JP5875430B2 - 異常検出装置、プログラムおよび異常検出方法 - Google Patents

Description

本発明は、異常検出装置、プログラムおよび異常検出方法に関する。

近年、データの多様化や増大に伴い、大規模なデータから有用な知識を発見するデータマイニング技術が注目されている。特に、異常値や欠損値を含む大規模なデータから高い精度での分析を行うためには、異常値や欠損値を考慮した適切な手法を採用することが重要である。このため、データマイニング技術において、異常データの検出技術は重要な要素技術である。

例えば、特許文献１には、異常値をスコア化して、スコア化された異常値を異なる時間単位の粒度で集約することにより、急性または慢性の異常値を同定するための技術が開示されている。

特開２００９−０７６０５６号公報

しかし、上記の技術では、スコア化された異常値が警報や可視化ツールなどによって通知されるが、スコアをどのように判断するかは利用者によって異なる。例えば、わずかな異常も見逃したくないという利用者は、全ての異常が通知されるように設定を行うことが考えられるが、この場合、誤検出が頻繁に発生するようになる。一方、誤検出を減らしたいという利用者は、誤検出が少なくなるように設定を行うことが考えられるが、この場合、異常の検出漏れが発生することが懸念される。すなわち、上記の技術では、利用者がどのように設定を調整しても、異常の誤検出および検出漏れの双方を防止することは困難であった。

そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、異常データの検出精度を向上することが可能な、新規かつ改良された異常検出装置、プログラムおよび異常検出方法を提供することにある。

上記課題を解決するために、本発明のある観点によれば、時系列データを構成する各データについて、複数の異常判定基準による判定を行い、前記複数の異常判定基準の各々による判定結果を得る判定部と、前記各データについて前記判定部により異常という判定結果が得られた異常判定基準の数に基づき、前記時系列データから異常データを検出する検出部とを有し、前記複数の異常判定基準の各々は複数の判定基準要素の組合せであり、前記検出部は、前記複数の判定基準要素の各々により判定を行う複数の要素判定部を含み、該複数の要素判定部は、前記時系列データを構成する各データと、当該各データに対応する過去の時系列データを構成する各データとを比較し、前記時系列データを構成する各データと前記過去の時系列データを構成する各データとの類似度に基づいて異常判定を行うものであり、かつ前記時系列データの外れ値のうちで、過去の時系列データを含む全ての時系列データの半数以上で外れ値と判定されるデータを異常の判定から除外することを特徴とする、異常検出装置が提供される。

前記複数の要素判定部は、設定された確率分布モデルから前記各データが逸脱するか否かを判定する要素判定部を含んでもよい。

前記複数の要素判定部は、前記時系列データを数値微分し、各データについての微分値が外れ値であるか否かを判定する要素判定部を含んでもよい。

前記検出部は、前記各データのうちで、前記判定部により異常という判定結果が得られた異常判定基準の数が多い方から所定数のデータを前記異常データとして検出してもよい。

前記異常検出装置は、前記検出部により検出された前記異常データを補正する補正部をさらに備えてもよい。

前記補正部は、前記異常データの前後のデータを用いて補間を行うことより前記異常データを補正してもよい。

前記時系列データを構成する各データは、金融機関における単位期間あたりの取引集計量であってもよい。

前記時系列データを構成する各データは、金融機関の１つの自動取引装置における単位期間あたりの取引集計量であってもよい。

また、上記課題を解決するために、本発明の別の観点によれば、コンピュータを、時系列データを構成する各データについて、複数の異常判定基準による判定を行い、前記複数の異常判定基準の各々による判定結果を得る判定部と、前記各データについて前記判定部により異常という判定結果が得られた異常判定基準の数に基づき、前記時系列データから異常データを検出する検出部とを有し、前記複数の異常判定基準の各々は複数の判定基準要素の組合せであり、前記検出部は、前記複数の判定基準要素の各々により判定を行う複数の要素判定部を含み、該複数の要素判定部は、前記時系列データを構成する各データと、当該各データに対応する過去の時系列データを構成する各データとを比較し、前記時系列データを構成する各データと前記過去の時系列データを構成する各データとの類似度に基づいて異常判定を行うものであり、かつ前記時系列データの外れ値のうちで、過去の時系列データを含む全ての時系列データの半数以上で外れ値と判定されるデータを異常の判定から除外することを特徴とする、異常検出装置として機能させるための、プログラムが提供される。

