JP2023168693A - 誤検知判別装置、誤検知判別方法及びプログラム - Google Patents

Abstract

【課題】誤検知の発生に伴う対象の運用負荷の増加を抑制できる技術を提供すること。【解決手段】本開示の一態様による誤検知判別装置は、対象から収集されたデータを用いて、前記対象に異常が発生したか否かを検知するように構成されている異常検知部と、前記異常検知部によって検知された異常が誤検知である否かを判別するための所定の特徴量を計算するように構成されている特徴量計算部と、前記特徴量を用いて、予め学習された判別モデルにより、前記異常検知部によって検知された異常が誤検知であるか否かを判別するように構成されている判別部と、を有する。【選択図】図１

Description

本開示は、誤検知判別装置、誤検知判別方法及びプログラムに関する。

何等かの設備や機器、プラント等を対象として、その異常を検知する技術が従来から知られている（例えば、特許文献１～５等）。異常検知技術では、一般に、対象から収集されたデータの異常度合いを表すスコア（以下、異常スコアと呼ぶ。）を算出した上で、この異常スコアが所定の閾値を超えている場合に異常を検知する。また、異常が検知された場合には、専門家等が対象を調査し、異常原因の特定等が行われることが一般的である。

特開２０１８－１６００７６号公報 特開２０１４－５９９１０号公報 特開２０１１－７０６３５号公報 特開２００９－２０７１７号公報 特許第６５６９９２７号公報

しかしながら、異常検知技術では、誤検知（対象が正常であるにも関わらず、異常が検知されてしまうこと）がしばしば発生する。誤検知が発生した場合でも、専門家等は対象を調査し、検知内容の正誤を確認する必要がある。このため、誤検知が頻発すると専門家の稼働が増加し、対象の運用負荷が高くなってしまう。

本開示は、上記の点に鑑みてなされたもので、誤検知の発生に伴う対象の運用負荷の増加を抑制できる技術を提供することを目的とする。

本開示の一態様による誤検知判別装置は、対象から収集されたデータを用いて、前記対象に異常が発生したか否かを検知するように構成されている異常検知部と、前記異常検知部によって検知された異常が誤検知である否かを判別するための所定の特徴量を計算するように構成されている特徴量計算部と、前記特徴量を用いて、予め学習された判別モデルにより、前記異常検知部によって検知された異常が誤検知であるか否かを判別するように構成されている判別部と、を有する。

誤検知の発生に伴う対象の運用負荷の増加を抑制できる技術が提供される。

異常スコア及び閾値と異常検知との関係の一例を示す図（その１）である。 第一の実施形態に係る誤検知判別装置のハードウェア構成の一例を示す図である。 第一の実施形態に係る誤検知判別装置の機能構成の一例を示す図である。 第一の実施形態に係る学習用データの一例を示す図である。 第一の実施形態に係る学習用データ作成処理の流れの一例を示すフローチャートである。 第一の実施形態に係る学習処理の流れの一例を示すフローチャートである。 第一の実施形態に係る誤検知判別付き異常検知処理の流れの一例を示すフローチャートである。 判別モデルの判別境界と特徴量との関係の一例を示す図である。 異常スコア及び閾値と異常検知との関係の一例を示す図（その２）である。 第二の実施形態に係る誤検知判別装置の機能構成の一例を示す図である。 第二の実施形態に係る学習用データの一例を示す図である。 第二の実施形態に係る学習用データ作成処理の流れの一例を示すフローチャートである。 第二の実施形態に係る学習処理の流れの一例を示すフローチャートである。 第二の実施形態に係る誤検知判別付き異常検知処理の流れの一例を示すフローチャートである。

以下、本発明の第一の実施形態及び第二の実施形態について説明する。

［第一の実施形態］
まず、第一の実施形態について説明する。

＜異常スコア及び閾値と異常検知との関係＞
一般に、異常検知技術では、機械学習技術や統計的手法等により、対象から収集されるデータを入力として異常スコアを出力するモデル（以下、異常検知モデルと呼ぶ。）を構築した上で、対象の運用時に異常スコアが所定の閾値を超えている場合に異常を検知する。なお、対象とは、異常検知の対象のことであり、例えば、何等かの設備や機器、プラント、ロボット、システム等といったものが挙げられる。また、対象から収集されるデータとは、例えば、対象の状態量等を計測するセンサから収集される計測値等のことであり、具体例としては、温度、圧力、流量、ガス濃度等といったものが挙げられる。以下、対象から収集されるデータを「入力データ」とも呼ぶことにする。

異常スコアをＳ、閾値をθとする。異常スコアＳが閾値θを超えている場合に異常が検知されるが、一般に、誤検知よりも検知漏れの方が運用上のリスクが高いため、閾値θは厳しめに設定（つまり、閾値θが低めに設定）されることが多い。このため、異常が検知された場合であっても、それが誤検知であることがしばしば発生し得る。そこで、異常が検知された場合、専門家は、以下の（１）や（２）のような経験則によりその異常が誤検知であるか否かを判断している。

（１）異常スコアＳが閾値θを超えている場合であっても、異常スコアＳが閾値θを超えている期間（以下、ｔ_ｅｘとする。）が瞬間であれば、異常の可能性は低く、誤検知である可能性が高い。ただし、期間ｔ_ｅｘにおける異常スコアＳの極大値（以下、Ｓ_ｍａｘとする。）が高い場合は、異常の可能性が高く、誤検知の可能性は低い。

例えば、図１の符号５０３で示される部分は、異常スコアＳが閾値θを超えている期間ｔ_ｅｘが瞬間であるため、異常の可能性は低く、誤検知である可能性が高いと判断される。一方で、例えば、図１の符号５０１で示される部分は、異常スコアＳが閾値θを超えている期間ｔ_ｅｘが瞬間であるが、異常スコアＳの極大値Ｓ_ｍａｘが高いため、異常の可能性が高く、誤検知の可能性は低いと判断される。

（２）異常スコアＳが閾値θを超えている場合であっても、異常スコアＳが閾値θを超えている程度が小さく（つまり、Ｓ_ｍａｘが小さく）、また、ｔ_ｅｘも短ければ、異常の可能性は低く、誤検知である可能性が高い。ただし、ｔ_ｅｘが長期間であれば、異常の可能性が高く、誤検知である可能性は低い。

