CN113994340A - 异常检测装置以及异常检测方法 - Google Patents

Abstract

本发明的目的在于，在基于多个时间序列传感器信号的异常检测中，在维持异常检测灵敏度的同时，能够进行异常测度计算、聚类以及高速的处理。为了达成上述目的，在异常检测装置中，对所指定的学习期间的特征向量进行聚类而将属于各簇的特征向量调整为固定数，根据新提取出的特征向量来选择1个簇，基于使用属于选择出的簇的全部特征向量计算出的基准向量来计算出异常测度。

Description

异常检测装置以及异常检测方法

技术领域

本发明涉及一种基于设施或设备等输出的多个时间序列传感器信号提前检测异常的异常检测装置以及异常检测方法。

背景技术

在电力公司中，利用燃气轮机的废热等供给地域供暖用热水，或者向工厂供给高压蒸汽、低压蒸汽。在石油化学公司中，将燃气轮机等作为电源设备进行运转。这样，在使用了燃气轮机等的各种设施、设备中，检测设备的不良情况或其征兆的异常检测对于将对社会的损伤抑制为最小限度也极其重要。

在燃气轮机、蒸汽轮机，在水电站的水轮机、原子能发电站的原子反应堆、风力发电站的风车、飞机或重型机械的发动机、铁道车辆或轨道、自动扶梯、电梯、设备和部件等级方面，搭载电池的劣化、寿命等需要上述那样的预防维护的设备无法一一列举。

因此，在对象设备、设施中安装取得各种物理信息的多个传感器，按照每个传感器的监视基准，判定对象设备、设施是正常还是异常。

作为本技术领域中的现有技术，有专利文献1。在专利文献1中公开了以下的异常检测方法：从传感器信号中提取特征向量，对提取出的特征向量进行聚类，将各簇的中心和属于簇的数据作为学习数据进行蓄积，根据新观测到的特征向量从这些簇中选择1个或多个簇，根据新观测到的特征向量从属于选择出的簇的数据中选择预定数量的学习数据，使用选择出的学习数据来制作正常模型，根据新观测到的特征向量和正常模型来计算出异常测度，根据计算出的异常测度来判定是异常还是正常。在此，异常测度是指将多个传感器的测定值表现为1个向量值，相对于正常状态的向量值的偏移量。

现有技术文献

专利文献

专利文献1：日本特开2014-32455号公报

发明内容

发明要解决的课题

在专利文献1所记载的异常检测方法中，在根据新观测到的特征向量计算出异常测度时，从属于新观测到的特征向量的1个或多个邻近簇的数据中搜索预定数量的邻近数据，因此与从全部学习数据中搜索预定数量的邻近数据相比，能够高速地进行处理。然而，需要进行搜索邻近数据的处理，该计算时间依然很大。另外，由于在学习时进行聚类，因此学习所需的时间也长。

本发明的目的在于，为了解决上述课题而提供一种异常检测装置以及异常检测方法，在基于多个时间序列传感器信号的异常检测中，能够在维持异常检测灵敏度的同时进行异常测度计算、聚类以及高速的处理。

用于解决课题的手段

本发明是鉴于上述背景技术和课题而提出的，举出其一例，是一种异常检测装置，具备：传感器信号输入部，其输入从安装于设备的多个传感器输出的多个时间序列的传感器信号；特征向量提取部，其在每个时刻，从传感器信号提取出特征向量；聚类部，其对指定的学习期间的特征向量进行聚类，将属于各簇的特征向量调整为固定数；簇选择部，其根据新提取出的特征向量，从簇中选择1个或多个簇；异常测度计算部，其使用属于选择出的簇的全部特征向量来制作基准向量，并基于制作出的基准向量和新提取出的特征向量来计算出异常测度；以及异常检测部，其通过将异常测度与阈值进行比较，来判定各时刻的传感器信号是正常还是异常。

