(57)【要約】【課題】多種多様かつ動作周期の長いＩｏＴ機器の異常を検知すること。【解決手段】取得部１５ａが、対象機器のデータを時系列に取得し、予測部１５ｂが、対象機器の動作周期に応じた所定の時系列方向の間隔のデータの相関を用いて所定の時刻における該データの予測値を算出し、判定部１５ｃが、算出された予測値と予測値が算出された所定の時刻に取得されたデータとの差が所定の閾値を超えて大きい場合に、異常と判定する。予測部１５ｂは、複数の所定の時系列方向の複数の間隔を適用してデータの相関を学習してデータの予測値を算出してもよい。【選択図】図２
2018073241.tif 000002
【特許請求の範囲】
【請求項１】
対象機器のデータを時系列に取得する取得部と、
前記対象機器の動作周期に応じた所定の時系列方向の間隔の前記データの相関を用いて所定の時刻における該データの予測値を算出する予測部と、
算出された前記予測値と前記所定の時刻に取得された前記データとの差が所定の閾値を超えて大きい場合に、異常と判定する判定部と、
を備えることを特徴とする検知装置。
【請求項２】
前記予測部は、前記所定の時系列方向の複数の間隔を適用した前記データの相関を用いて前記データの予測値を算出することを特徴とする請求項１に記載の検知装置。
【請求項３】
検知装置で実行される検知方法であって、
対象機器のデータを時系列に取得する取得工程と、
前記対象機器の動作周期に応じた所定の時系列方向の間隔の前記データの相関を用いて所定の時刻における該データの予測値を算出する予測工程と、
算出された前記予測値と前記所定の時刻における時刻に取得された前記データとの差が所定の閾値を超えて大きい場合に、異常と判定する判定工程と、
を含んだことを特徴とする検知方法。
【請求項４】
コンピュータに、
対象機器のデータを時系列に取得する取得ステップと、
前記対象機器の動作周期に応じた所定の時系列方向の間隔の前記データの相関を用いて所定の時刻における該データの予測値を算出する予測ステップと、
算出された前記予測値と前記所定の時刻に取得された前記データとの差が所定の閾値を超えて大きい場合に、異常と判定する判定ステップと、
を実行させることを特徴とする検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検知装置、検知方法および検知プログラムに関する。
【背景技術】
【０００２】
現在のようなＩｏＴ（Internet  of  Things）時代には、多種多様なデバイス（ＩｏＴ機器）が利便性を高めるべくインターネットに接続される。サイバー攻撃の脅威にさらされるＩｏＴ機器に対しては、異常検知システムや侵入検知システム（ＩＤＳ，Intrusion  Detection  System）等のセキュリティ対策が必要となる。例えば、ＩｏＴ機器の発する時系列データを統計論的機械学習により予測して、予測からのずれに応じて異常を検出する技術が知られている。特に、ＩｏＴ機器の多様性を吸収することが可能な柔軟なモデルとして、深層学習（Deep  Learning）の一種であるＲＮＮ（Recurrent  Neural  Network）が知られている。また、標準的なＲＮＮとして、ＬＳＴＭ（Long  Short  Term  Memory）が知られている（非特許文献１、２参照）。
【０００３】
ここで、ＲＮＮにおける学習には、過去の情報を持続して利用する誤差逆伝播法（ＢＰＴＴ，Back  Propagation  Through  Time）が用いられる。すなわち、ＲＮＮの出力と目標値とのずれを表す損失関数の勾配を過去方向に伝播させることにより学習が行われる。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】A.Graves,M.Liwicki,S.Fernandez,R.Bertolami,H.Bunke,J.Schmidhuber，“A  Novel  Connectionist  System  for  Unconstrained  Handwriting  Recognition”,IEEE  Transactions  on  Pattern  Analysis  and  Machine  Intelligence，vol.31,no.5,2009年
【非特許文献２】Felix  A.Gers,Jurgen  Schmidhuber,Fred  Cummins，“Learning  to  Forget:Continual  Prediction  with  LSTM”,Technical  Report  IDSIA-01-99,1999年1月,p.1-19
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、誤差逆伝播法では、長期にわたって過去の情報を持続して利用すると、機械学習のアルゴリズムで最小化すべき損失関数の勾配が収束したり発散したりするいわゆる勾配消失問題や勾配発散問題が生じる。そのため、ＲＮＮでは時系列データの長期的な時系列方向の相関すなわち長期依存を学習することが困難であった。勾配消失問題に対応して開発されたＬＳＴＭにより長期依存の学習の困難性が緩和されるものの、ＩｏＴ機器の中には動作周期が非常に長いものがあり、ＬＳＴＭを適用しても学習できない場合があった。
【０００６】
本発明は、上記に鑑みてなされたものであって、多種多様かつ動作周期の長いＩｏＴ機器の異常を検知することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明に係る検知装置は、対象機器のデータを時系列に取得する取得部と、前記対象機器の動作周期に応じた所定の時系列方向の間隔の前記データの相関を用いて所定の時刻における該データの予測値を算出する予測部と、算出された前記予測値と前記所定の時刻に取得された前記データとの差が所定の閾値を超えて大きい場合に、異常と判定する判定部と、を備えることを特徴とする。
【発明の効果】
【０００８】
本発明によれば、多種多様かつ動作周期の長いＩｏＴ機器の異常を検知することができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、本発明の一実施形態に係る検知装置を含むシステムの概略構成を例示する模式図である。
【図２】図２は、検知装置の概略構成を例示する模式図である。
【図３】図３は、ＲＮＮを説明するための説明図である。
【図４】図４は、ＲＮＮを説明するための説明図である。
【図５】図５は、ＭＲＲＮＮを説明するための説明図である。
【図６】図６は、ＭＲＲＮＮを説明するための説明図である。
【図７】図７は、判定部の処理を説明するための説明図である。
【図８】図８は、検知処理手順を示すフローチャートである。
【図９】図９は、検知プログラムを実行するコンピュータを例示する図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００１１】
［システム構成］
図１は、本実施形態に係る検知装置を含むシステムの概略構成を例示する模式図である。図１に例示するように、検知装置１は、多数のＩｏＴ機器２とネットワーク３を介して接続されている。検知装置１は、各ＩｏＴ機器２からトラフィック情報やデバイスログ情報等の時系列のデータを取得して学習し、任意の時刻でのデータを予測する。また、検知装置１は、各ＩｏＴ機器２から取得した最新のデータと、学習により予測した予測値とのずれが大きい場合に異常と判定することにより、各ＩｏＴ機器２の異常を検知する。
【００１２】
本実施形態において、検知装置１は、データを学習する際、時系列方向のデータの相関をＩｏＴ機器２の動作周期に応じた時間間隔で取り込む。以下、この学習モデルをＭＲ（Multi  Range）ＲＮＮと記す。これにより、動作周期が長いＩｏＴ機器２の時系列データを学習し、異常を検知することが可能となる。
【００１３】
［検知装置の構成］
図２は、検知装置１の概略構成を例示する模式図である。図２に例示するように、検知装置１は、パソコン等の汎用コンピュータで実現され、入力部１１、出力部１２、通信制御部１３、記憶部１４、および制御部１５を備える。
【００１４】
入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して処理開始などの各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置等によって実現される。
【００１５】
通信制御部１３は、ＮＩＣ（Network  Interface  Card）等で実現され、ＬＡＮ（Local  Area  Network）やインターネットなどの電気通信回線を介したＩｏＴ機器２等の外部の装置と制御部１５との通信を制御する。
【００１６】
記憶部１４は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、後述する検知処理により特定される時系列データを表すモデルのパラメータ等が記憶される。なお、記憶部１４は、通信制御部１３を介して制御部１５と通信する構成でもよい。
【００１７】
制御部１５は、ＣＰＵ（Central  Processing  Unit）等を用いて実現され、メモリに記憶された処理プログラムを実行する。これにより、制御部１５は、図２に例示するように、取得部１５ａ、予測部１５ｂおよび判定部１５ｃとして機能する。
【００１８】
取得部１５ａは、対象機器のデータを時系列に取得する。具体的に、取得部１５ａは、後述する検知処理の対象とするＩｏＴ機器２から、送信トラフィック量［byte/sec］等のトラフィック情報、デバイスログ情報、またはＣＰＵ使用率等の時系列のデータを取得する。ここで取得されたＩｏＴ機器２の時系列データは、記憶部１４に格納される。
【００１９】
予測部１５ｂは、対象機器の動作周期に応じた所定の時系列方向の間隔のデータの相関を用いて所定の時刻における該データの予測値を算出する。具体的に、予測部１５ｂは、対象とするＩｏＴ機器２の任意の時刻でのデータを予測するよう、取得され記憶部１４に格納されている時系列データを教師データとして学習し、予測値のモデルを特定し、任意の時刻の予測値を算出する。学習の際、予測部１５ｂは、予め対象機器の動作周期に応じて指定された時系列方向の間隔のデータの相関を取り込む。
【００２０】
ここで、図３および図４を用いて、従来のＲＮＮにおける学習方法について説明する。図３に例示するように、ＲＮＮでは、中間層は、入力層からの出力と１ステップ前のデータに対する中間層の出力とを受け取るループ構造をもつ。すなわち、図４に例示するように、時刻ｔのレイヤ（layer）ｌの中間層ノードｘｉltには、時刻ｔのレイヤ（ｌ−１）の入力層ノードｘｉ（ｌ−１）ｔの出力と、１ステップ前の時刻（ｔ−１）の中間層ノードｘｉｌ（ｔ−１）の出力とが入力される。
【００２１】
これにより、ＲＮＮでは、直近の入力データと１ステップ前の入力データとの時系列方向の相関（以下、時間相関とも記す）を取り込んで、出力データと目標値とのずれが最小になるようにパラメータを調整する学習が行われる。この場合に、１ステップ前の入力データを介して、２ステップ前の入力データとの相関が学習に取り込まれる。同様に、１ステップ前の入力データおよび２ステップ前の入力データを介して、３ステップ前の入力データとの相関が学習に取り込まれる。このようにして、ＲＮＮでは時系列データの長期的な相関を学習する。
【００２２】
次に、図５および図６を用いて、本実施形態のＭＲＲＮＮにおける学習方法について説明する。図５に例示するように、ＭＲＲＮＮでは、中間層が、複数のステップ数に対するループ構造をもつ。図５には、従来のＲＮＮと同様の１ステップ前の入力データとの相関を取り込むループ構造に加え、１０ステップ前の入力データとの相関を取り込むループ構造と１００ステップ前の入力データとの相関を取り込むループ構造との３つのループ構造が例示されている。
【００２３】
すなわち、図６に例示するように、ＭＲＲＮＮでは、指定されたステップごとの時間相関を用いて時系列データの学習が行われる。図６に破線で示した１ステップごとの時間相関を用いた学習方法は、上記した従来のＲＮＮと同様である。これに対し、一点鎖線で示した２ステップごとの時間相関を用いた学習方法によれば、１回の学習に要するステップ数の増加を抑止してより長期の相関を直接的に学習することができる。なお、１より大きいステップ数ごとの時間相関を用いた学習では、学習に用いる最古のデータによって異なる複数組の教師データが存在することになる。
【００２４】
ここで、時間相関のステップ数の指定は、例えば検知対象のＩｏＴ機器２の動作周期に応じて、予め指定されるものとする。また、図６に例示したように、複数の時間相関のステップ数が指定されてもよい。複数の時間相関のステップ数が指定された場合には、学習の際に、中間層の各ステップ数での出力を重み付けするパラメータが調整される。これにより、対象機器の動作周期に柔軟に対応して時系列データの学習を行える。
【００２５】
また、ステップ数は、例えば１秒等の時間間隔で指定されてもよい。この場合に、予測部１５ｂは、例えば、１秒ごと、１０秒ごと、６０秒ごと、１５分ごと、あるいは６０分ごと等の様々なスケールの時間相関により時系列データを並列して学習し、各スケールの時間相関を用いた学習結果の全てを用いて、データの予測値を算出する。
【００２６】
図２の説明に戻る。判定部１５ｃは、算出された予測値と予測値が算出された所定の時刻に取得されたデータとの差が所定の閾値を超えて大きい場合に、異常と判定する。具体的に、図７を参照して、判定部１５ｃの処理について説明する。図７には、時系列のデータとして、ＣＰＵ使用率が取得される場合が例示されている。判定部１５ｃは、図７に破線で囲んで示す範囲内の実測値を用いて予測部１５ｂが算出した予測値と、予測値の時刻における実測値とのずれを確認する。このずれが予め設定された所定の閾値を超えて大きくなった場合に、判定部１５ｃは、データの特徴に変化が生じたものと判断し、異常と判定する。すなわち、判定部１５ｃは、アノマリ型の異常検知を行う。
【００２７】
また、判定部１５ｃは、異常と判定した場合に、警報等を出力部１２に出力する。例えば、判定部１５ｃは、アラームを発出したりエラーメッセージを表示したりするように出力部１２の制御を行う。これにより、ネットワーク３に接続された多数のＩｏＴ機器２のそれぞれの異常が自動的に通知される。
【００２８】
［検知処理］
次に、図８を参照して、本実施形態に係る検知装置１による検知処理について説明する。図８は、検知処理手順を示すフローチャートである。図８のフローチャートは、例えば、検知処理の開始を指示する操作入力があったタイミングで開始される。
【００２９】
取得部１５ａが、対象機器のデータを時系列に取得して（ステップＳ１）、記憶部１４に格納する。次に、予測部１５ｂが、取得され記憶部１４に格納されている時系列データを教師データとして学習し、予測値のモデルを算出する（ステップＳ２）。学習の際、予測部１５ｂは、対象機器の動作周期に応じた所定の時系列方向の間隔のデータの相関を用いる。なお、取得部１５ａは、取得したデータを記憶部１４ａに格納せずに、予測部１５ｂに引き渡してもよい。
【００３０】
また、取得部１５ａが最新の時系列データを取得する（ステップＳ３）とともに、予測部１５ｂが、算出したモデルを用いて、この時刻における予測値を算出する。また、判定部１５ｃが、取得された時系列データと算出された予測値とのずれを確認する（ステップＳ４）。
【００３１】
このずれが予め設定された所定の閾値以内の場合に（ステップＳ４，Ｎｏ）、判定部１５ｃは、ステップＳ３に処理を戻す。ここで、判定部１５ｃは、ステップＳ１に処理を戻してもよい。この場合、ステップＳ１の処理では、取得部１５ａが取得した時系列のデータを記憶部１４に格納することなく、予測部１５ｂに引き渡し、ステップＳ２の処理で、予測部１５ｂが再び予測値を表すモデルを算出する追加学習を行う。
【００３２】
一方、取得された時系列データと算出された予測値とのずれが所定の閾値を超えて大きくなった場合に（ステップＳ４，Ｙｅｓ）、判定部１５ｃは、データの特徴に変化が生じたものと判断し、異常と判定する（ステップＳ５）。これにより、一連の検知処理が終了する。
【００３３】
以上、説明したように、本実施形態の検知装置１において、取得部１５ａが、対象機器のデータを時系列に取得する。また、予測部１５ｂが、対象機器の動作周期に応じた所定の時系列方向の間隔のデータの相関を用いて所定の時刻における該データの予測値を算出する。また、判定部１５ｃが、算出された予測値と予測値が算出された所定の時刻に取得されたデータとの差が所定の閾値を超えて大きい場合に、異常と判定する。
【００３４】
これにより、本実施形態の検知装置１は、長期の相関を精度高く学習することができる。したがって、多種多様かつ動作周期の長いＩｏＴ機器２の異常を検知することができる。
【００３５】
また、予測部１５ｂは、所定の時系列方向の複数の間隔すなわち複数の時間相関のステップ数を適用してデータの相関を学習する。これにより、対象機器の動作周期に柔軟に対応して時系列データの学習を行える。
【００３６】
［実施例］
次に、長期的な相関のあるデータに対する従来のＬＳＴＭと本実施形態のＭＲＲＮＮと
の予測性能を比較する実施例について説明する。本実施例において、ＬＳＴＭおよびＭＲＲＮＮのそれぞれにおいて、次式（１）に示す２組の教師データを用いて、写像ｆ：ｘｉ→ｙｉの学習を行った。ここで、Ｎは時間相関の総ステップ数すなわち時系列方向の長さを表す。
【００３７】
【数１】
2018073241.tif 000003
【００３８】
その後、ｘ１→ｙ１、ｘ２→ｙ２の正解を出せるか否か、すなわち、時間相関の総ステップ数Ｎを変化させながら、ｂまたはｃのいずれかが入力された場合に、Ｎの後にｂまたはｃが区別して出力されるか否かを確認する試験を実施した。
【００３９】
試験結果として、正解を出せるまでに繰り返した学習回数すなわちエポック数を求めた。なお、学習結果は確率要素を含むために実装環境により変動することから、同じ試験を１０回繰り返し、ｘ１→ｙ１、ｘ２→ｙ２の全てに対して正解を出せた場合にのみ成功とした。また、１００万回学習を繰り返しても正解を出せない場合すなわち勾配消失または勾配発散が発生した場合に失敗とした。また、１０回の試験のうち、正解を出せるまでに繰り返した学習回数の最小回数、最大回数および平均回数を求めた。
【００４０】
表１はＬＳＴＭにおける試験結果を示す。
【００４１】
【表１】
2018073241.tif 000004
【００４２】
また、表２はＭＲＲＮＮにおける試験結果を示す。なお、表２には、２つのパターンのＭＲＲＮＮによる試験結果が示されている。１つ目（ＭＲＲＮＮ（ホップ：１+１０）と記す）は、通常のＲＮＮと１０ステップごとの時間相関を用いた学習とを組み合わせたＭＲＲＮＮである。また、２つ目（ＭＲＲＮＮ（ホップ：１＋５＋１０）と記す）は、通常のＲＮＮと５ステップごとの時間相関を用いた学習と１０ステップごとの時間相関を用いた学習とを組み合わせたＭＲＲＮＮである。
【００４３】
【表２】
2018073241.tif 000005
【００４４】
表１に示すように、ＬＳＴＭでは、時間相関の総ステップ数Ｎが増えるほど、学習回数および失敗回数が増加している。例えば、Ｎ＝２０の場合に、学習回数の平均値が７３１８６と顕著に増加し、失敗回数が３回に増加しており、勾配消失または勾配発散が発生したことがわかる。
【００４５】
これに対し、表２に示すように、ＭＲＲＮＮでは、ＬＳＴＭより大きいＮに対して、Ｎが増加しても学習回数および失敗回数の増加傾向は見られず、精度高く高速に学習できることがわかる。例えば、ＭＲＲＮＮ（ホップ：１＋５＋１０）では、Ｎ＝５６の場合にも失敗回数は０である。また、Ｎ＝５７の場合に失敗回数は２であるものの、学習回数の顕著な増加は見られない。このように、ＭＲＲＮＮによれば、より長期の時間相関を精度高く学習できることがわかる。
【００４６】
［プログラム］
上記実施形態に係る検知装置１が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、検知装置１は、パッケージソフトウェアやオンラインソフトウェアとして上記の検知処理を実行する検知プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の検知プログラムを情報処理装置に実行させることにより、情報処理装置を検知装置１として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）などの移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistants）などのスレート端末などがその範疇に含まれる。また、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の検知処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、検知装置１は、ＩｏＴ機器２の時系列データを入力とし、異常検知結果を出力する検知処理サービスを提供するサーバ装置として実装される。この場合、検知装置１は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の検知処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。以下に、検知装置１と同様の機能を実現する検知プログラムを実行するコンピュータの一例を説明する。
【００４７】
図９に示すように、検知プログラムを実行するコンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００４８】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
【００４９】
ここで、図９に示すように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
【００５０】
また、検知プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した検知装置１が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
【００５１】
また、検知プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００５２】
なお、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local  Area  Network）やＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【００５３】
以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
【符号の説明】
【００５４】
１  検知装置
１１  入力部
１２  出力部
１３  通信制御部
１４  記憶部
１５  制御部
１５ａ  取得部
１５ｂ  予測部
１５ｃ  判定部
【図１】
2018073241.tif 000006
【図２】
2018073241.tif 000007
【図３】
2018073241.tif 000008
【図４】
2018073241.tif 000009
【図５】
2018073241.tif 000010
【図６】
2018073241.tif 000011
【図７】
2018073241.tif 000012
【図８】
2018073241.tif 000013
【図９】
2018073241.tif 000014