WO2022059108A1 - 検知装置、検知方法及び検知プログラム - Google Patents

検知装置、検知方法及び検知プログラム Download PDF

Info

Publication number
WO2022059108A1
WO2022059108A1 PCT/JP2020/035154 JP2020035154W WO2022059108A1 WO 2022059108 A1 WO2022059108 A1 WO 2022059108A1 JP 2020035154 W JP2020035154 W JP 2020035154W WO 2022059108 A1 WO2022059108 A1 WO 2022059108A1
Authority
WO
WIPO (PCT)
Prior art keywords
graph
detection
vertices
matrix
vertex
Prior art date
Application number
PCT/JP2020/035154
Other languages
English (en)
French (fr)
Inventor
諭史 古谷
俊樹 芝原
満昭 秋山
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2022550106A priority Critical patent/JP7448022B2/ja
Priority to US18/022,747 priority patent/US20230325440A1/en
Priority to PCT/JP2020/035154 priority patent/WO2022059108A1/ja
Publication of WO2022059108A1 publication Critical patent/WO2022059108A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/901—Indexing; Data structures therefor; Storage structures
    • G06F16/9024—Graphs; Linked lists

Definitions

  • the present invention relates to a detection device, a detection method and a detection program.
  • a method has been proposed to extend graph signal processing, which was mainly applied mainly to undirected graphs, so that it can be applied to directed graphs (see, for example, Non-Patent Document 1).
  • graph signal processing such as graph Fourier transform, graph filtering, or graph wavelet transform can be performed on a directed graph.
  • Sybil detection detects malicious nodes contained in a network by analyzing graph data based on an actual network.
  • Sybil detection is used for botnet detection, detection of spam users in social networking services (SNS, social networking service), and the like.
  • the detector is used in a matrix generated using arguments on the complex plane that represent the orientation of the sides of the graph with at least some vertices labeled. Based on this, it is characterized by having an update unit that updates the evaluation value of the vertex of the graph by the belief propagation method, and an estimation unit that estimates the label of the vertex of the graph based on the evaluation value.
  • the Sybil detection method can be interpreted in a signal processing framework.
  • FIG. 1 is a diagram showing a configuration example of a detection device according to the first embodiment.
  • FIG. 2 is a diagram showing an example of representation of an undirected graph.
  • FIG. 3 is a diagram showing an example of representation of a directed graph.
  • FIG. 4 is a diagram for explaining a method of converting edges.
  • FIG. 5 is a diagram for explaining a method of converting edges.
  • FIG. 6 is a diagram for explaining a method of converting edges.
  • FIG. 7 is a diagram for explaining the graph Laplacian.
  • FIG. 8 is a diagram for explaining a method of generating a matrix.
  • FIG. 9 is a diagram for explaining the expansion of the graph analysis technique.
  • FIG. 10 is a diagram for explaining a belief propagation method.
  • FIG. 10 is a diagram for explaining a belief propagation method.
  • FIG. 11 is a diagram illustrating a graph having a directed side as a vertex.
  • FIG. 12 is a diagram illustrating a non-backtracking operator.
  • FIG. 13 is a diagram illustrating a non-backtracking operator.
  • FIG. 14 is a flowchart showing a processing flow of the detection device.
  • FIG. 15 is a flowchart showing a flow of processing for detecting Sybil.
  • FIG. 16 is a diagram showing an example of a computer that executes a detection program.
  • FIG. 1 is a diagram showing an example of the configuration of the detection device according to the first embodiment.
  • the detection device 10 analyzes the input graph data 20 and outputs the result of detecting a predetermined vertex as the analysis result 30.
  • the detection device 10 shall detect Sybil.
  • Sybil is a user created for the purpose of malicious acts such as spam, click fraud, phishing, and impersonation of others, and is a security threat that deteriorates the quality of SNS and review sites.
  • Sybil detection the relationship between users may be noticed. For example, on Twitter (registered trademark), there is little motivation for legitimate users to connect with Sybil, which spams. Therefore, it is expected that the legitimate users will be closely connected with each other to form a community structure. On the other hand, since the number of followers has a strong influence on the influence and reliability of the account, it is expected that Sybil will connect with each other to increase the number of followers and form a community structure. Therefore, it is considered that the legitimate user and Sybil can be distinguished by appropriately separating the community structure of the legitimate user and Sybil.
  • Non-Patent Document 1 discloses a method of applying graph signal processing to a directed graph.
  • the detection device 10 of the present embodiment performs Sybil detection using graph signal processing.
  • the existing Sybil detection method can be reinterpreted in terms of graph signal processing.
  • the results of the reinterpretation are considered to be useful for the development of new Sybil detection methods and the improvement of existing Sybil detection methods.
  • the above-mentioned Sybil detection problem can be regarded as a semi-supervised problem that estimates an unknown vertex label from a known vertex label.
  • a signal value of +1 for Sybil and -1 for normal (not Sybil) is assigned, and 0 is assigned for vertices with unknown labels.
  • the Sybil detection problem can be interpreted as a problem of restoring a true graph signal when a graph signal in which some signal values are missing (0) is given.
  • the Sybil detection method based on the belief propagation method is formulated as filtering. This makes it possible to integrate and reinterpret existing Sybil detection methods in terms of graph signal processing.
  • the graph data 20 is data representing a graph by a predetermined method.
  • the graph data 20 is represented by an adjacency matrix.
  • an undirected graph is represented by an adjacency matrix as shown in FIG.
  • FIG. 2 is a diagram showing an example of representation of an undirected graph.
  • the directed graph is represented by an adjacency matrix as shown in FIG.
  • FIG. 3 is a diagram showing an example of representation of a directed graph.
  • the adjacency matrix representing the graph data 20 is defined as follows. First, if there are no edges between the vertices of the graph, the component of the adjacency matrix corresponding to the edges is set to 0. Next, if there are undirected edges between the vertices of the graph, the component of the adjacency matrix corresponding to the edges is 1. If there is a directed edge from any vertex i to the vertex j of the graph, the (i, j) component of the adjacency matrix is set to 1, and the (j, i) component is set to 0.
  • the (1,2) component and the (2,1) component of the adjacency matrix in FIG. 2 are 1. That is, in the adjacency matrix of the undirected graph, any (i, j) component and (j, i) component have the same value. In this way, the adjacency matrix that represents the undirected graph is a symmetric matrix.
  • the adjacency matrix that represents the directed graph is an asymmetric matrix.
  • the graph data 20 may be any data as long as it represents a graph.
  • the graph data 20 may represent the follow / follower relationship (side) of the user (vertex) on Twitter (registered trademark) as a graph, or the function call relationship in the malware execution code. It may be expressed as.
  • the analysis method of the present embodiment is an extension of the graph analysis method of the undirected graph to the directed graph, it can also be applied to the undirected graph.
  • the detection device 10 can execute Sybil detection on the directed graph.
  • the analysis result 30 is a label indicating whether or not it is Sybil for each user corresponding to each vertex of the graph data 20.
  • the detection device 10 includes a communication unit 11, an input unit 12, an output unit 13, a storage unit 14, and a control unit 15.
  • the communication unit 11 performs data communication with other devices via the network.
  • the communication unit 11 is a NIC (Network Interface Card).
  • the input unit 12 accepts data input from the user.
  • the input unit 12 is, for example, an input device such as a mouse or a keyboard.
  • the output unit 13 outputs data by displaying a screen or the like.
  • the output unit 13 is, for example, a display device such as a display.
  • the storage unit 14 is a storage device for an HDD (Hard Disk Drive), SSD (Solid State Drive), optical disk, or the like.