发明效果

根据本发明，能够提供一种能够高速地进行处理的异常检测装置以及异常检测方法。

附图说明

图1是本实施例中的异常检测装置的功能结构框图。

图2是本实施例中的异常检测装置的硬件图像的块结构图。

图3是表示将本实施例中的多个传感器信号列表化并以表形式表示的例子的图。

图4是本实施例中的异常检测装置进行的整体的概略处理流程图。

图5是本实施例中的学习时的聚类处理的流程图。

图6是本实施例中的簇初始位置设定处理的处理流程图。

图7是本实施例中的k均值聚类(k-means clustering)处理的处理流程图。

图8是本实施例中的簇成员调整处理的流程图。

图9A是说明本实施例中的基于邻近数据预设方式的异常测度计算处理的图。

图9B是说明本实施例中的基于邻近数据搜索方式的异常测度计算处理的图。

图10A是本实施例中的学习时的异常测度计算处理的流程图。

图10B是本实施例中的学习时的其他异常测度计算处理的流程图。

图11A是本实施例中的异常检测时的异常测度计算处理的流程图。

图11B是本实施例中的异常检测时的其他异常测度计算处理的流程图。

图12A是表示本实施例中的设定离线解析条件的GUI的图。

图12B是表示本实施例中的指定在线解析结果的显示对象的GUI的图。

图13A是表示本实施例中的解析结果整体显示画面的图。

图13B是表示本实施例中的解析结果放大显示画面的图。

具体实施方式

以下，使用附图对本发明的实施例进行详细说明。

实施例

图1是本实施例中的异常检测装置的功能结构框图。在图1中，异常检测装置100每隔预定时间(周期性地)取得从安装于作为检测对象的设备101的传感器输出的传感器信号102。将取得的传感器信号102暂时蓄积于传感器信号蓄积部103。传感器信号输入部104从传感器信号蓄积部103或者安装于设备101的传感器直接输入传感器信号102，并发送至特征向量提取部105。特征向量提取部105基于传感器信号102，每隔预定时间(以下，有时也表现为各时刻)提取特征向量，并发送至聚类部106和簇选择部108。聚类部106使用预先指定的学习期间的特征向量进行聚类，将簇的中心和属于簇的特征向量作为学习数据而蓄积在学习结果蓄积部107中。簇选择部108从作为学习数据而蓄积的簇中，按每个特征向量根据特征向量选择簇，异常测度计算部109按每个特征向量，使用属于所选择的簇的全部特征向量来计算出异常测度。

阈值计算部110基于异常测度计算部109所产生的学习数据的异常测度来计算出阈值。将由阈值计算部110计算出的阈值作为学习结果而保存在学习结果蓄积部107中。异常检测部111将从异常测度计算部109发送的各特征向量的异常测度与由阈值计算部110计算出的阈值进行比较，从而检测出设备101的异常，并将检测结果112输出至外部。

另外，图2是本实施例中的异常检测装置的硬件图像的框结构图。在图2中，异常检测装置100通过作为通常的信息处理装置的、具有处理装置(CPU)、存储装置(存储器)和输入输出接口(I/F)的装置来实现。即，图1中的异常检测装置100的传感器信号输入部104、特征向量提取部105、聚类部106、簇选择部108、异常测度计算部109、阈值计算部110、异常检测部111的处理通过CPU10对存储在图2中的存储器20中的这些处理程序进行软件处理来执行。另外，图1中的传感器信号蓄积部103和学习结果蓄积部107与图2中的存储器20对应。另外，通过输入I/F30取得传感器信号102。另外，来自图1中的异常检测部111的异常检测信号经由输出I/F40被输出到外部的显示装置等。

此外，关于图1的各结构，也可以通过例如在集成电路中进行设计等而以硬件实现它们的一部分或全部。另外，在通过软件实现各结构的情况下，实现各功能的程序、数据、文件等信息不仅能够存储在存储器中，还能够存储在硬盘等记录装置或IC卡等记录介质中，还能够根据需要经由无线网络等下载并安装。另外，也可以经由无线网络等在云上进行由上述CPU10进行的处理。

在此，进行以下使用的用语的简单说明。特征向量是将多个传感器的测定值表现为1个向量值的向量。异常测度是指关注的特征向量相对于指定期间的特征向量的偏移量。作为异常检测的对象的设备101例如是燃气轮机、蒸汽轮机等设备、设施。

图3是将多个传感器信号102列表化并以表形式表示的例子。传感器信号102是每隔预定间隔取得物理特性不同的多个物理信息的多维时间序列信号。图3所示的表的结构将日期时间201的信息与多个传感器的传感器信号值202对应起来进行表示。传感器有时为数百至数千的数量，根据它们的种类，例如将缸、油、冷却水等的温度、油或冷却水的压力、轴的旋转速度、室温、运转时间等作为传感器值进行输出。传感器值不仅表示设备、设施等的输出、状态，有时也是用于将某种状态控制为某个值(例如目标值)的控制信号。

图4是本实施例中的异常检测装置100进行的整体的概要处理流程图。在此，在异常检测装置100的动作中，存在使用在传感器信号蓄积部103中蓄积的数据进行学习数据的生成、保存的“学习”处理、以及基于输入信号检测异常的“异常检测”处理的阶段。基本上，“学习”是离线的处理，“异常检测”是在线的处理。但是，也可以将“异常检测”设为离线的处理。在以下的说明中，将它们用“学习时”、“异常检测时”这样的词语进行区别。

图4的(a)是学习时的异常测度计算处理，输入学习期间的传感器信号(S301)，进行特征向量的提取(S302)、聚类(S303)、簇选择(S304)、异常测度的计算(S305)以及阈值的计算(S306)。图4的(b)是异常检测时的异常判定处理，输入检测对象的传感器信号(S311)，进行特征向量的提取(S312)、簇选择(S313)和异常测度的计算(S314)。然后，将计算出的异常测度与在S306中求出的阈值进行比较，来判定设备的正常/异常(S315)。

以下，对图4的(a)、(b)的详细情况进行说明，图4的(a)的详细的流程在图5、图6、图7、图8、图10A、图10B中进行说明，图4的(b)的详细的流程在图11A、图11B中进行说明。

首先，对图4的(a)的学习时的异常测度计算处理进行说明。在步骤S302中，特征向量提取部105进行所输入的传感器信号的标准化以及特征向量的提取。传感器信号的标准化是为了同样地处理单位以及尺度不同的多个传感器信号而进行的。具体而言，使用各传感器信号的学习期间的均值和标准偏差，以均值为0、方差为1的方式变换各传感器信号。为了在异常检测时能够进行相同的变换，将各传感器信号的均值和标准偏差存储在学习结果蓄积部107中。或者，使用各传感器信号的学习期间的最大值和最小值，以最大为1、最小为0的方式变换各传感器信号。或者，也可以代替最大值和最小值而使用预先设定的上限值和下限值。在该情况下，为了在异常检测时能够进行同样的变换，将各传感器信号的最大值和最小值或者上限值和下限值存储在学习结果蓄积部107中。