また、上記課題を解決するために、本発明の別の観点によれば、コンピュータが、時系列データを構成する各データについて、複数の異常判定基準による判定を行い、前記複数の異常判定基準の各々による判定結果を得ることと、コンピュータが、前記各データについて異常という判定結果が得られた異常判定基準の数に基づき、前記時系列データから異常データを検出することと、を含み、前記複数の異常判定基準の各々は複数の判定基準要素の組合せであり、前記検出することは、前記複数の判定基準要素の各々により判定を行うことを含み、当該判定は、前記時系列データを構成する各データと、当該各データに対応する過去の時系列データを構成する各データとを比較し、前記時系列データを構成する各データと前記過去の時系列データを構成する各データとの類似度に基づいて異常判定を行うものであり、かつ前記時系列データの外れ値のうちで、過去の時系列データを含む全ての時系列データの半数以上で外れ値と判定されるデータを異常の判定から除外することを特徴とする、異常判定方法が提供される。

以上説明したように本発明によれば、異常データの検出精度を向上することが可能である。

本発明の実施形態による異常検出システムの構成を示した説明図である。 本実施形態による異常データ検出装置の構成を示した機能ブロック図である。 複数のパラメータの具体例を示した説明図である。 統計処理に基づく外れ値判定の具体例を示した説明図である。 統計処理に基づく外れ値判定の具体例を示した説明図である。 微分処理に基づく外れ値判定の具体例を示した説明図である。 対象の時系列データと過去の時系列データの第１の例を示した説明図である。 対象の時系列データと過去の時系列データの第２の例を示した説明図である。 判定部により得られた各パラメータについての判定結果の具体例を示した説明図である。 異常データの検出過程を示した説明図である。 時系列データの具体例を示した説明図である。 図１１に示した時系列データのデータ値を示した説明図である。 補正後の時系列データを示した説明図である。 本実施形態による異常データ検出装置の動作を示したフローチャートである。 異常データ検出装置のハードウェア構成を示したブロック図である。

以下に添付図面を参照しながら、本発明の実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

また、本明細書及び図面において、実質的に同一の機能構成を有する複数の構成要素を、同一の符号の後に異なるアルファベットを付して区別する場合もある。ただし、実質的に同一の機能構成を有する複数の構成要素の各々を特に区別する必要がない場合、同一符号のみを付する。

＜１．異常検出システムの構成＞
本発明は、以下に詳細に説明するように、多様な形態で実施され得る。また、本発明の実施形態による異常データ検出装置２０は、
Ａ．時系列データを構成する各データについて、複数の異常判定基準による判定を行い、前記複数の異常判定基準の各々による判定結果を得る判定部（２２０）と、
Ｂ．前記各データについて前記判定部により異常という判定結果が得られた異常判定基準の数に基づき、前記時系列データから異常データを検出する検出部（異常データ検出部２３０）と、
を備える。

以下では、まず、このような異常データ検出装置２０を含む異常検出システムの構成を説明する。

図１は、本発明の実施形態による異常検出システムの構成を示した説明図である。図１に示したように、本発明の実施形態による異常検出システムは、時系列データ記憶部１４と、異常データ記憶部１６と、補正データ記憶部１８と、異常データ検出装置２０と、を備える。

時系列データ記憶部１４は、時間経過に従って計測されるデータの集合である時系列データを記憶する。この時系列データは、例えば、株価または気温であってもよい。また、時系列データは、金融機関の各自動取引装置において発生する取引量（例えば、紙幣の流出量）であってもよい。なお、時系列データを構成する各データは、年、月、週、日、時、分または秒などの時間間隔で得られたデータであってもよい。

