JP6610130B2 - イベントフィルタプログラム、イベントフィルタ装置およびイベントフィルタ方法 - Google Patents

Description

本発明は、イベントフィルタプログラムなどに関する。

近年、様々な対象から刻々と収集されるイベントを処理する技術として、複合イベント処理（ＣＥＰ：Complex Event Processing）が知られている。この複合イベント処理では、大量のイベントを受け付けて、複合イベント処理の実施に当たり適用されるフィルタリングルールに基づいてイベントをフィルタし、フィルタされたイベントをＣＥＰエンジンに入力し、ＣＥＰエンジンで処理する（例えば、特許文献１参照）。

特開２０１２−１１８９２８号公報

しかしながら、従来技術では、複合イベント処理においてイベントを適切にフィルタすることができないという問題がある。

例えば、複合イベント処理では、フィルタリングルールに基づいてイベントをフィルタするが、使用されるフィルタリングルールにより、ＣＥＰエンジンに入力されるイベントの量や内容が変化する。一方で、複合イベント処理では、ＣＥＰエンジンが処理するイベントは規則性やトレンドを内在するが、イベントに内在する規則性やトレンドを反映したフィルタリングルールを設定するのは困難である。このため、ＣＥＰエンジンに入力されるイベントの量や内容が、必ずしも適切ではない。

１つの側面では、複合イベント処理においてイベントを適切にフィルタすることを目的とする。

本願の開示するイベントフィルタプログラムは、コンピュータに、過去に入力された複数のイベントに関する特徴量の傾向の推移に基づいて、現在の前記複数のイベントに関する特徴量の傾向を示す値を前記複数のイベントごとに予測し、入力された現在の前記複数のイベントに基づいて、現在の前記複数のイベントに関する特徴量の傾向を示す値をそれぞれ算出し、前記複数のイベントごとに予測した前記値と、算出した前記それぞれの値に基づいて、イベント処理を行う処理部に引き渡すイベントのフィルタリングの設定を行い、前記処理部に引き渡されたイベントが異常であるか否かを、該引き渡されたイベントが前記過去における異常発生時に、予測した前記値を逸脱するイベントであるかにより判定し、異常であると判定された場合に、異常である旨の判定結果を通知する、処理を実行させる。

本願の開示するイベントフィルタプログラムの１つの態様によれば、複合イベント処理においてイベントを適切にフィルタすることができる。

図１は、実施例１に係るイベントフィルタ装置を含むＣＥＰシステムの全体構成を示す図である。 図２は、時系列データテーブルのデータ構造の一例を示す図である。 図３は、予測データテーブルのデータ構造の一例を示す図である。 図４は、コンフィグファイルのデータ構造の一例を示す図である。 図５Ａは、実施例１に係るＣＥＰシステムの具体的な処理の一例を示す図（１）である。 図５Ｂは、実施例１に係るＣＥＰシステムの具体的な処理の一例を示す図（２）である。 図６は、実施例１に係る予測データ生成処理のフローチャートを示す図である。 図７は、実施例１に係るイベントフィルタ処理のフローチャートを示す図である。 図８は、実施例２に係るイベントフィルタ装置を含むＣＥＰシステムの全体構成を示す図である。 図９Ａは、実施例２に係るＣＥＰシステムの具体的な処理の一例を示す図（１）である。 図９Ｂは、実施例２に係るＣＥＰシステムの具体的な処理の一例を示す図（２）である。 図１０は、実施例２に係る予測データ生成処理のフローチャートを示す図である。 図１１は、実施例２に係るイベントフィルタ処理のフローチャートを示す図である。 図１２は、実施例３に係るイベントフィルタ装置を含むＣＥＰシステムの全体構成を示す図である。 図１３は、実施例３に係るＣＥＰシステムの具体的な処理の一例を示す図である。 図１４は、実施例３に係るイベントフィルタ処理のフローチャートを示す図である。 図１５Ａは、実施例４に係るＣＥＰシステムの具体的な処理の一例を示す図（１）である。 図１５Ｂは、実施例４に係るＣＥＰシステムの具体的な処理の一例を示す図（２）である。 図１６は、イベントフィルタプログラムを実行するコンピュータの一例を示す図である。

以下に、本願の開示するイベントフィルタプログラム、イベントフィルタ装置およびイベントフィルタ方法の実施例を図面に基づいて詳細に説明する。なお、以下では、本願の開示するイベントフィルタ装置をＣＥＰシステムに適用する場合を説明する。また、ＣＥＰシステムを自動車の渋滞発生の予測に用いる場合を説明する。しかしながら、本願の開示するイベントフィルタ装置はこれに限定されるものではない。

［実施例１に係るＣＥＰシステムの構成］
図１は、実施例１に係るイベントフィルタ装置を含むＣＥＰシステムの全体構成を示す図である。図１に示すように、ＣＥＰシステム９は、イベントフィルタ装置１と制御サーバ２とを有する。

イベントフィルタ装置１は、複合イベント処理を行う物理サーバであり、例えば、データセンサや各企業に設けられたサーバコンピュータである。イベントフィルタ装置１には、イベントの入力源であるイベント元から複数の種類のイベントが配信（入力）される。イベントの入力源は、複数存在する。

また、制御サーバ２は、信号や速度制限を制御し、渋滞を回避させる。

近年、イベントフィルタ装置１には、複数の入力源から入力されるイベント量が大量に入力されている。そこで、イベントフィルタ装置１は、複合イベント処理の実施に当たり適用されるフィルタリングルールに基づいてイベントをフィルタし、フィルタされたイベントをＣＥＰエンジンに入力する。ところが、フィルタリングルールの最適性は、季節や時間帯でのトレンド（傾向）により変化する。例えば、行楽シーズンの季節には、乗用車のイベントが急増する傾向があり、この傾向が定常化している。また、深夜の時間帯には、トラックのイベントが増加する傾向があり、この傾向が定常化している。つまり、行楽シーズンの期間と、行楽シーズンでない期間とでは、最適なフィルタリングルールが異なる。また、時間帯ごとに、最適なフィルタリングルールが異なる。

そこで、イベントフィルタ装置１は、過去に入力された（例えば乗用車やトラックの）イベントに関する特徴量の傾向の推移に基づいて、将来リアルタイムに入力される場合の入力されるイベントに関する特徴量の傾向を示す値（予測値）を予測する。イベントフィルタ装置１は、実際にリアルタイムに入力された現在のイベントに基づいて、現在のイベントに関する特徴量の傾向を示す値を算出する。イベントフィルタ装置１は、予測値と、算出値とに基づいて、イベント処理を行うＣＥＰエンジンに引き渡すイベントのフィルタリングルールの設定を行う。

イベントフィルタ装置１は、通信制御Ｉ／Ｆ部１１，１２と、記憶部１３と、制御部１４とを有する。

通信制御Ｉ／Ｆ部１１，１２は、ネットワークとの間の通信を制御するインタフェースである。通信制御Ｉ／Ｆ部１１は、様々な入力源から配信されたイベントを受信する。例えば、通信制御Ｉ／Ｆ部１１は、所定領域の入力源から配信された走行中の乗用車の位置および速度などの状況、同じ領域の別の入力源から配信された走行中のトラックの位置および速度などの状況や当該領域のさらに別の入力源から配信された天気の情報を受信する。通信制御Ｉ／Ｆ部１２は、フィルタリングルールに従って抽出されたイベントから推定される情報を制御サーバ２へ通知する。なお、以降、説明の便宜上、通信制御Ｉ／Ｆ部１１，１２は、乗用車のイベント、トラックのイベントおよび天気予報のイベントを、受信するイベントとして説明する。ただし、受信するイベントは、乗用車のイベント、トラックのイベントおよび天気予報のイベントに限定されず、自動車の渋滞発生の予測に用いられるイベントであれば良い。

記憶部１３は、ハードディスク、光ディスクなどの記憶装置である。なお、記憶部１３は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non Volatile Static Random Access Memory）などのデータを書き換え可能な半導体メモリであっても良い。

記憶部１３は、各種情報を記憶する。例えば、記憶部１３は、制御部１４で実行されるＯＳ（Operating System）や後述する予測データ生成処理、入力処理、判定処理および通知処理など各種処理を行うプログラムを記憶する。さらに、記憶部１３は、制御部１４で実行されるプログラムの実行に要する各種データを記憶する。例えば、記憶部１３は、時系列データテーブル（分析用）１３１と、時系列データテーブル（リアルタイム用）１３２と、予測データテーブル１３３と、コンフィグファイル１３４とを記憶する。

時系列データテーブル（分析用）１３１は、予測値を生成する際に用いられる分析用のテーブルである。時系列データテーブル（分析用）１３１は、運用前の分析時に用いられる。時系列データテーブル（分析用）１３１は、過去の入力イベントを記憶する過去ログを用いて各期間で生成されるイベントに対応するデータを記憶する。データが生成される粒度は、例えば１分単位であるが、１時間単位であっても良い。ここで、同一粒度内には、同種類のイベントであっても複数個存在する。したがって、同一粒度内の同種類のイベントに対応するデータは、平均化された値である。なお、時系列データテーブル（分析用）１３１のデータ構造の説明は、後述する。

