WO2020003460A1 - 異常検知装置 - Google Patents

異常検知装置 Download PDF

Info

Publication number
WO2020003460A1
WO2020003460A1 PCT/JP2018/024682 JP2018024682W WO2020003460A1 WO 2020003460 A1 WO2020003460 A1 WO 2020003460A1 JP 2018024682 W JP2018024682 W JP 2018024682W WO 2020003460 A1 WO2020003460 A1 WO 2020003460A1
Authority
WO
WIPO (PCT)
Prior art keywords
abnormal
monitored data
detected
abnormality detection
monitored
Prior art date
Application number
PCT/JP2018/024682
Other languages
English (en)
French (fr)
Inventor
毅彦 溝口
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2020526823A priority Critical patent/JP7031743B2/ja
Priority to US17/255,518 priority patent/US11640459B2/en
Priority to PCT/JP2018/024682 priority patent/WO2020003460A1/ja
Publication of WO2020003460A1 publication Critical patent/WO2020003460A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/54—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by adding security routines or objects to programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2115—Third party

Definitions

  • the present invention relates to an abnormality detection device, an abnormality detection method, and a computer-readable recording medium.
  • measured values of a plurality of performance indices such as a CPU usage rate and a memory usage amount are collected as monitored data from a monitored system such as a Web server, and the collected measured values of the performance indices are collected under normal conditions.
  • the abnormal performance index is detected as an abnormal item by comparing the measured value with the measured value.
  • an abnormal system log is detected by collecting a system log from a monitored system such as a Web server as monitored data and comparing the collected system log with a normal system log. I have. Further, in Patent Document 2, in parallel with the abnormality detection based on the system log, SNS information is collected as monitored data and abnormality detection based on a negative mutter is performed. Judge that it has occurred. In Patent Document 2, by comparing the word appearance distribution of a system log in which an abnormality was detected in the past with the word appearance distribution of a system log in which an abnormality was detected this time, it is determined whether or not the failure that occurred is a silent failure. .
  • a measured value of a performance index such as a CPU usage rate or a memory usage is used as monitored data.
  • a system log is used as monitored data
  • SNS information is used as monitored data.
  • each monitored data has advantages and disadvantages.
  • abnormality detection using a system log has an advantage that it is easy to identify the cause of the abnormality.
  • system monitoring such as a plant that outputs an error log after an error has occurred in the measured value of the performance index
  • the monitored system such as a plant, detects an abnormality earlier than the error detected by the measured value of the performance index. Detection is difficult.
  • the abnormality detection based on the measured value of the performance index has an advantage that a monitored system such as a plant can detect the abnormality before the abnormality is detected by the system log, but it is difficult to identify the cause of the abnormality.
  • An object of the present invention is to provide an abnormality detection device that solves the above-mentioned problem, that is, a problem that a total judgment cannot be performed early by combining abnormalities of a plurality of monitored data.
  • An abnormality detection device includes: A first abnormality detection unit that detects abnormal first monitored data from among the plurality of first monitored data obtained from the monitored system; A second abnormality detection unit that operates in parallel with the first abnormality detection unit and detects abnormal second monitored data from among the plurality of second monitored data obtained from the monitored system; , A first storage unit that associates and stores the abnormal first monitored data and the abnormal second monitored data detected until a predetermined time elapses from a detection time of the abnormal first monitored data. Storage unit, When the abnormal first monitored data is detected, the abnormal second monitored data associated with the detected abnormal first monitored data is read from the first storage unit. A first determination unit that outputs a first abnormality detection result including the read abnormal second monitored data and the detected abnormal first monitored data.
  • An abnormality detection method includes: Detecting abnormal first monitored data from among the plurality of first monitored data obtained from the monitored system; In parallel with the detection of the abnormal first monitored data, an abnormal second monitored data is detected from the plurality of second monitored data obtained from the monitored system, When the abnormal first monitored data is detected, the abnormality detected until a predetermined time elapses from the detection time of the abnormal first monitored data and the abnormal first monitored data. Reading out the abnormal second monitored data associated with the detected abnormal first monitored data from the first storage unit that stores the abnormal second monitored data in association with the second monitored data; A first abnormality detection result including the read abnormal second monitored data and the detected abnormal first monitored data is output.
  • a computer-readable recording medium Computer A first abnormality detection unit that detects abnormal first monitored data from among the plurality of first monitored data obtained from the monitored system; A second abnormality detection unit that operates in parallel with the first abnormality detection unit and detects abnormal second monitored data from among the plurality of second monitored data obtained from the monitored system; , A first storage unit that associates and stores the abnormal first monitored data and the abnormal second monitored data detected until a predetermined time elapses from a detection time of the abnormal first monitored data. Storage unit, When the abnormal first monitored data is detected, the abnormal second monitored data associated with the detected abnormal first monitored data is read from the first storage unit. A first determination unit that outputs a first abnormality detection result including the read abnormal second monitored data and the detected abnormal first monitored data, And record the program that will function.
  • FIG. 2 is a block diagram of the abnormality detection device according to the first embodiment of the present invention.
  • FIG. 4 is a conceptual diagram illustrating an operation of a first learning unit in the abnormality detection device according to the first embodiment of the present invention.
  • FIG. 3 is a diagram illustrating an example of the content of a first model in the abnormality detection device according to the first embodiment of the present invention.
  • FIG. 4 is a diagram illustrating an example of data stored in a storage unit in the abnormality detection device according to the first embodiment of the present invention.
  • 5 is a flowchart illustrating a processing example of a determination unit in the abnormality detection device according to the first embodiment of the present invention. It is a block diagram of an abnormality detection device concerning a 2nd embodiment of the present invention.
  • FIG. 4 is a conceptual diagram illustrating an operation of a first learning unit in the abnormality detection device according to the first embodiment of the present invention.
  • FIG. 3 is a diagram illustrating an example of the content of a first model in the abnormality
  • FIG. 13 is a diagram illustrating an example of data stored in a storage unit in the abnormality detection device according to the second embodiment of the present invention.
  • 13 is a flowchart illustrating a processing example of a determination unit in the abnormality detection device according to the second embodiment of the present invention.
  • It is a block diagram of an abnormality detection device concerning a 3rd embodiment of the present invention.
  • It is a flowchart which shows the example of a process of the 1st determination part in the abnormality detection apparatus which concerns on 3rd Embodiment of this invention.
  • It is a flowchart which shows the example of a process of the 2nd determination part in the abnormality detection apparatus which concerns on 3rd Embodiment of this invention.
  • It is a block diagram of an abnormality detection device concerning a 3rd embodiment of the present invention.
  • FIG. 2 is a diagram illustrating a configuration example of an information processing device that realizes the abnormality detection device according to the present invention.
  • FIG. 1 is a block diagram of an abnormality detection device 100 according to the first embodiment of the present invention.
  • the abnormality detection device 100 is connected to a monitored system 200 through a wired or wireless communication path or network.
  • the monitored system 200 is a system to be subjected to abnormality detection.
  • a plant system or the like in which an abnormality log is first output after an abnormality has occurred in a sensor measurement value is set as the monitored system 200.
  • the plant system include a power plant, a chemical plant, a water treatment plant, and an oil plant.
  • the monitored system 200 includes a plurality of devices 201.
  • the device 201 is, for example, plant equipment such as a boiler, a turbine, a power generator, and a control computer.
  • the monitored system 200 is not limited to a plant system.
  • the device 201 includes a sensor 202 that measures a measurement value of each measurement item of the device 201.
  • the measurement items of the sensor 202 are, for example, temperature, pressure, flow rate, and the like.
  • the sensor 202 outputs sensor data 210.
  • the sensor data 210 includes, for example, a sensor ID for uniquely identifying the sensor 202, a measurement value of a measurement item, and a time stamp indicating a measurement time.
  • the measurement item is also called a performance index.
  • the measurement value of the measurement item is also called performance information.
  • the device 201 further includes a log recording unit 203 that outputs log data 211 in a text format.
  • the log data 211 includes, for example, a text message indicating the operation status and operation history of the device 201, and a time stamp indicating the collection time.
  • the log data is also called a text log or event information.
  • the abnormality detection device 100 is a device that detects an abnormality of the monitored system 200.
  • the abnormality detection device 100 is configured to detect an abnormality of the monitored system 200 based on the sensor data 210 of the sensor 202 and the log data 211 of the log recording unit 203.
  • the abnormality detection device 100 includes a collection unit 101, a first learning unit 102, a second learning unit 103, a first model 104, a second model 105, a first abnormality detection unit 106, A second abnormality detection unit 107, a determination unit 108, a storage unit 109, and an output unit 110 are provided.
  • the collecting unit 101 is configured to periodically collect the sensor data 210 from the monitored system 200. For example, the collection unit 101 collects the sensor data 210 for each sensor 202, for example, every minute. Data in which the measured values in the sensor data 210 of the sensor 202 collected periodically are arranged in time series is referred to as time-series data of the sensor 202. Time-series data exists for each sensor 202. The collection unit 101 also collects log data 211 from the monitored system 200 in real time. The collection unit 101 is configured to supply the collected sensor data 210 to the first learning unit 102 and the first abnormality detection unit 106. The collection unit 101 is configured to supply the collected log data 211 to the second learning unit 103 and the second abnormality detection unit 107.
  • the first learning unit 102 determines, based on the sensor data 210 supplied from the collection unit 101, an invariant correlation existing between the time-series data of the sensor data 210. (Variant) is automatically extracted.
  • the time series data of the sensor data during normal operation is also called normal time series data.
  • the first learning unit 102 is configured to express the extracted correlation with a mathematical expression, and store model data including the mathematical expression as the first model 104.
  • This formula defines the measured value y of one sensor data as a function of the measured value X of the other sensor data.
  • the order of the function f (X) and the constant term are determined so that the value of the measurement value y can be accurately obtained from the value of the measurement value X.
  • the formula is also called a prediction formula.
  • FIG. 2 is a conceptual diagram illustrating the operation of the first learning unit 102.
  • the vertical axis of the graph in the figure is the measured value of the sensor, and the horizontal axis is the time.
  • FIG. 3 shows an example of the contents of the first model 104.
  • the first model 104 has a plurality of entries, each storing model data.
  • the first abnormality detection unit 106 detects whether an invariant correlation existing between the time-series data of the sensor data 210 supplied from the collection unit 101 has been destroyed during the operation of the monitored system 200. It is configured as follows. Specifically, the first abnormality detection unit 106 performs the following processing for each model data registered in the first model 104.
  • the first abnormality detection unit 106 substitutes a measured value X of the sensor of the first sensor ID obtained by actually measuring into a mathematical expression to obtain a measured value y of the sensor of the second sensor ID. calculate.
  • the first abnormality detection unit 106 compares the calculated value of y with the measured value of the sensor of the second sensor ID obtained by actually measuring, and calculates the amount of deviation between the two.
  • the first abnormality detection unit 106 compares the calculated shift amount with a threshold value, determines that the correlation is broken if the shift amount is equal to or greater than the threshold value, and determines that the correlation is broken if the shift amount is less than the threshold value. It is determined that the correlation has not been destroyed.
  • the first abnormality detection result includes, for example, a pair of a sensor ID whose correlation has been destroyed (a first sensor ID and a second sensor ID), a time at which the correlation has been destroyed, and time-series data of both sensors. Contains.
  • the second learning unit 103 extracts a log pattern from the log data 211 supplied from the collection unit 101 during normal operation of the monitored system 200, and stores the extracted log pattern as the second model 105. It is configured as follows. Log data during normal operation is also called normal log data or normal text log.
  • the log pattern is, for example, a pattern such as a log format (format) or a range (variable type, value range) that a variable portion can take.
  • the log pattern is also called a log feature.
  • the second abnormality detection unit 107 extracts a log pattern from the log data 211 supplied from the collection unit 101 during operation of the monitored system 200, and stores the extracted log pattern and the extracted log pattern in the second model 105. It is configured to compare with a log pattern. In addition, the second abnormality detection unit 107 determines whether the log pattern extracted from the log data 211 supplied from the collection unit 101 during the operation of the monitored system 200 is any of the logs stored in the second model 105. When the pattern does not match, a second abnormality detection result including the log data 211 as abnormality log data is output to the determination unit 108.
  • the storage unit 109 includes a pair of sensor IDs detected as abnormal by the first abnormality detection unit 106 (ID pairs of two sensors in which destruction of invariant correlation between time-series data is detected), The detection time and the log data (abnormal log data) detected as abnormal by the second abnormality detection unit 107 until a certain time has elapsed from the detection time are stored in association with each other. .
  • the storage unit 109 is referred to and updated by the determination unit 108. No significant data is recorded in the storage unit 109 in the initial state.
  • FIG. 4 shows an example of data stored in the storage unit 109.
  • the determination unit 108 is configured to generate a third abnormality detection result by making a comprehensive determination based on the detection results of the first abnormality detection unit 106 and the second abnormality detection unit 107. .
  • FIG. 5 is a flowchart showing an example of the processing of the determination unit 108.
  • the determination unit 108 first determines whether a first abnormality detection result has been received from the first abnormality detection unit 106 (step S1).
  • the determination unit 108 receives the first abnormality detection result (YES in step S1)
  • the abnormality log data related to the pair of the sensor ID in the first abnormality detection result is stored in the storage unit 109. It is checked whether or not it has been performed (step S2). If the related abnormality log data is stored in the storage unit 109 (YES in step S2), the determination unit 108 reads the related abnormality log data from the storage unit 109 as the abnormality log data expected to occur in the future ( Step S3).
  • the determination unit 108 creates a third abnormality detection result including the first abnormality detection result and the abnormality log data expected to occur in the future, transmits the third abnormality detection result to the output unit 110, and requests output thereof (step S4). Then, the determining unit 108 returns to Step S1, and repeats the same processing as the above-described processing.
  • the determination unit 108 creates a third abnormality detection result including the first abnormality detection result and outputs the third abnormality detection result to the output unit 110. And request output thereof (step S5).
  • the determination unit 108 registers the sensor ID pair and the detection time in the first abnormality detection result in the storage unit 109 (Step S6). Specifically, in step S6, the determination unit 108 stores the pair of the sensor ID in the first abnormality detection result in the column of the sensor ID pair and the column of the detection time of one empty entry in the storage unit 109. The time is registered, and the column of abnormality log data is set to a NULL value. Then, the determining unit 108 returns to Step S1, and repeats the same processing as the above-described processing.
  • the determining unit 108 determines whether a second abnormality detection result has been received from the second abnormality detecting unit 107 (step S7). Next, if the second abnormality detection result has not been received (NO in step S7), the determination unit 108 returns to step S1 and repeats the same processing as the above-described processing. On the other hand, if the determination unit 108 receives the second abnormality detection result (YES in step S7), the determination unit 108 creates a third abnormality detection result including the second abnormality detection result and transmits the third abnormality detection result to the output unit 110, The output is requested (step S8).
  • the determination unit 108 checks whether or not a pair of sensor IDs having a detection time after a time that is a predetermined time before the collection time of the abnormality log data as the second abnormality detection result is stored in the storage unit 109. (Step S9). Next, if such a pair of sensor IDs is stored in the storage unit 109 (YES in step S9), the determination unit 108 associates the abnormality log data as the second abnormality detection result with the pair of sensor IDs. Registration in the storage unit 109 (step S10). Specifically, the abnormal log data is recorded in the column of the abnormal log data of the entry for recording the pair of the sensor ID. Then, the determining unit 108 returns to Step S1, and repeats the same processing as the above-described processing. When the determination unit 108 determines that the corresponding sensor ID pair is not stored in the storage unit 109 in step S9, it skips step S10, returns to step S1, and repeats the same processing as the processing described above.
  • the output unit 110 is configured to display the third abnormality detection result received from the determination unit 108 on a screen of a display device and / or transmit the third abnormality detection result received from the determination unit 108 to an external terminal device in response to a request from the determination unit 108. I have.
  • the abnormality detection device 100 includes a communication interface unit 1001, an operation input unit 1002 such as a keyboard and a mouse, a screen display unit 1003 such as a liquid crystal display, and a storage unit 1004 such as a memory and a hard disk.
  • An information processing apparatus 1000 such as a personal computer having an arithmetic processing unit 1005 such as one or more microprocessors and a program 1100 can be realized.
  • the program 1100 is read from the external computer-readable storage medium into the storage unit 1004 when the information processing apparatus 1000 is started up, and is collected on the arithmetic processing unit 1005 by controlling the operation of the arithmetic processing unit 1005.
  • the unit 109 and the output unit 110 are realized.
  • the operation of the abnormality detection device 100 is roughly classified into an operation at the time of learning and an operation at the time of abnormality detection.
  • the abnormality detection device 100 learns the first model 104 and the second model 105 during normal operation of the monitored system 200. Specifically, the abnormality detection device 100 performs the following operation.
  • the collection unit 101 periodically collects the sensor data 210 from the monitored system 200 and supplies the collected sensor data 210 to the first learning unit 102. Further, the collection unit 101 collects log data 211 from the monitored system 200 and supplies the collected log data 211 to the second learning unit 103.
  • the first learning unit 102 extracts an invariant correlation existing between the time-series data of the sensor data 210 based on the sensor data 210 supplied from the collection unit 101, and formulas expressing the extracted correlation.
