JP2024041512A - 異常検知装置、方法およびプログラム - Google Patents

Abstract

【課題】異常の早期検知と誤検知の抑制を両立する異常検知装置を提供する。【解決手段】異常検知装置は、予測部と、仮検知部と、特徴量算出部と、第２閾値設定部と、検知部と、を備える。予測部は、監視対象システムに設置された複数のセンサの測定値を入力すると前記測定値の予測値を出力する第１関数に基づいて、監視対象時刻の予測値を生成する。仮検知部は、前記測定値と前記予測値との偏差が前記第１閾値を超えたことを仮検知する。第２閾値設定部は、前記測定値の時間変化に関する特徴量と、前記特徴量を入力すると第２閾値を出力する第２関数に基づいて、第２閾値を設定する。検知部は、監視対象時刻における前記仮検知の連続回数が前記第２閾値以上であるか否かを判定することにより前記監視対象システムの異常または当該異常の予兆を検知し、当該検知結果に関する検知信号を生成する。【選択図】図１

Description

本発明の実施形態は、異常検知装置、方法およびプログラムに関する。

発電プラントや水処理プラントに用いられるインフラシステムや、製造装置に用いられるシステムは、複数の機器から構成される。インフラシステムが停止した場合、社会機能に悪影響を与えることがある。また、製造装置のシステムが停止した場合、経済的損失を生むことがある。このため、これらのシステムを健全な状態に保つことが重要である。

システムの故障を未然に防ぐため、あるいは、故障後にできるだけ早くシステムを復旧するためには、システムを監視する必要がある。システムを監視するため、１つ以上のセンサがシステム内の各所に設置される場合が多い。そして、設置した１つ以上のセンサの測定値を利用することにより、システムの状態を監視できる。しかし、システムの規模が大きかったり、システムが複雑だったりすると、監視に必要なセンサの数が多くなる。この場合、限られた人数で全てのセンサを同時に監視するのは困難である。

このような課題に対し、システムの監視を補助または自動化する異常検知装置が知られている。このような異常検知装置では、例えば、正常な状態で測定されたセンサの測定値から生成した近似式を用いて予測値を生成し、測定値が予測値から連続して乖離する回数が所定の閾値に達した場合に、異常を検知したとみなす方法が用いられる。このような方法により、システムの正常な挙動を誤って異常とみなして検知する誤検知が抑制される。

しかし、ここで注意すべきは、異常の早期の検知と誤検知の抑制が、二律背反の関係にあることである。センサや時刻によらず連続回数に関する閾値を一律で小さく設定すると、異常を早期に検知できるものの、誤検知が多くなる。逆に、センサや時刻によらず連続回数に関する閾値を一律で大きく設定すると、誤検知を減らせるものの、異常を早期に検知できなくなる。

特開２０２０－２０１６８３号公報

本発明が解決しようとする課題は、異常の早期検知と誤検知の抑制を両立する異常検知装置、方法、および、プログラムを提供することである。

このような課題を解決するため、実施形態の異常検知装置は、測定値取得部と、第１関数取得部と、第２関数取得部と、予測部と、仮検知部と、カウンター部と、特徴量算出部と、第２閾値設定部と、検知部と、を備える。測定値取得部は、監視対象システムに設置された複数のセンサの測定値を取得する。第１関数取得部は、前記測定値を入力すると前記測定値の予測値を出力する第１関数を取得する。第２関数取得部は、前記測定値の時間変化に関する特徴量を入力すると第２閾値を出力する第２関数を取得する。予測部は、監視対象時刻に取得した測定値と前記第１関数に基づいて、前記予測値を生成する。仮検知部は、前記測定値と前記予測値との偏差が前記第１閾値を超えたことを仮検知し、当該仮検知結果に関する仮検知信号を生成する。カウンター部は、前記仮検知信号に基づいて、監視対象時刻における前記仮検知の連続回数をカウントする。特徴量算出部は、前記測定値に基づいて、前記特徴量を算出する。第２閾値設定部は、前記特徴量と前記第２関数に基づいて、第２閾値を設定する。検知部は、前記連続回数が前記第２閾値以上であるか否かを判定することにより前記監視対象システムの異常または当該異常の予兆を検知し、当該検知結果に関する検知信号を生成する。

第１の実施形態に係る異常検知装置の構成の一例を示す図 第１の実施形態に係る異常検知装置による異常検知処理の処理手順を例示するフローチャート 第１の実施形態に係る異常検知装置による予測値の時間変化の一例を示す図 第１の実施形態に係る異常検知装置による偏差の時間変化の一例を示す図 第４の変形例に係る異常検知装置の構成の一例を示す図 第４の変形例に係る異常検知装置による特徴量の時間変化の一例を示す図 第５の変形例に係る異常検知装置の構成の一例を示す図 第６の変形例に係る異常検知装置の構成の一例を示す図 第６の変形例に係る異常検知装置に用いられる特徴量の頻度分布の一例を示す図 図９の頻度分布に閾値を重畳表示した一例を示す図 第７の変形例に係る異常検知装置の構成の一例を示す図 第７の変形例に係る異常検知装置による第２閾値の時間変化の一例を示す図 第２の実施形態に係る異常検知装置に用いられる特徴量の頻度分布の一例を示す図 図１３の頻度分布に閾値を重畳表示した一例を示す図

以下、図面を参照しながら、異常検知装置、方法およびプログラムの実施形態について詳細に説明する。以下の説明において、略同一の機能及び構成を有する構成要素については、同一符号を付し、重複説明は必要な場合にのみ行う。

（第１の実施形態）
図１は、第１の実施形態に係る異常検知装置１００の構成を示す図である。異常検知装置１００は、ネットワーク等を介して、監視対象のシステムに接続されている。異常検知装置１００は、監視対象システムの異常または異常の予兆を検知する装置である。以下では、異常と異常の予兆を区別せずに異常と表記する。異常検知装置１００は、監視対象システムに設置された複数のセンサにおいて時々刻々と測定される測定値を取得して、システムの異常を検知する。そして、異常検知結果を示す信号をディスプレイ等の外部機器へ出力する。

ネットワークは、例えば、ＬＡＮ（Local Area Network）である。なお、ネットワークへの接続は、有線接続、及び無線接続を問わない。また、ネットワークはＬＡＮに限定されず、インターネットや公衆の通信回線等であっても構わない。

異常検知装置１００は、異常検知装置１００全体を制御する処理回路と、記憶媒体（メモリ）と、を備える。処理回路は、記憶媒体内のプログラムを呼び出し実行することにより、第１関数取得部１０１、第１閾値取得部１０２、測定値取得部１０４、第２関数取得部１０３、予測部１０５、仮検知部１０６、カウンター部１０７、特徴量算出部１０８、第２閾値設定部１０９及び検知部１１０の機能を実行するプロセッサである。処理回路は、ＣＰＵ（Central Processing Unit）、ＡＳＩＣ（Application Specific Integrated Circuit）又はＦＰＧＡ（Field Programmable Gate Array）等を含む集積回路から形成される。プロセッサは、１つの集積回路から形成されてもよく、複数の集積回路から形成されてもよい。

記憶媒体には、プロセッサで用いられる処理プログラム、及び、プロセッサでの演算で用いられるパラメータ及びテーブル等が記憶される。記憶媒体は、種々の情報を記憶するＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、集積回路等の記憶装置である。また、記憶装置は、ＨＤＤやＳＳＤ等以外にも、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、フラッシュメモリ等の可搬性記憶媒体であってもよく、フラッシュメモリ、ＲＡＭ（Random Access Memory）等の半導体メモリ素子等との間で種々の情報を読み書きする駆動装置であってもよい。

