JP7626657B2 - 異常検出装置、異常検出方法、および異常検出プログラム - Google Patents

Description

本発明は、異常を検出する異常検出装置、異常検出方法、および異常検出プログラムに関する。

ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）システムにおける異常検出は、適切な行動計画が設計され、かつ、ＩＴシステムの円滑かつ効率的な操作を実行されるように、ＩＴシステムの通常とは異なる振る舞いを特定するために利用される。

しかし、ディスクやＲＡＭの容量の追加や削除による構成変更、大量のログファイルの予定外の削除、または、大量のログファイルのバックアップストレージへの転送のようなイベントの直後では、異常検出ができなくなる。これらのイベントが、急激な概念ドリフトを引き起こすからである。これらのイベントは、コンテナベースのマイクロサービスアーキテクチャの採用により、より頻繁に発生すると予想される。そのため、これらのイベントの直後に異常検出を可能にすることが重要である。

特許文献１は、予測分析のためのドリフト検出および補正のための装置、システム、方法、およびコンピュータプログラム製品を開示する。この装置では、予測モジュールは、モデルをワークロードデータに適用して、１つまたは複数の予測結果を生成する。ワークロードデータには、１つ以上のレコードが含まれる。モデルは、トレーニングデータに基づいて１つまたは複数の学習された関数を含む。ドリフト検出モジュールは、１つまたは複数の予測結果に関連するドリフト現象を検出する。予測時間修正モジュールは、ドリフト現象に応答して、少なくとも１つの予測結果を修正する。

米国特許出願公開第２００４／０１４８０４７号

しかしながら、上述した特許文献１では、ドリフト現象が検出された場合、予測時間修正モジュールは、ドリフト現象に応答して、少なくとも１つの予測結果を修正するが、検出後の実測データをトレーニングデータとして用いて関数の再学習が必要となる。したがって、上述したイベント発生から再学習の完了までに時間がかかり、その間、異常検出ができなかったり、再学習前の状態で異常検出をしなければならないため誤検出が発生したりする。

本発明は、イベント発生後における異常検出の即時性の向上を図ることを目的とする。

本願において開示される発明の一側面となる異常検出装置は、プログラムを実行するプロセッサと、前記プログラムを記憶する記憶デバイスと、を有する異常検出装置であって、前記プロセッサは、監視対象の時系列な第１予測データのうち特定イベントの発生時点後における第２予測データを、スケール変換により補正する補正処理と、前記補正処理による補正後の第２予測データと、前記監視対象の時系列な第１実測データのうち前記特定イベントの発生時点後における第２実測データと、に基づいて、前記監視対象の異常を検出する検出処理と、を実行することを特徴とする。

本発明の代表的な実施の形態によれば、イベント発生後における異常検出の即時性の向上を図ることができる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

図１は、異常検出装置による異常検出例を示す説明図である。 図２は、異常検出システムのシステム構成例を示す説明図である。 図３は、異常検出装置のハードウェア構成例を示すブロック図である。 図４は、ディスク使用率テーブルの一例を示す説明図である。 図５は、予測結果テーブルの一例を示す説明図である。 図６は、補正後予測結果テーブルの一例を示す説明図である。 図７は、異常検出装置による異常検出処理手順例を示すフローチャートである。 図８は、図７に示した概念ドリフト候補点決定処理（ステップＳ７０５）の詳細な処理手順例を示すフローチャートである。 図９は、ステップＳ８０２の算出例を示す説明図である。 図１０は、ステップＳ８０４の算出例を示す説明図である。 図１１は、ステップＳ８０７の算出例を示す説明図である。 図１２は、図７に示した予測結果補正処理（ステップＳ７０６）の詳細な処理手順例（前半）を示すフローチャートである。 図１３は、図７に示した予測結果補正処理（ステップＳ７０６）の詳細な処理手順例（後半）を示すフローチャートである。 図１４は、概念ドリフト候補点ごとのスケールおよびシフト計算例１を示す説明図である。 図１５は、概念ドリフト候補点ごとのスケールおよびシフト計算例２を示す説明図である。 図１６は、概念ドリフト候補点ごとのスケールおよびシフト計算例３を示す説明図である。

＜異常検出例＞
図１は、異常検出装置による異常検出例を示す説明図である。監視対象は、たとえば、ＩＴインフラストラクチャのディスク使用率である。図１の（Ａ）～（Ｃ）に示すグラフにおいて、横軸は時間軸であり、縦軸はディスク使用率を示す。本実施例では、ディスク使用率を例に挙げて説明するが、ＲＡＭ使用率でもよい。訓練データは、時系列モデルの作成に用いられる時刻ｔ１までの時系列な実測値である。予測データは、時系列モデルから出力される時刻ｔ１～ｔ３までの時系列な予測値である。テストデータは、予測データと比較される時刻ｔ１～ｔ３までの時系列な実測値（正解データ）である。

時刻ｔ１から時刻ｔ２までは予測データとテストデータとの差は許容範囲内であり、時系列モデルによる予測が正しいことを示している。

（１）時刻ｔ２で、イベントが検出されたとする。ここで、イベントとは、ディスクやＲＡＭの容量の追加や削除による構成変更、大量のログファイルの予定外の削除、または、大量のログファイルのバックアップストレージへの転送のように突発的にディスク使用率が変更される挙動である。

このようなイベントの後は、ディスク使用率は通常の挙動を繰り返すが、時刻ｔ２を境にディスク使用率が急激に変化しているため、時刻ｔ２以降、テストデータと予測データとの間に差Ｇが生じる。このようなイベント前後のディスク使用率の挙動を概念ドリフトという。異常検出装置は、ディスク使用率の挙動が正常であるにもかかわらず、異常検出したり、ディスク使用率の挙動が異常であるにもかかわらず、異常検出しなかったりすることになる。

（２）このため、異常検出装置は、時刻ｔ２以降の予測データを線形変換する。（Ｂ）では、異常検出装置は、時刻ｔ２以降の予測データをシフトし、（Ｃ）では、時刻ｔ２以降の予測データをｋ倍にスケール（拡縮）する。異常検出装置は、（Ｂ）のシフト結果後の予測データとテストデータとの差（シフト誤差）と、（Ｃ）のスケール結果後の予測データとテストデータとの差（スケール誤差）と、を比較し、誤差が小さい方を選択する。図１では、シフト誤差が５％、スケール誤差が１０％であるため、シフト変換が採用される。このように、イベントが検出された時刻ｔ２の直後でも線形変換結果を用いることで、時刻ｔ２以降も異常検出が可能になる。

＜システム構成例＞
図２は、異常検出システムのシステム構成例を示す説明図である。異常検出システム２００は、ＩＴインフラストラクチャ２０１と、異常検出装置２０２と、を有する。ＩＴインフラストラクチャ２０１および異常検出装置２０２は、インターネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）などのネットワーク２０３を介して通信可能に接続される。

＜異常検出装置のハードウェア構成例＞
図３は、異常検出装置のハードウェア構成例を示すブロック図である。異常検出装置２０２は、プロセッサ３０１と、記憶デバイス３０２と、入力デバイス３０３と、出力デバイス３０４と、通信インターフェース（通信ＩＦ）３０５と、を有する。プロセッサ３０１、記憶デバイス３０２、入力デバイス３０３、出力デバイス３０４、および通信ＩＦ３０５は、バス３０６により接続される。プロセッサ３０１は、異常検出装置２０２を制御する。記憶デバイス３０２は、プロセッサ３０１の作業エリアとなる。また、記憶デバイス３０２は、各種プログラムやデータを記憶する非一時的なまたは一時的な記録媒体である。記憶デバイス３０２としては、たとえば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、フラッシュメモリがある。入力デバイス３０３は、データを入力する。入力デバイス３０３としては、たとえば、キーボード、マウス、タッチパネル、テンキー、スキャナ、マイクがある。出力デバイス３０４は、データを出力する。出力デバイス３０４としては、たとえば、ディスプレイ、プリンタ、スピーカがある。通信ＩＦ３０５は、ネットワーク２０３と接続し、データを送受信する。

ここで、記憶デバイス３０２に記憶されているデータを具体的に説明する。記憶デバイス３０２は、ディスク使用率テーブル３２１と、予測結果テーブル３２２と、補正後予測結果テーブル３２３と、異常検出プログラム３２４と、を有する。ディスク使用率テーブル３２１は、ディスク使用率を時系列に記憶したテーブルであり、図４で後述する。予測結果テーブル３２２は、予測結果を時系列に記憶したテーブルであり、図５で後述する。補正後予測結果テーブル３２３は、補正後の予測結果を時系列に記憶したテーブルであり、図６で後述する。

異常検出プログラム３２４は、プロセッサ３０１に、ＩＴインフラストラクチャ２０１で発生した異常を検出させるプログラムであり、異常検出モジュール３４０、収集モジュール３４１、概念ドリフト候補点決定モジュール３４２および予測結果補正モジュール３４３というプログラムモジュールを含む。異常検出モジュール３４０は、テストデータと予測データとを比較することにより、ディスク使用率の異常を検出するプログラムモジュールである。収集モジュール３４１は、ＩＴインフラストラクチャ２０１からメトリクスデータを収集するプログラムモジュールであり、図７で後述する。概念ドリフト候補点決定モジュール３４２は、概念ドリフト候補点を決定するプログラムモジュールであり、図８～図１１で後述する。概念ドリフト候補点とは、概念ドリフトを引き起こすようなイベントの検出時刻の候補である。予測結果補正モジュール３４３は、予測結果テーブル３２２に記憶された予測結果を補正するモジュールであり、図１２および図１３で後述する。

＜テーブル＞
図４～図６を用いて、記憶デバイス３０２に記憶されたディスク使用率テーブル３２１、予測結果テーブル３２２および補正後予測結果テーブル３２３について説明する。

図４は、ディスク使用率テーブル３２１の一例を示す説明図である。ディスク使用率テーブル３２１は、フィールドとして、タイムスタンプ４０１と、ディスク使用率４０２と、を有する。タイムスタンプ４０１は、ＩＴインフラストラクチャ２０１がディスク使用率４０２を計測した日付時刻である。ディスク使用率４０２は、ＩＴインフラストラクチャ２０１の全ディスク容量のうち使用中のディスクの容量の割合である。

図４において、タイムスタンプ４０１は、たとえば、１５分刻みで記憶される。ディスク使用率４０２は、エントリ３２５Ｘ５まで増加傾向にあり、１５分ごとに５％増加している。エントリ３２１Ｘ６において、ディスク使用率４０２が５０％になると予想されたが、ディスク使用率４０２が突然２５％に下がっている。ディスク使用率４０２が予想（５０％）の半分にまで突発的に下落した理由は、ＩＴインフラストラクチャ２０１のディスク容量が、エントリ３２１Ｘ５のタイムスタンプ４０１である「２０２１－０１－０１ ０１：００：００」後に、１０ＧＢから２０ＧＢに２倍にまで増加したからである。

また、エントリ３２１Ｘ７のタイムスタンプ４０１である「２０２１－０１－０１ ０１：３０：００」のときに、ディスク使用率４０２が突然上昇した。エントリ３２１Ｘ７では、ディスク使用率４０２が２７．５％になると予想されたが、実測値は５０％である。このエントリ３２１Ｘ７で異常が発生したことがわかる。すなわち、エントリ３２１Ｘ７のディスク使用率４０２は異常値である。異常検出装置２０２は、エントリ３２１Ｘ７のタイムスタンプ４０１で異常が発生したことを検出することになる。

図５は、予測結果テーブル３２２の一例を示す説明図である。予測結果テーブル３２２は、フィールドとして、タイムスタンプ４０１と、予測ディスク使用率５０２と、下側シリーズ５０３と、上側シリーズ５０４と、を有する。予測ディスク使用率５０２は、時系列モデルに目的変数としてタイムスタンプ４０１が入力された場合に出力されるディスク使用率４０２の予測値である。タイムスタンプ４０１のほか、曜日、休日、祝祭日といったパラメータが時系列モデルに入力されてもよい。

