JP5964016B2 - 異常事象検知ルール自動抽出方法、異常事象検知ルール自動抽出装置 - Google Patents

Description

本発明は、観察対象に生じる異常事象を検知するためのルールを自動生成する異常事象検知ルール自動抽出方法および異常事象検知ルール自動抽出装置に関する。

観察対象の人物の行動を、予め定義した判定ルールと対比することで、異常行動を検知する技術がある（特許文献１、２参照）。たとえば、異常行動パターンとして場所と動作とを定義付けておき、定義した場所での定義した行動に類似する行動を、異常行動として検知する監視システムがある（特許文献３参照）。この監視システムでは、危険領域（歩道や駅のプラットフォーム端部など）におけるふらつき歩行や千鳥足歩行などを異常行動として検知する。

また、監視対象物を要素（人体の各部分の動き、外観的識別、視認行為回数）単位で解析し、監視対象物の監視項目を細分化した監視要素毎に所定の判定ルールに基づいて判定し、その総合的な判断により警報を出力するシステムがある（たとえば、特許文献４参照。）。また、歩く、屈むなど人の汎用的振る舞いを解析し、この汎用的振る舞いに関する時系列パターンデータに基づいて、特定の専用的振る舞いか否かを識別（たとえば、歩く動作から屈む動作に遷移し、その後、屈む動作がＮ秒間以上継続すると病気と判定)する画像監視システムがある（特許文献５参照）。

特開２００４−３２８６２２号公報 特開２００６−２８５３９９号公報 特開２００７−８９１０５号公報 特開２００６−２８７８８４号公報 特開２００７−２７２４８８号公報

先行技術文献にある予め定義した判定ルールとの照合によって異常事象を検知する方法では、自明な時間的・空間的な知見・ルールに基づいて異常事象を検知するため、時間的・空間的な知見・ルールが得難いタイプの異常事象の検知には対応が難しい。たとえば、広い駐車場内で不審人物を検知するような場合、人の出入りや動作の自由度が高く、起こり得る行動パターンがバリエーションに富み、個人差もあるため、不審人物を特定するための判定ルールを的確に定めることは難い。

また、判定ルールの設定はシステムの設計者などが行うので、判定ルールそのものが主観的になりやすい。さらに判定ルールを構成するパラメータが多いため、パラメータの設定に手間がかかると共に、パラメータの設定の仕方に異常事象の検出精度等が左右されてしまうといった問題があった。

本発明は、上記の問題を解決しようとするものであり、異常事象検知用の客観的なルールを自動的に生成することのできる異常事象検知ルール自動抽出方法および異常事象検知ルール自動抽出装置を提供することを目的としている。

かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。

［１］異常事象に関する時系列データが登録された異常事象データベースと、正常事象に関する時系列データが登録された正常事象データベースとを比較して、異常事象データベースに登録されているいずれかの異常事象に関する時系列データの中の一部の区間に出現し、かつ、正常事象データベースに登録されているすべての正常事象の時系列データには出現しない任意の長さの時系列データのパターンを抽出し、この抽出したパターンを異常事象検知用ルールとして、ルール登録部に登録する
ことを特徴とする異常事象検知ルール自動抽出方法。

上記発明および下記［５］［６］では、異常事象に関するデータから、正常事象に関するデータに含まれるものを除外したものを、異常事象検知用ルールとして自動的に生成する。すなわち、異常事象検知用データとして、正常事象のサンプルデータと異常事象のサンプルデータを用意し、異常事象のサンプルデータに含まれて、正常事象のサンプルデータに含まれないものを異常事象検知用ルールとして自動抽出する。

また、異常事象や正常事象に関するデータは、異常が発生した場合の観察対象の状態の推移や、正常時における観察対象の状態の推移を表わした時系列パターンデータである。たとえば、時系列パターンデータは、観測対象の状態を運動（動作）要素、時間（時刻）要素、空間（場所）要素等で定義し、これらの要素で定義された状態の時間的な推移を表すデータとして構成する。

［２］異常事象に関するデータが登録された異常事象データベースと、正常事象に関するデータが登録された正常事象データベースとを比較して、異常事象データベースに含まれ、かつ、正常事象データベースには含まれないデータのパターンを抽出し、この抽出したパターンを異常事象検知用ルールとして、ルール登録部に登録する異常事象検知ルール自動抽出方法であって、
前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、前記異常事象検知用ルールとして、前記ルール登録部に登録する
ことを特徴とする異常事象検知ルール自動抽出方法。

上記発明および下記［７］［８］では、正常事象の時系列パターンデータ、異常事象の時系列パターンデータのそれぞれを、状態推移の回数毎（長さ毎）の時系列パターンセットに分解し、パターン長さ毎に、異常事象の時系列パターンセットと正常事象の時系列パターンセットを比較し、異常事象の時系列パターンセットに含まれ、正常事象の時系列パターンセットに含まれない時系列パターンセットを、異常事象検知用ルールとして抽出し、登録する。異常事象検知用ルールを状態推移の回数毎のルールとして得ることができるので、状態推移の回数（パターン長さ）を基準にして、多面的、かつ短時間で異常事象を検知することができる。