なお、第１関数取得部１０１、第１閾値取得部１０２、第２関数取得部１０３、測定値取得部１０４、予測部１０５、仮検知部１０６、カウンター部１０７、特徴量算出部１０８、第２閾値設定部１０９及び検知部１１０が有する各機能は、単一の処理回路にて実現されてもよく、複数の独立したプロセッサを組み合わせて処理回路を構成し、各プロセッサがプログラムを実行することにより各機能を実現するものとしても構わない。また、第１関数取得部１０１、第１閾値取得部１０２、第２関数取得部１０３、測定値取得部１０４、予測部１０５、仮検知部１０６、カウンター部１０７、特徴量算出部１０８、第２閾値設定部１０９及び検知部１１０が有する各機能は、個別のハードウェア回路として実装してもよい。

第１関数取得部１０１は、第１関数を取得し、取得した第１関数を予測部１０５に送る。第１関数は、異常検知装置１００の外部から後述の測定値を入力すると、後述の予測値を出力する関数である。第１関数としては、例えば、機械学習で生成された学習済みモデルが表す関数が用いられる。具体的には、第１関数は、例えば、監視対象システムに設置された複数のセンサ（以下、監視対象センサと呼ぶ）の測定値の履歴データから生成された機械学習モデルである。機械学習方式としては、例えば、線型回帰、多項式回帰、リッジ回帰、カーネルリッジ回帰、サポートベクター回帰、決定木回帰、ランダムフォレスト回帰、ニューラルネットワーク等、様々なものが知られている。ニューラルネットワークには、オートエンコーダや深層学習が含まれる。

第１閾値取得部１０２は、異常検知装置１００の外部から、監視対象センサに対する第１閾値を取得し、仮検知部１０６に送る。第１閾値は、測定値と予測値との偏差に対して後述の仮検知を行う際に用いる閾値である。

第２関数取得部１０３は、異常検知装置１００の外部から第２関数を取得し、取得した第２関数を第２閾値設定部１０９に送る。第２関数は、測定値に基づいて算出される後述の特徴量を入力すると後述の第２閾値を出力する関数である。

測定値取得部１０４は、異常検知装置１００の外部から、監視対象システムに設置された複数のセンサの測定値を取得する。具体的には、測定値取得部１０４は、監視するシステムに設置された各センサの測定値を含む情報（以下、測定値データと呼ぶ）を取得する。測定値データは、監視するシステムに設置された複数のセンサにおいて時々刻々と測定される時系列データである。測定値データの取得間隔は、センサのサンプリング間隔や異常検知装置１００の処理速度に応じて定めることが好ましい。測定値データの取得間隔は、例えば、１分や１０分等である。監視対象時刻付近の複数の時刻の測定値を扱うために、測定値取得部１０４の内部にメモリを設けても良い。

測定値取得部１０４は、各測定値を要素に持つベクトルを生成し、生成したベクトルを予測部１０５に送る。このベクトルは、予測部１０５における後述の予測処理に用いられる。また、測定値取得部１０４は、各測定値を要素に持つベクトルを生成し、生成したベクトルを仮検知部１０６に送る。このベクトルは、仮検知部１０６における後述の仮検知処理に用いられる。また、測定値取得部１０４は、各測定値を要素に持つベクトルを生成し、生成したベクトルを特徴量算出部１０８に送る。このベクトルは、特徴量算出部１０８における後述の特徴量の算出に用いられる。

予測部１０５は、測定値と第１関数に基づいて、予測値を生成する。具体的には、予測部１０５は、測定値取得部１０４から取得した各センサの監視対象時刻における測定値を第１関数取得部１０１から取得した第１関数に入力することにより、第１関数から出力された各センサの予測値を取得する。予測部１０５は、生成した予測値を仮検知部１０６に送る。

仮検知部１０６は、測定値と予測値との偏差が第１閾値を超えたことを仮検知し、当該仮検知結果に関する仮検知信号を生成する。仮検知とは、最終的な異常検知を行う前に、測定値が異常の候補であるか否かを仮に検知することである。仮検知部１０６は、測定値取得部１０４から取得した測定値のベクトルと、予測部１０５から取得した予測値とを用いて測定値と予測値との偏差を各センサについて算出し、算出した偏差と第１閾値取得部１０２から取得した第１閾値に基づいて、測定値が異常の候補であるか否かを監視対象センサのそれぞれについて判定する。測定値が異常の候補であると判定した場合、測定値が異常の候補であることを表す信号（以下、仮検知信号と呼ぶ）を生成し、生成した仮検知信号をカウンター部１０７に送る。

カウンター部１０７は、仮検知信号に基づいて、監視対象時刻における仮検知の連続回数をカウントする。具体的には、カウンター部１０７は、仮検知部１０６から取得した仮検知信号を経時的に記憶しておき、監視対象時刻までに連続して測定値が異常の候補であると判定された回数を算出する。その後、カウンター部１０７は、算出した回数を連続回数として検知部１１０に送る。

特徴量算出部１０８は、測定値に基づいて、測定値の時間変化に関する特徴量を算出する。具体的には、特徴量算出部１０８は、測定値取得部１０４から取得した各センサの測定値に基づいて、測定値の時間変化に関する特徴量を各センサについて算出する。特徴量としては、例えば、測定値の微分値、測定値の微分値の絶対値、測定値の微分値の累積値、または、測定値の微分値の絶対値の累積値等を用いることができる。特徴量算出部１０８は、算出した特徴量を第２閾値設定部１０９に送る。

第２閾値設定部１０９は、特徴量と第２関数に基づいて、第２閾値を設定する。具体的には、第２閾値設定部１０９は、第２関数取得部１０３から取得した第２関数と、特徴量算出部１０８から取得した特徴量に基づいて、各センサについて第２閾値を設定する。第２閾値設定部１０９は、センサ毎に設定した第２閾値を検知部１１０に送る。

第２関数は、第１関数として用いられる学習済みモデルの学習に用いられる訓練データとして正常パターンのデータを充分に準備できないパターンに対して、第２閾値が大きく設定される関数である。第２関数は、学習済みモデルの訓練に利用した測定値の集合である訓練データに基づいて計算された特徴量の頻度分布に基づいて、第１の頻度を有する特徴量が入力されると第２閾値として第１の値を出力し、第１の頻度よりも小さい第２の頻度を有する特徴量が入力されると第２閾値として第１の値以上の第２の値を出力する。また、第２関数から出力される第２閾値は、第２関数への入力である特徴量の頻度分布における頻度に応じて２種類以上の値をとるように設計される。

例えば、発電プラントや水処理プラントなどのプラントや、製造装置に対して用いられる監視対象システムでは、定常運転が支配的である場合が多い。この場合の運転は定常的であるため、測定値の時間変化が大きいタイミングが少ない。よって、この場合向けの第２関数は、測定値の時間変化が大きいときに第２閾値が大きく設定される関数として設計すると良い。測定値の時間変化が大きいことは特徴量またはその絶対値が大きいことと対応している。特徴量またはその絶対値が大きいほど、訓練データにおける頻度が小さい性質がわかっているため、この性質を利用し、第２関数としては、入力される特徴量またはその絶対値が小さい場合に、第２閾値として大きい値を出力するような関数が用いられる。この場合、第２関数は、第１の特徴量が入力されると第２閾値として第１の値を出力し、第１の特徴量よりも大きい第２の特徴量が入力される、あるいは、第１の特徴量の絶対値よりも絶対値が大きい第２の特徴量が入力されると、第２閾値として第１の値以上の第２の値を出力する。このため、第２閾値設定部１０９は、特徴量算出部１０８から取得した特徴量またはその絶対値が小さいほど、第２閾値として大きい値を設定する。

なお、第２関数は、入力された特徴量が所定の閾値よりも小さい場合に大きい値を出力し、入力された特徴量が所定の閾値以上である場合に小さい値を出力するような出力が２種類の関数であってもよく、入力された特徴量の大きさに応じて３種類以上の値を出力するような関数であってもよい。

検知部１１０は、カウンター部１０７から取得した連続回数と第２閾値設定部１０９から取得した第２閾値から、監視対象センサに対する検知信号を生成し、生成した検知信号を異常検知装置１００の外部に出力する。例えば、検知部１１０は、連続回数が第２閾値以上であるか否かを判定することにより監視対象システムの異常を検知し、当該検知結果に関する検知信号を生成する。

