WO2016136198A1 - システム監視装置、システム監視方法、及び、システム監視プログラムが記録された記録媒体 - Google Patents

システム監視装置、システム監視方法、及び、システム監視プログラムが記録された記録媒体 Download PDF

Info

Publication number
WO2016136198A1
WO2016136198A1 PCT/JP2016/000827 JP2016000827W WO2016136198A1 WO 2016136198 A1 WO2016136198 A1 WO 2016136198A1 JP 2016000827 W JP2016000827 W JP 2016000827W WO 2016136198 A1 WO2016136198 A1 WO 2016136198A1
Authority
WO
WIPO (PCT)
Prior art keywords
degree
series data
time
abnormality
time series
Prior art date
Application number
PCT/JP2016/000827
Other languages
English (en)
French (fr)
Inventor
毅彦 溝口
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2017501909A priority Critical patent/JP6828679B2/ja
Priority to US15/553,435 priority patent/US10539468B2/en
Publication of WO2016136198A1 publication Critical patent/WO2016136198A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/18—Complex mathematical operations for evaluating statistical data, e.g. average values, frequency distributions, probability functions, regression analysis
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01K—MEASURING TEMPERATURE; MEASURING QUANTITY OF HEAT; THERMALLY-SENSITIVE ELEMENTS NOT OTHERWISE PROVIDED FOR
    • G01K3/00—Thermometers giving results other than momentary value of temperature
    • G01K3/08—Thermometers giving results other than momentary value of temperature giving differences of values; giving differentiated values
    • G01K3/10—Thermometers giving results other than momentary value of temperature giving differences of values; giving differentiated values in respect of time, e.g. reacting only to a quick change of temperature
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0218—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterised by the fault detection method dealing with either existing or incipient faults
    • G05B23/0224—Process history based detection method, e.g. whereby history implies the availability of large amounts of data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/15—Correlation function computation including computation of convolution operations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2218/00—Aspects of pattern recognition specially adapted for signal processing

Definitions

  • the present invention relates to a system monitoring device or the like that can identify a defect related to a monitoring target.
  • a state value (measured value, performance value) related to the physical system or the like is measured using a sensor (detection end) such as a thermometer.
  • the measured state value is stored as performance information by, for example, associating with the measured time for each sensor used for the measurement.
  • time series data time series information, time series records
  • an analysis technique such as correlation analysis is used to analyze a relationship that is established between a plurality of measurement values included in the performance information.
  • Correlation analysis is also used as a technique for detecting abnormalities in a large-scale information system including a large number of servers and communication network devices.
  • the operation management apparatus disclosed in Patent Document 1 measures from two different pieces of performance information (represented as “first performance information” and “second performance information”) during a period in which the physical system is operating normally. Read values as time-series data.
  • the operation management apparatus creates a correlation model by deriving a mathematical relational expression that holds between the two read time-series data. For example, the operation management apparatus reads, from the first performance information, the measurement value in the monitoring period for monitoring the physical system as the first time series data, and from the second performance information, the measurement value in the monitoring period is the second time series. Read as data.
  • the operation management apparatus estimates the second time series data by applying the created correlation model to the first time series data.
  • the operation management apparatus compares the read second time series data with the estimated second time series data, and based on the comparison result, whether or not the created correlation model holds for the time series data in the monitoring period. Determine. That is, the operation management apparatus determines whether or not the created correlation model is maintained for time-series data related to the monitoring period.
  • the operation management device disclosed in Patent Document 2 measures the measurement values related to a plurality of performance indexes for each device to be monitored, and determines whether or not the measured measurement values are abnormal. When determining that the measurement value is abnormal, the operation management apparatus extracts a performance index related to the measurement value as an abnormal item. The operation management apparatus excludes the abnormal items extracted for all the monitoring target apparatuses from the respective abnormal items. Thereby, the operation management apparatus can shorten the time required to identify the cause of the abnormality when a plurality of servers detect the abnormality.
  • the operation management device disclosed in Patent Document 3 derives a change in time series data regarding a plurality of pieces of performance information measured by a plurality of managed devices such as sensors, and between the changes relating to the plurality of derived time series data.
  • a model generation unit for calculating a correlation model representing the relationship is included.
  • the operation management apparatus further includes an analysis unit that calculates time-series data regarding the newly detected performance information and determines whether the calculated correlation model holds based on the calculated time-series data.
  • the operation management apparatus can detect (determine) a failure based on whether or not the correlation model is established.
  • the remote monitoring system disclosed in Patent Document 4 includes a first correlation that is established between a plurality of measurement values measured with respect to the monitoring target and a part of the measurement values during a period in which the monitoring target is operating normally.
  • a model construction unit for obtaining a second correlation established between them; Further, the remote monitoring system applies the first correlation and the second correlation to the measurement values measured during the monitoring period with respect to the monitoring target, and monitors based on the calculated results. It has a detection part which detects whether an object is out of order.
  • JP 2009-199533 A International Publication No. 2011/083687 JP 2009-211472 A JP 2006-135212 A
  • Patent Literature 1 to Patent Literature 4 calculate a correlation between at least two pieces of time-series data, but it is not possible to identify which time-series data is a cause of a malfunction related to a monitoring target. Can not.
  • a main object of the present invention is to provide a system monitoring device or the like that can identify the cause of a failure related to a monitoring target.
  • a system monitoring device includes: It is determined whether or not the relationship representing the relationship established in the plurality of sets of first time series data measured in the first period is established for the monitoring target in the plurality of sets of second time series data measured in the second period. Determination means for determining; An abnormality degree calculating means for calculating an abnormality degree that represents a certain degree in which the second time series data is abnormal based on the relation that the determination means is satisfied and the relationship that the determination means is not satisfied.
  • a system monitoring method includes: It is determined whether or not the relationship representing the relationship established in the plurality of sets of first time series data measured in the first period is established for the monitoring target in the plurality of sets of second time series data measured in the second period.
  • the second time-series data is abnormal and calculates a degree of abnormality representing a certain degree, Based on the degree of abnormality calculated with respect to the second time series data, when the second time series data is normal or abnormal, a first degree representing a certain degree of the degree of abnormality is calculated; Calculating a second degree representing the degree to which the plurality of sets of the second time-series data are related based on the relationship with respect to the first period; Based on the first degree and the second degree, it is determined whether the second time series data is normal or abnormal.
  • the system monitoring program is It is determined whether or not the relationship representing the relationship established in the plurality of sets of first time series data measured in the first period is established for the monitoring target in the plurality of sets of second time series data measured in the second period.
  • a judgment function to judge The degree of abnormality for calculating the degree of abnormality representing the degree to which the second time series data is abnormal based on the relation determined to be satisfied by the determination function and the relationship determined not to be satisfied by the determination function A calculation function; Based on the degree of abnormality calculated with respect to the second time-series data, a first degree that calculates a first degree that represents a certain level of the degree of abnormality when the second time-series data is normal or abnormal A calculation function; A second degree calculation function for calculating a second degree representing the degree to which the plurality of sets of the second time-series data are related based on the relationship with respect to the first period; Based on the first degree and the second degree, the computer realizes a state calculation function for determining whether the second time-series data is normal or abnormal.
  • this object is also realized by a computer-readable recording medium that records the system monitoring program.
  • FIG. 1 is a diagram conceptually illustrating an example of measurement information referred to by a system monitoring apparatus according to each embodiment of the present invention.
  • FIG. 1 is a diagram conceptually illustrating an example of measurement information referred to by a system monitoring apparatus according to each embodiment of the present invention.
  • measurement values related to measurement items (upper temperature, room temperature, humidity, etc.) measured by the sensor, date and time when the measurement values were measured, and timing when the measurement values were measured Is associated with the status of the monitoring target (normal or abnormal).
  • the units of the lower temperature, the upper temperature, and the room temperature are degrees Celsius (° C.).
  • the unit of humidity is “%”. In the following description, description of units is omitted.
  • the date “2014/2/6”, the time “0:00”, the state “normal”, the lower temperature “23”, the upper temperature “28”, and the like are associated with the measurement information illustrated in FIG. . This is because the upper temperature measured by the sensor at the time “0:00” of the date “2014/2/6” is 28 (° C.), the lower temperature measured by the sensor is 23 (° C.), and This indicates that the monitoring target is normal.
  • time series data time series data set, time series information, time series record
  • time series data regarding the measurement value is extracted by extracting each measurement value in time order for a specific period. For example, by extracting the lower temperature related to the date “2014/2/6”, “23, 25, 30, 22” is extracted as time series data related to the lower temperature.
  • time series data set is also simply referred to as “time series data”.
  • the time series data on humidity is “46”.
  • 41, 43, 46 are extracted. That is, the extracted time series data represents a measurement value related to room temperature in a period (abnormal period) in which the monitoring target is in an abnormal state.
  • the time series data “22, 23 related to the room temperature” is extracted.
  • 25, 24, 22, 23 can be extracted. That is, the time series data represents a measurement value related to room temperature in a period (normal period) in which the monitoring target is in a normal state (normally operating).
  • the correlation model mathematically represents the relationship that holds between one time-series data and the other time-series data with respect to time-series data related to two measured values (for example, room temperature and lower temperature) in a normal period.
  • the correlation model (correlation of different performance indicators in a certain period) includes a mathematical model such as a correlation coefficient AutoRegressive_eXgeneous (ARX) model.
  • ARX AutoRegressive_eXgeneous
  • Corruption of a correlation model means that when a correlation model calculated based on time series data in a certain period is applied to time series data in a period different from the certain period, the estimated time series data and in a certain period This means that the time series data deviates.
  • the determination regarding whether or not there is a divergence is, for example, whether or not the difference between the estimated time-series data and the time-series data in a certain period (that is, estimation error, prediction error) exceeds a predetermined threshold (that is, Whether or not a predetermined condition is satisfied.
  • Destruction is expressed as “break” and “destruction”.
  • the time-series data may be time-series data related to measured values such as a usage rate of a computing device, a usage rate of a memory, a frequency of disk access, and the like included in operation information related to an information processing system that is an example of a monitoring target Good.
  • the time series data may be time series data related to measurement values such as power consumption and the number of calculations.
  • the time series data may be, for example, time series data regarding values such as performance indexes measured during a period in which the information processing system is operating. Further, the time series data does not necessarily have to be a numerical value, and may be a symbol, a code, or the like. The time series data is not limited to the example described above.
  • a system monitoring apparatus according to the present embodiment will be described using an example in which an abnormal location (factor) in a monitoring target is specified.
  • a plurality of measurement values for example, temperature, humidity, etc.
  • FIG. 2 is a block diagram showing the configuration of the system monitoring apparatus 101 according to the first embodiment of the present invention.
  • the system monitoring apparatus 101 includes an information creation unit (model creation unit) 103 and an abnormality calculation unit 106.
  • the system monitoring apparatus 101 may further include an index input unit 102 and an abnormal part output unit 110.
  • the system monitoring apparatus 101 may be connected to a storage unit 111 including a time series storage unit 112, an information storage unit 113, and an abnormality storage unit 116.
  • the system monitoring apparatus 101 reads the storage unit 111 in which performances measured by a plurality of sensors (analyzed apparatuses) 120 or measured values are stored with respect to the monitoring target 121. it can.
  • the system monitoring apparatus 101 according to the first embodiment may be realized by a mode of receiving information transmitted by the sensor 120. In the following description, for convenience of explanation, it is assumed that the system monitoring apparatus 101 can receive information transmitted by the sensor 120.
  • the sensor 120 measures, for example, the performance related to the monitoring target 121 as a measurement value at regular time intervals.
  • the sensor 120 transmits the measurement value measured for the monitoring target 121 to the system monitoring apparatus 101.
  • the measured value is, for example, the operation information such as the usage rate in the central processing unit (CPU), the usage rate related to the memory, the frequency related to the disk access, and the performance information such as the power consumption and the number of calculations, which are measured for the monitoring target 121 Etc.
  • the measured value is represented using, for example, a numerical value such as an integer or a decimal, a sign such as “ON” or “OFF”, or a symbol such as “True” or “False”.
  • the index input unit 102 receives the measurement value transmitted from the sensor 120, and stores the received measurement value in the storage unit 111 as measurement information as exemplified in FIG.
  • the index input unit 102 extracts, from the measurement information (illustrated in FIG. 1), measurement values in a specific (for example, normal state) period as time series data, and the extracted time series data is a time series storage unit. 112. Furthermore, the index input unit 102 extracts, for example, measurement values in the monitoring period (a certain period) as time series data from the measurement information, and the extracted time series data is time series as illustrated in FIG.
  • the information is stored in the time series storage unit 112 as information.
  • FIG. 3 is a diagram conceptually illustrating an example of time-series information referred to by the system monitoring apparatus according to each embodiment of the present invention.
  • a time-series identifier for identifying time-series data (hereinafter, the identifier is expressed as “ID”), a measurement item, a state related to a monitoring target, and time-series data Is associated.
  • ID time-series identifier for identifying time-series data
  • the measurement item is temperature and the measurement value is measured when the state related to the monitoring target is normal with respect to the time-series data.
  • the information creation unit 103 includes a model information creation unit 104 that creates a correlation model or the like representing the relationship between two time series data. Further, the information creation unit 103 creates probability models (described later with reference to FIG. 9) that can calculate a state indicating whether the time series data is normal based on the created correlation model. A creation unit 105 is included.
  • the model information creation unit 104 reads time-series data regarding the measurement item (sensor 120) during the period in which the monitoring target 121 is operating normally from the time-series storage unit 112.
  • the model information creation unit 104 creates, as a correlation model, a relationship (for example, a correlation) that holds for a combination between two time-series data in the read time-series data.
  • the model information creation unit 104 stores the created correlation model in the model information storage unit 114 as correlation model information as illustrated in FIG.
  • FIG. 4 is a diagram conceptually illustrating an example of correlation model information referred to by the system monitoring apparatus according to each embodiment of the present invention.
  • a correlation model ID that can uniquely identify the correlation model is associated with the correlation model by the correlation model information.
  • the model information creation unit 104 may create the correlation model (relationship) for a combination between arbitrary time series data. Specific processing for creating the correlation model (for example, the least square method) will be described later.
  • the probability information creation unit 105 reads the correlation model stored in the model information storage unit 114, and based on the read correlation model, a probability model (Fig. 9 will be described later with reference to FIG. The process in which the probability information creation unit 105 creates the probability model will be described later with reference to FIG.
  • the abnormality calculation unit 106 includes a destruction detection unit 107, an abnormality degree calculation unit 108, and an abnormality determination unit 109.
  • the destruction detection unit 107 reads, for example, the time series data related to the measurement values in the monitoring period from the time series storage unit 112. For example, the destruction detection unit 107 reads a correlation model (illustrated in FIG. 4) related to the time series data from the model information storage unit 114. The destruction detection unit 107 may read time-series data related to the read correlation model from the time-series storage unit 112.
  • the destruction detection unit 107 reads from the probability information storage unit 115 a probability model (described later with reference to FIG. 9) created based on the read correlation model.
  • the destruction detection unit 107 detects the cause (factor) of the abnormality in a certain period based on the read time series data, the read correlation model, and the read probability model.
  • the destruction detection unit 107 reads time-series data regarding measured values in a certain period from the time-series storage unit 112.
  • the destruction detection unit 107 reads a correlation model (illustrated in FIG. 4) related to the read time series data from the model information storage unit 114.
  • the destruction detection unit 107 determines whether each read correlation model is established with respect to the read time-series data. For example, the destruction detection unit 107 estimates time-series data related to the measurement values in the certain period based on the read correlation model, and calculates a difference (prediction error) between the estimated time-series data and the read time-series data. To do.
  • the destruction detection unit 107 determines that the read correlation model is not established (is no longer maintained or has been destroyed). judge.
  • the destruction detection unit 107 stores the destroyed correlation model in the destruction model storage unit 117 as a destruction model.
  • the destruction detection unit 107 may store a correlation model ID representing a destruction model in the destruction model storage unit 117.
  • the abnormality degree calculation unit 108 reads the destruction model from the destruction model storage unit 117. Next, the degree of abnormality calculation unit 108 calculates the degree of abnormality representing the degree to which the time series data is related to the destruction model based on the read destruction model. A method for calculating the degree of abnormality will be described later with reference to FIG.
  • the abnormality determination unit 109 reads a probability model (described later with reference to FIG. 9) from the probability information storage unit 115.
  • the abnormality determination unit 109 reads the destruction model related to the read probability model from the destruction model storage unit 117. Furthermore, the abnormality determination unit 109 reads the abnormality level related to the node (sensor) from the abnormality level storage unit 118.
  • the abnormality determination unit 109 identifies a sensor that is a factor causing the abnormality by estimating a state that best matches the read degree of abnormality. A processing procedure in which the abnormality determination unit 109 identifies a sensor that causes an abnormality will be described later with reference to FIG.
  • the information storage unit 113 can store a model information storage unit 114 capable of storing the correlation model created by the model information creation unit 104 and a probability model created by the probability information creation unit 105 (described later with reference to FIG. 9).
  • a random probability information storage unit 115 can store a model information storage unit 114 capable of storing the correlation model created by the model information creation unit 104 and a probability model created by the probability information creation unit 105 (described later with reference to FIG. 9).
  • a random probability information storage unit 115 can store a model information storage unit 114 capable of storing the correlation model created by the model information creation unit 104 and a probability model created by the probability information creation unit 105 (described later with reference to FIG. 9).
  • the abnormality storage unit 116 includes a destruction model storage unit 117 capable of storing the destruction model created by the destruction detection unit 107, and an abnormality degree storage unit 118 capable of storing the abnormality degree calculated by the abnormality degree calculation unit 108. Furthermore, the abnormality storage unit 116 includes an abnormality location storage unit 119 that can store, as an abnormality location, a sensor relating to time-series data representing the cause of the abnormality identified by the abnormality determination unit 109.
  • the abnormal part output unit 110 reads an item indicating the cause of the abnormality from the abnormal part storage unit 119 and outputs the read item.
  • FIG. 5 is a flowchart showing a flow of processing in which the system monitoring apparatus 101 according to the first embodiment creates a probability model.
  • the index input unit 102 receives the measurement value (measurement information) transmitted by the sensor 120 (step S101). For example, the index input unit 102 creates measurement information as illustrated in FIG. 1 by arranging the received measurement values in time order, and stores the created measurement information in the storage unit 111. Next, the index input unit 102 creates time series information as illustrated in FIG. 3 by extracting measurement values in a certain period as time series data based on the measurement information, and creates the time series information created as shown in FIG. Is stored in the time-series storage unit 112 (step S102).
  • the index input unit 102 determines whether or not measurement values have been received from all sensors 120 (step S103). If there is a measurement value that has not yet been received (NO in step S103), index input unit 102 repeats the processes shown in steps S101 and S102.
  • the model information creation unit 104 reads a plurality of time series data stored in the time series storage unit 112 (step S104).
  • the model information creation unit 104 when creating a correlation model for all combinations of time series data stored in the time series storage unit 112, the model information creation unit 104 generates correlation models for all combinations of time series data. It is determined whether it has been created (step S107). If there is a combination for which a correlation model has not been created (NO in step S107), model information creation unit 104 repeats the processing shown in steps S105 and S106.
  • the probability information creation unit 105 reads the correlation model from the model information storage unit 114 (step S108).
  • the probability information creation unit 105 creates a probability model (to be described later with reference to FIG. 9) that can calculate a state representing whether the time series data is normal or abnormal based on the read correlation model (Steps). S109).
  • the probability information creation unit 105 may read all correlation models from the model information storage unit 114 and create a probability model based on the read correlation models.
  • the probability information creation unit 105 stores the created probability model in the probability information storage unit 115.
  • the probability model and the process for creating the probability model will be described later with reference to FIG.
  • FIG. 6 is a flowchart showing the flow of processing for determining whether or not the system monitoring apparatus 101 according to the first embodiment is abnormal with respect to time-series data.
  • the model information storage unit 114 stores a correlation model
  • the probability information storage unit 115 stores a probability model.
  • the index input unit 102 receives a measurement value from a sensor 120 during a certain period (monitoring period).
  • the index input unit 102 may read time-series data for a certain period from the time-series storage unit 112.
  • the index input unit 102 receives measured values (performance information, observed values) in a certain period from the sensor 120 (step S201). For example, the index input unit 102 stores the received measurement values in the time series storage unit 112 as time series data in time order (step S202).
  • the index input unit 102 determines whether or not measurement values have been received from all the sensors 120 (step S203). When there is a sensor 120 that has not received (NO in step S203), the index input unit 102 repeats the processes shown in steps S201 and S202.
  • the fracture detection unit 107 stores the correlation model from the model information storage unit 114 that can store the correlation model information as illustrated in FIG. Read.
  • the destruction detection unit 107 reads time-series data (illustrated in FIG. 3) related to the read correlation model (illustrated in FIG. 4) from the time-series storage unit 112 (step S204). For example, regarding the correlation model represented by the correlation model ID “2” that can uniquely identify the correlation model, the destruction detection unit 107 represents the time series data represented by the time series ID “2” and the time series ID “5”. Read time-series data. For example, referring to FIG. 3, the time-series data represented by the time-series ID “2” is time-series data in a certain period related to the measurement item (ie, sensor) “humidity” associated with the time-series ID “2”. is there.
  • the destruction detection unit 107 determines whether or not the read correlation model holds for time-series data in a certain period (step S205). For example, the destruction detection unit 107 applies the read correlation model (illustrated as the correlation model ID “2” in FIG. 4) to time-series data (eg, time-series ID “5”) in a certain period, Series data (for example, time series ID “2”) is estimated. The destruction detection unit 107 calculates an error between the time series data in a certain period and the estimated time series data, and determines whether or not the read correlation model holds based on the calculated error.
  • the read correlation model illustrated as the correlation model ID “2” in FIG. 4
  • time-series data eg, time-series ID “5”
  • Series data for example, time series ID “2”
  • the destruction detection unit 107 calculates an error between the time series data in a certain period and the estimated time series data, and determines whether or not the read correlation model holds based on the calculated error.
  • the destruction detection unit 107 When the correlation model does not hold (does not hold) with respect to time-series data in a certain period (NO in step S205), the destruction detection unit 107 indicates that the read correlation model does not hold with respect to time-series data in a certain period. Set to destruction model. The destruction detection unit 107 stores the destruction model in the destruction model storage unit 117 (step S206).
  • the fracture detection unit 107 determines whether or not correlation models are established for all correlation models (step S207). That is, the destruction detection unit 107 determines whether correlation destruction has occurred for all correlation models based on time-series data in a certain period.
  • destruction detection unit 107 repeats the processing shown in steps S204 to S206.
  • the destruction detection unit 107 refers to the destruction model storage unit 117, and the destruction model exists. It is determined whether or not to perform (step S208).
  • the system monitoring apparatus 101 outputs (for example, displays) a message “no abnormal part” (step S212).
  • the abnormality degree calculation unit 108 calculates the abnormality degree with respect to the time series data based on whether or not the correlation model is the destruction model (step S209).
  • the degree of abnormality and the process for calculating the degree of abnormality will be described later with reference to FIG.
  • the abnormality determination unit 109 reads the probability model (illustrated in FIG. 9) from the probability information storage unit 115 (step S210).
  • the abnormality determination unit 109 calculates whether each node (for example, the sensor 120) included in the probability model is abnormal based on the abnormality degree calculated by the abnormality degree calculation unit 108 and the read probability model. (Step S211). Details of the probability model will be described later with reference to FIG.
  • the abnormal part output unit 110 outputs, for example, items (locations, sensors 120) related to time series data that the abnormality determination unit 109 determines to be abnormal (step S213).
  • the correlation model, the probability model, and the destruction model will be described in detail with reference to an example. First, the correlation model and the process for creating the correlation model will be described.
  • the model information creation unit 104 Based on the read time-series data (for example, time-series data in a normal period), the model information creation unit 104 follows the procedure of minimizing the sum of squares of errors related to the correlation model (that is, the least-squares method) according to the constant “a, b "is calculated. For example, the model information creation unit 104 creates correlation model information as illustrated in FIG. 4 for the calculated constants “a, b”, and stores the created correlation model information in the model information storage unit 114. Note that the approximate value (predicted value) z of y when x is input can be calculated according to “a ⁇ x + b”, and the error can be calculated as the difference between y and z.
  • the model information creation unit 104 further determines that the calculated correlation model is appropriate depending on whether or not the sum of squared errors satisfies a predetermined condition (for example, whether or not the sum of squared errors is equal to or less than a predetermined threshold). It may be determined whether or not. For example, the model information creation unit 104 determines that the calculated correlation model is not appropriate as a correlation model for estimating time-series data when the sum of squares of errors is larger than a predetermined threshold. In this case, the model information creation unit 104 may not store the correlation model in the model information storage unit 114.
  • a predetermined condition for example, whether or not the sum of squared errors is equal to or less than a predetermined threshold. It may be determined whether or not. For example, the model information creation unit 104 determines that the calculated correlation model is not appropriate as a correlation model for estimating time-series data when the sum of squares of errors is larger than a predetermined threshold. In this case, the model information creation unit 104 may not store the correlation model in
  • the model information creation unit 104 may create related information (FIG. 7) that conceptually represents an appropriate correlation model as a correlation model for estimating time series data.
  • FIG. 7 is a diagram conceptually illustrating an example of related information.
  • nodes nodes, numbers surrounded by circles
  • branches edges, lines connecting numbers connecting the nodes
  • the node represents certain time series data (or the sensor 120 that calculates the time series data).
  • a branch indicates that a correlation model established between time series data represented by nodes at both ends of the branch is appropriate as a correlation model for estimating time series data.
  • the model information creation unit 104 obtains time series data related to the correlation model (or the sensor 120 that calculates the time series data) according to whether or not the above-described error sum of squares is larger than a predetermined threshold. Set a branch between the two nodes to be represented.
  • FIG. 8 is a diagram conceptually illustrating an example of related information.
  • the node representing the sensor is adjacent to the node representing the time series data.
  • the sensor Arabic numerals surrounded by circles
  • time-series data represented by the nodes adjacent to the nodes Roman numerals surrounded by circles
  • the branch connecting the nodes represented by Arabic numerals surrounded by ⁇ indicates that the sum of squares of the error relating to the correlation model between the time series data measured by the sensor represented by the node satisfies a predetermined condition.
  • the nodes connected to both ends of the branch indicate that the time series data represented by the nodes has a relationship (correlation) that satisfies a predetermined condition.
  • FIG. 9 is a diagram conceptually illustrating an example of the probability model.
  • the probability model is calculated based on the created correlation model (related information, illustrated in FIGS. 7 and 8).
  • the nodes in the probability model include the nodes (representing time-series data or sensors) shown in FIG. 7 and two nodes (that is, node S and node D).
  • the branches in the probability model are the branches in the created related information (that is, the correlation model that satisfies the predetermined condition), the branches that connect the nodes in the node S and related information (illustrated in FIG. 7), the nodes D and the related information. And a branch connecting each node in the information.
  • a branch connecting the nodes S and the nodes in the related information is represented as a second branch
  • a branch connecting the nodes D and the nodes in the related information is represented as a first branch
  • each branch in the related information (illustrated in FIG. 7).
  • the node S may be expressed as a second node.
  • the node D may be expressed as a third node.
  • the node included in the related information (illustrated in FIG. 7) may be expressed as the first node.
  • Each branch in the probability model is given a weight according to the process described later.
  • the weight given to the second branch and the third branch is given the weight based on the above-described degree of abnormality.
  • the weight given to the first branch is given a weight based on whether or not the branch exists. The process for assigning the weight will be described later.
  • Markov random field is a probabilistic model in which only nodes adjacent to each other probabilistically influence each other.
  • the created probability model is a Markov random field.
  • a node is represented by v
  • a set of nodes included in the probability model is represented by V.
  • a node set other than the node v is represented as “V ⁇ ⁇ v ⁇ ”.
  • T denote a set of nodes adjacent to the node v.
  • Equation 1 In the case of a Markov random field, since only adjacent nodes affect each other stochastically, Equation 1 is established. That is, p (v
  • V ⁇ ⁇ v ⁇ ) p (v
  • the node 2 is adjacent to the node 1, the node 3, the node 4, the node 5, the node 6, the node 7, and the node “II”.
  • Node 2 is not adjacent to nodes such as node 8 and node 9.
  • Equation 2 is established. That is, p (2
  • V ⁇ ⁇ 2 ⁇ ) p (2
  • the destruction detection unit 107 determines that the correlation models represented by the branches included in the related information are respectively in a certain period. It is determined whether or not the series data is satisfied.
  • the destruction detection unit 107 determines that the correlation model including the following nine branches does not hold for time-series data in a certain period. That is, Between node 3 and node 5, Between node 3 and node 6, Between nodes 6 and 7, Between node 2 and node 5, Between nodes 5 and 7, Between node 2 and node 7, Between nodes 8 and 9, Between node 1 and node 4, Between node 1 and node 7.
  • the destruction detection unit 107 may create related information as exemplified in FIG. 10 by distinguishing the correlation model that is a destruction model (represented by using a dotted line).
  • FIG. 10 is a diagram conceptually illustrating an example of related information.
  • the degree of abnormality A illustrated in Equation 3 represents the ratio of the branch representing the destruction model among the branches connected to the node x.
  • the destruction detection unit 107 calculates the degree of abnormality related to the node in the related information, and associates the calculated degree of abnormality with the node ID (time series ID or measurement item (index)) representing the node.
  • the abnormality level information as illustrated in FIG. 11 is created.
  • FIG. 11 is a diagram conceptually illustrating an example of the degree of abnormality information. Note that the degree of abnormality in the degree-of-abnormality information illustrated in FIG. 11 is not the degree of abnormality calculated based on the related information illustrated in FIG. 10 but a degree of abnormality set for convenience of explanation.
  • the node ID (in other words, time series ID, measurement item (index), etc.) and the node abnormality level represented by the node ID are associated with each other by the abnormality level information.
  • the node ID “1” is associated with the abnormality degree “0.333333” by the abnormality degree information illustrated in FIG. This indicates that, for example, the degree of abnormality calculated by the destruction detection unit 107 according to Equation 3 for the node indicated by the node ID “1” is “0.333333”.
  • the number of nodes is N.
  • the degree of abnormality related to the node i (where 1 ⁇ i ⁇ N) is expressed as x i, and the state related to the node i is expressed as y i . That is, y i represents a label that can identify whether it is normal (for example, 0) or abnormal (for example, 1).
  • the abnormality determination unit 109 calculates, for example, y i (where 1 ⁇ i ⁇ N) that occurs with the highest probability when the degree of abnormality is x i (where 1 ⁇ i ⁇ N). In other words, the abnormality determination unit 109 maximizes the posterior probability p (y 1 , y 2 ,..., Y N
  • Equation 4 p (y 1 , y 2 ,..., Y N
  • ⁇ represents a proportional relationship.
  • Equation 5 the base of the logarithmic function is, for example, the number of Napiers.
  • ⁇ represents a set of branches (edges) in the probability model.
  • the abnormality determination unit 109 obtains y 1 , y 2 ,..., Y N when the value calculated according to Equation 5 is the maximum. “Expression 5 ⁇ ( ⁇ 1)” is called an energy function.
  • y 1 , y 2 ,..., Y N that maximize Equation 5 are This can result in a problem of finding the maximum flow for the weighted graph. That is, y 1 , y 2 ,..., Y N maximizing Equation 5 is a problem for obtaining a minimum cut that minimizes the weight to be cut when the calculated weighted graph is separated into two. It can be brought back.
  • the problem of obtaining y 1 , y 2 ,..., Y N that maximizes Equation 5 is, for example, the maximum flow from the node S to the node D based on the probability model illustrated in FIG. It is reduced to the problem that is sought. That is, the problem is reduced to a minimum cut problem that separates the graph illustrated in FIG. 9 into two while minimizing the weight of the cut branch.
  • y i ) corresponds to the weights related to the second branch and the third branch in the probability model.
  • p (y m , y n ) corresponds to the weight related to the first branch in the probability model.
  • y i ) for example, it is defined using the beta distribution defined using the probability density shown in Equation 6 or the probability density shown in Equation 7.
  • a gamma distribution can be used.
  • ⁇ represents a gamma function. “/” Represents division. A, b, k, and ⁇ represent constants.
  • y i ) is a value calculated when x in Expression 6 or 7 is set as the degree of abnormality.
  • the abnormality determination unit 109 may set a large value calculated according to Equation 6 as p (x i
  • the abnormality determination unit 109 may set a small value calculated according to Equation 6 as p (x i
  • the first degree represents a certain degree (probability) of the degree of abnormality with a specific value when the node (time-series data, sensor) is in a specific state. That is, the first degree represents a certain degree (probability) of the degree of abnormality with a specific value when, for example, the node (time-series data, sensor) is normal. The first degree represents a certain degree (probability) of the degree of abnormality with a specific value when, for example, the node (time-series data, sensor) is abnormal.
  • the abnormality determination unit 109 may calculate p (x i
  • the abnormality determination unit 109 calculates the constant a and the constant b based on the average of the abnormalities and the variance of the abnormalities. May be.
  • the abnormality determination unit 109 may calculate the constant k and the constant ⁇ according to the maximum likelihood estimation procedure.
  • an Ising model shown in Expression 8 can be used as a model for defining p (y m , y n ).
  • e represents the base of the natural logarithm (Napier number).
  • W m, n represents the degree to which the node m and the node n are related.
  • a plurality of nodes adjacent to each other e.g., the node m, node n
  • y m and y n are prone to the same value.
  • Equation 8 (y m, y n), for example, mutually whether y m and y n regarding nodes that are adjacent is the same, depending on whether they differ in value calculated is there. For example, with respect to formulas 8, if y m and y n are the same value, it calculates a value higher than y m and y n are different values.
  • p (y m , y n ) may be expressed as the second degree. That is, the second degree represents the degree to which the nodes (time series data, sensors) are related to each other.
  • the abnormality determination unit 109 calculates the weights of the branches included in the probability model as illustrated in FIG. 9, and applies the algorithm for solving the maximum flow problem to the calculated weighted probability model.
  • FIG. 12 is a diagram conceptually showing the determination information calculated by the abnormality determination unit 109.
  • the abnormality determination unit 109 may display the probability model (graph) illustrated in FIG. 9 on the display unit 122.
  • the abnormality determination unit 109 may display the probability model on the display unit 122 in a manner of displaying a weight related to the branch in the vicinity of the branch included in the graph.
  • the node ID “2” is associated with the state “normal” according to the determination information illustrated in FIG. This indicates that the state calculated by the abnormality determination unit 109 for the node ID “2” is normal according to the above-described processing.
  • the node ID represents an identifier that can identify a time-series ID, a measurement item, or a performance index, as in the description related to FIG.
  • the system monitoring apparatus 101 determines that the time series data regarding the node ID “7” where the correlation destruction is concentrated is abnormal by executing the above-described processing. Further, the system monitoring apparatus 101 does not determine that the node ID “5” is abnormal even if a correlation destruction unrelated to the abnormality in the monitoring target 121 has occurred. Furthermore, since the system monitoring apparatus 101 calculates whether it is normal or abnormal by obtaining y 1 , y 2 ,..., Y N that maximizes Equation 5 as described above, No threshold for judging normality or abnormality is set.
  • the system monitoring apparatus 101 even if a correlation destruction unrelated to the abnormality in the monitoring target 121 occurs, it is possible to identify an abnormal part without setting a threshold value.
  • the reason for this is that the use of a correlation model (dependency) between performance indexes (nodes) causes the adjacent performance indexes to be destroyed even if the correlation model is not related to the actual anomalies. This is because the influence of destruction can be reduced based on the information on the above. Further, the reason is that the system monitoring apparatus 101 calculates the state where the posterior probability is maximum as shown in Equation 5, even if there is no threshold for determining normality or abnormality, the probability This is because the most appropriate state can be calculated.
  • the system monitoring apparatus 101 it is possible to specify the cause of the malfunction in the monitoring target.
  • the system monitoring apparatus 101 calculates the state of the sensor 120 based on the degree of abnormality and the relationship between the plurality of sensors 120.
  • FIG. 13 is a block diagram showing the configuration of the system monitoring apparatus 201 according to the second embodiment of the present invention.
  • the system monitoring apparatus 201 includes a determination unit 202, an abnormality degree calculation unit 203, a first degree calculation unit 204, a second degree calculation unit 205, and a state calculation unit 206.
  • the determination unit 202 receives a correlation model representing a relationship between a plurality of sets of time-series data (represented as “first time-series data”) measured in a first period (for example, a normal period). To do. Further, the determination unit 202 receives time-series data (represented as “second time-series data”) measured in a second period (for example, a monitoring period) regarding time-series data related to the received correlation model.
  • the set is an expression including time-series data measured in a certain period by a plurality of sensors of a certain type.
  • the determination unit 202 estimates the time series data by applying the received correlation model to the received second time series data, and calculates an error between the received second time series data and the estimated time series data. To do.
  • the determination unit 202 reads, for example, the time series ID associated with the correlation model based on the correlation model information as illustrated in FIG. 4, and the time series information as illustrated in FIG. Based on the above, a measurement item associated with the read time series ID is extracted. Next, the determination unit 202 estimates the time series data by applying the correlation model to the time series data measured by the extracted measurement item (sensor 120) in the second period.
  • the determination unit 202 determines whether or not the received correlation model is established based on whether or not the calculated error is equal to or greater than a predetermined threshold. For example, when the calculated error is equal to or greater than a predetermined threshold, the determination unit 202 determines that no correlation model holds for the time series data measured in the second period. In addition, when the calculated error is less than the predetermined threshold, the determination unit 202 determines that a correlation model is established for the time series data measured in the second period.
  • the determination unit 202 can be realized by using the destruction detection unit 107 in the system monitoring apparatus 101 according to the first embodiment.
  • the degree-of-abnormality calculation unit 203 establishes the second time-series data based on the number of received correlation models and the number of correlation models determined not to be associated with the time-series data measured in the second period.
  • the degree of abnormality representing the degree related to the relationship that is not (abnormal) is calculated.
  • the abnormality degree calculation unit 203 can be realized by the abnormality calculation unit 106 in the system monitoring apparatus 101 according to the first embodiment.
  • the first degree calculation unit 204 specifies the abnormality degree calculated by the abnormality degree calculation unit 203 when the second time series data is normal or abnormal based on the abnormality degree calculated by the abnormality degree calculation unit 203. A first degree that represents a certain level is calculated.
  • the first degree calculation unit 204 is a process in which the abnormality determination unit 109 in the system monitoring apparatus 101 according to the first embodiment calculates the value of p (x i
  • the process of calculating the first degree can be realized.
  • the second degree calculation unit 205 calculates a second degree that represents the degree to which the second time series data related to the correlation model are related.
  • the second degree calculation unit 205 is a process in which the abnormality determination unit 109 in the system monitoring apparatus 101 according to the first embodiment calculates the value of p (y m , y n ) according to Equation 8 based on the correlation model.
  • the process of calculating the second degree can be realized.
  • the state calculation unit 206 determines whether the first time series data is normal based on the first degree calculated by the first degree calculation unit 204 and the second degree calculated by the second degree calculation unit 205. Is calculated.
  • y 1 state calculation unit 206, the abnormality determination unit 109 in the system monitoring apparatus 101 based on a probabilistic model, such as illustrated in FIG. 9, for example, according to the procedure for obtaining the minimum cut, the equation 5 to the maximum , Y 2 ,..., Y N can be realized.
  • the system monitoring apparatus 201 it is possible to identify the cause of the malfunction in the monitoring target.
  • the system monitoring apparatus 201 calculates the state of the sensor 120 based on the degree of abnormality and the relationship between the plurality of sensors 120.
  • the system monitoring apparatus may be realized using at least two calculation processing apparatuses physically or functionally.
  • the system monitoring apparatus may be realized as a dedicated apparatus.
  • FIG. 14 is a diagram schematically illustrating a hardware configuration example of a calculation processing apparatus capable of realizing the system monitoring apparatus according to the first embodiment and the second embodiment.
  • the computer 20 includes a central processing unit (Central_Processing_Unit, hereinafter referred to as “CPU”) 21, a memory 22, a disk 23, and a nonvolatile recording medium 24.
  • the calculation processing device 20 further includes a communication interface (hereinafter, referred to as “communication IF”) 27 and a display 28.
  • the calculation processing device 20 may be connected to the input device 25 and the output device 26.
  • the calculation processing device 20 can transmit / receive information to / from other calculation processing devices and communication devices via the communication IF 27.
  • the non-volatile recording medium 24 is a computer-readable, for example, compact disc (Compact_Disc) or digital versatile disc (Digital_Versatile_Disc).
  • the nonvolatile recording medium 24 may be a universal serial bus memory (USB memory), a solid state drive (Solid_State_Drive), or the like.
  • the non-volatile recording medium 24 retains such a program without being supplied with power, and can be carried.
  • the nonvolatile recording medium 24 is not limited to the above-described medium. Further, the program may be carried via the communication network via the communication IF 27 instead of the nonvolatile recording medium 24.
  • the CPU 21 copies a software program (computer program: hereinafter simply referred to as “program”) stored in the disk 23 to the memory 22 and executes arithmetic processing.
  • the CPU 21 reads data necessary for program execution from the memory 22.
  • the CPU 21 displays the output result on the display 28.
  • the CPU 21 outputs an output result to the output device 26.
  • the CPU 21 reads the program from the input device 25.
  • the CPU 21 interprets and executes the system monitoring program (FIG. 5 or FIG. 6) in the memory 22 corresponding to the function (process) represented by each unit shown in FIG. 2 or FIG.
  • the CPU 21 sequentially performs the processes described in the above-described embodiments of the present invention.
  • the present invention can also be realized by such a system monitoring program. Furthermore, it can be understood that the present invention can also be realized by a computer-readable non-volatile recording medium in which the system monitoring program is recorded.
  • calculation processing device 21 CPU 22 Memory 23 Disk 24 Non-volatile recording medium 25 Input device 26 Output device 27 Communication IF 28 Display 101 System Monitoring Device 102 Index Input Unit 103 Information Creation Unit 104 Model Information Creation Unit 105 Probability Information Creation Unit 106 Abnormality Calculation Unit 107 Destruction Detection Unit 108 Abnormality Calculation Unit 109 Abnormality Determination Unit 110 Abnormality Location Output Unit 111 Storage Unit 112 Time series storage unit 113 Information storage unit 114 Model information storage unit 115 Probability information storage unit 116 Abnormal storage unit 117 Destruction model storage unit 118 Abnormality storage unit 119 Abnormal part storage unit 120 Sensor 121 Monitor object 122 Display unit 201 System monitoring device 202 Determination unit 203 Abnormality calculation unit 204 First degree calculation unit 205 Second degree calculation unit 206 State calculation unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Mathematical Physics (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Algebra (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Databases & Information Systems (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Evolutionary Biology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Probability & Statistics with Applications (AREA)
  • Operations Research (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Automation & Control Theory (AREA)
  • Computing Systems (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

システム監視装置（２０１）は、監視対象に関して、第１期間に測定された複数セットの第１時系列データに成り立つ関係を表す関係性が、第２期間に測定された該複数セットの第２時系列データについて成り立つか否かを判定する判定部（２０２）と、判定部（２０２）が成り立つと判定する該関係性と、判定部（２０２）が成り立たないと判定する該関係性とに基づき、該第２時系列データが異常である程度を表す異常度を算出する異常度算出部（２０３）と、該第２時系列データに関して算出された該異常度に基づき、該第２時系列データが正常または異常である場合において該異常度が特定の値である程度を表す第１程度を算出する第１程度算出部（２０４）と、該第１期間に関する該関係性に基づき、該複数セットの該第２時系列データが関連している程度を表す第２程度を算出する第２程度算出部（２０５）と、該第１程度と、該第２程度とに基づき、該第２時系列データが正常であるか異常であるかを求める状態算出部（２０６）とを有する。

Description

システム監視装置、システム監視方法、及び、システム監視プログラムが記録された記録媒体
　本発明は、監視対象に関する不具合を特定可能なシステム監視装置等に関する。
　原子力プラントや化学プラント等の大規模で複雑な物理システムに関して、温度計等のセンサ（検出端）を用いて、該物理システム等に関する状態値（測定値、性能値）は測定される。測定された状態値は、たとえば、測定に用いたセンサごとに、測定された時刻に関連付けされることにより、性能情報として保存される。性能情報から、ある期間における測定値が抽出されることにより、該性能情報に関する時系列データ（時系列な情報、時系列レコード）は抽出される。
　監視対象である物理システムを監視する場合には、たとえば、相関分析等の解析手法を用いて、該性能情報に含まれる複数の測定値の間に成り立つ関係性が解析される。相関分析は、多数のサーバや、通信ネットワーク機器を含む大規模な情報システムに関して、異常を検出する手法としても利用される。
　特許文献１に開示された運用管理装置は、異なる２つの性能情報（「第１性能情報」、「第２性能情報」と表す）から、それぞれ、物理システムが正常に稼働している期間における測定値を時系列データとして読み取る。該運用管理装置は、読み取った２つの時系列データの間に成り立つ数理的な関係式を導出することにより、相関モデルを作成する。該運用管理装置は、たとえば、第１性能情報から、物理システムを監視する監視期間における測定値を第１時系列データとして読み取り、第２性能情報から、該監視期間における測定値を第２時系列データとして読み取る。
　該運用管理装置は、作成した相関モデルを第１時系列データに適用することにより、第２時系列データを推定する。該運用管理装置は、読み取った第２時系列データと、推定した第２時系列データとを比較し、比較した結果に基づき、作成した相関モデルが監視期間における時系列データに関しても成り立つか否かを判定する。すなわち、該運用管理装置は、作成した相関モデルが、監視期間に関する時系列データに関しても維持されているか否かを判定する。
　特許文献２に開示された運用管理装置は、監視対象である装置に関して、それぞれ、複数の性能指標に関する測定値を測定し、測定した測定値が異常であるか否かを判定する。該運用管理装置は、測定値が異常であると判定する場合に、該測定値に関する性能指標を異常項目として抽出する。該運用管理装置は、それぞれの異常項目から、全ての監視対象である装置に関して抽出された異常項目を除外する。これにより、該運用管理装置は、複数のサーバが異常を検知した場合に、該異常の原因を特定するのに要する時間を短縮することができる。
　特許文献３に開示された運用管理装置は、センサ等の複数の被管理装置によって測定される複数の性能情報に関して時系列データの変化を導出し、導出した複数の時系列データに関する変化の間の関係性を表す相関モデルを算出するモデル生成部を有する。該運用管理装置は、さらに、新たに検出される該性能情報に関して時系列データを算出し、算出した時系列データに基づき、算出した相関モデルが成り立つか否かを判定する分析部を有する。これにより、該運用管理装置は、相関モデルが成り立つか否かに基づき、障害を検出(判定)することができる。
　特許文献４に開示された遠隔監視システムは、監視対象が正常に稼働している期間に、監視対象に関して測定される複数の測定値の間に成り立つ第１の相関関係と、一部の測定値間に成り立つ第２の相関関係とを求めるモデル構築部を有する。さらに、該遠隔監視システムは、監視対象に関して監視期間中に測定される測定値に、第１の相関関係と、第２の相関関係とを、それぞれ、適用し、算出される結果に基づき、監視対象が故障しているか否かを検知する検知部を有する。
特開２００９－１９９５３３号公報 国際公開第２０１１／０８３６８７号 特開２００９－２１１４７２号公報 特開２００６－１３５４１２号公報
　特許文献１乃至特許文献４に開示された装置は、少なくとも２つの時系列データの間における相関関係を算出するが、どの時系列データが、監視対象に関する不具合の要因であるのかを特定することはできない。
　そこで、本発明の主たる目的は、監視対象に関する不具合の要因を特定することが可能なシステム監視装置等を提供することである。
　前述の目的を達成するために、本発明の一態様において、システム監視装置は、
　監視対象に関して、第１期間に測定された複数セットの第１時系列データに成り立つ関係を表す関係性が、第２期間に測定された前記複数セットの第２時系列データについて成り立つか否かを判定する判定手段と、
　前記判定手段が成り立つと判定する前記関係性と、前記判定手段が成り立たないと判定する前記関係性とに基づき、前記第２時系列データが異常である程度を表す異常度を算出する異常度算出手段と、
　前記第２時系列データに関して算出された前記異常度に基づき、前記第２時系列データが正常または異常である場合において前記異常度が特定の値である程度を表す第１程度を算出する第１程度算出手段と、
　前記第１期間に関する前記関係性に基づき、前記複数セットの前記第２時系列データが関連している程度を表す第２程度を算出する第２程度算出手段と、
　前記第１程度と、前記第２程度とに基づき、前記第２時系列データが正常であるか異常であるかを求める状態算出手段と
　を備える。
　また、本発明の他の見地として、システム監視方法は、
　監視対象に関して、第１期間に測定された複数セットの第１時系列データに成り立つ関係を表す関係性が、第２期間に測定された前記複数セットの第２時系列データについて成り立つか否かを判定し、
　成り立つと判定された前記関係性と、成り立たないと判定する前記関係性とに基づき、前記第２時系列データが異常である程度を表す異常度を算出し、
　前記第２時系列データに関して算出された前記異常度に基づき、前記第２時系列データが正常または異常である場合において前記異常度が特定の値である程度を表す第１程度を算出し、
　前記第１期間に関する前記関係性に基づき、前記複数セットの前記第２時系列データが関連する程度を表す第２程度を算出し、
　前記第１程度と、前記第２程度とに基づき、前記第２時系列データが正常であるか異常であるかを求める。
　また、本発明の他の見地として、システム監視プログラムは、
　監視対象に関して、第１期間に測定された複数セットの第１時系列データに成り立つ関係を表す関係性が、第２期間に測定された前記複数セットの第２時系列データについて成り立つか否かを判定する判定機能と、
　前記判定機能によって成り立つと判定された前記関係性と、前記判定機能によって成り立たないと判定された前記関係性とに基づき、前記第２時系列データが異常である程度を表す異常度を算出する異常度算出機能と、
　前記第２時系列データに関して算出された前記異常度に基づき、前記第２時系列データが正常または異常である場合において前記異常度が特定の値である程度を表す第１程度を算出する第１程度算出機能と、
　前記第１期間に関する前記関係性に基づき、前記複数セットの前記第２時系列データが関連している程度を表す第２程度を算出する第２程度算出機能と、
　前記第１程度と、前記第２程度とに基づき、前記第２時系列データが正常であるか異常であるかを求める状態算出機能と
　をコンピュータに実現させる。
　さらに、同目的は、係るシステム監視プログラムを記録するコンピュータ読み取り可能な記録媒体によっても実現される。
　本発明に係るシステム監視装置等によれば、監視対象に関する不具合の要因を特定することができる。
本発明の各実施形態に係るシステム監視装置が参照する測定情報の一例を概念的に表す図である。 本発明の第１の実施形態に係るシステム監視装置が有する構成を示すブロック図である。 本発明の各実施形態に係るシステム監視装置が参照する時系列情報の一例を概念的に表す図である。 本発明の各実施形態に係るシステム監視装置が参照する相関モデル情報の一例を概念的に表す図である。 第１の実施形態に係るシステム監視装置が確率モデルを作成する処理の流れを示すフローチャートである。 第１の実施形態に係るシステム監視装置が、時系列データに関して異常であるか否かを判定する処理の流れを示すフローチャートである。 関連情報の一例を概念的に表す図である。 関連情報の一例を概念的に表す図である。 確率モデルの一例を概念的に表す図である。 関連情報の一例を概念的に表す図である。 異常度情報の一例を概念的に表す図である。 異常判定部が算出する判定情報を概念的に表す図である。 本発明の第２の実施形態に係るシステム監視装置が有する構成を示すブロック図である。 本発明の各実施形態に係るシステム監視装置を実現可能な計算処理装置のハードウェア構成例を、概略的に示すブロック図である。
　まず、図１を参照しながら、本願明細書において用いる用語を定義する。図１は、本発明の各実施形態に係るシステム監視装置が参照する測定情報の一例を概念的に表す図である。
　監視する対象を表す監視対象（被分析装置、被分析システム、情報システム、物理システム）に関して、たとえば、該監視対象を測定するセンサは、温度、室温、湿度等の指標（測定項目、性能指標）に関する値（測定値）を測定する。測定された値は、たとえば、システム監視装置に送信され、図１に例示されているような測定情報として格納される。図１は、本発明の各実施形態に係るシステム監視装置が参照する測定情報の一例を概念的に表す図である。
　図１に例示された測定情報によって、たとえば、センサが測定する測定項目（上部温度、室温、湿度等）に関する測定値と、該測定値が測定された日時と、該測定値が測定されたタイミングにおける監視対象の状態（正常、または、異常）とが関連付けされている。尚、図１において、下部温度、上部温度、及び、室温の単位は、摂氏温度（℃）である。また、湿度の単位は、「％」である。以降の説明において、単位に関しては、記載を省略する。図１に例示された測定情報によって、日付「２０１４／２／６」、時刻「０：００」、状態「正常」、下部温度「２３」、及び、上部温度「２８」等が関連付けされている。これは、日付「２０１４／２／６」の時刻「０：００」にて、センサが測定した上部温度が２８（℃）であり、センサが測定した下部温度が２３（℃）であり、かつ、監視対象が正常であることを表す。
　測定情報に基づき、特定の期間に関して、各測定値を時刻順に抽出することにより該測定値に関する時系列データ（時系列データセット、時系列な情報、時系列レコード）は、抽出される。たとえば、日付「２０１４／２／６」に関する下部温度を抽出することにより、下部温度に関する時系列データとして、「２３、２５、３０、２２」が抽出される。
　以降、時系列データセットを、単に、「時系列データ」とも表す。
　たとえば、状態「異常」に関連付けされた期間（２０１４／２／７の１２：００から２０１４／２／８の０：００まで）における湿度を抽出することにより、湿度に関する時系列データとして、「４６、４１、４３、４６」が抽出される。すなわち、抽出された時系列データは、監視対象が異常な状態である期間（異常期間）における室温に関する測定値を表す。
　たとえば、状態「正常」に関連付けされた期間（２０１４／２／６の０：００から２０１４／２／７の６：００まで）における室温を抽出することにより、室温に関する時系列データ「２２、２３、２５、２４、２２、２３」を抽出することができる。すなわち、該時系列データは、監視対象が正常な状態である（正常に稼働している）期間（正常期間）における室温に関する測定値を表す。
　相関モデルは、たとえば、正常期間における２つの測定値（たとえば、室温と下部温度）に関する時系列データに対して、一方の時系列データと、他方の時系列データとの間に成り立つ関係性を数理的に表すモデル（関係式）を表す。たとえば、相関モデル（異なる性能指標の、ある期間における相関）は、相関係数ＡｕｔｏＲｅｇｒｅｓｓｉｖｅ＿ｅＸｏｇｅｎｅｏｕｓ（ＡＲＸ）モデル等の数理的なモデルを含む。
　相関モデルの破壊とは、ある期間における時系列データに基づき算出される相関モデルが、該ある期間と異なる期間における時系列データに適用された場合に、推定される時系列データと、ある期間における時系列データとが乖離することを表す。乖離しているか否かに関する判定は、たとえば、推定される時系列データと、ある期間における時系列データとの差異（すなわち、推定誤差、予測誤差）が所定の閾値を超えているか否か（すなわち、所定の条件を満たしているか否か）に基づく。尚、破壊は、「ｂｒｅａｋ」，「ｄｅｓｔｒｕｃｔｉｏｎ」と表される。
　時系列データは、たとえば、監視対象の一例である情報処理システムに関する運用情報に含まれる、演算装置の使用率、メモリの使用率、ディスクアクセスの頻度等の測定値に関する時系列データであってもよい。また、時系列データは、たとえば、消費電力量や演算回数等の測定値に関する時系列データであってもよい。時系列データは、たとえば、情報処理システムを稼働している期間に測定される性能指標等の値に関する時系列データであってもよい。また、時系列データは、必ずしも、数値である必要はなく、記号、符号等であってもよい。時系列データは、上述した例に限定されない。
　次に、本発明を実施する実施形態について図面を参照しながら詳細に説明する。
　＜第１の実施形態＞
　本実施形態においては、監視対象における異常な箇所（要因）を特定する場合の例を用いながら、本実施形態に係るシステム監視装置について説明する。尚、本実施形態においては、監視対象を測定しているセンサを介して、該監視対象に関する複数の測定値（たとえば、温度、湿度等）を測定できるとする。
　図２を参照しながら、本発明の第１の実施形態に係るシステム監視装置１０１が有する構成について説明する。図２は、本発明の第１の実施形態に係るシステム監視装置１０１が有する構成を示すブロック図である。
　本実施形態に係るシステム監視装置１０１は、情報作成部（モデル作成部）１０３と、異常算出部１０６とを有する。システム監視装置１０１は、さらに、指標入力部１０２と、異常箇所出力部１１０とを有してもよい。システム監視装置１０１は、時系列記憶部１１２と、情報記憶部１１３と、異常記憶部１１６とを含む記憶部１１１に接続されていてもよい。
　第１の実施形態に係るシステム監視装置１０１は、監視対象１２１に関して、複数のセンサ（被分析装置）１２０によって測定された性能、または、測定値等が格納されている記憶部１１１を読み取ることができる。第１の実施形態に係るシステム監視装置１０１は、センサ１２０が送信する情報を受信する態様によって実現されていてもよい。以降の説明においては、説明の便宜上、システム監視装置１０１は、センサ１２０が送信する情報を受信することができるとする。
　センサ１２０は、たとえば、監視対象１２１に関する性能等を、一定の時間間隔にて、測定値として測定する。センサ１２０は、監視対象１２１に関して測定した測定値をシステム監視装置１０１に送信する。
　測定値は、たとえば、監視対象１２１に関して測定される、中央演算処理装置（ＣＰＵ）における使用率、メモリに関する使用率、ディスクアクセスに関する頻度等の運用情報や、消費電力量、演算回数等の性能情報等を表す。測定値は、たとえば、整数や小数等の数値、「ＯＮ」、「ＯＦＦ」等の符号、または、「Ｔｒｕｅ」、「Ｆａｌｓｅ」等の記号を用いて表される。
　指標入力部１０２は、センサ１２０が送信する測定値を受信し、たとえば、図１に例示されているような測定情報として、受信した測定値を記憶部１１１に格納する。指標入力部１０２は、該測定情報（図１に例示）から、特定の（たとえば、状態が正常である）期間における測定値を時系列データとして抽出し、抽出した時系列データを時系列記憶部１１２に格納する。さらに、指標入力部１０２は、たとえば、該測定情報から、監視期間（ある期間）における測定値を時系列データとして抽出し、抽出した時系列データを、図３に例示されているような時系列情報として時系列記憶部１１２に格納する。図３は、本発明の各実施形態に係るシステム監視装置が参照する時系列情報の一例を概念的に表す図である。
　図３に例示された時系列情報を参照すると、時系列データを識別する時系列識別子（以降、識別子を「ＩＤ」と表す）と、測定項目と、監視対象に関する状態と、時系列データとが関連付けされている。たとえば、時系列ＩＤ「１」と、測定項目「温度」と、状態「正常」と、時系列データ「４０、４５、４１、・・・」とが関連付けされている。これは、時系列データ「４０、４５、４１、・・・」を識別可能な時系列ＩＤが「１」であることを表す。さらに、これは、該時系列データに関して、測定項目が温度であり、監視対象に関する状態が正常である場合に測定された測定値であることを表す。
　図２を参照すると、情報作成部１０３は、２つの時系列データにおける関係性を表す相関モデル等を作成するモデル情報作成部１０４を有する。さらに、情報作成部１０３は、作成した相関モデルに基づき、該時系列データに関して正常であるか否かを表す状態を算出可能な確率モデル（図９を参照しながら後述する）を作成する確率情報作成部１０５を有する。
　モデル情報作成部１０４は、時系列記憶部１１２から、監視対象１２１が正常に稼働している期間における測定項目（センサ１２０）に関する時系列データを読み取る。モデル情報作成部１０４は、読み取った時系列データのうち、２つの時系列データ間に関する組み合わせに対して、該組み合わせに関して成り立つ関係性（たとえば、相関関係）を、相関モデルとして作成する。モデル情報作成部１０４は、作成した相関モデルを、図４に例示されているような相関モデル情報として、モデル情報記憶部１１４に格納する。図４は、本発明の各実施形態に係るシステム監視装置が参照する相関モデル情報の一例を概念的に表す図である。
　図４を参照すると、相関モデル情報によって、相関モデルを一意に識別可能な相関モデルＩＤと、相関モデルとが関連付けされている。たとえば、相関モデル情報によって、相関モデルＩＤ「１」と、相関モデル「（時系列データ１）＝（時系列データ６）×３＋１」とが関連付けされている。これは、相関モデルＩＤ「１」に関して、時系列ＩＤ「１」が表す時系列データと、時系列ＩＤ「６」が表す時系列データとに基づき算出された相関モデルが「（時系列データ１）＝（時系列データ６）×３＋１」であることを表す。モデル情報作成部１０４は、任意の時系列データ間における組み合わせに関して、該相関モデル（関係性）を作成してもよい。相関モデルを作成する具体的な処理（たとえば、最小二乗法）については後述する。
　確率情報作成部１０５は、モデル情報記憶部１１４に格納されている相関モデルを読み取り、読み取った相関モデルに基づき、時系列データに関して正常であるか否かを表す状態を算出可能な確率モデル（図９を参照しながら後述する）を作成する。確率情報作成部１０５が確率モデルを作成する処理については、図５を参照しながら後述する。
　図２を参照すると、異常算出部１０６は、破壊検出部１０７と、異常度算出部１０８と、異常判定部１０９とを有する。
　破壊検出部１０７は、たとえば、時系列記憶部１１２から、監視期間における測定値に関する時系列データを読み取る。破壊検出部１０７は、たとえば、モデル情報記憶部１１４から、該時系列データに関連する相関モデル（図４に例示）を読み取る。破壊検出部１０７は、読み取った相関モデルに関連する時系列データを時系列記憶部１１２から読み取ってもよい。
　さらに、破壊検出部１０７は、読み取った相関モデルに基づき作成された確率モデル（図９を参照しながら後述する）を確率情報記憶部１１５から読み取る。破壊検出部１０７は、読み取った時系列データ、読み取った相関モデル、及び、読み取った確率モデルに基づき、ある期間における異常の原因（要因）を検出する。
　破壊検出部１０７は、時系列記憶部１１２から、ある期間における測定値に関する時系列データを読み取る。破壊検出部１０７は、読み取った時系列データに関連する相関モデル（図４に例示）を、モデル情報記憶部１１４から読み取る。破壊検出部１０７は、読み取った各相関モデルが、読み取った時系列データに関して成立しているか否かを判定する。たとえば、破壊検出部１０７は、読み取った相関モデルに基づき、該ある期間における測定値に関する時系列データを推定し、推定した時系列データと、読み取った時系列データとの差異（予測誤差）を算出する。
　破壊検出部１０７は、算出した予測誤差が所定の閾値を超える（すなわち、予測誤差が所定の条件を満たさない）場合に、読み取った相関モデルが成立しない（維持されなくなった、破壊された）と判定する。破壊検出部１０７は、破壊された相関モデルを、破壊モデルとして破壊モデル記憶部１１７に格納する。たとえば、破壊検出部１０７は、破壊モデルを表す相関モデルＩＤを破壊モデル記憶部１１７に格納してもよい。
　異常度算出部１０８は、破壊モデル記憶部１１７から、破壊モデルを読み取る。次に、異常度算出部１０８は、読み取った破壊モデルに基づき、時系列データが破壊モデルに関連している程度を表す異常度を算出する。異常度を算出する方法に関しては、図７を参照しながら後述する。
　異常判定部１０９は、確率情報記憶部１１５から確率モデル（図９を参照しながら後述する）を読み取る。異常判定部１０９は、破壊モデル記憶部１１７から、読み取った確率モデルに関する破壊モデルを読み取る。さらに、異常判定部１０９は、異常度記憶部１１８から節点（センサ）に関する異常度を読み取る。異常判定部１０９は、読み取った異常度に最も適合する状態を推定することにより、異常が生じる要因であるセンサを特定する。異常判定部１０９が、異常が生じる要因となるセンサを特定する処理手順に関しては、図６を参照しながら後述する。
　情報記憶部１１３は、モデル情報作成部１０４が作成した相関モデルを記憶可能なモデル情報記憶部１１４と、確率情報作成部１０５が作成した確率モデル（図９を参照しながら後述する）を記憶可能な確率情報記憶部１１５とを有する。
　異常記憶部１１６は、破壊検出部１０７が作成した破壊モデルを記憶可能な破壊モデル記憶部１１７と、異常度算出部１０８が算出した異常度を記憶可能な異常度記憶部１１８とを有する。さらに、異常記憶部１１６は、異常判定部１０９が特定した異常の要因を表す時系列データに関するセンサを、異常箇所として記憶可能な異常箇所記憶部１１９を有する。
　異常箇所出力部１１０は、異常箇所記憶部１１９から、異常の要因を表す項目を読み取り、読み取った項目を出力する。
　図５を参照しながら、第１の実施形態に係るシステム監視装置１０１における処理について説明する。図５は、第１の実施形態に係るシステム監視装置１０１が確率モデルを作成する処理の流れを示すフローチャートである。
　まず、図５に示されたフローチャートを参照しながら、システム監視装置１０１が確率モデルを作成する処理について説明する。
　指標入力部１０２は、センサ１２０が送信する測定値（測定情報）を受信する（ステップＳ１０１）。指標入力部１０２は、たとえば、受信した測定値を時刻順に並べることにより、図１に例示されているような測定情報を作成し、作成した測定情報を記憶部１１１に格納する。次に、指標入力部１０２は、測定情報に基づき、ある期間における測定値を時系列データとして抽出することにより、図３に例示されているような時系列情報を作成し、作成した時系列情報を時系列記憶部１１２に格納する（ステップＳ１０２）。
　たとえば、すべてのセンサ１２０から測定値を受信する処理を実行する場合に、指標入力部１０２は、すべてのセンサ１２０から測定値を受信したか否かを判定する（ステップＳ１０３）。まだ、受信していない測定値がある場合に（ステップＳ１０３にてＮＯ）、指標入力部１０２は、ステップＳ１０１及びステップＳ１０２に示された処理を繰り返す。
　すべての測定値を受信した場合に（ステップＳ１０３にてＹＥＳ）、モデル情報作成部１０４は、時系列記憶部１１２に格納されている時系列データを複数個、読み取る（ステップＳ１０４）。
　モデル情報作成部１０４は、読み取った複数個の時系列データ間の関係性を表す相関モデルを作成する（ステップＳ１０５）。たとえば、時系列データｘと、時系列データｙとの関係が、「ｙ＝ａ×ｘ＋ｂ」（ただし、ａ及びｂは、定数を表す）で表現される場合に、モデル情報作成部１０４は、読み取った複数の時系列データに基づき、最小二乗法等の手順に従い、係数ａ及びｂを算出する。モデル情報作成部１０４は、算出した相関モデルを、モデル情報記憶部１１４に格納する（ステップＳ１０６）。
　たとえば、時系列記憶部１１２に格納されている、すべての時系列データ間における組み合わせに関して、相関モデルを作成する場合に、モデル情報作成部１０４は、すべての時系列データ間における組み合わせに関して相関モデルを作成したか否かを判定する（ステップＳ１０７）。相関モデルを作成していない組み合わせが存在する場合に（ステップＳ１０７にてＮＯ）に、モデル情報作成部１０４は、ステップＳ１０５及びステップＳ１０６に示された処理を繰り返す。
　たとえば、時系列データに関する全ての組み合わせに関して相関モデルを作成した場合に（ステップＳ１０７にてＹＥＳ）、確率情報作成部１０５は、モデル情報記憶部１１４から相関モデルを読み取る（ステップＳ１０８）。
　確率情報作成部１０５は、読み取った相関モデルに基づき、時系列データに関して正常であるか異常であるかを表す状態を算出可能な確率モデル（図９を参照しながら後述する）を作成する（ステップＳ１０９）。すべての相関モデルに関して確率モデルを作成する場合に、確率情報作成部１０５は、モデル情報記憶部１１４からすべての相関モデルを読み取り、読み取った相関モデルに基づき、確率モデルを作成してもよい。確率情報作成部１０５は、作成した確率モデルを確率情報記憶部１１５に格納する。尚、確率モデル及び確率モデルを作成する処理に関しては図９を参照しながら後述する。
　次に、図６を参照しながら、第１の実施形態に係るシステム監視装置１０１が、各測定値（時系列データ）に関して異常であるか否かを判定する処理について説明する。図６は、第１の実施形態に係るシステム監視装置１０１が、時系列データに関して異常であるか否かを判定する処理の流れを示すフローチャートである。
　以降の説明においては、説明の便宜上、モデル情報記憶部１１４には、相関モデルが格納されており、確率情報記憶部１１５には、確率モデルが格納されているとする。また、指標入力部１０２は、ある期間（監視期間）における測定値をセンサ１２０から受信するとする。尚、指標入力部１０２は、時系列記憶部１１２から、ある期間における時系列データを読み取ってもよい。
　指標入力部１０２は、ある期間における測定値（性能情報、観測値）を、センサ１２０から受信する（ステップＳ２０１）。指標入力部１０２は、たとえば、受信した測定値を、時刻順に時系列データとして時系列記憶部１１２に格納する（ステップＳ２０２）。
　たとえば、すべてのセンサ１２０から測定値を受信する場合に、指標入力部１０２は、すべてのセンサ１２０から測定値を受信したか否かを判定する（ステップＳ２０３）。受信していないセンサ１２０がある場合に（ステップＳ２０３にてＮＯ）、指標入力部１０２は、ステップＳ２０１及びステップＳ２０２に示された処理を繰り返す。
　すべてのセンサ１２０から測定値を受信した場合に（ステップＳ２０３にてＹＥＳ）、破壊検出部１０７は、図４に例示されているような相関モデル情報を記憶可能なモデル情報記憶部１１４から相関モデルを読み取る。
　破壊検出部１０７は、読み取った相関モデル（図４に例示）に関連する時系列データ（図３に例示）を、時系列記憶部１１２から読み取る（ステップＳ２０４）。たとえば、破壊検出部１０７は、相関モデルを一意に識別可能な相関モデルＩＤ「２」が表す相関モデルに関して、時系列ＩＤ「２」が表す時系列データ、及び、時系列ＩＤ「５」が表す時系列データを読み取る。たとえば、図３を参照すると、時系列ＩＤ「２」が表す時系列データは、時系列ＩＤ「２」に関連付けされた測定項目（すなわち、センサ）「湿度」に関する、ある期間における時系列データである。
　破壊検出部１０７は、読み取った相関モデルが、ある期間における時系列データに関して成り立つか否かを判定する（ステップＳ２０５）。たとえば、破壊検出部１０７は、ある期間における時系列データ（たとえば、時系列ＩＤ「５」）に、読み取った相関モデル（図４における相関モデルID「２」に例示）を適用することにより、時系列データ（たとえば、時系列ＩＤ「２」）を推定する。破壊検出部１０７は、ある期間における時系列データと、推定した時系列データとの誤差を算出し、算出した誤差に基づき、読み取った相関モデルが成り立つか否かを判定する。
　ある期間における時系列データに関して相関モデルが成り立たない（成立しない）場合に（ステップＳ２０５にてＮＯ）、破壊検出部１０７は、読み取った相関モデルを、ある期間における時系列データに関して成立しないことを表す破壊モデルに設定する。破壊検出部１０７は、該破壊モデルを、破壊モデル記憶部１１７に格納する（ステップＳ２０６）。
　すべての相関モデルに関して相関モデルが成立しているか否かを判定する場合に、破壊検出部１０７は、すべての相関モデルについて、相関モデルが成立しているか否かを判定する（ステップＳ２０７）。すなわち、破壊検出部１０７は、すべての相関モデルについて、ある期間における時系列データに基づき、相関破壊が生じているのか否かを判定する。
　まだ、相関破壊が生じているのか否かが判定されていない相関モデルが存在する場合に（ステップＳ２０７にてＮＯ）、破壊検出部１０７は、ステップＳ２０４乃至ステップＳ２０６に示された処理を繰り返す。
　すべての相関モデルについて相関破壊が生じているのか否かを判定した場合に（ステップＳ２０７にてＹＥＳ）、破壊検出部１０７は、破壊モデル記憶部１１７を参照する等の処理により、破壊モデルが存在するのか否かを判定する（ステップＳ２０８）。
　破壊モデルが存在しない場合に（ステップＳ２０８にてNO）、システム監視装置１０１は、「異常箇所なし」であるメッセージを出力（たとえば、表示）する（ステップＳ２１２）。
　破壊モデルが存在する場合に（ステップＳ２０８にてYES）、異常度算出部１０８は、相関モデルが破壊モデルであるか否か等に基づき、時系列データに関して異常度を算出する（ステップＳ２０９）。尚、異常度、及び、異常度を算出する処理に関しては、図７を参照しながら後述する。
　異常判定部１０９は、確率情報記憶部１１５から、確率モデル（図９に例示）を読み取る（ステップＳ２１０）。異常判定部１０９は、異常度算出部１０８が算出した異常度と、読み取った確率モデルに基づき、確率モデルに含まれている各節点（たとえば、センサ１２０）が異常であるか否かを算出する（ステップＳ２１１）。尚、確率モデルの詳細については、図９を参照しながら後述する。
　異常箇所出力部１１０は、たとえば、異常判定部１０９が異常であると判定した時系列データに関する項目（箇所、センサ１２０）を出力する（ステップＳ２１３）。
　次に、一例を参照しながら、相関モデル、確率モデル、及び、破壊モデルについて詳細に説明する。まず、相関モデル、及び、相関モデルを作成する処理について説明する。
　説明の便宜上、２つの時系列データは、時系列データｘ、時系列データｙであるとする。また、時系列データｘと、時系列データｙとの関係性は、相関モデル「ｙ＝ａ×ｘ＋ｂ」（ただし、ａ、ｂは、定数を表す）にて表されるとする。
　モデル情報作成部１０４は、読み取った時系列データ（たとえば、正常期間における時系列データ）に基づき、相関モデルに関する誤差の二乗和を最小にする手順（すなわち、最小二乗法）に従い、定数「ａ、ｂ」を算出する。モデル情報作成部１０４は、算出した定数「ａ、ｂ」に関して、たとえば、図４に例示されているような相関モデル情報を作成し、作成した相関モデル情報をモデル情報記憶部１１４に格納する。尚、ｘを入力とした場合におけるｙの近似値（予測値）ｚは、「ａ×ｘ＋ｂ」に従い算出することができ、また、誤差は、ｙとｚとの差異として算出することができる。
　モデル情報作成部１０４は、さらに、誤差の二乗和が所定の条件を満たすか否か（たとえば、誤差の二乗和が所定の閾値以下であるか否か）に応じて、算出した相関モデルが適切であるか否かを判定してもよい。たとえば、モデル情報作成部１０４は、誤差の二乗和が所定の閾値よりも大きい場合に、算出した相関モデルが時系列データを推定する相関モデルとして適切でないと判定する。この場合に、モデル情報作成部１０４は、該相関モデルをモデル情報記憶部１１４に格納しなくてもよい。
　また、モデル情報作成部１０４は、時系列データを推定する相関モデルとして適切な相関モデルを概念的に表す関連情報（図７）を作成してもよい。図７は、関連情報の一例を概念的に表す図である。
　図７に例示された関連情報において、複数の節点（ノード、○に囲まれた数字）と、節点を接続する枝（エッジ、数字を結ぶ線）とが示されている。節点は、ある時系列データ（または、該時系列データを算出するセンサ１２０）を表す。枝は、該枝の両端における節点が表す時系列データの間に成り立つ相関モデルが、時系列データを推定する相関モデルとして適切であることを表す。モデル情報作成部１０４は、上述した誤差の二乗和が所定の閾値よりも大きいか否かに応じて、該相関モデルに関連する時系列データ（または、該時系列データを算出するセンサ１２０）を表す２つの節点の間に枝を設定する。
　関連情報においては、たとえば、図８に示されているように、センサ（○に囲まれたアラビア数字）と、時系列データ（○に囲まれたローマ数字）とが、それぞれ、節点として表されてもよい。図８は、関連情報の一例を概念的に表す図である。
　図８に例示された関連情報において、センサを表す節点は、時系列データを表す節点に隣接している。これは、センサ（○に囲まれたアラビア数字）が、該節点に隣接する節点（○に囲まれたローマ数字）にて表される時系列データを測定することを表す。また、○に囲まれたアラビア数字にて表す節点間を繋ぐ枝は、該節点が表すセンサが測定する時系列データ間における相関モデルに関する誤差の二乗和が、所定の条件を満たしていることを表す。
　すなわち、図７及び図８に例示された関連情報において、枝の両端に接続する節点は、該節点が表す時系列データが所定の条件を満たす関係性（相関性）を有することを表す。
　次に、図９を参照しながら、確率モデル、及び、確率モデルを作成する処理について説明する。図９は、確率モデルの一例を概念的に表す図である。
　確率モデルは、作成した相関モデル（関連情報、図７、図８に例示）に基づき算出される。確率モデルにおける節点は、図７に示された節点（時系列データ、または、センサを表す）と、２つの節点（すなわち、節点Ｓと節点Ｄ）とを含む。尚、説明の便宜上、図９においては、節点２、節点６、節点７、及び、該３つの節点を結ぶ枝の記載が省略されている。また、確率モデルにおける枝は、作成した関連情報における枝（すなわち、所定の条件を満たす相関モデル）と、節点Ｓ及び関連情報（図７に例示）における各節点を結ぶ枝と、節点Ｄ及び関連情報における各節点を結ぶ枝とを含む。
　説明の便宜上、節点Ｓ及び関連情報における各節点を結ぶ枝を第２枝と表し、節点Ｄ及び関連情報における各節点を結ぶ枝を第１枝と表し、関連情報（図７に例示）における各節点を結ぶ枝を第３枝と表すとする。節点Ｓを、第２節点と表すこともある。節点Ｄを、第３節点と表すこともある。また、関連情報（図７に例示）に含まれる節点を、第１節点と表すこともある。
　確率モデル内の各枝は、後述する処理に従い、重みが付与される。たとえば、第２枝、及び、第３枝に付与される重みは、上述した異常度に基づく重みが付与される。また、たとえば、第１枝に付与される重みは、該枝が存在するか否かに基づく重みが付与される。重みを付与する処理については後述する。
　確率モデルにおける枝の重みについて説明するにあたり、本実施形態にて用いるマルコフ確率場について説明する。
　マルコフ確率場は、相互に隣接している節点のみが確率的に影響を及ぼし合うという確率モデルである。
　たとえば、作成した確率モデルが、マルコフ確率場であることを仮定する。節点をｖと表し、確率モデルに含まれる節点の集合をＶと表すとする。節点の集合Ｖのうち、節点ｖ以外の節点の集合を「Ｖ＼｛ｖ｝」と表すとする。さらに、節点ｖに隣接している節点の集合をTで表すとする。
　マルコフ確率場である場合、隣接している節点のみが確率的に影響を及ぼし合うので、式１が成立する。すなわち、
　　　ｐ（ｖ｜Ｖ＼｛ｖ｝）＝ｐ（ｖ｜T）・・・（式１）、
　（ただし、ｐは確率を表す。「｜」は条件付き確率を表す）。
　たとえば、図８に例示された関連情報に関する確率モデルにて、節点２は、節点１、節点３、節点４、節点５、節点６、節点７、及び、節点「ＩＩ」に隣接している。節点２は、節点８、及び、節点９等の節点に隣接していない。この結果、マルコフ確率場であることを仮定する場合には、式２が成立する。すなわち、
　　　ｐ（２｜Ｖ＼｛２｝）＝ｐ（２｜ＩＩ，１，３，４，５，６，７）・・・（式２）。
　次に、図７に例示された関連情報を参照しながら、異常度、及び、異常度を算出する処理について詳細に説明する。
　モデル情報作成部１０４が図７に例示された関連情報を作成する場合に、破壊検出部１０７は、上述したように、該関連情報に含まれる枝が表す相関モデルが、それぞれ、ある期間における時系列データに関して成り立つか否かを判定する。
　説明の便宜上、破壊検出部１０７は、以下の９つの枝を含む相関モデルに関して、ある期間における時系列データに対して成り立たないと判定したとする。すなわち、
　　　節点３及び節点５間、
　　　節点３及び節点６間、
　　　節点６及び節点７間、
　　　節点２及び節点５間、
　　　節点５及び節点７間、
　　　節点２及び節点７間、
　　　節点８及び節点９間、
　　　節点１及び節点４間、
　　　節点１及び節点７間。
　この場合、破壊モデルである相関モデルを区別する（点線を用いて表す等）態様により、破壊検出部１０７は、図１０に例示されているような関連情報を作成してもよい。図１０は、関連情報の一例を概念的に表す図である。
　たとえば、関連情報における節点ｘに関する異常度Ａを、式３に従い算出することもできる。すなわち、
　　　（異常度Ａ）＝（ｘに接続している破壊モデルを表す枝数）÷（ｘに接続しているすべての枝数）・・・（式３）。
　すなわち、式３に例示した異常度Ａは、節点ｘに接続している枝のうち、破壊モデルを表す枝の割合を表している。たとえば、図１０における節点７に関する異常度は、式３に従い、約０．６６７（＝４÷６）と算出することができる。
　破壊検出部１０７は、たとえば、関連情報における節点に関する異常度を算出し、算出した異常度と、該節点を表す節点ＩＤ（時系列ＩＤ、または、測定項目（指標））とを関連付けすることにより、図１１に例示されているような異常度情報を作成する。図１１は、異常度情報の一例を概念的に表す図である。尚、図１１に例示された異常度情報における異常度は、図１０に例示された関連情報に基づき算出された異常度ではなく、説明の便宜上、設定された異常度である。
　異常度情報によって、節点ＩＤ（言い換えれば、時系列ＩＤ、または、測定項目（指標）等）と、該節点ＩＤが表す節点の異常度とは関連付けされている。たとえば、図１１に例示された異常度情報によって、節点ＩＤ「１」は、異常度「０．３３３３３３」に関連付けされている。これは、破壊検出部１０７が、節点ＩＤ「１」が表す節点に関して、たとえば、式３に従い算出する異常度が、「０．３３３３３３」であることを表す。
　次に、確率モデルにおける第２枝、第１枝、及び、第３枝に重みを付与する処理、及び、異常判定部１０９が、時系列データを測定するセンサ１２０に関して異常であるか否かを判定する処理について説明する。
　説明の便宜上、節点数はＮであるとする。また、節点ｉ（ただし、１≦ｉ≦Ｎ）に関する異常度をｘｉと表し、節点ｉに関する状態をｙｉと表すとする。すなわち、ｙｉは、正常（たとえば、０）であるか、異常（たとえば、１）であるかを識別可能なラベルを表すとする。
　異常判定部１０９は、異常度がｘｉ（ただし、１≦ｉ≦Ｎ）である場合に、たとえば、最も高い確率にて生じるｙｉ（ただし、１≦ｉ≦Ｎ）を算出する。すなわち、異常判定部１０９は、事後確率ｐ（ｙ１，ｙ２，・・・，ｙＮ｜ｘ１，ｘ２，・・・，ｘＮ）を最大にするｙ１，ｙ２，・・・，ｙＮを算出する。
　ベイズの定理に従えば、ｐ（ｙ１，ｙ２，・・・，ｙＮ｜ｘ１，ｘ２，・・・，ｘＮ）を、式４に変形することができる。ただし、∝は、比例関係を表す。
Figure JPOXMLDOC01-appb-I000001
　確率モデルがマルコフ確率場であることを仮定すると、図９に例示されているような確率モデルにおいて、各節点は、該節点に隣接している節点のみに確率的に影響を及ぼし合う。式４の最右辺の対数は、式５で与えられる。ただし、対数関数の底は、たとえば、ネイピア数である。
Figure JPOXMLDOC01-appb-I000002
　εは、確率モデルにおける枝（エッジ）の集合を表す。
　異常判定部１０９は、式５に従い算出される値が最大である場合におけるｙ１，ｙ２，・・・，ｙＮを求める。尚、「式５×（－１）」は、エネルギー関数と呼ばれる。式５に対して、ｐ（ｘｉ｜ｙｉ）、及び、ｐ（ｙｍ，ｙｎ）を与えることにより、式５を最大にするｙ１，ｙ２，・・・，ｙＮは、重み付けされたグラフに関する最大流を求める問題に帰着させることができる。すなわち、式５を最大にするｙ１，ｙ２，・・・，ｙＮは、算出した重み付けされたグラフを２つに分離する場合に、カットする重みを最小にする最小カットを求める問題に帰着させることができる。
　この場合に、式５を最大にするｙ１，ｙ２，・・・，ｙＮを求める問題は、たとえば、図９に例示された確率モデルに基づき、節点Ｓから節点Ｄに至る最大流を求める問題に帰着される。すなわち、該問題は、切断される枝の重みを最小にしつつ、図９に例示されたグラフを２つに分離する最小カット問題に帰着される。この場合に、ｐ（ｘｉ｜ｙｉ）は、確率モデルにおける第２枝及び第３枝に関する重みに対応する。また、この場合に、ｐ（ｙｍ，ｙｎ）は、確率モデルにおける第１枝に関する重みに対応する。
　ここで、ｐ（ｘｉ｜ｙｉ）を規定する確率分布として、たとえば、式６に示された確率密度を用いて定義されるベータ分布や、式７に示された確率密度を用いて定義されるガンマ分布を用いることができる。
Figure JPOXMLDOC01-appb-I000003

Figure JPOXMLDOC01-appb-I000004
　ただし、Γはガンマ関数を表す。また、「／」は、除算を表す。また、ａ、ｂ、ｋ、及び、θは、定数を表す。
　すなわち、ｐ（ｘｉ｜ｙｉ）は、式６または式７におけるｘを異常度として設定した場合に算出される値である。たとえば、異常判定部１０９は、節点に関する異常度が大きな値である場合に、式６に従い算出される大きな値をｐ（ｘｉ｜ｙｉ）として設定してもよい。また、たとえば、異常判定部１０９は、節点に関する異常度が小さな値である場合に、式６に従い算出される小さな値をｐ（ｘｉ｜ｙｉ）として設定してもよい。
　以降、ｐ（ｘｉ｜ｙｉ）を第１程度と表すこともある。第１程度は、節点（時系列データ、センサ）が特定の状態である場合に、異常度が特定の値である程度（確率）を表す。すなわち、第１程度は、たとえば、節点（時系列データ、センサ）が正常である場合に、異常度が特定の値である程度（確率）を表す。また、第１程度は、たとえば、節点（時系列データ、センサ）が異常である場合に、異常度が特定の値である程度（確率）を表す。
　たとえば、式３に従い異常度を算出した場合に、異常度は、０以上１以下の値である。一方、ベータ分布に関する入力は、０以上１以下の値でなければならない。したがって、異常判定部１０９は、式３に従い異常度を算出する場合に、式６に示されたベータ分布に従いｐ（ｘｉ｜ｙｉ）を算出してもよい。また、異常度が、０以上１以下でない場合に、異常判定部１０９は、式７に示されたガンマ分布に従い、ｐ（ｘｉ｜ｙｉ）を算出してもよい。
　また、異常判定部１０９は、式６に従いｐ（ｘｉ｜ｙｉ）を算出する場合に、定数ａ、及び、定数ｂを、異常度の平均と、該異常度の分散とに基づき算出してもよい。異常判定部１０９は、式７に従いｐ（ｘｉ｜ｙｉ）を算出する場合に、最尤推定する手順に従い、定数ｋ、及び、定数θを算出してもよい。
　また、ｐ（ｙｍ，ｙｎ）を規定するモデルとして、式８に示されたイジング（Ｉｓｉｎｇ）モデルを用いることができる。
Figure JPOXMLDOC01-appb-I000005
　ただし、ｅは、自然対数の底（ネイピア数）を表す。Ｗｍ，ｎは、節点ｍと、節点ｎとが関係している程度を表す。
　尚、イジングモデルは、相互に隣接している複数の節点（たとえば、節点ｍと、節点ｎ）は、ｙｍ及びｙｎが同じ値になりやすいという性質を有する。
　式８に従い算出されるｐ（ｙｍ，ｙｎ）は、たとえば、相互に隣接している節点に関するｙｍ及びｙｎが同じであるのか、異なっているのかに応じて、算出される値である。たとえば、式８に関して、ｙｍ及びｙｎが同じ値である場合には、ｙｍ及びｙｎが異なる値である場合よりも高い値を算出する。
　以降、ｐ（ｙｍ，ｙｎ）を第２程度と表すこともある。すなわち、第２程度は、節点（時系列データ、センサ）が相互に関連する程度を表す。
　上述したように、異常判定部１０９は、図９に例示されているような確率モデルに含まれる枝の重みを算出し、算出した重み付きの確率モデルに、最大流問題を解くアルゴリズムを適用することにより、図１２に例示されているようなｙ１，ｙ２，・・・，ｙＮを求める。図１２は、異常判定部１０９が算出する判定情報を概念的に表す図である。
　尚、異常判定部１０９は、図９に例示された確率モデル（グラフ）を表示部１２２に表示してもよい。また、異常判定部１０９は、グラフに含まれる枝の近傍に、該枝に関する重みを表示する態様により、表示部１２２に該確率モデルを表示してもよい。
　図１２に例示された判定情報によって、節点ＩＤ「２」は、状態「正常」に関連付けされている。これは、上述した処理に従い、異常判定部１０９が節点ＩＤ「２」に関して算出された状態が正常であることを表す。節点ＩＤは、図１１に関する説明と同様に、時系列ＩＤ、測定項目、または、性能指標を識別可能な識別子を表す。
　システム監視装置１０１は、上述した処理を実行することにより、たとえば、相関破壊が集中している節点ＩＤ「７」に関する該時系列データを異常と判定する。また、システム監視装置１０１は、節点ＩＤ「５」に関して、監視対象１２１における異常とは無関係な相関破壊が起きている場合であっても異常とは判定しない。さらに、システム監視装置１０１は、上述したような式５を最大にするｙ１，ｙ２，・・・，ｙＮを求めることにより、正常であるか異常であるかを算出するので、なんら、正常及び異常を判定する閾値を設定していない。
　すなわち、本実施形態に係るシステム監視装置１０１によれば、監視対象１２１における異常とは無関係な相関破壊が起きる場合であっても、閾値を設定することなく異常箇所を特定することができる。この理由は、性能指標（節点）間に関する相関モデル（依存関係）を用いることにより、実際に生じている異常とは関係ない相関モデルの破壊が起きる場合であっても、隣接している性能指標に関する情報に基づき、破壊の影響を軽減することができるからである。また、この理由は、システム監視装置１０１が、式５に示されているような事後確率が最大である状態を算出することによって、正常または異常を判定する閾値がない場合であっても、確率的に最も妥当な状態を算出することができるからである。
　すなわち、本実施形態に係るシステム監視装置１０１によれば、監視対象における不具合の要因を特定することができる。
　この理由は、システム監視装置１０１が異常度と、複数のセンサ１２０間における関係性に基づき、センサ１２０の状態を算出するからである。
　＜第２の実施形態＞
　次に、上述した第１の実施形態における主要な機能を実現する本発明の第２の実施形態について説明する。
　以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。
　図１３を参照しながら、第２の実施形態に係るシステム監視装置２０１が有する構成について説明する。図１３は、本発明の第２の実施形態に係るシステム監視装置２０１が有する構成を示すブロック図である。
　第２の実施形態に係るシステム監視装置２０１は、判定部２０２と、異常度算出部２０３と、第１程度算出部２０４と、第２程度算出部２０５と、状態算出部２０６とを有する。
　判定部２０２は、たとえば、監視対象が第１期間（たとえば、正常期間）に測定された複数セットの時系列データ（「第１時系列データ」と表す）間における関係性を表す相関モデルを受信する。さらに、判定部２０２は、受信した相関モデルに関連する時系列データに関して、第２期間（たとえば、監視期間）に測定された時系列データ（「第２時系列データ」と表す）を受信する。尚、セットは、ある種類の複数のセンサによって、ある期間に測定された時系列データも含む表現である。
　判定部２０２は、受信した第２時系列データに関して、受信した相関モデルを適用することにより、時系列データを推定し、受信した第２時系列データと、推定した時系列データとの誤差を算出する。
　この場合に、判定部２０２は、たとえば、図４に例示されているような相関モデル情報に基づき、相関モデルに関連付けされた時系列ＩＤを読み取り、図３に例示されているような時系列情報に基づき、読み取った時系列ＩＤに関連付けされた測定項目を抽出する。次に、判定部２０２は、抽出した測定項目（センサ１２０）が第２期間に測定する時系列データに、該相関モデルを適用することにより、時系列データを推定する。
　判定部２０２は、算出した誤差が所定の閾値以上であるか否かに基づき、受信した相関モデルが成り立っているか否かを判定する。たとえば、判定部２０２は、算出した誤差が所定の閾値以上である場合に、第２期間に測定された時系列データに関して、相関モデルが成り立っていないと判定する。また、判定部２０２は、算出した誤差が所定の閾値未満である場合に、第２期間に測定された時系列データに関して、相関モデルが成り立っていると判定する。
　たとえば、判定部２０２は、第１の実施形態に係るシステム監視装置１０１における、破壊検出部１０７を用いて実現することができる。
　次に、異常度算出部２０３は、受信した相関モデルの個数と、第２期間に測定された時系列データに関して成り立っていないと判定する相関モデルの個数とに基づき、第２時系列データが成り立っていない（異常である）関係性に関連する程度を表す異常度を算出する。
　たとえば、異常度算出部２０３は、第１の実施形態に係るシステム監視装置１０１における、異常算出部１０６によって実現することができる。
　次に、第１程度算出部２０４は、異常度算出部２０３が算出した異常度に基づき、第２時系列データが正常または異常である場合に、異常度算出部２０３が算出した異常度が特定の値である程度を表す第１程度を算出する。
　たとえば、第１程度算出部２０４は、第１の実施形態に係るシステム監視装置１０１における異常判定部１０９が、式６、または、式７に従いｐ（ｘｉ｜ｙｉ）の値を算出する処理によって、第１程度を算出する処理を実現することができる。
　次に、第２程度算出部２０５は、受信した相関モデルに基づき、該相関モデルに関連する第２時系列データ同士が関係する程度を表す第２程度を算出する。
　たとえば、第２程度算出部２０５は、第１の実施形態に係るシステム監視装置１０１における異常判定部１０９が、相関モデルに基づき、式８に従いｐ（ｙｍ，ｙｎ）の値を算出する処理によって、第２程度を算出する処理を実現することができる。
　次に、状態算出部２０６は、第１程度算出部２０４が算出した第１程度と、第２程度算出部２０５が算出した第２程度とに基づき、第１時系列データが正常あるか否かを算出する。
　たとえば、状態算出部２０６は、システム監視装置１０１における異常判定部１０９が、図９に例示されているような確率モデルに基づき、たとえば、最小カットを求める手順に従い、式５を最大にするｙ１，ｙ２，・・・，ｙＮを求める処理によって実現することができる。
　次に、第２の実施形態に係るシステム監視装置２０１に関する効果について説明する。
　本実施形態に係るシステム監視装置２０１によれば、監視対象における不具合の要因を特定することができる。
　この理由は、システム監視装置２０１が異常度と、複数のセンサ１２０間における関係性に基づき、センサ１２０の状態を算出するからである。
　（ハードウェア構成例）
　上述した本発明の各実施形態におけるシステム監視装置を、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、係るシステム監視装置は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現してもよい。また、係るシステム監視装置は、専用の装置として実現してもよい。
　図１４は、第１の実施形態及び第２の実施形態に係るシステム監視装置を実現可能な計算処理装置のハードウェア構成例を概略的に示す図である。計算処理装置２０は、中央処理演算装置（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ、以降「ＣＰＵ」と表す）２１、メモリ２２、ディスク２３、及び、不揮発性記録媒体２４を有する。計算処理装置２０は、さらに、通信インターフェース（以降、「通信ＩＦ」と表す）２７、及び、ディスプレー２８を有する。計算処理装置２０は、入力装置２５、及び、出力装置２６に接続されていてもよい。計算処理装置２０は、通信ＩＦ２７を介して、他の計算処理装置、及び、通信装置と情報を送受信することができる。
　不揮発性記録媒体２４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ）、デジタルバーサタイルディスク（Ｄｉｇｉｔａｌ＿Ｖｅｒｓａｔｉｌｅ＿Ｄｉｓｃ）である。また、不揮発性記録媒体２４は、ユニバーサルシリアルバスメモリ（ＵＳＢメモリ）、ソリッドステートドライブ（Ｓｏｌｉｄ＿Ｓｔａｔｅ＿Ｄｒｉｖｅ）等であってもよい。不揮発性記録媒体２４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。不揮発性記録媒体２４は、上述した媒体に限定されない。また、不揮発性記録媒体２４の代わりに、通信ＩＦ２７を介して、通信ネットワークを介して係るプログラムを持ち運びしてもよい。
　すなわち、ＣＰＵ２１は、ディスク２３が記憶するソフトウェア・プログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際にメモリ２２にコピーし、演算処理を実行する。ＣＰＵ２１は、プログラム実行に必要なデータをメモリ２２から読み取る。表示が必要な場合には、ＣＰＵ２１は、ディスプレー２８に出力結果を表示する。外部への出力が必要な場合には、ＣＰＵ２１は、出力装置２６に出力結果を出力する。外部からプログラムを入力する場合、ＣＰＵ２１は、入力装置２５からプログラムを読み取る。ＣＰＵ２１は、上述した図２、または、図１３に示された各部が表す機能（処理）に対応するところのメモリ２２にあるシステム監視プログラム（図５、または、図６）を解釈し実行する。ＣＰＵ２１は、上述した本発明の各実施形態において説明した処理を順次行う。
　すなわち、このような場合、本発明は、係るシステム監視プログラムによっても成し得ると捉えることができる。更に、係るシステム監視プログラムが記録されたコンピュータ読み取り可能な不揮発性の記録媒体によっても、本発明は成し得ると捉えることができる。
　以上、上述した実施形態を模範的な例として本発明を説明した。しかし、本発明は、上述した実施形態には限定されない。すなわち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。
　この出願は、２０１５年２月２５日に出願された日本出願特願２０１５－０３４６３１を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　２０　　計算処理装置
　２１　　ＣＰＵ
　２２　　メモリ
　２３　　ディスク
　２４　　不揮発性記録媒体
　２５　　入力装置
　２６　　出力装置
　２７　　通信ＩＦ
　２８　　ディスプレー
　１０１　システム監視装置
　１０２　指標入力部
　１０３　情報作成部
　１０４　モデル情報作成部
　１０５　確率情報作成部
　１０６　異常算出部
　１０７　破壊検出部
　１０８　異常度算出部
　１０９　異常判定部
　１１０　異常箇所出力部
　１１１　記憶部
　１１２　時系列記憶部
　１１３　情報記憶部
　１１４　モデル情報記憶部
　１１５　確率情報記憶部
　１１６　異常記憶部
　１１７　破壊モデル記憶部
　１１８　異常度記憶部
　１１９　異常箇所記憶部
　１２０　センサ
　１２１　監視対象
　１２２　表示部
　２０１　システム監視装置
　２０２　判定部
　２０３　異常度算出部
　２０４　第１程度算出部
　２０５　第２程度算出部
　２０６　状態算出部

Claims (10)

  1. 　監視対象に関して、第１期間に測定された複数セットの第１時系列データに成り立つ関係を表す関係性が、第２期間に測定された前記複数セットの第２時系列データについて成り立つか否かを判定する判定手段と、
    　前記判定手段が成り立つと判定する前記関係性と、前記判定手段が成り立たないと判定する前記関係性とに基づき、前記第２時系列データが異常である程度を表す異常度を算出する異常度算出手段と、
    　前記第２時系列データに関して算出された前記異常度に基づき、前記第２時系列データが正常または異常である場合において前記異常度が特定の値である程度を表す第１程度を算出する第１程度算出手段と、
    　前記第１期間に関する前記関係性に基づき、前記複数セットの前記第２時系列データが関連している程度を表す第２程度を算出する第２程度算出手段と、
    　前記第１程度と、前記第２程度とに基づき、前記第２時系列データが正常であるか異常であるかを求める状態算出手段と
    　を備えるシステム監視装置。
  2. 　前記判定手段は、前記第２時系列データに前記関係性を適用することにより算出された値に関する誤差に基づき、前記関係性が成り立つか否かを判定する
    　請求項１に記載のシステム監視装置。
  3. 　前記第２程度算出手段は、複数の前記第２時系列データが前記関係性に関連しているか否かに応じて、前記第２程度を算出する
    　請求項１または請求項２に記載のシステム監視装置。
  4. 　前記第１程度算出手段は、前記異常度にベータ分布を適用することにより、前記第１程度を算出する
    　請求項１乃至請求項３のいずれかに記載のシステム監視装置。
  5. 　前記第１程度算出手段は、前記異常度にガンマ分布を適用することにより、前記第１程度を算出する
    　請求項１乃至請求項３のいずれかに記載のシステム監視装置。
  6. 　前記第２程度算出手段は、前記関係性に基づくイジングモデルに従い、前記第２程度を算出する
    　請求項１乃至請求項５のいずれかに記載のシステム監視装置。
  7. 　前記状態算出手段は、前記第２時系列データを表す第１節点と、前記第１節点とは異なる第２節点と、前記第１節点及び前記第２節点とは異なる第３節点とを含む節点と、複数の前記第１節点の間を結ぶ第１枝と、前記第１節点及び前記第２節点を結ぶ第２枝と、前記第１節点及び前記第３節点とを結ぶ第３枝からなるグラフに関して、前記第１枝に関する重みを、前記第２程度に基づき算出し、前記第２枝及び前記第３枝に関する前記重みを、前記第１程度に基づき算出し、重み付けされた前記グラフを２つに分離する場合に切断される前記重みを最小にする最小カットを算出し、算出された結果に基づき、正常であるか否かを算出する
    　請求項１乃至請求項６のいずれかに記載のシステム監視装置。
  8. 　前記グラフを表示可能な表示手段
    　をさらに備え、
    　前記状態算出手段は、重み付けされた前記グラフを前記表示手段に表示する
    　請求項７に記載のシステム監視装置。
  9. 　監視対象に関して、第１期間に測定された複数セットの第１時系列データに成り立つ関係を表す関係性が、第２期間に測定された前記複数セットの第２時系列データについて成り立つか否かを判定し、
    　成り立つと判定された前記関係性と、成り立たないと判定する前記関係性とに基づき、前記第２時系列データが異常である程度を表す異常度を算出し、
    　前記第２時系列データに関して算出された前記異常度に基づき、前記第２時系列データが正常または異常である場合において前記異常度が特定の値である程度を表す第１程度を算出し、
    　前記第１期間に関する前記関係性に基づき、前記複数セットの前記第２時系列データが関連する程度を表す第２程度を算出し、
    　前記第１程度と、前記第２程度とに基づき、前記第２時系列データが正常であるか異常であるかを求めるシステム監視方法。
  10. 　監視対象に関して、第１期間に測定された複数セットの第１時系列データに成り立つ関係を表す関係性が、第２期間に測定された前記複数セットの第２時系列データについて成り立つか否かを判定する判定機能と、
    　前記判定機能によって成り立つと判定された前記関係性と、前記判定機能によって成り立たないと判定された前記関係性とに基づき、前記第２時系列データが異常である程度を表す異常度を算出する異常度算出機能と、
    　前記第２時系列データに関して算出された前記異常度に基づき、前記第２時系列データが正常または異常である場合において前記異常度が特定の値である程度を表す第１程度を算出する第１程度算出機能と、
    　前記第１期間に関する前記関係性に基づき、前記複数セットの前記第２時系列データが関連している程度を表す第２程度を算出する第２程度算出機能と、
    　前記第１程度と、前記第２程度とに基づき、前記第２時系列データが正常であるか異常であるかを求める状態算出機能と
    　をコンピュータに実現させるシステム監視プログラムが記録された記録媒体。
PCT/JP2016/000827 2015-02-25 2016-02-17 システム監視装置、システム監視方法、及び、システム監視プログラムが記録された記録媒体 WO2016136198A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2017501909A JP6828679B2 (ja) 2015-02-25 2016-02-17 システム監視装置、システム監視方法、及び、システム監視プログラム
US15/553,435 US10539468B2 (en) 2015-02-25 2016-02-17 Abnormality detection apparatus, abnormality detection method, and non-transitory computer-readable medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-034631 2015-02-25
JP2015034631 2015-02-25

Publications (1)

Publication Number Publication Date
WO2016136198A1 true WO2016136198A1 (ja) 2016-09-01

Family

ID=56788436

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/000827 WO2016136198A1 (ja) 2015-02-25 2016-02-17 システム監視装置、システム監視方法、及び、システム監視プログラムが記録された記録媒体

Country Status (3)

Country Link
US (1) US10539468B2 (ja)
JP (1) JP6828679B2 (ja)
WO (1) WO2016136198A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019016039A (ja) * 2017-07-04 2019-01-31 Ｊｆｅスチール株式会社 プロセスの異常状態診断方法および異常状態診断装置
WO2019026193A1 (ja) * 2017-08-02 2019-02-07 日本電気株式会社 情報処理装置、情報処理システム、情報処理方法、及び、記録媒体
JP2019159610A (ja) * 2018-03-09 2019-09-19 富士通株式会社 レポート作成プログラム、およびレポート作成方法
JP2019203759A (ja) * 2018-05-22 2019-11-28 株式会社日立製作所 データ処理装置およびデータ処理方法
JPWO2020136859A1 (ja) * 2018-12-28 2021-11-11 日本電気株式会社 推定装置、推定方法、及びプログラム

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11113364B2 (en) * 2017-05-08 2021-09-07 Hitachi, Ltd. Time series data analysis control method and analysis control device
JP6919596B2 (ja) * 2018-03-01 2021-08-18 オムロン株式会社 計測システムおよび方法
JP7268722B2 (ja) * 2019-03-27 2023-05-08 日産自動車株式会社 異常検知装置、及び異常検知方法
TWI829895B (zh) * 2020-03-20 2024-01-21 中華電信股份有限公司 基於健康度之模型監控系統及其方法
JP7481897B2 (ja) * 2020-05-12 2024-05-13 株式会社東芝 監視装置、監視方法、プログラムおよびモデル訓練装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006135412A (ja) * 2004-11-02 2006-05-25 Tokyo Gas Co Ltd 遠隔監視システム
JP2009199533A (ja) * 2008-02-25 2009-09-03 Nec Corp 運用管理装置、運用管理システム、情報処理方法、及び運用管理プログラム
JP2009211472A (ja) * 2008-03-05 2009-09-17 Fuji Xerox Co Ltd 故障診断装置およびプログラム
JP5267684B2 (ja) * 2010-01-08 2013-08-21 日本電気株式会社 運用管理装置、運用管理方法、及びプログラム記憶媒体
JP2013210945A (ja) * 2012-03-30 2013-10-10 Toshiba Corp 波形分析装置および波形分析方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5267684A (en) 1975-12-02 1977-06-04 Nippon Bunko Kogyo Kk Spectrophotometer

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006135412A (ja) * 2004-11-02 2006-05-25 Tokyo Gas Co Ltd 遠隔監視システム
JP2009199533A (ja) * 2008-02-25 2009-09-03 Nec Corp 運用管理装置、運用管理システム、情報処理方法、及び運用管理プログラム
JP2009211472A (ja) * 2008-03-05 2009-09-17 Fuji Xerox Co Ltd 故障診断装置およびプログラム
JP5267684B2 (ja) * 2010-01-08 2013-08-21 日本電気株式会社 運用管理装置、運用管理方法、及びプログラム記憶媒体
JP2013210945A (ja) * 2012-03-30 2013-10-10 Toshiba Corp 波形分析装置および波形分析方法

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019016039A (ja) * 2017-07-04 2019-01-31 Ｊｆｅスチール株式会社 プロセスの異常状態診断方法および異常状態診断装置
WO2019026193A1 (ja) * 2017-08-02 2019-02-07 日本電気株式会社 情報処理装置、情報処理システム、情報処理方法、及び、記録媒体
US11941495B2 (en) 2017-08-02 2024-03-26 Nec Corporation Information processing device, information processing method, and recording medium
JPWO2019026193A1 (ja) * 2017-08-02 2020-07-02 日本電気株式会社 情報処理装置、情報処理システム、情報処理方法、及び、プログラム
JP2019159610A (ja) * 2018-03-09 2019-09-19 富士通株式会社 レポート作成プログラム、およびレポート作成方法
JP6996360B2 (ja) 2018-03-09 2022-01-17 富士通株式会社 レポート作成プログラム、およびレポート作成方法
KR20210002594A (ko) * 2018-05-22 2021-01-08 가부시키가이샤 히타치세이사쿠쇼 데이터 처리 장치 및 데이터 처리 방법
WO2019225125A1 (ja) * 2018-05-22 2019-11-28 株式会社日立製作所 データ処理装置およびデータ処理方法
KR102562115B1 (ko) 2018-05-22 2023-08-02 가부시키가이샤 히타치세이사쿠쇼 데이터 처리 장치 및 데이터 처리 방법
JP2019203759A (ja) * 2018-05-22 2019-11-28 株式会社日立製作所 データ処理装置およびデータ処理方法
JPWO2020136859A1 (ja) * 2018-12-28 2021-11-11 日本電気株式会社 推定装置、推定方法、及びプログラム
US11579600B2 (en) 2018-12-28 2023-02-14 Nec Corporation Estimation apparatus, estimation method, and computer-readable storage medium
JP7283485B2 (ja) 2018-12-28 2023-05-30 日本電気株式会社 推定装置、推定方法、及びプログラム

Also Published As

Publication number Publication date
US10539468B2 (en) 2020-01-21
US20180245987A1 (en) 2018-08-30
JPWO2016136198A1 (ja) 2017-12-07
JP6828679B2 (ja) 2021-02-10

Similar Documents

Publication Publication Date Title
WO2016136198A1 (ja) システム監視装置、システム監視方法、及び、システム監視プログラムが記録された記録媒体
JP6394726B2 (ja) 運用管理装置、運用管理方法、及びプログラム
US10747188B2 (en) Information processing apparatus, information processing method, and, recording medium
US9274869B2 (en) Apparatus, method and storage medium for fault cause extraction utilizing performance values
EP2963553B1 (en) System analysis device and system analysis method
EP3015989A1 (en) System analysis device, system analysis method and system analysis program
JP5768983B2 (ja) 契約違反予測システム、契約違反予測方法および契約違反予測プログラム
EP2963552B1 (en) System analysis device and system analysis method
JP4573179B2 (ja) 性能負荷異常検出システム、性能負荷異常検出方法、及びプログラム
EP2690559B1 (en) Operation administration system, operation administration method, and program
JP2020052714A (ja) 監視システム及び監視方法
CN112380073B (zh) 一种故障位置的检测方法、装置及可读存储介质
US10157113B2 (en) Information processing device, analysis method, and recording medium
BR102015000309A2 (pt) método para um sistema de estimativa da vida útil restante

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16754950

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017501909

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 15553435

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16754950

Country of ref document: EP

Kind code of ref document: A1