異常データ検出装置２０は、時系列データを構成するデータから異常データを検出する異常検出装置である。また、異常データ検出装置２０は、異常データとして検出されたデータを補正することも可能である。このような異常データ検出装置２０については、「２．異常データ検出装置の構成」以降で詳細に説明する。

異常データ記憶部１６は、異常データ検出装置２０により検出された異常データを記憶する。補正データ記憶部１８は、異常データ検出装置２０により異常データが補正された時系列データを記憶する。

＜２．異常データ検出装置の構成＞
以上、図１を参照し、本実施形態による異常検出システムの構成を説明した。続いて、本実施形態による異常データ検出装置２０の構成を説明する。

図２は、本実施形態による異常データ検出装置２０の構成を示した機能ブロック図である。図２に示したように、本実施形態による異常データ検出装置２０は、判定部２２０と、統計処理部２２２と、微分処理部２２４と、例外判定部２２６と、異常データ検出部２３０と、補正部２４０と、を備える。

（判定部）
判定部２２０は、時系列データを構成する各データについて、複数の異常判定基準として設定された異なるパラメータを定義し、各パラメータに従って異常判定を行う。ここで、各パラメータは、複数の判定手法に関するパラメータ要素の組合せであり、判定部２２０は、１つのパラメータについて、パラメータ要素の組合せを用いる複数の判定手法の判定結果に基づいて異常判定を行う。以下、図３を参照し、このようなパラメータの具体例を説明する。

図３は、複数のパラメータの具体例を示した説明図である。図３に示したように、各パラメータは、統計処理に基づく判定手法に関するパラメータ要素、微分処理に基づく判定手法に関するパラメータ要素、および、例外判定に関するパラメータ要素を含む。

例えば、パラメータ＃１は、統計処理に基づく判定を行う際に用いられる標準偏差の倍率「２．５」、微分処理に基づく判定を行う際に用いられる数値微分の方法「前進差分」、例外判定を行う際に用いられる比較の時間単位「日単位」をパラメータ要素として含む。なお、統計処理に基づく判定、微分処理に基づく判定、および例外判定については順次詳細に説明する。

そして、判定部２２０は、各パラメータについて、パラメータ要素の組合せを用いる複数の判定手法の判定結果に基づいて異常判定を行う。例えば、判定部２２０は、あるパラメータの複数のパラメータ要素に従った全ての判定で異常判定結果（外れ値判定）が得られた場合、当該パラメータに異常判定フラグを設定してもよい。または、判定部２２０は、あるパラメータの複数のパラメータ要素に従った判定で所定数の異常判定結果が得られた場合、当該パラメータに異常判定フラグを設定してもよい。

（統計処理部）
統計処理部２２２は、要素判定部の一例であり、時系列データが確率分布モデルに従うことと仮定し、設定された確率分布モデルから各データが逸脱する外れ値であるか否かを判定する。例えば、確率分布モデルに従う正常値の範囲がパラメータ要素により「平均値ｕ±３×標準偏差σ」のように定義され、時系列データの平均値ｕ＝０．８であり、標準偏差σ＝２．１である場合、正常値の範囲は「０．８±３×２．１」である。この場合、統計処理部２２２は、データ値ｙが下記に該当するデータを外れ値と判定する。
−外れ値−
ｙ≧７．１
ｙ≦−５．５

図４は、統計処理に基づく外れ値判定の具体例を示した説明図である。上記のように正常値の範囲が「０．８±３×２．１」である場合、統計処理部２２２は、図４に示した時系列データ中の１６番目のデータを外れ値と判定する。

なお、上記では標準偏差の倍率を示すパラメータ要素が「３」であり、正常値の範囲が「平均値ｕ±３×標準偏差σ」と定義された例を説明したが、各パラメータにおいて標準偏差の倍率を示すパラメータ要素は多様な値をとることができる。例えば、パラメータ要素は「２．５」、または「３．５」であってもよく、この場合、統計処理部２２２は図５に示したＱの範囲内のデータ、またはＲの範囲内のデータを外れ値と判定する。