例えば、図１の符号５０２で示される部分は、異常スコアＳが閾値θを超えている程度が小さく、またその超えている期間ｔ_ｅｘも短いため、異常の可能性は低く、誤検知である可能性が高いと判断される。一方で、例えば、図１の符号５０４で示される部分は、異常スコアＳが閾値θを超えている程度が小さいものの、その超えている期間ｔ_ｅｘが現在まで続いており、また長いため、異常の可能性が高く、誤検知の可能性は低いと判断される。

そこで、第一の実施形態では、上記の（１）及び（２）の経験則を表現する特徴量として、異常スコアＳが閾値θを超えている期間ｔ_ｅｘと、その期間ｔ_ｅｘの間における異常スコアＳの和（積算値）Ａ_ｅｘと用いる。以下、これらの特徴量から二値分類モデル（以下、判別モデルと呼ぶ。）を構築した上で、この判別モデルにより異常検知結果が誤検知であるか否かを判別する誤検知判別装置１０について説明する。また、以下では、ｔ_ｅｘを「超過時間」、Ａ_ｅｘを「超過面積」と呼ぶことにする。異常スコアＳが閾値θを超え始めた時刻をｔ_ｓ、異常スコアＳが閾値θを下回り始めた時刻（又は符号５０４で示される部分等を考える場合には最新の時刻）をｔ_ｅとすれば、図１に示されるように、超過時間ｔ_ｅｘはｔ_ｅｘ＝ｔ_ｅ－ｔ_ｓで表される。また、図１に示されるように、超過面積Ａ_ｅｘは、（Ｓ－θ）をｔ_ｓからｔ_ｅまで積分した値で表される。

ここで、第一の実施形態に係る誤検知判別装置１０には、判別モデル構築フェーズと運用フェーズとが存在する。判別モデル構築フェーズでは、判別モデルを構築（学習）するための学習用データの作成と判別モデルの学習とが行われる。一方で、運用フェーズでは、判別モデル構築フェーズで学習された判別モデルにより異常検知結果が誤検知であるか否かの判別が行われる。いずれのフェーズでも異常検知モデルは構築済み（学習済み）であるものとする。

なお、超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘを特徴量とすることは一例であって、これ以外にも、上記の（１）及び（２）の経験則を表現する特徴量であれば他の特徴量が用いられてもよい。

＜誤検知判別装置１０のハードウェア構成＞
第一の実施形態に係る誤検知判別装置１０のハードウェア構成例を図２に示す。図２に示すように、第一の実施形態に係る誤検知判別装置１０は、入力装置１０１と、表示装置１０２と、外部Ｉ／Ｆ１０３と、通信Ｉ／Ｆ１０４と、ＲＡＭ（Random Access Memory）１０５と、ＲＯＭ（Read Only Memory）１０６と、補助記憶装置１０７と、プロセッサ１０８とを有する。これらの各ハードウェアは、それぞれがバス１０９を介して通信可能に接続されている。

入力装置１０１は、例えば、キーボード、マウス、タッチパネル、物理ボタン等である。表示装置１０２は、例えば、ディスプレイ、表示パネル等である。なお、誤検知判別装置１０は、例えば、入力装置１０１及び表示装置１０２の少なくとも一方を有していなくてもよい。

外部Ｉ／Ｆ１０３は、記録媒体１０３ａ等の外部装置とのインタフェースである。誤検知判別装置１０は、外部Ｉ／Ｆ１０３を介して、記録媒体１０３ａの読み取りや書き込み等を行うことができる。記録媒体１０３ａとしては、例えば、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

通信Ｉ／Ｆ１０４は、誤検知判別装置１０を通信ネットワークに接続するためのインタフェースである。ＲＡＭ１０５は、プログラムやデータを一時保持する揮発性の半導体メモリ（記憶装置）である。ＲＯＭ１０６は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。補助記憶装置１０７は、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュメモリ等のストレージ装置（記憶装置）である。プロセッサ１０８は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等の演算装置である。

第一の実施形態に係る誤検知判別装置１０は、図２に示すハードウェア構成を有することにより、後述する各種処理を実現することができる。なお、図２に示す誤検知判別装置１０のハードウェア構成は一例であって、誤検知判別装置１０のハードウェア構成はこれに限られるものではない。例えば、誤検知判別装置１０は、複数の補助記憶装置１０７や複数のプロセッサ１０８を有していてもよいし、図示したハードウェアの一部を有していなくてもよいし、図示したハードウェア以外の様々なハードウェアを有していてもよい。

＜誤検知判別装置１０の機能構成＞
第一の実施形態に係る誤検知判別装置１０の機能構成例を図３に示す。図３に示すように、第一の実施形態に係る誤検知判別装置１０は、異常検知部２０１と、特徴量計算部２０２と、アノテーション部２０３と、学習部２０４と、判別部２０５と、通知部２０６とを有する。これら各部は、例えば、誤検知判別装置１０にインストールされた１以上のプログラムが、プロセッサ１０８に実行させる処理により実現される。また、第一の実施形態に係る誤検知判別装置１０は、異常検知モデル記憶部２０７と、異常検知結果記憶部２０８と、特徴量記憶部２０９と、学習用データ記憶部２１０と、判別モデル記憶部２１１とを有する。これら各部は、例えば、補助記憶装置１０７により実現可能である。なお、これら各部のうちの少なくとも１つの記憶部が、誤検知判別装置１０と通信ネットワークを介して接続される記憶装置（例えば、データベースサーバ）等により実現されていてもよい。

異常検知部２０１は、判別モデル構築フェーズ及び運用フェーズにおいて、異常検知モデル記憶部２０７に記憶されている異常検知モデルと所定の閾値θとを用いて、対象から収集された入力データを入力として、異常検知を行う。すなわち、異常検知部２０１は、入力データを異常検知モデルに入力し、その出力として得られた異常スコアＳと閾値θとを比較し、異常スコアＳが閾値θを超えている場合は異常が発生したと判定し、そうでない場合は異常の発生はないと判定する。また、異常検知部２０１は、異常検知結果（例えば、異常検知を行った時刻とそのときの異常スコアＳ及び異常の発生有無等）を異常検知結果記憶部２０８に記憶させる。

