特許 7392845 非定常変動検知装置、非定常変動検知方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-11-28

(45)【発行日】2023-12-06

(54)【発明の名称】非定常変動検知装置、非定常変動検知方法及びプログラム

(51)【国際特許分類】

   G06F 11/34 20060101AFI20231129BHJP

   G06F 11/07 20060101ALI20231129BHJP

【ＦＩ】

G06F11/34 152

G06F11/07 151

【請求項の数】 7

(21)【出願番号】P 2022527289

(86)(22)【出願日】2020-05-25

(86)【国際出願番号】 JP2020020598

(87)【国際公開番号】W WO2021240612

(87)【国際公開日】2021-12-02

【審査請求日】2022-09-09

(73)【特許権者】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100124844

【弁理士】

【氏名又は名称】石原 隆治

(72)【発明者】

【氏名】高橋 彰子

(72)【発明者】

【氏名】池上 大介

【審査官】土谷 慎吾

(56)【参考文献】

【文献】特開２０１８－０５５２９４（ＪＰ，Ａ）

【文献】国際公開第２０１８／２３５１２３（ＷＯ，Ａ１）

【文献】特開２０１７－０６８７４８（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １１／３４

Ｇ０６Ｆ １１／０７

(57)【特許請求の範囲】

【請求項1】

１又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データであって、前記システムを構成する装置数×前記装置の状態を表す項目数次元又は前記装置数×前記項目数×時間窓に含まれる時点数次元のデータで構成される時系列データを入力する入力部と、
前記各時点における前記データをクラスタリングし、前記各時点において前記データがそれぞれ分類されるクラスタの系列を表すクラスタ遷移系列を作成するクラスタリング部と、
前記クラスタ遷移系列を用いて、前記データが一のクラスタに分類されてから他のクラスタに分類されるまでの期間を表す滞在期間を算出し、前記クラスタ遷移系列と前記滞在期間から滞在期間付きクラスタ遷移系列を作成する系列作成部と、
前記滞在期間付きクラスタ遷移系列に基づいて、前記システム状態の定常的な変動を表す定常変動と区別して、前記システム状態の非定常的な変動を表す非定常変動を検知する検知部と、
を有し、
前記検知部は、
前記滞在期間付きクラスタ遷移系列に含まれる所定の系列長の部分系列であって、所定の条件を満たす部分系列に対応する期間を、前記非定常変動が発生している期間として検知する、ことを特徴とする非定常変動検知装置。

【請求項2】

前記所定の条件を満たす部分系列は、前記滞在期間付きクラスタ遷移系列における出現頻度が所定の閾値未満の部分系列、又は、所定のクラスタ遷移パターンを表し、かつ、前記出現頻度が所定の閾値未満の部分系列である、ことを特徴とする請求項１に記載の非定常変動検知装置。

【請求項3】

前記検知部は、
前記クラスタ遷移系列の中で前記部分系列に合致するクラスタ遷移パターンに対応する期間又は当該期間の一部の期間を、前記非定常変動が発生している期間として検知する、ことを特徴とする請求項２に記載の非定常変動検知装置。

【請求項4】

前記一部の期間は、前記クラスタ遷移パターンの先頭及び末尾のクラスタを除くクラスタ遷移パターンに対応する期間である、ことを特徴とする請求項３に記載の非定常変動検知装置。

【請求項5】

前記系列長は予め指定された任意の長さであり、
前記滞在期間は、前記データが一のクラスタに分類されてから他のクラスタに分類されるまでの時点数、又は、前記時点数の大小関係から決定されるクラスを表す値のいずれかである、ことを特徴とする請求項２乃至４の何れか一項に記載の非定常変動検知装置。

【請求項6】

１又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データであって、前記システムを構成する装置数×前記装置の状態を表す項目数次元又は前記装置数×前記項目数×時間窓に含まれる時点数次元のデータで構成される時系列データを入力する入力手順と、
前記各時点における前記データをクラスタリングし、前記各時点において前記データがそれぞれ分類されるクラスタの系列を表すクラスタ遷移系列を作成するクラスタリング手順と、
前記クラスタ遷移系列を用いて、前記データが一のクラスタに分類されてから他のクラスタに分類されるまでの期間を表す滞在期間を算出し、前記クラスタ遷移系列と前記滞在期間から滞在期間付きクラスタ遷移系列を作成する系列作成手順と、
前記滞在期間付きクラスタ遷移系列に基づいて、前記システム状態の定常的な変動を表す定常変動と区別して、前記システム状態の非定常的な変動を表す非定常変動を検知する検知手順と、
をコンピュータが実行し、
前記検知手順は、
前記滞在期間付きクラスタ遷移系列に含まれる所定の系列長の部分系列であって、所定の条件を満たす部分系列に対応する期間を、前記非定常変動が発生している期間として検知する、ことを特徴とする非定常変動検知方法。

