JP2011164950A - 異常検出装置、異常検出システム、異常検出方法、及び、プログラム - Google Patents

Abstract

【課題】原因装置群を高い精度にて特定することが可能な異常検出装置を提供すること。
【解決手段】異常検出装置１００は、互いに関連して作動する複数の装置を含むシステムに適用される。異常検出装置１００は、上記システムの作動状態の特徴を表す特徴量を取得する特徴量取得部１０１と、上記取得された特徴量に基づいて、上記特徴量を確率変数とする確率分布を取得する確率分布取得部１０２と、上記取得された確率分布と、上記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、上記システムの作動状態が異常状態にあるか否かを判定する作動状態判定部１０３と、上記システムの作動状態が異常状態となった基となる装置群である原因装置群を、上記取得された確率分布の基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定部１０４と、を備える。
【選択図】図５

Description

本発明は、互いに関連して作動する複数の装置を含むシステムの作動状態が異常状態であるか否かを検出する異常検出装置に関する。

互いに関連して作動する複数の装置を含むシステムの作動状態が異常状態であるか否かを検出する異常検出装置が知られている。例えば、システムは、互いに通信を行う複数の通信装置を含む通信システムである。

この種のシステムの性質は、システムに含まれる装置が、他の装置と強い相関を有する、という性質である。この結果、システムは、特定の作動状態を有する場合がある。例えば、特定の作動状態は、システムにおいて、各装置が略同一の負荷にて作動している状態、又は、特定の装置が他の装置よりも大きい負荷にて作動している状態、等である。ところで、個々の装置の作動状態のみを検出しても、これらの特定の作動状態を検出することはできない。この結果、システムの作動状態が異常状態であることを検出することが難しくなる。

例えば、通信システムにおいて、ある通信装置（例えば、サーバ装置）が故障することによって、通信トラフィックがその通信装置を回避し始めた場合を想定する。この場合、故障した通信装置と、その通信装置の近傍に配置された通信装置と、の間の通信トラフィックは、一斉に減少する。

ところで、ある通信トラフィックが減少することは、通信装置の故障を示唆しない。一方、複数の通信トラフィックが一斉に減少することは、通信装置の故障を示唆する。従って、通信装置の故障を検出するためには、個々の通信トラフィックの変化ではなく、複数の通信トラフィックの変化（即ち、複数の装置が関連した現象）を検出する必要がある。

加えて、上記の性質のため、システムの作動状態が異常状態となった基となる装置が１つであるとは限らない。例えば、システムが通信システムである場合、複数の通信装置間で通信が循環するという障害が存在する。この障害が発生している場合においても、異常検出装置は、通信が循環している複数の装置（原因装置群）を、システムの作動状態が異常状態となった基となる装置群として特定できることが望ましい。

しかしながら、この障害が発生している場合、装置が他の装置と相関を有するため、個々の装置の異常度を足し合わせた値は、装置群の異常度と等しくならない。ここで、装置の異常度は、装置の作動状態が異常状態に近づくほど大きくなる値であり、装置群の異常度は、装置群の作動状態が異常状態に近づくほど大きくなる値である。

従って、各装置の作動状態を個別に検出した後に、それらの検出値をまとめるだけでは、原因装置群を高い精度にて特定することができない。即ち、原因装置群を一括して検出する技術が必要とされている。

ところで、異常検出装置の一つとして、特許文献１に記載の異常検出装置は、システムの作動状態の特徴を表す特徴量を成分として有する行列の最大固有ベクトルを入力する。そして、異常検出装置は、基準となるベクトルと、入力された最大固有ベクトルと、が比較的大きく相違している場合、システムの作動状態が異常状態であることを検出する。

また、異常検出装置の他の一つとして、非特許文献１に記載の異常検出装置は、システム内の装置間の相関構造の変化に対して各装置が及ぼす影響の大きさ（当該変化に対する各装置の寄与）を表す値をスコアとして算出する。

特開２００５−２１６０６６号公報

Tsuyoshi Ide、外3名、「Proximity-based anomaly detection using sparse structure learning」、Proceedings of 2009 SIAM International Conference on Data Mining(SDM09)、Society for Industrial and Applied Mathematics、2009年、p.97-108

しかしながら、特許文献１に記載の異常検出装置によれば、システムの作動状態が異常状態であるか否かを検出することができるが、原因装置群を特定することはできない。この理由は、当該異常検出装置が、ある装置群内の装置と、当該装置群外の装置と、の間の関係を無視した処理を行っているためである。

また、非特許文献１に記載の異常検出装置によっても、原因装置群を高い精度にて特定することはできない。この理由は、システム内の装置が他の装置と強い相関を有するので、個々の装置の異常度を足し合わせた値が装置群の異常度と等しくならないためである。

このように、上述した文献に記載の異常検出装置においては、システムの作動状態が異常状態となった基となる装置群（原因装置群）を高い精度にて特定することができない、という問題があった。

