WO2022059208A1 - 学習装置、学習方法及び学習プログラム - Google Patents

学習装置、学習方法及び学習プログラム Download PDF

Info

Publication number
WO2022059208A1
WO2022059208A1 PCT/JP2020/035623 JP2020035623W WO2022059208A1 WO 2022059208 A1 WO2022059208 A1 WO 2022059208A1 JP 2020035623 W JP2020035623 W JP 2020035623W WO 2022059208 A1 WO2022059208 A1 WO 2022059208A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
learning
model
anomaly score
unlearned
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2020/035623
Other languages
English (en)
French (fr)
Inventor
友貴 山中
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to US18/026,605 priority Critical patent/US20230334361A1/en
Priority to JP2022550324A priority patent/JP7444271B2/ja
Priority to PCT/JP2020/035623 priority patent/WO2022059208A1/ja
Priority to EP20954193.7A priority patent/EP4202800B1/en
Priority to CN202080105213.4A priority patent/CN116113960B/zh
Priority to AU2020468806A priority patent/AU2020468806B2/en
Publication of WO2022059208A1 publication Critical patent/WO2022059208A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G06N3/0455—Auto-encoder networks; Encoder-decoder networks
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/047—Probabilistic or stochastic networks
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/0475—Generative networks
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/088—Non-supervised learning, e.g. competitive learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • the present invention relates to a learning device, a learning method and a learning program.
  • IDS intrusion detection systems
  • VAE Variational Auto Encoder
  • An anomaly detection system using a probability density estimator generates high-dimensional data for learning called traffic features from actual communication, and learns the characteristics of normal traffic using these features for normal communication. It becomes possible to estimate the probability of occurrence of a pattern.
  • the probability density estimator may be simply referred to as a model.
  • the abnormality detection system calculates the probability of occurrence of each communication using the trained model, and detects the communication with a small probability of occurrence as an abnormality. Therefore, according to the anomaly detection system using the probability density estimator, it is possible to detect anomalies without knowing all malignant states, and there is also an advantage that it is possible to deal with unknown cyber attacks. In the anomaly detection system, an anomaly score that increases as the probability of occurrence is smaller may be used for anomaly detection.
  • learning of a probability density estimator such as VAE often does not work in a situation where the number of cases is biased among the normal data to be learned.
  • traffic session data often has a biased number of cases.
  • a probability density estimator such as VAE in such a situation, learning of NTP communication with a small number of data will not be successful, and the probability of occurrence will be underestimated, which may cause false positives. be.
  • Patent Document 1 As a method of solving the problem caused by such a bias in the number of data items, a method of learning the probability density estimator in two stages is known (see, for example, Patent Document 1).
  • the conventional technology has a problem that the processing time may increase.
  • the learning of the probability density estimator since the learning of the probability density estimator is performed in two steps, the learning time is about twice as long as in the case of one step.
  • the learning device learns the data selected as unlearned data among the training data, and generates a model for calculating the anomaly score. It is characterized by having a selection unit for selecting at least a part of the data for learning whose anomaly score calculated by the model generated by the generation unit is equal to or higher than the threshold value as the unlearned data. And.
  • FIG. 1 is a diagram illustrating a flow of learning processing.
  • FIG. 2 is a diagram showing a configuration example of the learning device according to the first embodiment.
  • FIG. 3 is a diagram illustrating selection of unlearned data.
  • FIG. 4 is a flowchart showing a processing flow of the learning device according to the first embodiment.
  • FIG. 5 is a diagram showing the distribution of anomaly scores.
  • FIG. 6 is a diagram showing the distribution of anomaly scores.
  • FIG. 7 is a diagram showing the distribution of anomaly scores.
  • FIG. 8 is a diagram showing a ROC curve.
  • FIG. 9 is a diagram showing a configuration example of an abnormality detection system.
  • FIG. 10 is a diagram showing an example of a computer that executes a learning program.
  • FIG. 1 is a diagram illustrating a flow of learning processing.
  • the learning device of the present embodiment repeats STEP1 and STEP2 until the end condition is satisfied.
  • the learning device generates a plurality of models.
  • the generated model shall be added to the list.
  • the learning device randomly samples a predetermined number of data from the unlearned data. Then, the learning device generates a model from the sampled data.
  • the model is a probability density estimator such as VAE.
  • the learning device calculates the anomaly score of the entire untrained data using the generated model. Then, the learning device selects the data whose anomaly score is equal to or less than the threshold value as the learned data. On the other hand, the learning device selects the data whose anomaly score is equal to or higher than the threshold value as unlearned data. Here, if the end condition is not satisfied, the learning device returns to STEP1.
  • the data whose anomaly score is equal to or higher than the threshold value in STEP2 will be regarded as unlearned data.
  • sampling and evaluation are repeated, and the dominant type of data among the unlearned data is sequentially learned.
  • the data to be learned is reduced by sampling and narrowing down the unlearned data, so that the time required for learning can be shortened.
  • FIG. 2 is a diagram showing a configuration example of the learning device according to the first embodiment.
  • the learning device 10 has an IF (interface) unit 11, a storage unit 12, and a control unit 13.
  • the IF unit 11 is an interface for inputting and outputting data.
  • the IF unit 11 is a NIC (Network Interface Card).
  • the IF unit 11 may be connected to an input device such as a mouse or keyboard, and an output device such as a display.
  • the storage unit 12 is a storage device for an HDD (Hard Disk Drive), SSD (Solid State Drive), optical disk, or the like.
  • the storage unit 12 may be a semiconductor memory in which data such as RAM (Random Access Memory), flash memory, NVSRAM (Non Volatile Static Random Access Memory) can be rewritten.
  • the storage unit 12 stores an OS (Operating System) and various programs executed by the learning device 10.
  • the control unit 13 controls the entire learning device 10.
  • the control unit 13 is, for example, an electronic circuit such as a CPU (Central Processing Unit), an MPU (Micro Processing Unit), a GPU (Graphics Processing Unit), an ASIC (Application Specific Integrated Circuit), an FPGA (Field Programmable Gate Array), or the like. It is an integrated circuit.