次に、異常検知装置１００により実行される処理の動作について説明する。図２は、異常検知処理の手順の一例を示すフローチャートである。異常検知処理は、監視対象のシステムに設置された監視対象センサから得られるセンサ値に基づいてシステムの異常を検知する処理である。なお、以下で説明する各処理における処理手順は一例に過ぎず、各処理は可能な限り適宜変更可能である。また、以下で説明する処理手順について、実施の形態に応じて、適宜、ステップの省略、置換、及び追加が可能である。

なお、ステップＳ２０１からステップＳ２０３までの処理は、監視対象時刻において異常の検知を実行する前に予め実行される処理である。一方、ステップＳ２０４からステップＳ２１１までの処理は、監視対象時刻において異常を検知する処理である。ステップＳ２０４からステップＳ２１１までの処理は、例えば、所定の時間間隔で実行される。この時間間隔は、測定値を取得する間隔でもあるため、以降、サンプリング間隔と呼ぶ。このサンプリング間隔は、Ｎ個の監視対象センサのうち多くの監視対象センサの測定値の傾向を把握しやすいように、各監視対象センサの測定値のトレンドグラフにおいて値が過剰に急激には変化しない程度の時間間隔に設定される場合が多い。監視対象時刻や各部の同期は、処理回路により制御される。

（異常検知処理）
（ステップＳ２０１）
第１関数取得部１０１は、異常検知装置１００の外部から、後述の測定値を入力すると、後述の予測値を出力する第１関数を取得し、予測部１０５に送る。ここでは、第１関数をｆで表す。第１関数ｆは、例えば、監視対象システムに設置された複数のセンサの測定値の履歴データから生成された機械学習モデルである。機械学習モデルｆを訓練する際には、例えば、履歴データから後述のｘとｙの組からなる訓練データを生成し、その訓練データから、ｆ（ｘ）のｙに対する二乗誤差の総和Ｅが最小になるように機械学習モデルｆを学習させる。二乗誤差の総和Ｅは、以下の式（１）を用いて算出される。

式（１）において、||・||は、ベクトルのＬ２ノルムを表す。Ｄは、訓練データに含まれるｘとｙの組の数を表す。ｘとｙの添え字ｉは、その組の番号を表し、ｉ＝１，２，…，Ｄである。

（ステップＳ２０２）
第１閾値取得部１０２は、異常検知装置１００の外部から、Ｎ個の監視対象センサに対する第１閾値を取得し、仮検知部１０６に送る。監視対象の各センサに対する第１閾値をＮ次元ベクトルｊで表す。また、ベクトルｊのｎ（ｎ＝１，２，…，Ｎ）番目の要素をｊ_ｎで表す。ｊ_ｎは、ｎ番目の監視対象センサに対する第１閾値を表す。

（ステップＳ２０３）
第２関数取得部１０３は、異常検知装置１００の外部から、特徴量を入力すると第２閾値を出力する第２関数を取得し、第２閾値設定部１０９に送る。ここでは、第２関数をｇで表す。第２関数ｇは、後述の第２閾値ｋを生成するための関数である。第２関数ｇは、例えば、以下の式（２）を満たすベクトル値関数である。

式（２）において、・^Ｔは、行列やベクトルの転置を表す。ｇ_ｎは、特徴量ｖを入力すると第２閾値ｋ_ｎ（ｎ＝１，２，…，Ｎ）を出力する関数である。第２閾値ｋ_ｎ、特徴量ｖ、関数ｇ_ｎについては後述する。

（ステップＳ２０４）
測定値取得部１０４は、異常検知装置１００の外部から、監視対象システムに設置された複数のセンサの測定値を取得する。その後、測定値取得部１０４は、予測部１０５における後述の予測処理に必要な各測定値を要素に持つベクトルｘを予測部１０５に送る。また、測定値取得部１０４は、仮検知部１０６における後述の仮検知処理に必要な各測定値を要素に持つベクトルｙを仮検知部１０６に送る。また、測定値取得部１０４は、特徴量算出部１０８における後述の特徴量の算出に必要な各測定値を要素に持つベクトルｚを特徴量算出部１０８に送る。監視対象時刻付近の複数の時刻の測定値を扱うために、測定値取得部１０４の内部にメモリを設けても良い。

予測部１０５における予測処理において参照する測定値について、センサの数をＭで表し、参照する時間前の長さをＷで表す。この場合、ベクトルｘの次元数は、ＭＷである。ベクトルｘの時間窓には、監視対象時刻が含まれていても、含まれていなくても良い。

ベクトルｙは、監視対象時刻におけるＮ個の監視対象センサの測定値を要素に持つＮ次元ベクトルである。ベクトルｙのｎ（ｎ＝１，２，…，Ｎ）番目の要素をｙ_ｎで表す。ｙ_ｎは、監視対象時刻におけるｎ番目の監視対象センサの測定値を表す。

ベクトルｚは、監視対象時刻付近におけるＮ個の監視対象センサの測定値を要素に持つＮＵ次元ベクトルである。ここで、Ｕは、監視対象時刻付近における時間窓の長さを表す。ｚの時間窓には、監視対象時刻が含まれる。

（ステップＳ２０５）
予測部１０５は、第１関数ｆと測定値のベクトルｘから、監視対象時刻におけるＮ個の監視対象センサの測定値の予測値を要素に持つＮ次元ベクトルｆ（ｘ）を生成する。ここで、ベクトルｆ（ｘ）のｎ（ｎ＝１，２，…，Ｎ）番目の要素をｆ_ｎで表す。ｆ_ｎは、監視対象時刻におけるｎ番目の監視対象センサの予測値を表す。予測部１０５は、予測値のベクトルｆ（ｘ）を仮検知部１０６に送る。

（ステップＳ２０６）
仮検知部１０６は、測定値のベクトルｙ、予測値のベクトルｆ（ｘ）、および、第１閾値ｊに基づいて、Ｎ個の監視対象センサのそれぞれについて、測定値が異常の候補であるか否かを表す仮検知信号を生成し、生成した仮検知信号をカウンター部１０７に送る。ここで、仮検知信号をＮ次元ベクトルｃで表す。ベクトルｃのｎ（ｎ＝１，２，…，Ｎ）番目の要素をｃ_ｎで表す。ｃ_ｎは、ｎ番目の監視対象センサの仮検知信号を表す。ｃ_ｎは、例えば、以下の式（３）を用いて算出される。

（ステップＳ２０７）
カウンター部１０７は、仮検知信号のベクトルｃに基づいて、Ｎ個の監視対象センサのそれぞれについて、仮検知の連続回数を数え、検知部１１０に送る。仮検知の連続回数は、監視対象時刻までに仮検知が連続して検知された回数である。ここで、Ｎ個の監視対象センサの仮検知の連続回数をＮ次元ベクトルｒで表す。ベクトルｒのｎ（ｎ＝１，２，…，Ｎ）番目の要素をｒ_ｎで表す。ｒ_ｎは、ｎ番目の監視対象センサの仮検知の連続回数を表す。監視対象時刻において、ｃ_ｎが０であれば、ｒ_ｎも０とする。また、監視対象時刻において、ｃ_ｎが１であれば、監視対象時刻から過去にさかのぼってｃ_ｎが何回連続で１だったかを数えた結果をｒ_ｎとする。仮検知の連続回数を数えるには、仮検知信号のベクトルｃの履歴データが必要である。その履歴データの保持のために、カウンター部１０７の内部にメモリを設けても良い。

（ステップＳ２０８）
特徴量算出部１０８は、測定値のベクトルｚから、Ｎ個の監視対象センサの測定値の時間方向の変化を表す特徴量を算出し、第２閾値設定部１０９に送る。Ｎ個の監視対象センサの特徴量をベクトルｖで表す。

