JP2020057858A - 異常検知装置、異常検知方法および異常検知プログラム - Google Patents

Abstract

【課題】異常検知を行う際の処理負荷を軽減すること。【解決手段】異常検知装置１０は、対象システムに関する時系列データを取得し、取得した時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する。そして、異常検知装置１０は、作成したランキングを用いて、異常度を計算し、計算した異常度に基づいて、対象システムの異常を検知する。【選択図】図２

Description

本発明は、異常検知装置、異常検知方法および異常検知プログラムに関する。

従来、大量の時系列データを取得し、普段と異なるふるまい、例えば、通信量の急な増加などの異常を検知する異常検知技術が知られている。このような異常検知技術は、ＤＤоＳ攻撃の検知や機器の故障検知などに応用されている。異常検知には、過去の値から分布を仮定し、現在の値の異常度を確率値として定義するホテリングのｔ^２理論を用いたものや、ＬＯＦ（Local Outlier Factor）や特異スペクトル変換法を用いる手法などが存在する。

特開２００７−１７３９０７号公報

しかしながら、従来の手法では、異常検知を行う際の処理負荷が大きくなる場合があるという課題があった。例えば、複数の時系列データについて、各時系列データを用いて、それぞれの異常度合いを示す異常度を計算し、計算した異常度に基づいて異常を監視した場合には、計算コストが大きくなる場合があった。

上述した課題を解決し、目的を達成するために、本発明の異常検知装置は、対象システムに関する時系列データを取得する取得部と、前記取得部によって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する作成部と、前記作成部によって作成されたランキングを用いて、異常度を計算する計算部と、前記計算部によって計算された異常度に基づいて、前記対象システムの異常を検知する検知部とを有することを特徴とする。

また、本発明の異常検知方法は、異常検知装置によって実行される異常検知方法であって、対象システムに関する時系列データを取得する取得工程と、前記取得工程によって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する作成工程と、前記作成工程によって作成されたランキングを用いて、異常度を計算する計算工程と、前記計算工程によって計算された異常度に基づいて、前記対象システムの異常を検知する検知工程とを含むことを特徴とする。

また、本発明の異常検知プログラムは、対象システムに関する時系列データを取得する取得ステップと、前記取得ステップによって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する作成ステップと、前記作成ステップによって作成されたランキングを用いて、異常度を計算する計算ステップと、前記計算ステップによって計算された異常度に基づいて、前記対象システムの異常を検知する検知ステップとをコンピュータに実行させることを特徴とする。

本発明によれば、異常検知を行う際の処理負荷を軽減することができるという効果を奏する。

図１は、第１の実施形態に係る異常検知システムの構成例を示す構成図である。 図２は、第１の実施形態に係る異常検知装置の構成例を示すブロック図である。 図３は、集計データ記憶部に記憶されるデータの一例を示す図である。 図４は、ランキング情報記憶部に記憶されるデータの一例を示す図である。 図５は、異常度情報記憶部に記憶されるデータの一例を示す図である。 図６は、ランキング作成の処理例を説明する図である。 図７は、第１の実施形態に係る異常検知装置における処理の流れの一例を示すフローチャートである。 図８は、異常検知プログラムを実行するコンピュータを示す図である。

以下に、本願に係る異常検知装置、異常検知方法および異常検知プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る異常検知装置、異常検知方法および異常検知プログラムが限定されるものではない。

［第１の実施形態］
以下の実施の形態では、第１の実施形態に係る異常検知システム１００の構成、異常検知装置１０の構成、異常検知装置１０の処理の流れを順に説明し、最後に第１の実施形態による効果を説明する。

［異常検知システムの構成］
図１は、第１の実施形態に係る異常検知システムの構成例を示す構成図である。第１の実施形態に係る異常検知システム１００は、異常検知装置１０と端末装置２０とを有し、異常検知装置１０と端末装置２０とはネットワーク３０を介して互いに接続されている。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。

異常検知装置１０は、対象システムに関する時系列データを取得する。例えば、異常検知装置１０は、時系列データとして、異常検知を行う対象の通信システムにおける通信データを取得する。なお、異常検知装置１０は、時系列データとして、通信データに限定されるものではなく、どのようなデータを処理対象として取得してもよく、例えば、センサデータ等を取得してもよい。以下の説明では、異常検知装置１０が、時系列データとして、通信データを取得して処理を行う場合を例として説明する。

そして、異常検知装置１０は、取得した時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する。例えば、異常検知装置１０は、取得した通信データから、１時間単位で通信先ごとの通信量を集計し、集計結果を用いて、１時間ごとの通信量のランキングを作成する。なお、所定の時間単位として、「１時間」が設定されているものとして説明するが、これに限定されるものではなく、例えば、所定の時間単位として「１０分」や「１日」が設定されていてもよい。

その後、異常検知装置１０は、作成したランキングを用いて、異常度を計算し、異常度に基づいて、対象システムの異常を検知する。例えば、異常検知装置１０は、異常度が所定の閾値よりも高い場合には、対象システムの異常を検知し、端末装置２０に対してアラートを出力する。このように、異常検知装置１０は、通信先同士の相対的な通信量の順位を示すランキングを作成し、作成したランキングを用いて、異常度を計算するので、絶対的な値ではなく、相対的な値から異常を検知することができ、処理負荷を軽減することが可能である。

端末装置２０は、ＰＣ（Personal Computer）やスマートフォン等の装置であって、例えば、対象システムを管理する管理者が使用する装置である。例えば、端末装置２０は、異常検知装置１０によって異常が検知された場合には、異常検知装置１０から異常が検知された通信先を示すアラート表示画面を受信し、アラート表示画面を表示する。

［異常検知装置の構成］
次に、図２を用いて、異常検知装置１０の構成を説明する。図２は、第１の実施形態に係る異常検知装置の構成例を示すブロック図である。図２に示すように、この異常検知装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。以下に異常検知装置１０が有する各部の処理を説明する。

通信処理部１１は、各種情報に関する通信を制御する。例えば、通信処理部１１は、異常が検知された通信先を示すアラート表示画面のデータを端末装置２０に送信する。

記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納する。記憶部１３は、集計データ記憶部１３ａ、ランキング情報記憶部１３ｂおよび異常度情報記憶部１３ｃを有する。例えば、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。

集計データ記憶部１３ａは、通信先ごとに、時間帯別の通信量の集計データを記憶する。例えば、集計データ記憶部１３ａは、図３に例示するように、通信先を一意に識別する通信先ＩＤごとに、１時間ごとの通信量を記憶する。図３は、集計データ記憶部に記憶されるデータの一例を示す図である。図３の例を挙げて具体的に説明すると、集計データ記憶部１３ａは、通信先ＩＤ「Ａ」について、「０：００−１：００」の期間における通信量として「２０００」と、「１：００−２：００」の期間における通信量として「１９５０」と、「２：００−３：００」の期間における通信量として「１８００」とを記憶する。なお、ここで、通信量とは、例えば、パケット数であってもよいし、データ量であってもよい。

ランキング情報記憶部１３ｂは、通信先ごとに、各時間帯における通信量の相対的な順位を記憶する。例えば、ランキング情報記憶部１３ｂは、図４に例示するように、通信ＩＤごとに、１時間ごとの通信量のランキングにおける順位を記憶する。図４は、ランキング情報記憶部に記憶されるデータの一例を示す図である。図４の例を挙げて具体的に説明すると、ランキング情報記憶部１３ｂは、通信先ＩＤ「Ａ」について、「０：００−１：００」の期間におけるランキングの順位として「２０」と、「１：００−２：００」の期間におけるランキングの順位として「２４」と、「２：００−３：００」の期間におけるランキングの順位として「３０」とを記憶する。

異常度情報記憶部１３ｃは、通信先ごとに、異常度を記憶する。例えば、異常度情報記憶部１３ｃは、図５に例示するように、通信先ＩＤと異常度とを対応付けて記憶する。図５は、異常度情報記憶部に記憶されるデータの一例を示す図である。ここで、異常度とは、後述する計算部１２ｃによって計算された所定の時点における異常度であり、０〜１の範囲で定義され、１に近づくほど異常度合いが高いものとする。図５の例を挙げて具体的に説明すると、異常度情報記憶部１３ｃは、通信先ＩＤ「Ａ」の異常度が「０．２」であり、通信先ＩＤ「Ｂ」の異常度が「０．３」であることを記憶している。

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。制御部１２は、取得部１２ａ、作成部１２ｂ、計算部１２ｃ、検知部１２ｄおよび出力部１２ｅを有する。ここで、制御部１２は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。

取得部１２ａは、対象システムに関する時系列データを取得する。具体的には、取得部１２ａは、時系列データとして、異常検知を行う対象の通信システムにおける通信データを取得する。例えば、取得部１２ａは、通信システムにおけるルータ等の通信機器から直接パケットのデータを定期的に収集するようにしてもよいし、端末装置２０等から入力された所定期間の通信データをまとめて取得するようにしてもよい。

作成部１２ｂは、取得部１２ａによって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する。ここで、異常検知単位とは、異常を検知する単位を示すものであり、以下では、異常検知単位として通信先ＩＤが設定されているものとして説明する。なお、異常検知単位は、これに限定されるものではなく、例えば、処理対象が時系列のセンサデータである場合には、異常検知単位として、センサを識別するセンサＩＤが設定されていてもよい。具体的には、作成部１２ｂは、取得した通信データから、１時間単位で通信先ごとの通信量を集計し、集計結果を用いて、１時間ごとの通信量のランキングを作成する。なお、作成部１２ｂは、取得した通信データが欠損している場合には、既存の手法を用いて、欠損している部分を補完するようにしてもよい。例えば、作成部１２ｂは、データがない部分については、該当部分のデータを「０」で補完する。

ここで、図６を用いて、ランキング作成の処理例を説明する。図６は、ランキング作成の処理例を説明する図である。図６に例示するように、作成部１２ｂは、取得部１２ａによって取得された時系列の通信量を示す通信データから、「０：００−１：００」、「１：００−２：００」、「２：００−３：００」・・・の各時間帯における各通信先ＩＤの通信量をそれぞれ集計し、集計結果を集計データ記憶部１３ａに格納する。

続いて、作成部１２ｂは、各通信先ＩＤの同一時間帯の通信量同士を比較して順位付けを行い、時間帯ごとのランキングを作成し、ランキング結果をランキング情報記憶部１３ｂに格納する。

計算部１２ｃは、作成部１２ｂによって作成されたランキングを用いて、異常度を計算する。具体的には、計算部１２ｃは、作成部１２ｂによって作成されたランキングに含まれる所定時間単位ごとの順位のうち上位所定番目の順位を特定し、該上位所定番目の順位と、所定の時点における順位とに基づいて、所定の時点における各通信先の異常度を計算し、計算した異常度を異常度情報記憶部１３ｃに格納する。なお、どの時点の異常度を計算するかは、任意に設定できるものとするが、以下の説明では、現在の時点における異常度を計算するものとする。

また、計算部１２ｃは、ランキングに含まれる各順位を通信先の数に応じて、補正するようにしてもよい。例えば、計算部１２ｃは、ある通信先のランキングが「１０」位であって、通信先の数が「１００」ある場合には、「１０」を「１００」で除算して「０．１」と補正し、ある通信先のランキングが「１０」位であって、通信先の数が「２０」ある場合には、「１０」を「２０」で除算して「０．５」と補正する。つまり、時系列データには周期性が現れることが多く、周期性がある場合には時間ごとに対象の登場数が異なる。このため、同じ１０位でも意味が異なるため、通信先の全体の数に応じて、順位を補正する。

例えば、計算部１２ｃは、ランキングに含まれる各時間帯の順位のうち、移動ｎ％値の順位を、通信先ごとに特定する。ここでは、通信先ごとのランキングの時系列データにおいて、ある一定区間の上位ｎ％の値を移動ｎ％値とする。この場合の一定区間とは、対象の値から過去のｗ個分とする。このｗをウィンドウ幅とする。例えば、計算部１２ｃは、移動ｎ％値が１０％と設定されている場合には、各通信先について、ランキングに含まれる１００個の順位のうち、上位１０番目の順位を特定する。この順位は、各通信先の普段のランキングを意味するものとする。ランキングの分布は対象ごとに異なる場合があるため、分布の種類に左右されづらく、計算コストも少ない移動ｎ％値を用いている。なお、移動ｎ％値について、整数で切れない場合は、前後整数で切れるところからの平均値で処理する。例えば、４つの中の５０％値なら２位と３位の平均値、１０個の中の１２％値なら１位と２位の平均値、１０個の中の１％値は参照できるものが１位の値しかないので１位の値用いる。

なお、ここでは、例えば、１０％をデフォルト値として設定されているものとするが、これに限定されるものではなく、ｎの値やウィンドウ幅は任意に設定することができるものとする。つまり、データの種類の検知したい異常の種類によって適切なウィンドウ幅やｎの値は異なるため、ウィンドウ幅やｎの値は自由に設定することができるようにし、データや目的によって、偽陽性と偽陰性のバランスを考慮して、柔軟に異常を検知できるように調整することが可能である。なお、移動ｎ％値について、一般的に、統計の分野においては５％を閾値にすることがあるが、本実施形態では、５％から少し余裕を持たせた１０％値をデフォルト値とする。そうすることによって、ウィンドウ幅が小さくても（例えば、２０程度でも）、異常を検知できるようにしている。

そして、計算部１２ｃは、異常度の計算として、「異常度＝（移動ｎ％値―現在の値）／移動ｎ％値」を計算する。なお、普段よりランキングが低い場合には異常度がマイナスの値となるが、本実施形態ではランキングの上昇を検知するために、マイナスの異常度は「０」で置換する。これにより、異常度が０〜１の範囲で定義され、１に近づくほど異常とみなせる。

検知部１２ｄは、計算部１２ｃによって計算された異常度に基づいて、対象システムの異常を検知する。例えば、検知部１２ｄは、計算部１２ｃによって計算された各異常度のうち所定の閾値（例えば、０．８）を超えている異常度があるか判定し、所定の閾値を超える異常度があると判定した場合には、対象システムの異常を検知する。

出力部１２ｅは、異常度が所定の閾値よりも高い場合には、対象システムの異常を検知し、端末装置２０に対してアラートを出力する。例えば、出力部１２ｅは、異常が検知された通信先を示すアラート表示画面を生成し、アラート表示画面のデータを端末装置２０に対して出力する。

［異常検知装置の処理手順］
次に、図７を用いて、第１の実施形態に係る異常検知装置１０による処理手順の例を説明する。図７は、第１の実施形態に係る異常検知装置における処理の流れの一例を示すフローチャートである。

図７に例示するように、異常検知装置１０の取得部１２ａは、対象システムに関する時系列データを取得する（ステップＳ１０１）。具体的には、取得部１２ａは、時系列データとして、異常検知を行う対象の通信システムにおける通信データを取得する。

そして、作成部１２ｂは、取得部１２ａによって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計する（ステップＳ１０２）。続いて、作成部１２ｂは、取得した通信データが欠損している場合には、既存の手法を用いて、欠損している部分を補完する（ステップＳ１０３）。

そして、作成部１２ｂは、集計結果を用いて、所定の時間単位ごとのランキングを作成する（ステップＳ１０４）。続いて、計算部１２ｃは、ランキングに含まれる各順位を通信先の数に応じて、補正する（ステップＳ１０５）。例えば、計算部１２ｃは、ある通信先のランキングが「１０」位であって、通信先の数が「１００」ある場合には、「１０」を「１００」で除算して「０．１」と補正する。

そして、計算部１２ｃは、ランキングに含まれる各時間帯の順位のうち、移動ｎ％値の順位を、通信先ごとに特定する（ステップＳ１０６）。そして、計算部１２ｃは、移動ｎ％値の順位と、所定の時点における順位とに基づいて、所定の時点における異常度を計算する（ステップＳ１０７）。例えば、計算部１２ｃは、異常度の計算として、「異常度＝（移動ｎ％値―現在の値）／移動ｎ％値」を計算する。

その後、検知部１２ｄは、計算部１２ｃによって計算された各異常度のうち所定の閾値（例えば、０．８）を超えている異常度があるか判定する（ステップＳ１０８）。この結果、検知部１２ｄが所定の閾値を超える異常度がないと判定した場合には（ステップＳ１０８否定）、そのまま処理を終了する。また、検知部１２ｄが所定の閾値を超える異常度がないと判定した場合には（ステップＳ１０８肯定）、端末装置２０に対してアラートを出力する（ステップＳ１０９）。例えば、出力部１２ｅは、異常が検知された通信先を示すアラート表示画面を生成し、アラート表示画面のデータを端末装置２０に対して出力する。

（第１の実施形態の効果）
第１の実施形態に係る異常検知装置１０は、対象システムに関する時系列データを取得し、取得した時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する。そして、異常検知装置１０は、作成したランキングを用いて、異常度を計算し、計算した異常度に基づいて、対象システムの異常を検知する。このため、異常検知装置１０では、異常検知の行う際の処理負荷を軽減することが可能である。

つまり、異常検知装置１０は、通信先同士の相対的な通信量の順位を示すランキングを作成し、作成したランキングを用いて、異常度を計算するので、絶対的な値ではなく、相対的な値から異常を検知することができ、処理負荷を軽減することが可能である。

また、従来における、期間全体で値が大きいもの等の基準で絞り、それぞれに異常検知アルゴリズムを適用する手法では、期間全体で値が大きいものを異常と判定するという条件で絞ると、短期間で大きな値を記録するものは対象から外れてしまう。これに対して、異常検知装置１０では、絶対的な値ではなく、相対的な値から異常を検知するので、短期間で大きな値を記録した対象についても異常を検知することが可能である。

（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

（プログラム）
また、上記実施形態において説明した異常検知装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る異常検知装置１０が実行する処理をコンピュータが実行可能な言語で記述した異常検知プログラムを作成することもできる。この場合、コンピュータが異常検知プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる異常検知プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された異常検知プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。

図８は、異常検知プログラムを実行するコンピュータを示す図である。図８に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図８に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図８に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図８に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図８に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図８に例示するように、例えばディスプレイ１１３０に接続される。

ここで、図８に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の、異常検知プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。

なお、異常検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、異常検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０ 異常検知装置
１１ 通信処理部
１２ 制御部
１２ａ 取得部
１２ｂ 作成部
１２ｃ 計算部
１２ｄ 検知部
１２ｅ 出力部
１３ 記憶部
１３ａ 集計データ記憶部
１３ｂ ランキング情報記憶部
１３ｃ 異常度情報記憶部
２０ 端末装置
３０ ネットワーク
１００ 異常検知システム

Claims (5)

1. 対象システムに関する時系列データを取得する取得部と、
   前記取得部によって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する作成部と、
   前記作成部によって作成されたランキングを用いて、異常度を計算する計算部と、
   前記計算部によって計算された異常度に基づいて、前記対象システムの異常を検知する検知部と
   を有することを特徴とする異常検知装置。
2. 前記計算部は、前記作成部によって作成されたランキングに含まれる所定時間単位ごとの順位のうち上位所定番目の順位を特定し、該上位所定番目の順位と、所定の時点における順位とに基づいて、前記所定の時点における異常度を計算することを特徴とする請求項１に記載の異常検知装置。
3. 前記計算部は、異常検知単位の数に応じて、前記ランキングに含まれる順位を補正することを特徴とする請求項１に記載の異常検知装置。
4. 異常検知装置によって実行される異常検知方法であって、
   対象システムに関する時系列データを取得する取得工程と、
   前記取得工程によって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する作成工程と、
   前記作成工程によって作成されたランキングを用いて、異常度を計算する計算工程と、
   前記計算工程によって計算された異常度に基づいて、前記対象システムの異常を検知する検知工程と
   を含むことを特徴とする異常検知方法。
5. 対象システムに関する時系列データを取得する取得ステップと、
   前記取得ステップによって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する作成ステップと、
   前記作成ステップによって作成されたランキングを用いて、異常度を計算する計算ステップと、
   前記計算ステップによって計算された異常度に基づいて、前記対象システムの異常を検知する検知ステップと
   をコンピュータに実行させることを特徴とする異常検知プログラム。

Images