JP7315017B2 - 時系列データ処理方法 - Google Patents

Description

本発明は、時系列データ処理方法、時系列データ処理装置、プログラムに関する。

エネルギー（電気、ガス、上水など）や石油化学製品（原油、ガソリン、プラスチックなど）、食品、医薬品などを製造する産業プラントや、化学製品を生産する工場施設や装置などの化学プラントがある。これらプラントや、情報処理システムといった設備・大型機械では、各種センサからの計測値である時系列データを分析し、異常状態が発生したことを検出して出力することが行われている。例えば、特許文献１では、ルータやサーバ装置等の複数のノードが接続されることによって構成されているネットワークを監視対象として、ＣＰＵ使用率などの時系列データを採取し、時系列データから算出した異常度を閾値と比較することで、異常状態が発生したことを検出している。

特開２０１８－１４８３５０号公報

そして、上述した特許文献１では、時系列データから算出した異常度を比較する閾値は、予め設定される場合や、過去の異常の有無や検知の有無の集計結果から新たな閾値を算出して設定される場合がある。一例として、特許文献１では、集計結果から誤検知の回数及び見逃しの回数を計算し、誤検知の回数が多いほど閾値の増加量を大きく、見逃しの回数が多いほど閾値の減少量を小さくするよう算出している。ところが、時系列データから異常状態の誤検知や見逃しの発生は必ずしも多く発生することとは限らない。このため、適切な閾値の設定が難しい、という問題がある。

また、監視対象の時系列データから算出した異常度から異常状態の発生を検出するための閾値としては、「異常度」と「継続時間」といった２つの閾値の組み合わせも考えられる。例えば、図１に示すような複数の計測値の時系列データセットＤ１から所定の分析パラメータＡに基づいて算出した異常度グラフＤ２といった時系列データについて考える。この場合、まず、異常度グラフＤ２に対して監視対象が実際に正常状態であった正常期間と異常状態であった異常期間とを設定する。すると、異常度グラフＤ２の異常期間から、図２に示すように、（閾値Ａ１）「一瞬でも異常度が３０を超えた場合」、（閾値Ａ２）「短い期間、異常度が２５を超えた場合」、（閾値Ａ３）「長い期間、異常度が１０を超えた場合」、といった複数通りの閾値の候補が考えられる。また、複数の計測値の時系列データセットＤ１から、図３に示すように、上記とは異なる分析パラメータＢに基づいて算出した異常度グラフＤ３を用いることもあり、この場合は符号Ｂ１，Ｂ２に示すような上記とは異なる閾値の候補が考えられる。

しかしながら、異常状態を確実に検知しようとすると、閾値を最低限まで低い値に設定すればよいが、誤検知も起こる。一方、誤検知が起こらないように閾値を異常値の上限ギリギリに設定すると、異常状態を検知できない可能性がある。このように、検知率と誤検知率のバランスの取れた適切な閾値を設定することは困難である。このため、上述したように複数の閾値の候補を抽出したとしても、このうちどの閾値が適切であるかを判断することは難しく、そもそも適切ではない候補も含まれうる。その結果、適切な閾値を設定することが困難である。

さらに、通常は異常事例が発生する頻度が少ないことから、上述したように異常度グラフの異常期間から閾値を求めることも困難である。

このため、本発明の目的は、上述した課題である、時系列データに基づいて異常状態を検出する場合における適切な閾値を設定することが困難である、ことを解決することができる時系列データ処理方法を提供することにある。

本発明の一形態である時系列データ処理方法は、
計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータの値に対する他のパラメータの値が最大となる組み合わせを正常期間最大値として抽出する、
という構成をとる。

また、本発明の一形態である時系列データ処理装置は、
計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータの値に対する他のパラメータの値が最大となる組み合わせを正常期間最大値として抽出する抽出手段、
を備えた、
という構成をとる。

また、本発明の一形態であるプログラムは、
情報処理装置に、
計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータの値に対する他のパラメータの値が最大となる組み合わせを正常期間最大値として抽出する抽出手段、
を実現させる、
という構成をとる。

本発明は、以上のように構成されることにより、時系列データに基づいて異常状態を検出する場合における適切な閾値を設定することができる。

時系列データである異常度グラフの一例を示す図である。 異常度グラフから異常状態を検出するための閾値の候補を抽出した一例を示す図である。 異常度グラフから異常状態を検出するための閾値の候補を抽出した一例を示す図である。 本発明の実施形態１における時系列データ処理装置の構成を示すブロック図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置による時系列データの処理の様子を示す図である。 図４に開示した時系列データ処理装置の動作を示すフローチャートである。 図４に開示した時系列データ処理装置の動作を示すフローチャートである。 本発明の実施形態２における時系列データ処理装置による時系列データの他の処理の一例を示す図である。 本発明の実施形態３における時系列データ処理装置による時系列データの他の処理の一例を示す図である。 本発明の実施形態４における時系列データ処理装置のハードウェア構成を示すブロック図である。 本発明の実施形態４における時系列データ処理装置の構成を示すブロック図である。 本発明の実施形態４における時系列データ処理装置の動作を示すフローチャートである。

＜実施形態１＞
本発明の第１の実施形態を、図４乃至図１５を参照して説明する。図４は、時系列データ処理装置の構成を説明するための図であり、図５乃至図１５は、時系列データ処理装置の処理動作を説明するための図である。

［構成］
本発明における時系列データ処理装置１０は、プラントなどの計測対象Ｐに接続されている。そして、時系列データ処理装置１０は、計測対象Ｐの少なくとも一以上のデータ項目の計測値を取得して分析し、分析結果に基づいて計測対象Ｐの状態を監視する。例えば、計測対象Ｐは、製造工場や処理施設などのプラントであり、各データ項目の計測値は、プラント内の温度、圧力、流量、消費電力値、原料の供給量、残量など、複数種類のデータ項目の値からなる。そして、監視する計測対象Ｐの状態は、本実施形態では、計測対象Ｐの異常状態であることとし、各データ項目の計測値から所定の分析パラメータに基づいて算出した異常度から、異常状態であることを検出して、かかる異常状態であることを通知する通知情報を出力する。なお、計測対象Ｐが正常状態であると判定された場合は、管理者又は管理者が使用する端末装置に対して正常状態であることを通知する通知情報を出力してもよい。また、本発明における時系列データ処理装置１０は、後述するように、異常度から異常状態であることを検出する際の閾値の候補を抽出し、該候補から閾値を選択し設定することとしている。

なお、本発明における計測対象Ｐは、プラントであることに限定されず、情報処理システムなどの設備といったいかなるものであってもよい。例えば、計測対象Ｐが情報処理システムである場合には、情報処理システムを構成する端末やサーバ等の各情報処理装置のＣＰＵ（Central Processing Unit）使用率、メモリ使用率、ディスクアクセス頻度、入出力パケット数、入出力パケットレート、消費電力値などを、各データ項目の計測値として計測し、かかる計測値を分析して情報処理システムの状態を監視してもよい。

上記時系列データ処理装置１０は、演算装置と記憶装置とを備えた１台又は複数台の情報処理装置にて構成される。そして、時系列データ処理装置１０は、図４に示すように、取得手段１１、抽出手段１２、算出手段１３、監視手段１４、を備える。取得手段１１、抽出手段１２、算出手段１３、監視手段１４の各手段の機能は、演算装置が記憶装置に格納された各機能を実現するためのプログラムを実行することにより、実現することができる。また、時系列データ処理装置１０は、計測データ記憶手段１５、閾値記憶手段１６、を備える。計測データ記憶手段１５及び閾値記憶手段１６は、記憶装置により構成される。以下、各構成について詳述する。

取得手段１１は、計測対象Ｐに設置された各種センサにて計測された各データ項目の計測値を所定の時間間隔で時系列データとして取得して、計測データ記憶手段１５に記憶する。このとき、計測するデータ項目は複数種類あるため、取得手段１１は、図１の符号Ｄ１に示すような複数のデータ項目の時系列データの集合である時系列データセットを取得する。なお、取得手段１１による時系列データセットの取得及び記憶は常時行われており、取得された時系列データセットは、後述するように、計測対象Ｐの異常状態を検出するために使用される閾値を設定するとき、及び、計測対象Ｐの状態を監視するとき、にそれぞれ使用される。

また、取得手段１１は異常度算出手段１１ａと生成手段１１ｂとを備えている。異常度算出手段１１ａは、計測対象Ｐから取得された時系列データセットから、当該計測対象Ｐの状態が異常状態である度合いを表す異常度を算出する。生成手段１１ｂは当該異常度の値の時系列データである異常度グラフを生成して、計測データ記憶手段１５に記憶する。ここで、異常度とは、上述した時系列データセットにおける各時刻の各データ項目の計測値を、分析パラメータに基づいて分析して得られる値であり、その値が高いほど、及び、その値が継続する時間が長いほど、異常状態であると判断される度合いが高くなる値である。例えば、異常度は、所定の２種類のデータ項目の値に関する予測モデルに対して、一方のデータ項目値を入力し他方のデータ項目の予測値を出力し、かかる予測値と実際の計測値との差分を調べ、差分の大きさや相関破壊の数などに応じて算出される。この場合、例えば、相関破壊の度合いが大きいほど、計測対象Ｐが異常状態である度合いが高いとして、異常度の値を高く算出する。但し、異常度算出手段１１ａによる異常度の算出方法は、上述した方法に限定されず、いかなる方法であってもよい。

ここで、生成手段１１ｂが生成する異常度グラフの一例を図５に示す。図５に示すように、異常グラフの縦軸は異常度であり、横軸は時刻である。そして、異常度グラフは、時間の経過とともに異常度の値が変化する時系列データであり、「異常度の値」（他のパラメータ）と、その異常度の値が継続する「継続期間」（所定のパラメータ）と、といった複数のパラメータ（変数）を含むよう構成されている。

また、生成手段１１ｂが生成する異常グラフは、計測対象Ｐの状態を含んでもよい。具体的には、生成手段１１ｂは、計測対象期間のうち、どの期間が正常期間であり、どの期間が異常期間であるか、を含む異常グラフを生成する。このとき、生成手段１１ｂは、例えば、既に経過した過去の時刻において判定された計測対象Ｐの状態、つまり、正常状態である正常期間と、異常状態である異常期間とを、異常度グラフ内の時刻に対応付けて設定することで、計測対象Ｐの状態を含んだ異常度グラフを生成する。ここで、状態を含む異常度グラフの一例を図５に示す。この図の例では、正常期間、異常期間、正常期間、という順番で時間の経過に伴い状態が変化するよう設定されているが、さらに異なる異常期間が設定されていてもよく、その場合には、後述するように異なる異常期間同士を区別することとする。

抽出手段１２は、上述したように設定された計測対象Ｐが正常状態であると判断された正常期間の異常度グラフを用いて、計測対象Ｐが正常状態であると判定される限度となる「異常度の値」と「継続期間」との組み合わせである閾値の候補を抽出する。言い換えると、閾値の候補は、「異常度」及び「継続期間」が両方とも、その値を超えると異常状態であると判定される値である。なお、ここでは、「異常度の値」と「継続期間」との組み合わせである閾値を、「最小被覆値」（以下、「正常期間最大値」とも記載する。）と呼ぶこととする。以下、最小被覆値の抽出方法を、図６乃至図９を参照して説明する。