（ステップＳ２０９）
第２閾値設定部１０９は、第２関数ｇと特徴量のベクトルｖから、Ｎ個の監視対象センサに対する第２閾値を設定し、検知部１１０に送る。ここで、Ｎ個の監視対象センサに対する第２閾値を、Ｎ次元ベクトルｋで表す。ベクトルｋのｎ（ｎ＝１，２，…，Ｎ）番目の要素をｋ_ｎで表す。ｋ_ｎは、ｎ番目の監視対象センサに対する第２閾値を表す。ベクトルｋは、ｋ＝ｇ（ｖ）によって計算される。

（ステップＳ２１０）
検知部１１０は、連続回数のベクトルｒと第２閾値のベクトルｋから、Ｎ個の監視対象センサに対する検知信号を生成し、異常検知装置１００の外部に出力する。Ｎ個の監視対象センサに対する検知信号を、Ｎ次元ベクトルｄで表す。ベクトルｄのｎ（ｎ＝１，２，…，Ｎ）番目の要素をｄ_ｎで表す。ｄ_ｎは、ｎ番目の監視対象センサに対する検知信号を表す。ｄ_ｎは、例えば、以下の式（４）を用いて算出される。

式（４）において、ｄ_ｎが１であることは、ｎ番目の監視対象センサが異常として検知されたことを表す。また、ｄ_ｎが０であることは、ｎ番目の監視対象センサが異常として検知されなかったことを表す。

（ステップＳ２１１）
異常検知装置１００は、異常検知処理を継続するか否かを判定する。例えば、監視対象システムに対する検査や補修を行う場合、または、異常検知装置１００をメンテナンスする場合に、異常検知処理を継続しないと判定する。異常検知処理を継続する場合（ステップＳ２１１－Ｙｅｓ）、処理はステップＳ２０４に戻り、ステップＳ２０４からステップＳ２１１までの処理を繰り返し実行する。異常検知処理を継続しない場合（ステップＳ２１１－Ｎｏ）、異常検知処理を終了する。

異常検知処理では、以上の処理により、各監視対象時刻において、検知信号のベクトルｄが生成される。すなわち、各監視対象時刻において、各監視対象センサの異常が検知される。

（特徴量の具体例）
ここで、特徴量ｖの具体例について詳しく説明する。
特徴量ｖは、測定値の時間変化に関し、測定値の時間変化が相対的に激しい時期を特定するために計算される。特徴量ｖは、例えば、Ｎ個のベクトルａ_ｎ（ｎ＝１，２，…，Ｎ）を連結したベクトルである。

ベクトルａ_ｎは、例えば、測定値のベクトルｚのうちのｎ番目の監視対象センサの測定値の要素を抽出したＵ次元ベクトルを用いて算出される。ベクトルａ_ｎは、例えば、前述のＵ次元ベクトルを微分することにより算出される。微分ステップが１の場合、ａ_ｎは（Ｕ－１）次元ベクトルであり、Ｎ個のａ_ｎを連結したｖは、Ｎ（Ｕ－１）次元ベクトルである。微分ステップが（Ｕ－１）の場合、ａ_ｎは１次元ベクトル、すなわち、スカラーであり、Ｎ個のａ_ｎを連結したｖはＮ次元ベクトルである。微分ステップは、１やＵ－１以外の値でも構わない。この場合も、Ｎ個のａ_ｎを連結したベクトルｖが、測定値の時間変化を表す特徴量になる。

ａ_ｎは、前述のＵ次元ベクトルの微分値の絶対値を用いて算出しても構わない。この場合も、Ｎ個のａ_ｎを連結したベクトルｖが測定値の時間変化を表す特徴量になる。

また、ａ_ｎは、前述の微分値や微分値の絶対値を時間方向に累積したスカラーとしても構わない。この場合も、Ｎ個のａ_ｎを連結したベクトルｖが測定値の時間変化を表す特徴量になる。また、ａ_ｎを計算する際、第１関数ｆに入力する測定値のベクトルｘを参照すると実装しやすい。そこで、微分値や微分値の絶対値を時間方向に累積する際の累積期間は、第１関数ｆに入力する測定値のベクトルｘの時間窓長以下にすることが好ましい。

ｖは、Ｎ個のａ_ｎを連結したベクトルのＬ１ノルムであっても構わない。この場合、特徴量ｖは、スカラーである。この場合も、ｖが測定値の時間変化を表す特徴量になる。

（第２関数の具体例）
次に、第２関数ｇの具体例について詳しく説明する。
第２関数ｇは、特徴量から、第２閾値を決定する関数である。ｖがベクトルの場合、ｇを定める関数ｇ_ｎは、例えば、以下の式（５）を用いて算出される。

式（５）において、||・||_１は、ベクトルのＬ１ノルムを表す。ｂ_ｎは、正の定数である。ε_ｎは、正の定数である。定数ε_ｎの役割は、関数ｇ_ｎの出力値が発散するのを防止することである。この関数ｇ_ｎでは、ベクトルｖのＬ１ノルム||ｖ||_１が小さいほど、大きな値が出力される。また、ｋ_ｎ＝ｇ_ｎ（ｖ）であるため、ベクトルｖのＬ１ノルム||ｖ||_１が小さいほど、ｎ番目の監視対象センサの第２閾値ｋ_ｎの値が大きくなる。

ａ_ｎを計算するための微分のステップが１の場合、ａ_ｎは（Ｕ－１）次元ベクトルであり、ｖはＮ（Ｕ－１）次元ベクトルである。この場合、||ａ_ｎ||_１は、ｎ番目の監視対象センサに対して微分ステップ１で微分した微分値の絶対値の累積値を表し、以下の式（６）が成り立つ。

ｋ_ｎ＝ｇ_ｎ（ｖ）と式（５）、（６）より、微分ステップが１の場合、ｋ_ｎは、微分値の絶対値の累積値の総和||ｖ||_１が小さいほど大きな値をとる。

ａ_ｎを計算するための微分のステップが（Ｕ－１）の場合、ａ_ｎは１次元ベクトル、すなわち、スカラーである。この場合、||ａ_ｎ||_１＝|ａ_ｎ|が成り立ち、||ａ_ｎ||_１は、微分ステップＵ－１でｎ番目の監視対象センサを微分した際の微分値の絶対値を表し、以下の式（７）が成り立つ。

式（７）において、|・|は、スカラーの絶対値を表す。ｋ_ｎ＝ｇ_ｎ(ｖ)と式（５）、（７）より、微分ステップが（Ｕ－１）の場合、ｋ_ｎは、微分値の絶対値の総和||ｖ||_１が小さいほど大きな値をとる。

微分ステップによってｖや||ｖ||_１が変化するものの、ｖや||ｖ||_１が監視対象センサの時間変化の大きさを表す特徴量である点は同じである。したがって、この関数ｇ_ｎの場合、微分ステップによらず、ｋ_ｎは監視対象センサの時間変化が小さいほど大きな値をとる。このように、監視対象センサの測定値が急激に変化する時刻での第２閾値が、他の時刻での第２閾値よりも大きくなるように自動で制御される。

前述したように、第２関数としては、他の様々な関数が採用されて構わない。ただし、第２関数には制約がある。具体的には、第２関数は、第１関数として用いられる学習済みモデルの学習に用いられる訓練データとして正常パターンのデータを充分に準備できないパターンに対して、第２閾値が大きく設定される関数である必要がある。例えば、発電プラントや水処理プラントなどのプラントや、製造装置に対して用いられる監視対象システムでは、定常運転が支配的であるため、第２関数は、測定値の時間変化が多いときに第２閾値が大きく設定される関数である必要がある。すなわち、第２関数は、学習済みモデルの訓練に利用した測定値の集合である訓練データに基づいて計算された特徴量の頻度分布に基づいて、第１の頻度を有する特徴量が入力されると第２閾値として第１の値を出力し、第１の頻度よりも小さい第２の頻度を有する特徴量が入力されると第２閾値として第１の値以上の第２の値を出力する。また、第２閾値は、第２関数への入力である特徴量の頻度分布における頻度に応じて２種類の値をとるように設計されている。

