JP2021125035A - 検知プログラム、検知方法及び検知装置 - Google Patents

Abstract

【課題】適切な閾値を設定し、異常検知の精度を向上させること。
【解決手段】検知装置は、移動体の動作に関する第１の項目の値ｘ及び第２の項目の値ｙを有する学習用のログデータに基づいて、ｘからｙの推定値を導出するｋ近傍交叉カーネル回帰による回帰関数を生成する。検知装置は、ｘごとのｙの推定値の信頼区間幅、及び回帰関数に基づいて、ｘからｙの推定値に関する所定の閾値を算出するための基準を決定する。検知装置は、ｘ及びｙを有する判定用のログデータの、ｘから回帰関数によって導出されたｙの推定値と、判定用のログデータに含まれるｙの実測値との差を算出する。検知装置は、算出した差が、当該ｘから基準を基に算出された閾値以内であるか否かに基づいて、移動体の異常の有無を判定する。
【選択図】図４

Description

本発明は、検知プログラム、検知方法及び検知装置に関する。

従来、非線形回帰モデルを用いて得られた推定値と実測値との差を閾値により評価することにより異常を検知する手法が知られている。また、カーネル回帰による予測値の算出を高速化するための手法として、ｋ近傍交叉カーネル回帰が知られている。ｋ近傍交叉カーネル回帰では、各学習データのｋ近傍を使ってカーネルの計算が行われるため、各学習データについて他の全ての学習データを使ってカーネルの計算を行う場合と比べて、計算時間の短縮が期待できる。

特開２００４−１１８６５８号公報

しかしながら、上記の閾値を用いた異常検知手法には、適切な閾値の設定が困難であることから、異常検知の精度が低下する場合があるという問題がある。例えば、非線形回帰においては、変数の領域ごとに、推定精度が異なる場合がある。そのような場合に、全領域に対し一定の閾値が設定されると、例えば推定精度が高い領域では未検知が発生しやすくなり、推定精度が低い領域では誤検知が発生しやすくなるため、総合的な推定精度が低下することが考えられる。

１つの側面では、適切な閾値を設定し、異常検知の精度を向上させることを目的とする。

１つの態様において、検知プログラムは、移動体の動作に関する第１の項目の値及び第２の項目の値を有する第１のログデータに基づいて、第１の項目の値から第２の項目の値の推定値を導出するｋ近傍交叉カーネル回帰による回帰関数を生成する処理をコンピュータに実行させる。検知プログラムは、第１の項目の値ごとの推定値の信頼区間幅、及び回帰関数に基づいて、第１の項目の値から推定値に関する所定の閾値を算出するための基準を決定する処理をコンピュータに実行させる。検知プログラムは、第１の項目の値及び第２の項目の値を有する第２のログデータの、第１の項目の値から回帰関数によって導出された第２の項目の推定値と、第２のログデータに含まれる第２の項目の実測値との差を算出する処理をコンピュータに実行させる。検知プログラムは、算出した差が、当該第１の項目の値から基準を基に算出された閾値以内であるか否かに基づいて、移動体の異常の有無を判定する処理をコンピュータに実行させる。

本発明の１実施態様によれば、適切な閾値を設定し、異常検知の精度を向上させることができる。

図１は、実施例に係る検知装置の機能構成を示す機能ブロック図である。 図２は、説明変数空間におけるｋ２近傍を説明する図である。 図３は、ｋ近傍の学習データを説明する図である。 図４は、信頼区間幅及び閾値関数を説明する図である。 図５は、検知処理の流れを示すフローチャートである。 図６は、検知システムの構成例を説明する図である。 図７は、ハードウェア構成例を説明する図である。

以下に、本発明にかかる検知プログラム、検知方法及び検知装置の実施例を図面に基づいて詳細に説明する。なお、この実施例により本発明が限定されるものではない。また、各実施例は、矛盾のない範囲内で適宜組み合わせることができる。

実施例に係る検知装置は、例えば自動車、航空機及び船舶等の移動体が置かれた環境条件を基に異常検知を行う。例えば、環境条件は、移動体から所定の距離以内の領域における媒質の変動速度、形状、及び移動体の動力資源の残量等である。具体的には、環境条件は、移動体が置かれた場所の周囲の風速、風向、波速、波高、道路の勾配、ガソリンや電池等の動力資源の残量等である。このような環境条件は、環境により状況が急変しない連続系の物理モデルと考えることができる。

検知装置は回帰モデルを用いて予測値を出力し、予測値と実測値との差が閾値を超えている場合は異常を検知する。予測値及び実測値は、例えば、移動体の速度、動力資源の消費量等であってもよい。このとき、環境条件及び予測値は、それぞれ回帰モデルにおける説明変数及び目的変数である。また、回帰モデルにおける説明変数は、複数の環境条件を多次元ベクトルで表したものであってもよい。また、検知装置は、カーネルを用いたカーネル回帰モデルを用いる。

学習データは、環境条件及び移動体の性能に加え、移動体の状態が異常であるか否かが既知のデータである。また、予測データは、環境条件及び移動体の性能が既知であり、移動体の状態が異常であるか否かを検知する対象のデータである。上記の通り、環境条件を示すデータの分布は、一様かつ稠密に広がっている。

［機能構成］
図１を用いて、実施例に係る検知装置の機能構成について説明する。図１は、実施例に係る検知装置の機能構成を示す機能ブロック図である。図１に示すように、検知装置１０は、入力部１１、出力部１２、通信部１３、記憶部１４及び制御部１５を有する。

入力部１１は、ユーザが情報を入力するための装置である。例えば、入力部１１は、マウス及びキーボードである。また、出力部１２は、画面を表示するディスプレイ等である。また、入力部１１及び出力部１２は、タッチパネルディスプレイであってもよい。

通信部１３は、他の装置との間でデータの通信を行うためのインタフェースである。例えば、通信部１３はＮＩＣ（Network Interface Card）であり、インターネットを介してデータの通信を行う。

記憶部１４は、データや制御部１５が実行するプログラム等を記憶する記憶装置の一例であり、例えばハードディスクやメモリ等である。記憶部１４は、学習データ記憶部１４１及びカーネル情報記憶部１４２を有する。

学習データ記憶部１４１は、あらかじめ収集された、環境条件及び移動体の性能の実測値の組み合わせである学習データを記憶する。説明変数をｘ_ｉ、目的変数をｙ_ｉとして、学習データは（ｘ_ｉ，ｙ_ｉ）（ｉ＝１，２，…，ｎ）のように表される。ただし、ｎは学習データの個数である。また、ｘ_ｉは、多次元ベクトルであってもよい。

カーネル情報記憶部１４２は、カーネル回帰で用いられる計算値等を記憶する。例えば、カーネル情報記憶部１４２は、学習データのそれぞれについて事前に計算されたカーネル及び信頼区間幅を記憶する。なお、カーネル及び信頼区間幅の計算方法については後述する。

制御部１５は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１５は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されるようにしてもよい。制御部１５は、生成部１５１、決定部１５２及び判定部１５３を有する。

検知装置１０が実行する各処理は、学習フェーズ、準備フェーズ、及び検知フェーズに分けることができる。学習フェーズにおいては、検知装置１０は、学習データから、カーネル回帰関数に必要なカーネルを生成する。準備フェーズにおいては、検知装置１０は、異常検知に必要な関数等を、カーネルを使って生成する。検知フェーズにおいては、予測データを関数を使い、実際に異常検知を行う。以降では、まずｋ２近傍について説明した後、各フェーズごとの処理を説明する。

［ｋ２近傍について］
本実施例では、入力部１１に入力された移動体の運動に関する入力データを学習データとして扱う。言い換えれば、学習データは入力データの一例であるとも言える。生成部１５１は、学習データのうち、予測対象の環境条件に応じ特定の数で選択された区間のデータである区間データを用いて、移動体の運動に関するカーネル回帰関数を生成する。例えば、移動体から所定の距離以内の領域における媒質の変動速度、形状、及び移動体の動力資源の残量の少なくともいずれかを含む学習データから選択された区間データを用いて、カーネル回帰関数を生成する。この区間データがｋ２近傍である。

学習データは、学習データ記憶部１４１に格納される。また、本実施例では、予測対象の環境条件に応じた特定の数を、ｋ２と呼ぶ。また、区間データは、ｋ２近傍に含まれる学習データと言い換えることができる。また、例えば、媒質は、空気、水及び地面等である。また、例えば、動力資源は、ガソリン及び電池等である。また、前述の通り、環境条件は、移動体が置かれた場所の周囲の風速、風向、波速、波高、道路の勾配、ガソリンや電池等の残量等である。

生成部１５１は、ｋ２としてあらかじめ設定された数を用いる。この数は、例えば、ｋ２近傍を用いて生成されたカーネル回帰関数に基づき算出された目的変数と、移動体の運動に関する学習データの全てを用いて生成されたカーネル回帰関数に基づき算出された目的変数との差が所定値以下になるように設定される。また例えば、生成部１５１は、ｋ２の値を1からnまで設定できるが、推定精度が落ちずに高速に計算できるよう、チューニングして決定された値をｋ２として用いる。例えば、生成部１５１は、学習データの数が１０，０００を超えるような場合であっても、ｋ２を１００以下の小さい数に設定することができる場合がある。このように、実施例では、カーネル関数の生成に用いるデータの数を非常に小さくすることができるため、高速なカーネル回帰の計算が可能になる。

生成部１５１は、移動体の運動に関する学習データから、予測対象の環境条件を表す予測データとのユークリッド距離が小さい順に特定の数だけ選択したｋ２近傍を用いてカーネル回帰関数を生成する。ここで、予測対象の環境条件は、予測データの回帰モデルにおける説明変数と言い換えることができる。つまり、生成部１５１は、予測データの説明変数と学習データそれぞれの説明変数とのユークリッド距離を計算する。

図２は、説明変数空間におけるｋ２近傍を説明する図である。ｘ_１及びｘ_２は、説明変数の項目である。ここでは簡単のため、説明変数を２次元とするが、実際には説明変数は３次元以上であってもよい。また、図２の○は予測データの説明変数である。また、図２の×は、学習データの説明変数である。図２の２０４の領域は、説明変数２０１のｋ２近傍を示す。

カーネル回帰関数による予測精度が高いほど、異常検知精度も高くなる。ここで、環境条件が近い場合、移動体の運動に関する性能は近くなるという物理特性を鑑みると、ｋ２近傍の説明変数は、予測精度の向上に寄与することが考えられる。

ここで、ｋ２近傍に含まれる学習データは、（１）式のように表される。

また、ｋ２近傍Ｘ_ｋ２は、（２）式のように表される。ただし、ｊ＝１，２，…，ｋ２である。

［学習フェーズの処理］
まず、学習フェーズにおける検知装置１０の各部の処理を説明する。学習フェーズにおいて、生成部１５１は、各学習データについて、あらかじめカーネルＫ（ｘ，ｘ_ｉ）を計算し、カーネル情報記憶部１４２に格納する。このとき、生成部１５１は、従来のｋ近傍交叉カーネル回帰と同様の方法でカーネルを計算することができる。すなわち、生成部１５１は、ｘ_ｉのカーネルを、ｘ_ｉのｋ近傍に含まれる学習データの説明変数から計算する。なお、ここでのｋは、ｋ２近傍におけるｋ２とは別個に設定される自然数である。

［準備フェーズ］
次に、準備フェーズにおける検知装置１０の各部の処理を説明する。なお、準備フェーズの各処理は、学習データを使って行われるため、学習フェーズに含まれていてもよい。準備フェーズにおいて、生成部１５１は、学習フェーズにおいて計算したカーネルを用いて、（３）式に示すカーネル回帰関数を生成する。

ｋ近傍は、学習データの説明変数ｘ_ｉによって、図３のように決定される。図３は、ｋ近傍の学習データを説明する図である。図３に示すように、ｋ近傍の学習データの説明変数は、説明変数ｘ_ｉを中心とする一定の範囲内に含まれる。

このように、生成部１５１は、移動体の動作に関する第１の項目の値及び第２の項目の値を有する学習用のログデータに基づいて、第１の項目の値から第２の項目の値の推定値を導出するｋ近傍交叉カーネル回帰による回帰関数を生成する。学習用のログデータは、第１のログデータの一例である。説明変数ｘｉは、第１の項目の一例である。また、目的変数ｙ_ｉは、第２の項目の一例である。また、生成部１５１は、一様かつ稠密な学習用のログデータの第１の項目の値のそれぞれについて、ｋ個（ただし、ｋは正の整数）の近傍からカーネル関数を生成するということができる。

また、生成部１５１は、（４）式により、学習データそれぞれについて信頼区間幅を計算する。信頼区間幅は、カーネル回帰関数により出力された予測値の標準偏差ということができる。

なお、関数の生成とは、単に関数を使って計算を行う際に必要なパラメータを計算し記憶しておくことを指すものであってもよい。例えば、生成部１５１は、（３）式で用いられるパラメータとして、学習データのそれぞれのカーネルＫ（ｘ，ｘ_ｉ）及び信頼区間Ｖ^ｐ（ｘ_ｉ）を計算し記憶部１４に格納しておくだけでもよい。

決定部１５２は、第１の項目の値ごとの推定値の信頼区間幅、及び回帰関数に基づいて、第１の項目の値から推定値に関する所定の閾値を算出するための基準を決定する。例えば、決定部１５２は、推定値の標準偏差の近似値を定数倍にする関数を基準として決定する。

まず、決定部１５２は、（５）式を満たす最小のδ_ｉを定数に設定することができる。ただし、ｘ_ｉのｋ近傍ｘ_ｉ，１,ｘ_ｉ，２,…,ｘ_ｉ，ｋ∈Ｘ_ｉｋに対する目的変数をｙ_ｉ，１,ｙ_ｉ，２,…,ｙ_ｉ，ｋとする。

そして、決定部１５２は、（６）式のように閾値関数μ（ｘ）を決定する。

閾値関数μ（ｘ）は、閾値を算出するための基準の一例である。閾値関数μ（ｘ）は、任意の点ｘの信頼区間幅＾Ｖ^ｐ（ｘ）（以降、＾ＡはＡの直上に＾が付されている記号を表すものとする。）と同等である。ここで、（４）式より、Ｖ^ｐ（ｘ）は標準偏差に該当する。また、信頼区間幅＾Ｖ^ｐ（ｘ）は、Ｖ^ｐ（ｘ）から作成されるため、＾Ｖ^ｐ（ｘ）についても標準偏差に該当するものとして扱うことができる。

これより、（６）式の閾値関数μ（ｘ）は、標準偏差の定数倍ということができる。なお、δ_ｉは、あらかじめ定められた定数であってもよい。例えば、δ_ｉを４に設定すると、閾値関数μ（ｘ）は、平均を中心とするいわゆる４σの範囲（-４σ〜＋４σ）を表すものとなり、統計的に意味があるものといえる。

［検知フェーズ］
判定部１５３は、第１の項目の値及び第２の項目の値を有する判定用のログデータの、第１の項目の値から回帰関数によって導出された第２の項目の推定値と、判定用のログデータに含まれる第２の項目の実測値との差を算出する。判定用のログデータは、第２のログデータの一例である。そして、判定部１５３は、算出した差が、当該第１の項目の値から基準を基に算出された閾値以内であるか否かに基づいて、移動体の異常の有無を判定する。

具体的には、まず判定部１５３は、カーネル回帰関数に基づき、予測データの目的変数の推定値を算出する。そして、判定部１５３は、（３）式のｘに予測データの説明変数を代入し、予測値を算出する。

ここで、予測データの説明変数をｘ´、予測データの目的変数をｙ´とする。このとき、判定部１５３は、（３）式の回帰関数式及び（６）式の閾値関数を使って、（７）式により評価を行う。

判定部１５３は、（７）式が成り立つ場合は、異常と判定する。（７）式が成り立つということは、予測値と実測値との差が閾値を超えているということである。また、判定部１５３は、（７）式が成り立たない場合は、正常と判定する。（７）式が成り立たないということは、予測値と実測値との差が閾値以内であるということである。判定部１５３は、判定の結果を異常フラグ又は正常フラグとして出力する。

図４を用いて、信頼区間幅及び閾値関数について説明する。信頼区間幅＾Ｖ^ｐ（ｘ）は、閾値関数μ（ｘ）と同等である。図４に示すように、信頼区間幅＾Ｖ^ｐ（ｘ）は、ｘに応じて大きさが変化する。これにともない、異常検知のための閾値もｘに応じて変化するため、本実施例では適切な閾値の設定が可能になる。

［検知システム］
図６に示すように、移動体に異常検知機能を持たせることができる。図６は、検知システムの構成例を説明する図である。図６に示すように、検知システムにおいて、学習装置２０は、生成部２５１と決定部２５２を有する。学習装置２０は、例えばサーバである。また、移動体３０は、判定部３５３を有する。移動体３０は、例えば自動車である。

生成部２５１、決定部２５２及び判定部３５３は、それぞれ生成部１５１、決定部１５２及び判定部１５３と同様の機能を有する。このため、例えば、学習装置２０は、移動体３０から正常状態の環境条件を示す学習データを受け取り、学習フェーズ及び準備フェーズの処理を行う。そして、移動体３０は、学習装置２０からカーネル回帰関数及び閾値関数を受け取り、検知フェーズの処理を行うことができる。

例えば、移動体３０は、予測データとして環境条件をサンプリングし、サンプリングのたびに異常の有無を判定し、結果をフラグとして出力する。

［閾値関数が統計量であることの証明］
ここで、実施例では、ｋ２近傍を使った予測値の算出を行うことにより、回帰関数、信頼区間幅及び閾値関数を、関連する統計量として扱うことができるようにしている。このことは、以下のように証明される。

まず、実施例では、環境条件が、環境により状況が急変しない連続系の物理モデルであると仮定する。また、学習データの数をｎとすると、ｎとｋ近傍の数ｋ及びｋ２近傍の数ｋ２には、ｎ＞>ｋ＞ｋ２の関係が成り立つものとする。例えば、ｎ＝８５７５、ｋ＝３０、ｋ＝８とすることができる。また、環境条件から得られる学習データ及び予測データの分布は、一様かつ稠密に広がっているものとする。

学習データの各説明変数ｘ_ｉ（ｉ＝１，２，…，ｎ）のｋ近傍Ｘ_ｉｋに対し、ｘ_ｉ，１,ｘ_ｉ，２,…,ｘ_ｉ，ｋ∈Ｘ_ｉｋに対する目的変数値をｙ_ｉ，１,ｙ_ｉ，２,…,ｙ_ｉ，ｋとするとき、Ｙ_ｉｋ＝｛ｙ_ｉ，１,ｙ_ｉ，２,…,ｙ_ｉ，ｋ｝とおく。また、ｘ_ｉのｋ２近傍をＸ_ｋ２とし、ｘ_ｉ１,…,ｘ_ｉｋ２∈Ｘ_ｋ２に対する目的変数値を、ｙ_ｉ１，…,ｙ_ｉｋ２とするとき、Ｙ_k２＝｛ｙ_ｉ１,…,ｙ_ｉｋ２｝とおく。

ｋ→２のとき、一様稠密性から、Ｘ_ｉｋ内の各２点のユークリッド距離は０に近くなり、モデルの連続性より、Ｙ_ｉｋの各２点のユークリッド距離も０に近くなる。従って、ｋの値が小さいとき、ｍｉｎ ｙ_ｉ＝ｍｉｎ ｙ_ｉ，ｊ（ｙ_ｉ，ｊ∈Ｙ_ｉｋ）、ｍａｘ ｙ_ｉ＝ｍａｘ ｙ_ｉ，ｊ（ｙ_ｉ，ｊ∈Ｙ_ｉｋ）とすると、ｍａｘ ｙ_ｉ―ｍｉｎ ｙ_ｉの値も小さくなる。

（３）式のカーネル回帰関数の推定値~ｆ（ｘ_ｉ）は、Ｙ_ｋ２の各点の重み付き平均であり、（１／ｋ）Σ_ｊ＝１ ^ｋｙ_ｉ，ｊはＹ_ｉｋの各点の平均であり、Ｙ_k２はＹ_ｉｋに含まれるから、ｍｉｎ ｙｉ≦~ｆ（ｘ_ｉ）及び（１／ｋ）Σ_ｊ＝１ ^ｋｙ_ｉ，ｊ≦ｍａｘ ｙ_ｉが成り立つ。なお、このことは、ｋ２近傍を使用しない従来の非線形回帰関数では成り立たない。

また、ｍａｘ ｙ_ｉ−ｍｉｎ ｙ_ｉが小さい値であることより、（８−１）式が成り立ち、さらに（８−２）式が成り立つため、Ｖ^ｐ（ｘ_ｉ）は標準偏差となる。これより、~ｆ（ｘ_ｉ）はＹ_ｉｋの平均、Ｖ^ｐ（ｘ_ｉ）はＹ_ｉｋの標準偏差となる。なお、このことも、ｋ２近傍を使用しない従来の非線形回帰関数では成り立たない。

一様稠密性が徐々になくなっていくと、ｋ→２のとき、Ｘ_ｉｋ内の各２点のユークリッド距離が０に近くならないものが出てくる。よって、~ｆ（ｘ_ｉ）と（１／ｋ）Σ_ｊ＝１ ^ｋｙ_ｉ，ｊが徐々に違う値になっていく。従って、Ｖ^ｐ（ｘ_ｉ）が徐々に標準偏差と違う値になっていく。

［処理の流れ］
図５を用いて、検知装置１０による予測処理の流れを説明する。図５は、検知処理の流れを示すフローチャートである。図５に示すように、まず、検知装置１０は、学習データそれぞれのｋ近傍を作成する（ステップＳ１１）。次に、検知装置１０は、学習データそれぞれについて、ｋ近傍に含まれる学習データを用いてカーネル及び信頼区間幅を計算する（ステップＳ１２）。

ここで、検知装置１０は、説明変数空間における予測データのｋ２近傍を作成する（ステップＳ１３）。そして、検知装置１０は、ｋ２近傍に含まれる学習データ及びカーネルからカーネル回帰関数を生成する（ステップＳ１４）。そして、検知装置１０は、カーネル回帰関数を用いて予測値及び信頼区間幅を算出する（ステップＳ１５）。また、検知装置１０は、カーネル回帰関数及び信頼区間幅から閾値関数を生成する（ステップＳ１６）。

検知装置１０は、カーネル回帰関数を用いて算出した予測値を、閾値関数を用いて評価する（ステップＳ１７）。このとき、予測値と実測値の差が閾値以内でない場合（ステップＳ１８、Ｎｏ）、検知装置１０は、異常と判定する（ステップＳ１９）。一方、予測値と実測値の差が閾値以内である場合、（ステップＳ１８、Ｙｅｓ）検知装置１０は、異常と判定しない。

