JP7552902B2

JP7552902B2 - 検知期間設定装置、検知期間設定方法、及びプログラム

Info

Publication number: JP7552902B2
Application number: JP2023529356A
Authority: JP
Inventors: 彰子高橋; 大介池上
Original assignee: Nippon Telegraph and Telephone Corp; NTT Inc USA
Current assignee: NTT Inc; NTT Inc USA
Priority date: 2021-06-23
Filing date: 2021-06-23
Publication date: 2024-09-18
Anticipated expiration: 2041-06-23
Also published as: WO2022269843A1; JPWO2022269843A1

Description

特許法第３０条第２項適用２０２１年２月１５日にｈｔｔｐｓ：／／ｗｗｗ．ｉｅｉｃｅ－ｔａｉｋａｉ．ｊｐ／２０２１ｇｅｎｅｒａｌ／ｊｐｎ／ｗｅｂｐｒｏ／＿ｈｔｍｌ／ｃｓ．ｈｔｍｌ＃ｂ＿１１にて公開２０２１年２月２３日にｈｔｔｐｓ：／／ｗｗｗ．ｉｅｉｃｅ－ｔａｉｋａｉ．ｊｐ／２０２１ｇｅｎｅｒａｌ／ｊｐｎ／ｐｒｏｇｒａｍ．ｈｔｍｌにて公開２０２０年７月９日にｈｔｔｐｓ：／／ｗｗｗ．ｉｅｉｃｅ．ｏｒｇ／ｋｅｎ／ｐａｐｅｒ／２０２００７１７Ｔ１ＺＨ／にて公開

本発明は、検知期間設定装置、検知期間設定方法、及びプログラムに関する。

１つ又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データを用いて、当該システムの非定常変動を検知する技術が従来から知られている。ここで、非定常変動とは非定常的に発生するシステムの状態変動のことであり、例えば、システムに含まれる一部の装置の故障に伴う状態変動やシステム状態に影響を与える外的要因の発生に伴う状態変動等のことである。具体例を挙げれば、例えば、各時点におけるシステム状態を表すデータの項目がシステムを構成する各装置の「リクエスト処理数」であるとした場合、非定常変動としては、一部の装置の故障に伴う当該装置のリクエスト処理数の減少及びそれに伴う他の装置のリクエスト処理数の増加、システム状態に影響を与えるイベントの発生に伴う総リクエスト処理数の増加又は減少等が挙げられる。なお、例えば、システムを構成する装置数をＭ、各時点におけるシステム状態を表すデータの項目数をＫとすれば当該データはＭ×Ｋ次元のベクトルで表すことができるため、時点数がＮである場合、１つ又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データはＮ個のＭ×Ｋ次元データで構成される。

一般的に、正解ラベルが付与されていないデータを用いて、非定常変動等の異常を検知する場合、システムの定常状態を定義した上で、この定常状態を逸脱する異常値（外れ値）を検知することが行われている。上記のような複数次元（１次元も含む）のデータから異常値を検知する技術としては、例えば、非特許文献１～非特許文献３に記載されている技術が知られている。

例えば、時点１から時点ＮにおけるＭ個の装置のリクエスト処理数の観測値が時系列データ（つまり、Ｎ個のＭ次元データで構成される時系列データ）として得られており、各Ｍ次元データは異常値を含まないか又は異常値を含んでいたとしても圧倒的に少数であるものとする。このとき、各装置の定常状態が変化しないものとすると、各装置のリクエスト処理数は一定値周辺に分布すると考えられるため、Ｎ個のＭ次元データに対して一定値周辺で分布するＭ次元分布を仮定することができる。非特許文献１では、このＭ次元分布としてＭ次元正規分布を仮定した上で、新たなＭ次元データが観測される度にＭ次元正規分布の標本平均からのマハラノビス距離を算出し、その算出値の多寡に応じて異常判定する方法が提案されている。また、非特許文献２では、Ｋ－Ｍｅａｎｓ法等のクラスタリング手法によりＮ個のＭ次元データをクラスタに分類すると共に経験則等の何等かのルールに基づいて各クラスタに対して正常又は異常を表すラベルを付与した上で、新たなＭ次元データが観測される度に最も近いクラスタ中心を持つクラスタのラベルから異常判定する方法が提案されている。このように、非特許文献１及び２では、各時点におけるシステムの状態（つまり、各時点におけるシステムのスナップショット）に着目して異常を検知する方法が提案されている。

非特許文献１及び２で提案されている方法では、各時点におけるシステムの状態に着目しているため、定常状態においても時間変動や週変動等の周期変動によってシステム状態の定常的な変動（以下、「定常変動」ともいう）が繰り返されている場合には定常変動とそれ以外の非定常変動とを区別することが難しく、定常変動を非定常変動と誤検知したり、非定常変動の検知漏れが発生したりする可能性がある。これに対して、非特許文献３では、時間経過に伴うシステムの状態遷移に着目して異常を検知する方法（非定常変動検知技術）が提案されており、システム状態の定常変動と区別して非定常変動を検知可能としている。

N.Ye et al., "An anomaly detection technique based on a chi-square statistic for detecting intrusions into information systems," Quality and Reliability Engineering, Vol.17 (2), 2001. G.Munz et al., "Traffic Anomaly Detection Using K-Means Clustering," Computer Science, 2007. 高橋, 池上, "多次元時系列データにおける非定常変動検知技術の提案," 信学技報, CQ2020-32, pp.57-62, July 2020.

ここで、非特許文献３で提案されている方法では、システム状態を表す時系列データをクラスタリングし、滞在期間（異なるクラスタに遷移するまでの時点数）付きクラスタ遷移系列を作成した上で、それらの中で出現確率が低く、かつ、所定のクラスタ遷移パターンに合致する部分系列に対応する期間の全期間又はその一部の期間を非定常変動発生期間としている。しかしながら、非特許文献３では、非定常変動発生期間をどのように設定すべきかについては言及されていない。一方で、非定常変動発生期間の設定の仕方によっては不適切な非定常変動検知となることがある。例えば、上記の部分系列に対応する期間が長期間にわたっており、その全期間を非定常変動発生期間とした場合、長期間にわたってアラート等が発報されることになり適切な非定常変動検知とは言えないと考えられる。

本発明の一実施形態は、上記の点に鑑みてなされたもので、非定常変動を検知する際に適切な検知期間を設定することを目的とする。

上記目的を達成するため、一実施形態に係る検知期間設定装置は、１又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データをクラスタリングすることで作成されたクラスタＩＤ系列を入力するクラスタＩＤ系列入力部と、前記クラスタＩＤ系列中で異なるクラスタに遷移するまでの時点数を表す滞在期間が、前記異なるクラスタに遷移するまでのクラスタＩＤに付与されたクラスタ遷移系列の部分系列であって、所定の系列長で、かつ、少なくとも出現確率が所定の閾値を下回る部分系列を、前記システムの非定常状態を表す非定常クラスタ遷移部分系列として入力する非定常系列入力部と、前記クラスタＩＤ系列を用いて、前記非定常クラスタ遷移部分系列を構成する各クラスタＩＤについて、前記非定常クラスタ遷移部分系列が非定常状態を表すことに対する前記クラスタＩＤの寄与度を算出する算出部と、前記寄与度を用いて、前記非定常クラスタ遷移部分系列を構成する各クラスタＩＤの中から非定常要因クラスタを抽出する抽出部と、前記非定常クラスタ遷移部分系列に対応する期間のうち、前記非定常要因クラスタに対応する期間を、前記非定常状態の変動が発生している期間として設定する設定部と、を有することを特徴とする。

非定常変動を検知する際に適切な検知期間を設定することができる。

本実施形態に係る検知期間設定装置の機能構成の一例を示す図である。本実施形態に係る検知期間設定処理の一例を示すフローチャートである。本実施形態に係る検知期間設定装置のハードウェア構成の一例を示す図である。

以下、本発明の一実施形態について説明する。本実施形態では、１又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データを用いて、システム状態の定常変動と区別して非定常変動を検知する際に、適切な期間を非定常変動の発生期間として自動的に設定することが可能な検知期間設定装置１０について説明する。なお、非定常変動の発生期間とは非定常変動の発生が検知された期間のことであり、「非定常変動の検知期間」又は単に「検知期間」等と呼ばれてもよい。

本実施形態に係る検知期間設定装置１０を非特許文献３等で提案されている非定常変動検知技術と組み合わせることで、非定常変動の発生期間を適切かつ自動的に設定することが可能となり、定常変動（例えば、時間変動や週変動等の平常時に観測されるシステム状態の定常的な変動）と区別しての非定常変動の検知を人間の判断を介さずに高精度に実施することができるようになる。

＜非定常変動検知技術＞
まず、非特許文献３等で提案されている非定常変動検知技術の概略について説明する。

以下では、データ観測期間の時点数をＮとして、Ｎ個の多次元データ（システムを構成する装置数×当該装置の状態を表す項目数次元のデータ、又は、システムを構成する装置数×当該装置の状態を表す項目数×時間窓に含まれる時点数次元のデータ）で構成される時系列データが観測されたものとする。

このとき、非定常変動検知技術では、以下のＳｔｅｐ１～Ｓｔｅｐ４により非定常変動の発生期間を検知する。なお、非定常変動検知技術の詳細については非特許文献３等を参照されたい。

Ｓｔｅｐ１：Ｎ個の多次元データをクラスタリングすることで、各多次元データを各クラスタに分類する。これにより、Ｎ個の多次元データに対応するクラスタＩＤ系列が得られる。

Ｓｔｅｐ２：クラスタＩＤ系列中で異なるクラスタに遷移するまでの滞在期間（つまり、異なるクラスタに遷移するまでの時点数）をカウントした上で、異なるクラスタに遷移するまでのクラスタＩＤに対して当該滞在期間を付与した滞在期間付きクラスタ遷移系列を作成し、その中から所定の系列長の滞在期間付きクラスタ遷移部分系列を作成する。また、各滞在期間付きクラスタ遷移部分系列の発生件数とその出現確率を算出する。

例えば、クラスタＩＤ系列がｃ_１→ｃ_２→ｃ_２→ｃ_２→ｃ_１→ｃ_１→ｃ_３といったものである場合、時点１のクラスタＩＤ「ｃ_１」の滞在期間は１、時点２～時点４のクラスタＩＤ「ｃ_２」の滞在期間は３、時点５～時点６のクラスタＩＤ「ｃ_１」の滞在期間は２、時点７のクラスタＩＤ「ｃ_３」の滞在期間は１となる。このため、滞在期間付きクラスタ遷移系列は、例えば、ｃ_１｜１→ｃ_２｜３→ｃ_１｜２→ｃ_３｜１と表すことができる。したがって、例えば、所定の系列長が３である場合、滞在期間付きクラスタ遷移部分系列は、ｃ_１｜１→ｃ_２｜３→ｃ_１｜２とｃ_２｜３→ｃ_１｜２→ｃ_３｜１になる。

Ｓｔｅｐ３：滞在期間付きクラスタ遷移部分系列の中から出現確率が所定の閾値を下回る、又は、所定のクラスタ遷移パターンに合致し、かつ、出現確率が所定の閾値を下回る滞在期間付きクラスタ遷移部分系列を抽出する。以下、この抽出された滞在期間付きクラスタ遷移部分系列を「非定常クラスタ遷移部分系列」ともいう。

なお、所定のクラスタ遷移パターンとしては、例えば、Ｘ→Ｙ→Ｘといった遷移パターンが考えられる。このため、例えば、上記の滞在期間付きクラスタ遷移部分系列ｃ_１｜１→ｃ_２｜３→ｃ_１｜２の出現確率が所定の閾値を下回っている場合は、この滞在期間付きクラスタ遷移部分系列は非定常クラスタ遷移部分系列として抽出される。

