この場合も、イベントログデータには、想定される短い時間（日時）の間隔（等間隔でない場合もある）で、同じ種類の単発の操作イベント（１回の操作イベント）が、複数含まれることになる。そこで、イベントデータ集約部１０２は、想定される短い期間を予め定め、この予め定めた短い期間内に繰り返される複数の同じ種類の単発の操作イベントを、オペレータが同じ意志を持って行った操作イベント群（グループ）として扱い、この操作イベント群に対応するそれぞれの操作イベントデータを、同じ種類の操作イベントが発せられている（同じ操作が行われている）期間を継続期間として持った１つの操作イベントデータとしてまとめる処理を行う。

イベントデータ集約部１０２は、集約処理を施した後のイベントデータ（以下、「継続イベントデータ」ともいう）に、イベントの継続期間を表す情報と、イベントの種類を表す情報とを付与する。それぞれの継続イベントデータに付与する継続期間の情報は、イベントの継続期間の開始時刻と終了時刻との情報である。イベントの継続期間の開始時刻は、１つにまとめられたイベント群の中で、最初に発生したイベントのイベントデータに付与されている発生時刻の情報、つまり、制御システム１４またはヒストリアン１５が、イベント群に含まれるイベントデータを最初に取得したときに付与した時間（日時）の情報である。また、イベントの継続期間の終了時刻は、１つにまとめられたイベント群の中で、最後に発生したイベントのイベントデータに付与されている発生時刻の情報、つまり、制御システム１４またはヒストリアン１５が、イベント群に含まれるイベントデータを最後に取得したときに付与した時間（日時）の情報である。なお、イベントデータ集約部１０２は、集約処理によってまとめられなかったイベントデータ、つまり、単独で１つのイベントのイベントデータとなる単発（１回）のイベントのイベントデータには、継続期間の開始時刻と終了時刻との両方に、そのイベントデータに付与されている発生時刻の情報、つまり、同じ時間（日時）の情報を付与する。また、それぞれの継続イベントデータに付与するイベントの種類を表す情報は、１つにまとめられたイベント群に含まれるいずれかのイベントデータ（例えば、最初に発生したイベントのイベントデータ）に付与されているイベントの種類を表す情報である。

イベントデータ集約部１０２は、集約処理を施した後のそれぞれの継続イベントデータ、および単発のイベントのイベントデータを含んで構成されたイベントログデータを、イベントデータベース１１に出力して記憶（保存）させる。なお、以下の説明においては、集約処理を施した後の継続イベントデータと単発のイベントのイベントデータとを区別せずに、「継続イベントデータ」という。

なお、図１に示したイベント解析システム１を構成するイベント解析装置１０の構成では、イベントデータ収集部１０１とイベントデータ集約部１０２とがそれぞれ異なる構成要素として構成されている場合を示している。しかし、イベント解析装置１０に備えるイベントデータ収集部１０１とイベントデータ集約部１０２との構成は、図１に示したように異なる構成要素として備える構成に限定されるものではない。例えば、イベント解析装置１０において、イベントデータ集約部１０２の機能を、イベントデータ収集部１０１に備える構成、つまり、イベントデータ収集部１０１の機能とイベントデータ集約部１０２の機能とを合わせた構成を、イベントデータ収集部１０１として備える構成であってもよい。

プロセスデータ収集部１０３は、制御システム１４やヒストリアン１５から、プロセスログデータを取得する。より具体的には、プロセスデータ収集部１０３は、イベント解析装置１０が因果関係の解析処理を開始するとき、または予め定めた時間間隔で定期的に、制御システム１４やヒストリアン１５にプロセスログデータの出力を要求し、この要求に応じて制御システム１４やヒストリアン１５から出力されたプロセスログデータを取得する。なお、プロセスログデータには、予め定めた時間（例えば、「分」または「秒」）の間隔ごとに測定された複数のプロセスデータが、連続して含まれている。

プロセスデータ収集部１０３は、取得したプロセスログデータを、トレンド変化検出部１０４に出力する。なお、プロセスデータ収集部１０３は、制御システム１４から逐次出力されたプロセスデータ（フィールド機器が行った１回の測定ごとのプロセスデータ）を取得した場合には、それぞれのプロセスデータをトレンド変化検出部１０４に順次出力する。

トレンド変化検出部１０４は、プロセスデータ収集部１０３から出力されたプロセスログデータに含まれる複数のプロセスデータに基づいて、予め定めた長い期間のプロセスデータの傾向（トレンド）の変化（変動）を検出する。より具体的には、トレンド変化検出部１０４は、プロセスログデータに予め定めた時間の間隔で連続的に含まれるそれぞれのプロセスデータに表されているプロセス値を解析（確認）することによって、プロセス値が目標値から逸脱しているか否かを判定する。このとき、トレンド変化検出部１０４は、プロセスデータに表されているプロセス値が、予め定めたプロセス値の変化量よりも大きく変化した場合に、プロセス値が変化したものと判定するようにしてもよい。これにより、トレンド変化検出部１０４は、プロセス値の判定が、予め定めたプロセス値の変化量よりも少ない場合には、プロセス値が変化したと判定しない、つまり、プロセス値の少しの変化（変動）は無視するようにすることができる。そして、トレンド変化検出部１０４は、プロセス値の変化を判定した結果を、それぞれのプロセスデータのトレンドの変化（トレンド変化）とする。

また、トレンド変化検出部１０４は、検出したプロセスデータのトレンド変化、つまり、判定したそれぞれのプロセス値の変化に基づいて、プロセス値が今までの目標値から逸脱し始めた時点から、再び今までの目標値または新しい目標値に収束する時点までの区間を、プロセスデータのトレンドが変動している区間（変動区間）として判定する。そして、トレンド変化検出部１０４は、判定したそれぞれの変動区間を、プロセス値の変動の種類を表すために予め定義した「不安定区間（Ｕｎｓｔａｂｌｅ）」、「目標値増加区間（Ｉｎｃｒｅａｓｅ）」、および「目標値減少区間（Ｄｅｃｒｅａｓｅ）」の３つの種類（定義）のいずれかの区間に分類する。「不安定区間」は、目標値を一定として稼働させている設備の運転期間において、プロセス値が、今までの目標値の範囲から逸脱した後、再び同じ目標値の範囲に戻ってきたことを表す区間であり、例えば、プロセス値が今までの一定の目標値に安定していない（不安定である）区間を表す。また、「目標値増加区間」は、プロセス値が、今までの目標値の範囲から逸脱し、より大きな値の新しい目標値の範囲に近づいて収束することを表す区間であり、例えば、設備に今より大きな値の新しい目標値が設定されたことによってプロセス値が増加し、新しい目標値まで遷移している途中の区間を表す。また、「目標値減少区間」は、プロセス値が、今までの目標値の範囲から逸脱し、より小さな値の新しい目標値の範囲に近づいて収束することを表す区間であり、例えば、設備に今より小さな値の新しい目標値が設定されたことによってプロセス値が減少し、新しい目標値まで遷移している途中の区間を表す。なお、トレンド変化検出部１０４において検出した変動区間の分類は、「不安定区間」、「目標値増加区間」、および「目標値減少区間」の３つの種類に限定されるものではなく、必要に応じて他の種類の区間を定義、つまり、プロセス値の変動の種類を表す他の定義を設定してもよい。

トレンド変化検出部１０４は、分類したそれぞれの変動区間、つまり、１つの変動区間が、時間的な継続性を持った（継続期間を持った）１つのプロセス変動イベントとなるように、プロセスログデータに含まれるそれぞれのプロセスデータに、分類した変動区間の情報（「不安定区間」、「目標値増加区間」、および「目標値減少区間」のいずれかを表す情報）を、設備におけるプロセスのトレンド変化を検出した検出結果の情報として付与する。なお、トレンド変化検出部１０４は、プロセス値が変化したと判定しなかったプロセスデータ、つまり、変動区間に分類されないプロセスデータに対しては、変動区間を表す情報を付与しない（何もしない）。しかし、トレンド変化検出部１０４は、プロセス値が変化したと判定しなかったプロセスデータに対して、変動区間に分類されないことを表す情報を、プロセスのトレンド変化の検出結果の情報として付与してもよい。

トレンド変化検出部１０４は、分類した変動区間（検出結果）の情報を付与したプロセスデータを含んで構成されたプロセスログデータを、イベントデータ変換部１０５に出力する。なお、トレンド変化検出部１０４は、プロセスデータ収集部１０３からプロセスログデータが出力された場合には、上述したように、予め定めた長い期間のプロセスデータのトレンド変化を検出することによって、それぞれのプロセスデータを分類した変動区間の情報をプロセスのトレンドの検出結果の情報として付与してイベントデータ変換部１０５に出力することができる。しかし、プロセスデータ収集部１０３が、制御システム１４から逐次出力されたプロセスデータ（フィールド機器が行った１回の測定ごとのプロセスデータ）を取得し、それぞれのプロセスデータをトレンド変化検出部１０４に順次出力してきた場合、トレンド変化検出部１０４は、プロセスデータに表されているプロセス値が予め定めたプロセス値の変化量よりも大きく変化したか否かを順次判定することはできるものの、変動区間への分類を直ちに行うことができないこともある。例えば、最初にプロセス値が大きく変化したと判定したプロセスデータについては、「不安定区間」に分類されるのか、「目標値増加区間」または「目標値減少区間」に分類されるのかを、直ちに判定することはできないと考えられる。これは、最初にプロセス値が大きく変化したと判定したプロセスデータは、まずは「目標値増加区間」または「目標値減少区間」に分類されると考えられるが、次のプロセスデータに表されているプロセス値が変化する方向が反対方向である場合には、「不安定区間」に分類する必要があると考えられるからである。なお、以降のプロセスデータは、それ以前のプロセスデータが表すプロセス値が変化する方向に基づいて、「不安定区間」、「目標値増加区間」、および「目標値減少区間」のいずれかに、順次分類することができると考えられる。このため、トレンド変化検出部１０４は、プロセスデータ収集部１０３から順次出力されたプロセスデータに対して分類した変動区間（検出結果）の情報を付与したプロセスデータを、少なくとも１つ分遅らせたタイミングから、イベントデータ変換部１０５に逐次出力する構成にしてもよい。このとき、トレンド変化検出部１０４は、分類した変動区間（検出結果）の情報を付与したそれぞれのプロセスデータを、因果関係解析部１０６にも逐次出力する。

イベントデータ変換部１０５は、トレンド変化検出部１０４から出力されたプロセスログデータに含まれるそれぞれのプロセスデータに付与されたトレンド変化の検出結果を表す情報、つまり、分類した変動区間を表す情報に基づいて、プロセスログデータに含まれる複数のプロセスデータに表されているプロセスを、１つのプロセス変動イベントに変換する。イベントデータ変換部１０５によるプロセスデータに表されているプロセスを１つのプロセス変動イベントに変換する処理は、判定に用いる情報が異なる、つまり、分類した変動区間を表す情報であるが、その処理の方法（考え方）は、イベントデータ集約部１０２が行う集約処理の方法（考え方）と同様である。より具体的には、イベントデータ変換部１０５は、まず、プロセスログデータに含まれる複数のプロセスデータの中から、分類した変動区間を表す情報が付与されたプロセスデータを抽出する。その後、イベントデータ変換部１０５は、抽出した複数のプロセスデータに対して、イベントデータ集約部１０２における集約処理と同様の方法（考え方）で、同じ変動区間に分類された時間的に連続している（予め定めた時間の単位で連続している）複数のプロセスデータに表されているプロセスを１つのプロセスデータ群（グループ）としてまとめる。そして、イベントデータ変換部１０５は、まとめたプロセスデータ群に対応する全てのプロセスデータに付与されている同じ変動区間の情報）を、設備のプロセスにおけるイベントとした、１つのプロセス変動イベントに変換する。なお、イベントデータ変換部１０５によって変換されたそれぞれのプロセス変動イベントは、まとめたプロセスデータ群に対応するそれぞれのプロセスデータに対して制御システム１４またはヒストリアン１５が付与した時間（日時）の情報によって表される変動区間、つまり、プロセス値が今までの目標値から逸脱し始めた時点から、再び今までの目標値または新しい目標値に収束する時点までの時間を、時間的な継続期間として持っている。

イベントデータ変換部１０５は、変換したプロセス変動イベントにおいてプロセス値が変動している状態を表す情報を、イベントデータに含まれるアラームイベントデータや操作イベントデータと同様の形式で表して付与したプロセス変動イベントデータを生成する。より具体的には、イベントデータ変換部１０５は、設備においてプロセスが変動している状態を表す情報として、継続期間（変動区間）の開始時刻および終了時刻を表す情報と、イベントの種類を表す情報とを付与したプロセス変動イベントデータを生成する。イベントデータ変換部１０５が生成するプロセス変動イベントデータに付与する継続期間（変動区間）の開始時刻は、プロセス値が今までの目標値から逸脱し始める時点のプロセスデータに付与されている時間（日時）の情報、つまり、制御システム１４またはヒストリアン１５がプロセスデータを取得したときに付与した時間（日時）の情報である。また、イベントデータ変換部１０５が生成するプロセス変動イベントデータに付与する継続期間（変動区間）の終了時刻は、プロセス値が再び今までの目標値または新しい目標値に収束する時点のプロセスデータに付与されている時間（日時）の情報、つまり、制御システム１４またはヒストリアン１５がプロセスデータを取得したときに付与した時間（日時）の情報である。また、イベントデータ変換部１０５が生成するプロセス変動イベントデータに付与するイベントの種類を表す情報には、プロセス値が変化したと判定した機器の識別名（タグ名）、プロセス値の変動の種類を表す識別子（「不安定区間」、「目標値増加区間」、および「目標値減少区間」など）、タイプ（プロセス変動イベントであることを表す「Ｔｒｅｎｄ」や、変動したプロセス値を表す、例えば、「圧力」、「温度」、「流量」）などの情報が含まれている。

