JP2023179140A - 情報処理装置、情報処理方法及び情報処理プログラム - Google Patents

Abstract

【課題】監視対象の監視に係る管理者の負担を低減することを可能とする。【解決手段】本願に係る情報処理装置は、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付部と、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第１の異常検知通知とは異なる第２の異常検知通知を受け付けないことを条件として、第１の抑制時間の経過後に回復検知通知を出力する出力制御部と、を備える。【選択図】図４

Description

本発明は、情報処理装置、情報処理方法及び情報処理プログラムに関する。

従来、情報処理装置が監視対象の異常を検知し、監視対象の管理者に通知する技術が知られている。例えば、監視対象の異常が検出されるまでの監視対象の監視結果値を基に、監視対象の異常が瞬間的な異常か否かを判断する。そして、監視対象の異常が瞬間的な異常ではなかった場合に、障害メッセージを通知する技術が知られている。

特開２００９－２５８９５５号公報 特許第３６３４５４４号公報 特開２００５－１３２０２１号公報

監視対象の監視に係る管理者の負担を低減することを可能とする技術が求められている。

本願は、監視対象の監視に係る管理者の負担を低減することを可能とすることができる情報処理装置、情報処理方法及び情報処理プログラムを提供することを目的とする。

本願に係る情報処理装置は、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付部と、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に前記第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、前記第２の異常検知通知の出力を抑制し、前記第１の抑制時間内に前記監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第２の異常検知通知を受け付けないことを条件として、前記第１の抑制時間の経過後に前記回復検知通知を出力する出力制御部と、を備える。

前記出力制御部は、前記第２の異常検知通知を受け付けた第２の時刻を開始時刻とする前記第１の抑制時間内に前記第２の異常検知通知とは異なる第３の異常検知通知を受け付けた場合は、前記第３の異常検知通知の出力を抑制し、前記第２の時刻を開始時刻とする前記第１の抑制時間内に前記回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第３の異常検知通知を受け付けないことを条件として、前記第２の時刻を開始時刻とする前記第１の抑制時間の経過後に前記回復検知通知を出力する。

前記出力制御部は、前記第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、第４の異常検知通知を受け付けた場合は、前記第１の抑制時間よりも長い第２の抑制時間にわたって、前記第４の異常検知通知の出力を抑制し、前記第１の抑制時間に前記異常検知通知を抑制する処理を前記所定時間継続した後に、前記回復検知通知を受け付けた場合は、前記第４の異常検知通知を受け付けないことを条件として、前記第２の抑制時間の経過後に前記回復検知通知を出力する。

前記出力制御部は、前記第２の時刻を開始時刻とする前記第１の抑制時間の終了時刻が前記所定時間を超え、かつ、前記第２の時刻を開始時刻とする前記第１の抑制時間の終了後に前記第４の異常検知通知を受け付けた場合は、前記第４の異常検知通知を受け付けた時刻を開始時刻とする前記第２の抑制時間にわたって前記第４の異常検知通知の出力を抑制し、前記第２の時刻を開始時刻とする前記第１の抑制時間の終了時刻が前記所定時間を超え、かつ、前記第２の時刻を開始時刻とする前記第１の抑制時間の終了後に、前記第４の異常検知通知を受け付け、更に前記回復検知通知を受け付けた場合は、前記第４の異常検知通知を受け付けた時刻を開始時刻とする前記第２の抑制時間の経過後に前記回復検知通知を出力する。

前記出力制御部は、前記第２の時刻を開始時刻とする前記第１の抑制時間の終了時刻が前記所定時間を超え、かつ、前記第２の時刻を開始時刻とする前記第１の抑制時間に前記第３の異常検知通知を受け付け、更に前記回復検知通知を受け付けた場合は、前記第３の異常検知通知を受け付けた時刻を開始時刻とする前記第２の抑制時間の経過後に前記回復検知通知を出力する。

本願に係る情報処理装置は、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付部と、Ｎ（Ｎは自然数）回目に受け付けた異常検知通知である第Ｎの異常検知通知を受け付けた時刻である第Ｎの時刻を開始時刻とする第１の抑制時間内に前記第Ｎの異常検知通知とは異なる他の異常検知通知を受け付けた場合は、前記他の異常検知通知の出力を抑制し、前記第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、新たな異常検知通知を受け付けなかった場合は、前記第１の抑制時間よりも長い第２の抑制時間の経過後、または、前記第１の抑制時間に前記異常検知通知を抑制する処理を前記所定時間継続した後に、前記監視対象の状態が異常から回復したことを示す回復検知通知を出力する出力制御部と、を備える。

前記出力制御部は、前記監視対象の状態を示す状態情報から、前記第１の抑制時間、前記所定時間または前記第２の抑制時間を推定するよう学習された機械学習モデルを用いて、前記第１の抑制時間、前記所定時間または前記第２の抑制時間を推定する。

前記出力制御部は、前記受付部が前記異常検知通知を受け付けた時刻から一定の時間内に受け付けた前記異常検知通知の履歴に基づいて、統計的手法を用いて、前記異常検知通知を受け付けてから、前記異常検知通知を受け付けなくなるまでの期間を推定し、推定した期間に基づいて、前記第１の抑制時間、前記所定時間または前記第２の抑制時間を決定する。

本願に係る情報処理装置は、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付部と、第１の抑制時間内に複数の異常検知通知を受け付けた場合は、前記複数の異常検知通知の出力を抑制し、前記複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であることを条件として、前記第１の抑制時間の経過後に第１の異常検知通知を出力する出力制御部と、を備える。

前記出力制御部は、前記監視対象の状態が異常から回復したことを示す回復検知通知を前記第１の抑制時間内に受け付けた場合は、前記回復検知通知の出力を抑制する。

前記出力制御部は、前記第１の異常検知通知を出力した第１の時刻を開始時刻とする第２の抑制時間であって、前記第１の抑制時間よりも短い前記第２の抑制時間内に前記第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、前記第２の異常検知通知の出力を抑制し、前記第１の時刻を開始時刻とする前記第２の抑制時間内に前記監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第２の異常検知通知を受け付けないことを条件として、前記回復検知通知を受け付けた第２の時刻を開始時刻とする前記第２の抑制時間の経過後に前記回復検知通知を出力する。

前記出力制御部は、前記第２の異常検知通知を受け付けた第３の時刻を開始時刻とする前記第２の抑制時間内に前記第２の異常検知通知とは異なる第３の異常検知通知を受け付けた場合は、前記第３の異常検知通知の出力を抑制し、前記第３の時刻を開始時刻とする前記第２の抑制時間内に前記回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第３の異常検知通知を受け付けないことを条件として、前記第２の時刻を開始時刻とする前記第２の抑制時間の経過後に前記回復検知通知を出力する。

前記出力制御部は、前記監視対象の状態を示す状態情報から、前記第１の抑制時間、前記累積閾値時間または前記第２の抑制時間を推定するよう学習された機械学習モデルを用いて、前記第１の抑制時間、前記累積閾値時間または前記第２の抑制時間を推定する。

本願に係る情報処理方法は、情報処理装置が実行するプログラムにより実現される情報処理方法であって、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付工程と、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に前記第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、前記第２の異常検知通知の出力を抑制し、前記第１の抑制時間内に前記監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第２の異常検知通知を受け付けないことを条件として、前記第１の抑制時間の経過後に前記回復検知通知を出力する出力制御工程と、を含む。

本願に係る情報処理方法は、情報処理装置が実行するプログラムにより実現される情報処理方法であって、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付工程と、第１の抑制時間内に複数の異常検知通知を受け付けた場合は、前記複数の異常検知通知の出力を抑制し、前記複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であることを条件として、前記第１の抑制時間の経過後に第１の異常検知通知を出力する出力制御工程と、を含む。

本願に係る情報処理方法は、情報処理装置が実行するプログラムにより実現される情報処理方法であって、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付工程と、Ｎ（Ｎは自然数）回目に受け付けた異常検知通知である第Ｎの異常検知通知を受け付けた時刻である第Ｎの時刻を開始時刻とする第１の抑制時間内に前記第Ｎの異常検知通知とは異なる他の異常検知通知を受け付けた場合は、前記他の異常検知通知の出力を抑制し、前記第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、新たな異常検知通知を受け付けなかった場合は、前記第１の抑制時間よりも長い第２の抑制時間の経過後、または、前記第１の抑制時間に前記異常検知通知を抑制する処理を前記所定時間継続した後に、前記監視対象の状態が異常から回復したことを示す回復検知通知を出力する出力制御工程と、を含む。

本願に係る情報処理プログラムは、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付手順と、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に前記第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、前記第２の異常検知通知の出力を抑制し、前記第１の抑制時間内に前記監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第２の異常検知通知を受け付けないことを条件として、前記第１の抑制時間の経過後に前記回復検知通知を出力する出力制御手順と、をコンピュータに実行させる。

本願に係る情報処理プログラムは、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付手順と、第１の抑制時間内に複数の異常検知通知を受け付けた場合は、前記複数の異常検知通知の出力を抑制し、前記複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であることを条件として、前記第１の抑制時間の経過後に第１の異常検知通知を出力する出力制御手順と、をコンピュータに実行させる。

