JP7100155B2 - アラームログ圧縮方法、装置、およびシステム、並びに記憶媒体 - Google Patents

Description

この出願は、通信技術の分野に関する。そして、特には、アラームログ圧縮方法、装置、およびシステム、並びに記憶媒体に関する。

この出願は、2018年4月23日に中国特許庁に出願された、タイトルが“ALARM LOG COMPRESSION METHOD, APPARATUS, AND SYSTEM, AND STORAGE MEDIUM”の中国特許出願第２0181037089.0号について優先権を主張するものであり、その全体が参照によりこの出願において包含されている。

通信ネットワークは、大量のネットワークデバイスを含んでいる。これらのネットワークデバイスは、毎日大量のアラームログを生成している。アラームログは、障害（fault）のせいでネットワークデバイスによって生成される情報である。アラームログは、たいてい、アラームログを生成するネットワークデバイスの識別子、(ネットワークデバイスにおいて発生する障害を示すために使用される)アラームタイプ、および、アラームログの生成タイムスタンプ、といった情報を含んでいる。各ネットワークデバイスは、アラームログ処理装置に対して生成されたアラームログを報告する。ネットワーク監視（monitoring）技術者は、アラームログ処理装置においてアラームログを分析して、通信ネットワーク内で存在する問題を発見し、そして、ネットワーク保守（maintenance）技術者に対して問題をフィードバックする。

通信技術の急速な発達に伴い、現在、様々なタイプの通信ネットワークの規模が増大しており、通信ネットワークの構造はますます複雑になり、そして、通信ネットワークにおけるネットワークデバイスのタイプおよび量が増加している。大量のネットワークデバイスが、大量のアラームログを生成しており、そして、大部分のアラームログは、無効または冗長なアラームログである。もし、ネットワークデバイスによって生成される全てのアラームログがネットワーク監視エンジニアに対して提示されるとすれば、ネットワーク監視エンジニアの分析ワークロードが重くなる。その結果、アラームログを効果的にモニタリングまたは分析することができず、そして、ネットワーク内に存在する問題をタイムリーに突き止めることができない。従って、ネットワーク監視エンジニアの作業効率を改善するためには、ネットワーク監視エンジニアに対して提示されるアラームログの量を減らすように、アラームログを効果的に圧縮し、かつ、いくつかの無効または冗長なアラームログをフィルタで除去（filter out）する必要がある。

アラームログ圧縮方法は、関連技術において提供されており、そして、異なるアラームタイプ間で関連規則（association rule）を確立するために、自動頻発アイテムセットマイニング方法（automatic frequent itemset mining method）に従って履歴アラームログをマイニングするステップ、次いで、専門技術者によって、関連規則の精度を決定し、かつ、各関連規則における根本原因（root cause）アラームタイプおよびマイナー（minor）アラームタイプを決定するステップと、アラームログが生成された後で、事前決定された関連規則に基づいてネットワーク監視エンジニアに対して、アラームタイプが根本原因アラームタイプであるアラームログを提示するステップと、アラームログを圧縮するために、マイナーアラームタイプをフィルタで除去するステップ、を含んでいる。同じ関連規則において、ネットワークデバイス上で発生し、かつ、マイナーアラームタイプによって示される障害は、ネットワークデバイス上で発生し、かつ、根本原因アラームタイプによって示される障害によって引き起こされる。

しかしながら、関連技術では、自動頻発アイテムセットマイニング方法に従って異なるアラームタイプ間の関連規則を確立するプロセスにおいては、頻発アイテムセットを決定するために、履歴アラームログを複数回にわたりトラバース（traverse）する必要がある。大量のアラーム履歴が存在する場合、マイニング効率は比較的に低い。加えて、実際のアプリケーションにおいては、いくつかのアラームタイプが比較的に低い頻度で発生するので、異なるアラームタイプについて関連規則を確立する包括性（comprehensiveness）を実装するためには、頻発アイテムセットのサポート程度（support degree）を比較的に低く設定する必要がある。サポート程度がより低いと、結果として、決定される頻発アイテムセットの量が多くなり、かつ、頻発アイテムセットに基づいて確立される関連規則の量が多くなる。従って、比較的低いサポート程度が、マイニングを通じて獲得される大量の連想規則をもたらす。その結果、関連規則の正確性を決定するプロセス、および、関連規則における根本原因アラームタイプを決定するプロセスにおいて、時間コストが比較的に大きい。

この出願に係る実施形態は、アラームログ圧縮方法、装置、およびシステム、並びに記憶媒体を提供し、関連する技術において関連規則のマイニング効率が比較的に低く、そして、時間コストが比較的に高いという問題を解決する。技術的ソリューションは、以下のとおりである。

第１態様に従って、この出願は、圧縮装置に対して適用される、アラームログ圧縮方法を提供する。そして、本方法は、
通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得するステップであり、前記履歴アラームログセットは、複数の履歴アラームログを含み、かつ、各履歴アラームログは、アラームタイプおよび生成タイムスタンプを含む、ステップと、
前記履歴アラームログセットを、前記履歴アラームログセット内の履歴アラームログの生成タイムスタンプに基づいて、複数の履歴アラームログサブセットへと分割するステップであり、各履歴アラームログサブセット内の全ての履歴アラームログは、時系列において連続しており、かつ、前記複数の履歴アラームログサブセットの和集合は、前記履歴アラームログセット内の全ての履歴アラームログを含む、ステップと、
前記履歴アラームログセット内のアラームタイプと、前記複数の履歴アラームログサブセットとの間の対応を決定するステップと、
少なくとも１つの関連規則を生成するために、前記対応に基づいて、履歴アラームログセット内の前記アラームタイプについてクラスタリング処理を実行するステップであり、各関連規則は、相互に関連付けられた根本原因アラームタイプおよび少なくとも１つのマイナーアラームタイプを含む、ステップと、
アラームタイプが前記根本原因アラームタイプであるアラームログを取得するために、前記少なくとも１つの関連規則に基づいて、複数の処理されるアラームログを圧縮するステップと、を含む。

この出願において、履歴アラームログセットは、履歴アラームログの生成タイムスタンプに基づいて、複数の履歴アラームログサブセットへと分割されることが留意されるべきである。各履歴アラームログサブセット内の全ての履歴アラームログは、時系列において連続しているので、関連規則をマイニングするために、アラームタイプ間の時間的相関が、各履歴アラームログサブセットに基づいて取得される。マイニングプロセスにおいては、生成タイムスタンプに基づいて実行された分割を通して取得された複数の履歴アラームログサブセットにおけるアラームタイプだけがトラバースされる（traversed）必要がある。次いで、各アラームタイプと複数の履歴アラームログサブセットとの間の対応が決定され、そして、関連規則を生成するために、対応に基づいてラスタリング処理がアラームタイプに対して実行される。関連技術と比較して、この出願においては、履歴アラームログが複数回にわたりトラバースされる必要はなく、そして、関連規則のマイニング効率が改善されている。加えて、この出願において、アラームタイプ間の時間的相関に基づいてマイニングされる関連規則の量は、関連技術における頻繁なアイテムセット（frequent itemset）に基づいてマイニングされる関連規則の量よりはるかに少ない。従って、時間コストが、関連規則の正確性を決定するプロセスおよび関連規則における根本原因アラームタイプを決定するプロセスにおいて低減される。

任意的に、前記履歴アラームログセット内のアラームタイプと、前記複数の履歴アラームログサブセットとの間の対応を決定する前記ステップは、
第１アラームタイプセットを取得するために、前記履歴アラームログセット内の全てのアラームタイプを取得するステップと、
前記第１アラームタイプセットにおける各アラームタイプの時系列ベクトルを決定するステップであり、各時系列ベクトルは、対応するアラームタイプと前記複数の履歴アラームログサブセットとの間の対応を反映するために使用される、ステップと、を含み、ここで、各アラームタイプに対応する前記時系列ベクトルについて、前記時系列ベクトル内の値は、前記複数の履歴アラームログサブセットと1対1に対応しており、前記時系列ベクトル内の値は、第１値および第２値のうちの少なくとも１つを含み、前記第１値は、対応する履歴アラームログサブセット内に前記アラームタイプが存在することを示すために使用され、前記第２値は、対応する履歴アラームログサブセット内に前記アラームタイプが存在しないことを示すために使用され、かつ、前記第１値は、前記第２値とは異なっている。

前記第１アラームタイプセットにおける各アラームタイプの時系列ベクトルを決定する前記ステップは、
前記第１アラームタイプセットにおける各アラームタイプについて、時系列ベクトル決定プロシージャを実行するステップ、を含む。

前記時系列ベクトル決定プロシージャは、
前記アラームタイプが、前記複数の履歴アラームログサブセット内に存在するか否か順次に検出するステップと、
検出結果に基づいて、前記アラームタイプの前記時系列ベクトルを決定するステップと、を含む。

少なくとも１つの関連規則を生成するために、前記対応に基づいて、履歴アラームログセット内の前記アラームタイプについてクラスタリング処理を実行する前記ステップは、
前記少なくとも１つの関連規則を生成するために、全てのアラームタイプの前記時系列ベクトルに基づいて、前記第１アラームタイプセット内の全てのアラームタイプについてクラスタリング処理を実行するステップ、を含む。

各アラームタイプと複数の履歴アラームログサブセットとの間の対応を決定するために、分割を通じて時間ウィンドウが取得され、かつ、アラームタイプの時系列ベクトルが確立されることが留意されるべきである。本方法は、簡単であり、かつ、効率的である。

前記少なくとも１つの関連規則を生成するために、全てのアラームタイプの前記時系列ベクトルに基づいて、前記第１アラームタイプセット内の全てのアラームタイプについてクラスタリング処理を実行するための第1方法は、
前記第１アラームタイプセットについてクラスタリング操作を実行するステップ、を含み、ここで、前記クラスタリング操作は、
標アラームタイプセットおよび第２アラームタイプセットを設定するステップであり、前記目標アラームタイプセットおよび前記第２アラームタイプセットの両方が空集合である、ステップと、
前記目標アラームタイプセットに対して前記第１アラームタイプセット内の任意のアラームタイプを追加し、かつ、第１アラームタイプセットから、前記目標アラームタイプセットに対して追加した前記アラームタイプを削除する、ステップと、
前記第１アラームタイプセットが空集合になるまで決定プロシージャを繰り返し実行し、かつ、前記目標アラームタイプセットを関連規則として決定する、ステップと、
決定プロシージャを繰り返し実行した後で、前記第２アラームタイプセットが空集合でない場合には、新たな第１アラームタイプセットとして、前記第２アラームタイプセットを使用することにより、クラスタリング操作を繰り返して実行する、ステップ、もしくは、
決定プロシージャを繰り返し実行した後で、前記第２アラームタイプセットが空集合である場合には、前記クラスタリング操作の実行を停止する、ステップ、を含む。

前記決定プロシージャは、
処理されるアラームタイプと処理される前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出するステップであり、ここで、前記処理されるアラームタイプは、前記目標アラームタイプセット内のアラームタイプ以外の前記第１アラームタイプセット内の任意のアラームタイプである、ステップと、
前記相関が事前設定された相関閾値よりも大きい場合には、更新された目標アラームタイプを取得するために、前記処理されるアラームタイプを前記目標アラームタイプセットに対して追加し、かつ、前記処理されるアラームタイプを前記第１アラームタイプセットから削除する、ステップ、もしくは、
前記相関が前記事前設定された相関閾値を超えない場合には、前記処理されるアラームタイプを前記第２アラームタイプセットに対して追加し、かつ、前記処理されるアラームタイプを前記第１アラームタイプセットから削除する、ステップ、を含む。

前記少なくとも１つの関連規則を生成するために、全てのアラームタイプの前記時系列ベクトルに基づいて、前記第１アラームタイプセット内の全てのアラームタイプについてクラスタリング処理を実行するための第２方法は、
前記第１アラームタイプセット内の目標アラームタイプをマーキングするステップであり、ここで、前記目標アラームタイプは、前記第１アラームタイプセット内の任意のアラームタイプである、ステップと、
前記第１アラームタイプセットについてクラスタリング操作を実行するステップと、を含み、ここで、前記クラスタリング操作は、
前記第1アラームタイプセット内の全てのアラームタイプがトラバースされるまで、決定プロシージャを繰り返し実行するステップと、
決定プロシージャを繰り返し実行した後で、前記第１アラームタイプセット内でマークが設定されていないアラームタイプが存在する場合には、マークが設定されていない任意のアラームタイプを、新たな目標アラームタイプとして決定し、前記新たな目標アラームタイプにマーキングし、かつ、クラスタリング操作を繰り返し実行するステップであり、異なる目標アラームタイプに異なるマークが設定されている、ステップ、もしくは、
決定プロシージャを繰り返し実行した後で、前記第１アラームタイプセット内にマークが設定されていないアラームタイプが存在しない場合には、クラスタリング操作の実行を中止し、かつ、前記第１アラームタイプセットに基づいて少なくとも１つの関連規則を生成するステップであり、各関連規則の全てのアラームタイプについて同じマークが設定される、ステップ、を含む。

前記決定プロシージャは、
目標アラームタイプセットとして、目標アラームタイプと同じマークを有する第１アラームタイプセット内の全てのアラームタイプを含むセットを決定するステップと、
処理されるアラームタイプと前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出するステップであり、ここで、前記処理されるアラームタイプは、前記目標アラームタイプセット内のアラームタイプ以外の第１アラームタイプセット内の任意のアラームタイプである、ステップと、
前記相関が事前設定された相関閾値よりも大きい場合に、前記処理されるアラームタイプをマーキングするステップであり、前記処理されるアラームタイプのマークは、前記目標アラームタイプのマークと同じである、ステップと、を含む。

任意的に、処理されるアラームタイプと前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出する前記ステップは、
ピアソン相関係数式に従って、前記処理されるアラームタイプセットと前記目標アラームタイプセット内の各アラームタイプとの相関を算出するステップであり、前記ピアソン相関係数式は、

であり、ここで、
Ｃｏｒ（ｉ_ｉ、ｉ_ｊ）は、アラームタイプｉ_ｉとアラームタイプｉ_ｊとの間の相関関係を表し、ｃｏｖ（ν_ｉ、ν_ｊ）は、ν_ｉとν_ｊとの間の共分散（covariance）表し、σ_νｉは、ν_ｉの標準偏差を表し、σ_νｊは、ν_ｊの標準偏差を表し、ν_ｉは、アラームタイプｉ_ｉの時系列ベクトルを表し、かつ、ν_ｊは、アラームタイプｉ_ｊの時系列ベクトルを表している、ステップと、
平均相関計算式に従って、前記処理されるアラームタイプと前記目標アラームタイプセット内の各アラームタイプとの相関関係に基づいて、前記処理されるアラームタイプと前記目標アラームタイプセットとの間の相関関係を算出するステップであり、前記平均相関計算式は、

であり、ここで、
ＡｖｅＣｏｒ（ｉ_ｊ、Ｒ）は、アラームタイプｉ_ｊと目標アラームタイプセットＲとの間の相関を示し、かつ、｜Ｒ｜は、目標アラームタイプセットＲ内のアラームタイプの数量を示している、ステップと、を含む。

任意的に、通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得する前記ステップは、
前記履歴アラームログセットを取得するために、各履歴アラームログから冗長情報を除去するように、第1事前設定された期間内に第１ネットワークデバイスによって生成された履歴アラームログを事前処理するステップ、を含む。

任意的に、各履歴アラームログは、２タプル（Ｍ、ｔ）で表現されており、Ｍは、アラームログ情報を表し、tは、生成タイムスタンプを表し、かつ、前記アラームログ情報は、少なくともアラームタイプフィールドおよび前記第１ネットワークデバイスの識別子フィールドを含んでいる。

任意的に、前記履歴アラームログセット内の前記履歴アラームログは、時間の部分的な順序関係を有し、かつ、 前記履歴アラームログセットを、前記履歴アラームログセット内の履歴アラームログの生成タイムスタンプに基づいて、複数の履歴アラームログサブセットへと分割する前記ステップは、
前記履歴アラームログセット内の前記履歴アラームログの生成タイムスタンプセットを取得するステップと、
前記生成タイムスタンプセット、事前設定された時間ウィンドウ長、および、スライディングウィンドウ技術を使用することによるウィンドウスライディング段階に基づいて、前記履歴アラームログを前記複数の履歴アラームログサブセットへと分類するステップと、を含み、ここで、前記ウィンドウスライディング段階は、時間ウィンドウ長より大きくない。

さらに、本方法は、さらに、
第２の事前設定された期間内に、前記通信ネットワーク内で第２ネットワークデバイスによって生成された処理されるアラームログセットを取得するステップであり、前記処理されるアラームログセットは、前記複数の処理されるアラームログを含み、かつ、各処理されるアラームログは、アラームタイプおよび生成タイムスタンプを含む、ステップと、
前記処理されるアラームログセットに基づいて少なくとも１つのアラームイベントを生成するステップであり、各アラームイベントは、前記第２ネットワークデバイスによって生成されるものと同じアラームタイプのアラームログを示すために使用される、ステップと、を含む。

アラームイベントが再構成されるときには、アラームログ情報に関する統計がアラームイベントの粒度で収集され得る。それにより、統計収集を通じて取得されたアラームログ情報の精度および信頼性を改善している。