特徴量計算部２０２は、判別モデル構築フェーズ及び運用フェーズにおいて、異常検知部２０１による異常検知結果を用いて、特徴量（超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘ）を計算する。また、特徴量計算部２０２は、判別モデル構築フェーズにおいて、特徴量（超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘ）を特徴量記憶部２０９に記憶させる。なお、このとき、特徴量計算部２０２は、特徴量に関連する情報（例えば、ｔ_ｓ、ｔ_ｅ、Ｓ_ｍａｘ等）を特徴量記憶部２０９に記憶させてもよい。以下では、これらの情報（ｔ_ｓ、ｔ_ｅ、Ｓ_ｍａｘ）も特徴量記憶部２０９に記憶されるものとする。

アノテーション部２０３は、判別モデル構築フェーズにおいて、専門家等からのアノテーション指示に応じて、特徴量記憶部２０９に記憶されている特徴量に対して異常有無を表すラベル（言い換えれば、誤検知である否かを表すラベル）を付与する。そして、アノテーション部２０３は、当該ラベルが付与された特徴量を学習用データとして学習用データ記憶部２１０に記憶させる。なお、学習用データには、特徴量及びラベルと共に、特徴量に関連する情報（例えば、ｔ_ｓ、ｔ_ｅ、Ｓ_ｍａｘ等）が含まれていてもよい。以下では、学習用データには、特徴量及びラベルと共に、特徴量に関連する情報（ｔ_ｓ、ｔ_ｅ、Ｓ_ｍａｘ）が含まれているものとする。

なお、アノテーション指示とは、どの特徴量に対してどのラベル（異常又は異常でないのいずれかを表すラベル）を付与するかを表す指示のことである。専門家等は、誤検知判別装置１０を直接操作してアノテーション指示を行ってもよいし、誤検知判別装置１０と通信ネットワークを介して接続される端末（ＰＣやスマートフォン、タブレット端末等）を操作してアノテーション指示を行ってもよい。

学習部２０４は、判別モデル構築フェーズにおいて、学習用データ記憶部２１０に記憶されている学習用データを用いて、判別モデル記憶部２１１に記憶されている判別モデルを学習（すなわち、当該判別モデルのパラメータを学習）する。

判別部２０５は、運用フェーズにおいて、特徴量計算部２０２によって計算された特徴量と、判別モデル記憶部２１１に記憶されている判別モデルとを用いて、異常検知部２０１によって検知された異常が誤検知であるか否かを判別する。すなわち、判別部２０５は、特徴量を判別モデルに入力し、その出力として当該異常が誤検知であるか否かの判別結果を得る。

通知部２０６は、運用フェーズにおいて、判別部２０５による判別結果に応じて、異常検知部２０１によって検知された異常の発生を表すアラートを所定の通知先（例えば、対象の運用を監視する監視者の端末等）に通知する。例えば、通知部２０６は、判別部２０５によって異常が誤検知でないと判別された場合は通常のアラートを通知し、異常が誤検知であると判別された場合は誤検知の可能性がある旨と共にアラートを通知する。ただし、これは一例であって、例えば、通知部２０６は、異常が誤検知であると判別された場合はアラートの重要度レベル等を下げた上で当該アラートを通知してもよい。

異常検知モデル記憶部２０７は、予め学習済みの異常検知モデルを記憶する。なお、異常検知モデルは、入力データを入力として異常スコアを出力するモデルであれば既知の任意のモデルでよく、特定のモデルに限定されない。

異常検知結果記憶部２０８は、異常検知部２０１による異常検知結果を記憶する。なお、異常検知結果には、例えば、異常検知を行った時刻とそのときの異常スコアＳ及び異常の発生有無等が含まれる。

特徴量記憶部２０９は、特徴量やそれに関連する情報（例えば、ｔ_ｓ、ｔ_ｅ、Ｓ_ｍａｘ等）を記憶する。

学習用データ記憶部２１０は、学習用データを記憶する。ここで、第一の実施形態に係る学習用データの一例を図４に示す。図４に示すように、第一の実施形態に係る学習用データには、当該学習用データを識別する番号であるＮｏ．と、特徴量（ｔ_ｅｘ及びＡ_ｅｘ）と、特徴量に関連する情報（ｔ_ｓ、ｔ_ｅ及びＳ_ｍａｘ）と、特徴量に付与されたラベル（ｌａｂｅｌ）とが含まれている。ラベル（ｌａｂｅｌ）は異常又は異常でないのいずれかを表しており、例えば、「０」は異常でない、「１」は異常をそれぞれ表している。すなわち、ラベル「０」が付与された学習用データに含まれる特徴量は、誤検知が発生したときの特徴量を表している。同様に、ラベル「１」が付与された学習用データに含まれる特徴量は、異常の発生が正しく検知されたときの特徴量を表している。

なお、図４に示す学習用データは一例であって、これに限られるものではない。学習用データには少なくとも特徴量とラベルが含まれていればよい。

判別モデル記憶部２１１は、判別モデルを記憶する。判別モデルのパラメータが判別モデル構築フェーズで学習対象となるパラメータである。なお、判別モデルは、特徴量を入力として異常が誤検知であるか否かの判別結果を出力する二値分類モデルであれば既知の任意の二値分類モデルであればよく、特定のモデルに限定されない。また、判別モデルへの入力は特徴量だけに限定されるものではなく、特徴量に加えて何等かの補助的な情報（例えば、特徴量に関連する情報の全部又は一部等）が入力されてもよい。

図３では、判別モデル構築フェーズと運用フェーズとを同一の誤検知判別装置１０が実行する場合の機能構成例を示したが、判別モデル構築フェーズと運用フェーズとが異なる誤検知判別装置１０により実行されてもよい。この場合、判別モデル構築フェーズを実行する誤検知判別装置１０は、判別部２０５及び通知部２０６を有していなくてもよい。同様に、運用フェーズを実行する誤検知判別装置１０は、アノテーション部２０３、学習部２０４、特徴量記憶部２０９及び学習用データ記憶部２１０を有していなくてもよい。

＜判別モデル構築フェーズ＞
以下、判別モデル構築フェーズについて説明する。判別モデル構築フェーズでは、学習用データ作成処理と学習処理とが実行される。学習用データ作成処理では、対象の運用中に異常検知モデルにより異常検知を行って、その異常検知結果から学習用データを作成する。そして、学習処理では、学習用データ作成処理で作成された学習用データにより判別モデルを構築（学習）する。

