(57)【要約】【課題】  予め異常を検知するための条件として登録されていない異常パターンに対しても、リアルタイムで学習し、更に、データマイニングの手法を利用して機器の異常を検知する機器の異常検知装置を提供する。【解決手段】  学習部２１にて、電子機器１から受信した機器運用情報１１と、今までの学習結果３１から、新たな学習結果を作成し、記憶部３に記憶する。運用時は、解析部２２にて、異常検知対象の電子機器１の運用情報１１と学習結果３１とを比較して、異なる度合いを数値の大きさで表し、記憶部３に解析結果３２として記憶する。検知・通知部２３は、解析結果３２を参照して閾値と比較する。比較の結果、電子機器１の異常であることを示すデータが見つかった場合は、電子機器１に異常がある旨を出力部４に通知する。【選択図】  図１
2005182647.tif 000002
【特許請求の範囲】
【請求項１】
機器の運用状態を監視し、異常を検知する監視装置と、
前記監視装置によって監視される機器とを含み構成されることを特徴とする機器の異常検知装置であって、
前記監視装置は、前記機器の動作によって生成される運用状態を示す機器運用情報を受信し、前記機器運用情報を学習し、その内容を学習結果として記憶する学習手段と、
前記機器運用情報と前記学習結果とを比較して解析し、その内容を解析結果として記憶する解析手段と、
前記解析結果から前記機器の異常を検知する異常検知手段と、
前記機器の異常を検知した旨を出力する出力手段とを有することを特徴とする機器の異常検知装置。
【請求項２】
前記機器は、自身の動作によって生成される運用状態を示す機器運用情報を採取し、前記監視装置に送信する情報採取送信手段を有することを特徴とする請求項１記載の機器の異常検知装置。
【請求項３】
前記情報採取送信手段は、前記機器運用情報の中から、情報採取用設定ファイルで指定された情報のみを採取する情報採取手段を有することを特徴とする請求項２記載の機器の異常検知装置。
【請求項４】
前記監視装置は、前記情報採取用設定ファイルの内容を変更する第１の内容変更手段を有することを特徴とする請求項３記載の機器の異常検知装置。
【請求項５】
前記第１の内容変更手段を、外部から指示する第１の指示手段を有することを特徴とする請求項４に記載の機器の異常検知装置。
【請求項６】
前記学習手段は、設定ファイルで指定された項目について学習し、学習結果として記憶する第２の学習手段を有することを特徴とする請求項１〜５のいずれか１項に記載の機器の異常検知装置。
【請求項７】
前記解析手段は、設定ファイルで指定された項目について解析し、解析結果として記憶する第２の解析手段を有することを特徴とする請求項１〜６のいずれか１項に記載の機器の異常検知装置。
【請求項８】
前記異常検知手段は、前記解析結果の値と、設定ファイルで指定された閾値とを比較することにより、異常であるか否かを判定する判定手段を有することを特徴とする請求項１〜７のいずれか１項に記載の機器の異常検知装置。
【請求項９】
前記監視装置は、前記設定ファイルの内容を変更する第２の内容変更手段を有することを特徴とする請求項６〜８のいずれか１項に記載の機器の異常検知装置。
【請求項１０】
前記第２の内容変更手段を、外部から指示する第２の指示手段を有することを特徴とする請求項９記載の機器の異常検知装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、予め異常を検知するための条件として登録されていない異常パターンに対しても、リアルタイムで学習し、データマイニングの手法を利用して機器の異常を検知する機器の異常検知装置に関する。
【背景技術】
【０００２】
近年、様々な電子機器や、これらを組み合わせたシステムの内部構成は、高度な処理を行うために複雑になっているが、その複雑さ故に、予期せぬトラブル、例えば停電等により、しばしば障害、故障が発生することがある。或いは、処理すべきデータの型がプログラムに適合しない、例えば、数値処理に対して、文字列が混在することにより処理不能になる、などの理由により、システムに障害が発生することもある。
また、ごく一部の障害が、電子機器やシステムの全体に、致命的な障害をもたらすこともある。
そのため、障害はできる限り早く検知しなければならない。そして、このような異常を検知するための装置は、現在の電子機器やシステムにおいては、必要不可欠なものとなっている。
【０００３】
様々な異常に対する対策を施した従来の技術として、例えば、ログ情報の解析作業に要する時間を減少させ、種々のデータ形式とファイル・システム上の偏在性とを有するログ情報を統合し、既知の異常ではない、新たな異常を示すログ情報を抽出することができ、システム管理者が文字による膨大な量のログ情報の中から注目するべきログ情報を迅速に把握することが可能なログ情報解析装置等に関する発明がある。これにより、管理者は異常が発生した機器に対して、ログ情報を解析する際に、迅速なログ解析を行うことが可能となっている（特許文献１参照）。
