JP2017143399A - 時系列データ異常監視装置及び時系列データ異常監視方法 - Google Patents

Abstract

【課題】ネットワーク装置の通信トラフィック等の時系列データの特定不能な変動による異常を適正に検知する。【解決手段】時系列データ異常監視装置１０は、ネットワーク装置の通信トラフィックによる時系列データから異なる条件に応じた各種の変動パターンを求め、この各種変動パターンを変動パターン保存部１７に分類して保存する算出部１１と、時系列データの現存しない将来の値である推定値を推定して求める推定部１２とを備える。その推定値の時間帯に対応する過去の各種変動パターンを保存部から取得し、この各種変動パターンの各々と推定値とを比較し、これら比較による複数の差分を求める比較部１３と、複数の差分の内、最も小さい差分に対応する変動パターンを適応モデルとして選択する選択部１４とを備える。その適応モデルとしての変動パターンに対応する時系列データが、予め定められた閾値を超える場合に異常と検知する異常検知部１５を備える。【選択図】図１

Description

本発明は、ネットワーク装置の通信トラフィックによる時系列データの変動を監視し、時系列データの異常を検知する時系列データ異常監視装置及び時系列データ異常監視方法に関する。

ネットワークの運用管理において、ネットワーク装置の通信状況（通信トラフィック）の異常を監視することは非常に重要であり、従来種々の異常監視手法が提案されている。例えば、特許文献１に記載の異常検出装置がある。この装置では、現時点のネットワーク内の装置間の状態を示す現在ベクトルと、基準ベクトルとの角度差から異常スコアを算出し、更に、異常スコアと閾値とを比較して、その大小関係に基づいてネットワークの異常を判定するようになっている。

つまり、ネットワーク装置間のトラフィック量のバランスを多次元のベクトルで表現し、基準ベクトルとの角度を異常度（異常スコア）として定義し、トラフィック量の相関崩れをバランス崩れ（異常）として検出する。

例えば、図５（ａ）に示すように、３台のネットワーク装置の通信時のトラフィック量Ｔ１，Ｔ２，Ｔ３が月曜日から日曜日まで計測されてグラフ化されているとする。各トラフィック量Ｔ１〜Ｔ３は、図５（ｂ）に示すように、所定の分配率（比率）で平準化されたトラフィック量Ｔ１ａ，Ｔ２ａ，Ｔ３ａで表される。また、図５（ｃ）に示すように、各トラフィック量Ｔ１〜Ｔ３の上昇下降の傾向がベクトルＶａ，Ｖｂで表される。

図５（ａ）に示す水曜日のトラフィック量Ｔ３が、符号Ｔ３ｂで示す波形のようにＶ字状に急激に矢印Ｙ１方向に下降して上昇したとする。この場合、図５（ｂ）に符号Ｔ３ｃで示すように、所定の比率で平準化した各波形Ｔ１ａ〜Ｔ３ａのバランスが崩れ、水曜日のトラフィック量がＶ字状に下方へ向かって急激に変動する。

この際、図５（ｃ）に示すように、水曜日を除く他の曜日のベクトルＶａは右肩上がりの傾斜方向を向いているが、水曜日のＶ字状の変動部分のベクトルＶｂは、右肩下がりの傾斜方向を向くこととなる。このようにベクトルＶｂが変動して他のベクトルＶａと異なる場合、変動ベクトルＶｂに対応する部分の波形を、図５（ｄ）に符号Ｔ３ｄで示すように反転して表す。この反転した山形波形Ｔ３ｄが予め定められた所定値の閾値ｔｈ１を超えた場合に、トラフィック量の異常としてアラームを発動する。このように、異常な挙動をしているネットワーク装置を特定することができる。この技術では、複数のトラフィック量Ｔ１〜Ｔ３のバランスを見ながら異常を検知するので、平日や土日等の休日といった週変動や特異日の影響を受けにくくなる。

特開２０１２−００７５９０号公報 特開２０１２−２５８０７７号公報

しかし、上述したバランス解析技術では、図５（ｂ）に示すようにトラフィック量Ｔ１ａ〜Ｔ３ａの比率を用いることで特異日の影響を軽減している。この手法は多くの場合有効である。しかし、企業で使われている電話サービスのように平日と休日等のようにトラフィック量に極めて大きな差の変動パターンが存在する場合、平日と休日とで波形が平準化されないため、正常時のベクトル表現に傾きの違いが生じる。このため、上述したようにベクトルで異常を適正に検知できなくなるケースが生じる。

