JP6873025B2 - パラメータ設定方法、データ分析装置、データ分析システム及びプログラム - Google Patents

Description

本発明は、時系列データを監視するデータ分析装置に関する。

近年、様々なモノと接続して、データを収集するＩｏＴ（Internet of Things）技術が広がるに従い、様々なモノがネットワークに接続されている。様々なモノがネットワークに接続されることによって、モノから収集した時系列データを用いて、対象装置や対象システムを監視し、データを分析できるシステムがある。このようなシステムでは、監視対象の状態に関するデータを収集し、データの基準値からの乖離度を閾値と比較して、監視対象の異常を検知している。

このような監視や分析方法を実現するために、例えば、データの基準値や乖離度の閾値など、複数種のパラメータを予め設定する必要がある。パラメータの設定を支援する技術として、監視対象の状態に関する事前情報に従ってパラメータを決定する方法が提案されている。例えば、特許文献１（特開２００８−５９２７０号公報）には、統計量データに含まれる異常データと正常データとの割合に関する事前情報を生成する事前情報生成手段と、事前情報を使用して、統計量データの異常状態と正常状態の判定を行うための閾値を決定する閾値決定手段と、閾値決定手段により決定された閾値及び統計量データを使用して、対象プロセスの異常を診断する異常診断手段とを具備したことを特徴とするプロセス異常診断装置が開示されている。

また、パラメータの設定を支援する技術として、分析結果の更新時にパラメータを更新する方法が提案されている。特許文献２（特開２０１３−９７６１５号公報）には、クラスタ割り当て変数を更新するときにクラスタ数を決定すると共に、クラスタ割り当て変数の更新、特徴選択変数の更新、特徴選択パラメータの更新、特徴観測パラメータの更新、ノイズ観測パラメータの更新、クラスタ遷移パラメータの更新、及び混合比パラメータの更新を所定の終了条件を満足するまで繰り返すことを特徴とするクラスタリング装置が開示されている。

特開２００８−５９２７０号公報 特開２０１３−９７６１５号公報

しかしながら、特許文献１に開示されているパラメータ設定技術では、異常データと正常データとの割合のような、監視対象に関する事前情報を入力する必要がある。また、特許文献２に開示されているパラメータ設定技術では、パラメータ更新のためのハイパーパラメータと称される定数を予め入力する必要があり、パラメータ更新の効果が初期設定に影響される。このため、従来技術では、事前情報がない場合に監視対象の特徴に適するパラメータの設定が困難である。

本発明は、上記の点を鑑みてなされたものであり、監視対象から取得した複数の項目を含む時系列データの特徴の分析結果に基づいて、適切なパラメータを設定することを目的とする。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下の通りである。パラメータを設定可能なデータ分析装置であって、所定の処理を実行する演算装置と、前記演算装置に接続された記憶デバイスと、前記演算装置に接続された通信インターフェースとを有する計算機によって構成され、分析対象システムに対応するモデル毎にパラメータ設定コンフィグを蓄積するコンフィグ蓄積部と、分析対象システムから複数の項目のデータを含む時系列データを取得するデータ入力部と、少なくとも一つの第１の項目のデータを前記時系列データから抽出し、前記第１の項目のデータの経時変化の特徴を計算する経時変化特徴計算部と、少なくとも一つの第２の項目のデータを前記時系列データから抽出し、前記第１の項目のデータと前記第２の項目のデータとの間の関連性と、複数の前記第２の項目のデータ間の関連性との少なくとも一つの関連性の特徴を計算する関連性特徴計算部と、前記経時変化の特徴と前記関連性の特徴とに基づいて、前記分析対象システムに対応するモデルを判定するモデル判定部と、前記分析対象システムに対応するモデルのパラメータ設定コンフィグを用いて、前記分析対象システムにパラメータを設定するパラメータ設定部と、前記パラメータの修正が要求されると、前記要求されたパラメータの修正の比率に応じて他のパラメータを修正するコンフィグ修正部と、を備える。

本発明によれば、監視対象システムに適するパラメータを設定できる。前述した以外の課題、構成及び効果は、以下の実施例の説明によって明らかにされる。

実施例１のネットワークトラフィック分析システムの構成を示す図である。 実施例１の分析装置の構成を示す図である。 実施例１の入力データ情報テーブルの構成例を示す図である。 実施例１のデータ項目情報テーブルの構成例を示す図である。 実施例１のモデル情報テーブルの構成例を示す図である。 実施例１のコンフィグ情報テーブルの構成例を示す図である。 実施例１のパラメータ情報テーブルの構成例を示す図である。 実施例１のパラメータ設定プログラムが実行する処理のフローチャートである。 実施例１の経時変化特徴計算プログラムが実行する処理のフローチャートである。 実施例１の関連性特徴計算プログラムが実行する処理のフローチャートである。 実施例１のモデル判定プログラムが実行する処理のフローチャートである。 実施例２のＩｏＴセンサ情報分析システムの構成を示す図である。 実施例２の設定装置の構成を示す図である。 実施例２の入力データ情報テーブルの構成例を示す図である。 実施例２のデータ項目情報テーブルの構成例を示す図である。 実施例２のパラメータ設定プログラムが実行する処理のフローチャートである。 実施例２のコンフィグ修正プログラムが実行する処理のフローチャートである。

以下、本発明の実施例を、図面を用いて説明する。

なお、以下の実施例においては便宜上その必要があるときは、複数のセクション又は実施例に分割して説明するが、特に明示した場合を除き、それらはお互いに無関係なものではなく、一方は他方の一部または全部の変形例、詳細、補足説明などの関係にある。

また、以下の実施例において、要素の数等（個数、数値、量、範囲等を含む）に言及する場合、特に明示した場合及び原理的に明らかに特定の数に限定される場合などを除き、その特定の数に限定されず、特定の数以上でも以下でもよい。

さらに、以下の実施例において、その構成要素（要素ステップなどを含む）は、特に明示した場合及び原理的に明らかに必須である場合などを除き、必ずしも必須のものではない。

さらに、以下の実施例は単独で適用してもよいし、複数又は全ての実施例を組み合わせて適用してもよい。

＜実施例１＞（ネットワークトラフィック分析システム）
本実施例では、図１に示すように、ミラーリングスイッチ１０１と、分析装置１０２と、出力装置１０３とを含むネットワークトラフィック分析システムにおいて、分析装置１０２が、ミラーリングスイッチ１０１から取得したネットワークパケットからトラフィックフロー別の統計データを計算する例を説明する。さらに、分析装置１０２が、ミラーリングスイッチ１０１から取得したネットワークパケットから予め設定した少なくとも一つの項目（データが周期的に変化する第１の項目）を抽出し、第１の項目のデータの経時変化の特徴を計算する。そして、分析装置１０２が、ミラーリングスイッチ１０１から取得したネットワークパケットから別の予め設定した少なくとも一つの項目（第２の項目）を抽出し、第１の項目のデータと第２の項目のデータとの間の関連性の特徴を計算する。そして、計算された経時変化の特徴及び関連性の特徴に基づいて、分析対象のネットワークシステムが複数のモデルの中の、どのモデルに属するかを判定し、前記分析対象システムが属するモデルに対応するパラメータ設定情報を用いて、分析対象システムに適用する分析パラメータを設定することを特徴とする。そして、分析装置１０２は、設定されたパラメータを用いて、分析対象のネットワークシステムのトラフィックを分析する。

