JPWO2015059896A1 - 情報処理装置及び時系列データ分析方法 - Google Patents

Abstract

本発明は、時系列データ中に出現する情報に周期性がない場合であってもその要因を推定可能な時系列データ分析装置を提供する。その時系列データ分析装置は、時系列データを取得する時系列データ取得部１１と、時系列データを構成するデータのうち対象データを特定する対象データ特定情報と、対象データの出現傾向に関する条件が定められた出現傾向情報と、対象データの出現要因を表す要因情報とからなる判定ルールを記憶する判定ルール記憶部１２と、時系列データから、対象データ特定情報によって特定される対象データを抽出する対象データ抽出部１３と、抽出された対象データの出現傾向が出現傾向情報に合致するか否かを判定する出現傾向判定部１４と、出現傾向情報に合致すると判定された対象データの出現要因を、要因情報に基づいて推定する要因推定部１５と、を備える。

Description

本発明は、時系列データを分析することで、所望の情報を取得する技術に関する。

時系列データを分析することにより、所望の情報を取得する技術が知られている。

例えば、特許文献１及び特許文献２には、トラヒックデータの周波数成分に基づいてネットワークシステムの異常を検知する技術が記載されている。

特許文献１に記載された関連技術は、各ネットワーク機器から出力されるログを収集し、収集したログから、分析対象のパラメータを抽出する。次に、この関連技術は、分析対象のパラメータに関するイベントの時間軸上の分布を求める。次に、この関連技術は、その分布を周波数軸上の分布へと変換する。さらに、この関連技術は、周波数軸上の分布に対して比率分析や稀率分析を行うことにより、ネットワークシステムに対する攻撃等の異常度を表す値を算出して出力する。

特許文献２に記載された関連技術は、所定のヘッダを有するパケットの通信量の時系列データを獲得し、獲得した時系列データを所定時間毎にフーリエ変換する。そして、この関連技術は、フーリエ変換により得られた周波数軸上のパターンを、あらかじめ用意された基準パターンと比較することにより、比較結果に基づいてトラヒックの異常を検出する。

また、特許文献３には、管理対象コンピュータから得られるログ情報に基づいて、システムの異常発生を検出する技術が記載されている。

特許文献３に記載された関連技術は、管理コンピュータから得られるログ情報を、詳細ログ情報と、複数の詳細ログ情報を統合した概要ログ情報とに分けて記録する。そして、この関連技術は、概要ログ情報の時間軸分布を周波数軸分布に変換し、監視対象の周波数帯における強度の和である周波数帯強度を算出する。そして、この関連技術は、周波数帯強度の時間変化を監視し、その周波数帯強度の変動が所定の閾値以上になると、異常発生を検出する。また、この関連技術は、異常発生時刻から所定時間さかのぼった時間における詳細ログ情報の時間軸分布に基づいて、異常発生源を特定する。

また、例えば、特許文献４には、トラヒックデータを解析することにより、使用されている暗号化方式やアプリケーションを推定する技術が記載されている。

特許文献４に記載された関連技術は、入力されたトラヒックを、観測すべき加入者トラヒックと、暗号方式及びアプリケーションが既知であり、キャリブレーションに用いられる教師トラヒックとに分類し、それぞれのトラヒックのフローから特徴量を抽出する。そして、この関連技術は、教師トラヒックから抽出された特徴量に基づいて評価用の教師用情報を生成する。そして、この関連技術は、加入者トラヒックの特徴量と教師用情報とに基づいて、加入者トラヒックの暗号方式及びアプリケーションを推定する。

特開２００５−１５１２８９号公報 特開２００５−２３６５４７号公報 特開２０１０−１３４８６２号公報 特開２０１３−１２７５０４号公報

ところで、時系列データ中に出現するデータについて、その出現の要因を推定したい場合がある。例えば、その場合は、情報処理システムのオペレーションシステムによって記録される各種のシステム情報のログにおいて、あるシステム情報が記録された要因を推定したい場合等である。

このようなニーズに適用する場合、上述の特許文献１から特許文献４に記載された関連技術には、以下の課題がある。

特許文献１から特許文献３に記載された関連技術は、時系列データの周波数成分を分析することで、その強度や分布を基に所望の情報を検出する。このため、これらの関連技術は、時系列データ中に出現する、周期性のない、情報の要因を推定するのに適していない。また、特許文献４に記載された関連技術は、加入者トラヒックデータの時系列の特徴量に基づいて、その時系列データの内容（暗号化方式やアプリケーション）を推定する。しかしながら、特許文献４には、時系列データ中に出現する、周期性のない、情報の要因を推定する手法については記載されていない。

本発明は、上述の課題を解決するためになされたもので、時系列データ中に出現する情報に周期性がない場合であっても、その情報が出現する要因を推定可能な技術を提供することを目的とする。

本発明の一様態における情報処理装置は、時系列データを取得する時系列データ取得手段と、前記時系列データを構成するデータのうち対象となるデータである対象データを特定する対象データ特定情報と、前記対象データの出現傾向に関する条件が定められた出現傾向情報と、前記対象データの出現要因を表す要因情報と、からなる判定ルールを記憶する判定ルール記憶手段と、前記時系列データから、前記対象データ特定情報によって特定される対象データを抽出する対象データ抽出手段と、前記対象データ抽出手段によって抽出された対象データの出現傾向が、前記出現傾向情報に合致するか否かを判定する出現傾向判定手段と、前記出現傾向判定手段によって前記出現傾向情報に合致すると判定された対象データの出現要因を、前記要因情報に基づいて推定する要因推定手段と、を含む。

また、本発明の一様態における時系列データ分析方法は、コンピュータ装置が、時系列データを構成するデータのうち対象となるデータである対象データを特定する対象データ特定情報と、前記対象データの出現傾向に関する条件が定められた出現傾向情報と、前記対象データの出現要因を表す要因情報と、からなる判定ルールを用いて、時系列データを取得し、前記時系列データから、前記対象データ特定情報によって特定される対象データを抽出し、抽出した対象データの出現傾向が、前記出現傾向情報に合致するか否かを判定し、前記出現傾向情報に合致すると判定された対象データの出現要因を、前記要因情報に基づいて推定する。