下側シリーズ５０３と上側シリーズ５０４との間隔を、予測間隔という。予測間隔は、たとえば、９５％信頼区間である。下側シリーズ５０３の値および上側シリーズ５０４の値は、たとえば、そのエントリの予測ディスク使用率５０２の－３σおよび＋３σの値として算出される（σは標準偏差）。下側シリーズ５０３より小さい値および上側シリーズ５０４より大きい値は棄却域に含まれる。

また、予測間隔はパーセンタイルで規定されてもよい。この場合、下側シリーズ５０３は、たとえば、１０パーセンタイルであり、上側シリーズ５０４は、９０パーセンタイルである。すなわち、１～９番目に小さい予測ディスク使用率５０２およびから９１番目以降の予測ディスク使用率５０２が棄却域に含まれる。

下側シリーズ５０３および上側シリーズ５０４は、異常検出に用いられる。ディスク使用率４０２が、下側シリーズ５０３より低く、または、上側シリーズ５０４より高ければ、そのディスク使用率４０２は異常値として検出される。換言すれば、ディスク使用率４０２は、予測間隔に含まれていれば、そのディスク使用率４０２は異常値として検出されない。

図６は、補正後予測結果テーブル３２３の一例を示す説明図である。補正後予測結果テーブル３２３は、フィールドとして、タイムスタンプ４０１と、補正後予測ディスク使用率６０２と、補正後下側シリーズ６０３と、補正後上側シリーズ６０４と、を有する。補正後予測ディスク使用率６０２は、線形変換により補正された予測ディスク使用率５０２である。補正後下側シリーズ６０３は、補正後予測ディスク使用率６０２に対応する下側シリーズ５０３である。補正後上側シリーズ６０４は、補正後予測ディスク使用率６０２に対応する上側シリーズ５０４である。

＜異常検出処理手順例＞
図７は、異常検出装置２０２による異常検出処理手順例を示すフローチャートである。ステップ７０１～Ｓ７０４は収集モジュール３４１により実行され、ステップＳ７０５は概念ドリフト候補点決定モジュール３４２により実行され、ステップＳ７０６は予測結果補正モジュール３４３により実行される。異常検出装置２０２は、たとえば、ディスク使用率テーブル３２１に未分析のエントリが一定数蓄積されると、図７に示す処理を開始する。

異常検出装置２０２は、ＩＴインフラストラクチャ２０１からメトリクスデータを収集し、ディスク使用率テーブル３２１にエントリを追加する（ステップＳ７０１）。たとえば、ディスク使用率テーブル３２１の１つのエントリは、複数の時刻における各ディスク使用率４０２の統計値である。統計値とは、たとえば、複数の時刻における各ディスク使用率４０２の平均値、中央値、最大値、または最小値である。

ディスク使用率テーブル３２１のタイムスタンプ４０１は、１５分間隔で記録されるため、ＩＴインフラストラクチャ２０１がたとえば１分間隔でディスク使用率４０２を測定する場合、ＩＴインフラストラクチャ２０１はディスク使用率４０２を１５回測定し、１５回分のディスク使用率４０２の統計値を算出する。ＩＴインフラストラクチャ２０１は、１５回の測定うち最後の測定時刻と１５回のディスク使用率４０２の統計値とを異常検出装置２０２に送信する。異常検出装置２０２は、受信した最後の測定時刻をタイムスタンプ４０１に記録し、１５回のディスク使用率４０２の統計値をディスク使用率４０２に記録する。

つぎに、異常検出装置２０２は、分析開始時刻Ｔ_{ｓｔａｒｔ}を取得する（ステップＳ７０２）。分析開始時刻Ｔ_{ｓｔａｒｔ}は、異常検出装置２０２がステップＳ７０３の分析を開始するディスク使用率テーブル３２１のエントリのタイムスタンプ４０１である。すなわち、分析開始時刻Ｔ_{ｓｔａｒｔ}は、ディスク使用率テーブル３２１において、未分析でかつ最古のエントリのタイムスタンプ４０１である。たとえば、ディスク使用率テーブル３２１において、エントリ３２１Ｘ４まで異常検出処理が完了しているものとすると、次のエントリ３２１Ｘ５のタイムスタンプ４０１の値「２０２１－０１－０１ ０１：００：００」が分析開始時刻Ｔ_{ｓｔａｒｔ}となる。

つぎに、異常検出装置２０２は、時系列モデルの再学習に用いられていない分析開始時刻Ｔ_{ｓｔａｒｔ}までのエントリ群を時系列データとしてディスク使用率テーブル３２１から抽出し、時系列モデルを再学習する（ステップＳ７０３）。時系列モデルは、たとえば、
ｙ＝ｆ（ｔ）・・・（１）
で表現される関数である。左辺のｙは、ディスク使用率４０２であり、右辺のｔは時刻データであり、たとえば、タイムスタンプ４０１である。時刻データｔとして、タイムスタンプ４０１のほか、曜日の種類（平日、休日、祝祭日）が入力されてもよい。

たとえば、エントリ３２１Ｘ１の１つ前までのエントリが学習済みであり、エントリ３２１Ｘ１～３２１Ｘ４が時系列モデルの学習に用いられていない分析開始時刻Ｔ_{ｓｔａｒｔ}までのエントリ群であれば、異常検出装置２０２は、エントリ３２１Ｘ１～３２１Ｘ４のタイムスタンプ４０１を時系列モデルの時刻データｔに入力し、それらの出力結果ｙとエントリ３２１Ｘ１～３２１Ｘ４のディスク使用率４０２との差が最小となるように時系列モデルを再学習する。なお、時系列モデルが未生成である場合、異常検出装置２０２は、分析開始時刻Ｔ_{ｓｔａｒｔ}までのエントリ群を時系列データとしてディスク使用率テーブル３２１から抽出し、時系列モデルを学習する。

なお、時系列モデルは、ランダムフォレストでもよく、ＡＲＩＭＡ（ＡｕｔｏＲｅｇｒｅｓｓｉｖｅ Ｉｎｔｅｇｒａｔｅｄ Ｍｏｖｉｎｇ Ａｖｅｒａｇｅ）モデルでもよく、ＳＡＲＩＭＡ（Ｓｅａｓｏｎａｌ ＡＲＩＭＡ）モデルでもよい。

つぎに、異常検出装置２０２は、分析開始時刻Ｔ_{ｓｔａｒｔ}から予測の実行を開始し、予測結果テーブル３２２にエントリを追加する（ステップＳ７０４）。具体的には、たとえば、異常検出装置２０２は、ステップＳ７０３で再学習された上記式（１）の時系列モデルの時刻データｔに、分析開始時刻Ｔ_{ｓｔａｒｔ}から最新時刻までのタイムスタンプ４０１を順次入力し、タイムスタンプ４０１ごとのディスク使用率４０２の予測データｐを上記式（１）のｙとして出力し、タイムスタンプ４０１とともに予測ディスク使用率５０２として予測結果テーブル３２２に記録する。また、異常検出装置２０２は、順次入力されたタイムスタンプ４０１ごとに、下側シリーズ５０３の値および上側シリーズ５０４の値を算出して、予測結果テーブル３２２に記録する。

ここで、異常検出モジュール３４０で異常検出されないエントリについて説明する。たとえば、エントリ３２１Ｘ７のディスク使用率４０２（５０％）は異常値である。しかし、エントリ３２１Ｘ７と同一タイムスタンプ４０１の予測結果テーブル３２２のエントリ３２２Ｐ３では、下側シリーズ５０３の値が「４５％」、上側シリーズ５０４の値が「６５％」である。

したがって、異常値であるエントリ３２１Ｘ７のディスク使用率４０２（５０％）は、下側シリーズ５０３の値「４５％」と上側シリーズ５０４の値「６５％」との間の予測間隔［４５，６５］に含まれる。したがって、エントリ３２１Ｘ７のディスク使用率４０２（５０％）は、異常値として検出されない。これは、再学習後の時系列モデルｆが、ＩＴインフラストラクチャ２０１のディスク容量が２倍になった影響を見逃しているからである。

異常検出装置２０２は、概念ドリフト候補点決定処理（ステップＳ７０５）および予測結果補正処理（ステップＳ７０６）により、予測ディスク使用率５０２を補正する。これにより、異常検出装置２０２は、異常検出モジュール３４０により、このように見逃されて正常値として扱われたエントリ３２１Ｘ７のディスク使用率４０２（５０％）を異常値として検出する（ステップＳ７０７）。

＜概念ドリフト候補点決定処理（ステップＳ７０５）＞
図８は、図７に示した概念ドリフト候補点決定処理（ステップＳ７０５）の詳細な処理手順例を示すフローチャートである。ステップＳ７０４のあと、異常検出装置２０２は、操作ログまたは構成管理データベース（ＣＭＤＢ）が利用可能か否かを判断する（ステップＳ８０１）。ＩＴインフラストラクチャ２０１における操作ログまたはＣＭＤＢのいずれかが利用可能である場合（ステップＳ８０１：Ｙｅｓ）、異常検出装置２０２は、概念ドリフト候補点を操作ログまたはＣＭＤＢから取得して（ステップＳ８１０）、予測結果補正処理（ステップＳ７０６）に移行する。

一方、操作ログおよびＣＭＤＢのいずれも利用不可能である場合（ステップＳ８０１：Ｎｏ）、異常検出装置２０２は、予測データとテストデータとの平均誤差を算出する（ステップＳ８０２）。予測データとは、予測ディスク使用率５０２であり、テストデータとは、予測データと同一タイムスタンプ４０１のディスク使用率４０２であり、正解データとも呼ばれる。平均誤差とは、タイムスタンプ４０１ごとの予測データとテストデータとの差分に基づく誤差の平均値である。たとえば、誤差は、図１の（Ａ）の差Ｇであり、下記式（２）で表現される。平均誤差は、下記式（３）で表現される。

式（２）、（３）のｘ_ｔは、テストデータであり、ｐ_ｔは、予測ディスク使用率５０２であり、ｔは、タイムスタンプ４０１である。ｅ（ｔ）は、タイムスタンプ４０１がｔのときの誤差であり、Ｅは、分析開始時刻Ｔ_{ｓｔａｒｔ}からＴ_ｅｎｄまでのｎ個の誤差ｅ（ｔ）の平均値、すなわち、平均誤差である。Ｔ_ｅｎｄは、分析開始時刻Ｔ_{ｓｔａｒｔ}のエントリからｎ番目のエントリのタイムスタンプ４０１が示す分析終了時刻である。

つぎに、異常検出装置２０２は、ステップＳ８０２で算出した平均誤差Ｅが誤差しきい値Ｅ_{ｔｈｒｅｓｈｏｌｄ}よりも大きいか否かを判断する（ステップＳ８０３）。平均誤差Ｅが誤差しきい値Ｅ_{ｔｈｒｅｓｈｏｌｄ}よりも大きくない場合（ステップＳ８０３：Ｎｏ）、予測結果補正処理（ステップＳ７０６）に移行する。一方、平均誤差Ｅが誤差しきい値Ｅ_{ｔｈｒｅｓｈｏｌｄ}よりも大きい場合（ステップＳ８０３：Ｙｅｓ）、ステップＳ８０４に移行する。本例では、誤差しきい値Ｅ_{ｔｈｒｅｓｈｏｌｄ}を、たとえば、Ｅ_{ｔｈｒｅｓｈｏｌｄ}＝０．２とする。平均誤差Ｅが誤差しきい値Ｅ_{ｔｈｒｅｓｈｏｌｄ}よりも大きければ、急激な概念ドリフトが発生していると予想される。平均誤差Ｅが誤差しきい値Ｅ_{ｔｈｒｅｓｈｏｌｄ}よりも大きい概念ドリフトを、急激な概念ドリフトと称す。

平均誤差Ｅが誤差しきい値Ｅ_{ｔｈｒｅｓｈｏｌｄ}よりも大きい場合（ステップＳ８０３：Ｙｅｓ）、異常検出装置２０２は、テストデータの変化率ｒ_ｔをタイムスタンプ４０１ごとに算出する（ステップＳ８０４）。変化率ｒ_ｔは、たとえば、下記（４）で算出される。

