JP7347547B2 - イベント分析支援装置、イベント分析支援方法、及びプログラム - Google Patents

Description

本発明は、イベントを分析するイベント分析支援装置、イベント分析支援方法に関し、更には、これらを実現するためのプログラムに関する。

インフラ、プラント、ビルなどに用いられる制御システムへの攻撃を防止するために、制御システムのネットワークを流れるパケット（例えば、制御コマンド、プロセス値、コントロール値などを含むパケット）を監視し、不正な制御手順を検知する技術が開示されている。

関連する技術として特許文献１には、監視対象システムで発生したイベントを予測モデルに入力して、監視対象システムの異常発生に対応したイベントを分析するイベント分析システムが開示されている。特許文献１の分析システムによれば、イベント系列を予測し、予測に反して発生したイベントを検知し、検知したイベントを含むイベント系列を辿って、異常なイベントまで遡るシステムである。

特許第６２８０８６２号

しかしながら、特許文献１のイベント分析システムでは、制御システムのネットワークにノイズイベントが流れていることを想定していないため、ノイズイベントが混在する制御システムでは異常なイベントを検知できない。

本発明の目的の一例は、イベント系列にノイズイベントが混在していても、イベント分析を精度よく行うイベント分析支援装置、イベント分析支援方法、及びプログラムを提供することにある。

上記目的を達成するため、本発明の一側面におけるイベント分析支援装置は、
システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力する、所属度出力部と、
新たに発生したイベントのイベント情報と、前記イベント種別ごとに既に生成されている前記イベント間の特徴を表す特徴情報とを用いて、前記イベント種別ごとに特徴候補情報を出力する、特徴候補情報出力部と、
前記特徴情報と前記特徴候補情報と前記所属度とを用いて、前記イベント種別ごとに新たな特徴情報に出力する、特徴情報出力部と、
を有することを特徴とする。

また、上記目的を達成するため、本発明の一側面におけるイベント分析支援方法は、
システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力する、所属度出力ステップと、
新たに発生したイベントのイベント情報と、前記イベント種別ごとに既に生成されている前記イベント間の特徴を表す特徴情報とを用いて、前記イベント種別ごとに特徴候補情報を出力する、特徴候補情報出力ステップと、
前記特徴情報と前記特徴候補情報と前記所属度とを用いて、前記イベント種別ごとに新たな特徴情報に出力する、特徴情報出力ステップと、
を有することを特徴とする。

さらに、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力する、所属度出力ステップと、
新たに発生したイベントのイベント情報と、前記イベント種別ごとに既に生成されている前記イベント間の特徴を表す特徴情報とを用いて、前記イベント種別ごとに特徴候補情報を出力する、特徴候補情報出力ステップと、
前記特徴情報と前記特徴候補情報と前記所属度とを用いて、前記イベント種別ごとに新たな特徴情報に出力する、特徴情報出力ステップと、
を実行させることを特徴とする。

以上のように本発明によれば、イベント系列にノイズイベントが混在していても、イベント分析を精度よく行うことができる。

図１は、イベント分析支援装置の一例を説明するための図である。 図２は、イベント分析支援装置の運用時の一例を説明するための図である。 図３は、イベント分析支援装置の学習時の一例を説明するための図である。 図４は、排水制御システムの一例を説明するための図である。 図５は、排水制御システムのイベントの一例を説明するための図である。 図６は、イベント系列の一例を説明するための図である。 図７は、特徴候補情報の一例を説明するための図である。 図８は、特徴情報の一例を説明するための図である。 図９は、運用時のイベント分析支援装置の動作の一例を説明するための図である。 図１０は、学習時のイベント分析支援装置の動作の一例を説明するための図である。 図１１は、イベント分析支援装置を実現するコンピュータの一例を示すブロック図である。

（実施形態）
以下、図面を参照して、本発明の実施形態を説明する。なお、以下で説明する図面において、同一の機能又は対応する機能を有する要素には同一の符号を付し、その繰り返しの説明は省略することもある。

［装置構成］
最初に、図１を用いて、本実施形態におけるイベント分析支援装置１の構成について説明する。図１は、イベント分析支援装置の一例を説明するための図である。図１に示すイベント分析支援装置１は、システムにおいて、対象とするイベント系列にノイズイベントが混在していても、イベント分析を精度よく行うことができる装置である。

システムは、例えば、発電所、電力網、通信網、道路、鉄道、港湾、空港、上下水道、灌漑施設、治水施設などの公共又は公益の設備、施設、構造物などに用いられる制御システムである。

イベント系列は、システムに対象の制御をさせた場合に発生するイベントの一連の流れを表す。すなわち、イベント系列とは、対象の制御をした場合に発生するイベントの順序を表している。イベントは、例えば、システムの制御に用いる、制御コマンド、状態遷移イベント、通知イベントなどの各種イベントと、プロセス値、コントロール値などである。

ノイズイベントは、例えば、対象とするイベント系列のイベントとは別のイベントである。対象とするイベント系列をＡ→Ｂ→Ａ→Ｃとした場合、対象のイベント系列のイベントと別のイベントＸ、Ｙが対象のイベント系列に混入することがある。例えば、Ａ→Ｘ→Ｘ→Ｙ→Ｘ→Ｂ→・・・のように、対象のイベント系列にノイズイベントが混入する。そのため、ノイズイベントの影響により対象のイベント系列を精度よく分析できない。特に、どのイベントが対象イベントであり、どのイベントがノイズイベントなのかが未知である場合には、対象イベント系列を精度よく分析することがさらに困難である。

そこで、本実施形態においては、イベント分析支援装置１を用いることで、対象となるイベント系列Ａ→Ｂ→Ａ→ＣにノイズイベントＸ、Ｙが混入しても、イベント分析を精度よく行うことができるようにする。

次に、図１に示すイベント分析支援装置１は、所属度出力部２と、特徴候補情報出力部３と、特徴情報出力部４とを有する。

このうち、所属度出力部２は、システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力する。なお、イベントの種類の数と、設定されたイベント種別の数は一致していなくてもよい。また、イベント種別の数は、実際のイベントのパターン数以下に設定する。