［３］異常事象に関するデータが登録された異常事象データベースと、正常事象に関するデータが登録された正常事象データベースとを比較して、異常事象データベースに含まれ、かつ、正常事象データベースには含まれないデータのパターンを抽出し、この抽出したパターンを異常事象検知用ルールとして、ルール登録部に登録する異常事象検知ルール自動抽出方法であって、
前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、異常事象検知用ルール候補とし、
前記異常事象検知用ルール候補の中から、ユーザの設定した絞り込み条件で抽出した時系列パターンセットを異常事象検知用ルールとして、前記ルール登録部に登録する
ことを特徴とする異常事象検知ルール自動抽出方法。

上記発明および下記［９］［１０］では、正常事象の時系列パターンデータおよび異常事象の時系列パターンデータを、それぞれ状態推移の回数毎（長さ毎）の時系列パターンセットに分解し、パターン長さ毎に、異常事象の時系列パターンセットと正常事象の時系列パターンセットを比較し、異常事象の時系列パターンセットに含まれ、正常事象の時系列パターンセットに含まれない時系列パターンセットを異常事象検知用ルール候補として選出し、これをさらに特定の条件、たとえば、発生頻度などで絞り込みを行なって抽出したものを異常事象検知用ルールとして登録する。異常事象検知用ルールを状態の推移回数毎のルールとして得ることができるので、状態推移の回数（パターン長さ）を基準にして、多面的にかつ短時間で異常事象を検知することができる。また、異常事象検知用ルール候補を特定の条件で絞り込んだものを異常事象検知用ルールとするので、異常事象でないものを異常事象とする誤検知が低減される。

［４］観察対象の状態の推移を表した時系列パターンデータであって、正常事象に関するものが登録された正常事象データベースから、所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、これらの時系列パターンセットを、登録されているすべてのルールに一致しない場合に、異常事象と判定するためのルールが登録される正常事象ルール登録部に、前記ルールとして登録する
ことを特徴とする異常事象検知ルール自動抽出方法。

上記発明および下記［１１］［１２］では、正常事象に関するデータから異常事象検知用ルールを生成するので、異常事象に関するデータを得難い場合にも、対応することができる。

［５］異常事象データベースから異常事象に関する時系列データを取得し、正常事象データベースから正常事象に関する時系列データを取得するデータ取得部と、
前記異常事象データベースから取得した異常事象に関する時系列データと、前記正常事象データベースから取得した正常事象に関する時系列データとを比較して、前記異常事象データベースに登録されているいずれかの異常事象に関する時系列データの中の一部の区間に出現し、かつ、前記正常事象データベースに登録されているすべての正常事象の時系列データには出現しない任意の長さの時系列データのパターンを抽出する抽出部と、
前記抽出部が抽出したパターンを異常事象検知用ルールとして出力する出力部と
を有する
ことを特徴とする異常事象検知ルール自動抽出装置。

［６］異常事象に関する時系列データが登録された異常事象データベースと、
正常事象に関する時系列データが登録された正常事象データベースと、
ルール登録部と、
前記異常事象データベースと前記正常事象データベースとを比較して、前記異常事象データベースに登録されているいずれかの異常事象に関する時系列データの中の一部の区間に出現し、かつ、前記正常事象データベースに登録されているすべての正常事象の時系列データには出現しない任意の長さの時系列データのパターンを抽出する抽出部と、
前記抽出部の抽出したパターンを異常事象検知用ルールとして前記ルール登録部に登録する登録制御部と
を有する
ことを特徴とする異常事象検知ルール自動抽出装置。

［７］異常事象データベースから異常事象に関するデータを取得し、正常事象データベースから正常事象に関するデータを取得するデータ取得部と、
前記異常事象データベースから取得したデータと、前記正常事象データベースから取得したデータとを比較して、前記異常事象データベースに含まれ、かつ、前記正常事象データベースには含まれないデータのパターンを抽出する抽出部と、
前記抽出部が抽出したパターンを異常事象検知用ルールとして出力する出力部と
を有する異常事象検知ルール自動抽出装置であって、
前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
前記抽出部は、
所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、前記異常事象検知用ルールとする
ことを特徴とする異常事象検知ルール自動抽出装置。

［８］異常事象に関するデータが登録された異常事象データベースと、
正常事象に関するデータが登録された正常事象データベースと、
ルール登録部と、
前記異常事象データベースと前記正常事象データベースとを比較して、前記異常事象データベースに含まれ、かつ、前記正常事象データベースには含まれないデータのパターンを抽出する抽出部と、
前記抽出部の抽出したパターンを異常事象検知用ルールとして前記ルール登録部に登録する登録制御部と
を有する異常事象検知ルール自動抽出装置であって、
前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
前記抽出部は、
所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、前記異常事象検知用ルールとする
ことを特徴とする異常事象検知ルール自動抽出装置。

［９］異常事象データベースから異常事象に関するデータを取得し、正常事象データベースから正常事象に関するデータを取得するデータ取得部と、
前記異常事象データベースから取得したデータと、前記正常事象データベースから取得したデータとを比較して、前記異常事象データベースに含まれ、かつ、前記正常事象データベースには含まれないデータのパターンを抽出する抽出部と、
前記抽出部が抽出したパターンを異常事象検知用ルールとして出力する出力部と
を有する異常事象検知ルール自動抽出装置であって、
前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
前記抽出部は、
所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、異常事象検知用ルール候補とし、
該異常事象検知用ルール候補の中から、ユーザの設定した絞り込み条件で抽出した時系列パターンセットを、前記異常事象検知用ルールとする
ことを特徴とする異常事象検知ルール自動抽出装置。
［１０］異常事象に関するデータが登録された異常事象データベースと、
正常事象に関するデータが登録された正常事象データベースと、
ルール登録部と、
前記異常事象データベースと前記正常事象データベースとを比較して、前記異常事象データベースに含まれ、かつ、前記正常事象データベースには含まれないデータのパターンを抽出する抽出部と、
前記抽出部の抽出したパターンを異常事象検知用ルールとして前記ルール登録部に登録する登録制御部と
を有する異常事象検知ルール自動抽出装置であって、
前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
前記抽出部は、
所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、異常事象検知用ルール候補とし、
該異常事象検知用ルール候補の中から、ユーザの設定した絞り込み条件で抽出した時系列パターンセットを、前記異常事象検知用ルールとする
ことを特徴とする異常事象検知ルール自動抽出装置。