まず、抽出手段１２は、異常度グラフ内のすべての正常期間を、最小被覆値の抽出処理の対象とする。なお、図６乃至図９の例では、左側の正常期間のみを対象として最小被覆値の抽出処理を行っているが、実際にはすべての正常期間を対象とする。そして、抽出手段１２は、「継続期間の最大値」を設定する。例えば、「継続期間の最大値」として、最も短い異常期間や、最大の正常期間、１日、といった期間を設定する。

続いて、抽出手段１２は、上述した「継続期間の最大値」より小さい値の継続期間のウインドウＷを異常度グラフ上に設定し、ウインドウＷ内における異常度の値の最大値を求める。このとき、抽出手段１２は、図６に示すように、まずは継続期間を最小値である「１」としたウインドウＷを設定し、かかるウインドウＷを、図６の矢印に示すように異常度グラフ上をスライドさせて、異常度の最大値を求める。すると、継続期間「１」の場合には、図７に示すように異常度の最大値が「１０」となる。このため、「継続期間，異常度」の組み合わせである最小被覆値として、まず［１，１０］が抽出される。

その後、抽出手段１２は、図８に示すように、継続期間を「＋１」だけ増加させて「２」としたウインドウＷを設定し、かかるウインドウＷを異常度グラフ上でスライドさせて、異常度の最大値を求める。つまり、抽出手段１２は、「２」の期間が継続した異常度の最大値を求める。すると、継続期間「２」の場合には、図８に示すように異常度の最大値が「１０」となる。このため、「継続期間，異常度」の組み合わせである最小被覆値として［２，１０］が抽出される。但し、抽出手段１２は、新たに抽出した最小被覆値［２，１０］の異常度「１０」が、それ以前に抽出した最小被覆値［１，１０］の異常度と同一である場合には、新たに抽出した最小被覆値［２，１０］は、最小被覆値から除外する。このようにすることで、異常度が同一である「継続期間，異常度」の組み合わせのうち、「継続期間」が最小であるものだけが最小被覆値として抽出されることとなる。従って、異常度「１０」の場合は、「１，１０」のみが最小被覆値として抽出されることとなる。

続いて、抽出手段１２は、図９に示すように、継続期間をさらに「＋１」だけ増加させて「３」としたウインドウＷを設定し、かかるウインドウＷを異常度グラフ上でスライドさせて、異常度の最大値を求める。つまり、抽出手段１２は、「３」の期間が継続した異常度の最大値を求める。すると、継続期間「３」の場合には、図９に示すように異常度の最大値が「９」となる。このため、「継続期間，異常度」の組み合わせである最小被覆値として［３，９］が抽出される。

そして、抽出手段１２は、上述したように継続期間を「＋１」だけ増加させたウインドウＷで最小被覆値の抽出を繰り返し、継続期間が上述したように設定した「継続期間の最大値」となるまで行う。これにより、一例として、図１２に示すように、正常期間における最小被覆値として、［１，１０］，［３，９］，［４，３］，［７，１］，［９，０］といった複数の閾値の候補が抽出されることとなる。

また、抽出手段１２は、上述したように設定された計測対象Ｐが異常状態であると判断された異常期間の異常度グラフを用いて、計測対象Ｐが異常状態であると判断できる限度となる「異常度の値」と「継続期間」との組み合わせである閾値の候補を抽出する。なお、ここでは、「異常度の値」と「継続期間」との組み合わせである閾値を、「最大被覆値」（以下「異常期間最大値」とも記載する。）と呼ぶこととする。以下、最大被覆値の抽出方法を、図１０乃至図１１Ａを参照して説明する。

まず、抽出手段１２は、異常度グラフ内の各異常期間を、それぞれ抽出処理の対象とする。つまり、抽出手段１２は、異常期間毎に、それぞれ最大被覆値を抽出する。なお、図１０乃至図１１Ａの例では、１つの異常期間のみを対象として最大被覆値の抽出処理を行っているが、複数の異常期間が存在する場合には、異常期間毎に区別して最大被覆値の抽出を行う。

続いて、抽出手段１２は、上述したように設定した「継続期間の最大値」の継続期間のウインドウＷを異常度グラフ上に設定し、ウインドウＷ内における異常度の値の最大値を求める。例えば、抽出手段１２は、図１０に示すように、まずは継続期間を異常期間である「１０」としたウインドウＷを設定し、かかるウインドウＷを異常度グラフ上でスライドさせて、異常度の最大値を求める。すると、継続期間「１０」の場合には、図１０に示すように異常度の最大値が「２」となる。このため、「継続期間，異常度」の組み合わせである最大被覆値として、まず［１０，２］が抽出される。

その後、抽出手段１２は、継続期間を「－１」だけ減少させてウインドウＷを設定し、かかるウインドウＷを異常度グラフ上でスライドさせて、異常度の最大値を求めることを繰り返す。ここで、図１１Ａは、継続期間を「３」としたウインドウＷを設定し、かかるウインドウＷを異常度グラフ上でスライドさせて、異常度の最大値を求めた例である。すると、継続期間「３」の場合には、図１１Ａに示すように異常度の最大値が「１５」となる。このため、「継続期間，異常度」の組み合わせである最大被覆値として［３，１５］が抽出される。また、同様にして、最大被覆値として［１，２５］が抽出される。

これにより、一例として、図１２に示すように、１つの異常期間である「異常期間１」における複数の最大被覆値［１，２５］，［３，１５］，［１０，２］が抽出されることとなる。

なお、抽出手段１２は、さらに異なる異常期間がある場合には、その異常期間に対しても上述同様に最大被覆値の抽出を行う。例えば、図示しないが、異常度グラフ上に別の異常期間である「異常期間２」がある場合には、図１２に示すように、かかる「異常期間２」における最大被覆値［１，４０］が抽出されることとなる。