Ｓｔｅｐ４：そして、非定常クラスタ遷移部分系列とクラスタＩＤ系列とを用いて、非定常変動発生期間を検知する。すなわち、当該クラスタＩＤ系列中で当該非定常クラスタ遷移部分系列に合致するクラスタ遷移パターンの期間の全期間又はその一部の期間を非定常変動発生期間として検知する。

以下では、データ観測期間の各時点をｎ（ｎ＝１，・・・，Ｎ）として、クラスタＩＤ系列を構成する時点ｎのクラスタＩＤをｃ（ｎ）とする。また、非定常クラスタ遷移部分系列の系列長をＬ、上記のＳｔｅｐ３で抽出された非定常クラスタ遷移部分系列の数をＫとして、ｋ（ｋ＝１，・・・，Ｋ）番目の非定常クラスタ遷移部分系列のｌ（ｌ＝１，・・・，Ｌ）番目のクラスタＩＤをｃ_ｋｌ、当該クラスタＩＤの滞在期間（時点数）をｄ_ｋｌとする。このとき、ｋ番目の系列長Ｌの非定常クラスタ遷移部分系列をｃ_ｋ１｜ｄ_ｋ１→ｃ_ｋ２｜ｄ_ｋ２→・・・→ｃ_ｋＬ｜ｄ_ｋＬと表す。

ここで、Ｌは２以上であり、各滞在期間ｄ_ｋｌも１以上である。このため、例えば、非定常クラスタ遷移部分系列に合致するクラスタ遷移パターンの期間の全期間を非定常変動発生期間とすると、時点Σ_ｌｄ_ｋｌにわたってアラート等が発報されることになり、緩やかなクラスタ遷移が観測される時系列データ（つまり、各クラスタにおける滞在期間が長い時系列データ）においては適切な非定常変動検知とは言えないと考えられる。

そこで、本実施形態に係る検知期間設定装置１０により、非定常クラスタ遷移部分系列に合致するクラスタ遷移パターンの期間の中から適切な期間を非定常変動発生期間（つまり、検知期間）として設定する。これにより、上述したような長期間にわたってアラート等が発報されるといった不適切な非定常変動検知を防止することが可能となる。

＜機能構成＞
まず、本実施形態に係る検知期間設定装置１０の機能構成について、図１を参照しながら説明する。図１は、本実施形態に係る検知期間設定装置１０の機能構成の一例を示す図である。

図１に示すように、本実施形態に係る検知期間設定装置１０は、クラスタＩＤ系列入力部１０１と、非定常系列入力部１０２と、非定常要因クラスタ抽出部１０３と、検知期間設定部１０４と、出力部１０５とを有する。ここで、本実施形態に係る検知期間設定装置１０には、上記のＳｔｅｐ１～Ｓｔｅｐ３の処理を実行する非定常変動検知装置２０で作成されたクラスタＩＤ系列と非定常クラスタ遷移部分系列とが与えられるものとする。

クラスタＩＤ系列入力部１０１は、クラスタＩＤ系列を入力する。ここで、クラスタＩＤ系列はＮ個のクラスタＩＤの系列であり、ｃ（１）→ｃ（２）→・・・→ｃ（Ｎ）と表される。

なお、クラスタＩＤ系列入力部１０１は、例えば、通信ネットワークを介して非定常変動検知装置２０からクラスタＩＤ系列を受信することで、当該クラスタＩＤ系列を入力すればよい。ただし、これ以外にも、例えば、非定常変動検知装置２０で作成されたクラスタＩＤ系列が補助記憶装置等に格納されている場合には、クラスタＩＤ系列入力部１０１は、この補助記憶装置等からクラスタＩＤ系列を読み込むことで当該クラスタＩＤ系列を入力してもよい。又は、例えば、クラスタＩＤ系列入力部１０１は、非定常変動検知装置２０で作成されたクラスタＩＤ系列を保持している他の装置等から当該クラスタＩＤ系列を受信することで入力してもよい。

非定常系列入力部１０２は、Ｋ個の系列長Ｌの非定常クラスタ遷移部分系列ｃ_ｋ１｜ｄ_ｋ１→ｃ_ｋ２｜ｄ_ｋ２→・・・→ｃ_ｋＬ｜ｄ_ｋＬ（ｋ＝１，・・・，Ｋ）を入力する。

なお、非定常系列入力部１０２は、クラスタＩＤ系列入力部１０１と同様に、例えば、通信ネットワークを介して非定常変動検知装置２０から非定常クラスタ遷移部分系列を受信することで、当該非定常クラスタ遷移部分系列を入力すればよい。ただし、これ以外にも、例えば、非定常変動検知装置２０で作成された非定常クラスタ遷移部分系列が補助記憶装置等に格納されている場合には、非定常系列入力部１０２は、この補助記憶装置等から非定常クラスタ遷移部分系列を読み込むことで当該非定常クラスタ遷移部分系列を入力してもよい。又は、例えば、非定常系列入力部１０２は、非定常変動検知装置２０で作成された非定常クラスタ遷移部分系列を保持している他の装置等から当該非定常クラスタ遷移部分系列を受信することで入力してもよい。

非定常要因クラスタ抽出部１０３は、クラスタＩＤ系列入力部１０１により入力されたクラスタＩＤ系列を用いて、非定常系列入力部１０２により入力された非定常クラスタ遷移部分系列を構成するクラスタＩＤの中から、当該非定常クラスタ遷移部分系列が非定常状態を表すと判定される要因となった可能性の高いクラスタＩＤ（以下、非定常要因クラスタともいう。）を抽出する。

より具体的には、非定常要因クラスタ抽出部１０３は、系列長Ｌの非定常クラスタ遷移部分系列ｃ_ｋ１｜ｄ_ｋ１→ｃ_ｋ２｜ｄ_ｋ２→・・・→ｃ_ｋＬ｜ｄ_ｋＬを構成する各クラスタＩＤであるｃ_ｋｌ（ｌ＝１，２，・・・，Ｌ）について、当該非定常クラスタ遷移部分系列が非定常状態を表すと判定されるにあたっての当該クラスタＩＤの寄与度（以下、非定常判定寄与度ともいう。）δ（ｃ_ｋｌ）を算出した上で、当該非定常判定寄与度が最も高い又は当該非定常判定寄与度が所定の閾値を上回るクラスタＩＤを非定常要因クラスタｃ_ｋｌ ^＊として抽出する。

検知期間設定部１０４は、時点ｎ＝１，２，・・・，Ｎの中から、非定常系列入力部１０２により入力された非定常クラスタ遷移部分系列ｃ_ｋ１｜ｄ_ｋ１→ｃ_ｋ２｜ｄ_ｋ２→・・・→ｃ_ｋＬ｜ｄ_ｋＬが発生している期間を抽出した上で、更にその期間の中で非定常要因クラスタｃ_ｋｌ ^＊に滞在している期間を抽出し、この抽出した期間を非定常変動発生期間（検知期間）として設定する。

出力部１０５は、検知期間設定部１０４により設定された非定常変動発生期間（検知期間）を出力する。なお、出力部１０５は、任意の出力先に非定常変動発生期間を出力すればよい。例えば、出力部１０５は、通信ネットワークを介して非定常変動検知装置２０やその他のサーバ装置等に非定常変動発生期間を出力してもよいし、ディスプレイ等に非定常変動発生期間を出力してもよいし、補助記憶装置等に非定常変動発生期間を出力してもよい。

なお、図１に示す例では検知期間設定装置１０と非定常変動検知装置２０とが異なる装置であるものとしているが、これは一体の装置で構成されていてもよい。すなわち、検知期間設定装置１０と非定常変動検知装置２０とが一体の装置で構成されており、この装置が上記のＳｔｅｐ１～Ｓｔｅｐ３の処理を実行すると共に、クラスタＩＤ系列入力部１０１と、非定常系列入力部１０２と、非定常要因クラスタ抽出部１０３と、検知期間設定部１０４と、出力部１０５とを有していてもよい。また、更に、検知期間設定装置１０は、非定常変動発生期間が得られたことに応じて、非定常変動の検知対象のシステムに対して種々の制御（例えば、システムの全部又は一部の装置を停止させる、安全な運転に切り替える、待機系に切り替える等）を行ってもよい。

＜検知期間設定処理＞
次に、本実施形態に係る検知期間設定処理について、図２を参照しながら説明する。図２は、本実施形態に係る検知期間設定処理の一例を示すフローチャートである。

ステップＳ１０１：まず、クラスタＩＤ系列入力部１０１は、非定常変動検知装置２０が上記のＳｔｅｐ１の処理を実行することで作成されたクラスタＩＤ系列ｃ（１）→ｃ（２）→・・・→ｃ（Ｎ）を入力する。

ステップＳ１０２：次に、非定常系列入力部１０２は、非定常変動検知装置２０が上記のＳｔｅｐ２～Ｓｔｅｐ３の処理を実行することで作成されたＫ個の系列長Ｌの非定常クラスタ遷移部分系列ｃ_ｋ１｜ｄ_ｋ１→ｃ_ｋ２｜ｄ_ｋ２→・・・→ｃ_ｋＬ｜ｄ_ｋＬ（ｋ＝１，・・・，Ｋ）を入力する。

ステップＳ１０３：次に、非定常要因クラスタ抽出部１０３は、上記のステップＳ１０１で入力されたクラスタＩＤ系列ｃ（１）→ｃ（２）→・・・→ｃ（Ｎ）を用いて、上記のステップＳ１０２で入力された非定常クラスタ遷移部分系列ｃ_ｋ１｜ｄ_ｋ１→ｃ_ｋ２｜ｄ_ｋ２→・・・→ｃ_ｋＬ｜ｄ_ｋＬ毎に、その非定常クラスタ遷移部分系列を構成するクラスタＩＤの中から非定常要因クラスタを抽出する。

すなわち、非定常要因クラスタ抽出部１０３は、系列長Ｌの非定常クラスタ遷移部分系列ｃ_ｋ１｜ｄ_ｋ１→ｃ_ｋ２｜ｄ_ｋ２→・・・→ｃ_ｋＬ｜ｄ_ｋＬ毎に、その非定常クラスタ遷移部分系列を構成する各クラスタＩＤの非定常判定寄与度δ（ｃ_ｋｌ）を算出した上で、当該非定常判定寄与度が最も高い又は当該非定常判定寄与度が所定の閾値を上回るクラスタＩＤを非定常要因クラスタｃ_ｋｌ ^＊として抽出する。これにより、ｋ＝１，・・，Ｋに対してそれぞれ１つ以上の非定常要因クラスタｃ_ｋｌ ^＊が抽出される。

ここで、非定常判定寄与度δ（ｃ_ｋｌ）は、クラスタＩＤ系列ｃ（１）→ｃ（２）→・・・→ｃ（Ｎ）に基づいて算出する。例えば、クラスタＩＤ系列ｃ（１）→ｃ（２）→・・・→ｃ（Ｎ）におけるｃ_ｋｌの出現確率をφ（ｃ_ｋｌ）として、その逆数１／φ（ｃ_ｋｌ）を非定常判定寄与度δ（ｃ_ｋｌ）とすればよい。又は、例えば、クラスタＩＤ系列ｃ（１）→ｃ（２）→・・・→ｃ（Ｎ）におけるｃ_ｋｌの出現確率φ（ｃ_ｋｌ）を単調非増加関数ｆで変換した値ｆ（φ（ｃ_ｋｌ））を非定常判定寄与度δ（ｃ_ｋｌ）としてもよい。

ステップＳ１０４：次に、検知期間設定部１０４は、上記のステップＳ１０２で入力された非定常クラスタ遷移部分系列毎に、時点ｎ＝１，２，・・・，Ｎの中から、その非定常クラスタ遷移部分系列ｃ_ｋ１｜ｄ_ｋ１→ｃ_ｋ２｜ｄ_ｋ２→・・・→ｃ_ｋＬ｜ｄ_ｋＬが発生している期間を抽出した上で、更にその期間の中で非定常要因クラスタｃ_ｋｌ ^＊に滞在している期間を抽出し、この抽出した期間を非定常変動発生期間（検知期間）として設定する。これにより、ｋ＝１，・・・，Ｋの非定常クラスタ遷移部分系列に対してそれぞれ非定常変動発生期間が設定される。