図１は、実施例１のネットワークトラフィック分析システムの構成を示す図である。

実施例１のネットワークトラフィック分析システムは、ミラーリングスイッチ１０１と、分析装置１０２、ネットワーク装置（以下、スイッチと称する）１０４と、ネットワーク端末（以下、ホストと称する）１０５とを含む。

ミラーリングスイッチ１０１は、二つ以上のスイッチ１０４を繋いで、それらの間でネットワークパケットを転送し、転送するパケットを複製し、分析装置１０２に送信する。ミラーリングスイッチ１０１は、ミラーリング機能付きのスイッチ装置のほか、ＤＰＩ（Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｏｒ）装置やネットワーク信号を分岐して取り出すＴＡＰ装置などでもよい。

分析装置１０２は、ミラーリングスイッチ１０１から取得したネットワークパケットから、分析対象であるネットワークシステム（スイッチ１０４、ホスト１０５を含む）の状態を分析し、分析結果を出力装置１０３へ送信する。

出力装置１０３は、分析装置１０２から受信したデータを可視化し、使用者にネットワークシステムの状態を知らせる。例えば、出力装置１０３は、分析装置１０２に接続される端末計算機である。

スイッチ１０４は、スイッチングハブ、ルータ、無線アクセスポイント、無線基地局など有線や無線ネットワークにおいて、パケットやフレームを転送する装置である。図１に示すように、ホスト１０５が、スイッチ１０４経由でミラーリングスイッチ１０１と接続されてもよいし、ホスト１０５が直接ミラーリングスイッチ１０１と接続されてもよい。

図２は、実施例１の分析装置１０２の構成を示す図である。

本実施例の分析装置１０２の機能は、一般的なコンピュータの補助記憶装置２０５にプログラムの形式で格納される。該プログラムは補助記憶装置２０５から読み出されてメモリ２０１上に展開され、ＣＰＵ２０２によって実行される。なお、ＣＰＵ２０２がプログラムを実行して行う処理の一部をハードウェア（例えば、ＦＰＧＡ）で行ってもよい。

分析装置１０２は、入出力インターフェース２０３及び通信インターフェース２０４の少なくとも一つを介してミラーリングスイッチ１０１と接続される。同様に、分析装置１０２は、入出力インターフェース２０３及び通信インターフェース２０４の少なくとも一つを介して出力装置１０３と接続される。

分析装置１０２のメモリ２０１は、データ入力プログラム２１１と、パラメータ設定プログラム２１２と、経時変化特徴計算プログラム２１３と、関連性特徴計算プログラム２１４と、モデル判定プログラム２１５と、データ分析プログラム２１６と、データ出力プログラム２１７とを格納する。

データ入力プログラム２１１は、ミラーリングスイッチ１０１からネットワークパケットを受信する。パラメータ設定プログラム２１２は、受信したデータに従って分析対象システムに適する分析パラメータを設定する。経時変化特徴計算プログラム２１３は、分析パラメータを設定するための経時変化特徴を計算する。関連性特徴計算プログラム２１４は、分析パラメータを設定するための関連性特徴を計算する。モデル判定プログラム２１５は、分析パラメータを設定するためのモデルを判定する。データ分析プログラム２１６、設定された分析パラメータを用いて分析対象システムのネットワークトラフィックを分析する。データ出力プログラム２１７は、分析結果を出力装置１０３に送信する。

さらに、分析装置１０２のメモリ２０１は、入力データ情報テーブル２２１（図３参照）と、データ項目情報テーブル２２２（図４参照）と、モデル情報テーブル２２３（図５参照）と、コンフィグ情報テーブル２２４（図６参照）と、パラメータ情報テーブル２２５（図７参照）と、データ分析情報テーブル２２６とを格納する。

入力データ情報テーブル２２１は、ネットワークパケットから計算したトラフィックフロー別の統計データを格納する。データ項目情報テーブル２２２は、入力データが含むデータ項目の情報を格納する。モデル情報テーブル２２３は、分析対象システムが属する可能性のある分析モデルの情報を格納する。コンフィグ情報テーブル２２４は、モデルごとに対応するパラメータ設定コンフィグ情報を格納する。パラメータ情報テーブル２２５は、分析対象システムに適用する分析パラメータの設定結果情報を格納する。データ分析情報テーブル２２６は、データ分析に関連する情報を格納する。

なお、本実施例の分析装置１０２では各種プログラム及び各種情報を一つのコンピュータのメモリ上に格納する構成を示した。しかし、これらの情報を補助記憶装置２０５に格納し、前述したプログラムによる処理の都度、補助記憶装置２０５から情報を読み込み、各処理が完了する毎に補助記憶装置２０５に情報を格納してもよい。

また、プログラム及び情報を複数のコンピュータに分散して格納してもよい。例えば、データベースのテーブルとして各種情報を実装して分析装置１０２と異なるデータベースサーバに格納し、分析装置１０２上で実行されるプログラムがデータベースサーバ上の情報を参照及び更新する構成でもよい。

以上のような上記情報の格納方法の違いは、本発明の本質には影響を与えない。

ＣＰＵ２０２が実行するプログラムは、リムーバブルメディア（ＣＤ−ＲＯＭ、フラッシュメモリなど）又はネットワークを介して分析装置１０２に提供され、非一時的記憶媒体である不揮発性の補助記憶装置２０５に格納される。このため、分析装置１０２は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。

分析装置１０２は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。

図３は、分析装置１０２が保持する入力データ情報テーブル２２１の構成例を示す図である。

入力データ情報テーブル２２１は、時刻３０１と、送信元ＩＰ３０２と、送信先ＩＰ３０３と、プロトコルＩＤ３０４と、送信元ポート３０５と、送信先ポート３０６と、レート３０７と、再送パケット数３０８と、ＩＣＭＰエラー回数３０９と、リセット回数３１０とを含む。

時刻３０１は、トラフィックフローデータが記録された時刻を示す。送信元ＩＰ３０２は、トラフィックフローの送信元のＩＰアドレスを示す。送信先ＩＰ３０３は、トラフィックフローの送信先のＩＰアドレスを示す。プロトコルＩＤ３０４は、トラフィックフローのトランスポートレイヤープロトコルを示す。送信元ポート３０５は、トラフィックフローのトランスポートレイヤー送信元ポート番号を示す。送信先ポート３０６は、トラフィックフローのトランスポートレイヤー送信先ポート番号を示す。レート３０７は、トラフィックフローのビットレートを示す。再送パケット数３０８は、トラフィックフローの再送パケット数を示す。ＩＣＭＰエラー回数３０９は、トラフィックフロー内発生したＩＣＭＰエラーの回数を示す。リセット回数３１０は、トラフィックフロー内発生したＴＣＰなどのリセットの回数を示す。

図３に示す入力データ情報テーブル２２１は、１分ごとにトラフィックフローのデータが記録された例を示すが、他の間隔でトラフィックフローのデータを記録してもよい。

図４は、分析装置１０２が保持するデータ項目情報テーブル２２２の構成例を示す図である。

データ項目情報テーブル２２２は、項の目順番の識別子を示すデータ項目ＩＤ４０１と、項目の名称を示す項目名称４０２と、項目の種類を示す項目タイプ４０３とを含む。

図４では、テーブルの各行の項目は入力データ情報テーブル２２１のカラムに対応する。図４は、項目タイプ４０３はタイムスタンプを示す「ＴＳ」と、トラフィックフローの識別子を示す「ＫＥＹ」と、予め定められた第１の項目を示す「Ｖ１」と、予め定められた第２の項目を示す「Ｖ２」との４種類である。その他、パラメータ設定やデータ分析に活用可能な他の項目種類が存在してもよい。

図５は、分析装置１０２が保持するモデル情報テーブル２２３の構成例を示す図である。

モデル情報テーブル２２３は、モデルの識別子を示すモデルＩＤ５０１と、モデルの名称を示すモデル名５０２と、分析対象システムがモデルに該当するかを判定する条件を示すモデル判定条件５０３とを含む。

モデルは、入力データに基づいて、対象システムのイベントに対応する数理的な分析方法である。入力データの振る舞いを適切に説明するために、そのデータの統計分布などに当てはまるモデルが必要である。図５は、ホームネットワークと、ビジネスネットワークと、センサネットワークとを含む複数のモデルを示す。それらのネットワークシステムは、例えば、トラフィックのビットレートの変化を示す統計分布が異なる。また、各モデルには、当該モデルに該当するかを判定するための条件が定められている。判定条件は、例えば、入力データから計算された特徴ベクトルと、当該モデルの固有特徴ベクトルとの距離が一定の閾値以内かである。また、例えば、クラスタ分析や学習済みのＳＶＭ（Ｓｕｐｐｏｒｔ Ｖｅｃｔｏｒ Ｍａｃｈｉｎｅ）やＤＮＮ（Ｄｅｅｐ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）などを用いて、一つの条件により複数のモデルの中から該当するモデルを判定してもよい。

図６は、分析装置１０２が保持するコンフィグ情報テーブル２２４の構成例を示す図である。

コンフィグ情報テーブル２２４は、モデルの識別子を示すモデルＩＤ６０１と、分析パラメータの識別子を示すパラメータＩＤ６０２と、分析パラメータのコンフィグ情報を示すパラメータコンフィグ６０３とを含む。モデルＩＤ６０１とパラメータＩＤ６０２とによって、分析対象システムが該当するモデルにおいて、設定すべき分析パラメータが一意に特定される。

パラメータコンフィグ６０３に定義されるパラメータは定数でもよいが、スケール因子Ｎや、データ項目の統計値（例えば、ＭＥＡＮ（再送パケット数）、ＭＥＡＮ（レート））を含む計算式でもよい。その他、パラメータコンフィグ６０３を計算スクリプトなど分析装置１０２が処理できる形式で定義してもよい。

図７は、分析装置１０２が保持するパラメータ情報テーブル２２５の構成例を示す図である。

パラメータ情報テーブル２２５は、分析パラメータの識別子を示すパラメータＩＤ７０１と、分析パラメータの設定結果を示すパラメータ値７０２とを含む。

分析装置１０２が保持するデータ分析情報テーブル２２６は、その構成例の図示を省略するが、モデルに応じて行われるデータ分析の学習データや分析結果を格納する。学習データの例として、線形や非線形の回帰分析の統計分析結果やクラスタなど機械学習の学習済みモデルなどがある。分析結果の例として、分析対象システムのイベント記録や異常度スコアなどがある。

分析装置１０２が実行するデータ入力プログラム２１１は、入出力インターフェース２０３及び通信インターフェース２０４の少なくとも一つを介して、ミラーリングスイッチ１０１と情報のやり取りを行い、分析対象システムのネットワークパケットを取得する。そして、データ入力プログラム２１１は、予め定められた一定の時間間隔で受信したネットワークパケットに基づいて、トラフィックフロー毎の統計値を計算し、入力データ情報テーブル２２１に格納する。

図８は、分析装置１０２が実行するパラメータ設定プログラム２１２による処理のフローチャートである。

ステップ８０１において、分析装置１０２は、所定量のデータ（例えば、１日分のデータ）の入力データ情報テーブル２２１への格納などをトリガにして、パラメータ設定プログラム２１２を起動する。なお、分析装置１０２は、所定時間（例えば、１か月）の経過、又は、データ分析プログラム２１６が特定のデータを検出したことなどの所定の条件を満たしたことをトリガにして、パラメータ設定プログラム２１２を起動してもよい。

ステップ８０２において、分析装置１０２は、分析対象システムの特徴ベクトルを空ベクトル（Ｖ＝［ ］）にする。

ステップ８０３において、分析装置１０２は、項目タイプ４０３が第１の項目（Ｖ１）のデータ項目をデータ項目情報テーブル２２２から抽出する。

ステップ８０４において、分析装置１０２は、抽出した第１の項目から順に一つの項目を選択し、選択した項目のデータ項目ＩＤ４０１を指定して、経時変化特徴計算プログラム２１３（図９）に渡して、そのデータ項目の経時変化特徴（［ｘ１，ｘ２，…，ｘｎ］）とスケール因子ｎを取得し、経時変化特徴を特徴ベクトルに追加する（Ｖ＝［ｘ１，ｘ２，…，ｘｎ］）。

ステップ８０５において、分析装置１０２は、全ての第１の項目の計算が完了したかを判定する。一部の第１の項目の計算が完了していない場合、分析装置１０２は、ステップ８０４に戻り、次の第１の項目を選択する。一方、全ての第１の項目の計算が完了した場合、分析装置１０２は、ステップ８０６に進み、データ項目情報テーブル２２２から、項目タイプ４０３が第２の項目（Ｖ２）のデータ項目を抽出する。

ステップ８０７において、分析装置１０２は、抽出した第２の項目から順に一つの項目を選択し、選択したデータ項目ＩＤ４０１とスケール因子ｎとを指定して、関連性特徴計算プログラム２１４（図１０）に渡して、そのデータ項目の関連性特徴ｙを取得し、特徴ベクトルに追加する（Ｖ＝［ｘ１，ｘ２，…，ｘｎ，ｙ］）。

