JP7167714B2 - 異常判定装置、異常判定方法、及び異常判定プログラム - Google Patents

Description

本発明は、異常判定装置、異常判定方法、及び異常判定プログラムに関する。

監視対象システムの異常検知を行う異常検知装置が提案されている（例えば、特許文献１）。この特許文献１に開示されている異常検知装置としてのイベント分析システムは、監視対象システムからログを収集し、該収集したログを解析することでイベント列を得る。そして、該イベント分析システムは、得られたイベント列からイベントの変化を局所的に予測する局所予測モデルを学習する。そして、該イベント分析システムは、学習した局所予測モデルと観測したイベントとに基づいて、監視対象システムの異常を検知する。

特開２０１６－９９９３８号公報 特開２０１４－３２６５７号公報

しかしながら、上記特許文献１における異常検知装置としてのイベント分析システムにおいて収集したログからモデルを学習するための学習期間には、長い時間を要してしまう。この学習期間はユーザにとって異常検知処理を行うことができない無駄なリソースとなり、ユーザの利便性が低下してしまう問題がある。また、上記特許文献１における異常検知装置としてのイベント分析システムでは、監視対象システムが変わる度に、モデルを学習する必要があるので、ユーザの利便性がさらに低下する可能性がある。

本発明の目的は、ユーザの利便性を向上させることができる、異常判定装置、異常判定方法、及び異常判定プログラムを提供することにある。

本発明の第１の態様にかかる異常判定装置は、装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係を記憶する記憶部と、監視対象装置のイベント情報を取得する取得部と、前記取得された監視対象装置のイベント情報に対応する遷移状態を特定する特定部と、前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する判定部と、を具備する。

本発明の第２の態様にかかる異常判定方法は、監視対象装置のイベント情報を取得し、前記取得された監視対象装置のイベント情報に対応する遷移状態を特定し、装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する。

本発明の第３の態様にかかる異常判定プログラムは、監視対象装置のイベント情報を取得し、前記取得された監視対象装置のイベント情報に対応する遷移状態を特定し、装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する、処理を、異常判定装置に実行させる。

本発明により、ユーザの利便性を向上させることができる、異常判定装置、異常判定方法、及び異常判定プログラムを提供することができる。

第１実施形態の異常判定システムの一例を示す図である。 第１実施形態の異常判定装置の一例を示すブロック図である。 対応テーブルの一例を示す図である。 第１実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第２実施形態の異常判定装置の一例を示すブロック図である。 第２実施形態の情報管理テーブルの一例を示す図である。 第２実施形態のステート管理テーブルの一例を示す図である。 図７のステート管理テーブルに対応する状態遷移グラフを示す図である。 第３実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第３実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第３実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第４実施形態の異常判定装置の一例を示すブロック図である。 第４実施形態の情報管理テーブルの一例を示す図である。 第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 異常判定装置のハードウェア構成の一例を示す図である。

以下、図面を参照しつつ、実施形態について説明する。なお、実施形態において、同一の要素には、同一の符号を付し、重複する説明は省略される。
＜第１実施形態＞
＜異常判定システムの概要＞
図１は、第１実施形態の異常判定システムの一例を示す図である。図１において、異常判定システム１は、監視対象装置１０と、異常判定装置２０とを有している。監視対象装置１０と異常判定装置２０とは、有線で接続されていてもよいし、無線で接続されていてもよい。なお、図１では説明を簡単にするために、異常判定システム１に含まれる監視対象装置１０の数を１つとし、異常判定装置２０の数を１つとしているが、これに限定されるものではない。例えば、異常判定装置２０が複数の監視対象装置１０を監視してもよい。

図１の異常判定システム１において監視対象装置１０は、監視対象装置１０自身の状態をモニタし、モニタした状態を「イベント情報」として異常判定装置２０へ送信する。例えば、「監視対象装置１０自身の状態」とは、監視対象装置１０で動くアプリケーションの「遷移状態」である。

異常判定装置２０は、監視対象装置１０から送信されたイベント情報を取得する。そして、異常判定装置２０は、取得したイベント情報に対応する遷移状態を特定する。また、異常判定装置２０は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群（以下では、「状態候補グループ」と呼ぶことがある）との「対応関係」を記憶している。例えば、異常判定装置２０は、「対応関係」として、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群とが対応付けられた、対応テーブルを保持している。ここで、装置の「安定状態」とは、装置が安定して異常なしに動作している状態である。

そして、異常判定装置２０は、記憶された「対応関係」において監視対象装置１０の種別に対応付けられた遷移状態候補群と、上記イベント情報を用いて特定された遷移状態とに基づいて、監視対象装置１０の正常異常を判定する。例えば、異常判定装置２０は、記憶された「対応関係」において監視対象装置１０の種別に対応付けられた遷移状態候補群の中に、上記イベント情報を用いて特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する。

以上のように異常判定システム１において異常判定装置２０は、予め記憶している上記「対応関係」に基づいて、監視対象装置１０の正常異常を判定する。これにより、「対応関係」を特定するための「学習期間」が必要なくなるので、異常判定装置２０が監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを排除することができ、結果として、ユーザの利便性を向上させることができる。さらに、上記「対応関係」は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群とを対応付けている。これにより、監視対象装置１０が一の種別の装置から他の種別の装置に代わった場合でも、該他の種別の装置に対して「学習期間」を設ける必要がないので、結果として、ユーザの利便性をさらに向上させることができる。

