JPH08506947A

JPH08506947A - 事象相関

Info

Publication number: JPH08506947A
Application number: JP6518758A
Authority: JP
Inventors: グレース、アンドリュー
Original assignee: ブリテイッシュ・テレコミュニケーションズ・パブリック・リミテッド・カンパニー
Priority date: 1993-02-23
Filing date: 1994-02-22
Publication date: 1996-07-23
Anticipated expiration: 2013-11-11
Also published as: CA2154585C; DE69410447T2; CN1121384A; AU6111794A; DK0686336T3; WO1994019912A1; ES2117255T3; EP0686336A1; CN1055596C; SG47696A1; DE69410447D1; CA2154585A1; AU671194B2; KR960701563A; EP0686336B1; HK1011162A1; US5748098A; JP2823698B2

Abstract

(57)【要約】装置管理システムに報告される同時の事象は、事象間に関連があるかどうかを確証するために経時的データと比較される。経時的データが同時に個々に発生する事象の統計的確率を決定するのに使用される。この確率が予め決められた閾値以下であれば、これは事象が独立はしていないが、関連していることを示す。そのような関係は、システムの関連に関する先行知識を必要とせずに、関連する事象の識別の際に操作者を助けて、例えば、スクリーンの表示装置上で強調したり或いは系統的に分類することによって、操作者に警告される。事象はネットワークの故障によって生じる警報であるかもしれない。ネットワーク内の色々な点での関連する故障の識別は、それらの共通の故障の識別を助ける。経時的なデータベースは、それらが装置の管理システムに報告される時に、別の事象の発生によって更新されることができ、それによって統計的により正確な結果をもたらすデータベースを拡大する。事象は、自動的に或いは人間の仲介によってシステムに報告されることができる。事象の報告の際の系統的な遅延を見込むために、１つの源からの警報が、設定された時間よりも早くか或いは遅くに発生する別の源からの警報と比較されることができる。

Description

【発明の詳細な説明】事象相関発明の背景本発明は、装置管理システムの動作に関する。これらのシステムは、通信ネットワーク或いは大規模な産業用コンビナートで見られるような対話式装置の動作状態を監視し、或る場合には制御するために使用される。本発明は、通信ネットワークを想定して発明されたが、それは多数の対話式装置を有する他のシステムに応用可能である。装置の管理システムにおいて、モニタ装置は色々な装置の動作状態を感知し、各装置の動作中の重要な事象に応答して装置管理装置に信号を送る。信号はまた、装置の状態を報告するために人間の仲介によっても送ることができる。本明細書において“事象”という用語は、或る状態を示すか、或いは状態を変化させ、そのような信号を送るのに使用される。一般的に、これらの事象とは故障であり、モニタ装置は故障が検出された際に装置管理システムに警報信号を送るための故障検出装置である。例えば、通信ネットワークにおいて、スイッチングセンタの故障によって発生する警報信号は、形成されるべき別の経路設定を準備し、故障のスイッチセンタになされる何等かの必要な修理作業も手配するためにシステムの管理者に警報する。或るシステムにおいて、これらの応答は自動化することができるが、より一般的に故障は人間の介入を必要とし、システムは、システムの管理者に注意を要する故障の詳細を提供するだけである。これは、管理者が、安全の臨界、優先性、および現場作業者のような要因を考慮に入れて、利用可能なリソースの場所を効果的に組織化にすることができる。これによって、システムの管理者はルーチンの保守作業のために取り外された装置によって生じるような既に分かっている原因を持つあまり重要でない警報を無視することもできる。高速ビットのラインシステムの故障のようなネットワークの故障の影響が、依存性リソースの階層へ伝播し、多くのほぼ同時の警報メッセージを開始することが十分に確立される。時間および他のリソースは、根底にある原因が識別されていないならば、全ての警報のリソースを調査することによって無駄にされる可能性がある。故障は、その故障の源に直接接続された全ての装置、或いは１つの地理的な場所の全ての装置（それらは地理的に互いに離れている可能性があるが）、或いは特定の型の全ての装置に影響を及ぼす可能性がある。例えば、外部の電波干渉は、干渉源の電波の範囲内で特定の周波数で動作するネットワオーク内の全ての無線リンクに影響を及ぼすことができるが、ネットワークの接続の観点から、それらは互いに離れているように見える。この知識に基いて、時間的に非常に近接して発生する警報メッセージは、結合或いは相関する傾向があることは知られている。警報メッセージが相関すると考えられる時間ウインドウの大きさは最適化されなければならない、即ちその設定が大き過ぎるならば、接続されていないリソースからの警報メッセージが時間ウインドウに到達する機会が増加し、その設定が小さ過ぎるならば、依存性する警報メッセージの一部分のみが時間ウインドウに到達することができる。或る環境において、関連する故障は後でシステムによってのみ検出されることができる。例えばこれは、最初の故障の時間に動作中でなかった装置が、後で故障した装置との接触を設定しようと試みる場合である。ネットワークの操作者は、ネットワークの特性に従って適切なウインドウの大きさを決定することができる。これは、ネットワークの特性およびその中で監視される故障に依存する。故障が、自動的によりもむしろ人間の仲介によってシステムに報告されるか、或いはそれらの正確なタイミングを測定するのが困難な環境において、ウインドウはほぼ時間或いは更に日付けの順序で、また連続的に自動的に監視されるシステムに関しては適切な時間ウインドウで秒単位で測定することができる。勿論、２つの事象が一度に一緒に発生するという事実のみでは、それらの間に偶然的な関係があることを必ずしも示さない。どんな最適化された時間ウインドウが選択されても、２つ以上の独立した警報の階層が同じ時間ウインドウ内に報告する可能性は有限のままである。次の説明の便宜上、同じ時間ウインドウ内で発生する事象は、同時であると呼ばれる。単一のウインドウ内の時間的相関は実行するための簡単な技術であるが、依存性が警報メッセージ間に実際に存在するかどうかは確実ではない。同時性が依存性を立証することはできず、従って警報メッセージ間の因果関係を証明することはできない。既知の装置管理システムにおいて、これらの問題は、システムのコンピュータモデルを組立てるか、或るいは操作者の知識に頼ることによってアプローチされてきた。これはシステムの詳細で最新の知識を要求し、その正確さは関連する要因の全ての認識によって決まる。更に、そのようなモデルは個々の装置ごとに特定されており、一般的な応用性を有さない。本発明は、関連する警報の事象の識別のための経験的アプローチを採用することによってこれらの欠点を解決する。本発明の第１の態様によると、特定の事象が基準時間の期間中に装置内で発生する時間に関する経時的データを記憶し、特定の事象の別の発生を識別し、別の事象の発生の間の関連性の尺度を決定するために経時的データを解析し、装置管理システムの出力手段にその尺度を与えることを含む装置管理システムによって管理される装置内で発生する事象間の関連の可能性を識別する方法が提供される。本発明は、システムのモデルを予め組立てる必要性を取り除く。本発明の１つの構造において、経時的データは更新されて、その方法に“学習”させ、データベースが大きくなるに従って正確さを向上させ、システムの変化に遅れないようにする。従って、それは一方が他方の直接の結果であるか、或いはそれらが幾つかの共通の根本原因を有するかの何れかの意味で、関連する可能性の高い事象を識別する。普通、モニタされた事象は、管理される装置の構成要索をモニタする装置によって発生された故障の警報であるが、気象センサからのデータ、或いは例えば遠く離れた使用者からの報告に対する応答して、人間の仲介によって管理システムに報告される故障のような、そのような故障と関連する他の事象も、システムに入力される可能性がある。事象発生間の関連の可能性を識別するためのこの方法において、経時的事象のデータを使用することによって、従来の技術の単一のウインドウの時間的相関に大きな力を加えることができる。本発明によると、そのような依存性は、リソース間の関連に関する先行技術の知識無しに、経時的な時間相関技術の使用によって識別することができる。予め決められた時間ウインドウが定められ、別の事象が時間ウインドウ内で発生する事象から選択されるのが好ましい。関連性の尺度は、同じ時間ウインドウ内で偶然に発生した別の事象の統計的な確率であるのが好ましい。１つの構成において、選択された事象と他の２つ以上の事象との関連性が測定され、２つ以上の他の事象が前記の統計的な確率の順序でランク付けされる。出力手段は、表示装置であるのが好ましく、事象は、前記統計的確率が閾値より下である場合のみ表示のために選択される。そのような表示装置において、前記統計的確率が、予め決められた値であるか、或いは前記統計的確率の範囲或いはパターンに応じた基準に基いて選択される閾値以下であるならば、表示される事象は強調されることができる。選択された事象は、システムによって識別可能な異なる事象の間から選択可能であることが好ましい。好ましい実施例において、装置管理システムは、管理される装置をモニタし、事象の発生を検出する。しかしながら、少なくとも事象の幾つかは人間の仲介によってシステムに対して識別可能である。経時的データは、基準時間の期間を選択し、基準時間の期間を予め決められた大きさの時間ウインドウに分割し、解析される各事象に対して、事象が発生する基準時間の期間内における各時間ウインドウの識別値を記憶することによって記憶されることができる。解析方法は、次のように行うことができる。時間ウインドウの１つが解析するために選択され、選択された時間ウインドウ内で発生する第１の事象が選択され、選択された時間ウインドウ内で発生する別の事象が識別され、そのような他の事象に対して、事象が発生した基準時間の期間における時間ウインドウの記憶された識別値が、前記第１の事象と同じ時間ウインドウにおいて偶然に発生するそのような他の事象の統計的な確率を計算するために使用される。代りの解析方法は次の通りである。時間ウインドウの１つが解析のために選択されて、選択された時間ウインドウ内で発生する第１の事象が選択され、予め決められた関係によって選択された時間ウインドウに関連付けられている第２の時間ウインドウ内で発生する他の事象が識別され、そのような各他の事象に対して、事象が発生した基準時間の期間内の時間ウインドウの記憶された識別値は、第１の事象が発生する時間ウインドウに対する同じ予め決められた関係を有する時間ウインドウ内で偶然に発生するそのような他の事象の統計的確率を計算するために使用される。予め決められた関係は、時間差であるのが好ましい。同じ時間ウインドウにおける偶然的な事象ＡＲ_mおよびＡＲ_nの発生の確率の尺度は次のように決定することができる。ここで、ｋは、第１の等級の事象が発生する時間ウインドウの数である。ｒは、他の等級の事象が発生する時間ウインドウの数である。ｐは、第１の等級と他の等級の両方の事象が一緒に発生する時間ウインドウの数である。基準時間の期間は固定されるか、或いはそれは連続的に更新されることができる。事象は、例えばシステムの故障の状態である。解析は、故障が明白にされた後で、故障の根本原因を明らかにするために、即ち他のものを故障させる信頼できない構成要素を識別するために、回顧的に行われることもできる。代りに、解析は、故障の原因の場所を突き止めて修理するために故障状態中に実時間で行われ、その結果技術者の同伴を必要とせずに他の故障の報告を明らかにすることができる。本発明は、好ましい実施例において、事象の同時発生の統計的な確率の解析に依存している。本質的に、２つの独立した事象の非常にい低い確率、即ちそれらの両方は殆ど同時発生しないという事実に依存している。従って、それにも関わらず同時に発生する２つの希な事象の経歴があるならば、事象は独立しておらず、それらの間に関連性がある可能性がある。この方法において、２つの事象が偶然に同時に発生する可能性が尺度とされる。この方法は、可能性の整合のために操作者によって対で選択された事象を比較するために使用されることができるが、別の構造において、同時発生する全ての事象の間で比較が行われ、それから偶然に一時に一緒に発生するそれらの計算された確率の順序に従ってランク付けされる。これらは、一般に２つのグループに分けられる、即ち偶然に一緒に発生する高い確率を有するものと、ずっと低い確率を有するものとに分けられ、それらの同時性がランダムに一致しそうにないことと、それらの間に関連性がありそうなこととを示す。多くの潜在的関係が評価される大型のシステムに関して、そのような事象を識別する方法が望ましい。その方法は、ランク順の事象の表示がスクリーンの表示において相関する事象のみを強調するか、或いは相関する事象のみを表示することを含む。それ以下になると原因が関連し易くなる閾値が予め決定されるか、或いは閾値はケースバイケースで決定される確率のパターンによって変化する可能性がある。この閾値のレベルは、どの事象が表示されるか或いは強調されるかを決定することができる。２つ以上の閾値を使用して、相関関係の確実性の異なったレベルを識別することができる。基準時間の期間を固定することができるが、データが連続的に更新されることが好ましい。これはシステムに学習させ、データベースが大きくなるに従って、それはより信頼できるものになる。或る環境において、原因の報告と効果の報告との間、或いは共通の原因からの２つの効果の報告の間で系統的に遅延する可能性がある。これが起こる可能性のあるシステムにおいて、比較される２つの事象に対してずらされた時間ウインドウを使って繰り返され、例えば所定の時間ウインドウでの第１の事象の発生が、直ぐ前のウインドウにおける第２の事象の発生と比較される。本発明の第２の態様において、システムによって管理される装置において発生する事象を識別するためのモニタ手段と、そのような事象に関連する経時的データを記憶するための記憶手段と、モニタ手段によって識別されたものの間から相関させる事象を選択するための手段と、記憶手段内に記憶された経時的データを使用するモニタ手段によって識別された他の事象と選択された事象とを相関するための相関手段と、相関手段によって決定される相関関係を表示するための表示手段とを具備する装置管理システムが提供される。このシステムは、モニタ手段内に保持されるデータを記憶手段内のデータに加えて、記憶手段内のデータが時々刻々更新されるようにするための更新手段を具備することができる。相関手段は、統計的な相関関係を行うものが好ましい。事象を人間の仲介によって、例えばキーボードによって、モニタ手段に報告する手段が具備されても良い。