［１１］正常事象に関するデータが登録された正常事象データベースから、観察対象の状態の推移を表した時系列パターンデータを取得するデータ取得部と、
前記データ取得部で取得した時系列パターンデータから、所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行うルール生成部と、
前記ルール生成部が生成した時系列パターンセットを、すべてのルールに一致しない場合に、異常事象と判定するためのルールとして出力する出力部と
を有する
ことを特徴とする異常事象検知ルール自動抽出装置。

［１２］正常事象に関して、観察対象の状態の推移を表した時系列パターンデータが登録された正常事象データベースと、
登録されているすべてのルールに一致しない場合に、異常事象と判定するためのルールが登録される正常事象ルール登録部と、
前記正常事象データベースに登録されている時系列パターンデータから、所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行うルール生成部と、
前記ルール生成部が生成した時系列パターンセットを、前記ルールとして前記正常事象ルール登録部に登録する登録制御部と
を有する
ことを特徴とする異常事象検知ルール自動抽出装置。

本発明に係る異常事象検知ルール自動抽出方法および異常事象検知ルール自動抽出装置では、異常事象検知用の客観的なルールを自動的に生成することができる。

本発明の第１の実施の形態に係る異常事象検知ルール自動抽出装置の概略構成を示すブロック図である。 本発明の異常事象検知ルール自動抽出方法の手順を示す流れ図である。 本発明の第１の実施の形態に係る異常事象検知ルール自動抽出装置の処理を示す流れ図である。 異常事象に関するデータの一例と、このデータから生成された時系列パターンセットを示す説明図である。 正常事象に関するデータの一例と、このデータから生成された時系列パターンセットを示す説明図である。 図４、図５の時系列パターンセットから選出した異常事象検知用ルール候補を示す説明図である。 累積発生確率に基づくルール抽出例を示す説明図である。 発生頻度に基づくルール抽出例を示す説明図である。 ルール長さに基づく抽出例を示す説明図である。 特定のパターン（Ａ−Ｂ）を含むことを条件とした場合の抽出例を示す説明図である。 駐車場内の人物の基本行動の構成要素を示す説明図である。 正常行動の時系列パターンデータから生成される正常行動シーケンスセットの一例を示す説明図である。 不審行動（異常行動）の時系列パターンデータから生成される不審行動シーケンスセットの一例を示す説明図である。 図１２、図１３の行動シーケンスセットから導出された不審行動シーケンスルールを示す説明図である。 本発明の第２の実施の形態に係る異常事象検知ルール自動抽出装置の概略構成を示すブロック図である。 本発明の第２の実施の形態に係る異常事象検知ルール自動抽出装置の処理を示す流れ図である。 機器の故障診断、異常気象予測に関わる異常事象、正常事象、特徴量の一覧を示す説明図である。

以下、図面に基づき本発明の各種実施の形態を説明する。

図１は、本発明の第１の実施の形態に係る異常事象検知ルール自動抽出装置１０の概略構成を示している。異常事象検知ルール自動抽出装置１０は、たとえば、駐車場内での不審人物の出現や各種機器での異常発生、突然の雷雨などの異常気象の発生といった異常事象の発生を、駐車場内の映像データや機器や気象に関する各種項目の観測データなどを解析して検知するためのルールを自動的に生成する機能を果たす装置である。

異常事象検知ルール自動抽出装置１０は、外部からのデータ入力やユーザからの設定操作を受ける入力部１１と、外部へのデータ出力やユーザへの各種データの表示などを行う出力部１２と、ルール生成に関する各種処理を行う処理部１３と、異常事象や正常事象に関するサンプルデータが予め登録されたデータベース部１４と、生成したルールを登録する異常事象検知用ルール登録部１５とを備えて構成される。出力部１２は、生成されたルールを外部の装置、たとえば、異常事象の検知装置へ出力する機能も果たす。

処理部１３は、ＣＰＵ（Central Processing Unit）と、このＣＰＵが実行するプログラムや各種固定データが記憶されたＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）などを主要部として構成される。処理部１３は、データ取得部２０と、異常事象検知用ルール候補探索部２１と、異常事象検知用ルール抽出部２２と、登録制御部２８としての機能を果たす。

データベース部１４は、正常事象に関するデータが登録された正常事象時系列パターンＤＢ部２４と、異常事象に関するデータが登録された異常事象時系列パターンＤＢ部２５とを備えている。ここでは、正常事象時系列パターンＤＢ部２４および異常事象時系列パターンＤＢ部２５に登録されるデータは、正常事象、異常事象に関するサンプルデータであり、また観察対象（駐車場内の人物や監視対象の機器、気象など）の状態の時間的な推移を表した時系列パターンデータである。

