JP2022036261A

JP2022036261A - 異常診断方法および異常診断装置

Info

Publication number: JP2022036261A
Application number: JP2022003718A
Authority: JP
Inventors: 達海大庭; Tatsumi Oba
Original assignee: Panasonic Intellectual Property Corp of America
Current assignee: Panasonic Intellectual Property Corp of America
Priority date: 2017-09-27
Filing date: 2022-01-13
Publication date: 2022-03-04
Anticipated expiration: 2037-09-27
Also published as: JP7325557B2

Abstract

【課題】異常の原因を効果的に特定することができる異常診断方法を提供する。【解決手段】異常診断方法は、監視対象の状態の観測により得られた、複数の変数の値で構成される観測値が異常であるか否かを診断する異常診断方法であって、異常診断装置は、プロセッサおよびメモリを備え、メモリは複数の観測値を用いた学習により生成された異常検知モデルを記憶しており、プロセッサは互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、観測値を取得し、メモリから読み出して、異常検知モデルに観測値を入力することでスコアを算出し、スコアを用いて観測値が異常であるか否かを判定し、観測値が異常であると判定した場合、スコアとグループ情報で示される１以上のグループとに基づいて定義される損失関数を用いて、当該観測値の１以上のグループのうち、異常の原因であるグループを特定する。【選択図】図９

Description

本発明は、多次元情報における異常に寄与する変数を特定する異常診断方法および異常診断装置に関する。

従来、特許文献１～４および非特許文献１において開示されているように、複数の変数の観測値に異常があるか否かを診断することで、異常を検知することが知られている。

特許第６０７６７５１号公報特許第５８５８８３９号公報特許第５８１１６８３号公報特許第５１０８１１６号公報

Ｓｏｍｍｅｒ，Ｒｏｂｉｎ，ａｎｄＶｅｒｎＰａｘｓｏｎ． "Ｏｕｔｓｉｄｅｔｈｅｃｌｏｓｅｄｗｏｒｌｄ：Ｏｎｕｓｉｎｇｍａｃｈｉｎｅｌｅａｒｎｉｎｇｆｏｒｎｅｔｗｏｒｋｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ．" ＳｅｃｕｒｉｔｙａｎｄＰｒｉｖａｃｙ（ＳＰ），２０１０ＩＥＥＥＳｙｍｐｏｓｉｕｍｏｎ．ＩＥＥＥ，２０１０．Ｍ．Ｔａｖａｌｌａｅｅ，Ｅ．Ｂａｇｈｅｒｉ，Ｗ．Ｌｕ，ａｎｄＡ．Ｇｈｏｒｂａｎｉ， "ＡＤｅｔａｉｌｅｄＡｎａｌｙｓｉｓｏｆｔｈｅＫＤＤＣＵＰ９９ＤａｔａＳｅｔ，" ＳｕｂｍｉｔｔｅｄｔｏＳｅｃｏｎｄＩＥＥＥＳｙｍｐｏｓｉｕｍｏｎＣｏｍｐｕｔａｔｉｏｎａｌＩｎｔｅｌｌｉｇｅｎｃｅｆｏｒＳｅｃｕｒｉｔｙａｎｄＤｅｆｅｎｓｅＡｐｐｌｉｃａｔｉｏｎｓ（ＣＩＳＤＡ），２００９．Ｍｉｋｏｌｏｖ，Ｔｏｍａｓ，ｅｔａｌ． "Ｄｉｓｔｒｉｂｕｔｅｄｒｅｐｒｅｓｅｎｔａｔｉｏｎｓｏｆｗｏｒｄｓａｎｄｐｈｒａｓｅｓａｎｄｔｈｅｉｒｃｏｍｐｏｓｉｔｉｏｎａｌｉｔｙ．" Ａｄｖａｎｃｅｓｉｎｎｅｕｒａｌｉｎｆｏｒｍａｔｉｏｎｐｒｏｃｅｓｓｉｎｇｓｙｓｔｅｍｓ．２０１３．Ｙａｎｇ，Ｓｅｎ，ｅｔａｌ． "Ｆｅａｔｕｒｅｇｒｏｕｐｉｎｇａｎｄｓｅｌｅｃｔｉｏｎｏｖｅｒａｎｕｎｄｉｒｅｃｔｅｄｇｒａｐｈ．" ＧｒａｐｈＥｍｂｅｄｄｉｎｇｆｏｒＰａｔｔｅｒｎＡｎａｌｙｓｉｓ．ＳｐｒｉｎｇｅｒＮｅｗＹｏｒｋ，２０１３．２７－４３．Ｓｏｎｇ，Ｊｉｎｇｐｉｎｇ，ＺｈｉｌｉａｎｇＺｈｕ，ａｎｄＣｈｒｉｓＰｒｉｃｅ． "Ｆｅａｔｕｒｅｇｒｏｕｐｉｎｇｆｏｒｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｓｙｓｔｅｍｂａｓｅｄｏｎｈｉｅｒａｒｃｈｉｃａｌｃｌｕｓｔｅｒｉｎｇ．" ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＡｖａｉｌａｂｉｌｉｔｙ，Ｒｅｌｉａｂｉｌｉｔｙ，ａｎｄＳｅｃｕｒｉｔｙ．ＳｐｒｉｎｇｅｒＩｎｔｅｒｎａｔｉｏｎａｌＰｕｂｌｉｓｈｉｎｇ，２０１４．

本開示は、異常の原因を効果的に特定することができる異常診断方法及び異常診断装置を提供する。

本開示の一態様に係る異常診断方法は、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置が実行する異常診断方法であって、前記異常診断装置は、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、前記異常検知モデルに前記観測値を入力することでスコアを算出し、前記スコアを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、前記スコアと取得した前記グループ情報で示される前記１以上のグループとに基づいて定義される損失関数を用いて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する。

本開示の一態様に係る異常診断装置は、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置であって、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせによりそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、前記異常検知モデルに前記観測値を入力することでスコアを算出し、記スコアを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、前記スコアと取得した前記グループ情報で示される前記１以上のグループとに基づいて定義される損失関数を用いて、前記観測値の前記１以上のグループのうち、異常の原因であるグループを特定する。