上記算出手段１３は、上述したように正常期間について抽出したすべての最小被覆値である閾値の候補のうち、いずれを閾値として設定するかを決定する。このとき、算出手段１３は、各最小被覆値について、異常期間毎に抽出した各最大被覆値に対する余裕の度合いを表す余裕値を算出し、かかる余裕値に基づいて閾値を決定する。以下、算出手段１３による処理の具体例を説明する。

まず、算出手段１３は、全ての最小被覆値のうち１つを選択する。そして、異常期間毎に、選択した最小被覆値について、すべての最大被覆値のそれぞれに対する余裕値を算出する。このとき、余裕値は、最小被覆値及び最大被覆値を構成するパラメータである「継続期間」と「異常度」とを比較して、「継続期間」と「異常度」のうち余裕のない方を選択し、その割合を余裕値として算出する。ここでは、以下に示すように、予め設定された基準に従って、最小被覆値を構成するパラメータの値自体から余裕度合いを設定し、あるいは、最小被覆値を構成するパラメータの値の最大被覆値に対する余裕度合いを算出し、その余裕度合いの値が大きい値ほど、余裕がない、と判断する。一例として、最小被覆値として［１，１０］を選択した場合（異常度が１０まで正常と判定するとした場合）を考えると、この最小被覆値［１，１０］（ｗ０）と、異常期間１の各最大被覆値［１，２５］（ｗ１），［３，１５］（ｗ２），［１０，２］（ｗ３）それぞれとの余裕値を算出する（図１１Ｂ参照）。このとき、最小被覆値［１，１０］の「継続期間」は「１」であり、それ以下の値は考えられないことから、その余裕度合いは無限にあると定義し、余裕値は「０」とする。このため、「継続期間」に対して「異常度」の方が余裕がないと判断し、「異常度」の割合を余裕値として算出する。なお、ここでは、余裕値の値が小さいほど余裕があることとする。

すると、最小被覆値［１，１０］（ｗ０）と、異常期間１の各最大被覆値［１，２５］（ｗ１），［３，１５］（ｗ２），［１０，２］（ｗ３）と、の余裕値は、それぞれＭＡＸ（０，１０／２５）＝０．４、ＭＡＸ（０，１０／１５）＝０．６６、ＭＡＸ（０，１０／２）＝５、となる。そして、算出手段１２は、算出した余裕値のうち、最も低い値、つまり、最も余裕がある値を、選択した最小被覆値の対象としている異常期間に対する余裕値とする。この場合、最小被覆値［１，１０］（ｗ０）の異常期間１に対する余裕値は「０．４」となる（図１１Ｂ参照。）。

また、算出手段１３は、選択した最小被覆値［１，１０］について、異常期間２の各最大被覆値［１，４０］に対する余裕値も算出する。すると、上述と同様の計算により、余裕値はＭＡＸ（０，１０／４０）＝０．２５、となる。

そして、算出手段１３は、選択した最小被覆値について、異常期間毎に算出した余裕値のうち最大の値を、その最小被覆値の余裕値と決定する。つまり、最小被覆値［１，１０］については、異常期間１について算出した余裕値「０．４」と、異常期間２について算出した余裕値「０．２５」とのうち、最大の値「０．４」が余裕値となる。

続いて、算出手段１３は、次の最小被覆値を選択し、上述同様に異常期間毎に、選択した最小被覆値について、すべての最大被覆値のそれぞれに対する余裕値を算出する。このとき、最小被覆値として［３，９］を選択した場合を考えると、この最小被覆値［３，９］と、異常期間１の各最大被覆値［１，２５］，［３，１５］，［１０，２］それぞれとの余裕値を算出する。すると、余裕値は、それぞれＭＡＸ（３／１，９／２５）＝３、ＭＡＸ（３／３，９／１５）＝１、ＭＡＸ（３／１０，９／２）＝４．５、となる。そして、算出手段１２は、算出した余裕値のうち、最も低い値、つまり、最も余裕がある値を、選択した最小被覆値の対象としている異常期間に対する余裕値とする。この場合、最小被覆値［３，９］の異常期間１に対する余裕値は「１」となる。

また、算出手段１３は、上述同様に、選択した最小被覆値［３，９］について、異常期間２の各最大被覆値［１，４０］に対する余裕値も算出する。すると、上述と同様の計算により、異常期間２に対する余裕値はＭＡＸ（３／１，９／４０）＝３、となる。そして、算出手段１３は、各異常期間に対する余裕値のうち最大の値「３」を、最小被覆値［３，９］に対する余裕値とする。

以上のようにして、全ての最小被覆値について余裕値を算出すると、図１３の最右列に示すようになる。そして、さらに算出手段１３は、全ての最小被覆値のうち余裕値が最小値のものを、閾値として決定する。この例では、余裕値「０．４」が最小値であることから、最小被覆値［１，１０］を閾値として決定する。

ここで、上述した取得手段１１、抽出手段１２、算出手段１３による処理は、計測対象Ｐから取得された時系列データセットから上述とは異なる分析パラメータに基づいて生成された別の異常度グラフに対して行われてもよい。そして、異なる分析パラメータに基づいて生成された別の異常度グラフに対して上述同様に最小被覆値の候補を抽出し、その中から閾値を決定してもよい。これに加え、算出手段１３は、各分析パラメータに基づいてそれぞれ生成された各異常度グラフについて決定した閾値のうち、最も小さい値を最終的な閾値として決定し、その異常度グラフを生成するための分析パラメータを最適パラメータとして決定してもよい。

