JP2021182287A - 異常検出方法、及び異常検出プログラム - Google Patents

Abstract

【課題】予測の困難な変動に対応するように、不要な異常の検出を抑制し、適切な異常の検出を行う。【解決手段】導出部１１８が、対象経路の各々について、参照期間の実測値と予測値とに基づいて、補正係数αｘを算出し、対象期間の予測値に補正係数αｘを乗じて補正予測値を求める。算出部１２２が、対象経路の各々について、予測値及び補正予測値のそれぞれについての上限閾値及び下限閾値に基づいて、単位時間ごとの正常範囲を設定する。検出部１２４が、実測値が正常範囲に収まっているか否かを判定して、異常を検出する。【選択図】図３

Description

本開示は、異常検出方法、及び異常検出プログラムに関する。

ネットワークの運用では、管理下にあるネットワークが正常に動作しているかを把握するため、各種情報を定期的に収集し、何らかの異常が発生した際には、早期に異常を検出するようなネットワークの監視が必要である。各種情報としては、例えば、ネットワークのトラフィックの情報、並びにＣＰＵの使用率及びハードディスク容量等のネットワーク配下のサーバ性能に関する情報が挙げられる。

このようなネットワークの異常を検出するための技術として、トラフィックの変動を許容する範囲を規定した変動許容範囲を示す閾値により、トラフィックの異常を検出する技術がある。この技術では、経路情報の属性ごとの過去の所定の時間範囲分のトラフィックのうち、トラフィックの変動分布が監視対象日時におけるトラフィックの変動分布と類似するトラフィックに基づいて、トラフィックの変動許容範囲を示す閾値を予測している。これにより、経路情報の属性ごとに、監視対象日時におけるトラフィックが閾値の範囲内に含まれるか否かを検出している。

特開２０１１−２５０２０１号公報 特開２０１８−１９５９２９号公報

上記のように、ネットワークの異常を、予測した変動許容範囲を示す閾値を用いて検出する手法がある。閾値の予測には、例えば、所定の周期分の過去の日時の特定のトラフィック量が用いられる。変動許容範囲の基準を特定のトラフィック量の平均として、この平均に所定のマージンをとって上限の閾値及び下限の閾値を求めている。

もっとも、実際のトラフィック量は、変動許容範囲の基準とした特定のトラフィック量の平均、すなわち予測したトラフィック量とは異なる傾向になってしまう場合がある。例えば、業務に用いられているネットワークの経路についてであれば、業務の時期又は業務の形態の変化によっては、実際のトラフィック量の傾向が予測したトラフィック量とは異なってしまうことが考えられる。業務の時期という観点では、業務の繁忙期の場合、業務量が想定よりも多くなると、予測よりもトラフィック量が多くなってしまう。また、業務の閑散期の場合、業務量が想定よりも少なくなると、予測よりもトラフィック量が少なくなってしまう。また、業務の形態の変化という観点では、多様なケースが想定される。例えば、週の途中からテレワークを開始した場合、業務態様に応じて、開始日以降にトラフィック量が増加又は減少することが想定される。ネットワークを介した業務の多い企業であればトラフィック量は増加傾向となることが想定され、ネットワークを介した業務の少ない企業であればトラフィック量は減少傾向となることが想定される。また、週の途中までテレワークを行い、途中から出勤体制に切り替えていった場合も同様に、トラフィック量の傾向の変動が生じ得る。テレワークの他にも自宅待機、人員の配置転換等、業務の形態の変化によって様々なトラフィック量の傾向の変動が想定され得る。このように業務の時期又は業務の形態の変化に応じて、予測したトラフィック量に比べて、実際のトラフィック量が定常的に多くなる、又は少なくなる、といった傾向の変動が生じ得る。

上記のようなトラフィック量の傾向の変動が生じると、予測したトラフィック量と、実際のトラフィック量とが乖離してしまう。このような乖離が生じた場合、乖離がなければ異常として検出されなかったトラフィック量の増加又は減少を、異常として検出してしまう場合がある。しかし、このようなトラフィック量の増加又は減少は、本来であれば異常とはみなし難いトラフィックの変動であり、不要な異常検出をしてしまうことになる。不要な異常検出をしてしまうと、本来検出したい異常を特定しづらくなる、という問題が生じる。ネットワークの監視においては、不要な異常検出はできるだけ少なくすることが望ましい。しかし、こうした傾向の変動は突発的な事情により生じるため、予めトラフィック量の傾向の変動を予測することは困難である。

本開示は、一つの側面として、予測の困難な変動に対応するように、不要な異常の検出を抑制し、適切な異常の検出を行うことを目的とする。

一つの態様として、開示の技術は、対象期間ごとに、前記対象期間の異常有無を判定するための基準となる予測値が設定されている。開示の技術は、第一の対象期間より前の第二の対象期間についての前記予測値と実測値とに基づいて、前記第一の対象期間の前記予測値を補正した補正予測値を求める。開示の技術は、前記第一の対象期間に対応する前記予測値と前記補正予測値との、一方を上限値に、他方を下限値に、定めた基準を用いて、前記第一の対象期間の異常有無を判定する。

一つの側面として、予測の困難な変動に対応するように、不要な異常の検出を抑制し、適切な異常の検出を行う、という効果を有する。

参考技術の適用例であり、算出した予測値と、実測値とを比較したグラフの一例を示す図である。 予測値のグラフと上限閾値及び下限閾値との関係を模式的に示した概略図である。 前日の予測値及び実測値を元に当日の補正予測値を求めた場合の一例を示す図である。 週の途中でトラフィック量のパターンが、増加傾向から減少傾向に変化する場合の一例を示す図である。 週の途中でトラフィック量のパターンが、減少傾向から増加傾向に変化する場合の一例を示す図である。 本実施形態に係るトラフィック管理装置のブロック図である。 補正係数α_ｘに基づいて補正予測値を求める場合の一例を示す図である。 補正係数α_ｘの算出に用いる参照期間の実測値及び予測値のデータの一例を示す図である。 週の初日にリセットして、翌日以降から補正予測値を求める場合の例を示す図である。 前週の補正係数α_ｘを持ち越して、補正予測値を求める場合の例を示す図である。 トラフィック管理装置として機能するコンピュータの概略構成を示すブロック図である。 補正処理の一例を示すフローチャートである。 検出処理の一例を示すフローチャートである。 本実施形態に係る手法の実験例を示す図である。 トラフィックの実測値、正常範囲の上限値、及び正常範囲の下限値の推移を表示する画面例を示す図である。 実測値が正常範囲の下限値を下回った場合には、異常が発生している旨を表示する画面例を示す図である。

以下、図面を参照して本開示に係る実施形態の一例を詳細に説明する。

本開示の実施形態について詳細に説明する前に、前提となる技術、及び本実施形態の手法の概要について説明する。なお、本実施形態では、ネットワークにおけるトラフィックの異常有無を検出する場合を例に説明するが、トラフィックに限らず適用が可能である。例えば、ネットワークのサーバ性能に関してＣＰＵの使用率、及びハードディスク容量等に適用し、これらの異常有無の検出が可能である。また、ネットワークのトラフィックに限らず、電力、水道、又はガス等のインフラの流量にも適用可能である。

まず前提となる技術について説明する。ネットワークにおけるトラフィックの異常を検出する技術として、本開示の発明者が開発した特許文献２等に示されている技術（以下、参考技術と記載）がある。

参考技術では、トラフィックの変動を許容する範囲を規定した変動許容範囲、すなわち正常範囲の基準となる予測値を、トラフィック量の過去の実測値に基づくトラフィックモデルから時系列の波形として算出している。トラフィックが正常範囲に収まっているか否かを判定することにより、異常有無を判定する。実測値とは実際に測定されたトラフィック量を示す。そして、算出した予測値と、実測値とを比較して異常を検出している。本実施形態では、当該参考技術の予測値、及び異常検出の手法をベースとして用いるため、具体的な予測値の算出手法、及び異常の検出手法について説明する。

予測値の算出には、トラフィックモデルを用いる。トラフィックモデルには、自己回帰和分移動平均によるトラフィックモデル、又は回帰直線によるトラフィックモデル等を用いることができる。トラフィックモデルの学習データとしては、あるネットワークの経路について、単位時間ごとに実際に測定されたトラフィック量を用いる。例えば、単位時間を１０分とする場合、サンプリング時刻を１０分刻みに定める。サンプリング時刻を１０：００とする場合、１０：００時点で測定されたトラフィック量（Ｍｂｐｓ）の測定結果を、１０：００時点の学習データとする。単位時間の間のトラフィック量の平均を学習データとして用いてもよい。この場合、サンプリング時刻が１０：００であれば、９：５０−１０：００までの間で任意の間隔（例えば、１分ごと、２分ごと等）でサンプリングしたトラフィック量の平均を１０：００時点の学習データとすればよい。

トラフィックモデルは、ある学習期間のトラフィック量の推移を学習データとして用いて生成する。例えば、自己回帰和分移動平均のトラフィックモデルであれば、ｘ（ｔ）＝β_１（ｔ−１）＋β_２（ｔ−２）＋・・・＋β_ｎ（ｔ−ｎ）と表せる。ｎ（ｎ＝１，２，３，．．．）が週単位の学習期間を表し、ｔが週単位の予測期間の開始時点を表す。ｎ＝４であれば、予測期間の開始時点から前の４週間が学習期間となる。β_ｎは、週ごとのトラフィックモデルへの影響の度合いとなる係数であり、任意の値を用いる。β_１（ｔ−１）であれば、開始時点の１週間前から開始時点までを表す。β_２（ｔ−２）であれば、２週間前から１週間前までを表す。予測値を求める場合、例えば、学習期間の学習データで生成されたトラフィックモデルの自己回帰和分移動平均の推移から、予測期間中の所定時刻でサンプリングしたトラフィック量を求めて予測値とする。例えば、学習期間を４週間、予測期間を３週間とする場合、予測期間の開始時点を基準として、当該開始時点から前の４週間分の学習データを用いてトラフィックモデルを生成し、生成したトラフィックモデルから開始時点から３週間先の予測値を求める。このように、週単位の学習データでトラフィックモデルを生成して予測値を求めることにより、週の中での曜日ごとの傾向を反映した予測値が求められる。なお、学習期間及び予測期間は一例であり、任意の期間を定めることができる。また、単位時間の１０分は一例であり、１分、５分、１５分、２０分等と任意の単位時間を定めることができる。上記の学習期間のトラフィック量の推移が、本開示の過去の実測値の一例である。

ここで、上述した課題において説明した予測したトラフィック量と実際のトラフィック量とに乖離が生じる場合というのは、参考技術では、予測値と実測値とに乖離が生じる場合に相当する。図１は、参考技術の適用例であり、算出した予測値と、実測値とを比較したグラフの一例を示す図である。図１の縦軸はトラフィック量、横軸は時刻を表している。縦軸は乗数で表したトラフィック量（Ｍｂｐｓ）であり、４．０Ｅ＋１０であれば４の１０乗の１，０４８，５７６Ｍｂｐｓであることを示す。横軸は、２０１９−５−２１（２０１９年５月２１日）の１５：００から３日ごとの日時をプロットした。図１に示す例では、Ａの期間、及びＢの期間で、予測値と実測値との乖離が生じている。Ａの期間は、業務の繁忙期かつ月末締めの週でトラフィック量が増加しており、定常的に実測値の方が予測値よりも高くなるような乖離が生じている。Ｂの期間は、業務の繁忙期かつ月末締めが終了した翌月の週でトラフィック量が減少しており、定常的に予測値の方が実測値よりも高くなるような乖離が生じている。このように、Ａの期間からＢの期間という連続する期間において、種類の異なる乖離が生じてしまっている。ここで、参考技術の手法を参考にして、月単位又は年単位の変動を学習したモデルを作成して乖離の少ない予測値を求める手法も考えられる。しかし、この場合、数ヵ月から数年分の学習データが必要になり、長期の学習期間を要してしまう、という課題がある。

次に異常検出の手法について説明する。異常の検出は、基準となる予測値に対して定めた閾値に基づいて行う。例えば、予測値は上記算出手法によって設定されており、閾値として、上限閾値及び下限閾値を定める。この上限閾値及び下限閾値により定まる正常範囲に実測値が収まっているか否かに応じて異常を検出する。上限閾値及び下限閾値は、例えば、過去の一定期間の実測値から求めた標準偏差σを用いて、予測値＋３σを上限閾値、及び予測値−３σを下限閾値として設定する。±３σはあくまで一例であるため、±２σ、±４σ等、適宜適切な上限閾値及び下限閾値を設定すればよい。標準偏差σは、例えば過去５週間分の実測値の標準偏差を用いる。図２は、予測値のグラフと上限閾値及び下限閾値との関係を模式的に示した概略図である。図２のグラフは、説明の便宜のため、時刻ごとのトラフィック量を示す波形のグラフを概略的に示したグラフとしている（以下の図でも同様）。図２において、予測値のグラフをピーク時間帯で一定値になるように描いているが、実際には図１で示したように、単位時間ごとに値をプロットした波形のグラフである。図２では、ピーク時間帯の時刻の予測値に対する上限閾値及び下限閾値を示している。ここで示した上限閾値及び下限閾値により定まる正常範囲が、当該時刻において異常なしと判定されるトラフィック量の範囲である。上限閾値及び下限閾値により定まる正常範囲により、実測値が当該正常範囲に収まっていれば異常なしと判定し、当該正常範囲に収まっていなければ異常ありと判定する。このように、上限閾値及び下限閾値の正常範囲を用いた判定により異常検出を行う。なお、ピーク時間帯以外の前後の時間帯についても正常範囲の考え方は同様である。以上が前提となる技術についての説明である。

次に、本実施形態の手法の概要について説明する。

上記の前提となる技術の課題から、予測値と実測値とに乖離が生じる場合を想定して、長期の学習期間を要さない手法により、予測値を補正して実測値に近づくようにしたい。補正により乖離が少なくなるように調整できれば、異常の検出を適切に行えると考えられる。そこで、本実施形態の手法では、予測値を補正した補正予測値を導入する。補正予測値は、前日の予測値及び実測値を元に当日の補正予測値を求める（具体的な補正予測値の算出手法については後述する）。つまり補正予測値は前日の実際のトラフィック量の傾向を反映して補正した予測値であるといえる。

図３は、前日の予測値及び実測値を元に当日の補正予測値を求めた場合の一例を示す図である。図３に示すように、前日（図３中ではｘ−１日）の予測値及び実測値を元に当日（図３中ではｘ日）の補正予測値を求める。図３の例では、前日の実測値が予測値よりも高かったため、予測値よりも補正予測値が高くなるように求められている。また、前日及び当日において予測値及び補正予測値のそれぞれについて、上記図２を用いて説明した上限閾値及び下限閾値を求める。（Ａ）が予測値の上限閾値、（Ｂ）が予測値の下限閾値、（Ｃ）が補正予測値の上限閾値、（Ｄ）が補正予測値の下限閾値を示す。ここで、従来手法の正常範囲と本実施形態の手法の正常範囲の違いについて述べる。前日はまだ補正予測値を求めておらず従来手法の予測値のみを用いることになり、予測値の上限閾値（Ａ）から予測値の下限閾値（Ｂ）までが正常範囲である。一方、補正予測値を求めた本実施形態の手法においては、当日の正常範囲について、予測値及び補正予測値のうち値が高い方の上限閾値から値が低い方の下限閾値までを正常範囲として扱う。図３の場合、補正予測値の上限閾値（Ｃ）から予測値の下限閾値（Ｂ）までの範囲を正常範囲として扱う。つまり、本実施形態における正常範囲は予測値と補正予測値との差に基づいて定められる。また、従前の予測値のみの正常範囲に比べて、本実施形態の正常範囲に幅を持たせているといえる。このように正常範囲を大きくしているのは、上記課題において説明したように、業務の時期又は業務の形態の変化等に応じてトラフィックの傾向に変動が生じ得るためである。

傾向の変動に対応するように正常範囲を定める場合の例を説明する。図４は、週の途中でトラフィック量のパターンが、増加傾向から減少傾向に変化する場合の一例を示す図である。図４に示す例では、予め過去の実績データ等に基づいて、破線のように５日間の予測値が設定されているものとする。しかし、例えば年度末等の突発的な事象により、週の１日目から３日目にかけてはトラフィック量が予測値よりも大きく増加傾向にあったものとする。補正予測値を用いた異常判定を行った場合、このような突発的な事象に基づくトラフィック量の増加を、不用意に異常と判定してしまうことが防止できる。しかし、例えば４日目から月が変わることで年度末の突発的なトラフィック増加が収まり、通常通りのトラフィック量に戻った場合に、単に補正予測値だけを用いた異常判定では、異常と判定してしまうことになる。しかし、本実施形態の手法では、補正予測値と予測値との間に収まっているか否かの判定を用いて異常判定を行うため、このような場合において誤って異常判定を行うことが防止できる。つまり、突発的な事象が収まってトラフィック量が通常状態に戻ったとしても、その通常状態の予測値も用いて異常判定しているため、突発的な事象の発生にも、当該突発的な事象の収束にも対応することが可能となるのである。

図４において補正予測値は、１日目から３日目の増加傾向において実測値と予測値とが大きく乖離しているため、この乖離を埋めるように求める。図４の場合は、１日目から３日目の増加傾向のパターンを捉えて、前日の予測値及び実測値を元に求められる。２日目から４日目の補正予測値は、予測値よりも高い数値となるように求められている。一方、４日目は減少傾向のパターンに変化したため、５日目の補正予測値は予測値よりも低い数値となるように求められる。また、予測値及び補正予測値のそれぞれについて上限閾値及び下限閾値が求められる。２日目から４日目の正常範囲は、補正予測値の上限閾値、及び予測値の下限閾値によって定められる。５日目の正常範囲は、予測値の上限閾値、及び補正予測値の下限閾値によって定められる。

図５は、週の途中でトラフィック量のパターンが、減少傾向から増加傾向に変化する場合の一例を示す図である。図５に示す例では、図４の場合と逆のパターンであり、週の１日目から３日目にかけてはトラフィック量が減少傾向にあったものとする。一方、４日目に突発的な事象の発生により増加傾向に変化している。図４及び図５のいずれの場合も、これらの突発的な事象の発生又は収束による傾向の変動は予め予測できない。そこで、突発的な事象による傾向の変動にも対応できるように、予測値及び補正予測値の両方を考慮した正常範囲を定めるのである。

上述したように、正常範囲は予測値と補正予測値との差に基づいて定められる。補正予測値は実測値と予測値との乖離を埋めるような値として求められているため、実測値と予測値との乖離の大きさに、正常範囲が比例するといえる。また、乖離が大きいということは、それだけトラフィックの傾向が大きく変動していることを示している。よって、このように傾向が大きく変動している不確実性の高い状況においては、正常範により幅を持たせてネットワークのトラフィックを監視する。これにより、予測の困難なトラフィックの変動にも柔軟に対応して、不要な異常を検出することなく、適切な異常の検出が行えるようになる。

本実施形態では、異常検出の対象は、業務に用いられるネットワークを対象経路とし、当該ネットワークのトラフィックの異常を検出する場合を例に説明する。

本実施形態では、予測値が求められている単位期間を日ごと（２４時間ごと）として、異常の検出を行う。ここで、本実施形態の異常検出の単位期間に関する用語について整理する。以下、単位期間に関する用語として「対象日」、「対象期間」、「参照日」、及び「参照期間」を説明する。

「対象日」は、異常の検出を行う日である。本実施形態では、予測値の対象日に合わせて、対象日ごとに補正予測値を求める。対象日は、例えば、業務用のネットワークの異常の検出を行う場合であれば業務が行われる営業日とする。週の平日の月曜日から金曜日が営業日である場合は、月曜日から金曜日の５日間の各々の日を対象日とする。月曜日から金曜日の間に祝日がある場合は、祝日を除いた日を対象日とする。例えば、火曜日が祝日である場合は、月曜日、水曜日、木曜日、及び金曜日を対象日とする。なお、曜日に関わらず常時稼働するネットワークであれば、週の日の全てを対象日とすればよい。

「対象期間」は、対象日の各時間帯のうち、異常の検出を行う時間帯である。対象期間には、例えば、業務が稼働し始めてから業務が終了するまでの時間帯を設定すればよい。業務の時間帯が１０：００−１２：００、及び１３：００−１７：００であればそれぞれの時間帯を対象期間として設定する。このようにネットワークが業務で使用されている任意の時間帯を対象期間にして、異常の検出を行うようにする。なお、常時稼働しているネットワークであれば対象日の全ての時間帯を対象期間とすればよい。対象日の対象期間が、開示の技術の第一の対象期間の一例である。

「参照日」は、補正予測値を求めるための実測値及び予測値を取得する日である。参照日は、一つ前の対象日を参照日とすればよく、例えば、直近の対象日を参照日とすればよい。週において対象日が連続している場合には、対象日をｘ日と表すと、ｘ−１日を参照日とする。なお、直近の対象日だった２日間（ｘ−１日、及びｘ−２日）を参照日とする等、複数の参照日としてもよい。また、複数の参照日とする場合には、直近の参照日の影響が大きくなるように重み付け等を行ってもよい。

「参照期間」は、参照日の各時間帯のうち、補正予測値を求めるのに用いる実測値及び予測値を取得する一つ以上の時間帯である。このように参照期間を定めるのは、ネットワークが集中的に使用されている時間帯が、予測値と実測値との乖離が生じやすいと考えられるからである。参照期間には、例えば、業務のピーク時間帯を設定すればよい。業務のピーク時間帯が１０：００−１１：３０、及び１４：３０−１５：３０であれば当該時間帯を設定する。このような参照期間の実測値及び予測値を用いることで、実測値に対する乖離を少なくするような補正予測値を求められる。なお、参照期間と対象期間とは同一であってもよい。参照期間が、本開示の技術の第二の対象期間の一例である。

なお、単位期間が日ごとではなく、例えば、２４時間よりも短い１２時間である場合には、１２時間ごとに対象期間及び参照期間を規定すればよい。同様に、２４時間よりも長い３６時間であれば、３６時間ごとに対象期間及び参照期間を規定すればよい。また、単位期間が２日（４８時間）ごとである場合には、２日ごとに対象期間及び参照期間を規定すればよい。他の時間間隔の場合も同様である。また、対象経路ごとに、対象期間、及び参照期間を定めるようにしてもよい。

以下、本開示の実施形態の構成及び作用について詳細に説明する。

図６に示すように、本実施形態に係るトラフィック管理装置１００は、送受信部１１０と、トラフィック情報記憶部１１２と、予測部１１４と、予測情報記憶部１１６と、導出部１１８と、補正情報記憶部１２０と、算出部１２２と、検出部１２４とを含む。

送受信部１１０は、ネットワークの経路の各々へのトラフィック情報のリクエストの送信、及び経路の各々からのトラフィック情報の受信を行う。トラフィック管理装置１００では、受信した当該経路の各々を、異常検出を行う対象経路とする。トラフィック情報は、各経路のトラフィック量を含む経路に関する情報である。送受信部１１０は、トラフィック情報を受信すると、トラフィック情報記憶部１１２に格納する。

トラフィック情報記憶部１１２には、対象経路の各々のトラフィック情報が格納される。本実施形態では、トラフィック情報のうち、単位時間ごとのトラフィック量を実測値として扱う。

予測部１１４は、経路の各々について、トラフィックの予測値を求めて格納する。予測値は、上述した参考技術の手法を用いて、過去の実測値に基づくトラフィックモデルを用いて求めればよい。予測値は対象日よりも前に予め求めておけばよく、上述した例で示したように、例えば、予測期間の開始時点から過去４週間分の実測値を学習データとして用いて、当該開始時点から３週間先までの予測値を求めておく。トラフィックモデルは、トラフィック情報記憶部１１２に格納したトラフィック情報を用いて学習する。

予測情報記憶部１１６には、対象経路の各々のトラフィックモデル及び予測値が格納される。

導出部１１８は、対象経路の各々について、予測値に補正係数α_ｘを乗じて対象期間の補正予測値を求め、補正情報記憶部１２０に格納する。補正係数α_ｘは、参照期間の実測値と、参照期間の予測値とに基づいて、参照期間の単位時間ごとの実測値と予測値との比率（実測値／予測値）の平均値により算出する。比率は、実測値と予測値との乖離の大きさを表す値である。以下、補正係数α_ｘ及び補正予測値の求め方について詳細に説明する。

図７は、補正係数α_ｘに基づいて補正予測値を求める場合の一例を示す図である。図７の例では、対象日をｘ日、参照日をｘ−１日と表している。参照日（ｘ−１日）の参照期間の実測値及び予測値から補正係数α_ｘを算出する。そして、対象日（ｘ日）の予測値に補正係数α_ｘを乗じた値を補正予測値として算出する。図７の例の場合には、ｘ−１日の参照期間において、予測値が実測値を下回っているため、ｘ日の補正予測値を予測値よりも大きくするような補正係数α_ｘが求められる。ｘ日では、補正係数α_ｘを予測値に乗算して、予測値よりも大きな補正予測値が求められる。

図８は、補正係数α_ｘの算出に用いる参照期間の実測値及び予測値のデータの一例を示す図である。図８の例では、参照期間は、２０１９／５／２７の１０：００〜１１：３０の間、及び１４：００〜１５：３０の間の時間帯とし、単位時間を１０分として、１０分刻みでサンプリングを行う。サンプリング時刻は、１０：００／１０：１０／１０：２０・・・／１１：３０、及び１４：００／１４：１０／１４：２０・・・／１５：３０である。サンプリング時刻ごとのトラフィック量を実測値としてトラフィック情報記憶部１１２から取得する。また、当該サンプリング時刻が含まれる単位時間の間のトラフィック量の平均を実測値として取得してもよい。サンプリング時刻が１０：００であれば、９：５０から１０：００の間の任意の間隔（例えば、１分ごと、２分ごと等）のトラフィック量をトラフィック情報記憶部１１２から取得し、取得したトラフィック量の平均を実測値とする。サンプリング時刻が１５：３０であれば、１５：２０から１５：３０の間の任意の間隔のトラフィック量の平均を実測値としてトラフィック情報記憶部１１２から取得する。また、参照期間の単位時間ごとの予測値を予測情報記憶部１１６から取得する。そして、サンプリング時刻ごとに実測値と予測値との比率を求める。１０：００のサンプリング時刻では、比率が１．１１３と求められる。ここで、実測値のデータには、一時的なトラフィックの増大又は低下等による異常値が含まれ得る。そのため、異常値を除去するため、求めた比率を昇順に並べ、上位１０％及び下位１０％を除外する。そして、残りの８０％の比率の平均値を補正係数α_ｘとして求める。図８の例では、上位１０％が、本開示の最大値を含む所定の範囲の一例であり、下位１０％が、最小値を含む所定の範囲の一例である。なお、上位１０％及び下位１０％は一例であり、他のパーセンテージとしてもよい。また、比率を昇順でなく降順に並べても同様に所定の範囲を除外すればよい。

以上のように、補正係数α_ｘは、参照期間の単位時間ごとの実測値と予測値との比率を求め、異常値を除去した残りの比率についての平均値として求める。なお、比率の平均値は、一例であり、中央値を用いてもよい。また、この参照期間の時間帯、及び単位時間は一例であり、他の時間帯、及び単位時間としてもよい。なお、上記の説明では、実測値と予測値との比率は、（実測値／予測値）とする場合を例に説明したが、比率を（予測値／実測値）として補正係数α_ｘを求めてもよい。この場合には、補正係数α_ｘで予測値を除して補正予測値を求める。

また、補正係数α_ｘは、週の単位での持ち越し設定を予め定めておく。持ち越し設定とは、翌週に補正係数α_ｘを持ち越さずにリセットするか、補正係数α_ｘを持ち越して利用するかを定める設定である。リセットするとは、例えば、月曜日を対象日とする場合に、月曜日は補正予測値を用いないということである。つまり、リセットする場合、前週の何れかの日を参照日として補正係数α_ｘは求めない。また、持ち越すとは、例えば、月曜日を対象日とする場合に、月曜日の補正予測値には、前週の何れかの日を参照日として求めた補正係数α_ｘを用いる、ということである。このように週ごとに持ち越し設定を導入するのは、時期によってトラフィックの変動の傾向が異なる場合があるからである。持ち越し設定は、予め設定しておいてもよいし、週の初日の統計をとって自動的に行ってもよい。このように、週のうちの初日と規定される日は、補正予測値を求めない、又は前週の所定の日を参照日として補正予測値を求めるように設定しておく。なお、対象日である月曜日が、本開示の週の初日と既定される日の一例である。

図９は、週の初日に補正係数α_ｘをリセットして、翌日以降から補正係数α_ｘを求めて補正予測値を求める場合の例を示す図である。図９に示す例では、トラフィックの実測値が予測値よりも大きい傾向が週をまたぐと終わり、実測値が小さくなっている。このようにトラフィックの変動傾向が週をまたいでも継続しないと想定される場合は、補正係数α_ｘを持ち越さずにリセットする設定にしておけばよい。図９に示す例では、前の週の補正係数α_ｘを持ち越さずに、初日はリセットして翌日から補正予測値を求めている。

図１０は、前週の補正係数α_ｘを持ち越して、補正予測値を求める場合の例を示す図である。図１０に示す例では、トラフィックの実測値が予測値よりも大きい傾向が週をまたいでも続いている。このようにトラフィックの変動傾向が週をまたいでも継続すると想定される場合は、補正係数α_ｘを持ち越す設定にしておけばよい。図１０の例では、前週の月曜の補正係数α_ｘを持ち越して用いて補正予測値を求める。なお、前週のいずれの日の補正係数α_ｘを持ち越すかは任意であり、例えば前週の最後の対象日の補正係数α_ｘを持ち越すようにしてもよい。また、前週の補正係数α_ｘの平均、又は中央値等の補正係数α_ｘを算出して、週の初日に持ち越すようにしてもよい。

以上が導出部１１８の補正予測値の求め方についての説明である。

補正情報記憶部１２０には、対象経路の各々の補正係数α_ｘ及び補正予測値が格納される。また、補正情報記憶部１２０には、後述する算出部１２２で算出した、対象経路の各々についての単位時間ごとの正常範囲の設定が格納される。正常範囲の設定は、当該正常範囲を定める上限閾値及び下限閾値である。

算出部１２２は、対象経路の各々について、予測値及び補正予測値のそれぞれについての上限閾値及び下限閾値に基づいて、単位時間ごとの正常範囲を設定する。予測値及び補正予測値のそれぞれの上限閾値及び下限閾値は、参考技術の手法を用いて、標準偏差σを用いて求めればよい。例えば、予測値については「予測値＋３σ」を予測値の上限閾値、「予測値−３σ」を予測値の下限閾値とする。補正予測値については「補正予測値＋３σ」を補正予測値の上限閾値、「補正予測値−３σ」を補正予測値の下限閾値とする。単位時間ごとの正常範囲は、予測値及び補正予測値のうち値が高い方の上限閾値から値が低い方の下限閾値までを設定する。補正予測値＞予測値である場合には、補正予測値の上限閾値から予測値の下限閾値の範囲を正常範囲として定める。補正予測値＜予測値である場合には、予測値の上限閾値から補正予測値の下限閾値の範囲を正常範囲として定める。このように、予測値と前記補正予測値との、一方を上限値に、他方を下限値にして、正常範囲を定める。なお、予測値及び補正予測値が同値の場合は何れの上限閾値及び下限閾値を用いても正常範囲は同じであるため何れを用いてもよい。

検出部１２４は、対象経路の各々について、算出部１２２で設定した正常範囲を用いて、異常を検出する。異常の検出手法は、上述した参考技術の手法をベースにすればよく、単位時間ごとに、実測値が正常範囲に収まっているか否かを判定する。正常範囲に収まっている場合には異常なしと判定し、正常範囲に収まっていない場合には異常ありと判定する。検出部１２４は、このように正常範囲を用いた異常有無の判定により異常を検出する。

トラフィック管理装置１００は、例えば図１１に示すコンピュータ２０で実現することができる。コンピュータ２０は、Central Processing Unit（ＣＰＵ）２１と、一時記憶領域としてのメモリ２２と、不揮発性の記憶部２３とを備える。また、コンピュータ２０は、入出力装置２４と、記憶媒体２９に対するデータの読み込みおよび書き込みを制御するRead/Write（Ｒ／Ｗ）部２５と、インターネット等のネットワークに接続される通信インターフェース（Ｉ／Ｆ）２６とを備える。ＣＰＵ２１、メモリ２２、記憶部２３、入出力装置２４、Ｒ／Ｗ部２５、および通信Ｉ／Ｆ２６は、バス２７を介して互いに接続される。

記憶部２３は、Hard Disk Drive（ＨＤＤ）、Solid State Drive（ＳＳＤ）、フラッシュメモリ等によって実現できる。記憶媒体としての記憶部２３には、コンピュータ２０をトラフィック管理装置１００として機能させるための管理プログラム３０が記憶される。管理プログラム３０は、予測プロセス３２と、導出プロセス３３と、算出プロセス３４と、検出プロセス３５とを有する。また、記憶部２３は、トラフィック情報記憶部１１２、予測情報記憶部１１６、および補正情報記憶部１２０の各々を構成する情報が記憶される情報記憶領域６０を有する。なお、管理プログラム３０は、開示の技術の異常検出プログラムの一例である。

ＣＰＵ２１は、管理プログラム３０を記憶部２３から読み出してメモリ２２に展開し、管理プログラム３０が有するプロセスを順次実行する。ＣＰＵ２１は、予測プロセス３２を実行することで、図６に示す予測部１１４として動作する。また、ＣＰＵ２１は、導出プロセス３３を実行することで、図６に示す導出部１１８として動作する。また、ＣＰＵ２１は、算出プロセス３４を実行することで、図６に示す算出部１２２として動作する。ＣＰＵ２１は、検出プロセス３５を実行することで、図６に示す検出部１２４として動作する。また、ＣＰＵ２１は、情報記憶領域３９から情報を読み出して、トラフィック情報記憶部１１２、予測情報記憶部１１６、及び補正情報記憶部１２０の各々をメモリ２２に展開する。これにより、管理プログラム３０を実行したコンピュータ２０が、トラフィック管理装置１００として機能することになる。なお、プログラムを実行するＣＰＵ２１はハードウェアである。

なお、管理プログラム３０により実現される機能は、例えば半導体集積回路、より詳しくはApplication Specific Integrated Circuit（ＡＳＩＣ）等で実現することも可能である。

次に、本実施形態に係るトラフィック管理装置１００の作用について説明する。トラフィック管理装置１００の作用は、対象期間の開始前に行っておく補正処理と、対象期間の検出処理とに分けられる。なお、予め予測部１１４の処理を実行し、予測情報記憶部１１６に対象経路の各々の予測値が格納されていることを前提とする。補正処理及び検出処理は、開示の技術の異常検出方法の一例である。

補正処理について、図１２のフローチャートを参照して説明する。以下の補正処理は、対象経路の各々について実行する。

ステップＳ１００では、導出部１１８が、補正処理タイミングであるか否かを判定して、補正処理タイミングである場合にはステップＳ１０２へ移行し、補正処理タイミングでない場合には、所定の時間間隔を置いて当該ステップＳ１００を繰り返す。補正処理タイミングは、対象経路の各々について、当該対象経路の対象期間の開始前の任意の時間に設定しておけばよい。

ステップＳ１０２では、導出部１１８が、対象経路について、参照日の参照期間の実測値と予測値とを取得する。実測値はトラフィック情報記憶部１１２から取得し、予測値は予測情報記憶部１１６から取得する。

ステップＳ１０４では、導出部１１８が、対象経路について、参照日の参照期間の実測値と予測値とに基づいて、補正係数α_ｘを算出する。補正係数α_ｘは、参照期間の単位時間ごとの実測値と予測値との比率の平均値により算出する。

ステップＳ１０６では、導出部１１８が、対象経路について、対象期間の予測値に補正係数α_ｘを乗じて補正予測値を求め、補正情報記憶部１２０に格納する。

ステップＳ１０８では、算出部１２２が、対象経路について、対象期間の単位時間ごとの予測値及び補正予測値のそれぞれについての上限閾値及び下限閾値を算出する。

ステップＳ１１０では、算出部１２２が、対象経路について、対象期間の単位時間ごとの正常範囲を設定し、正常範囲の設定を補正情報記憶部１２０に格納する。正常範囲の設定は、ステップＳ１０８で算出した予測値及び補正予測値のそれぞれについての上限閾値及び下限閾値に基づいて、予測値及び補正予測値のそれぞれのうち、値が高い方の上限閾値と値が低い方の下限閾値を選択して正常範囲とするように定める。このように、正常範囲を予測値と補正予測値との差に基づいて定める。

次に、検出処理について説明する。図１３のフローチャートを参照して説明する。検出処理は、対象経路の各々について、単位時間ごと（例えば、５分ごと、１０分ごと等）に実行される。以下では、一つの対象経路について検出処理を実行する場合を例に説明する。

ステップＳ２００では、算出部１２２が、現在の時間が対象期間であるか否かを判定して、対象期間である場合にはステップＳ２０２へ移行し、対象期間でない場合には、処理を終了する。

ステップＳ２０２では、算出部１２２が、対象経路について、当該単位時間の正常範囲の設定を取得する。正常範囲の設定は補正情報記憶部１２０から取得する。

ステップＳ２０４では、算出部１２２が、対象経路について、設定手法の設定に応じた単位時間分の実測値をトラフィック情報記憶部１１２から取得する。例えば、現時点が１０：１０である場合には、１０：１０時点のトラフィック量を実測値としてトラフィック情報記憶部１１２から取得する。

ステップＳ２０６では、検出部１２４が、ステップＳ２０４で取得した実測値とステップＳ２０２で取得した正常範囲の設定に基づいて、実測値が正常範囲に収まっているか否かを判定する。正常範囲に収まっている場合にはステップＳ２０８へ移行し、正常範囲に収まっていない場合にはステップＳ２１０へ移行する。

ステップＳ２０８では、検出部１２４が、当該単位時間についての実測値に異常が発生していないと判定して、異常なしと出力する。ステップＳ２１０では、検出部１２４が、当該単位時間についての実測値に異常が発生していると判定して、異常ありと出力する。なお、ステップＳ２０４からＳ２１０までの実測値を取得して異常を検出する処理は、検出処理を実行する単位時間より短い間隔で繰り返し実行してもよい。

以上が本実施形態の補正処理及び検出処理の説明である。

本実施形態に係る手法の実験例について説明する。図１４は、本実施形態に係る手法の実験例を示す図である。図１４に示す実験例では、５月最終週の繁忙期と、翌月の６月第１週の閑散期とについて、週ごとに補正係数α_ｘをリセットして補正予測値を求めた。本実験においては、予測値よりも補正予測値が実測値に近い傾向となっており、補正予測値を用いて異常検出を行うことの有効性が確認できた。

また、ネットワークの管理者がトラフィックの推移を確認できる画面の例について説明する。図１５は、トラフィックの実測値、正常範囲の上限値、及び正常範囲の下限値の推移を表示する画面例を示す図である。図１５に示す画面例のように、実測値、正常範囲の上限値、及び正常範囲の下限値の推移を表示することで、リアルタイムに異常有無の監視が行える。図１５において、実線が実測値、点線が補正予測値による正常範囲の上限値、破線が予測値による正常範囲の下限値を表す。また、図１６に示す画面例のように、実測値が正常範囲の下限値を下回った場合には、異常が発生している旨を表示する。

以上説明したように、本実施形態に係るトラフィック管理装置１００によれば、対象経路の各々について、参照期間の実測値と予測値とに基づいて、補正係数α_ｘを算出し、対象期間の予測値に補正係数α_ｘを乗じて補正予測値を求める。予測値及び補正予測値について正常範囲を算出する。また、対象期間のうちの所定の期間の実測値を取得し、正常範囲を用いて、異常を検出する。これにより、予測の困難な変動に応じた適切な異常の検出が行える。

［変形例］
本実施形態の変形例について説明する。

例えば、上述した実施形態では、補正係数α_ｘを用いる場合を例に説明したが、これに限定されるものではなく、補正係数β_ｘに代えて、参照期間の実測値と予測値との差から算出された補正値β_ｘを用いてもよい。補正値β_ｘを用いる場合には、補正値β_ｘを予測値に加算した値を補正予測値として求める。また、この場合に、比率に代えて、実測値と予測値との差を用いる。補正値β_ｘは、差の値について、最大値を含む所定の範囲に含まれる値、及び最小値を含む所定の範囲に含まれる値を除去し、残りの差の値を用いた平均値として算出する。そして、補正値β_ｘを予測値に加算することにより補正予測値を求める。

また、異常の検出は、例えば、実測値と予測値との差分、及び実測値と補正予測値との差分を用いて以下（１−１）式、及び（１−２）式により異常度を算出して行ってもよい。
第１異常度＝（（実測値）−（予測値））^２ （１−１）
第２異常度＝（（実測値）−（補正予測値））^２ （１−２）
第１異常度と第２異常度とをそれぞれ予め設定した閾値と比較し、何れかが閾値に収まっている場合は異常なしと判定し、何れも閾値に収まっていない場合に異常有りと判定して、異常を検出する。この場合、これらの異常度を本開示の基準として用いる。また、（１−１）式、及び（１−２）式は、以下の（２−１）式、及び（２−２）式に置き換えてもよい。
第１異常度＝（（（実測値）−（予測値））／（予測値））^２ （２−１）
第２異常度＝（（（実測値）−（補正予測値））／（補正予測値））^２ （２−２）

また、補正予測値は、予測値、実測値、及び補正係数α_ｘの各データと補正予測値との関係を定めたテーブル等に記憶しておいて読み出すことにより求めてもよい。

また、補正予測値は、深層学習等の手法を用いて求めてもよい。深層学習等の手法を用いる場合には、学習データとして、対象期間に取得された実測値と、対象期間の予測値及び補正予測値と、参照期間の実測値及び予測値との各々を用いて、補正予測値を出力する補正モデルを学習する。学習データは、一定の期間、例えば数週間など本実施形態の手法により蓄積すればよい。補正モデルが、上述した実施形態の補正係数α_ｘに相当する。補正モデルは、補正予測値と実測値との差を最適化するように学習される。導出部１１８は、学習した補正モデルに、参照期間の実測値及び予測値を入力し、補正モデルの出力として補正予測値を求めるようにすればよい。補正モデルを用いることで、対象経路のトラフィックの変動の傾向に対応できる。

以上の実施形態に関し、更に以下の付記を開示する。

（付記１）
対象期間ごとに、前記対象期間の異常有無を判定するための基準となる予測値が設定されており、
第一の対象期間より前の第二の対象期間についての前記予測値と実測値とに基づいて、前記第一の対象期間の前記予測値を補正した補正予測値を求め、
前記第一の対象期間に対応する前記予測値と前記補正予測値との、一方を上限値に、他方を下限値に、定めた基準を用いて、前記第一の対象期間の異常有無を判定する、
処理をコンピュータに実行させる異常検出方法。

（付記２）
前記補正予測値は、
前記第二の対象期間の前記実測値と前記予測値との比率から算出された補正係数、又は前記第二の対象期間の前記実測値と前記予測値との差から算出された補正値を用いて求める付記１に記載の異常検出方法。

（付記３）
前記補正係数を用いる場合は、前記比率について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正係数を算出し、
前記補正値を用いる場合は、前記差について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正値を算出する付記２に記載の異常検出方法。

（付記４）
前記基準は、前記予測値及び前記補正予測値のそれぞれについて求めた上限閾値及び下限閾値により定まる正常範囲とし、
実測値が前記正常範囲に収まっている場合に、異常が発生していないと判定し、実測値が前記正常範囲に収まっていない場合に、異常が発生していると判定することにより異常を検出する付記１乃至付記３の何れかに記載の異常検出方法。

（付記５）
前記正常範囲は、前記予測値と前記補正予測値との差に基づいて定められる付記４に記載の異常検出方法。

（付記６）
前記第一の対象期間が週のうちの初日と規定される日である場合は、前週の所定の日の対象期間を参照して前記補正予測値を求める付記１乃至付記５の何れかに記載の異常検出方法。

（付記７）
対象期間ごとに、前記対象期間の異常有無を判定するための基準となる予測値が設定されており、
第一の対象期間より前の第二の対象期間についての前記予測値と実測値とに基づいて、前記第一の対象期間の前記予測値を補正した補正予測値を求め、
前記第一の対象期間に対応する前記予測値と前記補正予測値との、一方を上限値に、他方を下限値に、定めた基準を用いて、前記第一の対象期間の異常有無を判定する、
処理をコンピュータに実行させる異常検出プログラム。

（付記８）
前記補正予測値は、
前記第二の対象期間の前記実測値と前記予測値との比率から算出された補正係数、又は前記第二の対象期間の前記実測値と前記予測値との差から算出された補正値を用いて求める付記７に記載の異常検出プログラム。

（付記９）
前記補正係数を用いる場合は、前記比率について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正係数を算出し、
前記補正値を用いる場合は、前記差について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正値を算出する付記８に記載の異常検出プログラム。

（付記１０）
前記基準は、前記予測値及び前記補正予測値のそれぞれについて求めた上限閾値及び下限閾値により定まる正常範囲とし、
実測値が前記正常範囲に収まっている場合に、異常が発生していないと判定し、実測値が前記正常範囲に収まっていない場合に、異常が発生していると判定することにより異常を検出する付記７乃至付記９の何れかに記載の異常検出プログラム。

（付記１１）
前記正常範囲は、前記予測値と前記補正予測値との差に基づいて定められる付記１０に記載の異常検出プログラム。

（付記１２）
前記補正予測値は、
前記第一の対象期間が週のうちの初日と規定される日である場合は、前週の所定の日の対象期間を参照して前記補正予測値を求める付記７乃至付記１１の何れかに記載の異常検出プログラム。

（付記１３）
対象期間ごとに、前記対象期間の異常有無を判定するための基準となる予測値が設定されており、
第一の対象期間より前の第二の対象期間についての前記予測値と実測値とに基づいて、前記第一の対象期間の前記予測値を補正した補正予測値を求める導出部と、
前記第一の対象期間に対応する前記予測値と前記補正予測値との、一方を上限値に、他方を下限値に、定めた基準を用いて、前記第一の対象期間の異常有無を判定する検出部と、
を含む異常検出装置。

（付記１４）
前記補正予測値は、
前記第二の対象期間の前記実測値と前記予測値との比率から算出された補正係数、又は前記第二の対象期間の前記実測値と前記予測値との差から算出された補正値を用いて求める付記１３に記載の異常検出装置。

（付記１５）
前記補正係数を用いる場合は、前記比率について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正係数を算出し、
前記補正値を用いる場合は、前記差について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正値を算出する付記１４に記載の異常検出装置。

（付記１６）
前記基準は、前記予測値及び前記補正予測値のそれぞれについて求めた上限閾値及び下限閾値により定まる正常範囲として求める算出部を更に含み、
実測値が前記正常範囲に収まっている場合に、異常が発生していないと判定し、実測値が前記正常範囲に収まっていない場合に、異常が発生していると判定することにより異常を検出する付記１３乃至付記１５の何れかに記載の異常検出装置。

（付記１７）
対象期間ごとに、前記対象期間の異常有無を判定するための基準となる予測値が設定されており、
第一の対象期間より前の第二の対象期間についての前記予測値と実測値とに基づいて、前記第一の対象期間の前記予測値を補正した補正予測値を求め、
前記第一の対象期間に対応する前記予測値と前記補正予測値との、一方を上限値に、他方を下限値に、定めた基準を用いて、前記第一の対象期間の異常有無を判定する、
処理をコンピュータに実行させる異常検出プログラムを格納した記憶媒体。

（付記１８）
前記補正予測値は、
前記第二の対象期間の前記実測値と前記予測値との比率から算出された補正係数、又は前記第二の対象期間の前記実測値と前記予測値との差から算出された補正値を用いて求める付記１７に記載の記憶媒体。

（付記１９）
前記補正係数を用いる場合は、前記比率について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正係数を算出し、
前記補正値を用いる場合は、前記差について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正値を算出する付記１８に記載の記憶媒体。

（付記２０）
前記基準は、前記予測値及び前記補正予測値のそれぞれについて求めた上限閾値及び下限閾値により定まる正常範囲とし、
実測値が前記正常範囲に収まっている場合に、異常が発生していないと判定し、実測値が前記正常範囲に収まっていない場合に、異常が発生していると判定することにより異常を検出する付記１７乃至付記１９の何れかに記載の記憶媒体。

２０ コンピュータ
２１ ＣＰＵ
２２ メモリ
２３ 記憶部
２４ 入出力装置
２９ 記憶媒体
３０ 管理プログラム
１００ トラフィック管理装置
１１０ 送受信部
１１２ トラフィック情報記憶部
１１４ 予測部
１１６ 予測情報記憶部
１１８ 導出部
１２０ 補正情報記憶部
１２２ 算出部
１２４ 検出部

Claims (7)

1. 対象期間ごとに、前記対象期間の異常有無を判定するための基準となる予測値が設定されており、
   第一の対象期間より前の第二の対象期間についての前記予測値と実測値とに基づいて、前記第一の対象期間の前記予測値を補正した補正予測値を求め、
   前記第一の対象期間に対応する前記予測値と前記補正予測値との、一方を上限値に、他方を下限値に、定めた基準を用いて、前記第一の対象期間の異常有無を判定する、
   処理をコンピュータに実行させる異常検出方法。
2. 前記補正予測値は、
   前記第二の対象期間の前記実測値と前記予測値との比率から算出された補正係数、又は前記第二の対象期間の前記実測値と前記予測値との差から算出された補正値を用いて求める請求項１に記載の異常検出方法。
3. 前記補正係数を用いる場合は、前記比率について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正係数を算出し、
   前記補正値を用いる場合は、前記差について、最大値を含む所定の範囲及び最小値を含む所定の範囲を除いて前記補正値を算出する請求項２に記載の異常検出方法。
4. 前記基準は、前記予測値及び前記補正予測値のそれぞれについて求めた上限閾値及び下限閾値により定まる正常範囲とし、
   実測値が前記正常範囲に収まっている場合に、異常が発生していないと判定し、実測値が前記正常範囲に収まっていない場合に、異常が発生していると判定することにより異常を検出する請求項１乃至請求項３の何れか１項に記載の異常検出方法。
5. 前記正常範囲は、前記予測値と前記補正予測値との差に基づいて定められる請求項４に記載の異常検出方法。
6. 前記第一の対象期間が週のうちの初日と規定される日である場合は、前週の所定の日の対象期間を参照して前記補正予測値を求める請求項１乃至５の何れか１項に記載の異常検出方法。
7. 対象期間ごとに、前記対象期間の異常有無を判定するための基準となる予測値が設定されており、
   第一の対象期間より前の第二の対象期間についての前記予測値と実測値とに基づいて、前記第一の対象期間の前記予測値を補正した補正予測値を求め、
   前記第一の対象期間に対応する前記予測値と前記補正予測値との、一方を上限値に、他方を下限値に、定めた基準を用いて、前記第一の対象期間の異常有無を判定する、
   処理をコンピュータに実行させる異常検出プログラム。

Images