時系列データテーブル（リアルタイム用）１３２は、イベントが入力源から入力される際に用いられるリアルタイム用のテーブルである。時系列データテーブル（リアルタイム用）１３２は、運用時に用いられる。時系列データテーブル（リアルタイム用）１３２は、入力源から入力されるイベントに対応するデータを時系列に記憶する。データが生成される粒度は、時系列データテーブル（分析用）１３１と同じ粒度である。ここで、同一粒度内には、同種類のイベントであっても複数個存在する。したがって、同一粒度内の同種類のイベントに対応するデータは、平均化された値である。なお、時系列データテーブル（リアルタイム用）１３２のデータ構造の説明は、後述する。

予測データテーブル１３３は、予測データ（予測値）を記憶するテーブルである。予測データテーブル１３３は、イベントに対応する予測データ（予測値）を時系列に記憶する。データが生成される粒度は、時系列データテーブル（分析用）１３１と同じ粒度である。なお、予測データテーブル１３３のデータ構造の説明は、後述する。

コンフィグファイル１３４は、イベントに対応するデータが生成される粒度を示す生成単位や、分析する期間を示す分析単位を記憶する。コンフィグファイル１３４は、運用前および分析前に予め設定される。なお、コンフィグファイル１３４のデータ構造の説明は、後述する。

制御部１４は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、これらによって種々の処理を実行する。そして、制御部１４は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路の電子回路に対応する。また、制御部１４は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路に対応する。さらに、制御部１４は、予測データ生成部１４１と、入力部１４２と、判定部１４３と、通知部１４４とを有する。

予測データ生成部１４１は、予測データ（予測値）を生成する。すなわち、予測データ生成部１４１は、運用前の分析時に、予測データテーブル１３３を生成する。例えば、予測データ生成部１４１は、過去に入力された乗用車、トラックおよび天気予報の各イベントに関する特徴量の傾向の推移に基づいて、リアルタイムに入力される場合の乗用車、トラックおよび天気予報のイベントに関する特徴量の傾向を示す予測値を算出する。

一例として、予測データ生成部１４１は、コンフィグファイル１３４から生成単位および分析単位を読み出す。予測データ生成部１４１は、過去の入力イベントの中で定常時の状態（定常状態）のそれぞれのイベントを学習期間分過去ログから取り出し、読み出した生成単位でそれぞれのイベントの時系列の値を算出する。予測データ生成部１４１は、この算出を、例えば、統計分析ツールを使用する。統計分析ツールの一例として、「Ｒ」が挙げられる。また、予測データ生成部１４１は、算出された、それぞれのイベントの時系列の値を時系列データテーブル（分析用）１３１に格納する。ここでいう学習期間は、分析単位が例えば１日である場合、一例として２週間であるが、これに限定されない。また、ここでいう定常状態とは、事故等の異常が発生していない状態のことをいい、例えば、イベントが乗用車のイベントである場合、速度が所定速度より低い低速度である状態のことをいう。そして、予測データ生成部１４１は、時系列データテーブル（分析用）１３１に記憶された、それぞれのイベントの時系列の値を用いて、自己回帰分析し、読み出した分析単位分のそれぞれのイベントの時系列の予測値を算出する。予測データ生成部１４１は、算出された、それぞれのイベントの時系列の予測値を予測データテーブル１３３に格納する。予測値は、例えば、９５％を信頼区間として信頼区間の上限値と下限値との平均値であるが、下限値から上限値までの値を含んでも良い。なお、自己回帰分析として、一例として、ＶＡＲ（Vector Auto Regressive）を用いれば良いが、これに限定されず、時系列データから将来値を予測する統計分析であれば良い。

入力部１４２は、イベントをイベント元の入力源から入力する。例えば、入力部１４２は、乗用車のイベント、トラックのイベントおよび天気予報のイベントをイベント元のそれぞれの入力源から入力する。入力源から入力されるイベントは、一例として、ＸＭＬ（Extensible Markup Language）形式のデータ構造で記述されている。

判定部１４３は、リアルタイムに入力された現在のイベントに基づいて、現在のイベントに関する特徴量の傾向を示す値を算出する。例えば、判定部１４３は、入力源から各期間に入力された乗用車、トラックおよび天気予報の各イベントに関する特徴量に基づいて、乗用車、トラックおよび天気予報のイベントに関する特徴量の傾向を示す値を算出する。一例として、判定部１４３は、コンフィグファイル１３４から生成単位および分析単位を読み出す。判定部１４３は、入力された現在の各種イベントを、読み出した生成単位で各種イベントに関する特徴量の傾向を示す値を算出する。判定部１４３は、算出された、各種イベントの値を時系列データテーブル（リアルタイム用）１３２に格納する。

また、判定部１４３は、現在のイベントの算出値と、現在のイベントが入力された期間に対応する予測値とからフィルタリングルールを生成する。判定部１４３は、生成されたフィルタリングルールに基づいて、予測値を逸脱した現在のイベントを判定し、判定結果を通知部１４４に引き渡す。すなわち、判定部１４３は、各期間におけるイベントの算出値と予測値とを用いたフィルタリングルールに基づいて、イベント処理を行うＣＥＰエンジンに引き渡すイベントのフィルタリングを行う。例えば、判定部１４３は、予測データテーブル１３３から、現在のイベントが入力された期間に対応する予測値を読み出す。判定部１４３は、現在のイベントの算出値と、読み出された予測値とを比較するフィルタリングルールを生成する。判定部１４３は、算出値が予測値と合致する場合には、算出値に該当する現在のイベントを、通知部１４４に引き渡す。すなわち、判定部１４３は、定常状態から外れた、異常なイベントを重要なイベントとしてＣＥＰエンジンに引き渡す。そして、判定部１４３は、算出値が予測値と合致しない場合には、算出値に該当する現在のイベントをフィルタリングする。

通知部１４４は、判定部１４３から引き渡されたイベントに関し、異常が発生した旨を重要通知として制御サーバ２に通知する。例えば、異常が発生した旨の一例として「渋滞の可能性がある」が挙げられる。

［時系列データテーブルのデータ構造］
次に、時系列データテーブル（分析用）１３１および時系列データテーブル（リアルタイム用）１３２のデータ構造について、図２を参照して説明する。図２は、時系列データテーブルのデータ構造の一例を示す図である。図２に示すように、時系列データテーブル１３１，１３２は、期間毎のイベントに関する特徴量の傾向を示す値を記憶する。各期間は、生成単位で示される。生成単位が「１分」であれば、各期間は１分である。ある期間に入力される同種類のイベントが複数個存在する場合には、複数の同種類のイベントに関する特徴量の傾向を示す値として複数の値の平均値が記憶される。一例として、生成単位が「１分」である場合には、各期間として「９時０分」，「９時０１分」・・・が記憶されている。「９時０分」を示す「９時０分」以降「９時１分」未満である場合には、乗用車（平均速度）の傾向を示す値として「６０」と記憶している。トラック（平均速度）の傾向を示す値として「７０」と記憶している。天気（数値化）の傾向を示す値として「晴れ（０）」と記憶している。

［予測データテーブルのデータ構造］
次に、予測データテーブル１３２のデータ構造について、図３を参照して説明する。図３は、予測データテーブルのデータ構造の一例を示す図である。図３に示すように、予測データテーブル１３３は、期間毎のイベントに関する特徴量の傾向を示す予測値を記憶する。各期間は、生成単位で示される。ある期間に入力されると予測される同種類のイベントが複数個存在する場合には、複数の同種類のイベントに関する特徴量の傾向を示す値として複数の値の平均値が記憶される。一例として、生成単位が「１分」である場合には、各期間として「９時０分」，「９時１分」・・・が記憶されている。「９時０分」を示す「９時０分」以降「９時１分」未満である場合には、乗用車（平均速度）の傾向を示す予測値として「６０（上限値８０，下限値４０）」と記憶している。トラック（平均速度）の傾向を示す予測値として「７０（上限値８５，下限値５０）」と記憶している。天気（数値化）の傾向を示す予測値として「晴れ（０）」と記憶している。

［コンフィグファイルのデータ構造］
次に、コンフィグファイル１３４のデータ構造について、図４を参照して説明する。図４は、コンフィグファイルのデータ構造の一例を示す図である。図４に示すように、コンフィグファイルは、生成単位と分析単位とを対応付けて記憶する。生成単位は、イベントに対応するデータが生成される粒度を示す。分析単位は分析する期間を示す。一例として、生成単位が「１分」である場合に、分析単位として「１日」と記憶している。

［ＣＥＰシステムの具体的な処理の一例］
図５Ａおよび図５Ｂは、実施例１に係るＣＥＰシステムの具体的な処理の一例を示す図である。図５Ａでは、分析時の処理の具体例を示し、図５Ｂでは、運用時のリアルタイム処理の具体例を示す。なお、コンフィグファイル１３４には、生成単位として「１分」、分析単位として「１日」が記憶されているとする。また、通知部１４４は、一例として、ＣＥＰエンジン２０に対応する。入力部１４２および判定部１４３は、一例としてフィルタエンジン１０に対応する。

図５Ａに示すように、イベントフィルタ装置１は、過去に入力されたイベントを記憶する過去ログから定常時の状態の乗用車、トラックおよび天気予報のイベントを取り出し、時系列データテーブル（分析用）１３１に格納する。ここでは、時系列データテーブル（分析用）１３１には、コンフィグファイル１３４の生成単位が「１分」であるので、各期間として「９時０分」，「９時１分」・・・が記憶される。そして、２週間分が記憶されるとする。一例として、「９時０分」を示す「９時０分」以降「９時１分」未満である場合には、乗用車（平均速度）の傾向を示す値として「６０」、トラック（平均速度）の傾向を示す値として「７０」、天気（数値化）の傾向を示す値として「晴れ（０）」が格納される。