上記監視手段１４は、上述したように決定した閾値を用いて、計測対象Ｐから計測された時系列データセットから、計測対象Ｐに異常状態が生じたか否かの分析を行い監視する。具体的に、監視手段１４は、分析手段１４ａと判定手段１４ｂと出力手段１４ｃとを備える。分析手段１４ａは、上述したように、計測対象Ｐから計測された時系列データセットから異常度を算出し、異常度の値と、かかる異常度の値が継続する期間と、の両方が閾値を超えているか否かを調べる。判定手段１４ｂは、算出した異常度と継続期間との値が閾値を超えたときに、計測対象Ｐが異常状態であると判定する。出力手段１４ｃは、計測対象Ｐが異常状態であることを判定した際に、その旨の出力を行う。例えば、出力手段１４ｃは、登録された監視者のメールアドレスに対して異常が生じている旨を表す通知情報を送信したり、時系列データ処理装置１０に接続された監視者が操作する監視端末の表示画面に通知情報を表示するよう出力する。

［動作］
次に、上述した時系列データ処理装置１０の動作を、主に図１４乃至図１５のフローチャートを参照して説明する。まず、図１４のフローチャートを参照して、計測対象Ｐの異常状態を判定するための閾値を決定するときの動作を説明する。

時系列データ処理装置１０は、計測対象Ｐに設置された各種センサにて計測された各データ項目の計測値を所定の時間間隔で時系列データセットとして取得して、計測データ記憶手段１５に記憶する（ステップＳ１）。そして、時系列データ処理装置１０は、取得した時系列データセットから各時刻における異常度を算出して、時系列データである異常度グラフを生成する（ステップＳ２）。このとき、時系列データ処理装置１０は、正常期間と異常期間とを設定した異常度グラフを生成する（ステップＳ３）。

続いて、時系列データ処理装置１０は、異常度グラフの正常期間から、閾値の候補となる最小被覆値を抽出する（ステップＳ４）。このとき、時系列データ処理装置１０は、図６乃至図９に示すように、各継続期間のウインドウＷを異常度グラフ上でスライドさせて、各継続期間における異常度の最大値を特定し、［継続期間，異常度］のパラメータからなる最小被覆値を抽出する。なお、時系列データ処理装置１０は、異常度が同一である「継続期間，異常度」の組み合わせのうち、「継続期間」が最小であるものだけを最小被覆値として抽出する。これにより、例えば、図１２に示すように、複数の最小被覆値が抽出されることとなる。

続いて、時系列データ処理装置１０は、異常度グラフの異常期間から最大被覆値を抽出する（ステップＳ５）。このとき、時系列データ処理装置１０は、図１０乃至図１１Ａに示すように、各継続期間のウインドウＷを異常度グラフ上でスライドさせて、各継続期間における異常度の最大値を特定し、［継続期間，異常度］のパラメータからなる最大被覆値を抽出する。これにより、例えば、図１２に示すように、複数の最大被覆値が抽出されることとなる。なお、時系列データ処理装置１０は、異常度グラフの異常状態毎に、それぞれ最大被覆値を抽出する。

続いて、時系列データ処理装置１０は、正常期間から抽出したすべての最小被覆値である閾値の候補のうち、いずれを閾値として設定するかを決定する。このため、時系列データ処理装置１０は、各最小被覆値について、異常期間毎に抽出した各最大被覆値に対する余裕の度合いを表す余裕値を算出する（ステップＳ６）。そして、時系列データ処理装置１０は、算出した余裕値のうち、最も低い値、つまり、最も余裕がある値を、選択した最小被覆値の対象としている異常期間に対する余裕値とする。このようにして、時系列データ処理装置１０は、図１１Ｂ、図１３に示すように各最小被覆値の各異常期間に対する余裕値を算出する。さらに、時系列データ処理装置１０は、図１３の最右列に示すように、各最小被覆値について、全ての異常期間に対する余裕値のうち最高値を、最終的な余裕値として算出する。

そして、時系列データ処理装置１０は、全ての最小被覆値について算出した最終的な余裕値のうち、最小値となる最小被覆値を、閾値として決定する（ステップＳ７）。

次に、図１５のフローチャートを参照して、計測対象Ｐの状態を分析して監視する処理について説明する。まず、時系列データ処理装置１０は、新たに計測対象Ｐから計測された時系列データセットを取得し（ステップＳ１１）、各時刻における異常度を算出する（ステップＳ１２）。

そして、時系列データ処理装置１０は、算出した異常度とその継続期間との両方が、上述したように決定した閾値を超えているか否かを調べる（ステップＳ１３）。そして、時系列データ処理装置１０は、算出した異常度と継続期間との値が閾値を超えたときに（ステップＳ１３でＹｅｓ）、計測対象Ｐが異常状態であると判定する（ステップＳ１４）。さらに、時系列データ処理装置１０は、異常状態が生じた旨の出力を行う（ステップＳ１５）。

以上のように、本発明では、計測対象Ｐから計測した計測値から算出した異常度グラフのうち、計測対象Ｐが正常状態である正常期間から、異常状態と判定できるパラメータの閾値の候補を抽出している。このため、計測対象Ｐに異常状態が発生することが少ない場合であっても、正常期間のデータから適切な閾値の候補を抽出することができ、この中から適切な閾値を決定することができる。

また、本発明では、異常度グラフのうち計測対象Ｐが異常状態である異常期間から、異常状態と判定できるパラメータの最大値を抽出し、かかる値を利用して、閾値の候補から閾値を決定している。このように異常状態の値を考慮することで、より適切な閾値を決定することができる。

＜実施形態２＞
次に、本発明の第２の実施形態を、図１６を参照して説明する。図１６は、実施形態２における時系列データ処理装置の処理動作を説明するための図である。

本実施形態における時系列データ処理装置は、上述した実施形態１において説明した図４に示す構成と同様の構成をとっている。但し、本実施形態と実施形態１とは、閾値の候補として抽出した最小被覆値から閾値を決定する方法が異なる。例えば、本実施形態における算出手段１３は、図１６に示すように、まず全ての最大被覆値をグラフ上に配置し、それらを直線で結ぶ。そして、最大被覆値間を結んだ直線に対する各最小被覆値からの距離Ｔを算出し、かかる距離Ｔが最も大きい最小被覆値を閾値として決定する。