【請求項7】

コンピュータを、請求項１乃至５の何れか一項に記載の非定常変動検知装置として機能させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、非定常変動検知装置、非定常変動検知方法及びプログラムに関する。

【背景技術】

【0002】

１つ又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データを用いて、当該システムの非定常変動を検知する技術が従来から知られている。ここで、非定常変動とは非定常的に発生するシステムの状態変動のことであり、例えば、システムに含まれる一部の装置の故障に伴う状態変動やシステム状態に影響を与える外的要因の発生に伴う状態変動等のことである。具体例を挙げれば、例えば、各時点におけるシステム状態をそれぞれ表すデータの項目が「リクエスト処理数」のみであるとした場合、非定常変動としては、一部の装置の故障に伴う当該装置のリクエスト処理数の減少及びそれに伴う他の装置のリクエスト処理数の増加、システム状態に影響を与えるイベントの発生に伴う総リクエスト処理数の増加又は減少等が挙げられる。なお、例えば、システムを構成する装置数をＭ、各時点におけるシステム状態をそれぞれ表すデータの項目数をＫとすれば当該データはＭ×Ｋ次元のベクトルで表すことができるため、時点数がＮである場合、１つ又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データはＮ個のＭ×Ｋ次元データで構成される。

【0003】

一般的に、正解ラベルが付与されていないデータを用いて、非定常変動等の異常を検知する場合、システムの定常状態を定義した上で、この定常状態を逸脱する異常値（外れ値）を検知することが行われている。上記のような複数次元（１次元も含む）のデータから異常値を検知する技術としては、例えば、非特許文献１や非特許文献２に記載されている技術が知られている。

【0004】

例えば、時点１から時点ＮにおけるＭ個の装置のリクエスト処理数の観測値が時系列データ（つまり、Ｎ個のＭ次元データで構成される時系列データ）として得られており、各Ｍ次元データは異常値を含まないか又は異常値を含んでいたとしても圧倒的に少数であるものとする。このとき、各装置の定常状態が変化しないものとすると、各装置のリクエスト処理数は一定値周辺に分布すると考えられるため、Ｎ個のＭ次元データに対して一定値周辺で分布するＭ次元分布を仮定することができる。非特許文献１では、このＭ次元分布としてＭ次元正規分布を仮定した上で、新たなＭ次元データが観測される度にＭ次元正規分布の標本平均からのマハラノビス距離を算出し、その算出値の多寡に応じて異常判定する方法が提案されている。また、非特許文献２では、Ｋ－Ｍｅａｎｓ法等のクラスタリング手法によりＮ個のＭ次元データをクラスタに分類すると共に経験則等の何等かのルールに基づいて各クラスタに対して正常又は異常を表すラベルを付与した上で、新たなＭ次元データが観測される度に最も近いクラスタ中心を持つクラスタのラベルから異常判定する方法が提案されている。

【先行技術文献】

【非特許文献】

【0005】

【文献】N.Ye et al., "An anomaly detection technique based on a chi-square statistic for detecting intrusions into information systems," Quality and Reliability Engineering, Vol.17 (2), 2001.

【文献】G.Munz et al., "Traffic Anomaly Detection Using K-Means Clustering," Computer Science, 2007.

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、上記の非特許文献１や非特許文献２で提案されている従来技術では、いずれも各時点におけるシステムの状態（つまり、各時点におけるシステムのスナップショット）に着目しており、時間経過に伴うシステムの状態遷移には着目していない。このため、例えば、定常状態においても時間変動や週変動等の周期変動によってシステム状態の変動が繰り返されているシステムにおいては、このような定常的な変動（以下、「定常変動」ともいう。）とそれ以外の非定常変動とを区別することが難しく、定常変動を非定常変動と誤検知したり、非定常変動の検知漏れが発生したりする可能性がある。

【0007】

本発明の一実施形態は、上記の点に鑑みてなされたもので、システム状態の定常変動と区別して非定常変動を検知可能とすることを目的とする。

【課題を解決するための手段】

【0008】

上記目的を達成するため、一実施形態に係る非定常変動検知装置は、１又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データであって、前記システムを構成する装置数×前記装置の状態を表す項目数次元又は前記装置数×前記項目数×時間窓に含まれる時点数次元のデータで構成される時系列データを入力する入力部と、前記各時点における前記データに基づいて、前記システム状態の定常的な変動を表す定常変動と区別して、前記システム状態の非定常的な変動を表す非定常変動を検知する検知部と、を有することを特徴とする。