  • the control unit 13 has an internal memory for storing programs and control data that specify various processing procedures, and executes each process using the internal memory. Further, the control unit 13 functions as various processing units by operating various programs.
  • the control unit 13 has a generation unit 131, a calculation unit 132, and a selection unit 133.
  • the generation unit 131 learns the data selected as the unlearned data among the data for learning, and generates a model for calculating the anomaly score.
  • the generation unit 131 adds the generated model to the list.
  • the generation unit 131 can adopt an existing VAE generation method. Further, the generation unit 131 may generate a model based on the data obtained by sampling a part of the unlearned data.
  • the calculation unit 132 calculates the anomaly score of the unlearned data by the model generated by the generation unit 131.
  • the calculation unit 132 may calculate the anomaly score of the entire unlearned data, or may calculate the anomaly score of a part of the unlearned data.
  • the selection unit 133 selects at least a part of the data for learning whose anomaly score calculated by the model generated by the generation unit 131 is equal to or higher than the threshold value as unlearned data.
  • FIG. 3 is a diagram illustrating selection of unlearned data.
  • the model is VAE, and it is assumed that the anomaly score of the communication data is calculated in order to detect the abnormal communication.
  • the horizontal axis is the anomaly score which is an approximation of the negative log-likelihood (-log p (x)) of the probability density
  • the vertical axis is the histogram of the number of data.
  • the negative log-likelihood of the probability density takes a higher value as the density (occurrence frequency) of the data points is lower, so it can be regarded as an anomaly score, that is, the degree of anomaly.
  • the anomaly score of MQTT communication with a large number of data is low, and the anomaly score of camera streaming communication with a small number of data is high. Therefore, it is considered that the camera communication data having a small number of data causes false detection.
  • the selection unit 133 selects unlearned data from the data whose anomaly score is equal to or higher than the threshold value. Then, a model with suppressed false positives is generated by using a part or all of the selected unlearned data. In other words, the selection unit 133 has a function of excluding data that does not require further learning.
  • the threshold value may be determined based on the Loss value obtained at the time of model generation. In that case, in the selection unit 133, among the training data, the anomaly score calculated by the model generated by the generation unit 131 is equal to or higher than the threshold value calculated based on the Loss value of each data obtained at the time of model generation. At least a portion of the data that is is selected as unlearned data. For example, the threshold value may be calculated based on the mean value or the variance, such as the mean of Loss values + 0.3 ⁇ .
  • the selection unit 133 mainly selects the DNS communication data and the camera communication data based on the anomaly score calculated in the ⁇ first time>. On the contrary, the selection unit 133 hardly selects the MQTT communication data having a large number of data.
  • the learning device 10 can repeat each process by the generation unit 131, the calculation unit 132, and the selection unit 133 even after the third time. That is, each time the generation unit 131 selects data as unlearned data by the selection unit 133, the generation unit 131 learns the selected data and generates a model for calculating the anomaly score. Then, each time the model is generated by the generation unit 131, the selection unit 133 selects at least a part of the data whose anomaly score calculated by the generated model is equal to or higher than the threshold value as unlearned data.
  • the learning device 10 may end the repetition when the number of data whose anomaly score is equal to or greater than the threshold value becomes less than a predetermined value.
  • the selection unit 133 satisfies the predetermined condition, the anomaly score is the threshold value. At least a part of the above data is selected as unlearned data.
  • the learning device 10 may repeat the process until the number of data whose anomaly score is equal to or greater than the threshold value is less than 1% of the number of data for learning initially collected. Further, since the model is generated and added to the list each time it is repeated, the learning device 10 can output a plurality of models.
  • a plurality of models generated by the learning device 10 are used for abnormality detection in a detection device or the like.
  • Anomaly detection using a plurality of models may be performed by the method described in Patent Document 1. That is, the detection device can detect an abnormality based on the merged value or the minimum value of the anomaly scores calculated by a plurality of models.
  • FIG. 4 is a flowchart showing a processing flow of the learning device according to the first embodiment.
  • the learning device 10 samples a part of the unlearned data (step S101).
  • the learning device 10 generates a model based on the sampled data (step S102).
  • step S103 if the end condition is satisfied (step S103, Yes), the learning device 10 ends the process. On the other hand, when the end condition is not satisfied (step S103, No), the learning device 10 calculates the anomaly score of the entire untrained data by the generated model (step S104).
  • the learning device 10 selects data having an anomaly score equal to or higher than the threshold value as unlearned data (step S105), returns to step S101, and repeats the process. Immediately before step S105 is executed, the selection of unlearned data is temporarily initialized. That is, in step S105, the learning device 10 selects new unlearned data by referring to the anomaly score in a state where no unlearned data is selected.
  • the generation unit 131 learns the data selected as the unlearned data among the training data and generates a model for calculating the anomaly score.
  • the selection unit 133 selects at least a part of the data for learning whose anomaly score calculated by the model generated by the generation unit 131 is equal to or higher than the threshold value as unlearned data. In this way, the learning device 10 can select data that is likely to cause false positives after generating the model, and generate the model again.
  • the present embodiment even if the number of cases between normal data is biased, learning can be performed accurately in a short time.
  • the generation unit 131 learns the selected data each time the data is selected as unlearned data by the selection unit 133, and generates a model for calculating the anomaly score. Each time a model is generated by the generation unit 131, the selection unit 133 selects at least a part of the data whose anomaly score calculated by the generated model is equal to or higher than the threshold value as unlearned data. In the present embodiment, by repeating the process in this way, a plurality of models can be generated and the accuracy of abnormality detection can be improved.