イベントデータ変換部１０５は、生成したそれぞれのプロセス変動イベントデータを、イベントデータベース１１に出力して記憶（保存）させる。なお、イベントデータ変換部１０５は、イベントデータベース１１にすでに継続イベントデータが記憶（保存）されている場合には、記憶（保存）されている継続イベントデータにプロセス変動イベントデータを統合して記憶（更新）させる。イベント解析装置１０では、プロセスデータ（プロセスログデータ）およびイベントデータ（イベントログデータ）の収集は、非同期に行われる。従って、イベント解析装置１０では、イベントデータ集約部１０２による継続イベントデータのイベントデータベース１１への記憶（保存）、およびイベントデータ変換部１０５によるプロセス変動イベントデータのイベントデータベース１１への記憶（保存）も、非同期に行われる。このため、イベントデータベース１１にすでにプロセス変動イベントデータが記憶（保存）されている場合には、イベントデータ集約部１０２は、記憶（保存）されているプロセス変動イベントデータに継続イベントデータを統合して記憶（更新）させる。なお、以下の説明においては、継続イベントデータとプロセス変動イベントデータとを統合したイベントデータを、「統合イベントデータ」という。

なお、図１に示したイベント解析システム１を構成するイベント解析装置１０の構成では、トレンド変化検出部１０４とイベントデータ変換部１０５とがそれぞれ異なる構成要素として構成されている場合を示している。しかし、イベント解析装置１０に備えるトレンド変化検出部１０４とイベントデータ変換部１０５との構成は、図１に示したように異なる構成要素として備える構成に限定されるものではない。例えば、イベント解析装置１０において、イベントデータ変換部１０５の機能を、トレンド変化検出部１０４に備える構成、つまり、トレンド変化検出部１０４の機能とイベントデータ変換部１０５の機能とを合わせた構成を、トレンド変化検出部１０４として備える構成であってもよい。

また、図１に示したイベント解析システム１を構成するイベント解析装置１０の構成では、イベントデータ集約部１０２が継続イベントデータをイベントデータベース１１に記憶（保存）させ、イベントデータ変換部１０５がプロセス変動イベントデータをイベントデータベース１１に記憶（保存）させる構成である場合を示している。つまり、図１においては、イベントデータ集約部１０２とイベントデータ変換部１０５との２つの構成要素が、イベントデータベース１１に、対応するデータを記憶（保存または更新）させるイベント解析装置１０の構成を示している。しかし、上述したように、イベントデータ集約部１０２がイベントログデータに含まれる複数のイベントデータに対して施す処理、つまり、継続イベントデータを生成する集約処理と、イベントデータ変換部１０５がプロセスデータをプロセス変動イベントに変換する処理とは、同様の方法（考え方）に基づいている。このため、イベント解析装置１０では、イベントデータ集約部１０２の機能とイベントデータ変換部１０５の機能とを合わせた構成要素（例えば、イベント保存部）を、イベントデータ集約部１０２およびイベントデータ変換部１０５の代わりに備え、この構成要素が、同様の形式で表された継続イベントデータとプロセス変動イベントデータとの統合（つまり、統合イベントデータの生成）や、統合イベントデータのイベントデータベース１１への記憶（保存または更新）を管理する構成にしてもよい。

因果関係解析部１０６は、イベントデータベース１１に記憶（保存）されている統合イベントデータを取得し、取得した統合イベントデータに含まれるプロセス変動イベントデータと継続イベントデータとに基づいて、２つ以上のイベントの組み合わせにおける因果関係を、時間的な概念を考慮して（適用して）解析する。因果関係解析部１０６において因果関係を解析する２つ以上のイベントの組み合わせは、プロセス変動イベントデータに含まれるプロセス変動イベントと、継続イベントデータに含まれるアラームイベントや操作イベントとのいずれのイベントの組み合わせであってもよい。つまり、因果関係解析部１０６では、設備におけるプロセスの変動であるか、設備において発生したイベントであるかに拘わらずに、設備におけるプロセスやイベントを組み合わせて、それぞれのイベント間の因果関係を解析する。これは、イベント解析装置１０において、設備におけるプロセスの変動をイベント（プロセス変動イベント）に変換することによって、プロセス変動イベントを、従来のイベント解析装置において因果関係を解析していた設備で発生したイベント（アラームイベントおよび操作イベント）と同様に扱えるようにしたことによるものである。従って、因果関係解析部１０６における因果関係の解析の基本的な方法（考え方）は、従来のイベント解析装置における因果関係の解析方法（考え方）と同様である。つまり、因果関係解析部１０６は、従来のイベント解析装置における因果関係の解析方法（考え方）と同様に、それぞれのイベント間の因果関係を解析することができる。

ただし、統合イベントデータに含まれるそれぞれのイベントデータには、時間的な継続期間を持ったイベントデータも含まれている。このため、因果関係解析部１０６では、時間的な概念を考慮して（適用して）、因果関係を解析することができるようになっている。以下の説明においては、従来のイベント解析装置における因果関係の解析方法（考え方）と異なる、時間的な概念を考慮した（適用した）因果関係の解析方法（考え方）に着目して説明する。上述したように、因果関係解析部１０６は、関連性解析モジュール１０６１と、因果モデル構築モジュール１０６２と、因果分析モジュール１０６３と、を含んで構成される。なお、上述したように、因果関係解析部１０６は、イベント解析装置１０において選択的な追加機能を実現するため異常予測モジュール１０６４も含んで構成されている。

関連性解析モジュール１０６１は、ユーザによって指定された着目するフィールド機器（制御機器）に関連性の高い他のフィールド機器を解析し、イベントデータベース１１に記憶（保存）されている統合イベントデータの中から、ユーザが着目したフィールド機器と関連性の高い他のフィールド機器とにおいて発生しているイベントのイベントデータを検索して取得する。さらに、関連性解析モジュール１０６１は、取得したそれぞれのイベントデータに基づいて、それぞれのイベント間で相互に関連性を解析し、関連性の高いイベント（以下、「関連イベント」という）を絞り込む。

より具体的には、関連性解析モジュール１０６１は、Ｐ＆ＩＤ（Ｐｉｐｉｎｇ ａｎｄ ｉｎｓｔｒｕｍｅｎｔａｔｉｏｎ ｄｉａｇｒａｍ）や、ＰＦＤ（Ｐｒｏｃｅｓｓ Ｆｌｏｗ Ｄｉａｇｒａｍ）、制御ループ、監視画面の定義情報などのプラントの構成情報に基づいて、ユーザが着目したフィールド機器と他のフィールド機器などの制御機器の間の関連性を解析し、関連性の高い他のフィールド機器を絞り込んで特定する。このとき、関連性解析モジュール１０６１は、ユーザが着目したフィールド機器と、このフィールド機器に関連性の高い他のフィールド機器とのそれぞれに付与されているタグ名（以下、「関連タグ」という）を絞り込んで特定する。なお、Ｐ＆ＩＤは、プラント内に配置された配管とフィールド機器が設置された位置などのプラント内の構成情報を図式化したものである。また、ＰＦＤは、原料から製品に至るまでのプラントにおけるプロセスの流れ（フロー）を図式化したものである。また、制御ループは、プラントにおけるプロセスにおいて行われる制御の関係を図式化したものである。また、監視画面の定義情報は、プラントにおいて分岐条件を含む処理が実行されるときに表示される監視画面に含まれるプロセスデータの構成（定義）情報である。

その後、関連性解析モジュール１０６１は、ユーザが着目したフィールド機器と特定したフィールド機器とにおいて発生する可能性がある全てのイベントのイベントデータを、イベントデータベース１１に記憶（保存）されている統合イベントデータの中から検索し、検索された全てのイベントデータを取得する。さらに、関連性解析モジュール１０６１は、関連タグとして特定したタグ名が識別名として付与されている全てのイベントデータを取得する。なお、関連性解析モジュール１０６１がそれぞれのイベントデータを取得する際には、イベントの種類別にまとめて（例えば、同じタグ名、同じ識別子、および同じタイプのイベントをまとめて）、対応するイベントデータを取得してもよい。

そして、関連性解析モジュール１０６１は、イベントデータベース１１から取得したそれぞれのイベントデータに含まれる開始時刻と終了時刻とに基づいて、まず、それぞれのイベントが発生している期間、つまり、それぞれのイベントの継続期間を算出する。そして、関連性解析モジュール１０６１は、イベントの種類ごと（つまり、同じイベントごと）に、算出したそれぞれの継続期間を時間順に並べて１つの時間軸上に表す。その後、関連性解析モジュール１０６１は、同じ時間軸上に時間順に表されたそれぞれのイベントの継続期間と、ユーザが着目したフィールド機器で発生したイベントの継続期間とが重複している回数に基づいて、それぞれのイベントとユーザが着目したイベントとの間の類似度（関連度）を算出する。そして、関連性解析モジュール１０６１は、予め定めた値よりも類似度の高いイベントを検索し、検索した類似度（関連度）の高いイベントと、ユーザが着目したイベントとの組み合わせ（関連イベント群（グループ））を関連イベントとする。

関連性解析モジュール１０６１は、イベントデータベース１１から取得した、関連タグとして特定したタグ名が識別名として付与されている全てのイベントデータの内、関連イベントとして絞り込んだイベントのイベントデータ（以下、「関連イベントデータ」という）を、因果モデル構築モジュール１０６２に出力する。

なお、関連イベントデータに含まれるイベントデータは、同じイベントの種類のイベントデータであっても、関連イベントとして判定した単位ごと（例えば、時間帯ごと）に、イベントの組み合わせが異なることが考えられる。このため、関連性解析モジュール１０６１は、関連イベントデータを因果モデル構築モジュール１０６２に出力する際に、関連イベントとして絞り込む際に判定した時間帯や、関連イベントを区別するための情報などをそれぞれのイベントデータに付与してから出力してもよい。

因果モデル構築モジュール１０６２は、関連性解析モジュール１０６１から出力された関連イベントデータに基づいて、因果関係を解析するための因果モデルを構築（生成）する。なお、関連イベントデータに含まれるそれぞれのイベントデータには、上述したように、時間的な継続期間の情報が含まれている。そこで、因果モデル構築モジュール１０６２における因果モデルの構築処理では、まず、関連性解析モジュール１０６１から出力された関連イベントデータに含まれる開始時刻と終了時刻とに基づいて、関連性解析モジュール１０６１と同様に、イベントの種類ごとに、それぞれのイベントが発生している継続期間を、イベントの種類ごとに時間順に並べて配置する。このとき、因果モデル構築モジュール１０６２は、時間軸を予め定めた基準の時間幅（基準時間幅）のブロックの単位で分割し、この時間軸上に全てのイベントの継続期間が表されるように、それぞれのイベントの継続期間をイベントの種類ごとに並べて配置する。そして、因果モデル構築モジュール１０６２は、同じ関連イベント群として絞り込まれたそれぞれのイベントの継続期間が配置されている複数のブロックを、１つの「事象」としてまとめる。その後、因果モデル構築モジュール１０６２は、まとめた事象を構成する複数のブロックによって表されるイベントの情報、つまり、同じ関連イベント群として絞り込まれたそれぞれのイベントの情報を折り畳むように、それぞれの事象の１番目のブロックに投影した仮想のイベントデータ（以下、「投影イベントデータ」という）を生成する。ここで、投影イベントデータに含まれるそれぞれの事象に対応したデータ（以下、「投影データ」という）には、事象を構成する複数のブロックによって表される、イベントごとの発生の有無や、イベント間の時間差、イベントの継続期間の情報が含まれている。そして、最後に、因果モデル構築モジュール１０６２は、生成した投影イベントデータに基づいて、因果モデルを構築する。ここで、因果モデル構築モジュール１０６２は、それぞれのイベント間の因果関係を確率で表現したベイジアンネットワークを、因果モデルとして構築する。

なお、ベイジアンネットワークは、グラフィカルモデルの１つであり、それぞれのイベント間の複雑な因果関係の推論を有向グラフ構造によって表わすと共に、それぞれの変数の関係を条件付き確率で表す確率推論のモデルである。通常、ベイジアンネットワークは、同時に発生したイベントに対する因果関係を表すためのモデルであるため、それぞれのイベント間に、発生の時間差や継続期間などの時間的な要素が含まれる因果関係の解析に利用するのは困難である。しかし、因果モデル構築モジュール１０６２では、上述したように、同じ関連イベント群として絞り込まれたそれぞれのイベントの組み合わせを１つの「事象」としてまとめることによって、ベイジアンネットワークを構成する際に用いる投影イベントデータに、時間的な要素を１つの事象、つまり、１つのイベントとして含ませている。これにより、因果モデル構築モジュール１０６２では、従来のイベント解析装置と同様のアルゴリズムによって、時間的な要素を含んだベイジアンネットワークを因果モデルとして構築することができる。そして、後述する因果分析モジュール１０６３では、ベイジアンネットワークを利用して、あるイベントの原因となる他のイベントや、あるイベントが発生した後に発生し得る他のイベントを確率的に表わすことができるようになる。また、後述する因果分析モジュール１０６３では、ベイジアンネットワークに含まれる時間的な要素に基づいて、時間に関する分布（イベントが発生する際の時間差の分布や、発生したそれぞれのイベントの継続期間の分布）の情報を表わすことができるようになる。

