【手続補正書】
【提出日】令和3年2月9日(2021.2.9)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
イベントを表す監視データを取得し、イベントが警告対象であるか否かを判定する判定モデルを用いて、前記取得した監視データによって表されるイベントが警告対象であるか否かを判定する判定部と、
前記監視データ及び前記判定部によるその監視データについての判定結果に基づいて、前記判定モデルの更新を行う更新部と、を有する情報処理装置。
【請求項２】
前記判定モデルは、各イベントについてのスコアを保持しており、前記監視データが表すイベントのスコアが閾値以下である場合に、そのイベントが警告対象であると判定し、
前記更新部は、前記監視データが表すイベントが警告対象であると判定された場合に、そのイベントが所定の条件を満たすか否かを判定し、
前記更新部は、
前記監視データが表すイベントが警告対象でないと判定された場合と、前記監視データが表すイベントが前記所定の条件を満たさないと判定された場合とにおいて、前記判定モデルにおけるそのイベントのスコアを増加させ、
前記監視データが表すイベントが前記所定の条件を満たすと判定された場合において、前記判定モデルにおけるそのイベントのスコアを増加させない、請求項１に記載の情報処理装置。
【請求項３】
前記判定モデルは、各イベントについてのスコアを保持しており、前記監視データが表すイベントのスコアが閾値以下である場合に、そのイベントが警告対象であると判定し、
前記更新部は、前記監視データが表すイベントについて、前記判定モデルが示すそのイベントのスコアを増加させ、
前記更新部は、前記監視データが表すイベントが警告対象であると判定された場合、そのイベントが所定の条件を満たすか否かを判定し、そのイベントが所定の条件を満たす場合、そのイベントが所定の条件を満たさない場合よりも小さい増加量で、そのイベントのスコアを増加させる、請求項１に記載の情報処理装置。
【請求項４】
前記所定の条件は、サイバー攻撃に関連するイベントであるという条件である、請求項２又は３に記載の情報処理装置。
【請求項５】
イベントを表す監視データを取得し、イベントが警告対象であるか否かを判定する判定モデルを用いて、前記取得した監視データによって表されるイベントが警告対象であるか否かを判定する判定部と、
前記監視データを用いて前記判定モデルの更新を行う更新部と、
前記監視データについての判定部による判定の結果に基づいて、その監視データに基づいて更新された前記判定モデルを修正する修正部と、を有する情報処理装置。
【請求項６】
前記修正部は、定期的に前記判定モデルの修正を行う、請求項５に記載の情報処理装置。
【請求項７】
前記判定モデルは、各イベントについてのスコアを保持しており、前記監視データが表すイベントのスコアが閾値以下である場合に、そのイベントが警告対象であると判定し、
前記更新部は、前記監視データが表すイベントのスコアを増加させることで前記判定モデルを更新し、
前記修正部は、前記監視データが表すイベントが警告対象であると判定された場合に、そのイベントが所定の条件を満たすか否かを判定し、そのイベントが所定の条件を満たす場合、その監視データに基づく更新によって増加した分だけそのイベントのスコアを小さくするように、そのイベントのスコアを変更する、請求項５又は６に記載の情報処理装置。
【請求項８】
前記修正部は、
前回前記判定モデルを修正した時点以降に取得した前記監視データであり、なおかつ前記判定部によって警告対象であると判定された前記監視データのうち、取得した時点が最も早い前記監視データを特定し、
前記特定した監視データを取得した時点における前記判定モデルで現在の前記判定モデルを置き換え、
前記特定した監視データを取得した時点以降に取得された前記監視データ、及びその監視データについて前記判定部が行った判定の結果に基づいて、前記判定モデルを更新する、請求項５又は６に記載の情報処理装置。
【請求項９】
コンピュータによって実行させる制御方法であって、
イベントを表す監視データを取得し、イベントが警告対象であるか否かを判定する判定モデルを用いて、前記取得した監視データによって表されるイベントが警告対象であるか否かを判定する判定ステップと、
前記監視データ及び前記判定ステップによるその監視データについての判定結果に基づいて、前記判定モデルの更新を行う更新ステップと、を有する制御方法。
【請求項１０】
コンピュータによって実行させる制御方法であって、
イベントを表す監視データを取得し、イベントが警告対象であるか否かを判定する判定モデルを用いて、前記取得した監視データによって表されるイベントが警告対象であるか否かを判定する判定ステップと、
前記監視データを用いて前記判定モデルの更新を行う更新ステップと、
前記監視データについての判定ステップによる判定の結果に基づいて、その監視データに基づいて更新された前記判定モデルを修正する修正ステップと、を有する制御方法。
【請求項１１】
請求項９又は１０に記載の制御方法の各ステップをコンピュータに実行させるプログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００８２
【補正方法】変更
【補正の内容】
【００８２】
＜機能構成の例＞
図９は、実施形態２の情報処理装置２０００の機能構成を例示する図である。実施形態２の情報処理装置２０００は、判定部２０２０、第２更新部２０８０、及び修正部２０６０を有する。判定部２０２０は、監視データ３０を取得し、判定モデル２０を用いて、監視データ３０によって表されるイベントが警告対象であるか否かを判定する。第２更新部２０８０は、監視データ３０を用いて判定モデルの更新を行う。修正部２０６０は、監視データ３０についての判定部２０２０による判定の結果に基づいて、その監視データ３０に基づいて更新された判定モデル２０を修正する。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００８４
【補正方法】変更
【補正の内容】
【００８４】
＜処理の流れ＞
図１０は、実施形態２の情報処理装置２０００が判定モデル２０を更新する流れを例示する図である。情報処理装置２０００は監視データ３０を取得する（Ｓ４０２）。判定部２０２０は、判定モデル２０を用いて、監視データ３０によって表されるイベントが警告対象のイベントであるか否かを判定する（Ｓ４０４）。第２更新部２０８０は、監視データ３０を用いて判定モデル２０を更新する（Ｓ４０６）。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００８５
【補正方法】変更
【補正の内容】
【００８５】
さらに、修正部２０６０が、判定モデル２０の修正を行う。ここで、修正部２０６０が判定モデル２０の修正を行うタイミングは任意のタイミングとすることができる。例えば、修正部２０６０は、定期的に（例えば１日に１回）判定モデル２０の修正を行う。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００８７
【補正方法】変更
【補正の内容】
【００８７】
＜＜修正方法の例１＞＞
例えば実施形態１において、更新部２０４０は、判定部２０２０によって警告対象のイベントであると判定され、なおかつ所定の条件を満たすイベントについては、判定モデル２０におけるそのイベントのスコアを増加させないようにする。実施形態２の情報処理装置２０００は、判定モデル２０の修正によってこれと同様のことを実現する。そのために、例えば第２更新部２０８０と修正部２０６０は以下のように動作する。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００８８
【補正方法】変更
【補正の内容】
【００８８】
まず第２更新部２０８０は、監視データ３０によって表されるイベントについて、判定モデル２０におけるそのイベントのスコアを増加させる。ここでは、判定部２０２０による判定の結果を考慮しない。そのため、実施形態１のケースとは異なり、「判定部２０２０によって警告対象のイベントであると判定され、なおかつ所定の条件を満たすイベント」についてのスコアも増加することになる。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００８９
【補正方法】変更
【補正の内容】
【００８９】
ただしその後、修正部２０６０は、「判定部２０２０によって警告対象のイベントであると判定され、なおかつ所定の条件を満たすイベント」についてのスコアの増加を打ち消すように、判定モデル２０を修正する。例えば修正部２０６０は、前回判定モデル２０の修正をした時点以降に行われた各更新に利用された監視データ３０のうち、監視データ３０によって表されるイベントが警告対象であると判定されたものを抽出する。さらに修正部２０６０は、抽出した各監視データ３０について、イベントが所定の条件（実施形態１参照）を満たすか否かを判定する。修正部２０６０は、イベントが所定の条件を満たす場合、そのイベントのスコアを減少させることで、判定モデル２０を修正する。例えば第２更新部２０８０がそのイベントのスコアを d 増加させていた場合、修正部２０６０は、そのイベントのスコアを d 減少させる。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００９０
【補正方法】変更
【補正の内容】
【００９０】
＜＜修正方法の例２＞＞
例えば実施形態１において、更新部２０４０は、監視データ３０が表すイベントについて、状況に応じて異なる増加量でスコアを増加させる。実施形態２の情報処理装置２０００は、判定モデル２０の修正によってこれと同様のことを実現する。そのために、例えば第２更新部２０８０と修正部２０６０は以下のように動作する。なお、スコアの増加量は、図７で説明した通り、d1、d2、又は d3 であるとする。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００９１
【補正方法】変更
【補正の内容】
【００９１】
まず第２更新部２０８０は、監視データ３０によって表されるイベントについて、判定モデル２０におけるそのイベントのスコアを d1 増加させる。ここでは、判定部２０２０による判定の結果などは考慮しないため、スコアの増加量が d1 に固定されている。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００９２
【補正方法】変更
【補正の内容】
【００９２】
ただしその後、修正部２０６０は、判定部２０２０によって警告対象のイベントであると判定されたイベントについて、スコアを修正する。例えば修正部２０６０は、前回判定モデル２０の修正をした時点以降に行われた各更新に利用された監視データ３０のうち、監視データ３０によって表されるイベントが警告対象であると判定されたものを抽出する。さらに修正部２０６０は、抽出した各監視データ３０について、イベントが所定の条件（実施形態１参照）を満たすか否かを判定する。修正部２０６０は、イベントが所定の条件を満たす場合、そのイベントのスコアを (d1-d3） 減少させる。一方、イベントが所定の条件を満たさない場合、修正部２０６０は、そのイベントのスコアを (d1-d2） 減少させる。なお、d1=d2 である場合、後者の修正は不要である。
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】００９３
【補正方法】変更
【補正の内容】
【００９３】
＜判定モデル２０のその他の修正方法＞
判定モデル２０の修正方法は、上述のようなスコアの値を変更する方法に限定されない。例えば修正部２０６０は、判定モデル２０の修正が必要な場合、判定モデル２０の更新の少なくとも一部をキャンセルし、実施形態１の更新部２０４０に判定モデル２０の更新をやり直させてもよい。この場合、実施形態２の情報処理装置２０００は、第２更新部２０８０に加え、更新部２０４０を有する。
【手続補正１２】
【補正対象書類名】明細書
【補正対象項目名】００９４
【補正方法】変更
【補正の内容】
【００９４】
以下、さらに具体的に説明する。修正部２０６０は、前回判定モデル２０の修正を行った時点以降に取得され、なおかつ判定部２０２０によって警告対象のイベントであると判定されたもののうち、最も早い時点に取得された監視データ３０を特定する。ここで、この時点以前の判定モデル２０に対する更新については、修正の必要がないと言える。
【手続補正１３】
【補正対象書類名】明細書
【補正対象項目名】００９５
【補正方法】変更
【補正の内容】
【００９５】
そこでまず、修正部２０６０は、現状の判定モデル２０を、上記特定した時点における判定モデル２０に変更する。さらに修正部２０６０は、更新部２０４０に、上記特定した時点以降に取得した各監視データ３０及び、それら各監視データ３０についての判定部２０２０による判定の結果に基づいて、判定モデル２０の更新を行わせる。こうすることで、上記特定した時点以降に第２更新部２０８０が行った判定モデル２０の更新がキャンセルされ、代わりに更新部２０４０による更新が適用されることになる。
【手続補正１４】
【補正対象書類名】明細書
【補正対象項目名】００９６
【補正方法】変更
【補正の内容】
【００９６】
なお、この方法を実現するためには、判定モデル２０の変更履歴を記憶装置に記憶させておく必要がある。例えば、第２更新部２０８０は、判定モデル２０を更新する前に、変更前の判定モデル２０を記憶装置に記憶させておく。
【手続補正１５】
【補正対象書類名】明細書
【補正対象項目名】００９７
【補正方法】変更
【補正の内容】
【００９７】
ただし、判定モデル２０の変更履歴の全てではなく、その一部のみを記憶させるようにしてもよい。例えば、所定時間おきにその時点における判定モデル２０を記憶装置に記憶させるようにする。この場合、修正部２０６０は、記憶装置に記憶されている判定モデル２０の履歴のうち、修正の必要がない最も新しい判定モデル２０で、現状の判定モデル２０を置き換える。そして、更新部２０４０が、その判定モデル２０が記憶された時点以降に取得された各監視データ３０、及びそれら各監視データ３０についての判定部２０２０による判定の結果に基づいて、判定モデル２０の更新を行う。
【手続補正１６】
【補正対象書類名】明細書
【補正対象項目名】００９８
【補正方法】変更
【補正の内容】
【００９８】
このように更新部２０４０に更新をやり直させるという修正方法は、例えば、イベントの要素にスコアの増加量についての重みが付されており、その重みが変化する場合において有用である。このケースでは、第２更新部２０８０が判定モデル２０の更新を行った時に変化したスコアが、その時にイベントに付されていた重みに依存する。そのため、「修正方法の例１」や「修正方法の例２」に示した方法でスコアの値を修正するよりも、再度学習をやり直した方が、処理が容易になる。
【手続補正１７】
【補正対象書類名】明細書
【補正対象項目名】０１０１
【補正方法】変更
【補正の内容】
【０１０１】
以下、参考形態の例を付記する。
１．  イベントを表す監視データを取得し、イベントが警告対象であるか否かを判定する判定モデルを用いて、前記取得した監視データによって表されるイベントが警告対象であるか否かを判定する判定部と、
前記監視データ及び前記判定部によるその監視データについての判定結果に基づいて、前記判定モデルの更新を行う更新部と、を有する情報処理装置。
２．  前記判定モデルは、各イベントについてのスコアを保持しており、前記監視データが表すイベントのスコアが閾値以下である場合に、そのイベントが警告対象であると判定し、
前記更新部は、前記監視データが表すイベントが警告対象であると判定された場合に、そのイベントが所定の条件を満たすか否かを判定し、
前記更新部は、
前記監視データが表すイベントが警告対象でないと判定された場合と、前記監視データが表すイベントが前記所定の条件を満たさないと判定された場合とにおいて、前記判定モデルにおけるそのイベントのスコアを増加させ、
前記監視データが表すイベントが前記所定の条件を満たすと判定された場合において、前記判定モデルにおけるそのイベントのスコアを増加させない、１．に記載の情報処理装置。
３．  前記判定モデルは、各イベントについてのスコアを保持しており、前記監視データが表すイベントのスコアが閾値以下である場合に、そのイベントが警告対象であると判定し、
前記更新部は、前記監視データが表すイベントについて、前記判定モデルが示すそのイベントのスコアを増加させ、
前記更新部は、前記監視データが表すイベントが警告対象であると判定された場合、そのイベントが所定の条件を満たすか否かを判定し、そのイベントが所定の条件を満たす場合、そのイベントが所定の条件を満たさない場合よりも小さい増加量で、そのイベントのスコアを増加させる、１．に記載の情報処理装置。
４．  前記所定の条件は、サイバー攻撃に関連するイベントであるという条件である、２．又は３．に記載の情報処理装置。
【手続補正１８】
【補正対象書類名】明細書
【補正対象項目名】０１０２
【補正方法】変更
【補正の内容】
【０１０２】
５．  イベントを表す監視データを取得し、イベントが警告対象であるか否かを判定する判定モデルを用いて、前記取得した監視データによって表されるイベントが警告対象であるか否かを判定する判定部と、
前記監視データを用いて前記判定モデルの更新を行う更新部と、
前記監視データについての判定部による判定の結果に基づいて、その監視データに基づいて更新された前記判定モデルを修正する修正部と、を有する情報処理装置。
６．  前記修正部は、定期的に前記判定モデルの修正を行う、５．に記載の情報処理装置。
７．  前記判定モデルは、各イベントについてのスコアを保持しており、前記監視データが表すイベントのスコアが閾値以下である場合に、そのイベントが警告対象であると判定し、
前記更新部は、前記監視データが表すイベントのスコアを増加させることで前記判定モデルを更新し、
前記修正部は、前記監視データが表すイベントが警告対象であると判定された場合に、そのイベントが所定の条件を満たすか否かを判定し、そのイベントが所定の条件を満たす場合、その監視データに基づく更新によって増加した分だけそのイベントのスコアを小さくするように、そのイベントのスコアを変更する、５．又は６．に記載の情報処理装置。
８．  前記修正部は、
前回前記判定モデルを修正した時点以降に取得した前記監視データであり、なおかつ前記判定部によって警告対象であると判定された前記監視データのうち、取得した時点が最も早い前記監視データを特定し、
前記特定した監視データを取得した時点における前記判定モデルで現在の前記判定モデルを置き換え、
前記特定した監視データを取得した時点以降に取得された前記監視データ、及びその監視データについて前記判定部が行った判定の結果に基づいて、前記判定モデルを更新する、５．又は６．に記載の情報処理装置。
【手続補正１９】
【補正対象書類名】明細書
【補正対象項目名】０１０３
【補正方法】変更
【補正の内容】
【０１０３】
９．  コンピュータによって実行させる制御方法であって、
イベントを表す監視データを取得し、イベントが警告対象であるか否かを判定する判定モデルを用いて、前記取得した監視データによって表されるイベントが警告対象であるか否かを判定する判定ステップと、
前記監視データ及び前記判定ステップによるその監視データについての判定結果に基づいて、前記判定モデルの更新を行う更新ステップと、を有する制御方法。
１０．  前記判定モデルは、各イベントについてのスコアを保持しており、前記監視データが表すイベントのスコアが閾値以下である場合に、そのイベントが警告対象であると判定し、
前記更新ステップにおいて、前記監視データが表すイベントが警告対象であると判定された場合に、そのイベントが所定の条件を満たすか否かを判定し、
前記更新ステップにおいて、
前記監視データが表すイベントが警告対象でないと判定された場合と、前記監視データが表すイベントが前記所定の条件を満たさないと判定された場合とにおいて、前記判定モデルにおけるそのイベントのスコアを増加させ、
前記監視データが表すイベントが前記所定の条件を満たすと判定された場合において、前記判定モデルにおけるそのイベントのスコアを増加させない、９．に記載の制御方法。
１１．  前記判定モデルは、各イベントについてのスコアを保持しており、前記監視データが表すイベントのスコアが閾値以下である場合に、そのイベントが警告対象であると判定し、
前記更新ステップにおいて、前記監視データが表すイベントについて、前記判定モデルが示すそのイベントのスコアを増加させ、
前記更新ステップにおいて、前記監視データが表すイベントが警告対象であると判定された場合、そのイベントが所定の条件を満たすか否かを判定し、そのイベントが所定の条件を満たす場合、そのイベントが所定の条件を満たさない場合よりも小さい増加量で、そのイベントのスコアを増加させる、９．に記載の制御方法。
１２．  前記所定の条件は、サイバー攻撃に関連するイベントであるという条件である、１０．又は１１．に記載の制御方法。
【手続補正２０】
【補正対象書類名】明細書
【補正対象項目名】０１０４
【補正方法】変更
【補正の内容】
【０１０４】
１３．  コンピュータによって実行させる制御方法であって、
イベントを表す監視データを取得し、イベントが警告対象であるか否かを判定する判定モデルを用いて、前記取得した監視データによって表されるイベントが警告対象であるか否かを判定する判定ステップと、
前記監視データを用いて前記判定モデルの更新を行う更新ステップと、
前記監視データについての判定ステップによる判定の結果に基づいて、その監視データに基づいて更新された前記判定モデルを修正する修正ステップと、を有する制御方法。
１４．  前記修正ステップにおいて、定期的に前記判定モデルの修正を行う、１３．に記載の制御方法。
１５．  前記判定モデルは、各イベントについてのスコアを保持しており、前記監視データが表すイベントのスコアが閾値以下である場合に、そのイベントが警告対象であると判定し、
前記更新ステップにおいて、前記監視データが表すイベントのスコアを増加させることで前記判定モデルを更新し、
前記修正ステップにおいて、前記監視データが表すイベントが警告対象であると判定された場合に、そのイベントが所定の条件を満たすか否かを判定し、そのイベントが所定の条件を満たす場合、その監視データに基づく更新によって増加した分だけそのイベントのスコアを小さくするように、そのイベントのスコアを変更する、１３．又は１４．に記載の制御方法。
１６．  前記修正ステップにおいて、
前回前記判定モデルを修正した時点以降に取得した前記監視データであり、なおかつ前記判定ステップによって警告対象であると判定された前記監視データのうち、取得した時点が最も早い前記監視データを特定し、
前記特定した監視データを取得した時点における前記判定モデルで現在の前記判定モデルを置き換え、
前記特定した監視データを取得した時点以降に取得された前記監視データ、及びその監視データについて前記判定ステップが行った判定の結果に基づいて、前記判定モデルを更新する、１３．又は１４．に記載の制御方法。