WO2018101070A1 - 異常判定装置、異常判定方法、及び異常判定プログラムが記録された記憶媒体 - Google Patents

異常判定装置、異常判定方法、及び異常判定プログラムが記録された記憶媒体 Download PDF

Info

Publication number
WO2018101070A1
WO2018101070A1 PCT/JP2017/041398 JP2017041398W WO2018101070A1 WO 2018101070 A1 WO2018101070 A1 WO 2018101070A1 JP 2017041398 W JP2017041398 W JP 2017041398W WO 2018101070 A1 WO2018101070 A1 WO 2018101070A1
Authority
WO
WIPO (PCT)
Prior art keywords
monitoring target
state
target device
type
transition state
Prior art date
Application number
PCT/JP2017/041398
Other languages
English (en)
French (fr)
Inventor
真人 安田
純明 榮
多賀戸　裕樹
秀一 狩野
和彦 磯山
佑嗣 小林
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2018553770A priority Critical patent/JP7167714B2/ja
Priority to US16/464,555 priority patent/US20210109801A1/en
Publication of WO2018101070A1 publication Critical patent/WO2018101070A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0775—Content or structure details of the error report, e.g. specific table structure, specific error fields
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/079—Root cause analysis, i.e. error or fault diagnosis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/86—Event-based monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning

Definitions

  • the present invention relates to an abnormality determination device, an abnormality determination method, and a storage medium in which an abnormality determination program is recorded.
  • Patent Document 1 An anomaly detection device that detects an anomaly of a monitored system has been proposed (for example, Patent Document 1).
  • the event analysis system as an abnormality detection device disclosed in Patent Document 1 collects logs from a monitoring target system, and obtains an event sequence by analyzing the collected logs. Then, the event analysis system learns a local prediction model that locally predicts a change in an event from the obtained event sequence. Then, the event analysis system detects an abnormality of the monitored system based on the learned local prediction model and the observed event.
  • the learning period for learning the model from the log collected in the event analysis system as the abnormality detection device in Patent Document 1 takes a long time. During this learning period, there is a problem that the user's convenience is deteriorated because the user becomes a useless resource that cannot perform the abnormality detection process. Further, in the event analysis system as the abnormality detection device in Patent Document 1, it is necessary to learn the model every time the monitoring target system changes, so that the convenience for the user may be further reduced.
  • An object of the present invention is to provide an abnormality determination device, an abnormality determination method, and an abnormality determination program that can improve user convenience.
  • the abnormality determination device obtains event information of a device to be monitored and a storage unit that stores a correspondence relationship between the device type and a transition state candidate group in a stable state of the device of the type, An acquisition unit for identifying the transition state corresponding to the acquired event information of the monitoring target device, and the transition state candidate group associated with the type of the monitoring target device in the stored correspondence relationship And a determination unit that determines normality / abnormality of the monitoring target device based on the identified transition state.
  • the abnormality determination method acquires event information of a monitoring target device, specifies a transition state corresponding to the acquired event information of the monitoring target device, and determines the type of the device and the type Normality of the monitoring target device based on the transition state candidate group associated with the type of the monitoring target device in the correspondence relationship with the transition state candidate group in the stable state of the device and the specified transition state Judge abnormalities.
  • the abnormality determination program acquires event information of a monitoring target device, specifies a transition state corresponding to the acquired event information of the monitoring target device, and sets the type of the device and the type Normality of the monitoring target device based on the transition state candidate group associated with the type of the monitoring target device in the correspondence relationship with the transition state candidate group in the stable state of the device and the specified transition state
  • the abnormality determination device is caused to execute processing for determining abnormality.
  • an abnormality determination device it is possible to provide an abnormality determination device, an abnormality determination method, and an abnormality determination program that can improve user convenience.
  • FIG. 1 is a diagram illustrating an example of an abnormality determination system according to the first embodiment.
  • the abnormality determination system 1 includes a monitoring target device 10 and an abnormality determination device 20.
  • the monitoring target device 10 and the abnormality determination device 20 may be connected by wire or may be connected wirelessly.
  • the number of monitoring target devices 10 included in the abnormality determination system 1 is one and the number of abnormality determination devices 20 is one.
  • the present invention is not limited to this. is not.
  • the abnormality determination device 20 may monitor a plurality of monitoring target devices 10.
  • the monitoring target device 10 monitors the state of the monitoring target device 10 itself, and transmits the monitored state to the abnormality determination device 20 as “event information”.
  • the state of the monitoring target device 10 itself is a “transition state” of an application running on the monitoring target device 10.
  • the abnormality determination device 20 acquires the event information transmitted from the monitoring target device 10. And the abnormality determination apparatus 20 specifies the transition state corresponding to the acquired event information. In addition, the abnormality determination device 20 stores “correspondence” between a plurality of types of devices and transition state candidate groups (hereinafter sometimes referred to as “state candidate groups”) in stable states of various types of devices. is doing. For example, the abnormality determination device 20 holds a correspondence table in which a plurality of device types are associated with transition state candidate groups in stable states of various devices as “correspondence”.
  • the “stable state” of the device is a state in which the device is operating stably without any abnormality.
  • the abnormality determination device 20 performs monitoring based on the transition state candidate group associated with the type of the monitoring target device 10 in the stored “correspondence relationship” and the transition state specified using the event information. Determine whether the target device 10 is normal or abnormal. For example, the abnormality determination device 20 includes the transition state identified by using the event information in the transition state candidate group associated with the type of the monitoring target device 10 in the stored “correspondence”. Based on whether or not the monitoring target device 10 is normal or abnormal.
  • the abnormality determination device 20 determines normality / abnormality of the monitoring target device 10 based on the “correspondence” stored in advance. This eliminates the need for a “learning period” for identifying the “correspondence”, so that it is possible to eliminate useless resources for which the abnormality determination device 20 cannot perform the process of detecting an abnormality of the monitoring target device 10. As a result, user convenience can be improved. Further, the “correspondence relationship” associates a plurality of types of devices with transition state candidate groups in stable states of various types of devices. As a result, even when the monitoring target device 10 is changed from one type of device to another type of device, there is no need to provide a “learning period” for the other type of device. Convenience can be further improved.
  • FIG. 2 is a block diagram illustrating an example of the abnormality determination device according to the first embodiment.
  • the abnormality determination device 20 includes an acquisition unit 21, a control unit 22, and a storage unit 23.
  • the control unit 22 includes a specifying unit 24 and a determination unit 25.
  • the acquisition unit 21 acquires event information transmitted from the monitoring target device 10.
  • the acquisition unit 21 is a wired interface when the monitoring target device 10 and the abnormality determination device 20 are connected by wire, and the monitoring target device 10 and the abnormality determination device 20 are connected wirelessly. In the case of a wireless interface. Then, the acquisition unit 21 outputs the acquired event information to the specifying unit 24.
  • the identifying unit 24 identifies the “transition state” corresponding to the event information of the monitoring target device 10 acquired by the acquiring unit 21.
  • the “transition state” is a state of an application that operates on the monitoring target device 10, for example.
  • the storage unit 23 stores a “correspondence table” that associates a plurality of types of devices with transition state candidate groups in stable states of various types of devices.
  • FIG. 3 is a diagram illustrating an example of the correspondence table. As shown in FIG. 3, the correspondence table has an entry for each device type. In FIG. 3, the “model number” of the device is used as information indicating the type of the device. In the top entry in FIG. 3, model number 1 is associated with state ⁇ , state ⁇ , and state ⁇ as a transition state candidate group in the stable state of the device of model number 1.
  • the determination unit 25 includes a transition state candidate group associated with the type of the monitoring target device 10 in the “correspondence relationship” stored in the storage unit 23, and the transition state identified by using the event information in the identifying unit 24. Based on the above, normality / abnormality of the monitoring target device 10 is determined. For example, in the correspondence table stored in the storage unit 23, the determination unit 25 specifies the transition state candidate group (that is, the state candidate group) associated with the type of the monitoring target device 10 with the specifying unit 24. Whether the monitored device 10 is normal or not is determined based on whether or not the transition state is included.
  • the determination unit 25 acquires the model number information of the monitoring target device 10 transmitted from the monitoring target device 10 together with the event information.
  • the determination unit 25 stores the model number information.
  • a corresponding entry is specified, and further, a status candidate group of the specified entry is specified.
  • the determination unit 25 determines normality / abnormality of the monitoring target device 10 based on whether or not the transition state specified by the specifying unit 24 is included in the specified state candidate group. For example, when the model number of the monitoring target device 10 is the model number 1 and the transition state indicated by the event information is the state x, the state candidate group (that is, the state ⁇ , the state ⁇ , and the state ⁇ ) corresponding to the model number 1 is added.
  • the determination unit 25 determines that the monitoring target device 10 is abnormal. On the other hand, when the model number of the monitoring target device 10 is the model number 1 and the transition state indicated by the event information is the state ⁇ , the state candidate group corresponding to the model number 1 (that is, the state ⁇ , the state ⁇ , and the state ⁇ ) is added. Since the state ⁇ is included, the determination unit 25 determines that the monitoring target device 10 is normal.
  • FIG. 4 is a flowchart illustrating an example of a processing operation of the abnormality determination device according to the first embodiment.
  • the acquisition unit 21 acquires event information transmitted from the monitoring target device 10 (step S101).
  • the specifying unit 24 specifies the transition state corresponding to the event information of the monitoring target device 10 acquired by the acquiring unit 21 (step S102).
  • the determination unit 25 is identified by the identifying unit 24 in the transition state candidate group (that is, the state candidate group) associated with the type of the monitoring target device 10 in the correspondence table stored in the storage unit 23. Whether the monitored device 10 is normal or not is determined based on whether or not the transition state is included (step S103).
  • the acquisition unit 21 in the abnormality determination device 20 acquires the event information transmitted from the monitoring target device 10.
  • the specifying unit 24 specifies the transition state corresponding to the event information acquired by the acquiring unit 21.
  • the storage unit 23 stores “correspondence” between a plurality of types of devices and transition state candidate groups in stable states of various types of devices.
  • the determination unit 25 includes a transition state candidate group associated with the type of the monitoring target device 10 in the correspondence relationship stored in the storage unit 23, and the transition state identified by using the event information in the identifying unit 24. Based on the above, normality / abnormality of the monitoring target device 10 is determined.
  • the determination unit 25 includes the transition state identified by the identifying unit 24 using the event information in the transition state candidate group associated with the type of the monitoring target device 10 in the correspondence relationship stored in the storage unit 23. Whether or not the monitoring target device 10 is normal is determined based on whether or not the message is included.
  • the normality / abnormality of the monitoring target device 10 is determined based on the correspondence stored in advance, so that a learning period for specifying the correspondence is not necessary.
  • the correspondence relationship described above associates a plurality of types of devices with transition state candidate groups in stable states of various types of devices. As a result, even when the monitoring target device 10 is changed from one type of device to another type of device, there is no need to provide a learning period for the other type of device, resulting in user convenience. Can be further improved.
  • each “transition state candidate” is managed as a combination of the state before transition (node), the state after transition (node), and the transition from the state before transition to the state after transition.
  • the basic configuration of the abnormality determination system of the second embodiment is the same as that of the first embodiment, and will be described with reference to FIG.
  • FIG. 5 is a block diagram illustrating an example of the abnormality determination device according to the second embodiment.
  • the control unit 22 of the abnormality determination device 20 according to the second embodiment includes a table management unit 26.
  • the table management unit 26 manages an “information management table” and a “state management table”.
  • the storage unit 23 of the second embodiment holds an “information management table” and a “state management table”.
  • FIG. 6 is a diagram illustrating an example of an information management table according to the second embodiment.
  • FIG. 7 is a diagram illustrating an example of a state management table according to the second embodiment.
  • the information management table includes, as items, a transmission source ID, an IP address, a device model number, a learning completion flag, a state management table name, a table creation time, and a current state.
  • FIG. 6 shows one entry as an example.
