特表 2024-520443 機械学習による時系列異常検知

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-05-24

(54)【発明の名称】機械学習による時系列異常検知

(51)【国際特許分類】

   G06F 16/903 20190101AFI20240517BHJP

【ＦＩ】

G06F16/903

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2023572858

(86)(22)【出願日】2022-05-24

(85)【翻訳文提出日】2024-01-15

(86)【国際出願番号】 US2022072546

(87)【国際公開番号】W WO2022251837

(87)【国際公開日】2022-12-01

(31)【優先権主張番号】63/193,022

(32)【優先日】2021-05-25

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】502208397

【氏名又は名称】グーグル エルエルシー

【氏名又は名称原語表記】Ｇｏｏｇｌｅ ＬＬＣ

【住所又は居所原語表記】１６００ Ａｍｐｈｉｔｈｅａｔｒｅ Ｐａｒｋｗａｙ ９４０４３ Ｍｏｕｎｔａｉｎ Ｖｉｅｗ， ＣＡ Ｕ．Ｓ．Ａ．

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】リウ，ジアシャン

(72)【発明者】

【氏名】チェン，シー

(72)【発明者】

【氏名】シェン，ウェイジエ

(72)【発明者】

【氏名】ホルマティ，アミル

【テーマコード（参考）】

5B175

【Ｆターム（参考）】

5B175DA10

5B175HB03

5B175KA09

(57)【要約】

方法（４００）は、時系列異常検知クエリ（２０）をユーザ（１２）から受信するステップと、時系列データ値（１５２）のセットを用いて１つまたは複数のモデル（２１２）を訓練するステップとを含む。セットにおけるそれぞれの時系列データ値各々に関して、本方法は、訓練済みモデルを用いて、それぞれの時系列データ値に対する期待データ値を決定するステップと、期待データ値とそれぞれの時系列データ値との差を決定するステップとを含む。本方法は、期待データ値とそれぞれの時系列データ値との差が閾値（３１４）を満たすと判定するステップをさらに含む。期待データ値とそれぞれの時系列データ値との差が閾値を満たすと判定したことに応答して、本方法は、それぞれの時系列データ値が異常であると判定するステップと、異常なそれぞれの時系列データ値（１５２Ａ）をユーザに報告するステップとを含む。

【特許請求の範囲】

【請求項1】

データ処理ハードウェア（１４４）によって実行されると、前記データ処理ハードウェア（１４４）に処理を実行させ、前記処理は、
時系列異常検知クエリ（２０）をユーザ（１２）から受信することを含み、前記時系列異常検知クエリ（２０）は、時系列データ値（１５２）のセット内の１つまたは複数の異常を判定するように前記データ処理ハードウェア（１４４）に要求し、
前記時系列データ値（１５２）のセット内の各々の時系列データ値（１５２）を用いて１つまたは複数のモデル（２１２）を訓練することを含み、
前記時系列データ値（１５２）のセットにおけるそれぞれの時系列データ値（１５２）の各々に関して、
前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する期待データ値（１５２Ｅ）を決定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差を決定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差が閾値（３１４）を満たすと判定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定したことに応答して、前記それぞれの時系列データ値（１５２）が異常であると判定することと、
前記異常なそれぞれの時系列データ値（１５２Ａ）を前記ユーザ（１２）に報告することとを含む、コンピュータが実行する方法（４００）。

【請求項2】

前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）を決定することは、前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記時系列データ値（１５２）のセット内の各々の時系列データ値（１５２）を複数の成分（２２０）に分解することを含む、請求項１に記載の方法（４００）。

【請求項3】

前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）を決定することは、前記複数の成分（２２０）のうちの２つ以上の成分（２２０）を集約することをさらに含む、請求項２に記載の方法（４００）。

【請求項4】

前記１つまたは複数のモデル（２１２）は、前記複数の成分（２２０）の成分（２２０）ごとに別個のモデル（２１２）を含む、請求項２または請求項３に記載の方法（４００）。

【請求項5】

前記複数の成分（２２０）は、トレンド成分（２２０）、休日効果成分（２２０）、季節成分（２２０）、および段階的変化成分（２２０）のうちの１つまたは複数を含む、請求項２～請求項４のいずれか１項に記載の方法（４００）。

【請求項6】

前記閾値（３１４）は、前記ユーザ（１２）から受信した異常確率に基づく、請求項１～請求項５のいずれか１項に記載の方法（４００）。

【請求項7】

前記時系列異常検知クエリ（２０）は、単一の構造化照会言語（ＳＱＬ）クエリを含む、請求項１～請求項５のいずれか１項に記載の方法（４００）。

【請求項8】

前記単一のＳＱＬクエリは、時系列データ値（１５２）の複数のセット内の１つまたは複数の異常データ値（１５２Ａ）を判定するように前記データ処理ハードウェア（１４４）に要求する、請求項７に記載の方法（４００）。

【請求項9】

前記１つまたは複数のモデル（２１２）のうちの少なくとも１つは、自己回帰和分移動平均モデルを含む、請求項１～請求項５のいずれか１項に記載の方法（４００）。

【請求項10】

前記処理は、
前記訓練済みの１つまたは複数のモデル（２１２）を用いて、将来の時系列データ値（１５２Ｆ）を予測することと、
前記将来の時系列データ値（１５２Ｆ）を予測した後、前記将来の時系列データ値（１５２Ｆ）に関連付けられている付加的な時系列データ値（１５２）を受信することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差を決定することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定したことに応答して、前記付加的な時系列データ値（１５２）が異常であると判定することと、
前記異常な付加的な時系列データ値（１５２Ａ）を前記ユーザ（１２）に報告することとをさらに含む、請求項１～請求項５のいずれか１項に記載の方法（４００）。

【請求項11】

前記時系列データ値（１５２）のセットは単変量時系列データ値（１５２）のセットを含む、請求項１～請求項５のいずれか１項に記載の方法（４００）。

【請求項12】

データ処理ハードウェア（１４４）と、
前記データ処理ハードウェア（１４４）と通信するメモリハードウェアとを備え、前記メモリハードウェアは、前記データ処理ハードウェア（１４４）上で実行されると前記データ処理ハードウェア（１４４）に、処理を実行させる命令を記憶し、前記処理は、
時系列異常検知クエリ（２０）をユーザ（１２）から受信することを含み、前記時系列異常検知クエリ（２０）は、時系列データ値（１５２）のセット内の１つまたは複数の異常を判定するように前記データ処理ハードウェア（１４４）に要求し、
前記時系列データ値（１５２）のセット内の各々の時系列データ値（１５２）を用いて１つまたは複数のモデル（２１２）を訓練することを含み、
前記時系列データ値（１５２）のセットにおけるそれぞれの時系列データ値（１５２）の各々に関して、
前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する期待データ値（１５２Ｅ）を決定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差を決定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差が閾値（３１４）を満たすと判定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定したことに応答して、前記それぞれの時系列データ値（１５２）が異常であると判定することと、
前記異常なそれぞれの時系列データ値（１５２Ａ）を前記ユーザ（１２）に報告することとを含む、システム（１００）。

【請求項13】

前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）を決定することは、前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記時系列データ値（１５２）のセット内の各々の時系列データ値（１５２）を複数の成分（２２０）に分解することを含む、請求項１２に記載のシステム（１００）。

