JP6223897B2 - 異常検知装置及び異常検知システム - Google Patents

Description

本発明は、複数の検査対象から得られた複数の状態データを用いて、検査対象の異常検知を行う異常検知装置及び異常検知システムに関する。

異常検知システムとして、例えば、スマートメータ、監視カメラ、制御装置などのセンサ、或いはトラヒック種別毎のネットワークトラヒックなどを検査対象とし、複数の検査対象の各々から観測される状態データを用いて、検査対象の異常検知を行うシステムがある。

異常検知システムを構築するに際して、特許文献１には、「ネットワークトラヒックからタイムスロット毎にカウントしたトラヒック種別毎のパケット数を特徴量として生成する特徴量生成工程と、前記特徴量生成工程で生成された特徴量を用いてトラヒック種別を要素とする各要素間の相関係数を算出する相関係数算出工程と、前記相関係数算出工程で算出された相関係数を用いてヒストグラムを生成するヒストグラム生成工程と、前記ヒストグラム生成工程で生成されたヒストグラムを用いて異常度を算出する異常度算出工程とを有するネットワーク異常検知方法であって、前記ヒストグラムから算出される相関係数の発生確率を用いて類似性を評価する状態類似性評価工程と、前記状態類似性評価工程で算出された相関係数の発生確率をマトリックスとして表し、発生確率の値に割り当てた色を用いて画像化を行う可視化工程とを有することを特徴とするネットワーク異常検知方法」が開示されている。

特許第４６７７５６９号公報

前記特許文献１には、トラヒック種別毎のネットワークトラヒックを検査対象とし、タイムスロット毎にカウントしたパケット数を検査対象の状態データとして、Ｎ（Ｎは２以上の整数）個の検査対象（要素）の任意のペアに対して相関係数を算出することが記載されている。このとき算出する相関係数の数は、Ｎの２乗のオーダーである。従って、検査対象間の相関係数を算出するにも、全ての検査対象に対して、各検査対象間の相関係数を算出しなければならず、検査対象数Ｎが大きいときには、各検査対象間の相関係数の算出処理に時間がかかる。このため、特許文献１に記載された方法では、異常検知を高速に行うには十分ではない。

本発明の目的は、検査対象数Ｎが大きい場合でも、複数の検査対象に対する異常検知を高速化することができる異常検知装置及び異常検知システムを提供することにある。

前記課題を解決するために、本発明は、状態データの発生元となる複数個の検査対象の中から、当該複数個の検査対象よりも数の少ない、１以上の検査対象を代表点として選択する代表点選択部と、前記各検査対象と前記代表点との組み合わせから構成される複数のペアを生成し、前記各ペアに属する検査対象から得られた状態データと前記各ペアに属する代表点から得られた状態データ同士の類似度又は距離で定義されるスコアを前記ペア毎に算出するスコア算出部と、前記スコア算出部の各算出結果を基にメタスコア行列を算出するメタスコア行列算出部と、前記メタスコア行列算出部の算出によるメタスコア行列の中のいずれかの行ベクトルの値を基に当該行ベクトルに対応する検査対象の異常の有無を判定する異常判定部と、を有し、前記メタスコア行列算出部は、前記スコア算出部の各算出結果から、前記各ペアのスコアを要素に含むスコア行列を生成し、当該生成したスコア行列に属する複数の行ベクトルであって、前記各検査対象の特徴量を示す複数のスコアベクトル同士の類似度又は距離で定義されるメタスコアを前記スコアベクトル毎に算出し、当該各算出結果から、前記各スコアベクトルのメタスコアを要素に含むメタスコア行列を算出してなることを特徴とする。

本発明によれば、検査対象数Ｎが大きい場合でも、複数の検査対象に対する異常検知を高速化することができる。

本発明の実施例１を示す異常検知システムの構成図である。 センサ・異常検知装置及び監視装置のハードウェア構成図である。 実施例１におけるメタスコア行列算出処理を説明するためのフローチャートである。 メタスコア行列算出処理を説明するための概念図である。 スコアに基づく異常検知処理を説明するためのフローチャートである。 スコアに基づく異常検知処理を説明するための概念図である。 センサを可視化する処理を説明するためのフローチャートである。 可視化情報を表示する処理を説明するための概念図である。 本発明の実施例２を示す異常検知システムの構成図である。 実施例２におけるメタスコア行列算出処理を説明するためのフローチャートである。

以下、本発明の一実施例を図面に基づいて説明する。なお、これにより本発明が限定されるものではない。

本実施例は、スマートメータ、監視カメラ、制御装置などのセンサを検査対象とし、Ｎ（Ｎは、２以上の整数）個のセンサに対して異常検知を行うシステムである。

図１は、本発明の実施例１を示す異常検知システムの構成図である。図１において、異常検知システムは、Ｎ（Ｎは、２以上の整数）個のセンサ１００と、各センサ１００を検査対象として、各センサ１００に対して異常検知を行う異常検知装置２００と、各センサ１００の可視化情報を表示する監視装置３００と、ネットワーク４００及びネットワーク５００から構成される。各センサ１００は、ネットワーク４００を介して異常検知装置２００に接続され、異常検知装置２００は、ネットワーク５００を介して監視装置３００に接続される。ネットワーク４００とネットワーク５００は、例えば、インターネット、キャリア網、専用線などから構成される。

各センサ１００は、ネットワーク４００を介して異常検知装置２００と情報の授受を行う通信インタフェース（Ｉ／Ｆ）１０１と、データベース１１０を有し、データベース１１０に格納された状態データ１１１をネットワーク４００を介して異常検知装置２００に送信する状態データ発生元として構成される。状態データ１１１は、センサ１００の検出対象又は監視対象、或いは制御対象の状態を示す状態データ、例えば、センサ１００が、スマートメータの場合、検出対象から得られた電力使用量の時系列データであり、監視カメラの場合、監視対象の監視画像データ或いは監視動画データであり、制御装置の場合、制御対象の異常の有無を示すデータである。

