特許 7762667 閾値算出装置、異常検知装置、閾値算出方法および異常検知方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-10-22

(45)【発行日】2025-10-30

(54)【発明の名称】閾値算出装置、異常検知装置、閾値算出方法および異常検知方法

(51)【国際特許分類】

   H04L 12/22 20060101AFI20251023BHJP

   H04L 12/28 20060101ALI20251023BHJP

   H04L 43/02 20220101ALI20251023BHJP

【ＦＩ】

H04L12/22

H04L12/28 500A

H04L43/02

【請求項の数】 13

(21)【出願番号】P 2022571971

(86)(22)【出願日】2021-11-18

(86)【国際出願番号】 JP2021042362

(87)【国際公開番号】W WO2022137916

(87)【国際公開日】2022-06-30

【審査請求日】2024-08-22

(31)【優先権主張番号】P 2020214471

(32)【優先日】2020-12-24

(33)【優先権主張国・地域又は機関】JP

(73)【特許権者】

【識別番号】514136668

【氏名又は名称】パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ

【氏名又は名称原語表記】Ｐａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】鈴木 裕介

(72)【発明者】

【氏名】吉田 望絵

(72)【発明者】

【氏名】寺澤 弘泰

(72)【発明者】

【氏名】室屋 清一

(72)【発明者】

【氏名】高木 利匡

【審査官】羽岡 さやか

(56)【参考文献】

【文献】特開２０１９－１５３８９４（ＪＰ，Ａ）

【文献】特開２０２０－０５３９２８（ＪＰ，Ａ）

【文献】特開２００６－２５４２８７（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１９／０３８００３７（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／００－１２／６６

Ｈ０４Ｌ ４１／００－６９／４０

(57)【特許請求の範囲】

【請求項1】

施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置に用いられる閾値を算出する閾値算出装置であって、
前記施設内には、前記第１機器と異なる第２機器が設けられ、
前記第１機器の第１期間の機器状態を取得する第１機器状態取得部と、
前記第２機器から取得された情報に基づいて、前記第１期間に前記施設内にいる人の在室状況を判定する第１在室状況判定部と、
前記第１期間に前記第１機器で送受信される通信により生成された通信ログを収集する第１通信ログ収集部と、
前記機器状態、前記在室状況および前記通信ログに基づいて、前記第１期間の後の第２期間における前記第１機器の通信に対する閾値を算出する算出部と、を備え、
前記機器状態は、前記第１機器の１以上の状態を含み、
前記在室状況は、前記人の１以上の状況を含み、
前記算出部は、前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対して前記閾値を算出する、
閾値算出装置。

【請求項2】

前記第１機器状態取得部は、前記第１機器を制御する機器制御コマンドを含む通信に基づく前記第１機器の電源状態および設定値の少なくとも１つを前記機器状態として取得する、
請求項１に記載の閾値算出装置。

【請求項3】

前記第１在室状況判定部は、前記第１機器または前記第１機器および前記第２機器以外の第３機器から取得された情報に基づいて、前記在室状況を判定する、
請求項１または２に記載の閾値算出装置。

【請求項4】

前記通信ログには、前記通信ログの宛先識別子に基づいて判定されたオンライン種別を示す種別情報が含まれ、
前記種別情報は、前記通信ログにおける１以上のオンライン種別を含み、
前記算出部は、さらに前記１以上のオンライン種別の組み合わせのそれぞれに対して前記閾値を算出する、
請求項１～３のいずれか１項に記載の閾値算出装置。

【請求項5】

前記算出部は、前記機器状態と、前記在室状況と、前記通信ログとが対応づけられた学習データを生成し、前記学習データに基づいて前記閾値を算出する、
請求項１～４のいずれか１項に記載の閾値算出装置。

【請求項6】

前記在室状況は、前記施設内における前記人の有無を含み、
前記算出部は、前記人の在室および不在のそれぞれに対して前記閾値を算出する、
請求項１～５のいずれか１項に記載の閾値算出装置。

【請求項7】

前記在室状況は、前記施設内における前記人の人数および位置の少なくとも一方を含み、
前記算出部は、前記少なくとも一方のそれぞれに対して前記閾値を算出する、
請求項１～６のいずれか１項に記載の閾値算出装置。

【請求項8】

前記在室状況は、前記第１期間の前記人の１以上の活動情報を含み、
前記算出部は、さらに前記１以上の活動情報に基づいて、前記閾値を算出する、
請求項１～７のいずれか１項に記載の閾値算出装置。

【請求項9】

前記閾値は、前記第１機器の通信量に対する閾値であり、前記通信量の最大値および最小値を含む、
請求項１～８のいずれか１項に記載の閾値算出装置。

【請求項10】

施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置であって、
前記施設内には、前記第１機器と異なる第２機器が設けられ、
第１期間の後の第２期間の前記第１機器の機器状態を取得する第２機器状態取得部と、
前記第２機器から取得された情報に基づいて、前記第２期間の前記施設内にいる人の在室状況を判定する第１在室状況判定部と、
前記第２期間に前記第１機器で送受信される通信により生成された通信ログを収集する第２通信ログ収集部と、
請求項１～９のいずれか１項に記載の閾値算出装置が算出した、前記第１機器の前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対する閾値の中から、前記第２期間の前記機器状態および前記在室状況に応じた閾値を選択し、選択された閾値と前記第２期間の前記通信ログとに基づいて、前記第２期間における前記第１機器の前記異常な通信を検出する異常検知部とを備える、
異常検知装置。

【請求項11】

前記異常検知部は、選択された前記閾値と前記通信ログとを比較し、前記通信ログが前記閾値を満たさない場合、異常として判定し、判定結果を出力する、
請求項１０に記載の異常検知装置。

【請求項12】

施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置に用いられる閾値を算出する閾値算出装置が実行する閾値算出方法であって、
前記施設内には、前記第１機器と異なる第２機器が設けられ、
前記第１機器の第１期間の機器状態を取得し、
前記第２機器から取得された情報に基づいて、前記第１期間に前記施設内にいる人の在室状況を判定し、
前記第１期間に前記第１機器で送受信される通信により生成された通信ログを収集し、
前記機器状態、前記在室状況および前記通信ログに基づいて、前記第１期間の後の第２期間における前記第１機器の通信に対する閾値を算出することを含み、
前記機器状態は、前記第１機器の１以上の状態を含み、
前記在室状況は、前記人の１以上の状況を含み、
前記閾値の算出では、前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対して前記閾値を算出する、
閾値算出方法。

【請求項13】

施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置が実行する異常検知方法であって、
前記施設内には、前記第１機器と異なる第２機器が設けられ、
第１期間の後の第２期間の前記第１機器の機器状態を取得し、
前記第２機器から取得された情報に基づいて、前記第２期間の前記施設内にいる人の在室状況を判定し、
前記第２期間に前記第１機器で送受信される通信により生成された通信ログを収集し、
請求項１２に記載の閾値算出方法が算出した、前記第１機器の前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対する閾値から、前記第２期間の前記機器状態および前記在室状況に応じた閾値を選択し、選択された閾値と前記第２期間の前記通信ログとに基づいて、前記第２期間における前記第１機器の前記異常な通信を検出する、
異常検知方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、閾値算出装置、異常検知装置、閾値算出方法および異常検知方法に関する。

【背景技術】

【0002】

近年、家庭内の様々なＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）機器がホームルータを介してインターネットに繋がり始めている。これらの家庭内ＩｏＴ機器がインターネットに接続されることで、遠隔からの制御、状態の監視、機器連携等の機能が実現されている。

【0003】

一方、ホームネットワークのプロトコルとして普及しているＥＣＨＯＮＥＴ Ｌｉｔｅ（登録商標、以下同様）、ＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ Ｐｌｕｇ ａｎｄ Ｐｌａｙ）、ＤＬＮＡ（登録商標、以下同様）（Ｄｉｇｉｔａｌ Ｌｉｖｉｎｇ Ｎｅｔｗｏｒｋ Ａｌｌｉａｎｃｅ）等には通信の暗号化などのセキュアな概念が含まれていない。

【0004】

さらに、家庭内ＩｏＴ機器には従来のパソコン等のＩＴ（Ｉｎｆｏｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）機器のようにウイルス対策ソフト等のセキュリティソフトを導入できない場合が多く、家庭内等のホームネットワーク（例えば、ＬＡＮ：Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ等）に接続された機器を狙ったサイバー攻撃も発生している。

【0005】

例えば、家庭内ＩｏＴ機器がサイバー攻撃により不正操作された場合、スマートテレビがウイルスに感染したり、監視カメラの映像がネット上に公開されたり、家庭内ＩｏＴ機器がインターネット上の他のサーバへの攻撃に加担させられたりする。さらに、家庭内ＩｏＴ機器が医療機器の場合には人命に係るような操作がされる場合もある。

【0006】

そのため、ホームネットワークにおいてもネットワークに流れるトラフィックを監視し、不正アクセス、ウイルス感染等による家庭内ＩｏＴ機器の異常を検知することが重要となっている。

【0007】

ネットワークの異常を検知する方式として、既知の異常なパケットのパターン（シグネチャ）とネットワーク上を流れるパケットのパターンとを比較して異常を検知するシグネチャ検知方式と、正常状態のパケットのパターンとネットワーク上を流れるパケットのパターンとを比較して異常を検知するアノマリ検知方式がある（例えば、特許文献１参照）。

【0008】

しかし、シグネチャ検知方式では、予め異常なパケットのパターンを定めなければならないため、未知のウイルス等の異常を検知できない。

【0009】

一方、アノマリ検知方式では、特許文献１のように機械学習技術を用いることで正常状態のパケットのパターンを学習し、学習されたモデルと合致しないパケットのパターンを全て異常として検知するため、未知のウイルス等の異常も検知することができる。

【先行技術文献】

【特許文献】

【0010】

【文献】特開２００４－３１２０６４号公報

【発明の概要】

【発明が解決しようとする課題】

【0011】

しかしながら、特許文献１に開示されている方法では、正常な機器のパケットパターンを学習に用いて異常検知しているが、施設内の状態の変化に応じて通信の利用状況が変化するような場合には正確に異常検知できない場合がある。

【0012】

そこで、本開示は、上記課題を解決するため、異常検知をより正確に行うことができる閾値算出装置、異常検知装置、閾値算出方法および異常検知方法を提供する。

【課題を解決するための手段】

【0013】

本開示の一態様に係る閾値算出装置は、施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置に用いられる閾値を算出する閾値算出装置であって、前記施設内には、前記第１機器と異なる第２機器が設けられ、前記第１機器の第１期間の機器状態を取得する第１機器状態取得部と、前記第２機器から取得された情報に基づいて、前記第１期間に前記施設内にいる人の在室状況を判定する第１在室状況判定部と、前記第１期間に前記第１機器で送受信される通信により生成された通信ログを収集する第１通信ログ収集部と、前記機器状態、前記在室状況および前記通信ログに基づいて、前記第１期間の後の第２期間における前記第１機器の通信に対する閾値を算出する算出部と、を備え、前記機器状態は、前記第１機器の１以上の状態を含み、前記在室状況は、前記人の１以上の状況を含み、前記算出部は、前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対して前記閾値を算出する。

【0014】

本開示の一態様に係る異常検知装置は、施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置であって、前記施設内には、前記第１機器と異なる第２機器が設けられ、第１期間の後の第２期間の前記第１機器の機器状態を取得する第２機器状態取得部と、前記第２機器から取得された情報に基づいて、前記第２期間の前記施設内にいる人の在室状況を判定する第１在室状況判定部と、前記第２期間に前記第１機器で送受信される通信により生成された通信ログを収集する第２通信ログ収集部と、上記の閾値算出装置が算出した、前記第１機器の前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対する閾値の中から、前記第２期間の前記機器状態および前記在室状況に応じた閾値を選択し、選択された閾値と前記第２期間の前記通信ログとに基づいて、前記第２期間における前記第１機器の前記異常な通信を検出する異常検知部とを備える。

【0015】

本開示の一態様に係る閾値算出方法は、施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置に用いられる閾値を算する閾値算出方法であって、前記施設内には、前記第１機器と異なる第２機器が設けられ、前記第１機器の第１期間の機器状態を取得し、前記第２機器から取得された情報に基づいて、前記第１期間に前記施設内にいる人の在室状況を判定し、前記第１期間に前記第１機器で送受信される通信により生成された通信ログを収集し、前記機器状態、前記在室状況および前記通信ログに基づいて、前記第１期間の後の第２期間における前記第１機器の通信に対する閾値を算出することを含み、前記機器状態は、前記第１機器の１以上の状態を含み、前記在室状況は、前記人の１以上の状況を含み、前記閾値の算出では、前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対して前記閾値を算出する。

