特許 7192155 異常検知サーバ、異常検知システム、及び異常検知方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2022-12-09

(45)【発行日】2022-12-19

(54)【発明の名称】異常検知サーバ、異常検知システム、及び異常検知方法

(51)【国際特許分類】

   H04L 43/02 20220101AFI20221212BHJP

【ＦＩ】

H04L43/02

【請求項の数】 9

(21)【出願番号】P 2022041894

(22)【出願日】2022-03-16

【審査請求日】2022-03-16

(73)【特許権者】

【識別番号】501440684

【氏名又は名称】ソフトバンク株式会社

(74)【代理人】

【識別番号】100099759

【弁理士】

【氏名又は名称】青木 篤

(74)【代理人】

【識別番号】100123582

【弁理士】

【氏名又は名称】三橋 真二

(74)【代理人】

【識別番号】100114018

【弁理士】

【氏名又は名称】南山 知広

(74)【代理人】

【識別番号】100180806

【弁理士】

【氏名又は名称】三浦 剛

(74)【代理人】

【識別番号】100151459

【弁理士】

【氏名又は名称】中村 健一

(72)【発明者】

【氏名】廉 キン

(72)【発明者】

【氏名】董 祺晟

【審査官】浦口 幸宏

(56)【参考文献】

【文献】特開２０１９－１６８８６９（ＪＰ，Ａ）

【文献】特開２０１４－１４６１９７（ＪＰ，Ａ）

【文献】飯田巨樹，ネットワーク／セキュリティ／ストレージ ３つの視点で見るリモート管理のポイント 第１部 ネットワークの管理／監視，N+I NETWORK Guide 2004年1月号，ソフトバンクパブリッシング株式会社，2004年01月01日，第4巻，第1号，通巻32号，pp.84～92

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４３／０２

(57)【特許請求の範囲】

【請求項1】

ネットワークを介して、複数の通信機器のそれぞれから、起動時に作成されるログ情報である起動ログ情報を取得する取得部と、
取得した前記起動ログ情報が、通信機器が起動された原因が異常に基づくものではない場合は、異常検知の対象から除外する除外処理部と、
前記除外処理部により除外されなかった残りの起動ログ情報の数を所定期間毎に計数する計数部と、
計数された起動ログ情報の数を所定の閾値と比較することにより、ネットワークの異常の有無を判断する異常判断部と、
前記異常判断部の判断結果を出力する出力部と、
を有することを特徴とする異常検知サーバ。

【請求項2】

前記除外処理部は、通信機器が起動された原因が予め判明している起動ログ情報を異常検知の対象から除外する、請求項１に記載の異常検知サーバ。

【請求項3】

前記除外処理部は、少なくとも、通信機器が強制的に起動された場合、通信機器のファームウエアが変更された場合、あるいは通信機器のモードまたはバンドが変更された場合に作成された起動ログ情報を異常検知の対象から除外する、請求項１または２に記載の異常検知サーバ。

【請求項4】

前記除外処理部は、通信機器のユーザの生活習慣に基づいて作成された起動ログ情報を異常検知の対象から除外する、請求項１乃至３のいずれか一項に記載の異常検知サーバ。

【請求項5】

前記除外処理部は、所定の期間に渡って取得した起動ログ情報に基づいて、ユーザの生活習慣に基づいて作成された起動ログ情報の時間的なパターンを機械学習により学習する、請求項４に記載の異常検知サーバ。

【請求項6】

前記異常判断部は、平均的な値からの乖離度に基づいて異常の有無を判断する、請求項１乃至５のいずれか一項に記載の異常検知サーバ。

【請求項7】

停電が発生した場合に取得した起動ログ情報に基づいて、停電に基づく異常の有無を推定する停電異常推定部をさらに有する、請求項１乃至６のいずれか一項に記載の異常検知サーバ。

【請求項8】

複数の通信機器、及び該複数の通信機器とネットワークを介して接続されたサーバを有する異常検知システムであって、
前記複数の通信機器は、それぞれ、
起動時に起動ログ情報を作成する起動ログ情報作成部と、
前記起動ログ情報を送信する送受信部と、を有し、
前記サーバは、
前記複数の通信機器のそれぞれから、前記起動ログ情報を取得する取得部と、
取得した前記起動ログ情報が、通信機器が起動された原因が異常に基づくものではない場合は、異常検知の対象から除外する除外処理部と、
前記除外処理部により除外されなかった残りの起動ログ情報の数を所定期間毎に計数する計数部と、
計数された起動ログ情報の数を所定の閾値と比較することにより、ネットワークの異常の有無を判断する異常判断部と、
前記異常判断部の判断結果を出力する出力部と、を有する、
ことを特徴とする異常検知システム。