また、本発明の一様態におけるコンピュータ読み取り可能な非一時的記録媒体は、時系列データを構成するデータのうち対象となるデータである対象データを特定する対象データ特定情報と、前記対象データの出現傾向に関する条件が定められた出現傾向情報と、前記対象データの出現要因を表す要因情報と、からなる判定ルールを用いて、時系列データを取得する時系列データ取得ステップと、前記時系列データから、前記対象データ特定情報によって特定される対象データを抽出する対象データ抽出ステップと、前記対象データ抽出ステップにおいて抽出された対象データの出現傾向が、前記出現傾向情報に合致するか否かを判定し、前記出現傾向情報に合致すると判定された対象データの出現要因を、前記要因情報に基づいて推定する要因推定ステップと、をコンピュータ装置に実行させるコンピュータ・プログラムを記録する。

本発明は、時系列データ中に出現する情報に周期性がない場合であっても、その情報が出現する要因を推定可能な技術を提供することができる。

図１は、本発明の第１の実施の形態としての時系列データ分析装置の機能ブロック図である。 図２は、本発明の第１の実施の形態としての時系列データ分析装置のハードウェア構成図である。 図３は、本発明の第１の実施の形態としての時系列データ分析装置の動作を説明するフローチャートである。 図４は、本発明の第２の実施の形態としての時系列データ分析装置の機能ブロック図である。 図５は、本発明の第２の実施の形態における時系列データの一例を示す図である。 図６は、本発明の第２の実施の形態における判定ルールの一例を示す図である。 図７は、本発明の第２の実施の形態における判定ルールを定める基となった計測データの一例を示す図である。 図８は、本発明の第２の実施の形態における判定ルールを定める基となった他の計測データの一例を示す図である。 図９は、本発明の第２の実施の形態としての時系列データ分析装置の動作を説明するフローチャートである。 図１０は、本発明の第２の実施の形態における対象期間の時系列データの一例を示す図である。 図１１は、本発明の第３の実施の形態としての時系列データ分析装置の機能ブロック図である。 図１２は、本発明の第３の実施の形態における判定ルールの一例を示す図である。 図１３は、本発明の第３の実施の形態における判定ルールを定める基となった計測データの一例を示す図である。 図１４は、本発明の第３の実施の形態としての時系列データ分析装置の動作を説明するフローチャートである。 図１５は、本発明の第２及び第３の実施の形態によって処理可能な、複数の対象システムに関する情報が混在した時系列データの一例を示す図である。 図１６は、本発明の記憶媒体の実施形態としての記憶媒体の一例を示す図である。

以下、本発明の実施の形態について、図面を参照して詳細に説明する。

（第１の実施の形態）
本発明の第１の実施の形態としての時系列データ分析装置（情報処理装置とも呼ばれる）１の機能ブロック構成を図１に示す。図１において、時系列データ分析装置１は、時系列データ取得部１１と、判定ルール記憶部１２と、対象データ抽出部１３と、出現傾向判定部１４と、要因推定部１５とを含む。

ここで、時系列データ分析装置１は、図２に示すように、コンピュータ装置１０によって構成可能である。コンピュータ装置１０は、ＣＰＵ（Central Processing Unit）１００１と、ＲＡＭ（Random Access Memory）１００２と、ＲＯＭ（Read Only Memory）１００３と、ハードディスク等の記憶装置１００４と、入力装置１００５と、出力装置１００６とを含む。

この場合、時系列データ取得部１１は、入力装置１００５と、ＲＯＭ１００３及び記憶装置１００４に記憶されたコンピュータ・プログラム及び各種データをＲＡＭ１００２に読み込んで実行するＣＰＵ１００１とによって構成される。

また、判定ルール記憶部１２は、記憶装置１００４によって構成される。

また、対象データ抽出部１３及び出現傾向判定部１４は、ＲＯＭ１００３及び記憶装置１００４に記憶されたコンピュータ・プログラム及び各種データをＲＡＭ１００２に読み込んで実行するＣＰＵ１００１によって構成される。

また、要因推定部１５は、出力装置１００６と、ＲＯＭ１００３及び記憶装置１００４に記憶されたコンピュータ・プログラム及び各種データをＲＡＭ１００２に読み込んで実行するＣＰＵ１００１とによって構成される。なお、時系列データ分析装置１及びその各機能ブロックを構成するハードウェア構成は上述の構成に限定されない。

次に、各機能ブロックの詳細について説明する。

時系列データ取得部１１は、時系列データを取得する。例えば、時系列データ取得部１１は、記憶装置１００４に格納された時系列データを取得してもよい。また、時系列データ取得部１１は、外部からネットワークインタフェース（図示せず）等を介して時系列データを取得してもよい。また、時系列データ取得部１１は、入力装置１００５によって入力される格納位置の示す時系列データを取得してもよい。

判定ルール記憶部１２は、対象データ特定情報と、出現傾向情報と、要因情報とからなる判定ルールを記憶する。対象データ特定情報とは、時系列データを構成するデータのうち、対象となるデータを特定する情報である。出現傾向情報とは、対象データの出現傾向に関する条件が定められた情報である。要因情報とは、対象データの出現要因を表す情報である。

対象データ抽出部１３は、時系列データから、判定ルールに含まれる対象データ特定情報によって特定される、対象データを抽出する。

出現傾向判定部１４は、対象データ抽出部１３によって抽出された対象データの出現傾向が、判定ルールに含まれる出現傾向情報に合致するか否かを判定する。

要因推定部１５は、出現傾向判定部１４によって出現傾向情報に合致すると判定された対象データの出現要因を、判定ルールに含まれる要因情報に基づいて推定する。

以上のように構成された時系列データ分析装置１の動作について、図３を参照して説明する。

図３では、まず、時系列データ取得部１１は、時系列データを取得する（ステップＳ１）。

次に、対象データ抽出部１３は、ステップＳ１で取得された時系列データから、判定ルール記憶部１２に記憶された判定ルールの対象データ特定情報によって特定される対象データを抽出する（ステップＳ２）。

次に、出現傾向判定部１４は、ステップＳ２で抽出された対象データの出現傾向が、判定ルール記憶部１２に記憶された判定ルールの出現傾向情報に合致するか否かを判定する（ステップＳ３）。