そして、イベントフィルタ装置１は、時系列データテーブル（分析用）１３１に記憶された過去の実績（時系列データ）を用いて、ＶＡＲを用いた自己回帰分析をし、それぞれのイベントの時系列の予測値を算出する。そして、イベントフィルタ装置１は、算出されたそれぞれのイベントの時系列の予測値を、予測データテーブル１３３に格納する。ここでは、一例として、「９時０分」を示す「９時０分」以降「９時１分」未満である場合には、乗用車（平均速度）の傾向を示す予測値として「６０（上限値８０，下限値４０）」が格納される。トラック（平均速度）の傾向を示す予測値として「７０（上限値８５，下限値５０）」が格納される。天気（数値化）の傾向を示す予測値として「晴れ（０）」が格納される。

図５Ａの例では、イベントフィルタ装置１は、過去２週間分の時系列データから、明日１日分の各イベントの予測値を算出する。そして、イベントフィルタ装置１は、予測データテーブル１３３に記憶されたそれぞれの予測値を、例えばｃｓｖ形式で出力する。出力された予測値は、運用時のリアルタイム処理で用いられる。

図５Ｂに示すように、運用時のリアルタイム処理では、イベントフィルタ装置１は、以下の処理を行う。イベントフィルタ装置１のフィルタエンジン１０は、入力源から１分間に入力された複数の乗用車のイベントから乗用車のイベントに関する特徴量の傾向を示す平均速度を算出する。同様に、フィルタエンジン１０は、入力源から１分間に入力された複数のトラックのイベントからトラックのイベントに関する特徴量の傾向を示す平均速度を算出する。フィルタエンジン１０は、入力源から１分間に入力された複数の天気予報のイベントから天気予報のイベントに関する特徴量の傾向を示す平均の天気に対応する数値を算出する。そして、フィルタエンジン１０は、算出された乗用車、トラックおよび天気予報のイベントを時系列データテーブル（リアルタイム用）１３２に格納する。ここでは、時系列データテーブル（分析用）１３１には、「９時０分」を示す「９時０分」以降「９時１分」未満であるとき、乗用車（平均速度）の傾向を示す値として「６０」、トラック（平均速度）の傾向を示す値として「７０」、天気（数値化）の傾向を示す値として「晴れ（０）」が格納される。「９時１分」を示す「９時１分」以降「９時２分」未満であるとき、乗用車（平均速度）の傾向を示す値として「５０」、トラック（平均速度）の傾向を示す値として「４０」、天気（数値化）の傾向を示す値として「雨（１）」が格納される。

並行して、フィルタエンジン１０は、ｃｓｖ形式で出力された予測値を用いて、フィルタリングルールを生成する。ここでは、フィルタエンジン１０は、例えば、乗用車イベントについて、「乗用車イベントの平均速度が予測値を超えた場合に、１分集計の乗用車イベントを生成し、ＣＥＰエンジン２０に送る」というフィルタリングルールを生成する。一例として、「９時０分」を示す「９時０分」以降「９時１分」未満であるとき、フィルタエンジン１０は、以下の処理を行う。すなわち、フィルタエンジン１０は、フィルタリングルールの乗用車イベントの平均速度の部分にこの期間の乗用車（平均速度）「６０」を代入し、予測値の部分にこの期間に対応する期間の乗用車（平均速度）の予測値を代入する。フィルタエンジン１０は、代入された結果、フィルタリングルールが合致した場合には、この期間の乗用車のイベントを１分集計したイベントを、ＣＥＰエンジン２０に引き渡す。すなわち、フィルタエンジン１０は、予測値を逸脱したイベントを重要なイベントとしてＣＥＰエンジン２０に引き渡す。言い換えれば、フィルタエンジン１０は、定常状態を逸脱したイベントをＣＥＰエンジン２０に引き渡す。フィルタエンジン１０は、代入された結果、フィルタリングルールが合致しない場合には、この期間の乗用車のイベントをＣＥＰエンジン２０に引き渡さない。すなわち、フィルタエンジン１０は、予測値を逸脱しないイベントをフィルタリングする。これにより、イベントフィルタ装置１は、予測値を逸脱したイベントのみＣＥＰエンジン２０に引き渡すので、ＣＥＰエンジン２０の負荷を軽減できる。

ＣＥＰエンジン２０は、引き渡されたイベントに関し、異常が発生した旨を、制御サーバ２に通知する。一例として、ＣＥＰエンジン２０は、「乗用車に関し、９時０分から９時１分までの時間帯に異常が発生しました」旨を、制御サーバ２に通知する。なお、フィルタリングルールの条件は、「乗用車イベントの平均速度が予測値を超えた場合」に限定されず、「乗用車イベントの平均速度が予測値の下限を超えた場合」であっても良い。フィルタリングルールの条件は、定常状態がどういう場合かに依り、上記場合では定常状態が低速度の状態の場合であるので、「乗用車イベントの平均速度が予測値を超えた場合」となる。これにより、イベントフィルタ装置１は、制御サーバ２の制御を支援することが可能となる。

［予測データ生成処理の手順］
次に、図６を参照して、予測データ生成処理の手順を説明する。図６は、実施例１に係る予測データ生成処理のフローチャートを示す図である。なお、図６では、統計分析ツールとして「Ｒ」を使用する場合を説明する。また、学習期間を２週間、生成単位を１分単位、分析単位を１日とした場合を説明する。

まず、予測データ生成部１４１は、過去の入力イベントを教師データとして記憶した過去ログを入力し（ステップＳ１１）、学習期間を指定する（ステップＳ１２）。すると、予測データ生成部１４１は、過去ログを学習期間分時系列データに変換する（ステップＳ１３）。一例として、予測データ生成部１４１は、学習期間として指定された２週間分のイベントを過去ログから取り出し、生成単位（１分単位）で、時系列の値に変換する。そして、予測データ生成部１４１は、変換された、２週間分のそれぞれのイベントの時系列の値を時系列データテーブル（分析用）１３１に格納する。

そして、予測データ生成部１４１は、ベクトル自己回帰分析（ＶＡＲ）を行い、分析単位分の予測値を算出する。（ステップＳ１４）。一例として、予測データ生成部１４１は、時系列データテーブル（分析用）１３１に記憶された、それぞれのイベントの時系列の値を用いて自己回帰分析し、分析単位（１日）分のそれぞれのイベントの時系列の予測値を算出する。そして、予測データ生成部１４１は、算出された、分析単位（１日）分のそれぞれのイベントの時系列の予測値を予測データテーブル１３３に格納する。

そして、予測データ生成部１４１は、予測データテーブル１３３に記憶された予測値をｃｓｖ形式でフィルタエンジン１０に移出する（ステップＳ１５）。

［イベントフィルタ処理の手順］
次に、図７を参照して、イベントフィルタ処理の手順を説明する。図７は、実施例１に係るイベントフィルタ処理のフローチャートを示す図である。なお、生成単位を１分単位、分析単位を１日とした場合を説明する。また、図７では、予測データ生成部１４１が、運用開始前に、予測値を移出したものとする。

すると、イベントフィルタ処理は、予測データ生成部１４１から移出された予測値を移入する（ステップＳ２１）。

運用が開始されると、入力部１４２は、入力源からイベントを常時入力する（ステップＳ２２）。すると、判定部１４３は、入力イベントを時系列データに変換する（ステップＳ２３）。一例として、判定部１４３は、入力イベントを、生成単位（１分単位）で、時系列の値に変換する。そして、判定部１４３は、変換された、入力イベントの時系列の値を時系列データテーブル（リアルタイム用）１３２に格納する。

そして、判定部１４３は、現在の入力イベントの値が予測値の上限値、または下限値を超過したか否かを判定する（ステップＳ２４）。例えば、判定部１４３は、現在の１分単位に対応する予測値を用いて、フィルタリングルールを生成し、現在の入力イベントがフィルタリングルールに合致するか否かを判定する。一例として、判定部１４３は、フィルタリングルールとして、「乗用車イベントの平均速度が予測値の上限値、または下限値を超えた場合に、１分集計の乗用車イベントを生成し、ＣＥＰエンジン２０に送る」を生成する。そして、判定部１４３は、現在の入力イベントの値がフィルタリングルールの条件に合致するか否かを判定する。

予測値の上限値、または下限値を超過したと判定した場合には（ステップＳ２４；Ｙｅｓ）、判定部１４３は、入力イベントから１分集計のイベントを生成し、生成されたイベントをＣＥＰエンジン２０に送る（ステップＳ２５）。そして、ＣＥＰエンジン２０の通知部１４４は、送られたイベントに関し異常が発生した旨を重要な通知として制御サーバ２に送る（ステップＳ２６）。そして、通知部１４４は、次の入力イベントを判定部１４３に処理させるべく、ステップＳ２３に移行する。

一方、予測値の上限値、および下限値を超過していないと判定した場合には（ステップＳ２４；Ｎｏ）、判定部１４３は、次の入力イベントを処理すべく、ステップＳ２３に移行する。なお、イベントフィルタ処理は、終了する旨の割り込みを受け付けると、終了する。

