JP6835702B2 - Anomaly estimation device, anomaly estimation method and program - Google Patents

Description

本発明は、異常推定装置、異常推定方法及びプログラムに関する。 The present invention relates to anomaly estimation devices, anomaly estimation methods and programs.

通信ネットワークで発生した異常の対応は、異常検知、異常箇所・要因の特定、復旧の順に行われる。異常箇所・要因の特定では、例えば、因果モデルによる異常箇所・要因の推定手法が行われている（非特許文献１〜３参照）。因果モデルによる異常箇所・要因の推定手法は、学習フェーズと推論フェーズとの２つのフェーズから構成される。 Responses to abnormalities that occur in communication networks are performed in the order of abnormality detection, identification of abnormal locations / causes, and recovery. In identifying the abnormal location / factor, for example, a method of estimating the abnormal location / factor using a causal model is performed (see Non-Patent Documents 1 to 3). The method of estimating the abnormal part / factor by the causal model consists of two phases, a learning phase and an inference phase.

学習フェーズでは、通信ネットワークシステムの構成要素であるルータやサーバ等の異常と、通信ネットワークシステムの構成要素から得られるエラーログやアラート、トラヒック量等を表す様々な観測情報の値との因果関係を表す因果モデルを構築する。 In the learning phase, the causal relationship between abnormalities in routers and servers, which are the components of the communication network system, and the values of various observation information representing error logs, alerts, traffic, etc. obtained from the components of the communication network system is examined. Build a causal model to represent.

因果モデルは、例えば、通信ネットワークシステムの構成要素の１つ１つを機器・要因状態層のノードとし、各ノードで異常が発生した場合に影響を与える観測状態層のノードに向かって重み付きのエッジを張ることで構築される。この重みは条件付き確率で規定される。通信ネットワークシステムの専門家の知識や過去に発生した異常の事例情報等に基づいて、全てのノードに対して重み付きエッジを張ることで、通信ネットワークシステム全体の因果関係を記述した因果モデルが得られる。 In the causal model, for example, each component of the communication network system is a node of the device / factor state layer, and each node is weighted toward the node of the observation state layer that affects when an abnormality occurs. It is built by stretching the edges. This weight is defined by a conditional probability. A causal model that describes the causal relationship of the entire communication network system can be obtained by adding weighted edges to all nodes based on the knowledge of communication network system experts and case information of abnormalities that have occurred in the past. Be done.

推論フェーズでは、通信ネットワークシステムで異常が発生したときに得られる観測情報の値と、学習フェーズで作成した因果モデルとから、事前確率と条件付き確率とが最大になるようにエッジを逆に辿ることで、異常箇所・要因を推定する。なお、事前確率と条件付き確率とが最大となる場合の事後確率を最大事後確率と呼び、この時の機器・要因状態層の値が推定結果である。 In the inference phase, the edges are traced in reverse so that the prior and conditional probabilities are maximized from the values of observation information obtained when an abnormality occurs in the communication network system and the causal model created in the learning phase. By doing so, the abnormal location / factor is estimated. The posterior probability when the prior probability and the conditional probability are maximum is called the maximum posterior probability, and the value of the device / factor state layer at this time is the estimation result.

ここで、因果モデルは、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて構築されるが、構築された因果モデルは必ずしも正確でない場合がある。例えば、因果モデルには、過去に発生したことがない異常が発生した場合の因果関係は記述されない。また、通信ネットワークシステムを構成する機器が更改された場合等には、当該機器を示すノードと、観測状態層のノードとの因果関係が変わる場合もあり、学習フェーズのみで通信ネットワークシステム全体の因果関係を正確に記述した因果モデルを構築することは困難である。 Here, the causal model is constructed based on the configuration information of the communication network, the case information of the abnormality that has occurred in the past, and the like, but the constructed causal model may not always be accurate. For example, the causal model does not describe the causal relationship when an abnormality that has never occurred in the past occurs. In addition, when the equipment that composes the communication network system is renewed, the causal relationship between the node indicating the equipment and the node in the observation state layer may change, and the causality of the entire communication network system may change only in the learning phase. It is difficult to build a causal model that accurately describes the relationship.

また、異常が発生しても機器がアラートを出力しない場合や観測情報の分析ミス等によって観測状態層のノードを異常状態と推定してしまう場合がある。このように、本来の観測情報の状態（言い換えれば、真の観測状態）を必ずしも容易に判断できない場合がある。このような異常は非定型異常と呼ばれる。一方で、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて構築される因果モデルで推定可能な異常は定型異常と呼ばれる。 In addition, even if an abnormality occurs, the device may not output an alert, or a node in the observation state layer may be estimated to be in an abnormal state due to an analysis error of observation information. In this way, the state of the original observation information (in other words, the true observation state) may not always be easily determined. Such abnormalities are called atypical abnormalities. On the other hand, anomalies that can be estimated by a causal model constructed based on communication network configuration information and case information of anomalies that have occurred in the past are called typical anomalies.

これに対して、観測情報の不正確性に対応する関数を導入し、推定時に因果モデルの修正を行うことで、非定型異常の異常箇所・要因も推定可能な因果モデルによる異常箇所・要因の推定手法が提案されている（非特許文献４参照）。 On the other hand, by introducing a function corresponding to the inaccuracy of observation information and modifying the causal model at the time of estimation, the abnormal location / factor of the atypical anomaly can also be estimated by the causal model. An estimation method has been proposed (see Non-Patent Document 4).

Srikanth Kandula, Dina Katabi, and Jean-philippe Vasseur. Shrink: A tool for failure diagnosis in IP networks. Proceedings of the 2005 ACM SIGCOMM workshop on Mining network data, pages 173-178, 2005.Srikanth Kandula, Dina Katabi, and Jean-philippe Vasseur. Shrink: A tool for failure diagnosis in IP networks. Proceedings of the 2005 ACM SIGCOMM workshop on Mining network data, pages 173-178, 2005. R.R. Kompella, J. Yates, A. Greenberg, and A.C. Snoeren. IP Fault Localization via Risk Modeling. IEEE Transactions on Dependable and Secure Computing, 7(4):1-14, 2010.R.R. Kompella, J. Yates, A. Greenberg, and A.C. Snoeren. IP Fault Localization via Risk Modeling. IEEE Transactions on Dependable and Secure Computing, 7 (4): 1-14, 2010. He Yan, Lee Breslau, Zihui Ge, Dan Massey, Dan Pei, and Jennifer Yates. G-RCA: A Generic Root Cause Analysis Platform for Service Quality Management in Large IP Networks. IEEE/ACM Transactions on Networking, 20(6):1734-1747, 2012.He Yan, Lee Breslau, Zihui Ge, Dan Massey, Dan Pei, and Jennifer Yates. G-RCA: A Generic Root Cause Analysis Platform for Service Quality Management in Large IP Networks. IEEE / ACM Transactions on Networking, 20 (6): 1734-1747, 2012. 松尾洋一, 中野雄介, 渡邉暁, 渡辺敬志郎, 石橋圭介, 川原亮一, "非定型故障の原因箇所推定技術の検討," 信学会総合大会, B-7-35, 2017.Yoichi Matsuo, Yusuke Nakano, Akira Watanabe, Keishiro Watanabe, Keisuke Ishibashi, Ryoichi Kawahara, "Examination of technique for estimating the cause of atypical failure," Shinkai General Conference, B-7-35, 2017.