このため、本発明の目的は、上述した課題である「原因装置群を高い精度にて特定できない場合が生じること」を解決することが可能な異常検出装置を提供することにある。

かかる目的を達成するため本発明の一形態である異常検出装置は、
互いに関連して作動する複数の装置を含むシステムに適用され、
上記システムの作動状態の特徴を表す特徴量を取得する特徴量取得手段と、
上記取得された特徴量に基づいて、上記特徴量を確率変数とする確率分布を取得する確率分布取得手段と、
上記取得された確率分布と、上記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、上記システムの作動状態が異常状態にあるか否かを判定する作動状態判定手段と、
上記複数の装置の一部を構成し且つ上記システムの作動状態が異常状態となった基となる装置群である原因装置群を、上記取得された確率分布の上記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定手段と、
を備える。

また、本発明の他の形態である異常検出システムは、
互いに関連して作動する複数の装置を含む対象システムを含み、
上記対象システムの作動状態の特徴を表す特徴量を取得する特徴量取得手段と、
上記取得された特徴量に基づいて、上記特徴量を確率変数とする確率分布を取得する確率分布取得手段と、
上記取得された確率分布と、上記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、上記対象システムの作動状態が異常状態にあるか否かを判定する作動状態判定手段と、
上記複数の装置の一部を構成し且つ上記対象システムの作動状態が異常状態となった基となる装置群である原因装置群を、上記取得された確率分布の上記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定手段と、
を備える。

また、本発明の他の形態である異常検出方法は、
互いに関連して作動する複数の装置を含むシステムに適用され、
上記システムの作動状態の特徴を表す特徴量を取得し、
上記取得された特徴量に基づいて、上記特徴量を確率変数とする確率分布を取得し、
上記取得された確率分布と、上記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、上記システムの作動状態が異常状態にあるか否かを判定し、
上記複数の装置の一部を構成し且つ上記システムの作動状態が異常状態となった基となる装置群である原因装置群を、上記取得された確率分布の上記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する方法である。

また、本発明の他の形態であるプログラムは、
互いに関連して作動する複数の装置を含むシステムに適用される異常検出装置に、
上記システムの作動状態の特徴を表す特徴量を取得する特徴量取得手段と、
上記取得された特徴量に基づいて、上記特徴量を確率変数とする確率分布を取得する確率分布取得手段と、
上記取得された確率分布と、上記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、上記システムの作動状態が異常状態にあるか否かを判定する作動状態判定手段と、
上記複数の装置の一部を構成し且つ上記システムの作動状態が異常状態となった基となる装置群である原因装置群を、上記取得された確率分布の上記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定手段と、
を実現させるためのプログラムである。

本発明は、以上のように構成されることにより、原因装置群を高い精度にて特定することができる。

本発明の第１実施形態に係る異常検出システムの概略構成を表す図である。 本発明の第１実施形態に係る異常検出装置の機能の概略を表すブロック図である。 通信システムの作動状態が正常状態にある場合における、原因装置群及び非原因装置群の作動状態を概念的に示した説明図である。 通信システムの作動状態が異常状態にある場合における原因装置群及び非原因装置群の作動状態を概念的に示した説明図である。 本発明の第２実施形態に係る異常検出装置の機能の概略を表すブロック図である。

以下、本発明に係る、異常検出装置、異常検出システム、異常検出方法、及び、プログラム、の各実施形態について図１〜図５を参照しながら説明する。

＜第１実施形態＞
図１に示したように、第１実施形態に係る異常検出システム１は、異常検出装置２と、複数（本例では、ｎ個、ここで、ｎは整数）の通信装置３ａ，３ｂ，３ｃ，…と、を含む。異常検出装置２、及び、通信装置３ａ，３ｂ，３ｃ，…は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網を構成する通信回線ＮＷを介して、互いに通信可能に接続されている。なお、複数の通信装置３ａ，３ｂ，３ｃ，…は、通信システムを構成している。また、通信システムは、その作動状態が異常状態にあるか否かを異常検出装置２が検出する対象となるシステムであり、対象システムとも呼ばれる。

各通信装置３ａ，３ｂ，３ｃ，…は、他の通信装置３ａ，３ｂ，３ｃ，…との間で通信を行う装置である。即ち、複数の通信装置３ａ，３ｂ，３ｃ，…は、互いに関連して作動する、と言うことができる。

各通信装置３ａ，３ｂ，３ｃ，…は、特徴量基礎情報を異常検出装置２へ送信する。特徴量基礎情報は、通信システムの作動状態の特徴を表す特徴量の基礎となる情報である。更に、特徴量基礎情報は、当該特徴量基礎情報が生成された時刻を表す情報を含む。

本例では、特徴量基礎情報は、複数の通信装置３ａ，３ｂ，３ｃ，…のそれぞれが他の通信装置３ａ，３ｂ，３ｃ，…へ単位時間あたりに送信するデータ量（データサイズ）を表す情報である。なお、特徴量基礎情報は、複数の通信装置３ａ，３ｂ，３ｃ，…のそれぞれが備える処理装置の負荷を表す情報であってもよい。