変化率ｒ_ｔは、時刻ｔのテストデータｘ_ｔと時刻ｔ＋１のテストデータｘ_ｔ＋１との比に基づいて算出される。異常検出装置２０２は、タイムスタンプ４０１ごとの変化率のうち、変化率しきい値Ｒ_{ｔｈｒｅｓｈｏｌｄ}よりも大きい特定の変化率ｒ_ｔがあるか否かを判断する（ステップＳ８０５）。特定の変化率ｒ_ｔが１つもない場合（ステップＳ８０５：Ｎｏ）、予測結果補正処理（ステップＳ７０６）に移行する。一方、特定の変化率ｒ_ｔが１つ以上ある場合（ステップＳ８０５：Ｙｅｓ）、ステップＳ８０６に移行する。変化率しきい値Ｒ_{ｔｈｒｅｓｈｏｌｄ}は、ユーザにより任意に設定可能である。

異常検出装置２０２は、特定の変化率ｒ_ｔとそのタイムスタンプ４０１が示す時刻ｔとを選択する（ステップＳ８０６）。そして、異常検出装置２０２は、特定の変化率ｒ_ｔごとに、所定期間（たとえば、１日）においてステップＳ８０６で選択された回数をカウントする（ステップＳ８０７）。この選択された回数を特定の変化率ｒ_ｔの出現回数ｆ_ｒと称す。なお、特定の変化率ｒ_ｔは、完全一致した場合にのみカウントされてもよく、許容範囲内であればカウントされてもよい。たとえば、変化率ｒ_ｔが１．８０４や１．８６３であれば、特定の変化率ｒ_ｔ＝１．８の出現回数ｆ_ｒとしてカウントされる。

このあと、異常検出装置２０２は、出現回数ｆｒが出現回数しきい値Ｆ_{ｔｈｒｅｓｈｏｌｄ}より小さい特定のタイムスタンプ４０１があるか否かを判断する（ステップＳ８０８）。出現回数ｆ_ｒが出現回数しきい値Ｆ_{ｔｈｒｅｓｈｏｌｄ}より小さい特定のタイムスタンプ４０１が１つもない場合（ステップＳ８０８：Ｎｏ）、予測結果補正処理（ステップＳ７０６）に移行する。

一方、出現回数ｆ_ｔが出現回数しきい値Ｆ_{ｔｈｒｅｓｈｏｌｄ}より小さい特定のタイムスタンプ４０１が１つ以上ある場合（ステップＳ８０８：Ｙｅｓ）、異常検出装置２０２は、特定のタイムスタンプ４０１を概念ドリフト候補点に決定し（ステップＳ８０９）、予測結果補正処理（ステップＳ７０６）に移行する。特定の変化率ｒ_ｔが出現回数しきい値Ｆ_{ｔｈｒｅｓｈｏｌｄ}以上出現しているということは、特定の変化率ｒ_ｔおよびそのタイムスタンプ４０１が概念ドリフトによるディスク使用率４０２の変化を示しているのではなく、ディスク使用率４０２自体に通常の挙動とは異なる変化が発生していることを示している。したがって、異常検出装置２０２は、出現回数ｆ_ｒが出現回数しきい値Ｆ_{ｔｈｒｅｓｈｏｌｄ}より小さい特定のタイムスタンプ４０１が示す時刻で、急激な概念ドリフトが発生したらしいと予測する。

つぎに、概念ドリフト候補点決定処理（ステップＳ７０５）の実行例を図９～図１１を用いて説明する。

図９は、ステップＳ８０２の算出例を示す説明図である。図９では、分析開始時刻となるタイムスタンプ４０１は、「２０２１－０１－０１ ０１：００：００」とし、分析終了時刻となるタイムスタンプ４０１は、「２０２１－０１－０１ ０１：４５：００」とする。図９の場合、平均誤差Ｅは誤差しきい値Ｅ_{ｔｈｒｅｓｈｏｌｄ}よりも大きいため（ステップＳ８０２：Ｙｅｓ）、ステップＳ８０４に移行する。

図１０は、ステップＳ８０４の算出例を示す説明図である。エントリ１０００は、分析開始時刻Ｔ_{ｓｔａｒｔ}の１つ前のタイムスタンプ４０１（すなわち、前回の分析での分析終了時刻Ｔ_ｅｎｄ）の算出結果を示す。エントリ１００４では、変化率が算出されないため、ステップＳ８０４の判定は実行されない。図１０では、エントリ１００１～１００３の各変化率ｒ_ｔが変化率しきい値Ｒ_{ｔｈｒｅｓｈｏｌｄ}よりも大きい特定の変化率であることがわかる。

図１１は、ステップＳ８０７の算出例を示す説明図である。エントリ１１０１～１１０３では、特定の変化率ｒｔの各々の出現回数ｆｒが「１」であるため、出現回数しきい値Ｆ_{ｔｈｒｅｓｈｏｌｄ}よりも小さい。したがって、ステップＳ８０６で選択されたエントリ１００１～１００３のタイムスタンプ４０１は、特定のタイムスタンプ４０１に決定される（ステップＳ８０９）。

＜予測結果補正処理（ステップＳ７０６）＞
図１２は、図７に示した予測結果補正処理（ステップＳ７０６）の詳細な処理手順例（前半）を示すフローチャートである。異常検出装置２０２は、テストデータ、予測データ、および概念ドリフト候補点を取得する（ステップＳ１２０１）。つぎに、異常検出装置２０２は、未選択の概念ドリフト候補点があるか否かを判断する（ステップＳ１２０２）。未選択の概念ドリフト候補点がある場合（ステップＳ１２０２：Ｙｅｓ）、異常検出装置２０２は、未選択の概念ドリフト候補点を１つ選択してＴとし、選択した概念ドリフト候補点Ｔの変化率ｒ_Ｔを、下記式（５）を用いて算出する（ステップＳ１２０３）。

つぎに、異常検出装置２０２は、下記式（６）を用いて、概念ドリフト候補点Ｔのスケール誤差ｅ^Ｔ _{ｓｃａｌｅ}を算出する（ステップＳ１２０３）。

上記式（６）において、ｍは、タイムスタンプ４０１が示す時刻Ｔ＋１から分析終了時刻Ｔ_ｅｎｄまでのタイムスタンプ４０１の個数である。スケール誤差ｅ^Ｔ _{ｓｃａｌｅ}は、予測データｐ_ｔを概念ドリフト候補点Ｔの変化率ｒ_Ｔでスケール（拡縮）した場合のテストデータとの誤差の平均値を示す。

つぎに、異常検出装置２０２は、下記式（７）を用いて、変化差分ｄ_Ｔを算出する（ステップＳ１２０５）。

そして、異常検出装置２０２は、下記式（８）を用いて、シフト誤差ｅ^Ｔ _{ｓｈｉｆｔ}を算出して（ステップＳ１２０６）、ステップＳ１２０２に戻る。

シフト誤差ｅ^Ｔ _{ｓｈｉｆｔ}は、予測データｐ_ｔを概念ドリフト候補点Ｔの変化差分ｄ_Ｔでシフト（加減算）した場合のテストデータとの誤差の平均値を示す。そして、ステップＳ１２０２において、未選択の概念ドリフト候補点がない場合（ステップＳ１２０２：Ｎｏ）、異常検出装置２０２は、最小誤差およびそのタイムスタンプ４０１を選択して（ステップＳ１２０７）、図１３のステップＳ１３０１に移行する。具体的には、たとえば、異常検出装置２０２は、概念ドリフト候補点Ｔごとのスケール誤差ｅ^Ｔ _{ｓｃａｌｅ}およびシフト誤差ｅ^Ｔ _{ｓｈｉｆｔ}のうち、最小誤差を選択する。最小誤差のタイムスタンプ４０１が示す時刻をτとする。

たとえば、概念ドリフト候補点Ｔが３点（Ｔ１、Ｔ２、Ｔ３とする）存在すると仮定すると、スケール誤差ｅ^Ｔ１ _{ｓｃａｌｅ}，ｅ^Ｔ２ _{ｓｃａｌｅ}，ｅ^Ｔ３ _{ｓｃａｌｅ}とシフト誤差ｅ^Ｔ１ _{ｓｈｉｆｔ}，ｅ^Ｔ２ _{ｓｈｉｆｔ}，ｅ^Ｔ３ _{ｓｈｉｆｔ}とが算出される。ステップＳ１２０７では、異常検出装置２０２は、スケール誤差ｅ^Ｔ１ _{ｓｃａｌｅ}，ｅ^Ｔ２ _{ｓｃａｌｅ}，ｅ^Ｔ３ _{ｓｃａｌｅ}とシフト誤差ｅ^Ｔ１ _{ｓｈｉｆｔ}，ｅ^Ｔ２ _{ｓｈｉｆｔ}，ｅ^Ｔ３ _{ｓｈｉｆｔ}との中から最小誤差を選択する。この最小誤差が、たとえば、スケール誤差ｅ^Ｔ３ _{ｓｃａｌｅ}であったとすると、異常検出装置２０２は、スケール誤差ｅ^Ｔ３ _{ｓｃａｌｅ}が発生した概念ドリフト候補点Ｔ３を選択してτとする。そして、図１３のステップＳ１３０１に移行する。

なお、概念ドリフト候補点決定処理（ステップＳ７０５）において、概念ドリフト候補点Ｔが１つも決定または取得されなかった場合、ステップＳ１２０７および図１３の処理は実行されない。

図１３は、図７に示した予測結果補正処理（ステップＳ７０６）の詳細な処理手順例（後半）を示すフローチャートである。異常検出装置２０２は、ステップＳ１２０７の選択最小誤差がスケール誤差ｅ^τ _{ｓｃａｌｅ}であるかシフト誤差ｅ^τ _{ｓｈｉｆｔ}であるかを判断する（ステップＳ１３０１）。選択最小誤差がスケール誤差ｅ^τ _{ｓｃａｌｅ}である場合（ステップＳ１３０１：スケール誤差）、異常検出装置２０２は、選択最小誤差であるスケール誤差ｅ^τ _{ｓｃａｌｅ}が誤差許容値Ｅ_{ｔｏｌｅｒａｎｃｅ}以下であるか否かを判断する（ステップＳ１３０２）。スケール誤差ｅ^τ _{ｓｃａｌｅ}が誤差許容値Ｅ_{ｔｏｌｅｒａｎｃｅ}以下でない場合（ステップＳ１３０２：Ｎｏ）、予測結果補正処理（ステップＳ７０６）が終了する。

一方、スケール誤差ｅ^τ _{ｓｃａｌｅ}が誤差許容値Ｅ_{ｔｏｌｅｒａｎｃｅ}以下である場合（ステップＳ１３０２：Ｙｅｓ）、異常検出装置２０２は、タイムスタンプ４０１が示す時刻τ後の予測データｐを変化率ｒ_τでスケールする（ステップＳ１３０３）。このとき、異常検出装置２０２は、スケール後の予測データｐに基づいて下側シリーズ５０３および上側シリーズ５０４も補正する。そして、異常検出装置２０２は、スケール後の予測データｐについて、補正後予測結果テーブル３２３のエントリを追加し（ステップＳ１３０４）、予測結果補正処理（ステップＳ７０６）が終了する。

また、ステップＳ１３０１において、選択最小誤差がシフト誤差ｅ^τ _{ｓｈｉｆｔ}である場合（ステップＳ１３０１：シフト誤差）、異常検出装置２０２は、選択最小誤差であるシフト誤差ｅ^τ _{ｓｈｉｆｔ}が誤差許容値Ｅ_{ｔｏｌｅｒａｎｃｅ}以下であるか否かを判断する（ステップＳ１３０５）。シフト誤差ｅ^τ _{ｓｈｉｆｔ}が誤差許容値Ｅ_{ｔｏｌｅｒａｎｃｅ}以下でない場合（ステップＳ１３０５：Ｎｏ）、予測結果補正処理（ステップＳ７０６）が終了する。

一方、シフト誤差ｅ^τ _{ｓｈｉｆｔ}が誤差許容値Ｅ_{ｔｏｌｅｒａｎｃｅ}以下である場合（ステップＳ１３０５：Ｙｅｓ）、異常検出装置２０２は、タイムスタンプ４０１が示す時刻τ後の予測データｐを変化差分ｄ_τでシフトする（ステップＳ１３０６）。このとき、異常検出装置２０２は、シフト後の予測データｐに基づいて下側シリーズ５０３および上側シリーズ５０４も補正する。そして、異常検出装置２０２は、シフト後の予測データｐについて、補正後予測結果テーブル３２３のエントリを追加し（ステップＳ１３０７）、予測結果補正処理（ステップＳ７０６）が終了する。