本願に係る情報処理プログラムは、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付手段と、Ｎ（Ｎは自然数）回目に受け付けた異常検知通知である第Ｎの異常検知通知を受け付けた時刻である第Ｎの時刻を開始時刻とする第１の抑制時間内に前記第Ｎの異常検知通知とは異なる他の異常検知通知を受け付けた場合は、前記他の異常検知通知の出力を抑制し、前記第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、新たな異常検知通知を受け付けなかった場合は、前記第１の抑制時間よりも長い第２の抑制時間の経過後、または、前記第１の抑制時間に前記異常検知通知を抑制する処理を前記所定時間継続した後に、前記監視対象の状態が異常から回復したことを示す回復検知通知を出力する出力制御手段と、をコンピュータに実行させる。

実施形態の一態様によれば、監視対象の監視に係る負荷を低減することを可能とすることができる。

図１は、実施形態に係る情報処理システムの構成例を示す図である。 図２は、実施形態に係るフィルタ装置の構成例を示す図である。 図３は、実施形態に係る通知の抑制処理について説明するための図である。 図４は、実施形態に係る通知の抑制処理について説明するための図である。 図５は、実施形態に係る通知の抑制処理について説明するための図である。 図６は、実施形態に係る通知の抑制処理について説明するための図である。 図７は、変形例に係る通知の抑制処理について説明するための図である。 図８は、変形例に係る通知の抑制処理について説明するための図である。 図９は、変形例に係る通知の抑制処理について説明するための図である。 図１０は、変形例に係る通知の抑制処理について説明するための図である。 図１１は、変形例に係る通知の抑制処理について説明するための図である。 図１２は、変形例に係る通知の抑制処理について説明するための図である。 図１３は、情報処理装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。

以下に、本願に係る情報処理装置、情報処理方法及び情報処理プログラムを実施するための形態（以下、「実施形態」と呼ぶ）について図面を参照しつつ詳細に説明する。なお、この実施形態により本願に係る情報処理装置、情報処理方法及び情報処理プログラムが限定されるものではない。また、以下の各実施形態において同一の部位には同一の符号を付し、重複する説明は省略される。

（実施形態）〔１．ばたつき抑制モード〕
従来、監視対象の状態を検知する検知装置が知られている。検知装置は、例えば、送受信したパケット量、ＣＰＵ（Central Processing Unit）もしくは、メモリ等のハードウェアリソースの使用量、または、インターフェイスもしくは、電源ユニットなどのハードウェアの状態等の監視対象の状態を示す状態情報に基づいて、監視対象の状態が異常であるか否かを検知する。監視対象の状態が異常であるか否は、例えば、予め定められた閾値に基づいて検知する、または、監視対象の状態が異常であるか否を検知するよう学習された機械学習モデルを用いて、監視対象の状態を検知する等の手法によって行われてよい。検知装置は、監視対象の状態が異常であることを検知した場合、監視対象を管理する管理者に対して、監視対象の状態が異常であることを示す異常検知通知を行う。

また、検知装置によって検知される異常の中には、管理者に対して通知を行う必要のないものが含まれる。例えば、検知装置は、監視対象の状態が異常であることを検知した場合に、監視対象の状態が異常から回復するまでの間、異常を検知し続け、連続して異常検知通知を行う場合がある。このような場合、管理者は最初の異常検知通知を以って異常の発生を認識することができるにも関わらず、検知装置から繰り返し同一の異常検知通知を受けることになる。管理者は、繰り返し通知される異常検知通知のそれぞれについて、監視対象の状態を確認するまたは、内容が最初の異常検知と同一であるかを確認するなどの確認作業を行う必要がある。通常、管理者は、このような確認作業と並行して、最初の異常検知通知で認識した異常の復旧作業を行う必要があるため、管理者に対して過度な負担を強いることになっていた。

そこで、検知装置から管理者に対して異常検知通知を行う前に、検知装置から異常検知通知を受け付けて、受け付けた異常検知通知のうち、管理者に対して通知を行う必要のない異常検知通知を行わないよう抑制するフィルタ装置が知られている。例えば、フィルタ装置は、検知装置から連続して異常検知通知を受け付けた場合、初回の異常検知通知を行った後は、監視対象の状態が異常から回復したことを示す回復検知通知を受け付けるまで、次回以降の異常検知通知を行わないよう抑制する。

しかしながら、上述したフィルタ装置は、例えば、短時間の間に、異常検知通知と回復検知通知を繰り返す場合であって、管理者に対して何度も通知を行う必要のない異常検知通知を行わないよう抑制することができなかった。したがって、上述したフィルタ装置は、監視対象の監視に係る管理者の負担を低減することが困難な場合があった。

これに対し、本願に係る情報処理装置は、監視対象の状態が異常であることを示す異常検知通知を受け付け、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする抑制時間内に第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、第２の異常検知通知の出力を抑制してよい。また、抑制時間内に監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第２の異常検知通知を受け付けないことを条件として、抑制時間の経過後に回復検知通知を出力してよい。

これにより、情報処理装置は、例えば、管理者に対して、初回の異常検知通知を行った後、一定時間の間、散発的に発生する異常検知通知であって、管理者に対して通知を行う必要のない異常検知通知を行わないよう抑制することができる。したがって、情報処理装置は、監視対象の監視に係る管理者の負担を低減することを可能とすることができる。

また、本願に係る情報処理装置は、監視対象の状態が異常であることを示す異常検知通知を受け付け、累積測定時間内に複数の異常検知通知を受け付けた場合は、複数の異常検知通知の出力を抑制し、複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であることを条件として、累積測定時間の経過後に第１の異常検知通知を出力してよい。

これにより、情報処理装置は、例えば、管理者に対して、一定時間の間、異常検知通知と回復検知通知を繰り返す場合の異常検知通知であって、管理者に対して通知を行う必要のない異常検知通知を行わないよう抑制することができる。したがって、情報処理装置は、監視対象の監視に係る管理者の負担を低減することを可能とすることができる。

〔２．情報処理システムの構成〕
以下では、実施形態に係る情報処理装置がフィルタ装置１００である場合について説明する。また、以下では、実施形態に係る監視対象が対象装置１０である場合について説明する。

図１は、実施形態に係る情報処理システム１の構成例を示す図である。図１に示すように、情報処理システム１には、対象装置１０と、検知装置２０と、フィルタ装置１００と、監視装置２００とが含まれる。対象装置１０と、検知装置２０と、フィルタ装置１００と、監視装置２００とは所定のネットワークＮを介して、有線または無線により通信可能に接続される。なお、図１に示した情報処理システム１には、複数台の対象装置１０や、複数台の検知装置２０や、複数台のフィルタ装置１００や、複数台の監視装置２００が含まれてもよい。

対象装置１０は、監視対象のネットワークを構成する装置または機器である。対象装置１０は、例えば、送受信したパケット量、ＣＰＵ（Central Processing Unit）もしくは、メモリ等のハードウェアリソースの使用量、または、インターフェイスもしくは、電源ユニットなどのハードウェアの状態等の対象装置１０の状態を示す状態情報を検知装置２０に対して送信する。

検知装置２０は、対象装置１０の状態を検知する情報処理装置である。検知装置２０は、対象装置１０から状態情報を取得する。また、検知装置２０は、対象装置１０の状態情報に基づいて、対象装置１０の状態が異常であるか否かを検知する。監視対象の状態が異常であるか否は、例えば、予め定められた閾値に基づいて検知する、または、監視対象の状態が異常であるか否を検知するよう学習された機械学習モデルを用いて、対象装置１０の状態を検知するなどの手法を用いてよい。検知装置２０は、対象装置１０の状態が異常であることを検知した場合、対象装置１０の状態が異常であることを示す異常検知通知をフィルタ装置１００に送信する。また、検知装置２０は、対象装置１０の状態が異常から回復したことを検知した場合、対象装置１０の状態が異常から回復したことを示す回復検知通知をフィルタ装置１００に送信する。なお、検知装置２０の各機能は、２以上の機器に分離して用意されてよい。

フィルタ装置１００は、管理者に対して通知を行う必要のない通知（異常検知通知または回復検知通知）の出力を抑制する情報処理装置である。管理者に対して通知を行う必要のない通知とは、例えば、管理者が既に認識した異常と同一の異常を反復的に通知するものであってよい。フィルタ装置１００は、検知装置２０から異常検知通知を受け付ける。フィルタ装置１００は、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする抑制時間内に第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、第２の異常検知通知の出力を抑制する。また、フィルタ装置１００は、検知装置２０から回復検知通知を受け付ける。また、フィルタ装置１００は、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする抑制時間内に回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第２の異常検知通知を受け付けないことを条件として、抑制時間の経過後に回復検知通知を出力する。

監視装置２００は、対象装置１０の管理者によって使用される情報処理装置である。監視装置２００は、フィルタ装置１００から出力された異常検知通知または回復検知通知を受信する。監視装置２００は、異常検知通知または回復検知通知を受信した場合、異常検知通知または回復検知通知を出力する。