在特征向量提取中，将传感器信号标准化后的信号直接作为要素进行排列而作为向量。或者，针对某时刻设置±1、±2、···的窗口，设为窗口宽度(3、5、···)×传感器数量的特征向量，由此也能够提取表示传感器信号的时间变化的特征。另外，也可以实施离散小波变换(DWT：Discrete Wavelet Transform)，而分解为频率分量。

图5是本实施例中的学习时的聚类处理(S303)的流程图。在图5中，首先，输入由特征向量提取部105提取出的学习期间的特征向量(S401)。接着，在聚类部106中，将学习期间分为多个区间(S402)。优选1个区间为固定的长度，例如将1天设为1个区间。或者，也可以在如化工厂那样的批处理的情况下设为每个批次，在加工装置的情况下设为每个加工对象个体，在如MRI那样的医疗装置的情况下设为每个检查对象。接着，基于所输入的特征向量，进行簇中心初始配置(S403)，进行k均值聚类(S404)。然后，进行各簇的成员调整(S405)。这里，簇的成员是属于簇的特征向量。在S403中，将不同区间的特征向量彼此的类似度视为0。另外，在步骤S404以及步骤S405的处理中，在1个簇中不混合存在不同区间的特征向量。接着，在学习结果蓄积部107中，记录各簇的区间ID、中心和簇成员(S406)。以下，详细说明簇中心初始配置(S403)、k均值聚类(S404)、簇成员调整(S405)。

首先，对簇中心初始配置(S403)进行说明。图6是本实施例中的簇中心位置的初始设定处理的流程图。在图6中，首先，输入簇的最大数以及初始配置的中断基准值、即基准类似度(S501)。接着，将所指定的学习期间的最初的特征向量设为最初的簇中心(S502)。接着，反复进行步骤S504～S507的处理直到簇最大数为止(S503)。首先，计算出已设定的簇中心与学习期间的全部特征向量的类似度(S504)。通过1/(1+距离)计算出类似度。但是，在区间不同的情况下将类似度设为0。接着，针对全部特征向量求出与簇中心的类似度的最大值(S505)。如果该值的最小值小于中断基准值(S506)，则将与簇中心的类似度的最大值最小的特征向量作为下一个簇中心(S507)。即，将距最近的簇中心最远的特征向量作为簇中心。如果簇数达到最大数，则退出循环并结束处理(S508)。另外，如果在步骤S506中类似度的最大值的最小值为中断基准值以上，则中断处理，即退出循环并结束处理(S508)。通过该中断，能够将簇数抑制为必要最低限度，因此不仅能够缩短簇中心初始配置处理的计算时间，还能够缩短聚类处理整体和异常测度计算处理的计算时间。

簇中心的初始位置通常随机配置的情况较多，在本实施例中也可以进行随机配置。但是，在有运转、停止的切换的设备中，其过渡状态的数据比稳定状态的数据少，因此若随机地选择，则难以选择为初始中心位置。于是，过渡状态的数据对簇中心计算造成的影响相对变小。上述说明的簇中心初始配置处理的方法是为了将簇中心初始配置在彼此较远的位置，由此能够增加过渡状态的簇。

接着，对k均值聚类(S404)进行说明。图7是本实施例中的基于k均值法的聚类处理的流程图。在图7中，首先，输入反复最大数和中断基准值(S601)。接着，反复进行步骤S603～S605的处理直到反复最大数为止(S602)。首先，将所指定的学习期间的全部特征向量作为对象来进行簇成员的分配(S603)。具体而言，将各特征向量设为到中心的距离最近的簇的成员。针对各簇，将全部簇成员的特征向量的均值设为新的簇中心向量(S604)。在簇中心的移动量比中断基准值大的情况下(S605)，返回到循环的最初的处理(S603)。在并非如此的情况下，退出循环并结束处理(S606)。另外，在达到反复最大数的情况下，退出循环并结束处理(S606)。

在簇成员分配(S603)中，在特征向量的区间与步骤S406中记录的簇的区间ID不一致的情况下，将距离视为无限大。因此，一个簇的全部成员成为相同区间的特征向量。由此，能够大幅省略距离计算处理。

接着，对簇成员调整(S405)进行说明。该处理的目的在于，使各簇的成员数量与计算异常测度所需的邻近数据的数量一致。图8是本实施例中的簇成员调整处理的流程图。首先，输入簇成员数量的指定值(S701)。接着，针对各簇，反复进行步骤S703～S706的处理(S702)。首先，如果簇的成员数量比指定的数量少(S703)，则对簇追加成员而成为指定的数量(S704)。按照成员以外的特征向量中距簇中心从近到远的顺序来决定追加的成员。如果在步骤S703中簇的成员数为指定值以上，则跳过步骤S704。接着，如果簇的成员数比指定值多(S705)，则去掉成员而成为指定的数量(S706)。可以随机决定去掉的成员。这是因为，簇的成员数量多是指在特征空间上向量的密度高，无论删除哪个成员均没有大的差别。