因果モデル構築モジュール１０６２は、構築した因果モデル（ベイジアンネットワーク）を、因果モデルデータベース１２に出力して記憶（保存）させる。なお、因果モデル構築モジュール１０６２は、最初に因果モデルを構築して因果モデルデータベース１２に出力して記憶（保存）させた後、予め定めた定期的な時間間隔で、新たな（最新の）統合イベントデータに基づいて因果モデルを再度構築（生成）し、因果モデルデータベース１２に記憶（保存）されている因果モデルを更新する構成にしてもよい。

なお、因果モデル構築モジュール１０６２は、今回構築した因果モデルを因果モデルデータベース１２に出力して記憶（保存）させる際に、以前に構築して記憶（保存）させた因果モデルを更新するようにしてもよいし、今回構築した因果モデルを新たに記憶（保存）させることによって、今まで構築した因果モデルを蓄積させるようにしてもよい。因果モデル構築モジュール１０６２が蓄積させた今までに構築した因果モデルは、例えば、イベント解析装置１０において選択的な追加機能を実現するため異常予測モジュール１０６４において利用することができる。

因果分析モジュール１０６３は、因果モデルデータベース１２に記憶（保存）されている因果モデル（ベイジアンネットワーク）に基づいて、ユーザによって指定された着目するフィールド機器において発生したイベントと、他のフィールド機器において発生したイベントとの因果関係を解析（分析）する。例えば、因果分析モジュール１０６３は、ユーザによって指定された着目するフィールド機器において発生したイベントの発生原因となっている他のイベントの推定や、今後に起こり得るイベントの予測を行う。また、例えば、因果分析モジュール１０６３は、推定や予測をしたイベントが発生する際の時間差（発生時間差）の分布や、発生したイベントの継続期間の分布の算出し、推定や予測をしたイベントの発生確率、発生時間、および継続期間の算出（推定）を行う。そして、因果分析モジュール１０６３は、推定したイベントの発生原因や、発生を予測したイベントの情報（発生確率や、発生時間、継続期間など）を、因果関係の解析結果として解析結果出力部１０７に出力する。なお、因果分析モジュール１０６３における因果関係の解析（分析）の方法は、従来のイベント解析装置においてベイジアンネットワークを用いて行う因果関係の解析（分析）の方法と同様であるため、詳細な説明は省略する。

解析結果出力部１０７は、因果関係解析部１０６から出力された因果関係の解析結果の情報を可視化してユーザに提示するための表示データを生成する。より具体的には、解析結果出力部１０７は、因果関係の解析結果として因果関係解析部１０６から出力された、ユーザによって指定された着目するフィールド機器において発生したイベントの発生原因の推定結果や、今後に発生が予測されるイベントの発生確率、発生時間、継続期間などの情報をユーザに提示するための表示データを生成する。なお、解析結果出力部１０７は、因果関係解析部１０６が構築した因果モデル（ベイジアンネットワーク）をグラフ化した表示データを生成してもよい。解析結果出力部１０７は、生成した表示データを表示装置１３に出力し、表示データに応じた表示画面を表示装置１３に表示させる。

なお、解析結果出力部１０７は、着目するフィールド機器の指定や因果関係の解析処理の実行を要求するためにユーザによって操作される不図示の操作装置から入力された情報を因果関係解析部１０６に出力するためのユーザインターフェースの機能を備えていてもよい。表示装置１３に不図示の操作装置の機能を備えている場合、解析結果出力部１０７は、不図示の操作装置から入力された情報を、因果関係解析部１０６に出力する。

ここまでの構成が、イベント解析装置１０における基本的な機能を実現するための基本的な構成である。このような構成によって、イベント解析装置１０は、制御システム１４やヒストリアン１５から取得したプロセスログデータをイベントデータ（プロセス変動イベントデータ）に変換し、制御システム１４やヒストリアン１５から取得したイベントデータ（アラームイベントデータおよび操作イベントデータ）と統合させる。このとき、イベント解析装置１０では、時間的な継続期間を持つそれぞれのイベントデータ（継続イベントデータとして集約されたアラームイベントデータおよび操作イベントデータと、プロセス変動イベントデータ）を含めて統合する。そして、イベント解析装置１０は、ユーザによって指定された着目するフィールド機器のイベントに関連する関連イベントを絞り込んだ後、時間的な継続期間を持つそれぞれのイベントの組み合わせを事象としてまとめ、それぞれの事象を１つのイベントとして扱えるようにすることによって、従来のイベント解析装置と同様に因果関係の解析を行えるようにする。これにより、イベント解析装置１０では、プラント内に配置されたそれぞれの設備で行っている様々なプロセスのプロセスデータをイベントデータとして同様に扱って、イベント同士の因果関係、つまり、設備におけるプロセスやイベントを組み合わせて、それぞれのイベント間の因果関係を解析することができる。

なお、上述したように、図１に示したイベント解析装置１０の構成では、イベント解析装置１０において実行する選択的な追加機能を実現するための構成要素の一例として、イベント解析装置１０における基本的な機能を実現する構成に対して選択的に備えることができる異常予測モジュール１０６４を、因果関係解析部１０６内に備えた構成を示している。

異常予測モジュール１０６４は、トレンド変化検出部１０４から逐次出力されたプラント内に配置されたそれぞれの設備で現在行っているプロセスのプロセスデータを監視することによって、プロセスデータのトレンドの変化（変動や異常）を予測する。より具体的には、異常予測モジュール１０６４は、トレンド変化検出部１０４から逐次出力されたプロセスデータ（フィールド機器が測定した現在のプロセスデータ）に付与されている、分類した変動区間（検出結果）の情報を逐次確認（監視）することによって、プロセスデータのトレンドの変化（変動）を判定し、現在のプロセスが将来的にさらに大きく変化（変動）したり異常となったりする可能性があるか否かをリアルタイムで予測する。

プロセスデータのトレンドの変化（変動や異常）を予測する処理において、異常予測モジュール１０６４は、プロセスデータに付与されている分類した変動区間（検出結果）の情報が、プロセス値が予め定めたプロセス値の変化量よりも大きく変化したことを表している、つまり、プロセス値が今までの目標値から逸脱していることを表しているか否かを確認（監視）する。そして、確認（監視）したプロセスデータに付与されている分類した変動区間（検出結果）の情報によって、プロセス値が今までの目標値から逸脱し始めたことが確認された場合、異常予測モジュール１０６４は、まず、このプロセスデータに付与されているタグ名を確認（特定）する。続いて、異常予測モジュール１０６４は、特定したタグ名のプロセスデータ（プロセス変動イベントデータ）が関連イベントとして絞り込まれた関連イベントデータに基づいて構築された因果モデルを、因果モデルデータベース１２に蓄積された因果モデル（以前に記憶（保存）された複数の因果モデル）の中から検索する。そして、異常予測モジュール１０６４は、検索された因果モデルに基づいて、プロセスデータの変化が確認されたイベントに関連する他の変化（変動や異常）を予測する予測処理を行う。この予測処理において、異常予測モジュール１０６４は、検索された因果モデルに基づいて、プロセスデータの変化が確認されたイベントと因果関係がある他のイベント（アラームイベント、操作イベント、およびプロセス変動イベント）を検索する。そして、異常予測モジュール１０６４は、この検索結果に基づいて、プロセスデータの変化に起因して今後発生するアラームイベントや他のプロセス変動イベント、およびそれらのイベントの発生確率の予測、それらのイベントが発生した場合に行われたオペレータの操作（操作イベント）などの検索を行う。そして、異常予測モジュール１０６４は、予測処理を行った結果を表す情報を、解析結果出力部１０７に出力する。これにより、解析結果出力部１０７は、異常予測モジュール１０６４から出力された予測処理の結果の情報を可視化するための表示データを生成して表示装置１３に出力し、表示装置１３に表示データに応じた表示画面を表示させることによって、異常予測モジュール１０６４が予測処理を行った結果を表す情報がユーザに提示させる。

なお、異常予測モジュール１０６４が検索された因果モデルに基づいて行う予測処理は、因果分析モジュール１０６３が行う因果関係の解析（分析）の処理と同様の考え方に基づいて行うことができる。このため、異常予測モジュール１０６４は、プロセス値の変化が確認されたプロセスデータ（プロセス変動イベントデータ）が含まれる因果モデルを因果モデルデータベース１２に蓄積された因果モデルの中から検索する処理までを行い、その後の予測処理（因果関係がある他のイベントの検索や、それらのイベントの発生確率の予測など）は、因果分析モジュール１０６３が行うようにしてもよい。さらに、異常予測モジュール１０６４は、因果モデル構築モジュール１０６２に、プロセス値の変化が確認されたプロセスデータ（プロセス変動イベントデータ）の情報を検索された因果モデルに追加して更新させるようにしてもよい。

このようにして、異常予測モジュール１０６４は、プラント内に配置されたそれぞれの設備で現在行っているプロセスのプロセスデータをリアルタイムで監視することによって、プロセスデータのトレンドがさらに変化（変動）する可能性や、現在のプロセスが将来的に異常となる可能性があるか否かをリアルタイムで予測することができる。

このような構成によって、イベント解析装置１０では、プラント内に配置されたそれぞれの設備におけるイベントデータ（アラームイベントデータおよび操作イベントデータ）と、それぞれの設備で行っているプロセスのプロセスデータを変換したイベントデータ（プロセス変動イベントデータ）とを統合させることによって、設備におけるプロセスやイベントを組み合わせて、それぞれのイベント間の因果関係を解析する。これにより、イベント解析装置１０は、イベント解析装置１０のユーザに様々な情報を提示し、ユーザによる設備の稼働の管理を支援することができる。

なお、イベント解析システム１においてイベント解析装置１０は、例えば、イベント解析装置１０のユーザが使用する、パーソナルコンピュータ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ：ＰＣ）やサーバ装置内に構成されてもよい。この場合、イベント解析装置１０の機能、つまり、上述したイベント解析装置１０における因果関係の解析処理の機能や、イベント解析装置１０を構成するそれぞれの構成要素の機能は、パーソナルコンピュータ上やサーバ装置上で、イベント解析プログラムのソフトウェアを実行することによっても実現されてもよい。

ここで、イベント解析装置１０が、パーソナルコンピュータ内に構成される場合のハードウェア構成について説明する。図２は、本発明の実施形態のイベント解析装置１０におけるハードウェア構成の一例を示したブロック図である。図２において、イベント解析装置１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０ａと、ＲＡＭ１０ｂと、ＲＯＭ１０ｃと、ＨＤＤ１０ｄと、表示装置１０ｅと、入力装置１０ｆと、通信インターフェース（Ｉ／Ｆ）１０ｇと、を含んで構成される。イベント解析装置１０を構成するそれぞれの構成要素は、共通のバス１０ｈに接続されている。なお、イベント解析装置１０を構成するそれぞれの構成要素は、単体の装置として構成されていても、複数の装置の組み合わせたシステムとしてそれぞれの構成要素が構成されていてもよい。また、イベント解析装置１０を構成するそれぞれの構成要素は、他の装置やハードウェアと共用される構成であってもよい。

ＣＰＵ１０ａは、イベント解析装置１０における因果関係の解析処理の機能を実現するためのイベント解析プログラムを実行する処理装置である。ＲＡＭ１０ｂと、ＲＯＭ１０ｃと、ＨＤＤ１０ｄとのそれぞれは、ＣＰＵ１０ａが実行するイベント解析プログラムなどの各種プログラムや、ＣＰＵ１０ａが処理を実行している途中または処理の結果などを記憶する記憶装置である。イベント解析プログラムは、例えば、イベント解析プログラムを記録した記録媒体や、ネットワークを介して情報処理プログラムを提供するサーバなどによって提供され、例えば、ＨＤＤ１０ｄにインストールされる。ＣＰＵ１０ａがイベント解析プログラムを実行する際には、ＨＤＤ１０ｄにインストールされたイベント解析プログラムが、例えば、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などのＲＡＭ１０ｂに転送され、バス１０ｈを介してＣＰＵ１０ａとＲＡＭ１０ｂとが通信しながら実行される。

表示装置１０ｅは、例えば、液晶ディスプレイなどの表示デバイスを含んで構成され、ユーザに提供する情報の表示画面を表示する表示装置である。なお、表示装置１０ｅは、イベント解析システム１を構成する表示装置１３であってもよい。入力装置１０ｆは、ユーザによって操作される、例えば、キーボードなどの入力デバイスや、マウスなどのポインティングデバイスなどを含んで構成される入力装置である。なお、入力装置１０ｆは、イベント解析システム１を構成する表示装置１３に備える不図示の操作装置あってもよい。

通信インターフェース１０ｇは、イベント解析システム１を構成する制御システム１４、ヒストリアン１５、イベントデータベース１１、および因果モデルデータベース１２などの構成要素と間で、有線通信や無線通信による通信を行って、データの受け渡しを行う通信部である。通信インターフェース１０ｇにおける有線通信としては、有線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などの有線通信規格、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ（登録商標））などの有線インターフェース規格などに準拠した通信が考えられる。また、通信インターフェース１０ｇにおける無線通信としては、無線ＬＡＮ通信（いわゆる、ＷｉＦｉ（登録商標））などの無線通信規格、ブルートゥース（登録商標）（Ｂｌｕｅｔｏｏｔｈ（登録商標））などの短距離無線通信規格などに準拠した通信が考えられる。また、プラントにおいて行われる通信インターフェース１０ｇにおける通信としては、例えば、ＩＳＡ１００．１１ａなどの工業用の無線規格、センサネットワークシステムなどの無線規格、Ｗｉｒｅｌｅｓｓ／Ｗｉｒｅｄ ＨＡＲＴ（登録商標）などの無線と有線とが混在した通信規格、ＭＯＤＢＵＳ（登録商標）などのマスター／スレーブ方式の通信規格、ＦＯＵＮＤＡＴＩＯＮ（登録商標）フィールドバス、ＰＲＯＦＩＢＵＳ（ＰＲＯＣＥＳＳ ＦＩＥＬＤ ＢＵＳ）（登録商標）などのフィールドバス規格など、種々の通信規格や方式による通信が考えられる。