図１４～図１６は、概念ドリフト候補点Ｔごとのスケールおよびシフト計算例を示す説明図である。図１４の概念ドリフト候補点は、「２０２１－０１－０１ ０１：００：００」であり、図１５の概念ドリフト候補点は、「２０２１－０１－０１ ０１：１５：００」であり、図１６の概念ドリフト候補点は、「２０２１－０１－０１ ０１：３０：００」である。

これら３つの概念ドリフト候補点Ｔにおける３つのスケール誤差ｅ^Ｔ _{ｓｃａｌｅ}および３つのシフト誤差ｅ^Ｔ _{ｓｈｉｆｔ}のうち最小誤差は、図１４の概念ドリフト候補点Ｔ＝「２０２１－０１－０１ ０１：００：００」におけるスケール誤差ｅ^Ｔ _{ｓｃａｌｅ}＝０．１５９である。したがって、このスケール誤差ｅ^Ｔ _{ｓｃａｌｅ}が最小誤差として選択され、そのタイムスタンプ４０１である概念ドリフト候補点Ｔ＝「２０２１－０１－０１ ０１：００：００」がτとして選択される（ステップＳ１２０７）。そして、エントリ１４０１～１４０３のタイムスタンプ４０１およびスケール後の予測データが、補正後予測テーブルに登録される。

このように、上述した異常検出装置２０２によれば、たとえば、ＩＴインフラストラクチャ２０１において、ディスクの容量がｋ倍に増加すると、ディスク使用率４０２が１／ｋ倍にスケール変換される。また、ディスクの容量がｋ倍に低下すると、ディスク使用率４０２がｋ倍にスケール変換される。また、大量のログファイルの予定外の削除があると、ディスク使用率４０２がその分低下するようシフト変換される。また、大量のファイルがバックアップストレージにコピーされると、ディスク使用率４０２がその分上昇するようシフト変換される。

したがって、概念ドリフトを引き起こすような特定イベント発生後においても、異常検出の即時性が向上し、１日ごとまたは１時間ごとのような定期的なＩＴシステムの異常レポートの即時的な出力が可能になる。したがって、特定イベント発生後に異常検出が停止せず、異常であるのに正常としたり正常であるのに異常としたりするような誤検出も抑制することができる。

また、上述した異常検出装置２０２では、スケール変換とシフト変換のうちいずれか一方の線形変換を選択して、予測データを補正したが、スケール変換とシフト変換のうちいずれか一方の線形変換のみが実装されてもよい。

また、上述した異常検出装置２０２は、下記（１）～（９）のように構成することもできる。

（１）異常検出装置２０２は、プログラムを実行するプロセッサ３０１と、前記プログラムを記憶する記憶デバイス３０２と、を有し、前記プロセッサ３０１は、監視対象（たとえば、ディスク使用率４０２）の時系列な第１予測データ（たとえば、図１に示した時刻ｔ１からｔ３までの予測データ）のうち特定イベントの発生時点Ｔ（たとえば、図１の時刻ｔ２）後における第２予測データを、スケール変換により補正する補正処理（ステップＳ７０６）と、前記補正処理による補正後の第２予測データ（たとえば、図１に示した時刻ｔ２からｔ３までの予測データ）と、前記監視対象の時系列な第１実測データ（たとえば、図１に示した時刻ｔ１からｔ３までのテストデータ）のうち前記特定イベントの発生時点Ｔ後における第２実測データ（たとえば、図１に示した時刻ｔ２からｔ３までのテストデータ）と、に基づいて、前記監視対象の異常を検出する検出処理（ステップＳ７０７）と、を実行する。

（２）上記（１）の異常検出装置２０２において、前記補正処理（ステップＳ７０６）では、前記プロセッサ３０１は、前記第２予測データを、前記第２実測データの変化率ｒ_τを用いた前記スケール変換により補正する。

（３）上記（１）の異常検出装置２０２において、前記補正処理（ステップＳ７０６）では、前記プロセッサ３０１は、前記第２予測データを、前記スケール変換またはシフト変換のうちいずれかの一方の線形変換により補正する。

（４）上記（１）の異常検出装置２０２において、前記補正処理では、前記プロセッサ３０１は、前記スケール変換が選択された場合、前記第２予測データを、前記第２実測データの変化率ｒ_τを用いた前記スケール変換により補正し、前記シフト変換が選択された場合、前記第２予測データを、前記第２実測データの変化の差ｒ_τを用いた前記シフト変換により補正する。

（５）上記（４）の異常検出装置２０２において、前記補正処理（ステップＳ７０６）では、前記プロセッサ３０１は、前記第２実測データと前記変化率ｒ_τで拡縮した前記第２予測データとのスケール誤差ｅ^τ _{ｓｃａｌｅ}を算出し、前記第２実測データと前記変化の差ｒ_τでシフトした前記第２予測データとのシフト誤差ｅ^τ _{ｓｈｉｆｔ}を算出し、前記スケール誤差ｅ^τ _{ｓｃａｌｅ}と前記シフト誤差ｅ^τ _{ｓｈｉｆｔ}とに基づいて、前記スケール変換またはシフト変換のうちいずれかの一方の線形変換を選択する。

（６）上記（５）の異常検出装置２０２において、前記補正処理（ステップＳ７０６）では、前記プロセッサ３０１は、前記スケール誤差ｅ^τ _{ｓｃａｌｅ}と前記シフト誤差ｅ^τ _{ｓｈｉｆｔ}とのうち誤差が小さい方の線形変換を選択する。

（７）上記（１）の異常検出装置２０２において、前記プロセッサ３０１は、前記第１実測データの観測時点ｔにおける実測値の変化率ｒ_ｔの各々について、変化率しきい値Ｒ_{ｔｈｒｅｓｈｏｌｄ}よりも大きい（ステップＳ８０５：Ｙｅｓ）特定の観測時点ｔを前記特定イベントの発生時点候補Ｔに決定する決定処理（ステップＳ７０５）を実行し、前記補正処理（ステップＳ７０６）では、前記プロセッサ３０１は、前記決定処理（ステップＳ７０５）によって決定された前記特定イベントの発生時点候補Ｔのうちいずれかの発生時点候補τの後における前記第２予測データを、前記スケール変換により補正する。

