JP7031594B2 - 異常検出装置、異常検出方法、及びプログラム - Google Patents

Description

本発明は、系列データから異常を検出する異常検出装置、異常検出方法、及びプログラムに関する。

上記技術分野において、例えば、特許文献１には、次の方法が記載されている。その方法とは、順次入力される系列データが発生する確率を確率分布で表すことで発生時の系列データの発生機構の状態をモデル化して、系列データ中に現れる統計的な外れ値及び発生機構の状態の変化点を検出する方法である。

また、特許文献２には、順次入力される系列データの各変数の確率密度関数の統計量と、予め定められた基準の確率密度関数の統計量との相違の程度を示す相違度を閾値処理することで、観測対象の異常を検出する方法が記載されている。

特開２００４－０５４３７０号公報 特開２００６－３３１３００号公報

しかし現実問題において、発生機構の状態の変化が常に検出対象とされる異常であるとは限らない。例えば、正常動作中に状態が時々刻々と変化しながら動作するような発生機構を用いて得られた系列データから、発生機構の状態の異常を検出することを考える。このような場合、特許文献１に記載の方法は、正常な状態における動作状態の変化をも系列データの外れ値や状態の変化点として検知してしまうため、真に検出したい異常を精度よく検出することができない問題がある。

また、特許文献２に記載されているような、相違度を単純に閾値処理する方法も、上記と同様の問題がある。すなわち、相違度の単純な閾値処理のみでは、正常な状態における動作状態の変化をも系列データの外れ値や状態の変化点として検知してしまうため、真に検出したい異常を精度よく検出することができない。

本技術の目的は、上記課題にかんがみて、状態の変化を伴う発生機構から生じる系列データからも異常を精度よく検出できるようにすることにある。

本発明の一形態に係る異常検出装置は、第１の系列データが入力されると、第１の系列データに含まれる信号の特徴量である系列特徴量を抽出する系列特徴量抽出手段と、系列特徴量が従う確率分布である系列確率分布を算出する系列確率分布算出手段と、第１の系列データにおける系列特徴量の基準とされる確率分布である基準確率分布を格納する基準確率分布格納手段と、基準確率分布に対する系列確率分布の変動具合を表す状態特徴量を算出する状態特徴量算出手段と、第１の系列データから算出される複数の状態特徴量に基づいて、第１の系列データの異常を検出する異常検出手段とを備えたことを特徴とする。

本発明の一形態に係る異常検出方法は、第１の系列データが入力されると、第１の系列データに含まれる信号の特徴量である系列特徴量を抽出し、系列特徴量が従う確率分布である系列確率分布を算出し、第１の系列データにおける系列特徴量の基準とされる確率分布である基準確率分布に対する系列確率分布の変動具合を表す状態特徴量を算出し、第１の系列データから算出される複数の状態特徴量に基づいて、第１の系列データの異常を検出することを特徴とする。

本発明の一形態に係るプログラムは、コンピュータに、第１の系列データが入力されると、第１の系列データに含まれる信号の特徴量である系列特徴量を抽出する処理と、系列特徴量が従う確率分布である系列確率分布を算出する処理と、第１の系列データにおける系列特徴量の基準とされる確率分布である基準確率分布に対する系列確率分布の変動具合を表す状態特徴量を算出する処理と、第１の系列データから算出される複数の状態特徴量に基づいて、第１の系列データの異常を検出する処理とをコンピュータに実行させる。

本発明によれば、状態の変化を伴う発生機構から生じる系列データからも異常を精度よく検出できる。

第１の実施形態の異常検出装置の構成例を示すブロック図である。 第１の実施形態の異常検出装置の動作の一例を示すフローチャートである。 第２の実施形態の異常検出装置の構成例を示すブロック図である。 基準確率分布生成部の例を示すブロック図である。 基準確率分布生成処理の処理フローの一例を示すフローチャートである。 第３の実施形態の異常検出装置の構成例を示すブロック図である。 通常モデル生成部の例を示すブロック図である。 第３の実施形態の異常検出装置の動作の一例を示すフローチャートである。 第４の実施形態の異常検出装置の構成例を示すブロック図である。 第４の実施形態の異常検出装置の動作の一例を示すフローチャートである。 第５の実施形態の異常検出装置の構成例を示すブロック図である。 系列データ分析部の例を示すブロック図である。 第５の実施形態の異常検出装置の動作の一例を示すフローチャートである。 第６の実施形態の異常検出装置の構成例を示すブロック図である。 第６の実施形態の異常検出装置の動作の一例を示すフローチャートである。 ハードウェア構成の一例を示すブロック図である。

以下、図面を参照して本発明の実施形態を説明する。

図面中の矢印の方向は、一例を示すものであり、ブロック間の信号の向きを限定するものではない。

実施形態１．
本発明の第１の実施形態の異常検出装置１００について、図面を参照して説明する。図１に示す異常検出装置１００は、系列特徴量抽出部１０１と、系列確率分布算出部１０２と、基準確率分布格納部１０３と、状態特徴量算出部１０４と、異常検出部１０５とを備える。

系列特徴量抽出部１０１は、系列データ（図１の信号）を入力とし、当該系列データから抽出した特徴量を出力する。より具体的には、系列特徴量抽出部１０１は、入力された系列データから所定の特徴量を抽出して、出力する。系列特徴量抽出部１０１が抽出する特徴量は、例えば、所定の時間単位で定義される各時間フレームの時点における信号の所定の特徴量であってもよい。以下、系列データから抽出した特徴量を、系列特徴量という場合がある。

系列確率分布算出部１０２は、系列特徴量を入力とし、当該系列特徴量が従う確率分布である系列確率分布を算出し出力する。ここで、系列確率分布は、系列データがどのような系列特徴量をどのような確率で出力するかを表すものであればよい。すなわち、系列確率分布は、その系列特徴量の基となった系列データがどのような発生機構の状態の下で生成されたかに対応する。

基準確率分布格納部１０３は、系列確率分布に対して基準となる確率分布である基準確率分布を格納する。基準確率分布は、入力された系列データの発生機構の状態において、利用者が基準として設定した状態に対応する。

状態特徴量算出部１０４は、系列確率分布算出部１０２が算出した系列確率分布と、基準確率分布格納部１０３に格納された基準確率分布とを入力とし、状態特徴量を出力する。より具体的には、状態特徴量算出部１０４は、入力された基準確率分布からみた系列確率分布の変動具合を表す状態特徴量を算出して、出力する。本実施形態において、状態特徴量算出部１０４は、複数の状態特徴量を算出する。状態特徴量算出部１０４は、例えば、系列特徴量を算出した信号の第２の特徴量として、系列データに含まれる信号ごとに状態特徴量を算出してもよい。また、状態特徴量算出部１０４は、例えば、算出した状態特徴量を、系列データに含まれる信号の時間インデックスと対応づけて出力してもよい。

異常検出部１０５は、状態特徴量算出部１０４から出力される複数の状態特徴量を入力とし、系列データの異常の有無を出力する。より具体的には、異常検出部１０５は、入力された複数の状態特徴量を基に、入力された系列データの発生機構の状態における異常の有無を検知して、出力する。

異常検出部１０５は、例えば、系列データから算出される状態特徴量であって、所定の時間単位で定義される時間フレームごとの状態特徴量を時系列に並べたデータを第２の系列データとし、第２の系列データを統計処理して、異常の有無を検知してもよい。異常検出部１０５は、例えば、２以上の状態特徴量を基に、系列データにおける状態特徴量のモデルとして状態特徴量の確率分布を求め、求めた状態特徴量の確率分布を用いて、異常の有無を検知してもよい。

次に、本実施形態の動作を説明する。図２は、本実施形態の異常検出装置１００の動作の一例を示すフローチャートである。

図２に示す例では、まず異常検出装置１００に系列データが入力される（ステップＳ１０１）。次に、系列特徴量抽出部１０１が、入力された系列データから系列特徴量を算出する（ステップＳ１０２）。

次に、系列確率分布算出部１０２が、算出された系列特徴量を基に、系列確率分布を算出する（ステップＳ１０３）。

次に、状態特徴量算出部１０４が、算出された系列確率分布と、基準確率分布格納部１０３に格納されている基準確率分布とに基づいて、状態特徴量を算出する（ステップＳ１０４）。

最後に、異常検出部１０５が、系列データから算出された２以上の状態特徴量を基に、系列データの異常を検出する（ステップＳ１０５）。

以上のように、本実施形態に基づけば、入力された系列データの発生機構の状態の、基準の状態に対する変動具合を表す状態特徴量を複数用いて異常の検出を行うため、時々刻々と変化する発生機構の状態の変動具合を統計的に扱うことができる。すなわち、本実施形態では、状態特徴量が時々刻々と変化することを前提として、２以上の状態特徴量を用いて異常の検出を行う。このため、入力された系列データの発生機構の状態が変化する場合であっても、その系列データから異常、例えば、異常な外れ値や変化を適切に検出できる。