＜異常判定装置の構成例＞
図２は、第１実施形態の異常判定装置の一例を示すブロック図である。図２において異常判定装置２０は、取得部２１と、制御部２２と、記憶部２３と、を有する。制御部２２は、特定部２４と、判定部２５とを有する。

取得部２１は、監視対象装置１０から送信されたイベント情報を取得する。例えば、取得部２１は、監視対象装置１０と異常判定装置２０とが有線で接続されている場合には、有線インタフェースであり、監視対象装置１０と異常判定装置２０とが無線で接続されている場合には、無線インタフェースである。そして、取得部２１は、取得したイベント情報を特定部２４へ出力する。

特定部２４は、取得部２１で取得された監視対象装置１０のイベント情報に対応する「遷移状態」を特定する。「遷移状態」は、例えば、監視対象装置１０で動作するアプリケーションの状態である。

記憶部２３は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群とを対応付ける「対応テーブル」を記憶している。図３は、対応テーブルの一例を示す図である。図３に示すように対応テーブルには、装置の種別毎にエントリが存在している。
図３では、装置の種別を示す情報として、装置の「型番」が用いられている。図３の一番上のエントリでは、型番１と、型番１の装置の安定状態における遷移状態候補群としての、状態α、状態β、及び状態γとが対応付けられている。

判定部２５は、記憶部２３に記憶されている「対応関係」において監視対象装置１０の種別に対応付けられた遷移状態候補群と、特定部２４でイベント情報を用いて特定された遷移状態とに基づいて、監視対象装置１０の正常異常を判定する。例えば、判定部２５は、記憶部２３に記憶されている対応テーブルにおいて、監視対象装置１０の種別に対応付けられた遷移状態候補群（つまり、状態候補グループ）の中に、特定部２４で特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する。

具体的には、判定部２５は、イベント情報と共に監視対象装置１０から送信された監視対象装置１０の型番情報を取得し、記憶部２３に記憶されている対応テーブルにおいて、この取得した型番情報に対応するエントリを特定し、さらに、この特定したエントリの状態候補グループを特定する。そして、判定部２５は、特定した状態候補グループの中に、特定部２４で特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する。例えば、監視対象装置１０の型番が型番１であり且つイベント情報が示す遷移状態が状態ｘであった場合、型番１に対応する状態候補グループ（つまり、状態α、状態β、及び状態γ）に状態ｘが含まれていないので、判定部２５は、監視対象装置１０が異常であると判定する。一方、監視対象装置１０の型番が型番１であり且つイベント情報が示す遷移状態が状態γであった場合、型番１に対応する状態候補グループ（つまり、状態α、状態β、及び状態γ）に状態γが含まれているので、判定部２５は、監視対象装置１０が正常であると判定する。

＜異常判定装置の動作例＞
以上の構成を有する異常判定装置２０の処理動作の一例について説明する。図４は、第１実施形態の異常判定装置の処理動作の一例を示すフローチャートである。

異常判定装置２０において取得部２１は、監視対象装置１０から送信されたイベント情報を取得する（ステップＳ１０１）。

次いで、特定部２４は、取得部２１で取得された監視対象装置１０のイベント情報に対応する遷移状態を特定する（ステップＳ１０２）。

次いで、判定部２５は、記憶部２３に記憶されている対応テーブルにおいて、監視対象装置１０の種別に対応付けられた遷移状態候補群（つまり、状態候補グループ）の中に、特定部２４で特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する（ステップＳ１０３）。

以上のように第１実施形態によれば、異常判定装置２０において取得部２１は、監視対象装置１０から送信されたイベント情報を取得する。特定部２４は、取得部２１で取得したイベント情報に対応する遷移状態を特定する。記憶部２３は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」を記憶している。そして、判定部２５は、記憶部２３に記憶されている対応関係において監視対象装置１０の種別に対応付けられた遷移状態候補群と、特定部２４でイベント情報を用いて特定された遷移状態とに基づいて、監視対象装置１０の正常異常を判定する。例えば、判定部２５は、記憶部２３に記憶された対応関係において監視対象装置１０の種別に対応付けられた遷移状態候補群の中に、特定部２４においてイベント情報を用いて特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する。

この異常判定装置２０の構成により、予め記憶している対応関係に基づいて、監視対象装置１０の正常異常を判定するので、対応関係を特定するための学習期間が必要なくなる。これにより、異常判定装置２０が監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを排除することができ、結果として、ユーザの利便性を向上させることができる。さらに、上記の対応関係は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群とを対応付けている。これにより、監視対象装置１０が一の種別の装置から他の種別の装置に代わった場合でも、該他の種別の装置に対して学習期間を設ける必要がないので、結果として、ユーザの利便性をさらに向上させることができる。
＜第２実施形態＞
第２実施形態では、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」を、「情報管理テーブル」及び「ステート管理テーブル」の２つのテーブルで管理する。また、「ステート管理テーブル」では、各「遷移状態候補」を、遷移前の状態（ノード）と遷移後の状態（ノード）と遷移前の状態から遷移後の状態への遷移との組み合わせとして管理する。なお、第２実施形態の異常判定システムの基本構成は、第１実施形態と同じなので、図１を参照して説明する。