【請求項9】

取得部が、ネットワークを介して、複数の通信機器のそれぞれから、起動時に作成されるログ情報である起動ログ情報を取得し、
除外処理部が、取得した前記起動ログ情報が、通信機器が起動された原因が異常に基づくものではない場合は、異常検知の対象から除外し、
計数部が、前記除外処理部により除外されなかった残りの起動ログ情報の数を所定期間毎に計数し、
異常判断部が、計数された起動ログ情報の数を所定の閾値と比較することにより、ネットワークの異常の有無を判断し、
出力部が、前記異常判断部の判断結果を出力する、
ことを特徴とする異常検知方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、異常検知サーバ、異常検知システム、及び異常検知方法に関する。

【背景技術】

【0002】

これまでに、ネットワーク上の異常を検知した際に、その異常の内容について判定可能な通信解析方法が知られている（例えば、特許文献１）。特許文献１に記載された通信解析方法は、ネットワーク装置で発生した情報から、異常検知の対象となる条件情報に該当する解析対象情報を抽出し、抽出した解析対象情報に基づいて特徴量を生成し、特徴量に基づいて検知した検知結果に基づき、ネットワークで発生した異常の内容を判定するものである。

【0003】

しかしながら、特許文献１に記載の通信解析方法においては、ネットワークの異常を検知するための特徴量を新たに生成する必要があり、ネットワークの異常を検知するための工数が増加し、ネットワークで発生した異常を迅速に検知することが難しいという問題があった。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０１９－８０２０１号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

本開示の一実施形態に係る異常検知サーバ、異常検知システム、及び異常検知方法は、ネットワークまたは通信機器の異常を迅速に検知することを目的とする。

【課題を解決するための手段】

【0006】

本開示の一実施形態に係る異常検知サーバは、ネットワークを介して、複数の通信機器のそれぞれから、起動時に作成されるログ情報である起動ログ情報を取得する取得部と、取得した起動ログ情報が、通信機器が起動された原因が異常に基づくものではない場合は、異常検知の対象から除外する除外処理部と、除外処理部により除外されなかった残りの起動ログ情報の数を所定期間毎に計数する計数部と、計数された起動ログ情報の数を所定の閾値と比較することにより、ネットワークの異常の有無を判断する異常判断部と、異常判断部の判断結果を出力する出力部と、を有することを特徴とする。

【0007】

本開示の一実施形態に係る異常検知サーバにおいて、除外処理部は、通信機器が起動された原因が予め判明している起動ログ情報を異常検知の対象から除外してよい。

【0008】

本開示の一実施形態に係る異常検知サーバにおいて、除外処理部は、少なくとも、通信機器が強制的に起動された場合、通信機器のファームウエアが変更された場合、あるいは通信機器のモードまたはバンドが変更された場合に作成された起動ログ情報を異常検知の対象から除外してよい。

【0009】

本開示の一実施形態に係る異常検知サーバにおいて、除外処理部は、通信機器のユーザの生活習慣に基づいて作成された起動ログ情報を異常検知の対象から除外してよい。

【0010】

本開示の一実施形態に係る異常検知サーバにおいて、除外処理部は、所定の期間に渡って取得した起動ログ情報に基づいて、ユーザの生活習慣に基づいて作成された起動ログ情報の時間的なパターンを機械学習により学習することが好ましい。

【0011】

本開示の一実施形態に係る異常検知サーバにおいて、異常判断部は、平均的な値からの乖離度に基づいて異常の有無を判断してよい。

【0012】

本開示の一実施形態に係る異常検知サーバにおいて、停電が発生した場合に取得した起動ログ情報に基づいて、停電に基づく異常の有無を推定する停電異常推定部をさらに有してよい。

【0013】

本開示の一実施形態に係る異常検知システムは、複数の通信機器、及び該複数の通信機器とネットワークを介して接続されたサーバを有する異常検知システムであって、複数の通信機器は、それぞれ、起動時に起動ログ情報を作成する起動ログ情報作成部と、起動ログ情報を送信する送受信部と、を有し、サーバは、複数の通信機器のそれぞれから、起動ログ情報を取得する取得部と、取得した起動ログ情報が、通信機器が起動された原因が異常に基づくものではない場合は、異常検知の対象から除外する除外処理部と、除外処理部により除外されなかった残りの起動ログ情報の数を所定期間毎に計数する計数部と、計数された起動ログ情報の数を所定の閾値と比較することにより、ネットワークの異常の有無を判断する異常判断部と、異常判断部の判断結果を出力する出力部と、を有することを特徴とする。

【0014】

本開示の一実施形態に係る異常検知方法は、取得部が、ネットワークを介して、複数の通信機器のそれぞれから、起動時に作成されるログ情報である起動ログ情報を取得し、除外処理部が、取得した起動ログ情報が、通信機器が起動された原因が異常に基づくものではない場合は、異常検知の対象から除外し、計数部が、除外処理部により除外されなかった残りの起動ログ情報の数を所定期間毎に計数し、異常判断部が、計数された起動ログ情報の数を所定の閾値と比較することにより、ネットワークの異常の有無を判断し、出力部が、異常判断部の判断結果を出力することを特徴とする。