但し、上述した最小被覆値から閾値を決定する方法は一例であって、本発明では、いかなる方法で複数の最小被覆値から１つの閾値を決定してもよい。また、上記では、最大被覆値を用いて最小被覆値の余裕値を算出して閾値を決定しているが、必ずしも最大被覆値を用いることに限定されない。つまり、本発明では、最大被覆値を抽出せずに最小被覆値のみを抽出して、かかる最小被覆値から任意の方法で１つの閾値を決定してもよい。一例として、算出手段１３は、最小被覆値を構成する複数のパラメータについて優先度を設定しておき、かかる優先度が最も高いパラメータが最大の値となる最小被覆値を、閾値として決定してもよい。また、別の例として、算出手段１３は、パラメータの値に対して、各パラメータに設定された優先度に対応する重み付けを付与し、かかる値が最大となる最小被覆値を閾値として決定してもよい。なお、最小被覆値が１つしか抽出できなかった場合には、その１つを閾値として決定してもよい。

＜実施形態３＞
次に、本発明の第３の実施形態を、図１７を参照して説明する。図１７は、実施形態３における時系列データ処理装置の処理動作を説明するための図である。

本実施形態における時系列データ処理装置は、上述した実施形態1において説明した図４に示す構成と同様の構成をとっている。但し、本実施形態では、時系列データである異常度グラフから異常状態を検出するときに着目するパラメータが、実施形態１，２とは異なる。例えば、本実施形態では、図１７に示すように、異常度グラフにおける「異常度」（所定のパラメータ）と「単位時間あたりの異常度の上昇回数」（他のパラメータ）との組み合わせに基づいて、異常状態を検出することとする。

このため、本実施形態では、抽出手段１２は、異常度グラフの正常期間において、「異常度」と「単位時間あたりの異常度の上昇回数」との組み合わせを最小被覆値（正常期間最大値）として抽出する。例えば、図１７に示すように、異常度グラフ上に単位時間あたりのウインドウＷを設定してスライドさせ、ウインドウＷ内における「異常度」の値と、その異常度の値までの「上昇回数」と、を最小被覆値として抽出する。このとき、「異常度」毎に、「上昇回数」の最大値の組み合わせを、最小被覆値として抽出する。また、同様に、異常度グラフの異常期間において、「異常度」と「単位時間あたりの異常度の上昇回数」との組み合わせを最大被覆値（異常期間最大値）として抽出する。

そして、上述したように抽出した最小被覆値のうちいずれかを、閾値として決定する。このとき、各最小被覆値の各最大被覆値に対する余裕度合い（異常度の余裕、上昇回数の余裕）を算出して、閾値とする最小被覆値を決定してもよく、いかなる方法で決定してもよい。これにより、「異常度」の閾値と、「単位時間あたりの異常度の上昇回数」の閾値と、の組み合わせによる閾値を設定することができる。

但し、本発明において、時系列データである異常度グラフから異常状態を検出するときに着目するパラメータはいかなるパラメータであってもよい。これに伴い、最小被覆値や最大被覆値として抽出するパラメータの組み合わせも、いかなるパラメータであってもよい。例えば、パラメータの組み合わせとして、異常度グラフ中における単位時間当たりの異常度の累積値と、設定された閾値を累積値が超えた回数、を用いてもよい。また、パラメータの組み合わせとして、異常度の単位時間当たりの変化率と、設定された閾値を変化率が超えた回数、を用いてもよい。

また、上述した実施形態では、時系列データとして異常度グラフを用いているが、時系列データは必ずしも異常度グラフであることに限定されず、いかなるパラメータを含む時系列データであってもよい。例えば、計測対象Ｐから計測した所定のデータ項目の計測値自体を時系列データとして扱い、かかる時系列データに対して上述同様に最小被覆値の抽出処理等を行って、異常判定の閾値を設定してもよい。

＜実施形態４＞
次に、本発明の第４の実施形態を、図１８乃至図２０を参照して説明する。図１８乃至図１９は、実施形態４における時系列データ処理装置の構成を示すブロック図であり、図２０は、時系列データ処理装置の動作を示すフローチャートである。なお、本実施形態では、上述した各実施形態で説明した時系列データ処理装置及び時系列データ処理方法の構成の概略を示している。

まず、図１８を参照して、本実施形態における時系列データ処理装置１００のハードウェア構成を説明する。時系列データ処理装置１００は、一般的な情報処理装置にて構成されており、一例として、以下のようなハードウェア構成を装備している。
・ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０１（演算装置）
・ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１０２（記憶装置）
・ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１０３（記憶装置）
・ＲＡＭ３０３にロードされるプログラム群１０４
・プログラム群３０４を格納する記憶装置１０５
・情報処理装置外部の記憶媒体１１０の読み書きを行うドライブ装置１０６
・情報処理装置外部の通信ネットワーク１１１と接続する通信インタフェース１０７
・データの入出力を行う入出力インタフェース１０８
・各構成要素を接続するバス１０９

そして、時系列データ処理装置１００は、プログラム群１０４をＣＰＵ１０１が取得して当該ＣＰＵ１０１が実行することで、図１９に示す抽出手段１２１を構築して装備することができる。なお、プログラム群１０４は、例えば、予め記憶装置１０５やＲＯＭ１０２に格納されており、必要に応じてＣＰＵ１０１がＲＡＭ１０３にロードして実行する。また、プログラム群１０４は、通信ネットワーク１１１を介してＣＰＵ１０１に供給されてもよいし、予め記憶媒体１１０に格納されており、ドライブ装置１０６が該プログラムを読み出してＣＰＵ１０１に供給してもよい。但し、上述した抽出手段１２１は、電子回路で構築されるものであってもよい。

