WO2014132611A1 - システム分析装置、及び、システム分析方法 - Google Patents

システム分析装置、及び、システム分析方法 Download PDF

Info

Publication number
WO2014132611A1
WO2014132611A1 PCT/JP2014/000949 JP2014000949W WO2014132611A1 WO 2014132611 A1 WO2014132611 A1 WO 2014132611A1 JP 2014000949 W JP2014000949 W JP 2014000949W WO 2014132611 A1 WO2014132611 A1 WO 2014132611A1
Authority
WO
WIPO (PCT)
Prior art keywords
correlation
metric
detection sensitivity
destruction
pair
Prior art date
Application number
PCT/JP2014/000949
Other languages
English (en)
French (fr)
Inventor
昌尚 棗田
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2015502761A priority Critical patent/JP6183449B2/ja
Priority to US14/766,880 priority patent/US20150378806A1/en
Priority to EP14756415.7A priority patent/EP2963552B1/en
Publication of WO2014132611A1 publication Critical patent/WO2014132611A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/079—Root cause analysis, i.e. error or fault diagnosis
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0218—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterised by the fault detection method dealing with either existing or incipient faults
    • G05B23/0221—Preprocessing measurements, e.g. data collection rate adjustment; Standardization of measurements; Time series or signal analysis, e.g. frequency analysis or wavelets; Trustworthiness of measurements; Indexes therefor; Measurements using easily measured parameters to estimate parameters difficult to measure; Virtual sensor creation; De-noising; Sensor fusion; Unconventional preprocessing inherently present in specific fault detection methods like PCA-based methods
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0772—Means for error signaling, e.g. using interrupts, exception flags, dedicated error registers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3447—Performance evaluation by modeling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters

Definitions

  • the present invention relates to a system analysis apparatus and a system analysis method.
  • Patent Document 1 describes an example of an operation management system that models a system using time series information of system performance and determines a factor such as a failure or abnormality of the system using the generated model. .
  • the operation management system described in Patent Document 1 determines a correlation function of a system by determining a correlation function representing a correlation of each pair of a plurality of metrics based on measurement values of a plurality of metrics of the system. Generate.
  • the operation management system detects the destruction of the correlation (correlation destruction) using the generated correlation model, and determines the failure factor of the system based on the correlation destruction.
  • the technique for analyzing the state of the system based on correlation destruction is called invariant relation analysis.
  • Patent Document 2 discloses a method for determining a failure point based on a correlation between points when a physical quantity at a plurality of points in the process changes from a reference point.
  • FIG. 9 is a diagram showing a determination example of an abnormal factor in the invariant relation analysis of Patent Document 1.
  • each node indicates a metric, and an arrow between the metrics indicates a correlation.
  • the node indicated by the thick line indicates a metric in which an abnormality has occurred (an abnormality factor metric), and the thick arrow indicates a correlation in which correlation destruction is detected.
  • a correlation breakdown is detected in one correlation (between metrics A and C) due to an abnormality in metric A.
  • the metric of the abnormal factor is determined based on the ratio of the number of correlations in which correlation destruction is detected with respect to the number of all correlations (hereinafter referred to as the ratio of correlation destruction). The method is used.
  • the ratio 1/2 of the correlation destruction related to the metric C is larger than the ratio 1/3 of the correlation destruction related to the metric A, and it is erroneously determined that the metric C is an abnormal factor.
  • An object of the present invention is to solve the above-described problems and provide a system analysis apparatus and a system analysis method capable of accurately determining an abnormal factor in invariant relation analysis.
  • a system analysis apparatus includes a correlation model storage unit that stores a correlation model indicating a correlation between a pair of metrics in a system, and a correlation in which a correlation breakdown is detected among the correlations included in the correlation model. Based on the detection sensitivity calculated for each metric related to the relationship, the detection sensitivity indicating the likelihood of occurrence of correlation destruction in each correlation related to the metric at the time of abnormality of the metric, to extract the metric of the candidate of the abnormal factor, An anomaly factor extracting means.
  • the system analysis method stores a correlation model indicating a correlation between a pair of metrics in the system, and each metric related to the correlation in which the correlation destruction is detected among the correlations included in the correlation model. Based on the detection sensitivity calculated with respect to the detection sensitivity indicating the likelihood of occurrence of correlation destruction in each correlation related to the metric when the metric is abnormal, a metric of candidate abnormal factors is extracted.
  • a computer stores a correlation model indicating a correlation of a pair of metrics in the system, and a correlation destruction among the correlations included in the correlation model is detected. Based on the detection sensitivity calculated for each metric related to the correlation and indicating the likelihood of correlation destruction occurring in each correlation related to the metric when the metric is abnormal, a metric for candidate abnormal factors is extracted. Stores the program that executes the process.
  • the effect of the present invention is that the abnormal factor can be accurately determined in the invariant relation analysis.
  • FIG. 1 It is a figure which shows the example of the correlation model 122 and the detection sensitivity in the 2nd Embodiment of this invention. It is a figure which shows the comparative example of the example of a detection of correlation destruction, and the detection sensitivity in the 2nd Embodiment of this invention. It is a figure which shows the example of determination of the abnormal factor in the invariant relationship analysis of patent document 1.
  • FIG. 1 shows the example of the correlation model 122 and the detection sensitivity in the 2nd Embodiment of this invention. It is a figure which shows the comparative example of the example of a detection of correlation destruction, and the detection sensitivity in the 2nd Embodiment of this invention. It is a figure which shows the example of determination of the abnormal factor in the invariant relationship analysis of patent document 1.
  • FIG. 2 is a block diagram showing a configuration of the system analysis apparatus 100 according to the first embodiment of the present invention.
  • system analysis apparatus 100 is connected to a monitored system including one or more monitored apparatuses 200.
  • the monitored device 200 is a device that constitutes an IT system, such as various server devices and network devices.
  • the monitored device 200 measures the measurement data (measured values) of the performance values of the plurality of types of the monitored device 200 at regular intervals, and transmits them to the system analysis device 100.
  • the performance value item for example, the usage rate and usage of computer resources and network resources such as CPU (Central Processing Unit) usage rate, memory usage rate, disk access frequency, etc. are used.
  • CPU Central Processing Unit
  • a combination of the monitored device 200 and the item of performance value is a metric (performance index), and a set of a plurality of metric values measured at the same time is performance information.
  • Metrics are represented by integers and decimal numbers.
  • a metric corresponds to an “element” that is a generation target of a correlation model in Patent Document 1.
  • the system analysis apparatus 100 generates a correlation model 122 of the monitored apparatus 200 based on the performance information collected from the monitored apparatus 200, and analyzes the state of the monitored apparatus 200 using the generated correlation model 122. .
  • the system analysis apparatus 100 includes a performance information collection unit 101, a correlation model generation unit 102, a correlation destruction detection unit 103, an abnormal factor extraction unit 104, a performance information storage unit 111, a correlation model storage unit 112, a correlation destruction storage unit 113, and A detection sensitivity storage unit 114 is included.
  • the performance information collection unit 101 collects performance information from the monitored device 200.
  • the performance information storage unit 111 stores the time series change of the performance information collected by the performance information collection unit 101 as performance series information.
  • the correlation model generation unit 102 generates a correlation model 122 of the monitored system based on the performance sequence information.
  • the correlation model 122 includes a correlation function (or prediction formula) representing the correlation between each pair of pairs of metrics.
  • a correlation function is a function that predicts one value of a pair of metrics from both time series of the pair or the other time series.
  • a target metric a metric predicted by the correlation function
  • the other metric is referred to as a non-target metric.
  • the correlation model generation unit 102 uses the system identification process for performance information in a predetermined modeling period to calculate the metric y (t), u (t)
  • the correlation function f (y, u) is determined as in the equation.
  • metrics y (t) and u (t) are an objective metric and a non-objective metric, respectively.
  • An, bm, c, N, K, and M are determined so that the value of the prediction accuracy (fitness) of the correlation function expressed by Equation 2 is maximized.
  • the correlation model generation unit 102 may use a set of correlation functions with a prediction accuracy equal to or higher than a predetermined value as the correlation model 122.
  • FIG. 4 is a diagram showing an example of the correlation model 122 and detection sensitivity in the first embodiment of the present invention.
  • the correlation model 122 is shown by a graph including nodes and arrows.
  • each node indicates a metric
  • an arrow between the metrics indicates a correlation.
  • the metric at the end of the arrow corresponds to the target metric.
  • one metric (hereinafter referred to as metrics A to D) exists in each of the monitored devices 200 having the device identifiers A to D, and the correlation is performed for each pair of the metrics A to D.
  • a relationship is defined.
  • one correlation function that predicts one metric of the pair is defined for the correlation of each pair of metrics.
  • the correlation model storage unit 112 stores the correlation model 122 generated by the correlation model generation unit 102.
  • Correlation destruction detector 103 detects the correlation destruction of the correlation included in correlation model 122 for the newly input performance information.
  • the correlation destruction detection unit 103 detects the correlation destruction for each metric pair.
  • the difference (prediction error) between the predicted value of the target metric obtained by inputting the measured value of the metric into the correlation function and the measured value of the target metric is equal to or greater than a predetermined threshold, Detect as correlation destruction of pair correlation.
  • the correlation destruction storage unit 113 stores correlation destruction information indicating the correlation in which the correlation destruction is detected.
  • FIG. 5 is a diagram showing a correlation destruction detection example and a detection sensitivity comparison example in the first embodiment of the present invention.
  • thick arrows indicate correlations in which correlation destruction is detected in the correlation model 122 of FIG. 4.
  • nodes indicated by bold lines indicate metrics in which an abnormality has occurred (an abnormality factor metric).
  • the correlation destruction occurs in the correlation between the metric A and the metric C.
  • the abnormality factor extraction unit 104 calculates the detection sensitivity of each correlation included in the correlation model 122.
  • the detection sensitivity indicates the magnitude of the influence of the metric abnormality related to the correlation on the predicted value, that is, the likelihood of occurrence of correlation destruction in the correlation when the metric is abnormal.
  • the correlation is expressed by a correlation function such as Equation 1 above, when a physical failure related to one of the metric pairs occurs, the prediction error of the predicted value of the target metric of the correlation function is: There is a tendency to increase in either positive or negative direction. In this case, the likelihood of occurrence of correlation destruction (detection sensitivity) in the correlation when the metric is abnormal can be approximately expressed by the sum of the coefficients of the correlation function representing the correlation.
  • a value obtained by normalizing the sum of the coefficients of the correlation function with a prediction error threshold applied when determining correlation destruction is defined as detection sensitivity.
  • the detection sensitivity is calculated as follows.
  • the detection sensitivity Sy for the target metric y is calculated by dividing the sum of the coefficients by which the target metric y is multiplied in the correlation function f (y, u) by the prediction error threshold, as shown in Equation 3.
  • the detection sensitivity Su for the non-objective metric u is calculated by dividing the sum of the coefficients by which the metric u is multiplied in the correlation function f (y, u) by the prediction error threshold, as shown in Equation 4.
  • Threshold is a prediction error threshold applied when determining the correlation destruction using the correlation function f (y, u).
  • the value of the threshold is determined by the correlation model generation unit 102 based on the maximum value of the prediction error or the standard deviation for the performance information in the modeling period.
  • a threshold value may be set for each correlation function by an administrator or the like.
  • the abnormal factor extraction unit 104 further extracts a candidate metric of an abnormal factor using the detection sensitivity of each correlation related to the metric calculated for each metric related to the correlation in which the correlation destruction is detected.
  • the detection sensitivity storage unit 114 stores the detection sensitivity calculated by the abnormality factor extraction unit 104.
  • the system analysis apparatus 100 may be a computer that includes a CPU and a storage medium that stores a program and that operates under control based on the program. Further, the performance information storage unit 111, the correlation model storage unit 112, the correlation destruction storage unit 113, and the detection sensitivity storage unit 114 may be configured as individual storage media or a single storage medium.
  • FIG. 3 is a flowchart showing the operation of the system analysis apparatus 100 according to the first embodiment of the present invention.
  • a correlation model 122 as shown in FIG. 4 is generated by the correlation model generation unit 102 and stored in the correlation model storage unit 112. Further, it is assumed that the detection sensitivity as shown in FIG. 4 is calculated by the abnormality factor extraction unit 104 and stored in the detection sensitivity storage unit 114.
  • the correlation destruction detection unit 103 detects the correlation destruction of the correlation included in the correlation model 122 using the performance information newly collected by the performance information collection unit 101 (step S101).
  • the correlation destruction detection unit 103 detects the correlation destruction with respect to newly collected performance information as shown in FIG.
  • the abnormal factor extraction unit 104 selects one of the metrics included in the correlation model 122 (step S102).
  • the abnormality factor extraction unit 104 selects one of the correlations related to the selected metric (Ste S104). Then, when the selected metric is the objective metric of the correlation function of the selected correlation (step S105 / Y), the abnormality factor extraction unit 104 detects the detection sensitivity for the objective metric of the correlation function from the detection sensitivity storage unit 114. To get. Further, when the selected metric is not the objective metric of the correlation function of the selected correlation (step S105 / N), the abnormality factor extraction unit 104 detects the detection sensitivity for the non-target metric of the correlation function from the detection sensitivity storage unit 114. To get. The abnormality factor extraction unit 104 repeats the processing from step S104 to S107 for all correlations related to the selected metric (step S108).
  • the abnormality factor extraction unit 104 compares the detection sensitivities acquired for each correlation related to the selected metric, and determines whether or not correlation destruction is detected in the correlation having the highest detection sensitivity (step S109). . If correlation destruction is detected in the correlation having the highest detection sensitivity in step S109 (step S109 / Y), the abnormality factor extraction unit 104 determines that the selected metric is a candidate for the abnormality factor.
  • the abnormality factor extraction unit 104 repeats the processing from step S102 to step S110 for all metrics included in the correlation model 122 (step S111).
  • the abnormality factor extraction unit 104 outputs an identifier of the metric determined as a candidate for the abnormality factor to an administrator or the like by an output unit (not shown) (step S112).
  • the abnormality factor extraction unit 104 outputs the metric A as an abnormality factor candidate.
  • FIG. 1 is a block diagram showing a characteristic configuration of the first embodiment of the present invention.
  • the system analysis apparatus 100 includes a correlation model storage unit 112 and an abnormal factor extraction unit 104.
  • the correlation model storage unit 112 stores a correlation model 122 indicating the correlation between metric pairs in the system.
  • the abnormal factor extraction unit 104 extracts candidate metrics of abnormal factors based on the detection sensitivity calculated for each metric related to the correlation in which the correlation destruction is detected among the correlations included in the correlation model 122. To do.
  • the detection sensitivity indicates the likelihood of occurrence of correlation destruction in each correlation related to the metric when each metric is abnormal.
  • the abnormal factor can be accurately determined in the invariant relation analysis.
  • the reason is that the abnormal factor extraction unit 104 does not select all the metrics related to the correlation in which the correlation destruction is detected as candidates for abnormal factors, but further narrows down the metrics of candidate abnormal factors. That is, the abnormality factor extraction unit 104 narrows down the metric of candidate abnormal factors based on the detection sensitivity calculated for each metric related to the correlation in which the correlation destruction is detected.
  • the detection sensitivity indicates the likelihood of occurrence of correlation destruction in each correlation related to the metric when each metric is abnormal.
  • the detection sensitivity of the larger of the detection sensitivities of the two correlation functions is increased. This method is different from the first embodiment of the present invention in that the abnormal factor candidates are extracted.
  • the configuration of the system analysis apparatus 100 in the second embodiment of the present invention is the same as that of the first embodiment (FIG. 2) of the present invention.
  • FIG. 7 is a diagram illustrating an example of the correlation model 122 and the detection sensitivity in the second embodiment of the present invention.
  • the correlation model 122 of FIG. 7 two correlation functions for predicting each metric of the pair are defined.
  • the anomaly factor extraction unit 104 extracts the anomaly factor metric using the larger detection sensitivity of the two correlation functions representing each correlation.
  • FIG. 6 is a flowchart showing the operation of the system analyzer 100 in the second embodiment of the present invention.
  • the operation of the second embodiment of the present invention is the same as that of the first embodiment of the present invention except for the detection sensitivity acquisition process (steps S205 and S206 in FIG. 6) by the abnormality factor extraction unit 104. .
  • a correlation model 122 as shown in FIG. 7 is generated by the correlation model generation unit 102 and stored in the correlation model storage unit 112. Further, it is assumed that the detection sensitivity as shown in FIG. 7 is calculated by the abnormality factor extraction unit 104 and stored in the detection sensitivity storage unit 114.
  • FIG. 8 is a diagram showing a correlation destruction detection example and a detection sensitivity comparison example in the second embodiment of the present invention.
  • a correlation breakdown is detected for each of the two correlation functions for the correlation of each pair of metrics.
  • the correlation destruction detection unit 103 detects the correlation destruction with respect to the newly collected performance information as shown in FIG.
  • the anomaly factor extraction unit 104 acquires the detection sensitivity for the target metric of the correlation function having the selected metric as the target metric out of the two correlation functions of the selected correlation. Furthermore, the abnormality factor extraction unit 104 acquires the detection sensitivity of the correlation function that uses the selected metric as the non-object metric for the non-object metric (step S205). Then, the abnormality factor extraction unit 104 selects a set of the detection sensitivity of the larger detection sensitivity and the detection status of the correlation destruction (step S206).
  • the abnormality factor extraction unit 104 outputs the metric A as an abnormality factor candidate.
  • the abnormal factor extraction unit 104 uses the larger detection sensitivity of the detection sensitivities of the two correlation functions representing each correlation to extract the metric of the abnormal factor candidate.
  • the detection sensitivity of the correlation function is calculated by Equation 3 and Equation 4, but if a large value is obtained according to the coefficient multiplied by the metric, the detection sensitivity is changed to another method. You may decide by.
  • the abnormality factor extraction unit 104 may determine the detection sensitivity using a detection sensitivity conversion table for coefficients. Further, the detection sensitivity may be determined by a method other than using a coefficient as long as it is possible to indicate the likelihood of occurrence of correlation destruction when the metric is abnormal.
  • the metric when correlation destruction is detected in the correlation having the highest detection sensitivity, the metric is determined as a candidate for an abnormal factor. If the candidate can be extracted, the abnormality factor candidate may be determined by another method. For example, the abnormality factor extraction unit 104 may determine a candidate for an abnormality factor based on a score that increases in accordance with the number of detected correlation destructions by a correlation function having high detection sensitivity.
  • the monitored system is an IT system that includes a server device, a network device, and the like as the monitored device 200.
  • the monitored system may be another system as long as a correlation model of the monitored system is generated and the abnormality factor can be determined by correlation destruction.
  • the monitored system may be a plant system, a structure, a transportation device, or the like.
  • the system analysis apparatus 100 generates the correlation model 122 using the values of various sensors as metrics, detects correlation destruction, and extracts abnormal factor candidates.
  • the present invention can be applied to invariant relation analysis in which a cause of a system abnormality or failure is determined based on correlation destruction detected on a correlation model.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Evolutionary Biology (AREA)
  • Computer Hardware Design (AREA)
  • Environmental & Geological Engineering (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Automation & Control Theory (AREA)
  • Debugging And Monitoring (AREA)

Abstract

　不変関係分析において、異常要因を正確に判定する。　システム分析装置（１００）は、相関モデル記憶部（１１２）、及び、異常要因抽出部（１０４）を含む。相関モデル記憶部（１１２）は、システムにおけるメトリックのペアの相関関係を示す相関モデル（１２２）を記憶する。異常要因抽出部（１０４）は、相関モデル（１２２）に含まれる相関関係の内の相関破壊が検出された相関関係に係る各メトリックについて算出された、当該メトリックの異常時の当該メトリックに係る各相関関係における相関破壊の発生しやすさを示す検出感度をもとに、異常要因の候補のメトリックを抽出する。

Description

システム分析装置、及び、システム分析方法
　本発明は、システム分析装置、及び、システム分析方法に関する。
　システム性能の時系列情報を用いて、システムのモデル化を行い、生成されたモデルを用いてそのシステムの障害や異常等の要因を判定する運用管理システムの一例が特許文献１に記載されている。
　特許文献１に記載の運用管理システムは、システムの複数のメトリックの計測値をもとに、複数のメトリックの内の各ペアの相関関係を表す相関関数を決定することにより、システムの相関モデルを生成する。そして、この運用管理システムは、生成された相関モデルを用いて、相関関係の破壊（相関破壊）を検出し、相関破壊をもとにシステムの障害要因を判定する。このように、相関破壊をもとにシステムの状態を分析する技術は、不変関係分析と呼ばれる。
　なお、関連技術として、特許文献２には、プロセスの複数点の物理量が基準点から変化した場合に、点間の相関関係をもとに、障害点を判定する方法が開示されている。
特許第４８７２９４４号公報 特開昭６３－５１９３６号公報
　特許文献１の不変関係分析においては、相関モデルにおける相関破壊の状況により、異常が発生したメトリック（異常要因メトリック）の絞込みを行う。ここで、異常要因メトリックに係る相関関係の多くが破壊された場合は、当該メトリックを異常要因として絞り込むことは可能であるが、異常要因メトリックに係る相関関係の内の少数のみが破壊された場合、異常要因の絞込みができないことがある。
　図９は、特許文献１の不変関係分析における、異常要因の判定例を示す図である。図９において、各ノードはメトリックを示し、メトリック間の矢印は相関関係を示す。また、太線で示されたノードは、異常が発生したメトリック（異常要因メトリック）を、太線の矢印は、相関破壊が検出されている相関関係を示す。
　図９では、メトリックＡの異常により、１つの相関関係（メトリックＡ、Ｃ間）で相関破壊が検出されている。この場合、相関破壊が検出された相関関係に係るメトリックＡ、Ｃの内、どちらのメトリックが異常要因であるか判定できない。そこで、例えば、各メトリックに係る、全ての相関関係の数に対する相関破壊が検出された相関関係の数の割合（以下、相関破壊の割合と呼ぶ）をもとに、異常要因のメトリックを判定する方法が用いられる。しかしながら、この場合、メトリックＣに係る相関破壊の割合１／２は、メトリックＡに係る相関破壊の割合１／３よりも大きく、メトリックＣが異常要因であると誤って判定される。
　本発明の目的は、上述の課題を解決し、不変関係分析において、異常要因を正確に判定できるシステム分析装置、及び、システム分析方法を提供することである。
　本発明の一態様におけるシステム分析装置は、システムにおけるメトリックのペアの相関関係を示す相関モデルを記憶する相関モデル記憶手段と、前記相関モデルに含まれる相関関係の内の相関破壊が検出された相関関係に係る各メトリックについて算出された、当該メトリックの異常時の当該メトリックに係る各相関関係における相関破壊の発生しやすさを示す検出感度をもとに、異常要因の候補のメトリックを抽出する、異常要因抽出手段と、を備える。
　本発明の一態様におけるシステム分析方法は、システムにおけるメトリックのペアの相関関係を示す相関モデルを記憶し、前記相関モデルに含まれる相関関係の内の相関破壊が検出された相関関係に係る各メトリックについて算出された、当該メトリックの異常時の当該メトリックに係る各相関関係における相関破壊の発生しやすさを示す検出感度をもとに、異常要因の候補のメトリックを抽出する。
　本発明の一態様におけるコンピュータが読み取り可能な記録媒体は、コンピュータに、システムにおけるメトリックのペアの相関関係を示す相関モデルを記憶し、前記相関モデルに含まれる相関関係の内の相関破壊が検出された相関関係に係る各メトリックについて算出された、当該メトリックの異常時の当該メトリックに係る各相関関係における相関破壊の発生しやすさを示す検出感度をもとに、異常要因の候補のメトリックを抽出する、処理を実行させるプログラムを格納する。
　本発明の効果は、不変関係分析において、異常要因を正確に判定できることである。
本発明の第１の実施の形態の特徴的な構成を示すブロック図である。 本発明の第１の実施の形態におけるシステム分析装置１００の構成を示すブロック図である。 本発明の第１の実施の形態における、システム分析装置１００の動作を示すフローチャートである。 本発明の第１の実施の形態における、相関モデル１２２と検出感度の例を示す図である。 本発明の第１の実施の形態における、相関破壊の検出例と検出感度の比較例を示す図である。 本発明の第２の実施の形態における、システム分析装置１００の動作を示すフローチャートである。 本発明の第２の実施の形態における、相関モデル１２２と検出感度の例を示す図である。 本発明の第２の実施の形態における、相関破壊の検出例と検出感度の比較例を示す図である。 特許文献１の不変関係分析における、異常要因の判定例を示す図である。
　ここでは、ＩＴ（Information Technology）システムの不変関係分析を例に、実施の形態を説明する。
　（第１の実施の形態）
　本発明の第１の実施の形態について説明する。
　はじめに、本発明の第１の実施の形態の構成について説明する。図２は、本発明の第１の実施の形態におけるシステム分析装置１００の構成を示すブロック図である。
　図２を参照すると、本発明の第１の実施の形態におけるシステム分析装置１００は、１以上の被監視装置２００を含む被監視システムと接続される。被監視装置２００は、各種サーバ装置やネットワーク装置等、ＩＴシステムを構成する装置である。
　被監視装置２００は、当該被監視装置２００の複数種目の性能値の実測データ（計測値）を一定間隔毎に計測し、システム分析装置１００へ送信する。性能値の種目として、例えば、ＣＰＵ（Central Processing Unit）使用率、メモリ使用率、ディスクアクセス頻度等、コンピュータリソースやネットワークリソースの使用率や使用量が用いられる。
　ここで、被監視装置２００と性能値の種目の組をメトリック（性能指標）とし、同一時刻に計測された複数のメトリックの値の組を性能情報とする。メトリックは、整数や小数の数値により表される。また、メトリックは、特許文献１における相関モデルの生成対象である「要素」に相当する。
　システム分析装置１００は、被監視装置２００から収集した性能情報をもとに、被監視装置２００の相関モデル１２２を生成し、生成した相関モデル１２２を用いて、被監視装置２００の状態を分析する。
　システム分析装置１００は、性能情報収集部１０１、相関モデル生成部１０２、相関破壊検出部１０３、異常要因抽出部１０４、性能情報記憶部１１１、相関モデル記憶部１１２、相関破壊記憶部１１３、及び、検出感度記憶部１１４を含む。
　性能情報収集部１０１は、被監視装置２００から性能情報を収集する。
　性能情報記憶部１１１は、性能情報収集部１０１が収集した性能情報の時系列変化を、性能系列情報として記憶する。
　相関モデル生成部１０２は、性能系列情報をもとに、被監視システムの相関モデル１２２を生成する。
　ここで、相関モデル１２２は、メトリックの各ペア（対）の相関関係を表す相関関数（または、予測式）を含む。相関関数は、メトリックのペアの内の一方の値を、ペアの両方の時系列、または、他方の時系列から予測する関数である。以下、メトリックのペアの内、相関関数により予測されるメトリックを目的メトリック、他方のメトリックを非目的メトリックと呼ぶ。
　相関モデル生成部１０２は、特許文献１の運用管理装置と同様に、所定のモデル化期間の性能情報に対するシステム同定処理により、メトリックｙ（ｔ）、ｕ（ｔ）のペアに対して、数１式のように相関関数ｆ（ｙ，ｕ）を決定する。ここで、メトリックｙ（ｔ）、ｕ（ｔ）が、それぞれ、目的メトリック、非目的メトリックである。ａｎ（ｎ＝１～Ｎ）、ｂｍ（ｍ＝０～Ｍ）は、それぞれ、ｙ（ｔ－ｎ）、ｕ（ｔ－Ｋ－ｍ）に乗じられる係数である。ａｎ、ｂｍ、ｃ、Ｎ、Ｋ、Ｍは、数２式で示される、相関関数の予測精度（フィットネス）の値が最大となるように決定される。
Figure JPOXMLDOC01-appb-M000001
Figure JPOXMLDOC01-appb-M000002
　なお、相関モデル生成部１０２は、予測精度が所定値以上の相関関数の集合を、相関モデル１２２としてもよい。
　図４は、本発明の第１の実施の形態における、相関モデル１２２と検出感度の例を示す図である。図４において、相関モデル１２２は、ノードと矢印を含むグラフで示される。ここで、各ノードはメトリックを示し、メトリック間の矢印は相関関係を示す。また、矢印の先のメトリックが、目的メトリックに対応する。
　図４の相関モデル１２２では、装置識別子Ａ～Ｄの被監視装置２００の各々に１つのメトリック（以下、メトリックＡ～Ｄとする）が存在し、メトリックＡ～Ｄの内のペア毎に、相関関係が定義されている。また、メトリックの各ペアの相関関係に対して、当該ペアの一方のメトリックを予測する１つの相関関数が定義されている。
　相関モデル記憶部１１２は、相関モデル生成部１０２が生成した相関モデル１２２を記憶する。
　相関破壊検出部１０３は、新たに入力された性能情報について、相関モデル１２２に含まれる相関関係の相関破壊を検出する。
　ここで、相関破壊検出部１０３は、特許文献１の運用管理装置と同様に、メトリックの各ペア（対）について、相関破壊を検出する。相関破壊検出部１０３は、メトリックの計測値を相関関数に入力して得られた目的メトリックの予測値と、当該目的メトリックの計測値との差分（予測誤差）が所定の閾値以上の場合、当該ペアの相関関係の相関破壊として検出する。
　相関破壊記憶部１１３は、相関破壊が検出された相関関係を示す相関破壊情報を記憶する。
　図５は、本発明の第１の実施の形態における、相関破壊の検出例と検出感度の比較例を示す図である。図５において、太線の矢印は、図４の相関モデル１２２において、相関破壊が検出されている相関関係を示す。また、図５において、太線で示されたノードは、異常が発生したメトリック（異常要因メトリック）を示す。図５の例では、装置識別子Ａの被監視装置２００の異常により、メトリックＡとメトリックＣとの間の相関関係に、相関破壊が発生している。
　異常要因抽出部１０４は、相関モデル１２２に含まれる各相関関係の検出感度を算出する。検出感度は、相関関係に係るメトリックの異常の予測値への影響の大きさ、すなわち、メトリックの異常時の相関関係における相関破壊の発生しやすさを示す。
　ここで、本発明の第１の実施の形態における、検出感度の算出方法について説明する。
　相関関係が上述の数１式のような相関関数で表される場合、メトリックのペアの内のいずれかに係る物理的な故障が発生すると、相関関数の目的メトリックの予測値の予測誤差は、正または負のいずれかの方向に大きくなる傾向がある。この場合、メトリックの異常時の相関関係における相関破壊の発生しやすさ（検出感度）は、当該相関関係を表す相関関数の係数の和で近似的に表すことができる。
　本発明の第１の実施の形態では、相関関数の係数の和を、相関破壊を判定するときに適用される、予測誤差の閾値で規格化した値を検出感度と定義する。
　例えば、メトリックｙ、ｕのペアに対して、数１式の相関関数ｆ（ｙ，ｕ）が定義されている場合、検出感度は以下のように算出される。目的メトリックｙに対する検出感度Ｓｙは、数３式のように、相関関数ｆ（ｙ，ｕ）における目的メトリックｙに乗じる係数の和を予測誤差の閾値で除することにより算出される。また、非目的メトリックｕに対する検出感度Ｓｕは、数４式のように、相関関数ｆ（ｙ，ｕ）におけるメトリックｕに乗じる係数の和を予測誤差の閾値で除することにより算出される。
Figure JPOXMLDOC01-appb-M000003
Figure JPOXMLDOC01-appb-M000004
　ここで、Thresholdは、相関関数ｆ（ｙ，ｕ）を用いて相関破壊を判定するときに適用される、予測誤差の閾値である。Thresholdの値は、例えば、相関モデル生成部１０２により、モデル化期間の性能情報に対する予測誤差の最大値や、標準偏差をもとに決定される。また、管理者等により、相関関数ごとにThresholdの値が設定されてもよい。
　異常要因抽出部１０４は、さらに、相関破壊が検出された相関関係に係る各メトリックについて算出された、当該メトリックに係る各相関関係の検出感度を用いて、異常要因の候補のメトリックを抽出する。
　検出感度記憶部１１４は、異常要因抽出部１０４により算出された検出感度を記憶する。
　なお、システム分析装置１００は、ＣＰＵとプログラムを記憶した記憶媒体を含み、プログラムに基づく制御によって動作するコンピュータであってもよい。また、性能情報記憶部１１１、相関モデル記憶部１１２、相関破壊記憶部１１３、及び、検出感度記憶部１１４は、それぞれ個別の記憶媒体でも、１つの記憶媒体によって構成されてもよい。
　次に、本発明の第１の実施の形態におけるシステム分析装置１００の動作について説明する。
　図３は、本発明の第１の実施の形態における、システム分析装置１００の動作を示すフローチャートである。
　ここでは、図４に示すような相関モデル１２２が相関モデル生成部１０２により生成され、相関モデル記憶部１１２に記憶されていると仮定する。また、図４に示すような検出感度が異常要因抽出部１０４により算出され、検出感度記憶部１１４に記憶されていると仮定する。
　はじめに、相関破壊検出部１０３は、性能情報収集部１０１により新たに収集された性能情報を用いて、相関モデル１２２に含まれる相関関係の相関破壊を検出する（ステップＳ１０１）。
　例えば、相関破壊検出部１０３は、新たに収集された性能情報に対して図５のように相関破壊を検出する。
　異常要因抽出部１０４は、相関モデル１２２に含まれるメトリックの内の１つを選択する（ステップＳ１０２）。
　異常要因抽出部１０４は、選択したメトリックに係る相関関係に、相関破壊が検出された相関関係がある場合（ステップＳ１０３／Ｙ）、選択したメトリックに係る相関関係の内の１つを選択する（ステップＳ１０４）。そして、異常要因抽出部１０４は、選択したメトリックが、選択した相関関係の相関関数の目的メトリックである場合（ステップＳ１０５／Ｙ）、検出感度記憶部１１４から、当該相関関数の目的メトリックに対する検出感度を取得する。また、異常要因抽出部１０４は、選択したメトリックが、選択した相関関係の相関関数の目的メトリックでない場合（ステップＳ１０５／Ｎ）、検出感度記憶部１１４から、当該相関関数の非目的メトリックに対する検出感度を取得する。異常要因抽出部１０４は、選択したメトリックに係る全ての相関関係について、ステップＳ１０４からＳ１０７の処理を繰り返す（ステップＳ１０８）。
　例えば、メトリックＡが選択された場合、メトリックＡは相関関数ｆ（Ａ，Ｂ）の目的メトリックであるため、異常要因抽出部１０４は、図５に示すように、相関関数ｆ（Ａ，Ｂ）の目的メトリックに対する検出感度（=0.01）を取得する。同様に、メトリックＡは相関関数ｆ（Ａ，Ｃ）の目的メトリックであるため、異常要因抽出部１０４は、相関関数ｆ（Ａ，Ｃ）の目的メトリックに対する検出感度（=0.05）を取得する。また、メトリックＡは相関関数ｆ（Ｄ，Ａ）の非目的メトリックであるため、異常要因抽出部１０４は、相関関数ｆ（Ｄ，Ａ）の非目的メトリックに対する検出感度（=0.001）を取得する。
　次に、異常要因抽出部１０４は、選択したメトリックに係る各相関関係について取得した検出感度を比較し、最も検出感度が高い相関関係に相関破壊が検出されているかどうかを判定する（ステップＳ１０９）。ステップＳ１０９で、最も検出感度が高い相関関係に相関破壊が検出されている場合（ステップＳ１０９／Ｙ）、異常要因抽出部１０４は、選択したメトリックを異常要因の候補であると判定する。
　例えば、上述の場合、相関破壊が検出されたメトリックＡ、Ｃ間の相関関係の検出感度（=0.05）は、相関破壊が検出されていないメトリックＡ、Ｂ間の相関関係の検出感度（=0.01）、メトリックＡ、Ｄ間の相関関係の検出感度（=0.001）よりも大きい。つまり、最も検出感度が高い相関関係に相関破壊が検出されている。従って、異常要因抽出部１０４は、メトリックＡを異常要因の候補と判定する。
　異常要因抽出部１０４は、相関モデル１２２に含まれる全てのメトリックについて、ステップＳ１０２からＳ１１０の処理を繰り返す（ステップＳ１１１）。
　例えば、メトリックＣが選択された場合、メトリックＣは相関関数ｆ（Ａ，Ｃ）の非目的メトリックであるため、異常要因抽出部１０４は、図５に示すように、相関関数ｆ（Ａ，Ｃ）の非目的メトリックに対する検出感度（=0.1）を取得する。また、メトリックＣは相関関数ｆ（Ｃ，Ｄ）の目的メトリックであるため、異常要因抽出部１０４は、相関関数ｆ（Ｃ，Ｄ）の目的メトリックに対する検出感度（=0.12）を取得する。
　この場合、相関破壊が検出されたメトリックＡ、Ｃ間の相関関係の検出感度（=0.1）は、相関破壊が検出されていないメトリックＣ、Ｄ間の相関関係の検出感度（=0.12）よりも小さい。つまり、最も検出感度が高い相関関係に相関破壊が検出されていない。従って、異常要因抽出部１０４は、メトリックＣを異常要因の候補とは判定しない。
　最後に、異常要因抽出部１０４は、異常要因の候補と判定されたメトリックの識別子を、出力部（図示せず）により、管理者等に出力する（ステップＳ１１２）。
　例えば、異常要因抽出部１０４は、メトリックＡを異常要因の候補として出力する。
　以上により、本発明の第１の実施の形態の動作が完了する。
　次に、本発明の第１の実施の形態の特徴的な構成を説明する。図１は、本発明の第１の実施の形態の特徴的な構成を示すブロック図である。
　図１を参照すると、システム分析装置１００は、相関モデル記憶部１１２、及び、異常要因抽出部１０４を含む。
　相関モデル記憶部１１２は、システムにおけるメトリックのペアの相関関係を示す相関モデル１２２を記憶する。
　異常要因抽出部１０４は、相関モデル１２２に含まれる相関関係の内の相関破壊が検出された相関関係に係る各メトリックについて算出された、検出感度をもとに、異常要因の候補のメトリックを抽出する。ここで、検出感度は、各メトリックの異常時の当該メトリックに係る各相関関係における相関破壊の発生しやすさを示す。
　本発明の第１の実施の形態によれば、不変関係分析において、異常要因を正確に判定できる。その理由は、異常要因抽出部１０４が、相関破壊が検出された相関関係に係る全てのメトリックを異常要因の候補とするのではなく、異常要因の候補のメトリックをさらに絞り込むためである。すなわち、異常要因抽出部１０４は、相関破壊が検出された相関関係に係る各メトリックについて算出された検出感度をもとに、異常要因の候補のメトリックを絞り込む。ここで、検出感度は、各メトリックの異常時の当該メトリックに係る各相関関係における相関破壊の発生しやすさを示す。
　（第２の実施の形態）
　次に、本発明の第２の実施の形態について説明する。
　本発明の第２の実施の形態は、メトリックの各ペアの相関関係に対して、２つの相関関数が定義されている場合に、２つの相関関数の検出感度の内、大きい方の検出感度を用いて異常要因の候補を抽出する点で、本発明の第１の実施の形態と異なる。
　本発明の第２の実施の形態におけるシステム分析装置１００の構成は、本発明の第１の実施の形態（図２）と同様となる。
　図７は、本発明の第２の実施の形態における、相関モデル１２２と検出感度の例を示す図である。図７の相関モデル１２２では、当該ペアの各々のメトリックを予測する２つの相関関数が定義されている。
　異常要因抽出部１０４は、各相関関係を表す２つの相関関数の検出感度の内、大きい方の検出感度を用いて、異常要因の候補のメトリックを抽出する。
　次に、本発明の第２の実施の形態におけるシステム分析装置１００の動作について説明する。
　図６は、本発明の第２の実施の形態における、システム分析装置１００の動作を示すフローチャートである。
　本発明の第２の実施の形態の動作は、異常要因抽出部１０４による検出感度の取得処理（図６のステップＳ２０５、Ｓ２０６）を除いて、本発明の第１の実施の形態と同様となる。
　ここでは、図７に示すような相関モデル１２２が相関モデル生成部１０２により生成され、相関モデル記憶部１１２に記憶されていると仮定する。また、図７に示すような検出感度が異常要因抽出部１０４により算出され、検出感度記憶部１１４に記憶されていると仮定する。
　図８は、本発明の第２の実施の形態における、相関破壊の検出例と検出感度の比較例を示す図である。ここで、相関破壊は、メトリックの各ペアの相関関係に対する２つの相関関数の各々について検出される。
　例えば、相関破壊検出部１０３は、新たに収集された性能情報に対して図８のように相関破壊を検出する。
　異常要因抽出部１０４は、選択した相関関係の２つの相関関数の内、選択したメトリックを目的メトリックとする相関関数の目的メトリックに対する検出感度を取得する。さらに、異常要因抽出部１０４は選択したメトリックを非目的メトリックとする相関関数の非目的メトリックに対する検出感度を取得する（ステップＳ２０５）。そして、異常要因抽出部１０４は、取得した検出感度の内の大きい方の検出感度と相関破壊の検出状況の組を選択する（ステップＳ２０６）。
　例えば、メトリックＡが選択された場合、異常要因抽出部１０４は、相関関数ｆ（Ａ，Ｂ）の目的メトリックに対する検出感度（=0.01）、及び、相関関数ｆ（Ｂ，Ａ）の非目的メトリックに対する検出感度（=0.011）を取得する。そして、異常要因抽出部１０４は、図８に示すように、大きい方の検出感度（=0.011）と相関破壊の検出状況（検出なし）を選択する。また、異常要因抽出部１０４は、相関関数ｆ（Ａ，Ｃ）の目的メトリックに対する検出感度（=0.051）と相関破壊の検出状況（検出あり）、相関関数ｆ（Ａ，Ｄ）の目的メトリックに対する検出感度（=0.0012）と相関破壊の検出状況（検出なし）を選択する。
　この場合、相関破壊が検出されたメトリックＡ、Ｃ間の相関関係の検出感度（=0.051）は、相関破壊が検出されていないメトリックＡ、Ｂ間の相関関係の検出感度（=0.01）、メトリックＡ、Ｄ間の相関関係の検出感度（=0.0012）よりも大きい。つまり、最も検出感度が高い相関関係に相関破壊が検出されている。従って、異常要因抽出部１０４は、メトリックＡを異常要因の候補と判定する。
　また、メトリックＣが選択された場合、異常要因抽出部１０４は、図８に示すように、相関関数ｆ（Ａ，Ｃ）の非目的メトリックに対する検出感度（=0.11）と相関破壊の検出状況（検出あり）を選択する。また、異常要因抽出部１０４は、相関関数ｆ（Ｃ、Ｄ）の目的メトリックに対する検出感度（=0.12）と相関破壊の検出状況（検出なし）を選択する。
　この場合、相関破壊が検出されたメトリックＡ、Ｃ間の相関関係の検出感度（=0.11）は、相関破壊が検出されていないメトリックＣ、Ｄ間の相関関係の検出感度（=0.12）よりも小さい。つまり、最も検出感度が高い相関関係に相関破壊が検出されていない。従って、異常要因抽出部１０４は、メトリックＣを異常要因の候補とは判定しない。
　そして、異常要因抽出部１０４は、メトリックＡを異常要因の候補として出力する。
　以上により、本発明の第２の実施の形態の動作が完了する。
　本発明の第２の実施の形態によれば、本発明の第１の実施の形態に比べて、異常要因をより正確に判定できる。その理由は、異常要因抽出部１０４が、各相関関係を表す２つの相関関数の検出感度の内、大きい方の検出感度を用いて、異常要因の候補のメトリックを抽出するためである。
　以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　例えば、本発明の実施の形態では、相関関数の検出感度を数３式、数４式により算出しているが、メトリックに乗じる係数に応じて大きい値が得られれば、検出感度を他の方法により決定してもよい。例えば、異常要因抽出部１０４は、係数に対する検出感度の変換表を用いて、検出感度を決定してもよい。また、メトリックの異常時の相関破壊の発生しやすさを示すことができれば、係数を用いる以外の方法で、検出感度を決定してもよい。
　また、本発明の実施の形態では、最も検出感度が高い相関関係に相関破壊が検出されている場合に、メトリックを異常要因の候補と判定しているが、検出感度をもとに異常要因の候補を抽出できれば、他の方法により異常要因の候補を判定してもよい。例えば、異常要因抽出部１０４は、検出感度の大きい相関関数による相関破壊の検出数に応じて大きくなるようなスコアをもとに、異常要因の候補を判定してもよい。
　また、本発明の実施の形態では、被監視システムを、サーバ装置やネットワーク装置等を被監視装置２００として含むＩＴシステムとした。しかしながら、被監視システムの相関モデルを生成し、相関破壊により異常要因を判定できれば、被監視システムは他のシステムでもよい。例えば、被監視システムは、プラントシステム、構造物、輸送機器等であってもよい。この場合、システム分析装置１００は、例えば、各種センサの値をメトリックとして相関モデル１２２を生成し、相関破壊の検出、異常要因の候補の抽出を行う。
　この出願は、２０１３年２月２６日に出願された日本出願特願２０１３－０３５７８４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　本発明は、相関モデル上で検出された相関破壊によりシステムの異常や障害の要因を判定する、不変関係分析に適用できる。
　１００　　システム分析装置
　１０１　　性能情報収集部
　１０２　　相関モデル生成部
　１０３　　相関破壊検出部
　１０４　　異常要因抽出部
　１１１　　性能情報記憶部
　１１２　　相関モデル記憶部
　１１３　　相関破壊記憶部
　１１４　　検出感度記憶部
　１２２　　相関モデル
　２００　　被監視装置

Claims (15)

  1. 　システムにおけるメトリックのペアの相関関係を示す相関モデルを記憶する相関モデル記憶手段と、
    　前記相関モデルに含まれる相関関係の内の相関破壊が検出された相関関係に係る各メトリックについて算出された、当該メトリックの異常時の当該メトリックに係る各相関関係における相関破壊の発生しやすさを示す検出感度をもとに、異常要因の候補のメトリックを抽出する、異常要因抽出手段と、
    を備えるシステム分析装置。
  2. 　前記異常要因抽出手段は、前記相関破壊が検出された相関関係に係る各メトリックについて、当該メトリックに係る相関関係の内の最も検出感度が高い相関関係に相関破壊が検出されている場合、当該メトリックを前記異常要因の候補と判定する、
    請求項１に記載のシステム分析装置。
  3. 　前記メトリックのペアの相関関係は、当該ペアの一方のメトリックの値を当該ペアの両方の時系列、または、当該ペアの他方の時系列から予測する相関関数で表され、
    　前記相関関係に係るメトリックに対する当該相関関係の検出感度は、当該相関関係の相関関数において当該メトリックに乗じる係数に応じて大きくなるように決定される、
    請求項１または２に記載のシステム分析装置。
  4. 　前記相関関係に係るメトリックに対する当該相関関係の検出感度は、さらに、当該相関関係の相関関数を用いて相関破壊を判定するときに適用される、予測誤差の閾値に応じて小さくなるように決定される、
    請求項３に記載のシステム分析装置。
  5. 　前記メトリックのペアの相関関係は、当該ペアの各々を予測する２つの相関関数により表され、
    　前記異常要因抽出手段は、前記相関破壊が検出された相関関係に係るメトリックの各相関関係を表す２つの相関関数の検出感度の内、大きい方の検出感度を用いて、前記異常要因の候補のメトリックを抽出する、
    請求項３または４に記載のシステム分析装置。
  6. 　システムにおけるメトリックのペアの相関関係を示す相関モデルを記憶し、
    　前記相関モデルに含まれる相関関係の内の相関破壊が検出された相関関係に係る各メトリックについて算出された、当該メトリックの異常時の当該メトリックに係る各相関関係における相関破壊の発生しやすさを示す検出感度をもとに、異常要因の候補のメトリックを抽出する、
    システム分析方法。
  7. 　前記異常要因の候補のメトリックの抽出において、前記相関破壊が検出された相関関係に係る各メトリックについて、当該メトリックに係る相関関係の内の最も検出感度が高い相関関係に相関破壊が検出されている場合、当該メトリックを前記異常要因の候補と判定する、
    請求項６に記載のシステム分析方法。
  8. 　前記メトリックのペアの相関関係は、当該ペアの一方のメトリックの値を当該ペアの両方の時系列、または、当該ペアの他方の時系列から予測する相関関数で表され、
    　前記相関関係に係るメトリックに対する当該相関関係の検出感度は、当該相関関係の相関関数において当該メトリックに乗じる係数に応じて大きくなるように決定される、
    請求項６または７に記載のシステム分析方法。
  9. 　前記相関関係に係るメトリックに対する当該相関関係の検出感度は、さらに、当該相関関係の相関関数を用いて相関破壊を判定するときに適用される、予測誤差の閾値に応じて小さくなるように決定される、
    請求項８に記載のシステム分析方法。
  10. 　前記メトリックのペアの相関関係は、当該ペアの各々を予測する２つの相関関数により表され、
    　前記異常要因の候補のメトリックの抽出において、前記相関破壊が検出された相関関係に係るメトリックの各相関関係を表す２つの相関関数の検出感度の内、大きい方の検出感度を用いて、前記異常要因の候補のメトリックを抽出する、
    請求項８または９に記載のシステム分析方法。
  11. 　コンピュータに、
    　システムにおけるメトリックのペアの相関関係を示す相関モデルを記憶し、
    　前記相関モデルに含まれる相関関係の内の相関破壊が検出された相関関係に係る各メトリックについて算出された、当該メトリックの異常時の当該メトリックに係る各相関関係における相関破壊の発生しやすさを示す検出感度をもとに、異常要因の候補のメトリックを抽出する、
    処理を実行させるプログラムを格納する、コンピュータが読み取り可能な記録媒体。
  12. 　前記異常要因の候補のメトリックの抽出において、前記相関破壊が検出された相関関係に係る各メトリックについて、当該メトリックに係る相関関係の内の最も検出感度が高い相関関係に相関破壊が検出されている場合、当該メトリックを前記異常要因の候補と判定する、
    処理を実行させる請求項１１に記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
  13. 　前記メトリックのペアの相関関係は、当該ペアの一方のメトリックの値を当該ペアの両方の時系列、または、当該ペアの他方の時系列から予測する相関関数で表され、
    　前記相関関係に係るメトリックに対する当該相関関係の検出感度は、当該相関関係の相関関数において当該メトリックに乗じる係数に応じて大きくなるように決定される、
    請求項１１または１２に記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
  14. 　前記相関関係に係るメトリックに対する当該相関関係の検出感度は、さらに、当該相関関係の相関関数を用いて相関破壊を判定するときに適用される、予測誤差の閾値に応じて小さくなるように決定される、
    請求項１３に記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
  15. 　前記メトリックのペアの相関関係は、当該ペアの各々を予測する２つの相関関数により表され、
    　前記異常要因の候補のメトリックの抽出において、前記相関破壊が検出された相関関係に係るメトリックの各相関関係を表す２つの相関関数の検出感度の内、大きい方の検出感度を用いて、前記異常要因の候補のメトリックを抽出する、
    処理を実行させる請求項１３または１４に記載のプログラムを格納する、コンピュータが読み取り可能な記録媒体。
PCT/JP2014/000949 2013-02-26 2014-02-24 システム分析装置、及び、システム分析方法 WO2014132611A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2015502761A JP6183449B2 (ja) 2013-02-26 2014-02-24 システム分析装置、及び、システム分析方法
US14/766,880 US20150378806A1 (en) 2013-02-26 2014-02-24 System analysis device and system analysis method
EP14756415.7A EP2963552B1 (en) 2013-02-26 2014-02-24 System analysis device and system analysis method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2013035784 2013-02-26
JP2013-035784 2013-02-26

Publications (1)

Publication Number Publication Date
WO2014132611A1 true WO2014132611A1 (ja) 2014-09-04

Family

ID=51427890

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/000949 WO2014132611A1 (ja) 2013-02-26 2014-02-24 システム分析装置、及び、システム分析方法

Country Status (4)

Country Link
US (1) US20150378806A1 (ja)
EP (1) EP2963552B1 (ja)
JP (1) JP6183449B2 (ja)
WO (1) WO2014132611A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018530803A (ja) * 2015-07-14 2018-10-18 サイオス テクノロジー コーポレーションＳｉｏｓ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏｒｐｏｒａｔｉｏｎ コンピュータ環境における根本原因分析および修復のために機械学習原理を活用する装置および方法

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103026344B (zh) * 2010-06-07 2015-09-09 日本电气株式会社 故障检测设备、故障检测方法和程序记录介质
CN104137078B (zh) * 2012-01-23 2017-03-22 日本电气株式会社 操作管理设备、操作管理方法和程序
JP6445859B2 (ja) * 2014-12-16 2018-12-26 株式会社東芝 プラント監視装置
US10581665B2 (en) * 2016-11-04 2020-03-03 Nec Corporation Content-aware anomaly detection and diagnosis
CN110225540A (zh) * 2019-01-30 2019-09-10 北京中科晶上科技股份有限公司 一种面向集中式接入网的故障检测方法
WO2022018467A1 (en) * 2020-07-22 2022-01-27 Citrix Systems, Inc. Determining changes in a performance of a server
WO2023215903A1 (en) * 2022-05-06 2023-11-09 Mapped Inc. Automatic link prediction for devices in commercial and industrial environments

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS6351936A (ja) 1986-08-22 1988-03-05 Hisayoshi Matsuyama プロセスの異常診断方法
JP2006135412A (ja) * 2004-11-02 2006-05-25 Tokyo Gas Co Ltd 遠隔監視システム
JP4872944B2 (ja) 2008-02-25 2012-02-08 日本電気株式会社 運用管理装置、運用管理システム、情報処理方法、及び運用管理プログラム
JP2012242159A (ja) * 2011-05-17 2012-12-10 Internatl Business Mach Corp <Ibm> システムの高い可用性のためにセンサデータを補間する方法、コンピュータプログラム、システム。
WO2013111560A1 (ja) * 2012-01-23 2013-08-01 日本電気株式会社 運用管理装置、運用管理方法、及びプログラム

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6643613B2 (en) * 2001-07-03 2003-11-04 Altaworks Corporation System and method for monitoring performance metrics
US7107187B1 (en) * 2003-11-12 2006-09-12 Sprint Communications Company L.P. Method for modeling system performance
US8463899B2 (en) * 2005-07-29 2013-06-11 Bmc Software, Inc. System, method and computer program product for optimized root cause analysis
JP4872945B2 (ja) * 2008-02-25 2012-02-08 日本電気株式会社 運用管理装置、運用管理システム、情報処理方法、及び運用管理プログラム
US9195563B2 (en) * 2011-03-30 2015-11-24 Bmc Software, Inc. Use of metrics selected based on lag correlation to provide leading indicators of service performance degradation
US9298525B2 (en) * 2012-12-04 2016-03-29 Accenture Global Services Limited Adaptive fault diagnosis

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS6351936A (ja) 1986-08-22 1988-03-05 Hisayoshi Matsuyama プロセスの異常診断方法
JP2006135412A (ja) * 2004-11-02 2006-05-25 Tokyo Gas Co Ltd 遠隔監視システム
JP4872944B2 (ja) 2008-02-25 2012-02-08 日本電気株式会社 運用管理装置、運用管理システム、情報処理方法、及び運用管理プログラム
JP2012242159A (ja) * 2011-05-17 2012-12-10 Internatl Business Mach Corp <Ibm> システムの高い可用性のためにセンサデータを補間する方法、コンピュータプログラム、システム。
WO2013111560A1 (ja) * 2012-01-23 2013-08-01 日本電気株式会社 運用管理装置、運用管理方法、及びプログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
See also references of EP2963552A4
YUJI IZUMI ET AL.: "A Network-Status Evaluation Method Using Occurence Probability Matrices of Correlation Coefficients", THE TRANSACTIONS OF THE INSTITUTE OF ELECTRONICS, INFORMATION AND COMMUNICATION ENGINEERS, vol. J90-B, no. 7, 1 July 2007 (2007-07-01), pages 660 - 669 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018530803A (ja) * 2015-07-14 2018-10-18 サイオス テクノロジー コーポレーションＳｉｏｓ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏｒｐｏｒａｔｉｏｎ コンピュータ環境における根本原因分析および修復のために機械学習原理を活用する装置および方法

Also Published As

Publication number Publication date
EP2963552A1 (en) 2016-01-06
US20150378806A1 (en) 2015-12-31
JPWO2014132611A1 (ja) 2017-02-02
EP2963552A4 (en) 2016-07-27
EP2963552B1 (en) 2021-03-24
JP6183449B2 (ja) 2017-08-23

Similar Documents

Publication Publication Date Title
JP6183450B2 (ja) システム分析装置、及び、システム分析方法
JP6183449B2 (ja) システム分析装置、及び、システム分析方法
JP6394726B2 (ja) 運用管理装置、運用管理方法、及びプログラム
US9658916B2 (en) System analysis device, system analysis method and system analysis program
JP5874936B2 (ja) 運用管理装置、運用管理方法、及びプログラム
JP5267748B2 (ja) 運用管理システム、運用管理方法、及びプログラム
JP6196196B2 (ja) ログ間因果推定装置、システム異常検知装置、ログ分析システム、及びログ分析方法
JP5971395B2 (ja) システム分析装置、及び、システム分析方法
US10157113B2 (en) Information processing device, analysis method, and recording medium
WO2015182072A1 (ja) 因果構造推定システム、因果構造推定方法およびプログラム記録媒体

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14756415

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14766880

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2014756415

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2015502761

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE