WO2022130460A1 - 学習装置、学習方法、異常検知装置、異常検知方法、及びコンピュータ読み取り可能な記録媒体 - Google Patents

学習装置、学習方法、異常検知装置、異常検知方法、及びコンピュータ読み取り可能な記録媒体 Download PDF

Info

Publication number
WO2022130460A1
WO2022130460A1 PCT/JP2020/046553 JP2020046553W WO2022130460A1 WO 2022130460 A1 WO2022130460 A1 WO 2022130460A1 JP 2020046553 W JP2020046553 W JP 2020046553W WO 2022130460 A1 WO2022130460 A1 WO 2022130460A1
Authority
WO
WIPO (PCT)
Prior art keywords
feature vector
data
mapping
subspace
learning
Prior art date
Application number
PCT/JP2020/046553
Other languages
English (en)
French (fr)
Inventor
昌平 三谷
直生 吉永
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to PCT/JP2020/046553 priority Critical patent/WO2022130460A1/ja
Priority to US18/265,346 priority patent/US20240039940A1/en
Priority to JP2022569335A priority patent/JPWO2022130460A5/ja
Publication of WO2022130460A1 publication Critical patent/WO2022130460A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/16—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using machine learning or artificial intelligence

Definitions

  • the present invention relates to an anomaly detection device and anomaly detection method for learning parameters used for mapping, a learning device, a learning method, and detecting anomalies based on the mapping results, and further, a learning device, a learning method, and anomalies.
  • the present invention relates to a computer-readable recording medium that records a detection device and a program for realizing an abnormality detection method.
  • packets flowing through the control system network are monitored and unauthorized control is performed.
  • a technique for detecting abnormal data generated by a procedure is disclosed.
  • Non-Patent Document 1 describes that the feature vector of normal data and the feature vector of abnormal data are separated by mapping the feature vector of normal data among the input data inside a hypersphere characterized by a center and a radius.
  • the technology to be used is disclosed.
  • a neural network is learned by using a deep support vector data description (Deep Support Vector Data Description: Deep S VDD), normal data is stored inside the hypersphere as much as possible, and the volume of the hypersphere is reduced. It is minimized.
  • Deep S VDD Deep S VDD
  • Non-Patent Document 1 when normal data and abnormal data are mapped by the technique shown in Non-Patent Document 1, a large amount of abnormal data may be mapped inside the hypersphere.
  • the system state also includes a transient state in which the system state transitions.
  • anomaly detection which learns parameters for mapping so that normal data and abnormal data are accurately separated, accurately detects anomalies based on learning devices, learning methods, and mapping results. It is an object of the present invention to provide an apparatus, an abnormality detection method, and a computer-readable recording medium.
  • the learning device in one aspect is It is included in the mapping model for mapping the feature vector generated based on the normal data input as training data to the area set based on the preset subspace and the distance from the subspace. It is characterized by having a learning unit for learning a first parameter for generating the feature vector and a second parameter for adjusting the distance.
  • the abnormality detection device on one side is The input data acquired from the target system is input to the mapping model, and the feature vector generated based on the input data is set in the area set based on the preset subspace and the distance from the subspace.
  • Mapping part and mapping part A determination unit that determines the feature vector as abnormal based on the result of the mapping, It is characterized by having.
  • the learning method in one aspect is It is included in the mapping model for mapping the feature vector generated based on the normal data input as training data to the area set based on the preset subspace and the distance from the subspace. It is characterized by having a learning step of learning a first parameter for generating the feature vector and a second parameter for adjusting the distance.
  • the abnormality detection method in one aspect is The input data acquired from the target system is input to the mapping model, and the feature vector generated based on the input data is set in the area set based on the preset subspace and the distance from the subspace.
  • a computer-readable recording medium on which a program in one aspect is recorded may be used. It is included in the mapping model for mapping the feature vector generated based on the normal data input as training data to the area set based on the preset subspace and the distance from the subspace. It is characterized by recording a program including an instruction to execute a learning step for learning a first parameter for generating the feature vector and a second parameter for adjusting the distance.
  • a computer-readable recording medium on which a program in one aspect is recorded is provided.
  • the input data acquired from the target system is input to the mapping model, and the feature vector generated based on the input data is set in the area set based on the preset subspace and the distance from the subspace.
  • normal data and abnormal data can be mapped so as to be separated accurately, and abnormalities can be detected accurately based on the mapping results.
  • FIG. 1 is a diagram for explaining an example of a learning device.
  • FIG. 2 is a diagram for explaining the mapping of feature vectors.
  • FIG. 3 is a diagram for explaining an example of a system having an abnormality detection device.
  • FIG. 4 is a diagram for explaining an example of the operation of the learning device.
  • FIG. 5 is a diagram for explaining an example of the operation of the abnormality detection device.
  • FIG. 6 is a diagram for explaining an example of a system having an abnormality detection device.
  • FIG. 7 is a diagram for explaining an example of the operation of the abnormality detection device.
  • FIG. 8 is a block diagram showing an example of a computer that realizes the learning device and the abnormality detection device according to the first embodiment, the first modification, and the second embodiment.
  • the system having the learning device and the anomaly detection device described in the embodiment is used to monitor packets flowing through the network of the control system in order to prevent attacks on the control system. ..
  • the learning device generates a model that accurately separates and maps normal data and abnormal data generated by an illegal control procedure.
  • the anomaly detection device detects anomalies using the model generated by the learning device.
  • Non-Patent Document 1 a neural network that maps different inputs to different points is used.
  • mapping to different points is that if mapping to the same point is allowed, the feature vector of normal data and the feature vector of abnormal data may all be mapped to the same point, so abnormal data cannot be detected. Is.
  • the input pattern increases according to the system state, so that the number of points to which normal data is mapped increases as the input pattern increases.
  • the radius of the hypersphere must be increased in order to accommodate the points of the feature vectors of all the different normal data in the hypersphere.
  • Non-Patent Document 1 learning is performed using normal data, but learning is not performed using abnormal data. Therefore, the point corresponding to the feature vector of abnormal data is in the entire space. Evenly distributed.
  • the radius of the hypersphere is increased due to (1) and (2), the feature vector of the abnormal data that is evenly distributed in the entire space due to (3) is that of the hypersphere. It is easy to map inside.
  • Non-Patent Document 1 when there are a plurality of system states, it becomes difficult to accurately separate normal data and abnormal data even if the technique shown in Non-Patent Document 1 is used.
  • the system state also has a transient system state during the state transition period.
  • the transient normal data during the state transition and the normal data before and after the state transition are clustered as the same set, so that a single hypersphere also contains multiple system states.
  • the radius of the hypersphere becomes large, and it becomes difficult to accurately separate normal data and abnormal data.
  • the inventor derives a model that is a meaningful product that cannot be generated by human beings, which accurately separates and maps the feature vector of normal data and the feature vector of abnormal data in the monitoring of the control system. I came to do. As a result, it is possible to accurately detect anomalies occurring in the control system based on the result of feature vector mapping using this model.
  • FIG. 1 is a diagram for explaining an example of a learning device.
  • the learning device 10 shown in FIG. 1 is a device for learning a model for mapping the feature vectors of normal data and abnormal data acquired from the network of the control system into a subspace. Further, as shown in FIG. 1, the learning device 10 has a learning unit 11 and a selection unit 12.
  • the learning device 10 is equipped with, for example, a programmable device such as a CPU (Central Processing Unit) or FPGA (Field-Programmable Gate Array), a GPU (Graphics Processing Unit), or one or more of them.
  • Information processing devices such as circuits, server computers, personal computers, and mobile terminals.
  • Traffic data Event series
  • sensor data time series
  • the traffic data and the sensor data may be stored in a storage device such as a database or a server computer by using a data collection device connected to the control system, for example.
  • the control system is a system used for public or public facilities such as power plants, power networks, communication networks, roads, railways, ports, airports, water and sewage systems, irrigation facilities, hydraulic facilities, etc.
  • the event series represents a series of events that occur when the control system controls the target. That is, the event series represents the order of events that occur when the target is controlled.
  • the event is, for example, a control command, a state transition event, a notification event, or the like.
  • Traffic data is data that includes a packet and a set of packet reception dates and times.
  • the header field of the packet includes, for example, a source / destination MAC (MediaAccessControl) address, an IP (InternetProtocol) address, a port number, a version, and the like.
  • the payload of the packet contains, for example, the type of application, associated device ID, control value, state value, and the like.
  • the traffic data may include packet statistics.
  • the time series represents a series of process values measured by the sensor. That is, the time series represents the order of process values that occur when the target is controlled.
  • the process values are, for example, continuous values such as velocity, position, temperature, pressure, and flow velocity, and discrete values representing switch switching. If the process value is controlled by an illegal control procedure, the control system falls into an abnormal state, and the process value also becomes an abnormal value.
  • the feature vector can be paraphrased as, for example, a feature quantity, a latent vector, an expression vector, an expression, an embedding, a low-dimensional vector, a mapping to a feature space, a mapping to an expression space, a mapping to a latent space (projection), and the like.
  • the learning unit 11 extracts the feature vector of the normal data from the training data and learns the mapping model used to map the feature vector of the normal data to the normal region. After that, the learning unit 11 stores the learned mapping model in the storage device 20.
  • the learning unit 11 first acquires the subspace selection information regarding the subspace from the selection unit 12. Next, the learning unit 11 sets the subspaces required for model learning based on the subspace selection information, and ends the preparation for model learning.
  • the subspace is, for example, a hyperspherical surface, a quadric hypersurface (for example, a hyperelliptic surface, a hyperboloid surface, etc.), a torus, or a hyperplane.
  • a hyperspherical surface for example, a hyperspherical surface, a quadric hypersurface (for example, a hyperelliptic surface, a hyperboloid surface, etc.), a torus, or a hyperplane.
  • the subspace may be a part of any one of a hypersphere, a quadric surface, a torus, and a hyperplane.
  • the subspace may be a union that combines a plurality of one or more of a hypersphere, a quadric surface, a torus, and a hyperplane.
  • the union also includes disjoint unions (direct sums).
  • the subspace may be a product set in which a plurality of one or more of a hypersphere, a quadric surface, a torus, and a hyperplane are combined.
  • the subspace selection information includes information representing the selected subspace.
  • Information that represents the selected subspace includes, for example, the number of dimensions of the selected subspace, the radius of the hypersphere, the coefficients of the quadratic hypersurface, the ellipticity of the hyperelliptic surface, and the affine conversion parameter that specifies the inclination of the hyperplane. Is.
  • mapping model for example, a linear model, a neural network, a kernel model, a logistic model, a probability distribution regression, a stochastic process regression, a hierarchical Bayes model, an RNN (Recurrent Neural Network), a Transformer, or the like may be used.
  • learning method for example, a generalized inverse matrix, a gradient descent method, a Monte Carlo method, or the like may be used.
  • the learning unit 11 acquires normal data input as training data.
  • the training data includes, for example, time series, audio, image, video, and relationship data (for example, presence / absence and strength of friendship between people, presence / absence and strength of correlation between data, and inclusion) in addition to event series data. Data such as whether or not there is a relationship) and action history may be used.
  • the learning unit 11 inputs the normal data input as training data into the model, generates a feature vector of the normal data, and learns the model for mapping the generated feature vector of the normal data to the normal region. do.
  • the learning unit 11 generates a first parameter included in the model used for generating a feature vector and a second parameter used for adjusting the distance from the subspace by learning. ..
  • the normal area is an area set based on a preset subspace and a distance from the subspace (distance from a surface), and is obtained by learning.
  • FIG. 2 is a diagram for explaining the mapping of feature vectors.
  • the conventional hypersphere mapping will be described.
  • the feature vector of the normal data is inside the hypersphere 22 of FIG. Not only (black circle: ⁇ ) but also the feature vector of abnormal data (white circle: ⁇ ) is mapped.
  • the subspace mapping model 23 shown in FIG. 2 is a model trained using the selected torus when the torus is selected as the subspace. Then, when the input data shown in FIG. 2 is input to the learned subspace mapping model 23, when the input data is normal data, the normal region 24 (near the submanifold) in FIG. 2 is characterized by the normal data. Vectors (black circles: ⁇ ) are mapped. When the input data is abnormal data, the feature vector (white circle: ⁇ ) of the abnormal data is not mapped to the normal region 24.
  • mapping model can be represented by a loss function such as Equation 1.
  • the subspace is not limited to the hypersphere.
  • the learning unit 11 learns to use the first parameter included in the loss function (model) of Equation 1 to generate the feature vector and the second parameter used to adjust the distance from the subspace. Learn with parameters.
  • the center point may be set in advance, but the center point may be learned as a third parameter.
  • the first parameter used to generate the feature vector the second parameter used to adjust the distance of the normal region from the subspace, and the third parameter to specify a part of the subspace. Since it can be set by learning, the work related to parameter adjustment can be reduced.
  • the feature vectors of the normal data are dispersed so as not to be concentrated near the same point in the normal region.
  • the feature vectors of normal data can be evenly distributed in the direction along the subspace.
  • the feature vector of the normal data can be stored inside a small distance from the subspace, and the volume of the normal region can be reduced by making the normal region very thin. Therefore, the feature vector of the abnormal data can be hard to be confused with the normal region. That is, the feature vector of normal data and the feature vector of abnormal data can be separated accurately.
  • the feature vector of normal data is mapped to a normal region with a small volume around a curved subspace such as a hyperspherical surface or a super quadratic curved surface, the relationship between the normal region and the feature vector of normal data is normal. From the relationship between the region and the feature vector of the abnormal data, the feature vector of the normal data in the transient state connecting between the two normal states and the feature vector of the abnormal data located between the two normal states. It becomes easy to separate from.
  • mapping of feature vectors of anomalous data located between the two normal states depends on the structure of the mapping model, such as a neural network, but is often two on a curved subspace corresponding to the two normal states. It is mapped on a straight line (geodesic line) connecting points. Therefore, the feature vector of the anomalous data located between the two normal states is not mapped on the curved subspace, but on the outside of the normal region.
  • the selection unit 12 selects a subspace as described above.
  • the selection unit 12 has, as a subspace, at least a hypersphere, a quadric hypersurface (for example, a hyperelliptical surface, a hyperboloid, etc.), a torus, a hyperplane, a part thereof, a union or a product set thereof. Select one of the above.
  • select the subspace for determining the normal area As a selection method, a method of allowing the user to select a subspace by displaying a plurality of subspaces on the screen can be considered.
  • a subspace suitable for the control system may be determined in advance by experiments, simulations, machine learning, or the like.
  • the selection unit 12 outputs the subspace selection information to the learning unit 11 after any of the subspaces is selected by the user.
  • FIG. 3 is a diagram showing an example of a system having an abnormality detection device.
  • the system in the first embodiment includes a learning device 10, a storage device 20, an abnormality detection device 30, and an output device 40.
  • the abnormality detection device 30 has a mapping unit 31, a determination unit 32, and an output information generation unit 33.
  • the abnormality detection device 30 is, for example, a programmable device such as a CPU or FPGA, a GPU, or an information processing device such as a circuit, a server computer, a personal computer, a mobile terminal, or the like equipped with any one or more of them. be.
  • the output device 40 acquires the output information described later, which has been converted into an outputable format by the output information generation unit 33, and outputs the generated image, sound, and the like based on the output information.
  • the output device 40 is, for example, an image display device using a liquid crystal display, an organic EL (ElectroLuminescence), or a CRT (CathodeRayTube). Further, the image display device may include an audio output device such as a speaker.
  • the output device 40 may be a printing device such as a printer.
  • the mapping unit 31 inputs the input data acquired from the target control system to the model and maps the feature vector of the input data.
  • the mapping unit 31 first acquires input data from a control system or a storage device (not shown).
  • the input data includes, for example, time series, audio, image, video, and relationship data (whether or not there is a friendship between people, whether or not there is a correlation between the data, and whether or not there is a correlation, in addition to the event series and time series data. Data such as presence / absence of inclusion relationship) and action history may be used.
  • the mapping unit 31 inputs the input data to the mapping model and extracts the feature vector based on the learned mapping model.
  • the feature vector is represented by, for example, a set of n (1 or more) real numbers.
  • mapping unit 31 outputs the mapping result information representing the mapping result to the determination unit 3.
  • the mapping result is, for example, an image as shown in the mapping of the invention of FIG.
  • the mapping result information is information having identification information for identifying the feature vector of each input data, mapping position information indicating the position (point) of the feature vector, and distance information indicating the distance between the point and the normal region.
  • the determination unit 32 determines that the feature vector is abnormal based on the mapping result. Specifically, the determination unit 32 first acquires the mapping result information from the mapping unit 31.
  • the determination unit 32 detects the feature vector mapped outside the normal region based on the mapping result information. Among the feature vectors, the determination unit 32 determines that the feature vector mapped to the normal region is the feature vector of the normal data, and determines that the feature vector mapped outside the normal region is the feature vector of the abnormal data.
  • the determination unit 32 outputs the determination result information having the determination result to the output information generation unit 33.
  • the determination result information includes, for example, information such as a feature vector of the input data and a determination result indicating whether the input data is normal or abnormal.
  • the determination result information may include, for example, a log or the like.
  • the determination result may be provided with not only two values of normal and abnormal but also a plurality of abnormal levels.
  • the determination unit 32 may output the determination result information to another analysis engine.
  • the output information generation unit 33 acquires information such as determination result information and input data, and generates output information converted into a format that can be output to the output device 40.
  • the output information is information for causing the output device 40 to output at least the determination result.
  • Modification 1 Modification 1 will be described. In the first modification, another determination method of the determination unit 32 will be described.
  • the model for mapping the feature vector to the normal region is not necessarily the model learned using the data acquired by operating the control system. Even if the model is trained using the data acquired by operating the control system, there may be a large time difference between the time of learning and the time of operation of using the model. Moreover, overfitting can occur even when there is little time lag.
  • the threshold value used to absorb this error is set in advance. Specifically, the determination unit 32 compares a threshold value preset based on the normal region with the distance between the normal region and the feature vector, and determines whether or not the distance is equal to or greater than the threshold value.
  • the threshold value may be obtained by experiment or simulation. For example, it is desirable to set the threshold value so that the false positive rate is 1 [%] or less. However, the false positive rate is not limited to 1 [%].
  • FIG. 4 is a diagram for explaining an example of the operation of the learning device.
  • FIG. 5 is a diagram for explaining an example of the operation of the abnormality detection device. In the following description, the figures will be referred to as appropriate.
  • the learning method and the abnormality detection method are implemented by operating the learning device and the abnormality detection device. Therefore, the description of the learning method and the abnormality detection method in the first embodiment is replaced with the following operation description of the learning device and the abnormality detection device.
  • the selection unit 12 selects a subspace for determining a normal region (step A1). Specifically, in step A1, the selection unit 12 has at least a supersphere, a quadratic hyperboloid (for example, a hyperboloid, a hyperboloid, etc.), a torus, a hyperplane, a part thereof, and these as subspaces. Select either one of the sum set or the product set of, and output the subspace selection information regarding the subspace.
  • a quadratic hyperboloid for example, a hyperboloid, a hyperboloid, etc.
  • the learning unit 11 acquires the subspace selection information regarding the subspace from the selection unit 12 (step A2). Next, the learning unit 11 sets the subspace required for model learning based on the subspace selection information, and ends the preparation for model learning (step A3).
  • the learning unit 11 acquires normal data input as training data (step A4).
  • the learning unit 11 inputs the normal data input as training data into the model, generates a feature vector of the normal data, and learns the model for mapping the generated feature vector of the normal data to the normal region. (Step A5).
  • step A5 the learning unit 11 uses the first parameter included in the model for generating the feature vector and the second parameter used for adjusting the distance from the subspace. Generated by learning.
  • step A6: Yes when the learning device 10 acquires an instruction to end the learning process (step A6: Yes), the learning device 10 ends the learning process.
  • step A6: No the process proceeds to step A1 and the process is continued.
  • the mapping unit 31 acquires input data from a control system or a storage device (not shown) (step B1).
  • the mapping unit 31 inputs the input data to the mapping model and extracts the feature vector based on the learned mapping model (step B2).
  • the feature vector is represented by, for example, a set of n (1 or more) real numbers.
  • mapping unit 31 outputs the mapping result information representing the mapping result to the determination unit 3.
  • the mapping result is, for example, an image as shown in the mapping of the invention of FIG.
  • the determination unit 32 acquires the mapping result information from the mapping unit 31 (step B3). Next, the determination unit 32 detects the feature vector mapped outside the normal region based on the mapping result information (step B4).
  • the determination unit 32 determines that the feature vector mapped to the normal region is the feature vector of the normal data, and determines that the feature vector mapped outside the normal region is the feature vector of the abnormal data.
  • the determination unit 32 outputs the determination result information having the determination result to the output information generation unit 33.
  • the determination unit 32 may determine the feature vector of the normal data and the feature vector of the abnormal data based on the threshold value described in the modification 1.
  • the determination result may be provided not only with two values of normal and abnormal, but also with a plurality of abnormal levels.
  • the determination unit 32 may output the determination result information to another analysis engine.
  • the output information generation unit 33 acquires information such as determination result information and input data, and generates output information converted into a format that can be output to the output device 40 (step B5). Next, the output information generation unit 33 outputs the output information to the output device 40 (step B6).
  • step B7: Yes when the abnormality detection device 30 acquires an instruction to end the abnormality detection process (step B7: Yes), the abnormality detection device 30 ends the abnormality detection process.
  • step B7: No the process proceeds to step B1 and the process is continued.
  • the first and second parameters and the third parameter can be set by learning, so that the work related to the parameter adjustment can be reduced.
  • the feature vectors of the normal data are dispersed so as not to be concentrated near the same point in the normal region.
  • the feature vectors of normal data can be evenly distributed in the direction along the subspace.
  • the feature vector of the normal data can be stored inside a small distance from the subspace, and the volume of the normal region can be reduced by making the normal region very thin. Therefore, the feature vector of the abnormal data can be hard to be confused with the normal region. That is, the feature vector of normal data and the feature vector of abnormal data can be separated accurately.
  • the feature vector of normal data is mapped to a normal region with a small volume around a curved subspace such as a hyperspherical surface or a super quadratic curved surface, the relationship between the normal region and the feature vector of normal data is normal. From the relationship between the region and the feature vector of the abnormal data, the feature vector of the normal data in the transient state connecting between the two normal states and the feature vector of the abnormal data located between the two normal states. It becomes easy to separate from.
  • the program in the first embodiment and the first modification of the present invention may be a program that causes a computer to execute steps A1 to A6 shown in FIG. 4 and a program that causes a computer to execute steps B1 to B7 shown in FIG.
  • the learning device and learning method By installing this program on a computer and executing it, the learning device and learning method, and the abnormality detection device and abnormality detection method in this embodiment can be realized.
  • the computer processor functions as a learning unit 11, a selection unit 12, a mapping unit 31, a determination unit 32, and an output information generation unit 33, and performs processing.
  • each computer may function as any of a learning unit 11, a selection unit 12, a mapping unit 31, a determination unit 32, and an output information generation unit 33, respectively.
  • FIG. 6 is a diagram showing an example of a system having an abnormality detection device.
  • an autoencoder is used for abnormality detection.
  • the system according to the second embodiment includes an abnormality detection device 70, a learning device 10, a storage device 20, and an output device 40.
  • the abnormality detection device 70 includes a mapping unit 31, an output information generation unit 33, a determination unit 71, and an autoencoder 72.
  • the determination unit 71 determines the abnormality of the feature vector by using the reconstruction error in addition to the mapping result.
  • the determination unit 71 first acquires mapping result information from the mapping unit 31. Next, the determination unit 71 inputs the feature vector of the input data to the autoencoder 72 and acquires the reconstructed data corresponding to the input data.
  • the determination unit 71 generates reconstruction error information representing the difference between the input data and the data corresponding to the input data reconstructed from the feature vector of the input data.
  • Reconstruction error information is output as one or more real values by, for example, calculating the squared error or cross entropy.
  • the determination unit 71 determines whether the input data is normal or abnormal based on the mapping result, as in the determination unit 32 described above (see the first embodiment and the first modification). One judgment). Further, the determination unit 71 determines whether the input data is normal or abnormal according to the difference included in the reconstruction error information (second determination).
  • the determination unit 71 determines that the input data is normal when both the first determination and the second determination are normal. If both the first determination and the second determination are abnormal, it is determined that the input data is abnormal. Further, when either the first determination or the second determination is abnormal, the determination unit 71 determines that the input data is abnormal.
  • the determination unit 71 determines the distance between the feature vector of the input data and the subspace in the normal region based on the mapping result, as in the determination unit 32 described above (see the first embodiment and the first modification). Calculate the weighted sum with the difference included in the reconstruction error information. The weighted sum represents the degree of abnormality of the input data.
  • the determination unit 71 sets an abnormality determination threshold value for the weighted sum in advance, as in the determination unit 32 described above, and determines that the input data is normal when the weighted sum is below the threshold value. Further, the determination unit 71 determines that the input data is abnormal when the weighted sum exceeds the threshold value.
  • the determination unit 71 outputs the determination result information having the determination result to the output information generation unit 33.
  • the autoencoder 72 learns by inputting the feature vector of normal data in the learning phase. Further, the parameters generated by the learning of the autoencoder 72 may be stored in a storage device provided in the abnormality detection device 70, or may be stored in a storage device other than the abnormality detection device 70.
  • the autoencoder 72 When the autoencoder 72 is learned using the feature vector of normal data, if the input data is normal data, the autoencoder 72 can restore the input data. On the other hand, when abnormal data is input to the autoencoder 72, the autoencoder 72 cannot reflect the feature vector of the abnormal data.
  • the input data and the output data of the autoencoder 72 are compared, and if there is a large difference, it can be determined that the input data has abnormal data.
  • mapping model and the learning of the autoencoder 72 may be performed in parallel or separately.
  • FIG. 7 is a diagram for explaining an example of the operation of the abnormality detection device. In the following description, the figures will be referred to as appropriate. Further, in the second embodiment, the abnormality detection method is implemented by operating the abnormality detection device. Therefore, the description of the abnormality detection method in the second embodiment is replaced with the following operation description of the abnormality detection device.
  • the mapping unit 31 acquires input data from a control system or a storage device (not shown) (step B1). Next, the mapping unit 31 inputs the input data to the mapping model and extracts the feature vector based on the learned mapping model (step B2). Next, the mapping unit 31 outputs the mapping result information representing the mapping result to the determination unit 71.
  • the determination unit 71 acquires the mapping result information from the mapping unit 31 (step B3).
  • the determination unit 71 detects the feature vector mapped outside the normal region based on the mapping result information (step B4). Alternatively, the distance from the subspace in the normal region to the feature vector is calculated.
  • the determination unit 71 determines whether the input data is normal or abnormal based on the mapping result (first determination). ). The determination unit 71 outputs the determination result information having the determination result to the output information generation unit 33.
  • the determination unit 71 inputs the feature vector of the input data to the autoencoder 72 and acquires the reconstructed data corresponding to the input data (step C1).
  • the determination unit 71 generates reconstruction error information representing the difference between the input data and the data corresponding to the input data reconstructed from the feature vector of the input data (step C2).
  • the determination unit 71 further determines whether the input data is normal or abnormal according to the difference included in the reconstruction error information (second determination) (step C3).
  • the determination unit 71 determines that the input data is normal when both the first determination and the second determination are normal (step C4). If both the first determination and the second determination are abnormal, it is determined that the input data is abnormal. Further, when either the first determination or the second determination is abnormal, the determination unit 71 determines that the input data is abnormal.
  • the determination unit 71 represents a reconstruction error representing the difference between the distance from the subspace in the normal region to the feature vector of the input data and the data corresponding to the input data reconstructed from the feature vector of the input data. Calculate the weighted sum of the information. Further, when the weighted sum exceeds a predetermined threshold value, the input data is determined to be abnormal.
  • the determination unit 71 outputs the determination result information having the determination result to the output information generation unit 33.
  • the output information generation unit 33 acquires information such as determination result information and input data, and generates output information converted into a format that can be output to the output device 40 (step B5). Next, the output information generation unit 33 outputs the output information to the output device 40 (step B6).
  • step B7: Yes when the abnormality detection device 30 acquires an instruction to end the abnormality detection process (step B7: Yes), the abnormality detection device 30 ends the abnormality detection process.
  • step B7: No the process proceeds to step B1 and the process is continued.
  • the program according to the second embodiment of the present invention may be any program that causes a computer to execute steps B1 to B4, C1 to C4, and B5 to B7 shown in FIG. 7.
  • the computer processor functions as a mapping unit 31, a determination unit 71, an output information generation unit 33, and an autoencoder 72, and performs processing.
  • each computer may function as any of a mapping unit 31, a determination unit 71, an output information generation unit 33, and an autoencoder 72, respectively.
  • FIG. 8 is a block diagram showing an example of a computer that realizes the learning device and the abnormality detection device according to the first embodiment, the first modification, and the second embodiment.
  • the computer 110 includes a CPU (Central Processing Unit) 111, a main memory 112, a storage device 113, an input interface 114, a display controller 115, a data reader / writer 116, and a communication interface 117. And. Each of these parts is connected to each other via a bus 121 so as to be capable of data communication.
  • the computer 110 may include a GPU or FPGA in addition to or in place of the CPU 111.
  • the CPU 111 expands the program (code) in the present embodiment stored in the storage device 113 into the main memory 112, and executes these in a predetermined order to perform various operations.
  • the main memory 112 is typically a volatile storage device such as a DRAM (Dynamic Random Access Memory).
  • the program in the present embodiment is provided in a state of being stored in a computer-readable recording medium 120.
  • the program in the present embodiment may be distributed on the Internet connected via the communication interface 117.
  • the recording medium 120 is a non-volatile recording medium.
  • the storage device 113 include a semiconductor storage device such as a flash memory in addition to a hard disk drive.
  • the input interface 114 mediates data transmission between the CPU 111 and an input device 118 such as a keyboard and mouse.
  • the display controller 115 is connected to the display device 119 and controls the display on the display device 119.
  • the data reader / writer 116 mediates the data transmission between the CPU 111 and the recording medium 120, reads the program from the recording medium 120, and writes the processing result in the computer 110 to the recording medium 120.
  • the communication interface 117 mediates data transmission between the CPU 111 and another computer.
  • the recording medium 120 include a general-purpose semiconductor storage device such as CF (CompactFlash (registered trademark)) and SD (SecureDigital), a magnetic recording medium such as a flexible disk, or a CD-.
  • CF CompactFlash (registered trademark)
  • SD Secure Digital
  • magnetic recording medium such as a flexible disk
  • CD- CompactDiskReadOnlyMemory
  • optical recording media such as ROM (CompactDiskReadOnlyMemory).
  • the learning device and the abnormality detection device in the present embodiment can also be realized by using the hardware corresponding to each part instead of the computer in which the program is installed. Further, the learning device and the abnormality detection device may be partially realized by a program and the rest may be realized by hardware.
  • mapping model It is included in the mapping model for mapping the feature vector generated based on the normal data input as training data to the area set based on the preset subspace and the distance from the subspace.
  • a learning device having a learning unit that learns a first parameter for generating the feature vector and a second parameter for adjusting the distance.
  • Appendix 2 The learning device according to Appendix 1, As the subspace, it has a selection unit that selects at least one of a supersphere, a superelliptical surface, a hyperboloid, a torus, a hyperplane, a part thereof, and a union or product set thereof. Learning device.
  • Appendix 3 The learning device according to Appendix 1 or 2.
  • a learning device having an autoencoder that inputs a feature vector of the normal data and reconstructs the input data corresponding to the feature vector.
  • mapping model The input data acquired from the target system is input to the mapping model, and the feature vector generated based on the input data is set in the area set based on the preset subspace and the distance from the subspace.
  • mapping part and mapping part A determination unit that determines the feature vector as abnormal based on the result of the mapping, Anomaly detection device with.
  • the abnormality detection device described in Appendix 4 is an abnormality detection device that determines a feature vector mapped outside the region as an abnormality.
  • the abnormality detection device according to Appendix 4 or 5. It has an autoencoder that inputs the feature vector of the normal data and reconstructs the input data corresponding to the feature vector.
  • the determination unit calculates a reconstruction error representing the difference between the input data and the data reconstructed by inputting the feature vector of the input data into the autoencoder, and the mapping result and the reconstruction error.
  • An abnormality detection device that determines an abnormality in the feature vector based on the above.
  • the abnormality detection device according to any one of Supplementary note 4 to 6.
  • the input data is an abnormality detection device including any one of network traffic data in the system and sensor data output from the sensor.
  • mapping model for mapping the feature vector generated based on the normal data input as training data to the area set based on the preset subspace and the distance from the subspace.
  • a learning method having a learning step of learning a first parameter for generating the feature vector and a second parameter for adjusting the distance.
  • Appendix 9 The learning method described in Appendix 8 As the subspace, it has a selection step of selecting at least one of a supersphere, a superelliptic surface, a hyperboloid, a torus, a hyperplane, a part thereof, and a union or product set thereof. Learning method.
  • Appendix 10 The learning method described in Appendix 8 or 9, A learning method having an auto-encoding step in which a feature vector of the normal data is input and the input data corresponding to the feature vector is reconstructed.
  • mapping model 11 The input data acquired from the target system is input to the mapping model, and the feature vector generated based on the input data is set in the area set based on the preset subspace and the distance from the subspace. Mapping, mapping steps, A determination step in which the feature vector is determined to be abnormal based on the result of the mapping, and Anomaly detection method with.
  • Appendix 12 The abnormality detection method described in Appendix 11 An abnormality detection method for determining a feature vector mapped outside the region as an abnormality in the determination step.
  • Appendix 13 The abnormality detection method according to Appendix 11 or 12.
  • An auto-encoding step that inputs the feature vector of the normal data and reconstructs the input data corresponding to the feature vector.
  • a reconstruction error representing the difference between the input data and the data reconstructed by inputting the feature vector of the input data is calculated, and the feature vector is calculated based on the reconstruction error due to the reconstruction.
  • the abnormality detection method according to any one of the appendices 11 to 13.
  • the input data is an abnormality detection method including any one of network traffic data in the system and sensor data output from a sensor.
  • mapping model for mapping the feature vector generated based on the normal data input as training data to the area set based on the preset subspace and the distance from the subspace.
  • a computer-readable record recording the program, including instructions to perform a learning step, learning a first parameter for generating the feature vector and a second parameter for adjusting the distance.
  • Appendix 16 The computer-readable recording medium according to Appendix 15, wherein the recording medium is readable.
  • the program is on the computer Execute a selection step to select at least one of a supersphere, a superelliptical surface, a hyperboloid, a torus, a hyperplane, a part thereof, and a sum set or a product set thereof as the subspace.
  • a computer-readable recording medium recording a program, including instructions to cause it.
  • Appendix 17 A computer-readable recording medium according to Appendix 15 or 16.
  • the program is on the computer A computer-readable recording medium recording a program, including an instruction to execute an autoencoding step that inputs a feature vector of the normal data and reconstructs the input data corresponding to the feature vector.
  • mapping model On the computer
  • the input data acquired from the target system is input to the mapping model, and the feature vector generated based on the input data is set in the area set based on the preset subspace and the distance from the subspace.
  • Appendix 19 The computer-readable recording medium according to Appendix 18, wherein the recording medium is readable.
  • Appendix 20 A computer-readable recording medium according to Appendix 18 or 19.
  • the program is on the computer It contains an instruction to execute an auto-encode step that inputs a feature vector of normal data and reconstructs the input data corresponding to the feature vector.
  • a reconstruction error representing the difference between the input data and the data reconstructed by inputting the feature vector of the input data is calculated, and based on the mapping result and the reconstruction error,
  • the computer-readable recording medium according to any one of the appendices 18 to 20.
  • the input data is a computer-readable recording medium including any one of network traffic data in the system and sensor data output from a sensor.
  • normal data and abnormal data can be mapped so as to be accurately separated, and an abnormality can be detected accurately based on the mapping result.
  • the present invention is useful in fields where control system monitoring is required.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Medical Informatics (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Computation (AREA)
  • Artificial Intelligence (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

学習装置１０は、あらかじめ設定された部分空間と部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、特徴ベクトルを生成するための第一のパラメータと、距離を調整するための第二のパラメータとを学習する、学習部１１を有する。

Description

学習装置、学習方法、異常検知装置、異常検知方法、及びコンピュータ読み取り可能な記録媒体
　本発明は、マッピングに用いるパラメータを学習する、学習装置、学習方法、及び、マッピングの結果に基づいて異常を検知する、異常検知装置、異常検知方法に関し、更には、学習装置、学習方法、異常検知装置、異常検知方法を実現するためのプログラムを記録しているコンピュータ読み取り可能な記録媒体に関する。
　インフラ、プラント、ビルなどに用いられる制御システムへの攻撃を防止するために、制御システムのネットワークを流れるパケット（例えば、制御コマンド、プロセス値、コントロール値などを含むパケット）を監視し、不正な制御手順により発生した異常データを検知する技術が開示されている。
　関連する技術として非特許文献１には、入力データのうち正常データの特徴ベクトルを、中心と半径により特徴付けられた超球体の内部にマッピングすることで、正常データと異常データの特徴ベクトルを分離する技術が開示されている。非特許文献１の技術では、ディープサポートベクターデータ記述（Deep Support Vector Data Description：Deep SVDD）を用いて、ニューラルネットワークを学習し、正常データをできるだけ超球体の内部に収めるとともに、超球体の体積を最小化している。
Lukas Ruff, 外７名,"Deep One-Class Classification", 2018年7月, International Conference on Machine Learning 2018, p.4393 - p.4402
　しかしながら、非特許文献１に示した技術により、正常データと異常データをマッピングした場合、多数の異常データが超球体の内部にマッピングされることがある。超球体の内部に異常データがマッピングされる理由の一つとして、対象とするシステムに複数の状態が存在することが挙げられる。なお、システム状態には、システム状態が遷移する過渡的な状態も含まれる。
　一つの側面として、正常データと異常データが精度よく分離されるようにマッピングするためのパラメータを学習する、学習装置、学習方法、及び、マッピングの結果に基づいて精度よく異常を検知する、異常検知装置、異常検知方法、及び、コンピュータ読み取り可能な記録媒体を提供することを目的とする。
　上記目的を達成するため、一つの側面における学習装置は、
　あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、前記特徴ベクトルを生成するための第一のパラメータと、前記距離を調整するための第二のパラメータとを学習する、学習部
　を有することを特徴とする。
　また、上記目的を達成するため、一側面における異常検知装置は、
　対象のシステムから取得した入力データをマッピングモデルに入力し、あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、前記入力データに基づいて生成された特徴ベクトルをマッピングする、マッピング部と、
　前記マッピングの結果に基づいて特徴ベクトルを異常と判定する、判定部と、
　を有することを特徴とする。
　また、上記目的を達成するため、一側面における学習方法は、
　あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、前記特徴ベクトルを生成するための第一のパラメータと、前記距離を調整するための第二のパラメータとを学習する、学習ステップ
　を有することを特徴とする。
　また、上記目的を達成するため、一側面における異常検知方法は、
　対象のシステムから取得した入力データをマッピングモデルに入力し、あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、前記入力データに基づいて生成された特徴ベクトルをマッピングする、マッピングステップと、
　前記マッピングの結果に基づいて特徴ベクトルを異常と判定する、判定ステップと、
　を有することを特徴とする。
　また、上記目的を達成するため、一側面におけるプログラムを記録したコンピュータ読み取り可能な記録媒体は、
　あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、前記特徴ベクトルを生成するための第一のパラメータと、前記距離を調整するための第二のパラメータとを学習する、学習ステップ
　を実行させる命令を含むプログラムを記録していることを特徴とする。
　さらに、上記目的を達成するため、一側面におけるプログラムを記録したコンピュータ読み取り可能な記録媒体は、
　対象のシステムから取得した入力データをマッピングモデルに入力し、あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、前記入力データに基づいて生成された特徴ベクトルをマッピングする、マッピングステップと、
　前記マッピングの結果に基づいて特徴ベクトルを異常と判定する、判定ステップと、
　を実行させる命令を含むプログラムを記録していることを特徴とする。
　一つの側面として、正常データと異常データが精度よく分離されるようにマッピングし、マッピングの結果に基づいて精度よく異常を検知することができる。
図１は、学習装置の一例を説明するための図である。 図２は、特徴ベクトルのマッピングを説明するための図である。 図３は、異常検知装置を有するシステムの一例を説明するための図である。 図４は、学習装置の動作の一例を説明するための図である。 図５は、異常検知装置の動作の一例を説明するための図である。 図６は、異常検知装置を有するシステムの一例を説明するための図である。 図７は、異常検知装置の動作の一例を説明するための図である。 図８は、実施形態１、変形例１、実施形態２における学習装置及び異常検知装置を実現するコンピュータの一例を示すブロック図である。
　はじめに、以降で説明する実施形態の理解を容易にするために概要を説明する。
　実施形態で説明する学習装置と異常検知装置を有するシステム（同一の技術分野に属するシステム）は、制御システムへの攻撃を防止するために、制御システムのネットワークを流れるパケットを監視するために用いられる。
　学習装置は、正常データと、不正な制御手順により発生した異常データとを精度よく分離してマッピングするモデルを生成する。異常検知装置は、学習装置が生成したモデルを用いて異常を検知する。
　従来、正常データと異常データを分離する方法として、ＡＥ（Auto Encoder）、Deep SVDD、クラスタリングなどを用いた方法が提案されている。
　ＡＥを用いた方法では、正常データと異常データの分離は、ハイパーパラメータに依存するため、ハイパーパラメータをチューニングしなければならないという課題がある。
　そこで、上述したＡＥの課題を解決するために、非特許文献１に示したDeep SVDDを用いて、正常データと異常データを分離するマッピングが提案されている。しかし、非特許文献１に示されているDeep SVDDを用いた方法では、異常データの特徴ベクトルを超球体（正常データの特徴ベクトルを収める正常領域）の内部にマッピングするため、正常データと異常データを精度よく分離できないという課題がある。
　異常データの特徴ベクトルが超球体の内部にマッピングされる理由の一つとして、制御システムには、運用において、複数のシステム状態が存在し、そのシステム状態に応じて、制御システムの振る舞いが変化することが挙げられる。
（１）非特許文献１に示した技術では、異なる入力に対して、異なる点へマッピングを行うニューラルネットワークが用いられている。
　異なる点へマッピングする理由は、同じ点へのマッピングを許すと、正常データの特徴ベクトルと異常データの特徴ベクトルとが全て同じ点にマッピングされてしまう虞があるため、異常データを検知できなくなるからである。
（２）制御システムに複数のシステム状態がある場合、システム状態に応じて入力のパターンも増えるので、入力のパターンの増加にともない、正常データのマッピング先の点も増える。
　そうすると、（１）（２）に起因して、異なる全ての正常データの特徴ベクトルの点を超球体に収めるために、超球体の半径を大きくしなければならない。
（３）非特許文献１に示した技術では、正常データを用いて学習をしているが、異常データを用いて学習をしていないので、異常データの特徴ベクトルに対応する点は全空間に均等に分布する。
　その結果、（１）（２）に起因して超球体の半径を大きくしているので、（３）に起因して全空間に均等に分布している異常データの特徴ベクトルが、超球体の内部にマッピングされ易くなる。
　したがって、複数のシステム状態がある場合、非特許文献１に示した技術を用いても、正常データと異常データを精度よく分離することが困難になる。
　なお、上述した方法以外にも、上述した方法にクラスタリングを組み合わせた方法も考えられる。しかし、システム状態には、状態遷移をしている期間の過渡的なシステム状態も存在する。
　そうすると、クラスタリングを組み合わせた方法では、状態遷移中の過渡的な正常データと、状態遷移前後の正常データを同じ集合としてクラスタリングすることになるため、やはり単一の超球体に複数のシステム状態が含まれ、超球体の半径が大きくなり、正常データと異常データを精度良く分離することが困難になる。
　このようなプロセスを経て、発明者は、上述したような従来の方法では、正常データと異常データとを精度よく分離できないという課題を見出し、それとともに係る課題を解決する手段を導出するに至った。
　すなわち、発明者は、制御システムの監視において、正常データの特徴ベクトルと異常データの特徴ベクトルとを精度よく分離してマッピングする、人間自身には到底生成できない、有意義な生成物であるモデルを導出するに至った。その結果、このモデルを用いた特徴ベクトルのマッピングの結果に基づいて、制御システムに生じた異常を精度よく検知できる。
　以下、図面を参照して実施形態について説明する。なお、以下で説明する図面において、同一の機能又は対応する機能を有する要素には同一の符号を付し、その繰り返しの説明は省略することもある。
（実施形態１）
　図１を用いて、本実施形態１における学習装置の構成について説明する。図１は、学習装置の一例を説明するための図である。
［装置構成］
　図１に示す学習装置１０は、制御システムのネットワークから取得した正常データと異常データの特徴ベクトルを、部分空間にマッピングをするためのモデルを学習する装置である。また、図１に示すように、学習装置１０は、学習部１１と、選択部１２とを有する。
　学習装置１０は、例えば、ＣＰＵ（Central Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）などのプログラマブルなデバイス、又はＧＰＵ（Graphics Processing Unit）、又はそれらのうちのいずれか一つ以上を搭載した回路、サーバコンピュータ、パーソナルコンピュータ、モバイル端末などの情報処理装置である。
　ネットワークには、イベント系列（トラフィックデータ）及び時系列（センサデータ）などのデータが流れている。トラフィックデータ、センサデータは、例えば、制御システムに接続されたデータ収集装置を用いて、データベース、サーバコンピュータなどの記憶装置に記憶してもよい。
　制御システムは、例えば、発電所、電力網、通信網、道路、鉄道、港湾、空港、上下水道、灌漑施設、治水施設などの公共又は公益の設備、施設、構造物などに用いられるシステムである。
　イベント系列は、制御システムに、対象の制御をさせた場合に発生するイベントの一連の流れを表す。すなわち、イベント系列とは、対象の制御をした場合に発生するイベントの順序を表している。イベントとは、例えば、制御コマンド、状態遷移イベント、通知イベントなどである。
　トラフィックデータは、パケットとパケットの受信日時の組が含まれるデータである。パケットのヘッダフィールドには、例えば、送信元／宛先ＭＡＣ（Media Access Control）アドレス、ＩＰ（Internet Protocol）アドレス、ポート番号、バージョンなどが含まれる。パケットのペイロードには、例えば、アプリケーションの種類、関連デバイスＩＤ、制御値、状態値などが含まれる。トラフィックデータには、パケットの統計量を含めてもよい。
　時系列は、センサの計測したプロセス値の一連の流れを表す。すなわち、時系列とは、対象を制御した場合に発生するプロセス値の順序を表している。プロセス値は、例えば、速度、位置、温度、圧力、流速などの連続値、スイッチの切り替えを表す離散値などである。なお、プロセス値は、不正な制御手順で制御されると、制御システムが異常な状態に陥り、プロセス値も異常値となる。
　特徴ベクトルは、例えば、特徴量、潜在ベクトル、表現ベクトル、表現、埋め込み、低次元ベクトル、特徴空間への写像、表現空間への写像、潜在空間への写像（射影）などに言い換えられる。
　学習部１１は、訓練データから正常データの特徴ベクトルを抽出し、正常データの特徴ベクトルを正常領域にマッピングするために用いるマッピングモデルの学習をする。その後、学習部１１は、学習したマッピングモデルを記憶装置２０に記憶する。
　具体的には、学習部１１は、まず、選択部１２から、部分空間に関する部分空間選択情報を取得する。次に、学習部１１は、部分空間選択情報に基づいて、モデル学習に必要な部分空間などの設定をして、モデル学習の準備を終了する。
　部分空間は、例えば、超球面、又は二次超曲面（例えば、超楕円面、超双曲面など）、又はトーラス、又は超平面などである。
　又は、部分空間は、超球面、二次超曲面、トーラス、超平面のいずれか一つの一部でもよい。
　又は、部分空間は、超球面、二次超曲面、トーラス、超平面のうちの一つ以上を複数個組み合わせた和集合でもよい。なお、和集合には、非交和（直和）も含まれる。
　又は、部分空間は、超球面、二次超曲面、トーラス、超平面のうちの一つ以上を複数個組み合わせた積集合でもよい。
　部分空間選択情報は、選択した部分空間を表す情報を含んでいる。選択した部分空間を表す情報とは、例えば、選択した部分空間の次元数、超球面の半径や二次超曲面の係数、超楕円面の楕円率や超平面の傾きを指定するアフィン変換パラメータなどである。
　マッピングモデルには、例えば、線形モデル、ニューラルネットワーク、カーネルモデル、ロジスティックモデル、確率分布回帰、確率過程回帰、階層ベイズモデル、ＲＮＮ（Recurrent Neural Network）、Transformerなどを用いてもよい。学習方法は、例えば、一般化逆行列、勾配降下法、モンテカルロ法などを用いてもよい。
　次に、モデル学習の準備が終了すると学習を開始する。学習部１１は、訓練データとして入力された正常データを取得する。
　訓練データは、例えば、イベント系列のデータ以外にも、時系列、音声、画像、映像、関係データ（例えば、人物同士の友人関係の有無や強さ、データ間の相関の有無や強さ、包含関係の有無など）、行動履歴などのデータを用いてもよい。
　次に、学習部１１は、訓練データとして入力された正常データをモデルに入力し、正常データの特徴ベクトルを生成し、生成した正常データの特徴ベクトルを正常領域にマッピングするためのモデルの学習をする。
　具体的には、学習部１１は、モデルに含まれる、特徴ベクトルを生成するために用いる第一のパラメータと、部分空間からの距離を調整するために用いる第二のパラメータとを学習により生成する。
　正常領域は、あらかじめ設定された部分空間と、その部分空間からの距離（面からの距離）とに基づいて設定される領域で、学習により求められる。
　マッピングについて説明する。
　図２は、特徴ベクトルのマッピングを説明するための図である。まず、従来の超球体マッピングについて説明する。非特許文献１に示されているような、超球体のマッピングモデル２１に、図２に示す入力データ（トラフィックデータ）を入力すると、図２の超球体２２の内部には、正常データの特徴ベクトル（黒丸：●）だけでなく、異常データの特徴ベクトル（白丸：○）もマッピングされる。
　次に、本発明の部分空間マッピングについて説明する。図２に示す部分空間マッピングモデル２３は、部分空間としてトーラスが選択された場合に、選択されたトーラスを用いて学習されたモデルである。そして、学習した部分空間マッピングモデル２３に、図２に示す入力データを入力すると、入力データが正常データである場合、図２の正常領域２４（部分多様体の近傍）には、正常データの特徴ベクトル（黒丸：●）がマッピングされる。入力データが異常データである場合、異常データの特徴ベクトル（白丸：○）は正常領域２４にマッピングされない。
　マッピングモデルについて詳細な説明をする。
　例えば、部分空間として超球面が選択された場合、モデルは、数１のような損失関数により表すことができる。ただし、部分空間は超球面に限定されるものではない。
Figure JPOXMLDOC01-appb-M000001
　学習部１１は、学習することにより、数１の損失関数（モデル）に含まれる、特徴ベクトルを生成するために用いる第一のパラメータと、部分空間からの距離を調整するために用いる第二のパラメータとを学習する。
　また、中心点は、あらかじめ設定してもよいが、中心点を第三のパラメータとして学習してもよい。
　このように、特徴ベクトルを生成するために用いる第一のパラメータ、部分空間からの正常領域の距離を調整するために用いる第二のパラメータ、及び部分空間の一部を指定する第三のパラメータを学習により設定できるので、パラメータの調整に係る作業を削減できる。
　また、数１の損失関数に補助項を設けることで、正常データの特徴ベクトルが、正常領域の同じ点付近に集中しないように分散させる。
　その結果、生成したモデルを用いることで、正常データの特徴ベクトルが部分空間に沿う方向に満遍なく分布するようにできる。それにより、異なる正常データが多数存在しても、正常データの特徴ベクトルが部分空間から離れる方向に分布することを防ぎ、結果として部分空間からの正常領域の距離を小さくすることができる。したがって、正常データの特徴ベクトルを部分空間に沿ったごく薄い正常領域にマッピングし、一方で異常データの特徴ベクトルは部分空間に沿うことなくマッピングすることができる。
　また、従来のように超球体を正常領域としてマッピングをする場合、正常データの特徴ベクトルを超球体に収めようとして超球体の体積が大きくなっていたので、異常データの特徴ベクトルも超球体に紛れていた。
　しかし、正常領域として部分空間と部分空間からの距離を設定することにより、正常データの特徴ベクトルを部分空間から小さな距離の内側に収め、正常領域をごく薄く取ることで正常領域の体積を小さくできるので、異常データの特徴ベクトルが正常領域に紛れ難くできる。すなわち、正常データの特徴ベクトルと異常データの特徴ベクトルとを精度よく分離することができる。
　また、正常データの特徴ベクトルを、超球面や超二次曲面のような曲がった部分空間のまわりの、体積の小さな正常領域にマッピングするので、正常領域と正常データの特徴ベクトルとの関係、正常領域と異常データの特徴ベクトルとの関係から、二つの正常な状態の間を結ぶ過渡的な状態における正常データの特徴ベクトルと、二つの正常な状態の中間に位置するだけの異常データの特徴ベクトルとを分離し易くなる。
　二つの正常な状態の中間に位置する異常データの特徴ベクトルのマッピングは、ニューラルネットワークなどマッピングモデルの構造に依存するが、多くの場合、二つの正常な状態に対応する曲がった部分空間上の二点を結ぶ直線（測地線）上にマッピングされる。したがって、二つの正常な状態の中間に位置する異常データの特徴ベクトルは、曲がった部分空間の上にはマッピングされず、正常領域の外にマッピングされるようになる。
　選択部１２は、上述したような部分空間を選択する。選択部１２は、部分空間として、少なくとも超球面、二次超曲面（例えば、超楕円面、超双曲面など）、トーラス、超平面、これらの一部、これらの和集合又は積集合、のうちのいずれか一つを選択する。
　具体的には、まず、正常領域を決定するための部分空間を選択する。選択方法としては、複数の部分空間を画面に表示するなどして、利用者により部分空間を選択させる方法が考えられる。又は、実験、シミュレーション、機械学習などにより、制御システムに適した部分空間をあらかじめ決めておいてもよい。
　次に、選択部１２は、利用者により部分空間のいずれかが選択された後、部分空間選択情報を学習部１１に出力する。
［システム構成］
　続いて、図３を用いて、本実施形態１における異常検知装置３０の構成を具体的に説明する。図３は、異常検知装置を有するシステムの一例を示す図である。
　図３に示すように、本実施形態１におけるシステムは、学習装置１０、記憶装置２０、異常検知装置３０、出力装置４０を有する。異常検知装置３０は、マッピング部３１と、判定部３２と、出力情報生成部３３とを有する。
　システムについて説明する。
　学習装置１０、記憶装置２０については、既に説明をしたので説明を省略する。
　異常検知装置３０は、例えば、ＣＰＵ、又はＦＰＧＡなどのプログラマブルなデバイス、又はＧＰＵ、又はそれらのうちのいずれか一つ以上を搭載した回路、サーバコンピュータ、パーソナルコンピュータ、モバイル端末などの情報処理装置である。
　出力装置４０は、出力情報生成部３３により、出力可能な形式に変換された、後述する出力情報を取得し、その出力情報に基づいて、生成した画像及び音声などを出力する。出力装置４０は、例えば、液晶、有機ＥＬ（Electro Luminescence）、ＣＲＴ（Cathode Ray Tube）を用いた画像表示装置などである。さらに、画像表示装置は、スピーカなどの音声出力装置などを備えていてもよい。なお、出力装置４０は、プリンタなどの印刷装置でもよい。
　異常検知装置について説明する。
　マッピング部３１は、対象の制御システムから取得した入力データをモデルに入力し、入力データの特徴ベクトルをマッピングする。
　具体的には、マッピング部３１は、まず、制御システム又は記憶装置（不図示）から入力データを取得する。
　入力データは、例えば、イベント系列と時系列のデータ以外にも、時系列、音声、画像、映像、関係データ（人物同士の友人関係の有無や強さ、データ間の相関の有無や強さ、包含関係の有無など）、行動履歴などのデータを用いてもよい。
　次に、マッピング部３１は、入力データをマッピングモデルに入力して、学習したマッピングモデルに基づいて特徴ベクトルを抽出する。特徴ベクトルは、例えば、ｎ個（１以上）の実数の組で表される。
　次に、マッピング部３１は、マッピングの結果を表すマッピング結果情報を、判定部３に出力する。マッピング結果は、例えば、図２の発明のマッピングに示したようなイメージになる。
　マッピング結果情報は、入力データそれぞれの特徴ベクトルを識別する識別情報と、特徴ベクトルの位置（点）を表すマッピング位置情報と、点と正常領域との距離を表す距離情報とを有する情報である。
　判定部３２は、マッピングの結果に基づいて特徴ベクトルを異常と判定する。具体的には、判定部３２は、まず、マッピング結果情報を、マッピング部３１から取得する。
　次に、判定部３２は、マッピング結果情報に基づいて、正常領域外にマッピングされた特徴ベクトルを検出する。判定部３２は、特徴ベクトルのうち、正常領域にマッピングされた特徴ベクトルを正常データの特徴ベクトルと判定し、正常領域外にマッピングされた特徴ベクトルを異常データの特徴ベクトルと判定する。
　次に、判定部３２は、判定結果を有する判定結果情報を出力情報生成部３３に出力する。判定結果情報は、例えば、入力データの特徴ベクトル、入力データが正常か異常かを表す判定結果などの情報を有する。判定結果情報は、例えば、ログなどを含めてもよい。
　また、判定結果は、正常と異常の二値だけでなく、異常に複数のレベルを設けてもよい。
　また、判定部３２は、判定結果情報を、更に他の分析エンジンに出力してもよい。
　出力情報生成部３３は、判定結果情報、入力データなどの情報を取得して、出力装置４０に出力可能な形式に変換した出力情報を生成する。出力情報は、出力装置４０に、少なくとも判定結果を出力させるための情報である。
（変形例１）
　変形例１について説明する。変形例１では、判定部３２の他の判定方法について説明する。
　正常領域に特徴ベクトルをマッピングするためのモデルは、実際に、制御システムを運用して取得したデータを用いて学習されたモデルとは限らない。制御システムを運用して取得したデータを用いて学習されたモデルであっても、学習した時点とモデルを利用する運用時点との間に、大きな時間差が存在する場合がある。さらに、時間差がほとんど存在しない場合であっても、過学習が行われる可能性がある。
　そのため、運用において制御システムから取得したデータの特徴ベクトルをマッピングすると、特徴ベクトルの位置に誤差が生じる。すなわち、正常領域と特徴ベクトルとの距離にも誤差が生じる。
　そこで、この誤差を吸収するために用いる閾値をあらかじめ設定する。具体的には、判定部３２は、正常領域に基づいてあらかじめ設定された閾値と、正常領域と特徴ベクトルとの距離とを比較し、距離が閾値以上か否かの判定をする。
　閾値は、実験やシミュレーションにより求めてもよい。閾値は、例えば、誤検知率が１［％］以下になる設定することが望ましい。ただし、誤検知率は１［％］に限定されるものではない。
［装置動作］
　次に、実施形態１における学習装置と異常検知装置の動作について、図４、図５を用いて説明する。図４は、学習装置の動作の一例を説明するための図である。図５は、異常検知装置の動作の一例を説明するための図である。以下の説明においては、適宜図を参照する。また、本実施形態１では、学習装置と異常検知装置を動作させることによって、学習法と異常検知方法が実施される。よって、本実施形態１における学習方法と異常検知方法の説明は、以下の学習装置と異常検知装置の動作説明に代える。
　学習装置の動作について説明する。
　図４に示すように、選択部１２は、正常領域を決定するための部分空間を選択する（ステップＡ１）。具体的には、ステップＡ１において、選択部１２は、部分空間として、少なくとも超球面、二次超曲面（例えば、超楕円面、超双曲面など）、トーラス、超平面、これらの一部、これらの和集合又は積集合、のうちのいずれか一つを選択し、部分空間に関する部分空間選択情報を出力する。
　次に、学習部１１は、選択部１２から、部分空間に関する部分空間選択情報を取得する（ステップＡ２）。次に、学習部１１は、部分空間選択情報に基づいて、モデル学習に必要な部分空間などの設定をして、モデル学習の準備を終了する（ステップＡ３）。
　次に、モデル学習の準備が終了すると学習を開始する。学習部１１は、訓練データとして入力された正常データを取得する（ステップＡ４）。
　次に、学習部１１は、訓練データとして入力された正常データをモデルに入力し、正常データの特徴ベクトルを生成し、生成した正常データの特徴ベクトルを正常領域にマッピングするためのモデルの学習をする（ステップＡ５）。
　具体的には、ステップＡ５において、学習部１１は、モデルに含まれる、特徴ベクトルを生成するために用いる第一のパラメータと、部分空間からの距離を調整するために用いる第二のパラメータとを学習により生成する。
　次に、学習装置１０は、学習処理を終了する指示を取得した場合（ステップＡ６：Ｙｅｓ）には、学習処理を終了する。学習処理を継続する場合（ステップＡ６：Ｎｏ）には、ステップＡ１に移行して処理を継続する。
　異常検知装置の動作について説明する。
　図５に示すように、マッピング部３１は、制御システム又は記憶装置（不図示）から入力データを取得する（ステップＢ１）。
　次に、マッピング部３１は、入力データをマッピングモデルに入力して、学習したマッピングモデルに基づいて特徴ベクトルを抽出する（ステップＢ２）。特徴ベクトルは、例えば、ｎ個（１以上）の実数の組で表される。
　次に、マッピング部３１は、マッピングの結果を表すマッピング結果情報を、判定部３に出力する。マッピング結果は、例えば、図２の発明のマッピングに示したようなイメージになる。
　次に、判定部３２は、マッピング結果情報をマッピング部３１から取得する（ステップＢ３）。次に、判定部３２は、マッピング結果情報に基づいて、正常領域外にマッピングされた特徴ベクトルを検出する（ステップＢ４）。
　判定部３２は、特徴ベクトルのうち、正常領域にマッピングされた特徴ベクトルを正常データの特徴ベクトルと判定し、正常領域外にマッピングされた特徴ベクトルを異常データの特徴ベクトルと判定する。判定部３２は、判定結果を有する判定結果情報を出力情報生成部３３に出力する。
　なお、判定部３２は、変形例１で説明した閾値に基づいて、正常データの特徴ベクトルと異常データの特徴ベクトルとを判定してもよい。
　また、判定結果は、正常と異常の二値だけでなく、異常に複数のレベルを設けてもよい。
　また、判定部３２は、判定結果情報を、更に他の分析エンジンに出力してもよい。
　次に、出力情報生成部３３は、判定結果情報、入力データなどの情報を取得して、出力装置４０に出力可能な形式に変換した出力情報を生成する（ステップＢ５）。次に、出力情報生成部３３は、出力情報を、出力装置４０に出力する（ステップＢ６）。
　次に、異常検知装置３０は、異常検知処理を終了する指示を取得した場合（ステップＢ７：Ｙｅｓ）には、異常検知処理を終了する。異常検知処理を継続する場合（ステップＢ７：Ｎｏ）には、ステップＢ１に移行して処理を継続する。
［本実施形態１の効果］
　以上のように実施形態１、変形例１によれば、第一、第二のパラメータ及び第三のパラメータを学習により設定できるので、パラメータの調整に係る作業を削減できる。
　また、数１の損失関数に補助項を設けることで、正常データの特徴ベクトルが、正常領域の同じ点付近に集中しないように分散させる。
　その結果、生成したモデルを用いることで、正常データの特徴ベクトルが部分空間に沿う方向に満遍なく分布するようにできる。それにより、異なる正常データが多数存在しても、正常データの特徴ベクトルが部分空間から離れる方向に分布することを防ぎ、結果として部分空間からの正常領域の距離を小さくすることができる。したがって、正常データの特徴ベクトルを部分空間に沿ったごく薄い正常領域にマッピングし、一方で異常データの特徴ベクトルは部分空間に沿うことなくマッピングすることができる。
　また、従来のように超球体を正常領域としてマッピングする場合、正常データの特徴ベクトルを超球体に収めようとして超球体の体積が大きくなっていたので、異常データの特徴ベクトルも超球体に紛れていた。
　しかし、正常領域として部分空間と部分空間からの距離を設定することにより、正常データの特徴ベクトルを部分空間から小さな距離の内側に収め、正常領域をごく薄く取ることで正常領域の体積を小さくできるので、異常データの特徴ベクトルが正常領域に紛れ難くできる。すなわち、正常データの特徴ベクトルと異常データの特徴ベクトルとを精度よく分離することができる。
　また、正常データの特徴ベクトルを、超球面や超二次曲面のような曲がった部分空間のまわりの、体積の小さな正常領域にマッピングするので、正常領域と正常データの特徴ベクトルとの関係、正常領域と異常データの特徴ベクトルとの関係から、二つの正常な状態の間を結ぶ過渡的な状態における正常データの特徴ベクトルと、二つの正常な状態の中間に位置するだけの異常データの特徴ベクトルとを分離し易くなる。
［プログラム］
　本発明の実施形態１、変形例１におけるプログラムは、コンピュータに、図４に示すステップＡ１からＡ６を実行させるプログラム、図５に示すステップＢ１からＢ７を実行させるプログラムであればよい。
　このプログラムをコンピュータにインストールし、実行することによって、本実施形態における学習装置と学習方法、異常検知装置と異常検知方法を実現することができる。この場合、コンピュータのプロセッサは、学習部１１、選択部１２、マッピング部３１、判定部３２、出力情報生成部３３として機能し、処理を行なう。
　また、本実施形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、学習部１１、選択部１２、マッピング部３１、判定部３２、出力情報生成部３３のいずれかとして機能してもよい。
（実施形態２）
　図６を用いて、実施形態２における異常検知装置の構成について説明する。図６は、異常検知装置を有するシステムの一例を示す図である。実施形態２では、異常検知にオートエンコーダを用いた例について説明する。
［システム構成］
　図６に示すように、実施形態２におけるシステムは、異常検知装置７０と、学習装置１０と、記憶装置２０と、出力装置４０とを有する。異常検知装置７０は、マッピング部３１と、出力情報生成部３３と、判定部７１と、オートエンコーダ７２とを有する。
　なお、学習装置１０、記憶装置２０、出力装置４０、マッピング部３１、出力情報生成部３３については、既に説明をしたので説明を省略する。
　異常検知装置について説明する。
　判定部７１は、マッピングの結果に加え、再構成誤差を用いて、特徴ベクトルの異常を判別する。
　具体的には、判定部７１は、まず、マッピング部３１からマッピング結果情報を取得する。次に、判定部７１は、入力データの特徴ベクトルを、オートエンコーダ７２に入力して生成された、当該入力データに対応する再構成されたデータを取得する。
　次に、判定部７１は、入力データと、当該入力データの特徴ベクトルから再構成された当該入力データに対応するデータとの差分を表す再構成誤差情報を生成する。
　再構成誤差情報は、例えば二乗誤差やクロスエントロピーを算出することにより、一つ以上の実数値として出力する。
　次に、判定部７１は、上述した判定部３２と同様（実施形態１、変形例１を参照）、マッピングの結果に基づいて、入力データが正常であるか異常であるかを判定する（第一の判定）。さらに、判定部７１は、再構成誤差情報に含まれる差分に応じて、入力データが正常であるか異常であるかを判定する（第二の判定）。
　次に、判定部７１は、第一の判定と第二の判定がともに正常である場合に、入力データが正常であると判定する。また、第一の判定と第二の判定がともに異常である場合には、入力データが異常であると判定する。さらに、第一の判定、第二の判定のいずれかが異常である場合には、判定部７１は、入力データが異常であると判定する。
　又は、判定部７１は、上述した判定部３２と同様（実施形態１、変形例１を参照）、マッピングの結果に基づいて、入力データの特徴ベクトルと正常領域内の部分空間との距離と、再構成誤差情報に含まれる差分との重み付き和を算出する。重み付き和は、入力データの異常の度合いを表す。
　次に、判定部７１は、上述した判定部３２と同様、当該重み付き和の異常判定閾値をあらかじめ設定し、当該重み付き和が閾値を下回る場合に、入力データが正常であると判定する。また、判定部７１は、当該重み付き和が閾値を上回る場合に、入力データが異常であると判定する。
　次に、判定部７１は、判定結果を有する判定結果情報を出力情報生成部３３に出力する。
　オートエンコーダ７２は、学習フェーズにおいて、正常データの特徴ベクトルを入力して学習する。また、オートエンコーダ７２の学習により生成されたパラメータは、異常検知装置７０に設けられた記憶装置に記憶してもよいし、異常検知装置７０以外の記憶装置に記憶してもよい。
　オートエンコーダ７２が正常データの特徴ベクトルを用いて学習された場合、入力データが正常データであれば、オートエンコーダ７２は、当該入力データを復元できる。対して、オートエンコーダ７２に異常データが入力された場合、オートエンコーダ７２は、異常データの特徴ベクトルが反映できない。
　したがって、オートエンコーダ７２の入力データと出力データを比較し、大きな差があればその入力データに異常データがあると判定できる。
　なお、マッピングモデルの学習とオートエンコーダ７２の学習は、並行して行ってもよいし、別々に学習してもよい。
［装置動作］
　次に、本発明の実施形態２における異常検知装置の動作について図７を用いて説明する。図７は、異常検知装置の動作の一例を説明するための図である。以下の説明においては、適宜図を参照する。また、本実施形態２では、異常検知装置を動作させることによって、異常検知方法が実施される。よって、本実施形態２における異常検知方法の説明は、以下の異常検知装置の動作説明に代える。
　図７に示すように、マッピング部３１は、制御システム又は記憶装置（不図示）から入力データを取得する（ステップＢ１）。次に、マッピング部３１は、入力データをマッピングモデルに入力して、学習したマッピングモデルに基づいて特徴ベクトルを抽出する（ステップＢ２）。次に、マッピング部３１は、マッピングの結果を表すマッピング結果情報を、判定部７１に出力する。
　次に、判定部７１は、マッピング結果情報をマッピング部３１から取得する（ステップＢ３）。次に、判定部７１は、マッピング結果情報に基づいて、正常領域外にマッピングされた特徴ベクトルを検出する（ステップＢ４）。又は、正常領域内の部分空間から当該特徴ベクトルまでの距離を算出する。
　判定部７１は、上述した判定部３２と同様（実施形態１、変形例１を参照）、マッピングの結果に基づいて、入力データが正常であるか異常であるかを判定する（第一の判定）。判定部７１は、判定結果を有する判定結果情報を出力情報生成部３３に出力する。
　次に、判定部７１は、入力データの特徴ベクトルを、オートエンコーダ７２に入力して生成された、当該入力データに対応する再構成されたデータを取得する（ステップＣ１）。
　次に、判定部７１は、入力データと、当該入力データの特徴ベクトルから再構成された当該入力データに対応するデータとの差分を表す再構成誤差情報を生成する（ステップＣ２）。
　次に、さらに、判定部７１は、再構成誤差情報に含まれる差分に応じて、入力データが正常であるか異常であるかを判定する（第二の判定）（ステップＣ３）。
　次に、判定部７１は、第一の判定と第二の判定がともに正常である場合に、入力データが正常であると判定する（ステップＣ４）。また、第一の判定と第二の判定がともに異常である場合には、入力データが異常であると判定する。さらに、第一の判定、第二の判定のいずれかが異常である場合には、判定部７１は、入力データが異常であると判定する。
　又は、判定部７１は、正常領域内の部分空間から入力データの特徴ベクトルまでの距離と、当該入力データの特徴ベクトルから再構成された当該入力データに対応するデータとの差分を表す再構成誤差情報と、の重み付き和を算出する。さらに、当該重み付き和があらかじめ定めた閾値を超えた場合には、当該入力データを異常であると判定する。
　次に、判定部７１は、判定結果を有する判定結果情報を出力情報生成部３３に出力する。
　次に、出力情報生成部３３は、判定結果情報、入力データなどの情報を取得して、出力装置４０に出力可能な形式に変換した出力情報を生成する（ステップＢ５）。次に、出力情報生成部３３は、出力情報を、出力装置４０に出力する（ステップＢ６）。
　次に、異常検知装置３０は、異常検知処理を終了する指示を取得した場合（ステップＢ７：Ｙｅｓ）には、異常検知処理を終了する。異常検知処理を継続する場合（ステップＢ７：Ｎｏ）には、ステップＢ１に移行して処理を継続する。
［実施形態２の効果］
　以上のように本実施形態２によれば、更に、実施形態１よりも異常検知の精度を向上させることができる。
　また、オートエンコーダによって再構成のタスクを課すことにより、様々な状態を持つ正常データを、特徴に応じて実施形態１よりも明確に、部分空間へ広くマッピングすることができる。その結果、より優れた特徴抽出器となる。
［プログラム］
　本発明の実施形態２におけるプログラムは、コンピュータに、図７に示すステップＢ１からＢ４、Ｃ１からＣ４、Ｂ５からＢ７を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施形態における異常検知装置と異常検知方法を実現することができる。この場合、コンピュータのプロセッサは、マッピング部３１、判定部７１、出力情報生成部３３、オートエンコーダ７２として機能し、処理を行なう。
　また、本実施形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、マッピング部３１、判定部７１、出力情報生成部３３、オートエンコーダ７２のいずれかとして機能してもよい。
［物理構成］
　ここで、実施形態１、変形例１、実施形態２におけるプログラムを実行することによって、学習装置及び異常検知装置を実現するコンピュータについて図８を用いて説明する。図８は、実施形態１、変形例１、実施形態２における学習装置及び異常検知装置を実現するコンピュータの一例を示すブロック図である。
　図８に示すように、コンピュータ１１０は、ＣＰＵ（Central Processing Unit）１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ、又はＦＰＧＡを備えていてもよい。
　ＣＰＵ１１１は、記憶装置１１３に格納された、本実施形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置である。また、本実施形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであってもよい。なお、記録媒体１２０は、不揮発性記録媒体である。
　また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリなどの半導体記憶装置があげられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
　データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
　また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）などの汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）などの磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体があげられる。
　なお、本実施形態における学習装置及び異常検知装置は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、学習装置及び異常検知装置は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
［付記］
　以上の実施形態に関し、更に以下の付記を開示する。上述した実施形態の一部又は全部は、以下に記載する（付記１）から（付記２１）により表現することができるが、以下の記載に限定されるものではない。
（付記１）
　あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、前記特徴ベクトルを生成するための第一のパラメータと、前記距離を調整するための第二のパラメータとを学習する、学習部
　を有する学習装置。
（付記２）
　付記１に記載の学習装置であって、
　前記部分空間として、少なくとも超球面、超楕円面、超双曲面、トーラス、超平面、これらの一部、これらの和集合又は積集合、のうちのいずれか一つを選択する、選択部
　を有する学習装置。
（付記３）
　付記１又は２に記載の学習装置であって、
　前記正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する、オートエンコーダ
　を有する学習装置。
（付記４）
　対象のシステムから取得した入力データをマッピングモデルに入力し、あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、前記入力データに基づいて生成された特徴ベクトルをマッピングする、マッピング部と、
　前記マッピングの結果に基づいて特徴ベクトルを異常と判定する、判定部と、
　を有する異常検知装置。
（付記５）
　付記４に記載の異常検知装置であって、
　前記判定部は、前記領域外にマッピングされた特徴ベクトルを異常と判定する
　異常検知装置。
（付記６）
　付記４又は５に記載の異常検知装置であって、
　前記正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する、オートエンコーダを有し、
　前記判定部は、前記入力データと、前記オートエンコーダに前記入力データの特徴ベクトルを入力して再構成したデータとの差分を表す再構成誤差を算出し、前記マッピングの結果と前記再構成誤差とに基づいて、前記特徴ベクトルの異常を判別する
　異常検知装置。
（付記７）
　付記４から６のいずれか一つに記載の異常検知装置であって、
　前記入力データは、前記システムにおけるネットワークのトラフィックデータ、センサから出力されるセンサデータのうちのいずれか一つを含む
　異常検知装置。
（付記８）
　あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、前記特徴ベクトルを生成するための第一のパラメータと、前記距離を調整するための第二のパラメータとを学習する、学習ステップ
　を有する学習方法。
（付記９）
　付記８に記載の学習方法であって、
　前記部分空間として、少なくとも超球面、超楕円面、超双曲面、トーラス、超平面、これらの一部、これらの和集合又は積集合、のうちのいずれか一つを選択する、選択ステップ
　を有する学習方法。
（付記１０）
　付記８又は９に記載の学習方法であって、
　前記正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する、オートエンコードステップ
　を有する学習方法。
（付記１１）
　対象のシステムから取得した入力データをマッピングモデルに入力し、あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、前記入力データに基づいて生成された特徴ベクトルをマッピングする、マッピングステップと、
　前記マッピングの結果に基づいて特徴ベクトルを異常と判定する、判定ステップと、
　を有する異常検知方法。
（付記１２）
　付記１１に記載の異常検知方法であって、
　前記判定ステップにおいて、前記領域外にマッピングされた特徴ベクトルを異常と判定する
　異常検知方法。
（付記１３）
　付記１１又は１２に記載の異常検知方法であって、
　前記正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する、オートエンコードステップと、
　前記判定ステップにおいて、前記入力データと、前記入力データの特徴ベクトルを入力して再構成したデータとの差分を表す再構成誤差を算出し、前記再構成による再構成誤差に基づいて、前記特徴ベクトルの異常を判別する
　異常検知方法。
（付記１４）
　付記１１から１３のいずれか一つに記載の異常検知方法であって、
　前記入力データは、前記システムにおけるネットワークのトラフィックデータ、センサから出力されるセンサデータのうちのいずれか一つを含む
　異常検知方法。
（付記１５）
　コンピュータに、
　あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、前記特徴ベクトルを生成するための第一のパラメータと、前記距離を調整するための第二のパラメータとを学習する、学習ステップ
　を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
（付記１６）
　付記１５に記載のコンピュータ読み取り可能な記録媒体であって、
　前記プログラムが、前記コンピュータに、
　前記部分空間として、少なくとも超球面、超楕円面、超双曲面、トーラス、超平面、これらの一部、これらの和集合又は積集合、のうちのいずれか一つを選択する、選択ステップ
　を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
（付記１７）
　付記１５又は１６に記載のコンピュータ読み取り可能な記録媒体であって、
　前記プログラムが、前記コンピュータに、
　前記正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する、オートエンコードステップ
　を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
（付記１８）
　コンピュータに、
　対象のシステムから取得した入力データをマッピングモデルに入力し、あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、前記入力データに基づいて生成された特徴ベクトルをマッピングする、マッピングステップと、
　前記マッピングの結果に基づいて特徴ベクトルを異常と判定する、判定ステップと、
　を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
（付記１９）
　付記１８に記載のコンピュータ読み取り可能な記録媒体であって、
　前記判定ステップにおいて、前記領域外にマッピングされた特徴ベクトルを異常と判定する
　コンピュータ読み取り可能な記録媒体。
（付記２０）
　付記１８又は１９に記載のコンピュータ読み取り可能な記録媒体であって、
　前記プログラムが、前記コンピュータに、
　正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する、オートエンコードステップを実行させる命令を含み、
　前記判定ステップにおいて、前記入力データと、前記入力データの特徴ベクトルを入力して再構成したデータとの差分を表す再構成誤差を算出し、前記マッピングの結果と前記再構成誤差とに基づいて、前記特徴ベクトルの異常を判別する
　コンピュータ読み取り可能な記録媒体。
（付記２１）
　付記１８から２０のいずれか一つに記載のコンピュータ読み取り可能な記録媒体であって、
　前記入力データは、前記システムにおけるネットワークのトラフィックデータ、センサから出力されるセンサデータのうちのいずれか一つを含む
　コンピュータ読み取り可能な記録媒体。
　以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　以上のように本発明によれば、正常データと異常データが精度よく分離されるようにマッピングし、マッピングの結果に基づいて精度よく異常を検知することができる。本発明は、制御システムの監視が必要な分野において有用である。
　１０　学習装置
　１１　学習部
　１２　選択部
　２０　記憶装置
　３０　異常検知装置
　３１　マッピング部
　３２　判定部
　３３　出力情報生成部
　４０　出力装置
　７０　異常検知装置
　７１　判定部
　７２　オートエンコーダ
１１０　コンピュータ
１１１　ＣＰＵ
１１２　メインメモリ
１１３　記憶装置
１１４　入力インターフェイス
１１５　表示コントローラ
１１６　データリーダ／ライタ
１１７　通信インターフェイス
１１８　入力機器
１１９　ディスプレイ装置
１２０　記録媒体
１２１　バス

Claims (21)

  1. 　あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、前記特徴ベクトルを生成するための第一のパラメータと、前記距離を調整するための第二のパラメータとを学習する、学習手段
    　を有する学習装置。
  2. 　請求項１に記載の学習装置であって、
    　前記部分空間として、少なくとも超球面、超楕円面、超双曲面、トーラス、超平面、これらの一部、これらの和集合又は積集合、のうちのいずれか一つを選択する、選択手段
    　を有する学習装置。
  3. 　請求項１又は２に記載の学習装置であって、
    　前記正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する、オートエンコーダ
    　を有する学習装置。
  4. 　対象のシステムから取得した入力データをマッピングモデルに入力し、あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、前記入力データに基づいて生成された特徴ベクトルをマッピングする、マッピング手段と、
    　前記マッピングの結果に基づいて特徴ベクトルを異常と判定する、判定手段と、
    　を有する異常検知装置。
  5. 　請求項４に記載の異常検知装置であって、
    　前記判定手段は、前記領域外にマッピングされた特徴ベクトルを異常と判定する
    　異常検知装置。
  6. 　請求項４又は５に記載の異常検知装置であって、
    　正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する、オートエンコーダを有し、
    　前記判定手段は、前記入力データと、前記オートエンコーダに前記入力データの特徴ベクトルを入力して再構成したデータとの差分を表す再構成誤差を算出し、前記マッピングの結果と前記再構成誤差とに基づいて、前記特徴ベクトルの異常を判別する
    　異常検知装置。
  7. 　請求項４から６のいずれか一つに記載の異常検知装置であって、
    　前記入力データは、前記システムにおけるネットワークのトラフィックデータ、センサから出力されるセンサデータのうちのいずれか一つを含む
    　異常検知装置。
  8. 　あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、前記特徴ベクトルを生成するための第一のパラメータと、前記距離を調整するための第二のパラメータとを学習する
    　学習方法。
  9. 　請求項８に記載の学習方法であって、
    　前記部分空間として、少なくとも超球面、超楕円面、超双曲面、トーラス、超平面、これらの一部、これらの和集合又は積集合、のうちのいずれか一つを選択する
    　学習方法。
  10. 　請求項８又は９に記載の学習方法であって、
    　前記正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する
    　学習方法。
  11. 　対象のシステムから取得した入力データをマッピングモデルに入力し、あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、前記入力データに基づいて生成された特徴ベクトルをマッピングし、
    　前記マッピングの結果に基づいて特徴ベクトルを異常と判定する
    　異常検知方法。
  12. 　請求項１１に記載の異常検知方法であって、
    　前記判定において、前記領域外にマッピングされた特徴ベクトルを異常と判定する
    　異常検知方法。
  13. 　請求項１１又は１２に記載の異常検知方法であって、
    　正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成し、
    　前記判定において、前記入力データと、前記入力データの特徴ベクトルを入力して再構成したデータとの差分を表す再構成誤差を算出し、前記再構成による再構成誤差に基づいて、前記特徴ベクトルの異常を判別する
    　異常検知方法。
  14. 　請求項１１から１３のいずれか一つに記載の異常検知方法であって、
    　前記入力データは、前記システムにおけるネットワークのトラフィックデータ、センサから出力されるセンサデータのうちのいずれか一つを含む
    　異常検知方法。
  15. 　コンピュータに、
    　あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、訓練データとして入力された正常データに基づいて生成された特徴ベクトルをマッピングするためのマッピングモデルに含まれる、前記特徴ベクトルを生成するための第一のパラメータと、前記距離を調整するための第二のパラメータとを学習する
    　処理を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
  16. 　請求項１５に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記プログラムが、前記コンピュータに、
    　前記部分空間として、少なくとも超球面、超楕円面、超双曲面、トーラス、超平面、これらの一部、これらの和集合又は積集合、のうちのいずれか一つを選択する
    　処理を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
  17. 　請求項１５又は１６に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記プログラムが、前記コンピュータに、
    　前記正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する
    　処理を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
  18. 　コンピュータに、
    　対象のシステムから取得した入力データをマッピングモデルに入力し、あらかじめ設定された部分空間と前記部分空間からの距離とに基づいて設定される領域に、前記入力データに基づいて生成された特徴ベクトルをマッピングし、
    　前記マッピングの結果に基づいて特徴ベクトルを異常と判定する
    　処理を実行させる命令を含む、プログラムを記録しているコンピュータ読み取り可能な記録媒体。
  19. 　請求項１８に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記領域外にマッピングされた特徴ベクトルを異常と判定する
    　コンピュータ読み取り可能な記録媒体。
  20. 　請求項１８又は１９に記載のコンピュータ読み取り可能な記録媒体であって、
    　前記プログラムが、前記コンピュータに、
    　正常データの特徴ベクトルを入力し、当該特徴ベクトルに対応する入力データを再構成する処理を実行させる命令を含み、
    　前記入力データと、前記入力データの特徴ベクトルを入力して再構成したデータとの差分を表す再構成誤差を算出し、前記マッピングの結果と前記再構成誤差とに基づいて、前記特徴ベクトルの異常を判別する
    　コンピュータ読み取り可能な記録媒体。
  21. 　請求項１８から２０のいずれか一つに記載のコンピュータ読み取り可能な記録媒体であって、
    　前記入力データは、前記システムにおけるネットワークのトラフィックデータ、センサから出力されるセンサデータのうちのいずれか一つを含む
    　コンピュータ読み取り可能な記録媒体。
PCT/JP2020/046553 2020-12-14 2020-12-14 学習装置、学習方法、異常検知装置、異常検知方法、及びコンピュータ読み取り可能な記録媒体 WO2022130460A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2020/046553 WO2022130460A1 (ja) 2020-12-14 2020-12-14 学習装置、学習方法、異常検知装置、異常検知方法、及びコンピュータ読み取り可能な記録媒体
US18/265,346 US20240039940A1 (en) 2020-12-14 2020-12-14 Learning apparatus, learning method, anomaly detection apparatus, anomaly detection method, and computer-readable recording medium
JP2022569335A JPWO2022130460A5 (ja) 2020-12-14 学習装置、学習方法、異常検知装置、異常検知方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/046553 WO2022130460A1 (ja) 2020-12-14 2020-12-14 学習装置、学習方法、異常検知装置、異常検知方法、及びコンピュータ読み取り可能な記録媒体

Publications (1)

Publication Number Publication Date
WO2022130460A1 true WO2022130460A1 (ja) 2022-06-23

Family

ID=82057403

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/046553 WO2022130460A1 (ja) 2020-12-14 2020-12-14 学習装置、学習方法、異常検知装置、異常検知方法、及びコンピュータ読み取り可能な記録媒体

Country Status (2)

Country Link
US (1) US20240039940A1 (ja)
WO (1) WO2022130460A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002190025A (ja) * 2000-12-22 2002-07-05 Fuji Xerox Co Ltd パターン識別方法および装置
JP2016049055A (ja) * 2014-08-29 2016-04-11 株式会社エヌテック 微生物検査装置の検証方法、微生物検査装置における検証装置及びプログラム
JP2018049355A (ja) * 2016-09-20 2018-03-29 株式会社東芝 異常検知装置、学習装置、異常検知方法、学習方法、異常検知プログラム、および学習プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002190025A (ja) * 2000-12-22 2002-07-05 Fuji Xerox Co Ltd パターン識別方法および装置
JP2016049055A (ja) * 2014-08-29 2016-04-11 株式会社エヌテック 微生物検査装置の検証方法、微生物検査装置における検証装置及びプログラム
JP2018049355A (ja) * 2016-09-20 2018-03-29 株式会社東芝 異常検知装置、学習装置、異常検知方法、学習方法、異常検知プログラム、および学習プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
CHALAPATHY, RAGHAVENDRA ET AL.: "Anomaly Detection using One-Class Neural Networks", ARXIV, 11 January 2019 (2019-01-11), XP055945722, Retrieved from the Internet <URL:https://arxiv.org/pdf/1802.06360v2.pdf> [retrieved on 20210309] *

Also Published As

Publication number Publication date
JPWO2022130460A1 (ja) 2022-06-23
US20240039940A1 (en) 2024-02-01

Similar Documents

Publication Publication Date Title
JP7240071B2 (ja) 無人航空機のサイバー攻撃検出、位置特定、および中和
JP6757978B2 (ja) 異常トラフィックを探知する方法および装置
Sayed et al. Deep and transfer learning for building occupancy detection: A review and comparative analysis
US11693924B2 (en) System and method for maintenance recommendation in industrial networks
CN110853033B (zh) 基于帧间相似度的视频检测方法和装置
US11687787B2 (en) Learning and detection method of neural network model for flame determination, and apparatus performing the same
TW201832138A (zh) 圖像識別方法及裝置
CN111652290B (zh) 一种对抗样本的检测方法及装置
Samek et al. The convergence of machine learning and communications
US20080201278A1 (en) Method and Apparatus for Automatic Online Detection and Classification of Anomalous Objects in a Data Stream
US20210037044A1 (en) Resilient estimation for grid situational awareness
Chen et al. Deep learning regressors for quantitative steganalysis
US10909460B2 (en) Intelligent data curation
Bodström et al. State of the art literature review on network anomaly detection with deep learning
CN114330544A (zh) 一种业务流量异常检测模型建立方法及异常检测方法
Kodali et al. The value of summary statistics for anomaly detection in temporally evolving networks: A performance evaluation study
CN110618854B (zh) 基于深度学习与内存镜像分析的虚机行为分析系统
WO2022130460A1 (ja) 学習装置、学習方法、異常検知装置、異常検知方法、及びコンピュータ読み取り可能な記録媒体
Wang et al. Flowadgan: Adversarial learning for deep anomaly network intrusion detection
CN115567224A (zh) 一种用于检测区块链交易异常的方法及相关产品
Kim et al. Revitalizing self-organizing map: Anomaly detection using forecasting error patterns
Díaz et al. Learning latent functions for causal discovery
WO2021152689A1 (ja) イベント分析支援装置、方法及び記録媒体
WO2023156251A1 (en) Anomaly detection
Tamboli et al. Various techniques used in building intrusion detection system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20965848

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 18265346

Country of ref document: US

ENP Entry into the national phase

Ref document number: 2022569335

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20965848

Country of ref document: EP

Kind code of ref document: A1