(57)【要約】  ネットワークトラフィックログデータからなりすまし攻撃を検出するための方法が提示される。その方法は、トレーニングデータに対するなりすまし攻撃に関連する特徴を抽出すること、ネットワークトラフィックログデータに対するベクトル表現の第１のセットを構築すること、ＤＡＧＭＭを使用することによって異常検出モデルをトレーニングすること、ＤＡＧＭＭの学習パラメータを取得することによって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いてなりすまし攻撃検出器をトレーニングすることを含む。その方法は、テストデータのためのなりすまし攻撃に関連する特徴を抽出すること、ネットワークトラフィックログデータに対するベクトル表現の第２のセットを構築すること、テストデータの潜在的な表現を取得すること、テストデータのｚスコアを計算すること、所定の閾値を超えるｚスコアを生成するトラフィックログを表にするなりすまし攻撃警報レポートを作成することによって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いてなりすまし攻撃検出器をテストすることを含む。
2021513170.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークトラフィックログデータからなりすまし攻撃を検出するためにプロセッサで実行されるコンピュータ実施方法であって、前記方法は、
トレーニングデータに対するなりすまし攻撃に関連する特徴を抽出すること、
前記ネットワークトラフィックログデータに対するベクトル表現の第１のセットを構築すること、
深層自己符号化混合ガウスモデル（ＤＡＧＭＭ）を使用することによって異常検出モデルをトレーニングすること、
ＤＡＧＭＭの学習パラメータを取得すること、および、
前記学習パラメータをデータベースに格納すること、によって、
１つまたは複数のモバイルネットワークから受信された前記ネットワークトラフィックログデータを用いてなりすまし攻撃検出器をトレーニングすること、を含む方法。
【請求項２】
テストデータのためのなりすまし攻撃に関連する特徴を抽出すること、
前記ネットワークトラフィックログデータに対するベクトル表現の第２のセットを構築すること、
前記トレーニング段階から前記学習モデルによる前記テストデータの潜在的な表現を取得すること、
前記テストデータの前記潜在的な表現に基づいて前記テストデータのｚスコアを計算すること、および、
所定の閾値を超えるｚスコアを生成するトラフィックログを表にするなりすまし攻撃警報レポートを作成すること、によって、
前記１つまたは複数のモバイルネットワークから受信された前記ネットワークトラフィックログデータを用いて前記なりすまし攻撃検出器をテストすること、を含む請求項１に記載の方法。
【請求項３】
前記抽出された特徴は、一致しない“ＩｎｖｏｋｅＳｅｎｄＡｕｔｈｅｎｔｉｃａｔｉｏｎIｎｆｏ”ログの数、一致しない“ＩｎｖｏｋｅＵｐｄａｔｅＧｐｒｓＬｏｃａｔｉｏｎ”ログの数、一致しない“ＩｎｖｏｋｅＳｅｎｄＲｏｕｔｉｎｇIｎｆｏＦｏｒＳＭ”ログの数、一致しない“ＩｎｖｏｋｅＭｔＦｏｒｗａｒｄＳＭ”ログの数、類似するグローバルタイトル（ＧＴ）情報を共有する“ＩｎｖｏｋｅIｎｓｅｒｔＳｕｂｓｃｒｉｂｅｒＤａｔａ”ログの対の数、および類似するＧＴ情報を共有する“ＩｎｖｏｋｅＭｏＦｏｒｗａｒｄＳＭ”ログの対の数を含む、請求項１に記載の方法。
【請求項４】
前記学習パラメータは、深層自己符号器からの第１のパラメータセットと、混合ガウスモデル（ＧＭＭ）からの第２のパラメータセットとを含む、請求項１に記載の方法。
【請求項５】
前記第１のパラメータセットは、それらの特徴空間から小型の潜在的な空間への前記ネットワークトラフィックログデータの投影を可能にし、前記第２のパラメータセットは、トラフィックログのグループがなりすまし攻撃関連特徴に関して異常であるかどうかの評価を可能にする、請求項４に記載の方法。
【請求項６】
前記なりすまし攻撃警報レポートは、ロググループの開始時刻と終了時刻とを含み、前記生成された警報は、警報データベースに格納される、請求項１に記載の方法。
【請求項７】
前記トレーニングされた異常検出モデルは、前記トレーニングデータの類似性および非類似性を評価する、請求項１に記載の方法。
【請求項８】
前記テストデータはグループの第１のセットに分割され、前記テストデータはグループの第２のセットに分割される、請求項１に記載の方法。
【請求項９】
ネットワークトラフィックデータからなりすまし攻撃を検出するためのコンピュータ読み取り可能プログラムを含む非一時的なコンピュータ読み取り可能記憶媒体であって、コンピュータで実行されたときコンピュータ読み取り可能プログラムが前記コンピュータに、
トレーニングデータに対するなりすまし攻撃に関連する特徴を抽出すること、
前記ネットワークトラフィックログデータに対するベクトル表現の第１のセットを構築すること、
深層自己符号化混合ガウスモデル（ＤＡＧＭＭ）を使用することによって異常検出モデルをトレーニングすること、
ＤＡＧＭＭの学習パラメータを取得すること、および、
前記学習パラメータをデータベースに格納すること、によって、
１つまたは複数のモバイルネットワークから受信された前記ネットワークトラフィックログデータを用いてなりすまし攻撃検出器をトレーニングするステップを実行させる、非一時的なコンピュータ読み取り可能記憶媒体。
【請求項１０】
コンピュータで実行されたときコンピュータ読み取り可能プログラムが前記コンピュータに、
テストデータのためのなりすまし攻撃に関連する特徴を抽出すること、
前記ネットワークトラフィックログデータに対するベクトル表現の第２のセットを構築すること、
前記トレーニング段階から前記学習モデルによる前記テストデータの潜在的な表現を取得すること、
前記テストデータの前記潜在的な表現に基づいて前記テストデータのｚスコアを計算すること、および、
所定の閾値を超えるｚスコアを生成するトラフィックログを表にするなりすまし攻撃警報レポートを作成すること、によって、
前記１つまたは複数のモバイルネットワークから受信された前記ネットワークトラフィックログデータを用いて前記なりすまし攻撃検出器をテストするステップを実行させる、請求項９に記載の非一時的なコンピュータ読み取り可能記憶媒体。
【請求項１１】
前記抽出された特徴は、一致しない“ＩｎｖｏｋｅＳｅｎｄＡｕｔｈｅｎｔｉｃａｔｉｏｎIｎｆｏ”ログの数、一致しない“ＩｎｖｏｋｅＵｐｄａｔｅＧｐｒｓＬｏｃａｔｉｏｎ”ログの数、一致しない“ＩｎｖｏｋｅＳｅｎｄＲｏｕｔｉｎｇIｎｆｏＦｏｒＳＭ”ログの数、一致しない“ＩｎｖｏｋｅＭｔＦｏｒｗａｒｄＳＭ”ログの数、類似するグローバルタイトル（ＧＴ）情報を共有する“ＩｎｖｏｋｅIｎｓｅｒｔＳｕｂｓｃｒｉｂｅｒＤａｔａ”ログの対の数、および類似するＧＴ情報を共有する“ＩｎｖｏｋｅＭｏＦｏｒｗａｒｄＳＭ”ログの対の数を含む、請求項９に記載の非一時的なコンピュータ読み取り可能な記憶媒体。
【請求項１２】
前記学習パラメータは、深層自己符号器からの第１のパラメータセットと、混合ガウスモデル（ＧＭＭ）からの第２のパラメータセットとを含む、請求項９に記載の非一時的なコンピュータ読み取り可能な記憶媒体。
【請求項１３】
前記第１のパラメータセットは、それらの特徴空間から小型の潜在的な空間への前記ネットワークトラフィックログデータの投影を可能にし、前記第２のパラメータセットは、トラフィックログのグループがなりすまし攻撃関連特徴に関して異常であるかどうかの評価を可能にする、請求項１２に記載の非一時的なコンピュータ読み取り可能な記憶媒体。
【請求項１４】
前記なりすまし攻撃警報レポートは、ロググループの開始時刻と終了時刻とを含み、前記生成された警報は、警報データベースに格納される、請求項９に記載の非一時的なコンピュータ読み取り可能な記憶媒体。
【請求項１５】
前記トレーニングされた異常検出モデルは、前記トレーニングデータの類似性および非類似性を評価する、請求項９に記載の非一時的なコンピュータ読み取り可能な記憶媒体。
【請求項１６】
前記テストデータはグループの第１のセットに分割され、前記テストデータはグループの第２のセットに分割される、請求項９に記載の非一時的なコンピュータ読み取り可能な記憶媒体。
【請求項１７】
ネットワークトラフィックログデータからなりすまし攻撃を検出するためのシステムであって、前記システムは、
トレーニングデータに対するなりすまし攻撃に関連する特徴を抽出すること、
前記ネットワークトラフィックログデータに対するベクトル表現の第１のセットを構築すること、
深層自己符号化混合ガウスモデル（ＤＡＧＭＭ）を使用することによって異常検出モデルをトレーニングすること、
ＤＡＧＭＭの学習パラメータを取得すること、および、
前記学習パラメータをデータベースに格納すること、によって、
１つまたは複数のモバイルネットワークから受信された前記ネットワークトラフィックログデータを用いてなりすまし攻撃検出器をトレーニングするトレーニングモジュールと、
テストデータのためのなりすまし攻撃に関連する特徴を抽出すること、
前記ネットワークトラフィックログデータに対するベクトル表現の第２のセットを構築すること、
前記トレーニング段階から前記学習モデルによる前記テストデータの潜在的な表現を取得すること、
前記テストデータの前記潜在的な表現に基づいて前記テストデータのｚスコアを計算すること、および、
所定の閾値を超えるｚスコアを生成するトラフィックログを表にするなりすまし攻撃警報レポートを作成すること、によって、
前記１つまたは複数のモバイルネットワークから受信された前記ネットワークトラフィックログデータを用いて前記なりすまし攻撃検出器をテストするテストモジュールと、を含むシステム。
【請求項１８】
前記抽出された特徴は、一致しない“ＩｎｖｏｋｅＳｅｎｄＡｕｔｈｅｎｔｉｃａｔｉｏｎIｎｆｏ”ログの数、一致しない“ＩｎｖｏｋｅＵｐｄａｔｅＧｐｒｓＬｏｃａｔｉｏｎ”ログの数、一致しない“ＩｎｖｏｋｅＳｅｎｄＲｏｕｔｉｎｇIｎｆｏＦｏｒＳＭ”ログの数、一致しない“ＩｎｖｏｋｅＭｔＦｏｒｗａｒｄＳＭ”ログの数、類似するグローバルタイトル（ＧＴ）情報を共有する“ＩｎｖｏｋｅIｎｓｅｒｔＳｕｂｓｃｒｉｂｅｒＤａｔａ”ログの対の数、および類似するＧＴ情報を共有する“ＩｎｖｏｋｅＭｏＦｏｒｗａｒｄＳＭ”ログの対の数を含む、請求項１７に記載のシステム。
【請求項１９】
前記学習パラメータは、深層自己符号器からの第１のパラメータセットと、混合ガウスモデル（ＧＭＭ）からの第２のパラメータセットとを含む、請求項１７に記載のシステム。
【請求項２０】
前記第１のパラメータセットは、それらの特徴空間から小型の潜在的な空間への前記ネットワークトラフィックログデータの投影を可能にし、前記第２のパラメータセットは、トラフィックログのグループがなりすまし攻撃関連特徴に関して異常であるかどうかの評価を可能にする、請求項１９に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願情報）
本出願は、２０１８年２月１９日に出願された仮出願シリアル番号６２／６３２，１９０、２０１９年１月１４日に出願された米国特許出願シリアル番号１６／２４６，７７４の優先権を主張し、その内容全体が、参照により本明細書に組み込まれる。
【０００２】
本発明は、モバイルネットワークにおけるサイバーセキュリティに関し、より詳細には、モバイルネットワークにおけるトラフィックデータから監視されていない、なりすまし検出に関する。
【背景技術】
【０００３】
侵入検出システム（ＩＤＳ）は、現代の良好に管理されたネットワークシステムのあらゆる完全なセキュリティパッケージの不可欠な部分である。侵入検出のために最も広く展開された市販の方法は、署名ベースの検出を使用する。これらの方法は様々な監査ストリームから特徴を抽出し、特徴値と人間の専門家によって提供される攻撃署名のセットを比較することによって侵入を検出する。このような方法は、これらの侵入が対応する署名を有するので、以前から知られている侵入しか検出することができない。署名データベースは発見された新しいタイプの攻撃毎に手動で改訂される必要があり、この改訂まで、システムはこれらの攻撃に対して脆弱である。
【発明の概要】
【０００４】
ネットワークトラフィックログデータからなりすまし攻撃を検出するためにコンピュータ実施方法が提示される。その方法は、トレーニングデータに対するなりすまし攻撃に関連する特徴を抽出すること、ネットワークトラフィックログデータに対するベクトル表現の第１のセットを構築すること、深層自己符号化混合ガウスモデル（ＤＡＧＭＭ）を使用することによって異常検出モデルをトレーニングすること、ＤＡＧＭＭの学習パラメータを取得すること、および、学習パラメータをデータベースに格納すること、によって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いてなりすまし攻撃検出器をトレーニングすること、を含む。その方法は、さらに、テストデータのためのなりすまし攻撃に関連する特徴を抽出すること、ネットワークトラフィックログデータに対するベクトル表現の第２のセットを構築すること、トレーニング段階から学習モデルによるテストデータの潜在的な表現を取得すること、テストデータの潜在的な表現に基づいてテストデータのｚスコアを計算すること、および、所定の閾値を超えるｚスコアを生成するトラフィックログを表にするなりすまし攻撃警報レポートを作成すること、によって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いてなりすまし攻撃検出器をテストすること、を含む。
【０００５】