［実施例１の効果］
上記実施例１によれば、イベントフィルタ装置１は、過去に入力されたイベントに関する特徴量の傾向の推移に基づいて、現在イベントに関する特徴量の傾向を示す値を予測する。イベントフィルタ装置１は、入力された現在のイベントに基づいて、現在のイベントに関する特徴量の傾向を示す値を算出する。そして、イベントフィルタ装置１は、予測した値と、算出した値に基づいて、イベント処理を行うＣＥＰエンジン２０に引き渡すイベントのフィルタリングの設定を行う。かかる構成によれば、イベントフィルタ装置１は、現在イベントに関する特徴量の傾向を示す予測値と、入力された現在イベントに関する特徴量の傾向を示す値に基づいて、イベントのフィルタリングの設定を行うことで、イベントを適切にフィルタできる。この結果、イベントフィルタ装置１は、ＣＥＰエンジン２０のイベント処理の負荷を軽減できる。

また、上記実施例１によれば、イベントフィルタ装置１は、過去に入力されたイベントに関する特徴量の傾向の推移に基づいて、所定期間ごとに現在イベントに関する特徴量の傾向を示す値を予測する。かかる構成によれば、イベントフィルタ装置１は、イベントに関する特徴量の傾向を示す予測値を所定期間ごとに予測することで、例えば季節や時間帯などの傾向（トレンド）により変化する値を予測することができる。この結果、イベントフィルタ装置１は、トレンドに合わせて最適なフィルタリングを設定できる。

また、上記実施例１によれば、イベントフィルタ装置１は、算出値が予測値と合致する場合に、算出値に該当するイベントをフィルタリングするルールを設定する。かかる構成によれば、イベントフィルタ装置１は、予測値を逸脱しない算出値に該当するイベントをフィルタリングすることができ、ＣＥＰエンジン２０の負荷を軽減できる。

ところで、実施例１では、イベントフィルタ装置１では、フィルタエンジン１０が定常状態から逸脱したイベントをＣＥＰエンジン２０に引き渡し、ＣＥＰエンジン２０が引き渡されたイベントに関し、異常が発生した旨を重要通知として制御サーバ２に通知する。しかしながら、イベントフィルタ装置１では、これに限定されず、運用前の分析時に、過去の異常発生時のイベントを教師データとして異常発生時に逸脱するイベントを特定する。そして、イベントフィルタ装置１は、運用時に、フィルタリングルールの設定に加えて、特定した異常発生時に逸脱するイベントを用いて最重要イベントを選別する第２のフィルタリングルールを設定する場合であっても良い。そして、イベントフィルタ装置１は、ＣＥＰエンジン２０が引き渡されたイベントの中で第２のフィルタリングルールに合致したイベントに関し、異常が発生した旨を最重要通知として制御サーバ２に通知する。

そこで、実施例２では、イベントフィルタ装置１は、運用時に、フィルタリングルールの設定に加えて、異常発生時に逸脱するイベントを用いて最重要イベントを選別する第２のフィルタリングルールを設定する場合について説明する。

［実施例２に係るＣＥＰシステムの構成］
図８は、実施例２に係るイベントフィルタ装置を含むＣＥＰシステムの全体構成を示す図である。なお、図１に示すＣＥＰシステム９と同一の構成については同一符号を示すことで、その重複する構成および動作の説明については省略する。実施例１と実施例２とが異なるところは、制御部１４に重要データ特定部２０１および第２判定部２０２を追加した点にある。実施例１と実施例２とが異なるところは、制御部１４の判定部１４３を第１判定部１４３Ａに名称を変更した点にある。

重要データ特定部２０１は、異常発生時に逸脱するイベントを特定する。例えば、重要データ特定部２０１は、コンフィグファイル１３４から生成単位を読み出す。重要データ特定部２０１は、過去の入力イベントの中で事故等が発生した日（異常発生日）のそれぞれの入力イベントを過去ログから取り出し、読み出した生成単位でそれぞれのイベントの時系列の値を算出する。重要データ特定部２０１は、この算出を、予測データ生成部１４１と同一の統計解析ツールを使用して行う。そして、重要データ特定部２０１は、算出したそれぞれのイベントの時系列の値の中で、異常発生日時分のそれぞれのイベントの値を取得する。重要データ特定部２０１は、取得したそれぞれのイベントの値と、異常発生日時分に対応する時分のそれぞれのイベントの予測値とを比較し、予測値から外れたイベントを抽出する。なお、重要データ特定部２０１は、時分のそれぞれのイベントの予測値として、第１判定部１４３Ａによって生成される予測データテーブル１３３に記憶された予測値を用いれば良い。そして、重要データ特定部２０１は、抽出したイベントを第２判定部２０２に出力する。すなわち、重要データ特定部２０１は、異常発生日時分に逸脱するイベントを第２判定部２０２に出力する。

第１判定部１４３Ａは、図１に示す判定部１４３と同一の動作であるので、その動作の説明については省略する。

第２判定部２０２は、第１判定部１４３Ａから通知部１４４へ引き渡されたイベントと、重要データ特定部２０１によって出力された異常発生時に逸脱するイベントとを比較するフィルタリングルールを生成する。すなわち、第２判定部２０２は、異常発生時に逸脱するイベントを、最重要イベントを選別する判定に用いる。そして、第２判定部２０２は、生成されたフィルタリングルールに基づいて、引き渡されたイベントの中で異常発生時に逸脱するイベントと一致するイベントを、通知部１４４に引き渡す。すなわち、第２判定部２０２は、入力イベントが異常発生時に逸脱するイベントと一致すると判定した場合には、入力イベントを最重要イベントとして通知部１４４に引き渡す。なお、入力イベントと異常発生時に逸脱するイベントとの一致判定は、イベントの種類について行われても良いし、イベントの種類およびイベントの値について行われても良い。

通知部１４４は、第１判定部１４３Ａから引き渡されたイベントの中で第２判定部２０２から引き渡されたイベントに関し、異常が発生した旨を最重要通知として制御サーバ２に通知する。通知部１４４は、第１判定部１４３Ａから引き渡されたイベントの中で第２判定部２０２から引き渡されないイベントに関し、異常が発生した旨を重要通知として制御サーバ２に通知する。ここで、重要通知とは、異常が発生した旨の通知の中でも重要な通知のことをいう。重要通知の一例として「渋滞の可能性がある」が挙げられる。最重要通知とは、異常が発生した旨の通知の中でも最重要の通知のことをいう。最重要通知の一例として「事故が発生する可能性の確率が上がりました」が挙げられる。

［ＣＥＰシステムの具体的な処理の一例］
図９Ａおよび図９Ｂは、実施例２に係るＣＥＰシステムの具体的な処理の一例を示す図である。図９Ａでは、分析時の処理の具体例を示し、図９Ｂでは、運用時のリアルタイム処理の具体例を示す。なお、コンフィグファイル１３４には、生成単位として「１分」、分析単位として「１日」が記憶されているとする。また、第１判定部１４３Ａによって分析単位「１日」分の予測データテーブル１３３が生成されたものとする。また、通知部１４４および第２判定部２０２は、一例として、ＣＥＰエンジン２０に対応する。入力部１４２および第１判定部１４３Ａは、一例としてフィルタエンジン１０に対応する。

図９Ａに示すように、イベントフィルタ装置１は、過去に入力されたイベントを記憶する過去ログから異常発生日の乗用車、トラックおよび天気予報のイベントを取り出し、時系列データテーブル（分析用）１３１に格納する。イベントフィルタ装置１は、それぞれのイベントの時系列の値の中で、異常発生日時分のそれぞれのイベントの値を取得する。ここでは、一例として、異常発生日時分が、「９時１分」であるとする。すると、「９時１分」の乗用車（平均速度）の傾向を示す値として「５０」、トラック（平均速度）の傾向を示す値として「８０」、天気（数値化）の傾向を示す値として「吹雪（５）」が取得される。

そして、イベントフィルタ装置１は、取得したそれぞれのイベントの値と、異常発生日時分に対応する時分のそれぞれのイベントの予測値とを比較し、予測値から外れたイベントを抽出する。ここでは、異常発生日時分「９時１分」に対応する時分の乗用車（平均速度）の傾向を示す予測値は「５０」、トラック（平均速度）の傾向を示す予測値は「４０」、天気（数値化）の傾向を示す予測値は「雨（１）」である。すると、異常発生日時分の乗用車（平均速度）の値は、対応する時分の乗用車（平均速度）の予測値と同一であるので、予測値を逸脱していない。一方、異常発生日時分のトラック（平均速度）の値は、対応する時分のトラック（平均速度）の予測値より大きいので、予測値を逸脱している。また、異常発生日時分の天気（数値化）の値は、対応する時分の天気（数値化）の予測値より大きいので、予測値を逸脱している。そこで、イベントフィルタ装置１は、異常発生日時分「９時１分」について、予測値から外れたトラックのイベントおよび天気のイベントを抽出する。

そして、イベントフィルタ装置１は、異常発生日時分に逸脱するイベントをＣＥＰエンジン２０に出力する。ここでは、イベントフィルタ装置１は、異常発生日時分「９時１分」におけるトラックのイベントおよび天気のイベントをＣＥＰエンジン２０に出力する。このとき、イベントフィルタ装置１は、イベントそれぞれの値を付して出力しても良い。出力されたイベントは、運用時のリアルタイム処理で用いられる。

