WO2007007895A1 - 通信網の障害検出システム、通信網の障害検出方法及び障害検出プログラム - Google Patents

通信網の障害検出システム、通信網の障害検出方法及び障害検出プログラム Download PDF

Info

Publication number
WO2007007895A1
WO2007007895A1 PCT/JP2006/314130 JP2006314130W WO2007007895A1 WO 2007007895 A1 WO2007007895 A1 WO 2007007895A1 JP 2006314130 W JP2006314130 W JP 2006314130W WO 2007007895 A1 WO2007007895 A1 WO 2007007895A1
Authority
WO
WIPO (PCT)
Prior art keywords
expression
variation
cause
factor
parameter
Prior art date
Application number
PCT/JP2006/314130
Other languages
English (en)
French (fr)
Inventor
Yoshinori Watanabe
Yasuhiko Matsunaga
Original Assignee
Nec Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nec Corporation filed Critical Nec Corporation
Priority to US11/994,954 priority Critical patent/US8065568B2/en
Priority to CN2006800253530A priority patent/CN101218786B/zh
Priority to EP06781153.9A priority patent/EP1903717B1/en
Publication of WO2007007895A1 publication Critical patent/WO2007007895A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H04L41/064—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis involving time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H04L41/065—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis involving logical or physical relationship, e.g. grouping and hierarchies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/022—Capturing of monitoring data by sampling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring

Definitions

  • the present invention relates to an IW ⁇ output system, and more particularly to a communication network failure detection system that analyzes and obtains information from communication logs and detects communication network failures, a communication network failure detection method, and an I »detection program. . Background leak
  • the analysis support system for logs described in 3 ⁇ 4SU monitors the logs of ⁇ ⁇ ⁇ ⁇ system connected to the fiber and separately observes the number of occurrences of events (access actions) per unit time and By calculating and presenting the degree of abnormality, it is a system to notify the person of events in which abnormal changes occur in the observation amount.
  • the log support system of the log is provided with a function that compares the observed quantities of logs of multiple ⁇ ⁇ ⁇ systems and determines the observed quantity as abnormal if the difference between the specifics and the results is greater than a predetermined value. Do.
  • a factor that causes the system to output a single output is defined as a lower factor
  • a factor that causes multiple alarms to be output in a chained manner is defined as a higher factor.
  • the reason is that there is not provided a concrete obstacle to the function of detecting the abnormality by comparing the numbers obtained with ⁇ m ⁇ m ⁇ etc., and detecting individual abnormalities. Therefore, it is possible to determine the comprehensive state of the communication network by simultaneously comparing the status of geographically close communication in the monitoring period with the status prior to the monitoring period on the relevant shelf. It is because there is not.
  • the object of the present invention is to comprehensively take account of multiple occurrences by solving the anti-opteron, and also to trace the abnormality of the trajectories back to the superior factors that cause hemorrhoids, and objectively It is to provide a system that detects the presence of »in accordance with».
  • Still another object of the present invention is to monitor the state of the monitored lanyard between the shelves, the state of geographically close communication in the monitoring period, and the state before the inter shelves in the appropriate period. It is an object of the present invention to provide a system for detecting a failure in a multifaceted manner in a condition of normal ⁇ by simultaneously making a ratio ⁇ ′.
  • the present invention calculates, in a communication network for recording the contents of an error occurring at the time of communication abnormality, the expression of an upset cause that has caused an autism from the recorded contents of the autism. This can be achieved by detecting the P district that is caused by the aversive cause of the generality based on the calculated incidence of the third cause.
  • the present invention causes alerting by recording contents of the sputum, and the present invention is a prominence bow to calculate the expression frustration of the ffi ⁇ cause.
  • the method of calculating the probability distribution of the above-mentioned cause of occurrence of the above-mentioned cause at normal time of m. ⁇ and the means of calculating the rate distribution of the rate distribution Anomalous extraction means that calculates the degree of probabilistic deviation from the probability distribution of the expression acupuncture factor as an abnormality degree, and ⁇ 3 by comparing the threshold value given in advance with the abnormality.
  • the contents of the firewood are taken into consideration to comprehensively take account of multiple occurrences of the disease, and it is understood that the top factors that cause an alarm are also known. It is possible to detect the fault of the communication network according to the objective ⁇ P by ffiing the degree of anomaly.
  • the present invention is further characterized in that, in addition to the above configuration, the expression of the disgust S, the deviation means represents the time variation of the appearance J from the recorded content of the knitting alarm.
  • Parameter extraction means for extracting an object and space / parameter extraction means for extracting a parameter representing the spatial variation of the appearing key, and a parameter representing self-time variation and a pa Since the laminal value is taken as the expression intensity of the above-mentioned cause, the status of the monitoring network during the monitoring period is the geographically close communication between the racks and the racks in the corresponding hall.
  • the first effect is that failure detection can be performed with higher accuracy than simply monitoring the number of occurrences of mixed fluctuations of multiple superior factors.
  • the reason is that in the case of communication abnormality, the content of the cause is calculated from the contents of the record, and the cause of the cause of the cause is calculated. This is because the IW resulting from the cause of the current ig is detected.
  • the second effect is that the maintenance personnel can monitor the degree of abnormality of each individual and have more objectiveness than the determination of the condition of normal condition ⁇ ⁇ detection.
  • the reason is that by calculating the expression intensity of the cause of iiS by raising the contents of the record, the probability distribution of the expression daughter of the cause of the upper cause at the time of normal tone is calculated and calculated. By calculating the probability degree of deviation from the probability distribution of the upset expression tendency of the normal cause for the expression cause daughter of the health cause, by calculating the degree of abnormality as the abnormality degree, This is because a fault in the route is detected.
  • the third effect is that multifaceted Pf ⁇ detection can be realized rather than monitoring only the number of times in the monitored communication area.
  • the reason is that the parameter representing the time variation of the appearance key of g and the parameter representing the space of the appearance frequency are extracted from the opposite recorded contents, and the parameter representing the time variation and the value of the parameter representing the space variation
  • the probability distribution of the cause expression daughter of the cause in the normal condition of normal tone is calculated, and the calculated expression cause of the cause disorder in the normal condition is calculated.
  • the reason is that the P jurisdiction of the communication network is detected by calculating the degree of probability of deviation from the probability distribution of bowers as the degree of abnormality and comparing the degree of abnormality with a predetermined threshold.
  • FIG. 1 is a conceptual diagram showing the relationship between the first embodiment of the present invention and the cause of the problem.
  • FIG. 2 is a block diagram of the P control system 1 for communication ⁇ according to the first and second embodiments of the present invention.
  • FIG. 3 is a block diagram of the observation output unit 101 according to the first and second embodiments of the present invention.
  • FIG. 4 is a configuration diagram of the upper factor expression curve 102 according to the first to third embodiments of the present invention.
  • FIG. 5 is a block diagram of the abnormality degree calculation unit 103 according to the first and second embodiments of the present invention.
  • FIG. 6 is a configuration diagram of information stored in the network characteristic database 106 according to the first embodiment of this invention.
  • FIG. 7 is a block diagram of the hardware of the crane detection system 1 according to the first embodiment of the present invention.
  • FIG. 8 is a diagram for explaining the operation of the P jurisdiction detection system 1 according to the first embodiment of the present invention.
  • FIG. 9 is a diagram showing the operation of the extraction process of the observation »extraction unit 101 according to the first embodiment of the present invention.
  • FIG. 10 is a diagram for explaining the operation of the structure of the network characteristic database 106 according to the first to third forms of the present invention.
  • FIG. 11 is a diagram showing an example of the method of calculating the probability distribution of the values of the independent components from the standard 2 ⁇ combinations at normal time according to the first to third modes of the present invention. .
  • FIG. 12 is a diagram for explaining a method of calculating the degree of abnormality using a statistical method according to the first to third forms of ⁇ of the present invention.
  • FIG. 13 is a conceptual diagram showing the relationship between the cause and the cause according to the second aspect of the present invention.
  • FIG. 14 is a block diagram of information of the network characteristic database 106 according to the second embodiment of this invention.
  • FIG. 15 is a diagram for explaining the operation of the fault detection system 1 according to the second embodiment of the present invention.
  • FIG. 16 is a diagram showing an operation of extraction processing of the observation output unit 101 according to the first embodiment of the present invention.
  • FIG. 17 is a diagram for explaining the features of the first to third embodiments of the present invention.
  • FIG. 18 is a block diagram of a fault detection system 1 of a communication network according to a third exemplary embodiment of the present invention.
  • FIG. 19 is a configuration diagram of the abnormal Jt ⁇ output? 151 0 3 a, 1 0 3 b, and ⁇ detection part 1 0 7 according to the third embodiment of the present invention.
  • FIG. 20 is a configuration diagram of information of the network characteristic database 106 according to the third embodiment of this invention.
  • FIG. 21 is a diagram for explaining the operation of the fault detection system 1 according to the third embodiment of the present invention.
  • FIG. 1 is a conceptual diagram showing the relationship between the generation factor and the alarm of the Pi ⁇ output system according to the first embodiment of the present invention.
  • a factor causing the state in which the system 52 outputs a single output is defined as the lower factor 5 01
  • a factor causing the state in which multiple traps are output in a chained manner is defined as a factor 5 0 0 Do.
  • the upper cause 500 causes one or more lower causes 501 that directly cause the individual, and the abnormal due to the lower cause 501 is reversed and the alarm is generated.
  • examples of high-order factors 500 are: appearance of disturbance waves, temporary surge in the number of communication users, blocking of communication paths, breakdown of communication devices, etc. For example, occurrence of congestion, occurrence of call reception control, lack of communication bandwidth, enemy of communication path » iron of terminal etc.
  • the upper causes 500 are specific to the communication area to be monitored, and statistically discussed with respect to the occurrence time. It is the upper ⁇ ⁇ cause of the time change that causes.
  • the system 52 has a function to detect an abnormality on the route and output a ⁇ .
  • a server is located in the system 502.
  • a value proportional to the occurrence frequency of the upper cause 500 is calculated from the time variation of the number of occurrences of each individual ⁇ 5 0 3 appearing in the log regarding the communication area to be monitored, and the value is set as the upper cause 5 0 0 expression
  • the P area is detected by monitoring the fluctuation of the expression arch.
  • the first aspect of the invention In the form and condition of the invention, among factors that cause fluctuations in the number of occurrences of ⁇ 5 0 3 in the communication area to be monitored, a factor that is statistically independent of the occurrence time is taken as the cause 5 0 0.
  • FIG. 2 is a block diagram of a communication network fault outburst system 1 for implementing the present invention.
  • the jurisdiction detection system 1 uses the log storage unit 100 for collecting logs output by a general-purpose monitor (not shown), and the observation amount necessary for appropriate status observation from the log.
  • the probability distribution of the normal expression curve of 0 0 is calculated and expressed in the network characteristic database 1 06.
  • the expression distribution ratio calculation unit 1 0 8 and the expression 3 ⁇ 4 J of each upper factor 40 0 The abnormal degree (abnormality ⁇ ) of the present bow ⁇ is calculated by comparing the value and the probability distribution of the expression bow of the upper factor 500 stored in the network characteristic database 106 at the normal time, Furthermore, an anomaly J »out 103, which integrates the anomaly degree of multiple expression bow daughters to calculate the anomaly degree of passing, and the anomaly degree of passage, the anomaly degree stored in the network characteristic database 1 0 6 Threshold
  • the P area detection unit 104 detects the state of the communication network by comparing with the above, and detects the area P. The result of area detection is displayed on a device such as a CRT Table 3 ⁇ 43 ⁇ 4 1 0 5 and the input area 1 It consists of 0 and 9.
  • Figure 3 is a block diagram of the observation station 101.
  • Output 1 0 1 is a specific space log extraction unit 1 2 0 that extracts a log related to a specific communication area from the ⁇ ⁇ log 1 0 that the log area 1 0 0 has covered, and the extracted specific communication area
  • the alarm is extracted from the log extracted by the specific time log extraction unit 1 2 1 for extracting the log regarding the specific time section from the logs of the specific space, the specific space log extraction unit 1 2 0 and the specific time log extraction unit 1 2 1 It is composed of the extraction unit 1 2 2 that calculates the number of occurrences for each U, and outputs a specific space and a fixed time (1 1 number of alarms in a specific space-time region) as observation quantities.
  • FIG. 4 is a block diagram of the high-order factor onset daughter calculation unit 102.
  • the upper expression calculation unit 102 calculates the observation amount as the " ⁇ " state of the function of converting the observation amount to the upper side of the observation amount.
  • the expression spikelet obtained in connection with the fluctuation component is the expression spikelet of the upper factor 500.
  • a factor expression calculation unit 102 calculates a matrix W necessary for ⁇ processing from a power of 1 1 to a minute in a specific space-time domain, and a W calculation unit 130; Performs a proper processing of f and consists of fc 1 part 1 3 1 and the expression arrow of 3 ⁇ 4 ⁇ min, that is, the upregulation expression 1 of 2 is output.
  • the matrix W calculated by the matrix W calculation unit 130 is stored in the network characteristic data base 106, and is extracted in response to the request from the generation unit 113.
  • FIG. 5 is a block diagram of the abnormality degree calculation unit 103.
  • Abnormality Ejection area 103 is calculated from the expression of the upper extremity of the eyelids 12
  • the abnormality of the expression Effusion of each upper factor 500 is calculated are integrated into an abnormality degree integration unit 14 1 which calculates an abnormality degree of a passage.
  • the probability of the expression curve of the condition 500 is normal. Distribution is used.
  • the P jurisdiction detection unit 104 compares the anomaly calculated by the anomaly degree calculation unit 103 with the threshold stored in the network characteristic database 106 to perform P jurisdiction detection of communication, and finally Output detection result 1 3 to.
  • FIG. 6 is a block diagram of the information stored in the network I raw database 106.
  • a network characteristic database 106 is stored for each communication area J, which has special features representing the characteristics of the general exchange.
  • the special feature of holding! The average of the number of occurrences per time interval of each group used in the pre-processing of the process, the calculated value of the matrix W used in the decomposition process of itself, and the normal state used in the calculation of the degree of abnormality It consists of the probability distribution of the value of each independent component of and the threshold of the degree of anomaly used for P detection.
  • the input unit 109 inputs the communication area J designated by the maintenance personnel as a supervisor of the P department and the time section to start monitoring via a keypad or a network, etc. Send to 1.
  • FIG. 7 is a block diagram showing a hardware configuration of the detection system 1 of P control according to the present embodiment.
  • the failure system 1 can be realized by a hardware configuration similar to that of a ⁇ computer device, and a CPU (Cen tral Process Un it) 701, A main memory unit such as a RAM (Random Access Memory), and a main memory unit 702 used for a temporary area of a data area or a data area, and a communication unit for transmitting and receiving data via a network 800. 703, a liquid crystal display, a printer / speaker etc. ⁇ an input unit 705 such as a keyboard or a mouse, an interface unit 706 for sending and receiving data while looking at the periphery .beta. ry), an auxiliary storage unit 707 which is a hard disk drive composed of nonvolatile memories such as a disk and a semiconductor memory, and a system bus 708 for mutually exchanging the above-mentioned elements of the information processing apparatus. .
  • a CPU Chip tral Process Un it
  • a main memory unit such as a RAM (Random Access Memory)
  • main memory unit 702 used for
  • the PiS ⁇ output system 1 in the form of ;; its operation is built into the Pf3 ⁇ 4 ⁇ output system 1 with a program that surpasses such a function, such as hardware such as LSI (Large Sc ale I ntegration).
  • LSI Large Sc ale I ntegration
  • the circuit component including the wear component is mounted and realized in hardware, and the program for providing each function of each component described above is executed by the CPU 701 on the configuration processing apparatus. It can be difficult in software.
  • the CPU 701 loads the program stored in the auxiliary storage unit 707 into the main storage unit 702 and executes the program, and controls the operation of the P detection system 1 to obtain each function that is ⁇ or less. Be realized.
  • FIG. 8 is a diagram for explaining the operation of the jurisdiction detection system 1 according to the present embodiment.
  • a 3 ⁇ f log 10 output by the regular server is provided as binary or text data recorded in an electronic database.
  • the data includes, at a minimum, time information indicating the date and time when the bribery occurred, information to iigij the communication area where »occurred, and information on the ss of the alarm that occurred.
  • the communication area designated by the maintenance personnel, the time interval to start monitoring, and the (initial value) are input to the input unit 1 0 9 (step S 8 0 1, step S 0 1) 8 0 2).
  • the observation output unit 101 extracts the S3 ⁇ 4 IJ and the number of occurrences of the alarm generated in the time interval in the specified communication area as the observation amount (step S 80 3)
  • FIG. 9 is a diagram showing the operation of the extraction process of the observation communication unit 101 at the above-mentioned step S 8 0 3.
  • step S 90 1 extracts only the log about the communication area of the monitor image from the log 1 0 0 received from the log collection unit 1 0 0 based on the identification information of the communication area where the bribery has occurred (step S 90 1 ).
  • the specific time log extraction unit 1.21 in the observation output unit 101 monitors the log extracted by the specific space log extraction unit 120 based on the time information indicating the date and time when the haze occurred. Narrow the log to the time interval of the sentence (step S 902).
  • the ⁇ ⁇ output unit 12 in the observation difficult issue unit 101 calculates the number of occurrences for each of the logs (step S 90 3) The number of occurrences calculated in this way is extracted as an observation amount in the above step S 80 3.
  • the upper cause expression calculating unit 102 calculates the number of occurrences of individual wrinkles appearing in the log with respect to the occurrence time Calculate the expression daughter of the upper factor 500 by decomposing it into the positive fluctuation component (step S804).
  • an independent analysis method is used as a method for statistically navigating the number of lightning occurrences to the «I component.
  • the independent component analysis method uses the observation signal vector x (t) obtained by vectorizing M observables at time t as shown in equation (1), and the equation W This is a method of converting into a signal vector y (t) consisting of statistical N components as shown in) as in equation (3).