本実施形態においては、このように統計処理に関するパラメータ要素として複数の値を設定して、より多くの判定を行うことにより、確率分布モデルからの逸脱度合いが大きいデータほど外れ値と判定される回数が多くなるので、最終的な異常データの抽出をより正確に行うことが可能となる。

（微分処理部）
微分処理部２２４は、要素判定部の一例であり、時系列データを数値微分し、微分結果に基づいて時系列データの変化量の外れ値を判定する。例えば、微分判定に関するパラメータ要素が微分方法として前進差分を示し、前進差分による微分値の正常値の範囲が「平均値ｕ±３×標準偏差σ」であり、微分値の平均値＝０．１であり、標準偏差σ＝５．３である場合、正常値の範囲は「０．１±３×５．３」である。この場合、微分処理部２２４は、微分値ｚが下記に該当するデータを外れ値と判定する。
−外れ値−
ｚ≧１６．０
ｚ≦−１５．８

図６は、微分処理に基づく外れ値判定の具体例を示した説明図である。上記のように正常値の範囲が「０．１±３×５．３」である場合、微分処理部２２４は、図６に示した時系列データ中の１５番目のデータを外れ値と判定する。

なお、上記では微分処理に関するパラメータ要素が微分方法として前進差分を示す例を説明したが、微分判定に関するパラメータ要素は、後退差分、中心差分、３点近似および５点近似などの他の数値微分であってもよい。本実施形態においては、微分処理に関するパラメータ要素としてこのような複数の微分方法を設定して、より多数の判定を行うことにより、変化量の度合いが大きいデータほど外れ値と判定される回数が多くなるので、最終的な異常データの抽出をより正確に行うことが可能となる。

（例外判定部）
例外判定部２２６は、要素判定部の一例であり、対象の時系列データと過去の時系列データを比較し、対象の時系列データの外れ値のうちで、過去の時系列データでも外れ値になる傾向にあるデータを、外れ値の判定から除外する。以下、図７および図８を参照し、より具体的に説明する。

図７は、対象の時系列データと過去の時系列データの第１の例を示した説明図である。詳細には、図７には、１日〜３１日の測定値を有する対象の１２月の時系列データと、過去の７月〜１１月の時系列データを示している。

図７に示した例において、例外判定部２２６が正常値の範囲を定義し、１２月の時系列データに対して外れ値の判定を行うと、１４番目のデータが外れ値と判定される。一方、１４番目のデータは、９月および１１月においても外れ値と判定される。このような場合、何らかの要因で周期的に外れ値となるデータが発生していると考えられるので、当該データは、補正の対象とならないよう、異常の判定から除外されることが望ましい。

そこで、例外判定部２２６は、対象の時系列データの外れ値のうちで、過去の時系列データを含む全ての時系列データの例えば半数以上で外れ値と判定されるデータを、異常の判定から除外してもよい。図７に示した例では、１４番目のデータは６カ月の時系列データのうちで３カ月の時系列データで外れ値となっているので、１２月の１４番目のデータは異常の判定から除外される。

図８は、対象の時系列データと過去の時系列データの第２の例を示した説明図である。図８に示したように、１２月の１０番目のデータは外れ値であるが、過去の７月〜１１月の１０番目のデータはいずれも外れ値でない。図８に示した例では、１２月の１０番目のデータは異常の判定から除外されない。

なお、対象の時系列データと過去の時系列データとの比較は、年、月、週、日、時、分、秒単位のいずれの周期でも行える。このため、本実施形態においては、例外判定に関するパラメータ要素としてこのような異なる時間単位を設定して、より多数の判定を行うことにより、周期的に発生する外れ値を適切に異常の判定から除外することが可能となる。