図９Ｂに示すように、運用時のリアルタイム処理では、イベントフィルタ装置１は、以下の処理を行う。イベントフィルタ装置１のフィルタエンジン１０は、入力源から１分間に入力された複数の乗用車のイベントから乗用車のイベントに関する特徴量の傾向を示す平均速度を算出する。同様に、フィルタエンジン１０は、入力源から１分間に入力された複数のトラックのイベントからトラックのイベントに関する特徴量の傾向を示す平均速度を算出する。フィルタエンジン１０は、入力源から１分間に入力された複数の天気予報のイベントから天気予報のイベントに関する特徴量の傾向を示す平均の天気に対応する数値を算出する。そして、フィルタエンジン１０は、算出された乗用車、トラックおよび天気予報のイベントを時系列データテーブル（リアルタイム用）１３２に格納する。

並行して、フィルタエンジン１０は、予測データテーブル１３３に記憶された予測値を用いて、フィルタリングルールを生成する。ここでは、フィルタエンジン１０は、例えば、トラックイベントについて、「トラックイベントの平均速度が予測値を超えた場合に、１分集計のトラックイベントを生成し、ＣＥＰエンジン２０に送る」というフィルタリングルールを生成する。一例として、「９時０分」を示す「９時０分」以降「９時１分」未満であるとき、フィルタエンジン１０は、以下の処理を行う。すなわち、フィルタエンジン１０は、フィルタリングルールのトラックイベントの平均速度の部分にこの期間のトラック（平均速度）「７０」を代入し、予測値の部分にこの期間に対応する期間のトラック（平均速度）の予測値を代入する。フィルタエンジン１０は、代入された結果、フィルタリングルールが合致した場合には、この期間のトラックのイベントを１分集計したイベントを、ＣＥＰエンジン２０に引き渡す。すなわち、フィルタエンジン１０は、予測値を逸脱したイベントを重要なイベントとしてＣＥＰエンジン２０に引き渡す。言い換えれば、フィルタエンジン１０は、定常状態を逸脱したイベントをＣＥＰエンジン２０に引き渡す。フィルタエンジン１０は、代入された結果、フィルタリングルールが合致しない場合には、この期間のトラックのイベントをＣＥＰエンジン２０に引き渡さない。

そして、ＣＥＰエンジン２０は、出力されたイベントと引き渡されたイベントとを比較するフィルタリングルールを生成する。ここでは、ＣＥＰエンジン２０は、例えば、引き渡されたイベントが、出力されたトラックのイベントまたは出力された天気のイベントと一致するか否かを判定するフィルタリングルールを生成する。そして、ＣＥＰエンジン２０は、引き渡されたイベントが、出力されたトラックのイベントまたは出力された天気のイベントと一致すると判定した場合には、異常が発生した旨を最重要通知として制御サーバ２に通知する。すなわち、ＣＥＰエンジン２０は、引き渡されたイベントが異常発生時に逸脱するイベントと同じであった場合には、異常を発生する可能性があるので、最重要イベントとして通知する。一例として、ＣＥＰエンジン２０は、「事故が発生する可能性の確率が上がりました」旨を、制御サーバ２に通知する。ＣＥＰエンジン２０は、引き渡されたイベントが、出力されたトラックのイベントおよび出力された天気のイベントと一致しないと判定した場合には、異常が発生した旨を重要通知として制御サーバ２に通知する。一例として、ＣＥＰエンジン２０は、「渋滞の可能性がある」旨を、制御サーバ２に通知する。これにより、イベントフィルタ装置１は、異常発生時のイベントを通知の判定に用いることで、このイベントと同じイベントが入力された場合に最重要通知を制御サーバ２に送信することができ、制御サーバ２の制御を支援することができる。

［予測データ生成処理の手順］
次に、図１０を参照して、予測データ生成処理の手順を説明する。図１０は、実施例２に係る予測データ生成処理のフローチャートを示す図である。なお、図１０では、統計分析ツールとして「Ｒ」を使用する場合を説明する。また、学習期間を２週間、生成単位を１分単位、分析単位を１日とした場合を説明する。

まず、予測データ生成部１４１は、過去の入力イベントを教師データとして記憶した過去ログを入力し（ステップＳ３１）、学習期間を指定する（ステップＳ３２）。すると、予測データ生成部１４１は、過去ログを学習期間分時系列データに変換する（ステップＳ３３）。一例として、予測データ生成部１４１は、学習期間として指定された２週間分のイベントを過去ログから取り出し、生成単位（１分単位）で、時系列の値に変換する。そして、予測データ生成部１４１は、変換された、２週間分のそれぞれのイベントの時系列の値を時系列データテーブル（分析用）１３１に格納する。

そして、予測データ生成部１４１は、ベクトル自己回帰分析（ＶＡＲ）を行い、分析単位分の予測値を算出する。（ステップＳ３４）。一例として、予測データ生成部１４１は、時系列データテーブル（分析用）１３１に記憶された、それぞれのイベントの時系列の値を用いて自己回帰分析し、分析単位（１日）分のそれぞれのイベントの時系列の予測値を算出する。そして、予測データ生成部１４１は、算出された、分析単位（１日）分のそれぞれのイベントの時系列の予測値を予測データテーブル１３３に格納する。

そして、予測データ生成部１４１は、予測データテーブル１３３に記憶された予測値をｃｓｖ形式でフィルタエンジン１０に移出する（ステップＳ３５）。

続いて、重要データ特定部２０１は、異常発生日の教師データが有るか否かを判定する（ステップＳ３６）。異常発生日の教師データがないと判定した場合には（ステップＳ３６；Ｎｏ）、重要データ特定部２０１は、重要データを特定しないで、予測データ生成処理を終了する。

一方、異常発生日の教師データが有ると判定した場合には（ステップＳ３６；Ｙｅｓ）、重要データ特定部２０１は、当該異常発生日の教師データを入力する（ステップＳ３７）。重要データ特定部２０１は、入力された教師データを時系列データに変換する（ステップＳ３８）。一例として、重要データ特定部２０１は、異常発生日の教師データのイベントを過去ログから取り出し、生成単位（１分単位）で、時系列のデータ値に変換する。

そして、重要データ特定部２０１は、異常発生時のデータ値と予測値とを比較する（ステップＳ３９）。重要データ特定部２０１は、異常発生時のデータ値が予測値の上限値、または下限値を逸脱したか否かを判定する（ステップＳ４０）。異常発生時のデータ値が予測値の上限値、および下限値を逸脱していないと判定した場合には（ステップＳ４０；Ｎｏ）、重要データ特定部２０１は、重要データ特定部２０１は、予測データ生成処理を終了する。

一方、異常発生時のデータ値が予測値の上限値、または下限値を逸脱したと判定した場合には（ステップＳ４０；Ｙｅｓ）、重要データ特定部２０１は、逸脱したデータ値のイベントをｃｓｖ形式でＣＥＰエンジン２０に出力する（ステップＳ４１）。そして、重要データ特定部２０１は、予測データ生成処理を終了する。

［イベントフィルタ処理の手順］
次に、図１１を参照して、イベントフィルタ処理の手順を説明する。図１１は、実施例２に係るイベントフィルタ処理のフローチャートを示す図である。なお、生成単位を１分単位、分析単位を１日とした場合を説明する。また、図１１では、予測データ生成部１４１が、運用開始前に、予測値を移出したものとする。重要データ特定部２０１が、運用開始前に、異常発生時に逸脱したイベントを出力したものとする。

すると、イベントフィルタ処理は、予測データ生成部１４１から移出された予測値を移入する（ステップＳ５１）。イベントフィルタ処理は、重要データ特定部２０１から出力された逸脱したイベントを移入する（ステップＳ５２）。

運用が開始されると、入力部１４２は、入力源からイベントを常時入力する（ステップＳ５３）。すると、第１判定部１４３Ａは、入力イベントを時系列データに変換する（ステップＳ５４）。一例として、第１判定部１４３Ａは、入力イベントを、生成単位（１分単位）で、時系列の値に変換する。そして、第１判定部１４３Ａは、変換された、入力イベントの時系列の値を時系列データテーブル（リアルタイム用）１３２に格納する。

そして、第１判定部１４３Ａは、現在の入力イベントの値が予測値の上限値、または下限値を超過したか否かを判定する（ステップＳ５５）。例えば、第１判定部１４３Ａは、現在の１分単位に対応する予測値を用いて、フィルタリングルールを生成し、現在の入力イベントがフィルタリングルールに合致するか否かを判定する。一例として、第１判定部１４３Ａは、フィルタリングルールとして、「トラックイベントの平均速度が予測値の上限値、または下限値を超えた場合に、１分集計のトラックイベントを生成し、ＣＥＰエンジン２０に送る」を生成する。そして、第１判定部１４３Ａは、現在の入力イベントの値がフィルタリングルールの条件に合致するか否かを判定する。

予測値の上限値、および下限値を超過していないと判定した場合には（ステップＳ５５；Ｎｏ）、第１判定部１４３Ａは、次の入力イベントを処理すべく、ステップＳ５４に移行する。