ここで、出現傾向情報に合致すると判定された場合、要因推定部１５は、判定ルール記憶部１２に記憶された判定ルールに含まれる要因情報を、それらの対象データの出現要因として推定し、出力する（ステップＳ４）。

以上で、時系列データ分析装置１は動作を終了する。

もし、判定ルール記憶部１２に複数の判定ルールが記憶されていれば、時系列データ分析装置１は、各判定ルールについて、ステップＳ２〜Ｓ４の動作を繰り返してもよい。

次に、第１の実施の形態の効果について述べる。

第１の実施の形態としての時系列データ分析装置は、時系列データ中に出現する情報に周期性がない場合であってもその情報の出現要因を推定することができる。

その理由は、以下の構成を含むからである。第１に、判定ルール記憶部が、時系列データを構成するデータのうち対象データを特定する対象データ特定情報と、対象データの出現傾向に関する条件を定めた出現傾向情報と、対象データの出現要因を表す要因情報とからなる判定ルールを記憶する。第２に、対象データ抽出部が、時系列データから、対象データ特定情報によって特定される対象データを抽出する。第３に、出現傾向判定部が、抽出された対象データの出現傾向が、出現傾向情報に合致するか否かを判定する。第４に、要因推定部が、出現傾向情報に合致すると判定された対象データの出現要因として、判定ルールに含まれる要因情報を特定する。

これにより、本実施の形態は、時系列データ中に出現する対象データに周期性がない場合であっても、そのような対象データの出現傾向を規定した判定ルールをあらかじめ記憶しておくことにより、それらの対象データが出現した要因を推定することができる。

（第２の実施の形態）
次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。本実施の形態では、時系列データ分析装置を、対象システムにおける高負荷の要因となったユーザ操作又はアプリケーションを推定する装置に適用する例について説明する。なお、本実施の形態の説明において参照する各図面において、第１の実施の形態と同一の構成及び同様に動作するステップには同一の符号を付して本実施の形態における詳細な説明を省略する。

まず、第２の実施の形態としての時系列データ分析装置２の機能ブロック構成を図４に示す。図４において、時系列データ分析装置２は、時系列データ取得部２１と、判定ルール記憶部２２と、対象データ抽出部２３と、出現傾向判定部２４と、要因推定部２５とを含む。

ここで、時系列データ分析装置２及びその各機能ブロックは、図２を参照して説明した第１の実施の形態としての時系列データ分析装置１及びその各機能ブロックと同一のハードウェア要素によって構成可能である。

時系列データ取得部２１は、対象となる情報処理システム（以後、対象システムとも記載する）の負荷に関する情報を含むデータの履歴を、時系列データとして取得する。例えば、時系列データは、対象システムから採取された負荷データのログ（以後、負荷履歴データとも記載する）であってもよい。

ここで、負荷とは、対象システムが備えるＣＰＵ、メモリ、ディスク、又は、ネットワークリソース等に関する使用率や使用量であってもよい。例えば、この場合、負荷データとは、負荷を表す値と、対象システムにおいてその負荷の値が観測された時刻とを含むものであってもよい。また、このような負荷データからなる負荷履歴データは、記憶装置１００４に蓄積されていてもよい。

図５に、負荷履歴データの一例を示す。この例では、負荷として、ＣＰＵ使用率が採用されている。図５において、各行は、負荷データを表し、日付、秒数、ＣＰＵ使用率の各項目からなる。各負荷データは、日付及び秒数の表す日時において、対象システムで観測されたＣＰＵ使用率を表している。なお、秒数の項目は、該当する日付において、０時ちょうどから数えた経過秒数を表している。例えば、午前８時半は、３６００×８．５＝３０６００秒と表される。

また、時系列データ取得部２１は、対象期間における負荷履歴データを取得してもよい。対象期間とは、高負荷の要因となったユーザ操作又はアプリケーションを推定する対象となる分析期間である。例えば、時系列データ取得部２１は、入力装置１００５又はネットワークインタフェース（図示せず）を介して対象期間を表す情報を取得してもよい。また、時系列データ取得部２１は、所定のタイミング毎に、その時点までの所定の長さの期間を対象期間としてもよい。そして、時系列データ取得部２１は、例えば記憶装置１００４に格納された負荷履歴データから、対象期間に含まれる部分を取得すればよい。

判定ルール記憶部２２は、対象データ特定情報としての高負荷を示す条件と、出現傾向情報としての頻度に関する条件及び周期に関する条件と、要因情報としてのユーザ操作又はアプリケーションを表す情報とからなる判定ルールを記憶する。例えば、対象データ特定情報は、高負荷の範囲（例えば、ＣＰＵ使用率等の範囲）によって表されてもよい。以降、高負荷を示す条件に合致する負荷データを、高負荷データとも記載する。高負荷データは、本発明における対象データの一実施形態に相当する。

図６に、判定ルールの一例を示す。図６において、各行は判定ルールを表し、負荷の範囲、周期、頻度、及び、アプリケーション／操作の各項目からなる。「負荷の範囲」は、ＣＰＵ使用率の範囲を表し、対象データ特定情報に相当する。また、「頻度」は、何秒毎に１回以上出現するかを表し、頻度に関する条件（出現傾向情報）に相当する。また、「周期」は、周期性の有無及び周期性が有る場合はその周期の秒数を表し、周期に関する条件（出現傾向情報）に相当する。また、「アプリケーション／操作」は、要因情報に相当する。なお、「番号」の項目は、説明のために付与した番号である。以降、番号「Ｘ」が付与された判定ルールを、判定ルールＸとも記載する。

例えば、判定ルール１は、負荷（ＣＰＵ使用率）の範囲「４０％以上」と、頻度に関する条件「１８０秒毎に１回以上」と、周期に関する条件「周期性無し」と、アプリケーション／操作「ウェブブラウジング」とからなる。つまり、判定ルール１は、「ＣＰＵ使用率が４０％以上に上昇する頻度が１８０秒に１回以上であり、かつ、４０％以上のＣＰＵ使用率が観測される時刻に周期性がなければ、ユーザによるウェブブラウジングが行われていると判定する」ためのルールを示している。