【0016】

本開示の一態様に係る異常検知方法は、施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知方法であって、前記施設内には、前記第１機器と異なる第２機器が設けられ、第１期間の後の第２期間の前記第１機器の機器状態を取得し、前記第２機器から取得された情報に基づいて、前記第２期間の前記施設内にいる人の在室状況を判定し、前記第２期間に前記第１機器で送受信される通信により生成された通信ログを収集し、上記の閾値算出方法が算出した、前記第１機器の前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対する閾値から、前記第２期間の前記機器状態および前記在室状況に応じた閾値を選択し、選択された閾値と前記第２期間の前記通信ログとに基づいて、前記第２期間における前記第１機器の前記異常な通信を検出する。

【発明の効果】

【0017】

本開示によれば、異常検知をより正確に行うことができる閾値算出装置等を実現することができる。

【図面の簡単な説明】

【0018】

【図1】図１は、実施の形態における異常検知システムの全体構成図である。

【図2】図２は、実施の形態における異常検知処理装置の構成図である。

【図3】図３は、実施の形態における機器状態データの一例を示す図である。

【図4】図４は、実施の形態における在室状況データの一例を示す図である。

【図5】図５は、実施の形態における通信ログの一例を示す図である。

【図6】図６は、実施の形態における学習データの一例を示す図である。

【図7】図７は、実施の形態における閾値データの一例を示す図である。

【図8A】図８Ａは、実施の形態における閾値算出装置の動作を示すフローチャートである。

【図8B】図８Ｂは、実施の形態における異常検知装置の動作を示すフローチャートである。

【図9】図９は、実施の形態における機器状態取得処理の一例を示すフローチャートである。

【図10】図１０は、実施の形態における機器状態取得処理の一例を示すフローチャートである。

【図11】図１１は、実施の形態における機器状態取得処理の他の一例を示すフローチャートである。

【図12】図１２は、実施の形態における機器状態取得処理のさらに他の一例を示すフローチャートである。

【図13】図１３は、実施の形態における在室状況判定処理の一例を示すフローチャートである。

【図14】図１４は、実施の形態における通信ログ収集処理の一例を示すフローチャートである。

【図15】図１５は、実施の形態における学習処理の一例を示すフローチャートである。

【図16】図１６は、実施の形態における学習データ作成処理の一例を示すフローチャートである。

【図17】図１７は、実施の形態における閾値設定処理の一例を示すフローチャートである。

【図18】図１８は、実施の形態における異常検知処理の一例を示すフローチャートである。

【発明を実施するための形態】

【0019】

（本開示に至った経緯）
上記の「発明が解決しようとする課題」でも記載したように、特許文献１に開示されている方法では、施設内の状態の変化に応じて通信の利用状況が変化するような場合には正確に異常検知できない場合がある。例えば、家庭内ＩｏＴ機器においては、住人の在室人数、属性等によって機器の利用状況が異なるため、正常な機器のパケットパターンだけでは、誤検知、検知漏れ等を引き起こしてしまう可能性がある。

【0020】

例えば、スマートテレビが起動し、照明が点灯した場合は、住人が不在であれば異常と検知したいが、住人の在不在の判定ができないため、異常と検知できず、検知漏れとなる可能性がある。

【0021】

また、来客時等の住人以外の人により新たな端末が接続され、在室人数が増えたことで通信量が増加した場合、異常であると検知されてしまい、誤検知となる可能性がある。

【0022】

このように、従来技術では、住人の在室状況を考慮して異常を検知していないので、施設内の状態の変化に応じて通信の利用状況が変化するような場合には正確に異常検知が行えず、検知漏れまたは誤検知が起こり得る。

【0023】

そこで、本願発明者らは、異常検知をより正確に行うことができる閾値算出装置、異常検知装置、閾値算出方法および異常検知方法について鋭意検討を行い、以下に示す閾値算出装置、異常検知装置、閾値算出方法および異常検知方法を創案した。

【0024】

本開示の一態様に係る閾値算出装置は、施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置に用いられる閾値を算出する閾値算出装置であって、前記施設内には、前記第１機器と異なる第２機器が設けられ、前記第１機器の第１期間の機器状態を取得する第１機器状態取得部と、前記第２機器から取得された情報に基づいて、前記第１期間に前記施設内にいる人の在室状況を判定する第１在室状況判定部と、前記第１期間に前記第１機器で送受信される通信により生成された通信ログを収集する第１通信ログ収集部と、前記機器状態、前記在室状況および前記通信ログに基づいて、前記第１期間の後の第２期間における前記第１機器の通信に対する閾値を算出する算出部と、を備え、前記機器状態は、前記第１機器の１以上の状態を含み、前記在室状況は、前記人の１以上の状況を含み、前記算出部は、前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対して前記閾値を算出する。

【0025】

これにより、機器状態および在室状況の組み合わせのそれぞれに対して閾値が算出されるので、異常検知装置が第２期間の機器状態および在室状況に応じた閾値を用いて当該第２期間の通信の異常を検出することで、特許文献１のように施設内の状況に依らずに正常な機器のパケットパターンを用いて通信の異常を検出する場合に比べて、異常検知をより正確に行うことができる。よって、閾値算出装置が算出した閾値が用いられることで、異常検知をより正確に行うことができる。

【0026】

また、例えば、前記第１機器状態取得部は、前記第１機器を制御する機器制御コマンドを含む通信に基づく前記第１機器の電源状態および設定値の少なくとも１つを前記機器状態として取得してもよい。

【0027】

これにより、算出部は、電源状態および設定値の少なくとも一方のそれぞれに対して閾値を算出することができる。異常検知装置が第２期間の電源状態および設定値の少なくとも一方に応じた閾値を用いて異常を検知する場合、当該少なくとも一方の場合の異常検知をより正確に行うことができる。よって、閾値算出装置が算出した閾値が用いられることで、電源状態および設定値の少なくとも一方の場合の異常検知をより正確に行うことができる。

【0028】

また、例えば、前記第１在室状況判定部は、前記第１機器または前記第１機器および前記第２機器以外の第３機器から取得された情報に基づいて、前記在室状況を判定してもよい。

【0029】

これにより、第２機器以外の機器から取得された情報も用いて在室状況が判定されるので、在室状況の判定をより正確に確認を行うことができる。これは、異常検知をより正確に行うことにつながる。

【0030】

また、例えば、前記通信ログには、前記通信ログの宛先識別子に基づいて判定されたオンライン種別を示す種別情報が含まれ、前記種別情報は、前記通信ログにおける１以上のオンライン種別を含み、前記算出部は、さらに前記１以上のオンライン種別の組み合わせのそれぞれに対して前記閾値を算出してもよい。

【0031】

これにより、さらに１以上のオンライン種別を含む組み合わせのそれぞれに対して閾値が算出される。つまり、通信の送信先ごとに閾値を算出することができる。異常検知装置が第２期間の通信のオンライン種別に応じた閾値を用いて異常を検知する場合、当該オンライン種別の場合の異常検知をより正確に行うことができる。よって、閾値算出装置が算出した閾値が用いられることで、オンライン種別が１以上ある場合の異常検知をより正確に行うことができる。

【0032】

また、例えば、前記算出部は、前記機器状態と、前記在室状況と、前記通信ログとが対応づけられた学習データを生成し、前記学習データに基づいて前記閾値を算出してもよい。

【0033】

これにより、予め学習データを作成することで、当該学習データから必要なデータを抽出するだけで閾値を算出可能であり、容易に閾値を算出することができる。

【0034】

また、例えば、前記在室状況は、前記施設内における前記人の有無を含み、前記算出部は、前記人の在室および不在のそれぞれに対して前記閾値を算出してもよい。

【0035】

これにより、算出部は、人の在室および不在のそれぞれに対して閾値を算出することができる。異常検知装置が第２期間の人が在室および不在のいずれであるかに応じた閾値を用いて異常を検知する場合、当該いずれかの場合の異常検知をより正確に行うことができる。よって、閾値算出装置が算出した閾値が用いられることで、人が在室および不在の場合の異常検知をより正確に行うことができる。

【0036】

また、例えば、前記在室状況は、前記施設内における前記人の人数および位置の少なくとも一方を含み、前記算出部は、前記少なくとも一方のそれぞれに対して前記閾値を算出してもよい。

【0037】

これにより、算出部は、人の人数および位置の少なくとも一方のそれぞれに対して閾値を算出することができる。異常検知装置が第２期間の人の人数および位置の少なくとも一方に応じた閾値を用いて異常を検知する場合、当該少なくとも一方の場合の異常検知をより正確に行うことができる。よって、閾値算出装置が算出した閾値が用いられることで、人の人数および位置の少なくとも一方の場合の異常検知をより正確に行うことができる。

【0038】

また、例えば、前記在室状況は、前記第１期間の前記人の１以上の活動情報を含み、前記算出部は、さらに前記１以上の活動情報に基づいて、前記閾値を算出してもよい。

【0039】

これにより、さらに人の活動情報を含む組み合わせのそれぞれに対して閾値が算出される。つまり、人の活動情報ごとに閾値を算出することができる。異常検知装置が第２期間の人の活動情報に応じた閾値を用いて異常を検知する場合、当該活動情報の場合の異常検知をより正確に行うことができる。よって、閾値算出装置が算出した閾値が用いられることで、活動情報が１以上ある場合の異常検知をより正確に行うことができる。

【0040】

また、例えば、前記閾値は、前記第１機器の通信量に対する閾値であり、前記通信量の最大値および最小値を含んでもよい。

【0041】

これにより、通信量が多い場合および少ない場合の両方を異常と検出できる閾値を算出することができる。このような閾値を用いることで、閾値が上限値および下限値の一方のみである場合に比べて、異常検知をより正確に行うことができる。

【0042】

また、本開示の一態様に係る異常検知装置は、施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置であって、前記施設内には、前記第１機器と異なる第２機器が設けられ、第１期間の後の第２期間の前記第１機器の機器状態を取得する第２機器状態取得部と、前記第２機器から取得された情報に基づいて、前記第２期間の前記施設内にいる人の在室状況を判定する第１在室状況判定部と、前記第２期間に前記第１機器で送受信される通信により生成された通信ログを収集する第２通信ログ収集部と、上記の閾値算出装置が算出した、前記第１機器の前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対する閾値の中から、前記第２期間の前記機器状態および前記在室状況に応じた閾値を選択し、選択された閾値と前記第２期間の前記通信ログとに基づいて、前記第２期間における前記第１機器の前記異常な通信を検出する異常検知部とを備える。

【0043】

これにより、異常検知装置は、機器状態および在室状況の組み合わせのそれぞれに対して算出された閾値のうち第２期間の機器状態および在室状況に応じた閾値を用いて、当該第２期間の通信の異常を検出することができる。異常検知装置は、このような閾値を用いて通信の異常を検出することで、特許文献１のように施設内の状況に依らずに正常な機器のパケットパターンを用いて通信の異常を検出する場合に比べて、異常検知をより正確に行うことができる。

【0044】

また、例えば、前記異常検知部は、選択された前記閾値と前記通信ログとを比較し、前記通信ログが前記閾値を満たさない場合、異常として判定し、判定結果を出力してもよい。

【0045】

これにより、異常検知装置は、異常が検出された場合、異常が検出されたことを通知することができる。

【0046】

また、本開示の一態様に係る閾値算出方法は、施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知装置に用いられる閾値を算する閾値算出方法であって、前記施設内には、前記第１機器と異なる第２機器が設けられ、前記第１機器の第１期間の機器状態を取得し、前記第２機器から取得された情報に基づいて、前記第１期間に前記施設内にいる人の在室状況を判定し、前記第１期間に前記第１機器で送受信される通信により生成された通信ログを収集し、前記機器状態、前記在室状況および前記通信ログに基づいて、前記第１期間の後の第２期間における前記第１機器の通信に対する閾値を算出することを含み、前記機器状態は、前記第１機器の１以上の状態を含み、前記在室状況は、前記人の１以上の状況を含み、前記閾値の算出では、前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対して前記閾値を算出する。

【0047】

これにより、上記の閾値算出装置と同様の効果を奏する。

【0048】

また、本開示の一態様に係る異常検知方法は、施設内ネットワークに接続され、前記施設内ネットワークが設置される施設内の第１機器における異常な通信を検出する異常検知方法であって、前記施設内には、前記第１機器と異なる第２機器が設けられ、第１期間の後の第２期間の前記第１機器の機器状態を取得し、前記第２機器から取得された情報に基づいて、前記第２期間の前記施設内にいる人の在室状況を判定し、前記第２期間に前記第１機器で送受信される通信により生成された通信ログを収集し、上記の閾値算出方法が算出した、前記第１機器の前記１以上の状態および前記１以上の状況の組み合わせのそれぞれに対する閾値から、前記第２期間の前記機器状態および前記在室状況に応じた閾値を選択し、選択された閾値と前記第２期間の前記通信ログとに基づいて、前記第２期間における前記第１機器の前記異常な通信を検出する。

