JP2006107179A - 異常値検出装置、変化点検出装置及び異常値検出方法、変化点検出方法 - Google Patents

Abstract

【課題】系列全体を同時に対象とし、過去のデータに基づく仮定を行わずに異常値及び変化点を検出できる検出装置を提供する。
【解決手段】モデル抽出部４は、データ記憶部２から一定期間の時系列データを系列ごとに読み出し、読み出した時系列データに基づいて部分空間を抽出し、抽出した部分空間の情報をモデル記憶部に記録する。ベクトル抽出手段３ａは、データ記憶部２から時系列データを読み出し、読み出した時系列データに基づいてベクトルを抽出する。異常値類似度算出手段３ｂは、モデル記憶部６から時刻ごとの部分空間と、ベクトル抽出手段３ａによって抽出されたベクトルとの角度を第１類似度として算出し、変化点類似度算出手段３ｃは、さらに、第１類似度と一時刻前の第１類似度に基づいて第２類似度を算出し、類似度記憶部７に記録する。異常値検出手段３ｄ及び変化点検出手段３ｅは、第１類似度、第２類似度に基づいて異常値、変化点を検出する。
【選択図】 図１

Description

本発明は、主にクレジットカードのトランザクションデータや、ネットワーク接続時のログデータなどの時系列データから異常値、変化点の抽出し、クレジットカードの不正利用やネットワーク侵入を検出する異常値検出装置、変化点検出装置及び異常値検出方法、変化点検出方法に関する。

例えば、クレジットカードの利用によって発生するトランザクションデータや、ネットワークトラヒックのログデータ等は、時々刻々と変化する大量の時系列データとなる。正常に処理が行われている間は、これらの時系列データにおいて、過去の傾向と現在の傾向を比較しても大きな違いは見られない。
しかし、クレジットカードの不正利用や、ネットワーク侵入が行われた場合には、時系列データに過去とは異なる傾向が発生することが知られている。つまり、時系列データを解析し、そのような異なる傾向を検出することで、不正利用や侵入などによって発生する異常状態を動的に検出することが可能となる。時系列データに発生する異なる傾向とは、図２１（ａ）に示すように正常な傾向からかけ離れた値となる場合や、図２１（ｂ）に示すように過去の傾向とは異なる別の傾向に変化する場合があり、前者が発生する箇所は、当該時系列データにおける「異常値」と呼ばれており、後者が発生する箇所は、当該時系列データにおける「変化点」と呼ばれている。

しかしながら、このような大量のデータから異なる傾向を抽出することは容易ではなく、これまでに様々な検出手法が提案されている。例えば、「異常値検出」を行う手法としては以下の４つが提案されている。
（１）全系列の中で２つの系列の組の相関関係によって検出する手法（特許文献１、非特許文献１参照）。
（２）全系列を発生させる確率モデルを仮定し、過去と現在における確率モデルの違いによって検出する手法（非特許文献２参照）。
（３）主成分分析を用い、主成分の違いによって検出する手法（非特許文献３参照）
（４）過去の系列から学習した予測式に基づいて検出する手法（特許文献２）

また、変化点の検出手法としては上記手法（２）を利用する方法が提案されている（非特許文献２参照）。
以下、この４つの手法について説明する。

［手法（１）］
最初に、手法（１）は、図２２に示すように、例えば４つのデータ系列が入力された場合に、４つの系列の中から２つの系列を選択し、選択した２つの系列間における相関関係があるか否かを全ての組み合わせについて検出する。そして、相関のある２組の系列をルールとして記憶しておき、新たに入力されたデータと記憶しているルールとが乖離している場合に異常値として検出する手法である。なお、相関関係の検出は、例えば、図２３に示すように、２つの系列間の距離に基づいて行うことが可能である。

［手法（２）］
次に、手法（２）は、図２４に示すように、例えば４つのデータ系列が入力された場合に、入力された４つの系列を生成することができる確率モデルを過去の全系列から構成し、構成した確率モデルと、新たに入力されたデータを含めた全系列に基づいて構成した確率モデルとの差分が大きい場合を異常値として検出する手法である。また、手法（２）を利用して、変化点検出を行う場合には、過去の全系列から構成した確率モデルと、新たに入力されたデータを含めて構成した確率モデルとの差分が、過去のデータから得られた平均値に比べて大きく変化した場合を変化点として検出を行う。
なお、手法（２）において異常値の検出は、上述した通り確率モデルの変化によって判定するが、用いる確率モデルとしては、例えば、離散値の場合に適用されるヒストグラム法の確率密度関数や、連続値の場合に適用される混合正規分布がある。

以下に、手法（２）の具体的な異常値及び変化点の検出方法について説明する。最初に異常値の検出はｘを系列ベクトル、ｐ^（ｔ）（ｘ）をｔ時点までの全系列から推定した確率モデルとした場合に次の式（１）によって求められるｔ時点までに得られた全系列に関する平均値が過去に求められた平均値よりも大きいか否かを判定することによって行う。

式（１）において、√ｐ^（ｔ）（ｘ）は、ｔ時点までの全系列から推定した確率モデルであり、√ｐ^{（ｔ−１）}（ｘ）は、ｔ−１時点までの全系列から推定した確率モデルである。