（８）上記（７）の異常検出装置２０２において、前記決定処理（ステップＳ７０５）では、前記プロセッサ３０１は、前記第１予測データと前記第１実測データとの間の誤差Ｅが誤差しきい値Ｅ_{ｔｈｒｅｓｈｏｌｄ}より大きい場合（ステップＳ８０３：Ｙｅｓ）、前記特定の観測時点ｔを前記特定イベントの発生時点候補Ｔに決定する。

（９）上記（７）の異常検出装置２０２において、前記決定処理（ステップＳ７０５）では、前記プロセッサ３０１は、前記特定の観測時点ｔでの前記実測値の変化率ｒ_ｔについて所定期間内における出現回数ｆ_ｒを計数し、前記出現回数ｆ_ｒが出現回数しきい値Ｆ_{ｔｈｒｅｓｈｏｌｄ}よりも小さい前記実測値の変化率ｒ_ｔに対応する前記特定の観測時点ｔを、前記特定イベントの発生時点候補Ｔに決定する。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。たとえば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加、削除、または置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、たとえば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサ３０１がそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カード、ＳＤカード、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

２００ 異常検出システム
２０１ ＩＴインフラストラクチャ
２０２ 異常検出装置
３０１ プロセッサ
３０２ 記憶デバイス
３２１ ディスク使用率テーブル
３２２ 予測結果テーブル
３２３ 補正後予測結果テーブル
３２４ 異常検出プログラム
３４０ 異常検出モジュール
３４１ 収集モジュール
３４２ 概念ドリフト候補点決定モジュール
３４３ 予測結果補正モジュール

Claims (11)

1. プログラムを実行するプロセッサと、前記プログラムを記憶する記憶デバイスと、を有する異常検出装置であって、
   前記プロセッサは、
   監視対象の時系列な第１予測データのうち特定イベントの発生時点後における第２予測データを、スケール変換により補正する補正処理と、
   前記補正処理による補正後の第２予測データと、前記監視対象の時系列な第１実測データのうち前記特定イベントの発生時点後における第２実測データと、に基づいて、前記監視対象の異常を検出する検出処理と、
   を実行することを特徴とする異常検出装置。
2. 請求項１に記載の異常検出装置であって、
   前記補正処理では、前記プロセッサは、前記第２予測データを、前記第２実測データの変化率を用いた前記スケール変換により補正する、
   ことを特徴とする異常検出装置。
3. 請求項１に記載の異常検出装置であって、
   前記補正処理では、前記プロセッサは、前記第２予測データを、前記スケール変換またはシフト変換のうちいずれかの一方の線形変換により補正する、
   ことを特徴とする異常検出装置。
4. 請求項３に記載の異常検出装置であって、
   前記補正処理では、前記プロセッサは、前記スケール変換が選択された場合、前記第２予測データを、前記第２実測データの変化率を用いた前記スケール変換により補正し、前記シフト変換が選択された場合、前記第２予測データを、前記第２実測データの変化の差を用いた前記シフト変換により補正する、
   ことを特徴とする異常検出装置。
5. 請求項４に記載の異常検出装置であって、
   前記補正処理では、前記プロセッサは、前記第２実測データと前記変化率で拡縮した前記第２予測データとのスケール誤差を算出し、前記第２実測データと前記変化の差でシフトした前記第２予測データとのシフト誤差を算出し、前記スケール誤差と前記シフト誤差とに基づいて、前記スケール変換またはシフト変換のうちいずれかの一方の線形変換を選択する、
   ことを特徴とする異常検出装置。
6. 請求項５に記載の異常検出装置であって、
   前記補正処理では、前記プロセッサは、前記スケール誤差と前記シフト誤差とのうち誤差が小さい方の線形変換を選択する、
   ことを特徴とする異常検出装置。
7. 請求項１に記載の異常検出装置であって、
   前記プロセッサは、
   前記第１実測データの観測時点における実測値の変化率の各々について、変化率しきい値よりも大きい特定の観測時点を前記特定イベントの発生時点候補に決定する決定処理を実行し、
   前記補正処理では、前記プロセッサは、前記決定処理によって決定された前記特定イベントの発生時点候補のうちいずれかの発生時点候補の後における前記第２予測データを、前記スケール変換により補正する、
   ことを特徴とする異常検出装置。
8. 請求項７に記載の異常検出装置であって、
   前記決定処理では、前記プロセッサは、前記第１予測データと前記第１実測データとの間の誤差が誤差しきい値より大きい場合、前記特定の観測時点を前記特定イベントの発生時点候補に決定する、
   ことを特徴とする異常検出装置。
9. 請求項７に記載の異常検出装置であって、
   前記決定処理では、前記プロセッサは、前記特定の観測時点での前記実測値の変化率について所定期間内における出現回数を計数し、前記出現回数が出現回数しきい値よりも小さい前記実測値の変化率に対応する前記特定の観測時点を、前記特定イベントの発生時点候補に決定する、
   ことを特徴とする異常検出装置。
10. プログラムを実行するプロセッサと、前記プログラムを記憶する記憶デバイスと、を有する異常検出装置が実行する異常検出方法であって、
    前記プロセッサは、
    監視対象の時系列な第１予測データのうち特定イベントの発生時点後における第２予測データを、スケール変換により補正する補正処理と、
    前記補正処理による補正後の予測データと、前記監視対象の時系列な第１実測データのうち前記特定イベントの発生時点後における第２実測データと、に基づいて、前記監視対象の異常を検出する検出処理と、
    を実行することを特徴とする異常検出方法。
11. プロセッサに、
    監視対象の時系列な第１予測データのうち特定イベントの発生時点後における第２予測データを、スケール変換により補正する補正処理と、
    前記補正処理による補正後の予測データと、前記監視対象の時系列な第１実測データのうち前記特定イベントの発生時点後における第２実測データと、に基づいて、前記監視対象の異常を検出する検出処理と、
    を実行させることを特徴とする異常検出プログラム。

Images