JP7435799B2 - ルール学習装置、ルールエンジン、ルール学習方法、及びルール学習プログラム - Google Patents

Description

この発明の実施形態は、ルール学習装置、ルールエンジン、ルール学習方法、及びルール学習プログラムに関する。

ネットワークに接続されるルータやサーバなどの装置に故障や障害などの異常が発生した場合に、その異常が発生した箇所を推定する技術が種々提案されている。

例えば、特許文献１に開示されるように、固定的なルールに拠らず、警報種別と障害被疑箇所の障害確率を警報種別を受信するたびに更新して、障害部位を確率的に特定する技術が有る。

さらに、例えば、特許文献２に開示されるように、障害事例データベースに登録されている他の障害ケースと重複しないように、障害ケース毎にユニークな障害イベントの組合せを抽出し、特徴的な障害イベントとして、障害要因箇所を判定可能なルールを自動で作成及び修正する技術が有る。

日本国特開２００７－１２４０５７号公報 日本国特開２０１８－０２８７７８号公報

しかしながら、特許文献１および特許文献２の障害箇所推定技術では、障害箇所の特定に時間が掛かることがあり、障害からの復旧時間が長期化する場合があった。

この発明は、障害箇所を特定するための時間を削減し、障害からの復旧時間を削減するようにした技術を提供しようとするものである。

上記課題を解決するために、この発明のルール学習装置は、監視対象装置から生じた障害イベントの障害箇所をユニークに特定する１つ又は複数のアラームを含むルールを学習し、且つ前記１つ又は複数のアラームが発生する箇所を学習するルール学習部を備えるようにしたものである。

さらに、この発明のルールエンジンは、障害イベントに起因する障害アラームを収集する障害イベント受信部と、データメモリに記憶された複数の学習済みルール各々に含まれるアラーム及び前記障害アラームの突合せをそれぞれ行い、前記突合せの結果一致したと判定された障害アラームの発生箇所と、前記学習済みルール内のアラームの発生箇所が全て合致するか否か判定し、全て合致する場合、確信度を１として計算し、合致しない場合、前記突合せの結果一致したアラームのアラーム数を取得し、前記取得した障害アラーム数各々と、前記取得した障害アラームに対応する前記複数の学習済みルールに含まれるルールのアラーム数と、に基づいて前記確信度をそれぞれ計算し、前記計算された確信度のうち最も高い確信度に対応するルールに基づいて障害箇所を判定する判定ロジック部と、を備えるようにしたものである。

この発明の一態様によれば、障害箇所を特定するための時間を削減し、障害からの復旧時間を削減するルール学習装置、ルールエンジン、ルール学習方法、及びルール学習プログラムを提供することができる。

図１は、ルール学習システムのソフトウェア構成の一例を示すブロック図である。 図２は、ルール学習装置のハードウェア構成の一例を示す図である。 図３は、ルールエンジンのハードウェア構成の一例を示す図である。 図４は、ルール学習システムにおいて障害が発生してから学習処理までの処理動作の一例を示すフローチャートである。 図５は、第１のルール学習における図４のステップＳ５のより詳細な動作の一例を示すフローチャートである。 図６は、障害イベントとして指定された障害Ａ～Ｃの一例を示す図である。 図７は、図５のステップＳ５３のより詳細な動作の一例を示すフローチャートである。 図８Ａは、障害Ａの学習結果の表を示す図である。 図８Ｂは、障害Ａ及び障害Ｂの学習結果の表を示す図である。 図８Ｃは、障害Ａ、障害Ｂ及び障害Ｃの学習結果の表を示す図である。 図９Ａは、障害Ａを学習した結果、障害Ａのルールに含まれるアラームを示す図である。 図９Ｂは、障害Ａ及び障害Ｂを学習した結果、障害Ａ及び障害Ｂのルールに含まれるアラームを示す図である。 図９Ｃは、障害Ａ、障害Ｂ及び障害Ｃが学習された結果、各障害のルールに含まれるアラームを示す図である。 図１０は、図４のステップＳ２のより詳細な動作の一例を示すフローチャートである。 図１１Ａは、学習したときの監視対象装置の構成と同様のネットワーク構成において障害Ｃが発生した場合の各障害Ａ～Ｃにおけるルールから計算された各障害Ａ～Ｃの確信度を示す図である。 図１１Ｂは、学習したときの監視対象装置の構成から少なくとも一つの監視対象装置が異なるまたは更改されたネットワーク構成において障害Ｃが発生した場合の各障害Ａ～Ｃにおけるルールから計算された各障害Ａ～Ｃの確信度を示す図である。 図１２は、障害Ｂが発生した場合に発生するアラーム及び障害Ｂおよび障害Ｃのルールの例を示す図である。 図１３は、第２のルール学習における図４のステップＳ５のより詳細な動作の一例を示すフローチャートである。 図１４は、第２のルール学習における図１０のステップＳ２４のより詳細な動作の一例を示すフローチャートである。 図１５は、障害Ｂが発生した場合に発生するアラーム及び障害Ｂおよび障害Ｃのルールの例を示す図である。 図１６Ａは、シミュレーションの条件を示す図である。 図１６Ｂは、シミュレーションの結果を示す図である。

以下、図面を参照してこの発明に係わる実施形態を説明する。
（構成例）
図１は、この実施形態におけるルール学習装置１と、ルールエンジン２と、を含むルール学習システムのソフトウェア構成の一例を示すブロック図である。図２は、ルール学習装置１のハードウェア構成の一例を示す図であり、図３は、ルールエンジン２のハードウェア構成の一例を示す図である。

まず、ハードウェア構成について説明する。
ルール学習装置１は、図２に示すように、例えばサーバコンピュータ（Server computer）またはパーソナルコンピュータ（Personal computer）により構成され、ＣＰＵ（Central Processing Unit）等のハードウェアプロセッサ（Hardware processor）１１を有する。そして、ルール学習装置１では、このハードウェアプロセッサ１１に対し、プログラムメモリ（Program memory）１２と、データメモリ（Data memory）１３と、通信インタフェース１４と、入出力インタフェース（図２では入出力ＩＦと記す）１５とが、バス（Bus）１６を介して接続される。

