知財求人 - 知財ポータルサイト「IP Force」
▶ 三菱電機株式会社の特許一覧 ▶ 三菱電機インフォメーションネットワーク株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024120197
(43)【公開日】2024-09-05
(54)【発明の名称】データ分析装置及びデータ分析方法
(51)【国際特許分類】
G06F 11/07 20060101AFI20240829BHJP
【ＦＩ】
G06F11/07 166
【審査請求】未請求
【請求項の数】18
【出願形態】ＯＬ
(21)【出願番号】P 2023026823
(22)【出願日】2023-02-24
(71)【出願人】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(71)【出願人】
【識別番号】501158538
【氏名又は名称】三菱電機インフォメーションネットワーク株式会社
(74)【代理人】
【識別番号】110003166
【氏名又は名称】弁理士法人山王内外特許事務所
(72)【発明者】
【氏名】三塚 由浩
(72)【発明者】
【氏名】志鎌 圭芳
(72)【発明者】
【氏名】橋本 美樹
(72)【発明者】
【氏名】吉村 玄太
(72)【発明者】
【氏名】酒井 亮佑
【テーマコード（参考）】
5B042
【Ｆターム（参考）】
5B042MA14
5B042MC40
(57)【要約】 （修正有）
【課題】システムに生じた複数の事象の中で、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして特定するデータ分析装置及び方法を提供する。
【解決手段】データ分析装置において、照合パターン抽出部は、システムが正常であるときに生じた複数の事象における夫々の発生時刻を示す第１の時系列データを取得する第１の時系列データ取得部２１と、第１の時系列データ取得部が取得した第１の時系列データが示す発生時刻に基づいて、システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第１のトランザクション特定部２２と、を備え、システムに生じた複数の事象の中で、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして特定する。
【選択図】図２
【解決手段】データ分析装置において、照合パターン抽出部は、システムが正常であるときに生じた複数の事象における夫々の発生時刻を示す第１の時系列データを取得する第１の時系列データ取得部２１と、第１の時系列データ取得部が取得した第１の時系列データが示す発生時刻に基づいて、システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第１のトランザクション特定部２２と、を備え、システムに生じた複数の事象の中で、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして特定する。
【選択図】図２
【特許請求の範囲】
【請求項1】
動作中に複数の事象が生じるシステムが正常であるときに、前記システムに生じた複数の事象におけるそれぞれの発生時刻を示す第１の時系列データを取得する第１の時系列データ取得部と、
前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、前記システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第１のトランザクション特定部と、
前記システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、前記２つ以上の事象が共起している確率である共起確率を算出し、前記第１のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中から、前記共起確率に基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する照合パターン選択部と
を備えたデータ分析装置。
前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、前記システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第１のトランザクション特定部と、
前記システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、前記２つ以上の事象が共起している確率である共起確率を算出し、前記第１のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中から、前記共起確率に基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する照合パターン選択部と
を備えたデータ分析装置。
【請求項2】
前記第１のトランザクション特定部は、
前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、前記システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定することを特徴とする請求項１記載のデータ分析装置。
前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、前記システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定することを特徴とする請求項１記載のデータ分析装置。
【請求項3】
前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、前記照合パターン選択部により選択された照合パターンに含まれている２つ以上の事象間の正常な範囲の発生間隔を推定する正常範囲推定部を備えたことを特徴とする請求項１記載のデータ分析装置。
【請求項4】
前記正常範囲推定部は、
前記照合パターン選択部により選択された照合パターンに含まれている２つ以上の事象間の正常な範囲の発生間隔として、前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、前記照合パターンに含まれている２つ以上の事象間の発生間隔を算出することを特徴とする請求項３記載のデータ分析装置。
前記照合パターン選択部により選択された照合パターンに含まれている２つ以上の事象間の正常な範囲の発生間隔として、前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、前記照合パターンに含まれている２つ以上の事象間の発生間隔を算出することを特徴とする請求項３記載のデータ分析装置。
【請求項5】
前記正常範囲推定部は、
前記照合パターン選択部により同じ照合パターンが複数選択された場合、前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、複数選択された照合パターンのそれぞれに含まれている２つ以上の事象間の発生間隔を算出し、前記正常な範囲の発生間隔として、前記複数選択された照合パターンのそれぞれに含まれている２つ以上の事象間の発生間隔の統計量を算出することを特徴とする請求項３記載のデータ分析装置。
前記照合パターン選択部により同じ照合パターンが複数選択された場合、前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、複数選択された照合パターンのそれぞれに含まれている２つ以上の事象間の発生間隔を算出し、前記正常な範囲の発生間隔として、前記複数選択された照合パターンのそれぞれに含まれている２つ以上の事象間の発生間隔の統計量を算出することを特徴とする請求項３記載のデータ分析装置。
【請求項6】
２つ以上の事象に対する重み付けの指定を受け付ける指定受付部を備え、
前記照合パターン選択部は、
前記第１のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中から、前記共起確率と前記指定受付部により指定が受け付けられた重み付けとに基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択することを特徴とする請求項１記載のデータ分析装置。
前記照合パターン選択部は、
前記第１のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中から、前記共起確率と前記指定受付部により指定が受け付けられた重み付けとに基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択することを特徴とする請求項１記載のデータ分析装置。
【請求項7】
前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象におけるそれぞれの発生時刻を示す第２の時系列データを取得する第２の時系列データ取得部と、
前記第２の時系列データ取得部により取得された第２の時系列データが示す発生時刻に基づいて、前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第２のトランザクション特定部と、
前記第２のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中に、前記照合パターン選択部により選択された照合パターンが含まれているか否かを判定する判定部と
を備えていることを特徴とする請求項１記載のデータ分析装置。
前記第２の時系列データ取得部により取得された第２の時系列データが示す発生時刻に基づいて、前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第２のトランザクション特定部と、
前記第２のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中に、前記照合パターン選択部により選択された照合パターンが含まれているか否かを判定する判定部と
を備えていることを特徴とする請求項１記載のデータ分析装置。
【請求項8】
前記第２のトランザクション特定部は、
前記第２の時系列データ取得部により取得された第２の時系列データが示す発生時刻に基づいて、前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定することを特徴とする請求項７記載のデータ分析装置。
前記第２の時系列データ取得部により取得された第２の時系列データが示す発生時刻に基づいて、前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定することを特徴とする請求項７記載のデータ分析装置。
【請求項9】
前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象におけるそれぞれの発生時刻を示す第２の時系列データを取得する第２の時系列データ取得部と、
前記第２の時系列データ取得部により取得された第２の時系列データが示す発生時刻に基づいて、前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第２のトランザクション特定部と、
前記第２のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中に、前記照合パターン選択部により選択された照合パターンが含まれているか否かを判定する判定部とを備え、
前記判定部は、
前記第２のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中に、前記照合パターンに含まれている一方の事象のみが含まれており、前記照合パターンに含まれている他方の事象が、前記一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれているとき、前記一方の事象と前記他方の事象との間の発生間隔が、前記正常範囲推定部により推定された正常な範囲の発生間隔以内であれば、前記一方の事象と前記他方の事象とが同じトランザクションに含まれているとみなすことを特徴とする請求項３記載のデータ分析装置。
前記第２の時系列データ取得部により取得された第２の時系列データが示す発生時刻に基づいて、前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第２のトランザクション特定部と、
前記第２のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中に、前記照合パターン選択部により選択された照合パターンが含まれているか否かを判定する判定部とを備え、
前記判定部は、
前記第２のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中に、前記照合パターンに含まれている一方の事象のみが含まれており、前記照合パターンに含まれている他方の事象が、前記一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれているとき、前記一方の事象と前記他方の事象との間の発生間隔が、前記正常範囲推定部により推定された正常な範囲の発生間隔以内であれば、前記一方の事象と前記他方の事象とが同じトランザクションに含まれているとみなすことを特徴とする請求項３記載のデータ分析装置。
【請求項10】
前記第２のトランザクション特定部は、
前記第２の時系列データ取得部により取得された第２の時系列データが示す発生時刻に基づいて、前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定することを特徴とする請求項９記載のデータ分析装置。
前記第２の時系列データ取得部により取得された第２の時系列データが示す発生時刻に基づいて、前記システムの異常の判定が行われるに際して、前記システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定することを特徴とする請求項９記載のデータ分析装置。
【請求項11】
前記第２のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中に、前記照合パターンに含まれている一方の事象のみが含まれており、前記照合パターンに含まれている他方の事象が、前記一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていれば、前記一方の事象と前記他方の事象との間の発生間隔が、前記正常範囲推定部により推定された正常な範囲の発生間隔以内であるか否かを示す情報を出力する情報出力部を備えたことを特徴とする請求項９記載のデータ分析装置。
【請求項12】
前記第２のトランザクション特定部により特定されたそれぞれの期間のトランザクションのうち、前記照合パターン選択部により選択された照合パターンが含まれているトランザクションの中で、前記照合パターン以外の２つの事象間の発生間隔が、正常な範囲の発生間隔以内であるか否かを示す情報を出力する情報出力部を備えたことを特徴とする請求項９記載のデータ分析装置。
【請求項13】
前記判定部によって、前記一方の事象と前記他方の事象との間の発生間隔が、前記正常範囲推定部により推定された正常な範囲の発生間隔以内ではないと判定されれば、前記他方の事象が欠損している確信度を算出する確信度算出部を備えたことを特徴とする請求項９記載のデータ分析装置。
【請求項14】
前記判定部によって、前記第２のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中に、前記照合パターン選択部により選択された照合パターンが含まれていると判定されれば、前記照合パターンが含まれているトランザクションの中で、前記照合パターン以外の２つの事象間の発生間隔の正常度を算出する正常度算出部を備えたことを特徴とする請求項９記載のデータ分析装置。
【請求項15】
前記判定部によって、前記一方の事象と前記他方の事象との間の発生間隔が、前記正常範囲推定部により推定された正常な範囲の発生間隔以内であると判定されれば、前記一方の事象が含まれているトランザクションの中で前記一方の事象と異なる事象と、前記他方の事象が含まれているトランザクションの中で前記他方の事象と異なる事象との発生間隔の正常度を算出する正常度算出部を備えたことを特徴とする請求項９記載のデータ分析装置。
【請求項16】
前記第１の時系列データ取得部は、
前記第１の時系列データの代わりに、前記システムが正常であるときに、前記システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、前記システムに生じた時系列の事象のそれぞれを示す数値データを取得し、前記文字列データ、又は、前記数値データから、前記第１の時系列データを生成し、前記第１の時系列データを前記第１のトランザクション特定部に出力することを特徴とする請求項１記載のデータ分析装置。
前記第１の時系列データの代わりに、前記システムが正常であるときに、前記システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、前記システムに生じた時系列の事象のそれぞれを示す数値データを取得し、前記文字列データ、又は、前記数値データから、前記第１の時系列データを生成し、前記第１の時系列データを前記第１のトランザクション特定部に出力することを特徴とする請求項１記載のデータ分析装置。
【請求項17】
前記第２の時系列データ取得部は、
前記第２の時系列データの代わりに、前記システムの異常の判定が行われるに際して、前記システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、前記システムに生じた時系列の事象のそれぞれを示す数値データを取得し、前記文字列データ、又は、前記数値データから、前記第２の時系列データを生成し、前記第２の時系列データを前記第２のトランザクション特定部に出力することを特徴とする請求項７記載のデータ分析装置。
前記第２の時系列データの代わりに、前記システムの異常の判定が行われるに際して、前記システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、前記システムに生じた時系列の事象のそれぞれを示す数値データを取得し、前記文字列データ、又は、前記数値データから、前記第２の時系列データを生成し、前記第２の時系列データを前記第２のトランザクション特定部に出力することを特徴とする請求項７記載のデータ分析装置。
【請求項18】
第１の時系列データ取得部が、動作中に複数の事象が生じるシステムが正常であるときに、前記システムに生じた複数の事象におけるそれぞれの発生時刻を示す第１の時系列データを取得し、
第１のトランザクション特定部が、前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、前記システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定し、
照合パターン選択部が、前記システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、前記２つ以上の事象が共起している確率である共起確率を算出し、前記第１のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中から、前記共起確率に基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する
データ分析方法。
第１のトランザクション特定部が、前記第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、前記システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定し、
照合パターン選択部が、前記システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、前記２つ以上の事象が共起している確率である共起確率を算出し、前記第１のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中から、前記共起確率に基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する
データ分析方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、データ分析装置及びデータ分析方法に関するものである。
【背景技術】
【0002】
動作中に複数の事象が生じるシステムが正常であるときに、システムに生じた複数の事象におけるそれぞれの発生時刻を示す時系列データに基づいて、同一の起源によって生じた可能性のある複数の事象の組み合わせを照合パターンとして特定するデータ分析装置がある。データ分析装置は、システムの異常の判定が行われるに際して、システムに生じた複数の事象の中に、照合パターンが含まれているか否かを判定する。
このようなデータ分析装置として、例えば、特許文献１には、ソート処理部と頻度処理部とを備える装置が開示されている。
当該ソート処理部は、時系列データが示す発生時刻に基づいて、システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。複数の期間の長さは、同じ長さであり、それぞれの期間は、他の期間と重なっていない。当該頻度処理部は、ソート処理部により特定された複数のトランザクションの中で、共起関係の有るトランザクションの組を特定する。共起関係の有るトランザクションのそれぞれは、同一の起源によって生じた可能性のある複数の事象を含んでいる。
このようなデータ分析装置として、例えば、特許文献１には、ソート処理部と頻度処理部とを備える装置が開示されている。
当該ソート処理部は、時系列データが示す発生時刻に基づいて、システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。複数の期間の長さは、同じ長さであり、それぞれの期間は、他の期間と重なっていない。当該頻度処理部は、ソート処理部により特定された複数のトランザクションの中で、共起関係の有るトランザクションの組を特定する。共起関係の有るトランザクションのそれぞれは、同一の起源によって生じた可能性のある複数の事象を含んでいる。
【先行技術文献】
【非特許文献】
【0003】
【特許文献1】特開平１０－１３４０８６号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
特許文献１に開示されている装置では、それぞれの事象の発生時刻とそれぞれの期間との関係によっては、ソート処理部が、同一の起源によって生じた可能性のある複数の事象の全てを含むトランザクションと、同一の起源によって生じた可能性のある複数の事象の一部のみを含むトランザクションとを特定することがある。このような２つのトランザクションの組は、頻度処理部によって、共起関係の有るトランザクションの組として特定されないという課題があった。頻度処理部が、共起関係の有るトランザクションの組を特定できなければ、同一の起源によって生じた可能性のある複数の事象の組み合わせが照合パターンとして特定されない。
【0005】
本開示は、上記のような課題を解決するためになされたもので、システムに生じた複数の事象の中で、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして特定することができるデータ分析装置を得ることを目的とする。
【課題を解決するための手段】
【0006】
本開示に係るデータ分析装置は、動作中に複数の事象が生じるシステムが正常であるときに、システムに生じた複数の事象におけるそれぞれの発生時刻を示す第１の時系列データを取得する第１の時系列データ取得部と、第１の時系列データ取得部により取得された第１の時系列データが示す発生時刻に基づいて、システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第１のトランザクション特定部とを備えている。また、データ分析装置は、システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、２つ以上の事象が共起している確率である共起確率を算出し、第１のトランザクション特定部により特定されたそれぞれの期間のトランザクションの中から、共起確率に基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する照合パターン選択部を備えている。
【発明の効果】
【0007】
本開示によれば、システムに生じた複数の事象の中で、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして特定することができる。
【図面の簡単な説明】
【0008】
【図1】実施の形態１に係るデータ分析装置１を示す構成図である。
【図2】実施の形態１に係るデータ分析装置１の照合パターン抽出部１１を示す構成図である。
【図3】照合パターン抽出部１１のハードウェアを示すハードウェア構成図である。
【図4】照合パターン抽出部１１が、ソフトウェア又はファームウェア等によって実現される場合のコンピュータのハードウェア構成図である。
【図5】実施の形態１に係るデータ分析装置１の分析処理部１２を示す構成図である。
【図6】分析処理部１２のハードウェアを示すハードウェア構成図である。
【図7】分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合のコンピュータのハードウェア構成図である。
【図8】照合パターン抽出部１１の処理内容を示すフローチャートである。
【図9】第１のトランザクション特定部２２により特定されるトランザクションの一例を示す説明図である。
【図11】分析処理部１２の処理内容を示すフローチャートである。
【図12】第２のトランザクション特定部５２により特定されるトランザクションの一例を示す説明図である。
【図13】完全パターン発生情報及び不完全パターン発生情報のそれぞれを示す説明図である。
【図14】修正後の完全パターン発生情報及び修正後の不完全パターン発生情報のそれぞれを示す説明図である。
【図15】実施の形態２に係るデータ分析装置１の照合パターン抽出部１１を示す構成図である。
【図16】照合パターン抽出部１１のハードウェアを示すハードウェア構成図である。
【図17】実施の形態３に係るデータ分析装置１の分析処理部１２を示す構成図である。
【図18】分析処理部１２のハードウェアを示すハードウェア構成図である。
【図19】実施の形態４に係るデータ分析装置１の分析処理部１２を示す構成図である。
【図20】分析処理部１２のハードウェアを示すハードウェア構成図である。
【図21】実施の形態５に係るデータ分析装置１の分析処理部１２を示す構成図である。
【図22】分析処理部１２のハードウェアを示すハードウェア構成図である。
【発明を実施するための形態】
【0009】
以下、本開示をより詳細に説明するために、本開示を実施するための形態について、添付の図面に従って説明する。
【0010】
実施の形態１．
図１は、実施の形態１に係るデータ分析装置１を示す構成図である。
図１に示すデータ分析装置１は、照合パターン抽出部１１及び分析処理部１２を備えている。
データ分析装置１は、動作中に複数の事象が生じるシステムが正常であるときに、同一の起源によって生じた可能性のある複数の事象の組み合わせを照合パターンとして特定するための装置である。
また、データ分析装置１は、システムの異常の判定が行われるに際して、システムに生じた複数の事象の中に、照合パターンが含まれているか否かを判定するための装置である。
当該システムは、動作中に複数の事象が生じるものであれば、どのようなシステムでもよい。
ここでは、説明の便宜上、当該システムが、情報の受信、又は、情報の送信等を行う情報システムであるとして説明する。
図１は、実施の形態１に係るデータ分析装置１を示す構成図である。
図１に示すデータ分析装置１は、照合パターン抽出部１１及び分析処理部１２を備えている。
データ分析装置１は、動作中に複数の事象が生じるシステムが正常であるときに、同一の起源によって生じた可能性のある複数の事象の組み合わせを照合パターンとして特定するための装置である。
また、データ分析装置１は、システムの異常の判定が行われるに際して、システムに生じた複数の事象の中に、照合パターンが含まれているか否かを判定するための装置である。
当該システムは、動作中に複数の事象が生じるものであれば、どのようなシステムでもよい。
ここでは、説明の便宜上、当該システムが、情報の受信、又は、情報の送信等を行う情報システムであるとして説明する。
【0011】
照合パターン抽出部１１には、情報システムが正常であるときに、外部から、学習用データが与えられる。学習用データは、情報システムが正常であるときに、情報システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、情報システムに生じた時系列の事象のそれぞれを示す数値データである。
分析処理部１２には、システムの異常の判定が行われるに際して、外部から、推論用データが与えられる。推論用データは、例えば、図示せぬ外部装置によって、情報システムの異常の判定が行われるに際して、情報システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、情報システムに生じた時系列の事象のそれぞれを示す数値データである。
分析処理部１２には、システムの異常の判定が行われるに際して、外部から、推論用データが与えられる。推論用データは、例えば、図示せぬ外部装置によって、情報システムの異常の判定が行われるに際して、情報システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、情報システムに生じた時系列の事象のそれぞれを示す数値データである。
【0012】
照合パターン抽出部１１は、学習用データに基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせである照合パターンを生成し、照合パターンを照合パターン記憶部２に記憶させる。
分析処理部１２は、推論用データから時系列データを生成し、時系列データと照合パターン記憶部２に記憶されている照合パターンとを照合することによって、時系列データの中に、照合パターンが含まれているか否かを判定する。
分析処理部１２は、照合パターンが含まれているか否かを示すパターン発生情報を、例えば、図示せぬ外部装置に出力する。
分析処理部１２は、推論用データから時系列データを生成し、時系列データと照合パターン記憶部２に記憶されている照合パターンとを照合することによって、時系列データの中に、照合パターンが含まれているか否かを判定する。
分析処理部１２は、照合パターンが含まれているか否かを示すパターン発生情報を、例えば、図示せぬ外部装置に出力する。
【0013】
照合パターン記憶部２は、データ分析装置１から出力された照合パターンを記憶する記憶媒体である。
図１では、照合パターン記憶部２がデータ分析装置１の外部に設けられている。しかし、これは一例に過ぎず、照合パターン記憶部２がデータ分析装置１の内部に設けられているものであってもよい。
図１では、照合パターン記憶部２がデータ分析装置１の外部に設けられている。しかし、これは一例に過ぎず、照合パターン記憶部２がデータ分析装置１の内部に設けられているものであってもよい。
【0014】
図２は、実施の形態１に係るデータ分析装置１の照合パターン抽出部１１を示す構成図である。
図３は、照合パターン抽出部１１のハードウェアを示すハードウェア構成図である。
図２に示す照合パターン抽出部１１は、第１の時系列データ取得部２１、第１のトランザクション特定部２２、照合パターン選択部２３及び正常範囲推定部２４を備えている。
図３は、照合パターン抽出部１１のハードウェアを示すハードウェア構成図である。
図２に示す照合パターン抽出部１１は、第１の時系列データ取得部２１、第１のトランザクション特定部２２、照合パターン選択部２３及び正常範囲推定部２４を備えている。
【0015】
第１の時系列データ取得部２１は、例えば、図３に示す時系列データ取得回路３１によって実現される。
第１の時系列データ取得部２１は、外部から学習用データが与えられる。
第１の時系列データ取得部２１は、学習用データから、情報システムに生じた複数の事象におけるそれぞれの発生時刻を示す第１の時系列データを生成する。
第１の時系列データ取得部２１は、第１の時系列データを第１のトランザクション特定部２２及び正常範囲推定部２４のそれぞれに出力する。
図２に示す照合パターン抽出部１１では、外部から学習用データが第１の時系列データ取得部２１に与えられている。しかし、これは一例に過ぎず、外部から第１の時系列データが第１の時系列データ取得部２１に与えられるものであってもよい。
第１の時系列データ取得部２１は、外部から学習用データが与えられる。
第１の時系列データ取得部２１は、学習用データから、情報システムに生じた複数の事象におけるそれぞれの発生時刻を示す第１の時系列データを生成する。
第１の時系列データ取得部２１は、第１の時系列データを第１のトランザクション特定部２２及び正常範囲推定部２４のそれぞれに出力する。
図２に示す照合パターン抽出部１１では、外部から学習用データが第１の時系列データ取得部２１に与えられている。しかし、これは一例に過ぎず、外部から第１の時系列データが第１の時系列データ取得部２１に与えられるものであってもよい。
【0016】
第１のトランザクション特定部２２は、例えば、図３に示すトランザクション特定回路３２によって実現される。
第１のトランザクション特定部２２は、第１の時系列データ取得部２１から、第１の時系列データを取得する。
第１のトランザクション特定部２２は、第１の時系列データが示す発生時刻に基づいて、情報システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。
具体的には、第１のトランザクション特定部２２は、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。
第１のトランザクション特定部２２は、それぞれの期間のトランザクションを照合パターン選択部２３に出力する。
図２に示す照合パターン抽出部１１では、第１のトランザクション特定部２２が、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定している。しかし、これは一例に過ぎず、第１のトランザクション特定部２２は、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっていない複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定するようにしてもよい。
第１のトランザクション特定部２２は、第１の時系列データ取得部２１から、第１の時系列データを取得する。
第１のトランザクション特定部２２は、第１の時系列データが示す発生時刻に基づいて、情報システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。
具体的には、第１のトランザクション特定部２２は、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。
第１のトランザクション特定部２２は、それぞれの期間のトランザクションを照合パターン選択部２３に出力する。
図２に示す照合パターン抽出部１１では、第１のトランザクション特定部２２が、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定している。しかし、これは一例に過ぎず、第１のトランザクション特定部２２は、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっていない複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定するようにしてもよい。
【0017】
照合パターン選択部２３は、例えば、図３に示す照合パターン選択回路３３によって実現される。
照合パターン選択部２３は、第１のトランザクション特定部２２から、それぞれの期間のトランザクションを取得する。
照合パターン選択部２３は、情報システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、２つ以上の事象が共起している確率である共起確率を算出する。
照合パターン選択部２３は、第１のトランザクション特定部２２により特定されたそれぞれの期間のトランザクションの中から、共起確率に基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する。
照合パターン選択部２３は、選択した１つ以上の照合パターンのそれぞれを正常範囲推定部２４に出力する。
照合パターン選択部２３は、第１のトランザクション特定部２２から、それぞれの期間のトランザクションを取得する。
照合パターン選択部２３は、情報システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、２つ以上の事象が共起している確率である共起確率を算出する。
照合パターン選択部２３は、第１のトランザクション特定部２２により特定されたそれぞれの期間のトランザクションの中から、共起確率に基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する。
照合パターン選択部２３は、選択した１つ以上の照合パターンのそれぞれを正常範囲推定部２４に出力する。
【0018】
正常範囲推定部２４は、例えば、図３に示す正常範囲推定回路３４によって実現される。
正常範囲推定部２４は、第１の時系列データ取得部２１から、第１の時系列データを取得し、照合パターン選択部２３から、それぞれの照合パターンを取得する。
正常範囲推定部２４は、第１の時系列データに基づいて、それぞれの照合パターンに含まれている２つ以上の事象間の正常な範囲の発生間隔を推定する。
正常範囲推定部２４は、正常な範囲の発生間隔を示す時間情報付きの照合パターンを照合パターン記憶部２に記憶させる。
正常範囲推定部２４は、第１の時系列データ取得部２１から、第１の時系列データを取得し、照合パターン選択部２３から、それぞれの照合パターンを取得する。
正常範囲推定部２４は、第１の時系列データに基づいて、それぞれの照合パターンに含まれている２つ以上の事象間の正常な範囲の発生間隔を推定する。
正常範囲推定部２４は、正常な範囲の発生間隔を示す時間情報付きの照合パターンを照合パターン記憶部２に記憶させる。
【0019】
具体的には、正常範囲推定部２４は、照合パターン選択部２３により同じ照合パターンが複数選択されていない場合、照合パターン選択部２３により選択された照合パターン毎に、当該照合パターンに含まれている２つ以上の事象間の正常な範囲の発生間隔として、第１の時系列データが示す発生時刻に基づいて、照合パターンに含まれている２つ以上の事象間の発生間隔を算出する。
正常範囲推定部２４は、照合パターン選択部２３により同じ照合パターンが複数選択された場合、第１の時系列データが示す発生時刻に基づいて、複数選択された照合パターンのそれぞれに含まれている２つ以上の事象間の発生間隔を算出する。そして、正常範囲推定部２４は、正常な範囲の発生間隔として、複数選択された照合パターンのそれぞれに含まれている２つ以上の事象間の発生間隔の統計量を算出する。
図２に示す照合パターン抽出部１１では、正常範囲推定部２４が、照合パターンに含まれている２つ以上の事象間の正常な範囲の発生間隔として、第１の時系列データが示す発生時刻に基づいて、照合パターンに含まれている２つ以上の事象間の発生間隔を算出している。しかし、これは一例に過ぎず、正常範囲推定部２４は、第１の時系列データに含まれている複数の事象の中から、共起関係のある２つ以上の事象のうちの１つの事象を探索する。そして、正常範囲推定部２４は、第１の時系列データに含まれている複数の事象のうち、探索した１つの事象の周辺に存在している複数の事象の中から、共起関係のある２つ以上の事象の残りの事象を探索する。そして、正常範囲推定部２４は、第１の時系列データが示す発生時刻に基づいて、これらの探索した２つ以上の事象間の発生間隔を算出するようにしてもよい。
正常範囲推定部２４は、照合パターン選択部２３により同じ照合パターンが複数選択された場合、第１の時系列データが示す発生時刻に基づいて、複数選択された照合パターンのそれぞれに含まれている２つ以上の事象間の発生間隔を算出する。そして、正常範囲推定部２４は、正常な範囲の発生間隔として、複数選択された照合パターンのそれぞれに含まれている２つ以上の事象間の発生間隔の統計量を算出する。
図２に示す照合パターン抽出部１１では、正常範囲推定部２４が、照合パターンに含まれている２つ以上の事象間の正常な範囲の発生間隔として、第１の時系列データが示す発生時刻に基づいて、照合パターンに含まれている２つ以上の事象間の発生間隔を算出している。しかし、これは一例に過ぎず、正常範囲推定部２４は、第１の時系列データに含まれている複数の事象の中から、共起関係のある２つ以上の事象のうちの１つの事象を探索する。そして、正常範囲推定部２４は、第１の時系列データに含まれている複数の事象のうち、探索した１つの事象の周辺に存在している複数の事象の中から、共起関係のある２つ以上の事象の残りの事象を探索する。そして、正常範囲推定部２４は、第１の時系列データが示す発生時刻に基づいて、これらの探索した２つ以上の事象間の発生間隔を算出するようにしてもよい。
【0020】
図２では、照合パターン抽出部１１の構成要素である第１の時系列データ取得部２１、第１のトランザクション特定部２２、照合パターン選択部２３及び正常範囲推定部２４のそれぞれが、図３に示すような専用のハードウェアによって実現されるものを想定している。即ち、照合パターン抽出部１１が、時系列データ取得回路３１、トランザクション特定回路３２、照合パターン選択回路３３及び正常範囲推定回路３４によって実現されるものを想定している。
時系列データ取得回路３１、トランザクション特定回路３２、照合パターン選択回路３３及び正常範囲推定回路３４のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、又は、これらを組み合わせたものが該当する。
時系列データ取得回路３１、トランザクション特定回路３２、照合パターン選択回路３３及び正常範囲推定回路３４のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、又は、これらを組み合わせたものが該当する。
【0021】
照合パターン抽出部１１の構成要素は、専用のハードウェアによって実現されるものに限るものではなく、照合パターン抽出部１１が、ソフトウェア、ファームウェア、又は、ソフトウェアとファームウェアとの組み合わせによって実現されるものであってもよい。
ソフトウェア又はファームウェアは、プログラムとして、コンピュータのメモリに格納される。コンピュータは、プログラムを実行するハードウェアを意味し、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサ、あるいは、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）が該当する。
ソフトウェア又はファームウェアは、プログラムとして、コンピュータのメモリに格納される。コンピュータは、プログラムを実行するハードウェアを意味し、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサ、あるいは、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）が該当する。
【0022】
図４は、照合パターン抽出部１１が、ソフトウェア又はファームウェア等によって実現される場合のコンピュータのハードウェア構成図である。
照合パターン抽出部１１が、ソフトウェア又はファームウェア等によって実現される場合、第１の時系列データ取得部２１、第１のトランザクション特定部２２、照合パターン選択部２３及び正常範囲推定部２４におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムがメモリ４１に格納される。そして、コンピュータのプロセッサ４２がメモリ４１に格納されているプログラムを実行する。
照合パターン抽出部１１が、ソフトウェア又はファームウェア等によって実現される場合、第１の時系列データ取得部２１、第１のトランザクション特定部２２、照合パターン選択部２３及び正常範囲推定部２４におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムがメモリ４１に格納される。そして、コンピュータのプロセッサ４２がメモリ４１に格納されているプログラムを実行する。
【0023】
また、図３では、照合パターン抽出部１１の構成要素のそれぞれが専用のハードウェアによって実現される例を示し、図４では、照合パターン抽出部１１がソフトウェア又はファームウェア等によって実現される例を示している。しかし、これは一例に過ぎず、照合パターン抽出部１１における一部の構成要素が専用のハードウェアによって実現され、残りの構成要素がソフトウェア又はファームウェア等によって実現されるものであってもよい。
【0024】
図５は、実施の形態１に係るデータ分析装置１の分析処理部１２を示す構成図である。
図６は、分析処理部１２のハードウェアを示すハードウェア構成図である。
図５に示す分析処理部１２は、第２の時系列データ取得部５１、第２のトランザクション特定部５２及び判定部５３を備えている。
図６は、分析処理部１２のハードウェアを示すハードウェア構成図である。
図５に示す分析処理部１２は、第２の時系列データ取得部５１、第２のトランザクション特定部５２及び判定部５３を備えている。
【0025】
第２の時系列データ取得部５１は、例えば、図６に示す時系列データ取得回路６１によって実現される。
第２の時系列データ取得部５１は、例えば、外部装置によって、情報システムの異常の判定が行われるに際して、外部から推論用データが与えられる。
第２の時系列データ取得部５１は、推論用データから、情報システムに生じた複数の事象におけるそれぞれの発生時刻を示す第２の時系列データを生成する。
第２の時系列データ取得部５１は、第２の時系列データを第２のトランザクション特定部５２に出力する。
図５に示す分析処理部１２では、外部から推論用データが第２の時系列データ取得部５１に与えられている。しかし、これは一例に過ぎず、外部から第２の時系列データが第２の時系列データ取得部５１に与えられるものであってもよい。
第２の時系列データ取得部５１は、例えば、外部装置によって、情報システムの異常の判定が行われるに際して、外部から推論用データが与えられる。
第２の時系列データ取得部５１は、推論用データから、情報システムに生じた複数の事象におけるそれぞれの発生時刻を示す第２の時系列データを生成する。
第２の時系列データ取得部５１は、第２の時系列データを第２のトランザクション特定部５２に出力する。
図５に示す分析処理部１２では、外部から推論用データが第２の時系列データ取得部５１に与えられている。しかし、これは一例に過ぎず、外部から第２の時系列データが第２の時系列データ取得部５１に与えられるものであってもよい。
【0026】
第２のトランザクション特定部５２は、例えば、図６に示すトランザクション特定回路６２によって実現される。
第２のトランザクション特定部５２は、第２の時系列データ取得部５１から、第２の時系列データを取得する。
第２のトランザクション特定部５２は、第２の時系列データが示す発生時刻に基づいて、情報システムの異常の判定が行われるに際して、情報システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。
具体的には、第２のトランザクション特定部５２は、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。
第２のトランザクション特定部５２は、それぞれの期間のトランザクションを判定部５３に出力する。
図５に示す分析処理部１２では、第２のトランザクション特定部５２が、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定している。しかし、これは一例に過ぎず、第２のトランザクション特定部５２は、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっていない複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定するようにしてもよい。
第２のトランザクション特定部５２は、第２の時系列データ取得部５１から、第２の時系列データを取得する。
第２のトランザクション特定部５２は、第２の時系列データが示す発生時刻に基づいて、情報システムの異常の判定が行われるに際して、情報システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。
具体的には、第２のトランザクション特定部５２は、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する。
第２のトランザクション特定部５２は、それぞれの期間のトランザクションを判定部５３に出力する。
図５に示す分析処理部１２では、第２のトランザクション特定部５２が、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定している。しかし、これは一例に過ぎず、第２のトランザクション特定部５２は、情報システムに生じた複数の事象の中で、互いに異なる複数の期間であって、他の期間と一部が重なっていない複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定するようにしてもよい。
【0027】
判定部５３は、例えば、図６に示す判定回路６３によって実現される。
判定部５３は、第２のトランザクション特定部５２から、それぞれの期間のトランザクションを取得し、照合パターン記憶部２から、１つ以上の時間情報付きの照合パターンを取得する。
判定部５３は、それぞれの期間のトランザクションの中に、それぞれの照合パターンが含まれているか否かを判定する。
また、判定部５３は、それぞれの期間のトランザクションの中に、いずれかの照合パターンに含まれている一方の事象のみが含まれているか否かを判定する。判定部５３は、一方の事象のみが含まれていれば、一方の事象を含んでいる照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていか否かを判定する。
判定部５３は、一方の事象が含まれているトランザクションと異なる期間のトランザクションに他方の事象が含まれていれば、一方の事象と他方の事象との間の発生間隔と、照合パターンに付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
判定部５３は、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔以内であれば、一方の事象と他方の事象とが同じトランザクションに含まれているとみなす。
判定部５３は、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔よりも長ければ、他方の事象が欠損していると判定する。
判定部５３は、第２のトランザクション特定部５２から、それぞれの期間のトランザクションを取得し、照合パターン記憶部２から、１つ以上の時間情報付きの照合パターンを取得する。
判定部５３は、それぞれの期間のトランザクションの中に、それぞれの照合パターンが含まれているか否かを判定する。
また、判定部５３は、それぞれの期間のトランザクションの中に、いずれかの照合パターンに含まれている一方の事象のみが含まれているか否かを判定する。判定部５３は、一方の事象のみが含まれていれば、一方の事象を含んでいる照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていか否かを判定する。
判定部５３は、一方の事象が含まれているトランザクションと異なる期間のトランザクションに他方の事象が含まれていれば、一方の事象と他方の事象との間の発生間隔と、照合パターンに付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
判定部５３は、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔以内であれば、一方の事象と他方の事象とが同じトランザクションに含まれているとみなす。
判定部５３は、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔よりも長ければ、他方の事象が欠損していると判定する。
【0028】
図５では、分析処理部１２の構成要素である第２の時系列データ取得部５１、第２のトランザクション特定部５２及び判定部５３のそれぞれが、図６に示すような専用のハードウェアによって実現されるものを想定している。即ち、分析処理部１２が、時系列データ取得回路６１、トランザクション特定回路６２及び判定回路６３によって実現されるものを想定している。
時系列データ取得回路６１、トランザクション特定回路６２及び判定回路６３のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
時系列データ取得回路６１、トランザクション特定回路６２及び判定回路６３のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
【0029】
分析処理部１２の構成要素は、専用のハードウェアによって実現されるものに限るものではなく、分析処理部１２が、ソフトウェア、ファームウェア、又は、ソフトウェアとファームウェアとの組み合わせによって実現されるものであってもよい。
図７は、分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合のコンピュータのハードウェア構成図である。
分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合、第２の時系列データ取得部５１、第２のトランザクション特定部５２及び判定部５３におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムがメモリ７１に格納される。そして、コンピュータのプロセッサ７２がメモリ７１に格納されているプログラムを実行する。
図７は、分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合のコンピュータのハードウェア構成図である。
分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合、第２の時系列データ取得部５１、第２のトランザクション特定部５２及び判定部５３におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムがメモリ７１に格納される。そして、コンピュータのプロセッサ７２がメモリ７１に格納されているプログラムを実行する。
【0030】
また、図６では、分析処理部１２の構成要素のそれぞれが専用のハードウェアによって実現される例を示し、図７では、分析処理部１２がソフトウェア又はファームウェア等によって実現される例を示している。しかし、これは一例に過ぎず、分析処理部１２における一部の構成要素が専用のハードウェアによって実現され、残りの構成要素がソフトウェア又はファームウェア等によって実現されるものであってもよい。
【0031】
次に、図１に示すデータ分析装置１の動作について説明する。
最初に、照合パターン抽出部１１の動作について説明する。
照合パターン抽出部１１は、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせである照合パターンを生成するものである。以下では、説明の簡単化のため、照合パターン抽出部１１が、同一の起源によって生じた可能性のある２つの事象の組み合わせである照合パターンを生成する例を説明する。
図８は、照合パターン抽出部１１の処理内容を示すフローチャートである。
照合パターン抽出部１１の第１の時系列データ取得部２１には、外部から学習用データが与えられる。
学習用データは、情報システムが正常であるときに、情報システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、情報システムに生じた時系列の事象のそれぞれを示す数値データである。
最初に、照合パターン抽出部１１の動作について説明する。
照合パターン抽出部１１は、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせである照合パターンを生成するものである。以下では、説明の簡単化のため、照合パターン抽出部１１が、同一の起源によって生じた可能性のある２つの事象の組み合わせである照合パターンを生成する例を説明する。
図８は、照合パターン抽出部１１の処理内容を示すフローチャートである。
照合パターン抽出部１１の第１の時系列データ取得部２１には、外部から学習用データが与えられる。
学習用データは、情報システムが正常であるときに、情報システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、情報システムに生じた時系列の事象のそれぞれを示す数値データである。
【0032】
このような文字列データとしては、例えば、以下に示すようなデータがある。
＜文字列データ＞
発生時刻 文字列データ
Oct 10 0:00:00 received from xxx
Oct 10 0:00:01 error
Oct 10 0:00:02 sent to abc
Oct 10 0:00:03 connected to z
Oct 10 0:00:04 received from yyy
Oct 10 0:00:05 sent to abd
Oct 10 0:00:06 resent to qqq
Oct 10 0:00:07 error
Oct 10 0:00:08 connected to z
＜文字列データ＞
発生時刻 文字列データ
Oct 10 0:00:00 received from xxx
Oct 10 0:00:01 error
Oct 10 0:00:02 sent to abc
Oct 10 0:00:03 connected to z
Oct 10 0:00:04 received from yyy
Oct 10 0:00:05 sent to abd
Oct 10 0:00:06 resent to qqq
Oct 10 0:00:07 error
Oct 10 0:00:08 connected to z
【0033】
このような数値データとしては、例えば、以下に示すようなデータがある。
＜数値データ＞
発生時刻 数値データ
Oct 10 0:00:00 12345 67
Oct 10 0:00:01 678
Oct 10 0:00:02 98765 74
Oct 10 0:00:03 13579 53
Oct 10 0:00:04 12345 18
Oct 10 0:00:05 98765 79
Oct 10 0:00:06 2468 62
Oct 10 0:00:07 678
Oct 10 0:00:08 13579 31
＜数値データ＞
発生時刻 数値データ
Oct 10 0:00:00 12345 67
Oct 10 0:00:01 678
Oct 10 0:00:02 98765 74
Oct 10 0:00:03 13579 53
Oct 10 0:00:04 12345 18
Oct 10 0:00:05 98765 79
Oct 10 0:00:06 2468 62
Oct 10 0:00:07 678
Oct 10 0:00:08 13579 31
【0034】
例えば、第１の時系列データ取得部２１の内部メモリには、以下に示すように、事象と文字列データとの対応関係を示す対応表Ａが記憶されている。以下の<*>は、任意の文字列である。
＜対応表Ａ＞
事象 文字列データ
Ｌ１ ⇔ connected to <*>
Ｌ２ ⇔ error
Ｌ３ ⇔ received from <*>
Ｌ４ ⇔ resent to <*>
Ｌ５ ⇔ sent to <*>
Ｌ６ ⇔ sum <*>
＜対応表Ａ＞
事象 文字列データ
Ｌ１ ⇔ connected to <*>
Ｌ２ ⇔ error
Ｌ３ ⇔ received from <*>
Ｌ４ ⇔ resent to <*>
Ｌ５ ⇔ sent to <*>
Ｌ６ ⇔ sum <*>
【0035】
また、例えば、第１の時系列データ取得部２１の内部メモリには、以下に示すように、事象と数値データとの対応関係を示す対応表Ｂが記憶されている。以下の<*>は、任意の数値である。
＜対応表Ｂ＞
事象 数値データ
Ｌ１ ⇔ 13579 <*>
Ｌ２ ⇔ 678
Ｌ３ ⇔ 12345 <*>
Ｌ４ ⇔ 2468 <*>
Ｌ５ ⇔ 98765 <*>
Ｌ６ ⇔ 723 <*>
＜対応表Ｂ＞
事象 数値データ
Ｌ１ ⇔ 13579 <*>
Ｌ２ ⇔ 678
Ｌ３ ⇔ 12345 <*>
Ｌ４ ⇔ 2468 <*>
Ｌ５ ⇔ 98765 <*>
Ｌ６ ⇔ 723 <*>
【0036】
第１の時系列データ取得部２１は、学習用データが、上記のような文字列データであれば、対応表Ａを参照して、文字列データから、以下に示すような第１の時系列データを生成する（図８のステップＳＴ１）。
第１の時系列データ取得部２１は、学習用データが、上記のような数値データであれば、対応表Ｂを参照して、数値データから、以下に示すような第１の時系列データを生成する（図８のステップＳＴ１）。
第１の時系列データ取得部２１は、第１の時系列データを第１のトランザクション特定部２２及び正常範囲推定部２４のそれぞれに出力する。
第１の時系列データ取得部２１は、学習用データが、上記のような数値データであれば、対応表Ｂを参照して、数値データから、以下に示すような第１の時系列データを生成する（図８のステップＳＴ１）。
第１の時系列データ取得部２１は、第１の時系列データを第１のトランザクション特定部２２及び正常範囲推定部２４のそれぞれに出力する。
【0037】
＜第１の時系列データ＞
発生時刻 事象
Oct 10 0:00:00 Ｌ３
Oct 10 0:00:01 Ｌ２
Oct 10 0:00:02 Ｌ５
Oct 10 0:00:03 Ｌ１
Oct 10 0:00:04 Ｌ３
Oct 10 0:00:05 Ｌ５
Oct 10 0:00:06 Ｌ４
Oct 10 0:00:07 Ｌ２
Oct 10 0:00:08 Ｌ１
発生時刻 事象
Oct 10 0:00:00 Ｌ３
Oct 10 0:00:01 Ｌ２
Oct 10 0:00:02 Ｌ５
Oct 10 0:00:03 Ｌ１
Oct 10 0:00:04 Ｌ３
Oct 10 0:00:05 Ｌ５
Oct 10 0:00:06 Ｌ４
Oct 10 0:00:07 Ｌ２
Oct 10 0:00:08 Ｌ１
【0038】
図２に示す照合パターン抽出部１１では、第１の時系列データ取得部２１が、対応表を参照して、学習用データから第１の時系列データを生成している。しかし、これは一例に過ぎず、第１の時系列データ取得部２１が、学習用データと第１の時系列データとの対応関係を学習している学習モデルに対して学習用データを与えて、学習モデルから、第１の時系列データを取得するものであってもよい。
【0039】
第１のトランザクション特定部２２は、第１の時系列データ取得部２１から、第１の時系列データを取得する。
第１のトランザクション特定部２２は、第１の時系列データに対するスライディングウィンドウ処理を実施することによって、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間におけるそれぞれのトランザクションを特定する。
即ち、第１のトランザクション特定部２２は、第１の時系列データが示すそれぞれの事象の発生時刻に基づいて、例えば、図９に示すように、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する（図８のステップＳＴ２）。
それぞれの期間に含まれている１つ以上の事象の中に、同じ事象が重複していれば、重複が除かれている事象がトランザクションとして特定される。しかし、これは一例に過ぎず、同じ事象が重複していても、重複が除かれていなくてもよい。
第１のトランザクション特定部２２は、それぞれの期間のトランザクションを照合パターン選択部２３に出力する。
第１のトランザクション特定部２２は、第１の時系列データに対するスライディングウィンドウ処理を実施することによって、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間におけるそれぞれのトランザクションを特定する。
即ち、第１のトランザクション特定部２２は、第１の時系列データが示すそれぞれの事象の発生時刻に基づいて、例えば、図９に示すように、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する（図８のステップＳＴ２）。
それぞれの期間に含まれている１つ以上の事象の中に、同じ事象が重複していれば、重複が除かれている事象がトランザクションとして特定される。しかし、これは一例に過ぎず、同じ事象が重複していても、重複が除かれていなくてもよい。
第１のトランザクション特定部２２は、それぞれの期間のトランザクションを照合パターン選択部２３に出力する。
【0040】
図９は、第１のトランザクション特定部２２により特定されるトランザクションの一例を示す説明図である。
それぞれの期間の長さは、スライディングウィンドウ処理における任意のウィンドウ幅以内の長さである。ウィンドウ幅は、例えば、第１のトランザクション特定部２２の内部メモリに格納されていてもよいし、外部から第１のトランザクション特定部２２に与えられるものであってもよい。
例えば、ウィンドウ幅が“５”であれば、それぞれの期間の長さは、最大で“０５”秒であり、図９の例では、全ての事象の発生間隔が１秒間隔であるため、それぞれの期間の長さが、“０５”秒である。
具体的には、１つ目の期間は、“Oct 10 0:00:00”～“Oct 10 0:00:04”、２つ目の期間は、“Oct 10 0:00:01”～“Oct 10 0:00:05”、３つ目の期間は、“Oct 10 0:00:02”～“Oct 10 0:00:06”である。
また、４つ目の期間は、“Oct 10 0:00:03”～“Oct 10 0:00:07”、５つ目の期間は、“Oct 10 0:00:04”～“Oct 10 0:00:08”である。
図９の例では、全ての事象の発生間隔が１秒間隔であって、全ての事象の発生間隔が均一である。しかし、これは一例に過ぎず、事象の発生間隔が不均一であってもよい。
例えば、最後に生じている事象Ｌ１の発生時刻が、“Oct 10 0:00:08”ではなく、“Oct 10 0:00:09”である場合、５つ目の期間が、“Oct 10 0:00:04”～“Oct 10 0:00:09”であるとすれば、５つ目の期間の長さが“０６”秒になり、５つ目の期間の長さがウィンドウ幅以内でなくなる。このため、５つ目の期間は、“Oct 10 0:00:04”～“Oct 10 0:00:07”になる。
それぞれの期間の長さは、スライディングウィンドウ処理における任意のウィンドウ幅以内の長さである。ウィンドウ幅は、例えば、第１のトランザクション特定部２２の内部メモリに格納されていてもよいし、外部から第１のトランザクション特定部２２に与えられるものであってもよい。
例えば、ウィンドウ幅が“５”であれば、それぞれの期間の長さは、最大で“０５”秒であり、図９の例では、全ての事象の発生間隔が１秒間隔であるため、それぞれの期間の長さが、“０５”秒である。
具体的には、１つ目の期間は、“Oct 10 0:00:00”～“Oct 10 0:00:04”、２つ目の期間は、“Oct 10 0:00:01”～“Oct 10 0:00:05”、３つ目の期間は、“Oct 10 0:00:02”～“Oct 10 0:00:06”である。
また、４つ目の期間は、“Oct 10 0:00:03”～“Oct 10 0:00:07”、５つ目の期間は、“Oct 10 0:00:04”～“Oct 10 0:00:08”である。
図９の例では、全ての事象の発生間隔が１秒間隔であって、全ての事象の発生間隔が均一である。しかし、これは一例に過ぎず、事象の発生間隔が不均一であってもよい。
例えば、最後に生じている事象Ｌ１の発生時刻が、“Oct 10 0:00:08”ではなく、“Oct 10 0:00:09”である場合、５つ目の期間が、“Oct 10 0:00:04”～“Oct 10 0:00:09”であるとすれば、５つ目の期間の長さが“０６”秒になり、５つ目の期間の長さがウィンドウ幅以内でなくなる。このため、５つ目の期間は、“Oct 10 0:00:04”～“Oct 10 0:00:07”になる。
【0041】
１つ目の期間には、｛Ｌ３，Ｌ２，Ｌ５，Ｌ１，Ｌ３｝の事象が発生している。１つ目の期間では、事象Ｌ３が重複しているので、第１のトランザクション特定部２２は、事象Ｌ３の重複を解消し、１つ目の期間のトランザクションとして、｛Ｌ３，Ｌ２，Ｌ５，Ｌ１｝の事象の集まりを特定する。
２つ目の期間には、｛Ｌ２，Ｌ５，Ｌ１，Ｌ３，Ｌ５｝の事象が発生している。２つ目の期間では、事象Ｌ５が重複しているので、第１のトランザクション特定部２２は、事象Ｌ５の重複を解消し、２つ目の期間のトランザクションとして、｛Ｌ２，Ｌ５，Ｌ１，Ｌ３｝の事象の集まりを特定する。
３つ目の期間には、｛Ｌ５，Ｌ１，Ｌ３，Ｌ５，Ｌ４｝の事象が発生している。３つ目の期間では、事象Ｌ５が重複しているので、第１のトランザクション特定部２２は、事象Ｌ５の重複を解消し、３つ目の期間のトランザクションとして、｛Ｌ５，Ｌ１，Ｌ３，Ｌ４｝の事象の集まりを特定する。
４つ目の期間には、｛Ｌ１，Ｌ３，Ｌ５，Ｌ４，Ｌ２｝の事象が発生している。４つ目の期間では、重複している事象がない。このため、第１のトランザクション特定部２２は、４つ目の期間のトランザクションとして、｛Ｌ１，Ｌ３，Ｌ５，Ｌ４，Ｌ２｝の事象の集まりを特定する。
５つ目の期間には、｛Ｌ３，Ｌ５，Ｌ４，Ｌ２，Ｌ１｝の事象が発生している。５つ目の期間では、重複している事象がない。このため、第１のトランザクション特定部２２は、５つ目の期間のトランザクションとして、｛Ｌ３，Ｌ５，Ｌ４，Ｌ２，Ｌ１｝の事象の集まりを特定する。
２つ目の期間には、｛Ｌ２，Ｌ５，Ｌ１，Ｌ３，Ｌ５｝の事象が発生している。２つ目の期間では、事象Ｌ５が重複しているので、第１のトランザクション特定部２２は、事象Ｌ５の重複を解消し、２つ目の期間のトランザクションとして、｛Ｌ２，Ｌ５，Ｌ１，Ｌ３｝の事象の集まりを特定する。
３つ目の期間には、｛Ｌ５，Ｌ１，Ｌ３，Ｌ５，Ｌ４｝の事象が発生している。３つ目の期間では、事象Ｌ５が重複しているので、第１のトランザクション特定部２２は、事象Ｌ５の重複を解消し、３つ目の期間のトランザクションとして、｛Ｌ５，Ｌ１，Ｌ３，Ｌ４｝の事象の集まりを特定する。
４つ目の期間には、｛Ｌ１，Ｌ３，Ｌ５，Ｌ４，Ｌ２｝の事象が発生している。４つ目の期間では、重複している事象がない。このため、第１のトランザクション特定部２２は、４つ目の期間のトランザクションとして、｛Ｌ１，Ｌ３，Ｌ５，Ｌ４，Ｌ２｝の事象の集まりを特定する。
５つ目の期間には、｛Ｌ３，Ｌ５，Ｌ４，Ｌ２，Ｌ１｝の事象が発生している。５つ目の期間では、重複している事象がない。このため、第１のトランザクション特定部２２は、５つ目の期間のトランザクションとして、｛Ｌ３，Ｌ５，Ｌ４，Ｌ２，Ｌ１｝の事象の集まりを特定する。
【0042】
照合パターン選択部２３は、第１のトランザクション特定部２２から、それぞれの期間のトランザクションを取得する。
照合パターン選択部２３は、いずれかのトランザクションに含まれている複数の事象の中の、２つの事象の組み合わせ毎に、２つの事象の共起確率を算出する。
具体的には、照合パターン選択部２３は、事象Ｌ１，Ｌ２の順番で生じるときの事象Ｌ１と事象Ｌ２との共起確率を算出し、事象Ｌ２，Ｌ１の順番で生じるときの事象Ｌ２と事象Ｌ１との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ１，Ｌ３の順番で生じるときの事象Ｌ１と事象Ｌ３との共起確率を算出し、事象Ｌ３，Ｌ１の順番で生じるときの事象Ｌ３と事象Ｌ１との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ１，Ｌ４の順番で生じるときの事象Ｌ１と事象Ｌ４との共起確率を算出し、事象Ｌ４，Ｌ１の順番で生じるときの事象Ｌ４と事象Ｌ１との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ１，Ｌ５の順番で生じるときの事象Ｌ１と事象Ｌ５との共起確率を算出し、事象Ｌ５，Ｌ１の順番で生じるときの事象Ｌ５と事象Ｌ１との共起確率を算出する。
照合パターン選択部２３は、いずれかのトランザクションに含まれている複数の事象の中の、２つの事象の組み合わせ毎に、２つの事象の共起確率を算出する。
具体的には、照合パターン選択部２３は、事象Ｌ１，Ｌ２の順番で生じるときの事象Ｌ１と事象Ｌ２との共起確率を算出し、事象Ｌ２，Ｌ１の順番で生じるときの事象Ｌ２と事象Ｌ１との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ１，Ｌ３の順番で生じるときの事象Ｌ１と事象Ｌ３との共起確率を算出し、事象Ｌ３，Ｌ１の順番で生じるときの事象Ｌ３と事象Ｌ１との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ１，Ｌ４の順番で生じるときの事象Ｌ１と事象Ｌ４との共起確率を算出し、事象Ｌ４，Ｌ１の順番で生じるときの事象Ｌ４と事象Ｌ１との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ１，Ｌ５の順番で生じるときの事象Ｌ１と事象Ｌ５との共起確率を算出し、事象Ｌ５，Ｌ１の順番で生じるときの事象Ｌ５と事象Ｌ１との共起確率を算出する。
【0043】
また、照合パターン選択部２３は、事象Ｌ２，Ｌ４の順番で生じるときの事象Ｌ２と事象Ｌ４との共起確率を算出し、事象Ｌ４，Ｌ２の順番で生じるときの事象Ｌ４と事象Ｌ２との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ２，Ｌ５の順番で生じるときの事象Ｌ２と事象Ｌ５との共起確率を算出し、事象Ｌ５，Ｌ２の順番で生じるときの事象Ｌ５と事象Ｌ２との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ２，Ｌ５の順番で生じるときの事象Ｌ２と事象Ｌ５との共起確率を算出し、事象Ｌ５，Ｌ２の順番で生じるときの事象Ｌ５と事象Ｌ２との共起確率を算出する。
【0044】
また、照合パターン選択部２３は、事象Ｌ３，Ｌ４の順番で生じるときの事象Ｌ３と事象Ｌ４との共起確率を算出し、事象Ｌ４，Ｌ３の順番で生じるときの事象Ｌ４と事象Ｌ３との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ３，Ｌ５の順番で生じるときの事象Ｌ３と事象Ｌ５との共起確率を算出し、事象Ｌ５，Ｌ３の順番で生じるときの事象Ｌ５と事象Ｌ３との共起確率を算出する。
また、照合パターン選択部２３は、事象Ｌ４，Ｌ５の順番で生じるときの事象Ｌ４と事象Ｌ５との共起確率を算出し、事象Ｌ５，Ｌ４の順番で生じるときの事象Ｌ５と事象Ｌ４との共起確率を算出する。
照合パターン選択部２３は、事象Ｌ３，Ｌ５の順番で生じるときの事象Ｌ３と事象Ｌ５との共起確率を算出し、事象Ｌ５，Ｌ３の順番で生じるときの事象Ｌ５と事象Ｌ３との共起確率を算出する。
また、照合パターン選択部２３は、事象Ｌ４，Ｌ５の順番で生じるときの事象Ｌ４と事象Ｌ５との共起確率を算出し、事象Ｌ５，Ｌ４の順番で生じるときの事象Ｌ５と事象Ｌ４との共起確率を算出する。
【0045】
２つの事象の共起確率の算出方法として、以下の算出方法を用いることができる。
ここでは、２つの事象の共起確率として、事象Ｌ３と事象Ｌ５との共起確率を算出する例を説明する。
照合パターン選択部２３は、第１のトランザクション特定部２２により特定された複数の期間のトランザクションの中で、事象Ｌ３と事象Ｌ５とを含んでいるトランザクションの数を計数する。そして、照合パターン選択部２３は、以下の式（１）に示すように、計数したトランザクションの数を、第１のトランザクション特定部２２により特定された全てのトランザクションの数で除算することで、事象Ｌ３と事象Ｌ５との共起確率を算出する。
共起確率
＝（計数したトランザクションの数／全てのトランザクションの数）×１００
（１）
ここでは、２つの事象の共起確率として、事象Ｌ３と事象Ｌ５との共起確率を算出する例を説明する。
照合パターン選択部２３は、第１のトランザクション特定部２２により特定された複数の期間のトランザクションの中で、事象Ｌ３と事象Ｌ５とを含んでいるトランザクションの数を計数する。そして、照合パターン選択部２３は、以下の式（１）に示すように、計数したトランザクションの数を、第１のトランザクション特定部２２により特定された全てのトランザクションの数で除算することで、事象Ｌ３と事象Ｌ５との共起確率を算出する。
共起確率
＝（計数したトランザクションの数／全てのトランザクションの数）×１００
（１）
【0046】
ここでは、照合パターン選択部２３が、式（１）によって、２つの事象の共起確率を算出している。しかし、これは一例に過ぎず、照合パターン選択部２３が、例えば、第１のトランザクション特定部２２により特定された複数の期間のトランザクションに対するアソシエーション分析、又は、複数の期間のトランザクションに対するシーケンシャルパターンマイニングを行うことで、複数の期間のトランザクションに含まれている、２つの事象の共起確率を算出するようにしてもよい。アソシエーション分析、又は、シーケンシャルパターンマイニングを行うことで、２つの事象の共起確率を算出する処理自体は、公知の技術であるため詳細な説明を省略する。
因みに、照合パターン抽出部１１が、同一の起源によって生じた可能性のある３つの事象の組み合わせである照合パターンを生成する場合、照合パターン選択部２３は、３つの事象の共起確率を算出する。また、照合パターン抽出部１１が、同一の起源によって生じた可能性のある４つの事象の組み合わせである照合パターンを生成する場合、照合パターン選択部２３は、４つの事象の共起確率を算出する。
照合パターン選択部２３は、３つの事象の共起確率として、例えば、事象Ｌ３と事象Ｌ５と事象Ｌ２との共起確率を算出する場合、第１のトランザクション特定部２２により特定された複数の期間のトランザクションの中で、事象Ｌ３と事象Ｌ５と事象Ｌ２とを含んでいるトランザクションの数を計数する。そして、照合パターン選択部２３は、式（１）に示すように、計数したトランザクションの数を、第１のトランザクション特定部２２により特定された全てのトランザクションの数で除算することで、事象Ｌ３と事象Ｌ５と事象Ｌ２との共起確率を算出する。
因みに、照合パターン抽出部１１が、同一の起源によって生じた可能性のある３つの事象の組み合わせである照合パターンを生成する場合、照合パターン選択部２３は、３つの事象の共起確率を算出する。また、照合パターン抽出部１１が、同一の起源によって生じた可能性のある４つの事象の組み合わせである照合パターンを生成する場合、照合パターン選択部２３は、４つの事象の共起確率を算出する。
照合パターン選択部２３は、３つの事象の共起確率として、例えば、事象Ｌ３と事象Ｌ５と事象Ｌ２との共起確率を算出する場合、第１のトランザクション特定部２２により特定された複数の期間のトランザクションの中で、事象Ｌ３と事象Ｌ５と事象Ｌ２とを含んでいるトランザクションの数を計数する。そして、照合パターン選択部２３は、式（１）に示すように、計数したトランザクションの数を、第１のトランザクション特定部２２により特定された全てのトランザクションの数で除算することで、事象Ｌ３と事象Ｌ５と事象Ｌ２との共起確率を算出する。
【0047】
照合パターン選択部２３は、算出したこれらの共起確率を互いに比較し、この比較の結果に基づいて、これらの共起確率の中で、上位Ｎ個の共起確率を特定する。Ｎは、１以上の整数である。
ここでは、説明の便宜上、Ｎ＝２であるものとする。このとき、例えば、最も高い共起確率が、事象Ｌ３と事象Ｌ５との共起確率であり、２番目に高い共起確率が、事象Ｌ２と事象Ｌ１との共起確率であるものとする。
図９の例では、事象Ｌ３と事象Ｌ５との組み合わせが、複数のトランザクションに含まれている。具体的には、１つ目の期間のトランザクション、４つ目の期間のトランザクション及び５つ目の期間のトランザクションにおいて、Ｌ３，Ｌ５の順番で事象が発生している。
図９の例では、事象Ｌ２と事象Ｌ１との組み合わせが、複数のトランザクションに含まれている。具体的には、１つ目の期間のトランザクション、２つ目の期間のトランザクション及び５つ目の期間のトランザクションにおいて、Ｌ２，Ｌ１の順番で事象が発生している。
ここでは、説明の便宜上、Ｎ＝２であるものとする。このとき、例えば、最も高い共起確率が、事象Ｌ３と事象Ｌ５との共起確率であり、２番目に高い共起確率が、事象Ｌ２と事象Ｌ１との共起確率であるものとする。
図９の例では、事象Ｌ３と事象Ｌ５との組み合わせが、複数のトランザクションに含まれている。具体的には、１つ目の期間のトランザクション、４つ目の期間のトランザクション及び５つ目の期間のトランザクションにおいて、Ｌ３，Ｌ５の順番で事象が発生している。
図９の例では、事象Ｌ２と事象Ｌ１との組み合わせが、複数のトランザクションに含まれている。具体的には、１つ目の期間のトランザクション、２つ目の期間のトランザクション及び５つ目の期間のトランザクションにおいて、Ｌ２，Ｌ１の順番で事象が発生している。
【0048】
照合パターン選択部２３は、いずれかのトランザクションに含まれている２つの事象の組み合わせの中から、共起確率が１番目からＮ番目までの、２つの事象の組み合わせを照合パターンとして選択する（図８のステップＳＴ３）。
具体的には、Ｎ＝２であって、最も高い共起確率が、事象Ｌ３と事象Ｌ５との共起確率であれば、照合パターン選択部２３は、照合パターン（Ｐａｔｔｅｒｎ１）として、｛Ｌ３ Ｌ５｝を選択する。
Ｎ＝２であって、２番目に高い共起確率が、事象Ｌ２と事象Ｌ１との共起確率であれば、照合パターン選択部２３は、照合パターン（Ｐａｔｔｅｒｎ２）として、｛Ｌ２ Ｌ１｝を選択する。
照合パターン選択部２３は、照合パターン（Ｐａｔｔｅｒｎ１）及び照合パターン（Ｐａｔｔｅｒｎ２）のそれぞれを正常範囲推定部２４に出力する。
具体的には、Ｎ＝２であって、最も高い共起確率が、事象Ｌ３と事象Ｌ５との共起確率であれば、照合パターン選択部２３は、照合パターン（Ｐａｔｔｅｒｎ１）として、｛Ｌ３ Ｌ５｝を選択する。
Ｎ＝２であって、２番目に高い共起確率が、事象Ｌ２と事象Ｌ１との共起確率であれば、照合パターン選択部２３は、照合パターン（Ｐａｔｔｅｒｎ２）として、｛Ｌ２ Ｌ１｝を選択する。
照合パターン選択部２３は、照合パターン（Ｐａｔｔｅｒｎ１）及び照合パターン（Ｐａｔｔｅｒｎ２）のそれぞれを正常範囲推定部２４に出力する。
【0049】
正常範囲推定部２４は、第１の時系列データ取得部２１から、第１の時系列データを取得する。
正常範囲推定部２４は、照合パターン選択部２３から、照合パターン（Ｐａｔｔｅｒｎ１）及び照合パターン（Ｐａｔｔｅｒｎ２）のそれぞれを取得する。
正常範囲推定部２４は、第１の時系列データに基づいて、照合パターン（Ｐａｔｔｅｒｎ１）に含まれている２つの事象間の正常な範囲の発生間隔を推定する。
また、正常範囲推定部２４は、第１の時系列データに基づいて、照合パターン（Ｐａｔｔｅｒｎ２）に含まれている２つの事象間の正常な範囲の発生間隔を推定する。
正常範囲推定部２４は、照合パターン選択部２３から、照合パターン（Ｐａｔｔｅｒｎ１）及び照合パターン（Ｐａｔｔｅｒｎ２）のそれぞれを取得する。
正常範囲推定部２４は、第１の時系列データに基づいて、照合パターン（Ｐａｔｔｅｒｎ１）に含まれている２つの事象間の正常な範囲の発生間隔を推定する。
また、正常範囲推定部２４は、第１の時系列データに基づいて、照合パターン（Ｐａｔｔｅｒｎ２）に含まれている２つの事象間の正常な範囲の発生間隔を推定する。
【0050】
図９の例では、照合パターン（Ｐａｔｔｅｒｎ１）である｛Ｌ３ Ｌ５｝が、１つ目の期間のトランザクション、４つ目の期間のトランザクション及び５つ目の期間のトランザクションに含まれている。
このため、正常範囲推定部２４は、１つ目の期間のトランザクションに含まれている、事象Ｌ３の発生時刻である“Oct 10 0:00:00”と、事象Ｌ５の発生時刻である“Oct 10 0:00:02”との時間差＝０２（秒）を算出する。
また、正常範囲推定部２４は、４つ目の期間のトランザクションに含まれている、事象Ｌ３の発生時刻である“Oct 10 0:00:04”と、事象Ｌ５の発生時刻である“Oct 10 0:00:05”との時間差＝０１（秒）を算出する。
また、正常範囲推定部２４は、５つ目の期間のトランザクションに含まれている、事象Ｌ３の発生時刻である“Oct 10 0:00:04”と、事象Ｌ５の発生時刻である“Oct 10 0:00:05”との時間差＝０１（秒）を算出する。
正常範囲推定部２４は、事象Ｌ３と事象Ｌ５との正常な範囲の発生間隔として、算出した３つの時刻差から、当該時間差の統計量を算出する。
このため、正常範囲推定部２４は、１つ目の期間のトランザクションに含まれている、事象Ｌ３の発生時刻である“Oct 10 0:00:00”と、事象Ｌ５の発生時刻である“Oct 10 0:00:02”との時間差＝０２（秒）を算出する。
また、正常範囲推定部２４は、４つ目の期間のトランザクションに含まれている、事象Ｌ３の発生時刻である“Oct 10 0:00:04”と、事象Ｌ５の発生時刻である“Oct 10 0:00:05”との時間差＝０１（秒）を算出する。
また、正常範囲推定部２４は、５つ目の期間のトランザクションに含まれている、事象Ｌ３の発生時刻である“Oct 10 0:00:04”と、事象Ｌ５の発生時刻である“Oct 10 0:00:05”との時間差＝０１（秒）を算出する。
正常範囲推定部２４は、事象Ｌ３と事象Ｌ５との正常な範囲の発生間隔として、算出した３つの時刻差から、当該時間差の統計量を算出する。
【0051】
図９の例では、照合パターン（Ｐａｔｔｅｒｎ２）である｛Ｌ２ Ｌ１｝が、１つ目の期間のトランザクション、２つ目の期間のトランザクション及び５つ目の期間のトランザクションに含まれている。
このため、正常範囲推定部２４は、１つ目の期間のトランザクションに含まれている、事象Ｌ２の発生時刻である“Oct 10 0:00:01”と、事象Ｌ１の発生時刻である“Oct 10 0:00:03”との時間差＝０２（秒）を算出する。
また、正常範囲推定部２４は、２つ目の期間のトランザクションに含まれている、事象Ｌ２の発生時刻である“Oct 10 0:00:01”と、事象Ｌ１の発生時刻である“Oct 10 0:00:03”との時間差＝０２（秒）を算出する。
また、正常範囲推定部２４は、５つ目の期間のトランザクションに含まれている、事象Ｌ２の発生時刻である“Oct 10 0:00:07”と、事象Ｌ１の発生時刻である“Oct 10 0:00:08”との時間差＝０１（秒）を算出する。
正常範囲推定部２４は、事象Ｌ２と事象Ｌ１との正常な範囲の発生間隔として、算出した３つの時刻差から、当該時間差の統計量を算出する。
このため、正常範囲推定部２４は、１つ目の期間のトランザクションに含まれている、事象Ｌ２の発生時刻である“Oct 10 0:00:01”と、事象Ｌ１の発生時刻である“Oct 10 0:00:03”との時間差＝０２（秒）を算出する。
また、正常範囲推定部２４は、２つ目の期間のトランザクションに含まれている、事象Ｌ２の発生時刻である“Oct 10 0:00:01”と、事象Ｌ１の発生時刻である“Oct 10 0:00:03”との時間差＝０２（秒）を算出する。
また、正常範囲推定部２４は、５つ目の期間のトランザクションに含まれている、事象Ｌ２の発生時刻である“Oct 10 0:00:07”と、事象Ｌ１の発生時刻である“Oct 10 0:00:08”との時間差＝０１（秒）を算出する。
正常範囲推定部２４は、事象Ｌ２と事象Ｌ１との正常な範囲の発生間隔として、算出した３つの時刻差から、当該時間差の統計量を算出する。
【0052】
２つの事象間の時間差の統計量を示す統計分布（図１０Ａ、図１０Ｂを参照）を特徴づけるパラメータの算出においては、正常範囲推定部２４は、正規分布、又は、ガンマ分布等の分布関数を仮定した上で、それぞれの時間差の分布と分布関数とが合致するように、分布関数のパラメータを決定する。分布関数のパラメータとしては、分布が例えば正規分布であれば、例えば、正規分布の平均値μと標準偏差σとがある。
図１０Ａは、事象Ｌ３と事象Ｌ５との時間差の統計量を示す統計分布の説明図であり、図１０Ｂは、事象Ｌ２と事象Ｌ１との時間差の統計量を示す統計分布の説明図である。
それぞれの時間差の分布にノイズが含まれている可能性がある場合、正常範囲推定部２４は、それぞれの時間差のヒストグラムのカウント値の最小値が０になるように、全体をオフセットするなどしてノイズの影響を除去することができる。
図１０Ａは、事象Ｌ３と事象Ｌ５との時間差の統計量を示す統計分布の説明図であり、図１０Ｂは、事象Ｌ２と事象Ｌ１との時間差の統計量を示す統計分布の説明図である。
それぞれの時間差の分布にノイズが含まれている可能性がある場合、正常範囲推定部２４は、それぞれの時間差のヒストグラムのカウント値の最小値が０になるように、全体をオフセットするなどしてノイズの影響を除去することができる。
【0053】
正常範囲推定部２４は、正常な範囲の発生間隔を示す時間情報を照合パターンに付加し、時間情報付きの照合パターンを照合パターン記憶部２に記憶させる。
具体的には、正常範囲推定部２４は、事象Ｌ３と事象Ｌ５との正常な範囲の発生間隔を示す時間情報を照合パターン（Ｐａｔｔｅｒｎ１）に付加し、時間情報付きの照合パターン（Ｐａｔｔｅｒｎ１）を照合パターン記憶部２に記憶させる。
また、正常範囲推定部２４は、事象Ｌ２と事象Ｌ１との正常な範囲の発生間隔を示す時間情報を照合パターン（Ｐａｔｔｅｒｎ２）に付加し、時間情報付きの照合パターン（Ｐａｔｔｅｒｎ２）を照合パターン記憶部２に記憶させる。
具体的には、正常範囲推定部２４は、事象Ｌ３と事象Ｌ５との正常な範囲の発生間隔を示す時間情報を照合パターン（Ｐａｔｔｅｒｎ１）に付加し、時間情報付きの照合パターン（Ｐａｔｔｅｒｎ１）を照合パターン記憶部２に記憶させる。
また、正常範囲推定部２４は、事象Ｌ２と事象Ｌ１との正常な範囲の発生間隔を示す時間情報を照合パターン（Ｐａｔｔｅｒｎ２）に付加し、時間情報付きの照合パターン（Ｐａｔｔｅｒｎ２）を照合パターン記憶部２に記憶させる。
【0054】
事象Ｌ３と事象Ｌ５とについての正規分布の平均値μが例えば１．５秒、正規分布の標準偏差σが例えば０．１５秒であれば、正常範囲推定部２４は、以下に示すような時間情報付きのＰａｔｔｅｒｎ１を照合パターン記憶部２に記憶させる。
＜時間情報付きのＰａｔｔｅｒｎ１＞
｛Ｌ３ Ｌ５｝μ：１．５ｓｅｃ σ：０．１５ｓｅｃ
事象Ｌ２と事象Ｌ１とについての正規分布の平均値μが例えば２秒、正規分布の標準偏差σが例えば０．１秒であれば、正常範囲推定部２４は、以下に示すような時間情報付きのＰａｔｔｅｒｎ２を照合パターン記憶部２に記憶させる。
＜時間情報付きのＰａｔｔｅｒｎ２＞
｛Ｌ２ Ｌ１｝μ：２ｓｅｃ σ：０．１ｓｅｃ
＜時間情報付きのＰａｔｔｅｒｎ１＞
｛Ｌ３ Ｌ５｝μ：１．５ｓｅｃ σ：０．１５ｓｅｃ
事象Ｌ２と事象Ｌ１とについての正規分布の平均値μが例えば２秒、正規分布の標準偏差σが例えば０．１秒であれば、正常範囲推定部２４は、以下に示すような時間情報付きのＰａｔｔｅｒｎ２を照合パターン記憶部２に記憶させる。
＜時間情報付きのＰａｔｔｅｒｎ２＞
｛Ｌ２ Ｌ１｝μ：２ｓｅｃ σ：０．１ｓｅｃ
【0055】
図９の例では、事象Ｌ３と事象Ｌ５とが、３つの期間のトランザクションに含まれている。事象Ｌ３と事象Ｌ５とが、１つの期間のトランザクションのみに含まれている場合、正常範囲推定部２４は、１つの期間のトランザクションに含まれている、事象Ｌ３の発生時刻と事象Ｌ５の発生時刻との時間差が、正常な範囲の発生間隔であるとしてもよい。
また、図９の例では、事象Ｌ２と事象Ｌ１とが、３つの期間のトランザクションに含まれている。事象Ｌ２と事象Ｌ１とが、１つの期間のトランザクションのみに含まれている場合、正常範囲推定部２４は、１つの期間のトランザクションに含まれている、事象Ｌ２の発生時刻と事象Ｌ１の発生時刻との時間差が、正常な範囲の発生間隔であるとしてもよい。
また、図９の例では、事象Ｌ２と事象Ｌ１とが、３つの期間のトランザクションに含まれている。事象Ｌ２と事象Ｌ１とが、１つの期間のトランザクションのみに含まれている場合、正常範囲推定部２４は、１つの期間のトランザクションに含まれている、事象Ｌ２の発生時刻と事象Ｌ１の発生時刻との時間差が、正常な範囲の発生間隔であるとしてもよい。
【0056】
次に、分析処理部１２の動作について説明する。
図１１は、分析処理部１２の処理内容を示すフローチャートである。
分析処理部１２の第２の時系列データ取得部５１には、外部から推論用データが与えられる。
推論用データは、例えば、図示せぬ外部装置によって、情報システムの異常の判定が行われるに際して、情報システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、情報システムに生じた時系列の事象のそれぞれを示す数値データである。
推論用データに係る文字列データは、学習用データに係る文字列データと同様の表現形式の文字列データである。
推論用データに係る数値データは、学習用データに係る数値データと同様の表現形式の数値データである。
図１１は、分析処理部１２の処理内容を示すフローチャートである。
分析処理部１２の第２の時系列データ取得部５１には、外部から推論用データが与えられる。
推論用データは、例えば、図示せぬ外部装置によって、情報システムの異常の判定が行われるに際して、情報システムに生じた時系列の事象のそれぞれを示す文字列データ、又は、情報システムに生じた時系列の事象のそれぞれを示す数値データである。
推論用データに係る文字列データは、学習用データに係る文字列データと同様の表現形式の文字列データである。
推論用データに係る数値データは、学習用データに係る数値データと同様の表現形式の数値データである。
【0057】
推論用データに係る文字列データとしては、例えば、以下に示すようなデータがある。
＜文字列データ＞
発生時刻 文字列データ
Nov 15 0:00:00 received from xxx
Nov 15 0:00:01 error
Nov 15 0:00:02 sent to abc
Nov 15 0:00:03 connected to z
Nov 15 0:00:06 sum aaa bbb
Nov 15 0:00:07 received from xxx
Nov 15 0:00:08 error
Nov 15 0:00:50 sent to abc
＜文字列データ＞
発生時刻 文字列データ
Nov 15 0:00:00 received from xxx
Nov 15 0:00:01 error
Nov 15 0:00:02 sent to abc
Nov 15 0:00:03 connected to z
Nov 15 0:00:06 sum aaa bbb
Nov 15 0:00:07 received from xxx
Nov 15 0:00:08 error
Nov 15 0:00:50 sent to abc
【0058】
推論用データに係る数値データとしては、例えば、以下に示すようなデータがある。
＜数値データ＞
発生時刻 数値データ
Nov 15 0:00:00 12345 67
Nov 15 0:00:01 678
Nov 15 0:00:02 98765 74
Nov 15 0:00:03 13579 53
Nov 15 0:00:06 723 54 78
Nov 15 0:00:07 12345 67
Nov 15 0:00:08 678
Nov 15 0:00:50 98765 74
＜数値データ＞
発生時刻 数値データ
Nov 15 0:00:00 12345 67
Nov 15 0:00:01 678
Nov 15 0:00:02 98765 74
Nov 15 0:00:03 13579 53
Nov 15 0:00:06 723 54 78
Nov 15 0:00:07 12345 67
Nov 15 0:00:08 678
Nov 15 0:00:50 98765 74
【0059】
例えば、第２の時系列データ取得部５１の内部メモリには、事象と文字列データとの対応関係を示す上記の対応表Ａ及び事象と数値データとの対応関係を示す上記の対応表Ｂのそれぞれが記憶されている。
【0060】
第２の時系列データ取得部５１は、推論用データが、上記のような文字列データであれば、対応表Ａを参照して、文字列データから、以下に示すような第２の時系列データを生成する（図１１のステップＳＴ１１）。
第２の時系列データ取得部５１は、推論用データが、上記のような数値データであれば、対応表Ｂを参照して、数値データから、以下に示すような第２の時系列データを生成する（図１１のステップＳＴ１１）。
第２の時系列データ取得部５１は、第２の時系列データを第２のトランザクション特定部５２に出力する。
第２の時系列データ取得部５１は、推論用データが、上記のような数値データであれば、対応表Ｂを参照して、数値データから、以下に示すような第２の時系列データを生成する（図１１のステップＳＴ１１）。
第２の時系列データ取得部５１は、第２の時系列データを第２のトランザクション特定部５２に出力する。
【0061】
＜第２の時系列データ＞
発生時刻 事象
Nov 15 0:00:00 Ｌ３
Nov 15 0:00:01 Ｌ２
Nov 15 0:00:02 Ｌ５
Nov 15 0:00:03 Ｌ１
Nov 15 0:00:06 Ｌ６
Nov 15 0:00:07 Ｌ３
Nov 15 0:00:08 Ｌ２
Nov 15 0:00:50 Ｌ５
発生時刻 事象
Nov 15 0:00:00 Ｌ３
Nov 15 0:00:01 Ｌ２
Nov 15 0:00:02 Ｌ５
Nov 15 0:00:03 Ｌ１
Nov 15 0:00:06 Ｌ６
Nov 15 0:00:07 Ｌ３
Nov 15 0:00:08 Ｌ２
Nov 15 0:00:50 Ｌ５
【0062】
図５に示す分析処理部１２では、第２の時系列データ取得部５１が、対応表を参照して、推論用データから第２の時系列データを生成している。しかし、これは一例に過ぎず、第２の時系列データ取得部５１が、推論用データと第２の時系列データとの対応関係を学習している学習モデルに対して推論用データを与えて、学習モデルから、第２の時系列データを取得するものであってもよい。
【0063】
第２のトランザクション特定部５２は、第２の時系列データ取得部５１から、第２の時系列データを取得する。
第２のトランザクション特定部５２は、第２の時系列データが示すそれぞれの事象の発生時刻に基づいて、例えば、図１２に示すように、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間におけるそれぞれのトランザクションを特定する（図１１のステップＳＴ１２）。
それぞれの期間に含まれている１つ以上の事象の中に、同じ事象が重複していれば、重複が除かれている事象がトランザクションとして特定される。しかし、これは一例に過ぎず、同じ事象が重複していても、重複が除かれていなくてもよい。
第２のトランザクション特定部５２は、それぞれの期間のトランザクションを判定部５３に出力する。
第２のトランザクション特定部５２は、第２の時系列データが示すそれぞれの事象の発生時刻に基づいて、例えば、図１２に示すように、互いに異なる複数の期間であって、他の期間と一部が重なっている複数の期間におけるそれぞれのトランザクションを特定する（図１１のステップＳＴ１２）。
それぞれの期間に含まれている１つ以上の事象の中に、同じ事象が重複していれば、重複が除かれている事象がトランザクションとして特定される。しかし、これは一例に過ぎず、同じ事象が重複していても、重複が除かれていなくてもよい。
第２のトランザクション特定部５２は、それぞれの期間のトランザクションを判定部５３に出力する。
【0064】
図１２は、第２のトランザクション特定部５２により特定されるトランザクションの一例を示す説明図である。
それぞれの期間の長さは、スライディングウィンドウ処理における任意のウィンドウ幅以内の長さである。ウィンドウ幅は、例えば、第２のトランザクション特定部５２の内部メモリに格納されていてもよいし、外部から第２のトランザクション特定部５２に与えられるものであってもよい。
例えば、ウィンドウ幅が“５”であれば、それぞれの期間の長さは、最大で“０５”秒である。
具体的には、１つ目の期間は、“Nov 15 0:00:00”～“Nov 15 0:00:03”、２つ目の期間は、“Nov 15 0:00:01”～“Nov 15 0:00:03”、３つ目の期間は、“Nov 15 0:00:02”～“Nov 15 0:00:06”である。
また、４つ目の期間は、“Nov 15 0:00:03”～“Nov 15 0:00:07”、５つ目の期間は、“Nov 15 0:00:06”～“Nov 15 0:00:08”、６つ目の期間は、“Nov 15 0:00:50”～“Nov 15 0:00:50”である。
それぞれの期間の長さは、スライディングウィンドウ処理における任意のウィンドウ幅以内の長さである。ウィンドウ幅は、例えば、第２のトランザクション特定部５２の内部メモリに格納されていてもよいし、外部から第２のトランザクション特定部５２に与えられるものであってもよい。
例えば、ウィンドウ幅が“５”であれば、それぞれの期間の長さは、最大で“０５”秒である。
具体的には、１つ目の期間は、“Nov 15 0:00:00”～“Nov 15 0:00:03”、２つ目の期間は、“Nov 15 0:00:01”～“Nov 15 0:00:03”、３つ目の期間は、“Nov 15 0:00:02”～“Nov 15 0:00:06”である。
また、４つ目の期間は、“Nov 15 0:00:03”～“Nov 15 0:00:07”、５つ目の期間は、“Nov 15 0:00:06”～“Nov 15 0:00:08”、６つ目の期間は、“Nov 15 0:00:50”～“Nov 15 0:00:50”である。
【0065】
１つ目の期間には、｛Ｌ３，Ｌ２，Ｌ５，Ｌ１｝の事象が発生している。１つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、１つ目の期間のトランザクションとして、｛Ｌ３，Ｌ２，Ｌ５，Ｌ１｝の事象の集まりを特定する。
２つ目の期間には、｛Ｌ２，Ｌ５，Ｌ１｝の事象が発生している。２つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、２つ目の期間のトランザクションとして、｛Ｌ２，Ｌ５，Ｌ１｝の事象の集まりを特定する。
３つ目の期間には、｛Ｌ５，Ｌ１，Ｌ６｝の事象が発生している。３つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、３つ目の期間のトランザクションとして、｛Ｌ５，Ｌ１，Ｌ６｝の事象の集まりを特定する。
４つ目の期間には、｛Ｌ１，Ｌ６，Ｌ３｝の事象が発生している。４つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、４つ目の期間のトランザクションとして、｛Ｌ１，Ｌ６，Ｌ３｝の事象の集まりを特定する。
５つ目の期間には、｛Ｌ６，Ｌ３，Ｌ２｝の事象が発生している。５つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、５つ目の期間のトランザクションとして、｛Ｌ６，Ｌ３，Ｌ２｝の事象の集まりを特定する。
６つ目の期間には、｛Ｌ５｝の事象が発生している。６つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、６つ目の期間のトランザクションとして、｛Ｌ５｝の事象の集まりを特定する。なお、６つ目の期間で生じている事象Ｌ５の前後には、事象Ｌ５との発生間隔がウィンドウ幅以内の事象がないため、６つ目の期間は、他の期間と重なりがない。
２つ目の期間には、｛Ｌ２，Ｌ５，Ｌ１｝の事象が発生している。２つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、２つ目の期間のトランザクションとして、｛Ｌ２，Ｌ５，Ｌ１｝の事象の集まりを特定する。
３つ目の期間には、｛Ｌ５，Ｌ１，Ｌ６｝の事象が発生している。３つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、３つ目の期間のトランザクションとして、｛Ｌ５，Ｌ１，Ｌ６｝の事象の集まりを特定する。
４つ目の期間には、｛Ｌ１，Ｌ６，Ｌ３｝の事象が発生している。４つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、４つ目の期間のトランザクションとして、｛Ｌ１，Ｌ６，Ｌ３｝の事象の集まりを特定する。
５つ目の期間には、｛Ｌ６，Ｌ３，Ｌ２｝の事象が発生している。５つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、５つ目の期間のトランザクションとして、｛Ｌ６，Ｌ３，Ｌ２｝の事象の集まりを特定する。
６つ目の期間には、｛Ｌ５｝の事象が発生している。６つ目の期間では、重複している事象がない。このため、第２のトランザクション特定部５２は、６つ目の期間のトランザクションとして、｛Ｌ５｝の事象の集まりを特定する。なお、６つ目の期間で生じている事象Ｌ５の前後には、事象Ｌ５との発生間隔がウィンドウ幅以内の事象がないため、６つ目の期間は、他の期間と重なりがない。
【0066】
判定部５３は、第２のトランザクション特定部５２から、それぞれの期間のトランザクションを取得する。図１２の例では、判定部５３は、１つ目の期間～６つ目の期間におけるそれぞれのトランザクションを取得する。
判定部５３は、照合パターン記憶部２から、１つ以上の時間情報付きの照合パターンを取得する。
具体的には、判定部５３は、時間情報付きの照合パターン（Ｐａｔｔｅｒｎ１）と時間情報付きの照合パターン（Ｐａｔｔｅｒｎ２）とを取得する。
判定部５３は、照合パターン記憶部２から、１つ以上の時間情報付きの照合パターンを取得する。
具体的には、判定部５３は、時間情報付きの照合パターン（Ｐａｔｔｅｒｎ１）と時間情報付きの照合パターン（Ｐａｔｔｅｒｎ２）とを取得する。
【0067】
判定部５３は、それぞれの期間のトランザクションの中に、それぞれの照合パターンが含まれているか否かを判定する（図１１のステップＳＴ１３）。
図１２の例では、１つ目の期間のトランザクションである｛Ｌ３，Ｌ２，Ｌ５，Ｌ１｝の中に、時間情報付きのＰａｔｔｅｒｎ１である｛Ｌ３ Ｌ５｝が含まれており、また、時間情報付きのＰａｔｔｅｒｎ２である｛Ｌ２ Ｌ１｝が含まれている。
２つ目の期間のトランザクションである｛Ｌ２，Ｌ５，Ｌ１｝の中に、時間情報付きのＰａｔｔｅｒｎ２である｛Ｌ２ Ｌ１｝が含まれている。｛Ｌ２，Ｌ５，Ｌ１｝の中には、時間情報付きのＰａｔｔｅｒｎ１である｛Ｌ３ Ｌ５｝が含まれていない。
３つ目の期間～６つ目の期間におけるそれぞれのトランザクションの中には、時間情報付きのＰａｔｔｅｒｎ１である｛Ｌ３ Ｌ５｝が含まれておらず、また、時間情報付きのＰａｔｔｅｒｎ２である｛Ｌ２ Ｌ１｝も含まれていない。
図１２の例では、１つ目の期間のトランザクションである｛Ｌ３，Ｌ２，Ｌ５，Ｌ１｝の中に、時間情報付きのＰａｔｔｅｒｎ１である｛Ｌ３ Ｌ５｝が含まれており、また、時間情報付きのＰａｔｔｅｒｎ２である｛Ｌ２ Ｌ１｝が含まれている。
２つ目の期間のトランザクションである｛Ｌ２，Ｌ５，Ｌ１｝の中に、時間情報付きのＰａｔｔｅｒｎ２である｛Ｌ２ Ｌ１｝が含まれている。｛Ｌ２，Ｌ５，Ｌ１｝の中には、時間情報付きのＰａｔｔｅｒｎ１である｛Ｌ３ Ｌ５｝が含まれていない。
３つ目の期間～６つ目の期間におけるそれぞれのトランザクションの中には、時間情報付きのＰａｔｔｅｒｎ１である｛Ｌ３ Ｌ５｝が含まれておらず、また、時間情報付きのＰａｔｔｅｒｎ２である｛Ｌ２ Ｌ１｝も含まれていない。
【0068】
また、判定部５３は、それぞれの期間のトランザクションの中に、いずれかの照合パターンに含まれている一方の事象のみが含まれているか否かを判定する。
判定部５３は、一方の事象のみが含まれていれば、一方の事象を含んでいる照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていか否かを判定する。
判定部５３は、一方の事象のみが含まれていれば、一方の事象を含んでいる照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていか否かを判定する。
【0069】
判定部５３は、照合パターンに含まれている全ての事象を含んでいるトランザクションを示す情報である完全パターン発生情報として、図１３に示すような完全パターン発生情報を、例えば、図示せぬ外部装置に出力する。
また、照合パターンに含まれている一方の事象のみが含まれており、照合パターンに含まれている他方の事象が含まれていないトランザクションを示す情報である不完全パターン発生情報として、図１３に示すような不完全パターン発生情報を、例えば、図示せぬ外部装置に出力する。
図１３は、完全パターン発生情報及び不完全パターン発生情報のそれぞれを示す説明図である。
図１３の例では、完全パターン発生情報として、開始の発生時刻が“Nov 15 0:00:00”である、１つ目の期間のトランザクションの中に、Ｐａｔｔｅｒｎ１とＰａｔｔｅｒｎ２とが含まれていることを示している。
図１３の例では、完全パターン発生情報として、開始の発生時刻が“Nov 15 0:00:01”である、２つ目の期間のトランザクションの中に、Ｐａｔｔｅｒｎ２のみが含まれていることを示している。
また、照合パターンに含まれている一方の事象のみが含まれており、照合パターンに含まれている他方の事象が含まれていないトランザクションを示す情報である不完全パターン発生情報として、図１３に示すような不完全パターン発生情報を、例えば、図示せぬ外部装置に出力する。
図１３は、完全パターン発生情報及び不完全パターン発生情報のそれぞれを示す説明図である。
図１３の例では、完全パターン発生情報として、開始の発生時刻が“Nov 15 0:00:00”である、１つ目の期間のトランザクションの中に、Ｐａｔｔｅｒｎ１とＰａｔｔｅｒｎ２とが含まれていることを示している。
図１３の例では、完全パターン発生情報として、開始の発生時刻が“Nov 15 0:00:01”である、２つ目の期間のトランザクションの中に、Ｐａｔｔｅｒｎ２のみが含まれていることを示している。
【0070】
図１３の例では、不完全パターン発生情報として、開始の発生時刻が“Nov 15 0:00:01”である、２つ目の期間のトランザクションの中に、Ｐａｔｔｅｒｎ１における一方の事象として、事象Ｌ５のみが含まれていることを示している。図１３では、Ｐａｔｔｅｒｎ１（Ｌ５）のように表記されている。
図１３の例では、不完全パターン発生情報として、開始の発生時刻が“Nov 15 0:00:02”である、３つ目の期間のトランザクションの中に、Ｐａｔｔｅｒｎ１における一方の事象として、事象Ｌ５のみが含まれており、また、Ｐａｔｔｅｒｎ２における一方の事象として、事象Ｌ１のみが含まれていることを示している。図１３では、Ｐａｔｔｅｒｎ１（Ｌ５）、Ｐａｔｔｅｒｎ２（Ｌ１）のように表記されている。
図１３の例では、不完全パターン発生情報として、開始の発生時刻が“Nov 15 0:00:03”である、４つ目の期間のトランザクションの中に、Ｐａｔｔｅｒｎ１における一方の事象として、事象Ｌ３のみが含まれており、また、Ｐａｔｔｅｒｎ２における一方の事象として、事象Ｌ１のみが含まれていることを示している。図１３では、Ｐａｔｔｅｒｎ１（Ｌ３）、Ｐａｔｔｅｒｎ２（Ｌ１）のように表記されている。
図１３の例では、不完全パターン発生情報として、開始の発生時刻が“Nov 15 0:00:02”である、３つ目の期間のトランザクションの中に、Ｐａｔｔｅｒｎ１における一方の事象として、事象Ｌ５のみが含まれており、また、Ｐａｔｔｅｒｎ２における一方の事象として、事象Ｌ１のみが含まれていることを示している。図１３では、Ｐａｔｔｅｒｎ１（Ｌ５）、Ｐａｔｔｅｒｎ２（Ｌ１）のように表記されている。
図１３の例では、不完全パターン発生情報として、開始の発生時刻が“Nov 15 0:00:03”である、４つ目の期間のトランザクションの中に、Ｐａｔｔｅｒｎ１における一方の事象として、事象Ｌ３のみが含まれており、また、Ｐａｔｔｅｒｎ２における一方の事象として、事象Ｌ１のみが含まれていることを示している。図１３では、Ｐａｔｔｅｒｎ１（Ｌ３）、Ｐａｔｔｅｒｎ２（Ｌ１）のように表記されている。
【0071】
判定部５３は、一方の事象が含まれているトランザクションと異なる期間のトランザクションに他方の事象が含まれていれば、一方の事象と他方の事象との間の発生間隔と、照合パターンに付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
判定部５３は、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔以内であれば、一方の事象と他方の事象とが同じトランザクションに含まれているとみなす。
判定部５３は、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔よりも長ければ、他方の事象が欠損していると判定する。
判定部５３は、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔以内であれば、一方の事象と他方の事象とが同じトランザクションに含まれているとみなす。
判定部５３は、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔よりも長ければ、他方の事象が欠損していると判定する。
【0072】
具体的には、例えば、２つ目の期間のトランザクションに係るＰａｔｔｅｒｎ１（Ｌ５）の場合、事象Ｌ５と一緒にＰａｔｔｅｒｎ１に含まれている事象Ｌ３が、１つ目の期間のトランザクションに含まれている。このため、判定部５３は、１つ目の期間のトランザクションに含まれている事象Ｌ３の発生時刻“Nov 15 0:00:00”と２つ目の期間のトランザクションに含まれている事象Ｌ５の発生時刻“Nov 15 0:00:02”との時間差である発生間隔を算出する。この場合の発生間隔は、０２（秒）である。
判定部５３は、事象Ｌ３と事象Ｌ５との間の発生間隔である０２（秒）と、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔とを比較する。この場合、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔が０２（秒）以上であれば、判定部５３は、事象Ｌ３と事象Ｌ５とが同じトランザクションに含まれているとみなす。
判定部５３は、事象Ｌ３と事象Ｌ５とが同じトランザクションに含まれているとみなす場合、図１４に示すように、２つ目の期間のトランザクションに表記されている不完全パターン発生情報であるＰａｔｔｅｒｎ１（Ｌ５）を削除する修正を行う。そして、判定部５３は、２つ目の期間のトランザクションの中に、事象Ｌ３と事象Ｌ５とが含まれていることを示す完全パターン発生情報を含める修正を行う。
図１４は、修正後の完全パターン発生情報及び修正後の不完全パターン発生情報のそれぞれを示す説明図である。
判定部５３は、事象Ｌ３と事象Ｌ５との間の発生間隔である０２（秒）と、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔とを比較する。この場合、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔が０２（秒）以上であれば、判定部５３は、事象Ｌ３と事象Ｌ５とが同じトランザクションに含まれているとみなす。
判定部５３は、事象Ｌ３と事象Ｌ５とが同じトランザクションに含まれているとみなす場合、図１４に示すように、２つ目の期間のトランザクションに表記されている不完全パターン発生情報であるＰａｔｔｅｒｎ１（Ｌ５）を削除する修正を行う。そして、判定部５３は、２つ目の期間のトランザクションの中に、事象Ｌ３と事象Ｌ５とが含まれていることを示す完全パターン発生情報を含める修正を行う。
図１４は、修正後の完全パターン発生情報及び修正後の不完全パターン発生情報のそれぞれを示す説明図である。
【0073】
例えば、４つ目の期間のトランザクションに係るＰａｔｔｅｒｎ１（Ｌ３）の場合、事象Ｌ３と一緒にＰａｔｔｅｒｎ１に含まれている事象Ｌ５が、６つ目の期間のトランザクションに含まれている。このため、判定部５３は、４つ目の期間のトランザクションに含まれている事象Ｌ３の発生時刻“Nov 15 0:00:07”と６つ目の期間のトランザクションに含まれている事象Ｌ５の発生時刻“Nov 15 0:00:50”との時間差である発生間隔を算出する。この場合の発生間隔は、４３（秒）である。
判定部５３は、事象Ｌ３と事象Ｌ５との間の発生間隔である４３（秒）と、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔とを比較する。この場合、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔が４３（秒）未満であれば、判定部５３は、事象Ｌ３と事象Ｌ５とが同じトランザクションに含まれているとみなさずに、他方の事象が欠損していると判定する。
判定部５３は、他方の事象が欠損していると判定する場合、図１４に示すように、４つ目の期間のトランザクションに表記されている不完全パターン発生情報であるＰａｔｔｅｒｎ１（Ｌ３）を残すようにする。
判定部５３は、事象Ｌ３と事象Ｌ５との間の発生間隔である４３（秒）と、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔とを比較する。この場合、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔が４３（秒）未満であれば、判定部５３は、事象Ｌ３と事象Ｌ５とが同じトランザクションに含まれているとみなさずに、他方の事象が欠損していると判定する。
判定部５３は、他方の事象が欠損していると判定する場合、図１４に示すように、４つ目の期間のトランザクションに表記されている不完全パターン発生情報であるＰａｔｔｅｒｎ１（Ｌ３）を残すようにする。
【0074】
例えば、４つ目の期間のトランザクションに係るＰａｔｔｅｒｎ２（Ｌ１）の場合、事象Ｌ１と一緒にＰａｔｔｅｒｎ２に含まれている事象Ｌ２が、２つ目の期間のトランザクションに含まれている。このため、判定部５３は、４つ目の期間のトランザクションに含まれている事象Ｌ１の発生時刻“Nov 15 0:00:03”と２つ目の期間のトランザクションに含まれている事象Ｌ２の発生時刻“Nov 15 0:00:01”との時間差である発生間隔を算出する。この場合の発生間隔は、０２（秒）である。
判定部５３は、事象Ｌ２と事象Ｌ１との間の発生間隔である０２（秒）と、事象Ｌ２と事象Ｌ１との間の正常な範囲の発生間隔とを比較する。この場合、事象Ｌ２と事象Ｌ１との間の正常な範囲の発生間隔が０２（秒）以上であれば、判定部５３は、事象Ｌ２と事象Ｌ１とが同じトランザクションに含まれているとみなす。
判定部５３は、事象Ｌ２と事象Ｌ１とが同じトランザクションに含まれているとみなす場合、図１４に示すように、４つ目の期間のトランザクションに表記されている不完全パターン発生情報であるＰａｔｔｅｒｎ２（Ｌ１）を削除する修正を行う。そして、判定部５３は、４つ目の期間のトランザクションの中に、事象Ｌ２と事象Ｌ１とが含まれていることを示す完全パターン発生情報を含める修正を行う。
判定部５３は、修正後の完全パターン発生情報及び修正後の不完全パターン発生情報のそれぞれを、例えば、図示せぬ外部装置に出力する。
判定部５３は、事象Ｌ２と事象Ｌ１との間の発生間隔である０２（秒）と、事象Ｌ２と事象Ｌ１との間の正常な範囲の発生間隔とを比較する。この場合、事象Ｌ２と事象Ｌ１との間の正常な範囲の発生間隔が０２（秒）以上であれば、判定部５３は、事象Ｌ２と事象Ｌ１とが同じトランザクションに含まれているとみなす。
判定部５３は、事象Ｌ２と事象Ｌ１とが同じトランザクションに含まれているとみなす場合、図１４に示すように、４つ目の期間のトランザクションに表記されている不完全パターン発生情報であるＰａｔｔｅｒｎ２（Ｌ１）を削除する修正を行う。そして、判定部５３は、４つ目の期間のトランザクションの中に、事象Ｌ２と事象Ｌ１とが含まれていることを示す完全パターン発生情報を含める修正を行う。
判定部５３は、修正後の完全パターン発生情報及び修正後の不完全パターン発生情報のそれぞれを、例えば、図示せぬ外部装置に出力する。
【0075】
以上の実施の形態１では、システムが正常であるときに、システムに生じた複数の事象におけるそれぞれの発生時刻を示す第１の時系列データを取得する第１の時系列データ取得部２１と、第１の時系列データ取得部２１により取得された第１の時系列データが示す発生時刻に基づいて、システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第１のトランザクション特定部２２とを備えるように、データ分析装置１を構成した。また、データ分析装置１は、システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、２つ以上の事象が共起している確率である共起確率を算出し、第１のトランザクション特定部２２により特定されたそれぞれの期間のトランザクションの中から、共起確率に基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する照合パターン選択部２３を備えている。したがって、データ分析装置１は、システムに生じた複数の事象の中で、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして特定することができる。
【0076】
また、実施の形態１では、システムの異常の判定が行われるに際して、システムに生じた複数の事象におけるそれぞれの発生時刻を示す第２の時系列データを取得する第２の時系列データ取得部５１と、第２の時系列データ取得部５１により取得された第２の時系列データが示す発生時刻に基づいて、異常の判定が行われるに際して、システムに生じた複数の事象の中で、互いに異なる複数の期間のそれぞれにおいて発生した事象の集まりであるトランザクションを特定する第２のトランザクション特定部５２とを備えるように、データ分析装置１を構成した。また、データ分析装置１は、第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションの中に、照合パターン選択部２３により選択された照合パターンが含まれているか否かを判定する判定部５３を備えている。したがって、データ分析装置１は、それぞれの期間で発生した異常の検出を可能にすることができる。
【0077】
また、実施の形態１では、判定部５３が、第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションの中に、照合パターンに含まれている一方の事象のみが含まれており、照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれているとき、一方の事象と他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内であれば、一方の事象と他方の事象とが同じトランザクションに含まれているとみなすように、データ分析装置１を構成した。したがって、データ分析装置１は、一方の事象と他方の事象との間の発生間隔が、正常な範囲の発生間隔以内であれば、それぞれの期間のトランザクションの中に、照合パターンに含まれている一方の事象のみが含まれている状況が、異常の生じている状況として誤検出してしまうことを防止することができる。
【0078】
実施の形態２．
実施の形態２では、２つ以上の事象に対する重み付けの指定を受け付ける指定受付部２５を備えるデータ分析装置１について説明する。
図１５は、実施の形態２に係るデータ分析装置１の照合パターン抽出部１１を示す構成図である。図１５において、図２と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図１６は、照合パターン抽出部１１のハードウェアを示すハードウェア構成図である。図１６において、図３と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図１５に示す照合パターン抽出部１１は、第１の時系列データ取得部２１、第１のトランザクション特定部２２、指定受付部２５、照合パターン選択部２６及び正常範囲推定部２４を備えている。
実施の形態２では、２つ以上の事象に対する重み付けの指定を受け付ける指定受付部２５を備えるデータ分析装置１について説明する。
図１５は、実施の形態２に係るデータ分析装置１の照合パターン抽出部１１を示す構成図である。図１５において、図２と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図１６は、照合パターン抽出部１１のハードウェアを示すハードウェア構成図である。図１６において、図３と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図１５に示す照合パターン抽出部１１は、第１の時系列データ取得部２１、第１のトランザクション特定部２２、指定受付部２５、照合パターン選択部２６及び正常範囲推定部２４を備えている。
【0079】
指定受付部２５は、例えば、図１６に示す指定受付回路３５によって実現される。
指定受付部２５は、例えば、ユーザが、マウス、又は、タッチパネル等のマンマシンインタフェースを操作したとき、マンマシンインタフェースから、ユーザの操作情報を取得する。
指定受付部２５は、ユーザの操作情報が２つ以上の事象に対する重み付けを示していれば、２つ以上の事象に対する重み付けの指定を受け付ける。
指定受付部２５は、２つ以上の事象に対する重み付けを示す指定情報を照合パターン選択部２６に出力する。
指定受付部２５は、例えば、ユーザが、マウス、又は、タッチパネル等のマンマシンインタフェースを操作したとき、マンマシンインタフェースから、ユーザの操作情報を取得する。
指定受付部２５は、ユーザの操作情報が２つ以上の事象に対する重み付けを示していれば、２つ以上の事象に対する重み付けの指定を受け付ける。
指定受付部２５は、２つ以上の事象に対する重み付けを示す指定情報を照合パターン選択部２６に出力する。
【0080】
照合パターン選択部２６は、例えば、図１６に示す照合パターン選択回路３６によって実現される。
照合パターン選択部２６は、第１のトランザクション特定部２２から、それぞれの期間のトランザクションを取得し、指定受付部２５から、指定情報を取得する。
照合パターン選択部２６は、図２に示す照合パターン選択部２３と同様に、情報システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、２つ以上の事象が共起している確率である共起確率を算出する。
照合パターン選択部２６は、それぞれの期間のトランザクションの中から、２つ以上の事象の共起確率と指定情報が示す重み付けとに基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する。
照合パターン選択部２６は、選択した１つ以上の照合パターンのそれぞれを正常範囲推定部２４に出力する。
照合パターン選択部２６は、第１のトランザクション特定部２２から、それぞれの期間のトランザクションを取得し、指定受付部２５から、指定情報を取得する。
照合パターン選択部２６は、図２に示す照合パターン選択部２３と同様に、情報システムに生じた複数の事象に含まれている２つ以上の事象の組み合わせ毎に、２つ以上の事象が共起している確率である共起確率を算出する。
照合パターン選択部２６は、それぞれの期間のトランザクションの中から、２つ以上の事象の共起確率と指定情報が示す重み付けとに基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択する。
照合パターン選択部２６は、選択した１つ以上の照合パターンのそれぞれを正常範囲推定部２４に出力する。
【0081】
図１５では、照合パターン抽出部１１の構成要素である第１の時系列データ取得部２１、第１のトランザクション特定部２２、指定受付部２５、照合パターン選択部２６及び正常範囲推定部２４のそれぞれが、図１６に示すような専用のハードウェアによって実現されるものを想定している。即ち、照合パターン抽出部１１が、時系列データ取得回路３１、トランザクション特定回路３２、指定受付回路３５、照合パターン選択回路３６及び正常範囲推定回路３４によって実現されるものを想定している。
時系列データ取得回路３１、トランザクション特定回路３２、指定受付回路３５、照合パターン選択回路３６及び正常範囲推定回路３４のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
時系列データ取得回路３１、トランザクション特定回路３２、指定受付回路３５、照合パターン選択回路３６及び正常範囲推定回路３４のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
【0082】
照合パターン抽出部１１の構成要素は、専用のハードウェアによって実現されるものに限るものではなく、照合パターン抽出部１１が、ソフトウェア、ファームウェア、又は、ソフトウェアとファームウェアとの組み合わせによって実現されるものであってもよい。
照合パターン抽出部１１が、ソフトウェア又はファームウェア等によって実現される場合、第１の時系列データ取得部２１、第１のトランザクション特定部２２、指定受付部２５、照合パターン選択部２６及び正常範囲推定部２４におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムが図４に示すメモリ４１に格納される。そして、図４に示すプロセッサ４２がメモリ４１に格納されているプログラムを実行する。
照合パターン抽出部１１が、ソフトウェア又はファームウェア等によって実現される場合、第１の時系列データ取得部２１、第１のトランザクション特定部２２、指定受付部２５、照合パターン選択部２６及び正常範囲推定部２４におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムが図４に示すメモリ４１に格納される。そして、図４に示すプロセッサ４２がメモリ４１に格納されているプログラムを実行する。
【0083】
また、図１６では、照合パターン抽出部１１の構成要素のそれぞれが専用のハードウェアによって実現される例を示し、図４では、照合パターン抽出部１１がソフトウェア又はファームウェア等によって実現される例を示している。しかし、これは一例に過ぎず、照合パターン抽出部１１における一部の構成要素が専用のハードウェアによって実現され、残りの構成要素がソフトウェア又はファームウェア等によって実現されるものであってもよい。
【0084】
次に、図１５に示す照合パターン抽出部１１の動作について説明する。指定受付部２５及び照合パターン選択部２６以外は、図２に示す照合パターン抽出部１１と同様である。このため、ここでは、指定受付部２５及び照合パターン選択部２６の動作のみを説明する。
図１５に示す照合パターン抽出部１１においても、説明の簡単化のため、照合パターン抽出部１１が、同一の起源によって生じた可能性のある２つの事象の組み合わせである照合パターンを生成する例を説明する。
図１５に示す照合パターン抽出部１１においても、説明の簡単化のため、照合パターン抽出部１１が、同一の起源によって生じた可能性のある２つの事象の組み合わせである照合パターンを生成する例を説明する。
【0085】
ユーザが、マンマシンインタフェースを操作することによって、任意の２つの事象に対する重み付けを行えば、指定受付部２５は、マンマシンインタフェースから、２つの事象に対する重み付けを示す操作情報を取得する。
指定受付部２５は、操作情報が示す２つの事象に対する重み付けの指定を受け付ける。
指定受付部２５は、２つの事象に対する重み付けを示す指定情報を照合パターン選択部２６に出力する。
指定受付部２５によって、例えば、事象Ｌ３と事象Ｌ２とに対する重み付けとして、１よりも大きな値の重み係数ｗ３，２の指定が受け付けられた場合、事象Ｌ３と事象Ｌ２との共起確率に重み係数ｗ３，２が乗算される。この結果、照合パターン選択部２６によって、事象Ｌ３と事象Ｌ２との組み合わせが照合パターンとして選択される可能性が高まる。
指定受付部２５によって、例えば、事象Ｌ２と事象Ｌ１とに対する重み付けとして、１よりも小さな値の重み係数ｗ２，１の指定が受け付けられた場合、事象Ｌ２と事象Ｌ１との共起確率に重み係数ｗ２，１が乗算される。この結果、照合パターン選択部２６によって、事象Ｌ２と事象Ｌ１との組み合わせが照合パターンとして選択される可能性が低下する。
指定受付部２５は、操作情報が示す２つの事象に対する重み付けの指定を受け付ける。
指定受付部２５は、２つの事象に対する重み付けを示す指定情報を照合パターン選択部２６に出力する。
指定受付部２５によって、例えば、事象Ｌ３と事象Ｌ２とに対する重み付けとして、１よりも大きな値の重み係数ｗ３，２の指定が受け付けられた場合、事象Ｌ３と事象Ｌ２との共起確率に重み係数ｗ３，２が乗算される。この結果、照合パターン選択部２６によって、事象Ｌ３と事象Ｌ２との組み合わせが照合パターンとして選択される可能性が高まる。
指定受付部２５によって、例えば、事象Ｌ２と事象Ｌ１とに対する重み付けとして、１よりも小さな値の重み係数ｗ２，１の指定が受け付けられた場合、事象Ｌ２と事象Ｌ１との共起確率に重み係数ｗ２，１が乗算される。この結果、照合パターン選択部２６によって、事象Ｌ２と事象Ｌ１との組み合わせが照合パターンとして選択される可能性が低下する。
【0086】
照合パターン選択部２６は、第１のトランザクション特定部２２から、それぞれの期間のトランザクションを取得し、指定受付部２５から、指定情報を取得する。
照合パターン選択部２６は、図２に示す照合パターン選択部２３と同様に、２つの事象の共起確率を算出する。
照合パターン選択部２６は、それぞれの２つの事象の共起確率に対して、指定情報が示す重み係数ｗを乗算する。
ここでは、便宜上、指定受付部２５から、例えば、事象Ｌ３と事象Ｌ２とに対する重み係数ｗ３，２と、事象Ｌ２と事象Ｌ１とに対する重み係数ｗ２，１とが照合パターン選択部２６に与えられている場合を想定する。この場合、照合パターン選択部２６は、事象Ｌ３と事象Ｌ２との共起確率に重み係数ｗ３，２を乗算し、事象Ｌ２と事象Ｌ１との共起確率に重み係数ｗ２，１を乗算する。
この場合、指定受付部２５から、例えば、事象Ｌ３と事象Ｌ５とに対する重み係数ｗ３，５が照合パターン選択部２６に与えられていないため、照合パターン選択部２６は、事象Ｌ３と事象Ｌ５との共起確率に重み係数ｗ３，５を乗算する処理を行わない。
照合パターン選択部２６は、図２に示す照合パターン選択部２３と同様に、２つの事象の共起確率を算出する。
照合パターン選択部２６は、それぞれの２つの事象の共起確率に対して、指定情報が示す重み係数ｗを乗算する。
ここでは、便宜上、指定受付部２５から、例えば、事象Ｌ３と事象Ｌ２とに対する重み係数ｗ３，２と、事象Ｌ２と事象Ｌ１とに対する重み係数ｗ２，１とが照合パターン選択部２６に与えられている場合を想定する。この場合、照合パターン選択部２６は、事象Ｌ３と事象Ｌ２との共起確率に重み係数ｗ３，２を乗算し、事象Ｌ２と事象Ｌ１との共起確率に重み係数ｗ２，１を乗算する。
この場合、指定受付部２５から、例えば、事象Ｌ３と事象Ｌ５とに対する重み係数ｗ３，５が照合パターン選択部２６に与えられていないため、照合パターン選択部２６は、事象Ｌ３と事象Ｌ５との共起確率に重み係数ｗ３，５を乗算する処理を行わない。
【0087】
照合パターン選択部２６は、上記の重み付け処理を実施したのち、複数の共起確率を互いに比較し、この比較の結果に基づいて、複数の共起確率の中から、上位Ｎ個の共起確率を特定する。Ｎは、１以上の整数である。
ここでは、説明の便宜上、Ｎ＝２であるものとする。実施の形態１では、２番目に高い共起確率が、事象Ｌ２と事象Ｌ１との共起確率であるとしていたが、上記の重み付け処理を実施することで、２番目に高い共起確率が、例えば、事象Ｌ３と事象Ｌ２との共起確率になることがある。
これにより、ユーザが所望する２つの事象Ｌ３，Ｌ２の組み合わせが照合パターンとして選択される可能性が高まる。
照合パターン選択部２６は、それぞれの期間のトランザクションの中から、重み付け処理後の２つの事象の共起確率に基づいて、同一の起源によって生じた可能性のある２つの事象の組み合わせを照合パターンとして選択する。
照合パターン選択部２６は、選択した１つ以上の照合パターンのそれぞれを正常範囲推定部２４に出力する。
ここでは、説明の便宜上、Ｎ＝２であるものとする。実施の形態１では、２番目に高い共起確率が、事象Ｌ２と事象Ｌ１との共起確率であるとしていたが、上記の重み付け処理を実施することで、２番目に高い共起確率が、例えば、事象Ｌ３と事象Ｌ２との共起確率になることがある。
これにより、ユーザが所望する２つの事象Ｌ３，Ｌ２の組み合わせが照合パターンとして選択される可能性が高まる。
照合パターン選択部２６は、それぞれの期間のトランザクションの中から、重み付け処理後の２つの事象の共起確率に基づいて、同一の起源によって生じた可能性のある２つの事象の組み合わせを照合パターンとして選択する。
照合パターン選択部２６は、選択した１つ以上の照合パターンのそれぞれを正常範囲推定部２４に出力する。
【0088】
以上の実施の形態２では、２つ以上の事象に対する重み付けの指定を受け付ける指定受付部２５を備え、照合パターン選択部２６が、第１のトランザクション特定部２２により特定されたそれぞれの期間のトランザクションの中から、共起確率と指定受付部２５により指定が受け付けられた重み付けとに基づいて、同一の起源によって生じた可能性のある２つ以上の事象の組み合わせを照合パターンとして選択するように、データ分析装置１を構成した。したがって、データ分析装置１は、ユーザが所望する２つ以上の事象の組み合わせを照合パターンとして選択することができる。
【0089】
実施の形態３．
実施の形態３では、照合パターンに含まれている一方の事象と照合パターンに含まれている他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内であるか否かを示す情報を出力する情報出力部５４を備えるデータ分析装置１について説明する。
実施の形態３では、照合パターンに含まれている一方の事象と照合パターンに含まれている他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内であるか否かを示す情報を出力する情報出力部５４を備えるデータ分析装置１について説明する。
【0090】
図１７は、実施の形態３に係るデータ分析装置１の分析処理部１２を示す構成図である。図１７において、図５と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図１８は、分析処理部１２のハードウェアを示すハードウェア構成図である。図１８において、図６と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図１７に示す分析処理部１２は、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び情報出力部５４を備えている。
図１８は、分析処理部１２のハードウェアを示すハードウェア構成図である。図１８において、図６と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図１７に示す分析処理部１２は、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び情報出力部５４を備えている。
【0091】
情報出力部５４は、例えば、図１８に示す情報出力回路６４によって実現される。
情報出力部５４は、第２のトランザクション特定部５２から、それぞれの期間のトランザクションを取得し、照合パターン記憶部２から、１つ以上の時間情報付きの照合パターンを取得する。
また、情報出力部５４は、第２の時系列データ取得部５１から、第２の時系列データを取得する。
情報出力部５４は、判定部５３と同様に、それぞれの期間のトランザクションの中に、照合パターンに含まれている一方の事象のみが含まれており、照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていか否かを判定する。
情報出力部５４は、他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていれば、第２の時系列データが示すそれぞれの事象の発生時刻に基づいて、一方の事象と他方の事象との間の発生間隔を算出する。
情報出力部５４は、一方の事象と他方の事象との間の発生間隔と、照合パターンに付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
情報出力部５４は、一方の事象と他方の事象との間の発生間隔と正常な範囲の発生間隔との比較結果を示す情報として、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔以内であるか否かを示す比較結果情報を例えば外部装置に出力する。
情報出力部５４は、第２のトランザクション特定部５２から、それぞれの期間のトランザクションを取得し、照合パターン記憶部２から、１つ以上の時間情報付きの照合パターンを取得する。
また、情報出力部５４は、第２の時系列データ取得部５１から、第２の時系列データを取得する。
情報出力部５４は、判定部５３と同様に、それぞれの期間のトランザクションの中に、照合パターンに含まれている一方の事象のみが含まれており、照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていか否かを判定する。
情報出力部５４は、他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていれば、第２の時系列データが示すそれぞれの事象の発生時刻に基づいて、一方の事象と他方の事象との間の発生間隔を算出する。
情報出力部５４は、一方の事象と他方の事象との間の発生間隔と、照合パターンに付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
情報出力部５４は、一方の事象と他方の事象との間の発生間隔と正常な範囲の発生間隔との比較結果を示す情報として、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔以内であるか否かを示す比較結果情報を例えば外部装置に出力する。
【0092】
図１７に示す分析処理部１２では、情報出力部５４が、それぞれの期間のトランザクションの中に、照合パターンに含まれている一方の事象のみが含まれており、照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていか否かを判定している。しかし、これは一例に過ぎず、情報出力部５４は、上記の判定を行う代わりに、判定部５３の判定結果を取得するようにしてもよい。
【0093】
図１７では、分析処理部１２の構成要素である第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び情報出力部５４のそれぞれが、図１８に示すような専用のハードウェアによって実現されるものを想定している。即ち、分析処理部１２が、時系列データ取得回路６１、トランザクション特定回路６２、判定回路６３及び情報出力回路６４によって実現されるものを想定している。
時系列データ取得回路６１、トランザクション特定回路６２、判定回路６３及び情報出力回路６４のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
時系列データ取得回路６１、トランザクション特定回路６２、判定回路６３及び情報出力回路６４のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
【0094】
分析処理部１２の構成要素は、専用のハードウェアによって実現されるものに限るものではなく、分析処理部１２が、ソフトウェア、ファームウェア、又は、ソフトウェアとファームウェアとの組み合わせによって実現されるものであってもよい。
分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び情報出力部５４におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムが図７に示すメモリ７１に格納される。そして、図７に示すプロセッサ７２がメモリ７１に格納されているプログラムを実行する。
分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び情報出力部５４におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムが図７に示すメモリ７１に格納される。そして、図７に示すプロセッサ７２がメモリ７１に格納されているプログラムを実行する。
【0095】
また、図１８では、分析処理部１２の構成要素のそれぞれが専用のハードウェアによって実現される例を示し、図７では、分析処理部１２がソフトウェア又はファームウェア等によって実現される例を示している。しかし、これは一例に過ぎず、分析処理部１２における一部の構成要素が専用のハードウェアによって実現され、残りの構成要素がソフトウェア又はファームウェア等によって実現されるものであってもよい。
【0096】
【0097】
情報出力部５４は、第２のトランザクション特定部５２から、それぞれの期間のトランザクションを取得し、照合パターン記憶部２から、１つ以上の時間情報付きの照合パターンを取得する。
また、情報出力部５４は、第２の時系列データ取得部５１から、第２の時系列データを取得する。
情報出力部５４は、それぞれの期間のトランザクションの中に、照合パターンに含まれている一方の事象のみが含まれており、照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていか否かを判定する。
例えば、時間情報付きの照合パターンが＜時間情報付きのＰａｔｔｅｒｎ１＞であるとき、図１２に示す２つ目の期間のトランザクションを着目すると、２つ目の期間のトランザクションには、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ５が含まれている。しかし、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ３は、２つ目の期間のトランザクションに含まれておらず、１つ目の期間のトランザクションに含まれている。したがって、この例では、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ５とＰａｔｔｅｒｎ１に含まれている事象Ｌ３とは、互いに異なる期間のトランザクションに含まれている。
また、情報出力部５４は、第２の時系列データ取得部５１から、第２の時系列データを取得する。
情報出力部５４は、それぞれの期間のトランザクションの中に、照合パターンに含まれている一方の事象のみが含まれており、照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていか否かを判定する。
例えば、時間情報付きの照合パターンが＜時間情報付きのＰａｔｔｅｒｎ１＞であるとき、図１２に示す２つ目の期間のトランザクションを着目すると、２つ目の期間のトランザクションには、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ５が含まれている。しかし、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ３は、２つ目の期間のトランザクションに含まれておらず、１つ目の期間のトランザクションに含まれている。したがって、この例では、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ５とＰａｔｔｅｒｎ１に含まれている事象Ｌ３とは、互いに異なる期間のトランザクションに含まれている。
【0098】
情報出力部５４は、他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていれば、第２の時系列データが示すそれぞれの事象の発生時刻に基づいて、一方の事象と他方の事象との間の発生間隔を算出する。
具体的には、情報出力部５４は、例えば、１つ目の期間のトランザクションに含まれている事象Ｌ３の発生時刻と、２つ目の期間のトランザクションに含まれている事象Ｌ５の発生時刻との時刻差である発生間隔を算出する。
情報出力部５４は、一方の事象と他方の事象との間の発生間隔と、照合パターンに付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
具体的には、情報出力部５４は、例えば、事象Ｌ３と事象Ｌ５との間の発生間隔と、Ｐａｔｔｅｒｎ１に付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
情報出力部５４は、この比較の結果を示す情報として、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔以内であるか否かを示す比較結果情報を例えば外部装置に出力する。
これにより、例えば、外部装置は、一方の事象と他方の事象との間の発生間隔の定量的な分析が可能になる。
具体的には、情報出力部５４は、例えば、１つ目の期間のトランザクションに含まれている事象Ｌ３の発生時刻と、２つ目の期間のトランザクションに含まれている事象Ｌ５の発生時刻との時刻差である発生間隔を算出する。
情報出力部５４は、一方の事象と他方の事象との間の発生間隔と、照合パターンに付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
具体的には、情報出力部５４は、例えば、事象Ｌ３と事象Ｌ５との間の発生間隔と、Ｐａｔｔｅｒｎ１に付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
情報出力部５４は、この比較の結果を示す情報として、一方の事象と他方の事象との間の発生間隔が正常な範囲の発生間隔以内であるか否かを示す比較結果情報を例えば外部装置に出力する。
これにより、例えば、外部装置は、一方の事象と他方の事象との間の発生間隔の定量的な分析が可能になる。
【0099】
以上の実施の形態３では、第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションの中に、照合パターンに含まれている一方の事象のみが含まれており、照合パターンに含まれている他方の事象が、一方の事象が含まれているトランザクションと異なる期間のトランザクションに含まれていれば、一方の事象と他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内であるか否かを示す情報を出力する情報出力部５４を備えるように、データ分析装置１を構成した。したがって、データ分析装置１は、一方の事象と他方の事象との間の発生間隔の定量的な分析を可能にすることができる。
【0100】
図１７に示す分析処理部１２では、情報出力部５４が、照合パターンに含まれている一方の事象と照合パターンに含まれている他方の事象との間の発生間隔が正常な範囲の発生間隔以内であるか否かを示す比較結果情報を出力している。しかし、これは一例に過ぎず、情報出力部５４は、第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションのうち、照合パターンが含まれているトランザクションの中で、照合パターン以外の２つの事象間の発生間隔が、正常な範囲の発生間隔以内であるか否かを示す情報を出力するようにしてもよい。
【0101】
具体的には、以下の通りである。
第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションのうち、照合パターンが含まれているトランザクションが、例えば、｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝であるとする。
この例では、トランザクション｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝には、照合パターンであるＰａｔｔｅｒｎ１が含まれている。また、トランザクション｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝には、Ｐａｔｔｅｒｎ１以外の２つの事象Ｌ４，Ｌ１が含まれている。
情報出力部５４は、第２の時系列データが示すそれぞれの事象の発生時刻に基づいて、事象Ｌ４の発生時刻と事象Ｌ１の発生時刻との時刻差である発生間隔を算出する。
情報出力部５４は、事象Ｌ４と事象Ｌ１との間の発生間隔と、事象Ｌ４と事象Ｌ１との間の正常な範囲の発生間隔とを比較する。
情報出力部５４は、この比較の結果を示す情報として、事象Ｌ４と事象Ｌ１との間の発生間隔が、事象Ｌ４と事象Ｌ１との間の正常な範囲の発生間隔以内であるか否かを示す比較結果情報を例えば外部装置に出力する。正常な範囲の発生間隔は、例えば、情報出力部５４の内部メモリに格納されていてもよいし、分析処理部１２の外部から与えられるものであってもよい。また、正常な範囲の発生間隔は、第１の時系列データが示す発生時刻、又は、第２の時系列データが示す発生時刻に基づいて算出されたものであってもよい。
これにより、例えば、外部装置は、照合パターン以外の２つの事象間の発生間隔の定量的な分析が可能になる。
第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションのうち、照合パターンが含まれているトランザクションが、例えば、｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝であるとする。
この例では、トランザクション｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝には、照合パターンであるＰａｔｔｅｒｎ１が含まれている。また、トランザクション｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝には、Ｐａｔｔｅｒｎ１以外の２つの事象Ｌ４，Ｌ１が含まれている。
情報出力部５４は、第２の時系列データが示すそれぞれの事象の発生時刻に基づいて、事象Ｌ４の発生時刻と事象Ｌ１の発生時刻との時刻差である発生間隔を算出する。
情報出力部５４は、事象Ｌ４と事象Ｌ１との間の発生間隔と、事象Ｌ４と事象Ｌ１との間の正常な範囲の発生間隔とを比較する。
情報出力部５４は、この比較の結果を示す情報として、事象Ｌ４と事象Ｌ１との間の発生間隔が、事象Ｌ４と事象Ｌ１との間の正常な範囲の発生間隔以内であるか否かを示す比較結果情報を例えば外部装置に出力する。正常な範囲の発生間隔は、例えば、情報出力部５４の内部メモリに格納されていてもよいし、分析処理部１２の外部から与えられるものであってもよい。また、正常な範囲の発生間隔は、第１の時系列データが示す発生時刻、又は、第２の時系列データが示す発生時刻に基づいて算出されたものであってもよい。
これにより、例えば、外部装置は、照合パターン以外の２つの事象間の発生間隔の定量的な分析が可能になる。
【0102】
実施の形態４．
実施の形態４では、判定部５３によって、一方の事象と他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内ではないと判定されれば、他方の事象が欠損している確信度を算出する確信度算出部５５を備えるデータ分析装置１について説明する。
実施の形態４では、判定部５３によって、一方の事象と他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内ではないと判定されれば、他方の事象が欠損している確信度を算出する確信度算出部５５を備えるデータ分析装置１について説明する。
【0103】
図１９は、実施の形態４に係るデータ分析装置１の分析処理部１２を示す構成図である。図１９において、図５及び図１７と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図２０は、分析処理部１２のハードウェアを示すハードウェア構成図である。図２０において、図６及び図１８と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図１９に示す分析処理部１２は、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び確信度算出部５５を備えている。
図２０は、分析処理部１２のハードウェアを示すハードウェア構成図である。図２０において、図６及び図１８と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図１９に示す分析処理部１２は、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び確信度算出部５５を備えている。
【0104】
確信度算出部５５は、例えば、図２０に示す確信度算出回路６５によって実現される。
確信度算出部５５は、判定部５３から、判定結果を取得し、第２の時系列データ取得部５１から、第２の時系列データを取得する。
確信度算出部５５は、判定部５３によって、一方の事象と他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内ではないと判定されれば、他方の事象が欠損している確信度を算出する。
確信度算出部５５は、判定部５３から、判定結果を取得し、第２の時系列データ取得部５１から、第２の時系列データを取得する。
確信度算出部５５は、判定部５３によって、一方の事象と他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内ではないと判定されれば、他方の事象が欠損している確信度を算出する。
【0105】
図１９に示す分析処理部１２は、確信度算出部５５が図５に示す分析処理部１２に適用されたものである。しかし、これは一例に過ぎず、確信度算出部５５が図１７に示す分析処理部１２に適用されたものであってもよい。
【0106】
図１９では、分析処理部１２の構成要素である第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び確信度算出部５５のそれぞれが、図２０に示すような専用のハードウェアによって実現されるものを想定している。即ち、分析処理部１２が、時系列データ取得回路６１、トランザクション特定回路６２、判定回路６３及び確信度算出回路６５によって実現されるものを想定している。
時系列データ取得回路６１、トランザクション特定回路６２、判定回路６３及び確信度算出回路６５のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
時系列データ取得回路６１、トランザクション特定回路６２、判定回路６３及び確信度算出回路６５のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
【0107】
分析処理部１２の構成要素は、専用のハードウェアによって実現されるものに限るものではなく、分析処理部１２が、ソフトウェア、ファームウェア、又は、ソフトウェアとファームウェアとの組み合わせによって実現されるものであってもよい。
分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び確信度算出部５５におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムが図７に示すメモリ７１に格納される。そして、図７に示すプロセッサ７２がメモリ７１に格納されているプログラムを実行する。
分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び確信度算出部５５におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムが図７に示すメモリ７１に格納される。そして、図７に示すプロセッサ７２がメモリ７１に格納されているプログラムを実行する。
【0108】
また、図２０では、分析処理部１２の構成要素のそれぞれが専用のハードウェアによって実現される例を示し、図７では、分析処理部１２がソフトウェア又はファームウェア等によって実現される例を示している。しかし、これは一例に過ぎず、分析処理部１２における一部の構成要素が専用のハードウェアによって実現され、残りの構成要素がソフトウェア又はファームウェア等によって実現されるものであってもよい。
【0109】
【0110】
確信度算出部５５は、判定部５３から、判定結果を取得し、照合パターン記憶部２から、１つ以上の時間情報付きの照合パターンを取得する。
また、確信度算出部５５は、第２の時系列データ取得部５１から、第２の時系列データを取得する。
例えば、照合パターンがＰａｔｔｅｒｎ１であれば、Ｐａｔｔｅｒｎ１に付加されている時間情報は、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔を示している。照合パターンがＰａｔｔｅｒｎ２であれば、Ｐａｔｔｅｒｎ２に付加されている時間情報は、事象Ｌ２と事象Ｌ１との間の正常な範囲の発生間隔を示している。
また、確信度算出部５５は、第２の時系列データ取得部５１から、第２の時系列データを取得する。
例えば、照合パターンがＰａｔｔｅｒｎ１であれば、Ｐａｔｔｅｒｎ１に付加されている時間情報は、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔を示している。照合パターンがＰａｔｔｅｒｎ２であれば、Ｐａｔｔｅｒｎ２に付加されている時間情報は、事象Ｌ２と事象Ｌ１との間の正常な範囲の発生間隔を示している。
【0111】
確信度算出部５５は、判定部５３によって、一方の事象と他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内ではないと判定されれば、他方の事象が欠損している確信度を算出する。
具体的には、以下の通りである。
例えば、時間情報付きの照合パターンがＰａｔｔｅｒｎ１であるとき、図１２に示す２つ目の期間のトランザクションを着目すると、２つ目の期間のトランザクションには、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ５が含まれている。しかし、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ３は、２つ目の期間のトランザクションに含まれておらず、１つ目の期間のトランザクションに含まれている。したがって、この例では、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ５とＰａｔｔｅｒｎ１に含まれている事象Ｌ３とは、互いに異なる期間のトランザクションに含まれている。
具体的には、以下の通りである。
例えば、時間情報付きの照合パターンがＰａｔｔｅｒｎ１であるとき、図１２に示す２つ目の期間のトランザクションを着目すると、２つ目の期間のトランザクションには、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ５が含まれている。しかし、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ３は、２つ目の期間のトランザクションに含まれておらず、１つ目の期間のトランザクションに含まれている。したがって、この例では、Ｐａｔｔｅｒｎ１に含まれている事象Ｌ５とＰａｔｔｅｒｎ１に含まれている事象Ｌ３とは、互いに異なる期間のトランザクションに含まれている。
【0112】
確信度算出部５５は、第２の時系列データが示すそれぞれの事象の発生時刻に基づいて、１つ目の期間のトランザクションに含まれている事象Ｌ３の発生時刻と、２つ目の期間のトランザクションに含まれている事象Ｌ５の発生時刻との時刻差である発生間隔を算出する。
確信度算出部５５は、事象Ｌ３と事象Ｌ５との間の発生間隔と、Ｐａｔｔｅｒｎ１に付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
確信度算出部５５は、事象Ｌ３と事象Ｌ５との間の発生間隔と、Ｐａｔｔｅｒｎ１に付加されている時間情報が示す正常な範囲の発生間隔とを比較する。
【0113】
確信度算出部５５は、事象Ｌ３と事象Ｌ５との間の時間差の統計量を示す統計分布が、正常時の分布であると仮定する。
確信度算出部５５は、事象Ｌ３と事象Ｌ５との間の発生間隔について、正常時の分布によって示される該当の発生間隔が生じる確率を、事象Ｌ３と事象Ｌ５とが正常に共起している確信度であるとする。
確信度算出部５５は、事象Ｌ３と事象Ｌ５との間の発生間隔が、正常な範囲の発生間隔よりも長ければ、事象Ｌ３と事象Ｌ５との間の発生間隔の範囲で正常時の分布を積分する。そして、確信度算出部５５は、積分した値が、他方の事象である事象Ｌ３が欠損している確信度であるとする。
確信度算出部５５は、確信度を例えば外部装置に出力する。
これにより、例えば、外部装置は、２つの事象間の発生間隔の定量的な分析が可能になる。
確信度算出部５５は、事象Ｌ３と事象Ｌ５との間の発生間隔について、正常時の分布によって示される該当の発生間隔が生じる確率を、事象Ｌ３と事象Ｌ５とが正常に共起している確信度であるとする。
確信度算出部５５は、事象Ｌ３と事象Ｌ５との間の発生間隔が、正常な範囲の発生間隔よりも長ければ、事象Ｌ３と事象Ｌ５との間の発生間隔の範囲で正常時の分布を積分する。そして、確信度算出部５５は、積分した値が、他方の事象である事象Ｌ３が欠損している確信度であるとする。
確信度算出部５５は、確信度を例えば外部装置に出力する。
これにより、例えば、外部装置は、２つの事象間の発生間隔の定量的な分析が可能になる。
【0114】
実施の形態５．
実施の形態５では、２つの事象間の発生間隔の正常度を算出する正常度算出部５６を備えるデータ分析装置１について説明する。
実施の形態５では、２つの事象間の発生間隔の正常度を算出する正常度算出部５６を備えるデータ分析装置１について説明する。
【0115】
図２１は、実施の形態５に係るデータ分析装置１の分析処理部１２を示す構成図である。図２１において、図５、図１７及び図１９と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図２２は、分析処理部１２のハードウェアを示すハードウェア構成図である。図２２において、図６、図１８及び図２０と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図２１に示す分析処理部１２は、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び正常度算出部５６を備えている。
図２２は、分析処理部１２のハードウェアを示すハードウェア構成図である。図２２において、図６、図１８及び図２０と同一符号は、同一又は相当部分を示すので、詳細な説明を省略する。
図２１に示す分析処理部１２は、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び正常度算出部５６を備えている。
【0116】
正常度算出部５６は、例えば、図２２に示す正常度算出回路６６によって実現される。
正常度算出部５６は、判定部５３によって、第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションの中に、照合パターン選択部２３により選択された照合パターンが含まれていると判定されれば、照合パターンが含まれているトランザクションの中で、照合パターン以外の２つの事象間の発生間隔の正常度を算出する。
また、正常度算出部５６は、一方の事象が含まれているトランザクションと他方の事象が含まれているトランザクションとが異なるとき、以下に示す正常度を算出する。
正常度算出部５６により算出される正常度は、一方の事象が含まれているトランザクションの中で一方の事象と異なる事象と、他方の事象が含まれているトランザクションの中で他方の事象と異なる事象との発生間隔の正常度である。
正常度算出部５６は、判定部５３によって、第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションの中に、照合パターン選択部２３により選択された照合パターンが含まれていると判定されれば、照合パターンが含まれているトランザクションの中で、照合パターン以外の２つの事象間の発生間隔の正常度を算出する。
また、正常度算出部５６は、一方の事象が含まれているトランザクションと他方の事象が含まれているトランザクションとが異なるとき、以下に示す正常度を算出する。
正常度算出部５６により算出される正常度は、一方の事象が含まれているトランザクションの中で一方の事象と異なる事象と、他方の事象が含まれているトランザクションの中で他方の事象と異なる事象との発生間隔の正常度である。
【0117】
図２１に示す分析処理部１２は、正常度算出部５６が図５に示す分析処理部１２に適用されたものである。しかし、これは一例に過ぎず、正常度算出部５６が、図１７に示す分析処理部１２、又は、図１９に示す分析処理部１２に適用されたものであってもよい。
【0118】
図２１では、分析処理部１２の構成要素である第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び正常度算出部５６のそれぞれが、図２２に示すような専用のハードウェアによって実現されるものを想定している。即ち、分析処理部１２が、時系列データ取得回路６１、トランザクション特定回路６２、判定回路６３及び正常度算出回路６６によって実現されるものを想定している。
時系列データ取得回路６１、トランザクション特定回路６２、判定回路６３及び正常度算出回路６６のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
時系列データ取得回路６１、トランザクション特定回路６２、判定回路６３及び正常度算出回路６６のそれぞれは、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡ、又は、これらを組み合わせたものが該当する。
【0119】
分析処理部１２の構成要素は、専用のハードウェアによって実現されるものに限るものではなく、分析処理部１２が、ソフトウェア、ファームウェア、又は、ソフトウェアとファームウェアとの組み合わせによって実現されるものであってもよい。
分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び正常度算出部５６におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムが図７に示すメモリ７１に格納される。そして、図７に示すプロセッサ７２がメモリ７１に格納されているプログラムを実行する。
分析処理部１２が、ソフトウェア又はファームウェア等によって実現される場合、第２の時系列データ取得部５１、第２のトランザクション特定部５２、判定部５３及び正常度算出部５６におけるそれぞれの処理手順をコンピュータに実行させるためのプログラムが図７に示すメモリ７１に格納される。そして、図７に示すプロセッサ７２がメモリ７１に格納されているプログラムを実行する。
【0120】
また、図２２では、分析処理部１２の構成要素のそれぞれが専用のハードウェアによって実現される例を示し、図７では、分析処理部１２がソフトウェア又はファームウェア等によって実現される例を示している。しかし、これは一例に過ぎず、分析処理部１２における一部の構成要素が専用のハードウェアによって実現され、残りの構成要素がソフトウェア又はファームウェア等によって実現されるものであってもよい。
【0121】
【0122】
正常度算出部５６は、判定部５３から、判定結果を取得する。
正常度算出部５６は、判定部５３の判定結果が、第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションの中に、照合パターン選択部２３により選択された照合パターンが含まれている旨を示しているか否かを確認する。
正常度算出部５６は、それぞれの期間のトランザクションの中に、照合パターンが含まれていることを確認した場合、照合パターンが含まれているトランザクションの中で、照合パターン以外の２つの事象間の発生間隔の正常度を算出する。
正常度算出部５６は、判定部５３の判定結果が、第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションの中に、照合パターン選択部２３により選択された照合パターンが含まれている旨を示しているか否かを確認する。
正常度算出部５６は、それぞれの期間のトランザクションの中に、照合パターンが含まれていることを確認した場合、照合パターンが含まれているトランザクションの中で、照合パターン以外の２つの事象間の発生間隔の正常度を算出する。
【0123】
具体的には、以下の通りである。
第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションのうち、照合パターンが含まれているトランザクションが、例えば、｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝であるとする。
この例では、トランザクション｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝には、照合パターンであるＰａｔｔｅｒｎ１が含まれている。また、トランザクション｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝には、Ｐａｔｔｅｒｎ１以外の２つの事象Ｌ４，Ｌ１が含まれている。
正常度算出部５６は、事象Ｌ４と事象Ｌ１との間の発生間隔の正常度を算出する。
具体的には、正常度算出部５６は、事象Ｌ４と事象Ｌ１との間の時間差の統計量を示す統計分布が、正常時の分布であると仮定する。そして、正常度算出部５６は、正常時の分布において、事象Ｌ４と事象Ｌ１とが発生する確率が、事象Ｌ４と事象Ｌ１との間の発生間隔の正常度であるとする。事象Ｌ４と事象Ｌ１との間の時間差の統計量を示す統計分布は、例えば、正常度算出部５６の内部メモリに格納されていてもよいし、分析処理部１２の外部から与えられるものであってもよい。また、統計分布は、第１の時系列データが示す発生時刻、又は、第２の時系列データが示す発生時刻に基づいて算出されたものであってもよい。
第２のトランザクション特定部５２により特定されたそれぞれの期間のトランザクションのうち、照合パターンが含まれているトランザクションが、例えば、｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝であるとする。
この例では、トランザクション｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝には、照合パターンであるＰａｔｔｅｒｎ１が含まれている。また、トランザクション｛Ｌ３，Ｌ５，Ｌ４，Ｌ１｝には、Ｐａｔｔｅｒｎ１以外の２つの事象Ｌ４，Ｌ１が含まれている。
正常度算出部５６は、事象Ｌ４と事象Ｌ１との間の発生間隔の正常度を算出する。
具体的には、正常度算出部５６は、事象Ｌ４と事象Ｌ１との間の時間差の統計量を示す統計分布が、正常時の分布であると仮定する。そして、正常度算出部５６は、正常時の分布において、事象Ｌ４と事象Ｌ１とが発生する確率が、事象Ｌ４と事象Ｌ１との間の発生間隔の正常度であるとする。事象Ｌ４と事象Ｌ１との間の時間差の統計量を示す統計分布は、例えば、正常度算出部５６の内部メモリに格納されていてもよいし、分析処理部１２の外部から与えられるものであってもよい。また、統計分布は、第１の時系列データが示す発生時刻、又は、第２の時系列データが示す発生時刻に基づいて算出されたものであってもよい。
【0124】
正常度算出部５６は、一方の事象が含まれているトランザクションと他方の事象が含まれているトランザクションとが異なるとき、判定部５３の判定結果が、一方の事象と他方の事象との間の発生間隔が、正常範囲推定部２４により推定された正常な範囲の発生間隔以内である旨を示しているか否かを確認する。
正常度算出部５６は、上記のことを確認した場合、一方の事象が含まれているトランザクションの中で一方の事象と異なる事象と、他方の事象が含まれているトランザクションの中で他方の事象と異なる事象との発生間隔の正常度を算出する。
正常度算出部５６は、上記のことを確認した場合、一方の事象が含まれているトランザクションの中で一方の事象と異なる事象と、他方の事象が含まれているトランザクションの中で他方の事象と異なる事象との発生間隔の正常度を算出する。
【0125】
具体的には、以下の通りである。
例えば、照合パターンがＰａｔｔｅｒｎ１であるとき、Ｐａｔｔｅｒｎ１に含まれている一方の事象である事象Ｌ３が、例えばトランザクション｛Ｌ３，Ｌ２，Ｌ４｝に含まれており、Ｐａｔｔｅｒｎ１に含まれている他方の事象である事象Ｌ５が、例えばトランザクション｛Ｌ１，Ｌ５｝に含まれているものとする。
そして、トランザクション｛Ｌ３，Ｌ２，Ｌ４｝に含まれている事象Ｌ３と、トランザクション｛Ｌ１，Ｌ５｝に含まれている事象Ｌ５との発生間隔が、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔以内であるとする。
例えば、照合パターンがＰａｔｔｅｒｎ１であるとき、Ｐａｔｔｅｒｎ１に含まれている一方の事象である事象Ｌ３が、例えばトランザクション｛Ｌ３，Ｌ２，Ｌ４｝に含まれており、Ｐａｔｔｅｒｎ１に含まれている他方の事象である事象Ｌ５が、例えばトランザクション｛Ｌ１，Ｌ５｝に含まれているものとする。
そして、トランザクション｛Ｌ３，Ｌ２，Ｌ４｝に含まれている事象Ｌ３と、トランザクション｛Ｌ１，Ｌ５｝に含まれている事象Ｌ５との発生間隔が、事象Ｌ３と事象Ｌ５との間の正常な範囲の発生間隔以内であるとする。
【0126】
この例では、正常度算出部５６は、トランザクション｛Ｌ３，Ｌ２，Ｌ４｝に含まれている事象Ｌ２と、トランザクション｛Ｌ１，Ｌ５｝に含まれている事象Ｌ１との発生間隔の正常度を算出する。
即ち、正常度算出部５６は、事象Ｌ２と事象Ｌ１との間の時間差の統計量を示す統計分布が、正常時の分布であると仮定する。そして、正常度算出部５６は、正常時の分布により示される事象Ｌ２と事象Ｌ１の該当の発生間隔が生じる確率が、その正常度であるとする。事象Ｌ２と事象Ｌ１との間の時間差の統計量を示す統計分布は、例えば、正常度算出部５６の内部メモリに格納されていてもよいし、分析処理部１２の外部から与えられるものであってもよい。また、統計分布は、第１の時系列データが示す発生時刻、又は、第２の時系列データが示す発生時刻に基づいて算出されたものであってもよい。
即ち、正常度算出部５６は、事象Ｌ２と事象Ｌ１との間の時間差の統計量を示す統計分布が、正常時の分布であると仮定する。そして、正常度算出部５６は、正常時の分布により示される事象Ｌ２と事象Ｌ１の該当の発生間隔が生じる確率が、その正常度であるとする。事象Ｌ２と事象Ｌ１との間の時間差の統計量を示す統計分布は、例えば、正常度算出部５６の内部メモリに格納されていてもよいし、分析処理部１２の外部から与えられるものであってもよい。また、統計分布は、第１の時系列データが示す発生時刻、又は、第２の時系列データが示す発生時刻に基づいて算出されたものであってもよい。
【0127】
また、正常度算出部５６は、トランザクション｛Ｌ３，Ｌ２，Ｌ４｝に含まれている事象Ｌ４と、トランザクション｛Ｌ１，Ｌ５｝に含まれている事象Ｌ１との発生間隔の正常度を算出する。
即ち、正常度算出部５６は、事象Ｌ４と事象Ｌ１との間の時間差の統計量を示す統計分布が、正常時の分布であると仮定する。そして、正常度算出部５６は、正常時の分布により示される事象Ｌ４と事象Ｌ１の該当の発生間隔が生じる確率が、その正常度であるとする。
即ち、正常度算出部５６は、事象Ｌ４と事象Ｌ１との間の時間差の統計量を示す統計分布が、正常時の分布であると仮定する。そして、正常度算出部５６は、正常時の分布により示される事象Ｌ４と事象Ｌ１の該当の発生間隔が生じる確率が、その正常度であるとする。
【0128】
正常度算出部５６は、算出した正常度を、例えば外部装置に出力する。これにより、例えば、外部装置は、２つの事象間の発生間隔の定量的な分析が可能になる。
【0129】
なお、本開示は、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
【符号の説明】
【0130】
１ データ分析装置、２ 照合パターン記憶部、１１ 照合パターン抽出部、１２ 分析処理部、２１ 第１の時系列データ取得部、２２ 第１のトランザクション特定部、２３ 照合パターン選択部、２４ 正常範囲推定部、２５ 指定受付部、２６ 照合パターン選択部、３１ 時系列データ取得回路、３２ トランザクション特定回路、３３ 照合パターン選択回路、３４ 正常範囲推定回路、３５ 指定受付回路、３６ 照合パターン選択回路、４１ メモリ、４２ プロセッサ、５１ 第２の時系列データ取得部、５２ 第２のトランザクション特定部、５３ 判定部、５４ 情報出力部、５５ 確信度算出部、５６ 正常度算出部、６１ 時系列データ取得回路、６２ トランザクション特定回路、６３ 判定回路、６４ 情報出力回路、６５ 確信度算出回路、６６ 正常度算出回路、７１ メモリ、７２ プロセッサ。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図11】
【図12】
【図10】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】