任意的に、前記処理されるアラームログセットに基づいて少なくとも１つのアラームイベントを生成する前記ステップは、
前記処理されるアラームログセットの各アラームタイプについて、前記処理されるアラームログセット内に存在し、かつ、前記アラームタイプのものである目標アラームログを取得するステップと、
時系列において隣接する前記処理されるアラームログセット内の２つの目標アラームログ毎の間の発生時間間隔を個別に計算するステップと、
同じアラームイベントに属する前記処理されるアラームログセット内の目標アラームログを、２つの目標アラームログ毎の間の前記発生時間間隔に基づいて、１つのアラームイベントへと再構成するステップ、を含む。

任意的に、同じアラームイベントに属する前記処理されるアラームログセット内の目標アラームログを、２つの目標アラームログ毎の間の前記発生時間間隔に基づいて、１つのアラームイベントへと再構成する前記ステップは、
指数移動平均法を使用することにより、２つの目標アラームログ間の推定時間間隔を計算するステップであり、前記２つの目標アラームログは、時系列において隣接する任意の２つの目標アラームログであり、前記２つの目標アラームログは、第１アラームログおよび第２アラームログを含み、かつ、前記第１アラームログは、前記第２アラームログの前に生成される、ステップと、
前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たすか否かを判断するステップと、
前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たす場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属することを決定し、かつ、前記第２アラームログを前記第１アラームログが属するアラームイベントへと集約するステップ、もしくは、
前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たさない場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属していないことを決定するステップ、を含む。

任意的に、前記２つの目標アラームログ間の前記発生時間間隔ｓ_ｋは、ｓ_ｋ＝ｔ_ｋ－ｔ_ｋ－１であり、前記推定時間間隔ｓ_ｋ’は、ｓ_ｋ’＝α＊ｓ_ｋ－１＋（１－α）＊ｓ_ｋ－１’であり、かつ、 前記事前設定された条件は、ｓ_ｋ≦β＊ｓ_ｋ’であって、ここで、
ｔ_ｋは前記第２アラームログの生成時間スタンプであり、ｔ_ｋ－１は前記第１アラームログの生成時間スタンプであり、０≦α≦１であり、ｋは１より大きい整数であり、かつ、βは正の数である。

前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たすか否かを判断する前記ステップの前に、前記方法は、さらに、
前記２つの目標アラームログ間の前記発生時間間隔が、事前設定された最小時間間隔の閾値以下である場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属することを決定するステップ、もしくは、
前記２つの目標アラームログ間の前記発生時間間隔が、事前設定された最大時間間隔の閾値より大きい場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属していないことを決定するステップ、
を含み、ここで、
ｓ_ｍｉｎ≦β＊ｓ_ｋ’≦ｓ_ｍａｘであり、ｓ_ｍｉｎは最小時間間隔閾値であり、かつ、ｓ_ｍａｘは最大時間間隔閾値である、ことが留意されるべきである。

さらに、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属していないことを決定する前記ステップの後で、前記方法は、さらに、
前記第1アラームログが属するアラームイベントの再構成を終了し、かつ、新たなアラームイベントを初期化するステップと、
前記第２アラームログを前記新たなアラームイベントへと集約するステップと、を含む。

任意的に、前記アラームイベントは、前記アラームタイプと、前記アラームイベントにおける前記アラームログの開始発生時点、終了発生時点、平均発生時間間隔、および発生回数の量のうちの少なくとも１つと、を含む。

アラームタイプが前記根本原因アラームタイプであるアラームログを取得するために、前記少なくとも１つの関連規則に基づいて、複数の処理されるアラームログを圧縮する前記ステップは、
少なくとも１つの目標アラームイベントを取得するために、前記少なくとも１つの関連規則に基づいて、前記少なくとも１つのアラームイベントを圧縮するステップであり、各目標アラームイベントは、アラームタイプが前記根本原因アラームタイプであるアラームログを示すために使用される、ステップ、を含む。

対応して、少なくとも１つの目標アラームイベントを取得するために、前記少なくとも１つのアラームイベントを圧縮する前記ステップの後で、前記方法は、さらに、
前記少なくとも１つの目標アラームイベントをネットワーク監視エンジニアに対して表示するために、前記少なくとも１つの目標アラームイベントを出力するステップ、を含む。

第２態様に従って、この出願は、圧縮装置に対して適用される、アラームログ圧縮装置を提供する。そして、本装置は、
第1取得モジュールであり、通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得するように構成されており、前記履歴アラームログセットは、複数の履歴アラームログを含み、かつ、各履歴アラームログは、アラームタイプおよび生成タイムスタンプを含む、第1取得モジュールと、
分割モジュールであり、前記履歴アラームログセットを、前記履歴アラームログセット内の履歴アラームログの生成タイムスタンプに基づいて、複数の履歴アラームログサブセットへと分割するように構成されており、各履歴アラームログサブセット内の全ての履歴アラームログは、時系列において連続しており、かつ、前記複数の履歴アラームログサブセットの和集合は、前記履歴アラームログセット内の全ての履歴アラームログを含む、分割モジュールと、
決定モジュールであり、前記履歴アラームログセット内のアラームタイプと、前記複数の履歴アラームログサブセットとの間の対応を決定するように構成されている、決定モジュールと、
クラスタリングモジュールであり、少なくとも１つの関連規則を生成するために、前記対応に基づいて、履歴アラームログセット内の前記アラームタイプについてクラスタリング処理を実行するように構成されており、各関連規則は、相互に関連付けられた根本原因アラームタイプおよび少なくとも１つのマイナーアラームタイプを含む、クラスタリングモジュールと、
圧縮モジュールであり、アラームタイプが前記根本原因アラームタイプであるアラームログを取得するために、前記少なくとも１つの関連規則に基づいて、複数の処理されるアラームログを圧縮するように構成されている、圧縮モジュールと、を含む。

任意的に、前記決定モジュールは、
取得サブモジュールであり、第１アラームタイプセットを取得するために、前記履歴アラームログセット内の全てのアラームタイプを取得するように構成されている、取得サブモジュールと、
決定サブモジュールであり、前記第１アラームタイプセットにおける各アラームタイプの時系列ベクトルを決定するように構成されており、各時系列ベクトルは、対応するアラームタイプと前記複数の履歴アラームログサブセットとの間の対応を反映するために使用される、決定サブモジュールと、を含む。

各アラームタイプに対応する前記時系列ベクトルについて、前記時系列ベクトル内の値は、前記複数の履歴アラームログサブセットと1対1に対応しており、前記時系列ベクトル内の値は、第１値および第２値のうちの少なくとも１つを含み、前記第１値は、対応する履歴アラームログサブセット内に前記アラームタイプが存在することを示すために使用され、前記第２値は、対応する履歴アラームログサブセット内に前記アラームタイプが存在しないことを示すために使用され、かつ、前記第１値は、前記第２値とは異なっている。

任意的に、前記決定サブモジュールは、
前記第１アラームタイプセットにおける各アラームタイプについて、時系列ベクトル決定プロシージャを実行するように構成されている。

前記時系列ベクトル決定プロシージャは、
前記アラームタイプが、前記複数の履歴アラームログサブセット内に存在するか否か順次に検出するステップと、
検出結果に基づいて、前記アラームタイプの前記時系列ベクトルを決定するステップと、を含む。

任意的に、前記クラスタリングモジュールは、
前記少なくとも１つの関連規則を生成するために、全てのアラームタイプの前記時系列ベクトルに基づいて、前記第１アラームタイプセット内の全てのアラームタイプについてクラスタリング処理を実行するように構成されている。

任意的に、前記クラスタリングモジュールは、さらに、
前記第１アラームタイプセットについてクラスタリング操作を実行するように構成されており、ここで、前記クラスタリング操作は、
目標アラームタイプセットおよび第２アラームタイプセットを設定するステップであり、ここで、前記目標アラームタイプセットおよび前記第２アラームタイプセットの両方が空集合である、ステップと、
前記目標アラームタイプセットに対して前記第１アラームタイプセット内の任意のアラームタイプを追加し、かつ、第１アラームタイプセットから、前記目標アラームタイプセットに対して追加した前記アラームタイプを削除する、ステップと、
前記第１アラームタイプセットが空集合になるまで決定プロシージャを繰り返し実行し、かつ、前記目標アラームタイプセットを関連規則として決定する、ステップと、
決定プロシージャを繰り返し実行した後で、前記第２アラームタイプセットが空集合でない場合には、新たな第１アラームタイプセットとして、前記第２アラームタイプセットを使用することにより、クラスタリング操作を繰り返して実行する、ステップ、もしくは、
決定プロシージャを繰り返し実行した後で、前記第２アラームタイプセットが空集合である場合には、前記クラスタリング操作の実行を停止する、ステップ、を含む。

前記決定プロシージャは、
処理されるアラームタイプと処理される前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出するステップであり、ここで、前記処理されるアラームタイプは、前記目標アラームタイプセット内のアラームタイプ以外の前記第１アラームタイプセット内の任意のアラームタイプである、ステップと、
前記相関が事前設定された相関閾値よりも大きい場合には、更新された目標アラームタイプを取得するために、前記処理されるアラームタイプを前記目標アラームタイプセットに対して追加し、かつ、前記処理されるアラームタイプを前記第１アラームタイプセットから削除する、ステップ、もしくは、
前記相関が前記事前設定された相関閾値を超えない場合には、前記処理されるアラームタイプを前記第２アラームタイプセットに対して追加し、かつ、前記処理されるアラームタイプを前記第１アラームタイプセットから削除する、ステップ、を含む。

任意的に、前記クラスタリングモジュールは、さらに、
前記第１アラームタイプセット内の目標アラームタイプをマーキングし、ここで、前記目標アラームタイプは、前記第１アラームタイプセット内の任意のアラームタイプであり、かつ、
前記第１アラームタイプセットについてクラスタリング操作を実行する、ように構成されており、ここで、前記クラスタリング操作は、
前記第1アラームタイプセット内の全てのアラームタイプがトラバースされるまで、決定プロシージャを繰り返し実行するステップと、
決定プロシージャを繰り返し実行した後で、前記第１アラームタイプセット内でマークが設定されていないアラームタイプが存在する場合には、マークが設定されていない任意のアラームタイプを、新たな目標アラームタイプとして決定し、前記新たな目標アラームタイプにマーキングし、かつ、クラスタリング操作を繰り返し実行するステップであり、異なる目標アラームタイプに異なるマークが設定されている、ステップ、もしくは、
決定プロシージャを繰り返し実行した後で、前記第１アラームタイプセット内にマークが設定されていないアラームタイプが存在しない場合には、クラスタリング操作の実行を中止し、かつ、前記第１アラームタイプセットに基づいて少なくとも１つの関連規則を生成するステップであり、各関連規則の全てのアラームタイプについて同じマークが設定される、ステップ、を含む。

前記決定プロシージャは、
目標アラームタイプセットとして、目標アラームタイプと同じマークを有する第１アラームタイプセット内の全てのアラームタイプを含むセットを決定するステップと、
処理されるアラームタイプと前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出するステップであり、ここで、前記処理されるアラームタイプは、前記目標アラームタイプセット内のアラームタイプ以外の第１アラームタイプセット内の任意のアラームタイプである、ステップと、
前記相関が事前設定された相関閾値よりも大きい場合に、前記処理されるアラームタイプをマーキングするステップであり、ここで、前記処理されるアラームタイプのマークは、前記目標アラームタイプのマークと同じである、ステップと、を含む。

任意的に、前記クラスタリングモジュールは、さらに、
ピアソン相関係数式に従って、前記処理されるアラームタイプセットと前記目標アラームタイプセット内の各アラームタイプとの相関を算出するように構成されており、前記ピアソン相関係数式は、

であり、ここで、Ｃｏｒ（ｉ_ｉ、ｉ_ｊ）は、アラームタイプｉ_ｉとアラームタイプｉ_ｊとの間の相関関係を表し、ｃｏｖ（ν_ｉ、ν_ｊ）は、ν_ｉとν_ｊとの間の共分散（covariance）表し、σ_νｉは、ν_ｉの標準偏差を表し、σ_νｊは、ν_ｊの標準偏差を表し、ν_ｉは、アラームタイプｉ_ｉの時系列ベクトルを表し、ν_ｊは、アラームタイプｉ_ｊの時系列ベクトルを表しており、かつ、
平均相関計算式に従って、前記処理されるアラームタイプと前記目標アラームタイプセット内の各アラームタイプとの相関関係に基づいて、前記処理されるアラームタイプと前記目標アラームタイプセットとの間の相関関係を算出するように構成されており、前記平均相関計算式は、

であり、ここで、ＡｖｅＣｏｒ（ｉ_ｊ、Ｒ）は、アラームタイプｉ_ｊと目標アラームタイプセットＲとの間の相関を示し、かつ、｜Ｒ｜は、目標アラームタイプセットＲ内のアラームタイプの数量を示している。

任意的に、前記第1取得モジュールは、
前記履歴アラームログセットを取得するために、各履歴アラームログから冗長情報を除去するために、第1事前設定された期間内に第１ネットワークデバイスによって生成された履歴アラームログを事前処理するように構成されている。

任意的に、各履歴アラームログは、２タプル（Ｍ、ｔ）で表現されており、Ｍは、アラームログ情報を表し、tは、生成タイムスタンプを表し、かつ、前記アラームログ情報は、少なくともアラームタイプフィールドおよび前記第１ネットワークデバイスの識別子フィールドを含んでいる。

任意的に、前記履歴アラームログセット内の前記履歴アラームログは、時間の部分的な順序関係を有し、かつ、前記分割モジュールは、
前記履歴アラームログセット内の前記履歴アラームログの生成タイムスタンプセットを取得し、かつ、
前記生成タイムスタンプセット、事前設定された時間ウィンドウ長、および、ウィンドウスライディング段階に基づいて、前記履歴アラームログを前記複数の履歴アラームログサブセットへと分類する、ように構成されており、ここで、前記ウィンドウスライディング段階は、時間ウィンドウ長より大きくない。

任意的に、前記装置は、さらに、
第２取得モジュールであり、第２の事前設定された期間内に、前記通信ネットワーク内で第２ネットワークデバイスによって生成された処理されるアラームログセットを取得するように構成されており、前記処理されるアラームログセットは、前記複数の処理されるアラームログを含み、かつ、各処理されるアラームログは、アラームタイプおよび生成タイムスタンプを含む、第２取得モジュールと、
生成モジュールであり、前記処理されるアラームログセットに基づいて少なくとも１つのアラームイベントを生成するように構成されており、各アラームイベントは、前記第２ネットワークデバイスによって生成されるものと同じアラームタイプのアラームログを示すために使用される、生成モジュールと、を含む。

任意的に、前記生成モジュールは、
各処理されるアラームログセットについて、アラームイベント再構成プロシージャを実行するように構成されている、再構成サブモジュールを含み、ここで、前記アラームイベント再構成プロセスは、
取得ユニットであり、前記処理されるアラームログセットの各アラームタイプについて、前記処理されるアラームログセット内に存在し、かつ、前記アラームタイプのものである目標アラームログを取得するように構成されている、取得ユニットと、
計算ユニットであり、時系列において隣接する前記処理されるアラームログセット内の２つの目標アラームログ毎の間の発生時間間隔を個別に計算するように構成されている、計算ユニットと、
再構成ユニットであり、同じアラームイベントに属する前記処理されるアラームログセット内の目標アラームログを、２つの目標アラームログ毎の間の前記発生時間間隔に基づいて、１つのアラームイベントへと再構成するように構成されている、再構成ユニットと、を含む。

任意的に、前記再構成ユニットは、
指数移動平均法を使用することにより、２つの目標アラームログ間の推定時間間隔を計算し、ここで、前記２つの目標アラームログは、時系列において隣接する任意の２つの目標アラームログであり、前記２つの目標アラームログは、第１アラームログおよび第２アラームログを含み、かつ、前記第１アラームログは、前記第２アラームログの前に生成され、
前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たすか否かを判断し、かつ、
前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たす場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属することを決定し、かつ、前記第２アラームログを前記第１アラームログが属するアラームイベントへと集約し、もしくは、
前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たさない場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属していないことを決定する、ように構成されている。

任意的に、前記２つの目標アラームログ間の前記発生時間間隔ｓ_ｋは、ｓ_ｋ＝ｔ_ｋ－ｔ_ｋ－１であり、前記推定時間間隔ｓ_ｋ’は、ｓ_ｋ’＝α＊ｓ_ｋ－１＋（１－α）＊ｓ_ｋ－１’であり、かつ、前記事前設定された条件は、ｓ_ｋ≦β＊ｓ_ｋ’であって、ここで、
ｔ_ｋは前記第２アラームログの生成時間スタンプであり、ｔ_ｋ－１は前記第１アラームログの生成時間スタンプであり、０≦α≦１であり、ｋは１より大きい整数であり、かつ、βは正の数である。

任意的に、前記再構成ユニットは、さらに、
前記２つの目標アラームログ間の前記発生時間間隔が、事前設定された最小時間間隔の閾値以下である場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属することを決定し、もしくは、
前記２つの目標アラームログ間の前記発生時間間隔が、事前設定された最大時間間隔の閾値より大きい場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属していないことを決定する、ように構成されており、ここで、
ｓ_ｍｉｎ≦β＊ｓ_ｋ’≦ｓ_ｍａｘであり、ｓ_ｍｉｎは最小時間間隔閾値であり、かつ、ｓ_ｍａｘは最大時間間隔閾値である。