【発明の効果】

【0015】

本開示の一実施形態に係る異常検知サーバ、異常検知システム、及び異常検知方法によれば、ネットワークまたは通信機器の異常を迅速に検知することができる。

【図面の簡単な説明】

【0016】

【図1】本開示の一実施形態に係る異常検知システムの構成概略図である。

【図2】本開示の一実施形態に係る異常検知システムを用いて検出された起動ログ情報の数の経時的変化の例を示すグラフである。

【図3】本開示の一実施形態に係る異常検知システムを構成する通信機器の構成ブロック図である。

【図4】本開示の一実施形態に係る異常検知システムにおいて、サーバが通信機器から取得した起動ログ情報の一覧表の例である。

【図5】本開示の一実施形態に係る異常検知システムにおいて、サーバが通信機器から取得する起動ログ情報のうち、ユーザの生活習慣に基づく起動ログ情報の数と時間との関係を表すグラフの例である。

【図6】本開示の一実施形態に係る異常検知システムにおいて、取得した起動ログ情報の数を正規分布に当てはめた場合の例を示すグラフである。

【図7】本開示の一実施形態に係る異常検知システムを用いて検出された各通信機器ごとの異常検知結果の出力例である。

【図8】本開示の一実施形態に係る異常検知システムの動作手順を説明するためのフローチャートである。

【図9】本開示の一実施形態に係る異常検知システムを用いて検出された複数の地域及び機種についての異常と判断された起動ログ情報の数の一覧表を示し、（ａ）は、特定のある日における検出結果であり、（ｂ）は、特定のある日とは異なる別の日における検出結果である。

【発明を実施するための形態】

【0017】

以下、図面を参照して、本発明に係る異常検知サーバ、異常検知システム、及び異常検知方法について説明する。ただし、本発明の技術的範囲はそれらの実施の形態には限定されず、特許請求の範囲に記載された発明とその均等物に及ぶ点に留意されたい。

【0018】

まず、本開示の実施例１に係る異常検知システムの概要について説明する。図１に本開示の一実施形態に係る異常検知システム１０００の構成概略図を示す。異常検知システム１０００は、複数の通信機器２０、及び複数の通信機器２０とネットワーク３０を介して接続された異常検知サーバ（以下、単に「サーバ」という。）１０を有する。

【0019】

複数の通信機器２０は、例えば、ＷｉＦｉルータ２０ａ、固定電話用通信機器２０ｂ、及びブロードバンドルータ２０ｃである。ただし、通信機器２０は、これらの例には限定されない。

【0020】

複数の通信機器２０は、複数の端末４０との間で通信を行う。端末４０は、例えば、スマートフォン等の携帯端末、デスクトップパソコンやノートパソコン等のコンピュータ、及び固定電話等である。

【0021】

通信機器２０が起動（再起動）すると、起動が行われたことを示す情報である「起動ログ情報」が作成され、サーバ１０へ送信される。サーバ１０は、起動ログ情報を収集することにより、いつ、どの通信機器が再起動されたのかを認識することができる。

【0022】

図２に、本開示の一実施形態に係る異常検知システム１０００を用いて検出された起動ログ情報の数の経時的変化の例を示す。図２に示した例では、２月２日の１２時頃に起動ログ情報の数が急増しており、何らかの異常が生じていることが推測される。しかしながら、通信機器２０の再起動がサーバ１０側からの遠隔操作により行われた場合等、通信機器２０が再起動された原因が判明している場合は、異常検知の対象ではないものとして、その件数を検出された起動ログ情報の数から除外する必要がある。本開示の一実施形態に係る異常検知システム１０００は、起動ログ情報の数を解析することにより、ネットワーク３０または通信機器２０の異常の有無を判断するものである。

【0023】

通信機器２０が再起動されるケースとして、再起動の原因が判明しているケースと、再起動の原因が判明していないケースがある。再起動の原因が判明しているケースとしては、通信機器を駆動するためのアプリケーションソフトの更新等のために遠隔操作により意図的に再起動させる場合や、ファームウエアの更新後に、ユーザが操作して通信機器２０を再起動させる場合等がある。また、通信のモードやバンドが変更された場合にも、ユーザが通信機器２０を再起動させる場合がある。これらの場合においては、アプリケーションソフトの更新やファームウエアの更新等は、サーバ１０側等で管理しているため、通信機器２０が再起動する原因は予め判明していることになる。

【0024】

通信機器２０の再起動の原因が判明していないケースには、ネットワークや通信機器の異常に基づいて再起動が行われるケースと、ネットワークや通信機器は正常に動作していても再起動が行われるケース、即ち、通信機器が起動された原因が異常に基づくものではないものと推定されるケースがある。なお、再起動の原因が判明していないケースには、ネットワーク管理者にとって再起動の原因の把握が困難なケースを含む。例えば、通信機器内に何らかの異常が発生して、内蔵されたウォッチドッグタイマの動作により通信機器が自動停止した場合、通常、ウォッチドッグタイマが動作したことを示す信号は通信機器の外部には出力されず、かつネットワーク管理者がすべての通信機器のウォッチドッグタイマの仕様を事前に詳細に把握しておくことは困難なため、再起動の原因が判明していないケースに該当する。