本開示の一態様に係る異常診断方法は、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置が実行する異常診断方法であって、前記異常診断装置は、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、当該観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する。

本開示の一態様に係る異常診断装置は、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置であって、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせによりそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、取得した前記観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、前記観測値の前記１以上のグループのうち、異常の原因であるグループを特定する。

なお、これらの全般的または具体的な態様は、システム、装置、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、装置、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。

本開示における異常診断方法および異常診断装置は、異常の原因を効果的に特定することができる。

図１は、実施の形態に係る異常診断システムの概略図である。図２は、実施の形態に係る異常診断装置のハードウェア構成の一例を示すブロック図である。図３は、本実施の形態に係る異常診断システムにおける監視対象の一例を示す図である。図４は、本実施の形態における異常診断装置の機能構成の一例を示すブロック図である。図５は、監視対象から取得された観測データの一例を示す図である。図６Ａは、本実施の形態における異常診断装置のグループを設定するためにディスプレイに表示されるＵＩの一例を示す図である。図６Ｂは、本実施の形態における異常診断装置のグループを設定するためにディスプレイに表示されるＵＩの一例を示す図である。図７は、実施の形態におけるオートエンコーダを示す図である。図８は、実施の形態に係る異常検知モデルの生成処理の一例を示すフローチャートである。図９は、実施の形態に係る異常検知モデルを用いた判定処理の一例を示すフローチャートである。図１０は異常の原因であるグループを特定する特定処理の一例を示すフローチャートである。

（本発明の基礎となった知見）
近年、工場などの設備では、ＩＴ化や自動化が高度に進んでいる。設備を効率よく、かつ、安全に自動化するためには、正確なセンシングと適切なフィードバックとが必要不可欠である。このため、故障、サイバー攻撃などによる異常を検知する異常検知は、設備の不良による大きな損害を事前に回避するために極めて重要な技術である。

その一方で、適切に異常を捉えることができたとしても、何が原因で異常が起きているのか、その原因を追究することは、また別の困難さをはらんでいる。機械学習における一般的な異常検知の手法では、正常状態では発生する可能性が低いイベントを検知するのみであり、その異常の原因についての情報は得られない。そのため、異常検知は、正常状態でないことが様々な可能性を含むネットワークなどの分野においては特に、あまり有効に活用されていないのが現状である（非特許文献１）。

異常が起きた原因を特定するために、観測された値のどの変数が特に異常に大きく寄与しているかを特定することは有効である。例えばセンサが故障した場合には、故障したセンサの観測値だけが異常な値を示すはずである。このため、観測値が異常であると特定できた場合には、速やかに観測値が得られたセンサの故障という原因にたどり着くことができる（特許文献１、２）。

しかし、現実に生じる異常診断では、上記のような、故障したセンサの特定などが目的であることばかりではない。実際には、ある１つの根本的な現象または原因が複数のセンサなどの観測値に影響を及ぼす場面は多い。例えば数学のテストの点数と物理のテストの点数とは、いずれも数理的思考力という根本的な要因に影響を受ける。このため、両者の点数は高い相関関係にあると言える。このように、根本要因に影響を与える異常な現象が、同時に複数の変数に影響を及ぼすことになる。

また、特許文献３の手法では、ある変数に異常の可能性があると判断されると、その変数と強い相関を持つ複数の変数が抽出される。強い相関を持つ変数同士は、共通の要素に影響を受けている可能性が高い。このため、この方法は異常診断にも役立つ。特許文献４の手法も同様に強い相関を持つ変数を共線性データ項目としてまとめている。

しかし、前述の方法は、化学プラントなどにおける設備またはセンサの故障診断など、物理的なシステムを対象としていた。このため、ネットワークを流れるパケットの不正なパラメータを検出する目的など、異常診断のモデルがより複雑な場合、または、悪意を持ってパラメータを操作される場合には、異常となる変数を効果的に特定できない場合がある。

具体的には、サイバー攻撃、マルウェアなどが進化を続けてくる中で、侵入検知システム（ＩＤＳ：Intrusion Detection System）、または、侵入防止システム（ＩＰＳ：Intrusion prevention system）を導入することで、攻撃などを未然に防ぐことが不可欠となってきた。侵入検知システムまたは侵入防止システムは、コンピュータまたはネットワークに対する不正行為を検知または防御するシステムである。

しかし、昨今の攻撃の多様化に伴い、従来用いられてきたシグネチャ型の検知システムでは不正通信を捉えきれなくなってきた。このため、アノマリ型と呼ばれる異常検知のシステムが必要になってきた。シグネチャ型が既知のパターンにしか適用できないのに対して、アノマリ型は未知の攻撃パターンも検知できる可能性がある。しかし、異常を検知できたところで、具体的に何が異常なのかわからない上に、膨大な異常検知アラートを発するため、ユーザが対応に追われてしまうという問題があった。

このような課題を解決するため、本開示の一実施様態の異常診断方法は、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置が実行する異常診断方法であって、前記異常診断装置は、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、当該観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する。

これにより、広範な問題に対して高精度に異常の原因となるグループを特定することができる。

また、前記異常検知モデルは、前記複数の観測値を用いて、前記学習としてのオートエンコーダ、変分オートエンコーダ、および、１クラスサポートベクトルマシンのうちの少なくとも１つによって生成されたモデルであってもよい。

これにより、既によい性能を発揮することが知られている異常検知を用いて観測値が異常であるかを判定することができる。また、異常検知が出力するスコアを用いて、自然な損失関数を用いた異常診断を行うことが容易にできる。

また、前記観測値が異常であるか否かの判定では、前記異常検知モデルに前記観測値を入力することでスコアを算出し、算出した前記スコアが予め定められた第１の閾値以上の場合、取得した前記観測値が異常であると判定し、算出した前記スコアが前記第１の閾値未満の場合、取得した前記複数の観測値が異常でないと判定してもよい。