データ取得部２０は、異常事象時系列パターンＤＢ部２５から異常事象に関するデータを取得し、正常事象時系列パターンＤＢ部２４から正常事象に関するデータを取得する機能を果たす。異常事象検知用ルール候補探索部２１は、データ取得部２０によって取得した、正常事象時系列パターンＤＢ部２４に記憶されているデータと、異常事象時系列パターンＤＢ部２５に記憶されているデータとから、異常事象検知用ルールの候補を探索し、異常事象検知用ルール抽出部２２は、異常事象検知用ルール候補探索部２１が探索して得たルール候補を、さらに特定の条件で絞り込んで異常事象検知用ルールを抽出する機能を果たす。登録制御部２８は、異常事象検知用ルール抽出部２２が抽出したルールを、異常事象検知用ルール登録部１５に登録する。なお、処理部１３は、異常事象検知用ルール抽出部２２が抽出したルールを、出力部１２から外部装置へ出力する処理を行う場合もある。

図２は、異常事象検知ルール自動抽出装置１０が異常事象検知用ルールを抽出する処理の概要を示している。まず、データベース部１４から正常事象に関するデータと、異常事象に関するデータをそれぞれ読み込む（ステップＳ１０１）。そして、異常事象に関するデータベースに含まれ、かつ正常事象に関するデータベースに含まれないデータのパターンを、異常事象検知用ルール候補とする（ステップＳ１０２）。さらに異常事象検知用ルール候補の中から特定の条件で絞込みを行って異常事象検知用ルールを抽出し（ステップＳ１０３）、その抽出した異常事象検知用ルールを異常事象検知用ルール登録部１５に登録して（ステップＳ１０４）処理を終了する。特定の条件は適用事例に応じて定めればよい。

なお、ステップＳ１０３の特定条件でのルール抽出を省略し、異常事象検知用ルール候補をそのまま異常事象検知用ルールとしてもよい。また、異常事象検知用ルール登録部１５への登録に代えて、異常事象検知用ルールを出力部１２から外部装置へ出力してもよい。

図３は、異常事象および正常事象の時系列パターンデータから時系列パターンセットを生成する場合における異常事象検知用ルールの抽出処理を示している。時系列パターンセットは、観察対象の状態の推移を表した時系列パターンデータを、所定の状態推移回数分の長さ（但し、２以上の長さ）に区切って取り出したものである。

たとえば、観察対象の状態がＡからＢ、Ｃ、Ｄ、Ｅと５回推移した時系列パターンデータ（Ａ−Ｂ−Ｃ−Ｄ−Ｅ）の場合、長さ２の時系列パターンセットとして、Ａ−Ｂ、Ｂ−Ｃ、Ｃ−Ｄ、Ｄ−Ｅの４つが生成される。すなわち、長さ２で取り得るすべての時系列パターンセットを生成する。同様に長さ３の時系列パターンセットとして、Ａ−Ｂ−Ｃ、Ｂ−Ｃ−Ｄ、Ｃ−Ｄ−Ｅが生成される。長さ４の時系列パターンセットとして、Ａ−Ｂ−Ｃ−ＤとＢ−Ｃ−Ｄ−Ｅの２つが生成され、長さ５の時系列パターンセットとして、Ａ−Ｂ−Ｃ−Ｄ−Ｅが生成される。

図３の異常事象検知用ルールの抽出処理では、まず、データベース部１４から正常事象に関する時系列パターンデータと、異常事象に関する時系列パターンデータをそれぞれ読み込む（ステップＳ１２１）。次に、各時系列パターンデータから、２以上の長さ毎に、その長さの生成し得るすべての時系列パターンセットを生成する（ステップＳ１２２）。

次に、異常事象ＤＢ（異常事象の時系列パターンデータ）から生成した時系列パターンセットに含まれていて、正常事象ＤＢ（正常事象の時系列パターンデータ）から生成した時系列パターンセットに含まれていない時系列パターンセットを、異常事象検知用ルール候補として選出する（ステップＳ１２３）。

さらに異常事象検知用ルール候補の中から特定の条件で絞込みを行って異常事象検知用ルールを抽出し（ステップＳ１２４）、抽出した異常事象検知用ルールを異常事象検知用ルール登録部１５に登録、もしくは外部装置へ出力して（ステップＳ１２５）処理を終了する。

図４は、異常事象時系列パターンデータ３１と、これから生成した時系列パターンセットの一覧３２の一例を示している。また、図５は、正常事象時系列パターンデータ３４と、これから生成した時系列パターンセットの一覧３５の一例を示している。図６は、図４の異常事象に関する時系列パターンセットの一覧３２に含まれて、図５の正常事象に関する時系列パターンセットの一覧３５に含まれていない時系列パターンセットを、異常事象検知用ルール候補として長さ別に示した異常事象検知用ルール候補一覧３７である。

たとえば、「Ｄ−Ｃ−Ｂ」は異常事象の時系列パターンセットに含まれているが、正常事象の時系列パターンセットにも含まれるので、異常事象検知用ルール候補には選出されず、除外される。「Ｅ−Ｄ−Ｃ」は異常事象の時系列パターンセットに含まれ、かつ正常事象の時系列パターンセットに含まれないので、異常事象検知用ルール候補に選出される。

図７は、累積発生確率に基づいて、異常事象検知用ルール候補から異常事象検知用ルールを抽出する場合の抽出例を示している。異常事象検知用ルール候補（ルール候補パターン）の中から時系列パターンセットを発生確率の高いものから順に選択し、選択した時系列パターンセットの発生確率の合計（累積発生確率）が予め定めた閾値（例えば９０％）を超えたとき、最後に選択したものを除く選択済みの時系列パターンセットを、異常事象検知用ルールとして抽出している。