これは、例えば警報それ自身が故障した場合に必要とされる可能性がある。表示手段は、例えば相関する事象を強調することによって、相関していない事象と視覚的に区別することができるような方法で、事象を表示することが好ましい。図１は、本発明の方法の実施例が、相互依存性を決定するために例示的に適用された簡単なネットワークを示す図である。図２は、図１のネットワークに対する例示的な経時的警報のデータを示す図である。図３は、本発明の方法の実施例によって決定される相互依存性に関する図１のネットワークを示す図である。図４のａ、ｂ、およびｃは、本発明の方法によって得られる結果を表す依存性のグループの“対比一覧表”を示す。図５は、本発明の第２の例示的相関関係を実行する、本発明の方法によって形成された表示を示す図である。図６は、本発明の実施例を実行するための装置を示す図である。本発明の実施例のこの説明の理解を助けるために、最初に、６つのリソースＡ、Ｂ、Ｃ、Ｄ、Ｅ、Ｆのみを有し、ただ１０の時間ウインドウ（ｔ−９乃至ｔ０）に分割された基準時間の期間を伴う図１の簡単なネットワークに適用される。ＡＲ１、ＡＲ２、ＡＲ３、ＡＲ４、ＡＲ５、ＡＲ６は、リソースによって発生される可能性のある警報である。図２は、基準時間の期間に各リソースから到達したと考えられる警報メッセージの例示的な経時的シーケンスを示す。本発明の方法に続いて、事象の発生は操作者によって解析のために選択される。この例では、時間ウインドウｔ０内で発生する警報ＡＲ１が選択される。この例では、このウインドウ内でＡＲ１と同時に、他の全ての事象ＡＲ２乃至ＡＲ６が発生した。各事象の発生する確率（ｒ）は、経時的データから基準時間の期間（ｎ）内のウインドウの総数によって分割されたそれが発生するウインドウの数（ｘ）を計算することによって得られる。即ちＡＲ１、ＡＲ２、およびＡＲ５に対して０．５、ＡＲ３およびＡＲ６に対して０．１、ＡＲ４に対して０．９である。各事象ＡＲ２、ＡＲ４、およびＡＲ５は、ＡＲ１と同時に５回発生し、一方でＡＲ３およびＡＲ６は、ＡＲ１と１回だけ同時に発生する。２つのリソースの間の依存性は、それらの各経時的警報のシーケンスが、純粋な機会によって類似である確率が低いならば存在する傾向がある。２つの経時的警報のシーケンスの確率ＡＲ_m（ｔ）およびＡＲ_n（ｔ）は、偶然に同じであり、二項分布から計算することができる。ここで、ｋは、ＡＲ_nが活性である時間ウインドウの数である。ｐは、ＡＲ_mおよびＡＲ_nが活性である時間ウインドウの数である。ｒは、ＡＲ_mに対するＡＲ_nの依存性がテストされる時にＡＲ_mが活性である確率である。ｒは、その方法で、ｘ／ｎを計算することによって経験に基いて決定され、ここでｎは時間ウインドウの総数であり、ｘはＡＲ_mが活性であるウインドウの数である。偶然に一緒に発生する各警報ＡＲ_m、ＡＲ_nの対の確率を計算した後で、その組合せは関連性を示す“対比一覧表”を作るようにそれらの確率の順序にランク付けすることができる。上式によって与えられるような相関関係の確率は、大きさ小さいものから順番に図４ａ乃至４ｃの表に示されている。従って、図４ａから容易に分かるように、偶然にＡＲ１と同時に発生する可能性の最も低い警報（および関連する可能性の最も高いもの）は、ＡＲ２およびＡＲ５である。決定の閾値は、依存性の確率と非依存性の確率との間の区切り点の存在する位置を決定するために適用することができる。この閾値は予め決定されるか、或いは結果の集合に基いて計算される。例えば図４ａは、図１に示される全てのリソースとＡＲ１（t）の経時的な時間的相関を行わせることによってもたらされる依存性の対比一覧表を示す。ＡＲ２およびＡＲ５は、ＡＲ１自身と、同じ依存性の階層中に入ることが認められる。図４ａ内の二重線は、依存性／非依存性の閾値が適用されるべき位置を示す。類似する警報の確率は、この閾値を跨ぐ大きさの順序によって変更を伴う２つのグループに集まる。操作者のディスプレイにおいて、閾値の上のスクリーン２の領域は、何等かの方法で強調されることができる。その代りに、相関する事象は、表示される唯一のものであっても良い。その方法は繰り返されて、別の警報を他のものと比較するために選択することができる。図４ｂに示されるように、ＡＲ３に関してＡＲ６とのランダムな相関の確率は０．１であり、他のリソースとのランダムな相関の確率は０．３よりも大きい。同じように、ＡＲ４を使って、全ての相関が少なくとも０．２４のランダムな発生の確率を有することを決定することができる。従って、事象ＡＲ４が他のものと相関しないことが分かる。これらの結果は４ｃに示される。図１の簡単なネットワークにおいて、図２を視覚的に調べることによって、これらの結果が直観的に合理的であることが認められる。全ての経時的な警報メッセージを視覚的に調べることによって、ＡＲ１（t）の経時的パターンがＡＲ２（t）およびＡＲ５（t）の両方のそれと同じであるが、ＡＲ３（t）、ＡＲ４（t ）、およびＡＲ６（t）のそれとは非常に異なっていることが分かる。ＡＲ３（t ）は、ＡＲ６（t）と同じパターンを有するが、他の全ての警報のシーケンスとは非常に異なっている。全てのリソースの警報はウインドウt0内で時間的に相関していたが、これらの警報シーケンスの経時的な時間相関は、ＡＲ１およびＡＲ２がＡＲ５と関連している確率が高く、ＡＲ３がＡＲ６と関連していた確率が高いことを示す（図３参照）。ＡＲ４に関連する警報は見られない。しかしながら、数百のリソースを有する可能性のあるより複雑なシステムにおいて、そのような視覚に頼る解析は不可能である。更に、実際のネットワークにおいて、警報信号は例のものよりもずっと低い周波数で発生し、従って統計的に有益なデータベースを供給するのに必要とされる時間フレームの数は非常に大きい。更に、熟練した操作者はこれらの警報の多くを手動で小グループに分けることができるが、データは従来の技術のシステムにおいては、最も重要な警報（即ち、他の警報の殆どがそれに依存しているもの）を識別できる方法で与えられない。従って、本発明の方法は、可能な相関関係の数が直観的にグループに分けるには大き過ぎる大型のシステムにおいて使用するのに特に適している。事象の発生（ｒ）の確率が小さい時、第１の例において使用される二項分布はポアソン分布に近似している。第２の例のように、実際のデータを使用して、１回限りの経時的な時間相関は、一定の日付けに関して１０：５３：４３で故障を報告するＢＴネットワークモニタシステム（ＮＥＴＭＯＮ）内の選択されたリソースと、同じウインドウ内で報告するシステム内の他の全てのリソースとの間で行われた。経時的なデータベースは、１５０秒のウインドウの大きさ、即ち１７，８５６個のウインドウを使用して、１９９０年１２月の全ての警報データ（故障の報告）で構成される。１９９０年１２月の国内のＭＥＴＭＯＮのデータベースは、約４０，０００のリソースからの約２×１０⁶の警報を保持する。明らかに、そのような量のデータからの経時的パターンの識別は簡単な検査では処理することができない。この例において、閾値の値は予め決定されるであろう。上の図から、基準期間内の１リソース当りの平均的な警報の数は、約2,000,000／40,000＝50であり、従って所定の時間ウインドウにおける平均的な発生の確率は、50／17856＝0.002 8である。従って、ランダムに選択されたリソースの対の所定のウインドウ内で同時に報告する確率は、約（0.0028）²＝7.8×10^-6である。（40,000）²＝1.6×10⁹のリソースの可能な対があるので、所定の時間ウインドウ中に約12,500のランダムな相関がある。これらのランダムな相関によって圧倒されるのを避けるために、統計的に最も重要な相関のみを報告するように閾値の値が選択される。