JP7542497B2

JP7542497B2 - 情報処理装置、情報処理プログラム、および情報処理システム

Info

Publication number: JP7542497B2
Application number: JP2021141079A
Authority: JP
Inventors: 智紀前田; 洋美春木; 福友中西; 遵金井
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2021-08-31
Filing date: 2021-08-31
Publication date: 2024-08-30
Anticipated expiration: 2041-08-31
Also published as: JP2023034721A; US20230067096A1

Description

情報処理装置、情報処理プログラム、および情報処理システムに関する。

環境内に含まれる複数の機器間の通信データを、該環境の学習モデルの学習に用いる事が行われている。例えば、特定の環境において通信頻度の高い通信データおよび通信頻度の低い通信データを収集し、該環境の学習モデルの学習に用いる事が行われている。しかし、数か月に１度などの通信頻度の低い通信データの収集には時間を要するため、学習時間の増大が問題となる場合があった。

学習時間の短縮を図る技術として、学習に必要なデータ数を減らす技術が開示されている（例えば、非特許文献１参照）。また、通信データに替えて過去の中継通信数から予測した予測値を用い、実際の観測数が該予測値を上回った場合に通信データに関する異常を判別するモデルが開示されている（例えば、特許文献１参照）。

しかし、非特許文献１では通信頻度の低い通信データの収集に時間を要するため、学習時間の短縮を図ることは困難であった。また、特許文献１では、通信データに替えて中継通信数をモデルの入力に用いており、通信頻度の低い通信データの異常を判別することはできなかった。すなわち、従来技術では、学習精度の低下を抑制し且つ学習時間の短縮を図ることは困難であった。

特開２００６－２３８０４３号公報

ＨｅＺｈａｎｇ，ｅｔａｌ．"ＤｅｅｐＡｄｖｅｒｓａｒｉａｌＬｅａｒｎｉｎｇｉｎＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎ：ＡＤａｔａＡｕｇｍｅｎｔａｔｉｏｎＥｎｈａｎｃｅｄＦｒａｍｅｗｏｒｋ"（ａｒＸｉｖ２０１９）

本発明は、上記に鑑みてなされたものであって、学習精度の低下を抑制し且つ学習時間の短縮を図ることができる、情報処理装置、情報処理プログラム、情報処理システムを提供することを目的とする。

実施形態の情報処理装置は、取得部と、通信生成部と、を備える。取得部は、複数の第１機器を含む第１環境の第１通信データ、前記第１環境に含まれる複数の前記第１機器の各々の第１識別情報と前記第１機器の有する機能の機能識別情報とを対応付けた第１構成情報、および第２環境に含まれる複数の第２機器の各々の第２識別情報と前記第２機器の機能の機能識別情報とを対応付けた第２構成情報を取得する。通信生成部は、前記第１通信データに含まれる前記第１識別情報を、前記第１識別情報によって識別される前記第１機器の有する機能の前記機能識別情報に対応する前記第２識別情報に置換した、前記第２環境の通信予測データを生成する。前記通信生成部は、前記第１構成情報に基づいて、前記第１通信データに含まれる前記第１識別情報を対応する前記機能識別情報に置換した通信ひな形情報を生成する生成部と、前記通信ひな形情報に含まれる前記機能識別情報を、前記第２構成情報に含まれる該機能識別情報に対応する前記第２識別情報に置換した、前記通信予測データを生成する置換部と、を有する。

情報処理システムの一例の模式図。第１環境および第２環境の一例の模式図。第１通信データのデータ構成の一例の模式図。第１構成情報のデータ構成の一例の模式図。第２構成情報のデータ構成の一例の模式図。識別対応情報のデータ構成の一例の模式図。通信予測データのデータ構成の一例の模式図。第１環境および第２環境の一例の模式図。第１通信データのデータ構成の一例の模式図。第１構成情報のデータ構成の一例の模式図。第２構成情報のデータ構成の一例の模式図。識別対応情報のデータ構成の一例の模式図。通信予測データのデータ構成の一例の模式図。通信予測データのデータ構成の一例の模式図。第１環境および第２環境の一例の模式図。第１通信データのデータ構成の一例の模式図。第１構成情報のデータ構成の一例の模式図。第２構成情報のデータ構成の一例の模式図。識別対応情報のデータ構成の一例の模式図。通信予測データのデータ構成の一例の模式図。第１通信データのデータ構成の一例の模式図。第１構成情報のデータ構成の一例の模式図。第２構成情報のデータ構成の一例の模式図。識別対応情報のデータ構成の一例の模式図。通信予測データのデータ構成の一例の模式図。情報処理の流れの一例を示すフローチャート。情報処理システムの一例の模式図。通信ひな形情報のデータ構成の一例の模式図。通信予測データのデータ構成の一例の模式図。情報処理の流れの一例を示すフローチャート。ハードウェア構成図。

以下に添付図面を参照して、情報処理装置、情報処理プログラム、情報処理システムを詳細に説明する。

（第１の実施形態）
図１は、本実施形態の情報処理システム１の一例の模式図である。

情報処理システム１は、ネットワークＮなどを介して第１環境３０および第２環境３２の各々に含まれる機器３４と通信可能に接続されている。なお、情報処理システム１は、記憶媒体等を介して第１環境３０および第２環境３２の各々に含まれる機器３４とデータを送受信可能に接続された構成であってもよい。また、情報処理システム１は、第１環境３０および第２環境３２の各々に含まれるサーバ装置等とデータを送受信可能に接続された構成であってもよい。

第１環境３０は、試験環境の一例である。第１環境３０は、複数の第１機器３４Ａを含む。第１機器３４Ａは、機器３４の一例である。第１機器３４Ａは、少なくとも通信機能を有する。第１環境３０に含まれる複数の第１機器３４Ａは、第１環境３０内の複数の第１機器３４Ａ間でデータを通信する。

第２環境３２は、本番環境の一例である。第２環境３２は、複数の第２機器３４Ｂを含む。第１機器３４Ａは、機器３４の一例である。第２機器３４Ｂは、少なくとも通信機能を有する。第２環境３２に含まれる複数の第２機器３４Ｂは、第２環境３２内の複数の第２機器３４Ｂ間でデータを通信する。

第１環境３０および第２環境３２は、同じ機能の機器３４を１以上有する。言い換えると、第１環境３０に含まれる複数の第１機器３４Ａ、および、第２環境３２に含まれる複数の第２機器３４Ｂ、の各々の機能の少なくとも一部は重複する。

機器３４の機能とは、第１環境３０および第２環境３２の各々の環境内における分類または役割を意味する。分類とは、複数の機器３４を予め定めた分類条件に応じて複数のグループに分類した各グループのラベルを意味する。役割とは、環境内における機器３４の役割を意味する。

機器３４の有する機能は、例えば、ＰＬＣ（ＰｒｏｇｒａｍｍａｂｌｅＬｏｇｉｃＣｏｎｔｒｏｌｌｅｒ）、ＨＭＩ（ＨｕｍａｎＭａｃｈｉｎｅＩｎｔｅｒｆａｃｅ）、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）などであるが、これらに限定されない。