任意的に、前記再構成ユニットは、さらに、
前記第1アラームログが属するアラームイベントの再構成を終了して、新たなアラームイベントを初期化し、かつ、
前記第２アラームログを前記新たなアラームイベントへと集約する、ように構成されている。

任意的に、前記アラームイベントは、前記アラームタイプと、前記アラームイベントにおける前記アラームログの開始発生時点、終了発生時点、平均発生時間間隔、および発生回数の量のうちの少なくとも１つと、を含む。

任意的に、前記圧縮モジュールは、
少なくとも１つの目標アラームイベントを取得するために、前記少なくとも１つの関連規則に基づいて、前記少なくとも１つのアラームイベントを圧縮するように構成されており、ここで、各目標アラームイベントは、アラームタイプが前記根本原因アラームタイプであるアラームログを示すために使用される。

任意的に、前記装置は、さらに、
出力モジュールであり、前記少なくとも１つの目標アラームイベントをネットワーク監視エンジニアに対して表示するために、前記少なくとも１つの目標アラームイベントを出力するように構成されている、出力モジュール、を含む。

任意的に、前記第２ネットワークデバイスと前記第１ネットワークデバイスとは、同じネットワークデバイスであり、もしくは、前記第２ネットワークデバイスと前記第１ネットワークデバイスとは、同じタイプの異なるネットワークデバイスである。

第３態様に従って、この出願は、アラームログ圧縮システムを提供する。ここで、本システムは、圧縮装置を含み、かつ、前記第２態様に従った装置を備え、かつ、
前記圧縮装置は、通信ネットワーク内で少なくとも１つのネットワークデバイスによって生成された複数のアラームログを圧縮するように構成されている。

任意的に、前記圧縮装置は、さらに、前記複数のアラームログが圧縮された後で取得されたアラーム情報を表示するように構成されている。

任意的に、前記システムは、さらに、ネットワーク管理装置を含み、
前記圧縮装置は、さらに、前記ネットワーク管理装置に対して、前記複数のアラームログが圧縮された後で取得されたアラーム情報を出力するように構成されており、かつ、
前記ネットワーク管理装置は、前記アラーム情報を表示するように構成されている。

任意的に、前記アラーム情報は、チャート形式で表示される。

第４態様に従って、この出願は、アラームログ圧縮装置を提供する。ここで、本装置は、メモリ、プロセッサ、および、前記メモリに保管され、かつ、前記プロセッサ上で実行可能なコンピュータプログラムを含む。そして、前記プロセッサが前記コンピュータプログラムを実行すると、前記第１態様に従ったアラームログ圧縮方法が実施される。

第５態様に従って、この出願は、コンピュータで読取り可能な記憶媒体を提供する。ここで、前記コンピュータで読取り可能な記憶媒体は、命令を保管しており、かつ、前記命令がプロセッサによって実行されると、前記第１態様に従ったアラームログ圧縮方法が実施される。

この出願の実施態様において提供される技術的ソリューションによってもたらされる有益な効果は、少なくとも次のものを含む。

結論として、アラームログ圧縮方法、装置、およびシステム、並びに、この出願の実施形態において提供される記憶媒体に従って、アラームタイプ間の時間的相関に基づいて、関連規則がマイニングされる。マイニングプロセスにおいては、生成タイムスタンプに基づいて実行された分割を通じて取得された複数の履歴アラームログサブセットにおけるアラームタイプだけがトラバースされる必要がある。そして、次いで、各アラームタイプと複数の履歴アラームログサブセットとの間の対応が決定される。例えば、各アラームタイプの時系列ベクトルが決定された後で、関連規則を生成するために、対応に基づいてアラームタイプのクラスタリング処理が実行され得る。関連技術と比較して、この出願においては、履歴アラームログが複数回にわたりトラバースされる必要はなく、そして、関連規則のマイニング効率が改善される。加えて、この出願においては、アラームタイプ間の時間的相関に基づいてマイニングされる関連規則の量は、関連技術において頻繁なアイテムセットに基づいてマイニングされる関連規則の量よりはるかに少ない。従って、関連規則の正確性を決定するプロセス、および、関連規則における根本原因アラームタイプを決定するプロセスにおいて、時間コストが低減される。加えて、アラームログの発生時間間隔に基づいてアラームイベントが再構成され、そして、最終的に、アラームタイプが根本原因アラームタイプであるアラームログを示すために使用される目標アラームイベントが、ネットワーク監視エンジニアに対して表示される。このことは、ネットワーク監視エンジニアに対して提示されるアラームログ情報を大幅に削減し、そして、情報の正確性および忠実性を確保する。

図1は、この出願の一つの実施形態に従った、アラームログ圧縮システムの模式的な構造図である。 図2は、この出願の一つの実施形態に従った、アラームログ圧縮方法のフローチャートである。 図3は、この出願の一つの実施形態に従った、履歴アラームログセットを複数の履歴アラームログサブセットへと分割する概略図である。 図4は、この出願の一つの実施形態に従った、別のアラームログ圧縮方法のフローチャートである。 図5Aは、この出願の一つの実施形態に従った、アラームイベント再構成方法のフローチャートである。 図5Bは、この出願の一つの実施形態に従った、目標アラームイベントのインターフェイスの概略図である。 図6は、この出願の一つの実施形態に従った、さらに別のアラームログ圧縮方法のフローチャートである。 図7Aは、この出願の一つの実施形態に従った、アラームログ圧縮装置の模式的な構造図である。 図7Bは、この出願の一つの実施形態に従った、決定モジュールの模式的な構造図である。 図7Cは、この出願の一つの実施形態に従った、別のアラームログ圧縮装置の模式的な構造図である。 図7Dは、この出願の一つの実施形態に従った、生成モジュールの模式的な構造図である。 図7Eは、この出願の一つの実施形態に従った、さらに別のアラームログ圧縮装置の模式的な構造図である。 図8は、この出願の一つの実施形態に従った、アラームログ圧縮装置のエンティティに係る模式的な構造図である。

この出願の目的、技術的ソリューション、および利点をより明確にするために、添付の図面を参照して、以降に、この出願の実施についてさらに詳細に説明する。

関連技術においては、ネットワーク監視エンジニアに対して提示されるアラームログの量を削減するために、３つのアラームログ圧縮方法が提供されている。そして、それぞれが以下を含んでいる。第１方法においては、事前設定された時間内にネットワークデバイスによって生成されたアラームログの量が事前設定された閾値を超えた場合に、その時間期間内にアラームが発生したものと判断され、そして、アラームログ処理装置は、ネットワークデバイスによって生成されたアラームログの量が事前設定された閾値に達した後で生成されたアラームログを直接的に破棄する。第２方法においては、事前設定された時間期間内に生成された同じアラームタイプのアラームログが要約され、かつ、カウントされ、そして、統計収集後に獲得された情報がネットワーク監視エンジニアに対して提示される。例えば、12時間以内に生成されたアラームログが要約され、かつ、カウントされて、同じアラームタイプのアラームログの発生回数の量および平均発生時間間隔、といった情報に関する統計が収集され、そして、各アラームタイプに対応し、かつ、12時間以内に生成されたアラームログの発生回数の量および平均発生時間間隔、といった情報がネットワーク監視エンジニアに対して提示される。第３方法においては、異なるアラームタイプ間で関連規則を確立するために、自動頻発アイテムセットマイニング方法に従って履歴アラームログが先立ってマイニングされ、次いで、事前に決定された関連規則に基づいて、アラームタイプが根本原因アラームタイプであるアラームログがネットワーク監視エンジニアに対して提示され、そして、アラームログを圧縮するように、マイナーアラームタイプのアラームログがフィルタで除去される。

しかしながら、第１方法においては、アラームログの量だけが削減され、そして廃棄されたアラームログは、有効なアラーム情報を含むことがある。その結果、有効なアラーム情報が失われてしまう。加えて、ネットワーク監視エンジニアに対して提示されたアラーム情報は、未だに大量の冗長アラームログを含んでおり、そして、アラームログ圧縮の信頼性が比較的低い。第２方法においては、事前設定された時間期間内に複数の独立したアラームイベント(各アラームイベントは、その発生時間間隔が事前設定された時間閾値未満である同じアラームタイプの複数のアラームログを含む)が存在し得る。そして、事前設定された時間期間内に生成された同じアラームタイプのアラームログが要約され、かつ、カウントされると、各アラームイベントに関する情報を獲得することができない。その結果、ネットワーク監視エンジニアに対して提示される情報が歪められてしまう。第３方法においては、関連規則の正確性を決定するプロセスおよび関連規則における根本原因アラームタイプを決定するプロセスにおいて、時間コストが比較的に大きい。

この出願に係る一つの実施形態は、関連技術の問題を解決するための、アラームログ圧縮システムを提供する。図1に示されるように、アラームログ圧縮システムは、圧縮装置01を含んでいる。圧縮装置01は、通信ネットワーク内で少なくとも１つのネットワークデバイスによって生成された複数のアラームログを圧縮するように構成されている。

圧縮装置01は、１つのサーバ、いくつかのサーバを含むサーバクラスタ、または、クラウドコンピューティングサービスセンタであってよい。少なくとも１つのネットワークデバイスは、ルータ、スイッチ、ファイアウォール、ロードバランス装置、アクセスゲートウェイ装置、等を含み得る。このことは、この出願において限定されるものではない。圧縮装置01は、無線ネットワークまたは有線ネットワークを使用することにより、少なくとも１つのネットワークデバイスに対する接続を確立し、そして、作業プロセスにおいて少なくとも１つのネットワークデバイスによって生成された全てのアラームログが、圧縮装置01に対して送付される。

任意的に、図1に示されるように、アラームログ圧縮システムは、さらに、ネットワーク管理装置02を含み得る。ネットワーク管理装置02は、無線ネットワークまたは有線ネットワークを使用することにより、圧縮装置01に対する接続を確立する。圧縮装置01は、さらに、ネットワーク管理装置02に対して、少なくとも１つのネットワークデバイスによって生成された複数のアラームログを圧縮することによって獲得されたアラーム情報を出力するように構成されている。ネットワーク管理装置02は、アラーム情報を表示するように構成されており、そうして、ネットワーク監視エンジニアはアラーム情報を眺める。さらに、ネットワーク管理装置02は、ネットワーク監視エンジニアが有効なアラーム情報を決定した後で、対応するアラームクリアランスワークシート（alarm clearance worksheet）を生成するように構成されており、ここで、アラームクリアランスワークシートは、アラーム情報とネットワーク保守エンジニアとの間の対応を含んでいる。そして、ネットワーク保守エンジニアが対応するネットワークデバイスを維持するように、対応するネットワーク保守エンジニアに対してアラーム情報をフィードバックするように構成されている。ネットワーク管理装置02は、１つのサーバ、いくつかのサーバを含むサーバクラスタ、または、クラウドコンピューティングサービスセンタであってよい。

実際のアプリケーションにおいて、圧縮装置01およびネットワーク管理装置02は、互いに独立した装置であってよく、または、ネットワーク管理装置02は、圧縮装置01の中へ統合されてよい。この場合に、圧縮装置01は、さらに、少なくとも１つのネットワークデバイスによって生成された複数のアラームログを圧縮した後で獲得されたアラーム情報を表示するように構成され得る。

この出願の実施形態において提供されるアラームログ圧縮方法に従って、根本原因アラームタイプのアラームログがネットワーク監視エンジニアに対して表示され、そして、根本原因アラームタイプのアラームイベントをネットワーク監視エンジニアに対して表示するように、アラームイベントがさらに再構成され得る。図2、図4、および図6は、この出願の実施態様における説明のための例として使用されている。図2に示されるアラームログ圧縮方法においては、アラームタイプ間の関連規則が関連規則マイニング方法において決定された後で、関連規則に基づいてアラームログが圧縮され、そして、最終的に根本原因アラームタイプのアラームログがネットワーク監視エンジニアに対して表示される。図4に示されるアラームログ圧縮方法においては、アラームタイプ間の関連規則が、関連規則マイニング方法において決定され、アラームイベント再構成方法においてアラームイベントが再構成された後で、関連規則に基づいてアラームイベントが圧縮され、そして、最終的に、根本原因アラームタイプのアラームイベントがネットワーク監視エンジニアに対して表示される。図6に示されるアラームログ圧縮方法においては、アラームタイプ間の関連規則が関連規則マイニング方法において決定された後で、処理される（to-be-processed）アラームログ内のマイナーアラームタイプのアラームログが関連規則に基づいて最初にフィルタリングされ、次いで、アラームイベント再構成方法において根本原因アラームタイプのアラームログを使用してアラームイベントが再構成され、そして、最終的に、根本原因アラームタイプのアラームイベントがネットワーク監視エンジニアに対して表示される。図2に示されるアラームログ圧縮方法と比較して、図4および図6に示されるアラームログ圧縮方法において、アラームログは、アラームイベントの粒度（granularity）でカウントされ、ネットワーク監視エンジニアに対して表示されるアラームログ関連情報をさらに低減する。実際のアプリケーションにおいては、この出願で提供されるアラームイベント再構成方法においてアラームイベントを再構成した後で、全てのアラームイベントがネットワーク監視エンジニアに対して直接的に表示される。詳細は、この出願において説明されていない。以下は、図2、図4、図6を例として使用することによって、アラームログ圧縮方法をさらに説明している。

図2は、この出願の一つの実施形態に従った、アラームログ圧縮方法のフローチャートである。本方法が圧縮装置に対して適用されている。圧縮装置は、図1に示される圧縮装置01であってよい。図2に示されるように、本方法は、以下のステップを含み得る。

ステップ201:通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得する。ここで、履歴アラームログセットは複数の履歴アラームログを含み、そして、各履歴アラームログはアラームタイプおよび生成タイムスタンプを含んでいる。

通信ネットワークは、少なくとも１つのネットワークデバイスを含み、そして、第１ネットワークデバイスは、通信ネットワーク内で任意のネットワークデバイスであってよい。実際のアプリケーションにおいて、圧縮装置は、通信ネットワーク内で複数のネットワークデバイスによって生成された複数の履歴アラームログセットを取得し、そして、各履歴アラームログセットに対して以下のステップ202から204までを別々に実行し得る。各ネットワークデバイスは、１つの履歴アラームログセットに対応している。このことは、この出願のこの実施態様において限定されるものではない。

任意的に、通信ネットワーク内で各ネットワークデバイスによって生成された履歴アラームログセットを取得するための方法は、
第１の事前設定された期間内に第１ネットワークデバイスによって生成された履歴アラームログを前処理するステップであり、各履歴アラームログから冗長情報を除去し、各ネットワークデバイスに対応する履歴アラームログセットを取得する、ステップを含み得る。

ネットワークデバイスによって生成された元の（original）アラームログは、たいてい、アラームタイプ、生成タイムスタンプ、アラームネットワークデバイスの識別子(Identity、ID)、および、いくつかの冗長情報を運搬していることに留意すべきである。ネットワークデバイスによって生成された履歴アラームログは、履歴アラームログにおける後続の処理を促進するように、事前処理され、そうして、各履歴アラームログは、アラームタイプ、生成タイムスタンプ、およびアラームネットワークデバイスのIDだけを含んでいる。従って、オペレーションコストが削減され、そして、オペレーション効率が改善されている。

任意的に、各履歴アラームログは、２タプル(M、t)フォーマットで表現され得る。Mは、アラームログ情報を表し、tは、生成タイムスタンプを表し、そして、アラームログ情報は、少なくともアラームタイプフィールドおよび第１ネットワークデバイスのIDフィールドを含んでいる。例えば、第１ネットワークデバイスによって生成された履歴アラームログが、前処理後に(dgd437slhw3m：TCP認証失敗、14:22:08)として表されることが想定される。ここで、dgd437slhw3mは、第１ネットワークデバイスのIDフィールドであり、TCP認証失敗は、アラームタイプであり、そして、14:22:08は、生成タイムスタンプである。このアラームログは、IDがdgd437slhw3mのネットワークデバイスにおいて、14:22:08に「TCP認証失敗（“TCP authentication fails”）」が発生した事例を示している。

この出願のこの実施態様において、第１の事前設定された時間期間は、過去の時間期間(すなわち、履歴時間期間)である。例えば、第１の事前設定された時間期間内で第１ネットワークデバイスによって生成された履歴アラームログを前処理することは、過去の1ヶ月において第１ネットワークデバイスによって生成された履歴アラームログセットを前処理することであってよい。

ステップ202:履歴アラームログセットにおける履歴アラームログの生成タイムスタンプに基づいて、履歴アラームログセットを複数の履歴アラームログサブセットへと分割する。

各履歴アラームログサブセットにおける全ての履歴アラームログは、時系列で連続している。具体的に、各履歴アラームログサブセットは、事前設定された期間の中で生成された複数の履歴アラームログを含んでいる。加えて、複数の履歴アラームログサブセットの和集合（union set）は、履歴アラームログセットにおける全ての履歴アラームログを含んでいる。