ところで、通信ネットワークで発生した異常が非定型異常であった場合、例えば、機器と観測情報との因果関係は事前に構築した因果モデルと異なることがある。そこで、非特許文献４では、最大事後確率ｐと、エッジに変更を与える関数及び観測状態に対するノイズを与える関数による変換度合いの大きさとを比較しながら、因果モデルを修正する修正候補を全パターン試し（すなわち、修正候補の全探索を行って）、当該因果モデルを修正することで、非定型異常が発生した場合における異常箇所・要因の推定を可能としている。しかしながら、非特許文献４に開示されている推定手法では、機器数や観測数が増加すると、因果モデルの修正候補が組み合わせ的に増加する。例えば、機器・要因数をＮ、観測数をＭとした場合、その組み合わせ数は２^Ｎ×２^Ｍとなる。 By the way, when the abnormality generated in the communication network is an atypical abnormality, for example, the causal relationship between the device and the observation information may be different from the causal model constructed in advance. Therefore, in Non-Patent Document 4, all patterns of modification candidates for modifying the causal model are tried while comparing the maximum posteriori probability p with the magnitude of the degree of conversion by the function that changes the edge and the function that gives noise to the observed state. By modifying the causal model (that is, performing a full search for modification candidates), it is possible to estimate the abnormal location / factor when an atypical abnormality occurs. However, in the estimation method disclosed in Non-Patent Document 4, as the number of devices and the number of observations increase, the number of candidates for modification of the causal model increases in combination. For example, when the number of devices / factors is N and the number of observations is M, the number of combinations is 2 ^N × 2 ^M.

このため、非特許文献４に開示されている推定手法では、異常箇所・要因の推定に膨大な時間を要していた。 Therefore, in the estimation method disclosed in Non-Patent Document 4, it takes an enormous amount of time to estimate the abnormal portion / factor.

本発明は、上記の点に鑑みてなされたもので、非定型異常の異常箇所・要因の推定に要する時間を短縮させることを目的とする。 The present invention has been made in view of the above points, and an object of the present invention is to shorten the time required for estimating an abnormal location / factor of an atypical abnormality.

そこで、本発明の実施の形態では、通信ネットワークの異常箇所を推定する異常推定装置であって、前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、前記通信ネットワークで発生した異常が定型異常である場合における前記異常箇所を推定する第１の推定手段と、前記推定手段により計算された最大事後確率に基づいて、前記異常が非定型異常であるか否かを判定する異常種別判定手段と、前記異常種別判定手段により前記異常が非定型異常であると判定された場合、定型異常の分布と非定型異常の分布との差によって前記因果モデルを修正した修正モデルを用いて、前記異常が非定型異常である場合における前記異常箇所を推定する第２の推定手段と、を有することを特徴とする。 Therefore, in the embodiment of the present invention, an abnormality estimation device that estimates an abnormality location of a communication network, using a causal model that represents a causal relationship between the equipment constituting the communication network and the observation information of the equipment. By calculating the maximum a posteriori probability, based on the first estimation means for estimating the abnormality location when the abnormality generated in the communication network is a standard abnormality and the maximum a posteriori probability calculated by the estimation means. When the abnormality type determining means for determining whether or not the abnormality is an atypical abnormality and the abnormality type determining means determine that the abnormality is an atypical abnormality, the distribution of the typical abnormality and the distribution of the atypical abnormality. It is characterized by having a second estimation means for estimating the abnormal portion when the abnormality is an atypical abnormality by using a modified model in which the causal model is modified by the difference from the above.

非定型異常の異常箇所・要因の推定に要する時間を短縮させることができる。 It is possible to shorten the time required to estimate the abnormal location / factor of atypical abnormalities.

本発明の実施の形態における異常推定装置の機能構成の一例を示す図である。It is a figure which shows an example of the functional structure of the abnormality estimation apparatus in embodiment of this invention. 本発明の実施の形態における因果モデルの構築処理の一例を示すフローチャートである。It is a flowchart which shows an example of the construction process of the causal model in embodiment of this invention. 本発明の実施の形態における異常推定処理の一例を示すフローチャートである。It is a flowchart which shows an example of the abnormality estimation processing in embodiment of this invention. 本発明の実施の形態における異常推定装置のハードウェア構成の一例を示す図である。It is a figure which shows an example of the hardware composition of the abnormality estimation apparatus in embodiment of this invention.

以下、本発明の実施の形態について、図面を参照しながら説明する。以降では、因果モデルによる異常箇所・要因の推定手法により、通信ネットワークで発生した異常の異常箇所・要因を推定する異常推定装置１０について説明する。 Hereinafter, embodiments of the present invention will be described with reference to the drawings. Hereinafter, the abnormality estimation device 10 for estimating the abnormality location / factor of the abnormality generated in the communication network will be described by the method of estimating the abnormality location / factor by the causal model.

因果モデルによる異常箇所・要因の推定手法では、現在の観測情報の値に対して、事前確率と条件付き確率とが最大となる事後確率（最大事後確率）を計算することで、機器・要因状態層を推定する。 In the method of estimating abnormal locations / factors using a causal model, the posterior probability (maximum posterior probability) at which the prior probability and the conditional probability are maximized is calculated for the value of the current observation information to obtain the device / factor state. Estimate the layer.