このような構成によって、イベント解析装置１０では、因果関係の解析処理の機能を、パーソナルコンピュータ内に構成されるハードウェア構成が実行するイベント解析プログラムのソフトウェアによって実現する。

次に、イベント解析装置１０において因果関係の解析処理を行う際の処理の流れについて説明する。図３は、本発明の実施形態のイベント解析装置１０において因果関係を解析する際の処理の流れ（処理シーケンス）を示したシーケンス図である。図３には、ユーザが着目するフィールド機器のイベントに関する因果関係の解析処理を行う際に動作するイベント解析装置１０（イベントデータ収集部１０１、イベントデータ集約部１０２、プロセスデータ収集部１０３、トレンド変化検出部１０４、イベントデータ変換部１０５、因果関係解析部１０６、および解析結果出力部１０７）と、イベント解析装置１０が利用するイベントデータベース１１とのそれぞれにおける処理の流れの一例を示している。なお、図３には、着目するフィールド機器のイベントを指定して因果関係の解析処理の実行を要求するイベント解析装置１０のユーザの作業（解析結果出力部１０７に対する操作）も併せて示している。

なお、以下の説明においては、制御システム１４にイベントログデータとプロセスログデータとのそれぞれがすでに保存されているものとする。なお、イベント解析装置１０では、イベントデータ集約部１０２とイベントデータ変換部１０５とのそれぞれが非同期に、対応するイベントデータを統合した統合イベントデータをイベントデータベース１１に記憶（保存）させる。しかし、以下の説明においては、イベントデータベース１１が、イベントデータ集約部１０２とイベントデータ変換部１０５とのそれぞれから出力されたイベントデータを統合して記憶（保存）するものとする。また、イベント解析装置１０は、制御システム１４に保存されているイベントログデータおよびプロセスログデータに基づいて因果関係の解析処理（以下、「因果解析」という）を行うものとする。

プロセスデータ収集部１０３は、制御システム１４から定期的に、プロセスログデータを取得（収集）する（ステップＳ１）。プロセスデータ収集部１０３は、一定期間分のプロセスログデータの収集が終わると、収集した一定期間分のプロセスログデータをトレンド変化検出部１０４に出力する。また、プロセスデータ収集部１０３は、出力したプロセスログデータのトレンド変化の検出を要求する（ステップＳ２）。

トレンド変化検出部１０４は、プロセスデータ収集部１０３からの要求に応じて、プロセスデータ収集部１０３から出力されたプロセスログデータに含まれる複数のプロセスデータに基づいて、プロセスデータのトレンド変化を検出する（ステップＳ３）。ステップＳ３においてトレンド変化検出部１０４は、上述したように、プロセスデータに表されているプロセス値の変動区間を判定し、トレンド変化の検出結果の情報として、分類した変動区間の情報をそれぞれのプロセスデータに付与する。そして、トレンド変化検出部１０４は、検出結果の情報を付与したプロセスデータを含んで構成されたプロセスログデータを、イベントデータ変換部１０５に出力する（ステップＳ４−１）。

イベントデータ変換部１０５は、トレンド変化検出部１０４から出力されたプロセスログデータに含まれるそれぞれのプロセスデータに付与されたトレンド変化の検出結果の情報に基づいて、プロセスログデータに含まれる複数のプロセスデータに表されているプロセスを、時間的な継続性を持ったプロセス変動イベントに変換する。そして、イベントデータ変換部１０５は、変換したプロセス変動イベントに、トレンド変化の検出結果の情報に基づいた情報（プロセス値が変動している状態を表す情報）を付与してプロセス変動イベントデータを生成し、生成したそれぞれのプロセス変動イベントデータを、イベントデータベース１１に出力して、統合イベントデータとして記憶（保存）させる（ステップＳ４−２）。

ここで、制御システム１４から取得したプロセスログデータに対する処理、つまり、プロセスログデータに基づいてプロセス変動イベントデータを生成する処理（ステップＳ１〜ステップＳ４−２）の一例について説明する。図４は、本発明の実施形態のイベント解析装置１０においてプロセスデータのトレンドの変化を検出する処理（ステップＳ３）、およびプロセス変動イベントデータを生成する処理（ステップＳ４−１およびステップＳ４−２）の一例を説明する図である。図４の（Ａ）には、ステップＳ１においてプロセスデータ収集部１０３が制御システム１４から取得（収集）したプロセスデータに表されているプロセス値（Ｐｒｏｃｅｓｓ Ｖａｌｕｅ：ＰＶ値）の大きさを縦軸とし、時間を横軸としたグラフによって、プロセス値のトレンド変化の一例を、時間軸の方向に表している。図４の（Ａ）に示した一例におけるプロセス値（ＰＶ値）は、タグ名＝「ＴＡＧ１」のフィールド機器が、設置されている設備において測定した測定値である。また、図４の（Ｂ）には、ステップＳ４−２においてイベントデータ変換部１０５が生成するプロセス変動イベントデータの一例を、２次元の表の形式で表している。図４の（Ｂ）では、図４の（Ａ）に示した一例のプロセス値のトレンド変化を表すそれぞれのプロセス変動イベントデータを、それぞれの行に並べて示している。また、図４の（Ｂ）では、それぞれのプロセス変動イベントデータに付与する情報を、それぞれの列に並べて示している。なお、図４の（Ｂ）においては、プロセス変動イベントデータの一例を２次元の表の形式で表しているが、プロセス変動イベントデータの形式は、表の形式に限定されるものではなく、同様の情報が含まれる形式であれば、いかなる形式であってもよい。

トレンド変化検出部１０４は、ステップＳ３において、プロセスデータ収集部１０３から出力されたプロセスログデータに含まれる複数のプロセスデータに表されているプロセス値のトレンド変化を検出する。そして、トレンド変化検出部１０４は、ステップＳ４−１において、プロセス値のトレンド変化を検出したそれぞれの変動区間を「不安定区間」、「目標値増加区間」、および「目標値減少区間」の３つの種類のいずれかの区間に分類する。トレンド変化検出部１０４は、以下のような手順によって、トレンド変化の検出（ステップＳ３）と、変動区間の分類（ステップＳ４−１）との処理を行う。

（手順１）：トレンド変化検出部１０４は、まず、タグ名＝「ＴＡＧ１」のフィールド機器に設定された目標値（Ｓｅｔ Ｖａｒｉａｂｌｅ：ＳＶ値）のトレンドを求める。フィールド機器に設定された目標値（ＳＶ値）のトレンドは、例えば、予め定めた長い期間のプロセスデータに表されているプロセス値（ＰＶ値）に対してローパスフィルタや回帰モデルなどによる処理を施して、プロセス値（ＰＶ値）の概ねの傾向（トレンド）を表す近似線を求めることによって行う。なお、トレンド変化検出部１０４は、プラント内に配置されたそれぞれの設備に設置されているフィールド機器に設定された目標値（ＳＶ値）の連続したデータ（以下、「トレンドデータ」という）を制御システム１４から取得することができる場合には、目標値（ＳＶ値）のトレンドを求める処理を行わずに、取得した目標値（ＳＶ値）のトレンドデータを利用してもよい。

（手順２）：トレンド変化検出部１０４は、連続した目標値（ＳＶ値）のトレンドデータと、それぞれのプロセスデータに表されているプロセス値（ＰＶ値）とを比較し、プロセス値（ＰＶ値）が目標値（ＳＶ値）から大きく変化した（予め定めたプロセス値の変化量よりも大きく変化した）箇所（時点）を検出する。図４の（Ａ）に示したプロセス値のトレンド変化のグラフでは、２０１６年１月１日の１０時０分０秒の箇所（時点）をプロセス値（ＰＶ値）が不安定な状態に大きく変化した箇所（時点）として検出し、さらに、２０１６年１月１日の１０時１２分０秒の箇所（時点）をプロセス値（ＰＶ値）が安定した状態に大きく変化した箇所（時点）として検出した場合を示している。また、図４の（Ａ）に示したプロセス値のトレンド変化のグラフでは、２０１６年２月３日の１２時１０分０秒の箇所（時点）をプロセス値（ＰＶ値）が不安定な状態に大きく変化した箇所（時点）として検出し、さらに、２０１６年２月３日の１２時３０分０秒の箇所（時点）をプロセス値（ＰＶ値）が安定した状態に大きく変化した箇所（時点）として検出した場合を示している。

（手順３）：トレンド変化検出部１０４は、手順２において検出したプロセス値（ＰＶ値）が不安定な状態に大きく変化した箇所（時点）から、安定した状態に大きく変化した箇所（時点）までの区間（変動区間）におけるプロセス値（ＰＶ値）の変動の状態に基づいて、プロセス値（ＰＶ値）が変動している状態を表すいずれかの区間に分類する。手順３では、まず、それぞれの変動区間を、一旦、目標値（ＳＶ値）が一定である区間と仮定する。ここで、トレンド変化検出部１０４は、例えば、変動区間の最初の箇所（時点）の目標値（ＳＶ値）を、一定の目標値（ＳＶ値）（以下、「仮目標値」という）として仮定する。そして、トレンド変化検出部１０４は、この区間内のそれぞれ箇所（時点）のプロセス値（ＰＶ値）について、仮目標値との差分を求める。その後、トレンド変化検出部１０４は、求めたそれぞれ箇所（時点）のプロセス値（ＰＶ値）と仮目標値との差分値が、大きくなる方向であるか、または小さくなる方向であるかによって、それぞれの変動区間を分類する。より具体的には、トレンド変化検出部１０４は、差分値が大きくなる方向（例えば、「プロセス値」−「仮目標値」が正の値）のみである変動区間を「目標値増加区間（Ｉｎｃｒｅａｓｅ）」に分類し、差分値が小さくなる方向（例えば、「プロセス値」−「仮目標値」が負の値）のみである変動区間を「目標値減少区間（Ｄｅｃｒｅａｓｅ）」に分類する。また、トレンド変化検出部１０４は、差分値が大きくなる方向と小さくなる方向との両方を含んでいる変動区間を「不安定区間（Ｕｎｓｔａｂｌｅ）」に分類する。図４の（Ａ）に示したプロセス値のトレンド変化のグラフでは、２０１６年１月１日の１０時０分０秒から２０１６年１月１日の１０時１２分０秒までの間の変動区間は、差分値が大きくなる方向と小さくなる方向との両方を含んでいる変動区間であるため、「不安定区間（Ｕｎｓｔａｂｌｅ）」に分類した場合を示している。また、図４の（Ａ）に示したプロセス値のトレンド変化のグラフでは、２０１６年２月３日の１２時１０分０秒から２０１６年２月３日の１２時３０分０秒までの間の変動区間は、差分値が大きくなる方向のみである変動区間であるため、「目標値増加区間（Ｉｎｃｒｅａｓｅ）」に分類した場合を示している。

トレンド変化検出部１０４は、手順３によって分類した変動区間の情報を付与したプロセスデータを含んで構成されたプロセスログデータを、イベントデータ変換部１０５に出力する。その後、イベントデータ変換部１０５は、ステップＳ４−２において、プロセス値のトレンド変化を検出した結果に基づいた情報を付与したプロセス変動イベントデータを生成する。

図４の（Ｂ）では、「開始時刻」、「終了時刻」、「タグ名」、「識別子」、および「タイプ」のそれぞれの情報を、イベントデータ変換部１０５がプロセス変動イベントデータを生成する際に付与する情報として示している。「開始時刻」および「終了時刻」は、トレンド変化検出部１０４が検出した変動区間を表す情報である。この「開始時刻」と「終了時刻」とによって、プロセス変動イベントデータが、時間的な継続性を持った（継続期間をもった）イベントであることが表される。また、「タグ名」は、トレンド変化検出部１０４がトレンド変化を検出したプロセス値を出力したフィールド機器の識別名を表す情報である。この「タグ名」によって、プロセス値が変化したプロセス、つまり、プラント内に配置された設備が表される。また、「識別子」は、分類された変動区間を表す情報である。この「識別子」によって、プロセス値がどのように変化したか、つまり、設備のプロセスの変化の状態が表される。また、「タイプ」は、プロセス変動イベントであることを表す情報である。この「タイプ」によって、後にプロセス変動イベントデータが統合イベントデータに統合された場合でも、プロセス変動イベントであることを判別することができる。なお、「タイプ」の情報以外は、トレンド変化検出部１０４が出力したプロセスログデータに付与されている情報でもある。「タイプ」の情報は、トレンド変化検出部１０４から出力されたプロセスログデータに基づいて生成したプロセス変動イベントデータであることから、イベントデータ変換部１０５が生成して付与してもよいし、トレンド変化検出部１０４が検出結果の情報としてプロセスデータに付与してイベントデータ変換部１０５に出力してもよい。

図４の（Ｂ）においてそれぞれの行に示されたプロセス変動イベントデータは、図４の（Ａ）に示したそれぞれの変動区間を表している。より具体的には、図４の（Ｂ）の１つ目のプロセス変動イベントデータは、「開始時刻」＝「２０１６／０１／０１ １０：００：００」、「終了時刻」＝「２０１６／０１／０１ １０：１２：００」、「タグ名」＝「ＴＡＧ１」、「識別子」＝「Ｕｎｓｔａｂｌｅ」、および「タイプ」＝「Ｔｒｅｎｄ」のそれぞれの情報が付与されている。これにより、１つ目のプロセス変動イベントデータは、２０１６年１月１日の１０時０分０秒から２０１６年１月１日の１０時１２分０秒までの間、タグ名＝「ＴＡＧ１」のフィールド機器が設置されている設備のプロセス値（ＰＶ値）に、不安定なトレンド変化が起こったことを表している。また、図４の（Ｂ）の２つ目のプロセス変動イベントデータは、「開始時刻」＝「２０１６／０２／０３ １２：１０：００」、「終了時刻」＝「２０１６／０２／０３ １２：３０：００」、「タグ名」＝「ＴＡＧ１」、「識別子」＝「Ｉｎｃｒｅａｓｅ」、および「タイプ」＝「Ｔｒｅｎｄ」のそれぞれの情報が付与されている。これにより、２つ目のプロセス変動イベントデータは、２０１６年２月３日の１２時１０分０秒から２０１６年２月３日の１２時３０分０秒までの間、タグ名＝「ＴＡＧ１」のフィールド機器が設置されている設備のプロセス値（ＰＶ値）が増加するトレンド変化が起こったことを表している。

このようにプロセスデータ収集部１０３、トレンド変化検出部１０４、およびイベントデータ変換部１０５のそれぞれが動作し、制御システム１４から取得したプロセスログデータに含まれる複数のプロセスデータを、「開始時刻」〜「終了時刻」で表される時間的な継続性を持ったプロセス変動イベントに変換する。なお、プロセスデータ収集部１０３、トレンド変化検出部１０４、およびイベントデータ変換部１０５のそれぞれは、上述したステップＳ１〜ステップＳ４−２の処理を、定期的に、繰り返し行う。

図３に戻って、イベント解析装置１０において因果解析を行う処理シーケンスの続きを説明する。

イベントデータ収集部１０１は、制御システム１４から定期的に、イベントログデータを取得（収集）する（ステップＳ５）。イベントデータ収集部１０１は、一定期間分のイベントログデータの収集が終わると、収集した一定期間分のイベントログデータをイベントデータ集約部１０２に出力する（ステップＳ６−１）。

イベントデータ集約部１０２は、イベントデータ収集部１０１から出力されたイベントログデータに含まれる複数のイベントデータに対して集約処理を行う。そして、イベントデータ集約部１０２は、集約処理を行った後の継続イベントデータを、イベントデータベース１１に出力して、統合イベントデータとして記憶（保存）させる（ステップＳ６−２）。

ここで、制御システム１４から取得したイベントログデータに対する集約処理（ステップＳ５〜ステップＳ６−２）の一例について説明する。図５は、本発明の実施形態のイベント解析装置１０において収集したイベントデータを集約して継続イベントデータを生成する処理（ステップＳ５〜ステップＳ６−２）の一例を説明する図である。図５の（Ａ）には、ステップＳ５においてイベントデータ集約部１０２が制御システム１４から取得（収集）したイベントログデータの一例を、２次元の表の形式で表している。図５の（Ａ）では、イベントログデータに含まれるイベントデータを、それぞれの行に並べて示している。また、図５の（Ａ）では、それぞれのイベントデータに付与されている情報を、それぞれの列に並べて示している。また、図５の（Ｂ）には、ステップＳ６−２においてイベントデータ集約部１０２が集約処理を施した後の継続イベントデータの一例を、２次元の表の形式で表している。図５の（Ｂ）では、それぞれの継続イベントデータを、それぞれの行に並べて示している。また、図５の（Ｂ）では、それぞれの継続イベントデータに付与する情報を、それぞれの列に並べて示している。なお、図５の（Ａ）および図５の（Ｂ）においては、イベントログデータおよび継続イベントデータの一例を２次元の表の形式で表しているが、イベントログデータおよび継続イベントデータの形式は、表の形式に限定されるものではなく、同様の情報が含まれる形式であれば、いかなる形式であってもよい。

図５の（Ａ）では、「日時」、「タグ名」、「識別子」、および「タイプ」のそれぞれの情報が付与されたイベントデータを示している。「日時」は、制御システム１４がイベントデータを取得したときに付与した時間（日時）を表す情報である。この「日時」によって、イベントデータに表されているイベントが発生した時刻が表される。また、「タグ名」は、イベントが発生したフィールド機器の識別名を表す情報である。この「タグ名」によって、イベントが発生したフィールド機器、つまり、プラント内に配置された設備が表される。また、「識別子」は、発生したイベントの種類や内容（アラームの種類や設定（操作）の種類、診断結果や設定値のデータ）を表す情報である。また、「タイプ」は、発生したイベントがアラームイベントであるか操作イベントであるかを表す情報である。この「識別子」と「タイプ」とによって、フィールド機器においてどのようなイベントが発生したのかが表される。

図５の（Ａ）においてそれぞれの行には、プラントにおいて発生したそれぞれのイベント（単発のイベント）のイベントデータを時系列に表している。より具体的には、図５の（Ａ）の１つ目のイベントデータは、「日時」＝「２０１６／０１／０１ １０：０１：００」、「タグ名」＝「ＴＡＧ２」、「識別子」＝「ＭＡＮ（Ｍａｎｕａｌ：手動）」、および「タイプ」＝「Ｏｐｅｒａｔｉｏｎ（操作）」のそれぞれの情報が付与されている。これにより、１つ目のイベントデータは、２０１６年１月１日の１０時１分０秒に、タグ名＝「ＴＡＧ２」のフィールド機器が、自動操作モードから手動操作モードに切り替えられる操作が行われたことを表す操作イベントを表している。また、図５の（Ａ）の２つ目のイベントデータは、「日時」＝「２０１６／０１／０１ １０：０３：０５」、「タグ名」＝「ＴＡＧ２」、「識別子」＝「ＭＶ（Ｍａｎｉｐｕｌａｔｅｄ Ｖａｒｉａｂｌｅ：操作量）」、および「タイプ」＝「Ｏｐｅｒａｔｉｏｎ」のそれぞれの情報が付与されている。これにより、２つ目のイベントデータは、２０１６年１月１日の１０時３分５秒に、タグ名＝「ＴＡＧ２」のフィールド機器に対して、操作量に応じた設定を行う操作が行われたことを表す操作イベントを表している。また、図５の（Ａ）の３つ目のイベントデータは、「日時」＝「２０１６／０１／０１ １０：０４：００」、「タグ名」＝「ＴＡＧ１」、「識別子」＝「ＨＩ（Ｈｉｇｈ）」、および「タイプ」＝「Ａｌａｒｍ（アラーム）」のそれぞれの情報が付与されている。これにより、３つ目のイベントデータは、２０１６年１月１日の１０時４分０秒に、タグ名＝「ＴＡＧ１」のフィールド機器が、測定値が高くなったことを表すアラームが発せられたことを表すアラームイベントを表している。また、図５の（Ａ）の４つ目のイベントデータは、「日時」＝「２０１６／０１／０１ １０：０４：３０」、「タグ名」＝「ＴＡＧ２」、「識別子」＝「ＭＶ」、および「タイプ」＝「Ｏｐｅｒａｔｉｏｎ」のそれぞれの情報が付与されている。また、図５の（Ａ）の５つ目のイベントデータは、「日時」＝「２０１６／０１／０１ １０：０６：３０」、「タグ名」＝「ＴＡＧ２」、「識別子」＝「ＭＶ」、および「タイプ」＝「Ｏｐｅｒａｔｉｏｎ」のそれぞれの情報が付与されている。また、図５の（Ａ）の６つ目のイベントデータは、「日時」＝「２０１６／０１／０１ １０：０８：００」、「タグ名」＝「ＴＡＧ２」、「識別子」＝「ＭＶ」、および「タイプ」＝「Ｏｐｅｒａｔｉｏｎ」のそれぞれの情報が付与されている。４つ目〜６つ目のイベントデータによって、２０１６年１月１日の１０時４分３０秒、２０１６年１月１日の１０時６分３０秒、および２０１６年１月１日の１０時８分０秒に、タグ名＝「ＴＡＧ２」のフィールド機器に対して、操作量に応じた設定を行う操作が行われたことを表す操作イベントを表している。また、図５の（Ａ）の７つ目のイベントデータは、「日時」＝「２０１６／０１／０１ １０：０９：００」、「タグ名」＝「ＴＡＧ２」、「識別子」＝「ＡＵＴ（Ａｕｔｏｍａｔｉｃ：自動）」、および「タイプ」＝「Ｏｐｅｒａｔｉｏｎ」のそれぞれの情報が付与されている。これにより、７つ目のイベントデータは、２０１６年１月１日の１０時９分０秒に、タグ名＝「ＴＡＧ２」のフィールド機器が、手動操作モードから自動操作モードに切り替えられる操作が行われたことを表す操作イベントを表している。

イベントデータ集約部１０２は、図５の（Ａ）に示されたようなそれぞれのイベントログデータに対して集約処理を行う。イベントデータ集約部１０２による集約処理では、上述したように、予め定められた想定される短い期間内に繰り返される同じ種類の単発のイベントを、時間的な継続期間を持つ１つのイベントにまとめる。図５の（Ａ）に示したイベントデータでは、２つ目、４つ目、５つ目、および６つ目の操作イベントの操作イベントデータが、オペレータが同じ意志を持って行ってタグ名＝「ＴＡＧ２」のフィールド機器に対して、例えば、５分以内にランピングの操作を行った操作イベントデータであると考えられる。そこで、以下の説明においては、イベントデータ集約部１０２が、２つ目、４つ目、５つ目、および６つ目の操作イベントの操作イベントデータを、集約処理によって１つのイベントデータ（継続イベントデータ）としてまとめられる同じ種類のイベントデータとした場合を考える。この場合、イベントデータ集約部１０２は、図５の（Ｂ）に示したような継続イベントデータを出力する。

図５の（Ｂ）においてそれぞれの行には、イベントデータ集約部１０２が出力したそれぞれの継続イベントデータを時系列に表している。より具体的には、図５の（Ｂ）の１つ目の継続イベントデータは、「開始時刻」＝「終了時刻」＝「２０１６／０１／０１ １０：０１：００」、「タグ名」＝「ＴＡＧ２」、「識別子」＝「ＭＡＮ」、および「タイプ」＝「Ｏｐｅｒａｔｉｏｎ」のそれぞれの情報が付与されている。この１つ目の継続イベントデータは、図５の（Ａ）に示した１つ目の操作イベントデータに対応した継続イベントデータである。１つ目の操作イベントデータは、単発（１回）の操作イベントの操作イベントデータであるため、集約処理によってまとめられず、「開始時刻」と「終了時刻」との両方に、１つ目の操作イベントデータに付与されている「日時」＝「２０１６／０１／０１ １０：０１：００」が付与されている。なお、１つ目の継続イベントデータの「タグ名」、「識別子」、および「タイプ」のそれぞれの情報は、１つ目の操作イベントデータに付与されているイベントの種類の情報である。また、図５の（Ｂ）の２つ目の継続イベントデータは、「開始時刻」＝「２０１６／０１／０１ １０：０３：０５」、「終了時刻」＝「２０１６／０１／０１ １０：０８：００」、「タグ名」＝「ＴＡＧ２」、「識別子」＝「ＭＶ」、および「タイプ」＝「Ｏｐｅｒａｔｉｏｎ」のそれぞれの情報が付与されている。この２つ目の継続イベントデータは、図５の（Ａ）に示した２つ目、４つ目、５つ目、および６つ目の操作イベントデータが集約処理によってまとめられた継続イベントデータである。２つ目の操作イベントデータは、「開始時刻」に２つ目の操作イベントデータに付与されている「日時」＝「２０１６／０１／０１ １０：０３：０５」が付与され、「終了時刻」に６つ目の操作イベントデータに付与されている「日時」＝「２０１６／０１／０１ １０：０８：００」が付与されている。なお、２つ目の継続イベントデータの「タグ名」、「識別子」、および「タイプ」のそれぞれの情報は、２つ目、４つ目、５つ目、および６つ目のいずれかの操作イベントデータ（例えば、２つ目の操作イベントデータ）に付与されているイベントの種類の情報である。また、図５の（Ｂ）の３つ目の継続イベントデータは、「開始時刻」＝「終了時刻」＝「２０１６／０１／０１ １０：０４：００」、「タグ名」＝「ＴＡＧ１」、「識別子」＝「ＨＩ」、および「タイプ」＝「Ａｌａｒｍ」のそれぞれの情報が付与されている。この３つ目の継続イベントデータは、図５の（Ａ）に示した３つ目のアラームイベントデータに対応した継続イベントデータである。３つ目の操作イベントデータも、単発（１回）のアラームイベントのアラームイベントデータであるため、集約処理によってまとめられずに、「開始時刻」と「終了時刻」との両方に、３つ目のアラームイベントデータに付与されている「日時」＝「２０１６／０１／０１ １０：０４：００」が付与され、「タグ名」、「識別子」、および「タイプ」のそれぞれに、３つ目のアラームイベントデータのイベントの種類の情報が付与されている。また、図５の（Ｂ）の４つ目の継続イベントデータは、「開始時刻」＝「終了時刻」＝「２０１６／０１／０１ １０：０９：００」、「タグ名」＝「ＴＡＧ２」、「識別子」＝「ＡＵＴ」、および「タイプ」＝「Ｏｐｅｒａｔｉｏｎ」のそれぞれの情報が付与されている。この４つ目の継続イベントデータは、図５の（Ａ）に示した７つ目の操作イベントデータに対応した継続イベントデータである。７つ目の操作イベントデータも、単発（１回）の操作イベントの操作イベントデータであるため、「開始時刻」と「終了時刻」との両方に、７つ目の操作イベントデータに付与されている「日時」＝「２０１６／０１／０１ １０：０９：００」が付与され、「タグ名」、「識別子」、および「タイプ」のそれぞれに、７つ目の操作イベントデータのイベントの種類の情報が付与されている。

