JP6315528B1 - 異常検知モデル構築装置、異常検知モデル構築方法及びプログラム - Google Patents

Abstract

【課題】汎用性が高い異常検知モデル構築装置等を提供する。【解決手段】異常検知モデル構築装置１００は、データ取得部１５１と、特性判別部１５２と、データ特定受付部１５３と、シミュレーション実行部１５４とを備える。データ取得部１５１は、時系列のサンプリングデータをデータセットとして受け付ける。特性判別部１５２は、データ取得部１５１が取得したデータセットが、予め定められた複数の特性のうちユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する。データ特定受付部１５３は、データセットにおいて、ユーザによる正常データ又は異常データの特定を受け付ける。シミュレーション実行部１５４は、アルゴリズムに基づいて、異常検知のシミュレーションを実行し、データ特定受付部１５３が特定を受け付けた正常データ又は異常データを正答とした場合の評価を行う。【選択図】図１

Description

本開示は、異常検知モデル構築装置、異常検知モデル構築方法及びプログラムに関する。

近年、予め収集された計測データを使用して異常検知モデルを構築し、その異常検知モデルに基づいて監視対象の異常を検出するシステムが普及している。このようなシステムによれば、ユーザの監視負担を軽減することができる。

例えば、特許文献１は、工作機器の負荷電流を監視して工作機器の異常を検出する監視方法を開示している。この方法では、予め収集された計測データの標準偏差値に基づいて上限値波形と下限値波形が設定される。監視時において、計測データが上限値波形及び下限値波形が示す正常範囲から逸脱した場合に、工作機器に異常があると判別される。

特許文献２は、公知技術として、クラスタリングによる異常診断方法を開示している。この方法では、予め収集された計測データに基づいてクラスタが設定される。診断時において、計測データが散布図におけるクラスタから閾値以上の距離だけ離れている場合に、異常があると判別される。

特開２００２−３４１９０９号公報 特開２０１６−１３３９４４号公報

特許文献１が開示する異常検知モデルは、同じワーク加工を繰り返す場合に負荷電流の特性がほとんど同じであることを前提としている。特許文献２が開示する異常検知モデルは、エンジン温度と冷却水圧力との間に相関があることを前提としている。

このように、特許文献１、２が開示する異常検知モデルでは、計測データに既知の一つの特性があることが前提となっている。そのため、これらの異常検知モデルは、計測データに既知の一つの特性がない場合には適用できない。

また、特許文献２が開示する異常検知モデルは、２つの計測データ（エンジン温度と冷却水圧力）を多軸分析して異常を検知するものである。そのため、特許文献２が開示する異常検知モデルを特許文献１が開示する異常検知モデルの代わりに適用して、１つの計測データ（負荷電流）を単軸分析して異常を検知することはできない。また、特許文献１が開示する異常検知モデルを特許文献２が開示する異常検知モデルの代わりに適用することもできない場合がある。

このように、監視対象となる計測データに既知の一つの特性があることを前提とする異常検知モデルでは、用途が限られる。したがって、汎用性が低い。

そこで、本開示はこのような事情に鑑み、汎用性が高い異常検知モデル構築装置等を提供することを目的とする。

上記目的を達成するため、本開示の第１の観点に係る異常検知モデル構築装置は、アルゴリズムに基づいて異常を検知する異常検知モデルを構築するための異常検知モデル構築装置であって、時系列のサンプリングデータをデータセットとして受け付けるデータ取得部と、データ取得部が取得したデータセットが、予め定められた複数の特性のうちユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する特性判別部と、データセットにおいて、ユーザによる正常データ又は異常データの特定を受け付けるデータ特定受付部と、いずれか一つ以上の特性のうち特性判別部により特性を有していると判別されたいずれか一つの特性に関連づけられたアルゴリズムに基づいて、データセットに対して異常検知のシミュレーションを実行し、データ特定受付部が特定を受け付けた正常データ又は異常データを正答とした場合のアルゴリズムの評価を行うシミュレーション実行部と、を備えることを特徴とする。

また、上記目的を達成するため、本開示の第２の観点に係る異常検知モデル構築方法は、アルゴリズムに基づいて異常を検知する異常検知モデルを構築するための異常検知モデル構築方法であって、時系列のサンプリングデータをデータセットとして受け付けるデータ取得ステップと、予め定められた複数の特性のうちいずれか一つ以上の特性のユーザによる選択を受け付ける第１の選択受付ステップと、データ取得ステップにおいて取得したデータセットが、第１の選択受付ステップにおいてユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する特性判別ステップと、特性判別ステップにおいて特性を有していると判別された特性のうちいずれか一つの特性をユーザに選択させ、選択を受け付ける第２の選択受付ステップと、データセットにおいて、ユーザによる正常データ又は異常データの特定を受け付けるデータ特定受付ステップと、第２の選択受付ステップにおいて選択された特性に関連づけられたアルゴリズムに基づいて、データセットに対して異常検知のシミュレーションを実行し、データ特定受付ステップにおいて特定を受け付けた正常データ又は異常データを正答とした場合のアルゴリズムの評価を行うシミュレーション実行ステップと、を含むことを特徴とする。

また、上記目的を達成するため、本開示の第３の観点に係るプログラムは、コンピュータを、時系列のサンプリングデータをデータセットとして受け付けるデータ取得手段、データ取得手段が取得したデータセットが、予め定められた複数の特性のうちユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する特性判別手段、データセットにおいて、ユーザによる正常データ又は異常データの特定を受け付けるデータ特定受付手段、いずれか一つ以上の特性のうち特性判別手段により特性を有していると判別されたいずれか一つの特性に関連づけられたアルゴリズムに基づいて、データセットに対して異常検知のシミュレーションを実行し、データ特定受付手段が特定を受け付けた正常データ又は異常データを正答とした場合のアルゴリズムの評価を行うシミュレーション実行手段、として機能させる。

本開示によれば、汎用性が高い異常検知モデル構築装置等を提供することができる。

第１実施形態に係る異常検知モデル構築装置の構成例を示すブロック図である。 予め定められた複数の特性と複数のアルゴリズムとを関連づけた情報テーブルの一例を示す図である。 データセットの特性を選択する操作画面の一例を示す図である。 データセットの特性の判別結果の一例を示す図である。 正常データ又は異常データの特定を受け付ける操作画面の一例を示す図である。 シミュレーションによる評価結果の一例を示す図である。 異常検知モデル構築処理の一例を示すフローチャートである。 第２実施形態に係る異常検知モデル構築装置の構成例を示すブロック図である。 異常検知モデル再構築処理の一例を示すフローチャートである。 変形例に係る異常検知モデル構築装置の構成例を示すブロック図である。

以下、本開示の実施形態について図面を参照しながら説明する。なお、以下の実施形態において説明される構成の全てが、本開示の必須構成要件であるとは限らない。

（第１実施形態）
本実施形態では、予め収集された計測データを使用して異常検知モデルを構築する異常検知モデル構築装置１００について説明する。

＜構成＞
図１に示すように、異常検知モデル構築装置１００は、他の装置と通信を行う通信部１１０と、ユーザの操作を受け付ける操作部１２０と、各種データを記憶する記憶部１３０と、各種画像を表示する表示部１４０と、装置全体の制御を行う制御部１５０と、を備える。これらの構成要素は、バスラインＢＬによって相互に接続される。

通信部１１０は、有線通信又は無線通信を行うためのＮＩＣ（Network Interface Card controller）を備える通信インターフェースである。通信部１１０は、センサ、通信装置等と通信を行う。

例えば、通信部１１０は、予め収集されたセンサの計測データである時系列のサンプリングデータを受信する。なお、通信部１１０は、後述する特性判別プログラム、アルゴリズム等を受信してもよい。

操作部１２０は、操作ボタン、キーボード、ポインティングデバイス等から構成される。操作部１２０は、ユーザが指示を入力するために用いられるインターフェースである。

記憶部１３０は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等から構成される。記憶部１３０は、各種プログラム、入力データ等を記憶する。

各種プログラムは、後述する異常検知モデル構築処理を実行するためのプログラムを含む。異常検知モデル構築処理を実行するためのプログラムは、データセットが予め定められた特性を有しているか否かを判別する特性判別プログラムと、異常の検知又はそのシミュレーションを実行する場合に使用されるアルゴリズムとを含む。

また、記憶部１３０は、図２に示す情報テーブルを記憶する。この情報テーブルは、予め定められた複数の特性と、それらの複数の特性のそれぞれに関連づけられた複数のアルゴリズムとが関連づけられた情報テーブルである。

複数の特性は、正規性、周期性、相関、変化点、回帰適合度である。正規性は、正規分布を示す特性である。周期性は、周期的な変動を含む特性である。相関は、複数のデータセットの間の相関係数が高い特性である。変化点は、変化スコアを算出することによって、緩やかな変化と、外れ値と、急激な変化が生じる変化点とを検出できる特性である。回帰適合度は、特定時点までのデータセットについて回帰分析を繰り返すことによって、特定時点以降のデータの推移を示す近似式を生成できる特性である。

複数のアルゴリズムには、特性ごとに既知のアルゴリズムを用いることができる。複数のアルゴリズムには、オープンソースが使用されてもよい。正規性には、２つのアルゴリズム（MahalanobisとLOF）が関連づけられている。相関には、３つのアルゴリズム（One Class SVMとIsolation ForestとLOF）が関連づけられている。周期性には、２つのアルゴリズム（S-H-ESDとSparse Coding）が関連づけられている。回帰適合度には、２つのアルゴリズム（RegressionとGaussian Process）が関連づけられている。変化点には、２つのアルゴリズム（BreakoutとChange Finder）が関連づけられている。

表示部１４０は、例えば、ＬＣＤ（Liquid Crystal Display）、ＥＬ（Electroluminescence）ディスプレイ等によって構成される。表示部１４０は、制御部１５０からの入力データに応じてテキスト、画像等を表示する。

制御部１５０は、ＣＰＵ（Central Processing Unit）等から構成される。制御部１５０は、記憶部１３０に記憶されているプログラムを実行することにより、異常検知モデル構築装置１００の全体の動作を制御する。

以下、制御部１５０の機能的な構成を説明する。制御部１５０は、データ取得部１５１、特性判別部１５２、データ特定受付部１５３、シミュレーション実行部１５４、表示制御部１５５として機能する。

データ取得部１５１は、通信部１１０を介して受信した時系列のサンプリングデータをデータセットとして受け付ける。通信部１１０を介して受信した時系列のサンプリングデータが記憶部１３０に記憶されている場合には、データ取得部１５１は、記憶部１３０から読み出したデータをデータセットして受け付ける。このように、データ取得部１５１は、通信部１１０又は記憶部１３０を介してデータセットを取得する。

特性判別部１５２は、データ取得部１５１が取得したデータセットが、予め定められた複数の特性のうちユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する。具体的には、特性判別部１５２は、記憶部１３０の情報テーブルが示す５つの特性（正規性、周期性、相関、変化点、回帰適合度）のうち、ユーザによって選択された特性の有無を判別する。例えば、正規性の有無は、データセットからヒストグラムを算出し、その結果を確率分布の類似度（ＫＳ検定）にて検定し、正規分布に従っているか否かによって判別される。周期性の有無は、データセットを高速フーリエ変換（ＦＦＴ）し、周波数スペクトルに基づいて判別される。

データ特定受付部１５３は、データ取得部１５１が取得したデータセットにおいて、ユーザによる正常データ又は異常データの特定を受け付ける。具体的には、後述する表示制御部１５５が、特性判別部１５２によって特性を有していると判別されたデータセットを時系列で示すグラフで表示している間において、データ特定受付部１５３は、正常データ又は異常データの特定を受け付ける。データ特定受付部１５３は、データセットを時系列で示すグラフにおいてユーザが特定した正常データ又は異常データに、正常ラベル又は異常ラベルを付与する。

シミュレーション実行部１５４は、異常検知のシミュレーションを実行する。シミュレーションは、特性判別部１５２により特性を有していると判別されたいずれか一つの特性に関連づけられた複数のアルゴリズムに基づいて実行される。シミュレーション実行部１５４は、複数のアルゴリズムのそれぞれについて、データ特定受付部１５３が特定を受け付けた正常データ又は異常データを正答とした場合の評価を行う。

また、シミュレーション実行部１５４は、アルゴリズムにおいて、それぞれ異なるパラメータを設定した複数のパターンに基づいてシミュレーションを実行する。複数のパターンのそれぞれに設定されているパラメータは予め定められた値である。シミュレーション実行部１５４は、それらの複数のパターンのうち評価が最も高いパターンを最適モデルとして選択する。

複数のパターンは、いくつであってもよいが、本実施形態では、３つのパターンである。例えば、正規性についてシミュレーションを実行する場合、シミュレーション実行部１５４は、２つのアルゴリズムのそれぞれにおいて３パターンのシミュレーションを実行するため、合計６パターンのシミュレーションが実行される。

表示制御部１５５は、表示部１４０を制御して、テキスト、画像等を表示する。例えば、表示制御部１５５は、データセットの特性を選択する操作画面、データセットの特性の判別結果、正常データ又は異常データの特定を受け付ける操作画面、シミュレーションによる評価結果等を表示する。

＜各種画面＞
ここで、表示制御部１５５によって表示される各種画面の例を説明する。図３は、データセットの特性を選択する操作画面の一例を示している。この画面は、異常検知モデル構築装置１００がデータセットを取得した後に表示される。

表示制御部１５５は、この画面を表示している間において、操作部１２０を介したユーザによるデータセットの特性の選択を受け付ける。ユーザは、チェックボックスにチェックを入れることにより、正規性、相関、周期性、回帰適合度、変化点のいずれか一つ以上を選択することができる。

図３の例は、正規性、相関、周期性、回帰適合度、変化点のうち、正規性と周期性と変化点とが選択された状態を示している。なお、この例では、データセットに含まれる計測データが１種類の場合であるため、２種類以上の計測データを必要とする相関のチェックボックスは選択できない状態になっている。

この画面においてデータセットの特性が選択されている場合には、特性判別部１５２がデータ特性判別処理を実行する指示を受け付ける。データ特性判別処理は、ユーザが操作部１２０を介して、ボタンＰ１をクリック又はタップした場合に実行される。特性判別部１５２は、操作部１２０を介してユーザによるデータセットの特性の選択を受け付ける。

図４は、データセットの特性の判別結果の一例を示している。この画面は、データ特性判別処理の実行後に表示される。この例は、図３において正規性と周期性と変化点とが選択され、データ特性判別処理が実行された場合の判別結果を示している。

この判別結果では、正規性の判別結果が×であるため、データセットに含まれる計測データが正規性の特性を有していないことがわかる。一方、周期性と変化点の判別結果は○であるため、データセットに含まれる計測データが周期性と変化点の特性を有していることがわかる。また、周期性又は変化点の特性から異常検知が可能であるため、異常検知可否の判別結果は可となっている。

この状態において、特性を有していると判別された周期性と変化点については、判別結果の部分がボタンＰ２とボタンＰ３になっている。ユーザはボタンＰ２又はボタンＰ３をクリック又はタップして、周期性と変化点とのいずれか一つの特性を、シミュレーションに使用する特性として選択することができる。シミュレーションに使用する特性の選択操作を受け付けると、表示制御部１５５は正常データ又は異常データの特定を受け付ける操作画面を表示する。

図５は、正常データ又は異常データの特定を受け付ける操作画面の一例を示している。この例は、シミュレーションに使用する特性として周期性が選択されている場合を示している。また、この例は、データセットに含まれる計測データの集計期間が２０１６年１２月１４日の０：００から２０１７年２月１５日の２３：５５までである場合を示している。

この画面の上部には、データセットを時系列で示すグラフＳ１が表示される。グラフＳ１では、縦軸がデータ値の大きさを示し、横軸が時間軸を示している。ユーザはがボタンＰ４をクリック又はタップすると、表示制御部１５５は、表示期間をずらす。

グラフＳ１において、データ特定受付部１５３は、操作部１２０を介してデータセットのプロットの選択を受け付ける。また、データ特定受付部１５３は、選択されたプロットが異常データであるか正常データであるかを特定する指示を受け付ける。

例えば、表示制御部１５５は、プロットが選択された場合に、異常データか正常データかを選択させるポップアップ画面を表示させる。データ特定受付部１５３は、そのポップアップ画面におけるユーザの選択を受け付けることによって異常データであるか正常データであるかを特定する指示を受け付ける。

なお、異常データであるか正常データであるかの特定は、このような方法に限られない。例えば、データ特定受付部１５３は、ユーザに選択したプロットをドラッグアンドドロップさせ、ドロップ位置が異常ラベル一覧の領域か正常ラベル一覧の領域かによって特定を受け付けてもよい。

データ特定受付部１５３は、特定された異常データ又は正常データに異常ラベル又は正常ラベルを付与する。例えば、表示制御部１５５は、グラフＳ１において、異常ラベルが付与されたプロットＡ１、Ａ２を黒ラベルで表示させ、正常ラベルが付与されたプロットＢ１を白ラベルで表示させる。

異常ラベル又は正常ラベルが付与されたプロットは、そのプロットが示す日時及びデータ値とともに記憶部１３０に記憶される。この記憶データは、シミュレーションの評価時に使用される。表示制御部１５５は、異常ラベルが付与されたプロットを「Ａ．異常ラベル一覧」の領域に表示させる。表示制御部１５５は、正常ラベルが付与されたプロットを「Ｂ．正常ラベル一覧」の領域に表示させる。なお、ユーザがボタンＰ５、Ｐ６をクリック又はタップした場合、データ特定受付部１５３は、付与した異常ラベル又は正常ラベルを削除する。

データ特定受付部１５３が異常データ又は正常データを受け付けた状態において、シミュレーション実行を指示するボタンＰ７がクリック又はタップされると、シミュレーション実行部１５４は、異常検知のシミュレーションを実行する。

図６は、表示制御部１５５によって表示されるシミュレーションによる評価結果の一例を示している。この画面は、異常検知のシミュレーション実行後に表示される。シミュレーション実行部１５４は、データ特定受付部１５３が受け付けた異常データ又は正常データを正答とした場合の異常検知のシミュレーションの評価を行う。

シミュレーションの評価結果は、正答率、正常データを「正常」と判定した割合、異常データを「異常」と判定した割合、誤判別率、正常データを「異常」と判定した割合（ＦＰ）、異常データを「正常」と判定した割合（ＦＮ）の６項目について表示される。

この例では、評価結果は、正常データを「正常」と判定した割合が９９．９７％であり、異常データを「異常」と判定した割合が７５％であり、全体としての正答率は９９．９４％であることを示している。また、この例では、評価結果は、正常データを「異常」と判定した割合が０．０２％であり、異常データを「正常」と判定した割合が２５．０％であり、全体としての誤判別率は０．０５％であることを示している。

＜処理の流れ＞
以下、図７を参照しながら、異常検知モデル構築装置１００が実行する異常検知モデル構築処理の一例を説明する。この処理は、ユーザが、操作部１２０を介して、異常検知モデル構築処理を実行するためのプログラムを起動した場合に実行される。

まず、制御部１５０のデータ取得部１５１は、通信部１１０又は記憶部１３０を介してデータセットを取得する（ステップＳ１０１）。制御部１５０の表示制御部１５５は、データセットの特性を選択する操作画面（例えば図３）を表示し、判別する特性の選択を受け付ける（ステップＳ１０２）。

具体的には、制御部１５０の表示制御部１５５は、ユーザに、正規性、相関、周期性、回帰適合度、変化点のいずれか一つ以上をデータセットの特性として選択させる。なお、データセットに含まれる計測データが１種類だけであれば、制御部１５０の表示制御部１５５は、正規性、周期性、回帰適合度、変化点のいずれか一つ以上の選択を受け付ける。しかし、データセットに含まれる計測データが２種類以上であれば、制御部１５０の表示制御部１５５は、相関の選択のみを受け付ける。

制御部１５０の特性判別部１５２は、特性判別プログラムに基づいて特性判別処理を実行する（ステップＳ１０３）。具体的には、制御部１５０の特性判別部１５２は、データセットがユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する。

制御部１５０の表示制御部１５５は、特性判別部１５２による特性判別結果（例えば図４）を表示させる（ステップＳ１０４）。また、制御部１５０の表示制御部１５５は、シミュレーションに使用する特性の選択を受け付ける（ステップＳ１０５）。ユーザは、特性判別結果において特性を有していると判別された特性のうちいずれか一つの特性を、シミュレーションに使用する特性として選択する。

シミュレーションに使用する特性の選択操作を受け付けると、表示制御部１５５は、正常データ又は異常データの特定を受け付ける操作画面（例えば図５）を表示する。データ特定受付部１５３は、データ取得部１５１が取得したデータセットにおいて、ユーザによる正常データ又は異常データの特定を受け付ける（ステップＳ１０６）。また、データ特定受付部１５３は、ユーザが特定した正常データ又は異常データに、正常ラベル又は異常ラベルを付与する。

ユーザがシミュレーション実行を指示するボタンＰ７をクリック又はタップすると、シミュレーション実行部１５４は、異常検知のシミュレーションを実行する（ステップＳ１０７）。具体的には、シミュレーション実行部１５４は、ステップＳ１０５において選択された特性に関連づけられた複数のアルゴリズムに基づいて異常検知のシミュレーションを実行する。また、シミュレーション実行部１５４は、各アルゴリズムにおいて、それぞれ異なるパラメータを設定した複数のパターンに基づいてシミュレーションを実行する。また、シミュレーション実行部１５４は、複数のアルゴリズムのそれぞれについて、ユーザが特定した正常データ又は異常データを正答とした場合の評価を行う。

表示制御部１５５は、シミュレーションによる評価結果（例えば図６）を表示する（ステップＳ１０８）。シミュレーション実行部１５４は、シミュレーションを実行した複数のパターンのうち評価が最も高いパターンを最適モデルとして選択する（ステップＳ１０９）。これにより、異常検知モデルが構築される。

なお、ステップＳ１０４の特性判別結果において、データセットがすべての特性を有しないと判別されている場合、異常判別のシミュレーションを実行しても異常を検知できない可能性が高い。そのため、かかる場合において、制御部１５０は、ステップＳ１０５以降の処理を行わずに、ステップＳ１０２に戻ってもよいし、異常検知モデル構築処理を終了してもよい。また、かかる場合において、異常を検知できない可能性が高くても、ユーザが希望する場合にはシミュレーションを実行できるように、制御部１５０は、予め定められた５つの特性のうち、いずれか一つの特性をユーザに選択させ、ステップＳ１０５以降の処理を実行してもよい。

＜効果の説明＞
以上説明したように、異常検知モデル構築装置１００は、データセットが複数の特性のうちユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する。異常検知モデル構築装置１００は、特性を有していると判別されたいずれか一つの特性に関連づけられた複数のアルゴリズムに基づいて、異常検知のシミュレーションを実行し、複数のアルゴリズムのそれぞれについて、評価を行う。

このように、異常検知モデル構築装置１００は、データセットに既知の一つの特性があることを前提とせず、データセットに予め定められた複数の特性のうちいずれかの特性があることを前提としている。かかる構成によれば、様々なデータセットの特性について適用できるため、汎用性が高い。

また、異常検知モデル構築装置１００では、複数のアルゴリズムに基づくシミュレーションを実行して、複数のアルゴリズムのそれぞれの評価結果を得ている。そのため、評価結果に基づいて、複数のアルゴリズムのうち最適なモデルを選択して異常検知モデルを構築することができる。

異常検知モデル構築装置１００は、シミュレーションにおいて、ユーザによって特定された正常データ又は異常データを正答とした場合の評価を行う。そのため、ユーザにとって望ましい評価を行うことができる。

（第２実施形態）
本実施形態では、第１実施形態に係る異常検知モデル構築装置１００に機能を追加した異常検知モデル構築装置２００について説明する。異常検知モデル構築装置２００は、異常検知モデル構築処理に加えて、さらに異常検知モデル再構築処理を行う点で異常検知モデル構築装置１００と異なる。なお、以下の説明において、第１実施形態に係る異常検知モデル構築装置１００と共通する構成要素については同一の符号を付する。

図８に示すように、異常検知モデル構築装置２００は、シミュレーション実行部１５４の代わりにシミュレーション実行部２５４を備える。また、異常検知モデル構築装置２００は、複数の特性及び複数のアルゴリズムについて、変更又は追加を受け付ける変更受付部２５６をさらに備える。それ以外の構成は、異常検知モデル構築装置１００の構成と基本的に同じである。

シミュレーション実行部２５４は、異常検知モデル構築処理によって構築された最適モデルを適用した後にデータ取得部１５１が取得した新たなデータセットについて、複数のパターンに基づいて異常判別のシミュレーションを実行する。シミュレーション実行部２５４は、それらの複数のパターンのうち最も評価が高いパターンを最適モデルとして選択変更する。

変更受付部２５６は、ユーザの指示に基づいて、通信部１１０を介して、新たな特性判別プログラムと、新たなアルゴリズムとを取得する。変更受付部２５６は、ユーザの指示に基づいて、取得した特性判別プログラムとアルゴリズムとを記憶部１３０に記憶させる。変更受付部２５６は、ユーザから特性判別プログラム又はアルゴリズムの変更又は追加の指示を受け付けた場合、取得した特性判別プログラムとアルゴリズムとに基づいて、特性判別部１５２の判別対象とする特性又はシミュレーション実行部２５６がシミュレーションに使用するアルゴリズムの変更又は追加を行う。

以下、図９を参照しながら、異常検知モデル構築装置２００が実行する異常検知モデル再構築処理の一例を説明する。この処理は、ユーザが、異常検知モデル再構築処理の実行を指示した場合に実行される。

制御部２５０は、現在適用されている最適モデルの読み込みを行う（ステップＳ２０１）。制御部２５０のデータ取得部１５１は、最適モデルの適用後に収集された新たなデータセットを取得する（ステップＳ２０２）。

ここで、制御部２５０は、現在適用されている最適モデルの異常検知に使用されている特性をシミュレーションに使用する特性として選択し、表示制御部１５５は、正常データ又は異常データの特定を受け付ける操作画面（例えば図５）を表示する。

データ特定受付部１５３は、ステップＳ２０２において取得した新たなデータセットにおいて、ユーザによる正常データ又は異常データの特定を受け付ける（ステップＳ２０３）。また、データ特定受付部１５３は、ユーザが特定した正常データ又は異常データに、正常ラベル又は異常ラベルを付与する。

シミュレーション実行部２５４は、新たなデータセットについて、複数のアルゴリズム及びパターンに基づいて異常判別のシミュレーションを実行する（ステップＳ２０４）。また、シミュレーション実行部２５４は、複数のアルゴリズムのそれぞれについて、ユーザが特定した正常データ又は異常データを正答とした場合の評価を行う。

表示制御部１５５は、シミュレーションによる評価結果（例えば図６）を表示する（ステップＳ２０５）。シミュレーション実行部２５４は、それらの複数のパターンのうち最も評価が高いパターンを最適モデルとして選択する（ステップＳ２０６）。

このように、異常検知モデル再構築処理によれば、新たなデータセットについてシミュレーションをした結果、最適モデルを変更した方がよい場合には、最適モデルは選択変更される。また、異常検知モデル構築装置２００は、変更受付部２５６を備えているため、特性判別プログラムとアルゴリズムの変更又は追加をすることにより、異常検知モデルの異常検知の精度を向上することができる。

以上で実施形態の説明を終了するが、上記実施形態は一例に過ぎない。そのため、異常検知モデル構築装置１００、２００の具体的な構成、処理の内容等は上記実施形態で説明したものに限られない。以下、上記実施形態の変形例について説明する。

（変形例）
上記実施形態において、データセットは、予め収集されたセンサの計測データであり、異常検知モデル構築装置１００、２００は、センサの計測データに基づいて異常の検知をするための異常検知モデルを構築することを前提としている。しかし、異常検知モデル構築装置１００、２００は、これに限られない。例えば、異常検知モデル構築装置１００、２００によって構築された異常検知モデルは、金融システム、情報処理における異常検知等に適用されてもよい。そのため、データセットは、センサの計測データに限らず、時系列の数値データであればよい。

上記実施形態において、異常検知モデル構築装置１００、２００は、他の装置と通信するための通信部１１０を備えており、通信機能を有している。しかし、通信部１１０の代わりにデータセットの入力を受け付ける入力部が用いられてもよい。また、異常検知モデル構築装置１００、２００は、通信部１１０を有しない構成であってもよく、外部メモリからデータセットを読み出す構成であってもよい。

なお、上記実施形態では、１つの特性に複数のアルゴリズムが関連付けられている。しかし、これに限らず、１つの特性に１つのアルゴリズムが関連づけられていてもよい。また、上記実施形態では、予め定められた複数の特性は、正規性、相関、周期性、回帰適合度、変化点という５つの特性である。しかし、予め定められた複数の特性は、これらの特性に限らず、他の特性を含んでいてもよい。また、予め定められた複数の特性は、正規性と、周期性と、相関と、変化点と、回帰適合度とのいずれか一つ以上を含む複数の特性であってもよい。

上記実施形態において、異常検知モデル構築装置１００、２００は、構築した異常検知モデル（すなわち、シミュレーション実行部１５４、２５４が選択した最適モデル）を、通信部１１０を介して他の装置に送信してもよい。この場合、他の装置が異常検知モデルを使用して異常検知を行う。また、異常検知モデル構築装置１００、２００は、自身が異常を検知してもよい。

例えば、図１０は、変形例に係る異常検知モデル構築装置３００の構成例を示すブロック図である。異常検知モデル構築装置３００は、異常検知部３５６を備える点で、第１実施形態に係る異常検知モデル構築装置１００と異なる。異常検知部３５６は、異常検知モデルに基づいて、データ取得部１５１が取得したデータが異常データであるか否かを判別し、異常を検知する。なお、異常検知の対象となるデータは、通信部１１０を介して定期的に取得されるセンサの計測データであってもよいし、計測データ以外のリアルタイムのデータであってもよいし、新たに取得した時系列のログデータであってもよい。

上記実施形態において、異常検知モデル構築装置１００、２００が備える構成要素を複数の装置に分けて、複数の装置が協働することによって、異常検知モデル構築装置１００、２００と同じ機能を実現してもよい。

異常検知モデル構築装置２００は、新たなデータセットについてシミュレーションを実行し、その結果に基づいて最適モデルを選択変更している。しかし、異常検知モデル構築装置２００は、新たなデータセットと前回の最適モデルの構築において使用したデータセットとを含むデータセットについてシミュレーションを実行し、その結果に基づいて最適モデルを選択変更してもよい。

異常検知モデル構築処理と異常検知モデル再構築処理は、上記実施形態において説明した図７及び図９に示す処理の順序に限られない。技術的な矛盾がない限り、処理の順序を変更してもよい。また、表示制御部１５５が表示する各種画面は、図３から図６に示す画面に限られない。例えば、表示制御部１５５が表示するシミュレーションによる評価結果は、図６に示す評価指標とは異なる評価指標に基づいて評価したものであってもよい。

また、本開示に係る異常検知モデル構築装置は、上記装置によらず、例えば、コンピュータがプログラムを実行することで、その機能を実現してもよい。モニタリングシステムの機能を実現するためのプログラムは、ＵＳＢ（Universal Serial Bus）メモリ、ＣＤ−ＲＯＭ（Compact Disc−Read Only Memory）、ＤＶＤ（Digital Versatile Disc）、ＨＤＤ（Hard Disc Drive）等のコンピュータ読み取り可能な記録媒体に記憶されてもよいし、ネットワークを介してコンピュータにダウンロードされてもよい。

以上、本開示の好ましい実施形態について説明した。本開示は係る特定の実施形態に限定されるものではなく、本開示には、特許請求の範囲に記載された発明とその均等の範囲が含まれる。上記の実施形態は、発明の要旨を逸脱しない範囲で種々の省略、置き換え、変更を行うことができる。また、上記実施形態及び変形例で説明した装置の構成は、技術的な矛盾が生じない限り、適宜組み合わせ可能である。

１００，２００，３００…異常検知モデル構築装置、１１０…通信部、１２０…操作部，１３０…記憶部、１４０…表示部、１５０，２５０…制御部、１５１…データ取得部、１５２…特性判別部、１５３…データ特定受付部、１５４，２５４…シミュレーション実行部、１５５…表示制御部、２５６…変更受付部、３５６…異常検知部

Claims (11)

1. アルゴリズムに基づいて異常を検知する異常検知モデルを構築するための異常検知モデル構築装置であって、
   時系列のサンプリングデータをデータセットとして受け付けるデータ取得部と、
   前記データ取得部が取得したデータセットが、予め定められた複数の特性のうちユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する特性判別部と、
   前記データセットにおいて、ユーザによる正常データ又は異常データの特定を受け付けるデータ特定受付部と、
   前記いずれか一つ以上の特性のうち前記特性判別部により特性を有していると判別されたいずれか一つの特性に関連づけられた前記アルゴリズムに基づいて、前記データセットに対して異常検知のシミュレーションを実行し、前記データ特定受付部が特定を受け付けた正常データ又は異常データを正答とした場合の該アルゴリズムの評価を行うシミュレーション実行部と、
   を備えることを特徴とする異常検知モデル構築装置。
2. 前記複数の特性は、正規性と、周期性と、相関と、変化点と、回帰適合度とのいずれか一つ以上を含む、
   ことを特徴とする請求項１に記載の異常検知モデル構築装置。
3. 前記シミュレーション実行部は、前記特性判別部により特性を有していると判別されたいずれか一つの特性に関連づけられた複数のアルゴリズムに基づいて、異常検知のシミュレーションを実行し、該複数のアルゴリズムのそれぞれについて、前記評価を行う、
   ことを特徴とする請求項１又は２に記載の異常検知モデル構築装置。
4. 前記シミュレーション実行部は、前記アルゴリズムにおいてそれぞれ異なるパラメータを設定した複数のパターンに基づいて前記シミュレーションを実行し、該複数のパターンのうち前記評価が最も高いパターンを最適モデルとして選択する、
   ことを特徴とする請求項１から３のいずれか１項に記載の異常検知モデル構築装置。
5. 前記シミュレーション実行部は、前記最適モデルを適用した後に前記データ取得部が取得した新たなデータセットについて、前記複数のパターンについて前記シミュレーションを実行し、該複数のパターンのうち前記評価が最も高いパターンを前記最適モデルとして選択変更する、
   ことを特徴とする請求項４に記載の異常検知モデル構築装置。
6. 前記最適モデルに基づいて異常を検知する異常検知部をさらに備える、
   ことを特徴とする請求項４又は５に記載の異常検知モデル構築装置。
7. 前記複数の特性及び前記アルゴリズムについて、変更又は追加を受け付ける変更受付部を備える、
   ことを特徴とする請求項１から６のいずれか１項に記載の異常検知モデル構築装置。
8. 前記データセットは、予め収集されたセンサの計測データである、
   ことを特徴とする請求項１から７のいずれか１項に記載の異常検知モデル構築装置。
9. 前記データ特定受付部は、前記特性判別部によって特性を有していると判別されたデータセットをグラフで表示する画像を出力し、該画像においてユーザが特定した前記正常データ又は異常データに、正常ラベル又は異常ラベルを付与する、
   ことを特徴とする請求項１から８のいずれか１項に記載の異常検知モデル構築装置。
10. アルゴリズムに基づいて異常を検知する異常検知モデルを構築するための異常検知モデル構築方法であって、
    時系列のサンプリングデータをデータセットとして受け付けるデータ取得ステップと、
    予め定められた複数の特性のうちいずれか一つ以上の特性のユーザによる選択を受け付ける第１の選択受付ステップと、
    前記データ取得ステップにおいて取得したデータセットが、前記第１の選択受付ステップにおいてユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する特性判別ステップと、
    前記特性判別ステップにおいて特性を有していると判別された特性のうちいずれか一つの特性をユーザに選択させ、該選択を受け付ける第２の選択受付ステップと、
    前記データセットにおいて、ユーザによる正常データ又は異常データの特定を受け付けるデータ特定受付ステップと、
    前記第２の選択受付ステップにおいて選択された特性に関連づけられた前記アルゴリズムに基づいて、前記データセットに対して異常検知のシミュレーションを実行し、前記データ特定受付ステップにおいて特定を受け付けた正常データ又は異常データを正答とした場合の該アルゴリズムの評価を行うシミュレーション実行ステップと、
    を含むことを特徴とする異常検知モデル構築方法。
11. コンピュータを、
    時系列のサンプリングデータをデータセットとして受け付けるデータ取得手段、
    前記データ取得手段が取得したデータセットが、予め定められた複数の特性のうちユーザによって選択されたいずれか一つ以上の特性を有しているか否かを判別する特性判別手段、
    前記データセットにおいて、ユーザによる正常データ又は異常データの特定を受け付けるデータ特定受付手段、
    前記いずれか一つ以上の特性のうち前記特性判別手段により特性を有していると判別されたいずれか一つの特性に関連づけられたアルゴリズムに基づいて、前記データセットに対して異常検知のシミュレーションを実行し、前記データ特定受付手段が特定を受け付けた正常データ又は異常データを正答とした場合の該アルゴリズムの評価を行うシミュレーション実行手段、
    として機能させるためのプログラム。