JP2024500904A - 人工知能でセキュリティ問題を自動修復するための技術 - Google Patents

Abstract

人工知能でセキュリティ問題を自動修復するための技術。一技術は、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを有するグローバルモデルを用いて、第１対応を推論することと、ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを有するローカルモデルを用いて、第２対応を推論することと、基準を用いて第１対応と第２対応とを評価することと、第１対応および第２対応の評価に基づいて、問題に対する最終対応を決定することと、最終対応に基づいて、対応部のセットの中から対応部を選択することとを含む。対応部は、問題に対応するために１つ以上の措置を講じるように適合される。

Description

関連出願の相互参照
本願は、２０２０年１２月２２日に出願され、「ＴＥＣＨＮＩＱＵＥＳ ＦＯＲ ＡＵＴＯ－ＲＥＭＥＤＩＡＴＩＮＧ ＳＥＣＵＲＩＴＹ ＩＳＳＵＥＳ ＷＩＴＨ ＡＲＴＩＦＩＣＩＡＬ ＩＮＴＥＬＬＩＧＥＮＣＥ（人工知能でセキュリティ問題を自動修復するための技術）」と題された米国特許出願第１７／１３０，８６７号の利益および優先権を主張するものであり、そのすべての記載内容を引用により本明細書に援用する。

発明の分野
本開示は、概して、サイバーセキュリティに関し、特に、人工知能でセキュリティ問題を自動修復するための技術に関する。

背景
ＳＩＥＭ（セキュリティ情報イベント管理）とは、ソフトウェアソリューションおよびソフトウェアツールによってＳＩＭ（セキュリティ情報管理）とＳＥＭ（セキュリティイベント管理）とが組み合わされた、サイバーセキュリティ分野の下位区分である。これらのソフトウェアソリューションおよびソフトウェアツールは、アプリケーションおよびネットワークハードウェアによって生成されたセキュリティ通知のリアルタイム解析を行う。ＳＩＥＭソフトウェアは、組織のインフラストラクチャ全体にあるホストシステム、セキュリティデバイスおよびセキュリティアプリケーションが生成するログおよびイベントデータを収集し、ログおよびイベントデータを集中プラットフォーム上で整理することによって機能する。ＳＩＥＭソフトウェアソリューションおよびソフトウェアツールは、分類ルールに基づいてこのデータ（たとえば、アンチウイルスイベントおよびファイアウォールログ）内の様々なアクティビティを識別し、これらのアクティビティをマルウェアアクティビティ、ログイン失敗およびログイン成功、ならびにその他の悪意のある可能性のあるアクティビティなどのカテゴリーに振り分ける。組織に対する脅威を示し得るアクティビティをソフトウェアが識別した場合、潜在的なセキュリティ問題を示すための通知が生成される。予め規定されたルールのセットを用いて、これらの通知に様々な優先順位を設定できる。たとえば、ユーザアカウントが一定期間にわたって複数回のログイン試行の失敗を生じさせた場合、怪しいアクティビティとしてフラグを立てられる可能性もあるが、ユーザがログイン内容を忘れてしまっている可能性が最も高いため、最も低い優先順位に設定される。しかしながら、短い一定期間にわたるアカウントへの大量のログイン試行の失敗があった場合、ブルートフォース攻撃が実行中である可能性のほうが高く、非常に重大なインシデントとしてフラグが立てられる。

ＳＩＥＭソフトウェアソリューションおよびソフトウェアツールは、複数のソースから関連性のあるデータを集約しており、このデータ収集は有意義である一方で、ＳＩＥＭ内のこれらの工程は、その有効性を維持しつつ、セキュリティチームが対応すると想定し得る通知よりも多くの通知を生成する傾向がある。これらのタスクについてセキュリティチームを支援するために、ＳＯＡＲ（Ｓｅｃｕｒｉｔｙ Ｏｒｃｈｅｓｔｒａｔｉｏｎ，Ａｕｔｏｍａｔｉｏｎ，ａｎｄ Ｒｅｓｐｏｎｓｅ（セキュリティのオーケストレーション、自動化、および対応））と称されるソフトウェアソリューションとソフトウェアツールの集まりにより、セキュリティチームは、脅威および脆弱性を管理でき、インシデントやセキュリティイベントに対応できるようになる。オーケストレーションコンポーネントは、様々なソフトウェアソリューションおよびソフトウェアツール同士を協調させてシームレスに統合して互いに通信させ、反復可能、実施可能、測定可能、かつ有効なインシデント対応プロセスおよびワークフローを構築する。自動化コンポーネントは、ルールやポリシーを使用したシステムを利用して直線ベースのタスクおよび工程に半自動的に対処して、実行しなければならないありきたりな操作を減らしたりなくしたりする。対応コンポーネントは、トリアージ、封じ込め、修復、公式化されたワークフロー、報告、および共同作業を含む通知が確認されると、セキュリティインシデントに対処および管理する。従って、大容量のデータの取り込みおよび通知の生成というＳＩＥＭの機能を活用すると、各通知に対応するインシデント対応プロセスをより良く管理するためにＳＯＡＲソリューションを利用してＳＩＥＭソリューションを強化することができ、本来であれば完了するのにセキュリティチームが何時間もかかってしまうありきたりなタスクおよび反復性のあるタスクを自動化およびオーケストレーションできるようにする。

概要
人工知能でセキュリティ問題を自動修復するための技術（たとえば、方法、システム、１つ以上のプロセッサによって実行可能なコードまたは命令を記憶した非一時的なコンピュータ読み取り可能な媒体）を提供する。

様々な実施の形態では、方法を提供する。この方法は、セキュリティアーキテクチャの対応システムが、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、問題を入力として取る対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論することとを含み、グローバルモデルは、セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含み、方法は、さらに、問題を入力として取る対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論することを含み、ローカルモデルは、ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含み、方法は、さらに、対応システムが、基準を用いて第１対応および第２対応を評価することを含み、基準は、（１）第１対応および第２対応の各々に対応付けられた信頼スコアと、（２）グローバルモデルおよびローカルモデルの各々に対応付けられた重みとを含み、方法は、さらに、対応システムが、第１対応および第２対応の評価に基づいて、問題に対する最終対応を決定することと、対応システムが、最終対応に基づいて、対応部のセットの中から対応部を選択することとを含み、対応部は、問題に対応するために１つ以上の措置を講じるように適合される。

いくつかの実施の形態では、方法は、対応部を選択する前に、対応システムを用いて最終対応の正解率を評価することをさらに含み、正解率は、最終対応と、問題に対してユーザが好むであろうグラウンドトゥルース対応との比較に基づいて評価され、比較に基づいて最終対応がグラウンドトゥルース対応と一致した場合、最終対応の正解率は容認できると判断され、比較に基づいて最終対応がグラウンドトゥルース対応と一致しない場合、正解率は容認できないと判断され、方法は、さらに、正解率が容認できないと判断されたことに応じて、問題のラベルを生成することを含み、ラベルは、グラウンドトゥルース対応を含み、方法は、さらに、正解率が容認できないと判断されたことに応じて、グラウンドトゥルースと問題とを含むラベルをローカルデータストアに格納することと、最終対応ではなくグラウンドトゥルースに基づいて、対応部のセットの中から対応部を選択することとを含み、方法は、さらに、正解率が容認できると判断されたことに応じて、問題のラベルを生成することを含み、ラベルは、最終対応を含み、方法は、さらに、正解率が容認できると判断されたことに応じて、最終対応と問題とを含むラベルをローカルデータストアおよびグローバルデータストアに格納することと、最終対応に基づいて、対応部のセットの中から対応部を選択することとを含む。

いくつかの実施の形態では、方法は、正解率が容認できないと判断されたことに応じて、グラウンドトゥルースと問題とを含むラベルを、管理者による評価のために一般的なデータストアに格納するまたはデータキューに入れることと、グラウンドトゥルースと問題とを含むラベルについて何ら措置を講じないという対応、またはグラウンドトゥルースと問題とを含むラベルを用いてグローバルモデルを訓練するという対応のいずれかを管理者から受けることと、対応が何ら措置を講じないという対応であることに応じて、データストアまたはデータキューからグラウンドトゥルースと問題とを含むラベルを削除することと、対応がグローバルモデルを訓練するという対応であることに応じて、グラウンドトゥルースと問題とを含むラベルをグローバルリポジトリに格納することとをさらに含む。

いくつかの実施の形態では、方法は、最終対応と問題とを含むラベルを含む、グローバルリポジトリからのグローバル訓練データでグローバルモデルを訓練することと、最終対応と問題とを含むラベルを含む、ローカルリポジトリからのローカル訓練データでローカルモデルを訓練することとをさらに含む。

いくつかの実施の形態では、方法は、グラウンドトゥルース対応と問題とを含むラベルを含む、ローカルリポジトリからのローカル訓練データでローカルモデルを訓練することをさらに含む。

いくつかの実施の形態では、方法は、グラウンドトゥルース対応と問題とを含むラベルを含む、グローバルリポジトリからのグローバル訓練データでグローバルモデルを訓練することと、グラウンドトゥルース対応と問題とを含むラベルを含む、ローカルリポジトリからのローカル訓練データでローカルモデルを訓練することとをさらに含む。

いくつかの実施の形態では、方法は、対応システムが、問題に対応するために１つ以上の措置を実行することをさらに含む。

様々な実施の形態に係る、潜在的なセキュリティ問題の通知を生成し、人工知能でセキュリティ問題を自動修復するためのコンピューティングシステムを示すブロック図を示す。 様々な実施の形態に係る、アクティブラーニングを有する対応システムを示すブロック図を示す。 様々な実施の形態に係る、人工知能でセキュリティ問題を自動修復するための工程を説明するフローチャートを示す。 様々な実施の形態に係る、アクティブラーニングを有して実装された２つ以上の予測モデルでセキュリティ問題を自動修復するための工程を説明するフローチャートを示す。 様々な実施の形態に係る、クラウドインフラストラクチャをサービスシステムとして実装するための１つのパターンを示すブロック図を示す。 様々な実施の形態に係る、クラウドインフラストラクチャをサービスシステムとして実装するための別のパターンを示すブロック図を示す。 様々な実施の形態に係る、クラウドインフラストラクチャをサービスシステムとして実装するための別のパターンを示すブロック図を示す。 様々な実施の形態に係る、クラウドインフラストラクチャをサービスシステムとして実装するための別のパターンを示すブロック図を示す。 様々な実施の形態に係る、例示的なコンピュータシステムを示すブロック図を示す。

詳細な説明
以下の説明において、様々な実施形態について説明する。説明の便宜上、実施形態を十分に理解してもらうために具体的な構成および詳細を説明する。しかしながら、これらの実施形態が具体的な詳細なしに実施され得ることは、当業者に明らかになるだろう。さらに、説明する実施形態を曖昧にしてしまわないように、周知の特徴は省略されたり、簡略化されたりする場合がある。

はじめに
様々な実施の形態では、クラウドコンピューティング内など分散型コンピューティング環境内で顧客が強力なセキュリティ体制を維持するのに役立つスタンドアロンシステムとして、ＳＩＥＭソリューションとその上に重ねられたＳＯＡＲソリューションから構成されるセキュリティアーキテクチャを提供する。顧客は、セキュリティアーキテクチャを用いて顧客のテナンシを監視し、分散型コンピューティング環境のリソースのセキュリティが脆弱な状態にあるかどうかを判断したり、リソースが攻撃されているかどうかを判断したりする。検出すると、セキュリティアーキテクチャは、訂正措置を講じる。いろいろな意味で、ＳＯＡＲソリューションは、ＳＩＥＭソリューションにとってうってつけの補完的役割となる。ＳＩＥＭは、ネットワーク全体からセキュリティデータを集約するには有効であるが、通常、そのデータすべてに対するコンテキスト（状況）を提供する機能がない。その結果、ＳＩＥＭのユーザは、依然として多くの時間を費やしてタスクに対して手作業でトリアージおよび調査を実行しなければならない。これは、数え切れない数のアラートと溢れる程のデータを前にして益々困難になりつつある。必要な手作業を減らすには、オーケストレーションと自動化が必要であり、ＳＯＡＲソリューションは、脅威データを集めた後に反復可能なインシデント対応タスクを自動化することができるので、従業員の負担を取り除くことができる。しかし、ＳＯＡＲソリューションが有効に機能するためには、脅威とそれにどのように対処するかについてを記述するように設計された、反復可能で自動化されたセキュリティワークフローであるルールやポリシーが必要である。ここで問題なのは、これらのルールやポリシーが、それらを構築するために使われたデータと同じ程度しか有効でないことであり、脅威の修復全体およびそれにどのように対処するかを依然として人間が指揮する必要がある。これに加えて、ＳＩＥＭのように、ＳＯＡＲは、データの過負荷、内部システムからのコンテキストの欠如、外部からの脅威が限られた部分しか見えない、などの問題に悩まされる可能性がある。

これらの課題およびその他の課題を克服するために、様々な実施の形態は、人工知能でセキュリティインシデントを自動修復するために利用できるＳＯＡＲソリューションを有するセキュリティアーキテクチャを対象とする。セキュリティインシデント（本明細書では、単に、「問題」と称する）とは、セキュリティアーキテクチャが対応して修復するように適合される、起こりうるセキュリティイベントである。問題は、信号の集まりから導き出される。時間をかけて反復される同じ信号は、１つの問題を示している可能性があり、複数の信号は、同じ問題を示している可能性がある。「アリスのユーザクレデンシャルが侵害されました」は、問題の一例である。様々な実施の形態では、セキュリティ問題を自動修復するためのセキュリティアーキテクチャによって実装される技術は、セキュリティアーキテクチャの対応システムが、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、問題を入力として取る対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論することとを含み、グローバルモデルは、セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含み、当該技術は、さらに、問題を入力として取る対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論することを含み、ローカルモデルは、ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含み、当該技術は、さらに、対応システムが、基準を用いて第１対応および第２対応を評価することを含み、基準は、（１）第１対応および第２対応の各々に対応付けられた信頼スコアと、（２）グローバルモデルおよびローカルモデルの各々に対応付けられた重みとを含み、当該技術は、さらに、対応システムが、第１対応および第２対応の評価に基づいて、問題に対する最終対応を決定することと、対応システムが、最終対応に基づいて、対応部のセットの中から対応部を選択することとを含み、対応部は、問題に対応するために１つ以上の措置を講じるように適合される。

場合によっては、セキュリティ問題を自動修復するためのセキュリティアーキテクチャによって実現される技術は、アクティブラーニングをさらに備え、当該アクティブラーニングは、対応部を選択する前に、対応システムを用いて最終対応の正解率を評価することを含み、正解率は、最終対応と、問題に対してユーザが好むであろうグラウンドトゥルース対応との比較に基づいて評価され、比較に基づいて最終対応がグラウンドトゥルース対応と一致した場合、最終対応の正解率は容認できると判断され、比較に基づいて最終対応がグラウンドトゥルース対応と一致しない場合、正解率は容認できないと判断される。

正解率が容認できないと判断されたことに応じて、問題のラベルを生成し、ラベルは、グラウンドトゥルース対応を含み、正解率が容認できないと判断されたことに応じて、グラウンドトゥルースと問題とを含むラベルをローカルデータストアに格納し、最終対応ではなくグラウンドトゥルースに基づいて、対応部のセットの中から対応部を選択する。

正解率が容認できないと判断されたことに応じて、グラウンドトゥルースと問題とを含むラベルを、管理者による評価のために一般的なデータストアに格納するまたはデータキューに入れ、グラウンドトゥルースと問題とを含むラベルについて何ら措置を講じないという対応、またはグラウンドトゥルースと問題とを含むラベルを用いてグローバルモデルを訓練するという対応のいずれかを管理者から受け、対応が何ら措置を講じないという対応であることに応じて、データストアまたはデータキューからグラウンドトゥルースと問題とを含むラベルを削除し、対応がグローバルモデルを訓練するという対応であることに応じて、グラウンドトゥルースと問題とを含むラベルをグローバルリポジトリに格納した後、グローバルリポジトリからのグローバル訓練データでグローバルモデルを訓練し、グローバル訓練データは、グラウンドトゥルースと問題とを含むラベルを含む。

正解率が容認できると判断されたことに応じて、問題のラベルを生成し、ラベルは、最終対応を含み、さらに、正解率が容認できると判断されたことに応じて、最終対応と問題とを含むラベルをローカルデータストアおよびグローバルデータストアに格納し、最終対応に基づいて、対応部のセットの中から対応部を選択し、最終対応と問題とを含むラベルを含む、グローバルリポジトリからのグローバル訓練データでグローバルモデルを訓練し、最終対応と問題とを含むラベルを含む、ローカルリポジトリからのローカル訓練データでローカルモデルを訓練する。

アクティブラーニングを有するセキュリティアーキテクチャ
図１は、様々な実施の形態に係る、潜在的なセキュリティ問題の通知を生成するおよび人工知能でセキュリティ問題を自動修復するためのコンピューティングシステム１００を示すブロック図である。図１に示すように、コンピューティングシステム１００は、１つ以上のエミッター１０５と、ＳＩＥＭソリューションおよびその上に重ねられたＳＯＡＲソリューションから構成されるセキュリティアーキテクチャ１１０とを備える。コンピューティングシステム１００は、図示した構成要素の各々がその他の構成要素と通信するように構成されるようにコンピュータ化され得る。構成要素が同じコンピューティングデバイス上に存在する場合、通信は、様々な種類のバスなど内部の通信システムを経由して行われ得る。構成要素が異なるサーバなど異なるコンピューティングデバイス上に存在する場合、通信は、ネットワーク１１５を経由して行われ得る。ネットワーク１１５は、ＴＣＰ／ＩＰ、ＳＮＡ、ＩＰＸ、ＡｐｐｌｅＴａｌｋなど（これらに限定されない）を含む各種市販のプロトコルのいずれかを用いたデータ通信をサポートできる、当業者にとってなじみのある任意の種類のネットワークであり得る。単に一例として、ネットワーク１１５は、Ｅｔｈｅｒｎｅｔ（登録商標）ネットワーク、トークンリングネットワークなど、ＬＡＮ（ローカルエリアネットワーク）であってもよく、ＷＡＮ（ワイドエリアネットワーク）であってもよく、ＶＰＮ（仮想プライベートネットワーク）、インターネット、イントラネット、エクストラネット、ＰＳＴＮ（Ｐｕｂｌｉｃ Ｓｗｉｔｃｈｅｄ Ｔｅｌｅｐｈｏｎｅ Ｎｅｔｗｏｒｋ）、赤外線ネットワーク、ワイヤレスネットワーク（たとえば、ＩＥＥＥ８０２．１Ｘスイートのプロトコル、当技術分野において知られているＢｌｕｅｔｏｏｔｈ（登録商標）プロトコル、および／もしくはその他のワイヤレスプロトコルのうちいずれかの下で動作するネットワーク）を含む（これに限定されない）、仮想ネットワークであってもよく、ならびに／または、これらのおよび／もしくはその他のネットワークの任意の組合せであり得る。安全なネットワーク通信および安全でないネットワーク通信を含む任意のその他の組合せのネットワークが本明細書に記載のシステムにおいて使用されると考えられる。３つのエミッター１０５と１つのセキュリティアーキテクチャ１１０とを有する例示的なコンピューティングシステム１００が図示されているが、その他の実施の形態では、任意の数のエミッター１０５および／またはセキュリティアーキテクチャ１１０がサポートされ得る（たとえば、別個のセキュリティアーキテクチャがクラウドコンピューティング環境などの各分散型コンピューティング環境上に存在してもよい）。