異常検出装置２は、図示しない中央処理装置（ＣＰＵ；Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、及び、記憶装置（メモリ及びハードディスク駆動装置（ＨＤＤ；Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ））を備える。異常検出装置２は、記憶装置に記憶されているプログラムをＣＰＵが実行することにより、後述する機能を実現するように構成されている。

図２は、上記のように構成された異常検出装置２の機能を表すブロック図である。
異常検出装置２の機能は、特徴量取得部（特徴量取得手段）２１と、確率分布取得部（確率分布取得手段）２２と、作動状態判定部（作動状態判定手段）２３と、原因装置群特定部（原因装置群特定手段）２４と、を含む。

特徴量取得部２１は、通信システムの作動状態の特徴を表す特徴量を取得する。特徴量は、各通信装置３ａ，３ｂ，３ｃ，…から受信した特徴量基礎情報を成分として有するベクトルである。本例では、特徴量は、各通信装置３ａ，３ｂ，３ｃ，…が他の通信装置３ａ，３ｂ，３ｃ，…へ単位時間あたりに送信するデータ量を成分として有するベクトルである。

なお、特徴量は、各通信装置３ａ，３ｂ，３ｃ，…が備える処理装置の負荷を成分として有するベクトルであってもよい。また、特徴量は、各通信装置３ａ，３ｂ，３ｃ，…が他の通信装置３ａ，３ｂ，３ｃ，…へ単位時間あたりに送信するデータ量を成分として有するベクトルと、各通信装置３ａ，３ｂ，３ｃ，…が備える処理装置の負荷を成分として有するベクトルと、を併せたベクトル等であってもよい。

また、特徴量は、ベクトルではなく行列であってもよい。この場合、例えば、特徴量は、一対の通信装置毎の、当該通信装置間で単位時間あたりに通信されるデータ量（通信トラフィック量）を成分として有する行列であってもよい。また、特徴量は、一対の通信装置毎の、当該通信装置間の物理的な接続の有無を表す値（例えば、真偽値）を成分として有する行列であってもよい。

特徴量取得部２１は、各通信装置３ａ，３ｂ，３ｃ，…から受信された特徴量基礎情報に基づいて、当該特徴量基礎情報に含まれる時刻と対応付けて特徴量を取得する。特徴量取得部２１は、取得された特徴量と、当該特徴量と対応付けられた時刻と、を対応付けて確率分布取得部２２へ出力する。

確率分布取得部２２は、特徴量取得部２１から出力された特徴量と、時刻と、を受け付ける。確率分布取得部２２は、受け付けた特徴量ｘ（ｔ）に基づいて、特徴量ｘ（ｔ）を確率変数とする確率分布ｐ_ｔ（ｘ｜θ_ｔ）を取得する。上述したように、本例では、通信システムがｎ個の通信装置３ａ，３ｂ，３ｃ，…を含むので、特徴量ｘ（ｔ）は、ｎ次元のベクトルである。また、ｔは、時刻を表す整数であり、特徴量取得部２１により特徴量が取得される毎に１ずつ増加する整数である。

本例では、確率分布は、多次元の正規分布である。また、本例では、平均値が０である確率分布を想定する。従って、確率分布取得部２２は、確率分布を特定するための確率分布パラメータθ_ｔとしての分散共分散行列Σ_ｔを取得することにより、数式１に示した当該確率分布ｐ_ｔ（ｘ｜Σ_ｔ）を取得する。なお、確率分布は、平均値が０以外であってもよい。

確率分布取得部２２は、取得された確率分布パラメータθ_ｔ（本例では、分散共分散行列Σ_ｔ）を時刻ｔと対応付けて記憶装置に記憶させる。更に、確率分布取得部２２は、時刻ｔと対応付けられた（即ち、第１の時点にて取得された特徴量に基づく）確率分布パラメータΣ_ｔと、時刻ｔ−１と対応付けられた（即ち、第１の時点よりも前の第２の時点にて取得された特徴量に基づく）確率分布パラメータΣ_ｔ−１と、を作動状態判定部２３及び原因装置群特定部２４のそれぞれへ出力する。

作動状態判定部２３は、特徴量取得部２１により取得された確率分布と、特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、通信システムの作動状態が異常状態にあるか否かを判定する。

具体的には、作動状態判定部２３は、確率分布取得部２２から出力された、時刻ｔと対応付けられた確率分布パラメータΣ_ｔを確率分布として受け付ける。更に、作動状態判定部２３は、確率分布取得部２２から出力された、時刻ｔ−１と対応付けられた確率分布パラメータΣ_ｔ−１を基準確率分布として受け付ける。

