JP7084271B2 - Anomaly detection device, anomaly detection method and anomaly detection program - Google Patents
Anomaly detection device, anomaly detection method and anomaly detection program Download PDFInfo
- Publication number
- JP7084271B2 JP7084271B2 JP2018185387A JP2018185387A JP7084271B2 JP 7084271 B2 JP7084271 B2 JP 7084271B2 JP 2018185387 A JP2018185387 A JP 2018185387A JP 2018185387 A JP2018185387 A JP 2018185387A JP 7084271 B2 JP7084271 B2 JP 7084271B2
- Authority
- JP
- Japan
- Prior art keywords
- abnormality
- unit
- abnormality detection
- ranking
- degree
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
本発明は、異常検知装置、異常検知方法および異常検知プログラムに関する。 The present invention relates to an abnormality detection device, an abnormality detection method, and an abnormality detection program.
従来、大量の時系列データを取得し、普段と異なるふるまい、例えば、通信量の急な増加などの異常を検知する異常検知技術が知られている。このような異常検知技術は、ＤＤоＳ攻撃の検知や機器の故障検知などに応用されている。異常検知には、過去の値から分布を仮定し、現在の値の異常度を確率値として定義するホテリングのｔ２理論を用いたものや、ＬＯＦ（Local Outlier Factor）や特異スペクトル変換法を用いる手法などが存在する。 Conventionally, an abnormality detection technique has been known in which a large amount of time-series data is acquired and an abnormality such as an abnormality such as a sudden increase in communication volume is detected due to an unusual behavior. Such anomaly detection technology is applied to detection of DDоS attacks, device failure detection, and the like. For anomaly detection, the t2 theory of hoteling , which assumes a distribution from past values and defines the degree of anomaly of the current value as a probability value, is used, and LOF (Local Outlier Factor) and singular spectrum conversion method are used. There are methods and so on.
しかしながら、従来の手法では、異常検知を行う際の処理負荷が大きくなる場合があるという課題があった。例えば、複数の時系列データについて、各時系列データを用いて、それぞれの異常度合いを示す異常度を計算し、計算した異常度に基づいて異常を監視した場合には、計算コストが大きくなる場合があった。 However, the conventional method has a problem that the processing load when detecting an abnormality may become large. For example, if each time-series data is used to calculate the degree of abnormality indicating the degree of abnormality for a plurality of time-series data, and the abnormality is monitored based on the calculated degree of abnormality, the calculation cost becomes large. was there.
上述した課題を解決し、目的を達成するために、本発明の異常検知装置は、対象システムに関する時系列データを取得する取得部と、前記取得部によって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する作成部と、前記作成部によって作成されたランキングを用いて、異常度を計算する計算部と、前記計算部によって計算された異常度に基づいて、前記対象システムの異常を検知する検知部とを有することを特徴とする。 In order to solve the above-mentioned problems and achieve the object, the abnormality detection device of the present invention acquires the time-series data related to the target system and the time-series data acquired by the acquisition unit for a predetermined time. Calculation that totals for each predetermined abnormality detection unit in units and calculates the degree of abnormality using the creation unit that creates a ranking for each predetermined time unit using the aggregation result and the ranking created by the creation unit. It is characterized by having a unit and a detection unit that detects an abnormality in the target system based on the degree of abnormality calculated by the calculation unit.
また、本発明の異常検知方法は、異常検知装置によって実行される異常検知方法であって、対象システムに関する時系列データを取得する取得工程と、前記取得工程によって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する作成工程と、前記作成工程によって作成されたランキングを用いて、異常度を計算する計算工程と、前記計算工程によって計算された異常度に基づいて、前記対象システムの異常を検知する検知工程とを含むことを特徴とする。 Further, the abnormality detection method of the present invention is an abnormality detection method executed by an abnormality detection device, in which an acquisition process for acquiring time-series data related to a target system and a time-series data acquired by the acquisition process are predetermined. Aggregate for each predetermined abnormality detection unit in time units, and calculate the degree of abnormality using the creation process that creates a ranking for each predetermined time unit using the aggregation result and the ranking created by the creation process. It is characterized by including a calculation step for detecting an abnormality in the target system and a detection step for detecting an abnormality in the target system based on the degree of abnormality calculated by the calculation step.
また、本発明の異常検知プログラムは、対象システムに関する時系列データを取得する取得ステップと、前記取得ステップによって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する作成ステップと、前記作成ステップによって作成されたランキングを用いて、異常度を計算する計算ステップと、前記計算ステップによって計算された異常度に基づいて、前記対象システムの異常を検知する検知ステップとをコンピュータに実行させることを特徴とする。 Further, the abnormality detection program of the present invention aggregates the acquisition step for acquiring the time-series data related to the target system and the time-series data acquired by the acquisition step for each predetermined abnormality detection unit in a predetermined time unit. A creation step that creates a ranking for each predetermined time unit using the aggregated results, a calculation step that calculates the degree of anomaly using the ranking created by the creation step, and an anomaly degree calculated by the calculation step. Based on the above, the computer is made to execute a detection step for detecting an abnormality in the target system.
本発明によれば、異常検知を行う際の処理負荷を軽減することができるという効果を奏する。 According to the present invention, there is an effect that the processing load when detecting an abnormality can be reduced.