イベント情報は、例えば、各種イベントを識別する識別情報、又はシステムの状態を表す状態情報、又はイベントと他のイベントとの時間間隔を表す間隔情報、又は識別情報及び状態情報及び間隔情報のうち二つ以上を組み合わせた情報などである。

イベント種別は、イベント情報を種別するための情報である。イベント種別は、例えば、上述した制御コマンド、状態遷移イベント、通知イベント、システムの状態を表す状態情報（プロセス値）、イベントと他のイベントとの時間間隔を表す間隔情報、システムの制御に用いるコントロール値などを種別するための情報である。

所属度は、例えば、あらかじめ設定されたｋ個のイベント種別がある場合、イベント情報がｋ個のイベント種別それぞれに対して所属する度合を表す情報である。具体的には、イベント種別の数がｋ＝３である場合、所属度はｂ＝（ｂ１，ｂ２，ｂ３）のように表される。なお、所属度ｂの各要素ｂ１、ｂ２、ｂ３は、例えば、数値などにより表すことができる。

特徴候補情報出力部３は、新たに発生したイベントのイベント情報と、イベント種別ごとに既に生成されているイベント間の特徴を表す特徴情報（潜在特徴）とを用いて、イベント種別ごとに特徴候補情報（潜在特徴候補）を出力する。特徴候補情報出力部３は、イベント間の未知の関係性を表す特徴候補情報をイベント種別ごとに生成する。

特徴情報、特徴候補情報は、イベント間の順序、イベント間の時間間隔、システムの状態の履歴などの特徴を表す情報である。

特徴情報出力部４は、特徴情報と特徴候補情報と所属度とを用いて、イベント種別ごとに新たな特徴情報を出力する。具体的には、特徴情報出力部４は、発生したイベントの所属度を用いて、既に生成されている特徴情報と、新たに生成された特徴候補情報とに重み付けをし、イベント種別ごとの特徴情報を更新することが考えられる。

例えば、イベント種別の数がｋ＝３に設定され、所属度がｂ＝（ｂ１，ｂ２，ｂ３）＝（０．８,０．１,０．１）で、既に生成されている特徴情報がＦｉ＝（Ｆｉ１，Ｆｉ２，Ｆｉ３）で、特徴候補情報Ｆｃ＝（Ｆｃ１，Ｆｃ２，Ｆｃ３）であるとする。

そして、特徴情報Ｆｉの各要素がＦｉ１＝（１，１，１，１），Ｆｉ２＝（２，２，２，２）,Ｆｉ３＝（３，３，３，３）で表され、特徴候補情報出力部３により生成された特徴候補情報Ｆｃの各要素がＦｃ１＝（１，２，３，４），Ｆｃ２＝（５，６，７，８）,Ｆｃ３＝（－１,－２,－３,－４）であるとする。

その場合、イベント種別ごとの新たな特徴情報Ｆｉ＝（Ｆｉ１，Ｆｉ２，Ｆｉ３）の各要素は、数１に示すように、特徴情報Ｆｉと特徴候補情報Ｆｃとに、所属度ｂを用いて重み付けをし、重み付けをした特徴情報Ｆｉと特徴候補情報Ｆｃとを加算して求める。

（数１）
Ｆｉ１＝（１－ｂ１）Ｆｉ１＋ｂ１・Ｆｃ１
Ｆｉ１＝０．２・（１，１，１，１）＋０．８・（１，２，３，４）
＝（１．０,１．８，２．６，３．４）

Ｆｉ２＝（１－ｂ２）Ｆｉ２＋ｂ２・Ｆｃ２
Ｆｉ２＝０．９・（２，２，２，２）＋０．１・（５，６，７，８）
＝（２．３，２．４，２．５，２．６）

Ｆｉ３＝（１－ｂ３）Ｆｉ３＋ｂ３・Ｆｃ３
Ｆｉ３＝０．９・（３，３，３，３）＋０．１・（－１,－２,－３,－４）
＝（２．６，２．５，２．４，２．３）

なお、数１に示したモデルを用いる場合、所属度ｂの要素が０であるイベント種別に対応する特徴情報Ｆｉは、重みが０であるから特徴候補情報に依存しない。したがって、特徴候補情報出力部３は、少なくとも所属度ｂが０でないイベント種別に対応する特徴候補情報のみを出力すれば十分である。

また、特徴情報の生成は数１に示したモデルに限定されるものではない。例えば、特徴情報Ｆｉと特徴候補情報Ｆｃと所属度ｂとを、機械学習により生成されたモデルに入力し、新たな特徴情報Ｆｉを生成してもよい。

このように、本実施形態においては、イベントの所属度と、既に生成されている特徴情報と、新たに生成された特徴候補情報とを用いて、イベント種別ごとの特徴情報を更新する。特に、所属度の大小関係と、新たな特徴情報に対する特徴候補情報の寄与（重み）の大小関係とが一致するモデル（数１など）を用いることで、イベント系列にノイズイベントが混在していても、ノイズイベントの発生時に生成された特徴候補情報の寄与を抑制し、特徴情報に対するノイズイベントの影響が低減できる。また、この特徴情報を用いることで、様々なイベント分析を精度よく行うことができる。

［システム構成］
続いて、図２、図３を用いて、本実施形態におけるイベント分析支援装置１の構成をより具体的に説明する。図２は、イベント分析支援装置の運用時の一例を説明するための図である。図３は、イベント分析支援装置の学習時の一例を説明するための図である。

図２に示すように、本実施形態におけるイベント分析支援装置１は、運用時において、所属度出力部２と、特徴候補情報出力部３と、特徴情報出力部４と、取得部５と、分析結果出力部６とを用いて、イベント分析をする。また、運用時において、分析結果を表示する場合には、更に出力情報生成部７を用いる。また、イベント分析支援装置１は、学習時において、さらに学習部８を用いて、所属度出力部２、特徴候補情報出力部３、特徴情報出力部４、分析結果出力部６で用いるモデルそれぞれの学習をする。

運用時について説明する。
取得部５は、運用時において、対象のシステムにおいて発生したイベントを取得する。具体的には、まず、取得部５は、システムのネットワークを流れるパケット、又はログファイル、又はそれら両方を取得する。続いて、取得部５は、パケット、又はログファイル、又はそれら両方を用いて、イベントを検知する。続いて、取得部５は、検知したイベントを所属度出力部２及び特徴候補情報出力部３へ出力する。