（第１の実施形態の効果）
以下、本実施形態に係る異常検知装置１００の効果について説明する。

（誤検知の発生原理）
まず、本実施形態において抑制できる誤検知の発生原理について説明する。
我々発明者らは、誤検知には、特定の発生パターンと、その発生パターンの発生原理が存在することを発見した。すなわち、我々発明者らは、ある誤検知についての発生原理を発見した。

図３及び図４は、誤検知の特定の発生パターンを説明するための図である。図３は、ｎ番目の監視対象センサの測定値ｙ_ｎと予測値ｆ_ｎのトレンドグラフである。図３の横軸は時刻を表し、図３の縦軸は測定値及び予測値を表す。図３の実線は、測定値ｙ_ｎの時間推移を表す。図３の破線は、予測値ｆ_ｎの時間推移を表す。図３は、正常な挙動として上下に変動している場合の測定値ｙ_ｎの時間推移を示している。図４は、監視対象センサの測定値ｙ_ｎと予測値ｆ_ｎとの偏差（ｙ_ｎ－ｆ_ｎ）のトレンドグラフである。図４の横軸は図３と同期した時刻を表し、図４の縦軸は偏差を表す。図４の実線は、偏差（ｙ_ｎ－ｆ_ｎ）の時間推移を表す。図４の上側の破線は、第１閾値ｊ_ｎを表し、図４の下側の破線は、第１閾値ｊ_ｎを－１倍したものを表す。

上述したように、図３は、測定値ｙ_ｎの正常な挙動を示している。このため、図４の偏差が第１閾値を超えた際に異常として検知した場合、その検知は誤検知となる。図３及び図４に示すように、図４における偏差が第１閾値を超えている時期は、図３における測定値の時間変化が相対的に激しい時期と同期していることがわかる。したがって、測定値の時間変化が相対的に激しい時期に誤検知が発生しやすいという発生パターンが存在することが分かる。

また、図３及び図４に示すように、図４における偏差が第１閾値を超えている時期は、図３における予測値の変化が測定値の変化に追従していないことがわかる。したがって、予測値が測定値に追従していない時期に誤検知が発生しやすいという発生パターンが存在することが分かる。

前述の通り、第１関数ｆは、例えば、二乗誤差の総和Ｅを最小化することで学習される。よって、第１関数ｆの学習に用いられる訓練データにおいて出現頻度が低い入力ｘ_ｌに対する予測値ｆ（ｘ_ｌ）の二乗誤差（＝||ｆ（ｘ_ｌ）－ｙ_ｌ||^２）は、訓練データにおいて出現頻度が高い入力ｘ_ｈに対する予測値ｆ（ｘ_ｈ）の二乗誤差（＝||ｆ（ｘ_ｈ）－ｙ_ｈ||^２）よりも大きくなる。ここで、入力ｘ_ｌの「ｌ」と、入力ｘ_ｈの「ｈ」は、インデックスを表す。

前述の通り、監視対象センサのサンプリング間隔は、Ｎ個のセンサのうち多くの監視対象センサの測定値のトレンドグラフにおいて、値が急激に変化しない程度の時間間隔に設定される場合が多い。したがって、履歴データには、測定値が急激に変化する時刻が多くないセンサが多い。訓練データは履歴データから作成される。このため、訓練データにおいて、測定値が急激に変化する時刻が多くない監視対象センサが多くなる。したがって、監視対象システムが正常な状態における予測値ｆ（ｘ）の二乗誤差（＝||ｆ（ｘ）－ｙ||^２）は、監視対象センサの測定値が急激に変化する時刻において大きくなりがちである。図４において、測定値の時間変化が相対的に激しい時期に予測値ｆ_ｎが測定値ｙ_ｎに追従せず、偏差の絶対値|ｙ_ｎ－ｆ_ｎ|が大きくなったのは、このためである。監視対象システムが正常であるにも関わらず、予測値ｆ_ｎが測定値ｙ_ｎに追従しない場合、各監視対象センサについて、測定値の予測値からの偏差が大きくなる。そのため、偏差の絶対値が第１閾値を超えやすくなり、仮検知が生じやすくなる。その結果、誤検知が生じやすくなる。これが、我々発明者が発見した誤検知の発生原理である。

発電プラントや水処理プラントなどのプラントや、製造装置に対して用いられる監視対象システムでは、定常運転が支配的であるため、監視対象センサの多くは、測定値が急激に変化する時刻が少なくなる。このため、第１関数として用いられる学習済みモデルの学習に用いられる訓練データにおいて、急激に変化する測定値の出現頻度が低くなる。言い換えると、急激に変化する測定値のデータが正常パターンのデータとして充分に準備できない。このため、測定値の時間変化が相対的に激しい時期において、学習済みモデルから出力される予測値が測定値に追随しにくくなり、誤検知が生じやすくなる性質があることがわかる。本実施形態の異常検知装置１００は、この性質を利用して誤検知を抑制する。

（本実施形態の構成及び効果）
本実施形態の異常検知装置１００は、監視対象システムに設置された複数のセンサの測定値と、第１関数と、第２関数を取得する。第１関数は、測定値を入力すると測定値の予測値を出力する関数であり、例えば、機械学習で生成された学習済みモデルが表す関数である。第２関数は、測定値の時間変化に関する特徴量を入力すると第２閾値を出力する関数である。特徴量は、例えば、測定値の微分値、微分値の絶対値、微分値の累積値、または微分値の絶対値の累積値である。異常検知装置１００は、測定値と第１関数に基づいて予測値を生成し、測定値と予測値との偏差が第１閾値を超えたことを仮検知し、当該仮検知結果に関する仮検知信号を生成する。異常検知装置１００は、その後、仮検知信号に基づいて、監視対象時刻における仮検知の連続回数をカウントする。また、異常検知装置１００は、測定値に基づいて特徴量を算出し、特徴量と第２関数に基づいて、第２閾値を設定する。第２関数は、学習済みモデルの訓練に利用した測定値の集合である訓練データに基づいて計算された特徴量の頻度分布に基づいて、第１の頻度を有する特徴量が入力されると第２閾値として第１の値を出力し、第１の頻度よりも小さい第２の頻度を有する特徴量が入力されると第２閾値として第１の値以上の第２の値を出力することにより、第２閾値として、特徴量に応じて２種類以上の値を出力するように設計されている。そして、異常検知装置１００は、連続回数が第２閾値以上であるか否かを判定することにより監視対象システムの異常または当該異常の予兆を検知し、当該検知結果に関する検知信号を生成する。

従来技術においては、仮検知の連続回数に関する第２閾値が時刻にもセンサにもよらず一律で設定されていた。この場合、第２閾値を一律で大きく設定することにより、誤検知が抑制される。しかし、仮検知の連続回数が第２閾値を超えるまで異常として検知されないため、異常の検知タイミングが遅れる。逆に、第２閾値を一律で小さく設定すると、異常の検知タイミングの遅れを抑制できるものの、誤検知が抑制されない。

本実施形態では、第２閾値は、Ｎ個の監視対象センサの測定値の時間方向の変化を表す特徴量と、第２関数に応じて設定される。そして、監視対象センサの測定値が急激に変化する時刻での第２閾値が、他の時刻での第２閾値よりも大きくなるように自動で制御される。そのため、監視対象センサの測定値が急激に変化する時刻での誤検知が抑制される。監視対象センサの測定値が急激に変化しない時刻では、第２閾値の値が大きくならないため、異常検知タイミングが遅れない。監視対象センサの測定値が急激に変化する時刻は、相対的に少ないため、異常検知タイミングが遅れる可能性を最小限に抑制できる。したがって、本実施形態の異常検知装置１００によれば、異常の早期の検知と誤検知の抑制を両立できる。このように、訓練データにおいて稀な時間変化パターンを特定することで、誤検知を抑制することができる。