【0025】

ネットワークや通信機器は正常に動作していても再起動が行われるケースとして、ユーザが、端末４０を使用していない場合には通信機器２０の電源をＯＦＦして、端末４０の使用時に電源をＯＮするケースがある。このように、ユーザが通信機器２０の電源をＯＮさせた場合に起動ログが作成され、起動ログ情報がサーバ１０に送信される。例えば、ユーザは朝９時ごろに職務で使用する端末４０を使用するために通信機器２０の電源をＯＮする場合が考えられる。また、ユーザは帰宅後に自宅の端末４０を使用するために自宅の通信機器２０の端末の電源をＯＮする場合が考えられる。そのため、これらの場合にサーバ１０が通信機器２０から取得する起動ログ情報の数の時間的変化は、ユーザの生活リズムを反映したパターンとなることが推定される。このようにユーザの生活パターンに基づいて作成された起動ログ情報は、ネットワークや通信機器の異常が原因で作成されたものではないため、異常検知の対象とはならないものとして、サーバ１０が通信機器２０から取得した起動ログ情報から除外する必要がある。

【0026】

以上の起動ログ情報は、予め通信機器２０の起動の原因が判明しているもの、あるいは、通信機器２０が起動された原因が異常に基づくものではないものと推定されるものである。このような起動ログ情報とは別に所定数以上の起動ログ情報をサーバ１０が通信機器２０から受信した場合は、ネットワーク３０または通信機器２０に何らかの異常が生じていることが推定される。

【0027】

ネットワーク３０または通信機器２０に何らかの異常が生じると、ユーザ自身が通信機器２０の再起動を行うと考えられる。例えば、ネットワークにおいて遅延が生じたり、通信速度が低下したりした場合には、通信機器２０を再起動させることで解消する場合もあるため、ユーザは再起動を試みると考えられる。

【0028】

その他、通信機器２０は、一般的に、端末４０とは異なり、コンセントから電源を取っている場合が多い。そのため、例えば、停電等により電力の供給が停止した場合、通信機器２０は動作を停止し、その後、電力が復帰すると、通信機器２０は起動（再起動）される。

【0029】

本開示の実施形態に係る異常検知システム１０００は、このような原因不明の起動ログ情報を検知し、通信機器２０の異常を検出するものである。サーバ１０は通信機器２０から起動ログ情報を取得し、取得した起動ログ情報から通信機器２０が起動された原因が異常に基づくものではない起動ログ情報を除外した残りの起動ログ情報の数を所定の基準値と比較することにより、ネットワーク３０または通信機器２０の異常の有無を迅速に判断することができる。

【0030】

（通信機器）
次に、本開示の実施例１に係る異常検知システムを構成する通信機器２０について説明する。図３に、通信機器２０の構成ブロック図を示す。通信機器２０は、送受信部２１と、制御部２２と、起動ログ情報作成部２３と、記憶部２４と、を有する。

【0031】

送受信部２１は、ネットワーク３０を介してサーバ１０との間でデータの送受信を行うとともに、端末４０との間で通信を行う。特に、送受信部２１は、サーバ１０に対して起動ログ情報を送信する。

【0032】

制御部２２は、ＣＰＵ等のプロセッサにより記憶部２４に記憶されたプログラムを実行することにより、通信機器２０の動作を制御する。

【0033】

起動ログ情報作成部２３は、通信機器２０の起動時に起動ログ情報を作成する。起動ログ情報の詳細については後述する。

【0034】

記憶部２４は、半導体メモリ等の記憶装置である。記憶部２４は、通信機器２０を制御するためのプログラムを記憶している。

【0035】

（異常検知サーバ）
次に、本開示の実施形態に係る異常検知サーバについて説明する。図１に示すように、異常検知サーバ１０は、制御部１１と、送受信部６と、記憶部７と、計時部８と、表示部９と、出力部５と、を有し、これらはバス１２により接続されている。

【0036】

送受信部６は、ネットワーク３０を介して通信機器２０との間でデータの送受信を行う。特に、送受信部６は、通信機器２０から起動ログ情報を取得する。

【0037】

記憶部７は、半導体メモリやハードディスク等の記憶装置である。記憶部７は、通信機器２０から受信した起動ログ情報を記憶する。さらに、記憶部７は、サーバ１０を制御するためのプログラムを記憶している。

【0038】

計時部８は、現在時刻を出力するモジュールである。送受信部６が通信機器２０から起動ログ情報を受信した日時は、計時部８から取得された現在時刻に基づいて設定され、起動ログ情報と共に記憶部７に記憶されてよい。

