JP6835702B2 - 異常推定装置、異常推定方法及びプログラム - Google Patents

Description

本発明は、異常推定装置、異常推定方法及びプログラムに関する。

通信ネットワークで発生した異常の対応は、異常検知、異常箇所・要因の特定、復旧の順に行われる。異常箇所・要因の特定では、例えば、因果モデルによる異常箇所・要因の推定手法が行われている（非特許文献１〜３参照）。因果モデルによる異常箇所・要因の推定手法は、学習フェーズと推論フェーズとの２つのフェーズから構成される。

学習フェーズでは、通信ネットワークシステムの構成要素であるルータやサーバ等の異常と、通信ネットワークシステムの構成要素から得られるエラーログやアラート、トラヒック量等を表す様々な観測情報の値との因果関係を表す因果モデルを構築する。

因果モデルは、例えば、通信ネットワークシステムの構成要素の１つ１つを機器・要因状態層のノードとし、各ノードで異常が発生した場合に影響を与える観測状態層のノードに向かって重み付きのエッジを張ることで構築される。この重みは条件付き確率で規定される。通信ネットワークシステムの専門家の知識や過去に発生した異常の事例情報等に基づいて、全てのノードに対して重み付きエッジを張ることで、通信ネットワークシステム全体の因果関係を記述した因果モデルが得られる。

推論フェーズでは、通信ネットワークシステムで異常が発生したときに得られる観測情報の値と、学習フェーズで作成した因果モデルとから、事前確率と条件付き確率とが最大になるようにエッジを逆に辿ることで、異常箇所・要因を推定する。なお、事前確率と条件付き確率とが最大となる場合の事後確率を最大事後確率と呼び、この時の機器・要因状態層の値が推定結果である。

ここで、因果モデルは、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて構築されるが、構築された因果モデルは必ずしも正確でない場合がある。例えば、因果モデルには、過去に発生したことがない異常が発生した場合の因果関係は記述されない。また、通信ネットワークシステムを構成する機器が更改された場合等には、当該機器を示すノードと、観測状態層のノードとの因果関係が変わる場合もあり、学習フェーズのみで通信ネットワークシステム全体の因果関係を正確に記述した因果モデルを構築することは困難である。

また、異常が発生しても機器がアラートを出力しない場合や観測情報の分析ミス等によって観測状態層のノードを異常状態と推定してしまう場合がある。このように、本来の観測情報の状態（言い換えれば、真の観測状態）を必ずしも容易に判断できない場合がある。このような異常は非定型異常と呼ばれる。一方で、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて構築される因果モデルで推定可能な異常は定型異常と呼ばれる。

これに対して、観測情報の不正確性に対応する関数を導入し、推定時に因果モデルの修正を行うことで、非定型異常の異常箇所・要因も推定可能な因果モデルによる異常箇所・要因の推定手法が提案されている（非特許文献４参照）。

Srikanth Kandula, Dina Katabi, and Jean-philippe Vasseur. Shrink: A tool for failure diagnosis in IP networks. Proceedings of the 2005 ACM SIGCOMM workshop on Mining network data, pages 173-178, 2005. R.R. Kompella, J. Yates, A. Greenberg, and A.C. Snoeren. IP Fault Localization via Risk Modeling. IEEE Transactions on Dependable and Secure Computing, 7(4):1-14, 2010. He Yan, Lee Breslau, Zihui Ge, Dan Massey, Dan Pei, and Jennifer Yates. G-RCA: A Generic Root Cause Analysis Platform for Service Quality Management in Large IP Networks. IEEE/ACM Transactions on Networking, 20(6):1734-1747, 2012. 松尾洋一, 中野雄介, 渡邉暁, 渡辺敬志郎, 石橋圭介, 川原亮一, "非定型故障の原因箇所推定技術の検討," 信学会総合大会, B-7-35, 2017.

ところで、通信ネットワークで発生した異常が非定型異常であった場合、例えば、機器と観測情報との因果関係は事前に構築した因果モデルと異なることがある。そこで、非特許文献４では、最大事後確率ｐと、エッジに変更を与える関数及び観測状態に対するノイズを与える関数による変換度合いの大きさとを比較しながら、因果モデルを修正する修正候補を全パターン試し（すなわち、修正候補の全探索を行って）、当該因果モデルを修正することで、非定型異常が発生した場合における異常箇所・要因の推定を可能としている。しかしながら、非特許文献４に開示されている推定手法では、機器数や観測数が増加すると、因果モデルの修正候補が組み合わせ的に増加する。例えば、機器・要因数をＮ、観測数をＭとした場合、その組み合わせ数は２^Ｎ×２^Ｍとなる。

このため、非特許文献４に開示されている推定手法では、異常箇所・要因の推定に膨大な時間を要していた。

本発明は、上記の点に鑑みてなされたもので、非定型異常の異常箇所・要因の推定に要する時間を短縮させることを目的とする。

そこで、本発明の実施の形態では、通信ネットワークの異常箇所を推定する異常推定装置であって、前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、前記通信ネットワークで発生した異常が定型異常である場合における前記異常箇所を推定する第１の推定手段と、前記推定手段により計算された最大事後確率に基づいて、前記異常が非定型異常であるか否かを判定する異常種別判定手段と、前記異常種別判定手段により前記異常が非定型異常であると判定された場合、定型異常の分布と非定型異常の分布との差によって前記因果モデルを修正した修正モデルを用いて、前記異常が非定型異常である場合における前記異常箇所を推定する第２の推定手段と、を有することを特徴とする。

非定型異常の異常箇所・要因の推定に要する時間を短縮させることができる。

本発明の実施の形態における異常推定装置の機能構成の一例を示す図である。 本発明の実施の形態における因果モデルの構築処理の一例を示すフローチャートである。 本発明の実施の形態における異常推定処理の一例を示すフローチャートである。 本発明の実施の形態における異常推定装置のハードウェア構成の一例を示す図である。

以下、本発明の実施の形態について、図面を参照しながら説明する。以降では、因果モデルによる異常箇所・要因の推定手法により、通信ネットワークで発生した異常の異常箇所・要因を推定する異常推定装置１０について説明する。

因果モデルによる異常箇所・要因の推定手法では、現在の観測情報の値に対して、事前確率と条件付き確率とが最大となる事後確率（最大事後確率）を計算することで、機器・要因状態層を推定する。

そこで、本発明の実施の形態では、機器・要因の状態層Ｘ＝（ｘ_１，・・・，ｘ_Ｎ）と、観測情報の状態層Ｙ＝（ｙ_１，・・・，ｙ_Ｍ）とを結んだ有向マルコフモデルにおいて事前確率と条件付き確率とを定義し、これらの事前確率と条件付き確率とによって事後確率を新たに定義する。学習フェーズでは、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて、この事後確率により表されるモデル（因果モデル）を構築する。そして、推論フェーズでは、現在の観測情報の値に対して、この事後確率を最大化させる機器・要因の状態を推定することで、異常箇所・要因を推定する。

なお、観測情報は、上述したように、例えば、通信ネットワークシステムの構成要素から得られるエラーログやアラート、トラヒック量等を表す情報である。観測情報の値（観測値）は、例えば、エラーログやアラートである場合に「１」、そうでない場合に「０」となる。同様に、観測情報の値（観測値）は、例えば、機器のトラヒック量が或る閾値を超えた場合に「１」、そうでない場合に「０」となる。

＜事前確率＞
まず、事前確率を定義する。ｘ_ｉを機器・要因ｉの状態とし、ｘ_ｉは０又は１を取る確率変数とする。ここで、０は正常状態を表し、１は異常状態を表すものとする。また、Ｎ個の機器・要因ｉの状態に対して、機器・要因の状態層ＸをＸ＝（ｘ_１，・・・，ｘ_Ｎ）とし、

とする。ここで、αは機器・要因の異常度合を表す事前確率のパラメータである。

このとき、Ｎ個の機器・要因群に対して、事前確率Ｐ（Ｘ｜α）を以下の数２で定義する。

＜条件付き確率＞
次に条件付き確率を定義する。ｙ_ｊを観測情報ｊの観測値とし、ｙ_ｊは０又は１を取る確率変数とする。ここで、０は正常状態が観測されたことを表し、１は異常状態が観測されたことを表すものとする。また、Ｍ個の観測情報ｊの観測値に対して、観測情報の状態層ＹをＹ＝（ｙ_１，・・・，ｙ_Ｍ）とする。

更に、ｚを異常の種別を表す確率変数とする。ｚは１又は２を取り、ｚ＝１は定型異常、ｚ＝２は非定型異常を表すものとし、

とする。ここで、γは定型異常又は非定型異常の出現のし易さを表すパラメータである。なお、通信ネットワークで異常が発生した場合、ｚの値が１であるか又は２であるかは決定されている（言い換えれば、通信ネットワークで発生した異常が定型異常又は非定型異常のいずれであるかは決定されている）が、本実施形態ではｚを確率変数として扱う。

また、φ^ｚを機器・要因の状態層Ｘと観測情報の状態層Ｙとの因果関係の有無を表す分布とする。機器・要因ｉの状態ｘ_ｉと、観測情報ｊの観測値ｙ_ｊとに対して、φ^１ _ｉ，ｊは定型異常が発生した場合の因果関係の有無を表す分布であり、例えば非特許文献１〜３に開示されている手法を用いて決定される。なお、φ^１ _ｉ，ｊは決定的に決まる分布であるが、本実施形態では確率分布として扱う。

一方で、機器・要因ｉの状態ｘ_ｉと、観測情報ｊの観測値ｙ_ｊとに対して、φ^２ _ｉ，ｊは非定型異常が発生した場合の因果関係を表す分布であり、

とする。ここで、θはパラメータである。

このとき、δをデルタ関数とし、真であれば１を、そうでなければ０を返す関数として、条件付き確率Ｐ（Ｙ｜Ｘ，ｚ，φ^１，φ^２，θ，β，γ）を以下の数５で定義する。

ここで、βは、機器・要因群の異常と、異常状態を示す観測値との因果関係の影響度合いを表す条件付き確率のパラメータである。また、ｃは規格化定数である。

＜事後確率＞
次に、事後確率を定義する。上記の数２で定義した事前確率と、上記の数５で定義した条件付き確率とを用いて、事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）は、以下の数６で定義される。

この事後確率が学習フェーズで構築される因果モデルである。

＜異常箇所・要因の推定＞
次に、上記の数６で定義した事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）を用いて異常箇所・要因を推定する場合について説明する。通信ネットワークで発生した異常の種別が定型異常である場合、現在の観測情報に対して、ｚ＝１として、以下の数７により最大事後確率ｐ＾と、以下の数８により機器・要因状態Ｘ＾とを計算する。

この機器・要因状態Ｘ＾が定型異常である場合の推定結果（例えば、異常箇所・要因の推定結果）である。なお、上記の数７及び数８は、例えば、確率伝搬法等を用いて計算することができる。確率伝搬法については、例えば、参考文献「Bishop, Christopher M. (2006), Pattern Recognition and Machine Learning, Springer, ISBN 0-387-31073-8」を参照されたい。

一方で、通信ネットワークで発生した異常の種別が非定型異常である場合、現在の観測情報に対して、ｚ＝２として、以下の数９により機器・要因状態Ｘ＾を計算する。

ここで、ｃ´は規格化定数である。

この機器・要因状態Ｘ＾が非定型異常である場合の推定結果である。なお、上記の数９は、例えば、ギブスサンプリング等を用いて計算することができる。ギブスサンプリングについては上記の参考文献を参照されたい。

上記の数９は、φ^２により非定型異常の因果関係を表し、θとφ^２とを変化させつつ、φ^１とφ^２とが乖離し過ぎないようにするペナルティ項τ（｜φ^１−φ^２｜_２）を導入することで、非定型異常時の因果関係を推定する問題とした。言い換えれば、数９は、φ^１とφ^２との乖離度（分布の差）に重み付けを調整する任意の定数τを乗じた値をペナルティ項として導入し、事後確率が最大となるＸ、θ、φ^２を求める問題である。なお、｜・｜_２はＬ２ノルムである。ペナルティ項はφ^１とφ^２との乖離度に基づく値であれば良く、例えば、Ｌ１ノルム等が用いられても良い。

このように確率モデルで定式化することで、ギブスサンプリング等の手法を使用でき、全探索する必要がなくなるため計算時間を短縮することができる。

＜機能構成＞
次に、本発明の実施の形態における異常推定装置１０の機能構成について、図１を参照しながら説明する。図１は、本発明の実施の形態における異常推定装置１０の機能構成の一例を示す図である。

図１に示すように、本発明の実施の形態における異常推定装置１０は、モデル構築部１０１と、異常推定処理部１０２と、異常種別判定部１０３と、ＵＩ部１０４とを有する。また、本発明の実施の形態における異常推定装置１０は、モデル構築用情報記憶部１０５と、因果モデル記憶部１０６とを記憶する。

モデル構築用情報記憶部１０５は、因果モデルを構築するための情報（例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等）を記憶する。因果モデル記憶部１０６は、モデル構築部１０１により構築された因果モデルを示す情報（例えば、上記の数６に示す事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）の各パラメータ等）が記憶される。

モデル構築部１０１は、学習フェーズにおいて、モデル構築用情報記憶部１０５に記憶されている情報（例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等）に基づいて、上記の数６に示す事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）により表される因果モデルを構築する。例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて、事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）の各パラメータ（例えば、θ、α、β、γ等）が決定されることで、因果モデルが構築される。

異常推定処理部１０２は、推論フェーズにおいて、観測情報を取得する度に、当該観測情報と、モデル構築部１０１により構築された因果モデルとを用いて、数７に示す最大事後確率ｐ＾と、数８に示す機器・要因状態Ｘ＾とを計算する。また、異常推定処理部１０２は、異常種別判定部１０３により異常の種別が非定型異常であると判定された場合、上記の数９に示す機器・要因状態Ｘ＾とを計算する。

すなわち、異常推定処理部１０２は、通信ネットワークで発生した異常の種別が定型異常である場合には、数８に示す機器・要因状態Ｘ＾によって異常箇所・要因を推定する。一方で、異常推定処理部１０２は、通信ネットワークで発生した異常の種別が非定型異常である場合には、モデル構築部１０１により構築された因果モデルを、定型異常と非定型異常との分布の差とした表現したモデルに修正し、このモデル（以降では「修正モデル」とも表す。）を用いて、数９に示す機器・要因状態Ｘ＾を計算して、異常箇所・要因を推定する。

なお、異常推定装置１０は、例えば、各機器のエラーログやアラート、トラヒック量等を収集する収集装置から観測情報を取得しても良いし、異常推定装置１０が各機器からエラーログやアラート、トラヒック情報等を収集することで観測情報を取得しても良い。

異常種別判定部１０３は、異常推定処理部１０２により計算された最大事後確率ｐ＾に基づいて、通信ネットワークで発生した異常の種別を判定する。異常種別判定部１０３は、例えば、最大事後確率ｐ＾と、予め設定された閾値とを比較し、最大事後確率ｐ＾が閾値以上である場合に定型異常、最大事後確率ｐ＾が閾値未満である場合に非定型異常と判定すれば良い。なお、異常の種別の判定手法は、これに限られない。ただし、可能な限り判定精度が高い方が好ましい。

ＵＩ部１０４は、異常推定処理部１０２による推定結果（すなわち、通信ネットワークで発生した異常箇所・要因）を表示する。通信ネットワークで発生した異常箇所・要因が表示されることで、オペレータ等は、異常箇所・要因に応じた復旧作業を行うことができる。

なお、本発明の実施の形態における異常推定装置１０は、１台のコンピュータで構成されていても良いし、複数台のコンピュータで構成されていても良い。異常推定装置１０が複数台のコンピュータで構成されている場合、当該異常推定装置１０が有する各機能部（モデル構築部１０１、異常推定処理部１０２、異常種別判定部１０３、及びＵＩ部１０４）は、複数台のコンピュータに分散されていても良い。

また、異常推定装置１０が複数台のコンピュータで構成されている場合、当該異常推定装置１０が有する各記憶部（モデル構築用情報記憶部１０５及び因果モデル記憶部１０６）は、複数台のコンピュータに分散されていても良い。

＜因果モデルの構築処理＞
次に、本発明の実施の形態における因果モデルの構築処理について、図２を参照しながら説明する。図２は、本発明の実施の形態における因果モデルの構築処理の一例を示すフローチャートである。なお、因果モデルの構築処理は、学習フェーズにおける処理である。

ステップＳ１０１：モデル構築部１０１は、例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等をモデル構築用情報記憶部１０５から取得する。

ステップＳ１０２：次に、モデル構築部１０１は、モデル構築用情報記憶部１０５から取得した情報に基づいて、上記の数６に示す事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）により表される因果モデルを構築する。モデル構築部１０１は、例えば、通信ネットワークの構成情報や過去に発生した異常の事例情報等に基づいて、事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）の各パラメータ（例えば、θ、α、β、γ等）を決定することで、因果モデルを構築される。

そして、モデル構築部１０１は、構築した因果モデルを示す情報（例えば、事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）の各パラメータ等）を因果モデル記憶部１０６に記憶する。

以上により、本発明の実施の形態における異常推定装置１０では、学習フェーズにおいて、数６に示す事後確率Ｐ（Ｘ，Ｙ，ｚ，φ^１，φ^２，θ，α，β，γ）により表される因果モデルが構築される。

＜異常推定処理＞
次に、本発明の実施の形態における異常推定処理について、図３を参照しながら説明する。図３は、本発明の実施の形態における異常推定処理の一例を示すフローチャートである。なお、異常推定処理は、推論フェーズにおける処理である。また、異常推定処理は、観測情報が取得される度に実行される。

ステップＳ２０１：まず、異常推定処理部１０２は、取得した観測情報と、因果モデル記憶部１０６に記憶されている因果モデルとを用いて、数７に示す最大事後確率ｐ＾と、数８に示す機器・要因状態Ｘ＾とを計算する。これにより、通信ネットワークで発生した異常が定型異常である場合における異常箇所・要因が推定される。

ステップＳ２０２：異常種別判定部１０３は、異常推定処理部１０２により計算された最大事後確率ｐ＾に基づいて、通信ネットワークで発生した異常の種別が定型異常又は非定型異常のいずれであるかを判定する。

通信ネットワークで発生した異常の種別が非定型異常であると判定された場合、ステップＳ２０３に進み、通信ネットワークで発生した異常の種別が定型異常であると判定された場合、ステップＳ２０４に進む。

ステップＳ２０３：異常種別判定部１０３により異常の種別が非定型異常であると判定された場合、異常推定処理部１０２は、観測情報と、修正モデルとを用いて、数９に示す機器・要因状態Ｘ＾を計算する。これにより、通信ネットワークで発生した異常が非定型異常である場合における異常箇所・要因が推定される。上述したように、数９に示す機器・要因状態Ｘ＾は、例えば、ギブスサンプリングを用いて計算することができる。このため、非特許文献４に開示されている推定手法のように全探索を行う必要がなくなり、計算時間を短縮することができる。

ステップＳ２０４：ＵＩ部１０４は、ステップＳ２０１又はステップＳ２０３で計算された機器・要因状態Ｘ＾（すなわち、通信ネットワークで発生した異常箇所・要因）を表示する。すなわち、通信ネットワークで発生した異常が定型異常である場合には、ステップＳ２０１で計算された機器・要因状態Ｘ＾が表示される。一方で、通信ネットワークで発生した異常が非定型異常である場合には、ステップＳ２０３で計算された機器・要因状態Ｘ＾が表示される。

以上により、本発明の実施の形態における異常推定装置１０では、推論フェーズにおいて、学習フェーズで構築した因果モデルを用いて、異常箇所・要因を推定することができる。しかも、本発明の実施の形態における異常推定装置１０では、通信ネットワークで発生した異常の種別が非定型異常である場合には、当該因果モデルを修正したモデルを用いて、異常箇所・要因を推定する。このため、通信ネットワークで発生した異常が非定型異常であっても、異常箇所・要因の推定を短時間で行うことができるようになる。

なお、図３に示す例では、ステップＳ２０１で数８に示す機器・要因状態Ｘ＾を計算し、定型異常の場合における異常箇所・要因を推定しているが、この推定は、ステップＳ２０２で異常の種別が定型異常であると判定された場合にのみ行われても良い。

＜ハードウェア構成＞
最後に、本発明の実施の形態における異常推定装置１０のハードウェア構成について、図４を参照しながら説明する。図４は、本発明の実施の形態における異常推定装置１０のハードウェア構成の一例を示す図である。

図４に示すように、本発明の実施の形態における異常推定装置１０は、入力装置１１と、表示装置１２と、外部Ｉ／Ｆ１３と、ＲＡＭ（Random Access Memory）１４と、ＲＯＭ（Read Only Memory）１５と、ＣＰＵ（Central Processing Unit）１６と、通信Ｉ／Ｆ１７と、補助記憶装置１８とを有する。これら各ハードウェアは、それぞれがバス１９を介して通信可能に接続されている。

入力装置１１は、例えばキーボードやマウス、タッチパネル等であり、ユーザが各種操作を入力するのに用いられる。表示装置１２は、例えばディスプレイ等であり、異常推定装置１０の処理結果を表示する。なお、異常推定装置１０は、入力装置１１及び表示装置１２の少なくとも一方を有していなくても良い。

外部Ｉ／Ｆ１３は、外部装置とのインタフェースである。外部装置には、記録媒体１３ａ等がある。異常推定装置１０は、外部Ｉ／Ｆ１３を介して、記録媒体１３ａ等の読み取りや書き込みを行うことができる。記録媒体１３ａには、例えば、本発明の実施の形態における異常推定装置１０が有する各機能部を実現するためのプログラムが格納されていても良い。

記録媒体１３ａには、例えば、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等がある。

ＲＡＭ１４は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ１５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。ＲＯＭ１５には、例えば、ＯＳ（Operating System）設定やネットワーク設定等が格納されている。ＣＰＵ１６は、ＲＯＭ１５や補助記憶装置１８等からプログラムやデータをＲＡＭ１４上に読み出して処理を実行する演算装置である。

通信Ｉ／Ｆ１７は、異常推定装置１０を通信ネットワークに接続するためのインタフェースである。本発明の実施の形態における異常推定装置１０が有する各機能部を実現するためのプログラムは、例えば、通信Ｉ／Ｆ１７を介して、所定のサーバ等から取得（ダウンロード）されても良い。

補助記憶装置１８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等であり、プログラムやデータを格納している不揮発性の記憶装置である。補助記憶装置１８に格納されているプログラムやデータには、例えば、ＯＳ、当該ＯＳ上において各種機能を実現するアプリケーションプログラム、本発明の実施の形態における異常推定装置１０が有する各機能部を実現するためのプログラム等がある。

本発明の実施の形態における異常推定装置１０が有する各機能部（モデル構築部１０１、異常推定処理部１０２、異常種別判定部１０３、及びＵＩ部１０４）は、当該異常推定装置１０にインストールされた１以上のプログラムがＣＰＵ１６に実行させる処理により実現される。

また、本発明の実施の形態における異常推定装置１０が有する各記憶部（モデル構築用情報記憶部１０５及び因果モデル記憶部１０６）は、例えば補助記憶装置１８を用いて実現される。なお、モデル構築用情報記憶部１０５及び因果モデル記憶部１０６の少なくとも一方の記憶部が、例えば、異常推定装置１０と通信ネットワークを介して接続される記憶装置等を用いて実現されても良い。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

１０ 異常推定装置
１０１ モデル構築部
１０２ 異常推定処理部
１０３ 異常種別判定部
１０４ ＵＩ部
１０５ モデル構築用情報記憶部
１０６ 因果モデル記憶部

Claims (6)

1. 通信ネットワークの異常箇所を推定する異常推定装置であって、
   前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、前記通信ネットワークで発生した異常が定型異常である場合における前記異常箇所を推定する第１の推定手段と、
   前記第１の推定手段により計算された最大事後確率に基づいて、前記異常が非定型異常であるか否かを判定する異常種別判定手段と、
   前記異常種別判定手段により前記異常が非定型異常であると判定された場合、定型異常の分布と非定型異常の分布との差をペナルティ項として前記因果モデルを修正した修正モデルを用いて、前記異常が非定型異常である場合における前記異常箇所を推定する第２の推定手段と、
   を有することを特徴とする異常推定装置。
2. 前記異常が定型異常又は非定型異常のいずれであるかに応じて、前記第１の推定手段又は前記第２の推定手段のいずれかにより推定された前記異常箇所を出力する出力手段を有する、ことを特徴とする請求項１に記載の異常推定装置。
3. 前記通信ネットワークを構成する機器の状態を表す機器状態層Ｘと、前記機器の観測情報の状態を表す観測状態層Ｙと、定型異常又は非定型異常のいずれかを表す確率変数ｚと、機器状態層Ｘから観測状態層Ｙへの因果関係を表す分布φ^ｚとに基づいて、前記因果モデルを構築するモデル構築手段を有する、ことを特徴とする請求項１又は２に記載の異常推定装置。
4. 前記第２の推定手段は、
   前記修正モデルを表す式の最大値をギブスサンプリングにより計算することで、前記異常箇所を推定する、ことを特徴とする請求項１乃至３の何れか一項に記載の異常推定装置。
5. 通信ネットワークの異常箇所を推定する異常推定装置が、
   前記通信ネットワークを構成する機器と、該機器の観測情報との因果関係を表す因果モデルを用いて最大事後確率を計算することで、前記通信ネットワークで発生した異常が定型異常である場合における前記異常箇所を推定する第１の推定手順と、
   前記第１の推定手順により計算された最大事後確率に基づいて、前記異常が非定型異常であるか否かを判定する異常種別判定手順と、
   前記異常種別判定手順により前記異常が非定型異常であると判定された場合、定型異常の分布と非定型異常の分布との差をペナルティ項として前記因果モデルを修正した修正モデルを用いて、前記異常が非定型異常である場合における前記異常箇所を推定する第２の推定手順と、
   を実行することを特徴とする異常推定方法。
6. コンピュータを、請求項１乃至４の何れか一項に記載の異常推定装置における各手段として機能させるためのプログラム。

Images