図７では、異常事象検知用ルール候補となった時系列パターンセットを、発生確率の高いものから順にＰ_１、Ｐ_２、Ｐ_３、…、Ｐ_Ｎのように並べてあり、Ｐ_ｘに対応する棒グラフの長さは、Ｐ_１〜Ｐ_Ｘまでの各発生確率の合計値（累積発生確率）を表している。Ｐ_Ｊまでの累積発生確率は閾値Ｔｈｒ未満であり、Ｐ_Ｊ＋１までの累積発生確率が閾値Ｔｈｒを超えるので、Ｐ_１からＰ_Ｊが異常事象検知用ルールとして抽出される。

図８は、発生頻度に基づいて、異常事象検知用ルール候補から異常事象検知用ルールを抽出する場合の抽出例を示している。図８では、Ｐ_ｘの棒グラフの長さはＰ_ｘの発生頻度を示している。また、発生頻度の多い順にＰ_１、Ｐ_２、Ｐ_３、…、Ｐ_Ｎのように並べてある。本例では、異常事象検知用ルール候補（ルール候補パターン）の中で、発生頻度が閾値Ｔｈｒを超える時系列パターンセットが異常事象検知用ルールとして抽出される。

図９は、異常事象検知用ルール候補の中から、長さ４以上の時系列パターンセットを異常事象検知用ルールとして抽出した場合の一例を示している。図９（ａ）は異常事象検知用ルール候補の一覧であり、図９（ｂ）は、抽出後の異常事象検知用ルール一覧である。

図１０は、特定のパターンを含むことを条件に、異常事象検知用ルール候補の中から異常事象検知用ルールを抽出した場合の一例を示している。図１０（ａ）は異常事象検知用ルール候補の一覧であり、図１０（ｂ）は、抽出後の異常事象検知用ルール一覧である。図１０の例では、パターン（Ａ−Ｂ）が含まれることを条件に抽出している。

このように、異常事象に関するデータ（時系列パターンセット）から、正常事象に関するデータ（時系列パターンセット）に含まれるものを除外したものを異常事象検知用ルールとして自動抽出するので、異常事象検知用のルールを多数の制御パラメータを人が設定して定める場合に比べて、設定の手間を少なく抑えて、客観的なルールを得ることができる。特に、異常事象を観測して得たサンプルデータや、正常事象を観測して得たサンプルデータから異常事象検知用ルールを生成すれば、実際の観測データからルールを得るので、主観が一切入らず、客観的なルールを生成することができる。

また、正常事象、異常事象に関する時系列パターンデータからパターン長さ毎の時系列パターンセットを生成して、パターン長さ毎の異常事象検知用ルールを得るので、各種のパターン長さの異常事象検知用ルールを生成でき、異常事象の発生を多面的に検知できる。また短い長さのルールでヒットすれば、短時間で異常事象を検知することができる。

次に、具体例として、異常事象検知ルール自動抽出装置１０が、駐車場内の不審人物を検知するためのルールを自動生成する場合について説明する。

ここでは、駐車場内での人の動作を、動作の種類（基本動作要素）、動作の継続時間（時間要素）、車両との距離（相対位置要素）の３つの属性で定義する。１つの動作は、この３つの属性で定義される。基本動作要素としては、歩く・走るなどの「移動」（Move）、その場に停止して留まる「佇み」（Stop）、その場で姿勢を低くする「屈み」（Bend）、自動車のドアを開閉する「ドア開閉」（Door）の４つを定義する。また、時間要素は「短い」（Short）と「長い」（Long）で定義する。相対位置要素は「近い」(Near)と「遠い」（Far）で定義する。

以後、「移動」をＭＶ、「佇み」をＳＴ、「屈み」をＢＮ、「ドア開閉」をＤＲ、「短い」をＳ、「長い」をＬ、「近い」をＮ、「遠い」をＦとも図中略記する。また、「基本動作要素（時間要素、相対位置要素）」の形式で１つの動作を記号表記するものとする。たとえば、動作の基本動作要素が「移動」、時間要素が「短い」、相対位置要素が「近い」の場合、この動作はＭＶ（Ｓ，Ｎ）で表される。

図１２は、駐車場内の人物の正常行動（正常事象）に関する時系列パターンデータ（行動シーケンスとも呼ぶ。）４０と、この時系列パターンデータから生成された長さ毎の時系列パターンセット（行動シーケンスセットとも呼ぶ。）の一覧４１を示している。長さlenの時系列パターンセットは、len個の動作の並びで構成され、図では、MV(S, N) - ST(S, N)
-…、のように各動作を「−」で繋いで表す。本例の正常行動は、人が車に近づき、乗車する行動である。

図１３は、駐車場内の人物の不審行動（異常事象）に関する時系列パターンデータ（行動シーケンス）４４と、この時系列パターンデータから生成された長さ毎の時系列パターンセット（行動シーケンスセット）の一覧４５を示している。本例の不審行動は、人が車に近づき、ドアの鍵をこじ開けて車両内に侵入（乗車）する行動である。図１３の不審行動の行動シーケンス４４は、図１２の正常行動の行動シーケンス４０に対して、３番目の動作として「屈み」が含まれている。

図１４は、図１３の不審行動の行動シーケンスセット一覧４５に含まれていて、図１２の正常行動の行動シーケンスセット一覧４１に含まれていない行動シーケンスセットのみを、不審行動検知用行動シーケンスルールとして選出して得た、不審行動検知用行動シーケンスルール一覧４７を示している。この例では、異常事象検知用ルール抽出部２２による抽出は行わず、異常事象検知用ルール候補探索部２１で生成されたルール候補を、そのまま不審行動検知用行動シーケンスルールとしている。

このように、不審行動、正常行動の行動シーケンスから、それぞれ行動シーケンス長さ毎の行動シーケンスセットを生成して、シーケンスセットの長さ毎に不審行動検知用ルールを得るので、駐車場などでの不審人物をより精度高くかつ短時間の観測で検知することができる。また、データベースに登録されている異常事象、正常事象のサンプルデータからルールを自動的に生成するので、人がルールを設定する場合と異なり、少ない設定工数で、客観的なルールを得ることができる。

次に、本発明の第２の実施の形態について説明する。

犯罪行為などの不審行動に関するデータは収集が難しい。そこで、第２の実施の形態では、正常事象に関するデータから、異常事象検知用のルールとして正常事象ルールを生成する。

図１５は、第２の実施の形態に係る異常事象検知ルール自動抽出装置１０Ｂの構成を示している。図１の異常事象検知ルール自動抽出装置１０と同一部分には同一符号を付してある。異常事象検知ルール自動抽出装置１０Ｂは、入力部１１と、出力部１２と、ルール生成に関する各種処理を行う処理部１３Ｂと、正常事象に関するデータが登録されたデータベース部１４Ｂと、生成したルールを登録する正常事象ルール登録部１６とを備えて構成される。

処理部１３Ｂは、ＣＰＵ（Central Processing Unit）と、このＣＰＵが実行するプログラムや各種固定データが記憶されたＲＯＭ（Read Only Memory）と、ＲＡＭ（Random Access Memory）などを主要部として構成されている。処理部１３Ｂは、データ取得部２０と、正常事象ルール生成部２３と、登録制御部２８としての機能を果たす。

データベース部１４Ｂは、正常事象に関するデータが登録された正常事象時系列パターンＤＢ部２４を有する。正常事象時系列パターンＤＢ部２４に登録されるデータは、観察対象（駐車場内の人物や監視対象の機器、気象など）の状態の時間的な推移を表した時系列パターンデータである。データ取得部２０は、正常事象時系列パターンＤＢ部２４からデータを取得し、正常事象ルール生成部２３は、正常事象時系列パターンＤＢ部２４からデータ取得部２０によって取得したデータから、長さ毎の時系列パターンセットを生成する。登録制御部２８は、正常事象ルール生成部２３が生成した長さ毎の時系列パターンセットを、長さ毎の正常事象ルールとして正常事象ルール登録部１６に登録する。なお、処理部１３Ｂは、正常事象ルール生成部２３が生成した長さ毎の時系列パターンセットを、長さ毎の正常事象ルールとして出力部１２から外部装置へ出力する処理を行う場合もある。

正常事象ルールは、正常事象ルール登録部１６に登録されているすべてのルールに一致しない場合に、異常事象と判定するためのルールとして使用される。たとえば、駐車場内の監視映像データなどから、観察対象の状態の時間的な推移を表した時系列パターンデータを取得し、これを長さ毎の時系列パターンセットに分解する。そして、分解して得た各長さの時系列パターンセットを、対応する長さのすべての正常事象ルールと比較し、すべての長さで１つも正常事象ルールと一致しない場合に異常事象であると検知する。

図１６は、異常事象検知ルール自動抽出装置１０Ｂが行う正常事象ルールの生成処理を示している。データベース部１４Ｂから正常事象に関する時系列パターンデータを読み込む（ステップＳ２０１）。次に、各時系列パターンデータから、２以上の各長さについて、その長さの生成し得るすべての時系列パターンセットを生成する（ステップＳ２０２）。生成したすべての時系列パターンセットを正常事象ルールとして正常事象ルール登録部１６に登録、もしくは外部装置へ出力して（ステップＳ２０３）処理を終了する。

このように、異常事象に関するデータを得難い観察対象について、正常事象に関するデータのみから異常事象検知のための客観的なルールを生成することができる。また、長さ毎の時系列パターンセットを生成し、これらを正常事象ルールとするので、各長さで異常事象を検知することができ、短時間の観察から異常事象の発生を特定することが可能になる。

以上、本発明の実施の形態を図面によって説明してきたが、具体的な構成は実施の形態に示したものに限られるものではなく、本発明の要旨を逸脱しない範囲における変更や追加があっても本発明に含まれる。

実施の形態では、異常事象検知ルール自動抽出装置１０、１０Ｂについて説明したが、本発明は、同等の機能を情報処理装置等に実行させるためのプログラムや方法にも適用することができる。

異常事象検知ルール自動抽出装置１０、１０Ｂにあっては、データベース部１４、１４Ｂを具備せず、外部のデータベースから異常事象に関するデータや正常事象に関するデータを入力するように構成されてもよい。また、異常事象検知用ルール登録部１５や正常事象ルール登録部１６を設けずに、生成した異常事象検知用ルールや正常事象ルールを外部装置に出力するように構成されてもよい。

実施の形態では、異常事象や正常事象に関するデータを観察対象の状態の推移を表した時系列パターンデータとしたが、必ずしも時系列なデータでなくても、多数の測定項目に関する瞬時値を示すデータであってもかまわない。たとえば、機器の動作の正常／異常を判定する場合に、機器が正常動作しているときの多数の項目に関する測定データの瞬時値を正常事象データとして収集し、機器に異常が発生したときのそれらの項目に関する測定データの瞬時値を異常事象データとして収集し、各項目について異常事象データの瞬時値と正常事象データの瞬時値とを比較し、異常時の各項目から正常時と同等の瞬時値を持つ項目を除外することで、異常事象検知用のルール（測定項目とその瞬時値）を自動的に生成することができる。

機器の故障診断では、図１７（ａ）の一覧表５１に示すように、機器内の所定箇所の電圧値・電流値、機器内の各部位の温度、ファン回転数、クロック周波数、通信データ内容などの計測項目をその機器の状態（図６のＡ〜Ｅに対応するもの）を示す特徴量とする。それぞれの特徴量は、変化傾向（増加・減少、上昇・低下など）、変化幅、特定値以上・特定値以下、特定範囲内・特定範囲外、平均値・分散値などとすることができる。たとえば、長さ２のルールは、２つの計測項目の組み合わせとなる。すなわち、電圧値（ａボルト〜ｂボルトの範囲外）と温度（ｄ℃以上）、電圧値（ａボルト〜ｂボルトの範囲外）とクロック周波数（誤差１０％外）、などの組み合わせが長さ２の異常事象検知用ルールとして生成される。図１７（ｂ）は、気象に関する異常事象、正常事象、特徴量（観測項目）を示す一覧表５２の例を示している。異常気象の場合も、機器の故障診断と同様にすればよい。

１０、１０Ｂ…異常事象検知ルール自動抽出装置
１１…入力部
１２…出力部
１３、１３Ｂ…処理部
１４、１４Ｂ…データベース部
１５…異常事象検知用ルール登録部
１６…正常事象ルール登録部
２０…データ取得部
２１…異常事象検知用ルール候補探索部
２２…異常事象検知用ルール抽出部
２３…正常事象ルール生成部
２４…正常事象時系列パターンＤＢ部
２５…異常事象時系列パターンＤＢ部
２８…登録制御部
３１…異常事象時系列パターンデータ
３２…異常事象時系列パターンセットの一覧
３４…正常事象時系列パターンデータ
３５…正常事象時系列パターンセットの一覧
３７…異常事象検知用ルール候補一覧
４０…駐車場内の人物の正常行動の行動シーケンス
４１…正常行動の行動シーケンスセット一覧
４４…駐車場内の人物の不審行動の行動シーケンス
４５…不審行動の行動シーケンスセット一覧
４７…不審行動検知用行動シーケンスルール一覧
５１…機器の故障診断にかかわる異常事象、正常事象、特徴量の一覧
５２…異常気象予測にかかわる異常事象、正常事象、特徴量の一覧

Claims (12)

