(57)【要約】【課題】本開示は、専門的な分析スキルのない者であっても対象の状態を判定可能な装置の提供を目的とする。【解決手段】本開示の状態判定装置１０は、判定対象の状態に関わるパラメータを次元に有する多次元のベクトルデータを生成し、一定期間当該ベクトルデータを収集することにより参照ベクトルデータ母集団を作成し、前記参照ベクトルデータ母集団の次元数に等しい多次元空間における、当該参照ベクトルデータ母集団の形成する多次元部分空間ＳＳＵＢを求め、新たに発生するベクトルデータが多次元部分空間ＳＳＵＢの内側に位置する場合は判定対象が参照ベクトルデータ母集団に対応した状態と同じと判定し、多次元部分空間ＳＳＵＢの外側に位置する場合は判定対象が参照ベクトルデータ母集団に対応した状態と異なると判定する。【選択図】図２
2020160852.tif 000002
【特許請求の範囲】
【請求項１】
判定対象の状態に関わるパラメータを次元に有する多次元のベクトルデータを生成し、
一定期間当該ベクトルデータを収集することにより参照ベクトルデータ母集団を作成し、
前記参照ベクトルデータ母集団の次元数に等しい多次元空間における、当該参照ベクトルデータ母集団の形成する多次元部分空間を求め、
新たに発生するベクトルデータが前記多次元部分空間の内側に位置する場合は判定対象が前記参照ベクトルデータ母集団に対応した状態と同じと判定し、前記多次元部分空間の外側に位置する場合は判定対象が前記参照ベクトルデータ母集団に対応した状態と異なると判定する、
状態判定装置。
【請求項２】
前記参照ベクトルデータ母集団を内包しかつ前記参照ベクトルデータ母集団に含まれる少なくとも一つのベクトルデータに外接する多次元形状を求め、判定基準に応じた補正を前記多次元形状に行うことで、前記多次元部分空間を求める、
請求項１に記載の状態判定装置。
【請求項３】
前記多次元部分空間は、前記参照ベクトルデータ母集団から求めた１点を原点とした系における、前記原点を中心とし、前記参照ベクトルデータ母集団に含まれるベクトルデータの最大値に補正係数を乗じた半径を持つ多次元の球体である、
請求項１に記載の状態判定装置。
【請求項４】
前記多次元部分空間の表面は、前記参照ベクトルデータ母集団から求めた１点を原点とした系において、次式で表される、
請求項１に記載の状態判定装置。
（式Ｃ１）
Ｑ＝β＊Ｍａｘｉ｛＜ｑ，Ａｉ＞｝・ｑ    （Ｃ１）
ただし、Ａｉは全ベクトルデータであり、Ｑは原点と多次元部分空間の表面上の一点を結ぶベクトルであり、ベクトルｑはＱの単位ベクトルであり、＜ｑ，Ａｉ＞はベクトルｑとＡｉの内積であり、Ｍａｘｉ｛＜ｑ，Ａｉ＞｝は参照ベクトルｑと母集団に含まれる全ての参照ベクトルデータＡｉとの内積＜ｑ，Ａｉ＞の最大値である。
【請求項５】
前記参照ベクトルデータ母集団から求めた１点を原点とした系において、新たに発生するベクトルデータの大きさと、新たに発生するベクトルデータと同一方向の前記原点から前記多次元部分空間の外周面までの距離と、を用いて前記判定対象の前記参照ベクトルデータ母集団に対応した状態と異なる程度をさらに判定する、
請求項２又は３に記載の状態判定装置。
【請求項６】
前記多次元部分空間は、前記参照ベクトルデータ母集団の各次元の最大値及び最小値を頂点とする多次元の直方体に一定の補正を行なった多次元の直方体である、
請求項１に記載の状態判定装置。
【請求項７】
判定対象の状態に関わるパラメータを次元に有する多次元のベクトルデータを生成し、
一定期間当該ベクトルデータを収集することにより参照ベクトルデータ母集団を作成し、
前記参照ベクトルデータ母集団の次元数に等しい多次元空間における、当該参照ベクトルデータ母集団の形成する多次元部分空間を求め、
新たに発生するベクトルデータが前記多次元部分空間の内側に位置する場合は判定対象が前記参照ベクトルデータ母集団に対応した状態と同じと判定し、前記多次元部分空間の外側に位置する場合は判定対象が前記参照ベクトルデータ母集団に対応した状態と異なると判定する、
状態判定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、状態判定装置及び状態判定方法に関する。
【背景技術】
【０００２】
対象となるシステムや機器の状態は、一つのパラメータでは状態の判定精度が落ちるが、対象から得られる複数のパラメータを総合的に用いて判定することで、判定精度を向上させることができる。その場合、複数のパラメータから生成される多次元データを使った分析が必要となる（例えば、特許文献１参照。）。そのような多次元データの分析には、一般的には専門的な分析スキルを持つデータサイエンティストと呼ばれる専門家が必要とされる。しかしながらデータサイエンティストは高コストであるばかりではなく人材の供給も限られるため、専門的な分析スキルのない者でも対象の状態を簡単に判定できる装置が求められている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】ＷＯ２０１７／２１７０６９号
【発明の概要】
【発明が解決しようとする課題】
【０００４】
本開示は、専門的な分析スキルのない者であっても対象の状態を判定可能な装置の提供を目的とする。
【課題を解決するための手段】
【０００５】
本開示の状態判定装置は、
判定対象の状態に関わるパラメータを次元に有する多次元のベクトルデータを生成し、
一定期間当該ベクトルデータを収集することにより参照ベクトルデータ母集団を作成し、
前記参照ベクトルデータ母集団の次元数に等しい多次元空間における、当該参照ベクトルデータ母集団の形成する多次元部分空間を求め、
新たに発生するベクトルデータが前記多次元部分空間の内側に位置する場合は判定対象が前記参照ベクトルデータ母集団に対応した状態と同じと判定し、前記多次元部分空間の外側に位置する場合は判定対象が前記参照ベクトルデータ母集団に対応した状態と異なると判定する。
【０００６】
本開示の状態判定方法は、
判定対象の状態に関わるパラメータを次元に有する多次元のベクトルデータを生成し、
一定期間当該ベクトルデータを収集することにより参照ベクトルデータ母集団を作成し、
前記参照ベクトルデータ母集団の次元数に等しい多次元空間における、当該参照ベクトルデータ母集団の形成する多次元部分空間を求め、
新たに発生するベクトルデータが前記多次元部分空間の内側に位置する場合は判定対象が前記参照ベクトルデータ母集団に対応した状態と同じと判定し、前記多次元部分空間の外側に位置する場合は判定対象が前記参照ベクトルデータ母集団に対応した状態と異なると判定する。
【発明の効果】
【０００７】
本開示は、専門的な分析スキルのない者であっても判定対象の状態を判定可能な装置を提供することができる。
【図面の簡単な説明】
【０００８】
【図１】実施形態に係るシステムの一例を示す概略構成図である。
【図２】状態判定部における判定例を示す。
【図３】第２の実施形態に係る多次元形状の第１例を示す。
【図４】第２の実施形態に係る多次元形状の第２例を示す。
【図５】第３の実施形態に係る多次元形状の一例を示す。
【図６】第４の実施形態に係る多次元形状の一例を示す。
【図７】第５の実施形態に係る多次元形状の一例を示す。
【図８】状態の程度の第１の判定例を示す。
【図９】状態の程度の第２の判定例を示す。
【発明を実施するための形態】
【０００９】
以下、本開示の実施形態について、図面を参照しながら詳細に説明する。なお、本開示は、以下に示す実施形態に限定されるものではない。これらの実施の例は例示に過ぎず、本開示は当業者の知識に基づいて種々の変更、改良を施した形態で実施することができる。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。
【００１０】
（第１の実施形態）
図１は、本実施形態に係るシステムの一例を示す概略構成図である。本実施形態に係る状態判定装置１０は、ベクトルデータ生成部１１、多次元形状生成部１２、多次元部分空間定義部１３、状態判定部１４、データ収集部２１を備える。本実施形態に係る状態判定装置１０は、コンピュータを、ベクトルデータ生成部１１、多次元形状生成部１２、多次元部分空間定義部１３、状態判定部１４、データ収集部２１として機能させることで実現してもよい。
【００１１】
データ収集部２１は、判定対象に関わるパラメータとなりうる任意のデータを収集し、記憶部２２に記憶する。ベクトルデータ生成部１１は、記憶部２２に記憶されているデータからパラメータを抽出し、各パラメータを次元とする多次元のベクトルデータを生成する。
【００１２】
ベクトルデータ生成部１１は、作成したベクトルデータを記憶部２２に蓄積する。状態判定装置１０は、一定期間、データを収集し、ベクトルデータを蓄積することにより参照ベクトルデータ母集団を作成する。ここで、一定期間は、判定対象が一定の状態にある期間である。一定の状態は、例えば、判定対象が正常な状態である。一定の状態及び一定期間は、状態判定装置１０のユーザが設定可能なことが好ましい。これにより、判定対象の色々な状態に応じた複数のベクトルデータ母集団をユーザが設定することができる。
【００１３】
多次元形状生成部１２は、参照ベクトルデータ母集団を内包しかつ参照ベクトルデータ母集団に含まれる少なくとも一つのベクトルデータに外接する多次元形状ＳＭＤを求める。多次元形状ＳＭＤの具体的な導出例は後述する。多次元空間は、参照ベクトルデータ母集団の次元数に等しい空間である。例えば、ベクトルデータの次元数が１０００であれば、１０００次元空間である。
【００１４】
多次元部分空間定義部１３は、多次元空間において参照ベクトルデータ母集団が形成する多次元部分空間ＳＳＵＢを求める。図２に、多次元形状ＳＭＤ及び多次元部分空間ＳＳＵＢの一例を示す。多次元部分空間ＳＳＵＢは、判定基準に応じた補正を多次元形状ＳＭＤに行うことで得られる。例えば、ベクトルデータ生成部１１の作成したベクトルデータの誤差等によって、判定対象が一定の状態にあるようなベクトルデータがβ（β≧１）の範囲で分布する可能性がある場合、多次元部分空間定義部１３は、多次元形状ＳＭＤをβ倍拡大する処理を行う。補正は、多次元形状ＳＭＤを拡大する補正のほか、多次元形状ＳＭＤを縮小する補正もありうる。多次元部分空間定義部１３は、次元によって、異なる補正を行ってもよい。その場合、補正係数βは次元ごとに異なることとなり、その場合βｉ（ｉは次元を示す）と表される。
【００１５】
多次元部分空間ＳＳＵＢを求めた後に、データ収集部２１がデータを収集して記憶部２２に記憶すると、ベクトルデータ生成部１１は、記憶部２２に記憶された新たなデータからパラメータを抽出し、各パラメータを次元とするベクトルデータに変換する。状態判定部１４は、多次元部分空間定義部１３の生成した多次元部分空間ＳＳＵＢを用いて、判定対象の状態を判定する。
【００１６】
例えば、図２に示すＮＤ１のように、新たなデータのベクトルＮＤ１が多次元部分空間ＳＳＵＢの範囲内の場合、状態判定部１４は、当該新たなデータに対応した判定対称の状態が、参照ベクトルデータ母集団に対応した状態と同じと判定し、図２に示すＮＤ２のように、新たなデータのベクトルＮＤ２が多次元部分空間ＳＳＵＢの範囲外の場合、状態判定部１４は判定対象が参照ベクトルデータ母集団に対応した状態と異なると判定する。
【００１７】
以上説明したように、本実施形態は、判定対象が一定の状態にあるときの参照ベクトルデータ母集団を包含する多次元空間における多次元部分空間ＳＳＵＢを求める。これにより、本実施形態は、新たなデータが多次元部分空間ＳＳＵＢの内側か外側かで、新たなデータに対応した判定対象の状態を判定することができる。
【００１８】
ここで、多次元部分空間ＳＳＵＢは一定の演算により、参照ベクトルデータ母集団から自動的に定義され、また新たなデータが当該多次元部分空間の内側か外側のどちらに位置するかを自動的に判定することで、新たなデータに対応する判定対象の状態を自動的に判定することが可能となる。したがって、本開示は、専門的な分析スキルのない者であっても判定対象の状態を判定可能な装置を提供することができる。
【００１９】
（第２の実施形態）
本実施形態では、多次元形状生成部１２は、参照ベクトルデータ母集団に含まれるベクトルデータの少なくとも一つに外接する多次元の球体を、多次元形状ＳＭＤとして求める。多次元部分空間ＳＳＵＢは、多次元形状ＳＭＤから補正係数βを使って定義される。
【００２０】
図３に、本実施形態に係る多次元形状の一例を示す。多次元形状生成部１２は、参照ベクトルデータ母集団内のベクトルデータを、当該参照ベクトルデータ母集団の重心ＧＭＤを新たな原点ＰＯとしたベクトルデータに変換する。こうして得られた新たな原点ＰＯを持つ参照ベクトルデータ母集団を以下「２次の参照ベクトルデータ母集団」と呼ぶ。２次の参照ベクトルデータ母集団に含まれるベクトルデータのなかからベクトル長が最大のベクトルを求め、このベクトル長の半径φを有する多次元の球体を求める。この球体を、多次元形状ＳＭＤとする。参照ベクトルデータ母集団内のベクトルデータは全てこの多次元形状ＳＭＤに内包される。多次元部分空間ＳＳＵＢは、補正係数βを使って半径β＊φを持つ多次元の球体と定義される。
【００２１】
また、本実施形態では、多次元空間の原点を参照ベクトルデータ母集団の重心ＧＭＤとし、これを球の中心としたが、本開示の新たな原点ＰＯは重心に限らず、参照ベクトルデータ母集団から求めた任意の１点を原点とすることができる。例えば、図４に示すように、参照ベクトル母集団内の全データについて、次元毎にその次元の値の中間値（最大値と最小値の中間の値）を求め、全ての次元の中間値を持つ点を原点ＰＯとしてもよい。この場合、原点ＰＯを中心とし、参照ベクトルデータ母集団に含まれるベクトルデータの最大値の半径φを有する球体を、多次元形状ＳＭＤとして求める。多次元部分空間ＳＳＵＢは半径βφ（βは補正係数）を持つ多次元の球体となる。
【００２２】
本実施形態は、参照ベクトルデータ母集団を内包する球体を多次元部分空間ＳＳＵＢとする。本実施形態の多次元部分空間ＳＳＵＢの定義および判定対象の状態の判定は、参照ベクトルデータ母集団および新たなベクトルデータのベクトル長を比較するだけで求めることができる。このため、本実施形態は、判定対象の状態の判定を少ない演算量で行うことができる。
【００２３】
（第３の実施形態）
本実施形態では、多次元形状生成部１２は、参照ベクトルデータ母集団に含まれるベクトルデータの少なくとも一つに外接する多次元空間における直方体を、多次元形状ＳＭＤとして求める。
【００２４】
図５に、３次元空間における本実施形態に係る多次元形状ＳＭＤの一例を示す。多次元形状生成部１２は、参照ベクトルデータ母集団に含まれる全てのベクトルデータに対して次元ごとに最大値と最小値を求める。例えば、参照ベクトルデータ母集団に含まれる全ベクトルデータから第１次元の値を抽出し、第１次元の最大値と最小値を求める。他の次元についても同様にして最大値と最小値を求める。そして、多次元形状生成部１２は、全ての各次元の最大値と最小値の範囲で区切られる多次元空間における直方体を求める。
【００２５】
例えば、ベクトルデータの次元数が３である場合、図５に示すように、多次元形状生成部１２は、第１次元の最大値及び最小値を求めることでｘｍａｘ及びｘｍｉｎを求め、第２次元の最大値及び最小値を求めることでｙｍａｘ及びｙｍｉｎを求め、第３次元の最大値及び最小値を求めることでｚｍａｘ及びｚｍｉｎを求める。これにより、（ｘｍｉｎ，ｙｍｉｎ，ｚｍｉｎ）、（ｘｍｉｎ，ｙｍｉｎ，ｚｍａｘ）、（ｘｍｉｎ，ｙｍａｘ，ｚｍｉｎ）、（ｘｍｉｎ，ｙｍａｘ，ｚｍａｘ）、（ｘｍａｘ，ｙｍｉｎ，ｚｍｉｎ）、（ｘｍａｘ，ｙｍｉｎ，ｚｍａｘ）、（ｘｍａｘ，ｙｍａｘ，ｚｍｉｎ）、（ｘｍａｘ，ｙｍａｘ，ｚｍａｘ）を頂点とする直方体が求まる。この３次元の直方体が、多次元形状ＳＭＤとなる。多次元部分空間ＳＳＵＢは同じく多次元の直方体の形状を持ち、多次元形状ＳＭＤから補正係数βｉを用いて簡単に求めることができる。
【００２６】
以上説明したように、本実施形態は、参照ベクトルデータ母集団を内包する多次元空間における直方体を多次元部分空間ＳＳＵＢとする。本実施形態は、ベクトルデータの次元ごとに、最大値と最小値を求めることで、多次元部分空間ＳＳＵＢを求めることができる。このため、本実施形態は、判定対象の状態の判定を少ない演算量で行うことができる。
【００２７】
なお、図５では、理解が容易になるよう、多次元形状ＳＭＤが３次元の直方体である例を示したが、本開示はベクトルデータの次元数に等しい任意の次元数の直方体でありうる。
【００２８】
（第４の実施形態）
本実施形態では、多次元形状生成部１２は、参照ベクトルデータ母集団の外縁に位置する複数のベクトルデータに外接する面を、多次元形状ＳＭＤとして求める。
【００２９】
図６に、本実施形態に係る多次元形状ＳＭＤの一例を示す。参照ベクトルデータ母集団に含まれる全ベクトルデータの重心ＧＭＤを多次元座標の原点ＰＯとし、参照ベクトルデータ母集団に含まれる全ベクトルデータをＡｉとする。ここで、「Ａｉ」におけるｉは、ｉ＝１，２，３，……，参照ベクトルデータ母集団の全データ数である。原点ＰＯと多次元形状の表面上の一点を結ぶベクトルをＲ、その単位ベクトルをｒとすると、参照ベクトルデータ母集団の多次元形状の表面は、次式で表すことができる。
【００３０】
（数１）
Ｒ＝Ｍａｘｉ｛＜ｒ，Ａｉ＞｝・ｒ    （１）
ここで、＜ｒ，Ａｉ＞はベクトルｒとＡｉの内積、Ｍａｘｉ｛＜ｒ，Ａｉ＞｝は全てのｉの値に対する内積＜ｒ，Ａｉ＞の最大値とする。式（１）に示すＲを求めることで、多次元形状ＳＭＤを求めることができる。
【００３１】
本実施形態では、多次元部分空間ＳＳＵＢの表面をベクトル表記Ｑ＝β＊Ｒ＝β＊Ｍａｘｉ｛＜ｑ，Ａｉ＞｝・ｑで表すことができる。ここで、ｑはＱを構成する単位ベクトルであり、補正係数βは簡単のため次元などによらず一定とした。このため、新たなデータに対応し、判定対象の状態を以下のように判定できる。
【００３２】
｜Ｑ｜＜｜β＊Ｍａｘｉ｛＜ｑ，Ａｉ＞｝・ｑ｜の場合、すなわちＱが多次元部分空間ＳＳＵＢの内側に位置する場合、状態判定部１４は、参照ベクトル母集団に対応した判定対象の状態と同じであると判定する。
｜Ｑ｜＞｜β＊Ｍａｘｉ｛＜ｑ，Ａｉ＞｝・ｑ｜の場合、すなわちＱが多次元部分空間ＳＳＵＢの外側に位置する場合、状態判定部１４は、参照ベクトル母集団に対応した判定対象の状態と異なると判定する。
【００３３】
本実施形態の多次元部分空間定義部１３は、β＊Ｍａｘｉ｛＜ｑ，Ａｉ＞｝・ｑの演算処理を行うことで、判定対象の状態を判定することができる。ここで、βはβ≧１とするのが一般的であるが、必ずしも限定されない。また、新たなベクトルの方向によって補正係数の値に重み付けを行うこともできる。
【００３４】
なお、上記では参照ベクトルデータ母集団に含まれる全ベクトルデータの重心ＧＭＤを多次元座標の原点ＰＯとしたが、本開示はこれに限定されない。第２の実施形態において図４を参照して述べたように、例えば、参照ベクトル母集団内の全データについて、次元毎にその次元の値の中間値（最大値と最小値の中間の値）を求め、全ての次元の中間値を持つ点を原点ＰＯとしてもよい。
【００３５】
以上説明したように、本実施形態は、参照ベクトルデータ母集団を包含する多次元形状ＳＭＤおよび多次元部分空間ＳＳＵＢを参照ベクトルデータ母集団からベクトル表記で簡単に求めることができる。このため、本実施形態は、参照ベクトルデータ母集団を用いた判定を少ない演算量で行うことができる。
【００３６】
（第５の実施形態）
前述の実施形態では多次元部分空間ＳＳＵＢが１つである場合を説明したが、多次元部分空間ＳＳＵＢは２以上であってもよい。
【００３７】
例えば、ベクトルデータを蓄積する一定期間の間に、時間帯によって第１のモードから第２のモードに切り替わる場合、多次元形状生成部１２は、図７に示すように、第１のモードの多次元形状ＳＭＤ１と、第２のモードの多次元形状ＳＭＤ２と、を生成する。
【００３８】
多次元形状ＳＭＤ１及びＳＭＤ２の生成方法は、第２〜第４の実施形態で説明した方法を用いることができる。例えば、前述の図４において説明したように、モード毎に全ての次元の中間値を持つ点を各モードの原点ＰＯ１及びＰＯ２として求め、各モードの参照ベクトルデータ母集団に含まれるベクトルデータの最大値以上の半径を有する球体を求める。これにより、各モードの多次元形状ＳＭＤ１及びＳＭＤ２及び多次元部分空間ＳＳＵＢ１及びＳＳＵＢ２を求めることができる。
【００３９】
本実施形態では、２モードでの切り替え例について説明したが、モード数は３以上であってもよい。モードごとに多次元形状ＳＭＤ及び多次元部分空間ＳＳＵＢを生成することで、モードごとの状態の判定を行うことができる。
【００４０】
なお、モードごとの状態の判定を行う必要がない場合や、共通の多次元部分空間ＳＳＵＢとしても状態の判定を行うことができる場合は、２以上のモードであっても共通の多次元形状ＳＭＤ及び多次元部分空間ＳＳＵＢとしてもよい。
【００４１】
（第６の実施形態）
本実施形態の状態判定部１４は、判定対象の状態に加え、さらに状態の程度を判定する。多次元部分空間ＳＳＵＢを求めた後の、データ収集部２１、ベクトルデータ生成部１１の動作は、第１の実施形態と同様である。
【００４２】
例えば、図８に示すように、多次元部分空間ＳＳＵＢの外にベクトルＰｋのベクトルデータが新たに発生した場合、状態判定部１４は、ベクトルＰｋと同一方向の多次元部分空間ＳＳＵＢを形成しているベクトルＱｋを求め、｜Ｐｋ｜と｜Ｑｋ｜を比較する。例えば、｜Ｐｋ｜＞｜Ｑｋ｜の場合、判定対象が一定の状態とどの程度異なるかを判定することができる。比較は、例えば、｜Ｐｋ｜および｜Ｑｋ｜の差又は比が例示できる。
【００４３】
図９に示すように、多次元部分空間ＳＳＵＢの外にベクトルＰｋのベクトルデータが新たに発生した場合、状態判定部１４は、｜Ｐｋ｜と半径β＊φを比較する。例えば、｜Ｐｋ｜＞β＊φの場合、判定対象が一定の状態とどの程度異なるかを判定することができる。比較は、例えば、｜Ｐｋ｜および半径β＊φの差又は比が例示できる。
【００４４】
（第７の実施形態）
本開示は、ベクトルデータ生成部１２がベクトル化可能であれば、任意のデータをパラメータに用いることができる。以下、データ収集部２１の収集するデータと状態判定部１４の判定例の具体例について説明する。
【００４５】
（パケットの異常の判定）
データ収集部２１は、パケットのヘッダ情報を収集する。ベクトルデータ生成部１１は、ヘッダ情報やパケットのトラヒック量などからパラメータを抽出し、各パラメータを次元とする多次元のベクトルデータを生成する。ベクトルデータ生成部１１におけるベクトルデータへの変換は、パケット単位であってもよいし、複数のパケットデータを組み合わせてもよい。状態判定部１４は、ベクトルデータを用いて、パケットの異常の有無を判定する。
【００４６】
例えば、遠隔操作ウィルスに感染している端末の場合、正規ユーザの使用とは全く異なる動作を行う。例えば、正規ユーザが使用していなかった時間に動作する、正規ユーザの使用していなかった大量のデータを送付するなどである。この場合のベクトルデータは、参照ベクトルデータ母集団とは全く異なる。このため、状態判定部１４は、正規ユーザとは異なる第三者によって送受信されたパケットであることを検出することができる。
【００４７】
ヘッダ情報は、例えば、時刻、発信元情報、送信先情報、プロトコル、パケットサイズ（正整数）、付随情報（テキスト）が例示できる。発信元情報及び送信先情報は、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス、ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレス、ドメイン、ドメインにおけるゾーンの情報を含む。プロトコルとしては、例えば、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）、ＭＱＴＴ（Ｍｅｓｓａｇｅ  Ｑｕｅｕｅ  Ｔｅｌｅｍｅｔｒｙ  Ｔｒａｎｓｐｏｒｔ）などが例示できる。
【００４８】
送信先ＩＰアドレスをベクトルデータに変換する方法としては、例えば、個別のパケットデータの送信先ＩＰアドレスに該当する次元値を１とする方法が考えられる。プロトコルをベクトルデータに変換する方法としては、例えばプロトコルを次元として、個別のパケットデータのプロトコルに該当する次元値を１とする方法が考えられる。
【００４９】
ヘッダ情報は、プロトコルを含むことが好ましい。ウィルスによって送信されたパケットデータは、正常なパケットデータとは異なるプロトコルを用いていることがある。そのため、プロトコルをベクトルデータに変換することで、ウィルスによって送信された可能性のあるパケットデータを検出できる確率が向上する。
【００５０】
ベクトルデータに変換する情報は、ヘッダ情報を用いて算出される統計情報であってもよい。統計情報は、ヘッダに記載されている情報に依らない単位時間に通過するパケット数又はパケットサイズ、及び、特定の特性を有するパケットデータについてのパケット数又はパケットサイズを含む。単位時間は、任意に設定しても良い。
【００５１】
例えば、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  ａｔｔａｃｋ）攻撃が発生する場合、同じ送信先に多量のパケットデータが送信される。そのため、送信先ごとの単位時間あたりのパケット数又は総パケットサイズをベクトルデータに変換することで、任意の送信先に対するＤＤｏＳ攻撃の特徴を捕捉できる確率が向上する。この場合、ベクトルデータ生成部１１は、単位時間あたりのパケット数又は総パケットサイズを送信先ごとに求める。そして、ベクトルデータ生成部１１は、単位時間あたりのパケット数又は総パケットサイズをベクトルデータに変換する。
【００５２】
（装置の異常の判定）
データ収集部２１は、判定対象の装置やシステムのログ情報を収集する。ベクトルデータ生成部１１は、ログ情報からパラメータを抽出し、各パラメータを次元とする多次元のベクトルデータを生成する。ログ情報には、センサを用いて検出されたセンサ情報を含んでいてもよい。センサ情報には、音声データや画像データが含まれていてもよい。
【００５３】
データ収集部２１の収集するデータに音声データや画像データが含まれている場合、ベクトルデータ生成部１１は、音声データを時間周波数のスペクトラムに変換し、画像データを空間周波数のスペクトラムに変換し、スペクトラムに含まれる各周波数成分を次元としかつ各周波数成分の振幅を値とするベクトルデータに変換する。
【産業上の利用可能性】
【００５４】
本開示は情報通信産業に適用することができる。
【符号の説明】
【００５５】
１０：状態判定装置
１１：ベクトルデータ生成部
１２：多次元形状生成部
１３：多次元部分空間定義部
１４：状態判定部
２１：データ収集部
２２：記憶部
【図１】
2020160852.tif 000003
【図２】
2020160852.tif 000004
【図３】
2020160852.tif 000005
【図４】
2020160852.tif 000006
【図５】
2020160852.tif 000007
【図６】
2020160852.tif 000008
【図７】
2020160852.tif 000009
【図８】
2020160852.tif 000010
【図９】
2020160852.tif 000011