一方、予測値の上限値、または下限値を超過したと判定した場合には（ステップＳ５５；Ｙｅｓ）、第１判定部１４３Ａは、入力イベントから１分集計のイベントを生成し、生成されたイベントをＣＥＰエンジン２０に送る（ステップＳ５６）。そして、第１判定部１４３Ａは、ステップＳ５７に移行する。

ステップＳ５７において、ＣＥＰエンジン２０の第２判定部２０２は、送られたイベントが移入された異常発生時の逸脱イベントに一致するか否かを判定する（ステップＳ５７）。なお、送られたイベントと逸脱イベントとの一致判定は、イベントの種類について行われても良いし、イベントの種類およびイベントの値について行われても良い。

異常発生時の逸脱イベントに一致すると判定した場合には（ステップＳ５７；Ｙｅｓ）、通知部１４４は、送られたイベントに関し、異常が発生した旨を最重要通知として制御サーバ２に送信する（ステップＳ５８）。そして、通知部１４４は、次の入力イベントを第１判定部１４３Ａに処理させるべく、ステップＳ５４に移行する。

一方、異常発生時の逸脱イベントに一致しないと判定した場合には（ステップＳ５７；Ｎｏ）、通知部１４４は、送られたイベントに関し、異常が発生した旨を重要通知として制御サーバ２に送信する（ステップＳ５９）。そして、通知部１４４は、次の入力イベントを第１判定部１４３Ａに処理させるべく、ステップＳ５４に移行する。なお、イベントフィルタ処理は、終了する旨の割り込みを受け付けると、終了する。

［実施例２の効果］
上記実施例２によれば、イベントフィルタ装置１は、予め記憶された異常発生時に逸脱するイベントに基づき、フィルタエンジン１０から引き渡されたイベントが異常と判定された場合に、判定結果を最重要通知として制御サーバ２に通知する。かかる構成によれば、イベントフィルタ装置１は、異常発生時に逸脱するイベントを、最重要イベントを選別する判定に用いることで、判定結果を最重要通知として制御サーバ２に通知することができる。この結果、イベントフィルタ装置１は、制御サーバ２の制御を支援することができる。

ところで、実施例１では、イベントフィルタ装置１では、フィルタエンジン１０が定常状態から逸脱したイベントをＣＥＰエンジン２０に引き渡し、ＣＥＰエンジン２０が引き渡されたイベントに関し、異常が発生した旨を重要通知として制御サーバ２に通知する。実施例２では、イベントフィルタ装置１では、異常発生時に逸脱するイベントをＣＥＰエンジン２０に移入しておき、ＣＥＰエンジン２０が異常発生時に逸脱するイベントを、最重要イベントを選別する判定に用い、判定結果を最重要通知として制御サーバ２に通知する。しかしながら、イベントフィルタ装置１では、これに限定されず、ＣＥＰエンジン２０が異常発生時に逸脱するイベントを、最重要イベントを選別する判定に用い、判定結果をイベント処理に利用する場合であっても良い。

そこで、実施例３では、イベントフィルタ装置１は、ＣＥＰエンジン２０が異常発生時に逸脱するイベントを、最重要イベントを選別する判定に用い、判定結果をイベント処理に利用する場合について説明する。

［実施例３に係るＣＥＰシステムの構成］
図１２は、実施例３に係るイベントフィルタ装置を含むＣＥＰシステムの全体構成を示す図である。なお、図８に示すＣＥＰシステム９と同一の構成については同一符号を示すことで、その重複する構成および動作の説明については省略する。実施例２と実施例３とが異なるところは、制御部１４にイベント処理部２０３を追加した点にある。

イベント処理部２０３は、入力イベントと異常発生時に逸脱するイベントとの一致判定の判定結果を、イベント処理に利用する処理部である。かかる判定結果は、第２判定部２０２によって生成される。例えば、イベント処理部２０３は、入力イベントが異常発生時に逸脱するイベントと一致する一致結果をイベント処理に利用する。また、イベント処理部２０３は、入力イベントが異常発生時に逸脱するイベントと一致しない不一致結果をイベント処理に利用する。また、イベント処理部２０３は、入力イベントが異常発生時に逸脱するイベントと一致する回数をカウントし、一致する判定結果の場合には、一致する回数に１を加算する。そして、イベント処理部２０３は、一致する回数の累計値を制御サーバ２に通知する。通知するタイミングは、定期的または不定期であれば良く、予め定められたタイミングであれば良い。

［ＣＥＰシステムの具体的な処理の一例］
図１３は、実施例３に係るＣＥＰシステムの具体的な処理の一例を示す図である。図１３は、運用時のリアルタイム処理の具体例である。なお、コンフィグファイル１３４には、生成単位として「１分」、分析単位として「１日」が記憶されているとする。また、第１判定部１４３Ａによって分析単位「１日」分の予測データテーブル１３３が生成されたものとする。また、ＣＥＰエンジン２０には、重要データ特定部２０１によって特定された異常発生時に逸脱するイベントが受け取られたものとする。かかる異常発生時に逸脱するイベントは、トラックのイベント，天気のイベントであるとする。なお、入力部１４２および第１判定部１４３Ａは、一例として、フィルタエンジン１０に対応する。通知部１４４、第２判定部２０２およびイベント処理部２０３は、一例として、ＣＥＰエンジン２０に対応する。

図１３に示すように、運用時にリアルタイム処理では、イベントフィルタ装置１のフィルタエンジン１０は、生成単位としての１分毎に、予測データテーブル１３３に記憶された予測値を用いて、フィルタリングルールを生成する。そして、フィルタエンジン１０は、入力イベントが、生成されたフィルタリングルールに合致するか否かを判定する。フィルタエンジン１０は、入力イベントが、生成されたフィルタリングルールに合致した場合には、入力イベントを１分集計したイベントを、ＣＥＰエンジン２０に引き渡す。すなわち、フィルタエンジン１０は、予測値を逸脱したイベントを重要なイベントとしてＣＥＰエンジン２０に引き渡す。言い換えれば、フィルタエンジン１０は、定常状態を逸脱したイベントをＣＥＰエンジン２０に引き渡す。

そして、ＣＥＰエンジン２０は、異常発生時に逸脱するイベントと引き渡されたイベントとを比較するフィルタリングルールを生成する。ここでは、ＣＥＰエンジン２０は、例えば、引き渡されたイベントが、トラックのイベントまたは天気のイベントと一致するか否かを判定するフィルタリングルールを生成する。そして、ＣＥＰエンジン２０は、引き渡されたイベントが、トラックのイベントまたは天気のイベントと一致すると判定した場合には、一致結果をイベント処理に利用する。ＣＥＰエンジン２０は、引き渡されたイベントが、トラックのイベントまたは天気のイベントと一致しないと判定した場合には、不一致結果をイベント処理に利用する。そして、ＣＥＰエンジン２０は、引き渡されたイベントが、トラックのイベントまたは天気のイベントと一致すると判定した場合には、一致する回数に１を加算する。なお、ＣＥＰエンジン２０は、一致する回数に１を加算する条件をさらに追加しても良い。一例として、引き渡されたイベントの「（発生）時刻が９：００〜１２：００の間」という条件をさらに追加しても良い。

そして、ＣＥＰエンジン２０は、一致回数の累計値を制御サーバ２に通知する。制御サーバ２は、通知された一致回数の累計値を統計情報として利用できる。

［イベントフィルタ処理の手順］
次に、図１４を参照して、イベントフィルタ処理の手順を説明する。図１４は、実施例３に係るイベントフィルタ処理のフローチャートを示す図である。なお、生成単位を１分単位、分析単位を１日とした場合を説明する。また、図１４では、予測データ生成部１４１が、運用開始前に、予測値を移出したものとする。重要データ特定部２０１が、運用開始前に、異常発生時に逸脱したイベントを出力したものとする。

すると、イベントフィルタ処理は、予測データ生成部１４１から移出された予測値を移入する（ステップＳ６１）。イベントフィルタ処理は、重要データ特定部２０１から出力された逸脱したイベントを移入する（ステップＳ６２）。

運用が開始されると、入力部１４２は、入力源からイベントを常時入力する（ステップＳ６３）。すると、第１判定部１４３Ａは、入力イベントを時系列データに変換する（ステップＳ６４）。一例として、第１判定部１４３Ａは、入力イベントを、生成単位（１分単位）で、時系列の値に変換する。そして、第１判定部１４３Ａは、変換された、入力イベントの時系列の値を時系列データテーブル（リアルタイム用）１３２に格納する。

そして、第１判定部１４３Ａは、現在の入力イベントの値が予測値の上限値、または下限値を超過したか否かを判定する（ステップＳ６５）。例えば、第１判定部１４３Ａは、現在の１分単位に対応する予測値を用いて、フィルタリングルールを生成し、現在の入力イベントがフィルタリングルールに合致するか否かを判定する。一例として、第１判定部１４３Ａは、フィルタリングルールとして、「トラックイベントの平均速度が予測値の上限値、または下限値を超えた場合に、１分集計のトラックイベントを生成し、ＣＥＰエンジン２０に送る」を生成する。そして、第１判定部１４３Ａは、現在の入力イベントの値がフィルタリングルールの条件に合致するか否かを判定する。

予測値の上限値、および下限値を超過していないと判定した場合には（ステップＳ６５；Ｎｏ）、第１判定部１４３Ａは、次の入力イベントを処理すべく、ステップＳ６４に移行する。