  • x (t) (x 1 (t), x 2 (t), .... x M (t)) T ⁇ ⁇ 'Equation (1)
  • the value of the matrix is determined by a learning algorithm using a sample of the observed signal vector so that the signal vector y (t) satisfies the index of inertia.
  • the index of independence and the learning algorithm are described in detail in Document 3, and in the present invention, an example will be described in the example of ⁇ !.
  • the value obtained by vectorizing the number of occurrences of each in the specified communication area time interval is taken as the observation signal vector.
  • the average number of occurrences of each alarm is subtracted from each element of the vector in advance so that the average value of the observed signal vector becomes zero.
  • Step S 8 2 1 if the age of the network characteristic database 106 has not been constructed yet, it is judged in Step S 8 2 1 that the network characteristic data table 106 is Eff: In step S 82 2, build a network special database 106.
  • FIG. 10 is a diagram for explaining the operation of the construction process of the network characteristic database 106 in step S 82 2.
  • an observation signal vector obtained for each time interval in the communication area (communication area J) to be a supervisory line is a sample including both normal and P samples as samples.
  • step S 100 2 the average value of the observed signal vectors in the target is calculated, and the average value vector is segregated from each sample vector in the target ⁇ ⁇ joint.
  • New sample vector The average number of occurrences of each 3 ⁇ 4g that is an element of the mean value vector is stored in the network characteristic database 106.
  • step S 1 0 0 3 the matrix W is calculated from the index: «and stored in the network characteristic list 1 0 6.
  • step S 1 0 0 4
  • supervision! ⁇ ⁇ Communication area taken as a symbol ⁇
  • step S 1 0 5 the sample selected in step S 1 0 0 4 is decorated with independent components.
  • step S 1 0 0 6 a standard independent component index generated in step S 1 0 0 5; a probability distribution of values of 3 ⁇ 4i ⁇ from the ⁇ ⁇ set is calculated and the network characteristic database 1 0 6 Store in step S 1 0 0 7, a sample of the observed signal vector obtained when the communication area J to be supervised is in the Pf 1 state is selected from the above-mentioned combination.
  • step S 1 0 0 8 each sample selected in step S 1 0 0 7 is suitable as an independent component.
  • step S 1 0 0 9 a degree of abnormality which is a generalization of the degree of abnormality of the value of ⁇ is obtained.
  • step s i 0 10 the network characteristic database 106 stores the threshold of the degree of abnormality of the communication network at the time of the fault or the degree of abnormality determined based on the policy for monitoring.
  • FIG. 11 is a diagram showing an example of a method of calculating a probability distribution of values for 3 ⁇ 4 minutes from 1 ⁇ 4 minutes of normal state.
  • a histogram 1 1 0 1 of the value of 15 min ⁇ min is generated from the coordinates in the normal state, with the y axis as the value of the ⁇ ⁇ component and the f (y) axis as the appearance frequency, and then Determine the approximate curve 1 1 0 2 from the histogram 1 1 0 1 and finally, with the variable as X, the approximate curve 1 1 0 2 becomes 1 so that the curve obtained by multiplying the approximate curve 1 1 0 2 by a constant is independent Probability distribution of components 1 1 0 3 In this embodiment, supervision! ⁇ The same matrix W is used in ⁇ processing of the observation signals of all time intervals of the communication error as an image.
  • step S 8 2 1 gf to determine that there is a possibility that the characteristic power S of the communication area has changed significantly for a long time since the matrix W was calculated.
  • step S 82 2 the average number of alarm occurrences, matrix W, probability distribution in normal state, threshold value of abnormality degree are newly calculated, and network characteristic database 106 is updated.
  • the matrix W stored in the network characteristic database 106 is extracted for each different communication area to be a monitor! ⁇ Image.
  • a fault in the communication network is detected by monitoring the value of each component of the observation quantity obtained using such a communication area-specific matrix ⁇ . Specifically, the degree of abnormality for each unique value is calculated (step S805), and the degree of abnormality in the communication network in the specified communication area and time space is determined by further integrating them ( In step S8 0 6), fault detection is performed by comparing the degree of abnormality of the communication network with a threshold prepared in advance (step S 8 0 7).
  • a statistical method is used to calculate the degree of anomaly described in the component value.
  • FIG. 12 is a diagram for explaining a method of calculating the degree of abnormality using a statistical method.
  • the upper probability 1 2 0 1 or the lower probability 1 1 is used as an index for quantifying the degree of deviation of the value with respect to the probability distribution 1 1 0 3 represented by the function (y).
  • the value is output as the degree of abnormality of the value of. For example, using the probability on the prime side: Determine the anomaly degree g (yO) of the 3 ⁇ 43 ⁇ component yO according to (4). Note that the degree of abnormality obtained in this way shows a smaller value as the degree of abnormality increases.
  • the abnormality degree of a specific time section in a specific communication area which is an abnormality of communication, ie, a supervised image, is determined by integrating the abnormality degrees of the values of the individual independent components of the corresponding section.
  • the degree of abnormality is the probability of an event
  • the product of the degrees of abnormality of individual values is used as the degree of abnormality obtained by integrating the degrees of abnormality of individual values.
  • This ⁇ , the finally obtained anomaly, ⁇ ⁇ corresponds to the probability of occurrence of the crane of the independent event.
  • the product of the degree of anomaly of each value of fc minutes is considered to be the probability that a plurality of temporally higher ⁇ factors 500 cause a bow in the communication area to occur simultaneously at or more than a certain it be able to.
  • the probability is smaller than the threshold set in front of this probability, it is considered that an event that occurs rarely in the normal state has occurred, and It is determined that the time interval in the communication area to be in is in P jurisdiction, and the P jurisdiction is detected.
  • the result of the ⁇ 3 ⁇ 4 detection obtained at step S 807 is displayed on the result unit 105 such as a CRT.
  • the anomaly of communication ⁇ in the communication area and the time section as the supervision image, the average value and the variance of the anomaly of the communication network at normal time, and the anomaly The anomaly of each individual source of the calculation, the average and variance of the anomaly of each 3 ⁇ 43 ⁇ ⁇ min at normal time, and a list of the number of alarm occurrences obtained by reverse conversion of each indicate.
  • the inverse transformation of the component can be realized by multiplying the inverse matrix W ⁇ 1 of the matrix W from the left side in Eq. (3).
  • step S 8 0 9 check the power to finish monitoring, whether it is not finished or not ⁇ update the time interval to be monitored in step S 8 1 0 to the next interval and monitor the observation amount in step S 8 0 3 Return to the extraction of and continue monitoring while moving up the time interval until instructed to finish.
  • the number of occurrences of multiple factors is divided into the number of occurrences of more than 500, and the number of occurrences of multiple separated is the occurrence of each of more than 500 Because it converts into bow daughters and comprehensively monitors these multiple expression bows and detects jurisdiction, it achieves more accurate fault detection than simply monitoring the number of occurrences of alarms that are separated by multiple factors. it can.
  • the failure is determined by comparing the abnormality degree of the upper limit of the expression curve 500 quantified by a statistical method with the threshold value, there is no objectivity of the determination.
  • the time is 3 ⁇ 4f more abnormal than in the normal time area in the same communication area. It can detect P areas that show fluctuations.
  • the form of the second weir corresponds to the form of the first ⁇ ! Shown in FIG. 2, and adopts the same configuration as the form of the first difficulty.
  • FIG. 13 is a conceptual diagram showing the relationship between the occurrence of an alarm and an alarm according to the second embodiment of the present invention.
  • the top factors causing ⁇ in the number of occurrences of 3 ⁇ 41 ⁇ of the communication area to be monitored are the top factors 5 ⁇ ⁇ 0 that are specific to the place (space) and fluctuate with time, and the time It consists of the top factors of space variation that fluctuates along the space.
  • the upper cause 500 is the same as the upper cause 500 of the time variation in the first difficulty mode, and the upper cause 500 is the first embodiment.
  • the top factors 500 the top factors of the space ⁇ that are specific to the monitoring time and vary along the communication area.
  • the observation signal vector is a value obtained by vectorizing the number of occurrences of individual difficulties as in the first embodiment.
  • the observation signal vector is the observation signal vector X (s) which is a function of the position s in the time interval to be monitored, as shown in (5), and the signal vector for Ji is also given by Eq.
  • the points that are also functions y (s) at position s, as shown, are different from the form of the first weir, which is a function of W;
  • the probability distribution of the matrix W and the independent probability is calculated and stored in the network characteristic database 106 for each different time interval to be the supervision image.
  • FIG. 14 is a block diagram of the information stored in the network characteristic data base used for the delivery system 1 in the form of 3 ⁇ 4.
  • the network characteristic database 106 is a monitoring target in that it stores special time parameters representing the characteristics of normal tone for each time interval ⁇ . It differs from the first embodiment in which communication areas J are stored.
  • the characteristics of the network characteristics according to the form of the network are the average value of the number of occurrences per communication area of individual whales used in the outset of the independent processing. It is composed of the calculated value of matrix W used for the processing of the minute, the probability distribution of each value at the time of normal used for the calculation of the degree of abnormality, and the threshold of the degree of abnormality used for coverage detection.
  • the network property database 106 in the form of: ⁇ ⁇ 5 is similar to step S1 0 0 1 shown in Fig. 10, first of all, for each different time interval ⁇ to be monitored A symbol including both normal and
  • the network characteristic data base is in the form of frT.
  • FIG. 15 is a diagram for explaining the operation of the jurisdiction detection system 1 according to the present embodiment.
  • the operation of the fault detection system 1 according to the present embodiment is different from the step S 80 3 of the first embodiment shown in FIG. 8 in the method of extracting the observation amount in step S 1503.
  • FIG. 16 is a diagram showing the operation of the process of extracting the observation amount in step S 1 5 0 3 according to the present embodiment.
  • the extracted log includes the communication area of the monitor image ⁇ Filter to the logs related to the peripheral communication area of (step S 1 0 2 2) ⁇ g seeds
  • Step S 1 0 3 3 After calculating the number of occurrences separately (Step S 1 0 3 3), after extracting the log relating to the communication area of the surveillance image (Step S 901), it is recommended The number of occurrences is calculated for each type of (Step S 90 2) by narrowing down to a log related to the time section of the image (Step S 90 3)
  • the process of extracting the observation amount according to the first embodiment It is different from the operation.
  • step S 154 shown in FIG. It is different from the operation of the first difficult form in which the observation quantity is not 3 ⁇ 4 ⁇ ⁇ of spatial variation but 3 ⁇ 43 ⁇ of temporal variation.
  • the operation according to the present embodiment is as shown in FIG. 8 in that the matrix W stored in the network characteristic database 106 is extracted at each of different time intervals to be monitored in step S1504. This is different from the operation of the first embodiment in which the matrix W stored in the network characteristic data base 106 is extracted for each of different communication areas to be supervised in step S804.
  • step S1506 when calculating the degree of abnormality in step S1506, it is stored in the network characteristic data base 106 for each different time interval to be removed.
  • step S806 shown in FIG. 8 the probability distribution of 3 ⁇ 453 ⁇ 43 ⁇ 4 stored in the network characteristic database 106 is extracted for each different communication area to be classified. It differs from the operation of the first embodiment.
  • the threshold value of the degree of anomaly stored in the network characteristic database 106 is set for each different time interval that is to be withdrawn or withdrawn.
  • step S807 shown in FIG. 8 the operation of the first embodiment for extracting the threshold value of the abnormality degree stored in the network characteristic database 10.beta. For each different communication area as the monitoring text. It is different from
  • step S821 it is determined that the network characteristic database 106 is Ht, and in step S822, the average number of alarm occurrences, matrix W, probability distribution of independent components, and threshold value of anomaly degree are newly determined.
  • P detection system 1 in the form of: are similar to the operations of pair Ji of failure detection system 1 in the form of the first bag shown in FIG.
  • FIG. 17 is a diagram for explaining the features of the first to third embodiments according to the present invention.
  • the upper cause 500 is the same as the upper cause 5 0 0 of the time variation in the form of the first difficulty, and the upper ⁇ cause 5 0 4 is the second embodiment. It is similar to the cause of spatial variation in
  • FIG. 18 is a block diagram of a general detection system 1 according to a third embodiment of the present invention.
  • the difference between the configuration of the general P detection system 1 in the form of ⁇ ⁇ and the configuration of the delivery system 1 in the form of the first weir and the form of the second difficulty is the first and second In the form of difficulty, the upper expression that converts the observed amount into its upper factor expression daughter ⁇ »The upper part 102 converts the upper variation into an upper daughter expression daughter with a time variation of 3 ⁇ 4 ⁇ output.
  • the expression rate distribution calculation unit 108 in the network characteristic database 106 includes the expression curve probability distribution calculation unit 108 a for the upper factor 500 of time ⁇ and the expression arc ratio distribution calculation unit for the upper factor 504 504 in the space 3 ⁇ 4.
  • the abnormality »Outgoing part 103 calculates the degree of abnormality of the communication network from the degree of abnormality of the expression acupuncture point of the upper cause 500 of time ⁇ A point that is divided into an anomaly part 111 a and an anomaly extraction part 103 b that calculates the anomaly degree of the communication from the anomaly degree of the appearance of the upper factor of the spatial variation 504.
  • P detection sound 04 is the point where it is replaced by the output section 107 which determines based on the degree of abnormality of the 32 types of communication networks calculated by the abnormal output section 103 a, 103 b and detects I Museum .
  • FIG. 19 is a configuration diagram of the abnormality J load portion 103 a, 103 b and the control detection portion 107 in the form of FIG.
  • the rise factor boat 12 a of the time score 500 and the upper factor expression bowness 12 b of the spatial variation 504 are in parallel with each other.
  • the abnormality degree calculating units 103a and 103b are inputted, and the abnormality degrees thereof are respectively calculated by the expression bower abnormality emitting units 140a and 140b, and are integrated in the abnormality degree integrating units 141a and 141b.
  • the integrated anomaly degree is input to the “inter-section variation 142a, space variation 142b for each time and space, and the ratio to the threshold stored in the network-specific raw database 106»
  • the results of the detection are output, and they are integrated in the output coupling unit 143 and output to the connection sound! 5105 as the final detection result 13.
  • FIG. 20 is a configuration diagram of information stored in the network characteristic data base 106 in the embodiment.
  • the network characteristic database 106 in the present embodiment includes both of the information stored in the network characteristic database 106 in the first and second embodiments.
  • the construction process of the network characteristic database 106 according to the first and second embodiments is individually applied to the network characteristic database 106 to be frT. 'I ⁇ ⁇ ⁇ ⁇ .
  • FIG. 21 is a diagram for explaining the operation of the fault detection system 1 in the present embodiment.
  • the Pt * ⁇ output system 1 in the first and second forms of difficulty extracts the observables of the specified communication area and the time space (steps S803 and S 1503), and then separates the observables into time variation. (Step S804) or set the observation quantity to 3 ⁇ 4 ⁇ minutes of spatial variation (step S1504).
  • step S2103 The difference between the failure detection system 1 in the form of ⁇ and the failure detection system 1 in the first and second embodiments is that after the observation quantities in the specified communication area and time space are extracted (step S2103)
  • the fault detection system 1 parallels the observation quantity to 3 ⁇ 4 ⁇ 4 of the time variation in step S 2104 a, and damages the observation quantity to the component of the space variation in step S 2104 b to
  • step S2 105a and step S2105 b the abnormality degree calculation process is performed in parallel for each fluctuation component
  • the abnormality degree integration process is performed in step S2106 a and step S2 106 b
  • the fault detection process is performed in step S2107 a and step S2107 b
  • the point is to integrate the time and space fault detection results in S2108.
  • the detection of the area P is performed when a failure is detected in any of step S 807 a and step S 807 b.
  • the other operations of the failure detection system 1 in the form of this ⁇ are the same as the operations for the output system 1 according to the first and second embodiments described above, and thus the method IJW and the probability distribution are appropriately used.
  • the method is also the same as the method in the first and second embodiments.
  • the first embodiment corresponds to the first and third embodiments of the present invention.
  • the matrix W calculation unit 130 obtains the value of the matrix by using the mutual product rate as the index of inertia and the gradient method as the learning algorithm.
  • random variables ⁇ [ ⁇ 3 4] of the fourth order for the random variables and ⁇ ⁇ of the elements (t) and (t) of the signal vector y (t) are random variables Y i and ⁇ ” As shown in 7), it can be the product of the respective product rates, and if either of E [Y ⁇ and E [Yj] is zero, the fourth-order mutual product rates will also be zero.
  • Such a matrix W is obtained by updating the matrix W using an appropriate positive constant ⁇ according to «(9).
  • ⁇ ⁇ dW of the matrix is given by «(10)
  • ⁇ ⁇ ⁇ of the surface function 0 0 is given by equation (11).
  • the example 2 is a modification of the second and third embodiments of the present invention.
  • a general control system that outputs a log in which an alarm is described in a time series
  • a general control detection system that detects a section P of a group managed by the system.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephonic Communication Services (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)