また、手法（２）において変化点の検出は、確率モデルの平均的な変化、即ち次の式（２）のＴ’期間における確率モデルｑが有するＳｈａｎｎｏｎ情報量の平均値が過去の平均値よりも大きいか否かを判定することによって行う。

式（２）において、ｙ_ｉは、上記の系列ｘの確率モデルｐが有するＳｈａｎｎｏｎの情報量のＴ期間における平均値であり、次の式（３）によって求めることができる。

［手法（３）］
次に、手法（３）は、図２５に示すように全系列に対して主成分分析を行うことによって求められる第１主成分ベクトルと、新たに入力されたベクトルを構成するデータとの投影距離が過去の投影距離と比べて大きくなったか否かによって異常値を検出する手法である。

［手法（４）］
最後に、手法（４）は、図２６に示すように過去と現在の系列データの一部の値から系列データをクラスに分類し、当該クラスに予め対応付けられている予測式から予測値を求め、実際の値との誤差の大きさに基づいて異常値を検出する手法である。
具体的には、最初に、図２６の（１）に示すように、系列データのうち破線で囲まれたデータに基づいて該当するクラスを検出する。クラス分類の方法は予め過去のデータに基づいて学習されており、同図のデータはクラス２に分類されている。
次に、図２６の（２）に示すようにクラス２の予測式に基づいて時刻４の画素４に対応する予測値を算出する。各クラスに対応付けられている予測式は過去のデータに基づいて求められ、予め設定されている。そして、算出した予測値と実際の画素４、時刻４の値「２３」との誤差を算出し、予め設定されている閾値１と閾値２に基づいて、誤差が閾値１を超える回数が閾値２を超えた場合に異常値として判定することができる。
特開平５−２５６７４１号公報 特開平７−８７４８１号公報 山西健司、"データ・テキストマイニングの最新動向"、応用数理、２００２年 矢入健久 他、"時系列相関ルールマイニングに基づく人工衛星テレメトリデータからの異常検出法"、人工知能学会全国大会、２００１年 和泉勇次 他、"異常検知のためのネットワーク特徴量抽出法に関する一考察"、電子情報通信学会総合大会、２００４年

しかしながら、上記の手法（１）から（４）では、入力された系列データの系列全体ではなく部分的な系列間の関係にのみ基づいて検出を行っているか、もしくは対象とする系列データに対してある仮定を立て当該仮定に基づいて検出を行っているという問題がある。例えば、手法（１）では、３つ以上の系列の相関関係を一度に対象とできないため、２つの系列の相関関係で挙動を捉えきれない場合には、異常値及び変化点の検出ができないという問題がある。また、手法（２）及び（４）では、確率モデルや予測式を仮定しているため、実際の系列データとの乖離が大きい場合には検出結果が保証されないという問題がある。また、さらに、手法（４）では、主成分分析によって全系列の相関関係を対象とすることができるが、第１主成分のみを対象としているため、入力された系列データの第１主成分の寄与率が小さい場合などには、系列データの相関関係を捉えきれず、異常値及び変化点の検出ができないという問題がある。

本発明は、上記問題を解決するためになされたもので、その目的は、入力された系列データ全体を同時に対象とし、過去のデータの傾向に基づく仮定を行わずに異常値及び変化点を検出可能な異常値検出装置及び変化点検出装置を提供することにある。

上述した課題を解決するために、本発明は、複数の時系列データから異常値を検出する異常値検出装置であって、前記複数の時系列データを記憶するデータ記憶手段と、前記複数の時系列データを入力し、入力した前記時系列データを系列ごとに前記データ記憶手段に記録するデータ入力手段と、前記データ記憶手段から一定期間の前記時系列データを系列ごとに読み出し、読み出した前記時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を時刻ごとに抽出し、抽出した前記部分空間の情報をモデル記憶手段に記録するモデル抽出手段と、前記データ記憶手段から最新の時系列データを読み出し、読み出した前記最新の時系列データに基づいて前記座標空間におけるベクトルを抽出するベクトル抽出手段と、前記モデル記憶手段から時刻ごとの前記部分空間の情報を読み出し、読み出した前記部分空間の情報と、前記ベクトル抽出手段によって抽出された前記ベクトルとに基づいて第１類似度を算出し、算出した前記第１類似度を類似度記憶手段に記録する第１の類似度算出手段と、前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度とに基づいて前記最新の時系列データが異常値か否かを検出する異常検出手段と、を備えたことを特徴とする異常値検出装置である。

本発明は、上記の発明において、前記異常検出手段は、前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度との差分を求め、当該差分が予め定められた第１の閾値より大きい場合に前記最新の時系列データを異常値として検出することを特徴とする。

本発明は、複数の時系列データから変化点を検出する変化点検出装置であって、前記複数の時系列データを記憶するデータ記憶手段と、前記複数の時系列データを入力し、入力した前記時系列データを系列ごとに前記データ記憶手段に記録するデータ入力手段と、前記データ記憶手段から一定期間の前記時系列データを系列ごとに読み出し、読み出した前記時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を抽出し、抽出した前記部分空間の情報をモデル記憶手段に記録するモデル抽出手段と、前記データ記憶手段から最新の時系列データを読み出し、読み出した前記最新の時系列データに基づいて前記座標空間におけるベクトルを抽出するベクトル抽出手段と、前記モデル記憶手段から時刻ごとの前記部分空間の情報を読み出し、読み出した前記部分空間の情報と、前記ベクトル抽出手段によって抽出された前記ベクトルとに基づいて第１類似度を算出し、算出した前記第１類似度を類似度記憶手段に記録する第１の類似度算出手段と、前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度とに基づいて第２類似度を算出し、算出した前記第２類似度を前記類似度記憶手段に記録する第２の類似度算出手段と、前記最新の時系列データに対応する前記第２類似度と、前記類似度記憶手段に記憶されている最新以前の前記第２類似度とに基づいて前記最新の時系列データが変化点か否かを検出する変化点検出手段と、を備えたことを特徴とする変化点検出装置である。