図５は、第２実施形態の異常判定装置の一例を示すブロック図である。図５において、第２実施形態の異常判定装置２０の制御部２２は、テーブル管理部２６を有する。このテーブル管理部２６は、「情報管理テーブル」及び「ステート管理テーブル」を管理する。

第２実施形態の記憶部２３は、「情報管理テーブル」及び「ステート管理テーブル」を保持している。図６は、第２実施形態の情報管理テーブルの一例を示す図である。図７は、第２実施形態のステート管理テーブルの一例を示す図である。

図６に示すように、情報管理テーブルは、項目として、送信元ＩＤ、ＩＰアドレス、装置型番、学習完了フラグ、ステート管理テーブル名、テーブル作成時間、及び、現在のステートを含んでいる。図６には一例としてエントリを１つ示している。装置型番（つまり、型番情報）は、装置種別の一例である。このエントリは、送信元の端末（つまり、監視対象装置）のＩＤが「０ｘ００１」であり、その端末のＩＰアドレスが「１９２．１６８．０．１」であり、その端末の型番が「Ｒｏｕｔｅｒ＿Ａ」であり、学習完了フラグが既に学習期間が完了していることを示す「１」であり、このエントリに対応するステート管理テーブル名が「ｇｒａｐｈ＿ｒｏｕｔｅｒ＿Ａ」であり、テーブル作成時間が「２０１６／１０／２６ １０：２３：５６」であり、その端末の現在のステートが「Ｎ０１」であることを示している。エントリの項目「現在のステート」の内容は、そのエントリに対応する送信元端末の遷移状態が特定部２４によって特定される度に、特定された遷移状態でテーブル管理部２６によって更新される。

そして、図７には、テーブル名「ｇｒａｐｈ＿ｒｏｕｔｅｒ＿Ａ」のステート管理テーブルの一例を示している。図７に示すように、ステート管理テーブルは、項目として、エッジＩＤと、ノードＩＤ（始点）と、ノードＩＤ（終点）とを含んでいる。エッジＩＤは、遷移前の状態から遷移後の状態への遷移を示すＩＤであり、ノードＩＤ（始点）は、遷移前の状態（ノード）を示すＩＤであり、ノードＩＤ（終点）は、遷移後の状態（ノード）を示すＩＤである。すなわち、図７に示すステート管理テーブルは、図８に示す状態遷移グラフを遷移単位に分割して纏めたものである。図８は、図７のステート管理テーブルに対応する状態遷移グラフを示す図である。

第２実施形態の判定部２５は、例えば、次のようにして、監視対象装置１０の正常異常を判定する。

まず、取得部２１は、監視対象装置１０から、イベント情報と共に、ＩＰアドレス、及び種別情報（ここでは、型番情報）を取得する。

判定部２５は、まず、取得部２１で取得されたＩＰアドレスと一致するエントリが情報管理テーブルに存在するか否かを判定する。

取得部２１で取得されたＩＰアドレスと一致するエントリが情報管理テーブルに存在する場合、判定部２５は、そのエントリの項目「現在のステート」の内容を、遷移前の状態として保持する。また、判定部２５は、取得部２１で取得されたイベント情報から特定部２４で特定された遷移状態を遷移後の状態として保持する。そして、判定部２５の制御によってテーブル管理部２６は、この遷移後の状態で、そのエントリの項目「現在のステート」を更新する。そして、判定部２５は、保持している遷移前の状態と遷移後の状態との組み合わせが、そのエントリの項目「ステート管理テーブル名」の内容に対応するテーブルにエントリされているか否かを判定し、エントリされている場合には、監視対象装置１０が正常であると判定する一方、エントリされていない場合には、監視対象装置１０が異常であると判定する。

取得部２１で取得されたＩＰアドレスと一致するエントリが情報管理テーブルに存在しない場合、判定部２５の制御によってテーブル管理部２６は、情報管理テーブルに新しいエントリ（以下では、「追加エントリ」と呼ぶことがある）を追加する。そして、判定部２５は、取得部２１で取得された種別情報と一致するエントリが情報管理テーブルに存在するか否かを判定する。取得部２１で取得された種別情報と一致するエントリが情報管理テーブルに存在する場合、判定部２５の制御によってテーブル管理部２６は、そのエントリの項目「ステート管理テーブル名」の内容を、追加エントリの項目「ステート管理テーブル名」に入力する。このとき、判定部２５の制御によってテーブル管理部２６は、項目「学習完了フラグ」の内容を「１」とする。そして、判定部２５は、このステート管理テーブル名に対応するテーブルを用いて、監視対象装置１０の正常異常を判定する。なお、取得部２１で取得された種別情報と一致するエントリが情報管理テーブルに存在しない場合には、判定部２５は、ユーザに対してその旨を報知する報知信号を出力するように制御してもよいし、又は、後に第３実施形態で説明する「学習期間の処理」を実行するように制御してもよい。

このように安定状態における遷移前の状態と遷移後の状態との組み合わせを管理することにより、監視対象装置１０の正常異常判定の精度を向上させることができる。すなわち、例えば、図８に示すように、或る装置の安定状態では、遷移状態候補群として、Ｎ０１～Ｎ０５が存在する。第２実施形態の遷移状態候補の管理によれば、現在の遷移状態がＮ０１～Ｎ０５に含まれていたとしても、例えば、遷移前の状態がＮ０４で遷移後の状態がＮ０５の組み合わせは、図７のステート管理テーブルに保持されていない。この結果、判定部２５によって監視対象装置１０が異常であると判定されることになり、より厳しい基準で正常異常判定が行われることになる。

以上のように、第２実施形態によれば、異常判定装置２０において記憶部２３は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」を記憶しており、各「遷移状態候補」は、遷移前状態と遷移後状態との組み合わせである。そして、判定部２５は、記憶部２３に記憶された対応関係において監視対象装置１０の種別に対応付けられた遷移状態候補群の中に、特定部２４においてイベント情報を用いて特定された現在の遷移状態と１つ前の遷移状態との組み合わせが存在するか否かに基づいて、監視対象装置１０の正常異常を判定する。

この異常判定装置２０の構成により、監視対象装置１０の正常異常判定の精度をさらに向上させることができる。
＜第３実施形態＞
第３実施形態は、主に、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」を特定する「学習期間」の処理に関する。なお、第３実施形態の異常判定システム、監視対象装置、及び異常判定装置の基本構成は、第２実施形態と同じなので、図１，５－８を参照して説明する。

＜異常判定装置の構成例＞
第３実施形態の異常判定装置２０のテーブル管理部２６は、「学習期間」において取得部２１で取得された、イベント情報、ＩＰアドレス、及び種別情報（ここでは、型番情報）を用いて、情報管理テーブルに「追加エントリ」を生成する。このとき、テーブル管理部２６は、型番情報を用いて、「ステート管理テーブル名」を生成し、追加エントリに入力する。また、テーブル管理部２６は、追加エントリの項目「学習完了フラグ」の内容を「０」とする。そして、テーブル管理部２６は、生成した「ステート管理テーブル名」に対応するステート管理テーブルを生成する。

そして、判定部２５は、「学習期間」において、取得部２１で上記追加エントリに対応する監視対象装置１０からイベント情報が取得される度に、遷移前の状態と遷移後の状態を特定する。そして、該特定した遷移前の状態と遷移後の状態との組み合わせが上記生成したステート管理テーブルに未だ登録されていない場合に、判定部２５の制御によってテーブル管理部２６は、その組み合わせを新しいエントリとしてステート管理テーブルに登録する。この「学習期間」の処理は、監視対象装置１０の安定状態において実行される。
こうして学習期間において装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」が特定されることになる。ここで、学習期間が終わると、判定部２５の制御によってテーブル管理部２６は、上記追加エントリの項目「学習完了フラグ」の内容を「１」とする。

この対応関係が特定された後に、監視対象装置１０と種別が同じである他の監視対象装置１０からのイベント情報を異常判定装置２０が取得した場合には、判定部２５の制御によってテーブル管理部２６は、既に生成されている同じ種別に対応する情報管理テーブル及びステート管理テーブルを用いて、該他の監視対象装置１０の情報管理テーブルのエントリ及びステート管理テーブルを生成する。そして、判定部２５は、該生成した他の監視対象装置１０の情報管理テーブルのエントリ及びステート管理テーブルを用いて、該他の監視対象装置１０の正常異常を判定することができる。これにより、既に同じ種別の装置について記憶されている対応関係に基づいて、他の監視対象装置１０の正常異常を判定できるので、該他の監視対象装置１０についての対応関係を特定するための学習期間が必要なくなる。これにより、異常判定装置２０が該他の監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを排除することができ、結果として、ユーザの利便性を向上させることができる。

＜異常判定装置の動作例＞
以上の構成を有する第３実施形態の異常判定装置２０の処理動作の一例について説明する。図９～図１１は、第３実施形態の異常判定装置の処理動作の一例を示すフローチャートである。図１０及び図１１は、図９の続きのフローチャートである。

第３実施形態の異常判定装置２０の判定部２５は、監視対象装置１０からのイベント情報が取得部２１で取得されるまで待つ（ステップＳ２０１ＮＯ）。

取得部２１でイベント情報が取得されると（ステップＳ２０１ＹＥＳ）、判定部２５は、イベント情報と共に取得部２１で取得された送信元情報（ＩＰアドレス、セッションＩＤ等）及び種別情報を取得する（ステップＳ２０２）。

また、特定部２４は、取得部２１で取得されたイベント情報に対応する遷移状態を特定する（ステップＳ２０３）。

次いで、判定部２５は、取得された送信元情報と一致するエントリが情報管理テーブルに存在するか否かを判定する（ステップＳ２０４）。

取得された送信元情報と一致するエントリが情報管理テーブルに存在する場合（ステップＳ２０４ＹＥＳ）、判定部２５は、その対象エントリの項目「現在のステータス」の内容を遷移前の状態として保持し、さらに、ステップＳ２０３で特定された遷移状態を遷移後の状態として保持し、テーブル管理部２６を制御して、その対象エントリの項目「現在のステータス」の内容を遷移後の状態によって更新する（ステップＳ２０５）。

