JP4745881B2

JP4745881B2 - Network status determination device, network status determination method, and network status determination program

Info

Publication number: JP4745881B2
Application number: JP2006117453A
Authority: JP
Inventors: 理華河端; 規郎平井
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2006-04-21
Filing date: 2006-04-21
Publication date: 2011-08-10
Anticipated expiration: 2026-04-21
Also published as: JP2007295056A

Description

この発明は、ネットワークの異常を検出するネットワーク状態判定装置及びネットワーク状態判定方法及びネットワーク状態判定プログラムに関する。 The present invention relates to a network state determination device, a network state determination method, and a network state determination program for detecting a network abnormality.

従来のネットワークの異常検出手段は、ネットワークログ＝時系列データを分析し異常を検出するが、過去のある期間の比較パラメータの総記録数に対する割合、平均値、標準偏差、相関度、頻度との比較によって分析対象の異常を判定していた（例えば、特許文献１）。 Conventional network anomaly detection means detects anomalies by analyzing network log = time-series data, but the ratio, average value, standard deviation, degree of correlation, and frequency of comparison parameters for a certain period in the past An abnormality to be analyzed was determined by comparison (for example, Patent Document 1).

また、ネットワークの通常状態におけるイベントを観測し分布データを作成し、ネットワークの運用時に作成した分布パターンとを比較し、この比較結果から異常を検出していた（例えば、特許文献２）。 In addition, an event in a normal state of the network is observed to create distribution data, compared with a distribution pattern created during network operation, and an abnormality is detected from the comparison result (for example, Patent Document 2).

このように従来のネットワークの異常検出手段は、通常状態との分析対象パラメータ値との比較で異常検出を行っているが、通常状態のログを入力として算出した閾値との比較であり、その閾値次第で異常検出精度が異なる課題があった。 As described above, the conventional network abnormality detection means performs abnormality detection by comparing the analysis target parameter value with the normal state, but the comparison with the threshold value calculated by using the log of the normal state as an input. There was a problem that the accuracy of abnormality detection differed depending on the situation.

また、ネットワークの状況は変化し続けており、通常状態を定義し直し続ける必要がある。通常状態を定義し直し、閾値を算出し直しても、異常の影響がバッググラウンドで長引いた場合などを考えると、その一定期間のデータの変動は落ち着いていても、通常＝正常とは限らなくなる。この場合に異常状態が収束していったときのデータは通常とした状態のものとは異なるデータとなり異常と検出され、異常検出精度が低下するという課題があった。
特開２００５−２３６８６２号公報特開２００５−２４４４２９号公報 Also, the network situation continues to change and it is necessary to keep redefining the normal state. Even if the normal state is redefined and the threshold value is calculated again, considering the case where the influence of the abnormality is prolonged in the background, even if the fluctuation of the data for a certain period of time has settled, it is not always normal = normal . In this case, there is a problem that data when the abnormal state converges is different from the data in the normal state and is detected as abnormal and the abnormality detection accuracy is lowered.
JP 2005-236862 A JP 2005-244429 A

この発明は、ネットワークの異常検出を精度高く行うことを目的とする。 An object of the present invention is to perform network abnormality detection with high accuracy.

この発明のネットワーク状態判定装置は、
ネットワークのログを収集するログ収集装置の収集した前記ログから前記ネットワークの所定期間の定常状態に対応する特徴量であるｎ次元（ｎは１以上の整数）の定常状態特徴量を複数抽出するとともに、前記ログに含まれるデータであって前記ネットワークの状態の判定に使用され、かつ前記定常状態の期間よりも後の所定期間のデータである判定対象データに対応する特徴量である判定対象データ特徴量をｎ次元の点を示す座標として抽出する抽出部と、
前記抽出部が抽出した複数の定常状態特徴量から前記複数の定常状態特徴量の分布する領域を示すｎ次元の特徴量領域を生成する特徴量領域生成部と、
前記特徴量領域生成部が生成した前記特徴量領域と前記抽出部が抽出した前記判定対象データ特徴量との距離を算出する特徴間距離算出部と、
前記特徴間距離算出部が算出した距離に基づいて、前記ネットワークの状態を判定する判定部と
を備えたことを特徴とする。 The network state determination apparatus of the present invention
A plurality of n-dimensional (n is an integer greater than or equal to 1) steady-state feature quantities that are feature quantities corresponding to the steady-state state of the network for a predetermined period are extracted from the logs collected by a log collection device that collects network logs. The determination target data feature which is data included in the log and is used for determining the state of the network and is a feature amount corresponding to determination target data which is data in a predetermined period after the period of the steady state An extractor for extracting the quantity as coordinates indicating an n-dimensional point;
A feature amount region generation unit that generates an n-dimensional feature amount region indicating a region in which the plurality of steady state feature amounts are distributed from the plurality of steady state feature amounts extracted by the extraction unit;
An inter-feature distance calculation unit that calculates a distance between the feature amount region generated by the feature amount region generation unit and the determination target data feature amount extracted by the extraction unit;
And a determination unit that determines the state of the network based on the distance calculated by the inter-feature distance calculation unit.

この発明により、精度の高いネットワーク異常検出を実現することができる。 According to the present invention, highly accurate network abnormality detection can be realized.

実施の形態１．
図１は、コンピュータであるログ分析装置１０（ネットワーク状態判定装置）の外観の一例を示す図である。図１において、ログ分析装置１０は、システムユニット８３０、ＣＲＴ（ＣａｔｈｏｄｅＲａｙＴｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置８１３、キーボード８１４（ＫｅｙＢｏａｒｄ：Ｋ／Ｂ）、マウス８１５、ＦＤＤ８１７（ＦｌｅｘｉｂｌｅＤｉｓｋＤｒｉｖｅ）、コンパクトディスク装置８１８（ＣＤＤ：ＣｏｍｐａｃｔＤｉｓｋＤｒｉｖｅ）、プリンタ装置８１９などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。 Embodiment 1 FIG.
FIG. 1 is a diagram illustrating an example of an appearance of a log analysis device 10 (network state determination device) that is a computer. In FIG. 1, the log analysis apparatus 10 includes a system unit 830, a display device 813 having a CRT (Cathode Ray Tube) or LCD (liquid crystal) display screen, a keyboard 814 (Key Board: K / B), a mouse 815, an FDD 817 ( Hardware resources such as a flexible disk drive (CDD), a compact disk device 818 (CDD: Compact Disk Drive), and a printer device 819 are provided, and these are connected by cables and signal lines.

システムユニット８３０は、コンピュータであり、また、ネットワークに接続されている。ネットワークには、ログ収集装置２０が接続されている。ログ分析装置１０は、ネットワークを介してログ収集装置２０と通信可能である。ログ分析装置１０は、ログ収集装置２０からログデータを取得する。 The system unit 830 is a computer and is connected to a network. A log collection device 20 is connected to the network. The log analysis device 10 can communicate with the log collection device 20 via a network. The log analysis device 10 acquires log data from the log collection device 20.

図２は、実施の形態１におけるログ分析装置１０のハードウェア資源の一例を示す図である。図２において、ログ分析装置１０は、プログラムを実行するＣＰＵ８１０（中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）８１１、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）８１２、表示装置８１３、キーボード８１４、マウス８１５、通信ボード８１６、ＦＤＤ８１７、ＣＤＤ８１８、プリンタ装置８１９、磁気ディスク装置８２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置８２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。 FIG. 2 is a diagram illustrating an example of hardware resources of the log analysis device 10 according to the first embodiment. In FIG. 2, the log analysis apparatus 10 includes a CPU 810 (also referred to as a central processing unit, a processing unit, an arithmetic unit, a microprocessor, a microcomputer, or a processor) that executes a program. The CPU 810 includes a ROM (Read Only Memory) 811, a RAM (Random Access Memory) 812, a display device 813, a keyboard 814, a mouse 815, a communication board 816, an FDD 817, a CDD 818, a printer device 819, and a magnetic disk device 820 via a bus 825. And control these hardware devices. Instead of the magnetic disk device 820, a storage device such as an optical disk device or a memory card read / write device may be used.

ＲＡＭ８１２は、揮発性メモリの一例である。ＲＯＭ８１１、ＦＤＤ８１７、ＣＤＤ８１８、磁気ディスク装置８２０等の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部、格納部の一例である。通信ボード８１６、キーボード８１４、ＦＤＤ８１７などは、入力部、入力装置の一例である。また、通信ボード８１６、表示装置８１３、プリンタ装置８１９などは、出力部、出力装置の一例である。 The RAM 812 is an example of a volatile memory. Storage media such as the ROM 811, the FDD 817, the CDD 818, and the magnetic disk device 820 are examples of nonvolatile memories. These are examples of a storage device, a storage unit, or a storage unit. The communication board 816, the keyboard 814, the FDD 817, and the like are examples of an input unit and an input device. The communication board 816, the display device 813, the printer device 819, and the like are examples of an output unit and an output device.

通信ボード８１６は、ネットワーク（ＬＡＮ等）に接続されている。通信ボード８１６は、ＬＡＮに限らず、インターネット、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。 The communication board 816 is connected to a network (such as a LAN). The communication board 816 may be connected not only to the LAN but also to a WAN (wide area network) such as the Internet or ISDN.

磁気ディスク装置８２０には、オペレーティングシステム８２１（ＯＳ）、ウィンドウシステム８２２、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１、ウィンドウシステム８２２により実行される。 The magnetic disk device 820 stores an operating system 821 (OS), a window system 822, a program group 823, and a file group 824. The programs in the program group 823 are executed by the CPU 810, the operating system 821, and the window system 822.

上記プログラム群８２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。 The program group 823 stores a program that executes a function described as “˜unit” in the description of the embodiment described below. The program is read and executed by the CPU 810.