以下に、本願に係る異常検知装置、異常検知方法および異常検知プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る異常検知装置、異常検知方法および異常検知プログラムが限定されるものではない。 Hereinafter, embodiments of the abnormality detection device, the abnormality detection method, and the abnormality detection program according to the present application will be described in detail with reference to the drawings. It should be noted that this embodiment does not limit the abnormality detection device, the abnormality detection method, and the abnormality detection program according to the present application.
［第１の実施形態］
以下の実施の形態では、第１の実施形態に係る異常検知システム１００の構成、異常検知装置１０の構成、異常検知装置１０の処理の流れを順に説明し、最後に第１の実施形態による効果を説明する。
[First Embodiment]
In the following embodiment, the configuration of the
［異常検知システムの構成］
図１は、第１の実施形態に係る異常検知システムの構成例を示す構成図である。第１の実施形態に係る異常検知システム１００は、異常検知装置１０と端末装置２０とを有し、異常検知装置１０と端末装置２０とはネットワーク３０を介して互いに接続されている。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。
[Anomaly detection system configuration]
FIG. 1 is a configuration diagram showing a configuration example of an abnormality detection system according to the first embodiment. The
異常検知装置１０は、対象システムに関する時系列データを取得する。例えば、異常検知装置１０は、時系列データとして、異常検知を行う対象の通信システムにおける通信データを取得する。なお、異常検知装置１０は、時系列データとして、通信データに限定されるものではなく、どのようなデータを処理対象として取得してもよく、例えば、センサデータ等を取得してもよい。以下の説明では、異常検知装置１０が、時系列データとして、通信データを取得して処理を行う場合を例として説明する。
The
そして、異常検知装置１０は、取得した時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する。例えば、異常検知装置１０は、取得した通信データから、１時間単位で通信先ごとの通信量を集計し、集計結果を用いて、１時間ごとの通信量のランキングを作成する。なお、所定の時間単位として、「１時間」が設定されているものとして説明するが、これに限定されるものではなく、例えば、所定の時間単位として「１０分」や「１日」が設定されていてもよい。
Then, the
その後、異常検知装置１０は、作成したランキングを用いて、異常度を計算し、異常度に基づいて、対象システムの異常を検知する。例えば、異常検知装置１０は、異常度が所定の閾値よりも高い場合には、対象システムの異常を検知し、端末装置２０に対してアラートを出力する。このように、異常検知装置１０は、通信先同士の相対的な通信量の順位を示すランキングを作成し、作成したランキングを用いて、異常度を計算するので、絶対的な値ではなく、相対的な値から異常を検知することができ、処理負荷を軽減することが可能である。
After that, the
端末装置２０は、ＰＣ（Personal Computer）やスマートフォン等の装置であって、例えば、対象システムを管理する管理者が使用する装置である。例えば、端末装置２０は、異常検知装置１０によって異常が検知された場合には、異常検知装置１０から異常が検知された通信先を示すアラート表示画面を受信し、アラート表示画面を表示する。
The
［異常検知装置の構成］
次に、図２を用いて、異常検知装置１０の構成を説明する。図２は、第１の実施形態に係る異常検知装置の構成例を示すブロック図である。図２に示すように、この異常検知装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。以下に異常検知装置１０が有する各部の処理を説明する。
[Configuration of anomaly detection device]
Next, the configuration of the
通信処理部１１は、各種情報に関する通信を制御する。例えば、通信処理部１１は、異常が検知された通信先を示すアラート表示画面のデータを端末装置２０に送信する。
The
記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納する。記憶部１３は、集計データ記憶部１３ａ、ランキング情報記憶部１３ｂおよび異常度情報記憶部１３ｃを有する。例えば、記憶部１３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。 The storage unit 13 stores data and programs necessary for various processes by the control unit 12. The storage unit 13 has an aggregated data storage unit 13a, a ranking information storage unit 13b, and an abnormality degree information storage unit 13c. For example, the storage unit 13 is a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory (Flash Memory), or a storage device such as a hard disk or an optical disk.
集計データ記憶部１３ａは、通信先ごとに、時間帯別の通信量の集計データを記憶する。例えば、集計データ記憶部１３ａは、図３に例示するように、通信先を一意に識別する通信先ＩＤごとに、１時間ごとの通信量を記憶する。図３は、集計データ記憶部に記憶されるデータの一例を示す図である。図３の例を挙げて具体的に説明すると、集計データ記憶部１３ａは、通信先ＩＤ「Ａ」について、「０：００－１：００」の期間における通信量として「２０００」と、「１：００－２：００」の期間における通信量として「１９５０」と、「２：００－３：００」の期間における通信量として「１８００」とを記憶する。なお、ここで、通信量とは、例えば、パケット数であってもよいし、データ量であってもよい。 The aggregated data storage unit 13a stores aggregated data of the communication amount for each time zone for each communication destination. For example, as illustrated in FIG. 3, the aggregated data storage unit 13a stores the communication amount for each hour for each communication destination ID that uniquely identifies the communication destination. FIG. 3 is a diagram showing an example of data stored in the aggregated data storage unit. More specifically, the aggregated data storage unit 13a will use the example of FIG. 3 as the communication amount of the communication destination ID “A” in the period of “0:00 to 1:00” as “2000” and “1”. "1950" is stored as the communication volume in the period of ": 00-2: 00", and "1800" is stored as the communication volume in the period of "2:00-3:00". Here, the communication amount may be, for example, the number of packets or the amount of data.