エミッター１０５は、ＲＡＷデータの生成部（データのソース）である。例として、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ Ｍａｎａｇｅｍｅｎｔ Ｓｅｒｖｉｃｅ、ＯＣＩ（Ｏｒａｃｌｅ Ｃｌｏｕｄ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）Ａｕｄｉｔ Ｓｅｒｖｉｃｅ、ＶＭ（仮想マシン）上で動作するエージェント、ＲＡＷのＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）、および／またはＯＣＩ Ｆｌｏｗ Ｌｏｇｓなどが挙げられる。セキュリティアーキテクチャ１１０は、アダプター１２０（データ変換器）を用いて、エミッター１０５が生成したＲＡＷデータを消費して信号に変換する。この信号は、内部のＡＰＩ（アプリケーションプログラミングインターフェイス）信号呼び出しによって信号プロセッサ１２５に伝送される。信号は、セキュリティアーキテクチャ１１０のＲＡＷデータ点である。信号は、分類されてもよく、分類されなくてもよい。分類済み信号は、よく分かっているソースからのＲＡＷデータ点であり、既知のスキーマを有する。セキュリティアーキテクチャ１１０は、分類済み信号を、「誰が、何を、いつ、どこで？」をキャプチャする強く型付けされた内部ＪＳＯＮオブジェクトに変換してもよい。例えば、構成変更信号（たとえば、Ｏｂｊｅｃｔ Ｓｔｏｒａｇｅバケットが公開された）、主要なアクティビティ信号（たとえば、「ユーザのアリスがタイからログインした」）、ネットワーク信号、およびＣＶＥ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ａｎｄ Ｅｘｐｏｓｕｒｅｓ）信号（ＣＶＥは、一般に知られており分類されている脆弱性のタイプである）などが挙げられる。未分類信号は、よく分かっていないソースからのＲＡＷデータ点、またはＲＡＷデータ点のセットである。このソースは、Ｃｌｏｕｄ Ｇｕａｒｄがこれまで確認したことのないソースである可能性がある。たとえば、顧客のアプリケーションログは、未分類信号のソースである可能性がある。セキュリティアーキテクチャ１１０は、「誰が、何を、いつ、どこで？」についての推論、および通常の信号パターンと異常な信号パターンとの関係についての推論を試みてもよい。セキュリティアーキテクチャ１１０は、未分類信号とは何であるかの学習を試みたり、学習プロセスを助けるための顧客入力を求めたりし得る。場合によっては、アダプター１２０は、エミッター１０５のポーリングによって外部ＡＰＩを介してＲＡＷデータを取得する。その他の場合では、エミッター１０５は、アダプター１２０にＲＡＷデータをプッシュする。場合によっては、アダプター１２０は、ＭｃＡｆｅｅ、Ｑｕａｌｙｓ、Ｒａｐｉｄ７などのようなサードパーティベンダーと統合してそこからＲＡＷデータを取得するために用いられる。

信号プロセッサ１２５は、アダプターからの信号データおよび信号ヒント情報を消費して、受信信号が分類済み信号１３０であるか、未分類信号１３５であるかを判断する。分類済み信号１３０であるか、未分類信号１３５であるかについての判断は、信号ヒントに基づいて行われ得る。本明細書において使用するとき、措置が何かに「基づく」場合、これは、措置が、何かの少なくとも一部に少なくとも一部基づくことを意味する。信号ヒントとは、考えられている信号の種別についての提言であり、通常、アダプター１２０によって提供される。信号ヒントは、ＳＱＬ Ｑｕｅｒｙのヒント、または「ｋｅｙｗｏｒｄｓ」および「ｄｅｓｃｒｉｐｔｉｏｎ」など、ＨＴＭＬのＭｅｔａタグと同様である。信号ヒントは、処理中であるとアダプター１２０が信じている信号の種別が何であるかを信号プロセッサ１２５に伝える。信号プロセッサ１２５にはヒントを使用する義務は全くない。判断された信号の種別に基づいて、信号プロセッサ１２５は、強く型付けされた内部ＡＰＩ１４０、または、未分類信号処理ストリーム１４５にこの信号を送る。

分類済み信号１３０は、強く型付けされた内部ＡＰＩ１４０を用いて、ネットフロー、構成、およびアクティビティなど、対応する以前に学習されたまたはプログラムされた信号種別（または検出部トピック）にマッピングされる。ネットフロー信号は、ポート、プロトコル、宛先のＩＰ（インターネットプロトコル）アドレス、送信元のＩＰアドレスなど、デバイス間の接続を知らせるＩＰ情報である。構成信号は、コントロールプレーンを用いてコンピューティングシステム上で様々な構成要素がセットアップされるのに用いられる構成パラメータである（たとえば、パブリックまたはプライベートに指定されたオブジェクトバケットの可視性フラグ構成）。アクティビティ信号は、コントロールプレーンやデータプレーン上で行われているＡＰＩ呼び出しなどのアクティビティの監査ログである。未分類信号１３５は、信号処理ストリーム１４５に入力されて、別個の学習プロセスに通される。先ず、学習プロセスは、未分類信号１３５についての基本的事項を判断するように適合される。この基本的事項には、入力フォーマット、レコードデリミタ、フィールド種別、およびセマンティクスが含まれる。その後、基本的事項に基づいて専用の未分類信号検出部およびトピックが構築され、教師なし機械学習などの学習プロセスを用いて、未分類信号１３５内にある通常の挙動と異常な挙動との関係を判断する。異常な挙動とは、学習済みまたはよく分かっているパターンから逸脱したアクティビティである。また、場合によっては、未分類信号１３５についての学習プロセスは、教師あり学習を支援および提供するためのラベル形式の入力を顧客に求め得る。また、学習プロセスは、未分類信号ターゲットについての学習を試みる。ターゲットは、セキュリティアーキテクチャ１１０構成の対象であるインフラストラクチャのコンパートメントまたはリソースを識別する。セキュリティアーキテクチャ１１０構成は、インフラストラクチャテナンシ内のどのコンパートメントをセキュリティアーキテクチャ１１０が監視するかについての情報と、どのコンパートメントにどの検出部を適用するかについての情報をキャプチャする。また、ターゲットは、たとえば、Ｈｕｍａｎ Ｃａｐｉｔａｌ Ｍａｎａｇｅｍｅｎｔ Ｃｌｏｕｄのインスタンスなど、特定のＳａａＳインスタンスであり得る。ターゲットは、ＯＣＩＤ（Ｏｒａｃｌｅ Ｃｌｏｕｄ ＩＤ）などの識別子を有さなければならない。学習プロセスによって、対応推薦部は、検出された問題に対する正しい対応部を選択できるようになる。

分類済み信号１３０および／または未分類信号１３５が型付けされると、または検出部トピックが判断されると、この信号はリアルタイム解析のためにストリームプロセッサ１５０に転送される。検出部１５５は、ストリームプロセッサ１５０に送られる様々な信号種別や検出部トピックをサブスクライブする。サブスクライブすることによって、本質的に、検出部１５５と様々な信号種別や検出部トピックとの間にマッピングが作成される。マッピングは、特定の複数の検出部が特定の複数のデータまたは複数のデータの特定の複数の組合せに関心がある複数と複数とのマッピング、または、複数の検出部が同じ複数のデータまたは複数のデータの同じ複数の組合せを消費する複数と複数とのマッピングであり得る。検出部１５５は、信号から問題１６０を導出するように適合される。たとえば、セキュリティアーキテクチャ１１０は、ネットフロー信号をサブスクライブし、かつ、問題を示すネットフロー信号内の異常な挙動を検出するように適合された、ネットワーク動作のアノマリー検出部と、構成信号をサブスクライブし、かつ、問題を示す構成信号内の異常な挙動を検出するように適合された、構成の変化検出部とをサポートしてもよい。検出部１５５は、ヒューリスティクス、機械学習、またはヒューリスティクスと機械学習技術との組合せを用いて異常な挙動を検出し、信号から問題１６０を導出する。検出部１５５は、ステートレスであってもよく、ステートフルであり得る。

従来、問題１６０がセキュリティチームのメンバー（複数可）に送られる通知をトリガーし、このメンバー（複数可）が問題を確認し、問題の修復を指揮する。しかしながら、この従来の処理フローは、多くの時間を必要とし、たくさんのリソースを消費する（たとえば、与えられた時間にすべての問題に対処するために十分なメンバー（複数可）が得られない）ので、問題に対する対応または修復が遅延して問題の原因から切り離されてしまう。これらの課題およびその他の課題を克服するために、様々な実施の形態は、人工知能で問題１６０を自動修復するために利用できる対応システム１６５を対象とする。問題１６０には複数の方法で対処することができ、問題１６０に対する具体的な措置１７５（たとえば、緩和措置、訂正措置、または予防措置）を講じるように適合された対応部１７０のセットが設けられる。たとえば、検出部１５５のうち１つがコンピュートインスタンスに問題を検出した場合、対応部１７０のうち１つがそのインスタンスを隔離する措置１７５を講じ得る。与えられた問題に対してどの対応部を選択するか（すなわち、どの措置を講じるか）について判断するために、セキュリティアーキテクチャ１１０の一部として対応勧告が実装される。対応部１７０は、問題の種別、問題のターゲット、問題の深刻さ、およびその他の属性に基づいて対応推薦部１８０によって選択される。場合によっては、与えられた問題１６０に対して対応推薦部１８０が何を勧告できるかを限定するためのガイドラインを用いて、ユーザが対応推薦部１８０を構成できる。たとえば、ユーザは、次のように指示したい。「多要素認証にＮ回失敗し、かつ、以前確認されたＩＰアドレスからのユーザでない限り、ユーザを一時的に停止しない」。これに代えて、深刻さが低い警告の場合、ユーザは、簡単な通知を選択してもよい。

対応推薦部１８０がその間違いから学習できることは重要であることを理解されたい。そのために、対応システム１６５は、アクティブラーニングとしても知られているフィードバックループを提供する。フィードバックループは、対応システム１６５が講じた措置１７５をユーザが訂正できるようにし、訂正から学習する。アクティブラーニングは、人工知能を用いて実装される。具体的には、対応推薦部１８０は、与えられた問題に対して取る最良の対応を推論するために２つ以上の予測モデルを利用する。第１のモデル（本明細書において、ローカル（局所的）モデルとして説明する）は、（たとえば、所与のエンティティまたは組織に固有の）固有のユーザテナンシに対する対応部の嗜好を学習する。一般に、ローカルモデルは、強力なモデルであり、ローカルモデルは、高い信頼度を示した場合、優先されることになる。第２のモデル（本明細書において、グローバル（大域的）モデルとして説明する）は、（たとえば、すべてのエンティティまたは組織間の）すべてのユーザが概して何を好むかを学習するインフラストラクチャ規模のモデルであり、ローカルモデルが最初に学習される場合に早い段階で使用される。場合によっては、アクティブラーニングによって追加の対応推薦部ラベルが収集されると、ローカルモデルがグローバルモデルに取って代わる。これに代えて、アクティブラーニングによって追加の対応推薦部ラベルが収集されると、ローカルモデルがグローバルモデルと組み合わせて使用される。オプションである第３のモデル（本明細書において、中間レベルモデル（複数可）として説明する）がユーザのサブセット（たとえば、医療関連のエンティティまたは金融機関など、類似するエンティティまたは組織）に対する対応部の嗜好を学習し、ローカルモデルおよび／またはグローバルモデルと組み合わせて使用される。

図２は、様々な実施の形態に係る、アクティブラーニングを有する対応システム２００を示すブロック図である。図１で説明したように、この例では、対応システム２００によって行われるアクティブラーニング対応は、問題取得段階２０５、モデル訓練段階２１０、アクティブラーニングを伴う対応勧告段階２１５、および対応部段階２２０、といういくつかの段階を含む。

問題取得段階２０５は、エミッターから送られてくるデータの信号から問題２２５を導出するための１つ以上の検出部（たとえば、図１で説明した検出部１５５）と、問題を格納するための１つ以上のリポジトリまたはデータストアとを備える。検出部によって提起された問題２２５を相関付けおよびグループ化して重複を減らし、関連性が改善され得る。たとえば、１人の行為者が怪しいＩＰから２つのアクティビティを実行した場合、対応システム２００は、これらのアクティビティをグループ化して１つの問題にし得る。インフラストラクチャ、エミッター、リソースタイプ、タグなどによって複数の問題が互いに相関付けられ得る。

新しいモデル２３０ａ～２３０ｎ（「ｎ」は、自然数を表す）（本明細書において、新しいモデル２３０として個々に称される場合、または、モデル２３０としてまとめて称される場合がある）がデプロイされる前に訓練される場合、モデル訓練段階２１０によって問題取得段階２０５から問題２２５が取得されて新しいモデル２３０を訓練するために使われる。モデル訓練段階２１０は、ランタイム時にその他の段階で使われる１つ以上の新しいモデル２３０を訓練し得る。たとえば、モデル訓練段階は、人工的に作られた問題２２５、または互いに類似したローカルモデルがランタイム時に遭遇した過去の問題２２５を用いて、ローカルモデルをデプロイされる前に訓練し得る。新しいモデル２３０ａ～２３０ｎがデプロイされる前に訓練されていない場合、対応勧告段階２１５によって問題取得段階２０５から問題２２５が取得されて、グローバルモデル２３５、ローカルモデル２４０ａ～２４０ｎ、および／または中間モデル２４５ａ～２４５ｎのアクティブラーニングと、対応部とを選択するためにランタイム時に使われる。様々なモデル（モデル２３０；２３５；２４０；２４５）は、勾配ブースティング、ランダムフォレスト、ＳＶＭ（サポートベクターマシン）、畳み込みニューラルネットワーク（「ＣＮＮ」）、たとえば、ｉｎｃｅｐｔｉｏｎニューラルネットワーク、残差ニューラルネットワーク（「Ｒｅｓｎｅｔ」）、Ｕ－Ｎｅｔ、Ｖ－Ｎｅｔ、Ｓｉｎｇｌｅ Ｓｈｏｔ Ｍｕｌｔｉｂｏｘ Ｄｅｔｅｃｔｏｒ（「ＳＳＤ」）ネットワーク、もしくは再帰型ニューラルネットワーク（「ＲＮＮ」）、または、任意のそれらの組合せなど、任意の機械学習（「ＭＬ」）モデルであり得る。対応システム２００は、対応を予測および勧告するために同じタイプのモデルを採用してもよいし、それぞれ異なるタイプのモデルを採用してもよい。

この例では、新しいモデル２３０を訓練するために、問題２２５を取得して訓練用の問題２２５ａのサブセット（たとえば、９０％）と、検証／テスト用の画像２２５ｂのサブセット（たとえば、１０％）とに分類する。問題２２５ａのサブセットは、検出部から取得され得る。場合によっては、問題２２５ａのサブセットは、１つ以上の検出部に対応付けられたデータベース、ＳＩＥＭ、またはＳＯＡＲソリューションなどのデータストレージ構造から取得される。場合によっては、新しいモデル２３０を訓練するための問題を用意するために、問題２２５ａのサブセットを前処理および／または拡張する。たとえば、問題内にあるデータを正規化して、データセットにある値を、値の範囲における差を歪めることなく、共通のスケールに変更してもよい、および／または問題内にあるデータを人工的に拡張して、新しいデータを実際に収集することなく、モデルを訓練するために利用可能なデータの多様性を増やしてもよい。場合によっては、問題２２５ａのサブセットには、ラベル２５０がアノテーションされる。アノテーションは、１人以上の人間（セキュリティチームのメンバーなど、アノテーター）が問題２２５ａのサブセット内の各問題に応答して実行すべき対応を確認して問題にラベル２５０を与えることによって、手動で行われてもよい。新しいモデル２３０のラベル付けおよび訓練の主な目的は、対応勧告段階２１５内でモデルをデプロイする前に問題に対する対応の推論を改善することである。

訓練工程は、新しいモデル２３０のハイパーパラメータを選択することと、問題２２５ａのサブセットの中からの問題を新しいモデル２３０に入力して新しいモデル２３０の目的関数を最小化するモデルパラメータ（たとえば、重みおよび／またはバイアス）のセットを見つける反復演算を実行することとを含む。ハイパーパラメータは、新しいモデル２３０の挙動を制御するために調整または最適化可能な設定である。ほとんどのモデルは、メモリまたは実行コストなど、モデルの様々な態様を制御するハイパーパラメータを明示的に定義している。しかしながら、具体的なシナリオにモデルを適合させるための追加のハイパーパラメータが定義され得る。たとえば、ハイパーパラメータは、モデルの隠れユニットの数、モデルの学習率、損失項間の重み付け、畳み込み核の幅、モデルのカーネルの数、学習率、バッチサイズ、およびバッチ組成を含む。

訓練の各イテレーションは、モデルパラメータセットを用いた目的関数の値が前回のイテレーションにおいて異なるモデルパラメータセットを用いた目的関数の値よりも小さくなるように、（定義されたハイパーパラメータセットで構成された）新しいモデル２３０のモデルパラメータセットを見つけることを含み得る。目的関数は、新しいモデル２３０を用いて推論された出力とラベル２５０を用いて問題に注釈付けされたグラウンドトゥルースとの間の違いを測定するように構成され得る。モデルパラメータセットが特定されると、新しいモデル２３０を訓練し、画像２２５ｂのサブセット（テストデータセットまたは検証データセット）を用いて検証し得る。検証工程は、Ｋ分割交差検証、一個抜き交差検証、１グループ抜き交差検証、ネスト交差検証などの検証技術を用いて、問題２２５ｂのサブセットの中から問題を新しいモデル２３０に入力し、ハイパーパラメータを調整し、最適なハイパーパラメータセットを最終的に見つける反復演算を含む。最適なハイパーパラメータセットを取得すると、予約済みのテスト用画像セットを問題２２５ｂのサブセットから新しいモデル２３０に入力して出力（この例では、推論対応または対応部の選択）を取得し、ブランド‐アルトマン法およびスピアマンの順位相関係数などの相関付け技術を用いてグラウンドトゥルース対応に対してこの出力を評価し、エラー、正解率、適合率、再現率、ＲＯＣ（Ｒｅｃｅｉｖｅｒ Ｏｐｅｒａｔｉｎｇ Ｃｈａｒａｃｔｅｒｉｓｔｉｃ Ｃｕｒｖｅ）などのパフォーマンスメトリックを算出する。

その他の訓練／検証メカニズムが考えられ、対応システム２００内に実装され得ることを理解されたい。たとえば、問題２２５ａのサブセットの中からの問題に合わせて、新しいモデル２３０を訓練し得、ハイパーパラメータを調整し得、問題２２５ｂのサブセットの中からの問題は、モデルのパフォーマンスをテストおよび評価するためだけに使われ得る。また、モデル２３０について説明する訓練メカニズムは新しいモデルを訓練することに焦点を当てているが、これらの訓練メカニズムは、その他のデータセットから訓練された既存のモデル２３５；２４０；２４５や、デプロイする前に一部のみが訓練されたモデルや全く訓練されていないモデルを細かく調整するために利用され得る。たとえば、場合によっては、その他のエンティティまたは対応システムから検出された問題を用いてモデル２３５；２４０；２４５を予め訓練してもよく、デプロイ中にリアルタイムで検出された問題を用いてモデル２３５；２４０；２４５を継続的に訓練してもよい。このような場合、フィードバックループ工程またはアクティブラーニング工程（詳細については、本明細書において後述する）の一部としてモデル２３０；２３５；２４０；２４５は、継続的に再訓練され（オプションで、再テスト／検証され）てもよい。

モデル訓練段階２１０は、対応勧告段階２１５によって使用される訓練済みの新しいモデル２３０、訓練されていないモデル２３５；２４０；２４５、または再訓練されたモデル２３５；２４０；２４５を出力する。対応勧告段階２１５は、与えられた問題２２５に対する対応の推論または予測を生成するように適合された対応推薦部２５５を備える。対応推薦部２５５は、グローバルモデル２３５、１つ以上のローカルモデル２４０ａ～２４０ｎ、１つ以上の中間モデル２４５ａ～２４５ｎ（オプション）、ディスクリミネータ２６０、および監視部／解析部２６５を備える。対応推薦部２５５は、与えられた問題２２５に対して取る最良の対応を推論するために、２つ以上の予測モデル（すなわち、グローバルモデル２３５、ローカルモデル２４０、および中間モデル２４５の中から選択された２つ以上のモデル）を使用する。ローカルモデル２４０は、（たとえば、所与のエンティティまたは組織に固有の）固有のユーザテナンシに対する対応部の嗜好を学習済みである、または学習するように適合される。一般に、ローカルモデル２４０は、強力なモデルであり、ローカルモデル２４０がより高い信頼スコアを示した場合、ローカルモデル２４０が優先されるべきである。グローバルモデル２３５は、（たとえば、すべてのエンティティまたは組織間の）すべてのユーザが概して何を好むかを学習済みである、または学習するように適合されたインフラストラクチャ規模のモデルであり、ローカルモデル２４０が最初に学習される場合に早い段階で使用される。アクティブラーニングによって追加の対応推薦部ラベルが収集されてローカルモデル２４０を（モデル訓練段階２１０によって）訓練するために使われると、ローカルモデル２４０がグローバルモデル２３５に取って代わり得る。これに代えて、アクティブラーニングによって追加の対応推薦部ラベルが収集されて（モデル訓練段階２１０によって）ローカルモデル２４０を訓練するために使われると、ローカルモデル２４０は、グローバルモデル２３５と組み合わせて用いられてもよい。任意の中間レベルのモデル２４５は、ユーザのサブセット（たとえば、医療関連のエンティティまたは金融機関など、類似するエンティティまたは組織）に対する対応部の嗜好を学習済みであり、または学習するように適合され、そして、ローカルモデル２４０および／またはグローバルモデル２３５と組み合わせて使用され得る。

