(57)【要約】【課題】学習用の通信データ間でデータ数に偏りがある場合であっても、通信データの確率密度を精度よく学習できる。【解決手段】学習装置１０は、学習対象である正常な通信データを複数収集する収集部１１と、正常な通信データに対し、一または複数の宛先の通信データの複製を加えることで、各宛先の通信データ数を揃える前処理部１２と、前処理部１２によって処理された正常な通信データについて学習を行い、正常な通信データの確率密度を推定して正常な通信データの確率密度の特徴を表すモデルのパラメータを更新する学習部１３と、を有する。【選択図】図１
2019102011.tif 000002
【特許請求の範囲】
【請求項１】
学習対象である正常な通信データを複数収集する収集部と、
前記正常な通信データに対し、一または複数の宛先の通信データの複製を加えることで、各宛先の通信データ数を揃える前処理部と、
前記前処理部によって処理された前記正常な通信データについて学習を行い、前記正常な通信データの確率密度を推定して前記正常な通信データの確率密度の特徴を表すモデルのパラメータを更新する学習部と、
を有することを特徴とする学習装置。
【請求項２】
前記前処理部は、前記通信データの複製時にノイズを加えることを特徴とする請求項１に記載の学習装置。
【請求項３】
学習装置によって実行される学習方法であって、
学習対象である正常な通信データを複数収集する収集工程と、
前記正常な通信データに対し、一または複数の宛先の通信データの複製を加えることで、各宛先の通信データ数を揃える前処理工程と、
前記前処理工程において処理された前記正常な通信データについて学習を行い、前記正常な通信データの確率密度を推定して前記正常な通信データの確率密度の特徴を表すモデルのパラメータを更新する学習工程と、
を含んだことを特徴とする学習方法。
【請求項４】
学習対象である正常な通信データを複数収集する収集ステップと、
前記正常な通信データに対し、一または複数の宛先の通信データの複製を加えることで、各宛先の通信データ数を揃える前処理ステップと、
前記前処理ステップにおいて処理された前記正常な通信データについて学習を行い、前記正常な通信データの確率密度を推定して前記正常な通信データの確率密度の特徴を表すモデルのパラメータを更新する学習ステップと、
をコンピュータに実行させるための学習プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、学習装置、学習方法及び学習プログラムに関する。
【背景技術】
【０００２】
ＩｏＴ（Internet  of  Things）時代の到来に伴い、多種のデバイス（ＩｏＴ機器）がインターネットに接続され、多様な使われ方をされるようになっている。これにともない、ＩｏＴ機器向けのトラフィックセッション異常検知システムや侵入検知システム（ＩＤＳ：Intrusion  Detection  System）等のＩｏＴ機器のセキュリティ対策が期待されている。
【０００３】
このような技術として、例えば、ＶＡＥ（Variational  Auto  Encoder）等の教師なし学習による確率密度推定器を用いるものがある。この技術では、正常な通信データの確率密度を学習後、確率密度の低い通信を異常として検知する。このため、この技術では、正常な通信データのみが分かればよく、全ての悪性データを学習せずとも異常検知が可能である。したがって、この技術は、未だ過渡期にあり全ての脅威情報を知り尽くされていないＩｏＴ機器に対する脅威の検知に有効である。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Diederik  P.  Kingma,  Max  Welling，“Auto-Encoding  Variational  Bayes”，［平成２９年１１月１７日検索］，インターネット＜ＵＲＬ：https://arxiv.org/abs/1312.6114＞
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、ＶＡＥ等の確率密度推定器は、学習対象の正常な通信データ間でデータ数に偏りがある場合に、精度よく学習できないことがある。
【０００６】
通信データでは、データ数に偏りがある状況がよく発生する。例えば、ＨＴＴＰ（Hypertext  Transfer  Protocol）通信等は、よく使用されるため、短時間で大量のデータが集まる。これに対し、稀にしか通信を行わないＮＴＰ（Network  Time  Protocol）通信等は、データ数があまり集まらない。このような状況で、ＶＡＥによる学習を行うと、データ数が少ないＮＴＰ通信の学習が進まず、発生確率を低く見積もってしまい、正常な通信データに対する誤検知の原因になる場合がある。
【０００７】
本発明は、上記に鑑みてなされたものであって、学習対象の通信データ間でデータ数に偏りがある場合であっても、通信データの確率密度を精度よく学習できる学習装置、学習方法及び学習プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するために、本発明に係る学習装置は、学習対象である正常な通信データを複数収集する収集部と、正常な通信データに対し、一または複数の宛先の通信データの複製を加えることで、各宛先の通信データ数を揃える前処理部と、前処理部によって処理された正常な通信データについて学習を行い、正常な通信データの確率密度を推定して正常な通信データの確率密度の特徴を表すモデルのパラメータを更新する学習部と、を有することを特徴とする。
【発明の効果】
【０００９】
本発明によれば、学習対象の通信データ間でデータ数に偏りがある場合であっても、通信データの確率密度を精度よく学習できる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施の形態１に係る検知システムの構成の一例を示す図である。
【図２】図２は、図１に示す前処理部の処理内容を説明する図である。
【図３】図３は、図１に示す学習装置が実行する学習処理の処理手順を示すフローチャートである。
【図４】図４は、実施の形態１に係る検知システムの適用例を説明する図である。
【図５】図５は、従来手法による学習状態による各検知対象に対するＲＯＣ（Receiver  Operatorating  Characteristic）曲線を示す図である。
【図６】図６は、図１に示す学習装置の学習によって得られたモデルを用いた場合の各検知対象に対するＲＯＣ曲線を示す図である。
【図７】図７は、実施の形態２に係る学習方法によって得られたモデルを用いた場合の各検知対象に対するＲＯＣ曲線を示す図である。
【図８】図８は、プログラムが実行されることにより、学習装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照して、本発明の一実施の形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００１２】
［実施の形態１］
本発明の実施の形態１について説明する。図１は、実施の形態１に係る検知システムの構成の一例を示す図である。
【００１３】
図１に示すように、実施の形態に係る検知システム１は、学習装置１０及び検知装置２０を有する。学習装置１０及び検知装置２０は、例えば、ネットワーク等を介して接続する。また、学習装置１０及び検知装置２０は、例えば、ネットワーク等を介して、外部装置と接続する。
【００１４】
学習装置１０は、複数の正常な通信データを学習して、確率密度を推定し、正常な通信データの確率密度の特徴を表すモデルのパラメータを更新し、更新したモデルのパラメータ（更新パラメータ）を検知装置２０に出力する。学習装置１０は、確率密度推定器として、例えば、ＶＡＥを有する。学習装置１０は、学習対象の通信データに対し、各宛先の通信データ数を揃える前処理を行ってから、学習を行い、確率密度を推定する。
【００１５】
検知装置２０は、学習装置１０によって更新されたモデルのパラメータを適用して、検知対象の通信データ（検知対象データ）の確率密度を推定する。検知装置２０は、確率密度推定器として、例えば、ＶＡＥを有する。続いて、検知装置２０は、推定した確率密度を基に検知対象データの異常の有無を検知する。具体的には、検知装置２０は、推定した確率密度が所定値よりも低い場合に、検知対象の通信データが異常であることを検知する。検知装置２０は、外部の対処装置等に検知結果を出力する。
【００１６】
なお、検知装置２０は、例えば、ＲＯＭ（Read  Only  Memory）、ＲＡＭ（Random  Access  Memory）、ＣＰＵ（Central  Processing  Unit）等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、検知装置２０は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、検知装置２０は、ＮＩＣ（Network  Interface  Card）等を有し、ＬＡＮ（Local  Area  Network）やインターネットなどの電気通信回線を介した他の装置との間の通信を行う。
【００１７】
［学習装置の構成］