異常検知装置２００は、代表点選択部２０１と、検査対象・代表点間スコア算出部２０３と、メタスコア行列算出部２０４と、優先順位算出部２０５と、異常判定部２０６と、可視化情報生成部２０７と、通信インタフェース（Ｉ／Ｆ）２０９から構成される。

代表点選択部２０１は、Ｎ個のセンサ（検査対象）１００の中から、Ｍ個（Ｍは、Ｎよりも小さい１以上の整数）センサを代表点（ｐｉｖｏｔ）として選択する機能を有する。検査対象・代表点間スコア算出部２０３は、Ｎ個のセンサ１００に属する各センサ１００とＭ個の代表点（ｐｉｖｏｔ）に属する各代表点との任意の組み合わせ（ペア）毎に、各ペアに属するセンサ１００から得られた状態データと、各ペアに属する代表点から得られた状態データとの一致度合（状態データ同士の一致度合）を示す類似度、或いは状態データ同士の不一致度合を示す距離で定義されるスコアを、センサ１００と代表点との相互相関を示す相関値として（ＮＭ個）算出する機能を有する。

メタスコア行列算出部２０４は、検査対象・代表点間スコア算出部２０３の算出による各スコアを、各センサ１００に対応づけて並べたスコアベクトルを、相関値を並べた相関ベクトル（行ベクトル）として一対生成し、生成した各スコアベクトル同士の類似度（各スコアベクトルを構成するスコア（相関値）同士の一致度合を示す類似度）、或いは各スコアベクトル同士の距離（各スコアベクトルを構成するスコア（相関値）同士の不一致度合を示す距離）で定義されるメタスコアをＮ×Ｎ個算出し、算出した各メタスコアを要素とするメタスコア行列を算出する機能を有する。

優先順位算出部２０５は、メタスコア行列算出部２０４により算出されたメタスコア行列を用いて、Ｎ個のセンサ１００に対して、異常検知処理の優先順位を付ける機能を有する。異常判定部２０６は、優先順位算出部２０５により算出された優先順位の高い順に、判定対象となるセンサ１００を選択し、選択したセンサ１００と、代表点から外れた検査対象を示す非代表点（複数の検査対象から代表点を選択した残りの検査対象に相当するもの）との組み合わせから構成される複数の補助ペアを生成し、選択したセンサ１００から得られた状態データと、非代表点から得られた状態データ同士の類似度又は距離で定義されるスコアを補助ペア毎に算出し、算出した各スコアと、検査対象・代表点間スコア算出部２０３の算出によるスコアのうち選択したセンサ１００と代表点との相関から得られたスコアとを含む行ベクトルの値（例えば、行ベクトルを構成するスコアの平均値）と閾値とを比較して、選択したセンサ１００の異常の有無を判定する機能を有する。

可視化情報生成部２０７は、メタスコア行列算出部２０４の算出によるメタスコア行列に対して、クラスタリング或いは多次元尺度構成法を用いて、Ｎ個のセンサ１００の可視化情報を生成する機能を有する。通信インタフェース（Ｉ／Ｆ）２０９は、ネットワーク４００を介して各センサ１００と情報の授受を行うと共に、ネットワーク５００を介して監視装置３００と情報の授受を行う機能を有する。

監視装置３００は、各センサ１００の可視化情報を画面上に表示する可視化情報表示部３０１と、ネットワーク５００を介して異常検知装置２００と情報の授受を行う通信インタフェース（Ｉ／Ｆ）３０２から構成される。

図２は、センサ・異常検知装置及び監視装置のハードウェア構成図である。図２において、各センサ１００と、異常検知装置２００及び監視装置３００は、ＣＰＵ（Central Processing Unit）６００と、メモリ６０１と、ＨＤＤ（Hard Disk Drive）６０２と、入力装置６０３と、出力装置６０４及び通信装置６０５から構成され、各部バス６０６を介して互いに接続される。

各センサ１００の場合、ＣＰＵ６００は、センサ１００全体を統括制御する制御部として機能し、メモリ６０１に格納されたコンピュータプログラムに従って各種の処理を実行する。例えば、ＣＰＵ６００は、電力系統に接続された入力装置６０３から、状態データとして、電力使用量の時系列データが入力された場合、入力された時系列データを管理するための演算処理を実行し、処理結果をＨＤＤ６０２に格納する共に出力装置６０４に出力し、時系列データを通信装置６０５を介して異常検知装置２００に送信する。この際、ＨＤＤ６０２は、データベース１１０として機能し、通信装置６０５は、通信インタフェース（Ｉ／Ｆ）１０１として機能する。

異常検知装置２００の場合、ＣＰＵ６００が、メモリ６０１に格納されたコンピュータプログラムを実行することにより、代表点選択部２０１と、検査対象・代表点間スコア算出部２０３と、メタスコア行列算出部２０４と、優先順位算出部２０５と、異常判定部２０６と、可視化情報生成部２０７及び通信インタフェース（Ｉ／Ｆ）２０９は、各部に付加された機能を発揮することができる。即ち、ＣＰＵ６００によって各部の処理が実行される。

監視装置３００の場合、ＣＰＵ６００が、メモリ６０１に格納されたコンピュータプログラムを実行することにより、可視化情報表示部３０１及び通信インタフェース（Ｉ／Ｆ）３０２は、各部に付加された機能を発揮することができる。即ち、ＣＰＵ６００によって各部の処理が実行される。

図３は、実施例１におけるメタスコア行列算出処理を説明するためのフローチャートである。この処理は、各センサ１００から状態データが送信されたことを条件に、異常検知装置２００のＣＰＵ６００によって開始される。

Ｎ個のセンサ１００は、それぞれ状態データ１１１を異常検知装置２００に送信する（Ｓ１０１）。

異常検知装置２００が、各センサ１００から状態データ１１１を受信すると、ＣＰＵ６００は処理を開始する。まず、代表点選択部２０１は、Ｎ個（Ｓ１、Ｓ２、Ｓ３、・・・、Ｓｎ）のセンサ（検査対象）１００の中から、Ｍ個（Ｍは、Ｎよりも小さい１以上の整数）のセンサを代表点（ｐｉｖｏｔ）として選択する（Ｓ１０２）。Ｍ個のセンサを代表点として選択する場合、Ｎ個のセンサ１００の中からランダムに選択することができる。

この際、各センサ１００が配置されている場所が互いに離れているものを代表点に選択することで、代表点に選択された各センサ１００が配置されている場所の影響を考慮して、異常検知を行うことができる。例えば、相隣接した場所に配置された各センサ１００を代表点のセンサとして選択すると、これらのセンサを含むエリア内で停電等が発生した場合、停電が発生したエリア内のセンサから状態データを取得することができない。これに対して、互いに離れた場所に配置された各センサを代表点のセンサとして選択した場合、一方のセンサを含むエリア内で停電等が発生しても、少なくとも、他方のセンサから状態データを取得することができる。なお、予め、センサ１００の個数がＮ個であることが分かっている場合、Ｍ個の代表点を選択する処理を、異常検知装置２００が、各センサ１００から状態データを受信する前に実行することもできる。

次に、検査対象・代表点間スコア算出部２０３は、Ｎ個のセンサ１００に属する各センサ１００とＭ個の代表点（ｐｉｖｏｔ）に属する各代表点との任意の組み合わせ（ペア）毎に、各ペアに属するセンサ１００から得られた状態データと、各ペアに属する代表点から得られた状態データとの一致度合（状態データ同士の一致度合）を示す類似度、或いは状態データ同士の不一致度合を示す距離で定義されるスコアを、センサ１００と代表点との相互相関を示す相関値として、ＮＭ個算出する（Ｓ１０３）。スコアは、例えば、時系列データ同士の相互相関、画像同士の相互相関、動画同士のＥａｒｔｈ Ｍｏｖｅｒ’ｓ Ｄｉｓｔａｎｃｅなどから算出することができる。

次に、メタスコア行列算出部２０４は、検査対象・代表点間スコア算出部２０３の算出による各スコアを、センサ１００毎に並べて、行ベクトルを示すスコアベクトル（相関値を並べた相関ベクトル）を一対生成し、生成した各スコアベクトル同士の類似度（各スコアベクトルを構成するスコア（相関値）同士の一致度合を示す類似度）、或いは各スコアベクトル同士の距離（各スコアベクトルを構成するスコア（相関値）同士の不一致度合を示す距離）で定義されるメタスコアをＮ×Ｎ個算出し、算出した各メタスコアを要素とするメタスコア行列を算出し（Ｓ１０４）、このルーチンでの処理を終了する。

図４は、メタスコア行列算出処理を説明するための概念図である。図４において、この例では、Ｎ個のセンサ１００を、それぞれＳ１、Ｓ２、・・・、Ｓｎとし、代表点の数を示すＭは、Ｍ＝３であり、代表点となるセンサ１００を、それぞれＳ１、Ｓ２、Ｓ３とし、非代表点となるセンサ１００を、それぞれＳ４、Ｓ５、・・・、Ｓｎとしている。

検査対象・代表点間のスコアを算出するに際して、検査対象・代表点間スコア算出部２０３は、Ｎ個のセンサ１００とＭ個（３個）の代表点との組み合わせ（ペア）毎に、各ペアに属するセンサ１００から得られた状態データと、各ペアに属する代表点から得られた状態データとの一致度合（状態データ同士の一致度合）を示す類似度を算出し、算出値をスコアとする。

例えば、Ｎ個のセンサ１００の中のセンサＳ１と、代表点に属するセンサＳ１をペアとした場合、両者の状態データは等しいので、類似度が最も高く、類似度は、「１」として算出される。一方、Ｎ個のセンサ１００の中のセンサＳ１と、代表点に属するセンサＳ２をペアとした場合、両者の状態データの一致度合を求めて、類似度を算出する。この際、類似度が「０．９」と算出された場合、「０．９」をスコアとする。同様に、Ｎ個のセンサ１００の中のセンサＳ１と、代表点に属するセンサＳ３をペアとした場合、両者の状態データの一致度合を求めて、類似度を算出する。この際、類似度が「０．８」と算出された場合、「０．８」をスコアとする。

同様の処理を、Ｎ個のセンサ１００に属するセンサＳ２、・・・、Ｓｎと代表点に属するセンサＳ１、Ｓ２、Ｓ３との各ペアについて実行することで、スコア行列７００を構成する各スコアを算出することができる。なお、Ｎ個のセンサ１００の中のセンサＳ５と、代表点に属するセンサＳ１〜Ｓ３をそれぞれペアとした場合、両者の状態データの類似度が低いので、類似度が、それぞれ「０．０４」、「０．０３」、「０．０２」として算出される。

メタスコア行列算出部２０４は、算出された各スコア（ＮＭ個のスコア）からスコア行列７００を生成することができる。スコア行列７００が生成された場合、メタスコア行列算出部２０４は、Ｎ個のセンサ１００に属するセンサＳ１、・・・、Ｓｎ毎に、各センサに対応するスコアを並べて行ベクトルを生成することで、この行ベクトルをスコアベクトル７０１として生成することができる。この際、センサＳ１に対応するスコアベクトル７０１として、Ｓ１［１ ０．９ ０．８］が生成され、センサＳ２に対応するスコアベクトル７０１として、Ｓ２［０．９ １ ０．９］が生成され、・・・、センサＳｎに対応するスコアベクトル７０１として、Ｓｎ［０．７ ０．８ ０．９］が生成される。