本明細書において説明したように、２つ以上の予測モデル（すなわち、グローバルモデル２３５、ローカルモデル２４０、および中間モデル２４５）の中から選択された２つ以上のモデルに問題２２５を入力し、各モデルが問題の特徴量（たとえば、発見された特徴量のパターン）に基づいて推論対応を生成し、複数の推論対応の中から、与えられた問題２２５に対する最終対応（たとえば、最良の対応）がディスクリミネータ２６０によって決定される。最終対応は、１つ以上の基準を用いて決定され得る。場合によっては、１つ以上の基準は、２つ以上の予測モデルの重み付けを含む。２つ以上の予測モデルの重みは、モデルの状態が変化すると動的に変更され得る（たとえば、ローカルモデルが訓練および検証されると、モデルの重みが増やされ得る）。たとえば、新しいユーザが最初にオンラインになったときには、そのユーザのローカルモデル２４０は、ほとんどまたは全く訓練されていない可能性があるので、グローバルモデル２３５には、ローカルモデル２４０よりも大きな重みが割り当てられ得る（オプションで、中間モデル２４５には、中間の値の重みまたは最も大きな値の重みが割り当てられ得る）。この結果、各モデルからの重み付けされた対応の順位付けに基づいて、グローバルモデル２３５および／または中間モデル２４５の推論対応が最終対応となり得る。

場合によっては、１つ以上の基準は、２つ以上の予測モデルの各々からの推論対応の信頼スコアを含む。たとえば、グローバルモデル２３５は、信頼スコアが８０％である推論対応を提供し得、ローカルモデル２４０は、信頼スコアが８５％である推論対応を提供し得る。この結果、各モデルからの推論対応の信頼スコアの順位付けに基づいて、ローカルモデル２４０の推論対応が最終対応となり得る。場合によっては、１つ以上の基準は、２つ以上の予測モデルの重み付けと、２つ以上の予測モデルの各々からの推論対応の信頼スコアとを含む。たとえば、ローカルモデル２４０が訓練を開始して、そのモデルパラメータが学習された場合、ローカルモデル２４０に適用される重み付けは、グローバルモデル２３５の重み付けと同等またはそれを超える重み付けまで大きくされ得る。さらには、グローバルモデル２３５は、信頼スコアが８７％である推論対応を提供し得、ローカルモデル２４０は、８７％が信頼スコアである推論対応を提供し得る。この結果、個々のモデルの重みを考慮するために因数分解される信頼スコアの順位付けに基づいて、ローカルモデル２４０の推論対応が最終対応となり得る。

対応推薦部２５５は、（１）対応推薦部２５５が与えられた問題２２５に対する対応を推論し、推論対応に基づいて対応部を選択する通常モードと、（２）対応推薦部２５５がアクティブラーニング環境内で対応推薦部２５５が与えられた問題２２５に対する対応を推論するテストモードという、２つのモードで動作するように適合される。アクティブラーニング環境では、対応部が選択される前に、対応推薦部２５５が推論対応を許可するか拒否するかをユーザ（たとえば、セキュリティチームのメンバー）および／または監視部／解析部２６５に問い合わせる（オプションで、推論対応が拒否された場合、正しい対応またはグラウンドトゥルース対応を提供する）。推論対応（オプションで、提供された正しい対応またはグラウンドトゥルース対応）の許可または拒否を利用して、モデル２３５；２４０；２４５を再訓練するまたは継続的に訓練するためのラベル２５０が生成および提供される。対応システム２００のユーザが２つのモードをオン／オフにしてもよい（たとえば、テストモードをオン／オフにする）。場合によっては、与えられたモデルのテスト／検証が成功した場合（たとえば、モデルが所定のしきい値を超える推論の正解率を達成した場合）、モデル（複数可）の訓練を停止または一旦停止するために、対応システム２００は、テストモードをオフにする（代わりに、通常モードをオンにする）よう、ユーザを促してもよく、自動的にテストモードをオフにしてもよい（代わりに、通常モードをオフにしてもよい）。場合によっては、与えられたモデルのモデルドリフトを検出した（たとえば、モデルのパフォーマンスが容認できる基準を超えてドリフトした）場合、モデル（複数可）の再訓練を開始するために、対応システム２００は、テストモードをオンにする（代わりに通常モードをオフにする）よう、ユーザを促してもよく、自動的にテストモードをオン（代わりに通常モードをオフ）にしてもよい。場合によっては、対応システム２００は、常時テストモードに留まって、継続的なアクティブラーニングおよびモデル（複数可）の訓練を可能にしてもよい。

モデル２３５；２４０；２４５は、グローバル（大域的）な状況、ローカル（局所的）な状況、地域的な状況、という３つの状況において訓練され、積極的に学習する。（１）グローバル。これは、セキュリティアーキテクチャを利用して、グローバルモデル２３５がすべての組織またはエンティティの嗜好についての問題と対応とのマッピングをどのように大域的に学習したか、である。（２）ローカル。これは、セキュリティアーキテクチャを利用して、ローカルモデル２４０が各組織または各エンティティの嗜好についての問題と対応とのマッピングをどのように学習したか、である。（３）地域的。これは、セキュリティアーキテクチャを利用して、中間モデル２４５が組織またはエンティティのサブグループの嗜好についての問題と対応とのマッピングをどのように地域的に学習したか、である。ユーザまたは監視部／解析部２６５から正しい対応またはグラウンドトゥルース対応を取得するアクティブラーニング中のこれらの状況の各状況内で、正しい対応またはグラウンドトゥルース対応を用いて、モデル２３５；２４０；２４５を再訓練または継続的に訓練するためのラベル２５０が生成および提供される。アクティブラーニングから生成されたラベル２５０は、グローバルリポジトリ２７０、ローカルリポジトリ２７５、および中間リポジトリ２８０にそれぞれ格納され得る。よって、アクティブラーニングによって、（１）対応部を選択するために使われ得る、問題に対する対応（モデルによって生成されるかユーザによって訂正されるかのいずれかである）と、（２）モデル２３５；２４０；２４５を再訓練または継続的に訓練するためのラベル付けされたデータという、２つのものが得られる。

たとえば、新しいユーザがオンラインになったときには、当該ユーザは、すべてのエンティティまたは組織間の問題と対応について継続的に訓練されているグローバルモデル２３５と、ローカルモデル２４０とを実行している対応推薦部２５５から開始し得る。ローカルモデル２４０は、（１）最初のモデルパラメータセットを学習するために当該新しいユーザについて必ずしも固有でない訓練データ（たとえば、人工的に作られた訓練データセット２２５ａ）について予め訓練済みである、または、（２）予め選択されており学習できる状態になっているモデルパラメータで訓練されていないかのいずれかである。先ず、セキュリティアーキテクチャによって問題が検出され始めると、新しいユーザの対応推薦部２５５がテストモードで構成され得る。各問題は、グローバルモデル２３５およびローカルモデル２４０に入力され、モデル２３５；２４０のいずれも、各モデルのモデルパラメータを用いて、問題に対応付けられた特徴量に基づいて推論対応を生成する。ディスクリミネータ２６０が推論対応を評価し、最終の推論対応と判断された推論対応を提供する（この例では、グローバルモデル２３５からの推論対応である可能性が最も高い）。監視部／解析部２６５は、ディスクリミネータ２６０の出力を監視し、テストモードでは、正解率を評価するために最終の推論対応をユーザに提供する、または、最終の推論対応の正解率について自動的に評価する。新しいユーザの嗜好についての最終の推論対応が正確であると新しいユーザおよび／または監視部／解析部２６５によって判断された場合、対応推薦部２５５は、最終の推論対応を含んだ、問題のラベル２５０の生成を開始する。問題および対応付けられたラベル２５０は、モデル２３５；２４０の両方に対して正の強化訓練をするためにグローバルリポジトリ２７０およびローカルリポジトリ２７５の両方に格納される。

これに代えて、新しいユーザの嗜好についての最終の推論対応が新しいユーザおよび／または監視部／解析部２６５によって不正確であると判断された場合、新しいユーザおよび／または監視部／解析部２６５が正しい対応またはグラウンドトゥルース対応を提供し、対応推薦部２５５が問題に対する正しい対応またはグラウンドトゥルース対応を含んだラベル２５０の生成を開始する。ローカルモデル２４０を訂正訓練するために、問題および対応付けられたラベル２５０がローカルリポジトリ２７５に格納される。これに加えて、問題および対応付けられたラベル２５０は、セキュリティアーキテクチャの管理者が評価するために、一般リポジトリに格納される、および／またはデータキューに入れられる。管理者は、問題および対応付けられたラベル２５０を評価して、グローバルモデル２３５を訂正訓練（ｃｏｒｒｅｃｔｉｖｅ ｔｒａｉｎｉｎｇ）するためにグローバルリポジトリ２７０に含めるべきかどうかを判断する。たとえば、グローバルモデル２３５がこれまで見たことのない特徴量セットが問題に含まれていた場合、第一印象で、推論対応は不正確である可能性が高く、管理者は、グローバルモデル２４０を訂正訓練するために問題および対応付けられたラベル２５０をグローバルリポジトリ２７０に含めるべきであると判断し得る。一方、グローバルモデル２３５が以前見たことのある特徴量セットが問題に含まれており、少なくともエンティティまたは組織のグローバルコミュニティについての推論対応が正確である場合、新しいユーザの嗜好（たとえば、新しいユーザは、ユーザの状況に固有の対応がある）を理由に推論対応が不正確である可能性が高く、管理者は、グローバルモデル２３５を訂正訓練するために問題および対応付けられたラベル２５０をグローバルリポジトリ２７０に含めるべきではないと判断し得る。よって、グローバルモデルは、訓練およびその利用にノイズを生じさせないよう、人間の管理者によって高度に整理（ｃｕｒａｔｅ）される。

場合によっては、新しいユーザおよび／または監視部／解析部２６５による最終対応の正解率の評価は、その問題に対してユーザが好むであろうグラウンドトゥルース対応と、最終対応とを比較することを含む。比較に基づいて最終対応がグラウンドトゥルース対応と一致した場合、最終対応の正解率は容認できると判断される。比較に基づいて最終対応がグラウンドトゥルース対応に一致しない場合、最終対応の正解率は容認できないと判断される。グラウンドトゥルースは、ユーザによって手動で提供されてもよく、および／または監視部／解析部２６５によって自動的に提供され得る（たとえば、リポジトリから取得）。一致については、たとえば、完全一致、実質的に完全一致、または部分一致／マッチなど、いくつかの判断方法がある。場合によっては、一致は、完全一致である。たとえば、「多要素認証を引き上げる」という最終対応は、「多要素認証を引き上げる」というグラウンドトゥルースに一致／マッチすると判断される。さらなる例または別の例では、一致とは、実質的に完全一致／マッチする、または少なくとも部分一致／マッチすることである。本明細書において使用するとき、「実質的に」、「およそ」、および「約」という用語は、当業者であれば理解できる、ほとんど明記されている通りであるが必ずしも完全に明記されている通りではない、と定義される（完全に明記されている通り、を含む）。開示の実施の形態では、「実質的に」、「およそ」、または「約」という用語は、明記されている通り「の［パーセント］範囲」に置き換えられてもよい。ここで、パーセントは、０．１、１、５、および１０パーセントを含む。たとえば、「認証レベルを引き上げる」という最終対応は、「多要素認証を引き上げる」というグラウンドトゥルースに一致／マッチすると判断される。これに代えて、「認証レベルを引き上げる」という最終対応は、「多要素認証を引き上げる」というグラウンドトゥルースおよび／または「ユーザアカウントを一時停止する」と一致／マッチすると判断される。

場合によっては、新しいユーザおよび／または監視部／解析部２６５による最終対応の正解率の評価は、最終対応についての説明を解析することをさらに含む。場合によっては、モデル２３５；３４０；２４５の各々は、推論を簡単な用語で説明するように適合される。たとえば、「このユーザはＮ個のＭＦＡ問題を生じさせました、また、これらのタイプの場合のほとんどの場合、これまであなたは一旦停止することが正しい対応（ラベル）であると言い表しているので、私は、このユーザを一旦停止することを勧告します」と説明する。決定を説明できないまたはほとんど説明できないブラックボックスになっていているＭＬモデルもあるが、その他のアルゴリズムは、実際には、説明可能である。たとえば、浅い決定木のセットとして勾配ブースティングマシンを構築してもよい。モデルに含まれるツリーの数を減らし、ツリーを横断して説明を作成することにより、説明を提供するための推定部が作成され得る。ＳＶＭ（サポートベクターマシン）など、その他のモデルも、特徴量の重要度という形態で説明を裏付ける。

対応推薦部２５５は、ディスクリミネータ２６０の出力（すなわち、最終の推論対応）またはユーザおよび／もしくは監視部／解析部２６５の出力（すなわち、正しい対応またはグラウンドトゥルース対応）に基づいて、対応部段階２２０の中から対応部２８５を選択するようにさらに適合される。対応部段階２２０は、対応推薦部２５５によって選択される複数の対応部２８５を備える。各対応部は、セキュリティアーキテクチャが自動的に講ずる、与えられた問題に対する対応または修復を行うための１つ以上の措置２９０ａ～２９０ｎに対応付けられる。対応部２８５は、隔離対応部と、シャットダウンおよびスナップショット対応部と、バケット無効化対応部と、ＭＦＡ（多要素認証）引き上げ対応部と、ユーザアカウント停止対応部と、構成復帰対応部と、ブラックリストへの追加対応部と、パブリックＩＰ無効化対応部などを含むアクティブ対応部を備える。対応部２８５は、通知対応部と、イベント対応部と、ログ対応部とを含む、複数のパッシブ対応部を備え得る。

隔離対応部は、計算リソースなど特定のインフラストラクチャのリソースへのネットワークアクセスを無効化する手段によってこれらのリソースを隔離する措置を講ずる。シャットダウンおよびスナップショット対応部は、計算リソースを停止する措置を講じ、この事例のスナップショットを直ちに撮る。この対応部は、問題を検出した時点の状態をユーザがキャプチャできるようにしつつ、計算リソースに関連する脅威を停止する。バケット無効化対応部は、構成に誤りがあるオブジェクトストアバケットを無効化する措置を講ずる（削除はしない）。たとえば、パブリックアクセスが与えられたバケットがこの対応部を通じて無効化され得る。ＭＦＡ対応部は、エンドユーザに、強制的に多要素認証によって認証を行わせる措置を講ずる。ユーザアカウント停止対応部は、ＯＣＩユーザアカウントを一旦停止する措置を講ずる。構成復帰対応部は、ユーザが行った構成に対する変更をロールバックする措置を講ずる。ブラックリストへの追加対応部は、送信元ＩＰアドレスをユーザＣＰ／ＤＰブラックリストに追加する措置を講ずる。パブリックＩＰ無効化対応部は、計算リソースなどインフラストラクチャのリソースからパブリックＩＰアドレスを削除する措置を講ずる。通知対応部は、利用可能な通知方法によって問題を届けるためのインフラストラクチャ通知サービスを構成する措置を講ずる。イベント対応部は、通知、ストリーム、関数など、標準のイベント出力を可能にするクラウドイベントを発する措置を講ずる。ログ対応部は、インフラストラクチャロギングサービスによって問題をログとして届ける措置を講ずる。

人工知能を用いてセキュリティ問題を自動修復すること
図３および図４は、人工知能でセキュリティ問題を自動修復するための工程および動作を示す図である。個々の実施形態を工程として説明している場合もあり、当該工程は、フローチャート、フロー図、データフロー図、構造図、またはブロック図として示されている。フローチャートは、動作を逐次工程として示している場合もあるが、動作の多くは並列または同時に実行され得る。これに加えて、動作の順序が並び替えられてもよい。工程は、その動作が完了したときに終了されるが、図面に含まれていないステップをさらに有し得る。工程は、方法、関数、プロシージャ、サブルーチン、サブプログラムなどに相当し得る。プロセスが関数に相当する場合、その終了は、この関数が呼び出し関数またはメイン関数にリターンすることに相当し得る。

図３および図４に示す工程および／または動作は、１つ以上の処理装置（たとえば、プロセッサコア）によって実行されるソフトウェア（たとえば、コード、命令、プログラム）、ハードウェア、またはそれらの組合せで実現され得る。ソフトウェアは、（たとえば、メモリ素子上、非一時的なコンピュータ読み取り可能な記憶媒体上の）メモリに記憶され得る。図３および図４の特定の一連の処理は、限定を意図したものではない。また、他の一連のステップが別の実施形態に従って実行され得る。たとえば、別の実施形態では、概要を上述したステップを異なる順序で実行してもよい。また、図３および図４に示す個々のステップは、個々のステップに応じて様々な順序で実行され得る複数のサブステップを含んでもよい。さらに、特定のアプリケーションに応じてさらなるステップが追加されたり、削除されたりしてもよい。当業者であれば、多くの変形例、変更例、および代替例が分かるであろう。

図３は、２つ以上の予測モデルでセキュリティ問題を自動修復するための工程を説明するフローチャート３００を示す。いくつかの実施の形態では、フローチャート３００に示す工程は、図１および図２に示したアーキテクチャ、システム、および技術によって実装され得る。たとえば、これらの工程は、セキュリティアーキテクチャ内で検出した問題に対する対応として対応部を自動的に選択するために、アクティブラーニングを有する対応システムにおいて実装され得る。対応システムは、グローバルな状況およびローカルな状況という少なくとも２つ状況で積極的に学習する少なくとも２つモデルを実装する。（１）グローバル。これは、セキュリティアーキテクチャを利用して、グローバルモデルがすべてのユーザの嗜好についての問題と対応とのマッピングをどのように大域的に学習したか、である。（２）ローカル。これは、セキュリティアーキテクチャを利用して、ローカルモデルが各ユーザの嗜好についての問題と対応とのマッピングをどのように学習したか、である。

ステップ３０５では、セキュリティアーキテクチャの対応システムによって問題が取得される。この問題は、ユーザに関連するエミッターからの信号内で検出部によって検出され得る。問題は、セキュリティアーキテクチャが対応して修復するように適合される、起こり得るセキュリティイベントである。

ステップ３１０では、問題を入力として取る対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論する。グローバルモデルは、セキュリティアーキテクチャを利用してすべてのユーザ（たとえば、エンティティまたは組織のすべて）の嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含む。すなわち、大域的モデルパラメータセットは、セキュリティアーキテクチャを利用するすべてのユーザの嗜好を複製するグラウンドトゥルース対応を含むラベルと問題とを含む訓練データから学習される（すなわち、教師あり学習）。嗜好とは、問題に対して講じられるとユーザが想定する対応である。与えられた問題の一例は、「アリスのユーザクレデンシャルが侵害されました」であり、ユーザのグローバルコミュニティが好む対応の一例は、「ユーザアカウントを一時停止する」および／または「シャットダウンしてスナップショットを撮る」である。

ステップ３１５では、問題を入力として取る対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論する。ローカルモデルは、ユーザ（たとえば、エンティティまたは組織）の嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含む。すなわち、局所的モデルパラメータセットは、セキュリティアーキテクチャを利用するユーザの嗜好を複製するグラウンドトゥルース対応を含むラベルと問題とを含む訓練データから学習される（すなわち、教師あり学習）。嗜好とは、問題に対して講じられるとユーザが想定する対応である。与えられた問題の一例は、「アリスのユーザクレデンシャルが侵害されました」であり、ユーザが好む対応の一例は、「多要素認証を引き上げる」である。

オプションのステップ３２０では、問題を入力として取る対応システムの一部として実装される中間モデルを用いて、第３応答を推論する。第３応答は、第１対応の代わりに、または第１対応および第２対応に加えて推論され得る。中間モデルは、セキュリティアーキテクチャを利用するユーザのサブグループ（たとえば、所与の産業内のエンティティまたは組織）の嗜好についての問題と対応とのマッピングから地域的に学習された地域的モデルパラメータセットを含む。すなわち、地域的モデルパラメータセットは、セキュリティアーキテクチャを利用してユーザのサブグループの嗜好を複製するグラウンドトゥルース対応を含むラベルと問題とを含む訓練データから学習される（すなわち、教師あり学習）。嗜好とは、問題に対して講じられるとユーザのサブグループが想定する対応である。与えられた問題の一例は、「アリスのユーザクレデンシャルが侵害されました」であり、ユーザの地域コミュニティが好む対応の一例は、「ユーザアカウントを一時停止する」および／または「多要素認証を引き上げる」である。

ステップ３２５では、基準を用いて第１対応および第２対応（オプションで、第３応答）を評価する。場合によっては、基準は、グローバルモデルおよびローカルモデル（オプションで、中間モデル）の重み付けを含む。モデルの重みは、モデルの状態が変化すると動的に変更され得る（たとえば、ローカルモデルが訓練および検証されると、モデルの重みが増やされ得る）。たとえば、新しいユーザが最初にオンラインになったときには、そのユーザのローカルモデルは、ほとんどまたは全く訓練されていない可能性があるので、グローバルモデルには、ローカルモデルよりも大きな重みが割り当てられ得る（オプションで、中間モデルには、中間の値の重みまたは最も大きな値の重みが割り当てられ得る）。この結果、各モデルからの重み付けされた対応の順位付けに基づいて、グローバルモデルおよび／または中間モデルの推論対応が最終対応となり得る。

場合によっては、基準は、グローバルモデルおよびローカルモデル（オプションで、中間モデル）の各々からの推論対応の信頼スコアを含む。信頼スコアは、任意の既知の工程に従って演算され得る（たとえば、ソフトマックス、予測関数／演算、ベイジアンネットワークなどは、すべて、モデルの予測の信頼度を推定するために実装できる既知の工程である）。たとえば、グローバルモデルは、信頼スコアが８０％である推論対応を提供し得、ローカルモデルは、信頼スコアが８５％である推論対応を提供し得る。この結果、各モデルからの推論対応の信頼スコアの順位付けに基づいて、ローカルモデルの推論対応が最終対応となり得る。場合によっては、基準は、（１）第１対応および第２対応（オプションで、第３応答）の各々に対応付けられた信頼スコアと、（２）グローバルモデルおよびローカルモデル（オプションで、中間モデル）の各々に対応付けられた重みとを含む。

ステップ３３０では、第１対応および第２対応（オプションで、第３応答）の評価に基づいて、問題に対する最終対応が対応システムによって決定される。たとえば、重みによるモデルの順位付けが、グローバルモデル対応が最良の対応（たとえば、重み付けに基づいた、順位付けが最も高いモデル）であると示す場合、第１対応が最終対応であると判断される。これに代えて、信頼スコアによるモデルの順位付けが、ローカルモデル対応が最良の対応（たとえば、信頼スコアに基づいた、順位付けが最も高い対応）であると示す場合、第２対応が最終対応であると判断される。これに代えて、重みで因数分解された信頼スコアによるモデルの順位付けが、ローカルモデル対応が最良の対応（たとえば、重み付けで因数分解された信頼スコアに基づいた、順位付けが最も高い対応／モデル）であると示す場合、第２対応が最終対応であると判断される。

ステップ３３５では、最終対応に基づいて、対応システムによって対応部のセットの中から対応部が選択される。この対応部は、問題に対応するために１つ以上の措置を講じるように適合される。たとえば、最終対応が「ユーザアカウントを一時停止する」である場合、対応システムは、ユーザアカウント停止対応部を選択してユーザアカウントを一旦停止する措置を講じ、「アリスのユーザクレデンシャルが侵害されました」という問題を解決する。

ステップ３４０では、対応システムが、選択した対応部に基づいて、問題に対して対応するための１つ以上の措置を講ずる。たとえば、ユーザアカウント停止対応部は、ユーザアカウントを一旦停止する措置を講じ、「アリスのユーザクレデンシャルが侵害されました」という問題を解決する。

図４は、アクティブラーニングを有して実装される２つ以上の予測モデルでセキュリティ問題を自動修復するための工程を説明するフローチャート４００を示す。いくつかの実施の形態では、フローチャート４００に示す工程は、図１および図２に示したアーキテクチャ、システム、および技術によって実装され得る。たとえば、これらの工程は、セキュリティアーキテクチャ内で検出した問題に対する対応として対応部を自動的に選択するために、アクティブラーニングを有する対応システムにおいて実装され得る。対応システムは、グローバルな状況およびローカルな状況という少なくとも２つ状況で積極的に学習する少なくとも２つモデルを実装する。（１）グローバル。これは、セキュリティアーキテクチャを利用して、グローバルモデルがすべてのユーザの嗜好についての問題と対応とのマッピングをどのように大域的に学習したか、である。（２）ローカル。これは、セキュリティアーキテクチャを利用して、ローカルモデルが各ユーザの嗜好についての問題と対応とのマッピングをどのように学習したか、である。

ステップ４０５では、セキュリティアーキテクチャの対応システムによって問題が取得される。この問題は、ユーザに関連するエミッターからの信号内で検出部によって検出され得る。問題は、セキュリティアーキテクチャが対応して修復するように適合される、起こり得るセキュリティイベントである。

ステップ４１０では、問題を入力として取る対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論する。グローバルモデルは、セキュリティアーキテクチャを利用してすべてのユーザ（たとえば、エンティティまたは組織のすべて）の嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含む。すなわち、大域的モデルパラメータセットは、セキュリティアーキテクチャを利用してすべてのユーザの嗜好を複製するグラウンドトゥルース対応を含むラベルと問題とを含む訓練データから学習される（すなわち、教師あり学習）。嗜好とは、問題に対して講じられるとユーザが想定する対応である。与えられた問題の一例は、「アリスのユーザクレデンシャルが侵害されました」であり、ユーザのグローバルコミュニティが好む対応の一例は、「ユーザアカウントを一時停止する」および／または「シャットダウンしてスナップショットを撮る」である。

ステップ４１５では、問題を入力として取る対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論する。ローカルモデルは、ユーザ（たとえば、エンティティまたは組織）の嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含む。すなわち、局所的モデルパラメータセットは、セキュリティアーキテクチャを利用してユーザの嗜好を複製するグラウンドトゥルース対応を含むラベルと問題とを含む訓練データから学習される（すなわち、教師あり学習）。嗜好とは、問題に対して講じられるとユーザが想定する対応である。与えられた問題の一例は、「アリスのユーザクレデンシャルが侵害されました」であり、ユーザが好む対応の一例は、「多要素認証を引き上げる」である。

オプションのステップ４２０では、問題を入力として取る対応システムの一部として実装される中間モデルを用いて、第３応答を推論する。第３応答は、第１対応の代わりに、または第１対応および第２対応に加えて推論され得る。中間モデルは、セキュリティアーキテクチャを利用してユーザのサブグループ（たとえば、所与の産業内のエンティティまたは組織）の嗜好についての問題と対応とのマッピングから地域的に学習された地域的モデルパラメータセットを含む。すなわち、地域的モデルパラメータセットは、セキュリティアーキテクチャを利用してユーザのサブグループの嗜好を複製するグラウンドトゥルース対応を含むラベルと問題とを含む訓練データから学習される（すなわち、教師あり学習）。嗜好とは、問題に対して講じられるとユーザのサブグループが想定する対応である。与えられた問題の一例は、「アリスのユーザクレデンシャルが侵害されました」であり、ユーザの地域コミュニティが好む対応の一例は、「ユーザアカウントを一時停止する」および／または「多要素認証を引き上げる」である。

ステップ４２５では、基準を用いて第１対応および第２対応（オプションで、第３応答）を評価する。場合によっては、基準は、グローバルモデルおよびローカルモデル（オプションで、中間モデル）の重み付けを含む。モデルの重みは、モデルの状態が変化すると動的に変更され得る（たとえば、ローカルモデルが訓練および検証されると、モデルの重みが増やされ得る）。たとえば、新しいユーザが最初にオンラインになったときには、そのユーザのローカルモデルは、ほとんどまたは全く訓練されていない可能性があるので、グローバルモデルには、ローカルモデルよりも大きな重みが割り当てられ得る（オプションで、中間モデルには、中間の値の重みまたは最も大きな値の重みが割り当てられ得る）。この結果、各モデルからの重み付けされた対応の順位付けに基づいて、グローバルモデルおよび／または中間モデルの推論対応が最終対応となり得る。

場合によっては、基準は、グローバルモデルおよびローカルモデル（オプションで、中間モデル）の各々からの推論対応の信頼スコアを含む。信頼スコアは、任意の既知の工程に従って演算され得る（たとえば、ソフトマックス、予測関数／演算、ベイジアンネットワークなどは、すべて、モデルの予測の信頼度を推定するために実装できる既知の工程である）。たとえば、グローバルモデルは、信頼スコアが８０％である推論対応を提供し得、ローカルモデルは、信頼スコアが８５％である推論対応を提供し得る。この結果、各モデルからの推論対応の信頼スコアの順位付けに基づいて、ローカルモデルの推論対応が最終対応となり得る。場合によっては、基準は、（１）第１対応および第２対応（オプションで、第３応答）の各々に対応付けられた信頼スコアと、（２）グローバルモデルおよびローカルモデル（オプションで、中間モデル）の各々に対応付けられた重みとを含む。

ステップ４３０では、第１対応および第２対応（オプションで、第３応答）の評価に基づいて、問題に対する最終対応が対応システムによって決定される。たとえば、重みによるモデルの順位付けが、グローバルモデル対応が最良の対応（たとえば、重み付けに基づいた、順位付けが最も高いモデル）であると示す場合、第１対応が最終対応であると判断される。これに代えて、信頼スコアによるモデルの順位付けが、ローカルモデル対応が最良の対応（たとえば、信頼スコアに基づいた、順位付けが最も高い対応）であると示す場合、第２対応が最終対応であると判断される。これに代えて、重みで因数分解された信頼スコアによるモデルの順位付けが、ローカルモデル対応が最良の対応（たとえば、重み付けで因数分解された信頼スコアに基づいた、順位付けが最も高い対応／モデル）であると示す場合、第２対応が最終対応であると判断される。

ステップ４３５では、最終対応の正解率が対応システムによって評価される。正解率は、その問題に対してユーザが好むであろうグラウンドトゥルース対応と、最終対応との比較に基づいて評価される。比較に基づいて最終対応がグラウンドトゥルース対応と一致した場合、最終対応の正解率は容認できると判断される。比較に基づいて最終対応がグラウンドトゥルース対応に一致しない場合、最終対応の正解率は容認できないと判断される。グラウンドトゥルースは、ユーザによって手動で提供されてもよく、および／または対応システムの監視／解析部によって自動的に提供され得る（たとえば、リポジトリから取得）。一致については、たとえば、完全一致、実質的に完全一致、または部分一致／マッチなど、いくつかの判断方法がある。場合によっては、一致は、完全一致である。さらなる例または別の例では、一致とは、実質的に完全一致／マッチする、または少なくとも部分一致／マッチすることである。

ステップ４４０では、正解率が容認できないと判断されたことに応じて、対応システムは、（１）問題のラベルを生成し（ラベルは、グラウンドトゥルース対応を含む）、（２）グラウンドトゥルースと問題とを含むラベルをローカルデータストア（リポジトリ）に格納し、（３）ステップ４７５において、最終対応ではなくグラウンドトゥルースに基づいて、対応部のセットの中から対応部を選択する。この対応部は、問題に対応するために１つ以上の措置を講じるように適合される。たとえば、グラウンドトゥルースが「ユーザアカウントを一時停止する」である場合、対応システムは、ユーザアカウント停止対応部を選択してユーザアカウントを一旦停止する措置を講じ、「アリスのユーザクレデンシャルが侵害されました。」という問題を解決する。

ステップ４４５では、対応システムは、ローカルリポジトリからのローカル訓練データでローカルモデルの訓練（すなわち、アクティブラーニング）を開始する。ローカル訓練データは、グラウンドトゥルースと問題とを含むラベルを含む。ローカルモデルのローカルモデルパラメータがローカル訓練データから継続的に学習するよう、訓練は、継続的に開始され得る。これに代えて、ローカルモデルのローカルモデルパラメータが定期的にローカル訓練データから学習するよう、訓練は、再訓練のためにバッチ処理または予定された処理で開始され得る。

ステップ４５０では、正解率が容認できないと判断されたことに応じて、対応システムは、（１）管理者が評価するために、グラウンドトゥルースと問題とを含むラベルを一般的なデータストアに格納する、またはグラウンドトゥルースと問題とを含むラベルをデータキューに入れ、（２）グラウンドトゥルースと問題とを含むラベルについて何ら措置を講じないという対応か、グラウンドトゥルースと問題とを含むラベルを用いてグローバルモデルを訓練するという対応のいずれかを管理者から受け、（３）何ら措置を講じないという対応であったことに応じて、データストアまたはデータキューからグラウンドトゥルースと問題とを含むラベルを削除し、（４）グローバルモデルを訓練するという対応であったことに応じて、グラウンドトゥルースと問題とを含むラベルをグローバルリポジトリに格納する。

ステップ４５５では、対応システムは、グローバルリポジトリからのグローバル訓練データでグローバルモデルの訓練（すなわち、アクティブラーニング）を開始する。グローバル訓練データは、グラウンドトゥルースと問題とを含むラベルを含む。グローバルモデルのグローバルモデルパラメータがグローバル訓練データから継続的に学習するよう、訓練は、継続的に開始され得る。これに代えて、グローバルモデルのグローバルモデルパラメータが定期的にグローバル訓練データから学習するよう、訓練は、再訓練のためにバッチ処理または予定された処理で開始され得る。

ステップ４６０では、正解率が容認できると判断されたことに応じて、対応システムは、（１）問題のラベルを生成し（ラベルは、最終対応を含む）、（２）最終対応と問題とを含むラベルをローカルデータストアおよびグローバルデータストアに格納する。

ステップ４６５では、対応システムは、グローバルリポジトリからのグローバル訓練データでグローバルモデルの訓練（すなわち、アクティブラーニング）を開始する。グローバル訓練データは、グラウンドトゥルースと問題とを含むラベルを含む。グローバルモデルのグローバルモデルパラメータがグローバル訓練データから継続的に学習するよう、訓練は、継続的に開始され得る。これに代えて、グローバルモデルのグローバルモデルパラメータが定期的にグローバル訓練データから学習するよう、訓練は、再訓練のためにバッチ処理または予定された処理で開始され得る。

ステップ４７０では、対応システムは、ローカルリポジトリからのローカル訓練データでローカルモデルの訓練（すなわち、アクティブラーニング）を開始する。ローカル訓練データは、グラウンドトゥルースと問題とを含むラベルを含む。ローカルモデルのローカルモデルパラメータがローカル訓練データから継続的に学習するよう、訓練は、継続的に開始され得る。これに代えて、ローカルモデルのローカルモデルパラメータが定期的にローカル訓練データから学習するよう、訓練は、再訓練のためにバッチ処理または予定された処理で開始され得る。

ステップ４７５では、最終対応に基づいて、対応システムによって対応部のセットの中から対応部が選択される。この対応部は、問題に対応するために１つ以上の措置を講じるように適合される。たとえば、最終対応が「ユーザアカウントを一時停止する」である場合、対応システムは、ユーザアカウント停止対応部を選択してユーザアカウントを一旦停止する措置を講じ、「アリスのユーザクレデンシャルが侵害されました」という問題を解決する。

ステップ４８０では、問題に対して対応するための１つ以上の措置を講ずる。たとえば、ユーザアカウント停止対応部は、ユーザアカウントを一旦停止する措置を講じ、「アリスのユーザクレデンシャルが侵害されました」という問題を解決する。

例示的なシステム
上述したように、ＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）は、１つの特殊な種類のクラウドコンピューティングである。仮想化されたコンピューティングリソースをパブリックネットワーク（たとえば、インターネット）で提供するようにＩａａＳを構成できる。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャの構成要素（たとえば、サーバ、記憶装置、ネットワークノード（たとえば、ハードウェア）、導入ソフトウェア、プラットフォームの仮想化（たとえば、ハイパーバイザー層）など）をホスティングできる。場合によっては、ＩａａＳプロバイダは、これらのインフラストラクチャの構成要素に付随する多種多様なサービス（たとえば、請求、監視、ログ記録、セキュリティ、負荷分散およびクラスタリングなど）も供給してもよい。よって、これらのサービスはポリシーベースのサービスであり得るので、ＩａａＳユーザは、負荷分散を駆動するポリシーを実施して、アプリケーションの可用性および性能を維持できるようになるであろう。

場合によっては、ＩａａＳ顧客は、インターネットなどのＷＡＮ（ワイドエリアネットワーク）を通じてリソースおよびサービスにアクセスしてもよく、クラウドプロバイダのサービスを利用してアプリケーションスタックの残りの要素をインストールできる。たとえば、ユーザは、ＩａａＳプラットフォームにログインして、ＶＭ（仮想マシン）を作成、各ＶＭ上にＯＳ（オペレーティングシステム）をインストール、データベースなどのミドルウェアをデプロイ、ワークロードやバックアップ用のストレージバケットを作成、さらにはそのＶＭに企業向けソフトウェアをインストールすることができる。そして、顧客は、プロバイダのサービスを利用して、ネットワークトラフィックの負荷分散、アプリケーションの問題のトラブルシューティング、パフォーマンスの監視、ディザスタリカバリの管理などを含む様々な機能を実行できる。

ほとんどの場合、クラウドコンピューティングモデルは、クラウドプロバイダの参加を必要とする。クラウドプロバイダは、ＩａａＳを提供（たとえば、オファー、レンタル、販売）することに特化したサードパーティサービスであり得るが、そうである必要はない。また、エンティティがプライベートクラウドをデプロイすることを選択して、エンティティ自体のインフラストラクチャサービスのプロバイダになってもよい。

いくつかの例では、ＩａａＳのデプロイメントとは、準備したアプリケーションサーバなどに新しいアプリケーションまたは新しいバージョンのアプリケーションを載せる処理である。サーバを準備する処理も含み得る（たとえば、ライブラリ、デーモンなどをインストールすること）。これは、ハイパーバイザー層（たとえば、サーバ、ストレージ、ネットワークハードウェア、および仮想化）よりも下の層でクラウドプロバイダによって管理されることが多い。よって、顧客には、（（たとえば、要求に基づいてスピンアップされ得る）セルフサービス仮想マシンなどの上の）（ＯＳ）、ミドルウェア、および／またはアプリケーションの導入に対処する責任があるであろう。

いくつかの例では、ＩａａＳプロビジョニングとは、使用するためのコンピュータまたは仮想ホストを取得すること、さらには、それらの上に必要なライブラリまたはサービスをインストールすることを指し得る。ほとんどの場合、導入にはプロビジョニングは含まれず、プロビジョニングは最初に行われる必要があり得る。

場合によっては、ＩａａＳプロビジョニングには２つの異なる課題がある。先ず、何かを実行する前に初期のインフラストラクチャ一式をプロビジョニングするという初期段階の課題である。次に、すべてがプロビジョニングされてから既存のインフラストラクチャを進化させていく（たとえば、新しいサービスを追加する、サービスを変更する、サービスを削除するなど）という課題がある。場合によっては、インフラストラクチャの構成を宣言的に定義することを可能にすることによってこれらの２つの課題に対処してもよい。すなわち、１つ以上の設定ファイルでインフラストラクチャ（たとえば、どの構成要素が必要で、それらがどのようにやり取りするか）を定義できる。よって、インフラストラクチャのトポロジー全体（たとえば、どのリソースがどのリソースに依存しているのか、それらのリソースがどのように連携するのか）を宣言的に定義できる。場合によっては、トポロジーが定義されると、設定ファイルに記述されている異なる構成要素を作成および／または管理するワークフローを生成できる。

いくつかの例では、インフラストラクチャには、互いに接続された多くの要素があり得る。たとえば、コアネットワークとしても知られる１つ以上のＶＰＣ（仮想プライベートクラウド）（たとえば、コンフィギャラブルなコンピューティングリソースおよび／または共有コンピューティングリソースの、おそらくオンデマンドのプール）があり得る。いくつかの例では、ネットワークのセキュリティをどのように設置するか、および１つ以上のＶＭ（仮想マシン）を定義する１つ以上のセキュリティグループルールもプロビジョニングされ得る。ロードバランサ、データベースなど、その他のインフラストラクチャの要素もプロビジョニングされ得る。求められるおよび／または追加されるインフラストラクチャの要素が増えると、インフラストラクチャは漸進的に進化するであろう。

場合によっては、様々な仮想コンピューティング環境間でインフラストラクチャのコードをデプロイすることを可能にするための断続的デプロイ技術が採用され得る。これに加えて、説明した技術によって、これらの環境内でのインフラストラクチャの管理が可能になる。いくつかの例では、サービスチームは、１つ以上の、多くの場合、多くの異なる本番環境（たとえば、様々な異なる地理的位置にまたがる、時として、全世界に及ぶ）にデプロイされることが求められるコードを書くことができる。しかしながら、いくつかの例では、コードがデプロイされるインフラストラクチャを最初に設置しなければならない。場合によっては、プロビジョニングは手作業で行われ得、インフラストラクチャがプロビジョニングされると、プロビジョニングツールを利用してリソースがプロビジョニングされてもよく、および／または開発ツールを利用してコードがデプロイされ得る。

図５は、少なくとも１つの実施の形態に係る、ＩａａＳアーキテクチャのパターンの例を示すブロック図５００である。サービスオペレータ５０２は、セキュアなホストテナンシ５０４に通信可能に連結される。セキュアなホストテナンシ５０４は、ＶＣＮ（仮想クラウドネットワーク）５０６と、セキュアなホストサブネット５０５とを備え得る。いくつかの例では、サービスオペレータ５０２は、１つ以上のクライアントコンピューティングデバイスを使用していてもよい。クライアントコンピューティングデバイスは、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ Ｍｏｂｉｌｅ（登録商標）などのソフトウェアおよび／またはｉＯＳ、Ｗｉｎｄｏｗｓ Ｐｈｏｎｅ、Ａｎｄｒｏｉｄ、ＢｌａｃｋＢｅｒｒｙ１０、ＰａｌｍＯＳなどのいろいろなモバイルオペレーティングシステムを実行し、かつ、インターネット、電子メール、ＳＭＳ（Ｓｈｏｒｔ Ｍｅｓｓａｇｅ Ｓｅｒｖｉｃｅ）、Ｂｌａｃｋｂｅｒｒｙ（登録商標）、または他の通信プロトコルに対応する手のひらサイズのポータブルデバイス（たとえば、ｉＰｈｏｎｅ（登録商標）、携帯電話、ｉＰａｄ（登録商標）、コンピューティングタブレット、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ））またはウェアラブルデバイス（たとえば、Ｇｏｏｇｌｅ Ｇｌａｓｓ（登録商標）ヘッドマウントディスプレイ）であり得る。あるいは、クライアントコンピューティングデバイスは、様々なバージョンのＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ａｐｐｌｅ Ｍａｃｉｎｔｏｓｈ（登録商標）、および／もしくはＬｉｎｕｘ（登録商標）オペレーティングシステムを実行するパーソナルコンピュータならびに／またはラップトップコンピュータを含む、汎用パーソナルコンピュータであり得る。クライアントコンピューティングデバイスは、たとえば、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅ ＯＳなどいろいろなＧＮＵ／Ｌｉｎｕｘオペレーティングシステムを含む各種市販のＵＮＩＸ（登録商標）またはＵＮＩＸに似たオペレーティングシステムを実行するワークステーションコンピュータであり得るが、これに限定されない。これに代えて、またはこれに加えて、クライアントコンピューティングデバイスは、シンクライアントコンピュータ、インターネット対応のゲーミングシステム（たとえば、Ｋｉｎｅｃｔ（登録商標）ジェスチャ入力装置付きまたは無しのＭｉｃｒｏｓｏｆｔ Ｘｂｏｘのゲーミングコンソール）、および／もしくはパーソナルメッセージングデバイスなど、ＶＣＮ５０６にアクセスできるネットワークならびに／またはインターネットで通信可能なその他の電子機器であり得る。

ＶＣＮ５０６は、ＬＰＧ（ローカルピアリングゲートウェイ）５１０を含み得る。ＬＰＧ５１０は、ＳＳＨ ＶＣＮ５１２に含まれるＬＰＧ５１０を介してＳＳＨ（セキュアシェル）ＶＣＮ５１２に通信可能に連結できる。ＳＳＨ ＶＣＮ５１２は、ＳＳＨサブネット５１４を含み得、ＳＳＨ ＶＣＮ５１２は、コントロールプレーンＶＣＮ５１６に含まれるＬＰＧ５１０を介してコントロールプレーンＶＣＮ５１６に通信可能に連結できる。また、ＳＳＨ ＶＣＮ５１２は、ＬＰＧ５１０を介してデータプレーンＶＣＮ５１８に通信可能に連結できる。コントロールプレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８は、サービステナンシ５１９に含まれ得る。サービステナンシ５１９は、ＩａａＳプロバイダに所有および／または操作され得る。

コントロールプレーンＶＣＮ５１６は、境界ネットワーク（たとえば、企業のイントラネットと外部ネットワークとの間の企業ネットワークの一部）として機能するコントロールプレーンＤＭＺ（Ｄｅｍｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）ティア５２０を含み得る。ＤＭＺベースのサーバの仕事には制限があり得、セキュリティ侵害を抑えるのに役立ち得る。これに加えて、ＤＭＺティア５２０は、１つ以上のＬＢ（ロードバランサ）サブネット（複数可）５２２を含み得、コントロールプレーンアプリティア（Ａｐｐ Ｔｉｅｒ）５２４は、アプリサブネット（複数可）５２６を含み得、コントロールプレーンデータティア５２８は、ＤＢ（データベース）サブネット（複数可）５３０を含み得る（たとえば、フロントエンドＤＢサブネット（複数可）および／またはバックエンドＤＢサブネット（複数可））。コントロールプレーンＤＭＺティア５２０に含まれるＬＢサブネット（複数可）５２２は、コントロールプレーンアプリティア５２４に含まれるアプリサブネット（複数可）５２６と、コントロールプレーンＶＣＮ５１６に含まれ得るインターネットゲートウェイ５３４とに通信可能に連結でき、アプリサブネット（複数可）５２６は、コントロールプレーンデータティア５２８に含まれるＤＢサブネット（複数可）５３０と、サービスゲートウェイ５３６およびＮＡＴ（ネットワークアドレス変換）ゲートウェイ５３８とに通信可能に連結できる。コントロールプレーンＶＣＮ５１６は、サービスゲートウェイ５３６と、ＮＡＴゲートウェイ５３８とを含み得る。

コントロールプレーンＶＣＮ５１６は、データプレーンミラーアプリティア５４０を含み得る。データプレーンミラーアプリティア５４０は、アプリサブネット（複数可）５２６を含み得る。データプレーンミラーアプリティア５４０に含まれるアプリサブネット（複数可）５２６は、ＶＮＩＣ（仮想ネットワークインターフェイスコントローラ）５４２を含み得る。ＶＮＩＣ５４２は、コンピューティングインスタンス５４４を実行できる。コンピューティングインスタンス５４４は、データプレーンミラーアプリティア５４０のアプリサブネット（複数可）５２６をアプリサブネット（複数可）５２６に通信可能に連結できる。アプリサブネット５２６は、データプレーンアプリティア５４６に含まれ得る。

データプレーンＶＣＮ５１８は、データプレーンアプリティア５４６と、データプレーンＤＭＺティア５４８と、データプレーンデータティア５５０とを含み得る。データプレーンＤＭＺティア５４８は、ＬＢサブネット（複数可）５２２を含み得る。ＬＢサブネット５２２は、データプレーンアプリティア５４６のアプリサブネット（複数可）５２６と、データプレーンＶＣＮ５１８のインターネットゲートウェイ５３４とに通信可能に連結できる。アプリサブネット（複数可）５２６は、データプレーンＶＣＮ５１８のサービスゲートウェイ５３６およびデータプレーンＶＣＮ５１８のＮＡＴゲートウェイ５３８に通信可能に連結され得る。また、データプレーンデータティア５５０は、ＤＢサブネット（複数可）５３０も備える。ＤＢサブネット５３０は、データプレーンアプリティア５４６のアプリサブネット（複数可）５２６に通信可能に連結できる。

コントロールプレーンＶＣＮ５１６のインターネットゲートウェイ５３４およびデータプレーンＶＣＮ５１８のインターネットゲートウェイ５３４は、メタデータ管理サービス５５２に通信可能に連結できる。メタデータ管理サービス５５２は、パブリックインターネット５５４に通信可能に連結できる。パブリックインターネット５５４は、コントロールプレーンＶＣＮ５１６のＮＡＴゲートウェイ５３８およびデータプレーンＶＣＮ５１８のＮＡＴゲートウェイ５３８に通信可能に連結できる。コントロールプレーンＶＣＮ５１６のサービスゲートウェイ５３６およびデータプレーンＶＣＮ５１８のサービスゲートウェイ５３６は、クラウドサービス５５６に通信可能に連結できる。

いくつかの例では、コントロールプレーンＶＣＮ５１６のサービスゲートウェイ５３６またはデータプレーンＶＣＮ５１８のサービスゲートウェイ５３６は、パブリックインターネット５５４を通過せずにクラウドサービス５５６にＡＰＩ（アプリケーションプログラミングインターフェイス）呼び出しを行うことができる。サービスゲートウェイ５３６からクラウドサービス５５６へのＡＰＩ呼び出しは、一方通行であり得る。すなわち、サービスゲートウェイ５３６はクラウドサービス５５６にＡＰＩ呼び出しを行うことができ、クラウドサービス５５６はサービスゲートウェイ５３６に要求されたデータを送信できる。しかし、クラウドサービス５５６は、サービスゲートウェイ５３６に対するＡＰＩ呼び出しを開始しないであろう。

いくつかの例では、本来であれば隔離されているであろうサービステナンシ５１９に、セキュアなホストテナンシ５０４を直接接続できる。セキュアなホストサブネット５０８は、ＬＰＧ５１０を通じてＳＳＨサブネット５１４と通信できる。ＬＰＧ５１０は、さもなければ隔離されているシステムを通した双方向通信を可能にし得る。セキュアなホストサブネット５０８をＳＳＨサブネット５１４に接続することにより、セキュアなホストサブネット５０８には、サービステナンシ５１９内のその他のエンティティへのアクセスが与えられ得る。

コントロールプレーンＶＣＮ５１６により、サービステナンシ５１９のユーザは、所望のリソースを設置またはプロビジョニングできるようになり得る。コントロールプレーンＶＣＮ５１６においてプロビジョニングされた所望のリソースは、データプレーンＶＣＮ５１８においてデプロイまたは使用され得る。いくつかの例では、データプレーンＶＣＮ５１８からコントロールプレーンＶＣＮ５１６を隔離でき、コントロールプレーンＶＣＮ５１６のデータプレーンミラーアプリティア５４０は、データプレーンミラーアプリティア５４０に含まれ得るＶＮＩＣ５４２およびデータプレーンアプリティア５４６に含まれ得るＶＮＩＣ５４２を介して、データプレーンＶＣＮ５１８のデータプレーンアプリティア５４６と通信できる。

いくつかの例では、システムのユーザ、または顧客は、パブリックインターネット５５４を通して要求を行うことができる、たとえば、ＣＲＵＤ（生成、読み取り、更新、および削除）操作を行うことができる。パブリックインターネット５５４は、メタデータ管理サービス５５２に要求を通信できる。メタデータ管理サービス５５２は、インターネットゲートウェイ５３４を通してコントロールプレーンＶＣＮ５１６に要求を通信できる。要求は、コントロールプレーンＤＭＺティア５２０に含まれるＬＢサブネット（複数可）５２２によって受信され得る。ＬＢサブネット（複数可）５２２は、有効な要求であると判断し得、この判断に応じて、ＬＢサブネット（複数可）５２２は、コントロールプレーンアプリティア５２４に含まれるアプリサブネット（複数可）５２６に要求を送信できる。要求が検証され、パブリックインターネット５５４への呼び出しを必要とする場合、パブリックインターネット５５４への呼び出しは、パブリックインターネット５５４への呼び出しを行うことができるＮＡＴゲートウェイ５３８に送信され得る。格納されるのが望ましいと要求によって求められているメモリを、ＤＢサブネット（複数可）５３０に格納できる。

いくつかの例では、データプレーンミラーアプリティア５４０は、コントロールプレーンＶＣＮ５１６とデータプレーンＶＣＮ５１８との直接通信を容易にできる。たとえば、構成に対する変更、更新、またはその他の適した修正を、データプレーンＶＣＮ５１８に含まれるリソースに適用することが望まれる場合がある。ＶＮＩＣ５４２を介して、コントロールプレーンＶＣＮ５１６は、データプレーンＶＣＮ５１８に含まれるリソースに直接通信することにより、当該リソースに対する構成に対してこれらの変更、更新、またはその他の適した修正を行うことができる。

いくつかの実施の形態では、コントロールプレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８をサービステナンシ５１９に含めることができる。この場合、ユーザまたはシステムの顧客は、コントロールプレーンＶＣＮ５１６もデータプレーンＶＣＮ５１８も所有または操作しなくてもよい。その代わりに、ＩａａＳプロバイダは、サービステナンシ５１９に含まれ得るコントロールプレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８の両方を所有または操作し得る。本実施の形態によって、ネットワークの隔離が可能になり、ユーザまたは顧客がその他のユーザのリソースまたはその他の顧客のリソースとやり取りさせないようにする。また、本実施の形態によって、ユーザまたはシステムの顧客は、希望するレベルのストレージセキュリティではない可能性のあるパブリックインターネット５５４に頼る必要なく、データベースを内密に格納できるようになる。

その他の実施の形態では、コントロールプレーンＶＣＮ５１６に含まれるＬＢサブネット（複数可）５２２を、サービスゲートウェイ５３６からの信号を受信するように構成できる。本実施の形態では、コントロールプレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８は、ＩａａＳプロバイダの顧客によって、パブリックインターネット５５４を呼び出すことなく呼び出されるように構成され得る。パブリックインターネット５５４から隔離されて、顧客が利用するデータベース（複数可）がＩａａＳプロバイダによって制御され得、サービステナンシ５１９に格納され得るので、ＩａａＳプロバイダの顧客は、本実施の形態を望むであろう。

図６は、少なくとも１つの実施の形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図６００である。サービスオペレータ６０２（たとえば、図５のサービスオペレータ８０２）は、セキュアなホストテナンシ６０４（たとえば、図５のセキュアなホストテナンシ８０４）に通信可能に連結できる。セキュアなホストテナンシ６０４は、ＶＣＮ（仮想クラウドネットワーク）６０６（たとえば、図５のＶＣＮ５０６）と、セキュアなホストサブネット６０８（たとえば、図５のセキュアなホストサブネット５０８）とを備えることができる。ＶＣＮ６０６は、ＬＰＧ（ローカルピアリングゲートウェイ）６１０（たとえば、図５のＬＰＧ５１０）を備えることができる。ＬＰＧ６１０は、ＳＳＨ ＶＣＮ６１２に含まれるＬＰＧ５１０を介してＳＳＨ（セキュアシェル）ＶＣＮ６１２（たとえば、図５のＳＳＨ ＶＣＮ５１２）に通信可能に連結できる。ＳＳＨ ＶＣＮ６１２は、ＳＳＨサブネット６１４（たとえば、図５のＳＳＨサブネット５１４）を備えることができ、ＳＳＨ ＶＣＮ６１２は、コントロールプレーンＶＣＮ６１６に含まれるＬＰＧ６１０を介してコントロールプレーンＶＣＮ６１６（たとえば、図５のコントロールプレーンＶＣＮ５１６）に通信可能に連結できる。コントロールプレーンＶＣＮ６１６は、サービステナンシ６１９（たとえば、図５のサービステナンシ５１９）に含めることができ、データプレーンＶＣＮ６１８（たとえば、図５のデータプレーンＶＣＮ５１８）は、ユーザまたはシステムの顧客が所有または操作し得る顧客テナンシ６２１に含めることができる。

コントロールプレーンＶＣＮ６１６は、ＬＢサブネット（複数可）６２２（たとえば、図５のＬＢサブネット（複数可）８２２）を含み得るコントロールプレーンＤＭＺティア６２０（たとえば、図５のコントロールプレーンＤＭＺティア８２０）と、アプリサブネット（複数可）６２６（たとえば、図５のアプリサブネット（複数可）８２６）を含み得るコントロールプレーンアプリティア６２４（たとえば、図５のコントロールプレーンアプリティア８２４）と、（たとえば、図５のＤＢサブネット（複数可）８３０と同様の）ＤＢ（データベース）サブネット（複数可）６３０を含み得るコントロールプレーンデータティア６２８（たとえば、図５のコントロールプレーンデータティア８２８）とを備えることができる。コントロールプレーンＤＭＺティア６２０に含まれるＬＢサブネット（複数可）６２２は、コントロールプレーンアプリティア６２４に含まれるアプリサブネット（複数可）６２６と、コントロールプレーンＶＣＮ６１６に含めることができるインターネットゲートウェイ６３４（たとえば、図５のインターネットゲートウェイ８３４）とに通信可能に連結でき、アプリサブネット（複数可）６２６は、コントロールプレーンデータティア６２８に含まれるＤＢサブネット（複数可）６３０と、サービスゲートウェイ６３６（たとえば、図５のサービスゲートウェイ）と、ＮＡＴ（ネットワークアドレス変換）ゲートウェイ６３８（たとえば、図５のＮＡＴゲートウェイ８３８）とに通信可能に連結できる。コントロールプレーンＶＣＮ６１６は、サービスゲートウェイ６３６と、ＮＡＴゲートウェイ６３８とを備えることができる。

コントロールプレーンＶＣＮ６１６は、データプレーンミラーアプリティア６４０（たとえば、図５のデータプレーンミラーアプリティア８４０）を備えることができる。データプレーンミラーアプリティア６４０は、アプリサブネット（複数可）６２６を備えることができる。データプレーンミラーアプリティア６４０に含まれるアプリサブネット（複数可）６２６は、コンピューティングインスタンス６４４を実行できる（たとえば、図５のコンピューティングインスタンス５４４と同様の）ＶＮＩＣ（仮想ネットワークインターフェイスコントローラ）６４２（たとえば、５４２のＶＮＩＣ）を備えることができる。コンピューティングインスタンス６４４は、データプレーンミラーアプリティア６４０のアプリサブネット（複数可）６２６と、データプレーンアプリティア６４６（たとえば、図５のデータプレーンアプリティア５４６）に含めることができるアプリサブネット（複数可）６２６との、データプレーンミラーアプリティア６４０に含まれるＶＮＩＣ６４２およびデータプレーンアプリティア６４６に含まれるＶＮＩＣ６４２を介した通信を容易にできる。

コントロールプレーンＶＣＮ６１６に含まれるインターネットゲートウェイ６３４は、メタデータ管理サービス６５２（たとえば、図５のメタデータ管理サービス５５２）に通信可能に連結できる。メタデータ管理サービス６５２は、パブリックインターネット６５４（たとえば、図５のパブリックインターネット５５４）に通信可能に連結できる。パブリックインターネット６５４は、コントロールプレーンＶＣＮ６１６に含まれるＮＡＴゲートウェイ６３８に通信可能に連結できる。コントロールプレーンＶＣＮ６１６に含まれるサービスゲートウェイ６３６は、クラウドサービス６５６（たとえば、図５のクラウドサービス５５６）に通信可能に連結できる。

いくつかの例では、データプレーンＶＣＮ６１８は、顧客テナンシ６２１に含めることができる。この場合、ＩａａＳプロバイダは、顧客ごとにコントロールプレーンＶＣＮ６１６を提供してもよく、ＩａａＳプロバイダは、顧客ごとに、サービステナンシ６１９に含まれる一意のコンピューティングインスタンス６４４を設置してもよい。各コンピューティングインスタンス６４４は、サービステナンシ６１９に含まれるコントロールプレーンＶＣＮ６１６と、顧客テナンシ６２１に含まれるデータプレーンＶＣＮ６１８との通信を可能にし得る。コンピューティングインスタンス６４４によって、サービステナンシ６１９に含まれるコントロールプレーンＶＣＮ６１６においてプロビジョニングされるリソースを、顧客テナンシ６２１に含まれるデータプレーンＶＣＮ６１８においてデプロイまたは使用できるようになる。

その他の例では、ＩａａＳプロバイダの顧客は、顧客テナンシ６２１に収められているデータベースを有してもよい。この例では、コントロールプレーンＶＣＮ６１６は、アプリサブネット（複数可）６２６を備えることができるデータプレーンミラーアプリティア６４０を備えることができる。データプレーンミラーアプリティア６４０は、データプレーンＶＣＮ６１８に存在できるが、データプレーンミラーアプリティア６４０は、データプレーンＶＣＮ６１８に収められていなくてもよい。すなわち、データプレーンミラーアプリティア６４０は、顧客テナンシ６２１へのアクセスを有してもよいが、データプレーンミラーアプリティア６４０は、データプレーンＶＣＮ６１８に存在していなくてもよく、または、ＩａａＳプロバイダの顧客によって所有または操作されなくてもよい。データプレーンミラーアプリティア６４０は、データプレーンＶＣＮ６１８を呼び出すように構成されていればよく、コントロールプレーンＶＣＮ６１６に含まれるエンティティを呼び出すように構成されなくてもよい。顧客は、コントロールプレーンＶＣＮ６１６にプロビジョニングされたデータプレーンＶＣＮ６１８にあるリソースをデプロイまたは使用することを望み得、データプレーンミラーアプリティア６４０は、顧客がリソースを所望にデプロイまたは利用することを容易にできる。

いくつかの実施の形態では、ＩａａＳプロバイダの顧客は、データプレーンＶＣＮ６１８にフィルタを適用できる。本実施の形態では、顧客は、どのデータプレーンＶＣＮ６１８にアクセスできるかを決定でき、顧客は、データプレーンＶＣＮ６１８からパブリックインターネット６５４へのアクセスを制限し得る。ＩａａＳプロバイダは、任意の外部ネットワークまたはデータベースへのデータプレーンＶＣＮ６１８のアクセスにフィルタを適用できなくてもよく、または制御できなくてもよい。顧客テナンシ６２１に含まれるデータプレーンＶＣＮ６１８に顧客がフィルタを適用することおよび制御することで、データプレーンＶＣＮ６１８をその他の顧客およびパブリックインターネット６５４から隔離するのに役立てることができる。

いくつかの実施の形態では、パブリックインターネット６５４、コントロールプレーンＶＣＮ６１６、またはデータプレーンＶＣＮ６１８上に存在しない可能性のあるサービスにアクセスするために、サービスゲートウェイ６３６によってクラウドサービス６５６を呼び出すことができる。クラウドサービス６５６とコントロールプレーンＶＣＮ６１６またはデータプレーンＶＣＮ６１８との接続は、繋がっていなかったり、継続していなかったりしてもよい。クラウドサービス６５６は、ＩａａＳプロバイダが所有または操作する異なるネットワーク上に存在していてもよい。クラウドサービス６５６は、サービスゲートウェイ６３６からの呼び出しを受信するように構成されてもよく、パブリックインターネット６５４からの呼び出しを受信しないように構成され得る。クラウドサービス６５６は、その他のクラウドサービス６５６から隔離されていてもよく、コントロールプレーンＶＣＮ６１６は、コントロールプレーンＶＣＮ６１６と同じリージョンにないクラウドサービス６５６から隔離されていてもよい。たとえば、コントロールプレーンＶＣＮ６１６が「リージョン１」に位置し、クラウドサービス「デプロイメント５」が、リージョン１および「リージョン２」に位置してもよい。リージョン１に位置するコントロールプレーンＶＣＮ６１６に含まれるサービスゲートウェイ６３６によってデプロイメント５の呼び出しが行われた場合、この呼び出しは、リージョン１にあるデプロイメント５に送信され得る。この例では、コントロールプレーンＶＣＮ６１６、またはリージョン１にあるデプロイメント５は、リージョン２にあるデプロイメント５に通信可能に連結または通信していなくてもよい。

図７は、少なくとも１つの実施の形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図７００である。サービスオペレータ７０２（たとえば、図５のサービスオペレータ５０２）は、セキュアなホストテナンシ７０４（たとえば、図５のセキュアなホストテナンシ５０４）に通信可能に連結できる。セキュアなホストテナンシ７０４は、ＶＣＮ（仮想クラウドネットワーク）７０６（たとえば、図５のＶＣＮ５０６）と、セキュアなホストサブネット７０８（たとえば、図５のセキュアなホストサブネット５０８）とを備えることができる。ＶＣＮ７０６は、ＳＳＨ ＶＣＮ７１２に含まれるＬＰＧ７１０を介してＳＳＨ ＶＣＮ７１２（たとえば、図５のＳＳＨ ＶＣＮ５１２）に通信可能に連結できるＬＰＧ７１０（たとえば、図５のＬＰＧ５１０）を備えることができる。ＳＳＨ ＶＣＮ７１２は、ＳＳＨサブネット７１４（たとえば、図５のＳＳＨサブネット５１４）を備えることができ、ＳＳＨ ＶＣＮ７１２は、コントロールプレーンＶＣＮ７１６に含まれるＬＰＧ７１０を介してコントロールプレーンＶＣＮ７１６（たとえば、図５のコントロールプレーンＶＣＮ５１６）に通信可能に連結でき、データプレーンＶＣＮ７１８に含まれるＬＰＧ７１０を介してデータプレーンＶＣＮ７１８（たとえば、図５のデータプレーン５１８）に通信可能に連結できる。コントロールプレーンＶＣＮ７１６およびデータプレーンＶＣＮ７１８は、サービステナンシ７１９（たとえば、図５のサービステナンシ５１９）に含めることができる。

コントロールプレーンＶＣＮ７１６は、ＬＢ（ロードバランサ）サブネット（複数可）７２２（たとえば、図５のＬＢサブネット（複数可）５２２）を含めることができるコントロールプレーンＤＭＺティア７２０（たとえば、図５のコントロールプレーンＤＭＺティア５２０）と、（たとえば、図５のアプリサブネット（複数可）５２６と同様の）アプリサブネット（複数可）７２６を含めることができるコントロールプレーンアプリティア７２４（たとえば、図５のコントロールプレーンアプリティア５２４）と、ＤＢサブネット（複数可）７３０を含めることができるコントロールプレーンデータティア７２８（たとえば、図５のコントロールプレーンデータティア５２８）とを備えることができる。コントロールプレーンＤＭＺティア７２０に含まれるＬＢサブネット（複数可）７２２は、コントロールプレーンアプリティア７２４に含まれるアプリサブネット（複数可）７２６と通信可能に連結でき、コントロールプレーンＶＣＮ７１６に含めることができるインターネットゲートウェイ７３４（たとえば、図５のインターネットゲートウェイ５３４）と通信可能に連結でき、アプリサブネット（複数可）７２６は、コントロールプレーンデータティア７２８に含まれるＤＢサブネット（複数可）７３０と通信可能に連結でき、サービスゲートウェイ７３６（たとえば、図５のサービスゲートウェイ）およびＮＡＴ（ネットワークアドレス変換）ゲートウェイ７３８（たとえば、図５のＮＡＴゲートウェイ５３８）と通信可能に連結できる。コントロールプレーンＶＣＮ７１６は、サービスゲートウェイ７３６およびＮＡＴゲートウェイ７３８を備えることができる。

データプレーンＶＣＮ７１８は、データプレーンアプリティア７４６（たとえば、図５のデータプレーンアプリティア５４６）と、データプレーンＤＭＺティア７４８（たとえば、図５のデータプレーンＤＭＺティア５４８）と、データプレーンデータティア７５０（たとえば、図５のデータプレーンデータティア５５０）とを備えることができる。データプレーンＤＭＺティア７４８は、ＬＢサブネット（複数可）７２２を備えることができる。ＬＢサブネット７２２は、データプレーンアプリティア７４６の信頼できるアプリサブネット（複数可）７６０および信頼できないアプリサブネット（複数可）７６２に通信可能に連結でき、データプレーンＶＣＮ７１８に含まれるインターネットゲートウェイ７３４に通信可能に連結できる。信頼できるアプリサブネット（複数可）７６０は、データプレーンＶＣＮ７１８に含まれるサービスゲートウェイ７３６と、データプレーンＶＣＮ７１８に含まれるＮＡＴゲートウェイ７３８と、データプレーンデータティア７５０に含まれるＤＢサブネット（複数可）７３０とに通信可能に連結できる。信頼できないアプリサブネット（複数可）７６２は、データプレーンＶＣＮ７１８に含まれるサービスゲートウェイ７３６と、データプレーンデータティア７５０に含まれるＤＢサブネット（複数可）７３０に通信可能に連結できる。データプレーンデータティア７５０は、ＤＢサブネット（複数可）７３０を含み得る。ＤＢサブネット７３０は、データプレーンＶＣＮ７１８に含まれるサービスゲートウェイ７３６に通信可能に連結できる。

信頼できないアプリサブネット（複数可）７６２は、１つ以上の主要ＶＮＩＣ７６４（１）～（Ｎ）を備えることができる。ＶＮＩＣ７６４（１）～（Ｎ）は、テナントＶＭ（仮想マシン）７６６（１）～（Ｎ）に通信可能に連結できる。各テナントＶＭ７６６（１）～（Ｎ）は、各アプリサブネット７６７（１）～（Ｎ）に通信可能に連結できる。アプリサブネット７６７（１）～（Ｎ）は、それぞれのコンテナエグレスＶＣＮ７６８（１）～（Ｎ）に含めることができる。コンテナエグレスＶＣＮ７６８（１）～（Ｎ）は、それぞれの顧客テナンシ７７０（１）～（Ｎ）に含めることができる。それぞれの補助ＶＮＩＣ７７２（１）～（Ｎ）は、データプレーンＶＣＮ７１８に含まれる信頼できないアプリサブネット（複数可）７６２とコンテナエグレスＶＣＮ７６８（１）～（Ｎ）に含まれるアプリサブネットとの通信を容易にできる。各コンテナエグレスＶＣＮ７６８（１）～（Ｎ）は、パブリックインターネット７５４（たとえば、図５のパブリックインターネット５５４）に通信可能に連結できるＮＡＴゲートウェイ７３８を備えることができる。

コントロールプレーンＶＣＮ７１６に含まれるインターネットゲートウェイ７３４およびデータプレーンＶＣＮ７１８に含まれるインターネットゲートウェイ７３４は、メタデータ管理サービス７５２（たとえば、図５のメタデータ管理システム５５２）に通信可能に連結できる。メタデータ管理サービス７５２は、パブリックインターネット７５４に通信可能に連結できる。パブリックインターネット７５４は、コントロールプレーンＶＣＮ７１６に含まれるＮＡＴゲートウェイ７３８およびデータプレーンＶＣＮ７１８に含まれるＮＡＴゲートウェイ７３８に通信可能に連結できる。コントロールプレーンＶＣＮ７１６に含まれるサービスゲートウェイ７３６およびデータプレーンＶＣＮ７１８に含まれるサービスゲートウェイ７３６は、クラウドサービス７５６に通信可能に連結できる。

いくつかの実施の形態では、データプレーンＶＣＮ７１８を顧客テナンシ７７０と一体化することができる。この一体化は、コードを実行する場合にサポートを希望する場合など、場合によっては、ＩａａＳプロバイダの顧客にとって有用または望ましいであろう。顧客は、破壊的であるかもしれない実行用コードを提供する可能性があり、その他の顧客リソースと通信する可能性があり、または、望ましくない作用効果を生じさせる可能性がある。これに応じて、ＩａａＳプロバイダは、顧客がＩａａＳプロバイダに提供したコードを実行するかどうかを判断し得る。

いくつかの例では、ＩａａＳプロバイダの顧客は、ＩａａＳプロバイダに一時的なネットワークアクセスを付与して、データプレーンティアアプリ７４６にアタッチする機能を要求し得る。この機能を実行するためのコードは、ＶＭ７６６（１）～（Ｎ）において実行され得、コードは、データプレーンＶＣＮ７１８上のその他の場所で動作するように構成されなくてもよい。各ＶＭ７６６（１）～（Ｎ）は、１つの顧客テナンシ７７０に接続され得る。ＶＭ７６６（１）～（Ｎ）に含まれるそれぞれのコンテナ７７１（１）～（Ｎ）は、このコードを実行するように構成され得る。この場合、２つの隔離がある可能性がある（たとえば、信頼できないアプリサブネット（複数可）７６２に含まれる少なくともＶＭ７６６（１）～（Ｎ）に含まれ得るコンテナ７７１（１）～（Ｎ）がコードを実行している。）。隔離が２つあることで、誤ったコードもしくは望ましくないコードがＩａａＳプロバイダのネットワークに損害を与えないように、または、異なる顧客のネットワークに損害を与えないようにすることに役立つであろう。コンテナ７７１（１）～（Ｎ）は、顧客テナンシ７７０に通信可能に連結され得、顧客テナンシ７７０からデータを送信または受信するように構成され得る。コンテナ７７１（１）～（Ｎ）は、データプレーンＶＣＮ７１８にあるその他のエンティティからデータを送信または受信するように構成されなくてもよい。コードの実行が完了すると、ＩａａＳプロバイダは、コンテナ７７１（１）～（Ｎ）を強制終了または廃棄し得る。

いくつかの実施の形態では、信頼できるアプリサブネット（複数可）７６０は、ＩａａＳプロバイダが所有または操作し得るコードを実行し得る。本実施の形態では、信頼できるアプリサブネット（複数可）７６０は、ＤＢサブネット（複数可）７３０に通信可能に連結され得、ＤＢサブネット（複数可）７３０においてＣＲＵＤ操作を行うように構成され得る。信頼できないアプリサブネット（複数可）７６２は、ＤＢサブネット（複数可）７３０に通信可能に連結され得るが、本実施の形態では、信頼できないアプリサブネット（複数可）は、ＤＢサブネット（複数可）７３０において読み取り操作を行うように構成され得る。各顧客のＶＭ７６６（１）～（Ｎ）に含めることができ、顧客からのコードを実行し得るコンテナ７７１（１）～（Ｎ）は、ＤＢサブネット（複数可）７３０に通信可能に連結されなくてもよい。

その他の実施の形態では、コントロールプレーンＶＣＮ７１６とデータプレーンＶＣＮ７１８とは、直接通信可能に連結されなくてもよい。本実施の形態では、コントロールプレーンＶＣＮ７１６とデータプレーンＶＣＮ７１８との間に直接の通信がなくてもよい。しかしながら、通信は、少なくとも１つの方法を通して間接的に発生し得る。ＬＰＧ７１０は、コントロールプレーンＶＣＮ７１６とデータプレーンＶＣＮ７１８との通信を容易にできるＩａａＳプロバイダによって確立され得る。別の例では、コントロールプレーンＶＣＮ７１６またはデータプレーンＶＣＮ７１８は、サービスゲートウェイ７３６を経由してクラウドサービス７５６を呼び出すことができる。たとえば、コントロールプレーンＶＣＮ７１６からクラウドサービス７５６に対する呼び出しは、データプレーンＶＣＮ７１８と通信できるサービスを求める要求を含めることができる。

図８は、少なくとも１つの実施の形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図８００である。サービスオペレータ８０２（たとえば、図５のサービスオペレータ５０２）は、セキュアなホストテナンシ８０４（たとえば、図５のセキュアなホストテナンシ５０４）に通信可能に連結できる。セキュアなホストテナンシ８０４は、ＶＣＮ（仮想クラウドネットワーク）８０６（たとえば、図５のＶＣＮ５０６）と、セキュアなホストサブネット８０８（たとえば、図５のセキュアなホストサブネット５０８）とを備えることができる。ＶＣＮ８０６は、ＳＳＨ ＶＣＮ８１２に含まれるＬＰＧ８１０を介してＳＳＨ ＶＣＮ８１２（たとえば、図５のＳＳＨ ＶＣＮ５１２）に通信可能に連結できるＬＰＧ８１０（たとえば、図５のＬＰＧ５１０）を備えることができる。ＳＳＨ ＶＣＮ８１２は、ＳＳＨサブネット８１４（たとえば、図５のＳＳＨサブネット５１４）を備えることができ、ＳＳＨ ＶＣＮ８１２は、コントロールプレーンＶＣＮ８１６に含まれるＬＰＧ８１０を介してコントロールプレーンＶＣＮ８１６（たとえば、図５のコントロールプレーンＶＣＮ５１６）に通信可能に連結でき、データプレーンＶＣＮ８１８に含まれるＬＰＧ８１０を介してデータプレーンＶＣＮ８１８（たとえば、図５のデータプレーン５１８）に通信可能に連結できる。コントロールプレーンＶＣＮ８１６およびデータプレーンＶＣＮ８１８は、サービステナンシ８１９（たとえば、図５のサービステナンシ５１９）に含めることができる。

コントロールプレーンＶＣＮ８１６は、ＬＢサブネット（複数可）８２２（たとえば、図５のＬＢサブネット（複数可）５２２）を含めることができるコントロールプレーンＤＭＺティア８２０（たとえば、図５のコントロールプレーンＤＭＺティア５２０）と、アプリサブネット（複数可）８２６（たとえば、図５のアプリサブネット（複数可）５２６）を含めることができるコントロールプレーンアプリティア８２４（たとえば、図５のコントロールプレーンアプリティア５２４）と、ＤＢサブネット（複数可）８３０（たとえば、図１０のＤＢサブネット（複数可）１０３０）を含めることができるコントロールプレーンデータティア８２８（たとえば、図５のコントロールプレーンデータティア５２８）とを備えることができる。コントロールプレーンＤＭＺティア８２０に含まれるＬＢサブネット（複数可）８２２は、コントロールプレーンアプリティア８２４に含まれるアプリサブネット（複数可）８２６と通信可能に連結でき、コントロールプレーンＶＣＮ８１６に含めることができるインターネットゲートウェイ８３４（たとえば、図５のインターネットゲートウェイ５３４）と通信可能に連結でき、アプリサブネット（複数可）８２６は、コントロールプレーンデータティア８２８に含まれるＤＢサブネット（複数可）８３０と通信可能に連結でき、サービスゲートウェイ８３６（たとえば、図５のサービスゲートウェイ）およびＮＡＴ（ネットワークアドレス変換）ゲートウェイ８３８（たとえば、図５のＮＡＴゲートウェイ５３８）と通信可能に連結できる。コントロールプレーンＶＣＮ８１６は、サービスゲートウェイ８３６およびＮＡＴゲートウェイ８３８を備えることができる。

データプレーンＶＣＮ８１８は、データプレーンアプリティア８４６（たとえば、図５のデータプレーンアプリティア５４６）と、データプレーンＤＭＺティア８４８（たとえば、図５のデータプレーンＤＭＺティア５４８）と、データプレーンデータティア８５０（たとえば、図５のデータプレーンデータティア５５０）とを備えることができる。データプレーンＤＭＺティア８４８は、ＬＢサブネット（複数可）８２２を備えることができる。ＬＢサブネット８２２は、データプレーンアプリティア８４６の信頼できるアプリサブネット（複数可）８６０（たとえば、図１０の信頼できるアプリサブネット（複数可）１０６０）および信頼できないアプリサブネット（複数可）８６２（たとえば、図１０の信頼できないアプリサブネット（複数可）１０６２）に通信可能に連結でき、データプレーンＶＣＮ８１８に含まれるインターネットゲートウェイ８３４に通信可能に連結できる。信頼できるアプリサブネット（複数可）８６０は、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６と、データプレーンＶＣＮ８１８に含まれるＮＡＴゲートウェイ８３８と、データプレーンデータティア８５０に含まれるＤＢサブネット（複数可）８３０とに通信可能に連結できる。信頼できないアプリサブネット（複数可）８６２は、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６と、データプレーンデータティア８５０に含まれるＤＢサブネット（複数可）８３０とに通信可能に連結できる。データプレーンデータティア８５０は、ＤＢサブネット（複数可）８３０を含み得る。ＤＢサブネット８３０は、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６に通信可能に連結できる。

信頼できないアプリサブネット（複数可）８６２は、主要ＶＮＩＣ８６４（１）～（Ｎ）を備えることができる。ＶＮＩＣ８６４（１）～（Ｎ）は、信頼できないアプリサブネット（複数可）８６２に存在するテナントＶＭ（仮想マシン）８６６（１）～（Ｎ）に通信可能に連結できる。各テナントＶＭ８６６（１）～（Ｎ）は、それぞれのコンテナ８６７（１）～（Ｎ）においてコードを実行でき、アプリサブネット８２６に通信可能に連結できる。アプリサブネット８２６は、データプレーンアプリティア８４６に含めることができる。データプレーンアプリティア８４６は、コンテナエグレスＶＣＮ８６８に含めることができる。それぞれの補助ＶＮＩＣ８７２（１）～（Ｎ）は、データプレーンＶＣＮ８１８に含まれる信頼できないアプリサブネット（複数可）８６２とコンテナエグレスＶＣＮ８６８に含まれるアプリサブネットとの通信を容易にできる。コンテナエグレスＶＣＮ８６８は、パブリックインターネット８５４（たとえば、図５のパブリックインターネット５５４）に通信可能に連結できるＮＡＴゲートウェイ８３８を備えることができる。

コントロールプレーンＶＣＮ８１６に含まれるインターネットゲートウェイ８３４およびデータプレーンＶＣＮ８１８に含まれるインターネットゲートウェイ８３４は、メタデータ管理サービス８５２（たとえば、図５のメタデータ管理システム５５２）に通信可能に連結できる。メタデータ管理サービス８５２は、パブリックインターネット８５４に通信可能に連結できる。パブリックインターネット８５４は、コントロールプレーンＶＣＮ８１６に含まれるＮＡＴゲートウェイ８３８およびデータプレーンＶＣＮ８１８に含まれるＮＡＴゲートウェイ８３８に通信可能に連結できる。コントロールプレーンＶＣＮ８１６に含まれるサービスゲートウェイ８３６およびデータプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６は、クラウドサービス８５６に通信可能に連結できる。

いくつかの例では、図８のブロック図８００のアーキテクチャが示すパターンは、図７のブロック図７００のアーキテクチャが示すパターンに対する例外であると考えら得、ＩａａＳプロバイダが顧客と直接通信できない（たとえば、リージョンが切り離されている）場合、ＩａａＳプロバイダの顧客にとってブロック図８００のアーキテクチャが示すパターンは望ましいであろう。顧客ごとにＶＭ８６６（１）～（Ｎ）に含まれるそれぞれのコンテナ８６７（１）～（Ｎ）には、顧客はリアルタイムにアクセスできる。コンテナ８６７（１）～（Ｎ）は、コンテナエグレスＶＣＮ８６８に含めることができるデータプレーンアプリティア８４６のアプリサブネット（複数可）８２６に含まれるそれぞれの補助ＶＮＩＣ８７２（１）～（Ｎ）を呼び出すように構成され得る。補助ＶＮＩＣ８７２（１）～（Ｎ）は、ＮＡＴゲートウェイ８３８に呼び出しを送信できる。ＮＡＴゲートウェイ８３８は、当該呼び出しをパブリックインターネット８５４に送信し得る。この例では、顧客がリアルタイムでアクセスできるコンテナ８６７（１）～（Ｎ）をコントロールプレーンＶＣＮ８１６から隔離でき、データプレーンＶＣＮ８１８に含まれるその他のエンティティから隔離できる。また、コンテナ８６７（１）～（Ｎ）は、その他の顧客のリソースから隔離され得る。

その他の例では、顧客は、コンテナ８６７（１）～（Ｎ）を使用してクラウドサービス８５６を呼び出すことができる。この例では、顧客は、クラウドサービス８５６にサービスを要求するコードをコンテナ８６７（１）～（Ｎ）において実行し得る。コンテナ８６７（１）～（Ｎ）は、この要求を補助ＶＮＩＣ８７２（１）～（Ｎ）に送信できる。補助ＶＮＩＣ８７２（１）～（Ｎ）は、ＮＡＴゲートウェイに要求を送信できる。ＮＡＴゲートウェイは、パブリックインターネット８５４に要求を送信できる。パブリックインターネット８５４は、コントロールプレーンＶＣＮ８１６に含まれるＬＢサブネット（複数可）８２２にインターネットゲートウェイ８３４を介して要求を送信できる。要求が有効であると判断されたことに応答して、ＬＢサブネット（複数可）は、アプリサブネット（複数可）８２６に要求を送信できる。アプリサブネット（複数可）８２６は、サービスゲートウェイ８３６を介してクラウドサービス８５６に要求を送信できる。

図示したＩａａＳアーキテクチャ５００、６００、７００、８００が、図示された構成要素以外の構成要素を有し得ることを理解されたい。さらに、図示した実施の形態は、本開示の実施の形態を組み込み得るクラウドインフラストラクチャシステムのいくつかの例に過ぎない。いくつかのその他の実施の形態では、ＩａａＳシステムは、図示した構成要素よりも多い数の構成要素を有してもよく、図示した構成要素よりも少ない数の構成要素を有してもよく、２つ以上の構成要素を組み合わせてもよく、または構成要素の構成もしくは配置が異なっていてもよい。

特定の実施の形態では、ＩａａＳシステムは、アプリケーション一式、ミドルウェア、および、セルフサービスの、サブスクリプション方式で伸縮自在にスケーラブルであり信頼性があり、かつ高い可用性を有するセキュアな方法で顧客に届けられるデータベースサービス提供物を含み得る。このようなＩａａＳシステムの例として、本願の譲受人が提供するＯＣＩ（オラクル・クラウド・インフラストラクチャ）がある。

図９は、本開示の様々な実施の形態が実施され得るコンピュータシステム９００の例を示す図である。システム９００を使用して、上述したコンピュータシステムのいずれかを実現し得る。図に示すように、コンピュータシステム９００は、バス・サブシステム９０２を介していくつかの周辺サブシステムと通信する処理装置９０４を備える。これらの周辺サブシステムは、処理高速化装置９０６と、Ｉ／Ｏサブシステム９０８と、ストレージサブシステム９１８と、通信サブシステム９２４とを含んでもよい。ストレージサブシステム９１８は、有形のコンピュータ読み取り可能な記憶媒体９２２と、システムメモリ９１０とを含む。

バス・サブシステム９０２は、コンピュータシステム９００の様々な構成要素およびサブシステムを互いに意図した通りに通信させるためのメカニズムを提供する。バス・サブシステム９０２は、１つのバスとして図示されているが、バス・サブシステムの別の実施の形態は、複数のバスを利用してもよい。バス・サブシステム９０２は、各種のバスアーキテクチャを使用するメモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含むいくつかの種類のバス構造のうちのいずれかであり得る。たとえば、このようなアーキテクチャは、ＩＳＡ（Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＭＣＡ（Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＥＩＳＡ（Ｅｎｈａｎｃｅｄ ＩＳＡ）バス、ＶＥＳＡ（Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ）ローカルバス、およびＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バスを含んでもよく、これらは、ＩＥＥＥ Ｐ１３８６．１標準規格に準拠して製造されるＭｅｚｚａｎｉｎｅバスとして実現され得る。

１つ以上の集積回路（たとえば、従来のマイクロプロセッサまたはマイクロコントローラ）として実現され得る処理装置９０４は、コンピュータシステム９００の動作を制御する。処理装置９０４には、１つ以上のプロセッサが含まれてもよい。これらのプロセッサは、シングルコアプロセッサまたはマルチコアプロセッサを含んでもよい。特定の実施の形態では、処理装置９０４は、シングルコアプロセッサまたはマルチコアプロセッサを各々が含んだ１つ以上の独立した処理装置９３２および／または９３４として実現され得る。また、その他の実施の形態では、処理装置９０４は、２つのデュアルコアプロセッサを１つのチップに組み込むことによって形成されるクアッドコア処理装置として実現され得る。

様々な実施の形態では、処理装置９０４は、プログラムコードに応答していろいろなプログラムを実行でき、複数の同時に実行しているプログラムまたはプロセスを維持することができる。いつでも、実行されるプログラムコードの一部またはすべては、プロセッサ（複数可）９０４に、および／またはストレージサブシステム９１８に存在し得る。適したプログラミングによって、プロセッサ（複数可）９０４は、上述した様々な機能を提供できる。コンピュータシステム９００は、処理高速化装置９０６をさらに備えてもよい。処理高速化装置９０６は、ＤＳＰ（デジタル・シグナル・プロセッサ）および／または専用プロセッサなどを含み得る。

Ｉ／Ｏサブシステム９０８は、ユーザインターフェイス入力装置と、ユーザインターフェイス出力装置とを含み得る。ユーザインターフェイス入力装置は、キーボード、マウスもしくはトラックボールなどのポインティングデバイス、タッチパッドもしくはディスプレイに組み込まれたタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、ボイスコマンド認識システムを有する音声入力装置、マイクロホン、および他の種類の入力装置を含み得る。また、ユーザインターフェイス入力装置は、たとえば、ジェスチャコマンドおよび音声コマンドを用いた自然なユーザインターフェイスによってユーザがＭｉｃｒｏｓｏｆｔ Ｘｂｏｘ（登録商標）３６０ゲームコントローラなどの入力装置を制御およびそれとやり取りすることを可能にするＭｉｃｒｏｓｏｆｔ Ｋｉｎｅｃｔ（登録商標）モーションセンサなどの動き検知デバイスおよび／またはジェスチャ認識デバイスを含み得る。また、ユーザインターフェイス入力装置は、ユーザの目の活動（たとえば、写真を撮影しているおよび／またはメニュー選択を行っている間の「まばたき」）を検出し、目の仕草（ｅｙｅ ｇｅｓｔｕｒｅ）を変換して入力装置（たとえば、Ｇｏｏｇｌｅ Ｇｌａｓｓ（登録商標））への入力とするＧｏｏｇｌｅ Ｇｌａｓｓ（登録商標）まばたき検出装置などのアイジェスチャ認識デバイスを含み得る。これに加えて、ユーザインターフェイス入力装置は、ユーザがボイスコマンドによって音声認識システム（たとえば、Ｓｉｒｉ（登録商標）ナビゲータ）とやり取りすることを可能にする音声認識検知デバイスを含み得る。

また、ユーザインターフェイス入力装置は、３Ｄ（３次元）マウス、ジョイスティックもしくはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびに、スピーカ、デジタルカメラ、デジタルカムコーダー、ポータブルメディアプレーヤ、ウェブカム、イメージスキャナ、指紋スキャナ、バーコードリーダー３Ｄスキャナ、３Ｄプリンタ、レーザー測距器、および視線追跡装置などのオーディオ／ビジュアル装置を含むが、これに限定されない。これに加えて、ユーザインターフェイス入力装置は、たとえば、コンピュータ断層撮影法、磁気共鳴画像、陽電子放出断層撮影装置、超音波検査デバイスなど、医用画像入力装置を含み得る。また、ユーザインターフェイス入力装置は、たとえば、ＭＩＤＩキーボード、デジタル楽器などのオーディオ入力装置を含み得る。

ユーザインターフェイス出力装置は、表示サブシステム、インジケーターライト、または音声出力装置などの非視覚的表示装置などを含み得る。表示サブシステムは、ＣＲＴ（ブラウン管）、ＬＣＤ（液晶ディスプレイ）またはプラズマディスプレイを使用するものなどのフラットパネル表示装置、投影装置、タッチスクリーンなどであり得る。一般に、「出力装置」という用語の使用は、コンピュータシステム９００からユーザまたは他のコンピュータに情報を出力するためのあらゆる種類のデバイスおよびメカニズムを含むことを意図する。たとえば、ユーザインターフェイス出力装置は、モニタ、プリンタ、スピーカ、ヘッドホン、自動車ナビゲーションシステム、作図装置、音声出力装置、およびモデムなど、文字、図形、および音声／映像情報を視覚的に伝えるいろいろな表示装置を含み得るが、これらに限定されない。

コンピュータシステム９００は、システムメモリ９１０内に現在位置していると図示されているソフトウェア要素を含むストレージサブシステム９１８から構成され得る。システムメモリ９１０は、処理装置９０４上でロード可能かつ実行可能なプログラム命令、およびこれらのプログラムの実行中に生成されるデータを格納してもよい。

コンピュータシステム９００の構成および種類によっては、システムメモリ９１０は、揮発性メモリであってもよく（ＲＡＭ（ランダムアクセスメモリ）など）、および／または不揮発性メモリ（ＲＯＭ（読み出し専用メモリ）、フラッシュメモリなど）であり得る。ＲＡＭは、通常、処理装置９０４がすぐにアクセスできる、ならびに／または現在操作および実行しているデータおよび／もしくはプログラムモジュールを含む。いくつかの実装形態において、システムメモリ９１０は、ＳＲＡＭ（スタティックＲＡＭ）またはＤＲＡＭ（ダイナミックＲＡＭ）など、複数の異なる種類のメモリを含み得る。いくつかの実装形態において、起動中などで、コンピュータシステム９００内の要素間で情報を転送することを助ける基本ルーチンを含むＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）は、通常、ＲＯＭに格納され得る。また、一例として、システムメモリ９１０は、クライアントアプリケーション、ウェブブラウザ、ミッドティア・アプリケーション、ＲＤＢＭＳ（リレーショナルデータベース管理システム）などを含み得るアプリケーションプログラム９１２と、プログラムデータ９１４と、オペレーティングシステム９１６とを含む。一例として、オペレーティングシステム９１６は、様々なバージョンのＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ａｐｐｌｅ Ｍａｃｉｎｔｏｓｈ（登録商標）、および／もしくはＬｉｎｕｘオペレーティングシステム、いろいろな市販のＵＮＩＸ（登録商標）もしくはＵＮＩＸに似たオペレーティングシステム（いろいろなＧＮＵ／Ｌｉｎｕｘオペレーティングシステム、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅ（登録商標）ＯＳなどを含むが、これに限定されない）、ならびに／またはｉＯＳ、Ｗｉｎｄｏｗｓ（登録商標）Ｐｈｏｎｅ、Ａｎｄｒｏｉｄ（登録商標）ＯＳ、ＢｌａｃｋＢｅｒｒｙ（登録商標）９ＯＳ、およびＰａｌｍ（登録商標）ＯＳオペレーティングシステムなど、モバイルオペレーティングシステムを含み得る。

また、ストレージサブシステム９１８は、いくつかの実施の形態の機能を提供する基本プログラミング構成およびデータ構成を格納するための有形のコンピュータ読み取り可能な記憶媒体を提供し得る。プロセッサによって実行されると上述の機能を提供するソフトウェア（プログラム、コードモジュール、命令）がストレージサブシステム９１８に格納され得る。これらのソフトウェアモジュールまたは命令は、処理装置９０４によって実行され得る。また、ストレージサブシステム９１８は、本開示に従って使用されるデータを格納するためのリポジトリを提供し得る。

また、ストレージサブシステム９００は、コンピュータ読み取り可能な記憶媒体９２２にさらに接続され得るコンピュータ読み取り可能な記憶媒体リーダー９２０を含み得る。システムメモリ９１０と合わせて、必要に応じてシステムメモリ９１０と組み合わせて、コンピュータ読み取り可能な記憶媒体９２２は、遠隔の記憶装置、ローカル記憶装置、固定記憶装置、および／またはリムーバブル記憶装置、ならびにコンピュータ読み取り可能な情報を一時的におよび／またはさらに永続して含み、格納し、送信し、および取り出すための記憶媒体を包括的に表してもよい。

コードまたはコードの一部を含んだコンピュータ読み取り可能な記憶媒体９２２は、情報の格納および／または伝送のための任意の方法および技術で実現される揮発性媒体および不揮発性媒体、取り外し可能な媒体および固定型媒体などの記憶媒体および通信媒体を含む、当技術分野で知られているまたは使われている任意の適切な媒体も含み得るが、これらに限定されない。これは、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｏｎｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、フラッシュメモリ、もしくは他のメモリテクノロジー、ＣＤ－ＲＯＭ、ＤＶＤ（デジタル多目的ディスク）、もしくは他の光記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、もしくは他の磁気記憶装置などの有形のコンピュータ読み取り可能な記憶媒体、またはその他の有形のコンピュータ読み取り可能な媒体を含み得る。これは、データ信号、データ伝送など無形のコンピュータ読み取り可能な媒体、または所望の情報を伝送するために使用され得るその他の媒体、およびコンピューティングシステム９００によってアクセスされ得るその他の媒体なども含み得る。

一例として、コンピュータ読み取り可能な記憶媒体９２２は、固定型不揮発性磁気媒体から読み出しまたは書き込みを行うハードディスクドライブ、取外し可能な不揮発性磁気ディスクから読み出しまたは書き込みを行う磁気ディスクドライブ、ならびに、ＣＤ ＲＯＭ、ＤＶＤ、およびＢｌｕ－Ｒａｙ（登録商標）ディスクなどの取外し可能な不揮発性光ディスクもしくは他の光学媒体から読み出しまたは書き込みを行う光ディスクドライブを含んでもよい。コンピュータ読み取り可能な記憶媒体９２２は、Ｚｉｐ（登録商標）ドライブ、フラッシュメモリーカード、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）フラッシュドライブ、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）カード、ＤＶＤディスク、デジタルビデオテープなどを含み得るが、これに限定されない。また、コンピュータ読み取り可能な記憶媒体９２２は、フラッシュメモリベースのＳＳＤ（Ｓｏｌｉｄ－Ｓｔａｔｅ Ｄｒｉｖｅｓ）、エンタープライズフラッシュドライブ、ソリッドステートＲＯＭなど、不揮発性メモリに基づくＳＳＤ（Ｓｏｌｉｄ－Ｓｔａｔｅ Ｄｒｉｖｅｓ）と、ソリッドステートＲＡＭ、動的ＲＡＭ、静的ＲＡＭ、ＤＲＡＭベースのＳＳＤなど、揮発性メモリに基づくＳＳＤと、ＭＲＡＭ（Ｍａｇｎｅｔｏｒｅｓｉｓｔｉｖｅ ＲＡＭ）ＳＳＤと、ＤＲＡＭとフラッシュメモリとの組合せベースのＳＳＤを使用するハイブリッドＳＳＤとを含んでもよい。これらのディスクドライブおよびそれらの関連するコンピュータ読み取り可能な媒体は、コンピュータ読み取り可能な命令、データ構造、プログラムモジュール、およびその他のコンピュータシステム９００用データの不揮発性ストレージを提供し得る。

通信サブシステム９２４は、他のコンピュータシステムおよびネットワークへのインターフェイスを提供する。通信サブシステム９２４は、コンピュータシステム９００からデータを受信し、コンピュータシステム９００から他のシステムにデータを送信するためのインターフェイスとして機能する。たとえば、通信サブシステム９２４は、コンピュータシステム９００がインターネットを介して１つ以上のデバイスに接続することを可能にし得る。いくつかの実施の形態では、通信サブシステム９２４は、（たとえば、携帯電話技術、３Ｇ、４Ｇ、もしくはＥＤＧＥ（Ｅｎｈａｎｃｅｄ Ｄａｔａ Ｒａｔｅｓ Ｆｏｒ Ｇｌｏｂａｌ Ｅｖｏｌｕｔｉｏｎ）などの次世代データネットワークテクノロジー、ＷｉＦｉ（ＩＥＥＥ８０２．２８ファミリー標準規格）、他の移動体通信技術、またはそれらの任意の組合せを使用する）ワイヤレス音声ネットワークもしくは／またはデータネットワークにアクセスするためのＲＦ（Ｒａｄｉｏ Ｆｒｅｑｕｅｎｃｙ）トランシーバコンポーネント、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）レシーバコンポーネント、および／または他の構成要素を含み得る。いくつかの実施の形態では、通信サブシステム９２４は、ワイヤレスインターフェイスに加えて、またはワイヤレスインターフェイスの代わりに、有線ネットワーク接続性（たとえば、Ｅｔｈｅｒｎｅｔ）を提供できる。

いくつかの実施の形態では、通信サブシステム９２４は、コンピュータシステム９００を利用し得る１人以上のユーザに代わって、構造化データフィードおよび／または非構造化データフィード９２６、イベントストリーム９２８、イベント更新９３０などの形で入力通信文を受信し得る。

一例として、通信サブシステム９２４は、Ｔｗｉｔｔｅｒ（登録商標）フィード、Ｆａｃｅｂｏｏｋ（登録商標）の更新、ＲＳＳ（Ｒｉｃｈ Ｓｉｔｅ Ｓｕｍｍａｒｙ）フィードなどのｗｅｂフィード、および／もしくは１つ以上のサードパーティ情報ソースからのリアルタイム更新など、ソーシャルネットワークならびに／または他のコミュニケーションサービスのユーザからデータフィード９２６をリアルタイムで受信するように構成され得る。

また、これに加えて、通信サブシステム９２４は、連続したデータストリームの形でデータを受信するように構成されてもよく、連続したデータストリームは、本質的にはっきりとした終端がない、連続または無限の、リアルタイムイベントおよび／またはイベント更新９３０のイベントストリーム９２８を含んでもよい。連続データを生成するアプリケーションとして、たとえば、センサーデータアプリケーション、チッカー、ネットワークパフォーマンス測定ツール（たとえば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム解析ツール、自動車交通量監視などが挙げられ得る。

また、通信サブシステム９２４は、コンピュータシステム９００に連結された１つ以上のストリーミングデータソースコンピュータと通信中であり得る１つ以上のデータベースに、構造化データフィードおよび／または非構造化データフィード９２６、イベントストリーム９２８、イベント更新９３０などを出力するように構成され得る。

コンピュータシステム９００は、手のひらサイズのポータブルデバイス（たとえば、ＩＰｈｏｎｅ（登録商標）携帯電話、ＩＰａｄ（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブルデバイス（たとえば、Ｇｏｏｇｌｅ Ｇｌａｓｓ（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバーラック、またはその他のデータ処理システムを含む、様々な種類のうちの１つであり得る。

変わり続けるというコンピュータおよびネットワークの性質のため、図に示すコンピュータシステム９００の説明は、具体例にすぎない。図に示すシステムよりも多いまたは少ない数の構成要素を有する多くの他の構成が可能である。たとえば、カスタマイズされたハードウェアが使用されてもよく、および／または、ハードウェア、ファームウェア、ソフトウェア（アプレットを含む）、もしくはそれらの組合せで特定の要素が実現され得る。さらに、ネットワーク入出力装置など、他のコンピューティングデバイスへの接続が採用され得る。本明細書に記載の開示および教示に基づいて、当業者であれば、様々な実施の形態を実現するための他のやり方および／または方法が分かるであろう。

具体的な実施の形態を説明したが、様々な変更例、代替例、代替的な構成、および均等物も本開示の範囲内に包含される。実施の形態は、ある特定のデータ処理環境内の動作に制限されず、複数のデータ処理環境内で自由に動作することができる。これに加えて、特定の一続きのトランザクションおよびステップを使用して実施の形態を説明したが、本開示の範囲は、記載の一続きのトランザクションおよびステップに限られないことは、当業者に明らかであるはずである。上述の実施の形態の様々な特徴および態様は、個々に、または共同で使用され得る。

さらに、ハードウェアとソフトウェアとの特定の組合せを用いて実施の形態を説明したが、ハードウェアとソフトウェアとの他の組合せも、本開示の範囲内であることを認識されたい。実施の形態は、ハードウェアのみ、もしくは、ソフトウェアのみで実現されてもよく、またはそれらの組合せを用いて実現され得る。本明細書に記載の様々なプロセスは、同じプロセッサまたは任意の組合せのそれぞれ異なるプロセッサ上で実現できる。よって、コンポーネントまたはモジュールが特定の動作を実行するように構成されると説明されている箇所では、このような構成は、たとえば、この動作を実行するように電子回路を設計することによって、この動作を実行するようにプログラム可能な電子回路（マイクロプロセッサなど）をプログラムすることによって、またはそれらの任意の組合せによって達成できる。プロセスは、プロセス間通信のための従来技術を含む、いろいろな技術を使用して通信できるが、これに限定されず、それぞれ異なるペアプロセスは、異なる技術を使用してもよく、プロセスの同じペアは、異なる技術を別々のタイミングで使用し得る。

明細書および図面は、厳密ではなく一例にすぎないと適宜みなされるべきである。しかしながら、添付の特許請求の範囲に記載された広義の趣旨および範囲から逸脱することなく、追加したり、減らしたり、削除したり、他の変更ならびに変形をそれらに対して行ってもよいことは明白であろう。したがって、具体的な本開示の実施の形態を説明したが、これらは限定ではない。様々な変更例および均等物も、添付の特許請求の範囲に含まれる。

開示した実施の形態を説明する文脈（特に、添付の特許請求の範囲での文脈）における「ａ」、「ａｎ」および「ｔｈｅ」という用語、ならびに同様の指示対象の用語の使用は、矛盾のない限り、単数および複数の両方を含むと解釈されるべきである。「ｃｏｍｐｒｉｓｉｎｇ」、「ｈａｖｉｎｇ」、「ｉｎｃｌｕｄｉｎｇ」、および「ｃｏｎｔａｉｎｉｎｇ」という用語は、特に記されていない限り、非限定的な用語であると解釈されるべきである（すなわち、「ｉｎｃｌｕｄｉｎｇ，ｂｕｔ ｎｏｔ ｌｉｍｉｔｅｄ ｔｏ（これらを含むが、これらに限定されない）」ことを意味する）。「ｃｏｎｎｅｃｔｅｄ」という用語は、何かが介在している場合であっても、一部または全体が含まれている、取り付けられている、つなぎ合わされていると解釈されるべきである。本明細書において値を範囲で記載していることは、本明細書に特に示されていない限り、その範囲内の個別の各値を個々に参照することを省く手段に過ぎず、個別の各値は、個々に記載されているかの如く明細書に含まれる。本明細書に記載の方法は、すべて、矛盾のない限り、任意の適切な順序で実行できる。本明細書に設けた如何なる例、または例示的な言い回し（たとえば、「ｓｕｃｈ ａｓ」）は、実施の形態をより鮮明にするために過ぎず、特にクレームされていない限り、本開示の範囲を限定しない。本明細書におけるすべての言い回しは、クレームされていない要素が本開示を実施するために必須な要素であることを示す言い回しである、と解釈されるべきでない。

「Ｘ、Ｙ、またはＺのうち少なくとも１つ」というフレーズなど、選言的な言い回しは、特に具体的に明示されていない限り、項目や用語などが、Ｘ、Ｙ、もしくはＺのいずれか、または任意のそれらの組合せ（たとえば、Ｘ、Ｙ、および／またはＺ）であり得ることを提示するために一般的に使われる範囲内の言い回しであると理解されたい。よって、このような選言的な言い回しは、通常、Ｘのうち少なくとも１つ、Ｙのうち少なくとも１つ、またはＺのうち少なくとも１つを特定の実施の形態が提示する必要があると、意味する意図はなく、そのように提示する必要はない。

本開示を実施するために最良であると知られている実施の形態を含む本開示の好ましい実施の形態について、本明細書において説明している。当業者には、上記の説明を読むと、これらの好ましい実施の形態の変形例が明らかになるであろう。当業者であれば、このような変形例を適宜用いることができるはずであり、本開示は、本明細書に具体的に説明した以外の方法で実施され得る。したがって、本開示は、適用法によって認められている本明細書に添付の特許請求の範囲に記載の主題の変更例および均等物のすべてを含む。また、それらの想定される変形例における上述した要素の任意の組合せも、本明細書に特に示されていない限り、本開示に含まれる。

本明細書において引用する刊行物、特許出願文書、および特許文書を含むすべての参考文献は、各参考文献が個々に具体的に引用により本明細書に援用されると示されてその全体が本明細書に記載された場合と同程度に引用により本明細書に援用する。

上記の明細書において、本開示の態様について、その具体的な実施の形態を参照しながら説明したが、当業者であれば本開示がこれに限定されないことが分かるだろう。上述した開示のさまざまな特徴および態様は、個々または共同で用いられ得る。さらに、実施の形態は、本明細書のより広義の趣旨および範囲から逸脱することなく、本明細書において記載した環境およびアプリケーションの数よりも多い任意の数の環境およびアプリケーションにおいて利用され得る。したがって、明細書および添付の図面は、限定ではなく例示とみなされるべきである。

Claims (20)

1. 方法であって、
   セキュリティアーキテクチャの対応システムが、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、
   前記問題を入力として取る前記対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論することとを含み、前記グローバルモデルは、前記セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含み、前記方法は、さらに、
   前記問題を入力として取る前記対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論することを含み、前記ローカルモデルは、前記ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含み、前記方法は、さらに、
   前記対応システムが、基準を用いて前記第１対応および前記第２対応を評価することを含み、前記基準は、（１）前記第１対応および前記第２対応の各々に対応付けられた信頼スコアと、（２）前記グローバルモデルおよび前記ローカルモデルの各々に対応付けられた重みとを含み、前記方法は、さらに、
   前記対応システムが、前記第１対応および前記第２対応の前記評価に基づいて、前記問題に対する最終対応を決定することと、
   前記対応システムが、前記最終対応に基づいて、対応部のセットの中から対応部を選択することとを含み、前記対応部は、前記問題に対応するために１つ以上の措置を講じるように適合される、方法。
2. 前記対応部を選択する前に、前記対応システムを用いて前記最終対応の正解率を評価することをさらに含み、前記正解率は、前記最終対応と、前記問題に対して前記ユーザが好むであろうグラウンドトゥルース対応との比較に基づいて評価され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致した場合、前記最終対応の前記正解率は容認できると判断され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致しない場合、前記正解率は容認できないと判断され、
   前記方法は、さらに、前記正解率が容認できないと判断されたことに応じて、
   前記問題のラベルを生成することを含み、前記ラベルは、前記グラウンドトゥルース対応を含み、
   前記方法は、さらに、前記正解率が容認できないと判断されたことに応じて、
   前記グラウンドトゥルースと前記問題とを含む前記ラベルをローカルデータストアに格納することと、
   前記最終対応ではなく前記グラウンドトゥルースに基づいて、前記対応部のセットの中から前記対応部を選択することとを含み、
   前記方法は、さらに、前記正解率が容認できると判断されたことに応じて、
   前記問題のラベルを生成することを含み、前記ラベルは、前記最終対応を含み、
   前記方法は、さらに、前記正解率が容認できると判断されたことに応じて、
   前記最終対応と前記問題とを含む前記ラベルを前記ローカルデータストアおよび前記グローバルデータストアに格納することと、
   前記最終対応に基づいて、前記対応部のセットの中から前記対応部を選択することとを含む、請求項１に記載の方法。
3. 前記正解率が容認できないと判断されたことに応じて、
   前記グラウンドトゥルースと問題とを含む前記ラベルを、管理者による評価のために全体的なデータストアに格納するまたはデータキューに入れることと、
   前記グラウンドトゥルースと前記問題とを含む前記ラベルについて何ら措置を講じないという対応、または前記グラウンドトゥルースと前記問題とを含む前記ラベルを用いて前記グローバルモデルを訓練するという対応のいずれかを前記管理者から受けることと、
   対応が何ら措置を講じないという対応であることに応じて、前記データストアまたは前記データキューから前記グラウンドトゥルースと前記問題とを含む前記ラベルを削除することと、
   前記対応が前記グローバルモデルを訓練するという対応であることに応じて、前記グラウンドトゥルースと前記問題とを含む前記ラベルを前記グローバルリポジトリに格納することとをさらに含む、請求項２に記載の方法。
4. 前記最終対応と前記問題とを含む前記ラベルを含む、前記グローバルリポジトリからのグローバル訓練データで前記グローバルモデルを訓練することと、
   前記最終対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することとをさらに含む、請求項２に記載の方法。
5. 前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することをさらに含む、請求項２に記載の方法。
6. 前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記グローバルリポジトリからのグローバル訓練データで前記グローバルモデルを訓練することと、
   前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することとをさらに含む、請求項３に記載の方法。
7. 前記対応システムが、前記問題に応じるために前記１つ以上の措置を講じることをさらに含む、請求項１に記載の方法。
8. １つ以上のプロセッサによって実行可能な複数の命令を記憶した非一時的なコンピュータ読み取り可能なメモリであって、前記複数の命令は、前記１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに処理を実行させる命令を含み、前記処理は、
   セキュリティアーキテクチャの対応システムが、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、
   前記問題を入力として取る前記対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論することとを含み、前記グローバルモデルは、前記セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含み、前記処理は、さらに、
   前記問題を入力として取る前記対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論することを含み、前記ローカルモデルは、前記ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含み、前記処理は、さらに、
   前記対応システムが、基準を用いて前記第１対応および前記第２対応を評価することを含み、前記基準は、（１）前記第１対応および前記第２対応の各々に対応付けられた信頼スコアと、（２）前記グローバルモデルおよび前記ローカルモデルの各々に対応付けられた重みとを含み、前記処理は、さらに、
   前記対応システムが、前記第１対応および前記第２対応の前記評価に基づいて、前記問題に対する最終対応を決定することと、
   前記対応システムが、前記最終対応に基づいて、対応部のセットの中から対応部を選択することとを含み、前記対応部は、前記問題に対応するために１つ以上の措置を講じるように適合される、非一時的なコンピュータ読み取り可能なメモリ。
9. 前記処理は、さらに、
   前記対応部を選択する前に、前記対応システムを用いて前記最終対応の正解率を評価することを含み、前記正解率は、前記最終対応と、前記問題に対して前記ユーザが好むであろうグラウンドトゥルース対応との比較に基づいて評価され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致した場合、前記最終対応の前記正解率は容認できると判断され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致しない場合、前記正解率は容認できないと判断され、
   前記処理は、さらに、前記正解率が容認できないと判断されたことに応じて、
   前記問題のラベルを生成することを含み、前記ラベルは、前記グラウンドトゥルース対応を含み、
   前記処理は、さらに、前記正解率が容認できないと判断されたことに応じて、
   前記グラウンドトゥルースと前記問題とを含む前記ラベルをローカルデータストアに格納することと、
   前記最終対応ではなく前記グラウンドトゥルースに基づいて、前記対応部のセットの中から前記対応部を選択することとを含み、
   前記処理は、さらに、前記正解率が容認できると判断されたことに応じて、
   前記問題のラベルを生成することを含み、前記ラベルは、前記最終対応を含み、
   前記処理は、さらに、前記正解率が容認できると判断されたことに応じて、
   前記最終対応と前記問題とを含む前記ラベルを前記ローカルデータストアおよび前記グローバルデータストアに格納することと、
   前記最終対応に基づいて、前記対応部のセットの中から前記対応部を選択することとを含む、請求項８に記載の非一時的なコンピュータ読み取り可能なメモリ。
10. 前記処理は、さらに、
    前記正解率が容認できないと判断されたことに応じて、
    前記グラウンドトゥルースと問題とを含む前記ラベルを、管理者による評価のために一般的なデータストアに格納するまたはデータキューに入れることと、
    前記グラウンドトゥルースと前記問題とを含む前記ラベルについて何ら措置を講じないという対応、または前記グラウンドトゥルースと前記問題とを含む前記ラベルを用いて前記グローバルモデルを訓練するという対応のいずれかを前記管理者から受けることと、
    対応が何ら措置を講じないという対応であることに応じて、前記データストアまたは前記データキューから前記グラウンドトゥルースと前記問題とを含む前記ラベルを削除することと、
    前記対応が前記グローバルモデルを訓練するという対応であることに応じて、前記グラウンドトゥルースと前記問題とを含む前記ラベルを前記グローバルリポジトリに格納することとを含む、請求項９に記載の非一時的なコンピュータ読み取り可能なメモリ。
11. 前記処理は、さらに、
    前記最終対応と前記問題とを含む前記ラベルを含む、前記グローバルリポジトリからのグローバル訓練データで前記グローバルモデルを訓練することと、
    前記最終対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することを含む、請求項９に記載の非一時的なコンピュータ読み取り可能なメモリ。
12. 前記処理は、さらに、
    前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することを含む、請求項９に記載の非一時的なコンピュータ読み取り可能なメモリ。
13. 前記処理は、さらに、
    前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記グローバルリポジトリからのグローバル訓練データで前記グローバルモデルを訓練することと、
    前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することとを含む、請求項１０に記載の非一時的なコンピュータ読み取り可能なメモリ。
14. 前記処理は、さらに、
    前記対応システムが、前記問題に応じるために前記１つ以上の措置を講じることを含む、請求項８に記載の非一時的なコンピュータ読み取り可能なメモリ。
15. システムであって、
    １つ以上のプロセッサと、
    前記１つ以上のプロセッサに連結されたメモリとを備え、前記メモリは、前記１つ以上のプロセッサによって実行可能な複数の命令を記憶し、前記複数の命令は、前記１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに処理を実行させる命令を含み、前記処理は、
    セキュリティアーキテクチャの対応システムが、ユーザに関連するエミッターからの信号内で検出された問題を取得することと、
    前記問題を入力として取る前記対応システムの一部として実装されるグローバルモデルを用いて、第１対応を推論することとを含み、前記グローバルモデルは、前記セキュリティアーキテクチャを利用してすべてのユーザの嗜好についての問題と対応とのマッピングから大域的に学習された大域的モデルパラメータセットを含み、前記処理は、さらに、
    前記問題を入力として取る前記対応システムの一部として実装されるローカルモデルを用いて、第２対応を推論することを含み、前記ローカルモデルは、前記ユーザの嗜好についての問題と対応とのマッピングから局所的に学習された局所的モデルパラメータセットを含み、前記処理は、さらに、
    前記対応システムが、基準を用いて前記第１対応および前記第２対応を評価することを含み、前記基準は、（１）前記第１対応および前記第２対応の各々に対応付けられた信頼スコアと、（２）前記グローバルモデルおよび前記ローカルモデルの各々に対応付けられた重みとを含み、前記処理は、さらに、
    前記対応システムが、前記第１対応および前記第２対応の前記評価に基づいて、前記問題に対する最終対応を決定することと、
    前記対応システムが、前記最終対応に基づいて、対応部のセットの中から対応部を選択することとを含み、前記対応部は、前記問題に対応するために１つ以上の措置を講じるように適合される、システム。
16. 前記処理は、さらに、
    前記対応部を選択する前に、前記対応システムを用いて前記最終対応の正解率を評価することを含み、前記正解率は、前記最終対応と、前記問題に対して前記ユーザが好むであろうグラウンドトゥルース対応との比較に基づいて評価され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致した場合、前記最終対応の前記正解率は容認できると判断され、前記比較に基づいて前記最終対応が前記グラウンドトゥルース対応と一致しない場合、前記正解率は容認できないと判断され、
    前記処理は、さらに、前記正解率が容認できないと判断されたことに応じて、
    前記問題のラベルを生成することを含み、前記ラベルは、前記グラウンドトゥルース対応を含み、
    前記処理は、さらに、前記正解率が容認できないと判断されたことに応じて、
    前記グラウンドトゥルースと前記問題とを含む前記ラベルをローカルデータストアに格納することと、
    前記最終対応ではなく前記グラウンドトゥルースに基づいて、前記対応部のセットの中から前記対応部を選択することとを含み、
    前記処理は、さらに、前記正解率が容認できると判断されたことに応じて、
    前記問題のラベルを生成することを含み、前記ラベルは、前記最終対応を含み、
    前記処理は、さらに、前記正解率が容認できると判断されたことに応じて、
    前記最終対応と前記問題とを含む前記ラベルを前記ローカルデータストアおよび前記グローバルデータストアに格納することと、
    前記最終対応に基づいて、前記対応部のセットの中から前記対応部を選択することとを含む、請求項１５に記載の非一時的なコンピュータ読み取り可能なメモリ。
17. 前記処理は、さらに、
    前記正解率が容認できないと判断されたことに応じて、
    前記グラウンドトゥルースと問題とを含む前記ラベルを、管理者による評価のために一般的なデータストアに格納するまたはデータキューに入れることと、
    前記グラウンドトゥルースと前記問題とを含む前記ラベルについて何ら措置を講じないという対応、または前記グラウンドトゥルースと前記問題とを含む前記ラベルを用いて前記グローバルモデルを訓練するという対応のいずれかを前記管理者から受けることと、
    対応が何ら措置を講じないという対応であることに応じて、前記データストアまたは前記データキューから前記グラウンドトゥルースと前記問題とを含む前記ラベルを削除することと、
    前記対応が前記グローバルモデルを訓練するという対応であることに応じて、前記グラウンドトゥルースと前記問題とを含む前記ラベルを前記グローバルリポジトリに格納することとを含む、請求項１６に記載の非一時的なコンピュータ読み取り可能なメモリ。
18. 前記処理は、さらに、
    前記最終対応と前記問題とを含む前記ラベルを含む、前記グローバルリポジトリからのグローバル訓練データで前記グローバルモデルを訓練することと、
    前記最終対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することを含む、請求項１６に記載の非一時的なコンピュータ読み取り可能なメモリ。
19. 前記処理は、さらに、
    前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することを含む、請求項１６に記載の非一時的なコンピュータ読み取り可能なメモリ。
20. 前記処理は、さらに、
    前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記グローバルリポジトリからのグローバル訓練データで前記グローバルモデルを訓練することと、
    前記グラウンドトゥルース対応と前記問題とを含む前記ラベルを含む、前記ローカルリポジトリからのローカル訓練データで前記ローカルモデルを訓練することとを含む、請求項１７に記載の非一時的なコンピュータ読み取り可能なメモリ。

Images