実施形態２．
次に、本発明の第２の実施形態の異常検出装置２００について説明する。図３は、本実施形態の異常検出装置２００の例を示す構成図である。図３に示す異常検出装置２００は、系列データ分析部２１０と、異常検出部２０５とを備える。

系列データ分析部２１０は、系列データ（図３の信号）を入力とし、状態特徴量を出力する処理部であり、系列特徴量抽出部２０１と、確率分布算出部２０２と、基準確率分布格納部２０３と、状態特徴量算出部２０４とを含む。

なお、系列特徴量抽出部２０１、確率分布算出部２０２、基準確率分布格納部２０３及び状態特徴量算出部２０４は、第１の実施形態の系列特徴量抽出部１０１、系列確率分布算出部１０２、基準確率分布格納部１０３及び状態特徴量算出部１０４に対応している。異常検出装置２００は、図３に示すように、これらの処理部をまとまった１つのユニット（本実施形態では、系列データ分析部２１０）として実装してもよいし、第１の実施形態のように個別に実装してもよい。

本実施形態においても、系列特徴量抽出部２０１は、入力された系列データから所定の特徴量（系列特徴量）を抽出し出力する。確率分布算出部２０２は、系列特徴量を入力とし、入力された系列特徴量が従う確率分布（系列確率分布）を算出し出力する。基準確率分布格納部２０３は、基準確率分布を格納する。状態特徴量算出部２０４は、系列確率分布と基準確率分布とを入力とし、入力された系列確率分布と基準確率分布とに基づいて状態特徴量を算出し出力する。

また、異常検出部２０５は、第１の実施形態の異常検出部１０５に対応している。異常検出部２０５は、系列データ分析部２１０から出力された状態特徴量を入力とし、異常を検出する。

以下では、入力される系列データが時系列音響信号ｘ（ｔ）である場合を例に用いて、異常検出装置２００の各処理部の処理をより具体的に説明する。

ここで、ｔは時間を表すインデックスであり、所定の時間（例えば、装置を起動した時間）を原点すなわちｔ＝０として順次入力される音響信号の時間インデックスである。また、ｘ（ｔ）は、例えばマイクロフォン等のセンサで収録したアナログ信号をＡＤ変換（Analog to Digital Conversion）して得られるデジタル信号系列である。

本実施形態は、次の場合を想定する。異常を検出したい環境（以下、対象環境という）にマイクロフォンが設置されている。そして、そのマイクロフォンで収録された音響信号が、異常検出装置２００に順次入力される。そして、時々刻々と変化する対象環境の状態のうち、異常な変化が検出される。このような場合、対象環境内に存在する人間の活動、対象環境内で駆動する機器の動作、又は対象環境の周辺環境の状態などが、系列データの発生機構の状態に対応する。本実施形態は、時々刻々と変化する対象環境の様子（より具体的には、系列データの発生機構の状態）のうち、異常な変化を検出することを目的とする。

系列データ分析部２１０は、系列データｘ（ｔ）を入力とし、状態特徴量ｄ（ｉ）を出力する。以下、系列データ分析部２１０を構成する、系列特徴量抽出部２０１、確率分布算出部２０２、基準確率分布格納部２０３及び状態特徴量算出部２０４の動作について説明する。

系列特徴量抽出部２０１は、系列データｘ（ｔ）を入力とし、所定の系列特徴量ｙ（ｉ）を抽出し出力する。ここで、ｉは時間フレームインデックスを表す。また、ｙ（ｉ）は時間フレームｉにおけるＫ次元特徴量を格納したベクトルである。時間フレームは、系列データｘ（ｔ）から系列特徴量ｙ（ｉ）を抽出するための時間幅の単位である。どのような系列特徴量を抽出するかに従って、ｉがどれほどの時間幅を表すかが、決定されてもよい。例えば、系列データが音響信号であった場合、ｉは一般に１０ミリ秒（ｍｓ）程度に設定される。この場合、ｔ＝０、ｉ＝０を基準に考えると、ｉは、ｉ＝１のときｔ＝１０ｍｓ，ｉ＝２のときｔ＝２０ｍｓ，…という対応関係となる。

利用者が、系列特徴量とされる信号の特徴量の表現形式を、信号の種別に応じて選択してもよい。音響信号の特徴量としては、一般に公知のＭＦＣＣ（Mel-frequency Cepstrum Coefficients）特徴量などが広く用いられる。ＭＦＣＣ特徴量を用いる場合、特徴量の次元数Ｋは、一般に２０程度が用いられる。以下では、ｙ（ｉ）にＭＦＣＣ特徴量を用いる場合を例に説明するが、系列特徴量は、ＭＦＣＣ特徴量に限らず、音の周波数及び／又はパワーが表現される任意の特徴量であってもよい。

確率分布算出部２０２は、入力された系列特徴量ｙ（ｉ）が従う確率分布である系列確率分布ｐ_ｉ（ｙ）を算出し出力する。系列確率分布ｐ_ｉ（ｙ）は、音響信号の例では、時間フレームｉの時点において、対象環境内にどのような音がどれほど含まれているのかを表すものとなる。系列確率分布ｐ_ｉ（ｙ）の表現形式としては、例えば、混合ガウス分布又は隠れマルコフモデルなどが用いられる。

混合ガウス分布を用いる場合、系列確率分布ｐ_ｉ（ｙ）は、以下の［数１］のように表される。

［数１］

ここで、Ｎ（ｙ｜μ_ｒ，ｉ，Σ_ｒ，ｉ）は、Ｋ次元の平均ベクトルμ_ｒ，ｉ及びＫ×Ｋの共分散行列Σ_ｒ，ｉで特徴づけられるＫ次元ガウス分布を表す。Ｒはガウス分布の総数、ｒは各ガウス分布のインデックスを表し、π_ｒ，ｉはｒ番目のガウス分布の重みを表す。

なお、隠れマルコフモデルを用いる場合は、系列データの発生機構の状態を潜在状態とし、それらから発生する系列データの特徴量である系列特徴量を観測データとして、系列データからそれらが観測される確率及び発生機構の状態の遷移確率を求めればよい。

基準確率分布格納部２０３には、基準確率分布ｐ_ｓ（ｙ）が格納される。基準確率分布ｐ_ｓ（ｙ）には、例えば、系列確率分布ｐ_ｉ（ｙ）と同様の表現形式の確率分布が用いられる。混合ガウス分布を用いる場合、基準確率分布ｐ_ｓ（ｙ）は、以下の［数２］のように表される。

［数２］

状態特徴量算出部２０４は、系列確率分布ｐ_ｉ（ｙ）と基準確率分布ｐ_ｓ（ｙ）とを入力とし、基準確率分布ｐ_ｓ（ｙ）からみた系列確率分布ｐ_ｉ（ｙ）の変動具合を表す状態特徴量ｄ（ｉ）を抽出する。

本実施形態では、状態特徴量算出部２０４は、状態特徴量ｄ（ｉ）として、入力された確率分布間の距離を所定の尺度で算出したものを用いる。状態特徴量算出部２０４は、状態特徴量ｄ（ｉ）として、例えば、ｐ_ｓ（ｙ）とｐ_ｉ（ｙ）との間のＫＬダイバージェンス（Kullback-Leibler divergence）などを用いてもよい。このほか、状態特徴量ｄ（ｉ）の例として確率分布に混合ガウス分布を用いた場合、状態特徴量算出部２０４は、次のような距離を用いることが考えられる。この距離とは、各ｒ番目のガウス分布同士のＫＬダイバージェンスをＲ個並べたベクトル、そのベクトルのノルム、各ｒ番目のガウス分布の平均ベクトルの二乗距離をＲ個並べたＲ次元ベクトル、又はそのＲ次元ベクトルのノルムなどである。

例えば、各ｒ番目のガウス分布の平均ベクトルの二乗距離をＲ個並べたＲ次元ベクトルを用いる場合、状態特徴量ｄ（ｉ）は、以下の［数３］で表されるベクトル値になる。

［数３］

また、例えば、状態特徴量ｄ（ｉ）として、各ｒ番目のガウス分布の平均ベクトルの二乗距離をＲ個並べたＲ次元ベクトルのノルムを用いる場合、状態特徴量ｄ（ｉ）は、以下の［数４］で表されるスカラー値となる。

［数４］

ベクトル値の場合、状態特徴量ｄ（ｉ）は、基準確率分布ｐ_ｓ（ｙ）から系列確率分布ｐ_ｉ（ｙ）に対する変化の方向を表す特徴量となる。また、スカラー値の場合、状態特徴量ｄ（ｉ）は、ｐ_ｓ（ｙ）からｐ_ｉ（ｙ）への変化の大きさを表す特徴量となる。

以下では、状態特徴量ｄ（ｉ）をスカラー値として説明する。しかし、ベクトル値の場合には、異常検出装置２００は、後段の異常検出部２０５を、ベクトル値を入力とする異常検出方法に変更するなど、ベクトル値に対応する形式に変更すればよい。

基準確率分布格納部２０３は、例えば、系列データの発生機構が所定の状態である際の系列データを基準確率分布算出用系列データとして用いてあらかじめ算出した確率分布を、基準確率分布ｐ_ｓ（ｙ）として保持してもよい。

なお、図示省略しているが、異常検出装置２００は、基準確率分布格納部２０３の前段に、基準確率分布算出用系列データから基準確率分布を算出して基準確率分布格納部２０３に格納させる基準確率分布生成部を備えていてもよい。

基準確率分布格納部２０３は、例えば、基準確率分布算出用系列データとして静まり返った深夜の状態に収録された音響信号を用いて算出された確率分布を保持してもよい。その場合、状態特徴量ｄ（ｉ）は、時間フレームｉにおける対象環境の状態が、静まり返った対象環境の状態と比較してどのように変化したのかという変動具合を表す特徴量となる。基準確率分布としては、ほかにも１日間収録した音響信号すべてを用いて算出した確率分布を用いてもよいし、興味のある特定の時間区間の音響信号を用いて算出した確率分布を用いてもよい。また、例えば、系列確率分布ｐ_ｉ（ｙ）から状態特徴量を算出する場合には、基準確率分布格納部２０３は、系列確率分布ｐ_ｉ－１（ｙ）を基準確率分布として用いてもよい。

ここで、基準確率分布の算出方法を、図４を参照して説明する。図４は、上記の基準確率分布生成部の例を示すブロック図である。基準確率分布の算出方法は、まず系列特徴量抽出部２２１に基準確率分布算出用系列データ（図４の基準確率分布算出用信号）を入力する。系列特徴量抽出部２２１は、入力された基準確率分布算出用系列データから系列特徴量を抽出し出力する。次に、基準確率分布算出部２２２が、算出された系列特徴量を入力とし、その確率分布を算出して、基準確率分布格納部２０３に格納する。なお、系列特徴量抽出部２２１及び基準確率分布算出部２２２の動作は、系列特徴量抽出部２０１及び確率分布算出部２０２と同様でよい。また、基準確率分布算出用系列データには、あらかじめ用意したものを用いてもよいし、異常検出装置２００の動作中に得られた過去のデータ（特に、異常と判定されなかった系列データ）を用いてもよい。後者の場合、基準確率分布生成部は、基準確率分布を逐次求めてもよい。

なお、基準確率分布生成部における系列特徴量抽出部２２１及び基準確率分布算出部２２２の動作を、系列データ分析部２１０の系列特徴量抽出部２０１及び確率分布算出部２０２が行ってもよい。

異常検出部２０５は、状態特徴量ｄ（ｉ）を入力とし、系列データｘ（ｔ）の発生機構の異常な状態を検知する。異常検出部２０５は、例えば、状態特徴量ｄ（ｉ）を時系列に並べたデータを、第２の系列データとし、第２の系列データを統計処理して異常（統計的な外れ値又は発生機構の状態の変化点）を検出してもよい。異常検出部２０５は、統計処理として、上記の特許文献１に記載の方法を用いることも可能である。この場合、異常検出部２０５は、時間フレームごとの状態特徴量ｄ（ｉ）を系列データとして順次入力して、そのような系列データ（それより前の状態特徴量からなる系列）が発生する確率を確率分布で表すことでモデル化する。そして、異常検出部２０５は、モデル化された確率分布と、入力された系列データ（最新の状態特徴量ｄ（ｉ））とに基づき算出した外れ値スコアを基に、統計的な外れ値や発生機構の状態の変化点を検出してもよい。

なお、本実施形態の動作は、基準確率分布の生成処理が別途（異常検出処理の前処理として、又は異常検出処理と並列して）行われる点が異なるだけで、基本的には第１の実施形態と同様である。なお、基準確率分布の生成処理は、異常検出装置２００以外の装置が行ってもよい。また、以下の本実施形態において、図２に示す第１の実施形態のステップＳ１０２～ステップＳ１０４の動作を、系列データの分析処理と呼ぶ場合がある。

図５は、基準確率分布生成処理の処理フローの例を示すフローチャートである。図５に示す例では、まず、基準確率分布生成用系列データが入力されると（ステップＳ２１１）、系列特徴量抽出部２２１が、入力された基準確率分布生成用系列データから系列特徴量を抽出する（ステップＳ２１２）。

次に、基準確率分布算出部２２２が、算出された系列特徴量が従う確率分布を算出し（ステップＳ２１３）、基準確率分布として基準確率分布格納部２０３に格納する（ステップＳ２１４）。

以上のように、本実施形態に基づけば、第１の実施形態と同様に、状態の変化を伴う発生機構から発生した系列データから異常を精度よく検出することができる。

これに対して、特許文献１に記載の方法は、本実施形態でいう系列特徴量抽出部２０１で出力した系列特徴量を基に、変化点又は外れ値を検知する方法である。すると、系列データの発生機構が時々刻々と変化するような状況では、発生機構の変化すべてを検知対象として検知を行うため、その変化が発生機構にとって正常なものか異常なものであるのかの判別ができない。本実施形態は、入力された系列データの発生機構における、基準の状態に対する状態の変動具合を基にした状態特徴量を用いて異常を検出するため、そのような問題を解決している。

実施形態３．
次に、本発明の第３の実施形態の異常検出装置３００について説明する。図６は、本実施形態の異常検出装置３００の例を示す構成図である。図６に示す異常検出装置３００は、系列データ分析部３０１と、通常モデル格納部３０２と、異常検出部３０３とを備える。

系列データ分析部３０１は、第２の実施形態の系列データ分析部２１０と同様でよい。すなわち、系列データ分析部３０１は、系列データｘ（ｔ）（図６の信号）を入力とし、状態特徴量ｄ（ｉ）を算出し出力する。

通常モデル格納部３０２は、通常状態（正常時）における状態特徴量をモデル化した通常モデルを格納する。通常モデルは、例えば、少なくとも特定の周期内の時間を指し示すモデルインデックスが示す時点の通常の状態における状態特徴量の確率分布であってもよい。また、例えば、通常モデル格納部３０２は、特定の周期内の異なる時間を指し示す複数のモデルインデックスに対応する複数の通常モデルを格納してもよい。

なお、図示省略しているが、異常検出装置３００は、通常モデル格納部３０２の前段に、通常モデル算出用系列データから通常モデルを算出して通常モデル格納部３０２に格納させる通常モデル生成部を備えていてもよい。

図７は、通常モデル生成部の例を示すブロック図である。通常モデルの算出方法は、まず系列データ分析部３１１に通常モデル算出用系列データ（図７の通常モデル算出用信号）を入力する。系列データ分析部３１１は、入力された通常モデル算出用系列データから状態特徴量を算出する。次に、通常モデル算出部３１２が、算出された状態特徴量を入力とし、当該状態特徴量の周期的な変化の様子をモデル化し、通常モデルとして通常モデル格納部３０２に格納する。なお、系列データ分析部３１１の動作は、系列データ分析部３０１と同様でよい。また、通常モデル算出用系列データには、あらかじめ用意したものを用いてもよいし、異常検出装置３００の動作中に得られた過去のデータ（特に、異常と判定されなかった系列データ）を用いてもよい。後者の場合、通常モデル生成部は、通常モデルを逐次求めてもよい。

なお、通常モデル生成部における系列データ分析部３１１の動作を、系列データ分析部３０１が行ってもよい。

以下では、ｍに対応する時間フレームｉの状態特徴量ｄ（ｉ）の確率分布ｑ_ｍ（ｄ（ｉ））を通常モデルとして用いる場合を例に説明する。ここで、ｍはモデルに関するインデックスである。

以下、音響信号から施設の異常を検出する場合を例に用いて、通常モデルの生成方法及びｍの例を説明する。施設等において発生する音は、通常、人間の活動に基づいて１日を周期にして変化する。例えば、学校施設等における異常の検出のために、マイクロフォンを学校校舎入り口に設置したとする。この場合、学校校舎入り口は、早朝は音がほとんどせず、登校時間は急激に学生の声で騒がしくなる。学校校舎入り口は、日中は講義と休み時間の繰り返しに従って、静かな時間帯と騒がしい時間帯とが急激な変化を伴い交互に繰り返される。そして、学校校舎入り口は、下校時間後には徐々に静まりかえり、夜を迎える。このように、音の変化は、２４時間周期で繰り返す。このような変化に追従して、状態特徴量ｄ（ｉ）も、２４時間周期で変化する。

既に説明したように、ｉは、時間フレームインデックスであり、所定の時間（例えば、装置の動作開始時間）を０として、装置が動作し続ける間、値は増加し続ける。このような条件下で、１日における各時刻の通常モデルを作る場合を考えると、通常モデル生成部は、ｍを、日付を問わない時刻（１０時１０分など）で定義されるモデルインデックスとすればよい。例えば、時間フレームｉの時間幅を１分とし、原点ｉ＝０の実時刻がある日の１８時００分だとすると、ｉ＝１４４０も、１８時００分となる。以上の性質を利用して、ｍを時刻で定義した場合、通常モデル生成部は、ｉが時刻ｍとなるような複数のｄ（ｉ）を用いて、ｑ_ｍ（ｄ（ｉ））を算出する。このようなｑ_ｍ（ｄ（ｉ））は、通常の時刻ｍの状態が、ある平均の下で日（周期）に従って、ばらつきをもって観測されるという仮定に基づいている。

そのようなｑ_ｍ（ｄ（ｉ））をガウス分布で表すと、ｑ_ｍ（ｄ（ｉ））は、次の［数５］のようになる。

［数５］

なお、通常モデル生成部は、通常モデルｑ_ｍ（ｄ（ｉ））の表現形式としては、ガウス分布以外にも、例えば、混合ガウス分布、又は、隠れマルコフモデルを用いてもよい。なお、隠れマルコフモデルを用いる場合は、通常モデル生成部は、系列データの発生機構の状態を潜在状態とする。そして、通常モデル生成部は、それらから発生する系列データの特徴量である系列特徴量の基準に対する変動具合を示す状態特徴量を観測データとして、通常状態においてそれらが観測される確率及び発生機構の状態の遷移確率を求めればよい。

また、上記の例では、２４時間を周期の単位に用いて通常モデルを生成する例を示したが、対象となる系列データの発生機構の活動周期があらかじめ分かっている場合、その活動周期で定義されるｍを用いて通常モデルを生成すればよい。例えば、時刻だけでなく曜日にも従って系列データの発生機構の状態（活動内容）が変わる場合、ｍを曜日と時刻とで定義し、曜日ごとの時刻に対応した通常モデルを生成してもよい。また、例えば、学校での講義とその休み時間の繰り返しに対応する通常モデルを生成したい場合には、ｍを講義と休み時間との長さに対応する定義を行うなど、通常モデルを生成する周期を利用者が自由に設定することが可能である。また、通常モデルは、曜日ごとの通常モデルと、講義と休み時間との繰り返しの通常モデルといったように、複数の通常モデルを組み合わせて用いることも可能である。この場合、１つの状態特徴量が複数の通常モデルの生成に用いられてもよい。

異常検出部３０３は、系列データ分析部３０１から入力される状態特徴量ｄ（ｉ）を基に、当該異常検出装置３００に入力された系列データの発生機構の状態において異常の有無を検知し出力する。異常検出部３０３は、例えば、入力された状態特徴量ｄ（ｉ）のｉが対応するｍを用いて示される通常モデルがその状態特徴量ｄ（ｉ）をとる確率を表すスコアを算出して、そのスコアに基づいて異常の有無を検知してもよい。スコアは、例えば、通常モデル格納部３０２に通常モデルとして格納されている確率分布ｑ_ｍ（ｄ（ｉ））に、入力された状態特徴量ｄ（ｉ）を代入して得られる確率値であってもよい。その場合、異常検出部３０３は、算出したスコアがあらかじめ定義しておいた閾値未満であれば異常ありとし、閾値以上であれば異常なしとしてもよい。

次に、本実施形態の動作を説明する。図８は、本実施形態の異常検出装置３００の動作の一例を示すフローチャートである。

図８に示す例では、まず異常検出装置３００に系列データｘ（ｔ）が入力される（ステップＳ３０１）。

次に、系列データ分析部３０１が、入力された系列データｘ（ｔ）に対して、系列データの分析処理を行い、得られた状態特徴量ｄ（ｉ）を出力する（ステップＳ３０２）。

最後に、異常検出部３０３が、状態特徴量ｄ（ｉ）と、通常モデル格納部３０２に格納されている通常モデルとに基づいて、系列データｘ（ｔ）の異常を検出する（ステップＳ３０３）。

なお、図示省略しているが、異常検出装置３００は、上記の異常検出処理の前処理として、又は異常検出処理と並列して、通常モデルの生成処理を行ってもよい。

以上のように、本実施形態に基づけば、第２の実施形態の効果に加えて、時系列上での異常のみではなく、入力された系列データの発生機構の状態変化の周期に基づく異常を検知することができる。したがって、本実施形態に基づけば、時系列上のみではなく、任意の周期から見た異常を検出することができる。

実施形態４．
次に、本発明の第４の実施形態の異常検出装置４００について説明する。図９は、本実施形態の異常検出装置４００の例を示す構成図である。図９に示す異常検出装置４００は、系列データ分析部４０１と、状態特徴量系列生成部４０２と、異常検出部４０３とを備える。

系列データ分析部４０１は、第２の実施形態の系列データ分析部２１０と同様である。すなわち、系列データ分析部４０１は、系列データｘ（ｔ）（図９の信号）を入力とし、状態特徴量ｄ（ｉ）を算出し出力する。

状態特徴量系列生成部４０２は、状態特徴量ｄ（ｉ）を入力とし、状態特徴量系列ｄ_２（ｙ）を出力する。ここで、状態特徴量系列ｄ_２（ｊ）は、状態特徴量ｄ（ｉ）を変換（再編成）することに基づいて得られるｄ（ｉ）と同じ次元数をもつベクトル又はスカラー値である。また、ｊは、状態特徴量系列に関するインデックスである。

以下、音響信号から施設の異常を検出する場合を例に用いて、状態特徴量系列の生成方法及びｊの例を説明する。既に説明したように、施設等において発生する音は、通常、人間の活動に従って所定の周期（例えば、２４時間）で変化する。このことは、状態特徴量も所定の周期で変化することを表す。

そこで、ｊは、そのような周期内での時間フレームのインデックスとして定義されてもよい。例えば、時間フレームｉの時間幅を１分とし、原点ｉ＝０の実時刻が１月１日１８時００分だとすると、ｉ＝１４４０は、１月２日１８時００分となる。そのような場合に、ｊは、２４時間周期内での１分単位の時間フレームインデックスと定義されてもよい。すると、ｄ_２（ｊ）は、１日におけるｊが示す各時刻の状態特徴量の系列となる。つまり、上記の例で、ｊ_１＝１８時００分と定義すると、ｄ_２（ｊ_１）＝［ｄ（０），ｄ（１４４０），…］のように、時間フレームｉが、１８時００分に対応するｄ（ｉ）を並べたデータとして表される。

また、今回は、周期が２４時間である場合を例にして説明した。しかし、対象となる系列データの発生機構の活動周期があらかじめ分かっている場合には、その活動周期に基づいて、ｊは定義されればよい。その際、例えば、曜日別の時刻ごとに状態特徴量系列を生成したい場合には、ｙは、曜日と時刻とで定義されてもよい。また、例えば、学校での講義とその休み時間との繰り返しに対応した状態特徴量系列を生成したいのであれば、ｊが講義と休み時間の長さに対応して定義されるなど、利用者は、状態特徴量系列の要素とされる状態特徴量を抽出する周期を自由に設定してよい。このとき、ｊは、繰り返される系列データの発生機構の状態において同じ状態とみなせる時間フレームの状態特徴量が抽出できるように定義されるのがより好ましい。なお、ｊの定義は、１つに限られない。例えば、曜日ごとの状態特徴量系列と、講義ごと及び休み時間ごとの状態特徴量系列といったように、複数の周期に対応する状態特徴量系列が、生成されてもよい。この場合、１つの状態特徴量が、複数の状態特徴量系列の生成に用いられてもよい。

異常検出部４０３は、状態特徴量系列ｄ_２（ｊ）を入力とし、系列データｘ（ｔ）の発生機構の異常な状態を検知する。異常検出部４０３は、例えば、上記の特許文献１に記載の方法を用いて、状態特徴量系列ｄ_２（ｊ）から異常の有無を検出してもよい。この場合、異常検出部４０３は、各ｊについて、状態特徴量系列ｄ_２（ｊ）を系列データとして順次入力する。そして、異常検出部４０３は、そのような系列データ（例えば、それより前の当該ｊに対応する時間フレームｉをもつ状態特徴量ｄ（ｉ）の系列）が発生する確率を確率分布で表すことでモデル化する。そして、異常検出部４０３は、モデル化された確率分布と、入力された系列データ（当該ｊに対応する時間フレームｉの最新の状態特徴量ｄ（ｉ））とに基づいて算出した外れ値スコアを基に、統計的な外れ値又は発生機構の状態の変化点を検出してもよい。

次に、本実施形態の動作について説明する。図１０は、本実施形態の異常検出装置４００の動作の一例を示すフローチャートである。なお、ステップＳ４０１～ステップＳ４０２の動作は、第３の実施形態のステップＳ３０１～ステップＳ３０２と同様である。

本実施形態では、系列データの分析処理で、状態特徴量ｄ（ｉ）が算出されると（ステップＳ４０２）、状態特徴量系列生成部４０２が、状態特徴量ｄ（ｉ）から状態特徴量系列ｄ_２（ｊ）を生成する（ステップＳ４０３）。

最後に、異常検出部４０３が、状態特徴量系列ｄ_２（ｊ）に基づいて、系列データｘ（ｔ）の異常を検出する（ステップＳ４０４）。

以上のように、本実施形態に基づけば、第２の実施形態の効果に加えて、時系列上での異常のみではなく、入力された系列データの発生機構の状態変化の周期に基づく異常を検出することができる。したがって、本実施形態に基づけば、時系列上のみではなく任意の周期から見た異常を検出することができる。

実施形態５．
次に、本発明の第５の実施形態の異常検出装置５００について説明する。図１１は、本実施形態の異常検出装置５００の例を示す構成図である。図１１に示す異常検出装置５００は、分散データ分析部５１０と、通常モデル格納部５０２と、異常検出部５０３とを備える。

分散データ分析部５１０は、Ｎ個の発生機構から発生し各系列データｘ_１（ｔ），…，ｘ_Ｎ（ｔ）（図１１の信号１～Ｎ）を入力とし、各系列データから状態特徴量を算出する処理部である。分散データ分析部５１０は、Ｎ個の系列データ分析部５０１（系列データ分析部５０１－１～５０１－Ｎ）を含む。

系列データ分析部５０１－１～５０１－Ｎは、各々、対応する系列データｘ_ｎ（ｔ）を入力とし、状態特徴量ｄ（ｉ，ｎ）を出力する。ここで、ｎは、系列データの発生機構のインデックス（以下、機構インデックスという）を表す。例えば、系列データ分析部５０１－１は、系列データｘ_１（ｔ）を入力とし、状態特徴量ｄ（ｉ，１）を出力する。

以下では、音響信号から異常を検出するために、異常を検出したい環境（対象環境）に、Ｎ個のマイクロフォンを空間的に分散配置させる場合を考える。このような場合において、系列データｘ_ｎ（ｔ）の発生機構は、音響信号（ｘ_ｎ（ｔ））を収録したマイクロフォンの周囲環境に相当する。その場合、ｎは、マイクロフォンの識別子として定義されてもよいし、マイクロフォンを設置した空間的なインデックス（例えばマイクロフォンを設置した場所の３次元座標）として定義されてもよい。あるいは、ｎは、マイクロフォンを設置した場所の識別子として定義されてもよい。例えば、学校施設の異常検出のために各教室にマイクロフォンを設置した場合、ｎは、マイクロフォンを設置した教室のインデックスとして定義されてもよい。

図１２は、系列データ分析部５０１－ｎの構成例を示すブロック図である。図１２に示すように、各系列データ分析部５０１は、系列特徴量抽出部５１１と、確率分布算出部５１２と、基準確率分布格納部５１３と、状態特徴量算出部５１４とを含む。なお、系列特徴量抽出部５１１、及び、確率分布算出部５１２の動作は、基本的には、第２の実施形態の系列特徴量抽出部２０１、及び、確率分布算出部２０２と同様である。同様に、基準確率分布格納部５１３、及び、状態特徴量算出部５１４の動作は、基本的には、第２の実施形態の基準確率分布格納部２０３、及び、状態特徴量算出部２０４と同様である。

なお、基準確率分布格納部５１３は、基準確率分布として、所定の発生機構における基準の確率分布を格納することも可能である。これは、異常検出装置５００の入力がＮ個の発生機構から発生する各系列データであるからである。すなわち、１つの系列データを入力していた異常検出装置２００では、基準確率分布は、所定の時間における対象環境の状態を表すものであった。これに対して、本実施形態では、基準として、機構インデックスｎが示す発生機構における通常の状態を定義することができる。

例えば、Ｎ個のマイクロフォンを空間的に分散配置した場合における、第１の場所（ｎ＝ｎ１）に設置されたマイクロフォンから得られた音響信号ｘ_ｎ１（ｔ）を用いて表される当該場所の周囲状態を基準とすることを考える。そのような場合、状態特徴量ｄ（ｉ，ｎ）は、第１の場所（ｎ１）の周囲状態を基準としてみた場合の当該ｎが示す場所の周囲状態という特徴を表すものとなる。そのような場合には、時系列における関係性のみではなく、複数の発生機構の間の関係性（音響信号でいえば空間的な関係性）も用いて異常状態を検知することができる。 なお、基準とする発生機構はｎごとに異なっていてもよい。

通常モデル格納部５０２は、通常状態における状態特徴量ｄ（ｉ，ｎ）をモデル化した通常モデルを格納する。なお、図示省略しているが、異常検出装置５００は、通常モデル格納部５０２の前段に、状態特徴量ｄ（ｉ，ｎ）から通常モデルを生成して通常モデル格納部５０２に格納させる通常モデル生成部を備えていてもよい。

以下、状態特徴量ｄ（ｉ，ｎ）の確率分布ｑ_ｍ（ｄ（ｉ））を通常モデルとして用いる場合を例に説明する。ここで、ｍはモデルに関するインデックスである。なお、第３の実施形態におけるｍは時間に対応するインデックスであったが、本実施形態におけるｍは、時間に加え、機構インデックスｎにも対応する。例えば、通常モデル生成部は、ｍを、「第１の場所（ｎ１）に対応するｎ」と定義して、第１の場所（ｎ＝ｎ１）の状態特徴量を用いて通常モデルを生成してもよい。あるいは、通常モデル生成部は、ｍを、「第１の場所（ｎ１）に対応する時刻１８：００におけるｎとｉ」と定義して、第１の場所（ｎ＝ｎ１）の状態特徴量のうちｉが時刻１８：００に対応する状態特徴量を用いて通常モデルを生成してもよい。また、通常モデル生成部は、例えば、ｍを、「第１の場所（ｎ１）を基準とするｎ’（≠ｎ）に対応するｎ」と定義して、第１の場所（ｎ１）を基準とするｎの特徴量を用いて通常モデルを生成してもよい。また、通常モデル生成部は、第３の実施形態と同様、ｍを、時間及び機構インデックスに関して複数の観点（曜日と時刻、場所と基準など）を組み合わせて定義してもよい。あるいは、通常モデル生成部は、各々の観点に従って定義した複数種類のｍ（ｍ_１，ｍ_２，…等）を用いて複数種類の通常モデルを生成してもよい。

なお、通常モデルの生成方法は、第３の実施形態と同様でよい。通常モデルは、例えば、ｍに対応する時間フレームｉ及び機構インデックスｎの状態特徴量ｄ（ｉ，ｎ）の確率分布ｑ_ｍ（ｄ（ｉ，ｎ））であってもよい。

異常検出部５０３は、分散データ分析部５１０から入力される状態特徴量ｄ（ｉ，ｎ）を基に、当該異常検出装置５００に入力された系列データの発生機構の状態において異常の有無を検知し出力する。異常検出部５０３は、例えば、入力された各状態特徴量ｄ（ｉ，ｎ）のｉ及びｎが対応するｍに従って示される通常モデルがその状態特徴量ｄ（ｉ，ｎ）をとる確率を表すスコアを算出して、そのスコアに基づいて異常の有無を検知してもよい。なお、スコアの算出方法及びスコアに基づく異常の有無の判定方法は、第３の実施形態と同様でよい。

次に、本実施形態の動作を説明する。図１３は、本実施形態の異常検出装置５００の動作の一例を示すフローチャートである。

図１３に示す例では、異常検出装置５００にＮ個の系列データｘ_１（ｔ），…，ｘ_Ｎ（ｔ）が入力される。各系列データｘ_ｎ（ｔ）は、対応する分散データ分析部５１０－ｎに入力される。各々の分散データ分析部５１０－ｎが、入力された系列データｘ_ｎ（ｔ）に対して、系列データの分析処理を行う（ステップＳ５０１－１～ステップＳ５０１－Ｎ）。系列データの分析処理は、第２の実施形態と同様である。

最後に、異常検出部５０３が、Ｎ個の分散データ分析部５１０－ｎから得られた状態特徴量ｄ（ｉ，ｎ）と、通常モデルとを基に、Ｎ個の系列データｘ_１（ｔ），…，ｘ_Ｎ（ｔ）の異常を検出する（ステップＳ５０２）。

以上のように、本実施形態に基づけば、１つの発生機構の状態の変化の周期といった時間の関係性に加えて、複数の発生機構間の関係性を基にした状態特徴量に基づいて異常を検知することができる。したがって、第３の実施形態の効果に加えて、入力された系列データの発生機構間の関係性に基づく異常を検知することができる。すなわち、本実施形態に基づけば、複数の発生機構の間における関係性からみた異常な外れ値・変化を検出することができる。

実施形態６．
次に、本発明の第６の実施形態の異常検出装置６００について説明する。図１４は、本実施形態の異常検出装置６００の例を示す構成図である。図１４に示す異常検出装置６００は、分散データ分析部６１０と、状態特徴量系列生成部６０２と、異常検出部６０３とを備える。

分散データ分析部６１０は、第５の実施形態の分散データ分析部５１０と同様の動作を行い、Ｎ個の発生機構から発生した系列データｘ_１（ｔ），ｘ_２（ｔ），…，ｘ_Ｎ（ｔ）（図１４の信号１～Ｎ）を入力とし、状態特徴量ｄ（ｉ，ｎ）を出力する。

分散データ分析部６１０は、Ｎ個の系列データ分析部６０１（系列データ分析部６０１－１～６０１－Ｎ）を含む。

状態特徴量系列生成部６０２は、状態特徴量ｄ（ｉ，ｎ）を入力とし、状態特徴量系列ｄ_２（ｊ，ｎ）を出力する。ここで、状態特徴量系列ｄ_２（ｊ，ｎ）は、状態特徴量ｄ（ｉ，ｎ）を変換することに基づいて得られるｄ（ｉ，ｎ）と同じ次元数をもつベクトル又はスカラー値である。ｊは、状態特徴量系列に関するインデックスである。なお、ｊの定義は、第４の実施形態の状態特徴量系列生成部４０２と同様でよい。すなわち、状態特徴量系列ｄ_２（ｊ，ｎ）は、状態特徴量系列生成部４０２における状態特徴量系列ｄ_２（ｊ）を、機構インデックスｎごとに生成したものと言える。すなわち、状態特徴量系列生成部６０２は、状態特徴量系列生成部４０２の動作を、Ｎ回行うといったようにｎに対応する形に変更したものである。

異常検出部６０３は、状態特徴量系列ｄ_２（ｊ，ｎ）を入力とし、系列データｘ_ｎ（ｔ）の発生機構の異常な状態を検知する。本実施形態において、ｄ_２（ｊ，ｎ）は、時間に関するインデックスｊと、機構インデックスｎとを含むことから、異常検出部６０３は、時間的関係だけでなく発生機構の関係からみた異常を検出することができる。なお、異常検出部６０３における異常の検出方法は、第４の実施形態の異常検出部４０３と同様でよい。

なお、異常検出部６０３は、ｊを、ｍと同様に、ｉだけでなくｎにも対応させて定義づけてもよい。その場合、状態特徴量系列生成部６０２が出力する状態特徴量系列の形式はｄ_２（ｊ）となるが、ｊの取り得る値が変わるだけで、当該状態特徴量系列が、時間的関係と発生機構間の関係の両方を表しうることに変わりはない。

次に、本実施形態の動作を説明する。図１５は、本実施形態の異常検出装置６００の動作の一例を示すフローチャートである。なお、ステップＳ６０１－１～ステップＳ６０１－Ｎの動作は、第５の実施形態のステップＳ５０１－１～ステップＳ５０１－Ｎと同様である。

本実施形態では、各系列データの分析処理で、状態特徴量ｄ（ｉ，ｎ）が算出されると、状態特徴量系列生成部６０２が、状態特徴量ｄ（ｉ，ｎ）から状態特徴量系列ｄ_２（ｊ，ｎ）を生成する（ステップＳ６０２）。

最後に、異常検出部６０３が、状態特徴量系列ｄ_２（ｊ，ｎ）に基づいて、Ｎ個の系列データｘ_１（ｔ），…，ｘ_Ｎ（ｔ）の異常を検出する（ステップＳ６０３）。

以上のように、本実施形態は、１つの発生機構の状態の変化の周期といった時間の関係性に加えて、複数の発生機構間の関係性を基に状態特徴量をまとめたものを新たな系列データ（状態特徴量系列）とし、それに基づいて異常を検出する。したがって、第４の実施形態の効果に加えて、入力された系列データの発生機構間の関係性に基づく異常を検出することができる。すなわち、本実施形態に基づけば、複数の発生機構の間における関係性からみた異常を検出することができる。

なお、上記の実施形態において、系列データの例として時系列音響信号を示したが、系列データは時系列音響信号に限られない。例えば、系列データは、温度センサから得られる時系列温度信号、振動センサから得られる時系列振動信号、又はカメラから得られる映像信号などの任意の系列データでもよい。あるいは、系列データは、電力使用量の時系列データ、需要家ごとの電力使用量の系列データ、ネットワークにおける呼量の時系列データ、風量の時系列データ、又は一定範囲における降雨量の空間系列データでもよい。あるいは、系列データは、その他にも、角度系列データ、又は、テキストなどの離散系列データなどであってもよい。当然に、系列データには、等間隔の系列データのみではなく不等間隔の系列データも含まれる。

また、本発明は、複数の機器から構成されるシステムに適用されてもよいし、単体の装置に適用されてもよい。さらに、本発明は、実施形態の機能を実現する情報処理プログラムが、システムあるいは装置に直接あるいは遠隔から供給される場合にも適用可能である。したがって、本発明の機能をコンピュータで実現するために、コンピュータにインストールされるプログラム、あるいはそのプログラムを格納した媒体、そのプログラムをダウンロードさせるＷＷＷ(World Wide Web)サーバも、本発明の範疇に含まれる。特に、少なくとも、上述した実施形態に含まれる処理ステップをコンピュータに実行させるプログラムを格納した非一時的コンピュータ可読媒体（non-transitory computer readable medium）は本発明の範疇に含まれる。

［ハードウェア構成］
以上の説明した異常検出装置１００ないし６００のハードウェア構成について、異常検出装置１００を参照して説明する。
異常検出装置１００は、次のように構成される。例えば、異常検出装置１００の各構成部は、ハードウェア回路で構成されてもよい。また、異常検出装置１００において、各構成部は、ネットワークを介して接続した複数の装置を用いて、構成されてもよい。また、異常検出装置１００において、複数の構成部は、１つのハードウェアで構成されてもよい。また、異常検出装置１００は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）とを含むコンピュータ装置として実現されてもよい。異常検出装置１００は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Input / Output Circuit）と、ネットワークインターフェース回路（ＮＩＣ：Network Interface Circuit）とを含むコンピュータ装置として実現されてもよい。
図１６は、異常検出装置１００のハードウェアの一例である情報処理装置７００の構成の一例を示すブロック図である。
情報処理装置７００は、ＣＰＵ７１０と、ＲＯＭ７２０と、ＲＡＭ７３０と、内部記憶装置７４０と、ＩＯＣ７５０と、ＮＩＣ７８０とを含み、コンピュータ装置を構成している。
ＣＰＵ７１０は、ＲＯＭ７２０からプログラムを読み込む。そして、ＣＰＵ７１０は、読み込んだプログラムに基づいて、ＲＡＭ７３０と、内部記憶装置７４０と、ＩＯＣ７５０と、ＮＩＣ７８０とを制御する。そして、ＣＰＵ７１０を含むコンピュータは、これらの構成を制御し、系列特徴量抽出部１０１、系列確率分布算出部１０２、状態特徴量算出部１０４、及び異常検出部１０５としての機能を実現する。
ＣＰＵ７１０は、各機能を実現する際に、ＲＡＭ７３０又は内部記憶装置７４０を、プログラムの一時記憶媒体として使用してもよい。
また、ＣＰＵ７１０は、コンピュータで読み取り可能にプログラムを記憶した記録媒体７９０が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでもよい。あるいは、ＣＰＵ７１０は、ＮＩＣ７８０を介して、図示しない外部の装置からプログラムを受け取り、ＲＡＭ７３０に保存して、保存したプログラムを基に動作してもよい。
ＲＯＭ７２０は、ＣＰＵ７１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ７２０は、例えば、Ｐ－ＲＯＭ（Programmable-ROM）又はフラッシュＲＯＭである。
ＲＡＭ７３０は、ＣＰＵ７１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ７３０は、例えば、Ｄ－ＲＡＭ（Dynamic-RAM）である。
内部記憶装置７４０は、情報処理装置７００が長期的に保存するデータ及びプログラムを記憶する。内部記憶装置７４０は、基準確率分布格納部１０３として動作する。また、内部記憶装置７４０は、ＣＰＵ７１０の一時記憶装置として動作してもよい。内部記憶装置７４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Solid State Drive）又はディスクアレイ装置である。
ここで、ＲＯＭ７２０と内部記憶装置７４０は、不揮発性（non-transitory）の記憶媒体である。一方、ＲＡＭ７３０は、揮発性（transitory）の記憶媒体である。そして、ＣＰＵ７１０は、ＲＯＭ７２０、内部記憶装置７４０、又は、ＲＡＭ７３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ７１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。
ＩＯＣ７５０は、ＣＰＵ７１０と、入力機器７６０及び表示機器７７０とのデータを仲介する。ＩＯＣ７５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Universal Serial Bus）カードである。さらに、ＩＯＣ７５０は、ＵＳＢのような有線に限らず、無線を用いてもよい。
入力機器７６０は、情報処理装置７００の操作者からの入力指示を受け取る機器である。入力機器７６０は、例えば、キーボード、マウス又はタッチパネルである。
表示機器７７０は、情報処理装置７００の操作者に情報を表示する機器である。表示機器７７０は、例えば、液晶ディスプレイである。
ＮＩＣ７８０は、ネットワークを介した図示しない外部の装置とのデータのやり取りを中継する。ＮＩＣ７８０は、例えば、ＬＡＮ（Local Area Network）カードである。さらに、ＮＩＣ７８０は、有線に限らず、無線を用いてもよい。
このように構成された情報処理装置７００は、異常検出装置１００と同様の効果を得ることができる。
その理由は、情報処理装置７００のＣＰＵ７１０が、プログラムに基づいて異常検出装置１００と同様の機能を実現できるためである。

また、上記の各実施形態は以下の付記のようにも記載できる。

（付記１）第１の系列データが入力されると、第１の系列データに含まれる信号の特徴量である系列特徴量を抽出する系列特徴量抽出手段と、系列特徴量が従う確率分布である系列確率分布を算出する系列確率分布算出手段と、第１の系列データにおける系列特徴量の基準とされる確率分布である基準確率分布を格納する基準確率分布格納手段と、基準確率分布に対する系列確率分布の変動具合を表す状態特徴量を算出する状態特徴量算出手段と、第１の系列データから算出される複数の状態特徴量に基づいて、第１の系列データの異常を検出する異常検出手段とを備えたことを特徴とする異常検出装置。

（付記２）系列特徴量抽出手段は、所定の時間単位で定義される各時間フレームの時点における信号の所定の特徴量を、系列特徴量として抽出し、系列確率分布算出手段は、時間フレームごとの系列特徴量を確率変数とする確率分布を算出し、状態特徴量算出手段は、時間フレームごとに、時間フレームの時点における系列確率分布と、時間フレームの時点に対応する基準確率分布との間の距離を所定の尺度で表した状態特徴量を算出し、異常検出手段は、第１の系列データから算出される時間フレームごとの状態特徴量を基に、異常を検出する付記１に記載の異常検出装置。

（付記３）
異常検出手段は、第１の系列データから算出される時間フレームごとの状態特徴量を時系列に並べたデータを第２の系列データとし、第２の系列データを統計処理して、異常を検出する
付記２に記載の異常検出装置。

（付記４）
第１の系列データにおける正常時の状態特徴量の確率分布であって、少なくとも特定の周期内の時間を指し示すモデルインデックスに基づいて特定される状態特徴量の確率分布である通常モデルを格納する通常モデル格納手段を備え、
異常検出手段は、算出された状態特徴量と、通常モデルとに基づいて、異常を検出する
付記１ないし３のいずれか１項に記載の異常検出装置。

（付記５）
異常検出手段は、算出された状態特徴量を得た時点に対応する通常モデルが示す状態特徴量が生じる確率を基に算出されるスコアを基に、異常を検出する
付記４に記載の異常検出装置。

（付記６）
所定の時間単位で定義される時間フレームごとの状態特徴量を所定の周期に応じて再編成して１つ以上の状態特徴量系列を生成する状態特徴量系列生成手段を備え、
異常検出手段は、状態特徴量系列の各々を第２の系列データとし、第２の系列データを統計処理して、異常を検出する
付記２に記載の異常検出装置。

（付記７）
対象環境内の異なる場所の状態を表す複数の第１の系列データが入力され、
系列特徴量抽出手段、系列確率分布算出手段、基準確率分布格納手段、及び、状態特徴量算出手段を、入力される第１の系列データの数分備え、
異常検出手段は、各々の第１の系列データに対して、該第１の系列データから算出される複数の状態特徴量を基に、異常を検出する
付記１ないし６のいずれか１項に記載の異常検出装置。

（付記８）
各基準確率分布格納手段は、所定の第１の系列データにおいて系列特徴量の基準とされる確率分布を格納する
付記７に記載の異常検出装置。

（付記９）対象環境内の異なる場所の状態を表す複数の第１の系列データが入力され、系列特徴量抽出手段、系列確率分布算出手段、基準確率分布格納手段、及び、状態特徴量算出手段を、入力される第１の系列データの数分備え、異常検出手段は、各々の第１の系列データに対して、第１の系列データから算出される複数の状態特徴量を基に、異常を検出する付記１又は２に記載の異常検出装置。

（付記１０）各々の第１の系列データにおける正常時の状態特徴量の確率分布であって、少なくとも特定の周期内の時間を指し示すモデルインデックスに基づいて特定される状態特徴量の確率分布である通常モデルを格納する通常モデル格納手段を備え、異常検出手段は、各々の第１の系列データに対して、第１の系列データから算出された状態特徴量と、第１の系列データに対応する通常モデルとに基づいて、異常を検出する付記９に記載の異常検出装置。

（付記１１）第１の系列データごとに、第１の系列データから算出された状態特徴量を所定の周期に応じて再編成して１つ以上の状態特徴量の系列を生成する状態特徴量系列生成手段を備え、異常検出手段は、各々の第１の系列データに対して、第１の系列データから算出される複数の状態特徴量から生成された状態特徴量の系列の各々を第２の系列データとし、第２の系列データを統計処理して、異常を検出する付記９に記載の異常検出装置。

（付記１２）正常時の第１の系列データを用いて、基準確率分布を生成する基準確率分布生成手段を備えた付記１、２、及び、９ないし１１のいずれか１項に記載の異常検出装置。

（付記１３）正常時の第１の系列データから算出される複数の状態特徴量を用いて、通常モデルを生成する通常モデル生成手段を備えた付記１、２、及び９ないし１２のいずれか１項に記載の異常検出装置。

（付記１４）第１の系列データが、時系列音響信号である付記１、２、及び、９ないし１３のいずれか１項に記載の異常検出装置。

（付記１５）系列特徴量が、時系列音響信号に含まれる音の周波数及び／又はパワーが表現される特徴量であり、系列確率分布及び基準確率分布の表現形式が、混合ガウス分布であり、状態特徴量が、ＫＬダイバージェンス、ＫＬダイバージェンスを所定個並べたベクトル、所定番目のガウス分布の平均ベクトルの二乗距離を所定個並べたベクトル、又はそれらベクトルのノルムのいずれかである付記１、２、及び９ないし１４のいずれか１項に記載の異常検出装置。

（付記１６）第１の系列データが入力されると、第１の系列データに含まれる信号の特徴量である系列特徴量を抽出し、系列特徴量が従う確率分布である系列確率分布を算出し、系列データにおける系列特徴量の基準とされる確率分布である基準確率分布に対する系列確率分布の変動具合を表す状態特徴量を算出し、系列データから算出される複数の状態特徴量に基づいて、系列データの異常を検出することを特徴とする異常検出方法。

（付記１７）所定の時間単位で定義される各時間フレームの時点における信号の所定の特徴量を、系列特徴量として抽出し、時間フレームごとの系列特徴量を確率変数とする確率分布を算出し、時間フレームごとに、時間フレームの時点における系列確率分布と、時間フレームの時点に対応する基準確率分布との間の距離を所定の尺度で表した状態特徴量を算出し、第１の系列データから算出される時間フレームごとの状態特徴量を基に、異常を検出する付記１６に記載の異常検出方法。

（付記１８）コンピュータに、第１の系列データが入力されると、第１の系列データに含まれる信号の特徴量である系列特徴量を抽出する処理、系列特徴量が従う確率分布である系列確率分布を算出する処理、第１の系列データにおける系列特徴量の基準とされる確率分布である基準確率分布に対する系列確率分布の変動具合を表す状態特徴量を算出する処理、及び第１の系列データから算出される複数の状態特徴量に基づいて、第１の系列データの異常を検出する処理を実行させるための異常検出プログラム。

（付記１９）コンピュータに、系列特徴量を抽出する処理で、所定の時間単位で定義される各時間フレームの時点における信号の所定の特徴量を、系列特徴量として抽出させ、系列確率分布を算出する処理で、時間フレームごとの系列特徴量を確率変数とする確率分布を算出させ、状態特徴量を算出する処理で、時間フレームごとに、時間フレームの時点における系列確率分布と、時点に対応する基準確率分布との間の距離を所定の尺度で表した状態特徴量を算出させ、異常を検出する処理で、第１の系列データから算出される時間フレームごとの状態特徴量を基に、異常を検出させる付記１９に記載の異常検出プログラム。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２０１６年 ９月 ８日に出願された日本出願特願２０１６－１７５４０２を基礎とする優先権を主張し、その開示の全てをここに取り込む。

本発明は、正常時においても状態が変化するような環境を対象とする異常検出に限らず、任意の系列データに対する異常検出に好適に適用可能である。

１００、２００、３００、４００、５００、６００ 異常検出装置
１０１、２０１、２２１、５１１ 系列特徴量抽出部
１０２ 系列確率分布算出部
２０２、５１２ 確率分布算出部
２２２ 基準確率分布算出部
１０３、２０３、５１３ 基準確率分布格納部
１０４、２０４、５１４ 状態特徴量算出部
１０５、２０５、３０３、４０３、５０３、６０３ 異常検出部
２１０、３０１、３１１、４０１、５０１、６０１ 系列データ分析部
３０２、５０２ 通常モデル格納部
３１２ 通常モデル算出部
４０２、６０２ 状態特徴量系列生成部
５１０、６１０ 分散データ分析部
７００ 情報処理装置
７１０ ＣＰＵ
７２０ ＲＯＭ
７３０ ＲＡＭ
７４０ 内部記憶装置
７５０ ＩＯＣ
７６０ 入力機器
７７０ 表示機器
７８０ ＮＩＣ
７９０ 記録媒体

Claims (8)

1. 第１の系列データが入力されると、前記第１の系列データに含まれる信号の特徴量である系列特徴量を抽出する系列特徴量抽出手段と、
   前記系列特徴量が従う確率分布である系列確率分布を算出する系列確率分布算出手段と、
   前記第１の系列データにおける前記系列特徴量の基準とされる確率分布である基準確率分布を格納する基準確率分布格納手段と、
   前記基準確率分布に対する前記系列確率分布の変動具合を表す状態特徴量を算出する状態特徴量算出手段と、
   前記第１の系列データから算出される複数の前記状態特徴量に基づいて、前記第１の系列データの異常を検出する異常検出手段とを備え、
   前記基準確率分布は、深夜の状態に収録された音響信号を用いて算出された確率分布、又は、１日間収録した音響信号を用いて算出した確率分布であり、
   前記第１の系列データにおける正常時の前記状態特徴量の確率分布であって、一日の周期内の異なる時間を指し示す複数のモデルインデックスに基づいて特定される前記状態特徴量の確率分布である複数の通常モデルを格納する通常モデル格納手段を備え、
   前記異常検出手段は、算出された前記状態特徴量と、前記状態特徴量の時間に対応する前記モデルインデックスに基づいて特定される前記通常モデルとに基づいて、前記異常を検出する
   ことを特徴とする異常検出装置。
2. 前記系列特徴量抽出手段は、所定の時間単位で定義される各時間フレームの時点における信号の所定の特徴量を、前記系列特徴量として抽出し、
   前記系列確率分布算出手段は、前記時間フレームごとの前記系列特徴量を確率変数とする確率分布を算出し、
   前記状態特徴量算出手段は、前記時間フレームごとに、該時間フレームの時点における前記系列確率分布と、該時間フレームの時点に対応する前記基準確率分布との間の距離を所定の尺度で表した前記状態特徴量を算出し、
   前記異常検出手段は、前記第１の系列データから算出される前記時間フレームごとの前記状態特徴量を基に、前記異常を検出する
   請求項１に記載の異常検出装置。
3. 前記異常検出手段は、前記第１の系列データから算出される前記時間フレームごとの前記状態特徴量を時系列に並べたデータを第２の系列データとし、前記第２の系列データを統計処理して、前記異常を検出する
   請求項２に記載の異常検出装置。
4. 前記異常検出手段は、算出された前記状態特徴量を得た時点に対応する前記通常モデルが示す前記状態特徴量が生じる確率を基に算出されるスコアを基に、前記異常を検出する
   請求項１ないし３のいずれか１項に記載の異常検出装置。
5. 所定の時間単位で定義される前記時間フレームごとの前記状態特徴量を所定の周期に応じて再編成して１つ以上の状態特徴量系列を生成する状態特徴量系列生成手段を備え、
   前記異常検出手段は、前記状態特徴量系列の各々を第２の系列データとし、前記第２の系列データを統計処理して、前記異常を検出する
   請求項２に記載の異常検出装置。
6. 対象環境内の異なる場所の状態を表す複数の前記第１の系列データが入力され、
   前記系列特徴量抽出手段、前記系列確率分布算出手段、前記基準確率分布格納手段、及び、前記状態特徴量算出手段を、入力される前記第１の系列データの数分備え、
   前記異常検出手段は、各々の前記第１の系列データに対して、該第１の系列データから算出される複数の前記状態特徴量を基に、前記異常を検出する
   請求項１ないし５のいずれか１項に記載の異常検出装置。
7. コンピュータが、
   第１の系列データが入力されると、前記第１の系列データに含まれる信号の特徴量である系列特徴量を抽出し、
   前記系列特徴量が従う確率分布である系列確率分布を算出し、
   前記第１の系列データにおける前記系列特徴量の基準とされる確率分布である基準確率分布に対する前記系列確率分布の変動具合を表す状態特徴量を算出し、
   前記第１の系列データから算出される複数の前記状態特徴量に基づいて、前記第１の系列データの異常を検出し、
   前記基準確率分布は、深夜の状態に収録された音響信号を用いて算出された確率分布、又は、１日間収録した音響信号を用いて算出した確率分布であり、
   前記第１の系列データにおける正常時の前記状態特徴量の確率分布であって、一日の周期内の異なる時間を指し示す複数のモデルインデックスに基づいて特定される前記状態特徴量の確率分布である複数の通常モデルを格納し、
   前記異常の検出が、算出された前記状態特徴量と、前記状態特徴量に対応する前記モデルインデックスに基づいて特定される前記通常モデルとに基づいて、前記異常を検出する
   ことを特徴とする異常検出方法。
8. コンピュータに、
   第１の系列データが入力されると、前記第１の系列データに含まれる信号の特徴量である系列特徴量を抽出する処理、
   前記系列特徴量が従う確率分布である系列確率分布を算出する処理、
   前記第１の系列データにおける前記系列特徴量の基準とされる確率分布である基準確率分布に対する前記系列確率分布の変動具合を表す状態特徴量を算出する処理、及び
   前記第１の系列データから算出される複数の前記状態特徴量に基づいて、前記第１の系列データの異常を検出する処理
   を実行させ、
   前記基準確率分布は、深夜の状態に収録された音響信号を用いて算出された確率分布、又は、１日間収録した音響信号を用いて算出した確率分布であり、さらに、コンピュータに、
   前記第１の系列データにおける正常時の前記状態特徴量の確率分布であって、一日の周期内の異なる時間を指し示す複数のモデルインデックスに基づいて特定される前記状態特徴量の確率分布である複数の通常モデルを格納する処理を実行させ、
   前記異常を検出する処理が、算出された前記状態特徴量と、前記状態特徴量に対応する前記モデルインデックスに基づいて特定される前記通常モデルとに基づいて、前記異常を検出する処理である
   プログラム。

Images