次に、メタスコア行列算出部２０４は、Ｎ個のセンサ１００に属するセンサＳ１、・・・、Ｓｎに対応したスコアベクトル７０１を一対生成し、各スコアベクトル７０１同士の類似度、即ち、各スコアベクトル７０１を構成するスコア同士の類似度を算出する。この際、一方のスコアベクトル７０１の中のセンサＳ１と、他方のスコアベクトル７０１の中のセンサＳ１とをペアとし、両者のコアの類似度を算出し、この算出値をメタスコアとする。例えば、両者のコアの類似度が「１」であれば、「１」をメタスコアとする。また、一方のスコアベクトル７０１の中のセンサＳ１と、他方のスコアベクトル７０１の中のセンサＳ２とをペアとし、両者のコアの類似度が、「０．４」であれば、「０．４」をメタスコアとする。同様の処理を、一方のスコアベクトル７０１の中のセンサＳ２〜Ｓｎと、他方のスコアベクトル７０１の中のセンサＳ２〜Ｓｎとをそれぞれペアとし、両者のコアの類似度を算出し、各算出値をメタスコアとする。メタスコア行列算出部２０４は、各算出されたメタスコアから、各スコアベクトル７０１同士の類似度を要素とするメタスコア行列７０２を生成することができる。

ここで、メタスコアは、例えば、スコアベクトル間のＬｐノルム、相関係数で算出することができる。この際、各センサ１００のスコアベクトル７０１は、各センサ１００を簡潔に表現する特徴量になっている。従って、スコアベクトル７１０からメタスコア行列７０２を高速に算出することができる。この際、メタスコア行列７０２の各要素（メタスコア）は、スコア行列７００の各要素（スコア）と高い相関を持っている。

このように本実施例では、スコア行列７００の要素を一部（センサＳ１〜Ｓｎと代表点なるセンサＳ１〜Ｓ３とのペアの状態データ同士の類似度から得られたスコア）求めた後、スコアベクトル７０１を生成し、生成したスコアベクトル７０１から、スコア行列７００の各要素と高い相関を有する要素を含むメタスコア行列７０２を高速に算出することができる。

図５は、スコアに基づく異常検知処理を説明するためのフローチャートである。この処理は、メタスコア行列７０２が算出された後、開始される。

図５において、まず、優先順位算出部２０５は、メタスコア行列算出部２０４により算出されたメタスコア行例７０２を参照し、Ｎ個のセンサ１００に属する各センサＳ１、Ｓ２、・・・、Ｓｎのメタスコア（計Ｎ個）の平均値を行ベクトル毎に算出し、Ｎ個のセンサ１００に属する各センサＳ１、Ｓ２、・・・、Ｓｎに対して、算出値の小さい順（或いは大きい順）に優先順位（１位、２位、・・・、Ｎ位）を付ける（Ｓ２０１）。この際、優先順位の高い順に、Ｎ個のセンサ１００に属する各センサを、Ｓ０１、Ｓ０２、・・・、Ｓ０ｎとすることができる。なお、各センサＳ１、Ｓ２、・・・、Ｓｎのメタスコア（計Ｎ個）の平均値を算出する代わりに、中央値、最頻値、２５パーセンタイル、７５パーセンタイルなどの統計量を用いても良い。

次に、異常判定部２０６は、異常判定を行ったセンサ数ｉを０に初期化する（ステップＳ２０２）。

この後、異常判定部２０６は、Ｎ個のセンサ１００に属する各センサの中から、優先順位の高い順に判定対象となるセンサを選択し、選択したセンサ、例えば、優先順位の最も高いセンサＳ０１と、代表点以外のセンサであって非代表点となるセンサＳ４〜Ｓｎとの補助ペアを生成し、生成した各補助ペアについて、各補助ペアに属するセンサＳ０１から得られた状態データと、各補助ペアに属する非代表点のセンサＳ４〜Ｓｎから得られた状態データとの類似度から、スコア（計Ｎ−Ｍ個）を算出する（ステップＳ２０３）。

次に、異常判定部２０６は、優先順位の最も高いセンサＳ０１について算出したスコアの平均値と閾値とを比較し、優先順位の最も高いセンサＳ０１が正常か異常かの判定を行う（Ｓ２０４）。ステップＳ２０４で異常と判定した場合、異常判定部２０６は、優先順位の最も高いセンサＳ０１が異常である旨の情報を通信インタフェース２０９を介して管理者に送信する。また、優先順位の最も高いセンサＳ０１が正常か異常かの判定を行う場合、スコア（計Ｎ個）の平均値が、閾値を下回った（或いは上回った）ことを条件に、異常と判定することができる。なお、スコア（計Ｎ個）の平均値の代わりに、中央値、最頻値、２５パーセンタイル、７５パーセンタイルなどの統計量を用いても良い。

次に、異常判定部２０６は、異常判定を行ったセンサ数ｉを１増やし（Ｓ２０５）、この後、異常判定を行ったセンサ数ｉがＮであるか否かを判定し（Ｓ２０６）、異常判定を行ったセンサ数ｉがＮでない場合には、ステップＳ２０３の処理に戻り、ステップＳ２０３〜ステップＳ２０６の処理を繰り返し、異常判定を行ったセンサ数ｉがＮである場合には、このルーチンでの処理を終了する。

図６は、スコアに基づく異常検知処理を説明するための概念図である。図６において、各センサ１００の異常の有無を判定するに際して、優先順位算出部２０５は、メタスコア行列算出部２０４により算出されたメタスコア行例７０２を参照し、Ｎ個のセンサ１００に属する各センサＳ１、Ｓ２、・・・、Ｓｎのメタスコア（計Ｎ個）の平均値を行ベクトル毎に算出し、各算出値を、例えば、「０．３５」、「０．５４」、「０．２３」、「０．３２」、「０．１８」、・・・、「０．３４」とする。この場合、算出値「０．１８」が最も小さいので、Ｎ個のセンサ１００に属するセンサＳ５を、優先順位第１位のセンサＳ０１とする。

次に、異常判定部２０６は、優先順位第１位のセンサＳ０１（Ｎ個のセンサ１００に属するセンサＳ５）と、非代表点となるセンサＳ４〜Ｓｎとの補助ペアを生成し、各補助ペアについて、各補助ペアに属するセンサＳ０１から得られた状態データと、各補助ペアに属する非代表点のセンサＳ４〜Ｓｎから得られた状態データとの類似度から、スコア（「０．０５」、「１」、・・・、「０．０４」）を算出する。