ネットワークトラフィックログデータからなりすまし攻撃を検出するためのコンピュータ読み取り可能プログラムを含む非一時的なコンピュータ読み取り可能記憶媒体が提示され、コンピュータで実行されたときコンピュータ読み取り可能プログラムがコンピュータに、トレーニングデータに対するなりすまし攻撃に関連する特徴を抽出すること、ネットワークトラフィックログデータに対するベクトル表現の第１のセットを構築すること、深層自己符号化混合ガウスモデル（ＤＡＧＭＭ）を使用することによって異常検出モデルをトレーニングすること、ＤＡＧＭＭの学習パラメータを取得すること、および、学習パラメータをデータベースに格納すること、によって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いてなりすまし攻撃検出器をトレーニングするステップを実行させる。その方法は、さらに、テストデータのためのなりすまし攻撃に関連する特徴を抽出すること、ネットワークトラフィックログデータに対するベクトル表現の第２のセットを構築すること、トレーニング段階から学習モデルによるテストデータの潜在的な表現を取得すること、テストデータの潜在的な表現に基づいてテストデータのｚスコアを計算すること、および、所定の閾値を超えるｚスコアを生成するトラフィックログを表にするなりすまし攻撃警報レポートを作成すること、によって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いてなりすまし攻撃検出器をテストすることを含む。
【０００６】
ネットワークトラフィックログデータからなりすまし攻撃を検出するためのシステムが提示される。そのシステムは、トレーニングデータに対するなりすまし攻撃に関連する特徴を抽出すること、ネットワークトラフィックログデータに対するベクトル表現の第１のセットを構築すること、深層自己符号化混合ガウスモデル（ＤＡＧＭＭ）を使用することによって異常検出モデルをトレーニングすること、ＤＡＧＭＭの学習パラメータを取得すること、および、学習パラメータをデータベースに格納すること、によって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いてなりすまし攻撃検出器をトレーニングするトレーニングモジュールを含む。そのシステムは、さらに、テストデータのためのなりすまし攻撃に関連する特徴を抽出すること、ネットワークトラフィックログデータに対するベクトル表現の第２のセットを構築すること、トレーニング段階から学習モデルによるテストデータの潜在的な表現を取得すること、テストデータの潜在的な表現に基づいてテストデータのｚスコアを計算すること、および、所定の閾値を超えるｚスコアを生成するトラフィックログを表にするなりすまし攻撃警報レポートを作成すること、によって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いてなりすまし攻撃検出器をテストするテストモジュールを含む。
【０００７】
これらおよび他の特徴および利点は添付の図面に関連して読まれるべき、その例示的な実施形態の以下の詳細な説明から明らかになるであろう。
【図面の簡単な説明】
【０００８】
本開示は、以下の図面を参照して、好ましい実施形態の以下の説明において詳細を提供する。
【図１】本発明の実施形態によるモバイルネットワークにおけるなりすまし検出のための深層自己符号化混合ガウスモデル（ＳＤ-ＤＡＧＭＭ）によるなりすまし検出例のブロック／フロー図である。
【図２】本発明の実施形態によるドメイン知識ベースの特徴選択の一例のブロック／フロー図である。
【図３】本発明の実施形態によるなりすまし攻撃検出器の一例のブロック／フロー図である。
【図４】本発明の実施形態によるデータをテストするための例示的なドメイン知識ベースの特徴選択のブロック／フロー図である。
【図５】本発明の実施形態によるガウス混合モデル（ＧＭＭ）のための例示的な異常スコア計算のブロック／フロー図である。
【図６】本発明の実施形態によるなりすまし攻撃警報レポートの例示的な手順のブロック／フロー図である。
【図７】本発明の実施形態によるネットワークトラフィックデータからなりすまし攻撃を検出するための例示的な方法のブロック／フロー図である。
【図８】本発明の実施形態によるネットワークトラフィックデータからなりすまし攻撃を検出するための例示的な処理システムのブロック／フロー図である。
【図９】本発明の実施形態による深層自己符号化混合ガウスモデル（ＳＤ-ＤＡＧＭＭ）によるなりすまし検出を使用した例示的なモバイルネットワークのブロック／フロー図である。
【図１０】本発明の実施形態によるＩｎｔｅｒｎｅｔ  ｏｆ  Ｔｈｉｎｇｓ（ＩｏＴ）システムまたは装置またはインフラにおけるなりすまし攻撃に関連する特徴を抽出するための例示的な方法のブロック／フロー図である。
【図１１】本発明の実施形態によるなりすまし攻撃に関連する特徴を抽出するためにデータ／情報を収集するために使用される例示的なＩｏＴセンサのブロック／フロー図である。
【発明を実施するための形態】
【０００９】
なりすまし攻撃は、モバイルネットワークにおけるサイバーセキュリティに対する脅威である。マルウェアは遠隔サーバに残り、入力トラフィックを通してなりすまし攻撃を実行するので、従来の署名ベースの方法によるこのようななりすまし攻撃を捕捉することは困難である。代わりに、ネットワークトラフィックデータを分析することによって、なりすまし攻撃は捕捉され得る。悪意のある意図のため、なりすまし攻撃によって開始されるネットワークトラフィックは、通常のユーザによって生成されるネットワークトラフィックとは異なる必要がある。この目的を達成するために、なりすまし攻撃を検出する問題は、監視されていない異常の検出の問題として定式化され得る。モバイルネットワークからのネットワークトラフィック記録が与えられると、その目的は、なりすまし攻撃によって開始される可能性が高い異常な記録を発見することである。しかしながら、既存の異常検出方法は、ネットワークトラフィックデータからなりすまし攻撃を正確に発見することは困難である。ネットワークトラフィックデータは高分散で高次元である。ネットワークトラフィックデータの高次元のため、既存の異常検出方法は、次元に苦しんでいる。加えて、トラフィック動特性によって引き起こされる高分散は、全てのデータ点を互いに異なるように現し、それは、既存の技術が通常のトラフィック間の共有性をモデル化することを困難にする。
【００１０】
本発明の例示的な実施形態は、ネットワークトラフィックデータからなりすまし攻撃を検出する深層学習に基づく方法であるＳＤ-ＤＡＧＭＭ（Spoofing Detection by Deep Auto-encoding Gaussian Mixture Model）を実装する。一般に、これは、トレーニング段階およびテスト段階を含む。
【００１１】
トレーニング段階では、検出器をトレーニングするために、本方法は、ネットワークトラフィックデータのセットが与えられる。この段階では、本方法がモバイルネットワークにおけるドメイン知識を活用し、なりすまし攻撃に関連する特徴を抽出し、ネットワークトラフィックデータのためのベクトル表現を構築する。それから、本方法はトレーニングデータの類似性／非類似性を最高に評価する検出器を学習するためにＤＡＧＭＭを使用する。
【００１２】
テスト段階では、本方法は、入ってくるトラフィックデータを扱う。この段階では、本方法はトレーニング段階で使用された同じ特徴抽出方法を繰り返し、トラフィックデータをそれらのベクトル表現に変換し、学習された検出器によってそれらの類似性を評価し、次いで、トラフィックレコードの大部分とは著しく異なる異常トラフィック記録を、潜在的なりすまし攻撃トラフィックとしてレポートする。
【００１３】
さらに、本発明の例示的な実施形態は、ＳＤ-ＤＡＧＭＭを実装して、なりすまし攻撃検出に関する高次元および高分散の課題に対処する。第１に、例示的な実施形態は、モバイルネットワークにおけるドメイン知識に基づく特徴選択方法を使用し、なりすまし攻撃に関連するトラフィック記録の特徴を抽出する。このようにして、ネットワークトラフィックデータの次元および分散の両方が大幅に低減される。第２に、例示的な実施形態では、トラフィック記録のための抽出された特徴表現における次元の数が依然として高くなり得るので、高次元データのための安定した異常検出モデルを構築するために、最先端の深層学習技術、例えばＤＡＧＭＭが使用され得る。
【００１４】
加えて、本発明の例示的な実施形態は、異常閾値の決定がモデルをトレーニングするために使用されるデータに依存しないように、ＤＡＧＭＭのフレームワークにおいてトラフィック記録の異常スコアを定義する統一された方法を提供する。
【００１５】
図１は、本発明の実施形態によるモバイルネットワークにおけるなりすまし検出のための例示的な深層自己符号化混合ガウスモデル（ＳＤ-ＤＡＧＭＭ）のブロック／フロー図である。
【００１６】
トレーニングモジュール８６４（図８）は、トレーニングデータ１０１、ドメイン知識ベース特徴選択１０２、ＤＡＧＭＭトレーニングモジュール１０３、およびなりすまし攻撃検出器１０４を含む。テストモジュール８６６（図８）は、テストデータ１０５、ドメイン知識ベース特徴抽出１０６、ＤＡＧＭＭテストモジュール１０７、異常スコア計算モジュール１０８、およびなりすまし攻撃警報レポート１０９を含む。
【００１７】
トレーニングデータ１０１に関して、トレーニングデータ１０１はＳＤ-ＤＡＧＭＭのトレーニングに使用される。これらのデータは、次の情報を含むモバイルネットワークからのトラフィックログである。
【００１８】
トラフィックデータが装置によって受信された時刻を示すためにタイムスタンプが使用される。
【００１９】
ログタイプは、ＩｎｖｏｋｅＳｅｎｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＩｎｆｏ、ＩｎｖｏｋｅＵｐｄａｔｅＧｐｒｓＬｏｃａｔｉｏｎなどのような、ネットワークトラフィックが運搬するログメッセージのタイプを示す。
【００２０】
グローバルタイトル（ＧＴ）は、電気通信ネットワーク上の信号メッセージの経路選択のためにスキニークライアント制御プロトコル（ＳＣＣＰ）で使用されるアドレスである。
【００２１】
国際モバイル加入者ＩＤ（ＩＭＳＩ）。
【００２２】
モバイル加入者ＩＤ（ＭＳＩＳ）。
【００２３】
ドメイン知識ベース特徴選択１０２に関して、トレーニングデータに対するなりすまし攻撃に関連する特徴が抽出される。
【００２４】
ＤＡＧＭＭトレーニング１０３に関して、最先端の異常検出技術であるＤＡＧＭＭがモデルをトレーニングするため使用される。
【００２５】
なりすまし攻撃検出器１０４に関して、ＤＡＧＭＭの学習されたパラメータが取得され、後の検出タスクのためにデータベースに格納される。
【００２６】
テストデータ１０５に関して、モバイルネットワークからの如何なるトラフィックログもテストデータとして取り扱われ得る。ＳＤ-ＤＡＧＭＭは、なりすまし攻撃を含む可能性が高いトラフィックログをレポートする。
【００２７】
ドメイン知識ベース特徴選択１０６に関して、ブロック１０２で使用された同じ手法がデータをテストするために関連する特徴を抽出するために採用される。
【００２８】
ＤＡＧＭＭテスト１０７に関して、ＤＡＧＭＭ内の深層自己符号化器がテストデータの潜在的な表現を得るために使用される。
【００２９】
異常スコア計算１０８に関して、テストデータのｚスコアは、テストデータの潜在的な表現およびＤＡＧＭＭにおける学習されたガウス混合モデルに基づいて計算または算定される。
【００３０】
なりすまし攻撃警報レポート１０９に関して、高いｚスコアを生成するトラフィックログへの警報がレポートされる。
【００３１】
図２は、本発明の実施形態によるドメイン知識ベースの特徴選択の一例のブロック／フロー図である。
【００３２】
データのグループ化２０１に関して、ＳＤ-ＤＡＧＭＭにおいて、本方法は最初に時間次元を重複しない時間ビンに分割し、時間長３０秒のエポックタイム０で開始する。次に、本方法は同じ時間ビンのトラフィックログを１つのグループに入れ、ＳＤ-ＤＡＧＭＭは１つのグループがなりすまし攻撃を含むかどうかを予測する。次に、個々のグループにおけるログの特徴選択が実行される。
【００３３】
特徴選択２０２に関して、ＳＤ-ＤＡＧＭＭでは、本方法はモバイルネットワークにおけるなりすまし攻撃に関連する６つの特徴を抽出する。
【００３４】
１つのグループ内で一致しない“ＩｎｖｏｋｅＳｅｎｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＩｎｆｏ”ログの数：本方法がこのグループ内で同一のＧＴおよびＩＭＳＩ情報を共有する“ＩｎｖｏｋｅＵｐｄａｔｅＧｐｒｓＬｏｃａｔｉｏｎ”または“ＩｎｖｏｋｅＵｐｄａｔｅＬｏｃａｔｉｏｎ”ログを見つけることができない場合、“ＩｎｖｏｋｅＳｅｎｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＩｎｆｏ”ログは一致しない。
【００３５】
１つのグループ内で一致しない“ＩｎｖｏｋｅＵｐｄａｔｅＧｐｒｓＬｏｃａｔｉｏｎ”または“ＩｎｖｏｋｅＵｐｄａｔｅＬｏｃａｔｉｏｎ”ログの数：本方法がこのグループ内で同じＧＴおよびＩＭＳＩ情報を共有する“ＩｎｖｏｋｅＳｅｎｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＩｎｆｏ”ログを見つけることができない場合、“ＩｎｖｏｋｅＵｐｄａｔｅＧｐｒｓＬｏｃａｔｉｏｎ”または“ＩｎｖｏｋｅＵｐｄａｔｅＬｏｃａｔｉｏｎ”ログは一致しない。
【００３６】
１つのグループ内で一致しない“ＩｎｖｏｋｅＳｅｎｄＲｏｕｔｉｎｇＩｎｆｏＦｏｒＳＭ”ログの数：本方法がこのグループ内で同じＧＴおよびＭＳＩＳ情報を共有する“ＩｎｖｏｋｅＭｔＦｏｒｗａｒｄＳＭ”ログを見つけることができない場合、“ＩｎｖｏｋｅＳｅｎｄＲｏｕｔｉｎｇＩｎｆｏＦｏｒＳＭ”ログは一致しない。
【００３７】
１つのグループ内で一致しない“ＩｎｖｏｋｅＭｔＦｏｒｗａｒｄＳＭ”ログの数：本方法がグループ内で同一のＧＴおよびＭＳＩＳ情報を共有する“ＩｎｖｏｋｅＳｅｎｄＲｏｕｔｉｎｇＩｎｆｏＦｏｒＳＭ”ログを見つけることができない場合、“ＩｎｖｏｋｅＭｔＦｏｒｗａｒｄＳＭ”は一致しない。
【００３８】
類似のＧＴ情報を共有する“ＩｎｖｏｋｅＩｎｓｅｒｔＳｕｂｓｃｒｉｂｅｒＤａｔａ”ログの対の数：ＧＴ  ａとｂを有する“ＩｎｖｏｋｅＩｎｓｅｒｔＳｕｂｓｃｒｉｂｅｒＤａｔａ”ログの対において、それらのＧＴ類似性は、ａとｂの間の最大長さによって正規化されたａとｂの共通プレフィックスの長さであり、
【００３９】
【数１】
2021513170.tif 000003
これらのＧＴ類似性が０．７５よりも大きい場合、ａとｂとは類似する。
【００４０】
類似のＧＴ情報を共有する“ＩｎｖｏｋｅＭｏＦｏｒｗａｒｄＳＭ”ログのペアの数。
【００４１】
ブロック２０２の後、グループ内のトラフィックログの特徴表現が得られる。
【００４２】
図３は、本発明の実施形態による例示的なりすまし攻撃検出器のブロック／フロー図である。
【００４３】
ブロック４０１において、学習されたＤＡＧＭＭからなりすまし攻撃検出器を抽出する。トレーニングデータから学習されたＤＡＧＭＭが与えられると、なりすまし攻撃検出器は、学習されたパラメータの２つのセットを含む。
【００４４】
パラメータの第１のセットは、深層自己符号化器に関連する。ＤＡＧＭＭにおける深層自己符号化器のパラメータを用いて、本方法は、ネットワークトラフィックログデータをそれらの特徴空間からコンパクトな潜在空間に投影することができる。
【００４５】
パラメータの第２のセットは、ガウス混合モデル（ＧＭＭ）に関連する。ＧＭＭ内の推定パラメータを用いて、本方法は、トラフィックログのグループがなりすまし攻撃関連特徴の面で異常であるかどうかを評価することができる。
【００４６】
特に、ＧＭＭがＫ個の混合構成要素を有する場合、推定パラメータは、（１）混合係数φ1，．．．，φK、および（２）構成要素手段と共分散（μ1，σ1），．．．，（μK，σK）を含む。
【００４７】
ブロック４０２で、なりすまし攻撃検出器を１つまたは複数のデータベースに格納する。４０１から得られたなりすまし攻撃検出器は将来の検出タスクのためにデータベースシステム（例えば、エラスティックサーチ）に格納される。
【００４８】
図４は、本発明の実施形態によるデータをテストするための例示的なドメイン知識ベースの特徴選択のブロック／フロー図である。
【００４９】
データのグループ化６０１に関して、本方法は、ブロック２０１で説明したのと同じ方法を使用して、テストデータを複数のグループに分割する。
【００５０】
特徴選択６０２に関して、本方法は、ブロック２０２で説明したのと同じ手法を採用して、以下を含む、各個々のグループに対して６次元特徴を抽出する：
【００５１】
グループ内の不一致の“ＩｎｖｏｋｅＳｅｎｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＩｎｆｏ”ログの数；
【００５２】
グループ内の不一致の“ＩｎｖｏｋｅＵｐｄａｔｅＧｐｒｓＬｏｃａｔｉｏｎ”または“ＩｎｖｏｋｅＵｐｄａｔｅＬｏｃａｔｉｏｎ”ログの数；
【００５３】
グループ内の不一致の“ＩｎｖｏｋｅＳｅｎｄＲｏｕｔｉｎｇＩｎｆｏＦｏｒＳＭ”ログの数；
【００５４】
グループ内の不一致の“ＩｎｖｏｋｅＭｔＦｏｒｗａｒｄＳＭ”ログの数；
【００５５】
類似のＧＴ情報を共有する“ＩｎｖｏｋｅＩｎｓｅｒｔＳｕｂｓｃｒｉｂｅｒＤａｔａ”ログの対の数；
【００５６】
類似のＧＴ情報を共有する“ＩｎｖｏｋｅＭｏＦｏｒｗａｒｄＳＭ”ログのペアの数。
【００５７】
図５は、本発明の実施形態によるガウス混合モデル（ＧＭＭ）の例示的な異常スコア計算のブロック／フロー図である。
【００５８】
８０１の検出器の読み込みに関して、ＳＤ-ＤＡＧＭＭは最初にブロック４０１に指定されたすべてのパラメータを含むデータベースから検出器を読み込む。
【００５９】
異常なスコア８０２に関して、ＤＡＧＭＭからの深層自己符号化器による特徴ベクトルｘの出力の潜在的な表現であるｈが与えられると、本方法は、Ｇａｕｓｓｉａｎ分布のｚスコアの概念をＧａｕｓｓｉａｎ混合モデルの場合に適合させ、次の方程式で計算する。
【００６０】
【数２】
2021513170.tif 000004
ここで、μは平均偏差、σは標準偏差、ｈは特徴ベクトルの潜在的な表現、およびφは混合係数である。
【００６１】
図６は、本発明の実施形態によるなりすまし攻撃警報レポートの例示的な手順のブロック／フロー図である。
【００６２】
閾値処理９０１に関して、ブロック８０２で計算されたｚスコアで、本方法は、ｚスコアと予め定義されたまたは予め設定された閾値を比較する。ｚスコアが閾値よりも高い場合、ＳＤ-ＤＡＧＭＭは、基礎的なグループによってカバーされるトラフィックログに警報をレポートする。
【００６３】
警報生成９０２に関して、各警報に対して、警報生成はロググループの開始時刻と終了時刻を含み、警報は警報データベースに挿入され、そこでユーザはそれらをレビューし、分析することができる。
【００６４】
図７は、本発明の実施形態によるネットワークトラフィックデータからなりすまし攻撃を検出するための例示的な方法のブロック／フロー図である。
【００６５】
ブロック７０１において、なりすまし攻撃検出器は、トレーニングデータに対するなりすまし攻撃に関連する特徴を抽出し、ネットワークトラフィックログデータのベクトル表現の第１のセットを構築し、深層自己符号化混合ガウスモデル（ＤＡＧＭＭ）を使用することによって異常検出モデルをトレーニングし、ＤＡＧＭＭの学習パラメータを取得し、およびデータベースに学習パラメータを格納することによって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いて訓練される。
【００６６】
ブロック７０３において、データをテストするためのなりすまし攻撃に関連する特徴を抽出し、ネットワークトラフィックログデータのベクトル表現の第２のセットを構築し、テストデータの潜在的な表現を取得し、テストデータの潜在的な表現に基づいてテストデータのｚスコアを計算し、所定の閾値を超えるｚスコアを生成するトラフィックログを表にするなりすまし攻撃警報レポートを作成することによって、１つまたは複数のモバイルネットワークから受信されたネットワークトラフィックログデータを用いてなりすまし攻撃検出器がテストされる。
【００６７】
図８は、本発明の実施形態によるネットワークトラフィックデータからなりすまし攻撃を検出するための例示的な処理システムのブロック／フロー図である。
【００６８】