任意的に、履歴アラームログセットにおける履歴アラームログは、時間の部分的な順序関係を有し得る。具体的に、履歴アラームログセットは、時間の部分的な順序関係を有する一連の履歴アラームログを含む履歴アラームシーケンスであってよい。履歴アラームシーケンスの時間範囲は、［Ｔ_s、Ｔ_ｅ］であり得る。ここで、Ｔ_sは、履歴アラームログシーケンスの開始時刻を表し、そして、Ｔ_ｅは、履歴アラームログシーケンスの終了時刻を表している。履歴アラームログセットにおける履歴アラームログが時間の部分的な順序関係を有するということは、履歴アラームログセット内に存在し、かつ、履歴アラームログの後に位置する履歴アラームログの生成時間が、任意の履歴アラームログの生成時間の後であるか、または、任意の履歴アラームログの生成時間と同じであることを意味している。

それに応じて、履歴アラームログセットにおける履歴アラームログの生成タイムスタンプに基づいて、履歴アラームログセットを複数の履歴アラームログサブセットへと分割する方法は、
履歴アラームログセットにおける履歴アラームログの生成タイムスタンプセットを取得するステップ、および、生成タイムスタンプセット、事前設定された時間ウィンドウ長、および、スライディングウィンドウ（sliding window）技術を使用することによるウィンドウスライディングステップに基づいて、履歴アラームログを複数の履歴アラームログサブセットへと分類するステップ、を含み得る。ここで、ウィンドウスライディングステップは、時間ウィンドウ長より大きくない。

任意的に、履歴アラームログセットにおける履歴アラームログの生成タイムスタンプセットは｛ｔ_ｋ；ｋは正の整数｝であり、時間ウィンドウの長さはｗｉｎ、ウィンドウスライディングステップはｓｔｅｐである。この場合、履歴アラームログは、第１履歴アラームログサブセットの時間ウィンドウが［ｔ_１、ｗｉｎ］であり、第２履歴アラームログサブセットの時間ウィンドウが［ｔ_１＋ｓｔｅｐ、ｗｉｎ＋ｓｔｅｐ］であるように、かつ、類推によって、履歴アラームログセットの開始時刻ｔ_１から、最後の履歴アラームログサブセットの時間ウィンドウの終了時刻が履歴アラームログセットの終了時刻ｔ_ｎ以上になるまで分類される。

例えば、図3は、この出願の一つの実施形態に従った、履歴アラームログセットを複数の履歴アラームログサブセットへと分割する概略図である。図3に示されるように、時間ウィンドウ長ｗｉｎ＝３、ウィンドウスライディングステップ＝２、履歴アラームログセットにおける生成タイムスタンプセットは{ｔ_ｋ；ｋは正の整数}、アラームタイプはA、B、C、およびDである。履歴アラームログセットを分割することによって取得される複数の履歴アラームログサブセットの時間ウィンドウは、順次に、ｗ_１＝{ｔ_１,ｔ_２,ｔ_３}、ｗ_２＝{ｔ_３,ｔ_４,ｔ_５}、...、およびｗ_ｍ＝{...,ｔ_ｎ}である。時間ウィンドウｗ_１に対応するアラームタイプセットは{A,B,C}であり、時間ウィンドウｗ_２に対応するアラームタイプセットは{C,A,D}であり、そして、時間ウィンドウｗ_ｍに対応するアラームタイプセットは{D,C,A}である。

実際のアプリケーションにおいては、履歴アラームログセット内の履歴アラームログの生成タイムスタンプセットが取得された後で、履歴アラームログセットが、生成タイムスタンプセットに基づいて直接的に分割される。例えば、生成タイムスタンプセットが12個の生成タイムスタンプを含むと仮定すると、履歴アラームログセットは、4個の履歴アラームログサブセットへと分割することができ、各履歴アラームログサブセットは、3個の生成タイムスタンプに対応する履歴アラームログを含んでおり、そして、各履歴アラームログサブセットに対応する3個の生成タイムスタンプは、時系列において連続している。

ステップ203:履歴アラームログセット内のアラームタイプと複数の履歴アラームログサブセットとの間の対応を決定する。

任意的に、履歴アラームログセット内のアラームタイプと複数の履歴アラームログサブセットとの間の対応を決定するための方法は、
第１アラームタイプセットを取得するために、履歴アラームログセット内の全てのアラームタイプを取得するステップ、および、第１アラームタイプセット内の各アラームタイプの時系列ベクトルを決定するステップ、を含む。ここで、各時系列ベクトルは、対応するアラームタイプと複数の履歴アラームログサブセットとの間の対応を反映するために使用される。ここで、各アラームタイプに対応する時系列ベクトルについて、時系列ベクトル内の値は、複数の履歴アラームログサブセットと1対1（one-to-one）に対応している。時系列ベクトル内の値は、第１値および第２値のうちの少なくとも１つを含み、第１値は、対応するアラームタイプが対応する履歴アラームログサブセット内に存在することを示すために使用され、第２値は、対応するアラームタイプが対応する履歴アラームログサブセット内に存在しないことを示すために使用され、そして、第１値は第２値とは異なっている。

任意的に、第１アラームタイプセット内の各アラームタイプの時系列ベクトルを決定するプロセスは、第１アラームタイプセット内の各アラームタイプについて時系列ベクトル決定プロシージャを実行するステップ、を含み得る。

時系列ベクトル決定プロシージャは、アラームタイプが複数の履歴アラームログサブセット内に存在するか否かを順次に検出するステップ、および、検出結果に基づいてアラームタイプの時系列ベクトルを決定するステップ、を含む。

例えば、ステップ202において例を参照すると、履歴アラームログセット内の全てのアラームタイプが取得され、そして、取得された第１アラームタイプセットは、I={A,B,C,D}である。第１値は1であり、そして、第２値は0であることが想定されている。図3に示される分割によって取得された複数の履歴アラームログサブセットについて、アラームタイプAの時系列ベクトルはｖ_Ａ＝(1,1,...,1)として表され、アラームタイプBの時系列ベクトルはｖ_Ｂ＝(1,0,...,0)として表され、アラームタイプCの時系列ベクトルはｖ_Ｃ＝(1,1,...,1)として表され、そして、アラームタイプDの時系列ベクトルは_ＡＤ＝(0,1,...,1)として表され得る。

ステップ204:少なくとも１つの関連規則を生成するために、対応に基づいて履歴アラームログセット内のアラームタイプについてクラスタリング処理（clustering processing）を実行する。ここで、各関連規則は、相互に関連付けされた根本原因アラームタイプおよび少なくとも１つのマイナーアラームタイプを含んでいる。

同じ関連規則において、ネットワークデバイス上で発生し、かつ、マイナーアラームタイプによって示される障害は、ネットワークデバイス上で発生し、かつ、根本原因アラームタイプによって示される障害によって引き起こされる。任意的に、第１アラームタイプセット内の各アラームタイプの時系列ベクトルが決定された後で、クラスタリング処理が、少なくとも１つの関連規則を生成するように、第１アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、全てのアラームタイプについて実行され得る。

任意的に、クラスタリング処理は、少なくとも１つの関連規則を生成するために、時間的相関クラスタリング(Temporal Correlation Clustering、TCC)アルゴリズムを使用することにより、全てのアラームタイプについて実行され得る。この出願のこの実施形態においては、関連規則を生成するためのTCCアルゴリズムを使用することにより、全てのアラームタイプについてクラスタリング処理を実行するための以下の２つの方法が、説明のための例として使用されている。本方法は、以下を含んでいる。

関連規則を生成するための第１方法は、
第１アラームタイプセットについてクラスタリング操作を実行するステップを含む。ここで、本クラスタリング操作は、以下を含んでいる。

S21a.目標アラームタイプセットおよび第２アラームタイプセットを設定する。ここで、目標アラームタイプセットと第２アラームタイプセットの両方は、空集合（empty set）である。

S22a.目標アラームタイプセットに対して第１アラームタイプセット内の任意のアラームタイプを追加し、そして、第１アラームタイプセットから、目標アラームタイプセットに対して追加したアラームタイプを削除する。

S23a.第１アラームタイプセットが空集合なるまで決定プロシージャを繰り返し実行し、そして、関連規則として設定した目標アラームタイプを決定する。

本決定プロシージャは、以下を含んでいる。

S231a.処理される（to-be-processed）アラームタイプと目標アラームタイプセットとの間の相関を、処理されるアラームタイプの時系列ベクトルおよび目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出する。ここで、処理されるアラームタイプは、目標アラームタイプセット内のアラームタイプ以外の第１アラームタイプセット内の任意のアラームタイプである。

S232a.相関が事前設定された相関閾値より大きい場合には、更新目標アラームタイプセットを取得するために、処理されるアラームタイプを目標アラームタイプセットに対して追加し、そして、第１アラームタイプセットから処理されるアラームタイプを削除する。

S233a.相関が事前設定された相関閾値以下の場合は、処理されるアラームタイプを第２アラームタイプセットに対して追加し、そして、第１アラームタイプセットから処理されるアラームタイプを削除する。

S24a.決定プロシージャを繰り返して実行した後で、第２アラームタイプセットが空集合でない場合には、新たな第１アラームタイプセットとして、第２アラームタイプセットを使用することにより、クラスタリング操作を繰り返して実行する。

S25a.決定プロシージャを繰り返して実行した後で、第２アラームタイプセットが空集合である場合には、クラスタリング操作を停止する。

例えば、前述の方法で第１アラームタイプセットについてクラスタリング操作を実行するアルゴリズムプロセスは、以下のとおりである。
ＴＣＣ（Ｉ）//I is the first alarm type set
{
Randomly select one alarm type ｉ_ｉ∈Ｉ from Ｉ
Set a target alarm type set Ｒ＝｛ｉ_ｉ｝and a second alarm type set Ｉ’＝Φ
For all alarm types ｉ_ｊ∈Ｉ、ｉ_ｊ≠ｉ_ｉ
{
If ＡｖｅＣｏｒ（ｉ_ｊ、Ｒ）＞Ｔｈｒｅｓｈｏｌｄ //Threshold is a preset correlation threshold
Add ｉ_ｊ to Ｒ
Else
Add ｉ_ｊ to Ｉ’
}
Ｒ’＝ＴＣＣ（Ｉ’） //Perform recursively invocation, to perform a clustering operation on a remaining second alarm type set Ｉ’
Return Ｒ∪Ｒ’ //Return all association rules obtained through clustering performed on the first alarm type set
}

関連規則を生成するための第２方法は、
第１アラームタイプセットに目標アラームタイプをマーキングするステップであり、ここで、第１アラームタイプは第１アラームタイプセット内の任意のアラームタイプである、ステップ、および、第１アラームタイプセットについてクラスタリング操作を実行するステップ、を含む。ここで、クラスタリング操作は、以下を含んでいる。

S21b.第１アラームタイプセット内の全てのアラームタイプをトラバースする（traverse）まで、決定プロシージャを繰り返し実行する。

本決定プロシージャは、以下を含んでいる。

S211b.目標アラームタイプセットとして、目標アラームタイプと同じマークを有する第１アラームタイプセット内の全てのアラームタイプを含むセットを決定する。

S212b.処理されるアラームタイプと目標アラームタイプセットとの間の相関を、処理されるアラームタイプの時系列ベクトルおよび目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出する。ここで、処理されるアラームタイプは、目標アラームタイプセット内のアラームタイプ以外の第１アラームタイプセット内の任意のアラームタイプである。

S213b.相関が事前設定された相関閾値よりも大きい場合には、処理されるアラームタイプにマーキング（marking）する。ここで、処理されるアラームタイプのマークは、目標アラームタイプのマークと同じである。

S22b.決定プロシージャを繰り返し実行した後で、第１アラームタイプセット内にマークが設定されていないアラームタイプが存在する場合には、新たなアラームタイプとして、マークが設定されていない任意のアラームタイプを決定し、新たな目標アラームタイプにマーキングし、そして、クラスタリング操作を繰り返し実行する。ここで、異なる目標アラームタイプは異なるマークを有している。

S23b.決定プロシージャを繰り返し実行した後で、第１アラームタイプセット内にマークが設定されていないアラームタイプが存在しない場合には、クラスタリング操作の実行を停止し、そして、第１アラームタイプセットに基づいて少なくとも１つの関連規則を生成する。ここで、各関連規則における全てのアラームタイプについて同じマークが設定される。

任意的に、S231aおよびS212bにおいて、処理されるアラームタイプの時系列ベクトルおよび目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、処理されるアラームタイプと目標アラームタイプセットとの間の相関を計算するステップは、以下を含んでいる。

1.ピアソン相関係数式(Pearson correlation coefficient formula)に従って、処理されるアラームタイプセットと目標アラームタイプセット内の各アラームタイプとの相関を算出する。ここで、ピアソン相関係数式は、以下のとおりである。

ここで、
Ｃｏｒ（ｉ_ｉ、ｉ_ｊ）はアラームタイプｉ_ｉとアラームタイプｉ_ｊとの間の相関関係を表し、ｃｏｖ（ν_ｉ、ν_ｊ）はν_ｉとν_ｊとの間の共分散（covariance）表し、σ_νｉは、ν_ｉの標準偏差を表し、σ_νｊは、ν_ｊの標準偏差を表し、ν_ｉはアラームタイプｉ_ｉの時系列ベクトルを表し、そして、ν_ｊはアラームタイプｉ_ｊの時系列ベクトルを表している。

2.平均相関計算式（average correlation calculation formula）に従って、処理されるアラームタイプと目標アラームタイプセット内の各アラームタイプとの相関関係に基づいて、処理されるアラームタイプと目標アラームタイプセットとの間の相関関係を算出する。ここで、平均相関計算式は以下のとおりである。

ＡｖｅＣｏｒ（ｉ_ｊ、Ｒ）はアラームタイプｉ_ｊと目標アラームタイプセットＲとの間の相関を示し、そして、｜Ｒ｜は目標アラームタイプセットＲ内のアラームタイプの数量を示している。

例えば、S23aにおいて、第１アラームタイプセットが空集合の場合、別の言葉で言えば、第１アラームタイプセットの全てのアラームタイプがトラバースされた後であり、かつ、目標アラームタイプセットがＲ_ｋ＝｛ｉ_１,ｉ_２,...,ｉ_ｋ}であると仮定すると、対応する関連規則は、ｋアイテムセット(すなわち、Ｒ_ｋ)を含んでおり、Ｒ_ｋにおけるｋ個のアラームタイプのアラームログ間に強い相関が存在することを示している。各アイテムｉ_ｋは、１つのアラームタイプを表している。

第１アラームタイプセットについて実行されたクラスタリングを通じて取得された全ての関連規則の和集合（union set）は、第１アラームタイプセット内の全てのアラームタイプを含むことが留意されるべきである。例えば、第１アラームタイプセットについて実行されたクラスタリングを通して取得された全ての関連規則は、｛Ｒ_１,...,Ｒ_ｋ}を含んでいる。この場合には、Ｒ_１∪...∪Ｒ_ｋ＝Ｉである。

ステップ205:アラームのタイプが根本原因アラームのタイプであるアラームログを取得するために、少なくとも１つの関連規則に基づいて、複数の処理されるアラームログを圧縮する。

任意的に、複数の処理されるアラームログは、第２ネットワークデバイスによって生成されるアラームログであり得る。第２ネットワークデバイスと第１ネットワークデバイスとは、同じネットワークデバイスであってよく、そして、第２ネットワークデバイスと第１ネットワークデバイスとは、同じタイプの異なるネットワークデバイスであってよい。このことは、限定されるものではない。タイプが同じであることは、モデルが同じであること、及び／又は、タイプが同じであることを含んでいる。例えば、第１ネットワークデバイスおよび第２ネットワークデバイスの両方がファイアウォールであってよく、または、第１ネットワークデバイスおよび第２ネットワークデバイスの両方がモデルA0のファイアウォールであってよい。

任意的に、少なくとも１つの関連規則が生成された後で、専門家（expert）は、関連規則における根本原因アラームタイプおよびマイナーアラームタイプを分析し、かつ、決定し得る。もしくは、関連規則における任意のアラームタイプと関連規則における別のアラームタイプとの間の相関を計算し、別のアラームタイプと最も高い相関を持つアラームタイプを根本原因アラームタイプとして決定し、そして、関連規則における根本原因アラームタイプ以外のアラームタイプをマイナーアラームタイプとして決定し得る。関連規則における根本原因アラームタイプおよびマイナーアラームタイプを決定する方法は、この出願のこの実施形態に限定されるものではない。

例えば、関連規則が、
{LinkDown_Active,MSTP_PORT_STATE_FORWARDING,MSTP_PORT_STATE_LEARNING,MSTP_PROPORT_ROLE_CHANGE,MSTP_PORT_STATE_DISCARDING}であるものと想定される。専門家が関連規則を分析した後で、ポート障害(アラームタイプは、LinkDown_Active)が、マルチプルスパニングツリープロトコル(Multiple Spanning Tree Protocol、MSTP)モジュールの頻繁に起きる断続的な切断（disconnection）を引き起こすことが分かった。従って、LinkDown_Activeは根本原因アラームタイプであり、そして、関連規則における別のアラームタイプは、根本原因アラームタイプと同時に発生する相関（correlative）アラームタイプ(マイナーアラームタイプ)であることを決定することができる。関連規則に基づいて、アラームタイプがLinkDown_Activeであり、かつ、アラームタイプがマイナーアラームタイプであるアラームログだけがフィルタで除去され、処理されるアラームログを圧縮する。

実際のアプリケーションにおいて、同じタイプのネットワークデバイスは、同じ関連規則を使用して、ネットワークデバイスによって生成されたアラームログを圧縮し得るので、関連規則のマイニングプロセスにおいては、各ネットワークデバイスによって生成された履歴アラームログについて関連規則がマイニングされる必要はなく、同じタイプの複数のネットワークデバイスから数個のネットワークデバイスが選択され、そして、ネットワークデバイスによって生成された履歴アラームログについて関連規則がマイニングされる。従って、関連規則をマイニングするための時間コストは、低減することができる。

結論として、この出願のこの実施形態において提供されるアラームログ圧縮方法に従って、関連規則は、アラームタイプ間の時間的（temporal）相関に基づいて、マイニングされる。マイニングプロセスにおいては、生成されたタイムスタンプに基づいて、実行された分割を通じて取得された複数の履歴アラームログサブセットにおけるアラームタイプだけがトラバースされる必要があり、そして、次いで、各アラームタイプと複数の履歴アラームログサブセットとの間の対応が決定される。例えば、関連規則を生成するために、各アラームタイプの時系列ベクトルが決定された後で、対応に基づいてアラームタイプについてクラスタリング処理が実行され得る。関連技術と比較して、この出願では、履歴アラームログが複数回にわたりトラバースされる必要はなく、そして、関連規則のマイニング効率が改善されている。加えて、この出願において、アラームタイプ間の時間的相関に基づいてマイニングされる関連規則の量は、関連技術において頻繁な（frequent）アイテムセットに基づいてマイニングされる関連規則の量よりはるかに少ない。従って、関連規則の正確性を決定するプロセスおよび関連規則における根本原因アラームタイプ決定するプロセスにおいて、時間コストが低減される。

図4は、この出願の一つの実施形態に従った、別のアラームログ圧縮方法のフローチャートである。本方法は、圧縮装置に適用されている。圧縮装置は、図1に示される圧縮装置01であってよい。図4に示されるように、本方法は、以下のステップを含み得る。

ステップ401:通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得する。ここで、履歴アラームログセットは複数の履歴アラームログを含み、そして、各履歴アラームログはアラームタイプおよび生成タイムスタンプを含んでいる。

このステップの実装プロセスについては、ステップ201を参照のこと。詳細は、ここにおいて再び説明されない。

ステップ402:履歴アラームログセット内の履歴アラームログの生成タイムスタンプに基づいて、履歴アラームログセットを複数の履歴アラームログセットへと分割する。

このステップの実装プロセスについては、ステップ202を参照のこと。詳細は、ここにおいて再び説明されない。

ステップ403:履歴アラームログセット内のアラームタイプと、複数の履歴アラームログサブセットとの間の対応を決定する。

このステップの実装プロセスについては、ステップ203を参照のこと。詳細は、ここにおいて再び説明されない。

ステップ404:少なくとも１つの関連規則を生成するために、対応に基づいて履歴アラームログセット内のアラームタイプについてクラスタリング処理を実行する。ここで、各関連規則は、根本原因アラームタイプ、および、相互に関連付けされた少なくとも１つのマイナーアラームタイプを含んでいる。

このステップの実装プロセスについては、ステップ204を参照のこと。詳細は、ここにおいて再び説明されない。

ステップ405:第２の事前設定された期間において、通信ネットワーク内で第２ネットワークデバイスによって生成された処理されるアラームログセットを取得する。ここで、処理される（to-be-processed）アラームログセットは、複数の処理されるアラームログを含み、そして、処理されるアラームログそれぞれは、アラームタイプおよび生成タイムスタンプを含んでいる。

任意的に、第２ネットワークデバイスと第１ネットワークデバイスとは、同じネットワークデバイスであってよく、もしくは、第２ネットワークデバイスと第１ネットワークデバイスとは、同じタイプの異なるネットワークデバイスであってよい。

ネットワークデバイスによって生成された元の（original）アラームログは、たいてい、アラームタイプ、生成タイムスタンプ、アラームネットワークデバイスの識別子(Identity、ID)、および、いくつかの冗長情報を運搬している。この出願のこの実施形態においては、処理されるアラームログについて後続の処理を促進するように、処理されるアラームログセットを取得するために、取得された処理されるアラームログが前処理（preprocessed）されて、元のアラームログから冗長情報を除去する。従って、オペレーションコストが削減され、そして、オペレーション効率が改善されている。

例えば、第２の事前設定された期間において第２ネットワークデバイスによって生成された処理されるアラームログは、{(TCP認証失敗、14:22:08)、(TCP認証失敗、14:22:38)、(TCP認証失敗、14:23:25)、(TCP認証失敗、21:18:20)、(TCP認証失敗、21:19:18)、(TCP認証失敗、21:19:55)}を含み得ることが想定されている。これらの処理されるアラームログは、アラームタイプがTCP認証失敗であるアラームログを示している。

この出願のこの実施態様において、第２の事前設定された期間は、過去の時間期間である。例えば、第２の事前設定された期間において各ネットワークデバイスによって生成された処理されるアラームログを前処理することは、12時間以内に各ネットワークデバイスによって生成された処理されるアラームログを、12時間毎に、前処理することであり得る。

ステップ406:処理されるアラームログセットに基づいて、少なくとも１つのアラームイベントを生成する。ここで、各アラームイベントは、第２ネットワークデバイスによって生成される同じアラームタイプのアラームログを示すために使用される。

任意的に、処理されるアラームログセットに基づいて、少なくとも１つのアラームイベントを生成する方法は、
処理されるアラームログセットの各アラームタイプについて、処理されるアラームログセット内に存在し、かつ、アラームタイプのものである目標アラームログを取得するステップ、時系列において隣接する処理されるアラームログセット内の２つの目標アラームログ毎の間の発生時間間隔を個別に計算するステップ、および、同じアラームイベントに属する処理されるアラームログセット内の目標アラームログを、２つの目標アラームログ毎の間の発生時間間隔に基づいて、１つのアラームイベントへと再構成するステップ、を含み得る。

任意的に、アラームイベントは、アラームタイプと、アラームイベントにおけるアラームログの開始発生時点、終了発生時点、平均発生時間間隔、および発生回数の量のうちの少なくとも１つと、を含み得る。実際のアプリケーションにおいて、アラームイベントは、さらに、全てのアラームログの生成タイムスタンプ(開始発生時点および終了発生時点を含む)を含み得る。これに限定されるものではない。

例えば、ステップ405において、第２の事前設定された期間内に第２ネットワークデバイスによって生成された複数の処理されるアラームログは、TCP認証が失敗する２つの独立したイベントを含み、かつ、それぞれが２つの期間に発生する。{14:22:08-14:23:25}および{21:18:20-21:19:55}である。複数の処理されるアラームログは、２つのアラームイベントへと再構成され得る。{TCP認証失敗、14:22:08、14:22:38、14:23:25}および{TCP認証失敗、21:18:20、21:19:18、21:19:55}である。各アラームイベントは、アラームタイプおよび各アラームログの生成タイムスタンプを含んでいる。

任意的に、第２の事前設定された期間内に第２ネットワークデバイスによって生成され、かつ、時間の部分的な順序関係を有する、処理されるアラームログの生成タイムスタンプは、それぞれに、ｔ_０,ｔ_１,...,およびｔ_ｎであり、そして、処理されるアラームログ間の発生時間間隔は、それぞれに、ｓ_１,ｓ_２,...,ｓ_ｉ,...,およびｓ_ｎである。ここで、ｓ_ｋ＝ｔ_ｋ－ｔ_ｋ－１であり、かつ、ｋは、正の整数である。

任意的に、図5Aに示されるように、同じアラームイベントに属する処理されるアラームログセット内の目標アラームログの、２つの目標アラームログ毎の間の発生時間間隔に基づいて、１つのアラームイベントへと再構成する方法は、以下を含み得る。

ステップ4061:指数移動平均法（exponential moving average method）を使用することにより、２つの目標アラームログ間の推定（estimated）時間間隔を計算する。ここで、２つの目標アラームログは、時系列において隣接する任意の２つの目標アラームログであり、２つの目標アラームログは、第１アラームログおよび第２アラームログを含み、そして、第１アラームログは、第２アラームログの前に生成される。

２つの目標アラームログ間の発生時間間隔ｓ_ｋはｓ_ｋ＝ｔ_ｋ－ｔ_ｋ－１であり、
指数移動平均（Exponential Weighted Moving Average、EWMA)法で計算される２つの目標アラームログ間の推定時間間隔ｓ_ｋ’はｓ_ｋ’＝α＊ｓ_ｋ－１＋（１－α）＊ｓ_ｋ－１’であり、ｔ_ｋは第２アラームログの生成時間スタンプであり、ｔ_ｋ－１は第１アラームログの生成時間スタンプであり、ｓ_ｋ－１＝ｔ_ｋ－１－ｔ_ｋ－２であり、かつ、０≦α≦１である。この場合に、ｋは１より大きい整数である。

任意的に、パラメータαは、実際の要求に基づいて設定されてよく、そして、αの特定の値は、限定されるものではない。

ステップ4062:２つの目標アラームログ間の発生時間間隔が、事前設定された最小時間間隔の閾値以下であるか否かを判断する。そして、２つの目標アラームログ間の発生時間間隔が、事前設定された最小時間間隔の閾値以下である場合には、ステップ4065を実行する。もしくは、２つの目標アラームログ間の発生時間間隔が、事前設定された最小時間間隔の閾値より大きい場合には、ステップ4063を実行する。

ステップ4063:２つの目標アラームログ間の発生時間間隔が、事前設定された最大時間間隔の閾値より大きいか否かを判断する。そして、２つの目標アラームログ間の発生時間間隔が事前設定された最大時間間隔の閾値より大きい場合には、ステップ4066を実行する。もしくは、２つの目標アラームログ間の発生時間間隔が事前設定された最大時間間隔の閾値より大きくない場合には、ステップ4064を実行する。

ステップ4064:２つの目標アラームログと推定時間間隔との間の発生時間間隔が事前設定された条件を満たすか否かを判断する。そして、２つの目標アラームログと推定時間間隔との間の発生時間間隔が事前設定された条件を満たす場合には、ステップ4065を実行する。もしくは、２つの目標アラームログと推定時間間隔との間の発生時間間隔が事前設定された条件を満たさない場合には、ステップ4066を実行する。

ステップ4061を参照すると、事前設定された条件はｓ_ｋ≦β＊ｓ_ｋ’であり得る。ここで、βは正の数であり、ｓ_ｍｉｎ≦β＊ｓ_ｋ’≦ｓ_ｍａｘであり、ｓ_ｍｉｎは最小時間間隔閾値であり、そして、ｓ_ｍａｘは最大時間間隔閾値である。

ステップ4065:第２アラームログが、第１アラームログが属するアラームイベントに属することを決定し、かつ、第２アラームログを、第１アラームログが属するアラームイベントへと集約する。

さらに、ステップ4065が実行された後で、継続するためにステップ4061へ戻り、目標アラームイベントをポーリングするように、次の目標アラームログが、第１アラームログおよび第２アラームログが属するアラームイベントに属するか否かを判断する。例えば、ｋ＝ｋ＋１であり、そして、ステップ4061へ戻る。

例えば、最初のアラームログが属するアラームイベントは{(TCP認証失敗、14:22:08)、(TCP認証失敗、14:22:38)}であることが想定されている。第２アラームログ(TCP認証失敗、14:23:25)が、第１アラームログが属するアラームイベントに属するものであると判断された場合に、第２アラームログは、第１アラームログが属するアラームイベントに集約され、そして、アラームイベントは、{(TCP認証失敗、14:22:08)、(TCP認証失敗、14:22:38)、(TCP認証失敗、14:23:25)}へ更新される。

ステップ4066:第２アラームログが、第１アラームログが属するアラームイベントに属していないことを決定する。

例えば、最初のアラームログが属するアラームイベントは、{(TCP認証失敗、14:22:08)、(TCP認証失敗、14:22:38)、(TCP認証失敗、14:23:25)}であることが想定されている。第２アラームログ(TCP認証失敗21:18:20)が、第１アラームログが属するアラームイベントに属していないと判断された場合には、第１アラームログが属するアラームイベントの再構成を終了する。別の言葉で言えば、アラームイベントの再構成が完了する。

ステップ4067:新たなアラームイベントを初期化し、そして、第２アラームログを新たなアラームイベントへと集約する。

さらに、ステップ4067が実行された後で、継続するためにステップ4061へ戻り、目標アラームイベントをポーリングするように、次の目標アラームイベントが、第２アラームログが属するアラームイベントに属するか否かを判断する。例えば、ｋ＝ｋ＋１であり、そして、ステップ4061へ戻る。

任意的に、ステップ4062および4063は、実行されなくてよい。これに限定されるものではない。

アラームログ間の発生時間間隔に基づいてアラームイベントを再構成するために、アラームログ情報に関する統計がアラームイベントの粒度で収集され得ること、それによって、統計収集を通じて取得されるアラームログ情報の精度および信頼性を改善していることが留意されるべきである。

ステップ407:少なくとも１つの目標アラームイベントを取得するために、少なくとも１つの関連規則に基づいて、少なくとも１つのアラームイベントを圧縮する。ここで、各目標アラームイベントは、アラームタイプが根本原因アラームタイプであるアラームログを示すために使用されている。

ステップ408:少なくとも１つの目標アラームイベントをネットワーク監視エンジニアに対して表示するために、少なくとも１つの目標アラームイベントを出力する。

例えば、図5Bは、この出願の一つの実施形態に従った目標アラームイベントのインターフェイスの概略図である。図5Bに示されるように、各ネットワークデバイスが生成したアラームログが図4に示されるアラームログ圧縮方法で圧縮された後で、根本原因アラームタイプのアラームログを再構成することによって取得された目標アラームイベントMが表示され、そして、各目標アラームタイプは、ホスト名(アラームネットワークデバイスのID)、発生回数の量、および、根本原因ログ(根本原因アラームタイプ)といった、情報を含んでいる。

この出願のこの実施形態において提供されるアラームログ圧縮方法に係る一連のステップは、適切に調整され得ることが留意されるべきである。例えば、ステップ405およびステップ406は、ステップ401の前に実行されてよく、または、ステップが、事例に基づいて、対応して追加または削除されてよい。この出願において開示された技術的範囲内で当業者によって容易に理解される任意の変形の方法は、この出願の保護範囲内にあるものとする。従って、詳細は再び説明されない。

結論として、この出願の実施形態において提供されるアラームログ圧縮方法に従って、関連規則が、アラームタイプ間の時間的相関に基づいてマイニングされる。マイニングプロセスにおいては、生成タイムスタンプに基づいて実行された分割を通じて取得された複数の履歴アラームログサブセットにおけるアラームタイプだけがトラバースされる必要があり、そして、次いで、各アラームタイプと複数の履歴アラームログサブセットとの間の対応が決定される。例えば、各アラームタイプの時系列ベクトルが決定された後で、関連規則を生成するために、対応に基づいてアラームタイプについてクラスタリング処理が実行され得る。関連技術と比較して、この出願においては、履歴アラームログが複数回にわたりトラバースされる必要がなく、そして、関連規則のマイニング効率が改善されている。加えて、この出願において、アラームタイプ間の時間的相関に基づいてマイニングされる関連規則の量は、関連技術において頻繁なアイテムセット（frequent itemset）に基づいてマイニングされる関連規則の量よりはるかに少ない。従って、関連規則の正確性を決定するプロセス、および、関連規則における根本原因アラームタイプを決定するプロセスにおいて、時間コストが低減されている。加えて、アラームログの発生時間間隔に基づいてアラームイベントが再構成され、そして、最終的に、アラームタイプが根本原因アラームタイプであるアラームログを示すために使用される目標アラームイベントが、ネットワーク監視エンジニアに対して表示される。このことは、ネットワーク監視エンジニアに対して提示されるアラームログ情報を大幅に削減し、そして、情報の正確性および忠実性を確実にする。

図6は、この出願の一つの実施形態に従った、さらに別のアラームログ圧縮方法のフローチャートである。本方法は、圧縮装置に対して適用されている。圧縮装置は、図1に示される圧縮装置01であってよい。図6に示されるように、本方法は、以下のステップを含み得る。

ステップ501:通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得する。ここで、履歴アラームログセットは、複数の履歴アラームログを含み、そして、各履歴アラームログは、アラームタイプおよび生成タイムスタンプを含んでいる。

このステップの実装プロセスについては、ステップ201を参照のこと。詳細は、ここにおいて再び説明されない。

ステップ502:履歴アラームログセット内の履歴アラームログの生成タイムスタンプに基づいて、履歴アラームログセットを複数の履歴アラームログセットへと分割する。

このステップの実装プロセスについては、ステップ202を参照のこと。詳細は、ここにおいて再び説明されない。

ステップ503:履歴アラームログセット内のアラームタイプと、複数の履歴アラームログサブセットとの間の対応を決定する。

このステップの実装プロセスについては、ステップ203を参照のこと。詳細は、ここにおいて再び説明されない。

ステップ504:少なくとも１つの関連規則を生成するために、対応に基づいて履歴アラームログセット内のアラームタイプについてクラスタリング処理を実行する。ここで、各関連規則は、根本原因アラームタイプ、および、相互に関連付けされた少なくとも１つのマイナーアラームタイプを含んでいる。

このステップの実装プロセスについては、ステップ204を参照のこと。詳細は、ここにおいて再び説明されない。

ステップ505:第２の事前設定された期間において、通信ネットワーク内で第２ネットワークデバイスによって生成された処理される全てのアラームログセットを取得する。ここで、各処理されるアラームログセットは、アラームタイプおよび生成タイムスタンプを含んでいる。

任意的に、第２ネットワークデバイスと第１ネットワークデバイスとは、同じネットワークデバイスであってよく、もしくは、第２ネットワークデバイスと第１ネットワークデバイスとは、同じタイプの異なるネットワークデバイスであってよい。

ステップ506:根本原因アラームタイプのアラームログを含んでいる処理されるアラームログセットを取得するために、少なくとも１つの関連規則に基づいて、全ての処理されるアラームログにおけるマイナーアラームタイプのアラームログをフィルタで除去する。

ステップ507:処理されるアラームログセットに基づいて、少なくとも１つのアラームイベントを生成する。ここで、各アラームイベントは、第２ネットワークデバイスによって生成されるのと同じアラームタイプのアラームログを示すために使用されている。

このステップの実装プロセスについては、ステップ406を参照のこと。詳細は、ここにおいて再び説明されない。

ステップ508:少なくとも１つの目標アラームイベントをネットワーク監視エンジニアに対して表示するために、少なくとも１つの目標アラームイベントを出力する。

全ての処理されるアラームログのマイナーアラームタイプのアラームログは、フィルタで除去されており、そうして、処理されるアラームログの量が大幅に削減され得ることが留意されるべきである。さらに、これに基づいてアラームイベントが再構成され、そうして、アラームイベント再構成プロセスにおける時間コストが削減され、そして、圧縮効率がさらに改善されている。

図7Aは、この出願の一つの実施形態に従った、アラームログ圧縮装置の模式的な構造図である。本装置は、圧縮装置に対して適用されている。図7Aに示されるように、装置60は、以下を含んでいる。
第１取得モジュール601であり、通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得するように構成されており、ここで、履歴アラームログセットは複数の履歴アラームログを含み、そして、各履歴アラームログはアラームタイプおよび生成タイムスタンプを含んでいるもの、
分割モジュール602であり、履歴アラームログセット内の履歴アラームログの生成タイムスタンプに基づいて、履歴アラームログサブセットを複数の履歴アラームログセットへと分割するように構成されており、ここで、各履歴アラームログサブセット内の全ての履歴アラームログは時系列において連続しており、そして、複数の履歴アラームログサブセットの和集合が履歴アラームログセット内の全ての履歴アラームログを含んでいるもの、
決定モジュール603であり、履歴アラームログセット内のアラームタイプと、複数の履歴アラームログサブセットとの間の対応を決定するように構成されているもの、
クラスタリングモジュール604であり、少なくとも１つの関連規則を生成するために、対応に基づいて履歴アラームログセット内のアラームタイプについてクラスタリング処理を実行するように構成されており、ここで、各関連規則は、相互に関連付けられた根本原因アラームタイプおよび少なくとも１つのマイナーアラームタイプを含んでいるもの、および
圧縮モジュール605であり、アラームタイプが根本原因アラームタイプであるアラームログを取得するために、少なくとも１つの関連規則に基づいて複数の処理されるアラームログを圧縮するように構成されているもの、である。

任意的に、図7Bに示されるように、決定モジュール603は、以下を含み得る。
取得サブモジュール6031であり、第１アラームタイプセットを取得するために、履歴アラームログセット内の全てのアラームタイプを取得するように構成されているもの、および
決定サブモジュール6032であり、第１アラームタイプセット内の各アラームタイプの時系列ベクトルを決定するように構成されており、ここで、各時系列ベクトルは、対応するアラームタイプと複数の履歴アラームログサブセットとの間の対応を反映するために使用されているもの、である。

各アラームタイプに対応する時系列ベクトルについて、時系列ベクトル内の値は、複数の履歴アラームログサブセットと1対1に対応しており、時系列ベクトル内の値は、第１値および第２値のうちの少なくとも１つを含み、第１値は、アラームタイプが対応する履歴アラームログサブセット内に存在することを示すために使用され、第２値は、アラームタイプが対応する履歴アラームログサブセット内に存在しないことを示すために使用され、そして、第１値は第２値とは異なっている。

任意的に、決定サブモジュールは、さらに、
第1アラームタイプセット内の各アラームタイプについて時系列ベクトル決定プロシージャを実行する、
ように構成され得る。

時系列ベクトル決定プロシージャは、
複数の履歴アラームログサブセット内にアラームタイプが存在するか否かを逐次的（sequentially）に検出するステップと、
検出結果に基づいて、アラームタイプの時系列ベクトルを決定するステップと、を含む。

対応して、クラスタリングモジュールは、
少なくとも１つの関連規則を生成するために、全てのアラームタイプの時系列ベクトルに基づいて、第１アラームタイプセット内の全てのアラームタイプについてクラスタリング処理するように構成され得る。

さらに、クラスタリングモジュールは、
第１アラームタイプセットについてクラスタリング操作を実行するように構成され得る。ここで、クラスタリング操作は、
目標アラームタイプセットおよび第２アラームタイプセットを設定するステップであり、ここで、目標アラームタイプセットおよび第２アラームタイプセットの両方が空集合である、ステップと、
目標アラームタイプセットに対して第１アラームタイプセット内の任意のアラームタイプを追加し、かつ、第１アラームタイプセットから、目標アラームタイプセットに対して追加したアラームタイプを削除する、ステップと、
第１アラームタイプセットが空集合になるまで決定プロシージャを繰り返し実行し、かつ、目標アラームタイプセットを関連規則として決定する、ステップと、
決定プロシージャを繰り返し実行した後で、第２アラームタイプセットが空集合でない場合には、新たな第１アラームタイプセットとして、第２アラームタイプセットを使用することにより、クラスタリング操作を繰り返して実行する、ステップ、もしくは、
決定プロシージャを繰り返し実行した後で、第２アラームタイプセットが空集合である場合には、クラスタリング操作の実行を停止する、ステップ、を含む。

決定プロシージャは、
処理されるアラームタイプと目標アラームタイプセットとの間の相関を、処理されるアラームタイプの時系列ベクトルおよび目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出するステップであり、ここで、処理されるアラームタイプは、目標アラームタイプセット内のアラームタイプ以外の第１アラームタイプセット内の任意のアラームタイプである、ステップと、
相関が事前設定された相関閾値よりも大きい場合には、更新された目標アラームタイプを取得するために、処理されるアラームタイプを目標アラームタイプセットに対して追加し、かつ、処理されるアラームタイプを第１アラームタイプセットから削除する、ステップ、もしくは、
相関が事前設定された相関閾値を超えない場合には、処理されるアラームタイプを第２アラームタイプセットに対して追加し、かつ、処理されるアラームタイプを第１アラームタイプセットから削除する、ステップ、を含む。

代替的に、クラスタリングモジュールは、さらに、
第１アラームタイプセット内の目標アラームタイプをマーキングし、ここで、目標アラームタイプは、第１アラームタイプセット内の任意のアラームタイプであり、かつ、
第１アラームタイプセットについてクラスタリング操作を実行するように構成されよく、クラスタリング操作は、
第1アラームタイプセット内の全てのアラームタイプがトラバースされるまで、決定プロシージャを繰り返し実行し、
決定プロシージャを繰り返し実行した後で、第１アラームタイプセット内でマークが設定されていないアラームタイプが存在する場合には、マークが設定されていない任意のアラームタイプを、新たな目標アラームタイプとして決定し、新たな目標アラームタイプにマーキングし、かつ、クラスタリング操作を繰り返し実行し、ここで、異なる目標アラームタイプに異なるマークが設定されているか、もしくは、
決定プロシージャを繰り返し実行した後で、第１アラームタイプセット内にマークが設定されていないアラームタイプが存在しない場合には、クラスタリング操作の実行を中止し、かつ、第１アラームタイプセットに基づいて少なくとも１つの関連規則を生成し、ここで、各関連規則の全てのアラームタイプについて同じマークが設定される、
ことを含む。

決定プロシージャは、
目標アラームタイプセットとして、目標アラームタイプと同じマークを有する第１アラームタイプセット内の全てのアラームタイプを含むセットを決定するステップと、
処理されるアラームタイプと目標アラームタイプセットとの間の相関を、処理されるアラームタイプの時系列ベクトルおよび目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて算出するステップであり、ここで、処理されるアラームタイプは、目標アラームタイプセット内のアラームタイプ以外の第１アラームタイプセット内の任意のアラームタイプである、ステップと、
相関が事前設定された相関閾値よりも大きい場合に、処理されるアラームタイプをマーキングするステップであり、ここで、処理されるアラームタイプのマークは、目標アラームタイプのマークと同じである、ステップと、を含む。

任意的に、クラスタリングモジュールは、さらに、
ピアソン相関係数式に従って、処理されるアラームタイプセットと目標アラームタイプセット内の各アラームタイプとの相関を算出するように構成されてよく、ピアソン相関係数式は、

であり、ここで、
Ｃｏｒ（ｉ_ｉ、ｉ_ｊ）は、アラームタイプｉ_ｉとアラームタイプｉ_ｊとの間の相関関係を表し、ｃｏｖ（ν_ｉ、ν_ｊ）は、ν_ｉとν_ｊとの間の共分散（covariance）表し、σ_νｉは、ν_ｉの標準偏差を表し、σ_νｊは、ν_ｊの標準偏差を表し、ν_ｉは、アラームタイプｉ_ｉの時系列ベクトルを表し、かつ、ν_ｊは、アラームタイプｉ_ｊの時系列ベクトルを表しており、かつ、
平均相関計算式に従って、処理されるアラームタイプと目標アラームタイプセット内の各アラームタイプとの相関関係に基づいて、処理されるアラームタイプと前記目標アラームタイプセットとの間の相関関係を算出するように構成されてよく、平均相関計算式は、

であり、ここで、
ＡｖｅＣｏｒ（ｉ_ｊ、Ｒ）は、アラームタイプｉ_ｊと目標アラームタイプセットＲとの間の相関を示し、かつ、｜Ｒ｜は、目標アラームタイプセットＲ内のアラームタイプの数量を示している。

任意的に、第１取得モジュールは、
履歴アラームログセットを取得するために、各履歴アラームログから冗長情報を除去するように、第1事前設定された期間内に第１ネットワークデバイスによって生成された履歴アラームログを事前処理するように構成され得る。

各履歴アラームログは、２タプル（Ｍ、ｔ）で表現されており、Ｍはアラームログ情報を表し、tは生成タイムスタンプを表し、かつ、アラームログ情報は、少なくともアラームタイプフィールドおよび第１ネットワークデバイスの識別子フィールドを含んでいる。

任意的に、履歴アラームログセット内の履歴アラームログは、時間の部分的な順序関係を有し、かつ、分割モジュールは、
履歴アラームログセット内の履歴アラームログの生成タイムスタンプセットを取得し、
生成タイムスタンプセット、事前設定された時間ウィンドウ長、および、スライディングウィンドウ技術を使用することによるウィンドウスライディング段階に基づいて、履歴アラームログを複数の履歴アラームログサブセットへと分類するように構成されてよく、ここで、ウィンドウスライディング段階は、時間ウィンドウ長より大きくない。

任意的に、図7Cに示されるように、装置60は、さらに、
第２取得モジュール606であり、第２の事前設定された期間内に、通信ネットワーク内で第２ネットワークデバイスによって生成された処理されるアラームログセットを取得するように構成されており、ここで、処理されるアラームログセットは、複数の処理されるアラームログを含み、そして、各処理されるアラームログは、アラームタイプおよび生成タイムスタンプを含んでいる、第２取得モジュールと、
生成モジュール607であり、処理されるアラームログセットに基づいて少なくとも１つのアラームイベントを生成するように構成されており、ここで、各アラームイベントは、第２ネットワークデバイスによって生成されるものと同じアラームタイプのアラームログを示すために使用される、生成モジュール、を含む。

任意的に、図7Dに示されるように、生成モジュール607は、
各処理されるアラームログセットについてアラームイベント再構成プロシージャを実行するように構成されている、再構成サブモジュール6071を含み得る。ここで、アラームイベント再構成プロセスは、
取得ユニット71aであり、処理されるアラームログセット内の各アラームタイプについて、処理されるアラームログセット内に存在し、かつ、アラームタイプのものである目標アラームログを取得するように構成されている、取得ユニットと、
計算ユニット71bであり、時系列において隣接する処理されるアラームログセット内の２つの目標アラームログ毎の間の発生時間間隔を個別に計算するように構成されている、計算ユニットと、
再構成ユニット71cであり、同じアラームイベントに属する処理されるアラームログセット内の目標アラームログを、２つの目標アラームログ毎の間の発生時間間隔に基づいて、１つのアラームイベントへと再構成するように構成されている、再構成ユニット、を含み得る。

再構成ユニットは、
指数移動平均法を使用することにより、２つの目標アラームログ間の推定時間間隔を計算し、ここで、２つの目標アラームログは、時系列において隣接する任意の２つの目標アラームログであり、２つの目標アラームログは、第１アラームログおよび第２アラームログを含み、そして、第１アラームログは、第２アラームログの前に生成され、
２つの目標アラームログ間の発生時間間隔および推定時間間隔が、事前設定された条件を満たすか否かを判断し、かつ、
２つの目標アラームログ間の発生時間間隔および推定時間間隔が、事前設定された条件を満たす場合には、第２アラームログが、第１アラームログが属するアラームイベントに属することを決定し、そして、第２アラームログを第１アラームログが属するアラームイベントへと集約し、
２つの目標アラームログ間の発生時間間隔および推定時間間隔が、事前設定された条件を満たさない場合には、第２アラームログが、第１アラームログが属するアラームイベントに属していないことを決定する、ように構成されている。

任意的に、２つの目標アラームログ間の発生時間間隔ｓ_ｋはｓ_ｋ＝ｔ_ｋ－ｔ_ｋ－１であり、推定時間間隔ｓ_ｋ’はｓ_ｋ’＝α＊ｓ_ｋ－１＋（１－α）＊ｓ_ｋ－１’であり、そして、事前設定された条件はｓ_ｋ≦β＊ｓ_ｋ’である。ここで、
ｔ_ｋは第２アラームログの生成時間スタンプであり、ｔ_ｋ－１は第１アラームログの生成時間スタンプであり、０≦α≦１であり、ｋは１より大きい整数であり、βは正の数である。

さらに、再構成ユニットは、
２つの目標アラームログ間の発生時間間隔が、事前設定された最小時間間隔の閾値以下である場合には、第２アラームログが、第１アラームログが属するアラームイベントに属することを決定し、もしくは、
２つの目標アラームログ間の発生時間間隔が、事前設定された最大時間間隔の閾値より大きい場合には、第２アラームログが、第１アラームログが属するアラームイベントに属していないことを決定するように構成され得る。ここで、
ｓ_ｍｉｎ≦β＊ｓ_ｋ’≦ｓ_ｍａｘであり、ｓ_ｍｉｎは最小時間間隔閾値であり、そして、ｓ_ｍａｘは最大時間間隔閾値である。

任意的に、再構成ユニットは、さらに、第1アラームログが属するアラームイベントの再構成を終了し、かつ、新たなアラームイベントを初期化し、そして、
第２アラームログを新たなアラームイベントへと集約するように構成され得る。

任意的に、アラームイベントは、アラームタイプと、アラームイベントにおけるアラームログの開始発生時点、終了発生時点、平均発生時間間隔、および発生回数の量のうちの少なくとも１つと、を含み得る。

任意的に、圧縮モジュールは、
少なくとも１つの目標アラームイベントを取得するために、少なくとも１つの関連規則に基づいて、少なくとも１つのアラームイベントを圧縮するように構成され得る。ここで、各目標アラームイベントは、アラームタイプが根本原因アラームタイプであるアラームログを示すために使用されている。

さらに、図7Eに示されるように、装置60は、さらに、
出力モジュール608であり、少なくとも１つの目標アラームイベントをネットワーク監視エンジニアに対して表示するために、少なくとも１つの目標アラームイベントを出力するように構成されている、出力モジュール、を含み得る。

任意的に、第２ネットワークデバイスと第１ネットワークデバイスとは、同じネットワークデバイスであり、もしくは、第２ネットワークデバイスと第１ネットワークデバイスとは、同じタイプの異なるネットワークデバイスである。

結論として、この出願の実施態様において提供されるアラームログ圧縮装置に従って、関連規則は、アラームタイプ間の時間的相関に基づいてマイニングされる。マイニングプロセスにおいては、生成タイムスタンプに基づいて実行された分割を通じて取得された複数の履歴アラームログサブセット内のアラームタイプだけがトラバースされる必要があり、そして、次いで、各アラームタイプと複数の履歴アラームログサブセットとの間の対応が決定される。例えば、各アラームタイプの時系列ベクトルが決定された後で、関連規則を生成するために、対応に基づいてアラームタイプについてクラスタリング処理が実行され得る。関連技術と比較して、この出願においては、履歴アラームログが複数回にわたりトラバースされる必要はなく、そして、関連規則のマイニング効率が改善されている。さらに、この出願においては、アラームタイプ間の時間的相関に基づいてマイニングされる関連規則の量は、関連技術において頻繁なアイテムセットに基づいてマイニングされる関連規則の量よりもはるかに少ない。従って、関連規則の正確性を決定するプロセス、および、関連規則における根本原因アラームタイプを決定するプロセスにおいて、時間コストが低減されている。加えて、アラームログの発生時間間隔に基づいてアラームイベントが再構成され、そして、最終的に、アラームタイプが根本原因アラームタイプであるアラームログを示すために使用される目標アラームイベントが、ネットワーク監視エンジニアに対して表示される。このことは、ネットワーク監視エンジニアに対して提示されるアラームログ情報を大幅に削減し、そして、情報の正確性および忠実性を確実にする。

この出願の一つの実施形態は、アラームログ圧縮装置を提供する。図8に示されるように、装置07は、メモリ071、プロセッサ072、および、メモリ071に保管されており、かつ、プロセッサ072上で実行され得るコンピュータプログラムを含んでいる。そして、プロセッサ072がコンピュータプログラムを実行すると、この出願の方法の実施形態におけるアラームログ圧縮方法が実施される。

任意的に、装置07は、さらに、通信バス073および通信インターフェイス074を含んでいる。

プロセッサ072は、１つまたはそれ以上の処理コアを含んでいる。プロセッサ072は、コンピュータプログラムおよびユニットを実行し、種々の機能的アプリケーションおよびデータ処理を実施する。

メモリ071は、コンピュータプログラムおよびユニットを保管するように構成され得る。具体的には、メモリは、オペレーティングシステム、および、少なくとも１つの機能のために必要とされるアプリケーションプログラムユニットを保管することができる。オペレーティングシステムは、リアルタイムオペレーティングシステム(Real Time eXecutive、RTX)、LINUX、UNIX、WINDOWS、またはOS Xといった、オペレーティングシステムであってよい。

複数の通信インターフェイス074が存在してよく、そして、通信インターフェイス074は、別の記憶装置またはネットワークデバイスと通信するように構成されている。例えば、この出願のこの実施形態において、通信インターフェイス074は、通信ネットワーク内でネットワークデバイスによって送信されるアラームログを受信するように構成され得る。

メモリ071および通信インターフェイス074は、通信ケーブル073を使用して、プロセッサ072に対して別々に接続されている。

この出願の一つの実施形態は、コンピュータで読取り可能な記憶媒体を提供する。コンピュータで読取り可能な記憶媒体は、命令を保管し、そして、プロセッサによって命令が実行されると、この出願の方法の実施形態におけるアラームログ圧縮方法が実施される。

当業者であれば、実施形態に係るステップの全部または一部が、関連するハードウェアを指示するハードウェアまたはプログラムによって実施され得ることを理解するだろう。プログラムは、コンピュータで読取り可能な記憶媒体において保管され得る。記憶媒体は、読み出し専用メモリ、磁気ディスク、光ディスク、等であってよい。

上述の説明は、この出願の単なる任意の実施態様であるが、この出願を限定するように意図されたものではない。この出願の精神および原理から逸脱することなく行われる、いかなる修正、均等物の代替、または改良も、この出願の保護範囲に含まれるべきである。

Claims (39)

1. アラームログ圧縮方法であって、前記方法は、
   通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得するステップであり、前記履歴アラームログセットは、複数の履歴アラームログを含み、かつ、各履歴アラームログは、アラームタイプおよび生成タイムスタンプを含む、ステップと、
   前記履歴アラームログセットを、前記履歴アラームログセット内の履歴アラームログの生成タイムスタンプに基づいて、複数の履歴アラームログサブセットへと分割するステップであり、各履歴アラームログサブセット内の全ての履歴アラームログは、時系列において連続しており、かつ、前記複数の履歴アラームログサブセットの和集合は、前記履歴アラームログセット内の全ての履歴アラームログを含む、ステップと、
   前記履歴アラームログセット内のアラームタイプと、前記複数の履歴アラームログサブセットとの間の対応を決定するステップと、
   少なくとも１つの関連規則を生成するために、前記対応に基づいて、履歴アラームログセット内の前記アラームタイプについてクラスタリング処理を実行するステップであり、各関連規則は、相互に関連付けられた根本原因アラームタイプおよび少なくとも１つのマイナーアラームタイプを含み、かつ、前記少なくとも１つの関連規則は、アラームタイプが前記根本原因アラームタイプであるアラームログを取得するように、アラームログを圧縮するために使用される、ステップと、
   を含む、方法。
2. 前記履歴アラームログセット内のアラームタイプと、前記複数の履歴アラームログサブセットとの間の対応を決定する前記ステップは、
   第１アラームタイプセットを取得するために、前記履歴アラームログセット内の全てのアラームタイプを取得するステップと、
   前記第１アラームタイプセットにおける各アラームタイプの時系列ベクトルを決定するステップであり、各時系列ベクトルは、対応するアラームタイプと前記複数の履歴アラームログサブセットとの間の対応を反映するために使用される、ステップと、を含み、
   各アラームタイプに対応する前記時系列ベクトルについて、
   前記時系列ベクトル内の値は、前記複数の履歴アラームログサブセットと1対1に対応しており、
   前記時系列ベクトル内の値は、第１値および第２値のうちの少なくとも１つを含み、
   前記第１値は、対応する履歴アラームログサブセット内に前記アラームタイプが存在することを示すために使用され、
   前記第２値は、対応する履歴アラームログサブセット内に前記アラームタイプが存在しないことを示すために使用され、かつ、
   前記第１値は、前記第２値とは異なっている、
   請求項１に記載の方法。
3. 前記第１アラームタイプセットにおける各アラームタイプの時系列ベクトルを決定する前記ステップは、
   前記第１アラームタイプセットにおける各アラームタイプについて、時系列ベクトル決定プロシージャを実行するステップ、を含み、
   前記時系列ベクトル決定プロシージャは、
   前記アラームタイプが、前記複数の履歴アラームログサブセット内に存在するか否か順次に検出するステップと、
   検出結果に基づいて、前記アラームタイプの前記時系列ベクトルを決定するステップと、
   を含む、
   請求項２に記載の方法。
4. 少なくとも１つの関連規則を生成するために、前記対応に基づいて、履歴アラームログセット内の前記アラームタイプについてクラスタリング処理を実行する前記ステップは、
   前記少なくとも１つの関連規則を生成するために、全てのアラームタイプの前記時系列ベクトルに基づいて、前記第１アラームタイプセット内の全てのアラームタイプについてクラスタリング処理を実行するステップ、
   を含む、請求項２または３に記載の方法。
5. 前記少なくとも１つの関連規則を生成するために、全てのアラームタイプの前記時系列ベクトルに基づいて、前記第１アラームタイプセット内の全てのアラームタイプについてクラスタリング処理を実行する前記ステップは、
   前記第１アラームタイプセットについてクラスタリング操作を実行するステップ、を含み、前記クラスタリング操作は、
   目標アラームタイプセットおよび第２アラームタイプセットを設定するステップであり、前記目標アラームタイプセットおよび前記第２アラームタイプセットの両方が空集合である、ステップと、
   前記目標アラームタイプセットに対して前記第１アラームタイプセット内の任意のアラームタイプを追加し、かつ、第１アラームタイプセットから、前記目標アラームタイプセットに対して追加した前記アラームタイプを削除する、ステップと、
   前記第１アラームタイプセットが空集合になるまで決定プロシージャを繰り返し実行し、かつ、前記目標アラームタイプセットを関連規則として決定する、ステップと、
   決定プロシージャを繰り返し実行した後で、前記第２アラームタイプセットが空集合でない場合には、新たな第１アラームタイプセットとして、前記第２アラームタイプセットを使用することにより、クラスタリング操作を繰り返して実行する、ステップ、もしくは、
   決定プロシージャを繰り返し実行した後で、前記第２アラームタイプセットが空集合である場合には、前記クラスタリング操作の実行を停止する、ステップ、
   を含み、かつ、
   前記決定プロシージャは、
   処理されるアラームタイプと処理される前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出するステップであり、前記処理されるアラームタイプは、前記目標アラームタイプセット内のアラームタイプ以外の前記第１アラームタイプセット内の任意のアラームタイプである、ステップと、
   前記相関が事前設定された相関閾値よりも大きい場合には、更新された目標アラームタイプを取得するために、前記処理されるアラームタイプを前記目標アラームタイプセットに対して追加し、かつ、前記処理されるアラームタイプを前記第１アラームタイプセットから削除する、ステップ、もしくは、
   前記相関が前記事前設定された相関閾値を超えない場合には、前記処理されるアラームタイプを前記第２アラームタイプセットに対して追加し、かつ、前記処理されるアラームタイプを前記第１アラームタイプセットから削除する、ステップ、
   を含む、
   請求項４に記載の方法。
6. 前記少なくとも１つの関連規則を生成するために、全てのアラームタイプの前記時系列ベクトルに基づいて、前記第１アラームタイプセット内の全てのアラームタイプについてクラスタリング処理を実行する前記ステップは、
   前記第１アラームタイプセット内の目標アラームタイプをマーキングするステップであり、前記目標アラームタイプは、前記第１アラームタイプセット内の任意のアラームタイプである、ステップと、
   前記第１アラームタイプセットについてクラスタリング操作を実行するステップと、を含み、前記クラスタリング操作は、
   前記第1アラームタイプセット内の全てのアラームタイプがトラバースされるまで、決定プロシージャを繰り返し実行するステップと、
   決定プロシージャを繰り返し実行した後で、前記第１アラームタイプセット内でマークが設定されていないアラームタイプが存在する場合には、マークが設定されていない任意のアラームタイプを、新たな目標アラームタイプとして決定し、前記新たな目標アラームタイプにマーキングし、かつ、クラスタリング操作を繰り返し実行するステップであり、異なる目標アラームタイプに異なるマークが設定されている、ステップ、もしくは、
   決定プロシージャを繰り返し実行した後で、前記第１アラームタイプセット内にマークが設定されていないアラームタイプが存在しない場合には、クラスタリング操作の実行を中止し、かつ、前記第１アラームタイプセットに基づいて少なくとも１つの関連規則を生成するステップであり、各関連規則の全てのアラームタイプについて同じマークが設定される、ステップ、
   を含み、かつ、
   前記決定プロシージャは、
   目標アラームタイプセットとして、目標アラームタイプと同じマークを有する第１アラームタイプセット内の全てのアラームタイプを含むセットを決定するステップと、
   処理されるアラームタイプと前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出するステップであり、前記処理されるアラームタイプは、前記目標アラームタイプセット内のアラームタイプ以外の第１アラームタイプセット内の任意のアラームタイプである、ステップと、
   前記相関が事前設定された相関閾値よりも大きい場合に、前記処理されるアラームタイプをマーキングするステップであり、前記処理されるアラームタイプのマークは、前記目標アラームタイプのマークと同じである、ステップと、
   を含む、
   請求項４に記載の方法。
7. 処理されるアラームタイプと前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出する前記ステップは、
   ピアソン相関係数式に従って、前記処理されるアラームタイプセットと前記目標アラームタイプセット内の各アラームタイプとの相関を算出するステップであり、前記ピアソン相関係数式は、
   

   

   であり、ここで、
   Ｃｏｒ（ｉ_ｉ、ｉ_ｊ）は、アラームタイプｉ_ｉとアラームタイプｉ_ｊとの間の相関関係を表し、
   ｃｏｖ（ν_ｉ、ν_ｊ）は、ν_ｉとν_ｊとの間の共分散（covariance）表し、
   σ_νｉは、ν_ｉの標準偏差を表し、
   σ_νｊは、ν_ｊの標準偏差を表し、
   ν_ｉは、アラームタイプｉ_ｉの時系列ベクトルを表し、かつ、
   ν_ｊは、アラームタイプｉ_ｊの時系列ベクトルを表している、
   ステップと、
   平均相関計算式に従って、前記処理されるアラームタイプと前記目標アラームタイプセット内の各アラームタイプとの相関関係に基づいて、前記処理されるアラームタイプと前記目標アラームタイプセットとの間の相関関係を算出するステップであり、前記平均相関計算式は、
   

   