次に、異常判定部２０６は、優先順位の最も高いセンサＳ０１について、スコアの平均値（行ベクトルの平均値）を算出し、算出した平均値、例えば、「０．０４」と閾値とを比較し、算出した平均値が、例えば、閾値を下回っていた場合、優先順位の最も高いセンサＳ０１が、異常と判定する。

ここで、各センサ（検査対象）１００のスコアベクトル７０１は、各センサ１００を簡潔に表現する特徴量になっているため、スコアベクトル７０１の類似度（或いは距離）で定義されるメタスコアの平均値などの統計量が小さい（或いは大きい）ほど、他のセンサ１００とは異なる（即ち、異常である）可能性が高い。このため、メタスコアの値に従って各センサ１００に優先順位を付けて異常判定を行うことで、早い段階で異常なセンサ１００を検知することが可能となる。

また、優先順位に従って選択されたセンサ１００に対しては、選択されたセンサ１００と、代表点及び非代表点との相関を示す各スコアの平均値などの統計量を用いて異常判定を行っているので、スコア行列の要素（計Ｎ×Ｎ個）を全て求めた後、各センサ１００に対して、各スコアの平均値などの統計量を用いて異常判定を行う場合と同じ判定精度を実現することができる。

このように本実施例では、スコア行列７００の要素を一部（各センサ１００と代表点Ｓ１〜Ｓ３との相関を示すスコア）求めて、メタスコア行列７０２を生成した後、メタスコアの平均値などの統計量が小さい（或いは大きい）順に優先順位を付け、優先順位の高いセンサ（検査対象）と非代表点とのスコアを算出し、算出したスコアの値を基に各センサ１００の異常の有無を判定している。こうすることで、スコア行列７００の要素（計Ｎ×Ｎ個）を全て求めた後、各センサ１００に対して、スコア行列７００のスコアの値を基に、異常の有無を判定する場合と同じ判定精度を実現しつつ、高速に、センサ１００の異常検知を行うことができる。

図７は、センサを可視化する処理を説明するためのフローチャートである。この処理は、メタスコア行列が算出された後、ＣＰＵ６００によって開始される。

図７において、異常検知装置２００の可視化情報生成部２０７は、メタスコア行列算出部２０４の算出によるメタスコア行列７０２に対してクラスタリング或いは多次元尺度構成法を用いることで、Ｎ個のセンサ１００の可視化情報を生成する（Ｓ３０１）。Ｎ個のセンサ１００の可視化情報を生成する場合、例えば、Ｗａｒｄ法などのクラスタリング手法を用いて樹形図を生成する方法や、多次元尺度構成法を用いて検査対象を二次元空間にマッピングする方法を採用することができる。前者の場合は、樹形図が、後者の場合は、検査対象の二次元空間へのマッピング情報が可視化情報となる。

次に、可視化情報生成部２０７は、生成した可視化情報を監視装置３００に送信する（Ｓ３０２）。

可視化情報を受信した監視装置３００では、可視化情報表示部３０１が、受信した可視化情報をディスプレイ（出力装置６０４）に表示し（Ｓ３０３）、このルーチンでの処理を終了する。

図８は、可視化情報を表示する処理を説明するための概念図である。図８において、可視化情報表示部３０１は、受信した可視化情報をディスプレイ（出力装置６０４）に表示するに際して、メタスコア行列７０２に対して、多次元尺度構成法を用いて各センサＳ１〜Ｓｎの画像を二次元空間にマッピングする。この際、ほとんどのセンサ１００の画像８００は、表示領域の左下の方にマッピングされているが、表示領域の右側には、４つのセンサ１００の画像８０１〜８０４がマッピングされ、表示領域の上側には、２つのセンサ１００の画像８０５、８０６がマッピングされていることが分かる。

通常、ほとんどのセンサ１００は正常であることを考慮すると、右側と上側にマッピングされているセンサ１００の画像８０１〜８０６が異常であると判断することができる。また、右側にマッピングされている４つのセンサ１００の画像８０１〜８０４と、上側にマッピングされている２つのセンサ１００の画像８０５、８０６は、種類の異なる異常センサ１００の画像であることが分かる。例えば、監視カメラの動画において、右側の４つのセンサ１００の画像８０１〜８０４は、不審者Ａの動画であり、上側の２つのセンサ１００の画像８０５〜８０６は不審者Ｂの動画である。

このように、各センサ１００の画像８００〜８０６を可視化することで、センサ１００全体を俯瞰した上で、複数の異常センサの検知やその分類（例えば、不審者Ａと不審者Ｂの分類）を行うことができる。また、この可視化情報は、メタスコア行列７０２から生成しているため、スコア行列７００の要素を全て求めることなく、得ることができる。

このように本実施例では、スコア行列７００の要素を一部求めて、メタスコア行列７０２を生成した後、メタスコア行列７０２を基に可視化情報を生成する。こうすることで、センサ数Ｎが大きい場合でも、高速に可視化情報を得ることができ、センサ１００全体を俯瞰した上で複数の異常センサの検知やその分類を行うことができる。

また、各センサ（検査対象）１００のスコアベクトル７０１は、各センサ１００を簡潔に表現する特徴量であり、スコアベクトル７０１のメタスコアの平均値などの統計量が小さい（或いは大きい）ほど、センサ１００に異常が発生している可能性が高い。このため、異常判定部２０６は、各センサ１００の異常の有無を判定するに際して、メタスコア行列算出部２０４の算出によるメタスコア行列の中のいずれかの行ベクトルの値を基に当該行ベクトルに対応したセンサ（行ベクトルに属する複数のメタスコアの算出元となるセンサ）の異常の有無を判定することで、より高速にセンサの異常を検知することができる。例えば、異常判定部２０６は、メタスコア行列７０２のうち、センサ５に対応した行ベクトルに属するメタスコアの平均値と閾値とを比較して、センサ５の異常の有無を判定することができる。