そこで、本発明の実施の形態では、機器・要因の状態層Ｘ＝（ｘ_１，・・・，ｘ_Ｎ）と、観測情報の状態層Ｙ＝（ｙ_１，・・・，ｙ_Ｍ）とを結んだ有向マルコフモデルにおいて事前確率と条件付き確率とを定義し、これらの事前確率と条件付き確率とによって事後確率を新たに定義する。学習フェーズでは、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて、この事後確率により表されるモデル（因果モデル）を構築する。そして、推論フェーズでは、現在の観測情報の値に対して、この事後確率を最大化させる機器・要因の状態を推定することで、異常箇所・要因を推定する。 Therefore, in the embodiment of the present invention, the state layer X = (x ₁ , ..., X _N ) of the device / factor and the state layer Y = (y ₁ , ..., Y _M ) of the observation information. In the directed Markov model that connects the above, the prior probability and the conditional probability are defined, and the posterior probability is newly defined by these prior and conditional probabilities. In the learning phase, a model (causal model) represented by posterior probabilities is constructed based on communication network configuration information and case information of abnormalities that have occurred in the past. Then, in the inference phase, the abnormal location / factor is estimated by estimating the state of the device / factor that maximizes the posterior probability with respect to the value of the current observation information.

なお、観測情報は、上述したように、例えば、通信ネットワークシステムの構成要素から得られるエラーログやアラート、トラヒック量等を表す情報である。観測情報の値（観測値）は、例えば、エラーログやアラートである場合に「１」、そうでない場合に「０」となる。同様に、観測情報の値（観測値）は、例えば、機器のトラヒック量が或る閾値を超えた場合に「１」、そうでない場合に「０」となる。 As described above, the observation information is, for example, information representing an error log, an alert, a traffic amount, etc. obtained from a component of a communication network system. The value of the observation information (observed value) is, for example, "1" when it is an error log or an alert, and "0" when it is not. Similarly, the value of the observation information (observed value) is, for example, "1" when the traffic amount of the device exceeds a certain threshold value, and "0" when it is not.

＜事前確率＞
まず、事前確率を定義する。ｘ_ｉを機器・要因ｉの状態とし、ｘ_ｉは０又は１を取る確率変数とする。ここで、０は正常状態を表し、１は異常状態を表すものとする。また、Ｎ個の機器・要因ｉの状態に対して、機器・要因の状態層ＸをＸ＝（ｘ_１，・・・，ｘ_Ｎ）とし、 <Prior probability>
First, we define prior probabilities. Let x _{i be} the state of the device / factor i, and let x _{i be} a random variable that takes 0 or 1. Here, 0 represents a normal state and 1 represents an abnormal state. Further, for the states of N devices / factors i, the state layer X of the devices / factors is set to X = (x ₁ , ..., X _N ).

とする。ここで、αは機器・要因の異常度合を表す事前確率のパラメータである。

And. Here, α is a prior probability parameter representing the degree of abnormality of the device / factor.

このとき、Ｎ個の機器・要因群に対して、事前確率Ｐ（Ｘ｜α）を以下の数２で定義する。 At this time, the prior probabilities P (X | α) are defined by the following equation 2 for N devices / factor groups.

＜条件付き確率＞
次に条件付き確率を定義する。ｙ_ｊを観測情報ｊの観測値とし、ｙ_ｊは０又は１を取る確率変数とする。ここで、０は正常状態が観測されたことを表し、１は異常状態が観測されたことを表すものとする。また、Ｍ個の観測情報ｊの観測値に対して、観測情報の状態層ＹをＹ＝（ｙ_１，・・・，ｙ_Ｍ）とする。 <Conditional probability>
Next, we define conditional probabilities. the y _j to the observed value of the observation information _j, y j is a random variable that takes 0 or 1. Here, 0 indicates that a normal state has been observed, and 1 indicates that an abnormal state has been observed. Further, for the observed values of M observation information j, the state layer Y of the observation information is set to Y = (y ₁ , ..., Y _M ).

更に、ｚを異常の種別を表す確率変数とする。ｚは１又は２を取り、ｚ＝１は定型異常、ｚ＝２は非定型異常を表すものとし、 Further, let z be a random variable representing the type of abnormality. It is assumed that z takes 1 or 2, z = 1 represents a typical abnormality, and z = 2 represents an atypical abnormality.

とする。ここで、γは定型異常又は非定型異常の出現のし易さを表すパラメータである。なお、通信ネットワークで異常が発生した場合、ｚの値が１であるか又は２であるかは決定されている（言い換えれば、通信ネットワークで発生した異常が定型異常又は非定型異常のいずれであるかは決定されている）が、本実施形態ではｚを確率変数として扱う。

And. Here, γ is a parameter representing the ease of appearance of a typical abnormality or an atypical abnormality. When an abnormality occurs in the communication network, it is determined whether the value of z is 1 or 2 (in other words, the abnormality occurring in the communication network is either a standard abnormality or an atypical abnormality. However, in this embodiment, z is treated as a random variable.

また、φｚを機器・要因の状態層Ｘと観測情報の状態層Ｙとの因果関係の有無を表す分布とする。機器・要因ｉの状態ｘｉと、観測情報ｊの観測値ｙｊとに対して、φ１ ｉ，ｊは定型異常が発生した場合の因果関係の有無を表す分布であり、例えば非特許文献１〜３に開示されている手法を用いて決定される。なお、φ１ ｉ，ｊは決定的に決まる分布であるが、本実施形態では確率分布として扱う。 Further, φ z is a distribution showing the presence or absence of a causal relationship between the state layer X of the device / factor and the state layer Y of the observation information. A state x i of the device-factor i, with respect to the observed value y j observation information j, phi 1 i, j is a distribution representing the presence or absence of a causal relationship when the standard error occurs, for example, non-patent literature It is determined using the method disclosed in 1-3. Although φ 1 i and j are decisively determined distributions, they are treated as probability distributions in this embodiment.

一方で、機器・要因ｉの状態ｘｉと、観測情報ｊの観測値ｙｊとに対して、φ２ ｉ，ｊは非定型異常が発生した場合の因果関係を表す分布であり、 On the other hand, the state x i of the device-factor i, with respect to the observed value y j observation information j, phi 2 i, j is a distribution representing the causal relationship when the atypical abnormality occurs,

とする。ここで、θはパラメータである。

And. Here, θ is a parameter.

このとき、δをデルタ関数とし、真であれば１を、そうでなければ０を返す関数として、条件付き確率Ｐ（Ｙ｜Ｘ，ｚ，φ^１，φ^２，θ，β，γ）を以下の数５で定義する。

At this time, the conditional probability P (Y | X, z, φ ¹ , φ ² , θ, β, γ ) is set as a delta function, 1 if true, and 0 otherwise. It is defined by the following number 5.

ここで、βは、機器・要因群の異常と、異常状態を示す観測値との因果関係の影響度合いを表す条件付き確率のパラメータである。また、ｃは規格化定数である。

Here, β is a conditional probability parameter that represents the degree of influence of the causal relationship between the abnormality of the device / factor group and the observed value indicating the abnormal state. Further, c is a standardized constant.

＜事後確率＞
次に、事後確率を定義する。上記の数２で定義した事前確率と、上記の数５で定義した条件付き確率とを用いて、事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）は、以下の数６で定義される。 <Posterior probability>
Next, we define posterior probabilities. ^{Using the prior probabilities defined in equation 2} above and the conditional probabilities defined in equation 5 above, posterior probabilities P (X, Y, z, φ ¹ , φ 2, θ, α, β, γ) Is defined by the following equation 6.

この事後確率が学習フェーズで構築される因果モデルである。

This posterior probability is a causal model constructed in the learning phase.

＜異常箇所・要因の推定＞
次に、上記の数６で定義した事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）を用いて異常箇所・要因を推定する場合について説明する。通信ネットワークで発生した異常の種別が定型異常である場合、現在の観測情報に対して、ｚ＝１として、以下の数７により最大事後確率ｐ＾と、以下の数８により機器・要因状態Ｘ＾とを計算する。 <Estimation of abnormal parts / factors>
Next, a case where the abnormality location / factor is estimated using the posterior probabilities P (X, Y, z, φ ¹ , φ ^{2, θ, α, β, γ) defined by the above equation 6 will be described.} When the type of abnormality that occurred in the communication network is a standard abnormality, the maximum posteriori probability p ^ is determined by the following number 7 and the device / factor state X is set according to the following number 8 with z = 1 for the current observation information. Calculate with ^.

この機器・要因状態Ｘ＾が定型異常である場合の推定結果（例えば、異常箇所・要因の推定結果）である。なお、上記の数７及び数８は、例えば、確率伝搬法等を用いて計算することができる。確率伝搬法については、例えば、参考文献「Bishop, Christopher M. (2006), Pattern Recognition and Machine Learning, Springer, ISBN 0-387-31073-8」を参照されたい。

This is an estimation result (for example, an estimation result of an abnormal location / factor) when the device / factor state X ^ is a standard abnormality. The above equations 7 and 8 can be calculated by using, for example, belief propagation. For the belief propagation method, refer to the reference "Bishop, Christopher M. (2006), Pattern Recognition and Machine Learning, Springer, ISBN 0-387-31073-8", for example.

一方で、通信ネットワークで発生した異常の種別が非定型異常である場合、現在の観測情報に対して、ｚ＝２として、以下の数９により機器・要因状態Ｘ＾を計算する。 On the other hand, when the type of abnormality generated in the communication network is an atypical abnormality, the device / factor state X ^ is calculated by the following equation 9 with z = 2 for the current observation information.

ここで、ｃ´は規格化定数である。

Here, c'is a standardized constant.

この機器・要因状態Ｘ＾が非定型異常である場合の推定結果である。なお、上記の数９は、例えば、ギブスサンプリング等を用いて計算することができる。ギブスサンプリングについては上記の参考文献を参照されたい。 This is an estimation result when this device / factor state X ^ is an atypical abnormality. The above number 9 can be calculated by using, for example, Gibbs sampling. See references above for Gibbs sampling.

上記の数９は、φ^２により非定型異常の因果関係を表し、θとφ^２とを変化させつつ、φ^１とφ^２とが乖離し過ぎないようにするペナルティ項τ（｜φ^１−φ^２｜_２）を導入することで、非定型異常時の因果関係を推定する問題とした。言い換えれば、数９は、φ^１とφ^２との乖離度（分布の差）に重み付けを調整する任意の定数τを乗じた値をペナルティ項として導入し、事後確率が最大となるＸ、θ、φ^２を求める問題である。なお、｜・｜_２はＬ２ノルムである。ペナルティ項はφ^１とφ^２との乖離度に基づく値であれば良く、例えば、Ｌ１ノルム等が用いられても良い。 The above numbers 9, phi ² by representing the causal relationship between atypical abnormal, while changing the θ and phi ^2, phi ¹ and phi ² and the penalty term to avoid excessively deviate τ (| φ ¹ - phi ^{2 |} ₂₎ by introducing was a problem of estimating a causal relation during atypical abnormalities. In other words, Equation 9 ^{introduces a value obtained by multiplying the degree of divergence (difference in distribution) between φ 1} and φ ² by an arbitrary constant τ that adjusts the weight as a penalty term, and X and θ that maximize the posterior probability. , Φ ² is a problem. Note that | and | ₂ are L2 norms. The penalty term ^{may be a value based on the degree of deviation between φ 1} and φ ^2, and for example, the L1 norm or the like may be used.

このように確率モデルで定式化することで、ギブスサンプリング等の手法を使用でき、全探索する必要がなくなるため計算時間を短縮することができる。 By formulating with a probabilistic model in this way, a method such as Gibbs sampling can be used, and the calculation time can be shortened because it is not necessary to perform a full search.

＜機能構成＞
次に、本発明の実施の形態における異常推定装置１０の機能構成について、図１を参照しながら説明する。図１は、本発明の実施の形態における異常推定装置１０の機能構成の一例を示す図である。 <Functional configuration>
Next, the functional configuration of the abnormality estimation device 10 according to the embodiment of the present invention will be described with reference to FIG. FIG. 1 is a diagram showing an example of the functional configuration of the abnormality estimation device 10 according to the embodiment of the present invention.

図１に示すように、本発明の実施の形態における異常推定装置１０は、モデル構築部１０１と、異常推定処理部１０２と、異常種別判定部１０３と、ＵＩ部１０４とを有する。また、本発明の実施の形態における異常推定装置１０は、モデル構築用情報記憶部１０５と、因果モデル記憶部１０６とを記憶する。 As shown in FIG. 1, the abnormality estimation device 10 according to the embodiment of the present invention includes a model construction unit 101, an abnormality estimation processing unit 102, an abnormality type determination unit 103, and a UI unit 104. Further, the abnormality estimation device 10 in the embodiment of the present invention stores the model building information storage unit 105 and the causal model storage unit 106.

モデル構築用情報記憶部１０５は、因果モデルを構築するための情報（例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等）を記憶する。因果モデル記憶部１０６は、モデル構築部１０１により構築された因果モデルを示す情報（例えば、上記の数６に示す事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）の各パラメータ等）が記憶される。 The model building information storage unit 105 stores information for building a causal model (for example, communication network configuration information, past case information of abnormalities, etc.). The causal model storage unit 106 contains information indicating the causal model constructed by the model construction unit 101 (for example, the posterior probability P (X, Y, z, φ ¹ , φ 2, θ, α, β ^{shown in the above equation 6).} , Γ) parameters, etc.) are stored.

モデル構築部１０１は、学習フェーズにおいて、モデル構築用情報記憶部１０５に記憶されている情報（例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等）に基づいて、上記の数６に示す事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）により表される因果モデルを構築する。例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて、事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）の各パラメータ（例えば、θ、α、β、γ等）が決定されることで、因果モデルが構築される。 In the learning phase, the model building unit 101 is based on the information stored in the model building information storage unit 105 (for example, communication network configuration information, past case information of abnormalities, etc.), and the above number 6 A causal model represented by the posterior probabilities P (X, Y, z, φ ¹ , φ ² , θ, α, β, γ) shown in is constructed. ^{For example, each parameter of posterior probability P (X, Y, z, φ 1} , φ ² , θ, α, β, γ) (for example, based on communication network configuration information, case information of anomalies that have occurred in the past, etc.) , Θ, α, β, γ, etc.), and a causal model is constructed.

異常推定処理部１０２は、推論フェーズにおいて、観測情報を取得する度に、当該観測情報と、モデル構築部１０１により構築された因果モデルとを用いて、数７に示す最大事後確率ｐ＾と、数８に示す機器・要因状態Ｘ＾とを計算する。また、異常推定処理部１０２は、異常種別判定部１０３により異常の種別が非定型異常であると判定された場合、上記の数９に示す機器・要因状態Ｘ＾とを計算する。 In the inference phase, the anomaly estimation processing unit 102 uses the observation information and the causal model constructed by the model construction unit 101 to obtain the maximum posteriori probability p ^ shown in Equation 7 each time the observation information is acquired. The device / factor state X ^ shown in Equation 8 is calculated. Further, when the abnormality estimation processing unit 102 determines that the abnormality type is an atypical abnormality by the abnormality type determination unit 103, the abnormality estimation processing unit 102 calculates the device / factor state X ^ shown in the above equation 9.

すなわち、異常推定処理部１０２は、通信ネットワークで発生した異常の種別が定型異常である場合には、数８に示す機器・要因状態Ｘ＾によって異常箇所・要因を推定する。一方で、異常推定処理部１０２は、通信ネットワークで発生した異常の種別が非定型異常である場合には、モデル構築部１０１により構築された因果モデルを、定型異常と非定型異常との分布の差とした表現したモデルに修正し、このモデル（以降では「修正モデル」とも表す。）を用いて、数９に示す機器・要因状態Ｘ＾を計算して、異常箇所・要因を推定する。 That is, when the type of abnormality generated in the communication network is a standard abnormality, the abnormality estimation processing unit 102 estimates the abnormality location / factor by the device / factor state X ^ shown in Equation 8. On the other hand, when the type of abnormality generated in the communication network is an atypical abnormality, the abnormality estimation processing unit 102 uses the causal model constructed by the model construction unit 101 as the distribution of the typical abnormality and the atypical abnormality. It is modified to a model expressed as a difference, and using this model (hereinafter, also referred to as a "modified model"), the device / factor state X ^ shown in Equation 9 is calculated to estimate the abnormal location / factor.

なお、異常推定装置１０は、例えば、各機器のエラーログやアラート、トラヒック量等を収集する収集装置から観測情報を取得しても良いし、異常推定装置１０が各機器からエラーログやアラート、トラヒック情報等を収集することで観測情報を取得しても良い。 The abnormality estimation device 10 may acquire observation information from a collection device that collects error logs, alerts, traffic amounts, etc. of each device, and the abnormality estimation device 10 may acquire error logs, alerts, and error logs and alerts from each device. Observation information may be acquired by collecting traffic information and the like.

異常種別判定部１０３は、異常推定処理部１０２により計算された最大事後確率ｐ＾に基づいて、通信ネットワークで発生した異常の種別を判定する。異常種別判定部１０３は、例えば、最大事後確率ｐ＾と、予め設定された閾値とを比較し、最大事後確率ｐ＾が閾値以上である場合に定型異常、最大事後確率ｐ＾が閾値未満である場合に非定型異常と判定すれば良い。なお、異常の種別の判定手法は、これに限られない。ただし、可能な限り判定精度が高い方が好ましい。 The abnormality type determination unit 103 determines the type of abnormality that has occurred in the communication network based on the maximum posteriori probability p ^ calculated by the abnormality estimation processing unit 102. The abnormality type determination unit 103 compares, for example, the maximum posteriori probability p ^ with a preset threshold value, and when the maximum posteriori probability p ^ is equal to or greater than the threshold value, the standard abnormality and the maximum posteriori probability p ^ are less than the threshold value. In some cases, it may be determined as an atypical abnormality. The method for determining the type of abnormality is not limited to this. However, it is preferable that the determination accuracy is as high as possible.

ＵＩ部１０４は、異常推定処理部１０２による推定結果（すなわち、通信ネットワークで発生した異常箇所・要因）を表示する。通信ネットワークで発生した異常箇所・要因が表示されることで、オペレータ等は、異常箇所・要因に応じた復旧作業を行うことができる。 The UI unit 104 displays the estimation result (that is, the abnormality location / factor that occurred in the communication network) by the abnormality estimation processing unit 102. By displaying the abnormal location / factor that occurred in the communication network, the operator or the like can perform recovery work according to the abnormal location / factor.

なお、本発明の実施の形態における異常推定装置１０は、１台のコンピュータで構成されていても良いし、複数台のコンピュータで構成されていても良い。異常推定装置１０が複数台のコンピュータで構成されている場合、当該異常推定装置１０が有する各機能部（モデル構築部１０１、異常推定処理部１０２、異常種別判定部１０３、及びＵＩ部１０４）は、複数台のコンピュータに分散されていても良い。 The abnormality estimation device 10 according to the embodiment of the present invention may be composed of one computer or a plurality of computers. When the abnormality estimation device 10 is composed of a plurality of computers, each functional unit (model construction unit 101, abnormality estimation processing unit 102, abnormality type determination unit 103, and UI unit 104) of the abnormality estimation device 10 has. , May be distributed across multiple computers.

また、異常推定装置１０が複数台のコンピュータで構成されている場合、当該異常推定装置１０が有する各記憶部（モデル構築用情報記憶部１０５及び因果モデル記憶部１０６）は、複数台のコンピュータに分散されていても良い。 When the abnormality estimation device 10 is composed of a plurality of computers, each storage unit (model construction information storage unit 105 and causal model storage unit 106) of the abnormality estimation device 10 may be used in a plurality of computers. It may be dispersed.

＜因果モデルの構築処理＞
次に、本発明の実施の形態における因果モデルの構築処理について、図２を参照しながら説明する。図２は、本発明の実施の形態における因果モデルの構築処理の一例を示すフローチャートである。なお、因果モデルの構築処理は、学習フェーズにおける処理である。 <Causal model construction process>
Next, the process of constructing the causal model according to the embodiment of the present invention will be described with reference to FIG. FIG. 2 is a flowchart showing an example of a causal model construction process according to the embodiment of the present invention. The causal model construction process is a process in the learning phase.

ステップＳ１０１：モデル構築部１０１は、例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等をモデル構築用情報記憶部１０５から取得する。 Step S101: The model building unit 101 acquires, for example, communication network configuration information, case information of an abnormality that has occurred in the past, and the like from the model building information storage unit 105.

ステップＳ１０２：次に、モデル構築部１０１は、モデル構築用情報記憶部１０５から取得した情報に基づいて、上記の数６に示す事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）により表される因果モデルを構築する。モデル構築部１０１は、例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて、事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）の各パラメータ（例えば、θ、α、β、γ等）を決定することで、因果モデルを構築される。 Step S102: Next, the model building unit 101 determines the posterior probability P (X, Y, z, φ ¹ , φ ² , θ) shown in the above equation 6 based on the information acquired from the model building information storage unit 105. , Α, β, γ) to build a causal model. ^{The model building unit 101 has, for example, posterior probabilities P (X, Y, z, φ 1} , φ ² , θ, α, β, γ, based on communication network configuration information, case information of abnormalities that have occurred in the past, and the like. ), A causal model is constructed by determining each parameter (for example, θ, α, β, γ, etc.).

そして、モデル構築部１０１は、構築した因果モデルを示す情報（例えば、事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）の各パラメータ等）を因果モデル記憶部１０６に記憶する。 Then, the model building unit 101 uses information indicating the constructed causal model (for example, ^{each parameter of posterior probability P (X, Y, z, φ 1} , φ ² , θ, α, β, γ)) as a causal model. It is stored in the storage unit 106.

以上により、本発明の実施の形態における異常推定装置１０では、学習フェーズにおいて、数６に示す事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）により表される因果モデルが構築される。 As described above, in the abnormality estimation device 10 according to the embodiment of the present invention, the posterior probabilities P (X, Y, z, φ ¹ , φ ² , θ, α, β, γ) shown in Equation 6 are used in the learning phase. A causal model is constructed.

＜異常推定処理＞
次に、本発明の実施の形態における異常推定処理について、図３を参照しながら説明する。図３は、本発明の実施の形態における異常推定処理の一例を示すフローチャートである。なお、異常推定処理は、推論フェーズにおける処理である。また、異常推定処理は、観測情報が取得される度に実行される。 <Abnormality estimation processing>
Next, the abnormality estimation process according to the embodiment of the present invention will be described with reference to FIG. FIG. 3 is a flowchart showing an example of abnormality estimation processing according to the embodiment of the present invention. The anomaly estimation process is a process in the inference phase. In addition, the abnormality estimation process is executed every time the observation information is acquired.

ステップＳ２０１：まず、異常推定処理部１０２は、取得した観測情報と、因果モデル記憶部１０６に記憶されている因果モデルとを用いて、数７に示す最大事後確率ｐ＾と、数８に示す機器・要因状態Ｘ＾とを計算する。これにより、通信ネットワークで発生した異常が定型異常である場合における異常箇所・要因が推定される。 Step S201: First, the abnormality estimation processing unit 102 uses the acquired observation information and the causal model stored in the causal model storage unit 106 to show the maximum posteriori probability p ^ shown in Equation 7 and the maximum posteriori probability p ^ shown in Equation 8. Calculate the device / factor state X ^. As a result, the location and cause of the abnormality can be estimated when the abnormality that occurs in the communication network is a standard abnormality.

ステップＳ２０２：異常種別判定部１０３は、異常推定処理部１０２により計算された最大事後確率ｐ＾に基づいて、通信ネットワークで発生した異常の種別が定型異常又は非定型異常のいずれであるかを判定する。 Step S202: The abnormality type determination unit 103 determines whether the type of abnormality generated in the communication network is a standard abnormality or an atypical abnormality based on the maximum posteriori probability p ^ calculated by the abnormality estimation processing unit 102. To do.

通信ネットワークで発生した異常の種別が非定型異常であると判定された場合、ステップＳ２０３に進み、通信ネットワークで発生した異常の種別が定型異常であると判定された場合、ステップＳ２０４に進む。 If it is determined that the type of abnormality that has occurred in the communication network is an atypical abnormality, the process proceeds to step S203, and if it is determined that the type of abnormality that has occurred in the communication network is a standard abnormality, the process proceeds to step S204.

ステップＳ２０３：異常種別判定部１０３により異常の種別が非定型異常であると判定された場合、異常推定処理部１０２は、観測情報と、修正モデルとを用いて、数９に示す機器・要因状態Ｘ＾を計算する。これにより、通信ネットワークで発生した異常が非定型異常である場合における異常箇所・要因が推定される。上述したように、数９に示す機器・要因状態Ｘ＾は、例えば、ギブスサンプリングを用いて計算することができる。このため、非特許文献４に開示されている推定手法のように全探索を行う必要がなくなり、計算時間を短縮することができる。 Step S203: When the abnormality type determination unit 103 determines that the abnormality type is an atypical abnormality, the abnormality estimation processing unit 102 uses the observation information and the correction model to show the device / factor state shown in Equation 9. Calculate X ^. As a result, the location and cause of the abnormality can be estimated when the abnormality that occurs in the communication network is an atypical abnormality. As described above, the device / factor state X ^ shown in Equation 9 can be calculated using, for example, Gibbs sampling. Therefore, unlike the estimation method disclosed in Non-Patent Document 4, it is not necessary to perform a full search, and the calculation time can be shortened.

ステップＳ２０４：ＵＩ部１０４は、ステップＳ２０１又はステップＳ２０３で計算された機器・要因状態Ｘ＾（すなわち、通信ネットワークで発生した異常箇所・要因）を表示する。すなわち、通信ネットワークで発生した異常が定型異常である場合には、ステップＳ２０１で計算された機器・要因状態Ｘ＾が表示される。一方で、通信ネットワークで発生した異常が非定型異常である場合には、ステップＳ２０３で計算された機器・要因状態Ｘ＾が表示される。 Step S204: The UI unit 104 displays the device / factor state X ^ (that is, the abnormal location / factor that occurred in the communication network) calculated in step S201 or step S203. That is, when the abnormality generated in the communication network is a standard abnormality, the device / factor state X ^ calculated in step S201 is displayed. On the other hand, when the abnormality generated in the communication network is an atypical abnormality, the device / factor state X ^ calculated in step S203 is displayed.

以上により、本発明の実施の形態における異常推定装置１０では、推論フェーズにおいて、学習フェーズで構築した因果モデルを用いて、異常箇所・要因を推定することができる。しかも、本発明の実施の形態における異常推定装置１０では、通信ネットワークで発生した異常の種別が非定型異常である場合には、当該因果モデルを修正したモデルを用いて、異常箇所・要因を推定する。このため、通信ネットワークで発生した異常が非定型異常であっても、異常箇所・要因の推定を短時間で行うことができるようになる。 As described above, in the abnormality estimation device 10 according to the embodiment of the present invention, in the inference phase, the abnormality location / factor can be estimated by using the causal model constructed in the learning phase. Moreover, in the abnormality estimation device 10 according to the embodiment of the present invention, when the type of abnormality generated in the communication network is an atypical abnormality, the abnormality location / factor is estimated by using a model obtained by modifying the causal model. To do. Therefore, even if the abnormality generated in the communication network is an atypical abnormality, the abnormality location / factor can be estimated in a short time.

なお、図３に示す例では、ステップＳ２０１で数８に示す機器・要因状態Ｘ＾を計算し、定型異常の場合における異常箇所・要因を推定しているが、この推定は、ステップＳ２０２で異常の種別が定型異常であると判定された場合にのみ行われても良い。 In the example shown in FIG. 3, the device / factor state X ^ shown in Equation 8 is calculated in step S201 to estimate the abnormal location / factor in the case of a standard abnormality, but this estimation is abnormal in step S202. It may be performed only when it is determined that the type of is abnormal.

＜ハードウェア構成＞
最後に、本発明の実施の形態における異常推定装置１０のハードウェア構成について、図４を参照しながら説明する。図４は、本発明の実施の形態における異常推定装置１０のハードウェア構成の一例を示す図である。 <Hardware configuration>
Finally, the hardware configuration of the abnormality estimation device 10 according to the embodiment of the present invention will be described with reference to FIG. FIG. 4 is a diagram showing an example of the hardware configuration of the abnormality estimation device 10 according to the embodiment of the present invention.

図４に示すように、本発明の実施の形態における異常推定装置１０は、入力装置１１と、表示装置１２と、外部Ｉ／Ｆ１３と、ＲＡＭ（Random Access Memory）１４と、ＲＯＭ（Read Only Memory）１５と、ＣＰＵ（Central Processing Unit）１６と、通信Ｉ／Ｆ１７と、補助記憶装置１８とを有する。これら各ハードウェアは、それぞれがバス１９を介して通信可能に接続されている。 As shown in FIG. 4, the abnormality estimation device 10 according to the embodiment of the present invention includes an input device 11, a display device 12, an external I / F 13, a RAM (Random Access Memory) 14, and a ROM (Read Only Memory). ) 15, a CPU (Central Processing Unit) 16, a communication I / F 17, and an auxiliary storage device 18. Each of these hardware is communicably connected via the bus 19.

入力装置１１は、例えばキーボードやマウス、タッチパネル等であり、ユーザが各種操作を入力するのに用いられる。表示装置１２は、例えばディスプレイ等であり、異常推定装置１０の処理結果を表示する。なお、異常推定装置１０は、入力装置１１及び表示装置１２の少なくとも一方を有していなくても良い。 The input device 11 is, for example, a keyboard, a mouse, a touch panel, or the like, and is used for a user to input various operations. The display device 12 is, for example, a display or the like, and displays the processing result of the abnormality estimation device 10. The abnormality estimation device 10 does not have to have at least one of the input device 11 and the display device 12.

外部Ｉ／Ｆ１３は、外部装置とのインタフェースである。外部装置には、記録媒体１３ａ等がある。異常推定装置１０は、外部Ｉ／Ｆ１３を介して、記録媒体１３ａ等の読み取りや書き込みを行うことができる。記録媒体１３ａには、例えば、本発明の実施の形態における異常推定装置１０が有する各機能部を実現するためのプログラムが格納されていても良い。 The external I / F 13 is an interface with an external device. The external device includes a recording medium 13a and the like. The abnormality estimation device 10 can read or write the recording medium 13a or the like via the external I / F 13. For example, the recording medium 13a may store a program for realizing each functional unit of the abnormality estimation device 10 according to the embodiment of the present invention.

記録媒体１３ａには、例えば、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等がある。 The recording medium 13a includes, for example, a flexible disk, a CD (Compact Disc), a DVD (Digital Versatile Disk), an SD memory card (Secure Digital memory card), a USB (Universal Serial Bus) memory card, and the like.

ＲＡＭ１４は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ１５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。ＲＯＭ１５には、例えば、ＯＳ（Operating System）設定やネットワーク設定等が格納されている。ＣＰＵ１６は、ＲＯＭ１５や補助記憶装置１８等からプログラムやデータをＲＡＭ１４上に読み出して処理を実行する演算装置である。 The RAM 14 is a volatile semiconductor memory that temporarily holds programs and data. The ROM 15 is a non-volatile semiconductor memory capable of holding programs and data even when the power is turned off. The ROM 15 stores, for example, OS (Operating System) settings, network settings, and the like. The CPU 16 is an arithmetic unit that reads a program or data from the ROM 15 or the auxiliary storage device 18 or the like onto the RAM 14 and executes processing.

通信Ｉ／Ｆ１７は、異常推定装置１０を通信ネットワークに接続するためのインタフェースである。本発明の実施の形態における異常推定装置１０が有する各機能部を実現するためのプログラムは、例えば、通信Ｉ／Ｆ１７を介して、所定のサーバ等から取得（ダウンロード）されても良い。 The communication I / F 17 is an interface for connecting the abnormality estimation device 10 to the communication network. The program for realizing each functional unit of the abnormality estimation device 10 according to the embodiment of the present invention may be acquired (downloaded) from a predetermined server or the like via, for example, communication I / F17.

補助記憶装置１８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等であり、プログラムやデータを格納している不揮発性の記憶装置である。補助記憶装置１８に格納されているプログラムやデータには、例えば、ＯＳ、当該ＯＳ上において各種機能を実現するアプリケーションプログラム、本発明の実施の形態における異常推定装置１０が有する各機能部を実現するためのプログラム等がある。 The auxiliary storage device 18 is, for example, an HDD (Hard Disk Drive), an SSD (Solid State Drive), or the like, and is a non-volatile storage device that stores programs and data. The programs and data stored in the auxiliary storage device 18 include, for example, an OS, an application program that realizes various functions on the OS, and each functional unit of the abnormality estimation device 10 according to the embodiment of the present invention. There is a program for this.

本発明の実施の形態における異常推定装置１０が有する各機能部（モデル構築部１０１、異常推定処理部１０２、異常種別判定部１０３、及びＵＩ部１０４）は、当該異常推定装置１０にインストールされた１以上のプログラムがＣＰＵ１６に実行させる処理により実現される。 Each functional unit (model construction unit 101, abnormality estimation processing unit 102, abnormality type determination unit 103, and UI unit 104) of the abnormality estimation device 10 according to the embodiment of the present invention is installed in the abnormality estimation device 10. It is realized by a process of causing the CPU 16 to execute one or more programs.

また、本発明の実施の形態における異常推定装置１０が有する各記憶部（モデル構築用情報記憶部１０５及び因果モデル記憶部１０６）は、例えば補助記憶装置１８を用いて実現される。なお、モデル構築用情報記憶部１０５及び因果モデル記憶部１０６の少なくとも一方の記憶部が、例えば、異常推定装置１０と通信ネットワークを介して接続される記憶装置等を用いて実現されても良い。 Further, each storage unit (model construction information storage unit 105 and causal model storage unit 106) included in the abnormality estimation device 10 according to the embodiment of the present invention is realized by using, for example, an auxiliary storage device 18. In addition, at least one storage unit of the model construction information storage unit 105 and the causal model storage unit 106 may be realized by using, for example, a storage device connected to the abnormality estimation device 10 via a communication network or the like.

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。 The present invention is not limited to the above-described embodiments specifically disclosed, and various modifications and modifications can be made without departing from the scope of claims.

１０ 異常推定装置
１０１ モデル構築部
１０２ 異常推定処理部
１０３ 異常種別判定部
１０４ ＵＩ部
１０５ モデル構築用情報記憶部
１０６ 因果モデル記憶部 10 Abnormality estimation device 101 Model construction unit 102 Abnormality estimation processing unit 103 Abnormality type determination unit 104 UI unit 105 Model construction information storage unit 106 Causal model storage unit

Claims (6)

通信ネットワークの異常箇所を推定する異常推定装置であって、
前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、前記通信ネットワークで発生した異常が定型異常である場合における前記異常箇所を推定する第１の推定手段と、
前記第１の推定手段により計算された最大事後確率に基づいて、前記異常が非定型異常であるか否かを判定する異常種別判定手段と、
前記異常種別判定手段により前記異常が非定型異常であると判定された場合、定型異常の分布と非定型異常の分布との差をペナルティ項として前記因果モデルを修正した修正モデルを用いて、前記異常が非定型異常である場合における前記異常箇所を推定する第２の推定手段と、
を有することを特徴とする異常推定装置。 An anomaly estimation device that estimates anomalous parts of a communication network.
By calculating the maximum posteriori probability using a causal model that represents the causal relationship between the devices that make up the communication network and the observation information of the devices, the abnormalities that occur in the communication network are typical abnormalities. The first estimation method for estimating the location and
An abnormality type determining means for determining whether or not the abnormality is an atypical abnormality based on the maximum posteriori probability calculated by the first estimation means, and
When the abnormality is determined to be an atypical abnormality by the abnormality type determining means, the modified model obtained by modifying the causal model with the difference between the distribution of the typical abnormality and the distribution of the atypical abnormality as a penalty term is used. A second estimation means for estimating the abnormal location when the abnormality is an atypical abnormality, and
Anomaly estimator characterized by having. 前記異常が定型異常又は非定型異常のいずれであるかに応じて、前記第１の推定手段又は前記第２の推定手段のいずれかにより推定された前記異常箇所を出力する出力手段を有する、ことを特徴とする請求項１に記載の異常推定装置。 Having an output means for outputting the abnormality portion estimated by either the first estimation means or the second estimation means depending on whether the abnormality is a standard abnormality or an atypical abnormality. The abnormality estimation device according to claim 1. 前記通信ネットワークを構成する機器の状態を表す機器状態層Ｘと、前記機器の観測情報の状態を表す観測状態層Ｙと、定型異常又は非定型異常のいずれかを表す確率変数ｚと、機器状態層Ｘから観測状態層Ｙへの因果関係を表す分布φ^ｚとに基づいて、前記因果モデルを構築するモデル構築手段を有する、ことを特徴とする請求項１又は２に記載の異常推定装置。 A device state layer X representing the state of the devices constituting the communication network, an observation state layer Y representing the state of the observation information of the device, a random variable z representing either a typical abnormality or an atypical abnormality, and a device state. The abnormality estimation device according to claim 1 or 2, further comprising a model building means for constructing the causal model based on ^{a distribution φ z} representing a causal relationship from the layer X to the observation state layer Y. 前記第２の推定手段は、
前記修正モデルを表す式の最大値をギブスサンプリングにより計算することで、前記異常箇所を推定する、ことを特徴とする請求項１乃至３の何れか一項に記載の異常推定装置。 The second estimation means is
The maximum value of the expression for the pre-Symbol correction model to calculate the Gibbs sampling, the estimates of the abnormal portion, the abnormality estimation apparatus according to any one of claims 1 to 3, characterized in that. 通信ネットワークの異常箇所を推定する異常推定装置が、
前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、前記通信ネットワークで発生した異常が定型異常である場合における前記異常箇所を推定する第１の推定手順と、
前記第１の推定手順により計算された最大事後確率に基づいて、前記異常が非定型異常であるか否かを判定する異常種別判定手順と、
前記異常種別判定手順により前記異常が非定型異常であると判定された場合、定型異常の分布と非定型異常の分布との差をペナルティ項として前記因果モデルを修正した修正モデルを用いて、前記異常が非定型異常である場合における前記異常箇所を推定する第２の推定手順と、
を実行することを特徴とする異常推定方法。 An anomaly estimation device that estimates anomalous parts of a communication network
By calculating the maximum posteriori probability using a causal model that represents the causal relationship between the devices that make up the communication network and the observation information of the devices, the abnormalities that occur in the communication network are typical abnormalities. The first estimation procedure for estimating the location and
An abnormality type determination procedure for determining whether or not the abnormality is an atypical abnormality based on the maximum posteriori probability calculated by the first estimation procedure, and
When the abnormality is determined to be an atypical abnormality by the abnormality type determination procedure, the correction model obtained by modifying the causal model with the difference between the distribution of the typical abnormality and the distribution of the atypical abnormality as a penalty term is used. A second estimation procedure for estimating the abnormal location when the abnormality is an atypical abnormality, and
Anomaly estimation method characterized by executing. コンピュータを、請求項１乃至４の何れか一項に記載の異常推定装置における各手段として機能させるためのプログラム。 A program for causing a computer to function as each means in the abnormality estimation device according to any one of claims 1 to 4.

Images