(57)【要約】【課題】データの異常検知を容易に精度よく行うことを可能とする。【解決手段】実施形態にかかる異常検知装置は、データを受け付けるデータ受付部と、受け付けられたデータが予め設定されたデータの集合から外れた外れ値であるか否かを判定する第１の判定部と、受け付けられたデータが異常とするデータの条件として予め設定された所定条件を満たすか否かを判定する第２の判定部と、受け付けられたデータが外れ値として判定された場合、及び受け付けられたデータが所定条件を満たすと判定された場合の少なくとも一方を満たす時に、受け付けられたデータの異常検知を出力する出力部とを備える。【選択図】図１
2015087819.tif 000002
【特許請求の範囲】
【請求項１】
データを受け付けるデータ受付部と、
前記受け付けられたデータが予め設定されたデータの集合から外れた外れ値であるか否かを判定する第１の判定部と、
前記受け付けられたデータが異常とするデータの条件として予め設定された所定条件を満たすか否かを判定する第２の判定部と、
前記受け付けられたデータが外れ値として判定された場合、及び前記受け付けられたデータが前記所定条件を満たすと判定された場合の少なくとも一方を満たす時に、前記受け付けられたデータの異常検知を出力する出力部と、
を備えることを特徴とする異常検知装置。
【請求項２】
前記受け付けられたデータが外れ値として判定された場合に出力された異常検知に対応して、前記受け付けられたデータを外れ値として判定するか否かの指示を受け付けるユーザインタフェース部を更に備え、
前記第１の判定部は、前記ユーザインタフェース部より外れ値として判定しない指示を受け付けた場合、前記データの集合に、前記受け付けられたデータが外れ値として判定されないための新たなデータを追加することを特徴とする、
請求項１に記載の異常検知装置。
【請求項３】
前記ユーザインタフェース部は、前記受け付けられたデータの要素を表示し、前記異常とするデータの条件として前記データの要素の条件を受け付け、
前記第２の判定部は、前記受け付けられたデータの要素の条件を前記所定条件に加えることを特徴とする、
請求項２に記載の異常検知装置。
【請求項４】
前記ユーザインタフェース部は、前記受け付けられたデータが前記所定条件を満たすと判定された場合、前記受け付けられたデータが外れ値として判定された場合、又は前記受け付けられたデータが前記所定条件を満たさずに前記外れ値としても判定されない場合に、前記受け付けられたデータの表示態様を変えて表示することを特徴とする、
請求項２又は３に記載の異常検知装置。
【請求項５】
異常検知装置の異常検知方法であって、
データを受け付けるデータ受付ステップと、
前記受け付けられたデータが予め設定されたデータの集合から外れた外れ値であるか否かを判定する第１の判定ステップと、
異常とするデータの条件として予め設定された所定条件を、前記受け付けられたデータが満たすか否かを判定する第２の判定ステップと、
前記受け付けられたデータが外れ値として判定された場合、又は前記受け付けられたデータが前記所定条件を満たすと判定された場合に、前記受け付けられたデータの異常検知を出力する出力ステップと、
を含むことを特徴とする異常検知方法。
【請求項６】
コンピュータに、
データを受け付けるデータ受付ステップと、
前記受け付けられたデータが予め設定されたデータの集合から外れた外れ値であるか否かを判定する第１の判定ステップと、
異常とするデータの条件として予め設定された所定条件を、前記受け付けられたデータが満たすか否かを判定する第２の判定ステップと、
前記受け付けられたデータが外れ値として判定された場合、又は前記受け付けられたデータが前記所定条件を満たすと判定された場合に、前記受け付けられたデータの異常検知を出力する出力ステップと、
を実行させるための異常検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異常検知装置、異常検知方法及び異常検知プログラムに関する。
【背景技術】
【０００２】
従来、通信ネットワークを介してデータ（例えば時系列のログ）を収集し、収集したデータに定常とは異なる異常があれば警告を出力する異常検知装置がある。例えば、金融業界では、クレジットカードにおける不正利用（朝早くにお茶を買いクレジットカードの有効性を確認した後に新幹線の回数券など高額かつ換金可能な商品を購入する等）を、取引履歴から検知して警告を出力している。また、携帯電話を利用した子供の見守りサービスでは、子供が携帯するＧＰＳ（Global  Positioning  System）付き携帯電話から発信される位置情報を収集し、普段遊んでいる場所から離れた等の異常状態を検知し警告を行う。
【０００３】
このデータの異常検知については、想定した異常状態からデータの取り得るパターンを抽出し、そのパターンに適用可能なルールを設定して、設定したルールにデータが合致したことで異常を検知する方法がある。この方法では、ルールに合致した異常状態を高い精度で検知することができる。
【０００４】
また、ルールの設定なしにデータの異常検知を行う別方法としては、正常状態（定常状態）からの外れ度合い（外れ値）から異常を検知する方法がある。この外れ値を利用する方法では、Ｎ個の変数からなるデータをＮ次元空間に配置し、正常状態を示すデータの塊（クラスタ）から離れているデータを外れ値として異常検知を行う。さらに、ＬＯＦ（Local  Outlier  Factor）という外れ値を利用する方法では、正常状態を示すクラスタのデータ分布の密度をベースに外れ値を検出することから、距離ベースの外れ値検出と比べて、定常状態が複数あるような複雑な状況であっても、これまでの振るまいと異なる状態（＝外れ値）を抽出することができる。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】「ここだよ、みつけて！」、［平成２５年１０月１８日検索］、インターネット＜URL:http://www.koko-dayo.jp/＞
【非特許文献２】「Local  outlier  factor」、［平成２５年１０月１８日検索］、インターネット＜URL:http://en.wikipedia.org/wiki/Local＿outlier＿factor＞
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ルールを設定して異常検知を行う方法では、ルールに合致した異常状態を高い精度で検知することができる。しかしながら、異常状態は稀な事象であるため、前もってルールを設定することが難しかった。また、検知精度向上を狙い利用データの種類（変数）を増やしていく（＝次元を増やしていく）とルールの考案が難しくなる場合があった。例えば、子供の見守りサービスにおいて、ある時間にある場所に行くことが通常は正常だとしても、その時の天気や経路、イベントや携帯電話の利用状況、ＳＮＳ（Social  Networking  Service）のつぶやき内容等、様々なデータの変数を鑑みると異常状態である場合もあり、このようなケースに対応したルールの考案は困難である。さらに、全く新しいパターンの異常状態は、これまでの判断ロジックが通用せず検出できない可能性が高い。このような異常状態は、ルールが新たに設定されるまで発見をのがしてしまう場合がある。
【０００７】
また、外れ値を利用する方法では、ルール設定が不要なことに加え、比較的高次元であっても検出可能であること、全く新しいパターンの異常状態であっても検出できること等の利点を持つ。しかしながら、データ点密度が濃くなると外れ値とはみなされなくなることから、何度も同じ条件で発生する異常状態の検出には利用できない。また、外れ値が必ずしも検出したい異常状態と限らないため、検知精度には限界がある。
【０００８】
本発明は、上記に鑑みてなされたものであって、データの異常検知を容易に精度よく行うことを可能とする異常検知装置、異常検知方法及び異常検知プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決し、目的を達成するために、実施形態にかかる異常検知装置は、データを受け付けるデータ受付部と、前記受け付けられたデータが予め設定されたデータの集合から外れた外れ値であるか否かを判定する第１の判定部と、前記受け付けられたデータが異常とするデータの条件として予め設定された所定条件を満たすか否かを判定する第２の判定部と、前記受け付けられたデータが外れ値として判定された場合、及び前記受け付けられたデータが前記所定条件を満たすと判定された場合の少なくとも一方を満たす時に、前記受け付けられたデータの異常検知を出力する出力部と、を備えることを特徴とする。
【発明の効果】
【００１０】
実施形態にかかる異常検知装置によれば、データの異常検知を容易に精度よく行うことができる、という効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】図１は、実施形態にかかる異常検知装置を有する異常検知システムの構成例を示すブロック図である。
【図２】図２は、ＬＯＦを説明する説明図である。
【図３】図３は、異常検知システムの動作の一例を示すラダーチャートである。
【図４】図４は、表示画面の一例を示す説明図である。
【図５】図５は、地図画像の一例を示す説明図である。
【図６】図６は、異常検知装置における処理がコンピュータを用いて具体的に実現されることを示す図である。
【発明を実施するための形態】
【００１２】
以下、添付図面を参照して実施形態にかかる異常検知装置、異常検知方法及び異常検知プログラムを詳細に説明する。なお、以下の説明において、同様の構成要素には共通の符号を付与するとともに、重複する説明を省略する。
【００１３】
図１は、実施形態にかかる異常検知装置１０を有する異常検知システム１の構成例を示すブロック図である。図１に示すように、異常検知システム１は、インターネット等の通信ネットワークＮを介して互いに通信可能に接続された異常検知装置１０、端末装置２０及び通知先端末装置３０を有する。
【００１４】
異常検知システム１は、端末装置２０より入力されるデータを異常検知装置１０で収集し、収集したデータの異常を異常検知装置１０が検知した場合に、異常検知装置１０が通知先端末装置３０に異常検知を通知するシステムである。以下で説明する実施形態では、端末装置２０で入力された子供等の被監視対象の位置情報や操作内容等のデータを異常検知装置１０で収集し、そのデータの異常を異常検知装置１０が検知した場合に、異常検知装置１０が保護者等が使用する通知先端末装置３０に異常検知を通知する見守りサービスに適用した場合を説明する。
【００１５】
端末装置２０は、被監視対象である子供等が所持するＧＰＳ付き携帯電話などの情報処理端末である。端末装置２０は、ＧＰＳにより取得した位置情報やキー操作などによる操作内容を受け付けるデータ入力部２１と、データ入力部２１で入力されたデータを通信ネットワークＮを介して異常検知装置１０へ送信するデータ送信部２２とを備える。これにより、異常検知装置１０では、端末装置２０により送信された位置情報や操作内容等の被監視対象のデータを受信する。この被監視対象のデータは、Ｎ個の変数からなるＮ次元のデータであってよく、一例としては、位置情報（緯度、経度）とその位置検出の時刻、操作による入力文書とその操作時刻などを含むデータであってよい。
【００１６】
通知先端末装置３０は、ＰＣ（Personal  Computer）、携帯電話などであり、見守りサービスにおける監視者（ユーザ）が使用する情報処理端末である。通知先端末装置３０は、コンピュータを用いて実現される機能構成として、制御部３１と、通信部３２と、記憶部３３と、表示部３４と、操作部３５とを備える。
【００１７】
制御部３１は、ＣＰＵ（Central  Processing  Unit）がプログラムを順次実行することで、通知先端末装置３０の動作を制御する。通信部３２は、制御部３１の制御のもと、通信ネットワークＮを介した通信を行う。記憶部３３は、ＨＤＤ（Hard  Disk  Drive）等であり、制御部３１のＣＰＵが実行するプログラムや各種設定情報などを記憶する。表示部３４は、液晶ディスプレイなどであり、制御部３１の制御のもとで表示画面を液晶ディスプレイ上に表示する。操作部３５は、キーボード、マウス、タッチパネル等であり、ユーザの入力操作を受け付けて制御部３１へ出力する。
【００１８】
異常検知装置１０は、端末装置２０より送信される被監視対象のデータを収集し、収集した被監視対象のデータにおいて異常を検知した場合に、通知先端末装置３０に異常検知を通知するサーバ装置などである。具体的には、異常検知装置１０は、コンピュータを用いて実現される機能構成として（詳細は後述する）、データ受信部１１と、記憶部１２と、外れ値検出部１３と、異常判定部１４と、アラート送信部１５と、ユーザインタフェース部１６とを備える。
【００１９】
データ受信部１１は、端末装置２０より送信された被監視対象のデータを受信する。データ受信部１１は、受信した被監視対象のデータを、送信元である端末装置２０ごとに割り当てられた、被監視対象を識別するためのＩＤ（ユーザＩＤ）などを付与して記憶部１２の受信データＤ１に記録する。これにより、異常検知装置１０では、被監視対象ごとに被監視対象のデータが記録されることとなる。
【００２０】
記憶部１２は、受信データＤ１、ユーザ基本データＤ２、ユーザ入力データＤ３等のデータを記憶するストレージである。受信データＤ１は、データ受信部１１が端末装置２０より受信した被監視対象のデータを、被監視対象ごとに記憶する。ユーザ基本データＤ２は、被監視対象とその監視者など、ユーザに関する基本情報を記憶する。この基本情報には、被監視対象とその監視者などを識別するためのユーザＩＤごとに、監視者へと異常の通知を行う通知先端末装置３０のアドレス（例えば電子メールアドレス）、外れ値検出部１３、異常判定部１４におけるユーザごとの設定情報などが含まれる。ユーザ入力データＤ３は、ユーザインタフェース部１６を介して通知先端末装置３０より入力された入力データを、ユーザＩＤごとに記憶する（詳細は後述する）。
【００２１】
外れ値検出部１３は、データ受信部１１により受け付けられた被監視対象のデータを近傍の密度から外れ値であるか否かを判定しその検出を行う。具体的には、外れ値検出部１３は、受信データＤ１に記憶された被監視対象のデータについて、検出対象のデータ（データ受信部１１により今回受け付けられたデータ）と、それ以外の事前に蓄積していたデータと読み出し、読み出した検出対象のデータが外れ値であるか否かを判定する。この外れ値の判定には、受信データＤ１に記憶された被監視対象のデータにおけるデータ分布の密度をベースに外れ値を検出するＬＯＦを用いて行う。
【００２２】
図２は、ＬＯＦを説明する説明図である。ＬＯＦを用いる方法では、図２に示すようなデータの分布状況（Ｃ１〜Ｃ３は受信データＤ１に記憶された被監視対象のデータにおけるデータ集合）において、外れ値であるアノマリＡ１、Ａ２、Ａ３を検出する。Ａ２とＡ３では近傍データとの離れ度合いが異なるが、Ｃ２で囲まれたデータ集合はＣ３で囲まれたデータ集合よりデータの密集度合いが異なるため、直感的にはどちらも外れ値であると理解できる。しかし、距離ベースの外れ値検出では、Ａ１、Ａ２、Ａ３のような離れ度合いの異なる外れ値を検出できない。
【００２３】
したがって、外れ値検出部１３では、距離ベースの外れ値検出と比べて、定常状態が複数あるような複雑な状況であっても、これまでの振るまいと異なる外れ値の検出を行うことができる。次いで、外れ値検出部１３は、被監視対象のデータが外れ値として検出された場合、被監視対象を識別するためのユーザＩＤとともに、被監視対象のデータが外れ値として検出されたことをアラート送信部１５へ通知する。このとき、外れ値検出部１３は、被監視対象のデータが外れ値として検出されたことを後で参照可能とするように、受信データＤ１に記憶された被監視対象のデータにフラグを付与する。
【００２４】
異常判定部１４は、データ受信部１１により受け付けられた被監視対象のデータが異常とするデータの条件として予めメモリなどに設定された所定条件を満たすか否かを判定する。異常とするデータの条件としては、データの変数（例えば位置情報（緯度、経度）、位置検出の時刻、入力文書、操作時刻など）ごとに、異常値、異常とする範囲などが予め設定される。異常判定部１４は、受信データＤ１に記憶された被監視対象のデータを読み出し、その被監視対象のデータの変数が、上述した条件を満たす場合に異常と判定する。そして、異常判定部１４は、被監視対象のデータが異常と判定された場合、被監視対象を識別するためのユーザＩＤとともに、被監視対象のデータが異常として判定されたことをアラート送信部１５へ通知する。このとき、異常判定部１４は、被監視対象のデータが異常として判定されたことを後で参照可能とするように、受信データＤ１に記憶された被監視対象のデータにフラグを付与する。
【００２５】
アラート送信部１５は、被監視対象のデータが外れ値検出部１３により外れ値として検出された場合、及び被監視対象のデータが異常判定部１４により異常と判定された場合の少なくとも一方を満たす場合に、被監視対象のデータの異常検知を通知先端末装置３０へ送信（アラート送信）する。具体的には、アラート送信部１５は、監視者宛に送信するため、外れ値検出部１３、異常判定部１４により通知されたユーザＩＤのアドレスをユーザ基本データＤ２より読み出し、そのアドレス宛て（通知先端末装置３０）に電子メールなどで被監視対象のデータの異常検知を通知する。これにより、監視者は、異常検知装置１０より通知された電子メールを通知先端末装置３０で確認することで、被監視対象の異常を認識できる。
【００２６】
なお、アラート送信部１５が通知する電子メールは、例えばＨＴＭＬ形式の電子メールなどであってよく、ユーザインタフェース部１６へアクセスするためのＵＲＬ（Uniform  Resource  Locator）、アクセスの際にユーザＩＤ等を通知するタグなどを含む文面であってよい。
【００２７】
ユーザインタフェース部１６は、通知先端末装置３０からのアクセスを受け付けて、通知先端末装置３０への各種表示画面の表示や、通知先端末装置３０での操作入力などを受け付ける。ユーザインタフェース部１６は、通知先端末装置３０のＷｅｂブラウザからのアクセスを許容し、アクセスされたＷｅｂブラウザにおける表示・操作入力を受け付けるＷｅｂサーバなどであってよい。より具体的には、ユーザインタフェース部１６は、通知先端末装置３０からのアクセスを監視者等を識別するためのユーザＩＤとともに受け付けて、そのユーザＩＤにかかる被監視対象のデータを受信データＤ１、ユーザ基本データＤ２より読み出して通知先端末装置３０へ表示する。この時、通知先端末装置３０では、ユーザの操作指示を入力情報として受け付けて異常検知装置１０へ送信する。ユーザインタフェース部１６では、通知先端末装置３０より送信された入力情報を受け付けて、その入力情報を記憶部１２のユーザ入力データＤ３に記憶する。
【００２８】
ここで、上述した異常検知システム１における異常検知にかかる動作の詳細を説明する。図３は、異常検知システム１の動作の一例を示すラダーチャートである。先ず、端末装置２０より被監視対象のデータを異常検知装置１０が受信したデータ受信時の動作（Ｓ１〜Ｓ８）を説明する。図３に示すように、データ受信部１１は、端末装置２０から送信された被監視対象のデータの入力を受け付ける（Ｓ１）。
【００２９】
次いで、データ受信部１１は、外れ値検出部１３、異常判定部１４に対して、Ｓ１で受け付けた被監視対象のデータの判定依頼を通知する（Ｓ２）。この判定依頼の通知を受けた外れ値検出部１３は、被監視対象のデータが外れ値であるか否かの外れ値判定を行う（Ｓ３）。この外れ値判定において、被監視対象のデータが外れ値であると判定された場合、外れ値検出部１３は、被監視対象のデータが外れ値として検出されたことを、アラート送信依頼としてアラート送信部１５へ通知する（Ｓ４）。
【００３０】
また、判定依頼の通知を受けた異常判定部１４は、被監視対象のデータが異常とする所定条件を満たすか否かをの異常判定を行う（Ｓ５）。この異常判定において、監視対象のデータが異常と判定された場合、異常判定部１４は、被監視対象のデータが異常として判定されたことを、アラート送信依頼としてアラート送信部１５へ通知する（Ｓ６）。
【００３１】
アラート送信部１５は、外れ値検出部１３又は異常判定部１４からアラート送信依頼が通知されたか否かのアラート送信判定を行う（Ｓ７）。アラート送信依頼が通知された場合、アラート送信部１５は、被監視対象のデータの異常検知を通知先端末装置３０へ送信する、上述したアラート送信を実行する（Ｓ８）。なお、アラート送信依頼が通知されていない場合、アラート送信部１５は、被監視対象のデータの異常検知がなかったことから、アラート送信を実行することなく、処理を終了する。これにより、監視者は、異常検知装置１０からのアラート送信を通知先端末装置３０で確認することで、被監視対象の異常を認識できる。
【００３２】
次に、通知先端末装置３０からのアクセスをユーザインタフェース部１６が受け付けて、通知先端末装置３０によるユーザ入力が行われるユーザ入力時の動作（Ｓ１１〜Ｓ１７）を説明する。図３に示すように、先ずユーザインタフェース部１６は、通知先端末装置３０からの例えばＷｅｂブラウザなどによるアクセスを、監視者等を識別するためのユーザＩＤとともに受け付ける（Ｓ１１）。
【００３３】
次いで、ユーザインタフェース部１６は、アラートがある場合、すなわちユーザＩＤにかかる被監視対象のデータについてアラート送信を行った場合、外れ値情報、異常値情報の取得を外れ値検出部１３、異常判定部１４に対して行う。具体的には、ユーザインタフェース部１６は、ユーザＩＤを外れ値検出部１３に通知し、外れ値検出部１３より外れ値として検出された被監視対象のデータを含む外れ値情報を取得する（Ｓ１２）。また、ユーザインタフェース部１６は、ユーザＩＤを異常判定部１４に通知し、異常判定部１４より異常と判定された被監視対象のデータを含む異常値情報を取得する（Ｓ１３）。このＳ１２、Ｓ１３において、ユーザインタフェース部１６は、上述した外れ値情報、異常値情報の他、外れ値又は異常と判定されていない正常な被監視対象のデータも取得してよい。
【００３４】
次いで、ユーザインタフェース部１６は、取得した外れ値情報、異常値情報をもとに、外れ値検出と異常判定とのどちらかで異常と判定されたことを監視者に通知する表示画面の情報を通知先端末装置３０へ送信する（Ｓ１４）。この表示画面においては、外れ値情報よりも異常値情報を優先し、例えば異常と判定された被監視対象のデータを異常として監視者に通知する。これにより、監視者は、被監視対象のデータが予め設定された異常の条件を満たす、被監視対象の異常状態を確認できる。外れ値よりも異常判定を優先するのは、監視者が異常として認識し、事前に設定している異常の条件を、被監視対象のデータが満たしていることを通知することがより重要だからである。この異常と判定された被監視対象のデータの通知の際は、後述する外れ値検出による異常通知とは異なり、監視者からのフィードバックは行わない。
【００３５】
なお、ユーザインタフェース部１６は、外れ値検出による異常通知を行う場合、監視者が外れ値に対するフィードバックを行えるフォームを含む表示画面の情報を通知先端末装置３０へ送信する。このフィードバックでは、以後外れ値として判定するか否かの指示を受け付けるための「異常ではないため、今後検出しない」などの操作ボタンを有する表示画面の情報を通知先端末装置３０へ送信する。監視者は、表示画面上の操作ボタンを操作することで、以後外れ値として判定するか否かの指示の入力を行う。
【００３６】
また、外れ値検出による異常通知を行う場合のフィードバックでは、外れ値として検出可能であるが異常と判定するための条件が未設定であることから、異常と判定するための新たな条件（ルール）の設定を行えるフォームを通知先端末装置３０へ送信し、監視者から新たな条件設定を受け付けてもよい。例えば、データの要素（変数）ごとに（例えば時間、場所、対象ユーザ等）異常とする範囲の設定を受け付けてよい。この範囲の設定では、フォームにおいて、抽象度を変えた選択肢を提示し、監視者が外れ値検出よりも適切な範囲で異常の判定ができる範囲を設定可能とする。例えば、時間に対する範囲設定では、朝・昼・晩、曜日、平日／休日、月、季節と抽象度を変えた選択肢を提示する。対象ユーザを設定する場合は、所属グループ、性別、年代、職種等を設定してもよい。
【００３７】
図４は、表示画面Ｇの一例を示す説明図である。図４に示すように、ユーザインタフェース部１６が通知先端末装置３０へ送信する表示画面Ｇには、外れ値として判定するか否かの指示を受け付けるボタン画像Ｇ２が表示されている。監視者は、ボタン画像Ｇ２を操作することで、以後外れ値として判定するか否かの指示の入力を行う。
【００３８】
表示画面Ｇの地図画像Ｇ１は、被監視対象のデータの要素（位置情報、時刻）をもとに、被監視対象の位置をプロットして表示する画像である。ユーザインタフェース部１６は、取得した外れ値情報、異常値情報、正常な被監視対象のデータをもとに、地図画像Ｇ１を生成して通知先端末装置３０へ送信する。監視者は地図画像Ｇ１を確認することで、被監視対象のデータ（位置情報、時刻）を容易に確認できる。図示例では、被監視対象のデータで外れ値として検出された要素が、異常状態候補Ｇ１１として表示されている。
【００３９】
図５は、地図画像Ｇ１の一例を示す説明図である。図５に示すように、地図画像Ｇ１では、正常な被監視対象のデータをもとにプロットした要素（定常パターン）と、外れ値として検出された被監視対象のデータをもとにプロットした要素（外れ値）と、異常として判定された被監視対象のデータをもとにプロットした要素（異常状態）との表示態様を変更してもよい。このように表示態様を変更することで、被監視対象のデータ確認がより容易となる。
【００４０】
監視者は、外れ値情報、異常値情報、正常な被監視対象のデータをもとに、データがプロットされた地図画像Ｇ１を確認することで、異常判定が時間に関連しないのか、平日であることなのか、毎週月曜なのか、どの場所に被監視対象がいるかなどの情報をルール作成の手がかりとすることができる。
【００４１】
図４に戻り、表示画面Ｇのルール作成受付領域Ｇ３では、異常と判定するための新たなルール作成を受け付ける。具体的には、見守りサービスにおいて、被監視対象の異常を判定するための新たなルールとして、異常と判定する場所の範囲、時間範囲などを設定する。表示画面Ｇのボタン画像Ｇ４では、ルール作成受付領域Ｇ３で作成されたルールの適用を開始する指示を受け付ける。監視者は、ボタン画像Ｇ４を操作することで、ルール作成受付領域Ｇ３で作成したルールを異常検知装置１０に適用させる。
【００４２】
図３に戻り、Ｓ１４に次いで、ユーザインタフェース部１６は、上述したフィードバックにおいて通知先端末装置３０より送信された入力情報を受け付ける（Ｓ１５）。次いで、ユーザインタフェース部１６は、受け付けた入力情報をもとに、異常判定部１４における新たなルールの反映（Ｓ１６）、外れ値検出部１３におけるデータ点の追加（Ｓ１７）を行う。
【００４３】
具体的には、Ｓ１６において、ユーザインタフェース部１６は、異常と判定するために受け付けた新たな条件（データの要素（変数）ごとの異常とする範囲の設定）を異常判定部１４に通知する。異常判定部１４では、通知された新たな条件をメモリに記憶し、異常とするデータの条件として新たに追加する。これにより、監視者が表示画面Ｇ上のルール作成受付領域Ｇ３で設定したルールが異常とするデータの条件として設定され、次の異常判定において設定されたルールが適用されることとなる。
【００４４】
また、Ｓ１７において、ユーザインタフェース部１６は、外れ値として判定しない指示を受け付けた場合（ボタン画像Ｇ２の押下指示があった場合）に、外れ値として検出された被監視対象のデータを以後外れ値として検出しないように、外れ値検出部１３において予め設定されたデータの集合にデータ点を追加する。具体的には、外れ値として検出された被監視対象のデータ（例えば図２のアノマリＡ２）が定常状態のデータの集合（例えば図２のデータ集合Ｃ２）により外れ値とされない範囲内（点線内）に収まるように、データ点を加える。これにより、外れ値として検出された被監視対象のデータは、以後外れ値として検出されないこととなる。
【００４５】
なお、ユーザインタフェース部１６は、外れ値として判定する指示を受け付けた場合（ボタン画像Ｇ２の押下指示がなかった場合）には、外れ値として検出された被監視対象のデータをＬＯＦ計算には追加しないようにしてもよい。具体的には、外れ値検出部１３において外れ値判定を行うためのデータの集合に加えず、データの濃度を上げないようにしてよい。この場合、外れ値検出部１３において外れ値判定を行うためのデータの集合に影響がなくなることから、以後同じ条件の被監視対象のデータについても同様に外れ値として検出することができる。
【００４６】
なお、上述した実施形態は、見守りサービスに適用した場合を例示したが、正常時に定常パターンが存在し、監視者に警告を送るタイプの異常状態検知であれば見守りサービス以外の異常検知システムにも適用可能である。具体的には、車両動態管理、クレジットカードの不正利用検知、システムの異常状態、不正アクセス監視、ユーザのバイタルセンサからの情報による健康管理などにも応用できる。
【００４７】
図６は、異常検知装置１０における処理がコンピュータを用いて具体的に実現されることを示す図である。図６に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００４８】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。
【００４９】
ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、例えばハードディスクドライブ１０３１に記憶される。例えば、図１に例示した機能構成（データ受信部１１、記憶部１２、外れ値検出部１３、異常判定部１４、アラート送信部１５、ユーザインタフェース部１６）と同様の情報処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
【００５０】
また、上述した実施形態での処理に必要な設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００５１】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００５２】
１…異常検知システム、１０…異常検知装置、１１…データ受信部、１２…記憶部、１３…外れ値検出部、１４…異常判定部、１５…アラート送信部、１６…ユーザインタフェース部、２０…端末装置、２１…データ入力部、２２…データ送信部、３０…通知先端末装置、３１…制御部、３２…通信部、３３…記憶部、３４…表示部、３５…操作部、１０００…コンピュータ、Ａ１〜Ａ３…アノマリ、Ｃ１〜Ｃ３…データ集合、Ｄ１…受信データ、Ｄ２…ユーザ基本データ、Ｄ３…ユーザ入力データ、Ｇ…表示画面、Ｇ１…地図画像、Ｇ２…ボタン画像、Ｇ３…ルール作成受付領域、Ｇ４…ボタン画像、Ｇ１１…異常状態候補、Ｎ…通信ネットワーク。
【図１】
2015087819.tif 000003
【図２】
2015087819.tif 000004
【図３】
2015087819.tif 000005
【図４】
2015087819.tif 000006
【図５】
2015087819.tif 000007
【図６】
2015087819.tif 000008