残差を信じてよい条件について

00問題

異常を見つけるとき、私たちはたいてい同じ手続きを踏む。

まずモデルを当てる。次に、モデルで説明できなかった部分——残差——を取り出す。そして残差のうち、目立つものを「意味のある構造」として拾い上げる。

この手続きには、暗黙の飛躍がひとつある。

残差が大きいことと、そこに構造があることは、同じではない。

残差はモデルの不完全さからも生じるし、単なる揺らぎからも生じる。にもかかわらず、実務では「残差が閾値を超えた」ことを「異常が起きた」と読み替える。この読み替えを正当化する条件は、何なのか。

言い換えると——抽出された構造を、どういうときに信じてよいのか。

この問いに答える科学が必要なはずだと思っている。そして、探した範囲では、まだ十分に整備されていない。

01信じるための唯一の作法

分野は違っても、構造を信じるための作法は結局ひとつに収束する。

「何もない世界」で、この構造が偶然どれだけの頻度で立ち上がるかを測れ。
それより明らかに稀なら、信じてよい。測れないなら、信じてはいけない。

統計学の帰無仮説、信号処理の false alarm rate、機械学習の偽発見率。呼び名は違うが、やっていることは同じで、ヌル（帰無モデル）を用意して、そこから見た希少性で判断する。

問題は、ヌルをどこから調達するかだ。ノイズの分布が理論的にわかっている系なら、そこから外れた成分だけを信号として拾える。時系列なら、サロゲート系列やブートストラップで「何もない世界」を人工的に生成できる。

では、組織の業務プロセスのヌルは、どこから来るのか。

ここが空白である、というのが本稿の主張である。

02プロセスマイニングが答えていること

業務プロセスの逸脱検出について、最も体系化されているのはプロセスマイニング、とりわけ conformance checking（適合性検査）の系譜である。

学術と実務の距離も近い。van der Aalst 本人が Celonis の Chief Scientist を務めながら RWTH Aachen の研究グループを率いており、製品に載っている機能の多くは論文の実装である（heuristic miner は2002年、token-based conformance checking は2005年、inductive miner は2013年の成果にさかのぼる）。閉じた企業秘密ではなく、公開された研究の蓄積の上に立っている。

conformance checking の定義は明快だ。イベントログに記録された実際の振る舞いを、プロセスモデルが記述する期待された振る舞いと突き合わせ、その乖離を見つける。

そして、この15年の主戦場は、「乖離をどう測るか」だった。

• Alignments — 観測されたトレースを、モデルが許す実行系列のうち最も近いものに整列させ、その編集コストを乖離量とする。
• Stochastic conformance（EMSC） — モデル側に確率がないことが諸問題の原因だと指摘し、ログとモデルの双方を確率分布として扱う。二つの分布を「砂の山」に見立て、片方をもう片方に変形するのに必要な仕事量——Earth Mover's Distance——を適合度とする。
• Entropic relevance — 情報量の観点から、モデルがログをどれだけ簡潔に説明できるかを測る。
• Uncertainty-aware conformance — タイムスタンプや属性が不確かなとき、乖離スコアの最良・最悪ケースの上下界を計算する。

距離の定義としては、どれも精緻で美しい。「どれだけ違うか」については、もう十分に答えが出ている。

03しかし、ヌルがない

ここで、conformance checking のヌルが何なのかを見る。

人間が描いた規範モデルである。BPMN 図、Petri ネット、あるいは DECLARE 制約集合。

つまり——帰無分布はデータから推定されない。外から手渡される。

この構造は、実は途方もない仮定を含んでいる。「何が正常か」の全責任が、その図を描いた人間に委ねられている。図が正しいなら、乖離はすべて本物の逸脱である。図が間違っていれば、乖離はすべて偽陽性になる。そして、どちらであるかを判定する機構は、枠組みの中に存在しない。

「抽出された構造を信じてよい条件」は、この枠組みではそもそも問われない。信じてよいことになっているからだ。

04適合率 0.50 という告白

規範モデルが存在しないとき、どうするか。この問いに正面から取り組んだ研究がある（Rebmann, Kampik, Corea, van der Aa, 2024）。

彼らの発想はこうだ。専用の規範モデルは現実にはほとんど存在せず、作るにも多大な手間がかかる。しかし世の中には参照プロセスモデル——業務のベストプラクティスのテンプレート——の集積がある。ならばそこから宣言的制約を大量に抽出し、対象のログに関連するものを自動選択して、違反を検出すればよい。

1,500 のモデルから25万を超える制約を抽出し、精練して、ログごとに関連する制約を選ぶ。実装は堅実で、実データにも適用されている。

そして、その検出性能が、こうである。

適合率 0.50 / 再現率 0.81
検出された「違反」の、半分が偽である。

さらに重要なのは、著者たちがこれをどう扱っているかだ。彼らは、違反検出という目的では偽陽性を許容して偽陰性を減らすほうが妥当であり、偽陽性を招いている制約はユーザーが後から手で除外すればよい、と述べる。

これは怠慢ではない。誠実な限界の表明である。だが同時に、決定的な告白でもある。

「どれを信じてよいか」の判定が、人間に丸投げされている。

半分が偽である検出結果を渡されて、どれが本物かを見分ける——それは、そもそも自動検出が肩代わりするはずだった仕事ではなかったか。

05なぜヌルが作れないのか

この空白は、研究者の怠慢では説明できない。構造的な理由がある。

業務プロセスには、帰無分布を生成する機構が存在しない。

ランダム化実験ならラベルをシャッフルすればヌルが作れる。時系列なら位相をランダム化したサロゲートが作れる。しかし、「この組織が、何も異常なく動いていたとき、業務ログはどんな分布に従うのか」を教えてくれるものは、どこにもない。

過去のログを使えばいい、と言いたくなる。だがそれは循環する。過去のログには、まだ見つかっていない異常が含まれているかもしれない。「正常」を過去から推定するということは、過去に見逃したものを正常と定義するということである。

もうひとつの循環もある。異常のラベルは、見つかったものにしか付かない。見つからなかった異常は、永久にラベルを持たない。したがって「検出精度」を測ろうとしても、分母が定義できない。

ヌルが作れず、ラベルも作れない。 この二重の欠損の上に、業務の異常検出は立っている。

06四つの経路と、ひとつの賭け

この状況からの出口を、四つ挙げる。前の三つは既存の統計を、まだ使われていない場所に持ち込む仕事である。最後のひとつだけが、賭けになる。

Dについて

四番目だけ補足する。

物性の系では、秩序変数がある値を跨いだ瞬間に相が変わる。たとえば上皮組織の頂点モデルでは、細胞の形状指数 q = P/√A がおよそ 3.81 を超えると、組織が固体から流体へ転移する。細胞が自発的に隣接関係を組み替えはじめる。この判定に統計的検定は要らない。閾値が理論から出てくるからだ。

同じことが、判断の構造についてできないか。意思決定主体がネットワーク上を移動し、交差し、履歴を残す系において、「絡まり」の秩序変数——ループ数とその持続性——が、ある閾値を跨いだとき、その組織の判断は質的に別の相に入っている、と言えないか。

これが言えれば、異常は「珍しいこと」ではなく「相が違うこと」になる。ヌルからの希少性ではなく、秩序変数からの相判定になる。

成立する保証はない。だが A・B・C を尽くしてなお残る部分があるなら、そこは D でしか届かない。

07そして、記録の設計

四つの経路と並行して、もうひとつ手当てすべきことがある。

異常の定義は、事後にしか確定しない。規程に書けるものはルールで止まっている。書けないから逸脱として現れる。定義が後から来る以上、記録は定義より先になければならない。

いま何を探すべきか決まっていなくても、将来テンプレートが決まったときに、遡ってそれを当てられるだけの痕跡を残しておく。「誰が・何を見て・何を判断し・何を実行したか」を再構成できるだけの構造を、系の設計時に埋め込む。

これは検出の技術ではなく、検出可能性の設計である。Forensic-by-Design と呼んでいるのは、この立場のことだ。

ただし——これは単独では逃げになる。「ヌルが作れないので記録だけしておきます」では、問題を先送りしただけである。記録の設計は、A から D を可能にするための前提条件として意味を持つ。 特に D は、痕跡（交差履歴・経路履歴）が残っていなければ、秩序変数そのものが計算できない。

08まとめ

• 異常検出の実務は「モデルを当てて残差を見る」。だが残差の大きさと構造の存在は別物である。
• 構造を信じるための作法は普遍的で、ヌルからの希少性でしか判断できない。
• プロセスマイニングは15年かけて乖離の測り方を精緻化した。しかしそのヌルは人間が描いた図であり、図の正しさを検定する機構は枠組みの中にない。
• 規範モデルがない場合の研究では適合率 0.50——検出の半分が偽——であり、その選別は人間に委ねられている。
• 業務プロセスには帰無分布の生成機構がない。過去のログをヌルにすることは、見逃しを正常と定義することになり、循環する。
• 出口は四つ。サロゲート／選択後推論／並行系／秩序変数。前三者は統計を持ち込む仕事、最後は相転移として異常を定義しなおす賭け。
• そのすべての前提として、記録の設計が要る。

この分野の「精度」という言葉は、ヌルが空白であるかぎり、意味を持ちきらないと思う。