1 定義と基本概念
異常検知とは、データセット内において、大多数の正常なパターンから有意に逸脱するデータポイント、イベント、または観測値を特定する技術およびプロセスである。統計学、機械学習、データマイニングなどの手法を応用し、不正取引の検出、ネットワーク侵入の識別、製造工程の不良発見、医療診断における異常値の抽出など、多岐にわたる実務領域で活用される。異常検知の難しさは、正常と異常の境界が曖昧であること、異常の定義がドメイン依存であること、そして異常データが極めて稀であること（不均衡データ問題）に起因する。
1.1 異常の種類
異常はその出現パターンに基づいて三つの主要なカテゴリに分類される。それぞれの種類によって検出手法や適用範囲が異なる。
1.1.1 点異常
点異常とは、個々のデータインスタンスが全体の分布から大きく逸脱する場合を指す。例えば、クレジットカード取引データにおいて通常の利用額からかけ離れた高額取引が発生した場合や、センサー測定値が突発的に異常な値を示す場合が該当する。点異常は最も基本的な異常パターンであり、多くの古典的検出手法の対象となる。
1.1.2 文脈異常
文脈異常とは、特定の文脈（時間、空間、条件など）においてのみ異常と判断されるパターンである。例えば、夏場に気温が30度であれば正常だが、冬場に同じ気温が観測されれば異常となる場合や、特定の曜日や時間帯にのみ発生する取引パターンの逸脱などが挙げられる。文脈を考慮しないと検出が困難である点が特徴である。
1.1.3 集団異常
集団異常とは、個々のデータポイントは正常に見えても、それらが集合として出現した場合に異常パターンを形成するケースを指す。例えば、ネットワークトラフィック中で個々のパケットは正常だが、特定の送信元から短時間に多数のパケットが集中する場合（DDoS攻撃の兆候）や、医療診断で複数の軽微な検査値異常が同時に現れる場合が該当する。集合としての振る舞いに着目する必要がある。
1.2 正常と異常の境界
正常と異常の境界は本質的に曖昧であり、ドメイン知識や応用目的に依存する。多くの実問題では、正常領域と異常領域の間にグレーゾーンが存在し、あるデータがどちらに属するかの判断が困難な場合がある。また、異常の定義は時間とともに変化しうるため、静的な境界設定では十分に捉えきれない。この曖昧性に対処するため、確率的なアプローチや閾値調整、専門家のフィードバックを組み合わせた手法が用いられる。
2 主な検出手法
異常検出手法は、用いる原理とデータの性質に応じて多様なアプローチが存在する。以下では代表的な手法群を分類して解説する。
2.1 統計的手法
統計的手法は、データが何らかの確率分布に従うと仮定し、その分布からの逸脱度を基に異常を判定する。計算が比較的軽量で解釈性が高い反面、分布仮定が現実と乖離する場合に性能が低下する。
2.1.1 パラメトリック法
パラメトリック法では、データの分布が正規分布やポアソン分布などの特定のパラメトリック分布に従うと仮定する。例えば、正規分布を仮定した場合、平均から標準偏差の数倍以上離れた値を異常と判定する「3シグマルール」がよく用いられる。分布のパラメータ（平均、分散など）をデータから推定し、各点の尤度やzスコアを計算して閾値と比較する。
2.1.2 ノンパラメトリック法
ノンパラメトリック法は、特定の分布を仮定せずにデータから直接異常度を推定する。ヒストグラム法やカーネル密度推定（KDE）を用いて確率密度を推定し、密度が低い領域に属する点を異常とみなす。また、箱ひげ図における外れ値ルール（四分位範囲を用いる方法）も広く使われる簡便なノンパラメトリック手法である。
2.2 距離・密度ベース手法
距離・密度ベース手法は、データ点間の近接性や局所的な密度の高低に基づいて異常度を評価する。多様なデータ分布に対応でき、特に非線形な構造を持つデータに有効である。
2.2.1 k近傍法に基づく手法