本発明は、上記に記載の発明において、前記第２の類似度算出手段は、前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度との差分を第２類似度として、前記類似度記憶手段に記録し、前記変化点検出手段は、前記最新の時系列データに対応する前記第２類似度と、前記類似度記憶手段に記憶されている最新以前の前記第２類似度との差分を求め、当該差分が予め定められた第２の閾値より大きい場合に前記最新の時系列データを変化点として検出することを特徴とする。

本発明は、複数の時系列データから異常値を検出する異常値検出方法であって、前記複数の時系列データを入力する過程と、入力した前記時系列データを系列ごとに前記データ記憶手段に記録する過程と、前記データ記憶手段から一定期間の前記時系列データを系列ごとに読み出す過程と、読み出した前記時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を時刻ごとに抽出する過程と、抽出した前記部分空間の情報をモデル記憶手段に記録する過程と、前記データ記憶手段から最新の時系列データを読み出す過程と、読み出した前記最新の時系列データに基づいて前記座標空間におけるベクトルを抽出する過程と、前記モデル記憶手段から時刻ごとの前記部分空間の情報を読み出す過程と、読み出した前記部分空間の情報と、抽出された前記ベクトルとに基づいて第１類似度を算出する過程と、算出した前記第１類似度を類似度記憶手段に記録する過程と、前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度とに基づいて前記最新の時系列データが異常値か否かを検出する過程と、からなることを特徴とする異常値検出方法である。

本発明は、複数の時系列データから変化点を検出する変化点検出方法であって、前記複数の時系列データを入力する過程と、入力した前記時系列データを系列ごとに前記データ記憶手段に記録する過程と、前記データ記憶手段から一定期間の前記時系列データを系列ごとに読み出す過程と、読み出した前記時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を時刻ごとに抽出する過程と、抽出した前記部分空間の情報をモデル記憶手段に記録する過程と、前記データ記憶手段から最新の時系列データを読み出す過程と、読み出した前記最新の時系列データに基づいて前記座標空間におけるベクトルを抽出する過程と、前記モデル記憶手段から時刻ごとの前記部分空間の情報を読み出す過程と、読み出した前記部分空間の情報と、前記ベクトルとに基づいて第１類似度を算出する過程と、算出した前記第１類似度を類似度記憶手段に記録する過程と、前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度とに基づいて第２類似度を算出し、算出した前記第２類似度を前記類似度記憶手段に記録する過程と、前記最新の時系列データに対応する前記第２類似度と、前記類似度記憶手段に記憶されている最新以前の前記第２類似度とに基づいて前記最新の時系列データが変化点か否かを検出する過程と、からなることを特徴とする変化点検出方法である。

この発明によれば、異常値検出装置は、複数の時系列データを記憶するデータ記憶手段からから一定期間の時系列データを系列ごとに読み出し、読み出した時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を時刻ごとに抽出する。次に、データ記憶手段から最新の時系列データを読み出し、読み出した最新の時系列データに基づいて座標空間におけるベクトルを抽出する。そして、当該部分空間と、抽出したベクトルとに基づいて第１類似度を算出し、算出した最新の時系列データに対応する第１類似度と、最新以前の第１類似度とに基づいて、最新の時系列データが異常値か否かを検出する構成となっている。そのため、最新の時系列データが最新以前、即ち過去の時点の時系列データの傾向にどれだけ類似しているかを示す第１類似度を求めることができ、最新の第１類似度と最新以前の第１類似度とを比較することで最新の時系列データが異常値であるか否かを検出することができる。それによって、入力された系列データ全体を同時に対象とし、過去のデータの傾向に基づく仮定を行わずに異常値検出を行うことが可能となる。

また、本発明によれば、異常点検出装置は、最新の時系列データに対応する第１類似度と、類似度記憶手段に記憶されている最新以前の前記第１類似度との差分を求め、当該差分が予め定められた第１の閾値より大きい場合に最新の時系列データを異常値として検出する構成となっている。そのため、最新の第１類似度と最新以前の第１類似度との差分が第１の閾値より大きい場合に最新の時系列データが異常値であることを検出することができる。

また、本発明によれば、変化点検出装置は、複数の時系列データを記憶するデータ記憶手段からから一定期間の時系列データを系列ごとに読み出し、読み出した時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を時刻ごとに抽出する。次に、データ記憶手段から最新の時系列データを読み出し、読み出した最新の時系列データに基づいて座標空間におけるベクトルを抽出する。当該部分空間と、抽出したベクトルとに基づいて第１類似度を算出し、算出した最新の時系列データに対応する第１類似度と、最新以前の第１類似度とに基づいて、第２類似度を算出する。そして、当該最新の時系列データの第２類似度と、最新以前の第２類似度とに基づいて最新の時系列データが変化点であるか否かを検出する構成となっている。そのため、第１類似度における最新、即ち現時点と最新以前、即ち過去の時点の傾向の違いを示す第２類似度を算出し、さらに、現時点の第２類似度と過去の時点の第２類似度とを比較することで最新の時系列データが変化点であるか否かを検出することができる。それによって、入力された系列データ全体を同時に対象とし、過去のデータの傾向に基づく仮定を行わずに変化点検出を行うことが可能となる。