このため、効果的に観測値の異常を検知することができる。

また、前記異常検知モデルは、学習用の正常な複数の前記観測値と、診断用の複数の前記観測値との確率密度比に基づいて生成されたモデルであり、前記観測値の取得では、複数の前記観測値を取得し、前記観測値が異常であるか否かの判定では、前記メモリから読み出した前記異常検知モデルと、取得した前記複数の観測値とを用いてスコアを算出し、算出した前記スコアが予め定められた第１の閾値以上の場合、取得した前記複数の観測値が異常であると判定し、算出した前記スコアが前記第１の閾値未満の場合、取得した前記複数の観測値が異常でないと判定してもよい。

これにより、学習期間のデータが少ないなどの理由でモデリングが困難な場合や、診断対象データが集合として異常かどうかを判断できるようになり、異常であるならばどの変数グループに異常があるかを特定することができる。

また、前記グループの特定では、算出した前記スコアと、前記グループ情報で示される前記１以上のグループ毎に正則化することにより得られるグループ正則化項との和で構成される損失関数が極小値となる変位ベクトルを算出し、算出した前記変位ベクトルのうち、１未満の第２の閾値以上の変数を含むグループを、異常の原因であるグループとして特定してもよい。

これにより、異常の原因であるグループを効果的に特定することができる。

また、前記グループ正則化項は、グループ間では０＜ｐ≦１であり、かつ、グループ内ではｐ＞１であるＬｐ正則化を満たすとしてもよい。

以下で説明する実施の形態は、いずれも本発明の一具体例を示すものである。以下の実施の形態で示される数値、形状、構成要素、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また全ての実施の形態において、各々の内容を組み合わせることも出来る。

（実施の形態）
［１．異常診断システムの構成］
まず、本実施の形態における異常診断システムの概略構成について説明する。

図１は、実施の形態に係る異常診断システムの概略図である。

具体的には、図１において、異常診断システム１は、異常診断装置１００、サーバ２００および監視対象３００を備える。異常診断システム１では、監視対象３００の状態を観測することにより得られたデータである観測データが監視対象３００からサーバ２００に送信される。サーバ２００に受信された観測データは、サーバ２００に蓄積される。異常診断装置１００は、サーバ２００に蓄積された観測データを取得する。異常診断装置１００は、例えば、定期的にサーバ２００に蓄積された観測データを取得してもよいし、リアルタイムにサーバ２００に蓄積された観測データを取得してもよい。

異常診断装置１００は、取得した観測データを用いて、観測データに異常である観測値が含まれているか否かを判定する。これにより、異常診断装置１００は、監視対象の異常診断を行う。

監視対象３００は、異常診断の対象となるシステムである。監視対象３００は、例えば、化学プラント、制御システム、車載ネットワークシステムなどである。監視対象３００からは、観測により観測データを得ることができる。観測データは、監視対象３００の状態を示す複数の変数の値で構成される観測値を示すデータである。観測データは、監視対象３００から取得された観測値を示す複数種類のデータ列である。観測値のデータ列は、例えば時系列のベクトルにより表され、それぞれの次元が監視対象３００が含むセンサなどから得られた値である。つまり、観測値は、複数の異なるタイミングのそれぞれにおいて得られた値である。観測値は、例えば、所定の１単位の処理中に観測されることにより得られる値であって、当該処理が終了するタイミングで得られる値である。

異常診断システム１では、異常診断装置１００、サーバ２００および監視対象３００は、互いに通信可能に接続されている。例えば、異常診断システム１では、異常診断装置１００とサーバ２００とは、インターネットなどの汎用のネットワークで接続されていてもよいし、専用のネットワークで接続されていてもよい。また、異常診断システム１では、サーバ２００と監視対象３００とは、インターネットなどの汎用のネットワークで接続されていてもよいし、専用のネットワークで接続されていてもよい。

なお、異常診断システム１は、サーバ２００を備えていなくてもよい。つまり、異常診断システムは、異常診断装置１００および監視対象３００を備える構成であってもよい。この場合の異常診断システム１では、監視対象３００の状態を観測することにより得られたデータである観測データが監視対象３００から異常診断装置１００に直接送信される。また、サーバ２００を備えていない異常診断システムでは、異常診断装置１００と監視対象３００とは、互いに通信可能に接続されており、例えば、インターネットなどの汎用のネットワークで接続されていてもよいし、専用のネットワークで接続されていてもよい。

［２．ハードウェア構成］
［２－１．異常診断装置の構成］
次に、異常診断装置１００のハードウェア構成について図２を用いて説明する。

図２は、実施の形態に係る異常診断装置のハードウェア構成の一例を示すブロック図である。

図２に示すように、異常診断装置１００は、ハードウェア構成として、ＣＰＵ１０１（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）と、メインメモリ１０２と、ストレージ１０３と、通信ＩＦ（Ｉｎｔｅｒｆａｃｅ）１０４と、入力ＩＦ（Ｉｎｔｅｒｆａｃｅ）１０５と、ディスプレイ１０６とを備える。

ＣＰＵ１０１は、ストレージ１０３等に記憶された制御プログラムを実行するプロセッサの一例である。

メインメモリ１０２は、ＣＰＵ１０１が制御プログラムを実行するときに使用するワークエリアとして用いられる揮発性の記憶領域、つまりメモリの一例である。

ストレージ１０３は、制御プログラム、コンテンツなどを保持する不揮発性の記憶領域、つまり、メモリの一例である。

通信ＩＦ１０４は、通信ネットワークを介してサーバ２００と通信する通信インタフェースである。通信ＩＦ１０４は、例えば、有線ＬＡＮインタフェースである。なお、通信ＩＦ１０４は、無線ＬＡＮインタフェースであってもよい。また、通信ＩＦ１０４は、ＬＡＮインタフェースに限らずに、通信ネットワークとの通信接続を確立できる通信インタフェースであれば、どのような通信インタフェースであってもよい。

入力ＩＦ１０５は、例えば、テンキー、キーボード、マウスなどの入力装置である。

ディスプレイ１０６は、ＣＰＵ１０１での処理結果を表示する表示装置である。ディスプレイ１０６は、例えば、液晶ディスプレイ、有機ＥＬディスプレイである。

［２－２．監視対象の構成］
次に、異常診断システム１における監視対象３００の一例として制御システム３１０から観測データを得る場合について説明する。

図３は、本実施の形態に係る異常診断システムにおける監視対象の一例を示す図である。図３において、異常診断システム１では、監視対象３００は、例えば、制御システム３１０である。制御システム３１０において観測されることにより得られた観測データは、サーバ２００に送信される。サーバ２００に送信されることで蓄積された観測データは、異常診断装置１００に送信され、異常診断装置１００における観測値の異常診断に用いられる。

制御システム３１０は、ルータ３１１と、スイッチングハブ３１２と、管理端末３１３と、サーバ３１４と、ＰＬＣ（Programmable Logic Controller）３１５と、センサ３１
６とを備える。

ルータ３１１は、制御システム３１０と他のネットワークとの間において、データの送受信を中継する通信機器である。ルータ３１１は、受信したデータを解析し、解析した結果に基づいてデータの転送経路を選択するなどのデータの転送制御を行う。

スイッチングハブ３１２は、ルータ３１１、管理端末３１３、サーバ３１４、ＰＬＣ３１５、およびセンサ３１６と通信接続され、受信したデータを接続された機器のうち、受信したデータに含まれる宛先情報に基づく機器に転送する。スイッチングハブ３１２は、例えば、受信したデータをコピーしたデータを出力するミラーポートを有する。スイッチングハブ３１２は、ミラーポートにおいて、サーバ２００と接続されている。観測データは、スイッチングハブ３１２のミラーポート経由で抽出され、サーバ２００に送信される。

管理端末３１３は、例えば、ＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）、タブレット端末、スマートフォンなどである。

サーバ３１４は、コンピュータであり、例えば、管理端末３１３に所定の機能、データなどを提供する。

ＰＬＣ３１５は、各種機械を制御するための制御装置である。

センサ３１６は、各種センサを含み、例えば、各種物理量を電気信号に変換する機器である。

［３．異常診断システムの機能構成］
次に、異常診断システム１の機能構成について図４を用いて説明する。

図４は、本実施の形態における異常診断装置の機能構成の一例を示すブロック図である。

サーバ２００に蓄積されている観測データ２１０は、学習用データ２１１と診断用データ２１２とを含む。

学習用データ２１１は、取得された観測データ２１０のうちで、機械学習による異常検知モデルを生成するためのデータである。診断用データ２１２は、取得された観測データ２１０のうちで、生成された異常検知モデルを用いて監視対象３００から得られた観測データ２１０が異常か否かを判断する異常診断の対象となるデータである。なお、学習用データ２１１には、正常なデータだけでなく、異常なデータも含む取得された観測データ２１０を用いることができる。例えば、学習用データ２１１は、観測データ２１０の始めの所定期間で取得されたデータであり、診断用データ２１２は、学習用データ２１１を取得した所定期間より後の期間において取得されたデータとしてもよい。

異常診断装置１００は、第１取得部１１０と、グループ情報ＤＢ（Ｄａｔａｂａｓｅ）１２０と、第２取得部１３０と、生成部１４０と、異常検知モデルＤＢ（Ｄａｔａｂａｓｅ）１５０と、判定部１６０と、特定部１７０とを備える。

第１取得部１１０は、監視対象３００の状態を示す複数の変数のうち、互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得する。第１取得部１１０は、例えば、ユーザからのグループを示す入力を受け付けることで、グループ情報を取得する。第１取得部１１０は、例えば、入力ＩＦ１０５、ディスプレイ１０６などにより実現される。

グループ情報ＤＢ１２０は、第１取得部１１０により取得されたグループ情報を記憶する。グループ情報ＤＢ１２０は、例えば、ストレージ１０３などにより実現される。

第２取得部１３０は、サーバ２００から観測データ２１０を取得することで、観測データ２１０に含まれる観測値を取得する。第２取得部１３０は、例えば、通信ＩＦ１０４などにより実現される。

生成部１４０は、第２取得部１３０により取得された観測データ２１０のうちの学習用データ２１１を用いた機械学習により異常検知モデルを生成する。機械学習による異常検知モデルの生成は、通常教師なし学習の問題として定式化される。生成部１４０は、例えば、学習用データ２１１を用いてデータの確率密度分布などを推定することで異常検知用のモデルである異常検知モデルを生成する。学習用データ２１１は、例えば、所定の期間、監視対象３００を観測することにより得られた多くのラベル無しデータを含む。生成部１４０による異常検知モデルの生成処理の具体例は、後述する。生成部１４０は、例えば、ＣＰＵ１０１、メインメモリ１０２、ストレージ１０３などにより実現される。

異常検知モデルＤＢ１５０は、生成部１４０により生成された異常検知モデルを記憶する。異常検知モデルＤＢ１５０は、例えば、ストレージなどにより実現される。

判定部１６０は、異常検知モデルＤＢ１５０に記憶されている異常検知モデルを読み出す。判定部１６０は、読み出した異常検知モデルを用いて、第２取得部１３０により取得された観測データ２１０のうち診断用データ２１２が異常であるか否かを判定する。判定部１６０は、例えば、診断用データ２１２に含まれる複数の観測値のそれぞれについて上記の判定を行ってもよいし、複数の観測値について上記の判定を行ってもよい。判定部１６０は、異常検知モデルに対する診断用データ２１２の確率密度が所定の閾値を超えているか否かに応じて、診断用データ２１２が異常であるか否かの判定を行う。判定部１６０は、例えば、得られた上記確率密度が負の対数となる場合、当該確率密度が得られた診断用データ２１２に異常が含まれると判定する。判定部１６０の異常判定の方法はこの限りではない。判定部１６０による判定処理の具体例は、後述する。判定部１６０は、例えば、ＣＰＵ１０１、メインメモリ１０２、ストレージ１０３などにより実現される。

特定部１７０は、診断用データ２１２が異常であると判定部１６０により判定された場合、異常であると判定された診断用データ２１２とグループ情報ＤＢ１２０に記憶されているグループ情報で示される１以上のグループとに基づいて、当該診断用データ２１２の１以上のグループのうち、異常の原因であるグループを特定する。特定部１７０は、異常と判定された診断用データ２１２と、グループ情報とを用いて異常診断を行う。ここで言う異常診断とは、判定部１６０により異常であると判定された診断用データ２１２に関して、当該診断用データ２１２のどの変数グループが異常であるかを診断することである。特定部１７０による異常診断の具体例は、後述する。

なお、特定部１７０は、異常検知モデルＤＢ１５０の異常検知モデルとグループ情報ＤＢ１２０のグループ情報とを用いてどの変数グループが異常であるかを抽出することで異常診断のための異常診断モデルを予め生成していてもよい。この場合、特定部１７０は、判定部１６０で異常と判定された診断用データ２１２に対して、予め生成した異常診断モデルを用いることで、異常診断を行う。

特定部１７０は、ＣＰＵ１０１、メインメモリ１０２、ストレージ１０３などにより実現される。

なお、異常診断装置１００は、異常検知モデルを生成する生成部１４０を備える構成であるとしたが、生成部１４０を備えていなくてもよい。つまり、学習用データを用いて異常検知モデルを生成する装置は、異常診断装置１００とは別の装置により実現されていてもよく、異常診断装置１００は当該別の装置から異常検知モデルを取得してもよい。

なお、異常診断システム１は、異常診断装置１００が観測データ２１０を取得できれば、監視対象３００を備えていなくてもよい。

［４．観測データの一例］
次に、観測データ２１０の詳細について図５を用いて説明する。

図５は、監視対象から取得された観測データの一例を示す図である。

図５において、観測データ２１０は、セッション継続時間と、プロトコル種別と、サービス名と、フラグと、サーバ送信データ量と、サーバ受信データ量と、サーバ直近通信回数と、サーバ直近エラー率と、ログインステータスと、ルートシェルフラグと、ルートで実行された命令数とのそれぞれで示される監視対象３００の各状態の項目において、複数のセッションごとに観測された観測値１～７で構成されている。つまり、図５で示される複数の項目は、監視対象の状態を示す複数の変数を示し、観測値１～７は、複数の異なるタイミングにおいて得られる観測値を示す。例えば、観測値１～７のそれぞれは、１つのセッションにおいて、監視対象３００の上記複数の各項目で示される状態が観測されることにより得られた値である。よって、観測値ｎ（ｎは自然数）で観測された値は、セッションｎ（ｎは自然数）に対する処理中に観測された値である。

図５における観測データ２１０の観測値の項目は、ネットワークを観測して得られる特徴量の一例である。これらの特徴量は、非特許文献２におけるＮＳＬ－ＫＤＤデータセットで提供されている特徴量の一部である。これらの特徴量は、ネットワークを流れるパケットの情報などを監視対象として、様々な種別の変数を観測することにより得られる。

図５の観測データ２１０は、観測値として、セッション継続時間、サーバ送信データ量、サーバ受信データ量、サーバ直近通信回数、サーバ直近エラー率、およびルートで実行された命令数で観測された値である実数と、プロトコル種別、サービス名、およびフラグで観測されたカテゴリ情報、ログインステータスおよびルートシェルフラグで観測されたフラグ情報などを含んだ生の値を含む。異常診断装置１００は、これらの観測値のうち、例えば、カテゴリ情報を生の値のままで、異常検知、異常診断などの各処理において利用することが難しい。そのため、カテゴリ情報等の観測値を１－ｏｆ－Ｎエンコードを用いてベクトル値に変換する。ベクトル値への変換は、サーバ２００において行われてもよいし、異常診断装置１００において行われてもよい。

ここで１－ｏｆ－Ｎエンコードとは、Ｎ種類の観測値に対し、１次元ずつ割り当てを行い、その観測値が該当する次元のみを１とし、他の次元を０とする数値を決定することでカテゴリ情報などの観測値をベクトル値に変換するためのエンコードである。

例えば、晴／雨／曇の３種類である観測値に１－ｏｆ－Ｎエンコードを用いる場合、Ｎ＝３であるため、例えば、晴を（１，０，０）、雨を（０，１，０）、曇を（０，０，１）のように３次元に観測値を割り当てる変換を行うことで、晴／雨／曇という観測値からベクトル値が得られる。

また、ＯＮ／ＯＦＦのような２値のフラグの観測値に対しては、ＯＮを１、ＯＦＦを０という特徴量で表す変換を行うことで数値化してもよい。

［５．グループの設定の一例］
次に、グループの設定方法について図６Ａおよび図６Ｂを用いて詳細に説明する。

図６Ａおよび図６Ｂは、実施の形態における異常診断装置のグループを設定するためにディスプレイに表示されるＵＩの一例を示す図である。

図６Ａにおいて、ディスプレイ１０６には、少なくとも２つの変数の組み合わせで構成されるグループを設定するためのＵＩ１１１が表示されている。ＵＩ１１１は、項目１１２と、グループ追加ボタン１１３と、グループ削除ボタン１１４とで構成されている。項目１１２には、監視対象３００から取得される観測データ２１０に含まれる複数の項目が表示されている。項目１１２は、具体的には、セッション継続時間と、プロトコル種別と、サービス名と、フラグと、サーバ送信データ量と、サーバ受信データ量と、サーバ直近通信回数と、サーバ直近エラー率と、ログインステータスと、ルートシェルフラグと、ルートで実行された命令数とを含む。ユーザは、入力ＩＦ１０５を用いてＵＩ１１１に対する入力を行うことで、これらの項目１１２に対して、グループを設定する。

図６Ａは、ＵＩ１１１初期状態を示しており、項目１１２に対してグループに属さないことを示すグループなし１１５を設定するためのチェックボックスが表示されている。

グルーピングを行う場合、ユーザは、グループ追加ボタン１１３を押下することでグループを追加することができ、追加されたグループに属する項目を設定できる。

図６Ｂは、グループ追加ボタン１１３を押下することで、グループとして「グループ１」、「グループ２」を追加した場合に表示されるＵＩ１１１ａを示す。

ＵＩ１１１ａでは、「グループ１」として、「セッション継続時間」、「サーバ送信データ量」、および「サーバ受信データ量」が設定されている。「セッションの継続時間」は、送受信データが大きい場合に大きくなるので、「セッション継続時間」、「サーバ送信データ量」、および「サーバ受信データ量」は互いに関連がある。このため、「セッション継続時間」、「サーバ送信データ量」、および「サーバ受信データ量」は、グルーピングされている。