k近傍法（k-NN）に基づく異常検知では、各データ点からそのk個の最近傍点までの距離の平均または最大値を異常スコアとして用いる。正常な点は他の点と距離が近いためスコアが小さくなり、異常点は周囲から離れているため大きなスコアを得る。単純だが効果的であり、多くの応用でベースラインとして使用される。
2.2.2 局所外れ値因子（LOF）
局所外れ値因子（Local Outlier Factor, LOF）は、各データ点の局所的な密度を周囲の点と比較することで異常度を定量化する。ある点の密度がその近傍点の密度よりも顕著に低い場合、LOF値が1より大きくなり異常と判定される。LOFは密度が均一でないデータセット（例えばクラスタ内の密度差がある場合）でも効果的に異常を検出できる利点を持つ。
2.3 クラスタリングベース手法
クラスタリングベース手法は、まずデータをクラスタに分割し、どのクラスタにも属さない点や、生成されたクラスタの特性から外れる点を異常とみなす。
2.3.1 k-meansに基づく手法
k-meansクラスタリングを用いる場合、各データ点を最も近いクラスタ中心に割り当て、その中心からの距離が大きい点を異常と判定する。また、小さいサイズのクラスタ（例えば全データの1%未満）に属する点を異常とみなす方法もある。計算が高速であるが、クラスタ数kの設定や球形クラスタの仮定に依存する。
2.3.2 DBSCAN
DBSCAN（Density-Based Spatial Clustering of Applications with Noise）は、密度に基づくクラスタリング手法であり、ノイズ点を自動的に異常として扱う。DBSCANは任意の形状のクラスタを検出でき、クラスタ数が事前に不要であるため、異常検知に適している。ただし、密度パラメータ（εとminPts）の設定が結果に大きく影響する。
2.4 機械学習・深層学習手法
機械学習と深層学習の進展により、より複雑なパターンや高次元データからの異常検知が可能になった。この分野では学習データのラベル状況に応じて手法が分類される。
2.4.1 教師あり学習
教師あり学習による異常検知では、正常と異常の両方のラベルが付与されたデータを用いて分類器を学習する。決定木、ランダムフォレスト、サポートベクターマシン（SVM）、ニューラルネットワークなどのアルゴリズムが適用される。ただし、異常データが極めて少ない不均衡データでは、オーバーサンプリングやコスト考慮型学習などの対策が必要となる。
2.4.2 教師なし学習（オートエンコーダ、GAN）
教師なし学習はラベルを必要とせず、正常データのみ（あるいはラベルなしデータ全体）から異常パターンを学習する。代表的な手法としてオートエンコーダがある。オートエンコーダは入力を圧縮・再構成するよう学習され、再構成誤差が大きい点を異常と判断する。また、生成敵対ネットワーク（GAN）を用いた手法では、生成器が正常データの分布を学習し、識別器が異常な入力を判別する枠組みが利用される。
2.4.3 半教師あり学習（ワンクラスSVM）
半教師あり学習は正常データのみを用いてモデルを構築し、異常データは未知とする。ワンクラスSVM（One-Class SVM）は、正常データの分布を囲む超球面や超平面を学習し、その境界外に位置するデータを異常と判定する。高次元データや非線形な境界にも対応可能であり、異常ラベルが利用できないシナリオで広く使われる。
3 応用分野
異常検知は多様な産業領域で実践的に活用されており、それぞれのドメイン固有の要件に合わせて手法が選択・調整される。
3.1 金融分野
金融分野では、不正の早期発見とリスク管理のために異常検知が不可欠である。取引データは大量かつ高次元であり、リアルタイム性が要求されることが多い。
3.1.1 クレジットカード不正検知
クレジットカード不正検知では、顧客の過去の利用パターンから逸脱する取引を検出する。例えば、急な高額決済、短期間での連続利用、通常とは異なる地域からの利用などが異常として判定される。機械学習モデルは取引ごとに異常スコアを計算し、閾値を超えた場合に即座にアラートを発する。
3.1.2 保険金請求詐欺検出
保険金請求における不正を検出するため、請求内容の履歴データや医療記録、事故情報などを分析する。過去の不正事例パターンを教師あり学習でモデル化するほか、正常な請求からの乖離を教師なし手法で捉えるアプローチも併用される。複雑な共謀詐欺の検出にはネットワーク分析が有効である。
3.2 ネットワークセキュリティ
ネットワークセキュリティでは、サイバー攻撃や不正アクセスを早期に検知するために異常検知が用いられる。トラフィックデータは時系列であり、常に変化する正常パターンに適応する必要がある。
3.2.1 侵入検知システム
侵入検知システム（IDS）は、ネットワークパケットやログを監視し、既知の攻撃シグネチャ（署名ベース）に加えて、異常な挙動（アノマリベース）を検出する。アノマリベースIDSは未知の攻撃も検出可能だが、誤検知率が高い課題がある。近年では深層学習を用いたトラフィックの時系列モデリングが注目されている。
3.2.2 ボットネット検出
ボットネットに感染した端末は、通常とは異なる通信パターンを示すことが多い。例えば、C2サーバへの定期的な接続、大量のスパムメール送信、異常な外部向けトラフィックなどが兆候となる。教師なし手法により、正常なホストの通信パターンからの逸脱を監視し、感染端末を特定する。
3.3 製造・工業
製造現場では、品質維持や設備保全のために異常検知が活用される。センサデータや画像データが主な入力となる。
3.3.1 品質管理と不良品検出
製造ラインにおいて、製品の画像や寸法データを用いて外観不良や形状異常を自動検出する。ディープラーニングによる画像異常検知は、正常品のみを学習して異常品を検出する教師なし手法が主流である。従来のルールベース検査と比較して、複雑な欠陥パターンにも対応できる。
3.3.2 センサーデータ異常監視
工場の設備やプラントに設置されたセンサ（温度、振動、圧力など）の時系列データを分析し、機器の故障や劣化の予兆を検出する。異常の早期発見により計画外のダウンタイムを防止できる。手法としては、季節性やトレンドを考慮した統計的モデルや、再構成ベースの教師なし深層学習が用いられる。
3.4 医療・ヘルスケア
医療分野では、疾患の早期発見や患者状態のモニタリングに異常検知が応用される。データのプライバシーや解釈性が重要な要件となる。
3.4.1 医療画像異常検知
X線、CT、MRIなどの医用画像から腫瘍や病変などの異常領域を検出する。正常画像のみを学習した教師なしモデル（オートエンコーダなど）や、正常・異常両方を学習した教師ありモデル（CNNなど）が利用される。異常箇所の可視化（ヒートマップ）により、医師の診断補助として機能する。
3.4.2 バイタルサイン異常検出
ICUや一般病棟における心拍数、血圧、酸素飽和度などのバイタルサインの時系列データから、急変の予兆を検出する。個々の患者の正常範囲が異なるため、患者ごとにベースラインを学習するアプローチが有効である。早期警告システムとして、異常スコアが閾値を超えたときに医療スタッフに通知する。
4 評価指標とモデル検証
異常検知モデルの性能評価には、分類問題の枠組みを基本としつつ、不均衡データ特有の指標が重視される。
4.1 混同行列と基本指標
混同行列は、予測結果と実際のラベルを比較して真陽性（TP）、偽陽性（FP）、真陰性（TN）、偽陰性（FN）の数をまとめた表である。これをもとに基本指標が計算される。
4.1.1 再現率と適合率
再現率（Recall）は実際の異常のうち正しく検出できた割合（TP/(TP+FN)）であり、見逃しを減らすために重要である。適合率（Precision）は異常と判定された中で実際に異常である割合（TP/(TP+FP)）であり、誤検知を減らすために重要である。異常検知では、多くの場合再現率と適合率のトレードオフが存在する。
4.1.2 F値
F値は再現率と適合率の調和平均であり、両者のバランスを評価する。特に、異常データが稀な場合に、片方の指標だけではモデルの良さを適切に評価できないため、F値（通常はF1スコア）がよく用いられる。必要に応じて再現率や適合率に重みを付けたFβスコアも使用される。
4.2 確率的評価
確率的評価は、閾値に依存しないモデルの識別能力を評価する手法である。
4.2.1 ROC曲線とAUC
ROC曲線は、閾値を変化させたときの真陽性率（再現率）と偽陽性率の関係をプロットしたものである。AUC（Area Under the Curve）はROC曲線の下部面積であり、値が1に近いほど識別性能が高いことを示す。不均衡データではROC曲線が楽観的になる場合があるため注意が必要である。
4.2.2 適合率-再現率曲線
適合率-再現率曲線（PR曲線）は、閾値変化に伴う適合率と再現率の関係をプロットしたものである。不均衡データの評価にはROC曲線よりもPR曲線の方が適しているとされる。PR曲線の下部面積（Average Precision）も指標として用いられる。
4.3 不均衡データへの対応
異常データが極めて少ない不均衡データでは、通常の精度指標が誤解を招く可能性がある。対応策として、オーバーサンプリング（SMOTEなど）やアンダーサンプリングによるデータバランス調整、異常に対する誤検出コストを高く設定したコスト考慮型学習、異常スコアのランキング評価、そして前述のPR曲線を用いた評価が推奨される。また、ビジネス要件に基づいて許容できる偽陽性率を定義し、その条件下で再現率を最大化する閾値を選択するアプローチも取られる。
5 課題と今後の方向性
異常検知技術は実用化が進む一方で、いくつかの根本的な課題が残されており、研究と開発の焦点となっている。
5.1 異常定義の曖昧性
異常の定義は応用ドメインや状況に依存し、客観的な基準を設定することが難しい。例えば、同じデータでも監視の目的が異なれば異常とみなす範囲が変わる。この曖昧性はラベル付けの一貫性を損ない、モデルの性能評価にも影響を与える。今後の方向性として、ドメイン知識を柔軟に組み込んだ半教師あり手法や、人間のフィードバックを反映させるインタラクティブな検出手法が期待される。
5.2 ラベル不足とラベルノイズ
異常データは稀であるため、ラベル付きデータを十分に収集することが困難である。また、専門家によるラベル付けもコストが高く、ラベルノイズ（誤ラベル）が混入するリスクがある。これに対して、弱教師あり学習（Weak Supervision）や正例・無ラベル学習（PU Learning）などの技術が研究されている。さらに、合成データ生成やデータ拡張により疑似異常サンプルを作成するアプローチも進められている。
5.3 高次元データの処理
画像、テキスト、センサアレイなど高次元データでは、次元の呪いにより距離や密度の概念が意味を失い、多くの従来手法が効果を発揮しにくくなる。特徴量選択や次元削減（PCA、オートエンコーダによる埋め込み）が前処理として用いられるが、情報損失のリスクもある。近年では、深層学習による表現学習（エンドツーエンドでの異常検知）が高次元データに対して有効性を示している。
5.4 実時間・ストリーム検知
実時間での異常検知が求められるシナリオ（ネットワークセキュリティ、金融取引、産業プロセス監視など）では、データが連続的にストリームとして到着し、分布が時間とともに変化する（コンセプトドリフト）。そのため、モデルをオンライン更新しながら異常を即時判定する必要がある。軽量なアルゴリズム（Hoeffding木、オンラインSVMなど）や、適応的な閾値調整手法の開発が進められている。
5.5 説明可能性と解釈性
異常検知モデルが「なぜそのデータ点が異常と判断されたか」を説明することは、実運用における信頼性向上やドメイン専門家による妥当性確認のために重要である。深層学習モデルは高性能だがブラックボックスになりがちであり、説明可能性（Explainable AI）の技術（SHAP、LIME、Grad-CAMなど）を異常検知に適用する研究が活発である。また、異常の種類や原因を分類する手法と組み合わせることで、より実用的な診断情報を提供できるようになる。