次いで、判定部２５は、その対象エントリの学習完了フラグが既に学習期間が完了していることを示す「１」であるか否かを判定する（ステップＳ２０６）。

その対象エントリの学習完了フラグが「１」である場合（ステップＳ２０６ＹＥＳ）、判定部２５は、その対象エントリの項目「ステート管理テーブル名」の内容に対応するステート管理テーブルを用いて、監視対象装置１０の正常異常を判定する（ステップＳ２０７）。この正常異常の判定処理は、第２実施形態と同様に行うことができる。そして、処理ステップは、ステップＳ２０１へ戻る。

これに対して、その対象エントリの学習完了フラグが「０」である場合（ステップＳ２０６ＮＯ）、判定部２５は、学習期間タイマが満了しているか否かを判定する（ステップＳ２１６）。

次いで、学習期間タイマが満了している場合（ステップＳ２１６ＹＥＳ）、判定部２５は、テーブル管理部２６を制御して、その対象エントリの学習完了フラグを「１」に変更する（ステップＳ２１７）。そして、処理ステップは、ステップＳ２０６へ戻る。

一方、学習期間タイマが満了していない場合（ステップＳ２１６ＮＯ）、判定部２５は、ステップＳ２０５で保持した遷移前の状態及び遷移後の状態の組み合わせが、その対象エントリの項目「ステート管理テーブル名」の内容に対応するテーブルに既に登録されているか否かを判定する（ステップＳ２１８）。

未だ登録されていない場合（ステップＳ２１８ＮＯ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０５で保持した遷移前の状態及び遷移後の状態の組み合わせを、その対象エントリの項目「ステート管理テーブル名」の内容に対応するテーブルに登録する（ステップＳ２１９）。そして、処理ステップは、ステップＳ２０１へ戻る。一方、既に登録されている場合（ステップＳ２１８ＹＥＳ）、処理ステップは、ステップＳ２０１へ戻る。

一方、取得された送信元情報と一致するエントリが情報管理テーブルに存在しない場合（ステップＳ２０４ＮＯ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０２で取得した送信元情報及び種別情報等を用いて、情報管理テーブルに追加エントリを生成する（ステップＳ２０８）。

次いで、判定部２５は、ステップＳ２０２で取得された種別情報と一致するエントリが情報管理テーブルに既に存在するか否かを判定する（ステップＳ２０９）。

ステップＳ２０２で取得された種別情報と一致するエントリが情報管理テーブルに既に存在する場合（ステップＳ２０９ＹＥＳ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０８で生成した追加エントリの項目「ステート管理テーブル名」にその既に存在しているエントリのステート管理テーブル名を入力する（ステップＳ２１０）。
さらに、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０８で生成した追加エントリの項目「学習完了フラグ」に「１」を入力すると共に、追加エントリの項目「現在のステータス」に、ステップＳ２０３で特定された遷移状態を入力する（ステップＳ２１１）。そして、処理ステップは、ステップＳ２０１へ進む。

ステップＳ２０２で取得された種別情報と一致するエントリが情報管理テーブルに未だ存在しない場合（ステップＳ２０９ＮＯ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０２で取得した種別情報を用いて、ステート管理テーブル名を生成する（ステップＳ２１２）。

次いで、判定部２５は、テーブル管理部２６を制御して、ステップＳ２１２で生成したステート管理テーブル名に対応するステート管理テーブルを生成する（ステップＳ２１３）。

次いで、判定部２５は、テーブル管理部２６を制御して、追加エントリの項目「ステート管理テーブル名」にステップＳ２１３で生成したステート管理テーブル名を入力し、項目「学習完了フラグ」に「０」を入力し、項目「現在のステータス」にステップＳ２０３で特定された遷移状態を入力する（ステップＳ２１４）。そして、判定部２５は、学習期間タイマをスタートさせる（ステップＳ２１５）。そして、処理ステップは、ステップＳ２０１に戻る。ここで、追加エントリの項目「学習完了フラグ」を「０」にすることにより、この追加エントリに対応する監視対象装置１０の「学習期間」がスタートすることになる。

以上のように第３実施形態によれば、異常判定装置２０において判定部２５は、監視対象装置１０のイベント情報を取得するより前に、安定状態にある他の監視対象装置１０の種別と該他の監視対象装置１０の安定状態において特定された複数の遷移状態とによって特定された対応関係を用いて、監視対象装置１０の正常異常を判定する。

この異常判定装置２０の構成により、既に同じ種別の装置について記憶されている対応関係に基づいて、監視対象装置１０の正常異常を判定できるので、監視対象装置１０についての対応関係を特定するための学習期間が必要なくなる。これにより、異常判定装置２０が監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを排除することができ、結果として、ユーザの利便性を向上させることができる。
＜第４実施形態＞
第４実施形態は、監視対象装置から取得した種別情報に一致する種別が対応関係に含まれていないが、種別情報のうちで型番情報が一致する種別が対応関係に含まれている場合、該取得した種別情報との類似度を表す類似距離が所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する遷移状態候補群を、監視対象装置の正常異常判定に用いる。
なお、第４実施形態の異常判定システムの基本構成は、第３実施形態と同じなので、図１を参照して説明する。

＜異常判定装置の構成例＞
図１２は、第４実施形態の異常判定装置の一例を示すブロック図である。図１２において、第４実施形態の異常判定装置２０の制御部２２は、類似距離処理部２７を有する。