また、前述のように、測定値の時間変化が相対的に激しい時期は、訓練データにおいて稀な時間変化パターンであるため、誤検知が生じやすいことが分かった。上記構成により、本実施形態の異常検知装置１００によれば、監視対象センサの測定値が急激に変化する時刻を特徴量で特定し、当該時刻での第２閾値が他の時刻よりも大きくなるように、特徴量と第２関数を用いて第２閾値を自動で制御する。これにより、測定値の時間変化が相対的に激しい時期での第２閾値が大きくなり、測定値の時間変化が相対的に激しい時期において異常が検知されづらくなり、誤検知を抑制することができる。すなわち、誤検知が生じやすい期間において他の期間よりも第２閾値を大きくすることで、誤検知が生じやすい期間で異常が検知されづらくなり、誤検知を抑制することができる。

また、特徴量として微分値の累積値または微分値の絶対値の累積値を用いる場合、累積値の累積期間は、第１関数ｆに入力する測定値の時間窓長以下である。この場合、特徴量を計算する際に第１関数に入力する測定値のベクトルを参照することができるため、実装しやすくなる。

（第１の変形例）
第１の実施形態では、式（２）のように、第２関数ｇがｎ番目の監視対象センサの第２閾値ｋ_ｎが特徴量のベクトルｖに依存する場合について説明した。前述のように、特徴量ｖは、Ｎ個のベクトルａ_ｎ（ｎ＝１，２，…，Ｎ）を連結したベクトルである。第２閾値ｋ_ｎは、特徴量のベクトルｖのうちのベクトルａ_ｎにのみ依存しても構わない。この場合、第２関数ｇは、例えば、以下の式（８）を満たすベクトル値関数となる。

式（８）において、ａ_ｎは、ｎ番目の監視対象センサの時間変化を表す特徴量である。したがって、本変形例では、第２閾値ｋ_ｎは、ｎ番目の監視対象センサの時間変化を表す特徴量で決まるため、他の監視対象センサの時間変化を表す特徴量には依存しない。ｎ番目の監視対象センサの予測値ｆ_ｎは、他の監視対象センサではなく、自身の測定値の影響を最も強く受ける。そのため、本変形例でも、第１の実施形態と同様の効果が得られる。

（第２の変形例）
第１の実施形態では、監視対象システムが正常な状態における予測値ｆ（ｘ）の二乗誤差||ｆ(ｘ)－ｙ||^２が、監視対象センサの測定値が急激に変化する時刻において大きくなりがちな性質に基づいて、第２関数として、測定値の時間変化が多いときに第２閾値が大きく設定される関数を用いた。監視対象システムが正常な状態における監視対象センサの測定値が急激に変化する時刻において予測値ｆ（ｘ）の二乗誤差||ｆ(ｘ)－ｙ||^２が大きくなりがちな本質的な理由は、測定値が急激に変化する時刻のデータが訓練データにおいて少ないことである。本変形例では、第２関数として、学習済みモデルｆの訓練に利用した測定値の集合である訓練データから計算される特徴量の分布において頻度が低い特徴量が入力されると値が大きい第２閾値を出力する関数を用いる。

本変形例の第２関数ｇを定めるｇ_ｎは、例えば、以下の式（９）を用いて算出される。

式（９）において、Ｐは、入力される特徴量の頻度であり、特徴量のベクトルｖを入力すると訓練データから計算される特徴量の分布における頻度を出力する関数である。Ｐは、単純な経験分布により頻度を計算する関数であってもよく、カーネル密度推定を用いてノンパラメトリックに頻度を計算する関数であってもよく、混合ガウス分布を用いてパラメトリックに頻度を計算する関数であってもよい。α_ｎ及びβ_ｎは、正の定数であり、α_ｎ＞β_ｎの関係を満たす。τ_ｎは、頻度に関する閾値を表す。頻度は、０から１の値に正規化した確率で表現しても構わない。この場合、訓練データから計算される特徴量の分布において、頻度が低い特徴量が入力されると値がβ_ｎよりも大きいα_ｎがｇ_ｎ（ｖ）の出力となる。ｋ_ｎ＝ｇ_ｎ（ｖ）であるため、訓練データから計算される特徴量の分布において頻度が低い特徴量が入力されると、大きい値であるα_ｎが第２閾値ｋ_ｎとなる。

また、第２関数ｇは、例えば、以下の式（１０）で表されるガウス関数であってもよい。

式（１０）において、θ_ｎとσ_ｎは、ガウス関数の値が正のパラメータである。式（１０）に示す第２関数を用いた場合も、訓練データから計算される特徴量の分布において頻度が低い特徴量が入力されると値が大きな値がｇ_ｎ（ｖ）の出力となる。ｋ_ｎ＝ｇ_ｎ（ｖ）であるため、訓練データから計算される特徴量の分布において頻度が低い特徴量が入力されると、大きな値が第２閾値ｋ_ｎとなる。

本変形例は、第１の実施形態よりも広い範囲に適用することができる。第１の実施形態の方式では、訓練データから計算される特徴量の分布において、測定値の時間変化が大きいときの特徴量の頻度が低い場合に生じる誤検知を抑制する。一方、本変形例の方式では、測定値の時間変化量が大きいときに生じる誤検知に限られず、訓練データから計算される特徴量の分布において特徴量の頻度が低い場合に生じる誤検知を抑制することができる。また、第１の実施形態と同様に、第２閾値を大きくすることによって異常検知タイミングが遅れるリスクを最小限に抑制することができる。

（第３の変形例）
第２の変形例では、式（９）を用いてｇ_ｎを求めるため、ベクトルｖの次元が高い場合、Ｐ（ｖ）の計算時に次元の呪いの影響を受ける。その影響を排除するために、以下の式（１１）から式（１４）までのいずれかを用いてｇ_ｎを求めてもよい。この場合、時間変化に関する特徴量の次元を小さくすることができ、次元の呪いから解放される。ａ_ｎがスカラーの場合、次元の呪いの影響をさらに受けづらい。本変形例は、第１の変形例と第２の変形例の組み合わせになっている。このため、第１の変形例及び第２の変形例と同様の効果を得ることができる。

（第４の変形例）
図５は、第４の変形例に係る異常検知装置１００の構成を示す図である。本変形例の異常検知装置１００は、表示部１１１をさらに有する。実施形態と同様の構成、動作、及び効果については、説明を省略する。

本変形例では、特徴量算出部１０８は、算出した特徴量を第２閾値設定部１０９と表示部１１１に送る。

表示部１１１は、特徴量に基づいて特徴量のトレンドグラフを表示するための表示画面データを生成し、生成した表示画面データを外部のディスプレイ等に出力する。例えば、特徴量の時間変化を示すトレンドグラフを表示するための表示画面データが生成され、特徴量のトレンドグラフが外部のディスプレイ等に表示される。図６は、特徴量のトレンドグラフの一例を示す図である。図６は、図３及び図４と同じ監視対象センサの特徴量を示す図である。図６の横軸は、時刻であり、図３及び図４と同じ時刻に対応している。図６の縦軸は、特徴量である。また、図６は、特徴量として測定値の微分値を用いた場合の例である。

前述したように図３及び図４は、測定値及び偏差の正常な挙動を示している。このため、図４の偏差が第１閾値を超えた際に異常が検知された場合、その検知は誤検知となる。図４及び図６から分かる通り、偏差が第１閾値を超えたタイミングでは、特徴量である微分値の絶対値が大きい場合が多い。すなわち、誤検知が起きるタイミングでは、特徴量である微分値の絶対値が大きい場合が多い。