接着，说明簇选择部108、异常测度计算部109以及阈值计算部110在图4的(a)的学习时的处理(S304～S306)。此外，异常测度计算处理有2种方式，预先选择任意一种方式。在以下的说明中，分别称为邻近数据预设方式、邻近数据搜索方式。

图9A是说明基于邻近数据预设方式的异常测度计算处理的图。测量向关注向量q的最邻近簇的成员即k个向量所延伸的k-1维的仿射子空间投影关注向量q时的投影距离。图9A是k＝3的情况的例子。由3个向量x1～x3形成仿射子空间即平面，与关注向量q最接近的仿射子空间上的点Xb成为投影点(基准向量)，从关注向量q到基准向量Xb的距离为异常测度。此外，k只要比特征向量的维数充分小，则可以是任意的。

对具体的计算方法进行说明。根据评价数据q和k个向量xi(i＝1，···，k)，制作排列了k个q的矩阵Q和排列了xi的矩阵X，根据式(1)求出两者的相关矩阵C。接着，根据式(2)计算出表示邻近向量xi的加权的系数向量b。通过向量(q-Xb)的范数或其平方来计算出异常测度d。

[数式1]

C＝(Q-X)^T(Q-X) …(1)

[数式2]

图9B是说明基于邻近数据搜索方式的异常测度计算处理的图。以关注向量q的1至多个邻近簇的成员为对象，搜索并选择相对于关注向量q的k个邻近向量，测量向所选择的k个邻近向量所延伸的k-1维的仿射子空间投影关注向量q时的投影距离。将所选择的k个邻近向量设为xi(i＝1，···，k)，使用式(1)以及式(2)来计算出向量b，通过向量(q-Xb)的范数或者其平方来计算出异常测度。

图10A是选择了邻近数据预设方式的情况下的学习时的异常测度计算处理的流程图。在图10A中，首先，输入学习期间的特征向量(S901)，将学习期间分为多个区间(S902)。该区间以与步骤S402相同的方式进行划分。接着，对提取出的全部特征向量反复进行以下的处理(S903)。首先，计算从关注向量到1个时刻前的基准向量的距离(S904)。在计算出的距离大于处理对象区间的已计算出的异常测度的最大值的情况下(S905)，在簇选择部108中，选择与关注向量不同的区间的簇中的与关注向量最接近的最邻近簇(S906)。接着，在异常测度计算部109中，使用最邻近簇的全部成员，通过图9A所示的方法计算出基准向量(S907)，计算到基准向量的距离而作为异常测度(S908)。在不满足步骤S905的条件的情况下，即在到1个时刻前的基准向量的距离为处理对象区间的已计算出的异常测度的最大值以下的情况下，跳过步骤S906到S908的处理。异常测度的最大值是异常判定阈值的候选，考虑到在步骤S908中计算出的距离不大于在步骤S904中计算出的距离，不使最大值变化，因此中断计算。通过计算的中断，能够缩短用于计算异常测度的计算时间。如果针对全部特征向量结束了异常测度计算处理，则在阈值计算部110中计算阈值(S909)。具体而言，将异常测度的最大值设为阈值。

此外，在步骤S905中，由于意图针对每个区间对步骤S903的循环整体进行并行处理，所以与处理对象区间的最大值进行比较，但不一定需要进行并行处理，在不进行并行处理的情况下，与整体的已计算出的异常测度的最大值进行比较。

图10B是选择了邻近数据搜索方式的情况下的学习时的异常测度计算处理的流程图。在选择邻近数据搜索方式的情况下，在图5中说明的聚类处理中，难以在1个簇中混合存在不同区间的特征向量，因此以有可能在1个聚类中混合存在不同区间的特征向量为前提。

在图10B中，首先，输入学习期间的特征向量(S911)，通过与步骤S402同样的方法将学习期间划分为多个区间(S912)。接着，对提取出的全部特征向量反复进行以下的处理(S913)。首先，计算出从关注向量到1个时刻前的基准向量的距离(S914)。在计算出的距离大于处理对象区间的已计算出的异常测度的最大值的情况下(S915)，在簇选择部108中，从接近关注向量的一方选择指定数量的邻近簇(S916)。接着，在异常测度计算部109中，从所选择的簇的成员中，去除与关注向量相同区间的向量而提取邻近搜索对象(S917)。如图9B所示，从提取出的邻近搜索对象中搜索指定数量的邻近数据(S918)，使用搜索出的邻近数据计算出基准向量(S919)，计算到基准向量为止的距离而作为异常测度(S920)。在不满足步骤S915的条件的情况下，即在到1个时刻前的基准向量为止的距离为处理对象区间的已计算出的异常测度的最大值以下的情况下，跳过步骤S916到S920的处理。

当针对所有特征向量完成了异常测度计算处理时，在阈值计算部110中计算出阈值(S921)。该阈值与输入到异常检测部113的异常测度进行比较，用于判定设备的正常/异常。阈值计算部110计算出不将正常的学习数据判定为异常的阈值。换言之，计算出从正常的学习数据得到的异常测度的最大值作为阈值。

图10A的处理在选择簇后不需要邻近数据搜索处理，因此与图10B的处理相比，计算时间缩短的效果较大。但是，也可以具备图10A的处理和图10B的处理这双方，能够根据数据进行选择。这是因为，在图10B的处理中，灵敏度与现有方式相同，而在图10A的处理中，根据数据的不同，灵敏度有时会超过容许范围而降低。