ここで、ウェブブラウジングによる負荷の上昇は、サイトの移動等による画面の大幅な書換えによって発生すると考えられるが、そのタイミングは、ユーザの操作に依存する。ユーザの操作は、機械的な処理のように一定間隔とはならないため、ウェブブラウジングに関する判定ルール１では、周期に関する条件が、「周期性なし」と規定されている。もし、高負荷に周期性が認められる場合、負荷上昇の要因は、ユーザ操作によるウェブブラウジングではない可能性が高いからである。

また、例えば、判定ルール２は、負荷（ＣＰＵ使用率）の範囲「２０％以上」と、頻度に関する条件「Ｎ／Ａ（規定無し）」と、周期に関する条件「３００、６００、９００」と、アプリケーション／操作「メーラーの定期メール確認」とからなる。つまり、判定ルール２は、「ＣＰＵ使用率が２０％以上に上昇する時刻に周期性があり、その周期が３００，６００，９００秒のいずれかであれば、メーラー（電子メールソフト）による定期メール確認が行われていると判定する」ためのルールを示している。

これらの判定ルールは、高負荷の要因となりうる、ユーザ操作又はアプリケーション動作が発生しているときにあらかじめ計測された、実際の負荷データをもとに規定されたものであってもよい。

例えば、図７に、ユーザによってウェブブラウジングが行われているときのＣＰＵ使用率の計測データの一例を示す。また、図８に、メーラーによる定期メール確認が動作しているときのＣＰＵ使用率の計測データの一例を示す。図７及び図８において、横軸は、該当する日付における０時からの経過秒数を表し、縦軸は、ＣＰＵ使用率を表している。また、ＣＰＵ使用率の計測間隔（データ採取間隔）は１０秒である。

例えば、図７の計測データから、図６の判定ルール１が規定され、あらかじめ判定ルール記憶部２２に記憶されてもよい。また、例えば、図８の計測データから、図６の判定ルール２が規定され、あらかじめ判定ルール記憶部２２に記憶されてもよい。

対象データ抽出部２３は、判定ルール記憶部２２の判定ルールを参照することにより、対象期間の負荷履歴データから、高負荷を示す条件（対象データ特定情報）に合致する高負荷データを抽出する。例えば、高負荷を示す条件が、図６に示されるように負荷の範囲を表していれば、対象データ抽出部２３は、負荷データに含まれる負荷の値がその範囲内であるものを高負荷データとして抽出すればよい。

出現傾向判定部２４は、判定ルールを参照することにより、高負荷データの出現傾向が、周期に関する条件及び頻度に関する条件にそれぞれ合致するか否かを判定する。

例えば、頻度に関する条件が、図６に示されるように所定期間中の最低限の出現回数により表されている。この場合、出現傾向判定部２４は、対象期間の長さと、負荷データの採取間隔と、対象期間における高負荷データの個数とに基づいて、頻度に関する条件を満たすか否かを判定可能である。

また、例えば、出現傾向判定部２４は、周期に関する条件の判定処理に、特許文献１、特許文献２、特許文献３に記載された関連技術を採用してもよい。例えば、出現傾向判定部２４は、抽出された高負荷データ以外の負荷データに含まれる負荷の値をすべて０とみなし、これに離散フーリエ変換を施すことで、時系列データの周波数成分を求めることが可能である。そして、出現傾向判定部２４は、周波数の領域を定めて周波数強度の積分値を閾値と比較することにより、時系列データにおける周期性の有無を判定することができる。この場合、高負荷データ以外の負荷の値をすべて０とみなすことによってノイズが除去されるため、高精度な判定が可能である。

また、例えば、出現傾向判定部２４は、高負荷データの各時刻（秒数）間の秒数の差を総当りで算出し、等差の関係が存在するかどうかを調べることにより、周期に関する条件の判定を行ってもよい。例えば、想定される周期があらかじめ１分、５分、１０分等に限定されていれば、このような総当りの方法は、比較的少ない計算量で実施可能である。

要因推定部２５は、対象システムにおける高負荷の発生要因となった、ユーザ操作又はアプリケーションを表す、情報を推定する。具体的には、要因推定部２５は、対象データ抽出部２３によって抽出された高負荷データが頻度に関する条件及び周期に関する条件を満たす場合に、要因情報の示すアプリケーション又はユーザ操作を高負荷の発生要因として出力すればよい。

以上のように構成された時系列データ分析装置２の動作について、図９を参照して説明する。ここでは、記憶装置１００４には、図５に示した負荷履歴データが記憶され、判定ルール記憶部２２には、図６に示した判定ルールが記憶されているものとする。

図９では、まず、時系列データ取得部２１は、対象期間を表す情報を取得する（ステップＳ１１）。例えば、時系列データ取得部２１は、「２０１３年８月２１日１３：００から２０１３年８月２１日１４：００まで」といった情報を取得したとする。

次に、時系列データ取得部２１は、対象期間における負荷履歴データを取得する（ステップＳ１２）。例えば、時系列データ取得部２１は、記憶装置１００４に格納された負荷履歴データから、対象期間に含まれる部分を取得すればよい。ここでは、図５に示す負荷履歴データから、２０１３年８月２１日１３：００（４６８００秒）から２０１３年８月２１日１４：００（５０４００秒）までの図１０に示す負荷履歴データが取得されたとする。

次に、対象データ抽出部２３は、ステップＳ１２で取得された負荷履歴データから、判定ルールに含まれる高負荷を示す条件（対象データ特定情報）に合致する高負荷データを抽出する（ステップＳ１３）。

例えば、対象データ抽出部２３は、図１０に示される負荷履歴データから、図６の判定ルール１に基づいて、ＣＰＵ使用率が４０％以上の高負荷データを抽出する。ここでは、抽出された高負荷データ（０時からの秒数及びＣＰＵ使用率の組）は、「（４６８４０，６０．１６），（４６９２０，４１．９６），（４６９５０，４５．０４），（４７０８０，４２．２８），・・・」であったとする。

次に、出現傾向判定部２４は、ステップＳ１３で抽出された高負荷データについて、頻度に関する条件を判定する（ステップＳ１４）。

例えば、上述の例では、ステップＳ１２において、時系列データ取得部２１によって１時間（３６００秒）分の負荷履歴データが取得されている。判定ルール１では、頻度に関する条件は、１８０秒に１回以上となっている。ここで、この負荷履歴データでは、負荷データが１０秒に１回採取されている。そこで、１時間分の負荷履歴データのうち、高負荷データが、（３６００／１０）＊（１０／１８０）＝３６００／１８０＝２０個以上存在すれば、判定ルール１の頻度に関する条件を満たすことになる。したがって、この場合、出現傾向判定部２４は、ステップＳ１３で抽出された高負荷データの個数を数え、これが２０を超えているか否かを判定すればよい。

次に、出現傾向判定部２４は、ステップＳ１３で抽出された高負荷データについて、周期に関する条件を判定する（ステップＳ１５）。

例えば、ウェブブラウジングに関する判定ルール１では、前述したように、周期に関する条件が「周期性なし」と定められ、周期性があってはならないことを表している。そこで、出現傾向判定部２４は、負荷履歴データにおいて高負荷データ以外のＣＰＵ使用率の値をすべて０とみなして離散フーリエ変換を施す前述の方法により、周期性の有無を判定してもよい。

ステップＳ１４及びステップＳ１５において頻度に関する条件及び周期に関する条件を満たすと判定された場合、要因推定部２５は、対象期間において高負荷の要因となったユーザ操作又はアプリケーションを、要因情報に基づいて推定する（ステップＳ１６）。

例えば、対象期間の負荷履歴データに、判定ルール１に基づく高負荷データが２０個以上存在し、かつ、周期性なしと判定された場合、要因推定部２５は、対象期間において、ユーザによるウェブブラウジングが行われていたと判定する。

そして、判定ルール記憶部２２に、まだ判定処理を終えていない他の判定ルールが記憶されている場合（ステップＳ１７でＹｅｓ）、時系列データ分析装置２は、その判定ルールについてステップＳ１３からの動作を繰り返す。

例えば、時系列データ分析装置２は、ウェブブラウジングに関する判定ルール１についての判定処理の終了後、メーラーの定期メール確認に関する判定ルール２についての判定処理を繰り返す。

具体的には、対象データ抽出部２３は、判定ルール２に基づいて、対象期間の負荷履歴データから、ＣＰＵ使用率が２０％以上となる高負荷データを抽出する（ステップＳ１３）。次に、出現傾向判定部２４は、それら高負荷データの周期に関する条件を判定する（ステップＳ１５）。例えば、出現傾向判定部２４は、高負荷データの各時刻（秒数）間の秒数の差を総当りで算出する前述の方法により、周期に関する条件を判定してもよい。なお、判定ルール２では、頻度に関する条件が規定されていないため、出現傾向判定部２４は、頻度に関する条件の判定処理（ステップＳ１４）を省略する。

そして、要因推定部２５は、ステップＳ１５の結果に基づいて、対象期間においてメーラーの定期メール確認が行われていたかどうかを判定すればよい（ステップＳ１６）。換言すると、対象期間におけるメーラーの定期メール確認が行われていれば、それが出現要因であると推定する。

一方、判定ルール記憶部２２に記憶されている各判定ルールに関する判定処理を終えた場合（ステップＳ１７でＮｏ）、時系列データ分析装置２は、動作を終了する。

次に、第２の実施の形態の効果について述べる。

第２の実施の形態としての時系列データ分析装置は、対象システムにおいて高負荷の要因となるユーザ操作やアプリケーションを推定することができる。

その理由は、以下の構成を含むからである。第１に、時系列データ取得部が、対象システムにおける負荷履歴データを取得する。第２に、判定ルール記憶部が、対象データ特定情報として高負荷を示す条件と、出現傾向情報として頻度に関する条件及び周期に関する条件と、要因情報としてユーザ操作及びアプリケーションを表す情報とを記憶しておく。第３に、対象データ抽出部が、負荷履歴データから対象データ特定情報に合致する高負荷データを抽出する。第４に、出現傾向判定部が、高負荷データの出現傾向が、頻度に関する条件及び周期に関する条件をそれぞれ満たすか否かを判定する。第５に、要因推定部が、出現傾向判定部の判定結果に基づいて、要因情報の示すユーザ操作及びアプリケーションが対象期間に対象システムで行われていたことを判定する。

前述のように、情報処理システムにおけるユーザ操作やアプリケーション動作には、周期性がないことが多いが、本実施の形態は、時系列データである負荷履歴データから、周期性の無いユーザ操作やユーザ使用によるアプリケーション動作をも、推定可能となる。なお、本実施の形態は、判定ルールの周期に関する条件として、周期性がない場合だけでなく、周期性がある場合の条件を規定することができる。このため、本実施の形態は、対象システムにおいて高負荷の要因となるユーザ操作やアプリケーションに周期性がある場合であっても、それらを推定することができる。

さらに、本実施の形態は、対象システムにおいて高負荷の要因となったユーザ操作及びアプリケーションを推定するために必要な時系列データの収集コストを抑えることができる。

その理由は、時系列データ取得部が、対象システムにおけるリソースの負荷に関する負荷履歴データを時系列データとして取得するからである。

ここで、例えば、前述の特許文献４に記載された関連技術では、加入者トラヒックデータの暗号方式やアプリケーションを推定するものの、そのために、トラヒックデータを収集する必要がある。しかしながら、ネットワークパケットのキャプチャは、計算機リソースを多く消費するため、専用の機材等が必要となることも多く、トラヒックデータの収集コストが高くなる。

これに対して、本実施の形態は、対象システムから容易に採取可能なリソース負荷（ＣＰＵ使用率等）の負荷履歴データから、その上昇頻度や上昇周期に基づいて、対象システムに高い負荷を与えるユーザ操作やユーザ使用のアプリケーションを推定できる。このため、本実施の形態は、収集コストの高いトラヒックデータを必要としない。

また、第２の実施の形態としての時系列データ分析装置は、シンクライアントシステム等におけるユーザ割当てに有用な情報を提供することができる。

シンクライアントシステムは、多数のユーザのデスクトップ環境を少数のサーバ上の仮想マシン（ＶＭ：virtual machine）として収容する。このようなシンクライアントシステムにおいて、ユーザやユーザの使用するＶＭをどのサーバに割り当てるかを決める際に、本実施の形態を用いて推定されるユーザ操作及びアプリケーションの情報は有用である。