なお、図１８は、時系列データ処理装置１００である情報処理装置のハードウェア構成の一例を示しており、情報処理装置のハードウェア構成は上述した場合に限定されない。例えば、情報処理装置は、ドライブ装置１０６を有さないなど、上述した構成の一部から構成されてもよい。

そして、時系列データ処理装置１００は、上述したようにプログラムによって構築された抽出手段１２１の機能により、図２０のフローチャートに示す時系列データ処理方法を実行する。

図２０に示すように、時系列データ処理装置１００は、
計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータの値に対する他のパラメータの値が最大となる組み合わせを正常期間最大値として抽出する（ステップＳ１）、
という処理を実行する。

本発明は、以上のように構成されることにより、複数のパラメータを含む時系列データのうち、計測対象が正常状態であるときのデータから、あるパラメータが最大となる値を閾値の候補として抽出している。このため、計測対象の異常状態におけるデータを用いることなく閾値の候補を抽出することができ、適切な閾値を決定することができる。

＜付記＞
上記実施形態の一部又は全部は、以下の付記のようにも記載されうる。以下、本発明における時系列データ処理方法、時系列データ処理装置、プログラムの構成の概略を説明する。但し、本発明は、以下の構成に限定されない。

（付記１）
計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータの値に対する他のパラメータの値が最大となる組み合わせを正常期間最大値として抽出する、
時系列データ処理方法。

（付記２）
付記１に記載の時系列データ処理方法であって、
前記正常期間時系列データから、前記所定のパラメータの値ごとに前記他のパラメータの値が最大となる複数のパラメータの組み合わせを、前記正常期間最大値として抽出する、
時系列データ処理方法。

（付記３）
付記２に記載の時系列データ処理方法であって、
前記他のパラメータの値が同一である前記正常期間最大値のうち、前記所定のパラメータが最小である値を含む複数のパラメータの組み合わせ以外を、前記正常期間最大値から除外する、
時系列データ処理方法。

（付記４）
付記１乃至３のいずれかに記載の時系列データ処理方法であって、
前記正常期間最大値のうちいずれかを、複数のパラメータを含む時系列データにおいて前記計測対象が異常状態であることを判定するための閾値とする、
時系列データ処理方法。

（付記５）
付記４に記載の時系列データ処理方法であって、
前記時系列データのうち前記計測対象が異常状態と判定された期間の時系列データである異常期間時系列データから、複数のパラメータの組み合わせのうち前記所定のパラメータに対する前記他のパラメータが最大となる組み合わせを異常期間最大値として抽出し、
前記正常期間最大値と前記異常期間最大値とに基づいて、前記正常期間最大値のうちいずれかを前記閾値とする、
時系列データ処理方法。

（付記６）
付記５に記載の時系列データ処理方法であって、
前記異常期間時系列データから、前記所定のパラメータの値ごとに前記他のパラメータの値が最大となる複数のパラメータの組み合わせを、前記異常期間最大値として抽出する、
時系列データ処理方法。

（付記７）
付記５又は６に記載の時系列データ処理方法であって、
前記計測対象の異常状態毎の前記異常期間時系列データから、前記計測対象の異常状態毎における前記異常期間最大値を抽出する、
時系列データ処理方法。

（付記８）
付記５乃至７のいずれかに記載の時系列データ処理方法であって、
前記正常期間最大値のそれぞれにおけるいずれかのパラメータについて、前記異常期間最大値のそれぞれにおけるいずれかのパラメータに対する割合に基づく値である余裕値を算出し、
前記余裕値に基づいて前記正常期間最大値のうちいずれかを前記閾値とする、
時系列データ処理方法。

（付記９）
付記１乃至８のいずれかに記載の時系列データ処理方法であって、
前記他のパラメータを、前記計測されたデータから算出された前記計測対象が異常状態である度合いを表す値である異常度とし、前記所定のパラメータを、前記異常度の値が継続する期間とする、
時系列データ処理方法。

（付記１０）
計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータの値に対する他のパラメータの値が最大となる組み合わせを正常期間最大値として抽出する抽出手段、
を備えた時系列データ処理装置。

（付記１１）
付記１０に記載の時系列データ処理装置であって、
前記正常期間最大値のうちいずれかを、複数のパラメータを含む時系列データにおいて前記計測対象が異常状態であることを判定するための閾値とする算出手段を備えた、
時系列データ処理装置。

（付記１２）
付記１１に記載の時系列データ処理装置であって、
前記抽出手段は、前記時系列データのうち前記計測対象が異常状態と判定された期間の時系列データである異常期間時系列データから、複数のパラメータの組み合わせのうち前記所定のパラメータに対する前記他のパラメータが最大となる組み合わせを異常期間最大値として抽出し、
前記算出手段は、前記正常期間最大値と前記異常期間最大値とに基づいて、前記正常期間最大値のうちいずれかを前記閾値とする、
時系列データ処理装置。

（付記１３）
付記１２に記載の時系列データ処理装置であって、
前記算出手段は、前記正常期間最大値のそれぞれにおけるいずれかのパラメータについて、前記異常期間最大値のそれぞれにおけるいずれかのパラメータに対する割合に基づく値である余裕値を算出し、当該余裕値に基づいて前記正常期間最大値のうちいずれかを前記閾値とする、
時系列データ処理装置。

（付記１４）
情報処理装置に、
計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータに対する他のパラメータが最大となる組み合わせを正常期間最大値として抽出する抽出手段、
を実現させるためのプログラム。

（付記１５）
付記１４に記載のプログラムであって、
前記情報処理装置に、さらに、
前記正常期間最大値のうちいずれかを、複数のパラメータを含む時系列データにおいて前記計測対象が異常状態であることを判定するための閾値とする算出手段、
を実現させるためのプログラム。

（付記１６）
計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータの値に対する他のパラメータの値が最大となる組み合わせを正常期間最大値として抽出する抽出手段、
を備えた時系列データ処理システム。