通信インタフェース１４は、例えば一つ以上の有線または無線の通信モジュールを含むことができる。通信インタフェース１４は、ルールエンジン２との間で通信を行い、ルール学習装置１とルールエンジン２との情報交換を可能とする。

入出力インタフェース１５には、入力部１７及び表示部１８が接続されている。入力部１７及び表示部１８は、例えば液晶または有機ＥＬ（Electro Luminescence）を使用した表示デバイスの表示画面上に、静電方式または圧力方式を採用した入力検知シートを配置した、いわゆるタブレット型の入力・表示デバイスを用いたものが用いられる。なお、入力部１７及び表示部１８は独立するデバイスにより構成されてもよい。入出力インタフェース１５は、上記入力部１７において入力された操作情報をプロセッサ１１に入力するとともに、プロセッサ１１で生成された表示情報を表示部１８に表示させる。

なお、入力部１７及び表示部１８は、入出力インタフェース１５に接続されていなくてもよい。入力部１７及び表示部１８は、通信インタフェース２４と直接またはネットワークを介して接続するための通信ユニットを備えることで、プロセッサ１１との間で情報の授受を行い得る。

プログラムメモリ１２は、非一時的な有形のコンピュータ可読記憶媒体として、例えば、ＨＤＤ（Hard Disk Drive）またはＳＳＤ（Solid State Drive）等の随時書込み及び読出しが可能な不揮発性メモリと、ＲＯＭ等の不揮発性メモリとが組合せて使用されたものである。このプログラムメモリ１２には、プロセッサ１１がこの実施形態に係る各種制御処理を実行するために必要なプログラムが格納されている。

データメモリ１３は、有形のコンピュータ可読記憶媒体として、例えば、上記の不揮発性メモリと、ＲＡＭ（Random Access Memory）等の揮発性メモリとが組合せて使用されたものである。このデータメモリ１３は、各種処理が行われる過程で取得及び作成された各種データが記憶されるために用いられる。

図３に示されるルールエンジン２は、例えば通信ネットワークを構成するルータやサーバ等の各装置（ノードとも云う）との間で通信が可能な管理装置、または保守端末に設けられる。ルールエンジン２は、図３に示すように、例えばサーバコンピュータまたはパーソナルコンピュータにより構成され、ＣＰＵ等のハードウェアプロセッサ２１を有する。そして、ルールエンジン２では、このハードウェアプロセッサ２１に対し、プログラムメモリ２２と、データメモリ２３と、通信インタフェース２４と、入出力インタフェース（図３では入出力ＩＦと記す）２５とが、バス２６を介して接続される。

通信インタフェース２４は、例えば一つ以上の有線または無線の通信モジュールを含むことができる。通信インタフェース２４は、ルール学習装置１との間で通信を行い、ルール学習装置１とルールエンジン２との情報交換を可能とする。また、通信インタフェース２４は、ネットワークを構成する複数の監視対象装置３００、及びこれらの装置間の接続情報を記憶するネットワーク構成情報データベース２０２（図１参照）との間で通信を行い、各装置が発生する障害イベント、及びネットワーク構成情報データベース２０２に記憶されたネットワーク構成情報を取得することができる。障害イベントは、例えば、監視対象装置３００のＩＰアドレス、装置ＩＤ、及びアラームを含む。

入出力インタフェース２５には、入力部２７及び表示部２８が接続されている。入力部２７及び表示部２８は、例えばタブレット型の入力・表示デバイスを用いたものが用いられる。なお、入力部２７及び表示部２８は、独立するデバイスにより構成されてもよい。入出力インタフェース２５は、上記入力部２７において入力された操作情報をプロセッサ２１に入力するとともに、プロセッサ２１で生成された表示情報を表示部２８に表示させる。

なお、入力部２７及び表示部２８は、入出力インタフェース２５に接続されていなくてもよい。入力部２７及び表示部２８は、通信インタフェース２４と直接またはネットワークを介して接続するための通信ユニットを備えることで、プロセッサ２１との間で情報の授受を行い得る。この場合、入力部２７及び表示部２８は、ルール学習装置１の入力部１７及び表示部１８として機能させてもよい。すなわち、ルール学習装置１の入力部１７及び表示部１８とルールエンジン２の入力部２７及び表示部２８とは、一つの入力部及び表示部を兼用されるものとしてもよい。

プログラムメモリ２２は、非一時的な有形のコンピュータ可読記憶媒体として、例えば、ＨＤＤまたはＳＳＤ等の随時書込み及び読出しが可能な不揮発性メモリと、ＲＯＭ等の不揮発性メモリとが組合せて使用されたものである。このプログラムメモリ２２には、プロセッサ２１がこの実施形態に係る各種制御処理を実行するために必要なプログラムが格納されている。

データメモリ２３は、有形のコンピュータ可読記憶媒体として、例えば、上記の不揮発性メモリと、上記のＲＡＭ等の揮発性メモリとが組合せて使用されたものである。このデータメモリ２３は、各種処理が行われる過程で取得及び作成された各種データが記憶されるために用いられる。

次に、ソフトウェア構成を説明する。
図１に示すように、ルール学習装置１は、ソフトウェアによる処理機能部として、ルール学習部１０１及び障害事例データベース１０２を備えるデータ処理装置として構成できる。ここで、上記のルール学習部１０１は、図２に示されたプログラムメモリ１２に格納されたプログラムを上記ハードウェアプロセッサ１１により読み出させて実行させることにより実現される。なお、これらの処理機能部の一部または全部は、特定用途向け集積回路（ＡＳＩＣ：Application Specific Integrated Circuit）またはＦＰＧＡ（field-programmable gate array）などの集積回路を含む、他の多様な形式によって実現されてもよい。