そこで、特許文献２に記載の技術のように、複数のネットワーク装置をグルーピングし、装置間のトラフィック量の時系列データの比率を算出する。各比率の時系列データに所定の解析モデル（後述）を適用し、通常時と異なる変動を検出した場合、異常とすることでネットワーク装置のサービスに応じたトラフィック量を監視している。なお、解析モデルとは、例えば、通常時は各時系列データの比率が不変であるため、比率が一定以上変動した場合に異常と判定するためのモデルである。この他、通常時は、比率が周期Ｔで変動するため、その周期Ｔが一定値を超えて変動した場合、異常と判定するモデルもある。

このような解析モデルの例を説明する。例えば、図６（ａ）の横軸に時間ｔ、縦軸にトラフィック量を表したグラフに、平日の変動パターンＰ１と、土日の休日の変動パターンＰ２とを表す。各パターンＰ１，Ｐ２は、時間ｔ軸に、３分間隔で１点のトラフィックデータをプロットして表したものである。１日が２４時間なので、これに６０分を掛け、この結果を３分で割った値を、４８０ポイントとしている。つまり、時間ｔ軸は１日を、（２４時間×６０分）÷３分＝４８０ポイントとしている。

しかし、その１日のトラフィック量では、平日変動パターンＰ１の昼休みにおいて符号Ｐ１ａで示すように、トラフィック量がＶ字状に急激に下降して上昇する。一方、休日変動パターンＰ２ではそのような変動はない。この際の平日と休日の変動パターンＰ１，Ｐ２を図６（ｂ）に示すようにバランス値で表す。このバランス値は、各変動パターンＰ１，Ｐ２を平日及び休日毎にミラー状態として波形で表したものである。

ここで、解析モデルにおける同じ基準パターンで、各パターンＰ１，Ｐ２を判断すると何れかで不整合が生じる。例えば、平日変動パターンＰ１に応じた基準パターンで、平日変動パターンＰ１を比較して判定すると、昼休み時間はパターンＰ１がＶ字状に立ち下がっているが、正常と判定される。しかし、休日変動パターンＰ２は、昼休み時間がたち下がっていないので異常と判定される。このように、休日変動パターンＰ２は、実際の休日に応じたパターンであるので本来は正常であるが、異常と判定されてしまい、本来の結果と異なる判定となる。このように監視対象の時系列データが、平日と休日や、朝と夜等の異なる変動パターンを持つ場合、変動の異常を適正に検知できないという問題があった。

このため、例えばカレンダ情報（日付、平日や休日情報）等をシステムに導入し、この導入した値を用いて、適用した解析モデルを変更することで精度の改善を図ることも行なわれている。しかし、この場合、休暇推奨日、午前又は午後休み、創立記念日等の特別休日、会社毎に異なる盆休みや年末年始等のように、カレンダ情報からは判断できない特異日が発生してしまう。この場合も、時系列データの変動の異常を適正に検知できなくなる。

更には、電話のトラフィックでは、例えば人気のコンサートチケット販売開始後に急激にトラフィックが上昇変動したり、地震発生時等でもトラフィックが急激に変動する。このような突発的な変動は、カレンダ情報を適用した解析モデルでは対応できず、事前に人が予測して登録しておくこともできない。このため、時系列データの変動の異常を適正に検知できなくなる。

本発明は、このような事情に鑑みてなされたものであり、ネットワーク装置の通信トラフィック等の時系列データの特定不能な変動による異常を適正に検知することができる時系列データ異常監視装置及び時系列データ異常監視方法を提供することを課題とする。

上記課題を解決するための手段として、請求項１に係る発明は、ネットワーク装置の通信トラフィックによる時系列データの変動を監視し、当該時系列データの異常を検知する時系列データ異常監視装置であって、前記時系列データから異なる条件に応じた各種の変動パターンを求め、当該各種変動パターンを記憶手段に分類して保存する算出部と、前記時系列データの現存しない将来の値である推定値を推定して求める推定部と、前記推定された推定値の時間帯に対応する過去の各種変動パターンを前記記憶手段から取得し、この取得された各種変動パターンの各々と前記推定値とを比較し、当該推定値と前記各種変動パターンの各々との複数の差分を求める比較部と、前記比較部で求められた複数の差分の内、最も小さい差分に対応する変動パターンを適応モデルとして選択する選択部と、前記選択された適応モデルとしての変動パターンに対応する前記時系列データが、予め定められた閾値を超える場合に異常と検知する異常検知部とを備えることを特徴とする時系列データ異常監視装置である。

請求項３に係る発明は、ネットワーク装置の通信トラフィックによる時系列データの変動を監視し、当該時系列データの異常を検知する異常監視装置による時系列データ異常監視方法であって、前記異常監視装置は、前記時系列データから異なる条件に応じた各種の変動パターンを求め、当該各種変動パターンを記憶手段に分類して保存するステップと、前記時系列データの現存しない将来の値である推定値を推定して求めるステップと、前記推定された推定値の時間帯に対応する過去の各種変動パターンを前記記憶手段から取得し、この取得された各種変動パターンの各々と前記推定値とを比較し、当該推定値と前記各種変動パターンの各々との複数の差分を求めるステップと、当該求められた複数の差分の内、最も小さい差分に対応する変動パターンを適応モデルとして選択するステップと、前記選択された適応モデルとしての変動パターンに対応する前記時系列データが、予め定められた閾値を超える場合に異常と検知するステップとを実行することを特徴とする装置監視制御方法である。

請求項１の構成及び請求項３の方法によれば、時系列データの将来の値である推定値を求め、この推定値と同じ時間帯の過去の各種変動パターンの内、推定値との差分が最も小さい変動パターンを適応モデルとして選択する。そして、選択された適応モデルとしての変動パターンに対応する現在の時系列データが所定の閾値を超える場合に異常と検知するようにした。このため、現在の時系列データに対応した適応モデルで、その時系列データの変動を検知できる。従って、ネットワーク装置の通信トラフィック等の時系列データの特定不能な変動による異常を適正に検知することができる。

請求項２に係る発明は、前記推定部は、前記時系列データを時系列順に所定時間保持し、この保持した所定時間幅の時系列データに対して外挿を行って得られる、当該時系列データが存在しない範囲の外挿結果を、前記推定値として求めることを特徴とする請求項１に記載の時系列データ異常監視装置である。

この構成によれば、リアルタイムデータとしての時系列データの現存しない将来の値である推定値を、適正に推定して求めることができる。

本発明によれば、ネットワーク装置の通信トラフィック等の時系列データの特定不能な変動による異常を適正に検知することができる時系列データ異常監視装置及び時系列データ異常監視方法を提供することができる。

本発明の第１実施形態に係る時系列データ異常監視装置の構成を示すブロック図である。 横軸に時間ｔ、縦軸にトラフィック量を表したグラフであり、（ａ）は平日の変動パターンＰ１と、土日の休日の変動パターンＰ２とを表すグラフ図、（ｂ）は時系列データの将来の値の推定である外挿結果を表すグラフ図、（ｃ）は他の時系列データの外挿結果を表すグラフ図である。 時系列データの将来の値の推定である外挿の説明図である。 本実施形態の時系列データ異常監視装置によるネットワーク装置の通信トラフィックの異常を検知する動作を説明するためのフローチャートである。 従来の月曜日から日曜日におけるトラフィック量のバランス解析技術の説明図であり、（ａ）は３つのトラフィック量Ｔ１，Ｔ２，Ｔ３のグラフ図、（ｂ）は３つのトラフィック量Ｔ１〜Ｔ３を所定の分配率で平準化したグラフ図、（ｃ）は３つのトラフィック量Ｔ１〜Ｔ３の上昇下降の傾向のベクトル図、（ｄ）は１波形のバランス崩れを示すグラフ図である。 （ａ）は横軸に時間ｔ、縦軸にトラフィック量を表したグラフに、平日の変動パターンＰ１と、土日の休日の変動パターンＰ２とを表したグラフ図、（ｂ）は平日と休日の変動パターンのバランス値をミラー状態に波形で表したグラフ図である。

以下、本発明の実施形態を、図面を参照して説明する。
＜第１実施形態の構成＞
図１は、本発明の第１実施形態に係る時系列データ異常監視装置の構成を示すブロック図である。
図１に示す時系列データ異常監視装置（異常監視装置）１０は、電話機や通信端末機等のネットワーク装置の通信トラフィックにおける特定不能な急激な変動を異常として検知するものである。この異常監視装置１０は、変動パターン算出部１１と、データ推定部１２と、比較部１３と、選択部１４と、異常検知部１５と、データ保存部１６と、変動パターン保存部１７と、異常検知結果保存部１８とを備えて構成されている。なお、変動パターン保存部１７は請求項記載の記憶手段を構成する。

異常監視装置１０には、通信機能を有するパソコン等の入出力装置２０が接続されている。入出力装置２０は、各種のネットワーク装置（図示せず）に接続されており、ネットワーク装置の通信時に計測されるトラフィック量が時系列データとして入力される。この入力された時系列データは、入出力装置２０から変動パターン算出部（算出部ともいう）１１及びデータ保存部１６へ出力される。データ保存部１６は、時系列データを時系列順に保存する。

算出部１１は、入出力装置２０から入力される時系列データに対して、平均や分散を用いたクラスタリングを行う等の変動を算出する方法で変動パターンを作成する。ここで、クラスタリングとは、例えば、時系列データの平均値を算出し、平均値が一定値以内であれば同じ変動パターンと見做して分類することである。例えば、所定の時間幅に入力された時系列データの平均値が５±１と、１０±１であるとすると、５±１の変動パターンと、１０±１の変動パターンとに分類できる。このように、時系列データに対して平均及び分散を用いたクラスタリングを行うことにより、時系列データが平均値や分散値の条件で分類され、この条件毎の変動パターンが、変動パターン保存部１７に分類されて保存される。

このように算出部１１により分類されて作成される変動パターンの一例を、図２（ａ）に示す。図２（ａ）は横軸に時間ｔ、縦軸にトラフィック量を表したグラフである。横軸の時間ｔは、１日を（２４時間×６０分）÷３分＝４８０ポイントとして表してある。この時間ｔ軸に、３分間隔の１点の時系列データ（トラフィック量）をプロットして、平日の変動パターンＰ１と、土日の休日の変動パターンＰ２とを表してある。

平日変動パターンＰ１は、時間ｔ軸において、午前０時に対応する０ポイントから会社の出勤時刻の所定時間前までの１４０ポイントまでのトラフィック量が略０付近となっている。更に、１４０ポイント付近から徐々に立ち上がった直後、急激に立ち上がり、横ばいとなっている。この後、昼休みに対応する２５０ポイント前後の時間幅で、符号Ｐ１ａで示すようにＶ字状に立ち下がった後、立ち上がって横ばいとなっている。更に、終業時刻付近に対応する３４０ポイント付近で立ち下がっている。

休日変動パターンＰ２は、０ポイントから１４０ポイントまでは平日と略同じだが、１４０ポイント付近から緩やかな傾斜で徐々に立ち上がった後、横ばいとなり、平日の終業時刻付近に対応する３４０ポイント付近から徐々に右肩下がりに立ち下がっている。

また、図１に示す算出部１１は、入出力装置２０からデータ保存部１６に保存された時系列データに対して、上記分類した変動パターンを対応付ける。この対応付けにより、保存された時系列データが、どの変動パターンに分類されるかが定義づけられる。更に、算出部１１は、入出力装置２０から入力される時系列データを、そのままの状態でデータ推定部（推定部ともいう）１２へ出力する。

推定部１２は、算出部１１より入力される時系列データを時系列順に所定時間保持し、この保持した所定時間幅の時系列データから、当該時系列データの現存しない将来の値を推定する処理を行う。この推定処理には、例えば外挿が用いられる。外挿とは、数値データを何らかの関数に当て嵌め、数値データの無い範囲（外側）の値を推定することである。簡単には、一次関数による外挿（線形外挿、直線外挿）である。これは、図３に示すように、時間ｔ軸に沿ってプロットされるトラフィック量の実測値ｊ１，ｊ２，ｊ３を、線で結んで延長した延長線上の推定値ｋ１を求めることである。

推定部１２の推定例を、図２（ｂ）及び（ｃ）を参照して説明する。推定部１２は、図２（ｂ）に示すように、まず、任意時間幅（８０ポイント幅）のウィンドウＷを定め、このウィンドウＷを時間ｔ軸上の所定位置（例えば６０〜１４０ポイント間）に定める。

推定部１２は、算出部１１からの時系列データをウィンドウＷ幅の時間軸に沿って線で結んで延長し、この延長線により推定値を求める。例えば、算出部１１から現在出力される時系列データが、平日変動パターンＰ１に対応するデータである場合、平日変動パターンＰ１の破線延長線に対応する推定値Ｐ１ｅが求められる。一方、休日変動パターンＰ２に対応するデータである場合、休日変動パターンＰ２の破線延長線に対応する推定値Ｐ２ｅが求められる。この場合、ウィンドウＷ１の６０〜１４０ポイント間の平日変動パターンＰ１及び休日変動パターンＰ２は、トラフィック量が略０付近のものなので、各変動パターンＰ１，Ｐ２に対応する推定値Ｐ１ｅ，Ｐ２ｅの双方は、あまり差が開かない。

一方、推定部１２が図２（ｃ）に示す時間帯（９０〜１７０ポイント）にウィンドウＷを設定した場合、この間に対応する平日変動パターンＰ１及び休日変動パターンＰ２は、立ち上がり過程において差が開いている。このため、推定部１２で推定したウィンドウＷ幅の平日及び休日変動パターンＰ１，Ｐ２の延長線に対応する推定値Ｐ１ｆ，Ｐ２ｆの双方には、大きな差が生じる。推定部１２は、現在入力される時系列データから求めた平日変動パターンＰ１に対応する推定値Ｐ１ｆ又は、休日変動パターンＰ２に対応する推定値Ｐ２ｆを比較部１３へ出力する。

比較部１３は、推定部１２から入力された推定値Ｐ１ｆ又はＰ２ｆに対応する時間帯の過去の平日及び休日変動パターンＰ１，Ｐ２を、変動パターン保存部１７から取得する。この取得した平日及び休日変動パターンＰ１，Ｐ２と、推定値Ｐ１ｆ又はＰ２ｆとを比較し、推定値Ｐ１ｆ又はＰ２ｆと、平日変動パターンＰ１との差分（平日差分という）及び、推定値Ｐ１ｆ又はＰ２ｆと、休日変動パターンＰ２との差分（休日差分という）を求める。これら平日差分と休日差分とを選択部１４へ出力する。

選択部１４は、平日差分と休日差分との差分が小さい方の変動パターンＰ１又はＰ２を適応モデルとして選択する。例えば、平日差分が小さければ、平日変動パターンＰ１を適応モデルとして選択する。この選択された適応モデル（例えば平日変動パターンＰ１）を異常検知部１５へ出力する。
なお、比較部１３と選択部１４を１つの機能部（例えば比較選択部）に纏めてもよい。

異常検知部１５は、選択部１４で選択された適応モデルとしての平日変動パターンＰ１に対応する時系列データをデータ保存部１６から取得し、この取得した時系列データを閾値ｔｈ２（後述）と比較して異常を検知する。異常検知部１５は、各種の変動パターン毎（平日及び休日変動パターン推定値Ｐ１ｆ，Ｐ２ｆ毎）に対応する各種の閾値ｔｈ２を、メモリ等の記憶手段（図示せず）に保存している。閾値ｔｈ２は、異常検知対象の時系列データ（トラフィック量）が異常か否かを判定するものである。

従って、異常検知部１５は、データ保存部１６から取得した時系列データを、これに対応する閾値ｔｈ２と比較して異常を検知する。例えば、異常検知部１５は、取得した平日変動パターンＰ１に対応する時系列データを、これに対応する閾値ｔｈ２と比較して異常を検知する。この際、異常検知部１５は、時系列データの平均値が閾値ｔｈ２を上回っていれば異常と検知する。

この他、異常検知部１５は、時系列データの微分から傾きを導き出し、この傾きが他の閾値ｔｈ３を上回っていれば異常と検知してもよい。なお、閾値ｔｈ３は、その傾きが所定角度を上回る傾きであれば異常と判断するためのものである。

また、異常検知部１５は、異常検知結果を異常検知結果保存部１８に保存する。この保存される異常検知結果は入出力装置２０へ通知される。なお、正常検知結果も所定の条件等に応じて保存するようにしてもよい。

＜実施形態の動作＞
次に、時系列データ異常監視装置１０によるネットワーク装置の通信トラフィックの異常を検知する動作を、図４に示すフローチャートを参照して説明する。
図４に示すステップＳ１において、入出力装置２０からネットワーク装置（図示せず）の異なる条件の通信時に計測されるトラフィック量が時系列データとして、異常監視装置１０の算出部１１に入力されると共に、データ保存部１６に時系列順に保存される。

ステップＳ２において、算出部１１は、入力される時系列データに対して、平均及び分散を用いたクラスタリング処理を行って各種の変動パターンを作成する。例えば、図２（ａ）に示すように、平日変動パターンＰ１と、休日変動パターンＰ２とが作成されたとする。この作成された各パターンＰ１，Ｐ２は、変動パターン保存部１７に保存される。

また、算出部１１は、入出力装置２０からデータ保存部１６に保存された時系列データに対して、上記ステップＳ１で作成した各変動パターンＰ１，Ｐ２を対応付ける。この対応付けにより、保存された時系列データが、どの変動パターンＰ１，Ｐ２に分類されるかが定義づけられる。更に、算出部１１は、入出力装置２０から入力される時系列データを、そのままの状態で推定部１２へ出力する。

ステップＳ３において、推定部１２は、算出部１１から取得される時系列データの現存しない将来の値（推定値）を外挿により推定する。即ち、図２（ｃ）に示す９０〜１７０ポイント間のウィンドウＷ幅の時間軸に沿って線で結び延長し、この延長線により、時系列データの将来の値であるの推定値を求める。例えば、算出部１１からリアルタイムで出力される時系列データが、平日変動パターンＰ１に対応するデータであるとすると、平日変動パターンＰ１のウィンドウＷの破線延長線に対応する推定値Ｐ１ｆが求められる。推定部１２は、その求めた推定値Ｐ１ｆを比較部１３へ出力する。

ステップＳ４において、比較部１３は、推定部１２から入力された推定値Ｐ１ｆに対応する時間帯の過去の平日及び休日変動パターンＰ１，Ｐ２を、変動パターン保存部１７から取得する。次に、ステップＳ５において、比較部１３は、その取得した平日及び休日変動パターンＰ１，Ｐ２と、推定値Ｐ１ｆとを比較し、推定値Ｐ１ｆと平日変動パターンＰ１との差分（平日差分）及び、推定値Ｐ１ｆと休日変動パターンＰ２との差分（休日差分）を求める。これら平日差分と休日差分とは選択部１４へ出力される。

ステップＳ６において、選択部１４は、休日差分と平日差分との小さい方の差分、例えば、小さい方の平日差分に対応する平日変動パターンＰ１を適応モデルとして選択する。この選択した適応モデルの平日変動パターンＰ１を異常検知部１５へ出力する。

ステップＳ７において、異常検知部１５は、上記選択された適応モデルとしての平日変動パターンＰ１に対応する時系列データをデータ保存部１６から取得する。ステップＳ８において、異常検知部１５は、その取得した時系列データの平均値と、これに対応する閾値ｔｈ２と比較する。ステップＳ９において、異常検知部１５は、上記ステップＳ８の比較において、平均値が閾値ｔｈ２を上回っているか否かを判定する。

この結果、上回っていると判定（Ｙｅｓ）された場合、異常検知部１５は、ステップＳ１０において異常と検知し、この異常検知結果を異常検知結果保存部１８に保存する。一方、上回っていないと判定（Ｎｏ）された場合は、ステップＳ１１において正常と検知する。

＜実施形態の効果＞
以上説明したように、本実施形態の時系列データ異常監視装置１０は、ネットワーク装置の通信トラフィックによる時系列データの変動を監視し、当該時系列データの異常を検知するものであり、次のような特徴構成とした。
（１）時系列データから異なる条件に応じた各種の変動パターンを求め、当該各種変動パターンを変動パターン保存部１７に分類して保存する算出部１１と、時系列データの現存しない将来の値である推定値を推定して求める推定部１２とを備える。また、その推定された推定値の時間帯に対応する過去の各種変動パターンを変動パターン保存部１７から取得し、この取得された各種変動パターンの各々と推定値とを比較し、当該推定値と各種変動パターンの各々との複数の差分を求める比較部１３と、比較部１３で求められた複数の差分の内、最も小さい差分に対応する変動パターンを適応モデルとして選択する選択部１４とを備える。更に、その選択された適応モデルとしての変動パターンに対応する時系列データが、予め定められた閾値を超える場合に異常と検知する異常検知部１５を備える構成とした。

この構成によれば、時系列データの将来の値である推定値を求め、この推定値と同じ時間帯の過去の各種変動パターンの内、推定値との差分が最も小さい変動パターンを適応モデルとして選択する。そして、選択された適応モデルとしての変動パターンに対応する現在の時系列データが所定の閾値を超える場合に異常と検知するようにした。このため、現在の時系列データに対応した適応モデルで、その時系列データの変動を検知できる。従って、ネットワーク装置の通信トラフィック等の時系列データの特定不能な変動による異常が生じても、その異常を適正に検知することができる。

（２）推定部１２は、時系列データを時系列順に所定時間保持し、この保持した所定時間幅の時系列データに対して外挿を行って得られる、当該時系列データが存在しない範囲の外挿結果を、推定値として求めるようにした。

これによって、リアルタイムデータとしての時系列データの現存しない将来の値である推定値を、適正に推定して求めることができる。

その他、具体的な構成について、本発明の主旨を逸脱しない範囲で適宜変更が可能である。

１０ 時系列データ異常監視装置（異常監視装置）
１１ 変動パターン算出部（算出部）
１２ データ推定部（推定部）
１３ 比較部
１４ 選択部
１５ 異常検知部
１６ データ保存部
１７ 変動パターン保存部
１８ 異常検知結果保存部
２０ 入出力装置

Claims (3)

1. ネットワーク装置の通信トラフィックによる時系列データの変動を監視し、当該時系列データの異常を検知する時系列データ異常監視装置であって、
   前記時系列データから異なる条件に応じた各種の変動パターンを求め、当該各種変動パターンを記憶手段に分類して保存する算出部と、
   前記時系列データの現存しない将来の値である推定値を推定して求める推定部と、
   前記推定された推定値の時間帯に対応する過去の各種変動パターンを前記記憶手段から取得し、この取得された各種変動パターンの各々と前記推定値とを比較し、当該推定値と前記各種変動パターンの各々との複数の差分を求める比較部と、
   前記比較部で求められた複数の差分の内、最も小さい差分に対応する変動パターンを適応モデルとして選択する選択部と、
   前記選択された適応モデルとしての変動パターンに対応する前記時系列データが、予め定められた閾値を超える場合に異常と検知する異常検知部と
   を備えることを特徴とする時系列データ異常監視装置。
2. 前記推定部は、前記時系列データを時系列順に所定時間保持し、この保持した所定時間幅の時系列データに対して外挿を行って得られる、当該時系列データが存在しない範囲の外挿結果を、前記推定値として求める
   ことを特徴とする請求項１に記載の時系列データ異常監視装置。
3. ネットワーク装置の通信トラフィックによる時系列データの変動を監視し、当該時系列データの異常を検知する異常監視装置による時系列データ異常監視方法であって、
   前記異常監視装置は、
   前記時系列データから異なる条件に応じた各種の変動パターンを求め、当該各種変動パターンを記憶手段に分類して保存するステップと、
   前記時系列データの現存しない将来の値である推定値を推定して求めるステップと、
   前記推定された推定値の時間帯に対応する過去の各種変動パターンを前記記憶手段から取得し、この取得された各種変動パターンの各々と前記推定値とを比較し、当該推定値と前記各種変動パターンの各々との複数の差分を求めるステップと、
   当該求められた複数の差分の内、最も小さい差分に対応する変動パターンを適応モデルとして選択するステップと、
   前記選択された適応モデルとしての変動パターンに対応する前記時系列データが、予め定められた閾値を超える場合に異常と検知するステップと
   を実行することを特徴とする装置監視制御方法。