（付記１７）
付記１６に記載の時系列データ処理システムであって、
前記正常期間最大値のうちいずれかを、複数のパラメータを含む時系列データにおいて前記計測対象が異常状態であることを判定するための閾値とする算出手段を備えた、
時系列データ処理システム。

（付記１８）
付記１７に記載の時系列データ処理システムであって、
前記抽出手段は、前記時系列データのうち前記計測対象が異常状態と判定された期間の時系列データである異常期間時系列データから、複数のパラメータの組み合わせのうち前記所定のパラメータに対する前記他のパラメータが最大となる組み合わせを異常期間最大値として抽出し、
前記算出手段は、前記正常期間最大値と前記異常期間最大値とに基づいて、前記正常期間最大値のうちいずれかを前記閾値とする、
時系列データ処理システム。

（付記１９）
付記１８に記載の時系列データ処理システムであって、
前記算出手段は、前記正常期間最大値のそれぞれにおけるいずれかのパラメータについて、前記異常期間最大値のそれぞれにおけるいずれかのパラメータに対する割合に基づく値である余裕値を算出し、当該余裕値に基づいて前記正常期間最大値のうちいずれかを前記閾値とする、
時系列データ処理システム。

なお、上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

以上、上記実施形態等を参照して本願発明を説明したが、本願発明は、上述した実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明の範囲内で当業者が理解しうる様々な変更をすることができる。また、上述した取得手段、抽出手段、算出手段、計測データ記憶手段、閾値記憶手段の機能のうちの少なくとも一以上の機能は、ネットワーク上のいかなる場所に設置され接続された情報処理装置で実行されてもよく、つまり、いわゆるクラウドコンピューティングで実行されてもよい。

１０ 時系列データ処理装置
１１ 取得手段
１１ａ 異常度算出手段
１１ｂ 生成手段
１２ 抽出手段
１３ 算出手段
１４ 監視手段
１４ａ 分析手段
１４ｂ 判定手段
１４ｃ 出力手段
１５ 計測データ記憶手段
１６ 閾値記憶手段
１００ 時系列データ処理装置
１０１ ＣＰＵ
１０２ ＲＯＭ
１０３ ＲＡＭ
１０４ プログラム群
１０５ 記憶装置
１０６ ドライブ装置
１０７ 通信インタフェース
１０８ 入出力インタフェース
１０９ バス
１１０ 記憶媒体
１１１ 通信ネットワーク
１２１ 抽出手段

Claims (7)

1. 計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータの値に対する他のパラメータの値が最大となる組み合わせを正常期間最大値として抽出すると共に、
   前記時系列データのうち前記計測対象が異常状態と判定された期間の時系列データである異常期間時系列データから、複数のパラメータの組み合わせのうち前記所定のパラメータに対する前記他のパラメータが最大となる組み合わせを異常期間最大値として抽出し、
   前記正常期間最大値と前記異常期間最大値とに基づいて、前記正常期間最大値のうちいずれかを、複数のパラメータを含む時系列データにおいて前記計測対象が異常状態であることを判定するための閾値とする、
   時系列データ処理方法。
2. 請求項１に記載の時系列データ処理方法であって、
   前記正常期間時系列データから、前記所定のパラメータの値ごとに前記他のパラメータの値が最大となる複数のパラメータの組み合わせを、前記正常期間最大値として抽出する、
   時系列データ処理方法。
3. 請求項２に記載の時系列データ処理方法であって、
   前記他のパラメータの値が同一である前記正常期間最大値のうち、前記所定のパラメータが最小である値を含む複数のパラメータの組み合わせ以外を、前記正常期間最大値から除外する、
   時系列データ処理方法。
4. 請求項１乃至３のいずれかに記載の時系列データ処理方法であって、
   前記異常期間時系列データから、前記所定のパラメータの値ごとに前記他のパラメータの値が最大となる複数のパラメータの組み合わせを、前記異常期間最大値として抽出する、
   時系列データ処理方法。
5. 請求項１乃至４のいずれかに記載の時系列データ処理方法であって、
   前記他のパラメータを、前記計測されたデータから算出された前記計測対象が異常状態である度合いを表す値である異常度とし、前記所定のパラメータを、前記異常度の値が継続する期間とする、
   時系列データ処理方法。
6. 計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータの値に対する他のパラメータの値が最大となる組み合わせを正常期間最大値として抽出すると共に、前記時系列データのうち前記計測対象が異常状態と判定された期間の時系列データである異常期間時系列データから、複数のパラメータの組み合わせのうち前記所定のパラメータに対する前記他のパラメータが最大となる組み合わせを異常期間最大値として抽出する抽出手段と、
   前記正常期間最大値と前記異常期間最大値とに基づいて、前記正常期間最大値のうちいずれかを、複数のパラメータを含む時系列データにおいて前記計測対象が異常状態であることを判定するための閾値とする算出手段と、
   を備えた時系列データ処理システム。
7. 情報処理装置に、
   計測対象から計測されたデータに基づく複数のパラメータを含む時系列データのうち、前記計測対象が正常状態と判定された期間の時系列データである正常期間時系列データから、複数のパラメータの組み合わせのうち所定のパラメータに対する他のパラメータが最大となる組み合わせを正常期間最大値として抽出すると共に、前記時系列データのうち前記計測対象が異常状態と判定された期間の時系列データである異常期間時系列データから、複数のパラメータの組み合わせのうち前記所定のパラメータに対する前記他のパラメータが最大となる組み合わせを異常期間最大値として抽出する抽出手段と、
   前記正常期間最大値と前記異常期間最大値とに基づいて、前記正常期間最大値のうちいずれかを、複数のパラメータを含む時系列データにおいて前記計測対象が異常状態であることを判定するための閾値とする算出手段と、
   を実現させるためのプログラム。

Images