〔３．フィルタ装置の構成〕
図２は、実施形態に係るフィルタ装置１００の構成例を示す図である。フィルタ装置１００は、通信部１１０と、記憶部１２０と、制御部１３０とを有する。

（通信部１１０）
通信部１１０は、例えば、ＮＩＣ（Network Interface Card）等によって実現される。そして、通信部１１０は、ネットワークと有線または無線で接続され、例えば、対象装置１０や検知装置２０や監視装置２００との間で情報の送受信を行う。

（記憶部１２０）
記憶部１２０は、例えば、ＲＡＭ（Random Access Memory)、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。具体的には、記憶部１２０は、各種プログラム（情報処理プログラムの一例）を記憶する。

（制御部１３０）
制御部１３０は、コントローラ（controller）であり、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、フィルタ装置１００内部の記憶装置に記憶されている各種プログラム（情報処理プログラムの一例に相当）がＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、コントローラであり、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現される。

制御部１３０は、受付部１３１と、出力制御部１３２を機能部として有し、以下に説明する情報処理の作用を実現または実行してよい。なお、制御部１３０の内部構成は、図２に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。また、各機能部は、制御部１３０の機能を示したものであり、必ずしも物理的に区別されるものでなくともよい。

受付部１３１は、監視対象の状態が異常であることを示す異常検知通知を受け付ける。また、受付部１３１は、受け付けた異常検知通知を、異常検知通知を受け付けた時刻と関連付けた履歴を、記憶部１２０に記憶させてもよい。

出力制御部１３２は、管理者に対して通知を行う必要のない通知（異常検知通知または回復検知通知）の出力を抑制する。具体的には、出力制御部１３２は、受付部１３１によって受け付けられた異常検知通知または回復検知通知の出力を抑制する。ここで、管理者に対して通知を行う必要のない通知とは、例えば、管理者が既に認識した異常と同一の異常を反復的に知らせる通知であってよい。

より具体的には、出力制御部１３２は、受付部１３１が複数の異常検知通知を連続して受け付けた場合、１回目に受け付けた異常検知通知を出力した後、短期抑制時間（例えば、６０分）内で安定するまで、２回目以降に受け付けた異常検知通知の出力を抑制する。以下では、Ｎ（Ｎは自然数）回目に受け付けた異常検知通知のことを、第Ｎの異常検知通知と記載する。また、出力制御部１３２は、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする短期抑制時間内に第２の異常検知通知を受け付けた場合は、第２の異常検知通知の出力を抑制する。また、出力制御部１３２は、第２の異常検知通知を受け付けた第２の時刻を開始時刻とする短期抑制時間内に第３の異常検知通知を受け付けた場合は、第３の異常検知通知の出力を抑制する。このように、出力制御部１３２は、第Ｎの異常検知通知を受け付けた第Ｎの時刻を開始時刻とする短期抑制時間内に第（Ｎ＋１）の異常検知通知を受け付けた場合は、第（Ｎ＋１）の異常検知通知の出力を抑制する。以降、第Ｎの時刻を開始時刻とする短期抑制時間を、第Ｎの短期抑制時間と記載する場合がある。

また、出力制御部１３２は、短期抑制時間に回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に新たな異常検知通知を受け付けないことを条件として、短期抑制時間の経過後に回復検知通知を出力する。

ここで、対象装置１０の用途または、検出したい障害の種類によっては、短期抑制時間内の異常検知を抑制する手法では適切に通知を抑制することができない場合があった。具体的には、例えば、送受信したデータ量を監視し、予め定められたデータ量（以降、閾値と記載する場合がある）よりも少なくなったときに異常を検知する場合である。このような場合、対象装置１０が送受信するデータ量は、一定の周期（例えば、１日）で概ね同じような傾向を示す。そのため、閾値を下回った場合、異常が発生したことを管理者に通知する必要がある。一方、対象装置１０自身または、対象装置１０と相互に接続され協調的に機能する他の対象装置１０などが、障害あるいは作業によって一時的にデータの送受信を停止した後、データの送受信を再開したような場合には、通常稼動時のデータ送受信量に戻るまでに上述した一定の周期よりも長い時間を要する場合がある。このようなケースでは、通常稼動時のデータ送受信量に戻るまでの期間において、異常検知通知が繰り返される場合があるため、従来の監視装置においては、閾値を一時的に変更する対応が必要であり、管理者の負担となっていた。

これに対して、出力制御部１３２は、短期抑制時間内に異常検知通知を抑制する処理を繰り返した場合に、最初の短期抑制時間の開始時刻からの経過時間が、長期抑制移行時間（例えば、１００分）に達した場合、短期抑制時間よりも長い長期抑制時間（例えば、３００分）にわたって異常検知通知の出力を抑制する。より具体的には、出力制御部１３２は、短期抑制時間内に異常検知通知を抑制する処理を繰り返し、第Ｎの短期抑制時間の終了時刻が、第１の時刻を開始時刻とする長期抑制移行時間を超過した場合、短期抑制時間よりも長い長期抑制時間にわたって、新たな異常検知通知の出力を抑制する。ここで、長期抑制時間の開始時刻は、例えば、第（Ｎ＋１）の異常検知通知を受け付けた時刻であってよい。また、長期抑制時間の開始時刻は、第Ｎの短期抑制時間の終了時刻または開始時刻と同じ時刻であってもよい。また、長期抑制時間の開始時刻は、第１の時刻を開始時刻とする長期抑制移行時間の終了時刻と同じ時刻であってもよい。以降、第Ｎの時刻を開始時刻とする長期抑制移行時間を、第Ｎの長期抑制移行時間、第Ｎの時刻を開始時刻とする長期抑制時間を第Ｎの長期抑制時間と記載する場合がある。

また、出力制御部１３２は、短期抑制時間に異常検知通知を抑制する処理を第１の長期抑制移行時間にわたって継続した後に、回復検知通知を受け付けた場合は、新たな異常検知通知を受け付けないことを条件として、長期抑制時間の経過後に回復検知通知を出力する。

図３は、実施形態に係る通知の抑制処理について説明するための図である。図３では、受付部１３１は、時刻ｔ１～ｔ１１までの各時刻に１５分おきに連続して第１～第１１の異常検知通知Ｅ１－１～Ｅ１－１１を受け付ける。また、また、受付部１３１は、時刻ｔ１２に回復検知通知Ｒ１－１２を受け付ける。

図３では、出力制御部１３２は、時刻ｔ１に受け付けた第１の異常検知通知Ｅ１－１を出力する。また、出力制御部１３２は、時刻ｔ１を開始時刻とする短期抑制時間＃１１に受け付けた第２～第５の異常検知通知Ｅ１－２～Ｅ１－５の出力を抑制する。また、出力制御部１３２は、短期抑制時間＃１１内に第２の異常検知通知Ｅ１－２を受け付けたので、時刻ｔ２を開始時刻とする短期抑制時間（図示略）に受け付けた第３～第６の異常検知通知Ｅ１－３～Ｅ１－６の出力を抑制する。同様にして、出力制御部１３２は、時刻ｔｋ（ｋ＝３～６）を開始時刻とする短期抑制時間（図示略）に受け付けた第ｋ～第（ｋ＋３）の異常検知通知Ｅ１－ｋ～Ｅ１－（ｋ＋３）の出力を抑制する。すなわち、出力制御部１３２は、第Ｎの短期抑制時間内に第（Ｎ＋１）の異常検知通知を受けた場合、第（Ｎ＋１）の時刻を開始時刻とする短期抑制時間内の異常検知通知を抑制する。

また、出力制御部１３２は、時刻ｔ６を開始時刻とする短期抑制時間＃１２の終了時刻が長期抑制移行時間（長期抑制移行契機時間ともいう）を超え、かつ、受付部１３１が時刻ｔ６を開始時刻とする短期抑制時間＃１２の終了後に第１１の異常検知通知Ｅ１－１１を受け付けたので、時刻ｔ１１を開始時刻とする長期抑制時間＃１３にわたって第１１の異常検知通知Ｅ１－１１の出力を抑制する。また、出力制御部１３２は、時刻ｔ６を開始時刻とする短期抑制時間＃１２の終了時刻が長期抑制移行時間を超え、かつ、受付部１３１が時刻ｔ６を開始時刻とする短期抑制時間＃１２の終了後に第１１の異常検知通知Ｅ１－１１を受け付け、更に回復検知通知Ｒ１－１２を受け付けたので、長期抑制時間＃１３の経過後に回復検知通知Ｒ１－１２を出力する。

図４は、実施形態に係る通知の抑制処理について説明するための図である。図４では、受付部１３１は、時刻ｔ１～ｔ８までの各時刻に１５分おきに、第１の異常検知通知Ｅ２－１、回復検知通知Ｒ２－２、第２～第４の異常検知通知Ｅ２－３～Ｅ２－５、回復検知通知Ｒ２－６、第５の異常検知通知Ｅ２－７、および、回復検知通知Ｒ２－８を受け付ける。