一方、予測値の上限値、または下限値を超過したと判定した場合には（ステップＳ６５；Ｙｅｓ）、第１判定部１４３Ａは、入力イベントから１分集計のイベントを生成し、生成されたイベントをＣＥＰエンジン２０に送る（ステップＳ６６）。そして、第１判定部１４３Ａは、ステップＳ６７に移行する。

ステップＳ６７において、ＣＥＰエンジン２０のイベント処理部２０３は、送られたイベントが異常発生時の逸脱イベントに一致し、かつ、送られたイベントの発生時刻が９：００〜１２：００の間であるか否かを判定する（ステップＳ６７）。送られたイベントが異常発生時の逸脱イベントに一致し、かつ、送られたイベントの発生時刻が９：００〜１
２：００の間であると判定した場合には（ステップＳ６７；Ｙｅｓ）、イベント処理部２０３は、一致回数をカウントする（ステップＳ６８）。そして、イベント処理部２０３は、次の入力イベントを処理すべく、ステップＳ６４に移行する。

一方、送られたイベントが異常発生時の逸脱イベントに一致しない、または、送られたイベントの発生時刻が９：００〜１２：００の間でないと判定した場合には（ステップＳ６７；Ｎｏ）、イベント処理部２０３は、一致回数をカウントしない。そして、イベント処理部２０３は、次の入力イベントを処理すべく、ステップＳ６４に移行する。

なお、通知部１４４は、所定のタイミングで一致回数の累計値を制御サーバ２に通知する。また、イベントフィルタ処理は、終了する旨の割り込みを受け付けると、終了する。

［実施例３の効果］
上記実施例３によれば、イベントフィルタ装置１は、予め記憶された異常発生時に逸脱するイベントに基づき、フィルタエンジン１０から引き渡されたイベントが異常か否かを判定し、判定結果をイベント処理に利用する。かかる構成によれば、イベントフィルタ装置１は、異常発生時に逸脱するイベントを、最重要イベントを選別する判定に用い、判定結果をイベント処理に利用することで、複合的なイベント処理を実現できる。

ところで、実施例１−３では、ＣＥＰシステム９を自動車の渋滞発生の予測に用いる場合を説明した。しかしながら、ＣＥＰシステム９は、これに限定されず、別の用途に用いる場合であっても良い。例えば、ＣＥＰシステム９を工場内の生産ラインの管理システムに用いる場合であっても良い。

そこで、実施例４では、ＣＥＰシステム９を工場内の生産ラインの管理に用いる場合について説明する。

［ＣＥＰシステムの具体的な処理の一例］
図１５Ａおよび図１５Ｂは、実施例４に係るＣＥＰシステムの具体的な処理の一例を示す図である。図１５Ａおよび図１５Ｂでは、イベントフィルタ装置１は、工場内のラインＡ、ラインＢおよびラインＣから大量のイベントを入力する場合とする。図１５Ａでは、分析時の処理の具体例を示し、図１５Ｂでは、運用時のリアルタイム処理の具体例を示す。なお、コンフィグファイル１３４には、生成単位として「１分」、分析単位として「１日」が記憶されているとする。また、第１判定部１４３Ａによって分析単位「１日」分の予測データテーブル１３３が生成されたものとする。

図１５Ａに示すように、イベントフィルタ装置１は、過去ログから異常発生日のラインＡ、ラインＢおよびラインＣのイベントを取り出し、時系列データテーブル（分析用）１３１に格納する。イベントフィルタ装置１は、それぞれのイベントの時系列の値の中で、異常発生日時分のそれぞれのイベントの値を取得する。ここでは、一例として、異常発生日時分が、「９時１分」であるとする。すると、「９時１分」のラインＡ（平均処理速度）の傾向を示す値は「５０」、ラインＢ（平均処理速度）の傾向を示す値は「８０」、ラインＣ（平均処理速度）の傾向を示す値は「５」が取得される。

そして、イベントフィルタ装置１は、取得したそれぞれのイベントの値と、異常発生日時分に対応する時分のそれぞれのイベントの予測値とを比較し、予測値から外れたイベントを抽出する。ここでは、異常発生日時分「９時１分」に対応する時分のラインＡ（平均処理速度）の傾向を示す予測値は「５０」、ラインＢ（平均処理速度）の傾向を示す予測値は「４０」、ラインＣ（平均処理速度）の傾向を示す予測値は「１０」である。すると、異常発生日時分のラインＡ（平均処理速度）の値は、対応する時分のラインＡ（平均処理速度）の予測値と同一であるので、予測値を逸脱していない。一方、異常発生日時分のラインＢ（平均処理速度）の値は、対応する時分のラインＢ（平均処理速度）の予測値より大きいので、予測値を逸脱している。また、異常発生日時分のラインＣ（平均処理速度）の値は、対応する時分のラインＣ（平均処理速度）の予測値より小さいので、予測値を逸脱している。そこで、イベントフィルタ装置１は、異常発生日時分「９時１分」について、予測値から外れたラインＢのイベントおよびラインＣのイベントを抽出する。

そして、イベントフィルタ装置１は、異常発生日時分に逸脱するイベントをＣＥＰエンジン２０に出力する。ここでは、イベントフィルタ装置１は、異常発生日時分「９時１分」におけるラインＢのイベントおよびラインＣのイベントがＣＥＰエンジン２０を出力する。このとき、イベントフィルタ装置１は、イベントそれぞれの値を付して出力しても良い。出力されたイベントは、運用時のリアルタイム処理で用いられる。

図１５Ｂに示すように、運用時のリアルタイム処理では、イベントフィルタ装置１は、以下の処理を行う。イベントフィルタ装置１のフィルタエンジン１０は、入力源から１分間に入力された複数のラインＡのイベントからラインＡのイベントに関する特徴量の傾向を示す平均処理速度を算出する。同様に、フィルタエンジン１０は、入力源から１分間に入力された複数のラインＢのイベントからラインＢのイベントに関する特徴量の傾向を示す平均処理速度を算出する。フィルタエンジン１０は、入力源から１分間に入力された複数のラインＣのイベントからラインＣのイベントに関する特徴量の傾向を示す平均処理速度を算出する。そして、フィルタエンジン１０は、算出されたラインＡ、ラインＢおよびラインＣのイベントを時系列データテーブル（リアルタイム用）１３２に格納する。

並行して、フィルタエンジン１０は、予測データテーブル１３３に記憶された予測値を用いて、フィルタリングルールを生成する。ここでは、フィルタエンジン１０は、例えば、ラインＡイベントについて、「ラインＡイベントの平均処理速度が予測値を超えた場合に、１分集計のラインＡイベントを生成し、ＣＥＰエンジン２０に送る」というフィルタリングルールを生成する。一例として、「９時０分」を示す「９時０分」以降「９時１分」未満であるとき、フィルタエンジン１０は、以下の処理を行う。すなわち、フィルタエンジン１０は、フィルタリングルールのラインＡイベントの平均速度の部分にこの期間のラインＡ（平均処理速度）「６０」を代入し、予測値の部分にこの期間に対応する期間のラインＡ（平均処理速度）の予測値を代入する。フィルタエンジン１０は、代入された結果、フィルタリングルールが合致した場合には、この期間のラインＡのイベントを１分集計したイベントを、ＣＥＰエンジン２０に引き渡す。すなわち、フィルタエンジン１０は、予測値を逸脱したイベントを重要なイベントとしてＣＥＰエンジン２０に引き渡す。言い換えれば、フィルタエンジン１０は、定常状態を逸脱したイベントをＣＥＰエンジン２０に引き渡す。フィルタエンジン１０は、代入された結果、フィルタリングルールが合致しない場合には、この期間のラインＡのイベントをＣＥＰエンジン２０に引き渡さない。

そして、ＣＥＰエンジン２０は、出力されたイベントと引き渡されたイベントとを比較するフィルタリングルールを生成する。ここでは、ＣＥＰエンジン２０は、例えば、引き渡されたイベントが、出力されたラインＢのイベントまたは出力されたラインＣのイベントと一致するか否かを判定するフィルタリングルールを生成する。そして、ＣＥＰエンジン２０は、引き渡されたイベントが、出力されたラインＢのイベントまたは出力されたラインＣのイベントと一致すると判定した場合には、異常が発生した旨を最重要通知として制御サーバ２に通知する。すなわち、ＣＥＰエンジン２０は、引き渡されたイベントが異常発生時に逸脱するイベントと同じであった場合には、異常を発生する可能性があるので、最重要イベントとして通知する。一例として、ＣＥＰエンジン２０は、「事故が発生する可能性の確率が上がりました」旨を、制御サーバ２に通知する。ＣＥＰエンジン２０は、引き渡されたイベントが、出力されたラインＢのイベントおよび出力されたラインＣのイベントと一致しないと判定した場合には、異常が発生した旨を重要通知として制御サーバ２に通知する。一例として、ＣＥＰエンジン２０は、「異常の可能性がある」旨を、制御サーバ２に通知する。

このようにして、ＣＥＰシステム９を工場内の生産ラインの管理に用いる場合であっても、イベントフィルタ装置１は、以下の効果を有する。すなわち、イベントフィルタ装置１は、異常発生時のイベントを通知の判定に用いることで、このイベントと同じイベントが入力された場合に最重要通知を制御サーバ２に送信することができ、制御サーバ２の制御を支援することができる。