ファイル群８２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の算出結果」、「〜の抽出結果」、「〜の生成結果」、「〜の処理結果」として説明する情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。 The file group 824 includes “determination result”, “calculation result”, “extraction result”, “generation result”, and “processing result” in the description of the embodiment described below. Information, data, signal values, variable values, parameters, and the like are stored as items of “˜file” and “˜database”. The “˜file” and “˜database” are stored in a recording medium such as a disk or a memory. Information, data, signal values, variable values, and parameters stored in a storage medium such as a disk or memory are read out to the main memory or cache memory by the CPU 810 via a read / write circuit, and extracted, searched, referenced, compared, and calculated. Used for CPU operations such as calculation, processing, output, printing, and display. Information, data, signal values, variable values, and parameters are temporarily stored in the main memory, cache memory, and buffer memory during the CPU operations of extraction, search, reference, comparison, operation, calculation, processing, output, printing, and display. Is remembered.

また、以下に述べる実施の形態の説明においては、データや信号値は、ＲＡＭ８１２のメモリ、ＦＤＤ８１７のフレキシブルディスク、ＣＤＤ８１８のコンパクトディスク、磁気ディスク装置８２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス８２５や信号線やケーブルその他の伝送媒体によりオンライン伝送される。 In the description of the embodiments described below, data and signal values are stored in RAM 812 memory, FDD 817 flexible disk, CDD 818 compact disk, magnetic disk device 820 magnetic disk, other optical disks, mini disks, DVD (Digital). Recorded on a recording medium such as Versatile Disk). Data and signals are transmitted on-line via the bus 825, signal lines, cables, and other transmission media.

また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。 In addition, what is described as “to part” in the description of the embodiment described below may be “to circuit”, “to device”, “to device”, “means”, and “to step”. ”,“ ˜procedure ”, or“ ˜processing ”. That is, what is described as “˜unit” may be realized by firmware stored in the ROM 811. Alternatively, it may be implemented only by software, or only by hardware such as elements, devices, substrates, and wirings, by a combination of software and hardware, or by a combination of firmware. Firmware and software are stored as programs in a recording medium such as a magnetic disk, a flexible disk, an optical disk, a compact disk, a mini disk, and a DVD. The program is read by the CPU 810 and executed by the CPU 810. That is, the program causes the computer to function as “to part” described below. Alternatively, the procedure or method of “to part” described below is executed by a computer.

図３は、実施の形態１におけるログ分析装置１０の構成図ブロックである。ログ分析装置１０は、前述のようにネットワークを介してログ収集装置２０と通信可能に接続している。また、ログ分析装置１０は指示部３０と接続している。 FIG. 3 is a configuration block diagram of the log analysis apparatus 10 according to the first embodiment. The log analysis device 10 is communicably connected to the log collection device 20 via the network as described above. The log analysis device 10 is connected to the instruction unit 30.

図３において、ログ収集装置２０は、ネットワークを監視してログを収集して出力する。ログ収集装置２０が収集するログは、例えば、ネットワーク状態に関するログであり、「アクセスログ」「エラーログ」等である。さらに具体的には、パケットログ、ファイアウォールログ、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）アラートログなどであるが、これらに限定するものではない。ログ分析装置１０は、ログ収集装置２０が出力するログをネットワークを介して読み込み、読み込んだログを分析し、分析結果を表示装置やプリンタ装置などを介して通知する。 In FIG. 3, the log collection device 20 collects and outputs logs by monitoring the network. The log collected by the log collection device 20 is, for example, a log related to the network state, such as “access log”, “error log”, and the like. More specifically, a packet log, a firewall log, an IDS (Intrusion Detection System) alert log, and the like are not limited thereto. The log analysis device 10 reads the log output from the log collection device 20 via a network, analyzes the read log, and notifies the analysis result via a display device, a printer device, or the like.

ログ分析装置１０は、ログ記憶部１０１、ログ集計部１０２、特徴量算出部１０３、特徴量域定義部１０４（特徴量領域生成部）、特徴量域記憶部１０５、特徴間距離算出部１０６、判定部１０７、通知部１０８を備える。また、ログ集計部１０２と特徴量算出部１０３とは、特徴量を抽出する抽出部１１０を構成する。 The log analysis device 10 includes a log storage unit 101, a log totaling unit 102, a feature amount calculation unit 103, a feature amount region definition unit 104 (feature amount region generation unit), a feature amount region storage unit 105, an inter-feature distance calculation unit 106, A determination unit 107 and a notification unit 108 are provided. Further, the log totaling unit 102 and the feature amount calculation unit 103 constitute an extraction unit 110 that extracts feature amounts.

（１）ログ記憶部１０１は、ログ収集装置２０から出力されたログを保存する。 (1) The log storage unit 101 stores the log output from the log collection device 20.

（２）ログ集計部１０２は、ログ記憶部１０１に蓄積されたデータから時系列データを作成し、数値行列を作成する。そして特徴量算出部１０３が、この行列に対して特異値分解処理を実行する。
時系列データを、
「ｘ_１，ｘ_２，ｘ_３，ｘ_４，・・・，ｘ_ｍ−５，ｘ_ｍ−４，ｘ_ｍ−３，ｘ_ｍ−２，ｘ_ｍ−１，ｘ_ｍ」
とすると、
ｘ_ｎ（ｎ＝１〜ｍ）は、
例えば、ログが「パケットログ」であれば、ポート１３５で受けた１０分毎のパケット数や、１時間毎のＳＹＮフラグの立ったパケット数などである。あるいは、ログが「ファイアウォールログ」であれば、ｘ_ｎ（ｎ＝１〜ｍ）は、ポート４４５宛にきて廃棄された単位時間当たりのパケット数などとなる。 (2) The log totaling unit 102 creates time series data from the data stored in the log storage unit 101 and creates a numerical matrix. Then, the feature amount calculation unit 103 performs singular value decomposition processing on this matrix.
Time series data
_{_{_{_{"X 1, x 2, x 3}}}} , x 4, ···, x m-5, x m-4, x m-3, x m-2, x m-1, x m "
Then,
x _n (n = _{1 to} m) is
For example, if the log is “packet log”, the number of packets received every 10 minutes at the port 135, the number of packets with the SYN flag set every hour, and the like. Alternatively, if the log is a “firewall log”, x _n (n = _{1 to} m) is the number of packets per unit time that are destined for the port 445 and discarded.

ログ集計部１０２が生成する「数値行列」の成分は、上記に示した時系列データの数値である。ログ集計部１０２により作成される「数値行列」は、その分析視点によって異なるが、２つ例を以下に述べる。 The components of the “numerical value matrix” generated by the log totaling unit 102 are the numerical values of the time series data shown above. The “numerical matrix” created by the log totaling unit 102 differs depending on the analysis viewpoint, but two examples will be described below.

図４〜図６を用いて、ログ集計部１０２による「数値行列」の作成の例を示す。 An example of creating a “numerical value matrix” by the log totaling unit 102 will be described with reference to FIGS. 4 to 6.

（数値行列作成の第１の例）
図４は、数値行列作成の第１の例を示す図である。図４では、時系列データ列を、
時系列データ列：
「ｘ_１，ｘ_２，ｘ_３，ｘ_４，・・・，ｘ_ｍ−５，ｘ_ｍ−４，ｘ_ｍ−３，ｘ_ｍ−２，ｘ_ｍ−１，ｘ_ｍ」
とする。
ｘ_ｎ（ｎ＝１〜ｍ）は、例えば、ポート１３５の１０分毎に集計されたパケット数とする。１０分ごとの時点１〜時点６の６時点（１時間）を１つの時データ（各行）とする。そして、各行のｉｄ_１〜ｉｄ_ｍ−５において開始点を１時点（図４の例では１０分）づつずらし、「ｍ−５」行×６列の行列を生成する。これにより、１時間の期間の値の動きの変化を分析することができる。 (First example of numerical matrix creation)
FIG. 4 is a diagram illustrating a first example of numerical matrix creation. In FIG. 4, the time series data string is
Time series data column:
_{_{_{_{"X 1, x 2, x 3}}}} , x 4, ···, x m-5, x m-4, x m-3, x m-2, x m-1, x m "
And
x _n (n = _{1 to} m) is, for example, the number of packets counted every 10 minutes of the port 135. Six time points (1 hour) from time point 1 to time point 6 every 10 minutes are set as one hour data (each row). Then, in id ₁ to id _m-5 of each row, the start point is shifted by one time point (10 minutes in the example of FIG. 4) to generate a matrix of “m-5” rows × 6 columns. Thereby, the change of the movement of the value of the period of 1 hour can be analyzed.

（数値行列作成の第２の例）
図５、図６は、数値行列の作成の第２の例を示す図である。図５は、第２の例における時系列データを示す。図６は、特異値分解の対象期間と作成される数値行列（ｍ行×６列）を示す。例えば、ａ_ｎ（ｎ＝１〜ｍ）は、地域１からの１時間毎に集計されたパケット数の時系列データであり、ｂ_ｎ（ｎ＝１〜ｍ）は、地域２からの１時間毎に集計されたパケット数の時系列データであるとする。図６に示すように各時系列データ（行列では地域１〜地域６の６つの地域の時系列データを想定している）を各列に並べて行列を生成する。これにより、地域毎のパケット数のバランスの変化を分析することができる。 (Second example of numerical matrix creation)
5 and 6 are diagrams illustrating a second example of creation of a numerical matrix. FIG. 5 shows time-series data in the second example. FIG. 6 shows a target period of singular value decomposition and a numerical matrix (m rows × 6 columns) to be created. For example, a _n (n = 1 to m) is time-series data of the number of packets aggregated every hour from the region 1, and b _n (n = 1 to m) is one hour from the region 2. It is assumed that this is time-series data of the number of packets counted every time. As shown in FIG. 6, each time series data (in the matrix, time series data of six regions from region 1 to region 6 is assumed) is arranged in each column to generate a matrix. Thereby, a change in the balance of the number of packets for each region can be analyzed.