また、ＵＩ１１１ａでは、「グループ２」として、「ルートシェルフラグ」および「ルートで実行された命令数」が設定されている。「ルートシェルフラグ」がＯＮの場合に、「ルートで実行された命令数」が１以上になるため、「ルートシェルフラグ」および「ルートで実行された命令数」は互いに関連がある。このため、「ルートシェルフラグ」および「ルートで実行された命令数」は、グループピングされている。

ＵＩ１１１、１１１ａを用いた項目１１２のグループの設定では、複数の項目それぞれは「グループなし」を含む１つのグループに含まれるように設定され、２つ以上のグループに属する項目はないものとする。

また、項目１１２では「プロトコル種別」を観測値としているが、代わりに、「ｔｃｐ」、「ｕｄｐ」、および「ｉｃｍｐ」の３通りの観測値とする場合、つまり、項目として「プロトコル種別」の代わりに「ｔｃｐ」、「ｕｄｐ」、および「ｉｃｍｐ」の３項目とする場合は、これらの３項目を同一のグループとして設定してもよい。

設定したグループを削除する場合は、削除するグループを選択した上でグループ削除ボタン１１４を押下することで選択したグループを削除できる。なお、ＵＩ１１１、１１１ａでは、グループを選択したことは、例えば、「グループ１」、「グループ２」および「グループなし」のいずれかを選択する入力を受け付けたときに、当該入力により示されるグループが強調表示されることで示されてもよい。

［６．生成処理］
次に、生成部１４０による異常検知モデルの生成処理について詳細に説明する。

異常検知モデルの生成の一例として、オートエンコーダを用いる場合について図７を用いて説明する。

図７は、実施の形態におけるオートエンコーダを示す図である。

図７に示すように、オートエンコーダは、ニューラルネットワークの一種であり、入力を表す特徴の情報量を次元圧縮により抽出する。オートエンコーダは、入力層および出力層よりも小さい次元の中間層を有する３層以上のニューラルネットワークにおいて、入力特徴ベクトルと出力ベクトルとが同じ値になるように重み付けを決定する機械学習である。

図８は、実施の形態に係る異常検知モデルの生成処理の一例を示すフローチャートである。

生成部１４０は、オートエンコーダのハイパーパラメータを取得する（Ｓ１１）。ハイパーパラメータとは、オートエンコーダの中間層のノード数、学習率、ドロップアウト関数のパラメータなどである。ドロップアウトは、オートエンコーダを学習する際に中間ノードの値をランダムに０にするテクニックである。生成部１４０は、ユーザの入力ＩＦ１０５への入力を受け付けることによりハイパーパラメータを取得してもよいし、予めストレージ１０３に記憶されているハイパーパラメータをストレージ１０３から取得してもよいし、外部の機器から通信ＩＦ１０４を用いてハイパーパラメータを取得してもよい。

生成部１４０は、オートエンコーダで学習する学習用データ２１１を第２取得部１３０から取得する（Ｓ１２）。

生成部１４０は、オートエンコーダを用いて学習を行わせ、オートエンコーダにおける重みパラメータを調整することで、学習用データ２１１を適切に圧縮および復元できる重みパラメータを取得する（Ｓ１３）。生成部１４０は、取得した重みパラメータをステップＳ１１で取得されたハイパーパラメータが設定されたオートエンコーダに適用することで、異常検知モデルを生成する。

［７．判定処理］
次に、生成した異常検知モデルを用いた判定部１６０による判定処理について詳細に説明する。

図９は、実施の形態に係る異常検知モデルを用いた判定処理の一例を示すフローチャートである。オートエンコーダを用いて異常の判定を行う。

判定部１６０は、異常検知モデルＤＢ１５０から異常検知モデルを読み出す（Ｓ２１）。判定部１６０は、例えば、異常検知モデルＤＢ１５０から学習済のオートエンコーダを読み込む。

判定部１６０は、スコアが異常であると判定するための第１の閾値を取得する（Ｓ２２）。判定部１６０は、例えば、交差検証法を用いて第１の閾値を算出することで、第１の閾値を取得してもよい。交差検証法では、例えば、複数の学習用データ２１１を４：１に分割し、分割した一部（４：１の４）を学習に用い、残り（４：１の１）を検証に用いる。分割した学習用データ２１１のうち学習に用いるデータを用いてオートエンコーダを学習させ、かつ、分割した学習用データ２１１のうち検証に用いるデータを用いて、当該学習により得られたオートエンコーダで異常判定を行い、異常と判定される確率が０．０１％程度になるように、判定部１６０は、第１の閾値を算出してもよい。判定部１６０は、また、ユーザの入力ＩＦ１０５への入力を受け付けることにより第１の閾値を取得してもよいし、予めストレージ１０３に記憶されている第１の閾値をストレージ１０３から取得してもよいし、外部の機器から通信ＩＦ１０４を用いて第１の閾値を取得してもよい。

判定部１６０は、第２取得部１３０により取得された診断用データ２１２を取得する（Ｓ２３）。

判定部１６０は、第２取得部１３０により取得された診断用データ２１２を学習済のオートエンコーダに入力することでスコアを算出する（Ｓ２４）。判定部１６０は、例えば、式１を用いてスコアを算出する。

式１において、ｘは、オートエンコーダへの入力ベクトルを示し、ｉは、ｘのｉ次元目であることを示し、ｉは、オートエンコーダの出力ベクトルのｉ次元目であることを示す。また、式１において、ｍは、入力ベクトルおよび出力ベクトルの次元数であることを示す。また、式１において、スコアＪ（ｘ）は、診断用データをオートエンコーダに入力した場合の出力ベクトルとの２乗平均誤差を示す。

判定部１６０は、算出したスコアが第１の閾値以上か否かを判定する（Ｓ２５）。

判定部１６０は、スコアが第１の閾値以上の場合（Ｓ２５でＹｅｓ）、入力された診断用データが異常であると判定し（Ｓ２６）、判定結果を特定部１７０へ通知する。

判定部１６０は、スコアが第１の閾値未満の場合（Ｓ２５でＮｏ）、入力された診断用データが正常であると判定する（Ｓ２７）。

特定部１７０は、算出されたスコアとグループ情報とを用いて異常の原因であるグループを特定する特定処理を行う（Ｓ２８）。特定処理の詳細は後述する。

［８．特定処理］
次に、異常の原因であるグループを特定する特定処理について、詳細に説明する。

図１０は、実施の形態に係る異常の原因であるグループを特定する特定処理の一例を示すフローチャートである。

特定部１７０は、判定部１６０においてで異常と判定された診断用データ２１２のスコアを用いて、異常の原因であるグループを特定する特定処理を行う。式２は、異常の原因であるグループを特定するために使用する損失関数である。

式２において、δは入力ベクトルと同じ次元数を持つ変位ベクトルを示し、λは正則化パラメータを示し、ｎ_ｇは変数グループの個数を示し、ｄ_ｉは変数グループｇ_ｉに属する変数の数を示す。Ｊ（ｘ）はスコアを示す。

損失関数は、式２に示すように、スコアと、グループ正則化による元の入力値からの変位δのＬ２ノルムをグループごとに足し合わせたスコアとの和として定義される。

式２におけるグループ正則化項は、グループ間ではｐ＝１であり、グループ内ではｐ＝２であるＬｐ正則化を満たす式である。なお、グループ正則化項は、式２に限らずに、グループ間では０＜ｐ≦１であり、かつ、グループ内ではｐ＞１であるＬｐ正則化を満たせばよい。

また、式２ではグループ正則化は、パラメータλを掛けることで重み付けされている。

特定部１７０は、パラメータλを取得する（Ｓ３１）。特定部１７０は、パラメータλとして、任意の値を取得してもよいし、交差検証法を用いて算出することで取得してもよい。また、特定部１７０は、ユーザの入力ＩＦ１０５への入力を受け付けることによりパラメータλを取得してもよいし、予めストレージ１０３に記憶されているパラメータλをストレージ１０３から取得してもよいし、外部の機器から通信ＩＦ１０４を用いてパラメータλを取得してもよい。

特定部１７０は、式２の損失関数の値が極小となる変位ベクトルδを、初期値０として勾配法で探索して算出する（Ｓ３２）。つまり、特定部１７０は、判定部１６０により第１の閾値以上であると判定されたスコアと、グループ情報で示される１以上のグループ毎に正則化することにより得られるグループ正則化項との和で構成される損失関数が極小値となる変位ベクトルδを算出する。

特定部１７０は、観測値の複数の変数のうちゼロでない変数、もしくは非常に小さな正の数ε（第２の閾値）に対し、絶対値が第２の閾値ε以上の変数を含むグループを異常の原因であるグループであると特定する（Ｓ３３）。第２の閾値は、０より大きく１未満の値である。

［９．効果など］
本実施の形態に係る異常診断方法によれば、複数の変数を観測した値で構成される観測値において、変数のグループを予め定めておくため、広範な問題に対して高精度に異常の原因となるグループを特定することができる。

また、異常診断方法によれば、オートエンコーダなど、既によい性能を発揮することが知られている異常検知を用いて観測値が異常であるか否かを判定することができる。また、異常検知が出力するスコアを用いて、自然な損失関数を用いた異常診断を行うことが容易にできる。

また、異常診断方法によれば、損失関数が極小値となる変位ベクトルのうち、第２の閾値以上の変数を含むグループを、異常の原因であるグループとして特定するため、効果的に異常の原因であるグループを特定することができる。

また、異常診断方法によれば、グループ正則化項は、グループ間では０＜ｐ≦１であり、かつ、グループ内ではｐ＞１であるＬｐ正則化を満たすため、効果的に異常の原因であるグループを特定することができる。

［１０．その他の変形例］
なお、本発明を上記の実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。

（１）
上記の実施の形態では、監視対象として制御システムの構成を説明した。そして、スイッチングハブから得られる観測データを用いて異常判定を実施するものとして説明したが、それだけに限られない。例えば化学プラントにおける種々のセンサから得られる観測値を観測データとして取得し、当該観測データを用いて異常判定を実施しても良い。

（２）
上記の実施の形態に係る異常診断装置１００では、ベクトル値への変換の手段として１－ｏｆ－Ｎエンコードを利用して数値化するとしたが、エンコードの方法はそれだけに限らない。例えば、非特許文献３にあるようなｅｍｂｅｄｄｉｎｇを用いる方法や、乱数を用いてエンコードする方法など、特定の次元数の実数値ベクトルに変換する方法が考えられる。これにより、より高精度に異常検知モデルの生成や異常判定を行うことができる。さらに、新たなカテゴリが生じる場合であっても、変数の次元を増やすことなくベクトル化することができる。

（３）
上記の実施の形態に係る異常診断装置１００では、変数のグルーピングをユーザからの入力ＩＦ１０５への入力に基づいて設定するとしたが、これに限らない。ＵＩ１１１、１１１ａには、さらに、変数間の相互情報量を示す表示が追加されてもよい。また、ユーザから入力ＩＦ１０５にグルーピングしたいグループ数を示す入力が受け付けられた場合、当該入力で示されるグループ数に応じて、非特許文献４または非特許文献５に記載の方法で自動的にグルーピングしてもよい。

また、変数のグルーピングとして、任意の変数を引数とする関数、例えば、恒等関数が別の変数である場合や、任意の角度θの三角関数であるｓｉｎθおよびｃｏｓθが別の変数である場合、変数間の関連の大きさに応じてこれらの変数のグルーピングをすればよい。

（４）
上記の実施の形態において、オートエンコーダを用いた異常判定を行ったが、他の方法を用いて異常判定を行ってもよい。例えば、カーネル密度推定によって確率密度関数を推定し、所定の閾値を下回る場合に異常と判定する方法を用いてもよいし、オートエンコーダの代わりに１クラスサポートベクトルマシンまたは変分オートエンコーダを用いて異常判定を行ってもよい。

１クラスサポートベクトルマシンを用いる場合、カーネル法を使って入力ベクトルを特徴空間に写像し、その特徴空間上で正常と異常を識別する境界面を決定することで、異常判定を行う。

変分オートエンコーダを用いる場合、入力データが生成される尤度を算出するため、異常の原因となる変数グループを特定する際に用いる損失関数は、２乗平均誤差ではなく、負の対数尤度などを用いることができる。

他にも、正常だと仮定できるサンプル群と、異常判定対象のサンプル群との間の確率密度の比を推定する密度比推定を使って異常を判定してもよい。この場合、異常診断装置１００では、生成部１４０は、学習用の正常な複数の観測データと、診断用の複数の観測データに基づいて、学習用データと診断用データの確率密度比に基づく異常検知モデルを生成する。つまり、上記実施の形態では、生成部１４０は、異常なデータを含む観測データ２１０を学習用データ２１１として用いているが、確率密度比に基づく異常検知モデルを生成する場合、異常なデータを除いた正常なデータのみの学習用データ２１１を用いる点と、さらに診断用データ２１２を用いる点とが異なる。また、判定部１６０は、診断用の複数の観測データに関し、生成部１４０により生成された確率密度比に基づく異常検知モデルを用いてスコアを算出する。そして、判定部１６０は、算出したスコアが予め定められた第１の閾値以上の場合、取得した複数の観測値が異常であると判定し、算出したスコアが第１の閾値未満の場合、取得した複数の観測値が異常でないと判定する。

（５）
上記の実施の形態では、異常の原因となる変数グループを特定する方法として、グループ正則化を用いたが、その他にも様々な方法が考えられる。例えば、オートエンコーダの出力値の２乗平均誤差が所定の値を超えている変数グループを異常の原因となる変数グループと特定してもよいし、特定の変数グループ以外の変数を固定し、特定の変数グループのみを変数とみなしてスコアを極小となる値を勾配法で求め、最もスコアが小さくなる場合の変数グループを異常の原因となる変数グループであるとしてもよい。

なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の異常診断方法などを実現するソフトウェアは、次のようなプログラムである。

すなわち、このプログラムは、コンピュータに、監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置が実行する異常診断方法であって、前記異常診断装置は、プロセッサおよびメモリを備え、前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、前記プロセッサは、前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、前記観測値を取得し、前記メモリから前記異常検知モデルを読み出して、読み出した前記異常検知モデルを用いて前記観測値が異常であるか否かを判定し、前記観測値が異常であると判定した場合、当該観測値と取得した前記グループ情報で示される前記１以上のグループとに基づいて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する異常診断方法を実行させる。

以上、本発明の一つまたは複数の態様に係る異常診断方法および異常診断装置について、実施の形態に基づいて説明したが、本発明は、この実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本発明の一つまたは複数の態様の範囲内に含まれてもよい。

本開示は、多次元情報における異常に寄与する変数を特定する場合に有用である。

１異常診断システム
１００異常診断装置
１０１ＣＰＵ
１０２メインメモリ
１０３ストレージ
１０４通信ＩＦ
１０５入力ＩＦ
１０６ディスプレイ
１１０第１取得部
１１１、１１１ａＵＩ
１１２項目
１１３グループ追加ボタン
１１４グループ削除ボタン
１１５グループなし
１２０グループ情報ＤＢ
１３０第２取得部
１４０生成部
１５０異常検知モデルＤＢ
１６０判定部
１７０特定部
２００サーバ
２１０観測データ
２１１学習用データ
２１２診断用データ
３００監視対象
３１０制御システム
３１１ルータ
３１２スイッチングハブ
３１３管理端末
３１４サーバ
３１５ＰＬＣ
３１６センサ

Claims

監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置が実行する異常診断方法であって、
前記異常診断装置は、プロセッサおよびメモリを備え、
前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、
前記プロセッサは、
前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、
前記観測値を取得し、
前記メモリから前記異常検知モデルを読み出して、前記異常検知モデルに前記観測値を入力することでスコアを算出し、
前記スコアを用いて前記観測値が異常であるか否かを判定し、
前記観測値が異常であると判定した場合、前記スコアと取得した前記グループ情報で示される前記１以上のグループとに基づいて定義される損失関数を用いて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する
異常診断方法。
前記観測値が異常であるか否かの判定では、
算出した前記スコアが予め定められた第１の閾値以上の場合、取得した前記観測値が異常であると判定し、
算出した前記スコアが前記第１の閾値未満の場合、取得した前記複数の観測値が異常でないと判定する
請求項１に記載の異常診断方法。
前記異常検知モデルは、前記複数の観測値を用いて、前記学習としてのオートエンコーダ、変分オートエンコーダ、および、１クラスサポートベクトルマシンのうちの少なくとも１つによって生成されたモデルである
請求項１に記載の異常診断方法。
前記異常検知モデルが、前記複数の観測値を用いて、前記学習としてオートエンコーダによって生成されたモデルの場合、前記スコアは、前記オートエンコーダへの入力ベクトルと出力ベクトルとの２乗平均誤差を用いて算出される
請求項１に記載の異常診断方法。
前記異常検知モデルが、前記複数の観測値を用いて、前記学習として変分オートエンコーダによって生成されたモデルの場合、前記損失関数は、負の対数尤度を用いて定義される
請求項１に記載の異常診断方法。
前記異常の原因であるグループの特定では、
前記観測値を初期値として前記損失関数の値が小さくなるような変位ベクトルを求め、
前記変位ベクトルの中で非零の変数を構成要素に含むグループを異常の原因として特定する
請求項１に記載の異常診断方法。
監視対象の状態を観測することにより得られた、前記状態を示す複数の変数の値で構成される観測値を用いて、当該観測値が異常であるか否かを診断する異常診断装置であって、
プロセッサおよびメモリを備え、
前記メモリは、複数の前記観測値を用いた学習により生成された異常検知モデルを記憶しており、
前記プロセッサは、
前記複数の変数のうち互いに関連のある少なくとも２つの変数の組み合わせでそれぞれが構成される１以上のグループを示すグループ情報を取得し、
前記観測値を取得し、
前記メモリから前記異常検知モデルを読み出して、前記異常検知モデルに前記観測値を入力することでスコアを算出し、
前記スコアを用いて前記観測値が異常であるか否かを判定し、
前記観測値が異常であると判定した場合、前記スコアと取得した前記グループ情報で示される前記１以上のグループとに基づいて定義される損失関数を用いて、当該観測値の前記１以上のグループのうち、異常の原因であるグループを特定する
異常診断装置。