ランキング情報記憶部１３ｂは、通信先ごとに、各時間帯における通信量の相対的な順位を記憶する。例えば、ランキング情報記憶部１３ｂは、図４に例示するように、通信ＩＤごとに、１時間ごとの通信量のランキングにおける順位を記憶する。図４は、ランキング情報記憶部に記憶されるデータの一例を示す図である。図４の例を挙げて具体的に説明すると、ランキング情報記憶部１３ｂは、通信先ＩＤ「Ａ」について、「０：００－１：００」の期間におけるランキングの順位として「２０」と、「１：００－２：００」の期間におけるランキングの順位として「２４」と、「２：００－３：００」の期間におけるランキングの順位として「３０」とを記憶する。 The ranking information storage unit 13b stores the relative ranking of the communication amount in each time zone for each communication destination. For example, as illustrated in FIG. 4, the ranking information storage unit 13b stores the ranking in the ranking of the communication amount for each hour for each communication ID. FIG. 4 is a diagram showing an example of data stored in the ranking information storage unit. More specifically, the ranking information storage unit 13b gives the communication destination ID "A" a ranking of "20" in the period of "0:00 to 1:00" and "20". "24" is stored as the ranking ranking in the period of "1: 00-2: 00", and "30" is stored as the ranking ranking in the period of "2:00-3:00".
異常度情報記憶部１３ｃは、通信先ごとに、異常度を記憶する。例えば、異常度情報記憶部１３ｃは、図５に例示するように、通信先ＩＤと異常度とを対応付けて記憶する。図５は、異常度情報記憶部に記憶されるデータの一例を示す図である。ここで、異常度とは、後述する計算部１２ｃによって計算された所定の時点における異常度であり、０～１の範囲で定義され、１に近づくほど異常度合いが高いものとする。図５の例を挙げて具体的に説明すると、異常度情報記憶部１３ｃは、通信先ＩＤ「Ａ」の異常度が「０．２」であり、通信先ＩＤ「Ｂ」の異常度が「０．３」であることを記憶している。 The abnormality degree information storage unit 13c stores the abnormality degree for each communication destination. For example, the abnormality degree information storage unit 13c stores the communication destination ID and the abnormality degree in association with each other, as illustrated in FIG. FIG. 5 is a diagram showing an example of data stored in the abnormality degree information storage unit. Here, the degree of abnormality is the degree of abnormality at a predetermined time point calculated by the calculation unit 12c described later, and is defined in the range of 0 to 1, and the closer to 1, the higher the degree of abnormality. More specifically, the abnormality degree information storage unit 13c has an abnormality degree of "0.2" in the communication destination ID "A" and an abnormality degree of the communication destination ID "B" in the abnormality degree information storage unit 13c with reference to the example of FIG. I remember that it was "0.3".
制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。制御部１２は、取得部１２ａ、作成部１２ｂ、計算部１２ｃ、検知部１２ｄおよび出力部１２ｅを有する。ここで、制御部１２は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。
The control unit 12 has an internal memory for storing a program that defines various processing procedures and required data, and executes various processing by these. The control unit 12 includes an acquisition unit 12a, a creation unit 12b, a calculation unit 12c, a
取得部１２ａは、対象システムに関する時系列データを取得する。具体的には、取得部１２ａは、時系列データとして、異常検知を行う対象の通信システムにおける通信データを取得する。例えば、取得部１２ａは、通信システムにおけるルータ等の通信機器から直接パケットのデータを定期的に収集するようにしてもよいし、端末装置２０等から入力された所定期間の通信データをまとめて取得するようにしてもよい。
The acquisition unit 12a acquires time-series data related to the target system. Specifically, the acquisition unit 12a acquires communication data in the communication system for which abnormality detection is performed as time-series data. For example, the acquisition unit 12a may periodically collect packet data directly from a communication device such as a router in a communication system, or collectively acquire communication data for a predetermined period input from a
作成部１２ｂは、取得部１２ａによって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する。ここで、異常検知単位とは、異常を検知する単位を示すものであり、以下では、異常検知単位として通信先ＩＤが設定されているものとして説明する。なお、異常検知単位は、これに限定されるものではなく、例えば、処理対象が時系列のセンサデータである場合には、異常検知単位として、センサを識別するセンサＩＤが設定されていてもよい。具体的には、作成部１２ｂは、取得した通信データから、１時間単位で通信先ごとの通信量を集計し、集計結果を用いて、１時間ごとの通信量のランキングを作成する。なお、作成部１２ｂは、取得した通信データが欠損している場合には、既存の手法を用いて、欠損している部分を補完するようにしてもよい。例えば、作成部１２ｂは、データがない部分については、該当部分のデータを「０」で補完する。 The creation unit 12b aggregates the time-series data acquired by the acquisition unit 12a for each predetermined abnormality detection unit in a predetermined time unit, and creates a ranking for each predetermined time unit using the aggregation result. Here, the abnormality detection unit indicates a unit for detecting an abnormality, and will be described below assuming that the communication destination ID is set as the abnormality detection unit. The abnormality detection unit is not limited to this, and for example, when the processing target is time-series sensor data, a sensor ID that identifies the sensor may be set as the abnormality detection unit. .. Specifically, the creation unit 12b aggregates the communication amount for each communication destination in 1-hour units from the acquired communication data, and creates a ranking of the communication amount for each hour using the aggregated result. If the acquired communication data is missing, the creating unit 12b may use an existing method to supplement the missing portion. For example, the creating unit 12b supplements the data of the corresponding portion with "0" for the portion having no data.