在学习处理中，在学习结果蓄积部107中保存学习结果。在作为学习结果而保存的数据中，至少有用于提取特征向量的参数、用于计算异常测度的参数、用于传感器标准化的参数、簇数量以及各簇的中心位置和成为成员的向量的ID和区间ID、成为任意一个簇的成员的全部特征向量数据、异常判定阈值。用于提取特征向量的参数和用于计算异常测度的参数与学习时指定的参数相同。用于传感器标准化的参数是特征向量提取部105在步骤S302的处理中计算出的各传感器信号的均值、标准偏差、最大值、最小值等。

在图9A以及图9B中说明的异常测度计算处理是对局部子空间法进行了变形的处理，但也可以利用投影距离法、高斯过程。

投影距离法是制作相对于所选择的特征向量具有独自的原点的子空间即仿射子空间(方差最大的空间)的方法。通过某种方法选择与关注向量对应的多个特征向量，通过以下的方法计算出仿射子空间。

首先，求出所选择的特征向量的均值μ和协方差矩阵Σ，接着解出Σ的固有值问题，将排列了与从值大的一方预先指定的r个固有值对应的固有向量而得的矩阵U设为仿射子空间的标准正交基。设r为小于特征向量的维数且小于选择数据数的数。或者，也可以不将r设为固定的数，而设为从固有值大的一方起累积的贡献率超过预先指定的比例时的值。最接近关注向量的仿射子空间上的点成为基准向量。另外，从关注向量减去基准向量而得到的值成为残差向量，残差向量的范数或范数的平方成为异常测度。

在此，关于多个特征向量的选择方法，若预先对学习对象的特征向量进行聚类，并选择与关注向量最接近的簇所包含的特征向量，则能够通过在图10A中说明的处理流程来计算出异常测度。与局部子空间法的不同点在于，根据k个特征向量，计算出比k-1更小的维度的仿射子空间。

接着，对图4的(b)的异常检测时的异常判定处理进行说明。在步骤S311中，传感器信号输入部104从传感器信号蓄积部103或者从安装于设备101的传感器直接输入传感器信号102。在步骤S312中，特征向量提取部105与步骤S302同样地，进行所输入的传感器信号的标准化以及特征向量的提取。传感器信号的标准化使用在步骤S302中计算出并存储于学习结果蓄积部107的各传感器信号的均值和标准偏差或者最大值和最小值来进行。

以下，详细说明簇选择部108、异常测度计算部109、异常检测部111中的图4的(b)的异常检测时的处理(S313～S315)。

图11A是选择了邻近数据预设方式的情况下的异常检测时的异常判定处理的流程图。选择方式与学习时相同。在图11A中，针对在步骤S312中提取出的全部特征向量，反复进行以下的处理(S1001)。首先，计算出从关注向量到1个时刻前的基准向量为止的距离(S1002)。在计算出的距离大于在步骤S306中计算并存储在学习结果蓄积部107中的异常判定阈值的情况下(S1003)，在簇选择部108中，选择存储在学习结果蓄积部107中的簇中最接近关注向量的最邻近簇(S1004)。接着，计算出从关注向量到最邻近簇的中心为止的距离(S1005)，在该值大于异常判定阈值的情况下(S1005)，在异常测度计算部109中，使用最邻近簇的全部成员，通过图9A所示的方法计算出基准向量(S1006)，计算到基准向量为止的距离而作为异常测度(S1007)。在异常检测部111中，将异常测度与异常判定阈值进行比较来进行是正常还是异常的判定(S1008)。具体而言，如果异常测度为阈值以下，则设备判定为“正常”，如果异常测度大于阈值，则设备判定为“异常”。在不满足步骤S1003的条件的情况下，即在到1个时刻前的基准向量为止的距离为异常判定阈值以下的情况下，立即判定为正常(S1009)，结束关注向量的处理。另外，在不满足步骤S1005的条件的情况下，即在到最邻近簇为止的距离为异常判定阈值以下的情况下，也立即判定为正常(S1009)，结束关注向量的处理。考虑到在步骤S1007中计算出的距离不大于在步骤S1002或步骤S1005中计算出的距离，如果任意一个为阈值以下，则判定为正常，中断计算，因此能够缩短计算时间。另外，在选择簇后，由于不需要邻近数据搜索，所以也能够缩短不中断计算时的计算时间。即，在根据新观测到的特征向量来计算异常测度时，根据新观测到的特征向量来选择1个簇，根据属于所选择的簇的全部特征向量来制作基准向量，因此不需要进行邻近数据搜索，能够缩短计算异常测度的计算时间。