【請求項14】

前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）を決定することは、前記複数の成分（２２０）のうちの２つ以上の成分（２２０）を集約することをさらに含む、請求項１３に記載のシステム（１００）。

【請求項15】

前記１つまたは複数のモデル（２１２）は、前記複数の成分（２２０）の成分ごとに別個のモデル（２１２）を含む、請求項１３または請求項１４に記載のシステム（１００）。

【請求項16】

前記複数の成分（２２０）は、トレンド成分（２２０）、休日効果成分（２２０）、季節成分（２２０）、および段階的変化成分（２２０）のうちの１つまたは複数を含む、請求項１３～請求項１５のいずれか１項に記載のシステム（１００）。

【請求項17】

前記閾値（３１４）は、前記ユーザ（１２）から受信した異常確率に基づく、請求項１２～請求項１６のいずれか１項に記載のシステム（１００）。

【請求項18】

前記時系列異常検知クエリ（２０）は、単一の構造化照会言語（ＳＱＬ）クエリを含む、請求項１１～請求項１７のいずれか１項に記載のシステム（１００）。

【請求項19】

前記単一のＳＱＬクエリは、時系列データ値（１５２）の複数のセット内の１つまたは複数の異常データ値（１５２Ａ）を判定するように前記データ処理ハードウェア（１４４）に要求する、請求項１８に記載のシステム（１００）。

【請求項20】

前記１つまたは複数のモデル（２１２）のうちの少なくとも１つは、自己回帰和分移動平均モデルを含む、請求項１１～請求項１９のいずれか１項に記載のシステム（１００）。

【請求項21】

前記処理は、
前記訓練済みの１つまたは複数のモデル（２１２）を用いて、将来の時系列データ値（１５２Ｆ）を予測することと、
前記将来の時系列データ値（１５２Ｆ）を予測した後、前記将来の時系列データ値（１５２Ｆ）に関連付けられている付加的な時系列データ値（１５２）を受信することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差を決定することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定したことに応答して、前記付加的な時系列データ値（１５２）が異常であると判定することと、
前記異常な付加的な時系列データ値（１５２Ａ）を前記ユーザ（１２）に報告することとをさらに含む、請求項１１～請求項２０のいずれか１項に記載のシステム（１００）。

【請求項22】

前記時系列データ値（１５２）のセットは単変量時系列データ値（１５２）のセットを含む、請求項１１～請求項２１のいずれか１項に記載のシステム（１００）。

【発明の詳細な説明】

【技術分野】

【0001】

技術分野
本開示は、機械学習による時系列異常検知に関する。

【背景技術】

【0002】

背景
時系列データにおける異常検知には、クレジットカードの不正検知、サイバーセキュリティにおける侵入検知、または産業における故障診断などの幅広い用途がある。時系列（ｔｉｍｅ ｓｅｒｉｅｓ）には主に２種類の異常がある。第１の種類の異常は、ノイズ、エラー、または不要なデータに関連するものであり、これらは一般的にデータ分析者にとって興味のないものである。これらの種類の異常は典型的には、データの品質を向上させ、他のデータマイニングアルゴリズムにより使用できるよりクリーンなデータセットを生成するために、削除または修正されるべきである。例えば、より正確な予測を得るためにセンサの伝送エラーが取り除かれる。第２の種類の異常は、対象とするある事象に関連するものである。近年、特に時系列データの分野では、多くの研究者が通常とは異なるが興味深い現象を検知して分析することを目的としている。不正検知は、異常自体を検知し分析することを主目的とする一般的な例である。

【発明の概要】

【0003】

概要
本開示の一態様は、機械学習による時系列異常検知を提供するための方法を提供する。コンピュータが実行する方法は、データ処理ハードウェアによって実行されると、データ処理ハードウェアに処理を実行させる。処理は、ユーザから時系列異常検知クエリを受信することを含む。時系列異常検知クエリは、時系列データ値（Time Series Data Value）のセット内の１つまたは複数の異常を判定するようにデータ処理ハードウェアに要求する。処理は、時系列データ値のセット内の時系列データ値の各々を用いて１つまたは複数のモデルを訓練することを含む。時系列データ値のセットにおけるそれぞれの時系列データ値各々に関して、処理は、訓練済みの１つまたは複数のモデルを用いて、それぞれの時系列データ値に対する期待データ値を決定することと、それぞれの時系列データ値に対する期待データ値とそれぞれの時系列データ値との差を決定することとを含む。時系列データ値のセットにおけるそれぞれの時系列データ値各々に関して、処理は、それぞれの時系列データ値に対する期待データ値とそれぞれの時系列データ値との差が閾値を満たすと判定することと、それぞれの時系列データ値に対する期待データ値とそれぞれの時系列データ値との差が閾値を満たすと判定したことに応答して、それぞれの時系列データ値が異常であると判定することも含む。処理は、異常なそれぞれの時系列データ値をユーザに報告することを含む。

【0004】

本開示の実施態様は、以下の任意の特徴のうちの１つまたは複数を含み得る。いくつかの実施態様では、訓練済みの１つまたは複数のモデルを用いて、それぞれの時系列データ値に対する期待データ値を決定することは、訓練済みの１つまたは複数のモデルを用いて、時系列データ値のセット内の各々の時系列データ値を複数の成分に分解することを含む。これらの実施態様のいくつかにおいて、訓練済みの１つまたは複数のモデルを用いて、それぞれの時系列データ値に対する期待データ値を決定することは、複数の成分のうちの２つ以上の成分を集約することをさらに含む。これらの実施態様のいくつかでは、１つまたは複数のモデルは、複数の成分の各々の成分ごとに別個のモデルを含む。任意選択で、複数の成分は、トレンド成分、休日効果成分、季節成分、および段階的変化成分のうちの１つまたは複数を含む。

【0005】

いくつかの例では、閾値は、ユーザから受信した異常確率に基づく。時系列異常検知クエリは、単一の構造化照会言語（ＳＱＬ）クエリを含み得る。いくつかの実施態様において、単一のＳＱＬクエリは、時系列データ値の複数のセット内の１つまたは複数の異常データ値を判定するようにデータ処理ハードウェアに要求する。所望により、１つまたは複数のモデルのうちの少なくとも１つは、自己回帰和分移動平均モデル(Auto Regressive Integrated Moving Average Model)を含む。

【0006】

処理は、訓練済みの１つまたは複数のモデルを用いて、将来の時系列データ値（Future Time Series Data Value）を予測することをさらに含み得る。将来の時系列データ値を予測した後、処理は、将来の時系列データ値に関連付けられている付加的な時系列データ値（Additional Time Series Data Value）を受信することと、将来の時系列データ値と付加的な時系列データ値との差を決定することとをさらに含み得る。処理は、将来の時系列データ値と付加的な時系列データ値との差が閾値を満たすと判定することをさらに含み得る。将来の時系列データ値と付加的な時系列データ値との差が閾値を満たすと判定したことに応答して、処理は、付加的な時系列データ値が異常であると判定することと、異常な付加的な時系列データ値をユーザに報告することとをさらに含む。いくつかの例では、時系列データ値のセットは単変量時系列データ値（Univariate Time Series Data Value）のセットを含む。