≪学習用データ作成処理≫
第一の実施形態に係る学習用データ作成処理について、図５を参照しながら説明する。

異常検知部２０１は、対象から収集された入力データを入力として、異常検知を行う（ステップＳ１０１）。なお、異常検知部２０１は、対象から収集された入力データが入力される毎に、その入力データを用いて異常検知を行う。以下、時刻ｔ＝１からｔ＝Ｔまで異常検知が行われ、異常検知結果記憶部２０８には、｛（ｔ，Ｓ（ｔ），ｙ（ｔ））｜ｔ＝１，・・・，Ｔ｝が記憶されたものとする。ここで、ｙ（ｔ）は時刻ｔにおける異常発生有無を表し、例えば、異常の発生が検知されなかったときは０、異常の発生が検知されたときは１を取る。なお、ｔは時刻を表すインデックス（時刻インデックス）である。

特徴量計算部２０２は、異常検知結果記憶部２０８に記憶されている異常検知結果を用いて、特徴量（超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘ）を計算する（ステップＳ１０２）。すなわち、特徴量計算部２０２は、｛（ｔ，Ｓ（ｔ），ｙ（ｔ））｜ｔ＝１，・・・，Ｔ｝から超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘを計算する。

ここで、超過時間ｔ_ｅｘは、ｔ_ｅｘ＝ｔ_ｅ－ｔ_ｓにより計算できる。ｔ_ｓは、Ｓ（ｔ）≧θかつＳ（ｔ－１）＜θを満たす時刻ｔである。ｔ_ｅは、ｔ_ｓ以降の時刻ｔであって、最初にＳ（ｔ－１）＞θかつＳ（ｔ）≦θを満たす時刻ｔである。ただし、図１の符号５０４で示される部分を考慮するため、ｔ_ｓ以降の時刻ｔであって、Ｓ（ｔ－１）＞θかつＳ（ｔ）≦θを満たす時刻ｔが存在しない場合、ｔ_ｅ＝Ｔとする。

また、超過面積Ａ_ｅｘは、（Ｓ（ｔ）－θ）をｔ_ｓからｔ_ｅまで積分した値として計算できる。

なお、Ｔが十分に大きければ、一般に、｛（ｔ，Ｓ（ｔ），ｙ（ｔ））｜ｔ＝１，・・・，Ｔ｝から超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘのペア（ｔ_ｅｘ，Ａ_ｅｘ）が複数得られることに留意されたい。以下、各ペア（ｔ_ｅｘ，Ａ_ｅｘ）を区別するため、Ｋ個のペアが得られたものとして、｛（ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ））｜ｋ＝１，・・・，Ｋ｝と表すことにする。したがって、特徴量記憶部２０９には、｛（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））｜ｋ＝１，・・・，Ｋ｝が記憶される。ｔ_ｓ ^（ｋ）、ｔ_ｅ ^（ｋ）及びＳ_ｍａｘ ^（ｋ）は、それぞれ（ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ））が得られたときのｔ_ｓ、ｔ_ｅ及びＳ_ｍａｘである。

アノテーション部２０３は、専門家等からのアノテーション指示に応じて、特徴量記憶部２０９に記憶されている特徴量に対して異常有無を表すラベルを付与する（ステップＳ１０３）。すなわち、アノテーション部２０３は、各（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））に対するアノテーション指示に応じて、当該（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））に対してラベルを付与する。これにより、学習用データとして（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ），ｌａｂｅｌ^（ｋ））が得られ、学習用データ記憶部２１０に記憶される。ｌａｂｅｌ^（ｋ）は、（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））に対するアノテーション指示に含まれるラベルである。

≪学習処理≫
第一の実施形態に係る学習処理について、図６を参照しながら説明する。

学習部２０４は、学習用データ記憶部２１０から学習用データを取得する（ステップＳ２０１）。以下では、｛（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））｜ｋ＝１，・・・，Ｋ｝が取得されたものとする。

学習部２０４は、上記のステップＳ２０１で取得した学習用データに含まれる特徴量（超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘ）とラベルｌａｂｅｌを用いて、判別モデル記憶部２１１に記憶されている判別モデルを学習する（ステップＳ２０２）。すなわち、学習部２０４は、各超過時間ｔ_ｅｘ ^（ｋ）及び超過面積Ａ_ｅｘ ^（ｋ）とｌａｂｅｌ^（ｋ）（ｋ＝１，・・・，Ｋ）を用いて、ｌａｂｅｌ^（ｋ）を教師データとする既知の教師あり学習により当該判別モデルのパラメータを学習する。なお、教師あり学習では、ｔ_ｅｘ ^（ｋ）及びＡ_ｅｘ ^（ｋ）を判別モデルに入力したときの出力とｌａｂｅｌ^（ｋ）との誤差を最小化するように、当該判別モデルのパラメータが学習される。

そして、学習部２０４は、上記のステップＳ２０２で学習された判別モデルにより、判別モデル記憶部２１１に記憶されている判別モデルを更新する（ステップＳ２０３）。これにより、判別モデル記憶部２１１には学習済みの判別モデルが記憶されていることになる。

＜運用フェーズ＞
以下、運用フェーズについて説明する。運用フェーズでは、誤検知判別付き異常検知処理が実行される。誤検知判別付き異常検知処理では、異常検知モデルにより異常検知を行うと共に、判別モデルによりその異常検知が誤検知である否かが判別される。

≪誤検知判別付き異常検知処理≫
第一の実施形態に係る誤検知判別付き異常検知処理について、図７を参照しながら説明する。なお、誤検知判別付き異常検知処理は、例えば、入力データが得られる毎に繰り返し実行される。

異常検知部２０１は、対象から収集された入力データを入力として、異常検知を行う（ステップＳ３０１）。以下、現在の時刻（より正確には時刻インデックス）をｔとして、異常検知結果（ｔ，Ｓ（ｔ），ｙ（ｔ））が得られたものとする。

次に、異常検知部２０１は、上記のステップＳ３０１で異常の発生が検知されたか否かを判定する（ステップＳ３０２）。すなわち、異常検知部２０１は、ｙ（ｔ）＝０又は１のいずれであるかを判定する。ｙ（ｔ）＝０の場合は異常の発生が検知されず、ｙ（ｔ）＝１の場合は異常の発生が検知される。