また、本発明によれば、変化点検出装置は、最新の時系列データに対応する第１類似度と、類似度記憶手段に記憶されている最新以前の第１類似度との差分を第２類似度として、類似度記憶手段に記録する。そして、最新の時系列データに対応する第２類似度と、類似度記憶手段に記憶されている最新以前の第２類似度との差分を求め、当該差分が予め定められた第２の閾値より大きい場合に最新の時系列データを変化点として検出する構成となっている。そのため、最新の第１類似度と最新以前の第１類似度との差分として第２類似度を算出し、さらに、最新の第２類似度と最新以前の第２類似度との差分が第２の閾値より大きい場合に最新の時系列データが変化点であることを検出することができる。

以下、本発明の一実施形態による異常値検出装置及び変換点検出装置を図面を参照して説明する。
図１は、本実施形態による検出装置１０を示す概略ブロック図である。
検出装置１０は、上述した異常値検出装置と変化点検出装置の両方の機能を有する。検出装置１０において、データ入力部１は、異常値、変化点を検出する対象となる複数の時系列データを入力する。データ記憶部２は、データ入力部１によって入力されたデータを逐次を記憶する。モデル抽出部４は、データ記憶部２から過去の一定期間のデータを読み出し、読み出したデータに基づいて構成される部分空間、即ち検出のためのモデルを抽出し、抽出した部分空間の情報をモデル記憶部６に記録する。

検出部３は、最新時刻のデータの異常値及び変化点の検出を行う。検出部３において、ベクトル抽出手段３ａは、データ記憶部２から最新時刻のデータを読み出し、当該データの上記した部分空間におけるベクトルを抽出する。異常値類似度算出手段３ｂは、モデル記憶部６からモデルを読み出し、ベクトル抽出手段３ａによって抽出されたベクトルと読み出したモデルに基づいて異常値検出のための第１類似度を算出し、類似度記憶部７へ記録する。変化点類似度算出手段３ｃは、異常値類似度算出手段３ｂから最新、即ち現時点での第１類似度を受信し、また類似度記憶部７から一時点前の第１類似度を読み出し、一時点前の第１類似度と現時点の第１類似度との差分を変化点検出のための第２類似度として算出し、類似度記憶部７へ記録する。ここで、差分とは差の絶対値であることを意味する。

異常値検出手段３ｄは、類似度記憶部７から一時点前の第１類似度を読み出し、読み出した一時点前の第１類似度と、異常値類似度算出手段３ｂが算出した現時点の第１類似度との差分が予め内部に設定されている第１閾値より大きい、即ち第１閾値を超える場合には第１類似度に対応するデータを異常値として検出する。変化点検出手段３ｅは、類似度記憶部７から一時点前の第２類似度を読み出し、読み出した第２類似度と、変化点類似度算出手段３ｃが算出した現時点の第２類似度との差分が予め内部に設定されている第２閾値を超える場合に第２閾値に対応するデータを変化点として検出する。

ここで、上記のデータ入力部１は、上述したデータ入力手段に、データ記憶部２はデータ記憶手段に、モデル抽出部４は、上述したモデル抽出手段に、モデル記憶部６は、モデル記憶手段に、類似度記憶部７は、類似度記憶手段に対応する。
また、上記の異常値類似度算出手段３ｂは、上述した第１の類似度算出手段に、変化点類似度算出手段３ｃは、上述した第２の類似度算出手段に対応する。

図２は、データ記憶部２のデータ記憶構成を示した図である。同図では、４つの系列の時系列データが時刻ごとに記憶されている。

図３は、モデル記憶部６のデータ記憶構成を示した図である。データ記憶部２からモデル抽出部４によってデータが読み出される一定期間の値は予め設定されており、データ記憶部２から読み出された一定期間のデータから求められる部分空間が、モデル記憶部６に記憶される。ここで、各系列は部分空間を構成する各座標となる。軸は部分空間の次元数を示すものであり、予め適宜設定することができる。

図４は、類似度記憶部７のデータ記憶構成を示した図である。第１類似度には上述した異常値類似度算出手段３ｂによって算出された第１類似度が時刻ごとに記録され、第２類似度には上述した変化点類似度算出手段３ｃによって算出された第２類似度が時刻ごとに記録される。

図５は、モデル抽出部４によって構成される部分空間、即ちモデルを説明するための図である。モデル記憶部６のデータ記憶構成で説明した通り、最初に、各系列を座標とする座標空間を設定する。つまり、系列が４つある場合には四次元の座標空間が設定される。そして、当該座標空間におけるベクトルを同一時点の要素によって抽出する。抽出したベクトルを元に部分空間を作成し、得られたモデル（部分空間の基底ベクトル）を、モデル記憶部６に記憶する。