本変形例では、特徴量のトレンドグラフを表示させることができる。このため、偏差が第１閾値を超えることで検知された異常が誤検知であった場合でも、ユーザは、特徴量のトレンドグラフを確認することで、その異常の検知が誤検知である可能性が高いことに気づくことができる。また、特徴量のトレンドグラフに加えて、測定値の時間変化を示すトレンドグラフや偏差の時間変化を示すトレンドグラフを同一画面に表示してもよい。この場合、これらのトレンドグラフの横軸である時刻の軸を揃えると、ユーザがグラフを見比べやすい。

（第５の変形例）
図７は、第５の変形例に係る異常検知装置１００の構成を示す図である。本変形例の異常検知装置１００は、表示部１１２をさらに有する。実施形態と同様の構成、動作、及び効果については、説明を省略する。

本変形例では、仮検知部１０６は、算出した偏差をカウンター部１０７と表示部１１２に送る。また、特徴量算出部１０８は、算出した特徴量を第２閾値設定部１０９と表示部１１１に送る。

表示部１１２は、偏差と特徴量に基づいて偏差またはその絶対値と特徴量またはその絶対値の相関係数を算出し、算出した相関関係を表示するための表示画面データを生成し、生成した表示画面データを外部のディスプレイ等に出力する。例えば、各監視対象センサについて、偏差（ｙ_ｎ－ｆ_ｎ）またはその絶対値と特徴量またはその絶対値の相関係数を画面に表示すると良い。特徴量がベクトルの場合、相関係数を計算できない。この場合、例えば、特徴量の時間累積値や特徴量のＬ１ノルムを算出し、スカラーでない特徴量をスカラーに変換した後に、変換後の特徴量（スカラー）と偏差（ｙ_ｎ－ｆ_ｎ）またはその絶対値との相関係数を画面に表示すると良い。

画面に表示された相関係数が大きい場合、ユーザは、偏差またはその絶対値が特徴量またはその絶対値に連動していたことを定量的に確認できる。両者が連動していることを数値で確認できれば、ユーザは、特徴量に応じて第２閾値を制御する第１の実施形態のシステムを安心して利用できる。

（第６の変形例）
図８は、第６の変形例に係る異常検知装置１００の構成を示す図である。本変形例の異常検知装置１００は、表示部１１３をさらに有する。実施形態と同様の構成、動作、及び効果については、説明を省略する。

本変形例では、表示部１１３は、学習済みモデルの訓練に利用した訓練データに基づいて計算された特徴量の頻度分布を外部から取得し、取得した頻度分布を表示するための表示画面データを生成し、生成した表示画面データを外部のディスプレイ等に出力する。例えば、頻度分布として、訓練データから計算される特徴量の頻度Ｐ（ｖ）、あるいは、Ｐ（ａ_ｎ）の分布を画面に表示すると良い。図９は、訓練データから計算されるｎ番目の監視対象センサの特徴量ａ_ｎの頻度Ｐ（ａ_ｎ）を頻度分布として表示した例を示す。図９は、特徴量として測定値の微分値を用い、ａ_ｎがスカラーの場合の例である。図９の横軸は、頻度を表す。図９の縦軸は、特徴量を表す。頻度は、０から１に正規化した確率で表現しても構わない。

図９では、特徴量が０の付近で特徴量の頻度が高い。特徴量として微分値を用いているため、特徴量が０付近であることは、測定値があまり変化しない定常状態であることに対応する。逆に、特徴量が０付近でないことは、測定値が変化する過渡状態であることに対応する。したがって、図９は、訓練データ中のｎ番目の監視対象センサの測定値について、主に定常状態のデータで構成されていることを意味する。図９では、時間変化に関する特徴量の頻度が０付近で高くなっている。このため、図９に示す頻度分布を表示することで、ユーザは、ｎ番目の監視対象センサの測定値が急激に変化する時刻での第２閾値が、他の時刻での第２閾値よりも大きくなるように自動で制御されることで、誤検知を抑制できることを確認することができる。

また、頻度分布に加えて頻度に関する閾値を表示してもよい。図１０は、第３の変形例において式（１１）を採用した場合の頻度に関する閾値τ_ｎを、図９に示す頻度分布に重畳した例を示す図である。この図から、特徴量がε以上、または、λ以下の場合、その特徴量の頻度は閾値τ_ｎ以下であることがわかる。頻度に関する閾値τ_ｎを頻度分布上に表示することで、ユーザは、ｎ番目の監視対象センサの第２閾値ｋ_ｎがα_ｎまたはβ_ｎになる特徴量を一目で確認することができる。

（第７の変形例）
図１１は、第７の変形例に係る異常検知装置１００の構成を示す図である。本変形例の異常検知装置１００は、表示部１１４をさらに有する。実施形態と同様の構成、動作、及び効果については、説明を省略する。

本変形例では、第２閾値設定部１０９は、設定した第２閾値を検知部１１０と表示部１１４に送る。

表示部１１４は、第２閾値に基づいて第２閾値のトレンドグラフを表示するための表示画面データを生成し、生成した表示画面データを外部のディスプレイ等に出力する。例えば、第２閾値の時間変化を示すトレンドグラフを表示するための表示画面データが生成され、第２閾値のトレンドグラフが外部のディスプレイ等に表示される。図１２は、第２閾値のトレンドグラフの一例を説明するための図である。図１２（ａ）は、特徴量のトレンドグラフの一例を示す。図１２（ｂ）は、図１２（ａ）のように特徴量が変化した場合の第２閾値のトレンドグラフを示す。図１２（ｂ）は、ｎ番目の監視対象センサの第２閾値ｋ_ｎのトレンドグラフである。また、図１２（ａ）及び図１２（ｂ）は、図３、図４及び図６と同じ監視対象センサのトレンドグラフである。図１２（ａ）及び図１２（ｂ）の横軸は、時刻であり、図３、図４及び図６と同じ時刻に対応している。図１２（ａ）の縦軸は、特徴量を表す。図１２（ｂ）の縦軸は、第２閾値を表す。また、図１２（ｂ）は、訓練データの特徴量が図１０に示す頻度分布を有し、第３の変形例の式（１１）を採用して第２閾値を算出した場合の例を示している。

図１０に示すように、特徴量がε以上またはλ以下の場合に、その特徴量の頻度が閾値τ_n以下になるため、図１２（ｂ）では、図１２（ａ）において特徴量がε以上の時刻と、λ以下の時刻において第２閾値がα_ｎとなり、それ以外の時刻で第２閾値として採用されるβ_ｎよりも大きくなっている。

本変形例では、第２閾値のトレンドグラフを表示させることができる。ユーザは、第２閾値のトレンドグラフを確認することにより、ｎ番目の監視対象センサの各時刻における第２閾値ｋ_ｎを一目で把握できる。また、第２閾値のトレンドグラフに加えて、測定値の時間変化を示すトレンドグラフや偏差の時間変化を示すトレンドグラフを同一画面に表示してもよい。この場合、測定値が急激に変化したタイミングや、偏差の絶対値が第１閾値を超えたタイミングで第２閾値ｋ_ｎが大きくなる様子をユーザが一目で確認できる。

（第２の実施形態）
第１の実施形態及びその変形例では、発電プラントや水処理プラントなどのプラントや、製造装置に対して用いられる監視対象システムでは、定常運転が支配的であるため、第２関数として、測定値の時間変化が多いときに第２閾値が大きく設定される関数が用いられた。本実施形態では、監視対象システムが、測定値の時間変化が多い過渡状態が支配的であるシステムである場合について説明する。第１の実施形態と同様の構成、動作、及び効果については、説明を省略する。

本実施形態においても、第２関数は、第１関数として用いられる学習済みモデルの学習に用いられる訓練データとして正常パターンのデータを充分に準備できないパターンに対して、第２閾値が大きく設定される関数である必要がある。このため、本実施形態では、第２関数は、測定値の時間変化が多いときに第２閾値が小さく設定され、測定値があまり変化しないときに第２閾値が大きく設定される関数である必要がある。