処理システムは、システムバス８０２を介して他の構成要素に動作可能に結合された少なくとも１つのプロセッサまたはプロセッサ装置８０４を含む。キャッシュ８０６、読み取り専用メモリ（ＲＯＭ）８０８、ランダムアクセスメモリ（ＲＡＭ）８１０、入力／出力（Ｉ／Ｏ）アダプタ８２０、ネットワークアダプタ８３０、ユーザインタフェースアダプタ８４０、およびディスプレイアダプタ８５０は、システムバス８０２に動作可能に結合される。モバイルネットワーク８６０は、バス８０２に接続可能である。モバイルネットワーク８６０は、トレーニングモジュール８６４およびテストモジュール８６６を含むＳＤ-ＤＡＧＭＭ８６２を使用することができる。
【００６９】
記憶装置８２２は、Ｉ／Ｏアダプタ８２０によってシステムバス８０２に動作可能に結合される。記憶装置８２２はディスク記憶装置（例えば、磁気または光ディスク記憶装置）、ソリッドステート磁気装置などのうちの任意のものとすることができる。
【００７０】
トランシーバ８３２は、ネットワークアダプタ８３０によってシステムバス８０２に動作可能に結合される。
【００７１】
ユーザ入力装置８４２は、ユーザインタフェースアダプタ８４０によってシステムバス８０２に動作可能に結合される。ユーザ入力装置８４２は、キーボード、マウス、キーパッド、画像キャプチャ装置、モーションセンシング装置、マイク、前述の装置のうちの少なくとも２つの機能を組み込んだ装置などのうちの任意のものとすることができる。もちろん、本発明の精神を維持しながら、他のタイプの入力装置を使用することもできる。ユーザ入力装置８４２は、同じタイプのユーザ入力装置または異なるタイプのユーザ入力装置とすることができる。ユーザ入力装置８４２は、処理システムとの間で情報を入出力するために使用される。
【００７２】
ディスプレイ装置８５２は、ディスプレイアダプタ７５０によってシステムバス８０２に動作可能に結合される。
【００７３】
もちろん、処理システムは当業者によって容易に考えられるように、特定の要素（図示せず）を含んでもよく、また、特定の要素を省略してもよい。例えば、当業者によって容易に理解されるように、様々な他の入力装置および／または出力装置は、システムの特定の実装に応じて、システムに含まれ得る。例えば、様々なタイプの無線および／または有線の入力および／または出力装置が使用され得る。さらに、様々な構成において、追加のプロセッサ、プロセッサ装置、コントローラ、メモリなども、当業者によって容易に理解されるように利用され得る。処理システムのこれらおよび他の変形は、本明細書で提供される本発明の教示を与えられた当業者によって容易に考えられる。
【００７４】
図９は、本発明の実施形態による深層自己符号化混合ガウスモデル（ＳＤ-ＤＡＧＭＭ）によるなりすまし検出を使用した例示的なモバイルネットワークのブロック／フロー図である。
【００７５】
複数のモバイルネットワーク９１０は、複数のサーバ９０１と通信するなりすまし攻撃装置９０５によって攻撃され得る。なりすまし攻撃装置９０５は、ＩｏＴネットワーク９１２などの他のネットワークを攻撃するためにも使用することができる。ＳＤ-ＤＡＧＭＭ８６２は、モバイルネットワーク９１０およびＩｏＴネットワーク９１２を保護するために使用することができる。
【００７６】
図１０は、本発明の実施形態によるＩｏＴ（Internet of Things）システムまたは装置またはインフラにおけるなりすまし攻撃に関連する特徴を抽出するための例示的な方法のブロック／フロー図である。
【００７７】
ＩｏＴは、インターネットインフラを介してコンピューティング装置と組み込み装置との高度な接続を可能にする。ＩｏＴはマシン間通信（Ｍ２Ｍ）を含み、接続されたマシンを連続的に監視して、任意の異常またはバグを検出し、それらを迅速に解決してダウンタイムを最小限に抑えることが重要である。
【００７８】
モバイルネットワーク８６０は、例えば、着用可能な、埋め込み可能な、または摂取可能な電子装置、およびＩｏＴ（Internet of Things）センサと通信することができる。着用可能な、埋め込み可能な、または摂取可能な装置は、少なくとも健康および健康監視装置、並びにフィットネス装置を含むことができる。着用可能な、埋め込み可能な、または摂取可能な装置は、少なくとも埋め込み可能な装置、スマートウォッチ、頭部装着型装置、安全および予防装置、並びにゲームおよびライフスタイル装置をさらに含むことができる。ＩｏＴセンサは、少なくともホームオートメーションアプリケーション、自動車アプリケーション、ユーザインタフェースアプリケーション、ライフスタイルおよび／または娯楽アプリケーション、都市および／またはインフラアプリケーション、玩具、ヘルスケア、フィットネス、小売タグおよび／またはトラッカ、プラットフォームおよびコンポーネントなどに組み込むことができる。本明細書で説明されるモバイルネットワーク８６０は任意のタイプの使用、アプリケーション、または操作のために、任意のタイプの電子装置と通信することができる。
【００７９】
ＩｏＴ（Internet of Things）は、ネットワーク化、センシング、ビッグデータ、および人工知能技術を利用して、製品またはサービスの完全なシステムを提供する高度な自動化および分析システムである。これらのシステムは任意の産業またはシステムに適用された場合、より大きい透明性、制御、および性能を可能にする。
【００８０】
ＩｏＴシステムは、その独特の柔軟性および任意の環境において適切である能力を通して、業界全体でアプリケーションを有する。ＩｏＴシステムは、スマートデバイスと強力な実現技術を通じて、はるかに多くのデータ収集、自動化、操作を高める。
【００８１】
ＩｏＴシステムは、ユーザがシステム内でより深い自動化、分析、および統合を達成することを可能にする。ＩｏＴは、これらの領域の到達範囲およびそれらの精度を改善する。ＩｏＴは感知、ネットワーク化、およびロボット工学のために、既存の技術および新興の技術を利用する。ＩｏＴの特徴は、人工知能、接続性、センサ、能動的係合、および小型装置使用を含む。様々な実施形態では、本発明のモバイルネットワーク８６０が様々な異なる装置および／またはシステムと通信することができる。例えば、モバイルネットワーク８６０は、着用可能な、または携帯型電子装置１０３０と通信することができる。着用可能／携帯型電子装置１０３０は、スマート衣類１０３２などの埋め込み型装置１０３１を含むことができる。着用可能／携帯型装置１０３０は、スマート腕時計１０３３、並びにスマート宝飾品１０３４を含むことができる。着用可能／携帯型装置１０３０はフィットネス監視装置１０３５、健康および健康監視装置１０３７、頭部装着装置１０３９（例えば、スマートメガネ１０４０）、安全および予防システム１０４１、ゲームおよびライフスタイル装置１０４３、スマートフォン／タブレット１０４５、メディアプレーヤ１０４７、および／またはコンピュータ／コンピューティング装置１０４９をさらに含むことができる。
【００８２】