  • the device model number (that is, model number information) is an example of a device type.
  • the ID of the transmission source terminal (that is, the monitoring target device) is “0x001”
  • the IP address of the terminal is “192.168.0.1”
  • the model number of the terminal is “Router_A”.
  • the learning completion flag is “1” indicating that the learning period has already been completed
  • the state management table name corresponding to this entry is “graph_router_A”
  • the table creation time is “2016/10/26”.
  • FIG. 7 shows an example of the state management table with the table name “graph_router_A”.
  • the state management table includes, as items, an edge ID, a node ID (start point), and a node ID (end point).
  • the edge ID is an ID indicating the transition from the state before the transition to the state after the transition
  • the node ID (start point) is the ID indicating the state (node) before the transition
  • the node ID (end point) is the transition This is an ID indicating a later state (node). That is, the state management table shown in FIG. 7 is obtained by dividing the state transition graph shown in FIG.
  • FIG. 8 is a diagram showing a state transition graph corresponding to the state management table of FIG.
  • the determination unit 25 of the second embodiment determines normality / abnormality of the monitoring target device 10 as follows, for example.
  • the acquisition unit 21 acquires an IP address and type information (in this case, model number information) together with event information from the monitoring target device 10.
  • IP address and type information in this case, model number information
  • the determination unit 25 first determines whether an entry that matches the IP address acquired by the acquisition unit 21 exists in the information management table.
  • the determination unit 25 When an entry that matches the IP address acquired by the acquisition unit 21 exists in the information management table, the determination unit 25 holds the content of the item “current state” of the entry as the state before the transition. The determination unit 25 holds the transition state specified by the specifying unit 24 from the event information acquired by the acquisition unit 21 as the state after the transition. Then, under the control of the determination unit 25, the table management unit 26 updates the item “current state” of the entry in the state after the transition. Then, the determination unit 25 determines whether or not the stored combination of the state before the transition and the state after the transition is entered in the table corresponding to the content of the item “state management table name” of the entry. If it is entered, it is determined that the monitoring target device 10 is normal. On the other hand, if it is not entered, it is determined that the monitoring target device 10 is abnormal.
  • the table management unit 26 controls the determination unit 25 to make a new entry (hereinafter referred to as “additional entry”) in the information management table. Add). Then, the determination unit 25 determines whether an entry that matches the type information acquired by the acquisition unit 21 exists in the information management table. If an entry that matches the type information acquired by the acquisition unit 21 exists in the information management table, the table management unit 26 controls the content of the item “state management table name” of the entry to be an additional entry under the control of the determination unit 25. Enter in the item "State management table name”. At this time, the table management unit 26 sets the content of the item “learning completion flag” to “1” under the control of the determination unit 25.
  • the determination unit 25 determines normality / abnormality of the monitoring target device 10 using a table corresponding to the state management table name.
  • the determination unit 25 controls to output a notification signal that notifies the user to that effect.
  • it may be controlled to execute a “learning period process” described later in the third embodiment.
  • the determination unit 25 determines that the monitoring target device 10 is abnormal, and normal / abnormal determination is performed based on a stricter standard.
  • the storage unit 23 stores “correspondence” between a plurality of types of devices and transition state candidate groups in stable states of various types of devices.
  • Each “transition state candidate” is a combination of a pre-transition state and a post-transition state.
  • the determination unit 25 includes the current state identified by the identifying unit 24 using the event information in the transition state candidate group associated with the type of the monitoring target device 10 in the correspondence relationship stored in the storage unit 23.
  • the normality / abnormality of the monitoring target device 10 is determined based on whether there is a combination of the transition state and the previous transition state.
  • the third embodiment mainly relates to a “learning period” process that specifies a “correspondence” between a plurality of types of devices and a transition state candidate group in a stable state of various types of devices.
  • the basic configurations of the abnormality determination system, the monitoring target device, and the abnormality determination device of the third embodiment are the same as those of the second embodiment, and will be described with reference to FIGS.
  • the table management unit 26 of the abnormality determination device 20 uses the event information, the IP address, and the type information (here, model number information) acquired by the acquisition unit 21 in the “learning period” to obtain information. Generate an “additional entry” in the management table. At this time, the table management unit 26 generates a “state management table name” using the model number information and inputs it to the additional entry. Further, the table management unit 26 sets the content of the item “learning completion flag” of the additional entry to “0”. Then, the table management unit 26 generates a state management table corresponding to the generated “state management table name”.
  • the determination unit 25 specifies the state before transition and the state after transition each time event information is acquired from the monitoring target device 10 corresponding to the additional entry by the acquisition unit 21.
  • the table management unit 26 controls the determination unit 25 to set the combination as a new entry. Is registered in the state management table.
  • This “learning period” process is executed in a stable state of the monitoring target device 10. In this way, the “correspondence” between the plurality of types of devices and the transition state candidate group in the stable state of each type of device is specified during the learning period.
  • the table management unit 26 sets the content of the item “learning completion flag” of the additional entry to “1” under the control of the determination unit 25.
  • the table management unit is controlled by the determination unit 25. 26 uses the information management table and the state management table corresponding to the same type that has already been generated to generate the information management table entry and the state management table of the other monitoring target device 10. Then, the determination unit 25 can determine normality / abnormality of the other monitoring target device 10 using the generated entry of the information management table of the other monitoring target device 10 and the state management table. Thereby, normality / abnormality of the other monitoring target device 10 can be determined based on the correspondence relationship that has already been stored for the same type of device, so that learning for specifying the correspondence relationship for the other monitoring target device 10 can be performed. A period is no longer needed. As a result, it is possible to eliminate useless resources for which the abnormality determination device 20 cannot perform processing for detecting an abnormality of the other monitoring target device 10, and as a result, it is possible to improve user convenience.
  • the determination unit 25 of the abnormality determination device 20 of the third embodiment waits until event information from the monitoring target device 10 is acquired by the acquisition unit 21 (NO in step S201).
  • the determination unit 25 acquires the source information (IP address, session ID, etc.) and type information acquired by the acquisition unit 21 together with the event information (step S201). S202).
  • the specifying unit 24 specifies the transition state corresponding to the event information acquired by the acquiring unit 21 (step S203).
  • the determination unit 25 determines whether there is an entry in the information management table that matches the acquired transmission source information (step S204).
  • the determination unit 25 holds the content of the item “current status” of the target entry as a state before transition, and further The transition state specified in step S203 is held as the state after transition, and the table management unit 26 is controlled to update the contents of the item “current status” of the target entry with the state after transition (step S205). ).
  • the determination unit 25 determines whether or not the learning completion flag of the target entry is “1” indicating that the learning period has already been completed (step S206).
  • step S206 YES When the learning completion flag of the target entry is “1” (step S206 YES), the determination unit 25 uses the state management table corresponding to the content of the item “state management table name” of the target entry to monitor the target device. Ten normal / abnormal are determined (step S207). This normal / abnormal determination process can be performed in the same manner as in the second embodiment. Then, the processing step returns to step S201.
  • the determination unit 25 determines whether the learning period timer has expired (step S216).
  • step S216 YES when the learning period timer has expired (step S216 YES), the determination unit 25 controls the table management unit 26 to change the learning completion flag of the target entry to “1” (step S217). Then, the processing step returns to step S206.
  • the determination unit 25 determines that the combination of the state before transition and the state after transition held in step S205 is the item “state management table name” of the target entry. It is determined whether or not it is already registered in the table corresponding to the contents of (step S218).
  • the determination unit 25 controls the table management unit 26 to set the combination of the state before transition and the state after transition held in step S205 to the item “state” of the target entry. It is registered in a table corresponding to the contents of “management table name” (step S219). Then, the processing step returns to step S201. On the other hand, if already registered (YES in step S218), the processing step returns to step S201.
  • the determination unit 25 controls the table management unit 26 to acquire the transmission source information and type information acquired in step S202. Etc. are used to generate an additional entry in the information management table (step S208).
  • the determination unit 25 determines whether an entry that matches the type information acquired in step S202 already exists in the information management table (step S209).
  • the determination unit 25 controls the table management unit 26 to add the item “ The state management table name of the entry that already exists is input to “state management table name” (step S210). Further, the determination unit 25 controls the table management unit 26 to input “1” to the item “learning completion flag” of the additional entry generated in step S208 and to the item “current status” of the additional entry.
  • the transition state specified in step S203 is input (step S211). Then, the processing step proceeds to step S201.
  • step S212 When an entry that matches the type information acquired in step S202 does not yet exist in the information management table (NO in step S209), the determination unit 25 controls the table management unit 26 to use the type information acquired in step S202. Then, a state management table name is generated (step S212).
  • the determination unit 25 controls the table management unit 26 to generate a state management table corresponding to the state management table name generated in step S212 (step S213).
  • the determination unit 25 controls the table management unit 26 to input the state management table name generated in step S213 in the item “state management table name” of the additional entry, and “0” in the item “learning completion flag”. And the transition state specified in step S203 is input to the item “current status” (step S214). Then, the determination unit 25 starts a learning period timer (step S215). Then, the processing step returns to step S201.
  • the item “learning completion flag” of the additional entry to “0”, the “learning period” of the monitoring target device 10 corresponding to this additional entry is started.
  • the determination unit 25 in the abnormality determination device 20 determines the type of the other monitoring target device 10 in the stable state and the type before the event information of the monitoring target device 10 is acquired.
  • the normality / abnormality of the monitoring target device 10 is determined using the correspondence relationship specified by the plurality of transition states specified in the stable state of the other monitoring target device 10.
  • the abnormality determination device 20 With this configuration of the abnormality determination device 20, it is possible to determine the normality / abnormality of the monitoring target device 10 based on the correspondence relationship that has already been stored for the same type of device. No learning period is required. As a result, it is possible to eliminate useless resources for which the abnormality determination device 20 cannot perform the process of detecting an abnormality of the monitoring target device 10, and as a result, it is possible to improve user convenience.
  • the type that matches the type information acquired from the monitoring target device is not included in the correspondence, but the type that matches the model number information is included in the type of correspondence,
  • a transition state candidate group corresponding to a type whose similarity distance representing the degree of similarity with the acquired type information is equal to or less than a predetermined threshold and has the smallest similarity distance is used for normality / abnormality determination of the monitoring target device.
  • the basic configuration of the abnormality determination system of the fourth embodiment is the same as that of the third embodiment, and will be described with reference to FIG.
  • FIG. 12 is a block diagram illustrating an example of the abnormality determination device according to the fourth embodiment.