例えば、或るｋについて、非定常クラスタ遷移部分系列ｃ_ｋ１｜ｄ_ｋ１→ｃ_ｋ２｜ｄ_ｋ２→・・・→ｃ_ｋＬ｜ｄ_ｋＬが発生している期間がｎ'，ｎ'＋１，・・・，ｎ'＋Ｍ（Ｍは、Ｍ≧Ｌを満たす整数）であり、このうち非定常要因クラスタｃ_ｋｌ ^＊に滞在している期間がｎ'＋ｓ，・・・，ｎ'＋ｓ'（ｓはｓ≧１を満たす整数、ｓ'はＭ≧ｓ'≧ｓを満たす整数）であった場合、ｎ＝ｎ'＋ｓ，・・・，ｎ'＋ｓ'が非定常変動発生期間となる。

ステップＳ１０５：そして、出力部１０５は、上記のステップＳ１０４で設定された各非定常変動発生期間（各検知期間）を出力する。

以上のように、本実施形態に係る検知期間設定装置１０は、非特許文献３等に記載されている非定常変動検知技術により非定常変動を検知する際に、当該非定常変動検知技術で作成された非定常クラスタ遷移部分系列に対して、非定常変動の発生期間を表す検知期間を適切かつ自動的に設定することができる。これにより、定常変動と区別しての非定常変動の検知を人間の判断を介さずに高精度に実施することが可能となる。

＜ハードウェア構成＞
最後に、本実施形態に係る検知期間設定装置１０のハードウェア構成について、図３を参照しながら説明する。図３は、本実施形態に係る検知期間設定装置１０のハードウェア構成の一例を示す図である。

図３に示すように、本実施形態に係る検知期間設定装置１０は一般的なコンピュータ又はコンピュータシステムで実現され、入力装置２０１と、表示装置２０２と、外部Ｉ／Ｆ２０３と、通信Ｉ／Ｆ２０４と、プロセッサ２０５と、メモリ装置２０６とを有する。これら各ハードウェアは、それぞれがバス２０７を介して通信可能に接続されている。

入力装置２０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置２０２は、例えば、ディスプレイ等である。なお、検知期間設定装置１０は、入力装置２０１及び表示装置２０２のうちの少なくとも一方を有していなくてもよい。

外部Ｉ／Ｆ２０３は、記録媒体２０３ａ等の外部装置とのインタフェースである。検知期間設定装置１０は、外部Ｉ／Ｆ２０３を介して、記録媒体２０３ａの読み取りや書き込み等を行うことができる。記録媒体２０３ａには、例えば、検知期間設定装置１０が有する各機能部（クラスタＩＤ系列入力部１０１、非定常系列入力部１０２、非定常要因クラスタ抽出部１０３、検知期間設定部１０４、及び出力部１０５）を実現する１以上のプログラムが格納されていてもよい。なお、記録媒体２０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等がある。

通信Ｉ／Ｆ２０４は、検知期間設定装置１０を通信ネットワークに接続するためのインタフェースである。なお、検知期間設定装置１０が有する各機能部を実現する１以上のプログラムは、通信Ｉ／Ｆ２０４を介して、所定のサーバ装置等から取得（ダウンロード）されてもよい。

プロセッサ２０５は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等の各種演算装置である。検知期間設定装置１０が有する各機能部は、例えば、メモリ装置２０６に格納されている１以上のプログラムがプロセッサ２０５に実行させる処理により実現される。

メモリ装置２０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。

本実施形態に係る検知期間設定装置１０は、図３に示すハードウェア構成を有することにより、上述した検知期間設定処理を実現することができる。なお、図３に示すハードウェア構成は一例であって、検知期間設定装置１０は、他のハードウェア構成を有していてもよい。例えば、検知期間設定装置１０は、複数のプロセッサ２０５を有していてもよいし、複数のメモリ装置２０６を有していてもよい。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

１０検知期間設定装置
２０非定常変動検知装置
１０１クラスタＩＤ系列入力部
１０２非定常系列入力部
１０３非定常要因クラスタ抽出部
１０４検知期間設定部
１０５出力部
２０１入力装置
２０２表示装置
２０３外部Ｉ／Ｆ
２０３ａ記録媒体
２０４通信Ｉ／Ｆ
２０５プロセッサ
２０６メモリ装置
２０７バス

Claims

１又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データをクラスタリングすることで作成されたクラスタＩＤ系列を入力するクラスタＩＤ系列入力部と、
前記クラスタＩＤ系列中で異なるクラスタに遷移するまでの時点数を表す滞在期間が、前記異なるクラスタに遷移するまでのクラスタＩＤに付与されたクラスタ遷移系列の部分系列であって、所定の系列長で、かつ、少なくとも出現確率が所定の閾値を下回る部分系列を、前記システムの非定常状態を表す非定常クラスタ遷移部分系列として入力する非定常系列入力部と、
前記クラスタＩＤ系列を用いて、前記非定常クラスタ遷移部分系列を構成する各クラスタＩＤについて、前記非定常クラスタ遷移部分系列が非定常状態を表すことに対する前記クラスタＩＤの寄与度を算出する算出部と、
前記寄与度を用いて、前記非定常クラスタ遷移部分系列を構成する各クラスタＩＤの中から非定常要因クラスタを抽出する抽出部と、
前記非定常クラスタ遷移部分系列に対応する期間のうち、前記非定常要因クラスタに対応する期間を、前記非定常状態の変動が発生している期間として設定する設定部と、
を有することを特徴とする検知期間設定装置。
前記算出部は、
前記クラスタＩＤ系列における前記クラスタＩＤの出現確率を所定の単調非増加関数で変換した値を、前記寄与度として算出する、ことを特徴とする請求項１に記載の検知期間設定装置。
前記単調非増加関数は、前記出現確率を逆数に変換する関数である、請求項２に記載の検知期間設定装置。
前記抽出部は、
前記非定常クラスタ遷移部分系列毎に、前記寄与度が最も高いクラスタＩＤ又は前記寄与度が所定の閾値を上回るクラスタＩＤを、前記非定常要因クラスタとして抽出する、ことを特徴とする請求項１乃至３の何れか一項に記載の検知期間設定装置。
１又は複数の装置で構成されるシステムの各時点におけるシステム状態を表す時系列データをクラスタリングすることで作成されたクラスタＩＤ系列を入力するクラスタＩＤ系列入力手順と、
前記クラスタＩＤ系列中で異なるクラスタに遷移するまでの時点数を表す滞在期間が、前記異なるクラスタに遷移するまでのクラスタＩＤに付与されたクラスタ遷移系列の部分系列であって、所定の系列長で、かつ、少なくとも出現確率が所定の閾値を下回る部分系列を、前記システムの非定常状態を表す非定常クラスタ遷移部分系列として入力する非定常系列入力手順と、
前記クラスタＩＤ系列を用いて、前記非定常クラスタ遷移部分系列を構成する各クラスタＩＤについて、前記非定常クラスタ遷移部分系列が非定常状態を表すことに対する前記クラスタＩＤの寄与度を算出する算出手順と、
前記寄与度を用いて、前記非定常クラスタ遷移部分系列を構成する各クラスタＩＤの中から非定常要因クラスタを抽出する抽出手順と、
前記非定常クラスタ遷移部分系列に対応する期間のうち、前記非定常要因クラスタに対応する期間を、前記非定常状態の変動が発生している期間として設定する設定手順と、
をコンピュータが実行することを特徴とする検知期間設定方法。
コンピュータを、請求項１乃至４の何れか一項に記載の検知期間設定装置として機能させるプログラム。