图11B是选择了邻近数据搜索方式的情况下的异常检测时的异常判定处理的流程图。在图11B中，针对在步骤S312中提取出的全部特征向量，反复进行以下的处理(S1011)。首先，计算出从关注向量到1个时刻前的基准向量为止的距离(S1012)。在计算出的距离大于在步骤S306中计算并存储在学习结果蓄积部107中的异常判定阈值的情况下(S1013)，在簇选择部108中，从存储在学习结果蓄积部107中的簇中的接近关注向量的簇中选择指定数量的邻近簇(S1014)。接着，在从关注向量到最邻近簇的中心为止的距离大于异常判定阈值的情况下(S1015)，在异常测度计算部109中，提取出所选择的簇的全部成员作为邻近搜索对象(S1016)。如图9B所示，从提取出的邻近搜索对象中搜索指定数量的邻近数据(S1017)，使用搜索出的邻近数据计算出基准向量(S1018)，并计算到基准向量为止的距离作为异常测度(S1019)。在异常检测部111中，将异常测度与异常判定阈值进行比较来进行是正常还是异常的判定(S1020)。在不满足步骤S1013的条件的情况下，即在到1个时刻前的基准向量为止的距离为异常判定阈值以下的情况下，立即判定为正常(S1021)，结束关注向量的处理。另外，在不满足步骤S1015的条件的情况下，即在到最邻近簇为止的距离为异常判定阈值以下的情况下，也立即判定为正常(S1021)，结束关注向量的处理。与图11A的处理同样地，能够通过计算处理的中断来缩短计算时间。

接着，对用于实现以上的动作的异常检测装置100的用户界面(GUI)的例子进行说明。

图12A以及图12B是设定用于离线解析实施的学习期间以及包含处理参数的解析条件的GUI的例子。在该画面中，也能够将计算出的学习结果登记为方案。另外，将过去的传感器信号102与设备ID以及时刻对应起来保存在数据库中。

图12A是选择邻近数据预设方式作为异常测度计算方法的情况的例子，图12B是选择邻近数据搜索方式的情况的例子。在离线解析条件设定画面1101中，输入对象设备、学习期间、测试期间、聚类参数、异常测度计算参数。在设备ID输入窗口1102中输入作为对象的设备的ID。通过按下设备列表显示按钮1103，显示保存在传感器信号蓄积部103中的数据的装置ID的列表，因此从列表中选择输入。在与异常检测装置100连接的设备101仅为1台的情况下，不显示设备ID输入窗口1102。

在学习期间输入窗口1104中输入想要提取学习数据的期间的开始日和结束日。在测试期间输入窗口1105中输入想要作为解析对象的期间的开始日和结束日。在传感器选择输入窗口1106中输入要使用的传感器。通过点击列表显示按钮1107来显示未图示的传感器列表，因此从列表中选择输入。

在聚类参数设定输入窗口1108中，输入在聚类部106中的处理中指定的簇数(1108a)以及簇成员数(1108b)、对在步骤S506中使用的簇中心初始配置的中断基准值进行距离换算而得到的值(1108c)、在步骤S605中使用的聚类反复中断基准值(1108d)。另外，输入在簇选择部108中的处理中指定的簇选择数(1108e)。并且，指定邻近数据预设方式选择勾选按钮(1108f)。在此，如图12A所示，在勾选了勾选按钮1108f的情况下，将簇成员数固定为与在基准向量制作中使用的数据数k相同的值，将簇选择数固定为1，而设为不可编辑。并且，学习时按照图10A所示的处理流程进行处理，异常检测时按照图11A所示的处理流程进行处理。初始配置以及反复进行的中断基准值的值越大，则越快被中断，如果为0，则不进行中断。如图12B所示，在未勾选勾选按钮1108f的情况下，能够进行簇成员数(1108b)、簇选择数(1108e)的编辑，在学习时按照图10B所示的处理流程进行处理，在异常检测时按照图11B所示的处理流程进行处理。

在异常测度计算参数输入窗口1109中输入在异常测度计算中要使用的参数。该图是采用了局部子空间作为方法的情况的例子，输入在基准向量制作中使用的邻近向量数k(1109a)和正则化参数(1109b)。正则化参数是为了防止在式(2)中无法求出相关矩阵C的逆矩阵而与对角分量相加的较小的数。另外，指定是否执行基于到1个时刻前的基准向量为止的距离的异常测度计算中断的勾选按钮(1109c)、是否执行基于到最邻近簇为止的距离的异常测度计算中断的勾选按钮(1109d)。在未勾选勾选按钮1109c的情况下，不执行步骤S904～S905或S914～S915的处理以及步骤S1002～S1003或S1012～S1013的处理。另外，在未勾选勾选按钮1109d的情况下，不执行步骤S1005或S1015的处理。

若确定了以上的解析条件的信息，则通过按下执行按钮1111来执行离线解析。

首先，使用学习期间的传感器信号，按照图4的(a)的处理流程执行学习。作为学习结果，保存在步骤S302中计算出的每个传感器信号的均值和标准偏差、在步骤S303中计算出的各簇的中心位置和成为成员的向量的ID和区间ID、在步骤S302中提取出的特征向量数据中的成为任意一个簇的成员的数据、在步骤S306中计算出的阈值。并且，将在步骤S305中计算出的异常测度与阈值进行比较来进行是正常还是异常的判定，将判定结果、异常测度、阈值一并保存为时间序列数据。接着，使用测试期间的传感器信号，按照图4的(b)的处理流程计算出异常测度，进行是正常还是异常的判定，将判定结果、异常测度、阈值一并保存为时间序列数据。

解析结束后，显示后述的结果显示画面。当用户的确认结束时，返回到离线解析条件设定画面1101。在方案名输入窗口1110中输入方案名，通过按下登记按钮1112，与设备ID以及方案名对应地保存学习结果以及解析结果，并结束。在此，在学习结果中，除了通过执行学习而制作保存的数据之外，还包含通过输入窗口1106、1108、1109输入的传感器选择信息、聚类参数、异常测度计算参数。在按下了结束按钮1113的情况下，什么都不做而结束。在该情况下，通过学习而制作保存的学习结果以及通过接下来的异常检测处理而制作保存的解析结果被删除或者通过接下来执行的解析而被覆盖。