  • the control unit 22 of the abnormality determination device 20 according to the fourth embodiment includes a similar distance processing unit 27.
  • the acquisition unit 21 of the abnormality determination device 20 of the fourth embodiment transmits source information (IP address, session ID, etc.) and type information together with event information from the monitoring target device 10.
  • the type information includes at least one of “use status” or “use setting” of the monitoring target device 10 in addition to the model number information.
  • the type information includes all of model number information, usage status, and usage settings.
  • the usage situation is a surrounding situation where the monitoring target device 10 is used. For example, a situation where both the temperature sensor and the pressure sensor exist under the monitoring target device 10, a situation where only the temperature sensor exists, and a pressure sensor only. Including existing situations.
  • the use setting is an internal state of the monitoring target apparatus 10 and includes, for example, an application version.
  • the determination unit 25 of the abnormality determination device 20 does not match the type information transmitted from the monitoring target device 10 together with the event information, but an entry that matches the model number information included in the type information is information management. If it exists in the table, the similarity distance processing unit 27 is controlled to calculate the “similar distance” between the type information acquired by the acquisition unit 21 and the type information of each matching entry. The calculation of the similar distance will be described in detail later.
  • the determination unit 25 acquires the event management information, the transmission source information, and the state management table of the entry that satisfies the predetermined condition. This is applied to normality / abnormality determination for the monitoring target device 10 which is the type information transmission source. That is, the determination unit 25 reuses the already existing state management table.
  • the “predetermined condition” is, for example, the minimum value of the similar distances calculated for each entry, and the minimum value is equal to or less than the “predetermined threshold value”.
  • FIG. 13 is a diagram illustrating an example of an information management table according to the fourth embodiment.
  • the monitoring target device corresponding to the top entry in FIG. 13 has the item “transmission source ID” of “0x001”, the item “device model number” of the type information as “Router_A”, and the item “temperature sensor presence / absence” And “pressure sensor presence / absence” are both “1” indicating “present” and the item “application version” is “001”.
  • the monitoring target device corresponding to the second entry from the top has the item “transmission source ID” of “0x002”, the item “device model number” of the type information as “Router_A”, and the item “temperature sensor presence / absence” "Is” 1 "indicating” present ", the item” pressure sensor presence “is” 0 “indicating” absent “, and the item” application version "is” 002 ".
  • the acquisition unit 21 acquires the following type information together with the event information from the monitoring target device 10 having the transmission source ID “0x003”.
  • the item “apparatus model number” is “Router_A”
  • the items “temperature sensor presence / absence” and “pressure sensor presence / absence” are both “1” indicating “present”
  • the item “application version” is “003”. Is.
  • the similarity distance processing unit 27 sets the acquired type information for each entry that matches the model number information of the type information acquired by the acquisition unit 21 by the number of operations. It is possible to match the type information of the entry, that is, the number of type parameters that are different between the acquired type and the type information of each entry is calculated. That is, the similarity distance for the top entry in FIG. 13 is only “1” because the type parameter “application version” is different between the type information of the entry and the acquired type information. Similarly, the similarity distance for the second entry in FIG. 13 is “2”.
  • the predetermined threshold is “1”
  • “graph_router_A1” which is the state management table of the top entry
  • various types of parameters are treated equally, but weighting may be performed.
  • each similarity operation may be weighted, and the similarity distance may be calculated by adding the weight. For example, when the type parameter “temperature sensor presence / absence” is different, “3” is added to the similar distance, and when “pressure sensor presence / absence” is different, “2” is added to the similar distance, and “application version” If they are different, “1” may be added to the similar distance. In this case, the similarity distance for the second entry from the top in FIG. 13 is “3”.
  • the determination unit 25 determines that the entry that matches the model number information in the type information acquired in step S202 is information management. It is determined whether or not it exists in the table (step S301).
  • the determination unit 25 controls the similar distance processing unit 27 to determine each matching entry.
  • the “similar distance” between the type information and the type information acquired in step S202 is calculated (step S302).
  • the determination unit 25 specifies a minimum value among at least one similar distance calculated by the similar distance processing unit 27 (step S303), and determines whether or not the specified minimum value is equal to or less than a predetermined threshold value. (Step S304).
  • the determination unit 25 controls the table management unit 26 to add the minimum value to the item “state management table name” of the additional entry generated in step S208.
  • the state table name of the entry corresponding to is input (step S305).
  • step S304 NO the determination unit 25 controls the table management unit 26 to input “1” to the item “learning completion flag” of the additional entry generated in step S208 and to the item “current status” of the additional entry.
  • the transition state specified in step S203 is input (step S306).
  • the processing step proceeds to step S201. It should be noted that if there is no entry in the information management table that matches the model number information in the type information acquired in step S202 (step S301 NO), and if the specified minimum value is greater than a predetermined threshold value (step S304 NO) The step proceeds to step S212.
  • the determination unit 25 of the abnormality determination device 20 relates to various types of item parameters (that is, type parameters) included in the correspondence relationship stored in the storage unit 23.
  • the similarity distance representing the similarity to the item parameter of 10 types is calculated, and the transition state candidate group corresponding to the type having the smallest similarity distance that is not more than a predetermined threshold among the calculated plurality of similarity distances is used. .
  • the “correspondence” stored in the storage unit 23 corresponds to a plurality of types of devices and transition state candidate groups in stable states of various types of devices.
  • one type may be included in the “correspondence” stored in the storage unit 23. That is, the “correspondence” stored in the storage unit 23 may be a correspondence between the type of device and the transition state candidate group in the stable state of the device of the type.
  • the abnormality determination device 20 of the first to fourth embodiments may have the following hardware configuration.
  • FIG. 18 is a diagram illustrating an example of a hardware configuration of the abnormality determination device.
  • the abnormality determination device 100 includes a communication circuit 101, a processor 102, and a memory 103.
  • the acquisition unit 21 of the abnormality determination device 20 described in the first to fourth embodiments is realized by the communication circuit 101.
  • the control unit 22 of the abnormality determination device 20 described in the first to fourth embodiments is realized by the processor 102 reading and executing a program stored in the memory 103.
  • a storage unit that stores a correspondence relationship between a type of device and a transition state candidate group in a stable state of the device of the type;
  • An acquisition unit for acquiring event information of the monitoring target device;
  • a specifying unit for specifying a transition state corresponding to the acquired event information of the monitoring target device; and the transition state candidate group associated with a type of the monitoring target device in the stored correspondence relationship;
  • a determination unit that determines normality / abnormality of the monitoring target device based on the transition state,
  • An abnormality determination device comprising: (Appendix 2) The determination unit determines whether the monitoring target is based on whether the specified transition state is included in the transition state candidate group associated with the type of the monitoring target device in the stored correspondence relationship.
  • the abnormality determination device Determine the normality of the device, The abnormality determination device according to attachment 1.
  • the correspondence relationship is determined by the types of other monitoring target devices in the stable state and the plurality of transition states specified in the stable state of the other monitoring target devices before acquiring the event information of the monitoring target device. Identified, The abnormality determination device according to appendix 1 or 2.
  • Each transition state candidate in the correspondence relationship is a combination of a state before transition and a state after transition
  • the determination unit includes the current transition state identified by the identifying unit and the current transition state in the transition state candidate group associated with the type of the monitoring target device in the stored correspondence relationship.
  • the abnormality determination device Based on whether or not a combination with the previous transition state is included, normality / abnormality of the monitoring target device is determined, The abnormality determination device according to any one of appendices 1 to 3. (Appendix 5) The type of the device in the correspondence relationship includes at least one of a usage state and a usage setting of the device, The abnormality determination device according to any one of appendices 1 to 4.
  • the correspondence relationship stored in the storage unit is a correspondence relationship between a plurality of types of devices and transition state candidate groups in stable states of various types of devices
  • the determination unit calculates a similarity distance representing a degree of similarity with the item parameter of the type of the monitoring target device for each of the various item parameters included in the stored correspondence relationship, and the plurality of calculated similar distances Using the transition state candidate group corresponding to the type having a minimum similarity distance that is equal to or smaller than a predetermined threshold value, The abnormality determination device according to any one of appendices 1 to 5.
  • (Appendix 7) Get event information of monitored devices, Identify the transition state corresponding to the event information of the acquired monitoring target device, Based on the transition state candidate group associated with the type of the monitoring target device in the correspondence relationship between the type of device and the transition state candidate group in the stable state of the device of the type, and the identified transition state Determining whether the monitored device is normal or abnormal; Abnormality judgment method. (Appendix 8) In the determination, normality / abnormality of the monitoring target device based on whether or not the specified transition state is included in the transition state candidate group associated with the type of the monitoring target device in the correspondence relationship. Determine The abnormality determination method according to appendix 7.
  • the correspondence relationship is determined by the types of other monitoring target devices in the stable state and the plurality of transition states specified in the stable state of the other monitoring target devices before acquiring the event information of the monitoring target device. Identified, The abnormality determination method according to appendix 7 or 8. (Appendix 10) Each transition state candidate in the correspondence relationship is a combination of a state before transition and a state after transition, In the determination, in the transition state candidate group associated with the type of the monitoring target device in the correspondence relationship, the identified current transition state and the transition state immediately before the current transition state Determining whether the monitoring target device is normal or abnormal based on whether or not a combination of The abnormality determination method according to any one of appendices 7 to 9.
  • the type of the device in the correspondence relationship includes at least one of a usage state and a usage setting of the device, The abnormality determination method according to any one of appendices 7 to 10.
  • the correspondence relationship is a correspondence relationship between a plurality of types of devices and transition state candidate groups in stable states of various types of devices, In the determination, for each of the various item parameters included in the correspondence relationship, a similarity distance that represents a similarity to the item parameter of the type of the monitoring target device is calculated, and a predetermined distance among the plurality of calculated similar distances is calculated. The transition state candidate group corresponding to the type having a minimum similarity distance that is equal to or smaller than a threshold value is used.
  • the abnormality determination method according to any one of appendices 7 to 11.
  • Appendix 13 Get event information of monitored devices, Identify the transition state corresponding to the event information of the acquired monitoring target device, Based on the transition state candidate group associated with the type of the monitoring target device in the correspondence relationship between the type of device and the transition state candidate group in the stable state of the device of the type, and the identified transition state Determining whether the monitored device is normal or abnormal; An abnormality determination program that causes an abnormality determination device to execute processing.