（３）特徴量算出部１０３は、ログ集計部１０２が出力した行列に対し特異値分解を行い、対象とする時系列データの特徴量を算出（抽出）する。なお、一つ時系列データでも、行列の作り方によって抽出される特徴量は違うものとなる。 (3) The feature amount calculation unit 103 performs singular value decomposition on the matrix output from the log totaling unit 102, and calculates (extracts) the feature amount of the target time-series data. Note that even with one time-series data, the feature quantity extracted differs depending on how the matrix is created.

（４）特徴量域定義部１０４は、任意の期間に対応する「特徴量域」を定義する。「特徴量域」（特徴量領域）とは、特徴量の集まった領域を意味する。以下の実施の形態では、分析手法として、「主成分分析」の一つの手法として「特異値分解」を用いている。主成分分析は、多くの変数のデータを、できるだけ情報の損失なしに少数個（ｍ個）の総合的指標（主成分）で表現する手法である。ｐ次元のデータを、ｍ次元（ｍ≦ｐ）のデータに縮約するという意味で、次元圧縮を行う手法として用いることもできる。特異値分解は、主成分分析に使う“値”を求める行列演算といえる。実施の形態１及び実施の形態２では、特異値分解を用いているが、主成分分析に使う“値”を求めるのには、固有値分解を用いても構わない。行列を特異値分解することによって、例えば、図４に示し行た列におけるｉｄ１，ｉｄ２，ｉｄ３，・・・それぞれの行に対する、第一主成分得点、第二主成分得点、第三主成分得点、・・・・が求まる。これらは、例えば、グラフにしたときの波の大きさであったりするが、何を表しているかは、データに拠る。なお、その主成分がどの程度元のデータの情報を保持しているかは、特異値分解の結果として主成分得点とは別に求まるが、第一主成分は一番特徴を現す指標、第二主成分は二番目に特徴を現す指標、・・・・といえる。通常、全体の８０％以上の特徴を現すところまで主成分を参照する。第ｎ主成分まで参照する場合、ｉｄ１の「特徴量」は、ｉｄ１の（第一主成分得点，二主成分得点，・・・，第ｎ主成分得点）からなる。図上にプロットする場合、特徴量はｎ次元の１点で表される。これが図３（ｄ）に示す“点”（黒丸）である（図３（ｄ）では、例示として２次元で示している）。上記「特徴量域」は、この複数の「特徴量」の点の集合を示す領域である。また、特徴量の点は、似た特徴を持つものは、ある一定の値の範囲に集約する。このため後述する「定常期間Ｐ」に対応する各点は、ある一定の範囲に集約する。特徴量域定義部１０４は、この集まり（領域）を、定常期間Ｐに対応する「定常域」と定義する。 (4) The feature amount area defining unit 104 defines a “feature amount area” corresponding to an arbitrary period. The “feature amount region” (feature amount region) means a region where feature amounts are collected. In the following embodiment, “singular value decomposition” is used as an analysis method as one method of “principal component analysis”. Principal component analysis is a technique for expressing data of many variables with a small number (m) of comprehensive indexes (principal components) with as little information loss as possible. It can also be used as a technique for dimensional compression in the sense of reducing p-dimensional data to m-dimensional (m ≦ p) data. Singular value decomposition can be said to be a matrix operation for obtaining “values” used for principal component analysis. In Embodiment 1 and Embodiment 2, singular value decomposition is used. However, eigenvalue decomposition may be used to obtain a “value” used for principal component analysis. By performing singular value decomposition on the matrix, for example, the first principal component score, the second principal component score, and the third principal component score for each row of id1, id2, id3 in the columns shown in FIG. , ... is found. These are, for example, the magnitudes of waves when graphed, but what they represent depends on the data. It should be noted that how much the principal component holds the original data information can be obtained separately from the principal component score as a result of the singular value decomposition, but the first principal component is the index that shows the most characteristic, the second principal component Ingredients can be said to be the second most characteristic index. Usually, the main component is referred to the point where the characteristic of 80% or more of the whole appears. When referring to the n-th principal component, the “feature value” of id1 is composed of id1 (first principal component score, second principal component score,..., N-th principal component score). In the case of plotting on the figure, the feature amount is represented by one point of n dimensions. This is the “point” (black circle) shown in FIG. 3D (in FIG. 3D, it is shown in two dimensions as an example). The “feature amount area” is an area indicating a set of points of the plurality of “feature amounts”. In addition, as for the feature amount, those having similar features are collected in a certain range of values. For this reason, each point corresponding to a “steady period P” described later is collected in a certain range. The feature amount region definition unit 104 defines this collection (region) as a “steady region” corresponding to the stationary period P.

（５）特徴量域記憶部１０５は、特徴量域を記憶する。 (5) The feature amount area storage unit 105 stores a feature amount area.

（６）特徴間距離算出部１０６は、特徴量域と判定対象データに対応する特徴量との距離を算出する。 (6) The inter-feature distance calculation unit 106 calculates the distance between the feature amount area and the feature amount corresponding to the determination target data.

（７）判定部１０７は、特徴間距離算出部１０６の結果を使い、判定対象データの状態を判定する。 (7) The determination unit 107 determines the state of the determination target data using the result of the inter-feature distance calculation unit 106.

（８）通知部１０８は、判定（分析）結果を通知する。 (8) The notification unit 108 notifies the determination (analysis) result.

（動作の説明）
次に、図７、図８を参照してログ分析装置１０の動作を説明する。図７は、ログ分析装置１０の動作を説明するフローチャートである。図８は、特徴量（定常状態特徴量）と行列との対応関係を説明するため図である。 (Description of operation)
Next, the operation of the log analysis apparatus 10 will be described with reference to FIGS. FIG. 7 is a flowchart for explaining the operation of the log analysis apparatus 10. FIG. 8 is a diagram for explaining the correspondence between the feature amount (steady state feature amount) and the matrix.

異常の判定対象となる観測データ（判定対象データ）がログ収集装置２０から出力されると、指示部３０は、定常期間を定義する「指示情報」をログ集計部１０２に送信する。この「指示情報」とは、定常期間Ｐの範囲の指定（予め所定の範囲が指定される。図３（ｂ）の定常期間Ｐ０）、ログから抽出するべきデータのデータ抽出条件（例えば、ＴＣＰパケットのどのフラグがたっているか、ポート番号など）である。ログ集計部１０２は、この「指示情報」を指示部３０から受信すると、受信した「指示情報」に従って、ログ記憶部１０１が記憶しているログのうち指定期間（定常状態の所定期間および異常の判定対象となる観測データが含まれる所定期間）のデータを取り出す（Ｓ１１）。 When observation data (determination target data) that is an abnormality determination target is output from the log collection device 20, the instruction unit 30 transmits “instruction information” that defines a steady period to the log totaling unit 102. The “instruction information” is a specification of the range of the stationary period P (a predetermined range is designated in advance. The stationary period P0 in FIG. 3B), and a data extraction condition for data to be extracted from the log (for example, TCP Which flag of the packet is on, port number, etc.). When the log totaling unit 102 receives this “instruction information” from the instruction unit 30, the log totaling unit 102 performs a specified period (a predetermined period in a steady state and an abnormal state) among the logs stored in the log storage unit 101 according to the received “instruction information”. Data for a predetermined period including the observation data to be determined is extracted (S11).

（行列の作成）
そして、抽出部１１０のログ集計部１０２は、指示された単位時間でデータを集計して時系列データを作成し、その時系列データから「数値行列」を作成する。図３（ｃ）が行列を示す。「指示された単位時間」とは、図４の行列に示したように１０分毎のような単位である。図３（ｂ）の時系列データは、時間ｔ２〜ｔｎ＋１が対象（定常期間Ｐ０と判定対象である観測データ）である。図３（ｃ）の行列において、例えば、「ａ＿ｔ２」は、時間ｔ２に対応する値を示している。なお、図３（ｃ）の行列は、図４に示した「第１の例」の方法で作成した行列である。 (Matrix creation)
Then, the log totaling unit 102 of the extraction unit 110 totals data in the designated unit time to create time series data, and creates a “numerical matrix” from the time series data. FIG. 3C shows a matrix. The “instructed unit time” is a unit such as every 10 minutes as shown in the matrix of FIG. The time-series data in FIG. 3B is the target (observation data that is the determination target for the stationary period P0) from time t2 to tn + 1. In the matrix of FIG. 3C, for example, “a_t2” indicates a value corresponding to the time t2. The matrix in FIG. 3C is a matrix created by the method of “first example” shown in FIG.