例えば、ウェブブラウジングを頻繁に行うユーザ群を特定のサーバ上に集中させると、サーバが高負荷となり、ユーザの体感品質劣化の可能性が高まる。一方、メールの定期確認のようにアプリケーションにより機械的に実行される処理は、高負荷によって遅延が生じても、ユーザの体感品質に大きな影響はない。

このように、シンクライアントシステムにおいては、どのようなアプリケーションやユーザ操作によって負荷が生じ、それがユーザの体感品質にどのような影響があるかを見積ることが運用上重要である。

さらに、本実施の形態は、対象システムにおいて高負荷の要因となるユーザ操作やユーザ使用のアプリケーションを推定する際に、リソースの負荷履歴データを用いるので、ユーザの操作を直接監視する必要がない。したがって、本実施の形態は、プライバシーに関する問題を生じさせることがない。

（第３の実施の形態）
次に、本発明の第３の実施の形態について図面を参照して詳細に説明する。本実施の形態では、第２の実施の形態に対して、高負荷が例えば数分程度継続する場合を想定し、判定ルールを拡張した例について説明する。なお、本実施の形態の説明において参照する各図面において、第１及び第２の実施の形態と同一の構成及び同様に動作するステップには同一の符号を付して本実施の形態における詳細な説明を省略する。

まず、本発明の第３の実施の形態としての時系列データ分析装置３の機能ブロック構成を図１１に示す。図１１において、時系列データ分析装置３は、第２の実施の形態としての時系列データ分析装置２に対して、判定ルール記憶部２２に替えて判定ルール記憶部３２と、出現傾向判定部２４に替えて出現傾向判定部３４とを含む点が異なる。さらに、時系列データ分析装置３は、継続期間判定部３６と、継続データ除去部３７とを含む点が異なる。ここで、時系列データ分析装置３は、図２を参照して説明した第１の実施の形態としての時系列データ分析装置１と同一のハードウェア要素によって構成可能である。この場合、継続期間判定部３６及び継続データ除去部３７は、ＲＯＭ１００３及び記憶装置１００４に記憶されたコンピュータ・プログラム及び各種データをＲＡＭ１００２に読み込んで実行するＣＰＵ１００１によって構成される。なお、時系列データ分析装置３及びその各機能ブロックのハードウェア構成は、上述の構成に限定されない。

判定ルール記憶部３２は、第２の実施の形態における判定ルールに、さらに、継続期間情報を含んで記憶する。ここで、継続期間情報とは、高負荷データの継続期間に関する条件である。

図１２に、判定ルールの一例を示す。図１２において、各行は判定ルールを示し、対象データ特定情報としての高負荷を示す条件と、出現傾向情報としての周期に関する条件及び頻度に関する条件と、要因情報としてのユーザ操作又はアプリケーションを表す情報とに加えて、継続期間情報を含む。この例では、継続期間情報の値は、継続期間の最低値を表し、高負荷データの継続期間がこの値以上であれば、継続期間情報を満たすことになる。

例えば、判定ルール３は、「ＣＰＵ使用率が６０％以上となる高負荷が連続して６０秒間以上継続して観測された場合に、動画閲覧と判定する」ためのルールを示している。もし、負荷の値が１０秒間隔で観測された負荷履歴データであれば、６個以上の高負荷データが継続していれば、この継続期間情報を満たすことになる。ここで、「負荷の値が１０秒間隔で観測された負荷履歴データであれば」とは、「負荷履歴データが１０秒間隔で観測された負荷の値をもつものであれば」とも言える。

なお、ユーザによる動画閲覧操作には周期性は無いと考えられるため、判定ルール３では、周期に関する条件は「周期性無し」となっている。また、ユーザによる動画閲覧操作の頻度に傾向はないと考えられるため、頻度に関する条件は規定されていない。

また、継続期間情報を含む判定ルールは、継続する高負荷の要因となりうるユーザ操作又はアプリケーション動作が発生しているときにあらかじめ計測された実際の負荷データを基に規定されたものであってもよい。例えば、図１３に、４種類の動画についてそれぞれユーザによる閲覧が行われているときのＣＰＵ使用率の計測データの一例を示す。このように、動画閲覧時の負荷は、高負荷が数分程度継続するという特徴をもつ。そこで、このような動画閲覧に関する判定ルールでは、継続時間条件は、動画提供サイト等においてアクセスの多いコンテンツの長さを基に規定されてもよい。

また、第２の実施の形態と同様のウェブブラウジングに関する判定ルール１及び定期メールチェックに関する判定ルール２は、図１２に示す判定ルールにおいて、継続時間条件として、負荷データの採取間隔である１０秒が設定されている。これは、ユーザによるウェブブラウジング及びメーラーによる定期メールチェックでは、高負荷の継続が予想されないためである。なお、継続時間条件は、秒数に限らず、高負荷データの個数で規定されてもよい。

継続期間判定部３６は、対象データ抽出部２３によって抽出された高負荷データが、判定ルールに含まれる継続期間情報を満たして継続するか否かを判定する。

継続データ除去部３７は、継続期間情報を満たして継続すると判定された一連の高負荷データの一部を除去する。例えば、継続データ除去部３７は、継続期間情報を満たして継続する一連の高負荷データのうち、時間的に早い最初の高負荷データだけ残して、その後に続く高負荷データを除去してもよい。もし、継続期間情報を満たして継続する複数の部分があれば、継続データ除去部３７は、それぞれの継続部分について、一部の高負荷データを除去すればよい。

出現傾向判定部３４は、対象データ抽出部２３によって抽出された高負荷データのうち、継続データ除去部３７によって一部が除去された後の高負荷データについて、第２の実施の形態における出現傾向判定部２４と同様に、頻度及び周期の判定処理を行う。

以上のように構成された時系列データ分析装置３の動作について、図１４を参照して説明する。

図１４では、まず、時系列データ分析装置３は、ステップＳ１１〜Ｓ１３まで、第２の実施の形態としての時系列データ分析装置２と同様に動作して、対象期間の負荷履歴データから高負荷データを抽出する。