所属度出力部２は、運用時において、対象のシステムにおいて発生したイベントが、あらかじめ設定された複数のイベント種別それぞれに、どの程度所属しているかを表す所属度を出力する。なお、イベントの種類の数と、設定されたイベント種別の数は一致していなくてもよい。また、イベント種別の数は、実際のイベントのパターン数以下に設定する。

具体的には、まず、所属度出力部２は、取得部５からイベントを取得する。続いて、所属度出力部２は、取得したイベントを所属度出力モデルに入力する。続いて、所属度出力部２は、所属度出力モデルから出力された所属度を特徴情報出力部４へ出力する。

所属度出力モデルは、例えば、ニューラルネットワークを用いたモデルの他、線形モデル、ロジスティックモデル、サポートベクトルマシン、パラメトリック確率モデル、ノンパラメトリック確率モデル、ベイズモデル、ガウス過程、木構造モデル、ルールベースなどが考えられる。

また、所属度出力モデルは、図２に示すようにイベント分析支援装置１の外部に設けられた記憶装置３０に記憶されている。ただし、記憶装置３０は、イベント分析支援装置１の内部に設けてもよい。なお、所属度出力モデルの学習については後述する。記憶装置３０は、例えば、サーバコンピュータ、データベースなどの記憶装置である。

所属度について図４、図５、図６を用いて具体的に説明をする。図４は、排水制御システムの一例を説明するための図である。図５は、排水制御システムのイベントの一例を説明するための図である。図６は、イベント系列の一例を説明するための図である。

図４に示した排水制御システム４０は、注水ポンプ４１、貯水槽４２、排水弁４３、排水ポンプ４４などを用いて、流入した水を貯水槽に貯めた後に排水をする排水制御システムである。また、正常運転時においては、排水制御システム４０が有するネットワークに図５に示すイベントに対応するパケットが流れる。

また、図４の排水制御システム４０において、正常運転時には、まず、図６に示すように、注水準備のために排水弁４３を閉じる（図５の排水弁開閉（Ａ））ための制御コマンドを有するパケットがネットワークに流れる。次に、約１０分後に、注水ポンプ４１を駆動して貯水槽４２に既定量の注水をする（図５の注水ポンプ駆動（Ｂ））ための制御コマンドを有するパケットがネットワークに流れる。次に、約１０分後に、排水のために排水弁４３を開く（図５の排水弁開閉（Ａ））ための制御コマンドを有するパケットがネットワークに流れる。次に、約１０分後に、排水ポンプ４４を駆動して排水する（図５の排水ポンプ駆動（Ｃ））ための制御コマンドを有するパケットがネットワークに流れる。

したがって、排水制御を行う際のイベント系列は、図６のＡに示すようにＡ→Ｂ→Ａ→Ｃとなる。しかし、実際には、イベントＸ（図５の温度計測値）、Ｙ（図５の温度設定値）などのノイズイベントがイベント系列に混入するので、図６のＢに示すような、Ａ→Ｘ→Ｘ→Ｙ→Ｘ→Ｂ→・・・などとなる。

続いて、上述した排水制御システム４０において、あらかじめイベント種別の数がｋ＝５に設定されている場合、所属度出力部２は、所属度として所属度ｂ＝（ｂ１，ｂ２，ｂ３，ｂ４，ｂ５）を出力する。所属度出力モデルが、イベントがイベント種別ｂ１、ｂ２、ｂ３、ｂ４、ｂ５に所属する所属度を出力するようなモデルである場合、イベントＡを取得すると、所属度出力部２は所属度ｂ＝（１，０，０，０，０）を出力する。また、ノイズイベントＸを取得すると、所属度出力部２は所属度ｂ＝（０，０，０，１，０）を出力する。

上述したイベントＡを取得した直後に、特徴候補情報出力部３及び特徴情報出力部４が特徴情報を更新する。その結果、特徴情報としてＦｉ＝（Ｆｉ１，Ｆｉ２，Ｆｉ３，Ｆｉ４，Ｆｉ５）を出力したとする。

その後、ノイズイベントＸを取得した直後に、特徴候補情報出力部３が、特徴候補情報としてＦｃ＝（Ｆｃ１，Ｆｃ２，Ｆｃ３，Ｆｃ４，Ｆｃ５）を出力する。しかし、所属度ｂ＝（０，０，０，１，０）であるため、特徴情報出力部４は、特徴情報としてＦｉ´＝（Ｆｉ１，Ｆｉ２，Ｆｉ３，Ｆｃ４，Ｆｉ５）を出力する。すなわち、ノイズイベントＸの受信によって、４番目の特徴情報Ｆｉ４のみが更新されてＦｃ４に変化し、その他の特徴情報は変化しない。

このように、ノイズイベントＸ及びＹの受信によって変化する特徴情報は、特徴情報Ｆｉの中でＦｉ４及びＦｉ５の２つだけである。一方で、Ｆｉ１、Ｆｉ２、Ｆｉ３の３つの特徴情報は、ノイズイベントの影響を受けずに保持される。従って、イベント系列内にノイズイベントが多数混入しても、ノイズイベントによって特徴情報Ｆｉ１、Ｆｉ２、Ｆｉ３が乱されることなく、高精度な分析を可能とする。

また、その後、イベントＹを取得すると、所属度出力部２は所属度ｂ＝（０，０，０，０，１）を出力する。また、イベントＢを取得すると、所属度出力部２は所属度ｂ＝（０，１，０，０，０）を出力する。したがって、ノイズイベントが混入したイベント系列Ａ→Ｘ→Ｘ→Ｙ→Ｘ→Ｂ→・・・のうち、Ａ→Ｘ→Ｘ→Ｙ→Ｘまでを受信した時点では、１番目、２番目および３番目の特徴情報Ｆｉ１、Ｆｉ２、Ｆｉ３は、ノイズイベントＸ、Ｙによって全く変更を受けない。