次に、学習装置１０の構成について説明する。学習装置１０は、図１に示すように、収集部１１、前処理部１２及び学習部１３を有する。
【００１８】
なお、学習装置１０は、例えば、ＲＯＭ、ＲＡＭ、ＣＰＵ等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、学習装置１０は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、学習装置１０は、ＮＩＣ等を有し、ＬＡＮやインターネットなどの電気通信回線を介した他の装置との間の通信を行う。
【００１９】
収集部１１は、学習対象である正常な通信データ（学習対象データ）を複数収集する。例えば、収集部１１は、ネットワークを介して、学習対象である正常なトラフィックセッションの収集を行う。
【００２０】
この場合、収集部１１が収集する通信データのデータ間でデータ数に偏りが生じる場合がある。具体的には、通信がＨＴＴＰ通信については、しばしば使用されるため、収集部１１は、正常なＨＴＴＰ通信データを収集できる。これに対し、管理用ＦＴＰ通信については、使用頻度が少ないため、収集部１１は、正常なＦＴＰ通信データを少量しか得ることができない場合がある。このように、収集部１１が収集する学習対象データのデータ間では、データ数の偏りがある場合がある。学習装置１０では、データ数の偏りがある場合であっても、前処理部１２（後述）が、各宛先の通信データ数を揃える前処理を学習前に行うことによって、精度よく異常検知を行えるモデルを得る。
【００２１】
前処理部１２は、正常な通信データに対し、一または複数の宛先の通信データの複製を加えることで、各宛先の通信データ数を揃える前処理を行う。言い換えると、前処理部１２は、学習対象データに対し、各宛先の通信データ数が揃うように、通信データ数が少ない宛先については該宛先の通信データの複製を加える前処理を行う。図２は、図１に示す前処理部１２の処理内容を説明する図である。
【００２２】
例えば、学習対象データが、図２に示すデータＤ１である場合を例に説明する。データＤ１は、１０００データのＨＴＴＰ通信（８０ｐｏｒｔ）、５００データのＤＮＳ（Domain  Name  System）通信（５３ｐｏｒｔ）及び１００００データのＭＱＴＴ（Message  Queueing  Telemetry  Transport）通信（１８８３ｐｏｒｔ）を有する。このデータＤ１は、ＭＱＴＴ通信が最もデータ数が多い。
【００２３】
このため、前処理部１２は、ＭＱＴＴ通信以外のＨＴＴＰ通信及びＤＮＳ通信のデータ数を、ＭＱＴＴ通信のデータ数と同数となるように複製する。すなわち、前処理部１２は、ＨＴＴＰ通信を、複製して１０倍にする（図２の(１)参照）。そして、前処理部１２は、ＤＮＳ通信を、複製して２０倍にする（図２の（２）参照）。
【００２４】
この結果、前処理部１２は、ＨＴＴＰ通信及びＤＮＳ通信のデータ数は、ＭＱＴＴ通信のデータ数と同数の１００００データとなるデータＤ１´を得る。前処理部１２は、得られたデータＤ１´を、学習対象データとして、学習部１３に出力する。
【００２５】
学習部１３は、前処理部１２によって処理された学習対象データについて学習を行い、該学習対象データの確率密度を推定して学習対象データの確率密度の特徴を表すモデルのパラメータを更新する。例えば、学習部１３は、前処理部１２から入力されたデータＤ１´を学習対象データとして学習する。学習部１３は、確率密度推定器として、ＶＡＥ１３１を有する。ＶＡＥ１３１は、推定対象の入力データの入力を受け付けると、このデータの確率密度の推定値を出力する演算器である。
【００２６】
具体的には、ＶＡＥ１３１は、あるデータ点ｘｉの入力を受け付けると、そのデータに対応したアノマリスコア（ｓｃｏｒｅ）（異常度）を出力する。確率密度の推定値をｐ（ｘｉ）とすると、アノマリスコアは、−ｌｏｇｐ（ｘｉ）の近似値となる。このように、ＶＡＥ１３１が出力するアノマリスコアは、値が高いほど、この通信データの異常度が高いことを示す。
【００２７】
学習部１３は、このような演算を行うＶＡＥ１３１を有し、入力された複数の学習対象データを学習し、各学習対象データのアノマリスコアを出力する。そして、学習部１３は、学習結果に応じてＶＡＥ１３１のモデルパラメータを更新する。学習部１３が更新したモデルパラメータは、検知装置２０に出力される。
【００２８】
［学習処理の処理手順］
次に、学習装置１０が実行する学習処理の処理手順について説明する。図３は、図１に示す学習装置１０が実行する学習処理の処理手順を示すフローチャートである。
【００２９】