Abstract

ユーザの利便性を向上可能な異常判定装置等を提供する。異常判定装置２０において取得部２１は、監視対象装置１０から送信されたイベント情報を取得する。特定部２４は、取得部２１で取得したイベント情報に対応する遷移状態を特定する。記憶部２３は、装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係を記憶している。そして、判定部２５は、記憶部２３に記憶されている対応関係において監視対象装置１０の種別に対応付けられた遷移状態候補群と、特定部２４でイベント情報を用いて特定された遷移状態とに基づいて、監視対象装置１０の正常異常を判定する。

Description

異常判定装置、異常判定方法、及び異常判定プログラムが記録された記憶媒体
　本発明は、異常判定装置、異常判定方法、及び異常判定プログラムが記録された記憶媒体に関する。
　監視対象システムの異常検知を行う異常検知装置が提案されている（例えば、特許文献１）。この特許文献１に開示されている異常検知装置としてのイベント分析システムは、監視対象システムからログを収集し、該収集したログを解析することでイベント列を得る。そして、該イベント分析システムは、得られたイベント列からイベントの変化を局所的に予測する局所予測モデルを学習する。そして、該イベント分析システムは、学習した局所予測モデルと観測したイベントとに基づいて、監視対象システムの異常を検知する。
特開２０１６－９９９３８号公報 特開２０１４－３２６５７号公報
　しかしながら、上記特許文献１における異常検知装置としてのイベント分析システムにおいて収集したログからモデルを学習するための学習期間には、長い時間を要してしまう。この学習期間はユーザにとって異常検知処理を行うことができない無駄なリソースとなり、ユーザの利便性が低下してしまう問題がある。また、上記特許文献１における異常検知装置としてのイベント分析システムでは、監視対象システムが変わる度に、モデルを学習する必要があるので、ユーザの利便性がさらに低下する可能性がある。
　本発明の目的は、ユーザの利便性を向上させることができる、異常判定装置、異常判定方法、及び異常判定プログラムを提供することにある。
　本発明の第１の態様にかかる異常判定装置は、装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係を記憶する記憶部と、監視対象装置のイベント情報を取得する取得部と、前記取得された監視対象装置のイベント情報に対応する遷移状態を特定する特定部と、前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する判定部と、を具備する。
　本発明の第２の態様にかかる異常判定方法は、監視対象装置のイベント情報を取得し、前記取得された監視対象装置のイベント情報に対応する遷移状態を特定し、装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する。
　本発明の第３の態様にかかる異常判定プログラムは、監視対象装置のイベント情報を取得し、前記取得された監視対象装置のイベント情報に対応する遷移状態を特定し、装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する、処理を、異常判定装置に実行させる。
　本発明により、ユーザの利便性を向上させることができる、異常判定装置、異常判定方法、及び異常判定プログラムを提供することができる。
第１実施形態の異常判定システムの一例を示す図である。 第１実施形態の異常判定装置の一例を示すブロック図である。 対応テーブルの一例を示す図である。 第１実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第２実施形態の異常判定装置の一例を示すブロック図である。 第２実施形態の情報管理テーブルの一例を示す図である。 第２実施形態のステート管理テーブルの一例を示す図である。 図７のステート管理テーブルに対応する状態遷移グラフを示す図である。 第３実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第３実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第３実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第４実施形態の異常判定装置の一例を示すブロック図である。 第４実施形態の情報管理テーブルの一例を示す図である。 第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。 異常判定装置のハードウェア構成の一例を示す図である。
　以下、図面を参照しつつ、実施形態について説明する。なお、実施形態において、同一の要素には、同一の符号を付し、重複する説明は省略される。
＜第１実施形態＞
　＜異常判定システムの概要＞
　図１は、第１実施形態の異常判定システムの一例を示す図である。図１において、異常判定システム１は、監視対象装置１０と、異常判定装置２０とを有している。監視対象装置１０と異常判定装置２０とは、有線で接続されていてもよいし、無線で接続されていてもよい。なお、図１では説明を簡単にするために、異常判定システム１に含まれる監視対象装置１０の数を１つとし、異常判定装置２０の数を１つとしているが、これに限定されるものではない。例えば、異常判定装置２０が複数の監視対象装置１０を監視してもよい。
　図１の異常判定システム１において監視対象装置１０は、監視対象装置１０自身の状態をモニタし、モニタした状態を「イベント情報」として異常判定装置２０へ送信する。例えば、「監視対象装置１０自身の状態」とは、監視対象装置１０で動くアプリケーションの「遷移状態」である。
　異常判定装置２０は、監視対象装置１０から送信されたイベント情報を取得する。そして、異常判定装置２０は、取得したイベント情報に対応する遷移状態を特定する。また、異常判定装置２０は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群（以下では、「状態候補グループ」と呼ぶことがある）との「対応関係」を記憶している。例えば、異常判定装置２０は、「対応関係」として、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群とが対応付けられた、対応テーブルを保持している。ここで、装置の「安定状態」とは、装置が安定して異常なしに動作している状態である。
　そして、異常判定装置２０は、記憶された「対応関係」において監視対象装置１０の種別に対応付けられた遷移状態候補群と、上記イベント情報を用いて特定された遷移状態とに基づいて、監視対象装置１０の正常異常を判定する。例えば、異常判定装置２０は、記憶された「対応関係」において監視対象装置１０の種別に対応付けられた遷移状態候補群の中に、上記イベント情報を用いて特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する。
　以上のように異常判定システム１において異常判定装置２０は、予め記憶している上記「対応関係」に基づいて、監視対象装置１０の正常異常を判定する。これにより、「対応関係」を特定するための「学習期間」が必要なくなるので、異常判定装置２０が監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを排除することができ、結果として、ユーザの利便性を向上させることができる。さらに、上記「対応関係」は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群とを対応付けている。これにより、監視対象装置１０が一の種別の装置から他の種別の装置に代わった場合でも、該他の種別の装置に対して「学習期間」を設ける必要がないので、結果として、ユーザの利便性をさらに向上させることができる。
　＜異常判定装置の構成例＞
　図２は、第１実施形態の異常判定装置の一例を示すブロック図である。図２において異常判定装置２０は、取得部２１と、制御部２２と、記憶部２３と、を有する。制御部２２は、特定部２４と、判定部２５とを有する。
　取得部２１は、監視対象装置１０から送信されたイベント情報を取得する。例えば、取得部２１は、監視対象装置１０と異常判定装置２０とが有線で接続されている場合には、有線インタフェースであり、監視対象装置１０と異常判定装置２０とが無線で接続されている場合には、無線インタフェースである。そして、取得部２１は、取得したイベント情報を特定部２４へ出力する。
　特定部２４は、取得部２１で取得された監視対象装置１０のイベント情報に対応する「遷移状態」を特定する。「遷移状態」は、例えば、監視対象装置１０で動作するアプリケーションの状態である。
　記憶部２３は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群とを対応付ける「対応テーブル」を記憶している。図３は、対応テーブルの一例を示す図である。図３に示すように対応テーブルには、装置の種別毎にエントリが存在している。
図３では、装置の種別を示す情報として、装置の「型番」が用いられている。図３の一番上のエントリでは、型番１と、型番１の装置の安定状態における遷移状態候補群としての、状態α、状態β、及び状態γとが対応付けられている。
　判定部２５は、記憶部２３に記憶されている「対応関係」において監視対象装置１０の種別に対応付けられた遷移状態候補群と、特定部２４でイベント情報を用いて特定された遷移状態とに基づいて、監視対象装置１０の正常異常を判定する。例えば、判定部２５は、記憶部２３に記憶されている対応テーブルにおいて、監視対象装置１０の種別に対応付けられた遷移状態候補群（つまり、状態候補グループ）の中に、特定部２４で特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する。
　具体的には、判定部２５は、イベント情報と共に監視対象装置１０から送信された監視対象装置１０の型番情報を取得し、記憶部２３に記憶されている対応テーブルにおいて、この取得した型番情報に対応するエントリを特定し、さらに、この特定したエントリの状態候補グループを特定する。そして、判定部２５は、特定した状態候補グループの中に、特定部２４で特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する。例えば、監視対象装置１０の型番が型番１であり且つイベント情報が示す遷移状態が状態ｘであった場合、型番１に対応する状態候補グループ（つまり、状態α、状態β、及び状態γ）に状態ｘが含まれていないので、判定部２５は、監視対象装置１０が異常であると判定する。一方、監視対象装置１０の型番が型番１であり且つイベント情報が示す遷移状態が状態γであった場合、型番１に対応する状態候補グループ（つまり、状態α、状態β、及び状態γ）に状態γが含まれているので、判定部２５は、監視対象装置１０が正常であると判定する。
　＜異常判定装置の動作例＞
　以上の構成を有する異常判定装置２０の処理動作の一例について説明する。図４は、第１実施形態の異常判定装置の処理動作の一例を示すフローチャートである。
　異常判定装置２０において取得部２１は、監視対象装置１０から送信されたイベント情報を取得する（ステップＳ１０１）。
　次いで、特定部２４は、取得部２１で取得された監視対象装置１０のイベント情報に対応する遷移状態を特定する（ステップＳ１０２）。
　次いで、判定部２５は、記憶部２３に記憶されている対応テーブルにおいて、監視対象装置１０の種別に対応付けられた遷移状態候補群（つまり、状態候補グループ）の中に、特定部２４で特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する（ステップＳ１０３）。
　以上のように第１実施形態によれば、異常判定装置２０において取得部２１は、監視対象装置１０から送信されたイベント情報を取得する。特定部２４は、取得部２１で取得したイベント情報に対応する遷移状態を特定する。記憶部２３は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」を記憶している。そして、判定部２５は、記憶部２３に記憶されている対応関係において監視対象装置１０の種別に対応付けられた遷移状態候補群と、特定部２４でイベント情報を用いて特定された遷移状態とに基づいて、監視対象装置１０の正常異常を判定する。例えば、判定部２５は、記憶部２３に記憶された対応関係において監視対象装置１０の種別に対応付けられた遷移状態候補群の中に、特定部２４においてイベント情報を用いて特定された遷移状態が含まれるか否かに基づいて、監視対象装置１０の正常異常を判定する。
　この異常判定装置２０の構成により、予め記憶している対応関係に基づいて、監視対象装置１０の正常異常を判定するので、対応関係を特定するための学習期間が必要なくなる。これにより、異常判定装置２０が監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを排除することができ、結果として、ユーザの利便性を向上させることができる。さらに、上記の対応関係は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群とを対応付けている。これにより、監視対象装置１０が一の種別の装置から他の種別の装置に代わった場合でも、該他の種別の装置に対して学習期間を設ける必要がないので、結果として、ユーザの利便性をさらに向上させることができる。
＜第２実施形態＞
　第２実施形態では、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」を、「情報管理テーブル」及び「ステート管理テーブル」の２つのテーブルで管理する。また、「ステート管理テーブル」では、各「遷移状態候補」を、遷移前の状態（ノード）と遷移後の状態（ノード）と遷移前の状態から遷移後の状態への遷移との組み合わせとして管理する。なお、第２実施形態の異常判定システムの基本構成は、第１実施形態と同じなので、図１を参照して説明する。
　図５は、第２実施形態の異常判定装置の一例を示すブロック図である。図５において、第２実施形態の異常判定装置２０の制御部２２は、テーブル管理部２６を有する。このテーブル管理部２６は、「情報管理テーブル」及び「ステート管理テーブル」を管理する。
　第２実施形態の記憶部２３は、「情報管理テーブル」及び「ステート管理テーブル」を保持している。図６は、第２実施形態の情報管理テーブルの一例を示す図である。図７は、第２実施形態のステート管理テーブルの一例を示す図である。