そして、次にイベントＢを受信した時点で、特徴候補情報出力部３及び特徴情報出力部４が、特徴情報Ｆｉ＝（Ｆｉ１，Ｆｉ２，Ｆｉ３，Ｆｉ４，Ｆｉ５）に基づき、２番目の特徴情報Ｆｉ２のみを更新する。これにより、ノイズイベントに乱されることなく、イベントＡの取得時に更新された特徴情報Ｆｉ１を、イベントＢの取得時に更新する特徴情報Ｆｉ２が引き継ぐことができる。したがって、イベントＢの取得時に更新される特徴情報は、イベントＡの取得時に更新された特徴情報と、イベントＡの後にイベントＢを取得したという順序関係と、イベントＡとイベントＢとの間の時間間隔と、イベントＢに付随する圧力や温度やシステム状態のような状態の情報と、を圧縮して表現する情報となる。

従って、上述した特徴情報更新を繰り返すことにより、どのイベントが対象イベントであり、どのイベントがノイズイベントであるかが未知である場合にも、規則性を持った有用なイベント系列の順序関係などの特徴を、ノイズイベントに乱されることなく抽出することができる。

さらに、上述した例では、イベント種別の数がｋ＝５で、イベントのパターン（Ａ、Ｂ、Ｃ、Ｘ、Ｙ））数も５種類なので上述した結果となるが、イベント種別の数とイベントのパターン数とが同じである必要は無い。所属度出力部２、特徴候補情報出力部３、特徴情報出力部４の計算量はイベント種別の数に比例するので、実際のイベントのパターン数よりも、イベント種別の数を小さく取ることで、計算量を抑制できる。

具体的に、上述した所属度出力モデルでは、イベント種別ごとの所属度を「１」「０」の二値を用いて表したが、０から１の間の数値を用いて所属度を表してもよい。

例えば、イベント種別の数がｋ＝４で、イベントのパターン（Ａ、Ｂ、Ｃ、Ｘ、Ｙ）数が５種類であるというように、イベント種別の数とイベントのパターン数とが異なる場合、所属度出力モデルは、イベントＡを取得すると、所属度ｂ＝（０．９，０．０５，０．０２，０．０３）を出力し、イベントＸを取得した場合、所属度ｂ＝（０．０５，０．０５，０．０２，０．８８）を出力するモデルでもよい。

上述したイベントＡを取得した直後に、特徴候補情報出力部３及び特徴情報出力部４が特徴情報を更新した結果、特徴情報としてＦｉ＝（Ｆｉ１，Ｆｉ２，Ｆｉ３，Ｆｉ４，Ｆｉ５）を出力したとする。

その後、ノイズイベントＸを取得した直後に、特徴候補情報出力部３が、特徴候補情報としてＦｃ＝（Ｆｃ１，Ｆｃ２，Ｆｃ３，Ｆｃ４）を出力するが、所属度ｂ＝（０．０５，０．０５，０．０２，０．８８）であるため、特徴情報出力部４は、特徴情報としてＦｉ´＝（０．９５×Ｆｉ１＋０．０５×Ｆｃ１，０．９５×Ｆｉ２＋０．０５×Ｆｃ２，０．９８×Ｆｉ３＋０．０２×Ｆｃ３，０．１２×Ｆｉ４＋０．８８×Ｆｃ４）を出力する。

すなわち、ノイズイベントＸの受信によって、４番目の特徴情報Ｆｉ４は８８％が失われて０．１２×Ｆｉ４＋０．８８×Ｆｃ４に変化するが、その他の特徴情報は２％～５％しか失われず、９５％～９８％が保持される。

このように、ノイズイベントＸ及びＹの受信によって特徴情報が変化するイベント種別を、４つのうち１つ又は２つ程度に抑制し、残りの特徴情報によって、ノイズイベントに乱されることのない特徴を保持し、高精度な分析を可能とする。

なお、所属度出力モデルの学習において、入力される学習用イベントデータがどのイベント種別に属するかを表す教師データは不要である。

特徴候補情報出力部３は、運用時において、新たに発生したイベントのイベント情報と、イベント種別ごとに既に生成されているイベント間の特徴を表す特徴情報とを用いて、イベント種別ごとに特徴候補情報を出力する。

具体的には、まず、特徴候補情報出力部３は、取得部５からイベントを取得する。続いて、特徴候補情報出力部３は、取得したイベントと、現在のイベント種別ごとの特徴情報を特徴候補情報出力モデルに入力する。続いて、特徴候補情報出力部３は、特徴候補情報出力モデルから出力されたイベント種別ごとの特徴候補情報を、特徴情報出力部４へ出力する。

特徴候補情報出力モデルは、例えば、ニューラルネットワーク、ＬＳＴＭ（Long short-term memory）、Ａｔｔｅｎｔｉｏｎ－ＲＮＮ（Recurrent Neural Network）、Ｔｒａｎｓｆｏｒｍｅｒを利用することが考えられる。また、特徴候補情報出力モデルは記憶装置３０に記憶されている。

図７は、特徴候補情報の一例を説明するための図である。図７は、イベント種別の数がｋ＝５の場合の例である。その場合、まず、取得したイベント情報と、現在のイベント種別ごとの特徴情報１、２、３、４、５とを特徴候補情報出力モデルのモデル７１、７２、７３、７４、７５それぞれに入力する。そうするとモデル７１、７２、７３、７４、７５それぞれは、特徴候補情報１、２、３、４、５を出力する。なお、図７では説明を分かり易くするために、モデル７１から７５を用いて説明したが、モデルの数は５個に限定されるのもではない。

特徴情報出力部４は、運用時において、特徴情報と特徴候補情報と所属度とを用いて、イベント種別ごとに新たな特徴情報を出力する。

具体的には、まず、特徴情報出力部４は、所属度出力部２から所属度を取得する。また、特徴情報出力部４は、特徴候補情報出力部３からイベント種別ごとの特徴候補情報を取得する。続いて、特徴情報出力部４は、現在のイベント種別ごとの特徴情報と特徴候補情報と所属度とを特徴情報出力モデルに入力する。続いて、特徴情報出力部４は、特徴情報出力モデルから出力されたイベント種別ごとの特徴情報を、分析結果出力部６へ出力する。

特徴情報出力モデルは、例えば、上述した数１に示すような所属度による特徴候補情報と特徴情報の重みづけ和の計算をしてもよいし、ニューラルネットワークなどによる非線形変換をしてもよい。また、特徴情報出力モデルは記憶装置３０に記憶されている。

