(57)【要約】  本発明の情報処理装置１００は、対象システムにて計測されるデータを予測するモデルと、対象システムから計測されたデータと、に基づいて、対象システムから計測されるデータの取り得る値の許容範囲を生成する生成部１１０と、対象システムから計測されるデータと許容範囲とに基づいて、対象システムの状態を検知する検知部１２０と、を備える。
2020089968.tif 000002
【特許請求の範囲】
【請求項１】
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成する生成部と、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する検知部と、
を備えた情報処理装置。
【請求項２】
請求項１に記載の情報処理装置であって、
前記生成部は、前記モデルと、前記対象システムから少なくとも所定時点よりも過去に計測されたデータと、に基づいて、前記許容範囲を生成し、
前記検知部は、前記対象システムから前記所定時点に計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する、
情報処理装置。
【請求項３】
請求項２に記載の情報処理装置であって、
前記生成部は、前記モデルと、前記対象システムから少なくとも前記所定時点に対して直前に計測されたデータと、に基づいて、前記許容範囲を生成する、
情報処理装置。
【請求項４】
請求項１乃至３のいずれかに記載の情報処理装置であって、
前記生成部は、前記対象システムから計測されるデータの取り得る値の予測分布を前記許容範囲として生成する、
情報処理装置。
【請求項５】
請求項１乃至４のいずれかに記載の情報処理装置であって、
前記生成部は、前記対象システムから計測されるデータの取り得る値の確率分布を前記許容範囲として生成する、
情報処理装置。
【請求項６】
請求項１乃至５のいずれかに記載の情報処理装置であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記生成部は、前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理装置。
【請求項７】
請求項１乃至５のいずれかに記載の情報処理装置であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記生成部は、前記トラフィックデータを予測するモデルと、少なくとも前記対象システムから計測された前記トラフィックデータと、に基づいて、当該トラフィックデータの取り得る値の許容範囲を生成し、前記プロセスデータを予測するモデルと、少なくとも前記対象システムから計測された前記プロセスデータと、に基づいて、当該プロセスデータの取り得る値の許容範囲を生成する、
情報処理装置。
【請求項８】
請求項７に記載の情報処理装置であって、
前記生成部は、前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理装置。
【請求項９】
請求項７又は８に記載の情報処理装置であって、
前記生成部は、前記プロセスデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記プロセスデータが取り得る値の許容範囲を生成する、
情報処理装置。
【請求項１０】
請求項１乃至９のいずれかに記載の情報処理装置であって、
前記対象システムから過去に計測されたデータから前記モデルを生成するモデル生成部を備えた、
情報処理装置。
【請求項１１】
情報処理装置に、
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成する生成部と、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する検知部と、
を実現させるためのプログラム。
【請求項１２】
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成し、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する、
情報処理方法。
【請求項１３】
請求項１２に記載の情報処理方法であって、
前記モデルと、前記対象システムから少なくとも所定時点よりも過去に計測されたデータと、に基づいて、前記許容範囲を生成し、
前記対象システムから前記所定時点に計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する、
情報処理方法。
【請求項１４】
請求項１３に記載の情報処理方法であって、
前記モデルと、前記対象システムから少なくとも前記所定時点に対して直前に計測されたデータと、に基づいて、前記許容範囲を生成する、
情報処理方法。
【請求項１５】
請求項１２乃至１４のいずれかに記載の情報処理方法であって、
前記対象システムから計測されるデータの取り得る値の予測分布を前記許容範囲として生成する、
情報処理方法。
【請求項１６】
請求項１２乃至１５のいずれかに記載の情報処理方法であって、
前記対象システムから計測されるデータの取り得る値の確率分布を前記許容範囲として生成する、
情報処理方法。
【請求項１７】
請求項１２乃至１６のいずれかに記載の情報処理方法であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理方法。
【請求項１８】