（異常データ検出部）
異常データ検出部２３０は、判定部２２０により得られた各パラメータについての判定結果に基づいて、時系列データから異常データを検出する。例えば、異常データ検出部２３０は、時系列データ中の各データについて、判定部２２０により異常判定フラグが設定されたパラメータの数をカウントし、カウント値が多いデータを異常データとして検出する。まず、異常判定フラグが設定されたパラメータの数のカウントについて説明する。

図９は、判定部２２０により得られた各パラメータについての判定結果の具体例を示した説明図である。図９に示したように、判定部２２０が、時系列データを構成する１つのデータについてパラメータ＃１〜＃９に従って異常判定を行い、パラメータ＃２、＃５、＃６および＃８に異常判定フラグを設定した場合を考える。この場合、異常データ検出部２３０は、異常判定フラグが設定されたパラメータ値を「４」とカウントする。

次に、カウント値に基づく異常データの検出について説明する。異常データ検出部２３０は、異常判定フラグが設定されたパラメータのカウント値が閾値以上であるデータを抽出し、さらに、抽出したデータのうちで、カウント値の多い方から指定数のデータを異常データとして検出する。以下、図１０を参照してより具体的に説明する。

図１０は、異常データの検出過程を示した説明図である。より詳細には、図１０の上側の表では、時系列データを構成する各データ（＃１、＃２、・・・）の各々について１００種類のパラメータに従って異常判定を行った場合の判定結果を示している。ここで、カウント数の閾値を「５０」とした場合、図１０に示した例ではデータ＃１６および＃４１のカウント値が「５０」以上であるので、異常データ検出部２３０は、データ＃１６および＃４１を異常候補データとして抽出する。

また、図１０の下側の表は、異常候補データとして抽出したデータをカウント値が多い順に並べ替えを行った結果を示す。ここで、異常データの抽出数を「１０」とした場合、異常データ検出部２３０は、最もカウント値が多いデータ＃１６から、１０番目にカウント値が多いデータ＃４１までのデータを異常データとして検出する。一方、カウント値が「５５」であるデータ＃ｘｘは、カウント値が２０番目であるので、異常データとして検出されない。

以上説明したように、本実施形態による異常データ検出装置２０は、各データについて複数のパラメータに従った異常判定を行い、異常判定フラグが設定されたパラメータのカウント値の閾値処理を行う。このため、確率分布モデルからの逸脱の度合いが大きいデータ、または変化量の度合が大きいデータなどほどカウント値が多くなり、かつ、例外パターンに合致するデータは異常の判定から除外されるので、より正確に異常データを検出することが可能となる。また、異常判定フラグが設定されたパラメータのカウント値が多い順にデータを並べ替え、指定数の異常データを検出することにより、適切な対処を実施していないと高い精度で分析を行うことが困難となる可能性のある異常データを、優先的に対処することが可能となる。

（補正部）
補正部２４０は、異常データ検出部２３０により検出された異常データを時系列データから除外し、時系列データを補正する。例えば、補正部２４０は、異常データの前後のデータを用いて線形補間を行うことにより時系列データを補正する。以下、図１１〜図１３を参照し、データ補間について具体的に説明する。

図１１は、時系列データの具体例を示した説明図である。図１２は、図１１に示した時系列データのデータ値を示した説明図である。図１１および図１２の上側の表に示したように、時系列データの１６番目のデータ「１０」が異常データとして検出された場合を考える。この場合、補正部２４０は、前後の１５番目のデータ「４．４」および１７番目のデータ「０」を用い、以下の数式に従って１６番目のデータを線形補間する。

−線形補間の具体例−
（４．４＋０）／２＝２．２

これにより、図１２の下側の表、および図１３に示すように、時系列データの１６番目のデータが「２．２」に補正される。なお、上記では補正方法の一例として線形補間を説明したが、スプライン補間、ラグランジュ補間およびニュートン補間などの他の方法により異常データを補正することも可能である。

以上説明したように、本実施形態による異常データ検出装置２０は、適切な対処を実施していないと高い精度での分析を行うことが困難となるような異常データを自動的に補正することができるので、より高い精度での分析を実現することが可能である。

＜３．異常データ検出装置の動作＞
以上、本実施形態による異常データ検出装置２０の構成を説明した。続いて、図１４を参照し、本実施形態による異常データ検出装置２０の動作を整理する。

図１４は、本実施形態による異常データ検出装置２０の動作を示したフローチャートである。図１４に示したように、異常データ検出装置２０に時系列データ記憶部１４から時系列データが入力されると（Ｓ３０４）、異常データ検出装置２０は、Ｓ３０８〜Ｓ３２０の処理を、時系列データ中の全てのデータについて、全てのパラメータで実施する。また、異常データ検出装置２０は、Ｓ３２４の処理を、時系列データ中の全てのデータについて実施する。

具体的には、Ｓ３０８において、統計処理部２２２が統計処理により対象のデータが外れ値であるか否かを判定し、Ｓ３１２において、微分処理部２２４が微分処理により対象のデータが外れ値であるか否かを判定し、Ｓ３１６において、例外判定部２６が例外判定により対象のデータを異常の判定から除外するか否かを判定する。そして、統計処理部２２２および微分処理部２２４により対象のデータが外れ値であると判定され、例外判定部２６により対象のデータが異常の判定から除外されなかった場合、判定部２２０は、判定基準となったパラメータに異常判定フラグを設定する（Ｓ３２０）。

また、異常データ検出部２３０は、時系列データ中の各データについて、判定部２２０により異常判定フラグが設定されたパラメータをカウントする（Ｓ３２４）。

その後、異常データ検出部２３０は、カウント値が閾値以上であるデータを抽出し、さらに、抽出したデータのうちで、カウント値の多い方から指定数のデータを異常データとして検出する（Ｓ３２８）。

さらに、補正部２４０が、異常データ検出部２３０により検出された異常データを時系列データから除外し、時系列データを補正する。例えば、補正部２４０は、異常データの前後のデータを用いて線形補間を行うことにより時系列データを補正する（Ｓ３３２）。

＜４．ハードウェア構成＞
以上、本発明の実施形態を説明した。上述した異常データの検出や異常データの補正などの情報処理は、ソフトウェアと、以下に説明する異常データ検出装置２０のハードウェアとの協働により実現される。

図１５は、異常データ検出装置２０のハードウェア構成を示したブロック図である。異常データ検出装置２０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０１と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０２と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０３と、ホストバス２０４と、を備える。また、異常データ検出装置２０は、ブリッジ２０５と、外部バス２０６と、インタフェース２０７と、入力装置２０８と、表示装置２０９と、音声出力装置２１０と、ストレージ装置（ＨＤＤ）２１１と、ドライブ２１２と、ネットワークインタフェース２１５とを備える。

ＣＰＵ２０１は、演算処理装置および制御装置として機能し、各種プログラムに従って異常データ検出装置２０内の動作全般を制御する。また、ＣＰＵ２０１は、マイクロプロセッサであってもよい。ＲＯＭ２０２は、ＣＰＵ２０１が使用するプログラムや演算パラメータ等を記憶する。ＲＡＭ２０３は、ＣＰＵ２０１の実行において使用するプログラムや、その実行において適宜変化するパラメータ等を一時記憶する。これらはＣＰＵバスなどから構成されるホストバス２０４により相互に接続されている。

ホストバス２０４は、ブリッジ２０５を介して、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ／Ｉｎｔｅｒｆａｃｅ）バスなどの外部バス２０６に接続されている。なお、必ずしもホストバス２０４、ブリッジ２０５および外部バス２０６を分離構成する必要はなく、１つのバスにこれらの機能を実装してもよい。

入力装置２０８は、マウス、キーボード、タッチパネル、ボタン、マイクロフォン、スイッチおよびレバーなどユーザが情報を入力するための入力手段と、ユーザによる入力に基づいて入力信号を生成し、ＣＰＵ２０１に出力する入力制御回路などから構成されている。異常データ検出装置２０のユーザは、該入力装置２０８を操作することにより、異常データ検出装置２０に対して各種のデータを入力したり処理動作を指示したりすることができる。