【発明の効果】

【0009】

システム状態の定常変動と区別して非定常変動を検知することができる。

【図面の簡単な説明】

【0010】

【図1】本実施形態に係る非定常変動検知装置の機能構成の一例を示す図である。

【図2】本実施形態に係る非定常変動検知処理の一例を示すフローチャートである。

【図3】本実施形態に係る非定常変動検知装置のハードウェア構成の一例を示す図である。

【発明を実施するための形態】

【0011】

以下、本発明の一実施形態について説明する。本実施形態では、１つ又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データを用いて、システム状態の定常変動と区別して非定常変動を検知することが可能な非定常変動検知装置１０について説明する。本実施形態に係る非定常変動検知装置１０を用いて、定常変動（例えば時間変動や週変動等の平常時に観測される定常的なシステムの状態変動）と区別して非定常変動を検知することで、通常の運用監視等では見逃されてきたサイレント故障等の発見に寄与することができる。

【0012】

以降では、システムを構成する装置数をＭ、時点数をＮ、各時点におけるシステム状態をそれぞれ表すデータの項目数をＫとして、Ｎ個のＭ×Ｋ次元データで時系列データが構成されているものとする。

【0013】

なお、各時点におけるＭ×Ｋ次元データの各項目値（つまり、当該時点におけるＭ×Ｋ次元ベクトルの各要素）は当該時点における各装置の状態を表すＫ個の観測値である。具体的には、或る時点におけるＭ×Ｋ次元データを［ｘ_１，・・・，ｘ_Ｋ，ｘ_Ｋ＋１，・・・，ｘ_２Ｋ，・・・，ｘ_{（Ｍ－１）Ｋ＋１}，・・・，ｘ_ＭＫ］とした場合、例えば、ｍ＝１，・・・，Ｍに対してｘ_{（ｍ－１）Ｋ＋１}，・・・，ｘ_ｍＫは当該時点におけるｍ番目の装置の観測値である。観測値としては、例えば、上述したリクエスト処理数の他、ＣＰＵ（Central Processing Unit）使用率やメモリ使用率等の装置の状態を表す任意の値が用いられる。

【0014】

＜機能構成＞
まず、本実施形態に係る非定常変動検知装置１０の機能構成について、図１を参照しながら説明する。図１は、本実施形態に係る非定常変動検知装置１０の機能構成の一例を示す図である。

【0015】

図１に示すように、本実施形態に係る非定常変動検知装置１０は、入力部１０１と、クラスタリング部１０２と、カウント部１０３と、抽出部１０４と、検知部１０５と、出力部１０６とを有する。

【0016】

入力部１０１は、Ｎ個のＭ×Ｋ次元データで構成される時系列データを入力する。なお、入力部１０１は、任意の入力元から時系列データを入力すればよい。例えば、入力部１０１は、通信ネットワークを介してシステム又はサーバ装置等から時系列データを受信することで当該時系列データを入力してもよいし、補助記憶装置等に格納されている時系列データを読み込むことで当該時系列データを入力してもよい。また、例えば、入力部１０１は、ユーザ等によって入力された時系列データを受け付けることで、当該時系列データを入力してもよい。

【0017】

クラスタリング部１０２は、入力部１０１により入力された時系列データを構成する各Ｍ×Ｋ次元データをクラスタリングする。これにより、各Ｍ×Ｋ次元データが各クラスタに分類され、当該時系列データに対応するクラスタＩＤ系列が得られる。

【0018】

カウント部１０３は、クラスタリング部１０２のクラスタリングによって得られたクラスタＩＤ系列中で異なるクラスタに遷移するまでの滞在期間（つまり、異なるクラスタに遷移するまでの時点数）をカウントし、所定の系列長の滞在期間付きクラスタ遷移部分列を作成する。また、カウント部１０３は、各滞在期間付きクラスタ遷移部分列の発生件数とその発生頻度をカウントする。

【0019】

抽出部１０４は、カウント部１０３により作成された滞在期間付きクラスタ遷移部分列の中から、検知対象の非定常変動として想定されるクラスタ遷移パターンに合致する滞在期間付きクラスタ遷移部分列であって、かつ、その発生頻度が所定の閾値未満の滞在期間付きクラスタ遷移部分列を抽出する。ここで、定常変動は非定常変動とクラスタ遷移パターンが同じであっても定常的に発生するためその発生頻度が高いと考えられ、発生頻度が所定の閾値未満（例えば、１０％未満等）であることを抽出条件とすることで、定常変動が非定常変動として検知されてしまう事態を防止することが可能となる。