　図６に示すように、情報管理テーブルは、項目として、送信元ＩＤ、ＩＰアドレス、装置型番、学習完了フラグ、ステート管理テーブル名、テーブル作成時間、及び、現在のステートを含んでいる。図６には一例としてエントリを１つ示している。装置型番（つまり、型番情報）は、装置種別の一例である。このエントリは、送信元の端末（つまり、監視対象装置）のＩＤが「０ｘ００１」であり、その端末のＩＰアドレスが「１９２．１６８．０．１」であり、その端末の型番が「Ｒｏｕｔｅｒ＿Ａ」であり、学習完了フラグが既に学習期間が完了していることを示す「１」であり、このエントリに対応するステート管理テーブル名が「ｇｒａｐｈ＿ｒｏｕｔｅｒ＿Ａ」であり、テーブル作成時間が「２０１６／１０／２６　１０：２３：５６」であり、その端末の現在のステートが「Ｎ０１」であることを示している。エントリの項目「現在のステート」の内容は、そのエントリに対応する送信元端末の遷移状態が特定部２４によって特定される度に、特定された遷移状態でテーブル管理部２６によって更新される。
　そして、図７には、テーブル名「ｇｒａｐｈ＿ｒｏｕｔｅｒ＿Ａ」のステート管理テーブルの一例を示している。図７に示すように、ステート管理テーブルは、項目として、エッジＩＤと、ノードＩＤ（始点）と、ノードＩＤ（終点）とを含んでいる。エッジＩＤは、遷移前の状態から遷移後の状態への遷移を示すＩＤであり、ノードＩＤ（始点）は、遷移前の状態（ノード）を示すＩＤであり、ノードＩＤ（終点）は、遷移後の状態（ノード）を示すＩＤである。すなわち、図７に示すステート管理テーブルは、図８に示す状態遷移グラフを遷移単位に分割して纏めたものである。図８は、図７のステート管理テーブルに対応する状態遷移グラフを示す図である。
　第２実施形態の判定部２５は、例えば、次のようにして、監視対象装置１０の正常異常を判定する。
　まず、取得部２１は、監視対象装置１０から、イベント情報と共に、ＩＰアドレス、及び種別情報（ここでは、型番情報）を取得する。
　判定部２５は、まず、取得部２１で取得されたＩＰアドレスと一致するエントリが情報管理テーブルに存在するか否かを判定する。
　取得部２１で取得されたＩＰアドレスと一致するエントリが情報管理テーブルに存在する場合、判定部２５は、そのエントリの項目「現在のステート」の内容を、遷移前の状態として保持する。また、判定部２５は、取得部２１で取得されたイベント情報から特定部２４で特定された遷移状態を遷移後の状態として保持する。そして、判定部２５の制御によってテーブル管理部２６は、この遷移後の状態で、そのエントリの項目「現在のステート」を更新する。そして、判定部２５は、保持している遷移前の状態と遷移後の状態との組み合わせが、そのエントリの項目「ステート管理テーブル名」の内容に対応するテーブルにエントリされているか否かを判定し、エントリされている場合には、監視対象装置１０が正常であると判定する一方、エントリされていない場合には、監視対象装置１０が異常であると判定する。
　取得部２１で取得されたＩＰアドレスと一致するエントリが情報管理テーブルに存在しない場合、判定部２５の制御によってテーブル管理部２６は、情報管理テーブルに新しいエントリ（以下では、「追加エントリ」と呼ぶことがある）を追加する。そして、判定部２５は、取得部２１で取得された種別情報と一致するエントリが情報管理テーブルに存在するか否かを判定する。取得部２１で取得された種別情報と一致するエントリが情報管理テーブルに存在する場合、判定部２５の制御によってテーブル管理部２６は、そのエントリの項目「ステート管理テーブル名」の内容を、追加エントリの項目「ステート管理テーブル名」に入力する。このとき、判定部２５の制御によってテーブル管理部２６は、項目「学習完了フラグ」の内容を「１」とする。そして、判定部２５は、このステート管理テーブル名に対応するテーブルを用いて、監視対象装置１０の正常異常を判定する。なお、取得部２１で取得された種別情報と一致するエントリが情報管理テーブルに存在しない場合には、判定部２５は、ユーザに対してその旨を報知する報知信号を出力するように制御してもよいし、又は、後に第３実施形態で説明する「学習期間の処理」を実行するように制御してもよい。
　このように安定状態における遷移前の状態と遷移後の状態との組み合わせを管理することにより、監視対象装置１０の正常異常判定の精度を向上させることができる。すなわち、例えば、図８に示すように、或る装置の安定状態では、遷移状態候補群として、Ｎ０１～Ｎ０５が存在する。第２実施形態の遷移状態候補の管理によれば、現在の遷移状態がＮ０１～Ｎ０５に含まれていたとしても、例えば、遷移前の状態がＮ０４で遷移後の状態がＮ０５の組み合わせは、図７のステート管理テーブルに保持されていない。この結果、判定部２５によって監視対象装置１０が異常であると判定されることになり、より厳しい基準で正常異常判定が行われることになる。
　以上のように、第２実施形態によれば、異常判定装置２０において記憶部２３は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」を記憶しており、各「遷移状態候補」は、遷移前状態と遷移後状態との組み合わせである。そして、判定部２５は、記憶部２３に記憶された対応関係において監視対象装置１０の種別に対応付けられた遷移状態候補群の中に、特定部２４においてイベント情報を用いて特定された現在の遷移状態と１つ前の遷移状態との組み合わせが存在するか否かに基づいて、監視対象装置１０の正常異常を判定する。
　この異常判定装置２０の構成により、監視対象装置１０の正常異常判定の精度をさらに向上させることができる。
＜第３実施形態＞
　第３実施形態は、主に、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」を特定する「学習期間」の処理に関する。なお、第３実施形態の異常判定システム、監視対象装置、及び異常判定装置の基本構成は、第２実施形態と同じなので、図１，５－８を参照して説明する。
　＜異常判定装置の構成例＞
　第３実施形態の異常判定装置２０のテーブル管理部２６は、「学習期間」において取得部２１で取得された、イベント情報、ＩＰアドレス、及び種別情報（ここでは、型番情報）を用いて、情報管理テーブルに「追加エントリ」を生成する。このとき、テーブル管理部２６は、型番情報を用いて、「ステート管理テーブル名」を生成し、追加エントリに入力する。また、テーブル管理部２６は、追加エントリの項目「学習完了フラグ」の内容を「０」とする。そして、テーブル管理部２６は、生成した「ステート管理テーブル名」に対応するステート管理テーブルを生成する。
　そして、判定部２５は、「学習期間」において、取得部２１で上記追加エントリに対応する監視対象装置１０からイベント情報が取得される度に、遷移前の状態と遷移後の状態を特定する。そして、該特定した遷移前の状態と遷移後の状態との組み合わせが上記生成したステート管理テーブルに未だ登録されていない場合に、判定部２５の制御によってテーブル管理部２６は、その組み合わせを新しいエントリとしてステート管理テーブルに登録する。この「学習期間」の処理は、監視対象装置１０の安定状態において実行される。
こうして学習期間において装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との「対応関係」が特定されることになる。ここで、学習期間が終わると、判定部２５の制御によってテーブル管理部２６は、上記追加エントリの項目「学習完了フラグ」の内容を「１」とする。
　この対応関係が特定された後に、監視対象装置１０と種別が同じである他の監視対象装置１０からのイベント情報を異常判定装置２０が取得した場合には、判定部２５の制御によってテーブル管理部２６は、既に生成されている同じ種別に対応する情報管理テーブル及びステート管理テーブルを用いて、該他の監視対象装置１０の情報管理テーブルのエントリ及びステート管理テーブルを生成する。そして、判定部２５は、該生成した他の監視対象装置１０の情報管理テーブルのエントリ及びステート管理テーブルを用いて、該他の監視対象装置１０の正常異常を判定することができる。これにより、既に同じ種別の装置について記憶されている対応関係に基づいて、他の監視対象装置１０の正常異常を判定できるので、該他の監視対象装置１０についての対応関係を特定するための学習期間が必要なくなる。これにより、異常判定装置２０が該他の監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを排除することができ、結果として、ユーザの利便性を向上させることができる。
　＜異常判定装置の動作例＞
　以上の構成を有する第３実施形態の異常判定装置２０の処理動作の一例について説明する。図９～図１１は、第３実施形態の異常判定装置の処理動作の一例を示すフローチャートである。図１０及び図１１は、図９の続きのフローチャートである。
　第３実施形態の異常判定装置２０の判定部２５は、監視対象装置１０からのイベント情報が取得部２１で取得されるまで待つ（ステップＳ２０１ＮＯ）。
　取得部２１でイベント情報が取得されると（ステップＳ２０１ＹＥＳ）、判定部２５は、イベント情報と共に取得部２１で取得された送信元情報（ＩＰアドレス、セッションＩＤ等）及び種別情報を取得する（ステップＳ２０２）。
　また、特定部２４は、取得部２１で取得されたイベント情報に対応する遷移状態を特定する（ステップＳ２０３）。
　次いで、判定部２５は、取得された送信元情報と一致するエントリが情報管理テーブルに存在するか否かを判定する（ステップＳ２０４）。
　取得された送信元情報と一致するエントリが情報管理テーブルに存在する場合（ステップＳ２０４ＹＥＳ）、判定部２５は、その対象エントリの項目「現在のステータス」の内容を遷移前の状態として保持し、さらに、ステップＳ２０３で特定された遷移状態を遷移後の状態として保持し、テーブル管理部２６を制御して、その対象エントリの項目「現在のステータス」の内容を遷移後の状態によって更新する（ステップＳ２０５）。
　次いで、判定部２５は、その対象エントリの学習完了フラグが既に学習期間が完了していることを示す「１」であるか否かを判定する（ステップＳ２０６）。
　その対象エントリの学習完了フラグが「１」である場合（ステップＳ２０６ＹＥＳ）、判定部２５は、その対象エントリの項目「ステート管理テーブル名」の内容に対応するステート管理テーブルを用いて、監視対象装置１０の正常異常を判定する（ステップＳ２０７）。この正常異常の判定処理は、第２実施形態と同様に行うことができる。そして、処理ステップは、ステップＳ２０１へ戻る。
　これに対して、その対象エントリの学習完了フラグが「０」である場合（ステップＳ２０６ＮＯ）、判定部２５は、学習期間タイマが満了しているか否かを判定する（ステップＳ２１６）。
　次いで、学習期間タイマが満了している場合（ステップＳ２１６ＹＥＳ）、判定部２５は、テーブル管理部２６を制御して、その対象エントリの学習完了フラグを「１」に変更する（ステップＳ２１７）。そして、処理ステップは、ステップＳ２０６へ戻る。
　一方、学習期間タイマが満了していない場合（ステップＳ２１６ＮＯ）、判定部２５は、ステップＳ２０５で保持した遷移前の状態及び遷移後の状態の組み合わせが、その対象エントリの項目「ステート管理テーブル名」の内容に対応するテーブルに既に登録されているか否かを判定する（ステップＳ２１８）。
　未だ登録されていない場合（ステップＳ２１８ＮＯ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０５で保持した遷移前の状態及び遷移後の状態の組み合わせを、その対象エントリの項目「ステート管理テーブル名」の内容に対応するテーブルに登録する（ステップＳ２１９）。そして、処理ステップは、ステップＳ２０１へ戻る。一方、既に登録されている場合（ステップＳ２１８ＹＥＳ）、処理ステップは、ステップＳ２０１へ戻る。
　一方、取得された送信元情報と一致するエントリが情報管理テーブルに存在しない場合（ステップＳ２０４ＮＯ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０２で取得した送信元情報及び種別情報等を用いて、情報管理テーブルに追加エントリを生成する（ステップＳ２０８）。
　次いで、判定部２５は、ステップＳ２０２で取得された種別情報と一致するエントリが情報管理テーブルに既に存在するか否かを判定する（ステップＳ２０９）。
　ステップＳ２０２で取得された種別情報と一致するエントリが情報管理テーブルに既に存在する場合（ステップＳ２０９ＹＥＳ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０８で生成した追加エントリの項目「ステート管理テーブル名」にその既に存在しているエントリのステート管理テーブル名を入力する（ステップＳ２１０）。
さらに、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０８で生成した追加エントリの項目「学習完了フラグ」に「１」を入力すると共に、追加エントリの項目「現在のステータス」に、ステップＳ２０３で特定された遷移状態を入力する（ステップＳ２１１）。そして、処理ステップは、ステップＳ２０１へ進む。
　ステップＳ２０２で取得された種別情報と一致するエントリが情報管理テーブルに未だ存在しない場合（ステップＳ２０９ＮＯ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０２で取得した種別情報を用いて、ステート管理テーブル名を生成する（ステップＳ２１２）。
　次いで、判定部２５は、テーブル管理部２６を制御して、ステップＳ２１２で生成したステート管理テーブル名に対応するステート管理テーブルを生成する（ステップＳ２１３）。
　次いで、判定部２５は、テーブル管理部２６を制御して、追加エントリの項目「ステート管理テーブル名」にステップＳ２１３で生成したステート管理テーブル名を入力し、項目「学習完了フラグ」に「０」を入力し、項目「現在のステータス」にステップＳ２０３で特定された遷移状態を入力する（ステップＳ２１４）。そして、判定部２５は、学習期間タイマをスタートさせる（ステップＳ２１５）。そして、処理ステップは、ステップＳ２０１に戻る。ここで、追加エントリの項目「学習完了フラグ」を「０」にすることにより、この追加エントリに対応する監視対象装置１０の「学習期間」がスタートすることになる。
　以上のように第３実施形態によれば、異常判定装置２０において判定部２５は、監視対象装置１０のイベント情報を取得するより前に、安定状態にある他の監視対象装置１０の種別と該他の監視対象装置１０の安定状態において特定された複数の遷移状態とによって特定された対応関係を用いて、監視対象装置１０の正常異常を判定する。
　この異常判定装置２０の構成により、既に同じ種別の装置について記憶されている対応関係に基づいて、監視対象装置１０の正常異常を判定できるので、監視対象装置１０についての対応関係を特定するための学習期間が必要なくなる。これにより、異常判定装置２０が監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを排除することができ、結果として、ユーザの利便性を向上させることができる。
＜第４実施形態＞
　第４実施形態は、監視対象装置から取得した種別情報に一致する種別が対応関係に含まれていないが、種別情報のうちで型番情報が一致する種別が対応関係に含まれている場合、該取得した種別情報との類似度を表す類似距離が所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する遷移状態候補群を、監視対象装置の正常異常判定に用いる。
なお、第４実施形態の異常判定システムの基本構成は、第３実施形態と同じなので、図１を参照して説明する。
　＜異常判定装置の構成例＞
　図１２は、第４実施形態の異常判定装置の一例を示すブロック図である。図１２において、第４実施形態の異常判定装置２０の制御部２２は、類似距離処理部２７を有する。
　第４実施形態の異常判定装置２０の取得部２１は、第１実施形態から第３実施形態と同様に、監視対象装置１０からイベント情報と共に送信元情報（ＩＰアドレス、セッションＩＤ等）及び種別情報を取得する。ただし、第４実施形態では、種別情報は、型番情報の他に、監視対象装置１０の「使用状況」又は「使用設定」の少なくとも一方を含んでいる。以下では、種別情報が、型番情報、使用状況、及び使用設定のすべてを含んでいるものとして説明する。使用状況は、監視対象装置１０が使用される周辺状況であり、例えば、監視対象装置１０の配下に温度センサ及び圧力センサの両方が存在する状況、温度センサのみが存在する状況、圧力センサのみが存在する状況等を含む。また、使用設定は、監視対象装置１０の内部状況であり、例えば、アプリケーションのバージョン等を含む。
　第４実施形態の異常判定装置２０の判定部２５は、監視対象装置１０からイベント情報と共に送信されてきた種別情報と全ては一致しないが、種別情報に含まれる型番情報と一致するエントリが情報管理テーブルに存在する場合、類似距離処理部２７を制御して、取得部２１で取得された種別情報と、その一致する各エントリの種別情報との「類似距離」を算出する。この類似距離の算出については、後に詳しく説明する。
　そして、判定部２５は、算出した類似距離に関して「所定条件」を満たすエントリが存在する場合、その所定条件を満たすエントリのステート管理テーブルを、取得部２１で取得したイベント情報、送信元情報、及び種別情報の送信元である監視対象装置１０に対する正常異常判定に適用する。すなわち、判定部２５は、既に存在しているステート管理テーブルを再利用する。上記の「所定条件」は、例えば、各エントリについて算出された類似距離のうちの最小値であり且つその最小値が「所定閾値」以下であることである。
　ここで、類似距離の算出について説明する。図１３は、第４実施形態の情報管理テーブルの一例を示す図である。図１３の１番上のエントリに対応する監視対象装置は、項目「送信元ＩＤ」が「０ｘ００１」であり、種別情報のうち項目「装置型番」が「Ｒｏｕｔｅｒ＿Ａ」であり、項目「温度センサ有無」及び「圧力センサ有無」が共に「有り」を示す「１」であり、項目「アプリケーションバージョン」が「００１」である。また、上から２番目のエントリに対応する監視対象装置は、項目「送信元ＩＤ」が「０ｘ００２」であり、種別情報のうち項目「装置型番」が「Ｒｏｕｔｅｒ＿Ａ」であり、項目「温度センサ有無」が「有り」を示す「１」であり、項目「圧力センサ有無」が「無し」を示す「０」であり、項目「アプリケーションバージョン」が「００２」である。
　そして、取得部２１において、送信元ＩＤ「０ｘ００３」の監視対象装置１０からイベント情報と共に次の種別情報を取得したと仮定する。その種別情報は、項目「装置型番」が「Ｒｏｕｔｅｒ＿Ａ」であり、項目「温度センサ有無」及び「圧力センサ有無」が共に「有り」を示す「１」であり、項目「アプリケーションバージョン」が「００３」である。
　このとき、類似距離処理部２７は、「類似距離」として、例えば、取得部２１で取得された種別情報の型番情報と一致する各エントリについて、その取得された種別情報を何回の操作で各エントリの種別情報に一致させることができるか、つまり、その取得された種別と各エントリの種別情報との間で異なる種別パラメータの数を算出する。すなわち、図１３の１番上のエントリに関する類似距離は、そのエントリの種別情報と取得された種別情報との間で種別パラメータ「アプリケーションバージョン」だけが異なるので、類似距離は「１」となる。同様に、図１３の２番目のエントリに関する類似距離は、「２」となる。ここで、上記の所定閾値が「１」であるとすると、１番上のエントリのステート管理テーブルである「ｇｒａｐｈ＿ｒｏｕｔｅｒ＿Ａ１」が、送信元ＩＤ「０ｘ００３」の監視対象装置１０のステート管理テーブルとして再利用されることになる。なお、以上の説明では、各種別パラメータを同等に扱ったが、重み付けがなされてもよい。すなわち、類似性の各操作に重みをつけて、重み付けを加味して類似距離を計算してもよい。例えば、種別パラメータ「温度センサ有無」が異なる場合には、類似距離に「３」が加算され、「圧力センサ有無」が異なる場合には、類似距離に「２」が加算され、「アプリケーションバージョン」が異なる場合には、類似距離に「１」が加算されるようにしてもよい。この場合には、図１３の上から２番目のエントリに関する類似距離は、「３」になる。
　＜異常判定装置の動作例＞
　以上の構成を有する第４実施形態の異常判定装置２０の処理動作の一例について説明する。図１４～図１７は、第４実施形態の異常判定装置の処理動作の一例を示すフローチャートである。図１５～図１７は、図１４の続きのフローチャートである。図１４～図１７において、第３実施形態の図９～図１１の処理ステップと同等の処理ステップには、同じ符号が付されている。図１４及び図１５は、それぞれ、図９及び図１０と同じである。
　ステップＳ２０２で取得された種別情報と一致するエントリが情報管理テーブルに未だ存在しない場合（ステップＳ２０９ＮＯ）、判定部２５は、ステップＳ２０２で取得した種別情報のうちの型番情報と一致するエントリが情報管理テーブルに存在するか否かを判定する（ステップＳ３０１）。
　ステップＳ２０２で取得した種別情報のうちの型番情報と一致するエントリが情報管理テーブルに存在する場合（ステップＳ３０１ＹＥＳ）、判定部２５は、類似距離処理部２７を制御して、その一致した各エントリの種別情報と、ステップＳ２０２で取得した種別情報との「類似距離」を算出する（ステップＳ３０２）。
　次いで、判定部２５は、類似距離処理部２７で算出された少なくとも１つの類似距離のうちで最小値を特定し（ステップＳ３０３）、特定した最小値が所定閾値以下であるか否かを判定する（ステップＳ３０４）。
　特定した最小値が所定閾値以下である場合（ステップＳ３０４ＹＥＳ）、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０８で生成した追加エントリの項目「ステート管理テーブル名」に、その最小値に対応するエントリのステートテーブル名を入力する（ステップＳ３０５）。
　次いで、判定部２５は、テーブル管理部２６を制御して、ステップＳ２０８で生成した追加エントリの項目「学習完了フラグ」に「１」を入力すると共に、追加エントリの項目「現在のステータス」に、ステップＳ２０３で特定された遷移状態を入力する（ステップＳ３０６）。そして、処理ステップは、ステップＳ２０１へ進む。なお、ステップＳ２０２で取得した種別情報のうちの型番情報と一致するエントリが情報管理テーブルに存在しない場合（ステップＳ３０１ＮＯ）、及び、特定した最小値が所定閾値よりも大きい場合（ステップＳ３０４ＮＯ）、処理ステップは、ステップＳ２１２へ進む。
　以上のように第４実施形態によれば、異常判定装置２０の判定部２５は、記憶部２３に記憶された対応関係に含まれる各種別の項目パラメータ（つまり、種別パラメータ）に関して、監視対象装置１０の種別の項目パラメータとの類似度を表す類似距離を算出し、算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する遷移状態候補群を用いる。
　この異常判定装置２０の構成により、すべての種別パラメータが一致しない場合でも差が一定レベル以下である種別の対応関係を監視対象装置１０の正常異常判定に再利用することができるので、監視対象装置１０に学習期間が必要となる確率を低減することができる。これにより、異常判定装置２０が監視対象装置１０の異常を検知する処理を行うことができない無駄なリソースを極力排除することができ、結果として、ユーザの利便性を向上させることができる。
＜他の実施形態＞
　（１）第１実施形態から第４実施形態では、記憶部２３に記憶されている「対応関係」が、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との対応関係であることを前提に説明を行ったが、これに限定されるものではない。例えば、記憶部２３に記憶されている「対応関係」に含まれる種別が１つであってもよい。すなわち、記憶部２３に記憶されている「対応関係」は、装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係であってもよい。
　（２）第１実施形態から第４実施形態の異常判定装置２０は、次のようなハードウェア構成を有していてもよい。図１８は、異常判定装置のハードウェア構成の一例を示す図である。
　図１８において、異常判定装置１００は、通信回路１０１と、プロセッサ１０２と、メモリ１０３とを有する。
　第１実施形態から第４実施形態で説明した異常判定装置２０の取得部２１は、通信回路１０１によって実現される。また、第１実施形態から第４実施形態で説明した異常判定装置２０の制御部２２は、プロセッサ１０２がメモリ１０３に記憶されたプログラムを読み込んで実行することにより実現される。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
　装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係を記憶する記憶部と、
　監視対象装置のイベント情報を取得する取得部と、
　前記取得された監視対象装置のイベント情報に対応する遷移状態を特定する特定部と、　前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する判定部と、
　を具備する異常判定装置。
（付記２）
　前記判定部は、前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に前記特定された遷移状態が含まれるか否かに基づいて、前記監視対象装置の正常異常を判定する、
　付記１記載の異常判定装置。
（付記３）
　前記対応関係は、前記監視対象装置のイベント情報を取得するより前に、安定状態にある他の監視対象装置の種別と前記他の監視対象装置の安定状態において特定された複数の遷移状態とによって特定される、
　付記１又は２記載の異常判定装置。
（付記４）
　前記対応関係における各遷移状態候補は、遷移前の状態と遷移後の状態との組み合わせであり、
　前記判定部は、前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に、前記特定部によって特定された現在の遷移状態と該現在の遷移状態の１つ前の遷移状態との組み合わせが含まれているか否かに基づいて、前記監視対象装置の正常異常を判定する、
　付記１から３のいずれか１項に記載の異常判定装置。
（付記５）
　前記対応関係における前記装置の種別は、前記装置の使用状態及び使用設定の少なくとも一方を含む、
　付記１から４のいずれか１項に記載の異常判定装置。
（付記６）
　前記記憶部に記憶された前記対応関係は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との対応関係であり、
　前記判定部は、前記記憶された対応関係に含まれる各種別の項目パラメータに関して、前記監視対象装置の種別の項目パラメータとの類似度を表す類似距離を算出し、前記算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する前記遷移状態候補群を用いる、
　付記１から５のいずれか１項に記載の異常判定装置。
（付記７）
　監視対象装置のイベント情報を取得し、
　前記取得された監視対象装置のイベント情報に対応する遷移状態を特定し、
　装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する、
　異常判定方法。
（付記８）
　前記判定では、前記対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に前記特定された遷移状態が含まれるか否かに基づいて、前記監視対象装置の正常異常を判定する、
　付記７記載の異常判定方法。
（付記９）
　前記対応関係は、前記監視対象装置のイベント情報を取得するより前に、安定状態にある他の監視対象装置の種別と前記他の監視対象装置の安定状態において特定された複数の遷移状態とによって特定される、
　付記７又は８記載の異常判定方法。
（付記１０）
　前記対応関係における各遷移状態候補は、遷移前の状態と遷移後の状態との組み合わせであり、
　前記判定では、前記対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に、前記特定された現在の遷移状態と該現在の遷移状態の１つ前の遷移状態との組み合わせが含まれているか否かに基づいて、前記監視対象装置の正常異常を判定する、
　付記７から９のいずれか１項に記載の異常判定方法。
（付記１１）
　前記対応関係における前記装置の種別は、前記装置の使用状態及び使用設定の少なくとも一方を含む、
　付記７から１０のいずれか１項に記載の異常判定方法。
（付記１２）
　前記対応関係は、装置の複数の種別と、各種別の装置の安定状態における遷移状態候補群との対応関係であり、
　前記判定では、前記対応関係に含まれる各種別の項目パラメータに関して、前記監視対象装置の種別の項目パラメータとの類似度を表す類似距離を算出し、前記算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する前記遷移状態候補群を用いる、
　付記７から１１のいずれか１項に記載の異常判定方法。
（付記１３）
　監視対象装置のイベント情報を取得し、
　前記取得された監視対象装置のイベント情報に対応する遷移状態を特定し、
　装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する、
　処理を、異常判定装置に実行させる異常判定プログラム。
　以上、上述した実施形態を模範的な例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。
　この出願は、２０１６年１１月２９日に出願された日本出願特願２０１６－２３１３９４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
１　異常判定システム
１０　監視対象装置
２０　異常判定装置
２１　取得部
２２　制御部
２３　記憶部
２４　特定部
２５　判定部
２６　テーブル管理部
２７　類似距離処理部