  • the model data including the pair of the sensor ID and the sensor ID is registered in the first model 104.
  • the second learning unit 103 extracts a log pattern from the log data 211 supplied from the collection unit 101, and registers the extracted log pattern in the second model 105.
  • the abnormality detection device 100 detects an abnormality of the monitored system 200 using the first model 104 and the second model 105 that have been learned. Specifically, the abnormality detection device 100 performs the following operation.
  • the collection unit 101 periodically collects the sensor data 210 from the monitored system 200 and supplies the collected sensor data 210 to the first abnormality detection unit 106.
  • the collection unit 101 also collects log data 211 from the monitored system 200 and supplies the collected log data 211 to the second abnormality detection unit 107.
  • the first abnormality detection unit 106 determines, for each pair of sensor IDs registered in the first model 104, an invariant correlation existing between the time-series data of the sensor data 210 supplied from the collection unit 101 (i. Variant) is destroyed.
  • the first abnormality detection unit 106 detects the sensor ID pair whose correlation has been destroyed, the first abnormality detection unit 106 compares the sensor ID pair whose correlation has been destroyed, the time at which the correlation destruction was detected, and the time-series data of both sensors.
  • the first abnormality detection result is output to the determination unit 108.
  • the second abnormality detection unit 107 extracts a log pattern from the log data 211 supplied from the collection unit 101, and determines whether the extracted log pattern is stored in the second model 105. It is determined whether or not the log data 211 is abnormal log data.
  • the second abnormality detection unit 107 outputs a second abnormality detection result including the abnormality log data to the determination unit 108.
  • the determination unit 108 generates a third abnormality detection result by making a comprehensive determination based on the detection results of the first abnormality detection unit 106 and the second abnormality detection unit 107, and outputs the third abnormality detection result through the output unit 110.
  • the abnormality detection result of No. 3 is output.
  • the determination unit 108 upon receiving a first abnormality detection result including a pair of sensor IDs whose invariant correlation has been destroyed from the first abnormality detection unit 106, stores abnormality log data related to the pair of sensor IDs. Is not stored in the storage unit 109, a third abnormality detection result including the pair of sensor IDs whose invariant correlation has been destroyed and the destruction time is generated, output through the output unit 110, and The ID pair and the destruction time are registered in the storage unit 109.
  • the first abnormality detection unit 106 detects a pair of sensor IDs whose invariant correlation has been destroyed, and the associated abnormality log data is not stored in the storage unit 109, By generating and outputting the third abnormality detection result promptly without waiting for the occurrence of abnormal log data, unknown abnormality can be detected early.
  • the abnormality log data detected within a certain period thereafter is associated with the unknown abnormality.
  • the data can be stored in the storage unit 109.
  • the determination unit 108 upon receiving the abnormality log data from the second abnormality detection unit 107, stores in the storage unit 109 a pair of sensor IDs having detection times after a time that is a predetermined time before the collection time of the abnormality log data. If it is stored, the abnormality log data is registered in the storage unit 109 in association with the sensor ID pair. Further, by generating and outputting an abnormality detection result including the detected abnormality log data, the system administrator can specify the cause of the unknown abnormality detected early. That is, an unknown abnormality can be detected early and a cause log can be specified.
  • the determination unit 108 may display an abnormality log related to the pair of sensor IDs.
  • a third abnormality detection result including the stored abnormality log data as abnormality log data expected to occur in the future is generated and output through the output unit 110.
  • the system administrator can make a comprehensive judgment at an early stage by combining the actually detected abnormal sensor data and the foreseeable abnormal log data. This enables early recovery and avoidance of a failure in the monitored system.
  • FIG. 6 is a block diagram of an abnormality detection device 300 according to the second embodiment of the present invention.
  • the abnormality detection device 300 is connected to the monitored system 400 through a wired or wireless communication path or network.
  • the monitored system 400 is a system to be subjected to abnormality detection.
  • an abnormality log is first output, and then an abnormality occurs in the measurement value of the sensor.
  • a system or the like is referred to as a monitored system 400. That is, the monitored system 400 is a system in which, for example, when a network error occurs, an abnormality log is output, and thereafter, the correlation is destroyed due to an increase in traffic.
  • the monitored system 400 includes a plurality of devices 401.
  • the device 401 is an information processing device such as various server devices, a network switch, and a personal computer.
  • the device 401 includes a sensor 402 that measures the state of each part of the device 401.
  • the sensor 402 is, for example, a sensor that measures a CPU usage rate, a sensor that measures a memory usage amount, a sensor that measures the number of received and transmitted packets, a sensor that measures a network load, a sensor that measures the number of tasks waiting to be processed, and the like. It is.
  • the sensor 402 outputs sensor data 410.
  • the sensor data 410 includes, for example, a sensor ID for uniquely identifying the sensor 402, a measurement value such as a CPU usage rate, and a time stamp indicating a measurement time.
  • the device 401 also includes a log recording unit 403 that outputs log data 411 in text format.
  • the log data 411 includes, for example, a text message indicating the operation status and operation history of the device 401, and a time stamp indicating the collection time.
  • the abnormality detection device 300 is a device that detects an abnormality of the monitored system 400.
  • the abnormality detection device 300 is configured to detect an abnormality of the monitored system 400 based on the sensor data 410 of the sensor 402 and the log data 411 of the log recording unit 403.
  • the abnormality detection device 300 includes a collection unit 301, a first learning unit 302, a second learning unit 303, a first model 304, a second model 305, a first abnormality detection unit 306, A second abnormality detection unit 307, a determination unit 308, a storage unit 309, and an output unit 310 are provided.
  • the output unit 310 includes the collection unit 101, the first learning unit 102, the second learning unit 103, the first model 104, the second model 105, and the first abnormality of the abnormality detection device 100 illustrated in FIG. This is the same as the detection unit 106, the second abnormality detection unit 107, and the output unit 110.
  • the storage unit 309 stores the log data (abnormal log data) detected as abnormal by the second abnormality detecting unit 307 and the first abnormality detecting unit until a certain time elapses from the collection time of the abnormal log data.
  • a pair of sensor IDs detected as abnormal in 306 (ID pairs of two sensors in which the destruction of the invariant correlation between the time-series data is detected) and the detection times are stored in association with each other. ing.
  • the storage unit 309 is referred to and updated by the determination unit 308. No significant data is recorded in the storage unit 309 in the initial state.
  • FIG. 7 shows an example of data stored in the storage unit 309.
  • the storage unit 309 has a plurality of entries. Each entry includes abnormality log data, a pattern of the abnormality log data, a collection time of the abnormality log data, a pair of a sensor ID, and a detection time.
  • the pattern PX is a pattern of the log data X, and is the same as the pattern extracted from the log data X by the second abnormality detection unit 307 for abnormality detection.
  • the collection time t 11 is the same as the collection time represented by the time stamp included in the log data X.
  • the determination unit 308 is configured to generate a third abnormality detection result by making a comprehensive determination based on the detection results of the first abnormality detection unit 306 and the second abnormality detection unit 307. .
  • FIG. 8 is a flowchart illustrating an example of the processing of the determination unit 308.
  • the determination unit 308 first determines whether a second abnormality detection result has been received from the second abnormality detection unit 307 (step S21).
  • the storage unit 309 stores the sensor ID pair associated with the abnormality log data that is the second abnormality detection result. It is checked whether or not it has been performed (step S22).
  • the determination unit 308 stores, for example, the same abnormality log data as the contents of the abnormality log data except for the collection time.
  • determination unit 308 It is checked whether an entry exists in the storage unit 309 and a sensor ID pair is stored in the entry. Alternatively, the determination unit 308 checks whether or not an entry storing the same pattern as the log pattern extracted from the abnormal log data exists in the storage unit 309, and a sensor ID pair is stored in the entry. You may do so. If the pair of related sensor IDs is stored in storage unit 309 (YES in step S22), determination unit 308 sets the pair of related sensor IDs as the pair of sensor IDs in which correlation destruction is expected to occur in the future. It is read from the storage unit 309 (step S23).
  • the determination unit 308 creates a third abnormality detection result including the abnormality log data, which is the second abnormality detection result, and a pair of a sensor ID predicted to cause a correlation destruction in the future, and transmits the third abnormality detection result to the output unit 310. Is requested (step S24).
  • the determining unit 308 predicts the time at which correlation destruction occurs based on the time difference between the detection time and the collection time stored in the storage unit 309 together with the sensor ID pair, and sets the predicted time at the third time. It may be included in the abnormality detection result.
  • Time t 31 + ⁇ t is set as the expected time. Then, the determining unit 308 returns to step S21 and repeats the same processing as the above-described processing.
  • the determination unit 308 creates a third abnormality detection result including the second abnormality detection result and outputs the third abnormality detection result.
  • the request is transmitted to the server 310 (step S25).
  • the determination unit 308 registers the abnormality log data in the second abnormality detection result, its pattern, and its collection time in the storage unit 309 (Step S26). Specifically, in step S26, the determination unit 308 stores the abnormality log data in the second abnormality detection result, the pattern of the abnormality log data in the second abnormality detection result, and the pattern of the abnormality log data of one empty entry in the storage unit 309. And the collection time are registered, and the columns of the sensor ID pair and the detection time are set to NULL values. Then, the determining unit 308 returns to step S21 and repeats the same processing as the above-described processing.
  • the determination unit 308 determines whether the first abnormality detection result has been received from the first abnormality detection unit 306 (step S27). Next, if the first abnormality detection result has not been received (NO in step S27), the determination unit 308 returns to step S21 and repeats the same processing as the above-described processing. On the other hand, when the determination unit 308 receives the first abnormality detection result (YES in step S27), the determination unit 308 creates a third abnormality detection result including the first abnormality detection result and transmits the third abnormality detection result to the output unit 310, The output is requested (step S28).
  • the determination unit 308 checks whether or not abnormality log data having a collection time after a time that is a predetermined time before the detection time of the first abnormality detection result is stored in the storage unit 309 (step S29). Next, if such abnormality log data is stored in the storage unit 309 (YES in step S29), the determination unit 308 determines the first abnormality detection result, which is the sensor ID pair whose correlation has been destroyed, and its detection. The time is registered in the storage unit 309 in association with the abnormality log data (step S30). Specifically, the sensor ID pair whose correlation has been destroyed and the detection time are recorded in the columns of the sensor ID pair and the detection time of the entry that records the abnormal log data.
  • the determining unit 308 returns to step S21 and repeats the same processing as the above-described processing.
  • the determining unit 308 determines in step S29 that the corresponding abnormality log data is not stored in the storage unit 309, it skips step S30, returns to step S21, and repeats the same processing as the processing described above.
  • the abnormality detection device 300 can be realized by the information processing device 1000 and the program 1100 as shown in FIG.
  • the program 1100 is read from the external computer-readable storage medium into the storage unit 1004 when the information processing apparatus 1000 is started up, and is collected on the arithmetic processing unit 1005 by controlling the operation of the arithmetic processing unit 1005.
  • the unit 309 and the output unit 310 are realized.
  • the operation of the abnormality detection device 300 is roughly divided into an operation at the time of learning and an operation at the time of abnormality detection.
  • the operation at the time of learning is the same as the operation at the time of learning of the abnormality detection device 100 according to the first embodiment shown in FIG.
  • the operation at the time of abnormality detection is the same as the operation at the time of abnormality detection of the abnormality detection device 100 according to the first embodiment shown in FIG.
  • the operation of the determination unit 308 when an abnormality is detected will be described.
  • the determination unit 308 generates a third abnormality detection result by making a comprehensive determination based on the detection results of the first abnormality detection unit 306 and the second abnormality detection unit 307, and outputs the third abnormality detection result through the output unit 310.
  • the abnormality detection result of No. 3 is output.
  • the determination unit 308 when receiving the second abnormality detection result including the abnormality log data from the second abnormality detection unit 307, the determination unit 308 does not store the sensor ID pair related to the abnormality log data in the storage unit 309. At this time, a third abnormality detection result including the abnormality log data is generated and output through the output unit 310, and the abnormality log data, its pattern, and its collection time are registered in the storage unit 309. As described above, when the abnormality log data is detected by the second abnormality detection unit 307, when the related sensor ID pair is not stored in the storage unit 309, the correlation destruction by the related sensor ID pair is performed. By quickly generating and outputting the third abnormality detection result without waiting for the occurrence of the abnormality, early detection and output of an unknown abnormality can be performed.
  • the sensor that has destroyed the correlation detected within a certain period of time thereafter The ID pair can be stored in the storage unit 309 in association with the unknown abnormality. That is, when the determination unit 308 receives the pair of the sensor ID whose correlation has been destroyed and the detection time from the first abnormality detection unit 306, the abnormality log data having a collection time after a time that is a predetermined time before the detection time is received. If it is stored in the storage unit 309, the sensor ID pair and the detection time are registered in the storage unit 309 in association with the abnormality log data.
  • the storage unit 309 stores the sensor ID pair related to the abnormality log data. If it is, a third abnormality detection result including the stored pair of sensor IDs as a pair of sensor IDs in which the destruction of correlation is likely to occur in the future is generated and output through the output unit 310. Thus, if a known abnormality is detected, a pair of sensor IDs in which the correlation is destroyed can be output before the correlation is actually destroyed. As a result, in the case of a known abnormality, the system administrator can perform a comprehensive judgment at an early stage by combining the abnormalities of a plurality of monitored data in the sensor data 410 and the log data 411.
  • FIG. 9 is a block diagram of an abnormality detection device 500 according to the third embodiment of the present invention.
  • the abnormality detection device 500 is connected to the monitored system 600 via a wired or wireless communication path or a network.
  • the monitored system 600 is a system to be subjected to abnormality detection.
  • a system such as a plant system in which an abnormality log is first output after an abnormality has occurred in a sensor measurement value, and when an abnormality occurs, first, an abnormality log is output, and then a sensor is output.
  • a system in which an IT system, an ITC system, and an IoT system in which an abnormality occurs in the measurement value of the above is mixed is referred to as a monitored system 600.
  • the monitored system 600 includes a plurality of devices 601.
  • the device 601 is, for example, plant equipment such as a boiler, a turbine, a power generation device, and a control computer, and various information processing devices such as various server devices, network switches, and personal computers.
  • the device 601 includes a sensor 602 that measures the state of each part of the device 601.
  • the sensor 602 includes, for example, a temperature sensor, a pressure sensor, a flow rate sensor, a sensor that measures a CPU usage rate, a sensor that measures a memory usage, a sensor that measures the number of received packets and transmitted packets, a sensor that measures a network load, It is a sensor that measures the number of tasks waiting to be processed.
  • the sensor 602 outputs sensor data 610.
  • the sensor data 610 includes, for example, a sensor ID for uniquely identifying the sensor 602, a measured value such as a temperature or a CPU usage rate, and a time stamp indicating a measurement time.
  • the device 601 also includes a log recording unit 603 that outputs log data 611 in a text format.
  • the log data 611 includes, for example, a text message indicating the operation status and operation history of the device 601, and a time stamp indicating the collection time.
  • the abnormality detection device 500 is a device that detects an abnormality of the monitored system 600.
  • the abnormality detection device 500 is configured to detect an abnormality of the monitored system 600 based on the sensor data 610 of the sensor 602 and the log data 611 of the log recording unit 603.
  • the abnormality detection device 500 includes a collection unit 501, a first learning unit 502, a second learning unit 503, a first model 504, a second model 505, a first abnormality detection unit 506, A second abnormality detection unit 507, a first determination unit 508-1, a second determination unit 508-2, a first storage unit 509-1, a second storage unit 509-2, and an output 510.
  • the first storage unit 509-1 and the output unit 510 include the collection unit 101, the first learning unit 102, the second learning unit 103, the first model 104, and the first model 104 of the abnormality detection device 100 illustrated in FIG.
  • the second model 105, the first abnormality detection unit 106, the second abnormality detection unit 107, the storage unit 109, and the output unit 110 are the same.
  • the second storage unit 509-2 is the same as the storage unit 309 of the abnormality detection device 300 shown in FIG.
  • the first determination unit 508-1 and the second determination unit 508-2 make a comprehensive determination based on the detection results of the first abnormality detection unit 506 and the second abnormality detection unit 507, and 3 is configured to generate the abnormality detection result.
  • FIG. 10 is a flowchart illustrating an example of a process of the first determination unit 508-1.
  • the processing illustrated in FIG. 10 is different from the processing of the determination unit 108 illustrated in FIG. 5 in that a step corresponding to step S8 is omitted, and the other processing is the same as the processing of the determination unit 108. . That is, steps S41 to S47 and S49 to S50 in FIG. 10 are the same as steps S1 to S7 and S9 to S10 in FIG.
  • FIG. 11 is a flowchart illustrating an example of a process of the second determination unit 508-2.
  • the processing illustrated in FIG. 11 is different from the processing of the determination unit 308 illustrated in FIG. 8 in that a step corresponding to step S28 is omitted, and the other processing is the same as the processing of the determination unit 308. . That is, steps S61 to S67 and S69 to S70 in FIG. 10 are the same as steps S21 to S27 and S29 to S30 in FIG.
  • the abnormality detection device 500 can be realized by the information processing device 1000 and the program 1100 as shown in FIG.
  • the program 1100 is read from the external computer-readable storage medium into the storage unit 1004 when the information processing apparatus 1000 is started up, and is collected on the arithmetic processing unit 1005 by controlling the operation of the arithmetic processing unit 1005.
  • Unit 501, first learning unit 502, second learning unit 503, first model 504, second model 505, first abnormality detection unit 506, second abnormality detection unit 507, first determination unit 508-1, the second determination unit 508-2, the first storage unit 509-1, the second storage unit 509-2, and the output unit 510 are realized.