以下の例において、10^-8 の閾値の確率が使用される。図５は、このデータに関する本発明による相関方法を行うことによって生成される依存性の“対比一覧表”の上部部分を示す。これはスクリーン１に表される（図６参照）。対比一覧表の上部の見出しは、選択されたリソースによって報告される故障に関するものである。閾値の値は、表のこの部分の下方に記載されている。表は５つの列を有する。第１の列は、故障が位置する領域を示し、ＮＥ＝北東地方、Ｓ＝スコットランド、Ｍ＝中部地方、Ｌ＝ロンドン、ＮＷ＝北西地方である。第２の列は、警報の実際の起点を明記する。第３の列は、故障の位置を示す２文字のコードによって予め決められた故障の性質を示す（システムは、故障それ自身から離れた場所で故障を警告することができることに留意されたい）。第４の列は、偶然に発生する警報故障の確率を計算する。第５の列は、相関の確率を与える。この対比一覧表内のそれらの場所から、警報の依存性の階層内のリソース間の多くの関連性を識別するのが容易になった。それでなければこれは明らかにならないであろう。この階層内の故障は、レイチェスタ（ＬＥ）、リーズ（ＬＳ）、シェフィールド（ＳＦ）、エジンバラ（ＥＨ）、ケンブリッジ（ＣＢ）、ロンドン（Ｌ）、マンチェスタ（ＭＲ）、等のような略書きのコード（列３参照）を有するのが分かる。この対比一覧表によって明らかにされる相関の幾つかは明白な原因を有し、例えば最初の１３は全て選択されたソースと同じ場所で発生する。しかしながら、警報が、ＬＥ／Ｄ（レイチェスタＤ）と符号を付けられている同じ場所から全て放射している３つのラインシステム、即ちレイチェスタＤからダービＦ、レイチェスタＤからリーズＧ、レイチェスタＤからシェフィールドＥへ放射することが認められる。この依存性の階層の頂点は、パワーの関連する効果であることが分かる。この例示的な経時的な時間相関の結果は、ＬＥ／Ｄと符号を付けられた場所への電力電源の到達に関する問題が広い地理的領域で発生する多くの警報に対して合理的であることを示している。多数の関連していない警報の存在のために、従来の技術の単一のウインドウの時間の相関の結果を見ても、この結論を引き出すことはできないであろうが、本発明の方法によって決定されるランク付けからより容易に識別することができる。ポスト解折は、この場合、実際には故障がレイチェスタ地域内のネットワークの一部分への電力電源に存在することを明らかにした。本発明において使用される経時的な時間の相関の原理は、警報の依存性の自己学習のための技術としてネットワーク管理システムによって使用されることができる。人工の中性のネットワークの原理は、警報の依存性の自己学習が機能できる１つのフレームワークを与える。それらが識別されるように相関関係を記録することによって、システムはコンピュータモデルの依存性を組み立てることができ、その結果警報の特定のパターンが次に発生する時に、それは警報が関連していることをより容易に識別することができる。本発明のネットワーク管理システムは図６に示される。数多くの相互接続を有するリソースＲ１乃至Ｒ９のネットワークが示されている。リソースＲ１乃至Ｒ８は、スクリーン１で操作者３へ表示するためにネットワークモニタ手段２へ警報状態を報告する各モニタＡＲ１乃至ＡＲ８を有する。リソースＲ９は管理システムに直接に接続されるのではなく、リソースＲ９内で発生する故障を発見する現場作業者４は、例えば電話接続Ｔによって、作業者３に知らせることができ、その結果故障の状態はデータ入力手段５および入力リンク12によってモニタ手段２に報告されることができる。時計９の制御のもとで、警報状態は、その発生時に、更新リンク11を通って記憶装置６へ周期的に報告される。別の故障と相関するのが望ましいと思われる故障をスクリーン１から観察する際、操作者３は、相関する警報状態を選択するための入力手段５を使用することができる。現在の警報状態の情報は、相関手段７によってモニタ手段２から抽出される。相関手段７は、記憶装置６から経時的データを抽出し、（上で述べられたような）統計的解析を行って、モニタ手段２に現在報告された各警報ごとに、選択された警報と同じ時間に発生するそれの理論的確率を計算する。警報は、スクリーン１上で確率を小さいものから順番に表示される。予め決められた値以下の相関確率を有する警報は、強調表示８によって識別される。モニタ装置２、スクリーン１、入力リンク12、時計９、更新リンク11、記憶装置６、および相関手段７は、適切なソフトウエアを具備するコンピュータとして実行されることができる。

【手続補正書】特許法第１８４条の８【提出日】１９９５年２月１５日【補正内容】明細書事象相関発明の背景本発明は、通信ネットワークの管理システムの動作に関する。これらのシステムは、通信ネットワークで見られるような対話式ネットワーク素子の動作状態を監視し、或る場合には制御するために使用される。ネットワークの管理システムにおいて、モニタ装置は色々なネットワーク素子の動作状態を感知し、各装置の動作中の重要な事象に応答してネットワーク管理装置に信号を送る。信号はまた、装置の状態を報告するために人間の仲介によっても送ることができる。本明細書において“事象”という用語は、或る状態を示すか、或いは状態を変化させ、そのような信号を送るのに使用される。一般的に、これらの事象とは故障であり、モニタ装置は故障が検出された際にネットワーク管理システムに警報信号を送るための故障検出装置である。例えば、通信ネットワークにおいて、スイッチングセンタの故障によって発生する警報信号は、形成されるべき別の経路設定を準備し、故障のスイッチセンタになされる何等かの必要な修理作業も手配するためにシステムの管理者に警報する。或るシステムにおいて、これらの応答は自動化することができるが、より一般的に故障は人間の介入を必要とし、システムは、システムの管理者に注意を要する故障の詳細を提供するだけである。これは、管理者が、安全の臨界、優先性、および現場作業者のような要因を考慮に入れて、利用可能なリソースの場所を効果的に組織化にすることができる。これによって、システムの管理者はルーチンの保守作業のために取り外された装置によって生じるような既に分かっている原因を持つあまり重要でない警報を無視することもできる。高速ビットのラインシステムの故障のようなネットワークの故障の影響が、依存性リソースの階層へ伝播し、多くのほぼ同時の警報メッセージを開始することが十分に確立される。時間および他のリソースは、根底にある原因が識別されていないならば、全ての警報のリソースを調査することによって無駄にされる可能性がある。故障は、その故障の源に直接接続された全ての装置、或いは１つの地理的な場所の全ての装置（それらは地理的に互いに離れている可能性があるが）、或いは特定の型の全ての装置に影響を及ぼす可能性がある。例えば、外部の電波干渉は、干渉源の電波の範囲内で特定の周波数で動作するネットワオーク内の全ての無線リンクに影響を及ぼすことができるが、ネットワークの接続の観点から、それらは互いに離れているように見える。この知識に基いて、時間的に非常に近接して発生する警報メッセージは、結合或いは相関する傾向があることは知られている。警報メッセージが相関すると考えられる時間ウインドウの大きさは最適化されなければならない、即ちその設定が大き過ぎるならば、接続されていないリソースからの警報メッセージが時間ウインドウに到達する機会が増加し、その設定が小さ過ぎるならば、依存性する警報メッセージの一部分のみが時問ウインドウに到達することができる。或る環境において、関連する故障は後でシステムによってのみ検出されることができる。例えばこれは、最初の故障の時間に動作中でなかった装置が、後で故障した装置との接触を設定しようと試みる場合である。