所登记的学习结果被附加是激活还是非激活的标签来进行管理，以后执行在线的解析。在线解析中，对于新输入的数据，使用装置ID一致的激活的学习结果的信息，进行图4的(b)所示的处理，将结果与方案名和处理日期时间对应起来进行保存。这些处理定期地、例如每1天来执行。对于采样间隔短的设备、要求实时性的设备，进一步缩短执行的间隔。

图12C是用于指定在线解析结果的显示对象的GUI的例子。用户从显示对象指定画面1121中指定显示对象的设备、方案以及期间。首先，通过装置ID选择窗口1122选择设备ID。接着，通过方案名选择窗口1123，从以设备ID(1122)为对象的方案的列表中选择显示对象的方案。在数据记录期间显示部1124中，显示使用所输入的方案进行处理并残留有记录的期间的开始日和结束日。在结果显示期间指定窗口1125中输入想要显示结果的期间的开始日和结束日。当按下显示按钮1126时，显示异常检测处理的结果。当按下结束按钮1127时，结束指定显示对象的处理。

图13A和图13B是用于向用户示出分析结果的GUI的例子。通过用户选择在各画面的上部显示的标签，切换为解析结果整体显示画面1201以及解析结果放大显示画面1202中的某一个。

图13A是解析结果整体显示画面1201的例子。在解析结果整体显示画面1201中，显示所指定的期间的异常测度、阈值、判定结果、以及传感器信号的时间序列图表。在期间显示窗口1203中，在显示离线解析的结果的情况下，显示图12A中指定的学习期间以及测试期间。在显示在线解析的结果的情况下，虽然未图示，但显示在图12C中指定的结果显示期间。

在异常测度显示窗口1204中显示所指定的学习期间/测试期间或者结果显示期间的异常测度1204a、阈值1204b(虚线)以及判定结果1204c。另外，在用于学习的区间显示圆形标记1204d。在传感器信号显示窗口1205中，针对所指定的学习期间/测试期间或者结果显示期间的所指定的传感器，显示时间序列传感器信号1205a。

在传感器选择窗口1206中，通过用户的输入来指定传感器。但是，在用户指定之前，选择了开头的使用传感器。光标1207表示放大显示时的起点，能够通过用户的鼠标操作来移动。在显示天数指定窗口1208中显示解析结果放大显示画面1202中的从放大显示的起点到终点的天数，也能够在该画面中进行输入。在日期显示窗口1209中显示光标位置的日期。通过按下结束按钮1210，解析结果整体显示画面1201、解析结果放大显示画面1202均被删除，解析结果的显示结束。

图13B是解析结果放大显示画面1202的例子。在解析结果放大显示画面1202中，以在解析结果整体显示画面1201中由光标1207表示的日期为起点，显示由显示天数指定窗口1208指定的天数的期间内的异常测度、阈值、判定结果以及传感器信号的时间序列图表。即，在异常测度显示窗口1204以及传感器信号显示窗口1205中，放大显示与解析结果整体显示画面1201同样的信息。

另外，在解析结果放大显示画面1202中，追加显示滚动条1211和滚动条区域1212。滚动条1211的长度相当于在显示天数指定窗口1208中指定的天数，滚动条区域1212的整体的长度相当于在解析结果整体显示画面1201中显示的期间。此外，滚动条1211的左端部对应于放大显示的起点。用户还能够通过操作滚动条1211来变更显示的起点，该变更反映在解析结果整体显示画面1201的光标1207的位置和日期显示窗口1209的显示中。

如上所述，根据本实施例，能够提供可高速地进行处理的异常检测装置以及异常检测方法。

附图标记说明

100：异常检测装置、101：设备、102：传感器信号、103：传感器信号蓄积部、104：传感器信号输入部、105：特征向量提取部、106：聚类部、107：学习结果蓄积部、108：簇选择部、109：异常测度计算部、110：阈值计算部、111：异常检测部、1101：离线解析条件设定画面、1121：显示对象指定画面、1201：解析结果整体显示画面、1202：解析结果放大显示画面。

Claims (9)

1.一种异常检测装置，其特征在于，具备：

传感器信号输入部，其输入从安装于设备的多个传感器输出的多个时间序列的传感器信号；

特征向量提取部，其在每个时刻，从所述传感器信号提取出特征向量；

聚类部，其对指定的学习期间的所述特征向量进行聚类，将属于各簇的特征向量调整为固定数；

簇选择部，其根据新提取出的所述特征向量，从所述簇中选择1个或多个簇；

异常测度计算部，其从属于选择出的所述簇的特征向量中，根据新提取出的所述特征向量选择预定数量的特征向量，使用选择出的所述特征向量来制作基准向量，并基于制作出的所述基准向量和新提取出的所述特征向量来计算出异常测度；以及