ステップ８０８において、分析装置１０２は、全ての第２の項目の計算が完了したかを判定する。一部の第２の項目の計算が完了していない場合、分析装置１０２は、ステップ８０７に戻り、次の第２の項目を選択する。一方、全ての第２の項目の計算が完了した場合、分析装置１０２は、ステップ８０９に進み、特徴ベクトルをモデル判定プログラム２１５（図１１）に渡し、分析対象システムが該当するモデルのモデルＩＤ５０１を取得する。

ステップ８１０において、分析装置１０２は、モデルＩＤ６０１が合致したモデルＩＤ５０１と一致するパラメータコンフィグ情報をコンフィグ情報テーブル２２４から取得する。

ステップ８１１において、分析装置１０２は、取得したパラメータコンフィグ情報に基づき、分析パラメータを計算し、パラメータ情報テーブル２２５に格納する。

最後に、ステップ８１２において、パラメータ設定プログラム２１２を終了する。

図９に、分析装置１０２が実行する経時変化特徴計算プログラム２１３による処理のフローチャートである。

ステップ９０１において、分析装置１０２は、パラメータ設定プログラム２１２が指定した第１の項目のデータ項目ＩＤ４０１を引数に、経時変化特徴計算プログラム２１３を起動する。

ステップ９０２において、分析装置１０２は、入力データ情報テーブル２２１から、時刻カラム３０１と指定されたデータ項目カラムのデータを全て取得する。

ステップ９０３において、分析装置１０２は、時刻カラム３０１の秒までが一致するデータの合計値を計算し、指定されたデータ項目カラムのデータの秒毎の合計値を計算する。

ステップ９０４において、分析装置１０２は、計算された毎秒合計値の１時間毎の平均値を計算し、指定されたデータ項目カラムのデータの１時間毎の平均値（例えば、１０００，２０００，６０００，８０００，…，２０００，１０００）を計算する。ステップ９０４において、平均値ではなく、他の統計値（例えば、分散、偏差値、最大値、最小値など）を計算してもよい。

ステップ９０５において、分析装置１０２は、計算された１時間毎の平均値を最大値が１になるように正規化し、その正規化した結果（０．１２５，０．２５，０．７５，１，…，０．２５，０．１２５）と正規化する時の正規化係数をスケール因子（ｎ＝８０００）としてパラメータ設定プログラム２１２に返す。

最後に、ステップ９０６において、経時変化特徴計算プログラム２１３を終了する。

図１０は、分析装置１０２が実行する関連性特徴計算プログラム２１４による処理のフローチャートである。

ステップ１００１において、分析装置１０２は、パラメータ設定プログラム２１２が指定した第２の項目のデータ項目ＩＤ４０１とスケール因子ｎを引数に、関連性特徴計算プログラム２１４を起動する。

ステップ１００２において、分析装置１０２は、入力データ情報テーブル２２１から、時刻カラム３０１と指定されたデータ項目カラムのデータを全て取得する。

ステップ１００３において、分析装置１０２は、時刻カラム３０１の秒までが一致するデータの合計値を計算し、指定されたデータ項目カラムのデータの毎秒合計値を計算する。

ステップ１００４において、分析装置１０２は、計算された毎秒合計値の平均値を計算し、指定されたデータ項目カラムのデータの全体の平均値を計算する。ステップ１００４において、平均値ではなく、他の統計値（例えば、分散、偏差値、最大値、最小値など）を計算してもよい。

ステップ１００５において、分析装置１０２は、計算された全体の平均値と指定されたスケール因子との比率を計算し、パラメータ設定プログラム２１２に返す。ここで、スケール因子は、第１の項目のデータを正規化するときの正規化係数なので、当該第１の項目のデータの最大値である。ステップ１００５では、指定されたデータ項目のデータの平均値とスケール因子との比率を計算しているが、これは、指定された第２の項目のデータの平均値と、指定されたスケール因子の計算元の第１の項目のデータの最大値との比率を計算していることになる。このため、ステップ１００５では、第１の項目のデータの統計値と第２の項目のデータの統計値との比率が計算されている。

なお、ステップ１００５において、第１の項目のデータの統計値と第２の項目のデータの統計値との比率を計算したが、二つの第２の項目のデータの統計値の比率を計算してもよい。

後に、ステップ１００６において、関連性特徴計算プログラム２１４を終了する。

図１１は、分析装置１０２が実行するモデル判定プログラム２１５による処理のフローチャートである。

ステップ１１０１において、分析装置１０２は、パラメータ設定プログラム２１２が指定した特徴ベクトルＶを引数に、モデル判定プログラム２１５を起動する。

ステップ１１０２において、分析装置１０２は、モデル情報テーブル２２３から順に一つのモデルを選択する。

ステップ１１０３において、分析装置１０２は、与えられた特徴ベクトルが選択されたモデル判定条件５０３を満たすかを判定する。特徴ベクトルが選択されたモデルの判定条件５０３を満たさない場合、分析装置１０２は、ステップ１１０２に戻り、次のモデルを選択する。一方、特徴ベクトルが選択されたモデルの判定条件５０３を満たす場合、分析装置１０２は、ステップ１１０４に進み、条件を満たすモデルのモデルＩＤ５０１をパラメータ設定プログラム２１２に返す。

最後に、ステップ１１０５において、モデル判定プログラム２１５を終了する。

分析装置１０２が実行するデータ分析プログラム２１６は、分析対象システムに対してデータを分析し、学習データや分析結果をデータ分析情報テーブル２２６に格納する。

例えば、データ分析プログラム２１６は、分析パラメータのパラメータ情報テーブル２２５への格納をトリガにして、入力データ情報テーブル２２１から全部のトラフィックフロー統計データを取得し、パラメータ情報テーブル２２５から分析パラメータを取得し、取得した入力データを学習データとして、分析パラメータに基づき、線形や非線形の回帰分析の統計分析結果やクラスタなど機械学習を行い、学習済みモデルをデータ分析情報テーブル２２６に格納する。

また、新たな入力データの入力データ情報テーブル２２１への格納をトリガにして、入力データ情報テーブル２２１から直近のトラフィックフロー統計データを取得し、パラメータ情報テーブル２２５から分析パラメータを取得し、データ分析情報テーブル２２６から学習データを取得し、取得した学習データ及び分析パラメータに基づいて、入力データに対する数理分析を行い、分析対象システムの異常度スコアをデータ分析情報テーブル２２６に格納してもよい。その場合、分析結果の異常度スコアが所定の閾値を超えると、分析装置１０２は、データ出力プログラム２１７を動作させるとよい。