請求項１２乃至１６のいずれかに記載の情報処理方法であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記トラフィックデータを予測するモデルと、少なくとも前記対象システムから計測された前記トラフィックデータと、に基づいて、当該トラフィックデータの取り得る値の許容範囲を生成し、前記プロセスデータを予測するモデルと、少なくとも前記対象システムから計測された前記プロセスデータと、に基づいて、当該プロセスデータの取り得る値の許容範囲を生成する、
情報処理方法。
【請求項１９】
請求項１８に記載の情報処理方法であって、
前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理方法。
【請求項２０】
請求項１８又は１９に記載の情報処理方法であって、
前記プロセスデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記プロセスデータが取り得る値の許容範囲を生成する、
情報処理方法。
【請求項２１】
請求項１２乃至２０のいずれかに記載の情報処理方法であって、
前記対象システムから過去に計測されたデータから前記モデルを生成する、
情報処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、対象システムの状態を監視する情報処理装置、情報処理方法、プログラムに関する。
【背景技術】
【０００２】
近年、様々な分野で情報処理システムが利用されており、システムの故障や外部からの攻撃などの異常状態に迅速に対応する必要がある。このため、情報処理システムの状態を監視することが重要となっている。例えば、システムの物理的な状態を監視して制御する運用制御技術であるＯＴ（Ｏｐｅｒａｔｉｏｎａｌ  Ｔｅｃｈｎｏｌｏｇｙ）システムにおいて、物理系のプロセスデータと、ネットワーク系のトラフィックデータと、を監視することで、対象システムの異常を検知することが行われている。【０００３】
対象システムの異常を検知する方法の一例として、特許文献１や特許文献２に開示の方法がある。特許文献１では、事前に対象システムの状態に応じて許可されるシステム情報を定義したホワイトリストを用意しておく方法が記載されている。かかる方法では、実際に通信される通信データとホワイトリストとを比較することで、対象システムに対する攻撃を検知している。また、特許文献２では、予めネットワーク上を流れるパケットのヘッダパターンとパケットのデータパターンとの異常度合いを学習し、異常を判定するための閾値を設定している。そして、受信したパケットのヘッダパターンとデータパターンとの異常度合いと設定された閾値とに基づいて、当該パケットの異常を判断している。さらに、特許文献２では、上記閾値を変更することも記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】国際公開２０１８／１３４９３９号公報
【特許文献２】特開２０１１−１３５１３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した特許文献１，２に開示の技術では、異常を検知する基準が一定であるため、時々刻々と状態が変化する対象システムにおいては、精度よく異常を検知することが困難である。例えば、特許文献１では、状態毎に設定された各々のホワイトリストは一定であり、特許文献２では、閾値を変更したとしても変更後の閾値は一定である。このように、一定の判断基準で異常を検知する技術では、状況に応じて精度よく対象システムの異常状態を検知することができない、という問題が生じる。そして、かかる問題は、対象システムの異常状態を検知する場合に限らず、対象システムの正常状態、停止状態、高稼働状態、低稼働状態、メンテナンス状態など、あらゆる状態を検知する必要がある場合にも生じる。その結果、状況に応じて精度よく対象システムのあらゆる状態を検知することができない、という問題が生じる。【０００６】
このため、本発明の目的は、上述した課題である、対象システムの状態を精度よく検知することができない、ことを解決することができる情報処理装置を提供することにある。
【課題を解決するための手段】
【０００７】
本発明の一形態である情報処理装置は、
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成する生成部と、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する検知部と、
を備えた、
という構成をとる。【０００８】
また、本発明の一形態であるプログラムは、
情報処理装置に、
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成する生成部と、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する検知部と、
を実現させる、
という構成をとる。【０００９】
また、本発明の一形態である情報処理方法は、
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成し、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する、
という構成をとる。
【発明の効果】
【００１０】
本発明は、以上のように構成されることにより、対象システムの状態を精度よく検知することができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施形態１における情報処理装置の構成を示すブロック図である。