  • the storage unit 14 may be a semiconductor memory in which data such as RAM (Random Access Memory), flash memory, and NVSRAM (Non Volatile Static Random Access Memory) can be rewritten.
  • the storage unit 14 stores an OS (Operating System) and various programs executed by the detection device 10.
  • the control unit 15 controls the entire detection device 10.
  • the control unit 15 is, for example, an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • the control unit 15 has an internal memory for storing programs and control data that specify various processing procedures, and executes each process using the internal memory.
  • the control unit 15 functions as various processing units by operating various programs.
  • the control unit 15 has a conversion unit 151, a generation unit 152, a calculation unit 153, a signal processing unit 154, and an estimation unit 155.
  • the conversion unit 151 converts the direction of the sides between the vertices of the graph into an argument (phase) on the complex plane. For example, when the direction of the sides between the vertices of the graph is the first direction, the conversion unit 151 converts the direction of the sides to the first angle, and when the direction of the sides is opposite to the first direction. The direction of the side is converted to an angle obtained by inverting the sign of the first angle, and when the side has no direction, the direction of the side is converted to 0 (angle).
  • FIGS. 4 to 6. 4 to 6 are diagrams for explaining a method of converting edges.
  • a point on the complex plane with an absolute value of 1 and an argument of 0 is given as a reference point.
  • the conversion unit. 151 does not rotate the deviation angle of the reference point on the complex plane. That is, the reference point indicates that an undirected side or a directed side in both directions exists at the same time between the vertices i-j.
  • the conversion unit 151 rotates the argument of the reference point by ⁇ in the positive direction on the complex plane. ..
  • the conversion unit 151 shifts the argument of the reference point in the negative direction on the complex plane. Rotate ⁇ .
  • the direction from the vertex i to the vertex j is an example of the first orientation.
  • ⁇ is an example of the first angle.
  • ⁇ can be a fixed value such as ⁇ / 4.
  • the operation by the conversion unit 151 described above can be described as a function ⁇ from the edge set to the linear unitary group as shown in the equation (1).
  • the italic i is the index of the vertex, and the opposite i is the imaginary unit.
  • the definition of the function ⁇ is not limited to that of Eq. (1).
  • the generation unit 152 generates an Hermitian matrix representing the relationship between the vertices of the graph by using the declination converted by the conversion unit 151.
  • each row and each column is a matrix corresponding to each vertex of the graph, and the component having a side between the corresponding vertices has a declination converted by the conversion unit 151 and is absolute.
  • the component of the matrix may be the value itself obtained by the above function ⁇ .
  • graph Laplacian can be defined using adjacency matrix and degree matrix.
  • the degree of the graph represents the number of edges protruding from the vertices.
  • FIG. 7 is a diagram for explaining the graph Laplacian.
  • the degree matrix is a matrix in which the degrees of each vertex are arranged diagonally.
  • the adjacency matrix of the directed graph is an asymmetric matrix
  • the graph Laplacian of the directed graph is also an asymmetric matrix.
  • the generation unit 152 generates a matrix using the converted adjacency matrix and the degree matrix.
  • the converted adjacency matrix is a matrix in which each component of the adjacency matrix is represented by using the declination converted by the conversion unit 151.
  • FIG. 8 is a diagram for explaining a method of generating a matrix.
  • the (1,2) component of the transformed adjacency matrix 20A becomes e i ⁇
  • the (2,1) component becomes e ⁇ i ⁇
  • the generation unit 152 obtains the matrix 20L by subtracting the matrix 20A from the matrix 20D which is a degree matrix.
  • the (1,2) component and the (2,1) component of the matrix 20L are -e i ⁇ and -e -i ⁇ , respectively. Further, since there is an undirected edge between the vertices 3-4 of the graph, both the (3,4) component and the (4,3) component of the matrix 20L are -1. Since the conversion unit 151 converts the direction of the side to the argument on the complex plane, the order shown in the matrix 20D is calculated by ignoring the direction of the side of the directed graph.
  • a matrix in which the (i, j) component and the (j, i) component of the matrix are complex conjugates with each other is called a Hermitian matrix.
  • the matrix 20L in FIG. 8 is a Hermitian matrix. Therefore, in the following, the matrix generated by the generation unit 152 is called Hermitian Laplacian and is represented by L.
  • the calculation unit 153 calculates the eigenvector of the Hermitian matrix generated by the generation unit 152. Further, the signal processing unit 154 regards the eigenvector calculated by the calculation unit 153 as the Fourier basis of the graph Laplacian, and performs graph signal processing.
  • the signal processing unit 154 performs graph Fourier transform, graph filtering, or graph wavelet transform using an eigenvector. Further, the eigenvector calculated by the calculation unit 153 may be used in Sybil detection described later.
  • the graph Fourier transform in the undirected graph is defined by considering the eigenvector v of the graph Laplacian L prior as the Fourier basis.
  • V be a matrix of eigenvectors v arranged in a column
  • Most elemental techniques of graph signal processing in undirected graphs are based on this graph Fourier transform.
  • the signal processing unit 154 extends the graph Fourier transform in the conventional undirected graph and applies it to the directed graph.
  • the signal processing unit 154 executes two procedures of spectral decomposition of Hermitian Laplacian L and extension of graph Fourier transform to a directed graph.
  • the signal processing unit 154 uses a matrix ⁇ in which the eigenvalues ⁇ of L are arranged diagonally and a unitary matrix U in which the eigenvectors u are arranged in a column, as shown in equation (2). Use to perform spectral decomposition of L.
  • the eigenvector u is calculated by the calculation unit 153.
  • the signal processing unit 154 can perform a graph Fourier transform on a directed graph for an arbitrary graph signal f by regarding the eigenvector u as a Fourier basis as shown in equation (3).
  • the signal processing unit 154 can also extend the elemental technologies in graph signal processing such as graph filtering and graph wavelet transform to directed graphs in the same manner.
  • the signal processing unit 154 performs graph signal processing for Sybil detection.
  • each vertex of the graph data 20 corresponds to the user of the SNS.
  • labels are attached to at least a part of the vertices of the graph data 20.
  • the Sybil detection method based on the belief propagation method is formulated as filtering by graph signal processing.
  • the pre-evaluation value of the vertices labeled as Sybil is +1 and the pre-evaluation value of the vertices labeled as normal (not Sybil) is -1, and the label is unknown.
  • the pre-evaluation value of the vertex of is set to 0.
  • the evaluation value (probability) p i (x i ) of the vertex i is calculated by Eq. (5) using the converged message ⁇ ij ⁇ (x j ).
  • the approach based on the belief propagation method is more accurate than the approach based on the random walk and is robust to noise.
  • the belief propagation method has proved that the message update algorithm converges when there are no loops in the graph and when there is only one loop. However, when there are two or more loops, there is a problem that there is no guarantee that the message update algorithm will converge.
  • FIG. 10 is a diagram for explaining the belief propagation method. As shown in FIG. 10, in the belief propagation method, the evaluation value is updated based on the message between the vertices.
  • the method of the belief propagation method described here is an example, and the present embodiment can be applied to various methods to which the belief propagation method is applied.
  • the message ⁇ ij (x j ) can be parameterized as in Eq. (6) using a single real number ⁇ .
  • matrix B defined by Eqs. (9) and (10).
  • FIG. 11 is a diagram illustrating a graph having a directed side as a vertex.
  • the directed edges e 1 and e 2 of the directed edge graph are vertices on the directed edge graph.
  • FIG. 12 and 13 are diagrams illustrating a non-backtracking operator. As shown in FIG. 12, when two directed edges are continuous, the equation (10) is non-zero. On the other hand, as shown in FIG. 13, the back-to-back connection relationship becomes zero by (1- ⁇ jk ) in the equation (10).
  • the Sybil detection method based on the belief propagation method can be interpreted as an operation of pooling (aggregating) messages after high-pass filtering the initial value ⁇ (0) under the assumption that the potential functions of the vertices are all equal.
  • the signal processing unit 154 evaluates the vertices of the graph by the belief propagation method based on the matrix generated by using the argument on the complex plane indicating the orientation of the sides of the graph in which at least some of the vertices are labeled. To update.
  • the signal processing unit 154 updates the evaluation value based on the message obtained by updating the vector in which the messages in the belief propagation method are arranged by the matrix expressing the connection relationship of the directed sides of the graph. That is, the signal processing unit 154 updates the evaluation value based on the message calculated by the equation (12).
  • the signal processing unit 154 can update the evaluation value based on the message obtained by high-pass filtering the initial value and then pooling under the assumption that the potential functions of the vertices are all equal.
  • the estimation unit 155 estimates the label at the top of the graph based on the evaluation value. For example, the estimation unit 155 can estimate a vertex whose evaluation value is greater than 0 and equal to or greater than a predetermined threshold value as Sybil.
  • FIG. 14 is a flowchart showing a processing flow of the detection device.
  • the detection device 10 accepts the input of the graph data 20 (step S101). It is assumed that a label indicating whether or not the graph data 20 is Sybil is attached to a part of the vertices of the graph data 20.
  • the detection device 10 converts the direction of the sides between the vertices of the graph into an argument (step S102). For example, the detection device 10 converts a side in a certain direction into an angle ⁇ , and a side in a direction opposite to the direction into an angle ⁇ .
  • the detection device 10 generates an Hermitian matrix based on the declination (step S103). For example, the detection device 10 generates an Hermitian matrix by subtracting the converted adjacency matrix from the degree matrix.
  • the detection device 10 executes Sybil detection (step S104).
  • FIG. 15 is a flowchart showing the flow of processing for detecting Sybil.
  • the process of FIG. 15 corresponds to step S104 of FIG.
  • the detection device 10 creates an update formula that updates a vector in which messages of the belief propagation method are arranged using a matrix of a non-backtracking operator (step S201).
  • the detection device 10 updates the message by the update formula (step S202).
  • the detection device 10 estimates the label of each vertex based on the evaluation value calculated from the message (step S203).
  • the detection device 10 of the first embodiment has a signal processing unit 154 and an estimation unit 155.
  • the signal processing unit 154 evaluates the vertices of the graph by the belief propagation method based on the matrix generated by using the argument on the complex plane representing the orientation of the sides of the graph with at least some vertices labeled. To update.
  • the estimation unit 155 estimates the labels at the vertices of the graph based on the evaluation values. In this way, the detection device 10 applies the graph signal processing to the New Year propagation method. Therefore, according to the present embodiment, the Sybil detection method can be interpreted in a signal processing framework.
  • the signal processing unit 154 updates the evaluation value based on the message obtained by updating the vector in which the messages in the belief propagation method are arranged by the matrix expressing the connection relationship of the directed sides of the graph. This makes it possible to easily apply graph signal processing to the belief propagation method.
  • the signal processing unit 154 updates the evaluation value based on the message obtained by high-pass filtering the initial value and then pooling under the assumption that the potential functions of the vertices are all equal. This makes it possible to interpret the belief propagation method as graph signal processing.
  • the Sybil detection method based on the belief propagation method is filtered on the directed edge graph H instead of the original graph G.
  • the steady distribution is localized to the vertex with a high order.
  • each component of each of the illustrated devices is a functional concept, and does not necessarily have to be physically configured as shown in the figure. That is, the specific forms of distribution and integration of each device are not limited to those shown in the figure, and all or part of them may be functionally or physically dispersed or physically distributed in arbitrary units according to various loads and usage conditions. Can be integrated and configured. Further, each processing function performed by each device may be realized by a CPU and a program analyzed and executed by the CPU, or may be realized as hardware by wired logic.
  • the detection device 10 can be implemented by installing a detection program that executes the above detection process as package software or online software on a desired computer.
  • the information processing device can function as the detection device 10.
  • the information processing device referred to here includes a desktop type or notebook type personal computer.
  • information processing devices include smartphones, mobile communication terminals such as mobile phones and PHS (Personal Handyphone System), and slate terminals such as PDAs (Personal Digital Assistants).
  • the detection device 10 can be implemented as a detection server device in which the terminal device used by the user is a client and the service related to the above detection process is provided to the client.
  • the detection server device is implemented as a server device that inputs graph data and provides vertices that are Sybil.
  • the detection server device may be implemented as a Web server, or may be implemented as a cloud that provides the above-mentioned detection processing service by outsourcing.
  • FIG. 16 is a diagram showing an example of a computer that executes a detection program.
  • the computer 1000 has, for example, a memory 1010 and a CPU 1020.
  • the computer 1000 also has a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. Each of these parts is connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as a BIOS (BASIC Input Output System).
  • BIOS BASIC Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100.
  • the serial port interface 1050 is connected to, for example, a mouse 1110 and a keyboard 1120.
  • the video adapter 1060 is connected to, for example, the display 1130.
  • the hard disk drive 1090 stores, for example, OS1091, application program 1092, program module 1093, and program data 1094. That is, the program that defines each process of the detection device 10 is implemented as a program module 1093 in which a code that can be executed by a computer is described.
  • the program module 1093 is stored in, for example, the hard disk drive 1090.
  • the program module 1093 for executing the same processing as the functional configuration in the detection device 10 is stored in the hard disk drive 1090.
  • the hard disk drive 1090 may be replaced by an SSD.
  • the setting data used in the processing of the above-described embodiment is stored as program data 1094 in, for example, a memory 1010 or a hard disk drive 1090. Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1090 into the RAM 1012 as needed, and executes the process of the above-described embodiment.
  • the program module 1093 and the program data 1094 are not limited to those stored in the hard disk drive 1090, but may be stored in, for example, a removable storage medium and read by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program module 1093 and the program data 1094 may be stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.). Then, the program module 1093 and the program data 1094 may be read from another computer by the CPU 1020 via the network interface 1070.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

検知装置（１０）は、信号処理部（１５４）と推定部（１５５）を有する。信号処理部（１５４）は、少なくとも一部の頂点にラベルが付与されたグラフの辺の向きを表す複素平面上の偏角を用いて生成された行列に基づき、信念伝播法によりグラフの頂点の評価値を更新する。推定部（１５５）は、評価値を基に、グラフの頂点のラベルを推定する。

Description

検知装置、検知方法及び検知プログラム
　本発明は、検知装置、検知方法及び検知プログラムに関する。
　主に無向グラフを中心に適用されていたグラフ信号処理を、有向グラフに適用できるように拡張する方法が提案されている（例えば、非特許文献１を参照）。例えば、非特許文献１に記載の方法によれば、グラフフーリエ変換、グラフフィルタリング又はグラフウェーブレット変換といったグラフ信号処理を、有向グラフに対して行うことができる。
　また、実際のネットワークを基にしたグラフデータを分析することにより、ネットワークに含まれる悪性のノードを検知するSybil検知と呼ばれる手法が知られている。例えば、Sybil検知は、ボットネットの検知、及びソーシャルネットワーキングサービス（ＳＮＳ、social　networking　service）におけるスパムユーザの検知等に用いられる。
　Sybil検知には、ランダムウォーク、信念伝播法（ＢＰ、Belief　Propagation）といった複数の手法が存在する。一方で、グラフ信号処理をSybil検知に応用する方法はこれまで提案されていない。このため、複数のSybil検知の手法を共通の信号処理的な枠組みで解釈することは困難である。
　例えば、Sybil検知の各手法を共通の信号処理的な枠組みで比較できれば、精度や拡張性といった表面的な枠組みでの比較だけでは得られなかった知見が得られるようになり、新たな手法の開発や既存手法の改良が期待できる。
　上述した課題を解決し、目的を達成するために、検知装置は、少なくとも一部の頂点にラベルが付与されたグラフの辺の向きを表す複素平面上の偏角を用いて生成された行列に基づき、信念伝播法により前記グラフの頂点の評価値を更新する更新部と、前記評価値を基に、前記グラフの頂点のラベルを推定する推定部と、を有することを特徴とする。
　本発明によれば、Sybil検知の手法を信号処理的な枠組みで解釈することができる。
図１は、第１の実施形態に係る検知装置の構成例を示す図である。 図２は、無向グラフの表現の例を示す図である。 図３は、有向グラフの表現の例を示す図である。 図４は、辺の変換方法を説明するための図である。 図５は、辺の変換方法を説明するための図である。 図６は、辺の変換方法を説明するための図である。 図７は、グラフラプラシアンを説明するための図である。 図８は、行列の生成方法を説明するための図である。 図９は、グラフ分析技術の拡張について説明するための図である。 図１０は、信念伝播法について説明するための図である。 図１１は、有向辺を頂点とするグラフを説明する図である。 図１２は、non-backtracking　operatorを説明する図である。 図１３は、non-backtracking　operatorを説明する図である。 図１４は、検知装置の処理の流れを示すフローチャートである。 図１５は、Sybilを検知する処理の流れを示すフローチャートである。 図１６は、検知プログラムを実行するコンピュータの一例を示す図である。
　以下に、本願に係る検知装置、検知方法及び検知プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
［第１の実施形態の構成］
　まず、図１を用いて、第１の実施形態に係る検知装置の構成について説明する。図１は、第１の実施形態に係る検知装置の構成の一例を示す図である。図１に示すように、検知装置１０は、入力されたグラフデータ２０を分析し、所定の頂点を検知した結果を分析結果３０として出力する。
　ここで、本実施形態では、検知装置１０はSybilを検知するものとする。Sybilとは、スパムやクリック詐欺、フィッシング、他人へのなりすまし等の悪質な行為を目的に作成されるユーザであり、ＳＮＳやレビューサイトの品質を悪化させるセキュリティ上の脅威である。
　Sybil検知においては、ユーザ間の関係性が注目される場合がある。例えば、Twitter（登録商標）において、正規のユーザがスパム等を行うSybilと繋がろうとする動機は薄い。このため、正規ユーザは正規ユーザ同士で密に繋がってコミュニティ構造を形成することが期待される。一方、フォロワー数の多寡はアカウントの影響力や信頼性に強く影響を及ぼすため、SybilはSybil同士で互いに繋がり合ってフォロワー数を嵩増しし、コミュニティ構造を形成することが期待される。そのため、正規ユーザとSybilのコミュニティ構造を適切に分離することによって正規ユーザとSybilを区別することができると考えられる。
　Sybil検知の手法として、ユーザを頂点とするグラフに付与された既知ラベルに基づいて事前評価値を設定し、頂点の評価値を局所的に更新及び伝播していくことで決定した未知の頂点の評価値を基に、Sybilであるか否かを判定する手法が知られている。また、非特許文献１には、有向グラフに対してグラフ信号処理を適用する方法が開示されている。
　そこで、本実施形態の検知装置１０は、グラフ信号処理を使ってSybil検知を行う。これにより、例えば、既存のSybil検知手法をグラフ信号処理的に再解釈することができる。また、再解釈の結果は、新たなSybil検知手法の開発、及び既存のSybil検知手法の改良に有用であると考えられる。
　上述のSybil検知問題は、既知の頂点ラベルから未知の頂点ラベルを推定する半教師あり問題であると見なすことができる。このとき、既知の頂点ラベルについて、Sybilであれば+1、正規（Sybilでない）であれば-1という信号値を割り当て、ラベルが未知の頂点については0を割り当てるものとする。そうすると、Sybil検知問題は一部の信号値が欠損（0）しているようなグラフ信号が与えられたときに真のグラフ信号を復元する問題であると解釈することができる。
　この観察に基づき、本実施形態では、信念伝播法に基づくSybil検知手法をフィルタリングとして定式化する。これにより、既存のSybil検知手法をグラフ信号処理的に統合し再解釈することができる。
　グラフデータ２０は、所定の方法でグラフを表現したデータである。本実施形態では、グラフデータ２０は隣接行列により表現されるものとする。例えば、無向グラフは、図２に示すような隣接行列で表される。図２は、無向グラフの表現の例を示す図である。また、有向グラフは、図３に示すような隣接行列で表される。図３は、有向グラフの表現の例を示す図である。
　ここで、グラフデータ２０を表現する隣接行列を以下のように定義する。まず、グラフの頂点間に辺が存在しない場合、当該辺に対応する隣接行列の成分は0とする。次に、グラフの頂点間に無向辺が存在する場合、当該辺に対応する隣接行列の成分は1とする。また、グラフの任意の頂点iから頂点jへの有向辺が存在する場合、隣接行列の（i,j）成分は1とし、（j,i）成分は0とする。
　例えば、図２の無向グラフには、頂点1-2間に向きのない辺が存在する。このため、図２の隣接行列の(1,2)成分及び(2,1)成分が1となっている。つまり、無向グラフの隣接行列において、任意の(i,j)成分と(j,i)成分は同じ値となる。このように、無向グラフを表現する隣接行列は対称行列となる。
　また、例えば、図３の有向グラフには、頂点1-2間には頂点1から頂点2への有向辺が存在するため、行列の(1,2)成分には1となる。一方で、頂点2から頂点1への有向辺は存在しないため、(2,1)成分は0となる。このため、有向グラフを表現する隣接行列は非対称行列となる。
　一般に、非対称行列は対称行列と比べて代数的取り扱いが困難であり、このためにグラフ信号処理を含む多くのグラフ分析技術は無向グラフに適用を制限される。なお、グラフデータ２０は、グラフを表すものであれば、どのようなデータであってもよい。
　例えば、グラフデータ２０は、Twitter（登録商標）におけるユーザ（頂点）のフォロー/フォロワー関係（辺）をグラフとして表現したものであってもよいし、マルウェアの実行コードにおいて、関数の呼び出し関係をグラフとして表現したものであってもよい。また、本実施形態の分析手法は、無向グラフのグラフ分析手法を有向グラフへ拡張したものであるので、無向グラフにも適用可能である。
　検知装置１０は、有向グラフに対してSybil検知を実行することができる。例えば、分析結果３０は、グラフデータ２０の各頂点に対応するユーザごとの、Sybilであるか否かを表すラベルである。
　ここで、検知装置１０の各部について説明する。図１に示すように、検知装置１０は、通信部１１、入力部１２、出力部１３、記憶部１４及び制御部１５を有する。
　通信部１１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部１１はＮＩＣ（Network　Interface　Card）である。入力部１２は、ユーザからのデータの入力を受け付ける。入力部１２は、例えば、マウスやキーボード等の入力装置である。出力部１３は、画面の表示等により、データを出力する。出力部１３は、例えば、ディスプレイ等の表示装置である。
　記憶部１４は、HDD（Hard　Disk　Drive）、SSD（Solid　State　Drive）、光ディスク等の記憶装置である。なお、記憶部１４は、RAM（Random　Access　Memory）、フラッシュメモリ、NVSRAM（Non　Volatile　Static　Random　Access　Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１４は、検知装置１０で実行されるOS（Operating　System）や各種プログラムを記憶する。
　制御部１５は、検知装置１０全体を制御する。制御部１５は、例えば、CPU（Central　Processing　Unit）、ＭＰＵ（Micro　Processing　Unit）等の電子回路や、ASIC（Application　Specific　Integrated　Circuit）、FPGA（Field　Programmable　Gate　Array）等の集積回路である。また、制御部１５は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１５は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１５は、変換部１５１、生成部１５２、計算部１５３、信号処理部１５４及び推定部１５５を有する。
　変換部１５１は、グラフの頂点間の辺の向きを複素平面上の偏角（位相）に変換する。例えば、変換部１５１は、グラフの頂点間の辺の向きが第１の方向である場合、辺の向きを第１の角度に変換し、辺の向きが第１の方向と逆である場合、辺の向きを第１の角度の符号を反転させた角度に変換し、辺に向きがない場合、辺の向きを0（角度）に変換する。ここで、図４から図６を用いて、変換部１５１による変換の方法を説明する。図４から図６は、辺の変換方法を説明するための図である。
　まず、基準点として、複素平面上の、絶対値が1かつ偏角が0の点が与えられているものとする。図４に示すように、頂点i-j間に無向辺がある場合、つまり、頂点iから頂点jへの有向辺と頂点jから頂点iへの有向辺が同時に存在する場合は、変換部１５１は、複素平面上の基準点の偏角を回転させない。つまり、基準点は、無向辺又は頂点i-j間に両方向の有向辺が同時に存在していることを表している。
　図５に示すように、頂点i-j間に頂点iから頂点jへの有向辺が存在する場合、変換部１５１は、当該複素平面上において、基準点の偏角を正の方向にθ回転させる。逆に、図６に示すように、頂点i-j間に頂点jから頂点iへの有向辺が存在する場合、変換部１５１は、当該複素平面上において、基準点の偏角を負の方向にθ回転させる。この場合、頂点iから頂点jへの方向は、第１の向きの一例である。また、θは、第１の角度の一例である。また、θは、例えばπ/4のような固定値とすることできる。
　上記の変換部１５１による操作は、（１）式に示すように、辺集合から1次ユニタリ群への関数γとして記述することができる。ただし、（１）式において、斜体のiは頂点のインデックスであり、正対のiは虚数単位である。
Figure JPOXMLDOC01-appb-M000001
　なお、関数γの定義は（１）式のものに限定されない。例えば、関数γは、実部と虚部を明示的に分けてγ=α+iβの形で定義されてもよい。また、関数γは、2次の特殊直交群、つまり、2×2行列としてγ=diag(α,β)のように定義されてもよい。
　生成部１５２は、変換部１５１によって変換された偏角を用いて、グラフの頂点間の関係を表すエルミート行列を生成する。例えば、生成部１５２は、各行及び各列がグラフの各頂点に対応する行列であって、対応する頂点間に辺が存在する成分が、変換部１５１によって変換された偏角を持ち、かつ絶対値が一定の複素数である行列を、グラフの次数行列から引いた行列を生成する。この場合、行列の成分は、上記の関数γによって得られた値そのものであってもよい。
　ここで、グラフ信号処理では、一般に、グラフは、グラフラプラシアンと呼ばれる行列を用いて表現される。グラフラプラシアンは隣接行列と次数行列を用いて定義することができる。グラフの次数は、頂点から出ている辺の数を表す。
　図７を用いて、グラフラプラシアンについて説明する。図７は、グラフラプラシアンを説明するための図である。例えば、図７のグラフにおいて、頂点1からは頂点2と頂点5への2つの辺が出ているので、頂点1の次数は2である。次数行列は、各頂点の次数を対角成分に並べた行列である。一般的に、隣接行列をA、次数行列をDとすれば、従来のグラフラプラシアンLpriorは、Lprior=D-Aと書ける。図７に示すように、有向グラフの隣接行列は非対称行列であり、同様に有向グラフのグラフラプラシアンも非対称行列である。
　生成部１５２は、変換済みの隣接行列と次数行列を用いて行列を生成する。変換済みの隣接行列は、隣接行列の各成分が、変換部１５１によって変換された偏角を用いて表現された行列である。図８は、行列の生成方法を説明するための図である。
　図３に示すように、入力された有向グラフにおいて、例えば、頂点1-2間には頂点1から2への有向辺が存在する。このため、図８に示すように、変換済みの隣接行列である行列２０Ａの(1,2)成分はeiθとなり、(2,1)成分はe-iθとなる。生成部１５２は、次数行列である行列２０Ｄから行列２０Ａを引くことで、行列２０Ｌを得る。
　行列２０Ｌの(1,2)成分及び(2,1)成分は、それぞれ-eiθ及び-e-iθとなる。また、グラフの頂点3-4間には無向辺が存在するので、行列２０Ｌの(3,4)成分及び(4,3)成分はともに-1となる。なお、変換部１５１において、辺の方向を複素平面上の偏角に変換したため、行列２０Ｄに示される次数は、有向グラフの辺の方向を無視して計算されたものである。
　ここで、行列の(i,j)成分と(j,i)成分が互いに複素共役となっている行列をエルミート行列という。明らかに、図８の行列２０Ｌはエルミート行列である。そこで、以降では、生成部１５２によって生成される行列をエルミートラプラシアンと呼び、Lで表す。
　計算部１５３は、生成部１５２によって生成されたエルミート行列の固有ベクトルを計算する。また、信号処理部１５４は、計算部１５３によって計算された固有ベクトルを、グラフラプラシアンのフーリエ基底とみなし、グラフ信号処理を行う。
　例えば、信号処理部１５４は、固有ベクトルを用いて、グラフフーリエ変換、グラフフィルタリング又はグラフウェーブレット変換を行う。また、計算部１５３によって計算された固有ベクトルは、後述するSybil検知において用いられる場合がある。
　ここで、無向グラフにおけるグラフフーリエ変換は、グラフラプラシアンLpriorの固有ベクトルvをフーリエ基底と見なすことで定義される。固有ベクトルvを列に並べた行列をVとすると、任意のグラフ信号fに対するグラフフーリエ変換は^f=V*fで定義される（ただし、^fはfの直上に^が付されたものである。また、*は複素共役転置あるいは随伴を示す。）。無向グラフにおけるグラフ信号処理のほとんどの要素技術はこのグラフフーリエ変換を基礎としている。
　信号処理部１５４は、従来の無向グラフにおけるグラフフーリエ変換を拡張し有向グラフに適用する。信号処理部１５４は、エルミートラプラシアンLのスペクトル分解とグラフフーリエ変換の有向グラフへの拡張の2つの手続きを実行する。
　まず、Lはエルミート行列であるため、信号処理部１５４は、（２）式に示すように、Lの固有値λを対角成分に並べた行列Λ及び固有ベクトルuを列に並べたユニタリ行列Uを用いてLのスペクトル分解を行う。なお、固有ベクトルuは計算部１５３によって計算される。
Figure JPOXMLDOC01-appb-M000002
　また、信号処理部１５４は、固有ベクトルuをフーリエ基底と見なすことで、任意のグラフ信号fに対する有向グラフ上でのグラフフーリエ変換を（３）式のように行うことができる。
Figure JPOXMLDOC01-appb-M000003
　なお、ここではグラフフーリエ変換の拡張方法について述べたが、信号処理部１５４は、同様のやり方で、グラフフィルタリングやグラフウェーブレット変換等のグラフ信号処理における要素技術を有向グラフに拡張することもできる。
　図９は、グラフ分析技術の拡張について説明するための図である。図９に示すように、信号処理部１５４は、既存の無向グラフのグラフフーリエ変換^f=V*fを有向グラフのグラフフーリエ変換^f=U*fで置き換えているといえる。これにより、信号処理部１５４は、既存の無向グラフに対するグラフ分析技術を、有向グラフへ容易に拡張できる。
　本実施形態では、信号処理部１５４は、Sybil検知のためのグラフ信号処理を行う。ここでは、グラフデータ２０の各頂点は、ＳＮＳのユーザに対応するものとする。また、グラフデータ２０の少なくとも一部の頂点には、ラベルが付与されているものとする。
　前述の通り、本実施形態では、信念伝播法に基づくSybil検知手法をグラフ信号処理によるフィルタリングとして定式化する。ここでは、Sybilであることを示すラベルが付与された頂点の事前評価値を+1、正規（Sybilでない）であることを示すラベルが付与された頂点の事前評価値を-1、ラベルが未知の頂点の事前評価値を0とする。
　まず、信念伝播法に基づくSybil検知では、（４）式のように、メッセージと呼ばれる統計量が更新される。
Figure JPOXMLDOC01-appb-M000004
　ここで、xi=±1は確率変数であり、頂点iがSybilであるか否かを表す（例えば、頂点iがSybilであればxi=+1）。μij (t)はステップtにおける頂点iからjへのメッセージである。ただし、Σxjμij(xj)=1と規格化されるものとする。また、ψij(xi,xj)は、それぞれ頂点及び辺のポテンシャル関数である。頂点iの評価値（確率）pi(xi)は、収束したメッセージμij ∞(xj)を用いて（５）式で計算される。
Figure JPOXMLDOC01-appb-M000005
　信念伝播法に基づくアプローチは、ランダムウォークに基づくアプローチと比較して精度が高く、ノイズに頑健であることが知られている。一方で、信念伝播法は、グラフにループがない場合及びループが１つである場合は、メッセージの更新アルゴリズムが収束することが証明されている。しかしながら、２つ以上ループがある場合は、メッセージの更新アルゴリズムが収束する保証がないという問題がある。
　図１０は、信念伝播法について説明するための図である。図１０に示すように、信念伝播法においては、頂点間のメッセージを基に評価値が更新される。なお、ここで説明した信念伝播法の手法は一例であり、本実施形態は、信念伝播法を応用した各種手法に適用することができる。
　ここで、確率変数がバイナリxi=±1の場合、メッセージμij(xj)は単一の実数νを用いて、（６）式のようにパラメトライズできる。
Figure JPOXMLDOC01-appb-M000006
　このとき、信念伝播法の更新式は厳密に（７）式のように書き直せる。
Figure JPOXMLDOC01-appb-M000007
　ここで、νnew=BP(ν)を満たすような作用素BP:ν|→νnew(ただし、|→は写像を表す)を考え、自明な固定点νij=ν*(∀(i,j)∈E)周りで線形化すると、（８）式を得る。
Figure JPOXMLDOC01-appb-M000008
　ただし、1X(x)は、x∈Xのとき、1X(x)=1、xがXに含まれないときは0となるような指示関数である。ここで、（９）式及び（１０）式で定義される行列Bを考える。
Figure JPOXMLDOC01-appb-M000009
Figure JPOXMLDOC01-appb-M000010
　ξij,klを∂νij new/∂νklの係数とすれば、行列Bは（１１）式のヤコビ行列に一致する。
Figure JPOXMLDOC01-appb-M000011
　行列Bはnon-backtracking　operatorと呼ばれており、グラフ上での後戻り(backtracking)を禁止した有向辺の接続関係を表現している。図１１は、有向辺を頂点とするグラフを説明する図である。図１１の例では、有向グラフの有向辺e1及びe2が有向辺グラフ上では頂点となる。
　図１２及び図１３は、non-backtracking　operatorを説明する図である。図１２のように、２つの有向辺連続する場合、（１０）式は非零である。一方、図１３のように、後戻りする接続関係は、（１０）式では(1-δjk)により零になる。
　行列Bは、向き付けられたグラフG=(V,→E)（→Eは、Eの直上に→）の有向辺e∈→Eを頂点とした有向辺グラフH=(→E,F)を表現する隣接行列（ただし、後戻りに相当する接続は除外）と考えることができる。
　（１０）式から、行列Bの重みξij,klはβhi＼jを介してメッセージνに依存していることがわかる。これは、メッセージが更新される度に有向辺グラフH=(→E,F)の辺の重みが適応的に変化することを意味しており、解析が非常に困難である。
　そこで、頂点のポテンシャル関数をψi(xi)=1.∀iと仮定する。これは、既知の頂点ラベルの情報を無視して、ポテンシャル関数が全て等しいと仮定することに相当する。この仮定により、行列Bの成分はBij,kl=tanh(βJij)δil(1-δil)のようにメッセージに依存しない形で書ける。
　メッセージを並べたベクトルをν(t)∈R2|E|とすれば、メッセージの更新式はBを用いて（１２）式のように書ける。
Figure JPOXMLDOC01-appb-M000012
　（１２）式は、初期値ν(0)をべき乗で拡大していく操作であるので、ハイパスフィルタと見なせる。また、メッセージνが収束したとき、確率変数xiの期待値mi:=pi(xi=+1)-pi(xi=-1)は、mi=Σk∈∂iwikνki ∞と計算できる。
　したがって、信念伝播法に基づくSybil検知手法は、頂点のポテンシャル関数が全て等しいという仮定の下では、初期値ν(0)をハイパスフィルタリングした後にメッセージをプーリング（集約）する操作であると解釈できる。
　信号処理部１５４は、少なくとも一部の頂点にラベルが付与されたグラフの辺の向きを表す複素平面上の偏角を用いて生成された行列に基づき、信念伝播法によりグラフの頂点の評価値を更新する。
　例えば、信号処理部１５４は、信念伝播法におけるメッセージを並べたベクトルを、グラフの有向辺の接続関係を表現した行列により更新して得られるメッセージを基に、評価値を更新する。つまり、信号処理部１５４は、（１２）式により計算したメッセージを基に評価値を更新する。
　また、信号処理部１５４は、頂点のポテンシャル関数が全て等しいという仮定の下、初期値をハイパスフィルタリングした後にプーリングすることにより得られたメッセージを基に、評価値を更新するということができる。
　推定部１５５は、評価値を基に、グラフの頂点のラベルを推定する。例えば、推定部１５５は、評価値が0より大きい所定の閾値以上である頂点をSybilと推定することができる。
［第１の実施形態の処理］
　図１４は、検知装置の処理の流れを示すフローチャートである。図１４に示すように、まず、検知装置１０は、グラフデータ２０の入力を受け付ける（ステップＳ１０１）。グラフデータ２０の一部の頂点には、Sybilであるか否かを示すラベルが付与されているものとする。
　次に、検知装置１０は、グラフの頂点間の辺の向きを偏角に変換する（ステップＳ１０２）。例えば、検知装置１０は、ある方向の辺を角度θに変換し、当該方向と反対方向の辺を角度-θに変換する。
　検知装置１０は、偏角を基にエルミート行列を生成する（ステップＳ１０３）。例えば、検知装置１０は、変換済みの隣接行列を次数行列から引くことでエルミート行列を生成する。ここで、検知装置１０は、Sybil検知を実行する（ステップＳ１０４）。
　図１５は、Sybilを検知する処理の流れを示すフローチャートである。図１５の処理は、図１４のステップＳ１０４に対応する。まず、検知装置１０は、non-backtracking　operatorの行列を用いて信念伝播法のメッセージを並べたベクトルを更新する更新式を作成する（ステップＳ２０１）。次に、検知装置１０は、更新式によりメッセージを更新する（ステップＳ２０２）。そして、検知装置１０は、メッセージから計算した評価値を基に各頂点のラベルを推定する（ステップＳ２０３）。
［第１の実施形態の効果］
　これまで説明してきたように、第１の実施形態の検知装置１０は、信号処理部１５４と推定部１５５を有する。信号処理部１５４は、少なくとも一部の頂点にラベルが付与されたグラフの辺の向きを表す複素平面上の偏角を用いて生成された行列に基づき、信念伝播法によりグラフの頂点の評価値を更新する。推定部１５５は、評価値を基に、グラフの頂点のラベルを推定する。このように、検知装置１０は、グラフ信号処理を新年伝播法に適用する。このため、本実施形態によれば、Sybil検知の手法を信号処理的な枠組みで解釈することができる。
　信号処理部１５４は、信念伝播法におけるメッセージを並べたベクトルを、グラフの有向辺の接続関係を表現した行列により更新して得られるメッセージを基に、評価値を更新する。これにより、グラフ信号処理を容易に信念伝播法に適用することができる。
　信号処理部１５４は、頂点のポテンシャル関数が全て等しいという仮定の下、初期値をハイパスフィルタリングした後にプーリングすることにより得られたメッセージを基に、評価値を更新する。これにより、信念伝播法をグラフ信号処理として解釈することが可能になる。
　本実施形態では、信念伝播法に基づくSybil検知手法を、元のグラフGではなく有向辺グラフH上でフィルタリングを行っている。通常のランダムウォークの場合、一度次数の大きい頂点に到達するとその近傍領域から抜け出すのに時間が掛かり、結果として定常分布が次数の高い頂点に局在してしまう。
　一方で、本実施形態のような行列Bによるランダムウォークの場合、後戻りが禁止されている分だけ次数の大きい頂点の近傍に留まる確率が小さくなる。実際、後戻りを禁止したランダムウォークは通常のランダムウォークに比べてmixing　rateが速くなることが知られている。このため、信念伝播法に基づくSybil検知は、次数に極端な偏りのあるグラフにおいても機能すると予想できる。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、CPU及び当該CPUにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　一実施形態として、検知装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の検知処理を実行する検知プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の検知プログラムを情報処理装置に実行させることにより、情報処理装置を検知装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やPHS（Personal　Handyphone　System）等の移動体通信端末、さらには、PDA（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。
　また、検知装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の検知処理に関するサービスを提供する検知サーバ装置として実装することもできる。例えば、検知サーバ装置は、グラフデータを入力とし、Sybilである頂点を提供するサーバ装置として実装される。この場合、検知サーバ装置は、Webサーバとして実装することとしてもよいし、アウトソーシングによって上記の検知処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。
　図１６は、検知プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、CPU１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ROM（Read　Only　Memory）１０１１及びRAM１０１２を含む。ROM１０１１は、例えば、BIOS（BASIC　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、OS１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、検知装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、検知装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、SSDにより代替されてもよい。
　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、CPU１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてRAM１０１２に読み出して、上述した実施形態の処理を実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してCPU１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（LAN（Local　Area　Network）、WAN（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してCPU１０２０によって読み出されてもよい。
　１０　検知装置
　１１　通信部
　１２　入力部
　１３　出力部
　１４　記憶部
　１５　制御部
　２０　グラフデータ
　２０Ａ、２０Ｄ、２０Ｌ　行列
　３０　分析結果
　１５１　変換部
　１５２　生成部
　１５３　計算部
　１５４　信号処理部
　１５５　推定部

Claims (5)

  1. 　少なくとも一部の頂点にラベルが付与されたグラフの辺の向きを表す複素平面上の偏角を用いて生成された行列に基づき、信念伝播法により前記グラフの頂点の評価値を更新する更新部と、
    　前記評価値を基に、前記グラフの頂点のラベルを推定する推定部と、
    　を有することを特徴とする検知装置。
  2. 　前記更新部は、信念伝播法におけるメッセージを並べたベクトルを、グラフの有向辺の接続関係を表現した行列により更新して得られるメッセージを基に、前記評価値を更新することを特徴とする請求項１に記載の検知装置。
  3. 　前記更新部は、頂点のポテンシャル関数が全て等しいという仮定の下、初期値をハイパスフィルタリングした後にプーリングすることにより得られたメッセージを基に、前記評価値を更新することを特徴とする請求項１に記載の検知装置。
  4. 　コンピュータによって実行される検知方法であって、
    　少なくとも一部の頂点にラベルが付与されたグラフの辺の向きを表す複素平面上の偏角を用いて生成された行列に基づき、信念伝播法により前記グラフの頂点の評価値を更新する更新工程と、
    　前記評価値を基に、前記グラフの頂点のラベルを推定する推定工程と、
    　を含むことを特徴とする検知方法。
  5. 　コンピュータを、請求項１から３のいずれか１項に記載の検知装置として機能させるための検知プログラム。
PCT/JP2020/035154 2020-09-16 2020-09-16 検知装置、検知方法及び検知プログラム WO2022059108A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2022550106A JP7448022B2 (ja) 2020-09-16 2020-09-16 検知装置、検知方法及び検知プログラム
US18/022,747 US20230325440A1 (en) 2020-09-16 2020-09-16 Detection device, detection method, and detection program
PCT/JP2020/035154 WO2022059108A1 (ja) 2020-09-16 2020-09-16 検知装置、検知方法及び検知プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/035154 WO2022059108A1 (ja) 2020-09-16 2020-09-16 検知装置、検知方法及び検知プログラム

Publications (1)

Publication Number Publication Date
WO2022059108A1 true WO2022059108A1 (ja) 2022-03-24

Family

ID=80776589

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/035154 WO2022059108A1 (ja) 2020-09-16 2020-09-16 検知装置、検知方法及び検知プログラム

Country Status (3)

Country Link
US (1) US20230325440A1 (ja)
JP (1) JP7448022B2 (ja)
WO (1) WO2022059108A1 (ja)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090132213A1 (en) * 2007-11-16 2009-05-21 Microsoft Corporation Method for modeling data structures using local contexts

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090132213A1 (en) * 2007-11-16 2009-05-21 Microsoft Corporation Method for modeling data structures using local contexts

Also Published As

Publication number Publication date
US20230325440A1 (en) 2023-10-12
JP7448022B2 (ja) 2024-03-12
JPWO2022059108A1 (ja) 2022-03-24

Similar Documents

Publication Publication Date Title
Solus et al. Consistency guarantees for greedy permutation-based causal inference algorithms
Agarwal et al. Towards the unification and robustness of perturbation and gradient based explanations
Huda et al. A malicious threat detection model for cloud assisted internet of things (CoT) based industrial control system (ICS) networks using deep belief network
WO2022059107A1 (ja) 検知装置、検知方法及び検知プログラム
US20220179964A1 (en) Machine learning based vulnerable target identification in ransomware attack
US20210264285A1 (en) Detecting device, detecting method, and detecting program
JP6767312B2 (ja) 検知システム、検知方法及び検知プログラム
EP3816829B1 (en) Detection device and detection method
Sinha et al. Data driven online learning of power system dynamics
WO2020255224A1 (ja) 異常検知装置、学習装置、異常検知方法、学習方法、異常検知プログラム、及び学習プログラム
WO2022059108A1 (ja) 検知装置、検知方法及び検知プログラム
US11487650B2 (en) Diagnosing anomalies detected by black-box machine learning models
JP7310921B2 (ja) 検査装置、検査方法及び検査プログラム
Bielecki et al. Estimation of execution time for computing tasks
WO2021100184A1 (ja) 学習装置、推定装置、学習方法および学習プログラム
WO2021005805A1 (ja) グラフ解析装置、グラフ解析方法及びグラフ解析プログラム
CN116542507A (zh) 流程异常检测方法、电子设备、计算机存储介质及程序产品
US20230319099A1 (en) Fuzz testing of machine learning models to detect malicious activity on a computer
WO2021240661A1 (ja) 学習装置、学習方法、推定装置、推定方法及びプログラム
US20230021338A1 (en) Conditionally independent data generation for training machine learning systems
US20210248847A1 (en) Storage medium storing anomaly detection program, anomaly detection method, and anomaly detection apparatus
WO2021075009A1 (ja) 学習装置、推定装置、学習方法及び学習プログラム
US20210232931A1 (en) Identifying adversarial attacks with advanced subset scanning
JP6835702B2 (ja) 異常推定装置、異常推定方法及びプログラム
Singh et al. Retrial bulk queue with state dependent arrival and negative customers

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20954094

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022550106

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20954094

Country of ref document: EP

Kind code of ref document: A1