障害事例データベース１０２は、図２に示されたデータメモリ１３を用いて構成され得る。ただし、障害事例データベース１０２は、ルール学習装置１内に必須の構成ではなく、例えば、ＵＳＢ（Universal Serial Bus）メモリなどの外付け記憶媒体、またはクラウド（Cloud）に配置されたデータベースサーバ（Database server）等の記憶装置に設けられたものであってもよい。

ルール学習部１０１は、通信ネットワークを構成する監視対象装置３００で発生した障害イベントから回復した場合、当該障害イベントが発生した時間帯に通信ネットワークを構成する各監視対象装置から発生したアラームの中から当該障害イベントをユニークに特定するアラームを学習する。なお、本実施形態では、ルール学習部１０１は、ルールを学習する際、そのルール内のアラームが発生した箇所も登録することが可能である。

ルール学習部１０１は、この学習したアラームを含むルールを作成し、当該障害イベントと関連付けて障害事例データベース１０２に登録すると共に、当該ルールをルールエンジン２に送信する。ルールエンジン２では、このルールをデータメモリ２３に蓄積する。なお、この学習処理は、必要が生じた場合に行えばよく、当該装置で障害イベントが発生する度に行う必要はない。この場合には、ルール学習装置１は、発生したアラームと保守者４００が特定した障害箇所とを対応付けて障害事例データベース１０２に記憶しておくことが必要である。

ルールエンジン２では、障害イベント送受信部２０１は、外部の監視対象装置３００で障害イベントが発生すると、障害イベントに起因するアラームを収集し、これをルール学習装置１に通知する。障害イベント送受信部２０１は、障害イベントが送信されてきた監視対象装置３００の装置ＩＤもルール学習装置１に通知して良い。このアラームの通知を受けたルール学習装置１は、このアラーム及び装置ＩＤを、障害事例データベース１０２に登録する。

ルールエンジン２のネットワーク構成情報データベース２０２は、ネットワーク構成情報を外部から取得して蓄積する。ネットワーク構成情報は、監視対象装置情報と、監視対象装置間接続情報とを含む。監視対象装置情報は、例えば、監視対象装置３００の（１）装置ＩＤ、（２）装置名、（３）ＩＰアドレス、及び（４）装置種別、を含む。監視対象装置間接続情報は、例えば、（１）接続元装置ＩＤ、（２）接続先装置ＩＤ、及び（３）これらの（１）、（２）でなる組の識別子、を含む。

ルールエンジン２は、さらに、判定ロジック部２０３を有する。判定ロジック部２０３は、ネットワーク構成情報（ネットワーク構成情報データベース２０２内）と、障害イベントと、ルールセットとをそれぞれ受け取り、分析する。ルールセットは１以上のルールを含む。この分析結果に基づいて、どこで障害が発生したか（障害箇所）、及び障害箇所に対応する確信度をそれぞれ示す判定結果を得る。なお、確信度の計算方法については後述する。判定ロジック部２０３は、この判定結果を保守者４００に送る。なお、判定結果を保守者４００に送るとは、表示部２８により判定結果を保守者４００に提示することを意味する。

保守者４００は、表示部２８により、ルールエンジン２からの判定結果を受け取り、内容を分析する。その後、保守者４００は、分析結果に基づいて障害イベントに対処する。対処の結果、障害箇所が確定したら、保守者４００は、その障害箇所を含む障害要因情報をルール学習装置１に送信する。

（動作）
図４は、ルール学習システムにおいて障害イベントが発生してから学習処理までの処理動作の一例を示すフローチャートである。ルール学習装置１のプロセッサ１１がプログラムメモリ１２に格納されたプログラムを読み出して実行することにより、このフローチャートのステップＳ５が実現される。また、ルールエンジン２のプロセッサ２１がプログラムメモリ２２に格納されたプログラムを読み出して実行することにより、このフローチャートのステップＳ１～Ｓ２が実現される。なお、図４のステップＳ３及びＳ４は、保守者４００の動作である。

このフローチャートは、いずれかの監視対象装置３００で障害イベントが発生すると開始される。

ルールエンジン２の障害イベント送受信部２０１は、障害イベントに起因するアラームを収集する（ステップＳ１）。アラームは、障害イベントが発生したと考えられる時間帯のアラームを収集しても良い。また、障害イベント送受信部２０１は、障害イベントが送信された監視対象装置３００の装置ＩＤも収集する。そして、障害イベント送受信部２０１は、収集したアラームおよび装置ＩＤをルール学習装置１に送信する。

ルールエンジン２の判定ロジック部２０３は、収集したアラーム及びルール学習装置１から受信したルールに基づいて障害イベントが発生した障害箇所を分析する（ステップＳ２）。判定ロジック部２０３は、分析の結果特定された障害箇所と障害箇所に対応する確信度をそれぞれ示す判定結果を、表示部２８を介して保守者４００に提示する。なお、この障害箇所の分析についての詳細な動作は、後述する。

保守者４００は、提示された判定結果を分析する（ステップＳ３）。保守者４００は、特定された障害箇所に対応する復旧策を分析する。

保守者４００は、分析された復旧策を用いて障害イベントに対処する（ステップＳ４）。保守者４００の対処により、監視対象装置３００が障害イベントから復旧した場合、保守者４００は、その障害箇所を含む障害要因情報をルール学習装置１に送信する。ルール学習装置１は、ステップＳ１で送信されてきたアラームと受信した障害箇所を対応付けて障害事例データベース１０２に記憶する。保守者４００の対処により、監視対象装置３００が障害イベントから復旧しない場合、ステップＳ３に戻り、保守者４００は、提示された判定結果を再分析する。

ルール学習装置１のルール学習部１０１は、必要に応じて、障害イベントについて学習する（ステップＳ５）。ルール学習部１０１は、学習の結果、障害イベントをユニークに特徴付けるアラームを含むルールを生成し、このルールをルールエンジン２に送信する。ルールエンジン２は、ステップＳ３での障害箇所を分析する際、このルールを用いる。なお、ステップＳ５の詳細な処理は、以下の図５を用いて詳細に説明する。学習終了後、このフローチャートに示す処理動作は終了する。