ネットワークの操作者は、ネットワークの特性に従って適切なウインドウの大きさを決定することができる。これは、ネットワークの特性およびその中で監視される故障に依存する。故障が、自動的によりもむしろ人間の仲介によってシステムに報告されるか、或いはそれらの正確なタイミングを測定するのが困難な環境において、ウインドウはほぼ時間或いは更に日付けの順序で、また連続的に自動的に監視されるシステムに関しては適切な時間ウインドウで秒単位で測定することができる。勿論、２つの事象が一度に一緒に発生するという事実のみでは、それらの間に偶然的な関係があることを必ずしも示さない。どんな最適化された時間ウインドウが選択されても、２つ以上の独立した警報の階層が同じ時間ウインドウ内に報告する可能性は有限のままである。次の説明の便宜上、同じ時間ウインドウ内で発生する事象は、同時であると呼ばれる。単一のウインドウ内の時間的相関は実行するための簡単な技術であるが、依存性が警報メッセージ間に実際に存在するかどうかは確実ではない。同時性が依存性を立証することはできず、従って警報メッセージ間の因果関係を証明することはできない。これらの問題がネットワークのコンピュータモデルを組立てるか、或るいは操作者の知識に頼ることによってアプローチされてきたネットワーク管理システムは、既に知られている。Kerschberg氏、他による論文（実在関係のアプローチに関する第９回国際会議の議事録、Lausanul．1990年10月、225乃至269頁）において、この問題が論議された。ネットワークのレイアウトの知識は、幾つかの警報が互いに関連していることを識別するのに使用される。Wolson氏、他による別の論文（ソフトウエアエンジニアリングに関するIEEEの会報、第１７巻、第９号、 1991年９月、944乃至953頁）には、そのような知識に基いたシステムに使用するのに適した実験計画記録が説明されている。しかしながら、この方法はシステムの詳細で最新の知識を要求し、その正確さは関連する要因の全ての認識によって決まる。更に、そのようなモデルは個々の装置ごとに特定されており、一般的な応用性を有さない。本発明は、関連する警報の事象の識別のための経験的アプローチを採用することによってこれらの欠点を解決する。本発明の第１の態様によると、通信ネットワークのためのネットワーク管理システムにおいて警報信号を自動的に処理するための方法が提供され、前記警報信号は、通信ネットワークの複数の構成要素内で発生する警報状態の結果として通信ネットワークにおいて発生し、前記方法は通信ネットワークからネットワーク管理システムへ警報信号を伝播するステップを含み、更に警報状態が基準時間中に通信ネットワークのネットワーク管理システムの記憶形成部分で発生する時間に関する経時的データを記憶し、通信ネットワークの予め決められた時間ウインドウ内で発生する警報状態を識別し、同じ時間ウインドウ内で偶然に発生する識別された警報状態の対の統計的確率を決定するために経時的データを解析することによって識別された警報状態を相関させ、ネットワーク管理システムの表示装置上にその統計的確率の少なくとも幾つかを表示するステップによって特徴付けられる。この方法で経時的警報状態のデータを使用することによって、警報状態間の蓋然的な関連性を識別することができる。その様な関連性は、ネットワークの構成要素間の関連性に関する先行技術の知識無しに、本発明の経時的な時間相関技術の使用によって識別することができる。本発明は、ネットワークのモデルを予め組立てる必要性を取り除く。それは一方が他方の直接の結果であるか、或いはそれらが幾つかの共通の根本原因を有するかの何れかの意味で、関連する可能性の高い事象を識別する。その方法は、識別された警報状態の１つを選択し、残りの識別された警報状態の各々に対して、偶然に同じ時間ウインドウ内で発生する警報状態および選択された警報状態の統計的な確率を決定するステップを含むことが好ましい。それは、統計的な確率を大きさの小さいものから順番にランク付けするステップを含むことが有効である。その方法は、予め決められた閾値より下の統計的な確率を識別するステップを含むことが有効である。本発明の１つの構成において、基準時間の期間は、等しい継続時間を有する複数の時間ウインドウに分割され、偶然に同じ時間ウインドウ内で発生する一対の警報状態ＡＲ_mおよびＡＲ_nの統計的な確率は以下の式によって決定される。ここで、ＡＲ_mに対するＡＲ_nの依存性をテストする時の、ｋは、ＡＲ_mが発生する時間ウインドウの数であり、ｒは、時間ウインドウの１つにおいて活性であるＡＲ_mの確率であり、ｐは、事象ＡＲ_mおよびＡＲ_nの両方が発生する時間ウインドウの数である。基準時間の期間は固定されるか、或いはそれは、警報状態が発生する時間に関する経時的データを記憶するステップを周期的に繰り返すことによって、即ち予め決められた時間ウインドウ内で発生する警報状態に関するデータを加えることによって、連続的に更新されることができる。解析は回顧的に行うことができる、即ち警報状態に因る故障が明白にされた後で、故障の根本原因は識別されることができ、それによって他のものを故障させる信頼できない構成要素を識別することができる。その代りに、解析は、故障の原因の場所を突き止めて修理するために故障状態中に実時間で行われ、その結果技術者の同伴を必要とせずに他の故障の報告を明らかにすることができる。本発明は、警報状態の同時発生の統計的な確率の解析に依存している。本質的に、２つの独立した警報状態の非常にい低い確率、即ちそれらの両方は殆ど同時発生しないという事実に依存している。従って、それにも関わらず同時に発生する２つの希な警報状態の経歴があるならば、警報状態は独立しておらず、それらの間に関連性がある可能性がある。この方法は、可能性の整合のために操作者によって対で選択された警報状態を比較するために使用されることができるが、別の構造において、同時発生する全ての警報状態の間で比較が行われ、それから偶然に一時に一緒に発生するそれらの計算された確率の順序に従ってランク付けされる。これらは、一般に２つのグループに分けられる、即ち偶然に一緒に発生する高い確率を有するものと、ずっと低い確率を有するものとに分けられ、それらの同時性がランダムに一致しそうにないことと、それらの間に関連性がありそうなこととを示す。多くの潜在的関係が評価される大型のシステムに関して、そのような警報状態を識別する方法が望ましい。その方法は、ランク順の警報状態の表示がスクリーンの表示において相関する警報状態のみを強調するか、或いは相関する警報状態のみを表示することを含む。それ以下になると原因が関連し易くなる閾値が予め決定されるか、或いは閾値はケースバイケースで決定される確率のパターンによって変化する可能性がある。この閾値のレベルは、どの警報状態が表示されるか或いは強調されるかを決定することができる。２つ以上の閾値を使用して、相関関係の確実性の異なったレベルを識別することができる。２つ以上の閾値を使用して、相関関係の確実性の異なったレベルを識別することができる。基準時間の期間を固定することができるが、データが連続的に更新されることが好ましい。これはシステムに学習させ、データベースが大きくなるに従って、以前よりも信頼できるものになる。或る環境において、原因の報告と効果の報告との間、或いは共通の原囚からの２つの効果の報告の間で系統的に遅延する可能性がある。これが起こる可能性のあるシステムにおいて、その方法は、互いの予め決められた時間内の複数の構成要素に関する信号を選択するステップを含み、ここで１秒以内、即ち互いの予め決められた時間よりも短く発生する信号は無視され、それによって２つの予め決められた時間の間にある範囲に起こる遅延によって分離されて発生する信号を検出する。