図４では、図３と同様に、出力制御部１３２は、時刻ｔ１に受け付けた第１の異常検知通知Ｅ２－１を出力する。また、出力制御部１３２は、時刻ｔ１を開始時刻とする短期抑制時間＃２１内に受け付けた第２～第４の異常検知通知Ｅ２－３～Ｅ２－５の出力を抑制する。また、出力制御部１３２は、短期抑制時間＃２１内に受け付けた回復検知通知Ｒ２－２の後に第２の異常検知通知Ｅ２－３を受け付けたので、回復検知通知Ｒ２－２の出力を抑制する。また、出力制御部１３２は、短期抑制時間＃２１内に第２の異常検知通知Ｅ２－３を受け付けたので、時刻ｔ３を開始時刻とする短期抑制時間（図示略）内に受け付けた第３～第４の異常検知通知Ｅ２－４～Ｅ２－５、および、第５の異常検知通知Ｅ２－７の出力を抑制する。また、出力制御部１３２は、時刻ｔ３を開始時刻とする短期抑制時間（図示略）内に受け付けた回復検知通知Ｒ２－６の後に第５の異常検知通知Ｅ２－７を受け付けたので、回復検知通知Ｒ２－６の出力を抑制する。また、出力制御部１３２は、時刻ｔ４を開始時刻とする短期抑制時間（図示略）内に受け付けた第４の異常検知通知Ｅ２－５、および、第５の異常検知通知Ｅ２－７の出力を抑制する。また、出力制御部１３２は、時刻ｔ４を開始時刻とする短期抑制時間（図示略）内に受け付けた回復検知通知Ｒ２－６の後に第５の異常検知通知Ｅ２－７を受け付けたので、回復検知通知Ｒ２－６の出力を抑制する。また、出力制御部１３２は、時刻ｔ５を開始時刻とする短期抑制時間（図示略）内に受け付けた第５の異常検知通知Ｅ２－７の出力を抑制する。また、出力制御部１３２は、時刻ｔ５を開始時刻とする短期抑制時間（図示略）内に受け付けた回復検知通知Ｒ２－６の後に第５の異常検知通知Ｅ２－７を受け付けたので、回復検知通知Ｒ２－６の出力を抑制する。すなわち、出力制御部１３２は、第Ｎの短期抑制時間内に第（Ｎ＋１）の異常検知通知を受けた場合、第（Ｎ＋１）の時刻を開始時刻とする短期抑制時間内の異常検知通知及び回復検知通知を抑制する。

また、出力制御部１３２は、時刻ｔ７を開始時刻とする短期抑制時間＃２２の終了時刻が長期抑制移行時間を超えたので、時刻ｔ７を開始時刻とする長期抑制時間＃２３の経過後に回復検知通知Ｒ２－８を出力する。

図５は、実施形態に係る通知の抑制処理について説明するための図である。図５では、単発の異常検知通知と安定を繰り返すため、長期抑制に移行しないパターンを示す。図５では、受付部１３１は、第１の異常検知通知Ｅ３－１を受け付けてから１５分後に、回復検知通知Ｒ３－２を受け付ける。出力制御部１３２は、第１の異常検知通知Ｅ３－１を出力する。また、出力制御部１３２は、第１の異常検知通知Ｅ３－１を受け付けた時刻を開始時刻とする短期抑制時間（図５では、６０分）内に回復検知通知Ｒ３－２を受け付けた後に新たな異常検知通知を受け付けなかったので、短期抑制時間の経過後に回復検知通知Ｒ３－２を出力する。また、受付部１３１は、出力制御部１３２が回復検知通知Ｒ３－２を出力した後、新たな異常検知通知Ｅ３－３を受け付けてから１５分後に、回復検知通知Ｒ３－４を受け付ける。出力制御部１３２は、新たな異常検知通知Ｅ３－３を出力する。また、出力制御部１３２は、新たな異常検知通知Ｅ３－３を受け付けた時刻を開始時刻とする短期抑制時間（図５では、６０分）内に回復検知通知Ｒ３－４を受け付けた後、更に新たな異常検知通知を受け付けなかったので、短期抑制時間の経過後に回復検知通知Ｒ３－４を出力する。

図６は、実施形態に係る通知の抑制処理について説明するための図である。図６では、最終の異常検知通知を受け付けた時刻を開始時刻とする短期抑制時間が、長期抑制移行時間に達しないため、長期抑制に移行しないパターンを示す。図６では、受付部１３１は、第１の異常検知通知Ｅ４－１を受け付けてから１５分後に、回復検知通知Ｒ４－２を受け付ける。また、受付部１３１は、回復検知通知Ｒ４－２を受け付けから１５分おきに、第２の異常検知通知Ｅ４－３、第３の異常検知通知Ｅ４－４、および、回復検知通知Ｒ４－５を受け付ける。出力制御部１３２は、第１の異常検知通知Ｅ４－１を出力する。また、出力制御部１３２は、第１の異常検知通知Ｅ４－１を受け付けた時刻を開始時刻とする短期抑制時間（図６では、６０分）内に受け付けた第２～第３の異常検知通知Ｅ４－３～Ｅ４－４の出力を抑制する。また、出力制御部１３２は、第１の異常検知通知Ｅ４－１を受け付けた時刻を開始時刻とする短期抑制時間に受け付けた回復検知通知Ｒ４－２の後に第２の異常検知通知Ｅ４－３を受け付けたので、回復検知通知Ｒ４－２の出力を抑制する。また、出力制御部１３２は、第３の異常検知通知Ｅ４－４を受け付けた時刻を開始時刻とする短期抑制時間内に回復検知通知Ｒ４－５を受け付けた後に新たな異常検知通知を受け付けなかったので、短期抑制時間の経過後に回復検知通知Ｒ４－５を出力する。

ここで、対象装置１０または、監視する障害の内容などによっては、異常検知通知のみを行い、回復検知通知を行わない場合がある。具体的には、例えば、サーバ機器へのログインに失敗したことを異常として検出し、通知する場合、パスワードの入力ミスあるいは、誤操作などの原因でユーザがサーバ機器へのログインに失敗したときに異常検知通知を出力する。このような異常は、例えば、ハードウェアの故障のように、何らかの状態変化を伴うものではないため、異常発生前の状態に回復する（すなわち、サーバ機器へのログインが失敗した事実がなくなる）ことは起こらない。そのため、このような異常においては、回復検知通知が行われない場合がある。このような異常を以降、異常イベントとも記載する。

発生した異常イベントの種類によっては、検出頻度が変化した場合にのみ管理者への通知が必要になる場合がある。具体的には、例えば、サーバ機器へのログインに失敗したという異常イベントの異常検知通知については、正規のユーザによるパスワードの入力ミスあるいは、誤操作などを原因として、例えば、２～３日間に１回のように低い頻度で定常的に発生する。そのため、低い頻度での発生であれば、ユーザによるミスとして、管理者への通知は不要である。一方で、例えば、１分間に６０回のように高い頻度で発生した場合には、ブルートフォースアタックのような手法で、不正なアクセスが行われている可能性が高く、管理者に通知する必要がある。

上述したフィルタ装置では、回復検知通知を受けた後、抑制時間内に再度異常検知通知を受けないことを条件として、回復検知通知を出力していたが、異常検知通知が異常イベントに関するものである場合、回復検知通知を出力できず、管理者は異常イベントの発生が継続しているのか沈静化したのかを把握することができなかった。

これに対し、出力制御部１３２は、第Ｎの異常検知通知を受けた後、第Ｎの時刻を開始時刻とする短期抑制時間内あるいは、第Ｎの時刻を開始時刻とする長期抑制時間内に、第（Ｎ＋１）の異常検知通知を受けなかった場合に、異常イベントが沈静化したとして、回復検知通知を出力してよい。このように、出力制御部１３２は、短期抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、新たな異常検知通知を受け付けなかった場合は、長期抑制時間の経過後、または、短期抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、回復検知通知を出力してよい。すなわち、出力制御部１３２は、Ｎ（Ｎは自然数）回目に受け付けた異常検知通知である第Ｎの異常検知通知を受け付けた時刻である第Ｎの時刻を開始時刻とする短期抑制時間内に第Ｎの異常検知通知とは異なる他の異常検知通知を受け付けた場合は、他の異常検知通知の出力を抑制し、短期抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、新たな異常検知通知を受け付けなかった場合は、長期抑制時間の経過後、または、短期抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、回復検知通知を出力してよい。

なお、出力制御部１３２は、監視対象の状態を示す状態情報から、短期抑制時間、長期抑制移行時間または長期抑制時間を推定するよう学習された機械学習モデルを用いて、短期抑制時間、長期抑制移行時間または長期抑制時間を推定してよい。具体的には、例えば、出力制御部１３２は、異常検知通知の内容と、受付部１３１が異常検知通知を受け付けた時刻から一定の時間内に受け付けた異常検知通知及び回復検知通知の履歴とを学習データとし、受付部１３１が受け付けた異常検知通知に基づいて、短期抑制時間、長期抑制移行時間または長期抑制時間を推定するように学習された学習モデルに基づいて、短期抑制時間、長期抑制移行時間または長期抑制時間を推定してよい。