ここで、図６を用いて、ランキング作成の処理例を説明する。図６は、ランキング作成の処理例を説明する図である。図６に例示するように、作成部１２ｂは、取得部１２ａによって取得された時系列の通信量を示す通信データから、「０：００－１：００」、「１：００－２：００」、「２：００－３：００」・・・の各時間帯における各通信先ＩＤの通信量をそれぞれ集計し、集計結果を集計データ記憶部１３ａに格納する。 Here, a processing example of ranking creation will be described with reference to FIG. FIG. 6 is a diagram illustrating a processing example of ranking creation. As illustrated in FIG. 6, the creating unit 12b is "0: 00-1: 00", "1: 00-2: 00" from the communication data indicating the time-series communication amount acquired by the acquisition unit 12a. , "2: 00-3: 00" ... The communication amount of each communication destination ID in each time zone is totaled, and the totaled result is stored in the totaled data storage unit 13a.
続いて、作成部１２ｂは、各通信先ＩＤの同一時間帯の通信量同士を比較して順位付けを行い、時間帯ごとのランキングを作成し、ランキング結果をランキング情報記憶部１３ｂに格納する。 Subsequently, the creation unit 12b compares and ranks the communication volumes of each communication destination ID in the same time zone, creates a ranking for each time zone, and stores the ranking result in the ranking information storage unit 13b.
計算部１２ｃは、作成部１２ｂによって作成されたランキングを用いて、異常度を計算する。具体的には、計算部１２ｃは、作成部１２ｂによって作成されたランキングに含まれる所定時間単位ごとの順位のうち上位所定番目の順位を特定し、該上位所定番目の順位と、所定の時点における順位とに基づいて、所定の時点における各通信先の異常度を計算し、計算した異常度を異常度情報記憶部１３ｃに格納する。なお、どの時点の異常度を計算するかは、任意に設定できるものとするが、以下の説明では、現在の時点における異常度を計算するものとする。 The calculation unit 12c calculates the degree of abnormality using the ranking created by the creation unit 12b. Specifically, the calculation unit 12c specifies the upper predetermined rank among the ranks for each predetermined time unit included in the ranking created by the creation unit 12b, and the upper predetermined rank and the higher predetermined rank at a predetermined time point. The degree of abnormality of each communication destination at a predetermined time point is calculated based on the order, and the calculated degree of abnormality is stored in the degree of abnormality information storage unit 13c. It should be noted that the time point at which the degree of abnormality is calculated can be arbitrarily set, but in the following description, the degree of abnormality at the current time point is calculated.
また、計算部１２ｃは、ランキングに含まれる各順位を通信先の数に応じて、補正するようにしてもよい。例えば、計算部１２ｃは、ある通信先のランキングが「１０」位であって、通信先の数が「１００」ある場合には、「１０」を「１００」で除算して「０．１」と補正し、ある通信先のランキングが「１０」位であって、通信先の数が「２０」ある場合には、「１０」を「２０」で除算して「０．５」と補正する。つまり、時系列データには周期性が現れることが多く、周期性がある場合には時間ごとに対象の登場数が異なる。このため、同じ１０位でも意味が異なるため、通信先の全体の数に応じて、順位を補正する。 Further, the calculation unit 12c may correct each rank included in the ranking according to the number of communication destinations. For example, if the ranking of a certain communication destination is "10" and the number of communication destinations is "100", the calculation unit 12c divides "10" by "100" to "0.1". If the ranking of a certain communication destination is "10" and the number of communication destinations is "20", divide "10" by "20" and correct it to "0.5". .. That is, periodicity often appears in time-series data, and if there is periodicity, the number of appearances of the target differs depending on the time. Therefore, since the meaning is different even in the same 10th place, the ranking is corrected according to the total number of communication destinations.