この方法は、複数の異なる遅延時間に対して繰り返されても良い。本発明の第２の態様によると、通信ネットワークの複数の構成要素において発生する警報状態の結果としてモニタ装置によって発生される警報信号を自動的に処理するためのネットワーク管理システムが提供され、それは前記警報信号を受信するための手段を具備しており、更に、基準時間の期間中に通信ネットワークにおいて警報状態が発生する回数に関する経時的データを記憶するための手段と、予め決められた時間ウインドウ内で発生する時に識別される警報状態を相関し、偶然に或る時間ウインドウ内で発生する識別された警報状態の対の統計的な確率を決定するように構成された相関手段と、相関手段によって決定された統計的確率の少なくとも幾つかを表示するための手段を具備することを特徴とする。図１は、本発明の方法の実施例が、相互依存性を決定するために例示的に適用された簡単な通信ネットワークを示す図である。図２は、図１のネットワークに対する例示的な経時的警報のデータを示す図である。図３は、本発明の方法の実施例によって決定される相互依存性に関する図１のネットワークを示す図である。図４のａ、ｂ、およびｃは、本発明の方法によって得られる結果を表す依存性のグループの“対比一覧表”を示す。図５は、本発明の第２の例示的相関関係を実行する、本発明の方法によって形成された表示を示す図である。図６は、本発明の実施例を実行するための装置を示す図である。本発明の実施例のこの説明の理解を助けるために、最初に、６つのリソースＡ、Ｂ、Ｃ、Ｄ、Ｅ、Ｆのみを有し、ただ１０の時間ウインドウ（ｔ−９乃至ｔ０）に分割された基準時間の期間を伴う図１の簡単なネットワークに適用される。ＡＲ１、ＡＲ２、ＡＲ３、ＡＲ４、ＡＲ５、ＡＲ６は、リソースによって発生される可能性のある警報である。図２は、基準時間の期間に各リソースから到達したと考えられる警報メッセージの例示的な経時的シーケンスを示す。本発明の方法に続いて、事象の発生は操作者によって解析のために選択される。この例では、時間ウインドウｔ０内で発生する警報ＡＲ１が選択される。この例では、このウインドウ内でＡＲ１と同時に、他の全ての事象ＡＲ２乃至ＡＲ６が発生した。各事象の発生する確率（ｒ）は、経時的データから基準時間の期間（ｎ）内のウインドウの総数によって分割されたそれが発生するウインドウの数（ｘ）を計算することによって得られる。即ちＡＲ１、ＡＲ２、およびＡＲ５に対して０．５、ＡＲ３およびＡＲ６に対して０．１、ＡＲ４に対して０．９である。各事象ＡＲ２、ＡＲ４、およびＡＲ５は、ＡＲ１と同時に５回発生し、一方でＡＲ３およびＡＲ６は、ＡＲ１と１回だけ同時に発生する。２つのリソースの間の依存性は、それらの各経時的警報のシーケンスが、純粋な機会によって類似である確率が低いならば存在する傾向がある。２つの経時的警報のシーケンスの確率ＡＲ_m（ｔ）およびＡＲ_n（ｔ）は、偶然に同じであり、二項分布から計算することができる。ここで、ｋは、ＡＲ_nが活性である時間ウインドウの数である。ｐは、ＡＲ_mおよびＡＲ_nが活性である時間ウインドウの数である。ｒは、ＡＲ_mに対するＡＲ_nの依存性がテストされる時にＡＲ_mが活性である確率である。ｒは、その方法で、ｘ／ｎを計算することによって経験に基いて決定され、ここでｎは時間ウインドウの総数であり、ｘはＡＲ_mが活性であるウインドウの数である。偶然に一緒に発生する各警報ＡＲ_m、ＡＲ_nの対の確率を計算した後で、その組合せは関連性を示す“対比一覧表”を作るようにそれらの確率の順序にランク付けすることができる。上式によって与えられるような相関関係の確率は、大きさ小さいものから順番に図４ａ乃至４ｃの表に示されている。従って、図４ａから容易に分かるように、偶然にＡＲ１と同時に発生する可能性の最も低い警報（および関連する可能性の最も高いもの）は、ＡＲ２およびＡＲ５である。決定の閾値は、依存性の確率と非依存性の確率との間の区切り点の存在する位置を決定するために適用することができる。この閾値は予め決定されるか、或いは結果の集合に基いて計算される。例えば図４ａは、図１に示される全てのリソースとＡＲ１（t）の経時的な時間的相関を行わせることによってもたらされる依存性の対比一覧表を示す。ＡＲ２およびＡＲ５は、ＡＲ１自身と、同じ依存性の階層中に入ることが認められる。図４ａ内の二重線は、依存性／非依存性の閾値が適用されるべき位置を示す。類似する警報の確率は、この閾値を跨ぐ大きさの順序によって変更を伴う２つのグループに集まる。操作者のディスプレイにおいて、閾値の上のスクリーン２の領域は、何等かの方法で強調されることができる。その代りに、相関する事象は、表示される唯一のものであっても良い。その方法は繰り返されて、別の警報を他のものと比較するために選択することができる。図４ｂに示されるように、ＡＲ３に関してＡＲ６とのランダムな相関の確率は０．１であり、他のリソースとのランダムな相関の確率は０．３よりも大きい。同じように、ＡＲ４を使って、全ての相関が少なくとも０．２４のランダムな発生の確率を有することを決定することができる。従って、事象ＡＲ４が池のものと相関しないことが分かる。これらの結果は４ｃに示される。図１の簡単なネットワークにおいて、図２を視覚的に調べることによって、これらの結果が直観的に合理的であることが認められる。全ての経時的な警報メッセージを視覚的に調べることによって、ＡＲ１（t）の経時的パターンがＡＲ２（t）およびＡＲ５（t）の両方のそれと同じであるが、ＡＲ３（t）、ＡＲ４（t ）、およびＡＲ６（t）のそれとは非常に異なっていることが分かる。ＡＲ３（t ）は、ＡＲ６（t）と同じパターンを有するが、他の全ての警報のシーケンスとは非常に異なっている。全てのリソースの警報はウインドウ10内で時間的に相関していたが、これらの警報シーケンスの経時的な時間相関は、ＡＲ１およびＡＲ２がＡＲ５と関連している確率が高く、ＡＲ３がＡＲ６と関連していた確率が高いことを示す（図３参照）。ＡＲ４に関連する警報は見られない。しかしながら、数百のリソースを有する可能性のあるより複雑なシステムにおいて、そのような視覚に頼る解析は不可能である。更に、実際のネットワークにおいて、警報信号は例のものよりもずっと低い周波数で発生し、従って統計的に有益なデータベースを供給するのに必要とされる時間フレームの数は非常に大きい。更に、熟練した操作者はこれらの警報の多くを手動で小グループに分けることができるが、データは従来の技術のシステムにおいては、最も重要な警報（即ち、他の警報の殆どがそれに依存しているもの）を識別できる方法で与えられない。従って、本発明の方法は、可能な相関関係の数が直観的にグループに分けるには大き過ぎる大型のシステムにおいて使用するのに特に適している。事象の発生（ｒ）の確率が小さい時、第１の例において使用される二項分布はポアソン分布に近似している。第２の例のように、実際のデータを使用して、１回限りの経時的な時間相関は、一定の日付けに関して１０：５３：４３で故障を報告するＢＴネットワークモニタシステム（ＮＥＴＭＯＮ）内の選択されたリソースと、同じウインドウ内で報告するシステム内の他の全てのリソースとの間で行われた。経時的なデータベースは、１５０秒のウインドウの大きさ、即ち１７，８５６個のウインドウを使用して、１９９０年１２月の全ての警報データ（故障の報告）で構成される。１９９０年１２月の国内のＭＥＴＭＯＮのデータベースは、約４０，０００のリソースからの約２×１０⁶の警報を保持する。明らかに、そのような量のデータからの経時的パターンの識別は簡単な検査では処理することができない。この例において、閾値の値は予め決定されるであろう。上の図から、基準期間内の１リソース当りの平均的な警報の数は、約2,000,000／40,000＝50であり、従って所定の時間ウインドウにおける平均的な発生の確率は、50／17856＝0.002 8である。従って、ランダムに選択されたリソースの対の所定のウインドウ内で同時に報告する確率は、約（0.0028）²＝7.8×10^-6である。（40,000）²＝1.6× 10⁹のリソースの可能な対があるので、所定の時間ウインドウ中に約12,500のランダムな相関がある。これらのランダムな相関によって圧倒されるのを避けるために、統計的に最も重要な相関のみを報告するように閾値の値が選択される。以下の例において、10^-8 の閾値の確率が使用される。図５は、このデータに関する本発明による相関方法を行うことによって生成される依存性の“対比一覧表”の上部部分を示す。これはスクリーン１に表される（図６参照）。対比一覧表の上部の見出しは、選択されたリソースによって報告される故障に関するものである。閾値の値は、表のこの部分の下方に記載されている。表は５つの列を有する。第１の列は、故障が位置する領域を示し、ＮＥ＝北東地方、Ｓ＝スコットランド、Ｍ＝中部地方、Ｌ＝ロンドン、ＮＷ＝北西地方である。第２の列は、警報の実際の起点を明記する。第３の列は、故障の位置を示す２文字のコードによって予め決められた故障の性質を示す（システムは、故障それ自身から離れた場所で故障を警告することができることに留意されたい）。第４の列は、偶然に発生する警報故障の確率を計算する。第５の列は、相関の確率を与える。この対比一覧表内のそれらの場所から、警報の依存性の階層内のリソース間の多くの関連性を識別するのが容易になった。それでなければこれは明らかにならないであろう。この階層内の故障は、レイチェスタ（ＬＥ）、リーズ（ＬＳ）、シェフィールド（ＳＦ）、エジンバラ（ＥＨ）、ケンブリッジ（ＣＢ）、ロンドン（Ｌ）、マンチェスタ（ＭＲ）、等のような略書きのコード（列３参照）を有するのが分かる。この対比一覧表によって明らかにされる相関の幾つかは明白な原因を有し、例えば最初の１３は全て選択されたソースと同じ場所で発生する。しかしながら、警報が、ＬＥ／Ｄ（レイチェスタＤ）と符号を付けられている同じ場所から全て放射している３つのラインシステム、即ちレイチェスタＤからダービＦ、レイチェスタＤからリーズＧ、レイチェスタＤからシェフィールドＥへ放射することが認められる。この依存性の階層の頂点は、パワーの関連する効果であることが分かる。この例示的な経時的な時間相関の結果は、ＬＥ／Ｄと符号を付けられた場所への電力電源の到達に関する問題が広い地理的領域で発生する多くの警報に対して合理的であることを示している。多数の関連していない警報の存在のために、従来の技術の単一のウインドウの時間の相関の結果を見ても、この結論を引き出すことはできないであろうが、本発明の方法によって決定されるランク付けからより容易に識別することができる。ポスト解折は、この場合、実際には故障がレイチェスタ地域内のネットワークの一部分への電力電源に存在することを明らかにした。本発明において使用される経時的な時間の相関の原理は、警報の依存性の自己学習のための技術としてネットワーク管理システムによって使用されることができる。人工の中性のネットワークの原理は、警報の依存性の自己学習が機能できる１つのフレームワークを与える。それらが識別されるように相関関係を記録することによって、システムはコンピュータモデルの依存性を組み立てることができ、その結果警報の特定のパターンが次に発生する時に、それは警報が関連していることをより容易に識別することができる。本発明のネットワーク管理システムは図６に示される。数多くの相互接続を有するリソースＲ１乃至Ｒ９のネットワークが示されている。リソースＲ１乃至Ｒ８は、スクリーン１で操作者３へ表示するためにネットワークモニタ手段２へ警報状態を報告する各モニタＡＲ１乃至ＡＲ８を有する。リソースＲ９は管理システムに直接に接続されるのではなく、リソースＲ９内で発生する故障を発見する現場作業者４は、例えば電話接続Ｔによって、作業者３に知らせることができ、その結果故障の状態はデータ入力手段５および入力リンク12によってモニタ手段２に報告されることができる。時計９の制御のもとで、警報状態は、その発生時に、更新リンク11を通って記憶装置６へ周期的に報告される。別の故障と相関するのが望ましいと思われる故障をスクリーン１から観察する際、操作者３は、相関する警報状態を選択するための入力手段５を使用することができる。現在の警報状態の情報は、相関手段７によってモニタ手段２から抽出される。相関手段７は、記憶装置６から経時的データを抽出し、（上で述べられたような）統計的解析を行って、モニタ手段２に現在報告された各警報ごとに、選択された警報と同じ時間に発生するそれの理論的確率を計算する。警報は、スクリーン１上で確率を小さいものから順番に表示される。予め決められた値以下の相関確率を有する警報は、強調表示８によって識別される。モニタ装置２、スクリーン１、入力リンク12、時計９、更新リンク11、記憶装置６、および相関手段７は、適切なソフトウエアを具備するコンピュータとして実行されることができる。請求の範囲１．通信ネットワークのネットワーク管理システムにおいて、通信ネットワークの複数の部分内で発生する警報状態の結果として通信ネットワーク内で発生される警報信号を自動的に処理し、通信ネットワークからネットワーク管理システムへ警報信号を伝播するステップを含む警報信号を自動的に処理する方法において、警報状態が、ネットワーク管理システムの部分を形成する記憶装置内において基準時間期間中に通信ネットワーク内で発生する時間に関する経時的データを記憶し、予め決められた時間ウインドウ内の通信ネットワーク内で発生する警報状態を識別し、同じ時間ウインドウ内で偶然に発生する識別された警報状態の対の統計的確率を決定するために経時的データを解析することによって識別された警報状態を相関し、ネットワーク管理システムの表示装置上に統計的確率の少なくとも幾つかを表示するステップを特徴とする警報信号を自動的に処理する方法。２．更に、識別された警報状態の１つを選択し、残りの識別された警報状態の各々に関してその警報状態と同じ時間ウインドウ内で偶然に発生する選択された警報状態との統計的確率を決定するステップを有することを特徴とする請求項１の方法。３．更に、大きさの小さいものから順番に統計的確率をランク付けするステップを有することを特徴とする請求項２記載の方法。４．更に予め決められた閾値より下にある統計的確率を識別するステップを有することを特徴とする請求項３記載の方法。５．更に、予め決められた閾値より下にある前記統計的確率を表示装置上で強調するステップを有することを特徴とする請求項４記載の方法。６．基準時間期間が複数の均等な継続期間の時間ウインドウに分割され、同じ時間ウインドウ内で偶然に発生する１対の警報状態ＡＲ_mおよびＡＲ_nの統計的確率が次の式によって決定され、ここで、ＡＲ_mに対するＡＲ_nの依存性をテストする時、ｋは、ＡＲ_mが発生する時間ウインドウの数であり、ｒは、時間ウインドウの１つにおいてＡＲ_mが活性である確率であり、ｐは、事象ＡＲ_mおよびＡＲ_nの両方が発生する時間ウインドウの数であることを特徴とする請求項１乃至５の何れか１項記載の方法。７．警報状態が発生する時間に関する経時的データを記憶するステップが、予め決められた時間ウインドウ内で発生する警報状態に関するデータを加えることによって周期的に繰り返されることを特徴とする請求項１乃至６の何れか１項記載の方法。８．