次に、図６から図８を参照して本実施形態の検出装置１０における異常値検出と変化点検出の処理の概略について説明する。
図６は、処理の流れの全体像を示した図である。最初に、過去Ｘ時点までのデータを読み出して、特徴となる部分空間の抽出を行う。そして、現時点のデータのベクトルを抽出し、抽出した現時点のデータのベクトルと、当該部分空間とに基づいて第１類似度と第２類似度を算出する。データを読み出す範囲である過去Ｘ時点までの一定期間は、新たなデータが入力されるごとに移動し、最新の過去データから特徴を捉えて異常値及び変化点を検出することが可能となる。

図７は、異常値検出及び変化点検出の処理を説明するための図である。
図７（ａ）のグラフに示すように異常値は、ある時点の第１類似度が過去の第１類似度の傾向と大きく異なる場合に存在する。異常値検出の処理は、第１類似度の傾向の変化、即ち現時点の第１類似度と一時点前の第１類似度との差分が予め設定されている第１閾値より大きい場合を異常値として判定することによって行う。

図７（ｂ）のグラフに示すように変化点とは、ある時点の前後で第２類似度の傾向が大きく変わる場合に存在する。変化点検出の処理は、第２類似度の傾向の変化、即ち現時点の第２類似度と一時点前の第２類似度との差分が予め設定されている第２閾値より大きい場合を変化点として判定することによって行う。

次に、図８から図１０を参照して、検出装置１０における異常値検出及び変化店検出の処理の流れについて説明する。
図８は、モデル抽出部４におけるモデル抽出の処理を示したフローチャートである。最初に、モデル抽出部４は、時刻ｔ−１から時刻ｔ−Ｌまでのデータをデータ記憶部２から読み出す。具体的には、図９に示すようにｔ＝４、Ｌ＝２、系列数＝４の場合には過去の２時刻分を読み出すことになる（ステップＳａ１）。読み出したデータを用いて、図５で説明したモデル抽出の手法により部分空間、即ちモデルを求める（ステップＳａ２）。そして、求めた部分空間の情報をモデル記憶部６に記録する（ステップＳａ３）。

図１０は、検出部３における異常値及び変化点の検出処理を示したフローチャートである。最初に、異常値類似度算出手段３ｂ及び変化点類似度算出手段３ｃがモデルを読み出す（ステップＳｂ１）。次に、ベクトル抽出手段３ａが現時点（現在時刻：ｔ）、即ちデータ記憶部２に記憶されている最新のデータを読み出す（ステップＳｂ２）。異常値類似度算出手段３ｂ及び変化点類似度算出手段３ｃはそれぞれ第１類似度及び第２類似度を算出する。ここで、第１類似度は、ベクトル抽出手段３ａが読み出した最新のデータによって構成されるベクトルと、上記の部分空間とに基づいて求められる。また、第２類似度は、一時点前の第１類似度と現時点の第１類似度の差分として求められる（ステップＳｂ３）。

次に、異常値検出手段３ｄは、一時点前の第１類似度を類似度記憶部７から読み出し、一時点前の第１類似度と現時点の第１類似度との差分を比較する（ステップＳｂ４）。そして、その差分が第１閾値より大きい、即ち第１閾値を超えているか否かを判定する（ステップＳｂ５）。差分が第１閾値を超えている場合には、当該現時点のデータを異常値として検出する（ステップＳｂ６）。一方、その差分が第１閾値を超えていない場合には、変化点類似度算出手段３ｃは、類似度記憶部７から一時点前の第２類似度を読み出し、現時点の第２類似度と比較する（ステップＳｂ７）。そして、その差分が第２閾値を超えているか否かを判定する（ステップＳｂ８）。差分が第２閾値を超えている場合には、現時点のデータを変化点として検出する（ステップＳｂ９）。一方、差分が第２閾値を超えていない場合には、異常値及び変化点をしなかったとして終了する。

なお、第１閾値と第２閾値は、過去のデータによって経験的に求められる値であり、予め検出装置１０の内部に設定されている値である。
また、変化点類似度算出手段３ｃは、自ら第１類似度を算出した後に第２類似度を算出するようにしてもよいし、異常値類似度算出手段３ｂが算出した第１類似度を利用して第２類似度を算出するようにしてもよい。

図１１は、上述した第１類似度算出の手法を説明するための図である。第１類似度は、ベクトル抽出手段３ａによって抽出されたベクトルと、モデル記憶部６から読み出したモデル、即ち部分空間とに基づいて算出されるが、当該ベクトルと部分空間の要素の違い従って、以下の３つの算出パターンが存在する。

（パターン１）
最初に、図１１（ａ）に示すように、ベクトル抽出手段３ａによって抽出されたベクトルがベクトル「ｘ_１」として表され、部分空間がベクトル「ｙ_１」として表される場合について説明する。ここで、ｘ_１及びｙ_１は、ｄ次元ベクトルの転置によって表される。即ち、ｘ_１＝｛ｘ_１１，ｘ_１２，…，ｘ_１ｄ｝^Ｔ、ｙ_１＝｛ｙ_１１，ｙ_１２，…，ｙ_１ｄ｝^Ｔとして表現される。なお、Ｔは転置を意味する。
パターン１の場合に、第１類似度はベクトルとベクトルの内積をベクトルの大きさで規格化した値、即ちベクトル同士のなす角度の余弦として算出され、第１類似度をＳとした場合に以下の式（４）によって求められる。

