JP2021056927A - 異常検知装置、異常検知方法および異常検知プログラム - Google Patents

Abstract

【課題】大量のセンサ値を効率よく処理し、精度よく速やかに異常を検知する異常検知装置、異常検知方法および異常検知プログラムを提供する。【解決手段】一実施形態に係る異常検知装置は、少なくも１つの異常検知対象が出力するシステムデータを取得し、前記システムデータに基づいて時系列の監視データを生成し、前記監視データを用いて第１の機械学習により得た相関モデルと入力監視データとから第１のモデル予測値を算出し、前記入力監視データの値と前記第１のモデル予測値との誤差の大きさを示す異常度を算出し、時系列データである異常度時系列データを出力し、前記異常度時系列データを用いて前記第１の機械学習とは異なる第２の機械学習により得た時系列モデルから前記異常度に対する第２のモデル予測値を算出し、前記異常度と前記異常度に対する前記第２のモデル予測値との誤差の大きさを示す乖離度を算出し、前記異常度または前記乖離度のいずれかに基づいて前記異常検知対象に異常が発生したか否かを判断する。【選択図】図２

Description

実施形態は、異常検知装置、異常検知方法および異常検知プログラムに関する。

車両等の機械設備に設けられたセンサの値（以降、センサ値と称する）を監視することで、故障予兆を検出することにより、故障発生前にその予兆を知らせる異常検知技術が知られている。

異常検知技術においては、複数のセンサ情報から故障予兆を行うために、同時刻に取得した複数のセンサ値を用いて機械学習を行い、学習によって得られた相関モデルによる値と取得したセンサ値との乖離度を基に評価を行う方法がある。

特開２０１８−１４７４４号公報

しかしながら、特許文献１の方法では、評価に使用するセンサ数に応じて評価指標である乖離度の処理量が増加する。

特に近年、インターネット上にＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇ）機器が多数接続されるようになり、ＩｏＴ機器が異常検知技術における情報源（センサに相当する）として利用されると、大量のセンサ値を効率よく処理する異常検知技術が望まれる。

また、異常検知技術を情報ネットワーク上のセキュリティ対策として利用する場合に、アクセスログなどに含まれるデータ（センサ値に相当する）が利用されるが、多種のデータを効率よく処理することが望まれる。

本発明が解決しようとする課題は、大量のセンサ値を効率よく処理し、精度よく速やかに異常を検知する異常検知装置、異常検知方法および異常検知プログラムを提供することである。

一実施形態に係る異常検知装置は、データ入力手段と、データ処理手段と、第１予測値算出手段と、異常度算出手段と、第２予測値算出手段と、判定値算出手段と、異常判定手段とを具備する。
データ入力手段は、少なくも１つの異常検知対象が出力するシステムデータを取得し、データ処理手段は、システムデータに基づいて時系列の監視データを生成し、第１予測値算出手段は、監視データを用いて第１の機械学習により得た相関モデルと入力監視データとから第１のモデル予測値を算出し、異常度算出手段は、入力監視データの値と第１のモデル予測値との誤差の大きさを示す異常度を算出し、時系列データである異常度時系列データを出力し、第２予測値算出手段は、異常度時系列データを用いて第１の機械学習とは異なる第２の機械学習により得た時系列モデルから異常度に対する第２のモデル予測値を算出し、判定値算出手段は、異常度と異常度に対する第２のモデル予測値との誤差の大きさを示す乖離度を算出し、異常判定手段は、異常度または乖離度のいずれかに基づいて異常検知対象に異常が発生したか否かを判断する。

図１は、第１の実施形態に係るネットワーク構成の一例を示す機能ブロック図である。 図２は、同実施形態に係る異常検知部の機能構成の一例を示す機能ブロック図である。 図３Ａは、同実施形態に係る第１学習部における機械学習の一例を示す図である。 図３Ｂは、同実施形態に係る第２学習部における機械学習の一例を示す図である。 図４Ａは、同実施形態に係る異常検知部の第１および第２モデル生成時の処理動作の一例を示すフローチャートである。 図４Ｂは、同実施形態に係る異常検知部の第１モデル生成時の詳細処理動作の一例を示すフローチャートである。 図４Ｃは、同実施形態に係る異常検知部の第２モデル生成時の詳細処理動作の一例を示すフローチャートである。 図５は、同実施形態に係る閾値決定部による閾値決定方法の一例を示す図である。 図６は、同実施形態に係る異常検知部の運用時の処理動作の一例を示すフローチャートである。 図７は、第２の実施形態に係る異常検知システムの構成の一例を示す機能ブロック図である。 図８は、同実施形態に係る被検知装置の機能構成の一例を示す機能ブロック図である。 図９は、第３の実施形態に係るネットワーク構成の一例を示す機能ブロック図である。 図１０は、同実施形態に係るネットワーク構成の一例を示す機能ブロック図である。

以下、図面を参照して実施形態を説明する。
（第１の実施形態）
第１の実施形態は、サーバがインターネットを介してクライアントにサービスを提供する情報ネットワークにおいて、サーバ上でサイバー攻撃や不正侵入などを検知する例を示す。

図１は、第１の実施形態に係るネットワーク構成の一例を示す機能ブロック図である。

サーバ１は、例えばＰＣなどのコンピュータにより構成される。サーバ１は、インターネットなどのネットワーク１０００に接続されており、複数の外部のクライアント（以降、外部クライアントと称する）とネットワーク１０００を介して接続され、外部クライアントにサービスを提供するＷｅｂサーバである。ここで外部クライアントは、例えばＰＣなどのコンピュータにより構成される。

異常検知部１０は、本実施形態においては、サーバ１上のアクセスログを使って、サーバ１へのサイバー攻撃や不正侵入といった異常の検知をする。異常検知部１０は、サーバ１上にてソフトウェアまたはハードウェアとして構成させる、もしくはソフトウェアとハードウェアとを混成させて構成させることでもよいし、コンピュータやＣＰＵ上で動作するプログラムであってもよい。

記憶部１１には外部クライアントによるサーバ１へのアクセスログが保存されており、例えば、アクセスのあった時刻およびアクセス元ＩＰアドレスやポート番号などの情報が保存されている。また記憶部１１には、異常検知部１０が機械学習をするためのデータセットが格納される。データセットとしては、正常動作時の学習データセットおよび推論データセット、未知状態の動作時の推論データセットなどを含む。

通信処理部１２は、外部クライアントとのデータ通信を行うインターフェースであり、外部クライアントから受信したデータをサーバ１の各機能へ送信したり、サーバ１の各機能からのデータを外部クライアントへ送信したりする。データ通信の方法は、ネットワークで規定される方法に準拠していれば特に限定されず、例えば、有線による通信でもよいし、各種無線方式を使った通信でも良い。

制御部１３は、サーバ１の各機能を制御する。なお、図１において制御部１３は、他のブロックと結線をしていないが、各機能との間でデータのやり取りをし、制御を行う。

サーバ基本処理部１４は、外部クライアントへサービスをするためのサーバ１の基本機能などが含まれ、特に異常検知部１０とは特に関わりがない処理機能が含まれる。

図２は、同実施形態に係る異常検知部１０の機能構成の一例を示す機能ブロック図である。

データ入力部１０１は、異常検知部１０の内部へデータを取り込むためのデータの入力部であり、記憶部１１や、通信処理部１２からデータが入力される。データ入力部１０１に入力されるデータを以降、システムデータと称する。システムデータは、例えば、Ｗｅｂサーバにおけるアクセスログのように、Ｗｅｂサーバの仕様に準じた形式でデータが蓄積されているファイルである。従って数値データのみでなく、コメントなどの文字が含まれる場合もある。

データ出力部１０２は、異常検知部１０の外部へデータを出力するためのデータの出力部である。例えば、データ出力部１０２は、異常検知部１０が生成する「異常検知の判断結果」を外部の図示せぬ表示部などに出力する。図示せぬ表示部は、入力された判断結果に基づいて、例えばユーザにアラーム通知をしたりする。

前処理部１０３は、データ入力部１０１から入力されるシステムデータを、後段で処理可能なデータにするために、データの標準化やデータクリーニングなどの処理し、出力する。例えば、得られるデータが文字列データの場合は数値化を行い、必要に応じて規格化やデータクリーニングを実施する。前処理部１０３における処理の方法についてはデータの形状、種類等に合わせた処理を行う必要があり、固定の方法に制限されるものではない。前処理部１０３が生成し、出力するデータを以降、監視データと称する。

本実施形態においては、監視データはＮ（Ｎは自然数）次元の時系列データであり、Ｗｅｂサーバのアクセスログに含まれるＮ種類の時系列データの例を示す。監視データは、それぞれ時間依存性をもつ１次元以上の時系列データであることが望ましいが、特に限定されるものではない。具体的には、アクセスログに含まれる取得時刻と紐づけられたＩＰアドレスやポート番号である。ここでＮ＝２として、ＩＰアドレスとポート番号との２種類の時系列データを生成してもよいが、本実施形態においては、ＩＰアドレスとポート番号を２進数のデータ（ビット）に変換し、１ビットごとの時系列データを生成する。例えば、ＩＰｖ４におけるＩＰアドレスは３２ビットにより構成されるため、３２種類の時系列データとみなす。また、同様にポート番号を１６ビットの数値データとして、ポート番号は１６種類の時系列データにより構成されるとみなす。従って、本実施形態においては、監視データは、Ｎ＝４８（＝３２＋１６）の時系列データとして出力される。

ここで、ＩＰアドレスの時系列データ数をＮａ、ポート番号の時系列データ数をＮｂとして、ＩＰアドレスとポート番号の時刻ｔにおける時系列データを次のように示す。

ＩＰアドレス：（ａ１（ｔ）、ａ２（ｔ）、・・・、ａＮａ（ｔ））
ポート番号：（ｂ１（ｔ）、ｂ２（ｔ）、・・・、ｂＮｂ（ｔ））
前処理部１０３が出力する時刻ｔにおける監視データをｘ（ｔ）とすると、ＩＰアドレスとポート番号を並べて次のように定義する。

監視データ：ｘ（ｔ）
＝（ａ１（ｔ）、・・、ａＮａ（ｔ）、ｂ１（ｔ）、・・、ｂＮｂ（ｔ））
＝（ｘ１（ｔ）、・・、ｘｉ（ｔ）、・・、ｘＮｘ（ｔ））
ただし、Ｎｘ＝Ｎａ＋Ｎｂであり、上の具体例の場合は、Ｎｘ＝４８である。

第１学習部１０４は、前処理部１０３から入力されるＮ次元の監視データから機械学習により相関モデルを特定する相関モデルパラメータを算出する。本実施形態においては、第１学習部１０４における機械学習アルゴリズムとしてＡｕｔｏ Ｅｎｃｏｄｅｒを用いる。Ａｕｔｏ Ｅｎｃｏｄｅｒについては、公知であるため詳細な説明は省略するが、図３Ａを用いて簡単に説明する。

図３Ａは、同実施形態に係る第１学習部における機械学習の一例を示す図であり、Ａｕｔｏ Ｅｎｃｏｄｅｒの例である。入力ユニット１０４１Ａ、１０４１Ｂ、１０４１Ｃ（以降、３つの入力ユニットで特に区別する必要がない場合は、単に入力ユニット１０４１と記す）は、監視データが入力される入力層である。入力ユニット１０４１Ａ、１０４１Ｂ、１０４１Ｃには、それぞれ異なる監視データｘｉ（ｔ）が入力される。ここでｉはＮｘ以下の自然数とし、各入力ユニットに割り振られた番号に相当する。例えば、入力ユニット１０４１Ａに対してｉ＝１、１０４１Ｂに対してｉ＝２、１０４１Ｃに対してｉ＝３のように割り振る。ただし、入力ユニットとｉの関係はこの限りではない。隠れ層ユニット１０４２は、Ａｕｔｏ Ｅｎｃｏｄｅｒによる相関モデルを特徴づける隠れ層である。出力ユニット１０４３Ａ、１０４３Ｂ、１０４３Ｃ（以降、３つの入力ユニットで特に区別する必要がない場合は、単に入力ユニット１０４１と記す）は、Ａｕｔｏ Ｅｎｃｏｄｅｒにより算出された結果が出力される出力層である。入力ユニットの数（以降、入力ユニット数と称する）と出力ユニットの数（以降、出力ユニット数と称する）は一致し、出力ユニット１０４３Ａ、１０４３Ｂ、１０４３Ｃは、それぞれ入力ユニット１０４１Ａ、１０４１Ｂ、１０４１Ｃの入力に対応する出力となる。従って、出力ユニット１０４３に対して対応する入力ユニット１０４１に割り振られた番号と同じ番号を割り振る。具体的には、１０４３Ａに対してｉ＝１、１０４３Ｂに対してｉ＝２、１０４３Ｃに対してｉ＝３となる。また、入力ユニット数、出力ユニット数は、監視データの時系列データ数Ｎｘに一致する。図３Ａにおいては、入力ユニット数が３、出力ユニット数が３、隠れ層ユニット数が２の場合の例として模式的に示したが、本実施形態における入力ユニット数および出力ユニット数はそれぞれＮｘである。

また、第１学習部１０４に相関モデルパラメータを算出させる前に、入力および出力ユニット数、隠れ層ユニット数やＥＰＯＣＨなどをＡｕｔｏ Ｅｎｃｏｄｅｒに予め設定しておく。設定は、ユーザインターフェースからユーザが設定してもかまわない。

図２に戻り、記憶部１０５は、第１学習部１０４が算出する相関モデルパラメータが保存される。

第１算出部１０６は、第１予測値算出手段１０６１と異常度算出手段１０６２を含む。

第１予測値算出手段１０６１は、記憶部１０５から相関モデルパラメータを取得し、取得した相関モデルパラメータにより特定される相関モデル（Ａｕｔｏ Ｅｎｃｏｄｅｒ）の入力ユニットに前処理部１０３から入力されるＮｘ個の監視データを入力し、出力ユニットからＮｘ個の出力データ（以降、相関モデル予測データと称する）を出力する。相関モデル予測データを以下のように示す。

相関モデル予測データ：ｚ（ｔ）＝（ｚ１（ｔ）、・・ｚｉ（ｔ）、・・、ｚＮｚ（ｔ））
ただし、ｉはＮｚ以下の自然数であり、Ｎｚ＝Ｎｘである。

異常度算出手段１０６２は、相関モデル予測データｚｉ（ｔ）と監視データｘｉ（ｔ）との２乗誤差（以降、第１の乖離度と称する）を全てのｉに対して計算し、それらの総和を異常度ｙ（ｔ）として算出する。

異常度：ｙ（ｔ）＝Σ＿｛ｉ＝１｝＾Ｎｚ｛（ｚｉ（ｔ）−ｘｉ（ｔ））^２｝
ただし、Σ＿｛ｉ＝１｝＾Ｎｚ｛ｆｉ（ｔ）｝は、関数ｆｉ（ｔ）の時刻ｔにおけるｉ＝１からｉ＝Ｎｚについての総和（サメーション）を意味する。

ここで、本実施形態では、監視データｘｉ（ｔ）の各要素に対して割り振られた番号ｉごとに重み係数ｋを定義する。

重み係数：ｋ＝（ｋ１、ｋ２、・・、・ｋｉ・・、ｋＮｘ）
この重み係数は、例えば、監視データの各要素ｉの重要度や第１の乖離度の大きさなどにより決定する。具体的には、第１の乖離度が大きいデータには、重み付けを大きな値にすることで、異常検知の検知速度が改善される。また、監視データｘｉ（ｔ）に含まれるＩＰアドレスのＬＳＢやＭＳＢなど特定のビットが異常検知には重要であると予めわかっているような場合は、そのビットに対するｋｉを大きな値に設定するといったように使用する。通常は、ｋｉ＝１（ただしｉはＮｘ以下の自然数）とする。重み係数を考慮する場合の異常度ｙ（ｔ）は、（ｚｉ（ｔ）−ｘｉ（ｔ））^２にｋｉを掛け算して、以下のようになる。

異常度（重み係数あり）：ｙ（ｔ）
＝Σ＿｛ｉ＝１｝＾Ｎｚ｛ｋｉ＊（ｚｉ（ｔ）−ｘｉ（ｔ））^２｝
重み係数を考慮することで、異常検知の検知速度が改善され、異常の誤検知を減少させる効果がある。

第１判定部１０７は、第１算出部１０６が算出した異常度ｙ（ｔ）に基づいて異常を検知したか否かを判定する。本実施形態においては、判定に異常度ｙ（ｔ）を用いることで、Ｎ次元の監視データに対する異常の判断を１次元の異常度ｙ（ｔ）で行うことが可能となり、異常検知処理の処理量を削減できる。また、１次元の異常度ｙ（ｔ）で判断を行うことで、異常検知の検知速度が改善される。

第１閾値決定部１０８は、第１算出部１０６が算出する異常度ｙ（ｔ）に対して、異常が発生しているか否かを決定するための閾値など判断基準を決定する。決定方法については、本実施形態における動作の説明にて詳述する。

平滑化部１０９は、入力された時系列データである異常度ｙ（ｔ）に対して平滑化を行い、平滑化された異常度Ｘ（ｔ）（以降、平滑異常度Ｘ（ｔ）と称する）を出力する。平滑化の手法は、単純移動平均でもよい。ただし平滑化は監視データの特性に応じて監視データごとに並行して実施することが可能であり、監視データごとに異なる平滑化法でもよく、例えば、同じ単純移動平均に限らない。また、平滑化の手法やパラメータは異常検知の対象データの特性に応じて任意に決定してよい。平滑化は、異常度の時系列データｙ（ｔ）に対するノイズ成分除去などの目的のために使用するが、異常検知の精度改善の効果もある。例えば、装置の経年劣化のように監視データが長時間で緩やかにしか変化しないような異常の検知をする場合は、瞬時の変動などノイズを除去するためにｙ（ｔ）の平滑化の度合いを強めるように平滑化の手法やパラメータを用いることも可能である。また一方、情報ネットワークなどにおける不正侵入など異常の検知する場合には、監視データの変動を早急に検知する必要があるため、ｙ（ｔ）に対し平滑化をしないかもしくは平滑化の度合いを弱めるように平滑化の手法やパラメータを用いることも可能である。

第２学習部１１０は、平滑化部１０９から入力される平滑異常度Ｘ（ｔ）の時系列データから機械学習により時系列モデルを特定する時系列モデルパラメータを算出する。本実施形態においては、第２学習部１１０における機械学習アルゴリズムとしてＬｏｎｇ−Ｓｈｏｒｔ Ｔｅｒｍ Ｍｅｍｏｒｙ（以降、ＬＳＴＭと称する）を用いる。ＬＳＴＭは、時間依存性を持つ時系列データを扱うことの可能な機械学習アルゴリズムの一つであるが、ＬＳＴＭのベースとなる機械学習アルゴリズムであるＲｅｃｕｒｒｅｎｔ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ（以降、ＲＮＮと称する）よりも、長期の時間依存性を持つ時系列データを扱うことが可能である。ＬＳＴＭについては、公知であるため詳細な説明は省略するが、図３Ｂを用いて簡単に説明する。

図３Ｂは、同実施形態に係る第２学習部における機械学習の一例を示す図であり、ＬＳＴＭの例である。

入力ユニット１１０１に、時刻ｔに平滑異常度Ｘ（ｔ）が平滑化部１０９から入力される。隠れ層１１０２は、時系列モデルを特徴付ける隠れ層であり、機械学習によって、時刻ｔに時系列モデルパラメータであるｈ（ｔ）が計算される。出力ユニット１１０３は、ｈ（ｔ−１）によって特徴づけられる時系列モデルを用いて時刻ｔに算出された、平滑異常度Ｘ（ｔ）に対する予測データＺ（ｔ）が出力される。図３Ｂにおいては、入力データＸ（ｔ）と時系列モデルパラメータｈ（ｔ−１）とから、予測データＺ（ｔ）が出力される関係がｔ＝１からｔ＝Ｔまで推移する様子が示されている。

図２に戻り、記憶部１１１は、第２学習部１１０が算出する時系列モデルパラメータが保存される。

第２算出部１１２は、第２予測値算出手段１１２１と判定値算出手段１１２２を含む。

第２予測値算出手段１１２１は、記憶部１１１から時系列モデルパラメータを取得し、取得した時系列モデルパラメータにより特定される時系列モデル（ＬＴＳＭ）の入力ユニット１１０１に平滑化部１０９からから入力される平滑異常度Ｘ（ｔ）を入力し、出力ユニット１１０３から時系列モデル予測データＺ（ｔ）を算出する。

判定値算出手段１１２２は、時系列モデル予測データＺ（ｔ）と平滑異常度Ｘ（ｔ）との２乗誤差を計算し、それを異常判定値Ｙ（ｔ）として算出する。

第２判定部１１３は、第２算出部１１２が算出した異常判定値Ｙ（ｔ）に基づいて異常を検知したか否かを判定する。

第２閾値決定部１１４は、第２算出部１１２が算出する異常判定値Ｙ（ｔ）に対して、異常が発生しているか否かを決定するための閾値など判断基準を決定する。決定方法については、本実施形態における動作の説明にて詳述する。

制御部１１５は、異常検知部１０の各機能を制御する。なお、図２において制御部１１５は特に結線をしていないが、各機能との間でデータのやり取りをし、制御を行う。

以下に、本実施形態に係るシステムの動作例を説明する。

本実施形態に係るシステムにおいては、機械学習によるモデル学習を完了させてから、学習したモデルを用いて運用する。
（機械学習によるモデル学習とモデル評価の動作例）
図４Ａは、同実施形態に係る異常検知部の第１および第２モデル生成時の処理動作の一例を示すフローチャートであり、異常検知部１０の機械学習によるモデル学習における処理動作の例を示している。

記憶部１１に保存されているアクセスログ（システムデータ）をデータ入力部１０１に入力して、第１学習部１０４にて機械学習（Ａｕｔｏ Ｅｎｃｏｄｅｒ）によって相関モデルの生成処理を行う（ステップＳ１１）。ここで用いるシステムデータは、正常動作時に取得したデータすなわち異常が発生していない時に取得したデータとし、学習用データと称する。また、正常動作時とは、例えば、装置を立ち上げたばかりの非定常な期間ではなく、ある程度長期間動作させた上で異常がないような定常的な期間を選択することが望ましい。
図４Ｂは、同実施形態に係る異常検知部の第１モデル生成時の詳細処理動作の一例を示すフローチャートであり、図４Ａのステップ１１の詳細を示している。
データ入力部１０１は学習用データを取得し、前処理部１０３へ出力する（ステップＳ１１０１）。前処理部１０３は、入力された学習用データから異常検知に必要なデータを抽出し、後段の第１学習部１０４が処理可能なデータ形式に変換して、監視データとして第１学習部１０４に出力する（ステップＳ１１０２）。本実施形態では、前処理部１０３は、ＩＰアドレスとポート番号のデータとそのデータを取得した時刻を抽出し、ＩＰアドレスとポート番号のデータを２進数のデータに変換し、時系列の監視データｘ（ｔ）として出力する。第１学習部１０４は、監視データｘ（ｔ）を入力ユニット１０４１から入力し、第１の機械学習を行う（ステップＳ１１０３）。具体的には、第１学習部１０４は、機械学習アルゴリズムであるＡｕｔｏ Ｅｎｃｏｄｅｒの相関モデルパラメータを十分な学習データを用いて機械学習により決定する。第１学習部１０４は、十分な量の学習用データで第１の機械学習を実施するまでステップＳ１１０１からＳ１１０４までの処理を繰り返す（ステップＳ１１０４のＮＯ）。第１学習部１０４は、十分な量の学習用データで第１の機械学習を実施したら第１のモデルの生成が完了する（ステップＳ１１０４のＹＥＳ）。第１学習部１０４は、生成した第１のモデルの相関モデルパラメータを記憶部１０５に保存する。

図４Ａに戻り、第１学習部１０４が学習用データにより相関モデルを生成すると、記憶部１１に保存されているアクセスログのうち学習用データとして用いたデータ以外のデータを用いて相関モデルの妥当性確認のための基準決定を行う（ステップＳ１２）。ここで用いるデータは、学習用データと同様、正常動作時に取得したデータとし、学習用データに対して判定基準設定用データと称する。具体的には以下のようなフローで処理をする。

判定基準設定用データをデータ入力部１０１から入力すると、データ入力部１０１は、監視データｘ（ｔ）として第１算出部１０６に出力する。第１算出部１０６は、記憶部１０５に保存されている相関モデルパラメータを用いて、監視データｘ（ｔ）に対する相関モデル予測データであるｚ（ｔ）を算出する。第１算出部は、監視データｘ（ｔ）と算出したｚ（ｔ）とから異常度ｙ（ｔ）を算出し、異常度ｙ（ｔ）を第１閾値決定部１０８へ出力する。第１閾値決定部１０８は、図示せぬ記憶部に異常度ｙ（ｔ）を蓄積し、例えば確率密度分布、累積密度分布などのデータ分布を形成する。

図５は、同実施形態に係る閾値決定部による閾値決定方法の一例を示す図であり、ここでは蓄積した異常度ｙ（ｔ）を用いて形成した確率密度分布の例を説明する。

縦軸１０８１は、確率密度の値を示す。横軸１０８２は、蓄積したデータの値を示し、ここでは異常度の値を示す。分布１０８３は確率密度分布の一例を示し、閾値１０８４は、異常度の値に対する閾値を示す。

例えば、分布１０８３の累積確率９０％値を閾値１０８４として決定する。異常度に対する閾値１０８４を第１閾値とする。決定した第１閾値は、第１閾値決定部１０８の図示せぬ記憶部に保存される。本実施形態においては９０％値を用いるが、９０％に限られずユーザが０％から１００％の任意の値に設定できる。

モデルの妥当性の評価基準としては、例えば、データ分布のデータ総数のうち、しきい値以内に収まっているデータ個数から求める比率を用いる方法もあるが、混同行列を用い、算出した正解率を用いる方法もある。閾値の決定は、一度決定した後も必要に応じて実施し、決定の頻度は学習回数に応じて決定する。

ステップＳ１２にて判定基準設定用データを用いた相関モデル確認のための判定基準が決定されると、記憶部１１に保存されているアクセスログのうち学習用データ、判定基準設定用データとして用いたデータ以外のデータを用いて相関モデルの妥当性確認を行う（ステップＳ１３）。ここで用いるデータは、学習用データ、判定基準設定用データと同様、正常動作時に取得したデータとし、推論用データと称する。具体的には相関モデルの妥当性確認を以下のように実施する。

判定基準設定用データの場合と同様、第１算出部は、推論用データに対する異常度ｙ（ｔ）を算出し、第１閾値決定部１０８の図示せぬ記憶部に異常度ｙ（ｔ）を蓄積し、確率密度関数のデータ分布を形成する。ここで形成するデータ分布には、判定基準設定用データから算出したデータは含ませない。十分な推論用データに対して、異常度ｙ（ｔ）データを蓄積しデータ分布が形成されたら、第１判定部１０７は、データ分布の９０％値と第１閾値決定部１０８に保存した第１閾値とを比較する（ステップＳ１４）。

第１判定部１０７による比較の結果、もしデータ分布の９０％値が第１閾値よりも大きい場合は、第１判定部１０７は相関モデルが正確に作成されていないと判断する。第１判定部１０７は判断結果を制御部１１５に出力すると、制御部１１５は、例えば、モニターなど図示せぬ表示部に「相関モデルの妥当性が確認できませんでした」といった表示をさせ、ユーザにアラーム通知する。ユーザにより再度ステップＳ１１の第１のモデル生成処理が実施される（ステップＳ１４のＮＯ）。再度ステップＳ１１を実施する場合は、ユーザは相関モデル（Ａｕｔｏ Ｅｎｃｏｄｅｒ）の隠れ層ユニット数やＥｐｏｃｈを変更するなどをして、再度同じ学習用データを用いて実施する。また、隠れ層ユニット数やＥｐｏｃｈの変更をせずに、学習用データを変えたり、学習用データの量を多くして再度機械学習したりする（機械学習による学習期間を長くする）などでステップＳ１１を実施することでもよい。また、本実施形態においては、アラーム通知を受けたユーザがステップＳ１１を再開させる例を示したが、例えば、隠れ層ユニット数やＥｐｏｃｈ、学習データなどの変更や相関モデルの妥当性の確認をプログラムなどで自動化させることでもかまわない。

ステップＳ１４において、第１判定部１０７による比較の結果、データ分布の９０％値が第１閾値よりも小さい場合は、第１判定部１０７は相関モデルが正確に作成されていると判断し、ステップＳ１５へ進む（ステップＳ１４のＹＥＳ）。

第１判定部１０７で相関モデルが正確に作成されていると確認された時に用いた学習データを再度データ入力部１０１に入力して、第２学習部１１０にて機械学習（例えば、ＬＴＳＭ）によって時系列モデルの生成処理を行う（ステップＳ１５）。具体的には、以下の例に示すようなフローとなる。
図４Ｃは、同実施形態に係る異常検知部の第２モデル生成時の詳細処理動作の一例を示すフローチャートであり、図４Ａのステップ１５の詳細を示している。

データ入力部１０１は学習用データを取得し、前処理部１０３へ出力する（ステップＳ１５０１）。前処理部１０３は、入力された学習用データから異常検知に必要なデータを抽出し、後段の第１学習部１０４が処理可能なデータ形式に変換して、監視データとして第１学習部１０４に出力する（ステップＳ１５０２）。第１算出部１０６は、入力された監視データと、先のステップＳ１４にて妥当性が確認された第１のモデルとから、異常度ｙ（ｔ）を算出する（ステップＳ１５０３）。異常度ｙ（ｔ）は平滑化部１０９に入力され、平滑化部１０９は平滑異常度Ｘ（ｔ）を出力する（ステップＳ１５０４）。平滑異常度Ｘ（ｔ）は第２学習部１１０に入力され、第２学習部１１０は平滑異常度Ｘ（ｔ）により第２の機械学習を行う（ステップＳ１５０５）。具体的には、第２学習部１１０は第２のモデルのモデルである時系列モデルを特定する時系列モデルパラメータを算出する。第２学習部１１０は、十分な量の学習用データで第２の機械学習を実施するまでステップＳ１５０１からＳ１５０６までの処理を繰り返す（ステップＳ１５０６のＮＯ）。第２学習部１１０は、十分な量の学習用データで第２の機械学習を実施したら第２のモデルの生成が完了する（ステップＳ１５０６のＹＥＳ）。第２学習部１１０は、生成した第２のモデルの時系列モデルパラメータを記憶部１１１に保存する（ステップＳ１５）。

図４Ａに戻り、第２学習部１１０による時系列モデルの生成が完了すると、ステップＳ１２で用いた判定基準設定用データ用いて時系列モデルの妥当性確認のための基準決定を行う（ステップＳ１６）。具体的には以下のようなフローで処理をする。

データ入力部１０１に入力された判定基準設定用データに対して第２算出部１１２が算出した異常判定値Ｙ（ｔ）を第２閾値決定部１１４の図示せぬ記憶部に蓄積し、例えば図５の確率密度関数のデータ分布１０８３を形成する。得られた異常判定値に対するデータ分布からステップＳ１２と同様に、例えば、分布の９０％値を第２閾値（図５の閾値１０８４に相当）として決定する。決定した第２閾値は、第２閾値決定部１１２の図示せぬ記憶部に保存する（ステップＳ１６）。

ステップＳ１６にて時系列モデル確認のための判定基準が決定されると、ステップＳ１３で用いた推論用データを用いて時系列モデルの妥当性確認を行う（ステップＳ１７）。

具体的には時系列モデルの妥当性確認を以下のように実施する。

第２算出部１１２は、推論用データに対する異常判定値Ｙ（ｔ）を算出し、ステップＳ１３同様に、第２閾値決定部１１４の図示せぬ記憶部に異常判定値Ｙ（ｔ）を蓄積し、確率密度関数のデータ分布を形成する。第２判定部１１３は、データ分布の９０％値と第２閾値決定部１１４に保存した第２閾値とを比較する（ステップＳ１８）。

第２判定部１１３による比較の結果、もしデータ分布の９０％値が第１閾値よりも大きい場合は、第２判定部１１３は時系列モデルが正確に作成されていないと判断する。第２判定部１１３は判断結果を制御部１１５に出力すると、制御部１１５は、例えば、モニターなど図示せぬ表示部に「時系列モデルの妥当性が確認できませんでした」といった表示をさせ、ユーザにアラーム通知する。ユーザにより再度ステップＳ１５の第２のモデル生成処理を実施する（ステップＳ１８のＮＯ）。再度ステップＳ１５を実施する場合は、ユーザは隠れ層ユニット数や時系列モデル予測データＺ（ｔ）の算出に必要な時系列モデルパラメータｈ（ｔ）の数といった設定パラメータの変更をするなどをして、再度、先にＳ１５で用いた学習用データにより学習を実施する。また、設定パラメータの変更をせずに、先にＳ１５で用いたデータとは異なる学習用データを使用したり、学習用データの量を多くして再度機械学習したりする（機械学習による学習期間を長くする）などでステップＳ１５を実施することでもよい。また、本実施形態においては、アラーム通知を受けたユーザがステップＳ１５を再開させる例を示したが、例えば、設定パラメータの変更や時系列モデルの妥当性の確認をプログラムなどで自動化させることでもかまわない。

ステップＳ１８において、第２判定部１１３による比較の結果、データ分布の９０％値が第２閾値よりも小さい場合は、第２判定部１１３は時系列モデルが正確に作成されていると判断し、相関モデル、時系列モデルの生成処理を終了する（ステップＳ１８のＹＥＳ）。以上の手順で作成された相関モデルによって異常検知対象機器であるサーバ１の正常動作状態をモデル化することができる。

なお、ステップＳ１４およびＳ１８において相関モデル、時系列モデルの妥当性が確認された場合に、図示せぬ表示部に「相関モデルは正確に作成されました」、「時系列モデルは正確に作成されました」などの表示をさせ、ユーザに通知してもよい。
（異常検知の運用時における動作例）
図６は同実施形態に係る異常検知部の運用時の処理動作の一例を示すフローチャートである。

異常検知部１０のデータ入力部１０１はシステムデータを取得する（ステップＳ１１１）。上記のモデル生成時に用いたシステムデータに対して、ここで用いるシステムデータを運用データと称する。運用データは、例えば、外部クライアントがサーバ１にアクセスした際に、通信処理部１２もしくはサーバ基本処理部１４などにおいて図示せぬバッファーなどの記憶部にアクセスログとして一時的に保存される。データ入力部１０１は、図示せぬバッファーにアクセスし運用データを取得する。データ入力部１０１が運用データを取得する周期は、できるだけ短い時間にすることで、速やかな異常検知が可能となる。また、アクセスログのデータが変化した場合のみ、データ入力部１０１はアクセスログを取得することでもよい。例えば、サーバ１の制御部１３がアクセスログのデータが変化したことを検知し、異常検知部１０の制御部１１５に異常検知の開始を命令すると、制御部１１５が、データ入力部１０１にアクセスログを取得させ、変化した部分のシステムデータに対してのみ後段処理を実施させてもよい。

運用データが前処理部１０３に入力されると、前処理部１０３は監視データｘ（ｔ）を出力する（ステップＳ１１２）。監視データｘ（ｔ）が、第１算出部１０６に入力されると、第１算出部１０６は、異常度ｙ（ｔ）を算出し第１判定部１０７に出力する。第１判定部１０７は、入力された異常度ｙ（ｔ）と第１閾値決定部１０８に保存されている第１閾値とを比較して、取得した運用データに異常が含まれているか否かを判定する（ステップＳ１１３）。具体的には、第１判定部１０７は、異常度ｙ（ｔ）が第１閾値よりも大きい場合、「Ｗｅｂサーバ（サーバ１）に異常が発生している」と判定し、図示せぬモニターなどの表示部に「Ｗｅｂサーバに異常発生」などと表示させ、ユーザにアラーム通知をする（ステップＳ１１４のＹＥＳ、Ｓ１１５）。

また、第１判定部１０７は、異常度ｙ（ｔ）が第１閾値よりも小さい場合（ステップＳ１１４のＮＯ）、「Ｗｅｂサーバに異常はなし」と判定し、ステップＳ１１６へ進む。

異常度ｙ（ｔ）は平滑化部１０９に入力され、平滑化部１０９は平滑異常度Ｘ（ｔ）を第２算出部１１２へ出力する（ステップＳ１１６）。第２算出部１１２は、異常判定値Ｙ（ｔ）を算出し、第２判定部１１３へ出力する。第２判定部１１３は、入力された異常判定値Ｙ（ｔ）と第２閾値決定部１１４に保存されている第２閾値とを比較して、取得した運用データに異常が含まれているか否かを判定する（ステップＳ１１７）。

第２判定部１１３は、異常判定値Ｙ（ｔ）が第２閾値よりも大きい場合、「Ｗｅｂサーバ（サーバ１）に異常が発生している」と判定し、図示せぬモニターなどの表示部に「Ｗｅｂサーバに異常発生」などと表示させ、ユーザにアラーム通知をする（ステップＳ１１８のＹＥＳ、Ｓ１１５）。

第２判定部１１３は、異常判定値Ｙ（ｔ）が第２閾値よりも小さい場合、「Ｗｅｂサーバに異常はなし」と判定し、次のシステムデータを取得する（ステップＳ１１８のＮＯ、Ｓ１１１）。

このように本実施形態によれば、判定に異常度ｙ（ｔ）を用いることで、Ｎ次元の監視データに対する異常の判断を１次元の異常度ｙ（ｔ）で行うことが可能となり、本実施形態における異常検知処理の処理量を削減できる。

また、算出した異常度ｙ（ｔ）に対し、異常検知を判定するための第２閾値を設定することで、大量のセンサ値（本実施形態においては監視データの種類Ｎｘ＝４８）を効率よく処理し、精度よく速やかに異常を検知する異常検知方法が提供可能となる。

なお、本実施形態においては、第２学習部１１０における機械学習アルゴリズムをＬＴＳＭとしたが、例えば、ＲＮＮでもよいし、またＬＴＳＭの変種であるＧａｔｅｄ Ｒｅｃｕｒｒｅｎｔ Ｕｎｉｔ（以降、ＧＲＵと称する）などの機械学習アルゴリズムを用いることでも良い。

ＧＲＵは、ＬＳＴＭの忘却ゲートと入力ゲートを更新ゲートとして１つのゲートに統合した構造となり、ＬＳＴＭでは４つのゲートがあったが、更新ゲート、忘却ゲート、出力ゲートの３つのゲートで構成され、ＬＳＴＭよりもパラメータ数や処理量が削減される。すなわちＬＳＴＭよりも簡易な構成でＬＳＴＭと同様に長周期データの特徴の記憶を維持しやすいアルゴリズムとなっている。

第２学習部１１０における機械学習アルゴリズムにＲＮＮやＧＲＵを適用した場合も、ＬＳＴＭの場合と同様に、図４Ａ、図６の手順に従うことで異常検知が可能となる。

このように本実施形態では、大量のセンサ値を同時に計算するだけではなく、各センサ値の時系列変化をも考慮することができるため、異常検出精度を改善する効果がある。また、異常検出の機会を増加させることができることから異常検出率を改善する効果がある。以上からサイバー攻撃の複雑化した情報ネットワークにおける異常検知にも利用可能となる。

なお、本実施形態においては、異常検知の運用時に、リアルタイムに運用データを取得して異常判定値Ｙ（ｔ）と第２閾値と比較することで異常検知を実施する例を示したが、運用データに対する異常判定値Ｙ（ｔ）をある程度の期間蓄積して、蓄積したデータに対して異常検知の判定を行うことでも良い。例えば、蓄積した異常判定値のデータのうち、ある閾値を超える異常判定値のデータの割合として異常検出割合（Ａｃｃｕｒａｃｙ）を算出し、任意に決定した異常検出割合のしきい値を超えるか否かで正常・異常を判定することでもよい。具体的には、異常判定値の時刻ｔまでの蓄積データ数をＮＹ（ｔ）、そのうち、第２閾値を超える異常判定値の数をＮａｂ（ｔ）とすると、異常検出割合ＰＡ（ｔ）＝Ｎａｂ（ｔ）／ＮＹ（ｔ）として求める。ＰＡ（ｔ）に対する第３閾値を例えば８０％とし、ＰＡ（ｔ）＞８０％となった時点で、異常が発生していると判定する。また同様の考え方は第１判定部における異常検知判定にも用いることができる。
（第２の実施形態）
本実施形態においては、検知対象として、複数センサを有する複数の被検知装置を想定し、それらの被検知装置に対する故障検知および故障予知を行う例を示す。第１の実施形態においては、ネットワーク上の異常検知についての一例を示したが、本実施形態においては、例えば、工場内のネットワークに接続された装置や設備の異常検知の一例を示す。

図７は、第２の実施形態に係る異常検知システムの構成の一例を示す機能ブロック図である。

異常検知システム２は、異常検知装置２０と１つ以上の被検知装置２００（図では２００Ａ、２００Ｂとしているが特に区別の必要がない場合は２００と記す）を含み、それぞれがネットワーク２０００に接続されている。異常検知装置２０と被検知装置２００とが工場などの閉じた場所で使用されることを考慮して、ネットワーク２０００は閉じたネットワークの一例として示したが、閉じたネットワークとは限らずインターネットなどでもよいし、また有線に限らず無線を用いたネットワークでも良い。

異常検知装置２０は、例えば、ＰＣなどのコンピュータによって構成され、図１に示した異常検知部１０を含む。また、記憶部２１、通信処理部２３、制御部２４もそれぞれ図１の記憶部１１、通信処理部１２、制御部１３と同等の機能であり、ここでは特に説明を省略する。

被検知装置２００は、１つ以上のセンサを有し、センサで取得したデータを異常検知システムに送信する。被検知装置２００は、例えば、ＰＣなどのコンピュータの他、センサを備える工場などで使用される機械設備や車両などでも良い。図では被検知装置２００Ａ、２００Ｂとして、被検知装置数が２の場合の例を示しているが、特に制限はなく、１つ以上の任意の数としてもよい。

図８は、同実施形態に係る被検知装置の機能構成の一例を示す機能ブロック図である。

被検知装置２００は、センサ２０１（図ではセンサ２０１Ａ、２０１Ｂを示しているが、特に区別の必要がない場合は２０１と記す）で、各種データを出力する。センサ２０１の種類は特に制限はなく、例えば、温度センサ、加速度センサ、また音響センサとしてマイク、光センサとしてカメラや映像撮影装置などでもよい。また、図ではセンサ２０１Ａ、２０１Ｂとしてセンサ数を２とした場合の例を示しているが、特に制限はなく、１つ以上の任意の数としてもよい。また、被検知装置２００ごとに備えるセンサ２０１の数や種類は異なってもよい。

データ処理部２０２は、センサ２０１が出力した各種センサデータを、２値データに変換したり、予め決められた形式のデータに加工したりして、出力する。

通信処理部２０３は、データ処理部２０２が出力するデータを異常検知装置２０へ送信するために、既定のフォーマットを形成し、ネットワークに出力する。ここで送信されるセンサに対応するデータをセンサデータと称する。

制御部２０４は、被検知装置２００の各機能を制御する。例えば、異常検知装置２０からの命令に従って、センサ２０１に対してデータを出力の有無を制御する。

以下に、本実施形態に係るシステムの動作例を説明する。

各被検知装置２００は、予め決められたセンサデータを異常検知装置２０へ送信する。本実施形態では、被検知装置２００から常時センサデータを収集している状況を想定しているが、異常検知装置２０が必要に応じてセンサデータを適宜収集可能としてもよい。また、本実施形態では、異常検知装置２０がネットワークを介してセンサデータを収集する状況を想定しているが、被検知装置２００からデータ収集装置等の別の装置を介してセンサデータを異常検知装置２０に入力することも可能である。
異常検知装置２０においては、通信処理部２３でセンサデータを受信し、異常検知部１０や記憶部２１に入力する。

異常検知装置２０における処理は、第１の実施形態において示した処理と同等である。すなわち、異常検知装置２０において、記憶部２１に保存されているセンサデータを、異常検知部１０のデータ入力部１０１に入力し、前処理部１０３が監視データｘ（ｔ）を生成、出力する。監視データｘ（ｔ）について下記に示す。

データ入力部１０１に入力される被検知装置２００Ａのセンサデータに対して、前処理部１０３から出力される監視データをｘ＿ａ（ｔ）と記す。また、被検知装置２００Ｂのセンサデータに対する監視データをｘ＿ｂ（ｔ）と記す。

例えば、被検知装置２００ＡからＮｓａ個のセンサからデータが出力され、被検知装置２００ＢからＮｓｂ個のセンサからデータが出力される場合は、
被検知装置２００Ａからの監視データ：ｘ＿ａ（ｔ）
＝（ａ１（ｔ）、ａ２（ｔ）、・・・、ａＮｓａ（ｔ））
被検知装置２００Ｂからの監視データ：ｘ＿ｂ（ｔ）
＝（ｂ１（ｔ）、ｂ２（ｔ）、・・・、ｂＮｓｂ（ｔ））
従って、監視データｘ（ｔ）は、ｘ＿ａ（ｔ）とｘ＿ｂ（ｔ）とから下記のようになる。

監視データ：ｘ（ｔ）
＝（ａ１（ｔ）、・・、ａＮｓａ（ｔ）、ｂ１（ｔ）、・・、ｂＮｓｂ（ｔ））
＝（ｘ１（ｔ）、・・、ｘｉ（ｔ）、・・、ｘＮｘ（ｔ））
ただし、Ｎｘ＝Ｎｓａ＋Ｎｓｂである。第１の実施形態においては、ｘ（ｔ）の各要素は２値データであったが、本実施形態では、実数でも構わない。

上記のように得た監視データｘ（ｔ）を用いることで、第１の実施形態において示した処理と同等の処理をすることで異常検知が可能となる。具体的には、図４Ａのフローチャートに従って、相関モデルと時系列モデルを決定する。相関モデルと時系列モデルが決定され、異常検知の運用に入ったら図６のフローチャートに従って処理を行うことで、異常検知が可能となる。

このように本実施形態によれば、複数センサを有する複数の被検知装置が設置される工場を想定し、異常検知システムとして精度よく速やかに異常を検知する異常検知装置が提供可能となる。

また、本実施形態の異常検知方法は、センサ群からのセンサデータに基づき、異なるセンサ間の相関性を把握し、センサの相関的変化に基づいて異常検知対象機器の挙動の変化および相関性を示すパラメータの時系列変動から、異常発生パターンを予知し、早期に異常を検知することが可能である。

（第３の実施形態）
本実施形態においては、情報ネットワークにおいて、ルータへのアクセスログを解析することで、外部ネットワークからのサイバー攻撃や不正侵入などを検知する例を示す。

図９は、第３の実施形態に係る異常検知システムの一例を示す機能ブロック図である。

異常検知システム３においては、ネットワーク３０００に異常検知装置２０、複数のルータ３００Ａ、３００Ｂ（特に区別の必要がない場合は、以降、ルータ３００と示す）が接続されている。

異常検知装置２０は、第２の実施形態にて示した図７の異常検知装置２０と同等である。

ネットワーク３０００は、ファイヤーウォールなどによりインターネットなどのパブリックなネットワークと隔離されたネットワークを想定しており、例えば、社内イントラネットである。

ルータ３００は、情報ネットワークで用いられるルータ装置であり、例えば、ファイヤーウォールなどがインストールされており、社内イントラネットとインターネットの境界であり、橋渡し的な役割を備える。また図９においては、ルータ３００Ａ、３００Ｂの２つが示されているが、ルータの数は特に制限はない。

図１０は、同実施形態に係るネットワーク構成の一例を示す機能ブロック図であり、ルータ３００からインターネット側のネットワーク構成の一例である。

ルータ３００は、データ処理部３１、通信処理部３２、制御部３３を備える。

ネットワーク３００１は、インターネットなど不特定多数の人がアクセス可能なパブリックなネットワークを想定している。

外部装置３０１Ａ、３０１Ｂは、ネットワーク３００１に接続可能な装置であり、不特定多数の装置を含んでも良い。例えば、ＰＣ、スマートフォンなどでもよい。

以下に、本実施形態に係るシステムの動作例を説明する。

異常検知装置２０は、各ルータ３００からアクセスログを取得し、異常検知部１０や記憶部２１に入力する。なるべく迅速に異常検知するためには、各ルータ３００から短期間でアクセスログを異常検知装置２０に送信するのが望ましい。

各ルータ３００のアクセスログには、各ルータ３００にアクセスした外部装置３０１のＩＰアドレスやアクセス先のＩＰアドレス、ポート番号などが示されている。

異常検知装置２０における処理は、第１の実施形態および第２の実施形態において示した処理と同等である。

すなわち、異常検知装置２０は、記憶部２１に保存されているアクセスログ（センサデータに相当）を、異常検知部１０のデータ入力部１０１に入力し、監視データｘ（ｔ）を出力する。監視データｘ（ｔ）について下記に示す。

前処理部１０３は、入力されるアクセスログに対して、データの標準化やデータクリーニング、抽出などの処理を行い、監視データｘ（ｔ）を出力する。監視データｘ（ｔ）の設定は、ルータ３００ごとにデータを分ける方法１と、全てのルータ３００のデータを一度合わせた後に、時刻でソートして、ルータ３００に依存しないデータの種類ごとの時系列データとする方法２がある。ルータ３００ごとのアクセスの状況が重視される場合には方法１を使用し、異常検知システム内へのアクセスの状況が重視される場合には、方法２を使用することが望ましい。

方法１の場合の監視データｘ（ｔ）は以下のようになる。図１０においては、外部装置３０１Ａ、３０１Ｂの２つの例について示しているが、ルータ３００Ａ、ルータ３００ＢにそれぞれＮｒａ個、Ｎｒｂ個の外部装置が接続した状況を想定する。

ルータ３００Ａのアクセスログに対する監視データ：ｘ＿ｒａ（ｔ）
＝（ａ１（ｔ）、ａ２（ｔ）、・・・、ａＮｒａ（ｔ））
ルータ３００Ｂのアクセスログに対する監視データ：ｘ＿ｒｂ（ｔ）
＝（ｂ１（ｔ）、ｂ２（ｔ）、・・・、ｂＮｒｂ（ｔ））
従って、前処理部１０３は、ｘ＿ｒａ（ｔ）とｘ＿ｒｂ（ｔ）とから監視データを下記のように得る。ただし、Ｎｘ＝Ｎｒａ＋Ｎｒｂである。

監視データ：ｘ（ｔ）
＝（ａ１（ｔ）、・・、ａＮｒａ（ｔ）、ｂ１（ｔ）、・・、ｂＮｒｂ（ｔ））
＝（ｘ１（ｔ）、・・、ｘｉ（ｔ）、・・、ｘＮｘ（ｔ））
また、方法２の場合は、前処理部１０３が全てのデータをまとめて、データを時刻でソートをして、下記のように監視データを得る。ただし、Ｎｘ＝Ｎｒａ＋Ｎｒｂである。
監視データ：ｘ（ｔ）＝（ｘ１（ｔ）、・・、ｘｉ（ｔ）、・・、ｘＮｘ（ｔ））
また、方法１、方法２において得たｘ（ｔ）の各要素は２値データでもよいし、本実施形態では、実数でも構わない。ただし、実数の場合は、前処理部１０３で０から１の値に正規化をする。

上記のように得た監視データｘ（ｔ）を用いることで、第１の実施形態において示した処理と同等の処理をすることで異常検知が可能となる。具体的には、図４Ａのフローチャートに従って、相関モデルと時系列モデルを決定する。相関モデルと時系列モデルが決定され、異常検知の運用に入ったら図６のフローチャートに従って処理を行うことで、異常検知が可能となる。

このように本実施形態によれば、インターネットのように不特定多数の外部装置３０１がルータ３００へアクセス可能な状況において、サーバ攻撃や不正アクセスなどの異常を精度よく速やかに検知する異常検知システムが提供可能となる。

以上述べた少なくとも１つの実施形態によれば、大量のセンサ値を効率よく処理し、精度よく速やかに異常を検知する異常検知装置、異常検知方法および異常検知プログラムを提供することができる。

なお、実施形態１から実施形態３のうち任意の実施形態、また各実施形態において用いられる任意の方法を組み合わせて実施しても構わない。また、各実施形態において、各実施形態で用いられる方法への切り替えを可能としても構わない。

上記した本システムにおける要点は以下のように記載することもできる。
（Ａ−１）
複数種類の入力データを収集するデータ収集工程（図６のステップＳ１１１）と、
前記収集データの正規化やデータ欠如時の処理を行う前処理工程（図６のステップＳ１１２）と、
前記収集データの正常時のデータについて機械学習を実行することで、前記入力データ間の相関モデルを生成する相関モデル生成工程（図４ＡのステップＳ１１〜Ｓ１３）と、
任意の評価時における複数種類のデータを、前記相関モデルへの各入力ノードと各出力ノードとの乖離度を評価する第１の検定工程（図６のステップＳ１１３）と、
前記正常状態からの乖離度について、各出力ノードの乖離度の総和を抽出する異常度抽出工程（図６のステップＳ１１３）と、
前記異常度抽出工程で抽出された、乖離度の総和の時系列データを平滑化する平滑化工程（図６のステップＳ１１６）と、
前記平滑化工程で平滑化された乖離度の総和の時系列データを機械学習へ入力することにより、正常時の時系列モデルを生成する時系列モデル生成工程（図４ＡのステップＳ１５〜Ｓ１７）と、
任意の評価時における前記乖離度の総和の時系列データを、前記時系列モデルとの乖離度を評価する第２の検定工程（図６のステップＳ１１７）と、
を含むことを特徴とする異常検知方法。
（Ａ−２）
前記相関モデル生成工程においては、時間変動が含まれる入力データに基づき、前記の時間変動が特徴ベクトルに含まれるように機械学習を実行することを特徴とする（Ａ−１）に記載の異常検知方法
（Ａ−３）
前記相関モデル生成工程においては、オートエンコーダを用いて相関モデルを生成し、
前記第１の検定工程においては、前記相関モデルへの入力値と出力値との誤差もしくは２乗誤差を正常状態からの乖離度として算出し、前記乖離度が予め定められた判定しきい値以上である場合には異常と判定することを特徴とする（Ａ−２）に記載の異常検知方法
（Ａ−４）
前記相関モデル生成工程においては、正常時のデータを学習データとして入力して相関モデルを生成し、
前記第１の検定工程においては、学習データ以外の正常時のデータによる前記相関モデルの入力値と出力値の誤差の分布が一定の割合を含む範囲を判定しきい値とする（Ａ−２）に記載の異常検知方法。
（Ａ−５）
前記第１の検定工程において異常と判定された場合は、その判定結果を出力して、異常と判定されなかった場合は、前記第２の検定工程を実施することを特徴とする（Ａ−１）に記載の異常検知方法。
（Ａ−６）
前記異常度抽出工程においては、前記相関モデル生成工程において抽出される各出力ノードの予測値と実測値との差分の和を抽出することを特徴とする（Ａ−１）に記載の異常検知方法
（Ａ−７）
前記異常度抽出工程においては、前記予測値と実測値の差分に対し前記差分の大きさもしくは重要度に基づき重み成分を付与する（Ａ−６）に記載の異常検知方法。
（Ａ−８）
前記異常抽出工程において生成された異常度は、前記予測値と実測値との差分の和であることを特徴とする（Ａ−６）に記載の異常検知方法。
（Ａ−９）
前記異常度の時系列データに対して前記平滑化工程で平滑化した時系列データにより、時系列モデル生成を行うことを特徴とする（Ａ−８）に記載の異常検知方法。
（Ａ−１０）
時間変動が含まれる前記異常度の時系列データを入力データとし、機械学習を実行することを特徴とする（Ａ−１）に記載の異常検知方法。
（Ａ−１１）
前記時系列モデル生成工程においては、ＬＳＴＭ（Ｌｏｎｇ−Ｓｈｏｒｔ Ｔｅｒｍ Ｍｅｍｏｒｙ）を用いて時系列モデルを生成し、
前記第２の検定工程においては、前記時系列モデルの入力値と出力値の誤差を正常状態からの乖離度として算出し、乖離度が予め定められた判定しきい値以上である場合には異常と判定することを特徴とする（Ａ−１０）記載の異常検知方法
（Ａ−１２）
前記異常抽出工程において、正常時のデータを基に抽出された異常度を出力し、
前記時系列モデル生成工程において、前記正常時のデータを基に抽出された異常度に基づいて時系列モデルを生成し、
前記第２の検定工程においては、前記時系列モデルの生成時に未使用の正常時のデータによる前記時系列モデルの入力値と出力値の誤差の分布において、分布の割合に対して判前記判定しきい値を定める（Ａ−１１）に記載の異常検知方法。
（Ａ−１３）
前記時系列モデル生成工程において、ＬＳＴＭの代わりにＲＮＮ（Ｒｅｃｕｒｒｅｎｔ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）を用いて時系列モデルを生成する（Ａ−１１）に記載の異常検知方法。
（Ａ−１４）
前記時系列モデル生成工程において、ＬＳＴＭの代わりにＧＲＵ（Ｇａｔｅｄ Ｒｅｃｕｒｒｅｎｔ Ｕｎｉｔ）を用いて時系列モデルを生成する（Ａ−１１）に記載の異常検知方法。

本発明のいくつかの実施形態を説明したが、これらの実施形態は例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。複数の実施形態を組み合わせてもよく、この組み合わせで構成される実施例も発明の範疇である。また、使用している名称や用語についても限定されるものではなく、他の表現であっても実質的に同一内容、同趣旨であれば、本発明に含まれるものである。さらに、請求項の各構成要素において、構成要素を分割して表現した場合、或いは複数を合わせて表現した場合、或いはこれらを組み合わせて表現した場合であっても本発明の範疇である。

本発明の実施形態を説明するための図面は、説明をより明確にするため、実際の態様に比べて、各部の幅、厚さ、形状等について模式的に表される場合がある。図面の機能ブロック図においては、説明に必要な機能の構成要素をブロックで表しており、一般的な機能の構成要素についての記載を省略している場合がある。また機能を示すブロックは機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。例えば、各機能のブロックの分散・統合の具体的な形態は図中の形態に限らない。各機能のブロックにおける使用状況などに応じて、機能的もしくは物理的に分散・統合して構成する。また、図面の機能ブロック図においては、結線されていないブロック間、もしくは結線されていても矢印が示されていない方向に対してもデータや信号のやり取りを行う場合もある。

図面のフローチャートに示す処理は、ハードウェア（ＩＣチップなど）もしくはソフトウェア（プログラムなど）もしくはハードウェアとソフトウェアの組み合わせによって実現してもよい。また請求項を制御ロジックとして表現した場合、コンピュータを実行させるインストラクションを含むプログラムとして表現した場合、及び前記インストラクションを記載したコンピュータ読み取り可能な記録媒体として表現した場合でも本発明の装置を適用したものである。

また、使用している名称や用語についても限定されるものではなく、他の表現であっても実質的に同一内容、同趣旨であれば、本発明に含まれるものである。

１・・・サーバ１０・・・異常検知部、１１・・・記憶部、１２・・・通信処理部、１３・・・制御部、１４・・・サーバ基本処理部、１０１…データ入力部、１０２…データ出力部、１０３…前処理部、１０４…第１学習部、１０５…記憶部、１０６…第１算出部、１０７…第１判定部、１０８…第１閾値決定部、１０９…平滑化部、１１０…第２学習部、１１１…記憶部、１１２…第２算出部、１１３…第２判定部、１１４…第２閾値決定部、１１５…制御部。

Claims (18)

1. 少なくも１つの異常検知対象が出力するシステムデータを取得するデータ入力手段と、
   前記システムデータに基づいて時系列の監視データを生成するデータ処理手段と、
   前記監視データを用いて第１の機械学習により得た相関モデルと入力監視データとから第１のモデル予測値を算出する第１予測値算出手段と、
   前記入力監視データの値と前記第１のモデル予測値との誤差の大きさを示す異常度を算出し、時系列データである異常度時系列データを出力する異常度算出手段と、
   前記異常度時系列データを用いて前記第１の機械学習とは異なる第２の機械学習により得た時系列モデルから前記異常度に対する第２のモデル予測値を算出する第２予測値算出手段と、
   前記異常度と前記異常度に対する前記第２のモデル予測値との誤差の大きさを示す乖離度を算出する判定値算出手段と、
   前記異常度または前記乖離度のいずれかに基づいて前記異常検知対象に異常が発生したか否かを判断する異常判定手段とを具備することを特徴とする異常検知装置。
2. 前記第１の機械学習は、Ａｕｔｏ Ｅｎｃｏｄｅｒを用いる請求項１に記載の異常検知装置。
3. 前記第１の機械学習は、前記異常検知対象に異常が検知されていない期間に取得された第１のシステムデータから得られる第１の監視データを用いて、前記相関モデルを生成することを特徴とする請求項１もしくは請求項２のいずれか１項に記載の異常検知装置。
4. 前記異常度算出手段は、前記入力監視データの値と前記第１のモデル予測値との二乗誤差である再構成誤差ごとに前記再構成誤差の大きさもしくはプライオリティに基づいて重み付けをし、前記重み付した再構成誤差の総和を異常度として算出することを特徴とする請求項１乃至請求項３のいずれか１項に記載の異常検知装置。
5. 第１の閾値決定手段をさらに備え、
   前記異常度算出手段は、前記第１のシステムデータから得られる第１の監視データを含まない第２の監視データを用いて第１の異常度を算出し、
   前記第１の閾値決定手段は、前記第１の異常度の値を蓄積して第１の異常度の確率分布を作成し、前記第１の異常度の確率分布における累積確率によって第１の閾値を決定し、
   前記異常判定手段は、前記第１の閾値を決定した後に、前記異常検知対象から運用時に取得される第２のシステムデータから第３の監視データを得て、得られた前記第３の監視データを用いて第２の異常度を算出し、前記第２の異常度と前記第１の閾値とを用いて前記異常検知対象に異常が発生しているか否かを判断する請求項３に記載の異常検知装置。
6. 前記異常判定手段は、前記第２の異常度が前記第１の閾値を超えた場合に、前記異常検知対象に異常が発生していると判断する請求項５に記載の異常検知装置。
7. 前記第１の閾値決定手段は、前記第２の異常度の値で第２の異常度の確率分布を作成し、
   前記異常判定手段は、前記第２の異常度の確率分布において前記第１の閾値以上である前記第２の異常度の割合が予め定めた第１の割合閾値を超えた場合に、前記異常検知対象に異常が発生していると判断する請求項５に記載の異常検知装置。
8. 前記第１の閾値決定手段が前記第１の閾値を決定した後に、前記第１の異常度を用いて前記第２の機械学習によって前記時系列モデルを生成することを特徴とする請求項５に記載の異常検知装置。
9. 第２の閾値決定手段をさらに備え、
   前記第２の閾値決定手段は、前記第１の異常度から算出した第１の乖離度の値を蓄積して第１の乖離度の確率分布を作成し、前記第１の乖離度の確率分布における累積確率によって第２の閾値を決定し、
   前記異常判定手段は、前記第２の閾値決定手段が前記第２の閾値を決定した後に、前記第２の異常度を用いて算出した第２の乖離度の値と前記第２の閾値とを用いて前記異常検知対象に異常が発生しているか否かを判断する請求項８に記載の異常検知装置。
10. 前記異常判定手段は、前記第２の乖離度の値が前記第２の閾値よりも大きい場合に前記異常検知対象に異常が発生していると判定する請求項９に記載の異常検知装置。
11. 前記異常判定手段は、前記第２の乖離度の値で第２の乖離度の確率分布を作成し、前記第２の乖離度の確率分布において前記第２の閾値以上である前記第２の乖離度の割合が予め定めた第２の割合閾値を超えた場合に、前記異常検知対象に異常が発生していると判断する請求項９に記載の異常検知装置。
12. 前記異常判定手段は、前記第２の異常度と前記第１の閾値とを用いて前記異常検知対象に異常が発生していないと判断した場合に、前記乖離度による判定を実施する請求項１０または請求項１１のいずれか１項に記載の異常検知装置。
13. 前記異常度算出手段が出力する前記異常度の時系列データを平滑化する平滑化部をさらに備え、
    前記平滑化部により平滑化した前記異常度の時系列データを前記判定値算出手段への入力とする請求項８乃至請求項１２のいずれか１項に記載の異常検知装置。
14. 前記第２の機械学習は、Ｌｏｎｇ−Ｓｈｏｒｔ Ｔｅｒｍ Ｍｅｍｏｒｙを用いる請求項１に記載の異常検知装置。
15. 前記第２の機械学習は、Ｒｅｃｕｒｒｅｎｔ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋを用いる請求項１に記載の異常検知装置。
16. 前記第２の機械学習は、Ｇａｔｅｄ Ｒｅｃｕｒｒｅｎｔ Ｕｎｉｔを用いる請求項１に記載の異常検知装置。
17. 少なくも１つの異常検知対象が出力するシステムデータを取得し、
    前記システムデータに基づいて時系列の監視データを生成し、
    前記監視データを用いて第１の機械学習により得た相関モデルと入力監視データとから第１のモデル予測値を算出し、
    前記入力監視データの値と前記第１のモデル予測値との誤差の大きさを示す異常度を算出し、
    時系列データである異常度時系列データを出力し、
    前記異常度時系列データを用いて前記第１の機械学習とは異なる第２の機械学習により得た時系列モデルから前記異常度に対する第２のモデル予測値を算出し、
    前記異常度と前記異常度に対する前記第２のモデル予測値との誤差の大きさを示す乖離度を算出し、
    前記異常度または前記乖離度のいずれかに基づいて前記異常検知対象に異常が発生したか否かを判断する異常検知方法。
18. 異常検知対象に異常が発生したか否かをコンピュータが判断するプログラムであって、
    少なくも１つの異常検知対象が出力するシステムデータを取得する手順と、
    前記システムデータに基づいて時系列の監視データを生成する手順と、
    前記監視データを用いて第１の機械学習により得た相関モデルと入力監視データとから第１のモデル予測値を算出する手順と、
    前記入力監視データの値と前記第１のモデル予測値との誤差の大きさを示す異常度を算出する手順と、
    時系列データである異常度時系列データを出力する手順と、
    前記異常度時系列データを用いて前記第１の機械学習とは異なる第２の機械学習により得た時系列モデルから前記異常度に対する第２のモデル予測値を算出する手順と、
    前記異常度と前記異常度に対する前記第２のモデル予測値との誤差の大きさを示す乖離度を算出する手順と、
    前記異常度または前記乖離度のいずれかに基づいて前記異常検知対象に異常が発生したか否かを判断するする手順とを前記コンピュータに実行させるためのプログラム。

Images