このようにイベントデータ収集部１０１とイベントデータ集約部１０２とのそれぞれが動作し、制御システム１４から取得したイベントログデータに含まれる複数のイベントデータにおいて１つのイベントデータとしてまとめられる同じ種類のイベントデータを集約処理によってまとめ、「開始時刻」〜「終了時刻」で表される時間的な継続期間を持った１つのイベントデータに変換する。なお、イベントデータ収集部１０１とイベントデータ集約部１０２とのそれぞれは、上述したステップＳ５〜ステップＳ６−２の処理を、定期的に、繰り返し行う。

図３に戻って、イベント解析装置１０において因果解析を行う処理シーケンスの続きを説明する。

イベントデータベース１１は、イベントデータ変換部１０５から出力されたプロセス変動イベントデータと、イベントデータ集約部１０２から出力された継続イベントデータとのそれぞれを統合した統合イベントデータを記憶（保存）する（ステップＳ７）。なお、上述したように、プロセスデータ収集部１０３、トレンド変化検出部１０４、およびイベントデータ変換部１０５とのそれぞれによるステップＳ１〜ステップＳ４−２の処理と、イベントデータ収集部１０１およびイベントデータ集約部１０２のそれぞれによるステップＳ５〜ステップＳ６−２の処理とは、非同期に、定期的なタイミングで繰り返し行われる。従って、イベントデータベース１１は、プロセス変動イベントデータまたは継続イベントデータが入力されてきたタイミングで、すでに記憶（保存）している統合イベントデータに、入力されたプロセス変動イベントデータや継続イベントデータをさらに統合し、統合した統合イベントデータを適宜記憶（保存）する。

ここで、イベントデータベース１１に記憶（保存）される統合イベントデータの一例について説明する。図６は、本発明の実施形態のイベント解析装置１０において統合したイベントデータ（統合イベントデータ）の一例を説明する図である。

図６においてそれぞれの行には、統合イベントデータに統合されたプロセス変動イベントデータまたは継続イベントデータ（アラームイベントデータや操作イベントデータ）のいずれかのイベントデータを、「開始時刻」に基づいて時系列に表している。より具体的には、図６の１つ目のイベントデータは、図４の（Ｂ）に示した１つ目のプロセス変動イベントデータである。また、図６の２つ目および３つ目のイベントデータは、図５の（Ｂ）に示した１つ目および２つ目の継続イベントデータ（操作イベントデータ）である。また、図６の４つ目のイベントデータは、図５の（Ｂ）に示した３つ目の継続イベントデータ（アラームイベントデータ）である。また、図６の５つ目のイベントデータは、図５の（Ｂ）に示した４つ目の継続イベントデータ（操作イベントデータ）である。また、図６の６つ目のイベントデータは、図４の（Ｂ）に示した２つ目のプロセス変動イベントデータである。

図６では、「開始時刻」、「終了時刻」、「タグ名」、「識別子」、および「タイプ」のそれぞれの情報が、統合イベントデータにおけるそれぞれのイベントの種類を表す情報として付与されている。このイベントの種類を表す情報は、プロセス変動イベントデータ（図４の（Ｂ）参照）および継続イベントデータ（図５の（Ｂ）参照）のそれぞれに付与されている情報である。このように、プロセス変動イベントデータと継続イベントデータとのそれぞれに同じイベントの種類を表す情報を付与することによって、イベント解析装置１０では、プロセスログデータとイベントログデータとを組み合わせた因果解析を行うことができる。つまり、イベント解析装置１０では、イベントデータ変換部１０５が、継続イベントデータ（アラームイベントデータや操作イベントデータ）と同様の形式でイベントの種類を表す情報を付与することによって、プラント内に配置されたそれぞれの設備で行っている様々なプロセスの変動と、設備のアラームや設備に対する操作などのイベントとを組み合わせて、因果解析を行うことができる。

イベント解析装置１０では、上述したステップＳ１〜ステップＳ７の処理を、定期的に、繰り返し行う。なお、イベント解析装置１０では、上述したステップＳ１〜ステップＳ７の処理を、以下に説明する因果解析の処理がユーザから要求されたときに行う構成してもよい。

図３に戻って、イベント解析装置１０において因果解析を行う処理シーケンスの続きを説明する。

ユーザは、イベント解析装置１０に対して着目するフィールド機器のイベント（プロセスであってもよい）を指定し、指定したイベントに関する因果解析の実行を要求する（ステップＳ８）。なお、図３に示したイベント解析装置１０の処理シーケンスでは、ステップＳ８におけるユーザの処理を、解析結果出力部１０７に備えたユーザインターフェースの機能によって行っているものとして示しているが、本発明においては、ユーザがステップＳ８において行う処理の方法に関しては、特に規定しない。例えば、ユーザは、表示装置１３に備えた不図示の操作装置の機能を操作することによって、ステップＳ８の処理を行ってもよい。なお、ユーザによるステップＳ８の処理は、イベント解析装置１０における上述したステップＳ１〜ステップＳ７の処理と非同期に行われる。

ユーザからの指定したイベントに関する因果解析の実行が要求されると、解析結果出力部１０７は、指定されたフィールド機器のイベントの情報と共に、因果解析の実行要求を、因果関係解析部１０６に出力する（ステップＳ９）。これにより、因果関係解析部１０６は、解析結果出力部１０７から出力された因果解析の実行要求に応じて、因果解析の処理を開始する。

因果関係解析部１０６は、因果解析の処理を開始すると、まず、因果関係解析部１０６に備えた関連性解析モジュール１０６１は、Ｐ＆ＩＤなどのプラントの構成情報に基づいて、指定されたフィールド機器の関連タグを絞り込む（ステップＳ１０−１）。そして、関連性解析モジュール１０６１は、イベントデータベース１１に記憶（保存）されている統合イベントデータの中から、関連タグによって特定されたタグ名が識別名として付与されている全てのイベントデータを取得する（ステップＳ１０−２）。その後、関連性解析モジュール１０６１は、イベントデータベース１１から取得したそれぞれのイベントデータに基づいて、関連イベントを絞り込む（ステップＳ１０−３）。

ここで、関連性解析モジュール１０６１が関連イベントを絞り込む処理（ステップＳ１０−３）の一例について説明する。関連性解析モジュール１０６１は、イベントデータベース１１から取得したそれぞれのイベントデータに含まれる開始時刻と終了時刻とに基づいて、それぞれのイベントの継続期間を算出し、算出したそれぞれのイベントの継続期間を時間軸上に並べて、類似度（関連度）の高いイベントの組み合わせを関連イベントとして絞り込む。なお、異なる２種類のイベント間の類似度（関連度）は、条件付き確率に基づいて算出することができる。また、異なる２種類のイベント間の条件付き確率は、それぞれのイベントが発生した回数（発生回数）と、それぞれのイベントが発生している区間、つまり、イベントの継続期間が重なった回数などをカウントしたカウント値に基づいて算出することができる。

図７は、本発明の実施形態のイベント解析装置１０において関連性の高いイベント（関連イベント）を絞り込む処理（ステップＳ１０−３）の一例を説明する図である。図７には、異なる２種類のイベント（イベントａおよびイベントｂ）の継続期間を時間軸上に並べた状態を示している。より具体的には、イベントデータベース１１から取得したそれぞれのイベントデータに３回発生したイベントａのイベントデータが含まれている場合、関連性解析モジュール１０６１は、３回発生したイベントａのそれぞれの継続期間（継続期間ａ１〜継続期間ａ３）が表している時間を、時間軸上に並べて配置する。なお、図７においては、時間軸上に配置した１回目のイベントａの継続期間ａ１が、２０１５年６月５日の１２時０分から２０１５年６月５日の１２時５０分までの間である状態を示している。また、イベントデータベース１１から取得したそれぞれのイベントデータに４回発生したイベントｂのイベントデータが含まれている場合、関連性解析モジュール１０６１は、イベントａと同様に、４回発生したイベントｂのそれぞれの継続期間（継続期間ｂ１〜継続期間ｂ４）が表している時間を、時間軸上に並べて配置する。なお、図７においては、時間軸上に配置した１回目のイベントｂの継続期間ｂ１が、２０１５年６月５日の１２時２０分から２０１５年６月５日の１３時０分までの間である状態を示している。

関連性解析モジュール１０６１は、図７に示したような関係となっているイベントａとイベントｂと間の条件付き確率を算出し、さらに、算出した条件付き確率に基づいて、イベントａとイベントｂと間の類似度を算出する。図７に示した一例では、イベントａの発生回数は３回、イベントｂの発生回数は４回である。また、図７に示した一例では、イベントａの継続期間とイベントｂの継続期間とが重なった回数は、継続期間ａ１および継続期間ｂ１の重なりと、継続期間ａ２および継続期間ｂ２の重なりとの２回である。このことから、関連性解析モジュール１０６１は、イベントａが発生した場合にイベントｂが発生する条件付き確率を下式（１）のように求める。

Ｐ（ｂ＝１｜ａ＝１）＝ ２／３ ・・・（１）

また、同様に、関連性解析モジュール１０６１は、イベントｂが発生した場合にイベントａが発生する条件付き確率を下式（２）のように求める。

Ｐ（ａ＝１｜ｂ＝１）＝ ２／４ ・・・（２）

そして、関連性解析モジュール１０６１は、上式（１）および上式（２）で求めた両方の条件付き確率の平均値を用いて、イベントａとイベントｂと間の類似度を求める。

このようにして、関連性解析モジュール１０６１は、イベントデータベース１１からイベントデータを取得したそれぞれのイベントに対して、異なる２種類のイベント間の類似度を求め、求めたそれぞれの類似度に基づいて、類似度の高いイベントの組み合わせを関連イベントとして絞り込む。そして、関連性解析モジュール１０６１は、イベントデータベース１１から取得したイベントデータの内、関連イベントとして絞り込んだイベントのイベントデータを、関連イベントデータとして、因果関係解析部１０６に備えた因果モデル構築モジュール１０６２に出力する。なお、関連性解析モジュール１０６１が類似度を求める方法は、上述した条件付き確率を用いる方法に限定されるものではない。例えば、因果関係解析部１０６は、それぞれのイベント間の相関係数や相互情報量などに基づいて類似度を求めてもよい。

図３に戻って、イベント解析装置１０において因果解析を行う処理シーケンスの続きを説明する。

因果関係解析部１０６に備えた因果モデル構築モジュール１０６２は、関連性解析モジュール１０６１から出力された関連イベントデータに基づいて、イベント間の因果関係の情報、イベントの発生時間差の分布の情報、および発生したそれぞれのイベントの継続期間の分布の情報を持った因果モデルを生成（構築）する（ステップＳ１０−４）。

ここで、因果モデル構築モジュール１０６２が因果モデルを生成する構築処理（ステップＳ１０−４）の一例について説明する。因果モデル構築モジュール１０６２は、関連性解析モジュール１０６１から出力された関連イベントデータに基づいて、それぞれのイベントの継続期間を、予め定めた基準時間幅のブロックの単位で分割した時間軸上に並べことによって、同じ関連イベントを表す複数のブロックを事象としてまとめ、それぞれの事象に含まれるイベントの情報を折り畳んだ投影データを含んだ投影イベントデータを生成する。ここで、ブロックの時間幅（基準時間幅）は、関連イベントデータに含まれるそれぞれのイベントの継続期間に基づいて、適切な時間幅を定める。例えば、ブロックの時間幅を、関連イベントデータに含まれる全てのイベントの継続期間の中で最も短い継続期間を少なくとも１つのブロックで表すことができる時間幅とする。なお、ブロックの時間幅（基準時間幅）は、後にユーザに提示する情報における時間の精度に応じて、適切な時間幅を定めてもよい。そして、因果モデル構築モジュール１０６２は、生成した投影イベントデータに基づいて、イベント間の因果関係の情報、イベントの発生時間差の分布の情報、および発生したそれぞれのイベントの継続期間の分布の情報を持った因果モデル（ベイジアンネットワーク）を構築する。