機器３４の有する機能は、さらに細分化したものであってもよい。例えば、通信プロトコルの違いに応じて更に機能を細分化してもよい。具体的には、例えば、温度調節のＰＬＣと水量調節のＰＬＣと、を同一の機能として扱ってもよい。また、例えば、温度調節のＰＬＣと水量調節のＰＬＣと、を別の機能として扱ってもよい。

図２は、第１環境３０および第２環境３２の一例の模式図である。

例えば、第１環境３０は、第１機器３４Ａ１および第１機器３４Ａ２の２つの第１機器３４Ａを有する。第１機器３４Ａ１および第１機器３４Ａ２は、第１環境３０内でネットワークを介して通信する。複数の第１機器３４Ａの各々には、第１識別情報が予め付与されている。

第１識別情報は、第１機器３４Ａを一意に識別するための識別情報である。第１識別情報は、第１機器３４Ａを一意に識別可能な情報であればよい。

第１識別情報には、例えば、第１環境３０内の第１機器３４Ａ間の通信時のアドレスとして用いる送信先または送信元を識別可能な情報を用いる。第１識別情報として用いる通信時のアドレスは、例えば、第１機器３４ＡのＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）アドレス、ＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレス等である。

また、第１識別情報は、第１機器３４Ａを一意に識別可能な情報であればよく、例えば、第１機器３４Ａの属する環境に応じて変化しうる情報を用いてもよい。この場合、例えば、第１識別情報には、ポート番号、ＶＬＡＮＩＤ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋＩｄｅｎｔｉｔｙＤｏｃｕｍｅｎｔ）、ＰＬＣのステーションＩＤ、シリアル通信のチャネル番号などを用いればよい。

ポート番号は、ＴＣＰ／ＩＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ／ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）通信において用いられる番号である。以下、ポート番号を、単にポートと称して説明する場合がある。ＶＬＡＮＩＤは、複数のセグメントの通信を同一のケーブルで行うときに、通信の各々を識別するために用いられる情報である。ＰＬＣのステーションＩＤは、ＰＬＣの行う通信相手を識別するために用いられる情報である。シリアル通信のチャネル番号は、同一のシリアルケーブルにおける通信を識別するために用いられる情報である。

本実施形態では、第１識別情報として第１機器３４ＡのＩＰアドレスを用いる形態を一例として説明する。

第２環境３２は、例えば、第２機器３４Ｂ１および第２機器３４Ｂ２の２つの第２機器３４Ｂを有する。第２機器３４Ｂ１および第２機器３４Ｂ２は、第２環境３２内でネットワークを介して通信する。複数の第２機器３４Ｂの各々には、第２識別情報が予め付与されている。

第２識別情報は、第２機器３４Ｂを一意に識別するための識別情報である。第２識別情報には、第１識別情報と同様に、例えば、第２機器３４ＢのＩＰアドレス、ＭＡＣアドレス、ポート番号、ＶＬＡＮＩＤ、ＰＬＣのステーションＩＤ、シリアル通信のチャネル番号などを用いればよい。本実施形態では、第２識別情報として第２機器３４ＢのＩＰアドレスを用いる形態を一例として説明する。

図１に戻り説明を続ける。情報処理システム１は、情報処理装置１０と、学習部２２と、を備える。情報処理装置１０と学習部２２とは、バス１８などを介して通信可能に接続されている。

情報処理装置１０は、第１環境３０の第１通信データ４０を用いて第２環境３２の通信予測データ４８を生成する。第１通信データ４０および通信予測データ４８の詳細は後述する。

情報処理装置１０は、処理部２０と、記憶部１２と、ＵＩ（ユーザインタフェース）部１４と、通信部１６と、を備える。記憶部１２、ＵＩ部１４、通信部１６、処理部２０、および学習部２２は、バス１８等を介して通信可能に接続されている。

記憶部１２は、各種のデータを記憶する。記憶部１２は、例えば、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、フラッシュメモリ等の半導体メモリ素子、ハードディスク、光ディスク等である。なお、記憶部１２は、情報処理装置１０の外部に設けられた記憶装置であってもよい。また、記憶部１２、ＵＩ部１４、処理部２０に含まれる１または複数の機能部、および学習部２２、の少なくとも１つを、ネットワークＮ等を介して情報処理装置１０に通信可能に接続された外部の情報処理装置に搭載した構成としてもよい。

ＵＩ部１４は、各種の情報を表示する表示機能、および、ユーザによる操作指示を受付ける受付機能を有する。通信部１６は、ネットワークＮを介して第１環境３０および第２環境３２の各々の機器３４またはサーバ装置と通信する。

処理部２０は、情報処理装置１０において情報処理を実行する。処理部２０は、取得部２０Ａと、通信生成部２０Ｂと、を有する。通信生成部２０Ｂは、生成部２０Ｃと、置換部２０Ｄと、を含む。

取得部２０Ａ、通信生成部２０Ｂ、生成部２０Ｃ、および置換部２０Ｄは、例えば、１または複数のプロセッサにより実現される。例えば上記各部は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）などのプロセッサにプログラムを実行させること、すなわちソフトウェアにより実現してもよい。上記各部は、専用のＩＣなどのプロセッサ、すなわちハードウェアにより実現してもよい。上記各部は、ソフトウェアおよびハードウェアを併用して実現してもよい。複数のプロセッサを用いる場合、各プロセッサは、各部のうち１つを実現してもよいし、各部のうち２以上を実現してもよい。

取得部２０Ａは、第１通信データ４０、第１構成情報４２、および第２構成情報４４を取得する。

第１通信データ４０は、第１環境３０の通信データである。詳細には、第１通信データ４０は、第１環境３０内の複数の第１機器３４Ａ間で通信されたデータの群である。

図３Ａは、第１通信データ４０のデータ構成の一例の模式図である。図３Ａには、第１環境３０が図２に示す環境である場合の第１通信データ４０の一例を示す。

第１通信データ４０は、第１環境３０に含まれる第１機器３４Ａの第１識別情報である通信先情報と、データ本体と、を含む１または複数のパケットの群からなる。パケットは、第１機器３４Ａ間の通信の最小単位の一例である。

パケットは、例えば、送信元アドレス、送信先アドレス、送信元ポート、送信先ポート、およびペイロードを含む。送信元アドレスは、データの送信元の第１機器３４ＡのＩＰアドレスである。送信先アドレスは、データの送信先の第１機器３４ＡのＩＰアドレスである。送信元ポートは、データの送信元の第１機器３４Ａのポートである。送信先ポートは、データの送信先の第１機器３４Ａのポートである。すなわち、送信元アドレスおよび送信元ポート、並びに、送信先アドレスおよび送信先ポートは、第１機器３４Ａの第１識別情報である通信先情報の一例である。上述したように、本実施形態では、ＩＰアドレスすなわち送信元アドレスおよび送信先アドレスを、第１識別情報として用いる形態を一例として説明する。

図３Ｂは、第１構成情報４２のデータ構成の一例の模式図である。図３Ｂには、第１環境３０が図２に示す環境である場合の第１構成情報４２の一例を示す。

第１構成情報４２は、第１環境３０に含まれる複数の第１機器３４Ａの構成を表す情報である。詳細には、第１構成情報４２は、第１機器３４Ａの第１識別情報と、第１識別情報によって識別される第１機器３４Ａの機能の機能識別情報と、を対応付けた情報である。

機能識別情報は、機能を一意に識別する情報である。機能識別情報には、例えば、機能の名称を用いる。本実施形態では、機能識別情報として、「ＨＭＩ」、「ＰＬＣ」などの機能の名称を用いる形態を一例として説明する。

図３Ｃは、第２構成情報４４のデータ構成の一例の模式図である。図３Ｃには、第２環境３２が図２に示す環境である場合の第２構成情報４４の一例を示す。

第２構成情報４４は、第２環境３２に含まれる複数の第２機器３４Ｂの構成を表す情報である。詳細には、第２構成情報４４は、第２機器３４Ｂの第２識別情報と、第２識別情報によって識別される第２機器３４Ｂの機能の機能識別情報と、を対応付けた情報である。

図１に戻り説明を続ける。取得部２０Ａは、通信部１６を介して第１環境３０から第１通信データ４０および第１構成情報４２を取得する。また、取得部２０Ａは、通信部１６を介して第２環境３２から、第２構成情報４４を取得する。なお、第１通信データ４０、第１構成情報４２、および第２構成情報４４を予め記憶部１２に記憶してもよい。この場合、取得部２０Ａは、第１通信データ４０、第１構成情報４２、および第２構成情報４４を記憶部１２から取得すればよい。

通信生成部２０Ｂは、第１通信データ４０に含まれる第１識別情報を、第１識別情報によって識別される第１機器３４Ａの有する機能の機能識別情報に対応する第２識別情報に置換した、第２環境３２の通信予測データ４８を生成する。

本実施形態では、通信生成部２０Ｂは、生成部２０Ｃと、置換部２０Ｄと、を有する。

生成部２０Ｃは、第１構成情報４２および第２構成情報４４に基づいて、同じ機能識別情報に対応する第１識別情報と第２識別情報とを対応付けた識別対応情報４６を生成する。

図３Ｄは、識別対応情報４６のデータ構成の一例の模式図である。識別対応情報４６は、第１識別情報と、第２識別情報と、を対応付けた情報である。図３Ｄには、図３Ｂに示す第１構成情報４２および図３Ｃに示す第２構成情報４４を用いて生成された識別対応情報４６の一例を示す。

図３Ｂに示すように、第１構成情報４２には、機能識別情報「ＨＭＩ」に対応する第１識別情報「１９２．１６８．０．１００」が登録されている。図３Ｃに示すように、第２構成情報４４には、機能識別情報「ＨＭＩ」に対応する第２識別情報「１０．０．０．１１０」が登録されている。この場合、生成部２０Ｃは、同じ機能識別情報「ＨＭＩ」に対応する第１識別情報「１９２．１６８．０．１００」と第２識別情報「１０．０．０．１１０」とを対応付けて識別対応情報４６に登録する（図３Ｄ参照）。

また、図３Ｂに示すように、第１構成情報４２には、機能識別情報「ＰＬＣ」に対応する第１識別情報「１９２．１６８．０．２００」が登録されている。図３Ｃに示すように、第２構成情報４４には、機能識別情報「ＰＬＣ」に対応する第２識別情報「１０．０．０．２１０」が登録されている。この場合、生成部２０Ｃは、同じ機能識別情報「ＰＬＣ」に対応する第１識別情報「１９２．１６８．０．２００」と第２識別情報「１０．０．０．２１０」とを対応付けて識別対応情報４６に登録する（図３Ｄ参照）。

図１に戻り説明を続ける。置換部２０Ｄは、第１通信データ４０に含まれる第１識別情報を、識別対応情報４６における対応する第２識別情報に置換した通信予測データ４８を生成する。

通信予測データ４８は、第２環境３２の通信データを予測したデータである。言い換えると、通信予測データ４８は、第１環境３０の第１通信データ４０を用いて予測された、第２環境３２の通信データである。詳細には、通信予測データ４８は、第１通信データ４０を用いて予測された、第２環境３２内の複数の第２機器３４Ｂ間で通信されるパケットの群である。

図３Ｅは、通信予測データ４８のデータ構成の一例を示す模式図である。図３Ｅには、図３Ａ～図３Ｄに示す第１通信データ４０、第１構成情報４２、第２構成情報４４、および識別対応情報４６を用いて生成された通信予測データ４８の一例を示す。

置換部２０Ｄは、図３Ａに示す第１通信データ４０における第１識別情報である送信元アドレスおよび送信先アドレスの各々を、図３Ｄに示す識別対応情報４６における対応する第２識別情報に置換する。この置換処理により、置換部２０Ｄは、図３Ｅに示す通信予測データ４８を生成する。

このように、通信生成部２０Ｂは、第１通信データ４０に含まれる第１識別情報を、第１識別情報によって識別される第１機器３４Ａの機能の機能識別情報に対応する第２識別情報に置換した通信予測データ４８を生成する。すなわち、通信生成部２０Ｂは、試験環境である第１環境３０の第１通信データ４０に含まれる第１識別情報を、同じ機能を有する第２機器３４Ｂの第２識別情報に置換することで、第２環境３２の通信予測データ４８を生成する。このため、通信生成部２０Ｂは、試験環境である第１環境３０の第１通信データ４０を第２環境３２に活用して用いることができる。

また、試験環境である第１環境３０では、様々な通信を発生させた検証が行われる。試験環境である第１環境３０内の複数の第１機器３４Ａ間の通信には、通信頻度の高い通信データおよび通信頻度の低い通信データ等の様々なデータ（パケット）が含まれる。このため、通信生成部２０Ｂは、試験環境である第１環境３０の第１通信データ４０を第２環境３２に活用して用いることで、通信頻度の様々なパケットを含む通信予測データ４８を容易に生成することができる。

なお、図２には、第１環境３０および第２環境３２がそれぞれ２つの機器３４を備えた構成を一例として示した。しかし、第１環境３０および第２環境３２は、複数の機器３４を備えた構成であればよく、第１環境３０および第２環境３２の少なくとも一方が、３つ以上の機器３４を備えた構成であってもよい。

図４は、第１環境３０および第２環境３２の他の一例の模式図である。

例えば、第１環境３０は、第１機器３４Ａ１および第１機器３４Ａ２の２つの第１機器３４Ａを有する。また、例えば、第２環境３２は、第２機器３４Ｂ１、第２機器３４Ｂ２、機器３４Ｂ３、および第２機器３４Ｂ４の４つの機器３４を有する。第２機器３４Ｂ１、第２機器３４Ｂ２、機器３４Ｂ３、および第２機器３４Ｂ４は、第２環境３２内でネットワークを介して通信する。

この場合、取得部２０Ａが取得する第１通信データ４０、第１構成情報４２、および第２構成情報４４は、図５Ａ、図５Ｂ、図５Ｃの各々に示すものとなる。

図５Ａは、第１通信データ４０のデータ構成の一例の模式図である。図５Ａには、第１環境３０が図４に示す環境である場合の第１通信データ４０の一例を示す。

図５Ｂは、第１構成情報４２のデータ構成の一例の模式図である。図５Ｂには、第１環境３０が図４に示す環境である場合の第１構成情報４２の一例を示す。

図５Ｃは、第２構成情報４４のデータ構成の一例の模式図である。図５Ｃには、第２環境３２が図４に示す環境である場合の第２構成情報４４の一例を示す。

この場合、生成部２０Ｃは、図５Ｂに示す第１構成情報４２および図５Ｃに示す第２構成情報４４に基づいて、同じ機能識別情報に対応する第１識別情報と第２識別情報とを対応付けた識別対応情報４６を生成する。

図５Ｄは、識別対応情報４６のデータ構成の一例の模式図である。図５Ｄには、図５Ｂに示す第１構成情報４２および図５Ｃに示す第２構成情報４４を用いて生成された識別対応情報４６の一例を示す。

図５Ｂに示すように、第１構成情報４２には、機能識別情報「ＨＭＩ」に対応する第１識別情報「１９２．１６８．０．１００」が登録されている。図５Ｃに示すように、第２構成情報４４には、機能識別情報「ＨＭＩ」に対応する第２識別情報「１０．０．０．１１０」および「１０．０．０．１２０」が登録されている。この場合、図５Ｄに示すように、生成部２０Ｃは、同じ機能識別情報「ＨＭＩ」に対応する第１識別情報「１９２．１６８．０．１００」と第２識別情報「１０．０．０．１１０」とを対応付けて識別対応情報４６に登録する。また、生成部２０Ｃは、同じ機能識別情報「ＨＭＩ」に対応する第１識別情報「１９２．１６８．０．１００」と第２識別情報「１０．０．０．１２０」とを対応付けて識別対応情報４６に登録する（図５Ｄ参照）。

また、図５Ｂに示すように、第１構成情報４２には、機能識別情報「ＰＬＣ」に対応する第１識別情報「１９２．１６８．０．２００」が登録されている。図５Ｃに示すように、第２構成情報４４には、機能識別情報「ＰＬＣ」に対応する第２識別情報「１０．０．０．２１０」および「１０．０．０．２２０」が登録されている。この場合、図５Ｄに示すように、生成部２０Ｃは、同じ機能識別情報「ＰＬＣ」に対応する第１識別情報「１９２．１６８．０．２００」と第２識別情報「１０．０．０．２１０」とを対応付けて識別対応情報４６に登録する。また、生成部２０Ｃは、同じ機能識別情報「ＰＬＣ」に対応する第１識別情報「１９２．１６８．０．２００」と第２識別情報「１０．０．０．２２０」とを対応付けて識別対応情報４６に登録する。

そして、置換部２０Ｄは、図５Ａに示す第１通信データ４０に含まれる第１識別情報を、図５Ｄに示す識別対応情報４６における対応する第２識別情報に置換した、通信予測データ４８を生成する。

図５Ｅは、通信予測データ４８のデータ構成の他の一例を示す模式図である。図５Ｅには、図５Ａ～図５Ｄに示す第１通信データ４０、第１構成情報４２、第２構成情報４４、および識別対応情報４６を用いて生成された通信予測データ４８の一例を示す。

置換部２０Ｄは、図５Ａに示す第１通信データ４０における第１識別情報である送信元アドレスおよび送信先アドレスの各々を、図５Ｄに示す識別対応情報４６における対応する第２識別情報に置換する。この置換処理により、置換部２０Ｄは、図５Ｅに示す通信予測データ４８を生成する。

ここで、図５Ｄに示すように、１つの第１識別情報に対して異なる複数の第２識別情報が対応付けられて識別対応情報４６に登録される場合がある。具体的には、図５Ｄに示す識別対応情報４６には、第１識別情報「１９２．１６８．０．１００」に対応する第２識別情報として、「１０．０．０．１１０」および「１０．０．０．１２０」が登録されている。また、この識別対応情報４６には、第１識別情報「１９２．１６８．０．２００」に対応する第２識別情報として、「１０．０．０．２１０」および「１０．０．０．２２０」が登録されている。

この場合、置換部２０Ｄは、図５Ｅに示すように、１つの第１識別情報と該第１識別情報に対応する異なる複数の第２識別情報の各々との１対１の対ごとに、第１通信データ４０の第１識別情報を第２識別情報に置換した通信予測データ４８を生成してもよい。

また、置換部２０Ｄは、図５Ｆに示すように、１つの識別情報と該第１識別情報に対応する異なる複数の第２識別情報の内の１つとの１対１の対を用いて、第１通信データ４０の第１識別情報を第２識別情報に置換した通信予測データ４８を生成してもよい。図５Ｆは、通信予測データ４８のデータ構成の他の一例を示す模式図である。

図６は、第１環境３０および第２環境３２の他の一例の模式図である。

例えば、第１環境３０は、第１機器３４Ａ１、第１機器３４Ａ２、および機器３４Ａ３の３つの第１機器３４Ａを有する。第１機器３４Ａ１、第１機器３４Ａ２、および機器３４Ａ３は、第１環境３０内でネットワークを介して通信する。また、例えば、第２環境３２は、第２機器３４Ｂ１、第２機器３４Ｂ２、機器３４Ｂ３、および第２機器３４Ｂ４の４つの機器３４を有する。第２機器３４Ｂ１、第２機器３４Ｂ２、機器３４Ｂ３、および第２機器３４Ｂ４は、第２環境３２内でネットワークを介して通信する。

この場合、取得部２０Ａが取得する第１通信データ４０、第１構成情報４２、および第２構成情報４４は、図７Ａ、図７Ｂ、図７Ｃの各々に示すものとなる。

図７Ａは、第１通信データ４０のデータ構成の一例の模式図である。図７Ａには、第１環境３０が図６に示す環境である場合の第１通信データ４０の一例を示す。

図７Ｂは、第１構成情報４２のデータ構成の一例の模式図である。図７Ｂには、第１環境３０が図６に示す環境である場合の第１構成情報４２の一例を示す。

図７Ｃは、第２構成情報４４のデータ構成の一例の模式図である。図７Ｃには、第２環境３２が図６に示す環境である場合の第２構成情報４４の一例を示す。

この場合、生成部２０Ｃは、図７Ｂに示す第１構成情報４２および図７Ｃに示す第２構成情報４４に基づいて、同じ機能識別情報に対応する第１識別情報と第２識別情報とを対応付けた識別対応情報４６を生成する。

図７Ｄは、識別対応情報４６のデータ構成の一例の模式図である。図７Ｄには、図７Ｂに示す第１構成情報４２および図７Ｃに示す第２構成情報４４を用いて生成された識別対応情報４６の一例を示す。

図７Ｂに示すように、第１構成情報４２には、機能識別情報「ＨＭＩ」に対応する第１識別情報「１９２．１６８．０．１０」が登録されている。図７Ｃに示すように、第２構成情報４４には、機能識別情報「ＨＭＩ」に対応する第２識別情報「１０．０．０．１１０」および「１０．０．０．１２０」が登録されている。この場合、図７Ｄに示すように、生成部２０Ｃは、同じ機能識別情報「ＨＭＩ」に対応する第１識別情報「１９２．１６８．０．１０」と第２識別情報「１０．０．０．１１０」とを対応付けて識別対応情報４６に登録する。また、生成部２０Ｃは、同じ機能識別情報「ＨＭＩ」に対応する第１識別情報「１９２．１６８．０．１０」と第２識別情報「１０．０．０．１２０」とを対応付けて識別対応情報４６に登録する。

また、図７Ｂに示すように、第１構成情報４２には、機能識別情報「ＰＬＣ」に対応する第１識別情報「１９２．１６８．０．２０」および「１９２．１６８．０．２１」が登録されている。図７Ｃに示すように、第２構成情報４４には、機能識別情報「ＰＬＣ」に対応する第２識別情報「１０．０．０．２１０」および「１０．０．０．２２０」が登録されている。この場合、図７Ｄに示すように、生成部２０Ｃは、同じ機能識別情報「ＰＬＣ」に対応する第１識別情報「１９２．１６８．０．２０」と第２識別情報「１０．０．０．２１０」とを対応付けて識別対応情報４６に登録する。また、生成部２０Ｃは、同じ機能識別情報「ＰＬＣ」に対応する第１識別情報「１９２．１６８．０．２１」と第２識別情報「１０．０．０．２２０」とを対応付けて識別対応情報４６に登録する。

そして、置換部２０Ｄは、図７Ａに示す第１通信データ４０に含まれる第１識別情報を、図７Ｄに示す識別対応情報４６における対応する第２識別情報に置換した通信予測データ４８を生成する。

図７Ｅは、通信予測データ４８のデータ構成の他の一例を示す模式図である。図７Ｅには、図７Ａ～図７Ｄに示す第１通信データ４０、第１構成情報４２、第２構成情報４４、および識別対応情報４６を用いて生成された通信予測データ４８の一例を示す。

置換部２０Ｄは、図７Ａに示す第１通信データ４０における第１識別情報である送信元アドレスおよび送信先アドレスの各々を、図７Ｄに示す識別対応情報４６における対応する第２識別情報に置換する。この置換処理により、置換部２０Ｄは、例えば、図７Ｅに示す通信予測データ４８を生成する。

なお、第１通信データ４０に、第２識別情報に置換されない第１識別情報が含まれる場合がある。この場合、通信生成部２０Ｂは、第１通信データ４０から生成した通信予測データ４８を削除すればよい。具体例を挙げて説明する。

図８Ａは、第１通信データ４０のデータ構成の一例の模式図である。図８Ｂは、第１構成情報４２のデータ構成の一例の模式図である。図８Ｃは、第２構成情報４４のデータ構成の一例の模式図である。

例えば、取得部２０Ａが、図８Ａ～図８Ｃに示す第１通信データ４０、第１構成情報４２、および第２構成情報４４を取得した場面を想定する。

この場合、生成部２０Ｃは、図８Ｄに示す識別対応情報４６を作成する。図８Ｄは、識別対応情報４６のデータ構成の一例である。すなわち、図８Ｃに示す第２構成情報４４には、機能種別識別情報「ＨＭＩ」が含まれない。このため、生成部２０Ｃは、第１構成情報４２に含まれる機能種別識別情報「ＰＬＣ」に対応する第１識別情報「１９２．１６８．０．２００」に対応する第２識別情報を識別対応情報４６に登録することが出来ない状態となる。このため、識別対応情報４６における第１識別情報「１９２．１６８．０．２００」に対応する第２識別情報の欄は、空欄となる。

この場合、置換部２０Ｄが図８Ａに示す第１通信データ４０に含まれる第１識別情報を、図８Ｄに示す識別対応情報４６における対応する第２識別情報に置換することで生成される通信予測データ４８は、図８Ｅに示すものとなる。図８Ｅは、通信予測データ４８のデータ構成の一例である。この場合、第１通信データ４０に含まれる第１識別情報「１９２．１６８．０．２００」が第２識別情報に置換されず、空欄となる。よって、通信予測データ４８は、図８Ａに示す第１通信データ４０に含まれる第１識別情報の少なくとも一部が第２識別情報に置換されない通信データとなる。

この場合、通信生成部２０Ｂは、図８Ｅに示す通信予測データ４８を削除する。すなわち、通信生成部２０Ｂは、第１通信データ４０に第２識別情報に置換されない第１識別情報が含まれる場合、該第１通信データ４０から生成した通信予測データ４８を削除する。このため、通信生成部２０Ｂは、第１通信データ４０に第２識別情報に置換されない第１識別情報が含まれる場合には、生成した通信予測データ４８を破棄することができる。

図１に戻り説明を続ける。

学習部２２は、通信生成部２０Ｂで生成された通信予測データ４８に基づいて、学習モデル５０を学習する。

学習モデル５０は、第２環境３２の通信データが正常であるか否かを出力する機械学習モデルである。詳細には、学習モデル５０は、第２環境３２の通信データを入力とし、通信データが正常であるか否かを出力する正常系の機械学習モデルである。なお、学習モデル５０は、第２環境３２の通信データを入力とし、通信データが異常であるか否かを出力する異常系の機械学習モデルであってもよい。

通信データが正常である、とは、例えば、通信データが第２環境３２への攻撃ではない事、または、第２機器３４Ｂの異常ではない事を表す。通信データが異常である、とは、例えば、通信データが第２環境３２への攻撃である事、または、第２機器３４Ｂの異常であることを表す。

学習部２２は、通信予測データ４８および第２環境３２の通信データを学習データとして用いて、学習モデル５０を学習する。学習部２２による学習モデル５０の学習には、例えば、ＲＮＮ（ＲｅｃｕｒｒｅｎｔＮｅｕｒａｌＮｅｔｗｏｒｋ）等の公知の学習方法を用いればよい。

学習部２２は、通信予測データ４８を学習データとして用いるため、試験環境である第１環境３０の第１通信データ４０を活用して学習データに用いることができる。

上述したように、試験環境である第１環境３０では、様々な通信を発生させた検証が行われる。試験環境である第１環境３０内の複数の第１機器３４Ａ間の通信には、通信頻度の高い通信データおよび通信頻度の低い通信データ等の様々なデータが含まれる。このため、学習部２２は、試験環境である第１環境３０の第１通信データ４０を第２環境３２に活用して用いることで、通信頻度の様々なパケットを含む通信予測データ４８を学習データとして用いることができる。このため、学習部２２は、学習精度の低下を抑制した学習モデル５０の学習を行うことができる。

また、学習部２２は、通信生成部２０Ｂで生成された通信予測データ４８を学習データとして用いるため、短時間で生成された通信予測データ４８を学習データとして用いることができる。このため、学習部２２は、学習時間の短縮を図ることができる。

なお、情報処理装置１０は、学習部２２を更に備えた構成であってもよい。この場合、処理部２０が、学習部２２を更に含む構成であればよい。また、学習部２２は、ネットワークＮ等を介して情報処理装置１０に通信可能に接続された外部の情報処理装置に搭載されていてもよい。

次に、本実施形態の情報処理システム１で実行する情報処理の流れの一例を説明する。

図９は、本実施形態の情報処理システム１で実行する情報処理の流れの一例を示すフローチャートである。

取得部２０Ａは、第１通信データ４０、第１構成情報４２、および第２構成情報４４を取得する（ステップＳ１００）。

生成部２０Ｃは、ステップＳ１００で取得した第１構成情報４２および第２構成情報４４に基づいて、同じ機能識別情報に対応する第１識別情報と第２識別情報とを対応付けた識別対応情報４６を生成する（ステップＳ１０２）。

置換部２０Ｄは、ステップＳ１００で取得した第１通信データ４０に含まれる第１識別情報を、ステップＳ１０２で生成した識別対応情報４６における対応する第２識別情報に置換した通信予測データ４８を生成する（ステップＳ１０４）。

学習部２２は、ステップＳ１０４で生成された通信予測データ４８に基づいて、学習モデル５０を学習する（ステップＳ１０６）。そして、本ルーチンを終了する。

以上説明したように、本実施形態の情報処理装置１０は、取得部２０Ａと、通信生成部２０Ｂと、を備える。取得部２０Ａは、第１通信データ４０、第１構成情報４２、および第２構成情報４４を取得する。通信生成部２０Ｂは、第１通信データ４０に含まれる第１識別情報を、第１識別情報によって識別される第１機器３４Ａの有する機能の機能識別情報に対応する第２識別情報に置換した、第２環境３２の通信予測データ４８を生成する。

このように、通信生成部２０Ｂは、第１通信データ４０に含まれる第１識別情報を、第１識別情報によって識別される第１機器３４Ａの有する機能の機能識別情報に対応する第２識別情報に置換した通信予測データ４８を第２環境３２の通信データとして生成する。すなわち、通信生成部２０Ｂは、試験環境である第１環境３０の第１通信データ４０に含まれる第１識別情報を、同じ機能を有する第２機器３４Ｂの第２識別情報に置換することで第２環境３２の通信予測データ４８を生成する。このため、通信生成部２０Ｂは、試験環境である第１環境３０の第１通信データ４０を第２環境３２に活用して用いることができる。

また、試験環境である第１環境３０では、様々な通信を発生させた検証が行われる。試験環境である第１環境３０の複数の第１機器３４Ａ間の通信には、通信頻度の高い通信データおよび通信頻度の低い通信データ等の様々なデータが含まれる。このため、通信生成部２０Ｂは、試験環境である第１環境３０の第１通信データ４０を第２環境３２に活用して用いることで、通信頻度の様々なパケットを含む通信予測データ４８を容易に生成することができる。

このため、本実施形態の情報処理装置１０は、様々な種類のパケットを含む第１環境３０の第１通信データ４０を、第１環境３０とは異なる第２環境３２の通信予測データ４８として用いることができる。すなわち、本実施形態の情報処理装置１０は、第１環境３０の第１通信データ４０を活用することで、第２環境３２で用いる学習モデル５０の学習に用いる学習データとして、通信頻度などが様々なパケットを含む通信予測データ４８を生成することができる。このため、本実施形態の情報処理装置１０は、学習精度の低下を抑制可能な通信予測データ４８を生成することができる。

また、本実施形態の情報処理装置１０は、第１環境３０の第１通信データ４０を活用して第２環境３２の通信予測データ４８を生成する。このため、本実施形態の情報処理装置１０は、第２環境３２に含まれる複数の第２機器３４Ｂ間の通信データを収集する場合に比べて、短時間で学習モデル５０の学習用データを用意することができる。

このため、本実施形態の情報処理装置１０は、通信予測データ４８を第２環境３２で用いる学習モデル５０の学習データとして用いることで、学習モデル５０の学習精度の低下を抑制し且つ、学習時間の短縮を図ることができる。

従って、本実施形態の情報処理装置１０は、学習精度の低下を抑制し且つ学習時間の短縮を図ることができる。

例えば、第１環境３０が本番の動作試験用の試験環境であり、第２環境３２が本番の環境である場面を想定する。また、試験環境である第１環境３０が、本番の環境である第２環境３２に含まれる複数の第２機器３４Ｂの少なくとも一部と同じ複数の機器３４を第１機器３４Ａとして有する場面を想定する。

この場合、動作試験用の試験環境である第１環境３０では、動作試験として多種多様なパケットが送受信される。通信生成部２０Ｂは、第１環境３０のこれらのパケットを含む第１通信データ４０を活用して通信予測データ４８を生成する。このため、通信生成部２０Ｂは、第２環境３２の運用開始前に、第２環境３２を長期間運用することで初めて得られる通信データと同等の通信予測データ４８を、容易且つ短時間で生成することができる。

また、例えば、第１環境３０が訓練用の試験環境であり、第２環境３２が本番の環境である場面を想定する。また、試験環境である第１環境３０が、本番の環境である第２環境３２に含まれる複数の第２機器３４Ｂの少なくとも一部と同じ複数の機器３４を第１機器３４Ａとして有する場面を想定する。

この場合、訓練用の試験環境である第１環境３０では、訓練用として多種多様なパケットの通信を試すことが出来る。通信生成部２０Ｂは、第１環境３０のこれらのパケットを含む第１通信データ４０を活用して通信予測データ４８を生成する。このため、通信生成部２０Ｂは、第２環境３２を利用することなく、第２環境３２の通信データを予測した通信予測データ４８を短時間で生成することができる。

また、通信生成部２０Ｂは、第１環境３０の第１通信データ４０を活用して第２環境３２の第１通信データ４０を生成するため、第２環境３２を実際に稼働させることなく、また、第２環境３２と同じ環境を構築することなく、容易に通信予測データ４８を生成することができる。

また、本実施形態の情報処理装置１０では、通信生成部２０Ｂが生成部２０Ｃおよび置換部２０Ｄを有する。生成部２０Ｃは、第１構成情報４２および第２構成情報４４に基づいて、同じ機能識別情報に対応する第１識別情報と第２識別情報とを対応付けた識別対応情報４６を生成する。置換部２０Ｄは、第１通信データ４０に含まれる第１識別情報を識別対応情報４６における対応する第２識別情報に置換した通信予測データ４８を生成する。

置換部２０Ｄが、生成部２０Ｃで生成した識別対応情報４６を用いて通信予測データ４８を生成することで、より短時間で通信予測データ４８を生成することができる。このため、本実施形態の情報処理装置１０は、上記効果に加えて、更に学習時間の短縮を図ることができる。

また、本実施形態の情報処理システム１では、学習部２２が、通信予測データ４８に基づいて学習モデル５０を学習する。

ここで、学習モデル５０が、入力された通信データが第２環境３２への攻撃であるか否かを出力する機械学習モデルである場合を想定する。この場合、学習モデル５０は、攻撃検知に用いられる。攻撃検知に用いる学習モデル５０としては、正常系を学習する学習モデル、および、異常系を学習する学習モデルが挙げられる。

異常系を学習するためには、第２環境３２に対して異常を発生させる、または、第２環境３２へサイバー攻撃を行う、などの異常発生処理を行う必要がある。しかし、運用中の第２環境３２に異常発生処理を行うことは、安全性保持および信頼性保持などの観点から困難である。一方、第１環境３０に対して異常発生処理を行うことは、試験環境であるため容易である。このため、学習部２２が、第１環境３０に対して異常発生処理を行うことで得られた第１通信データ４０を用いて生成された通信予測データ４８を学習に用いることで、高精度且つ短時間で異常系の学習モデル５０を学習することができる。また、学習部２２は、運用中の第２環境３２に対して異常発生処理を行うことなく、高精度に異常などの攻撃検知可能な学習モデル５０を学習することができる。

（第２の実施形態）
上記実施形態では、識別対応情報４６を用いて通信予測データ４８を生成する形態を一例として説明した。本実施形態では、識別対応情報４６に替えて通信ひな形情報４７を用いて通信予測データ４８を生成する形態を説明する。

なお、本実施形態において上記実施形態と同じ構成の部分には同じ符号を付与して詳細な説明を省略する。

図１０は、本実施形態の情報処理システム１Ｂの一例を示す模式図である。

情報処理システム１Ｂは、情報処理装置１０に替えて情報処理装置１０Ｂを備える点以外は、上記実施形態の情報処理システム１と同様である。情報処理装置１０Ｂは、処理部２０に替えて処理部２１を備え、識別対応情報４６に替えて通信ひな形情報４７を用いる点以外は、上記実施形態の情報処理装置１０と同様である。

処理部２１は、情報処理装置１０Ｂにおいて情報処理を実行する。処理部２１は、取得部２０Ａと、通信生成部２１Ｂと、を有する。通信生成部２１Ｂは、生成部２１Ｃと、置換部２１Ｄと、を含む。

取得部２０Ａ、通信生成部２１Ｂ、生成部２１Ｃ、および置換部２１Ｄは、例えば、１または複数のプロセッサにより実現される。例えば上記各部は、ＣＰＵなどのプロセッサにプログラムを実行させること、すなわちソフトウェアにより実現してもよい。上記各部は、専用のＩＣなどのプロセッサ、すなわちハードウェアにより実現してもよい。上記各部は、ソフトウェアおよびハードウェアを併用して実現してもよい。複数のプロセッサを用いる場合、各プロセッサは、各部のうち１つを実現してもよいし、各部のうち２以上を実現してもよい。

取得部２０Ａは、上記実施形態と同様である。

通信生成部２１Ｂは、上記実施形態の通信生成部２０Ｂと同様に、第１通信データ４０に含まれる第１識別情報を、第１識別情報によって識別される第１機器３４Ａの有する機能の機能識別情報に対応する第２識別情報に置換した、第２環境３２の通信予測データ４８を生成する。

本実施形態では、通信生成部２１Ｂは、生成部２１Ｃと、置換部２１Ｄと、を有する。

生成部２１Ｃは、第１構成情報４２に基づいて、第１通信データ４０に含まれる第１識別情報を対応する機能識別情報に置換した通信ひな形情報４７を生成する。例えば、取得部２０Ａが、図３Ａ～図３Ｃに示す第１通信データ４０、第１構成情報４２、および第２構成情報４４を取得した場面を想定して説明する。この場合、生成部２１Ｃは、これらの第１通信データ４０および第１構成情報４２を用いて、通信ひな形情報４７を生成する。

図１１Ａは、通信ひな形情報４７のデータ構成の一例の模式図である。図１１Ａには、図３Ａに示す第１通信データ４０、および図３Ｂに示す第１構成情報４２、を用いて生成された通信ひな形情報４７の一例を示す。

通信ひな形情報４７は、第１通信データ４０に含まれる第１識別情報を、第１構成情報４２および第２構成情報４４に基づいて同じ機能識別情報に対応する第２識別情報に置換した情報である。

図３Ａを用いて説明したように、第１通信データ４０には、第１識別情報の一例である送信元アドレスおよび送信先アドレスが登録されている。生成部２１Ｃは、第１通信データ４０に含まれる送信元アドレスおよび送信先アドレスである第１識別情報の各々に対応する機能識別情報を、図３Ｂに示す第１構成情報４２から特定する。そして、生成部２１Ｃは、第１通信データ４０に含まれる第１識別情報を、特定した対応する機能識別情報に置換することで、通信ひな形情報４７を生成する。

このため、図３Ａに示す第１通信データ４０に含まれる第１識別情報である「１９２．１６８．０．１００」は、図１１Ａに示すように機能識別情報「ＨＭＩ」に置換される。また、同様に、図３Ａに示す第１通信データ４０に含まれる第１識別情報である「１９２．１６８．０．２００」は、図１１Ａに示すように機能識別情報「ＰＬＣ」に置換される。

置換部２１Ｄは、通信ひな形情報４７に含まれる機能識別情報を、第２構成情報４４に含まれる該機能識別情報に対応する第２識別情報に置換した通信予測データ４８を生成する。

図１１Ｂは、通信予測データ４８のデータ構成の一例の模式図である。図１１Ｂは、図３Ａ～図３Ｃに示す第１通信データ４０、第１構成情報４２、および第２構成情報４４、並びに図１１Ｂに示す通信予測データ４８に基づいて生成される通信予測データ４８のデータ構成の一例である。

置換部２１Ｄは、図１１Ａに示す通信ひな形情報４７に含まれる機能識別情報の各々を、図３Ｃに示す第２構成情報４４における対応する第２識別情報に置換する。このため、通信ひな形情報４７に含まれる「ＨＭＩ」は第２識別情報「１０．０．０．１１０」に置換される、また、通信ひな形情報４７に含まれる「ＰＬＣ」は第２識別情報「１０．０．０．２１０」に置換される。これらの置換処理によって、置換部２１Ｄは、通信予測データ４８を生成する。

なお、上記実施形態と同様に、第１通信データ４０に第２識別情報に置換されない第１識別情報が含まれる場合、通信生成部２１Ｂは、第１通信データ４０から生成した通信予測データ４８を削除すればよい。

次に、本実施形態の情報処理システム１Ｂで実行する情報処理の流れの一例を説明する。

図１２は、本実施形態の情報処理システム１Ｂで実行する情報処理の流れの一例を示すフローチャートである。

取得部２０Ａは、第１通信データ４０、第１構成情報４２、および第２構成情報４４を取得する（ステップＳ２００）。

生成部２１Ｃは、ステップＳ２００で取得した第１通信データ４０および第１構成情報４２に基づいて、該第１通信データ４０に含まれる第１識別情報を対応する機能識別情報に置換した通信ひな形情報４７を生成する（ステップＳ２０２）。

置換部２１Ｄは、ステップＳ２０２で生成した通信ひな形情報４７に含まれる機能識別情報を、ステップＳ２００で取得した第２構成情報４４に含まれる該機能識別情報に対応する第２識別情報に置換した通信予測データ４８を生成する。

学習部２２は、ステップＳ２０４で生成された通信予測データ４８に基づいて、学習モデル５０を学習する（ステップＳ２０６）。そして、本ルーチンを終了する。

以上説明したように、本実施形態の情報処理装置１０Ｂの通信生成部２１Ｂは、生成部２１Ｃおよび置換部２１Ｄを有する。生成部２１Ｃは、第１構成情報４２および第２構成情報４４に基づいて、第１通信データ４０に含まれる第１識別情報を対応する機能識別情報に置換した通信ひな形情報４７を生成する。置換部２１Ｄは、通信ひな形情報４７に含まれる機能識別情報を、第２構成情報４４に含まれる該機能識別情報に対応する第２識別情報に置換した通信予測データ４８を生成する。

このため、本実施形態の情報処理装置１０Ｂは、上記実施形態と同様に、学習精度の低下を抑制し且つ学習時間の短縮を図ることができる。

なお、上記実施形態では、第１識別情報および第２識別情報が、ＩＰアドレスである場合を一例として説明した。しかし、第１識別情報および第２識別情報は、機器３４を一意に識別可能な情報であればよく、ＩＰアドレスに限定されない。また、第１識別情報および第２識別情報として、機器３４を識別可能な複数種類の識別情報を組み合わせた情報を用いてもよい。具体的には、例えば、ＩＰアドレスおよびポート番号を組み合わせた情報を、第１識別情報および第２識別情報の各々として用いてもよい。

次に、上記実施形態の情報処理装置１０および情報処理装置１０Ｂのハードウェア構成の一例を説明する。

図１３は、上記実施形態の情報処理装置１０および情報処理装置１０Ｂの一例のハードウェア構成図である。

上記実施形態の情報処理装置１０および情報処理装置１０Ｂは、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）８１、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）８２、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）８３、および通信Ｉ／Ｆ８４等がバス８５により相互に接続されており、通常のコンピュータを利用したハードウェア構成となっている。

ＣＰＵ８１は、上記実施形態の情報処理装置１０および情報処理装置１０Ｂを制御する演算装置である。ＲＯＭ８２は、ＣＰＵ８１による各種処理を実現するプログラム等を記憶する。ＲＡＭ８３は、ＣＰＵ８１による各種処理に必要なデータを記憶する。通信Ｉ／Ｆ８４は、ＵＩ部１４および通信部１６などに接続し、データを送受信するためのインターフェースである。

上記実施形態の情報処理装置１０および情報処理装置１０Ｂでは、ＣＰＵ８１が、ＲＯＭ８２からプログラムをＲＡＭ８３上に読み出して実行することにより、上記各機能がコンピュータ上で実現される。

なお、上記実施形態の情報処理装置１０および情報処理装置１０Ｂで実行される上記各処理を実行するためのプログラムは、ＨＤＤ（ハードディスクドライブ）に記憶されていてもよい。また、上記実施形態の情報処理装置１０および情報処理装置１０Ｂで実行される上記各処理を実行するためのプログラムは、ＲＯＭ８２に予め組み込まれて提供されていてもよい。

また、上記実施形態の情報処理装置１０および情報処理装置１０Ｂで実行される上記処理を実行するためのプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、メモリカード、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）、フレキシブルディスク（ＦＤ）等のコンピュータで読み取り可能な記憶媒体に記憶されてコンピュータプログラムプロダクトとして提供されるようにしてもよい。また、上記実施形態の情報処理装置１０および情報処理装置１０Ｂで実行される上記処理を実行するためのプログラムを、インターネットなどのネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するようにしてもよい。また、上記実施形態の情報処理装置１０および情報処理装置１０Ｂで実行される上記処理を実行するためのプログラムを、インターネットなどのネットワーク経由で提供または配布するようにしてもよい。

なお、上記には、本発明の実施形態を説明したが、本実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。この新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。この実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１、１Ｂ情報処理システム
１０、１０Ｂ情報処理装置
２０Ａ取得部
２０Ｂ、２１Ｂ通信生成部
２０Ｃ、２１Ｃ生成部
２０Ｄ、２１Ｄ置換部
２２学習部
３０第１環境
３２第２環境
３４Ａ第１機器
３４Ｂ第２機器

Claims

複数の第１機器を含む第１環境の第１通信データ、前記第１環境に含まれる複数の前記第１機器の各々の第１識別情報と前記第１機器の有する機能の機能識別情報とを対応付けた第１構成情報、および第２環境に含まれる複数の第２機器の各々の第２識別情報と前記第２機器の機能の機能識別情報とを対応付けた第２構成情報を取得する取得部と、
前記第１通信データに含まれる前記第１識別情報を、前記第１識別情報によって識別される前記第１機器の有する機能の前記機能識別情報に対応する前記第２識別情報に置換した、前記第２環境の通信予測データを生成する通信生成部と、
を備え、
前記通信生成部は、
前記第１構成情報に基づいて、前記第１通信データに含まれる前記第１識別情報を対応する前記機能識別情報に置換した通信ひな形情報を生成する生成部と、
前記通信ひな形情報に含まれる前記機能識別情報を、前記第２構成情報に含まれる該機能識別情報に対応する前記第２識別情報に置換した、前記通信予測データを生成する置換部と、
を有する、
情報処理装置。
前記通信生成部は、
前記第１構成情報および前記第２構成情報に基づいて、同じ前記機能識別情報に対応する前記第１識別情報と前記第２識別情報とを対応付けた識別対応情報を生成する生成部と、
前記第１通信データに含まれる前記第１識別情報を前記識別対応情報における対応する前記第２識別情報に置換した前記通信予測データを生成する置換部と、
を有する、
請求項１に記載の情報処理装置。
前記通信生成部は、
前記第１通信データに含まれる複数の前記第１識別情報の内の一部の前記第１識別情報について、前記第１識別情報に対応する前記機能識別情報が前記第２構成情報に含まれない場合、該第１通信データから生成した前記通信予測データを削除する、
請求項１または請求項２に記載の情報処理装置。
コンピュータに、
複数の第１機器を含む第１環境の第１通信データ、前記第１環境に含まれる複数の前記第１機器の各々の第１識別情報と前記第１機器の有する機能の機能識別情報とを対応付けた第１構成情報、および第２環境に含まれる複数の第２機器の各々の第２識別情報と前記第２機器の機能の機能識別情報とを対応付けた第２構成情報を取得する取得ステップと、
前記第１通信データに含まれる前記第１識別情報を、前記第１識別情報によって識別される前記第１機器の有する機能の前記機能識別情報に対応する前記第２識別情報に置換した、前記第２環境の通信予測データを生成する通信生成ステップと、
を含み、
前記通信生成ステップは、
前記第１構成情報に基づいて、前記第１通信データに含まれる前記第１識別情報を対応する前記機能識別情報に置換した通信ひな形情報を生成する生成ステップと、
前記通信ひな形情報に含まれる前記機能識別情報を、前記第２構成情報に含まれる該機能識別情報に対応する前記第２識別情報に置換した、前記通信予測データを生成する置換ステップと、
を含む、
情報処理プログラム。
複数の第１機器を含む第１環境の第１通信データ、前記第１環境に含まれる複数の前記第１機器の各々の第１識別情報と前記第１機器の有する機能の機能識別情報とを対応付けた第１構成情報、および第２環境に含まれる複数の第２機器の各々の第２識別情報と前記第２機器の機能の機能識別情報とを対応付けた第２構成情報を取得する取得部と、
前記第１通信データに含まれる前記第１識別情報を、前記第１識別情報によって識別される前記第１機器の有する機能の前記機能識別情報に対応する前記第２識別情報に置換した、前記第２環境の通信予測データを生成する通信生成部と、
前記通信予測データおよび前記第２環境の通信データを学習データとして用い、前記通信データを入力とし、前記通信データが、前記第２環境への攻撃ではない又は前記第２機器の異常ではないことを表す正常であるか否かを出力とする、学習モデルを機械学習する学習部と、
を備え、
前記通信生成部は、
前記第１構成情報に基づいて、前記第１通信データに含まれる前記第１識別情報を対応する前記機能識別情報に置換した通信ひな形情報を生成する生成部と、
前記通信ひな形情報に含まれる前記機能識別情報を、前記第２構成情報に含まれる該機能識別情報に対応する前記第２識別情報に置換した、前記通信予測データを生成する置換部と、
を有する、
情報処理システム。