本実施例によれば、スコア行列７００を算出するに際して、Ｎ（センサ数）×Ｎ個のスコアを算出することなく、Ｎ（センサ数）×代表点（３個）のスコアを算出するだけでよいので、センサ数Ｎセンサ数Ｎが大きい場合でも、各センサ１００の異常の有無を高速に判定することができる。また、優先順位の高い順（状態データの類似度の低い順）に、各センサの異常の有無を判定することで、異常センサをより高速に検知することができる。さらに、代表点となるセンサ１００として、互いに離れた位置に配置されたセンサ１００を選択することで、センサ１００が配置された環境の影響を考慮して、センサ１００の異常を検知することができる。

本実施例は、トラヒック種別毎のネットワークトラヒックを検査対象とし、Ｎ（Ｎは２以上の整数）個のトラヒック種別のネットワークトラヒックに対して異常検知を行うシステムである。トラヒック種別としては、ＴＣＰ（Transmission Control Protocol）、ＩＰ（Internet Protocol）などのプロトコルやＡＣＫ（Acknowledgement）、ＳＹＮ（Synchronization）などのフラグなどによってトラヒックを分類するものを用いることができる。

図９は、本発明の実施例２を示す異常検知システムの構成図である。図９において、異常検知システムは、測定されたネットワークトラヒックに対して異常検知を行う異常検知装置２００と、検査対象の可視化情報を表示する監視装置３００及びネットワーク５００から構成され、異常検知装置２００が、監視対象ネットワーク７００に接続される。監視対象ネットワーク７００は、例えば、インターネット、キャリア網などから構成される。

異常検知装置２００は、実施例１と同様に、代表点選択部２０１と、検査対象・代表点間スコア算出部２０３と、メタスコア行列算出部２０４と、優先順位算出部２０５と、異常判定部２０６と、可視化情報生成部２０７と、通信インタフェース（Ｉ／Ｆ）２０９を有し、さらに、実施例１とは異なり、状態データ抽出部２０２と、トラヒック測定部２０８を備えて構成される。なお、異常検知装置２００と監視装置３００のハードウェアは、実施例１と同様の構成である（図２参照）。

トラヒック測定部２０８は、通信インタフェース（Ｉ／Ｆ）２０９を介して、監視対象ネットワーク７００のネットワークトラヒックを測定する機能を有する。状態データ抽出部２０２は、トラヒック測定部２０８の測定結果から、トラヒック種別毎にネットワークトラヒックの状態データ、例えば、タイムスロット毎にカウントしたパケット数を並べたベクトルを抽出する機能を有する。なお、代表点選択部２０１と、検査対象・代表点間スコア算出部２０３と、メタスコア行列算出部２０４と、優先順位算出部２０５と、異常判定部２０６と、可視化情報生成部２０７及び通信インタフェース（Ｉ／Ｆ）２０９は、検査対象として、センサ１００の代わりに、Ｎ個のトラヒック種別毎のネットワークトラヒックを用いるが、処理内容は、実施例１と同様である。

図１０は、実施例２におけるメタスコア行列算出処理を説明するためのフローチャートである。

図１０において、異常検知装置２００のトラヒック測定部２０８は、通信インタフェース（Ｉ／Ｆ）２０９を介して、監視対象ネットワーク７００からネットワークトラヒックを測定する（Ｓ４０１）。

次に、状態データ抽出部２０２は、トラヒック測定部２０８の測定結果から、トラヒック種別毎にネットワークトラヒックの状態データ、例えば、タイムスロット毎にカウントしたパケット数を並べたベクトルを抽出する（Ｓ４０２）。

次に、代表点選択部２０１は、Ｎ個（Ｓ１、Ｓ２、Ｓ３、・・・、Ｓｎ）のネットワークトラヒック（検査対象）の中から、Ｍ個（Ｍは、Ｎよりも小さい１以上の整数）のネットワークトラヒックを代表点（ｐｉｖｏｔ）として選択する（Ｓ１０２）。Ｍ個のネットワークトラヒックを代表点として選択する場合、Ｎ個のネットワークトラヒックの中からランダムに選択することができる。

次に、検査対象・代表点間スコア算出部２０３は、Ｎ個のネットワークトラヒック（検査対象）に属する各ネットワークトラヒックとＭ個の代表点（ｐｉｖｏｔ）に属する各代表点との任意の組み合わせ（ペア）毎に、各ペアに属するネットワークトラヒックから得られた状態データと、各ペアに属する代表点から得られた状態データとの一致度合（状態データ同士の一致度合）を示す類似度、或いは状態データ同士の不一致度合を示す距離で定義されるスコアを、ネットワークトラヒックと代表点との相互相関を示す相関値として、ＮＭ個算出する（Ｓ１０３）。スコアは、例えば、タイムスロット毎にカウントしたパケット数を並べたベクトル同士の相関係数などから算出することができる。

次に、メタスコア行列算出部２０４は、検査対象・代表点間スコア算出部２０３の算出による各スコアを、トラヒック種別毎に並べて、行ベクトルを示すスコアベクトル（相関値を並べた相関ベクトル）を一対生成し、生成した各スコアベクトル同士の類似度（各スコアベクトルを構成するスコア（相関値）同士の一致度合を示す類似度）、或いは各スコアベクトル同士の距離（各スコアベクトルを構成するスコア（相関値）同士の不一致度合を示す距離）で定義されるメタスコアをＮ×Ｎ個算出し、算出した各メタスコアを要素とするメタスコア行列を算出し（Ｓ１０４）、このルーチンでの処理を終了する。なお、メタスコアは、例えば、スコアベクトル間のＬｐノルム、相関係数から算出することができる。

この後、優先順位算出部２０５は、メタスコア行列算出部２０４の算出によるメタスコア行列を参照し、図５のステップＳ２０１と同様の処理を実行し、Ｎ個のネットワークトラヒックのメタスコア（計Ｎ個）の平均値を行ベクトル毎に算出し、Ｎ個のネットワークトラヒックに対して、算出値の小さい順（或いは大きい順）に優先順位（１位、２位、・・・、Ｎ位）を付ける。

次に、異常判定部２０６は、図５のステップＳ２０２〜ステップＳ２０６と同様の処理を実行し、Ｎ個のネットワークトラヒックの中から、優先順位の高い順に、判定対象となるネットワークトラヒックを選択し、選択したネットワークトラヒック、例えば、優先順位の最も高いネットワークトラヒックと、代表点以外のネットワークトラヒックであって非代表点となるネットワークトラヒックとの補助ペアを生成し、生成した各補助ペアについて、各補助ペアに属するネットワークトラヒックから得られた状態データと、各補助ペアに属する非代表点のネットワークトラヒックから得られた状態データとの類似度から、スコア（計Ｎ−Ｍ個）を算出する。

次に、異常判定部２０６は、優先順位の最も高いネットワークトラヒックについて算出したスコアの平均値と閾値とを比較し、優先順位の最も高いネットワークトラヒックが正常か異常かの判定を行う。この後、異常判定部２０６は、優先順位の高い順に、各ネットワークトラヒックについて算出したスコアの平均値と閾値とを比較し、各ネットワークトラヒックが正常か異常かの判定を行う。

また、可視化情報生成部２０７は、図７のステップＳ３０１〜ステップＳ３０２と同様の処理を実行し、メタスコア行列算出部２０４の算出によるメタスコア行列に対して、クラスタリング或いは多次元尺度構成法を用いることで、Ｎ個のネットワークトラヒックの可視化情報を生成し、生成した可視化情報を監視装置３００に送信する。監視装置３００は、図７のステップＳ３０３と同様の処理を実行し、受信した可視化情報をディスプレイ（出力装置６０４）に表示する。

本実施例によれば、ネットワークトラヒック数Ｎが大きい場合でも、各ネットワークトラヒックの異常の有無を高速に判定することができる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、異常検知装置２００の出力装置６０４を、監視装置３００の可視化情報表示部３０１と同一の機能を有する可視化情報表示部として構成することもできる。

また、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能等は、それらの一部又は全部を、例えば、集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、または、ＩＣ（Integrated Circuit）カード、ＳＤ（Secure Digital）メモリカード、ＤＶＤ（Digital Versatile Disc）等の記録媒体に記録して置くことができる。

１００ センサ、１０１ 通信インタフェース部、１１０ データベース、１１１ 状態データ、２００ 異常検知装置、２０１ 代表点選択部、２０２ 状態データ抽出部、２０３ 検査対象・代表点間スコア算出部、２０４ メタスコア行列算出部、２０５ 優先順位算出部、２０６ 異常判定部、２０７ 可視化情報生成部、２０８ トラヒック測定部、２０９ 通信インタフェース部、３００ 監視装置、３０１ 可視化情報表示部、３０２ 通信インタフェース部、４００ ネットワーク、５００ ネットワーク、６００ ＣＰＵ、６０１ メモリ、６０２ ＨＤＤ、６０３ 入力装置、６０４ 出力装置、６０５ 通信装置、 ７００ 監視対象ネットワーク。

Claims (15)