［効果］
上述したように、検知装置１０は、移動体の動作に関する第１の項目の値及び第２の項目の値を有する学習用のログデータに基づいて、第１の項目の値から第２の項目の値の推定値を導出するｋ近傍交叉カーネル回帰による回帰関数を生成する。検知装置１０は、第１の項目の値ごとの推定値の信頼区間幅、及び回帰関数に基づいて、第１の項目の値から推定値に関する所定の閾値を算出するための基準を決定する。検知装置１０は、第１の項目の値及び第２の項目の値を有する判定用のログデータの、第１の項目の値から回帰関数によって導出された第２の項目の推定値と、判定用のログデータに含まれる第２の項目の実測値との差を算出する。検知装置１０は、算出した差が、当該第１の項目の値から基準を基に算出された閾値以内であるか否かに基づいて、移動体の異常の有無を判定する。このように、検知装置１０は、説明変数の値に応じて、異常検知のための閾値を変化させることができる。このため、実施例によれば、適切な閾値を設定し、異常検知の精度を向上させることが可能になる。

検知装置１０は、学習用のログデータの第１の項目の値のそれぞれについて、ｋ個（ただし、ｋは正の整数）の近傍からカーネル関数を生成する。このように、検知装置１０は、ｋ近傍からカーネルを計算するので、計算時間が短縮される。

また、検知装置１０は、学習用のログデータの第１の項目の値のそれぞれについて、ｋ２個（ただし、ｋ２はｋ＞ｋ２を満たす正の整数）の近傍の第１の項目の値及びカーネル関数から導出された推定値を用いて判定を行う。これにより、信頼区間幅を標準偏差とみなし、標準偏差に基づく閾値を設定することが可能になる。

また、検知装置１０は、推定値の標準偏差の近似値を定数倍にする関数を基準として決定する。例えば、定数に４等を設定することで、閾値に統計的な意味を持たせることができる。

なお、上記の実施例では、ｋ２の値について、あらかじめ設定されるか、又は信頼区間幅に応じて変化させるものとしたが、検知装置１０は他の方法でｋ２を設定してもよい。例えば、検知装置１０は、ユーザによるｋ２の値の指定を随時受け付けるようにしてもよいし、あらかじめ設定された計算時間の上限を超えない範囲でｋ２をできるだけ大きい値に設定してもよい。

［システム］
上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。また、実施例で説明した具体例、分布、数値等は、あくまで一例であり、任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散や統合の具体的形態は図示のものに限られない。つまり、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

［ハードウェア］
図７は、ハードウェア構成例を説明する図である。図７に示すように、検知装置１０は、通信インタフェース１０ａ、ＨＤＤ（Hard Disk Drive）１０ｂ、メモリ１０ｃ、プロセッサ１０ｄを有する。また、図７に示した各部は、バス等で相互に接続される。

通信インタフェース１０ａは、ネットワークインタフェースカード等であり、他のサーバとの通信を行う。ＨＤＤ１０ｂは、図１に示した機能を動作させるプログラムやＤＢを記憶する。

プロセッサ１０ｄは、図１に示した各処理部と同様の処理を実行するプログラムをＨＤＤ１０ｂ等から読み出してメモリ１０ｃに展開することで、図１等で説明した各機能を実行するプロセスを動作させる。すなわち、このプロセスは、検知装置１０が有する各処理部と同様の機能を実行する。具体的には、プロセッサ１０ｄは、生成部１５１、決定部１５２及び判定部１５３と同様の機能を有するプログラムをＨＤＤ１０ｂ等から読み出す。そして、プロセッサ１０ｄは、生成部１５１、決定部１５２及び判定部１５３等と同様の処理を実行するプロセスを実行する。

このように検知装置１０は、プログラムを読み出して実行することで分類方法を実行する情報処理装置として動作する。また、検知装置１０は、媒体読取装置によって記録媒体から上記プログラムを読み出し、読み出された上記プログラムを実行することで上記した実施例と同様の機能を実現することもできる。なお、この他の実施例でいうプログラムは、検知装置１０によって実行されることに限定されるものではない。例えば、他のコンピュータ又はサーバがプログラムを実行する場合や、これらが協働してプログラムを実行するような場合にも、本発明を同様に適用することができる。

このプログラムは、インターネット等のネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ（Magneto−Optical disk）、ＤＶＤ（Digital Versatile Disc）等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することができる。

１０ 検知装置
１１ 入力部
１２ 出力部
１３ 通信部
１４ 記憶部
１５ 制御部
１４１ 学習データ記憶部
１４２ カーネル情報記憶部
１５１ 生成部
１５２ 決定部
１５３ 判定部

Claims (5)

1. コンピュータに、
   移動体の動作に関する第１の項目の値及び第２の項目の値を有する第１のログデータに基づいて、前記第１の項目の値から前記第２の項目の値の推定値を導出するｋ近傍交叉カーネル回帰による回帰関数を生成し、
   前記第１の項目の値ごとの前記推定値の信頼区間幅、及び前記回帰関数に基づいて、前記第１の項目の値から前記推定値に関する所定の閾値を算出するための基準を決定し、
   前記第１の項目の値及び前記第２の項目の値を有する第２のログデータの、前記第１の項目の値から前記回帰関数によって導出された前記第２の項目の推定値と、前記第２のログデータに含まれる前記第２の項目の実測値との差が、当該第１の項目の値から前記基準を基に算出された閾値以内であるか否かに基づいて、前記移動体の異常の有無を判定する
   処理を実行させることを特徴とする検知プログラム。
2. 前記生成する処理は、前記第１のログデータの前記第１の項目の値のそれぞれについて、ｋ個（ただし、ｋは正の整数）の近傍からカーネル関数を生成し、
   前記判定する処理は、前記第１のログデータの前記第１の項目の値のそれぞれについて、ｋ２個（ただし、ｋ２はｋ＞ｋ２を満たす正の整数）の近傍の前記第１の項目の値及び前記カーネル関数から導出された前記推定値を用いて判定を行うことを特徴とする請求項１に記載の検知プログラム。
3. 前記決定する処理は、前記推定値の標準偏差の近似値を定数倍にする関数を基準として決定することを特徴とする請求項２に記載の検知プログラム。
4. コンピュータが、
   移動体の動作に関する第１の項目の値及び第２の項目の値を有する第１のログデータに基づいて、前記第１の項目の値から前記第２の項目の値の推定値を導出するｋ近傍交叉カーネル回帰による回帰関数を生成し、
   前記第１の項目の値ごとの前記推定値の信頼区間幅、及び前記回帰関数に基づいて、前記第１の項目の値から前記推定値に関する所定の閾値を算出するための基準を決定し、
   前記第１の項目の値及び前記第２の項目の値を有する第２のログデータの、前記第１の項目の値から前記回帰関数によって導出された前記第２の項目の推定値と、前記第２のログデータに含まれる前記第２の項目の実測値との差が、当該第１の項目の値から前記基準を基に算出された閾値以内であるか否かに基づいて、前記移動体の異常の有無を判定する
   ことを特徴とする検知方法。
5. 移動体の動作に関する第１の項目の値及び第２の項目の値を有する第１のログデータに基づいて、前記第１の項目の値から前記第２の項目の値の推定値を導出するｋ近傍交叉カーネル回帰による回帰関数を生成する生成部と、
   前記第１の項目の値ごとの前記推定値の信頼区間幅、及び前記回帰関数に基づいて、前記第１の項目の値から前記推定値に関する所定の閾値を算出するための基準を決定する決定部と、
   前記第１の項目の値及び前記第２の項目の値を有する第２のログデータの、前記第１の項目の値から前記回帰関数によって導出された前記第２の項目の推定値と、前記第２のログデータに含まれる前記第２の項目の実測値との差が、当該第１の項目の値から前記基準を基に算出された閾値以内であるか否かに基づいて、前記移動体の異常の有無を判定する判定部と、
   を有することを特徴とする検知装置。

Images