JP7434690B2

JP7434690B2 - ユーザ機器ｕｅのユーザデータを検出するための方法、装置、システム、デバイスおよびコンピュータプログラム

Info

Publication number: JP7434690B2
Application number: JP2022568671A
Authority: JP
Inventors: ルオ、チミン; ウ、ユンゼ; リウ、チョンチン
Original assignee: ホアウェイ・テクノロジーズ・カンパニー・リミテッド
Priority date: 2020-05-12
Filing date: 2020-11-13
Publication date: 2024-02-21
Anticipated expiration: 2040-11-13
Also published as: JP2023525112A; CN113727348A; US20230073813A1; EP4145769A1; WO2021227414A1; CN113727348B; EP4145769A4

Description

本願は、２０２０年５月１２日に中国国家知識産権局に提出された「ＭＥＴＨＯＤＡＮＤＤＥＶＩＣＥＦＯＲＤＥＴＥＣＴＩＮＧＵＳＥＲＤＡＴＡＯＦＵＳＥＲＥＱＵＩＰＭＥＮＴＵＥ，ＡＮＤＳＴＯＲＡＧＥＭＥＤＩＵＭ」と題する中国特許出願第２０２０１０３９９３９４．８号への優先権を主張するものであり、この中国特許出願が全体として参照により本明細書に組み込まれる。

本願は通信分野に関するものであり、更には、通信分野における人工知能（ＡｒｔｉｆｉｃｉａｌＩｎｔｅｌｌｉｇｅｎｃｅ、ＡＩ）技術の適用、特に、ユーザ機器（ｕｓｅｒｅｑｕｉｐｍｅｎｔ、ＵＥ）のユーザデータを検出するための方法およびデバイス、並びに記憶媒体に関するものである。

第５世代（ｆｉｆｔｈ－ｇｅｎｅｒａｔｉｏｎ、５Ｇ）移動体通信システムネットワークの高帯域幅および低遅延という利点により、車両のインターネット、インテリジェントな信号灯／道路灯、遠隔医療、および遠隔工事の実装基盤が提供されている。従って、５Ｇは、モノのインターネット（ｉｎｔｅｒｎｅｔｏｆｔｈｉｎｇｓ、ＩｏＴ）と共に、社会交通、ヘルスケア、教育、および産業などの様々な分野に深く適用されている。加えて、ＩｏＴの適用に伴い、ネットワークセキュリティの問題の影響が経済分野に限られたものではなくなっている。ヘルスケアおよび交通などのＩｏＴ分野におけるネットワークセキュリティの問題に対して更なる注意を払う必要がある。５Ｇ基地局の高展開密度のシナリオおよび大規模マシンタイプ通信（ｍａｓｓｉｖｅｍａｃｈｉｎｅｔｙｐｅｃｏｍｍｕｎｉｃａｔｉｏｎ、ｍＭＴＣ）のシナリオではＵＥアクセスが多く、且つ、超高信頼低遅延通信（ｕｌｔｒａ－ｒｅｌｉａｂｌｅａｎｄｌｏｗｌａｔｅｎｃｙｃｏｍｍｕｎｉｃａｔｉｏｎｓ、ｕＲＬＬＣ）のシナリオではサービスアベイラビリティが高いので、５Ｇネットワーク攻撃のリスクとその攻撃による被害とが大幅に増加する。従って、５ＧおよびＩｏＴは、セキュリティの場合にのみ大規模に商業的に使用されている。従って、ユーザデータに対してセキュリティ検出を行うことが特に重要である。

本願の実施形態は、データ検出効率を改善するために、ＵＥのユーザデータを検出するための方法およびデバイス、並びに記憶媒体を提供する。技術的解決策は以下の通りである。

第１態様によれば、データ検出方法が提供される。この方法を中央検出ノードデバイスに適用することが例として使用される。この方法は、中央検出ノードデバイスがコアネットワークシグナリングデータを取得する段階を含む。例えば、コアネットワークシグナリングデータは、通話履歴記録データを含む。中央検出ノードデバイスは、コアネットワークシグナリングデータに基づき異常なＵＥを決定する。異常なＵＥは、異常な挙動を伴うＵＥである。中央検出ノードデバイスは、異常なＵＥに基づき異常なグループ特徴を決定する。異常なグループ特徴は、通信を行うために異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む。中央検出ノードデバイスは、異常なグループ特徴をエッジ検出ノードデバイスに送信する。

異常なＵＥは、コアネットワークシグナリングデータに基づき決定される。異常なＵＥの数がデータプレーンユーザの数より少ないので、異常なＵＥに基づき決定される異常なグループ特徴に基づき検出対象データがフィルタリングされた後、フィルタリング後に取得されるデータのみを検出して、検出対象データの量を削減し、検出効率および検出性能を改善する。

ある例示的な実施形態において、コアネットワークシグナリングデータを取得する段階は、現在の期間のコアネットワークシグナリングデータを取得する段階を含む。

前記コアネットワークシグナリングデータに基づき異常なＵＥを決定する前記段階は、前記現在の期間の前記コアネットワークシグナリングデータに基づき前記現在の期間の挙動特徴を抽出する段階であって、前記挙動特徴は、通信プロセスにおける複数のＵＥの各々の挙動特徴である、抽出する段階と、前記現在の期間の前記挙動特徴に基づき前記現在の期間のＵＥプロファイルを確立する段階であって、前記ＵＥプロファイルは、前記複数のＵＥを含む少なくとも１つのＵＥグループを記述するために使用され、前記少なくとも１つのＵＥグループの各々におけるＵＥが同じ挙動特徴を有する、確立する段階と、前記現在の期間の前記ＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき前記異常なＵＥを決定する段階であって、前記基準期間は、前記現在の期間よりも前の期間である、決定する段階とを含む。

ある例示的な実施形態において、前記現在の期間の前記挙動特徴は、前記現在の期間の時点表示、１つまたは複数のユーザ識別子、および前記１つまたは複数のユーザ識別子の各々に対応するシグナリングカテゴリカウント配列を含み、前記シグナリングカテゴリカウント配列は、Ｎ次元ベクトルであり、前記Ｎ次元ベクトル内のベクトルｉがシグナリングカテゴリｉに対応し、前記１つまたは複数のユーザ識別子のうち第１ユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記第１ユーザ識別子のシグナリングカテゴリｉのシグナリングカウント値であり、Ｎの値が自然数であり、ｉの値が０より大きくＮより小さい。前記現在の期間の前記挙動特徴に基づき前記現在の期間のＵＥプロファイルを確立する前記段階は、前記１つまたは複数のユーザ識別子の各々に対応する前記シグナリングカテゴリカウント配列に基づき前記現在の期間の前記複数のＵＥをクラスタリングして、クラスタリング結果を取得する段階であって、前記クラスタリング結果は、前記少なくとも１つのＵＥグループを含む、取得する段階と、取得された前記クラスタリング結果を前記現在の期間の前記ＵＥプロファイルとして使用する段階とを含む。

ある例示的な実施形態において、前記クラスタリング結果は、少なくとも２つのＵＥグループを含み、前記少なくとも２つのＵＥグループの各々は、前記少なくとも２つのＵＥグループのうち任意の選択されたＵＥグループについてクラスタリング中心を有し、前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列がＮ次元ベクトルであり、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記選択されたＵＥグループ内の全てのユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値の平均値であり、前記選択されたＵＥグループの特徴値が、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計計算結果である。

前記現在の期間の前記ＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき前記異常なＵＥを決定する前記段階は、前記現在の期間の全てのＵＥグループの中から１つのＵＥグループを選択し、前記現在の期間の各ＵＥグループが処理されるまで、前記選択されたＵＥグループに対して、前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計を計算して、前記選択されたＵＥグループに対応する特徴値を取得する処理と、前記選択されたＵＥグループに対応する前記特徴値と前記基準期間の全てのＵＥグループに対応する特徴値とを１つずつ比較し、あるＵＥグループに対応する特徴値と前記選択されたＵＥグループに対応する前記特徴値との差が指定された閾値より小さいケースが前記基準期間に存在しない場合に、前記選択されたＵＥグループ内のＵＥが異常なＵＥであると判断する処理とを行う段階を含む。

ある例示的な実施形態では、前記異常なＵＥの指定された情報が、前記異常なＵＥのインターネットプロトコルＩＰ、ポート、プロトコル種別、および国際移動電話加入者識別番号ＩＭＳＩのうちの少なくとも１つを含む。

ある例示的な実施形態において、前記現在の期間の前記挙動特徴は、前記ＵＥのシグナリング総量、シグナリング送信頻度、およびアクセス持続時間における少なくとも１つの特徴を更に含む。

第２態様によれば、ＵＥのユーザデータを検出するための方法が提供される。この方法は、エッジ検出ノードデバイスに適用され、エッジ検出ノードデバイスが、中央検出ノードデバイスにより送信される異常なグループ特徴を受信する段階であって、前記異常なグループ特徴は、通信を行うために異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む、受信する段階と、前記エッジ検出ノードデバイスが検出対象データを取得する段階と、前記エッジ検出ノードデバイスが前記異常なグループ特徴に基づき前記検出対象データをフィルタリングする段階と、前記エッジ検出ノードデバイスが、フィルタリング後に取得されるデータを検出する段階とを含む。

ある例示的な実施形態において、前記エッジ検出ノードデバイスが前記異常なグループ特徴に基づき前記検出対象データをフィルタリングする前記段階は、前記検出対象データの中から前記異常なグループ特徴を満たすデータを選択し、前記異常なグループ特徴を満たす前記データを、前記フィルタリング後に取得されるデータとして使用する段階を含む。

ＵＥのユーザデータを検出するための装置が提供される。この装置は、コアネットワークシグナリングデータを取得するように構成された取得モジュールと、前記コアネットワークシグナリングデータに基づき異常なＵＥを決定するように構成された第１決定モジュールであって、前記異常なＵＥは、異常な挙動を伴うＵＥである、第１決定モジュールと、前記異常なＵＥに基づき異常なグループ特徴を決定するように構成された第２決定モジュールであって、前記異常なグループ特徴は、通信を行うために前記異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む、第２決定モジュールと、前記異常なグループ特徴をエッジ検出ノードデバイスに送信するように構成された送信モジュールとを含む。

ある例示的な実施形態において、前記取得モジュールは、現在の期間のコアネットワークシグナリングデータを取得するように構成されている。

前記第１決定モジュールは、前記現在の期間の前記コアネットワークシグナリングデータに基づき前記現在の期間の挙動特徴を抽出することであって、前記挙動特徴は、通信プロセスにおける複数のＵＥの各々の挙動特徴である、抽出することと、前記現在の期間の前記挙動特徴に基づき前記現在の期間のＵＥプロファイルを確立することであって、前記ＵＥプロファイルは、前記複数のＵＥを含む少なくとも１つのＵＥグループを記述するために使用され、前記少なくとも１つのＵＥグループの各々におけるＵＥが同じ挙動特徴を有する、確立することと、前記現在の期間の前記ＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき前記異常なＵＥを決定することであって、前記基準期間は、前記現在の期間よりも前の期間である、決定することとを行うように構成されている。

ある例示的な実施形態において、前記現在の期間の前記挙動特徴は、前記現在の期間の時点表示、１つまたは複数のユーザ識別子、および前記１つまたは複数のユーザ識別子の各々に対応するシグナリングカテゴリカウント配列を含み、前記シグナリングカテゴリカウント配列は、Ｎ次元ベクトルであり、前記Ｎ次元ベクトル内のベクトルｉがシグナリングカテゴリｉに対応し、前記１つまたは複数のユーザ識別子のうち第１ユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記第１ユーザ識別子のシグナリングカテゴリｉのシグナリングカウント値であり、Ｎの値が自然数であり、ｉの値が０より大きくＮより小さい。

前記第１決定モジュールは、前記１つまたは複数のユーザ識別子の各々に対応する前記シグナリングカテゴリカウント配列に基づき前記現在の期間の前記複数のＵＥをクラスタリングして、クラスタリング結果を取得することであって、前記クラスタリング結果は、前記少なくとも１つのＵＥグループを含む、取得することと、取得された前記クラスタリング結果を前記現在の期間の前記ＵＥプロファイルとして使用することとを行うように構成されている。

前記第１決定モジュールは、前記現在の期間の全てのＵＥグループの中から１つのＵＥグループを選択し、前記現在の期間の各ＵＥグループが処理されるまで、前記選択されたＵＥグループに対して、前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計を計算して、前記選択されたＵＥグループに対応する特徴値を取得する処理と、前記選択されたＵＥグループに対応する前記特徴値と前記基準期間の全てのＵＥグループに対応する特徴値とを１つずつ比較し、あるＵＥグループに対応する特徴値と前記選択されたＵＥグループに対応する前記特徴値との差が指定された閾値より小さいケースが前記基準期間に存在しない場合に、前記選択されたＵＥグループ内のＵＥが異常なＵＥであると判断する処理とを行うように構成されている。

ＵＥのユーザデータを検出するための装置が提供される。この装置は、中央検出ノードデバイスにより送信される異常なグループ特徴を受信するように構成された受信モジュールであって、前記異常なグループ特徴は、通信を行うために異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む、受信モジュールと、検出対象データを取得するように構成された取得モジュールと、前記異常なグループ特徴に基づき前記検出対象データをフィルタリングするように構成されたフィルタリングモジュールと、フィルタリング後に取得されるデータを検出するように構成された検出モジュールとを含む。

ある例示的な実施形態において、前記フィルタリングモジュールは、前記検出対象データの中から前記異常なグループ特徴を満たすデータを選択し、前記異常なグループ特徴を満たす前記データを、前記フィルタリング後に取得されるデータとして使用するように構成されている。

ＵＥのユーザデータを検出するためのデバイスが更に提供される。このデバイスは、メモリおよびプロセッサを含み、前記メモリは、少なくとも１つの命令を記憶し、前記少なくとも１つの命令は、第１態様の任意の例示的な実施形態における、ＵＥのユーザデータを検出するための方法を実装するために、前記プロセッサによりロードおよび実行される。

ＵＥのユーザデータを検出するためのデバイスが更に提供される。このデバイスは、メモリおよびプロセッサを含み、前記メモリは、少なくとも１つの命令を記憶し、前記少なくとも１つの命令は、第２態様の任意の例示的な実施形態における、ＵＥのユーザデータを検出するための方法を実装するために、前記プロセッサによりロードおよび実行される。

ＵＥのユーザデータを検出するためのシステムが更に提供される。このシステムは、上述の２つのデバイスを含み、上述の２つのデバイスは、少なくとも１つのデバイスである。

コンピュータ可読記憶媒体が更に提供される。この記憶媒体は、少なくとも１つの命令を記憶し、命令は、第１態様または第２態様の任意の例示的な実施形態における、ＵＥのユーザデータを検出するための方法を実装するために、プロセッサによりロードおよび実行される。

別の通信装置が提供される。この装置は、送受信機と、メモリと、プロセッサとを含む。送受信機、メモリ、およびプロセッサは、内部接続パスを通じて互いに通信し、メモリは、命令を記憶するように構成されており、プロセッサは、メモリに記憶される命令を実行することで、送受信機を制御して信号を受信するとともに送受信機を制御して信号を送信するように構成されており、メモリに記憶される命令をプロセッサが実行すると、プロセッサは、第１態様および第１態様の考えられる実装のいずれか１つにおける方法を行うことができ、または、プロセッサは、第２態様および第２態様の考えられる実装のいずれか１つにおける方法を行うことができる。

ある例示的な実施形態では、１つまたは複数のプロセッサが存在し、１つまたは複数のメモリが存在する。

ある例示的な実施形態において、メモリはプロセッサと一体化されてよく、またはメモリおよびプロセッサは別々に配置される。

特定の実装プロセスにおいて、メモリは、非一時的（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ）メモリ、例えばリードオンリメモリ（ｒｅａｄ－ｏｎｌｙｍｅｍｏｒｙ、ＲＯＭ）であってよい。メモリおよびプロセッサは、同じチップに組み込まれてもよいし、異なるチップ上に配置されてもよい。本願の本実施形態では、メモリのタイプとメモリおよびプロセッサの配置方式とを限定しない。

コンピュータプログラム（製品）が提供される。このコンピュータプログラム（製品）は、コンピュータプログラムコードを含み、コンピュータプログラムコードがコンピュータにより実行されると、コンピュータは、上述の態様のいずれか１つにおける方法を行うことができる。

プロセッサを含むチップが提供される。このプロセッサは、メモリに記憶される命令をメモリから呼び出し、その命令を実行するように構成されており、その結果、チップが設置される通信デバイスが、上述の態様のいずれか１つにおける方法を行う。

入力インタフェースと、出力インタフェースと、プロセッサと、メモリとを含む別のチップが提供される。入力インタフェース、出力インタフェース、プロセッサ、およびメモリは、内部接続パスを通じて接続され、プロセッサは、メモリ内のコードを実行するように構成されており、このコードが実行されると、プロセッサは、上述の態様のいずれか１つにおける方法を行うように構成されている。

本願のある実施形態に係る、ＵＥのユーザデータを検出するためのシステムのアーキテクチャの概略図である。

本願のある実施形態に係る中央検出ノードデバイスの構造の概略図である。

本願のある実施形態に係るエッジ検出ノードデバイスの構造の概略図である。

本願のある実施形態に係る、ＵＥのユーザデータを検出するための方法の概略的な相互作用図である。

本願のある実施形態に係る、異常なＵＥを決定するプロセスの概略図である。

本願のある実施形態に係るＵＥプロファイルの概略図である。

本願のある実施形態に係るクラスタリングプロセスの概略図である。

本願のある実施形態に係るＵＥプロファイル比較の概略図である。

本願のある実施形態に係る、ＵＥのユーザデータを検出するプロセスの概略図である。

本願のある実施形態に係る、ＵＥのユーザデータを検出するための装置の構造の概略図である。

本願のある実施形態に係る、ＵＥのユーザデータを検出するためのデバイスの構造の概略図である。

本願の実施形態で使用する用語は、本願の実施形態を説明するためにのみ使用され、本願を限定することを意図するものではない。

５Ｇネットワークの高帯域幅および低遅延という利点により、車両のインターネット、インテリジェントな信号灯／道路灯、遠隔医療、および遠隔工事の実装基盤が提供されている。しかしながら、５Ｇ基地局の高展開密度のシナリオおよびｍＭＴＣのシナリオではＵＥアクセスが多く、且つ、ｕＲＬＬＣシナリオではサービスアベイラビリティが高いので、５Ｇネットワーク攻撃のリスクとその攻撃による被害とが大幅に増加する。従って、ユーザデータに対してセキュリティ検出を行うことが特に重要である。

しかしながら、データプレーン上のトラフィックが多く、ユーザデータを検出するために多数のリソースを消費する必要がある。管理プレーン上のネットワーク帯域幅が制限されている場合は、全てのデータを管理プレーン上の中央検出ノードデバイスに送信して検出することができない。データプレーンは、ネットワークデバイスのパケット転送に使用され、管理プレーンは、コアネットワークデバイスの管理および保守に使用される。従って、通信システムでは、エッジ検出機能がデータプレーン上にローカルに展開される。すなわち、エッジ検出ノードデバイスが配置される。エッジ検出ノードデバイスは、データプレーン上のトラフィックが多いデータに対してセキュリティ検出を行う。その後、データプレーンは、検出結果を管理プレーン上の中央検出ノードデバイスに送信し、その結果、中央検出ノードデバイスは、包括的処理を実行する。

例えば、ユーザデータトラフィックが約３００Ｇであり、且つ、エッジ検出ノードデバイスの処理能力が約６Ｇである場合は、ユーザデータトラフィックを一致させるために５０台のエッジ検出ノードデバイスを展開する必要がある。しかしながら、コストの制約に起因して、ユーザが５０台のエッジ検出ノードデバイスの展開を容認することができない可能性があり、その結果、検出対象トラフィックとエッジ検出ノードデバイスの検出能力との間に大きなギャップが生じる。従って、関連技術では、トラフィックに対してサンプリング検出を行うための方法が使用されている。しかしながら、この方法では、サンプルの歪みが大きく、検出を効果的に実行することができない。

データプレーン上の検出対象トラフィックがエッジ検出ノードデバイスの処理能力をはるかに超えるという問題を解決するために、本願のある実施形態は、ＵＥのユーザデータを検出するための方法を提供する。この方法では、検出対象データの量を削減するために、データフィルタリングメカニズムを使用する。例えば、本願の本実施形態で提供する方法は、図１に示すシステムアーキテクチャに適用されてよい。図１に示すように、システムアーキテクチャは、ＵＥ、ｇＮＢ、アクセス管理機能（ａｃｃｅｓｓｍａｎａｇｅｍｅｎｔｆｕｎｃｔｉｏｎ、ＡＭＦ）、ユーザプラン機能（ｕｓｅｒｐｌａｎｆｕｎｃｔｉｏｎ、ＵＰＦ）、統合データノード（ｕｎｉｆｉｅｄｄａｔａｎｏｄｅ、ＵＤＮ）、中央検出ノードデバイス、およびエッジ検出ノードデバイスを含む。

ｇＮＢは、５Ｇ無線ネットワークにおける基地局であり、ＡＭＦは、コアネットワークでシグナリング要求を処理するネットワークエレメントデバイスであり、ＵＰＦは、コアネットワークでＵＥにより生成されるユーザデータを処理するネットワークエレメントデバイスである。本願の本実施形態におけるネットワークエレメントまたはネットワークエレメントデバイスは、特定の処理機能を実装するロジックデバイスまたは物理デバイスである。ＵＤＮは、通話履歴記録（ｃａｌｌｈｉｓｔｏｒｙｒｅｃｏｒｄ、ＣＨＲ）サーバとしてみなされてもよく、ＡＭＦネットワークエレメントのＣＨＲデータを集約し、ＣＨＲデータを外部に伝送するための安全なファイル転送プロトコル（ｓｅｃｕｒｅｆｉｌｅｔｒａｎｓｆｅｒｐｒｏｔｏｃｏｌ、ＳＦＴＰ）サービスを提供するように構成されている。中央検出ノードデバイスは、サイバインテリジェントセキュリティ（ｃｙｂｅｒｉｎｔｅｌｌｉｇｅｎｔｓｅｃｕｒｉｔｙ、ＣＩＳ）検出システムを含む。ＣＩＳ検出システムは、ファイル転送プロトコル（ｆｉｌｅｔｒａｎｓｆｅｒｐｒｏｔｏｃｏｌ、ＦＴＰ）プロトコルを使用することによりＣＨＲデータをＵＤＮから収集する。エッジ検出ノードデバイスは、人工知能エンジン（ＡｒｔｉｆｉｃｉａｌＩｎｔｅｌｌｉｇｅｎｃｅＥｎｇｉｎｅ、ＡＩＥ）を含み、ＡＩＥは、ＵＰＦのデータプレーン上のデータを光スプリッタ（図１に示すユーザデータの光スプリッタ）から取得して、脅威の分析および検出を行うように構成されている。

図２に示すように、中央検出ノードデバイスは、コレクタと、ビッグデータプラットフォームと、ハドゥープ分散ファイルシステム（ｈａｄｏｏｐｄｉｓｔｒｉｂｕｔｅｄｆｉｌｅｓｙｓｔｅｍ、ＨＤＦＳ）とを含む。コレクタは、外部ネットワークエレメントおよび別のデータソースからデータを収集する役割を担う。例えば、コレクタは、ＳＦＴＰサービスを使用することによりＵＤＮによって外部に伝送されるＣＨＲデータ、すなわち、コアネットワークシグナリングデータを収集する。コレクタは、収集されたデータを解析し、その後、解析されたデータをビッグデータプラットフォームに送信する。ビッグデータプラットフォームは、コレクタにより送信されるデータを受信した後、データを記憶する、例えば、ＨＤＦＳを使用することによりデータを記憶する。加えて、中央検出ノードデバイスは、アルゴリズムモデルを使用することによりデータを更に分析および検出し、異常なＵＥを見つける。異常なＵＥに基づき異常なグループ特徴を決定した後、異常なグループ特徴がエッジ検出ノードデバイスに送信される。

図３に示すように、エッジ検出ノードデバイスは、フロープローブおよびＡＩＥを含む。光スプリッタは、コアネットワーク内のデータプレーン上のユーザデータをコピーし、そのユーザデータをフロープローブに送信するように構成されている。フロープローブは、トラフィック収集コンポーネントであり、トラフィックを光スプリッタのネットワークインタフェースカードから収集し、メタデータ（ｍｅｔａｄａｔａ）を抽出し、そのメタデータをＡＩＥに送信する役割を担う。ＡＩＥは、エッジＡＩ検出エンジンであり、フロープローブにより報告されるデータを分析および検出する。エッジ検出ノードデバイスは、中央検出ノードデバイスから異常なグループ特徴（例えばＵＥＩＰ）を取得した後、異常なグループ特徴をフィルタリング条件として使用することにより、光スプリッタによって取得されるユーザデータをフィルタリングし、条件に合うユーザデータパケットを更なる検出のための入力データとして使用し、条件に合わないユーザデータパケットを破棄して、検出する必要があるデータの量を削減する。

例えば、シグナリングは、通信ネットワーク内の様々なデバイス間で転送される関連する制御情報であり、その結果、デバイスは、調整を通じて動作する。制御情報は、これらのデバイスのそれぞれの動作を説明し、関連デバイスに連続性（ｃｏｎｔｉｎｕｉｔｙ）要件を提供するために使用される。ユーザデータは、ＵＥにより生成されるサービス関連データであり、例えば、ＵＥにより送信または受信されるデータである。

なお、図１から図３では、５Ｇネットワークシナリオを例として使用して、本願の本実施形態で提供するＵＥのユーザデータを検出するための方法の考えられる適用シナリオを説明する。本願の本実施形態で提供するＵＥのユーザデータを検出するための方法は、図１から図３に示すシナリオに限定されず、コアネットワークシグナリングデータが取得され得る別のネットワークシナリオも、本願の本実施形態で提供するユーザデータを検出するための方法に適用可能である。

図１に示すシステムアーキテクチャに関連して、図２に示す中央検出ノードデバイスと図３に示すエッジ検出ノードデバイスとが相互作用するプロセスを例として使用して、本願の本実施形態で提供するＵＥのユーザデータを検出するための方法を説明する。図４を参照すると、この方法は以下のプロセスを含む。

４０１：中央検出ノードデバイスがコアネットワークシグナリングデータを取得する。

図２に示すように、中央検出ノードデバイスは、コレクタを使用することにより外部ネットワークエレメントおよび別のデータソースからデータを収集してよい。例えば、コレクタは、ＳＦＴＰサービスを使用することによりＵＤＮによって外部に伝送されるＣＨＲデータを収集して、コアネットワークシグナリングデータを取得する。コアネットワークシグナリングデータは、ユーザシグナリングデータと呼ばれる場合もある。本願の本実施形態では、コアネットワークシグナリングデータを取得する機会および回数を限定しない。例えば、コアネットワークシグナリングデータは、期間に基づき取得されてよい。例えば、現在の期間のコアネットワークシグナリングデータが取得される。本願の本実施形態では、コアネットワークシグナリングデータを取得する期間の長さを限定しない。例えば、１５日間が１つの期間である。すなわち、１５日ごとに１回、ＣＨＲデータをＵＤＮから収集して、コアネットワークシグナリングデータを取得する。

４０２：中央検出ノードデバイスがコアネットワークシグナリングデータに基づき異常なＵＥを決定する。

オプションで、異常なＵＥは、正常な通信挙動を実行するＵＥとは挙動が異なるＵＥである。異常なＵＥは、挙動が怪しいＵＥであってもよいし、ハッカにより制御されるボットネット内のＵＥであってもよい。異常なＵＥは、通信システム全体に深刻なダメージを与える場合がある。例えば、異常なＵＥがハッカにより制御されるボットネット内のＵＥである場合は、ハッカがボットネット内の多数のＵＥを制御して、ＤＤｏＳ攻撃を開始する。従って、異常なＵＥのユーザデータに対してセキュリティ検出を行うことが特に重要である。

ある例示的な実施形態において、コアネットワークシグナリングデータに基づき異常なＵＥを決定する段階は、現在の期間のコアネットワークシグナリングデータに基づき現在の期間の挙動特徴を抽出する段階であって、挙動特徴は、通信プロセスにおける複数のＵＥの各々の挙動特徴である、抽出する段階と、現在の期間の挙動特徴に基づき現在の期間のＵＥプロファイルを確立する段階であって、ＵＥプロファイルは、複数のＵＥを含む少なくとも１つのＵＥグループを記述するために使用され、少なくとも１つのＵＥグループの各々におけるＵＥが同じ挙動特徴を有する、確立する段階と、現在の期間のＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき異常なＵＥを決定する段階であって、基準期間は、現在の期間よりも前の期間である、決定する段階とを含む。例えば、異常なＵＥを決定するプロセスを図５に示すことができる。図５では、現在の期間の前の期間を基準期間として使用することを例として使用する。現在の期間のデータが前処理される。具体的には、現在の期間の挙動特徴は、現在の期間のコアネットワークシグナリングデータに基づき抽出される。

例えば、中央検出ノードデバイスは、各期間（例えば１５分間）のコアネットワークシグナリングデータをＵＤＮから取得した後、現在の期間のコアネットワークシグナリングデータに基づき現在の期間の挙動特徴を抽出する。挙動特徴は、通信プロセスにおける複数のＵＥの各々の挙動特徴である。現在の期間の挙動特徴は、限定されるわけではないが、以下を含む。

期間時点表示：期間時点表示は、データ収集期間が位置する特定の時間範囲を示すために使用される。例えば、期間時点表示は、データ収集期間が位置する示された時間範囲内の任意の時点である。すなわち、データ収集期間内の時点が期間時点として使用され、期間時点は、データ収集期間が位置する特定の時間範囲を示すために使用される。加えて、同じデータ収集期間の全ての挙動特徴が同じ期間時点表示を含む。データ収集期間が現在の期間であることが例として使用され、現在の期間の全ての挙動特徴が同じ期間時点表示を含む。オプションで、現在の期間の全ての挙動特徴に含まれる期間時点表示は、現在の期間の開始時点であり、現在の期間の開始時点は、現在の期間が位置する特定の時間範囲を示すために使用される。例えば、現在の期間の開始時点が２０１９年１２月２５日の１２：００であり、終了時点が２０１９年１２月２６日の１２：００である。従って、現在の期間が位置する特定の時間範囲を示すために使用される期間時点表示が２０１９年１２月２５日の１２：００であり、２０１９－１２－２５：１２：００として表される。代替的に、現在の期間の全ての挙動特徴に含まれる期間時点表示は、現在の期間の終了時点であり、現在の期間の終了時点は、現在の期間が位置する特定の時間範囲を示すために使用される。現在の期間の開始時点が２０１９年１２月２５日の１２：００であり、且つ、終了時点が２０１９年１２月２６日の１２：００であることを、引き続き例として使用する。従って、現在の期間が位置する特定の時間範囲を示すために使用される期間時点表示が２０１９年１２月２６日の１２：００であり、２０１９－１２－２６：１２：００として表される。

ユーザ識別子：例えば、国際移動電話加入者識別番号（ｉｎｔｅｒｎａｔｉｏｎａｌｍｏｂｉｌｅｓｕｂｓｃｒｉｂｅｒｉｄｅｎｔｉｔｙ、ＩＭＳＩ）がユーザデータ識別子として使用され、期間データがユーザの粒度である。

ユーザ識別子に対応するシグナリングカテゴリカウント配列：シグナリングカテゴリカウント配列は、ＵＥにより送信される各タイプのシグナリング要求のカウントを示す。シグナリングカテゴリカウント配列は、Ｎ次元ベクトルであり、Ｎ次元ベクトル内のベクトルｉがシグナリングカテゴリｉに対応し、１つまたは複数のユーザ識別子のうち第１ユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、第１ユーザ識別子のシグナリングカテゴリｉのシグナリングカウント値であり、Ｎの値が自然数であり、ｉの値が０より大きくＮより小さい。例えば、シグナリングカテゴリカウント配列に含まれるシグナリングカテゴリの選択範囲は、以下に限定されるわけではないが、表１に示す５３個のシグナリングカテゴリを含む。すなわち、シグナリングカテゴリカウント配列に含まれるベクトルが、指定されたシグナリングカテゴリセット内のシグナリングカテゴリであり、ベクトル値が、指定されたシグナリングカテゴリセット内のシグナリングカテゴリに対応するシグナリングカウントである。オプションで、指定されたシグナリングカテゴリセットに含まれるシグナリングカテゴリは、表１に示す５３個のシグナリングカテゴリの幾つかまたは全てであり、または、表１における５３個のシグナリングカテゴリ以外のシグナリングカテゴリを含んでよい。

例えば、ＵＥの挙動特徴が、表２に示す情報を含む。表２における１列目の内容「"Ａｔｔａｃｈ"：１１，"Ｉｎｔｒａ＿ＵＳＮ＿Ｉｎｔｒａ＿Ｅ－ＵＴＲＡＮ－ＴＡＵ"：０」を例として使用する。ここで、"Ａｔｔａｃｈ"：１１は、"Ａｔｔａｃｈ"シグナリングのカウント値が１１であることを示す。すなわち、ユーザ識別子が４６００３０９１２１２１００１であるＵＥは、２０１９－１２－２５：１２：００の期間時点表示により示される期間内に１１回の"Ａｔｔａｃｈ"シグナリングを生成する。

現在の期間の挙動特徴に基づき現在の期間のＵＥプロファイルを確立する段階は、以下に限定されるわけではないが、１つまたは複数のユーザ識別子の各々に対応するシグナリングカテゴリカウント配列に基づき現在の期間の複数のＵＥをクラスタリングして、クラスタリング結果を取得する段階であって、クラスタリング結果は、少なくとも１つのＵＥグループを含む、取得する段階と、取得されたクラスタリング結果を現在の期間のＵＥプロファイルとして使用する段階とを含む。図６に示すように、現在の期間の複数のＵＥをクラスタリングしてクラスタリング結果を取得し、取得されたクラスタリング結果を現在の期間のＵＥプロファイルとして使用する。クラスタリングは、データが幾つかの側面で類似しているデータメンバを分類および整理するプロセスである。クラスタリングは、そのような内部構造に使用される技術である。クラスタリング技術は通常、教師なし学習と呼ばれる。本願の本実施形態では、機械学習クラスタリングアルゴリズムを使用して、異常なグループ、すなわち、異常なＵＥを見つけてよい。例えば、クラスタリング結果内の特定の層をＵＥプロファイルとして使用してもよい。

本願の本実施形態では、クラスタリング方式を限定しない。以下では、ＫＭｅａｎｓアルゴリズムを例として使用することにより説明を提供する。Ｋ平均法クラスタリング（ＫＭｅａｎｓ）は、パーティションおよびクラスタリングアルゴリズムである。データ点のセットおよび必要な数ｋのクラスタが与えられ、ｋはユーザにより指定され、ｋ平均法アルゴリズムは、距離関数に基づきデータをｋ個のクラスタに繰り返し分割する。その後、各オブジェクトと各シードクラスタリング中心との間の距離が計算され、各オブジェクトは、そのオブジェクトに最も近いクラスタリング中心に割り当てられる。クラスタリング中心とそのクラスタリング中心に割り当てられるオブジェクトとが、１つのクラスタを表す。ひとたび全てのオブジェクトが割り当てられると、クラスタ内にあったオブジェクトに基づき、各クラスタのクラスタリング中心が再計算される。例えば、ＫＭｅａｎｓアルゴリズムのクラスタリングプロセスは、以下の幾つかのステップ、ステップ１からステップ１０を含む。

ステップ１（Ｓｔｅｐ１）：中央検出ノードデバイスがＫ個のクラスタリング中心点を決定する。オプションで、Ｋ個のクラスタリング中心点は、中央検出ノードデバイスのユーザによりランダムに指定される。例えば、Ｋは３である。３つのクラスタリング中心点が、図７のＡ１、Ｂ１、およびＣ１として示されている。その後、中央検出ノードデバイスは、各ＵＥのユーザ識別子に対応するシグナリングカテゴリカウント配列（略してデータ点と呼ばれる）について、データ点と３つのクラスタリング中心点との間の距離に基づき、データ点を最も近いクラスタリング中心点に分類する。

ステップ２（Ｓｔｅｐ２）：中央検出ノードデバイスが現在のデータ点分布位置に基づき３つのクラスタリング中心点の位置を調節する。調節された３つのクラスタリング中心点の位置は、図８のＡ２、Ｂ２、およびＣ２として示されている。

ステップ３（Ｓｔｅｐ３）：中央検出ノードデバイスが各データ点を再入力し、新しいクラスタリング中心点の位置に基づく分割を通じて、データ点が属するクラスタを取得する。３つの新しいクラスタリング中心の位置が、図９のＡ３、Ｂ３、およびＣ３として示されている。図８における調節されたクラスタリング中心点の位置に基づき、各データ点は、新しいクラスタリング中心点の位置に基づきクラスタリングされる。

ステップ４（Ｓｔｅｐ４）：ステップ１から３が繰り返される。中央検出ノードデバイスは、データクラスタリングの位置に基づきクラスタリング中心点の位置を継続的に調節し、その後、新しいクラスタリング中心点の位置に基づく再分割を通じて、データ点が属するクラスタを取得する。図１０および図１１に示すプロセスを例として使用する。３つのクラスタリング中心点の位置は、図９に示すＡ３、Ｂ３、およびＣ３に基づき調節された後、図１０のＡ４、Ｂ４、およびＣ４として示されている。その後、３つのクラスタリング中心点の位置は、図１１のＡ５、Ｂ５、およびＣ５として示されるように再調節される。

ステップ５（Ｓｔｅｐ５）：複数回の反復の後、クラスタリング中心点の位置およびデータ点分布が最終的に安定し、データ分布を満たすクラスタリング中心点の位置が取得され、データ点がクラスタリンググループに適切に分類される。図１２に示す最終的なクラスタリング結果を例として使用してよい。図１２では、最終的なクラスタリング結果内の３つのクラスタリング中心点が、図１２のＡ６、Ｂ６、およびＣ６としてそれぞれ示されている。

上述のＫＭｅａｎｓクラスタリングアルゴリズムの原理および動作プロセスに基づき、表２における現在の期間のＵＥが、ＫＭｅａｎｓアルゴリズムを使用することによりシグナリングカテゴリカウントに基づきクラスタリングされる。例えば、中央検出ノードデバイスは、ＵＥに対応するコアネットワークシグナリングデータとクラスタリング中心点の位置とに基づきＵＥを２つのグループに分割し、これら２つのグループの挙動クラスタリング中心を見つける。任意の選択されたＵＥグループについては、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列が、選択されたＵＥグループ内の全てのユーザ識別子に対応するシグナリングカテゴリカウント配列の平均値である。具体的には、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、選択されたＵＥグループ内の全てのユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値の平均値である。例えば、Ｔ－１期間データの２つのクラスタリング結果が、以下の通りクラスタリング中心を使用することにより表される。ラベル「０」は、クラスタリング結果内の第１ＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列を表すために使用され、ラベル「１」は、第２ＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列を表すために使用される。

ラベル０：［１４．３３５８９２５１４３９５３９３，０．０，０．０，０．０，０．０，０．０，１．０３１６６９８６５６４２９９４１，０．０，０．０，０．０，２５．０７５８１５７３８９６３５３，６２．６４６８３３０１３４３５６９６，０．０，０．０，０．０，０．０，３１．１３０５１８２３４１６５０６６，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０］。

ラベル１：［１４．０３６８６２００３７８０７１９，０．０，０．０，０．０，０．０，０．０，０．６７２９６７８６３８９４１３９９，０．０，０．０，０．０，２２．６８９０３５８１６８２４１９６，５５．１８１４７４４８０１５１２３，０．０，０．０，０．０，０．０，２９．２０７９３９５０８５０６６１６，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０］。

ラベルが「０」である第１ＵＥグループに含まれるＵＥのユーザ識別子（ＩＭＳＩ）と、ラベルが「１」である第２ＵＥグループに含まれるＵＥのユーザ識別子とが、それぞれ以下の通り示される。

ラベル０に対応するユーザ識別子：［４６００３０９１２１２１００１，４６００３０９１２１２１００２，４６００３０９１２１２１００３，４６００３０９１２１２１００４，４６００３０９１２１２１００５，４６００３０９１２１２１００６，４６００３０９１２１２１００７，４６００３０９１２１２１００８，４６００３０９１２１２１００９，４６００３０９１２１２１０１０，４６００３０９１２１２１０１１，４６００３０９１２１２１０１２，４６００３０９１２１２１０１３，４６００３０９１２１２１０１４，４６００３０９１２１２１０１５，４６００３０９１２１２１０１６，４６００３０９１２１２１０１７，４６００３０９１２１２１０１８，４６００３０９１２１２１０１９，４６００３０９１２１２１０２０，４６００３０９１２１２１０２１，４６００３０９１２１２１０２２，４６００３０９１２１２１０２３，４６００３０９１２１２１０２４，４６００３０９１２１２１０２５，４６００３０９１２１２１０２６，４６００３０９１２１２１０２７，４６００３０９１２１２１０２８］。

ラベル１に対応するユーザ識別子：［４６００３１９１２１２１００１，４６００３１９１２１２１００２，４６００３１９１２１２１００３，４６００３１９１２１２１００４，４６００３１９１２１２１００５，４６００３１９１２１２１００６，４６００３１９１２１２１００７，４６００３１９１２１２１００８，４６００３１９１２１２１００９，４６００３１９１２１２１０１０，４６００３１９１２１２１０１１，４６００３１９１２１２１０１２，４６００３１９１２１２１０１３，４６００３１９１２１２１０１４，４６００３１９１２１２１０１５，４６００３１９１２１２１０１６，４６００３１９１２１２１０１７，４６００３１９１２１２１０１８，４６００３１９１２１２１０１９，４６００３１９１２１２１０２０，４６００３１９１２１２１０２１，４６００３１９１２１２１０２２，４６００３１９１２１２１０２３，４６００３１９１２１２１０２４，４６００３１９１２１２１０２５，４６００３１９１２１２１０２６，４６００３１９１２１２１０２７，４６００３１９１２１２１０２８］。

ＵＥプロファイルのクラスタリング中心のユーザシグナリングカテゴリカウント配列が、「シグナリングカテゴリカウント平均」を使用することにより表される。現在の期間のＵＥプロファイル内のラベル０に対応するクラスタリング結果を例として使用する。第１フィールド「１４．３３５８９２５１４３９５３９３」が、シグナリングカテゴリのうち第１シグナリングカテゴリ"Ａｔｔａｃｈ"に対応する平均値に対応する。類推により、後続の対応するシーケンス内のシグナリングカテゴリを表３に示す。

上に示すように、クラスタリング結果は、少なくとも２つのＵＥグループを含み、少なくとも２つのＵＥグループの各々は、少なくとも２つのＵＥグループのうち任意の選択されたＵＥグループについてクラスタリング中心を有し、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列がＮ次元ベクトルであり、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、選択されたＵＥグループ内の全てのユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値の平均値であり、選択されたＵＥグループの特徴値が、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計計算結果である。
中央検出ノードデバイスが現在の期間のＵＥプロファイルと基準期間内のＵＥプロファイルとを比較し、且つ、比較結果に基づき異常なＵＥを決定するプロセスは、限定されるわけではないが、以下を含む。中央検出ノードデバイスは、現在の期間の全てのＵＥグループの中から１つのＵＥグループを選択し、現在の期間の各ＵＥグループが処理されるまで、選択されたＵＥグループに対して、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計を計算して、選択されたＵＥグループに対応する特徴値を取得する処理と、選択されたＵＥグループに対応する特徴値と基準期間の全てのＵＥグループに対応する特徴値とを１つずつ比較し、あるＵＥグループに対応する特徴値と選択されたＵＥグループに対応する特徴値との差が指定された閾値より小さいケースが基準期間に存在しない場合に、選択されたＵＥグループ内のＵＥが異常なＵＥであると判断する処理とを行う。

現在の期間のＵＥプロファイルと基準のＵＥプロファイルとが比較され、且つ、比較結果に基づき異常なＵＥが決定されるプロセスを例として使用する。図１３に示すように、現在の期間（例えば時間ｔ）のＵＥグループプロファイルが計算され、現在の期間のＵＥグループプロファイルと前の期間（例えば時間ｔ－１）のＵＥグループプロファイルとの間のシグナリングカウントの変化が、比較を通じて取得される。クラスタリング中心がグループ挙動特徴の中心値を表し、且つ、クラスタリング中心の位置がグループ挙動特徴と共に変わるので、ＵＥプロファイルのクラスタリング中心同士を比較することにより、異常なＵＥを見つけることができる。

例えば、中央検出ノードデバイスは、現在の期間の全てのＵＥグループの中から１つのＵＥグループを選択し、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計を計算して、選択されたＵＥグループに対応する特徴値を取得する。例えば、選択されたＵＥグループが、ラベルが０であるクラスタリング結果に含まれるＵＥグループである場合は、ＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列は、［１４．３３５８９２５１４３９５３９３，０．０，０．０，０．０，０．０，０．０，１．０３１６６９８６５６４２９９４１，０．０，０．０，０．０，２５．０７５８１５７３８９６３５３，６２．６４６８３３０１３４３５６９６，０．０，０．０，０．０，０．０，３１．１３０５１８２３４１６５０６６，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０，０．０］である。ＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれる全てのベクトル値の合計計算結果が、１３４．２２０７２９４である。すなわち、ＵＥグループに対応する特徴値は、１３４．２２０７２９４である。同じ方法を使用して、前の期間の全てのＵＥグループに対応する特徴値を処理する。その後、中央検出ノードデバイスは、選択されたＵＥグループに対応する特徴値と前の期間の全てのＵＥグループに対応する特徴値とを１つずつ比較する。あるＵＥグループに対応する特徴値と選択されたＵＥグループに対応する特徴値との差が指定された閾値より小さいケースが前の期間に存在しない場合に、中央検出ノードデバイスは、選択されたＵＥグループ内のＵＥが異常なＵＥであると判断し、異常なＵＥのユーザ識別子またはＩＰを出力する。

本願の本実施形態では閾値の値を限定せず、経験に基づき設定してよい。例えば、閾値は５０％である。現在の期間Ｃｅｎｔｅｒ＿ｎｏｄｅｓ＿Ｔ（時間ｔ、検出対象期間）でラベルが１であるクラスタリング結果内の全てのＵＥグループの中心点の全てのフィールドを処理して、合計「２４１．７８８２７８９」を取得する。前の期間Ｃｅｎｔｅｒ＿ｎｏｄｅｓ＿Ｔ－１時間でラベルが０であるクラスタリング結果内の全てのＵＥグループの中心点の全てのフィールドを処理して、合計「１３４．２２０７２９４」を取得する。「２４１．７８８２７８９」が「１３４．２２０７２９４」より大きく、且つ、「２４１．７８８２７８９」と「１３４．２２０７２９４」との差が閾値５０％を超えるので、現在の期間Ｃｅｎｔｅｒ＿ｎｏｄｅｓ＿Ｔでラベルが１であるクラスタリング結果内の各ＵＥグループ内のＵＥが異常なグループであり、異常なグループ内の全てのＵＥが異常なＵＥであると判断する。

なお、以上では、現在の期間を示すために使用される期間時点と、ユーザ識別子と、ユーザシグナリングカテゴリカウントとが現在の期間の挙動特徴に含まれる例を使用することにより、ＵＥプロファイルを取得するプロセスの例示的な説明を提供した。
加えて、現在の期間の挙動特徴は、ＵＥのシグナリング総量、シグナリング送信頻度、およびアクセス持続時間における少なくとも１つの特徴を更に含む。本願の本実施形態では、現在の期間の挙動特徴を限定しない。任意の挙動特徴については、ユーザシグナリングカテゴリカウントに基づきＵＥをクラスタリングする上述のプロセスを参照されたい。

４０３：中央検出ノードデバイスが異常なＵＥに基づき異常なグループ特徴を決定する。

中央検出ノードデバイスは、異常なＵＥを決定した後、そのＵＥを識別できる特徴を異常なグループ特徴として使用する。異常なグループ特徴は、通信を行うために異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む。例えば、異常なグループ内の全てのＵＥが異常なＵＥとして決定された後、通信を行うために異常なＵＥにより使用されるＩＭＳＩおよびＩＰが、異常なＵＥの異常なグループ特徴として使用される。

なお、異常なグループ特徴は、異常なＵＥのインターネットプロトコルＩＰ、ポート、プロトコル種別、およびＩＭＳＩのうちの少なくとも１つを含む。以上では、ＩＭＳＩおよびＩＰを例として使用することにより説明を提供した。本願の本実施形態では、異常なグループ特徴を限定しない。

４０４：中央検出ノードデバイスが異常なグループ特徴をエッジ検出ノードデバイスに送信する。

異常なグループ特徴を取得した後、中央検出ノードデバイスは、異常なグループ特徴をエッジ検出ノードデバイスに送信し、その結果、エッジ検出ノードデバイスは、検出対象データをフィルタリングし、フィルタリング後に取得されるデータを検出する。

コアネットワークシグナリングデータを周期的に収集することにより異常なグループ特徴が決定された後、各期間の決定された異常なグループ特徴がエッジ検出ノードデバイスに直ちに送信されてよく、その結果、エッジ検出ノードデバイスは、異常なグループ特徴に基づき検出対象データをフィルタリングして、検出対象データの量を削減することができる。

４０５：エッジ検出ノードデバイスが、中央検出ノードデバイスにより送信される異常なグループ特徴を受信する。

エッジ検出ノードデバイスは、中央検出ノードデバイスにより送信される異常なグループ特徴を受信した後、異常なグループ特徴を記憶して、検出のたびに異常なグループ特徴を取得してよい。

本願の本実施形態では、エッジ検出ノードデバイスが異常なグループ特徴を記憶する方式を限定しない。例えば、中央検出ノードデバイスにより周期的に送信される異常なグループ特徴については、その都度受信される異常なグループ特徴が期間に基づき記憶されてもよいし、現在の期間の異常なグループ特徴が前の期間の異常なグループ特徴をカバーしてもよい。すなわち、エッジ検出ノードデバイスは、最新の異常なグループ特徴のみを記憶する。

４０６：エッジ検出ノードデバイスが検出対象データを取得する。

例えば、図３に示すように、エッジ検出ノードデバイスは、フロープローブを使用することにより光スプリッタのネットワークインタフェースカードからトラフィックを収集し、メタデータ（ｍｅｔａｄａｔａ）を抽出して、検出対象データを取得する。例えば、エッジ検出ノードデバイスは、検出対象データをリアルタイムで取得してもよいし、検出対象データを周期的に取得してもよい。本願の本実施形態では、エッジ検出ノードデバイスが検出対象データを取得する機会および頻度を限定しない。

４０７：エッジ検出ノードデバイスが異常なグループ特徴に基づき検出対象データをフィルタリングする。

エッジ検出ノードデバイスは、中央検出ノードデバイスにより送信される異常なグループ特徴を受信した後、異常なグループ特徴に基づき検出対象データをフィルタリングする。フィルタリング方式は、以下に限定されるわけではないが、検出対象データの中から異常なグループ特徴を満たすデータを選択し、異常なグループ特徴を満たすデータを、フィルタリング後に取得されるデータとして使用することを含む。

例えば、異常なグループ特徴は、異常なＵＥのＩＰを含む。エッジ検出ノードデバイスは、検出対象データを取得した後、ＩＰが検出対象データ内の異常なＵＥのＩＰと同じである検出対象データを、フィルタリング後に取得されるデータとして使用する。

なお、異常なグループ特徴が少なくとも２つの特徴を含み、且つ、エッジ検出ノードデバイスが異常なグループ特徴に基づき検出対象データをフィルタリングする場合は、フィルタリング方式が、限定されるわけではないが、以下の２つのフィルタリング方式を含む。

フィルタリング方式１：全ての異常なグループ特徴を満たす検出対象データが、フィルタリング後に取得されるデータとして使用される。

例えば、異常なグループ特徴は、異常なＵＥのＩＰおよびポート番号を含む。エッジ検出ノードデバイスは、検出対象データを取得した後、ＩＰが異常なＵＥのＩＰと同じであり、且つ、ポート番号が検出対象データ内の異常なＵＥのポート番号と同じである検出対象データを、フィルタリング後に取得されるデータとして使用する。

フィルタリング方式２：異常なグループ特徴のうち任意の特徴を満たす検出対象データが、フィルタリング後に取得されるデータとして使用される。

例えば、異常なグループ特徴は、異常なＵＥのＩＰおよびポート番号を含む。エッジ検出ノードデバイスは、検出対象データを取得した後、ＩＰが検出対象データ内の異常なＵＥのＩＰと同じである検出対象データを、フィルタリング後に取得されるデータとして使用し、ポート番号が検出対象データ内の異常なＵＥのポート番号と同じである検出対象データを、フィルタリング後に取得されるデータとして使用する。このように、フィルタリング後に取得される一部のデータは、ＩＰが異常なＵＥのＩＰと同じであるが、ポート番号が異常なＵＥのポート番号とは異なるデータである。加えて、フィルタリング後に取得される一部のデータは、ＩＰが異常なＵＥのＩＰとは異なるが、ポート番号が異常なＵＥのポート番号と同じであるデータである。加えて、フィルタリング後に取得される一部のデータは、ＩＰが異常なＵＥのＩＰと同じであるが、ポート番号が異常なＵＥのポート番号と同じであるデータである。フィルタリング方式１と比較して、フィルタリング方式２では、より大量のデータがフィルタリング後に取得され、検出範囲がより広い。

しかしながら、これらのフィルタリング方式の各々では、異常なＵＥの異常なグループ特徴に基づきフィルタリングが行われるので、検出対象データの量が、全ての検出対象データを検出するデータ量より少ない。本願の本実施形態では特定のフィルタリング方式を限定せず、シナリオ要件に基づき設定してよい。

エッジ検出ノードデバイスは、フィルタリング後に取得されるデータを検出する。

例えば、エッジ検出ノードデバイスは、以下に限定されるわけではないが、フィルタリング後に取得されるデータをセキュリティ検出アルゴリズムに基づき検出することを含め、フィルタリング後に取得されるデータを検出して、フィルタリング後に取得されるデータが安全であるかどうかを判断する。例えば、セキュリティ検出アルゴリズムは、以下に限定されるわけではないが、Ｃ＆Ｃチャネル検出アルゴリズムおよびマイニングアルゴリズムを含む。

例えば、図３に示すように、エッジ検出ノードデバイスは、フロープローブを使用することにより光スプリッタのネットワークインタフェースカードからトラフィックを収集し、メタデータ（ｍｅｔａｄａｔａ）を抽出して、検出対象データを取得し、検出対象データをＡＩＥに送信する。ＡＩＥは、エッジＡＩ検出エンジンであり、フロープローブにより報告されるデータを分析および検出する。ＡＩＥは、中央検出ノードデバイスにより送信される異常なグループ特徴を受信した後、検出対象データの中から異常なグループ特徴を満たすデータを選択し、異常なグループ特徴を満たすデータを、フィルタリング後に取得されるデータとして使用し、フィルタリング後に取得されるデータを検出する。

結論として、中央検出ノードデバイスとエッジ検出ノードデバイスとが図１４で相互作用するプロセスを例として使用する。データ検出方法は以下のプロセスを含む。

１４１：中央検出ノードデバイスが、シグナリング手順の総数、シグナリングカテゴリカウント、シグナリング送信頻度、および端末アクセス持続時間を含む、コアネットワークシグナリングデータを収集する。例えば、シグナリングプレーン検出対象データをシグナリングプレーンから取得して、コアネットワークシグナリングデータを取得する。

１４２：中央検出ノードデバイスが現在の期間のコアネットワークシグナリングデータのプロファイルをモデル化し、そのプロファイルと前の期間のＵＥプロファイルとを比較し、異常なＵＥグループを決定する。

１４３：エッジ検出システムを開始する。この場合は、異常なグループの特徴ＩＰを配信する中央検出ノードデバイスがないことをフィルタリング条件として使用する。データプレーンから検出対象トラフィックが入力され、エッジ検出ノードデバイスが検出対象データストリームを取得する。

１４４：エッジ検出ノードデバイスがデータストリームをサンプリングする。

１４５：検出結果を中央検出ノードデバイスに報告する。

１４６：中央検出ノードデバイスがシグナリングプレーン検出対象データを分析および検出して、シグナリングプレーン上の異常なＵＥグループを見つける。取得された異常なグループ特徴が、異常なＵＥのＩＰである。異常なＵＥのＩＰリスト形式を例として使用する。異常なグループ特徴は、ＩＰアドレス１．１．１．１、２．２．２．２、３．３．３．３、４．４．４．４、および５．５．５．５である。

１４７：中央検出ノードデバイスが異常なＵＥのＩＰリストをエッジ検出ノードデバイスに送信する。

１４８：エッジ検出ノードデバイスが異常なＵＥのＩＰリストに基づき全てのデータプレーンパケットをフィルタリングし、異常なＵＥのＩＰリストにないパケットを破棄する。すなわち、エッジ検出ノードデバイスは、ＵＥのＩＰが１．１．１．１、２．２．２．２、３．３．３．３、４．４．４．４、および５．５．５．５であるパケットのみをキャプチャし、メタデータを生成し、セキュリティ検出を行う。

１４９：エッジ検出ノードデバイスが検出結果を中央検出ノードデバイスに送信する。

オプションで、図１に示すシステムアーキテクチャにおいて、データ検出プロセスを図１５に示す。１５１：ＵＤＮがコアネットワークシグナリングデータを中央検出ノードデバイスに報告する、または、中央検出ノードデバイスのコレクタがＵＤＮのコアネットワークシグナリングデータを収集する。１５２：中央検出ノードデバイスがシグナリングデータを検出して、異常なグループを見つける。例えば、図４に示すステップ４０２および４０３を参照すると、異常なグループ特徴が取得される。異常なグループ特徴がエッジ検出ノードデバイスに送信される前に、１５３が行われる。１５３：エッジ検出ノードデバイスが、入力された検出対象データプレーントラフィックを光スプリッタから取得する、すなわち、検出対象データを取得する。１５４：トラフィックが非常に多く、エッジ検出ノードデバイスの検出処理性能を超える場合は、エッジ検出ノードデバイスがランダムサンプリングを行う。１５５：エッジ検出ノードデバイスが検出結果を中央検出ノードデバイスに報告する。１５６：異常なグループ特徴を取得した後、中央検出ノードデバイスが異常なグループ特徴をエッジ検出ノードデバイスに送信する。１５７：異常なグループ特徴を受信した後、入力された検出対象データプレーントラフィックを光スプリッタから取得した場合、すなわち、検出対象データを取得した場合は、エッジ検出ノードデバイスが１５８を行う。１５８：図４のステップ４０７に示すように、エッジ検出ノードデバイスがシグナリングプレーンの異常な特徴、すなわち、異常なグループ特徴に基づき検出対象データをフィルタリングする。１５９：フィルタリング後に取得されるデータを検出した後、検出結果を取得するために、エッジ検出ノードデバイスが検出結果を中央検出ノードデバイスに報告する。なお、上述のプロセス１５５および１５９でエッジ検出ノードデバイスにより中央検出ノードデバイスに報告される検出結果は、コアネットワーク内のネットワークデバイスを管理および維持するために中央検出ノードデバイスにより使用されてよい。

中央検出ノードデバイスが異常なグループ特徴をエッジ検出ノードデバイスに配信することは、検出の「フィードバック」メカニズムである。エッジ検出シナリオでは、使用され得るリソースの数が非常に限られており、完全なトラフィックを検出することが通常は難しい。従って、「フィードバック」メカニズムは、検出効率を大幅に改善し、容認可能な検出率が低下したときにコストを削減するために使用され得る。すなわち、機械学習クラスタリングアルゴリズムを使用してシグナリングプレーン上の異常なグループを見つけるので、異常なグループの数がデータプレーン上のユーザの数よりはるかに少ない。エッジ検出ノードデバイスは、シグナリングの異常な特徴に基づきほとんどのユーザデータをフィルタで除去して、処理効率および性能を改善する。例えば、１００万のユーザまたはＩｏＴデバイスのうち１万のユーザまたはＩｏＴデバイスがボットネット内のコンピューティングに使用される場合は、９９％のトラフィックがフィルタで除去され得ると推定され、これは性能が９９倍改善されることに相当する。

加えて、中央検出ノードデバイスにより配信される受信された異常なグループ特徴（例えば、構成または機械学習を通じて取得されるＩＰ、プロトコル種別、およびポート番号などの条件）に基づきエッジ検出ノードデバイスがまずフィルタリングを行った後、フィルタリング後に取得されるデータについて、本願の本実施形態で提供する方法は、フィルタリング後に取得されるデータに対するセキュリティ検出の実行をサポートするだけでなく、フィルタリング後に取得されるデータに対する他の検出の実行もサポートする。本願の本実施形態では、検出方式および検出内容を限定しない。例えば、フィルタリング後に取得されるデータのトラフィックに対してキー検出を行うプロセスがある。

本願の本実施形態で提供する方法において、中央検出ノードデバイスは、コアネットワークシグナリングデータに基づき異常なＵＥを決定する。異常なＵＥの数がデータプレーン上のユーザの数より少ないので、異常なグループ特徴が異常なＵＥに基づき決定された後、異常なグループ特徴は、エッジ検出ノードデバイスに送信される。従って、エッジ検出ノードデバイスは、検出対象データをフィルタリングした後、フィルタリング後に取得されるデータのみを検出して、検出対象データの量を削減し、検出効率および検出性能を改善する。

本願のある実施形態は、ＵＥのユーザデータを検出するための装置を提供する。この装置は、図４に示す実施形態で中央検出ノードデバイスにより実行される機能を実行するように構成されている。図１６を参照すると、この装置は、取得モジュール１６０１と、第１決定モジュール１６０２と、第２決定モジュール１６０３と、送信モジュール１６０４とを含む。

取得モジュール１６０１は、コアネットワークシグナリングデータを取得するように構成されている。コアネットワークシグナリングデータは、以下に限定されるわけではないが、通話履歴記録データを含む。例えば、取得モジュール１６０１により実行される機能については、図４に示す実施形態のステップ４０１を参照されたい。

第１決定モジュール１６０２は、コアネットワークシグナリングデータに基づき異常なＵＥを決定するように構成されている。異常なＵＥは、異常な挙動を伴うＵＥである。例えば、第１決定モジュール１６０２により実行される機能については、図４に示す実施形態のステップ４０２を参照されたい。

第２決定モジュール１６０３は、異常なＵＥに基づき異常なグループ特徴を決定するように構成されている。異常なグループ特徴は、通信を行うために異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む。例えば、第２決定モジュール１６０３により実行される機能については、図４に示す実施形態のステップ４０３を参照されたい。

送信モジュール１６０４は、異常なグループ特徴をエッジ検出ノードデバイスに送信するように構成されている。例えば、送信モジュール１６０４により実行される機能については、図４に示す実施形態のステップ４０４を参照されたい。

ある例示的な実施形態において、取得モジュール１６０１は、現在の期間のコアネットワークシグナリングデータを取得するように構成されている。

第１決定モジュール１６０２は、現在の期間のコアネットワークシグナリングデータに基づき現在の期間の挙動特徴を抽出することであって、挙動特徴は、通信プロセスにおける複数のＵＥの各々の挙動特徴である、抽出することと、現在の期間の挙動特徴に基づき現在の期間のＵＥプロファイルを確立することであって、ＵＥプロファイルは、複数のＵＥを含む少なくとも１つのＵＥグループを記述するために使用され、少なくとも１つのＵＥグループの各々におけるＵＥが同じ挙動特徴を有する、確立することと、現在の期間のＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき異常なＵＥを決定することであって、基準期間は、現在の期間よりも前の期間である、決定することとを行うように構成されている。

ある例示的な実施形態において、現在の期間の挙動特徴は、現在の期間の時点表示、１つまたは複数のユーザ識別子、および１つまたは複数のユーザ識別子の各々に対応するシグナリングカテゴリカウント配列を含み、シグナリングカテゴリカウント配列は、Ｎ次元ベクトルであり、Ｎ次元ベクトル内のベクトルｉがシグナリングカテゴリｉに対応し、１つまたは複数のユーザ識別子のうち第１ユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、第１ユーザ識別子のシグナリングカテゴリｉのシグナリングカウント値であり、Ｎの値が自然数であり、ｉの値が０より大きくＮより小さい。

第１決定モジュール１６０２は、１つまたは複数のユーザ識別子の各々に対応するシグナリングカテゴリカウント配列に基づき現在の期間の複数のＵＥをクラスタリングして、クラスタリング結果を取得することであって、クラスタリング結果は、少なくとも１つのＵＥグループを含む、取得することと、取得されたクラスタリング結果を現在の期間のＵＥプロファイルとして使用することとを行うように構成されている。

ある例示的な実施形態において、クラスタリング結果は、少なくとも２つのＵＥグループを含み、少なくとも２つのＵＥグループの各々は、少なくとも２つのＵＥグループのうち任意の選択されたＵＥグループについてクラスタリング中心を有し、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列がＮ次元ベクトルであり、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、選択されたＵＥグループ内の全てのユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値の平均値であり、選択されたＵＥグループの特徴値が、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計計算結果である。

第１決定モジュール１６０２は、現在の期間の全てのＵＥグループの中から１つのＵＥグループを選択し、現在の期間の各ＵＥグループが処理されるまで、選択されたＵＥグループに対して、選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計を計算して、選択されたＵＥグループに対応する特徴値を取得する処理と、選択されたＵＥグループに対応する特徴値と基準期間の全てのＵＥグループに対応する特徴値とを１つずつ比較し、あるＵＥグループに対応する特徴値と選択されたＵＥグループに対応する特徴値との差が指定された閾値より小さいケースが基準期間に存在しない場合に、選択されたＵＥグループ内のＵＥが異常なＵＥであると判断する処理とを行うように構成されている。

ある例示的な実施形態では、異常なＵＥの指定された情報が、異常なＵＥのインターネットプロトコルＩＰ、ポート、プロトコル種別、および国際移動電話加入者識別番号ＩＭＳＩのうちの少なくとも１つを含む。

ある例示的な実施形態において、現在の期間の挙動特徴は、ＵＥのシグナリング総量、シグナリング送信頻度、およびアクセス持続時間における少なくとも１つの特徴を更に含む。

本願の本実施形態で提供する装置は、コアネットワークシグナリングデータに基づき異常なＵＥを決定する。異常なＵＥの数がデータプレーン上のユーザの数より少ないので、異常なグループ特徴が異常なＵＥに基づき決定された後、異常なグループ特徴は、エッジ検出ノードデバイスに送信される。従って、エッジ検出ノードデバイスは、検出対象データをフィルタリングした後、フィルタリング後に取得されるデータのみを検出して、検出対象データの量を削減し、検出効率および検出性能を改善する。

本願のある実施形態は、ＵＥのユーザデータを検出するための装置を提供する。この装置は、図４に示す実施形態でエッジ検出ノードデバイスにより実行される機能を実行するように構成されている。図１７を参照すると、この装置は、受信モジュール１７０１と、取得モジュール１７０２と、フィルタリングモジュール１７０３と、検出モジュール１７０４とを含む。

受信モジュール１７０１は、中央検出ノードデバイスにより送信される異常なグループ特徴を受信するように構成されており、異常なグループ特徴は、通信を行うために異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む。例えば、受信モジュール１７０１により実行される機能については、図４に示す実施形態のステップ４０５を参照されたい。

取得モジュール１７０２は、検出対象データを取得するように構成されている。例えば、取得モジュール１７０２により実行される機能については、図４に示す実施形態のステップ４０６を参照されたい。

フィルタリングモジュール１７０３は、異常なグループ特徴に基づき検出対象データをフィルタリングするように構成されている。例えば、フィルタリングモジュール１７０３により実行される機能については、図４に示す実施形態のステップ４０７を参照されたい。

検出モジュール１７０４は、フィルタリング後に取得されるデータを検出するように構成されている。例えば、検出モジュール１７０４により実行される機能については、図４に示す実施形態のステップ４０８を参照されたい。

ある例示的な実施形態において、フィルタリングモジュール１７０３は、検出対象データの中から異常なグループ特徴を満たすデータを選択し、異常なグループ特徴を満たすデータを、フィルタリング後に取得されるデータとして使用するように構成されている。

ある例示的な実施形態では、異常なＵＥの指定された情報が、異常なＵＥのインターネットプロトコルＩＰ、ポート、プロトコル種別、およびＩＭＳＩのうちの少なくとも１つを含む。

本願の本実施形態で提供する装置は、中央検出ノードデバイスにより送信される異常なグループ特徴を受信する。異常なグループ特徴は、異常なＵＥに基づき取得され、異常なＵＥの数がデータプレーン上のユーザの数より少ない。従って、検出対象データが異常なグループ特徴に基づきフィルタリングされた後、フィルタリング後に取得されるデータのみを検出して、検出対象の数を削減し、検出効率および検出性能を改善する。

なお、図１６または図１７で提供する装置がこの装置の機能を実装する場合は、上述の機能モジュールへの分割が説明のための例として使用されるに過ぎない。実際の適用では、上述の機能は、要件に基づき完了するために複数の異なる機能モジュールに割り当てられてよい。すなわち、デバイスの内部構造を複数の異なる機能モジュールに分割して、上述の説明における全てまたは幾つかの機能を実装する。加えて、実施形態で提供する装置は、方法の実施形態と同じ概念に属する。具体的な実装プロセスについては、方法の実施形態を参照されたい。ここでは、詳細について改めて説明しない。

図１８は、本願のある実施形態に係る、ＵＥのユーザデータを検出するためのデバイス１８００のハードウェア構造の概略図である。図１８におけるＵＥのユーザデータを検出するためのデバイス１８００は、図４に示す実施形態の方法における、中央検出ノードデバイスまたはエッジ検出ノードデバイスにより行われる対応するステップを行ってよい。

図１８に示すように、ＵＥのユーザデータを検出するためのデバイス１８００は、プロセッサ１８０１と、メモリ１８０２と、ネットワークインタフェース１８０３と、バス１８０６とを含む。ネットワークインタフェース１８０３は、無線または有線の方式で実装されてよく、具体的には、ネットワークインタフェースカードであってよい。プロセッサ１８０１、メモリ１８０２、およびネットワークインタフェース１８０３は、バス１８０６を通じて接続される。

ネットワークインタフェース１８０３は、送信機および受信機を含んでよい。例えば、ＵＥのユーザデータを検出するためのデバイス１８００が中央検出ノードデバイスである場合は、ネットワークインタフェース１８０３は、コアネットワークシグナリングデータを受信して異常なグループ特徴をエッジ検出ノードデバイスに送信する、すなわち、図４に示す実施形態における４０１および４０４の処理ステップを行うように構成されている。別の例として、ＵＥのユーザデータを検出するためのデバイス１８００がエッジ検出ノードデバイスである場合は、ネットワークインタフェース１８０３は、中央検出ノードデバイスにより送信される異常なグループ特徴を受信し、図４に示す実施形態における４０５の処理ステップを行うように構成されている。プロセッサ１８０１は、図４に示す実施形態における４０６から４０８の処理関連ステップを行うように構成されている。

メモリ１８０２は、オペレーティングシステム１８０２１とプログラム１８０２２とを含み、プログラム、コード、または命令を記憶するように構成されている。プロセッサ１８０１またはハードウェアデバイスがプログラム、コード、または命令を実行すると、方法の実施形態におけるＵＥのユーザデータを検出するためのデバイス１８００に関連する処理プロセスが完了されてよい。オプションで、メモリ１８０２は、リードオンリメモリ（英語：Ｒｅａｄ－ｏｎｌｙＭｅｍｏｒｙ、略してＲＯＭ）およびランダムアクセスメモリ（英語：ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ、略してＲＡＭ）を含んでよい。ＲＯＭは、基本入出力システム（英語：ＢａｓｉｃＩｎｐｕｔ／ＯｕｔｐｕｔＳｙｓｔｅｍ、略してＢＩＯＳ）または埋め込みシステムを含む。ＲＡＭは、アプリケーションおよびオペレーティングシステムを含む。ＵＥのユーザデータを検出するためのデバイス１８００を実行する必要がある場合は、ＲＯＭに固定されたＢＩＯＳまたは埋め込みシステム内のブートシステムブートローダを使用して、ＵＥのユーザデータを検出するためのデバイス１８００をブートして、ＵＥのユーザデータを検出するためのデバイス１８００が正常な実行状態に入るように誘導する。ＵＥのユーザデータを検出するためのデバイス１８００が正常な実行状態に入った後、ＲＡＭ内のアプリケーションおよびオペレーティングシステムが実行され、方法の実施形態におけるＵＥのユーザデータを検出するためのデバイス１８００に関連する処理プロセスを完了する。

図１８が示すのは、ＵＥのユーザデータを検出するためのデバイス１８００の簡略化された設計のみであることを理解することができる。実際の適用において、ＵＥのユーザデータを検出するためのデバイス１８００は、任意の数のインタフェース、プロセッサ、またはメモリを含んでよい。例えば、図１８に示すように、ＵＥのユーザデータを検出するためのデバイス１８００は、入力デバイス１８０４とディスプレイ１８０５とを更に含む。入力デバイス１８０４は、検出関連命令を入力するように構成されてよく、ディスプレイ１８０５は、検出関連命令を表示するように構成されてよく、データ検出結果を更に表示してよい。

上述のプロセッサは、中央処理装置（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ、ＣＰＵ）であってもよいし、別の汎用プロセッサ、デジタル信号プロセッサ（ｄｉｇｉｔａｌｓｉｇｎａｌｐｒｏｃｅｓｓｏｒ、ＤＳＰ）、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ－ｓｐｅｃｉｆｉｃｉｎｔｅｇｒａｔｅｄｃｉｒｃｕｉｔ、ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ｆｉｅｌｄ－ｐｒｏｇｒａｍｍａｂｌｅｇａｔｅａｒｒａｙ、ＦＰＧＡ）もしくは別のプログラマブルロジックデバイス、ディスクリートゲートもしくはトランジスタロジックデバイス、またはディスクリートハードウェアコンポーネントなどであってもよいことを理解されたい。汎用プロセッサは、マイクロプロセッサであってもよいし、任意の従来のプロセッサなどであってもよい。なお、プロセッサは、高度縮小命令セットコンピューティングマシン（ａｄｖａｎｃｅｄＲＩＳＣｍａｃｈｉｎｅ、ＡＲＭ）アーキテクチャをサポートするプロセッサであってよい。

更に、任意選択的な実施形態において、メモリは、リードオンリメモリおよびランダムアクセスメモリを含み、命令およびデータをプロセッサに提供してよい。メモリは、不揮発性ランダムアクセスメモリを更に含んでよい。例えば、メモリは、デバイスタイプに関する情報を更に記憶してよい。

メモリは、揮発性メモリまたは不揮発性メモリであってもよいし、揮発性メモリおよび不揮発性メモリの両方を含んでもよい。不揮発性メモリは、リードオンリメモリ（ｒｅａｄ－ｏｎｌｙｍｅｍｏｒｙ、ＲＯＭ）、プログラマブルリードオンリメモリ（ｐｒｏｇｒａｍｍａｂｌｅＲＯＭ、ＰＲＯＭ）、消去可能プログラマブルリードオンリメモリ（ｅｒａｓａｂｌｅＰＲＯＭ、ＥＰＲＯＭ）、電気的消去可能プログラマブルリードオンリメモリ（ｅｌｅｃｔｒｉｃａｌｌｙＥＰＲＯＭ、ＥＥＰＲＯＭ）、またはフラッシュメモリであってよい。揮発性メモリは、外部キャッシュとして使用されるランダムアクセスメモリ（ｒａｎｄｏｍａｃｃｅｓｓｍｅｍｏｒｙ、ＲＡＭ）であってよい。限定ではなく例として、多くの形式のＲＡＭ、例えば、スタティックランダムアクセスメモリ（ｓｔａｔｉｃＲＡＭ、ＳＲＡＭ）、ダイナミックランダムアクセスメモリ（ｄｙｎａｍｉｃｒａｎｄｏｍａｃｃｅｓｓｍｅｍｏｒｙ、ＤＲＡＭ）、シンクロナスダイナミックランダムアクセスメモリ（ｓｙｎｃｈｒｏｎｏｕｓＤＲＡＭ、ＳＤＲＡＭ）、ダブルデータレートシンクロナスダイナミックランダムアクセスメモリ（ｄｏｕｂｌｅｄａｔａｒａｔｅＳＤＲＡＭ、ＤＤＲＳＤＲＡＭ）、エンハンスドシンクロナスダイナミックランダムアクセスメモリ（ｅｎｈａｎｃｅｄＳＤＲＡＭ、ＥＳＤＲＡＭ）、シンクリンクダイナミックランダムアクセスメモリ（ｓｙｎｃｈｌｉｎｋＤＲＡＭ、ＳＬＤＲＡＭ）、およびダイレクトラムバスランダムアクセスメモリ（ｄｉｒｅｃｔｒａｍｂｕｓＲＡＭ、ＤＲＲＡＭ）が利用可能である。

コンピュータ可読記憶媒体が更に提供される。この記憶媒体は、少なくとも１つの命令を記憶し、命令は、上述の実施形態のいずれか１つにおける、ＵＥのユーザデータを検出するための方法を実装するために、プロセッサによりロードおよび実行される。

本願は、コンピュータプログラムを提供する。コンピュータプログラムがコンピュータにより実行されると、プロセッサまたはコンピュータが、上述の方法の実施形態における対応するステップおよび／または手順を行ってよい。

データ検出システムが提供される。このシステムは、中央検出ノードデバイスとエッジ検出ノードデバイスとを含む。中央検出ノードデバイスおよびエッジ検出ノードデバイスがＵＥのユーザデータを検出するプロセスについては、図４に示す関連ステップを参照されたい。ここでは、詳細について改めて説明しない。

上述の実施形態の全てまたは幾つかが、ソフトウェア、ハードウェア、ファームウェア、またはその任意の組み合わせを使用することにより実装されてよい。これらの実施形態を実装するためにソフトウェアが使用される場合は、これらの実施形態の全てまたは幾つかがコンピュータプログラム製品の形で実装されてよい。コンピュータプログラム製品は、１つまたは複数のコンピュータ命令を含む。コンピュータ命令がコンピュータ上でロードおよび実行されると、本願に係る手順または機能の全てまたは一部が生成される。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、または別のプログラマブル装置であってよいる。コンピュータ命令は、コンピュータ可読記憶媒体に記憶されてもよいし、あるコンピュータ可読記憶媒体から別のコンピュータ可読記憶媒体に伝送されてもよい。例えば、コンピュータ命令は、あるウェブサイト、コンピュータ、サーバ、またはデータセンタから別のウェブサイト、コンピュータ、サーバ、またはデータセンタに有線（例えば同軸ケーブル、光ファイバ、またはデジタル加入者線）または無線（例えば赤外線、電波、またはマイクロ波）の方式で伝送されてよい。コンピュータ可読記憶媒体は、コンピュータからアクセス可能な任意の使用可能媒体、または、１つまたは複数の使用可能媒体を統合したサーバもしくはデータセンタなどのデータ記憶デバイスであってよい。使用可能媒体は、磁気媒体（例えばフロッピディスク、ハードディスク、または磁気テープ）、光媒体（例えばＤＶＤ）、または半導体媒体（例えばソリッドステートディスク（ＳｏｌｉｄＳｔａｔｅＤｉｓｋ）などであってよい。

上述の特定の実装では、本願の目的、技術的解決策、および有益な効果が更に詳細に説明されている。上述の説明は、本願の特定の実装に過ぎず、本願の保護範囲を限定すること意図するものではないことを理解されたい。本願の技術的解決策に基づき行われる修正、同等の置き換え、または改良などはいずれも、本願の保護範囲に入るものとする。
［他の考えられる項目］
（項目１）
ユーザ機器ＵＥのユーザデータを検出するための方法であって、
中央検出ノードデバイスがコアネットワークシグナリングデータを取得する段階と、
前記コアネットワークシグナリングデータに基づき異常なＵＥを決定する段階であって、前記異常なＵＥは、異常な挙動を伴うＵＥである、決定する段階と、
前記異常なＵＥに基づき異常なグループ特徴を決定する段階であって、前記異常なグループ特徴は、通信を行うために前記異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む、決定する段階と、
前記中央検出ノードデバイスが前記異常なグループ特徴をエッジ検出ノードデバイスに送信する段階と
を備える方法。
（項目２）
前記コアネットワークシグナリングデータを取得する段階は、
現在の期間のコアネットワークシグナリングデータを取得する段階
を有し、
前記コアネットワークシグナリングデータに基づき異常なＵＥを決定する前記段階は、
前記現在の期間の前記コアネットワークシグナリングデータに基づき前記現在の期間の挙動特徴を抽出する段階であって、前記挙動特徴は、通信プロセスにおける複数のＵＥの各々の挙動特徴である、抽出する段階と、
前記現在の期間の前記挙動特徴に基づき前記現在の期間のＵＥプロファイルを確立する段階であって、前記ＵＥプロファイルは、前記複数のＵＥを含む少なくとも１つのＵＥグループを記述するために使用され、前記少なくとも１つのＵＥグループの各々におけるＵＥが同じ挙動特徴を有する、確立する段階と、
前記現在の期間の前記ＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき前記異常なＵＥを決定する段階であって、前記基準期間は、前記現在の期間よりも前の期間である、決定する段階と
を有する、
項目１に記載の方法。
（項目３）
前記現在の期間の前記挙動特徴は、前記現在の期間の時点表示、１つまたは複数のユーザ識別子、および前記１つまたは複数のユーザ識別子の各々に対応するシグナリングカテゴリカウント配列を含み、前記シグナリングカテゴリカウント配列は、Ｎ次元ベクトルであり、前記Ｎ次元ベクトル内のベクトルｉがシグナリングカテゴリｉに対応し、前記１つまたは複数のユーザ識別子のうち第１ユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記第１ユーザ識別子のシグナリングカテゴリｉのシグナリングカウント値であり、Ｎの値が自然数であり、ｉの値が０より大きくＮより小さく、
前記現在の期間の前記挙動特徴に基づき前記現在の期間のＵＥプロファイルを確立する前記段階は、
前記１つまたは複数のユーザ識別子の各々に対応する前記シグナリングカテゴリカウント配列に基づき前記現在の期間の前記複数のＵＥをクラスタリングして、クラスタリング結果を取得する段階であって、前記クラスタリング結果は、前記少なくとも１つのＵＥグループを含む、取得する段階と、
取得された前記クラスタリング結果を前記現在の期間の前記ＵＥプロファイルとして使用する段階と
を含む、
項目２に記載の方法。
（項目４）
前記クラスタリング結果は、少なくとも２つのＵＥグループを含み、前記少なくとも２つのＵＥグループの各々は、前記少なくとも２つのＵＥグループのうち任意の選択されたＵＥグループについてクラスタリング中心を有し、前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列がＮ次元ベクトルであり、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記選択されたＵＥグループ内の全てのユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値の平均値であり、前記選択されたＵＥグループの特徴値が、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計計算結果であり、
前記現在の期間の前記ＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき前記異常なＵＥを決定する前記段階は、
前記現在の期間の全てのＵＥグループの中から１つのＵＥグループを選択し、前記現在の期間の各ＵＥグループが処理されるまで、前記選択されたＵＥグループに対して、
前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計を計算して、前記選択されたＵＥグループに対応する特徴値を取得する処理と、
前記選択されたＵＥグループに対応する前記特徴値と前記基準期間の全てのＵＥグループに対応する特徴値とを１つずつ比較し、あるＵＥグループに対応する特徴値と前記選択されたＵＥグループに対応する前記特徴値との差が指定された閾値より小さいケースが前記基準期間に存在しない場合に、前記選択されたＵＥグループ内のＵＥが異常なＵＥであると判断する処理と
を実行する段階を含む、
項目３に記載の方法。
（項目５）
前記異常なＵＥの指定された情報が、前記異常なＵＥのインターネットプロトコルＩＰ、ポート、プロトコル種別、および国際移動電話加入者識別番号ＩＭＳＩのうちの少なくとも１つを含む、項目１から４のいずれか一項に記載の方法。
（項目６）
前記現在の期間の前記挙動特徴は、前記ＵＥのシグナリング総量、シグナリング送信頻度、およびアクセス持続時間における少なくとも１つの特徴を更に含む、項目３から５のいずれか一項に記載の方法。
（項目７）
ユーザ機器ＵＥのユーザデータを検出するための方法であって、
前記エッジ検出ノードデバイスが検出対象データを取得する段階と、
前記エッジ検出ノードデバイスが前記異常なグループ特徴に基づき前記検出対象データをフィルタリングする段階と、
前記エッジ検出ノードデバイスが、フィルタリング後に取得される前記データを検出する段階と
を備える方法。
（項目８）
前記エッジ検出ノードデバイスが前記異常なグループ特徴に基づき前記検出対象データをフィルタリングする前記段階は、
前記検出対象データの中から前記異常なグループ特徴を満たすデータを選択し、前記異常なグループ特徴を満たす前記データを、前記フィルタリング後に取得されるデータとして使用する段階
を有する、項目７に記載の方法。
（項目９）
前記異常なＵＥの指定された情報が、前記異常なＵＥのインターネットプロトコルＩＰ、ポート、プロトコル種別、および国際移動電話加入者識別番号ＩＭＳＩのうちの少なくとも１つを含む、項目７または８に記載の方法。
（項目１０）
ユーザ機器ＵＥのユーザデータを検出するための装置であって、
コアネットワークシグナリングデータを取得するように構成された取得モジュールと、
前記コアネットワークシグナリングデータに基づき異常なＵＥを決定するように構成された第１決定モジュールであって、前記異常なＵＥは、異常な挙動を伴うＵＥである、第１決定モジュールと、
前記異常なＵＥに基づき異常なグループ特徴を決定するように構成された第２決定モジュールであって、前記異常なグループ特徴は、通信を行うために前記異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む、第２決定モジュールと、
前記異常なグループ特徴をエッジ検出ノードデバイスに送信するように構成された送信モジュールと
を備える装置。
（項目１１）
前記取得モジュールは、現在の期間のコアネットワークシグナリングデータを取得するように構成されており、
前記第１決定モジュールは、
前記現在の期間の前記コアネットワークシグナリングデータに基づき前記現在の期間の挙動特徴を抽出することであって、前記挙動特徴は、通信プロセスにおける複数のＵＥの各々の挙動特徴である、抽出することと、
前記現在の期間の前記挙動特徴に基づき前記現在の期間のＵＥプロファイルを確立することであって、前記ＵＥプロファイルは、前記複数のＵＥを含む少なくとも１つのＵＥグループを記述するために使用され、前記少なくとも１つのＵＥグループの各々におけるＵＥが同じ挙動特徴を有する、確立することと、
前記現在の期間の前記ＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき前記異常なＵＥを決定することであって、前記基準期間は、前記現在の期間よりも前の期間である、決定することと
を行うように構成されている、
項目１０に記載の装置。
（項目１２）
前記現在の期間の前記挙動特徴は、前記現在の期間の時点表示、１つまたは複数のユーザ識別子、および前記１つまたは複数のユーザ識別子の各々に対応するシグナリングカテゴリカウント配列を含み、前記シグナリングカテゴリカウント配列は、Ｎ次元ベクトルであり、前記Ｎ次元ベクトル内のベクトルｉがシグナリングカテゴリｉに対応し、前記１つまたは複数のユーザ識別子のうち第１ユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記第１ユーザ識別子のシグナリングカテゴリｉのシグナリングカウント値であり、Ｎの値が自然数であり、ｉの値が０より大きくＮより小さく、
前記第１決定モジュールは、
前記１つまたは複数のユーザ識別子の各々に対応する前記シグナリングカテゴリカウント配列に基づき前記現在の期間の前記複数のＵＥをクラスタリングして、クラスタリング結果を取得することであって、前記クラスタリング結果は、前記少なくとも１つのＵＥグループを含む、取得することと、
取得された前記クラスタリング結果を前記現在の期間の前記ＵＥプロファイルとして使用することと
を行うように構成されている、
項目１１に記載の装置。
（項目１３）
前記クラスタリング結果は、少なくとも２つのＵＥグループを含み、前記少なくとも２つのＵＥグループの各々は、前記少なくとも２つのＵＥグループのうち任意の選択されたＵＥグループについてクラスタリング中心を有し、前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列がＮ次元ベクトルであり、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記選択されたＵＥグループ内の全てのユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値の平均値であり、前記選択されたＵＥグループの特徴値が、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計計算結果であり、
前記第１決定モジュールは、前記現在の期間の全てのＵＥグループの中から１つのＵＥグループを選択し、前記現在の期間の各ＵＥグループが処理されるまで、前記選択されたＵＥグループに対して、
前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計を計算して、前記選択されたＵＥグループに対応する特徴値を取得する処理と、
前記選択されたＵＥグループに対応する前記特徴値と前記基準期間の全てのＵＥグループに対応する特徴値とを１つずつ比較し、あるＵＥグループに対応する特徴値と前記選択されたＵＥグループに対応する前記特徴値との差が指定された閾値より小さいケースが前記基準期間に存在しない場合に、前記選択されたＵＥグループ内のＵＥが異常なＵＥであると判断する処理と
を実行するように構成されている、
項目１２に記載の装置。
（項目１４）
前記異常なＵＥの指定された情報が、前記異常なＵＥのインターネットプロトコルＩＰ、ポート、プロトコル種別、および国際移動電話加入者識別番号ＩＭＳＩのうちの少なくとも１つを含む、項目１０から１３のいずれか一項に記載の装置。
（項目１５）
前記現在の期間の前記挙動特徴は、前記ＵＥのシグナリング総量、シグナリング送信頻度、およびアクセス持続時間における少なくとも１つの特徴を更に含む、項目１２から１４のいずれか一項に記載の装置。
（項目１６）
ユーザ機器ＵＥのユーザデータを検出するための装置であって、
中央検出ノードデバイスにより送信される異常なグループ特徴を受信するように構成された受信モジュールであって、前記異常なグループ特徴は、通信を行うために異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む、受信モジュールと、
検出対象データを取得するように構成された取得モジュールと、
前記異常なグループ特徴に基づき前記検出対象データをフィルタリングするように構成されたフィルタリングモジュールと、
フィルタリング後に取得されるデータを検出するように構成された検出モジュールと
を備える装置。
（項目１７）
前記フィルタリングモジュールは、前記検出対象データの中から前記異常なグループ特徴を満たすデータを選択し、前記異常なグループ特徴を満たす前記データを、前記フィルタリング後に取得されるデータとして使用するように構成されている、項目１６に記載の装置。
（項目１８）
前記異常なＵＥの指定された情報が、前記異常なＵＥのインターネットプロトコルＩＰ、ポート、プロトコル種別、および国際移動電話加入者識別番号ＩＭＳＩのうちの少なくとも１つを含む、項目１６または１７に記載の装置。
（項目１９）
ユーザ機器ＵＥのユーザデータを検出するためのデバイスであって、前記デバイスは、
メモリおよびプロセッサを備え、前記メモリは、少なくとも１つの命令を記憶し、前記少なくとも１つの命令は、項目１から６のいずれか一項における、ユーザ機器ＵＥのユーザデータを検出するための方法を実装するために、前記プロセッサによりロードおよび実行される、
デバイス。
（項目２０）
ユーザ機器ＵＥのユーザデータを検出するためのデバイスであって、前記デバイスは、
メモリおよびプロセッサを備え、前記メモリは、少なくとも１つの命令を記憶し、前記少なくとも１つの命令は、項目７から９のいずれか一項における、ユーザ機器ＵＥのユーザデータを検出するための方法を実装するために、前記プロセッサによりロードおよび実行される、
デバイス。
（項目２１）
ユーザ機器ＵＥのユーザデータを検出するためのシステムであって、項目１９に記載の少なくとも１つのデバイスと、項目２０に記載の少なくとも１つのデバイスとを備えるシステム。
（項目２２）
コンピュータ可読記憶媒体であって、前記記憶媒体は、少なくとも１つの命令を記憶し、前記命令は、項目１から９のいずれか一項に記載の、ユーザ機器ＵＥのユーザデータを検出するための方法を実装するために、プロセッサによりロードおよび実行される、コンピュータ可読記憶媒体。

Claims

ユーザ機器（ＵＥ）のユーザデータを検出するための方法であって、
中央検出ノードデバイスがコアネットワークシグナリングデータを取得する段階と、
前記コアネットワークシグナリングデータに基づき異常なＵＥを決定する段階であって、前記異常なＵＥは、異常な挙動を伴うＵＥである、決定する段階と、
前記異常なＵＥに基づき異常なグループ特徴を決定する段階であって、前記異常なグループ特徴は、通信を行うために前記異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む、決定する段階と、
前記中央検出ノードデバイスが前記異常なグループ特徴をエッジ検出ノードデバイスに送信する段階と
を備え、
コアネットワークシグナリングデータを取得する前記段階は、
現在の期間のコアネットワークシグナリングデータを取得する段階
を有し、
コアネットワークシグナリングデータに基づき異常なＵＥを決定する前記段階は、
前記現在の期間の前記コアネットワークシグナリングデータに基づき前記現在の期間の挙動特徴を抽出する段階であって、前記挙動特徴は、通信プロセスにおける複数のＵＥの各々の挙動特徴である、抽出する段階と、
前記現在の期間の前記挙動特徴に基づき前記現在の期間のＵＥプロファイルを確立する段階であって、前記ＵＥプロファイルは、前記複数のＵＥを含む少なくとも１つのＵＥグループを記述するために使用され、前記少なくとも１つのＵＥグループの各々におけるＵＥが同じ挙動特徴を有する、確立する段階と、
前記現在の期間の前記ＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき前記異常なＵＥを決定する段階であって、前記基準期間は、前記現在の期間よりも前の期間である、決定する段階と
を有し、
前記現在の期間の前記挙動特徴は、前記現在の期間の時点表示、１つまたは複数のユーザ識別子、および前記１つまたは複数のユーザ識別子の各々に対応するシグナリングカテゴリカウント配列を含み、前記シグナリングカテゴリカウント配列は、Ｎ次元ベクトルであり、前記Ｎ次元ベクトル内のベクトルｉがシグナリングカテゴリｉに対応し、前記１つまたは複数のユーザ識別子のうち第１ユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記第１ユーザ識別子のシグナリングカテゴリｉのシグナリングカウント値であり、Ｎの値が自然数であり、ｉの値が０より大きくＮより小さく、
前記現在の期間の前記挙動特徴に基づき前記現在の期間のＵＥプロファイルを確立する前記段階は、
前記１つまたは複数のユーザ識別子の各々に対応する前記シグナリングカテゴリカウント配列に基づき前記現在の期間の前記複数のＵＥをクラスタリングして、クラスタリング結果を取得する段階であって、前記クラスタリング結果は、前記少なくとも１つのＵＥグループを含む、取得する段階と、
取得された前記クラスタリング結果を前記現在の期間の前記ＵＥプロファイルとして使用する段階と
を含む、方法。
前記クラスタリング結果は、少なくとも２つのＵＥグループを含み、前記少なくとも２つのＵＥグループの各々は、前記少なくとも２つのＵＥグループのうち任意の選択されたＵＥグループについてクラスタリング中心を有し、前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列がＮ次元ベクトルであり、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記選択されたＵＥグループ内の全てのユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値の平均値であり、前記選択されたＵＥグループの特徴値が、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計計算結果であり、
前記現在の期間の前記ＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき前記異常なＵＥを決定する前記段階は、
前記現在の期間の全てのＵＥグループの中から１つのＵＥグループを選択し、前記現在の期間の各ＵＥグループが処理されるまで、前記選択されたＵＥグループに対して、
前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計を計算して、前記選択されたＵＥグループに対応する特徴値を取得する処理と、
前記選択されたＵＥグループに対応する前記特徴値と前記基準期間の全てのＵＥグループに対応する特徴値とを１つずつ比較し、あるＵＥグループに対応する特徴値と前記選択されたＵＥグループに対応する前記特徴値との差が指定された閾値より小さいケースが前記基準期間に存在しない場合に、前記選択されたＵＥグループ内のＵＥが異常なＵＥであると判断する処理と
を実行する段階を含む、
請求項１に記載の方法。
前記異常なＵＥの指定された情報が、前記異常なＵＥのインターネットプロトコル（ＩＰ）、ポート、プロトコル種別、および国際移動電話加入者識別番号（ＩＭＳＩ）のうちの少なくとも１つを含む、請求項１または２に記載の方法。
前記現在の期間の前記挙動特徴は、前記ＵＥのシグナリング総量、シグナリング送信頻度、およびアクセス持続時間における少なくとも１つの特徴を更に含む、請求項１または２に記載の方法。
前記異常なグループ特徴は、ユーザデータを検出するように構成されている、請求項１から４のいずれか一項に記載の方法。
前記エッジ検出ノードデバイスが、前記中央検出ノードデバイスにより送信された前記異常なグループ特徴を取得する段階と、
前記エッジ検出ノードデバイスが検出対象データを取得する段階と、
前記エッジ検出ノードデバイスが前記異常なグループ特徴に基づき前記検出対象データをフィルタリングする段階と、
前記エッジ検出ノードデバイスが、フィルタリング後に取得されるデータを検出する段階と
を、更に備える
請求項１から５のいずれか一項に記載の方法。
前記エッジ検出ノードデバイスが前記異常なグループ特徴に基づき前記検出対象データをフィルタリングする前記段階は、
前記検出対象データの中から前記異常なグループ特徴を満たすデータを選択し、前記異常なグループ特徴を満たす前記データを、前記フィルタリング後に取得される前記データとして使用する段階
を有する、請求項６に記載の方法。
前記エッジ検出ノードデバイスが異常なグループ特徴を取得する段階は、
前記エッジ検出ノードデバイスが前記異常なグループ特徴を受信する段階
を有する、請求項６または７に記載の方法。
ユーザ機器（ＵＥ）のユーザデータを検出するための装置であって、
コアネットワークシグナリングデータを取得するように構成された取得モジュールと、
前記コアネットワークシグナリングデータに基づき異常なＵＥを決定するように構成された第１決定モジュールであって、前記異常なＵＥは、異常な挙動を伴うＵＥである、第１決定モジュールと、
前記異常なＵＥに基づき異常なグループ特徴を決定するように構成された第２決定モジュールであって、前記異常なグループ特徴は、通信を行うために前記異常なＵＥにより使用される識別子またはユーザデータ伝送モードを含む、第２決定モジュールと、
前記異常なグループ特徴をエッジ検出ノードデバイスに送信するように構成された送信モジュールと
を備え、
前記取得モジュールは、現在の期間のコアネットワークシグナリングデータを取得するように構成されており、
前記第１決定モジュールは、
前記現在の期間の前記コアネットワークシグナリングデータに基づき前記現在の期間の挙動特徴を抽出することであって、前記挙動特徴は、通信プロセスにおける複数のＵＥの各々の挙動特徴である、抽出することと、
前記現在の期間の前記挙動特徴に基づき前記現在の期間のＵＥプロファイルを確立することであって、前記ＵＥプロファイルは、前記複数のＵＥを含む少なくとも１つのＵＥグループを記述するために使用され、前記少なくとも１つのＵＥグループの各々におけるＵＥが同じ挙動特徴を有する、確立することと、
前記現在の期間の前記ＵＥプロファイルと基準期間のＵＥプロファイルとを比較し、比較結果に基づき前記異常なＵＥを決定することであって、前記基準期間は、前記現在の期間よりも前の期間である、決定することと
を行うように構成されており、
前記現在の期間の前記挙動特徴は、前記現在の期間の時点表示、１つまたは複数のユーザ識別子、および前記１つまたは複数のユーザ識別子の各々に対応するシグナリングカテゴリカウント配列を含み、前記シグナリングカテゴリカウント配列は、Ｎ次元ベクトルであり、前記Ｎ次元ベクトル内のベクトルｉがシグナリングカテゴリｉに対応し、前記１つまたは複数のユーザ識別子のうち第１ユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記第１ユーザ識別子のシグナリングカテゴリｉのシグナリングカウント値であり、Ｎの値が自然数であり、ｉの値が０より大きくＮより小さく、
前記第１決定モジュールは、
前記１つまたは複数のユーザ識別子の各々に対応する前記シグナリングカテゴリカウント配列に基づき前記現在の期間の前記複数のＵＥをクラスタリングして、クラスタリング結果を取得することであって、前記クラスタリング結果は、前記少なくとも１つのＵＥグループを含む、取得することと、
取得された前記クラスタリング結果を前記現在の期間の前記ＵＥプロファイルとして使用することと
を行うように構成されている、装置。
前記クラスタリング結果は、少なくとも２つのＵＥグループを含み、前記少なくとも２つのＵＥグループの各々は、前記少なくとも２つのＵＥグループのうち任意の選択されたＵＥグループについてクラスタリング中心を有し、前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列がＮ次元ベクトルであり、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列内のベクトルｉのベクトル値が、前記選択されたＵＥグループ内の全てのユーザ識別子に対応するシグナリングカテゴリカウント配列内のベクトルｉのベクトル値の平均値であり、前記選択されたＵＥグループの特徴値が、前記選択されたＵＥグループの前記クラスタリング中心に対応する前記シグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計計算結果であり、
前記第１決定モジュールは、前記現在の期間の全てのＵＥグループの中から１つのＵＥグループを選択し、前記現在の期間の各ＵＥグループが処理されるまで、前記選択されたＵＥグループに対して、
前記選択されたＵＥグループのクラスタリング中心に対応するシグナリングカテゴリカウント配列に含まれるＮ個のベクトル値の合計を計算して、前記選択されたＵＥグループに対応する特徴値を取得する処理と、
前記選択されたＵＥグループに対応する前記特徴値と前記基準期間の全てのＵＥグループに対応する特徴値とを１つずつ比較し、あるＵＥグループに対応する特徴値と前記選択されたＵＥグループに対応する前記特徴値との差が指定された閾値より小さいケースが前記基準期間に存在しない場合に、前記選択されたＵＥグループ内のＵＥが異常なＵＥであると判断する処理と
を実行するように構成されている、
請求項９に記載の装置。
前記異常なＵＥの指定された情報が、前記異常なＵＥのインターネットプロトコル（ＩＰ）、ポート、プロトコル種別、および国際移動電話加入者識別番号（ＩＭＳＩ）のうちの少なくとも１つを含む、請求項９または１０に記載の装置。
前記現在の期間の前記挙動特徴は、前記ＵＥのシグナリング総量、シグナリング送信頻度、およびアクセス持続時間における少なくとも１つの特徴を更に含む、請求項９または１０に記載の装置。
ユーザ機器ＵＥのユーザデータを検出するためのシステムであって、
請求項９から１２のいずれか一項に記載の前記装置と、
前記エッジ検出ノードデバイスと
を備え、
前記エッジ検出ノードデバイスが、
検出対象データおよび前記送信モジュールにより送信された前記異常なグループ特徴を取得するように構成された取得モジュールと、
前記異常なグループ特徴に基づき前記検出対象データをフィルタリングするように構成されたフィルタリングモジュールと、
フィルタリング後に取得されるデータを検出するように構成された検出モジュールと
を備える、システム。
前記フィルタリングモジュールは、前記検出対象データの中から前記異常なグループ特徴を満たすデータを選択し、前記異常なグループ特徴を満たす前記データを、前記フィルタリング後に取得されるデータとして使用するように構成されている、請求項１３に記載のシステム。
前記エッジ検出ノードデバイスが、前記異常なグループ特徴を受信するように構成された受信モジュールを更に備える、請求項１３または１４に記載のシステム。
ユーザ機器（ＵＥ）のユーザデータを検出するためのデバイスであって、前記デバイスは、
メモリおよびプロセッサを備え、前記メモリは、少なくとも１つの命令を記憶し、前記少なくとも１つの命令は、請求項１から５のいずれか一項における、ユーザ機器ＵＥのユーザデータを検出するための方法を実装するために、前記プロセッサによりロードおよび実行される、
デバイス。
ユーザ機器ＵＥのユーザデータを検出するためのデバイスであって、前記デバイスは、
メモリおよびプロセッサを備え、前記メモリは、少なくとも１つの命令を記憶し、前記少なくとも１つの命令は、請求項６から８のいずれか一項における、ユーザ機器ＵＥのユーザデータを検出するための方法を実装するために、前記プロセッサによりロードおよび実行される、
デバイス。
ユーザ機器ＵＥのユーザデータを検出するためのシステムであって、請求項１６に記載の少なくとも１つのデバイスと、請求項１７に記載の少なくとも１つのデバイスとを備えるシステム。
プロセッサに、請求項１から５のいずれか一項に記載の、または、請求項６から８のいずれか一項に記載の、ユーザ機器ＵＥのユーザデータを検出するための方法を実装させるための、コンピュータプログラム。