  • the selection unit 133 among the data for training, the data whose anomaly score calculated by the model generated by the generation unit 131 is equal to or higher than the threshold value calculated based on the Loss value of each data obtained when the model is generated. Select at least a portion of the data as untrained data. This makes it possible to set a threshold value according to the degree of bias of the anomaly score.
  • the selection unit 133 When the number of data for learning whose anomaly score calculated by the model generated by the generation unit 131 is equal to or greater than the threshold value and satisfies a predetermined condition, the selection unit 133 has the anomaly score equal to or greater than the threshold value. Select at least part of the data as untrained data. By setting the end condition of the iterative process in this way, it is possible to adjust the balance between the accuracy of abnormality detection and the processing time required for learning.
  • FIG. 5 shows the result of learning by the conventional VAE (one-step VAE).
  • the time required for learning was 268 sec.
  • the anomaly score of the camera communication which is a small amount of data, is calculated slightly higher.
  • FIG. 6 shows the results of learning by the two-step VAE described in Patent Document 1.
  • the time required for learning was 572 sec.
  • the anomaly score of the camera communication which is a small amount of data, is lower than that of the example of FIG.
  • Figure 7 shows the results of learning according to this embodiment.
  • the time required for learning was 192 sec.
  • the anomaly score of the camera communication is lowered to the same level as in the case of the two-stage VAE of FIG. 6, and the time required for learning is further shortened.
  • FIG. 8 is a diagram showing a ROC curve. As shown in FIG. 8, the present embodiment shows an ideal ROC curve as compared with the one-step VAE and the two-step VAE.
  • the detection accuracy according to this embodiment was 0.9949.
  • the detection accuracy by the two-step VAE was 0.9652.
  • the detection accuracy by the one-step VAE was 0.9216. From this, it can be said that the detection accuracy is improved according to the present embodiment.
  • FIG. 9 is a diagram showing a configuration example of an abnormality detection system.
  • the server collects the traffic session information sent and received by the IoT device, learns the probability density of the normal traffic session, and detects the abnormal traffic session.
  • the server will be able to apply the method of the embodiment and generate an anomaly detection model accurately and at high speed even if there is a bias in the number of session data. ..
  • each component of each of the illustrated devices is a functional concept, and does not necessarily have to be physically configured as shown in the figure. That is, the specific forms of distribution and integration of each device are not limited to those shown in the figure, and all or part of them may be functionally or physically dispersed or physically distributed in arbitrary units according to various loads and usage conditions. Can be integrated and configured. Further, each processing function performed by each device is realized by a CPU (Central Processing Unit) and a program that is analyzed and executed by the CPU, or hardware by wired logic. Can be realized as. The program may be executed not only by the CPU but also by another processor such as a GPU.
  • CPU Central Processing Unit
  • the learning device 10 can be implemented by installing a learning program that executes the above learning process as package software or online software on a desired computer. For example, by causing the information processing device to execute the above learning program, the information processing device can be made to function as the learning device 10.
  • the information processing device referred to here includes a desktop type or notebook type personal computer.
  • the information processing device includes smartphones, mobile phones, mobile communication terminals such as PHS (Personal Handyphone System), and slate terminals such as PDAs (Personal Digital Assistants).
  • the learning device 10 can be implemented as a learning server device in which the terminal device used by the user is a client and the service related to the above learning process is provided to the client.
  • the learning server device is implemented as a server device that provides a learning service that inputs learning data and outputs information of a plurality of generated models.
  • the learning server device may be implemented as a Web server, or may be implemented as a cloud that provides the service related to the learning process by outsourcing.
  • FIG. 10 is a diagram showing an example of a computer that executes a learning program.
  • the computer 1000 has, for example, a memory 1010 and a CPU 1020.
  • the computer 1000 also has a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. Each of these parts is connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM (Random Access Memory) 1012.
  • the ROM 1011 stores, for example, a boot program such as a BIOS (BASIC Input Output System).
  • BIOS BASIC Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100.
  • the serial port interface 1050 is connected to, for example, a mouse 1110 and a keyboard 1120.
  • the video adapter 1060 is connected to, for example, the display 1130.
  • the hard disk drive 1090 stores, for example, the OS 1091, the application program 1092, the program module 1093, and the program data 1094. That is, the program that defines each process of the learning device 10 is implemented as a program module 1093 in which a code that can be executed by a computer is described.
  • the program module 1093 is stored in, for example, the hard disk drive 1090.
  • the program module 1093 for executing the same processing as the functional configuration in the learning device 10 is stored in the hard disk drive 1090.
  • the hard disk drive 1090 may be replaced by an SSD (Solid State Drive).
  • the setting data used in the processing of the above-described embodiment is stored as program data 1094 in, for example, a memory 1010 or a hard disk drive 1090. Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1090 into the RAM 1012 as needed, and executes the process of the above-described embodiment.
  • the program module 1093 and the program data 1094 are not limited to those stored in the hard disk drive 1090, but may be stored in, for example, a removable storage medium and read by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program module 1093 and the program data 1094 may be stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.). Then, the program module 1093 and the program data 1094 may be read from another computer by the CPU 1020 via the network interface 1070.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Artificial Intelligence (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Computer Security & Cryptography (AREA)
  • Computational Linguistics (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • Biophysics (AREA)
  • Biomedical Technology (AREA)
  • Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Medical Informatics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Debugging And Monitoring (AREA)
  • Electrically Operated Instructional Devices (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