【0039】

表示部９は、液晶表示装置や有機ＥＬ表示装置等の表示装置である。表示部９は、出力部５から出力された通信機器２０及びネットワーク３０の異常検知結果を表示する。

【0040】

出力部５は、通信機器２０またはネットワーク３０の異常検知結果を、送受信部６を介して、通信機器２０、又はネットワーク管理者等に異常検知を通知するための機器に出力するようにしてよい。

【0041】

制御部１１は、取得部１と、除外処理部２と、計数部３と、異常判断部４と、を有し、これらは、サーバ１０に設けられたＣＰＵ等のプロセッサにより記憶部７に記憶されたプログラムを実行することにより実現される。

【0042】

取得部１は、ネットワーク３０を介して、複数の通信機器２０のそれぞれから、起動時に作成されるログ情報である起動ログ情報を取得する。起動ログ情報には、起動ログ情報を送信した通信機器の識別番号、及び通信機器２０が再起動された原因が判明している場合には、その原因に関する情報が含まれてよい。例えば、アプリケーションソフトの更新等のために遠隔操作により再起動する場合、及びファームウエアの更新後や通信のモードやバンドが変更された場合等において、通信機器２０が再起動されたときに、その原因に関する情報が起動ログ情報に含まれてよい。

【0043】

図４に、本開示の一実施形態に係る異常検知システム１０００において、サーバ１０が通信機器２０から取得した起動ログ情報の一覧表１００の例を示す。起動ログ情報の一覧表１００には、区間１０１、ＩＤ１０２、通信機器の種別１０３、取得時刻１０４、再起動の原因１０５、除外対象フラグ１０６、積算値１０７のそれぞれの情報が含まれてよい。

【0044】

区間１０１は、例えば、起動ログ情報の取得を３０分ごとに集計する場合に、１日の何番目の区間に相当するかを示すものである。図４に示した例では、ある日の０時０分０秒（００：００：００）から３０分間の区間１０１を「区間１」とし、その次の３０分間の区間１０１を「区間２」とする例を示している。ただし、起動ログ情報を集計する期間は、３０分間には限定されず、任意の期間に設定してよい。

【0045】

ＩＤ１０２は、取得した起動ログ情報の識別番号である。例えば、時刻「００：００：０５」に最初の起動ログ情報を取得した場合は、その起動ログ情報のＩＤ１０２を「０００１」としてよい。その後に取得した起動ログ情報のＩＤ１０２には連続した番号を付してよい。例えば、図４に示した例では区間１０１が「１」の区間では、合計２１０個の起動ログ情報を取得したことを示している。

【0046】

通信機器の種別１０３は、起動ログ情報を送信した通信機器の種別を示してよい。例えば、図４に示した例では、最初（ＩＤ「０００１」）にＷｉＦｉルータ２０ａから起動ログ情報を取得し、２番目（ＩＤ「０００２」）に固定電話用通信機器２０ｂから起動ログ情報を取得し、３番目（ＩＤ「０００３」）にブロードバンド（ＢＢ）ルータ２０ｃから起動ログ情報を取得した例を示している、ただし、このような例には限られず、通信機器の種別だけでなく、固有の機種識別番号や通信機器２０が設置された位置に関する情報等を起動ログ情報に含めて取得するようにしてよい。

【0047】

取得時刻１０４は、送受信部６が通信機器２０から起動ログ情報を受信した際に、計時部８から取得された現在時刻に基づいて設定されてよい。

【0048】

再起動の原因１０５は、再起動の原因が予め判明している場合はその原因を記録し、予め判明している原因に該当しない場合は、空欄（図４では「－－－」と表示）としてよい。例えば、ＩＤ「０００１」の起動ログ情報をＷｉＦｉルータ２０ａから取得する直前に、リモート操作でＷｉＦｉルータ２０ａを再起動させた場合には、再起動の原因１０５を「リモート操作による再起動」としてよい。また、ＩＤ「０００３」の起動ログ情報をＢＢルータ２０ｃから取得する前に、ファームウエアの更新がなされた場合には、ユーザがＢＢルータ２０ｃを再起動させたものと推定されるため、再起動の原因１０５を「ファームウエアの更新後の再起動」としてよい。再起動の原因が予め判明していない場合には、ユーザの通常の生活習慣に基づいて通信機器が再起動された場合（通信機器２０が起動された原因が異常に基づくものではないものと推定される場合）と、通信機器に異常が生じて再起動された場合が含まれると推定される。

【0049】

（異常検知の対象外の起動ログ情報の除外方法）
除外処理部２は、取得した起動ログ情報が、通信機器２０が起動された原因が異常に基づくものではない場合は、異常検知の対象から除外する。除外処理部２は、通信機器２０が起動された原因が予め判明している起動ログ情報を除外してよい。図１に示すように、除外処理部２は、第１除外処理部２ａと、第２除外処理部２ｂと、を備えてよい。

【0050】

第１除外処理部２ａは、少なくとも、通信機器２０が強制的に起動された場合、通信機器２０のファームウエアが変更された場合、あるいは通信機器２０のモードまたはバンドが変更された場合に作成された起動ログ情報を除外してよい。上述したように、これらの起動ログ情報は、作成された原因が判明しているため、ネットワークの異常に起因したものではないものと判断することができるため、異常検知の対象とする起動ログ情報から除外するものである。ただし、これらに限られず、作成された原因が判明している起動ログ情報であれば、異常検知の対象から除外してよい。

【0051】

このように、除外処理部２は、取得した起動ログ情報が、起動された原因が予め判明している起動ログ情報である場合は、異常検知の対象から除外する。例えば、図４に示すように、ＩＤが「０００１」及び「０００３」の起動ログ情報は、再起動の原因が判明してため、除外対象フラグ１０６を立てて、除外する起動ログ情報であることを明示してよい。

【0052】

上記のようにして所定期間内に集計された起動ログ情報から、作成された原因が判明している起動ログ情報が除外されたものには、ネットワークまたは通信機器の異常に基づいて再起動された際に作成された起動ログ情報と、ユーザの生活習慣に基づいて通信機器が再起動された際に作成された起動ログ情報（通信機器２０が起動された原因が異常に基づくものではないものと推定される起動ログ情報）とが含まれる。

【0053】

そこで、第２除外処理部２ｂは、通信機器２０のユーザの生活習慣に基づいて作成された起動ログ情報を除外してよい。

【0054】

図５に、本開示の一実施形態に係る異常検知システムにおいて、サーバ１０が通信機器２０から取得する起動ログ情報のうち、ユーザの生活習慣に基づく起動ログ情報の数と時間との関係を表すグラフの例を示す。曲線Ｌｗは平日における起動ログ情報の数の時間的変化を表し、曲線Ｌｈは休日における起動ログ情報の数の時間的変化を表している。

【0055】

平日においては、曲線Ｌｗで示すように、ユーザは午前９時ごろに職務で使用する端末４０を使用するために通信機器２０の電源をＯＮする場合が多いと考えられるため、起動ログ情報の数が午前９時ごろに第１のピークＰ１を示す。また、ユーザは帰宅後に自宅の端末４０を使用するために自宅の通信機器２０の端末の電源をＯＮする場合が多いと考えられるため、起動ログ情報の数が１８時ごろに第２のピークＰ２を示す。

【0056】

一方、休日においては、曲線Ｌｈで示すように、ユーザは平日より遅い時間帯に端末４０の操作を行うために通信機器２０を起動させ、曲線Ｌｗよりなだらかに起動ログ情報の数が増加する。このように、ユーザの生活習慣に基づいて作成される起動ログ情報は、平日と休日とでは異なった変化を呈すると考えられる。

【0057】

除外処理部２は、所定の期間に渡って取得した起動ログ情報に基づいて、ユーザの生活習慣に基づいて作成された起動ログ情報の時間的なパターンを機械学習により学習してよい。このような構成とすることにより、平日及び休日のそれぞれにおける起動ログ情報の数を所定の期間に渡って収集し、機械学習や統計処理によって、通常作成されると予想される起動ログ情報の数を推定することができる。

【0058】

以上のようにして、所定の期間に渡って取得した起動ログ情報から、第１除外処理部２ａ及び第２除外処理部２ｂによって除外された残り（残渣）の起動ログ情報がネットワークまたは通信機器の異常に起因して作成された起動ログ情報であると判断することができる。

【0059】

計数部３は、除外処理部２の第１除外処理部２ａ及び第２除外処理部２ｂにより除外されなかった残りの起動ログ情報の数を所定期間毎に計数する。例えば、図４において、区間「１」において、ＩＤ「０００１」の起動ログ情報は、再起動された原因が予め判明している起動ログ情報であるため、異常検知の対象からは除外され、積算値には含めず、積算値１０７は「０」となる。一方、ＩＤ「０００２」の起動ログ情報は、再起動された原因が予め判明していない起動ログ情報であるため、異常検知の対象に含めるため、積算されて積算値１０７は「１」となる。また、ＩＤ「０００３」の起動ログ情報は、再起動された原因が予め判明している起動ログ情報であるため、異常検知の対象からは除外され、積算値には含めず、積算値１０７は「１」のままとなる。

【0060】

以下、同様にして、異常検知の対象となる起動ログ情報の積算を所定期間毎に行う。図４に示した例では、区間「１」において、２１０個の起動ログ情報を取得し、第１除外処理部２ａ及び第２除外処理部２ｂにより除外されなかった残りの起動ログ情報の数が、異常検知の対象となる起動ログ情報の数であり、図４においては３８個であった例を示している。なお、次の区間「２」は、積算値の初期値を「０」にリセットしてから積算を開始してよい。なお、積算値は、所定期間における通信機器の種別ごとに積算して求めてもよい。

【0061】

サーバ１０が、所定期間において、複数の通信機器２０から取得した起動ログ情報の総数をＳｔ、第１除外処理部２ａ及び第２除外処理部２ｂが除外する起動ログ情報をそれぞれＳ１、Ｓ２とすると、異常検知の対象とする起動ログ情報の数Ｓａは、Ｓａ＝Ｓｔ－Ｓ１－Ｓ２により算出される。

【0062】

異常判断部４は、上記のようにして計数された起動ログ情報の数を所定の閾値と比較することにより、ネットワークまたは通信機器の異常の有無を判断する。

【0063】

例えば、図４に示した例では、区間「１」において集計された異常検知の対象となる起動ログ情報の数は３８個であるが、これは、区間「１」において取得した全ての起動ログ情報の数である２１０個の中から、第１除外処理部２ａ及び第２除外処理部２ｂにより、通信機器が起動された原因が異常に基づくものではない起動ログ情報を除外したものである。

【0064】

図６に、本開示の一実施形態に係る異常検知システムにおいて、取得した起動ログ情報の数を正規分布に当てはめた場合の例を示すグラフを示す。横軸は異常検知の対象となる起動ログ情報の数であり、縦軸は確率分布である。図６は平均値が２０、標準偏差σが５である例を示している。上記の例では、異常検知の対象となる起動ログ情報の数が３８個であり、平均値から３σの範囲の上限である３５個を閾値とすると、３８個という数値は閾値を超えているために異常と判断することができる。このように、異常判断部４は、平均的な値からの乖離度に基づいて異常の有無を判断してよい。

【0065】

出力部５は、異常判断部４の判断結果を出力する。例えば、出力部５は、表示部９に異常判断部４の判断結果を出力する。図７に、本開示の一実施形態に係る異常検知システムを用いて検出された各通信機器ごとの異常検知結果の出力例を示す。一例として、２０２２年３月１１日１１：００現在におけるサービス異常発生件数の累計を示す。サービス異常発生件数を示す表２００には、サービス名２０１、ＷｉＦｉルータでの異常発生件数２０２、固定電話用通信機器での異常発生件数２０３、ＢＢルータでの異常発生件数２０４が示されている。

【0066】

ネットワーク３０の管理者は、表２００を参照することにより、どの通信機器において異常が発生しているかを迅速に把握することができる。

【0067】

次に、本開示の実施形態に係る異常検知方法について説明する。図８に、本開示の一実施形態に係る異常検知システムの動作手順を説明するためのフローチャートを示す。

【0068】

まず、ステップＳ１０１において、取得部１（図１参照）が、ネットワーク３０を介して、複数の通信機器２０のそれぞれから、起動時に作成されるログ情報である起動ログ情報を取得する。

【0069】

次に、ステップＳ１０２において、除外処理部２が、取得部１が取得した起動ログ情報が、起動された原因が予め判明している起動ログ情報であるか否かを判断する。ここで、起動された原因が予め判明している起動ログ情報は、例えば、（１）通信機器が強制的に起動された場合に作成された起動ログ情報、（２）通信機器のファームウエアが変更された場合に作成された起動ログ情報、（３）通信機器のモードまたはバンドが変更された場合に作成された起動ログ情報である。

【0070】

ステップＳ１０２において、除外処理部２が、取得部１が取得した起動ログ情報が、起動された原因が予め判明している起動ログ情報であると判断した場合は、ステップＳ１０３において、第１除外処理部２ａが異常検知の対象から除外する。

【0071】

一方、ステップＳ１０２において、除外処理部２が、取得部１が取得した起動ログ情報が、起動された原因が予め判明している起動ログ情報ではないと判断した場合は、ステップＳ１０３における除外処理は行われない。

【0072】

次に、ステップＳ１０４において、第２除外処理部２ｂが生活習慣に基づく起動ログ情報を除外する。

【0073】

次に、ステップＳ１０５において、計数部３が、第１除外処理部２ａ及び第２除外処理部２ｂにより除外されなかった残りの起動ログ情報の数を所定期間毎に計数する。

【0074】

次に、ステップＳ１０６において、異常判断部４が、計数された起動ログ情報の数が所定の閾値より大きいか否かを判断する。

【0075】

ステップＳ１０６において、異常判断部４が、計数された起動ログ情報の数が所定の閾値より大きいと判断した場合は、ステップＳ１０７において、異常有りと判断する。

【0076】

一方、ステップＳ１０６において、異常判断部４が、計数された起動ログ情報の数が所定の閾値未満であると判断した場合は、ステップＳ１０８において、異常無しと判断する

【0077】

次に、ステップＳ１０９において、出力部５が、異常判断部４の判断結果を出力する。

【0078】

（停電に基づく起動ログ情報の分析）
通信機器２０が設置された地域において停電が発生すると、通信機器２０は動作を停止し、停電復帰後に再起動される。従って、停電が発生した地域において、停電に伴って起動ログ情報の数が増加することが考えられる。そこで、サーバ１０は、停電が発生した場合に取得した起動ログ情報に基づいて、停電に基づく異常の有無を推定する停電異常推定部１３（図１参照）をさらに有してよい。

【0079】

停電により通信機器２０が再起動された場合、ネットワーク３０や通信機器２０には異常が発生しないとも考えられる。しかしながら、停電の発生により、通信機器２０のユーザは何らかの影響を受けることが想定される。そこで停電異常推定部１３は、起動ログ情報の増加が停電を原因とするものであるか否かを推定し、停電が原因である場合は、その旨を出力部５に出力させることが好ましい。このような構成とすることにより、ユーザは通信機器２０の再起動が停電に基づくものであることを把握することができる。

【0080】

停電による起動ログ情報の数の変化に特徴がある場合には、停電異常推定部１３は、過去の起動ログ情報の時間的変化のデータから、今回の起動ログ情報の増加は停電によるものであると判断してよい。このような構成とすることで、サーバ１０の外部から停電に関する情報を受信する前に、起動ログ情報の増加が停電に基づくものであるか否かを迅速に判断することができる。

【0081】

一方、停電に関する情報が、電力会社等からリアルタイムに取得可能である場合は、停電異常推定部１３は、取得した停電関する情報に基づいて、起動ログ情報の増加が停電に基づくものであるか否かを判断してよい。例えば、起動ログ情報の増加が発生した地域と、停電が発生した地域とを照らし合わせて、両地域が一致した場合には、起動ログ情報の増加が停電に基づくものであると判断することができる。

【0082】

（異常が生じた地域及び機種の特定方法）
上述した例では、所定の地域における複数の通信機器を設置したネットワークにおける異常の判断方法について説明した。しかしながら、ネットワーク障害の原因にはネットワーク自体に異常が生じている場合と、特定の機種の通信機器に異常が生じている場合が考えられ、両者を切り分けることが好ましい。そこで、複数の地域に渡って複数の通信機器を設置したネットワークにおける異常を検知することにより、異常の原因が特定の地域のネットワークによるものであるのか、特定の機種の通信機器によるものであるのかを判別する方法について説明する。

【0083】

図９（ａ）及び（ｂ）に、本開示の一実施形態に係る異常検知システム１０００を用いて検出された複数の地域及び機種についての異常と判断された起動ログ情報の数の一覧表を示す。図９（ａ）は、特定のある日における検出結果を示し、図９（ｂ）は、特定のある日とは異なる別の日における検出結果を示す。図９（ａ）及び（ｂ）においては、複数の地域が、東京、大阪、北海道であり、複数の機種が、ＷｉＦｉルータ、固定電話用通信機器、ＢＢルータである場合を例にとって説明する。

【0084】

図９（ａ）においては、異常と判断された起動ログ情報の数が多いのは、ネットワークが存在する地域に関わらず、ＷｉＦｉルータである。従って、この場合は、ＷｉＦｉルータに異常が発生していることが推測される。

【0085】

一方、図９（ｂ）においては、異常と判断された起動ログ情報の数が多いのは、通信機器の機種に関わらず、大阪である。従って、この場合は、大阪に設置されたネットワークに異常が発生していることが推測される。

【0086】

以上、本発明によれば、上述した作用により、ネットワーク又は通信機器の異常を迅速に検知することができるため、信頼できる持続可能なインフラの構築に寄与し、ＳＤＧｓ目標９「産業と技術革新の基盤をつくろう」の達成に貢献できる。

【符号の説明】

【0087】

１ 取得部
２ 除外処理部
２ａ 第１除外処理部
２ｂ 第２除外処理部
３ 計数部
４ 異常判断部
５ 出力部
６ 送受信部
７ 記憶部
８ 計時部
９ 表示部
１０ サーバ
１１ 制御部
１２ バス
１３ 停電異常推定部
２０ 通信機器
３０ ネットワーク
４０ 端末
１０００ 異常検知システム

【要約】

【課題】本開示の一実施形態に係る異常検知サーバ、異常検知システム、及び異常検知方法は、ネットワークの異常を迅速に検知することを目的とする。
【解決手段】本開示の一実施形態に係る異常検知サーバは、ネットワークを介して、複数の通信機器のそれぞれから、起動時に作成されるログ情報である起動ログ情報を取得する取得部と、取得した起動ログ情報が、通信機器が起動された原因が異常に基づくものではない場合は、異常検知の対象から除外する除外処理部と、除外処理部により除外されなかった残りの起動ログ情報の数を所定期間毎に計数する計数部と、計数された起動ログ情報の数を所定の閾値と比較することにより、ネットワークの異常の有無を判断する異常判断部と、異常判断部の判断結果を出力する出力部と、を有することを特徴とする。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】