まず、因果モデル構築モジュール１０６２が、関連性解析モジュール１０６１から出力された関連イベントデータに含まれるそれぞれのイベントを事象にまとめる処理について説明する。図８は、本発明の実施形態のイベント解析装置１０において関連性の高いイベント（関連イベント）をまとめる処理の一例を説明する図である。図８には、異なる３種類のイベント（イベントＡ、イベントＢ、及びイベントＣ）の継続期間を、基準時間幅をΔＴとして予め定めたブロックの単位で分割された時間軸上に並べた状態を示している。より具体的には、関連性解析モジュール１０６１から出力された関連イベントデータに３回発生したイベントＡのイベントデータが含まれている場合、因果モデル構築モジュール１０６２は、３回発生したイベントＡのそれぞれの継続期間（継続期間Ａ１〜継続期間Ａ３）を、ブロックの単位で分割された時間軸上に並べて配置する。また、関連性解析モジュール１０６１から出力された関連イベントデータに４回発生したイベントＢのイベントデータが含まれている場合、因果モデル構築モジュール１０６２は、イベントＡと同様に、４回発生したイベントＢのそれぞれの継続期間（継続期間Ｂ１〜継続期間Ｂ４）を、同じ時間軸上に並べて配置する。また、関連性解析モジュール１０６１から出力された関連イベントデータに２回発生したイベントＣのイベントデータが含まれている場合、因果モデル構築モジュール１０６２は、イベントＡおよびイベントＢと同様に、２回発生したイベントＣのそれぞれの継続期間（継続期間Ｃ１および継続期間Ｃ２）を、同じ時間軸上に並べて配置する。

因果モデル構築モジュール１０６２は、図８に示したようにそれぞれのイベントの継続期間が配置された時間軸において、同じ関連イベントに絞り込まれたイベントの継続期間が配置されている複数のブロックを１つの「事象」にまとめる。図８に示した一例では、同じ関連イベントに絞り込まれた１回目のイベントＡの継続期間Ａ１、１回目のイベントＢの継続期間Ｂ１、および１回目のイベントＣの継続期間Ｃ１が配置されている複数のブロックを、「事象１」としてまとめた状態を示している。また、図８に示した一例では、同じ関連イベントに絞り込まれた２回目のイベントＡの継続期間Ａ２、２回目のイベントＢの継続期間Ｂ２、および２回目のイベントＣの継続期間Ｃ２が配置されている複数のブロックを、「事象２」としてまとめた状態を示している。同様に、図８に示した一例では、３回目のイベントＢの継続期間Ｂ３が配置されている複数のブロックを「事象３」としてまとめ、３回目のイベントＡの継続期間Ａ３が配置されている複数のブロックを「事象４」としてまとめ、４回目のイベントＢの継続期間Ｂ４が配置されている複数のブロックを「事象５」としてまとめた状態を示している。

なお、図８に示したように、それぞれのイベントの継続期間は、複数のブロックに跨がって配置される場合もあるが、１つのブロックのみに配置される場合もある。そして、図８に示したように、同じイベントの継続期間であっても、配置されるブロックの数は、継続期間ごとに異なっている。また、図８に示したように、それぞれの事象を構成するブロックの数は、事象ごとに異なっている。これは、関連イベントデータに含まれる継続期間を持ったそれぞれのイベントは、時間のばらつきが大きいため、それぞれのイベントの継続期間や他のイベントとの間に大きな時間差があるためである。そこで、因果モデル構築モジュール１０６２では、時間差のばらつきが大きいイベント同士であっても因果解析が行えるように、つまり、時間差のばらつきの影響を受けずにイベント同士の因果解析が行えるように、それぞれの事象にまとめられたイベントの情報を投影データに折り畳み、この投影データで表された投影イベントデータを生成する。

続いて、因果モデル構築モジュール１０６２が、投影データを含んだ投影イベントデータを生成する処理について説明する。図９は、本発明の実施形態のイベント解析装置１０において因果モデル（ベイジアンネットワーク）を構築するためのイベントデータ（投影イベントデータ）を生成する処理の一例を説明する図である。図９には、図８に示した処理においてまとめられたそれぞれの事象を構成する複数のブロックが表す、同じ関連イベントに絞り込まれたそれぞれのイベントの情報を対応する投影データに折り畳み、それぞれの事象に対応する投影データを含んだ投影イベントデータを生成する処理を示している。図９の上段には、図８に示した処理において時間軸上に配置された、それぞれのイベントの継続期間の配置の状態を表すブロックの情報を表している。また、図９の下段には、図９の上段に示したそれぞれの事象を構成する複数のブロックが表す情報を、対応する投影データに折り畳んで含めることによって生成する投影イベントデータを示している。

図９の上段に示したように、時間軸上に配置された異なる３種類のイベント（イベントＡ、イベントＢ、及びイベントＣ）の継続期間の配置の状態は、それぞれのブロックに継続期間が配置されているか否かによって表すことができる。図９の上段においては、イベントの継続期間が配置されている場合のデータを「１」とし、イベントの継続期間が配置されていない場合のデータを「０」として、それぞれのブロックにおけるイベントの継続期間の配置の状態を表している。例えば、図９の上段に示したイベントＡにおける事象１では、１番目のブロックから５番目のブロックまでがイベントＡの継続期間であることを表すため、１番目から５番目までの５つのブロックのそれぞれのデータを「１」とし、他のブロック（６番目のブロック）のデータを「０」としている。同様に、図９の上段に示したイベントＢにおける事象１では、３番目のブロックから６番目のブロックまでがイベントＢの継続期間であることを表すため、３番目から６番目までの４つのブロックのそれぞれのデータを「１」とし、他のブロック（１番目および２番目のブロック）のデータを「０」としている。同様に、図９の上段に示したイベントＣにおける事象１では、５番目のブロックのみがイベントＣの継続期間であることを表すため、５番目のブロックのみのデータを「１」とし、他のブロック（１番目〜４番目のブロック、および６番目のブロック）のデータを「０」としている。

そして、因果モデル構築モジュール１０６２は、それぞれの事象における１番目のブロックに、事象を構成する複数のブロックが表す情報を折り畳んで投影することによって、図９の下段に示したような構成の投影データを含んだ投影イベントデータを生成する。上述したように、それぞれの投影データには、イベントの発生の有無や、イベント間の時間差、イベントの継続期間の情報が含まれている。それぞれの投影データにおけるイベントの発生の有無の情報は、イベントが発生している場合、つまり、いずれかのブロックにイベントの継続期間が配置されている場合を「１」とし、イベントが発生しなかった場合、つまり、いずれのブロックにもイベントの継続期間が配置されていない場合を「０」として表す。また、それぞれの投影データにおけるイベント間の時間差の情報は、それぞれの事象における１番目のブロックからイベントの継続期間が配置されたブロックまでのブロックの数を、１番目のブロックからの遅れ時間として、基準時間幅＝ΔＴの倍数で表す。また、それぞれの投影データにおけるイベントの継続期間の情報は、イベントの継続期間が配置されたブロックの数で表す。例えば、図９の下段に示したように、図９の上段に示したイベントＡにおける事象１に対応する投影データは、１番目から５番目までの５つのブロックにイベントＡの継続期間が配置されているため、イベントの発生有無＝「１」（イベントの発生あり）、遅れ時間＝「０」、継続期間＝「５」とする。同様に、図９の上段に示したイベントＢにおける事象１に対応する投影データは、１番目および２番目の２つのブロックだけ遅れて、３番目から６番目までの４つのブロックにイベントＢの継続期間が配置されているため、イベントの発生有無＝「１」（イベントの発生あり）、遅れ時間＝「２ΔＴ」、継続期間＝「４」とする。同様に、図９の上段に示したイベントＣにおける事象１に対応する投影データは、１番目〜４番目のブロックの４つのブロックだけ遅れて、５番目のブロックのみにイベントＣの継続期間が配置されているため、イベントの発生有無＝「１」（イベントの発生あり）、遅れ時間＝「４ΔＴ」、継続期間＝「１」とする。

なお、図９の下段に示したように、図９の上段に示した時間軸において、いずれのイベントの継続期間が配置されなかったそれぞれのブロックは、投影データとしてそのまま投影イベントデータに含まれる。

続いて、因果モデル構築モジュール１０６２が、生成した投影イベントデータに基づいて、因果モデル（ベイジアンネットワーク）を構築する処理について説明する。なお、因果モデル構築モジュール１０６２では、例えば、ＭＷＳＴ法やｋ２など、従来のイベント解析装置においてベイジアンネットワークを構築する際に用いたアルゴリズムと同様のアルゴリズムで、イベント間の因果関係を求めることができる情報を持ったベイジアンネットワークを構築することができる。これは、上述したように、投影イベントデータでは、時間的な要素を１つのイベントとして含ませることにより、ベイジアンネットワークを構築するためのアルゴリズムに特別な構成を必要としないからである。従って、以下の説明においては、因果モデル構築モジュール１０６２において、イベント間の因果関係を求めるための情報を持ったベイジアンネットワークの構築方法に関する詳細な説明は省略し、因果モデル構築モジュール１０６２が構築したベイジアンネットワークの一例について説明する。図１０は、本発明の実施形態のイベント解析装置１０において構築した因果モデル（ベイジアンネットワーク）の一例を示した図である。図１０には、図９の下段に示した投影イベントデータに基づいて生成したベイジアンネットワークの一例を示している。

因果モデル構築モジュール１０６２では、投影イベントデータのそれぞれのイベントとして、対応する事象の遅れ時間と継続期間との時間的な要素を含ませることにより、構築するベイジアンネットワークに、さらに、イベント間の時間差の分布やそれぞれのイベントの継続期間の分布を、全てのイベントに対して求めることができる情報を持たせることができる。図１０に示したベイジアンネットワークの一例において、Ａ〜Ｃのそれぞれは、図９の下段に示した投影イベントデータに含まれるイベントＡ〜イベントＣのそれぞれに対応する。図１０に示したベイジアンネットワークの一例では、イベントＡが発生した場合に、「Ｐ（Ｂ｜Ａ）」の確率でイベントＢが発生し、その際の遅れ時間は、「Ｄｅｌａｙ（Ａ、Ｂ）」であることを表している。また、図１０に示したベイジアンネットワークの一例では、イベントＡの発生によってイベントＢが発生した場合に、「Ｐ（Ｃ｜Ａ、Ｂ）」の確率でさらにイベントＣが発生し、その際の遅れ時間は、「Ｄｅｌａｙ（Ｂ、Ｃ）」であることを表している。また、図１０に示したベイジアンネットワークの一例では、イベントＡに対するイベントＣの遅れ時間は、「Ｄｅｌａｙ（Ａ、Ｃ）」であることを表している。

図１０に示した一例のようなベイジアンネットワークによって、あるイベントが発生した場合に、このイベントと因果関係がある他のイベントが発生する際の遅れ時間と継続期間とを条件付き確率で求めることができる。例えば、図９の下段に示した投影イベントデータでは、事象１において、イベントＡが発生したときのイベントＢの遅れ時間＝「２ΔＴ」と、イベントＣの遅れ時間＝「４ΔＴ」とから、イベントＢが発生してからイベントＣが発生するまでの遅れ時間（時間差）は、遅れ時間＝「２ΔＴ」であることがわかる。また、図９の下段に示した投影イベントデータでは、事象２において、イベントＡが発生したときのイベントＢの遅れ時間＝「ΔＴ」と、イベントＣの遅れ時間＝「２ΔＴ」とから、イベントＢが発生してからイベントＣが発生するまでの遅れ時間（時間差）は、遅れ時間＝「ΔＴ」であることがわかる。このとき、基準時間幅ΔＴを、ΔＴ＝「１０分」とすると、イベントＡの発生によってイベントＢが発生し、さらにイベントＣが発生する際の、イベントＢとイベントＣとの間の遅れ時間は、遅れ時間「Ｄｅｌａｙ（Ｂ、Ｃ）」から、遅れ時間＝「ΔＴ」＝「１０分」である確率は５０％であり、遅れ時間＝「２ΔＴ」＝「２０分」である確率は５０％であることを求めることができる。

このようにして、因果モデル構築モジュール１０６２は、関連性解析モジュール１０６１から出力された関連イベントデータに基づいて、同じ関連イベントに絞り込まれたそれぞれのイベントの情報を投影データとして含んだ投影イベントデータを生成する。その後、因果モデル構築モジュール１０６２は、生成した投影イベントデータに基づいて、イベント間の因果関係、イベントの発生時間差（遅れ時間）の分布、およびイベントの継続期間の分布を求めることができる情報を持った因果モデル（ベイジアンネットワーク）を構築する。そして、因果モデル構築モジュール１０６２は、構築した因果モデル（ベイジアンネットワーク）を、因果モデルデータベース１２に出力して記憶（保存）させる。

図３に戻って、イベント解析装置１０において因果解析を行う処理シーケンスの続きを説明する。

因果関係解析部１０６に備えた因果分析モジュール１０６３は、因果モデルデータベース１２に記憶（保存）されている因果モデル（ベイジアンネットワーク）に基づいて、ステップＳ８において指定されたイベントに関する因果解析を実行する（ステップＳ１０−５）。因果分析モジュール１０６３における因果解析では、因果モデル構築モジュール１０６２が生成したベイジアンネットワークに基づいて、従来のイベント解析装置においてベイジアンネットワークを用いて行う因果解析と同様に、指定されたイベントが発生する原因の推定や、指定されたイベントを原因とした他のイベントの発生の予測などのイベント間の因果関係の解析を行う。このとき、因果分析モジュール１０６３が因果解析に用いるベイジアンネットワークには、従来のイベント解析装置において生成したベイジアンネットワークのように、設備において発生したイベント（アラームイベントや操作イベント）のみではなく、設備で行っているプロセスにおけるプロセス値の変動も、イベント（プロセス変動イベント）として含まれている。このため、因果分析モジュール１０６３における因果解析では、指定されたイベントを原因としたアラームイベントや操作イベントの発生の予測のみではなく、プロセス変動イベントが発生する原因の推定や、プロセス変動イベントを原因とした他のイベント（プロセス変動イベントも含む）の発生の予測、つまり、プラント内に配置されたそれぞれの設備で行っている様々なプロセスの将来的な変動の発生の推定や予測も、因果関係の解析として行われる。さらに、因果モデル構築モジュール１０６２が生成したベイジアンネットワークには、上述したように、イベント間の因果関係に加えて、イベントの発生時間差（遅れ時間）の分布、およびイベントの継続期間の分布を求めることができる情報を持っている。このため、因果分析モジュール１０６３における因果解析では、さらに、指定されたイベントを原因とした他のイベントの発生時間差（遅れ時間）の分布、およびこのイベントの継続期間の分布を算出し、推定や予測をした他のイベントの発生確率の算出（推定）を行うことができる。因果分析モジュール１０６３における推定や予測をした他のイベントの発生確率の推定は、ベイジアンネットワークの確率推論を用いることができる。ベイジアンネットワークの代表的な確率推論アルゴリズムとしては、確率伝搬法などがある。さらに、因果分析モジュール１０６３における因果解析では、指定されたイベントの発生時間と、算出した他のイベントの発生時間差（遅れ時間）の分布、およびこのイベントの継続期間の分布に基づいて、推定や予測をした他のイベントの発生時間および継続期間の算出（推定）を行うことができる。なお、因果分析モジュール１０６３における因果解析の方法は、既存の方法を用いて適宜行うことができるため、詳細な説明は省略する。

このようにして、因果分析モジュール１０６３は、因果モデル構築モジュール１０６２が生成したベイジアンネットワークに基づいて、指定されたイベントの発生原因の推定や、指定されたイベントを原因とした他のイベントの発生の予測、他のイベントの発生確率、発生時間、および継続期間の推定などの因果解析を行う。そして、因果分析モジュール１０６３は、推定したそれぞれの結果（因果解析の結果）を、解析結果出力部１０７に出力する。これにより、解析結果出力部１０７は、因果分析モジュール１０６３から出力された因果解析の結果の情報を可視化する表示データを生成して表示装置１３に出力し、表示データに応じた表示画面を表示装置１３に表示させる。

このような処理の流れ（処理シーケンス）によって、イベント解析装置１０では、ユーザによって指定されたイベントに関する因果解析を行い、因果解析の結果を表示装置１３に表示させて提示することによって、設備の稼働を管理するユーザの支援を行う。

上記に述べたとおり、本発明を実施するための形態によれば、イベント解析装置（より具体的には、プロセスデータ収集部１０３、トレンド変化検出部１０４、およびイベントデータ変換部１０５）が、プラント内に配置されたそれぞれの設備で行っている様々なプロセスのプロセスデータを取得し、取得したプロセスデータの変動を表す時間的な継続期間を持ったイベントデータ（プロセス変動イベントデータ）に変換する。さらに、本発明を実施するための形態では、イベント解析装置（より具体的には、イベントデータ収集部１０１）が、プラント内に配置されたそれぞれの設備で発生したアラームのイベント（アラームイベント）のイベントデータ（アラームイベントデータ）や、それぞれの設備に対して行われた操作のイベント（操作イベント）のイベントデータ（操作イベントデータ）などの単発のイベントのイベントデータを取得する。このとき、本発明を実施するための形態では、イベント解析装置（より具体的には、イベントデータ集約部１０２）が、予め定めた期間（想定される短い期間）内に発せられた同じ種類のイベントのイベントデータの取得が、複数回繰り返された場合には、この繰り返して取得した同じ種類の複数のイベントデータを、時間的な継続期間を持った１つのイベントのイベントデータ（継続イベントデータ）としてまとめる（集約する）。そして、本発明を実施するための形態では、イベント解析装置が、プロセスデータを変換したイベントデータ（プロセス変動イベントデータ）と、１つのイベントのイベントデータとしてまとめたイベントデータ（継続イベントデータ）とを統合（より具体的には、イベントデータベース１１に記憶（保存）する際に統合）して、新たなイベントデータ（統合イベントデータ）とする。そして、本発明を実施するための形態では、イベント解析装置（より具体的には、因果関係解析部１０６）が、統合したイベントデータ（統合イベントデータ）に基づいて、関連するイベントデータ（関連イベントデータ）を絞り込んだ後、このイベントデータを、従来のイベント解析装置において用いたイベントデータと同様に扱って、因果関係を解析するための因果モデル（ベイジアンネットワーク）を構築する。これにより、本発明を実施するための形態では、イベント解析装置（より具体的には、因果関係解析部１０６）が、構築した因果モデル（ベイジアンネットワーク）を、従来のイベント解析装置において因果関係を解析するための用いた因果モデルと同様に処理することによって、因果解析を実行することができる。このことにより、本発明を実施するための形態では、イベント解析装置（より具体的には、イベント解析装置１０）が、プラント内に配置されたそれぞれの設備で行っているプロセスのデータの変動と、設備のアラームや設備に対する操作などのイベントとを組み合わせて、因果関係を解析することができる。

しかも、本発明を実施するための形態では、イベント解析装置（より具体的には、因果関係解析部１０６に備えた因果モデル構築モジュール１０６２）が因果モデル（ベイジアンネットワーク）を構築するためのイベントデータ（統合イベントデータ）に含まれるそれぞれのイベントのデータ（プロセス変動イベントデータ、アラームイベントデータ、操作イベントデータ）に、時間的な継続期間の情報が含まれている。このため、本発明を実施するための形態では、イベント解析装置（より具体的には、因果関係解析部１０６に備えた因果分析モジュール１０６３）が、時間的な概念を考慮（適用）した因果解析を行うことができる。より具体的には、因果解析の結果に、時間に関する分布（イベントが発生する際の時間差の分布や、発生したそれぞれのイベントの継続期間の分布）や、イベントの発生確率、発生時間、および継続期間などの算出（推定）することができる。

これらのことにより、本発明を実施するための形態では、イベント解析装置（より具体的には、イベント解析装置１０）のユーザに、従来よりも様々な情報を提示することができ、ユーザによる設備の稼働の管理を支援することができる。例えば、ユーザが、設備において行った手動操作や設備において発生したアラーム原因となるプロセスデータの変動を解明することによって、オペレータが行う操作の自動化や、アラームの発生回数を減らすための合理化を図ることができ、プラントの操業の改善を図ることができる。また、例えば、ユーザが、複数の設備に伝搬した異常の連鎖を辿って原因を特定することによって、プラントの安全な操業を図ることができる。

なお、実施形態では、統合イベントデータに基づいてベイジアンネットワークを因果モデルとして構築する場合について説明した。しかし、本発明のイベント解析装置において構築する因果モデルは、ベイジアンネットワークに限定されるものではなく、実施形態において示したベイジアンネットワークと同様に、統合イベントデータに基づいて構築することができ、時間的な概念を考慮（適用）した因果関係の解析を行うことができる因果モデルであれば、本発明の考え方を適用することができる。

なお、例えば、図１において示したイベント解析装置１０やイベント解析装置１０を構成する各構成要素による処理を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、当該記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、本実施形態の報告書作成システムに係る上述した種々の処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現するもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、本発明の実施形態について、図面を参照して説明してきたが、具体的な構成はこの実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲においての種々の変更も含まれる。

１・・・イベント解析システム
１０・・・イベント解析装置（イベント解析システム，イベント解析装置）
１０１・・・イベントデータ収集部（イベント解析装置，イベントデータ収集部）
１０２・・・イベントデータ集約部（イベント解析装置，イベントデータ集約部）
１０３・・・プロセスデータ収集部（イベント解析装置，プロセスデータ収集部）
１０４・・・トレンド変化検出部（イベント解析装置，トレンド変化検出部）
１０５・・・イベントデータ変換部（イベント解析装置，イベントデータ変換部）
１０６・・・因果関係解析部（イベント解析装置，因果関係解析部）
１０６１・・・関連性解析モジュール（イベント解析装置，因果関係解析部）
１０６２・・・因果モデル構築モジュール（イベント解析装置，因果関係解析部）
１０６３・・・因果分析モジュール（イベント解析装置，因果関係解析部）
１０６４・・・異常予測モジュール（イベント解析装置，因果関係解析部）
１０７・・・解析結果出力部（イベント解析装置）
１１・・・イベントデータベース（イベント解析システム，イベント解析装置）
１２・・・因果モデルデータベース（イベント解析システム，イベント解析装置）
１３・・・表示装置（イベント解析システム，イベント解析装置）
１４・・・制御システム
１５・・・ヒストリアン
１０ａ・・・ＣＰＵ（イベント解析装置）
１０ｂ・・・ＲＡＭ（イベント解析装置）
１０ｃ・・・ＲＯＭ（イベント解析装置）
１０ｄ・・・ＨＤＤ（イベント解析装置）
１０ｅ・・・表示装置（イベント解析装置）
１０ｆ・・・入力装置（イベント解析装置）
１０ｇ・・・通信インターフェース（イベント解析装置）
１０ｈ・・・バス（イベント解析装置）

Claims (15)

1. プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集部と、
   前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集部と、
   収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出部と、
   検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換部と、
   収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析部と、
   を備え、
   前記トレンド変化検出部は、収集した前記プロセスデータを解析し、前記トレンド変化の期間を検出する、
   イベント解析装置。
2. 収集した同種類の単発の前記イベントを、継続的な期間を有するイベントに集約するイベントデータ集約部、
   をさらに備える、
   請求項１に記載のイベント解析装置。
3. 前記イベントデータ変換部は、
   検出された前記トレンド変化の期間を継続的な期間として有する前記プロセス変動イベントに変換する、
   請求項１または請求項２に記載のイベント解析装置。
4. 前記因果関係解析部は、
   前記イベントデータと前記プロセス変動イベントデータとを前記イベントの種類別で解析し、各種類の前記イベントの発生回数と、異なる種類の前記イベントの発生期間が重なった回数とをカウントすることにより、前記イベントの間の関連度を算出し、関連度の高い前記イベントと前記プロセス変動イベントを１つのグループにまとめる、
   請求項１から請求項３のいずれか１項に記載のイベント解析装置。
5. 前記因果関係解析部は、
   前記グループにまとめた前記イベントと前記プロセス変動イベントとの情報を、時間軸を所定の基準時間幅で分割したブロックに投影し、前記ブロックごとの各種類の前記イベントの発生有無に基づいて前記イベントと前記プロセス変動イベントとの間の条件付き確率を算出することにより、前記イベントと前記プロセス変動イベントとの因果関係を解析する、
   請求項４に記載のイベント解析装置。
6. 前記因果関係解析部は、
   前記ブロックごとの異なる種類の前記イベントの開始時刻の差に基づいて、前記イベントと前記プロセス変動イベントとの遅れ時間の分布をさらに算出する、
   請求項５に記載のイベント解析装置。
7. 前記因果関係解析部は、
   前記ブロックごとの各種類の前記イベントの継続期間に基づいて、前記イベントと前記プロセス変動イベントとの継続期間の分布をさらに算出する、
   請求項５または請求項６に記載のイベント解析装置。
8. 前記因果関係解析部は、
   解析された前記因果関係、遅れ時間の分布、継続期間の分布を表す因果モデルを構築する、
   請求項１から請求項７のいずれか１項に記載のイベント解析装置。
9. 前記因果関係解析部は、
   構築された前記因果モデルに基づき、収集された前記イベントが発生した原因となる前記プロセスデータの前記トレンド変化を推定する、
   請求項８に記載のイベント解析装置。
10. 前記因果関係解析部は、
    構築された前記因果モデルに基づき、収集された前記イベントから将来的な前記プロセスデータの前記トレンド変化を推定する、
    請求項８または請求項９に記載のイベント解析装置。
11. 前記因果関係解析部は、
    構築された前記因果モデルに基づき、収集された前記イベントまたは前記プロセスデータの前記トレンド変化から前記プラントの異常を予測する、
    請求項８から請求項１０のいずれか１項に記載のイベント解析装置。
12. プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集部と、前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集部と、収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出部と、検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換部と、収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析部と、を具備し、前記トレンド変化検出部は、収集した前記プロセスデータを解析し、前記トレンド変化の期間を検出する、イベント解析装置、
    を備えるイベント解析システム。
13. プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集ステップと、
    前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集ステップと、
    収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出ステップと、
    検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換ステップと、
    収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析ステップと、
    を含み、
    前記トレンド変化検出ステップは、収集した前記プロセスデータを解析し、前記トレンド変化の期間を検出する、
    イベント解析方法。
14. プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集処理と、
    前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集処理と、
    収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出処理と、
    検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換処理と、
    収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析処理と、
    をコンピュータに実行させ、
    前記トレンド変化検出処理は、収集した前記プロセスデータを解析し、前記トレンド変化の期間を検出する、
    イベント解析プログラム。
15. プラントの複数の機器で発生するアラームと前記機器を対象とした操作とを含むイベントのデータであるイベントデータを収集するイベントデータ収集処理と、
    前記プラントの複数の前記機器のプロセスデータを収集するプロセスデータ収集処理と、
    収集された前記プロセスデータのトレンド変化を検出するトレンド変化検出処理と、
    検出された前記トレンド変化を前記イベントと同様に表したプロセス変動イベントに変換するイベントデータ変換処理と、
    収集された前記イベントデータと、変換された前記プロセス変動イベントにおいて前記トレンド変化を表すデータであるプロセス変動イベントデータとを統合して、前記イベントと前記プロセス変動イベントとの因果関係を解析する因果関係解析処理と、
    をコンピュータに実行させ、
    前記トレンド変化検出処理は、収集した前記プロセスデータを解析し、前記トレンド変化の期間を検出する、
    イベント解析プログラムを記録したコンピュータ読み取り可能な記録媒体。

Images