表示装置２０９は、例えば、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）ディスプレイ装置、液晶ディスプレイ（ＬＣＤ）装置、ＯＬＥＤ（Ｏｒｇａｎｉｃ Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅ）装置およびランプなどの表示装置を含む。また、音声出力装置２１０は、スピーカおよびヘッドホンなどの音声出力装置を含む。

ストレージ装置２１１は、本実施形態にかかる異常データ検出装置２０の記憶部の一例として構成されたデータ格納用の装置である。ストレージ装置２１１は、記憶媒体、記憶媒体にデータを記録する記録装置、記憶媒体からデータを読み出す読出し装置および記憶媒体に記録されたデータを削除する削除装置などを含んでもよい。ストレージ装置２１１は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）で構成される。このストレージ装置２１１は、ハードディスクを駆動し、ＣＰＵ２０１が実行するプログラムや各種データを格納する。

ドライブ２１２は、記憶媒体用リーダライタであり、異常データ検出装置２０に内蔵、あるいは外付けされる。ドライブ２１２は、装着されている磁気ディスク、光ディスク、光磁気ディスク、または半導体メモリ等のリムーバブル記憶媒体２４に記録されている情報を読み出して、ＲＡＭ２０３に出力する。また、ドライブ２１２は、リムーバブル記憶媒体２４に情報を書き込むこともできる。

ネットワークインタフェース２１５は、例えば、専用網１２に接続するための通信デバイス等で構成された通信インタフェースである。また、ネットワークインタフェース２１５は、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）対応通信装置であっても、有線による通信を行うワイヤー通信装置であってもよい。

＜５．むすび＞
以上説明したように、本実施形態による異常データ検出装置２０は、各データについて複数のパラメータに従った異常判定を行い、異常判定フラグが設定されたパラメータのカウント値の閾値処理を行う。このため、確率分布モデルからの逸脱の度合いが大きいデータ、または変化量の度合が大きいデータほどカウント値が多くなり、かつ、例外パターンに合致するデータは異常の判定から除外されるので、より正確に異常データを検出することが可能となる。

また、本実施形態による異常データ検出部２３０は、異常判定フラグが設定されたパラメータのカウント値が多い順にデータを並べ替え、指定数の異常データを検出する。このため、適切な対処を実施していないと高い精度で分析を行うことが困難となる可能性のある異常データを、優先的に対処することが可能となる。

また、本実施形態による補正部２４０は、異常データ検出部２３０により検出された異常データを時系列データから除外し、時系列データを補正する。このため、適切な対処を実施していないと高い精度での分析を行うことが困難となるような異常データを自動的に補正することができるので、より高い精度での分析を実現することが可能である。

なお、添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、本発明はかかる例に限定されない。本発明の属する技術の分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本発明の技術的範囲に属するものと了解される。

例えば、本明細書の異常データ検出装置２０の処理における各ステップは、必ずしもフローチャートとして記載された順序に沿って時系列に処理する必要はない。例えば、異常データ検出装置２０の処理における各ステップは、フローチャートとして記載した順序と異なる順序で処理されても、並列的に処理されてもよい。

また、異常データ検出装置２０に内蔵されるＣＰＵ２０１、ＲＯＭ２０２およびＲＡＭ２０３などのハードウェアを、上述した異常データ検出装置２０の各構成と同等の機能を発揮させるためのコンピュータプログラムも作成可能である。また、該コンピュータプログラムを記憶させた記憶媒体も提供される。

１２ 専用網
１４ 時系列データ記憶部
１６ 異常データ記憶部
１８ 補正データ記憶部
２０ 異常データ検出装置
２２０ 判定部
２２２ 統計処理部
２２４ 微分処理部
２２６ 例外判定部
２３０ 異常データ検出部
２４０ 補正部

Claims (10)

1. 時系列データを構成する各データについて、複数の異常判定基準による判定を行い、前記複数の異常判定基準の各々による判定結果を得る判定部と、
   前記各データについて前記判定部により異常という判定結果が得られた異常判定基準の数に基づき、前記時系列データから異常データを検出する検出部とを有し、
   前記複数の異常判定基準の各々は複数の判定基準要素の組合せであり、
   前記検出部は、前記複数の判定基準要素の各々により判定を行う複数の要素判定部を含み、該複数の要素判定部は、前記時系列データを構成する各データと、当該各データに対応する過去の時系列データを構成する各データとを比較し、前記時系列データを構成する各データと前記過去の時系列データを構成する各データとの類似度に基づいて異常判定を行うものであり、かつ前記時系列データの外れ値のうちで、過去の時系列データを含む全ての時系列データの半数以上で外れ値と判定されるデータを異常の判定から除外することを特徴とする、異常検出装置。
2. 前記複数の要素判定部は、設定された確率分布モデルから前記各データが逸脱するか否かを判定する要素判定部を含む、請求項１に記載の異常検出装置。
3. 前記複数の要素判定部は、前記時系列データを数値微分し、各データについての微分値が外れ値であるか否かを判定する要素判定部を含む、請求項１または２に記載の異常検出装置。
4. 前記検出部は、前記各データのうちで、前記判定部により異常という判定結果が得られた異常判定基準の数が多い方から所定数のデータを前記異常データとして検出する、請求項１〜３のいずれか一項に記載の異常検出装置。
5. 前記異常検出装置は、前記検出部により検出された前記異常データを補正する補正部をさらに備える、請求項１〜４のいずれか一項に記載の異常検出装置。
6. 前記補正部は、前記異常データの前後のデータを用いて補間を行うことより前記異常データを補正する、請求項５に記載の異常検出装置。
7. 前記時系列データを構成する各データは、金融機関における単位期間あたりの取引集計量である、請求項１〜６のいずれか一項に記載の異常検出装置。
8. 前記時系列データを構成する各データは、金融機関の１つの自動取引装置における単位期間あたりの取引集計量である、請求項７に記載の異常検出装置。
9. コンピュータを、
   時系列データを構成する各データについて、複数の異常判定基準による判定を行い、前記複数の異常判定基準の各々による判定結果を得る判定部と、
   前記各データについて前記判定部により異常という判定結果が得られた異常判定基準の数に基づき、前記時系列データから異常データを検出する検出部とを有し、
   前記複数の異常判定基準の各々は複数の判定基準要素の組合せであり、
   前記検出部は、前記複数の判定基準要素の各々により判定を行う複数の要素判定部を含み、該複数の要素判定部は、前記時系列データを構成する各データと、当該各データに対応する過去の時系列データを構成する各データとを比較し、前記時系列データを構成する各データと前記過去の時系列データを構成する各データとの類似度に基づいて異常判定を行うものであり、かつ前記時系列データの外れ値のうちで、過去の時系列データを含む全ての時系列データの半数以上で外れ値と判定されるデータを異常の判定から除外することを特徴とする、異常検出装置として機能させるための、プログラム。
10. コンピュータが、時系列データを構成する各データについて、複数の異常判定基準による判定を行い、前記複数の異常判定基準の各々による判定結果を得ることと、
    前記コンピュータが、前記各データについて異常という判定結果が得られた異常判定基準の数に基づき、前記時系列データから異常データを検出することと、
    を含み、
    前記複数の異常判定基準の各々は複数の判定基準要素の組合せであり、
    前記検出することは、前記複数の判定基準要素の各々により判定を行うことを含み、当該判定は、前記時系列データを構成する各データと、当該各データに対応する過去の時系列データを構成する各データとを比較し、前記時系列データを構成する各データと前記過去の時系列データを構成する各データとの類似度に基づいて異常判定を行うものであり、かつ前記時系列データの外れ値のうちで、過去の時系列データを含む全ての時系列データの半数以上で外れ値と判定されるデータを異常の判定から除外することを特徴とする、異常判定方法。
    

Images