一実施形態に係る出力制御部１３２は、統計的手法を用いて、監視対象の状態を示す状態情報から、短期抑制時間、長期抑制移行時間または長期抑制時間を決定してよい。具体的には、例えば、出力制御部１３２は、記憶部１２０に記憶されている異常検知通知の履歴に基づいて、異常検知通知を受け付けてから、異常検知通知を受け付けなくなるまでの期間を統計的手法を用いて推定してよい。また、出力制御部１３２は、統計的手法を用いて推定した期間に基づいて、短期抑制時間、長期抑制移行時間または長期抑制時間を決定してよい。

（変形例）
〔４．累積検知モード〕
上述した実施形態に係る処理は、上記実施形態以外にも種々の異なる形態にて実施されてよい。

上述した実施形態では、フィルタ装置１００が、複数の異常検知通知を連続して受け付けた場合、１回目に受け付けた異常検知通知を出力した後、短期抑制時間（例えば、６０分）内で安定するまで、２回目以降に受け付けた異常検知通知の出力を抑制する場合について説明した。変形例では、フィルタ装置１００が、累積測定時間（例えば、６０分）内に累積閾値時間（例えば、２０分）以上、異常検知通知の通知を受け付けた場合、累積測定時間の経過後に第１の異常検知通知を出力する場合について説明する。また、変形例では、フィルタ装置１００が、第１の異常検知通知を出力した後、通知抑制時間（例えば、３０分）内で安定した場合、回復検知通知を出力する場合について説明する。

上述した実施形態では、異常の発生をなるべく早期に管理者に対して通知するため、初めて検知した異常検知通知（以降、初回検知と記載される場合もある）をすぐに出力し、２回目以降の異常検知通知を抑止する手法を取る。しかし、対象装置１０の用途または、検知したい障害の内容によっては、異常の発生を早期に通知することが適切でない場合がある。具体的には、例えば、定常的に発生する異常であり、発生頻度が変化しなければ問題ないと考えられる異常の通知を抑制したい場合がある。このような場合に、初回検知のみを通知し、２回目以降を抑止する方法とすると、管理者は当該異常に発生頻度の変化が生じたか否かを認識できなくなる。

これに対し、出力制御部１３２は、累積測定時間に複数の異常検知通知を受け付けた場合は、複数の異常検知通知の出力を抑制し、複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であるか否かを判定する。出力制御部１３２は、複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であると判定した場合、累積測定時間の経過後に第１の異常検知通知を出力してよい。また、出力制御部１３２は、回復検知通知を累積測定時間に受け付けた場合は、回復検知通知の出力を抑制してよい。なお、所定の時間（例えば１５分）間隔で機器の状態を確認し、異常があった場合に異常検知通知を行うよう設計されたシステムの場合であっても、一の異常検知通知を以って、所定の時間（例えば１５分）の間、異常が継続したものとして扱ってもよい。

また、出力制御部１３２は、第１の異常検知通知を出力した第１の時刻を開始時刻とする通知抑制時間であって、累積測定時間よりも短い通知抑制時間内に第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、第２の異常検知通知の出力を抑制する。また、出力制御部１３２は、第１の通知抑制時間内に回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第２の異常検知通知を受け付けないことを条件として、回復検知通知を受け付けた第２の通知抑制時間の経過後に回復検知通知を出力する。また、出力制御部１３２は、第１の通知抑制時間内に異常検知通知を受け付けないことを条件として、第１の通知抑制時間の経過後に回復検知通知を出力する。

また、出力制御部１３２は、第２の異常検知通知を受け付けた第３の時刻を開始時刻とする通知抑制時間内に第２の異常検知通知とは異なる第３の異常検知通知を受け付けた場合は、第３の異常検知通知の出力を抑制する。また、出力制御部１３２は、第３の通知抑制時間内に回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第３の異常検知通知を受け付けないことを条件として、第２通知抑制時間の経過後に回復検知通知を出力する。

図７は、変形例に係る通知の抑制処理について説明するための図である。図７では、各異常検知通知の通知時間は５分である。受付部１３１は、累積測定時間に、５つの異常検知通知Ｅ５－１～Ｅ５－４、および、Ｅ５－６を受け付ける。また、受付部１３１は、累積測定時間に、回復検知通知Ｒ５－５、および、回復検知通知Ｒ５－７を受け付ける。出力制御部１３２は、累積測定時間に受け付けた５つの異常検知通知Ｅ５－１～Ｅ５－４、および、Ｅ５－６の出力を抑制する。また、出力制御部１３２は、累積測定時間に受け付けた回復検知通知Ｒ５－５、および、回復検知通知Ｒ５－７の出力を抑制する。また、出力制御部１３２は、累積測定時間に受け付けた５つの異常検知通知Ｅ５－１～Ｅ５－４、および、Ｅ５－６の通知時間の合計が２５分であり、累積閾値時間（図７では、２０分）以上であると判定したので、累積測定時間の経過後に第１の異常検知通知Ｅ５－８を出力する。また、出力制御部１３２は、第１の異常検知通知Ｅ５－８を出力した第１の時刻を開始時刻とする通知抑制時間（図７では、３０分）に異常検知通知を受け付けなかったので、第１の時刻を開始時刻とする通知抑制時間の経過後に回復検知通知Ｒ５－９を出力する。

図８は、変形例に係る通知の抑制処理について説明するための図である。図８では、図７と同様に、受付部１３１は、累積測定時間に、５つの異常検知通知Ｅ６－１～Ｅ６－４、および、Ｅ６－６を受け付ける。また、受付部１３１は、累積測定時間に、回復検知通知Ｒ６－５、および、回復検知通知Ｒ６－７を受け付ける。また、図７と同様に、出力制御部１３２は、累積測定時間に受け付けた５つの異常検知通知Ｅ６－１～Ｅ６－４、および、Ｅ６－６の出力を抑制する。また、出力制御部１３２は、累積測定時間に受け付けた回復検知通知Ｒ６－５、および、回復検知通知Ｒ６－７の出力を抑制する。また、図７と同様に、出力制御部１３２は、累積測定時間に受け付けた５つの異常検知通知Ｅ６－１～Ｅ６－４、および、Ｅ６－６の通知時間の合計が２５分であり、累積閾値時間（図８では、２０分）以上であると判定したので、累積測定時間の経過後に第１の異常検知通知Ｅ６－８を出力する。

また、図８では、出力制御部１３２は、第１の異常検知通知Ｅ６－８を出力した第１の時刻を開始時刻とする通知抑制時間に第２～第３の異常検知通知Ｅ６－９～Ｅ６－１０を受け付けたので、第２～第３の異常検知通知Ｅ６－９～Ｅ６－１０の出力を抑制する。また、出力制御部１３２は、第１の異常検知通知Ｅ６－８を出力した第１の時刻を開始時刻とする通知抑制時間に回復検知通知Ｒ６－１１を受け付けたので、回復検知通知Ｒ６－１１の出力を抑制する。また、出力制御部１３２は、第１の異常検知通知Ｅ６－８を出力した第１の時刻を開始時刻とする通知抑制時間に回復検知通知Ｒ６－１１を受け付けた後に新たな異常検知通知を受け付けなかったので、回復検知通知Ｒ６－１１を受け付けた第２の時刻を開始時刻とする通知抑制時間（図８では、３０分）の経過後に回復検知通知Ｒ６－１２を出力する。

図９は、変形例に係る通知の抑制処理について説明するための図である。図９では、受付部１３１は、累積測定時間に、１０個の異常検知通知Ｅ７－１～Ｅ７－１０を受け付ける。出力制御部１３２は、累積測定時間に受け付けた１０個の異常検知通知Ｅ７－１～Ｅ７－１０の出力を抑制する。また、出力制御部１３２は、累積測定時間に受け付けた１０個の異常検知通知Ｅ７－１～Ｅ７－１０の通知時間の合計が６０分であり、累積閾値時間（図９では、６０分）以上であると判定したので、累積測定時間の経過後に第１の異常検知通知Ｅ７－１０を出力する。

また、図９では、受付部１３１は、第１の異常検知通知Ｅ７－１０を出力した第１の時刻を開始時刻とする通知抑制時間に第２～第３の異常検知通知Ｅ７－１１～Ｅ７－１２を受け付ける。出力制御部１３２は、通知抑制時間に受け付けた第２～第３の異常検知通知Ｅ７－１１～Ｅ７－１２の出力を抑制する。また、受付部１３１は、第１の異常検知通知Ｅ７－１０を出力した第１の時刻を開始時刻とする通知抑制時間に回復検知通知Ｒ７－１３を受け付ける。出力制御部１３２は、通知抑制時間に受け付けた回復検知通知Ｒ７－１３の出力を抑制する。また、出力制御部１３２は、回復検知通知Ｒ７－１３を受け付けた後に新たな異常検知通知を受け付けなかったので、回復検知通知Ｒ７－１３を受け付けた第２の時刻を開始時刻とする通知抑制時間の経過後に回復検知通知Ｒ７－１３を出力する。

検知する異常の種類または、異常の発生原因等によっては、時間帯によって発生の頻度または、傾向が変化する場合がある。具体的には、例えば、ネットワーク装置が送受信したパケット量の異常を検出する場合、深夜帯と日中帯では、検出する異常の頻度が異なるため、深夜帯においては、通知抑制時間を長く設定したい場合があった。

