JP7420244B2

JP7420244B2 - 学習装置、学習方法、推定装置、推定方法及びプログラム

Info

Publication number: JP7420244B2
Application number: JP2022527333A
Authority: JP
Inventors: 充敏熊谷; 具治岩田; 靖宏藤原
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2020-05-26
Filing date: 2020-05-26
Publication date: 2024-01-23
Anticipated expiration: 2040-05-26
Also published as: JPWO2021240661A1; WO2021240661A1

Description

特許法第３０条第２項適用ｈｔｔｐｓ：／／ａｒｘｉｖ．ｏｒｇ／ａｂｓ／２００２．１２０１１ｈｔｔｐｓ：／／ａｒｘｉｖ．ｏｒｇ／ｐｄｆ／２００２．１２０１１．ｐｄｆウェブサイトの掲載日２０２０年２月２７日

本発明は、学習装置、学習方法、推定装置、推定方法及びプログラムに関する。

従来、属性情報付きグラフを使った異常検知が知られている。異常検知とは、大多数のサンプル（通常、正常サンプルと呼ばれる）とは振る舞いが異なるサンプルを異常として検知する技術を指す。異常検知は侵入検知、医療画像診断、産業システム監視等様々な実応用で利用されている。

ここで、通常の異常検知では各々のサンプルは独立かつ同時分布から生成（i.i.d. データ）として扱われることが多い。一方で、いくつかの実応用では、サンプルに対し依存関係（つながり、グラフ構造）が陽に与えられることがある。例えば、セキュリティにおけるボットネット検知では、各ホスト（サンプル）は他のホストと通信関係で結ばれる。SNS上の異常ユーザ検知では、ユーザ（サンプル）は友人関係で結ばれている。このようにして形成されるグラフを属性情報付きグラフと呼ぶ。

例えば、属性情報付きグラフを使った異常検知として、グラフニューラルネットワークを用いることで教師情報が与えられたノードについて、教師情報を復元できるようなノードの潜在表現を学習する方法が知られている（例えば、非特許文献１を参照）。

また、例えば、ランダムウォークを用いることで各ノードの潜在表現を学習し、その潜在表現と教師情報を用いることでグラフ上の異常ノードを検知する技術が知られている（例えば、非特許文献２を参照）。

Thomas N. Kipf, Max Weling, "SEMI-SUPERVISED CLASSIFICATION WITH GRAPH CONVOLUTIONAL NETWORKS", https://arxiv.org/pdf/1609.02907.pdf Jun Wu, Jingrui He, Yongming Liu, "ImVerde: Vertex-Diminished Random Walk for Learning Imbalanced Network Representation", https://arxiv.org/pdf/1804.09222.pdf

しかしながら、従来の異常検知手法には、属性情報付きグラフが含む教師データにおける異常サンプルが正常サンプルに比べて少ない場合、精度良く異常検知を行うことができないことがあるという問題がある。

例えば、非特許文献１に記載の異常検知は、クラスインバランス性（教師データにおける異常サンプルが正常サンプルに比べて少ない性質）が加味されていない。また、非特許文献２に記載の異常検知は、ランダムウォークベースの手法であるため、高精度な異常検知を行うためには膨大なパラメータを人手で設定する必要がある。

上述した課題を解決し、目的を達成するために、学習装置は、正常サンプルを少なくとも含む教師情報付きの属性情報付きグラフデータを入力として受け取る入力部と、前記属性情報付きグラフデータに含まれる正常サンプルの特徴を表す潜在表現を学習する学習部と、を有することを特徴とする。

推定装置は、属性情報付きグラフデータを入力として受け取る入力部と属性情報付きグラフデータに含まれる正常サンプルの特徴を表す潜在表現を学習したモデルを用いて、前記入力部に入力された属性情報付きグラフデータの未知ノードの潜在表現と、前記正常サンプルの潜在表現とのかい離の度合いを推定する推定部と、を有することを特徴とする。

本発明によれば、属性情報付きグラフが含む教師データにおける異常サンプルが正常サンプルに比べて少ない場合であっても、精度良く異常検知を行うことができる。

図１は、第１の実施形態に係る検知装置の構成例を示す図である。図２は、潜在表現を説明する図である。図３は、第１の実施形態に係る検知装置の処理の流れを示すフローチャートである。図４は、第２の実施形態に係る検知システムの構成例を示す図である。図５は、第２の実施形態に係る学習処理の流れを示すフローチャートである。図６は、第２の実施形態に係る推定処理の流れを示すフローチャートである。図７は、学習プログラムを実行するコンピュータの一例を示す図である。

以下に、本願に係る学習装置、学習方法、推定装置、推定方法及びプログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

［第１の実施形態］
第１の実施形態に係る検知装置は、入力されたデータを用いてモデルの学習を行う。例えば、入力されるデータは、教師情報付きの属性情報付きグラフである。例えば、教師情報は、データの各サンプルが異常であるか正常であるかを示すラベルである。また、データの各サンプルは、グラフのノードに相当し、ノード間のエッジの有無及び重み等が定義されているものとする。また、検知装置は、学習済みのモデルを用いて、異常であるか正常であるかが未知のサンプルの異常検知を行い、検知結果を出力する。つまり、第１の実施形態において、検知装置は学習装置と推定装置の両方の機能を有する。

［第１の実施形態の構成］
図１は、第１の実施形態に係る検知装置の構成例を示す図である。図１に示すように、検知装置１０は、入力部１１、出力部１２、記憶部１３及び制御部１４を有する。入力部１１は、入力装置を介してデータの入力を受け付けるためのインタフェースである。また、出力部１２は、出力装置に対してデータを出力するためのインタフェースである。

記憶部１３は、HDD（Hard Disk Drive）、SSD（Solid State Drive）、光ディスク等の記憶装置である。なお、記憶部１３は、RAM（Random Access Memory）、フラッシュメモリ、NVSRAM（Non Volatile Static Random Access Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１３は、検知装置１０で実行されるOS（Operating System）や各種プログラムを記憶する。記憶部１３は、モデル情報１３１を記憶する。

モデル情報１３１は、モデルを構築するためのパラメータ等の情報である。例えば、モデルがニューラルネットワークであれば、モデル情報１３１はニューラルネットワークの各層の重みやバイアス等を含む。

制御部１４は、検知装置１０全体を制御する。制御部１４は、例えば、CPU（Central Processing Unit）、MPU（Micro Processing Unit）等の電子回路や、ASIC（Application Specific Integrated Circuit）、FPGA（Field Programmable Gate Array）等の集積回路である。また、制御部１４は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１４は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１４は、学習部１４１及び推定部１４２を有する。

学習部１４１は、属性情報付きグラフデータに含まれる正常サンプルの特徴を表す潜在表現を学習する。また、学習部１４１が学習を行う場合、入力部１１は、正常サンプルを少なくとも含む教師情報付きの属性情報付きグラフデータを入力として受け取るものとする。学習部１４１は、属性情報付きグラフデータに含まれる正常サンプルを入力として受け取り、学習済みのモデルに関する情報を出力する。なお、学習部１４１によって出力されるモデルに関する情報は、モデル情報１３１として記憶部１３に格納される。

推定部１４２は、教師情報付きの属性情報付きグラフデータに含まれる正常サンプルの特徴を表す潜在表現を学習したモデルを用いて、入力部１１に入力された属性情報付きグラフデータの未知ノードの特徴と、正常サンプルの特徴とのかい離の度合いを推定する。推定部１４２が推定を行う場合、入力部１１は、通常は学習部１４１で入力として用いた属性情報付きグラフデータを入力として受け取る。このとき、入力部１１は、ラベルなしサンプル(属性情報)のみを入力として受け取ることもできる。

図２を用いて、潜在表現による学習処理及び推定処理を説明する。図２は、潜在表現を説明する図である。まず、検知装置１０に入力される属性情報付きグラフは、各サンプルの属性情報に加え、各サンプルをグラフのノードと見なしたときの、ノード間のエッジに関する情報を含むものとする。

例えば、サンプルがネットワーク上のホストである場合、ホスト間の通信関係がエッジに関する情報に相当する。例えば、通信関係は、接続の有無、通信に使用可能な帯域、通信量の実績等である。

また、例えば、サンプルSNSのユーザである場合、ユーザ間の友人関係がエッジに関する情報に相当する。例えば、友人関係は、友人として登録されているか否か、やり取りしたメッセージの件数等である。

また、本実施形態では、教師情報はサンプルが異常であるか正常であるかを示すラベルであるものとする。また、属性情報は、各サンプルの特徴を表す情報であり、上記のSNSのユーザの例では、年齢、性別、収入、友人の数等が属性情報になり得る。

図２に示すように、検知装置１０に入力される属性情報付グラフには、正常であることを示すラベルが付与された正常サンプルに対応するノード（Labeled Normal Instance）、異常であることを示すラベルが付与された異常サンプルに対応するノード（Labeled Anomalous Instance）、ラベルが付与されていない未知サンプルに対応するノード（Unlabeled Instance）が含まれ得る。

学習処理においては、入力されるデータの中に、少なくとも正常サンプルに対応するノードが含まれていればよい。また、推定処理においては、入力されるデータの中に、少なくとも未知サンプルに対応するノードが含まれていればよい。

学習処理において、検知装置１０は、正常サンプルが潜在空間（Embedding Space）の超球内（正常領域、Normal Region）に埋め込まれるようなノードの潜在表現を学習してもよい。例えば、超球は、潜在空間にあらかじめ設定された中心点cから一定の距離以内の領域である。検知装置１０は、GCN（Graph Convolutional Network）によって各サンプルの潜在空間への配置を行うことができる。

なお、異常サンプルに対応するノードが存在する場合、検知装置１０は、異常サンプルが超球の外側（異常領域、Anomalous Region）に配置されるようなノードの潜在表現をさらに学習してもよい。

検知装置１０は、各サンプルの属性情報及びグラフ構造を加味して学習を行う。このため、学習済みの潜在表現によれば、正常サンプルと特徴が似ている未知サンプルは超球の中に配置されやすくなり、異常サンプルと特徴が似ている未知サンプルは超球の外側に配置されやすくなる。特徴には、属性情報及びグラフの構造が含まれる。

また、検知装置１０は、未知サンプルが配置された位置の中心点cからの距離に基づき、アノマリスコアを計算し、アノマリスコアに基づく検知結果を出力することができる。検知結果は、アノマリスコアそのものであってもよいし、アノマリスコアが閾値を超えたサンプル、すなわち異常である恐れがあるサンプルを特定するための情報であってもよい。アノマリスコアは、入力部１１に入力された属性情報付きグラフデータの各ノードの特徴と、正常サンプルの特徴とのかい離の度合いの一例である。

ここで、検知装置１０による処理を詳細に説明する。まず、検知装置１０に入力されるデータをG=(V, X, A)とする。Gは無向グラフであるものとする。Nをノードの総数、V=(v₁, …, v_N)をノード集合、Aを各ノードを行及び列に持つ隣接行列、X=(v₁, …, v_N)^T∈R^N×Dを各ノードの属性情報の行列とする。なお、Dは属性情報を表す特徴ベクトルの次元数である。

なお、グラフのノードとサンプルは１対１で対応しているものとする。また、グラフは有向グラフであってもよい。その場合、例えば、隣接行列Aの各要素の値の符号によってエッジの向きが表現されてもよい。

さらに、教師情報として与えられる異常及び正常サンプルを表すノードのindexの集合をそれぞれI_A、I_Nと表す。本実施形態では、教師情報はグラフに含まれるノードのうちの一部に与えられているものとする。すなわち、|I_A|+|I_N|<<Nを仮定する。また、異常サンプルの数は正常サンプルに比べて少ないとも仮定する。異常サンプルの数は0であってもよい。

検知装置１０は、アノマリスコアを（１）式のように計算する。

ここで、h_nはノードnの潜在表現を表すK次元ベクトル、cはユーザが事前に設定するK次元ベクトルである。このcはK次元空間上の超球の中心点を表す。K次元空間は、潜在空間の一例である。また、（１）式では、h_nがcから遠ざかれば遠ざかるほどノードnのアノマリスコアa(v_n)は高くなる。したがって、各ノードの潜在表現としては、異常サンプルはcから遠く、正常サンプルはcに近いほうが望ましい。

検知装置１０は、各ノードの潜在表現をGCNを利用して計算する。GCNでは、各ノードの潜在表現h_nは（２）式に示す更新式により求められる。

ここで、検知装置１０の学習部１４１は、変換部及び更新部としての機能を持つ。まず、学習部１４１は、モデルを用いて、正常サンプルの特徴を潜在空間における潜在表現に変換する。そして、学習部１４１は、変換される正常サンプルの潜在表現が、あらかじめ設定された潜在空間における所定の点（中心点c）に近くなるように、モデルのパラメータを更新する。この場合、GCNがモデルに相当し、学習部１４１は、後述する目的関数が最適化されるように、GCNのパラメータを更新していく。

（２）式のWは、GCNの学習において更新されるパラメータである。σは任意の非線形関数、a_nmはAの(n,m)成分である。ノードnとノードmとの間にエッジがあれば、a_nmは0より大きい実数（例えば1）となる。一方、ノードnとノードmとの間にエッジがなければ、a_nmは0となる。

d_nはノードnの次数を表す。（２）式に示すように、ノードnの出力（潜在表現）は、ノードn自身の潜在表現に加え、ノードn自身と接続するノードの潜在表現をWで線形変換したのち、σで非線形変換することで得られる。このように、各ノードの潜在表現は各ノード自身だけでなく、隣接グラフ構造も加味して出力される。ここで、検知装置１０は、L回の変換を通して得られる出力を、ノードの最終的な潜在表現とする。なお、ノードnの初期状態h_n ⁽⁰⁾は、属性ベクトルx_nであってよい。

検知装置１０は、（３）式に示すL_nor(θ)、及び（４）式に示すR_AUC(θ)を項として含む、（５）式に示す目的関数L(θ)が最適化されるように、GCNのパラメータを更新する。

ここで、（４）式のfはシグモイド関数を表す。（４）式はAUCの連続近似と等しい。異常サンプルのアノマリスコアが正常サンプルのものよりも高くなるほど、（４）式のR_AUC(θ)は大きくなる。

検知装置１０は、（５）式を最小化するようなGCNのパラメータθ=(W⁽⁰⁾, …, W^(L-1))を求める。また、検知装置１０は、gradient-basedな任意の最適化法を用いることでパラメータθを推定できる。

なお、（４）式のλは正の実数又は0であり、第１項（L_nor(θ)）と第２項（R_AUC（θ））の影響を調整する人手で設定すべきパラメータである。異常サンプルがない、あるいはλ=0の場合であっても、検知装置１０は、第１項のみを最小化することでモデルの学習を行うことができる。

（４）式の第１項のみを最小化する場合、検知装置１０は、以下の（条件１）～（条件３）が満たされるように学習を行うことで、trivialな解（任意のノードの潜在表現hがcと一致）を避けることができる。
（条件１）cがゼロベクトルではない。
（条件２）GCNのbias termは使わない。
（条件３）unboundedなactivation function (ReLU等）を用いる。

図３は、第１の実施形態に係る検知装置の処理の流れを示すフローチャートである。図３に示すように、まず、入力部１１は、教師情報付きの属性情報付きグラフを入力として受け取る（ステップＳ１０１）。次に、学習部１４１は、グラフの各ノードの潜在表現を学習する（ステップＳ１０２）。具体的には、学習部１４１は、モデルによる各ノードの潜在表現への変換が最適化されるように、モデルのパラメータを更新する。

そして、推定部１４２は、学習した潜在表現を基に、ラベルなしサンプルのアノマリスコアを推定する（ステップＳ１０３）。出力部１２は、アノマリアスコアに基づく検知結果を出力する（ステップＳ１０４）。

［第１の実施形態の効果］
これまで説明してきたように、入力部１１は、正常サンプルを少なくとも含む教師情報付きの属性情報付きグラフデータを入力として受け取る。学習部１４１は、属性情報付きグラフデータに含まれる正常サンプルの特徴を表す潜在表現を学習する。このように、検知装置１０は、正常サンプルが含まれる属性情報付きグラフデータを基に、異常検知のための潜在表現を学習することができる。このため、本実施形態によれば、属性情報付きグラフを含む教師データにおける異常サンプルが正常サンプルに比べて少ない場合であっても、精度良く異常検知を行うことができる。

また、非特許文献１に記載の異常検知では、クラスインバランス性があるデータの場合、通常の教師あり機械学習法（e.g. SVM, DNN)では学習時に異常サンプルの情報が無視されやすく、精度良く学習ができないという問題がある。本実施形態では、クラスインバランス性のあるデータであっても精度良く学習することができる。

また、入力部１１は、属性情報付きグラフデータを入力として受け取る。推定部１４２は、教師情報付きの属性情報付きグラフデータに含まれる正常サンプルの特徴を表す潜在表現を学習したモデルを用いて、入力部１１に入力された属性情報付きグラフデータの各ノードの特徴と、正常サンプルの特徴とのかい離の度合いを推定する。このため、本実施形態によれば、属性情報付きグラフを含む教師データにおける異常サンプルが正常サンプルに比べて少ない場合であっても、異常検知のための学習及び推定を行うことができる。

学習部１４１は、モデルを用いて、正常サンプルの特徴を潜在空間における潜在表現に変換する。学習部１４１は、変換される正常サンプルの潜在表現が、あらかじめ設定された潜在空間における所定の点に近くなるように、モデルのパラメータを更新する。これにより、検知装置１０は、正常サンプルを基にモデルの最適化を行うことができる。

入力部１１は、サンプルごとの属性情報、及び各サンプルに対応するノード間のエッジの有無を表す隣接グラフを少なくとも含む属性情報付きグラフデータを入力として受け取る。学習部１４１は、属性情報と隣接グラフの両方を基に得られる潜在表現が最適化されるように学習する。これにより、検知装置１０は、各サンプルの属性情報だけでなく、サンプル間の関係性を考慮した異常検知を行うことができる。

［第２の実施形態］
第１の実施形態では、検知装置が学習装置と推定装置の両方の機能を有する場合の例を説明した。一方、第２の実施形態では、学習装置と推定装置は別々の装置として実現される。

［第２の実施形態の構成］
図４は、第２の実施形態に係る検知システムの構成例を示す図である。図４に示すように、検知システム２は、学習装置２０及び推定装置３０を有する。学習装置２０は、入力部２１、出力部２２、記憶部２３及び制御部２４を有する。また、推定装置３０は、入力部３１、出力部３２、記憶部３３及び制御部３４を有する。

入力部２１及び入力部３１は、入力装置を介してデータの入力を受け付けるためのインタフェースである。また、出力部２２及び出力部３２は、出力装置に対してデータを出力するためのインタフェースである。記憶部２３及び記憶部３３は、記憶部１３と同様、データを記憶するための記憶装置である。制御部２４及び制御部３４は、制御部１４と同様に、各装置を制御する。

図２に示すように、学習装置２０は、教師情報付きの属性情報付きグラフを入力として受け取る。制御部３４は、学習部２４１及び格納部２４２を有する。学習部２４１は、学習部１４１と同様の機能を有する。格納部２４２は、学習部２４１による学習処理によって得られたモデルに関する情報を、モデル情報２３１として記憶部２３に格納する。

推定装置３０は、ラベルなしサンプル（未知サンプル）を入力として受け取る。また、推定装置３０は、学習装置２０からモデル情報２３１を取得する。制御部３４は推定部３４１を有する。推定部３４１は、モデル情報２３１を基に構築されるモデルを用いて、入力されたラベルなしサンプルのアノマリスコアを推定する。

例えば、入力部２１は、属性情報付きグラフデータを入力として受け取る。推定部３４1は、属性情報付きグラフデータに含まれる正常サンプルの特徴を表す潜在表現を学習したモデルを用いて、入力部２１に入力された属性情報付きグラフデータの各ノードの未知ノードの潜在表現と、正常サンプルの潜在表現とのかい離の度合いを推定する。

第２の実施形態では、GCNの代わりに、グラフニューラルネットワークとして、GraphSAGE（参考文献１：Hamilton, Will, Zhitao Ying, and Jure Leskovec. "Inductive representation learning on large graphs." Advances in neural information processing systems. 2017.）のようなinductiveなモデルが採用されてもよい。このように、学習装置２０が、inductiveなモデルのパラメータを属性情報付グラフを用いて学習しておくことで、推定装置３０は、推定時に与えられるラベルなしサンプルについては、学習済みモデルを用いてアノマリスコアを検知することができる。

図５は、第２の実施形態に係る学習処理の流れを示すフローチャートである。図５に示すように、まず、入力部２１は、教師情報付きの属性情報付きグラフを入力として受け取る（ステップＳ２０１）。学習部２４１は、グラフのノードの潜在表現を得るためのモデルを学習する（ステップＳ２０２）。格納部２４２は、学習したモデルを格納する（ステップＳ２０３）。

図６は、第２の実施形態に係る推定処理の流れを示すフローチャートである。図６に示すように、まず、入力部３１は、ラベルなしサンプルを入力として受け取る（ステップＳ３０１）。推定部３４１は、学習したモデルを参照し、ラベルなしサンプルのアノマリスコアを推定する（ステップＳ３０２）。出力部３２は、アノマリスコアに基づく検知結果を出力する（ステップＳ３０３）。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、CPU及び当該CPUにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
一実施形態として、検知装置１０、学習装置２０及び推定装置３０は、パッケージソフトウェアやオンラインソフトウェアとして上記の学習処理又は推定処理を実行するプログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記のプログラムを情報処理装置に実行させることにより、情報処理装置を検知装置１０、学習装置２０又は推定装置３０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やPHS（Personal Handyphone System）等の移動体通信端末、さらには、PDA（Personal Digital Assistant）等のスレート端末等がその範疇に含まれる。

また、検知装置１０、学習装置２０及び推定装置３０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の学習処理又は推定処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、サーバ装置は、学習用のデータを入力とし、学習済みのモデルの情報を出力とするサービスを提供するサーバ装置として実装される。この場合、サーバ装置は、Webサーバとして実装することとしてもよいし、アウトソーシングによって上記の処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。

図７は、学習プログラムを実行するコンピュータの一例を示す図である。なお、推定プログラムについても同様のコンピュータによって実行されてもよい。コンピュータ１０００は、例えば、メモリ１０１０、プロセッサ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ROM（Read Only Memory）１０１１及びRAM１０１２を含む。ROM１０１１は、例えば、BIOS（BASIC Input Output System）等のブートプログラムを記憶する。プロセッサ１０２０は、CPU１０２１及びGPU（Graphics Processing Unit）１０２２を含む。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、学習装置２０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、学習装置２０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、SSDにより代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、CPU１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてRAM１０１２に読み出して、上述した実施形態の処理を実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してCPU１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（LAN（Local Area Network）、WAN（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してCPU１０２０によって読み出されてもよい。

２検知システム
１０検知装置
１１、２１、３１入力部
１２、２２、３２出力部
１３、２３、３３記憶部
１４、２４、３４制御部
２０学習装置
３０推定装置
１３１モデル情報
１４１、２４１学習部
１４２、３４１推定部
２４２格納部

Claims

正常サンプルを少なくとも含む教師情報付きの属性情報付きグラフデータを入力として受け取る入力部と、
前記属性情報付きグラフデータに含まれる正常サンプルの特徴を表す潜在表現を学習する学習部と、
を有し、
前記学習部は、
モデルを用いて、前記正常サンプルの特徴を潜在空間における潜在表現に変換する変換部と、
前記変換部によって変換される前記正常サンプルの潜在表現が、あらかじめ設定された前記潜在空間における所定の点に近くなるように、前記モデルのパラメータを更新する更新部と、
を有することを特徴とする学習装置。
前記入力部は、サンプルごとの属性情報、及び各サンプルに対応するノード間のエッジの有無を表す隣接グラフを少なくとも含む属性情報付きグラフデータを入力として受け取り、
前記学習部は、前記属性情報と前記隣接グラフの両方を基に得られる潜在表現が最適化されるように学習することを特徴とする請求項１に記載の学習装置。
学習装置が実行する学習方法であって、
正常サンプルを少なくとも含む教師情報付きの属性情報付きグラフデータを入力として受け取る入力工程と、
前記属性情報付きグラフデータに含まれる正常サンプルの特徴を表す潜在表現を学習する学習工程と、
を含み、
前記学習工程は、
モデルを用いて、前記正常サンプルの特徴を潜在空間における潜在表現に変換する変換工程と、
前記変換工程によって変換される前記正常サンプルの潜在表現が、あらかじめ設定された前記潜在空間における所定の点に近くなるように、前記モデルのパラメータを更新する更新工程と、
を含むことを特徴とする学習方法。
属性情報付きグラフデータを入力として受け取る入力部と、
属性情報付きグラフデータに含まれる正常サンプルの特徴を、潜在空間における潜在表現に変換することに用いられ、変換された前記正常サンプルの潜在表現が、あらかじめ設定された前記潜在空間における所定の点に近くなるように、パラメータが更新されたモデルを用いて、前記入力部に入力された属性情報付きグラフデータの未知ノードの潜在表現と、前記正常サンプルの潜在表現とのかい離の度合いを推定する推定部と、
を有することを特徴とする推定装置。
推定装置が実行する推定方法であって、
属性情報付きグラフデータを入力として受け取る入力工程と、
属性情報付きグラフデータに含まれる正常サンプルの特徴を、潜在空間における潜在表現に変換することに用いられ、変換された前記正常サンプルの潜在表現が、あらかじめ設定された前記潜在空間における所定の点に近くなるように、パラメータが更新されたモデルを用いて、前記入力工程において入力された属性情報付きグラフデータの未知ノードの潜在表現と、前記正常サンプルの潜在表現とのかい離の度合いを推定する推定工程と、
を含むことを特徴とする推定方法。
コンピュータを、請求項１に記載の学習装置、又は請求項４に記載の推定装置として機能させるためのプログラム。