JP7338697B2 - 推論装置、推論方法、及びプログラム - Google Patents

Description

本発明は、観測された事象に推論知識を適用して仮説を導出するための、推論装置及び推論方法に関し、更には、これを実現するためのプログラムに関する。

例えば、サイバーセキュリティの分野では、コンピュータシステムにおいて何らかの事象が観測されたときに、観測された事象が、サイバー攻撃によるものかどうかを判断する必要がある。このような判断を行うための手法としては、仮説推論が最も有望である。

仮説推論は、論理式で与えられた推論知識（ルール）と観測された事象（観測事象）とから、妥当な仮説を導くことである。従って、上述の例であれば、コンピュータシステムについて予め用意されているルールに、観測事象を適用して仮説を導けば、サイバー攻撃があったかどうかを簡単に判断できる。

また、導かれる仮説が単一ではなく、複数である場合があるが、この場合において最良の仮説を特定する手法としては、重み付き仮説推論がある（例えば、非特許文献１参照）。重み付き仮説推論では、各ルールに対して重みが割り当てられ、更に各観測事象にはコストが割り当てられる。そして、重み付きのルールと、コスト付きの観測事象とに対して、後ろ向き推論が行われて仮説候補が生成され、加えて、単一化操作によって各仮説候補のコストが計算される。また、生成された仮説候補のうち、コストが小さい仮説候補ほど、良い仮説とされる。

ここで具体例を挙げて、仮説推論について説明する。例えば、下記に示すようなルールが存在しているとする。また、下記に示すルールにおいて、左項における数値が重みである。
ｓｔｅｐＡ（ｍ）：１．６⇒ｓｔｅｐＸ（ｍ）
ｓｔｅｐＸ（ｍ）：１．６⇒ｓｔｅｐＢ（ｍ）
ｓｔｅｐＢ（ｍ）：１．６⇒ｓｔｅｐＣ（ｍ）
ｓｔｅｐＣ（ｍ）：１．６⇒ｇｏａｌ（ｍ）
ｓｔｅｐＢ（ｍ）：１．２⇒ｓｔｅｐＹ（ｍ）
ｓｔｅｐＹ（ｍ）：１．２⇒ｓｔｅｐＡ（ｍ）
ｓｔｅｐＡ（ｍ）：１．２⇒ｓｔｅｐＣ（ｍ）

そして、下記に示す観測事象（以下「観測」と表記する）が与えられたとする。下記に示す観測において数値は、コストである。
ｓｔｅｐＡ（Ｍ）：１００∧ｓｔｅｐＢ（Ｍ）：１００∧ｇｏａｌ（Ｍ）：１００

上述の場合、仮説候補としては、「ｓｔｅｐＢ（Ｍ）→ｓｔｅｐＹ（Ｍ）→ｓｔｅｐＡ（Ｍ）→ｓｔｅｐＣ（Ｍ）→ｇｏａｌ（Ｍ）」と、「ｓｔｅｐＡ（Ｍ）→ｓｔｅｐＸ（Ｍ）→ｓｔｅｐＢ（Ｍ）→ｓｔｅｐＣ（Ｍ）→ｇｏａｌ（Ｍ）」と、などが生成される。そして、重みが小さい程コストが小さくなることから、上記の仮説候補のうち、「ｓｔｅｐＢ（Ｍ）→ｓｔｅｐＹ（Ｍ）→ｓｔｅｐＡ（Ｍ）→ｓｔｅｐＣ（Ｍ）→ｇｏａｌ（Ｍ）」が良い仮説として選択されることになる。

J. R. Hobbs, M. Stickel, P. Martin, and D. Edwards, "Interpretation as abduction", Artificial Intelligence, Vol. 63, pp. 69-142, 1993.

ところで、上述した観測には記述されていないが、実際には、ｓｔｅｐＡ（Ｍ）がｓｔｅｐＢ（Ｍ）よりも時間的に先に発生しているとする。従って、このことを考慮すると、上記の仮説候補のうち、「ｓｔｅｐＢ（Ｍ）→ｓｔｅｐＹ（Ｍ）→ｓｔｅｐＡ（Ｍ）→ｓｔｅｐＣ（Ｍ）→ｇｏａｌ（Ｍ）」は間違っており、「ｓｔｅｐＡ（Ｍ）→ｓｔｅｐＸ（Ｍ）→ｓｔｅｐＢ（Ｍ）→ｓｔｅｐＣ（Ｍ）→ｇｏａｌ（Ｍ）」が選択されるべきである。

しかしながら、従来からの重み付き仮説推論には、観測の時間的な前後関係を、仮説候補に反映させる仕組みが存在していないことから、このような間違った選択を解消することは極めて困難となっている。

本発明の目的の一例は、上記問題を解消し、観測の時間的な前後関係を仮説候補に反映させ得る、推論装置、推論方法、及びプログラムを提供することにある。

上記目的を達成するため、本発明の一側面における推論装置は、
観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報を含む推論知識を適用して推論を行ない、前記観測論理式を導くことが可能な仮説候補を生成する、仮説候補生成部と、
前記時系列を表す情報に基づいて、生成された前記仮説候補が、時間的な矛盾を含むかどうか判定する、矛盾検査部と、
を備えている、ことを特徴とする。

また、上記目的を達成するため、本発明の一側面における推論方法は、
（ａ）観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報を含む推論知識を適用して推論を行ない、前記観測論理式を導くことが可能な仮説候補を生成する、ステップと、
（ｂ）前記時系列を表す情報に基づいて、生成された前記仮説候補が、時間的な矛盾を含むかどうか判定する、ステップと、
を有する、ことを特徴とする。

更に、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報を含む推論知識を適用して推論を行ない、前記観測論理式を導くことが可能な仮説候補を生成する、ステップと、
（ｂ）前記時系列を表す情報に基づいて、生成された前記仮説候補が、時間的な矛盾を含むかどうか判定する、ステップと、
を実行させる、ことを特徴とする。

以上のように、本発明によれば、観測の時間的な前後関係を仮説候補に反映させることができる。

図１は、実施の形態における推論装置の概略構成を示すブロック図である。 図２は、実施の形態における推論装置の構成を具体的に示すブロック図である。 図３は、実施の形態における仮説候補の生成処理の一例を示す図である。 図４は、実施の形態における推論装置の動作を示すフロー図である。 図５は、実施の形態で生成される仮説候補の具体例を示す図である。 図６は、実施の形態において画面に表示された仮説候補の一例を示す図である。 図７は、実施の形態における推論装置を実現するコンピュータの一例を示すブロック図である。

（実施の形態）
以下、実施の形態における推論装置、推論方法、及びプログラムについて、図１～図７を参照しながら説明する。

［装置構成］
最初に、図１を用いて、実施の形態における推論装置の概略構成について説明する。図１は、実施の形態における推論装置の概略構成を示すブロック図である。

図１に示す、実施の形態における推論装置１０は、観測された事象に推論知識を適用して仮説を導出するための装置である。図１に示すように、推論装置１０は、仮説候補生成部１１と、矛盾検査部１２とを備えている。

仮説候補生成部１１は、観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報（以下「時系列情報」と表記する）を含む推論知識を適用して推論を行ない、この観測論理式を導くことが可能な仮説候補を生成する。矛盾検査部１２は、時系列情報に基づいて、生成された仮説候補が、時間的な矛盾を含むかどうか判定する。

このように、時系列情報を含む推論知識が用いられ、仮説候補に時間的な矛盾が含まれるかどうかの判定が行われるので、推論装置１０によれば、観測の時間的な前後関係を仮説候補に反映させることができる。

続いて、図２及び図３を用いて、実施の形態における推論装置の構成についてより具体的に説明する。図２は、実施の形態における推論装置の構成を具体的に示すブロック図である。

図２に示すように、実施の形態では、推論装置１０は、仮説候補生成部１１及び矛盾検査部１２に加えて、出力部１３を備えている。出力部１３は、矛盾検査部１２による判定結果を出力する。また、図２に示すように、実施の形態では、推論装置１０は、記憶装置２０に接続されている。

記憶装置２０は、推論知識２１と、観測論理式２２とを格納している。また、図２の例では、記憶装置２０は、推論装置１０の外部にあり、推論装置１０とはネットワーク等を介して接続されているが、この例に限定されるものではない。記憶装置２０は、推論装置１０の一部として構築されていても良い。また、推論知識２１と、観測論理式２２とは、それぞれ別々の記憶装置に格納されていても良い。

推論知識２１は、従来と同様に、複数のルールを有している。但し、実施の形態においては、少なくとも１つのルールは、前件としての、特定の事象が起こったという状態を表す述語と、後件としての、前記特定の事象の次の事象が起こったという状態を表す述語と、更に、時系列を表す情報としての、時間的な前後関係を表す述語とを有する。

また、時間的な前後関係を表す述語として、実施の形態では、例えば、seq(m, n)が定義される。seq(m, n)は、「ｍの後はｎである」という時間的な前後関係を表している。更に、時間的な前後関係を満たすために、seq(m, n)には、以下の３つの制約が課されることになる。

推移律： seq(a, b) ∧seq(b, c)⇒seq(a, c)
非対称律：seq(a, b) ⇒￢seq (b, a)
非反射律：seq(a, a) ⇒⊥

従って、ルールとして、「stepS_i(m)∧ seq(m, n)⇒stepS_i+１(n)」（ただし、iは１以上３以下の自然数）および「stepS₃(m)⇒goal(n)」が存在し、観測としてgoal（s）が与えられた場合、仮説候補生成部１１は、例えば、図３に示す仮説候補を生成する。ここで、「stepS_i」はある特定の事象が起こった状態を表す述語であり、「goal」はクエリとなる述語である。図３は、実施の形態における仮説候補の生成処理の一例を示す図である。

矛盾検査部１２は、実施の形態では、時間的な前後関係を表す述語に基づいて、仮説候補生成部１１によって生成された仮説候補が、時間的な矛盾を含むかどうかを判定する。具体的には、矛盾検査部１２は、仮説候補が時間的な前後関係に矛盾する部分を含むかどうかを判定する。そして、矛盾検査部１２は、仮説候補生成部１１によって生成された仮説候補が時間的な矛盾を含むと判定した場合に、この仮説候補を排除する。

出力部１３は、実施の形態では、排除されなかった仮説候補のみを、例えば、表示装置に出力し、その画面上に、排除されなかった仮説候補を表示させる。また、出力部１３は、排除されなかった仮説候補を、外部の端末装置、外部のデータベース等に出力することもできる。

［装置動作］
次に、実施の形態における推論装置１０の動作について図４を用いて説明する。図４は、実施の形態における推論装置の動作を示すフロー図である。以下の説明においては、適宜図１～図３を参照する。また、実施の形態では、推論装置１０を動作させることによって、推論方法が実施される。よって、実施の形態における推論方法の説明は、以下の推論装置１０の動作説明に代える。

図４に示すように、最初に、仮説候補生成部１１は、記憶装置２０から、時系列情報を含む推論知識２１と観測論理式２２とを取得する（ステップＡ１）。次に、仮説候補生成部１１は、ステップＡ１で取得した観測論理式２２に、推論知識２１を適用して推論を行い、仮説候補を生成する（ステップＡ２）。

次に、矛盾検査部１２は、時系列情報に基づいて、ステップＡ２で生成された仮説候補毎に、それぞれが、時間的な矛盾を含むかどうか判定する（ステップＡ３）。次に、矛盾検査部１２は、ステップＡ３で時間的な矛盾を含むと判定した仮説候補を特定し、特定した仮説候補を排除する（ステップＡ４）。

その後、出力部１３は、ステップＡ４で排除されなかった仮説候補を、外部の表示装置、端末装置、データベース等に出力する（ステップＡ５）。

［具体例］
続いて、図５を用いて、図４に示した処理の具体例について説明する。図５は、実施の形態で生成される仮説候補の具体例を示す図である。

まず、仮説候補生成部１１は、記憶装置２０から、観測論理式２２として、「goal(M0):100, actA(M1):100, actB(M2):100, seq(M1, M2):1」を取得する。また、各論理式に付加されている値はコストである。仮説候補生成部１１は、記憶装置２０から、推論知識２１として、下記に示すルールの集合を取得する。

etc(n):0.2 ∧ actA(n):0.0 ⇒ stepA(n)
etc(n):0.2 ∧ actB(n):0.0 ⇒ stepB(n)
stepA(m):1.0 ∧ etc(n):0.4 ∧ actX(n):0.0 ∧ seq(m,n):0.0 ⇒ stepX(n)
stepB(m):1.0 ∧ etc(n):0.3 ∧ actY(n):0.0 ∧ seq(m,n):0.0 ⇒ stepY(n)
stepX(m):1.0 ∧ etc(n):0.4 ∧ actB(n):0.0 ∧ seq(m,n):0.0 ⇒ stepB(n)
stepY(m):1.0 ∧ etc(n):0.3 ∧ actA(n):0.0 ∧ seq(m,n):0.0 ⇒ stepA(n)
stepB(m):1.0 ∧ etc(n):0.4 ∧ actC(n):0.0 ∧ seq(m,n):0.0 ⇒ stepC(n)
stepA(m):1.0 ∧ etc(n):0.3 ∧ actC(n):0.0 ∧ seq(m,n):0.0 ⇒ stepC(n)
stepC(m):1.0 ⇒ goal(m)

なお、上記ルールにおいて、各リテラルに付加されている数値は重みである。「stepA」又は「stepB」などは、ステップA又はステップBという状態にあることを表す述語である。ここでステップとは、例えばサイバーキルチェーンの各構成要素（感染拡大や情報窃取など）などである。「etc」は、そのルールの起こりにくさ（重み付仮説推論の重みの役割）をつける目的のための述語である。「actB」や「actC」などは、ステップBまたはステップCに関連する痕跡を表す述語である。各述語の項m,nは、時刻のような一意に順序が決まるID（識別子）である。「goal」は、クエリとなる述語である。

次に、仮説候補生成部１１は、取得した観測論理式２２に、上記のルールを適用して推論を実行する。これにより、仮説候補生成部１１は、図５に示す仮説候補［１］（stepA（m3）→stepX(m2）→stepB(m1）→stepC(M0）→goal(M0））と仮説候補［２］（stepB(m3）→stepY(m2）→stepA(m1）→stepC(M0）→goal(M0））などを生成する。ここで「→」は、ステップ間の遷移を表すものとする。

上述の観測論理式におけるseq(M1, M2)から、Aの後にBが起こっているので、仮説候補［１］のみが生成されるのが好ましいが、仮説候補［２］も生成されてしまう。このため、矛盾検査部１２は、seq(M1, M2)に矛盾する仮説候補［２］を排除する。

具体的には、仮説候補［１］では、seq(m2, m1)とseq(m3, m2)に推移律を適用し、seq(m3, m1)が得られる。仮説候補［１］のactA(m3)とactB（m1）について、それぞれ観測actA(M1)とactB（M2）との単一化を行うと、m3=M1、m1=M2が得られる。このとき、seq(m3, m1)はseq(M1, M2)となり、観測seq(M1, M2)に矛盾しない。従って、矛盾検査部１２は、仮説候補［１］は矛盾しないと判断する。一方、仮説候補［２］では、seq(m2, m1)とseq(m3, m2)に推移律を適用し、seq(m3, m1)が得られる。仮説候補［２］のactA(m1)とactB（m3）について、それぞれ観測actA(M1)とactB（M2）との単一化を行うと、m1=M1、m3=M2が得られる。このとき、seq(m3, m1)はseq(M2, M1)となり、観測seq(M1, M2)に矛盾する。従って、矛盾検査部１２は、仮説候補［２］は矛盾すると判断する。このため、矛盾検査部１２は、上述したように、seq(M1, M2)に矛盾する仮説候補［２］を排除する。なお、単一化は、同一の述語を持つ２つのリテラルについて、互いの項が等価であるという仮説を置く操作である。

また、出力部１３は、例えば、図６に示すように、排除されなかった仮説候補を、表示装置の画面上に表示する。図６は、実施の形態において画面に表示された仮説候補の一例を示す図である。図６の例では、仮説候補は、step、etc、act、seqの関係を示すグラフによって表示されている。ユーザは、stepのノードを追うことで、事象が起きた順番を知ることができ、actのノードを確認することで、actの詳細を知ることができる。

［実施の形態における効果］
以上のように、実施の形態では、時系列情報を含む推論知識を用いて推論が行われるので、仮説候補の生成後に、時間的な矛盾を含む仮説候補を排除することができる。このため、本実施の形態における推論装置１０は、観測の時間的な前後関係を仮説候補に反映させることができる。

［変形例］
ここで、実施の形態における変形例について説明する。本変形例では、矛盾検査部１２は、仮説候補生成部１１によって生成された仮説候補に対して、その仮説候補が成立しない可能性を示す指標を付加し、更に、その仮説候補が時間的な矛盾を含むと判定した場合に、その仮説候補の指標の値を補正する。

例えば、上述の具体例において、観測論理式２２として、「goal(M0):100, actA(M1):100, actB(M2):100, seq(M1, M2):1, actY(M3):100」が取得されているとする。この場合、上述の具体例とは、「actY(M3):100」が追加されている点が異なっている。また、この場合においても、仮説候補生成部１１は、仮説候補として、図５に示す仮説候補［１］（stepA(m3）→stepX(m2）→stepB(m1）→stepC(M0）→goal(M0））と仮説候補［２］（stepB(m3）→stepY(m2）→stepA(m1）→stepC(M0）→goal(M0））などを生成する。

上記の例において、仮説候補［１］では、観測actA(M1)と観測actB(M2)との単一化を行っても、seq(M1, M2)には矛盾しないが、観測actY(M3)は、単一化できないので、コストはそのまま残る。一方、仮説候補［２］では、観測actA(M1)と観測actB(M2)との単一化を行うと、seq(M1,M2)に矛盾するが、actY(M3)を単一化できるので、その分コストを小さくできる。

このため、本変形例では、矛盾検査部１２は、仮説候補毎に、その仮説候補が成立しない可能性を示す指標として、仮説候補の生成時に算出されるコストを用い、このコスト（指標）を仮説候補に付加する。また、矛盾検査部１２は、その仮説候補が時間的な矛盾を含むと判定した場合は、その仮説候補についてペナルティを設定し、設定したペナルティを追加コストとして、先に算出されているコストに加算する。その後、出力部１３は、各仮説候補を、それにコストを付加した状態で、外部に出力する。

なお、最初のコストは、仮説候補生成部１１によって、ルールに付加されている重みと、観測論理式に付加されているコストとから算出する。また、ペナルティとしては、例えば、予め設定された値が用いられる。

以上のように、変形例では、観測（seq(M1,M2)）に適合した仮説になるか、矛盾した仮説になるかは、矛盾に対するペナルティとしてのコストの増加と、仮説の単一化等によるコストの減少とのトレードオフによって決定される。

［プログラム］
実施の形態におけるプログラムは、コンピュータに、図４に示すステップＡ１～Ａ５を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、実施の形態における推論装置１０と推論方法とを実現することができる。この場合、コンピュータのプロセッサは、仮説候補生成部１１、矛盾検査部１２、及び出力部１３として機能し、処理を行なう。

更に、実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、仮説候補生成部１１、矛盾検査部１２、及び出力部１３のいずれかとして機能しても良い。

また、記憶装置２０は、実施の形態におけるプログラムを実行するコンピュータに備えられたハードディスク等の記憶装置であっても良いし、このコンピュータとは別のコンピュータ上に備えられた記憶装置であっても良い。

ここで、実施の形態におけるプログラムを実行することによって、推論装置１０を実現するコンピュータについて図７を用いて説明する。図７は、実施の形態における推論装置を実現するコンピュータの一例を示すブロック図である。

図７に示すように、コンピュータ１１０は、ＣＰＵ（Central Processing Unit）１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。

ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。

また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。

データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。

また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。

なお、本実施の形態における推論装置１０は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、推論装置１０は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。

上述した実施の形態の一部又は全部は、以下に記載する（付記１）～（付記１２）によって表現することができるが、以下の記載に限定されるものではない。

（付記１）
観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報を含む推論知識を適用して推論を行ない、前記観測論理式を導くことが可能な仮説候補を生成する、仮説候補生成部と、
前記時系列を表す情報に基づいて、生成された前記仮説候補が、時間的な矛盾を含むかどうか判定する、矛盾検査部と、
を備えている、ことを特徴とする推論装置。

（付記２）
付記１に記載の推論装置であって、
前記推論知識が、複数のルールを有し、
前記複数のルールのうちの少なくとも１つは、
前記時系列を表す情報としての、時間的な前後関係を表す述語と、
前件としての、特定の事象が起こったという状態を表す述語と、
後件としての、前記特定の事象の次の事象が起こったという状態を表す述語と、
を有する、
ことを特徴とする推論装置。

（付記３）
付記１または２に記載の推論装置であって、
前記矛盾検査部は、
生成された前記仮説候補が時間的な矛盾を含むと判定した場合に、当該仮説候補を排除する、
ことを特徴とする推論装置。

（付記４）
付記１または２に記載の推論装置であって、
前記矛盾検査部は、
生成された前記仮説候補に対して、その仮説候補が成立しない可能性を示す指標を付加し、更に、その仮説候補が時間的な矛盾を含むと判定した場合に、その仮説候補の前記指標の値を補正する、
ことを特徴とする推論装置。

（付記５）
（ａ）観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報を含む推論知識を適用して推論を行ない、前記観測論理式を導くことが可能な仮説候補を生成する、ステップと、
（ｂ）前記時系列を表す情報に基づいて、生成された前記仮説候補が、時間的な矛盾を含むかどうか判定する、ステップと、
を有する、ことを特徴とする推論方法。

（付記６）
付記５に記載の推論方法であって、
前記推論知識が、複数のルールを有し、
前記複数のルールのうちの少なくとも１つは、
前記時系列を表す情報としての、時間的な前後関係を表す述語と、
前件としての、特定の事象が起こったという状態を表す述語と、
後件としての、前記特定の事象の次の事象が起こったという状態を表す述語と、
を有する、
ことを特徴とする推論方法。

（付記７）
付記５または６に記載の推論方法であって、
（ｃ）前記（ｂ）のステップにおいて、前記（ａ）のステップで生成された前記仮説候補が時間的な矛盾を含むと判定した場合に、当該仮説候補を排除する、ステップを、更に有する、
ことを特徴とする推論方法。

（付記８）
付記５または６に記載の推論方法であって、
（ｄ）前記（ａ）のステップで生成された前記仮説候補に対して、その仮説候補が成立しない可能性を示す指標を付加し、更に、前記（ｂ）のステップにおいて、その仮説候補が時間的な矛盾を含むと判定した場合に、その仮説候補の前記指標の値を補正する、ステップを、更に有する、
ことを特徴とする推論方法。

（付記９）
コンピュータに、
（ａ）観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報を含む推論知識を適用して推論を行ない、前記観測論理式を導くことが可能な仮説候補を生成する、ステップと、
（ｂ）前記時系列を表す情報に基づいて、生成された前記仮説候補が、時間的な矛盾を含むかどうか判定する、ステップと、
を実行させる、プログラム。

（付記１０）
付記９に記載のプログラムであって、
前記推論知識が、複数のルールを有し、
前記複数のルールのうちの少なくとも１つは、
前記時系列を表す情報としての、時間的な前後関係を表す述語と、
前件としての、特定の事象が起こったという状態を表す述語と、
後件としての、前記特定の事象の次の事象が起こったという状態を表す述語と、
を有する、
ことを特徴とするプログラム。

（付記１１）
付記９または１０に記載のプログラムであって、
前記コンピュータに、
（ｃ）前記（ｂ）のステップにおいて、前記（ａ）のステップで生成された前記仮説候補が時間的な矛盾を含むと判定した場合に、当該仮説候補を排除する、ステップを更に実行させる、
ことを特徴とするプログラム。

（付記１２）
付記９または１０に記載のプログラムであって、
前記コンピュータに、
（ｄ）前記（ａ）のステップで生成された前記仮説候補に対して、その仮説候補が成立しない可能性を示す指標を付加し、更に、前記（ｂ）のステップにおいて、その仮説候補が時間的な矛盾を含むと判定した場合に、その仮説候補の前記指標の値を補正する、ステップを更に実行させる、
ことを特徴とするプログラム。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

以上のように、本発明によれば、観測の時間的な前後関係を仮説候補に反映させることができる。本発明は、サイバーセキュリティの分野等、仮説推論が求められている分野に有用である。

１０ 推論装置
１１ 仮説候補生成部
１２ 矛盾検査部
１３ 出力部
２０ 記憶装置
２１ 推論知識
２２ 観測論理式
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス

Claims (5)

1. 観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報を含む推論知識を適用して推論を行ない、前記観測論理式を導くことが可能な仮説候補を生成する、仮説候補生成手段と、
   前記時系列を表す情報に基づいて、生成された前記仮説候補が、時間的な矛盾を含むかどうか判定する、矛盾検査手段と、
   を備え、
   前記推論知識が、複数のルールを有し、
   前記複数のルールのうちの少なくとも１つは、
   前記時系列を表す情報としての、時間的な前後関係を表す述語と、
   前件としての、特定の事象が起こったという状態を表す述語と、
   後件としての、前記特定の事象の次の事象が起こったという状態を表す述語と、
   を有する、
   ことを特徴とする推論装置。
2. 請求項１に記載の推論装置であって、
   前記矛盾検査手段は、
   生成された前記仮説候補が時間的な矛盾を含むと判定した場合に、当該仮説候補を排除する、
   ことを特徴とする推論装置。
3. 請求項１に記載の推論装置であって、
   前記矛盾検査手段は、
   生成された前記仮説候補に対して、その仮説候補が成立しない可能性を示す指標を付加し、更に、その仮説候補が時間的な矛盾を含むと判定した場合に、その仮説候補の前記指標の値を補正する、
   ことを特徴とする推論装置。
4. （ａ）観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報を含む推論知識を適用して推論を行ない、前記観測論理式を導くことが可能な仮説候補を生成し、
   （ｂ）前記時系列を表す情報に基づいて、生成された前記仮説候補が、時間的な矛盾を含むかどうか判定し、
   前記推論知識が、複数のルールを有し、
   前記複数のルールのうちの少なくとも１つは、
   前記時系列を表す情報としての、時間的な前後関係を表す述語と、
   前件としての、特定の事象が起こったという状態を表す述語と、
   後件としての、前記特定の事象の次の事象が起こったという状態を表す述語と、
   を有する、
   ことを特徴とする推論方法。
5. コンピュータに、
   （ａ）観測された事実を論理表現によって表現する観測論理式に、時系列を表す情報を含む推論知識を適用して推論を行ない、前記観測論理式を導くことが可能な仮説候補を生成する、ステップと、
   （ｂ）前記時系列を表す情報に基づいて、生成された前記仮説候補が、時間的な矛盾を含むかどうか判定する、ステップと、
   を実行させ、
   前記推論知識が、複数のルールを有し、
   前記複数のルールのうちの少なくとも１つは、
   前記時系列を表す情報としての、時間的な前後関係を表す述語と、
   前件としての、特定の事象が起こったという状態を表す述語と、
   後件としての、前記特定の事象の次の事象が起こったという状態を表す述語と、
   を有する、
   プログラム。
   
   

Images