図１０は、変形例に係る通知の抑制処理について説明するための図である。図１０では、午前６：００～午前０：００（日中の時間帯）と午前０：００～午前６：００（夜間の時間帯）とで、累積閾値時間、累積測定時間、および、通知抑制時間を変化させる。図１０では、日中の時間帯における累積閾値時間、累積測定時間、および、通知抑制時間を、それぞれ２０分、６０分、および、３０分とする。一方、夜間の時間帯における累積閾値時間、累積測定時間、および、通知抑制時間を、それぞれ６０分、１００分、および、５０分とする。

検知する異常の種類または、異常の発生原因、監視対象の機器の構成等によっては、複数の機器の異常が連動して発生する場合がある。具体的には、例えば、同一の機能を有し、並列で処理を行う２つのネットワーク装置が送受信したパケット量の異常を検出する場合、一方の装置が故障して送受信したパケット量に異常が生じたとしても、他方の装置が２台分の処理を行えていればネットワーク全体としては正常であるため、通知を抑制したい場合があった。

図１１は、変形例に係る通知の抑制処理について説明するための図である。図１１では、フィルタ装置１００が、分散型ネットワークを構成する４つの対象装置＃１～対象装置＃４それぞれの入力ポートに入力する入力トラフィック量の合算、および、４つの対象装置＃１～対象装置＃４それぞれの出力ポートから出力される出力トラフィック量の合算を算出する。そして、フィルタ装置１００は、入力トラフィック量の合算、および、出力トラフィック量の合算の周期的な傾向に基づいて、バンドルグループ全体における異常検知通知の出力を抑制する。

検知する異常の種類または、異常の発生原因、監視対象の機器の構成等によっては、複数の機器の異常が連動して発生する場合がある。具体的には、例えば、同一の機能を有し、並列で処理を行う２つのネットワーク装置のそれぞれが送受信したパケット量の異常を検出する場合、一方の装置の入力ポートが故障し、送受信したパケットの量に異常が生じると、他方の装置にパケットが集中し、異常を検出する場合があり、一方の異常のみを通知し、他方の異常は抑制したい場合があった。

図１２は、変形例に係る通知の抑制処理について説明するための図である。図１２では、出力制御部１３２が、分散型ネットワークを構成する複数の対象装置それぞれのトラフィック量に基づいて、異常検知通知の出力を抑制する。なお、分散型ネットワークを構成する複数の対象装置のグループをバンドルグループともいう。例えば、出力制御部１３２は、バンドルグループのすべての対象装置のトラフィック量が下限閾値を下回っている場合、メンテナンス作業中であるとみなして、異常検知通知の出力を抑制する。

なお、出力制御部１３２は、監視対象の状態を示す状態情報から、累積測定時間、累積閾値時間または通知抑制時間を推定するよう学習された機械学習モデルを用いて、累積測定時間、累積閾値時間または通知抑制時間を推定してよい。

〔５．効果〕
（ばたつき抑制モード）
上述したように、実施形態に係る情報処理装置（実施形態ではフィルタ装置１００）は、受付部（実施形態では受付部１３１）と出力制御部（実施形態では出力制御部１３２）を備える。受付部は、監視対象の状態が異常であることを示す異常検知通知を受け付ける。出力制御部は、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、第２の異常検知通知の出力を抑制し、第１の抑制時間内に監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第２の異常検知通知を受け付けないことを条件として、第１の抑制時間の経過後に回復検知通知を出力する。

これにより、情報処理装置は、例えば、管理者に対して、初回の異常検知通知を行った後、一定時間の間、散発的に発生する異常検知通知であって、管理者に対して通知を行う必要のない異常検知通知を行わないよう抑制することができる。したがって、情報処理装置は、監視対象の監視に係る管理者の負担を低減することを可能とすることができる。また、情報処理装置は、監視対象の監視に係る管理者の負担を低減することを可能とすることができるため、持続可能な開発目標（ＳＤＧｓ）の目標９「産業と技術革新の基盤をつくろう」の達成に貢献できる。

また、出力制御部は、第２の異常検知通知を受け付けた第２の時刻を開始時刻とする第１の抑制時間内に第２の異常検知通知とは異なる第３の異常検知通知を受け付けた場合は、第３の異常検知通知の出力を抑制し、第２の時刻を開始時刻とする第１の抑制時間内に回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第３の異常検知通知を受け付けないことを条件として、第２の時刻を開始時刻とする第１の抑制時間の経過後に回復検知通知を出力する。

これにより、情報処理装置は、管理者に対して通知を行う必要のない異常検知通知を受け付ける度に、一定時間の間、管理者に対して通知を行う必要のない異常検知通知を行わないよう繰り返し抑制することができる。

また、出力制御部は、第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、第４の異常検知通知を受け付けた場合は、第１の抑制時間よりも長い第２の抑制時間にわたって、第４の異常検知通知の出力を抑制し、第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、回復検知通知を受け付けた場合は、第４の異常検知通知を受け付けないことを条件として、第２の抑制時間の経過後に回復検知通知を出力する。

これにより、情報処理装置は、例えば、管理者に対して通知を行う必要のない異常検知通知を受け付けなくなるまで長時間を要する場合、管理者に対して通知を行う必要のない異常検知通知を長時間にわたって行わないよう抑制することができる。

また、出力制御部は、第２の時刻を開始時刻とする第１の抑制時間の終了時刻が所定時間を超え、かつ、第２の時刻を開始時刻とする第１の抑制時間の終了後に第４の異常検知通知を受け付けた場合は、第４の異常検知通知を受け付けた時刻を開始時刻とする第２の抑制時間にわたって第４の異常検知通知の出力を抑制し、第２の時刻を開始時刻とする第１の抑制時間の終了時刻が所定時間を超え、かつ、第２の時刻を開始時刻とする第１の抑制時間の終了後に、第４の異常検知通知を受け付け、更に回復検知通知を受け付けた場合は、第４の異常検知通知を受け付けた時刻を開始時刻とする第２の抑制時間の経過後に回復検知通知を出力する。

これにより、情報処理装置は、例えば、異常検知通知を短時間にわたって行わないよう所定時間継続して抑制した後に、管理者に対して通知を行う必要のない異常検知通知を新たに受け付けた場合、新たに受け付けた異常検知通知を長時間にわたって行わないよう抑制することができる。

また、出力制御部は、第２の時刻を開始時刻とする第１の抑制時間の終了時刻が所定時間を超え、かつ、第２の時刻を開始時刻とする第１の抑制時間に第３の異常検知通知を受け付け、更に回復検知通知を受け付けた場合は、第３の異常検知通知を受け付けた時刻を開始時刻とする第２の抑制時間の経過後に回復検知通知を出力する。

これにより、情報処理装置は、例えば、短期抑制から長期抑制へと移行する直前に管理者に対して通知を行う必要のない異常検知通知を受け付けた場合であっても、短期抑制から長期抑制へと移行する直前に受け付けた異常検知通知を長期抑制することができる。

また、受付部は、監視対象の状態が異常であることを示す異常検知通知を受け付ける。出力制御部は、Ｎ（Ｎは自然数）回目に受け付けた異常検知通知である第Ｎの異常検知通知を受け付けた時刻である第Ｎの時刻を開始時刻とする第１の抑制時間内に第Ｎの異常検知通知とは異なる他の異常検知通知を受け付けた場合は、他の異常検知通知の出力を抑制し、第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、新たな異常検知通知を受け付けなかった場合は、第１の抑制時間よりも長い第２の抑制時間の経過後、または、第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、監視対象の状態が異常から回復したことを示す回復検知通知を出力する。

これにより、情報処理装置は、例えば、異常検知通知が異常イベントに関するものである場合であっても、回復検知通知を出力することができる。

また、出力制御部は、監視対象の状態を示す状態情報から、第１の抑制時間、所定時間または第２の抑制時間を推定するよう学習された機械学習モデルを用いて、第１の抑制時間、所定時間または第２の抑制時間を推定する。

これにより、情報処理装置は、抑制時間を制御するパラメータを自動で設定することができる。

また、出力制御部は、受付部が異常検知通知を受け付けた時刻から一定の時間内に受け付けた異常検知通知の履歴に基づいて、統計的手法を用いて、異常検知通知を受け付けてから、異常検知通知を受け付けなくなるまでの期間を推定し、推定した期間に基づいて、第１の抑制時間、所定時間または第２の抑制時間を決定する。

これにより、情報処理装置は、抑制時間を制御するパラメータを統計的手法により決定することができる。

（累積検知モード）
また、受付部は、監視対象の状態が異常であることを示す異常検知通知を受け付ける。出力制御部は、第１の抑制時間内に複数の異常検知通知を受け付けた場合は、複数の異常検知通知の出力を抑制し、複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であることを条件として、第１の抑制時間の経過後に第１の異常検知通知を出力する。

これにより、情報処理装置は、例えば、管理者に対して、一定時間の間、異常検知通知と回復検知通知を繰り返す場合の異常検知通知であって、管理者に対して通知を行う必要のない異常検知通知を行わないよう抑制することができる。したがって、情報処理装置は、監視対象の監視に係る管理者の負担を低減することを可能とすることができる。また、情報処理装置は、監視対象の監視に係る管理者の負担を低減することを可能とすることができるため、持続可能な開発目標（ＳＤＧｓ）の目標９「産業と技術革新の基盤をつくろう」の達成に貢献できる。