図１３は、訓練データから計算されるｎ番目の監視対象センサの特徴量ａ_ｎの頻度Ｐ（ａ_ｎ）を頻度分布として表示した例を示す。図１３は、特徴量として測定値の微分値を用い、ａ_ｎがスカラーの場合の例である。図１３の横軸は、頻度を表す。図１３の縦軸は、特徴量を表す。頻度は、０から１に正規化した確率で表現しても構わない。

図１３では、０付近以外の２か所で特徴量の頻度が高い。特徴量が微分値であるため、図１３において頻度が高い正の特徴量は、訓練データ中のｎ番目の監視対象センサの測定値について、測定値が上昇傾向にあるタイミングが多いことを表す。図１３において頻度が高い負の特徴量は、訓練データ中のｎ番目の監視対象センサの測定値について、測定値が下降傾向にあるタイミングが多いことを表す。図１３において頻度が高い特徴量が正と負でそれぞれ１つずつあることは、訓練データ中のｎ番目の監視対象センサについて、測定値が上下動するタイミングが多く、あまり変化しないタイミングが少なかったことを表す。

本実施形態では、ｎ番目の監視対象センサの測定値があまり変化しない時刻での第２閾値が、他の時刻での第２閾値よりも大きくなるように自動で制御されるため、特徴量が図１３のように分布する場合に、訓練データにおける頻度が低いことに起因して生じる誤検知を抑制することができる。また、本実施形態では、特徴量が０付近でないタイミングで第２閾値が大きくならないため、もし、特徴量の頻度が高いタイミングで異常が生じたとしても、第２閾値が小さく設定されるため、検知タイミングが遅れることなく異常を検知することができる。

また、本実施形態においても、第１の実施形態の第２の変形例や第３の変形例のように、訓練データにおける頻度に応じて第２閾値を制御することで、訓練データにおける頻度が低いことに起因する誤検知を抑制でき、かつ、特徴量の図１３における頻度が高いタイミングで生じた異常の検知タイミングが遅れないようにすることができる。

このように、訓練データから計算される特徴量の分布における頻度を算出して第２閾値を制御する場合、第１の実施形態と第２の実施形態のどちらの場合でも、より多くの誤検知を抑制できる。

また、第１の実施形態と同様に、頻度分布を外部のディスプレイ等に表示させてもよい。この場合、例えば、図１３に示す頻度分布が表示される。また、頻度分布に加えて頻度に関する閾値を表示してもよい。図１４は、本実施形態に第３の変形例を適用し、上述の式（１１）を採用した場合の頻度に関する閾値τ_ｎを、図１４に示す頻度分布に重畳した例を示す図である。頻度に関する閾値τ_ｎを頻度分布上に表示することで、ユーザは、ｎ番目の監視対象センサの第２閾値ｋ_ｎがα_ｎまたはβ_ｎになる特徴量を一目で確認することができる。

かくして、前述のいずれかの実施形態によれば、異常の早期検知と誤検知の抑制を両立する異常検知装置、方法、および、プログラムを提供することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１００…異常検知装置、１０１…関数取得部、１０２…閾値取得部、１０３…関数取得部、１０４…測定値取得部、１０５…予測部、１０６…仮検知部、１０７…カウンター部、１０８…特徴量算出部、１０９…閾値設定部、１１０…検知部、１１１、１１２、１１３、１１４…表示部。

Claims (11)

1. 監視対象システムに設置された複数のセンサの測定値を取得する測定値取得部と、
   前記測定値を入力すると前記測定値の予測値を出力する第１関数を取得する第１関数取得部と、
   第１閾値を取得する第１閾値取得部と、
   前記測定値の時間変化に関する特徴量を入力すると第２閾値を出力する第２関数を取得する第２関数取得部と、
   監視対象時刻に取得した測定値と前記第１関数に基づいて、前記予測値を生成する予測部と、
   前記測定値と前記予測値との偏差が前記第１閾値を超えたことを仮検知し、当該仮検知結果に関する仮検知信号を生成する仮検知部と、
   前記仮検知信号に基づいて、監視対象時刻における前記仮検知の連続回数をカウントするカウンター部と、
   前記測定値に基づいて、前記特徴量を算出する特徴量算出部と、
   前記特徴量と前記第２関数に基づいて、第２閾値を設定する第２閾値設定部と、
   前記連続回数が前記第２閾値以上であるか否かを判定することにより前記監視対象システムの異常または当該異常の予兆を検知し、当該検知結果に関する検知信号を生成する検知部と、
   を備える異常検知装置。
2. 前記特徴量は、前記測定値の微分値、前記微分値の絶対値、前記微分値の累積値または前記絶対値の累積値である、
   請求項１に記載の異常検知装置。
3. 前記第１関数は、機械学習で生成された学習済みモデルが表す関数である、
   請求項１または２に記載の異常検知装置。
4. 前記第２関数は、前記学習済みモデルの訓練に利用した測定値の集合である訓練データに基づいて計算された前記特徴量の頻度分布に基づいて、第１の頻度を有する特徴量が入力されると前記第２閾値として第１の値を出力し、前記第１の頻度よりも小さい第２の頻度を有する特徴量が入力されると前記第２閾値として前記第１の値以上の第２の値を出力し、
   前記第２関数から出力される前記第２閾値は、前記第２関数への入力である前記特徴量の前記頻度分布における頻度に応じて２種類以上の値をとる、
   請求項３に記載の異常検知装置。
5. 前記累積値に関する累積期間は、前記第１関数へ入力される前記測定値の時間窓長以下である、
   請求項２に記載の異常検知装置。
6. 前記特徴量のトレンドグラフを表示する表示部をさらに備える、
   請求項１に記載の異常検知装置。
7. 前記偏差と前記特徴量の相関係数を表示する表示部をさらに備える、
   請求項１に記載の異常検知装置。
8. 前記頻度分布を表示する表示部をさらに備える、
   請求項４に記載の異常検知装置。
9. 前記第２閾値のトレンドグラフを表示する表示部をさらに備える、
   請求項１に記載の異常検知装置。
10. 監視対象システムに設置された複数のセンサの測定値を取得することと、
    前記測定値を入力すると前記測定値の予測値を出力する第１関数を取得することと、
    第１閾値を取得する第１閾値取得部と、
    前記測定値の時間変化に関する特徴量を入力すると第２閾値を出力する第２関数を取得することと、
    前記測定値と前記第１関数に基づいて、前記予測値を生成することと、
    前記測定値と前記予測値との偏差が前記第１閾値を超えたことを仮検知し、当該仮検知結果に関する仮検知信号を生成することと、
    前記仮検知信号に基づいて、監視対象時刻における前記仮検知の連続回数をカウントすることと、
    前記測定値に基づいて、前記特徴量を算出することと、
    前記特徴量と前記第２関数に基づいて、第２閾値を設定することと、
    前記連続回数が前記第２閾値以上であるか否かを判定することにより前記監視対象システムの異常または当該異常の予兆を検知し、当該検知結果に関する検知信号を生成することと、
    を備える方法。
11. コンピュータに、
    監視対象システムに設置された複数のセンサの測定値を取得する機能と、
    前記測定値を入力すると前記測定値の予測値を出力する第１関数を取得する機能と、
    第１閾値を取得する第１閾値取得部と、
    前記測定値の時間変化に関する特徴量を入力すると第２閾値を出力する第２関数を取得する機能と、
    前記測定値と前記第１関数に基づいて、前記予測値を生成する機能と、
    前記測定値と前記予測値との偏差が前記第１閾値を超えたことを仮検知し、当該仮検知結果に関する仮検知信号を生成する機能と、
    前記仮検知信号に基づいて、監視対象時刻における前記仮検知の連続回数をカウントする機能と、
    前記測定値に基づいて、前記特徴量を算出する機能と、
    前記特徴量と前記第２関数に基づいて、第２閾値を設定する機能と、
    前記連続回数が前記第２閾値以上であるか否かを判定することにより前記監視対象システムの異常または当該異常の予兆を検知し、当該検知結果に関する検知信号を生成する機能と、
    を実現させるためのプログラム。