【0007】

本開示の別の態様は、機械学習による時系列異常検知のためのシステムを提供する。システムは、データ処理ハードウェアと、データ処理ハードウェアと通信するメモリハードウェアとを備える。メモリハードウェアは、データ処理ハードウェア上で実行されるとデータ処理ハードウェアに処理を実行させる命令を記憶している。処理は、ユーザから時系列異常検知クエリを受信することを含む。時系列異常検知クエリは、時系列データ値のセット内の１つまたは複数の異常を判定するようにデータ処理ハードウェアに要求する。処理は、時系列データ値のセット内の時系列データ値の各々を用いて１つまたは複数のモデルを訓練することを含む。時系列データ値のセットにおけるそれぞれの時系列データ値各々に関して、処理は、訓練済みの１つまたは複数のモデルを用いて、それぞれの時系列データ値に対する期待データ値を決定することと、それぞれの時系列データ値に対する期待データ値とそれぞれの時系列データ値との差を決定することとを含む。時系列データ値のセットにおけるそれぞれの時系列データ値各々に関して、処理は、それぞれの時系列データ値に対する期待データ値とそれぞれの時系列データ値との差が閾値を満たすと判定することと、それぞれの時系列データ値に対する期待データ値とそれぞれの時系列データ値との差が閾値を満たすと判定したことに応答して、それぞれの時系列データ値が異常であると判定することも含む。処理は、異常なそれぞれの時系列データ値をユーザに報告することを含む。

【0008】

この態様は、以下の任意の特徴のうちの１つまたは複数を含み得る。いくつかの実施態様では、訓練済みの１つまたは複数のモデルを用いて、それぞれの時系列データ値に対する期待データ値を決定することは、訓練済みの１つまたは複数のモデルを用いて、時系列データ値のセット内の各々の時系列データ値を複数の成分に分解することを含む。これらの実施態様のいくつかにおいて、訓練済みの１つまたは複数のモデルを用いて、それぞれの時系列データ値に対する期待データ値を決定することは、複数の成分のうちの２つ以上の成分を集約することをさらに含む。これらの実施態様のいくつかでは、１つまたは複数のモデルは、複数の成分の各々の成分ごとに別個のモデルを含む。所望により、複数の成分は、トレンド成分、休日効果成分、季節成分、および段階的変化成分のうちの１つまたは複数を含む。

【0009】

いくつかの例では、閾値は、ユーザから受信した異常確率に基づく。時系列異常検知クエリは、単一の構造化照会言語（ＳＱＬ）クエリを含み得る。いくつかの実施態様において、単一のＳＱＬクエリは、時系列データ値の複数のセット内の１つまたは複数の異常データ値を判定するようにデータ処理ハードウェアに要求する。所望により、１つまたは複数のモデルのうちの少なくとも１つは、自己回帰和分移動平均モデルを含む。

【0010】

処理は、訓練済みの１つまたは複数のモデルを用いて、将来の時系列データ値を予測することをさらに含み得る。将来の時系列データ値を予測した後、処理は、将来の時系列データ値に関連付けられている付加的な時系列データ値を受信することと、将来の時系列データ値と付加的な時系列データ値との差を決定することとをさらに含み得る。処理は、将来の時系列データ値と付加的な時系列データ値との差が閾値を満たすと判定することをさらに含み得る。将来の時系列データ値と付加的な時系列データ値との差が閾値を満たすと判定したことに応答して、処理は、付加的な時系列データ値が異常であると判定することと、異常な付加的な時系列データ値をユーザに報告することとをさらに含む。いくつかの例では、時系列データ値のセットは単変量時系列データ値のセットを含む。

【0011】

本開示の１つまたは複数の実施態様の詳細は、添付の図面および以下の説明に記載されている。他の態様、特徴および利点は以下の説明および図面、ならびに請求項から明らかになるであろう。

【図面の簡単な説明】

【0012】

【図1】時系列データの異常を検知する例示的システムの概略図である。

【図2】図１のシステムの例示的構成要素の概略図である。

【図3】図１のシステムの例示的検知器の概略図である。

【図4】時系列データの異常を検知する方法のための処理の例示的配置のフローチャートである。

【図5】本明細書に記載されるシステムおよび方法を実施するために使用され得る、例示的コンピューティングデバイスの概略図である。

【発明を実施するための形態】

【0013】

種々の図面中の同じ参照符号は、同じ要素を示す。
詳細な説明
時系列とは、時間的順序（典型的には一定間隔）に並ぶ一連のデータポイントである。時系列の分析は、時間の経過とともに変化するあらゆる変数（例えば、産業プロセスまたはビジネス指標）に適用してもよい。時系列予測とは、過去のデータ値に基づいて将来のデータ値を予測（すなわち、外挿）する行為である。非常に多くの予測問題には時間成分が関与するため、時系列予測は活発な関心分野である。特に、時系列予測は機械学習の重要な領域となっている。しかし、固有の非定常性および不確実性故に、時系列予測は依然として困難な課題である。

【0014】

時系列データにおける異常検知には、クレジットカードの不正検知、サイバーセキュリティにおける侵入検知、または産業における故障診断などの幅広い用途がある。時系列データには主に２種類の異常がある。第１の種類については、異常検知により、ユーザは例えばノイズ、エラー、または他の不要なデータの結果であるデータポイントを破棄し、残りのデータの品質を向上させる。第２の種類については、異常検知は、異常自体が対象とする事象であるため重要である。

【0015】

本明細書の実施態様は、大規模に異常を自動的に検知することができる時系列異常検知システムに関する。本システムは、１つまたは複数の訓練済みモデルを用いて、過去のデータにおける異常を検知しても、または将来のデータにおける異常を検知してもよく、これにより、ユーザは異常なデータに即座に気付くことができる。このシステムは、ユーザが過去のデータの異常を検知するのを支援し、これは、さらなる分析のために時系列を処理するだけでなく、過去に起こった特別な事象を特定する。このシステムはさらに、ユーザが訓練済みモデルを用いて将来のデータの異常を検知し、問題を発見するまでの時間を短縮するようにさらに支援する。例えば、特定の商品ページのトラフィックが突然、予想外に増加した場合、その原因は、誤って低価格にする価格設定プロセスのエラーによるものであり得る。このシステムは非常に拡張性も高く、このことによりユーザはオンラインクエリ（構造化照会言語（ＳＱＬ）クエリなど）を用いて、数十万以上の時系列の異常を検知することができる。

【0016】

ここで図１を参照すると、いくつかの実施態様において、例示的な時系列異常検知システム１００は、ネットワーク１１２を介して１つまたは複数のユーザデバイス１０と通信するリモートシステム１４０を含む。リモートシステム１４０は、コンピューティングリソース１４４（例えば、データ処理ハードウェア）を含むスケーラブル／弾性リソース１４２および／またはストレージリソース１４６（例えば、メモリハードウェア）を有する単一のコンピュータ、複数のコンピュータ、または分散システム（例えば、クラウド環境）であってもよい。データ記憶部１５０（すなわち、リモートストレージデバイス）は、クライアント（例えば、ユーザデバイス１０）またはコンピューティングリソース１４４のうちの１つまたは複数によるストレージリソース１４６のスケーラブルな使用を可能にするように、ストレージリソース１４６上にオーバーレイされ得る。データ記憶部１５０は、１つまたは複数のテーブル１５８、１５８ａ～ｎ（すなわち、クラウドデータベース）内に複数の時系列データ値１５２、１５２ａ～ｎを記憶するように構成されている。データ記憶部１５０は、任意の時点で任意の数のテーブル１５８を記憶することができる。