【図２】図１に開示した情報処理装置の各構成による処理の様子を示す図である。
【図３】図１に開示した情報処理装置のトラフィックデータ学習部による処理の様子を示す図である。
【図４】図１に開示した情報処理装置のプロセスデータ学習部による処理の様子を示す図である。
【図５】図１に開示した情報処理装置のトラフィックデータ予測部による処理の様子を示す図である。
【図６】図１に開示した情報処理装置のプロセスデータ予測部による処理の様子を示す図である。
【図７】図１に開示した情報処理装置のトラフィックデータ予測部及びプロセスデータ予測部において、データの許容範囲を生成するときの様子を示す図である。
【図８】図１に開示した対象システムから計測されるデータの一例を示す図である。
【図９】図１に開示した対象システムにおける異常検知処理時の一例を示す図である。
【図１０】図１に開示した対象システムにおける異常検知処理時の一例を示す図である。
【図１１】図１に開示した情報処理装置による学習時の動作を示すフローチャートである。
【図１２】図１に開示した情報処理装置による検知時の動作を示すフローチャートである。
【図１３】本発明の実施形態２における情報処理の構成を示すブロック図である。
【発明を実施するための形態】
【００１２】
＜実施形態１＞
本発明の第１の実施形態を、図１乃至図１１を参照して説明する。図１乃至１０は、情報処理装置の構成を説明するための図であり、図１１乃至図１２は、情報処理装置の動作を説明するための図である。なお、以下では、本発明の構成と動作を併せて説明する。
【００１３】
本発明における情報処理装置１０は、プラントなどの対象システム２０に接続されており、当該対象システム２０の状態を監視するために利用されるものである。なお、対象システム２０は、例えば、複数種類のネットワーク系のデータであるトラフィックデータと、複数種類の物理系のデータであるプロセスデータと、を送出している。具体的に、トラフィックデータは、制御パケットや監視パケットといったパケットデータ自体であり、その計測値は、パケット間隔、パケット頻度、パケット発生時刻、などとなる。また、プロセスデータは、対象システム２０内に設置されたセンサや装置から出力される温度や空調稼働率といった物理量であり、その計測値は、連続値、離散値、微分値、積分値などとなる。
【００１４】
ここで、対象システム２０から送出され、計測されるデータの一例を図８に示す。図８に示すように、対象システム２０からは、トラフィックデータとして、制御パケット１、制御パケット２、監視パケット、が計測され、プロセスデータとして、気温、空調稼働率、が計測される。なお、対象システム２０から計測されるデータは、必ずしもトラフィックデータとプロセスデータとを含むことに限定されない。例えば、対象システム２０は、少なくとも１種類のデータが計測されるシステムであれよい。
【００１５】
上記情報処理装置１０は、演算装置と記憶装置とを備えた１台又は複数台の情報処理装置にて構成される。そして、情報処理装置１０は、図１に示すように、演算装置がプログラムを実行することで構築された、データ計測部１１、トラフィックデータ学習部１２、プロセスデータ学習部１３、トラフィックデータ予測部１４、プロセスデータ予測部１５、トラフィックデータ監視部１６、プロセスデータ監視部１７、を備える。また、情報処理装置１０は、記憶装置に形成された、データ記憶部１８、モデル記憶部１９、を備える。以下、各構成及びその動作について詳述する。
【００１６】
上記データ計測部１１は、対象システム２０から計測されたデータを取得して、データ記憶部１８に記憶すると共に、トラフィックデータ監視部１６とプロセスデータ監視部１７に渡す。データ計測部１１にて取得するデータは、上述したように、図８に示すような複数種類のトラフィックデータと複数種類のプロセスデータである。
【００１７】
上記トラフィックデータ学習部１２及びプロセスデータ学習部１３（モデル生成部）は、まず、対象システム２０から計測された学習用の過去のデータを入力する（図１１のステップＳ１）。そして、トラフィックデータ学習部１２及びプロセスデータ学習部１３は、データの種類毎に、当該対象システム２０にて正常時に計測されるデータを予測するモデルを生成する（図１１のステップＳ２）。そして、トラフィックデータ学習部１２及びプロセスデータ学習部１３は、データの種類毎に生成したモデルを、モデル記憶部１９に記憶する（図１１のステップＳ３）。
【００１８】
具体的に、トラフィックデータ学習部１２は、図２の右図と図３に示すように、まずデータ記憶部１８に記憶された学習用のトラフィックデータＤ１とプロセスデータＤ２とを入力する。このとき、学習用のトラフィックデータＤ１及びプロセスデータＤ２は、対象システム２０を監視している現時点（所定時点）よりも過去に計測されたデータである。例えば、トラフィックデータＤ１として、各種パケットのパケット間隔、パケット頻度、パケット発生時刻、を入力し、プロセスデータＤ２として、各種物理量の連続値、離散値、微分値、積分値、を入力する。
【００１９】
