系统分析设备和系统分析方法

摘要

在使用关联破坏模式进行系统状态检测时，提高了关联破坏模式的多用性。一种系统分析设备包括(100)：关联破坏模式存储单元(113)、聚合破坏模式产生单元(104)和相似度计算单元(105)。关联破坏模式存储单元(113)存储多个关联破坏模式(123)，各关联破坏模式是系统中的成对度量的关联之中的检测到关联破坏的关联集合。聚合破坏模式产生单元(104)产生通过聚合所述多个关联破坏模式(123)之中的同一类型的关联破坏模式而得到的聚合破坏模式(124)。相似度计算单元(105)计算并输出所述聚合破坏模式(124)和新检测到的关联破坏模式(123)之间的相似度。

说明书

技术领域

本发明涉及系统分析设备和系统分析方法。

背景技术

在PTL1中描述了操作管理系统的一个示例，该操作管理系统使 用系统性能的时序信息来对系统进行建模，并且使用所产生的模型来 确定系统的故障、异常等的原因。

PTL1中描述的操作管理系统基于系统的多个度量的测量值来确 定指示多个度量当中的每一对的关联的关联函数，以产生系统的关联 模型。然后，操作管理系统使用所产生的关联模型来检测关联的破坏 (关联破坏)，并且基于关联破坏来确定系统的故障原因。以该方式 基于关联破坏来分析系统状态的技术被称为不变关系分析。

在不变关系分析中，在PTL2中公开了用于基于关联破坏的状态 在过去的故障的时间和当前时间之间的相似度来确定故障原因的技术 的一个示例。PTL2中描述的操作管理设备将度量分类为若干组，并且 将在各个组中在过去的故障发生的时间和当前发生的时间之间的关联 破坏的多个度量的分布。然而，在PTL2的操作管理设备中，即使关联 破坏发生的度量在各个组中是不同的，当各个组中关联破坏发生的多 个度量的分布类似时，可以确定是相同的故障。

在PTL3中公开了用于解决该问题的技术的一个示例。PTL3中描 述的操作管理设备比特关联破坏在过去的故障的时间和当前之间的关 联的模式(关联破坏模式)。通过比较在关联模型中的各个关联中的 关联破坏的发生的存在或不存在的对应比率，操作管理设备确定故障 的原因。

[引用列表]

[专利文献]

[PTL1]日本专利公开No.4872944

[PTL2]WO 2010/032701

[PTL3]WO 2011/155621

发明内容

技术问题

在上述PTL3的技术中，因为比较关联破坏模式，所以需要在过 去故障时的系统和当前时间的系统是具有相同关联模型的相同系统过 去出现故障时的系统和目前的系统需要是具有相同关联模式的相同系 统。另外，除非过去出现故障时的故障位置和当前时间的故障位置是 相同的，否则无法确定是相同的故障。

例如，当系统的关联模型在过去故障时和当前时间之间存在改变， 则通过添加执行分布式处理的相同类型的设备，在过去故障时无法使 用关联故障模式来确定故障原因。另外，当过去出现故障的设备和当 前出现故障的设备是执行分布式处理的相同类型的设备，但是是不同 设备时，无法使用过去故障时的关联破坏模式来确定故障原因。

本发明的目的是为了解决上述问题，并且提供一种系统分析设备 和系统分析方法，该系统分析设备和系统分析方法可以在使用关联破 坏模式的系统的状态检测中，改善关联破坏模式的多用性。

对问题的解决方案

根据本发明的示例性方面的系统分析设备包括：关联破坏模式存 储装置，用于存储多个关联破坏模式，其中的每一个是在系统中的度 量对的关联当中检测到的关联破坏的关联集合；聚合破坏模式产生装 置，用于产生通过聚合多个关联破坏模式当中的相同类型的关联破坏 模式而得到的聚合破坏模式；以及相似度计算装置，用于计算并且输 出在聚合的破坏模式和新检测到的关联破坏模式之间的相似度。

根据本发明的示例性方面的系统分析方法包括：存储多个关联破 坏模式，其中的每一个是在系统中的度量对的关联当中检测到的关联 破坏的关联集合；产生通过聚合多个关联破坏模式当中的相同类型的 关联破坏模式而得到的聚合破坏模式；以及计算并且输出在聚合的破 坏模式和新检测到的关联破坏模式之间的相似度。

根据本发明的示例性方面的计算机可读存储介质记录有程序，该 程序使得计算机执行方法，包括：存储多个关联破坏模式，其中的每 一个是在系统中的度量对的关联当中检测到的关联破坏的关联集合； 产生通过聚合多个关联破坏模式当中的相同类型的关联破坏模式而得 到的聚合破坏模式；以及计算并且输出在聚合的破坏模式和新检测到 的关联破坏模式之间的相似度。

本发明的有益效果

本发明的有益效果将能够在使用关联破坏模式的系统的状态检测 中，改善关联破坏模式的多用性。

附图说明

图1是示出本发明的示例性实施例的特征配置的框图。

图2是示出本发明的示例性实施例中的系统分析设备100的配置 的框图。

图3是示出本发明的示例性实施例中的被监视系统的示例的示 图。

图4是示出本发明的示例性实施例中的聚合破坏模式产生处理的 流程图。

图5是示出本发明的示例性实施例中的异常水平计算处理的流程 图。

图6是示出本发明的示例性实施例中的关联模型122的示例的示 图。

图7是示出本发明的示例性实施例中的关联映射125的示例的示 图。

图8是示出本发明的示例性实施例中的关联破坏检测结果的示例 的示图。

图9是示出本发明的示例性实施例中的关联破坏模式123的示例 的示图。

图10是示出本发明的示例性实施例中的关联破坏检测结果的另 一示例的示图。

图11是示出本发明的示例性实施例中的关联破坏模式123的另一 个示例的示图。

图12是示出本发明的示例性实施例中的聚合破坏模式124的产生 示例的示图。

图13是示出本发明的示例性实施例中的关联破坏检测结果的另 一示例的示图。

图14是示出本发明的示例性实施例中的关联破坏模式123的另一 个示例的示图。

图15是示出本发明的示例性实施例中的相似度的计算示例的示 图。

图16是示出本发明的示例性实施例中的显示画面300的示例的示 图。

具体实施方式

将描述本发明的示例性实施例。

首先，将描述本发明的示例性实施例的配置。图2是示出本发明 的示例性实施例中的系统分析设备100的配置的框图。

参考图2，本发明的示例性实施例中的系统分析设备100连接到 包括一个或多个被监视设备200的被监视系统。被监视设备200是配 置被监视系统的服务器设备或网络设备。这里，提供相同服务的被监 视设备200，诸如分布地布置的服务器设备或网络设备，属于相同的设 备组。可以给出包括设备组的标识符的被监视设备200的设备标识符。

要注意，在下面的描述中，引号中的代码指示标识符。例如，设 备组“WEB”指示具有标识符WEB的设备组，并且Web服务器“WEB1” 指示具有标识符WEB1的Web服务器。

图3是示出本发明的示例性实施例中的被监视系统的示例的示 图。在图3的示例中，如被监视设备200，被监视系统包括网络设备 “NW1”和“NW2”、Web服务器“WEB1”、“WEB2”和“WEB3”、 应用(AP)服务器“AP1”和“AP2”以及数据库(DB)服务器“DB1” 和“DB2”。这里，网络设备“NW1”和“NW2”属于设备组“NW”。 Web服务器“WEB1”、“WEB2”和“WEB3”属于设备组“WEB”。 应用(AP)服务器“AP1”和“AP2”属于设备组“AP”。数据库(DB) 服务器“DB1”和“DB2”属于设备组“WEB”。

被监视设备200以规则间隔测量被监视设备200的多个项的性能 值的实际测量数据(测量值)，并且将实际测量数据传送到系统分析 设备100。例如，作为性能值的项，使用计算机资源或网络资源的利用 率或使用率，诸如CPU(中央处理单元)利用率、存储器利用率、磁 盘存取频率和输入/输出分组计数。

这里，被监视设备200和性能值的项的组合被定义为度量(性能 指标)，并且同时测量的多个度量的值的组合被定义为性能信息。用 整数或十进制数的数值来表示度量。该度量对应于PTL1中产生关联模 型的“元件”。

下文中，用设备标识符和性能值的项的组合来指示度量的标识符。 例如，度量“WEB 1.CPU”指示Web服务器“WEB 1”的CPU利用率。 另外，度量“NW1.IN”指示网络设备“NW 1”的输入分组计数。

系统分析设备100基于从被监视设备200收集的性能信息来产生 被监视系统的关联模型122，并且使用所产生的关联模型122来分析被 监视系统的状态。

系统分析设备100包括性能信息收集单元101、关联模型产生单 元102、关联破坏检测单元103、聚合的破坏模式产生单元104、相似 度计算单元105和对话单元106。系统分析设备100进一步包括性能信 息存储单元111、关联模型存储单元112、关联破坏模式存储单元113 和聚合破坏模式存储单元114。

性能信息收集单元101从被监视设备200收集性能信息。

性能信息存储单元111存储由性能信息收集单元101收集的性能 信息的时序变量作为性能序列信息121。

关联模型产生单元102基于性能序列信息121来产生被监视系统 的关联模型122。

这里，关联模型122包括指示多个度量当中的每个度量对的关联 的关联函数(或转换函数)。关联函数是下述函数：使用度量对中的 一个度量(输入度量)的时间t时和之前的时序数据和另一度量(输出 度量)的时间t之前的时序数据来估计时间t时的输出度量的值。关联 模型产生单元102基于在预定建模时段中的性能信息来确定每个度量 对的相关函数的系数。如PTL1的操作管理设备的情况，通过对度量的 测量值的时序进行系统识别处理来确定关联函数的系数。关联模型产 生单元102可以基于每个度量对的关联函数的转换误差来计算权重， 并且使用其权重等于或大于预定值的关联函数的集合(有效关联函数) 作为关联模型122，如PTL 1的操作管理设备的情况。

图6是示出本发明的示例性实施例中的关联模型122的示例的示 图。关联模型122包括每个度量对的关联函数。下文中，在输入度量 (X)和输出度量(Y)之间的关联函数被称为f_x,y。

图7是示出本发明的示例性实施例中的关联映射125的示例的示 图。图7的关联映射125对应于图6的关联模型122。在图7中，用由 节点(圆形)和箭头组成的图形指示关联模型122。这里，每个节点指 示度量，度量之间的箭头指示关联。另外，箭头的源指示输入度量， 并且箭头的目的地指示输出度量。

下文中，用一对输入度量的标识符和输出度量的标识符来指示关 联模型122中的每个关联。例如，关联“NW1.IN-WEB1.CPU”指示输 入度量“NW1.IN”并且输出度量“WEB1.CPU”的关联。

关联模型存储单元112存储由关联模型产生单元102所产生的关 联模型122。

关联破坏检测单元103相对于新输入的性能信息来检测包括在关 联模型122中的关联的关联破坏，如PTL 1的操作管理设备的情况一 样。

这里，关联破坏检测单元103将度量的测量值输入到关联函数， 以官于每对度量得到输出度量的预测值，如PTL 1的情况。然后，当 在得到的输出度量的预测值和输出度量的测量值之间的差(由于关联 函数而导致的转换误差)等于或大于预定值时，关联破坏检测单元103 检测该对的关联的关联破坏。

图8、图10和图13是示出本发明的示例性实施例中的关联破坏 检测结果的示例的示图。在图8、图10和图13中，用虚线箭头指示在 图7的关联映射125上检测到的关联破坏的关联。

另外，关联破坏检测单元103产生关联破坏模式123，其中的每 一个是已经检测到关联破坏的关联的集合。

图9、图11和图14是示出本发明的示例性实施例中的关联破坏 模式123的示例的示图。图9、图11和图14的关联破坏模式123分别 对应于图8、图10和图13的关联破坏检测结果。

关联破坏模式123包括检测到关联破坏的关联集合。另外，关联 破坏模式123还可以包括标识在检测到关联破坏时出现的故障或异常 的故障名称或异常名称。在该情况下，例如，由管理员等关于在故障 或异常发生时检测到关联破坏的关联的集合来设置故障名称或异常名 称。

关联破坏模式存储单元113存储由关联破坏检测单元103产生的 关联破坏模式123。

聚合破坏模式产生单元104从存储在关联破坏模式存储单元113 中的关联破坏模式123提取相同类型的关联破坏模式123，并且产生通 过聚合相同类型的关联破坏模式123所得到的聚合破坏模式124。

聚合破坏模式存储单元114存储由聚合破坏模式产生单元104所 产生的聚合破坏模式124。

相似度计算单元105计算在新检测到的关联破坏模式123和聚合 破坏模式124之间的相似度。

对话单元106向管理员等提供相似度计算单元105对相似度的计 算结果。

系统分析设备100可以是包括CPU和存储程序的存储介质并且基 于程序进行控制来操作的计算机。另外，性能信息存储单元111、关联 模型存储单元112、关联破坏模式存储单元113和聚合破坏模式存储单 元114可以是单独的存储介质或者可以通过一个存储介质来配置。

接下来，将描述本发明的示例性实施例中的系统分析设备100的 操作。

这里，假设图6中示出的关联模型122是关联模型产生单元102 基于预定建模时段中的性能信息来产生的，并且被存储在关联模型存 储单元112中。另外，假设图9、图11的关联破坏模式123a、123b是 关于在Web服务器“WEB 1”、“WEB 2”的故障时检测到的图8、 图10的关联破坏而产生的，并且被存储在关联破坏模式存储单元113 中。

首先，将描述本发明的示例性实施例中的聚合破坏模式产生处理。

图4是示出本发明的示例性实施例中的聚合破坏模式产生处理的 流程图。

聚合破坏模式产生单元104从存储在关联破坏模式存储单元113 中的关联破坏模式123来提取相同类型的关联破坏模式123(步骤 S101)。

图12是示出本发明的示例性实施例中的聚合破坏模式124的产生 示例的示图。

这里，聚合破坏模式产生单元104确定在关联破坏模式123之间 的具有相同度量类型对的关联，并且预定范围内的关联系数的差异是 相同类型的关联。这里，具有相同度量类型对意味着，在关联之间， 输入度量类型和输出度量类型分别是相同的。然后，聚合破坏模式产 生单元104提取包括例如预定数目或更多个或者预定比率或更大的相 同类型的关联的关联破坏模式123作为相同类型的关联破坏模式123。

度量类型被确定为使得在被监视系统上以相同方式表现的度量是 相同类型的度量。例如，具有提供相同服务(属于相同设备组)的不 同被监视设备200中的性能值的相同项的度量是相同类型的度量。

例如，基于度量的标识符中包括的性能值的项和设备组来确定度 量类型。另外，当度量的标识符包括度量类型时，可以从度量的标识 符得到度量类型。另外，当度量的标识符和度量类型相关联的信息被 存储在附图中未示出的存储单元中时，可以基于该信息来确定度量类 型。

下文中，用被监视设备200所属于的设备组和性能值的项的组合 来指示度量类型。例如，度量类型“WEB.CPU”指示根据属于设备组 “WEB”的被监视设备200的CPU利用率的度量。另外，度量类型 “NW.IN”指示根据属于设备组“NW”的被监视设备200的输入分组 计数的度量。另外，用输入度量类型和输出度量类型的组合来指示度 量类型对。例如，度量类型对“NW.IN-WEB.CPU”指示输入度量类型 是“NW.IN”，并且输出度量类型是“WEB.CPU”。

例如，在图12中，包括在关联破坏模式123a中的关联“NW  1.IN-WEB 1.CPU”和包括在关联破坏模式123b中的关联“NW  2.IN-WEB 3.CPU”的度量类型对是相同的“NW.IN-WEB.CPU”。这 里，假设关联“NW 1.IN-WEB 1.CPU”的关联函数f_n1,w1和关联“NW  2.IN-WEB 3.CPU”的关联函数f_n2,w3的关联系数之间的差在预定范围 内。在该情况下，聚合破坏模式产生单元104确定这些关联是相同类 型。

类似地，假设其度量类型对是“NW.IN-AP.CPU”的关联“NW  1.IN-AP 1.CPU”的关联函数f_w1,a1和关联“NW 2.IN-AP 2.CPU”的关 联函数f_w2,a2的关联系数之间的差在预定范围内。在该情况下，聚合破 坏模式产生单元104确定这些关联也是相同类型。此外，假设其度量 类型对是“WEB.CPU-AP.CPU”的关联“WEB 1.CPU-AP 1.CPU”的关 联函数f_w1,a1和关联“WEB 3.CPU-AP 2.CPU”的关联函数f_w2,a2的关联 系数之间的差在预定范围内。在该情况下，聚合破坏模式产生单元104 确定这些关联也是相同类型。

另一方面，假设其度量类型对是“AP.CPU-DB.CPU”的关联“AP  1.CPU-DB 1.CPU”的关联函数f_a1,d1和关联“AP 2.CPU-DB 2.CPU”的 关联函数f_a2,d2的关联系数之间的差超过预定范围。在该情况下，聚合 破坏模式产生单元104确定这些关联不是相同类型。

然后，例如，假设当相同类型的关联的比率等于或大于60％时， 确定关联破坏模式123是相同类型。在该情况下，聚合破坏模式产生 单元104提取关联破坏模式123a和关联破坏模式123b作为相同类型 的关联破坏模式123。

要注意，聚合破坏模式产生单元104可以在不使用关联系数的情 况下确定具有相同度量类型对的关联是相同类型的关联。

接下来，聚合破坏模式产生单元104基于相同类型的关联破坏模 式123来产生聚合破坏模式124(步骤S102)。

这里，聚合破坏模式124包括相同类型的关联被聚合的聚合关联 集合。根据相同类型的关联的度量类型对用于聚合关联。

下文中，通过一对输入度量类型和输出度量类型来指示每个聚合 关联。例如，聚合关联“NW.IN-WB.CPU”指示输入度量类型是“NW.IN” 并且输出度量类型是“WEB.CPU”的聚合关联。

例如，在图12中，聚合破坏模式产生单元104在聚合破坏模式 124中根据与聚合关联相同类型的关联“NW.IN-WB.CPU”、 “NW.IN-AP.CPU”和“WEB.CPU-AP.CPU”来设置度量类型对。

另外，聚合破坏模式产生单元104可以在聚合破坏模式124中设 置对相同类型的关联破坏模式123的故障名称或异常名称公共的故障 名称或异常名称。在该情况下，例如，管理员等可以关于相同类型的 关联破坏模式123来设置公共故障名称或异常名称。

例如，在图12中，聚合破坏模式产生单元104在聚合破坏模式 124中设置故障名称“WEB故障”。

接下来，将描述本发明的示例性实施例中的异常水平计算处理。

图5是示出本发明的示例性实施例中的异常水平计算处理的流程 图。

关联破坏检测单元103使用由性能信息收集单元101新收集的性 能信息来检测包括在关联模型122中的关联的关联破坏，并且产生新 的关联破坏模式123(步骤S201)。

例如，关联破坏检测单元103关于新收集的性能信息来检测图13 的关联破坏，并且产生图14的关联破坏模式123c。

接下来，相似度计算单元105计算在聚合破坏模式124和新的关 联破坏模式123之间的相似度(步骤S202)。

这里，当包括在聚合破坏模式124中的聚合关联和包括在新的关 联破坏模式123中的关联具有相同度量类型对时，相似度计算单元105 确定聚合关联和关联是相同类型。这里，具有相同度量类型对意味着， 在聚合关联和关联之间，输入度量类型和输出度量类型分别是相同的。 然后，例如，相似度计算单元105计算与包括在新的关联破坏模式123 中的关联相同类型的包括在聚合破坏模式124中的聚合关联当中的聚 合关联的数目或比率作为相似度。

图15是示出本发明的示例性实施例中的相似度计算示例的示图。

例如，在图15中，包括在关联破坏模式123c中的关联“NW  2.IN-WEB 2.CPU”的度量类型对与包括在聚合破坏模式124中的聚合 关联“NW.IN-WEB.CPU”相同。因此，相似度计算单元105确定聚合 关联“NW.IN-WEB.CPU”和关联“NW 2.IN-WEB 3.CPU”是相同类 型。类似地，相似度计算单元105确定聚合关联“WEB.CPU-AP.CPU” 和关联“WEB 2.CPU-AP 1.CPU”是相同类型。

然后，相似度计算单元105计算67％作为相似度，67％是相同类 型的聚合关联的比率。

接下来，相似度计算单元105通过对话单元106将相似度的计算 结果输出给管理员等(步骤S203)。这里，相似度计算单元105可以 一起输出相似度与包括在聚合破坏模式124中的故障名称或异常名称。 另外，相似度计算单元105可以按相似度的顺序输出关于各个多个聚 合破坏模式124的相似度列表。

图16是示出本发明的示例性实施例中的显示画面300的示例的示 图。显示画面300包括相似度列表显示单元301和关联破坏模式比较 画面302。

在图16的示例中，在相似度列表显示单元301中，故障名称和相 似度的组合以相似度的降序作为列表被显示。另外，在关联破坏模式 比较画面302中，关于所选择的故障，显示在聚合破坏模式124(过去 故障时的关联破坏)和关联破坏模式123(当前关联破坏)之间的比较 结果。

管理员等参考显示画面300，并且可以确定具有大相似度的故障 或异常可能在被监视系统中发生。

例如，管理员等可以基于图16的显示画面300来确定具有大相似 度的WEB服务(“WEB 2”)的故障可能发生。

因此，完成了本发明的示例性实施例的操作。

要注意，在本发明的示例性实施例中，聚合破坏模式产生单元104 提取输入度量类型和输出度量类型分别相同的关联作为相同类型的关 联。然而，聚合破坏模式产生单元104可以提取下述关联作为相同类 型的关联：一侧的输入度量类型和输出度量类型分别与另一侧的输出 度量类型和输入度量类型相同。类似地，相似度计算单元105确定输 入度量类型和输出度量类型分别相同的聚合关联和关联是相同类型。 然而，相似度计算单元105可以确定一侧的输入度量类型和输出度量 类型分别与另一侧的输出度量类型和输入度量类型相同的关联和聚合 关联是相同类型。

接下来，将描述本发明的示例性实施例的特征配置。图1是示出 本发明的示例性实施例的特征配置的框图。

参考图1，系统分析设备100包括关联破坏模式存储单元113、聚 合破坏模式产生单元104和相似度计算单元105。

关联破坏模式存储单元113存储多个关联破坏模式123，其中的 每一个是系统中度量对的关联当中的检测到关联破坏的关联的集合。 聚合破坏模式产生单元104产生聚合破坏模式124，聚合破坏模式124 是通过聚合多个关联破坏模式123当中的相同类型的关联破坏模式123 来得到的。相似度计算单元105计算并且输出在聚合破坏模式124和 新检测到的关联破坏模式123之间的相似度。

根据本发明的示例性实施例，在使用关联破坏模式的系统的状态 检测中，可以改善关联破坏模式的多用性。原因如下。聚合破坏模式 产生单元104生成聚合破坏模式124，聚合破坏模式124是通过聚合多 个关联破坏模式123当中的相同类型的关联破坏模式123而得到的。 然后，相似度计算单元105计算在聚合破坏模式124和新检测到的关 联破坏模式123之间的相似度。

因此，即使在关联模型中存在改变，例如，添加了执行分布式处 理的相同类型的设备，通过使用基于在过去故障或异常时的关联破坏 模式123所产生的聚合破坏模式124，可以确定故障或异常的成因。另 外，即使过去出现故障或异常的设备和当前出现故障或异常的设备是 执行分布式处理的相同类型的设备，但是是不同设备，则可以使用聚 合破坏模式124来确定故障或异常的原因。

虽然已经参考本发明的示例性实施例具体示出和描述了本发明， 但是本发明不限于这些实施例。本领域的普通技术人员应当理解，在 不脱离权利要求书限定的本发明的精神和范围的情况下，可以进行形 式和细节上的各种改变。

例如，在上述示例性实施例中，被监视系统是包括服务器设备、 网络设备等作为被监视设备200的IT系统。然而，被监视系统可以是 另一系统，只要产生被监视系统的关联模型并且可以基于关联破坏确 定异常原因。例如，被监视系统可以是诸如工厂设备或电站的工厂系 统、诸如桥梁或隧道的结构、或诸如车辆或飞行器的运输设备。在该 情况下，系统分析设备100使用诸如温度、振动、位置、电流、电压、 速度和角度的各种传感器值作为度量，来产生关联模型122。然后，系 统分析设备100产生聚合破坏模式124，并且使用具有相同类型并且以 相同方式(例如布置在相同位置处)表现的传感器来计算相似度作为 相同类型的度量。

本申请基于并且要求2013年2月18日提交的日本专利申请No. 2013-028746的优先权权益，其全部公开内容通过引用合并于此。

工业实用性

本发明可以适用于诸如IT系统、工厂系统、物理系统或社交系统 的系统分析，其基于在关联模型上检测到的关联破坏来确定异常或故 障的原因。

附图标记列表

100 系统分析设备

101 性能信息收集单元

102 关联模型产生单元

103 关联破坏检测单元

104 聚合破坏模式产生单元

105 相似度计算单元

106 对话单元

111 性能信息存储单元

112 关联模型存储单元

113 关联破坏模式存储单元

114 聚合破坏模式存储单元

121 性能序列信息

122 关联模型

123 关联破坏模式

124 聚合破坏模式

125 关联映射

200 被监视设备

300 显示画面

301 相似度列表显示单元

302 关联破坏模式比较画面