JP2019061565A - 異常診断方法および異常診断装置 - Google Patents

異常診断方法および異常診断装置 Download PDF

Info

Publication number
JP2019061565A
JP2019061565A JP2017186889A JP2017186889A JP2019061565A JP 2019061565 A JP2019061565 A JP 2019061565A JP 2017186889 A JP2017186889 A JP 2017186889A JP 2017186889 A JP2017186889 A JP 2017186889A JP 2019061565 A JP2019061565 A JP 2019061565A
Authority
JP
Japan
Prior art keywords
abnormality
group
abnormal
observation
value
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2017186889A
Other languages
English (en)
Other versions
JP7010641B2 (ja
Inventor
達海 大庭
Tatsumi Oba
達海 大庭
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Corp of America
Original Assignee
Panasonic Intellectual Property Corp of America
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Corp of America filed Critical Panasonic Intellectual Property Corp of America
Priority to JP2017186889A priority Critical patent/JP7010641B2/ja
Priority to CN201811086036.0A priority patent/CN109558293B/zh
Priority to US16/136,408 priority patent/US10817394B2/en
Priority to EP18195899.2A priority patent/EP3462267B1/en
Publication of JP2019061565A publication Critical patent/JP2019061565A/ja
Priority to JP2022003718A priority patent/JP7325557B2/ja
Application granted granted Critical
Publication of JP7010641B2 publication Critical patent/JP7010641B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/22—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing
    • G06F11/2257—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing using expert systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3055—Monitoring arrangements for monitoring the status of the computing system or of the computing system component, e.g. monitoring if the computing system is on, off, available, not available
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0259—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the response to fault detection
    • G05B23/0275—Fault isolation and identification, e.g. classify fault; estimate cause or root of failure
    • G05B23/0281—Quantitative, e.g. mathematical distance; Clustering; Neural networks; Statistical analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3447—Performance evaluation by modeling
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Mathematical Physics (AREA)
  • Quality & Reliability (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Mathematical Analysis (AREA)
  • Probability & Statistics with Applications (AREA)
  • Computing Systems (AREA)
  • Algebra (AREA)
  • Mathematical Optimization (AREA)
  • Automation & Control Theory (AREA)
  • Pure & Applied Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Medical Informatics (AREA)
  • Evolutionary Biology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Testing And Monitoring For Control Systems (AREA)
  • Testing Of Devices, Machine Parts, Or Other Structures Thereof (AREA)

Abstract

【課題】異常の原因を効果的に特定することができる異常診断方法を提供する。【解決手段】異常診断方法は、監視対象の状態を観測することにより得られた、状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置１００が実行する異常診断方法であって、異常診断装置は、プロセッサおよびメモリを備え、メモリは複数の観測値を用いた学習により生成された異常検知モデルを記憶しており、プロセッサは互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、観測値を取得し、メモリから読み出した異常検知モデルを用いて観測値が異常であるか否かを判定し、観測値が異常であると判定した場合、当該観測値とグループ情報で示される１以上のグループとに基づいて、当該観測値の１以上のグループのうち、異常の原因であるグループを特定する。【選択図】図９

Description

本発明は、多次元情報における異常に寄与する変数を特定する異常診断方法および異常診断装置に関する。
従来、特許文献１〜４および非特許文献１において開示されているように、複数の変数の観測値に異常があるか否かを診断することで、異常を検知することが知られている。
特許第６０７６７５１号公報 特許第５８５８８３９号公報 特許第５８１１６８３号公報 特許第５１０８１１６号公報
Ｓｏｍｍｅｒ， Ｒｏｂｉｎ， ａｎｄ Ｖｅｒｎ Ｐａｘｓｏｎ． "Ｏｕｔｓｉｄｅ ｔｈｅ ｃｌｏｓｅｄ ｗｏｒｌｄ： Ｏｎ ｕｓｉｎｇ ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ ｆｏｒ ｎｅｔｗｏｒｋ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ．" Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ （ＳＰ）， ２０１０ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ． ＩＥＥＥ， ２０１０． Ｍ． Ｔａｖａｌｌａｅｅ， Ｅ． Ｂａｇｈｅｒｉ， Ｗ． Ｌｕ， ａｎｄ Ａ． Ｇｈｏｒｂａｎｉ， "Ａ Ｄｅｔａｉｌｅｄ Ａｎａｌｙｓｉｓ ｏｆ ｔｈｅ ＫＤＤ ＣＵＰ ９９ Ｄａｔａ Ｓｅｔ，" Ｓｕｂｍｉｔｔｅｄ ｔｏ Ｓｅｃｏｎｄ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｏｍｐｕｔａｔｉｏｎａｌ Ｉｎｔｅｌｌｉｇｅｎｃｅ ｆｏｒ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｄｅｆｅｎｓｅ Ａｐｐｌｉｃａｔｉｏｎｓ （ＣＩＳＤＡ）， ２００９． Ｍｉｋｏｌｏｖ， Ｔｏｍａｓ， ｅｔ ａｌ． "Ｄｉｓｔｒｉｂｕｔｅｄ ｒｅｐｒｅｓｅｎｔａｔｉｏｎｓ ｏｆ ｗｏｒｄｓ ａｎｄ ｐｈｒａｓｅｓ ａｎｄ ｔｈｅｉｒ ｃｏｍｐｏｓｉｔｉｏｎａｌｉｔｙ．" Ａｄｖａｎｃｅｓ ｉｎ ｎｅｕｒａｌ ｉｎｆｏｒｍａｔｉｏｎ ｐｒｏｃｅｓｓｉｎｇ ｓｙｓｔｅｍｓ． ２０１３． Ｙａｎｇ， Ｓｅｎ， ｅｔ ａｌ． "Ｆｅａｔｕｒｅ ｇｒｏｕｐｉｎｇ ａｎｄ ｓｅｌｅｃｔｉｏｎ ｏｖｅｒ ａｎ ｕｎｄｉｒｅｃｔｅｄ ｇｒａｐｈ．" Ｇｒａｐｈ Ｅｍｂｅｄｄｉｎｇ ｆｏｒ Ｐａｔｔｅｒｎ Ａｎａｌｙｓｉｓ． Ｓｐｒｉｎｇｅｒ Ｎｅｗ Ｙｏｒｋ， ２０１３． ２７−４３． Ｓｏｎｇ， Ｊｉｎｇｐｉｎｇ， Ｚｈｉｌｉａｎｇ Ｚｈｕ， ａｎｄ Ｃｈｒｉｓ Ｐｒｉｃｅ． "Ｆｅａｔｕｒｅ ｇｒｏｕｐｉｎｇ ｆｏｒ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ ｂａｓｅｄ ｏｎ ｈｉｅｒａｒｃｈｉｃａｌ ｃｌｕｓｔｅｒｉｎｇ．" Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ａｖａｉｌａｂｉｌｉｔｙ， Ｒｅｌｉａｂｉｌｉｔｙ， ａｎｄ Ｓｅｃｕｒｉｔｙ． Ｓｐｒｉｎｇｅｒ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｐｕｂｌｉｓｈｉｎｇ， ２０１４．
本開示は、異常の原因を効果的に特定することができる異常診断方法及び異常診断装置を提供する。
本開示の一態様に係る異常診断方法は、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置が実行する異常診断方法であって、前記異常診断装置は、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、当該観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する。
本開示の一態様に係る異常診断装置は、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置であって、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせによりそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、取得した前記観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、前記観測値の前記１以上のグループのうち、異常の原因であるグループを特定する。
なお、これらの全般的または具体的な態様は、システム、装置、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、装置、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
本開示における異常診断方法および異常診断装置は、異常の原因を効果的に特定することができる。
図１は、実施の形態に係る異常診断システムの概略図である。 図２は、実施の形態に係る異常診断装置のハードウェア構成の一例を示すブロック図である。 図３は、本実施の形態に係る異常診断システムにおける監視対象の一例を示す図である。 図４は、本実施の形態における異常診断装置の機能構成の一例を示すブロック図である。 図５は、監視対象から取得された観測データの一例を示す図である。 図６Ａは、本実施の形態における異常診断装置のグループを設定するためにディスプレイに表示されるＵＩの一例を示す図である。 図６Ｂは、本実施の形態における異常診断装置のグループを設定するためにディスプレイに表示されるＵＩの一例を示す図である。 図７は、実施の形態におけるオートエンコーダを示す図である。 図８は、実施の形態に係る異常検知モデルの生成処理の一例を示すフローチャートである。 図９は、実施の形態に係る異常検知モデルを用いた判定処理の一例を示すフローチャートである。 図１０は異常の原因であるグループを特定する特定処理の一例を示すフローチャートである。
（本発明の基礎となった知見）
近年、工場などの設備では、ＩＴ化や自動化が高度に進んでいる。設備を効率よく、かつ、安全に自動化するためには、正確なセンシングと適切なフィードバックとが必要不可欠である。このため、故障、サイバー攻撃などによる異常を検知する異常検知は、設備の不良による大きな損害を事前に回避するために極めて重要な技術である。
その一方で、適切に異常を捉えることができたとしても、何が原因で異常が起きているのか、その原因を追究することは、また別の困難さをはらんでいる。機械学習における一般的な異常検知の手法では、正常状態では発生する可能性が低いイベントを検知するのみであり、その異常の原因についての情報は得られない。そのため、異常検知は、正常状態でないことが様々な可能性を含むネットワークなどの分野においては特に、あまり有効に活用されていないのが現状である（非特許文献１）。
異常が起きた原因を特定するために、観測された値のどの変数が特に異常に大きく寄与しているかを特定することは有効である。例えばセンサが故障した場合には、故障したセンサの観測値だけが異常な値を示すはずである。このため、観測値が異常であると特定できた場合には、速やかに観測値が得られたセンサの故障という原因にたどり着くことができる（特許文献１、２）。
しかし、現実に生じる異常診断では、上記のような、故障したセンサの特定などが目的であることばかりではない。実際には、ある１つの根本的な現象または原因が複数のセンサなどの観測値に影響を及ぼす場面は多い。例えば数学のテストの点数と物理のテストの点数とは、いずれも数理的思考力という根本的な要因に影響を受ける。このため、両者の点数は高い相関関係にあると言える。このように、根本要因に影響を与える異常な現象が、同時に複数の変数に影響を及ぼすことになる。
また、特許文献３の手法では、ある変数に異常の可能性があると判断されると、その変数と強い相関を持つ複数の変数が抽出される。強い相関を持つ変数同士は、共通の要素に影響を受けている可能性が高い。このため、この方法は異常診断にも役立つ。特許文献４の手法も同様に強い相関を持つ変数を共線性データ項目としてまとめている。
しかし、前述の方法は、化学プラントなどにおける設備またはセンサの故障診断など、物理的なシステムを対象としていた。このため、ネットワークを流れるパケットの不正なパラメータを検出する目的など、異常診断のモデルがより複雑な場合、または、悪意を持ってパラメータを操作される場合には、異常となる変数を効果的に特定できない場合がある。
具体的には、サイバー攻撃、マルウェアなどが進化を続けてくる中で、侵入検知システム（ＩＤＳ：Intrusion Detection System）、または、侵入防止システム（ＩＰＳ：Intrusion prevention system）を導入することで、攻撃などを未然に防ぐことが不可欠となってきた。侵入検知システムまたは侵入防止システムは、コンピュータまたはネットワークに対する不正行為を検知または防御するシステムである。
しかし、昨今の攻撃の多様化に伴い、従来用いられてきたシグネチャ型の検知システムでは不正通信を捉えきれなくなってきた。このため、アノマリ型と呼ばれる異常検知のシステムが必要になってきた。シグネチャ型が既知のパターンにしか適用できないのに対して、アノマリ型は未知の攻撃パターンも検知できる可能性がある。しかし、異常を検知できたところで、具体的に何が異常なのかわからない上に、膨大な異常検知アラートを発するため、ユーザが対応に追われてしまうという問題があった。
このような課題を解決するため、本開示の一実施様態の異常診断方法は、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置が実行する異常診断方法であって、前記異常診断装置は、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、当該観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する。
これにより、広範な問題に対して高精度に異常の原因となるグループを特定することができる。
また、前記異常検知モデルは、前記複数の観測値を用いて、前記学習としてのオートエンコーダ、変分オートエンコーダ、および、１クラスサポートベクトルマシンのうちの少なくとも１つによって生成されたモデルであってもよい。
これにより、既によい性能を発揮することが知られている異常検知を用いて観測値が異常であるかを判定することができる。また、異常検知が出力するスコアを用いて、自然な損失関数を用いた異常診断を行うことが容易にできる。
また、前記観測値が異常であるか否かの判定では、前記異常検知モデルに前記観測値を入力することでスコアを算出し、算出した前記スコアが予め定められた第１の閾値以上の場合、取得した前記観測値が異常であると判定し、算出した前記スコアが前記第１の閾値未満の場合、取得した前記複数の観測値が異常でないと判定してもよい。
このため、効果的に観測値の異常を検知することができる。
また、前記異常検知モデルは、学習用の正常な複数の前記観測値と、診断用の複数の前記観測値との確率密度比に基づいて生成されたモデルであり、前記観測値の取得では、複数の前記観測値を取得し、前記観測値が異常であるか否かの判定では、前記メモリから読み出した前記異常検知モデルと、取得した前記複数の観測値とを用いてスコアを算出し、算出した前記スコアが予め定められた第１の閾値以上の場合、取得した前記複数の観測値が異常であると判定し、算出した前記スコアが前記第１の閾値未満の場合、取得した前記複数の観測値が異常でないと判定してもよい。
これにより、学習期間のデータが少ないなどの理由でモデリングが困難な場合や、診断対象データが集合として異常かどうかを判断できるようになり、異常であるならばどの変数グループに異常があるかを特定することができる。
また、前記グループの特定では、算出した前記スコアと、前記グループ情報で示される前記１以上のグループ毎に正則化することにより得られるグループ正則化項との和で構成される損失関数が極小値となる変位ベクトルを算出し、算出した前記変位ベクトルのうち、１未満の第２の閾値以上の変数を含むグループを、異常の原因であるグループとして特定してもよい。
これにより、異常の原因であるグループを効果的に特定することができる。
また、前記グループ正則化項は、グループ間では０＜ｐ≦１であり、かつ、グループ内ではｐ＞１であるＬｐ正則化を満たすとしてもよい。
これにより、異常の原因であるグループを効果的に特定することができる。
なお、これらの全般的または具体的な態様は、システム、装置、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、装置、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
以下で説明する実施の形態は、いずれも本発明の一具体例を示すものである。以下の実施の形態で示される数値、形状、構成要素、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また全ての実施の形態において、各々の内容を組み合わせることも出来る。
（実施の形態）
［１．異常診断システムの構成］
まず、本実施の形態における異常診断システムの概略構成について説明する。
図１は、実施の形態に係る異常診断システムの概略図である。
具体的には、図１において、異常診断システム１は、異常診断装置１００、サーバ２００および監視対象３００を備える。異常診断システム１では、監視対象３００の状態を観測することにより得られたデータである観測データが監視対象３００からサーバ２００に送信される。サーバ２００に受信された観測データは、サーバ２００に蓄積される。異常診断装置１００は、サーバ２００に蓄積された観測データを取得する。異常診断装置１００は、例えば、定期的にサーバ２００に蓄積された観測データを取得してもよいし、リアルタイムにサーバ２００に蓄積された観測データを取得してもよい。
異常診断装置１００は、取得した観測データを用いて、観測データに異常である観測値が含まれているか否かを判定する。これにより、異常診断装置１００は、監視対象の異常診断を行う。
監視対象３００は、異常診断の対象となるシステムである。監視対象３００は、例えば、化学プラント、制御システム、車載ネットワークシステムなどである。監視対象３００からは、観測により観測データを得ることができる。観測データは、監視対象３００の状態を示す複数の変数の値で構成される観測値を示すデータである。観測データは、監視対象３００から取得された観測値を示す複数種類のデータ列である。観測値のデータ列は、例えば時系列のベクトルにより表され、それぞれの次元が監視対象３００が含むセンサなどから得られた値である。つまり、観測値は、複数の異なるタイミングのそれぞれにおいて得られた値である。観測値は、例えば、所定の１単位の処理中に観測されることにより得られる値であって、当該処理が終了するタイミングで得られる値である。
異常診断システム１では、異常診断装置１００、サーバ２００および監視対象３００は、互いに通信可能に接続されている。例えば、異常診断システム１では、異常診断装置１００とサーバ２００とは、インターネットなどの汎用のネットワークで接続されていてもよいし、専用のネットワークで接続されていてもよい。また、異常診断システム１では、サーバ２００と監視対象３００とは、インターネットなどの汎用のネットワークで接続されていてもよいし、専用のネットワークで接続されていてもよい。
なお、異常診断システム１は、サーバ２００を備えていなくてもよい。つまり、異常診断システムは、異常診断装置１００および監視対象３００を備える構成であってもよい。この場合の異常診断システム１では、監視対象３００の状態を観測することにより得られたデータである観測データが監視対象３００から異常診断装置１００に直接送信される。また、サーバ２００を備えていない異常診断システムでは、異常診断装置１００と監視対象３００とは、互いに通信可能に接続されており、例えば、インターネットなどの汎用のネットワークで接続されていてもよいし、専用のネットワークで接続されていてもよい。
［２．ハードウェア構成］
［２−１．異常診断装置の構成］
次に、異常診断装置１００のハードウェア構成について図２を用いて説明する。
図２は、実施の形態に係る異常診断装置のハードウェア構成の一例を示すブロック図である。
図２に示すように、異常診断装置１００は、ハードウェア構成として、ＣＰＵ１０１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）と、メインメモリ１０２と、ストレージ１０３と、通信ＩＦ（Ｉｎｔｅｒｆａｃｅ）１０４と、入力ＩＦ（Ｉｎｔｅｒｆａｃｅ）１０５と、ディスプレイ１０６とを備える。
ＣＰＵ１０１は、ストレージ１０３等に記憶された制御プログラムを実行するプロセッサの一例である。
メインメモリ１０２は、ＣＰＵ１０１が制御プログラムを実行するときに使用するワークエリアとして用いられる揮発性の記憶領域、つまりメモリの一例である。
ストレージ１０３は、制御プログラム、コンテンツなどを保持する不揮発性の記憶領域、つまり、メモリの一例である。
通信ＩＦ１０４は、通信ネットワークを介してサーバ２００と通信する通信インタフェースである。通信ＩＦ１０４は、例えば、有線ＬＡＮインタフェースである。なお、通信ＩＦ１０４は、無線ＬＡＮインタフェースであってもよい。また、通信ＩＦ１０４は、ＬＡＮインタフェースに限らずに、通信ネットワークとの通信接続を確立できる通信インタフェースであれば、どのような通信インタフェースであってもよい。
入力ＩＦ１０５は、例えば、テンキー、キーボード、マウスなどの入力装置である。
ディスプレイ１０６は、ＣＰＵ１０１での処理結果を表示する表示装置である。ディスプレイ１０６は、例えば、液晶ディスプレイ、有機ＥＬディスプレイである。
［２−２．監視対象の構成］
次に、異常診断システム１における監視対象３００の一例として制御システム３１０から観測データを得る場合について説明する。
図３は、本実施の形態に係る異常診断システムにおける監視対象の一例を示す図である。図３において、異常診断システム１では、監視対象３００は、例えば、制御システム３１０である。制御システム３１０において観測されることにより得られた観測データは、サーバ２００に送信される。サーバ２００に送信されることで蓄積された観測データは、異常診断装置１００に送信され、異常診断装置１００における観測値の異常診断に用いられる。
制御システム３１０は、ルータ３１１と、スイッチングハブ３１２と、管理端末３１３と、サーバ３１４と、ＰＬＣ（Programmable Logic Controller）３１５と、センサ３１６とを備える。
ルータ３１１は、制御システム３１０と他のネットワークとの間において、データの送受信を中継する通信機器である。ルータ３１１は、受信したデータを解析し、解析した結果に基づいてデータの転送経路を選択するなどのデータの転送制御を行う。
スイッチングハブ３１２は、ルータ３１１、管理端末３１３、サーバ３１４、ＰＬＣ３１５、およびセンサ３１６と通信接続され、受信したデータを接続された機器のうち、受信したデータに含まれる宛先情報に基づく機器に転送する。スイッチングハブ３１２は、例えば、受信したデータをコピーしたデータを出力するミラーポートを有する。スイッチングハブ３１２は、ミラーポートにおいて、サーバ２００と接続されている。観測データは、スイッチングハブ３１２のミラーポート経由で抽出され、サーバ２００に送信される。
管理端末３１３は、例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、タブレット端末、スマートフォンなどである。
サーバ３１４は、コンピュータであり、例えば、管理端末３１３に所定の機能、データなどを提供する。
ＰＬＣ３１５は、各種機械を制御するための制御装置である。
センサ３１６は、各種センサを含み、例えば、各種物理量を電気信号に変換する機器である。
［３．異常診断システムの機能構成］
次に、異常診断システム１の機能構成について図４を用いて説明する。
図４は、本実施の形態における異常診断装置の機能構成の一例を示すブロック図である。
サーバ２００に蓄積されている観測データ２１０は、学習用データ２１１と診断用データ２１２とを含む。
学習用データ２１１は、取得された観測データ２１０のうちで、機械学習による異常検知モデルを生成するためのデータである。診断用データ２１２は、取得された観測データ２１０のうちで、生成された異常検知モデルを用いて監視対象３００から得られた観測データ２１０が異常か否かを判断する異常診断の対象となるデータである。なお、学習用データ２１１には、正常なデータだけでなく、異常なデータも含む取得された観測データ２１０を用いることができる。例えば、学習用データ２１１は、観測データ２１０の始めの所定期間で取得されたデータであり、診断用データ２１２は、学習用データ２１１を取得した所定期間より後の期間において取得されたデータとしてもよい。
異常診断装置１００は、第１取得部１１０と、グループ情報ＤＢ（Ｄａｔａｂａｓｅ）１２０と、第２取得部１３０と、生成部１４０と、異常検知モデルＤＢ（Ｄａｔａｂａｓｅ）１５０と、判定部１６０と、特定部１７０とを備える。
第１取得部１１０は、監視対象３００の状態を示す複数の変数のうち、互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得する。第１取得部１１０は、例えば、ユーザからのグループを示す入力を受け付けることで、グループ情報を取得する。第１取得部１１０は、例えば、入力ＩＦ１０５、ディスプレイ１０６などにより実現される。
グループ情報ＤＢ１２０は、第１取得部１１０により取得されたグループ情報を記憶する。グループ情報ＤＢ１２０は、例えば、ストレージ１０３などにより実現される。
第２取得部１３０は、サーバ２００から観測データ２１０を取得することで、観測データ２１０に含まれる観測値を取得する。第２取得部１３０は、例えば、通信ＩＦ１０４などにより実現される。
生成部１４０は、第２取得部１３０により取得された観測データ２１０のうちの学習用データ２１１を用いた機械学習により異常検知モデルを生成する。機械学習による異常検知モデルの生成は、通常教師なし学習の問題として定式化される。生成部１４０は、例えば、学習用データ２１１を用いてデータの確率密度分布などを推定することで異常検知用のモデルである異常検知モデルを生成する。学習用データ２１１は、例えば、所定の期間、監視対象３００を観測することにより得られた多くのラベル無しデータを含む。生成部１４０による異常検知モデルの生成処理の具体例は、後述する。生成部１４０は、例えば、ＣＰＵ１０１、メインメモリ１０２、ストレージ１０３などにより実現される。
異常検知モデルＤＢ１５０は、生成部１４０により生成された異常検知モデルを記憶する。異常検知モデルＤＢ１５０は、例えば、ストレージなどにより実現される。
判定部１６０は、異常検知モデルＤＢ１５０に記憶されている異常検知モデルを読み出す。判定部１６０は、読み出した異常検知モデルを用いて、第２取得部１３０により取得された観測データ２１０のうち診断用データ２１２が異常であるか否かを判定する。判定部１６０は、例えば、診断用データ２１２に含まれる複数の観測値のそれぞれについて上記の判定を行ってもよいし、複数の観測値について上記の判定を行ってもよい。判定部１６０は、異常検知モデルに対する診断用データ２１２の確率密度が所定の閾値を超えているか否かに応じて、診断用データ２１２が異常であるか否かの判定を行う。判定部１６０は、例えば、得られた上記確率密度が負の対数となる場合、当該確率密度が得られた診断用データ２１２に異常が含まれると判定する。判定部１６０の異常判定の方法はこの限りではない。判定部１６０による判定処理の具体例は、後述する。判定部１６０は、例えば、ＣＰＵ１０１、メインメモリ１０２、ストレージ１０３などにより実現される。
特定部１７０は、診断用データ２１２が異常であると判定部１６０により判定された場合、異常であると判定された診断用データ２１２とグループ情報ＤＢ１２０に記憶されているグループ情報で示される１以上のグループとに基づいて、当該診断用データ２１２の１以上のグループのうち、異常の原因であるグループを特定する。特定部１７０は、異常と判定された診断用データ２１２と、グループ情報とを用いて異常診断を行う。ここで言う異常診断とは、判定部１６０により異常であると判定された診断用データ２１２に関して、当該診断用データ２１２のどの変数グループが異常であるかを診断することである。特定部１７０による異常診断の具体例は、後述する。
なお、特定部１７０は、異常検知モデルＤＢ１５０の異常検知モデルとグループ情報ＤＢ１２０のグループ情報とを用いてどの変数グループが異常であるかを抽出することで異常診断のための異常診断モデルを予め生成していてもよい。この場合、特定部１７０は、判定部１６０で異常と判定された診断用データ２１２に対して、予め生成した異常診断モデルを用いることで、異常診断を行う。
特定部１７０は、ＣＰＵ１０１、メインメモリ１０２、ストレージ１０３などにより実現される。
なお、異常診断装置１００は、異常検知モデルを生成する生成部１４０を備える構成であるとしたが、生成部１４０を備えていなくてもよい。つまり、学習用データを用いて異常検知モデルを生成する装置は、異常診断装置１００とは別の装置により実現されていてもよく、異常診断装置１００は当該別の装置から異常検知モデルを取得してもよい。
なお、異常診断システム１は、異常診断装置１００が観測データ２１０を取得できれば、監視対象３００を備えていなくてもよい。
［４．観測データの一例］
次に、観測データ２１０の詳細について図５を用いて説明する。
図５は、監視対象から取得された観測データの一例を示す図である。
図５において、観測データ２１０は、セッション継続時間と、プロトコル種別と、サービス名と、フラグと、サーバ送信データ量と、サーバ受信データ量と、サーバ直近通信回数と、サーバ直近エラー率と、ログインステータスと、ルートシェルフラグと、ルートで実行された命令数とのそれぞれで示される監視対象３００の各状態の項目において、複数のセッションごとに観測された観測値１〜７で構成されている。つまり、図５で示される複数の項目は、監視対象の状態を示す複数の変数を示し、観測値１〜７は、複数の異なるタイミングにおいて得られる観測値を示す。例えば、観測値１〜７のそれぞれは、１つのセッションにおいて、監視対象３００の上記複数の各項目で示される状態が観測されることにより得られた値である。よって、観測値ｎ（ｎは自然数）で観測された値は、セッションｎ（ｎは自然数）に対する処理中に観測された値である。
図５における観測データ２１０の観測値の項目は、ネットワークを観測して得られる特徴量の一例である。これらの特徴量は、非特許文献２におけるＮＳＬ−ＫＤＤデータセットで提供されている特徴量の一部である。これらの特徴量は、ネットワークを流れるパケットの情報などを監視対象として、様々な種別の変数を観測することにより得られる。
図５の観測データ２１０は、観測値として、セッション継続時間、サーバ送信データ量、サーバ受信データ量、サーバ直近通信回数、サーバ直近エラー率、およびルートで実行された命令数で観測された値である実数と、プロトコル種別、サービス名、およびフラグで観測されたカテゴリ情報、ログインステータスおよびルートシェルフラグで観測されたフラグ情報などを含んだ生の値を含む。異常診断装置１００は、これらの観測値のうち、例えば、カテゴリ情報を生の値のままで、異常検知、異常診断などの各処理において利用することが難しい。そのため、カテゴリ情報等の観測値を１−ｏｆ−Ｎエンコードを用いてベクトル値に変換する。ベクトル値への変換は、サーバ２００において行われてもよいし、異常診断装置１００において行われてもよい。
ここで１−ｏｆ−Ｎエンコードとは、Ｎ種類の観測値に対し、１次元ずつ割り当てを行い、その観測値が該当する次元のみを１とし、他の次元を０とする数値を決定することでカテゴリ情報などの観測値をベクトル値に変換するためのエンコードである。
例えば、晴／雨／曇の３種類である観測値に１−ｏｆ−Ｎエンコードを用いる場合、Ｎ＝３であるため、例えば、晴を（１，０，０）、雨を（０，１，０）、曇を（０，０，１）のように３次元に観測値を割り当てる変換を行うことで、晴／雨／曇という観測値からベクトル値が得られる。
また、ＯＮ／ＯＦＦのような２値のフラグの観測値に対しては、ＯＮを１、ＯＦＦを０という特徴量で表す変換を行うことで数値化してもよい。
［５．グループの設定の一例］
次に、グループの設定方法について図６Ａおよび図６Ｂを用いて詳細に説明する。
図６Ａおよび図６Ｂは、実施の形態における異常診断装置のグループを設定するためにディスプレイに表示されるＵＩの一例を示す図である。
図６Ａにおいて、ディスプレイ１０６には、少なくとも２つの変数の組み合わせで構成されるグループを設定するためのＵＩ１１１が表示されている。ＵＩ１１１は、項目１１２と、グループ追加ボタン１１３と、グループ削除ボタン１１４とで構成されている。項目１１２には、監視対象３００から取得される観測データ２１０に含まれる複数の項目が表示されている。項目１１２は、具体的には、セッション継続時間と、プロトコル種別と、サービス名と、フラグと、サーバ送信データ量と、サーバ受信データ量と、サーバ直近通信回数と、サーバ直近エラー率と、ログインステータスと、ルートシェルフラグと、ルートで実行された命令数とを含む。ユーザは、入力ＩＦ１０５を用いてＵＩ１１１に対する入力を行うことで、これらの項目１１２に対して、グループを設定する。
図６Ａは、ＵＩ１１１初期状態を示しており、項目１１２に対してグループに属さないことを示すグループなし１１５を設定するためのチェックボックスが表示されている。
グルーピングを行う場合、ユーザは、グループ追加ボタン１１３を押下することでグループを追加することができ、追加されたグループに属する項目を設定できる。
図６Ｂは、グループ追加ボタン１１３を押下することで、グループとして「グループ１」、「グループ２」を追加した場合に表示されるＵＩ１１１ａを示す。
ＵＩ１１１ａでは、「グループ１」として、「セッション継続時間」、「サーバ送信データ量」、および「サーバ受信データ量」が設定されている。「セッションの継続時間」は、送受信データが大きい場合に大きくなるので、「セッション継続時間」、「サーバ送信データ量」、および「サーバ受信データ量」は互いに関連がある。このため、「セッション継続時間」、「サーバ送信データ量」、および「サーバ受信データ量」は、グルーピングされている。
また、ＵＩ１１１ａでは、「グループ２」として、「ルートシェルフラグ」および「ルートで実行された命令数」が設定されている。「ルートシェルフラグ」がＯＮの場合に、「ルートで実行された命令数」が１以上になるため、「ルートシェルフラグ」および「ルートで実行された命令数」は互いに関連がある。このため、「ルートシェルフラグ」および「ルートで実行された命令数」は、グループピングされている。
ＵＩ１１１、１１１ａを用いた項目１１２のグループの設定では、複数の項目それぞれは「グループなし」を含む１つのグループに含まれるように設定され、２つ以上のグループに属する項目はないものとする。
また、項目１１２では「プロトコル種別」を観測値としているが、代わりに、「ｔｃｐ」、「ｕｄｐ」、および「ｉｃｍｐ」の３通りの観測値とする場合、つまり、項目として「プロトコル種別」の代わりに「ｔｃｐ」、「ｕｄｐ」、および「ｉｃｍｐ」の３項目とする場合は、これらの３項目を同一のグループとして設定してもよい。
設定したグループを削除する場合は、削除するグループを選択した上でグループ削除ボタン１１４を押下することで選択したグループを削除できる。なお、ＵＩ１１１、１１１ａでは、グループを選択したことは、例えば、「グループ１」、「グループ２」および「グループなし」のいずれかを選択する入力を受け付けたときに、当該入力により示されるグループが強調表示されることで示されてもよい。
［６．生成処理］
次に、生成部１４０による異常検知モデルの生成処理について詳細に説明する。
異常検知モデルの生成の一例として、オートエンコーダを用いる場合について図７を用いて説明する。
図７は、実施の形態におけるオートエンコーダを示す図である。
図７に示すように、オートエンコーダは、ニューラルネットワークの一種であり、入力を表す特徴の情報量を次元圧縮により抽出する。オートエンコーダは、入力層および出力層よりも小さい次元の中間層を有する３層以上のニューラルネットワークにおいて、入力特徴ベクトルと出力ベクトルとが同じ値になるように重み付けを決定する機械学習である。
図８は、実施の形態に係る異常検知モデルの生成処理の一例を示すフローチャートである。
生成部１４０は、オートエンコーダのハイパーパラメータを取得する（Ｓ１１）。ハイパーパラメータとは、オートエンコーダの中間層のノード数、学習率、ドロップアウト関数のパラメータなどである。ドロップアウトは、オートエンコーダを学習する際に中間ノードの値をランダムに０にするテクニックである。生成部１４０は、ユーザの入力ＩＦ１０５への入力を受け付けることによりハイパーパラメータを取得してもよいし、予めストレージ１０３に記憶されているハイパーパラメータをストレージ１０３から取得してもよいし、外部の機器から通信ＩＦ１０４を用いてハイパーパラメータを取得してもよい。
生成部１４０は、オートエンコーダで学習する学習用データ２１１を第２取得部１３０から取得する（Ｓ１２）。
生成部１４０は、オートエンコーダを用いて学習を行わせ、オートエンコーダにおける重みパラメータを調整することで、学習用データ２１１を適切に圧縮および復元できる重みパラメータを取得する（Ｓ１３）。生成部１４０は、取得した重みパラメータをステップＳ１１で取得されたハイパーパラメータが設定されたオートエンコーダに適用することで、異常検知モデルを生成する。
［７．判定処理］
次に、生成した異常検知モデルを用いた判定部１６０による判定処理について詳細に説明する。
図９は、実施の形態に係る異常検知モデルを用いた判定処理の一例を示すフローチャートである。オートエンコーダを用いて異常の判定を行う。
判定部１６０は、異常検知モデルＤＢ１５０から異常検知モデルを読み出す（Ｓ２１）。判定部１６０は、例えば、異常検知モデルＤＢ１５０から学習済のオートエンコーダを読み込む。
判定部１６０は、スコアが異常であると判定するための第１の閾値を取得する（Ｓ２２）。判定部１６０は、例えば、交差検証法を用いて第１の閾値を算出することで、第１の閾値を取得してもよい。交差検証法では、例えば、複数の学習用データ２１１を４：１に分割し、分割した一部（４：１の４）を学習に用い、残り（４：１の１）を検証に用いる。分割した学習用データ２１１のうち学習に用いるデータを用いてオートエンコーダを学習させ、かつ、分割した学習用データ２１１のうち検証に用いるデータを用いて、当該学習により得られたオートエンコーダで異常判定を行い、異常と判定される確率が０．０１％程度になるように、判定部１６０は、第１の閾値を算出してもよい。判定部１６０は、また、ユーザの入力ＩＦ１０５への入力を受け付けることにより第１の閾値を取得してもよいし、予めストレージ１０３に記憶されている第１の閾値をストレージ１０３から取得してもよいし、外部の機器から通信ＩＦ１０４を用いて第１の閾値を取得してもよい。
判定部１６０は、第２取得部１３０により取得された診断用データ２１２を取得する（Ｓ２３）。
判定部１６０は、第２取得部１３０により取得された診断用データ２１２を学習済のオートエンコーダに入力することでスコアを算出する（Ｓ２４）。判定部１６０は、例えば、式１を用いてスコアを算出する。
Figure 2019061565
式１において、ｘは、オートエンコーダへの入力ベクトルを示し、ｉは、ｘのｉ次元目であることを示し、ｉは、オートエンコーダの出力ベクトルのｉ次元目であることを示す。また、式１において、ｍは、入力ベクトルおよび出力ベクトルの次元数であることを示す。また、式１において、スコアＪ（ｘ）は、診断用データをオートエンコーダに入力した場合の出力ベクトルとの２乗平均誤差を示す。
判定部１６０は、算出したスコアが第１の閾値以上か否かを判定する（Ｓ２５）。
判定部１６０は、スコアが第１の閾値以上の場合（Ｓ２５でＹｅｓ）、入力された診断用データが異常であると判定し（Ｓ２６）、判定結果を特定部１７０へ通知する。
判定部１６０は、スコアが第１の閾値未満の場合（Ｓ２５でＮｏ）、入力された診断用データが正常であると判定する（Ｓ２７）。
特定部１７０は、算出されたスコアとグループ情報とを用いて異常の原因であるグループを特定する特定処理を行う（Ｓ２８）。特定処理の詳細は後述する。
［８．特定処理］
次に、異常の原因であるグループを特定する特定処理について、詳細に説明する。
図１０は、実施の形態に係る異常の原因であるグループを特定する特定処理の一例を示すフローチャートである。
特定部１７０は、判定部１６０においてで異常と判定された診断用データ２１２のスコアを用いて、異常の原因であるグループを特定する特定処理を行う。式２は、異常の原因であるグループを特定するために使用する損失関数である。
Figure 2019061565
式２において、δは入力ベクトルと同じ次元数を持つ変位ベクトルを示し、λは正則化パラメータを示し、ｎｇは変数グループの個数を示し、ｄｉは変数グループｇｉに属する変数の数を示す。Ｊ（ｘ）はスコアを示す。
損失関数は、式２に示すように、スコアと、グループ正則化による元の入力値からの変位δのＬ２ノルムをグループごとに足し合わせたスコアとの和として定義される。
式２におけるグループ正則化項は、グループ間ではｐ＝１であり、グループ内ではｐ＝２であるＬｐ正則化を満たす式である。なお、グループ正則化項は、式２に限らずに、グループ間では０＜ｐ≦１であり、かつ、グループ内ではｐ＞１であるＬｐ正則化を満たせばよい。
また、式２ではグループ正則化は、パラメータλを掛けることで重み付けされている。
特定部１７０は、パラメータλを取得する（Ｓ３１）。特定部１７０は、パラメータλとして、任意の値を取得してもよいし、交差検証法を用いて算出することで取得してもよい。また、特定部１７０は、ユーザの入力ＩＦ１０５への入力を受け付けることによりパラメータλを取得してもよいし、予めストレージ１０３に記憶されているパラメータλをストレージ１０３から取得してもよいし、外部の機器から通信ＩＦ１０４を用いてパラメータλを取得してもよい。
特定部１７０は、式２の損失関数の値が極小となる変位ベクトルδを、初期値０として勾配法で探索して算出する（Ｓ３２）。つまり、特定部１７０は、判定部１６０により第１の閾値以上であると判定されたスコアと、グループ情報で示される１以上のグループ毎に正則化することにより得られるグループ正則化項との和で構成される損失関数が極小値となる変位ベクトルδを算出する。
特定部１７０は、観測値の複数の変数のうちゼロでない変数、もしくは非常に小さな正の数ε（第２の閾値）に対し、絶対値が第２の閾値ε以上の変数を含むグループを異常の原因であるグループであると特定する（Ｓ３３）。第２の閾値は、０より大きく１未満の値である。
［９．効果など］
本実施の形態に係る異常診断方法によれば、複数の変数を観測した値で構成される観測値において、変数のグループを予め定めておくため、広範な問題に対して高精度に異常の原因となるグループを特定することができる。
また、異常診断方法によれば、オートエンコーダなど、既によい性能を発揮することが知られている異常検知を用いて観測値が異常であるか否かを判定することができる。また、異常検知が出力するスコアを用いて、自然な損失関数を用いた異常診断を行うことが容易にできる。
また、異常診断方法によれば、損失関数が極小値となる変位ベクトルのうち、第２の閾値以上の変数を含むグループを、異常の原因であるグループとして特定するため、効果的に異常の原因であるグループを特定することができる。
また、異常診断方法によれば、グループ正則化項は、グループ間では０＜ｐ≦１であり、かつ、グループ内ではｐ＞１であるＬｐ正則化を満たすため、効果的に異常の原因であるグループを特定することができる。
［１０．その他の変形例］
なお、本発明を上記の実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
（１）
上記の実施の形態では、監視対象として制御システムの構成を説明した。そして、スイッチングハブから得られる観測データを用いて異常判定を実施するものとして説明したが、それだけに限られない。例えば化学プラントにおける種々のセンサから得られる観測値を観測データとして取得し、当該観測データを用いて異常判定を実施しても良い。
（２）
上記の実施の形態に係る異常診断装置１００では、ベクトル値への変換の手段として１−ｏｆ−Ｎエンコードを利用して数値化するとしたが、エンコードの方法はそれだけに限らない。例えば、非特許文献３にあるようなｅｍｂｅｄｄｉｎｇを用いる方法や、乱数を用いてエンコードする方法など、特定の次元数の実数値ベクトルに変換する方法が考えられる。これにより、より高精度に異常検知モデルの生成や異常判定を行うことができる。さらに、新たなカテゴリが生じる場合であっても、変数の次元を増やすことなくベクトル化することができる。
（３）
上記の実施の形態に係る異常診断装置１００では、変数のグルーピングをユーザからの入力ＩＦ１０５への入力に基づいて設定するとしたが、これに限らない。ＵＩ１１１、１１１ａには、さらに、変数間の相互情報量を示す表示が追加されてもよい。また、ユーザから入力ＩＦ１０５にグルーピングしたいグループ数を示す入力が受け付けられた場合、当該入力で示されるグループ数に応じて、非特許文献４または非特許文献５に記載の方法で自動的にグルーピングしてもよい。
また、変数のグルーピングとして、任意の変数を引数とする関数、例えば、恒等関数が別の変数である場合や、任意の角度θの三角関数であるｓｉｎθおよびｃｏｓθが別の変数である場合、変数間の関連の大きさに応じてこれらの変数のグルーピングをすればよい。
（４）
上記の実施の形態において、オートエンコーダを用いた異常判定を行ったが、他の方法を用いて異常判定を行ってもよい。例えば、カーネル密度推定によって確率密度関数を推定し、所定の閾値を下回る場合に異常と判定する方法を用いてもよいし、オートエンコーダの代わりに１クラスサポートベクトルマシンまたは変分オートエンコーダを用いて異常判定を行ってもよい。
１クラスサポートベクトルマシンを用いる場合、カーネル法を使って入力ベクトルを特徴空間に写像し、その特徴空間上で正常と異常を識別する境界面を決定することで、異常判定を行う。
変分オートエンコーダを用いる場合、入力データが生成される尤度を算出するため、異常の原因となる変数グループを特定する際に用いる損失関数は、２乗平均誤差ではなく、負の対数尤度などを用いることができる。
他にも、正常だと仮定できるサンプル群と、異常判定対象のサンプル群との間の確率密度の比を推定する密度比推定を使って異常を判定してもよい。この場合、異常診断装置１００では、生成部１４０は、学習用の正常な複数の観測データと、診断用の複数の観測データに基づいて、学習用データと診断用データの確率密度比に基づく異常検知モデルを生成する。つまり、上記実施の形態では、生成部１４０は、異常なデータを含む観測データ２１０を学習用データ２１１として用いているが、確率密度比に基づく異常検知モデルを生成する場合、異常なデータを除いた正常なデータのみの学習用データ２１１を用いる点と、さらに診断用データ２１２を用いる点とが異なる。また、判定部１６０は、診断用の複数の観測データに関し、生成部１４０により生成された確率密度比に基づく異常検知モデルを用いてスコアを算出する。そして、判定部１６０は、算出したスコアが予め定められた第１の閾値以上の場合、取得した複数の観測値が異常であると判定し、算出したスコアが第１の閾値未満の場合、取得した複数の観測値が異常でないと判定する。
（５）
上記の実施の形態では、異常の原因となる変数グループを特定する方法として、グループ正則化を用いたが、その他にも様々な方法が考えられる。例えば、オートエンコーダの出力値の２乗平均誤差が所定の値を超えている変数グループを異常の原因となる変数グループと特定してもよいし、特定の変数グループ以外の変数を固定し、特定の変数グループのみを変数とみなしてスコアを極小となる値を勾配法で求め、最もスコアが小さくなる場合の変数グループを異常の原因となる変数グループであるとしてもよい。
なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の異常診断方法などを実現するソフトウェアは、次のようなプログラムである。
すなわち、このプログラムは、コンピュータに、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置が実行する異常診断方法であって、前記異常診断装置は、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、当該観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する異常診断方法を実行させる。
以上、本発明の一つまたは複数の態様に係る異常診断方法および異常診断装置について、実施の形態に基づいて説明したが、本発明は、この実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本発明の一つまたは複数の態様の範囲内に含まれてもよい。
本開示は、多次元情報における異常に寄与する変数を特定する場合に有用である。
１ 異常診断システム
１００ 異常診断装置
１０１ ＣＰＵ
１０２ メインメモリ
１０３ ストレージ
１０４ 通信ＩＦ
１０５ 入力ＩＦ
１０６ ディスプレイ
１１０ 第１取得部
１１１、１１１ａ ＵＩ
１１２ 項目
１１３ グループ追加ボタン
１１４ グループ削除ボタン
１１５ グループなし
１２０ グループ情報ＤＢ
１３０ 第２取得部
１４０ 生成部
１５０ 異常検知モデルＤＢ
１６０ 判定部
１７０ 特定部
２００ サーバ
２１０ 観測データ
２１１ 学習用データ
２１２ 診断用データ
３００ 監視対象
３１０ 制御システム
３１１ ルータ
３１２ スイッチングハブ
３１３ 管理端末
３１４ サーバ
３１５ ＰＬＣ
３１６ センサ

Claims (7)

  1. 監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置が実行する異常診断方法であって、
    前記異常診断装置は、プロセッサおよびメモリを備え、
    前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、
    前記プロセッサは、
    前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、
    前記観測値を取得し、
    前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、
    前記観測値が異常であると判定した場合、当該観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する
    異常診断方法。
  2. 前記異常検知モデルは、前記複数の観測値を用いて、前記学習としてのオートエンコーダ、変分オートエンコーダ、および、１クラスサポートベクトルマシンのうちの少なくとも１つによって生成されたモデルである
    請求項１に記載の異常診断方法。
  3. 前記観測値が異常であるか否かの判定では、
    前記異常検知モデルに前記観測値を入力することでスコアを算出し、
    算出した前記スコアが予め定められた第１の閾値以上の場合、取得した前記観測値が異常であると判定し、
    算出した前記スコアが前記第１の閾値未満の場合、取得した前記複数の観測値が異常でないと判定する
    請求項２に記載の異常診断方法。
  4. 前記異常検知モデルは、学習用の正常な複数の前記観測値と、診断用の複数の前記観測値との確率密度比に基づいて生成されたモデルであり、
    前記観測値の取得では、複数の前記観測値を取得し、
    前記観測値が異常であるか否かの判定では、
    前記メモリから読み出した前記異常検知モデルと、取得した前記複数の観測値とを用いてスコアを算出し、
    算出した前記スコアが予め定められた第１の閾値以上の場合、取得した前記複数の観測値が異常であると判定し、
    算出した前記スコアが前記第１の閾値未満の場合、取得した前記複数の観測値が異常でないと判定する
    請求項１に記載の異常診断方法。
  5. 前記グループの特定では、
    算出した前記スコアと、前記グループ情報で示される前記１以上のグループ毎に正則化することにより得られるグループ正則化項との和で構成される損失関数が極小値となる変位ベクトルを算出し、
    算出した前記変位ベクトルのうち、１未満の第２の閾値以上の変数を含むグループを、異常の原因であるグループとして特定する、
    請求項３または４のいずれか１項に記載の異常診断方法。
  6. 前記グループ正則化項は、グループ間では０＜ｐ≦１であり、かつ、グループ内ではｐ＞１であるＬｐ正則化を満たす
    請求項５に記載の異常診断方法。
  7. 監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置であって、
    プロセッサおよびメモリを備え、
    前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、
    前記プロセッサは、
    前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせによりそれぞれが構成される１以上のグループを示すグループ情報を取得し、
    前記観測値を取得し、
    前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、
    前記観測値が異常であると判定した場合、取得した前記観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、前記観測値の前記１以上のグループのうち、異常の原因であるグループを特定する
    異常診断装置。
JP2017186889A 2017-09-27 2017-09-27 異常診断方法および異常診断装置 Active JP7010641B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2017186889A JP7010641B2 (ja) 2017-09-27 2017-09-27 異常診断方法および異常診断装置
CN201811086036.0A CN109558293B (zh) 2017-09-27 2018-09-18 异常诊断方法以及异常诊断装置
US16/136,408 US10817394B2 (en) 2017-09-27 2018-09-20 Anomaly diagnosis method and anomaly diagnosis apparatus
EP18195899.2A EP3462267B1 (en) 2017-09-27 2018-09-21 Anomaly diagnosis method and anomaly diagnosis apparatus
JP2022003718A JP7325557B2 (ja) 2017-09-27 2022-01-13 異常診断方法および異常診断装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2017186889A JP7010641B2 (ja) 2017-09-27 2017-09-27 異常診断方法および異常診断装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2022003718A Division JP7325557B2 (ja) 2017-09-27 2022-01-13 異常診断方法および異常診断装置

Publications (2)

Publication Number Publication Date
JP2019061565A true JP2019061565A (ja) 2019-04-18
JP7010641B2 JP7010641B2 (ja) 2022-01-26

Family

ID=63678465

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017186889A Active JP7010641B2 (ja) 2017-09-27 2017-09-27 異常診断方法および異常診断装置

Country Status (4)

Country Link
US (1) US10817394B2 (ja)
EP (1) EP3462267B1 (ja)
JP (1) JP7010641B2 (ja)
CN (1) CN109558293B (ja)

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111412978A (zh) * 2020-04-22 2020-07-14 北京化工大学 一种基于无故障振动信号的往复机械异常检测方法
JPWO2020250730A1 (ja) * 2019-06-11 2020-12-17
JP2021039529A (ja) * 2019-09-03 2021-03-11 株式会社小松製作所 学習済みモデルの製造方法、生産システム、異常判定装置、及び異常判定方法
JP2021051200A (ja) * 2019-09-25 2021-04-01 キヤノン株式会社 判断装置
JP6853986B1 (ja) * 2020-03-04 2021-04-07 株式会社沢田テクニカルサービス 処理方法、回転機の診断方法、コンピュータプログラム、学習モデル生成方法及び診断装置
JP2021173595A (ja) * 2020-04-23 2021-11-01 株式会社Ｎｔｔドコモ 構造物判定システム
JP2022042406A (ja) * 2020-09-02 2022-03-14 三菱電機株式会社 伝送装置
TWI776473B (zh) * 2020-04-27 2022-09-01 日商三菱電機股份有限公司 異常診斷方法、異常診斷裝置及異常診斷程式
WO2022210061A1 (ja) * 2021-03-29 2022-10-06 株式会社日立産機システム 監視装置及び方法
JP2023502394A (ja) * 2019-11-20 2023-01-24 ナノトロニクス イメージング インコーポレイテッド 高度な攻撃からの産業生産の保護
WO2023089773A1 (ja) * 2021-11-19 2023-05-25 ファナック株式会社 異常診断装置、異常診断システム、及び記憶媒体
JP7519960B2 (ja) 2021-06-22 2024-07-22 ルネサスエレクトロニクス株式会社 故障予知装置および故障予知方法
US12111922B2 (en) 2020-02-28 2024-10-08 Nanotronics Imaging, Inc. Method, systems and apparatus for intelligently emulating factory control systems and simulating response data
US12111923B2 (en) 2019-10-08 2024-10-08 Nanotronics Imaging, Inc. Dynamic monitoring and securing of factory processes, equipment and automated systems
US12125236B2 (en) 2021-03-09 2024-10-22 Nanotronics Imaging, Inc. Systems, methods, and media for manufacturing processes

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108389539B (zh) * 2018-03-15 2020-06-16 京东方科技集团股份有限公司 移位寄存器单元、驱动方法、栅极驱动电路及显示装置
JP7021000B2 (ja) * 2018-05-24 2022-02-16 株式会社東芝 情報処理装置、プログラムおよび情報処理方法
JP7036697B2 (ja) * 2018-09-27 2022-03-15 株式会社日立製作所 監視システム及び監視方法
US20210392109A1 (en) * 2018-10-18 2021-12-16 Sumitomo Electric Industries, Ltd. Detection device, gateway device, detection method, and detection program
US11188643B2 (en) * 2018-12-27 2021-11-30 Intel Corporation Methods and apparatus for detecting a side channel attack using hardware performance counters
US10896574B2 (en) * 2018-12-31 2021-01-19 Playtika Ltd System and method for outlier detection in gaming
JP7374453B2 (ja) * 2019-03-28 2023-11-07 株式会社イシダ 学習済みモデル生成方法、学習済みモデル生成装置、商品判別方法、商品判別装置、商品判別システム及び計量装置
WO2020217644A1 (ja) * 2019-04-22 2020-10-29 パナソニックＩｐマネジメント株式会社 学習済みモデルの生成方法、保全表示装置、及びプログラム
CN110098983B (zh) * 2019-05-28 2021-06-04 上海优扬新媒信息技术有限公司 一种异常流量的检测方法及装置
JP2021009441A (ja) * 2019-06-28 2021-01-28 ルネサスエレクトロニクス株式会社 異常検知システム及び異常検知プログラム
JP7334511B2 (ja) * 2019-07-05 2023-08-29 オムロン株式会社 監視装置、監視方法、監視プログラム、および、記録媒体
JP2021015573A (ja) * 2019-07-16 2021-02-12 ファナック株式会社 異常判定装置及び異常判定システム
EP3989492B1 (en) * 2019-07-23 2024-01-03 Nippon Telegraph And Telephone Corporation Abnormality detection device, abnormality detection method, and abnormality detection program
CN112333128B (zh) * 2019-08-05 2021-09-17 四川大学 一种基于自编码器的Web攻击行为检测系统
US20220206888A1 (en) * 2019-08-28 2022-06-30 Mitsubishi Electric Corporation Abnormal portion detecting device, method of detecting abnormal portion, and recording medium
JP7359608B2 (ja) * 2019-09-12 2023-10-11 アズビル株式会社 情報提示装置、情報提示方法、および情報提示システム
MX2022003138A (es) * 2019-09-17 2022-11-09 Nissan Motor Dispositivo de determinación de anomalías y método de determinación de anomalías.
CN110806733B (zh) * 2019-10-30 2021-09-21 中国神华能源股份有限公司国华电力分公司 火电厂设备监测方法、装置及电子设备
JP6791347B1 (ja) * 2019-12-19 2020-11-25 トヨタ自動車株式会社 モデル診断装置及びモデル診断システム
CN111120348A (zh) * 2019-12-25 2020-05-08 中国石化销售股份有限公司华南分公司 基于支持向量机概率密度估计的离心泵故障预警方法
US11249861B2 (en) 2020-02-06 2022-02-15 Bank Of America Corporation Multi-layered disaster recovery manager
JP2021152762A (ja) * 2020-03-24 2021-09-30 株式会社Ｓｃｒｅｅｎホールディングス 学習済みモデル生成方法、学習済みモデル、異常要因推定装置、基板処理装置、異常要因推定方法、学習方法、学習装置、及び、学習データ作成方法
JP7454419B2 (ja) * 2020-03-25 2024-03-22 三菱重工業株式会社 プラント運転データ監視装置及び方法
CN111612300B (zh) * 2020-04-16 2023-10-27 国网甘肃省电力公司信息通信公司 一种基于深度混合云模型的场景异常感知指标计算方法及系统
CN114827636A (zh) * 2021-01-18 2022-07-29 武汉斗鱼网络科技有限公司 一种视频播放异常的诊断方法及相关装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011227706A (ja) * 2010-04-20 2011-11-10 Hitachi Ltd 異常検知・診断方法、異常検知・診断システム、及び異常検知・診断プログラム
JP2011243118A (ja) * 2010-05-20 2011-12-01 Hitachi Ltd 監視診断装置および監視診断方法

Family Cites Families (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS518116B1 (ja) 1969-04-01 1976-03-13
JPS5811683B2 (ja) 1974-10-07 1983-03-04 日本コロムビア株式会社 トレ−シングヒズミホセイソウチ
JPS5858839B2 (ja) 1976-05-14 1983-12-27 ニチコン株式会社 電気部品の取付足の固定方法
US20070028219A1 (en) * 2004-10-15 2007-02-01 Miller William L Method and system for anomaly detection
US7565340B2 (en) * 2006-01-09 2009-07-21 The State Of Oregon Acting By And Through The State Board Of Higher Education On Behalf Of Oregon State University Methods for assisting computer users performing multiple tasks
US8014880B2 (en) * 2006-09-29 2011-09-06 Fisher-Rosemount Systems, Inc. On-line multivariate analysis in a distributed process control system
US7765020B2 (en) * 2007-05-04 2010-07-27 Applied Materials, Inc. Graphical user interface for presenting multivariate fault contributions
DE102008022459A1 (de) * 2008-05-08 2009-11-12 Mtu Aero Engines Gmbh Vorrichtung und Verfahren zur Überwachung einer Gasturbine
WO2010082322A1 (ja) 2009-01-14 2010-07-22 株式会社日立製作所 装置異常監視方法及びシステム
WO2011046869A2 (en) * 2009-10-12 2011-04-21 Abbott Patrick D Targeted equipment monitoring system and method for optimizing equipment reliability
JP5811683B2 (ja) 2011-08-18 2015-11-11 株式会社Ihi 異常診断装置
US8832497B2 (en) * 2012-02-07 2014-09-09 A.L.D. Advanced Logistics Development Ltd Methods, apparatus and systems for performing dynamic fault tree analysis
CN102680425B (zh) * 2012-03-21 2014-08-06 西安交通大学 多组分气体傅立叶变换光谱分析的多分析模型信息融合方法
JP5858839B2 (ja) 2012-03-26 2016-02-10 住友重機械工業株式会社 作業機械の異常診断装置
JP6076751B2 (ja) 2013-01-22 2017-02-08 株式会社日立製作所 異常診断方法およびその装置
EP2987040B1 (en) * 2013-04-19 2019-10-09 BAE SYSTEMS plc Diagnosing combinations of failures in a system
WO2015053773A1 (en) * 2013-10-10 2015-04-16 Ge Intelligent Platforms, Inc. Correlation and annotation of time series data sequences to extracted or existing discrete data
JP5753286B1 (ja) * 2014-02-05 2015-07-22 株式会社日立パワーソリューションズ 情報処理装置、診断方法、およびプログラム
CN104239694B (zh) * 2014-08-28 2016-11-23 北京交通大学 一种城轨列车转向架的故障预测与视情维修方法
US9699049B2 (en) * 2014-09-23 2017-07-04 Ebay Inc. Predictive model for anomaly detection and feedback-based scheduling
CN106570513B (zh) * 2015-10-13 2019-09-13 华为技术有限公司 大数据网络系统的故障诊断方法和装置
US20190213446A1 (en) * 2016-06-30 2019-07-11 Intel Corporation Device-based anomaly detection using random forest models
US10216558B1 (en) * 2016-09-30 2019-02-26 EMC IP Holding Company LLC Predicting drive failures
US10612999B2 (en) * 2016-10-03 2020-04-07 International Business Machines Corporation Diagnostic fault detection using multivariate statistical pattern library
US10565077B2 (en) * 2017-11-29 2020-02-18 International Business Machines Corporation Using cognitive technologies to identify and resolve issues in a distributed infrastructure
US10187326B1 (en) * 2018-02-22 2019-01-22 Capital One Services, Llc Real-time analysis of multidimensional time series data to identify an operational anomaly

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011227706A (ja) * 2010-04-20 2011-11-10 Hitachi Ltd 異常検知・診断方法、異常検知・診断システム、及び異常検知・診断プログラム
JP2011243118A (ja) * 2010-05-20 2011-12-01 Hitachi Ltd 監視診断装置および監視診断方法

Cited By (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2020250730A1 (ja) * 2019-06-11 2020-12-17
WO2020250730A1 (ja) * 2019-06-11 2020-12-17 日本電気株式会社 不正検知装置、不正検知方法および不正検知プログラム
JP2021039529A (ja) * 2019-09-03 2021-03-11 株式会社小松製作所 学習済みモデルの製造方法、生産システム、異常判定装置、及び異常判定方法
JP7263185B2 (ja) 2019-09-03 2023-04-24 株式会社小松製作所 学習済みモデルの製造方法、生産システム、異常判定装置、及び異常判定方法
JP2021051200A (ja) * 2019-09-25 2021-04-01 キヤノン株式会社 判断装置
JP7373340B2 (ja) 2019-09-25 2023-11-02 キヤノン株式会社 判断装置
US12111923B2 (en) 2019-10-08 2024-10-08 Nanotronics Imaging, Inc. Dynamic monitoring and securing of factory processes, equipment and automated systems
JP2023502394A (ja) * 2019-11-20 2023-01-24 ナノトロニクス イメージング インコーポレイテッド 高度な攻撃からの産業生産の保護
JP7389518B2 (ja) 2019-11-20 2023-11-30 ナノトロニクス イメージング インコーポレイテッド 高度な攻撃からの産業生産の保護
US12111922B2 (en) 2020-02-28 2024-10-08 Nanotronics Imaging, Inc. Method, systems and apparatus for intelligently emulating factory control systems and simulating response data
JP6853986B1 (ja) * 2020-03-04 2021-04-07 株式会社沢田テクニカルサービス 処理方法、回転機の診断方法、コンピュータプログラム、学習モデル生成方法及び診断装置
JP2021140403A (ja) * 2020-03-04 2021-09-16 株式会社沢田テクニカルサービス 処理方法、回転機の診断方法、コンピュータプログラム、学習モデル生成方法及び診断装置
CN111412978A (zh) * 2020-04-22 2020-07-14 北京化工大学 一种基于无故障振动信号的往复机械异常检测方法
JP2021173595A (ja) * 2020-04-23 2021-11-01 株式会社Ｎｔｔドコモ 構造物判定システム
JP7451280B2 (ja) 2020-04-23 2024-03-18 株式会社Ｎｔｔドコモ 構造物判定システム
TWI776473B (zh) * 2020-04-27 2022-09-01 日商三菱電機股份有限公司 異常診斷方法、異常診斷裝置及異常診斷程式
JP2022042406A (ja) * 2020-09-02 2022-03-14 三菱電機株式会社 伝送装置
US12125236B2 (en) 2021-03-09 2024-10-22 Nanotronics Imaging, Inc. Systems, methods, and media for manufacturing processes
WO2022210061A1 (ja) * 2021-03-29 2022-10-06 株式会社日立産機システム 監視装置及び方法
JP7550093B2 (ja) 2021-03-29 2024-09-12 株式会社日立産機システム 監視装置及び方法
JP7519960B2 (ja) 2021-06-22 2024-07-22 ルネサスエレクトロニクス株式会社 故障予知装置および故障予知方法
WO2023089773A1 (ja) * 2021-11-19 2023-05-25 ファナック株式会社 異常診断装置、異常診断システム、及び記憶媒体

Also Published As

Publication number Publication date
CN109558293B (zh) 2023-10-13
US10817394B2 (en) 2020-10-27
CN109558293A (zh) 2019-04-02
US20190095300A1 (en) 2019-03-28
JP7010641B2 (ja) 2022-01-26
EP3462267B1 (en) 2021-10-27
EP3462267A1 (en) 2019-04-03

Similar Documents

Publication Publication Date Title
JP7010641B2 (ja) 異常診断方法および異常診断装置
Awotunde et al. Intrusion Detection in Industrial Internet of Things Network‐Based on Deep Learning Model with Rule‐Based Feature Selection
US11895150B2 (en) Discovering cyber-attack process model based on analytical attack graphs
Huong et al. Federated learning-based explainable anomaly detection for industrial control systems
US7647524B2 (en) Anomaly detection
US20170132523A1 (en) Periodicity Analysis on Heterogeneous Logs
CN110909811A (zh) 一种基于ocsvm的电网异常行为检测、分析方法与系统
WO2017087440A1 (en) Anomaly fusion on temporal casuality graphs
JP6183450B2 (ja) システム分析装置、及び、システム分析方法
CN109040027B (zh) 基于灰色模型的网络脆弱性节点的主动预测方法
Raja et al. Combined analysis of support vector machine and principle component analysis for IDS
CN107679626A (zh) 机器学习方法、装置、系统、存储介质及设备
Imamverdiyev et al. Anomaly detection in network traffic using extreme learning machine
Wang et al. Incremental causal graph learning for online root cause analysis
CN116628554B (zh) 一种工业互联网数据异常的检测方法、系统和设备
CN117708738A (zh) 基于多模态变量相关性的传感器时序异常检测方法及系统
Awad et al. Addressing imbalanced classes problem of intrusion detection system using weighted extreme learning machine
Xu et al. HTtext: A TextCNN-based pre-silicon detection for hardware Trojans
Wang et al. Multi‐block principal component analysis based on variable weight information and its application to multivariate process monitoring
JP7325557B2 (ja) 異常診断方法および異常診断装置
CN113079168B (zh) 一种网络异常检测方法、装置及存储介质
JPWO2018142694A1 (ja) 特徴量生成装置、特徴量生成方法及びプログラム
Lijun et al. An intuitionistic calculus to complex abnormal event recognition on data streams
Naukudkar et al. Enhancing performance of security log analysis using correlation-prediction technique
Cook Anomaly diagnosis in industrial control systems for digital forensics

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200805

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210519

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20210601

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20210709

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20211214

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20220113

R150 Certificate of patent or registration of utility model

Ref document number: 7010641

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150