  • the operation of the abnormality detection device 500 is roughly divided into an operation at the time of learning and an operation at the time of abnormality detection.
  • the operation at the time of learning is the same as the operation at the time of learning of the abnormality detection device 100 according to the first embodiment shown in FIG. Except for the operations of the first determination unit 508-1 and the second determination unit 508-2, the operation at the time of abnormality detection is performed by the abnormality detection device 100 according to the first embodiment shown in FIG. Operation is the same.
  • operations of the first determination unit 508-1 and the second determination unit 508-2 at the time of abnormality detection will be described.
  • the operation of the first determination unit 508-1 at the time of detecting an abnormality differs from the operation of the determination unit 108 at the time of detecting an abnormality in that the operation corresponding to step S8 is omitted.
  • the operation is the same as the operation of the determination unit 108 at the time of detection. Therefore, the first determination unit 508-1 performs, for example, the following operation.
  • the first determination unit 508-1 receives a first abnormality detection result including a pair of sensor IDs whose invariant correlation has been destroyed from the first abnormality detection unit 506 (YES in step S41)
  • the abnormality log data related to the pair of sensor IDs is not stored in the first storage unit 509-1 (NO in step S42)
  • the pair of sensor IDs whose invariant correlation has been destroyed and the detection time Is generated and output through the output unit 110 step S45
  • the sensor ID pair and the detection time are registered in the first storage unit 509-1 (step S46).
  • the first abnormality detection unit 506 detects a pair of sensor IDs whose invariant correlation has been destroyed, the associated abnormality log data is stored in the first storage unit 509-1.
  • the third abnormality detection result is quickly generated and output without waiting for the generation of the relevant abnormality log data, thereby enabling early detection and output of an unknown abnormality.
  • the sensor ID pair and the detection time are registered in the first storage unit 509-1 as described above, so that the abnormality log data detected within a certain period thereafter can be stored in the first storage unit 509-1.
  • the first abnormality can be stored in the first storage unit 509-1 in association with an unknown abnormality.
  • the first determination unit 508-1 receives the abnormality log data from the second abnormality detection unit 507 (YES in step S47), the destruction time after the time that is a fixed time before the collection time of the abnormality log data Is stored in the first storage unit 509-1 (YES in step S49), the abnormality log data is associated with the sensor ID pair and stored in the first storage unit 509-1. (Step S50).
  • the first determination unit 508-1 receives the first abnormality detection result including the sensor ID pair whose invariant correlation has been destroyed from the first abnormality detection unit 506 (YES in step S41). If the abnormality log data related to the pair of sensor IDs is stored in the first storage unit 509-1 (YES in step S42), it is expected that the stored abnormality log data will be generated in the future. A third abnormality detection result including the abnormality log data is generated and output through the output unit 510 (steps S43 to S44). With this, if it is a known abnormality, it is possible to output abnormality log data that is expected to occur before the abnormality log data is actually detected. Therefore, if it is a known abnormality, the system administrator can perform a comprehensive judgment at an early stage by combining the abnormalities of a plurality of monitored data of the sensor data 610 and the log data 611.
  • the operation of the second determining unit 508-2 at the time of detecting an abnormality is different from the operation of the determining unit 308 at the time of detecting an abnormality, in that the operation corresponding to step S28 is omitted.
  • the operation is the same as the operation of the determination unit 308 at the time of detection. Therefore, the second determination unit 508-2 performs, for example, the following operation.
  • the second determination unit 508-2 receives the second abnormality detection result including the abnormality log data from the second abnormality detection unit 507 (YES in step S61)
  • the sensor ID associated with the abnormality log data Is not stored in the second storage unit 509-2 (NO in step S62)
  • a third abnormality detection result including the abnormality log data is generated and output through the output unit 510 (step S62).
  • S65 register the abnormality log data, its pattern, and its collection time in the second storage unit 509-2 (step S66).
  • the related sensor ID By quickly generating and outputting the third abnormality detection result without waiting for the occurrence of correlation destruction by the pair, it is possible to detect and output an unknown abnormality early.
  • the correlation detected within a certain period thereafter can be obtained.
  • the pair of destroyed sensor IDs can be stored in the second storage unit 509-2 in association with the unknown abnormality.
  • the second determination unit 508-2 receives the pair of the sensor ID whose correlation has been destroyed and the detection time from the first abnormality detection unit 506 (YES in step S67), the second determination unit 508-2 has a predetermined time before the detection time. If the abnormality log data having the collection time after the time is stored in the second storage unit 509-2 (YES in step S69), the sensor ID pair and the detection time are associated with the abnormality log data and stored in the second storage unit 509-2. 2 is registered in the storage unit 509-2 (step S70).
  • the second determination unit 508-2 receives the second abnormality detection result including the abnormality log data from the second abnormality detection unit 507 (YES in step 61)
  • the sensor associated with the abnormality log data If the ID pair is stored in the storage unit 509 (step S62), the third abnormality detection includes the stored sensor ID pair as the sensor ID pair in which the destruction of the correlation may occur in the future.
  • the result is generated and output through the output unit 510 (steps S63 to S64).
  • a pair of sensor IDs in which the correlation is destroyed can be output before the correlation is actually destroyed.
  • the system administrator can perform a comprehensive judgment at an early stage by combining the abnormalities of a plurality of monitored data in the sensor data 610 and the log data 611.
  • FIG. 12 is a block diagram of an abnormality detection device 700 according to the fourth embodiment of the present invention.
  • the abnormality detection device 700 is connected to the monitored system 800 via a wired or wireless communication path or network.
  • the monitored system 800 is a system to be subjected to abnormality detection. From the monitored system 800, a plurality of first monitored data and a plurality of second monitored data can be taken out. One of the first monitored data and the second monitored data includes, for example, a measurement value for a performance index, and the other includes, for example, a text log. Further, when an abnormality occurs in the system, the monitored system 800 first causes an abnormality in any of the plurality of first monitored data, and then causes an abnormality in any of the plurality of second monitored data. System.
  • the abnormality detection device 700 is configured to acquire a plurality of first monitored data and a plurality of second monitored data from the monitored system 800, and detect an abnormality of the monitored system 800 based on the first data and the second monitored data. I have.
  • the abnormality detection device 700 includes a first abnormality detection unit 701, a second abnormality detection unit 702, a first storage unit 703, and a first determination unit 704.
  • the first abnormality detection unit 701 is configured to detect abnormal first monitored data from among a plurality of first monitored data obtained from the monitored system 800.
  • the first abnormality detection unit 701 can be configured, for example, similarly to the first abnormality detection unit 106 in FIG. 1, but is not limited thereto.
  • the second abnormality detection unit 702 is configured to operate in parallel with the first abnormality detection unit 701. Further, the second abnormality detection unit 702 is configured to detect abnormal second monitored data from among the plurality of second monitored data obtained from the monitored system 800.
  • the second abnormality detection unit 702 can be configured, for example, similarly to the second abnormality detection unit 107 in FIG. 1, but is not limited thereto.
  • the first storage unit 703 stores the abnormal first monitored data and the abnormal second monitored data detected until a predetermined time elapses from the detection time of the abnormal first monitored data. It is configured to be stored in association with.
  • the first determination unit 704 determines the abnormal second monitored data associated with the detected abnormal first monitored data as the first abnormal data. It is configured to read from the storage unit 703. The first determination unit 704 is configured to output a first abnormality detection result including the read abnormal second monitored data and the detected abnormal first monitored data. .
  • the thus configured abnormality detection device 700 functions as follows. That is, the first abnormality detection unit 701 detects abnormal first monitored data from the plurality of first monitored data obtained from the monitored system 800. Also, the second abnormality detection unit 702 is configured to output a plurality of second monitored data obtained from the monitored system 800 in parallel with the detection of the abnormal first monitored data by the first abnormality detection unit 701. , The abnormal second monitored data is detected. When the abnormal first monitored data is detected, the first determination unit 704 reads the abnormal second monitored data associated with the detected abnormal first monitored data from the first storage unit 703. And outputs a first abnormality detection result including the read abnormal second monitored data and the detected abnormal first monitored data.
  • the first determination unit 704 of the abnormality detection device 700 reads the detected abnormal first data from the first storage unit 703.
  • the abnormal second monitored data associated with the monitored data is read out as the abnormal second monitored data expected to occur in the future, and the read abnormal second monitored data and the abnormal second monitored data are read out.
  • a first abnormality detection result including the detected abnormal first monitored data is output. Therefore, the system operator or the like, based on the first abnormality detection result, expects the abnormal first monitored data and the future occurrence before the abnormal second monitored data is actually detected. A comprehensive judgment can be made at an early stage by combining the second monitored data.
  • a measured value of a performance index measured by a sensor and a text log recorded by a log recording unit are used as the first monitored data and the second monitored data.
  • the monitored data used in the present invention is not limited to the above.
  • SNS information may be used as monitored data.
  • Each entry of the storage unit 109 shown in FIG. 4 may have a column in which an action to be performed by the system administrator is described.
  • the determination unit 108 simultaneously reads the action from the entry, and in step S4, the first abnormality detection result and the future occurrence May be generated and a request for an output may be generated.
  • each entry of the storage unit 309 illustrated in FIG. 7 may have a column in which an action to be performed by the system administrator is described. In this case, when reading out the sensor ID pair for which correlation destruction is predicted from the entry in the storage unit 309 in step S23 of FIG.
  • the determination unit 308 reads out the above-described actions simultaneously from the entry, and in step S24, the second It is also possible to generate a third abnormality detection result including the above-mentioned action and a pair of the sensor ID for which the correlation detection is expected and the abnormality detection result of the above, and request the output.
  • the detection of the abnormality of the measurement value of the performance index may be performed by a method other than the method of detecting the destruction of the invariant correlation existing between the time-series data of the measurement values. For example, for each individual performance index, the range of values that the measured value can take in a normal state is learned, and the presence or absence of an abnormality in the measured value of the individual performance index is detected based on whether or not the value exceeds the learned value range. You may do so.
  • the detection of the abnormal log may be performed by a method other than the method based on the log pattern.
  • a method may be used in which it is checked whether or not a predetermined character string or symbol string is included in a log, and if the character string or symbol string is included, the log is detected as an abnormal log.
  • the present invention can be used for monitoring a monitored system such as a plant system or an ICT system, and analyzing a failure.
  • a first abnormality detection unit that detects abnormal first monitored data from among the plurality of first monitored data obtained from the monitored system;
  • a second abnormality detection unit that operates in parallel with the first abnormality detection unit and detects abnormal second monitored data from among the plurality of second monitored data obtained from the monitored system;
  • a first storage unit that associates and stores the abnormal first monitored data and the abnormal second monitored data detected until a predetermined time elapses from a detection time of the abnormal first monitored data.
  • Storage unit When the abnormal first monitored data is detected, the abnormal second monitored data associated with the detected abnormal first monitored data is read from the first storage unit.
  • a first determination unit that outputs a first abnormality detection result including the read abnormal second monitored data and the detected abnormal first monitored data.
  • the first determining unit is configured to detect the abnormal second monitored data associated with the detected abnormal first monitored data. Is not stored in the first storage unit, the detected abnormal first monitored data is stored in the first storage unit, and the abnormal first monitored data is detected from the detected time. When the abnormal second monitored data is detected before a predetermined time elapses, the detected abnormal second monitored data is associated with the stored abnormal first monitored data. Stored in the first storage unit.
  • the abnormality detection device according to supplementary note 1.
  • the first determining unit is configured to detect the abnormal second monitored data associated with the detected abnormal first monitored data. Outputting a second abnormality detection result including the detected abnormal first monitored data when is not stored in the first storage unit;
  • the abnormality detection device according to Supplementary Note 1 or 2.
  • a second storage unit that associates and stores the abnormal second monitored data and the abnormal first monitored data detected until a predetermined time elapses from a detection time of the abnormal second monitored data. Storage unit, When the abnormal second monitored data is detected, the abnormal first monitored data associated with the detected abnormal second monitored data is read from the second storage unit. And a second determination unit that outputs a third abnormality detection result including the read abnormal first monitored data and the detected abnormal second monitored data.
  • An abnormality detection device according to any one of claims 1 to 3.
  • the second determining unit is configured to detect the abnormal first monitored data associated with the detected abnormal second monitored data. Is not stored in the second storage unit, the detected abnormal second monitored data is stored in the second storage unit, and from the detection time of the abnormal second monitored data, When the abnormal first monitored data is detected before a predetermined time elapses, the detected abnormal first monitored data is associated with the stored abnormal second monitored data. Stored in the second storage unit.
  • the abnormality detection device according to supplementary note 4.
  • the second determining unit is configured to detect the abnormal first monitored data associated with the detected abnormal second monitored data.
  • the abnormality detection device includes measured values of a plurality of performance indicators obtained from a plurality of devices configuring the monitored system, and the plurality of second monitored data includes the monitored data. Including multiple text logs obtained from multiple devices configuring the system, 7. The abnormality detection device according to any one of supplementary notes 1 to 6.
  • the plurality of first monitored data includes a plurality of text logs acquired from a plurality of devices configuring the monitored system, and the plurality of second monitored data configures the monitored system.
  • the abnormality detection device according to any one of supplementary notes 1 to 6.
  • Appendix 9 Detecting abnormal first monitored data from among the plurality of first monitored data obtained from the monitored system; In parallel with the detection of the abnormal first monitored data, an abnormal second monitored data is detected from the plurality of second monitored data obtained from the monitored system, When the abnormal first monitored data is detected, the abnormality detected until a predetermined time elapses from the detection time of the abnormal first monitored data and the abnormal first monitored data.
  • the abnormal first monitored data is detected, the abnormal second monitored data associated with the detected abnormal first monitored data is stored in the first storage unit. If it is not stored, the detected abnormal first monitored data is stored in the first storage unit, and the detected abnormal first monitored data is stored until a predetermined time elapses from the detection time of the abnormal first monitored data.
  • the detected abnormal second monitored data is associated with the stored abnormal first monitored data and is stored in the first storage unit.
  • An abnormality detection method according to supplementary note 9.
  • the abnormal second monitored data associated with the detected abnormal first monitored data is stored in the first storage unit. If not stored, outputting a second abnormality detection result including the detected abnormal first monitored data;
  • An abnormality detection method according to supplementary note 9 or 10.
  • the abnormal second monitored data is detected, the abnormality detected until a predetermined time elapses from the detection time of the abnormal second monitored data and the abnormal second monitored data.
  • the detected abnormal first monitored data is associated with the stored abnormal second monitored data and stored in the second storage unit.
  • An abnormality detection method according to supplementary note 12.
  • the abnormal second monitored data is detected, the abnormal first monitored data associated with the detected abnormal second monitored data is stored in the second storage unit. If not, outputting a fourth abnormality detection result including the detected abnormal second monitored data; An abnormality detection method according to supplementary note 12 or 13.
  • the plurality of first monitored data includes measurement values of a plurality of performance indicators obtained from a plurality of devices configuring the monitored system, and the plurality of second monitored data includes the monitored data.
  • the plurality of first monitored data includes a plurality of text logs acquired from a plurality of devices configuring the monitored system, and the plurality of second monitored data configures the monitored system. Including measurement values for a plurality of performance indicators obtained from a plurality of devices, An abnormality detection method according to any one of supplementary notes 9 to 14.
  • a first abnormality detection unit that detects abnormal first monitored data from among the plurality of first monitored data obtained from the monitored system;
  • a second abnormality detection unit that operates in parallel with the first abnormality detection unit and detects abnormal second monitored data from a plurality of second monitored data obtained from the monitored system;
  • a first memory that associates and stores the abnormal first monitored data and the abnormal second monitored data detected until a predetermined time elapses from a detection time of the abnormal first monitored data.
  • Storage unit When the abnormal first monitored data is detected, the abnormal second monitored data associated with the detected abnormal first monitored data is read from the first storage unit.
  • a first determination unit that outputs a first abnormality detection result including the read abnormal second monitored data and the detected abnormal first monitored data,
  • a computer-readable recording medium that records a program that functions as a computer.
  • Time-series data 300 of the sensor with ID 6; abnormality detection device 301; collection unit 302; first learning unit 303; second learning unit 304; 05 second model 306 first abnormality detection unit 307 second abnormality detection unit 308 determination unit 309 storage unit 310 output unit 400 monitored system 401 device 402 sensor 403 log recording unit 410 sensor data 411 log data 500 anomaly detection device 501 collection unit 502 first learning unit 503 second learning unit 504 first model 505 second model 506 first abnormality detection Unit 507 second abnormality detection unit 508-1 first determination unit 508-2 second determination unit 509-1 first storage unit 509-2 second storage unit 510 output unit 600 ... Monitored system 601 ... Device 602 ... Sensor 603 ... Log recording unit 610 ...

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Quality & Reliability (AREA)
  • Testing And Monitoring For Control Systems (AREA)
  • Debugging And Monitoring (AREA)

Abstract

第１の異常検知部は、被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知する。第２の異常検知部は、第１の異常検知部と並行して動作し、被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知する。第１の記憶部は、異常な第１の被監視データと異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された異常な第２の被監視データとを関連付けて記憶する。第１の判定部は、異常な第１の被監視データが検知されたとき、その異常な第１の被監視データに関連付けられている異常な第２の被監視データを第１の記憶部から読み出し、読み出した異常な第２の被監視データと検知された異常な第１の被監視データとを含む第１の異常検知結果を出力する。

Description

異常検知装置
　本発明は、異常検知装置、異常検知方法、およびコンピュータ読み取り可能な記録媒体に関する。
　各種の設備やシステムで異常が発生した場合、発生した異常を速やかに検知することが重要である。そのための異常検知方法が各種提案されている。
　例えば、特許文献１では、Ｗｅｂサーバ等の被監視システムからＣＰＵ使用率、メモリ使用量などの複数の性能指標の計測値を被監視データとして収集し、この収集した性能指標の計測値を正常時の計測値と比較することにより、異常な性能指標を異常項目として検知している。
　また、特許文献２では、Ｗｅｂサーバ等の被監視システムからシステムログを被監視データとして収集し、この収集したシステムログを正常時のシステムログと比較することにより、異常なシステムログを検知している。また特許文献２では、システムログに基づく異常検知と並行して、ＳＮＳ情報を被監視データとして収集してネガティブな呟きに基づく異常検知を行い、双方の被監視データで異常があれば、障害が発生したと判断する。そして、特許文献２では、過去に異常検知したシステムログの単語出現分布と今回異常検知したシステムログの単語出現分布とを比較することにより、発生した障害がサイレント障害か否かを判定している。
ＷＯ２０１１／０８３６８７号公報 特開２０１５－２８７００号公報
　上述したように、被監視システムの異常を検知するために利用する被監視データは、各種のものがある。例えば特許文献１では、ＣＰＵ使用率、メモリ使用量などの性能指標の計測値を被監視データとして利用している。また、例えば特許文献２では、システムログを被監視データとし、さらにＳＮＳ情報を被監視データとして利用している。そして、一般に被監視データのそれぞれには一長一短がある。例えば、システムログによる異常検知は、異常の原因を特定するのが容易であるという長所がある。しかし、システムログによる異常検知は、性能指標の計測値に異常が生じた後に異常ログが出力されるプラントなどの被監視システムでは、性能指標の計測値による異常検知と比較して、異常の早期検知は困難である。一方、性能指標の計測値による異常検知は、プラントなどの被監視システムではシステムログによる異常検知が行われる以前に異常を検知できる利点があるが、異常の原因を特定するのは困難である。
　以上のことから、被監視システムで発生した異常を総合的に判断するためには、種類の異なる複数の被監視データの異常を検知することが望ましい。しかし、上述したプラントなどの被監視システムに見られるように、複数の被監視データのそれぞれに異常が検知されるタイミングはずれている。即ち、プラントなどの被監視システムでは、先ず性能指標の計測値に異常が検知され、その後しばらくしてからシステムログに異常が検知される。そのため、特許文献２に記載されるように複数の被監視データの異常を単に検知する構成では、異常が発生してから複数の被監視データの異常が出揃うまでに長時間を要する。その結果、複数の被監視データの異常を組み合わせて早期に総合的な判断を実施することは困難になる。
　本発明の目的は、上述した課題、すなわち、複数の被監視データの異常を組み合わせ早期に総合的な判断を実施できない、という課題を解決する異常検知装置を提供することにある。
　本発明の一形態に係る異常検知装置は、
　被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知する第１の異常検知部と、
　前記第１の異常検知部と並行して動作し、前記被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知する第２の異常検知部と、
　前記異常な第１の被監視データと前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第２の被監視データとを関連付けて記憶する第１の記憶部と、
　前記異常な第１の被監視データが検知されたとき、該検知した前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データを前記第１の記憶部から読み出し、該読み出した前記異常な第２の被監視データと前記検知された前記異常な第１の被監視データとを含む第１の異常検知結果を出力する第１の判定部と、を備える。
　また本発明の他の形態に係る異常検知方法は、
　被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知し、
　前記異常な第１の被監視データの検知と並行して、前記被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知し、
　前記異常な第１の被監視データが検知されたとき、前記異常な第１の被監視データと前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第２の被監視データとを関連付けて記憶する第１の記憶部から、前記検知した前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データを読み出し、該読み出した前記異常な第２の被監視データと前記検知された前記異常な第１の被監視データとを含む第１の異常検知結果を出力する。
　また本発明の他の形態に係るコンピュータ読み取り可能な記録媒体は、
　コンピュータを、
　被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知する第１の異常検知部と、
　前記第１の異常検知部と並行して動作し、前記被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知する第２の異常検知部と、
　前記異常な第１の被監視データと前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第２の被監視データとを関連付けて記憶する第１の記憶部と、
　前記異常な第１の被監視データが検知されたとき、該検知した前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データを前記第１の記憶部から読み出し、該読み出した前記異常な第２の被監視データと前記検知された前記異常な第１の被監視データとを含む第１の異常検知結果を出力する第１の判定部と、
して機能させるプログラムを記録する。
　本発明は、上述した構成を有することにより、複数の被監視データの異常を組み合わせて早期に総合的な判断を実施することができる。
本発明の第１の実施の形態に係る異常検知装置のブロック図である。 本発明の第１の実施の形態に係る異常検知装置における第１の学習部の動作を説明する概念図である。 本発明の第１の実施の形態に係る異常検知装置における第１のモデルの内容例を示す図である。 本発明の第１の実施の形態に係る異常検知装置における記憶部に記憶されているデータ例を示す図である。 本発明の第１の実施の形態に係る異常検知装置における判定部の処理例を示すフローチャートである。 本発明の第２の実施の形態に係る異常検知装置のブロック図である。 本発明の第２の実施の形態に係る異常検知装置における記憶部に記憶されているデータ例を示す図である。 本発明の第２の実施の形態に係る異常検知装置における判定部の処理例を示すフローチャートである。 本発明の第３の実施の形態に係る異常検知装置のブロック図である。 本発明の第３の実施の形態に係る異常検知装置における第１の判定部の処理例を示すフローチャートである。 本発明の第３の実施の形態に係る異常検知装置における第２の判定部の処理例を示すフローチャートである。 本発明の第３の実施の形態に係る異常検知装置のブロック図である。 本発明に係る異常検知装置を実現する情報処理装置の構成例を示す図である。
　次に本発明の実施の形態について図面を参照して詳細に説明する。
［第１の実施の形態］
　図１は、本発明の第１の実施の形態に係る異常検知装置１００のブロック図である。図１を参照すると、異常検知装置１００は、有線または無線による通信路あるいはネットワークを通じて被監視システム２００に接続されている。
　被監視システム２００は、異常検知の対象となるシステムである。本実施の形態では、異常が起きると、先ずセンサの計測値に異常が生じた後に異常ログが出力されるプラントシステムなどを被監視システム２００とする。プラントシステムとしては、例えば発電プラント、化学プラント、水処理プラント、石油プラントなどが例示できる。被監視システム２００は、複数の装置２０１から構成される。被監視システム２００がプラントシステムの場合、装置２０１は、例えば、ボイラ、タービン、発電装置、制御コンピュータなどのプラント設備である。但し、被監視システム２００は、プラントシステムに限定されない。
　装置２０１は、装置２０１の各計測項目の計測値を計測するセンサ２０２を備えている。センサ２０２の計測項目は、例えば、温度、圧力、流量などである。センサ２０２は、センサデータ２１０を出力する。センサデータ２１０は、例えば、センサ２０２を一意に識別するセンサＩＤと、計測項目の計測値と、計測時刻を示すタイムスタンプとを含んでいる。計測項目は、性能指標とも呼ばれる。計測項目の計測値は、性能情報とも呼ばれる。
　また、装置２０１は、テキスト形式のログデータ２１１を出力するログ記録部２０３を備えている。ログデータ２１１は、例えば、装置２０１の稼働状況や操作履歴を表すテキストメッセージと、採取時刻を示すタイムスタンプとを含んでいる。ログデータは、テキストログ、イベント情報とも呼ばれる。
　異常検知装置１００は、被監視システム２００の異常を検知する装置である。異常検知装置１００は、センサ２０２のセンサデータ２１０およびログ記録部２０３のログデータ２１１に基づいて、被監視システム２００の異常を検知するように構成されている。異常検知装置１００は、収集部１０１と、第１の学習部１０２と、第２の学習部１０３と、第１のモデル１０４と、第２のモデル１０５と、第１の異常検知部１０６と、第２の異常検知部１０７と、判定部１０８と、記憶部１０９と、出力部１１０とを備えている。
　収集部１０１は、被監視システム２００からセンサデータ２１０を定期的に収集するように構成されている。例えば、収集部１０１は、センサ２０２毎に、センサデータ２１０を例えば１分毎に収集する。定期的に収集されたセンサ２０２のセンサデータ２１０における計測値を時系列に並べたデータは、当該センサ２０２の時系列データと呼ばれる。時系列データは、センサ２０２毎に存在する。また、収集部１０１は、被監視システム２００からログデータ２１１をリアルタイムに収集する。収集部１０１は、収集したセンサデータ２１０を第１の学習部１０２および第１の異常検知部１０６へ供給するように構成されている。また、収集部１０１は、収集したログデータ２１１を第２の学習部１０３および第２の異常検知部１０７へ供給するように構成されている。
　第１の学習部１０２は、被監視システム２００の正常運用中に、収集部１０１から供給されるセンサデータ２１０に基づいて、センサデータ２１０の時系列データ間に存在する不変的な相関関係（インバリアント）を自動的に抽出するように構成されている。正常運用中のセンサデータの時系列データは、正常時系列データとも呼ばれる。また、第１の学習部１０２は、抽出した相関関係を数式で表現し、当該数式を含むモデルデータを第１のモデル１０４として記憶するように構成されている。相関関数を表現する数式は、例えば、ｙ＝ｆ（Ｘ）の形式とすることができる。この数式は、一方のセンサデータの計測値ｙを他方のセンサデータの計測値Ｘの関数として定義している。関数ｆ（Ｘ）の次数や定数項は、計測値Ｘの値から計測値ｙの値が精度良く求まるように決定される。数式は、予測式とも呼ばれる。
　図２は、第１の学習部１０２の動作を説明する概念図である。図中のグラフの縦軸は、センサの計測値、横軸は時間である。上段の２つのグラフは、左側がセンサＩＤ＝１のセンサの時系列データ２２１を示し、右側がセンサＩＤ＝２のセンサの時系列データ２２２を示している。両者は常に連動していて相関関係を数式で表現できるため、第１の学習部１０２は、これら２つの時系列データ２２１、２２２から、ｙ2＝ｆ1(Ｘ1)なる数式を含むモデルデータを作成する。数式中のＸの添え字“１”とｙの添え字“２”は、センサＩＤを表している。即ち、Ｘ1はセンサＩＤ＝１のセンサの計測値、ｙ2はセンサＩＤ＝２のセンサの計測値である。また、中段の２つのグラフは、左側がセンサＩＤ＝３のセンサの時系列データ２２３を示し、右側がセンサＩＤ＝４のセンサの時系列データ２２４を示している。両者は常に連動していないため、第１の学習部１０２は、これら２つの時系列データ２２３、２２４からはモデルデータを作成しない。下段の２つのグラフは、左側がセンサＩＤ＝５のセンサの時系列データ２２５を示し、右側がセンサＩＤ＝６のセンサの時系列データ２２６を示している。両者は常に連動していて相関関係を数式で表現できるため、第１の学習部１０２は、これら２つの時系列データ２２５、２２６から、ｙ6＝ｆ2(Ｘ5)なる数式を含むモデルデータを作成する。
　図３は、第１のモデル１０４の内容の一例を示す。第１のモデル１０４は、それぞれがモデルデータを格納する複数のエントリを有する。モデルデータは、第１のセンサＩＤ、第２のセンサＩＤ、および、数式から構成される。例えば、１行目のエントリには、第１のセンサＩＤ＝１、第２のセンサＩＤ＝２、第１のセンサＩＤのセンサの計測値Ｘ1と第２のセンサＩＤのセンサの計測値ｙ2とに存在する不変的な相関関係を表す数式：ｙ2＝ｆ1(Ｘ1)から構成されるモデルデータが記憶されている。
　第１の異常検知部１０６は、被監視システム２００の運用中に、収集部１０１から供給されるセンサデータ２１０の時系列データ間に存在する不変的な相関関係が破壊されたか否かを検知するように構成されている。具体的には、第１の異常検知部１０６は、第１のモデル１０４に登録されたモデルデータ毎に、以下の処理を行う。
　まず、第１の異常検知部１０６は、実際に測定して得られた第１のセンサＩＤのセンサの測定値Ｘを、数式に代入して、第２のセンサＩＤのセンサの測定値ｙを算出する。次に、第１の異常検知部１０６は、算出したｙの値と実際に測定して得られた第２のセンサＩＤのセンサの測定値とを比較して、両者のずれ量を算出する。次に、第１の異常検知部１０６は、算出したずれ量を閾値と比較し、ずれ量が閾値以上であれば、相関関係が破壊されていると判断し、ずれ量が閾値未満であれば、相関関係が破壊されていないと判断する。第１の異常検知部１０６は、相関関係が破壊されたと判断した場合、第１の異常検知結果を判定部１０８に出力する。第１の異常検知結果は、例えば、相関関係が破壊されたセンサＩＤのペア（第１のセンサＩＤと第２のセンサＩＤ）、相関関係の破壊を検知した時刻、両センサの時系列データを含んでいる。
　例えば、図３の１行目のエントリに記憶されたモデルデータの場合、第１の異常検知部１０６は、センサＩＤ＝１のセンサの測定値Ｘ1を関数ｆ1(Ｘ1)に代入して、センサＩＤ＝２のセンサの測定値ｙ2を算出する。次に、第１の異常検知部１０６は、算出したｙ2の値と実際に測定して得られたセンサＩＤ＝２のセンサの測定値ｙとを比較して、両者のずれ量Δを算出する。次に、第１の異常検知部１０６は、ずれ量Δを閾値ＴＨと比較し、ずれ量Δが閾値ＴＨ以上であれば、相関関係が破壊されていると判断し、ずれ量Δが閾値ＴＨ未満であれば、相関関係が破壊されていないと判断する。第１の異常検知部１０６は、相関関係が破壊されたと判断した場合、センサＩＤ＝１、ＩＤ＝２のペア、相関関係の破壊を検知した時刻ｔ、両センサの時系列データを含む第１の異常検知結果を判定部１０８に出力する。
　第２の学習部１０３は、被監視システム２００の正常運用中に、収集部１０１から供給されるログデータ２１１からログのパターンを抽出し、抽出したログのパターンを第２のモデル１０５として記憶するように構成されている。正常運用中のログデータは、正常ログデータ、正常テキストログとも呼ばれる。ログのパターンは、例えば、ログの形式（フォーマット）や可変部の取り得る範囲（変数の種類、値の範囲）といったパターンである。ログのパターンは、ログの特徴量とも呼ばれる。
　第２の異常検知部１０７は、被監視システム２００の運用中に、収集部１０１から供給されるログデータ２１１からログのパターンを抽出し、抽出したログのパターンと第２のモデル１０５に記憶されたログのパターンとを比較するように構成されている。また、第２の異常検知部１０７は、被監視システム２００の運用中に収集部１０１から供給されるログデータ２１１から抽出したログのパターンが、第２のモデル１０５に記憶された何れのログのパターンとも一致しない場合、当該ログデータ２１１を異常ログデータとして含む第２の異常検知結果を判定部１０８へ出力するように構成されている。
　記憶部１０９は、第１の異常検知部１０６において異常であると検知されたセンサＩＤのペア（時系列データ間の不変的な相関関係の破壊が検知された２つのセンサのＩＤペア）と、その検知時刻と、当該検知時刻から一定時間が経過するまでに第２の異常検知部１０７において異常であると検知されたログデータ（異常ログデータ）とを関連付けて記憶するように構成されている。記憶部１０９は、判定部１０８から参照および更新される。初期状態の記憶部１０９には、有意なデータは記録されていない。
　図４は、記憶部１０９に記憶されているデータの例を示す。記憶部１０９は、複数のエントリを有する。それぞれのエントリは、センサＩＤのペアと、検知時刻と、異常ログデータとから構成される。例えば、１行目のエントリには、センサＩＤ＝１、ＩＤ＝２のペアおよび検知時刻ｔ1に対応付けて、ログデータＡが記録されている。
　判定部１０８は、第１の異常検知部１０６および第２の異常検知部１０７の検知結果に基づいて総合的な判断を行うことにより、第３の異常検知結果を生成するように構成されている。
　図５は、判定部１０８の処理の一例を示すフローチャートである。図５を参照すると、判定部１０８は、先ず第１の異常検知部１０６から第１の異常検知結果を受信したか否かを判定する（ステップＳ１）。次に判定部１０８は、第１の異常検知結果を受信した場合（ステップＳ１でＹＥＳ）、当該第１の異常検知結果中のセンサＩＤのペアに関連する異常ログデータが記憶部１０９に記憶されているか否かを調べる（ステップＳ２）。判定部１０８は、関連する異常ログデータが記憶部１０９に記憶されていたならば（ステップＳ２でＹＥＳ）、関連する異常ログデータを将来発生すると予想される異常ログデータとして記憶部１０９から読み出す（ステップＳ３）。次に判定部１０８は、第１の異常検知結果と将来発生すると予想した上記異常ログデータとを含む第３の異常検知結果を作成して出力部１１０に伝達し、その出力を依頼する（ステップＳ４）。そして、判定部１０８は、ステップＳ１に戻り、上述した処理と同様の処理を繰り返す。
　また、判定部１０８は、関連する異常ログデータが記憶部１０９に記憶されていなければ（ステップＳ２でＮＯ）、第１の異常検知結果を含む第３の異常検知結果を作成して出力部１１０に伝達し、その出力を依頼する（ステップＳ５）。次に判定部１０８は、第１の異常検知結果中のセンサＩＤのペアと検知時刻とを記憶部１０９に登録する（ステップＳ６）。具体的には、ステップＳ６では、判定部１０８は、記憶部１０９の１つの空きエントリのセンサＩＤのペアの欄と検知時刻の欄に、第１の異常検知結果中のセンサＩＤのペアと検知時刻を登録し、異常ログデータの欄はＮＵＬＬ値としておく。そして、判定部１０８は、ステップＳ１に戻り、上述した処理と同様の処理を繰り返す。
　また、判定部１０８は、第２の異常検知部１０７から第２の異常検知結果を受信したか否かを判定する（ステップＳ７）。次に判定部１０８は、第２の異常検知結果を受信していなければ（ステップＳ７でＮＯ）、ステップＳ１に戻って、上述した処理と同様の処理を繰り返す。一方、判定部１０８は、第２の異常検知結果を受信したならば（ステップＳ７でＹＥＳ）、第２の異常検知結果を含む第３の異常検知結果を作成して出力部１１０に伝達し、その出力を依頼する（ステップＳ８）。次に判定部１０８は、第２の異常検知結果である異常ログデータの採取時刻より一定時間前の時刻以降の検知時刻を有するセンサＩＤのペアが記憶部１０９に記憶されているか否かを調べる（ステップＳ９）。次に判定部１０８は、そのようなセンサＩＤのペアが記憶部１０９に記憶されていれば（ステップＳ９でＹＥＳ）、第２の異常検知結果である異常ログデータを当該センサＩＤのペアに関連付けて記憶部１０９に登録する（ステップＳ１０）。具体的には、当該センサＩＤのペアを記録するエントリの異常ログデータの欄に当該異常ログデータを記録する。そして、判定部１０８は、ステップＳ１に戻り、上述した処理と同様の処理を繰り返す。判定部１０８は、ステップＳ９において該当するセンサＩＤのペアが記憶部１０９に記憶されていないと判断したとき、ステップＳ１０をスキップしてステップＳ１に戻り、上述した処理と同様の処理を繰り返す。
　出力部１１０は、判定部１０８からの依頼に従い、判定部１０８から受け取った第３の異常検知結果を表示装置の画面に表示し、または／および、外部の端末装置へ送信するように構成されている。
　異常検知装置１００は、例えば図１３に示すように、通信インタフェース部１００１と、キーボードやマウスなどの操作入力部１００２と、液晶ディスプレイ等の画面表示部１００３と、メモリやハードディスク等の記憶部１００４と、１以上のマイクロプロセッサ等の演算処理部１００５とを有するパーソナルコンピュータ等の情報処理装置１０００と、プログラム１１００とで実現することができる。プログラム１１００は、情報処理装置１０００の立ち上げ時等に外部のコンピュータ読み取り可能な記憶媒体から記憶部１００４に読み込まれ、演算処理部１００５の動作を制御することにより、演算処理部１００５上に、収集部１０１、第１の学習部１０２、第２の学習部１０３、第１のモデル１０４、第２のモデル１０５、第１の異常検知部１０６、第２の異常検知部１０７、判定部１０８、記憶部１０９、出力部１１０を実現する。
　次に本実施形態に係る異常検知装置１００の動作を説明する。異常検知装置１００の動作は、学習時の動作と異常検知時の動作とに大別される。
＜学習時の動作＞
　異常検知装置１００は、被監視システム２００の正常運用中に第１のモデル１０４および第２のモデル１０５を学習する。具体的には、異常検知装置１００は、以下のような動作を行う。
　収集部１０１は、被監視システム２００からセンサデータ２１０を定期的に収集し、収集したセンサデータ２１０を第１の学習部１０２へ供給する。また、収集部１０１は、被監視システム２００からログデータ２１１を収集し、収集したログデータ２１１を第２の学習部１０３へ供給する。
　第１の学習部１０２は、収集部１０１から供給されるセンサデータ２１０に基づいて、センサデータ２１０の時系列データ間に存在する不変的な相関関係を抽出し、抽出した相関関係を表現する数式とセンサＩＤのペアとを含むモデルデータを第１のモデル１０４に登録する。また、第２の学習部１０３は、収集部１０１から供給されるログデータ２１１からログのパターンを抽出し、抽出したログのパターンを第２のモデル１０５に登録する。
＜異常検知時の動作＞
　異常検知装置１００は、上記学習した第１のモデル１０４および第２のモデル１０５を使用して、被監視システム２００の異常を検知する。具体的には、異常検知装置１００は、以下のような動作を行う。
　収集部１０１は、被監視システム２００からセンサデータ２１０を定期的に収集し、収集したセンサデータ２１０を第１の異常検知部１０６へ供給する。また、収集部１０１は、被監視システム２００からログデータ２１１を収集し、収集したログデータ２１１を第２の異常検知部１０７へ供給する。
　第１の異常検知部１０６は、第１のモデル１０４に登録されたセンサＩＤのペア毎に、収集部１０１から供給されるセンサデータ２１０の時系列データ間に存在する不変的な相関関係（インバリアント）が破壊されたか否かを検知する。第１の異常検知部１０６は、相関関係が破壊されたセンサＩＤのペアを検知すると、相関関係が破壊されたセンサＩＤのペア、相関関係の破壊を検知した時刻、両センサの時系列データを含む第１の異常検知結果を判定部１０８へ出力する。
　また第２の異常検知部１０７は、収集部１０１から供給されるログデータ２１１からログのパターンを抽出し、抽出したログのパターンが第２のモデル１０５に記憶されているか否かを判定することにより、当該ログデータ２１１が異常ログデータか否かを判定する。第２の異常検知部１０７は、異常ログデータを検知すると、当該異常ログデータを含む第２の異常検知結果を判定部１０８へ出力する。
　判定部１０８は、第１の異常検知部１０６および第２の異常検知部１０７の検知結果に基づいて総合的な判断を行うことにより、第３の異常検知結果を生成し、出力部１１０を通じて第３の異常検知結果を出力する。
　例えば、判定部１０８は、第１の異常検知部１０６から不変的な相関関係が破壊したセンサＩＤのペアを含む第１の異常検知結果を受信すると、当該センサＩＤのペアに関連する異常ログデータが記憶部１０９に記憶されていないときは、不変的な相関関係が破壊したセンサＩＤのペア、その破壊時刻を含む第３の異常検知結果を生成し、出力部１１０を通じて出力すると共に、上記センサＩＤのペアおよび破壊時刻を記憶部１０９に登録する。このように、第１の異常検知部１０６で不変的な相関関係が破壊されたセンサＩＤのペアが検知されたときに、関連する異常ログデータが記憶部１０９に記憶されていないときは、関連する異常ログデータの発生を待つことなく速やかに第３の異常検知結果を生成して出力することにより、未知の異常の早期検知が可能になる。また、未知の異常の検知時に上記のようにセンサＩＤのペアおよび検知時刻を記憶部１０９に登録しておくことにより、その後の一定時間内に検知された異常ログデータを上記未知の異常に関連付けて記憶部１０９に記憶することができるようになる。即ち、判定部１０８は、第２の異常検知部１０７から異常ログデータを受信すると、当該異常ログデータの採取時刻より一定時間前の時刻以降の検知時刻を有するセンサＩＤのペアが記憶部１０９に記憶されているならば、上記異常ログデータを上記センサＩＤのペアに関連付けて記憶部１０９に登録する。さらに、上記検知された異常ログデータを含む異常検知結果を生成して出力することにより、システム管理者は、早期検知した未知の異常の原因を特定することができる。即ち、未知の異常は早期検知および原因ログの特定をすることができる。
　また例えば、判定部１０８は、第１の異常検知部１０６から不変的な相関関係が破壊したセンサＩＤのペアを含む第１の異常検知結果を受信すると、当該センサＩＤのペアに関連する異常ログデータが記憶部１０９に記憶されているときは、記憶されている異常ログデータを将来発生することが予想される異常ログデータとして含む第３の異常検知結果を生成し、出力部１１０を通じて出力する。これにより、既知の異常に関しては、異常ログデータが実際に検知されるより前に、発生が予想される異常ログデータを予見してシステム管理者に出力することができる。即ち、原因を異常ログの出現前に予見することができる。従って、システム管理者は、実際に検知された異常センサデータと予見された異常ログデータとを組み合わせて早期に総合的な判断を実施することができる。これにより、被監視システムの障害の早期復旧や回避が可能になる。
［第２の実施の形態］
　図６は、本発明の第２の実施の形態に係る異常検知装置３００のブロック図である。図６を参照すると、異常検知装置３００は、有線または無線による通信路あるいはネットワークを通じて被監視システム４００に接続されている。
　被監視システム４００は、異常検知の対象となるシステムである。本実施の形態では、異常が起きると、先ず異常ログが出力された後、センサの計測値に異常が生じるＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ）システム、ＩＴＣ（Ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ）システム、ＩｏＴ（Ｉｎｔｅｒｎｅｔ　ｏｆ　Ｔｈｉｎｇｓ）システムなどを被監視システム４００とする。即ち、被監視システム４００は、例えば、ネットワークエラーが発生すると、異常ログが出力され、その後にトラフィック増加による相関破壊が生じるようなシステムである。被監視システム４００は、複数の装置４０１から構成される。装置４０１は、例えば、各種のサーバ装置、ネットワークスイッチ、パーソナルコンピュータなどの情報処理装置である。
　装置４０１は、装置４０１の各部の状態を計測するセンサ４０２を備えている。センサ４０２は、例えば、ＣＰＵ使用率を計測するセンサ、メモリ使用量を計測するセンサ、受信パケット数や送信パケット数を計測するセンサ、ネットワーク負荷を計測するセンサ、処理待ちタスク数を計測するセンサなどである。センサ４０２は、センサデータ４１０を出力する。センサデータ４１０は、例えば、センサ４０２を一意に識別するセンサＩＤと、ＣＰＵ使用率などの計測値と、計測時刻を示すタイムスタンプとを含んでいる。
　また、装置４０１は、テキスト形式のログデータ４１１を出力するログ記録部４０３を備えている。ログデータ４１１は、例えば、装置４０１の稼働状況や操作履歴を表すテキストメッセージと、採取時刻を示すタイムスタンプとを含んでいる。
　異常検知装置３００は、被監視システム４００の異常を検知する装置である。異常検知装置３００は、センサ４０２のセンサデータ４１０およびログ記録部４０３のログデータ４１１に基づいて、被監視システム４００の異常を検知するように構成されている。異常検知装置３００は、収集部３０１と、第１の学習部３０２と、第２の学習部３０３と、第１のモデル３０４と、第２のモデル３０５と、第１の異常検知部３０６と、第２の異常検知部３０７と、判定部３０８と、記憶部３０９と、出力部３１０とを備えている。これらのうち、収集部３０１、第１の学習部３０２、第２の学習部３０３、第１のモデル３０４、第２のモデル３０５、第１の異常検知部３０６、第２の異常検知部３０７、および出力部３１０は、図１に示した異常検知装置１００の収集部１０１、第１の学習部１０２、第２の学習部１０３、第１のモデル１０４、第２のモデル１０５、第１の異常検知部１０６、第２の異常検知部１０７、および出力部１１０と同じである。
　記憶部３０９は、第２の異常検知部３０７において異常であると検知されたログデータ（異常ログデータ）と、当該異常ログデータの採取時刻から一定時間が経過するまでに第１の異常検知部３０６において異常であると検知されたセンサＩＤのペア（時系列データ間の不変的な相関関係の破壊が検知された２つのセンサのＩＤペア）およびその検知時刻を関連付けて記憶するように構成されている。記憶部３０９は、判定部３０８から参照および更新される。初期状態の記憶部３０９には、有意なデータは記録されていない。
　図７は、記憶部３０９に記憶されているデータの例を示す。記憶部３０９は、複数のエントリを有する。それぞれのエントリは、異常ログデータと、当該異常ログデータのパターンと、当該異常ログデータの採取時刻と、センサＩＤのペアと、検知時刻とから構成される。例えば、１行目のエントリには、ログデータＸ、パターンＰＸおよび採取時刻ｔ11に対応して、センサＩＤ＝１１、ＩＤ＝１２のペアと検知時刻ｔ21とが記録されている。ここで、パターンＰＸはログデータＸのパターンであり、第２の異常検知部３０７が異常検知のためにログデータＸから抽出したパターンと同じである。また、採取時刻ｔ11は、ログデータＸに含まれるタイムスタンプが表す採取時刻と同一である。
　判定部３０８は、第１の異常検知部３０６および第２の異常検知部３０７の検知結果に基づいて総合的な判断を行うことにより、第３の異常検知結果を生成するように構成されている。
　図８は、判定部３０８の処理の一例を示すフローチャートである。図８を参照すると、判定部３０８は、先ず第２の異常検知部３０７から第２の異常検知結果を受信したか否かを判定する（ステップＳ２１）。次に判定部３０８は、第２の異常検知結果を受信した場合（ステップＳ２１でＹＥＳ）、当該第２の異常検知結果である異常ログデータに関連するセンサＩＤのペアが記憶部３０９に記憶されているか否かを調べる（ステップＳ２２）。異常ログデータに関連するセンサＩＤのペアが記憶部３０９に記憶されているか否かの調査では、判定部３０８は、例えば、採取時刻を除く異常ログデータの内容と同一の異常ログデータを記憶するエントリが記憶部３０９に存在し、且つ、そのエントリにセンサＩＤのペアが記憶されているか否かを調べる。或いは、判定部３０８は、異常ログデータから抽出したログのパターンと同一のパターンを記憶するエントリが記憶部３０９に存在し、且つ、そのエントリにセンサＩＤのペアが記憶されているか否かを調べるようにしてもよい。判定部３０８は、関連するセンサＩＤのペアが記憶部３０９に記憶されていたならば（ステップＳ２２でＹＥＳ）、関連するセンサＩＤのペアを将来相関破壊が起きると予想されるセンサＩＤのペアとして記憶部３０９から読み出す（ステップＳ２３）。次に判定部３０８は、第２の異常検知結果である異常ログデータと将来相関破壊が起きると予想したセンサＩＤのペアとを含む第３の異常検知結果を作成して出力部３１０に伝達し、その出力を依頼する（ステップＳ２４）。なお、判定部３０８は、センサＩＤのペアと一緒に記憶部３０９に記憶されている検知時刻と採取時刻との時間差に基づいて、相関破壊が起きる時刻を予想し、その予想時刻を第３の異常検知結果に含めるようにしてもよい。例えば、今回検知した異常ログデータの採取時刻がｔ31、記憶部３０９に記憶された同一の異常ログデータと一緒に記憶部３０９に記憶された検知時刻と採取時刻との時間差がδｔの場合、時刻ｔ31＋δｔを予想時刻とする。そして、判定部３０８は、ステップＳ２１に戻り、上述した処理と同様の処理を繰り返す。
　また、判定部３０８は、関連するセンサＩＤのペアが記憶部３０９に記憶されていなければ（ステップＳ２２でＮＯ）、第２の異常検知結果を含む第３の異常検知結果を作成して出力部３１０に伝達し、その出力を依頼する（ステップＳ２５）。次に判定部３０８は、第２の異常検知結果中の異常ログデータとそのパターンとその採取時刻とを記憶部３０９に登録する（ステップＳ２６）。具体的には、ステップＳ２６では、判定部３０８は、記憶部３０９の１つの空きエントリの異常ログデータ、パターンおよび採取時刻の各欄に、第２の異常検知結果中の異常ログデータ、そのパターン、採取時刻を登録し、センサＩＤのペアおよび検知時刻の欄はＮＵＬＬ値としておく。そして、判定部３０８は、ステップＳ２１に戻り、上述した処理と同様の処理を繰り返す。
　また、判定部３０８は、第１の異常検知部３０６から第１の異常検知結果を受信したか否かを判定する（ステップＳ２７）。次に判定部３０８は、第１の異常検知結果を受信していなければ（ステップＳ２７でＮＯ）、ステップＳ２１に戻って、上述した処理と同様の処理を繰り返す。一方、判定部３０８は、第１の異常検知結果を受信したならば（ステップＳ２７でＹＥＳ）、第１の異常検知結果を含む第３の異常検知結果を作成して出力部３１０に伝達し、その出力を依頼する（ステップＳ２８）。次に判定部３０８は、第１の異常検知結果の検知時刻より一定時間前の時刻以降の採取時刻を有する異常ログデータが記憶部３０９に記憶されているか否かを調べる（ステップＳ２９）。次に判定部３０８は、そのような異常ログデータが記憶部３０９に記憶されていれば（ステップＳ２９でＹＥＳ）、第１の異常検知結果である相関関係が破壊したセンサＩＤのペアおよびその検知時刻を当該異常ログデータに関連付けて記憶部３０９に登録する（ステップＳ３０）。具体的には、当該異常ログデータを記録するエントリのセンサＩＤのペアおよび検知時刻の各欄に相関関係が破壊したセンサＩＤのペアおよびその検知時刻を記録する。そして、判定部３０８は、ステップＳ２１に戻り、上述した処理と同様の処理を繰り返す。判定部３０８は、ステップＳ２９において該当する異常ログデータが記憶部３０９に記憶されていないと判断したとき、ステップＳ３０をスキップしてステップＳ２１に戻り、上述した処理と同様の処理を繰り返す。
　異常検知装置３００は、異常検知装置１００と同様に、図１３に示したような情報処理装置１０００とプログラム１１００とで実現することができる。プログラム１１００は、情報処理装置１０００の立ち上げ時等に外部のコンピュータ読み取り可能な記憶媒体から記憶部１００４に読み込まれ、演算処理部１００５の動作を制御することにより、演算処理部１００５上に、収集部３０１、第１の学習部３０２、第２の学習部３０３、第１のモデル３０４、第２のモデル３０５、第１の異常検知部３０６、第２の異常検知部３０７、判定部３０８、記憶部３０９、出力部３１０を実現する。
　次に本実施形態に係る異常検知装置３００の動作を説明する。異常検知装置３００の動作は、学習時の動作と異常検知時の動作とに大別される。学習時の動作は、図１に示した第１の実施形態に係る異常検知装置１００の学習時の動作と同じである。異常検知時の動作は、判定部３０８の動作を除き、図１に示した第１の実施形態に係る異常検知装置１００の異常検知時の動作と同じである。以下、異常検知時の判定部３０８の動作を説明する。
＜異常検知時の判定部３０８の動作＞
　判定部３０８は、第１の異常検知部３０６および第２の異常検知部３０７の検知結果に基づいて総合的な判断を行うことにより、第３の異常検知結果を生成し、出力部３１０を通じて第３の異常検知結果を出力する。
　例えば、判定部３０８は、第２の異常検知部３０７から異常ログデータを含む第２の異常検知結果を受信すると、当該異常ログデータに関連するセンサＩＤのペアが記憶部３０９に記憶されていないときは、当該異常ログデータを含む第３の異常検知結果を生成し、出力部３１０を通じて出力すると共に、上記異常ログデータ、そのパターン、およびその採取時刻を記憶部３０９に登録する。このように、第２の異常検知部３０７で異常ログデータが検知されたときに、関連するセンサＩＤのペアが記憶部３０９に記憶されていないときは、関連するセンサＩＤのペアによる相関関係破壊の発生を待つことなく速やかに第３の異常検知結果を生成して出力することにより、未知の異常の早期検知と出力が可能になる。また、未知の異常の検知時に上記のように異常ログデータ、そのパターン、その採取時刻を記憶部３０９に登録しておくことにより、その後の一定時間内に検知された相関関係破壊を起こしたセンサＩＤのペアを上記未知の異常に関連付けて記憶部３０９に記憶することができるようになる。即ち、判定部３０８は、第１の異常検知部３０６から相関関係の破壊したセンサＩＤのペアおよび検知時刻を受信すると、当該検知時刻より一定時間前の時刻以降の採取時刻を有する異常ログデータが記憶部３０９に記憶されているならば、上記センサＩＤのペアおよび検知時刻を上記異常ログデータに関連付けて記憶部３０９に登録する。
　また例えば、判定部３０８は、第２の異常検知部３０７から異常ログデータを含む第２の異常検知結果を受信すると、当該異常ログデータに関連するセンサＩＤのペアが記憶部３０９に記憶されているときは、記憶されているセンサＩＤのペアを相関関係の破壊が将来生じる可能性のあるセンサＩＤのペアとして含む第３の異常検知結果を生成し、出力部３１０を通じて出力する。これにより、既知の異常であれば、相関関係の破壊が実際に検知されるより前に、相関関係の破壊が生じるセンサＩＤのペアを出力することができる。これにより、既知の異常であれば、システム管理者は、センサデータ４１０とログデータ４１１との複数の被監視データの異常を組み合わせて早期に総合的な判断を実施することができる。
［第３の実施の形態］
　図９は、本発明の第３の実施の形態に係る異常検知装置５００のブロック図である。図９を参照すると、異常検知装置５００は、有線または無線による通信路あるいはネットワークを通じて被監視システム６００に接続されている。
　被監視システム６００は、異常検知の対象となるシステムである。本実施の形態では、異常が起きると、先ずセンサの計測値に異常が生じた後に異常ログが出力されるプラントシステムなどのシステムと、異常が起きると、先ず異常ログが出力された後、センサの計測値に異常が生じるＩＴシステム、ＩＴＣシステム、ＩｏＴシステムとが混在したシステムを被監視システム６００とする。被監視システム６００は、複数の装置６０１から構成される。装置６０１は、例えば、ボイラ、タービン、発電装置、制御コンピュータなどのプラント設備、各種のサーバ装置、ネットワークスイッチ、パーソナルコンピュータなどの情報処理装置である。
　装置６０１は、装置６０１の各部の状態を計測するセンサ６０２を備えている。センサ６０２は、例えば、温度センサ、圧力センサ、流量センサ、ＣＰＵ使用率を計測するセンサ、メモリ使用量を計測するセンサ、受信パケット数や送信パケット数を計測するセンサ、ネットワーク負荷を計測するセンサ、処理待ちタスク数を計測するセンサなどである。センサ６０２は、センサデータ６１０を出力する。センサデータ６１０は、例えば、センサ６０２を一意に識別するセンサＩＤと、温度やＣＰＵ使用率などの計測値と、計測時刻を示すタイムスタンプとを含んでいる。
　また、装置６０１は、テキスト形式のログデータ６１１を出力するログ記録部６０３を備えている。ログデータ６１１は、例えば、装置６０１の稼働状況や操作履歴を表すテキストメッセージと、採取時刻を示すタイムスタンプとを含んでいる。
　異常検知装置５００は、被監視システム６００の異常を検知する装置である。異常検知装置５００は、センサ６０２のセンサデータ６１０およびログ記録部６０３のログデータ６１１に基づいて、被監視システム６００の異常を検知するように構成されている。異常検知装置５００は、収集部５０１と、第１の学習部５０２と、第２の学習部５０３と、第１のモデル５０４と、第２のモデル５０５と、第１の異常検知部５０６と、第２の異常検知部５０７と、第１の判定部５０８－１と、第２の判定部５０８－２と、第１の記憶部５０９－１と、第２の記憶部５０９－２と、出力部５１０とを備えている。これらのうち、収集部５０１、第１の学習部５０２、第２の学習部５０３、第１のモデル５０４、第２のモデル５０５、第１の異常検知部５０６、第２の異常検知部５０７、第１の記憶部５０９－１、および出力部５１０は、図１に示した異常検知装置１００の収集部１０１、第１の学習部１０２、第２の学習部１０３、第１のモデル１０４、第２のモデル１０５、第１の異常検知部１０６、第２の異常検知部１０７、記憶部１０９、および出力部１１０と同じである。また、第２の記憶部５０９－２は、図６に示した異常検知装置３００の記憶部３０９と同じである。
　第１の判定部５０８－１および第２の判定部５０８－２は、第１の異常検知部５０６および第２の異常検知部５０７の検知結果に基づいて総合的な判断を行うことにより、第３の異常検知結果を生成するように構成されている。
　図１０は、第１の判定部５０８－１の処理の一例を示すフローチャートである。図１０に示す処理は、図５に示した判定部１０８の処理と比較して、ステップＳ８に相当するステップが省略されている点で相違し、それ以外は判定部１０８の処理と同一である。即ち、図１０のステップＳ４１～Ｓ４７、Ｓ４９～Ｓ５０は、図５のステップＳ１～Ｓ７、Ｓ９～Ｓ１０と同じである。
　図１１は、第２の判定部５０８－２の処理の一例を示すフローチャートである。図１１に示す処理は、図８に示した判定部３０８の処理と比較して、ステップＳ２８に相当するステップが省略されている点で相違し、それ以外は判定部３０８の処理と同一である。即ち、図１０のステップＳ６１～Ｓ６７、Ｓ６９～Ｓ７０は、図８のステップＳ２１～Ｓ２７、Ｓ２９～Ｓ３０と同じである。
　異常検知装置５００は、異常検知装置１００と同様に、図１３に示したような情報処理装置１０００とプログラム１１００とで実現することができる。プログラム１１００は、情報処理装置１０００の立ち上げ時等に外部のコンピュータ読み取り可能な記憶媒体から記憶部１００４に読み込まれ、演算処理部１００５の動作を制御することにより、演算処理部１００５上に、収集部５０１、第１の学習部５０２、第２の学習部５０３、第１のモデル５０４、第２のモデル５０５、第１の異常検知部５０６、第２の異常検知部５０７、第１の判定部５０８－１、第２の判定部５０８－２、第１の記憶部５０９－１、第２の記憶部５０９－２、出力部５１０を実現する。
　次に本実施形態に係る異常検知装置５００の動作を説明する。異常検知装置５００の動作は、学習時の動作と異常検知時の動作とに大別される。学習時の動作は、図１に示した第１の実施形態に係る異常検知装置１００の学習時の動作と同じである。異常検知時の動作は、第１の判定部５０８－１および第２の判定部５０８－２の動作を除き、図１に示した第１の実施形態に係る異常検知装置１００の異常検知時の動作と同じである。以下、異常検知時の第１の判定部５０８－１および第２の判定部５０８－２の動作を説明する。
＜異常検知時の第１の判定部５０８－１の動作＞
　異常検知時の第１の判定部５０８－１の動作は、異常検知時の判定部１０８の動作と比較して、ステップＳ８に相当する動作が省略されている点で相違し、それ以外は異常検知時の判定部１０８の動作と同じである。従って、第１の判定部５０８－１は、例えば、以下のような動作を行う。
　例えば、第１の判定部５０８－１は、第１の異常検知部５０６から不変的な相関関係が破壊したセンサＩＤのペアを含む第１の異常検知結果を受信すると（ステップＳ４１でＹＥＳ）、当該センサＩＤのペアに関連する異常ログデータが第１の記憶部５０９－１に記憶されていないときは（ステップＳ４２でＮＯ）、不変的な相関関係が破壊したセンサＩＤのペア、その検知時刻を含む第３の異常検知結果を生成し、出力部１１０を通じて出力すると共に（ステップＳ４５）、上記センサＩＤのペアおよび検知時刻を第１の記憶部５０９－１に登録する（ステップＳ４６）。このように、第１の異常検知部５０６で不変的な相関関係が破壊されたセンサＩＤのペアが検出されたときに、関連する異常ログデータが第１の記憶部５０９－１に記憶されていないときは、関連する異常ログデータの発生を待つことなく速やかに第３の異常検知結果を生成して出力することにより、未知の異常の早期検知と出力が可能になる。また、未知の異常の検知時に上記のようにセンサＩＤのペアおよび検知時刻を第１の記憶部５０９－１に登録しておくことにより、その後の一定時間内に検知された異常ログデータを上記未知の異常に関連付けて第１の記憶部５０９－１に記憶することができるようになる。即ち、第１の判定部５０８－１は、第２の異常検知部５０７から異常ログデータを受信すると（ステップＳ４７でＹＥＳ）、当該異常ログデータの採取時刻より一定時間前の時刻以降の破壊時刻を有するセンサＩＤのペアが第１の記憶部５０９－１に記憶されているならば（ステップＳ４９でＹＥＳ）、上記異常ログデータを上記センサＩＤのペアに関連付けて第１の記憶部５０９－１に登録する（ステップＳ５０）。
　また例えば、第１の判定部５０８－１は、第１の異常検知部５０６から不変的な相関関係が破壊したセンサＩＤのペアを含む第１の異常検知結果を受信すると（ステップＳ４１でＹＥＳ）、当該センサＩＤのペアに関連する異常ログデータが第１の記憶部５０９－１に記憶されているときは（ステップＳ４２でＹＥＳ）、記憶されている異常ログデータを将来発生することが予想される異常ログデータとして含む第３の異常検知結果を生成し、出力部５１０を通じて出力する（ステップＳ４３～Ｓ４４）。これにより、既知の異常であれば、異常ログデータが実際に検知されるより前に、発生が予想される異常ログデータを出力することができる。従って、既知の異常であれば、システム管理者は、センサデータ６１０とログデータ６１１との複数の被監視データの異常を組み合わせて早期に総合的な判断を実施することができる。
＜異常検知時の第２の判定部５０８－２の動作＞
　異常検知時の第２の判定部５０８－２の動作は、異常検知時の判定部３０８の動作と比較して、ステップＳ２８に相当する動作が省略されている点で相違し、それ以外は異常検知時の判定部３０８の動作と同じである。従って、第２の判定部５０８－２は、例えば、以下のような動作を行う。
　例えば、第２の判定部５０８－２は、第２の異常検知部５０７から異常ログデータを含む第２の異常検知結果を受信すると（ステップＳ６１でＹＥＳ）、当該異常ログデータに関連するセンサＩＤのペアが第２の記憶部５０９－２に記憶されていないときは（ステップＳ６２でＮＯ）、当該異常ログデータを含む第３の異常検知結果を生成し、出力部５１０を通じて出力すると共に（ステップＳ６５）、上記異常ログデータ、そのパターン、およびその採取時刻を第２の記憶部５０９－２に登録する（ステップＳ６６）。このように、第２の異常検知部５０７で異常ログデータが検知されたときに、関連するセンサＩＤのペアが第２の記憶部５０９－２に記憶されていないときは、関連するセンサＩＤのペアによる相関関係破壊の発生を待つことなく速やかに第３の異常検知結果を生成して出力することにより、未知の異常の早期検知と出力が可能になる。また、未知の異常の検知時に上記のように異常ログデータ、そのパターン、その採取時刻を第２の記憶部５０９－２に登録しておくことにより、その後の一定時間内に検知された相関関係破壊を起こしたセンサＩＤのペアを上記未知の異常に関連付けて第２の記憶部５０９－２に記憶することができるようになる。即ち、第２の判定部５０８－２は、第１の異常検知部５０６から相関関係の破壊したセンサＩＤのペアおよび検知時刻を受信すると（ステップＳ６７でＹＥＳ）、当該検知時刻より一定時間前の時刻以降の採取時刻を有する異常ログデータが第２の記憶部５０９－２に記憶されているならば（ステップＳ６９でＹＥＳ）、上記センサＩＤのペアおよび検知時刻を上記異常ログデータに関連付けて第２の記憶部５０９－２に登録する（ステップＳ７０）。
　また例えば、第２の判定部５０８－２は、第２の異常検知部５０７から異常ログデータを含む第２の異常検知結果を受信すると（ステップ６１でＹＥＳ）、当該異常ログデータに関連するセンサＩＤのペアが記憶部５０９に記憶されているときは（ステップＳ６２）、記憶されているセンサＩＤのペアを相関関係の破壊が将来生じる可能性のあるセンサＩＤのペアとして含む第３の異常検知結果を生成し、出力部５１０を通じて出力する（ステップＳ６３～Ｓ６４）。これにより、既知の異常であれば、相関関係の破壊が実際に検知されるより前に、相関関係の破壊が生じるセンサＩＤのペアを出力することができる。これにより、既知の異常であれば、システム管理者は、センサデータ６１０とログデータ６１１との複数の被監視データの異常を組み合わせて早期に総合的な判断を実施することができる。
［第４の実施の形態］
　図１２は、本発明の第４の実施の形態に係る異常検知装置７００のブロック図である。図１２を参照すると、異常検知装置７００は、有線または無線による通信路あるいはネットワークを通じて被監視システム８００に接続されている。
　被監視システム８００は、異常検知の対象となるシステムである。被監視システム８００からは、複数の第１の被監視データおよび複数の第２の被監視データを外部に取り出すことができる。第１の被監視データおよび第２の被監視データの一方は、例えば性能指標についての計測値を含み、他方は、例えばテキストログを含む。また被監視システム８００は、システム内で異常が起きると、先ず複数の第１の被監視データの何れかに異常が生じた後に、複数の第２の被監視データの何れかに異常が生じるようなシステムである。
　異常検知装置７００は、被監視システム８００から複数の第１の被監視データおよび複数の第２の被監視データを取得し、それらに基づいて被監視システム８００の異常を検知するように構成されている。異常検知装置７００は、第１の異常検知部７０１と、第２の異常検知部７０２と、第１の記憶部７０３と、第１の判定部７０４とを備えている。
　第１の異常検知部７０１は、被監視システム８００から得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知するように構成されている。第１の異常検知部７０１は、例えば、図１の第１の異常検知部１０６と同様に構成することができるが、それに限定されない。
　第２の異常検知部７０２は、第１の異常検知部７０１と並行して動作するように構成されている。また第２の異常検知部７０２は、被監視システム８００から得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知するように構成されている。第２の異常検知部７０２は、例えば、図１の第２の異常検知部１０７と同様に構成することができるが、それに限定されない。
　第１の記憶部７０３は、異常な第１の被監視データと当該異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された異常な第２の被監視データとを関連付けて記憶するように構成されている。
　第１の判定部７０４は、異常な第１の被監視データが検知されたとき、この検知した異常な第１の被監視データに関連付けられている異常な第２の被監視データを第１の記憶部７０３から読み出すように構成されている。また第１の判定部７０４は、読み出した異常な第２の被監視データと上記検知された異常な第１の被監視データとを含む第１の異常検知結果を出力するように構成されている。
　このように構成された異常検知装置７００は、以下のように機能する。即ち、第１の異常検知部７０１は、被監視システム８００から得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知する。また第２の異常検知部７０２は、第１の異常検知部７０１による異常な第１の被監視データの検知と並行して、被監視システム８００から得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知する。第１の判定部７０４は、異常な第１の被監視データが検知されたとき、第１の記憶部７０３から、上記検知した異常な第１の被監視データに関連付けられている異常な第２の被監視データを読み出し、その読み出した異常な第２の被監視データと上記検知された異常な第１の被監視データとを含む第１の異常検知結果を出力する。
　このように本実施形態に係る異常検知装置７００の第１の判定部７０４は、異常な第１の被監視データが検知されたとき、第１の記憶部７０３から、上記検知した異常な第１の被監視データに関連付けられている異常な第２の被監視データを将来発生することが予想される異常な第２の被監視データとして読み出し、その読み出した異常な第２の被監視データと上記検知された異常な第１の被監視データとを含む第１の異常検知結果を出力する。そのため、システム運用者等は、第１の異常検知結果に基づいて、異常な第２の被監視データが実際に検知される前に、異常な第１の被監視データと将来発生が予想される第２の被監視データを組み合わせて早期に総合的な判断を実施することができる。
［他の実施の形態］
　以上の各実施形態では、第１の被監視データおよび第２の被監視データとして、例えばセンサで計測される性能指標についての計測値、ログ記録部で記録されるテキストログを使用したが、本発明で使用する被監視データは上記に限定されない。例えば、ＳＮＳ情報を被監視データとして使用してもよい。
　また、図４に示す記憶部１０９の各エントリは、システム管理者の行うべきアクションを記載した欄を有していてもよい。その場合、判定部１０８は、図５のステップＳ３において、記憶部１０９のエントリから異常ログデータを読み出す際、そのエントリから上記アクションを同時に読み出し、ステップＳ４において、第１の異常検知結果と将来発生が予想される異常ログデータと上記アクションとを含む第３の異常検知結果を生成し、出力を依頼するようにしてもよい。また、図７に示す記憶部３０９の各エントリは、システム管理者の行うべきアクションを記載した欄を有していてもよい。その場合、判定部３０８は、図８のステップＳ２３において、記憶部３０９のエントリから相関破壊が予想されるセンサＩＤのペアを読み出す際、そのエントリから上記アクションを同時に読み出し、ステップＳ２４において、第２の異常検知結果と相関破壊が予想されるセンサＩＤのペアと上記アクションとを含む第３の異常検知結果を生成し、出力を依頼するようにしてもよい。
　また、性能指標の計測値の異常の検知は、計測値の時系列データ間に存在する不変的な相関関係の破壊を検知する方法以外の方法で行ってもよい。例えば、個々の性能指標毎に、その計測値が正常時に取り得る値の範囲を学習し、その学習した値の範囲を超えるか否かによって個々の性能指標の計測値の異常の有無を検知するようにしてもよい。
　また、異常ログの検知は、ログパターンによる方法以外の方法で行ってもよい。例えば、ログ中に予め定めた文字列や記号列が含まれているか否かを調べ、含まれている場合に当該ログを異常ログとして検知する方法であってもよい。
　以上、上記各実施形態を参照して本発明を説明したが、本発明は、上述した実施形態に限定されるものではない。本発明の構成や詳細には、本発明の範囲内で当業者が理解しうる様々な変更をすることができる。
　本発明は、プラントシステムやＩＣＴシステム等の被監視システムの監視、障害分析などに活用できる。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
　被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知する第１の異常検知部と、
　前記第１の異常検知部と並行して動作し、前記被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知する第２の異常検知部と、
　前記異常な第１の被監視データと前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第２の被監視データとを関連付けて記憶する第１の記憶部と、
　前記異常な第１の被監視データが検知されたとき、該検知した前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データを前記第１の記憶部から読み出し、該読み出した前記異常な第２の被監視データと前記検知された前記異常な第１の被監視データとを含む第１の異常検知結果を出力する第１の判定部と、を備える
異常検知装置。
［付記２］
　前記第１の判定部は、前記異常な第１の被監視データが検知されたとき、該検知された前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データが前記第１の記憶部に記憶されていない場合、前記検知した前記異常な第１の被監視データを前記第１の記憶部に記憶し、前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに前記異常な第２の被監視データが検知されると、該検知された前記異常な第２の被監視データを前記記憶した前記異常な第１の被監視データに関連付けて前記第１の記憶部に記憶する、
付記１に記載の異常検知装置。
［付記３］
　前記第１の判定部は、前記異常な第１の被監視データが検知されたとき、該検知された前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データが前記第１の記憶部に記憶されていない場合、前記検知した前記異常な第１の被監視データを含む第２の異常検知結果を出力する、
付記１または２に記載の異常検知装置。
［付記４］
　前記異常な第２の被監視データと前記異常な第２の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第１の被監視データとを関連付けて記憶する第２の記憶部と、
　前記異常な第２の被監視データが検知されたとき、該検知した前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データを前記第２の記憶部から読み出し、該読み出した前記異常な第１の被監視データと前記検知された前記異常な第２の被監視データとを含む第３の異常検知結果を出力する第２の判定部と、をさらに備える
付記１乃至３の何れかに記載の異常検知装置。
［付記５］
　前記第２の判定部は、前記異常な第２の被監視データが検知されたとき、該検知された前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データが前記第２の記憶部に記憶されていない場合、前記検知した前記異常な第２の被監視データを前記第２の記憶部に記憶し、前記異常な第２の被監視データの検知時刻から一定時間が経過するまでに前記異常な第１の被監視データが検知されると、該検知された前記異常な第１の被監視データを前記記憶した前記異常な第２の被監視データに関連付けて前記第２の記憶部に記憶する、
付記４に記載の異常検知装置。
［付記６］
　前記第２の判定部は、前記異常な第２の被監視データが検知されたとき、該検知された前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データが前記第２の記憶部に記憶されていない場合、前記検知した前記異常な第２の被監視データを含む第４の異常検知結果を出力する、
付記４または５に記載の異常検知装置。
［付記７］
　前記複数の第１の被監視データは、前記被監視システムを構成する複数の装置から取得された複数の性能指標についての計測値を含み、前記複数の第２の被監視データは、前記被監視システムを構成する複数の装置から取得された複数のテキストログを含む、
付記１乃至６の何れかに記載の異常検知装置。
［付記８］
　前記複数の第１の被監視データは、前記被監視システムを構成する複数の装置から取得された複数のテキストログを含み、前記複数の第２の被監視データは、前記被監視システムを構成する複数の装置から取得された複数の性能指標についての計測値を含む、
付記１乃至６の何れかに記載の異常検知装置。
［付記９］
　被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知し、
　前記異常な第１の被監視データの検知と並行して、前記被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知し、
　前記異常な第１の被監視データが検知されたとき、前記異常な第１の被監視データと前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第２の被監視データとを関連付けて記憶する第１の記憶部から、前記検知した前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データを読み出し、該読み出した前記異常な第２の被監視データと前記検知された前記異常な第１の被監視データとを含む第１の異常検知結果を出力する、
異常検知方法。
［付記１０］
　前記異常な第１の被監視データが検知されたとき、該検知された前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データが前記第１の記憶部に記憶されていない場合、前記検知した前記異常な第１の被監視データを前記第１の記憶部に記憶し、前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに前記異常な第２の被監視データが検知されると、該検知された前記異常な第２の被監視データを前記記憶した前記異常な第１の被監視データに関連付けて前記第１の記憶部に記憶する、
付記９に記載の異常検知方法。
［付記１１］
　前記異常な第１の被監視データが検知されたとき、該検知された前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データが前記第１の記憶部に記憶されていない場合、前記検知した前記異常な第１の被監視データを含む第２の異常検知結果を出力する、
付記９または１０に記載の異常検知方法。
［付記１２］
　前記異常な第２の被監視データが検知されたとき、前記異常な第２の被監視データと前記異常な第２の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第１の被監視データとを関連付けて記憶する第２の記憶部から、前記検知した前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データを読み出し、該読み出した前記異常な第１の被監視データと前記検知された前記異常な第２の被監視データとを含む第３の異常検知結果を出力する、
付記９乃至１１の何れかに記載の異常検知方法。
［付記１３］
　前記異常な第２の被監視データが検知されたとき、該検知された前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データが前記第２の記憶部に記憶されていない場合、前記検知した前記異常な第２の被監視データを前記第２の記憶部に記憶し、前記異常な第２の被監視データの検知時刻から一定時間が経過するまでに前記異常な第１の被監視データが検知されると、該検知された前記異常な第１の被監視データを前記記憶した前記異常な第２の被監視データに関連付けて前記第２の記憶部に記憶する、
付記１２に記載の異常検知方法。
［付記１４］
　前記異常な第２の被監視データが検知されたとき、該検知された前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データが前記第２の記憶部に記憶されていない場合、前記検知した前記異常な第２の被監視データを含む第４の異常検知結果を出力する、
付記１２または１３に記載の異常検知方法。
［付記１５］
　前記複数の第１の被監視データは、前記被監視システムを構成する複数の装置から取得された複数の性能指標についての計測値を含み、前記複数の第２の被監視データは、前記被監視システムを構成する複数の装置から取得された複数のテキストログを含む、
付記９乃至１４の何れかに記載の異常検知方法。
［付記１６］
　前記複数の第１の被監視データは、前記被監視システムを構成する複数の装置から取得された複数のテキストログを含み、前記複数の第２の被監視データは、前記被監視システムを構成する複数の装置から取得された複数の性能指標についての計測値を含む、
付記９乃至１４の何れかに記載の異常検知方法。
［付記１７］
　コンピュータを、
　被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知する第１の異常検知部と、
　前記第１の異常検知部と並行して動作し、前記被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知する第２の異常検知部と、
　前記異常な第１の被監視データと前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第２の被監視データとを関連付けて記憶する第１の記憶部と、
　前記異常な第１の被監視データが検知されたとき、該検知した前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データを前記第１の記憶部から読み出し、該読み出した前記異常な第２の被監視データと前記検知された前記異常な第１の被監視データとを含む第１の異常検知結果を出力する第１の判定部と、
して機能させるプログラムを記録したコンピュータ読み取り可能な記録媒体。
１００…異常検知装置
１０１…収集部
１０２…第１の学習部
１０３…第２の学習部
１０４…第１のモデル
１０５…第２のモデル
１０６…第１の異常検知部
１０７…第２の異常検知部
１０８…判定部
１０９…記憶部
１１０…出力部
２００…被監視システム
２０１…装置
２０２…センサ
２０３…ログ記録部
２１０…センサデータ
２１１…ログデータ
２２１…センサＩＤ＝１のセンサの時系列データ
２２２…センサＩＤ＝２のセンサの時系列データ
２２３…センサＩＤ＝３のセンサの時系列データ
２２４…センサＩＤ＝４のセンサの時系列データ
２２５…センサＩＤ＝５のセンサの時系列データ
２２６…センサＩＤ＝６のセンサの時系列データ
３００…異常検知装置
３０１…収集部
３０２…第１の学習部
３０３…第２の学習部
３０４…第１のモデル
３０５…第２のモデル
３０６…第１の異常検知部
３０７…第２の異常検知部
３０８…判定部
３０９…記憶部
３１０…出力部
４００…被監視システム
４０１…装置
４０２…センサ
４０３…ログ記録部
４１０…センサデータ
４１１…ログデータ
５００…異常検知装置
５０１…収集部
５０２…第１の学習部
５０３…第２の学習部
５０４…第１のモデル
５０５…第２のモデル
５０６…第１の異常検知部
５０７…第２の異常検知部
５０８－１…第１の判定部
５０８－２…第２の判定部
５０９－１…第１の記憶部
５０９－２…第２の記憶部
５１０…出力部
６００…被監視システム
６０１…装置
６０２…センサ
６０３…ログ記録部
６１０…センサデータ
６１１…ログデータ
７００…異常検知装置
７０１…第１の異常検知部
７０２…第２の異常検知部
７０３…第１の記憶部
７０４…第１の判定部
８００…被監視システム
１０００…情報処理装置
１００１…通信インタフェース部
１００２…操作入力部
１００３…画面表示部
１００４…記憶部
１００５…演算処理部
１１００…プログラム