図３に示すように、学習装置１０では、収集部１１が、学習対象データを収集し（ステップＳ１１）、収集した学習対象データを前処理部１２に出力する。前処理部１２は、正常な通信データに対し、一または複数の宛先の通信データの複製を加えることで、各宛先の通信データ数を揃える前処理を行う（ステップＳ１２）。
【００３０】
そして、学習部１３は、前処理部１２によって前処理が施された学習対象データに対し、ＶＡＥ１３１を用いて学習を行い、学習対象データの確率密度を推定して学習対象データの確率密度の特徴を表すモデルのパラメータを更新する学習処理を行う（ステップＳ１３）。続いて、学習部１３は、更新したモデルのパラメータを検知装置２０に出力する出力処理を行う（ステップＳ１４）。検知装置２０では、学習装置１０によって更新されたモデルのパラメータを適用して、検知対象データの確率密度を推定し、該確率密度を基に検知対象データの異常の有無を検知する。
【００３１】
［実施例］
例えば、本実施の形態１に係る検知システム１は、ＩｏＴ機器の異常検知に適用することができる。図４は、実施の形態１に係る検知システム１の適用例を説明する図である。図４に示すように、複数のＩｏＴ機器２が接続されたネットワーク３上に、検知システム１を設ける。この場合、検知システム１は、ＩｏＴ機器２が送受信するトラフィックセッション情報を収集し、正常トラフィックセッションの確率密度の学習、及び、異常トラフィックセッションの検知を行う。
【００３２】
正常トラフィックセッションの確率密度の学習には、上記前処理を適用し、トラフィックセッションデータ間にデータ数の偏りがある場合にも精度よく学習を行う。また、異常トラフィックセッションの検知には、上記検知処理を適用し、学習処理において学習されたモデルパラメータを適用した確率密度推定を行い、高精度の異常検知を行う。
【００３３】
［評価実験］
次に、実際のＩｏＴ機器間のトラフィックセッションデータに対し、従来手法と、本実施の形態１に係る手法とで評価を行った結果を示す。例えば、学習対象通信データは、正常な２１０５３データのＭＱＴＴ通信と、正常な１１０７データのカメラストリーミングとである。このデータ数に偏りのある上記学習対象データを、従来手法を用いて学習させた後に、この学習によって得られたモデルを用いた検知装置２０による各種通信データに対する検知率を求めた。一方、同じ学習対象データを、学習装置１０で学習させた後に、この学習によって得られたモデルを用いた検知装置２０による各種通信データに対する検知率を求めた。なお、検知率として、ＡＵＣ（Area  Under  Curve）値を求める。
【００３４】
まず、従来手法を用いて評価を行った結果について説明する。従来手法は、本実施の形態１で示す前処理を実行せずに、そのままの学習対象データの確率密度を推定する手法である。
【００３５】
図５は、従来手法による学習状態による各検知対象に対するＲＯＣ曲線を示す図である。図５の（ａ）は、異常データであるマルウェア（ｍｉｒａｉ  ｂｏｔ）に対する検知結果のＲＯＣ曲線である。図５の（ｂ）は、正常データであるＭＱＴＴ通信に対する検知結果のＲＯＣ曲線である。図５の（ｃ）は、正常データであるカメラストリーミングに対する検知結果のＲＯＣ曲線である。
【００３６】
従来手法を用いて検知を行った場合、図５の（ａ）に示すように、マルウェアの悪性通信は、ＡＵＣ値が０．９９９８と高い精度となっており、検知に成功していることが分かる。また、正常なＭＱＴＴ通信については、図５の（ｂ）に示すように、ＡＵＣ値が０．４７４６であり、異常データと検知しておらず、正常なふるまいを示す。このため、従来手法において、正常なＭＱＴＴ通信については、検知が成功していることが分かる。これは、ＭＱＴＴ通信については、学習対象データのデータ数が大量にあったため、確率密度推定の学習が精度よく行なえたためであると考えられる。
【００３７】
一方、図５の（ｃ）に示すように、正常データのカメラストリーミングは、正常であるにもかかわらず、ＡＵＣ値が０．９７１２と高く出てしまっている。これは、数の少ない正常データの確率密度推定の学習が進まない結果、誤検知してしまっているものと考えられる。
【００３８】
したがって、従来手法では、学習対象データのデータ数に偏りがある場合、データ数が少ない学習対象データについては学習が進まず、学習済みモデルを使用した検知においても、データ数が少ない種別のデータについては、正しい検知ができなかった。
【００３９】
次に、本実施の形態１に係る学習装置１０の学習結果を用いて評価を行った結果について説明する。本実施の形態１では、前述の各宛先の通信データ数を揃える前処理を実行し、前処理後の学習対象データについて確率密度推定の学習を行う手法である。
【００４０】
図６は、図１に示す学習装置１０の学習によって得られたモデルを用いた場合の各検知対象に対するＲＯＣ曲線を示す図である。図６の（ａ）は、異常データであるマルウェア（ｍｉｒａｉ  ｂｏｔ）に対する検知結果のＲＯＣ曲線である。図６の（ｂ）は、正常データであるＭＱＴＴ通信に対する検知結果のＲＯＣ曲線である。図６の（ｃ）は、正常データであるカメラストリーミングに対する検知結果のＲＯＣ曲線である。
【００４１】
学習装置１０によるモデルを用いて検知を行った場合、図６の（ａ）に示すように、マルウェアの悪性通信は、ＡＵＣ値が１．０と高い精度となっており、検知に成功していることが分かる。また、正常なＭＱＴＴ通信については、図６の（ｂ）に示すように、ＡＵＣ値が０．３８６４であり、異常データと検知しておらず、正しいふるまいを示す。さらに、図６の（ｃ）に示すように、正常データのカメラストリーミングは、学習対象データ数が少なかったにも関わらず、ＡＵＣ値が０．２７８７であり、異常データとして検知しておらず、正しいふるまいを示す。
【００４２】
このように、本実施の形態１に係る学習装置１０によるモデルを用いて評価を行った結果、異常通信データの検知を正常に行うことができるとともに、正常な通信データに対する誤検知も低減できることが分かった。
【００４３】
［実施の形態１の効果］
上記のように、実施の形態１では、正常な通信データに対し、一または複数の宛先の通信データの複製を加えることで、各宛先の通信データ数を揃える前処理を行い、前処理された学習対象データについて学習を行い、学習対象データの確率密度を推定して学習対象データの確率密度の特徴を表すモデルのパラメータを更新する。したがって、本実施の形態１によれば、学習対象データのデータ間にデータ数に偏りがある状態が解消され、確率密度を推定する学習処理を精度よく進めることができる。この結果、実施の形態１によれば、この学習処理により得られたモデルを用いることによって、誤検知の低減し、検知精度の向上を図ることができる。
【００４４】
［実施の形態２］
次に、実施の形態２について説明する。実施の形態２に係る学習装置は、図１に示す学習装置と同様の構成を有する。
【００４５】
実施の形態２では、前処理部は、学習対象データに対し、各宛先の通信データ数を揃えるために通信データを複製するとともに、通信データの複製時にノイズを加える前処理を行う。この際、前処理部は、通信データの複製時に各次元に適用的なノイズを加える。
【００４６】
例えば、前処理部は、通信データ中に１００のオーダである特徴Ａと０．０１のオーダである特徴Ｂとが表れている場合、特徴Ａに対応させたノイズとして１のオーダのノイズを加え、特徴Ｂに対応させたノイズとして０．０００１のオーダのノイズを加える。また、前処理部は、複製した各通信データに加えるノイズとして、各通信データで発生位置を変えたノイズを加える。言い換えると、前処理部は、複製した各通信データに加えるノイズをばらつかせている。この場合、前処理部は、例えば、予め定めたルールにしたがって、各特徴に対応させたオーダのノイズであって、各通信データ間で発生位置がばらつくようにノイズを生成し、複製した各通信データに加える。
【００４７】
実施の形態２に係る学習装置は、図３に示すステップＳ１１と同様の処理を行った後、通信データ数が少ない宛先の通信データについて、通信データを複製するとともに、通信データの複製時にノイズを加える前処理を行う。そして、実施の形態２に係る学習装置は、ステップＳ１３，Ｓ１４と同様の処理を行う。
【００４８】
実施の形態１では、各宛先の通信データ数が揃うように、通信データ数が少ない宛先については該宛先の通信データの複製を加えるため、この宛先については、学習部１３による学習時時に同じデータが複数現れることとなる。ここで、ＶＡＥ１３１は、同じデータを何度も学習させると学習が不安定になってしまう場合がある。本実施の形態２では、通信データの複製時にノイズを加えることによって、データ間のデータ数の偏りをなくすとともに、学習の安定化を図る。
【００４９】
［評価実験］
実際に、ＩｏＴ機器間のトラフィックセッションデータに対し、本実施の形態２に係る手法とで評価を行った結果を示す。実施の形態１に対する評価実験と同様に、学習対象通信データは、正常な２１０５３データのＭＱＴＴ通信と、正常な１１０７データのカメラストリーミングとである。この学習対象データを、通信データの複製時にノイズを加える前処理を行った後に、ＶＡＥを用いて学習し、この学習によって得られたモデルを用いた検知装置による各種通信データに対する検知率を求めた。なお、検知率として、ＡＵＣ値を求める。
【００５０】
図７は、実施の形態２に係る学習方法によって得られたモデルを用いた場合の各検知対象に対するＲＯＣ曲線を示す図である。図７の（ａ）は、異常データであるマルウェア（ｍｉｒａｉ  ｂｏｔ）に対する検知結果のＲＯＣ曲線である。図７の（ｂ）は、正常データであるＭＱＴＴ通信に対する検知結果のＲＯＣ曲線である。図７の（ｃ）は、正常データであるカメラストリーミングに対する検知結果のＲＯＣ曲線である。
【００５１】
実施の形態２に係る学習方法によって得られたモデルを用いて検知を行った場合、図７の（ａ）に示すように、マルウェアの悪性通信は、ＡＵＣ値が０．９９９９と高い精度となっており、検知に成功していることが分かる。また、正常なＭＱＴＴ通信については、図７の（ｂ）に示すように、ＡＵＣ値が０．３７０６であり、異常データと検知しておらず、正しいふるまいを示す。さらに、図７の（ｃ）に示すように、正常データのカメラストリーミングは、学習対象データ数が少なかったにも関わらず、ＡＵＣ値が０．３１３４であり、異常データとして検知しておらず、正しいふるまいを示す。
【００５２】
このように、本実施の形態２に係る学習方法によって得られたモデルを用いて評価を行った結果、実施の形態１と同様に、異常通信データの検知を正常に行うことができるとともに、正常な通信データに対する誤検知も低減できることが分かった。
【００５３】
［実施の形態２の効果］
上記のように、実施の形態２では、学習対象データに対し、各宛先の通信データ数を揃えるために通信データを複製するとともに、通信データの複製時にノイズを加える前処理を行い、前処理された学習対象データについて学習を行っている。したがって、本実施の形態２によれば、学習対象データのデータ間にデータ数に偏りがある状態が解消されるとともに、学習の安定化を図ることができるため、実施の形態１と同様の効果を奏する。
【００５４】
［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００５５】
また、本実施の形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的におこなうこともでき、あるいは、手動的に行なわれるものとして説明した処理の全部又は一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００５６】
［プログラム］
図８は、プログラムが実行されることにより、学習装置１０が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００５７】
メモリ１０１０は、ＲＯＭ１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００５８】
ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating  System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、学習装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、学習装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【００５９】
また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００６０】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【００６１】
以上、本発明者によってなされた発明を適用した実施の形態について説明したが、本実施の形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施の形態に基づいて当業者等によりなされる他の実施の形態、実施例及び運用技術等は全て本発明の範疇に含まれる。
【符号の説明】
【００６２】
１  検知システム
２  ＩｏＴ機器
３  ネットワーク
１０  学習装置
１１  収集部
１２  前処理部
１３  学習部
２０  検知装置
１３１  ＶＡＥ
【図１】
2019102011.tif 000003
【図２】
2019102011.tif 000004
【図３】
2019102011.tif 000005
【図４】
2019102011.tif 000006
【図５】
2019102011.tif 000007
【図６】
2019102011.tif 000008
【図７】
2019102011.tif 000009
【図８】
2019102011.tif 000010