Abstract

　通信網の管理サーバが出力する警報ログを分析し、警報を引き起こす上位の要因にまで遡って通信網の異常度を評価し、客観的な基準に従い通信網の障害を検出するシステムであって、警報の記録内容を解析することにより、警報を引き起こす上位要因５００の発現強度を算出する上位要因５００の発現強度算出手段と、通信網の正常時における上位要因５００の発現強度の確率分布を算出する発現強度確率分布算出手段と、算出した上位要因５００の発現強度について、正常時の上位要因５００の発現強度の確率分布からの確率的な外れ度合いを異常度として算出する異常度算出手段と、異常度と予め与えられた閾値とを比較することにより、通信網の障害を検出する障害検出手段とを備え、警報の発生記録から警報を引き起こした上位の要因の発現強度を算出し、上位要因５００の発現強度を用いて通信網の障害を検出する。

Description

明細書 通信網の障害検出システム、 通信網の障害検出方法及び Pf«検出プログラム 漏分野
本発明 の IW^出システムに関し、 特に通删の ログから得られる情報を分 · 析して通信網の障害を検出する通信網の障害検出システム、 通信網の障害検出方法及び I» 検出プログラムに関する。 背景漏
通常、 通删の構成要素で異常が発生すると、 として通翻の システムに脑さ れてログに記録される。 通删の保守要員は、 ログに記録された の時系列情報と自らの 経験に基づき異常の根本原因を推定して通信サービスに与える影響度を謹し、 通删に対 して改 Sit置が必要な^ に|5轄と判 ¾τる。
~«に、 ； ^摸な通删の^ ¾システムには日常的に多くの が通知されるため、 保守 要員がログを手動で分析する: ¾ ^は多くの労力が必要になる。 また、 通删で異常が発生す ると関連する が連鎖的に多^!生して異常の根本原因を示唆する な ¾を覆い隠し てしまうことがあるので、 ログから異常のS本原因を推定する作業には多くの経験が必要に なる。 そこで、 この種のログ分析を支援するシステムならびに冗長な觀を集 ¾ΤΤるシステ ムがこれまでに提案されている。
ログの分析を支援するシステムの従 の 1例が特開 2 0 0 4 - 3 1 8 5 5 2号公報 (» 1 ) に記載されている。 ¾SUに記載されたログの分析支援システムは、 通繊に接 続された^ λ^Πシステムのログを監視して事象 (アクセス行為)の単位時間当たりの発生回 数を個別に観測し、 その異常度を算出して提示することにより、 観測量に異常な変動が生じ た事象を 者に通知するシステムである。 該ログの 斤支援システムは、 複数の λ^Π システムのログの観測量を比較して、 比編吉果に所定値以上の差異が生じたときに観測量を 異常と判 ¾τる機能を具備する。
'また、 冗長な警報を集 ¾ΤΤるシステムの の 1例が特許第 3 0 8 2 5 4 8号公報 (¾2) に記載されている。 2に記載された爵の翻 IJシステムでは、 の発生時 ■ 刻の間の統計的な相関関係を調べることにより、 同時刻に発生したり一定の時間遅れを伴つ て発生するような同期性を有する単位に警報を分類して複数の警幸瞧合を生成する。 その後、 発生事象に最も密接な を集合ごとに IJすることにより、 冗長な多数の を襲な警 報のみに集約する。
1 特開 2 0 0 4—3 1 8 5 5 2号公報
»2 特許第 3 0 8 2 5 4 8号公報
»3 村田昇著、 入門 ¾3Ϊ成分分析、 電«学出脇、 2 0 0 4
しかしながら、 上記の ¾έ*¾Μで〖¾1翻の^ Sit"バが出力する複数の を総合的に 加味して客観的な基準に従い通信網の障害を検出できない問題点がある。 ' その理由は、 徹 IT術では個々の觀の異常度を提示する手段を提供するが、 それらの情 報を総合化して通 ί應の 態を P轄か否か客観的な^ Pに従い判 ¾τる手段を樹共していな レ^らである。 例えば、 全ての籠の発生回数が正常範囲の限界に近いために網全体として 異常な扰態にある:^は、 個々の の発生回数が正纖囲内にあることから、 ^
はその異常を検出できない。
本発明では、 系が単一の講を出力する 態を引き起こす要因を下位の要因、 複数の 警報が連鎖的に出力される 態を引き起こす要因を上位の要因と定義する。 このとき、 上記 の従 術では、 上位の要因にまで遡って通信網の異常度を できない。題点がある。 その理由は、 では下位の要因が引き起こす単一の警報の異常度を提示する手^3、 発生時刻に関する時間的な相関関係に基づき同期性を有する単位に警報を分類して上位の要 因を抽出する手段を提供するが、、 -上位の要因に基づいて網の異常度を推定する手段を提供し ていないからである。 例えば、 異なる複数の上位の要因が同一の蠻を引き起こす：^、 該 警報の発生回数に変化を及ぼす影響力カ溺ぃ上位の要因 影響力が い »の上位の要因の 変動に埋もれてしまい、 徹のように該¾¾の発生回数の変動を監視したり該蠻を分類す るだけでは影響力の弱レ^上位の要因の出現を検出できない。 これは、 な Ρ轄を引き起こ す上位の要因による警報の発生頻度が低い場合に特に問題である。
さらに、 上記の «έ* ^術では、 監視する通删の監棚間における忧態を多面的に ^fffir きない問題点、がある。
その理由は、 ^ m ^ m^ら得られる 数を比較してその異常を検出 する機能の具体的な難手段が提供されておらず、 なおかつ個々の の異常を検出するだ けなので、 監視期間における地理的に近接した通删の 態と、 当該通棚における監視期 間より以前の状態とを同時に比較することにより通信網の総合的な状態の判定を行うという こと力 きないからである。
本発明の目的は、 適蘭の 反を解斤して複数の の発生 態を総合的に加味し、 なお かつ醫を引き起こす上位の要因にまで遡って通翻の異常度を籠し、 客観的な »に従 レ通 ίΙ Ηの を検出するシステムを提供することにある。
本発明のさらに他の目的は、 監視する趣蘭の監棚間における 態を、 監視期間におけ る地理的に近接した通 ί讓の 態と、 当該適應における監棚間より以前の 態とを同時 に比^"することにより、 通 βの忧態を多面的に 面して通 の障害を検出するシステム を提供することにある。 発明の開示
上記の目的を達^ Tるために本発明は、 通信の異常時に発した の内容を記録する通信 網において、 鎌己籠の記録内容から鎌己 を引き起こした上麵因の発現弓艘を算出し、 算出した鎌 3上 ί顿因の発翻艘に基づいて通删の嫌 3上 因に起因する P轄を検出す ることにより達成できる。
また、 上記の目的を達 βΤΤるために本発明は、 籠の記録内容を讓することにより、 警 報を引き起こ ffi己上ィ嫂因の発現弓艘を'算出する上 因の発現弓 ^出手段と、 m. ■の正常時における前記上 因の発現^ tの確率分布を算出する発現^!率分布算出 手段と、 算出した嫌 3上 因の発現弓艘について、 婦 3IE常時の廳己上ィ嫂因の発現弓嫉 の確率分布からの確率的な外れ度合いを異常度として算出する異常麟出手段と、 編 3異常 度と予め与えられた閾値を比^ることにより嫌 31»の P轄を検出する!^検出手段と を備えるため、 籠の内容を角晰して複数の の発生牝態を総合的に加味し、 なおかつ警 報を引き起こす上位の要因にまで つて通讓の異常度を ffiし、 客観的な^ Pに従い通信 網の障害を検出できる。
さらに、 上記の目的を達成するために本発明は、 上記の構成に加え、 嫌 S上礙因の発現 弓 出手段が、 編己警報の記録内容から の出現 J の時間変動を表すパラメ一夕を抽 出する時間麵パラメータ抽出手段と、 出現鍵の空間変動を表すパラメータを抽出する空 間麵パラメ一夕抽出手段を有し、 謙己時間変動を表すパラメータと嫌 3空間変動を表すパ ラメ一夕の値を前記上ィ顿因の発現強度とするため、 監視する通信網の監視期間における状 態を、 監棚間における地理的に近接した通 の 態と、 当該通删における監棚間よ り以前の^ ϋの両方と同時に]:匕^ることにより、 通 if lの 態を多面的に i f面して通 の障害を検出できる。
本発明によれば、 以下に述べるような効果が達成される。
第 1の効果は、 複数の上位の要因が混在して変動する の発生数を単純に監視するより も確度の高い障害検出を^!できることにある。
その理由は、 通信の異常時に発した の内容を記録する通翻において、 の記録内 容から を引き起こした上纏因の発現弓艘を算出し、 算出した上ィ嫂因の発現弓娘に基 づいて通ィ i gの上ィ 因に起因する IWを検出するからである。
第 2の効果は、.保守要員が個々の の異常度を監視しながら通 ί調の忧態を判 ¾Tるよ りも客観性が高い!^検出を できることにある。
その理由は、 の記録内容を騰することにより、 を引き起こす上 iiS因の発現強 度を算出して通 ί調の正常時における上觀因の発現弓娘の確率分布を算出し、 算出した上 健因の発現弓娘について、 正常時の上 ί 因の発現弓艘の確率分布からの確率的な外れ度 合いを異常度として算出し、 異常度と予め与えられた閾値を比^ることにより通 «の障 害を検出するからである。
第 3の効果は、 監撒豫とする通信エリアにおける 数の時間 のみを監視するより も多面的な Pf^検出を実現できることにある。
その理由は、 反の記録内容から gの出現鍵の時間変動を表すパラメータ及び出現頻 度の空間 を表すパラメ一タを抽出し、 時間変動を表すパラメ一夕と空間変動を表すパラ メータの値を上 因の発現弓艘として、 通調の正常時における上 因の発現弓娘の確 率分布を算出し、 算出した上ィ嫂因の発現弓娘について、 正常時の上ィ嫂因の発現弓艘の確 率分布からの確率的な外れ度合いを異常度として算出し、 異常度と予め与えられた閾値を比 ることにより、 通信網の P轄を検出するからである。 図面の簡単な説明
図 1は、 本発明の第 1の麵の形態による觀の発 因と の関係を示す概念図であ る。 図 2は、 本発明の第 1と第 2の ¾|の形態による通 βの P轄検出システム 1の構成図で ある。
図 3は、 本発明の第 1と第 2の実施の形態による観測 出部 1 0 1の構成図である。 図 4は、 本発明の第 1から第 3の実施の形態による上位要因の発現弓 出部 1 0 2の構 成図である。
図 5は、 本発明の第 1と第 2の霊の形態による異常度算出部 1 0 3の構成図である。 図 6は、 本発明の第 1の実施の形態による網特性データべ一ス 1 0 6に格納されている情 報の構成図である。
図 7は、 本発明の第 1の実施の形態による鶴検出システム 1のハードウエアの構成図で ある。
図 8は、 本発明の第 1の実施の形態による P轄検出システム 1の動作を説明する図である。 図 9は、 本発明の第 1の実施の形態による観測 »ώ出部 1 0 1の抽出処理の動作を示す図 である。
図 1 0は、 本発明の第 1から第 3の難の形態による網特性データベース 1 0 6の構観 理の動作を説明する図である。
図 1 1は、 本発明の第 1から第 3の の形態による正常時の^ 分の標 2 ^合から独 立成分の値の確率分布を算出する方法の一例を示す図である。 .
図 1 2は、 本発明の第 1から第 3の^の形態による統計的な手法を用いた異常度の算出 方法を説明する図である。
図 1 3は、 本発明の第 2の鍾の形態による の発顿因と の関係を示す概念図で ある。
図 1 4は、 本発明の第 2の実施の形態による網特性データベース 1 0 6の情報の構成図で ある。
図 1 5は、 本発明の第 2の実施の形態による障害検出システム 1の動作を説明する図であ る。
図 1 6は、 本発明の第 1の実施の形態による観測 出部 1 0 1の抽出処理の動作を示す 図である。
図 1 7は、 本発明の第 1から第 3の実施の形態による特徴を説明する図である。
図 1 8は、 本発明の第 3の実施の形態による通信網の障害検出システム 1の構成図である。 図 1 9は、 本発明の第 3の実施の形態、による異常 Jt^出咅 151 0 3 aと 1 0 3 bおよび^ 検出部 1 0 7の構成図である。
図 2 0は、 本発明の第 3の実施の形態による網特性データベース 1 0 6の情報の構成図で ある。
図 2 1は、 本発明の第 3の実施の形態、による障害検出システム 1の動作を説明する図であ る。 発明を実施するための最良の形態
次に、 本発明を実施するための最良の形態について図面を参照して詳細に説明する。 (第 1の実施の形態）
図 1は、 本発明における第 1の謹の形態による Pi ^出システムの の発生要因と警 報の関係を示す概念図である。
本発明では、 系 5 0 2が単一の を出力する 態を引き起こす要因を下位要因 5 0 1、 複数の觀が連鎖的に出力される 態を引き起こす要因を上ィ顿因 5 0 0と定義する。 このとき、 を引き起こす上 因 5 0 0が個々の を直接引き起こす単数もしくは複 数の下 因 5 0 1を觀し、 それらの下 因 5 0 1による異常を觀系 5 0 2が翻し て警報 5 0 3を出力する。
具体的には， 上位要因 5 0 0の例としそは妨害波の出現， 通信ユーザ数の一時的な急増， 通信路の遮断， 通信装置の故障などカ举げられ 下健因 5 0 1の例としては輻輳の発生， 呼の受ィ掘制の発生， 通信帯域の不足， 通信路の敵の », 端末の鉄などカ げられる。 特に、 本実施の形態において、 上鞭因 5 0 0は、 上記上 因 5 0 0の具体例のうち、 監視する通信エリア内に固有で、 かつ、 発生時間に対して統計的に に議を引き起こす 時間変動の上^ ^因である。
ここで 系 5 0 2は、 通删上の異常を検出して籠を出力する機能を る。 系 5 0 2には、 例えば、 サーバが位置する。
本発明では、 監視する通信エリアに関するログに現れる個々の繩 5 0 3の発生数の時間 変動から上輕因 5 0 0の発生頻度に比例する値を算出してその値を上輕因 5 0 0の発現 弓艘とし、 その発現弓艘の変動を監視することにより P轄を検出する。 特に、 本発明の第 1 の発明の の形,態では、 監視する通信エリアの 艮 5 0 3の発生数に変動をもたらす要因 のうち発生時間に対して統計的に独立な要因を上觀因 5 0 0とする。
(第 1の実施の形 ϋの構成）
図 2は、 本発明を実施するための通信網の障害険出システム 1の構成図である。
本発明による轄検出システム 1は、 通删の籠ザーバ（不図示） が出力するログを収 集するログ纏部 1 0 0と、 輕したログから適謂の 態濫視に必要な観測量を抽出する 観測膽出部 1 0 1と、 抽出した観測量をその上ィ嫂因 5 0 0の発現弓艘に変換する上ィ嫂 因発現 ¾ ^出部 1 0 2と、 上ィ嫂因 5 0 0の発現弓鍍の正常時の確率分布を算出して網特 性データベース 1 0 6に格 する発現弓 率分布算出部 1 0 8と、 個々の上ィ 4¾因 5 0 0 の発現 ¾J の値と網特性データベース 1 0 6に格納されている上イ^因 5 0 0の発現弓艘の 正常時の確率分布とを比較して 現弓^の異常な度合い （異常^) を算出し、 さらに複数 の発現弓娘の異常度を総合化して通擁の異常度を算出する異常 J»出部 1 0 3と、 通删 の異常度と網特性データベース 1 0 6に格納されている異常度の閾値とを比較して通信網の 状態を判定し P轄を検出する P轄検出部 1 0 4と、 轄の検出結果を CRT等の 装置に表 示する結果表 ¾¾ 1 0 5と、 入力部 1 0 9とから構成される。
図 3は、 観測 出部 1 0 1の構成図である。
観測 a*出部 1 0 1は、 ログ纏部 1 0 0が纏した^ βログ 1 0から特定の通信エリア に関するログを抽出する特定空間ログ抽出部 1 2 0と、 抽出した特定の通信エリアのログか ら特定の時間区間に関するログを抽出する特定時間ログ抽出部 1 2 1と、 特定空間ログ抽出 部 1 2 0と特定時間ログ抽出部 1 2 1とにより抽出されたログから警報の觀 Uごとの発生回 数を算出する辦艮聽出部 1 2 2とから構成され 観測量として特定空間及 «定時間 （特 定の時空間領 の警報数 1 1を出力する。
図 4は、 上位要因発現娘算出部 1 0 2の構成図である。
上 ^因発現強 «出部 1 0 2で複数もしくは単数の観測量 （ 数 1 1) の値をその上 位要因 5 0 0の発現弓艘に変換する方法としては、 統計的に無相関な変動成分を観測量から 抽出してその値を上位要因 5 0 0の発現強度と対応付ける方法や、 観測量から統計的に独立 な変動 を抽出してその値を上位要因 5 0 0の発現強度と対応付ける方法や、 統計的に完 全な無相関でも独 ΰϊでもないが上イ^因 5 0 0と関連することが 験的にわかっている変動 成分を観測量から抽出してその値を上ィ嫂因 5 0 0の難弓娘と対応付ける方法など、 幾つ かの方法力考えられる。