分析装置１０２が実行するデータ出力プログラム２１７は、入出力インターフェース２０３及び通信インターフェース２０４の少なくとも一つを介して、出力装置１０３と情報をやり取りし、分析対象システムに対する分析結果を出力する。

例えば、予め定められた所定時間の経過をトリガにして、データ分析情報テーブル２２６からデータ分析結果を取得し、取得したデータ分析結果を整形して、出力装置１０３に出力する。また、データ分析プログラム２１６のイベント検知をトリガにして、データ分析情報テーブル２２６からデータ分析結果を取得し、取得したデータ分析結果を整形して、出力装置１０３に出力してもよい。

このように、本実施例では、ミラーリングスイッチ１０１と、分析装置１０２と、出力装置１０３とを含むネットワークトラフィック分析システムにおいて、分析装置１０２が、ミラーリングスイッチ１０１から取得したネットワークパケットからトラフィックフロー別の統計データを計算する。さらに、分析装置１０２は、ミラーリングスイッチ１０１から取得したネットワークパケットから第１の項目のデータを抽出し、第１の項目のデータの各時間における統計値を計算し、ミラーリングスイッチ１０１から取得したネットワークパケットから別の第２の項目のデータを抽出し、第１の項目のデータと第２の項目のデータとの間の統計値の比率を計算し、時間毎の統計値と統計値の比率とに基づいて、分析対象システムに対応するモデルを判定し、当該モデルに対応するパラメータ設定コンフィグを用いて、分析対象システムに適用する分析パラメータを設定する。また、分析装置１０２は、パラメータを用いて分析対象システムのネットワークトラフィックを分析する。これにより、分析対象システムから取得した複数の項目を含むトラフィックフローの統計データに基づいて、分析対象システムの特徴を解析し、当該分析対象システムに適する分析パラメータを自動的に設定できる。また、当該分析対象システムに適する分析パラメータが自動的に設定されるので、分析パラメータを設定するための調査コストとタイムロスが減少し、故障予防やＱｏＥ（Ｑｕａｌｉｔｙ ｏｆ Ｅｘｐｅｒｉｅｎｃｅ）を向上できる。

また、分析装置１０２が、第１の項目の時間毎の統計値を正規化し、当該正規化したときの正規化係数を分析対象システムのスケール因子として記録し、当該スケール因子を引数として分析対象システムの規模に適するパラメータを計算するので、分析対象システムの質的特徴だけでなく、量的特徴にも適する分析パラメータを設定できる。

＜実施例２＞（ＩｏＴセンサ情報分析システム）
実施例２では、データ蓄積装置１２０３と、通信路１２０４と、ＩｏＴゲートウェイ１２０５と、センサ１２０６とを含むＩｏＴセンサ情報分析システムに接続された設定装置１２０２が、データ蓄積装置１２０３から取得したセンシングデータから各データ項目のタイプを識別する。設定装置１２０２が、データから周期性がある測定値を抽出し、周期性がある測定値の経時変化特徴を計算し、データから周期性がない測定値を抽出し、周期性がある測定値と周期性がない測定値との間の関連性特徴を計算する。そして、設定装置１２０２が、経時変化特徴及び関連性特徴に基づいて、分析対象が属するモデルを判定し、分析対象が属する前記モデルに対応するパラメータ設定コンフィグを用いて、分析対象に適用される分析パラメータを設定し、前記分析装置に送信することを特徴とする。

図１２は、実施例２のＩｏＴセンサ情報分析システムの構成を示す図である。なお、実施例２の説明において、前述した実施例１と同じ名称の構成、機能及び処理の説明は省略する。

実施例２のＩｏＴセンサ情報分析システムは、分析装置１２０１と、設定装置１２０２と、データ蓄積装置１２０３と、通信路１２０４と、ＩｏＴゲートウェイ１２０５と、センサ１２０６とを含む。

分析装置１２０１は、センシングデータを用いて分析対象の状態を分析する計算機である。設定装置１２０２は、適切な分析パラメータを分析装置１２０１に提供する計算機である。データ蓄積装置１２０３は、ＩｏＴゲートウェイ１２０５と情報をやりとりし、センサ１２０６が測定したセンシングデータを受信し、受信したセンシングデータを整形して、分析装置１２０１及び設定装置１２０２に提供する計算機である。通信路１２０４は、有線、無線のいずれのネットワークでもよく、また、一つのネットワークでも複数のネットワークの組み合わせでもよい。

図１３は、実施例２の設定装置１２０２の構成を示す図である。なお、実施例１の分析装置１０２と同じ構成の説明は省略する。

実施例２の設定装置１２０２の機能は、一般的なコンピュータの補助記憶装置２０５にプログラムの形式で格納される。該プログラムは補助記憶装置１３０５から読み出されてメモリ１３０１上に展開され、ＣＰＵ１３０２によって実行される。なお、ＣＰＵ１３０２がプログラムを実行して行う処理の一部をハードウェア（例えば、ＦＰＧＡ）で行ってもよい。

設定装置１２０２は、通信インターフェース１３０４及び通信インターフェース１３０４の少なくとも一つを介して通信路１２０４と接続される。

設定装置１２０２のメモリ１３０１は、データ蓄積装置１２０３との間に情報のやり取りを行うデータ入力プログラム１３１１と、入力データのタイプを識別するデータ分類プログラム１３１２と、分析パラメータを設定するパラメータ設定プログラム１３１３と、パラメータコンフィグ情報を修正するコンフィグ修正プログラム１３１４とを格納する。

さらに、設定装置１２０２のメモリ１３０１は、入力データ情報テーブル１３２１（図１４参照）と、データ項目情報テーブル１３２２（図１５参照）と、モデル情報テーブル１３２３と、コンフィグ情報テーブル１３２４と、パラメータ情報テーブル１３２５とを格納する。入力データ情報テーブル１３２１は、センシングデータを格納する。データ項目情報テーブル１３２２は、入力データが含むデータ項目の情報を格納する。モデル情報テーブル１３２３は、分析対象が属する可能性のある分析モデルの情報を格納する。コンフィグ情報テーブル１３２４は、モデルごとに対応するパラメータ設定コンフィグ情報を格納する。パラメータ情報テーブル１３２５は、分析対象システムに適用する分析パラメータの設定結果情報を格納する。

モデル情報テーブル１３２３、コンフィグ情報テーブル１３２４、パラメータ情報テーブル１３２５は、それぞれ、実施例１のモデル情報テーブル２２３（図５）、コンフィグ情報テーブル２２４（図６）、パラメータ情報テーブル２２５（図７）と同じ構成でよいため、その構成の説明は省略する。

なお、本実施例の設定装置１２０２では各種プログラム及び各種情報を一つのコンピュータのメモリ上に格納する構成を示した。しかし、これらの情報を補助記憶装置１３０５に格納し、前述したプログラムによる処理の都度、補助記憶装置１３０５から情報を読み込み、各処理が完了する毎に補助記憶装置１３０５に情報を格納してもよい。