作動状態判定部２３は、受け付けた、確率分布パラメータΣ_ｔ、及び、確率分布パラメータΣ_ｔ−１と、数式２と、に基づいて、異常度スコアＳ（ｔ）を算出する。ここで、異常度スコアＳ（ｔ）は、時刻ｔと対応付けられた確率分布と、時刻ｔ−１と対応付けられた確率分布（基準確率分布）と、の差が大きくなるほど大きくなる値を有する。

ここで、Ｄ_ＫＬ[ｐ_ｔ−１（ｘ｜θ_ｔ−１）｜｜ｐ_ｔ（ｘ｜θ_ｔ）]は、ＫＬ（Ｋｕｌｌｂａｃｋ−Ｌｅｉｂｌｅｒ）ダイバージェンスと呼ばれる値であり、数式３により定義される。

Ｄ_ＫＬ[ｐ_ｔ−１（ｘ｜θ_ｔ−１）｜｜ｐ_ｔ（ｘ｜θ_ｔ）]は、確率分布ｐ_ｔ−１（ｘ｜θ_ｔ−１）と、確率分布ｐ_ｔ（ｘ｜θ_ｔ）と、が一致している（等しい分布である）場合に０となる。また、Ｄ_ＫＬ[ｐ_ｔ−１（ｘ｜θ_ｔ−１）｜｜ｐ_ｔ（ｘ｜θ_ｔ）]は、確率分布ｐ_ｔ−１（ｘ｜θ_ｔ−１）と、確率分布ｐ_ｔ（ｘ｜θ_ｔ）と、が大きく異なるほど、大きくなる値を有する。

ところで、確率分布は、通信システムの作動状態が正常状態から異常状態へ変化した場合に、比較的大きく変化する。従って、異常度スコアＳ（ｔ）が比較的大きくなった場合、通信システムの作動状態が正常状態から異常状態へ変化した可能性が高い。

そこで、作動状態判定部２３は、算出された異常度スコアＳ（ｔ）が予め設定された閾値スコアよりも大きい場合、通信システムの作動状態が異常状態にあると判定する。一方、作動状態判定部２３は、算出された異常度スコアＳ（ｔ）が上記閾値スコア以下である場合、通信システムの作動状態が異常状態にない（即ち、正常状態にある）と判定する。

ここで、通信システムの作動状態が正常状態から異常状態へ変化した場合における、通信装置群の作動状態の変化について説明する。

図３は、通信システムの作動状態が正常状態にある場合における、原因装置群及び非原因装置群の作動状態を概念的に示した説明図である。図４は、通信システムの作動状態が異常状態にある場合における原因装置群及び非原因装置群の作動状態を概念的に示した説明図である。

ここで、原因装置群α_０は、通信システムの作動状態が異常状態となった基となる通信装置群である。また、非原因装置群β_０は、通信システムに含まれるすべての通信装置のうちの、原因装置群α_０を構成する通信装置以外の通信装置からなる通信装置群である。

図３及び図４において、実線の丸は、通信装置を表し、破線の丸は、通信装置群を表す。また、実線の丸と実線の丸とを結ぶ直線は、通信装置間に比較的強い相関関係が存在することを表す。

図３及び図４に示したように、通信システムの作動状態が正常状態から異常状態へ変化した場合、原因装置群α_０においては、非原因装置群β_０に比較して通信信装置間の相関関係が大きく変化する。従って、原因装置群特定部２４は、このような性質を利用して、原因装置群を特定する。

具体的には、原因装置群特定部２４は、複数の通信装置３ａ，３ｂ，３ｃ，…の一部を構成する任意の通信装置群に対して、原因装置群特定関数Ｅの値を算出する。そして、原因装置群特定部２４は、算出された原因装置群特定関数Ｅの値を最小にする通信装置群を、通信システムの作動状態が異常状態となった基となる通信装置群である原因装置群として特定する。

原因装置群特定関数Ｅは、数式４に示したように定義される関数である。ここで、αは、原因装置群特定関数Ｅの値を算出する対象となる通信装置群を表す。また、βは、複数の通信装置３ａ，３ｂ，３ｃ，…のうちの、通信装置群αを構成する通信装置以外の通信装置からなる通信装置群を表す。また、ｋは、通信装置群αを構成する通信装置の数を表す。即ち、ｎ−ｋは、通信装置群βを構成する通信装置の数を表す。

ここで、第１の関数Ｌ（α，β）は、後述するように、時刻ｔと対応付けられた確率分布の、時刻ｔ−１と対応付けられた確率分布（基準確率分布）からの変化に対して通信装置群αが及ぼす影響が大きくなるほど大きくなる値を有する。また、第２の関数ｆ（ｋ）は、後述するように、通信装置群αを構成する通信装置の数ｋが少なくなるほど小さくなる値を有する。

即ち、原因装置群特定関数Ｅは、時刻ｔと対応付けられた確率分布の、時刻ｔ−１と対応付けられた確率分布（基準確率分布）からの変化に対して通信装置群αが及ぼす影響が大きくなるほど小さくなり、且つ、通信装置群αを構成する通信装置の数ｋが少なくなるほど小さくなる値を有する。

即ち、原因装置群特定部２４は、時刻ｔと対応付けられた確率分布の、時刻ｔ−１と対応付けられた確率分布（基準確率分布）からの変化に対して通信装置群αが及ぼす影響が大きさと、通信装置群αを構成する通信装置の数ｋと、に基づいて原因装置群を特定する。
これにより、原因装置群特定部２４は、原因装置群を一括して特定することができる。

なお、原因装置群特定関数Ｅは、各時刻における特徴量ｘ、及び、各時刻における確率分布パラメータθ等のパラメータにも基づいて変化する関数であってもよい。

ここで、第１の関数Ｌ（α，β）及び第２の関数ｆ（ｋ）についてより詳細に説明する。
先ず、数式５に示したように、特徴量ｘ（ｔ），ｘ（ｔ−１）のうちの、通信装置群αを構成する通信装置に対応する要素からなるｋ次元ベクトルｘ_α（ｔ），ｘ_α（ｔ−１）と、通信装置群βを構成する通信装置に対応する要素からなるｎ−ｋ次元ベクトルｘ_β（ｔ），ｘ_β（ｔ−１）と、を定義する。

更に、数式６に示したように、分散共分散行列Σ_ｔ，Σ_ｔ−１のうちの、通信装置群αを構成する通信装置間の関係に対応する要素からなる行列Σ_ｔ，αα，Σ_{ｔ−１，αα}と、通信装置群αを構成する通信装置と通信装置群βを構成する通信装置との間の関係に対応する要素からなる行列Σ_ｔ，αβ，Σ_{ｔ−１，αβ}，Σ_ｔ，βα，Σ_{ｔ−１，βα}と、通信装置群βを構成する通信装置間の関係に対応する要素からなる行列Σ_ｔ，ββ，Σ_{ｔ−１，ββ}と、を定義する。

本例では、第１の関数Ｌ（α，β）を、数式７に示したように定義する。

ここで、Ｄ_Ｂｕｒｇ（Ｘ，Ｙ）は、Ｂｕｒｇ行列ダイバージェンス（Ｂｕｒｇ ｍａｔｒｉｘ ｄｉｖｅｒｇｅｎｃｅ）と呼ばれる関数であり、数式８に示したように定義される。ここで、Ｔｒ[ＸＹ^−１]は、正方行列ＸＹ^−１の対角成分の和を表す。

なお、Ｄ_Ｂｕｒｇ（Ｘ，Ｙ）は、正方行列Ｘ及び正方行列Ｙが等しい場合に０となる。また、Ｄ_Ｂｕｒｇ（Ｘ，Ｙ）は、正方行列Ｘと、正方行列Ｙと、が大きくことなるほど大きくなる値を有する。

また、第２の関数ｆ（ｋ）を、数式９に示したように定義する。ここで、λは、予め設定された正規化パラメータである。

このように、原因装置群特定部２４は、複数の通信装置３ａ，３ｂ，３ｃ，…の一部を構成し且つ通信システムの作動状態が異常状態となった基となる通信装置群である原因装置群を、取得された確率分布の基準確率分布からの変化に対して当該通信装置群が及ぼす影響の大きさと、当該通信装置群を構成する通信装置の数と、に基づいて特定する、と言うことができる。

異常検出装置２は、作動状態判定部２３により、通信システムの作動状態が異常状態にあると判定された場合、その旨を表す情報を出力（例えば、ディスプレイに表示）する。更に、異常検出装置２は、作動状態判定部２３により、通信システムの作動状態が異常状態にあると判定された場合、原因装置群特定部２４により特定された原因装置群を表す情報（例えば、原因装置群を構成する通信装置を特定するための情報）を出力する。

以上、説明したように、本発明の第１実施形態に係る異常検出装置２によれば、通信システムの作動状態が異常状態にあるか否かを高い精度にて検出することができる。更に、通信システムの作動状態が異常状態となった基となる装置群（原因装置群）を高い精度にて特定することができる。異常検出装置２によれば、例えば、通信トラフィックが複数の通信装置間で循環する障害が発生した場合であっても、原因装置群を高い精度にて特定することができる。

更に、異常検出装置２は、第１の時点にて取得された特徴量に基づいて確率分布を取得し、且つ、当該第１の時点よりも前の第２の時点にて取得された特徴量に基づいて基準確率分布を取得する。

これによれば、直前の時点における確率分布を基準確率分布として用いることができる。この結果、通信システムの作動状態が異常状態であるか否かを高い精度にて判定することができる。

＜第２実施形態＞
次に、本発明の第２実施形態に係る異常検出装置について図５を参照しながら説明する。
第２実施形態に係る異常検出装置１００は、互いに関連して作動する複数の装置を含むシステムに適用される。

異常検出装置１００は、
上記システムの作動状態の特徴を表す特徴量を取得する特徴量取得部（特徴量取得手段）１０１と、
上記取得された特徴量に基づいて、上記特徴量を確率変数とする確率分布を取得する確率分布取得部（確率分布取得手段）１０２と、
上記取得された確率分布と、上記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、上記システムの作動状態が異常状態にあるか否かを判定する作動状態判定部（作動状態判定手段）１０３と、
上記複数の装置の一部を構成し且つ上記システムの作動状態が異常状態となった基となる装置群である原因装置群を、上記取得された確率分布の上記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定部（原因装置群特定手段）１０４と、
を備える。

これによれば、システムの作動状態が異常状態にあるか否かを高い精度にて検出することができる。更に、システムの作動状態が異常状態となった基となる装置群（原因装置群）を高い精度にて特定することができる。

以上、上記実施形態を参照して本願発明を説明したが、本願発明は、上述した実施形態に限定されるものではない。本願発明の構成及び詳細に、本願発明の範囲内において当業者が理解し得る様々な変更をすることができる。

なお、第１実施形態においては、対象システムは、通信システムであり、対象システムに含まれる装置は、通信装置であった。ところで、対象システムは、自動車等の複数の部分装置からなるシステムであってもよい。この場合、異常検出装置は、各部分装置から出力される特徴量基礎情報（例えば、電流、及び、電圧等）に基づいて原因装置群（上記複数の部分装置の一部からなる装置群）を特定することが好適である。

また、異常検出装置は、複数の一次元の時系列データに基づいて、各時系列データ間の相関を考慮に入れながら、対象システムの作動状態が異常状態となる基となった時系列データ群（複数の時系列データ）を特定することができる。

なお、上記実施形態において異常検出装置の各機能は、ＣＰＵがプログラム（ソフトウェア）を実行することにより実現されていたが、回路等のハードウェアにより実現されていてもよい。

また、上記実施形態においてプログラムは、記憶装置に記憶されていたが、コンピュータが読み取り可能な記録媒体に記憶されていてもよい。例えば、記録媒体は、フレキシブルディスク、光ディスク、光磁気ディスク、及び、半導体メモリ等の可搬性を有する媒体である。

また、上記実施形態の他の変形例として、上述した実施形態及び変形例の任意の組み合わせが採用されてもよい。

＜付記＞
上記実施形態の一部又は全部は、以下の付記のように記載され得るが、以下には限られない。

（付記１）
互いに関連して作動する複数の装置を含むシステムに適用され、
前記システムの作動状態の特徴を表す特徴量を取得する特徴量取得手段と、
前記取得された特徴量に基づいて、前記特徴量を確率変数とする確率分布を取得する確率分布取得手段と、
前記取得された確率分布と、前記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、前記システムの作動状態が異常状態にあるか否かを判定する作動状態判定手段と、
前記複数の装置の一部を構成し且つ前記システムの作動状態が異常状態となった基となる装置群である原因装置群を、前記取得された確率分布の前記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定手段と、
を備える異常検出装置。

これによれば、システムの作動状態が異常状態にあるか否かを高い精度にて検出することができる。更に、システムの作動状態が異常状態となった基となる装置群（原因装置群）を高い精度にて特定することができる。

（付記２）
付記１に記載の異常検出装置であって、
前記原因装置群特定手段は、前記取得された確率分布の、前記基準確率分布からの変化に対して前記装置群が及ぼす影響が大きくなるほど小さくなり、且つ、当該装置群を構成する装置の数が少なくなるほど小さくなる値を有する関数の値を最小にする装置群を前記原因装置群として特定するように構成された異常検出装置。

（付記３）
付記１又は付記２に記載の異常検出装置であって、
前記確率分布取得手段は、第１の時点にて前記取得された特徴量に基づいて前記確率分布を取得し、且つ、当該第１の時点よりも前の第２の時点にて前記取得された特徴量に基づいて前記基準確率分布を取得するように構成された異常検出装置。

ところで、装置間の関係、及び、システムの作動状態は、時間の経過に伴って変化する。従って、システムの作動状態が異常状態であるか否かを判定するための基準も、時間の経過に伴って変化する。

例えば、システムが通信システムである場合、ある通信トラフィックが、夜間においては通信システムの作動状態が異常状態であると判定される大きさであっても、昼間においては通信システムの作動状態が異常状態でないと判定される大きさであることがある。即ち、基準確率分布として一定の分布を用いると、システムの作動状態が異常状態であるか否かを高い精度にて判定することができない虞がある。

これに対し、上記のように構成された異常検出装置によれば、例えば、直前の時点における確率分布を基準確率分布として用いることができる。この結果、システムの作動状態が異常状態であるか否かを高い精度にて判定することができる。

（付記４）
付記１乃至付記３のいずれか一項に記載の異常検出装置であって、
前記作動状態判定手段は、前記取得された確率分布と、前記基準確率分布と、の差を表す値として、ＫＬ（Ｋｕｌｌｂａｃｋ−Ｌｅｉｂｌｅｒ）ダイバージェンスに基づく値を用いるように構成された異常検出装置。

（付記５）
付記１乃至付記４のいずれか一項に記載の異常検出装置であって、
前記確率分布取得手段は、前記確率分布を特定するための確率分布パラメータを取得することにより当該確率分布を取得するように構成され、
前記原因装置群特定手段は、前記取得された確率分布パラメータに基づいて前記原因装置群を特定するように構成された異常検出装置。

（付記６）
付記５に記載の異常検出装置であって、
前記確率分布は、多次元の正規分布であり、
前記確率分布パラメータは、分散共分散行列を含む異常検出装置。

（付記７）
付記１乃至付記６のいずれか一項に記載の異常検出装置であって、
前記装置は、他の装置との間で通信を行う通信装置であり、
前記特徴量は、前記複数の装置のそれぞれが他の装置へ送信するデータ量を含む異常検出装置。

（付記８）
互いに関連して作動する複数の装置を含む対象システムを含み、
前記対象システムの作動状態の特徴を表す特徴量を取得する特徴量取得手段と、
前記取得された特徴量に基づいて、前記特徴量を確率変数とする確率分布を取得する確率分布取得手段と、
前記取得された確率分布と、前記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、前記対象システムの作動状態が異常状態にあるか否かを判定する作動状態判定手段と、
前記複数の装置の一部を構成し且つ前記対象システムの作動状態が異常状態となった基となる装置群である原因装置群を、前記取得された確率分布の前記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定手段と、
を備える異常検出システム。

（付記９）
付記８に記載の異常検出システムであって、
前記原因装置群特定手段は、前記取得された確率分布の、前記基準確率分布からの変化に対して前記装置群が及ぼす影響が大きくなるほど小さくなり、且つ、当該装置群を構成する装置の数が少なくなるほど小さくなる値を有する関数の値を最小にする装置群を前記原因装置群として特定するように構成された異常検出システム。

（付記１０）
付記８又は付記９に記載の異常検出システムであって、
前記確率分布取得手段は、第１の時点にて前記取得された特徴量に基づいて前記確率分布を取得し、且つ、当該第１の時点よりも前の第２の時点にて前記取得された特徴量に基づいて前記基準確率分布を取得するように構成された異常検出システム。

（付記１１）
互いに関連して作動する複数の装置を含むシステムに適用され、
前記システムの作動状態の特徴を表す特徴量を取得し、
前記取得された特徴量に基づいて、前記特徴量を確率変数とする確率分布を取得し、
前記取得された確率分布と、前記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、前記システムの作動状態が異常状態にあるか否かを判定し、
前記複数の装置の一部を構成し且つ前記システムの作動状態が異常状態となった基となる装置群である原因装置群を、前記取得された確率分布の前記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する、異常検出方法。

（付記１２）
付記１１に記載の異常検出方法であって、
前記取得された確率分布の、前記基準確率分布からの変化に対して前記装置群が及ぼす影響が大きくなるほど小さくなり、且つ、当該装置群を構成する装置の数が少なくなるほど小さくなる値を有する関数の値を最小にする装置群を前記原因装置群として特定するように構成された異常検出方法。

（付記１３）
付記１１又は付記１２に記載の異常検出方法であって、
第１の時点にて前記取得された特徴量に基づいて前記確率分布を取得し、且つ、当該第１の時点よりも前の第２の時点にて前記取得された特徴量に基づいて前記基準確率分布を取得する、異常検出方法。

（付記１４）
互いに関連して作動する複数の装置を含むシステムに適用される異常検出装置に、
前記システムの作動状態の特徴を表す特徴量を取得する特徴量取得手段と、
前記取得された特徴量に基づいて、前記特徴量を確率変数とする確率分布を取得する確率分布取得手段と、
前記取得された確率分布と、前記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、前記システムの作動状態が異常状態にあるか否かを判定する作動状態判定手段と、
前記複数の装置の一部を構成し且つ前記システムの作動状態が異常状態となった基となる装置群である原因装置群を、前記取得された確率分布の前記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定手段と、
を実現させるためのプログラム。

（付記１５）
付記１４に記載のプログラムであって、
前記原因装置群特定手段は、前記取得された確率分布の、前記基準確率分布からの変化に対して前記装置群が及ぼす影響が大きくなるほど小さくなり、且つ、当該装置群を構成する装置の数が少なくなるほど小さくなる値を有する関数の値を最小にする装置群を前記原因装置群として特定するように構成されたプログラム。

（付記１６）
付記１４又は付記１５に記載のプログラムであって、
前記確率分布取得手段は、第１の時点にて前記取得された特徴量に基づいて前記確率分布を取得し、且つ、当該第１の時点よりも前の第２の時点にて前記取得された特徴量に基づいて前記基準確率分布を取得するように構成されたプログラム。

本発明は、互いに通信を行う複数の通信装置を含む通信システムの作動状態が異常状態であるか否かを検出する異常検出装置等に適用可能である。

１ 異常検出システム
２ 異常検出装置
３ａ，３ｂ，３ｃ，… 通信装置
２１ 特徴量取得部
２２ 確率分布取得部
２３ 作動状態判定部
２４ 原因装置群特定部
１００ 異常検出装置
１０１ 特徴量取得部
１０２ 確率分布取得部
１０３ 作動状態判定部
１０４ 原因装置群特定部
ＮＷ 通信回線

Claims (10)

1. 互いに関連して作動する複数の装置を含むシステムに適用され、
   前記システムの作動状態の特徴を表す特徴量を取得する特徴量取得手段と、
   前記取得された特徴量に基づいて、前記特徴量を確率変数とする確率分布を取得する確率分布取得手段と、
   前記取得された確率分布と、前記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、前記システムの作動状態が異常状態にあるか否かを判定する作動状態判定手段と、
   前記複数の装置の一部を構成し且つ前記システムの作動状態が異常状態となった基となる装置群である原因装置群を、前記取得された確率分布の前記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定手段と、
   を備える異常検出装置。
2. 請求項１に記載の異常検出装置であって、
   前記原因装置群特定手段は、前記取得された確率分布の、前記基準確率分布からの変化に対して前記装置群が及ぼす影響が大きくなるほど小さくなり、且つ、当該装置群を構成する装置の数が少なくなるほど小さくなる値を有する関数の値を最小にする装置群を前記原因装置群として特定するように構成された異常検出装置。
3. 請求項１又は請求項２に記載の異常検出装置であって、
   前記確率分布取得手段は、第１の時点にて前記取得された特徴量に基づいて前記確率分布を取得し、且つ、当該第１の時点よりも前の第２の時点にて前記取得された特徴量に基づいて前記基準確率分布を取得するように構成された異常検出装置。
4. 請求項１乃至請求項３のいずれか一項に記載の異常検出装置であって、
   前記作動状態判定手段は、前記取得された確率分布と、前記基準確率分布と、の差を表す値として、ＫＬ（Ｋｕｌｌｂａｃｋ−Ｌｅｉｂｌｅｒ）ダイバージェンスに基づく値を用いるように構成された異常検出装置。
5. 請求項１乃至請求項４のいずれか一項に記載の異常検出装置であって、
   前記確率分布取得手段は、前記確率分布を特定するための確率分布パラメータを取得することにより当該確率分布を取得するように構成され、
   前記原因装置群特定手段は、前記取得された確率分布パラメータに基づいて前記原因装置群を特定するように構成された異常検出装置。
6. 請求項５に記載の異常検出装置であって、
   前記確率分布は、多次元の正規分布であり、
   前記確率分布パラメータは、分散共分散行列を含む異常検出装置。
7. 請求項１乃至請求項６のいずれか一項に記載の異常検出装置であって、
   前記装置は、他の装置との間で通信を行う通信装置であり、
   前記特徴量は、前記複数の装置のそれぞれが他の装置へ送信するデータ量を含む異常検出装置。
8. 互いに関連して作動する複数の装置を含む対象システムを含み、
   前記対象システムの作動状態の特徴を表す特徴量を取得する特徴量取得手段と、
   前記取得された特徴量に基づいて、前記特徴量を確率変数とする確率分布を取得する確率分布取得手段と、
   前記取得された確率分布と、前記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、前記対象システムの作動状態が異常状態にあるか否かを判定する作動状態判定手段と、
   前記複数の装置の一部を構成し且つ前記対象システムの作動状態が異常状態となった基となる装置群である原因装置群を、前記取得された確率分布の前記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定手段と、
   を備える異常検出システム。
9. 互いに関連して作動する複数の装置を含むシステムに適用され、
   前記システムの作動状態の特徴を表す特徴量を取得し、
   前記取得された特徴量に基づいて、前記特徴量を確率変数とする確率分布を取得し、
   前記取得された確率分布と、前記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、前記システムの作動状態が異常状態にあるか否かを判定し、
   前記複数の装置の一部を構成し且つ前記システムの作動状態が異常状態となった基となる装置群である原因装置群を、前記取得された確率分布の前記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する、異常検出方法。
10. 互いに関連して作動する複数の装置を含むシステムに適用される異常検出装置に、
    前記システムの作動状態の特徴を表す特徴量を取得する特徴量取得手段と、
    前記取得された特徴量に基づいて、前記特徴量を確率変数とする確率分布を取得する確率分布取得手段と、
    前記取得された確率分布と、前記特徴量を確率変数とする確率分布の基準となる基準確率分布と、の差に基づいて、前記システムの作動状態が異常状態にあるか否かを判定する作動状態判定手段と、
    前記複数の装置の一部を構成し且つ前記システムの作動状態が異常状態となった基となる装置群である原因装置群を、前記取得された確率分布の前記基準確率分布からの変化に対して当該装置群が及ぼす影響の大きさと、当該装置群を構成する装置の数と、に基づいて特定する原因装置群特定手段と、
    を実現させるためのプログラム。

Images