次に、継続期間判定部３６は、抽出された高負荷データについて継続期間情報を満たす継続期間があるか否かを判定する（ステップＳ２１）。例えば、前述のように、継続期間情報が継続期間の最低値を示す場合、継続期間判定部３６は、高負荷データの継続する期間が、判定ルールに示された最低値以上であるか否かを判断すればよい。

ここで、そのような継続期間があると判定された場合、継続データ除去部３７は、継続期間情報を満たして継続する一連の高負荷データの一部を除去する（ステップＳ２２）。例えば、前述のように、継続データ除去部３７は、継続する一連の高負荷データのうち、時間的に早い最初の高負荷データだけ残して、その後に続く高負荷データを除去してもよい。

次に、出現傾向判定部３４は、継続する高負荷データの一部が除去された後の高負荷データについて、第２の実施の形態と同様にステップＳ１４及びＳ１５を実行し、頻度に関する条件及び周期に関する条件をそれぞれ満たすか否かを判定する。

一方、ステップＳ２１において、そのような継続期間がないと判定された場合、出現傾向判定部３４は、ステップＳ１３で抽出された高負荷データについて、第２の実施の形態と同様にステップＳ１４及びＳ１５を実行する。続けて、出現傾向判定部３４は、頻度に関する条件及び周期に関する条件をそれぞれ満たすか否かを判定する。

そして、要因推定部２５は、第２の実施の形態と同様にステップＳ１６を実行し、高負荷の要因となったユーザ操作又はアプリケーションを推定する。

そして、時系列データ分析装置３は、他の判定ルールがあれば（ステップＳ１７でＹｅｓ）、ステップＳ１３、ステップＳ２１〜ステップＳ２２、ステップＳ１４〜ステップＳ１６の動作を繰り返す。

また、時系列データ分析装置３は、各判定ルールについて判定処理を終了すると（ステップＳ１７でＮｏ）、動作を終了する。

次に、第３の実施の形態の効果について述べる。

第３の実施の形態としての時系列データ分析装置は、対象システムにおいて高負荷が継続する場合に、さらに精度よくその要因となるユーザ操作やアプリケーションを推定することができる。

その理由は、判定ルール記憶部が、対象データ特定情報と、要因情報とに加えて、さらに継続期間情報を含む判定ルールを記憶しておくからである。そして、継続期間判定部が、対象データ特定情報によって特定される高負荷データに、継続期間情報を満たして継続する部分があるか否かを判断し、継続データ除去部が、継続期間情報を満たして継続する一連の高負荷データの一部を除去するからである。そして、出現傾向判定部が、一部を除去後の高負荷データについて、頻度及び周期に関する条件の判定を行い、要因推定部が、出現傾向判定部の判定結果に基づいて、要因情報の示すユーザ操作及びアプリケーションを判定するからである。

このように、本実施の形態は、高負荷が継続する動画再生のように周期性のない処理が行われた場合でも、継続時間条件を含む判定ルールを記憶しておくことにより、ユーザが利用したアプリケーションや操作を判定することが可能となる。

また、本実施の形態は、継続データの一部を除去することにより、出現傾向判定部による周期性の有無の判定精度を高めている。ここで、周期に関する条件に規定される周期性の有無は、主に、高負荷の発生要因が、人間の操作であるか機械的なイベントであるかを区別するために定められる。しかしながら、動画再生のように、処理開始時点以外の再生中の高負荷は、人間の操作又は機械的なイベントによるものではない。このため、このような継続部分の高負荷データが除去された後の高負荷データは、除去されていない場合に比べて、周期に関する条件の判定により適したものとなる。

また、このような本実施の形態は、高負荷が継続する機能をユーザに対して提供するシンクライアントシステムにおいて、ユーザの割当てに有用な情報を提供することができる。

例えば、高負荷が継続する動画再生処理は、システムが高負荷になると再生が途切れたり画質が不安定となるため、システムの負荷がユーザの体感品質に影響を与えるアプリケーションである。また、動画再生処理のように負荷の高いアプリケーションの利用状況は、シンクライアントシステムにおけるユーザの割当てに大きな影響を与える。本実施の形態を用いることにより、動画を再生することが多いことが判明したユーザに対しては、負荷の低いその他のユーザへの影響を抑えるために、別のサーバに隔離する運用が可能となる。或いは、そのユーザに対しては、より高い料金で多くのリソースを専有できるサーバへの移行を促すといった運用なども可能となる。

なお、上述した第２及び第３の実施の形態において、負荷データの一例としてＣＰＵ使用率を適用する例を中心に説明した。このＣＰＵ使用率は、１ＣＰＵコアに対する使用率を表すものであってもよいし、ＣＰＵに搭載される複数コアに対する使用率を表すものであってもよい。ただし、ＣＰＵ使用率の項目の示す値が、１ＣＰＵコアに対する値であるか複数コアに対する値であるかは、統一されている必要がある。その他、各実施の形態において、負荷データは、ＣＰＵ使用率に限らず、その他のリソースの負荷を表すデータであってもよい。

また、上述した第２及び第３の実施の形態において、負荷履歴データは、図１５に示すように、複数の対象システムにおいて観測された負荷データを混在させて含んでいてもよい。この例では、各行の「ホスト名」が、対象システムを表している。この場合、時系列データ取得部は、ステップＳ１１において、対象期間を表す情報に加えて対象システムを表す情報（例えば、ホスト名やホストＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）など）を取得してもよい。そして、時系列データ取得部は、ステップＳ１２において、負荷履歴データから、対象期間における対象システムに関する負荷履歴データを抽出すればよい。

また、上述した第２及び第３の実施の形態において、出現傾向情報が、頻度に関する条件及び周期に関する条件からなる例を中心に説明したが、出現傾向情報は、その他の出現傾向に関する条件又はそれらの組み合わせであってもよい。

また、上述した各実施の形態において、時系列データ分析装置の各機能ブロックが、記憶装置又はＲＯＭに記憶されたコンピュータ・プログラムを実行するＣＰＵによって実現される例を中心に説明した。しかし、各機能ブロックの一部、全部、又は、それらの組み合わせが、専用のハードウェア（回路）により実現されていてもよい。

また、上述した各実施の形態において、時系列データ分析装置の機能ブロックは、複数の装置に分散されて実現されてもよい。

また、上述した各実施の形態において、各フローチャートを参照して説明した時系列データ分析装置の動作を、本発明のコンピュータ・プログラムとしてコンピュータ装置の記憶装置（記憶媒体）に格納しておくことができる。そして、係るコンピュータ・プログラムを当該ＣＰＵが読み出して実行するようにしてもよい。そして、このような場合において、本発明は、係るコンピュータ・プログラムのコード或いは記憶媒体によって構成される。

図１６は、記憶媒体１００７の一例を示す図である。図７に示す記憶媒体１００７は、コンピュータ読み取り可能な非一時的記録媒体であってよい。

また、上述した各実施の形態は、適宜組み合わせて実施されることが可能である。

また、本発明は、上述した各実施の形態に限定されず、様々な態様で実施されることが可能である。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１３年１０月２２日に出願された日本出願特願２０１３−２１８９３９を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１、２、３ 時系列データ分析装置
１１、２１ 時系列データ取得部
１２、２２、３２ 判定ルール記憶部
１３、２３ 対象データ抽出部
１４、２４、３４ 出現傾向判定部
１５、２５ 要因推定部
３６ 継続期間判定部
３７ 継続データ除去部
１００１ ＣＰＵ
１００２ ＲＡＭ
１００３ ＲＯＭ
１００４ 記憶装置
１００５ 入力装置
１００６ 出力装置

Claims (10)

1. 時系列データを取得する時系列データ取得手段と、
   前記時系列データを構成するデータのうち対象となるデータである対象データを特定する対象データ特定情報と、前記対象データの出現傾向に関する条件が定められた出現傾向情報と、前記対象データの出現要因を表す要因情報と、からなる判定ルールを記憶する判定ルール記憶手段と、
   前記時系列データから、前記対象データ特定情報によって特定される対象データを抽出する対象データ抽出手段と、
   前記対象データ抽出手段によって抽出された対象データの出現傾向が、前記出現傾向情報に合致するか否かを判定する出現傾向判定手段と、
   前記出現傾向判定手段によって前記出現傾向情報に合致すると判定された対象データの出現要因を、前記要因情報に基づいて推定する要因推定手段と、
   を含む情報処理装置。
2. 前記時系列データ取得手段は、対象となる情報処理システムである対象システムの負荷に関する情報を含む負荷データの履歴を前記時系列データとして取得し、
   前記判定ルール記憶手段は、前記対象データ特定情報として、高負荷を示す条件を記憶し、前記出現傾向情報として、前記高負荷を示す負荷データである高負荷データの出現傾向に関する条件が定められた情報を記憶し、前記要因情報として、前記高負荷の発生要因を表す情報を記憶する
   請求項１に記載の情報処理装置。
3. 前記判定ルール記憶手段は、前記要因情報として、前記対象システムにおけるユーザ操作又はアプリケーションを表す情報を記憶し、
   前記要因推定手段は、前記対象システムにおける高負荷の発生要因となったユーザ操作又はアプリケーションを表す情報を推定する
   請求項２に記載の情報処理装置。
4. 前記判定ルール記憶手段は、前記出現傾向情報として、前記対象データの頻度に関する条件を記憶する
   請求項１から請求項３のいずれか1項に記載の情報処理装置。
5. 前記判定ルール記憶手段は、前記出現傾向情報として、前記対象データの周期に関する条件を記憶する
   請求項１から請求項４のいずれか1項に記載の情報処理装置。
6. 前記判定ルール記憶手段は、前記判定ルールに、前記対象データの継続期間に関する条件が定められた継続期間情報をさらに含んで記憶し、
   前記対象データ抽出手段によって抽出された対象データに、前記継続期間情報を満たして継続する部分があるか否かを判定する継続期間判定手段と、
   前記対象データのうち、前記継続期間情報を満たして継続する一連の対象データの一部を除去する継続データ除去手段と、
   をさらに備え、
   前記出現傾向判定手段は、前記対象データ抽出手段によって抽出された対象データのうち、前記継続データ除去手段によって一部が除去された後の対象データについて、前記出現傾向情報に合致するか否かを判定する
   請求項１から請求項５のいずれか1項に記載の情報処理装置。
7. 前記継続データ除去手段は、前記継続期間情報を満たして継続する一連の対象データのうち時間的に早い最初の対象データを残して、その後に続く対象データを除去する
   請求項６に記載の情報処理装置。
8. 前記時系列データ取得手段は、対象期間の時系列データを取得し、
   前記要因推定手段は、前記対象期間において前記出現傾向情報に合致すると判定された対象データの出現要因を推定する
   請求項１から請求項７のいずれか1項に記載の情報処理装置。
9. コンピュータ装置が、
   時系列データを構成するデータのうち対象となるデータである対象データを特定する対象データ特定情報と、前記対象データの出現傾向に関する条件が定められた出現傾向情報と、前記対象データの出現要因を表す要因情報と、からなる判定ルールを用いて、
   時系列データを取得し、
   前記時系列データから、前記対象データ特定情報によって特定される対象データを抽出し、
   抽出した対象データの出現傾向が、前記出現傾向情報に合致するか否かを判定し、
   前記出現傾向情報に合致すると判定された対象データの出現要因を、前記要因情報に基づいて推定する、
   時系列データ分析方法。
10. 時系列データを構成するデータのうち対象となるデータである対象データを特定する対象データ特定情報と、前記対象データの出現傾向に関する条件が定められた出現傾向情報と、前記対象データの出現要因を表す要因情報と、からなる判定ルールを用いて、
    時系列データを取得する時系列データ取得ステップと、
    前記時系列データから、前記対象データ特定情報によって特定される対象データを抽出する対象データ抽出ステップと、
    前記対象データ抽出ステップにおいて抽出された対象データの出現傾向が、前記出現傾向情報に合致するか否かを判定し、
    前記出現傾向情報に合致すると判定された対象データの出現要因を、前記要因情報に基づいて推定する要因推定ステップと、
    をコンピュータ装置に実行させるコンピュータ・プログラムを記録した
    コンピュータ読み取り可能な非一時的記録媒体。

Images