【0049】

これにより、上記の異常検知装置と同様の効果を奏する。

【0050】

以下、図面を参照しながら、本開示の実施の形態に係る異常検知システムの構成、閾値算出装置および異常検知装置の構成、閾値算出装置および異常検知装置における処理の流れについて説明する。

【0051】

なお、以下で説明する実施の形態は、いずれも本開示の好ましい一具体例を示す。つまり、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置および接続形態、ステップ、ステップの順序などは、本開示の一例であり、本開示を限定する主旨ではない。

【0052】

本開示は、請求の範囲の記載に基づいて特定される。したがって、以下の実施の形態における構成要素のうち、本開示の最上位概念を示す独立請求項に記載されていない構成要素は、本開示の課題を達成するために必ずしも必要ではないが、より好ましい形態を構成する構成要素として説明される。

【0053】

また、実施の形態に記載されている数値および数値範囲は一例であり、当該数値および当該数値範囲に限定されない。

【0054】

（実施の形態）
本開示の実施の形態では、家庭内の各機器の動作状態、家庭内に設置した各センサまたは各機器により得られる情報から推定した住人の状態に基づいて、異常検知に用いる閾値を変動させ機器に対する異常を判定する構成について説明する。

【0055】

［１．実施の形態の詳細］
ここでは、本開示の実施の形態として、本開示に係る異常検知システムについて図面を参照しながら説明する。なお、本実施の形態においては、家庭内のネットワーク（ホームネットワーク１１）に家庭内ＩｏＴ機器（エアコン、テレビ等）およびＩＴ機器（スマートフォン（以下、スマホ）、パーソナルコンピュータ（以下、パソコン））等が接続されている場合について説明するが、ネットワークに接続される機器はこれらに限定されない。

【0056】

また、以下では、ＩｏＴ機器およびＩＴ機器が宅内に配置される例について説明するが、宅内であることに限定されず、人が出入り可能な施設に配置されていればよい。

【0057】

［１．１ 異常検知システムの全体構成］
図１は、本実施の形態における異常検知システム１の全体構成図である。図１は、異常検知システム１のネットワーク構成を示す図である。

【0058】

図１に示すように、異常検知システム１は、インターネット１０と、ホームネットワーク１１と、ホームゲートウェイ２０と、エアコン３０と、ガス給湯器３１と、電気錠３２と、照明（照明装置）３３と、テレビ４０と、レコーダ４１と、コントローラ５０と、スマホ６０と、パソコン６１と、異常検知処理装置７０と、異常監視装置８０とを備える。

【0059】

インターネット１０は一般的なインターネットであり、スマホ６０は一般的なスマートフォンであり、パソコン６１は一般的なパーソナルコンピュータである。

【0060】

ホームゲートウェイ２０、エアコン３０、ガス給湯器３１、電気錠３２、照明３３、テレビ４０、レコーダ４１、コントローラ５０、スマホ６０、パソコン６１および異常検知処理装置７０は、ホームネットワーク１１で接続され、エアコン３０、ガス給湯器３１、電気錠３２、照明３３、テレビ４０、レコーダ４１、コントローラ５０、スマホ６０、パソコン６１および異常検知処理装置７０がインターネット１０と通信する場合は、ホームゲートウェイ２０を介して通信する。

【0061】

ホームゲートウェイ２０は、エアコン３０、ガス給湯器３１、電気錠３２、照明３３、テレビ４０、レコーダ４１、コントローラ５０、スマホ６０、パソコン６１および異常検知処理装置７０が接続され、接続された機器間の通信、および、接続された機器とインターネット１０との通信を仲介する。

【0062】

また、ホームゲートウェイ２０は、エアコン３０、ガス給湯器３１、電気錠３２、照明３３、テレビ４０、レコーダ４１、コントローラ５０、スマホ６０、パソコン６１および異常検知処理装置７０が通信するために必要なＩＰアドレス等の情報を管理し、各機器からの要求に応じてＩＰアドレスの割り当て、または、通信に必要な情報の通知を行う。

【0063】

また、ホームゲートウェイ２０は、接続された機器間の通信、および、接続された機器とインターネット１０との通信をモニタリングし、異常検知処理装置７０に通信内容を転送する。

【0064】

異常検知処理装置７０へ転送する通信内容は、ホームゲートウェイ２０が受信した通信パケット自体を転送しても良いし、通信パケットを整形したログを転送しても良い。

【0065】

ホームゲートウェイ２０がログを転送する場合は、ホームゲートウェイ２０自体にログ収集機能が備わっていても良いし、他のログ収集機器を用いても良い。

【0066】

エアコン３０、ガス給湯器３１、電気錠３２、照明３３、テレビ４０およびレコーダ４１は、機器制御コマンドを受信して、受信した機器制御コマンドの内容を解釈して動作する家庭内ＩｏＴ機器である。機器制御コマンドはホームネットワーク１１上から送信されてもよいし、ホームゲートウェイ２０を介してインターネット１０上の端末（図示しない）またはサーバ（図示しない）から送信されても良い。

【0067】

また、各機器は、必要に応じてホームゲートウェイ２０を介してインターネット１０に接続し、ファームウェアの更新、コンテンツのダウンロード等を行う。さらに、各機器は、各機器の動作または各機器が搭載しているセンサが検知した情報（センサ情報）を他の機器へ通知する。

【0068】

例えば、エアコン３０であれば、動作状態（電源ＯＮ／電源ＯＦＦ）、節電動作設定（節電動作中／通常動作中等）、運転モード設定（自動／冷房／暖房／除湿／加湿／送風等）、温度設定値、搭載しているセンサの情報（室温／湿度／外気温）、風向および風量等の設定値等を他の機器へ通知する。

【0069】

ガス給湯器３１であれば、動作状態（電源ＯＮ／電源ＯＦＦ）、給湯器燃焼状態、または、給湯温度設定値、給湯保温設定値、自動運転時間設定値等の設定値等を他の機器へ通知する。

【0070】

電気錠３２であれば、動作状態（電源ＯＮ／電源ＯＦＦ）、施錠設定（施錠／解錠）、ドアの開閉状態、警報状態（通常状態／こじ開け／扉開放／手動解錠／タンパ等）、自動施錠モード設定（ＯＮ／ＯＦＦ）等の設定値等を他の機器へ通知する。

【0071】

照明３３であれば、動作状態（電源ＯＮ／電源ＯＦＦ）、調光機能がある場合はその設定値等を他の機器へ通知する。

【0072】

テレビ４０であれば、動作状態（電源ＯＮ／電源ＯＦＦ）、視聴中のＣＨ（チャンネル）番号または音量設定値等、レコーダ４１であれば、動作状態（電源ＯＮ／電源ＯＦＦ）、コンテンツ転送状態（停止中／再生中／移行中／一時停止中（再生）／一時停止中（録画）／録画中／メディアなし等）の状態等を他の機器へ通知する。

【0073】

これらの通知のタイミングは特に限定されず、定期的に行っても良いし、状態または値が変化した際に行っても良いし、他の機器から問い合わせがあった際に行っても良い。

【0074】

コントローラ５０は、エアコン３０、ガス給湯器３１、電気錠３２および照明３３等の家庭内ＩｏＴ機器を制御するための機器であり、エアコン３０、ガス給湯器３１、電気錠３２および照明３３へ機器制御コマンドを送信することで、これらの機器を制御する。コントローラ５０は、利用者からの入力に応じて機器制御コマンドを送信する場合と、事前に設定された条件に応じて自動で機器制御コマンドを送信する場合とがある。

【0075】

スマホ６０およびパソコン６１は、ホームゲートウェイ２０を介してインターネット１０と接続されたＩＴ機器である。なお、サーバがインターネット１０に接続されており、ホームゲートウェイ２０、スマホ６０およびパソコン６１は、インターネット１０を介してサーバと通信することで、ホームネットワーク１１上の家庭内ＩｏＴ機器とやり取りしても良い。

【0076】

異常検知処理装置７０は、エアコン３０、ガス給湯器３１、電気錠３２、照明３３、テレビ４０およびレコーダ４１等の家庭内ＩｏＴ機器、スマホ６０およびパソコン６１等のＩＴ機器がやり取りする通信における異常を検知した際、ホームゲートウェイ２０を介してインターネット１０上の異常監視装置８０にアラートを通知する。なお、通信における異常は、通信量の異常であってもよいし、通信回数の異常であってもよい。また、異常検知処理装置７０は、ＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ：セキュリティ・オペレーション・センター）が管理するサーバ装置であってもよい。通信量および通信回数は、例えば、所定期間の通信における通信量および通信回数であるが、通信量は、例えば、１回の通信における通信量であってもよい。

【0077】

異常監視装置８０は、異常検知処理装置７０から通知されたアラートを基に、アラートの分析に必要な通信ログ、パケット等を収集し一元管理する。

【0078】

異常監視装置８０は、収集したログ、パケット等を用いて、相関分析を実施し、セキュリティインシデントの予兆、痕跡等の異常を判定する。異常監視装置８０は、異常と判定した場合、住人等へ機器異常を通知する。

【0079】

なお、異常監視装置８０が行う分析は相関分析に限定されず、他の方法で分析しても良い。

【0080】

加えて、異常監視装置８０が分析に使用する通信ログの収集方法は特に限定されない。異常検知処理装置７０から取得しても良いしホームゲートウェイ２０から取得しても良いし他の方法で取得しても良い。

【0081】

また、異常監視装置８０から住人への異常を通知する方法も特に限定されない。住人のスマホ等に通知しても良いし家に設置されている警報を鳴動して通知しても良いし他の方法で通知してもよい。

【0082】

なお、本実施の形態においては、ホームゲートウェイ２０と異常検知処理装置７０とを分けて図示しているが、ホームゲートウェイ２０に異常検知処理装置７０の機能を組み込んでも良い。

【0083】

また、機器制御コマンドを受信する家庭内ＩｏＴ機器として、エアコン３０、ガス給湯器３１、電気錠３２、照明３３、テレビ４０およびレコーダ４１を、ホームゲートウェイ２０を介してインターネット１０に接続するＩＴ機器として、スマホ６０およびパソコン６１を異常検知システム１の構成要素としているが、必ずしもこの機器構成である必要はなく、これ以外の機器があっても良く、また、いずれかの機器だけでも良い。

【0084】

さらに家庭内ＩｏＴ機器は、機器制御コマンドを受信するだけではなく、他の機器に対して機器制御コマンドを送信しても良いし、機器制御コマンド以外の通信を行っても良い。家庭内ＩｏＴ機器は、施設内に配置されるＩｏＴ機器の一例である。

【0085】

また、ＩＴ機器はインターネット１０と接続されるとしたが、これに限定するものではなく、ホームネットワーク１１上の機器と通信しても良い。なお、これらの機器は、インターネット１０を介して、インターネット１０上の端末またはサーバと通信を行っても良い。

【0086】

また、ホームゲートウェイ２０には、さらにカメラ（図示しない）、人感センサ（図示しない）等の人を検知可能な機器が接続されていてもよい。言い換えると、宅内にはカメラ、人感センサ等の人を検知可能な機器が設置されていてもよい。なお、カメラは、電気錠３２、スマホ６０またはパソコン６１に搭載されているカメラであってもよいし、人感センサは、エアコン３０または照明３３に搭載されている人感センサであってもよい。また、人を検知可能な機器は、二酸化炭素センサ、水の使用量の検出センサ等であってもよい。

【0087】

また、ホームゲートウェイ２０、エアコン３０、ガス給湯器３１、電気錠３２、照明３３、テレビ４０、レコーダ４１、コントローラ５０、スマホ６０およびパソコン６１は、宅内に配置されている。異常検知処理装置７０は、宅内に配置されていてもよいし、宅外に配置されていてもよい。

【0088】

また、エアコン３０、ガス給湯器３１、電気錠３２、照明３３、テレビ４０、レコーダ４１、コントローラ５０、スマホ６０およびパソコン６１のうちの１つの機器は、宅内（施設内の一例）に設けられる第１機器の一例であり、当該１つの機器以外の他の１つの機器は、第２機器の一例であり、さらに他の機器は第３機器の一例である。なお、第２機器および第３機器の少なくとも１つは、カメラ、人感センサ等の人を検知可能な機器であってもよい。第１機器は、閾値算出装置が閾値を算出する対象の機器である。

【0089】

［１．２ 異常検知処理装置７０の全体構成］
図２は、本実施の形態における異常検知処理装置７０の構成図である。図２は、異常検知処理装置７０の機能構成を示すブロック図を示す。

【0090】

図２に示すように、異常検知処理装置７０は、通信部１００と、機器状態取得部１１０と、在室状況判定部１２０と、通信ログ収集部１３０と、学習部１４０と、異常検知部１５０と、機器状態保持部２００と、在室状況保持部２１０と、通信ログ保持部２２０と、学習データ保持部２３０とを備える。

【0091】

本実施の形態において、閾値算出部は、通信部１００と、機器状態取得部１１０（第１機器状態取得部の一例）と、在室状況判定部１２０（第１在室状況判定部の一例）と、通信ログ収集部１３０（第１通信ログ収集部）と、学習部１４０と、機器状態保持部２００と、在室状況保持部２１０と、通信ログ保持部２２０と、学習データ保持部２３０とを含んで構成される。また、本実施の形態において、異常検知装置は、通信部１００と、機器状態取得部１１０（第２機器状態取得部の一例）と、在室状況判定部１２０（第２在室状況判定部の一例）と、通信ログ収集部１３０（第２通信ログ収集部）と、異常検知部１５０とを含んで構成される。異常検知処理装置７０は、閾値算出部および異常検知装置の両方の構成を備える。本実施の形態では、第１機器状態取得部および第２機器状態取得部、第１在室状況判定部および第２在室状況判定部、ならびに、第１通信ログ収集部および第２通信ログ収集部のそれぞれは、共通の構成要素として実現されるが、これに限定されない。

【0092】

閾値算出装置は、ホームネットワーク１１に接続され、ホームネットワーク１１が設置される宅内の第１機器における異常な通信を検出する異常検知装置に用いられる閾値を算出する。また、異常検知装置は、ホームネットワーク１１に接続され、ホームネットワーク１１が設置される宅内の第１機器における異常な通信を検出する。

【0093】

通信部１００は、インターネット１０またはホームネットワーク１１から通信パケットを受信する。通信部１００は、ホームゲートウェイ２０宛ての通信だけではなく、ホームゲートウェイ２０を介して流れているホームネットワーク１１上の全ての通信パケットを受信する。

【0094】

また、通信部１００は、機器状態取得部１１０から送信された機器状態取得要求をホームゲートウェイ２０が接続されている通信線に送信し、ホームゲートウェイ２０から通信線を介して受信する機器状態取得応答を機器状態取得部１１０に送信する。または、通信部１００は、ホームネットワーク１１に接続されている機器から能動的に送信された機器の情報および機器の状態（機器状態）を、ホームゲートウェイ２０を介して機器状態取得部１１０に送信する。

【0095】

機器状態取得部１１０は、通信部１００を介して機器状態取得要求を送信し、機器状態取得応答を受信することにより、ホームネットワーク１１に接続されている機器の情報および機器の状態を取得し、機器状態保持部２００に登録する。または、機器状態取得部１１０は、ホームネットワーク１１に接続されている機器から能動的に送信された機器の情報および機器の状態をホームゲートウェイ２０から通信部１００を介して取得し、機器状態保持部２００に登録する。機器状態取得部１１０が登録した情報は、機器状態データ（図３を参照）とも記載する。なお、登録とは、記憶または更新することを意味する。

【0096】

機器の情報は、当該機器を特定するための情報であり、例えば、機器識別子および機器種別の少なくとも１つを含む。

【0097】

機器の状態は、機器が使用している電力等から推測されてもよい。また、機器の状態として、動作状態（電源ＯＮ／電源ＯＦＦ）だけでなく、各機器固有の状態が登録されても良いし、複数の機器状態の組み合せが登録されても良い。また、機器の状態は、第１機器を含む複数の機器を制御する機器制御コマンドを含む通信に基づく当該第１機器の電源状態および設定値の少なくとも１つを含んでいてもよい。

【0098】

以下に、各機器における、電源状態（電源ＯＮ／電源ＯＦＦ）以外に機器の状態に含まれていてもよい情報を例示する。電源状態は、機器の動作状態であるとも言える。

【0099】

例えば、エアコン３０であれば、設定温度、運転モード（冷房／暖房等）等が登録されても良い。設定温度は、設定値の一例である。

【0100】

ガス給湯器３１であれば、給湯設定温度、給湯器使用状況（ガスまたはお湯の使用量等）等の値自体が登録されても良い。給湯設定温度、設定値の一例である。

【0101】

電気錠３２であれば、解錠／施錠の状態が登録されても良い。照明３３であれば、調光の状態が登録されても良い。

【0102】

テレビ４０であれば、視聴中のＣＨ番号、音量等の値自体が登録されても良い。レコーダ４１であれば、再生中／録画中等の状態が登録されても良い。

【0103】

スマホ６０またはパソコン６１であれば、Ｕｓｅｒ－Ａｇｅｎｔまたは使用中のアプリケーション名等が登録されても良い。

【0104】

人感センサであれば、人を検知しているか／人を検知していないかが登録されても良い。温湿度センサ（図示しない）であれば、温度または湿度の値自体が登録されても良い。

【0105】

窓（図示しない）またはドアの開閉センサ（図示しない）であれば、開／閉の区別、どの程度開いているのかの数値、施錠状態（解錠／施錠）等の情報が登録されても良い。

【0106】

機器状態保持部２００は、ホームネットワーク１１に接続されている機器の状態に関する情報を機器状態データとして保持する。機器状態保持部２００は、半導体メモリ等の記憶装置である。

【0107】

図３は、本実施の形態における機器状態データの一例を示す図である。図３に示す機器状態データは、機器状態取得部１１０により作成される。

【0108】

図３に示すように、機器状態データには、機器を特定するための情報として機器識別子および機器種別が含まれ、現在の機器の状態を表す情報として機器状態が含まれ、機器種別と機器状態とが１つの組として登録される。

【0109】

機器が初めてホームネットワーク１１に接続された際に、機器識別子、機器種別および機器状態が新規に登録され、機器状態はその後適宜最新状態に更新される。

【0110】

機器識別子には、機器から取得したＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを登録しても良いし、ＭＡＣアドレス以外の情報を識別子として利用しても良い。

【0111】

機器種別には、機器から取得した端末情報から推測したデバイス名、モデル名またはＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）名を登録しても良いし、それらを組み合わせて登録しても良い。

【0112】

機器状態には、機器状態取得部１１０で判定した動作状態（電源ＯＮ／電源ＯＦＦ）等の機器の状態が登録される。図３において機器状態は、機器種別に対して１つの機器状態を登録しているが、複数の機器状態を登録しても良いし、機器状態ごとに列を分けて登録しても良いし、機器種別ごとに登録項目を変えても良い。機器状態は、第１機器を含む複数の機器それぞれの１以上の状態（例えば、電源ＯＮ、電源ＯＦＦおよび解錠等）を含む。

【0113】

図２に戻って、在室状況判定部１２０は、ホームネットワーク１１に接続された機器から取得された情報に基づいて、宅内にいる人の在室状況を判定する。在室状況判定部１２０は、例えば、異常検知のための閾値を算出する対象の第１機器以外の第２機器から取得された情報を少なくとも用いて、宅内にいる人の在室状況を判定する。在室状況判定部１２０は、例えば、さらに、第１機器および第３機器の少なくとも一方から取得された情報に基づいて、宅内にいる人の在室状況を判定してもよい。また、在室状況判定部１２０は、機器状態保持部２００から現在の機器の状態を取得し、機器の状態の組合せにより在室状況を判定し在室状況データ（図４を参照）を作成してもよい。在室状況判定部１２０は、作成した在室状況データを在室状況保持部２１０に登録する。在室状況データは、機器の状態と在室状況（例えば、在室または不在）とが対応づけられたテーブルである。在室状況データは、例えば、閾値算出装置が実際に閾値を算出する前に作成される。

【0114】

在室状況判定部１２０は、各機器の利用状況または各種センサの情報を解析して宅内にいる人の在室状況を判定することで作成した在室状況データを在室状況保持部２１０登録してもよい。

【0115】

各機器の利用状況から判定する場合、在室状況判定部１２０は、各機器の利用状況の組合せから在室状況を推測する。例えば、在室状況判定部１２０は、エアコン３０の機器状態が電源ＯＮ、電気錠３２の機器状態が解錠、テレビ４０の機器状態が電源ＯＮの場合、在室中であると判定する。在室状況判定部１２０は、各機器の利用状況の組合せと在室状況とが対応づけられたテーブルを用いて機器の利用状況から在室状況を推測してもよい。

【0116】

各種センサの情報から在室状況を判定する場合、在室状況判定部１２０は、宅内に設置した人感センサの情報から判定してもよいし、宅内に設置したカメラの画像または映像を解析した情報から判定してもよい。また、在室状況判定部１２０は、住人全員にＲＦタグ等の発信機を携帯させ、宅内に設置したＲＦ受信機等の受信機により、発信機が宅内のどこにあるか、発信機が動いているかどうか、発信機に搭載したセンサからの情報を受信し発信機が動いているかどうかの情報から在室状況を判定してもよい。また、在室状況判定部１２０は、住人全員に受信機を携帯させ、宅内に受信機を設置し、受信機が受信した信号をサーバまたはホームゲートウェイ２０等の宅内のコントローラ５０へ通知することで在室状況を判定してもよいし、屋内位置測位システムを利用して住人の動向を把握した情報から在室状況を判定してもよい。また、在室状況判定部１２０は、ホームゲートウェイ２０を通過する通信量と過去の通信量の実績とから利用人数を推測してもよいし、Ｗｉ－Ｆｉ（登録商標）のアクセスポイント（Ｗｉ－Ｆｉ ＡＰ）の接続数から利用人数を推測してもよいし、それ以外の情報から判定してもよい。

【0117】

また、在室状況判定部１２０は、各家電等から得られるセンサ情報、（例えば、冷蔵庫の開閉センサの情報、窓もしくはドアの開閉センサの情報、台所もしくは洗面所における水の使用量、室温、湿度、二酸化炭素濃度化学物質濃度またはその変化量等）から、人が実際に家に居ると判定できる情報または人が動いていると判定できる情報から在室状況を判定しても良い。

【0118】

在室状況保持部２１０は、第２機器または第２機器を含む複数の機器の状態の組合せから判定された在室状況に関する情報を在室状況データとして保持する。在室状況保持部２１０は、半導体メモリ等の記憶装置である。

【0119】

図４は、本実施の形態における在室状況データの一例を示す図である。図４に示す在室状況データは、在室状況判定部１２０により作成される。

【0120】

図４に示すように、在室状況データには、機器状態保持部２００が保持する機器状態データに登録されている全ての機器に関する機器状態の組合せと組合せに対応する在室状況とが対応づけて登録されている。在室状況には、住居の在不在状態（在室／不在）が登録されている。つまり、在室状況は、宅内の人の有無を含む。在室状況は、宅内の人の１以上の状況（在室または不在等）を含む。

【0121】

なお、在室状況は、在不在状態（在室／不在）に限定するものではない。在室中の場合、例えば、在室状況には在室している人数または住人の居る場所、住人の属性等が登録されていても良いし、複数の在室状況が組み合せて登録されていても良い。

【0122】

例えば、在室状況データとして、１人在室中／２人在室中等の人数を登録しておいても良いし、１Ｆにのみ居る／２Ｆにのみ居るまたは、寝室のみに居る／リビングのみに居る／キッチンに居る等の家の中のどこにいるかの情報を登録しておいても良い。つまり、在室状況は、宅内における人の人数および位置の少なくとも一方を含んでいてもよい。また、例えば、在室状況データとして、子供のみがいる／祖父母のみがいる等在宅している人の属性を登録しておいても良いし、来客がいる等住人以外の人の属性を登録しておいても良い。位置は、どの部屋にいるか、どの階数にいるか等を含む。

【0123】

また、在室状況は、人の活動情報を含んでいてもよい。活動情報は、人が起きているか寝ているかを示す情報、人の移動量の情報等を含んでいてもよい。活動情報は、各センサ等により取得可能である。また、在室状況判定部１２０は、人が在室しているが、ホームセキュリティ会社の監視システムが監視状態となっている場合、当該人が寝ていると判定してもよい。

【0124】

また、図４において在室状況は１つの列に登録されているが、上記のような内容ごとに列を分けて登録しておいても良い。

【0125】

図４の内容は例であるが、実際の在不在の判定は予め在不在となる組合せを登録しておいても良いし、過去の利用実績から学習させて自動判定しておいても良いし、住人に異常検知システム１の使用時に、在室状況を登録してもらうようにしても良い。

【0126】

図４に示す在室状況データは、例えば、宅内のそれぞれで作成される。例えば、在室状況データは、宅内のそれぞれで異なっている。

【0127】

図４において、機器状態または在室状況が、どのような状態でも良い場合は、「－」等の記号等を用いて条件を表してもよい。

【0128】

図２に戻って、通信ログ収集部１３０は、通信部１００で受信した通信パケットを通信ログとして通信ログ保持部２２０に登録する。通信ログ収集部１３０は、例えば、第１機器を含む複数の機器で送受信される通信により生成された通信ログを収集する。

【0129】

通信ログ保持部２２０は、ホームネットワーク１１に接続されている機器の通信に関する情報を通信データとして保持する。通信ログ保持部２２０は、半導体メモリ等の記憶装置である。

【0130】

図５は、本実施の形態における通信ログの一例を示す図である。図５に示す通信データは、通信ログ収集部１３０により作成される。

【0131】

図５に示すように、通信ログには、通信パケットに含まれる通信日時、送信元識別子、宛先識別子、通信プロトコル、通信量およびオンライン種別が登録されている。通信ログは、一定期間の時系列データである。

【0132】

通信日時には、通信が発生した日時が登録される。なお、時間の粒度は秒に限定するものではなく、ミリ秒で登録しても良いし、マイクロ秒までを登録しても良い。

【0133】

送信元識別子には、ホームネットワーク１１に接続されている機器のＭＡＣアドレスが登録される。送信元識別子は、ＭＡＣアドレス以外の情報を識別子として利用しても良い。

【0134】

宛先識別子には、ホームネットワーク１１に接続された機器が通信した宛先の識別子として、ＦＱＤＮ（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ）またはドメイン名が登録される。また、宛先識別子は、ＭＡＣアドレスまたはＩＰアドレスでも良いし、これらを組み合わせでも良い。

【0135】

通信プロトコルには、通信に用いたプロトコルが登録される。通信ログ収集部１３０は、通信パケットのデータ部分から通信に用いた通信プロトコルを判定しても良いし、宛先ポート番号から推定しても良い。

【0136】

例えば、ＥＣＨＯＮＥＴ Ｌｉｔｅでは、通信データの先頭２Ｂｙｔｅに０ｘ１０８１か０ｘ１０８２を設定するため、通信パケットのデータ部分の先頭２Ｂｙｔｅが０ｘ１０８１、または、０ｘ１８２になっている場合に、通信ログ収集部１３０は、通信プロトコルがＥＣＨＯＮＥＴ Ｌｉｔｅであると判定する。

【0137】

また、例えば、ＥＣＨＯＮＥＴ Ｌｉｔｅでは、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）のポート番号３６１０のポートを利用して通信するため、受信した通信の宛先ポート番号が３６１０である場合、通信ログ収集部１３０は、通信プロトコルがＥＣＨＯＮＥＴ Ｌｉｔｅであると判定する。

【0138】

また、通信ログ収集部１３０は、上記の判定を組み合わせても良いし、他の情報により判定しても良い。

【0139】

通信量には、通信パケットのパケットサイズが登録される。

【0140】

オンライン種別には、オンライン種別（ローカル通信／グローバル通信）が登録される。通信ログ収集部１３０は、宛先識別子がホームネットワーク１１内の機器宛を示す場合、「ローカル通信」と判定し、宛先識別子がインターネット１０上のサーバ（図示しない）またはサイト（図示しない）等を示す場合、「グローバル通信」と判定して判定結果を登録する。

【0141】

上記のように、通信ログには、通信ログの宛先識別子に基づいて判定されたオンライン種別を示す種別情報が含まれ、種別情報は、通信ログにおける１以上のオンライン種別を含んでいてもよい。

【0142】

なお、通信ログは、ホームゲートウェイ２０またはその他機器（図示しない）に通信ログ生成機能を持たせ、通信ログ収集部１３０に転送しても良い。

【0143】

図２に戻って、学習部１４０は、機器状態、在室状況および通信ログに基づいて、第１機器を含む複数の機器それぞれの通信に対する閾値（例えば、通信量の閾値）を算出する。学習部１４０は、異常検知装置が検知する対象となる通信ログが取得された時刻を含む第２期間の機器状態および在室状況に応じた閾値を算出する。学習部１４０は、例えば、機器状態（例えば、１以上の状態）および在室状況（例えば、１以上の状況）の組み合わせのそれぞれに対して閾値を算出してもよい。また、学習部１４０は、さらに１以上のオンライン種別の組み合わせのそれぞれに対して閾値を算出してもよい。つまり、学習部１４０は、機器状態（例えば、１以上の状態）、在室状況（例えば、１以上の状況）および１以上のオンライン種別の組み合わせのそれぞれに対して閾値を算出してもよい。

【0144】

学習部１４０は、機器状態保持部２００から取得した機器状態データと、在室状況保持部２１０から取得した在室状況データと、通信ログ保持部２２０から取得した通信ログとを基に学習データおよび閾値データを作成し、学習データ保持部２３０に登録する。学習部１４０は、算出部の一例である。

【0145】

学習データ保持部２３０は、機器状態と在室状況とを含めた通信内容を学習データとして保持する。また、学習データ保持部２３０は、学習データから算出された閾値を閾値データとして保持する。学習データは、閾値を算出するための実測データである。

【0146】

図６は、本実施の形態における学習データの一例を示す図である。図６に示す学習データは、学習部１４０により作成される。

【0147】

図６に示すように、学習データには、通信日時、機器識別子、機器状態、在室状況、通信量およびオンライン種別が登録されている。

【0148】

機器識別子および機器状態には、機器状態保持部２００が保持している機器状態データの機器識別子および機器状態が登録される。

【0149】

在室状況には、在室状況保持部２１０が保持している在室状況データの在室状況が登録される。

【0150】

通信日時、オンライン種別および通信量には、通信ログ保持部２２０が保持している通信データに登録されている通信日時、オンライン種別および通信量が登録される。

【0151】

図６に示すように、学習部１４０は、機器状態と、在室状況と、通信ログ（図６の例では通信量およびオンライン種別）とが対応づけられた学習データを生成する。当該学習データは、例えば、機器状態と、在室状況と、通信ログとを時系列順に並べた時系列データである。そして、学習部１４０は、後述するように、学習データに基づいて閾値を算出する。

【0152】

学習部１４０は、第１機器を含む複数の機器のそれぞれにおいて、図６に示すような学習データを生成してもよい。

【0153】

図７は、本実施の形態における閾値データの一例を示す図である。図７に示す閾値データは、学習部１４０により作成される。

【0154】

図７に示すように、閾値データには、機器識別子、機器状態、在室状況、オンライン種別および閾値が登録されている。

【0155】

機器識別子および機器状態には、機器状態保持部２００が保持している機器状態データの機器識別子および機器状態が登録される。

【0156】

在室状況には、在室状況保持部２１０が保持している在室状況データの在室状況が登録される。

【0157】

通信日時、オンライン種別および通信量には、通信ログ保持部２２０が保持している通信データに登録されている通信日時、オンライン種別および通信量が登録される。

【0158】

閾値には、学習部１４０が通信ログ保持部２２０で保持している通信量から算出したパケットサイズの最小値および最大値が閾値として登録される。閾値としてパケットサイズの最小値および最大値に限定するのもではない。パケットサイズの平均値を登録しても良いし、時間単位のアクセス回数を登録しても良いし、他の情報を閾値として登録しても良いし、それらを組み合わせて登録しても良い。登録する閾値によって閾値データの列を増やしても良い。閾値の算出については、後述する。

【0159】

なお、閾値は、通信量に対する閾値であり、通信量の最大値および最小値を含んでいてもよい。また、閾値は、通信回数に対する閾値であり、通信回数の最大値および最小値を含んでいてもよい。なお、閾値は、最大値および最小値の少なくとも一方を含んでいればよい。

【0160】

図７に示すように、学習部１４０は、機器状態と、在室状況と、オンライン種別と、そのときの通信量の閾値とが対応づけられた閾値データを生成する。当該閾値データは、例えば、機器状態と、在室状況と、オンライン種別との組み合わせのそれぞれに対して閾値が対応づけられたデータである。そして、異常検知部１５０は、後述するように、学習部１４０が生成した閾値データに基づいて機器の異常を検出する。

【0161】

学習部１４０は、第１機器を含む複数の機器のそれぞれにおいて、図７に示すような閾値データを生成してもよい。

【0162】

図２に戻って、異常検知部１５０は、学習データ保持部２３０の閾値データと通信ログ保持部２２０の通信ログとを比較し、異常判定を実施する。異常検知部１５０は、異常と判定した通信を、通信部１００を介して異常監視装置８０に通知する。

【0163】

［１．３ 異常検知システムの動作］
以下では、上記の異常検知システム１の動作について、図８Ａ～図１８を参照しながら説明する。まずは、閾値算出装置の動作（閾値算出方法）について、図８Ａ～図１７を参照しながら説明する。図８Ａは、閾値算出装置の動作（閾値算出処理）異常検知処理装置７０を示すフローチャートである。なお、閾値算出処理を学習処理とも記載する。

【0164】

（Ｓ８０１ａ）異常検知処理装置７０は、機器状態取得処理を行う。異常検知処理装置７０の閾値算出装置は、ステップＳ８０１ａにおいて、閾値を決定するために、第１機器を含む複数の機器それぞれの第１期間における機器状態を取得する。第１期間は、異常検知装置における異常検知対象の通信ログが取得された時刻より過去の期間である。

【0165】

（Ｓ８０２ａ）異常検知処理装置７０は、在室状況判定処理を行う。異常検知処理装置７０の閾値算出装置は、ステップＳ８０２ａにおいて、第２機器から取得された情報に基づいて、第１期間の在室状況を判定する処理を行う。

【0166】

（Ｓ８０３ａ）異常検知処理装置７０は、通信ログ収集処理を行う。異常検知処理装置７０の閾値算出装置は、ステップＳ８０３ａにおいて、第１期間の通信ログを収集する処理を行う。

【0167】

（Ｓ８０４）異常検知処理装置７０は、学習処理を行う。異常検知処理装置７０の閾値算出装置は、ステップＳ８０４において、第１期間の後の第２期間における、第１機器を含む複数の機器それぞれの通信に関する閾値を算出するための処理を行う。

【0168】

続いては、異常検知装置の動作について、図８Ｂを参照しながら説明する。図８Ｂは、異常検知装置の動作（異常検知処理）を示すフローチャートである。

【0169】

（Ｓ８０１ｂ）異常検知処理装置７０の異常検知装置は、ステップＳ８０１ｂにおいて、通信の異常を判定するために、第１機器を含む複数の機器それぞれの第１期間の後の第２期間における機器状態を取得する処理を行う。第２期間は、例えば第１期間の後の期間であるが、少なくとも一部の期間が第１期間に含まれていてもよい。第２期間は、検知対象の通信ログが取得された時刻（例えば、現時点）であってもよいし、１時間、１日等の期間であってもよい。

【0170】

（Ｓ８０２ｂ）異常検知処理装置７０は、在室状況判定処理を行う。異常検知処理装置７０の異常検知装置は、ステップＳ８０２ｂにおいて、第２機器から取得された情報に基づいて、第２期間の在室状況を判定する処理を行う。

【0171】

（Ｓ８０３ｂ）異常検知処理装置７０は、通信ログ収集処理を行う。異常検知処理装置７０の異常検知装置は、ステップＳ８０３ｂにおいて、第２期間の通信ログを収集する処理を行う。

【0172】

（Ｓ８０５）異常検知処理装置７０は、異常検知処理を行う。異常検知処理装置７０の異常検知装置は、閾値算出装置が算出した閾値と、第２期間の機器状態、在室状況および通信ログとに基づいて、第２期間における第１機器を含む複数の機器のそれぞれの異常な通信を検出する。

【0173】

なお、通信ログ収集処理は、機器状態取得処理の前、在室状況判定処理の前に行ってもよい。また、学習処理と異常検知処理とは並列して行われてもよい。

【0174】

以下、学習処理および異常検知処理のそれぞれについて、図９～図１８を参照しながら説明する。

【0175】

［１．３．１ 機器状態取得処理時の動作］
図９は、本実施の形態における機器状態取得処理（Ｓ８０１（Ｓ８０１ａ、Ｓ８０１ｂ））の一例を示すフローチャートである。図９は、機器状態取得部１１０の処理を示す。

【0176】

（Ｓ１１０１）機器状態取得部１１０は、ホームネットワーク１１に接続するＥＣＨＯＮＥＴ Ｌｉｔｅ対応機器の状態調査を行い、機器状態データを更新する。

【0177】

（Ｓ１１０２）機器状態取得部１１０は、ホームネットワーク１１に接続するＵＰｎＰ／ＤＬＮＡ対応機器の状態調査を行い、機器状態データを更新する。

【0178】

（Ｓ１１０３）機器状態取得部１１０は、ホームネットワーク１１に接続するその他機器の状態調査を行い、機器状態データを更新する。

【0179】

（Ｓ１１０４）機器状態取得部１１０は、一定時間待機し、再度ステップＳ１１０１に戻り、ステップＳ１１０１以降の処理を継続する。

【0180】

図９では、機器状態取得部１１０は、ステップＳ１１０１からステップＳ１１０３の処理をシーケンシャルに実施しているが、図９の順の処理でなくてもよい。また、機器状態取得部１１０は、これらの処理をパラレルに実施しても良い。また、機器状態取得部１１０は、ステップＳ１１０１～Ｓ１１０３の全ての処理を毎回実施しなくても良い。機器状態取得部１１０は、機器状態取得処理において、ステップＳ１１０１～Ｓ１１０３のうち少なくとも１つを実施すれば良い。また、機器状態取得部１１０は、機器が能動的に状態通知を定期送信している場合は、その通知を受信したタイミングで処理を実施しても良い。

【0181】

以下、ステップＳ１１０１～Ｓ１１０３のそれぞれについて、図１０～図１２を参照しながら説明する。

【0182】

［１．３．１．１ ＥＣＨＯＮＥＴ Ｌｉｔｅ対応機器の状態調査処理］
図１０は、本実施の形態における機器状態取得処理の一例を示すフローチャートである。具体的には、図１０は、ＥＣＨＯＮＥＴ Ｌｉｔｅ対応機器の状態調査処理（Ｓ１１０１）の一例を示すフローチャートである。

【0183】

（Ｓ１１０１１）機器状態取得部１１０は、ホームネットワーク１１に対して機器検索要求として、ＥＣＨＯＮＥＴ Ｌｉｔｅ対応機器の制御コマンドである、自ノードインスタンスリスト要求（０ｘＤ６）をホームネットワーク１１に対しマルチキャスト送信する。

【0184】

（Ｓ１１０１２）機器状態取得部１１０は、自ノードインスタンスリスト要求（０ｘＤ６）に対して応答があるか否かを判定する。応答がある場合（Ｓ１１０１２でＹｅｓの場合）、機器状態取得部１１０は、ステップＳ１１０１３の処理を実施する。応答がない場合（Ｓ１１０１２でＮｏの場合）、機器状態取得部１１０は、ステップＳ１１０１７の処理を実施する。

【0185】

（Ｓ１１０１３）機器状態取得部１１０は、応答のあった機器が機器状態データに登録されているか否か、例えば未登録の機器であるか否かを判定する。具体的には、機器状態取得部１１０は、応答に含まれる送信元ＭＡＣアドレス等の接続端末機器識別子が機器状態保持部２００に登録されている機器であるか否かを判定する。登録されていないと判定した場合（Ｓ１１０１３でＮｏの場合）、機器状態取得部１１０は、ステップＳ１１０１４の処理を実施する。登録されていると判定した場合（Ｓ１１０１３でＹｅｓの場合）、機器状態取得部１１０は、ステップＳ１１０１５を実施する。

【0186】

（Ｓ１１０１４）機器状態取得部１１０は、対象の機器に対して、接続端末機器識別子（送信元ＭＡＣアドレス等）および機器種別を機器状態保持部２００に新規に登録する。機器種別は、ＥＣＨＯＮＥＴ（登録商標）オブジェクトコード（ＥＯＪ）により判定される。例えばクラスグループコードが０ｘ０１（空調関連機器クラスグループ）またはクラスコードが０ｘ３０（家庭用エアコンクラス）の場合、機器種別はエアコンであることが特定できる。また、機器状態取得部１１０は、機器種別を、通信パケットを解析して特定しても良いし、ＭＡＣアドレスのＯＵＩ（Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ Ｕｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ）から推測しても良い。

【0187】

（Ｓ１１０１５）機器状態取得部１１０は、対象の機器に対して、ＥＣＨＯＮＥＴ Ｌｉｔｅ対応機器の制御コマンドを利用した動作状態取得要求を送信する。

【0188】

制御コマンドとしては、機器の電源の動作状態（ＥＰＣ（ＥＣＨＯＮＥＴプロパティ）：０ｘ８０）を取得するプロパティ値の読み出し要求（ＥＳＶ（ＥＣＨＯＮＥＴ Ｌｉｔｅサービス）：０ｘ６２）または機器種別固有の状態要求があり、これらの要求を組み合せても良い。機器状態取得部１１０は、機器が家庭用エアコンの場合、動作状態取得要求として、運転モード設定（ＥＰＣ：０ｘＢ０）を取得するプロパティ値の読み出し要求（ＥＳＶ：０ｘ６２）を送信し、機器が給湯器の場合、動作状態取得要求として、給湯温度設定（ＥＰＣ：０ｘＤ１）を取得するプロパティ値の読み出し要求（ＥＳＶ：０ｘ６２）を送信する。

【0189】

（Ｓ１１０１６）機器状態取得部１１０は、ステップＳ１１０１５で送信した制御コマンドの応答結果を受信し、受信した応答結果に基づいて機器状態を特定し、特定した機器状態を機器状態データに登録する。

【0190】

機器の電源の動作状態（ＥＰＣ：０ｘ８０）を取得するプロパティ値の読み出し要求（ＥＳＶ：０ｘ６２）に対する応答結果は電源ＯＮ（ＥＤＴ（ＥＣＨＯＮＥＴプロパティ値データ）：０ｘ３０）または電源ＯＦＦ（ＥＤＴ：０ｘ３１）であり、機器状態取得部１１０は、機器状態に「電源ＯＮ」または「電源ＯＦＦ」を機器状態データに登録する。機器状態取得部１１０は、登録内容としては、「電源ＯＮ」または「電源ＯＦＦ」の文字列で登録しても良いし、プロパティ値「ＥＤＴ：０ｘ３０」または「ＥＤＴ：０ｘ３１」を登録しても良い。

【0191】

また、例えば、給湯器の場合、機器の電源の動作状態（ＥＰＣ：０ｘ８０）を取得するプロパティ値の読み出し要求に対して、応答結果が例えば電源ＯＮ（ＥＤＴ：０ｘ３０）であり、給湯温度設定（ＥＰＣ：０ｘＤ１）を取得するプロパティ値の読み出し要求に対して、応答結果が例えば設定温度４８℃（ＥＤＴ：０ｘ３０）であるとする。この場合、機器状態取得部１１０は、給湯器の応答結果として、例えば、「０ｘ８０／０ｘ３０」、「ＥＰＣ：０ｘＤ１/０ｘ３０」のようにＥＰＣとＥＤＴとの両方を合わせて登録する。

【0192】

（Ｓ１１０１７）機器状態取得部１１０は、機器状態データに既に登録済みの機器の内、応答のなかった機器、すなわち、以前ホームネットワーク１１に接続していたが、現在ホームネットワーク１１に接続していない機器に対して、機器状態を「電源ＯＦＦ」に設定することで、機器状態を更新してもよい。なお、機器状態取得部１１０は、「電源ＯＦＦ」の代わりに、「未接続」に設定することで、機器状態を更新しても良い。

【0193】

［１．３．１．２ ＵＰｎＰ／ＤＬＮＡ対応機器の状態調査処理］
図１１は、本実施の形態における機器状態取得処理の他の一例を示すフローチャートである。具体的には、図１１は、ＵＰｎＰ／ＤＬＮＡ対応機器の状態調査処理（Ｓ１１０２）の一例を示すフローチャートである。

【0194】

（Ｓ１１０２１）機器状態取得部１１０は、機器検索要求として、ＵＰｎＰ／ＤＬＮＡ対応機器の制御コマンドであるＭ－ＳＥＡＲＣＨ要求をホームネットワーク１１に対しマルチキャスト送信する。

【0195】

（Ｓ１１０２２）機器状態取得部１１０は、Ｍ－ＳＥＡＲＣＨ要求に対して応答があるか否かを判定する。応答がある場合（Ｓ１１０２２でＹｅｓの場合）、機器状態取得部１１０は、ステップＳ１１０２３の処理を実施する。応答がない場合（Ｓ１１０２２でＮｏの場合）、機器状態取得部１１０は、ステップＳ１１０２７の処理を実施する。

【0196】

（Ｓ１１０２３）機器状態取得部１１０は、応答のあった機器が機器状態データに登録されているか否か、例えば未登録の機器であるか否かを判定する。具体的には、機器状態取得部１１０は、応答に含まれる送信元ＭＡＣアドレス等の接続端末機器識別子が機器状態保持部２００に登録されている機器であるか否かを判定する。登録されていない場合（Ｓ１１０２３でＮｏの場合）、機器状態取得部１１０は、ステップＳ１１０２４を実施する。登録済みの場合（Ｓ１１０２３でＹｅｓの場合）、機器状態取得部１１０は、ステップＳ１１０２６を実施する。

【0197】

（Ｓ１１０２４）機器状態取得部１１０は、対象の機器に対して、機器種別要求（例えば、ＨＴＴＰ ＧＥＴ要求等）を送信する。

【0198】

（Ｓ１１０２５）機器状態取得部１１０は、機器種別要求に対する応答結果（Ｄｅｖｉｃｅ Ｄｅｓｃｒｉｐｔｉｏｎ ＸＭＬ）を取得し、取得した応答結果に基づいて機器状態データに未登録の機器を新規登録する。具体的には、機器状態取得部１１０は、応答結果に含まれる「ｍｏｄｅｌＮａｍｅ」、「ｍｏｄｅｌＮｕｍｂｅｒ」、「ｍｏｄｅｌＤｅｓｃｒｉｐｔｉｏｎ」等のパラメータから機器種別を推定し、応答結果に含まれる接続端末機器識別子（送信元ＭＡＣアドレス等）と、機器種別とを機器状態データ（機器状態保持部２００）に新規に登録する。なお、前述のパラメータは一例であって、機器状態取得部１１０は、他のパラメータから機器種別を推定してもよい。また、機器状態取得部１１０は、機器種別を、通信パケットを解析して特定しても良いし、ＭＡＣアドレスのＯＵＩから推測しても良い。

【0199】

（Ｓ１１０２６）機器状態取得部１１０は、対象の機器に対して、応答があったので機器状態を「電源ＯＮ」とし、機器状態データに登録する。機器状態は、機器種別固有の状態要求に対する応答結果に基づいて機器の状態を設定しても良い。

【0200】

（Ｓ１１０２７）機器状態取得部１１０は、機器状態データに既に登録済みの機器の内、応答のなかった機器、すなわち、以前ホームネットワーク１１に接続していたが、現在ホームネットワーク１１に接続していない機器に対して、当該機器の機器状態を「電源ＯＦＦ」に設定することで、機器状態を更新してもよい。なお、機器状態取得部１１０は、「電源ＯＦＦ」の代わりに、「未接続」に設定することで、機器状態を更新しても良い。

【0201】

［１．３．１．３ その他機器の状態調査処理］
図１２は、本実施の形態における機器状態取得処理のさらに他の一例を示すフローチャートである。図１２は、ＥＣＨＯＮＥＴ Ｌｉｔｅ対応機器およびＵＰｎＰ／ＤＬＮＡ対応機器以外の機器（スマホ６０、パソコン６１等）の状態調査処理（Ｓ１１０３）の一例を示すフローチャートである。

【0202】

（Ｓ１１０３１）機器状態取得部１１０は、機器検索要求として、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求をホームネットワーク１１に対しブロードキャスト送信する。

【0203】

（Ｓ１１０３２）機器状態取得部１１０は、ＡＲＰ要求に対して応答があるか否かを判定する。応答がある場合（Ｓ１１０３２でＹｅｓの場合）、機器状態取得部１１０は、ステップＳ１１０３３の処理を実施する。応答がない場合（Ｓ１１０３２でＮｏの場合）、機器状態取得部１１０は、ステップＳ１１０３６の処理を実施する。

【0204】

（Ｓ１１０３３）機器状態取得部１１０は、応答のあった機器が機器状態データに登録されているか否か、例えば未登録の機器であるか否かを判定する。具体的には、機器状態取得部１１０は、応答に含まれる送信元ＭＡＣアドレス等の接続端末機器識別子が機器状態保持部２００に登録されている機器であるか否かを判定する。登録されていない機器であると判定した場合（Ｓ１１０３３でＮｏの場合）、機器状態取得部１１０は、ステップＳ１１０３４を実施する。登録されている機器であると判定した場合（Ｓ１１０３３でＹｅｓの場合）、機器状態取得部１１０は、ステップＳ１１０３５を実施する。

【0205】

（Ｓ１１０３４）機器状態取得部１１０は、対象の機器に対して、接続端末機器識別子（送信元ＭＡＣアドレス等）および機器種別を機器状態データ（機器状態保持部２００）に新規に登録する。機器状態取得部１１０は、機器種別を、機器が通信する通信パケットを解析して特定しても良いし、ＭＡＣアドレスのＯＵＩから推測しても良い。例えば、通信パケットに含まれるＵｓｅｒ－Ａｇｅｎｔを解析すればＯＳ名またはＯＳのバージョンを判定することができる。

【0206】

（Ｓ１１０３５）機器状態取得部１１０は、対象の機器の応答結果に基づいて機器状態を登録する。機器状態取得部１１０は、対象の機器に対して、例えば、機器状態を「電源ＯＮ」とし、機器状態データに登録する。機器状態取得部１１０は、応答が返ってきた機器を「電源ＯＮ」と設定しても良いし、機器が通信する通信パケットを解析して機器が使用しているアプリケーション等を設定しても良い。機器状態取得部１１０は、例えば、通信パケットに含まれるＵｓｅｒ－Ａｇｅｎｔを解析すれば、使用中のブラウザ等を判定することができる。

【0207】

（Ｓ１１０３６）機器状態取得部１１０は、機器状態データに既に登録済みの機器の内、応答のなかった機器、すなわち、以前ホームネットワーク１１に接続していたが、現在ホームネットワーク１１に接続していない機器に対して、機器状態を「電源ＯＦＦ」に設定することで、機器状態を更新してもよい。なお、機器状態取得部１１０は、「電源ＯＦＦ」の代わりに、「未接続」に設定することで、機器状態を更新しても良い。

【0208】

［１．３．２ 在室状況判定処理時の動作］
図１３は、本実施の形態における在室状況判定処理（Ｓ８０２（Ｓ８０２ａ、Ｓ８０２ｂ））の一例を示すフローチャートである。図１３は、在室状況判定部１２０の処理を示す。

【0209】

（Ｓ１２０１）在室状況判定部１２０は、機器状態保持部２００が保持する機器状態データに登録されている全ての機器の現在の機器状態を取得する。

【0210】

（Ｓ１２０２）在室状況判定部１２０は、機器状態保持部２００に保持されている機器状態データが示す状態と在室状況保持部２１０に保持されている在室状況データに登録されている機器状態の組合せとを照らし合わせ、在室中か不在中か、つまり宅内に人がいるか否かを判定する。例えば、機器状態保持部２００に保持されている機器状態データが図３に示す状態（エアコン３０が「電源ＯＮ」、電気錠３２が「解錠」、テレビ４０が「電源ＯＦＦ」、スマホが６０「電源ＯＮ」）の場合、在室状況保持部２１０に保持されている在室状況データが図４に示す機器状態の組合せに一致する在室状況である「在室」と判定される。また、在室状況判定部１２０は、在室状況データの在室状況を機器状態の組合せから推測して登録しても良いし、住人が在室中か不在中かを設定しても良い。在室状況判定部１２０は、機器の状態から在不在を判定することに限定するものではなく、人感センサ等の各種センサ情報を用いて在不在を判定しても良いし、水・電気・ガス等の使用量から在不在を判定しても良いし、機器の状態に加えてオンライン種別の情報も加味して在不在を判定しても良い。

【0211】

［１．３．３ 通信ログ収集処理時の動作］
図１４は、本実施の形態における通信ログ収集処理（Ｓ８０３（Ｓ８０３ａ、Ｓ８０３ｂ））の一例を示すフローチャートである。図１４は、通信ログ収集部１３０の処理を示す。

【0212】

（Ｓ１３０１）通信ログ収集部１３０は、ホームゲートウェイ２０に接続されている通信線に流れている通信パケットの内容を、通信部１００を経由して受信する。

【0213】

（Ｓ１３０２）通信ログ収集部１３０は、受信した通信パケットの宛先を判定する。受信した通信パケットの宛先識別子（ＦＱＤＮやドメイン名、ＭＡＣアドレス、ＩＰアドレス等）がホームネットワーク１１内の機器宛の場合、通信ログ収集部１３０は、ステップＳ１３０３を実施し、宛先識別子がインターネット１０上のサーバまたはサイト宛等の場合、通信ログ収集部１３０は、ステップＳ１３０４を実施する。

【0214】

（Ｓ１３０３）宛先識別子がホームネットワーク１１内の機器宛の場合、通信ログ収集部１３０は、受信した通信パケットのオンライン種別を「ローカル通信」に設定する。

【0215】

（Ｓ１３０４）宛先識別子がインターネット１０上のサーバまたはサイト宛等の場合、通信ログ収集部１３０は、受信した通信パケットのオンライン種別を「グローバル通信」に設定する。

【0216】

（Ｓ１３０５）通信ログ収集部１３０は受信した通信パケットから通信が発生した日時、送信元識別子（ＭＡＣアドレスやＩＰアドレス等）、宛先識別子、通信プロトコル、オンライン種別および通信量を通信ログとして通信ログ保持部２２０に登録する。

【0217】

［１．３．４ 学習処理時の動作］
図１５は、本実施の形態における学習処理（Ｓ８０４）の一例を示すフローチャートである。図１５は、学習部１４０の処理を示す。図１５に示す処理は、例えば、第１機器を含む複数の機器のそれぞれに対して実施される。

【0218】

（Ｓ１４０１）学習部１４０は、閾値の算出に用いるデータである学習データを作成する。

【0219】

（Ｓ１４０２）学習部１４０は、作成された学習データに基づいて閾値の設定をする。

【0220】

図１５では、学習部１４０は、ステップＳ１４０１およびステップＳ１４０２の処理をシーケンシャルに実施しているが、これらの処理をパラレルに実施しても良い。

【0221】

以下、ステップＳ１４０１およびステップＳ１４０２の処理それぞれについて、図１６および図１７を参照しながら説明する。

【0222】

［１．３．４．１ 学習データ作成処理の詳細］
図１６は、本実施の形態における学習データ作成処理（Ｓ１４０１）の一例を示すフローチャートである。

【0223】

（Ｓ１４０１１）学習部１４０は、通信ログ保持部２２０が保持する通信ログを取得する。具体的には、学習部１４０は、通信ログ保持部２２０が保持する通信ログから現在通信中の送信元識別子、通信量およびオンライン種別を取得する。学習部１４０は、現在の通信ログを取得しているが、指定時刻の通信ログを取得しても良いし、特定機器の通信ログを取得しても良いし、通信ログを一覧で取得しても良い。学習部１４０は、通信ログを一覧で取得した場合、ステップＳ１４０１２～Ｓ１４０１４の処理を繰り返し実施する。

【0224】

（Ｓ１４０１２）学習部１４０は、機器状態保持部２００に保持されている機器状態データを取得する。具体的には、学習部１４０は、機器状態保持部２００に保持されている機器状態データの全ての機器種別および機器状態を取得する。学習部１４０は、機器状態データに日時情報を持たせて日時を指定して機器状態を取得しても良い。

【0225】

（Ｓ１４０１３）学習部１４０は、在室状況保持部２１０が保持する在室状況データを取得する。具体的には、学習部１４０は、ステップＳ１４０１２で取得した機器状態データを基に在室状況保持部２１０が保持する在室状況データから在室状況を取得する。学習部１４０は、例えば、ステップＳ１４０１２で取得した機器状態データがエアコン「電源ＯＮ」、電気錠「解錠」およびテレビ「電源ＯＦＦ」であった場合、在室状況として「在室」を取得することができる。また、学習部１４０は、在室状況データに日時情報を持たせて日時を指定して在室状況を取得しても良い。

【0226】

（Ｓ１４０１４）学習部１４０は、ステップＳ１４０１１で取得した送信元識別子、通信量およびオンライン種別と、ステップＳ１４０１２で取得した機器種別および機器状態と、ステップＳ１４０１３で取得した在室状況とを対応づけて学習データとして学習データ保持部２３０に登録する。学習部１４０は、例えば、「２０２０／１１／４ １６：４５：００」時点の通信ログから学習データを登録する場合、図５に示す通信ログ保持部２２０に保持されている通信ログから送信元識別子「１１：１１：１１：１１：１１：１１」、通信量「１５，０００Ｂｙｔｅ」およびオンライン種別「グローバル通信」をステップＳ１４０１１にて取得し、図３に示す機器状態保持部２００に保持されている機器状態データから機器識別子が「１１：１１：１１：１１：１１：１１」の機器（エアコン）の機器状態「電源ＯＮ」をステップＳ１４０１２にて取得し、ステップＳ１４０１３にて在室状況として「在室」を取得し、学習データとして、通信日時「２０２０／１１／４ １６：４５：００」、機器識別子「１１：１１：１１：１１：１１：１１」、機器状態「電源ＯＮ」、在室状況「在室」、通信量「１５，０００Ｂｙｔｅ」およびオンライン種別「グローバル通信」を対応づけて登録する。

【0227】

学習部１４０による、学習データ保持部２３０への登録タイミングは通信ログ保持部２２０に通信ログを保存するタイミングと併せて登録しても良いし、任意のタイミングで登録しても良い。任意のタイミングで登録する場合は、学習部１４０は、通信ログの通信日時時点の機器状態および在室状態を保持する必要がある。

【0228】

なお、学習部１４０は、学習データを登録する際、ステップＳ１４０１１、Ｓ１４０１２およびＳ１４０１３のそれぞれで取得したデータを全て用いて学習データを生成することに限定されない。学習部１４０は、例えば、通信ログ、機器状態データおよび在室状況データの少なくとも１つに対して外れ値を除く処理を行っても良い。外れ値を除く処理は、既存のいかなる処理が用いられても良く、例えば、四分位範囲（ＩＱＲ：Ｉｎｔｅｒｑｕａｒｔｉｌｅ Ｒａｎｇｅ）を用いた処理であってもよい。

【0229】

［１．３．４．２ 閾値設定処理の詳細］
図１７は、本実施の形態における閾値設定処理（Ｓ１４０２）の一例を示すフローチャートである。

【0230】

（Ｓ１４０２１）学習部１４０は、機器状態保持部２００が保持する機器状態データを取得する。具体的には、学習部１４０は、機器状態保持部２００が保持する機器状態データから機器識別子（ＭＡＣアドレス等）および機器種別を取得する。学習部１４０は、特定機器の機器識別子および機器種別を取得しても良いし、機器状態データに登録されている機器を一覧で取得しても良い。一覧で取得した場合、学習部１４０は、ステップＳ１４０２２～Ｓ１４０２７の処理を機器分繰り返す実施する。

【0231】

（Ｓ１４０２２）学習部１４０は、学習データ保持部２３０に保持されている学習データから該当機器の学習データがあるか否かを判定する。具体的には、学習部１４０は、取得した機器識別子（ＭＡＣアドレス等）を用いて、学習データ保持部２３０に保持されている学習データから該当機器の学習データを検索する。機器の学習データが見つかった場合（Ｓ１４０２２でＹｅｓの場合）、学習部１４０はステップＳ１４０２３を実施し、見つからなかった場合（Ｓ１４０２２でＮｏの場合）は、学習部１４０はステップＳ１４０２４を実施する。

【0232】

（Ｓ１４０２３）学習部１４０は、当該学習データに含まれる機器状態／在室状況／オンライン種別の組合せごとに通信量を取得し、当該組み合わせのそれぞれに対して閾値を算出する。学習部１４０は、当該組み合わせの数だけ閾値を算出する。

【0233】

例えば、学習データ保持部２３０に保持されている学習データが図６に示す内容である場合、機器識別子「１１：１１：１１：１１：１１：１１」における「機器状態／在室状況／オンライン種別」が、「電源ＯＮ／在室／グローバル通信」の場合、通信量は「７，５００Ｂｙｔｅ」と「１５，０００Ｂｙｔｅ」とが取得される。ここで閾値として「最小値／最大値」を設定する場合は、「７，５００／１５，０００Ｂｙｔｅ」を閾値として設定する。機器識別子「１１：１１：１１：１１：１１：１１」における「機器状態／在室状況／オンライン種別」が、「電源ＯＮ／在室／グローバル通信」の場合の通信量が３つ以上取得される場合、学習部１４０は、３つ以上の通信量のうち、通信量が最も少ない通信量を閾値の最小値とし、通信量が最も多い通信量を閾値の最大値とする。なお、学習部１４０は、閾値として最小値および最大値の両方を算出することに限定されず、閾値として最小値および最大値の少なくとも一方を算出してもよい。また、通信量が最も少ない通信量を閾値の最小値とすること、および、通信量が最も多い通信量を閾値の最大値とすることは、閾値を算出することの一例である。また、学習部１４０は、通信量が最も少ない通信量を閾値の最小値とすること、および、通信量が最も多い通信量を閾値の最大値とすることで閾値を決定するとも言える。

【0234】

また、機器状態／在室状況／オンライン種別の組合せ数は、機器状態のパターン数×在室状況のパターン数×オンライン種別のパターン数から算出できる。例えば、機器状態が「電源ＯＮ／電源ＯＦＦ」の２パターン、在室状況が「不在／在室」の２パターン、オンライン種別が「ローカル通信／グローバル通信」の２パターンの場合、２（機器状態パターン数）×２（在室状況のパターン数）×２（オンライン種別のパターン数）＝８パターンの組合せとなり、当該機器の閾値として８パターンの閾値データが設定される。

【0235】

また、学習部１４０は、在室状況に人の１以上の活動情報が含まれる場合、当該１以上の活動情報のそれぞれに対して閾値を算出してもよい。また、上記でも記載したが、在室状況が人の在室および不在を含む場合、人の在室および不在のそれぞれに対して閾値を算出してもよい。また、学習部１４０は、在室状況が宅内における人の人数および位置の少なくとも一方を含む場合、当該少なくとも一方のそれぞれに対して閾値を算出してもよい。

【0236】

なお、学習部１４０は、ステップＳ１４０２３において、機器状態／在室状況／オンライン種別の組合せごとに通信量を取得し、取得した通信量から外れ値を除く処理を行っても良い。外れ値を除く処理は、既存のいかなる処理が用いられても良く、例えば、四分位範囲（ＩＱＲ：Ｉｎｔｅｒｑｕａｒｔｉｌｅ Ｒａｎｇｅ）を用いた処理であってもよい。

【0237】

（Ｓ１４０２４）学習部１４０は、取得した機器種別を用いて学習データ保持部２３０に保持される閾値データから同一機器種別で既に登録済みの閾値データが存在するか否かを判定する。同一機器種別の閾値データが存在すると判定した場合（Ｓ１４０２４でＹｅｓの場合）、学習部１４０はステップＳ１４０２５を実施し、同一機器種別の閾値データが存在しないと判定した場合（Ｓ１４０２４でＮｏの場合）、学習部１４０はステップＳ１４０２６を実施する。

【0238】

（Ｓ１４０２５）学習部１４０は、同一機器種別の閾値データの閾値を当該機器種別の閾値データとして設定する。具体的には、例えば、新たにエアコンを購入した際に、既に設置済みのエアコンの閾値を活用する。この閾値データの設定は必ず実施する必要はなく、機器種別によって実施の有無を選択しても良いし、閾値の設定方法を変更しても良い。

【0239】

（Ｓ１４０２６）、学習部１４０は、取得した機器種別の閾値として初期の閾値を設定する。初期の閾値として、全通信量の最大値と最小値とを設定してもよいし、機器メーカーが設定した初期の閾値を設定しても良い。また、学習部１４０は、ステップＳ１４０２４でＮｏの場合、閾値を設定しなくても良い。また異常検知装置は、学習期間を設けて、学習期間中は該当する機器を異常検知対象から外しても良い。

【0240】

（Ｓ１４０２７）学習部１４０は、作成された閾値データを学習データ保持部２３０に登録する。

【0241】

上記のように、学習部１４０は、異常判定装置の検知対象である通信ログが取得された（つまり、通信が行われた）ときの機器状態および在室状態と同じである過去の通信量の実績データに基づいて、検知対象である通信ログ（つまり、通信）の異常を検出するための閾値を算出する。

【0242】

［１．３．５ 異常検知処理の動作］
図１８は、本実施の形態における異常検知処理（Ｓ８０５）の一例を示すフローチャートである。図１８は、異常検知部１５０の動作（異常検知方法）を示す。

【0243】

（Ｓ１５０１）異常検知部１５０は、通信ログ保持部２２０が保持する通信ログから検知対象の通信ログを取得する。例えば、異常検知部１５０は、通信ログ保持部２２０が保持する通信ログから現在通信中の送信元識別子（ＭＡＣアドレス等）、通信量およびオンライン種別を取得する。現在は、異常検知の対象であり、第２期間の一例である。

【0244】

（Ｓ１５０２）異常検知部１５０は、少なくとも第２機器の機器状態を含む機器状態データを取得する。また、異常検知部１５０は、送信元識別子（ＭＡＣアドレス等）を用いて機器状態保持部２００に保持される機器状態データから対象の機器の現在の機器状態を取得してもよい。

【0245】

（Ｓ１５０３）異常検知部１５０は、在室状況データを取得する。例えば、異常検知部１５０は、在室状況保持部２１０が保持する在室状況データから現在の在室状況を取得する。

【0246】

（Ｓ１５０４）異常検知部１５０は、閾値データを取得する。異常検知部１５０は、ステップＳ１５０２で取得した機器状態と、ステップＳ１５０３で取得した在室状況とに基づいて、閾値データの中から当該機器状態および当該在室状況に対応する閾値を選択することで、閾値を取得する。例えば、異常検知部１５０は、送信元識別子、オンライン種別、機器状態および在室状況をキーに学習データ保持部２３０が保持する閾値データから該当する閾値を取得する。例えば、図７の閾値データを用いると、現在通信中の機器の機器識別子が「１１：１１：１１：１１：１１」であり、機器状態が「電源ＯＮ」であり、オンライン種別が「ローカル通信」であり、現在の在室状況が「不在」である場合、異常検知部１５０は、閾値（最小値／最大値）として「０／１，２３４」を取得する。

【0247】

このように、異常検知部１５０は、学習部１４０（閾値算出装置）が算出した機器状態／在室状況／オンライン種別の組合せそれぞれに対する閾値の中から、現在（第２期間の一例）の機器状態および在室状況に応じた閾値を選択し、選択された閾値と現在の通信ログ（例えば、通信量）とに基づいて、現在の第１機器の異常な通信を検出する。

【0248】

（Ｓ１５０５）異常検知部１５０は、通信量が閾値内であるか否かを判定する。具体的には、異常検知部１５０は、取得した通信量が閾値の最小値と最大値との間に含まれるか否かを判定する。取得した通信量が閾値の最小値と最大値との間に含まれると判定した場合（Ｓ１５０５でＹｅｓの場合）、異常検知部１５０は、異常検知処理を終了し、取得した閾値が閾値の最小値と最大値との間に含まれない（取得した通信量が閾値を超える）と判定した場合（Ｓ１５０５でＮｏの場合）、異常検知部１５０はステップＳ１５０６を実施する。異常検知部１５０は、例えば、ステップＳ１５０５において、取得した通信量が、最小値０から最大値１，２３４以内であるか否かを判定する。

【0249】

（Ｓ１５０６）異常検知部１５０は、異常な通信であると判定し、ホームゲートウェイ２０を介してインターネット１０上の異常監視装置８０に通知する。異常検知部１５０は、選択された閾値と通信ログとを比較し、通信ログが閾値を満たさない場合に異常と判定し、判定結果を異常監視装置８０に出力する。

【0250】

異常検知部１５０は、第１機器を含む複数の機器のそれぞれに対して図１８に示す異常検知処理を実施してもよい。

【0251】

［１．４ 実施の形態の効果］
本実施の形態では、ホームゲートウェイ２０が受信した通信ログから各機器の状態を推定し、各機器からの情報に基づいて宅内の人の状態を推定し、機器の状態および人の状態に応じた異常検知の閾値を設定する（選択する）ことにより、従来では検知できない不在時の機器の異常動作等の検知漏れまたは来客時等の普段の在室人数より増加した際の誤検知を低減することができる。

【0252】

［２．その他の変形例］
本開示は、上記で説明した実施の形態に当然限定されない。例えば、以下のような変形例も本開示に含まれる。

【0253】

（１）上記実施の形態では、異常検知システムはホームネットワークを対象とするが、これは本開示における異常検知システムの一態様であり、ホームネットワークに限定されない。例えば、ビルネットワーク、工場ネットワーク、車両ネットワーク等で複数の機器がネットワークに接続され、ネットワークを介して機器の状態および在室状況を取得できるシステムであればよく、他のネットワーク分野を対象とするものであっても良い。ホームネットワーク、ビルネットワーク、工場ネットワーク、車両ネットワーク等は、施設内ネットワークの一例である。また、上記実施の形態では、人は住人である例について説明したが、これに限定されず、異常検知システムの検知対象となる機器が設けられる施設の使用者であってもよい。

【0254】

（２）上記実施の形態では、異常検知システムの構成はホームゲートウェイ２０に異常検知処理装置７０を含めた各機器が接続するとしたが、ホームゲートウェイ２０に異常検知処理装置７０の機能を備えても良いし、ホームゲートウェイ２０と機器との間にハブ等の中継機器を設置しても良い。

【0255】

（３）上記実施の形態では、ホームネットワーク１１への接続方法はＥｔｈｅｒｎｅｔ（登録商標）等の有線通信で接続しても良いし、Ｗｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の無線通信で接続しても良いし、これらを組み合わせて接続しても良い。

【0256】

（４）上記実施の形態では、異常検知システムの異常検知部１５０は異常を検知した際、異常監視装置８０に通知するとしたが、通知先はこれに限定されない。例えば、異常と判定された機器に通知しても良いし、ホームネットワーク１１に接続された他機器に通知しても良い。

【0257】

（５）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウス等から構成されるコンピュータシステムである。ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

【0258】

（６）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（ＬａｒｇｅＳｃａｌｅＩｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。

【0259】

（７）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

【0260】

（８）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、このコンピュータプログラムからなるデジタル信号であるとしてもよい。

【0261】

（９）また、本開示は、上記のコンピュータプログラムまたは上記のデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）Ｄｉｓｃ）、半導体メモリ等に記録したものとしてもよい。また、これらの記録媒体に記録されている上記のデジタル信号であるとしてもよい。

【0262】

（１０）また、本開示は、上記のコンピュータプログラムまたは上記のデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

【0263】

（１１）また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、当該メモリは、上記コンピュータプログラムを記録しており、当該マイクロプロセッサは、このコンピュータプログラムに従って動作するとしてもよい。

【0264】

（１２）また、上記のプログラムまたは上記のデジタル信号を記録媒体に記録して移送することにより、または当該プログラムまたはデジタル信号を、当該ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

【0265】

（１３）また、ブロック図における機能ブロックの分割は一例であり、複数の機能ブロックを１つの機能ブロックとして実現したり、１つの機能ブロックを複数に分割したり、一部の機能を他の機能ブロックに移してもよい。また、類似する機能を有する複数の機能ブロックの機能を単一のハードウェアまたはソフトウェアが並列または時分割に処理してもよい。

【0266】

（１４）また、上記実施の形態において説明された複数の処理の順序は一例である。複数の処理の順序は、変更されてもよいし、複数の処理は、並行して実施されてもよい。また、複数の処理の一部は、実施されなくてもよい。

【0267】

（１５）また、上記実施の形態等に係る異常検知処理装置は、単一の装置として実現されてもよいし、複数の装置により実現されてもよい。異常検知処理装置が複数の装置によって実現される場合、当該異常検知処理装置が有する各構成要素は、複数の装置にどのように振り分けられてもよい。異常検知処理装置が複数の装置で実現される場合、当該複数の装置間の通信方法は、特に限定されず、無線通信であってもよいし、有線通信であってもよい。また、装置間では、無線通信および有線通信が組み合わされてもよい。異常検知処理装置において、例えば、閾値算出装置と異常検知装置とは互いに異なる装置により実現されてもよい。

【0268】

（１６）また、閾値算出装置と異常検知装置とが互いに異なる装置により実現される場合、閾値算出装置は、図７に示す閾値データを異常検知装置に送信してもよいし、異常検知装置から検知対象の通信量を取得したときの機器状態および在室状況を取得し、取得した機器状態および在室状況に応じた閾値を閾値データから選択し、選択された閾値のみを異常検知装置に送信してもよい。

【0269】

（１７）また、閾値算出装置は、少なくともと機器状態および在室状況の組み合わせのそれぞれに対して閾値を算出する例について説明したが、これに限定されない。閾値算出装置は、異常検知装置から検知対象の通信が行われたときの機器状態および在室状況を取得し、取得した機器状態および在室状況のときの閾値を学習データに基づいて算出し、算出された閾値を異常検知装置に送信してもよい。つまり、閾値データを生成することは、必須の処理ではない。

【0270】

（１８）その他、実施の形態等に対して当業者が思いつく各種変形を施して得られる形態、または、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素および機能を任意に組み合わせることで実現される形態も本開示に含まれる。

【産業上の利用可能性】

【0271】

本開示は、家庭内の機器の動作状態や住人の在室状態に応じて、家庭内の各機器への異常な通信を検知できる。また、家以外でもビルや店舗、工場、車両等、ルータ等の機器を介してインターネットと接続するローカルネットワークに接続されている機器への異常な通信を検知することができる。

【符号の説明】

【0272】

１ 異常検知システム
１０ インターネット
１１ ホームネットワーク（施設内ネットワーク）
２０ ホームゲートウェイ
３０ エアコン
３１ ガス給湯器
３２ 電気錠
３３ 照明
４０ テレビ
４１ レコーダ
５０ コントローラ
６０ スマホ
６１ パソコン
７０ 異常検知処理装置
８０ 異常監視装置
１００ 通信部
１１０ 機器状態取得部
１２０ 在室状況判定部
１３０ 通信ログ収集部
１４０ 学習部（算出部）
１５０ 異常検知部
２００ 機器状態保持部
２１０ 在室状況保持部
２２０ 通信ログ保持部
２３０ 学習データ保持部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8A】

【図8B】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】