（定常状態特徴量の抽出）
抽出部１１０の特徴量算出部１０３は、ログ集計部１０２から出力された行列を受け取り、特異値分解処理を行い、その算出結果から特徴量（定常状態特徴量と判定対象データ特徴量）を算出（抽出）する。すなわち、特徴量算出部１０３は、ログ収集装置２０の収集したログからネットワークの定常期間Ｐ０（所定期間の定常状態）に対応する特徴量であるｎ次元（ｎは１以上の整数）の定常状態特徴量を複数抽出する。図３（ｄ）において定常域ＲＰを示す破線に囲まれた複数の黒丸のそれぞれが、「特徴量」（定常状態特徴量）である。複数の黒丸のそれぞれが、図３（ｃ）に示す行列の最後の１行を除く各行に対応する「特徴量」（定常状態特徴量）である。図８は、特徴量（定常状態特徴量）と行列との対応関係を説明するための図である。図８は、例えば、定常期間が時間ｔ１１〜ｔ２０、それぞれに対応する値（例えばパケット数）をａ１１（ｔ１１）〜ａ２０（ｔ２０）とする。また、次のａ２１が、新しい観測データであり、異常かの判定対象としている。この例では、行列の作り方は、図４に示した第１の例により作成してある。図８に示すように、特異値分解の結果算出される各行に対応する特徴量（定常状態特徴量）が、図３（ｄ）の定常域ＲＰ中の黒丸で表される。図３（ｃ）では対象となる行列において定常期間Ｐに対応する行は複数ある。よって、図３（ｄ）に示すように定常域ＲＰの中には複数の黒丸（定常状態特徴量）が存在することとなる。このように行列を特異値分解（行列演算）した結果、各行に対して、特徴量が求まり、各行に対応する特徴量を図示したものが図３（ｄ）に示す定常域ＲＰの中の複数の黒丸（定常状態特徴量）である。さらに、抽出部は、判定対象となる観測データに対する特徴量Ｆ１を抽出する。このように観測データでは、図８の行列において、ａ２１が入った最後の行が、異常かどうかの判定対象である。この行に対応する特徴量が、図３（ｄ）に示す「観測データ特徴量Ｆ１」の黒丸である。観測データ（判定対象データ）は、ログに含まれるデータであってネットワークの状態の判定に使用され、かつ定常期間Ｐ（定常状態の期間）よりも後の所定期間のデータである。以上のように「判定対象データ」に対応する特徴量である判定対象データ特徴量は、特徴量算出部１０３により、ｎ次元の点を示す座標として抽出される。（Ｓ１２） (Extraction of steady state feature)
The feature amount calculation unit 103 of the extraction unit 110 receives the matrix output from the log totaling unit 102, performs singular value decomposition processing, and calculates feature amounts (steady state feature amounts and determination target data feature amounts) from the calculation results. (Extract. That is, the feature quantity calculation unit 103 is an n-dimensional (n is an integer of 1 or more) steady state that is a feature quantity corresponding to a network steady period P0 (a steady state of a predetermined period) from the log collected by the log collection device 20. Extract multiple feature values. Each of a plurality of black circles surrounded by a broken line indicating the steady region RP in FIG. 3D is a “feature amount” (steady state feature amount). Each of the plurality of black circles is a “feature amount” (steady state feature amount) corresponding to each row except the last one row of the matrix shown in FIG. FIG. 8 is a diagram for explaining a correspondence relationship between a feature amount (steady state feature amount) and a matrix. In FIG. 8, for example, a steady period is time t11 to t20, and values (for example, the number of packets) corresponding to each are a11 (t11) to a20 (t20). Further, the next a21 is new observation data, and is a determination target of abnormality. In this example, the matrix is created by the first example shown in FIG. As shown in FIG. 8, the feature amount (steady state feature amount) corresponding to each row calculated as a result of the singular value decomposition is represented by a black circle in the steady region RP of FIG. In FIG. 3C, there are a plurality of rows corresponding to the stationary period P in the target matrix. Therefore, as shown in FIG. 3D, a plurality of black circles (steady state feature values) exist in the steady region RP. As a result of the singular value decomposition (matrix operation) of the matrix as described above, the feature amount is obtained for each row, and the feature amounts corresponding to each row are illustrated in the plurality of stationary regions RP shown in FIG. The black circle (steady state feature). Furthermore, the extraction unit extracts a feature amount F1 for the observation data to be determined. Thus, in the observation data, in the matrix of FIG. 8, the last row containing a21 is a determination target whether or not it is abnormal. The feature amount corresponding to this row is a black circle of “observation data feature amount F1” shown in FIG. The observation data (determination target data) is data included in the log, used for determination of the state of the network, and data for a predetermined period after the steady period P (steady state period). As described above, the determination target data feature amount, which is a feature amount corresponding to the “determination target data”, is extracted by the feature amount calculation unit 103 as coordinates indicating an n-dimensional point. (S12)

特徴量域定義部１０４（特徴量領域生成部）は、定常期間Ｐ（定常状態における所定期間）に対応する特徴量域を定常域ＲＰ（特徴量領域）と定義する（Ｓ１３）。定義された定常域ＲＰは、特徴量域記憶部１０５に保存される。すなわち、特徴量域定義部１０４（特徴量領域生成部）は、特徴量算出部１０３が抽出した複数の特徴量（定常状態特徴量）から、複数の定常状態特徴量の分布する領域を示すｎ次元の定常域ＲＰ（特徴量領域）を生成する。 The feature amount region definition unit 104 (feature amount region generation unit) defines a feature amount region corresponding to the steady period P (a predetermined period in the steady state) as a steady region RP (feature amount region) (S13). The defined steady region RP is stored in the feature amount region storage unit 105. That is, the feature amount area definition unit 104 (feature amount region generation unit) n indicating a region in which a plurality of steady state feature amounts are distributed from a plurality of feature amounts (steady state feature amounts) extracted by the feature amount calculation unit 103. A dimensional stationary region RP (feature amount region) is generated.

特徴間距離算出部１０６は、特徴量域定義部１０４が生成した定常域ＲＰと特徴量算出部１０３が抽出した「観測データ特徴量Ｆ１」（判定対象データ特徴量）との距離を算出する（Ｓ１４）。距離の算出には、定常域ＲＰの重心からの距離などを使う。 The inter-feature distance calculation unit 106 calculates the distance between the steady region RP generated by the feature amount region definition unit 104 and the “observation data feature amount F1” (determination target data feature amount) extracted by the feature amount calculation unit 103 ( S14). For calculating the distance, the distance from the center of gravity of the steady region RP is used.

判定部１０７は、算出された距離を用い、観測データ特徴量Ｆ１が定常域ＲＰから乖離しているか否かにより、観測データが異常か否かを判定する（Ｓ１５）。異常の検知の判定結果（分析結果）は、通知部１０８を介して通知される。「乖離している」、「乖離していない」の判断条件は、図３（ｄ）において、「観測データ特徴量Ｆ１」が定常域ＲＰに含まれるか、含まれない、とうい条件である。例えば一例として、定常域ＲＰがあって、そこに含まれる点は、重心からの距離がある値以下であるといえる。その値を超えたか否かで、乖離しているか、否かを判定することができる。そして、判定部１０７は、乖離しているか、否かによりネットワークの状態（異常か否か）を判定する。 The determination unit 107 determines whether or not the observation data is abnormal based on whether or not the observation data feature amount F1 deviates from the steady region RP using the calculated distance (S15). The determination result (analysis result) of abnormality detection is notified via the notification unit 108. The determination condition of “deviation” or “not deviation” is a condition that “observation data feature amount F1” is included or not included in the stationary region RP in FIG. . For example, as an example, there is a steady region RP, and the points included therein can be said to be less than or equal to a certain distance from the center of gravity. Whether or not there is a divergence can be determined based on whether or not the value is exceeded. Then, the determination unit 107 determines the state of the network (whether or not it is abnormal) depending on whether or not there is a divergence.

以上のように、実施の形態１のログ分析装置は、多次元のデータを最小の誤差で要約する（次元を削減する）ことが知られている特異値分解により得る特徴量を使って、ネットワークログの異常を検知するようにしているので、精度の高い異常検出を行うことができる。また、実施の形態１のログ分析装置は、定常域ＲＰと観測データ特徴量Ｆ１との距離に基づいてネットワークの状態を判定するので、精度の高い異常検出を行うことができる。 As described above, the log analysis apparatus according to the first embodiment uses a feature amount obtained by singular value decomposition, which is known to summarize multidimensional data with a minimum error (reducing dimensions), and Since the abnormality of the log is detected, the abnormality detection with high accuracy can be performed. Moreover, since the log analyzer of Embodiment 1 determines the state of the network based on the distance between the steady region RP and the observed data feature amount F1, it is possible to detect anomalies with high accuracy.

実施の形態２．
次に図９、図１０を用いて実施の形態２を説明する。以上の実施形態１では、比較対象となる定常期間Ｐに対する定常域ＲＰが固定（１つ）の場合について述べた。実施の形態２では、ネットワークの状況の変化に追随して、比較対象となる特徴量域を再定義していく実施形態を示す。 Embodiment 2. FIG.
Next, the second embodiment will be described with reference to FIGS. In the first embodiment described above, the case where the stationary region RP with respect to the stationary period P to be compared is fixed (one) has been described. In the second embodiment, an embodiment in which a feature amount area to be compared is redefined in accordance with a change in a network situation.

図９は、「定常期間Ｐ０と定常域ＲＰ０」、「定常期間Ｐ１と定常域ＲＰ１」、及び異常の判定対象となる観測データ（判定対象データ）の特徴量の関係を示している。 FIG. 9 shows the relationship between the feature amounts of “steady period P0 and steady region RP0”, “steady period P1 and steady region RP1”, and observation data (determination target data) that is a determination target of abnormality.

（動作の説明）
ネットワークの状況が変化すると、異常の判定対象となる観測データがログ収集装置２０から出力されたとき、指示部３０が、ログ集計部１０２に、比較対象の特徴量域（定常域）の再定義を指示する指示情報を送信する。ログ集計部１０２は、その指示情報に従って、実施の形態１の場合と同様に、図９に示す定常期間Ｐ０および定常期間Ｐ１および異常の判定対象となる観測データが含まれる所定期間のデータをログ記憶部１０１から取り出し、指示された単位時間でデータを集計し時系列データを作成し、その時系列データから数値行列を作成する。このとき、ログ集計部１０２に渡される指示情報のログからのデータ抽出条件は、ネットワークの状況が変化する前に定常域ＲＰ０を定義したときと同じ条件（ただし指定期間が定常期間Ｐ１である点は異なる）である。 (Description of operation)
When the status of the network changes, when the observation data to be determined as abnormal is output from the log collection device 20, the instruction unit 30 redefines the comparison target feature amount region (steady region) to the log aggregation unit 102. The instruction information for instructing is transmitted. According to the instruction information, the log totaling unit 102 logs data for a predetermined period including the stationary period P0 and the stationary period P1 shown in FIG. 9 and the observation data to be determined as abnormal, as in the case of the first embodiment. The data is taken out from the storage unit 101, the data is totaled in the designated unit time to create time series data, and a numerical matrix is created from the time series data. At this time, the data extraction conditions from the log of the instruction information passed to the log totaling unit 102 are the same conditions as when the stationary region RP0 was defined before the network status changed (however, the designated period is the stationary period P1). Is different).

抽出部１１０は、特徴量算出部１０３で、実施の形態１と同様に、ログ集計部１０２から出力された行列を受け取り、特異値分解処理を行い、その算出結果から定常期間Ｐ０に対応する特徴量（定常状態特徴量）、定常期間Ｐ１に対応する特徴量（定常状態特徴量）、および観測データに対する「観測データ特徴量Ｆ２」を算出する。図９では、ログの状態が実線に遷移した場合の観測データ特徴量を「観測データ特徴量Ｆ２−１」（丸に×印の記号）で示し、ログの状態が破線に遷移した場合の観測データ特徴量を「観測データ特徴量Ｆ２−２」（四角に×印の記号）で示している。ネットワークの状態は、「観測データ特徴量Ｆ２−１」と「観測データ特徴量Ｆ２−２」とのいずれかに遷移するものとする。すなわち、図９のグラフにおいて、実線と破線とは、定常期間Ｐ１の後、ネットワークの状態が実線のように値が変化する、あるいは、破線のように変化するという別個の２つのケースを想定している。そして、図９には、この２つのケースに対応する観測データ特徴量を示す点「Ｆ２−１」と「Ｆ２−２」とを記載している。
The extraction unit 110 receives the matrix output from the log totaling unit 102 in the feature amount calculation unit 103 as in the first embodiment, performs singular value decomposition processing, and the feature corresponding to the stationary period P0 from the calculation result. An amount (steady state feature amount), a feature amount corresponding to the steady period P1 (steady state feature amount), and an “observation data feature amount F2” for the observation data are calculated. In FIG. 9, the observation data feature amount when the log state transitions to a solid line is indicated by “observation data feature amount F2-1” (a symbol with a circle ×), and the observation when the log state transitions to a broken line The data feature amount is indicated by “observation data feature amount F2-2” (symbol indicated by a cross in a square). It is assumed that the network state transitions to either “observation data feature amount F2-1” or “observation data feature amount F2-2”. That is, in the graph of FIG. 9, the solid line and the broken line assume two separate cases in which the value of the network state changes as a solid line or changes as a broken line after the steady period P1. ing. FIG. 9 shows points “F2-1” and “F2-2” indicating observed data feature amounts corresponding to these two cases.

特徴量域定義部１０４は、実施の形態１と同様にして、定常期間Ｐ０に対応する特徴量域を定常域ＲＰ０、定常期間Ｐ１に対応する特徴量域を定常域ＲＰ１と定義する。定義された定常域ＲＰ０および定常域ＲＰ１は、特徴量域記憶部１０５に保存される。 Similar to the first embodiment, the feature amount region defining unit 104 defines the feature amount region corresponding to the stationary period P0 as the stationary region RP0 and the feature amount region corresponding to the stationary period P1 as the stationary region RP1. The defined steady region RP0 and defined region RP1 are stored in the feature amount region storage unit 105.

特徴間距離算出部１０６は、実施の形態１と同様に、定常域ＲＰ１と「観測データ特徴量Ｆ２−１」（あるいは「観測データ特徴量Ｆ２−２」）との距離を算出する。算出方法は、実施の形態１と同様である。 Similar to the first embodiment, the inter-feature distance calculation unit 106 calculates the distance between the stationary region RP1 and the “observation data feature amount F2-1” (or “observation data feature amount F2-2”). The calculation method is the same as in the first embodiment.

判定部１０７は、実施の形態１と同様に、特徴間距離算出部１０６が算出した距離を用いて定常域ＲＰ１から観測データ特徴量Ｆ２が乖離しているかを見る。 Similar to the first embodiment, the determination unit 107 uses the distance calculated by the inter-feature distance calculation unit 106 to see whether the observation data feature amount F2 deviates from the steady region RP1.

次に、本実施の形態２の特徴点として、判定部１０７は、乖離していると判定した場合、その状態での観測データ特徴量Ｆ２（Ｆ２−１あるいはＦ２−２）と定常域ＲＰ０との距離関係を同時に算出する。そして、判定部１０７は、観測データ特徴量Ｆ２が、定常域ＲＰ１から離れていくと同時に、さらに、定常域ＲＰ０から離れていっているのか（Ｆ２−２が該当）、あるいは定常域ＲＰ０に近づくように定常域ＲＰ１から離れていっているのか（Ｆ２−１が該当）を見る。これにより、どのように定常域ＲＰ１から離れていっているのかで、新たな異常か、異常の収束が判定可能となる。このように、判定部１０７は、定常域ＲＰ０に接近するような動きで定常域ＲＰ１から観測データ特徴量Ｆ２が乖離した場合（Ｆ２−１）は、ネットワーク異常が収束状態にあると判定する。一方、さらに定常域ＲＰ０から乖離するような場合（Ｆ２−２）には、判定部１０７は、新たなネットワーク異常の検知であると判定する。異常の検知の判定結果（分析結果）は、通知部１０８を介して通知される。 Next, as a feature point of the second embodiment, when the determination unit 107 determines that there is a divergence, the observation data feature amount F2 (F2-1 or F2-2) in that state and the steady region RP0 Are simultaneously calculated. Then, at the same time as the observed data feature amount F2 is moving away from the steady region RP1, the determination unit 107 further moves away from the steady region RP0 (F2-2 is applicable), or approaches the steady region RP0. To see if it is far from the steady region RP1 (F2-1 applies). As a result, it is possible to determine whether the abnormality is new or the convergence of the abnormality depending on how far from the steady region RP1. As described above, the determination unit 107 determines that the network abnormality is in a converged state when the observed data feature amount F2 deviates from the steady region RP1 due to the movement approaching the steady region RP0 (F2-1). On the other hand, when it further deviates from the steady region RP0 (F2-2), the determination unit 107 determines that a new network abnormality has been detected. The determination result (analysis result) of abnormality detection is notified via the notification unit 108.

図９では、比較対象の定常域が２つの場合について述べたが、次に３つ以上の定常域を記憶し、判定に使用する場合を説明する。図１０は、判定に使用する定常域が定常域ＲＰ０〜定常域ＲＰＮの「Ｎ＋１」個ある場合を示す図である。ログ分析装置１０の動作は図９の場合と同様であるので、簡単に説明する。
また、図１０に示す「観測データ特徴量Ｆ３−１」、「観測データ特徴量Ｆ３−２」
は図９に示した「観測データ特徴量Ｆ２−１」等と同様に、２通りの遷移を想定する場合の特徴量である。 In FIG. 9, the case where there are two stationary regions to be compared has been described. Next, a case where three or more stationary regions are stored and used for determination will be described. FIG. 10 is a diagram illustrating a case where there are “N + 1” stationary regions RP0 to RPN that are used for the determination. The operation of the log analyzer 10 is the same as that in FIG. 9 and will be described briefly.
Further, “observation data feature quantity F3-1” and “observation data feature quantity F3-2” shown in FIG.
Is a feature amount in the case of assuming two kinds of transitions as in the “observation data feature amount F2-1” shown in FIG.

（動作の説明）
異常の判定対象となる観測データ（最新の定常期間ＰＮよりも新しい期間のデータ）がログ収集装置２０から出力されると、定常期間Ｐ０、および定常期間Ｐ１、定常期間Ｐ２、・・・・、定常期間ＰＮ、および異常の判定対象となる観測データが含まれる所定期間のデータをログ記憶部１０１から取り出し、実施の形態１の方法で、定常期間Ｐ０に対応する特徴量域を定常域ＲＰ０と定義し、特徴量域記憶部１０５に保存する。 (Description of operation)
When observation data (data of a period newer than the latest steady period PN) that is an abnormality determination target is output from the log collection device 20, the steady period P0, the steady period P1, the steady period P2,. Data for a predetermined period including the stationary period PN and the observation data to be determined as abnormal is extracted from the log storage unit 101, and the feature amount area corresponding to the stationary period P0 is defined as the stationary area RP0 by the method of the first embodiment. Defined and stored in the feature area storage unit 105.

同様に実施の形態１の方法で、定常期間Ｐ１に対応する特徴量域を定常域ＲＰ１と定義し、特徴量域記憶部１０５に保存する。 Similarly, by the method of the first embodiment, the feature amount region corresponding to the steady period P1 is defined as the steady region RP1 and stored in the feature amount region storage unit 105.

同様に実施の形態１の方法で、定常期間Ｐ２、定常期間Ｐ３、・・・、定常期間ＰＮに対応する特徴量域を定常域ＲＰ２、定常域ＲＰ３、・・・、定常域ＲＰＮと定義し、特徴量域記憶部１０５に保存する。 Similarly, in the method of the first embodiment, the characteristic areas corresponding to the stationary period P2, stationary period P3,..., Stationary period PN are defined as stationary area RP2, stationary area RP3,. And stored in the feature amount area storage unit 105.

さらに、実施の形態１の方法で、観測データに対する「観測データ特徴量Ｆ３」を抽出する。 Furthermore, the “observation data feature amount F3” for the observation data is extracted by the method of the first embodiment.

以下の動作が特徴点である。特徴間距離算出部１０６は、最新の定常域ＲＰＮと「観測データ特徴量Ｆ３」との距離を算出する。判定部１０７は、算出された距離を用い、最新の定常域ＲＰＮから、「観測データ特徴量Ｆ３」が乖離しているかを見る。乖離していた場合、特徴量域記憶部１０５に保存されている他の特徴量域ＲＰ０、ＲＰ１、・・、ＲＰＮ−１との距離関係を同時に見て、どの定常域に近づいていっているかを判定し、図９で説明したのと同様に、観測データが、特徴量域ＲＰＦが期間が示すネットワークの状態から、どの状態へ向かって変化をしているかを見る。 The following operations are characteristic points. The inter-feature distance calculation unit 106 calculates the distance between the latest steady region RPN and the “observation data feature amount F3”. The determination unit 107 uses the calculated distance to see whether the “observation data feature amount F3” is deviated from the latest steady region RPN. If there is a divergence, see the distance relationship with the other feature value areas RP0, RP1,..., RPN-1 stored in the feature value area storage unit 105 at the same time. In the same manner as described with reference to FIG. 9, the observed data changes to which state the characteristic amount region RPF changes from the network state indicated by the period.

この判定結果（分析結果）は、通知部１０８を介して通知される。 This determination result (analysis result) is notified via the notification unit 108.

以上のように、ログ分析装置１０は、複数の過去の特徴量域との関係を見ることにより、異常検知だけでなく、ネットワークの状態の変化の方向を得ることができる。 As described above, the log analysis apparatus 10 can obtain not only an abnormality detection but also a direction of a change in the state of the network by looking at a relationship with a plurality of past feature amount areas.

以上の実施の形態で説明したログ分析装置１０は、ネットワークログから得た時系列データから抽出した特徴量を使いネットワーク上の異常検出を行なう。また、ネットワークの状況の変化に対応した定常域を再定義し、正常域に近づく形で剥離したか否かで、長期の異常状態の収束か、新たな異常かを判定する。よって、閾値を使用することなく、実データをもとに作成した基準でネットワークの状態を判断することができる。 The log analysis apparatus 10 described in the above embodiment performs abnormality detection on the network using the feature amount extracted from the time series data obtained from the network log. In addition, the steady-state area corresponding to the change in the network status is redefined, and it is determined whether the long-term abnormal state has converged or a new abnormality depending on whether or not the separation is close to the normal area. Therefore, it is possible to determine the state of the network based on a standard created based on actual data without using a threshold value.

実施の形態３．
実施の形態３は、実施の形態１及び実施の形態２のログ分析装置１０をネットワーク状態判定方法及びネットワーク状態判定プログラムとして把握した実施形態である。 Embodiment 3 FIG.
The third embodiment is an embodiment in which the log analysis device 10 according to the first and second embodiments is grasped as a network state determination method and a network state determination program.

図３に示したログ分析装置１０の抽出部１１０、特徴量域定義部１０４（特徴量領域生成部）、特徴間距離算出部１０６、判定部１０７等の一連の動作は互いに関連しており、これらの一連の動作をネットワーク状態判定方法として把握することができる。 A series of operations such as the extraction unit 110, the feature amount region definition unit 104 (feature amount region generation unit), the inter-feature distance calculation unit 106, and the determination unit 107 of the log analysis apparatus 10 illustrated in FIG. These series of operations can be grasped as a network state determination method.

図１１は、抽出部１１０等の一連の動作をネットワーク状態判定方法として把握した場合のフローチャートを示す。
（１）Ｓ１０１は、抽出部１１０が、ログ収集装置の収集したログからネットワークの所定期間の定常状態に対応する特徴量であるｎ次元（ｎは１以上の整数）の特徴量（定常状態特徴量）を複数抽出するとともに、ログに含まれるデータであってネットワークの状態の判定に使用され、かつ、定常状態の期間よりも後の所定期間のデータである観測データ（判定対象データ）に対応する特徴量である判定対象データ特徴量をｎ次元の点を示す座標として抽出するステップである。
（２）Ｓ１０２は、特徴量域定義部１０４（特徴量領域生成部）が、抽出部１１０が抽出した複数の特徴量（定常状態特徴量）から複数の定常状態特徴量の分布する領域を示すｎ次元の定常域（特徴量領域）を生成するステップである。
（３）Ｓ１０３は、特徴間距離算出部１０６が、特徴量域定義部１０４が生成した定常域と抽出部１１０が抽出した判定対象データ特徴量との距離を算出するステップである。
（４）Ｓ１０４は、判定部１０７が、特徴間距離算出部１０６が算出した距離に基づいてネットワークの状態を判定するステップである。 FIG. 11 is a flowchart when a series of operations of the extraction unit 110 and the like are grasped as a network state determination method.
(1) S101 is an n-dimensional (n is an integer greater than or equal to 1) feature quantity (steady-state feature), which is a feature quantity corresponding to the steady state of the network for a predetermined period from the log collected by the log collection device. Multiple), and is included in the log, used to determine the state of the network, and corresponds to observation data (determination target data) that is data for a predetermined period after the steady state period This is a step of extracting the determination target data feature quantity which is the feature quantity to be obtained as coordinates indicating an n-dimensional point.
(2) S102 indicates a region in which a plurality of steady state feature amounts are distributed from the plurality of feature amounts (steady state feature amounts) extracted by the extraction unit 110 by the feature amount region definition unit 104 (feature amount region generation unit). This is a step of generating an n-dimensional stationary region (feature amount region).
(3) S103 is a step in which the inter-feature distance calculation unit 106 calculates the distance between the steady region generated by the feature amount region definition unit 104 and the determination target data feature amount extracted by the extraction unit 110.
(4) S104 is a step in which the determination unit 107 determines the state of the network based on the distance calculated by the inter-feature distance calculation unit 106.

また、図３に示した抽出部１１０等の一連の動作は、一連の処理に置き換えることにより、ネットワーク状態判定プログラムの実施形態として把握することができる。 Further, a series of operations of the extraction unit 110 and the like illustrated in FIG. 3 can be grasped as an embodiment of the network state determination program by replacing with a series of processes.

図１２は、抽出部１１０等の動作を、コンピュータであるログ分析装置に実行させる
ネットワーク状態判定プログラムの処理を示すフローチャートである。
（１）Ｓ２０１は、ログ収集装置の収集したログからネットワークの所定期間の定常状態に対応する特徴量であるｎ次元（ｎは１以上の整数）の特徴量（定常状態特徴量）を複数抽出するとともに、ログに含まれるデータであってネットワークの状態の判定に使用され、かつ、定常状態の期間よりも後の所定期間のデータである観測データ（判定対象データ）に対応する特徴量である判定対象データ特徴量をｎ次元の点を示す座標として抽出する処理である。
（２）Ｓ２０２は、抽出した複数の特徴量（定常状態特徴量）から複数の定常状態特徴量の分布する領域を示すｎ次元の定常域（特徴量領域）を生成する処理である。
（３）Ｓ２０３は、生成した定常域と抽出した判定対象データ特徴量との距離を算出する処理である。
（４）Ｓ２０４は、算出した距離に基づいて、ネットワークの状態を判定する処理である。 FIG. 12 is a flowchart showing the processing of the network state determination program that causes the log analysis device, which is a computer, to execute the operation of the extraction unit 110 and the like.
(1) S201 extracts a plurality of n-dimensional (n is an integer of 1 or more) feature quantities (steady state feature quantities) that are feature quantities corresponding to the steady state of the network for a predetermined period from the logs collected by the log collection device. In addition, the data is included in the log and is used for determining the state of the network, and is a feature amount corresponding to observation data (determination target data) that is data in a predetermined period after the steady state period. This is a process of extracting the determination target data feature quantity as coordinates indicating an n-dimensional point.
(2) S202 is processing for generating an n-dimensional steady region (feature amount region) indicating a region in which a plurality of steady state feature amounts are distributed from the extracted plurality of feature amounts (steady state feature amounts).
(3) S203 is a process of calculating the distance between the generated steady region and the extracted determination target data feature amount.
(4) S204 is processing for determining the state of the network based on the calculated distance.

実施の形態３のネットワーク状態判定方法は、定常域と判定対象データ特徴量との距離に基づいてネットワークの状態を判定するので、精度の高い異常検出を行うことができる。 Since the network state determination method according to the third embodiment determines the network state based on the distance between the steady region and the determination target data feature amount, it is possible to perform highly accurate abnormality detection.

実施の形態３のネットワーク状態判定プログラムは、定常域と判定対象データ特徴量との距離に基づいてネットワークの状態を判定するので、精度の高い異常検出を行うことができる。 Since the network state determination program according to the third embodiment determines the network state based on the distance between the steady region and the determination target data feature quantity, it is possible to perform highly accurate abnormality detection.

以上の実施の形態では、以下の手段を備えたネットワーク異常検出装置を説明した。
（ａ）ネットワークログを収集する手段
（ｂ）収集したログを記憶する手段
（ｃ）記憶手段によって保存されたログから時間軸に沿って変化する時系列データを生成し、その時系列データから特徴量を算出するための行列を作成する手段
（ｄ）行列に対し特異値分解を実施し、解から得た主成分得点より特徴量を算出する手段
（ｅ）定常時の期間の時系列データに対する特徴量を算出し、この特徴量域を定常域と定義する手段
（ｆ）特徴量域を記憶する手段
（ｇ）正常時の特徴量は一定の範囲に集約することを利用し、観測データの特徴量がこの範囲から乖離したことを検知することにより、ネットワークの異常を検知する手段。
（ｈ）観測データの特徴量と、定常域との距離を算出する手段
（ｉ）検知した結果を通知する通知手段 In the above embodiment, the network abnormality detection apparatus provided with the following means has been described.
(A) means for collecting network logs, (b) means for storing collected logs, and (c) generating time-series data that varies along the time axis from the logs saved by the storage means, and using the time-series data, feature quantities Means for creating a matrix for calculating (d) means for performing singular value decomposition on the matrix, and calculating feature values from principal component scores obtained from the solution (e) features for time-series data in a steady-state period Means for calculating the quantity and defining the feature quantity area as a stationary area (f) Means for storing the feature quantity area (g) Utilizing the fact that normal feature quantities are aggregated into a certain range, A means of detecting network anomalies by detecting that the amount deviates from this range.
(H) Means for calculating the distance between the feature amount of the observation data and the steady region (i) Notification means for notifying the detected result

以上の実施の形態では、以下の手段を備えたネットワーク異常検出装置を説明した。
（ａ）ネットワークの特性は変化し続けるため、特性の変化に追随するために、定常域の特徴量域を算出し定常域とし、検知対象との比較対象の特徴量域を定義し直す手段
（ｂ）観測データの特徴量を、この定義し直した定常域の範囲から乖離したことを検知することにより、ネットワークの異常を検知する手段 In the above embodiment, the network abnormality detection apparatus provided with the following means has been described.
(A) Since the characteristics of the network continue to change, in order to follow the change of the characteristics, a means for calculating the feature amount area in the stationary region to be a steady region and redefining the feature amount region to be compared with the detection target ( b) Means for detecting an abnormality in the network by detecting that the characteristic amount of the observation data has deviated from the redefined steady-state range.

以上の実施の形態では、以下の手段を備えたネットワーク異常検出装置を説明した。
（ａ）定常期間Ｐ０を元に抽出した特徴量域を定常域ＲＰ０とし、変化する定常期間Ｐ１をもとに抽出した特徴量域を定常域ＲＰ１とする手段
（ｂ）観測されたデータに対する特徴量が、定常域ＲＰ１からの乖離により異常を検知することに対し、定常域ＲＰ１から乖離した場合にその状態での定常域ＲＰ０との距離関係を同時に見て、定常域ＲＰ０に接近するような動きで定常域ＲＰから乖離した場合は収束状態にあると判定する。一方、定常域ＲＰ０からさらに乖離するような場合は、新たな不正アクセスを検知したと判定する手段 In the above embodiment, the network abnormality detection apparatus provided with the following means has been described.
(A) Means region extracted based on stationary period P0 is defined as stationary region RP0, and feature region extracted based on changing stationary period P1 is defined as stationary region RP1. (B) Features for observed data When the quantity deviates from the steady region RP1, when the amount deviates from the steady region RP1, when the amount deviates from the steady region RP1, the distance relationship with the steady region RP0 in that state is simultaneously viewed and the amount approaches the steady region RP0. When the movement deviates from the steady region RP, it is determined that the state is converged. On the other hand, if it deviates further from the steady range RP0, means for determining that a new unauthorized access has been detected

以上の実施の形態では、以下の手段を備えたネットワーク異常検出装置を説明した。
（ａ）ネットワークの特性は変化し続けるため、特性の変化に追随するために、定常域の特徴量域を算出し定常域とし、検知対象との比較対象の特徴量域を定義し直す手段
（ｂ）定常域を複数記憶する手段
（ｃ）観測データの特徴量を、最新の定常域の範囲から乖離したことを検知することにより、ネットワークの状態の変化を検知する手段
（ｄ）観測されたデータに対する特徴量が、最新の定常域から乖離した場合に、記憶された複数の定常域のうち、どの定常域に接近するかを判定する手段 In the above embodiment, the network abnormality detection apparatus provided with the following means has been described.
(A) Since the characteristics of the network continue to change, in order to follow the change of the characteristics, a means for calculating the feature amount area in the stationary region to be a steady region and redefining the feature amount region to be compared with the detection target ( b) Means for storing a plurality of stationary regions (c) Means for detecting changes in the state of the network by detecting that the feature quantity of the observation data has deviated from the latest stationary region range (d) Observed Means for determining which stationary region to approach among the stored stationary regions when the feature amount for the data deviates from the latest stationary region

実施の形態１におけるログ分析装置の外観を示す図。FIG. 3 is a diagram illustrating an appearance of a log analysis device according to the first embodiment. 実施の形態１におけるログ分析装置のハードウェア構成を示す図。2 is a diagram illustrating a hardware configuration of a log analysis device according to Embodiment 1. FIG. 実施の形態１におけるログ分析装置のブロック図。FIG. 2 is a block diagram of a log analysis device according to the first embodiment. 実施の形態１における数値行列作成の第１の例を示す図。FIG. 6 shows a first example of numerical matrix creation in the first embodiment. 実施の形態１における数値行列作成の第２の例を示す図。FIG. 10 shows a second example of numerical matrix creation in the first embodiment. 実施の形態１における数値行列作成の第２の例を示す図。FIG. 10 shows a second example of numerical matrix creation in the first embodiment. 実施の形態１におけるログ分析装置の動作を示すフローチャート。5 is a flowchart showing the operation of the log analysis device according to the first embodiment. 実施の形態１における特徴量と行列との対応関係を説明する図。4A and 4B illustrate a correspondence relationship between feature amounts and matrices in Embodiment 1. FIG. 実施の形態２における「定常期間Ｐ０と定常域ＲＰ０」、「定常期間Ｐ１と定常域ＲＰ１」、及び異常の判定対象となる観測データの特徴量の関係を示す図。The figure which shows the relationship between "steady period P0 and stationary region RP0", "steady period P1 and stationary region RP1", and the feature-value of the observation data used as the abnormality determination object in Embodiment 2. 実施の形態２における判定に使用する定常域が定常域ＲＰ０〜定常域ＲＰＮの「Ｎ＋１」個ある場合を示す図。The figure which shows the case where the stationary region used for the determination in Embodiment 2 is "N + 1" of stationary region RP0 to stationary region RPN. 実施の形態３におけるネットワーク状態判定方法を示すフローチャート。10 is a flowchart illustrating a network state determination method according to the third embodiment. 実施の形態３におけるネットワーク状態判定プログラムを示すフローチャート。10 is a flowchart illustrating a network state determination program according to the third embodiment.

符号の説明Explanation of symbols

１０ログ分析装置、２０ログ収集装置、３０指示部、１０１ログ記憶部、１０２ログ集計部、１０３特徴量算出部、１０４特徴量域定義部、１０５特徴量域記憶部、１０６特徴間距離算出部、１０７判定部、１０８通知部、８００コンピュータシステム、８１０ＣＰＵ、８１１ＲＯＭ、８１２ＲＡＭ、８１３表示装置、８１４Ｋ／Ｂ、８１５マウス、８１６通信ボード、８１７ＦＤＤ、８１８ＣＤＤ、８１９プリンタ装置、８２０磁気ディスク装置、８２１ＯＳ、８２２ウィンドウシステム、８２３プログラム群、８２４ファイル群、８２５バス、８３０システムユニット。 DESCRIPTION OF SYMBOLS 10 log analyzer, 20 log collection apparatus, 30 instruction | indication part, 101 log storage part, 102 log totaling part, 103 feature-value calculation part, 104 feature-value area definition part, 105 feature-value area storage part, 106 distance between feature calculation part , 107 determination unit, 108 notification unit, 800 computer system, 810 CPU, 811 ROM, 812 RAM, 813 display device, 814 K / B, 815 mouse, 816 communication board, 817 FDD, 818 CDD, 819 printer device, 820 magnetic Disk unit, 821 OS, 822 window system, 823 program group, 824 file group, 825 bus, 830 system unit.

Claims

ネットワークのログを収集するログ収集装置の収集した前記ログから前記ネットワークの所定期間の定常状態に対応する特徴量であるｎ次元（ｎは１以上の整数）の複数の定常状態特徴量を期間の異なる複数の定常状態のそれぞれについて抽出するとともに、前記ログに含まれるデータであって前記ネットワークの状態の判定に使用される所定期間のデータであり、かつ、前記複数の定常状態のうちの最新の定常状態の期間よりも後の期間のデータである判定対象データに対応する特徴量である判定対象データ特徴量をｎ次元の点を示す座標として抽出する抽出部と、
前記抽出部が前記複数の定常状態のそれぞれについて抽出した前記複数の定常状態特徴量から前記複数の定常状態特徴量の分布する領域を示すｎ次元の特徴量領域を前記複数の定常状態のそれぞれについて生成する特徴量領域生成部と、
前記特徴量領域生成部が生成した前記複数の定常状態のそれぞれについての前記特徴量領域のうち最新の期間の定常状態に対応する前記特徴量領域と前記抽出部が抽出した前記判定対象データ特徴量との距離を算出する特徴間距離算出部と、
前記特徴間距離算出部が算出した距離に基づいて、最新の期間の定常状態に対応する前記特徴量領域と前記抽出部が抽出した前記判定対象データ特徴量とが乖離しているかどうかを判定する判定部と
を備え、
前記特徴間距離算出部は、
前記判定部が最新の期間の定常状態に対応する前記特徴量領域と前記判定対象データ特徴量とが乖離していると判定した場合には、最新の期間の定常状態に対応する前記特徴量領域以外の他の全ての前記特徴量領域と前記判定対象データ特徴量との距離をそれぞれ算出し、
前記判定部は、
前記特徴間距離算出部が算出した最新の期間の定常状態に対応する前記特徴量領域以外の他の全ての前記特徴量領域と前記判定対象データ特徴量とのそれぞれの距離に基づいて、前記ネットワークの状態を判定することを特徴とするネットワーク状態判定装置。 A plurality of n-dimensional (n is an integer of 1 or more) steady state feature quantities corresponding to the steady state of the network for a predetermined period from the log collected by the log collection device that collects network logs. Extracting each of a plurality of different steady states, data included in the log, and data for a predetermined period used for determining the state of the network, and the latest of the plurality of steady states An extraction unit that extracts a determination target data feature amount that is a feature amount corresponding to determination target data that is data in a period after the steady state period as coordinates indicating an n-dimensional point;
For each of the plurality of steady states, an n-dimensional feature amount region indicating a region where the plurality of steady state feature amounts are distributed from the plurality of steady state feature amounts extracted by the extraction unit for each of the plurality of steady states. A feature amount region generation unit to be generated;
The feature amount region corresponding to the steady state of the latest period among the feature amount regions for each of the plurality of steady states generated by the feature amount region generation unit and the determination target data feature amount extracted by the extraction unit An inter-feature distance calculation unit that calculates the distance between
Based on the distance calculated by the inter-feature distance calculation unit, it is determined whether the feature amount region corresponding to the steady state of the latest period and the determination target data feature amount extracted by the extraction unit are different from each other. A determination unit,
The inter-feature distance calculation unit
When the determination unit determines that the feature amount region corresponding to the steady state of the latest period and the determination target data feature amount are deviated, the feature amount region corresponding to the steady state of the latest period Calculating distances between all the feature amount regions other than and the determination target data feature amount,
The determination unit
Based on the respective distances between all the feature amount regions other than the feature amount region corresponding to the steady state of the latest period calculated by the inter-feature distance calculation unit and the determination target data feature amount, the network A network state determination apparatus characterized by determining a state of a network.

前記抽出部は、
特異値分解を用いることにより前記定常状態特徴量と前記判定対象データ特徴量とを抽出することを特徴とする請求項１記載のネットワーク状態判定装置。 The extraction unit includes:
Singular value decomposition the steady state characteristic amount and the determination target data features and the claim 1 Symbol mounting network condition determination device and extracting the by using.

コンピュータを、Computer
ネットワークのログを収集するログ収集装置の収集した前記ログから前記ネットワークの所定期間の定常状態に対応する特徴量であるｎ次元（ｎは１以上の整数）の複数の定常状態特徴量を期間の異なる複数の定常状態のそれぞれについて抽出するとともに、前記ログに含まれるデータであって前記ネットワークの状態の判定に使用される所定期間のデータであり、かつ、前記複数の定常状態のうちの最新の定常状態の期間よりも後の期間のデータである判定対象データに対応する特徴量である判定対象データ特徴量をｎ次元の点を示す座標として抽出する抽出部、A plurality of n-dimensional (n is an integer of 1 or more) steady state feature quantities corresponding to the steady state of the network for a predetermined period from the log collected by the log collection device that collects network logs. Extracting each of a plurality of different steady states, data included in the log, and data for a predetermined period used for determining the state of the network, and the latest of the plurality of steady states An extraction unit that extracts a determination target data feature amount, which is a feature amount corresponding to determination target data that is data in a period after the steady state period, as coordinates indicating an n-dimensional point;
前記抽出部が前記複数の定常状態のそれぞれについて抽出した前記複数の定常状態特徴量から前記複数の定常状態特徴量の分布する領域を示すｎ次元の特徴量領域を前記複数の定常状態のそれぞれについて生成する特徴量領域生成部、For each of the plurality of steady states, an n-dimensional feature amount region indicating a region where the plurality of steady state feature amounts are distributed from the plurality of steady state feature amounts extracted by the extraction unit for each of the plurality of steady states. A feature region generation unit to generate,
前記特徴量領域生成部が生成した前記複数の定常状態のそれぞれについての前記特徴量領域のうち最新の期間の定常状態に対応する前記特徴量領域と前記抽出部が抽出した前記判定対象データ特徴量との距離を算出する特徴間距離算出部、The feature amount region corresponding to the steady state of the latest period among the feature amount regions for each of the plurality of steady states generated by the feature amount region generation unit and the determination target data feature amount extracted by the extraction unit An inter-feature distance calculator that calculates the distance to
前記特徴間距離算出部が算出した距離に基づいて、最新の期間の定常状態に対応する前記特徴量領域と前記抽出部が抽出した前記判定対象データ特徴量とが乖離しているかどうかを判定する判定部Based on the distance calculated by the inter-feature distance calculation unit, it is determined whether the feature amount region corresponding to the steady state of the latest period and the determination target data feature amount extracted by the extraction unit are different from each other. Judgment part
として機能させるためのプログラムであって、Is a program for functioning as
前記特徴間距離算出部は、The inter-feature distance calculation unit
前記判定部が最新の期間の定常状態に対応する前記特徴量領域と前記判定対象データ特徴量とが乖離していると判定した場合には、最新の期間の定常状態に対応する前記特徴量領域以外の他の全ての前記特徴量領域と前記判定対象データ特徴量との距離をそれぞれ算出し、When the determination unit determines that the feature amount region corresponding to the steady state of the latest period and the determination target data feature amount are deviated, the feature amount region corresponding to the steady state of the latest period Calculating distances between all the feature amount regions other than and the determination target data feature amount,
前記判定部は、The determination unit
前記特徴間距離算出部が算出した最新の期間の定常状態に対応する前記特徴量領域以外の他の全ての前記特徴量領域と前記判定対象データ特徴量とのそれぞれの距離に基づいて、前記ネットワークの状態を判定することを特徴とするネットワーク状態判定プログラム。Based on the respective distances between all the feature amount regions other than the feature amount region corresponding to the steady state of the latest period calculated by the inter-feature distance calculation unit and the determination target data feature amount, the network A network status determination program for determining the status of a network.

ネットワーク状態判定装置が行うネットワーク状態判定方法において、In the network status determination method performed by the network status determination device,
抽出部が、ネットワークのログを収集するログ収集装置の収集した前記ログから前記ネットワークの所定期間の定常状態に対応する特徴量であるｎ次元（ｎは１以上の整数）の複数の定常状態特徴量を期間の異なる複数の定常状態のそれぞれについて抽出するとともに、前記ログに含まれるデータであって前記ネットワークの状態の判定に使用される所定期間のデータであり、かつ、前記複数の定常状態のうちの最新の定常状態の期間よりも後の期間のデータである判定対象データに対応する特徴量である判定対象データ特徴量をｎ次元の点を示す座標として抽出し、A plurality of n-dimensional (n is an integer of 1 or more) steady state features that are feature quantities corresponding to a steady state for a predetermined period of the network from the log collected by a log collection device that collects network logs by an extraction unit The amount is extracted for each of a plurality of steady states having different periods, is data included in the log, and is data for a predetermined period used for determining the state of the network. A determination target data feature amount that is a feature amount corresponding to the determination target data that is data in a period after the latest steady state period is extracted as coordinates indicating an n-dimensional point,
特徴量領域生成部が、前記抽出部が前記複数の定常状態のそれぞれについて抽出した前記複数の定常状態特徴量から前記複数の定常状態特徴量の分布する領域を示すｎ次元の特徴量領域を前記複数の定常状態のそれぞれについて生成し、The feature amount region generation unit obtains an n-dimensional feature amount region indicating a region in which the plurality of steady state feature amounts are distributed from the plurality of steady state feature amounts extracted by the extraction unit for each of the plurality of steady states. Generated for each of a plurality of steady states,
特徴間距離算出部が、前記特徴量領域生成部が生成した前記複数の定常状態のそれぞれについての前記特徴量領域のうち最新の期間の定常状態に対応する前記特徴量領域と前記抽出部が抽出した前記判定対象データ特徴量との距離を算出し、The feature distance calculation unit extracts the feature amount region and the extraction unit corresponding to the latest steady state among the feature amount regions for each of the plurality of steady states generated by the feature amount region generation unit. And calculating a distance from the determination target data feature amount,
判定部が、前記特徴間距離算出部が算出した距離に基づいて、最新の期間の定常状態に対応する前記特徴量領域と前記抽出部が抽出した前記判定対象データ特徴量とが乖離しているかどうかを判定し、Based on the distance calculated by the inter-feature distance calculating unit, whether or not the feature amount region corresponding to the steady state of the latest period is different from the determination target data feature amount extracted by the extracting unit Determine whether
前記特徴間距離算出部は、The inter-feature distance calculation unit
前記判定部が最新の期間の定常状態に対応する前記特徴量領域と前記判定対象データ特徴量とが乖離していると判定した場合には、最新の期間の定常状態に対応する前記特徴量領域以外の他の全ての前記特徴量領域と前記判定対象データ特徴量との距離をそれぞれ算出し、When the determination unit determines that the feature amount region corresponding to the steady state of the latest period and the determination target data feature amount are deviated, the feature amount region corresponding to the steady state of the latest period Calculating distances between all the feature amount regions other than and the determination target data feature amount,
前記判定部は、The determination unit
前記特徴間距離算出部が算出した最新の期間の定常状態に対応する前記特徴量領域以外の他の全ての前記特徴量領域と前記判定対象データ特徴量とのそれぞれの距離に基づいて、前記ネットワークの状態を判定することを特徴とするネットワーク状態判定方法。Based on the respective distances between all the feature amount regions other than the feature amount region corresponding to the steady state of the latest period calculated by the inter-feature distance calculation unit and the determination target data feature amount, the network A network state determination method characterized by determining a state of a network.