例えば、計算部１２ｃは、ランキングに含まれる各時間帯の順位のうち、移動ｎ％値の順位を、通信先ごとに特定する。ここでは、通信先ごとのランキングの時系列データにおいて、ある一定区間の上位ｎ％の値を移動ｎ％値とする。この場合の一定区間とは、対象の値から過去のｗ個分とする。このｗをウィンドウ幅とする。例えば、計算部１２ｃは、移動ｎ％値が１０％と設定されている場合には、各通信先について、ランキングに含まれる１００個の順位のうち、上位１０番目の順位を特定する。この順位は、各通信先の普段のランキングを意味するものとする。ランキングの分布は対象ごとに異なる場合があるため、分布の種類に左右されづらく、計算コストも少ない移動ｎ％値を用いている。なお、移動ｎ％値について、整数で切れない場合は、前後整数で切れるところからの平均値で処理する。例えば、４つの中の５０％値なら２位と３位の平均値、１０個の中の１２％値なら１位と２位の平均値、１０個の中の１％値は参照できるものが１位の値しかないので１位の値用いる。 For example, the calculation unit 12c specifies the rank of the moving n% value among the ranks of each time zone included in the ranking for each communication destination. Here, in the time-series data of the ranking for each communication destination, the value of the upper n% in a certain section is set as the moving n% value. In this case, the fixed section is the past w pieces from the target value. Let this w be the window width. For example, when the movement n% value is set to 10%, the calculation unit 12c specifies the top 10 ranks among the 100 ranks included in the ranking for each communication destination. This ranking shall mean the usual ranking of each communication destination. Since the distribution of the ranking may differ for each object, the moving n% value, which is not easily influenced by the type of distribution and has a low calculation cost, is used. If the moving n% value cannot be cut by an integer, it is processed by the average value from the place where it can be cut by an integer before or after. For example, if the value is 50% out of 4, the average value of the 2nd and 3rd place, if the value is 12% out of 10, the average value of the 1st and 2nd place, and the 1% value out of 10 can be referred to. Since there is only the 1st place value, the 1st place value is used.
なお、ここでは、例えば、１０％をデフォルト値として設定されているものとするが、これに限定されるものではなく、ｎの値やウィンドウ幅は任意に設定することができるものとする。つまり、データの種類の検知したい異常の種類によって適切なウィンドウ幅やｎの値は異なるため、ウィンドウ幅やｎの値は自由に設定することができるようにし、データや目的によって、偽陽性と偽陰性のバランスを考慮して、柔軟に異常を検知できるように調整することが可能である。なお、移動ｎ％値について、一般的に、統計の分野においては５％を閾値にすることがあるが、本実施形態では、５％から少し余裕を持たせた１０％値をデフォルト値とする。そうすることによって、ウィンドウ幅が小さくても（例えば、２０程度でも）、異常を検知できるようにしている。 Here, for example, it is assumed that 10% is set as the default value, but the value is not limited to this, and the value of n and the window width can be set arbitrarily. In other words, since the appropriate window width and n value differ depending on the type of data type of abnormality to be detected, the window width and n value can be set freely, and false positives and false positives are made depending on the data and purpose. It is possible to adjust so that the abnormality can be detected flexibly in consideration of the negative balance. In the field of statistics, the threshold value of the moving n% value is generally 5%, but in the present embodiment, a 10% value with a slight margin from 5% is used as the default value. .. By doing so, even if the window width is small (for example, about 20), the abnormality can be detected.
そして、計算部１２ｃは、異常度の計算として、「異常度＝（移動ｎ％値―現在の値）／移動ｎ％値」を計算する。なお、普段よりランキングが低い場合には異常度がマイナスの値となるが、本実施形態ではランキングの上昇を検知するために、マイナスの異常度は「０」で置換する。これにより、異常度が０～１の範囲で定義され、１に近づくほど異常とみなせる。 Then, the calculation unit 12c calculates "abnormality = (movement n% value-current value) / movement n% value" as the calculation of the degree of abnormality. If the ranking is lower than usual, the degree of abnormality becomes a negative value, but in the present embodiment, in order to detect an increase in the ranking, the degree of negative abnormality is replaced with "0". As a result, the degree of abnormality is defined in the range of 0 to 1, and the closer it is to 1, the more abnormal it can be regarded.
検知部１２ｄは、計算部１２ｃによって計算された異常度に基づいて、対象システムの異常を検知する。例えば、検知部１２ｄは、計算部１２ｃによって計算された各異常度のうち所定の閾値（例えば、０．８）を超えている異常度があるか判定し、所定の閾値を超える異常度があると判定した場合には、対象システムの異常を検知する。
The
出力部１２ｅは、異常度が所定の閾値よりも高い場合には、対象システムの異常を検知し、端末装置２０に対してアラートを出力する。例えば、出力部１２ｅは、異常が検知された通信先を示すアラート表示画面を生成し、アラート表示画面のデータを端末装置２０に対して出力する。
When the degree of abnormality is higher than a predetermined threshold value, the
［異常検知装置の処理手順］
次に、図７を用いて、第１の実施形態に係る異常検知装置１０による処理手順の例を説明する。図７は、第１の実施形態に係る異常検知装置における処理の流れの一例を示すフローチャートである。
[Processing procedure for anomaly detection device]
Next, an example of the processing procedure by the
図７に例示するように、異常検知装置１０の取得部１２ａは、対象システムに関する時系列データを取得する（ステップＳ１０１）。具体的には、取得部１２ａは、時系列データとして、異常検知を行う対象の通信システムにおける通信データを取得する。
As illustrated in FIG. 7, the acquisition unit 12a of the
そして、作成部１２ｂは、取得部１２ａによって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計する（ステップＳ１０２）。続いて、作成部１２ｂは、取得した通信データが欠損している場合には、既存の手法を用いて、欠損している部分を補完する（ステップＳ１０３）。 Then, the creation unit 12b aggregates the time-series data acquired by the acquisition unit 12a for each predetermined abnormality detection unit in a predetermined time unit (step S102). Subsequently, when the acquired communication data is missing, the creating unit 12b uses an existing method to supplement the missing portion (step S103).