【0020】

検知部１０５は、抽出部１０４により抽出された滞在期間付きクラスタ遷移部分列と、クラスタリング部１０２のクラスタリングによって得られたクラスタＩＤ系列とを用いて、非定常変動発生期間を検知する。すなわち、検知部１０５は、当該クラスタＩＤ系列中で当該滞在期間付きクラスタ遷移部分列に合致するクラスタ遷移パターンの期間（又はその一部の期間）を非定常変動発生期間として検知する。

【0021】

出力部１０６は、検知部１０５により検知された非定常変動発生期間を出力する。なお、出力部１０６は、任意の出力先に非定常変動発生期間を出力すればよい。例えば、出力部１０６は、通信ネットワークを介してサーバ装置等に非定常変動発生期間を出力してもよいし、ディスプレイ等に非定常変動発生期間を出力してもよいし、補助記憶装置等に非定常変動発生期間を出力してもよい。

【0022】

＜非定常変動検知処理＞
次に、本実施形態に係る非定常変動検知処理について、図２を参照しながら説明する。図２は、本実施形態に係る非定常変動検知処理の一例を示すフローチャートである。

【0023】

ステップＳ１０１：まず、入力部１０１は、Ｎ個のＭ×Ｋ次元データで構成される時系列データを入力する。すなわち、時点ｎにおけるＭ×Ｋ次元データをＸ_ｎとすれば、入力部１０１は、時系列データ｛Ｘ_１，・・・，Ｘ_Ｎ｝を入力する。

【0024】

ここで、後述するステップＳ１０２の前に、時系列データ｛Ｘ_１，・・・，Ｘ_Ｎ｝に対して所定の前処理が行われてもよい。例えば、検知対象の非定常変動として装置故障を考えた場合、一部の装置が故障すると装置間における処理バランスの乱れが観測されることから、このバランスの乱れを際立たせるため、各データの各項目値を、装置間における相対値に変換する正規化処理が前処理として行われてもよい。具体的には、例えば、各時点ｎ＝１，・・・，Ｎにおいて、ｋ（ただし、ｋ＝１，・・・，Ｋ）番目の項目に関するＭ個の装置の観測値の合計Ｓ_ｎｋを算出し、ｋ番目の項目に関する各装置の観測値を合計Ｓ_ｎｋで割ることで、各観測値を［０，１］の範囲内の値に変換する処理が前処理として行われてもよい。又は、例えば、装置毎及び項目毎に、ｍ（ただし、ｍ＝１，・・・，Ｍ）番目の装置のｋ（ただし、ｋ＝１，・・・，Ｋ）番目の項目に関する期間［１，Ｎ］を通じたＮ個の観測値を平均０、標準偏差１となるように変換する処理（標準化処理）が前処理として行われてもよい。
また、システムを構成する装置群の平常時における観測値の水準が装置によって大きく異なる場合、非定常変動発生時の変化又は変化率を際立たせるため、装置毎及び項目毎の差分系列に変換する処理が前処理として行われてもよい。具体的には、装置ｍ（ただし、ｍ＝１，・・・，Ｍ）のｋ（ただし、ｋ＝１，・・・，Ｋ）番目の項目に関する時点ｎ（ただし、ｎ＝１，・・・，Ｎ）における観測値をｘ_{（ｍ－１）Ｋ＋ｋ} ^（ｎ）とした場合、ｎ＝２，・・・，Ｎに対して、ｙ_{（ｍ－１）Ｋ＋ｋ} ^（ｎ）＝ｘ_{（ｍ－１）Ｋ＋ｋ} ^（ｎ）－ｘ_{（ｍ－１）Ｋ＋ｋ} ^{（ｎ－１）}を計算（つまり、１階差分を計算）し、時点ｎ（ただし、ｎ＝２，・・・，Ｎ）におけるＭ×Ｋ次元データを［ｙ_１ ^（ｎ），・・・，ｙ_Ｋ ^（ｎ），ｙ_Ｋ＋１ ^（ｎ），・・・，ｙ_２Ｋ ^（ｎ），・・・，ｙ_{（Ｍ－１）Ｋ＋１} ^（ｎ），・・・，ｙ_ＭＫ ^（ｎ）］としてもよい。なお、１階差分の代わりに、１階差分の絶対値が計算されてもよい。又は、例えば、ｙ_{（ｍ－１）Ｋ＋ｋ} ^（ｎ）とｘ_{（ｍ－１）Ｋ＋ｋ} ^（ｎ）との比をｚ_{（ｍ－１）Ｋ＋ｋ} ^（ｎ）として、時点ｎ（ただし、ｎ＝２，・・・，Ｎ）におけるＭ×Ｋ次元データを［ｚ_１ ^（ｎ），・・・，ｚ_Ｋ ^（ｎ），ｚ_Ｋ＋１ ^（ｎ），・・・，ｚ_２Ｋ ^（ｎ），・・・，ｚ_{（Ｍ－１）Ｋ＋１} ^（ｎ），・・・，ｚ_ＭＫ ^（ｎ）］としてもよい。