第１のルール学習
図５は、上記図４のステップＳ５のより詳細な動作の一例を示すフローチャートである。

ルール学習部１０１は、障害イベントを指定する（ステップＳ５１）。例えば、ルール学習部１０１は、障害イベントとして障害Ａ～障害Ｃを指定する。ここで、図６は、障害イベントとして指定された、３個の監視対象装置３００－１～３００－３の内の第２の監視対象装置３００－２で発生した障害Ａ～Ｃの一例を示す。なお、これらの障害は、障害事例データベース１０２に記憶されたデータから読み出すことが可能である。

図６に示される表は、監視対象装置３００－２で発生した障害Ａ～障害Ｃの障害イベント種別、障害Ａ～Ｃに起因して発生するアラーム名およびアラーム種別を示している。また、図６は、障害Ａ～Ｃが生じた際にアラームが監視対象装置３００－１～３００－３のいずれから発生するかを示している。

障害Ａは、第２の監視対象装置３００－２におけるハードウェア故障である。この障害Ａは、第２の監視対象装置３００－２にＣＰＵ閾値超過を示すアラームａと、切換発生を示すアラームｂと、ＣＰＵ異常を示すアラームｈと、を発生させ、第２の監視対象装置３００－２と接続している第１の監視対象装置３００－１にリンクダウンを示すアラームｃを発生させる。障害Ｂは、第２の監視対象装置３００－２におけるカード故障である。この障害Ｂは、第２の監視対象装置３００－２にカード再起動を示すアラームｄと、カード認識不可を示すアラームｅと、を発生させ、第１の監視対象装置３００－１にリンクダウンを示すアラームｃを発生させる。障害Ｃは、第２の監視対象装置３００－２の温度異常による再起動である。この障害Ｃは、第２の監視対象装置３００－２にモジュールの再起動を示すアラームｆと、温度異常を示すアラームｇと、を発生させ、第１の監視対象装置３００－１にリンクダウンを示すアラームｃを発生させる。

ルール学習部１０１は、障害Ａ～Ｃの各々に対応するアラームを収集する（ステップＳ５２）。図６の例を参照すると、各図６の表で示したアラーム名に対応するアラームを収集する。

ルール学習部１０１は、ルールのユニーク性を保持したルール学習を行う（ステップＳ５３）。さらに、ルール学習部１０１は、他に学習すべき障害が有るか否か判断する（ステップＳ５４）。ルール学習部１０１は、未だが学習されていない障害が有ると判定した場合には、ステップＳ５３に戻る。また、他に学習すべき障害が無いと判定した場合には、ルール学習部１０１は、このステップＳ５の学習処理を終了して、上位のルーチンに戻る。

ここで、図６に示されてる各障害から発生するアラームは、アラームｃが重複している。このような重複アラームは、障害を特徴的に表すアラームとは言えない。すなわち、ルールのユニーク性を保持しているとは言えない。そこで、本実施形態では、アラームｃのようなアラームが各ルールで重複しないよう学習するために、ルールのアラーム構成に基づいた類似度を用いたルール学習を行う。

図７は、図５のステップＳ５３のより詳細な動作の一例を示すフローチャートである。

ルール学習部１０１は、学習すべき障害を決定する（ステップＳ５３１）。例えば、図６に示した障害Ａについてのルールを学習すると決定する。

ルール学習部１０１は、自ルール及び他ルールを決定する（ステップＳ５３２）。例えば、障害Ａが、初障害の場合には、他ルールはなく、ルール学習部１０１は、障害Ａについてのルールを自ルールと決定する。

ルール学習部１０１は、自ルールの類似度を計算する（ステップＳ５３３）。

まず、アラーム採用有無を１又は０成分としたベクトル空間で自ルールのアラーム構成を表す。例えば、図６で示す障害Ａでは、アラームａ、ｂ、ｃ、ｈが発生するので、自ルールアラーム構成を表すベクトル空間

は、（ａ，ｂ，ｃ，ｈ）＝（１，１，１，１）と表される。ここで、ｉは、自ルールである障害を表し、障害Ａが自ルールである場合、ｉ＝１とする。

次に障害Ａのアラームパターン

を算出する。ここで、ｋは、アラームパターンの総数Ｋのうちの任意の整数を表す。例えば、アラームａおよびｃが発生したとすると、アラームパターン

は、（１，０，１，０）と表される。

上記アラームパターン

と、アラーム構成

とに基づいて、自ルールの類似度

を以下の式のように計算する：

次に、ルール学習部１０１は、他ルールとの類似度を計算する（ステップＳ５３４）。障害Ａは、初障害のため、参照すべき障害がない。そのため、この障害Ａを学習する際、ルール学習部１０１は、このステップＳ５３４では、何も行わない。

次に、ルール学習部１０１は、自ルールと他ルールとの最大乖離度を取得する（ステップＳ５３５）。この障害Ａを学習する際には、他ルールが無いため、ルール学習部１０１は、このステップＳ５３５においても、何も行わない。

そして、ルール学習部１０１は、自ルールとしてない障害が有るか否かを判定する（ステップＳ５３６）。自ルールとしていない障害が有る場合には、ルール学習部１０１は、上記ステップＳ５３２から処理動作を繰り返す。障害Ａは初障害であるため、ルール学習部１０１は、自ルールとしていない障害は無いと判定し、上位のルーチンに戻る。

図８Ａは、アラーム発生パターン

において、少なくとも２つのアラームが発生すると仮定した際の障害Ａの学習結果を示す。なお、障害Ａが自ルールなので、ｉ＝１である。

図８Ａに示されるアラーム発生パターン

さらに図８Ａに示される障害Ａとの類似度は、式（１）の計算結果を表す。障害Ａは、初障害のため、障害Ａの類似度が最大値を示す

をルールとして採用する。

ここで、図９Ａは、障害Ａを学習した結果の障害Ａのルールに含まれるアラームを示す。図９Ａに示すように障害Ａのルールは、アラームａ、アラームｂ、アラームｃ、アラームｈを有する。