【０００４】
また、例えば、消費者により入力されたデータの中から異常なローデータを検出する異常入力検出装置に関する発明がある。これにより、異常なデータを的確に排除することが可能となっている（特許文献２参照）。
【０００５】
また、数多くの統計的データから外れ値／異常値を検出する技術として、ルール学習やニューラルネットワークを用いた教師（ラベル）付き学習が主流であったが、ラベル付きデータが入手できない場合には、ルール学習やニューロを用いたラベル付き学習は適応できないが、最近では、ラベル無しのデータでも外れ値／異常値を検出する技術が紹介されている（非特許文献１参照）。
【特許文献１】特開２００１−３５６９３９号公報
【特許文献２】特開２００３−１３２０７５号公報
【非特許文献１】山西  健司，竹内  純一，教師無しデータからの外れ値フィルタリングルールの発見，２００１年情報論的学習理論ワークショップ（２００１）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従来の機器異常を検知するための装置は、ログなどの機器から得られる情報に対して、検出するための条件を機器毎に登録しておき、機器から得られる情報が異常とする条件と一致することによって、異常の発生を判断していた。
しかしながら従来の技術では、予め異常とするパターンを作成して、機器に登録する必要があり、そのためには、異常となる状態を想定しておく必要がある。異常パターンを作成する作業は、作業者の高い熟練度を要するが、全てのパターンを網羅することが、現実的に困難である。従って、その想定から外れたものは、異常が発生したとしても検出することができなかった。
【０００７】
このような問題を回避するためには、異常となるパターンを設計する作業の際に、全ての場合を網羅する必要があるが、設計者にとって非常に負担が大きい作業である。
また機器の利用環境が変わり、機器から得られる情報に影響があるような場合には、パターンを新たに作成する必要があった。
そのため、機器異常を検知するための装置には、予め異常を検知するための条件を登録しなくても、機器で生成されたログを学習する機能を有することが望まれていた。
【０００８】
更に、従来の技術にもあるように、システム管理者は、出力された膨大なログファイルから特徴的な情報、例えば、機器の障害を示す情報を取得するために、データマイニングの手法等を用いてログ解析を行い、機器の異常等を把握していた。
しかしながら、ログファイルに記録されている情報は、正常動作の状態（正常動作の履歴）を示す情報が大部分であり、目的の情報（障害等を示す情報）を効率良く取得することが困難であった。
そのため、システム管理者に対して、全てのログ情報を提供するのではなく、データマイニングの手法を用いることによって特徴的な情報（機器の異常を示す情報等）のみを抽出し、管理者に提供（通知）する機能が望まれていた。
【０００９】
本発明は上記事情を鑑みてなされたものであり、予め異常を検知するための条件として登録されていない異常パターンに対しても、リアルタイムで学習し、更に、データマイニングの手法を利用して機器の異常を検知する機器の異常検知装置を提供することを目的とする。
【課題を解決するための手段】
【００１０】
前記課題を解決するために、請求項１記載の発明は、機器の運用状態を監視し、異常を検知する監視装置と、前記監視装置によって監視される機器とを含み構成されることを特徴とする機器の異常検知装置であって、前記監視装置は、前記機器の動作によって生成される運用状態を示す機器運用情報を受信し、前記機器運用情報を学習し、その内容を学習結果として記憶する学習手段と、前記機器運用情報と前記学習結果とを比較して解析し、その内容を解析結果として記憶する解析手段と、前記解析結果から前記機器の異常を検知する異常検知手段と、前記機器の異常を検知した旨を出力する出力手段とを有することを特徴とする。
【００１１】
請求項２記載の発明は、前記機器は、自身の動作によって生成される運用状態を示す機器運用情報を採取し、前記監視装置に送信する情報採取送信手段を有することを特徴とする。
【００１２】
請求項３記載の発明は、前記情報採取送信手段は、前記機器運用情報の中から、情報採取用設定ファイルで指定された情報のみを採取する情報採取手段を有することを特徴とする。
【００１３】
請求項４記載の発明は、前記監視装置は、前記情報採取用設定ファイルの内容を変更する第１の内容変更手段を有することを特徴とする。
【００１４】
請求項５記載の発明は、前記第１の内容変更手段を、外部から指示する第１の指示手段を有することを特徴とする。
【００１５】
請求項６記載の発明は、前記学習手段は、設定ファイルで指定された項目について学習し、学習結果として記憶する第２の学習手段を有することを特徴とする。
【００１６】
請求項７記載の発明は、前記解析手段は、設定ファイルで指定された項目について解析し、解析結果として記憶する第２の解析手段を有することを特徴とする。
【００１７】
請求項８記載の発明は、前記異常検知手段は、前記解析結果の値と、設定ファイルで指定された閾値とを比較することにより、異常であるか否かを判定する判定手段を有することを特徴とする。
【００１８】
請求項９記載の発明は、前記監視装置は、前記設定ファイルの内容を変更する第２の内容変更手段を有することを特徴とする。
【００１９】
請求項１０記載の発明は、前記第２の内容変更手段を、外部から指示する第２の指示手段を有することを特徴とする。
【発明の効果】
【００２０】
本発明によれば、機器の運用状態を監視し、異常を検知する監視装置と、前記監視装置によって監視される機器とを含み構成されることを特徴とする機器の異常検知装置であって、前記監視装置は、前記機器の動作によって生成される運用状態を示す機器運用情報を受信し、前記機器運用情報を学習し、その内容を学習結果として記憶する学習手段と、前記機器運用情報と前記学習結果とを比較して解析し、その内容を解析結果として記憶する解析手段と、前記解析結果から前記機器の異常を検知する異常検知手段と、前記機器の異常を検知した旨を出力する出力手段とを有することにより、予め異常を検知するための条件を登録すること無しに、データマイニングの手法を利用して機器の異常を検知することが可能となる。
【発明を実施するための最良の形態】
【００２１】
近年、様々な電子機器や、これらを組み合わせたシステムの内部構成は、高度な処理を行うために複雑になっている。また、システムに用いられる機器も多種に渡るため、以下の実施例で示すように、サーバコンピュータのような汎用的な情報処理装置を監視装置として用いて、更に、システム管理者がサーバにアクセスするためのパーソナルコンピュータ等の情報処理装置を用いて、電子機器を監視するのが最も好ましい実施の形態である。
【実施例】
【００２２】
次に、添付図面を参照しながら、本発明の実施形態を説明する。
図１は、異常検知装置の概要を示す図である。
異常検知装置は、異常検知の対象となる電子機器１と、前記電子機器１の異常を検知する検知部２と、情報を記憶する記憶部３と、検知結果を表示するためのディスプレイなどの出力部４を含み構成される。
異常検知の対象となる電子機器１は、自身の運用結果のログなどの機器運用情報１１をファイル等の形式で有する。
記憶部３には、今までの電子機器１の運用情報１１を蓄積した学習結果３１と、現時点での電子機器１の運用情報１１を解析した解析結果３２がある。
【００２３】
検知部２の学習部２１では、機器運用情報１１を学習結果３１に反映させるために、機器運用情報１１と学習結果３１を読み込んで処理し、その結果を記憶部３の学習結果３１に戻す。
解析部２２では、機器運用情報１１と学習結果３１を比較して解析し、その結果を記憶装置３の解析結果３２に格納する。
検知・通知部２３では、解析結果３２を検索し、異常を検知した場合はその旨を出力部４に出力することにより管理者に通知する。
【００２４】
図２は、異常検知装置の動作の流れについて説明したフローチャートである。
異常検知の監視対象となる電子機器１は、運用中に運用ログやセキュリティログなどの機器運用情報１１を出力する。更に、学習部２１と解析部２２は、予め設定された時間に動作を行う（ステップＳ１）。
学習部２１は、学習結果３１から得られる既存の統計モデルＡ１を基にして、機器運用情報１１から得られる解析対象データＡ２の内容を追加した、新たな確率分布の計算処理を行う。計算した結果である新たな統計モデルＡ３は、新しい学習結果として学習結果３１を置き換える（ステップＳ２）。
【００２５】
次に解析部２２は、学習結果３１から得られる新たな統計モデルＡ３を基にして、情報１１から得られる解析対象データＡ２を構成する各要素について、スコアを計算する。
ここで、スコアとは、基となる統計モデルと、解析対象のデータの中の評価対象の要素を加えて得られる統計モデルとの統計的距離を数値で表したものである（詳しくは、非特許文献１を参照のこと）。
従って、スコアの数値が大きければ大きいほど、その内容は統計モデルＡ３との統計的外れ度合い（揺らぎ）が大きいということになる。ステップＳ４で得られた、解析対象データＡ２を構成する各要素に対するスコアＡ４を解析結果３２として出力する（ステップＳ４）。
【００２６】
検知・通知部は解析結果３２に納められたスコアの中で、予め設定された閾値以上の値のものがあるかどうか検索する（ステップＳ５）。
予め設定された閾値以上のスコアが存在する場合（ステップＳ５／Ｙｅｓ）は、機器に異常が発生した場合であると判断し、電子メール等予め決められている手順で管理者に通知する（ステップＳ６）。
【００２７】
図３は、異常検知装置のより詳細な構成を示した図である。
異常検知装置は、本図に示すように、監視対象となる電子機器１、監視装置２００、管理者用端末３００から構成される。
監視対象機器１において、情報採取処理部１１０では、機器で生成されるアクセスログ、ＳＹＳＬＯＧ、イベントログ等の各種ログを採取して、それらをＣＳＶデータに変換し、それを監視装置２００にネットワークを介してＦＴＰで送信し、監視装置２００上の抽出済情報ファイルに追加する。
なお、情報採取用設定ファイル１２０には、情報採取処理部１１０の動作で必要となるパラメータ等が記述されている。
例えば、送信先の監視装置の情報や、アクセスログ、ＳＹＳＬＯＧ、イベントログ等の各種ログ情報の中で、どのログ情報を採取するか、或いは、前記電子機器１を構成するどの内部ユニットについてログ情報を採取するか、などの情報採取処理部の動作で必要となる様々なパラメータが記述されている。
【００２８】
監視装置２００において、情報加工処理部２１０では、監視対象の電子機器１上にある情報採取処理部２１０から受け取った抽出済情報ファイルのＣＳＶデータの中から、設定ファイル２８０にて桁位置で指定されている時間属性の項目について、学習解析がしやすいように秒に換算して数値化し、新たにＣＳＶデータを作成し、加工済情報ファイルに追加する。
ここで、「秒換算して数値化する」とは、ある基準時間からどの程度時間が経過したかを、秒で示すことである。例えば、基準時間を平成１５年１２月１日の０時００分００秒とすれば、平成１５年１２月１日の０時１０分１０秒という時間は、６１０と数値化される。
ただし、「秒換算」に限らず、より短い時間単位、例えば、１／１０秒単位、１／１００秒単位、ミリ秒（１／１０００秒）単位、などで数値化するという方法もある。
【００２９】
学習処理部２２０では、統計ファイルを更新するために参照し、更に、前記加工済情報ファイルのＣＳＶデータの全項目の中から、設定ファイル２８０で指定された項目について、今までの統計ファイルに情報を追加して、新たな統計ファイルとして出力する。
解析処理部２３０では、学習結果と、設定ファイル２８０で指定された分析対象ＣＳＶデータの中の項目について、統計ファイルとの統計的距離を計算して、その異常度合いを数値化して解析結果ファイルに出力する。
【００３０】
ここで、「設定ファイル２８０で指定された項目」とは、電子機器１の様々な動作に関わる項目を意味する。例えば、電子機器１として、高速データ通信を実現するデータ通信機器であれば、膨大なログ情報の中から、データのトラフィックに関する情報を取得するのが好ましいので、「トラフィック情報について処理する」旨の設定を行えばよい。
より具体的には、データのトラフィックを左右する要因として、回線スピード、データ通信待ちの状態であるデータが一時的に格納されるバッファ領域の状態などの複数の情報についてデータを取得すれば、データマイニングの手法を用いることにより、解析、異常検知することが可能である。
【００３１】
或いは、電子機器の全体を制御するＣＰＵの監視をする場合は、処理能力（１秒あたりの処理スピード）や、発熱による温度上昇及び冷却による温度低下などの温度情報を取得するのが好ましいので、「処理能力について処理する」、或いは「温度情報について処理する」旨の設定を行えばよい。
或いは、「全てのログ情報について処理する」というような設定を行い、総合的に解析、異常検知することも可能である。
【００３２】
検知処理部２４０では、設定ファイル２８０から閾値を読み込み、解析結果ファイルの中の異常度合いを表した数値が閾値以上になっているものを検索し、検索の結果を検知結果ファイルとして出力する。
通知処理部２５０では、検知結果ファイルの中のデータをｅ−ＭａｉｌやＳＮＭＰ（Simple Network Management Protocol）を使用して、管理者端末３００に通知する。
【００３３】
また、前記情報加工処理部２１０、学習処理部２２０、解析処理部２３０、検知処理部２４０、通知処理部２５０を、一連の流れで自動的に実行するようにするために、実行制御部２６０で管理する。
また、管理機能２７０は、設定ファイル２８０を編集する機能をＷｅｂサーバ上で動作する機能として提供する。そのため、監視装置２００は、サーバコンピュータ等の汎用性の高い情報処理装置を用いるのが一般的である。
【００３４】
管理者用端末３００では、Ｗｅｂブラウザ３１０から管理機能に接続して、監視装置２００上の設定ファイル２８０と、監視対象の電子機器１上の情報採取用設定ファイル１２０を編集することが可能である。
メーラ３２０は、監視装置２００の通知処理部２５０からの通知のメールを受信する。
なお、管理者用端末３００としては、パーソナルコンピュータ等の汎用性の高い情報処理装置を用いるのが一般的である。
【００３５】
また、監視装置からの異常検知を通知する手段、或いは通知された内容を出力する手段は、ｅ−ＭａｉｌやＳＮＭＰに限らず、専用のプログラムを用いて、異常を検知する度に監視装置から管理者用端末に対して、画面上でポップアップ通知したり、または、警告音のような音声を発することにより通知するというような手段も考えられる。
【００３６】
また、上記に示した実施形態は、本発明の好適な実施の一例である。しかしながら、本発明の実施形態は、これらに限定されるものではなく、本発明の要旨を逸脱しない範囲内で、様々な変形実施が可能である。
例えば、本実施例では、監視対象の電子機器１上に、機器運用情報１１を採取し、監視装置２００に送信する手段を設けているが、監視装置２００から電子機器１上の機器運用情報１１を参照し、取得する（ダウンロードする）ような手段でも構わない。
【００３７】
（効果）
以上の説明から明らかなように、機器の運用状態を監視し、異常を検知する監視装置と、前記監視装置によって監視される機器とを含み構成されることを特徴とする機器の異常検知装置であって、前記監視装置は、前記機器の動作によって生成される運用状態を示す機器運用情報を受信し、前記機器運用情報を学習し、その内容を学習結果として記憶する学習手段と、前記機器運用情報と前記学習結果とを比較して解析し、その内容を解析結果として記憶する解析手段と、前記解析結果から前記機器の異常を検知する異常検知手段と、前記機器の異常を検知した旨を出力する出力手段とを有することにより、予め異常を検知するための条件を登録すること無しに、データマイニングの手法を利用して機器の異常を検知し、管理者はモニタ等の出力手段を通じて機器の異常を把握することが可能となる。
【００３８】
また、機器運用情報を採取し、送信する際に、前記機器運用情報の中から、情報採取用設定ファイルで指定された情報のみを採取する手段を有することにより、必要な情報のみを採取し、効率よく解析し、異常検知をすることが可能となる。
【００３９】
また、前記情報採取用設定ファイルの内容を変更する際に、外部から指示することにより、システム管理者が、必要に応じてその設定を変更することが可能となる。
【００４０】
また、設定ファイルで指定された項目について学習し、学習結果として記憶するので、効率のよい学習が可能となり、更に、効率のよい解析処理、異常検知処理を行うことが可能となる。
【００４１】
また、設定ファイルで指定された項目について解析し、解析結果として記憶するので、効率のよい解析が可能となり、更に、効率のよい異常検知を行うことが可能となる。
【００４２】
また、前記設定ファイルの内容を変更する際に、外部から指示することにより、システム管理者が、必要に応じてその設定を変更することが可能となる。
例えば、閾値を大きくすることにより、異常検知の感度を大きくすることが可能であり、逆に、閾値を小さくすれば、異常検知の感度を小さくすることが可能である。
このように、システム管理者が状況に応じて異常検知装置の動作設定を変更することが可能となる。
【００４３】
また、従来の技術では、電子機器の製造者が異常の状態を想定（エラーの設計）していたが、本発明により、異常の状態を想定する作業（エラーの設計作業）が不要となる。
【図面の簡単な説明】
【００４４】
【図１】異常検知装置の概要を示す図である。
【図２】異常検知装置の動作の流れについて説明したフローチャートである。
【図３】図３は、異常検知装置の詳細な構成を示した図である。
【符号の説明】
【００４５】
１    異常検知対象機器（電子機器）
２    検知部
３    記憶部
４    出力部
１１    機器運用情報
２１    学習部
２２    解析部
２３    検知・通知部
３１    学習結果
３２    解析結果
１１０    情報採取処理部
１２０    情報採取用設定ファイル
２００    監視装置
２１０    情報加工処理部
２２０    学習処理部
２３０    解析処理部
２４０    検知処理部
２５０    通知処理部
２６０    実行制御部
２７０    管理機能
２８０    設定ファイル
３００    管理者用端末
３１０    Ｗｅｂブラウザ
３２０    メーラ
Ａ１    既存の統計モデル
Ａ２    解析対象データ
Ａ３    新たな統計モデル
Ａ４    スコアデータ
【図１】
2005182647.tif 000003
【図２】
2005182647.tif 000004
【図３】
2005182647.tif 000005