【0025】

また、Ｗ個の時点で構成される時間窓でＮ個のＭ×Ｋ次元データを区切って、時点ｎ，ｎ＋１，・・・，ｎ＋（Ｗ－１）それぞれのＭ×Ｋ次元データで構成されるＭ×Ｋ×Ｗ次元ベクトルを時点ｎのＭ×Ｋ×Ｗ次元データとして、時点ｎのＭ×Ｋ次元データの代わりに用いてもよい。つまり、Ｍ×Ｋ次元データで構成される時系列データから、Ｍ×Ｋ×Ｗ次元データで構成される時系列データを作成し、このＭ×Ｋ×Ｗ次元データで構成される時系列データを用いて、後述するステップＳ１０２以降の処理が実行されてもよい。

【0026】

また、システムを構成する装置群が頻繁に入れ替わったり、非定常変動の発生源が多数の装置に分散したりするような場合、非定常変動発生時にＭ×Ｋ次元データ又はＭ×Ｋ×Ｗ次元データの変動が多方面に分散することを避けるため、各項目の値を装置間でソートしてもよい。例えば、上述したように、Ｍ×Ｋ次元データの各項目の値が、元のＭ×Ｋ次元データの各項目の値の１階差分の絶対値であるとすれば、この値を装置間で降順にソートすることにより、仮に非定常変動の発生源が多数の装置に分散していたとしても、その装置に対応する項目の値はＭ×Ｋ×Ｗ次元データの先頭Ｋ×Ｗ次元に集中させることができる。

【0027】

更に、例えば時間変動や週変動等の平常時に観測される定常変動との区別が容易な非定常変動を従来技術（例えば、非特許文献１や非特許文献２に記載されている技術等）により検知及び除外した上で、後述するステップＳ１０２に進んでもよい。すなわち、本実施形態に係る非定常変動検知装置１０は、従来技術と組み合わせて非定常変動を検知することが可能である。

【0028】

ステップＳ１０２：次に、クラスタリング部１０２は、上記のステップＳ１０１で入力された時系列データ（又は、所定の前処理後の時系列データ）を構成する各Ｍ×Ｋ次元データ（又は、各Ｍ×Ｋ×Ｗ次元データ）をクラスタリングすることで、当該時系列データに対応するクラスタＩＤ系列を得る。なお、以降では、各Ｍ×Ｋ次元データをクラスタリングする場合について説明するが、各Ｍ×Ｋ×Ｗ次元データをクラスタリングする場合についても同様に適用可能である。

【0029】

例えば、時点ｎのＭ×Ｋ次元データＸ_ｎが属するクラスタのクラスタＩＤをＣ_ｎとした場合、時系列データ｛Ｘ_１，・・・，Ｘ_Ｎ｝からクラスタＩＤ系列｛Ｃ_１，・・・，Ｃ_Ｎ｝が得られる。以降では、時系列データのクラスタ遷移を明確にするため、クラスタＩＤ系列を「Ｃ_１→Ｃ_２→・・・→Ｃ_Ｎ－１→Ｃ_Ｎ」とも表記する。

【0030】

なお、クラスタリングは、Ｎ個のＭ×Ｋ次元データを互いの距離に基づいて近いデータ同士を同一クラスタに分類し、各クラスタに対してクラスタＩＤを割り当てる処理である。これにより、同一クラスタに分類された各Ｍ×Ｋ次元データに対して当該クラスタのクラスタＩＤが割り当てられ、各Ｍ×Ｋ次元データに割り当てられたクラスタＩＤを時系列順に並べることでクラスタＩＤ系列が得られる。クラスタリング手法としては、階層的手法（例えば、最短距離法、最長距離法、群平均法、ウォード法等）が用いられてもよいし、非階層的手法（例えば、Ｋ－Ｍｅａｎｓ法等）が用いられてもよい。

【0031】

ステップＳ１０３：カウント部１０３は、上記のステップＳ１０２で得られたクラスタＩＤ系列中で異なるクラスタに遷移するまでの滞在期間をカウントし、所定の系列長Ｌの滞在期間付きクラスタ遷移部分列を作成する。なお、系列長Ｌは、例えば、ユーザ等により予め指定される。

【0032】

一例として、Ｎ＝２０、Ｃ_ｎ∈｛Ａ，Ｂ，Ｃ｝として、上記のステップＳ１０２でクラスタＩＤ系列「Ａ→Ｃ→Ｃ→Ａ→Ｂ→Ｂ→Ｂ→Ａ→Ｃ→Ｃ→Ａ→Ｂ→Ａ→Ｂ→Ａ→Ｂ→Ａ→Ｃ→Ｃ→Ａ」が得られたものとする。このとき、カウント部１０３は、異なるクラスタに遷移するまでの滞在期間（時点数）をカウントし、遷移前後のクラスタＩＤに対してその滞在期間を付加することで滞在期間付きクラスタ遷移系列を作成する。具体的には、滞在期間付きクラスタ遷移系列「Ａ（１）→Ｃ（２）→Ａ（１）→Ｂ（３）→Ａ（１）→Ｃ（２）→Ａ（１）→Ｂ（１）→Ａ（１）→Ｂ（１）→Ａ（１）→Ｂ（１）→Ａ（１）→Ｃ（２）→Ａ（１）」が作成される。なお、括弧内の数字が滞在期間（時点数）を表している。ただし、滞在期間は時点数等の量的変数で表される場合に限られず、例えば、カテゴリ変数等で表されてもよい。例えば、時点数が３以下のクラスと時点数が４以上のクラスのいずれかを表すカテゴリ変数で滞在期間が表されていてもよいし、時点数が２以下のクラスと時点数が３以上４以下のクラスと時点数が５以上のクラスのいずれかを表すカテゴリ変数で滞在期間が表されていてもよい。

【0033】

そして、カウント部１０３は、滞在期間付きクラスタ遷移系列の中から系列長Ｌの部分系列を抽出することで、滞在期間付きクラスタ遷移部分列を作成する。具体的には、Ｌ＝３である場合、上記の滞在期間付きクラスタ遷移系列「Ａ（１）→Ｃ（２）→Ａ（１）→Ｂ（３）→Ａ（１）→Ｃ（２）→Ａ（１）→Ｂ（１）→Ａ（１）→Ｂ（１）→Ａ（１）→Ｂ（１）→Ａ（１）→Ｃ（２）→Ａ（１）」から以下の１３個の滞在期間付きクラスタ遷移部分列が作成される。

【0034】

・Ａ（１）→Ｃ（２）→Ａ（１）
・Ｃ（２）→Ａ（１）→Ｂ（３）
・Ａ（１）→Ｂ（３）→Ａ（１）
・Ｂ（３）→Ａ（１）→Ｃ（２）
・Ａ（１）→Ｃ（２）→Ａ（１）
・Ｃ（２）→Ａ（１）→Ｂ（１）
・Ａ（１）→Ｂ（１）→Ａ（１）
・Ｂ（１）→Ａ（１）→Ｂ（１）
・Ａ（１）→Ｂ（１）→Ａ（１）
・Ｂ（１）→Ａ（１）→Ｂ（１）
・Ａ（１）→Ｂ（１）→Ａ（１）
・Ｂ（１）→Ａ（１）→Ｃ（２）
・Ａ（１）→Ｃ（２）→Ａ（１）
なお、系列長Ｌは滞在期間付きクラスタ遷移系列における系列の長さを表す。すなわち、例えば、滞在期間付きクラスタ遷移部分列「Ａ（１）→Ｃ（２）→Ａ（１）」は元の時系列データでは長さ４に相当するが、滞在期間付きクラスタ遷移系列における長さは３である。

【0035】

ステップＳ１０４：続いて、カウント部１０３は、上記のステップＳ１０３で作成された各滞在期間付きクラスタ遷移部分列の発生件数及び発生頻度を算出（カウント）する。なお、滞在期間付きクラスタ遷移部分列の発生頻度は、当該滞在期間付きクラスタ遷移部分列の発生件数を、全ての滞在期間付きクラスタ遷移部分列の発生件数の合計で割って１００を乗じた値である。

【0036】

例えば、上記の１３個の滞在期間付きクラスタ遷移部分列の発生件数及び発生頻度は以下の表１の通りとなる。

【0037】

【表1】

なお、上記の表１では発生頻度の小数第２位を四捨五入している。

【0038】

ステップＳ１０５：抽出部１０４は、上記のステップＳ１０３で作成された滞在期間付きクラスタ遷移部分列の中から、検知対象の非定常変動として想定されるクラスタ遷移パターンに合致する滞在期間付きクラスタ遷移部分列であって、かつ、その発生頻度が所定の閾値未満の滞在期間付きクラスタ遷移部分列を抽出する。

【0039】

ここで、例えば、平常時のシステム状態を表すＭ×Ｋ次元データがクラスタＩＤ「Ｘ」のクラスタに分類されるものとすると、非定常変動発生時にクラスタＩＤ「Ｙ」のクラスタに遷移しても、非定常変動からの回復後に再度クラスタＩＤ「Ｘ」のクラスタに遷移することが想定される。このため、非定常変動発生時のクラスタ遷移パターンは「Ｘ→Ｙ→Ｘ」のようなパターンに従うことが考えられる。一方で、例えば、時間変動や週変動等の周期的な定常変動発生時にもＸ→Ｙ→Ｘ→Ｙ→Ｘ→Ｙ→・・・といったクラスタ遷移が観測される可能性がある。このような場合、非定常変動と周期変動等の定常変動とは、クラスタＩＤ「Ｘ」のクラスタとクラスタＩＤ「Ｙ」のクラスタの間における遷移という点では共通しているが、（１）クラスタＩＤ「Ｘ」のクラスタとクラスタＩＤ「Ｙ」のクラスタの滞在期間、（２）クラスタＩＤ「Ｘ」のクラスタとクラスタＩＤ「Ｙ」のクラスタの間における遷移の繰り返し回数、という２点が相違すると考えられる。そこで、非定常変動は検知する一方で定常変動は検知しないようにするため、抽出部１０４は、クラスタ遷移パターン「Ｘ→Ｙ→Ｘ」（２回の遷移で元のクラスタに戻るパターン）に合致し、かつ、発生頻度が所定の閾値未満（例えば、１０％未満等）である滞在期間付きクラスタ遷移部分列を抽出する。

【0040】

例えば、上記の表１に示すクラスタ遷移部分列とその発生件数及び発生頻度が得られたものとして、検知対象の非定常変動として想定されるクラスタ遷移パターンを「Ｘ→Ｙ→Ｘ」（２回の遷移で元のクラスタに戻るパターン）、閾値を１０％とした場合、Ｎｏ．３の滞在期間付きクラスタ遷移部分列「Ａ（１）→Ｂ（３）→Ａ（１）」が抽出される。以降では、抽出部１０４により抽出された滞在期間付きクラスタ遷移部分列を「抽出クラスタ遷移部分列」とも表す。

【0041】

なお、クラスタ遷移パターンは１つに限られず、複数のクラスタ遷移パターンが設定されてもよい。この場合、複数のクラスタ遷移パターンに対して共通の閾値が設定されてもよいし、クラスタ遷移パターン毎に閾値が設定されてもよい。また、滞在期間付きクラスタ遷移パターン、つまり、例えば、「Ｘ（１）→Ｙ（３）→Ｘ（１）」等のクラスタ遷移パターンが設定されてもよい。

【0042】

また、上記のステップＳ１０５では所定のクラスタ遷移パターンに合致し、かつ、発生頻度が所定の閾値未満の潜在期間付きクラスタ遷移部分列を抽出したが、これに限られず、例えば、単に、発生頻度が所定の閾値未満の潜在期間付きクラスタ遷移部分列を抽出するようにしてもよい。つまり、潜在期間付きクラスタ遷移部分列の抽出条件としてクラスタ遷移パターンと発生頻度の閾値の両方が設定されてもよいし、発生頻度の閾値のみが設定されてもよい。

【0043】

ステップＳ１０６：検知部１０５は、上記のステップＳ１０５で抽出された抽出クラスタ遷移部分列と、上記のステップＳ１０２で得られたクラスタＩＤ系列とを用いて、当該クラスタＩＤ系列中で当該抽出クラスタ遷移部分列に合致する期間（又はその一部の期間）を非定常変動発生期間として検知する。