2 ^施の形態では、 上ィ 因発現弓艘算出部 1 0 2が観測量をその上 因 5 0 0の発現 弓娘に変換する機能の"^態として、 観測量を統計的に敝な変動成分に連して取得した その発現弓艘を上位要因 5 0 0の発現弓艘とする方法を取り上げる。
この驗、 上 因発現弓 出部 1 0 2は、 特定の時空間領域の籠数 1 1から 分の^^処理に必要な行列 Wを算出する行列 W算出部 1 3 0と、 ^¾分の適藤処理を 行う fc ^ 部 1 3 1から構成され ¾ ^分の発現弓艘すなわち の上 因発現 弓度 1 2を出力する。
行列 W算出部 1 3 0で算出された行列 Wは、 網特性データべ一ス 1 0 6に格納され、 ?¾3t 成 ^?部 1 3 1の要求に応じて取り出される。
図 5は、 異常度算出部 1 0 3の構成図である。
異常麟出部 1 0 3は、 籠の上 因発現弓艘 1 2からその異常度を算出する発現弓艘 異常麟出部 1 4 0と、 各上位要因 5 0 0の発現弓艘の異常度を総合化して通«の異常度 を算出する異常度総合化部 1 4 1から構成される。
上 因 5 0 0の発現弓艘の異常度を算出する際は、 網特 I生データベース 1 0 6に格納さ れている上ィ嫂因 5 0 0の発現弓艘すなわち 分に対する正常時の確率分布が用いられ る。
P轄検出部 1 0 4は、 異常度算出部 1 0 3で求めた異常度と網特性データベース 1 0 6に 格納されている閾値とを比較して通删の P轄検出を行い、 最終的に検出結果 1 3を出力す る。
図 6は、 網特' I生データベース 1 0 6に格納されている情報の構成図である。
網特性データベース 1 0 6は、 通删の特性を表す特 ラメ一夕を監橄橡とする通信 エリア Jごとに格納している。 通擁の特！ ¾Λ°ラメ一夕は、 の 処理の前処理に 用いる個々の蠻の時間区間あたりの発生数の平均値と、 独 の分解処理に用いる行列 Wの算出値と、 異常度の算出に用いる正常時の各独立成分の値の確率分布と、 P轄検出に用 いる異常度の閾値とから構成される。 入力部 109は、 保守要員によって指定された、 P轄の監ネ 豫とする通信エリア Jと監 視を始める時間区間とを、 キーポ一ドやネットワーク等を介して入力し、 観測纖出部 10 1に送る。
ここで、 本実施の形態による P轄検出システム 1のノ、一ドウエア構成の説明をする。 図 7は、 本難の形態による P轄検出システム 1のハードウェア構成を示すブロック図で ある。
図 7を参照すると、 本実施の形態による障鎌出システム 1は、 "^的なコンピュータ装 置と同様のハ一ドウエア構成によって実現すること力 き、 CPU (Cen t r a l P r o c e s s i n g Un i t) 701、 RAM (Random Ac c e s s Memo r y) 等のメインメモリであり、 デ一夕の賤領域ゃデ一夕の一時 » 域に用いられる主記 憶部 702、 ネットワーク 800を介してデータの送受信を行う通信部 703、 液晶ディス プレイ、 プリンタやスピーカ等の提^ ¾ 704、 キ一ボードやマウス等の入力部 705、 周 辺 βと観してデータの送受信を行うインタフェース部 706、 ROM (Re ad On l y Memo ry) 、 ^ディスク、 半導体メモリ等の不揮発性メモリから構成されるハ ードディスク装置である補助記憶部 707、 本情報処理装置の上記各構藤素を相互に » するシステムバス 708等を備えている。
； の形 ϋによる PiS^出システム 1は、 その動作を、 Pf¾^出システム 1内部にその ような機能を麵するプログラムを組み込んだ、 LS I (La r ge Sc a l e I n t e g r a t i on) 等のハードウェア部品からなる回路部品を実装してハードウェア的に実 現することは勿論として、 上記した各構成要素の各機能を提供するプログラムを、 コンビュ 一夕処理装置上の CPU701で実行することにより、 ソフトウェア的に難することが きる。
すなわち、 CPU 701は、 補助記憶部 707に格納されているプログラムを、 主記憶部 702にロードして実行し、 P轄検出システム 1の動作を制御することにより、 ±¾ϋした各 機能をソフトウエア的に実現する。
(第 1の実施の形態の動作）
次に、 '図 2〜図 12を参照して、 本発明による第 1の難の形態の動作について詳細に説 明する。
図 8は、 本実施の形態による轄検出システム 1の動作を説明する図である。 通纖の^ aサーバが出力する ¾f ログ 1 0は、 電子的な騰に記録されたバイナリもし くはテキストのデータとして提供される。 そのデータには、 最低限、 籠が生じた日時を示 す時間情報、 » が生じた通信エリアを iigijする籠 情報、 生じた警報の ss【jに関する情報 力 s含まれている。
最初に、 入力部 1 0 9に、 保守要員によって指定された、 の監ネ 豫とする通信エリ ァと監視を始める時間区間と （初期値） が入力される （ステップ S 8 0 1、 ステップ S 8 0 2) 。
すると観測 出部 1 0 1は、 指定された通信エリア内の時間区間に生じる の S¾IJと その警報の発生回数を観測量として抽出する （ステップ S 8 0 3 )
図 9は、 上記ステツプ S 8 0 3における観測通出部 1 0 1の抽出処理の動作を示す図で ある。
図 9に示すように、 この処理では、 まず、 観測 a*出部 1 0 1内の特定空間ログ抽出部 1
2 0が、 ログ収集部 1 0 0より受け取った ログ 1 0から、 觀が生じた通信エリアの識 別情報をもとに監撒像の通信エリアに関するログのみを抽出する （ステップ S 9 0 1 ) 。 次に、 観測 出部 1 0 1内の特定時間ログ抽出部 1.2 1が、 觀が生じた日時を示す時 間情報をもとに、 特定空間ログ抽出部 1 2 0が抽出したログを、 監視文像の時間区間に関す るログに絞り込む （ステップ S 9 0 2) 。
その後、 観測難出部 1 0 1内の變 ^出部 1 2 2が、 特定時間ログ抽出部 1 2 1で絞 り込まれたログに対して、 の ごとにその発生回数を算出する （ステップ S 9 0 3) このようにして算出された発生回数が、 上記ステップ S 8 0 3において観測量として抽出 される。
本実施の形態による P轄検出システム 1の動作の説明に戻ると、 次に、 上觀因発現弓艘 算出部 1 0 2が、 ログに現れる個々の觀の発生数を発生時間に対して統計的に な変動 成分に分解して上位要因 5 0 0の発現弓娘を算出する （ステップ S 8 0 4) 。
本実施の形態において、 雷の発生数を統計的に航な «I成分へ する手法には、 独 立 分析の手法を用いる。
独立成分分析の手法は、 数式 (1)に示すような時刻 tの M個の観測量をべクトル化した観 測信号べクトル x (t)を、 NXM行の行列 Wを用いて数式 (2)に示すような統計的に な N個の成分からなる信号べクトル y (t)に数式（ 3 )のごとく変換する手法である。 x(t) = ( x1(t),x2(t),....,xM(t))T · · '数式 （1 )
y(t) = (yi(t)5y2(t),....,yN(t) )T · · ·数式 （2 )
y(t) = Wx(t) · · ·数式 （3 )
行列 の値は、 信号ベクトル y(t)が ¾3Ϊ性の指標を満たすように、 観測信号ベクトルの 標本を用いて学習アルゴリズムにより定める。 独立性の指標と学習アルゴリズムは文献 3に 詳しく記載されており、 本発明では^!する実施例でその一例について説明する。
なお、 ； の形態では、 指定された通信エリアの時間区間における個々の の発生数 をべクトル化した値を観測信号べクトルと' る。 ただし、 観測信号べクトルの平均値が零と なるようにべクトルの各要素から予め個々の警報の平均発生数を差し引いておく。
ここで、 網特性データベース 1 0 6が未構築な齢には、 ステップ S 8 2 1で網特性デー 夕べ一ス 1 0 6を: Effすると判断し、 実際の通信網の P轄監視に航つてステップ S 8 2 2 で網特' I生データベース 1 0 6を構築する。
図 1 0は、 ステツプ S 8 2 2における網特性データベース 1 0 6の構築処理の動作を説明 する図である。
まず、 ステップ S 1 0 0 1で、 監ネ 橡とする通信エリア内 （通信エリア J ) の時間区間 ごとに得られる観測信号べクトルを標本として正常時と P轄時の標本をともに含む標 合 を生成する。
次に、 ステップ S 1 0 0 2で、 標賴合内の観測信号べクトルの平均値を求め、 標^ ^合 内の各標本べクトルから該平均値べクトルを差し弓 Iいたべクトルを新たな標本べクトルとす るとともに、 該平均値ベクトルの要素である各 ¾gの平均発生数を網特性データベース 1 0 6に格納する。
さらに、 ステップ S 1 0 0 3で、 標: «合から行列 Wを算出して網特性デ一夕べ一ス 1 0 6に格納する。
その後、 ステップ S 1 0 0 4で、 監ネ！ ^橡とする通信ェリア Jが IE常な怃態にあるときに 得られる観測信号べクトルの標本を編己標: «合から選択する。
次いで、 ステップ S 1 0 0 5で、 ステップ S 1 0 0 4において選択した標本を独立成分に 飾する。
続いて、 ステップ S 1 0 0 6で、 ステップ S.1 0 0 5において生成した正常時の独立成分 の標; Φ集合から ¾i ^分の値の確率分布を算出して網特性データベース 1 0 6に格納する。 ステップ S 1 0 0 7では、 監観象とする通信エリア Jが Pf lえ態にあるときに得られる 観測信号べクトルの標本を前記標機合から選択する。
そして、 ステップ S 1 0 0 8で、 ステップ S 1 0 0 7において選択した各標本を独立成分 に適する。
その後、 ステップ S 1 0 0 9で、 ^の値の異常度を総合化した通 の異常度を求 める。
ステップ s i 0 1 0で、 Ιϋ記の障害時の通信網の異常度の分布もしく〖¾1用ポリシ一に基 づいて定まる異常度の閾値を網特性デー ベース 1 0 6に格納する。
図 1 1は、 正常時の ¾5 分の標雄合から、 ¾5Μ分の値の確率分布を算出する方法の 一例を示す図である。
まず、 正常時の の標 «合から、 y軸を^ Ϊ成分の値、 f (y) 軸を 分の 出現度数として、 独 15Ϊ ^分の値のヒストグラム 1 1 0 1を生成し、 次に、 ヒストグラム 1 1 0 1から近似曲線 1 1 0 2を求め、 最後に、 変数を Xとして近似曲線 1 1 0 2の難が 1と なるように近似曲線 1 1 0 2を定数倍した曲線を独立成分の確率分布 1 1 0 3とする。 本実施の形態では、 監ネ！ ^像とする通信ェリァの全ての時間区間の観測信号の^^処理で 同一の行列 Wを用いる。 ただし、 行列 Wを算出してから長時間が iiして通信エリアの特性 力 S大幅に変化した可能性があると判断した にはステップ S 8 2 1で網特性データベース 1 0 6を: g fすると判定し、 ステップ S 8 2 2で新たに警報の平均発生数、 行列 W、 成 分の正常時の確率分布、 異常度の閾値を算出して網特性データベース 1 0 6を更新する。 また、 の形態では、 監ネ! ^像とする異なる通信エリアごとに網特性データベース 1 0 6に格納してある行列 Wを取り出す。
本発明では、 このような通信エリアに固有な行列 ¥を用いて得られる観測量の個々の ¾5Ϊ 成分の値を監視することにより通信網の障害を検出する。 具体的には、 個々の独 の値 に対する異常度を求め （ステップ S 8 0 5) 、 さらにそれらを総合化することによって、 指 定された通信エリアと時間空間における通信網の異常度を求め （ステップ S8 0 6) 、 通信 網の異常度と事前に用意した閾値とを比較して障害検出を行う （ステップ S 8 0 7) 。
¾ΰϊ成分の値に文 する異常度の算出には、 統計的な手法を用いる。
図 1 2は、 統計的な手法を用いた異常度の算出方法を説明する図である。
¾3 ^の異常麟出部 1 4 0では、 関数 (y) で表される確率分布 1 1 0 3に対する の値の外れ度合いを定量化する指標として、 上側確率 1 2 0 1もしくは下側確率 1 2 0 2もしくはそれらの和である両側確率を用い、 その値を の値の異常度として出 力する。 例えぱ 側確率を用いる: は、 ¾3Ϊ成分 yOの異常度 g (yO) を誠 (4)によ り求める。 なお、 このように求めた異常度は、 異常の度合いが大きなほど小さな値を示す。
(y0)- ∞ol f ^)d^ + £|f^)dy - . .数式 （4 )
通删の異常^ なわち監撒像とする特定の通信ェリァ内の特定の時間区間の異常度は、 該当する区間の個々の独立成分の値の異常度を総合化することにより求める。
異常度は、 事象の 確率なので、 本発明では個々の 分の値の異常度を総合化 した異常度として、 個々の の値の異常度の積を用いる。 この^、 最終的に求まる 異常度は、 ·独立事象の鶴象の生起確率に相当する。
個々のfc 分の値の異常度の積は、 通信エリア内に觀を弓 Iき起こす時間的に な複 数の上^^因 5 0 0が、 ある禾 it以上の で同時に生じる確率と考えることができる。 このようにして、 ステップ S 8 0 7おいて、 この確率カ淳前に設けた閾値より小さな場合 には、 正常な 態では稀にしか起こらない事象が生じているとみなして、 監撒豫とする通 信エリア内の時間区間が P轄 態にあると判定して該 P轄を検出する。 ステップ S 8 0 8では、 ステップ S 8 0 7で得られた^ ¾検出の結果を CRT等の結 ¾¾¾ 部 1 0 5に表示する。
結 ¾¾¾¾|51 0 5は、 この他にも、 監撒像とする通信エリアと時間区間における通 β の異常度、 正常時の通信網の異常度の平均値と分散値、 前記の異常度の算出のもとになる各 独 の値の異常度、 正常時の各 ¾3Ϊ ^分の値の異常度の平均値と分散値、 各 を 逆変換して得られる各警報の発生数の一覧などを表示する。
なお、. ¾3Ϊ成分の逆変換は数式 ( 3 ) において行列 Wの逆行列 W—1を左側から掛けること により実現できる。
ステップ S 8 0 9では、 監視を終了する力、否かを確認し、 終了しない^にはステップ S 8 1 0で監視する時間区間を次の区間に更新してステップ S 8 0 3の観測量の抽出に戻り、 以下、 終了の指示があるまで時間区間を順 繰り上げながら監視を続ける。
(第 1の実施の形態の効果）
次に、 本実施の形態の効果について説明する。
の形態では、 複数の要因力徹して生じる の発生数を複数の上 因 5 0 0ご との発生数に分離し、 分離された複数の の発生数を各上ィ嫂因 5 0 0の発現弓娘に変換 し、 それら複数の発現弓艘を総合的に監視して Ρ轄を検出するので、 複数の要因が離した 警報の発生数を単純に監視するよりも確度の高い障害検出を実現できる。
さらに、 統計的な手法により数値化した上 因 5 0 0の発現弓艘の異常度と閾値を比較 して障^ ¾定を行っているので判定の客観性が い。
さらに、 監撤豫とする通信エリア内の警報数の時間変動の^^を監視して轄を検出す るので、 同一の通信エリァ内で正常時の各時間区間に比べて ¾f 数が異常な時間変動を示す P轄を検出できる。
(第 2の実施の形態）
(第 2の実施の形態の構成）
第 2の鍾の形態は、 図 2に示した第 1の^!の形態に対応し、 第 1の難の形態と同様 の S«成を採用する。
したがって、 以下、 上記の第 1の の形態との相 について主に説明し、 第 1の難 の形態と共通する構成要素については説明を適宜省略する。 図 1 3は、 本発明における第 2の実施の形態、による障害検出システムの警報の発 因と 警報の関係を示す概念図である。
の形態では、 監視する通信エリァの ¾1艮の発生数に麵をもたらす上位の要因は、 場所 (空間)に固有かつ時間に沿って変動する時間変動の上位要因 5◦ 0と、 時間に固有かつ 空間に沿って変動する空間変動の上位要因 5 0 4とからなる。
特に、 賴施の形態において、 上ィ嫂因 5 0 0は、 第 1の難の形態における時間変動の 上位要因 5 0 0と同様であり、 上位要因 5 0 4は、 第 1の実施の形態における上位要因 5 0 0の具体例のうち、 監視する時間に固有で、 かつ、 通信エリアに沿って変動する空間麵の 上位要因である。