そして、トラフィックデータ学習部１２は、入力したトラフィックデータＤ１とプロセスデータＤ２とに基づいて学習を行い、図７の矢印Ｙ１に示すように、正常時における各種パケットのパケット間隔、パケット頻度、パケット発生時刻といった各値を予測するモデルＭを生成する。その後、トラフィックデータ学習部１２は、生成したモデルＭをモデル記憶部１９に記憶しておく。なお、図７では、一例として、後に計測される値が取り得る値の予測分布つまり確率分布をモデルＭとして生成しているが、いかなるモデルを生成してもよい。また、学習方法は、いかなる方法でもよいが、例えば、線形回帰、確率過程回帰、パーセプトロン、サポートベクトルマシン、深層ニューラルネットワーク、決定木、ルール抽出、がある。なお、トラフィックデータ学習部１２は、学習用のトラフィックデータＤ１のみから学習してモデルＭを生成してもよい。また、上述した学習では、過去の正常時のデータを入力するだけで学習を行い、正常／異常などの状態を示すラベルは不要であり、異常データも不要である。つまり、上述した学習では、いわゆる教師無し学習を行う。
【００２０】
一例として、プロセスデータ学習部１３は、図２の右図と図４とに示すように、まずデータ記憶部１８に記憶された学習用のプロセスデータＤ２を入力する。このとき、学習用のプロセスデータＤ２は、対象システム２０を監視している現時点（所定時点）よりも過去に計測されたデータである。例えば、プロセスデータＤ２として、各種物理量の連続値、離散値、微分値、積分値、を入力する。
【００２１】
そして、プロセスデータ学習部１３も、上述したトラフィックデータ学習部１２と同様に、入力したプロセスデータＤ２に基づいて学習を行い、正常時における各種プロセスデータの連続値などの各値を予測するモデルＭを生成する。その後、プロセスデータ学習部１３は、生成したモデルＭをモデル記憶部１９に記憶しておく。なお、プロセスデータ学習部１３は、学習用のプロセスデータＤ２に加え、学習用のトラフィックデータＤ１も入力して、これらに基づいて学習してモデルＭを生成してもよい。また、プロセスデータ学習部１３は、上述したトラフィックデータ学習部１２と同様に、いかなる学習方法で学習を行ってもよく、いかなるモデルを生成してもよい。
【００２２】
上記トラフィックデータ予測部１４及びプロセスデータ予測部１５（生成部）は、対象システム２０の監視時に作動し、監視している現時点で計測されるデータの取り得る値の許容範囲を表す許容範囲データを生成する。このとき、トラフィックデータ予測部１４及びプロセスデータ予測部１５は、データの種類毎に、生成したモデルＭと、対象システム２０から過去に計測されたデータと、に基づいて、許容範囲データを生成する。
【００２３】
具体的に、トラフィックデータ予測部１４は、図２の左図と図５とに示すように、まず、モデル記憶部１９からモデルＭを読み出す（図１２のステップＳ１１）。これに加え、トラフィックデータ予測部１４は、データ記憶部１８に記憶された検知用のトラフィックデータＤ３とプロセスデータＤ４とを入力する。このとき、検知用のトラフィックデータＤ３及びプロセスデータＤ４としては、対象システム２０を監視している現時点（所定時点）よりも過去に計測されたデータのうち、現時点の直前の所定範囲時間で計測されたデータ（図９の符号Ｒ参照）を入力する（図１２のステップＳ１２）。例えば、トラフィックデータ予測部１４は、トラフィックデータＤ１として、各種パケットのパケット間隔、パケット頻度、パケット発生時刻、を入力し、プロセスデータＤ２として、各種計測値の連続値、離散値、微分値、積分値、を入力する。
【００２４】
そして、トラフィックデータ予測部１４は、モデルＭと検知用のトラフィックデータＤ３及びプロセスデータＤ４とに基づいて、図７の矢印Ｙ２及び矢印３に示すように、各種パケットのパケット間隔、パケット頻度、パケット発生時刻といった各値の取り得る許容範囲を表す許容範囲データＭ１を生成する（図１２のステップＳ１３）。例えば、トラフィックデータ予測部１４は、既存のモデルＭから直前のトラフィックデータＤ３及びプロセスデータＤ４を応じた確率分布を生成する。そして、生成した確率分布全体に対して、図７の許容範囲データＭ１内に示す黒矢印の範囲（点線の範囲）のように、現時点で計測されることが許容される値の範囲を規定した許容範囲データＭ１を生成する。本実施形態では、トラフィックデータ予測部１４は、図５に示すように、パケット頻度の許容範囲、前後のパケットまでの時間間隔の許容範囲、パケットの発生確率、を許容範囲データＭ１として生成する。
【００２５】
ここで、許容範囲データＭ１を生成する一例を、図９を参照して説明する。図９の例では、符号「？」で示す箇所付近を監視する現時点としており、当該現時点の直前範囲Ｒのトラフィックデータとプロセスデータを、許容範囲データＭ１を生成するためのデータとして利用する。このとき、モデルＭや直前範囲Ｒのデータを参照すると、まず、制御パケット１は一定の間隔で出力されており、制御パケット２も制御パケット１からやや送れて一定の間隔で出力されている。また、監視パケットは温度が変化しているときには出力されず、温度が一定のときに出力される。さらに、制御パケット１が頻繁に出力されているときは、空調稼働率は高い値に維持されており、気温は大きく変動している。
【００２６】
上述したようなモデルＭ及び直前範囲Ｒのトラフィックデータやプロセスデータを考慮して、図９（１）の例では、トラフィックデータの制御パケット１の時間間隔の許容範囲、つまり、計測した時間間隔の値が出現する確率の許容範囲、を生成している。例えば、時間間隔が５秒に近いほど出現する確率が高くなり、５秒から離れる値ほど出現する確率が低くなり、所定値よりも低い確率は許容範囲外とする許容範囲データＭ１を生成する。なお、制御パケット１の時間間隔の許容範囲として、異なる他のデータとの時間間隔の許容範囲を生成してもよい。例えば、前回の制御パケット２から制御パケット１が出現するまでの時間間隔の許容範囲を生成してもよい。この場合には、一例として、時間間隔が４．５秒に近いほど出現する確率が高くなり、４．５秒から離れる値ほど出現する確率が低くなり、所定値よりも低い確率は許容範囲外とするような許容範囲データＭ１を生成する。また、図９（２）の例では、トラフィックデータの監視パケットの出現確率の許容範囲を生成している。例えば、出現確率が所定値よりも低い場合は許容範囲外とする許容範囲データＭ１を生成する。