こうして障害Ａについての学習が終了すると、上記ステップＳ５４において、ルール学習部１０１は、学習すべき他の障害が有るか否かを判定することとなる。ルール学習部１０１は、障害Ｂ及び障害Ｃのルールについて学習する必要があるので、「有」と判定し、ステップ５３の処理動作を繰り返す。

すなわち、ルール学習部１０１は、学習すべき障害が障害Ｂであると決定する（ステップＳ５３１）。

そして、ルール学習部１０１は、自ルール及び他ルールを決定する（ステップＳ５３２）。ルール学習部１０１は、例えば、自ルールを障害Ａのルールであるとし、他ルールを障害Ｂのルールであると決定する。

次に、ルール学習部１０１は、自ルールの類似度を計算する（ステップＳ５３３）
障害Ａの自ルールの類似度の計算は、上で説明した計算と同一であるため、計算を省略することも可能である。但し、障害Ａのアラーム構成

は、障害Ｂのアラームも要素に加えて表現するとし、（ａ，ｂ，ｃ，ｄ，ｅ，ｈ）＝（１，１，１，０，０，１）となる。さらに、障害Ｂのアラーム構成

は、（ａ，ｂ，ｃ，ｄ，ｅ，ｈ）＝（０，０，１，１，１，０）となる。ここで、ｊは、他ルールであることを示し、ｊ≠ｉである。また、この例では、障害Ａが自ルールであることを示すためにｉ＝１であり、障害Ｂが他ルールであることを示すためにｊ＝２となる。

次に、ルール学習部１０１は、他ルールとの類似度を計算する（ステップＳ５３４）。ルール学習部１０１は、自ルールのアラームパターン

および他ルールのアラーム構成

に基づいて以下の（式２）ように他ルールとの類似度を計算する。

また、他ルールとの類似度も、全てのアラームパターンについて計算する。

次に、ルール学習部１０１は、自ルールと他ルールの類似度から最大乖離度Ｄ_ｍａｘを取得する（ステップＳ５３５）。ルール学習部１０１は、ステップＳ５３３及びステップＳ５３４で計算した自ルールの類似度及び他ルールとの類似度から乖離度Ｄを以下の（式３）のように計算し、その値の最大のものを最大乖離度Ｄ_ｍａｘとする：

そして、ルール学習装置１は、最大乖離度Ｄ_ｍａｘを有するアラームパターン

を決定する。ここで、最大乖離度Ｄ_ｍａｘを有するアラームパターンが各ルールで重複するアラームが最小となるアラームパターンになる。

次に、ルール学習部１０１は、自ルールとしていない障害が有るか否か、つまり、他の障害を自ルールとして計算するか否かを判定する（ステップＳ５３６）。ルール学習部１０１は、障害Ｂが自ルールで計算されていないため、ＹＥＳであると判定し、ステップＳ５３２に戻る。

ルール学習部１０１は、自ルール及び他ルールを決定する（ステップＳ５３３）。ルール学習部１０１は、障害Ｂのルールを自ルールとし、障害Ａのルールを他ルールと決定する。また、障害Ｂが自ルールであることを示すためにｉ＝２とし、障害Ａが他ルールであることを示すためにｊ＝１とする。

ルール学習部１０１は、上で説明した式（１）～式（２）に基づいて自ルールの類似度

、他ルールの類似度

、及び最大乖離度Ｄ_ｍａｘを計算する（ステップＳ５３３～ステップＳ５３５）。そしてルール学習部１０１は、最大乖離度Ｄ_ｍａｘを有するアラームパターン

を決定する。

ルール学習装置１は、再び、自ルールとしてない障害が有るか否かを判定する（ステップＳ５３６）。既に障害ＡおよびＢを自ルールとしているので、ここでは、自ルールとしていない障害が無いと判定されることになる。

図８Ｂは、障害Ａ及び障害Ｂを学習した際の計算結果の表を示す。図８Ｂの上表は、自ルールを障害Ａとした際の計算結果であり、最大乖離度Ｄ_ｍａｘは、アラームパターン

になることが示されている。さらに、図８Ｂの下表は、自ルールを障害Ｂとした際の計算結果であり、最大乖離度Ｄ_ｍａｘは、アラームパターン

になることが示されている。

障害Ａ及びＢを学習した結果、障害Ａ及びＢで重複してた発生するアラームｃは、これらの障害におけるルールに採用されないと決定される。

ここで、図９Ｂは、障害Ａ及び障害Ｂを学習した結果の障害Ａ及び障害Ｂのルールに含まれるアラームを示す。図９Ｂに示すように、障害Ａのルールは、アラームａ、アラームｂ及びアラームｈを有し、障害Ｂのルールは、アラームｄ及びアラームｅを有する。

こうして障害Ａ及びＢについての学習が終了すると、上記ステップＳ５４において、ルール学習部１０１は、上記ステップＳ５４において、障害Ｃが学習されていないと判定し、ステップＳ５３の処理動作を更に繰り返す。

すなわち、ルール学習部１０１は、学習すべき障害を決定する（ステップＳ５３１）。ルール学習部１０１は、学習すべき障害が障害Ｃであると決定する。

その後、上で説明したように、自ルールを障害Ａ（ｉ＝１）、障害Ｂ（ｉ＝２）、障害Ｃ（ｉ＝３）としてそれぞれの自ルールの類似度、他ルールとの類似度、最大乖離度を計算する。ここで、障害Ａおよび障害Ｂを学習した結果、図９Ｂに示すように障害Ａ及びＢにおけるルールは、アラームｃが除外されている。そのため、障害Ｃにおけるルールではアラームｃが除外されないことになる。

図８Ｃは、障害Ａ、障害Ｂ及び障害Ｃを学習した際の計算結果の表を示す。先に障害Ａ及びＢを学習した結果、これらの障害におけるルールには、アラームｃが包含されない。そのため、障害Ａ、Ｂ、Ｃのアラームの間に重複は無いため、障害Ａ、Ｂ、Ｃのルールは、そのまま採用されることになる。

ここで、図９Ｃは、障害Ａ、障害Ｂ及び障害Ｃが学習された結果、各障害のルールに含まれるアラームを示す。図９Ｃを参照すると、障害Ａのルールは、アラームａ、アラームｂ及びアラームｈを有し、障害Ｂのルールは、アラームｄ及びアラームｅを有し、障害Ｃのルールは、アラームｃ、アラームｆ及びアラームｇを有する。

障害イベント処理
図１０は、図４のステップＳ２のより詳細な動作の一例を示すフローチャートである。ルールエンジン２は、上記のようにして学習したアラームを含むルールに基づいて障害イベントが発生した障害箇所を分析する。

すなわち、ルールエンジン２の判定ロジック部２０３は、学習済みルールが有るか否か、つまり、ルール学習装置１による学習済みルールがデータメモリ２３に蓄積されているか否かを確認する（ステップＳ２１）。学習済みルールが有る場合、ステップＳ２２に進み、学習済みルールが無い場合、ステップＳ２８に進む。

学習済みルールが有る場合、判定ロジック部２０３は、ルール内のアラームを確認する（ステップＳ２２）。判定ロジック部２０３は、学習済みルールの各々のアラームを確認する。ここで、学習済みルールは、Ｍ個あるとし、ｍ番目のルールｍのアラーム数は、Ｚ_ｍと定義される。なお、Ｍは、１以上の正の整数であり、ｍは、１～Ｍのうちのいずれかの整数を表す。例えば、図７で説明したように障害Ａ～Ｃが学習されたとすると、Ｍ＝３であり、ルール１として障害Ａにおけるルールを適用すると、Ｚ_ｍは、３となる。

判定ロジック部２０３は、ステップＳ１で取得した障害アラームとステップＳ２２で確認した確認アラームとの突合せを行う（ステップＳ２３）。判定ロジック部２０３は、障害アラームと各ルール内のアラームを比較し、一致するアラームの数を示す一致アラーム数Ｔ_ｍを取得する。

判定ロジック部２０３は、突合せの結果として得られた一致アラーム数Ｔ_ｍおよびルールｍのアラーム数Ｚ_ｍから、確信度（Ｙ_ｍ＝Ｔ_ｍ／Ｚ_ｍ）を計算する（ステップＳ２４）。判定ロジック部２０３は、学習済みルール全ての確信度を計算する。

判定ロジック部２０３は、確認すべきルールが有るか否かを判定する（ステップＳ２５）。判定ロジック部２０３は、計算されたルールｎの確信度Ｙ_ｍのうち最も高い確信度を選択する。ここで、ステップＳ２５からステップＳ２６に進んだ際、確認すべきルールが有ると判定される。計算された確信度が同じ場合、いずれか一方の障害イベントに対応するルールを選択する。

判定ロジック部２０３は、選択された確信度に対応するルールから障害箇所を分析する（ステップＳ２６）。さらに、判定ロジック部２０３は、分析した結果、障害箇所が特定できるかどうか判定する（ステップＳ２７）。例えば、ステップＳ２５で、最も高い確信度を有する障害イベントが１つしかない場合、判定ロジック部２０３は、そのルールに対応する障害イベントが発生したと判定することができるので、障害箇所及び障害要因が特定できる。障害箇所が特定できない場合、判定ロジック部２０３は、ステップＳ２５に戻る。なお、ステップＳ２５で、同じ確信度のルールのうちの１つを選択した場合、多重故障の可能性があるため、同じ確信度のルールに対して分析する必要がある。そのため、処理は、ステップＳ２５に戻る。なお、ステップＳ２５で、判定ロジック部２０３は、特定されないと判定されたルールは、除外して確認すべきルールが有るか否かを判定する。

ステップＳ２５で、選択すべきルールが無い場合、判定ロジック部２０３は、処理を終了する。

なお、上記ステップＳ２１において、学習済みルールが無いと判定した場合、判定ロジック部２０３は、取得した障害アラームから障害箇所を検討する（Ｓ２８）。

図１１Ａ及び図１１Ｂは、障害Ｃが発生した場合の各障害Ａ～Ｃにおけるルールから計算された各障害Ａ～Ｃの確信度を示す図である。なお、ここでは、図５および図７を参照して説明したフローチャートによって障害Ａ～Ｃを学習した後であるとする。図１１Ａは、学習したときの監視対象装置３００の構成と同様のネットワーク構成において障害Ｃが発生した場合を示す。図１１Ｂは、学習したときの監視対象装置３００の構成から少なくとも一つの監視対象装置３００が異なるまたは更改されたネットワーク構成において障害Ｃが発生した場合を示す。また、図１１Ａ及び図１１Ｂにおいて四角で囲まれた値は、障害Ａ～Ｃの確信度を示す。なお、図１１Ｂにおける凡例は図１１Ａと同様である。

学習したときの監視対象装置３００の構成と同様のネットワーク構成において障害Ｃが発生する場合、図１１Ａに示されるように、障害Ｃに限定したアラームしか発生しない。そのため、障害Ａ及び障害Ｂの確信度は、０となり、障害Ｃの確信度は、３／３になる。この場合、判定ロジック部２０３は、少ない時間で最も確信度の高い障害Ｃを障害箇所として推定することが可能になる。このように、障害イベントが発生する時、学習時と同一ノード種別であれば、障害イベントで発生するアラームは、学習されたルールと同じアラームが発生する可能性が高くなる。そのため、確信度が１になるルールが存在する可能性が高くなり、障害箇所の特定は容易になる。

また、図１１Ｂに示されるように、少なくとも一つの監視対象装置３００が異なるまたは更改されたネットワーク構成において障害Ｃが発生する場合、障害Ｃと関係のないアラームａ及びアラームｅが発生する。すなわち、実際の運用時には、ノード更改等によって複数の種類のノードが混在したネットワークにおいて、障害イベントとは直接関係のないアラームが発生したり、学習済みルールにあるアラームが発生しなかったりする場合がある。このような場合でも、本発明では、障害Ｃが最も高い確信度を有する。そのため、判定ロジック部２０３は、少ない時間で障害Ｃを障害箇所として推定することが可能となる。

第１のルール学習による作用効果
以上で説明したように障害をユニークに特定しつつ、各ルールでアラームの重複がないルールになるように学習することにより、障害箇所を推定する際、同じ確信度で障害箇所を推定することが少なくなる。その結果、早期に障害イベントから復旧することが可能になる。

第２のルール学習
一方、障害が発生する場合、ルールにあるアラームが発生しない場合がある。この場合、第１のルール学習によるルールで計算した確信度が同一になってしまう場合がある。その結果、判定ロジック部２０３は、障害箇所を特定するために時間が掛かる場合がある。

図１２は、障害Ｂが発生した場合に発生するアラーム及び障害Ｂおよび障害Ｃのルールの例を示す。図１２の表は、カード故障である障害Ｂが生じると、アラームｄ、アラームｅ、アラームｎ、アラームｏ、アラームｃ、アラームｐ、アラームｑが発生することを示している。さらに、温度異常による再起動である障害Ｃが生じると、アラームｆ、アラームｇ、アラームｉ、アラームｋ、アラームｍが発生することを示している。図１２中央に示した図は、障害Ｂが生じた場合に各監視対象装置３００から発生するアラームを表し、取り消し線は、ノード種別の差分により、本来発生すべきアラームが発生しないことを示している。さらに、図１２の四角で囲まれた値は、図１２で丸で囲まれた障害Ｂ及び障害Ｃの学習済みルールによって計算された確信度を示している。

図１２に示されるように、障害Ｂの確信度及び障害Ｃの確信度は、共に３／４となる。確信度が同じ場合、いずれの障害が発生したか推定するための時間が多く掛かり、障害からの復旧が遅くなる。

そこで、本実施形態では、アラームの発生箇所も学習する。具体的には、第１のルール学習におけるステップＳ５において、ルール学習部１０１は、図１３に示すように動作する。

図１３は、ステップＳ５３とステップＳ５４との間に、ルール内の登録アラームの発生箇所を学習するというステップＳ５５が加えられている以外、図５の処理フローと同様である。ノードである監視対象装置３００からの障害イベントに含まれるアラームによって示されるアラーム種別中には、アラームの発生元、例えば、カードを示す情報が含まれる。そして、この発生元は、ノード種別によって変わることも少ないため、発生箇所を学習処理に加えることが可能である。

ルール学習部１０１は、ステップＳ５３で学習したルールに登録されたアラームの発生箇所を学習する（ステップＳ５５）。例えば、図１５に示すように、障害Ｂを学習する場合、ルール学習部１０１は、アラームｅおよびｄの発生箇所であるカードを学習する。すなわち、ルール学習部１０１は、ステップＳ５５で障害Ｂにおけるルールのアラームそれぞれの発生箇所も各ルールに登録する。このように学習時にアラームの発生箇所を学習することで、障害が再度発生し、その発生箇所が同じ場合、確信度を上げることができる。その結果、確信度に差が付き、ルールエンジン２による障害箇所分析が容易になるため、障害から早期に復旧することができる。

障害イベント処理
第２のルール学習を行った場合、図４のステップＳ２の障害箇所分析の処理動作は、図１０に示したステップＳ２４の処理動作の詳細を除いて、図１０に示した処理動作と同じ動作になる。よって、ステップＳ２４の処理動作の詳細についてのみ説明する。

図１４は、ステップＳ２４のより詳細な動作の一例を示すフローチャートである。

ルールエンジン２の判定ロジック部２０３は、ステップＳ２３の突合せの結果、一致したアラームそれぞれの発生箇所を確認する（ステップＳ２４１）。判定ロジック部２０３は、ステップＳ２３でルール内のアラームと一致したと判定された障害アラームの発生箇所及び当該ルール内のアラームの発生箇所をそれぞれ確認する。

判定ロジック部２０３は、確認された障害アラームの発生箇所と、ルール内のアラームの発生箇所の合致確認をする（ステップＳ２４２）。例えば、図１５で示される障害Ｂのルールにおいて、判定ロジック部２０３は、障害Ｂのルール内のアラームｄ（カード）及びアラームｅ（カード）が確認された障害アラームの発生箇所と合致すると確認する。さらに、図１５で示される障害Ｃのルールにおいて、判定ロジック部２０３は、障害Ｃのルール内のアラームｉ（モジュール）及びアラームｋ（モジュール）が合致すると確認する。

判定ロジック部２０３は、その確認の結果が、障害アラームとルール内のアラームとが全て合致したか否か判定する（ステップＳ２４３）。例えば、図１５で示される障害Ｂのルールにおいて、障害Ｂの発生箇所を特定する障害Ｂのアラームｄ（カード）及びアラームｅ（カード）が障害アラームの発生箇所と全て合致する。従って、判定ロジック部２０３は、障害アラームの発生箇所と障害Ｂのルール内のアラームの発生箇所とが全て合致すると判定する。これに対して、図１５で示される障害Ｃのルールにおいて、障害Ｃの発生箇所を特定するアラームｆ（モジュール）が障害アラームにない。そのため、判定ロジック部２０３は、障害アラームの発生箇所と障害Ｃのルール内のアラームの発生箇所とが全て合致しないと判定する。

合致確認の結果、障害アラームの発生箇所とルール内のアラームの発生箇所が全て合致する場合、判定ロジック部２０３は、そのルールの確信度「１」にする（ステップＳ２４４）。例えば、図１５に示される例において、判定ロジック部２０３は、「アラーム（カード）」が全て合致する障害Ｂのルールの確信度を１にする。

また、合致確認の結果、障害アラームの発生箇所とルール内のアラームの発生箇所が合致しないアラームがある場合には、判定ロジック部２０３は、各ルールの確信度を計算する（ステップＳ２４５）。例えば、図１５に示される例において、判定ロジック部２０３は、「アラーム（モジュール）」が全て合致しない障害Ｃを突合数から確信度を計算する。このステップＳ２４５の動作は、図１０で説明した通りであるため、その説明を省略する。

図１６Ａはシミュレーション条件を示し、上の列から順に、１つの障害イベントで発生する上限アラーム数、障害発生総数、１つのルールで登録する上限アラーム数、ルール登録以外での障害アラーム発生が有るか、ルールに登録されたアラームが発生しない数であるアラーム不足数を示す。ここで、図１６の表では障害発生数を２０にしているが、学習済みルールでの障害箇所推定のステップ数を比較するため、障害総数の約５０％の確率で同じ障害イベントが発生するとする。

図１６Ｂは、シミュレーション結果を示しており、横軸が１つの障害イベントで発生する最大アラーム数を表し、縦軸がステップ数を示す。また、Ｎは、サンプル数であり、図１５Ｂでは、Ｎ＝１００である。ここで、ステップ数は、図１０で障害箇所を推定するのに必要としたステップ数を表す。図１５Ｂのシミュレーション結果から分かるように、第１のルール学習よりも第２のルール学習のほうがより少ないステップで障害箇所を推定することができる。そのため、より迅速に障害イベントから普及することが可能になる。

第２のルール学習による作用効果
以上で説明したようにルールを学習する際、アラームの発生箇所も学習することにより、障害箇所を推定する際、同じ確信度で障害箇所を推定することが少なくなる。その結果、早期に障害イベントから復旧することが可能になる。

［他の実施形態］
なお、この発明は上記実施形態に限定されるものではない。例えば、ルール生成装置１とルール学習装置とを別々のコンピュータにより構成したが、１つのコンピュータにより構成しても良い。

また、前記実施形態に記載した手法は、計算機（コンピュータ）に実行させることができるプログラム（ソフトウェア手段）として、例えば磁気ディスク（フロッピー（登録商標）ディスク、ハードディスク等）、光ディスク（ＣＤ－ＲＯＭ、ＤＶＤ、ＭＯ等）、半導体メモリ（ＲＯＭ、ＲＡＭ、フラッシュメモリ等）等の記録媒体に格納し、また通信媒体により伝送して頒布することもできる。なお、媒体側に格納されるプログラムには、計算機に実行させるソフトウェア手段（実行プログラムのみならずテーブル、データ構造も含む）を計算機内に構成させる設定プログラムをも含む。本装置を実現する計算機は、記録媒体に記録されたプログラムを読み込み、また場合により設定プログラムによりソフトウェア手段を構築し、このソフトウェア手段によって動作が制御されることにより上述した処理を実行する。なお、本明細書で言う記録媒体は、頒布用に限らず、計算機内部或いはネットワークを介して接続される機器に設けられた磁気ディスク、半導体メモリ等の記憶媒体を含むものである。

要するに、この発明は上記実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合組み合わせた効果が得られる。さらに、上記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適当な組み合わせにより種々の発明が抽出され得る。

１…ルール学習装置
２…ルールエンジン
１１…プロセッサ
１２…プログラムメモリ
１３…データメモリ
１４…通信インタフェース
１５…入出力インタフェース
１７…入力部
１８…表示部
２１…プロセッサ
２２…プログラムメモリ
２３…データメモリ
２４…通信インタフェース
２５…入出力インタフェース
２６…バス
２７…入力部
２８…表示部
１０１…ルール学習部
１０２…障害事例データベース
２０１…障害イベント送受信部
２０２…ネットワーク構成情報データベース
２０３…判定ロジック部
３００…監視対象装置
４００…保守者

Claims (8)

1. 監視対象装置から生じた障害イベントの障害箇所をユニークに特定する１つ又は複数のアラームを含むルールを学習し、且つ前記１つ又は複数のアラームが発生する箇所を学習するルール学習部を備える、ルール学習装置。
2. 前記１つ又は複数のアラームが発生する箇所は、前記監視対象装置から発生したアラームの発生元である、請求項１に記載のルール学習装置。
3. 前記ルールに含まれる前記１つ又は複数のアラームは、前記ルールと異なるルールに含まれるアラームと重複しない、請求項１又は２に記載のルール学習装置。
4. 前記ルール学習部は、第１の障害のルールの第１のアラーム構成及び前記第１のアラーム構成に含まれるアラームのうちの１つまたは複数のアラームを含む第１のアラームパターンに基づいて自ルールの類似度を計算し、前記第１の障害と異なる第２の障害の第２のアラーム構成及び前記第１のアラームパターンに基づいて他ルールとの類似度を計算する、請求項１乃至３のいずれか１項に記載のルール学習装置。
5. 前記ルール学習部は、前記自ルールの類似度と前記他ルールの類似度の差が最も大きいアラームパターンを前記第１の障害のルールとして選択する、請求項４に記載のルール学習装置。
6. 障害イベントに起因する障害アラームを収集する障害イベント受信部と、
   データメモリに記憶された複数の学習済みルール各々に含まれるアラーム及び前記障害アラームの突合せをそれぞれ行い、前記突合せの結果一致したと判定された障害アラームの発生箇所と、前記学習済みルール内のアラームの発生箇所が全て合致するか否か判定し、全て合致する場合、確信度を１として計算し、合致しない場合、前記突合せの結果一致したアラームのアラーム数を取得し、前記取得したアラーム数各々と、前記アラーム数を取得するために使用した学習済みルールに含まれるルールのアラーム数と、に基づいて前記確信度をそれぞれ計算し、前記計算された確信度のうち最も高い確信度に対応するルールに基づいて障害箇所を判定する判定ロジック部と、
   を備える、ルールエンジン。
7. プロセッサとストレージとを備えるルール学習装置が行うルール学習方法であって、
   障害監視対象装置から生じた障害イベントの障害箇所をユニークに特定する１つ又は複数のアラームを含むルールを学習することと、
   前記１つ又は複数のアラームが発生する箇所を学習することと、
   を備える、ルール学習方法。
8. 請求項１乃至５のいずれか１項に記載のルール学習装置の前記各部としてプロセッサを機能させるルール学習プログラム。

Images