そして、作成部１２ｂは、集計結果を用いて、所定の時間単位ごとのランキングを作成する（ステップＳ１０４）。続いて、計算部１２ｃは、ランキングに含まれる各順位を通信先の数に応じて、補正する（ステップＳ１０５）。例えば、計算部１２ｃは、ある通信先のランキングが「１０」位であって、通信先の数が「１００」ある場合には、「１０」を「１００」で除算して「０．１」と補正する。 Then, the creation unit 12b creates a ranking for each predetermined time unit using the aggregation result (step S104). Subsequently, the calculation unit 12c corrects each rank included in the ranking according to the number of communication destinations (step S105). For example, if the ranking of a certain communication destination is "10" and the number of communication destinations is "100", the calculation unit 12c divides "10" by "100" to "0.1". And correct it.
そして、計算部１２ｃは、ランキングに含まれる各時間帯の順位のうち、移動ｎ％値の順位を、通信先ごとに特定する（ステップＳ１０６）。そして、計算部１２ｃは、移動ｎ％値の順位と、所定の時点における順位とに基づいて、所定の時点における異常度を計算する（ステップＳ１０７）。例えば、計算部１２ｃは、異常度の計算として、「異常度＝（移動ｎ％値―現在の値）／移動ｎ％値」を計算する。 Then, the calculation unit 12c specifies the rank of the moving n% value among the ranks of each time zone included in the ranking for each communication destination (step S106). Then, the calculation unit 12c calculates the degree of abnormality at a predetermined time point based on the rank of the movement n% value and the rank at the predetermined time point (step S107). For example, the calculation unit 12c calculates "abnormality = (movement n% value-current value) / movement n% value" as the calculation of the degree of abnormality.
その後、検知部１２ｄは、計算部１２ｃによって計算された各異常度のうち所定の閾値（例えば、０．８）を超えている異常度があるか判定する（ステップＳ１０８）。この結果、検知部１２ｄが所定の閾値を超える異常度がないと判定した場合には（ステップＳ１０８否定）、そのまま処理を終了する。また、検知部１２ｄが所定の閾値を超える異常度がないと判定した場合には（ステップＳ１０８肯定）、端末装置２０に対してアラートを出力する（ステップＳ１０９）。例えば、出力部１２ｅは、異常が検知された通信先を示すアラート表示画面を生成し、アラート表示画面のデータを端末装置２０に対して出力する。
After that, the
（第１の実施形態の効果）
第１の実施形態に係る異常検知装置１０は、対象システムに関する時系列データを取得し、取得した時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとのランキングを作成する。そして、異常検知装置１０は、作成したランキングを用いて、異常度を計算し、計算した異常度に基づいて、対象システムの異常を検知する。このため、異常検知装置１０では、異常検知の行う際の処理負荷を軽減することが可能である。
(Effect of the first embodiment)
The
つまり、異常検知装置１０は、通信先同士の相対的な通信量の順位を示すランキングを作成し、作成したランキングを用いて、異常度を計算するので、絶対的な値ではなく、相対的な値から異常を検知することができ、処理負荷を軽減することが可能である。
That is, since the
また、従来における、期間全体で値が大きいもの等の基準で絞り、それぞれに異常検知アルゴリズムを適用する手法では、期間全体で値が大きいものを異常と判定するという条件で絞ると、短期間で大きな値を記録するものは対象から外れてしまう。これに対して、異常検知装置１０では、絶対的な値ではなく、相対的な値から異常を検知するので、短期間で大きな値を記録した対象についても異常を検知することが可能である。
In addition, in the conventional method of narrowing down by criteria such as those with a large value over the entire period and applying an abnormality detection algorithm to each, narrowing down under the condition that those with a large value over the entire period are judged as abnormal, in a short period of time. Those that record large values are excluded from the target. On the other hand, since the
（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
(System configuration, etc.)
Further, each component of each of the illustrated devices is a functional concept, and does not necessarily have to be physically configured as shown in the figure. That is, the specific form of distribution / integration of each device is not limited to the one shown in the figure, and all or part of them may be functionally or physically distributed / physically distributed in any unit according to various loads and usage conditions. Can be integrated and configured. Further, each processing function performed by each device may be realized by a CPU and a program analyzed and executed by the CPU, or may be realized as hardware by wired logic.
また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。 Further, among the processes described in the present embodiment, all or part of the processes described as being automatically performed can be manually performed, or the processes described as being manually performed. It is also possible to automatically perform all or part of the above by a known method. In addition, the processing procedure, control procedure, specific name, and information including various data and parameters shown in the above document and drawings can be arbitrarily changed unless otherwise specified.