Claims (17)

  1. 　被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知する第１の異常検知部と、
    　前記第１の異常検知部と並行して動作し、前記被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知する第２の異常検知部と、
    　前記異常な第１の被監視データと前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第２の被監視データとを関連付けて記憶する第１の記憶部と、
    　前記異常な第１の被監視データが検知されたとき、該検知した前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データを前記第１の記憶部から読み出し、該読み出した前記異常な第２の被監視データと前記検知された前記異常な第１の被監視データとを含む第１の異常検知結果を出力する第１の判定部と、を備える
    異常検知装置。
  2. 　前記第１の判定部は、前記異常な第１の被監視データが検知されたとき、該検知された前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データが前記第１の記憶部に記憶されていない場合、前記検知した前記異常な第１の被監視データを前記第１の記憶部に記憶し、前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに前記異常な第２の被監視データが検知されると、該検知された前記異常な第２の被監視データを前記記憶した前記異常な第１の被監視データに関連付けて前記第１の記憶部に記憶する、
    請求項１に記載の異常検知装置。
  3. 　前記第１の判定部は、前記異常な第１の被監視データが検知されたとき、該検知された前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データが前記第１の記憶部に記憶されていない場合、前記検知した前記異常な第１の被監視データを含む第２の異常検知結果を出力する、
    請求項１または２に記載の異常検知装置。
  4. 　前記異常な第２の被監視データと前記異常な第２の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第１の被監視データとを関連付けて記憶する第２の記憶部と、
    　前記異常な第２の被監視データが検知されたとき、該検知した前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データを前記第２の記憶部から読み出し、該読み出した前記異常な第１の被監視データと前記検知された前記異常な第２の被監視データとを含む第３の異常検知結果を出力する第２の判定部と、をさらに備える
    請求項１乃至３の何れかに記載の異常検知装置。
  5. 　前記第２の判定部は、前記異常な第２の被監視データが検知されたとき、該検知された前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データが前記第２の記憶部に記憶されていない場合、前記検知した前記異常な第２の被監視データを前記第２の記憶部に記憶し、前記異常な第２の被監視データの検知時刻から一定時間が経過するまでに前記異常な第１の被監視データが検知されると、該検知された前記異常な第１の被監視データを前記記憶した前記異常な第２の被監視データに関連付けて前記第２の記憶部に記憶する、
    請求項４に記載の異常検知装置。
  6. 　前記第２の判定部は、前記異常な第２の被監視データが検知されたとき、該検知された前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データが前記第２の記憶部に記憶されていない場合、前記検知した前記異常な第２の被監視データを含む第４の異常検知結果を出力する、
    請求項４または５に記載の異常検知装置。
  7. 　前記複数の第１の被監視データは、前記被監視システムを構成する複数の装置から取得された複数の性能指標についての計測値を含み、前記複数の第２の被監視データは、前記被監視システムを構成する複数の装置から取得された複数のテキストログを含む、
    請求項１乃至６の何れかに記載の異常検知装置。
  8. 　前記複数の第１の被監視データは、前記被監視システムを構成する複数の装置から取得された複数のテキストログを含み、前記複数の第２の被監視データは、前記被監視システムを構成する複数の装置から取得された複数の性能指標についての計測値を含む、
    請求項１乃至６の何れかに記載の異常検知装置。
  9. 　被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知し、
    　前記異常な第１の被監視データの検知と並行して、前記被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知し、
    　前記異常な第１の被監視データが検知されたとき、前記異常な第１の被監視データと前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第２の被監視データとを関連付けて記憶する第１の記憶部から、前記検知した前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データを読み出し、該読み出した前記異常な第２の被監視データと前記検知された前記異常な第１の被監視データとを含む第１の異常検知結果を出力する、
    異常検知方法。
  10. 　前記異常な第１の被監視データが検知されたとき、該検知された前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データが前記第１の記憶部に記憶されていない場合、前記検知した前記異常な第１の被監視データを前記第１の記憶部に記憶し、前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに前記異常な第２の被監視データが検知されると、該検知された前記異常な第２の被監視データを前記記憶した前記異常な第１の被監視データに関連付けて前記第１の記憶部に記憶する、
    請求項９に記載の異常検知方法。
  11. 　前記異常な第１の被監視データが検知されたとき、該検知された前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データが前記第１の記憶部に記憶されていない場合、前記検知した前記異常な第１の被監視データを含む第２の異常検知結果を出力する、
    請求項９または１０に記載の異常検知方法。
  12. 　前記異常な第２の被監視データが検知されたとき、前記異常な第２の被監視データと前記異常な第２の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第１の被監視データとを関連付けて記憶する第２の記憶部から、前記検知した前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データを読み出し、該読み出した前記異常な第１の被監視データと前記検知された前記異常な第２の被監視データとを含む第３の異常検知結果を出力する、
    請求項９乃至１１の何れかに記載の異常検知方法。
  13. 　前記異常な第２の被監視データが検知されたとき、該検知された前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データが前記第２の記憶部に記憶されていない場合、前記検知した前記異常な第２の被監視データを前記第２の記憶部に記憶し、前記異常な第２の被監視データの検知時刻から一定時間が経過するまでに前記異常な第１の被監視データが検知されると、該検知された前記異常な第１の被監視データを前記記憶した前記異常な第２の被監視データに関連付けて前記第２の記憶部に記憶する、
    請求項１２に記載の異常検知方法。
  14. 　前記異常な第２の被監視データが検知されたとき、該検知された前記異常な第２の被監視データに関連付けられている前記異常な第１の被監視データが前記第２の記憶部に記憶されていない場合、前記検知した前記異常な第２の被監視データを含む第４の異常検知結果を出力する、
    請求項１２または１３に記載の異常検知方法。
  15. 　前記複数の第１の被監視データは、前記被監視システムを構成する複数の装置から取得された複数の性能指標についての計測値を含み、前記複数の第２の被監視データは、前記被監視システムを構成する複数の装置から取得された複数のテキストログを含む、
    請求項９乃至１４の何れかに記載の異常検知方法。
  16. 　前記複数の第１の被監視データは、前記被監視システムを構成する複数の装置から取得された複数のテキストログを含み、前記複数の第２の被監視データは、前記被監視システムを構成する複数の装置から取得された複数の性能指標についての計測値を含む、
    請求項９乃至１４の何れかに記載の異常検知方法。
  17. 　コンピュータを、
    　被監視システムから得られる複数の第１の被監視データのうちから異常な第１の被監視データを検知する第１の異常検知部と、
    　前記第１の異常検知部と並行して動作し、前記被監視システムから得られる複数の第２の被監視データのうちから異常な第２の被監視データを検知する第２の異常検知部と、
    　前記異常な第１の被監視データと前記異常な第１の被監視データの検知時刻から一定時間が経過するまでに検知された前記異常な第２の被監視データとを関連付けて記憶する第１の記憶部と、
    　前記異常な第１の被監視データが検知されたとき、該検知した前記異常な第１の被監視データに関連付けられている前記異常な第２の被監視データを前記第１の記憶部から読み出し、該読み出した前記異常な第２の被監視データと前記検知された前記異常な第１の被監視データとを含む第１の異常検知結果を出力する第１の判定部と、
    して機能させるプログラムを記録したコンピュータ読み取り可能な記録媒体。
PCT/JP2018/024682 2018-06-28 2018-06-28 異常検知装置 WO2020003460A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020526823A JP7031743B2 (ja) 2018-06-28 2018-06-28 異常検知装置
US17/255,518 US11640459B2 (en) 2018-06-28 2018-06-28 Abnormality detection device
PCT/JP2018/024682 WO2020003460A1 (ja) 2018-06-28 2018-06-28 異常検知装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/024682 WO2020003460A1 (ja) 2018-06-28 2018-06-28 異常検知装置

Publications (1)

Publication Number Publication Date
WO2020003460A1 true WO2020003460A1 (ja) 2020-01-02

Family

ID=68986790

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/024682 WO2020003460A1 (ja) 2018-06-28 2018-06-28 異常検知装置

Country Status (3)

Country Link
US (1) US11640459B2 (ja)
JP (1) JP7031743B2 (ja)
WO (1) WO2020003460A1 (ja)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11237548B2 (en) * 2018-12-27 2022-02-01 Mitsubishi Electric Corporation Data delivery control apparatus, method, and program
US11757904B2 (en) * 2021-01-15 2023-09-12 Bank Of America Corporation Artificial intelligence reverse vendor collation
US11895128B2 (en) 2021-01-15 2024-02-06 Bank Of America Corporation Artificial intelligence vulnerability collation
US20220335347A1 (en) * 2021-04-15 2022-10-20 Business Objects Software Ltd Time-series anomaly prediction and alert
CN115686894A (zh) * 2021-07-29 2023-02-03 Oppo广东移动通信有限公司 异常处理方法、装置、计算机设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011070635A (ja) * 2009-08-28 2011-04-07 Hitachi Ltd 設備状態監視方法およびその装置
WO2016132717A1 (ja) * 2015-02-17 2016-08-25 日本電気株式会社 ログ分析システム、ログ分析方法およびプログラム記録媒体
JP2017084106A (ja) * 2015-10-28 2017-05-18 株式会社 日立産業制御ソリューションズ 気付き情報提供装置及び気付き情報提供方法
WO2018069950A1 (ja) * 2016-10-13 2018-04-19 日本電気株式会社 ログ分析方法、システムおよびプログラム

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5267684B2 (ja) 2010-01-08 2013-08-21 日本電気株式会社 運用管理装置、運用管理方法、及びプログラム記憶媒体
US20160164721A1 (en) * 2013-03-14 2016-06-09 Google Inc. Anomaly detection in time series data using post-processing
JP2015028700A (ja) 2013-07-30 2015-02-12 Kddi株式会社 障害検知装置、障害検知方法、障害検知プログラム及び記録媒体
JP6387707B2 (ja) * 2014-07-01 2018-09-12 富士通株式会社 異常検出システム、表示装置、異常検出方法及び異常検出プログラム
US9646159B2 (en) * 2015-03-31 2017-05-09 Juniper Networks, Inc. Multi-file malware analysis
US10652333B2 (en) * 2016-12-27 2020-05-12 Intel Corporation Normalization of sensors
US11537713B2 (en) * 2017-08-02 2022-12-27 Crashplan Group Llc Ransomware attack onset detection

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011070635A (ja) * 2009-08-28 2011-04-07 Hitachi Ltd 設備状態監視方法およびその装置
WO2016132717A1 (ja) * 2015-02-17 2016-08-25 日本電気株式会社 ログ分析システム、ログ分析方法およびプログラム記録媒体
JP2017084106A (ja) * 2015-10-28 2017-05-18 株式会社 日立産業制御ソリューションズ 気付き情報提供装置及び気付き情報提供方法
WO2018069950A1 (ja) * 2016-10-13 2018-04-19 日本電気株式会社 ログ分析方法、システムおよびプログラム

Also Published As

Publication number Publication date
US11640459B2 (en) 2023-05-02
US20210224383A1 (en) 2021-07-22
JP7031743B2 (ja) 2022-03-08
JPWO2020003460A1 (ja) 2021-06-03

Similar Documents

Publication Publication Date Title
WO2020003460A1 (ja) 異常検知装置
WO2019142331A1 (ja) 障害予測システムおよび障害予測方法
WO2016132717A1 (ja) ログ分析システム、ログ分析方法およびプログラム記録媒体
US20080167842A1 (en) Method and system for detecting, analyzing and subsequently recognizing abnormal events
JP5794034B2 (ja) 障害予測システム及びプログラム
WO2010061735A1 (ja) 検出イベントに応じたアクション実行を支援するシステム、検出イベントに応じたアクション実行を支援する方法、支援装置及びコンピュータプログラム
JP6521096B2 (ja) 表示方法、表示装置、および、プログラム
JP6456580B1 (ja) 異常検知装置、異常検知方法及び異常検知プログラム
JP6280862B2 (ja) イベント分析システムおよび方法
KR102005138B1 (ko) 기기 이상징후 사전감지 방법 및 시스템
JP6183449B2 (ja) システム分析装置、及び、システム分析方法
JP4922265B2 (ja) プラント監視装置およびプラント監視方法
CN113196311A (zh) 用于识别和预测机器的异常感测行为模式的系统和方法
JP7501266B2 (ja) 運転支援装置、運転支援システム及び運転支援方法
WO2018073955A1 (ja) システム分析方法、システム分析装置、および、プログラム
JP6915693B2 (ja) システム分析方法、システム分析装置、および、プログラム
JP2005182647A (ja) 機器の異常検知装置
Gámiz et al. Dynamic reliability and sensitivity analysis based on HMM models with Markovian signal process
WO2015182072A1 (ja) 因果構造推定システム、因果構造推定方法およびプログラム記録媒体
JP5948358B2 (ja) 監視機器情報分析装置及び方法及びプログラム
JP2018191217A (ja) データ監視装置、データ監視方法及びデータ監視プログラム
JP7227772B2 (ja) データアセット分析支援システムおよびデータ分析方法
JP6973445B2 (ja) 表示方法、表示装置、および、プログラム
JP2019047188A (ja) 分析管理システムおよび分析管理方法
Egan et al. Data Center Facility Monitoring with Physics Aware Approach

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18924772

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020526823

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18924772

Country of ref document: EP

Kind code of ref document: A1