通信ネットワークの複数の部分（Ｒ１乃至Ｒ８）内で発生する警報状態の結果として、モニタ（ＡＲ１乃至ＡＲ８）によって発生される警報信号を自動的に処理し、前記警報信号を受信するための手段を具備しているネットワーク管理システムにおいて、警報状態が基準時問の期間中に通信ネットワーク内で発生する時間に関する経時的データを記憶するための手段と、予め決められた時間ウインドウ内で発生するものとして識別された警報状態を相関し、幾つかの時間ウインドウ内で偶然に発生する識別された警報状態の対の統計的確率を決定するように配置される相関手段と、相関手段によって決定された統計的確率の少なくとも幾つかを表示する手段とを具備することを特徴とするネットワーク管理システム。９．ネットワーク管理システムが、システムの操作者が識別された警報状態の１つを選択できるようにするための手段を具備し、前記相関手段が、選択された警報状態と同じ時間ウインドウ内で偶然に発生した残りの警報状態の各々の統計的確率を決定するように配置されていることを特徴とする請求項８記載のネットワーク管理システム。１０．相関手段が、大きさの小さいものから順番に統計的確率をランク付けするように配置されることを特徴とする請求項９記載のネットワーク管理システム。１１．基準時間の期間が、均等な継続期間の複数の時間ウインドウに分割され、相関手段が、次の式によって或る時間ウインドウ内で偶然に発生する一対の警報状態ＡＲ_mおよびＡＲ_nの統計的確率を決定するように配置され、ここで、ＡＲ_mに対するＡＲ_nの依存性をテストする時、ｋは、ＡＲ_mが発生する時間ウインドウの数であり、ｒは、時間ウインドウの１つにおいてＡＲ_mが活性である確率であり、ｐは、事象ＡＲ_mおよびＡＲ_nの両方が発生する時間ウインドウの数であることを特徴とする請求項８乃至10の何れか１項記載のネットワーク管理システム。１２．ネットワーク管理システムが、受信手段内で記憶装置手段に保持されるデータを周期的に供給するための手段を具備していることを特徴とする請求項８乃至11の何れか１項記載のネットワーク管理システム。１３．ネットワーク管理システムが、人間の仲介によって受信信号に警報の状態に関するデータを供給するための手段を具備することを特徴とする請求項８乃至 12の何れか１項記載のネットワーク管理システム。

───────────────────────────────────────────────────── 【要約の続き】報が、設定された時間よりも早くか或いは遅くに発生する別の源からの警報と比較されることができる。

Claims

【特許請求の範囲】１．装置管理システムによって管理される装置内で発生する事象間の関連の可能性を識別する方法において、特定の事象が基準時間の期間中に装置内で発生する時間に関する経時的データを記憶し、特定の事象の別の発生を識別し、別の事象の発生の間の関連性の尺度を決定するための経時的事象を解析し、装置管理システムの出力手段にその尺度を与えることを含む方法。２．予め決められた時間ウインドウが定められ、別の事象が時間ウインドウ内で発生する事象から選択されることを特徴とする請求項１記載の方法。３．関連性の尺度が、同じ時間ウインドウ内で偶然に発生した別の事象の統計的な確率であることを特徴とする請求項２記載の方法。４．選択された事象と他の２つ以上の事象との関連性が測定され、２つ以上の他の事象が前記の統計的な確率の順序でランク付けされることを特徴とする請求項３記載の方法。５．出力手段が表示装置であり、前記統計的確率が閾値以下である場合のみ表示のために選択されることを特徴とする請求項３または４記載の方法。６．出力手段が表示装置であり、前記統計的確率が閾値よりも下であるばらば、表示される事象が強調されることを特徴とする請求項４または５記載の方法。７．閾値が予め決められた値であることを特徴とする請求項５または６記載の方法。８．閾値が、前記統計的確率の範囲或いはパターンに応じた基準に基いて選択されることを特徴とする請求項５または６記載の方法。９．選択された事象が、システムによって識別可能な異なる事象の間から選択可能であることを特徴とする請求項４乃至８の何れか１項記載の方法。１０．装置管理システムが、管理される装置を監視し、事象の発生を検出することを特徴とする請求項１乃至９の何れか１項記載の方法。１１．事象の少なくとも幾つかが人間の仲介によってシステムに対して識別されることを特徴とする請求項１乃至10の何れか１項記載の方法。１２．経時的データが、基準時間の期間を選択し、基準時間の期間を予め決められた大きさの時間ウインドウに分割し、解析される各事象に対して、事象が発生する基準時間の期間内における各時間ウインドウの識別値を記憶すること、によって記憶される請求項３乃至10の何れか１項記載の方法。１３．時間ウインドウの１つが解析するために選択され、選択された時間ウインドウ内で発生する第１の事象が選択され、選択された時間ウインドウ内で発生する他の事象が識別され、そのような他の事象に対して、事象が発生した基準時間の期間における時間ウインドウの記憶された識別値が、前記第１の事象と同じ時間ウインドウにおいて偶然に発生するそのような他の事象の統計的な確率を計算するために使用されることを特徴とする請求項12記載の方法。１４．時間ウインドウの１つが解析するために選択され、選択された時間ウインドウ内で発生する第１の事象が選択され、予め決められた関連性によって選択された時間ウインドウに関連付けられている第２の時間ウインドウ内で発生する他の事象が識別され、そのような他の事象に対して、事象が発生した基準時間の期間における時間ウインドウの記憶された識別値が、第１の事象が発生する時間ウインドウに対する予め決められた関連性が同じである時間ウインドウにおいて偶然に発生するそのような他の事象の統計的な確率を計算するために使用されることを特徴とする請求項12記載の方法。１５．予め決められた関連性が時間差であることを特徴とする請求項14記載の方法。１６．同じ時間ウインドウ内で偶然に発生する事象ＡＲ_mおよびＡＲ_nの統計的確率が、次の式によって与えられ、ここで、ｋは、ＡＲ_mが発生する時間ウインドウの数であり、ｒは、活性の事象の確率であり、ｐは、ＡＲ_mに対するＡＲ_nの依存性をテストする時に事象ＡＲ_mおよびＡＲ_n の両方が発生することを特徴とする請求項13乃至15の何れか１項記載の方法。１７．基準時間の期間が固定されることを特徴とする請求項12乃至16の何れか１項記載の方法。１８．基準時間の期間が連続的に更新されることを特徴とする請求項12乃至16の何れか１項記載の方法。１９．事象がシステムにおける故障の状態であることを特徴とする請求項１乃至 18の何れか１項記載の方法。２０．説明されたように２つ以上の事象の間の関連性をほぼ識別するために装置管理システムを動作する方法。２１．システムによって管理される装置内で発生する事象を識別するための監視手段と、そのような事象に関する経時的データを記憶するための記憶手段と、監視手段によって識別される事象の間から相関のための事象を選択するための入力手段と、記憶手段内に記憶される経時的データを使用して選択された事象を監視手段によって識別される他の事象と相関させるための相関手段と、相関手段によって決定される相関を表示するための表示手段を具備する装置管理システム。２２．監視手段内に保持されるデータを記憶手段へ周期的に供給するための更新手段を具備する請求項21記載のシステム。２３．相関手段が統計的相関を行うことを特徴とする請求項21或いは22の何れか１項記載の方法。２４．人間の仲介によって事象を監視手段へ報告するための入力手段を具備することを特徴とする請求項21乃至23の何れか１項記載の方法。２５．表示手段が、相関している事象と相関していない事象を視覚的に区別するための手段を具備する請求項21乃至24の何れか１項記載の方法。