异常检测部，其通过将所述异常测度与阈值进行比较来判定各时刻的传感器信号是正常还是异常，

在异常检测时，所述异常测度计算部基于新提取出的特征向量和选择出的所述簇的中心位置来计算出临时的异常测度，

在所述临时的异常测度为所述阈值以下的情况下，所述异常检测部判定所述传感器信号为正常。

2.一种异常检测装置，其特征在于，具备：

传感器信号输入部，其输入从安装于设备的多个传感器输出的多个时间序列的传感器信号；

特征向量提取部，其在每个时刻，从所述传感器信号提取出特征向量；

聚类部，其对指定的学习期间的所述特征向量进行聚类，将属于各簇的特征向量调整为固定数；

簇选择部，其根据新提取出的所述特征向量，从所述簇中选择1个或多个簇；

异常测度计算部，其从属于选择出的所述簇的特征向量中，根据新提取出的所述特征向量选择预定数量的特征向量，使用选择出的全部所述特征向量来制作基准向量，并基于制作出的所述基准向量和新提取出的所述特征向量来计算出异常测度；以及

异常检测部，其通过将所述异常测度与阈值进行比较来判定各时刻的传感器信号是正常还是异常，

在所述簇选择部选择簇之前，所述异常测度计算部基于新提取出的特征向量和该特征向量的1个时刻前的基准向量来计算出临时的异常测度，在学习时，在所述临时的异常测度为在处理对象区间已计算出的所述异常测度的最大值以下的情况下，将所述临时的异常测度作为异常测度，在异常检测时，在所述临时的异常测度为所述阈值以下的情况下，将所述临时的异常测度作为异常测度。

3.根据权利要求1或2所述的异常检测装置，其特征在于，

所述聚类部逐次追加1个簇以使簇中心位置的初始配置彼此的类似度变低，在彼此的类似度高于所指定的基准类似度、或超过所指定的最大数的情况下，停止追加。

4.根据权利要求1或2所述的异常检测装置，其特征在于，

所述聚类部将学习期间预先分割为多个区间，以使属于一个簇的特征向量的区间相同的方式进行聚类，

在学习时，所述簇选择部根据新提取出的所述特征向量，从与新提取出的所述特征向量不同的区间的所述簇中选择1个簇，在异常检测时，所述簇选择部根据新提取出的所述特征向量从所述簇中选择1个簇，

所述异常测度计算部使用属于选择出的所述簇的全部特征向量来制作基准向量。

5.一种异常检测方法，其特征在于，进行如下处理：

输入多个时间序列传感器信号并在每个时刻提取出特征向量；

对所指定的学习期间的所述特征向量进行聚类，将属于各簇的特征向量调整为固定数；

将所述各簇的中心和属于簇的特征向量作为学习数据而进行蓄积，根据新提取出的特征向量，从作为学习数据而蓄积的簇中选择出1个或多个簇；

根据所述新提取出的特征向量，从属于选择出的所述簇的特征向量中选择预定数量的特征向量，并使用选择出的全部所述特征向量来制作基准向量；

基于所述新提取出的特征向量和制作出的所述基准向量来计算出异常测度；

通过将所述异常测度与阈值进行比较来判定各时刻的传感器信号是异常还是正常；

在所述异常测度的计算中，在异常检测时，基于新提取出的特征向量和选择出的所述簇的中心位置来计算出临时的异常测度；

在所述异常还是正常的判定中，在所述临时的异常测度为所述阈值以下的情况下，判定所述传感器信号为正常。

6.一种异常检测方法，其特征在于，进行如下处理：

输入多个时间序列传感器信号并在每个时刻提取出特征向量；

对所指定的学习期间的所述特征向量进行聚类，将属于各簇的特征向量调整为固定数；

将所述各簇的中心和属于簇的特征向量作为学习数据而进行蓄积，根据新提取出的特征向量，从作为学习数据而蓄积的簇中选择出1个或多个簇；

根据所述新提取出的特征向量，从属于选择出的所述簇的特征向量中选择预定数量的特征向量，并使用选择出的所述特征向量来制作基准向量；

基于所述新提取出的特征向量和制作出的所述基准向量来计算出异常测度；

通过将所述异常测度与阈值进行比较来判定各时刻的传感器信号是异常还是正常；

在所述异常测度的计算中，在选择所述簇之前，基于新提取出的特征向量和该特征向量的1个时刻前的基准向量来计算出临时的异常测度，在学习时，在所述临时的异常测度为在处理对象区间已计算出的所述异常测度的最大值以下的情况下，将所述临时的异常测度作为异常测度，在异常检测时，在所述临时的异常测度为所述阈值以下的情况下，将所述临时的异常测度作为异常测度。

7.根据权利要求5或6所述的异常检测方法，其特征在于，

在所述聚类中，逐次追加1个簇以使簇中心位置的初始配置彼此的类似度变低，在彼此的类似度高于所指定的基准类似度、或超过所指定的最大数的情况下，停止追加。

8.根据权利要求5或6所述的异常检测方法，其特征在于，

在所述聚类中，将学习期间预先分割为多个区间，以使属于一个簇的特征向量的区间相同的方式进行聚类，

在所述簇的选择中，在学习时，根据所述新提取出的特征向量从与所述新提取出的特征向量不同的区间的所述簇中选择1个簇，在异常检测时，根据所述新提取出的特征向量从所述簇中选择1个簇，

在所述异常测度的计算中，使用属于选择出的所述簇的全部特征向量来制作基准向量。

9.一种程序，其特征在于，该程序使CPU执行权利要求5至8中任一项所述的异常检测方法。

Images