入力部 1 0 9で保守要員によって指定された、 P轄の監ネ！ ^豫とする通信エリアと監視を 始める時間区間とを入力することにより、 第 1の ¾&Sの形態では、 監視する通信エリアの警 報の発生数に変動をもたらす要因のうち、 監視する通信ェリァ内に固有かつ発生時間に対し て統計的に な時間変動の上ィ嫂因 5 0 0が引き起こす p轄を検出するが、 一方、 ^ , の形態では、 監視する通信エリアの の発生数に変動をもたらす要因のうち、 監視する時 間 ¾間内に固有、 つ、 監視する通信エリアと地理的に近接した周 5S1信エリアからなるェ リア内の発生場所に対して統計的に ¾¾な空間 の上 因 5 0 4が引き起こす を検 出する。
«施の形態では、 観測信号ベクトルは、 第 1の実施の形態と同様に個々の難の発生数 をベクトル化した値とする。 ただし、 観測信号ベクトルは、 誠 (5)に示すように、 監視す る時間区間における位置 sの関数である観測信号ベクトル X (s ) であり、 対 Ji る信号べ クトルも数式（6)に示すように同じく位置 sの関数 y ( s ) である点が、 それぞ; W刻 tの 関数である第 1の鍾の形態と異なる。 さらに、 本雄の形態では、 監撤像とする異なる 時間区間ごとに行列 Wと独 5¾¾の確率分布を算出して網特性データベース 1 0 6に格納す る。 -
x(s) = (x1(s),x2(s),....,xM(s))T · · ·数式 （5 ) y(s) = (yi(s),y2(s),....,yN(s)) …数式 ( 6 )
図 1 4は、 ¾ の形態による 出システム 1を るために用いる網特性デ一夕 ベース 1 0 6に格納されている情報の構成図である。
賴施の形態による網特性データベース 1 0 6は、 通 ί調の特性を表す特 '¾Α°ラメ一夕を、 監¾ ^とする時間区間 Κごとに格納している点で、 監視対象とする通信エリア Jごとに格 納している第 1の実施の形態と異なる。
従って、 の形態による網特性デ一夕べ一ス 1 0 6の通翻の特 ラメ一タは、 独 立 の 処理の前謹に用いる個々の觀の通信エリァあたりの発生数の平均値と、 独 分の 処理に用いる行列 Wの算出値と、 異常度の算出に用いる正常時の各 の 値の確率分布と、 Ρ轄検出に用いる異常度の閾値とから構成される。 , なお、 ：Φ^5Ιの形態による網特性データベース 1 0 6の構醒理は、 図 1 0に示すステツ プ S 1 0 0 1と同様にして、 まず監視対象とする異なる時間区間 Κごとに、 監視文豫とする 通信エリアと地理的に近接した周 52®信エリァから得られる該時間区間 Κの観測信号べクト リレを標本として正常時と |»時の標本をともに含む標: «合を生 する。
後は、 網特性データベース 1 0 6に格|¾:する特'14/\°ラメータを、 第 1の ¾1の形 ϋと同様 に図 1 0に示す更新処理に従って監視豫とする時間区間 Κごとに求めて網特性データべ一 ス 1 0 6に格frTる。
(第 2の実施の形 ϋの動作）
図 1 5は、 本実施の形態による轄検出システム 1の動作を説明する図である。
本実施の形態による障害検出システム 1の動作は、 ステップ S 1 5 0 3における観測量の 抽出方法が、 図 8に示す第 1の実施の形態のステツプ S 8 0 3と異なる。
図 1 6は、 本実施の形態によるステップ S 1 5 0 3における観測量の抽出処理の動作を示 す図である。
の形態による観測量の抽出処理の動作は、 監¾¾ ^の時間区間に関するログを抽出 してから （ステップ S 1 6 0 1 ) 、 この抽出したログについて監ネ! ^像の通信エリアを含む 複数の周辺通信エリアに関するログへの絞り込みを行って （ステップ S 1 6 0 2) 觀 gの種 別ごとにその発生回数を算出する （ステップ S 1 6 0 3) 点で、 監視像の通信エリアに関 するログを抽出してから （ステップ S 9 0 1 ) 、 この抽出したログについて監ネ慰像の時間 区間に関するログへの絞り込みを行って （ステップ S 9 0 2 ) の種別ごとにその発生回 数を算出する （ステップ S 9 0 3) 第 1の実施の形態による観測量の抽出処理の動作と異な る。
また、 本難の形態による動作は、 ステップ S 1 5 0 4において、 観測量を、 時間変動の 独立成分ではなぐ 空間変動の 成分に藤する点で、 図 8に示すステップ S8 0 4にお いて、 観測量を、 空間変動の ¾β ^ではなく、 時間変動の ¾3 ^に舊する第 1の難 の形態の動作と異なる。
さらに、 本実施の形態による動作は、 ステップ S 1 5 0 4において、 監撒豫とする異な る時間区間ごとに網特性データベース 1 0 6に格納してある行列 Wを取り出す点で、 図 8に 示すステップ S 8 0 4において、 監徹橡とする異なる通信エリアごとに網特性データべ一 ス 1 0 6に格納してある行列 Wを取り出す第 1の実施の形態の動作と異なる。
さらにまた、 本実施の形態による動作は、 ステップ S 1 5 0 6において異常度を算出する 際に、 監撤豫とする異なる時間区間ごとに網特性デ一夕ベース 1 0 6に格納してある ¾5Ϊ ^^の確率分布を取り出す点で、 図 8に示すステップ S 8 0 6において、 監ネ とする異 なる通信エリアごとに網特性データベース 1 0 6に格納してある ¾5¾¾の確率分布を取り 出す第 1の実施の形態の動作と異なる。
また、 本実施の形態による動作は、 ステップ S 1 5 0 7において Ρ轄を検出する際に、 監 撤豫とする異なる時間区間ごとに網特性データベース 1 0 6に してある異常度の閾値 を取り出す点で、 図 8に示すステップ S 8 0 7において、 監視文橡とする異なる通信エリア ごとに網特性データベース 1 0 βに格納してある異常度の閾値を取り出す第 1の実施の形態 の動作と異なる。
本実施の形態では、 監ネ！ ^橡とする時間区間ごとに行列 Wを使い分けるが、 監 m¾f^とす る時間区間が同じならば監ネ！ とする通信ェリァが異なる でも該時間区間に対 る 同一の行列 Wを用いる。
このとき、 時間区間の同一性の判定挪を緩めて、 例えば、 一日の中で同一の時間帯に属 する時間区間は、 日が異なる場合でも互いに同一の時間区間であると判定して同一の行列 W を用いてもよい。 ただし、 行列 Wを算出してから長時間が «するなどして、 監ネ! ^像とする通信エリアを 含む複数の周通信エリアの特性が大幅に変化した可能性があると判断した：^には、 ステ ップ S8 2 1で網特性データベース 1 0 6を H tすると判定し、 ステップ S8 2 2で新たに 警報の平均発生数、 行列 W、 独立成分の確率分布、 異常度の閾値を推定して網特性データべ
—ス 1 0 6を: Effする。
： の形態における P轄検出システム 1のその他の動作は、 図 8に示す第 1の纖の形 態による障害検出システム 1の対 Jiする動作と同様である。
(第 2の実施の形態の効果）
次に、 本実施の形態の効果について説明する。
； の形態では、 監撤豫とする時間区間内 （時間区間 K) の籠数の空間変動の を監視して P轄を検出するので、 同一の時間区間内で正常時の周通信エリアに比べて 数が異常な空間変動を示す監視文豫の通信エリァの障害を検出できる。
(第 3の実施の形 ϋ)
図 1 7は、 本発明による第 1から第 3の実施の形態の特徴を説明する図である。
第 1と第 2の ¾|の形態では、 の発生数を監ネ慰像とする通信ェリァ内で発生時間に 対して統計的に独立な時間変動の上 因 5 0 0が引き起こす障害、 もしくは監視する通信 ェリアと地理的に近接した周 信エリァからなるエリァ内の発生場所に対して統計的に独 立な空間変動の要因 5 0 4が引き起こす Ρ轄の何れか一方のみを検出していた。
これに対し、 ： の形 IIでは、 時間変動の上位要因 5 0 0と、 空間変動の上位要因 5 0 4と （時空間変動の上位要因） が引き起こす轄を両方とも検出する。
特に、 Φ¾Ιの形態において、 上 ί嫂因 5 0 0は、 第 1の難の形態における時間変動の 上位要因 5 0 0と同様であり、 上 ^因 5 0 4は、 第 2の実施の形態における空間変動の上 因 5 0 4と同様である。
以下、 上記の第 1と第 2の の形態との相 について主に説明し、 第 1と第 2の謹 の形態と共通する構成要素については説明を 省略する。
(第 3の実施の形態の構成）
図 1 8は、 本発明における第 3の実施の形態による通删の P轄検出システム 1の構成図 である。 Φ ^の形態による通讓の P轄検出システム 1の構成と、 第 1の鍾の形態ならびに第 2の難の形態による通 {調の 出システム 1の構成との違いは、 第 1と第 2の難の 形態で、 観測量をその上位要因の発現弓娘に変換する上 因発現^ »出部 102が、 時 間変動の上 ^因 500の発現弓娘に変換する上 因発現 ¾ ^出咅 15102aと空間 の上イ^因 504の発現弓 に変換する上イ^因発現 出部 102bとに分かれて構成 される点、と、 上 因の発現^ の正常時の確率分布を算出して網特性データベース 106 に格 る発現 率分布算出部 108が、 時間麵の上輕因 500に対する発現弓艘 確率分布算出部 108 aと、 空間 ¾ί¾の上ィ 4^因 504に対する発現弓 率分布算出部 1 08 bとに分かれて構成される点と、 異常 »出部 103が、 時間麵の上频因 500の 発現弓艘の異常度から通信網の異常度を算出する異常 i»出部 103 aと、 空間変動の上位 要因 504の発現弓艘の異常度から通 ί翻の異常度を算出する異常麟出部 103 bとに分 力、れて構成される点と、 P轄検出音 04が、 異常麟出部 103 a, 103 bで算出され た ΙϋΙ32種類の通信網の異常度をもとに 定を行い I»を検出する 出部 107に 置き換わる点である。
図 19は、 の形態の異常 J»出部 103a, 103 bおよび轄検出部 107の構 成図である。
觀の上 因の発現艇のうち、 時間麵の上ィ 因 500の上 因発現艇 12 a と空間変動の上 因 504の上ィ 因発現弓象度 12 bとがそれぞれ並列に発現弓^の異常 度算出部 103 a, 103 bに入力され それらの異常度がそれぞれ発現弓鍍異常麟出部 140 a, 140 bで算出されて異常度総合化部 141a, 141 bで総合化される。 総合化された異常度は、 時間と空間の ごとにそれぞ «間変動 出部 142a, 空間変動 142bに入力されて、 網特す生データベース 106に格納された閾値との比 »® により I»検出の結果が出力され それらカ淞出結 合化部 143で総合化されて最終的 な検出結果 13として結 示音! 5105に出力される。
図 20は、 ： «施の形態における網特性デ一夕ベース 106に格納されている情報の構成 図である。
本実施の形態における網特性データベース 106は、 第 1と第 2の実施の形態における網 特性データベース 106に格納された情報を両方含んでいる。 ： Φ¾の形態における網特性データベース 106の構築処理では、 第 1と第 2の実施の形 ϋによる網特性デ'一夕ベース 106の構築処理を個別に適用して網特性データベース 106 に格frTる' I青幸を生^る。
(第 3の実施の形態の動作）
図 21は、 本実施の形態、における障害検出システム 1の動作を説明する図である。
第 1や第 2の難の形態における Pt*^出システム 1は、 指定された通信エリアと時間空 間の観測量を抽出した後 （ステップ S803, S 1503) 、 観測量を時間変動の独 分 に連するか （ステップ S804) 、 又は、 観測量を空間変動の ¾ ^分に する （ステ ップ S 1504)。： Φ实施の形態における障識出システム 1と、 第 1や第 2の実施の形態 における障害検出システム 1との違いは、 指定された通信エリアと時間空間の観測量を抽出 した後 （ステップ S2103) 、 本実施の形態における障害検出システム 1は、 ステップ S 2104 aで観測量を時間変動の ¾¾ に するのと並列して、 ステップ S2104b で観測量を空間変動の 成分に傷し、 時間と空間の変動成分ごとに並列にステップ S2 105aとステップ S2105 bで異常度の算出処理、 ステップ S2106aとステップ S2 106 bで異常度の総合化処理、 ステップ S2107aとステップ S2107 bで障害検出 処理を行い、 ステップ S2108で時間と空間の障害検出結果を総合化する点である。 ステップ S 841の総合化では、 ステップ S807aとステップ S 807 bのいずれかで障 害を検出した場合に P轄を検出したこと ¾«1する。
なお、 本^の形態、における障害検出システム 1のその他の動作は、 上記第 1及び第 2の 実施の形態による 出システム 1の対 る動作と同様であるため、 行歹 IJWや確率分布 を使い分ける方法も、 第 1及び第 2の実施の形態における方法と同じである。
(第 3の実施の形態の効果）
次に、 本実施の形態の効果について説明する。
本実施の形態では、 監ネ傲像とする通信エリア内の 数の時間変動と、 監ネ慰豫とする 時間区間内の 数の空間変動との両方を同時に監視して障害を検出するので、 同一の通信 エリァ内で正常時の戸旋の時間区間に比べて變数が異常な時間変動を示す P轄と、 同一の 時間区間内で正常時の所定の通信エリアに比べて 数が異常な空間変動を示す との両 方を検出できる （図 17参照） 。 (実施例 1)
次に、 本発明の P轄検出システムによる難例 1について述べる。 係る実施例 1は、 本発 明の第 1と第 3の実施の形態に対応するものである。
賴施例は、 行列 W算出部 130において、 ίίΰϊ性の指標に相互積率を用い、 学習アルゴ リズムに勾配法を用いて行列 の値を求める。
信号ベクトル y (t) の要素 (t) と (t) の確率変数 と Υ·に対する 4次の 相互積率 Ε[Υ〖3Υ〗]は、 確率変数 Y iと Υ』が であれば (7)のようにそれぞれの積率 の積に することができ、 E [Y^と E [Yj]のいずれかが零ならば 4次の相互積率も零とな る。
そこで、 例えば、 観測信号ベクトル X (t) から標本平均を予め差し引き、 Ε[Υ』·]が零と なるように操作して数式 (8) に示 面関数 φ (W) を設けると、 数式 (8)を最小化す る行列 Wが最も^ Ϊ性の高い信号ベクトル y (t) を返すことがわかる。
E 3Y j;」 Y 1' J Εし ο 数式 (7)
φ(λ\ = |Ε[_χ3Υ 数式 (8)
そのような行列 Wは、 «(9)に従い適当な正の定数 εを用いて行列 Wを更新すること により得られる。 ただし、 行列の ^»dWは «(10)で与えられ 面関数 Φ0 の扮 νφ )は数式（11)で与えられる。
(^ /^wi ί) 行列 Wの各成分 による扮を （i， j) として並べた行列 である。 なお、 4次の相互積率は、 時間 t = tい t2, · · ·， tnにおける信号ベクトル y (t) の標本を用いて数式（12)に従い算出する。 W -W + sdW 数式 (9)
dW = -V9(W)WTW 数式 （10)
dcp(W) (W)
'数式 （1 1) dW V ^ij ノ
数式 （1 2)
Figure imgf000024_0001
(実施例 2)
次に、 本発明の P轄検出システムによる実施例 2について述べる。 係る難例 2は、 本発 明の第 2と第 3の «の形態に対 jS るものである。
本実施例は、 4次の相互積率を、 位置 s s s2， · · ·， · s nにおける信号ベクトル y (s) の標本を用いて数式（13)に従い算出する点で、 4次の相互積率を、 時間 t = t2， · · ·， tnにおける信号ベクトル y (t) の標本を用いて数式（12)に従い算出する 実施例 1と異なるが、 そ の箇所は、 上記実施例 1と同じである。 '
数式 (13)
Figure imgf000024_0002
以上好ましい複数の実施の形態およ 例をあげて本発明を説明したが、 本発明〖泌ず しも、 上記 ¾Sの形態およ Ό¾¾例に! されるものでなぐ その ¾f5的思想の範囲内にお いて様々に変形して実 ることができる。 産業上の利用可能性
本発明によれば、 時系列に警報が記載された ログを出力する管理システム全般に対し て、 システムが管理する舰の P轄を検出する P轄検出システムに適用できる。