第４実施形態の異常判定装置２０の取得部２１は、第１実施形態から第３実施形態と同様に、監視対象装置１０からイベント情報と共に送信元情報（ＩＰアドレス、セッションＩＤ等）及び種別情報を取得する。ただし、第４実施形態では、種別情報は、型番情報の他に、監視対象装置１０の「使用状況」又は「使用設定」の少なくとも一方を含んでいる。以下では、種別情報が、型番情報、使用状況、及び使用設定のすべてを含んでいるものとして説明する。使用状況は、監視対象装置１０が使用される周辺状況であり、例えば、監視対象装置１０の配下に温度センサ及び圧力センサの両方が存在する状況、温度センサのみが存在する状況、圧力センサのみが存在する状況等を含む。また、使用設定は、監視対象装置１０の内部状況であり、例えば、アプリケーションのバージョン等を含む。

第４実施形態の異常判定装置２０の判定部２５は、監視対象装置１０からイベント情報と共に送信されてきた種別情報と全ては一致しないが、種別情報に含まれる型番情報と一致するエントリが情報管理テーブルに存在する場合、類似距離処理部２７を制御して、取得部２１で取得された種別情報と、その一致する各エントリの種別情報との「類似距離」を算出する。この類似距離の算出については、後に詳しく説明する。

そして、判定部２５は、算出した類似距離に関して「所定条件」を満たすエントリが存在する場合、その所定条件を満たすエントリのステート管理テーブルを、取得部２１で取得したイベント情報、送信元情報、及び種別情報の送信元である監視対象装置１０に対する正常異常判定に適用する。すなわち、判定部２５は、既に存在しているステート管理テーブルを再利用する。上記の「所定条件」は、例えば、各エントリについて算出された類似距離のうちの最小値であり且つその最小値が「所定閾値」以下であることである。

ここで、類似距離の算出について説明する。図１３は、第４実施形態の情報管理テーブルの一例を示す図である。図１３の１番上のエントリに対応する監視対象装置は、項目「送信元ＩＤ」が「０ｘ００１」であり、種別情報のうち項目「装置型番」が「Ｒｏｕｔｅｒ＿Ａ」であり、項目「温度センサ有無」及び「圧力センサ有無」が共に「有り」を示す「１」であり、項目「アプリケーションバージョン」が「００１」である。また、上から２番目のエントリに対応する監視対象装置は、項目「送信元ＩＤ」が「０ｘ００２」であり、種別情報のうち項目「装置型番」が「Ｒｏｕｔｅｒ＿Ａ」であり、項目「温度センサ有無」が「有り」を示す「１」であり、項目「圧力センサ有無」が「無し」を示す「０」であり、項目「アプリケーションバージョン」が「００２」である。

そして、取得部２１において、送信元ＩＤ「０ｘ００３」の監視対象装置１０からイベント情報と共に次の種別情報を取得したと仮定する。その種別情報は、項目「装置型番」が「Ｒｏｕｔｅｒ＿Ａ」であり、項目「温度センサ有無」及び「圧力センサ有無」が共に「有り」を示す「１」であり、項目「アプリケーションバージョン」が「００３」である。

このとき、類似距離処理部２７は、「類似距離」として、例えば、取得部２１で取得された種別情報の型番情報と一致する各エントリについて、その取得された種別情報を何回の操作で各エントリの種別情報に一致させることができるか、つまり、その取得された種別と各エントリの種別情報との間で異なる種別パラメータの数を算出する。すなわち、図１３の１番上のエントリに関する類似距離は、そのエントリの種別情報と取得された種別情報との間で種別パラメータ「アプリケーションバージョン」だけが異なるので、類似距離は「１」となる。同様に、図１３の２番目のエントリに関する類似距離は、「２」となる。ここで、上記の所定閾値が「１」であるとすると、１番上のエントリのステート管理テーブルである「ｇｒａｐｈ＿ｒｏｕｔｅｒ＿Ａ１」が、送信元ＩＤ「０ｘ００３」の監視対象装置１０のステート管理テーブルとして再利用されることになる。なお、以上の説明では、各種別パラメータを同等に扱ったが、重み付けがなされてもよい。すなわち、類似性の各操作に重みをつけて、重み付けを加味して類似距離を計算してもよい。例えば、種別パラメータ「温度センサ有無」が異なる場合には、類似距離に「３」が加算され、「圧力センサ有無」が異なる場合には、類似距離に「２」が加算され、「アプリケーションバージョン」が異なる場合には、類似距離に「１」が加算されるようにしてもよい。この場合には、図１３の上から２番目のエントリに関する類似距離は、「３」になる。

＜異常判定装置の動作例＞
以上の構成を有する第４実施形態の異常判定装置２０の処理動作の一例について説明する。図１４～図１７は、第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。図１５～図１７は、図１４の続きのフローチャートである。図１４～図１７において、第３実施形態の図９～図１１の処理ステップと同等の処理ステップには、同じ符号が付されている。図１４及び図１５は、それぞれ、図９及び図１０と同じである。

ステップＳ２０２で取得された種別情報と一致するエントリが情報管理テーブルに未だ存在しない場合（ステップＳ２０９ＮＯ）、判定部２５は、ステップＳ２０２で取得した種別情報のうちの型番情報と一致するエントリが情報管理テーブルに存在するか否かを判定する（ステップＳ３０１）。

ステップＳ２０２で取得した種別情報のうちの型番情報と一致するエントリが情報管理テーブルに存在する場合（ステップＳ３０１ＹＥＳ）、判定部２５は、類似距離処理部２７を制御して、その一致した各エントリの種別情報と、ステップＳ２０２で取得した種別情報との「類似距離」を算出する（ステップＳ３０２）。

次いで、判定部２５は、類似距離処理部２７で算出された少なくとも１つの類似距離のうちで最小値を特定し（ステップＳ３０３）、特定した最小値が所定閾値以下であるか否かを判定する（ステップＳ３０４）。

特定した最小値が所定閾値以下である場合（ステップＳ３０４ＹＥＳ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０８で生成した追加エントリの項目「ステート管理テーブル名」に、その最小値に対応するエントリのステートテーブル名を入力する（ステップＳ３０５）。

次いで、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０８で生成した追加エントリの項目「学習完了フラグ」に「１」を入力すると共に、追加エントリの項目「現在のステータス」に、ステップＳ２０３で特定された遷移状態を入力する（ステップＳ３０６）。そして、処理ステップは、ステップＳ２０１へ進む。なお、ステップＳ２０２で取得した種別情報のうちの型番情報と一致するエントリが情報管理テーブルに存在しない場合（ステップＳ３０１ＮＯ）、及び、特定した最小値が所定閾値よりも大きい場合（ステップＳ３０４ＮＯ）、処理ステップは、ステップＳ２１２へ進む。

以上のように第４実施形態によれば、異常判定装置２０の判定部２５は、記憶部２３に記憶された対応関係に含まれる各種別の項目パラメータ（つまり、種別パラメータ）に関して、監視対象装置１０の種別の項目パラメータとの類似度を表す類似距離を算出し、算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する遷移状態候補群を用いる。

この異常判定装置２０の構成により、すべての種別パラメータが一致しない場合でも差が一定レベル以下である種別の対応関係を監視対象装置１０の正常異常判定に再利用することができるので、監視対象装置１０に学習期間が必要となる確率を低減することができる。これにより、異常判定装置２０が監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを極力排除することができ、結果として、ユーザの利便性を向上させることができる。
＜他の実施形態＞
（１）第１実施形態から第４実施形態では、記憶部２３に記憶されている「対応関係」が、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との対応関係であることを前提に説明を行ったが、これに限定されるものではない。例えば、記憶部２３に記憶されている「対応関係」に含まれる種別が１つであってもよい。すなわち、記憶部２３に記憶されている「対応関係」は、装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係であってもよい。

（２）第１実施形態から第４実施形態の異常判定装置２０は、次のようなハードウェア構成を有していてもよい。図１８は、異常判定装置のハードウェア構成の一例を示す図である。

図１８において、異常判定装置１００は、通信回路１０１と、プロセッサ１０２と、メモリ１０３とを有する。

第１実施形態から第４実施形態で説明した異常判定装置２０の取得部２１は、通信回路１０１によって実現される。また、第１実施形態から第４実施形態で説明した異常判定装置２０の制御部２２は、プロセッサ１０２がメモリ１０３に記憶されたプログラムを読み込んで実行することにより実現される。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係を記憶する記憶部と、
監視対象装置のイベント情報を取得する取得部と、
前記取得された監視対象装置のイベント情報に対応する遷移状態を特定する特定部と、 前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する判定部と、
を具備する異常判定装置。
（付記２）
前記判定部は、前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に前記特定された遷移状態が含まれるか否かに基づいて、前記監視対象装置の正常異常を判定する、
付記１記載の異常判定装置。
（付記３）
前記対応関係は、前記監視対象装置のイベント情報を取得するより前に、安定状態にある他の監視対象装置の種別と前記他の監視対象装置の安定状態において特定された複数の遷移状態とによって特定される、
付記１又は２記載の異常判定装置。
（付記４）
前記対応関係における各遷移状態候補は、遷移前の状態と遷移後の状態との組み合わせであり、
前記判定部は、前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に、前記特定部によって特定された現在の遷移状態と該現在の遷移状態の１つ前の遷移状態との組み合わせが含まれているか否かに基づいて、前記監視対象装置の正常異常を判定する、
付記１から３のいずれか１項に記載の異常判定装置。
（付記５）
前記対応関係における前記装置の種別は、前記装置の使用状態及び使用設定の少なくとも一方を含む、
付記１から４のいずれか１項に記載の異常判定装置。
（付記６）
前記記憶部に記憶された前記対応関係は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との対応関係であり、
前記判定部は、前記記憶された対応関係に含まれる各種別の項目パラメータに関して、前記監視対象装置の種別の項目パラメータとの類似度を表す類似距離を算出し、前記算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する前記遷移状態候補群を用いる、
付記１から５のいずれか１項に記載の異常判定装置。
（付記７）
監視対象装置のイベント情報を取得し、
前記取得された監視対象装置のイベント情報に対応する遷移状態を特定し、
装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する、
異常判定方法。
（付記８）
前記判定では、前記対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に前記特定された遷移状態が含まれるか否かに基づいて、前記監視対象装置の正常異常を判定する、
付記７記載の異常判定方法。
（付記９）
前記対応関係は、前記監視対象装置のイベント情報を取得するより前に、安定状態にある他の監視対象装置の種別と前記他の監視対象装置の安定状態において特定された複数の遷移状態とによって特定される、
付記７又は８記載の異常判定方法。
（付記１０）
前記対応関係における各遷移状態候補は、遷移前の状態と遷移後の状態との組み合わせであり、
前記判定では、前記対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に、前記特定された現在の遷移状態と該現在の遷移状態の１つ前の遷移状態との組み合わせが含まれているか否かに基づいて、前記監視対象装置の正常異常を判定する、
付記７から９のいずれか１項に記載の異常判定方法。
（付記１１）
前記対応関係における前記装置の種別は、前記装置の使用状態及び使用設定の少なくとも一方を含む、
付記７から１０のいずれか１項に記載の異常判定方法。
（付記１２）
前記対応関係は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との対応関係であり、
前記判定では、前記対応関係に含まれる各種別の項目パラメータに関して、前記監視対象装置の種別の項目パラメータとの類似度を表す類似距離を算出し、前記算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する前記遷移状態候補群を用いる、
付記７から１１のいずれか１項に記載の異常判定方法。
（付記１３）
監視対象装置のイベント情報を取得し、
前記取得された監視対象装置のイベント情報に対応する遷移状態を特定し、
装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する、
処理を、異常判定装置に実行させる異常判定プログラム。

以上、上述した実施形態を模範的な例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。

この出願は、２０１６年１１月２９日に出願された日本出願特願２０１６－２３１３９４を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１ 異常判定システム
１０ 監視対象装置
２０ 異常判定装置
２１ 取得部
２２ 制御部
２３ 記憶部
２４ 特定部
２５ 判定部
２６ テーブル管理部
２７ 類似距離処理部

Claims (9)

1. 装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係を記憶する記憶手段と、
   監視対象装置で動くアプリケーションの遷移状態をモニタしたイベント情報を取得する取得手段と、
   前記取得された監視対象装置の前記イベント情報に対応する遷移状態を特定する特定手段と、
   前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する判定手段と、
   を具備し、
   前記記憶手段に記憶された前記対応関係は、装置の複数の種別と、各種別の装置の安定状態における前記遷移状態候補群との対応関係であり、
   前記判定手段は、前記記憶された前記対応関係に含まれる各種別の項目パラメータに関して、前記監視対象装置の種別の項目パラメータとの類似度を表す類似距離を算出し、前記算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する前記遷移状態候補群を用いる、
   異常判定装置。
2. 前記判定手段は、前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に前記特定された遷移状態が含まれるか否かに基づいて、
   前記監視対象装置の正常異常を判定する、
   請求項１記載の異常判定装置。
3. 前記対応関係は、前記監視対象装置のイベント情報を取得するより前に、安定状態にある他の前記監視対象装置の種別と当該他の前記監視対象装置の安定状態において特定された複数の遷移状態とによって特定される、
   請求項１又は２記載の異常判定装置。
4. 前記対応関係における各遷移状態候補は、遷移前の状態と遷移後の状態との組み合わせであり、
   前記判定手段は、記憶された前記対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に、前記特定手段によって特定された現在の遷移状態と該現在の遷移状態の１つ前の遷移状態との組み合わせが含まれているか否かに基づいて、前記監視対象装置の正常異常を判定する、
   請求項１から３のいずれか１項に記載の異常判定装置。
5. 前記対応関係における前記装置の種別は、前記装置の使用状態及び使用設定の少なくとも一方を含む、
   請求項１から４のいずれか１項に記載の異常判定装置。
6. 監視対象装置で動くアプリケーションの遷移状態をモニタしたイベント情報を取得し、
   前記取得された監視対象装置の前記イベント情報に対応する遷移状態を特定し、
   装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定し、
   前記対応関係は、装置の複数の種別と、各種別の装置の安定状態における前記遷移状態候補群との対応関係であり、
   前記判定には、前記対応関係に含まれる各種別の項目パラメータに関して、前記監視対象装置の種別の項目パラメータとの類似度を表す類似距離を算出し、前記算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する前記遷移状態候補群を用いる、
   異常判定方法。
7. 前記判定では、前記対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に前記特定された遷移状態が含まれるか否かに基づいて、前記監視対象装置の正常異常を判定する、
   請求項６記載の異常判定方法。
8. 前記対応関係は、前記監視対象装置のイベント情報を取得するより前に、安定状態にある他の前記監視対象装置の種別と該他の前記監視対象装置の安定状態において特定された複数の遷移状態とによって特定される、
   請求項６又は７記載の異常判定方法。
9. 監視対象装置で動くアプリケーションの遷移状態をモニタしたイベント情報を取得する処理と、
   前記取得された監視対象装置の前記イベント情報に対応する遷移状態を特定する処理と、
   装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する処理と、を異常判定装置に実行させ、
   前記対応関係は、装置の複数の種別と、各種別の装置の安定状態における前記遷移状態候補群との対応関係であり、
   前記判定する処理は、前記対応関係に含まれる各種別の項目パラメータに関して、前記監視対象装置の種別の項目パラメータとの類似度を表す類似距離を算出し、前記算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する前記遷移状態候補群を用いる、
   異常判定プログラム。

Images