［プログラムなど］
なお、上記実施例では、ＣＥＰシステム９を自動車の渋滞発生の予測に用いる場合や、ＣＥＰシステム９を工場内の生産ラインの管理に用いる場合について説明した。しかしながら、ＣＥＰシステム９は、これに限定されず、別の用途に用いる場合であっても良い。

また、上記実施例では、イベントフィルタ装置１は、生成単位を１分、分析単位を１日の場合について説明した。しかしながら、イベントフィルタ装置１は、これに限定されず、生成単位を１０分、分析単位を１週間としても良い。生成単位を１時間、分析単位を１ヶ月としても良い。すなわち、生成単位および分析単位は、コンフィグファイル１３４に定義しておけば良く、必要に応じて変更されれば良い。

また、イベントフィルタ装置１は、既知のパーソナルコンピュータ、ワークステーションなどの情報処理装置に、上記した制御部１４および記憶部１３などの各機能を搭載することによって実現することができる。

また、図示した装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、装置の分散・統合の具体的態様は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、第２の判定部２０２と通知部１４４とを１個の処理部として統合しても良い。一方、判定部１４３および第１判定部１４３Ａを、予測値を用いてフィルタリングを生成する生成部と、フィルタリングを用いて現在のイベントを判定する判定部とに分散しても良い。また、時系列データテーブル１３１,１３２、予測データテーブル１３３、コンフィグファイル１３４などをイベントフィルタ装置１の外部装置としてネットワーク経由で接続するようにしても良い。

また、上記実施例で説明した各種の処理は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図１、８、１２に示したイベントフィルタ装置１と同様の機能を実現するイベントフィルタプログラムを実行するコンピュータの一例を説明する。図１６は、イベントフィルタプログラムを実行するコンピュータの一例を示す図である。

図１６に示すように、コンピュータ２００は、各種演算処理を実行するＣＰＵ２０３と、ユーザからのデータの入力を受け付ける入力装置２１５と、表示装置２０９を制御する表示制御部２０７とを有する。また、コンピュータ２００は、記憶媒体からプログラムなどを読取るドライブ装置２１３と、ネットワークを介して他のコンピュータとの間でデータの授受を行う通信制御部２１７とを有する。また、コンピュータ２００は、各種情報を一時記憶するメモリ２０１と、ＨＤＤ２０５を有する。そして、メモリ２０１、ＣＰＵ２０３、ＨＤＤ２０５、表示制御部２０７、ドライブ装置２１３、入力装置２１５、通信制御部２１７は、バス２１９で接続されている。

ドライブ装置２１３は、例えばリムーバブルディスク２１１用の装置である。ＨＤＤ２０５は、イベントフィルタプログラム２０５ａおよびイベントフィルタ処理関連情報２０５ｂを記憶する。

ＣＰＵ２０３は、イベントフィルタプログラム２０５ａを読み出して、メモリ２０１に展開し、プロセスとして実行する。かかるプロセスは、イベントフィルタ装置１の各機能部に対応する。イベントフィルタ処理関連情報２０５ｂは、時系列データテーブル１３１，１３２、予測データテーブル１３３およびコンフィグファイル１３４に対応する。そして、例えばリムーバブルディスク２１１が、イベントフィルタプログラム２０５ａなどの各情報を記憶する。

なお、イベントフィルタプログラム２０５ａについては、必ずしも最初からＨＤＤ２０５に記憶させておかなくても良い。例えば、コンピュータ２００に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」に当該プログラムを記憶させておく。そして、コンピュータ２００がこれらからイベントフィルタプログラム２０５ａを読み出して実行するようにしても良い。

以上の各実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）コンピュータに、
過去に入力されたイベントに関する特徴量の傾向の推移に基づいて、現在イベントに関する特徴量の傾向を示す値を予測し、
入力された現在のイベントに基づいて、現在のイベントに関する特徴量の傾向を示す値を算出し、
予測した前記値と、算出した前記値に基づいて、イベント処理を行う処理部に引き渡すイベントのフィルタリングの設定を行う、
処理を実行させることを特徴とするイベントフィルタプログラム。

（付記２）前記予測する処理は、過去に入力されたイベントに関する特徴量の傾向の推移に基づいて、時系列に現在イベントに関する特徴量の傾向を示す値を予測する
処理を実行させることを特徴とする付記１に記載のイベントフィルタプログラム。

（付記３）前記設定を行う処理は、算出した前記値が予測した前記値と合致する場合に、算出した前記値に該当するイベントをフィルタリングするルールを設定する
処理を実行させることを特徴とする付記１または付記２に記載のイベントフィルタプログラム。

（付記４）予め記憶された異常発生時に逸脱するイベントに基づき、前記処理部に引き渡されたイベントが異常であるか否かを判定し、異常であると判定された場合に、異常である旨の判定結果を通知する
処理を実行させることを特徴とする付記１から付記３のいずれか１つに記載のイベントフィルタプログラム。

（付記５）前記通知する処理は、前記判定結果を前記イベント処理に利用する
処理を実行させることを特徴とする付記４に記載のイベントフィルタプログラム。

（付記６）過去に入力されたイベントに関する特徴量の傾向の推移に基づいて、現在イベントに関する特徴量の傾向を示す値を予測する予測部と、
入力された現在のイベントに基づいて、現在のイベントに関する特徴量の傾向を示す値を算出する算出部と、
前記予測部によって予測された値と、前記算出部によって算出された値に基づいて、イベント処理を行う処理部に引き渡すイベントのフィルタリングの設定を行う設定部と、
を有することを特徴とするイベントフィルタ装置。

（付記７）コンピュータが、
過去に入力されたイベントに関する特徴量の傾向の推移に基づいて、現在イベントに関する特徴量の傾向を示す値を予測し、
入力された現在のイベントに基づいて、現在のイベントに関する特徴量の傾向を示す値を算出し、
予測した前記値と、算出した前記値に基づいて、イベント処理を行う処理部に引き渡すイベントのフィルタリングの設定を行う、
処理を実行することを特徴とするイベントフィルタ方法。

１ イベントフィルタ装置
２ 制御サーバ
９ ＣＥＰシステム
１１，１２ 通信制御Ｉ／Ｆ部
１３ 記憶部
１３１ 時系列データテーブル（分析用）
１３２ 時系列データテーブル（リアルタイム用）
１３３ 予測データテーブル
１３４ コンフィグファイル
１４ 制御部
１４１ 予測データ生成部
１４２ 入力部
１４３ 判定部
１４３Ａ 第１判定部
１４４ 通知部
２０１ 重要データ特定部
２０２ 第２判定部
２０３ イベント処理部

Claims (4)

1. コンピュータに、
   過去に入力された複数のイベントに関する特徴量の傾向の推移に基づいて、現在の前記複数のイベントに関する特徴量の傾向を示す値を前記複数のイベントごとに予測し、
   入力された現在の前記複数のイベントに基づいて、現在の前記複数のイベントに関する特徴量の傾向を示す値をそれぞれ算出し、
   前記複数のイベントごとに予測した前記値と、算出した前記それぞれの値に基づいて、イベント処理を行う処理部に引き渡すイベントのフィルタリングの設定を行い、
   前記処理部に引き渡されたイベントが異常であるか否かを、該引き渡されたイベントが前記過去における異常発生時に、予測した前記値を逸脱するイベントであるかにより判定し、異常であると判定された場合に、異常である旨の判定結果を通知する、
   処理を実行させることを特徴とするイベントフィルタプログラム。
2. 前記通知する処理は、前記判定結果を前記イベント処理に利用する
   処理を実行させることを特徴とする請求項１に記載のイベントフィルタプログラム。
3. 過去に入力された複数のイベントに関する特徴量の傾向の推移に基づいて、現在の前記複数のイベントに関する特徴量の傾向を示す値を前記複数のイベントごとに予測する予測部と、
   入力された現在の前記複数のイベントに基づいて、現在の前記複数のイベントに関する特徴量の傾向を示す値をそれぞれ算出する算出部と、
   前記予測部によって予測された前記複数のイベントごとの値と、前記算出部によって算出されたそれぞれの値に基づいて、イベント処理を行う処理部に引き渡すイベントのフィルタリングの設定を行う設定部と、
   前記処理部に引き渡されたイベントが異常であるか否かを、該引き渡されたイベントが前記過去における異常発生時に、予測した前記値を逸脱するイベントであるかにより判定し、異常であると判定された場合に、異常である旨の判定結果を通知する判定部と、
   を有することを特徴とするイベントフィルタ装置。
4. コンピュータが、
   過去に入力された複数のイベントに関する特徴量の傾向の推移に基づいて、現在の前記複数のイベントに関する特徴量の傾向を示す値を前記複数のイベントごとに予測し、
   入力された現在の前記複数のイベントに基づいて、現在の前記複数のイベントに関する特徴量の傾向を示す値をそれぞれ算出し、
   前記複数のイベントごとに予測した前記値と、算出した前記それぞれの値に基づいて、イベント処理を行う処理部に引き渡すイベントのフィルタリングの設定を行い、
   前記処理部に引き渡されたイベントが異常であるか否かを、該引き渡されたイベントが前記過去における異常発生時に、予測した前記値を逸脱するイベントであるかにより判定し、異常であると判定された場合に、異常である旨の判定結果を通知する、
   処理を実行することを特徴とするイベントフィルタ方法。

Images