【0017】

リモートシステム１４０は、例えばネットワーク１１２を介して、それぞれのユーザ１２に関連付けられているユーザデバイス１０から時系列異常検知クエリ２０を受信するように構成されている。ユーザデバイス１０は、デスクトップワークステーション、ラップトップワークステーション、またはモバイルデバイス（すなわち、スマートフォン）などの任意のコンピューティングデバイスに対応し得る。ユーザデバイス１０は、コンピューティングリソース１８（例えば、データ処理ハードウェア）および／またはストレージリソース１６（例えば、メモリハードウェア）を含む。ユーザ１２は、構造化照会言語（ＳＱＬ）インタフェース１４を用いてクエリ２０を構築することができる。各々の時系列異常検知クエリ２０は、１つまたは複数の検知要求２２、２２ａ～ｎに１つまたは複数の異常が存在するか否かを判定するようリモートシステム１４０に要求する。

【0018】

リモートシステム１４０は、過去のデータ値１５２、１５２Ｈ（例えば、単変量時系列データ値１５２）および将来の時系列データ値１５２、１５２Ｆにおける異常データ値１５２、１５２Ａを検知するための時系列異常検知器１６０を実行する。時系列異常検知器１６０は、ユーザデバイス１０を介してユーザ１２からクエリ２０を受信するように構成されている。各々のクエリ２０は、複数の検知要求２２、２２ａ～ｎを含み得る。各々の検知要求２２は、時系列データ値１５２の異なるセット内の１つまたは複数の異常データ値１５２Ａを検知するように時系列異常検知器１６０に要求する。すなわち、クエリ２０は、時系列異常検知器１６０に対して、時系列データ値１５２の複数の異なるセット内の１つまたは複数の異常データ値１５２Ａを同時に判定するように要求することを含み得る。

【0019】

モデル訓練器２１０は、各々の検知要求２２に対して、連続的にまたは同時に、１つまたは複数の予測モデル２１２を生成および／または訓練する。モデル訓練器２１０は、検知要求２２に関連するデータ記憶部１５０に記憶されている１つまたは複数のテーブル１５８から取得される過去のデータ値１５２Ｈに対して予測モデル２１２を訓練することができる。すなわち、クエリ２０は、データ記憶部１５０に記憶されている１つまたは複数のテーブル１５８にある過去のデータ値１５２Ｈにおいて異常データ値１５２Ａを検知するようリモートシステム１４０に各々要求する複数の検知要求２２を含んでいてもよい。あるいは、クエリ２０は過去のデータ値１５２Ｈを含む。この場合、ユーザ１２は、（ユーザデバイス１０を介して）過去のデータ値１５２Ｈがデータストレージ１５０を介して他の方法では利用可能でない場合に、過去のデータ値１５２Ｈを提供することができる。いくつかの例では、過去のデータ値１５２Ｈは、複数の列および複数の行を有するデータベースに記憶される。例えば、ある列は時系列データを含むが、別の列は特定の時点を時系列データと相関させるタイムスタンプデータを含む。

【0020】

モデル訓練器２１０は、異なるパラメータを有する複数の予測モデル２１２を生成および／または訓練することができる。例えば、モデル訓練器２１０は、自己回帰モデルの異なる次数（すなわち、タイムラグの数であり、一般にパラメータｐとして表される）、異なる差分の階数（すなわち、データが過去の値を差し引かれた回数であり、一般にパラメータｄとして表される）、および移動平均モデルの次数（すなわち、移動平均ウィンドウのサイズであり、一般にパラメータｑとして表される）を有する複数の自己回帰和分移動平均（ＡＲＩＭＡ）モデルを生成し訓練する。異なるパラメータ（例えば、パラメータｐ、ｄおよびｑ）の組み合わせを用いて、モデル訓練器２１０は、各々の組み合わせに対応する予測モデル２１２を生成する。各々のモデル２１２は、同じ過去のデータ値１５２Ｈを用いて訓練される。１つまたは複数のパラメータは、ユーザ１２によって設定可能または部分的に設定可能であってもよい。

【0021】

モデル訓練器２１０は、予測モデル２１２を生成し訓練するときに、ハイパーパラメータチューニング（ハイパーパラメータ最適化とも呼ばれる）を実行することができる。ハイパーパラメータは、他のパラメータ（例えば、ノード重み）が学習される間に、実際の学習プロセスを制御または調整するパラメータである。例えば、モデル訓練器２１０は、データ頻度および非季節次数パラメータに対してハイパーパラメータチューニングを実行する。モデル訓練器２１０は、時系列の多くの異なる側面をモデル化することができる予測モデル２１２を生成し、訓練することができる。例えば、予測モデル２１２は、季節効果、休日効果、モデリングドリフト、および異常を考慮する。

【0022】

時系列異常検知器１６０は予測器１７０を含む。予測器１７０は、訓練済みの１つまたは複数のモデル２１２を用いて、期待データ値１５２、１５２Ｅを予測または決定する。予測器１７０は、過去のデータ値１５２Ｈの各々について期待データ値１５２Ｅを予測することができる。すなわち、モデル２１２が訓練された後、時系列異常検知器１６０は、各々の過去のデータ値１５２Ｈを訓練済みモデル２１２に提供でき、モデルの予測に基づいて、予測器１７０は、それぞれの過去のデータ値１５２Ｈに対する期待データ値１５２Ｅを決定する。予測器１７０は、将来のデータ値１５２Ｆに対する期待データ値１５２Ｅも予測できる。過去のデータ値１５２Ｈは、モデル２１２が訓練する時系列データ値１５２を表すが、将来のデータ値１５２Ｆは、モデル２１２が訓練しない時系列データ値１５２を表す。例えば、時系列異常検知器１６０は、モデル２１２の訓練が完了した後に将来のデータ値１５２Ｆを受信する。

【0023】

時系列異常検知器１６０は検知器３１０を備える。検知器３１０は、予測器１７０から出力される期待データ値１５２Ｅと、モデル２１２への入力として提供される対応する過去のデータ値１５２Ｈまたは将来のデータ値１５２Ｆとを受信する。検知器３１０は、期待データ値１５２Ｅと、対応する過去のデータ値１５２Ｈまたは将来のデータ値１５２Ｆとの差を決定することができる。期待データ値１５２Ｅと、対応する過去のデータ値１５２Ｈ（すなわち、時系列異常検知器１６０がモデル２１２の訓練前または訓練中に受信する時系列データ値１５２）または将来のデータ値１５２Ｆ（すなわち、時系列異常検知器１６０がモデルを訓練して期待データ値１５２Ｅを予測した後に受信する時系列データ値１５２）との差が（例えば、ユーザ１２から受信した異常確率閾値３１４（図３）に基づいて）閾値を満たす場合、検知器３１０は、対応する過去のデータ値１５２Ｈまたは将来のデータ値１５２Ｆが異常であると判定することができる。この状況では、検知器３１０は、異常なそれぞれの時系列データ値１５２Ａをユーザ１２に報告することができる。

【0024】

次に図２を参照すると、いくつかの実施態様では、時系列異常検知器１６０は複数のモデル２１２ａ～ｎを含む。これらの実施態様では、モデル訓練器２１０は、過去のデータ値１５２Ｈを用いて複数のモデル２１２の各々を訓練する。いくつかの例では、訓練済みモデル２１２のうちの１つまたは複数は、入力時系列データ値１５２（すなわち、過去のデータ値１５２Ｈおよび／または将来のデータ値１５２Ｆ）を複数の成分２２０、２２０ａ～ｎに分解する。予測器１７０は、複数の成分２２０を受信し、期待データ値１５２Ｅを予測するために成分２２０のうちの２つ以上を集約してもよい。

【0025】

いくつかの例では、複数のモデル２１２の各々は、入力時系列データ値１５２から異なる成分２２０を分解する。例えば、あるモデル２１２は、休日調整を実行し、時系列データ値１５２の休日成分２２０を生成または予測するように訓練される。別の例として、異なるモデル２１２は、（例えば、局所回帰を用いて）季節およびトレンド分解を実行し、時系列データ値１５２の季節成分２２０を生成または予測するように訓練される。季節成分２２０は、特定の期間（例えば、日、週、月など）にわたって繰り返される時系列データ値１５２の変動を説明することができる。例えば、１２月の売上の増加は、季節成分２２０の季節効果を表す。時系列異常検知器１６０は、時系列データ値１５２を、トレンド成分２２０、外れ値成分２２０、スパイクおよびディップ成分２２０、ならびに段階的変化成分２２０などのいくつかの他の成分２２０に（例えば、１つまたは複数のモデル２１２を介して）分解することができる。トレンド成分２２０は、合理的に予測可能なパターンで上下するデータの傾向を表すことができる。

【0026】

いくつかの例では、１つまたは複数のモデル２１２は、時系列異常検知器１６０の他のモデル２１２を訓練するために使用される。例えば、モデル訓練器２１０は、まず、過去のデータ値１５２Ｈを用いて休日調整モデル２１２を訓練する。休日調整モデル２１２が訓練された後、モデル訓練器２１０は、休日調整モデル２１２によって休日成分２２０が除去されている時系列データ値１５２を用いて外れ値モデル２１２を訓練することができる。同様に、モデル訓練器２１０は、休日調整モデル２１２によって休日成分２２０が除去され、外れ値モデル２１２によって外れ値が除去されている時系列データ値１５２を用いて、季節およびトレンド分解モデル２１２を訓練することができる。このようにして、モデル訓練器２１０は、各々が時系列データ値１５２の分解成分２２０のうちの１つを生成する役割を担うモデル２１２の「連鎖」を訓練することができる。

【0027】

いくつかの実施態様では、予測器１７０は、モデル２１２によって予測または決定される複数の成分２２０の和に基づいて、期待データ値１５２Ｅを予測する。例えば、予測器１７０は、トレンド成分２２０、休日効果成分２２０、季節周期成分２２０、および段階的変化成分２２０の和に基づいて期待データ値１５２Ｅを予測する。（例えば、将来のデータ値１５２Ｆについて）段階的変化成分２２０を予測できないシナリオでは、予測器１７０は、トレンド成分２２０、休日効果成分２２０、および季節周期成分２２０の和に基づいて、期待データ値１５２Ｅを予測することができる。予測器１７０は、期待データ値１５２Ｅを検知器３１０に提供する。

【0028】

ここで図３を参照すると、いくつかの例では、検知器３１０は、各々の期待データ値１５２Ｅと、期待データ値１５２Ｅを予測または予想するために使用されるグランドトゥルースデータ値１５２Ｇ（例えば、測定により検証される過去のデータ値１５２Ｈ）との差を決定する。この差に基づいて、検知器３１０は、グランドトゥルースデータ値１５２Ｇが異常であるか否かを判定する。いくつかの実施態様では、検知器３１０は上限３２２および下限３２４を定義する区間サイズ３２０を決定する。上限３２２および下限３２４に基づいて、検知器３１０は、グランドトゥルースデータ値１５２Ｇが閾値を満たし、異常であるか否かを判定する。いくつかの例では、上限３２２は期待データ値１５２Ｅに区間サイズ３２０を加えたものに等しく、下限３２４は期待データ値１５２Ｅから区間サイズ３２０を引いたものに等しい。例えば、グランドトゥルースデータ値１５２Ｇが、期待データ値１５２Ｅを上限３２２によって設定される値より多く、または下限３２４によって設定される値未満上回るとき、検知器３１０は、グランドトゥルースデータ値１５２Ｇが異常であると判定する。逆に、グランドトゥルースデータ値１５２Ｇが上限３２２より小さく、下限３２４より大きい場合（すなわち、期待データ値１５２Ｅに十分に近い場合）、検知器３１０はグランドトゥルースデータ値１５２Ｇが異常でないと判定する。

【0029】

いくつかの実施態様では、検知器３１０は、訓練済みモデルからの標準誤差３１２および／または異常確率閾値３１４に基づいて、区間サイズ３２０、上限３２２および下限３２４を決定する。標準誤差３１２は、モデル２１２の訓練中に測定される誤差の量を表す。例えば、誤差が大きい（すなわち、訓練中に予測される期待データ値１５２Ｅに有意な誤差があった）モデル２１２は信頼性が低く、その結果、区間サイズ３２０が大きくなる。他方では、高精度のモデル２１２（すなわち、標準誤差３１２が小さい）は、区間サイズ３２０が比較的小さくなり得る。異常確率閾値３１４は、区間サイズ３２０に影響を与える（例えば、クエリ２０を介して受信される）ユーザ設定可能な値であってもよい。異常確率閾値３１４は、区間サイズ３２０、したがって、グランドトゥルースデータ値１５２Ｇが異常である可能性をカスタマイズまたは設定する能力をユーザ１２に提供する。すなわち、異常確率閾値３１４は、ユーザ１２が偽陽性の割合を設定することを可能にする。ユーザ１２が偽陽性に対して敏感である場合、ユーザ１２は小さな異常確率閾値３１４を選択することができる。逆に、検知が偽陽性よりも重要な場合、ユーザ１２はより大きな異常確率閾値３１４を選択することができる。いくつかの例では、異常確率閾値３１４は、検知器３１０が時系列データ値１５２を異常として報告する前に達成しなければならない信頼度閾値を設定する。例えば、ユーザ１２は９５％の異常確率閾値３１４を提供し、その結果、検知器３１０は、検知器３１０が異常である確率が９５％以上であると判定した時系列データ値１５２のみを異常として報告する。これらの実施態様では、検知器３１０は、異常確率閾値３１４が大きければ大きいほど区間サイズ３２０を小さくする。

【0030】

図示されている例では、プロット３３０は、第１の期待データ値１５２Ｅ、１５２Ｅａおよび第１のグランドトゥルースデータ値１５２Ｇ、１５２Ｇａを含む。この例では、第１の上限３２２、３２２ａは、第１の期待データ値１５２Ｅａに、１つの区間サイズ３２０を加えたプロット３３０のｙ軸の値に及ぶ。同様に、第１の下限３２４、３２４ａは、第１の期待データ値１５２Ｅａから、１つの区間サイズ３２０を引いたプロット３３０のｙ軸の値に及ぶ。ここで、第１のグランドトゥルースデータ値１５２Ｇａは、第１の下限３２４ａより大きく、第２の上限（ｓｅｃｏｎｄ ｕｐｐｅｒ ｂｏｕｎｄ）３２２ａより小さいため、検知器３１０は、第１のグランドトゥルースデータ値１５２Ｇａが異常でないと判定する。プロット３３０の第２の期待データ値１５２Ｅ、１５２Ｅｂにより、第２の上限３２２、３２２ｂおよび第２の下限３２４、３２４ｂが設定される。このとき、第２のグランドトゥルースデータ値１５２Ｇ、１５２Ｇｂは、第２の上限３２２ｂより大きいため、検知器３１０は、第２のグランドトゥルースデータ値１５２Ｇが異常であると判定する。図示していないが、検知器３１０は、モデル２１２が予測する各々の期待データ値１５２Ｅについて、（区間サイズ３２０に基づいて）上限３２２および下限３２４を決定することができる。各々の期待データ値１５２Ｅの上限３２２および下限３２４を用いて、検知器３１０は対応するグランドトゥルースデータ値１５２Ｇ（すなわち、期待データ値１５２Ｅと比較される実際の時系列データ値１５２）が異常であるか否かを判定する。検知器３１０は、異常データ値１５２Ａのみをユーザ１２に報告することができる。追加的または代替的に、検知器３１０は、各々の時系列データ値１５２について、比較に関するデータ（例えば、期待データ値１５２Ｅとグランドトゥルースデータ値１５２Ｇとの間の相対差）を報告する。

【0031】

図４は、時系列データの異常を検知する方法４００のための例示的な処理の配置のフローチャートである。本方法４００は、処理４０２において、ユーザ１２から時系列異常検知クエリ２０を受信するステップを含む。時系列異常検知クエリ２０は、時系列データ値１５２のセット内の１つまたは複数の異常を判定するようにデータ処理ハードウェア１４２に要求する。本方法４００は、処理４０４において、時系列データ値１５２のセット内の時系列データ値１５２の各々を用いて１つまたは複数のモデル２１２を訓練するステップを含む。本方法４００は、処理４０６において、時系列データ値１５２のセットにおけるそれぞれの時系列データ値１５２各々に関して、訓練済みの１つまたは複数のモデル２１２を用いて、それぞれの時系列データ値１５２に対する期待データ値１５２Ｅを決定するステップを含む。本方法４００は、処理４０８において、それぞれの時系列データ値１５２に対する期待データ値１５２Ｅとそれぞれの時系列データ値１５２との差を決定するステップを含む。本方法４００は、処理４１０において、それぞれの時系列データ値１５２に対する期待データ値１５２Ｅとそれぞれの時系列データ値１５２との差が閾値を満たすと判定するステップを含む。本方法４００は、処理４１２において、それぞれの時系列データ値１５２に対する期待データ値１５２Ｅとそれぞれの時系列データ値１５２との差が閾値を満たすと判定したことに応答して、それぞれの時系列データ値１５２が異常であると判定するステップを含む。本方法４００は、処理４１４において、異常なそれぞれの時系列データ値１５２Ａをユーザ１２に報告するステップを含む。

【0032】

図５は、本文書に記載されるシステムおよび方法を実施するために使用され得る、例示的コンピューティングデバイス５００の概略図である。コンピューティングデバイス５００は、ラップトップ、デスクトップ、ワークステーション、パーソナルデジタルアシスタント、サーバ、ブレードサーバ、メインフレーム、および他の適切なコンピュータなどの様々な形態のデジタルコンピュータを表すことが意図されている。本明細書に示されるコンポーネント、それらの接続および関係、ならびにそれらの機能は、例示的なものに過ぎないことが意図されており、本文書で記載および／または特許請求される発明の実施を制限することを意図していない。

【0033】

コンピューティングデバイス５００は、プロセッサ５１０、メモリ５２０、ストレージデバイス５３０、メモリ５２０および高速拡張ポート５５０に接続する高速インタフェース／コントローラ５４０、ならびに低速バス５７０およびストレージデバイス５３０に接続する低速インタフェース／コントローラ５６０を備える。コンポーネント５１０、５２０、５３０、５４０、５５０および５６０の各々は、様々なバスを用いて相互接続されており、共通のマザーボードに、または適宜他の方法で設置され得る。プロセッサ５１０は、高速インタフェース５４０に結合されているディスプレイ５８０などの外部入出力デバイス上にグラフィカルユーザインタフェース（ＧＵＩ）用のグラフィカル情報を表示するために、メモリ５２０またはストレージデバイス５３０に記憶されている命令を含む、コンピューティングデバイス５００内で実行するための命令を処理することができる。他の実施態様では、複数のプロセッサおよび／または複数のバスは、複数のメモリおよび複数のメモリの種類とともに、適宜使用することができる。また、複数のコンピューティングデバイス５００が接続され、各々のデバイスは必要な処理の一部を提供する（例えば、サーババンク、ブレードサーバのグループ、またはマルチプロセッサシステム）。

【0034】

メモリ５２０は、コンピューティングデバイス５００内の情報を非一時的に記憶する。メモリ５２０は、コンピュータ可読媒体、揮発性メモリユニット、または不揮発性メモリユニットであってよい。非一時的メモリ５２０は、コンピューティングデバイス５００によって使用されるプログラム（例えば、命令のシーケンス）またはデータ（例えば、プログラム状態情報）を一時的または永続的に記憶するために使用される物理的デバイスであってよい。不揮発性メモリの例として、フラッシュメモリおよび読み取り専用メモリ（ＲＯＭ）／プログラマブル読み取り専用メモリ（ＰＲＯＭ）／消去可能なプログラマブル読み取り専用メモリ（ＥＰＲＯＭ）／電気的に消去可能なプログラマブル読み取り専用メモリ（ＥＥＰＲＯＭ）（例えば、典型的には起動プログラムなどのファームウェアに使用される）が挙げられるが、これらに限定されない。揮発性メモリの例として、ランダムアクセスメモリ（ＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、相変化メモリ（ＰＣＭ）、およびディスクまたはテープが挙げられるが、これらに限定されない。

【0035】

ストレージデバイス５３０は、コンピューティングデバイス５００に大容量ストレージを提供することができる。いくつかの実施態様では、ストレージデバイス５３０は、コンピュータ可読媒体である。種々の異なる実施態様では、ストレージデバイス５３０は、フロッピー（登録商標）ディスクデバイス、ハードディスクデバイス、光ディスクデバイス、またはテープデバイス、フラッシュメモリもしくは他の類似のソリッドステートメモリデバイス、またはストレージエリアネットワークもしくは他の構成のデバイスを含むデバイスのアレイであってもよい。さらなる実施態様では、コンピュータプログラム製品は、情報担体に有形に具体化される。コンピュータプログラム製品は、実行したときに、上述したような１つまたは複数の方法を実行する命令を含む。情報担体は、メモリ５２０、ストレージデバイス５３０、またはプロセッサ５１０上のメモリなどのコンピュータまたは機械可読媒体である。

【0036】

高速コントローラ５４０は、コンピューティングデバイス５００の帯域幅集中型の処理を管理するが、低速コントローラ５６０は、低帯域幅集中型の処理を管理する。このような動作の割り当ては例示的なものに過ぎない。いくつかの実施態様では、高速コントローラ５４０は、メモリ５２０、ディスプレイ５８０（例えば、グラフィックプロセッサまたはアクセラレータを通じて）、および様々な拡張カード（図示せず）を受容できる高速拡張ポート５５０に結合される。いくつかの実施態様では、低速コントローラ５６０は、ストレージデバイス５３０および低速拡張ポート５９０に結合されている。様々な通信ポート（例えば、ＵＳＢ、ブルートゥース（登録商標）、イーサネット（登録商標）、無線イーサネット）を備えることができる低速拡張ポート５９０は、キーボード、ポインティングデバイス、スキャナなどの１つもしくは複数の入出力デバイス、または例えば、ネットワークアダプタを介して、スイッチもしくルータなどのネットワーキングデバイスに結合することができる。

【0037】

コンピューティングデバイス５００は、図示されているように複数の異なる形態で実装され得る。例えば、コンピューティングデバイス５００は、標準サーバ５００ａとして、またはそのようなサーバ群５００ａに複数回、ラップトップコンピュータ５００ｂとして、またはラックサーバシステム５００ｃの一部として実装されてもよい。

【0038】

本明細書に記載のシステムおよび技術の様々な実施態様は、デジタル電子回路および／もしくは光回路、集積回路、特別に設計されたＡＳＩＣ（特定用途向け集積回路）、コンピュータハードウェア、ファームウェア、ソフトウェア、ならびに／またはそれらの組み合わせで実現することができる。これらの様々な実施態様は、特殊目的または汎用目的であることができ、記憶システム、少なくとも１つの入力デバイスおよび少なくとも１つの出力デバイスからデータおよび命令を受信し、記憶システム、少なくとも１つの入力デバイスおよび少なくとも１つの出力デバイスへのデータおよび命令を送信するように結合されている少なくとも１つのプログラマブルプロセッサを備えたプログラマブルシステム上で実行可能および／または解釈可能な１つまたは複数のコンピュータプログラムにおける実装形態を含むことができる。

【0039】

ソフトウェアアプリケーション（すなわち、ソフトウェアリソース）は、コンピューティングデバイスにタスクを実行させるコンピュータソフトウェアを指すことができる。いくつかの例では、ソフトウェアアプリケーションは、「アプリケーション」、「アプリ」、または「プログラム」と呼ばれることがある。例示的なアプリケーションとしては、システム診断アプリケーション、システム管理アプリケーション、システムメンテナンスアプリケーション、文書処理アプリケーション、表計算アプリケーション、メッセージングアプリケーション、メディアストリーミングアプリケーション、ソーシャルネットワーキングアプリケーション、およびゲームアプリケーションが挙げられるが、これらに限定されない。

【0040】

これらのコンピュータプログラム（プログラム、ソフトウェア、ソフトウェアアプリケーションまたはコードとしても知られる）は、プログラマブルプロセッサ用の機械命令を含み、高レベルの手続き型および／もしくはオブジェクト指向プログラミング言語、ならびに／またはアセンブリ／機械言語で実装することができる。本明細書で使用される場合、「機械可読媒体」および「コンピュータ可読媒体」という用語は、機械命令を機械可読信号として受信する機械可読媒体を含めて、機械命令および／またはデータをプログラマブルプロセッサに提供するために使用される任意のコンピュータプログラム製品、非一時的コンピュータ可読媒体、装置および／またはデバイス（例えば、磁気ディスク、光ディスク、メモリ、プログラマブルロジックデバイス（ＰＬＤ））を指す。「機械可読信号」という用語は、機械命令および／またはデータをプログラマブルプロセッサに提供するために使用される任意の信号を指す。

【0041】

本明細書に記載のプロセスおよび論理フローは、１つまたは複数のコンピュータプログラムを実行し、入力データを処理して出力を生成することによって機能を実行する、データ処理ハードウェアとも呼ばれる１つまたは複数のプログラマブルプロセッサによって実行できる。プロセスおよび論理フローは、特殊用途の論理回路、例えばＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路）によっても実行できる。コンピュータプログラムの実行に適したプロセッサには、例として、汎用および特殊用途のマイクロプロセッサの両方、ならびに任意の種類のデジタルコンピュータの任意の１つまたは複数のプロセッサが含まれる。一般に、プロセッサは、読み取り専用メモリもしくはランダムアクセスメモリ、またはその両方から命令およびデータを受信する。コンピュータの必須の要素は、命令を実行するためのプロセッサ、ならびに命令およびデータを記憶するための１つまたは複数のメモリデバイスである。一般に、コンピュータは、データを記憶するための１つまたは複数の大容量ストレージデバイス、例えば磁気ディスク、光磁気ディスク、または光ディスクをさらに備えるか、またはこれらからデータを受信する、もしくはこれらにデータを転送する、もしくはその両方を行うように動作可能にこれらに結合されている。しかし、コンピュータがそのようなデバイスを有している必要はない。コンピュータプログラム命令およびデータを記憶するのに適したコンピュータ可読媒体としては、あらゆる形態の不揮発性メモリ、媒体およびメモリデバイスが挙げられ、例えば、半導体メモリデバイス、例えば、ＥＰＲＯＭ、ＥＥＰＲＯＭおよびフラッシュメモリデバイス；磁気ディスク、例えば、内蔵ハードディスクまたはリムーバブルディスク；光磁気ディスク；ならびにＣＤ ＲＯＭおよびＤＶＤ－ＲＯＭディスクが挙げられる。プロセッサおよびメモリは、特殊用途の論理回路が追加されるか、または特殊用途の論理回路に組み込まれ得る。

【0042】

ユーザとの対話を提供するために、本開示の１つまたは複数の態様は、ユーザに情報を表示するためのディスプレイデバイス、例えば、ＣＲＴ（ブラウン管）、ＬＣＤ（液晶ディスプレイ）モニタ、またはタッチスクリーンと、任意選択で、ユーザがコンピュータに入力を提供することができるキーボードおよびポインティングデバイス、例えば、マウスまたはトラックボールとを有するコンピュータに実装することができる。他の種類のデバイスを用いて同様にユーザとの対話を提供することができ、例えば、ユーザに提供されるフィードバックは、任意の形式の感覚フィードバック、例えば、視覚フィードバック、聴覚フィードバック、または触覚フィードバックとすることができ、ユーザからの入力は、音響入力、音声入力、または触覚入力を含むいかなる形式でも受信することができる。加えて、コンピュータは、ユーザが使用するデバイスに文書を送信し、デバイスから文書を受信することによって、例えば、ウェブブラウザから受信した要求に応じて、ユーザのクライアントデバイス上のウェブブラウザにウェブページを送信することによって、ユーザと対話することができる。

【0043】

複数の実施態様を説明してきた。それでもやはり、本開示の趣旨および範囲から逸脱することなく、様々な修正を加えることができることが理解されるであろう。したがって、他の実施態様は、以下の特許請求の範囲内である。

【図1】

【図2】

【図3】

【図4】

【図5】

【手続補正書】

【提出日】2024-05-17

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

データ処理ハードウェア（１４４）によって実行されると、前記データ処理ハードウェア（１４４）に処理を実行させ、前記処理は、
時系列異常検知クエリ（２０）をユーザ（１２）から受信することを含み、前記時系列異常検知クエリ（２０）は、時系列データ値（１５２）のセット内の１つまたは複数の異常を判定するように前記データ処理ハードウェア（１４４）に要求し、
前記時系列データ値（１５２）のセット内の各々の時系列データ値（１５２）を用いて１つまたは複数のモデル（２１２）を訓練することを含み、
前記時系列データ値（１５２）のセットにおけるそれぞれの時系列データ値（１５２）の各々に関して、
前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する期待データ値（１５２Ｅ）を決定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差を決定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差が閾値（３１４）を満たすと判定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定したことに応答して、前記それぞれの時系列データ値（１５２）が異常であると判定することと、
前記異常なそれぞれの時系列データ値（１５２Ａ）を前記ユーザ（１２）に報告することとを含む、コンピュータが実行する方法（４００）。

【請求項2】

前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）を決定することは、前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記時系列データ値（１５２）のセット内の各々の時系列データ値（１５２）を複数の成分（２２０）に分解することを含む、請求項１に記載の方法（４００）。

【請求項3】

前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）を決定することは、前記複数の成分（２２０）のうちの２つ以上の成分（２２０）を集約することをさらに含む、請求項２に記載の方法（４００）。

【請求項4】

前記１つまたは複数のモデル（２１２）は、前記複数の成分（２２０）の成分（２２０）ごとに別個のモデル（２１２）を含む、請求項２または請求項３に記載の方法（４００）。

【請求項5】

前記複数の成分（２２０）は、トレンド成分（２２０）、休日効果成分（２２０）、季節成分（２２０）、および段階的変化成分（２２０）のうちの１つまたは複数を含む、請求項２または請求項３に記載の方法（４００）。

【請求項6】

前記閾値（３１４）は、前記ユーザ（１２）から受信した異常確率に基づく、請求項１～請求項３のいずれか１項に記載の方法（４００）。

【請求項7】

前記時系列異常検知クエリ（２０）は、単一の構造化照会言語（ＳＱＬ）クエリを含む、請求項１～請求項３のいずれか１項に記載の方法（４００）。

【請求項8】

前記単一のＳＱＬクエリは、時系列データ値（１５２）の複数のセット内の１つまたは複数の異常データ値（１５２Ａ）を判定するように前記データ処理ハードウェア（１４４）に要求する、請求項７に記載の方法（４００）。

【請求項9】

前記１つまたは複数のモデル（２１２）のうちの少なくとも１つは、自己回帰和分移動平均モデルを含む、請求項１～請求項３のいずれか１項に記載の方法（４００）。

【請求項10】

前記処理は、
前記訓練済みの１つまたは複数のモデル（２１２）を用いて、将来の時系列データ値（１５２Ｆ）を予測することと、
前記将来の時系列データ値（１５２Ｆ）を予測した後、前記将来の時系列データ値（１５２Ｆ）に関連付けられている付加的な時系列データ値（１５２）を受信することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差を決定することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定したことに応答して、前記付加的な時系列データ値（１５２）が異常であると判定することと、
前記異常な付加的な時系列データ値（１５２Ａ）を前記ユーザ（１２）に報告することとをさらに含む、請求項１～請求項３のいずれか１項に記載の方法（４００）。

【請求項11】

前記時系列データ値（１５２）のセットは単変量時系列データ値（１５２）のセットを含む、請求項１～請求項３のいずれか１項に記載の方法（４００）。

【請求項12】

データ処理ハードウェア（１４４）と、
前記データ処理ハードウェア（１４４）と通信するメモリハードウェアとを備え、前記メモリハードウェアは、前記データ処理ハードウェア（１４４）上で実行されると前記データ処理ハードウェア（１４４）に、処理を実行させる命令を記憶し、前記処理は、
時系列異常検知クエリ（２０）をユーザ（１２）から受信することを含み、前記時系列異常検知クエリ（２０）は、時系列データ値（１５２）のセット内の１つまたは複数の異常を判定するように前記データ処理ハードウェア（１４４）に要求し、
前記時系列データ値（１５２）のセット内の各々の時系列データ値（１５２）を用いて１つまたは複数のモデル（２１２）を訓練することを含み、
前記時系列データ値（１５２）のセットにおけるそれぞれの時系列データ値（１５２）の各々に関して、
前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する期待データ値（１５２Ｅ）を決定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差を決定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差が閾値（３１４）を満たすと判定することと、
前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）と前記それぞれの時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定したことに応答して、前記それぞれの時系列データ値（１５２）が異常であると判定することと、
前記異常なそれぞれの時系列データ値（１５２Ａ）を前記ユーザ（１２）に報告することとを含む、システム（１００）。

【請求項13】

前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）を決定することは、前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記時系列データ値（１５２）のセット内の各々の時系列データ値（１５２）を複数の成分（２２０）に分解することを含む、請求項１２に記載のシステム（１００）。

【請求項14】

前記訓練済みの１つまたは複数のモデル（２１２）を用いて、前記それぞれの時系列データ値（１５２）に対する前記期待データ値（１５２Ｅ）を決定することは、前記複数の成分（２２０）のうちの２つ以上の成分（２２０）を集約することをさらに含む、請求項１３に記載のシステム（１００）。

【請求項15】

前記１つまたは複数のモデル（２１２）は、前記複数の成分（２２０）の成分ごとに別個のモデル（２１２）を含む、請求項１３または請求項１４に記載のシステム（１００）。

【請求項16】

前記複数の成分（２２０）は、トレンド成分（２２０）、休日効果成分（２２０）、季節成分（２２０）、および段階的変化成分（２２０）のうちの１つまたは複数を含む、請求項１３または請求項１４に記載のシステム（１００）。

【請求項17】

前記閾値（３１４）は、前記ユーザ（１２）から受信した異常確率に基づく、請求項１２～請求項１４のいずれか１項に記載のシステム（１００）。

【請求項18】

前記時系列異常検知クエリ（２０）は、単一の構造化照会言語（ＳＱＬ）クエリを含む、請求項１２～請求項１４のいずれか１項に記載のシステム（１００）。

【請求項19】

前記単一のＳＱＬクエリは、時系列データ値（１５２）の複数のセット内の１つまたは複数の異常データ値（１５２Ａ）を判定するように前記データ処理ハードウェア（１４４）に要求する、請求項１８に記載のシステム（１００）。

【請求項20】

前記１つまたは複数のモデル（２１２）のうちの少なくとも１つは、自己回帰和分移動平均モデルを含む、請求項１２～請求項１４のいずれか１項に記載のシステム（１００）。

【請求項21】

前記処理は、
前記訓練済みの１つまたは複数のモデル（２１２）を用いて、将来の時系列データ値（１５２Ｆ）を予測することと、
前記将来の時系列データ値（１５２Ｆ）を予測した後、前記将来の時系列データ値（１５２Ｆ）に関連付けられている付加的な時系列データ値（１５２）を受信することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差を決定することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定することと、
前記将来の時系列データ値（１５２Ｆ）と前記付加的な時系列データ値（１５２）との差が前記閾値（３１４）を満たすと判定したことに応答して、前記付加的な時系列データ値（１５２）が異常であると判定することと、
前記異常な付加的な時系列データ値（１５２Ａ）を前記ユーザ（１２）に報告することとをさらに含む、請求項１２～請求項１４のいずれか１項に記載のシステム（１００）。

【請求項22】

前記時系列データ値（１５２）のセットは単変量時系列データ値（１５２）のセットを含む、請求項１２～請求項１４のいずれか１項に記載のシステム（１００）。

【国際調査報告】