【0044】

例えば、上記のステップＳ１０５で抽出クラスタ遷移部分列「Ａ（１）→Ｂ（３）→Ａ（１）」が得られた場合、上記のステップＳ１０２で得られたクラスタＩＤ系列の中で「Ａ→Ｂ→Ｂ→Ｂ→Ａ」である期間（又はその一部の期間）が非定常変動発生期間として検知される。なお、「Ａ→Ｂ→Ｂ→Ｂ→Ａ」である期間の一部の期間としては、例えば、「Ｂ→Ｂ→Ｂ」である期間（つまり、クラスタＩＤ「Ｂ」のクラスタの滞在期間）とすることが考えられる。これは、クラスタＩＤ「Ａ」のクラスタは平常時のシステム状態を表すＭ×Ｋ次元データが分類されるクラスタであり、クラスタＩＤ「Ｂ」のクラスタは非定常変動発生時のシステム状態を表すＭ×Ｋ次元データが分類されるクラスタであると考えられるためである。

【0045】

ステップＳ１０７：そして、出力部１０６は、上記のステップＳ１０６で検知された非定常変動発生期間を出力する。

【0046】

以上のように、本実施形態に係る非定常変動検知装置１０は、１つ又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データを用いて、システム状態の非定常変動を検知することができる。しかも、このとき、本実施形態に係る非定常変動検知装置１０は、時間経過に伴うシステムの状態遷移（つまり、各時点でシステム状態が属するクラスタとその滞在期間の遷移）を考慮することで、定常変動（例えば時間変動や週変動等の平常時に観測される定常的なシステムの状態変動）と区別して非定常変動を検知することが可能となる。これにより、例えば、通常の運用監視等では見逃されてきたサイレント故障等も発見することが可能になる。

【0047】

＜ハードウェア構成＞
最後に、本実施形態に係る非定常変動検知装置１０のハードウェア構成について、図３を参照しながら説明する。図３は、本実施形態に係る非定常変動検知装置１０のハードウェア構成の一例を示す図である。

【0048】

図３に示すように、本実施形態に係る非定常変動検知装置１０は一般的なコンピュータ又はコンピュータシステムで実現され、入力装置２０１と、表示装置２０２と、外部Ｉ／Ｆ２０３と、通信Ｉ／Ｆ２０４と、プロセッサ２０５と、メモリ装置２０６とを有する。これら各ハードウェアは、それぞれがバス２０７を介して通信可能に接続されている。

【0049】

入力装置２０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置２０２は、例えば、ディスプレイ等である。なお、非定常変動検知装置１０は、入力装置２０１及び表示装置２０２のうちの少なくとも一方を有していなくてもよい。

【0050】

外部Ｉ／Ｆ２０３は、記録媒体２０３ａ等の外部装置とのインタフェースである。非定常変動検知装置１０は、外部Ｉ／Ｆ２０３を介して、記録媒体２０３ａの読み取りや書き込み等を行うことができる。記録媒体２０３ａには、例えば、非定常変動検知装置１０が有する各機能部（入力部１０１、クラスタリング部１０２、カウント部１０３、抽出部１０４、検知部１０５及び出力部１０６）を実現する１以上のプログラムが格納されていてもよい。なお、記録媒体２０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等がある。

【0051】

通信Ｉ／Ｆ２０４は、非定常変動検知装置１０を通信ネットワークに接続するためのインタフェースである。なお、非定常変動検知装置１０が有する各機能部を実現する１以上のプログラムは、通信Ｉ／Ｆ２０４を介して、所定のサーバ装置等から取得（ダウンロード）されてもよい。

【0052】

プロセッサ２０５は、例えば、ＣＰＵやＧＰＵ（Graphics Processing Unit）等の各種演算装置である。非定常変動検知装置１０が有する各機能部は、例えば、メモリ装置２０６に格納されている１以上のプログラムがプロセッサ２０５に実行させる処理により実現される。

【0053】

メモリ装置２０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。

【0054】

本実施形態に係る非定常変動検知装置１０は、図３に示すハードウェア構成を有することにより、上述した非定常変動検知処理を実現することができる。なお、図３に示すハードウェア構成は一例であって、非定常変動検知装置１０は、他のハードウェア構成を有していてもよい。例えば、非定常変動検知装置１０は、複数のプロセッサ２０５を有していてもよいし、複数のメモリ装置２０６を有していてもよい。

【0055】

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

【符号の説明】

【0056】

１０ 非定常変動検知装置
１０１ 入力部
１０２ クラスタリング部
１０３ カウント部
１０４ 抽出部
１０５ 検知部
１０６ 出力部
２０１ 入力装置
２０２ 表示装置
２０３ 外部Ｉ／Ｆ
２０３ａ 記録媒体
２０４ 通信Ｉ／Ｆ
２０５ プロセッサ
２０６ メモリ装置
２０７ バス

【図1】

【図2】

【図3】