上記のステップＳ３０２で異常の発生が検知された場合、特徴量計算部２０２は、単位時間あたりの特徴量（つまり、単位時間あたりの超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘ）を計算する（ステップＳ３０３）。ここで、単位時間とは、現在の時刻ｔと１つ前の時刻ｔ－１との差Δｔである。このとき、単位時間あたりの超過時間ｔ_ｅｘをΔｔ_ｅｘと表せば、Δｔ_ｅｘ＝Δｔとなる。また、単位時間あたりの超過面積Ａ_ｅｘをΔＡ_ｅｘと表せば、ΔＡ_ｅｘは、（Ｓ（ｔ）－θ）をｔ－１からｔまで積分した値として計算できる（又は、簡易的には（ΔＡ_ｅｘ＝Ｓ（ｔ）－θ）×Δｔでもよい。）。

次に、特徴量計算部２０２は、上記のステップＳ３０３で計算された単位時間あたりの特徴量の積算値を計算する（ステップＳ３０４）。例えば、単位時間あたりの超過時間Δｔ_ｅｘの積算値をΣ_ｔ、単位時間あたりの超過面積ΔＡ_ｅｘの積算値をΣ_Ａとすれば、特徴量計算部２０２は、Σ_ｔ←Σ_ｔ＋Δｔ_ｅｘ及びΣ_Ａ←Σ_Ａ＋ΔＡ_ｅｘとする。

一方で、上記のステップＳ３０２で異常の発生が検知されなかった場合、特徴量計算部２０２は、積算値Σ_ｔ及びΣ_Ａを０にリセットする（ステップＳ３０５）。すなわち、特徴量計算部２０２は、Σ_ｔ←０及びΣ_Ａ←０とする。

このように、異常スコアＳが閾値θを超えている間は単位時間毎に特徴量（超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘ）を積算する。一方で、異常スコアＳが閾値θ以下となった場合にその積算値を０にリセットする。

上記のステップＳ３０４に続いて、判別部２０５は、特徴量の積算値（超過時間ｔ_ｅｘに関する積算値Σ_ｔと超過面積Ａ_ｅｘに関する積算値Σ_Ａ）と、判別モデル記憶部２１１に記憶されている判別モデルとを用いて、上記のステップＳ３０１で検知された異常が誤検知であるか否かを判別する（ステップＳ３０６）。すなわち、判別部２０５は、Σ_ｔ及びΣ_Ａを当該判別モデルに入力し、その出力として当該異常が誤検知である否かの判別結果（例えば、誤検知であれば０、誤検知でなければ１の二値を取る判別結果）を得る。ただし、判別結果が二値を取ることは一例であって、例えば、判別モデルは誤検知でないことを表す確率を判別結果として出力するものであってもよい。

判別部２０５は、上記のステップＳ３０６で誤検知を表す判別結果が得られたか否かを判定する（ステップＳ３０７）。

上記のステップＳ３０７で誤検知を表す判別結果が得られなかったと判定された場合、通知部２０６は、上記のステップＳ３０１で検知された異常が発生したことを表す通常のアラートを所定の通知先に通知する（ステップＳ３０８）。これにより、例えば、対象の運用を監視する監視者は、対象に異常が発生したことを知ることができる。

一方で、上記のステップＳ３０７で誤検知を表す判別結果が得られたと判定された場合、通知部２０６は、上記のステップＳ３０１で検知された異常に関して誤検知の可能性がある旨と共に当該異常が発生したことを表すアラートを所定の通知先に通知する（ステップＳ３０９）。これにより、例えば、対象の運用を監視する監視者は、対象に関して異常の発生が検知されたものの、それが誤検知である可能性が高いことを知ることができる。このため、例えば、専門家等の調査を省略したり、簡易な調査に変更したりすることで、運用負荷を低減させることができる。

なお、例えば、異常の種類等に応じてアラートに対して重要度レベル等が設定されている場合には、上記のステップＳ３０９では、重要度レベルを下げた上でアラートを通知してもよい。

また、通知部２０６は、アラートだけでなく、例えば、判別モデルによる判別結果から得られる情報をアラートと共に通知してもよい。例えば、図８に示すように、超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘを軸とする２次元平面上に判別モデルの判別境界６００を描画すると共に、（Σ_ｔ，Σ_Ａ）をプロットした画面を所定の通知先に表示させてもよい。図８に示す例では、符号６０１～６０４はそれぞれ（Σ_ｔ，Σ_Ａ）をプロットした点であり、符号６０１及び６０４で示される点はそれぞれ異常（誤検知でない）、符号６０２及び６０３で示される点はそれぞれ正常（誤検知）であることを表している。これにより、例えば、対象の運用を監視する監視者は、判別モデルの決定境界と各点との関係（決定境界からの距離等）も知ることができるようになる。

更に、上記以外にも、通知部２０６は、例えば、（Σ_ｔ，Σ_Ａ）を計算する際に得られる情報（例えば、Σ_ｔ及びΣ_Ａに対応するｔ_ｓ、ｔ_ｅ及びＳ_ｍａｘ等）を所定の通知先に通知してもよい。

また、通知部２０６は、例えば、図１に示すような異常スコアＳと閾値θとを可視化した画面を所定の通知先に表示させてもよい。このとき、例えば、超過面積Ａ_ｅｘ部分を強調表示させてもよいし、誤検知であると判別された異常検知結果に対応する超過面積Ａ_ｅｘと誤検知であると判別されなかった異常検知結果に対応する超過面積Ａ_ｅｘとでその表示態様を異ならせてもよい。

［第二の実施形態］
次に、第二の実施形態について説明する。なお、第二の実施形態では、主に、第一の実施形態との相違点について説明し、第一の実施形態と同様の構成要素についてはその説明を省略又は簡略化する。

＜異常スコア及び閾値と異常検知との関係＞
例えば、運用フェーズにおいて、図９に示すような異常スコアＳが得られた場合を考える。特徴量の積算値は異常スコアＳが閾値θ以下となった場合にリセットされるため、第一の実施形態では、符号７０１～７０４に示される部分で検知された異常は誤検知と判別される可能性がある。一方で、符号７０１～７０４に示される部分のように、短時間の間に異常スコアＳが閾値θを複数回超えている場合には、対象に何等かの異常が発生していることが多い。このため、専門家等は、経験則により、これらをまとめて（つまり、符号７０５に示されるように複数回の異常スコアＳの超過をまとめて）１つの異常と判断している。