生成部（１３１）は、学習用のデータのうち未学習のデータとして選択されたデータを学習し、アノマリスコアを計算するモデルを生成する。選択部（１３３）は、学習用のデータのうち、生成部（１３１）によって生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの少なくとも一部を未学習のデータとして選択する。

Description

学習装置、学習方法及び学習プログラム
　本発明は、学習装置、学習方法及び学習プログラムに関する。
　ＩｏＴ時代の到来に伴い、多種のデバイスが多様な使われ方の下でインターネットに接続されている。これらのＩｏＴデバイスのセキュリティ対策のため、ＩｏＴ機器向けのトラフィックセッション異常検知システムや侵入検知システム（ＩＤＳ）が、昨今盛んに研究されている。
　このような異常検知システムの中には、Variational　Auto　Encoder（ＶＡＥ）等の教師なし学習による確率密度推定器を用いるものがある。確率密度推定器を用いた異常検知システムは、実際の通信からトラフィック特徴量と呼ばれる学習用の高次元データを生成し、この特徴量を用いて正常なトラフィックの特徴を学習することで、正常通信パターンの発生確率を推定できるようになる。なお、以降の説明では、確率密度推定器を単にモデルと呼ぶ場合がある。
　その後、異常検知システムは、学習済みのモデルを用いて各通信の発生確率を算出し、発生確率の小さい通信を異常として検知する。このため、確率密度推定器を用いた異常検知システムによれば、全ての悪性状態を知らずとも異常検知が可能であり、さらに、未知のサイバー攻撃への対処も可能であるという利点もある。なお、異常検知システムにおいては、前述の発生確率が小さいほど大きくなるアノマリスコアが異常検知に用いられる場合がある。
　ここで、ＶＡＥ等の確率密度推定器の学習は、学習対象の正常データ間で件数に偏りがある状況ではうまくいかないことが多い。特に、トラフィックセッションデータにおいては、件数に偏りがある状況がよく発生する。例えば、ＨＴＴＰ通信はよく使われるため、データが短時間で大量に集まる。一方で、稀にしか通信を行わないＮＴＰ通信等のデータを大量に集めるのは困難である。このような状況でＶＡＥ等の確率密度推定器による学習を行うと、データの件数が少ないＮＴＰ通信の学習がうまくいかず、発生確率を低く見積もってしまい、誤検知の原因になってしまうことがある。
　このようなデータ件数の偏りによって発生する問題を解決する方法として、確率密度推定器の学習を２段階で行う方法が知られている（例えば、特許文献１を参照）。
特開２０１９－１０１９８２号公報
　しかしながら、従来の技術には、処理時間が増大する場合があるという問題がある。例えば、特許文献１に記載の方法では、確率密度推器の学習が２段階で行われるため、１段階の場合と比べて学習時間が２倍程度長くかかってしまう。
　上述した課題を解決し、目的を達成するために、学習装置は、学習用のデータのうち未学習のデータとして選択されたデータを学習し、アノマリスコアを計算するモデルを生成する生成部と、前記学習用のデータのうち、前記生成部によって生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの少なくとも一部を前記未学習のデータとして選択する選択部と、を有することを特徴とする。
　本発明によれば、正常データ間の件数に偏りがある場合であっても、短時間で精度良く学習を行うことができる。
図１は、学習処理の流れを説明する図である。 図２は、第１の実施形態に係る学習装置の構成例を示す図である。 図３は、未学習のデータの選択について説明する図である。 図４は、第１の実施形態に係る学習装置の処理の流れを示すフローチャートである。 図５は、アノマリスコアの分布を示す図である。 図６は、アノマリスコアの分布を示す図である。 図７は、アノマリスコアの分布を示す図である。 図８は、ＲＯＣ曲線を示す図である。 図９は、異常検知システムの構成例を示す図である。 図１０は、学習プログラムを実行するコンピュータの一例を示す図である。
　以下に、本願に係る学習装置、学習方法及び学習プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
［第１の実施形態の構成］
　まず、図１を用いて、本実施形態の学習処理の流れを説明する。図１は、学習処理の流れを説明する図である。図１に示すように、本実施形態の学習装置は、終了条件が満たされるまで、ＳＴＥＰ１とＳＴＥＰ２を繰り返す。これにより、学習装置は複数のモデルを生成する。また、生成されたモデルはリストに追加されていくものとする。
　最初は、収集された学習用のデータは全て未学習のデータと見なされるものとする。ＳＴＥＰ１では、学習装置は、未学習のデータから所定の数のデータをランダムにサンプリングする。そして、学習装置は、サンプリングしたデータからモデルを生成する。例えば、モデルはＶＡＥ等の確率密度推定器である。
　続いて、ＳＴＥＰ２では、学習装置は、生成したモデルを用いて、未学習のデータ全体のアノマリスコアを計算する。そして、学習装置は、アノマリスコアが閾値以下であったデータを学習済みのデータとして選択する。一方、学習装置は、アノマリスコアが閾値以上であったデータを未学習のデータとして選択する。ここで、終了条件が満たされていなければ、学習装置はＳＴＥＰ１に戻る。
　２回目以降のＳＴＥＰ１では、ＳＴＥＰ２でアノマリスコアが閾値以上であったデータが未学習のデータとみなされることになる。このように、本実施形態では、サンプリングと評価（アノマリスコアの計算及び未学習のデータの選択）が繰り返され、未学習のデータの中で支配的なタイプのデータが逐次学習される。
　また、本実施形態では、サンプリングをすること、及び未学習のデータを絞り込んでいくことにより学習対象のデータは減っていくので、学習に要する時間を短くすることができる。
　学習装置の構成について説明する。図２は、第１の実施形態に係る学習装置の構成例を示す図である。図２に示すように、学習装置１０は、ＩＦ（インタフェース）部１１、記憶部１２及び制御部１３を有する。
　ＩＦ部１１は、データの入力及び出力のためのインタフェースである。例えば、ＩＦ部１１はＮＩＣ（Network　Interface　Card）である。また、ＩＦ部１１は、マウスやキーボード等の入力装置、及びディスプレイ等の出力装置と接続されていてもよい。
　記憶部１２は、ＨＤＤ（Hard　Disk　Drive）、ＳＳＤ（Solid　State　Drive）、光ディスク等の記憶装置である。なお、記憶部１２は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non　Volatile　Static　Random　Access　Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１２は、学習装置１０で実行されるＯＳ（Operating　System）や各種プログラムを記憶する。
　制御部１３は、学習装置１０全体を制御する。制御部１３は、例えば、ＣＰＵ（Central　Processing　Unit）、ＭＰＵ（Micro　Processing　Unit）、ＧＰＵ（Graphics　Processing　Unit）等の電子回路や、ＡＳＩＣ（Application　Specific　Integrated　Circuit）、ＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路である。また、制御部１３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１３は、生成部１３１、計算部１３２及び選択部１３３を有する。
　生成部１３１は、学習用のデータのうち未学習のデータとして選択されたデータを学習し、アノマリスコアを計算するモデルを生成する。生成部１３１は、生成したモデルをリストに追加する。生成部１３１は、既存のＶＡＥの生成手法を採用することができる。また、生成部１３１は、未学習のデータの一部をサンプリングして得られたデータを基にモデルを生成してもよい。
　計算部１３２は、生成部１３１によって生成されたモデルにより、未学習のデータのアノマリスコアを計算する。計算部１３２は、未学習のデータ全体のアノマリスコアを計算してもよいし、未学習のデータの一部のアノマリスコアを計算してもよい。
　選択部１３３は、学習用のデータのうち、生成部１３１によって生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの少なくとも一部を未学習のデータとして選択する。
　図３を用いて、選択部１３３による未学習データの選択について説明する。図３は、未学習のデータの選択について説明する図である。ここでは、モデルはＶＡＥであり、異常通信を検知するために通信データのアノマリスコアを計算するものとする。
　前述の通り、データ数に偏りがある状況下だと誤検知が発生してしまうことが多い。例えば、大量のＨＴＴＰ通信と少量の管理用ＦＴＰ通信を同時に学習対象とするような場合にデータ数の偏りが発生する。
　図３の＜１回目＞に示すように、ここでは大量のＭＱＴＴ通信のデータ、中程度の量のＤＮＳ通信等のデータ、少量のカメラ通信のデータが存在する状況を想定する。図３のグラフは、横軸に確率密度の負の対数尤度（－ｌｏｇ　ｐ（ｘ））の近似値であるアノマリスコア、縦軸にデータ数のヒストグラムを描いたものである。確率密度の負の対数尤度は、データ点の密度（出現頻度）が低ければ低いほど高い値をとるため、アノマリスコア、すなわち異常の度合いとみなすことができる。
　図３の＜１回目＞に示すように、データ数が多いＭＱＴＴ通信のアノマリスコアは低くなり、データ数が少ないカメラストリーミング通信のアノマリスコアは高くなる。このため、データ数が少ないカメラ通信のデータは、誤検知の原因になっていることが考えられる。
　そこで、選択部１３３は、アノマリスコアが閾値以上であるデータの中から未学習のデータを選択する。そして、当該選択された未学習のデータの一部又は全部を使って、誤検知を抑えたモデルが生成される。言い換えると、選択部１３３は、さらなる学習が不要なデータを除外する機能を有している。
　閾値は、モデルの生成時に得られたLoss値を基に決められてもよい。その場合、選択部１３３は、学習用のデータのうち、生成部１３１によって生成されたモデルによって計算されたアノマリスコアが、モデルの生成時に得られる各データのLoss値を基に計算された閾値以上であるデータの少なくとも一部を、未学習のデータとして選択する。例えば、閾値は、Loss値の平均＋０．３σのように、平均値や分散を基に計算されるものであってもよい。
　図３の＜２回目＞に示すように、選択部１３３は、＜１回目＞において計算されたアノマリスコアを基に、ＤＮＳ通信のデータ及びカメラ通信のデータを中心に選択する。逆に、選択部１３３は、データ数が多かったＭＱＴＴ通信のデータはほぼ選択しないことになる。
　また、学習装置１０は、生成部１３１、計算部１３２及び選択部１３３による各処理を３回目以降も繰り返すことができる。つまり、生成部１３１は、選択部１３３によって未学習のデータとしてデータが選択されるたびに、当該選択されたデータを学習し、アノマリスコアを計算するモデルを生成する。そして、選択部１３３は、生成部１３１によってモデルが生成されるたびに、当該生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの少なくとも一部を未学習のデータとして選択する。
　また、学習装置１０は、アノマリスコアが閾値以上となるデータの数が所定の値未満になった時点で繰り返しを終了してもよい。言い換えると、選択部１３３は、学習用のデータのうち、生成部１３１によって生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの数が所定の条件を満たす場合、当該アノマリスコアが閾値以上であるデータの少なくとも一部を未学習のデータとして選択する。
　例えば、学習装置１０は、アノマリスコアが閾値以上であるデータの数が、最初に収集された学習用のデータの数の１％未満になるまで処理を繰り返してもよい。また、繰り返しのたびにモデルが生成され、リストに追加されていくため、学習装置１０は複数のモデルを出力することができる。
　学習装置１０によって生成された複数のモデルは、検知装置等において異常検知に使用される。複数のモデルを使った異常検知については、特許文献１に記載の方法により行われてもよい。すなわち、検知装置は、複数のモデルによって計算されたアノマリスコアのマージ値、又は最小値により異常を検知することができる。
［第１の実施形態の処理］
　図４は、第１の実施形態に係る学習装置の処理の流れを示すフローチャートである。まず、学習装置１０は、未学習のデータの一部をサンプリングする（ステップＳ１０１）。次に、学習装置１０は、サンプリングしたデータを基にモデルを生成する（ステップＳ１０２）。
　ここで、終了条件が満たされている場合（ステップＳ１０３、Ｙｅｓ）、学習装置１０は処理を終了する。一方、終了条件が満たされていない場合（ステップＳ１０３、Ｎｏ）、学習装置１０は生成したモデルにより未学習のデータ全体のアノマリスコアを計算する（ステップＳ１０４）。
　学習装置１０は、アノマリスコアが閾値以上のデータを未学習のデータとして選択し（ステップＳ１０５）、ステップＳ１０１に戻り処理を繰り返す。なお、ステップＳ１０５が実行される直前に、未学習のデータの選択は一旦初期化される。つまり、ステップＳ１０５では、学習装置１０は、未学習のデータが１つも選択されていない状態で、アノマリスコアを参照して新たに未学習のデータの選択を行うことになる。
［第１の実施形態の効果］
　これまで説明してきたように、生成部１３１は、学習用のデータのうち未学習のデータとして選択されたデータを学習し、アノマリスコアを計算するモデルを生成する。選択部１３３は、学習用のデータのうち、生成部１３１によって生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの少なくとも一部を未学習のデータとして選択する。このように、学習装置１０は、モデルを生成した後に、誤検知の原因になりやすいデータを選択し、モデルを再度生成することができる。その結果、本実施形態によれば、正常データ間の件数に偏りがある場合であっても、短時間で精度良く学習を行うことができる。
　生成部１３１は、選択部１３３によって未学習のデータとしてデータが選択されるたびに、当該選択されたデータを学習し、アノマリスコアを計算するモデルを生成する。選択部１３３は、生成部１３１によってモデルが生成されるたびに、当該生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの少なくとも一部を未学習のデータとして選択する。本実施形態では、このように処理を繰り返すことにより複数のモデルを生成し、異常検知の精度を向上させていくことができる。
　選択部１３３は、学習用のデータのうち、生成部１３１によって生成されたモデルによって計算されたアノマリスコアが、モデルの生成時に得られる各データのLoss値を基に計算された閾値以上であるデータの少なくとも一部を、未学習のデータとして選択する。これにより、アノマリスコアの偏りの度合いに応じた閾値を設定することができる。
　選択部１３３は、学習用のデータのうち、生成部１３１によって生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの数が所定の条件を満たす場合、当該アノマリスコアが閾値以上であるデータの少なくとも一部を未学習のデータとして選択する。このように、繰り返し処理の終了条件を設定しておくことで、異常検知の精度と学習に要する処理時間のバランスを調整することができる。
［実験結果］
　本実施形態を使って行った実験の結果を示す。まず、実験においては、下記の通信が混ざったデータを用いて学習が行われた。
　ＭＱＴＴ通信：１８８３ポート　２０９５１件（多数データ）
　カメラ通信：１９３５ポート　２０４件（少数データ）
　実験では、学習によってモデルを生成し、生成したモデルで各データのアノマリスコアを計算した。図５、図６及び図７は、アノマリスコアの分布を示す図である。
　まず、従来のＶＡＥ（１段階ＶＡＥ）による学習の結果を図５に示す。図５の例では、学習に要した時間は２６８ｓｅｃであった。また、図５の例では、少数データであるカメラ通信のアノマリスコアがやや高めに計算されている。
　特許文献１に記載の２段階ＶＡＥによる学習の結果を図６に示す。図６の例では、学習に要した時間は５７２ｓｅｃであった。また、図６の例では、図５の例と比べて、少数データであるカメラ通信のアノマリスコアが下がっている。
　本実施形態による学習の結果を図７に示す。図７の例では、学習に要した時間は１９２ｓｅｃであった。また、図７に示すように、本実施形態では、カメラ通信のアノマリスコアが図６の２段階ＶＡＥの場合と同程度まで下がっており、さらに学習に要する時間が大幅に短縮されている。
　図８は、ＲＯＣ曲線を示す図である。図８に示すように、本実施形態は、１段階ＶＡＥ及び２段階ＶＡＥと比べて理想的なＲＯＣ曲線を示している。また、本実施形態による検知精度は、０．９９４９であった。また、２段階ＶＡＥによる検知精度は０．９６５２であった。また、１段階ＶＡＥによる検知精度は０．９２１６であった。これより、本実施形態によれば検知精度が向上するということができる。
［実施例］
　図９に示すようにＩｏＴ機器が接続されたネットワーク上に備えられたサーバに、上記の実施形態における学習装置１０と同じモデル生成機能、及び学習装置１０によって生成されたモデルを使った異常検知機能を持たせてもよい。図９は、異常検知システムの構成例を示す図である。
　この場合、サーバは、ＩｏＴ機器の送受信するトラフィックセッション情報を収集し、正常トラフィックセッションの確率密度の学習及び異常トラフィックセッションの検知を行う。サーバは、正常トラフィックセッションの確率密度の学習時には、実施形態の手法を適用し、セッションデータ数間に偏りがあっても精度良く、かつ高速に異常検知モデルの生成を行うことができるようになる。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ（Central　Processing　Unit）及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。なお、プログラムは、ＣＰＵだけでなく、ＧＰＵ等の他のプロセッサによって実行されてもよい。
　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　一実施形態として、学習装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の学習処理を実行する学習プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の学習プログラムを情報処理装置に実行させることにより、情報処理装置を学習装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。
　また、学習装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の学習処理に関するサービスを提供する学習サーバ装置として実装することもできる。例えば、学習サーバ装置は、学習用のデータを入力とし、生成済みの複数のモデルの情報を出力とする学習サービスを提供するサーバ装置として実装される。この場合、学習サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の学習処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。
　図１０は、学習プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ（Random　Access　Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（BASIC　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、学習装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、学習装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid　State　Drive）により代替されてもよい。
　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１０　学習装置
　１１　ＩＦ部
　１２　記憶部
　１３　制御部
　１３１　生成部
　１３２　計算部
　１３３　選択部

Claims (6)

  1. 　学習用のデータのうち未学習のデータとして選択されたデータを学習し、アノマリスコアを計算するモデルを生成する生成部と、
    　前記学習用のデータのうち、前記生成部によって生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの少なくとも一部を前記未学習のデータとして選択する選択部と、
    　を有することを特徴とする学習装置。
  2. 　前記生成部は、前記選択部によって前記未学習のデータとしてデータが選択されるたびに、当該選択されたデータを学習し、アノマリスコアを計算するモデルを生成し、
    　前記選択部は、前記生成部によってモデルが生成されるたびに、当該生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの少なくとも一部を前記未学習のデータとして選択することを特徴とする請求項１に記載の学習装置。
  3. 　前記選択部は、前記学習用のデータのうち、前記生成部によって生成されたモデルによって計算されたアノマリスコアが、前記モデルの生成時に得られる各データのLoss値を基に計算された閾値以上であるデータの少なくとも一部を、前記未学習のデータとして選択することを特徴とする請求項１又は２に記載の学習装置。
  4. 　前記選択部は、前記学習用のデータのうち、前記生成部によって生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの数が所定の条件を満たす場合、当該アノマリスコアが閾値以上であるデータの少なくとも一部を前記未学習のデータとして選択することを特徴とする請求項１から３のいずれか１項に記載の学習装置。
  5. 　学習装置によって実行される学習方法であって、
    　学習用のデータのうち未学習のデータとして選択されたデータを学習し、アノマリスコアを計算するモデルを生成する生成工程と、
    　前記学習用のデータのうち、前記生成工程によって生成されたモデルによって計算されたアノマリスコアが閾値以上であるデータの少なくとも一部を前記未学習のデータとして選択する選択工程と、
    　を含むことを特徴とする学習方法。
  6. 　コンピュータを、請求項１から４のいずれか１項に記載の学習装置として機能させるための学習プログラム。
PCT/JP2020/035623 2020-09-18 2020-09-18 学習装置、学習方法及び学習プログラム Ceased WO2022059208A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
US18/026,605 US20230334361A1 (en) 2020-09-18 2020-09-18 Training device, training method, and training program
JP2022550324A JP7444271B2 (ja) 2020-09-18 2020-09-18 学習装置、学習方法及び学習プログラム
PCT/JP2020/035623 WO2022059208A1 (ja) 2020-09-18 2020-09-18 学習装置、学習方法及び学習プログラム
EP20954193.7A EP4202800B1 (en) 2020-09-18 2020-09-18 Learning device, learning method, and learning program
CN202080105213.4A CN116113960B (zh) 2020-09-18 2020-09-18 学习装置、学习方法以及记录介质
AU2020468806A AU2020468806B2 (en) 2020-09-18 2020-09-18 Learning device, learning method, and learning program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/035623 WO2022059208A1 (ja) 2020-09-18 2020-09-18 学習装置、学習方法及び学習プログラム

Publications (1)

Publication Number Publication Date
WO2022059208A1 true WO2022059208A1 (ja) 2022-03-24

Family

ID=80776763

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/035623 Ceased WO2022059208A1 (ja) 2020-09-18 2020-09-18 学習装置、学習方法及び学習プログラム

Country Status (6)

Country Link
US (1) US20230334361A1 (ja)
EP (1) EP4202800B1 (ja)
JP (1) JP7444271B2 (ja)
CN (1) CN116113960B (ja)
AU (1) AU2020468806B2 (ja)
WO (1) WO2022059208A1 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12244635B1 (en) 2024-05-17 2025-03-04 Virtualitics, Inc. Computer-based systems configured for network characterization and management based on risk score analysis and methods of use thereof
US12309150B1 (en) 2024-05-17 2025-05-20 Virtualitics, Inc. Systems and methods configured for automatically assigning a unique identifier to a detected device
US12301613B1 (en) * 2024-05-17 2025-05-13 Virtualitics, Inc. Computer-based systems configured for network characterization and management based on automated key terrain identification and methods of use thereof
US12309205B1 (en) 2024-05-17 2025-05-20 Virtualitics, Inc. Systems and methods configured for automatically predicting device types for scanned devices on a network

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001051969A (ja) * 1999-08-13 2001-02-23 Kdd Corp 正誤答判定機能を有するニューラルネットワーク手段
JP2018190127A (ja) * 2017-05-01 2018-11-29 日本電信電話株式会社 判定装置、分析システム、判定方法および判定プログラム
JP2019028565A (ja) * 2017-07-26 2019-02-21 安川情報システム株式会社 故障予知方法、故障予知装置および故障予知プログラム
JP2019101982A (ja) 2017-12-07 2019-06-24 日本電信電話株式会社 学習装置、検知システム、学習方法及び学習プログラム
JP2019102011A (ja) * 2017-12-08 2019-06-24 日本電信電話株式会社 学習装置、学習方法及び学習プログラム
JP2019153893A (ja) * 2018-03-01 2019-09-12 日本電信電話株式会社 検知装置、検知方法及び検知プログラム

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106413562B (zh) * 2014-05-29 2019-09-24 株式会社日立制作所 X射线管故障预兆检测装置、x射线管故障预兆检测方法及x射线摄像装置
US9344441B2 (en) * 2014-09-14 2016-05-17 Cisco Technology, Inc. Detection of malicious network connections
US11080612B2 (en) * 2015-12-30 2021-08-03 International Business Machines Corporation Detecting anomalous sensors
US10459827B1 (en) * 2016-03-22 2019-10-29 Electronic Arts Inc. Machine-learning based anomaly detection for heterogenous data sources
US10220167B2 (en) * 2016-03-24 2019-03-05 Cisco Technology, Inc. Mechanisms to prevent anomaly detectors from learning anomalous patterns
US10469511B2 (en) * 2016-03-28 2019-11-05 Cisco Technology, Inc. User assistance coordination in anomaly detection
JP7017861B2 (ja) * 2017-03-23 2022-02-09 株式会社日立製作所 異常検知システムおよび異常検知方法
CN110019770A (zh) 2017-07-24 2019-07-16 华为技术有限公司 训练分类模型的方法与装置
JP6903142B2 (ja) * 2017-09-21 2021-07-14 株式会社アダコテック 異常検出装置、異常検出方法及びプログラム
JP7010641B2 (ja) * 2017-09-27 2022-01-26 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常診断方法および異常診断装置
US10999247B2 (en) * 2017-10-24 2021-05-04 Nec Corporation Density estimation network for unsupervised anomaly detection
US10785244B2 (en) * 2017-12-15 2020-09-22 Panasonic Intellectual Property Corporation Of America Anomaly detection method, learning method, anomaly detection device, and learning device
CN109978812A (zh) 2017-12-24 2019-07-05 奥林巴斯株式会社 摄像系统、学习装置、摄像装置和学习方法
JP6879239B2 (ja) * 2018-03-14 2021-06-02 オムロン株式会社 異常検知システム、サポート装置およびモデル生成方法
WO2020159439A1 (en) 2019-01-29 2020-08-06 Singapore Telecommunications Limited System and method for network anomaly detection and analysis
CN110460458B (zh) * 2019-04-15 2022-03-11 清华大学深圳研究生院 基于多阶马尔科夫链的流量异常检测方法
CN110827217B (zh) * 2019-10-30 2022-07-12 维沃移动通信有限公司 图像处理方法、电子设备及计算机可读存储介质
JP2021135780A (ja) * 2020-02-27 2021-09-13 株式会社東芝 状態監視装置、方法及びプログラム

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001051969A (ja) * 1999-08-13 2001-02-23 Kdd Corp 正誤答判定機能を有するニューラルネットワーク手段
JP2018190127A (ja) * 2017-05-01 2018-11-29 日本電信電話株式会社 判定装置、分析システム、判定方法および判定プログラム
JP2019028565A (ja) * 2017-07-26 2019-02-21 安川情報システム株式会社 故障予知方法、故障予知装置および故障予知プログラム
JP2019101982A (ja) 2017-12-07 2019-06-24 日本電信電話株式会社 学習装置、検知システム、学習方法及び学習プログラム
JP2019102011A (ja) * 2017-12-08 2019-06-24 日本電信電話株式会社 学習装置、学習方法及び学習プログラム
JP2019153893A (ja) * 2018-03-01 2019-09-12 日本電信電話株式会社 検知装置、検知方法及び検知プログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
See also references of EP4202800A4
YUMA KOIZUMI; SHOICHIRO SAITO; MASATAKA YAMAGUCHI; SHIN MURATA; NOBORU HARADA: "Batch Uniformization for Minimizing Maximum Anomaly Score of DNN-based Anomaly Detection in Sounds", ARXIV.ORG, CORNELL UNIVERSITY LIBRARY, 201 OLIN LIBRARY CORNELL UNIVERSITY ITHACA, NY 14853, 19 July 2019 (2019-07-19), 201 Olin Library Cornell University Ithaca, NY 14853 , XP081444462 *

Also Published As

Publication number Publication date
JP7444271B2 (ja) 2024-03-06
AU2020468806A1 (en) 2023-04-27
CN116113960B (zh) 2026-04-10
AU2020468806A9 (en) 2024-06-13
EP4202800A4 (en) 2024-05-01
JPWO2022059208A1 (ja) 2022-03-24
US20230334361A1 (en) 2023-10-19
CN116113960A (zh) 2023-05-12
AU2020468806B2 (en) 2024-02-29
EP4202800A1 (en) 2023-06-28
EP4202800B1 (en) 2026-03-11

Similar Documents

Publication Publication Date Title
JP7444271B2 (ja) 学習装置、学習方法及び学習プログラム
RU2697955C2 (ru) Система и способ обучения модели обнаружения вредоносных контейнеров
JP7014054B2 (ja) 検知装置及び検知方法
EP3796599B1 (en) Evaluation device and evaluation method
WO2019245006A1 (ja) 検知装置及び検知方法
JP6767312B2 (ja) 検知システム、検知方法及び検知プログラム
JP7444270B2 (ja) 判定装置、判定方法及び判定プログラム
US11928208B2 (en) Calculation device, calculation method, and calculation program
CN114418226B (zh) 电力通信系统的故障分析方法及装置
JP2019103069A (ja) 特定システム、特定方法及び特定プログラム
US11899793B2 (en) Information processing apparatus, control method, and program
CN112437093B (zh) 安全状态的确定方法、装置及设备
JP7184197B2 (ja) 異常検出装置、異常検出方法および異常検出プログラム
JP7509311B2 (ja) トラフィックセンサ、分析方法、および、分析プログラム
JP7176636B2 (ja) 生成装置、生成方法及び生成プログラム
JP2019101781A (ja) 検知システム、学習方法及び学習プログラム
JP6933302B2 (ja) 学習方法、学習装置及び学習プログラム
JP7556466B2 (ja) 解析装置、解析方法、および、解析プログラム
WO2022239235A1 (ja) 特徴量算出装置、特徴量算出方法および特徴量算出プログラム
CN111679813A (zh) 用于信息处理的方法、电子设备和存储介质
WO2024209602A1 (ja) 解析装置、解析方法、および解析プログラム
US20250016079A1 (en) Analysis device, analysis method, and analysis program
WO2024247003A1 (ja) 推定装置、推定方法及び推定プログラム
CN120564016A (zh) 视频模型边界黑盒中对抗样本生成时梯度估计方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20954193

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022550324

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: AU2020468806

Country of ref document: AU

ENP Entry into the national phase

Ref document number: 2020954193

Country of ref document: EP

Effective date: 20230323

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020468806

Country of ref document: AU

Date of ref document: 20200918

Kind code of ref document: A

WWG Wipo information: grant in national office

Ref document number: 2020954193

Country of ref document: EP