Claims (13)

  1. 　装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係を記憶する記憶手段と、
    　監視対象装置のイベント情報を取得する取得手段と、
    　前記取得された監視対象装置のイベント情報に対応する遷移状態を特定する特定手段と、
    　前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する判定手段と、
    　を具備する異常判定装置。
  2. 　前記判定手段は、前記記憶された対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に前記特定された遷移状態が含まれるか否かに基づいて、前記監視対象装置の正常異常を判定する、
    　請求項１記載の異常判定装置。
  3. 　前記対応関係は、前記監視対象装置のイベント情報を取得するより前に、安定状態にある他の前記監視対象装置の種別と当該他の前記監視対象装置の安定状態において特定された複数の遷移状態とによって特定される、
    　請求項１又は２記載の異常判定装置。
  4. 　前記対応関係における各遷移状態候補は、遷移前の状態と遷移後の状態との組み合わせであり、
    　前記判定手段は、記憶された前記対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に、前記特定手段によって特定された現在の遷移状態と該現在の遷移状態の１つ前の遷移状態との組み合わせが含まれているか否かに基づいて、前記監視対象装置の正常異常を判定する、
    　請求項１から３のいずれか１項に記載の異常判定装置。
  5. 　前記対応関係における前記装置の種別は、前記装置の使用状態及び使用設定の少なくとも一方を含む、
    　請求項１から４のいずれか１項に記載の異常判定装置。
  6. 　前記記憶手段に記憶された前記対応関係は、装置の複数の種別と、各種別の装置の安定状態における前記遷移状態候補群との対応関係であり、
    　前記判定手段は、前記記憶された前記対応関係に含まれる各種別の項目パラメータに関して、前記監視対象装置の種別の項目パラメータとの類似度を表す類似距離を算出し、前記算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する前記遷移状態候補群を用いる、
    　請求項１から５のいずれか１項に記載の異常判定装置。
  7. 　監視対象装置のイベント情報を取得し、
    　前記取得された監視対象装置のイベント情報に対応する遷移状態を特定し、
    　装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する、
    　異常判定方法。
  8. 　前記判定では、前記対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に前記特定された遷移状態が含まれるか否かに基づいて、前記監視対象装置の正常異常を判定する、
    　請求項７記載の異常判定方法。
  9. 　前記対応関係は、前記監視対象装置のイベント情報を取得するより前に、安定状態にある他の前記監視対象装置の種別と該他の前記監視対象装置の安定状態において特定された複数の遷移状態とによって特定される、
    　請求項７又は８記載の異常判定方法。
  10. 　前記対応関係における各遷移状態候補は、遷移前の状態と遷移後の状態との組み合わせであり、
    　前記判定では、前記対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群の中に、前記特定された現在の遷移状態と該現在の遷移状態の１つ前の遷移状態との組み合わせが含まれているか否かに基づいて、前記監視対象装置の正常異常を判定する、
    　請求項７から９のいずれか１項に記載の異常判定方法。
  11. 　前記対応関係における前記装置の種別は、前記装置の使用状態及び使用設定の少なくとも一方を含む、
    　請求項７から１０のいずれか１項に記載の異常判定方法。
  12. 　前記対応関係は、装置の複数の種別と、各種別の装置の安定状態における前記遷移状態候補群との対応関係であり、
    　前記判定では、前記対応関係に含まれる各種別の項目パラメータに関して、前記監視対象装置の種別の項目パラメータとの類似度を表す類似距離を算出し、前記算出された複数の類似距離のうちで所定閾値以下であり且つ最も小さい類似距離を持つ種別に対応する前記遷移状態候補群を用いる、
    　請求項７から１１のいずれか１項に記載の異常判定方法。
  13. 　監視対象装置のイベント情報を取得する処理と、
    　前記取得された監視対象装置のイベント情報に対応する遷移状態を特定する処理と、
    　装置の種別と、該種別の装置の安定状態における遷移状態候補群との対応関係において前記監視対象装置の種別に対応付けられた前記遷移状態候補群と、前記特定された遷移状態とに基づいて、前記監視対象装置の正常異常を判定する処理と、を異常判定装置に実行させる、
    異常判定プログラムが記録された記憶媒体。
PCT/JP2017/041398 2016-11-29 2017-11-17 異常判定装置、異常判定方法、及び異常判定プログラムが記録された記憶媒体 WO2018101070A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2018553770A JP7167714B2 (ja) 2016-11-29 2017-11-17 異常判定装置、異常判定方法、及び異常判定プログラム
US16/464,555 US20210109801A1 (en) 2016-11-29 2017-11-17 Anomaly assessment device, anomaly assessment method, and storage medium whereupon anomaly assessment program is recorded

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2016231394 2016-11-29
JP2016-231394 2016-11-29

Publications (1)

Publication Number Publication Date
WO2018101070A1 true WO2018101070A1 (ja) 2018-06-07

Family

ID=62241611

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/041398 WO2018101070A1 (ja) 2016-11-29 2017-11-17 異常判定装置、異常判定方法、及び異常判定プログラムが記録された記憶媒体

Country Status (3)

Country Link
US (1) US20210109801A1 (ja)
JP (1) JP7167714B2 (ja)
WO (1) WO2018101070A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116684327A (zh) * 2023-08-03 2023-09-01 中维建技术有限公司 一种基于云计算的山林地区通信网络故障监测评估方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000341366A (ja) * 1999-06-01 2000-12-08 Mitsubishi Electric Corp 二重化監視制御システム
JP2008310683A (ja) * 2007-06-15 2008-12-25 Toshiba Corp システム分析装置、システム分析方法及びプログラム
JP2009265810A (ja) * 2008-04-23 2009-11-12 Dainippon Screen Mfg Co Ltd 状態遷移テスト支援装置、状態遷移テスト支援プログラム、および状態遷移テスト支援方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005032235A (ja) 2003-06-20 2005-02-03 Matsushita Electric Ind Co Ltd エネルギー管理システム、エネルギー管理方法及び省エネルギー推奨機器情報提供装置
JP2005115690A (ja) 2003-10-08 2005-04-28 Hitachi Home & Life Solutions Inc 通信アダプタ、家電機器及びホームネットワークシステム
JP6079243B2 (ja) 2013-01-10 2017-02-15 日本電気株式会社 障害分析支援装置、障害分析支援方法、及びプログラム
WO2015140841A1 (ja) 2014-03-20 2015-09-24 日本電気株式会社 異常を検知する情報処理装置及び異常検知方法
JP6561980B2 (ja) 2014-03-24 2019-08-21 日本電気株式会社 監視装置、監視システム、監視方法及びプログラム
JP6123139B2 (ja) 2014-08-20 2017-05-10 パナソニックＩｐマネジメント株式会社 省エネルギー化提案システム、省エネルギー化サーバ、省エネルギー化提案方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000341366A (ja) * 1999-06-01 2000-12-08 Mitsubishi Electric Corp 二重化監視制御システム
JP2008310683A (ja) * 2007-06-15 2008-12-25 Toshiba Corp システム分析装置、システム分析方法及びプログラム
JP2009265810A (ja) * 2008-04-23 2009-11-12 Dainippon Screen Mfg Co Ltd 状態遷移テスト支援装置、状態遷移テスト支援プログラム、および状態遷移テスト支援方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116684327A (zh) * 2023-08-03 2023-09-01 中维建技术有限公司 一种基于云计算的山林地区通信网络故障监测评估方法
CN116684327B (zh) * 2023-08-03 2023-10-27 中维建技术有限公司 一种基于云计算的山林地区通信网络故障监测评估方法

Also Published As

Publication number Publication date
JP7167714B2 (ja) 2022-11-09
US20210109801A1 (en) 2021-04-15
JPWO2018101070A1 (ja) 2019-10-24

Similar Documents

Publication Publication Date Title
CN110164101B (zh) 一种处理报警信息的方法及设备
US20180307832A1 (en) Information processing device, information processing method, and computer readable medium
US20170075784A1 (en) Information processing apparatus, testing system, information processing method, and computer-readable recording medium
US8892950B2 (en) Failure diagnosis method and apparatus using resource relationship map
JP2009217382A (ja) 障害分析システム、障害分析方法、障害分析サーバおよび障害分析プログラム
EP3474174A1 (en) System and method of adapting patterns of dangerous behavior of programs to the computer systems of users
JP6280862B2 (ja) イベント分析システムおよび方法
CN108762118B (zh) 一种通讯设备间的故障处理方法及装置
US9280741B2 (en) Automated alerting rules recommendation and selection
WO2018202440A1 (en) Data transmission method and apparatus
CN109074453B (zh) 入侵检测装置、入侵检测方法以及计算机能读取的存储介质
WO2018101070A1 (ja) 異常判定装置、異常判定方法、及び異常判定プログラムが記録された記憶媒体
US11003772B2 (en) System and method for adapting patterns of malicious program behavior from groups of computer systems
JP6223380B2 (ja) 中継装置及びプログラム
JP2020102671A (ja) 検知装置、検知方法、および、検知プログラム
US20180316700A1 (en) Data security inspection mechanism for serial networks
KR20220020553A (ko) 멀티 클라우드 환경에서 애플리케이션 성능 모니터링 방법 및 장치
US9690639B2 (en) Failure detecting apparatus and failure detecting method using patterns indicating occurrences of failures
JP2008021244A (ja) ソースコード修正優先度付けシステムおよびその優先度付け方法
JP2017068691A (ja) 診断プログラム、診断方法および診断装置
JP6892005B2 (ja) 情報処理装置、制御方法、及びプログラム
JP2013011987A (ja) 異常状態検知装置及び異常状態検知方法
CN110750418B (zh) 一种信息处理方法、电子设备和信息处理系统
US10862759B2 (en) Communication network determination apparatus, communication network determination method, and recording medium having communication network determination program recorded therein
JP2018011214A (ja) 演算装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17876646

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018553770

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17876646

Country of ref document: EP

Kind code of ref document: A1