そこで、第二の実施形態では、上記の経験則を表現するために、複数の異常検知結果をグループ化し、このグループ化された異常検知結果の特徴量から判別モデルを構築した上で、この判別モデルにより異常検知結果が誤検知であるか否かを判別する誤検知判別装置１０について説明する。

＜誤検知判別装置１０の機能構成＞
第二の実施形態に係る誤検知判別装置１０の機能構成例を図１０に示す。図１０に示すように、第二の実施形態に係る誤検知判別装置１０は、異常検知部２０１と、特徴量計算部２０２と、アノテーション部２０３Ａと、学習部２０４と、判別部２０５と、通知部２０６とを有する。これら各部のうち、特に、アノテーション部２０３Ａが第一の実施形態と異なる。また、第二の実施形態に係る誤検知判別装置１０は、異常検知モデル記憶部２０７と、異常検知結果記憶部２０８と、特徴量記憶部２０９と、学習用データ記憶部２１０Ａと、判別モデル記憶部２１１とを有する。これら各部のうち、特に、学習用データ記憶部２１０Ａが第一の実施形態と異なる。

アノテーション部２０３Ａは、判別モデル構築フェーズにおいて、専門家等からのグループ化指示及びアノテーション指示に応じて、特徴量記憶部２０９に記憶されている特徴量をグループ化した上で、グループ化された特徴量全体に対する異常有無を表すラベルを付与する。そして、アノテーション部２０３Ａは、どのグループに属するかを表す情報と当該ラベルとが付与された特徴量を学習用データとして学習用データ記憶部２１０Ａに記憶させる。なお、第一の実施形態と同様に、学習用データには、特徴量に関連する情報（ｔ_ｓ、ｔ_ｅ、Ｓ_ｍａｘ）も含まれているものとする。

なお、グループ化指示とは、複数の特徴量を同一グループにまとめることを表す指示のことである。アノテーション指示と同様に、専門家等は、誤検知判別装置１０を直接操作してグループ化指示を行ってもよいし、誤検知判別装置１０と通信ネットワークを介して接続される端末を操作してグループ化指示を行ってもよい。

学習用データ記憶部２１０Ａは、学習用データを記憶する。ここで、第二の実施形態に係る学習用データの一例を図１１に示す。図１１に示すように、第二の実施形態に係る学習用データには、Ｎｏ．と、特徴量（ｔ_ｅｘ及びＡ_ｅｘ）と、特徴量に関連する情報（ｔ_ｓ、ｔ_ｅ及びＳ_ｍａｘ）と、特徴量に付与されたラベル（ｌａｂｅｌ）とに加えて、その特徴量及び特徴量に関する情報が属するグループ（ｇｒｏｕｐ）と、そのグループに付与されたラベル（ｇ＿ｌａｂｅｌ）とが含まれている。以下、ｇ＿ｌａｂｅｌを「グループラベル」と呼ぶことにする。

グループ（ｇｒｏｕｐ）は、複数の特徴量（及び特徴量に関する情報）をグループ化したときにそのグループを識別する情報（例えば、グループ番号等）である。グループラベルは、グループ全体で異常か異常でないかを表しており、例えば、「０」は異常でない、「１」は異常をそれぞれ表している。このように、グループ（ｇｒｏｕｐ）とグループラベル（ｇ＿ｌａｂｅｌ）とを導入することで、例えば、同一グループに属する各特徴量の各々が得られる場合に誤検知と判別される場合であっても、グループ全体で誤検知でないと判別することが可能となる。

なお、図１０に示す学習用データは一例であって、これに限られるものではない。学習用データには少なくとも特徴量とグループ（ｇｒｏｕｐ）とグループラベル（ｇ＿ｌａｂｅｌ）とが含まれていればよい。

＜判別モデル構築フェーズ＞
以下、判別モデル構築フェーズについて説明する。

≪学習用データ作成処理≫
第二の実施形態に係る学習用データ作成処理について、図１２を参照しながら説明する。

異常検知部２０１は、図５のステップＳ１０１と同様に、対象から収集された入力データを入力として、異常検知を行う（ステップＳ４０１）。以下、図５のステップＳ１０１と同様に、異常検知結果記憶部２０８には、｛（ｔ，Ｓ（ｔ），ｙ（ｔ））｜ｔ＝１，・・・，Ｔ｝が記憶されたものとする。

特徴量計算部２０２は、図５のステップＳ１０２と同様に、異常検知結果記憶部２０８に記憶されている異常検知結果を用いて、特徴量（超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘ）を計算する（ステップＳ４０２）。以下、図５のステップＳ１０２と同様に、特徴量記憶部２０９には、｛（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））｜ｋ＝１，・・・，Ｋ｝が記憶されたものとする。

アノテーション部２０３Ａは、専門家等からのグループ化指示及びアノテーション指示に応じて、特徴量記憶部２０９に記憶されている特徴量をグループ化した上で、グループ化された特徴量全体に対する異常有無を表すグループラベルを付与する（ステップＳ４０３）。アノテーション部２０３Ａは、各（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））に対するグループ化指示及びアノテーション指示に応じて、当該（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））に対してラベル（ｌａｂｅｌ）、グループ（ｇｒｏｕｐ）及びグループラベル（ｇ＿ｌａｂｅｌ）を付与する。ただし、ラベル（ｌａｂｅｌ）は付与されなくてもよい。

これにより、学習用データとして（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ），ｌａｂｅｌ^（ｋ），ｇｒｏｕｐ^（ｋ），ｇ＿ｌａｂｅｌ^（ｋ））が得られ、学習用データ記憶部２１０Ａに記憶される。ｇｒｏｕｐ^（ｋ）は、（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））に対するグループ化指示に含まれるグループ番号である。ｇ＿ｌａｂｅｌ^（ｋ）は、そのグループ番号ｇｒｏｕｐ^（ｋ）でグループ化された（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））に対するアノテーション指示に含まれるグループラベルである。なお、アノテーション指示では、同一のグループ番号でグループ化された（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ））に対して同一のグループラベルが指定される。

≪学習処理≫
第二の実施形態に係る学習処理について、図１３を参照しながら説明する。

学習部２０４は、図６のステップＳ２０１と同様に、学習用データ記憶部２１０から学習用データを取得する（ステップＳ５０１）。以下では、｛（ｔ_ｓ ^（ｋ），ｔ_ｅ ^（ｋ），ｔ_ｅｘ ^（ｋ），Ａ_ｅｘ ^（ｋ），Ｓ_ｍａｘ ^（ｋ），ｇｒｏｕｐ^（ｋ），ｇ＿ｌａｂｅｌ^（ｋ））｜ｋ＝１，・・・，Ｋ｝が取得されたものとする。

学習部２０４は、上記のステップＳ５０１で取得した学習用データに含まれる特徴量（超過時間ｔ_ｅｘ及び超過面積Ａ_ｅｘ）を同一グループ内で積算した上で、その積算値と当該グループのグループラベルとを用いて、判別モデル記憶部２１１に記憶されている判別モデルを学習する（ステップＳ５０２）。すなわち、まず、学習部２０４は、ｇｒｏｕｐ^（ｋ）が同一であるｔ_ｅｘ ^（ｋ）及びＡ_ｅｘ ^（ｋ）に関して、ｔ_ｅｘ ^（ｋ）の積算値（総和）とＡ_ｅｘ ^（ｋ）の積算値（総和）とを計算する。これにより、ｇｒｏｕｐ^（ｋ）∈｛１，・・・，Ｍ｝であるとき、グループ番号がｍであるｔ_ｅｘ ^（ｋ）の積算値をΣ_ｔ，ｍ、Ａ_ｅｘ ^（ｋ）の積算値をΣ_Ａ，ｍ、グループ番号ｍのグループのグループラベル（つまり、ｇｒｏｕｐ^（ｋ）＝ｍである学習用データに含まれるｇ＿ｌａｂｅｌ^（ｋ））をｇ＿ｌａｂｅｌ_ｍとすれば、｛（Σ_ｔ，ｍ，Σ_Ａ，ｍ，ｇ＿ｌａｂｅｌ_ｍ）｜ｍ＝１，・・・，Ｍ｝が得られる。そして、学習部２０４は、Σ_ｔ，ｍ及びΣ_Ａ，ｍとｇ＿ｌａｂｅｌ_ｍ（ｍ＝１，・・・，Ｍ）とを用いて、ｇ＿ｌａｂｅｌ_ｍを教師データとする既知の教師あり学習により当該判別モデルのパラメータを学習する。なお、教師あり学習では、Σ_ｔ，ｍ及びΣ_Ａ，ｍを判別モデルに入力したときの出力とｇ＿ｌａｂｅｌ_ｍとの誤差を最小化するように、当該判別モデルのパラメータが学習される。

そして、学習部２０４は、図６のステップＳ２０３と同様に、上記のステップＳ５０２で学習された判別モデルにより、判別モデル記憶部２１１に記憶されている判別モデルを更新する（ステップＳ５０３）。

＜運用フェーズ＞
以下、運用フェーズについて説明する。

≪誤検知判別付き異常検知処理≫
第二の実施形態に係る誤検知判別付き異常検知処理について、図１４を参照しながら説明する。なお、誤検知判別付き異常検知処理は、例えば、入力データが得られる毎に繰り返し実行される。

異常検知部２０１は、図７のステップＳ３０１と同様に、対象から収集された入力データを入力として、異常検知を行う（ステップＳ６０１）。以下、現在の時刻（より正確には時刻インデックス）をｔとして、異常検知結果（ｔ，Ｓ（ｔ），ｙ（ｔ））が得られたものとする。

次に、異常検知部２０１は、図７のステップＳ３０２と同様に、上記のステップＳ６０１で異常の発生が検知されたか否かを判定する（ステップＳ６０２）。

上記のステップＳ６０２で異常の発生が検知された場合、特徴量計算部２０２は、図７のステップＳ３０３と同様に、単位時間あたりの特徴量（つまり、単位時間あたりの超過時間Δｔ_ｅｘと単位時間あたりの超過面積ΔＡ_ｅｘ）を計算する（ステップＳ６０３）。

次に、特徴量計算部２０２は、図７のステップＳ３０４と同様に、上記のステップＳ６０３で計算された単位時間あたりの特徴量の積算値（つまり、Σ_ｔ及びΣ_Ａ）を計算する（ステップＳ６０４）。

一方で、上記のステップＳ６０２で異常の発生が検知されなかった場合、特徴量計算部２０２は、積算値Σ_ｔ及びΣ_Ａをリセットするか否かを判定する（ステップＳ６０５）。ここで、現在時刻をｔ、ｔ＞ｔ'かつＳ（ｔ'）＞θを満たす最大のｔ'をｔ_ｐとする。このとき、特徴量計算部２０２は、例えば、ｔ－ｔ_ｐが予め決められた閾値ｔｈを超えている場合は積算値Σ_ｔ及びΣ_Ａをリセットすると判定し、そうでない場合にΣ_ｔ及びΣ_Ａはリセットしないと判定すればよい。これにより、異常スコアＳが閾値θを超えた後、瞬間的に異常スコアＳが閾値θ以下となっても、積算値Σ_ｔ及びΣ_Ａがリセットされないようにすることができる。このため、短時間の間に異常スコアＳが閾値θを複数回超えるような場合に、その間の特徴量をリセットせずに積算することができる。

なお、上記の閾値ｔｈは適切な値に予め設定されるが、例えば、学習用データからその値が決定されてもよい。例えば、異常検知が行われた時刻順に、同一グループに属する学習用データを並べたとする。このとき、各グループ内で各学習用データのｔ_ｅとその次の学習用データのｔ_ｓとの差（ｔ_ｓ－ｔ_ｅ）の最大値をそれぞれ求め、それらの最大値のうち最も大きいものを閾値ｔｈと決定してもよい。

上記のステップＳ６０５で積算値Σ_ｔ及びΣ_Ａをリセットすると判定された場合、特徴量計算部２０２は、図７のステップＳ３０５と同様に、積算値Σ_ｔ及びΣ_Ａを０にリセットする（ステップＳ６０６）。

以降のステップＳ６０７～ステップＳ６１０は、図７のステップＳ３０６～３０９とそれぞれ同様であるため、その説明を省略する。

［変形例］
以下、第一の実施形態及び第二の実施形態の変形例をいくつか説明する。

・変形例１
上記の各実施形態では、異常検知及び特徴量の算出に異常スコアＳと閾値θを用いたが、異常スコアＳ以外の何等かの指標値とその指標値に対する閾値とが用いられてもよい。例えば、指標値としてセンサ値そのものが用いられてもよいし、センサ値から計算された統計量（例えば、Ｑ統計量やＴ^２統計量等）が用いられてもよい。

・変形例２
上記の各実施形態では、異常検知モデルとその異常検知結果に対する判別モデルとがそれぞれ１つずつ存在する場合について説明したが、異常検知モデルと判別モデルはそれぞれ複数存在してもよい。例えば、異常検知の対象となる設備やプロセス等が複数種類存在する場合、その種類毎に、異なる異常検知モデルとその異常検知結果に対する判別モデルとが存在してもよい。又は、例えば、異常検知モデルは１つである一方で、異常検知の対象となる設備やプロセス等の種類毎に複数の判別モデルが存在してもよい。これとは逆に、例えば、異常検知の対象となる設備やプロセス等の種類毎に複数の異常検知モデルが存在する一方で、それら複数の異常検知モデルの異常検知結果に対する１つの判別モデルが存在してもよい。

・変形例３
上記の第二の実施形態では、異常スコアＳが瞬間的に閾値θ以下となった場合には積算値Σ_ｔ及びΣ_Ａをリセットしないようにしたが、例えば、積算値Σ_ｔ及びΣ_Ａがリセットされるまで、異常スコアＳが閾値θ以下となる毎に、積算値Σ_ｔ及びΣ_Ａに積算される特徴量を低減させてもよい。例えば、０＜α＜１として、Σ_ｔ←Σ_ｔ＋α^ｎ×Δｔ_ｅｘ及びΣ_Ａ←Σ_Ａ＋α^ｎ×ΔＡ_ｅｘにより積算してもよい。ここで、ｎは、積算値Σ_ｔ及びΣ_Ａが前回リセットされた以降、異常スコアＳが閾値θ以下となった回数である。

［まとめ］
以上のように、第一の実施形態及び第二の実施形態に係る誤検知判別装置１０は、異常検知モデルによる異常検知結果が誤検知である否かを判別し、その判別結果を所定の通知先に通知することができる。このため、誤検知の発生に伴う運用負荷の増加（例えば、専門家等による対象の調査等）を抑制させることが可能となる。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

１０ 誤検知判別装置
１０１ 入力装置
１０２ 表示装置
１０３ 外部Ｉ／Ｆ
１０３ａ 記録媒体
１０４ 通信Ｉ／Ｆ
１０５ ＲＡＭ
１０６ ＲＯＭ
１０７ 補助記憶装置
１０８ プロセッサ
１０９ バス
２０１ 異常検知部
２０２ 特徴量計算部
２０３ アノテーション部
２０４ 学習部
２０５ 判別部
２０６ 通知部
２０７ 異常検知モデル記憶部
２０８ 異常検知結果記憶部
２０９ 特徴量記憶部
２１０ 学習用データ記憶部
２１１ 判別モデル記憶部

Claims (8)

1. 対象から収集されたデータを用いて、前記対象に異常が発生したか否かを検知するように構成されている異常検知部と、
   前記異常検知部によって検知された異常が誤検知である否かを判別するための所定の特徴量を計算するように構成されている特徴量計算部と、
   前記特徴量を用いて、予め学習された判別モデルにより、前記異常検知部によって検知された異常が誤検知であるか否かを判別するように構成されている判別部と、
   を有する誤検知判別装置。
2. 前記特徴量と、前記特徴量が得られたときの異常が誤検知であるか否かを表すラベルとが含まれる学習用データを用いて、前記判別モデルを学習するように構成されている学習部を更に有し、
   前記判別部は、
   前記学習部によって学習された判別モデルにより、前記異常検知部によって検知された異常が誤検知であるか否かを判別するように構成されている請求項１に記載の誤検知判別装置。
3. 前記異常検知部は、
   前記データと予め学習された異常検知モデルとを用いて、前記データの異常度合いを表す所定の指標値を計算し、
   前記指標値が所定の閾値を超えている場合に、前記対象に異常が発生したと検知するように構成されており、
   前記特徴量計算部は、
   前記指標値が前記閾値を超えている時間を表す超過時間と、前記超過時間における前記指標値の総和を表す超過面積とを前記特徴量として計算するように構成されている請求項１又は２に記載の誤検知判別装置。
4. 前記異常検知部によって異常が検知された場合に、前記異常の発生を表すアラートを所定の通知先に通知するように構成されている通知部を更に有し、
   前記通知部は、
   前記判別部による判別結果に応じた内容の前記アラートを通知するように構成されている請求項１に記載の誤検知判別装置。
5. 前記通知部は、
   前記判別部による判別結果が、前記異常検知部によって検知された異常が誤検知であることを示すものである場合、誤検知の可能性があることを示す情報が含まれる前記アラートを通知するように構成されている請求項４に記載の誤検知判別装置。
6. 前記通知部は、
   前記判別部による判別結果が、前記異常検知部によって検知された異常が誤検知であることを示すものである場合、前記アラートの重要度を表すレベルを下げて通知するように構成されている請求項４に記載の誤検知判別装置。
7. 対象から収集されたデータを用いて、前記対象に異常が発生したか否かを検知する異常検知手順と、
   前記異常検知手順によって検知された異常が誤検知である否かを判別するための所定の特徴量を計算する特徴量計算手順と、
   前記特徴量を用いて、予め学習された判別モデルにより、前記異常検知手順によって検知された異常が誤検知であるか否かを判別する判別手順と、
   をコンピュータが実行する誤検知判別方法。
8. 対象から収集されたデータを用いて、前記対象に異常が発生したか否かを検知する異常検知手順と、
   前記異常検知手順によって検知された異常が誤検知である否かを判別するための所定の特徴量を計算する特徴量計算手順と、
   前記特徴量を用いて、予め学習された判別モデルにより、前記異常検知手順によって検知された異常が誤検知であるか否かを判別する判別手順と、
   をコンピュータに実行させるプログラム。

Images