また、出力制御部は、監視対象の状態が異常から回復したことを示す回復検知通知を第１の抑制時間内に受け付けた場合は、回復検知通知の出力を抑制する。

これにより、情報処理装置は、例えば、管理者に対して、一定時間の間、異常検知通知と回復検知通知を繰り返す場合の回復検知通知であって、管理者に対して通知を行う必要のない回復検知通知を行わないよう抑制することができる。

また、出力制御部は、第１の異常検知通知を出力した第１の時刻を開始時刻とする第２の抑制時間であって、第１の抑制時間よりも短い第２の抑制時間内に第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、第２の異常検知通知の出力を抑制し、第１の時刻を開始時刻とする第２の抑制時間内に監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第２の異常検知通知を受け付けないことを条件として、回復検知通知を受け付けた第２の時刻を開始時刻とする第２の抑制時間の経過後に回復検知通知を出力する。

これにより、情報処理装置は、一定時間の間、異常検知通知と回復検知通知を繰り返した後に、管理者に対して通知を行う必要のない異常検知通知を新たに受け付けた場合、新たに受け付けた異常検知通知を行わないよう抑制することができる。

また、出力制御部は、第２の異常検知通知を受け付けた第３の時刻を開始時刻とする第２の抑制時間内に第２の異常検知通知とは異なる第３の異常検知通知を受け付けた場合は、第３の異常検知通知の出力を抑制し、第３の時刻を開始時刻とする第２の抑制時間内に回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第３の異常検知通知を受け付けないことを条件として、第２の時刻を開始時刻とする第２の抑制時間の経過後に回復検知通知を出力する。

これにより、情報処理装置は、一定時間の間、異常検知通知と回復検知通知を繰り返した後に、管理者に対して通知を行う必要のない異常検知通知を受け付ける度に、一定時間の間、管理者に対して通知を行う必要のない異常検知通知を行わないよう繰り返し抑制することができる。

また、出力制御部は、監視対象の状態を示す状態情報から、第１の抑制時間、累積閾値時間または第２の抑制時間を推定するよう学習された機械学習モデルを用いて、第１の抑制時間、累積閾値時間または第２の抑制時間を推定する。

これにより、情報処理装置は、抑制時間を制御するパラメータを自動で設定することができる。

〔６．ハードウェア構成〕
また、上述してきた実施形態に係るフィルタ装置１００等の情報処理装置は、例えば図１３に示すような構成のコンピュータ１０００によって実現される。図１３は、実施形態に係るフィルタ装置１００等の情報処理装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。以下、実施形態に係るフィルタ装置１００を例に挙げて説明する。コンピュータ１０００は、ＣＰＵ１１００、ＲＡＭ１２００、ＲＯＭ１３００、ＨＤＤ１４００、通信インターフェイス（Ｉ／Ｆ）１５００、入出力インターフェイス（Ｉ／Ｆ）１６００、及びメディアインターフェイス（Ｉ／Ｆ）１７００を備える。

ＣＰＵ１１００は、ＲＯＭ１３００またはＨＤＤ１４００に格納されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ１３００は、コンピュータ１０００の起動時にＣＰＵ１１００によって実行されるブートプログラムや、コンピュータ１０００のハードウェアに依存するプログラム等を格納する。

ＨＤＤ１４００は、ＣＰＵ１１００によって実行されるプログラム、及び、かかるプログラムによって使用されるデータ等を格納する。通信インターフェイス１５００は、所定の通信網を介して他の機器からデータを受信してＣＰＵ１１００へ送り、ＣＰＵ１１００が生成したデータを所定の通信網を介して他の機器へ送信する。

ＣＰＵ１１００は、入出力インターフェイス１６００を介して、ディスプレイやプリンタ等の出力装置、及び、キーボードやマウス等の入力装置を制御する。ＣＰＵ１１００は、入出力インターフェイス１６００を介して、入力装置からデータを取得する。また、ＣＰＵ１１００は、生成したデータを入出力インターフェイス１６００を介して出力装置へ出力する。

メディアインターフェイス１７００は、記録媒体１８００に格納されたプログラムまたはデータを読み取り、ＲＡＭ１２００を介してＣＰＵ１１００に提供する。ＣＰＵ１１００は、かかるプログラムを、メディアインターフェイス１７００を介して記録媒体１８００からＲＡＭ１２００上にロードし、ロードしたプログラムを実行する。記録媒体１８００は、例えばＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto-Optical disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。

例えば、コンピュータ１０００が実施形態に係るフィルタ装置１００として機能する場合、コンピュータ１０００のＣＰＵ１１００は、ＲＡＭ１２００上にロードされたプログラムを実行することにより、制御部１３０の機能を実現する。コンピュータ１０００のＣＰＵ１１００は、これらのプログラムを記録媒体１８００から読み取って実行するが、他の例として、他の装置から所定の通信網を介してこれらのプログラムを取得してもよい。

以上、本願の実施形態のいくつかを図面に基づいて詳細に説明したが、これらは例示であり、発明の開示の欄に記載の態様を始めとして、当業者の知識に基づいて種々の変形、改良を施した他の形態で本発明を実施することが可能である。

〔７．その他〕
また、上記実施形態及び変形例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。例えば、各図に示した各種情報は、図示した情報に限られない。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

また、上述してきた実施形態及び変形例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

１ 情報処理システム
１０ 対象装置
２０ 検知装置
１００ フィルタ装置
１１０ 通信部
１２０ 記憶部
１３０ 制御部
１３１ 受付部
１３２ 出力制御部
２００ 監視装置

本願に係る情報処理装置は、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付部と、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に前記監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第１の異常検知通知とは異なる第２の異常検知通知を受け付けないことを条件として、前記第１の抑制時間の経過後に前記回復検知通知を出力する出力制御部と、を備える。前記出力制御部は、前記第１の時刻を開始時刻とする前記第１の抑制時間内に前記第２の異常検知通知を受け付けた場合は、前記第２の異常検知通知の出力を抑制する。

本願に係る情報処理装置は、監視対象の状態が異常であることを示す異常検知通知を受け付ける受付部と、第１の抑制時間内に受け付けた異常検知通知の出力を抑制し、異常検知通知の通知時間の合計が累積閾値時間以上であることを条件として、前記第１の抑制時間の経過後に第１の異常検知通知を出力する出力制御部と、を備える。前記出力制御部は、前記第１の抑制時間内に複数の異常検知通知を受け付けた場合は、前記複数の異常検知通知の出力を抑制する。

〔５．効果〕
（ばたつき抑制モード）
上述したように、実施形態に係る情報処理装置（実施形態ではフィルタ装置１００）は、受付部（実施形態では受付部１３１）と出力制御部（実施形態では出力制御部１３２）を備える。受付部は、監視対象の状態が異常であることを示す異常検知通知を受け付ける。出力制御部は、第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、回復検知通知を受け付けた後に第１の異常検知通知とは異なる第２の異常検知通知を受け付けないことを条件として、第１の抑制時間の経過後に回復検知通知を出力する。また、出力制御部は、第１の時刻を開始時刻とする第１の抑制時間内に第２の異常検知通知を受け付けた場合は、第２の異常検知通知の出力を抑制する。

（累積検知モード）
また、受付部は、監視対象の状態が異常であることを示す異常検知通知を受け付ける。出力制御部は、第１の抑制時間内に受け付けた異常検知通知の出力を抑制し、異常検知通知の通知時間の合計が累積閾値時間以上であることを条件として、第１の抑制時間の経過後に第１の異常検知通知を出力する。また、出力制御部は、第１の抑制時間内に複数の異常検知通知を受け付けた場合は、複数の異常検知通知の出力を抑制する。

Claims (19)