   であり、ここで、
   ＡｖｅＣｏｒ（ｉ_ｊ、Ｒ）は、アラームタイプｉ_ｊと目標アラームタイプセットＲとの間の相関を示し、かつ、
   ｜Ｒ｜は、目標アラームタイプセットＲ内のアラームタイプの数量を示している、
   ステップと、
   を含む、請求項５または６に記載の方法。
8. 通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得する前記ステップは、
   前記履歴アラームログセットを取得するために、各履歴アラームログから冗長情報を除去するように、第1事前設定された期間内に第１ネットワークデバイスによって生成された履歴アラームログを事前処理するステップ、を含む、
   請求項１乃至７いずれか一項に記載の方法。
9. 各履歴アラームログは、2タプル（Ｍ、ｔ）で表現されており、
   Ｍは、アラームログ情報を表し、
   tは、生成タイムスタンプを表し、かつ、
   前記アラームログ情報は、少なくともアラームタイプフィールドおよび前記第１ネットワークデバイスの識別子フィールドを含んでいる、
   請求項１乃至８いずれか一項に記載の方法。
10. 前記履歴アラームログセット内の前記履歴アラームログは、時間の部分的な順序関係を有し、かつ、
    前記履歴アラームログセットを、前記履歴アラームログセット内の履歴アラームログの生成タイムスタンプに基づいて、複数の履歴アラームログサブセットへと分割する前記ステップは、
    前記履歴アラームログセット内の前記履歴アラームログの生成タイムスタンプセットを取得するステップと、
    前記生成タイムスタンプセット、事前設定された時間ウィンドウ長、および、スライディングウィンドウ技術を使用することによるウィンドウスライディング段階に基づいて、前記履歴アラームログを前記複数の履歴アラームログサブセットへと分類するステップであり、前記ウィンドウスライディング段階は、時間ウィンドウ長より大きくない、ステップと、
    を含む、請求項１乃至９いずれか一項に記載の方法。
11. 前記方法は、さらに、
    アラームタイプが前記根本原因アラームタイプであるアラームログを取得するために、前記少なくとも１つの関連規則に基づいて複数の処理されるアラームログを圧縮するステップ、を含む、
    請求項１乃至１０いずれか一項に記載の方法。
12. 前記方法は、さらに、前記複数の処理されるアラームログを圧縮する前記ステップの前に、
    第２の事前設定された期間内に、前記通信ネットワーク内で第２ネットワークデバイスによって生成された処理されるアラームログセットを取得するステップであり、前記処理されるアラームログセットは、前記複数の処理されるアラームログを含み、かつ、各処理されるアラームログは、アラームタイプおよび生成タイムスタンプを含む、ステップと、
    前記処理されるアラームログセットに基づいて少なくとも１つのアラームイベントを生成するステップであり、各アラームイベントは、前記第２ネットワークデバイスによって生成されるものと同じアラームタイプのアラームログを示すために使用される、ステップと、
    を含み、
    前記複数の処理されるアラームログを圧縮する前記ステップは、
    少なくとも１つの目標アラームイベントを取得するために、前記少なくとも１つの関連規則に基づいて、前記少なくとも１つのアラームイベントを圧縮するステップであり、各目標アラームイベントは、アラームタイプが前記根本原因アラームタイプであるアラームログを示すために使用される、ステップ、を含む、
    請求項１１に記載の方法。
13. 前記処理されるアラームログセットに基づいて少なくとも１つのアラームイベントを生成する前記ステップは、
    前記処理されるアラームログセットの各アラームタイプについて、前記処理されるアラームログセット内に存在し、かつ、前記アラームタイプのものである目標アラームログを取得するステップと、
    時系列において隣接する前記処理されるアラームログセット内の２つの目標アラームログ毎の間の発生時間間隔を個別に計算するステップと、
    同じアラームイベントに属する前記処理されるアラームログセット内の目標アラームログを、２つの目標アラームログ毎の間の前記発生時間間隔に基づいて、１つのアラームイベントへと再構成するステップ、
    を含む、請求項１２に記載の方法。
14. 同じアラームイベントに属する前記処理されるアラームログセット内の目標アラームログを、２つの目標アラームログ毎の間の前記発生時間間隔に基づいて、１つのアラームイベントへと再構成する前記ステップは、
    指数移動平均法を使用することにより、２つの目標アラームログ間の推定時間間隔を計算するステップであり、前記２つの目標アラームログは、時系列において隣接する任意の２つの目標アラームログであり、前記２つの目標アラームログは、第１アラームログおよび第２アラームログを含み、かつ、前記第１アラームログは、前記第２アラームログの前に生成される、ステップと、
    前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たすか否かを判断するステップと、
    前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たす場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属することを決定し、かつ、前記第２アラームログを前記第１アラームログが属するアラームイベントへと集約するステップ、もしくは、
    前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たさない場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属していないことを決定するステップ、
    を含む、請求項１３に記載の方法。
15. 前記２つの目標アラームログ間の前記発生時間間隔ｓ_ｋは、ｓ_ｋ＝ｔ_ｋ－ｔ_ｋ－１であり、
    前記推定時間間隔ｓ_ｋ’は、ｓ_ｋ’＝α＊ｓ_ｋ－１＋（１－α）＊ｓ_ｋ－１’であり、かつ、
    前記事前設定された条件は、ｓ_ｋ≦β＊ｓ_ｋ’であって、ここで、
    ｔ_ｋは前記第２アラームログの生成時間スタンプであり、ｔ_ｋ－１は前記第１アラームログの生成時間スタンプであり、０≦α≦１であり、ｋは１より大きい整数であり、かつ、βは正の数である、
    請求項１４に記載の方法。
16. 前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たすか否かを判断する前記ステップの前に、前記方法は、さらに、
    前記２つの目標アラームログ間の前記発生時間間隔が、事前設定された最小時間間隔の閾値以下である場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属することを決定するステップ、もしくは、
    前記２つの目標アラームログ間の前記発生時間間隔が、事前設定された最大時間間隔の閾値より大きい場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属していないことを決定するステップ、
    を含み、ここで、
    ｓ_ｍｉｎ≦β＊ｓ_ｋ’≦ｓ_ｍａｘであり、ｓ_ｍｉｎは最小時間間隔閾値であり、かつ、ｓ_ｍａｘは最大時間間隔閾値である、
    請求項１５に記載の方法。
17. 前記第２アラームログが、前記第１アラームログが属するアラームイベントに属していないことを決定する前記ステップの後で、前記方法は、さらに、
    前記第1アラームログが属するアラームイベントの再構成を終了し、かつ、新たなアラームイベントを初期化するステップと、
    前記第２アラームログを前記新たなアラームイベントへと集約するステップと、
    を含む、請求項１４乃至１６いずれか一項に記載の方法。
18. 前記アラームイベントは、前記アラームタイプと、前記アラームイベントにおける前記アラームログの開始発生時点、終了発生時点、平均発生時間間隔、および発生回数の量のうちの少なくとも１つと、を含む、
    請求項１２乃至１７いずれか一項に記載の方法。
19. 少なくとも１つの目標アラームイベントを取得するために、前記少なくとも１つのアラームイベントを圧縮する前記ステップの後で、前記方法は、さらに、
    前記少なくとも１つの目標アラームイベントを出力するステップ、
    を含む、請求項１２乃至１８いずれか一項に記載の方法。
20. 前記第２ネットワークデバイスと前記第１ネットワークデバイスとは、同じネットワークデバイスであり、もしくは、
    前記第２ネットワークデバイスと前記第１ネットワークデバイスとは、同じタイプの異なるネットワークデバイスである、
    請求項１２乃至１９いずれか一項に記載の方法。
21. アラームログ圧縮装置であって、前記装置は、
    第1取得モジュールであり、通信ネットワーク内で第１ネットワークデバイスによって生成された履歴アラームログセットを取得するように構成されており、前記履歴アラームログセットは、複数の履歴アラームログを含み、かつ、各履歴アラームログは、アラームタイプおよび生成タイムスタンプを含む、第1取得モジュールと、
    分割モジュールであり、前記履歴アラームログセットを、前記履歴アラームログセット内の履歴アラームログの生成タイムスタンプに基づいて、複数の履歴アラームログサブセットへと分割するように構成されており、各履歴アラームログサブセット内の全ての履歴アラームログは、時系列において連続しており、かつ、前記複数の履歴アラームログサブセットの和集合は、前記履歴アラームログセット内の全ての履歴アラームログを含む、分割モジュールと、
    決定モジュールであり、前記履歴アラームログセット内のアラームタイプと、前記複数の履歴アラームログサブセットとの間の対応を決定するように構成されている、決定モジュールと、
    クラスタリングモジュールであり、少なくとも１つの関連規則を生成するために、前記対応に基づいて、履歴アラームログセット内の前記アラームタイプについてクラスタリング処理を実行するように構成されており、各関連規則は、相互に関連付けられた根本原因アラームタイプおよび少なくとも１つのマイナーアラームタイプを含み、かつ、前記少なくとも１つの関連規則は、アラームタイプが前記根本原因アラームタイプであるアラームログを取得するために、処理されるアラームログを圧縮するために使用される、クラスタリングモジュールと、
    を含む、装置。
22. 前記決定モジュールは、
    取得サブモジュールであり、第１アラームタイプセットを取得するために、前記履歴アラームログセット内の全てのアラームタイプを取得するように構成されている、取得サブモジュールと、
    決定サブモジュールであり、前記第１アラームタイプセットにおける各アラームタイプの時系列ベクトルを決定するように構成されており、各時系列ベクトルは、対応するアラームタイプと前記複数の履歴アラームログサブセットとの間の対応を反映するために使用される、決定サブモジュールと、を含み、
    各アラームタイプに対応する前記時系列ベクトルについて、
    前記時系列ベクトル内の値は、前記複数の履歴アラームログサブセットと1対1に対応しており、
    前記時系列ベクトル内の値は、第１値および第２値のうちの少なくとも１つを含み、
    前記第１値は、対応する履歴アラームログサブセット内に前記アラームタイプが存在することを示すために使用され、
    前記第２値は、対応する履歴アラームログサブセット内に前記アラームタイプが存在しないことを示すために使用され、かつ、
    前記第１値は、前記第２値とは異なっている、
    請求項２１に記載の装置。
23. 前記決定サブモジュールは、
    前記第１アラームタイプセットにおける各アラームタイプについて、時系列ベクトル決定プロシージャを実行するように構成されており、
    前記時系列ベクトル決定プロシージャは、
    前記アラームタイプが、前記複数の履歴アラームログサブセット内に存在するか否か順次に検出するステップと、
    検出結果に基づいて、前記アラームタイプの前記時系列ベクトルを決定するステップと、
    を含む、
    請求項２２に記載の装置。
24. 前記クラスタリングモジュールは、
    前記少なくとも１つの関連規則を生成するために、全てのアラームタイプの前記時系列ベクトルに基づいて、前記第１アラームタイプセット内の全てのアラームタイプについてクラスタリング処理を実行するように構成されている、
    請求項２２または２３に記載の装置。
25. 前記クラスタリングモジュールは、さらに、
    前記第１アラームタイプセットについてクラスタリング操作を実行するように構成されており、前記クラスタリング操作は、
    目標アラームタイプセットおよび第２アラームタイプセットを設定するステップであり、前記目標アラームタイプセットおよび前記第２アラームタイプセットの両方が空集合である、ステップと、
    前記目標アラームタイプセットに対して前記第１アラームタイプセット内の任意のアラームタイプを追加し、かつ、第１アラームタイプセットから、前記目標アラームタイプセットに対して追加した前記アラームタイプを削除する、ステップと、
    前記第１アラームタイプセットが空集合になるまで決定プロシージャを繰り返し実行し、かつ、前記目標アラームタイプセットを関連規則として決定する、ステップと、
    決定プロシージャを繰り返し実行した後で、前記第２アラームタイプセットが空集合でない場合には、新たな第１アラームタイプセットとして、前記第２アラームタイプセットを使用することにより、クラスタリング操作を繰り返して実行する、ステップ、もしくは、
    決定プロシージャを繰り返し実行した後で、前記第２アラームタイプセットが空集合である場合には、前記クラスタリング操作の実行を停止する、ステップ、
    を含み、かつ、
    前記決定プロシージャは、
    処理されるアラームタイプと処理される前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出するステップであり、前記処理されるアラームタイプは、前記目標アラームタイプセット内のアラームタイプ以外の前記第１アラームタイプセット内の任意のアラームタイプである、ステップと、
    前記相関が事前設定された相関閾値よりも大きい場合には、更新された目標アラームタイプを取得するために、前記処理されるアラームタイプを前記目標アラームタイプセットに対して追加し、かつ、前記処理されるアラームタイプを前記第１アラームタイプセットから削除する、ステップ、もしくは、
    前記相関が前記事前設定された相関閾値を超えない場合には、前記処理されるアラームタイプを前記第２アラームタイプセットに対して追加し、かつ、前記処理されるアラームタイプを前記第１アラームタイプセットから削除する、ステップ、
    を含む、
    請求項２４に記載の装置。
26. 前記クラスタリングモジュールは、さらに、
    前記第１アラームタイプセット内の目標アラームタイプをマーキングし、前記目標アラームタイプは、前記第１アラームタイプセット内の任意のアラームタイプであり、かつ、
    前記第１アラームタイプセットについてクラスタリング操作を実行する、ように構成されており、
    前記クラスタリング操作は、
    前記第1アラームタイプセット内の全てのアラームタイプがトラバースされるまで、決定プロシージャを繰り返し実行するステップと、
    決定プロシージャを繰り返し実行した後で、前記第１アラームタイプセット内でマークが設定されていないアラームタイプが存在する場合には、マークが設定されていない任意のアラームタイプを、新たな目標アラームタイプとして決定し、前記新たな目標アラームタイプにマーキングし、かつ、クラスタリング操作を繰り返し実行するステップであり、異なる目標アラームタイプに異なるマークが設定されている、ステップ、もしくは、
    決定プロシージャを繰り返し実行した後で、前記第１アラームタイプセット内にマークが設定されていないアラームタイプが存在しない場合には、クラスタリング操作の実行を中止し、かつ、前記第１アラームタイプセットに基づいて少なくとも１つの関連規則を生成するステップであり、各関連規則の全てのアラームタイプについて同じマークが設定される、ステップ、
    を含み、かつ、
    前記決定プロシージャは、
    目標アラームタイプセットとして、目標アラームタイプと同じマークを有する第１アラームタイプセット内の全てのアラームタイプを含むセットを決定するステップと、
    処理されるアラームタイプと前記目標アラームタイプセットとの間の相関を、前記処理されるアラームタイプの時系列ベクトルおよび前記目標アラームタイプセット内の全てのアラームタイプの時系列ベクトルに基づいて、算出するステップであり、前記処理されるアラームタイプは、前記目標アラームタイプセット内のアラームタイプ以外の第１アラームタイプセット内の任意のアラームタイプである、ステップと、
    前記相関が事前設定された相関閾値よりも大きい場合に、前記処理されるアラームタイプをマーキングするステップであり、前記処理されるアラームタイプのマークは、前記目標アラームタイプのマークと同じである、ステップと、
    を含む、
    請求項２４に記載の装置。
27. 前記クラスタリングモジュールは、さらに、
    ピアソン相関係数式に従って、前記処理されるアラームタイプセットと前記目標アラームタイプセット内の各アラームタイプとの相関を算出するように構成されており、前記ピアソン相関係数式は、
    

    

    であり、ここで、
    Ｃｏｒ（ｉ_ｉ、ｉ_ｊ）は、アラームタイプｉ_ｉとアラームタイプｉ_ｊとの間の相関関係を表し、
    ｃｏｖ（ν_ｉ、ν_ｊ）は、ν_ｉとν_ｊとの間の共分散（covariance）表し、
    σ_νｉは、ν_ｉの標準偏差を表し、
    σ_νｊは、ν_ｊの標準偏差を表し、
    ν_ｉは、アラームタイプｉ_ｉの時系列ベクトルを表し、
    ν_ｊは、アラームタイプｉ_ｊの時系列ベクトルを表しており、かつ、
    平均相関計算式に従って、前記処理されるアラームタイプと前記目標アラームタイプセット内の各アラームタイプとの相関関係に基づいて、前記処理されるアラームタイプと前記目標アラームタイプセットとの間の相関関係を算出するように構成されており、前記平均相関計算式は、
    

    

    であり、ここで、
    ＡｖｅＣｏｒ（ｉ_ｊ、Ｒ）は、アラームタイプｉ_ｊと目標アラームタイプセットＲとの間の相関を示し、かつ、
    ｜Ｒ｜は、目標アラームタイプセットＲ内のアラームタイプの数量を示している、
    請求項２５または２６に記載の装置。
28. 前記第1取得モジュールは、
    前記履歴アラームログセットを取得するために、各履歴アラームログから冗長情報を除去するために、第1事前設定された期間内に第１ネットワークデバイスによって生成された履歴アラームログを事前処理するように構成されている、
    請求項２１乃至２７いずれか一項に記載の装置。
29. 各履歴アラームログは、2タプル（Ｍ、ｔ）で表現されており、
    Ｍは、アラームログ情報を表し、
    tは、生成タイムスタンプを表し、かつ、
    前記アラームログ情報は、少なくともアラームタイプフィールドおよび前記第１ネットワークデバイスの識別子フィールドを含んでいる、
    請求項２１乃至２８いずれか一項に記載の装置。
30. 前記履歴アラームログセット内の前記履歴アラームログは、時間の部分的な順序関係を有し、かつ、
    前記分割モジュールは、
    前記履歴アラームログセット内の前記履歴アラームログの生成タイムスタンプセットを取得し、かつ、
    前記生成タイムスタンプセット、事前設定された時間ウィンドウ長、および、ウィンドウスライディング段階に基づいて、前記履歴アラームログを前記複数の履歴アラームログサブセットへと分類する、ように構成されており、
    前記ウィンドウスライディング段階は、時間ウィンドウ長より大きくない、
    請求項２１乃至２９いずれか一項に記載の装置。
31. 前記装置は、さらに、
    アラームタイプが前記根本原因アラームタイプであるアラームログを取得するために、前記少なくとも１つの関連規則に基づいて、複数の処理されるアラームログを圧縮するように構成されている、圧縮モジュール、を含む、
    請求項２１乃至３０いずれか一項に記載の装置。
32. 前記装置は、さらに、
    第２取得モジュールであり、第２の事前設定された期間内に、前記通信ネットワーク内で第２ネットワークデバイスによって生成された処理されるアラームログセットを取得するように構成されており、前記処理されるアラームログセットは、前記複数の処理されるアラームログを含み、かつ、各処理されるアラームログは、アラームタイプおよび生成タイムスタンプを含む、第２取得モジュールと、
    生成モジュールであり、前記処理されるアラームログセットに基づいて少なくとも１つのアラームイベントを生成するように構成されており、各アラームイベントは、前記第２ネットワークデバイスによって生成されるものと同じアラームタイプのアラームログを示すために使用される、生成モジュールと、
    を含み、
    前記圧縮モジュールは、
    少なくとも１つの目標アラームイベントを取得するために、前記少なくとも１つの関連規則に基づいて、前記少なくとも１つのアラームイベントを圧縮するように構成されており、各目標アラームイベントは、アラームタイプが前記根本原因アラームタイプであるアラームログを示すために使用される、
    請求項３１に記載の装置。
33. 前記生成モジュールは、
    各処理されるアラームログセットについて、アラームイベント再構成プロシージャを実行するように構成されている、再構成サブモジュールを含み、
    前記アラームイベント再構成プロシージャは、
    取得ユニットであり、前記処理されるアラームログセットの各アラームタイプについて、前記処理されるアラームログセット内に存在し、かつ、前記アラームタイプのものである目標アラームログを取得するように構成されている、取得ユニットと、
    計算ユニットであり、時系列において隣接する前記処理されるアラームログセット内の２つの目標アラームログ毎の間の発生時間間隔を個別に計算するように構成されている、計算ユニットと、
    再構成ユニットであり、同じアラームイベントに属する前記処理されるアラームログセット内の目標アラームログを、２つの目標アラームログ毎の間の前記発生時間間隔に基づいて、１つのアラームイベントへと再構成するように構成されている、再構成ユニットと、を含む、
    請求項３２に記載の装置。
34. 前記再構成ユニットは、
    指数移動平均法を使用することにより、２つの目標アラームログ間の推定時間間隔を計算し、前記２つの目標アラームログは、時系列において隣接する任意の２つの目標アラームログであり、前記２つの目標アラームログは、第１アラームログおよび第２アラームログを含み、かつ、前記第１アラームログは、前記第２アラームログの前に生成され、
    前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たすか否かを判断し、かつ、
    前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たす場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属することを決定し、かつ、前記第２アラームログを前記第１アラームログが属するアラームイベントへと集約し、もしくは、
    前記２つの目標アラームログ間の前記発生時間間隔および前記推定時間間隔が、事前設定された条件を満たさない場合には、前記第２アラームログが、前記第１アラームログが属するアラームイベントに属していないことを決定する、
    ように構成されている、請求項３３に記載の装置。
35. 前記再構成ユニットは、さらに、
    前記第1アラームログが属するアラームイベントの再構成を終了して、新たなアラームイベントを初期化し、かつ、
    前記第２アラームログを前記新たなアラームイベントへと集約する、
    ように構成されている、請求項３４に記載の装置。
36. 前記アラームイベントは、前記アラームタイプと、前記アラームイベントにおける前記アラームログの開始発生時点、終了発生時点、平均発生時間間隔、および発生回数の量のうちの少なくとも１つと、を含む、
    請求項３２乃至３５いずれか一項に記載の装置。
37. 前記装置は、さらに、
    出力モジュールであり、前記少なくとも１つの目標アラームイベントを出力するように構成されている、出力モジュール、
    を含む、請求項３２乃至３６いずれか一項に記載の装置。
38. 前記第２ネットワークデバイスと前記第１ネットワークデバイスとは、同じネットワークデバイスであり、もしくは、
    前記第２ネットワークデバイスと前記第１ネットワークデバイスとは、同じタイプの異なるネットワークデバイスである、
    請求項３２乃至３７いずれか一項に記載の装置。
39. コンピュータで読取り可能な記憶媒体であって、
    前記コンピュータで読取り可能な記憶媒体は、命令を保管しており、かつ、
    前記命令がプロセッサによって実行されると、請求項１乃至２０いずれか一項に記載の方法が実施される、
    コンピュータで読取り可能な記憶媒体。
    

Images