また、プログラム及び情報を複数のコンピュータに分散して格納してもよい。例えば、データベースのテーブルとして各種情報を実装して設定装置１２０２と異なるデータベースサーバに格納し、設定装置１２０２上で実行されるプログラムがデータベースサーバ上の情報を参照及び更新する構成でもよい。

以上のような上記情報の格納方法の違いは、本発明の本質には影響を与えない。

ＣＰＵ１３０２が実行するプログラムは、リムーバブルメディア（ＣＤ−ＲＯＭ、フラッシュメモリなど）又はネットワークを介して設定装置１２０２に提供され、非一時的記憶媒体である不揮発性の補助記憶装置２０５に格納される。このため、設定装置１２０２は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。

設定装置１２０２は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。

図１４は、設定装置１２０２が保持する入力データ情報テーブル１３２１の構成例を示す図である。

入力データ情報テーブル１３２１は、センシングデータの生成時刻を示す時刻１４０１と、複数のデータ項目の内容を示すデータ項目１４０２とを含む。

図１５は、設定装置１２０２が保持するデータ項目情報テーブル１３２２の構成例を示す図である。

データ項目情報テーブル１３２２は、項目の順番を識別するための識別子を示す項目ＩＤ１５０１と、項目の種類を示す項目タイプ１５０２とを含む。データ項目情報テーブル１３２２に含まれるデータ項目のタイプは、該当データ項目の全てのデータが異なる「ユニークＩＤ」、該当データ項目のデータが数種類存在する「グループＩＤ」、該当データ項目のデータが時間的な周期性を有する数値「測定値（周期性あり）」、該当データ項目のデータが時間的な周期性を有さない数値「測定値（周期性なし）」を含む。

設定装置１２０２が実行するデータ入力プログラム１３１１は、入出力インターフェース１３０３及び通信インターフェース１３０４の少なくとも一つを介して、データ蓄積装置１２０３と情報をやり取りし、所定期間におけるセンシングデータを取得する。その上で、データ入力プログラム１３１１は、例えば、異なるセンサ１２０６からのセンシングデータの間隔を揃えるなど、センシングデータに対して必要な整形して、入力データ情報テーブル１３２１に格納する。

設定装置１２０２が実行するデータ分類プログラム１３１２は、入力データ情報テーブル１３２１に格納されたセンシングデータに基づいて、入力データの各データ項目のタイプを識別し、識別結果をデータ項目情報テーブル１３２２に格納する。例えば、タイプの識別の方法として、入力データの文字列が正規表現に該当するかを判断してもよい。その他、周波数分析や周期性分析などの数理分析、又はテスト関数や外部プログラムを用いた分析も可能である。

図１６は、設定装置１２０２が実行するパラメータ設定プログラム１３１３による処理のフローチャートである。

ステップ１６０１において、設定装置１２０２は、所定量のデータ（例えば、１日分のデータ）の入力データ情報テーブル１３２１への格納などをトリガにして、パラメータ設定プログラム１３１３を起動する。なお、設定装置１２０２は、所定時間（例えば、１か月）の経過、又は、データ分類プログラム１３１２が特定のデータを検出したことなどの所定の条件を満たしたことをトリガにして、パラメータ設定プログラム１３１３を起動してもよい。

ステップ１６０２において、設定装置１２０２は、分析対象の特徴ベクトルを空ベクトル（Ｖ＝［ ］）にする。

ステップ１６０３において、設定装置１２０２は、項目タイプ１５０２が「測定値（周期あり）」のデータ項目をデータ項目情報テーブル１３２２から抽出する。

ステップ１６０４において、設定装置１２０２は、抽出したデータ項目から順に一つの項目を選択し、選択されたデータ項目のデータを入力データ情報テーブル１３２１から取得し、取得したデータの１時間毎の平均値を計算する。

ステップ１６０５において、設定装置１２０２は、ステップ１６０４で計算された１時間毎の平均値を最大値が１になるように正規化し、その正規化した結果である経時変化特徴（［ｘ１，ｘ２，…，ｘｎ］）を特徴ベクトルに追加し（Ｖ＝［ｘ１，ｘ２，…，ｘｎ］）、正規化する時のスケール因子を記録する。

ステップ１６０６において、設定装置１２０２は、全ての「測定値（周期あり）」のデータ項目の計算が完了したかを判定する。一部の「測定値（周期あり）」のデータ項目の計算が完了していない場合、設定装置１２０２は、ステップ１６０４に戻り、次の「測定値（周期あり）」のデータ項目を選択する。一方、全ての「測定値（周期あり）」のデータ項目の計算が完了した場合、設定装置１２０２は、ステップ１６０７に進み、データ項目情報テーブル１３２２から、項目タイプ１５０２が「測定値（周期なし）」のデータ項目を抽出する。

ステップ１６０８において、設定装置１２０２は、抽出した「測定値（周期なし）」のデータ項目から順に一つの項目を選択し、選択されたデータ項目のデータを入力データ情報テーブル１３２１から取得し、取得したデータの相関係数を計算する。

なお、ステップ１６０８において、「測定値（周期なし）」の項目のデータと「測定値（周期あり）」の項目のデータとの相関係数を計算したが、二つの「測定値（周期なし）」の項目のデータの相関係数を計算してもよい。

ステップ１６０９において、設定装置１２０２は、ステップ１６０８で計算した相関係数ｙを特徴ベクトルに追加する（Ｖ＝［ｘ１，ｘ２，…，ｘｎ，ｙ］）。

ステップ１６１０において、設定装置１２０２は、全ての「測定値（周期なし）」項目の計算が完了したかを判定する。一部の「測定値（周期なし）」項目の計算が完了していない場合、設定装置１２０２は、ステップ１６０８に戻り、次のデータ項目を選択する。全ての「測定値（周期なし）」項目の計算が完了した場合、設定装置１２０２は、ステップ１６１１に進み、モデル情報テーブル１３２３から、順に一つのモデルを選択する。

ステップ１６１２において、設定装置１２０２は、分析対象の特徴ベクトルが選択されたモデルの判定条件５０３を満たすかを判定する。特徴ベクトルが選択されたモデルの判定条件５０３を満たさない場合、設定装置１２０２は、ステップ１６１１に戻り、次のモデルを選択する。一方、分析対象の特徴ベクトルが選択されたモデルの判定条件５０３を満たす場合、設定装置１２０２は、ステップ１６１３に進み、条件を満たすモデルのモデルＩＤと一致するパラメータコンフィグ情報をコンフィグ情報テーブル１３２４から取得する。

次に、ステップ１６１４において、設定装置１２０２は、取得したパラメータコンフィグ情報に基づき、分析パラメータを計算し、パラメータ情報テーブル１３２５に格納し、入出力インターフェース１３０３及び通信インターフェース１３０４の少なくとも一つを介して、分析装置１２０１に送信する。

最後に、ステップ１６１５において、パラメータ設定プログラム１３１３を終了する。

図１７は、設定装置１２０２が実行するコンフィグ修正プログラム１３１４による処理のフローチャートである。

ステップ１７０１において、設定装置１２０２は、分析装置１２０１からのパラメータ修正フィードバック情報をトリガにして、コンフィグ修正プログラム１３１４を起動する。

ステップ１７０２において、設定装置１２０２は、パラメータ情報テーブル１３２５から、分析装置１２０１から修正を要求されたパラメータの修正前の値を取得する。

ステップ１７０３において、設定装置１２０２は、修正を要求されたパラメータの修正後の値と修正前の値との比率を計算する。

ステップ１７０４において、設定装置１２０２は、分析対象がモデル判定条件５０３を満たすモデルの修正されたパラメータのパラメータコンフィグ情報をコンフィグ情報テーブル１３２４から取得する。

ステップ１７０５において、設定装置１２０２は、取得したパラメータコンフィグ情報に計算された比率を乗じた値をコンフィグ情報テーブル１３２４に格納する。

最後に、ステップ１６１５において、コンフィグ修正プログラム１３１４を終了する。

実施例２によると、設定されたパラメータが修正されたとき、パラメータの修正結果からパラメータ設定コンフィグを修正できる。特に、一つの設定装置１２０２が複数の分析装置１２０１にパラメータを設定する場合、又は、一つの分析システムが複数の分析対象を分析する場合、ユーザの修正によるパラメータコンフィグの改善を共有できる。

以上に説明したように、本発明の実施例の分析装置１０２及び設定装置１２０２は、分析対象システムに対応するモデル毎にパラメータ設定コンフィグを蓄積するコンフィグ情報テーブル２２４と、分析対象システムから複数の項目のデータを含む時系列データを取得するデータ入力プログラム２１１と、少なくとも一つの第１の項目のデータ（周期的に変化するデータ）を時系列データから抽出し、第１の項目のデータの経時変化特徴を計算する経時変化特徴計算プログラム２１３と、少なくとも一つの第２の項目のデータを時系列データから抽出し、第１の項目のデータと第２の項目のデータとの間の関連性と、複数の第２の項目のデータ間の関連性との少なくとも一つの関連性特徴を計算する関連性特徴計算プログラム２１４と、計算された経時変化特徴と計算された関連性特徴とに基づいて、分析対象システムに対応するモデルを判定するモデル判定プログラム２１５と、分析対象システムに対応するモデルのパラメータ設定コンフィグを用いて、分析対象システムにパラメータを設定するパラメータ設定プログラム２１２と、を実行するので、分析対象のシステムに適するパラメータを自動的に設定できる。

また、経時変化特徴計算プログラム２１３は、第１の項目のデータを時間軸で分割した所定の時間毎の統計値（例えば、平均値、分散、偏差値、最大値、最小値など）を計算し、計算された統計値を正規化した値を第１の項目の経時変化特徴とするので、時系列データの周期的な変化基づいてモデルを判定できる。

また、パラメータ設定プログラム２１２は、分析対象システムに対応するモデルのパラメータ設定コンフィグに定義された、正規化係数（スケール因子）を引数とした演算を行って、分析対象システムの規模に応じたパラメータを計算し、計算されたパラメータを分析対象システムに設定するので、システム規模（量的特徴）に応じた適切なパラメータを決定できる。

また、関連性特徴計算プログラム２１４は、第１の項目の統計値（例えば、平均値、分散、偏差値、最大値、最小値など）と第２の項目の統計値（例えば、平均値、分散、偏差値、最大値、最小値など）との比率を前記関連性の特徴とする、又は、二つの第２の項目の統計値（例えば、平均値、分散、偏差値、最大値、最小値など）の比率を関連性特徴とするので、システムの特徴を表す補助的なパラメータとして項目間の関連性を用いてモデルを判定できる。

また、関連性特徴計算プログラム２１４は、第１の項目のデータと第２の項目のデータとの相関を示す値（例えば、相関係数など）を関連性特徴とする、又は、二つの第２の項目のデータの相関を示す値（例えば、相関係数など）を関連性特徴とするので、システムの特徴を表す補助的なパラメータとして項目間の関連性を用いてモデルを判定できる。

また、パラメータの修正が要求されると、前記要求されたパラメータの修正の比率に応じて他のパラメータを修正するコンフィグ修正プログラム１３１４を実行するので、オペレータの入力をパラメータ情報テーブル１３２５に反映できる。

また、所定の条件（例えば、所定量のデータの格納、所定時間の経過、特定のデータの検出など）を満たしたタイミングで、分析対象システムに適用されるパラメータを設定する処理を実行するので、適切なタイミングでパラメータを設定できる。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

１０１ ミラーリングスイッチ
１０２ 分析装置
１０３ 出力装置
１０４ ネットワーク装置（スイッチ）
１０５ ネットワーク端末（ホスト計算機）
１２０１ 分析装置
１２０２ 設定装置
１２０３ データ蓄積装置
１２０４ 通信路
１２０５ ＩｏＴゲートウェイ
１２０６ センサ

Claims (13)

1. データ分析装置がパラメータを設定する方法であって、
   前記データ分析装置は、所定の処理を実行する演算装置と、前記演算装置に接続された記憶デバイスと、前記演算装置に接続された通信インターフェースとを有する計算機によって構成され、
   前記記憶デバイスは、分析対象システムに対応するモデル毎にパラメータ設定コンフィグを格納しており、
   前記方法は、
   前記演算装置が、分析対象システムから複数の項目のデータを含む時系列データを取得する手順と、
   前記演算装置が、少なくとも一つの第１の項目のデータを前記時系列データから抽出し、前記第１の項目のデータの経時変化の特徴を計算する手順と、
   前記演算装置が、少なくとも一つの第２の項目のデータを前記時系列データから抽出し、前記第１の項目のデータと前記第２の項目のデータとの間の関連性と、複数の前記第２の項目のデータ間の関連性との少なくとも一つの関連性の特徴を計算する手順と、
   前記演算装置が、前記経時変化の特徴と前記関連性の特徴とに基づいて、前記分析対象システムに対応するモデルを判定する手順と、
   前記演算装置が、前記分析対象システムに対応するモデルのパラメータ設定コンフィグを用いて、前記分析対象システムにパラメータを設定する手順と、
   前記パラメータの修正が要求されると、前記演算装置が、前記要求されたパラメータの修正の比率に応じて他のパラメータを修正する手順と、を含むことを特徴とする方法。
2. 請求項１に記載の方法であって、
   前記経時変化の特徴を計算する手順では、前記演算装置が、前記第１の項目のデータを時間軸で分割した所定の時間毎の統計値を計算し、前記統計値を正規化した値を前記第１の項目の経時変化の特徴とすることを特徴とする方法。
3. 請求項２に記載の方法であって、
   前記経時変化の特徴を計算する手順では、前記演算装置が、前記統計値を正規化したときに使用した正規化係数を記録する手順を含み、
   前記パラメータを設定する手順では、前記演算装置が、前記分析対象システムに対応するモデルのパラメータ設定コンフィグに定義された、前記正規化係数を引数とした演算を行って、前記分析対象システムの規模に応じたパラメータを計算し、前記計算されたパラメータを前記分析対象システムに設定することを特徴とする方法。
4. 請求項２に記載の方法であって、前記関連性の特徴を計算する手順では、
   前記演算装置が、前記第１の項目のデータの統計値を計算し、前記第２の項目のデータの統計値を計算し、前記第１の項目の統計値と前記第２の項目の統計値との比率を前記関連性の特徴とする、又は、
   前記演算装置が、前記第２の項目のデータの統計値を計算し、二つの前記第２の項目の統計値の比率を前記関連性の特徴とすることを特徴とする方法。
5. 請求項１に記載の方法であって、前記関連性の特徴を計算する手順では、
   前記演算装置が、前記第１の項目のデータと前記第２の項目のデータとの相関を示す値を前記関連性の特徴とする、又は、
   前記演算装置が、二つの前記第２の項目のデータの相関を示す値を前記関連性の特徴とすることを特徴とする方法。
6. パラメータを設定可能なデータ分析装置であって、
   所定の処理を実行する演算装置と、前記演算装置に接続された記憶デバイスと、前記演算装置に接続された通信インターフェースとを有する計算機によって構成され、
   分析対象システムに対応するモデル毎にパラメータ設定コンフィグを蓄積するコンフィグ蓄積部と、
   分析対象システムから複数の項目のデータを含む時系列データを取得するデータ入力部と、
   少なくとも一つの第１の項目のデータを前記時系列データから抽出し、前記第１の項目のデータの経時変化の特徴を計算する経時変化特徴計算部と、
   少なくとも一つの第２の項目のデータを前記時系列データから抽出し、前記第１の項目のデータと前記第２の項目のデータとの間の関連性と、複数の前記第２の項目のデータ間の関連性との少なくとも一つの関連性の特徴を計算する関連性特徴計算部と、
   前記経時変化の特徴と前記関連性の特徴とに基づいて、前記分析対象システムに対応するモデルを判定するモデル判定部と、
   前記分析対象システムに対応するモデルのパラメータ設定コンフィグを用いて、前記分析対象システムにパラメータを設定するパラメータ設定部と、
   前記パラメータの修正が要求されると、前記要求されたパラメータの修正の比率に応じて他のパラメータを修正するコンフィグ修正部と、を備えることを特徴とするデータ分析装置。
7. 請求項６に記載のデータ分析装置であって、
   前記経時変化特徴計算部は、前記第１の項目のデータを時間軸で分割した所定の時間毎の統計値を計算し、前記統計値を正規化した値を前記第１の項目の経時変化の特徴とすることを特徴とするデータ分析装置。
8. 請求項７に記載のデータ分析装置であって、
   前記経時変化特徴計算部は、前記統計値を正規化したときに使用した正規化係数を記録し、
   前記パラメータ設定部は、前記分析対象システムに対応するモデルのパラメータ設定コンフィグに定義された、前記正規化係数を引数とした演算を行って、前記分析対象システムの規模に応じたパラメータを計算し、前記計算されたパラメータを前記分析対象システムに設定することを特徴とするデータ分析装置。
9. 請求項７に記載のデータ分析装置であって、
   前記関連性特徴計算部は、
   前記第１の項目のデータの統計値を計算し、前記第２の項目のデータの統計値を計算し、前記第１の項目の統計値と前記第２の項目の統計値との比率を前記関連性の特徴とする、又は、
   前記第２の項目のデータの統計値を計算し、二つの前記第２の項目の統計値の比率を前記関連性の特徴とすることを特徴とするデータ分析装置。
10. 請求項６に記載のデータ分析装置であって、
    前記関連性特徴計算部は、
    前記第１の項目のデータと前記第２の項目のデータとの相関を示す値を前記関連性の特徴とする、又は、
    二つの前記第２の項目のデータの相関を示す値を前記関連性の特徴とすることを特徴とするデータ分析装置。
11. 請求項６に記載のデータ分析装置であって、
    前記演算装置は、所定のタイミングで、前記分析対象システムに適用されるパラメータを設定する処理を実行することを特徴とするデータ分析装置。
12. パラメータを設定可能なデータ分析システムであって、
    分析対象システムを複数のモデルに対応させて、前記複数のモデル毎のパラメータ設定コンフィグを蓄積する手段と、
    分析対象システムから複数の項目のデータを含む時系列データを取得する手段と、
    少なくとも一つの第１の項目のデータを前記時系列データから抽出し、前記第１の項目のデータの経時変化の特徴を計算する手段と、
    少なくとも一つの第２の項目のデータを前記時系列データから抽出し、前記第１の項目のデータと前記第２の項目のデータとの間の関連性と、複数の前記第２の項目のデータ間の関連性との少なくとも一つの関連性の特徴を計算する手段と、
    前記経時変化の特徴と前記関連性の特徴とに基づいて、前記分析対象システムに対応するモデルを判定する手段と、
    前記分析対象システムに対応するモデルのパラメータ設定コンフィグを用いて、前記分析対象システムにパラメータを設定する手段と、
    前記パラメータの修正が要求されると、前記要求されたパラメータの修正の比率に応じて他のパラメータを修正する手段と、を備えることを特徴とするデータ分析システム。
13. 計算機にパラメータを設定させるためのプログラムであって、
    前記計算機は、所定の処理を実行する演算装置と、前記演算装置に接続された記憶デバイスと、前記演算装置に接続された通信インターフェースとを有し、
    前記プログラムは、
    分析対象システムから複数の項目のデータを含む時系列データを取得する手順と、
    少なくとも一つの第１の項目のデータを前記時系列データから抽出し、前記第１の項目のデータの経時変化の特徴を計算する手順と、
    少なくとも一つの第２の項目のデータを前記時系列データから抽出し、前記第１の項目のデータと前記第２の項目のデータとの間の関連性と、複数の前記第２の項目のデータ間の関連性との少なくとも一つの関連性の特徴を計算する手順と、
    前記経時変化の特徴と前記関連性の特徴とに基づいて、前記分析対象システムに対応するモデルを判定する手順と、
    前記分析対象システムに対応するモデルのパラメータ設定コンフィグを用いて、前記分析対象システムにパラメータを設定する手順と、
    前記パラメータの修正が要求されると、前記要求されたパラメータの修正の比率に応じて他のパラメータを修正する手順と、を前記演算装置に実行させるためのプログラム。

Images