1. 監視対象の状態が異常であることを示す異常検知通知を受け付ける受付部と、
   第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に前記第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、前記第２の異常検知通知の出力を抑制し、
   前記第１の抑制時間内に前記監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第２の異常検知通知を受け付けないことを条件として、前記第１の抑制時間の経過後に前記回復検知通知を出力する出力制御部と、
   を備える情報処理装置。
2. 前記出力制御部は、
   前記第２の異常検知通知を受け付けた第２の時刻を開始時刻とする前記第１の抑制時間内に前記第２の異常検知通知とは異なる第３の異常検知通知を受け付けた場合は、前記第３の異常検知通知の出力を抑制し、
   前記第２の時刻を開始時刻とする前記第１の抑制時間内に前記回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第３の異常検知通知を受け付けないことを条件として、前記第２の時刻を開始時刻とする前記第１の抑制時間の経過後に前記回復検知通知を出力する、
   請求項１に記載の情報処理装置。
3. 前記出力制御部は、
   前記第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、第４の異常検知通知を受け付けた場合は、前記第１の抑制時間よりも長い第２の抑制時間にわたって、前記第４の異常検知通知の出力を抑制し、
   前記第１の抑制時間に前記異常検知通知を抑制する処理を前記所定時間継続した後に、前記回復検知通知を受け付けた場合は、前記第４の異常検知通知を受け付けないことを条件として、前記第２の抑制時間の経過後に前記回復検知通知を出力する、
   請求項２に記載の情報処理装置。
4. 前記出力制御部は、
   前記第２の時刻を開始時刻とする前記第１の抑制時間の終了時刻が前記所定時間を超え、かつ、前記第２の時刻を開始時刻とする前記第１の抑制時間の終了後に前記第４の異常検知通知を受け付けた場合は、前記第４の異常検知通知を受け付けた時刻を開始時刻とする前記第２の抑制時間にわたって前記第４の異常検知通知の出力を抑制し、
   前記第２の時刻を開始時刻とする前記第１の抑制時間の終了時刻が前記所定時間を超え、かつ、前記第２の時刻を開始時刻とする前記第１の抑制時間の終了後に、前記第４の異常検知通知を受け付け、更に前記回復検知通知を受け付けた場合は、前記第４の異常検知通知を受け付けた時刻を開始時刻とする前記第２の抑制時間の経過後に前記回復検知通知を出力する、
   請求項３に記載の情報処理装置。
5. 前記出力制御部は、
   前記第２の時刻を開始時刻とする前記第１の抑制時間の終了時刻が前記所定時間を超え、かつ、前記第２の時刻を開始時刻とする前記第１の抑制時間に前記第３の異常検知通知を受け付け、更に前記回復検知通知を受け付けた場合は、前記第３の異常検知通知を受け付けた時刻を開始時刻とする前記第２の抑制時間の経過後に前記回復検知通知を出力する、
   請求項３に記載の情報処理装置。
6. 監視対象の状態が異常であることを示す異常検知通知を受け付ける受付部と、
   Ｎ（Ｎは自然数）回目に受け付けた異常検知通知である第Ｎの異常検知通知を受け付けた時刻である第Ｎの時刻を開始時刻とする第１の抑制時間内に前記第Ｎの異常検知通知とは異なる他の異常検知通知を受け付けた場合は、前記他の異常検知通知の出力を抑制し、前記第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、新たな異常検知通知を受け付けなかった場合は、前記第１の抑制時間よりも長い第２の抑制時間の経過後、または、前記第１の抑制時間に前記異常検知通知を抑制する処理を前記所定時間継続した後に、前記監視対象の状態が異常から回復したことを示す回復検知通知を出力する出力制御部と、
   を備える情報処理装置。
7. 前記出力制御部は、
   前記監視対象の状態を示す状態情報から、前記第１の抑制時間、前記所定時間または前記第２の抑制時間を推定するよう学習された機械学習モデルを用いて、前記第１の抑制時間、前記所定時間または前記第２の抑制時間を推定する、
   請求項３または６に記載の情報処理装置。
8. 前記出力制御部は、
   前記受付部が前記異常検知通知を受け付けた時刻から一定の時間内に受け付けた前記異常検知通知の履歴に基づいて、統計的手法を用いて、前記異常検知通知を受け付けてから、前記異常検知通知を受け付けなくなるまでの期間を推定し、推定した期間に基づいて、前記第１の抑制時間、前記所定時間または前記第２の抑制時間を決定する、
   請求項３または６に記載の情報処理装置。
9. 監視対象の状態が異常であることを示す異常検知通知を受け付ける受付部と、
   第１の抑制時間内に複数の異常検知通知を受け付けた場合は、前記複数の異常検知通知の出力を抑制し、前記複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であることを条件として、前記第１の抑制時間の経過後に第１の異常検知通知を出力する出力制御部と、
   を備える情報処理装置。
10. 前記出力制御部は、
    前記監視対象の状態が異常から回復したことを示す回復検知通知を前記第１の抑制時間内に受け付けた場合は、前記回復検知通知の出力を抑制する、
    請求項９に記載の情報処理装置。
11. 前記出力制御部は、
    前記第１の異常検知通知を出力した第１の時刻を開始時刻とする第２の抑制時間であって、前記第１の抑制時間よりも短い前記第２の抑制時間内に前記第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、前記第２の異常検知通知の出力を抑制し、
    前記第１の時刻を開始時刻とする前記第２の抑制時間内に前記監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第２の異常検知通知を受け付けないことを条件として、前記回復検知通知を受け付けた第２の時刻を開始時刻とする前記第２の抑制時間の経過後に前記回復検知通知を出力する、
    請求項９に記載の情報処理装置。
12. 前記出力制御部は、
    前記第２の異常検知通知を受け付けた第３の時刻を開始時刻とする前記第２の抑制時間内に前記第２の異常検知通知とは異なる第３の異常検知通知を受け付けた場合は、前記第３の異常検知通知の出力を抑制し、
    前記第３の時刻を開始時刻とする前記第２の抑制時間内に前記回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第３の異常検知通知を受け付けないことを条件として、前記第２の時刻を開始時刻とする前記第２の抑制時間の経過後に前記回復検知通知を出力する、
    請求項１１に記載の情報処理装置。
13. 前記出力制御部は、
    前記監視対象の状態を示す状態情報から、前記第１の抑制時間、前記累積閾値時間または前記第２の抑制時間を推定するよう学習された機械学習モデルを用いて、前記第１の抑制時間、前記累積閾値時間または前記第２の抑制時間を推定する、
    請求項１１に記載の情報処理装置。
14. 情報処理装置が実行するプログラムにより実現される情報処理方法であって、
    監視対象の状態が異常であることを示す異常検知通知を受け付ける受付工程と、
    第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に前記第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、前記第２の異常検知通知の出力を抑制し、
    前記第１の抑制時間内に前記監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第２の異常検知通知を受け付けないことを条件として、前記第１の抑制時間の経過後に前記回復検知通知を出力する出力制御工程と、
    を含む情報処理方法。
15. 情報処理装置が実行するプログラムにより実現される情報処理方法であって、
    監視対象の状態が異常であることを示す異常検知通知を受け付ける受付工程と、
    第１の抑制時間内に複数の異常検知通知を受け付けた場合は、前記複数の異常検知通知の出力を抑制し、前記複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であることを条件として、前記第１の抑制時間の経過後に第１の異常検知通知を出力する出力制御工程と、
    を含む情報処理方法。
16. 情報処理装置が実行するプログラムにより実現される情報処理方法であって、
    監視対象の状態が異常であることを示す異常検知通知を受け付ける受付工程と、
    Ｎ（Ｎは自然数）回目に受け付けた異常検知通知である第Ｎの異常検知通知を受け付けた時刻である第Ｎの時刻を開始時刻とする第１の抑制時間内に前記第Ｎの異常検知通知とは異なる他の異常検知通知を受け付けた場合は、前記他の異常検知通知の出力を抑制し、前記第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、新たな異常検知通知を受け付けなかった場合は、前記第１の抑制時間よりも長い第２の抑制時間の経過後、または、前記第１の抑制時間に前記異常検知通知を抑制する処理を前記所定時間継続した後に、前記監視対象の状態が異常から回復したことを示す回復検知通知を出力する出力制御工程と、
    を含む情報処理方法。
17. 監視対象の状態が異常であることを示す異常検知通知を受け付ける受付手順と、
    第１の異常検知通知を受け付けた第１の時刻を開始時刻とする第１の抑制時間内に前記第１の異常検知通知とは異なる第２の異常検知通知を受け付けた場合は、前記第２の異常検知通知の出力を抑制し、
    前記第１の抑制時間内に前記監視対象の状態が異常から回復したことを示す回復検知通知を受け付けた場合は、前記回復検知通知を受け付けた後に前記第２の異常検知通知を受け付けないことを条件として、前記第１の抑制時間の経過後に前記回復検知通知を出力する出力制御手順と、
    をコンピュータに実行させる情報処理プログラム。
18. 監視対象の状態が異常であることを示す異常検知通知を受け付ける受付手順と、
    第１の抑制時間内に複数の異常検知通知を受け付けた場合は、前記複数の異常検知通知の出力を抑制し、前記複数の異常検知通知それぞれの通知時間の合計が累積閾値時間以上であることを条件として、前記第１の抑制時間の経過後に第１の異常検知通知を出力する出力制御手順と、
    をコンピュータに実行させる情報処理プログラム。
19. 監視対象の状態が異常であることを示す異常検知通知を受け付ける受付手段と、
    Ｎ（Ｎは自然数）回目に受け付けた異常検知通知である第Ｎの異常検知通知を受け付けた時刻である第Ｎの時刻を開始時刻とする第１の抑制時間内に前記第Ｎの異常検知通知とは異なる他の異常検知通知を受け付けた場合は、前記他の異常検知通知の出力を抑制し、前記第１の抑制時間に異常検知通知を抑制する処理を所定時間継続した後に、新たな異常検知通知を受け付けなかった場合は、前記第１の抑制時間よりも長い第２の抑制時間の経過後、または、前記第１の抑制時間に前記異常検知通知を抑制する処理を前記所定時間継続した後に、前記監視対象の状態が異常から回復したことを示す回復検知通知を出力する出力制御手段と、
    をコンピュータに実行させる情報処理プログラム。

Images