1. 異常事象に関する時系列データが登録された異常事象データベースと、正常事象に関する時系列データが登録された正常事象データベースとを比較して、異常事象データベースに登録されているいずれかの異常事象に関する時系列データの中の一部の区間に出現し、かつ、正常事象データベースに登録されているすべての正常事象の時系列データには出現しない任意の長さの時系列データのパターンを抽出し、この抽出したパターンを異常事象検知用ルールとして、ルール登録部に登録する
   ことを特徴とする異常事象検知ルール自動抽出方法。
2. 異常事象に関するデータが登録された異常事象データベースと、正常事象に関するデータが登録された正常事象データベースとを比較して、異常事象データベースに含まれ、かつ、正常事象データベースには含まれないデータのパターンを抽出し、この抽出したパターンを異常事象検知用ルールとして、ルール登録部に登録する異常事象検知ルール自動抽出方法であって、
   前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
   所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
   前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、前記異常事象検知用ルールとして、前記ルール登録部に登録する
   ことを特徴とする異常事象検知ルール自動抽出方法。
3. 異常事象に関するデータが登録された異常事象データベースと、正常事象に関するデータが登録された正常事象データベースとを比較して、異常事象データベースに含まれ、かつ、正常事象データベースには含まれないデータのパターンを抽出し、この抽出したパターンを異常事象検知用ルールとして、ルール登録部に登録する異常事象検知ルール自動抽出方法であって、
   前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
   所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
   前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、異常事象検知用ルール候補とし、
   前記異常事象検知用ルール候補の中から、ユーザの設定した絞り込み条件で抽出した時系列パターンセットを異常事象検知用ルールとして、前記ルール登録部に登録する
   ことを特徴とする異常事象検知ルール自動抽出方法。
4. 観察対象の状態の推移を表した時系列パターンデータであって、正常事象に関するものが登録された正常事象データベースから、所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、これらの時系列パターンセットを、登録されているすべてのルールに一致しない場合に、異常事象と判定するためのルールが登録される正常事象ルール登録部に、前記ルールとして登録する
   ことを特徴とする異常事象検知ルール自動抽出方法。
5. 異常事象データベースから異常事象に関する時系列データを取得し、正常事象データベースから正常事象に関する時系列データを取得するデータ取得部と、
   前記異常事象データベースから取得した異常事象に関する時系列データと、前記正常事象データベースから取得した正常事象に関する時系列データとを比較して、前記異常事象データベースに登録されているいずれかの異常事象に関する時系列データの中の一部の区間に出現し、かつ、前記正常事象データベースに登録されているすべての正常事象の時系列データには出現しない任意の長さの時系列データのパターンを抽出する抽出部と、
   前記抽出部が抽出したパターンを異常事象検知用ルールとして出力する出力部と
   を有する
   ことを特徴とする異常事象検知ルール自動抽出装置。
6. 異常事象に関する時系列データが登録された異常事象データベースと、
   正常事象に関する時系列データが登録された正常事象データベースと、
   ルール登録部と、
   前記異常事象データベースと前記正常事象データベースとを比較して、前記異常事象データベースに登録されているいずれかの異常事象に関する時系列データの中の一部の区間に出現し、かつ、前記正常事象データベースに登録されているすべての正常事象の時系列データには出現しない任意の長さの時系列データのパターンを抽出する抽出部と、
   前記抽出部の抽出したパターンを異常事象検知用ルールとして前記ルール登録部に登録する登録制御部と
   を有する
   ことを特徴とする異常事象検知ルール自動抽出装置。
7. 異常事象データベースから異常事象に関するデータを取得し、正常事象データベースから正常事象に関するデータを取得するデータ取得部と、
   前記異常事象データベースから取得したデータと、前記正常事象データベースから取得したデータとを比較して、前記異常事象データベースに含まれ、かつ、前記正常事象データベースには含まれないデータのパターンを抽出する抽出部と、
   前記抽出部が抽出したパターンを異常事象検知用ルールとして出力する出力部と
   を有する異常事象検知ルール自動抽出装置であって、
   前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
   前記抽出部は、
   所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
   前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、前記異常事象検知用ルールとする
   ことを特徴とする異常事象検知ルール自動抽出装置。
8. 異常事象に関するデータが登録された異常事象データベースと、
   正常事象に関するデータが登録された正常事象データベースと、
   ルール登録部と、
   前記異常事象データベースと前記正常事象データベースとを比較して、前記異常事象データベースに含まれ、かつ、前記正常事象データベースには含まれないデータのパターンを抽出する抽出部と、
   前記抽出部の抽出したパターンを異常事象検知用ルールとして前記ルール登録部に登録する登録制御部と
   を有する異常事象検知ルール自動抽出装置であって、
   前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
   前記抽出部は、
   所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
   前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、前記異常事象検知用ルールとする
   ことを特徴とする異常事象検知ルール自動抽出装置。
9. 異常事象データベースから異常事象に関するデータを取得し、正常事象データベースから正常事象に関するデータを取得するデータ取得部と、
   前記異常事象データベースから取得したデータと、前記正常事象データベースから取得したデータとを比較して、前記異常事象データベースに含まれ、かつ、前記正常事象データベースには含まれないデータのパターンを抽出する抽出部と、
   前記抽出部が抽出したパターンを異常事象検知用ルールとして出力する出力部と
   を有する異常事象検知ルール自動抽出装置であって、
   前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
   前記抽出部は、
   所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
   前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、異常事象検知用ルール候補とし、
   該異常事象検知用ルール候補の中から、ユーザの設定した絞り込み条件で抽出した時系列パターンセットを、前記異常事象検知用ルールとする
   ことを特徴とする異常事象検知ルール自動抽出装置。
10. 異常事象に関するデータが登録された異常事象データベースと、
    正常事象に関するデータが登録された正常事象データベースと、
    ルール登録部と、
    前記異常事象データベースと前記正常事象データベースとを比較して、前記異常事象データベースに含まれ、かつ、前記正常事象データベースには含まれないデータのパターンを抽出する抽出部と、
    前記抽出部の抽出したパターンを異常事象検知用ルールとして前記ルール登録部に登録する登録制御部と
    を有する異常事象検知ルール自動抽出装置であって、
    前記データは、観察対象の状態の推移を表した時系列パターンデータであり、
    前記抽出部は、
    所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを、前記異常事象データベースと前記正常事象データベースのそれぞれから生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行い、
    前記異常事象データベースから生成した時系列パターンセットに含まれていて、前記正常事象データベースから生成した時系列パターンセットに含まれていない時系列パターンセットを、異常事象検知用ルール候補とし、
    該異常事象検知用ルール候補の中から、ユーザの設定した絞り込み条件で抽出した時系列パターンセットを、前記異常事象検知用ルールとする
    ことを特徴とする異常事象検知ルール自動抽出装置。
11. 正常事象に関するデータが登録された正常事象データベースから、観察対象の状態の推移を表した時系列パターンデータを取得するデータ取得部と、
    前記データ取得部で取得した時系列パターンデータから、所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行うルール生成部と、
    前記ルール生成部が生成した時系列パターンセットを、すべてのルールに一致しない場合に、異常事象と判定するためのルールとして出力する出力部と
    を有する
    ことを特徴とする異常事象検知ルール自動抽出装置。
12. 正常事象に関して、観察対象の状態の推移を表した時系列パターンデータが登録された正常事象データベースと、
    登録されているすべてのルールに一致しない場合に、異常事象と判定するためのルールが登録される正常事象ルール登録部と、
    前記正常事象データベースに登録されている時系列パターンデータから、所定の状態推移回数分の長さの時系列パターンデータである時系列パターンセットを生成することを、時系列パターンセットの長さ毎にその長さで取り得るすべての時系列パターンセットを生成するようにして行うルール生成部と、
    前記ルール生成部が生成した時系列パターンセットを、前記ルールとして前記正常事象ルール登録部に登録する登録制御部と
    を有する
    ことを特徴とする異常事象検知ルール自動抽出装置。

Images