（パターン２）
次に、図１１（ｂ）に示すように、ベクトル抽出手段３ａによって抽出されたベクトルがベクトル「ｘ_１」として表され、部分空間が複数のベクトルによって構成される空間「ｙ_１，ｙ_２，ｙ_３」として表される場合について説明する。ここで、ｘ_１及びｙ_１，ｙ_２，ｙ_３はそれぞれｄ次元ベクトルの転置として表される。即ち、ｘ_１＝｛ｘ_１１，ｘ_１２，…，ｘ_１ｄ｝^Ｔ、ｙ_１＝｛ｙ_１１，ｙ_１２，…，ｙ_１ｄ｝^Ｔ、ｙ_２＝｛ｙ_２１，ｙ_２２，…，ｙ_２ｄ｝^Ｔ、ｙ_３＝｛ｙ_３１，ｙ_３２，…，ｙ_３ｄ｝^Ｔとして表現される。なお、Ｔは転置を意味する。
パターン２の場合に、第１類似度Ｓは、以下の式（５）によって求められる。

なお、部分空間がベクトルである場合には、式（５）の値は、式（４）と同じ値となる。

（パターン３）
次に、図１１（ｃ）に示すように、ベクトル抽出手段３ａによって抽出されたベクトルが空間「ｘ_１，ｘ_２」として表され、部分空間が空間「ｙ_１，ｙ_２，ｙ_３」として表される場合について説明する。ここで、ｘ_１，ｘ_２及びｙ_１，ｙ_２，ｙ_３は図１１（ｂ）と同じくｄ次元ベクトルの転置として表される。即ち、ｘ_１＝｛ｘ_１１，ｘ_１２，…，ｘ_１ｄ｝^Ｔ、ｘ_２＝｛ｘ_２１，ｘ_２２，…，ｘ_２ｄ｝^Ｔ、ｙ_１＝｛ｙ_１１，ｙ_１２，…，ｙ_１ｄ｝^Ｔ、ｙ_２＝｛ｙ_２１，ｙ_２２，…，ｙ_２ｄ｝^Ｔ、ｙ_３＝｛ｙ_３１，ｙ_３２，…，ｙ_３ｄ｝^Ｔとして表現される。なお、Ｔは転置を意味する。
パターン３の場合に、第１類似度Ｓは、Ｘ＝［ｘ_１，ｘ_２］、Ｙ＝［ｙ_１，ｙ_２，ｙ_３］としたときに、以下の式（６）の最大固有値μ_ｍａｘとして算出される。

なお、式（６）の最大固有値μ_ｍａｘは、Ｘがベクトルであり、かつＹがベクトルの場合には、式（４）によって算出される値と同じ値になり、Ｘがベクトルであり、かつＹが空間の場合には、式（５）によって算出される値と同じ値になる。

次に、図１２から図１５を参照して異常値検出を行った実験の結果について説明する。
図１２は、異常値検出の実験の条件を示した表である。当該実験では、入力する系列数を４、対象とする期間を時刻１００点分としている。また、図１２の表は、サンプルとして設定した各時系列データの特徴を示している。

図１３から図１４は、系列１から系列４のデータを示した図である。以下に各データの特徴について説明する。
図１３（ａ）：系列１は、時刻５０で変化なし、かつ時刻５１から１００において変化なしとしたデータである。
図１３（ｂ）：系列２は、時刻５０において異常値を発生させ、かつ時刻５１から１００において変化ありとしたデータである。
図１４（ｃ）：系列３は、時刻５０において異常値を発生させ、かつ時刻５１から１００において変化なしとしたデータである。
図１４（ｄ）：系列４は、時刻５０において変化なし、かつ時刻５１から１００において変化ありとしたデータである。

図１５は、異常値検出の実験結果を示した図である。図１５（ａ）は、過去３時点前までのデータから部分空間、即ちモデルを抽出した場合の結果である。図１５（ｂ）は過去１０時点前までのデータから部分空間を抽出した場合の結果である。両方の図において、縦軸は第１類似度であり、横軸は時刻である。
両方の結果において、時刻５０で前後の第１類似度と大きく異なる第１類似度が検出されており、異常値検出ができていることが示されている。また、図１５（ａ）と（ｂ）では利用する過去のデータの個数によって第１類似度の変化に違いが見られ、（ａ）に比べて（ｂ）の方が入力されたデータ全体の特徴がよく捉えられていることが分かる。

次に、図１６から図１９を参照して変化点検出を行った実験の結果について説明する。
図１６は、変化点検出の実験の条件を示した表である。当該実験では、入力する系列数を５、対象とする期間を時刻１００点分としている。また、図１６の表は、サンプルとして設定した各時系列データの特徴を示している。

図１７から図１８は、系列１から系列６のデータを示した図である。以下に各データの特徴について説明する。
図１７（ａ）：系列１は、時刻３５で変化なし、かつ時刻３６から１００において波の形に変化ありとしたデータである。
図１７（ｂ）：系列２は、時刻３５で変化なし、かつ時刻３６から１００において波の形に変化ありとしたデータである。
図１８（ｃ）：系列３は、時刻３５で変化なし、かつ時刻３６から１００において変化なしとしたデータである。
図１８（ｄ）：系列４は、時刻３５で変化なし、かつ時刻５１から１００において変化なしとしたデータである。
図１８（ｅ）：系列５は、時刻３５で変化なし、かつ時刻５１から１００において変化なしとしたデータである。

図１９は、変化点検出の実験結果を示した図である。図１９（ａ）、（ｂ）ともに、過去３時点前までのデータから部分空間、即ちモデルを抽出した場合の結果である。図１９（ａ）の縦軸は第１類似度であり、横軸は時刻である。図１９（ｂ）の縦軸は、第２類似度であり、横軸は時刻である。
両方の図において時刻３５において変化が見られるが、第２類似度の差分で示した図１９（ｂ）の方がより明確に変化点が検出されていることが示されている。

図２０は、本実施形態による検出装置１０による検出方法と、上述した従来の手法（３）による検出方法との違いを説明するための図である。本実施形態と従来の手法（３）は、共に過去のデータの傾向と現在のデータの傾向の類似度に基づいて検出を行っている。しかしながら、従来の手法（３）では第１主成分のみで類似度を算出しているため、「ベクトルとベクトル」の類似度を算出する上述したパターン１にしか対応していない。一方、本実施形態では、「ベクトルとベクトル」、「ベクトルと空間」、「空間と空間」の類似度を算出するパターン１から３に対応しており、複雑なデータの分布においても、当該データから特徴を抽出し類似度を算出することを可能としている。

この違いを見ることができるデータとして、図２０（ｂ）に示すような円状に分布するデータがある。このような円状に分布するデータの場合、第１主成分のみを利用する従来の手法（３）ではデータの特徴が正しく表現できない。なぜなら、このようなデータの分布の場合には、第１主成分のみを抽出しても、特徴を捉えることができないためである。つまり、「ベクトルとベクトル」の類似度では違いを捉えることが困難である。一方、本実施形態では、「ベクトルとベクトル」の関係だけではなく、「ベクトルと空間」、「空間と空間」の類似度を算出することができ、円状に分布するデータにおいて第１主成分以外の要素に特徴が存在する場合には、当該特徴における類似度を比較することで異常値、変化点を検出することが可能となる。

本実施形態の検出装置１０は、例えば、ネットワークのトラヒックのログデータからのネットワーク侵入検出や、各センサから取得される人工衛星テレメトリックデータに基づく人工衛星などの宇宙システムの異常検知に利用可能である。また、カード決済時のトランザクションデータに基づくクレジットカード不正利用検出や、携帯電話のなりすまし利用行為の検出や、保険金請求データやレセプトからの例外事象や不審データの検出などにも利用することが可能である。

上述の検出装置１０は内部に、コンピュータシステムを有している。そして、上述した異常値検出及び変化点検出の処理は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。

本実施形態による検出装置の内部構成を示したブロック図である。 同実施形態におけるデータ記憶部のデータ記憶構成を示した図である。 同実施形態におけるモデル記憶部のデータ記憶構成を示した図である。 同実施形態における類似度記憶部のデータ記憶構成を示した図である。 同実施形態におけるモデル抽出部によって構成されるモデルを説明するための図である。 同実施形態における異常値検出と変化点検出の処理の概略を示した図である。 同実施形態における異常値検出の処理を説明するための図である。 同実施形態におけるモデル抽出の処理を示したフローチャートである。 同実施形態におけるモデル抽出の処理を示した図である。 同実施形態における異常値及び変化点の検出処理を示したフローチャートである。 同実施形態における第１類似度算出の手法を説明するための図である。 同実施形態における異常値検出の実験条件を示した図（その１）である。 同実施形態における異常値検出の実験条件を示した図（その２）である。 同実施形態における異常値検出の実験条件を示した図（その３）である。 同実施形態における異常値検出の実験結果を示した図である。 同実施形態における変化点検出の実験条件を示した図（その１）である。 同実施形態における変化点検出の実験条件を示した図（その２）である。 同実施形態における変化点検出の実験条件を示した図（その３）である。 同実施形態における変化点検出の実験結果を示した図である。 同実施形態における検出方法と従来の技術の違いを説明するための図である。 従来の技術を説明するための図である。 従来の技術における手法（１）を説明するための図（その１）である。 従来の技術における手法（１）を説明するための図（その２）である。 従来の技術における手法（２）を説明するための図である。 従来の技術における手法（３）を説明するための図である。 従来の技術における手法（４）を説明するための図である。

符号の説明

１ データ入力部
２ データ記憶部
３ 検出部
３ａ ベクトル抽出手段
３ｂ 異常値類似度算出手段３ｂ
３ｃ 変化点類似度算出手段３ｃ
３ｄ 異常値検出手段
３ｅ 変化点検出手段
４ モデル抽出部
６ モデル記憶部
７ 類似度記憶部
１０ 検出装置

Claims (6)

1. 複数の時系列データから異常値を検出する異常値検出装置であって、
   前記複数の時系列データを記憶するデータ記憶手段と、
   前記複数の時系列データを入力し、入力した前記時系列データを系列ごとに前記データ記憶手段に記録するデータ入力手段と、
   前記データ記憶手段から一定期間の前記時系列データを系列ごとに読み出し、読み出した前記時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を時刻ごとに抽出し、抽出した前記部分空間の情報をモデル記憶手段に記録するモデル抽出手段と、
   前記データ記憶手段から最新の時系列データを読み出し、読み出した前記最新の時系列データに基づいて前記座標空間におけるベクトルを抽出するベクトル抽出手段と、
   前記モデル記憶手段から時刻ごとの前記部分空間の情報を読み出し、読み出した前記部分空間の情報と、前記ベクトル抽出手段によって抽出された前記ベクトルとに基づいて第１類似度を算出し、算出した前記第１類似度を類似度記憶手段に記録する第１の類似度算出手段と、
   前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度とに基づいて前記最新の時系列データが異常値か否かを検出する異常検出手段と、
   を備えたことを特徴とする異常値検出装置。
2. 前記異常検出手段は、
   前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度との差分を求め、当該差分が予め定められた第１の閾値より大きい場合に前記最新の時系列データを異常値として検出することを特徴とする請求項１に記載の異常値検出装置。
3. 複数の時系列データから変化点を検出する変化点検出装置であって、
   前記複数の時系列データを記憶するデータ記憶手段と、
   前記複数の時系列データを入力し、入力した前記時系列データを系列ごとに前記データ記憶手段に記録するデータ入力手段と、
   前記データ記憶手段から一定期間の前記時系列データを系列ごとに読み出し、読み出した前記時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を抽出し、抽出した前記部分空間の情報をモデル記憶手段に記録するモデル抽出手段と、
   前記データ記憶手段から最新の時系列データを読み出し、読み出した前記最新の時系列データに基づいて前記座標空間におけるベクトルを抽出するベクトル抽出手段と、
   前記モデル記憶手段から時刻ごとの前記部分空間の情報を読み出し、読み出した前記部分空間の情報と、前記ベクトル抽出手段によって抽出された前記ベクトルとに基づいて第１類似度を算出し、算出した前記第１類似度を類似度記憶手段に記録する第１の類似度算出手段と、
   前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度とに基づいて第２類似度を算出し、算出した前記第２類似度を前記類似度記憶手段に記録する第２の類似度算出手段と、
   前記最新の時系列データに対応する前記第２類似度と、前記類似度記憶手段に記憶されている最新以前の前記第２類似度とに基づいて前記最新の時系列データが変化点か否かを検出する変化点検出手段と、
   を備えたことを特徴とする変化点検出装置。
4. 前記第２の類似度算出手段は、
   前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度との差分を第２類似度として、前記類似度記憶手段に記録し、
   前記変化点検出手段は、
   前記最新の時系列データに対応する前記第２類似度と、前記類似度記憶手段に記憶されている最新以前の前記第２類似度との差分を求め、当該差分が予め定められた第２の閾値より大きい場合に前記最新の時系列データを変化点として検出することを特徴とする請求項３に記載の変化点検出装置。
5. 複数の時系列データから異常値を検出する異常値検出方法であって、
   前記複数の時系列データを入力する過程と、
   入力した前記時系列データを系列ごとに前記データ記憶手段に記録する過程と、
   前記データ記憶手段から一定期間の前記時系列データを系列ごとに読み出す過程と、
   読み出した前記時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を時刻ごとに抽出する過程と、
   抽出した前記部分空間の情報をモデル記憶手段に記録する過程と、
   前記データ記憶手段から最新の時系列データを読み出す過程と、
   読み出した前記最新の時系列データに基づいて前記座標空間におけるベクトルを抽出する過程と、
   前記モデル記憶手段から時刻ごとの前記部分空間の情報を読み出す過程と、
   読み出した前記部分空間の情報と、抽出された前記ベクトルとに基づいて第１類似度を算出する過程と、
   算出した前記第１類似度を類似度記憶手段に記録する過程と、
   前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度とに基づいて前記最新の時系列データが異常値か否かを検出する過程と、
   からなることを特徴とする異常値検出方法。
6. 複数の時系列データから変化点を検出する変化点検出方法であって、
   前記複数の時系列データを入力する過程と、
   入力した前記時系列データを系列ごとに前記データ記憶手段に記録する過程と、
   前記データ記憶手段から一定期間の前記時系列データを系列ごとに読み出す過程と、
   読み出した前記時系列データの系列数を次元数とする座標空間において、異なる系列の同一時点の前記時系列データに基づいて構成される部分空間を時刻ごとに抽出する過程と、
   抽出した前記部分空間の情報をモデル記憶手段に記録する過程と、
   前記データ記憶手段から最新の時系列データを読み出す過程と、
   読み出した前記最新の時系列データに基づいて前記座標空間におけるベクトルを抽出する過程と、
   前記モデル記憶手段から時刻ごとの前記部分空間の情報を読み出す過程と、
   読み出した前記部分空間の情報と、前記ベクトルとに基づいて第１類似度を算出する過程と、
   算出した前記第１類似度を類似度記憶手段に記録する過程と、
   前記最新の時系列データに対応する前記第１類似度と、前記類似度記憶手段に記憶されている最新以前の前記第１類似度とに基づいて第２類似度を算出し、算出した前記第２類似度を前記類似度記憶手段に記録する過程と、
   前記最新の時系列データに対応する前記第２類似度と、前記類似度記憶手段に記憶されている最新以前の前記第２類似度とに基づいて前記最新の時系列データが変化点か否かを検出する過程と、
   からなることを特徴とする変化点検出方法。
   
   

Images