（プログラム）
また、上記実施形態において説明した異常検知装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る異常検知装置１０が実行する処理をコンピュータが実行可能な言語で記述した異常検知プログラムを作成することもできる。この場合、コンピュータが異常検知プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる異常検知プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された異常検知プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
(program)
It is also possible to create a program in which the processing executed by the abnormality detection device described in the above embodiment is described in a language that can be executed by a computer. For example, it is possible to create an abnormality detection program in which the processing executed by the
図８は、異常検知プログラムを実行するコンピュータを示す図である。図８に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
FIG. 8 is a diagram showing a computer that executes an abnormality detection program. As illustrated in FIG. 8, the
メモリ１０１０は、図８に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図８に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図８に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図８に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図８に例示するように、例えばディスプレイ１１３０に接続される。
The
ここで、図８に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の、異常検知プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。
Here, as illustrated in FIG. 8, the hard disk drive 1090 stores, for example, the
また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
Further, the various data described in the above embodiment are stored as program data in, for example, a
なお、異常検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、異常検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
The
上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。 The above-described embodiments and modifications thereof are included in the invention described in the claims and the equivalent scope thereof, as included in the technique disclosed in the present application.
１０ 異常検知装置
１１ 通信処理部
１２ 制御部
１２ａ 取得部
１２ｂ 作成部
１２ｃ 計算部
１２ｄ 検知部
１２ｅ 出力部
１３ 記憶部
１３ａ 集計データ記憶部
１３ｂ ランキング情報記憶部
１３ｃ 異常度情報記憶部
２０ 端末装置
３０ ネットワーク
１００ 異常検知システム
10
Claims (4)
前記取得部によって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとの前記異常検知単位のランキングを作成する作成部と、
前記作成部によって作成されたランキングを用いて、前記異常検知単位の異常度を計算する計算部と、
前記計算部によって計算された異常度に基づいて、前記対象システムの異常を検知する検知部と
を有し、
前記計算部は、前記作成部によって作成されたランキングに含まれる所定時間単位ごとの前記異常検知単位の順位のうち上位所定番目の順位を特定し、該上位所定番目の順位と、所定の時点における順位とに基づいて、前記所定の時点における前記異常検知単位の異常度を計算することを特徴とする異常検知装置。 An acquisition unit that acquires time-series data related to the target system,
The time-series data acquired by the acquisition unit is aggregated for each predetermined abnormality detection unit in a predetermined time unit, and the aggregation result is used to create a ranking of the abnormality detection unit for each predetermined time unit. When,
Using the ranking created by the creation unit, a calculation unit that calculates the degree of abnormality of the abnormality detection unit, and a calculation unit.
It has a detection unit that detects an abnormality in the target system based on the degree of abnormality calculated by the calculation unit.
The calculation unit specifies the upper predetermined rank among the ranks of the abnormality detection units for each predetermined time unit included in the ranking created by the preparation unit, and the upper predetermined rank and the rank at a predetermined time point. An abnormality detection device, characterized in that the degree of abnormality of the abnormality detection unit at a predetermined time point is calculated based on the order .
対象システムに関する時系列データを取得する取得工程と、
前記取得工程によって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとの前記異常検知単位のランキングを作成する作成工程と、
前記作成工程によって作成されたランキングを用いて、前記異常検知単位の異常度を計算する計算工程と、
前記計算工程によって計算された異常度に基づいて、前記対象システムの異常を検知する検知工程と
を含み、
前記計算工程は、前記作成工程によって作成されたランキングに含まれる所定時間単位ごとの前記異常検知単位の順位のうち上位所定番目の順位を特定し、該上位所定番目の順位と、所定の時点における順位とに基づいて、前記所定の時点における前記異常検知単位の異常度を計算することを特徴とする異常検知方法。 An anomaly detection method executed by an anomaly detection device.
The acquisition process to acquire time-series data related to the target system,
A creation process in which the time-series data acquired by the acquisition process is aggregated for each predetermined abnormality detection unit in a predetermined time unit, and the aggregation result is used to create a ranking of the abnormality detection unit for each predetermined time unit. When,
Using the ranking created by the creation step, a calculation step of calculating the degree of abnormality of the abnormality detection unit, and a calculation step.
Including a detection step of detecting an abnormality in the target system based on the degree of abnormality calculated by the calculation step.
The calculation step specifies the upper predetermined rank among the ranks of the abnormality detection units for each predetermined time unit included in the ranking created by the preparation step, and the higher predetermined rank and the predetermined time point. An abnormality detection method comprising calculating the degree of abnormality of the abnormality detection unit at a predetermined time point based on the order .
前記取得ステップによって取得された時系列データを、所定の時間単位で所定の異常検知単位ごとに集計し、集計結果を用いて、所定の時間単位ごとの前記異常検知単位のランキングを作成する作成ステップと、
前記作成ステップによって作成されたランキングを用いて、前記異常検知単位の異常度を計算する計算ステップと、
前記計算ステップによって計算された異常度に基づいて、前記対象システムの異常を検知する検知ステップと
をコンピュータに実行させ、
前記計算ステップは、前記作成ステップによって作成されたランキングに含まれる所定時間単位ごとの前記異常検知単位の順位のうち上位所定番目の順位を特定し、該上位所定番目の順位と、所定の時点における順位とに基づいて、前記所定の時点における前記異常検知単位の異常度を計算することを特徴とする異常検知プログラム。 The acquisition step to acquire the time series data related to the target system,
A creation step in which the time-series data acquired by the acquisition step is aggregated for each predetermined abnormality detection unit in a predetermined time unit, and the aggregation result is used to create a ranking of the abnormality detection unit for each predetermined time unit. When,
Using the ranking created by the creation step, a calculation step for calculating the degree of abnormality of the abnormality detection unit, and a calculation step.
Based on the degree of abnormality calculated by the calculation step, the computer is made to execute the detection step for detecting the abnormality of the target system .
The calculation step specifies a higher predetermined rank among the ranks of the abnormality detection units for each predetermined time unit included in the ranking created by the creation step, and the higher predetermined rank and a predetermined time point. An anomaly detection program characterized by calculating the degree of anomaly of the anomaly detection unit at a predetermined time point based on the order .
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018185387A JP7084271B2 (en) | 2018-09-28 | 2018-09-28 | Anomaly detection device, anomaly detection method and anomaly detection program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018185387A JP7084271B2 (en) | 2018-09-28 | 2018-09-28 | Anomaly detection device, anomaly detection method and anomaly detection program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2020057858A JP2020057858A (en) | 2020-04-09 |
| JP7084271B2 true JP7084271B2 (en) | 2022-06-14 |
Family
ID=70107790
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2018185387A Active JP7084271B2 (en) | 2018-09-28 | 2018-09-28 | Anomaly detection device, anomaly detection method and anomaly detection program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP7084271B2 (en) |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002063285A (en) | 2000-08-15 | 2002-02-28 | Office Samurai:Kk | System and method for presenting personal income ranking, final return calculation system and recording medium |
| JP2007173907A (en) | 2005-12-19 | 2007-07-05 | Nippon Telegr & Teleph Corp <Ntt> | Abnormal traffic detection method and device |
| JP2011109587A (en) | 2009-11-20 | 2011-06-02 | Nippon Telegr & Teleph Corp <Ntt> | Device, method, and system for monitoring bgp traffic variation |
| WO2016136215A1 (en) | 2015-02-27 | 2016-09-01 | 日本電気株式会社 | Control device, traffic control method, and recording medium onto which computer program is recorded |
| JP2017083985A (en) | 2015-10-26 | 2017-05-18 | 株式会社Ｓｃｒｅｅｎホールディングス | Time series data processing method, time series data processing program, and time series data processing device |
-
2018
- 2018-09-28 JP JP2018185387A patent/JP7084271B2/en active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002063285A (en) | 2000-08-15 | 2002-02-28 | Office Samurai:Kk | System and method for presenting personal income ranking, final return calculation system and recording medium |
| JP2007173907A (en) | 2005-12-19 | 2007-07-05 | Nippon Telegr & Teleph Corp <Ntt> | Abnormal traffic detection method and device |
| JP2011109587A (en) | 2009-11-20 | 2011-06-02 | Nippon Telegr & Teleph Corp <Ntt> | Device, method, and system for monitoring bgp traffic variation |
| WO2016136215A1 (en) | 2015-02-27 | 2016-09-01 | 日本電気株式会社 | Control device, traffic control method, and recording medium onto which computer program is recorded |
| JP2017083985A (en) | 2015-10-26 | 2017-05-18 | 株式会社Ｓｃｒｅｅｎホールディングス | Time series data processing method, time series data processing program, and time series data processing device |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2020057858A (en) | 2020-04-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US20110238377A1 (en) | Auto Adjustment of Baseline on Configuration Change | |
| US11520395B2 (en) | Integrated circuit power systems with machine learning capabilities | |
| KR20190084946A (en) | User abnormal behavior detection method, device and system | |
| JP2005071364A (en) | System and method for controlling vlsi environment | |
| CN105429300B (en) | power monitoring method and system | |
| JP7285187B2 (en) | System and method for anomaly characterization based on joint analysis of history and time series | |
| US10564195B2 (en) | System and method for energy sample forecasting of HVAC-R systems | |
| JP2020137145A (en) | Abnormality factor identification method, abnormality factor identification device, power conversion device, and power conversion system | |
| US11892819B2 (en) | Control device, control system, control method, and computer-readable storage medium | |
| JP5711675B2 (en) | Network abnormality detection apparatus and network abnormality detection method | |
| JP7084271B2 (en) | Anomaly detection device, anomaly detection method and anomaly detection program | |
| US20220345590A1 (en) | Video analysis method, video analysis system, and information processing device | |
| CN107218702B (en) | Air conditioner, air conditioner frequency adjusting method and computer readable storage medium | |
| CN105468910A (en) | Performance degradation prediction method for electromechanical equipment | |
| US9791911B2 (en) | Determining whether a change in power usage is abnormal when power usage exceeds a threshold based on additional metrics of components in an electronic device | |
| US20150309553A1 (en) | Server and method for adjustment of frequency of monitoring components of server | |
| JP7243825B2 (en) | Control device, control method and control program | |
| JP2011159125A (en) | Event clustering system, computer program therefor, and data processing method | |
| WO2022161100A1 (en) | Edge computing server resetting method and device | |
| CN107682409B (en) | Cluster resource pre-stretching method and device | |
| CN107689877B (en) | Parameter adjusting method and device | |
| CN111651503B (en) | Power distribution network data anomaly identification method and system and terminal equipment | |
| CN114172708A (en) | Method for identifying network flow abnormity | |
| CN112601934B (en) | Signal display control device and computer-readable recording medium | |
| CN113052938A (en) | Method and device for constructing boiler energy efficiency curve |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20210119 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20211019 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20211026 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20211214 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220517 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220602 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7084271 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |