(57)【要約】【課題】少ない計算量で通信の異常を適切に検知する。【解決手段】通信における異常を検知する方法は、１又は複数のエンドポイントペアにおける通信データから複数のオブジェクトを取得し、前記複数のオブジェクトのそれぞれは、一つのエンドポイントペアによる一つの期間内の通信データの複数の特徴量の値からなり、前記複数のオブジェクトから、クラスタ分析により１又は複数のクラスタを生成し、生成した前記１又は複数のクラスタと、基準データにおける１又は複数のクラスタとを比較することによって、前記通信データにおける異常の有無を判定する。【選択図】図７
2018036709.tif 000002
【特許請求の範囲】
【請求項１】
１又は複数のエンドポイントペアにおける通信データから複数のオブジェクトを取得し、前記複数のオブジェクトのそれぞれは、一つのエンドポイントペアによる一つの期間内の通信データの複数の特徴量の値からなり、
前記複数のオブジェクトから、クラスタ分析により１又は複数のクラスタを生成し、
生成した前記１又は複数のクラスタと、基準データにおける１又は複数のクラスタとを比較することによって、前記通信データにおける異常の有無を判定する、通信における異常を検知する方法。
【請求項２】
請求項１に記載の方法であって、
前記複数のオブジェクトから、前記複数のオブジェクトよりも少ない複数の代表オブジェクトを生成し、
前記複数の代表オブジェクトから、非階層クラスタ分析のための初期値データを生成し、
前記初期値データを使用して、前記複数のオブジェクトの非階層クラスタ分析を実行し、
前記非階層クラスタ分析の結果における１又は複数のクラスタと、前記基準データにおける１又は複数のクラスタとを比較することによって、前記通信データにおける異常の有無を判定する、方法。
【請求項３】
請求項２に記載の方法であって、
前記複数の代表オブジェクトの階層クラスタ分析を実行し、
前記階層クラスタ分析の結果における１又は複数のクラスタから、前記初期値データを生成する、方法。
【請求項４】
請求項１に記載の方法であって、
前記複数のオブジェクトから、前記複数のオブジェクトよりも少ない複数の代表オブジェクトを生成し、
前記複数の代表オブジェクトの階層クラスタ分析を実行し、
前記階層クラスタ分析の結果における１又は複数のクラスタと、前記基準データにおける１又は複数のクラスタとを比較することによって、前記通信データにおける異常の有無を判定する、方法。
【請求項５】
請求項４に記載の方法であって、
前記階層クラスタ分析の結果における１又は複数のクラスタの規定解像度の画像を生成し、
前記画像と、前記基準データにおける１又は複数のクラスタの画像とを比較することによって、前記通信データにおける異常の有無を判定する、方法。
【請求項６】
請求項１に記載の方法であって、
前記複数のオブジェクトから、前記複数のオブジェクトよりも少ない複数の代表オブジェクトを生成し、
前記複数の代表オブジェクトの階層クラスタ分析を実行し、
前記階層クラスタ分析の結果におけるクラスタの数と、前記基準データにおけるクラスタの数と、を比較することによって、前記通信データにおける異常の有無を判定する、方法。
【請求項７】
請求項６に記載の方法であって、
前記複数のオブジェクトから、前記複数のオブジェクトよりも少ない複数の代表オブジェクトを生成し、
前記階層クラスタ分析の結果における１又は複数のクラスタから、初期値データを生成し、
前記初期値データを使用して、前記複数のオブジェクトの非階層クラスタ分析を実行し、
前記非階層クラスタ分析の結果における１又は複数のクラスタと、前記基準データにおける１又は複数のクラスタとを比較することによって、前記通信データにおける異常の有無を判定する、方法。
【請求項８】
請求項１に記載の方法であって、
前記基準データにおける１又は複数のクラスタは、前記１又は複数のエンドポイントペアにおける過去の通信データからクラスタ分析により生成されたクラスタである、方法。
【請求項９】
請求項１に記載の方法であって、
前記判定の結果をユーザに提示し、
前記ユーザによる指定に応じて、前記複数の特徴量を変更する、方法。
【請求項１０】
請求項９に記載の方法であって、
前記生成した前記１又は複数のクラスタそれぞれを構成するオブジェクトの統計値と、前記基準データにおける１又は複数のクラスタそれぞれを構成するオブジェクトの統計値と、の差分と閾値とに基づき、記通信データにおける異常の有無を判定し、
前記ユーザによる指定に応じて、前記閾値を変更する、方法。
【請求項１１】
１又は複数のエンドポイントペアにおける通信データにおける異常を検知する装置であって、
メモリと、
前記メモリに格納されたプログラムに従って動作するプロセッサと、を含み、
前記プロセッサは、
１又は複数のエンドポイントペアにおける通信データから複数のオブジェクトを取得し、前記複数のオブジェクトのそれぞれは、一つのエンドポイントペアによる一つの期間内の通信データの複数の特徴量の値からなり、
前記複数のオブジェクトから、クラスタ分析により１又は複数のクラスタを生成し、
生成した前記１又は複数のクラスタと、基準データにおける１又は複数のクラスタとを比較することによって、前記通信データにおける異常の有無を判定する、装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信における異常検知に関する。
【背景技術】
【０００２】
各事業者は、システムを管理し制御するために、それぞれの用途に合った制御システムを保有している。その中でも、社会インフラ事業者は、人命や生産基盤に直結したサービスを提供している場合が多いため、社会インフラ事業者の制御システムには高可用性が求められる。
【０００３】
高可用性を実現するためには、制御システム内に異常がある場合に、その異常を素早く検知し、対処する必要がある。この異常がセキュリティ上の攻撃や装置故障に起因するものであれば、通信量や通信速度などのネットワーク上の通信の変化として現れる。このネットワーク上の通信の変化を迅速に検知することによって、制御システムに致命的な問題が起こる前に、システム内の異常を検知することができる。
【０００４】
ネットワーク上の通信の変化からサイバー攻撃を検知する方法はこれまでにも提案されている。例えば、サイバー攻撃への対策として、侵入検知システム（ＩＤＳ）や侵入防御システム（ＩＰＳ）が存在する。しかしながら、これらのシステムは、データパケットからデータストリームを復元する必要があるため、ネットワーク流量の大きい環境下では性能が制限される。
【０００５】
さらに、これらのシステムは、検知モードの更新が必要となるが、新規の侵入モードの出現頻度に対して、その更新速度が遅いため、新規の攻撃に対応することができない期間が存在する。これらの課題を解決する手法として特許文献１がある。
【０００６】
特許文献１は、ブルーム・フィルタ・アルゴリズムによるＩＰアドレス及びＰＯＲＴ番号のビットアレイ処理を用いること、事前のニューラルネットワークを用いることにより、リアルタイム性に影響を及ぼすことはないため、致命的な問題が発生する前に異常を検知できる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特表２０１２−５０８４７６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、特許文献１の手法は、迅速な処理を実現するために異常を分析するための情報量を減らしているため、分析に必要な情報が不足する場合がある。一方、異常検出を行うための十分な分析を行うためには、パケットデータの収集時間以上に分析時間が必要である。すなわち、十分な解析結果を提供しようとすると多大な時間がかかる。
【課題を解決するための手段】
【０００９】
一例に係る、通信における異常を検知する方法は、１又は複数のエンドポイントペアにおける通信データから複数のオブジェクトを取得し、前記複数のオブジェクトのそれぞれは、一つのエンドポイントペアによる一つの期間内の通信データの複数の特徴量の値からなり、前記複数のオブジェクトから、クラスタ分析により１又は複数のクラスタを生成し、生成した前記１又は複数のクラスタと、基準データにおける１又は複数のクラスタとを比較することによって、前記通信データにおける異常の有無を判定する。
【発明の効果】
【００１０】
本発明の一態様によれば、少ない計算量で通信の異常を適切に検知することが可能となる。
【図面の簡単な説明】
【００１１】
【図１Ａ】実施例１における異常検知システムの全体構成図を示す。
【図１Ｂ】実施例１における計算機のハードウェア構成図を示す。
【図２】実施例１におけるデータ分割及び振り分け装置の機能ブロック図を示す。
【図３】実施例１における通信品質変化検知装置の機能ブロック図を示す。
【図４】実施例１におけるクラスタ分析部の機能ブロック図を示す。
【図５】実施例１における検知結果通知装置の機能ブロック図を示す。
【図６】実施例１における分析結果表示装置の機能ブロック図を示す。
【図７】実施例１における、特徴量データを受信してから、異常検知結果の画面表示及び保守者によるフィードバック（分析対象軸変更、軸組み合わせ毎の閾値変更、比較基準情報変更）までの処理シーケンスを示す。
【図８】実施例１における通信品質変化検知装置におけるクラスタ分析のフローチャートを示す。
【図９】実施例１における初期値用データファイルの一例を示す。
【図１０】実施例１における分析データファイルの一例を示す。
【図１１】実施例２におけるクラスタ分析画像の一例を示す。
【図１２】実施例２におけるクラスタ分析部の機能ブロック図を示す。
【図１３】実施例２における、特徴量データを受信してから、異常検知結果の画面表示及び保守者によるフィードバック（分析対象軸変更、軸組み合わせ毎の閾値変更、比較基準情報変更）までの処理シーケンスを示す。
【図１４】実施例２における通信品質変化検知装置におけるクラスタ分析のフローチャートを示す。
【図１５】実施例３における異常検知システムの全体構成図を示す。
【図１６】実施例３におけるクラスタ分析部の機能ブロック図を示す。
【図１７】実施例３における、特徴量データを受信してから、異常検知結果の画面表示及び保守者によるフィードバック（分析対象軸変更、軸組み合わせ毎の閾値変更、比較基準情報変更）までの処理シーケンス図を示す。
【図１８】実施例３における通信品質変化検知装置におけるクラスタ分析のフローチャートを示す。
【発明を実施するための形態】
【００１２】
以下、本願発明の実施の形態について図面により詳細に説明する。以下の開示は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。各図において共通の構成については同一の参照符号が付されている。
【００１３】
以下において、異常検知の手法を開示する。本手法は、分析に必要な情報を用いて、リアルタイムの異常検知処理を実現する。一例のシステム（方法）は、以下の処理を実行する。
【００１４】
システムは、通信の分析を行うための入力データとして、パケットデータから特徴量（例えば、ＩＰアドレス、ポート番号、通信量、廃棄率等）を抽出する。システムは、入力データにおいて、セッション毎に特徴量を管理する。セッションは通信データを管理するための単位であって、通信を行うエンドポイントペアと通信期間（開始と終了）で同定される。
【００１５】
セッションは特定のプロトコルに限定されない。エンドポイントは、データの送信元／送信先であって、例えば、ＩＰアドレス又はＩＰアドレスとポート番号のセットで同定される。通信期間は、例えば、規定の長さの期間又はコネクションが維持されている期間である。
【００１６】
システムは、入力データを用いてクラスタ分析を行い、分析結果のクラスタと基準データのクラスタとを比較することで、異常を検知する。基準データは、例えば、過去の正常時の分析結果又は予めユーザに設定されているデータである。
【００１７】
システムは、入力データを間引いたデータを使用して、クラスタ分析を行う。これにより、クラスタ分析のための計算量を低減する。後述するように、本実施例のシステムは、間引いたデータから非階層クラスタ分析の初期値データを生成する、又は、間引いたデータの階層クラスタ分析を行う。
【００１８】
分析結果の比較により異常を検知すると、システムは、保守者にアラートを通知し、グラフを表示する。保守者は、異常検知時の通信状況を、グラフで確認することができる。ここでグラフは、例えば、複数の特徴量を軸としたクラスタ分析結果の散布図であり、複数の特徴量を軸とする空間において、特徴量を座標とする点を示す。
【００１９】
入力データを間引いてから分析を行うことで、少ない計算量での異常検知処理が可能となる。現在の分析結果と過去のデータと比較して異常を検知することで、事前に指標データを作成することなく、未知の異常を検知することが可能である。全セッションを１つ１つ解析することなく、俯瞰的な特徴量の変化を捉えて異常を判定することで、リアルタイムでの異常検知が可能となる。
【実施例１】
【００２０】
図１Ａは、実施例１における、システムの全体構成図を示す。異常検知システム８は、特徴量抽出装置２に接続されるデータ分割及び振り分け装置３、通信品質変化検知装置４、検知結果通知装置６、分析結果ＤＢ５、分析結果表示装置７を含んで構成される。
【００２１】
特徴量抽出装置２は、インターネットに接続されたタップ１からパケットデータをミラーリングし、セッション毎に管理された特徴量データを抽出する。セッションは、送信元、送信先及び通信期間（開始と終了）で特定される。例えばＴＣＰにおいてコネクションで特定し、ＵＤＰにおいて指定の時刻で特定できる。
【００２２】
特徴量データは、各セッションの特徴量の値を示す。特徴量は、例えば、送信元ＩＰアドレス、送信元Ｐｏｒｔ番号、送信先ＩＰアドレス、送信先Ｐｏｒｔ番号、通信パケット数、通信量、廃棄率、ラウンドトリップタイム（ＲＴＴ）等を含む。
【００２３】
特徴量データは、所定の収集期間の通信データから収集抽出される。抽出された特徴量データはデータ分割及び振り分け装置３へ送信される。ここで特徴量の抽出には、ＤＰＩ（Ｄｅｅｐ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎ）装置のようなネットワークを流れるパケットデータの解析装置を用いることができる。
【００２４】
データ分割及び振り分け装置３は、受信した特徴量データを複数のファイルに分割する。例えば、データ分割及び振り分け装置３は、特徴量の異なる組み合わせそれぞれの特徴量データを選択し、組み合わせそれぞれの特徴量データを、異なるファイルに含める。特徴量の組み合わせは、２以上の特徴量で構成される。以下に説明する例においては、各特徴量の組み合わせは、二つの特徴量で構成される。分割ファイルの生成に使用される特徴量は、受信した特徴量データの特徴量の全て又は一部のみを含む。
【００２５】
例えば、一つのファイルは、全てのセッションの、送信元ＩＰアドレスと通信パケット量のデータを含み、他のファイルは、送信元ＩＰアドレスと廃棄率のデータを含み、さらに他のファイルは、通信パケット数と廃棄率のデータを含む。各ファイルに含まれる特徴量の組み合わせは予め設定されている。特徴量の組み合わせは、後述するようにユーザにより指定可能であってもよく、又は、システムによる事前分析により選択されてもよい。特徴量の組み合わせにおいて、各特徴量が、後のクラスタ分析における軸に相当する。
【００２６】
図１Ａの例において、複数の通信品質変化検知装置４が用意されている。データ分割及び振り分け装置３は、分割された特徴量データのファイル（分割特徴データファイル）を、複数の通信品質変化検知装置４それぞれに送信する。さらに、複数の通信品質変化検知装置４それぞれの稼働状況に基づき分割特徴量データファイルを送信する先を決定することで、稼働状況の偏りのさらに少ない分散処理が可能となり、処理効率及び処理速度が向上する。
【００２７】
各通信品質変化検知装置４は、受信した特徴量データ（分割特徴量データファイル）を分析し、分析結果を分析結果ＤＢ５へ格納する。各通信品質変化検知装置４は、分析結果ＤＢ５から取り出した過去の分析データと現在の分析データを比較する。各通信品質変化検知装置４は、現在の分析データが異常であると判定した場合、比較結果を検知結果通知装置６に送信する。検知結果通知装置６は、受信した比較結果を元にアラートデータを作成し、分析結果表示装置７に送信する。
【００２８】
特徴量抽出装置２、データ分割及び振り分け装置３、通信品質変化検知装置４、検知結果通知装置６、分析結果ＤＢ５、分析結果表示装置７は、それぞれ、例えば、計算機構成を有することができる。
【００２９】
図１Ｂは、典型的な計算機構成を示す。計算機は、ＣＰＵ３０１、メモリ３０２、二次記憶３０３、通信インタフェース（Ｉ／Ｆ）３０４及び入出力デバイス３０５を含む。ＣＰＵ３０１は、メモリ３０２に格納されたプログラムを実行するプロセッサである。二次記憶３０３は、例えば、不揮発性記憶媒体を含む１又は複数の記憶デバイスで構成される。通信Ｉ／Ｆ３０４は、ネットワークとのインタフェースであって、他の装置と、データや制御命令の送受信を行う。
【００３０】
二次記憶３０３は、非一時的記憶媒体を含み、プログラム及びプログラムが使用するデータを格納する。典型的には、プログラム及びデータは、二次記憶３０３の記憶領域からメモリ３０２の記憶領域にロードされ、ＣＰＵ３０１により使用される。入出力デバイス３０５は、キーボードやマウス等の入力デバイスと、表示装置や印刷装置等の出力デバイスを含む。
【００３１】
ＣＰＵ３０１は、プログラムに従って動作すことで定められた処理をメモリ及び通信ポート（通信制御装置）を用いながら行い、所定の機能部を実現する。プログラムの一部または全ては専用ハードウェアで実現してもよく、また、モジュール化されていても良い。各種プログラムはプログラム配布サーバや記憶メディアによって計算機にインストールされてもよい。計算機構成において不要な要素は省略することができる。
【００３２】
図２は、実施例１における、データ分割及び振り分け装置３の機能ブロック図を示す。機能部は、例えば、プログラムを実行するプロセッサ又は他の論理回路により実装される。この点は他の装置において同様である。
【００３３】
特徴量データ受信Ｉ／Ｆ３０は、受信した特徴量データを正規化部３２に送信する。正規化部３２は、受信した特徴量データに対し、各特徴量の最大値を１とし、最小値を０とする正規化を行い、０から１の値のみを持つ正規化された特徴量データを生成する。正規化する利点は、通信の品質情報の欠落を防ぎ、品質変化を分析結果表示装置７にてわかりやすく可視化させることである。
【００３４】
正規化された特徴量データは、分割データ生成部３４に送信される。分割データ生成部３４は、設定格納部３３に格納されている設定情報に基づき、分析を行う特徴量の１以上の組み合わせを決定する。分割データ生成部３４は、受信した特徴量データから、特徴量の決定した組み合せ毎の分割特徴量データ（分割特徴量データファイル）、を生成する。分割特徴量データ生成のため、特徴量データから特徴量組み合わせの一部又は全部が選択される。
【００３５】
分割データ生成部３４は、設定格納部３３から、軸（特徴量）組み合わせ毎閾値情報及び比較基準情報を取得する。軸組み合わせ毎閾値情報は、各軸組み合わせの閾値を示し、比較基準指定情報は、分析における比較の基準を指定する。
【００３６】
軸組み合わせ毎閾値情報及び比較基準情報は、分割データ生成部３４を経由して、特徴量データ送信Ｉ／Ｆ３５へ送信される。軸の組み合わせ毎の特徴量データは、間引き用データ分割部３６に送信される。間引き用データ分割部３６は、軸の組み合わせ毎の特徴量データを更に分割し、間引き用分割データを生成する。分割された間引き用データは、間引き前分割データ送信Ｉ／Ｆ３８に送信される。
【００３７】
本実施例において、間引きは、対象の母集団の点（オブジェクト）から、母集団の数よりの少ない代表点（代表オブジェクト）を決定することで、対象データ量（点の数）を低減する。代表点は、母集団から点である、又は、母集団に含まれず、母集団の１又は複数の点から決定された点である。
【００３８】
ここで、データの間引き方法例を説明する。当該方法は、特徴量の組み合わせに対して定義される空間（特徴量空間）に対して、複数格子点からなる所定の格子（間引き用格子）を適用し、格子にオブジェクトをマッピングする。格子点の数は、特徴量データ（母集団）のオブジェクト数（点の数）よりも少ない。当該方法例は、空間における特徴量データのオブジェクトのそれぞれを、最も近い格子点に移動することで、オブジェクトを格子点に集約する。
【００３９】
それぞれ１以上のオブジェクトが集約された複数の格子点から、間引き後データを生成できる。例えば、それぞれ１以上のオブジェクトが集約された複数の格子点の全て又は一部が、間引き後データを構成する。
【００４０】
格子を使用した当該方法により、少ない計算量で適切にデータ量を低減できる。間引き後データは、間引き前の特徴量データに対して、特徴量の分布（空間内の点の分布）を大きく変えることなく、特徴量データのデータ量を低減できる。他の方法例は、格子点に最も近いオブジェクトをそれぞれ選択してもよく、格子点それぞれに最も近いオブジェクトから距離の小さい規定数のオブジェクトを選択してもよい。
【００４１】
間引き用データ分割部３６は、例えば、上記格子に基づいて、特徴データを分割する。例えば、間引き用データ分割部３６は、格子を複数の部分格子に分割し、部分格子に応じて、特徴量空間を分割し、特徴量データのオブジェクトを、含まれる部分空間に応じて分割する。例えば、間引き用データ分割部３６は、各部分格子内のオブジェクトを、各分割特徴量データファイルに含めてもよい。
【００４２】
間引き前分割データ送信Ｉ／Ｆ３８は、複数の通信品質変化検知装置４それぞれから稼働状況の情報を取得する。間引き前分割データ送信Ｉ／Ｆ３８は、取得した情報に基づいて、送信先を選択し、間引き前データの部分それぞれを送信する。通信品質変化検知装置４に送信された間引き前データは、間引き部４８で間引きされた後、間引き後データとして間引き後分割データ受信Ｉ／Ｆ３９に送信される。
【００４３】
間引き後分割データ受信Ｉ／Ｆ３９は、各通信品質変化検知装置４から間引き後データを受信する。受信した全ての間引き後データは間引き後データ統合部３７へ送信される。間引き後データ統合部３７は、分割された全ての間引き後データを統合して、特徴量空間（特徴量組み合わせ）それぞれの間引き後データを生成する。特徴量データ送信Ｉ／Ｆ３５へ送信する。以下、間引き後データは間引きデータと表記する。
【００４４】
特徴量データ送信Ｉ／Ｆ３５は、軸（特徴量）組み合わせの受信した間引きデータ、間引き前の分割特徴量データファイル、軸組み合わせ毎閾値情報及び比較基準指定情報を、担当の通信品質変化検知装置４へ送信する。ここで、比較基準指定情報は、例えば、比較基準となる分析データの日時情報を示す。
【００４５】
設定変更データ受信Ｉ／Ｆ３１は、分析結果表示装置７から受信した設定変更に関する情報を、設定格納部３３に送信する。設定格納部３３は、受信した情報を元にして、記憶装置に格納されている設定データを更新する。保持されている設定情報は、分析対象となる特徴量（軸）の組み合せの情報、軸組み合わせ毎閾値情報、比較基準指定情報を含む。
【００４６】
図３は、実施例１における、通信品質変化検知装置４の機能ブロック図を示す。特徴量データ受信Ｉ／Ｆ４０は、受信した特徴量データ及び間引きデータをクラスタ分析部４３へ送信する。
【００４７】
クラスタ分析部４３は、受信した特徴量データに対して非階層クラスタ分析を行い、分析データと表示用データを作成する。表示用データは分析結果ＤＢ５に格納される。分析データは分析結果ＤＢ５に格納され、さらに、異常検知部４４に送信される。
【００４８】
異常検知部４４は、分析結果ＤＢ５から比較基準指定情報を元に、過去の分析結果を取り出す。分析結果は、クラスタ重心データを含む。クラスタ重心データは、非階層クラスタ分析により生成されたクラスタそれぞれの重心の位置を示す。異常検知部４４は、取り出した過去のクラスタ重心データと現在のクラスタ重心データを比較することで、通信に異常があるかを判定する。
【００４９】
通信に異常があるかの判定手順の例を以下に示す。現在及び過去のクラスタ重心データから、各クラスタ重心間の移動距離を算出する。例えば、異常検知部４４は、一つの軸の方向におけるクラスタの順序に従って、クラスタそれぞれに番号を付与する。異常検知部４４は、現在及び過去の同一番号のクラスタの重心を比較する。
【００５０】
いずれかの重心間の移動距離が、受信した軸組み合わせ毎の閾値よりも小さい場合、異常検知部４４は通常通信と判定し、大きい場合、異常検知部４４は異常通信と判断する。この手法は、比較自体に要する計算量をセッション数の増加に依存することなく一定に抑えることができる。これにより分析結果の比較速度の高速化が可能となる。
【００５１】
このことは、例えば、ある業務システムにおけるデバイスの性能劣化を予兆検知することにつながる。デバイスの性能が劣化すると、デバイス間の通信におけるパケットロスの増加にともないクラスタ重心が移動するため、この重心の移動をとらえることで性能劣化の予兆検知が可能となる。
【００５２】
異常検知部４４は、移動距離が閾値を超える純クラスタ（重心）のペアの数が閾値を超える場合に、現在の通信状態に異常が存在すると判定してもよい。異常検知部４４は、クラスタの他の統計値を使用して、異常判定を実行してもよい。例えば、異常検知部４４は、クラスタの分散値を使用してもよい。
【００５３】
過去データと現在データの比較結果が、異常通信を示す場合、異常検知部４４は、異常通信情報を検知結果データ送信Ｉ／Ｆ４５に送信する。検知結果データ送信Ｉ／Ｆ４５は、受信した異常通信情報を含むアラートを、検知結果通知装置６に送信する。
【００５４】
図４は、実施例１に係る、通信品質変化検知装置４におけるクラスタ分析部４３の機能ブロック図を示す。以下において、一つの特徴量組み合わせに対する処理を説明する。クラスタ分析部４３に送信された特徴量データ（分割特徴量データファイル）と間引きデータとは、初期値決定部４３１１で受信される。
【００５５】
初期値決定部４３１１は、受信した間引きデータを元に初期値データを生成する。初期値データは、非階層クラスタ分析を行うためのデータであり、特徴量組み合わせで定義される特徴量空間内の初期点それぞれの、座標とクラスタ番号とを示す。
【００５６】
初期値決定部４３１１は、例えば、間引きデータから、初期点として、規定数の点を選択する。例えば、初期値決定部４３１１は、間引きデータにおいて最も遠い二つの点を選択し、その後、順次、選択した点からの距離総和が最も遠い点を選択する。順次選択された規定数の点の座標が、初期値データに含まれる。初期値決定部４３１１は、選択した点それぞれに、クラスタ番号を付与する。
【００５７】
特徴量データではなく、間引きデータを用いることで、初期値データの生成にかかる計算量を減らすことができる。初期値決定部４３１１は、初期値データと特徴量データを非階層クラスタ分析部４３１２に送信する。
【００５８】
非階層クラスタ分析部４３１２は、生成された初期値データを使用して、特徴量データに対して非階層クラスタ分析を実行する。任意の非階層クラスタ分析のアルゴリズムを使用することができる。非階層クラスタ分析を実行する利点は、分析速度を高速化できることである。階層クラスタ分析の計算量がＯ（ｎ２）であるのに対して、非階層クラスタ分析は、計算量をＯ（ｎ）に抑えることができる。
【００５９】
分析実行後、分析データを表示用データ作成（間引き）部４３１４及びクラスタ重心算出部４３１３に送信する。分析データは、規定数のクラスタそれぞれを構成する点の情報を含む。表示用データ作成（間引き）部４３１４は、受信した分析データに対して間引きを適用することで、表示用データを作成し、分析結果ＤＢ５に保存する。間引きの方法は、例えば、クラスタ分析の上記間引きデータの生成と同様でよい。適用する格子は、表示用データの生成に適する形状（格子点の数やその間隔等）を有する。
【００６０】
図５は、実施例１における、検知結果通知装置６の機能ブロック図を示す。検知結果データ受信Ｉ／Ｆ６０は受信した異常通信情報をアラート作成部６１に送信する。アラート作成部６１は、受信した異常通信情報を元にアラートデータが作成される。
【００６１】
アラートデータは、例えばメール、ブラウザへの表示、ＳＮＭＰトラップ等の通知データである。例えばアラートメールにはＵＲＬが記述されており、保守者がＵＲＬのリンク先を参照すると、分析結果表示装置７は、異常通信が発生した際の通信状況のグラフを表示する。作成されたアラートデータは、アラートデータ送信Ｉ／Ｆ６２に送信される。アラートデータ送信Ｉ／Ｆ６２は、受信したアラートデータを分析結果表示装置７に送信する。
【００６２】
アラート作成部６１は、通信の抽出対象によっては、特徴量の複数の組合せにおいて異常と判定されたときに、アラートを作成してもよい。その場合、アラート作成部６１は、検知結果データ受信Ｉ／Ｆ６０が受信した全ての異常通信情報の中で、対象となる特徴量の複数の組合せが全て異常通信であるかどうかを判定する。全て異常通信である場合、アラート作成部６１はアラートデータを作成し、アラートデータ送信Ｉ／Ｆ６２に送信する。
【００６３】
図６は、実施例１における、分析結果表示装置７の機能ブロック図である。分析結果表示装置７はＧＵＩ情報処理部７３、ＧＵＩ表示部７１、ＧＵＩ操作部７２、アラートデータ受信Ｉ／Ｆ７４、設定変更データ送信Ｉ／Ｆ７５を含んで構成される。
【００６４】
アラートデータ受信Ｉ／Ｆ７４は通信の異常を知らせるアラートデータを受信し、ＧＵＩ情報処理部７３に送信する。ＧＵＩ情報処理部７３は受信したアラートデータをＧＵＩ表示部７１へ送信し、アラート内容を画面に表示する。
【００６５】
保守者はアラート内容に表示されたリンク先を押下すると、アラート内容として表示される特徴量と日時の情報がＧＵＩ情報処理部７３を経由して、分析結果ＤＢ５から取り出される。
【００６６】
ＧＵＩ情報処理部７３は、分析結果ＤＢ５から取り出した表示用データをアラートデータとしてＧＵＩ表示部７１へ送信する。ＧＵＩ表示部７１は、受信したアラートデータを元に通信品質を示すグラフ画像（例えば、散布図）を生成して、画面上に表示する。画像解像度（画素数）は予め決められている。
【００６７】
保守者は、アラート受信時以外でも通信品質を確認することができる。保守者はＧＵＩ操作部７２にて、表示したい特徴量の組合せ及び日時を選択する。選択した特徴量と日時の情報はＧＵＩ情報処理部７３に送信される。ＧＵＩ情報処理部７３は受信した特徴量と日時の情報に一致した表示用データを分析結果ＤＢ５から取り出して、ＧＵＩ表示部７１へ送信する。
【００６８】
ＧＵＩ表示部７１は、受信した表示用データからグラフ画像を生成し、画面上に表示する。この時、表示用データは正規化が行われているため、表示されるグラフは全ての特徴量を表示できる。さらに、表示されるデータは間引きによってデータ量が減少するため高速に表示することが可能である。このことは、通信の品質変化情報を欠落させることなく、迅速に保守者に提供することを可能にする。
【００６９】
ＧＵＩ操作部７２にはチューニング機能を含む。チューニング機能は、分析対象の特徴量や異常通信の基準となる閾値、比較基準データを変更する機能である。この機能によって、本システムのネットワーク構成が変化した場合や通信の抽出対象に新しいサービスが増えた場合でも、保守者がチューニングすることにより、システムの運用を止めることなく異常判定検出のための処理を継続させることができる。
【００７０】
図７及び図８を用いて実施例１に係る異常検知システム８の処理について説明する。図７は、実施例１における、特徴量データを受信してから、異常検知結果の画面表示及び保守者によるフィードバック（分析対象軸変更、軸毎の閾値変更、比較基準指定情報変更）までの処理シーケンスを示す。図８は、実施例１における通信品質変化検知装置４のクラスタ分析の処理のフローチャートを示す。
【００７１】
図７を参照して、特徴量抽出装置２は、データ分割及び振り分け装置３に特徴量データを送信する（Ｓ６０１）。特徴量データは、上述のように、各セッションの特徴量の値を示す。特徴量は、例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、通信パケット数、廃棄率等を含む。特徴量データを受信したデータ分割及び振り分け装置３は、受信した特徴量データに対して、各特徴量の最大値を１とし最小値を０とする正規化を行う（Ｓ６０２）。
【００７２】
データ分割及び振り分け装置３は、分析対象の特徴量（軸）の組み合わせを選択し（Ｓ６０３）、特徴量（軸）の組み合わせ毎に、分割特徴量データファイルを生成する（Ｓ６０４）。例えば、分割特徴量データファイルは、特徴量データ内の全セッションの、対象複数特徴量の値を含む。
【００７３】
データ分割及び振り分け装置３は、さらに、上述のように、特徴量（軸）組み合わせ毎に分割したデータを、間引き用に分割する（Ｓ６０５）。データ分割及び振り分け装置３は、生成した間引き用分割ファイル（データ）を、それぞれ、通信品質変化検知装置４に送信する（Ｓ６０６）。
【００７４】
間引き用分割データを受信した通信品質変化検知装置４は、上述のように間引きを行い（Ｓ６０７）、間引きデータを、データ分割及び振り分け装置３に送信する（Ｓ６０８）。間引きデータを受信したデータ分割及び振り分け装置３は、間引きデータを統合して特徴量組み合わせ（特徴量空間）それぞれの間引き後データを生成する。
【００７５】
データ分割及び振り分け装置３は、分割特徴量データファイル（軸組み合わせ毎特徴量データ）と併せて、間引きデータ、軸組み合わせ毎閾値情報及び比較基準指定情報を、通信品質変化検知装置４に送信する（Ｓ６１０）。
【００７６】
分割特徴量データファイル、間引きデータ、軸組み合わせ毎閾値情報、比較基準指定情報を受信した通信品質変化検知装置４は、間引きデータを使用して、特徴量データの非階層クラスタ分析を実行し、分析データと表示用データを生成する（Ｓ６１１）。通信品質変化検知装置４は、分析データと表示用データを、分析及び表示用データＤＢに格納する（Ｓ６１２）。
【００７７】
通信品質変化検知装置４は、比較基準指定情報が示す比較基準データを、分析結果ＤＢ５から取り出し（Ｓ６１３）、クラスタ重心比較（Ｓ６１４）を行う。具体的には、通信品質変化検知装置４は、現在の分析データと基準データのクラスタ重心それぞれの距離を決定し、受信した閾値とそれぞれ比較する。異常を検知した場合、例えば、いずれかの距離が閾値超えている場合、通信品質変化検知装置４は、検知結果を検知結果通知装置６へ送信する（Ｓ６１５）。
【００７８】
検知結果を受信した検知結果通知装置６は、アラートデータを分析結果表示装置７へ送信する（Ｓ６１６）。分析結果表示装置７は、アラートを受信し（Ｓ６１８）、分析結果ＤＢから表示用データを取り出し（Ｓ６１９）、アラート内容を画面に表示する（Ｓ６２０）。分析結果表示装置７は、分析対象の特徴量（軸）の組み合わせ、閾値及び／又は比較基準指定情報の保守者からの変更要求を入力装置を介して受信すると、その情報を、データ分割及び振り分け装置３へ送信する（Ｓ６２１）。
【００７９】
図８を参照して、通信品質変化検知装置４のクラスタ分析処理について説明する。通信品質変化検知装置４は、特徴量データ（分割特徴量データファイル）及び間引きデータを受信し、間引きデータから初期値データを決定する（Ｓ７１５）。通信品質変化検知装置４は、初期値データの点を初期クラスタ生成の基準として使用して、特徴量データの非階層クラスタ分析を行う（Ｓ７１６）。非階層クラスタ分析により、初期値データの点の数と一致する数のクラスタが生成される。
【００８０】
通信品質変化検知装置４は、生成したクラスタそれぞれの重心を算出する（Ｓ７１７）。上述のように、現在データと過去データの間における各クラスタの重心距離が、異常判定において参照される。通信品質変化検知装置４は、分析結果のデータから表示用データを作成する（Ｓ７１８）。
【００８１】
図９は、初期値データ（ファイル）１１０の一例を示す。これは、ＣＳＶ（Ｃｏｍｍａ−Ｓｅｐａｒａｔｅｄ  Ｖａｌｕｅｓ）形式のファイルであり、分析対象となる特徴量の正規化後の値１１１、１１２を示している。二つの特量量の値ペアが、特徴量空間の初期点の座標を示す。
【００８２】
図１０は、特徴量データを分析した結果として得られる、分析データの一例を示す。図１０は、異なる特徴量組み合わせ（軸組み合わせ）の三つの分析データファイル１３０Ａ〜１３０Ｂを示す。分析データファイル１３０Ａ〜１３０Ｂは、ＣＳＶ（Ｃｏｍｍａ−Ｓｅｐａｒａｔｅｄ  Ｖａｌｕｅｓ）形式のファイルである。分析データファイルは、分析対象となる特徴量の正規化後の値１３１、１３２、分析対象となる特徴量１３３、１３４、クラスタ番号１３５、日時１３６、分析対象となる特徴量の正規化前の値１３７、１３８を示す。
【００８３】
以上のように、本実施例によれば、少ない処理量により通信の異常を適切に検出することができる。なお、異常検知システム８は、階層クラスタ分析によって、通信の異常を検出してもよい。異常検知システム８は、特徴量データに対する間引き処理を行い、特徴量データのオブジェクト数を低減する。
【００８４】
間引きの方法は、非階層クラスタ分析の初期値データの生成における方法と同様でよい。格子の形状は、階層クラスタ分析に適切な形状に設定される。異常検知システム８は、例えば、デンドログラムにおいて、頂点から規定距離内のクラスタを決定し、それらクラスタの統計値を使用して、異常判定を行うことができる。
【実施例２】
【００８５】
以下において実施例２を説明する。主に、実施例１との相違点を説明する。実施例２において、通信品質変化検知装置４の特徴量データ受信Ｉ／Ｆ４０は、受信した特徴量データをクラスタ分析部４３へ送信する。クラスタ分析部４３は、受信した特徴量データに対してクラスタ分析を行い、分析データと表示用データを作成し、分析結果ＤＢ５に格納する。
【００８６】
本例において、クラスタ分析部４３は階層クラスタ分析を行う。分析データは、例えば、図１０に示すフォーマットと同様のフォーマットを有していてよい。クラスタ分析部４３は、分析データから、規定解像度（画素数）のクラスタ分析画像データを生成し、分析結果ＤＢ５に格納する。クラスタ分析画像データは、グラフ画像のデータであって、グラフ画像における、点の座標及び輝度を定義する。一つの点は、分析データの１又は複数オブジェクトに対応する。クラスタそれぞれに、異なる画素輝度レベルが付与される。例えば、輝度レベルは三つの数値の組で表わされ、輝度レベルが異なる画素は、異なる色又は異なる濃淡レベルを示す。
【００８７】
クラスタ分析部４３は、各オブジェクトの正規化された特徴量の値を、予め定義されているグラフ画像の座標系にマッピングする。マッピングにおいて、特徴量の値は丸められる。クラスタ番号に対して予め輝度レベルが設定されている。一つの座標点に複数オブジェクトがマッピングされている場合、例えば、規定ルールに従って選択された一つのオブジェクトの輝度が割り当てられる。
【００８８】
図１１は、クラスタ分析画像１２０の一例を示す。クラスタ分析画像１２０は、特徴量空間におけるオブジェクトの散布図を示す。具体的には、クラスタ分析画像１２０は、異なる特徴量の軸で定義される特徴量空間において、分析データのオブジェクトに対応する点を示す。点は、クラスタに応じた輝度を有する。
【００８９】
異常検知部４４は、クラスタ分析部４３から現在の分析画像データを受信し、さらに、分析結果ＤＢ５から比較基準情報を元に過去のクラスタ分析データを取り出す。異常検知部４４は、現在のクラスタ分析画像データと過去のクラスタ分析画像データとを比較することで、通信に異常があるかを判定する。クラスタ分析画像データは、分析データの特徴量を軸とした散布図を生成し、この散布図を画像として保存することで生成される。
【００９０】
判定は、二つの画像の類似度を使用する。画像の画素レベルから画像間の類似度を算出する様々な方法（例えば、Ｓｕｍ  ｏｆ  Ｓｑｕａｒｅｄ  Ｄｉｆｆｅｒｅｎｃｅなど）が知られており、設計に応じて適切な計算方法が選択される。異常検知部４４は、類似度が閾値よりも高い場合は通常通信と判定し、低い場合は異常通信と判定する。
【００９１】
異常検知部４４は、画像全体の類似度を計算してもよく、画像を複数の部分に分割し、部分のペアそれぞれの類似度を計算してもよい。例えば、類似度が閾値の条件を満たさない部分の数が規定数を超える場合に、異常検知部４４は、異常が発生していると判定してもよい。
【００９２】
いずれの方法においても、類似度の算出に要する計算量は、セッション数ではなく、クラスタ分析画像データの解像度（画素数又はサイズ）に依存する。クラスタ分析画像データの階層度は有限であるため、類似度は、セッション数に依存することなく特定の時間内で算出できる。
【００９３】
また、異常判定は、類似度と閾値との比較に基づく。この比較にかかる時間はデータの収集期間に対して極僅かな時間である。このことは、例えば、通信品質の変化を検知できることにつながる。通信品質が変化すると、クラスタの数、大きさ、位置等が変化するため、これらの変化をとらえることで通信品質の変化の検知が可能となる。
【００９４】
通信の異常が存在すると判定された場合、異常通信情報が、検知結果データ送信Ｉ／Ｆ４５に送信される。検知結果データ送信Ｉ／Ｆ４５は、受信した異常通信情報を検知結果通知装置６に送信し、アラートを作成する。
【００９５】
図１２は、実施例２における、通信品質変化検知装置４におけるクラスタ分析部４３の機能ブロック図を示す。クラスタ分析部４３に送信された一つの特徴量組み合わせの特徴量データ（分割特徴量データファイル）は、特徴量データ間引き部４３２１に受信される。特徴量データ間引き部４３２１は、受信した特徴量データを間引きした後、階層クラスタ分析部４３２２へ送信する。
【００９６】
階層クラスタ分析のため、実施例１で説明した間引き方法が適用できる。特徴量データ間引き部４３２１は、特徴組み合わせで定義される特徴量空間に、所定形状の格子を適用し、特徴量データの各オブジェクト（点）を、最も近い格子点に移動する。これにより、特徴量データのオブジェクト（点）は格子点に集約され、間引き後の点の数は、格子点以下に減少される。
【００９７】
階層クラスタ分析部４３２２は、受信した間引きデータに対して階層クラスタ分析を実行する。階層クラスタ分析は、計算量がＯ（ｎ２）を要する（ｎはセッション数）。しかし、間引きデータに対し階層クラスタ分析を行うことで、ｎを一定数に抑えることができる。そのため、セッション数の増加に対し、計算量が増加するという階層クラスタ分析の問題を解消することができる。
【００９８】
階層クラスタ分析部４３２２は、階層クラスタ分析実行後、分析データをラベリング部４３２３に送信する。ラベリング部４３２３は、例えば、階層クラスタ分析結果のデンドログラムにおいて、規定の距離（高さ）で決まるクラスタを選択する。クラスタは、他の基準で選択されてもよい。
【００９９】
ラベリング部４３２３は、選択したクラスタに対してクラスタ番号のラベリングを実行する。ラベリング部４３２３は、例えば、クラスタ重心の一つの軸における値の順序に従って、クラスタに番号を付与する。ラべリングによって、現在データと過去データとの正確な比較が可能となる。クラスタ番号がラベリングされた分析データは、表示用データ作成（間引き）部４３２５及びクラスタ分析画像出力部４３２４に送信される。
【０１００】
表示用データ作成（間引き）部４３２５は、受信した分析データに対して間引きを適用することで、表示用データを作成し、分析結果ＤＢ５に格納する。間引きの方法は、実施例１と同様でよい。表示用データを作成することで、分析結果表示装置７においてグラフの特徴を変化させることなく、高速に表示できる。
【０１０１】
クラスタ分析画像出力部４３２４は、受信した分析データを元に特徴量データをグラフ化した、規定解像度（画素数）のクラスタ分析画像データを作成する。クラスタ分析画像データの作成方法は上述の通りである。特徴量データのデータサイズは、通信のセッション数によりが変動するのに対し、クラスタ分析画像データはセッション数に依存することなくデータサイズが所定範囲内である。このため、セッション数が増加しても、計算処理量を抑制できる。クラスタ分析画像データは分析結果ＤＢ５及び異常検知部４４に送信される。
【０１０２】
図１３、図１４を用いて実施例２に係る異常検知システムの処理について説明する。図１３は、実施例２において、特徴量データを受信してから、異常検知結果の画面表示及び保守者によるフィードバック（分析対象軸変更、軸毎の閾値変更、比較基準情報変更）までの処理シーケンス図を示す。図１４は、実施例２における通信品質変化検知装置４のクラスタ分析の処理のフローチャートを示す。
【０１０３】
図１３を参照して、特徴量抽出装置２は、データ分割及び振り分け装置３に特徴量データを送信する（Ｓ６２１）。特徴量データは、上述のように、各セッションの特徴量の値を示す。特徴量データを受信したデータ分割及び振り分け装置３は、受信した特徴量データに対して、各特徴量の最大値を１とし最小値を０とする正規化を行う（Ｓ６２２）。
【０１０４】
データ分割及び振り分け装置３は、分析対象の特徴量（軸）の組み合わせを選択し（Ｓ６２３）、特徴量（軸）の組み合わせ毎に、分割特徴量データファイルを生成する（Ｓ６２４）。例えば、分割特徴量データファイルは、特徴量データ内の全セッションの、対象複数特徴量の値を含む。データ分割及び振り分け装置３は、生成した分割特徴量データファイルを、それぞれ、軸組み合わせ毎閾値情報及び比較基準情報と共に、通信品質変化検知装置４に送信する（Ｓ６２５）。
【０１０５】
分割特徴量データファイル、軸組み合わせ毎閾値情報、及び比較基準情報を受信した通信品質変化検知装置４は、上述のように、分割特徴量データファイルの間引きを行った後、階層クラスタ分析を行い、分析画像データを生成する（Ｓ６２６）。通信品質変化検知装置４は、階層クラス分析の分析データ、表示用データ、及び分析画像データを分析結果ＤＢ５に格納する（Ｓ６２７）。
【０１０６】
通信品質変化検知装置４は、比較基準情報に従って比較用分析画像データを分析結果ＤＢ５から取り出し（Ｓ６２８）、現在のクラスタ分析画像データと過去のクラスタ分析画像データとを比較する（Ｓ６２９）。通信品質変化検知装置４は、比較により異常を検知した場合、検知結果を検知結果通知装置６へ送信する（Ｓ６３０）。
【０１０７】
検知結果を受信した検知結果通知装置６は、アラートデータを分析結果表示装置７へ送信する（Ｓ６３１）。分析結果表示装置７は、アラートを受信し（Ｓ６３３）、分析結果ＤＢから表示用データを取り出し（Ｓ６３４）、アラート内容を画面に表示する（Ｓ６３５）。分析結果表示装置７は、分析対象の軸（特徴量）の組み合わせ、閾値及び／又は比較基準指定情報の保守者からの変更要求を入力装置を介して受信すると、その情報を、データ分割及び振り分け装置３へ送信する（Ｓ６３６）。
【０１０８】
図１４を参照して、通信品質変化検知装置４のクラスタ分析処理について説明する。一つの特徴量組み合わせの分割特徴量データファイルを受信した通信品質変化検知装置４は、当該データの間引き処理を実行した（Ｓ７２４）後、階層クラスタ分析を実行する（Ｓ７２５）。通信品質変化検知装置４は、選択したクラスタのラベリングを行う（Ｓ７２６）。通信品質変化検知装置４は、分析データからクラスタ分析画像データを作成し（Ｓ７２７）、さらに、表示用データを作成（間引き）する（Ｓ７２８）。各ステップの詳細は、上述の通りである。
【０１０９】
以上のように、本実施例によれば、画像データの比較によって、少ない計算量で異常を検出することができる。クラスタ分析を間引いた特徴量データに適用することで、計算量を低減できる。なお、通信品質変化検知装置４は、階層クラスタ分析に代えて、非階層クラスタ分析を実行してもよい。非階層クラスタ分析は、実施例１と同様に実行できる。
【実施例３】
【０１１０】
以下において実施例３を説明する。主に他の実施例との相違点を説明する。図１５は、実施例３における、システムの全体構成図である。異常検知システム８は、特徴量抽出装置２に接続される通信品質変化検知装置４、検知結果通知装置６、分析結果ＤＢ５、分析結果表示装置７を含んで構成される。他の実施例と比較して、データ分割及び振り分け装置３が省略されている。装置数が減るため低コストで通信の異常検知が可能となる。
【０１１１】
実施例３において、通信品質変化検知装置４の特徴量データ受信Ｉ／Ｆ４０は、受信した特徴量データをクラスタ分析部４３へ送信する。クラスタ分析部４３は、特徴量データから、１又は複数の特徴量組み合わせの分割特徴量データファイルを生成し、各分割特徴量データファイルに対して、クラスタ分析を行い、分析データと表示用データを作成する。表示用データは分析結果ＤＢ５に格納される。分析データは分析結果ＤＢ５に格納され、さらに、異常検知部４４に送信される。分析する特徴量データによって、分析後のクラスタ数（類似度の高い集団の数）は変化する。
【０１１２】
異常検知部４４は、現在の分析データのクラスタ数を、比較基準情報を元に分析結果ＤＢ５から取り出した過去の分析データのクラスタ数と比較することで、通信に異常があるかを判定する。
【０１１３】
クラスタ数に基づき異常があるか判定する手順を以下に示す。異常検知部４４は、比較したクラスタ数が一致する場合、現在の通信は通常通信であると判定し、クラスタ数が一致しない場合、現在の通信は異常通信であると判定する。この手法は、現在の分析結果と過去の分析結果の比較に要する計算量を、セッション数の増加に依存することなく、一定に抑えることができる。これにより分析結果の比較速度の高速化が可能となる。
【０１１４】
このことは、例えば、セキュリティ攻撃を予兆検知することにつながる。セキュリティ攻撃の予兆であるポートスキャン等、業務システムに初期潜入された場合、ネットワーク上に新たなＩＰアドレスが出現する。この新たなＩＰアドレスの出現によって、クラスタ数が増加するため、クラスタ数の変化をとらえることでセキュリティ攻撃の予兆検知が可能となる。
【０１１５】
クラスタ数を比較した結果、異常通信と判定された場合、異常通信情報が、検知結果データ送信Ｉ／Ｆ４５に送信される。検知結果データ送信Ｉ／Ｆ４５は、受信した異常通信情報を検知結果通知装置６に送信し、アラートを作成する。
【０１１６】
図１６は、第３の実施例における、通信品質変化検知装置４におけるクラスタ分析部４３の機能ブロック図を示す。クラスタ分析部４３に送信された特徴量データは、初期値決定部４３１１で受信される。設定格納部４２に格納された特徴量の組み合わせ情報、軸組み合わせ毎閾値情報及び比較基準情報もクラスタ分析部４３へ送信される。
【０１１７】
クラスタ分析部４３での分析対象データは、設定格納部４２から受信した特徴量の組み合わせ情報に一致したデータである。設定格納部４２には、設定変更データ受信Ｉ／Ｆ４１で受信した変更情報を格納している。
【０１１８】
特徴量データ間引き部４３３１は、指定された特徴量組み合わせの特徴量データに対して、間引きを行った後、階層クラスタ分析部４３３２へ送信する。階層クラスタ分析のため、実施例１の間引き方法が適用できる。
【０１１９】
階層クラスタ分析部４３３２は、受信した間引きデータに対して階層クラスタ分析を実行しデンドログラムを作成する。間引きデータを用いることで、デンドログラムの生成にかかる計算量を減らすことができる。分析実行後、デンドログラムはクラスタ数決定部４３３３に送信される。
【０１２０】
クラスタ数決定部４３３３は、受信したデンドログラムを元にクラスタ数を決定する。デンドログラムからのクラスタの決定は実施例２に記載の方法と同様でよい。クラスタ数の情報は、初期値決定部４３３４に送信される。
【０１２１】
初期値決定部４３３４は、指定されたクラスタ数に応じて、初期値データを生成する。初期値データは、実施例１で説明した通りであり、上記クラスタ数と同数の初期点を示す。初期値決定部４３３４は、初期値データと特徴量データを非階層クラスタ分析部４３３５に送信する。
【０１２２】
非階層クラスタ分析部４３３５は、初期値データを使用して、対応する特徴量組み合わせの特徴量データに対して、非階層クラスタ分析を実行する。非階層クラスタ分析により、階層クラスタ分析と比較して、分析速度を高速化できる。非階層クラスタ分析は、実施例１と同様でよい。
【０１２３】
非階層クラスタ分析部４３３５は、分析実行後、分析データを表示用データ作成（間引き）部４３３６に送信し、分析データ及びクラスタ数の情報を分析結果ＤＢ５へ格納する。分析データは、実施例１で説明した通りである。非階層クラスタ分析部４３３５は、分析データと共に、軸組み合わせ毎閾値情報及び比較基準情報を、異常検知部４４へ送信する。
【０１２４】
表示用データ作成（間引き）部４３３６は、受信した分析データに対して間引きを適用することで、表示用データを作成し、分析結果ＤＢ５へ格納する。間引きの方法は、実施例１で説明した通りである。
【０１２５】
図１７及び図１８を用いて実施例１に係る異常検知システム８の処理について説明する。図１７は、実施例３における、特徴量データを受信してから、異常検知結果の画面表示及び保守者によるフィードバック（分析対象軸変更、軸組み合わせ毎の閾値変更、比較基準情報変更）までの処理シーケンス図を示す。図１８は、実施例３における通信品質変化検知装置４のクラスタ分析の処理のフローチャートを示す。
【０１２６】
図１７を参照して、特徴量抽出装置２は、通信品質変化検知装置４に特徴量データを送信する（Ｓ６４１）。特徴量データを受信した通信品質変化検知装置４は、分析対象軸（分析対象特徴量組み合わせ）を選択し（Ｓ６４２）、選択した軸の特徴量データに対して、非階層クラスタ分析を行う（Ｓ６４３）。
【０１２７】
上述のように、通信品質変化検知装置４は、非階層クラスタ分析の前に、間引いた特徴量データに対する階層クラスタ分析を実行する。通信品質変化検知装置４は、階層クラスタ分析により非階層クラスタ分析のクラスタ数を決定する。
【０１２８】
通信品質変化検知装置４は、生成した分析データ及び表示用データを分析結果ＤＢ５に格納する（Ｓ６４４）。通信品質変化検知装置４は、比較用分析データを分析結果ＤＢ５から取り出し（Ｓ６４５）、現在の分析データのクラスタ数と比較用分析データのクラスタ数とを比較する（Ｓ６４６）。さらに、通信品質変化検知装置４は、現在の分析データのクラスタ重心と比較用分析データのクラスタ重心とを比較する（Ｓ６４７）。クラスタ重心比較は、実施例１と同様である。
【０１２９】
通信品質変化検知装置４は、クラスタ数の比較結果又はクラスタ重心の比較結果から、異常を検知した場合、検知結果を検知結果通知装置６へ送信する（Ｓ６４８）。検知結果を受信した検知結果通知装置６は、アラートデータを分析結果表示装置７へ送信する（Ｓ６４９）。分析結果表示装置７は、アラートを受信し（Ｓ６５０）、分析結果ＤＢから表示用データを取り出し（Ｓ６５１）、アラート内容を画面に表示する（Ｓ６５２）。分析結果表示装置７は、分析対象の軸（特徴量）の組み合わせ、閾値及び／又は比較基準指定情報の保守者からの変更要求を入力装置を介して受信すると、その情報を、通信品質変化検知装置４へ送信する（Ｓ６５３）。
【０１３０】
図１８を参照して、通信品質変化検知装置４のクラスタ分析の処理について説明する。特徴量データを受信した通信品質変化検知装置４は、各特徴量の最大値を１とし最小値を０とする正規化を行う（Ｓ７３１）。通信品質変化検知装置４は、特徴量データから、１又は複数の特徴量組み合わせの分割特徴量データファイルを生成し、各分割特徴量データファイルに対して、間引き処理を実行する（Ｓ７３２）。
【０１３１】
通信品質変化検知装置４は、間引きされた各分割特徴量データファイルに対して、階層クラスタ分析を行い（Ｓ７３３）、クラスタ数を決定する（Ｓ７３４）。通信品質変化検知装置４は、上記クラスタ数の初期点を示す初期値データを生成する（Ｓ７３５）。通信品質変化検知装置４は、各分割特徴量データファイルに対して、対応する初期値データを使用して、非階層クラスタ分析を行う（Ｓ７３６）。さらに、通信品質変化検知装置４は、表示用データを作成（間引き）する（Ｓ７２８）。各ステップの詳細は、上述の通りである。
【０１３２】
以上のように、クラスタ数に基づく異常判定及びクラスタ重心に基づく異常判定を行うことで、より正確な判定を行うことができる。クラスタ数の決定において間引きデータに対する階層クラスタ分析を行うことで、計算量を低減できる。階層クラスタ分析により、非階層クラスタ分析の初期値データを生成することで、より正確な非階層クラスタ分析が実現される。
【０１３３】
通信品質変化検知装置４は、非階層クラスタ分析及びその分析結果による異常判定を省略してもよい。通信品質変化検知装置４は、クラスタ数に基づく判定が異常通信を示す場合、非階層クラスタ分析の結果による異常判定を省略してもよい。
【０１３４】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明したすべての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【０１３５】
また、上記の各構成・機能・処理部等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード等の記録媒体に置くことができる。
【０１３６】
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしもすべての制御線や情報線を示しているとは限らない。実際には殆どすべての構成が相互に接続されていると考えてもよい。
【符号の説明】
【０１３７】
２  特徴量抽出装置、３  データ分割及び振り分け装置、４  通信品質変化検知装置、５  分析結果ＤＢ、６  検知結果通知装置、７  分析結果表示装置、３０  特徴量データ受信Ｉ／Ｆ、３１  設定変更データ受信Ｉ／Ｆ、３２  正規化部、３３  設定格納部、３４  分割データ生成部、３５  特徴量データ送信Ｉ／Ｆ、３６  間引き用データ分割部、３７  間引き後データ統合部、３８  間引き前分割データ送信Ｉ／Ｆ、３９  間引き後分割データ受信Ｉ／Ｆ、４０  特徴量データ受信Ｉ／Ｆ、４１  設定変更データ受信Ｉ／Ｆ、４２  設定格納部、４３  クラスタ分析部、４４  異常検知部、４５  検知結果データ送信Ｉ／Ｆ、４６  間引き前分割データ受信Ｉ／Ｆ、４７  間引き後分割データ送信Ｉ／Ｆ、４８  間引き部、６０  検知結果データ受信Ｉ／Ｆ、６１  アラート作成部、６２  アラートデータ送信Ｉ／Ｆ、７１  ＧＵＩ表示機能部、７２  ＧＵＩ操作機能部、７３  ＧＵＩ情報処理機能部、７４  アラートデータ受信Ｉ／Ｆ、７５  設定変更データ送信Ｉ／Ｆ、１１０  初期値データ、１２０  クラスタ分析画像、１３０Ａ−１３０Ｃ  分析データファイル、３０１  ＣＰＵ、３０２  メモリ、３０３  二次記憶、４３１１  初期値決定部４３１２  非階層クラスタ分析部、４３１３  クラスタ重心算出部、４３１４  表示用データ作成（間引き）部、４３２１  特徴量データ間引き部、４３２２  階層クラスタ分析部、４３２３  ラベリング部、４３２４  クラスタ分析画像データ出力部、４３２５  表示用データ作成（間引き）部
【図１Ａ】
2018036709.tif 000003
【図１Ｂ】
2018036709.tif 000004
【図２】
2018036709.tif 000005
【図３】
2018036709.tif 000006
【図４】
2018036709.tif 000007
【図５】
2018036709.tif 000008
【図６】
2018036709.tif 000009
【図７】
2018036709.tif 000010
【図８】
2018036709.tif 000011
【図９】
2018036709.tif 000012
【図１０】
2018036709.tif 000013
【図１１】
2018036709.tif 000014
【図１２】
2018036709.tif 000015
【図１３】
2018036709.tif 000016
【図１４】
2018036709.tif 000017
【図１５】
2018036709.tif 000018
【図１６】
2018036709.tif 000019
【図１７】
2018036709.tif 000020
【図１８】
2018036709.tif 000021