JP2019003533A

JP2019003533A - 検知装置および検知方法

Info

Publication number: JP2019003533A
Application number: JP2017119457A
Authority: JP
Inventors: 公洋山越; Koyo Yamakoshi; 友康佐藤; Tomoyasu Sato; 南　拓也; Takuya Minami; 拓也南; 五十嵐　弓将; Yumimasa Igarashi; 弓将五十嵐; 直人藤木; Naoto Fujiki; 中津留　毅; Takeshi Nakatsuru; 毅中津留; 真徳山田; Masanori Yamada; 友貴山中; Tomoki Yamanaka
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2017-06-19
Filing date: 2017-06-19
Publication date: 2019-01-10
Anticipated expiration: 2037-06-19
Also published as: JP6753818B2

Abstract

【課題】人手を介さずに異常検知の判定閾値を変更して誤検知の発生を抑止する。【解決手段】判定部１５ａは、機器の正常動作時のアノマリスコアを用いた学習を行って判定閾値を決定し、更新部１５ｂが、機器の正常動作時の判定結果が異常であった場合の回数が所定の閾値以上になった場合に、判定部１５ａの学習により判定閾値を更新し、正常動作時の判定結果が正常であった場合のアノマリスコアのうちの最大値を正常動作時のアノマリスコアの最大値とし、異常動作時の判定結果が正常であった場合に、該アノマリスコアを異常動作時のアノマリスコアの最小値とし、該最小値が正常動作時のアノマリスコアの最大値より大きい場合に、判定閾値を該最大値と該最小値との中間の値に更新し、該最小値が該最大値以下であった場合の回数が所定の閾値以上になった場合に、判定部１５ａの学習により判定閾値を更新する。【選択図】図２

Description

本発明は、検知装置および検知方法に関する。

従来、ＰＣやサーバ等の機器のウイルス感染等の異常を検知するウイルス検知ソフトが知られている。ウイルス検知ソフトは、感染源となる悪性プログラムのシグニチャを参照して異常を検知している。この方式では、新種のウイルスが発見される都度、あるいは、一定の頻度で、悪性プログラムを定義するシグニチャファイルが更新される。したがって、新種のウイルスや亜種のウイルスに対する検知性能を低下させないため、シグニチャファイルを頻繁に更新し続ける必要がある。また、この方式では、未発見のウイルスの感染を検知することができない。

また、近年、様々な分野でＰＣやサーバとはタイプの異なるいわゆるＩｏＴ機器が利用されている。一般に、ＩｏＴ機器は、いったんシステムに導入されると、十分なセキュリティ対策が講じられないままに長期間使用される場合が多い。このようなＩｏＴ機器は、攻撃者による分析および未知の攻撃のターゲットとなりやすい。また、ＩｏＴ機器は、特殊なＯＳで構成されたり、ＣＰＵやメモリ等のリソースが不十分だったりして、ウイルス検知ソフトの導入が困難な場合が多い。

そこで、ウイルス検知ソフトを用いずに機器の異常を検知する技術が提案されている（特許文献１参照）。この技術では、機器の動作中に計測されたシステムコール回数を、予め決められた正常動作時の基準値と比較して、基準値の範囲内であれば正常と判定され、範囲外であれば異常と判定される。なお、ファームウェアの更新等により、機器の基本動作の設定が変更された場合や、動作環境が変わった場合等には、正常動作時の値は変化する場合がある。

特開２００５−２３４８４９号公報

しかしながら、従来の技術では、基準値すなわち異常検知の判定閾値の変更について考慮されていなかった。例えば、ファームウェアの更新等により、機器の基本動作の設定が変更された場合や、動作環境が変わった場合等には、正常動作時の値が当初の判定閾値から乖離して、動作の異常を判定することができない場合がある。また、その場合に、異常の検知率を改善するために判定閾値を変更するには、人手を介する手間が発生する。また、判定閾値の変更を行う間は異常の検知を停止しなければならない。

本発明は、上記に鑑みてなされたものであって、人手を介さずに異常検知の判定閾値を変更して誤検知の発生を抑止することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る検知装置は、機器から取得される動作時の特徴量から算出される、該機器の異常の度合いを表すアノマリスコアが、所定の判定閾値より小さい場合に正常と判定し、該判定閾値以上の場合に異常と判定する判定部と、前記機器の正常動作時または異常動作時における前記判定部による判定結果が所定の条件を満たした場合に、アノマリスコアを用いて前記判定閾値を更新する更新部と、を備えることを特徴とする。

本発明によれば、人手を介さずに異常検知の判定閾値を変更して誤検知の発生を抑止することができる。

図１は、本発明の一実施形態に係る検知装置を含むシステムの概略構成を例示する模式図である。図２は、検知装置の概略構成を例示する模式図である。図３は、更新部の処理を説明するための説明図である。図４は、更新部の処理を説明するための説明図である。図５は、検知処理手順を示すフローチャートである。図６は、検知プログラムを実行するコンピュータを例示する図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［システムの構成］
図１は、本実施形態の検知装置を含むシステムの概略構成を例示する模式図である。図１に例示するように、異常検知対象の機器１は、ゲートウェイ装置２およびネットワーク３を介して検知装置１０に接続される。ゲートウェイ装置２は、機器１とＬＡＮ（Local Area Network）やインターネット等のネットワーク３を介した他の装置との間の通信の特徴量や機器１の動作ログ等の機器１の特徴量を取得する。

検知装置１０は、機器１の動作時の特徴量をゲートウェイ装置２およびネットワーク３を介して取得して、機器１の異常を検知する。すなわち、検知装置１０は、機器１の動作時の特徴量から算出された機器１の異常の度合いを表すアノマリスコアが、機器１の正常動作時の特徴量を用いて学習された所定の判定閾値より小さい場合に正常と判定し、判定閾値以上の場合に異常と判定する。

また、本実施形態において、検知装置１０は、後述する検知処理により、機器１の異常動作時または正常動作時における異常／正常の判定結果を用いて、判定閾値を最適な値に更新する。

［検知装置の構成］
図２は、検知装置の概略構成を例示する模式図である。図２に例示するように、検知装置１０は、パソコン等の汎用コンピュータで実現され、入力部１１、出力部１２、通信制御部１３、記憶部１４、および制御部１５を備える。

入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して処理開始などの各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置等によって実現される。

通信制御部１３は、ＮＩＣ（Network Interface Card）等で実現され、ネットワーク３を介したゲートウェイ装置２等の外部の装置と制御部１５との通信を制御する。

記憶部１４は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、後述する検知処理により特定される正常な状態のモデルのパラメータ等が記憶される。なお、記憶部１４は、通信制御部１３を介して制御部１５と通信する構成でもよい。

制御部１５は、ＣＰＵ（Central Processing Unit）等を用いて実現され、メモリに記憶された処理プログラムを実行する。これにより、制御部１５は、図２に例示するように、判定部１５ａおよび更新部１５ｂとして機能する。なお、これらの機能部は、異なるハードウェアに実装されてもよい。

判定部１５ａは、機器１から取得される動作時の特徴量から算出される、該機器１の異常の度合いを表すアノマリスコアが、所定の判定閾値より小さい場合に正常と判定し、該判定閾値以上の場合に異常と判定する。ここで、動作時の特徴量とは、例えば、通信の特徴量や動作ログを意味する。

また、判定部１５ａは、機器１の正常動作時の特徴量を用いた学習を行って判定閾値を決定する。すなわち、判定部１５ａは、機器１の正常動作時の特徴量を学習データとして、正常動作時の特徴量から算出されたアノマリスコアを用いて、判定閾値を決定する。

具体的には、判定部１５ａは、学習データのアノマリスコアの統計分布から導出される上限値に所定のマージンを加算した値を判定閾値に決定する。例えば、アノマリスコアが正規分布に従うとの前提の下で、分散σと平均ｍとを用いた統計的手法を適用し、上限値をｍ＋２σとして、例外的な極端な値のアノマリスコアを削除する。

更新部１５ｂは、機器１の正常動作時または異常動作時における判定部１５ａによる判定結果が所定の条件を満たした場合に、アノマリスコアを用いて判定閾値を更新する。ここで、機器１の正常動作時か異常動作時かは、運用者が現場に設置された機器１の状況を確認することにより切り分けるものとする。

具体的には、更新部１５ｂは、機器１の正常動作時の判定結果が異常であった場合の回数ＮＧ１が所定の閾値ＮＧ１＿ｍａｘ以上になった場合に、機器１の前回までの学習に用いた正常動作時の特徴量と直近の正常動作時の特徴量とを所定の割合で足し合わせた特徴量を用いた判定部１５ａの学習により判定閾値を更新する。

すなわち、機器１の正常動作時の特徴量から算出されるアノマリスコアが判定閾値以上であり、判定部１５ａによる判定結果が異常であった場合に、更新部１５ｂは、過検知とみなし、過検知の回数を計数する。また、この回数ＮＧ１が所定の閾値ＮＧ１＿ｍａｘ以上になった場合に、更新部１５ｂは、判定部１５ａに、機器１の前回までの学習に用いた正常動作時の特徴量と直近の正常動作時の特徴量とを所定の割合で足し合わせた特徴量を用いた学習を実施させる。これにより、更新部１５ｂは、正常動作に偏りが生じることなく学習し、上記の上限値を用いた判定閾値を更新する。

また、更新部１５ｂは、機器１の正常動作時の判定結果が正常であった場合のアノマリスコアのうちの最大値を正常動作時のアノマリスコアの最大値とする。また、更新部１５ｂは、機器１の異常動作時の判定結果が正常であった場合に、このときのアノマリスコアを異常動作時のアノマリスコアの最小値とする。

そして、更新部１５ｂは、異常動作時のアノマリスコアの最小値が正常動作時のアノマリスコアの最大値より大きい場合に、判定閾値を正常動作時のアノマリスコアの最大値と異常動作時のアノマリスコアの最小値との中間の値に更新する。また、更新部１５ｂは、該最小値が最大値以下であった場合の回数ＮＧ２が所定の閾値ＮＧ２＿ｍａｘ以上になった場合に、前回までの学習に用いた正常動作時の特徴量と直近の正常動作時の特徴量とを所定の割合で足し合わせた特徴量を用いた判定部１５ａの学習により、判定閾値を更新する。

ここで、図３および図４を参照して、更新部１５ｂの処理について説明する。図３および図４は、更新部１５ｂの処理を説明するための説明図である。更新部１５ｂは、機器１の正常動作が正しく正常と判定された場合に、このときのアノマリスコアを正常動作時のアノマリスコアとし、正常動作時のアノマリスコアの最大値を特定する。また、更新部１５ｂは、機器１の異常動作が誤って正常と判定された場合に、検知漏れとみなし、このときのアノマリスコアを異常動作時のアノマリスコアの最小値とする。そして、更新部１５ｂは、正常動作時のアノマリスコアの最大値と異常動作時のアノマリスコアの最小値とを比較する。

図３に例示するように、異常動作時のアノマリスコアの最小値が正常動作時のアノマリスコアの最大値より大きい場合に、更新部１５ｂは、判定閾値を更新する。この場合に、更新部１５ｂは、異常動作時のアノマリスコアの最小値と正常動作時のアノマリスコアの最大値との中間の値を更新後の判定閾値とする。

この判定閾値は、異常動作時のアノマリスコアの最小値と正常動作時のアノマリスコアの最大値との間の１：１の中間の値に限定されない。例えば、正常動作時のアノマリスコア数と異常動作時のアノマリスコア数との比率に応じた比率の、例えば、２：１となる間の値としてもよい。

一方、図４に例示するように、異常動作時のアノマリスコアの最小値が正常動作時のアノマリスコアの最大値以下であった場合に、更新部１５ｂは、判定閾値の更新不可として、更新不可の回数を計数する。この回数ＮＧ２が所定の閾値ＮＧ２＿ｍａｘ以上になった場合に、更新部１５ｂは、判定部１５ａに、前回までの学習に用いた正常動作時の特徴量と直近の正常動作時の特徴量とを所定の割合で足し合わせた特徴量を用いた学習を実施させる。これにより、更新部１５ｂは、正常動作に偏りが生じることなく学習し、上記の上限値を用いた判定閾値を更新する。

なお、更新部１５ｂは、機器１の異常動作時の判定結果が異常であった場合のアノマリスコアのうちの最小値を異常動作時のアノマリスコアの最小値とし、判定閾値を異常動作時のアノマリスコアの最小値と正常動作時のアノマリスコアの最大値との中間の値に更新してもよい。すなわち、更新部１５ｂは、異常動作が正しく異常と判定された場合にも、異常動作時のアノマリスコアの最小値と正常動作時のアノマリスコアの最大値との中間の値で判定閾値を更新してもよい。

また、上記実施形態では、更新部１５ｂは、過検知の回数ＮＧ１や、検知漏れかつ異常動作時のアノマリスコアの最小値と正常動作時のアノマリスコアの最大値とを用いた判定閾値の更新不可の回数ＮＧ２として、発生回数を計数しているが、これに限定されない。例えば単位時間当たりの発生回数を計数してもよい。

また、回数ＮＧ１または回数ＮＧ２がそれぞれ閾値ＮＧ１＿ｍａｘ、ＮＧ２＿ｍａｘに達していない場合にも、機器１のファームウェアの更新や設定変更等により動作条件の変更が想定される場合には、判定閾値を更新してもよい。その場合に、更新部１５ｂは、動作条件の変更後の特徴量を取得して、判定部１５ａの学習を実施させることにより、判定閾値を更新する。

［検知処理］
次に、図５を参照して、本実施形態に係る検知装置１０による検知処理について説明する。図５は、検知処理手順を示すフローチャートである。図５のフローチャートは、例えば、検知処理の開始を指示する操作入力があったタイミングで開始される。

検知処理は、初期設定フェーズと運用フェーズとに分類される。まず、初期設定フェーズでは、判定部１５ａが、直近の正常動作時のアノマリスコアを用いた学習により、アノマリスコアの上限値を用いて判定閾値を決定する。その際、更新部１５ｂが後述する処理で用いる回数ＮＧ１および回数ＮＧ２のカウンタ値が０に初期設定される（ステップＳ１〜Ｓ２）。

次に、運用フェーズでは、判定部１５ａが、機器１の直近の動作時の特徴量を取得してアノマリスコアを算出し（ステップＳ３〜Ｓ４）、判定閾値を用いて正常か異常かの判定を行う（ステップＳ５）。

判定結果が異常であった場合に（ステップＳ５，Ｙｅｓ）、運用者により異常動作時と確認されていれば（ステップＳ６，Ｙｅｓ）、判定部１５ａが正しく異常と判定したことを意味する（ステップＳ７）。この場合に、更新部１５ｂはステップＳ３に処理を戻す。

判定結果が異常であった場合に（ステップＳ５，Ｙｅｓ）、運用者により正常動作時と確認されていれば（ステップＳ６，Ｎｏ）、判定部１５ａが真の正常を異常とした過検知であることを意味する（ステップＳ８）。この場合に、更新部１５ｂは、過検知の回数ＮＧ１に１を加算する（ステップＳ９）。

回数ＮＧ１が所定の閾値ＮＧ１＿ｍａｘ未満であれば（ステップＳ１０，Ｙｅｓ）、更新部１５ｂは、ステップＳ３に処理を戻す。一方、回数ＮＧ１が所定の閾値ＮＧ１＿ｍａｘ以上になった場合に（ステップＳ１０，Ｎｏ）、更新部１５ｂは、ステップＳ１に処理を戻し、前回までの学習に用いた正常動作時の特徴量と直近の正常動作時の特徴量とを所定の割合で足し合わせた特徴量を用いた判定部１５ａの学習により、判定閾値を更新する。

ステップＳ５の処理において、判定結果が正常であった場合に（ステップＳ５，Ｎｏ）、運用者により正常動作時と確認されていれば（ステップＳ１１，Ｙｅｓ）、判定部１５ａが正しく正常と判定したことを意味する（ステップＳ１２）。この場合に、更新部１５ｂは、このときのアノマリスコアを正常動作時のアノマリスコアとし、正常動作時のアノマリスコアの最大値を特定して更新した後（ステップＳ１３）、ステップＳ３に処理を戻す。

判定結果が正常であった場合に（ステップＳ５，Ｎｏ）、運用者により異常動作時と確認されていれば（ステップＳ１１，Ｎｏ）、判定部１５ａが真の異常を正常とした検知漏れであることを意味する（ステップＳ１４）。この場合に、更新部１５ｂは、このときのアノマリスコアを用いて異常動作時のアノマリスコアの最小値を更新する（ステップＳ１５）。

また、更新部１５ｂは、正常動作時のアノマリスコアの最大値と異常動作時のアノマリスコアの最小値とを比較して、判定閾値の更新が可能か否かを確認する（ステップＳ１６）。異常動作時のアノマリスコアの最小値が正常動作時のアノマリスコアの最大値より大きく、判定閾値の更新が可能な場合に（ステップＳ１６，Ｙｅｓ）、更新部１５ｂは、この最小値とこの最大値との中間の値を用いて判定閾値を更新した後（ステップＳ１７）、ステップＳ３に処理を戻す。

一方、異常動作時のアノマリスコアの最小値が正常動作時のアノマリスコアの最大値以下であり、判定閾値の更新が不可能な場合に（ステップＳ１６，Ｎｏ）、更新部１５ｂは、更新不可の回数ＮＧ２に１を加算する（ステップＳ１８）。

回数ＮＧ２が所定の閾値ＮＧ２＿ｍａｘ未満であれば（ステップＳ１９，Ｙｅｓ）、更新部１５ｂは、ステップＳ３に処理を戻す。一方、回数ＮＧ２が所定の閾値ＮＧ２＿ｍａｘ以上になった場合に（ステップＳ１９，Ｎｏ）、更新部１５ｂは、ステップＳ１に処理を戻し、前回までの学習に用いた正常動作時の特徴量と直近の正常動作時の特徴量とを所定の割合で足し合わせた特徴量を用いた判定部１５ａの学習により、判定閾値を更新する。

以上、説明したように、本実施形態の検知装置１０において、判定部１５ａが、機器１から取得される動作時の特徴量から算出される、該機器１の異常の度合いを表すアノマリスコアが、所定の判定閾値より小さい場合に正常と判定し、該判定閾値以上の場合に異常と判定する。また、更新部１５ｂは、機器１の正常動作時または異常動作時における判定部１５ａによる判定結果が所定の条件を満たした場合に、アノマリスコアを用いて判定閾値を更新する。

これにより、検知装置１０は、機器１の正常動作の判定閾値が初期値から乖離した場合にも、人手を介さずに判定閾値の更新を行って、過検知や検知漏れ等の誤検知の発生を抑止できる。また、機器の動作環境の変化に基づいて誤検知率が増加する場合にも、判定閾値の頻繁な学習による更新を抑止できるので、学習に伴う異常検知の処理の停止時間を必要最低限に抑えることができる。このように、本実施形態の検知装置１０により、人手を介さずに異常検知の判定閾値を変更して誤検知の発生を抑止することができる。

［プログラム］
上記実施形態に係る検知装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、検知装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の検知処理を実行する検知プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の検知プログラムを情報処理装置に実行させることにより、情報処理装置を検知装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）などの移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistants）などのスレート端末などがその範疇に含まれる。

また、検知装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の検知処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、検知装置１０は、機器１の動作時の特徴量を入力とし、正常か異常かの判定結果を出力する検知処理サービスを提供するサーバ装置として実装される。この場合、検知装置１０は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の検知処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。以下に、検知装置１０と同様の機能を実現する検知プログラムを実行するコンピュータの一例を説明する。

図６は、検知プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。

ここで、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。

また、検知プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した検知装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。

また、検知プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。

１機器
２ゲートウェイ装置
３ネットワーク
１０検知装置
１１入力部
１２出力部
１３通信制御部
１４記憶部
１５制御部
１５ａ判定部
１５ｂ更新部

Claims

機器から取得される動作時の特徴量から算出される、該機器の異常の度合いを表すアノマリスコアが、所定の判定閾値より小さい場合に正常と判定し、該判定閾値以上の場合に異常と判定する判定部と、
前記機器の正常動作時または異常動作時における前記判定部による判定結果が所定の条件を満たした場合に、アノマリスコアを用いて前記判定閾値を更新する更新部と、
を備えることを特徴とする検知装置。
前記判定部は、前記機器の正常動作時の特徴量を用いた学習を行って前記判定閾値を決定し、
前記更新部は、前記機器の正常動作時の前記判定結果が異常であった場合の回数が所定の閾値以上になった場合に、前記機器の前回までの学習に用いた正常動作時の特徴量と直近の正常動作時の特徴量とを所定の割合で足し合わせた特徴量を用いた前記判定部の学習により前記判定閾値を更新し、
前記機器の正常動作時の前記判定結果が正常であった場合のアノマリスコアのうちの最大値を正常動作時のアノマリスコアの最大値とし、
前記機器の異常動作時の前記判定結果が正常であった場合に、該アノマリスコアを異常動作時のアノマリスコアの最小値とし、該最小値が前記最大値より大きい場合に、前記判定閾値を該最大値と該最小値との中間の値に更新し、該最小値が前記最大値以下であった場合の回数が所定の閾値以上になった場合に、前記機器の前回までの学習に用いた正常動作時の特徴量と直近の正常動作時の特徴量とを所定の割合で足し合わせた特徴量を用いた前記判定部の学習により前記判定閾値を更新することを特徴とする請求項１に記載の検知装置。
前記更新部は、前記機器の異常動作時の前記判定結果が異常であった場合のアノマリスコアのうちの最小値を異常動作時のアノマリスコアの最小値とし、前記判定閾値を該最小値と前記最大値との中間の値に更新することを特徴とする請求項２に記載の検知装置。
検知装置で実行される検知方法であって、
機器から取得される動作時の特徴量から算出される、該機器の異常の度合いを表すアノマリスコアが、所定の判定閾値より小さい場合に正常と判定し、該判定閾値以上の場合に異常と判定する判定工程と、
前記機器の正常動作時または異常動作時における前記判定工程における判定結果が所定の条件を満たした場合に、アノマリスコアを用いて前記判定閾値を更新する更新工程と、
を含むことを特徴とする検知方法。