図８は、特徴情報の一例を説明するための図である。図８は、イベント種別の数がｋ＝５の場合の例である。その場合、まず、イベント種別ごとの所属度ｂ１、ｂ２、ｂ３、ｂ４、ｂ５及び特徴候補情報１、２、３、４、５を特徴情報出力モデルに入力する。図８の例では、モデル８１が所属度ｂ１と特徴候補情報１とを用いて新しい特徴情報１を出力する。モデル８２、８３、８４、８５それぞれについても、モデルに対応する所属度と特徴候補情報とを用いて、新しい特徴情報２、３、４、５を出力する。なお、図８では説明を分かり易くするために、モデル８１から８５を用いて説明したが、モデルの数は５個に限定されるのもではない。

分析結果出力部６は、あらかじめ設定された分析モデルに、イベント種別ごとの特徴情報を入力して分析結果を出力する。具体的には、まず、分析結果出力部６は、特徴情報出力部４から特徴情報を取得する。続いて、分析結果出力部６は、イベント種別ごとの特徴情報を分析モデルに入力する。続いて、分析結果出力部６は、分析モデルから出力された分析結果を表す分析結果情報を出力情報生成部７へ出力する。

例えば、システムは制御手順が異常な場合にシステムが異常になるので、イベント種別ごとの特徴情報を分析結果出力部６に入力して、異常なイベント系列を検知する。また、システムの状態に対して不適切な制御がされた場合にシステムの状態とイベントは不整合となるので、イベント種別ごとの特徴情報を分析結果出力部６に入力して、システムの状態とイベントの不整合を検知する。

分析モデルは、ニューラルネットワークなどに、イベント種別ごとの特徴情報を入力して、目的とする結果を出力するモデルである。分析モデルは、例えば、イベント系列の予測、イベントの分類、対象となるイベント系列の異常検知などを行ってもよい。異常検知は、例えば、特徴情報を用いてｏｎｅ－ｃｌａｓｓ学習（one-Class SVM、one-class SVDDなど）をした分析モデル、又は教師なし学習（自己組織化マップ、主成分分析、metric learning、Auto Encoderなど）をした分析モデルを用いて行う。

出力情報生成部７は、分析結果出力部６から分析結果情報を取得し、取得した分析結果情報を出力装置２０に出力可能な出力情報に変換し、その出力情報を出力装置２０へと送信する。

出力装置２０は、出力情報生成部７により、出力可能な形式に変換された出力情報を取得し、その出力情報に基づいて、生成した画像及び音声などを出力する。出力装置２０は、例えば、液晶、有機ＥＬ（Electro Luminescence）、ＣＲＴ（Cathode Ray Tube）を用いた画像表示装置などである。さらに、画像表示装置は、スピーカなどの音声出力装置などを備えていてもよい。なお、出力装置２０は、プリンタなどの印刷装置でもよい。

学習時について説明する。
学習部８は、システムにおいて過去に発生したイベント系列を用いて、所属度出力部２と、特徴候補情報出力部３と、特徴情報出力部４と、分析結果出力部６とを学習する。具体的には、まず、イベント分析支援装置１に、過去に発生したイベント系列（例えば、正常運転時において取得したイベント系列などの学習データ）を入力する。続いて、学習部８は、所属度出力部２、特徴候補情報出力部３、特徴情報出力部４、分析結果出力部６それぞれから出力された情報を取得する。続いて、学習部８は、出力された情報を用いて、所属度出力モデル、特徴候補情報出力モデル、特徴情報出力モデル、分析モデルを学習する。

学習部８は、所属度出力モデル、特徴候補情報出力モデル、特徴情報出力モデル、分析モデルが、いずれもニューラルネットワークなどの目的関数と学習パラメータを持つ機械学習モデルである場合、最終的な分析モデルの出力により計算される目的関数の値を最適化するよう、機械学習モデルの学習パラメータを調整する。

分析モデルが単純な予測、分類、異常検知などを行う場合、目的関数は、平均二乗誤差関数、交差エントロピー関数、ヒンジ損失関数、対数尤度関数、対数事後確率関数、エントロピー関数、ジニ係数、などを用いることができる。

また、学習パラメータの調整方法として、勾配降下法、共役勾配法、座標降下法、ニュートン法、サンプリングによる変分ベイズ、動的計画法、貪欲法などを用いることができる。

［装置動作］
次に、本発明の実施形態におけるイベント分析支援装置の動作について図９、図１０を用いて説明する。図９は、運用時のイベント分析支援装置の動作の一例を説明するための図である。図１０は、学習時のイベント分析支援装置の動作の一例を説明するための図である。以下の説明においては、適宜図１から図８を参照する。また、本実施形態では、イベント分析支援装置を動作させることによって、イベント分析支援方法が実施される。よって、本実施形態におけるイベント分析支援方法の説明は、以下のイベント分析支援装置の動作説明に代える。

運用時の動作について図９を用いて説明をする。
図９に示すように、最初に、取得部５は、運用時において、対象のシステムにおいて発生したイベントを取得する（ステップＡ１）。具体的には、ステップＡ１において、まず、取得部５は、システムのネットワークを流れるパケット、又はログファイル、又はそれら両方を取得する。続いて、ステップＡ１において、取得部５は、パケット、又はログファイル、又はそれら両方を用いて、イベントを検知する。続いて、ステップＡ１において、取得部５は、検知したイベントを所属度出力部２及び特徴候補情報出力部３へ出力する。

続いて、所属度出力部２は、運用時において、対象のシステムにおいて発生したイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに、どの程度所属しているかを表す所属度を出力する（ステップＡ２）。なお、イベント種別の数は、実際のイベントのパターン数以下にする。

具体的には、ステップＡ２において、まず、所属度出力部２は、取得部５からイベントを取得する。続いて、ステップＡ２において、所属度出力部２は、取得したイベントを所属度出力モデルに入力する。続いて、ステップＡ２において、所属度出力部２は、所属度出力モデルから出力された所属度を、特徴情報出力部４へ出力する。

続いて、特徴候補情報出力部３は、運用時において、新たに発生したイベントのイベント情報と、イベント種別ごとに既に生成されているイベント間の特徴を表す特徴情報とを用いて、イベント種別ごとに特徴候補情報を出力する（ステップＡ３）。

具体的には、ステップＡ３において、まず、特徴候補情報出力部３は、取得部５からイベントを取得する。続いて、ステップＡ３において、特徴候補情報出力部３は、取得したイベントと、現在のイベント種別ごとの特徴情報を特徴候補情報出力モデルに入力する。続いて、ステップＡ３において、特徴候補情報出力部３は、特徴候補情報出力モデルから出力されたイベント種別ごとの特徴候補情報を、特徴情報出力部４へ出力する。

続いて、特徴情報出力部４は、運用時において、特徴情報と特徴候補情報と所属度とを用いて、イベント種別ごとに新たな特徴情報に出力する（ステップＡ４）。

具体的には、ステップＡ４において、まず、特徴情報出力部４は、所属度出力部２から所属度を取得する。また、ステップＡ４において、特徴情報出力部４は、特徴候補情報出力部３からイベント種別ごとの特徴候補情報を取得する。続いて、ステップＡ４において、特徴情報出力部４は、現在のイベント種別ごとの特徴情報と特徴候補情報と所属度とを特徴情報出力モデルに入力する。続いて、ステップＡ４において、特徴情報出力部４は、特徴情報出力モデルから出力されたイベント種別ごとの特徴情報を、分析結果出力部６へ出力する。

続いて、分析結果出力部６は、あらかじめ設定された分析モデルに、イベント種別ごとの特徴情報を入力して分析結果を出力する（ステップＡ５）。

具体的には、ステップＡ５において、まず、分析結果出力部６は、特徴情報出力部４から特徴情報を取得する。続いて、ステップＡ５において、分析結果出力部６は、イベント種別ごとの特徴情報を分析モデルに入力する。続いて、ステップＡ５において、分析結果出力部６は、分析モデルから出力された分析結果を表す分析結果情報を出力情報生成部７へ出力する。

続いて、出力情報生成部７は、分析結果出力部６から分析結果情報を取得し、取得した分析結果情報を出力装置２０に出力可能な出力情報に変換し、その出力情報を出力装置２０へと送信する（ステップＡ６）。続いて、出力装置２０は、出力情報生成部７により、出力可能な形式に変換された出力情報を取得し、その出力情報に基づいて、生成した画像及び音声などを出力する（ステップＡ７）。

イベント分析支援装置１は、イベント発生するごとに、ステップＡ１からＡ７を繰り返し実行する。なお、ステップＡ１からＡ４は、イベントが発生する度に実行し、ステップＡ５からステップＡ７は、あらかじめ設定されたタイミングで実行する。

学習時の動作について図１０を用いて説明をする。
図１０に示すように、最初に、過去に発生したイベント系列（例えば、正常運転時において取得したイベント系列などの学習データ）をイベント分析支援装置１に入力する（ステップＢ１）。

続いて、学習部８は、所属度出力部２、特徴候補情報出力部３、特徴情報出力部４、分析結果出力部６それぞれから出力された情報を取得する（ステップＢ２）。

続いて、学習部８は、出力された情報を用いて、所属度出力モデル、特徴候補情報出力モデル、特徴情報出力モデル、分析モデルを学習する（ステップＢ３）。

［本実施形態の効果］
以上のように本実施形態によれば、イベントの所属度と、既に生成されている特徴情報と、新たに生成された特徴候補情報とを用いて、イベント種別ごとの特徴情報を更新する。そのため、所属度の大小関係と、新たな特徴情報に対する特徴候補情報の寄与の大小関係とを一致させ、ノイズイベントによって生成される特徴候補情報の寄与を抑制するので、イベント系列にノイズイベントが混在していても、特徴情報に対するノイズイベントの影響が低減できる。

また、イベント分析支援装置１により生成された特徴情報を用いることで、様々な分析を精度よく行うことができる。

例えば、顧客行動予測、犯罪発生予測、溶液濃度や機器状態の予測、直近の顧客の購買順序と消費額から次の消費行動を予測、多種の犯罪発生順序と頻度から次の犯罪発生を予測、多種の機器の操作順序と環境値から次の操作順序と環境値などの分析の精度を向上させることができる。

また、システムへの不正入力、機器の異常動作、異常行動の監視などの分析の精度を向上させることができる。具体的には、入力手順や操作手順が環境に整合しているか、あるいはその結果生じる機器の挙動が正常かどうかを監視する精度を向上させることができる。

さらに、病気や体調の分類、機器の分類、顧客行動の分類などの分析の精度を向上させることができる。具体的には、直近の受診履歴や食事、睡眠などのイベントから対象者の体調を分類、機器の稼働ログや通信パケットの系列から機器の種類を分類、顧客の購買イベントや取引イベント系列から顧客のタイプを分類などの分析の精度を向上させることができる。

ノイズイベントがその後のイベント系列に影響する場合でも、特徴情報を用いるので、イベントとノイズイベントとを区別しながら双方を自動的に加味できる。

イベントパターンの種類が多い（例えば、１０００種類）場合や、イベントの値が連続値のため種類を定義できない場合に、少数のｋ個のイベント種別（例えば、１０種別）に圧縮しておくことができる。

［プログラム］
本発明の実施形態におけるプログラムは、コンピュータに、図９に示すステップＡ１からＡ７、図１０に示すステップＢ１からＢ３を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施形態におけるイベント分析支援装置とイベント分析支援方法とを実現することができる。この場合、コンピュータのプロセッサは、取得部５、所属度出力部２、特徴候補情報出力部３、特徴情報出力部４、分析結果出力部６、出力情報生成部７、学習部８として機能し、処理を行なう。

また、本実施形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、取得部５、所属度出力部２、特徴候補情報出力部３、特徴情報出力部４、分析結果出力部６、出力情報生成部７、学習部８のいずれかとして機能してもよい。

［物理構成］
ここで、実施形態におけるプログラムを実行することによって、イベント分析支援装置を実現するコンピュータについて図１１を用いて説明する。図１１は、本発明の実施形態におけるイベント分析支援装置を実現するコンピュータの一例を示すブロック図である。

図１１に示すように、コンピュータ１１０は、ＣＰＵ（Central Processing Unit）１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていてもよい。

ＣＰＵ１１１は、記憶装置１１３に格納された、本実施形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置である。また、本実施形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであってもよい。なお、記録媒体１２０は、不揮発性記録媒体である。

また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリなどの半導体記憶装置があげられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。

データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。

また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）などの汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）などの磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体があげられる。

なお、本実施形態におけるイベント分析支援装置１は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。さらに、イベント分析支援装置１は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。

［付記］
以上の実施形態に関し、更に以下の付記を開示する。上述した実施形態の一部又は全部は、以下に記載する（付記１）から（付記１８）により表現することができるが、以下の記載に限定されるものではない。

（付記１）
システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力する、所属度出力部と、
新たに発生したイベントのイベント情報と、前記イベント種別ごとに既に生成されている前記イベント間の特徴を表す特徴情報とを用いて、前記イベント種別ごとに特徴候補情報を出力する、特徴候補情報出力部と、
前記特徴情報と前記特徴候補情報と前記所属度とを用いて、前記イベント種別ごとに新たな特徴情報に出力する、特徴情報出力部と、
を有するイベント分析支援装置。

（付記２）
付記１に記載のイベント分析支援装置であって、
あらかじめ設定された分析モデルに前記特徴情報を入力して分析結果を出力する、分析結果出力部を有する
ことを特徴とするイベント分析支援装置。

（付記３）
付記１又は２に記載のイベント分析支援装置であって、
前記イベント情報は、前記イベントの種別を表す識別情報、又は前記システムの状態を表す状態情報、又は前記イベントと他のイベントとの時間間隔を表す間隔情報、又は前記識別情報及び前記状態情報及び前記間隔情報のうち二つ以上を組み合わせた情報を有する
ことを特徴とするイベント分析支援装置。

（付記４）
付記１から３のいずれかに記載のイベント分析支援装置であって、
前記所属度の大小関係と、新たな特徴情報に対する特徴候補情報の寄与の大小関係とが一致する
ことを特徴とするイベント分析支援装置。

（付記５）
付記１から４のいずれか一つに記載のイベント分析支援装置であって、
前記イベント種別の数を、実際のイベントのパターン数以下にする
ことを特徴とするイベント分析支援装置。

（付記６）
付記１から５のいずれか一つに記載のイベント分析支援装置であって、
前記システムにおいて過去に発生したイベント系列を用いて、前記所属度出力部と、特徴候補情報出力部と、特徴情報出力部とで用いるモデルそれぞれを学習する、学習部
を有することを特徴とするイベント分析支援装置。

（付記７）
システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力する、所属度出力ステップ、
新たに発生したイベントのイベント情報と、前記イベント種別ごとに既に生成されている前記イベント間の特徴を表す特徴情報とを用いて、前記イベント種別ごとに特徴候補情報を出力する、特徴候補情報出力ステップと、
前記特徴情報と前記特徴候補情報と前記所属度とを用いて、前記イベント種別ごとに新たな特徴情報に出力する、特徴情報出力ステップと
を有することを特徴とするイベント分析支援方法。

（付記８）
付記７に記載のイベント分析支援方法であって、
あらかじめ設定された分析モデルに前記特徴情報を入力して分析結果を出力する、分析結果出力ステップ
を有することを特徴とるイベント分析支援方法。

（付記９）
付記７又は８に記載のイベント分析支援方法であって、
前記イベント情報は、前記イベントの種別を表す識別情報、又は前記システムの状態を表す状態情報、又は前記イベントと他のイベントとの時間間隔を表す間隔情報、又は前記識別情報及び前記状態情報及び前記間隔情報のうち二つ以上を組み合わせた情報を有する
ことを特徴とするイベント分析支援方法。

（付記１０）
付記７から９のいずれか一つに記載のイベント分析支援方法であって、
前記所属度の大小関係と、新たな特徴情報に対する特徴候補情報の寄与の大小関係とが一致する
ことを特徴とするイベント分析支援方法。

（付記１１）
付記７から１０のいずれか一つに記載のイベント分析支援方法であって、
前記イベント種別の数を、実際のイベントのパターン数以下にする
ことを特徴とするイベント分析支援方法。

（付記１２）
付記７から１１のいずれか一つに記載のイベント分析支援方法であって、
前記システムにおいて過去に発生したイベント系列を用いて、所属度、特徴候補情報、特徴情報を出力するモデルそれぞれを学習する、学習ステップ
を有することを特徴とするイベント分析支援方法。

（付記１３）
コンピュータに、
システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力する、所属度出力ステップと、
新たに発生したイベントのイベント情報と、前記イベント種別ごとに既に生成されている前記イベント間の特徴を表す特徴情報とを用いて、前記イベント種別ごとに特徴候補情報を出力する、特徴候補情報出力ステップと、
前記特徴情報と前記特徴候補情報と前記所属度とを用いて、前記イベント種別ごとに新たな特徴情報に出力する、特徴情報出力ステップと
を実行させる命令を含むプログラム。

（付記１４）
付記１３に記載のプログラムであって、
前記プログラムが、前記コンピュータに、
あらかじめ設定された分析モデルに前記特徴情報を入力して分析結果を出力する、分析結果出力ステップ
を実行させる命令を含むプログラム。

（付記１５）
付記１３又は１４に記載のプログラムであって、
前記イベント情報は、前記イベントの種別を表す識別情報、又は前記システムの状態を表す状態情報、又は前記イベントと他のイベントとの時間間隔を表す間隔情報、又は前記識別情報及び前記状態情報及び前記間隔情報のうち二つ以上を組み合わせた情報を有する
ことを特徴とするプログラム。

（付記１６）
付記１３から１５のいずれか一つに記載のプログラムであって、
前記所属度の大小関係と、新たな特徴情報に対する特徴候補情報の寄与の大小関係とが一致する
ことを特徴とするプログラム。

（付記１７）
付記１３から１６のいずれか一つに記載のプログラムであって、
前記イベント種別の数を、実際のイベントのパターン数以下にする
ことを特徴とするプログラム。

（付記１８）
付記１３から１７のいずれか一つに記載のプログラムであって、
前記プログラムが、前記コンピュータに、
前記システムにおいて過去に発生したイベント系列を用いて、所属度、特徴候補情報、特徴情報を出力するモデルそれぞれを学習する、学習ステップ
を実行させる命令を含むプログラム。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

以上のように本発明によれば、イベント系列にノイズイベントが混在していても、イベント分析を精度よく行うことができる。本発明は、イベント分析が必要な分野において有用である。

１ イベント分析支援装置
２ 所属度出力部
３ 特徴候補情報出力部
４ 特徴情報出力部
５ 取得部
６ 分析結果出力部
７ 出力情報生成部
８ 学習部
２０ 出力装置
３０ 記憶装置
４０ 排水制御システム
４１ 注水ポンプ
４２ 貯水槽
４３ 排水弁
４４ 排水ポンプ
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス

Claims (18)

1. システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力する、所属度出力手段と、
   新たに発生したイベントのイベント情報と、前記イベント種別ごとに既に生成されている前記イベント間の特徴を表す特徴情報とを用いて、前記イベント種別ごとに特徴候補情報を出力する、特徴候補情報出力手段と、
   前記特徴情報と前記特徴候補情報と前記所属度とを用いて、前記イベント種別ごとに新たな特徴情報に出力する、特徴情報出力手段と、
   を有するイベント分析支援装置。
2. 請求項１に記載のイベント分析支援装置であって、
   あらかじめ設定された分析モデルに前記特徴情報を入力して分析結果を出力する、分析結果出力手段を有する
   ことを特徴とするイベント分析支援装置。
3. 請求項１又は２に記載のイベント分析支援装置であって、
   前記イベント情報は、前記イベントの種別を表す識別情報、又は前記システムの状態を表す状態情報、又は前記イベントと他のイベントとの時間間隔を表す間隔情報、又は前記識別情報及び前記状態情報及び前記間隔情報のうち二つ以上を組み合わせた情報を有する
   ことを特徴とするイベント分析支援装置。
4. 請求項１から３のいずれかに記載のイベント分析支援装置であって、
   前記所属度の大小関係と、新たな特徴情報に対する特徴候補情報の寄与の大小関係とが一致する
   ことを特徴とするイベント分析支援装置。
5. 請求項１から４のいずれか一つに記載のイベント分析支援装置であって、
   前記イベント種別の数を、実際のイベントのパターン数以下にする
   ことを特徴とするイベント分析支援装置。
6. 請求項１から５のいずれか一つに記載のイベント分析支援装置であって、
   前記システムにおいて過去に発生したイベント系列を用いて、前記所属度出力手段と、
   特徴候補情報出力手段と、特徴情報出力手段とで用いるモデルそれぞれを学習する、学習手段
   を有することを特徴とするイベント分析支援装置。
7. コンピュータが、
   システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力し、
   新たに発生したイベントのイベント情報と、前記イベント種別ごとに既に生成されている前記イベント間の特徴を表す特徴情報とを用いて、前記イベント種別ごとに特徴候補情報を出力し、
   前記特徴情報と前記特徴候補情報と前記所属度とを用いて、前記イベント種別ごとに新たな特徴情報に出力する
   ことを特徴とするイベント分析支援方法。
8. 請求項７に記載のイベント分析支援方法であって、
   前記コンピュータが、
   あらかじめ設定された分析モデルに前記特徴情報を入力して分析結果を出力する
   ことを特徴とるイベント分析支援方法。
9. 請求項７又は８に記載のイベント分析支援方法であって、
   前記イベント情報は、前記イベントの種別を表す識別情報、又は前記システムの状態を表す状態情報、又は前記イベントと他のイベントとの時間間隔を表す間隔情報、又は前記識別情報及び前記状態情報及び前記間隔情報のうち二つ以上を組み合わせた情報を有する
   ことを特徴とするイベント分析支援方法。
10. 請求項７から９のいずれか一つに記載のイベント分析支援方法であって、
    前記所属度の大小関係と、新たな特徴情報に対する特徴候補情報の寄与の大小関係とが一致する
    ことを特徴とするイベント分析支援方法。
11. 請求項７から１０のいずれか一つに記載のイベント分析支援方法であって、
    前記イベント種別の数を、実際のイベントのパターン数以下にする
    ことを特徴とするイベント分析支援方法。
12. 請求項７から１１のいずれか一つに記載のイベント分析支援方法であって、
    前記コンピュータが、
    前記システムにおいて過去に発生したイベント系列を用いて、所属度、特徴候補情報、特徴情報を出力するモデルそれぞれを学習する
    ことを特徴とするイベント分析支援方法。
13. コンピュータに、
    システムにおいて発生するイベントに関するイベント情報が、あらかじめ設定された複数のイベント種別それぞれに所属する所属度を出力させ、
    新たに発生したイベントのイベント情報と、前記イベント種別ごとに既に生成されている前記イベント間の特徴を表す特徴情報とを用いて、前記イベント種別ごとに特徴候補情報を出力させ、
    前記特徴情報と前記特徴候補情報と前記所属度とを用いて、前記イベント種別ごとに新たな特徴情報に出力させる
    命令を含むプログラム。
14. 請求項１３に記載のプログラムであって、
    前記プログラムが、前記コンピュータに、
    あらかじめ設定された分析モデルに前記特徴情報を入力して分析結果を出力させる
    命令を含むプログラム。
15. 請求項１３又は１４に記載のプログラムであって、
    前記イベント情報は、前記イベントの種別を表す識別情報、又は前記システムの状態を表す状態情報、又は前記イベントと他のイベントとの時間間隔を表す間隔情報、又は前記識別情報及び前記状態情報及び前記間隔情報のうち二つ以上を組み合わせた情報を有する
    ことを特徴とするプログラム。
16. 請求項１３から１５のいずれか一つに記載のプログラムであって、
    前記所属度の大小関係と、新たな特徴情報に対する特徴候補情報の寄与の大小関係とが一致する
    ことを特徴とするプログラム。
17. 請求項１３から１６のいずれか一つに記載のプログラムであって、
    前記イベント種別の数を、実際のイベントのパターン数以下にする
    ことを特徴とするプログラム。
18. 請求項１３から１７のいずれか一つに記載のプログラムであって、
    前記プログラムが、前記コンピュータに、
    前記システムにおいて過去に発生したイベント系列を用いて、所属度、特徴候補情報、特徴情報を出力するモデルそれぞれを学習させる
    命令を含むプログラム。
    

Images