【００２７】
また、具体的に、プロセスデータ予測部１５は、図２の左図と図６とに示すように、まず、モデル記憶部１９からモデルＭを読み出す（図１２のステップＳ１１）。これに加え、プロセスデータ予測部１５は、データ記憶部１８に記憶された検知用のプロセスデータＤ４を入力する。このとき、検知用のプロセスデータＤ４としては、対象システム２０を監視している現時点（所定時点）よりも過去に計測されたデータのうち、現時点の直前の所定範囲時間で計測されたデータ（図９の符号Ｒ参照）を入力する（図１２のステップＳ１２）。例えば、プロセスデータ予測部１５は、プロセスデータＤ２として、各種物理量の連続値、離散値、微分値、積分値、を入力する。
【００２８】
そして、プロセスデータ予測部１５は、モデルＭと検知用のプロセスデータＤ４とに基づいて、上述したトラフィックデータ予測部１４と同様に、図７の矢印Ｙ２及び矢印３に示すように、各種計測値の連続値、離散値、微分値、積分値といった各値の取り得る許容範囲を表す許容範囲データＭ１を生成する（図１２のステップＳ１３）。なお、プロセスデータ予測部１５は、検知用のプロセスデータＤ４に加えて、現時点の直前の検知用のトラフィックデータＤ３も入力して、許容範囲データＭ１を生成してもよい。
【００２９】
そして、プロセスデータ予測部１５は、上述したようなモデルＭ及び直前範囲Ｒのプロセスデータを考慮して、図９（３）の例のように、プロセスデータの気温の値の許容範囲、つまり、計測した気温の値が出現する確率の許容範囲、を生成する。例えば、気温が上がると予想される場合には、気温が所定範囲で上がる場合に高確率とし、上がらない場合に低確率とし、所定値よりも低い確率は許容範囲外とする許容範囲データＭ１を生成する。
【００３０】
上記トラフィックデータ監視部１６及びプロセスデータ監視部１７（検知部）は、図２に示すように、データ計測部１１にて対象システム２０から計測した現時点のデータを取得する。そして、図７の矢印４に示すように、現時点におけるデータＤが、上述したように生成した許容範囲データＭ１における許容範囲にあるか否かを調べ（図１２のステップＳ１４）、対象システムの状態を検知する。このとき、現時点で計測されるデータが許容範囲データＭ１の範囲内である場合には（図１２のステップＳ１４でＹｅｓ）、対象システム２０の状態が正常であると検知し、そのまま監視を継続する。一方、現時点で計測されるデータが許容範囲データＭ１の範囲外である場合には（図１２のステップＳ１４でＮｏ）、計測されたデータが異常であると検知する。そして、トラフィックデータ監視部１６及びプロセスデータ監視部１７は、当該検知結果を用いて、対象システムの状態を検知する（図１２のステップＳ１５）。例えば、トラフィックデータ監視部１６及びプロセスデータ監視部１７は、現時点で計測されたデータが１つでも異常である場合には、対象システム２０の状態が異常であると検知する。但し、トラフィックデータ監視部１６及びプロセスデータ監視部１７は、いかなる方法で対象システム２０の状態を検知してもよい。例えば、異常であると検知されたデータの数が複数に設定された閾値を超えた場合に、対象システム２０の異常を検知してもよい。
【００３１】
また、トラフィックデータ監視部１６及びプロセスデータ監視部１７は、上述したように対象システム２０の異常を検知した場合、外部に報知するなどの予め設定された処理を行ってもよい。外部への報知は対象システムに関する様々な情報を含む。例えば、外部への報知は、対象システムの状態に関する情報や、対象システムの状態に対して行うべき処理の情報等を含む。外部への報知を行うことで、対象システムの監視者等は、報知に応じて適切に処理を行うことが可能となる。
【００３２】
具体的に、トラフィックデータ監視部１６は、対象システム２０を監視している現時点におけるトラフィックデータを取得し、許容範囲データＭ１を参照して、正常か異常かを検知する。図９（１）の例では、トラフィックデータである制御パケット１の時間間隔が、許容範囲データＭ１で設定された許容範囲であるか、つまり、計測した時間間隔の値が出現する確率の許容範囲であるかを調べる。このとき、図１０（１）に示すように、制御パケット１の出現確率が最も高い５秒よりも長い時間出現しなかった場合には、出現確率が０．０１となり、許容範囲外となる。また、図９（２）の例では、トラフィックデータである監視パケットの出現時間が、許容範囲データＭ１で設定された許容範囲であるか、つまり、計測した出現時間の確率が許容範囲であるかを調べる。このとき、図１０（２）に示すように、監視パケットの出現時間が確率の低い時間である場合には、出現確率が０．０１となり、許容範囲外となる。
【００３３】
また、具体的に、プロセスデータ監視部１７は、対象システム２０を監視している現時点におけるプロセスデータを取得し、許容範囲データＭ１を参照して、正常か異常かを検知する。図９（３）の例では、プロセスデータである気温の連続値が、許容範囲データＭ１で設定された許容範囲であるか、つまり、気温の値が出現する確率が許容範囲であるかを調べる。このとき、図１０（３）に示すように、気温の値の出現確率が直前の値に対して上昇した温度ではなく、変化のない温度である場合には、出現確率が０．０１となり、許容範囲外となる。
【００３４】
以上のように、本発明によると、データの値を予測するモデルと、計測されたデータと、に基づいて、データの取り得る値の許容範囲を生成している。そして、対象システム２０から計測されるデータが許容範囲にあるか否かに応じて、対象システム２０の状態を検知している。このため、対象システム２０の状態を判定する基準が、計測されたデータに応じて生成されると共に、その許容範囲が設定される。その結果、対象システム２０の現状を反映した基準に従って所定時点の状態を検知できるため、精度よく検知することができる。また、計測されるデータの許容範囲を設定していることから、単にデータとモデルとの一致／不一致で、データの許可／不許可を判定することがないため、異常状態の検知漏れを抑制することができる。その結果、システムの状況に応じた高精度な監視を行うことができる。
【００３５】
なお、本発明は、上記では、プラントで利用される情報処理システムを監視対象として、かかるシステムの異常を検知するために用いているが、監視対象とする対象システムはいかなる分野で利用される情報処理システムであってもよい。例えば、コンピュータシステムを監視対象とし、基板温度やメモリの使用率などのデータを計測して、その故障や不正攻撃などの異常を検知するために用いてもよい。また、例えば、自動運転車両に搭載される情報処理システムを監視対象とし、速度や操舵角などのデータを計測して、その故障や不正攻撃などの異常を検知するために用いてもよい。
【００３６】
また、上記では、対象システムの正常状態か異常状態かを検知する場合を例示したが、本発明では、それ以外の対象システムの状態を検知してもよい。例えば、対象システムの高稼働状態に関する許容範囲を生成し、対象システムから計測されるデータと高稼動状態に関する許容範囲とに基づいて、対象システムの状態が高稼働状態であるか低稼働状態であるかを検知してもよい。同様に、対象システムの各種運転状態に関する許容範囲や、対象システムのメンテナンス状態に関する許容範囲を生成することで、対象システムの停止状態といった各種運転状態やメンテナンス状態等を検知してもよい。
【００３７】
＜実施形態２＞
次に、本発明の第２の実施形態を、図１３を参照して説明する。図１３は、実施形態２における情報処理装置の構成を示すブロック図である。なお、本実施形態では、実施形態１で説明した情報処理装置の構成の概略を示している。
【００３８】
図１３に示すように、本実施形態おける情報処理装置１００は、
対象システムにて計測されるデータを予測するモデルと、対象システムから計測されたデータと、に基づいて、対象システムから計測されるデータの取り得る値の許容範囲を生成する生成部１１０と、
対象システムから計測されるデータと許容範囲とに基づいて、対象システムの状態を検知する検知部１２０と、
を備える。
【００３９】
なお、上述した生成部１１０と検知部１２０とは、情報処理装置１００が装備する演算装置がプログラムを実行することで構築されるものであってもよく、電子回路で構築されるものであってもよい。
【００４０】
そして、上記構成の情報処理装置１００は、
対象システムにて計測されるデータを予測するモデルと、対象システムから計測されたデータと、に基づいて、対象システムから計測されるデータの取り得る値の許容範囲を生成し、
対象システムから計測されるデータと許容範囲とに基づいて、対象システムの状態を検知する、
という処理を実行するよう作動する。
【００４１】
上記発明によると、データの値を予測するモデルと、計測されたデータと、に基づいて、データの取り得る値の許容範囲を生成し、対象システムから計測されるデータが許容範囲にあるか否かに応じて、対象システムの状態を検知している。このため、対象システムの状態を判定する基準が、計測されたデータに応じて生成されると共に、その許容範囲が設定される。その結果、対象システムの現状を反映した所定範囲の基準に従って当該システムの状態を検知できるため、精度よく検知することができる。
【００４２】
＜付記＞
上記実施形態の一部又は全部は、以下の付記のようにも記載されうる。以下、本発明における情報処理装置、情報処理方法、プログラムの構成の概略を説明する。但し、本発明は、以下の構成に限定されない。
【００４３】
（付記１）
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成する生成部と、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する検知部と、
を備えた情報処理装置。
【００４４】
（付記２）
付記１に記載の情報処理装置であって、
前記生成部は、前記モデルと、前記対象システムから少なくとも所定時点よりも過去に計測されたデータと、に基づいて、前記許容範囲を生成し、
前記検知部は、前記対象システムから前記所定時点に計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する、
情報処理装置。
【００４５】
（付記３）
付記２に記載の情報処理装置であって、
前記生成部は、前記モデルと、前記対象システムから少なくとも前記所定時点に対して直前に計測されたデータと、に基づいて、前記許容範囲を生成する、
情報処理装置。
【００４６】
（付記４）
付記１乃至３のいずれかに記載の情報処理装置であって、
前記生成部は、前記対象システムから計測されるデータの取り得る値の予測分布を前記許容範囲として生成する、
情報処理装置。
【００４７】
（付記５）
付記１乃至４のいずれかに記載の情報処理装置であって、
前記生成部は、前記対象システムから計測されるデータの取り得る値の確率分布を前記許容範囲として生成する、
情報処理装置。
【００４８】
（付記６）
付記１乃至５のいずれかに記載の情報処理装置であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記生成部は、前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理装置。
【００４９】
（付記７）
付記１乃至５のいずれかに記載の情報処理装置であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記生成部は、前記トラフィックデータを予測するモデルと、少なくとも前記対象システムから計測された前記トラフィックデータと、に基づいて、当該トラフィックデータの取り得る値の許容範囲を生成し、前記プロセスデータを予測するモデルと、少なくとも前記対象システムから計測された前記プロセスデータと、に基づいて、当該プロセスデータの取り得る値の許容範囲を生成する、
情報処理装置。
【００５０】
（付記８）
付記７に記載の情報処理装置であって、
前記生成部は、前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理装置。
【００５１】
（付記９）
付記７又は８に記載の情報処理装置であって、
前記生成部は、前記プロセスデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記プロセスデータが取り得る値の許容範囲を生成する、
情報処理装置。
【００５２】
（付記１０）
付記１乃至９のいずれかに記載の情報処理装置であって、
前記対象システムから過去に計測されたデータから前記モデルを生成するモデル生成部を備えた、
情報処理装置。
【００５３】
（付記１１）
情報処理装置に、
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成する生成部と、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する検知部と、
を実現させるためのプログラム。
【００５４】
（付記１２）
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成し、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する、
情報処理方法。
【００５５】
（付記１３）
付記１２に記載の情報処理方法であって、
前記モデルと、前記対象システムから少なくとも所定時点よりも過去に計測されたデータと、に基づいて、前記許容範囲を生成し、
前記対象システムから前記所定時点に計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する、
情報処理方法。
【００５６】
（付記１４）
付記１３に記載の情報処理方法であって、
前記モデルと、前記対象システムから少なくとも前記所定時点に対して直前に計測されたデータと、に基づいて、前記許容範囲を生成する、
情報処理方法。
【００５７】
（付記１５）
付記１２乃至１４のいずれかに記載の情報処理方法であって、
前記対象システムから計測されるデータの取り得る値の予測分布を前記許容範囲として生成する、
情報処理方法。
【００５８】
（付記１６）
付記１２乃至１５のいずれかに記載の情報処理方法であって、
前記対象システムから計測されるデータの取り得る値の確率分布を前記許容範囲として生成する、
情報処理方法。
【００５９】
（付記１７）
付記１２乃至１６のいずれかに記載の情報処理方法であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理方法。
【００６０】
（付記１８）
付記１２乃至１６のいずれかに記載の情報処理方法であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記トラフィックデータを予測するモデルと、少なくとも前記対象システムから計測された前記トラフィックデータと、に基づいて、当該トラフィックデータの取り得る値の許容範囲を生成し、前記プロセスデータを予測するモデルと、少なくとも前記対象システムから計測された前記プロセスデータと、に基づいて、当該プロセスデータの取り得る値の許容範囲を生成する、
情報処理方法。
【００６１】
（付記１９）
付記１８に記載の情報処理方法であって、
前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理方法。
【００６２】
（付記２０）
付記１８又は１９に記載の情報処理方法であって、
前記プロセスデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記プロセスデータが取り得る値の許容範囲を生成する、
情報処理方法。
【００６３】
（付記２１）
付記１２乃至２０のいずれかに記載の情報処理方法であって、
前記対象システムから過去に計測されたデータから前記モデルを生成する、
情報処理方法。
【００６４】
なお、上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ−ＲＯＭ（Read Only Memory）、ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
【００６５】
以上、上記実施形態等を参照して本願発明を説明したが、本願発明は、上述した実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明の範囲内で当業者が理解しうる様々な変更をすることができる。
【符号の説明】
【００６６】
１０  情報処理装置
１１  データ計測部
１２  トラフィックデータ学習部
１３  プロセスデータ学習部
１４  トラフィックデータ予測部
１５  プロセスデータ予測部
１６  トラフィックデータ監視部
１７  プロセスデータ監視部
１８  データ記憶部
１９  モデル記憶部
１００  情報処理装置
１１０  生成部
１２０  検知部
Ｄ１  トラフィックデータ（学習用）
Ｄ２  プロセスデータ（学習用）
Ｄ３  トラフィックデータ（検知用）
Ｄ４  プロセスデータ（検知用）
Ｍ  モデル
Ｍ１  許容範囲データ
【図１】
2020089968.tif 000003
【図２】
2020089968.tif 000004
【図３】
2020089968.tif 000005
【図４】
2020089968.tif 000006
【図５】
2020089968.tif 000007
【図６】
2020089968.tif 000008
【図７】
2020089968.tif 000009
【図８】
2020089968.tif 000010
【図９】
2020089968.tif 000011
【図１０】
2020089968.tif 000012
【図１１】
2020089968.tif 000013
【図１２】
2020089968.tif 000014
【図１３】
2020089968.tif 000015
【手続補正書】
【提出日】令和3年4月1日(2021.4.1)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成する生成部と、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する検知部と、
を備えた情報処理装置。
【請求項２】
請求項１に記載の情報処理装置であって、
前記生成部は、前記モデルと、前記対象システムから少なくとも所定時点よりも過去に計測されたデータと、に基づいて、前記許容範囲を生成し、
前記検知部は、前記対象システムから前記所定時点に計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する、
情報処理装置。
【請求項３】
請求項２に記載の情報処理装置であって、
前記生成部は、前記モデルと、前記対象システムから少なくとも前記所定時点に対して直前に計測されたデータと、に基づいて、前記許容範囲を生成する、
情報処理装置。
【請求項４】
請求項１乃至３のいずれかに記載の情報処理装置であって、
前記生成部は、前記対象システムから計測されるデータの取り得る値の予測分布を前記許容範囲として生成する、
情報処理装置。
【請求項５】
請求項１乃至４のいずれかに記載の情報処理装置であって、
前記生成部は、前記対象システムから計測されるデータの取り得る値の確率分布を前記許容範囲として生成する、
情報処理装置。
【請求項６】
請求項１乃至５のいずれかに記載の情報処理装置であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記生成部は、前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理装置。
【請求項７】
請求項１乃至５のいずれかに記載の情報処理装置であって、
前記対象システムにて計測されるデータは、パケットデータ自体であるトラフィックデータと、物理量を表すプロセスデータと、からなり、
前記生成部は、前記トラフィックデータを予測するモデルと、少なくとも前記対象システムから計測された前記トラフィックデータと、に基づいて、当該トラフィックデータの取り得る値の許容範囲を生成し、前記プロセスデータを予測するモデルと、少なくとも前記対象システムから計測された前記プロセスデータと、に基づいて、当該プロセスデータの取り得る値の許容範囲を生成する、
情報処理装置。
【請求項８】
請求項７に記載の情報処理装置であって、
前記生成部は、前記トラフィックデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記トラフィックデータの取り得る値の許容範囲を生成する、
情報処理装置。
【請求項９】
請求項７又は８に記載の情報処理装置であって、
前記生成部は、前記プロセスデータを予測するモデルと、前記対象システムから計測された前記トラフィックデータと、前記対象システムから計測された前記プロセスデータと、に基づいて、前記プロセスデータが取り得る値の許容範囲を生成する、
情報処理装置。
【請求項１０】
対象システムにて計測されるデータを予測するモデルと、前記対象システムから計測されたデータと、に基づいて、前記対象システムから計測されるデータの取り得る値の許容範囲を生成し、
前記対象システムから計測されるデータと前記許容範囲とに基づいて、前記対象システムの状態を検知する、
情報処理方法。
【国際調査報告】
2020089968.tif 000016
2020089968.tif 000017
2020089968.tif 000018