本発明のモバイルネットワーク８６０は、ホームオートメーション１０２１、自動車１０２３、ユーザインタフェース１０２５、ライフスタイルおよび／または娯楽１０２７、都市および／またはインフラ１０２９、小売１０１１、タグおよび／またはトラッカ１０１３、プラットフォームおよびコンポーネント１０１５、玩具１０１７、および／またはヘルスケア１０１９などの様々なアプリケーションのために、インターネットオブシングズ（ＩｏＴ）センサ１０１０とさらに通信することができる。もちろん、当業者は本明細書で説明されるものに限定されない、任意のタイプのアプリケーションの任意のタイプの電子装置と通信する、そのようなモバイルネットワーク８６０を考えることができる。
【００８３】
図１１は、本発明の実施形態による、なりすまし攻撃に関連する特徴を抽出するためにデータ／情報を収集するために使用される例示的なＩｏＴセンサのブロック／フロー図である。
【００８４】
ＩｏＴは、センサなしでその区別を失う。ＩｏＴセンサは、ＩｏＴを装置の標準受動的ネットワークから現実世界の統合の可能な能動的システムに変換する定義機器として機能する。
【００８５】
ＩｏＴセンサ１０１０は、情報／データを連続的かつリアルタイムで送信するために、モバイルネットワーク８６０を介して接続され得る。例示的なＩｏＴセンサ１０１０は、位置／存在／近接センサ１１０１、運動／速度センサ１１０３、加速度／傾斜センサ１１０６などの変位センサ１１０５、温度センサ１１０７、湿度／湿気センサ１１０９、並びに流量センサ１１１０、音響／音／振動センサ１１１１、化学／ガスセンサ１１１３、力／負荷／トルク／歪み／圧力センサ１１１５、および／または電気／磁気センサ１１１７を含み得るが、これらに限定されない。当業者はデータ／情報を収集し、さらなる処理のため、モバイルネットワーク８６０のモジュール８６４、８６６に入力するために、そのようなセンサの任意の組み合わせを使用することを考えることができる。当業者は磁力計、ジャイロスコープ、画像センサ、光センサ、無線周波数識別（ＲＦＩＤ）センサ、および／またはマイクロフローセンサのような、しかしそれらに限定されない他のタイプのＩｏＴセンサを使用することを考えることができる。ＩｏＴセンサはまた、エネルギーモジュール、電力管理モジュール、ＲＦモジュール、および感知モジュールを含むことができる。ＲＦモジュールは、それらの信号処理、ＷｉＦｉ、ＺｉｇＢｅｅ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、無線トランシーバ、デュプレクサなどを介して通信を管理する。
【００８６】
さらに、データ収集ソフトウェアを使用して、感知、測定、光データフィルタリング、光データセキュリティ、およびデータの集約を管理することができる。データ収集ソフトウェアは、特定のプロトコルを使用して、ＩｏＴセンサがリアルタイムでマシン間ネットワークと接続することを助ける。次に、データ収集ソフトウェアは、複数のデバイスからデータを収集し、設定に従ってそれを分配する。また、データ収集ソフトウェアは、装置を通してデータを分配することで、逆に働く。システムは最終的に、収集されたすべてのデータを、例えば中央サーバに送信することができる。
【００８７】
本明細書で使用されるように、用語“データ”、“コンテンツ”、“情報”および同様の用語は様々な例示的な実施形態に従って、捕捉され、送信され、受信され、表示され、および／または格納されることが可能なデータを参照するために、互換的に使用され得る。従って、このような用語の使用は、開示の精神および範囲を制限するものと解釈されるべきではない。さらに、別のコンピューティング装置からデータを受信するためにコンピューティング装置が本明細書に記載される場合、データは他のコンピューティング装置から直接受信することができ、または、例えば、１つ以上のサーバ、リレー、ルータ、ネットワークアクセスポイント、基地局、および／または同様のもののような１つ以上の中間コンピューティング装置を介して間接的に受信することができる。同様に、データを他のコンピューティング装置に送信するためにコンピューティング装置が本明細書に記載されている場合、データは他のコンピューティング装置に直接送信することができ、または、例えば、１つ以上のサーバ、リレー、ルータ、ネットワークアクセスポイント、基地局、および／または同様のもののような１つ以上の中間コンピューティング装置を介して間接的に送信することができる。
【００８８】
ユーザとの対話を提供するために、本明細書に記載される主題の実施形態は、ディスプレイデバイス、例えば、ユーザに情報を表示するためのＣＲＴ（cathode ray tube）またはＬＣＤ（liquid crystal display）を有するコンピュータ上で実施され得る。ユーザがコンピュータに入力を提供し得るキーボードおよびポインティングデバイス、例えば、マウスまたはトラックボールがコンピュータ上に実装されている。他の種類のデバイスも、同じように、ユーザとの対話を提供するために使用することができ、例えば、ユーザに提供されるフィードバックは任意の形態の感覚上のフィードバック、例えば、視覚フィードバック、聴覚フィードバック、または触覚フィードバックとすることができ、ユーザからの入力は、音響入力、音声入力、または触覚入力を含む任意の形態で受信することができる。
【００８９】
当業者には理解されるように、本発明の態様は、システム、方法、またはコンピュータプログラム製品として実施することができる。したがって、本発明の態様は完全なハードウェアの実施形態、完全なソフトウェアの実施形態（ファームウェア、常駐ソフトウェア、マイクロコード等を含む）、または一般的に“回路”、“モジュール”、“計算機”、“装置”または“システム”と呼ばれるのであろうソフトウェアとハードウェアの態様を組み合わせた実施形態をとることができる。さらに、本発明の態様はそれに具体化されたコンピュータ読み取り可能なプログラムコードを備えた、１つまたは複数のコンピュータ読み取り可能な媒体に具現化されたコンピュータプログラム製品の形態をとることができる。
【００９０】
１つまたは複数のコンピュータ可読媒体の任意の組合せが利用され得る。コンピュータ可読媒体は、コンピュータ可読信号媒体またはコンピュータ可読記憶媒体であってもよい。コンピュータ可読記憶媒体は、例えば、電子、磁気、光学、電磁気、赤外線、または半導体のシステム、装置、またはデバイス、あるいは前述の任意の適切な組合せとすることができるが、これらに限定されない。コンピュータ可読記憶媒体のより具体的な例（非網羅的なリスト）は、以下を含む：１つ以上のワイヤ、携帯用コンピュータディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、消去可能プログラマブル読出し専用メモリ（ＥＥＰＲＯＭまたはフラッシュメモリ）、光ファイバ、携帯用コンパクトディスク読出し専用メモリ（ＣＤ-ＲＯＭ）、光データ記憶装置、磁気データ記憶装置、または前述の任意の適切な組み合わせを有する電気的接続。本文書の文脈では、コンピュータ読み取り可能な記憶媒体が命令実行システム、装置、またはデバイスによって、または関連して使用するためのプログラムを含む、またはそれを記憶することができる、任意の有形媒体であり得る。
【００９１】
コンピュータ可読信号媒体は、例えば、ベースバンドで、または搬送波の一部として、コンピュータ可読プログラムコードが具現化された伝搬データ信号を含むことができる。そのような伝搬信号は電磁、光学、またはそれらの任意の適切な組み合わせを含むが、それらに限定されない、任意の様々な形態を採ることができる。コンピュータ読み取り可能な信号媒体はコンピュータ読み取り可能な記憶媒体ではなく、命令実行システム、装置、またはデバイスによって、またはそれに関連して使用するために、プログラムを通信、伝搬、または搬送することができる、任意のコンピュータ読み取り可能な媒体であってもよい。
【００９２】
コンピュータ可読媒体上に具現化されたプログラムコードは無線、有線、光ファイバケーブル、ＲＦなど、または前述のものの任意の適切な組合せを含むがこれらに限定されない、任意の適切な媒体を使用して送信され得る。
【００９３】
本発明の態様のための動作を実行するためのコンピュータプログラムコードは、Ｊａｖａ、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋等のオブジェクト指向プログラミング言語、および“Ｃ”プログラミング言語または類似のプログラミング言語のような従来の手続き型プログラミング言語を含む、１つ以上のプログラミング言語の任意の組み合わせで書くことができる。プログラムコードは、全体的にはユーザのコンピュータ上で、部分的にはユーザのコンピュータ上で、スタンドアロンソフトウェアパッケージとして、部分的にはユーザのコンピュータ上で、部分的には遠隔コンピュータ上で、または全体的には遠隔コンピュータまたはサーバ上で実行されてもよい。後者のシナリオでは、遠隔コンピュータがローカルエリアネットワーク（ＬＡＮ）または広域ネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてもよく、または、その接続は（例えば、インターネットサービスプロバイダを使用してインターネットを介して）外部コンピュータであってもよい。
【００９４】
本発明の態様を、本発明の実施形態による方法、装置（システム）、およびコンピュータプログラム製品のフローチャート図および／またはブロック図を参照して以下に説明する。フローチャート図および／またはブロック図の各ブロック、並びにフローチャート図および／またはブロック図のブロックの組合せは、コンピュータプログラム命令によって実施できることを理解されたい。これらのコンピュータプログラム命令は、汎用コンピュータ、専用コンピュータ、または他のプログラマブルデータ処理装置のプロセッサに提供されて、コンピュータまたは他のプログラマブルデータ処理装置のプロセッサを介して実行される命令がフローチャートおよび／またはブロック図の１つまたは複数のブロックまたはモジュールで特定された機能／動作を実施するための手段を生み出すように、マシンを生成することができる。
【００９５】
これらのコンピュータプログラム命令はコンピュータ、他のプログラマブルデータ処理装置、または他のデバイスに特定の方法で機能するように指示することができるコンピュータ可読媒体に格納することもできるので、コンピュータ可読媒体に格納された命令は、フローチャートおよび／またはブロック図の１つまたは複数のブロックまたはモジュールで特定された機能／動作を実施する命令を含む製造品を生成する。
【００９６】
コンピュータプログラム命令はまた、コンピュータ、他のプログラマブルデータ処理装置、または他のデバイスに読み込まれて、一連の動作ステップがコンピュータ、他のプログラマブル装置、または他のデバイス上で実行されて、コンピュータまたは他のプログラマブル装置上で実行する命令がフローチャートおよび／またはブロック図の１つのブロックまたは複数のブロックまたはモジュールで特定された機能／動作を実施するためのプロセスを提供するように、コンピュータ実装プロセスを生成する。
【００９７】
本明細書で使用される“プロセッサ”という用語は、例えば、ＣＰＵ（central processing unit）および／または他の処理回路を含むものなど、任意の処理デバイスを含むことが意図されることを理解されたい。“プロセッサ”という用語は複数の処理デバイスを指すことができ、処理デバイスに関連する様々な要素が他の処理デバイスによって共有され得ることも理解されたい。
【００９８】
本明細書で使用される“メモリ”という用語は、例えば、ＲＡＭ、ＲＯＭ、固定メモリデバイス（例えば、ハードドライブ）、リムーバブルメモリデバイス（例えば、ディスケット）、フラッシュメモリなど、プロセッサまたはＣＰＵに関連するメモリを含むことを意図している。このようなメモリは、コンピュータ読み取り可能な記憶媒体と考えることができる。
【００９９】
さらに、本明細書で使用される“入力／出力装置”または“Ｉ／Ｏ装置”という語句は、例えば、処理ユニットにデータを入力するための１つまたは複数の入力装置（例えば、キーボード、マウス、スキャナなど）、および／または処理ユニットに関連する結果を提示するための１つまたは複数の出力装置（例えば、スピーカ、ディスプレイ、プリンタなど）を含むことが意図される。
【０１００】
前述は、あらゆる点で例示としての一例であるが、限定的ではないと理解されるべきであり、本明細書に開示される本発明の範囲は、詳細な説明からではなく、むしろ特許法によって許可される全範囲に従って解釈されるような特許請求の範囲から決定されるべきである。本明細書に示され、説明された実施形態は、本発明の例示にすぎず、当業者は、本発明の範囲および精神から逸脱することなく、様々な修正を実行することができることを理解されたい。当業者は、本発明の範囲および精神から逸脱することなく、様々な他の特徴の組み合わせを実行することができる。このように説明された本発明の態様は、特許法によって要求される詳細および特殊性を伴い、特許証によって保護が請求され、望まれるものは、添付の特許請求の範囲に記載されている。
【図１】
2021513170.tif 000005
【図２】
2021513170.tif 000006
【図３】
2021513170.tif 000007
【図４】
2021513170.tif 000008
【図５】
2021513170.tif 000009
【図６】
2021513170.tif 000010
【図７】
2021513170.tif 000011
【図８】
2021513170.tif 000012
【図９】
2021513170.tif 000013
【図１０】
2021513170.tif 000014
【図１１】
2021513170.tif 000015
【国際調査報告】
2021513170.tif 000016
2021513170.tif 000017