1. 状態データの発生元となる複数個の検査対象の中から、当該複数個の検査対象よりも数の少ない、１以上の検査対象を代表点として選択する代表点選択部と、
   前記各検査対象と前記代表点との組み合わせから構成される複数のペアを生成し、前記各ペアに属する検査対象から得られた状態データと前記各ペアに属する代表点から得られた状態データ同士の類似度又は距離で定義されるスコアを前記ペア毎に算出するスコア算出部と、
   前記スコア算出部の各算出結果を基にメタスコア行列を算出するメタスコア行列算出部と、
   前記メタスコア行列算出部の算出によるメタスコア行列の中のいずれかの行ベクトルの値を基に当該行ベクトルに対応する検査対象の異常の有無を判定する異常判定部と、を有し、
   前記メタスコア行列算出部は、
   前記スコア算出部の各算出結果から、前記各ペアのスコアを要素に含むスコア行列を生成し、当該生成したスコア行列に属する複数の行ベクトルであって、前記各検査対象の特徴量を示す複数のスコアベクトル同士の類似度又は距離で定義されるメタスコアを前記スコアベクトル毎に算出し、当該各算出結果から、前記各スコアベクトルのメタスコアを要素に含むメタスコア行列を算出してなることを特徴とする異常検知装置。
2. 請求項１に記載の異常検知装置であって、
   前記メタスコア行列算出部の算出によるメタスコア行列を構成する各行ベクトルの値を基に前記各検査対象の優先順位を算出する優先順位算出部を有し、
   前記異常判定部は、
   前記優先順位算出部により算出された優先順位の高い順に前記検査対象を選択し、前記メタスコア行列算出部の算出によるメタスコア行列を構成する各行ベクトルの値のうち、前記選択した検査対象に対応した行ベクトルの値と閾値とを比較して、前記選択した検査対象の異常の有無を判定することを特徴とする異常検知装置。
3. 請求項１に記載の異常検知装置であって、
   前記メタスコア行列算出部の算出によるメタスコア行列を構成する各行ベクトルの値を基に前記各検査対象の優先順位を算出する優先順位算出部を有し、
   前記異常判定部は、
   前記優先順位算出部により算出された優先順位に高い順に前記検査対象を選択し、前記選択した検査対象と、前記代表点から外れた検査対象を示す非代表点との組み合わせから構成される複数の補助ペアを生成し、前記選択した検査対象から得られた状態データと、前記非代表点から得られた状態データ同士の類似度又は距離で定義されるスコアを前記補助ペア毎に算出し、前記算出した各スコアと、前記スコア算出部の算出によるスコアのうち前記選択した検査対象と前記代表点との相関から得られたスコアとを含む行ベクトルの値と閾値とを比較して、前記選択した検査対象の異常の有無を判定することを特徴とする異常検知装置。
4. 請求項１に記載の異常検知装置であって、
   前記メタスコア行列算出部の算出によるメタスコア行列に対してクラスタリング或いは多次元尺度構成法を用いて、前記各検査対象の可視化情報を生成する可視化情報生成部と、
   前記可視化情報生成部の生成による可視化情報をディスプレイに表示する可視化情報表示部と、を有することを特徴とする異常検知装置。
5. 請求項１に記載の異常検知装置であって、
   前記代表点選択部は、
   複数個の検査対象の中から、互いに離れた場所に配置された、２以上の検査対象を前記代表点として選択してなることを特徴とする異常検知装置。
6. 請求項１に記載の異常検知装置であって、
   ネットワークのネットワークトラヒックを測定するトラヒック測定部と、
   前記トラヒック測定部の測定結果から、トラヒック種別毎にネットワークトラヒックの状態データを抽出し、抽出した状態データを前記スコア算出部に転送する状態データ抽出部を有することを特徴とする異常検知装置。
7. 請求項１〜５のうちいずれか１項に記載の異常検知装置であって、
   前記検査対象は、
   検出対象又は監視対象、或いは制御対象から得られた状態データを発生するセンサであることを特徴とする異常検知装置。
8. 請求項６に記載の異常検知装置であって、
   前記検査対象は、
   トラヒック種別毎に分類されたネットワークトラヒックであって、タイムスロット毎にカウントしたカウント数を並べたベクトルを状態データとするネットワークトラヒックであることを特徴とする異常検知装置。
9. 状態データの発生元となる複数個の検査対象に対する異常検知を行う異常検知装置と、
   前記異常検知装置とネットワークを介して情報の授受を行って、前記検査対象を監視する監視装置と、を有する異常検知システムであって、
   前記異常検知装置は、
   前記複数個の検査対象の中から、当該複数個の検査対象よりも数の少ない、１以上の検査対象を代表点として選択する代表点選択部と、
   前記各検査対象と前記代表点との組み合わせから構成される複数のペアを生成し、前記各ペアに属する検査対象から得られた状態データと前記各ペアに属する代表点から得られた状態データ同士の類似度又は距離で定義されるスコアを前記ペア毎に算出するスコア算出部と、
   前記スコア算出部の各算出結果を基にメタスコア行列を算出するメタスコア行列算出部と、
   前記メタスコア行列算出部の算出によるメタスコア行列の中のいずれかの行ベクトルの値を基に当該行ベクトルに対応する検査対象の異常の有無を判定する異常判定部と、
   前記メタスコア行列算出部の算出によるメタスコア行列の中のいずれかの行ベクトルの値を基に当該行ベクトルに対応する検査対象の異常の有無を判定する異常判定部と、
   前記メタスコア行列算出部の算出によるメタスコア行列に対してクラスタリング或いは多次元尺度構成法を用いて、前記各検査対象の可視化情報を生成する可視化情報生成部と、を有し、
   前記監視装置は、
   前記可視化情報生成部の生成による可視化情報をディスプレイに表示する可視化情報表示部を有し、
   前記異常検知装置のメタスコア行列算出部は、
   前記スコア算出部の各算出結果から、前記各ペアのスコアを要素に含むスコア行列を生成し、当該生成したスコア行列に属する複数の行ベクトルであって、前記各検査対象の特徴量を示す複数のスコアベクトル同士の類似度又は距離で定義されるメタスコアを前記スコアベクトル毎に算出し、当該各算出結果から、前記各スコアベクトルのメタスコアを要素に含むメタスコア行列を算出してなることを特徴とする異常検知システム。
10. 請求項９に記載の異常検知システムであって、
    前記異常検知装置は、
    前記メタスコア行列算出部の算出によるメタスコア行列を構成する各行ベクトルの値を基に前記各検査対象の優先順位を算出する優先順位算出部を有し、
    前記異常判定部は、
    前記優先順位算出部により算出された優先順位の高い順に前記検査対象を選択し、前記メタスコア行列算出部の算出によるメタスコア行列を構成する各行ベクトルの値のうち、前記選択した検査対象に対応した行ベクトルの値と閾値とを比較して、前記選択した検査対象の異常の有無を判定することを特徴とする異常検知システム。
11. 請求項９に記載の異常検知システムであって、
    前記異常検知装置は、
    前記メタスコア行列算出部の算出によるメタスコア行列を構成する各行ベクトルの値を基に前記各検査対象の優先順位を算出する優先順位算出部を有し、
    前記異常判定部は、
    前記優先順位算出部により算出された優先順位に高い順に前記検査対象を選択し、前記選択した検査対象と、前記代表点から外れた検査対象を示す非代表点との組み合わせから構成される複数の補助ペアを生成し、前記選択した検査対象から得られた状態データと、前記非代表点から得られた状態データ同士の類似度又は距離で定義されるスコアを前記補助ペア毎に算出し、前記算出した各スコアと、前記スコア算出部の算出によるスコアのうち前記選択した検査対象と前記代表点との相関から得られたスコアとを含む行ベクトルの値と閾値とを比較して、前記選択した検査対象の異常の有無を判定することを特徴とする異常検知システム。
12. 請求項９に記載の異常検知システムであって、
    前記代表点選択部は、
    複数個の検査対象の中から、互いに離れた場所に配置された、２以上の検査対象を前記代表点として選択してなることを特徴とする異常検知システム。
13. 請求項９に記載の異常検知システムであって、
    前記異常検知装置は、
    監視対象ネットワークのネットワークトラヒックを測定するトラヒック測定部と、
    前記トラヒック測定部の測定結果から、トラヒック種別毎にネットワークトラヒックの状態データを抽出し、抽出した状態データを前記スコア算出部に転送する状態データ抽出部を有することを特徴とする異常検知システム。
14. 請求項９〜１２のうちいずれか１項に記載の異常検知システムであって、
    前記検査対象は、
    検出対象又は監視対象、或いは制御対象から得られた状態データを発生するセンサであることを特徴とする異常検知システム。
15. 請求項１３に記載の異常検知システムであって、
    前記検査対象は、
    トラヒック種別毎に分類されたネットワークトラヒックであって、タイムスロット毎にカウントしたカウント数を並べたベクトルを状態データとするネットワークトラヒックであることを特徴とする異常検知システム。

Images