Claims

請求の範囲
1. 通信の異常時に発した鬍艮の内容を記録する通信網において、
嫌 3»#の記録内容から嫌 3蠻を弓 1き起こした上ィ嫂因の発現弓艘を算出し、 算出した 前記上位要因の発現強芰に基づいて通^の嫌3上ィ]^因に起因する I»を検出することを 特徴とする通信網の障害検出システム。
2. 警報の記録内容を^ t斤することにより、 警報を引き起こす前記上ィ 4¾因の発現強度を 算出する上^因の発現弓 t¾算出手段と、
iftSl の正常時における前記上 因の発現^ tの確率分布を算出する発現 率 分布算出手段と、
算出した 1913上 因の発現 について、 ΙΟΪΒΙΕ常時の tfrlS上イ^因の発現弓 の確率 分布からの確率的な外れ度合いを異常度として算出する異常度算出手段と、
嫌 3異常度と予め与えられた閾値を比^ Tることによ 0'、 嫌 S i Hの P轄を検出する障 害検出手段と
を備えたことを特徴とする請求項 1に記載の通 の^検出システム。
3. l己上位要因の嫌3発現^ ^出手段は、
嫌 の記録内容から講の出現 の時間麵を表すパラメータを抽出する時間変動 パラメ一夕抽出手段を有し、 觸 3時間変動を表すパラメ一夕の値を鎌己上輕因の発現弓艘 とすることを特徴とする請求項 2に記載の通信網の Pf¾^出システム。
4. 前記発現麵繂分布算出手段は、
を発した通信装置が正常に «Iしていた過去の期間における上位要因の発現弓 & ^出 手段の推定結果をもとに、 廳31讓の正常時における嫌 3上ィ嫂因の発現弓艘の確率分布 を算出することを特徴とする請求項 2に記載の通信網の障害検出システム。
5. 嫌 3上位要因の発現艘算出手段は、 編己 艮の記録内容から の出現離の空間変動を表すパラメ一夕を抽出する空間変動 ノ ラメータ抽出手段を有し、 嫌己空間変動を表すパラメ一夕の値を嫌己上 因の発現弓艘 とすることを特徴とする請求項 2に記載の通信網の障害検出システム。
6. 編 3発現脑繂分布算出手段は、
を発した通信装置に対して地理的に近接した他の通信装置における上 因の発現強 度算出手段の推定/結果をもとに、 通信網の正常時における前記上 因の発現 の確率分 布を算出することを特徴とする請求項 2に記載の通信網の障害検出システム。
7. 蠻の記録内容を解斤することにより、 嫌己觀を引き起こす上ィ 4¾因の発現弓艘を 算出する上ィ i ^因の発現弓 ti 算出手段と、
通信網の正常時における前記上 ί 因の発現 ¾Jtの確率分布を算出する発現 ¾J»率分布 算出手段と、
算出した嫌己上顾因の発現弓艘について、 正常時の嫌 3上位要因の発現弓艘の確率分布 からの確率的な外れ度合いを異常度として算出する異常度算出手段と、
謙己異常度と予め与えられた閾値を比^ることにより、 通■の を検出する Pf ^ 出手段とを備え、
嫌己上輕因の発現 3艘算出手段は、
嫌己 の記録内容から の出現鍵の時間変動を表すパラメ一夕を抽出する時間麵 パラメ一夕抽出手段と、 出現謹の空間変動を表すパラメ一タを抽出する空間変動パラメ一 夕抽出手段を有し、
鎌 3時間変動を表すパラメ一夕と編己空間変動を表すパラメ一夕の値を嫌 3上輕因の発 現強度とすることを特徴とする特徴とする通信網の障害検出システム。
8. 嫌 3発現弓鍍確率分布算出手段は、
警報を発した通信装置が正常に »していた過去の期間における前記上 因の発現弓 算出手段の推定結果と、 を発生した通信装置に対して地理的に近接した他の通信装置に おける前記上位要因の発現弓 出手段の推定結果とをもとに、 通信網の正常時における前 記上 因の発現弓 t¾の確率分布を算出することを樹毂とする請求項 7に記載の通 if!Sの障 害検出システム。
9. 嫌己時間変動パラメータ抽出手段と前記空間変動パラメータ抽出手段は、
祈の手法を用いて の出現 から統計的に^ tな時間 と空間変動 成分を求め、 それぞれの成分を時間変動を表すパラメータと空間変動を表すパラメ一夕とす ることを特徴とする請求項 3または請求項 5または請求項 7に記載の通信網の障害検出シス テム。
1 0. 嫌 3異常鶴出手段は、
鎌 S時間変動を表すパラメ一夕から求めた編 3上ィ顿因の発現弓艘と、 嫌己空間変動を表 すパラメータから求めた嫌己上ィ嫂因の発現弓娘のそれぞれに対して個別に、 発現弓^!率 分布の上側確率もしくは下側確率もしくは両側確率を異常度とし、 複数の上ィ嫂因の発現強 度に対してそれぞ めた異常度を掛け合わせて全体の異常度とすることを體とする請求 項 2または請求項 7に記載の通信網の障害検出システム。
1 1. 謂轄検出手段は、
嫌己時間麵を表すパラメ一夕から求めた編己異常度と嫌 3空間麵を表すパラメータか ら求めた嫌 3異常度の両方を用いて Pf*を検出することを とする言胄求項 7に記載の通信 網の障害検出システム。
1 2. 通信の異常時に発した警報の内容を記録する通信網において、
嫌3»$の記録内容から Ιϋΐ3»¾を引き起こした上ィ嫂因の発現弓 i を算出するステツプ と、 算出した嫌己上 因の発現弓艘に基づいて通删の嫌 3上 ί嫂因に起因する P轄を検 出するステツプを ることを特徴とする通 の Ρ轄検出方法。
1 3. の記録内容を解斤することにより、 警 を引き起こ THE上 ί嫂因の発現弓艘 を算出する上 因の発現弓娘算出ステツプと、 の正常時における tilt己上位要因の発現 の確率分布を算出する発現^ »率 分布算出ステップと、
算出した鎌 3上ィ嫂因の発現弓娘について、 嫌 BIE常時の鎌己上 因の発現弓娘の確率 分布からの確率的な外れ度合いを異常度として算出する異常度算出ステツプと、
1513異常度と予め与えられた閾値を比^ fることにより、 編 翻の »を検出する障 害検出ステップと
をさらに有することを特徴とする請求項 1 2に記載の通信網の Pt§検出方法。
1 4. 前記上位要因の前記発現強度算出ステツプで、
嫌己觀の言 3 ^内容から觀の出現鍵の時間変動を表すパラメ一夕を抽出する時間変動 パラメ一タ抽出ステップを有し、 編 S時間変動を表すパラメ一夕の値を鎌 3上鞭因の発現 弓娘とすることを特徴とする請求項 1 3に記載の通^の P轄検出方法。
1 5. ΙίίΙ3発現 率^ ^布算出ステツプで、
を発した通信装置が正常に^していた過去の期間における上イ^因の発現弓 出 ステップによる推定結果をもとに、 前言 BSif!Hの正常時における前記上 因の発現弓食度の 確率分布を算出することを |数とする請求項 1 3に記載の通信網の 検出方法。
1 6. 嫌己上^因の発現弓艘算出ステップで、
前記 ¾f の記録内容から の出現頻度の空間変動を表すパラメ一夕を抽出する空間変動 ノ\°ラメ一タ抽出ステップを有し、 鎌 S空間変動を表すパラメ一夕の値を編己上ィ嫂因の発現 弓艘とすることを とする請求項 1 3に記載の通信網の P轄検出方法。
1 7 · Ιίί 発現 率分布算出ステツプで、
警報を発した通信装置に対して地理的に近接した他の通信装置における上 因の発現強 度算出ステップによる推 吉果をもとに、 通 ί翻の正常時における嫌 3上輕因の発現鍵 の確率分布を算出することを特徴とする請求項 1 3に記載の通 の Pt ^出方法。
1 8. ,の記録内容を解斤することにより、 前記^ gを引き起こす上 因の発現弓^ を算出する上ィ 因の発現弓艘算出ステツプと、
通^ ¾の正常時における 1913上ィ 因の の確率分布を算出する発現弓 « 率分布 算出ステップと、
算出した tins上 因の発現弓艘について、 正常時の鎌3上イ^因の発現弓艘の確率分布 からの確率的な外れ度合いを異常度として算出する異常^:出ステツプと、
嫌 3異常度と予め与えられた閾値を比^ ることにより、 通,の I»を検出する Ρ轄検 出ステップとを有し、
lift己上位要因の発現 出ステツプで、
嫌 S の記録内容から の出現鍵の時間麵を表すパラメータを抽出する時間変動 パラメ一夕抽出ステップと、 出現髓の空間変動を表すパラメ一夕を抽出する空間変動パラ メータ抽出ステップを有し、
S時間変動を表すパラメータと 1913空間^ 1¾を表すパラメ一夕の値を Ιϋ 上 ί ^因の発 現弓艘とすることを特徴とする特徴とする通信網の Ρ轄検出方法。
1 9. 嫌 3発現弓^!率^^布算出ステツプで、
» を発した通信装置が正常に稼動していた過去の期間における前記上位要因の発現強度 算出; 5テツプによる推 吉果と、 蠻反を発生した通信装置に対して地理的に近接した他の通 信装置における前記上^因の発現 出ステツプによる推定結果とをもとに、 通信網の 正常時における前記上 因の発現 ^J の確率分布を算出することを樹敫とする請求項 1 8 に記載の通 の Ρ 検出方法。
2 0. 前記.時間変動パラメータ抽出ステップと前記空間変動パラメ一夕抽出ステツフ 、
^祈の手法を用いて の出現艇から統計的に敝な時間変動成分と空間麵 成分を求め、 それぞれの成分を時間変動を表すパラメ一夕と空間変動を表すパラメータとす ることを樹敦とする請求項 1 4または請求項 1 6または請求項 1 8に記載の通信網の障^ 出方法。
2 1. 前記異常度算出ステツプで、 嫌 S時間麵を表すパラメ一夕から求めた嫌 3上輕因の発現弓鍍と、 嫌己空間麵を表 すパラメータから求めた前記上 因の発現強度のそれぞれに対して個別に、 発現弓 t«率 分布の上側確率もしくは下側確率もしくは両側確率を異常度とし、 複数の上ィ] m因の発現強 度に対してそれぞ めた異常度を掛け合わせて全体の異常度とすることを樹敷とする請求 項 1 3または請求項 1 8に記載の通 の 検出方法。
2 2. 検出ステップで、
嫌 S時間麵を表すパラメータから求めた嫌 3異常度と鍾己空間麵を表すパラメ一夕か ら求めた鎌己異常度の両方を用いて P轄を検出することを »とする請求項 1 8に記載の通 信網の Pf^検出方法。
2 3. 通信の異常時に発した警報の内容を記録する通翻において、
ttifSi信網上の通信装置に、
嫌 3»#の記録内容から嫌 を引き起こした上麵因の発現弓艘を算出し、 算出した 前記上ィ4 ^因の発現tSに基づいて通 の前記上位要因に起因する障害を検出する機能を 持たせることを特徴とする P轄検出プログラム。
2 4. 編通信装置に、 '
蠻艮の認内容を麟斤することにより、 を弓 起こ 因の発現弓娘を算出 する上位要因の発現 ¾ ^出機能と、
ΙϋΐΒίΙ の正常時における 151己上 因の発現 の確率分布を算出する発現 ¾1«率 分布算出機能と、
算出した鎌 3上擬因の発現弓艘について、 嫌 HIE常時の歸 3上ィ嫂因の発現弓娘の確率 分布からの確率的な外れ度合いを異常度として算出する異常麟出機能と、
tiff己異常度と予め与えられた閾値を比 ることにより、 tiflSi删の P轄を検出する障 鎌出機能を持たせることを 1敷とする請求項 2 3に記載の I»検出プログラム。
2 5. 編己上位要因の前記発現嫉算出機能として、 ΙϋΙ3»#の記録内容から警報の出現頻荽の時間変動を表すパラメータを抽出する時間変動 ノ\°ラメ一タ抽出機能が含まれ、 鎌 3時間麵を表すパラメータの値を嫌 3上 因の発現強 度とすることを とする請求項 2 4に記載の Ρ轄検出プログラム。 2 6. 編 3発現^ »率分布算出機能として、 '
響を発した通信装置が正常に^/していた過去の期間における上位要因の発現弓艘算出 機能による推 ¾|吉果をもとに、 Mfffil«の正常時における前記上位:要因の発現弓 t¾の確率 分布を算出することを特徴とする請求項 2 4に記載の障害検出プログラム。 2 7. 前記上ィ嫂因の発現弓^:出機能として、
嫌己觀の議内容から蠻艮の出現鍵の空間変動を表すパラメ一夕を抽出する空間変動 パラメータ抽出機能を含み、 嫌 3空間変動を表すパラメ一夕の値を婦3上ィ嫂因の発現弓鍍 とすることを糊敷とする請求項 2 4に記載の 出プログラム。 2 8. 鎌3発現弓嫉確率^布算出機倉として、
を発した通信装置に対して地理的に近接した他の通信装置における上ィ 4¾因の発現強 度算出機能による推定 ^結果をもとに、 通信網の正常時における Mt3上 因の発現^ ¾の確 率分布を算出することを特徴とする請求項 2 4に記載の P轄検出プログラム。 2 9. 通信網上の通信装置に、
の記録内容を餅斤することにより、 嫌己 を弓 (き起こす上ィ顿因の発現弓艘を算出 する上 因の発現¾ ^出機能と、
通^ の正常時における &3上^因の発現^ ¾の確率分布を算出する発現 率分布 算出機能と、
算出した嫌 3上 因の発現弓娘について、 正常時の嫌 3上ィ嫂因の発現弓娘の確率分布 からの確率的な外れ度合いを異常度として算出する異常度算出機能と、
嫌3異常度と予め与えられた閾値を比 »ることにより、 通■の I»を検出する |5 ¾検 出機能を持たせ、
嫌 3上位要因の発現弓艘算出機能として、 Ml己警報の記録内容から警報の出現 の時間変動を表すパラメ一夕を抽出する時間変動 パラメ一夕抽出機能と、 出現鍵の空間変動を表すパラメ一夕を抽出する空間垂パラメ一 夕抽出機能を含み、
嫌己時間変動を表すパラメータと鎌己空間変動を表すパラメ一夕の値を嫌己上 ί嫂因の発 現 荬とすることを特徴とする特徴とする障害検出プログラム。
3 0. 前記発現弓鍍確率分布算出機能において、
を発した通信装置が正常に^ ίΐしていた過去の期間における前記上位要因の発現 算出機能による推 結果と、 を発生した通信装置に対して地理的に近接した他の通信装 置における前記上 因の発現弓娘算出機能による推 結果とをもとに、 通 βの正常時に おける前記上 因の発現弓艘の確率分布を算出することを特徴とする請求項 2 9記載の障 害検出プログラム。
3 1. 嫌己時間変動パラメータ抽出機能と 1913空間変動パラメ一夕抽出機能において、
^祈の手法を用いて の出現 から統計的に ¾3Ϊな時間変動^と空間変動 成分を求め、 それぞれの を時間変動を表すパラメータと空間変動を表すパラメータとす ることを とする請求項 2 5または請求項 2 7または請求項 2 9記載の障害検出プロダラ ム。 . ' 3 2. 鎌 3異常度算出機能において、
鎌己時間変動を表すパラメ一夕から求めた嫌 3上輕因の発現弓鍍と、餾 3空間変動を表 すパラメータから求めた鎌 3上ィ 因の発現弓艘のそれぞれに対して個別に、 発現弓 tl»率 分布の上側確率もしくは下側確率もしくは雨貝纏率を異常度とし、 複数の上ィ 因の発現強 度に対してそれぞ i^めた異常度を掛け合わせて全体の異常度とすることを樹敷とする請求 項 2 4または請求項 2 9記載の障害検出プログラム。
3 3. 嫌 轄検出機能において、 編 3時間変動を表すパラメータから求めた謙己異常度と嫌 3空間麵を表すパラメ一夕か ら求めた嫌己異常度の両方を用いて P轄を検出することを額敷とする請求項 2 9記載の P轄 検出プログラム。
PCT/JP2006/314130 2005-07-11 2006-07-11 通信網の障害検出システム、通信網の障害検出方法及び障害検出プログラム WO2007007895A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US11/994,954 US8065568B2 (en) 2005-07-11 2006-07-11 Communication network failure detection system, and communication network failure detection method and failure detection program
CN2006800253530A CN101218786B (zh) 2005-07-11 2006-07-11 通信网络故障检测系统、通信网络故障检测方法
EP06781153.9A EP1903717B1 (en) 2005-07-11 2006-07-11 Communication network trouble detecting system, communication network trouble detecting method and trouble detecting program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2005202134A JP4626852B2 (ja) 2005-07-11 2005-07-11 通信網の障害検出システム、通信網の障害検出方法及び障害検出プログラム
JP2005-202134 2005-07-11

Publications (1)

Publication Number Publication Date
WO2007007895A1 true WO2007007895A1 (ja) 2007-01-18

Family

ID=37637264

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2006/314130 WO2007007895A1 (ja) 2005-07-11 2006-07-11 通信網の障害検出システム、通信網の障害検出方法及び障害検出プログラム

Country Status (5)

Country Link
US (1) US8065568B2 (ja)
EP (1) EP1903717B1 (ja)
JP (1) JP4626852B2 (ja)
CN (1) CN101218786B (ja)
WO (1) WO2007007895A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102164043A (zh) * 2010-10-27 2011-08-24 青岛海信传媒网络技术有限公司 日志上报方法及终端
CN115022908A (zh) * 2022-05-11 2022-09-06 中电信数智科技有限公司 一种核心网与基站传输网络异常预测及定位的方法

Families Citing this family (34)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5459608B2 (ja) * 2007-06-06 2014-04-02 日本電気株式会社 通信網の障害原因分析システムと障害原因分析方法、及び障害原因分析用プログラム
US8682612B2 (en) * 2008-12-18 2014-03-25 Abb Research Ltd Trend analysis methods and system for incipient fault prediction
JP5378847B2 (ja) * 2009-03-26 2013-12-25 株式会社野村総合研究所 監視装置
KR20110136881A (ko) * 2009-04-03 2011-12-21 인터내셔널 비지네스 머신즈 코포레이션 협력 크롤링에 의한 리치 인터넷 어플리케이션을 위한 접근성을 향상시키는 방법 및 컴퓨터 프로그램
WO2012041555A1 (en) * 2010-09-30 2012-04-05 Telefonaktiebolaget L M Ericsson (Publ) Method for determining a severity of a network incident
US9015536B1 (en) * 2011-08-31 2015-04-21 Amazon Technologies, Inc. Integration based anomaly detection service
JP5556801B2 (ja) * 2011-12-19 2014-07-23 株式会社デンソー 車載電子制御装置および診断システム
JP5883770B2 (ja) * 2012-11-15 2016-03-15 株式会社日立製作所 ネットワーク異常検知システム、および、分析装置
JP5968829B2 (ja) * 2013-05-23 2016-08-10 日本電信電話株式会社 評価方法、評価装置及び評価プログラム
US9544207B2 (en) 2013-06-21 2017-01-10 Microsoft Technology Licensing, Llc Using different connectivity checks to determine causes of connectivity issues
EP2852207B1 (en) 2013-07-22 2016-10-26 Huawei Technologies Co., Ltd. Fault diagnosis method and apparatus for wireless network
EP3104538B1 (en) * 2014-02-05 2019-05-01 Nec Corporation Monitoring device, radio communication system, failure cause determination method and non-temporary computer-readable medium storing a program
US10263836B2 (en) * 2014-03-24 2019-04-16 Microsoft Technology Licensing, Llc Identifying troubleshooting options for resolving network failures
WO2015182831A1 (ko) * 2014-05-30 2015-12-03 삼성에스디에스 주식회사 시스템 모니터링 장치 및 방법
JP6459345B2 (ja) * 2014-09-26 2019-01-30 大日本印刷株式会社 変動データ管理システム及びその特異性検出方法
US9960956B1 (en) * 2014-10-15 2018-05-01 The United States Of America, As Represented By The Secretary Of The Navy Network monitoring method using phantom nodes
KR101594701B1 (ko) * 2014-10-20 2016-02-16 삼성에스디에스 주식회사 이상 접속 검출 장치 및 방법
KR102292990B1 (ko) 2015-11-20 2021-08-26 삼성전자 주식회사 상태 관련 정보 공유 방법 및 장치
WO2017187520A1 (ja) 2016-04-26 2017-11-02 三菱電機株式会社 侵入検知装置、侵入検知方法及び侵入検知プログラム
CN105931438B (zh) * 2016-06-27 2017-11-28 北京协同创新研究院 一种判别报警持续时间统计分布稳定性的方法和系统
CN106293976A (zh) * 2016-08-15 2017-01-04 东软集团股份有限公司 应用性能风险预测方法、装置和系统
US10432652B1 (en) * 2016-09-20 2019-10-01 F5 Networks, Inc. Methods for detecting and mitigating malicious network behavior and devices thereof
US10979480B2 (en) 2016-10-14 2021-04-13 8X8, Inc. Methods and systems for communicating information concerning streaming media sessions
US10333996B2 (en) * 2016-10-14 2019-06-25 CALLSTATS I/O Oy Methods and systems for analyzing streaming media sessions
US10462170B1 (en) * 2016-11-21 2019-10-29 Alert Logic, Inc. Systems and methods for log and snort synchronized threat detection
US20200314130A1 (en) * 2017-01-19 2020-10-01 Mitsubishi Electric Corporation Attack detection device, attack detection method, and computer readable medium
US11038869B1 (en) 2017-05-12 2021-06-15 F5 Networks, Inc. Methods for managing a federated identity environment based on application availability and devices thereof
JP6571131B2 (ja) * 2017-06-14 2019-09-04 株式会社ｔｏｏｒ パケット監視装置、パケット監視システム、パケット監視方法、及びパケット監視プログラム
CN109981328B (zh) * 2017-12-28 2022-02-25 中国移动通信集团陕西有限公司 一种故障预警方法及装置
CN109614340A (zh) * 2018-12-28 2019-04-12 北京微播视界科技有限公司 应用程序的开发调试方法、装置、电子设备及存储介质
CN109978038B (zh) * 2019-03-19 2023-04-18 中国银联股份有限公司 一种集群异常判定方法及装置
JP7298343B2 (ja) * 2019-07-01 2023-06-27 日本電信電話株式会社 故障影響推定装置、故障影響推定方法、及びプログラム
US11349981B1 (en) 2019-10-30 2022-05-31 F5, Inc. Methods for optimizing multimedia communication and devices thereof
CN114419870B (zh) * 2022-03-31 2022-07-15 长园共创电力安全技术股份有限公司 基于低功耗无线通信的传感采集系统的通信方法

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0535484A (ja) * 1991-07-26 1993-02-12 Ricoh Co Ltd 故障診断方法
JPH08288944A (ja) * 1995-04-18 1996-11-01 Hitachi Ltd 通信設備管理システム
JP3082548B2 (ja) 1993-12-27 2000-08-28 株式会社日立製作所 設備管理システム
WO2002045315A2 (en) 2000-11-28 2002-06-06 Micromuse Inc. Method and system for predicting causes of network service outages using time domain correlation
JP2003032253A (ja) * 2001-06-29 2003-01-31 Internatl Business Mach Corp <Ibm> 管理可能なネットワークにおける事前対策オンライン診断
US20040167893A1 (en) 2003-02-18 2004-08-26 Nec Corporation Detection of abnormal behavior using probabilistic distribution estimation
JP2004289824A (ja) * 2003-03-17 2004-10-14 Tyco Telecommunications (Us) Inc 分散警報相関を使用する障害診断のシステムおよび方法
JP2004318552A (ja) 2003-04-17 2004-11-11 Kddi Corp Ｉｄｓログ分析支援装置、ｉｄｓログ分析支援方法及びｉｄｓログ分析支援プログラム

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0824291B2 (ja) * 1993-03-25 1996-03-06 日本電気株式会社 ネットワーク管理システム
US5528516A (en) * 1994-05-25 1996-06-18 System Management Arts, Inc. Apparatus and method for event correlation and problem reporting
US5761502A (en) * 1995-12-29 1998-06-02 Mci Corporation System and method for managing a telecommunications network by associating and correlating network events
US7113988B2 (en) * 2000-06-29 2006-09-26 International Business Machines Corporation Proactive on-line diagnostics in a manageable network
FI114749B (fi) * 2000-09-11 2004-12-15 Nokia Corp Poikkeamien ilmaisujärjestelmä ja menetelmä sen opettamiseksi
AU2002329611A1 (en) * 2001-07-20 2003-03-03 Altaworks Corporation System and method for adaptive threshold determination for performance metrics
US7437762B2 (en) * 2001-11-29 2008-10-14 International Business Machines Corporation Method, computer program element and a system for processing alarms triggered by a monitoring system
CN1315275C (zh) * 2002-11-06 2007-05-09 天津工程机械研究院 基于网络的移动作业机群设备状态监测与故障诊断系统
US7313573B2 (en) * 2003-09-17 2007-12-25 International Business Machines Corporation Diagnosis of equipment failures using an integrated approach of case based reasoning and reliability analysis
JP3922375B2 (ja) * 2004-01-30 2007-05-30 インターナショナル・ビジネス・マシーンズ・コーポレーション 異常検出システム及びその方法
JP2006033315A (ja) * 2004-07-15 2006-02-02 Evolium Sas ネットワーク監視システム
JP4560367B2 (ja) * 2004-10-05 2010-10-13 株式会社日立製作所 ストレージネットワーク性能情報の収集・保存方法及び計算機システム並びにプログラム
US7698417B2 (en) * 2005-06-15 2010-04-13 Microsoft Corporation Optimized performance counter monitoring
JP4527642B2 (ja) * 2005-09-29 2010-08-18 富士通株式会社 ネットワーク障害診断装置、ネットワーク障害診断方法およびネットワーク障害診断プログラム
US7484132B2 (en) * 2005-10-28 2009-01-27 International Business Machines Corporation Clustering process for software server failure prediction

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0535484A (ja) * 1991-07-26 1993-02-12 Ricoh Co Ltd 故障診断方法
JP3082548B2 (ja) 1993-12-27 2000-08-28 株式会社日立製作所 設備管理システム
JPH08288944A (ja) * 1995-04-18 1996-11-01 Hitachi Ltd 通信設備管理システム
WO2002045315A2 (en) 2000-11-28 2002-06-06 Micromuse Inc. Method and system for predicting causes of network service outages using time domain correlation
JP2003032253A (ja) * 2001-06-29 2003-01-31 Internatl Business Mach Corp <Ibm> 管理可能なネットワークにおける事前対策オンライン診断
US20040167893A1 (en) 2003-02-18 2004-08-26 Nec Corporation Detection of abnormal behavior using probabilistic distribution estimation
JP2004289824A (ja) * 2003-03-17 2004-10-14 Tyco Telecommunications (Us) Inc 分散警報相関を使用する障害診断のシステムおよび方法
JP2004318552A (ja) 2003-04-17 2004-11-11 Kddi Corp Ｉｄｓログ分析支援装置、ｉｄｓログ分析支援方法及びｉｄｓログ分析支援プログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
AKASHI O. ET AL.: "Multi Agent o Mochiita Jiritsu Soshikikan Shindan System: ENCORE", TRANSACTIONS OF INFORMATION PROCESSING SOCIETY OF JAPAN, vol. 40, no. 6, 15 June 1999 (1999-06-15), pages 2659 - 2668, XP003007678 *
NOBORU MURATA: "Introduction: Independent Component Analysis", 2004, TOKYO ELECTRIC UNIVERSITY PUBLISHING

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102164043A (zh) * 2010-10-27 2011-08-24 青岛海信传媒网络技术有限公司 日志上报方法及终端
CN115022908A (zh) * 2022-05-11 2022-09-06 中电信数智科技有限公司 一种核心网与基站传输网络异常预测及定位的方法
CN115022908B (zh) * 2022-05-11 2023-05-12 中电信数智科技有限公司 一种核心网与基站传输网络异常预测及定位的方法

Also Published As

Publication number Publication date
US8065568B2 (en) 2011-11-22
JP4626852B2 (ja) 2011-02-09
CN101218786A (zh) 2008-07-09
EP1903717B1 (en) 2015-12-30
US20090167520A1 (en) 2009-07-02
EP1903717A1 (en) 2008-03-26
JP2007020115A (ja) 2007-01-25
CN101218786B (zh) 2012-10-24
EP1903717A4 (en) 2013-07-17

Similar Documents

Publication Publication Date Title
WO2007007895A1 (ja) 通信網の障害検出システム、通信網の障害検出方法及び障害検出プログラム
EP3379360B1 (en) Anomaly detection system and anomaly detection method
Rostami-Tabar et al. Forecasting COVID-19 daily cases using phone call data
US8175253B2 (en) System and method for automated performance monitoring for a call servicing system
Chen et al. The application of principal component analysis and kernel density estimation to enhance process monitoring
Akpinar et al. The effect of differential victim crime reporting on predictive policing systems
US20150088719A1 (en) Method for Predicting Financial Market Variability
WO2012078475A2 (en) Emergency response management apparatuses, methods and systems
JP6714491B2 (ja) 意思決定支援システムおよび意思決定支援方法
EP3672153B1 (en) Anomaly detection in data flows with confidence intervals
CN112835769A (zh) 一种业务数据异常诊断方法、装置、设备及存储介质
Li et al. Effective control charts for monitoring the NGINAR (1) process
Zhu et al. Revisit dynamic arima based anomaly detection
WO2021255610A1 (en) Remote monitoring with artificial intelligence and awareness machines
JP2019152943A (ja) 危険度検知装置、危険度検知方法、及び危険度検知プログラム
Zhao et al. Detecting disease outbreaks using local spatiotemporal methods
Amorós et al. Statistical methods for detecting the onset of influenza outbreaks: a review
Brown et al. The rising midlife first marriage rate in the US
JP6832890B2 (ja) 監視装置、監視方法、及びコンピュータプログラム
US11915180B2 (en) Systems and methods for identifying an officer at risk of an adverse event
JP5175881B2 (ja) 監視装置
JP2015187773A (ja) データ解析装置、データ解析プログラム及びデータ解析方法
Fahmy et al. The application of data mining for the trouble ticket prediction in telecom operators
CN109620194A (zh) 心率检测处理方法、装置、介质及电子设备
Lawson et al. Developments in general and syndromic surveillance for small area health data

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200680025353.0

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 11994954

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2006781153

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE