(57)【特許請求の範囲】
【請求項１】
コンピュータシステムに入力された因子から当該コンピュータシステムにおいて正当なものとして扱うべきでない異種因子を検出するための異種因子検出方法において、
常習犯データ検出部がコンピュータシステムに入力された入力因子と予め登録された当該コンピュータシステムにて正当なものとして扱われる因子以外の既知の異種因子とを比較し、その比較結果に基づいて当該入力因子が異種因子であるか否かを判定する第一の免疫機能ステップと、
該第一の免疫機能ステップにて異種因子でないと判定された入力因子を、判断部が更に上記登録された異種因子以外の異種因子であるか否かを判定する第二の免疫機能ステップと
を有し、
該第二の免疫機能ステップは、非自己検出器生成部が当該コンピュータシステムで正当なものとして扱うべき因子の集合として定められた学習用自己に基づいて、当該正当なものとして扱うべき因子の集合となる真の自己以外の非自己因子の所定類似範囲にて定義される非自己を検出するための検出器を生成し、生成した検出器に対して、類似範囲を所定量だけ拡張したとしても前記学習用自己のいずれの因子に含まれることのない強い検出器と、類似範囲を所定量だけ拡張すると前記学習用自己の一部の因子が含まれる弱い検出器であるかを識別する情報を付加し、
判断部において、前記第一の免疫機能ステップにて異種因子でないと判定された入力因子が上記生成された検出器のいずれかに属するか否かを判定し、
補助判断部が、いずれかの検出器に属すると判定された入力因子について当該コンピュータシステムにて正当なものとして扱える因子であるか否かの最終判定を行う必要があるか否かを、いずれかの検出器に属する判定された入力因子が前記強い検出器に属するか前記弱い検出器に属するかに基づいて判定し、上記最終判定を行なう必要がないと判定された入力因子を異種因子として検出する
ようにした異種因子検出方法。
【請求項２】
請求項１に記載の異種因子検出方法において、
前記学習用自己は、コンピュータシステムにおいて、論理的に発生しうる因子や、コンピュータシステムを異種因子の発生しない環境で一定時間運用して実際に発生した因子に基づいて作成されることを特徴とする異種因子検出方法。
【請求項３】
請求項１または２記載の異種因子検出方法において、
類似範囲を所定量だけ拡張すると学習用自己の因子を含むことになる検出器として定義された弱い検出器に属する入力因子を上記最終判定を行なう必要のある入力因子として判定するようにした異種因子検出方法。
【請求項４】
請求項３記載の異種因子検出方法において、
上記弱い検出器の所定外周類似範囲に属する入力因子を上記最終判定を行なう必要のある入力因子として判定するようにした異種因子検出方法。
【請求項５】
請求項３または４記載の異種因子検出方法において、
２以上の上記弱い検出器に同時に属する入力因子を上記最終判定を行なう必要のない入力因子として判定するようにした異種因子検出方法。
【請求項６】
請求項１乃至５いずれか記載の異種因子検出方法において、
学習用自己に類似関係においてより近い非自己因子に基づいて生成される検出器の類似範囲をより狭くなるようにした異種因子検出方法。
【請求項７】
請求項６記載の異種因子検出方法において、
上記非自己因子に対して予め定めた最大類似範囲から徐々にその類似範囲を狭めてその類似範囲に学習用自己の因子が含まれなくなったときに、当該非自己因子の類似範囲で定められる検出器が生成されるようにした異種因子検出方法。
【請求項８】
請求項１乃至７記載の異種因子検出方法において、
異種因子であると判定された入力因子の所定類似範囲にて定義される検出器を生成するようにした異種因子検出方法。
【請求項９】
請求項２記載の異種因子検出方法において、
上記第一の免疫機能ステップにて異種因子であると判定された入力因子の所定類似範囲にて定義される検出器を生成するようにした異種因子検出方法。
【請求項１０】
請求項１乃至９いずれか記載の異種因子検出方法において、
当該コンピュータシステムで正当なものとして扱うべき因子の離散的な集合に対して離散周波数変換の手法により低周波領域を取り出し、その低周波領域にて定まる範囲を上記学習用自己とするようにした異種因子検出方法。
【請求項１１】
コンピュータシステムに入力された因子から当該コンピュータシステムにおいて正当なものとして扱うべきでない異種因子を検出する異種因子検出システムにおいて、
コンピュータシステムに入力された入力因子と予め登録された当該コンピュータシステムにて正当なものとして扱われる因子以外の既知の異種因子とを比較し、その比較結果に基づいて当該入力因子が異種因子であるか否かを判定する第一の免疫機能部と、
該第一の免疫機能部にて異種因子でないと判定された入力因子を更に上記登録された異種因子以外の異種因子であるか否かを判定する第二の免疫機能部と
を有し、
該第二の免疫機能部は、当該コンピュータシステムで正当なものとして扱うべき因子の集合として定められた学習用自己に基づいて、当該正当なものとして扱うべき因子の集合となる真の自己以外の非自己因子の所定類似範囲にて定義される非自己を検出するための検出器を生成し、生成した検出器に対して、類似範囲を所定量だけ拡張したとしても前記学習用自己のいずれの因子に含まれることのない強い検出器と、類似範囲を所定量だけ拡張すると前記学習用自己の一部の因子が含まれる弱い検出器であるかを識別する情報を付加する非自己検出器生成手段と、
前記第一の免疫機能部にて異種因子でないと判定された入力因子が上記非自己検出器生成手段にて生成された検出器のいずれかに属するか否かを判定する非自己候補判定手段と、
該非自己候補判定手段にていずれかの検出器に属すると判定された入力因子について当該コンピュータシステムにて正当なものとして扱える因子であるか否かの最終判定を行う必要があるか否かを、いずれかの検出器に属する判定された入力因子が前記強い検出器に属するか前記弱い検出器に属するかに基づいて判定する補助判定手段と
を有し、
該補助判定手段にて上記最終判定を行なう必要がないと判定された入力因子を異種因子として検出するようにした異種因子検出システム。
【請求項１２】
請求項１１に記載の異種因子検出システムにおいて、
前記学習用自己は、コンピュータシステムにおいて、論理的に発生しうる因子や、コンピュータシステムを異種因子の発生しない環境で一定時間運用して実際に発生した因子に基づいて作成されることを特徴とする異種因子検出システム。
【請求項１３】
請求項１１または１２記載の異種因子検出システムにおいて、
上記補助判定手段は、類似範囲を所定量だけ拡張すると学習用自己の因子を含むことになる検出器として定義された弱い検出器に属する入力因子を上記最終判定を行なう必要のある入力因子として判定するようにした異種因子検出システム。
【請求項１４】
請求項１３記載の異種因子検出システムにおいて、
上記補助判定手段は、上記弱い検出器の所定外周類似範囲に属する入力因子を上記最終判定を行なう必要のある入力因子として判定するようにした異種因子検出システム。
【請求項１５】
請求項１３または１４記載の異種因子検出方法において、
上記補助判定手段は２以上の上記弱い検出器に同時に属する入力因子を上記最終判定を行なう必要のない入力因子として判定するようにした異種因子検出システム。
【請求項１６】
請求項１１乃至１５いずれか記載の異種因子検出システムにおいて、
上記非自己検出器生成手段は、学習用自己に類似関係においてより近い非自己因子に基づいて生成される検出器の類似範囲をより狭くなるようにした異種因子検出システム。
【請求項１７】
請求項１６載の異種因子検出システムにおいて、
上記非自己検出器生成手段は、上記非自己因子に対して予め定めた最大類似範囲から徐々にその類似範囲を狭めてその類似範囲に学習用自己の因子が含まれなくなったときに、当該非自己因子の類似範囲で定められる検出器を生成するようにした異種因子検出システム。
【請求項１８】
請求項１１乃至１７記載の異種因子検出システムにおいて、
異種因子であると判定された入力因子の所定類似範囲にて定義される検出器を生成して保存する検出器記憶手段を有する異種因子検出システム。
【請求項１９】
請求項１２記載の異種因子検出システムにおいて、
上記第一の免疫機能ステップにて異種因子であると判定された入力因子の所定類似範囲にて定義される検出器を生成して保存する検出器記憶手段
を有する異種因子検出システム。
【請求項２０】
請求項１１乃至１９いずれか記載の異種因子検出システムにおいて、
当該コンピュータシステムで正当なものとして扱うべき因子の離散的な集合に対して離散周波数変換の手法により低周波領域を取り出し、その低周波領域にて定まる範囲を上記学習用自己とするようにした異種因子検出システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、コンピュータのセキュリティシステム等に適用できる異種因子検出システムに係り、詳しくは、生物の免疫機能を模擬したシステムを適用してシステムに侵入した異種因子を検出するようにした異種因子検出システムに関する。
【０００２】
【従来の技術】
現在、安全なネットワーク運営のために情報セキュリティシステムの利用は必須である。その実現のために利用される技術は大きく二種類に分類される。その１つは不正アクセスを防ぐ技術であり、もう１つは不正アクセスを検出する技術である。不正アクセスを防ぐ技術として暗号技術や認証技術がある。これらの技術に基づいた不正アクセスに対する安全性は数学的な論理に裏付けられており、そのような技術が正しく実現された場合、不正アクセスは極めて困難なものとなる。
【０００３】
しかし、実際には暗号化ソフトウエアやファイヤーウォールなどの実装の不完全性を利用した攻撃がしばしば行なわれており、その対応は極めて重要なものとなっている。この対応として不正アクセスを検出する技術が強く求められているのが現状である。ネットワークに侵入した攻撃者と正規利用者の識別は難しく、侵入者のみを効率的に検出することは非常に困難である。不正アクセスした者（侵入者）を検出する技術はＩＤＳ（Intrusion Detection System：侵入者検出システム）と総称され、さまざまな手法の検討が行なわれている。現在実際に利用されているＩＤＳの多くにおいては、侵入者の行動として想定されるものを予め登録しておき、この登録された行動と同じ行動をとる侵入者を検出するようにしている。
【０００４】
しかし、従来のＩＤＳにおいては、全く想定されていなかった行動に対処することはできないためその機能は十分であるとはいえない。実際、新たなウィルスプログラムは日々開発されており、従来のＩＤＳがそれらに対応することは非常に困難である。そのため未知の攻撃をも検出可能なＩＤＳが強く求められている。このような要求を満足するための有用な手法の１つとして生物の免疫機能を模倣してコンピュータシステムに進入した攻撃者からのアクセス、ウィルスなどの異種因子を検出するようにした異種因子検出システムが検討されている。
【０００５】
従来、このような生物の免疫機能を模倣た異種因子検出システムをForrestが提案している。このシステムでは、生物のＴ細胞が胸腺内で自己を学習した後に体内の他の部分における非自己（自己以外）を検出するという基本的な免疫機能を模倣したものである。具体的には、コンピュータシステムにて通常発生しうるアクセス、処理、データ等の因子（自己）を学習してその自己以外の異種因子（非自己）を検出するための上記Ｔ細胞に対応した検出器（Detector）が生成される。そして、システムに入力された因子とその検出器（Detector）とのマッチング判定の結果によりその入力された因子が自己であるか非自己（不正アクセス等）であるかを判定するようにしている。
【０００６】
【発明が解決しようとする課題】
しかし、上記のような生物の免疫機能を模倣した異種因子検出システムでは、生物の免疫機能を部分的に模擬した構成になっているものの、最終的な結果を人間が判断しなければならい場合が多い。また、扱うデータが多く、多大なメモリ容量を必要とすると共に高速な処理が困難であった。
【０００７】
そこで、本発明の課題は、生物の免疫機能を模倣し、より効率的な処理が可能となる異種因子検出方法及びシステムを提供することである。
【０００８】
【課題を解決するための手段】
上記課題を解決するため、本発明によれば、コンピュータシステムに入力された因子から当該コンピュータシステムにおいて正当なものとして扱うべきでない異種因子を検出するための異種因子検出方法において、当該コンピュータシステムで正当なものとして扱うべき因子の集合として定められた学習用自己に基づいて、当該正当なものとして扱うべき因子の集合となる真の自己以外の非自己と見込まれる非自己因子の所定類似範囲にて定義される検出器を生成し、入力因子が上記生成されたいずれかの検出器に属するか否かを判定し、いずれかの検出器に属すると判定された入力因子について当該コンピュータシステムにて正当なものとして扱える因子か否かの最終判定を行なう必要があるか否かを所定の基準に従って判定し、上記最終判定を行なう必要がないと判定された入力因子を異種因子として検出するように構成される。
【０００９】
このような異種因子検出方法おいて、学習用自己に基づいて非自己因子の所定類似範囲にて定義される検出器の生成すること、入力因子が検出器のいずれかに属するか否かを判定すること、その判定結果に基づいて異種因子を検出することは、生物の免疫機能を模倣して実現することができる。そして、このような異種因子検出方法によれば、非自己検出器生成手段にて生成された検出器に属する入力因子の全てを異種因子として判定することなく、あるいは、その全てについて最終判定を行なうこともない。検出器のいずれかに属すると判定された入力因子のうち所定の基準に従ってその最終判定を行なう必要があると判定された入力因子についてだけ最終判定がなされるようになる。
【００１０】
このため、検出器に属する入力因子のうち真の自己の因子（当該コンピュータシステムで正当に扱われるべき因子）として疑わしいものだけを最終判定の対象とすることが可能となり、検出器に属するそれ以外の入力因子は自動的に非自己、即ち異種因子として検出される。
【００１１】
上記最終判定の手法については、特に限定されない。当該コンピュータシステムの管理者によって最終判定がなされるようにしても、また、他のシステム（アプリケーション等）によって最終判定がなされるようにしてもよい。
【００１２】
また、上記課題を解決するため、本発明によれば、コンピュータシステムに入力された因子から当該コンピュータシステムにおいて正当なものとして扱うべきでない異種因子を検出するための異種因子検出方法において、入力因子と予め登録された既知の異種因子とを比較し、その比較結果に基づいて当該入力因子が異種因子であるか否かを判定する第一の免疫機能ステップと、該第一の免疫機能ステップにて異種因子でないと判定された入力因子を更に上記登録された異種因子以外の異種因子であるか否かを判定する第二の免疫機能ステップとを有し、該第二の免疫機能ステップは、当該コンピュータシステムで正当なものとして扱うべき因子の集合として定められた学習用自己に基づいて、当該正当なものとして扱うべき因子の集合となる真の自己以外の非自己と見込まれる非自己因子の所定類似範囲にて定義される検出器を生成し、入力因子が上記生成された検出器のいずれかに属するか否かを判定し、いずれかの検出器に属すると判定された入力因子について当該コンピュータシステムにて正当なものとして扱える因子であるか否かの最終判定を行う必要があるか否かを所定の基準に従って判定し、上記最終判定を行なう必要がないと判定された入力因子を異種因子として検出するように構成される。
【００１３】
このような異種因子検出方法では、第一の免疫機能ステップにて予め登録された異種因子に基づいて異種因子でないと判定された入力因子だけが第二の免疫機能ステップでの処理の対象になる。このため第二の免疫機能ステップでの処理対象となる因子が削減される。第二の免疫機能ステップは、上述した異種因子検出方法（請求項１）と同様の構成となっており、学習用自己に基づいた検出器の生成、所定の基準に従った最終判定を行なう必要があるか否かの判定など処理量が比較的多くなる。このような第二の免疫機能ステップでの処理対象が上記第一の免疫機能ステップでの処理により削減されることから、より効率的な処理が可能となる。
【００１４】
学習用自己に類似関係において近接する検出器に属する入力因子は、真の自己の因子として疑わしいものと見なされ得る。このような観点から、本発明によれば、上記各異種因子検出方法において、類似範囲を所定量だけ拡張すると学習用自己の因子を含むことになる検出器として定義された弱い検出器に属する入力因子を上記最終判定を行なう必要のある入力因子として判定するように構成することができる。
【００１５】
更に、上記のように学習用自己と類似関係において近接する弱い検出器でも、その中心から離れた外周類似範囲はより学習用自己に近接しうる範囲である。このため、当該弱い検出器の外周類似範囲に属する入力因子は、真の自己の因子として更に疑わしいものと見なされ得る。このような状況を考慮して更に上記最終判定を行なう機会を低減できるようにするという観点から、本発明によれば、上記異種因子検出方法において、上記弱い検出器の所定外周類似範囲に属する入力因子を上記最終判定を行なう必要のある入力因子として判定するように構成することができる。
【００１６】
各検出器は非自己を検出するためのものであり、学習用自己には含まれない。このため、上記弱い検出器は学習用自己の外縁に沿って形成されることになる。このような状況で、２つ以上の弱い検出器の重なる部分に真の自己の因子が含まれる可能性は、弱い検出器の学習用自己の外縁に近接する部分に真の自己の因子が含まれる可能性より低い。このような状況を考慮して、更に、最終判定を行なう必要のある入力因子を低減できるようにするという観点から、本発明によれば、上記各異種因子検出方法において、２以上の上記弱い検出器に同時に属する入力因子を上記最終判定を行なう必要のない入力因子として判定するように構成することができる。
【００１７】
学習用自己の外縁に沿ってより密に検出器を生成することができるという観点から、本発明によれば、上記各異種因子検出方法において、学習用自己に類似関係においてより近い非自己因子に基づいて生成される検出器の類似範囲をより狭くなるように構成することができる。
【００１８】
そのような検出器を生成する具体的な手法を提供するという観点から、本発明によれば、上記異種因子検出方法において、上記非自己因子に対して予め定めた最大類似範囲から徐々にその類似範囲を狭めてその類似範囲に学習用自己の因子が含まれなくなったときに、当該非自己因子の類似範囲で定められる検出器が生成されるように構成することができる。
【００１９】
非自己となる入力因子をより効率的に判定できるという観点から、本発明によれば、上記各異種因子検出方法において、異種因子であると判定された入力因子の所定類似範囲にて定義される検出器を生成するように構成することができる。
【００２０】
また、同様の観点から、本発明によれば、上記異種因子検出方法において、上記第一の免疫機能ステップにて異種因子であると判定された入力因子の所定類似範囲にて定義される検出器を生成するように構成することができる。
【００２１】
より真の自己に近い学習用自己を効率的に生成することができるという観点から、本発明によれば、上記各異種因子検出方法において、当該コンピュータシステムで正当なものとして扱うべき因子の離散的な集合に対して離散周波数変換の手法により低周波領域を取り出し、その低周波領域にて定まる範囲を上記学習用自己とするように構成することができる。
【００２２】
更に、上記課題を解決するため、本発明によれば、コンピュータシステムに入力された因子から当該コンピュータシステムにおいて正当なものとして扱うべきでない異種因子を検出する異種因子検出システムにおいて、当該コンピュータシステムで正当なものとして扱うべき因子の集合として定められた学習用自己に基づいて、当該正当なものとして扱うべき因子の集合となる真の自己以外の非自己と見込まれる非自己因子の所定類似範囲にて定義される検出器を生成する非自己検出器生成手段と、入力因子が上記非自己検出器生成手段にて生成されたいずれかの検出器に属するか否かを判定する非自己候補判定手段と、該非自己候補判定手段にていずれかの検出器に属すると判定された入力因子について当該コンピュータシステムにて正当なものとして扱える因子か否かの最終判定を行なう必要があるか否かを所定の基準に従って判定する補助判定手段とを有し、該補助判定手段にて上記最終判定を行なう必要がないと判定された入力因子を異種因子として検出するように構成される。
【００２３】
更に、上記課題を解決するため、本発明によれば、コンピュータシステムに入力された因子から当該コンピュータシステムにおいて正当なものとして扱うべきでない異種因子を検出する異種因子検出システムにおいて、入力因子と予め登録された既知の異種因子とを比較し、その比較結果に基づいて当該入力因子が異種因子であるか否かを判定する第一の免疫機能部と、該第一の免疫機能部にて異種因子でないと判定された入力因子を更に上記登録された異種因子以外の異種因子であるか否かを判定する第二の免疫機能部とを有し、該第二の免疫機能部は、当該コンピュータシステムで正当なものとして扱うべき因子の集合として定められた学習用自己に基づいて、当該正当なものとして扱うべき因子の集合となる真の自己以外の非自己と見込まれる非自己因子の所定類似範囲にて定義される検出器を生成する非自己検出器生成手段と、入力因子が上記生非自己検出器生成手段にて成された検出器のいずれかに属するか否かを判定する非自己候補判定手段と、該非自己候補判定手段にていずれかの検出器に属すると判定された入力因子について当該コンピュータシステムにて正当なものとして扱える因子であるか否かの最終判定を行う必要があるか否かを所定の基準に従って判定する補助判定手段とを有し、該補助判定手段にて上記最終判定を行なう必要がないと判定された入力因子を異種因子として検出するように構成される。
【００２４】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて説明する。
【００２５】
本発明の実施の一形態に係る異種因子検出システムの機能構成は、例えば、図１に示すようになっている。このような機能構成となる異種因子検出システムは、コンピュータシステムにおいて実現される。この異種因子検出システムは、コンピュータシステムに入力さた因子から異種因子を検出する。ここで、因子とは、コンピュータシステムにて認識、処理されうる情報であり、アクセス、入力操作パターン、ファイル、データ、プログラム等を含む（以下、同様）。また、異種因子とはコンピュータシステムにて正当なものとして扱われうる因子以外の因子をいう（以下、同様）。また、コンピュータシステムにて正当なものとして扱われうる因子を免疫機能にて識別される自己と称し、異種因子を免疫機能にて識別される非自己と称す。
【００２６】
図１において、この異種因子検出システムは、バリア部１０、常習犯データ検出部１２及び常習犯データベース１３を有している。バリア部１０は、例えば、暗号化技術や認証技術によってコンピュータシステムに入力されたユーザアクセスやデータ等（入力因子）が当該コンピュータシステムにて正当であると認められたものであるか否かを判定する。常習犯データベース１３には、予め知られたウィルスなどの異種因子が登録されている。常習犯データ検出部１２は、バリア部１０にて異種因子であるとして排除されなかった入力因子が常習犯データベース１３に登録された異種因子に一致するか否かを判定する。
【００２７】
上記バリア部１０にて異種因子として排除された入力因子及び常習犯データ検出部１２にて異種因子であると判定された入力因子は、それぞれ非自己処理部１４、１５にて、例えば、消去、管理者への報告などの処理がなされる。
【００２８】
上記バリア部１０は、生物の免疫機能における皮膚等の防御機能（Physical Barrier）に対応し、常習犯データ検出部１２が先天性免疫機能（Innate Immune System）に対応する。
【００２９】
上記のようにバリア部１０で異種因子として排除されず、かつ常習犯データ検出部１２にて異種因子に一致しなかった入力因子は、更に適応型免疫機能系（Adaptive Immune System）２０に供給される。この適応型免疫機能系２０は、上記常習犯データベース１３に登録された異種因子以外の異種因子、即ち未知の異種因子がコンピュータシステムに侵入した場合にその異種因子（非自己）を検出する機能を有する。
【００３０】
上記適応型免疫機能系２０は、非自己検出器生成部２１、学習用自己データベース２２、判定部２３、補助判定部２４、非自己処理部２５、自己処理部２６及びメモリセル部２７を有している。非自己検出器生成部２１は、生物の免疫機能における胸腺内での自己学習に基づいた未成熟Ｔ細胞生成機能（Immature T-Cell, Thymus education）に対応したもので、学習用自己データベース２２に格納された学習用自己データを用いて非自己を検出するための検出器（Detector）を生成する。この検出器（Detector）が生物の免疫機能におけるＴ細胞に対応付けられる。上記学習用自己データは、例えば、コンピュータシステムにおいて論理的に発生しうる因子（アクセス、入力操作パターン、ファイル、データ、プログラム等）や、コンピュータシステムを異種因子の侵入しない環境で一定期間運用（学習）して実際に発生した因子に基づいて作成される。
【００３１】
上記非自己検出器生成部２１は、学習用自己を参照してランダムに発生されるその学習用自己の因子以外の非自己因子（例えば、ビット列にて表される）及びその非自己因子と所定の類似関係（例えば、当該ビット列と異なるビットが所定数以下となる関係）となる因子の集合として表される検出器（Detector）を生成する。この場合、図２に示すように、学習用自己Ｓｅと全く重ならない検出器Ｄと学習用自己と一部が重なる検出器ＤＣとが生成されるが、この学習用自己と重なる検出器ＤＣは消去され、結果として、学習用自己Ｓｅと全く重ならない検出器Ｄが生成されることになる。
【００３２】
図２において、全ての学習用自己の集合Ｓｅ、全ての非自己の集合Ｎ、全体の集合Ｐ、及び全ての自己の集合Ｓ（実際には不明）との関係は、
Ｓｅ⊂Ｓ
Ｐ＝Ｓ∪Ｎ
Ｓ∩Ｎ＝φ
となる。
【００３３】
上記類似関係は次のように定義された類似度ｄにて表される。
【００３４】
ｄ：Ｐ×Ｐ→［０，∞）
ｘ、ｙ∈Ｐ
ｄ（ｘ，ｙ）が予め定めた規則に従ったｘとｙとの類似度を表す。
【００３５】
例えば、Ｐ＝｛０、１｝ｋ（０と１のビット列）において、
ｄ（ｘ，ｙ）＝（ｘとｙとの排他的論理和EORの結果において１が立っている数）とすることができる。この場合、ｘとｙで同じ値のビットが多くあるほど類似度ｄ（ｘ、ｙ）の値は小さくなって類似の程度が大きいことを表す。
【００３６】
従って、上記検出器（Detector）は、ランダムに発生される非自己因子ｐ（∈Ｐ）及びこの非自己因子ｐと所定類似範囲ｒ（例えば、異なるビット数がｒ個以下）に属する因子群として定められ、ｄ（ｐ，ｘ）≦ｒとなる因子ｘ（∈Ｐ）の集合となる。即ち、検出器Ｄは、図２に示すように半径ｒの円として表される。
【００３７】
上記非自己検出器生成部２１は、更に、生成された検出器に対して次の２種類の検出器ＤＳ、Ｄｗのいずれかであるかを識別するための情報を付加する。
【００３８】
図３に示すように、ｄ（ｐ，ｘ）≦ｒ＝ｒ２にて定義される検出器Ｄの非自己因子ｐ（∈Ｐ）と学習用自己の集合Ｓｅとの関係が、
∀ｓｅ∈Ｓｅ、ｄ（ｐ，ｓｅ）＞ｒ３（＞ｒ２）
であれば、当該検出器Ｄが強い検出器Ｄｓとして識別される。即ち、この強い検出器Ｄｓは、類似範囲ｒ２をｒ３まで広げたとしても（図３の点線参照）学習用自己Ｓｅのいずれの因子ｓｅも含まれることのない検出器である。従って、入力因子がこの強い検出器Ｄｓ（ｄ（ｐ、ｘ）≦ｒ２）に属する場合、その入力因子は高い信頼性をもって非自己であると判定し得る。
【００３９】
また、上記検出器Ｄの非自己因子ｐ（∈Ｐ）と学習用自己の集合Ｓｅとの関係が、
∃ｓｅ∈Ｓｅ、ｒ３≧ｄ（ｐ，ｓｅ）
かつ、∀ｓｅ∈Ｓｅ、ｄ（ｐ，ｓｅ）＞ｒ２
であれば、当該検出器Ｄが弱い検出器Ｄｗとして識別される。即ち、弱い検出器Ｄｗは、その類似範囲ｒ２には学習用自己Ｓｅのいずれの因子ｓｅも含まれないが、その類似範囲をｒ３まで広げると（図３の点線参照）学習用自己Ｓｅの一部の因子ｓｅが含まれてしまう検出器である。従って、入力因子がこの弱い検出器Ｄｗ（ｄ（ｐ，ｘ）≦ｒ２）に属する場合であっても、その弱い検出器Ｄｗが部分的に学習用自己Ｓｅと類似関係において接近しているので、必ずしも高い信頼性をもって入力因子が非自己であるとは判定し得ない。
【００４０】
上記のようにして非自己検出器生成部２１にて生成される強い検出器Ｄｗ及び弱い検出器Ｄｓは判定部２３に供給される。
【００４１】
判定部２３は、生物の免疫機能における成熟Ｔ細胞による非自己検出機能（Mature T-Cell, Negative Detector）に対応し、入力因子ｉ（∈Ｐ）が上記のように供給される検出器Ｄｓ、Ｄｗのいずれかに属するか否か、更に、弱い検出右記Ｄｗに属する場合にはそのどの範囲に属するかを判定する。具体的には、次のようにしてなされる。
【００４２】
入力因子ｉ（∈Ｐ）
Ｄｓ＝｛全ての強い検出器の集合｝
Ｄｗ＝｛全ての弱い検出器の集合｝とした場合、
∃ｄｓ∈Ｄｓ、ｄ（ｉ，ｄｓ）≦ｒ２
であれば、入力因子ｉは強い検出器Ｄｓのいずれかにマッチしたとして、当該入力因子ｉが強い検出器Ｄｓのいずれかに属していると判定される。また、
∃ｄｗ∈Ｄｗ、ｄ（ｉ，ｄｗ）≦ｒ１（＜ｒ２）
であれば、入力因子ｉは弱い検出器Ｄｗの類似範囲ｒ１にマッチしたとして、当該入力因子ｉが弱い検出器Ｄｗのいずれかにおける類似範囲ｒ１（＜ｒ２）に属しているものであると判定される。この弱い検出器Ｄｗの類似範囲ｒ１は、図３に示すように当該弱い検出器Ｄｗの外縁を決める類似範囲ｒ２より狭い範囲となる。従って、この類似範囲ｒ１の各因子は、類似関係において学習用自己Ｓｅから所定量（類似範囲ｒ２と類似範囲ｒ１との差に対応）より遠くに位置する。
【００４３】
更に、
∃ｄｗ∈Ｄｗ、ｒ１＜ｄ（ｉ，ｄｗ）≦ｒ２
かつ、∀ｄｓ∈Ｄｓ、ｄ（ｉ，ｄｓ）＞ｒ２
かつ、∀ｄｗ∈Ｄｗ、ｄ（ｉ，ｄｗ）＞ｒ１
であれば、入力因子ｉは、弱い検出器Ｄｗのいずれかにおける類似範囲ｒ１と類似範囲ｒ２との間の範囲（外周類似範囲）であって、かつ、いずれの強い検出器Ｄｓ及びいずれの弱い検出器Ｄｗにおける類似範囲ｒ１でない範囲（以下、グレーゾーンＺＧという）に属しているものであると判定される。このグレイゾーンＺＧの各因子は、類似関係において学習用自己Ｓｅに対して所定量（類似範囲ｒ２と類似範囲ｒ３との差に対応）より近くに位置し得る。
【００４４】
一方、入力因子ｉが上記強い検出器Ｄｓ及び弱い検出器Ｄｗとの関係のいずれも満足しない場合には、当該入力因子ｉは、強い検出器Ｄｓ及び弱い検出器Ｄｗのいずれにも属していないと判定される。このように判定された入力因子ｉは、判定部２３によって当該コンピュータシステムにて正当に扱われるべき因子（自己）として判定される。
【００４５】
入力因子ｉが検出器Ｄｓ、Ｄｗのいずれかに属している場合、判定部２３は、その入力因子ｉを非自己の候補として補助判定部２４に報告する（シグナル１）。このとき、その入力因子ｉが上記弱い検出器Ｄｗのいずれかにて定まるグレイゾーンＺＧに属している場合、その入力因子ｉの報告と共にその弱い検出器Ｄｗにて定められるグレイゾーンＺＧに属する旨の情報が補助判定部２４に報告される。
【００４６】
補助判定部２４は、生物の免疫機能における共同刺激機能（Co-stimulation）に対応し、上記のように非自己の候補、即ち、異種因子の候補として判定部２３から報告された入力因子ｉを本当に非自己（異種因子）としてよいか否かの最終判定を行なう必要があるか否かを所定の基準（詳細は後述する）に基づいて判定する。上記最終判定を行う必要があると判定された入力因子ｉについては、例えば、当該コンピュータシステムの管理者に当該入力因子ｉについての報告（シグナル２）がなされ、管理者により最終判定が行なわれる。一方、上記最終判定を行なう必要がないと判定された入力因子ｉは、非自己、即ち異種因子として検出される。
【００４７】
上記のように異種因子として検出された入力因子ｉ及び上記最終判定により非自己（異種因子）として判定された入力因子ｉは、非自己処理部２５により、当該コンピュータシステムから消去等される。一方、上記最終判定の結果、異種因子として判定されなかった入力因子ｉは、例えば、管理者の操作に基づいて自己処理部２６にて当該コンピュータシステムにて正当に扱われるべき因子として所定の処理がなされる。
【００４８】
上記補助判定部２４において、非自己の候補として判定部２３から報告された入力因子ｉを本当に非自己（異種因子）としてよいか否かの最終判定を行なう必要があるか否かの上記判定は、例えば、次のようにしてなされる。
【００４９】
上述したように非自己の候補として報告された入力因子が強い検出器Ｄｓに属する場合、その入力因子は高い信頼性をもって非自己であると判定し得る。従って、入力因子ｉが強い検出器Ｄｓに属する場合、上記最終判定を行なう必要がないと判定され、当該入力因子ｉは異種因子として検出される。
【００５０】
また、入力因子が弱い検出器Ｄｗに属する場合、その弱い検出器Ｄｗが部分的に学習用自己Ｓｅと類似関係において接近しているので、必ずしも高い信頼性をもって入力因子が非自己であるとは判定し得ない。しかし、この弱い検出器Ｄｗの外縁を決める類似範囲ｒ２より狭くなる類似範囲ｒ１の各因子は、類似関係において学習用自己Ｓｅから所定量（類似範囲ｒ２と類似範囲ｒ１との差に対応）より遠くに位置することから、弱い検出器Ｄｗの類似範囲ｒ１に属する入力因子は、比較的高い信頼性をもって非自己であると判定し得る。このため、入力因子ｉが弱い検出器Ｄｗの類似範囲ｒ１に属する場合、上記最終判定を行なう必要がないと判定され、当該入力因子ｉは異種因子として検出される。
【００５１】
上記のような判定アルゴリズムにより、非自己の候補として報告された入力因子ｉに対してグレイゾーンＺＧに属する旨の報告がなされていなければ、当該入力因子ｉは上記最終判定を行なう必要がないと判定され、非自己として見なされる（異種因子として検出される）。
【００５２】
上記グレイゾーンＺＧに属する旨の報告のなされた入力因子ｉについては、次のようにして上記最終判定を必要とするか否かの判定が行なわれる。
【００５３】
弱い検出器Ｄｗは、前述したように、類似範囲ｒ２には学習用自己Ｓｅの因子は含まないものの、その類似範囲をｒ３まで広げると学習用自己Ｓｅの因子を含むものである（図３参照）。このため、ランダムに発生される非自己因子に対して生成される各弱い検出器Ｄｗ１、Ｄｗ２、Ｄｗ３は、図４に示すように、類似関係において学習用自己Ｓｅの外縁に隣接して配列されるようになる。
【００５４】
上記学習用自己Ｓｅの範囲は、当該コンピュータシステムにて正当に扱い得る因子の集合となる真の自己Ｓ（実際には不明）の範囲より広くなることはない（図４において二点鎖線参照）。従って、上記学習用自己Ｓｅの外縁に隣接して配列される各弱い検出器Ｄｗ１、Ｄｗ２、Ｄｗ３によって定まる各グレイゾーンＺＧ１、ＺＧ２、ＺＧ３は、真の自己Ｓの因子を含み得る。このことから、各弱い検出器Ｄｗ１、Ｄｗ２、Ｄｗ３によって定まる各グレイゾーンＺＧ１、ＺＧ２、ＺＧ３の特に学習用自己Ｓｅに類似関係において近接する領域（図４における斜線部分参照）は、非自己の領域として見なすことができない。
【００５５】
一方、各グレイゾーンＺＧ１、ＺＧ２、ＺＧ３の上記領域（図４における斜線部分参照）以外の領域（例えば、図４におけるドット部分参照）の因子は、弱い検出器Ｄｗの類似範囲ｒ１と同様に、比較的高い信頼性をもって非自己であると判定し得る。
【００５６】
このような状況を考慮して、上記判定部２３からの報告（シグナル１）に基づいて、入力因子ｉが２つ以上の弱い検出器Ｄｗで定まるグレイゾーンＺＧに同時に属するか（図４におけるドット領域参照）、または、単一の弱い検出器Ｄｗにて定まるグレイゾーンＺＧに属するか（図４における斜線部分参照）が判定される。そして、入力因子ｉが２つ以上の弱い検出器Ｄｗで定まるグレイゾーンに同時に属すると判定されると（図４におけるドット領域に属すると判定されると）、その入力因子ｉについて上記最終判定を行なう必要がないと判定される。即ち、当該入力因子ｉは非自己として見なされる。一方、入力因子ｉが単一の弱い検出器Ｄｗにて定まるグレイゾーンＺＧに属する場合（図４における斜線部分に属すると判定されると）、その入力因子ｉについて上記最終判定を行なう必要があると判定される。
【００５７】
非自己検出器生成部２１にて生成される検出器の数が膨大になることから、上記適応型免疫機能系２０での処理は、一般に膨大なものとなる。しかし、上述したような異種因子検出システムでは、常習犯データ検出部１２にて異種因子（非自己）として排除されなかった入力因子だけに対して上記適応型免疫機能系２０での処理がなされるので、種々の因子がコンピュータシステムに入力されても、実際に適応型免機能系２０での処理の対象となる入力因子の数が低減されるので、当該異種因子検出システムでの総合的な処理時間を短縮することができる。
【００５８】
また、上記判定部２３にて非自己の候補として報告された入力因子のうち強い検出器Ｄｓ、弱い検出器Ｄｗの類似範囲ｒ１及び２以上の弱い検出器Ｄｗにて定まるグレイゾーンＺＧのいずれかに属する入力因子は自動的に非自己、即ち、異種因子として検出され、単一の弱い検出器Ｄｗにて定まるグレイゾーンＺＧに属する入力因子だけが本当に非自己（異種因子）としてよいか否かの最終判定を行なう必要があるとの判定がなされる。このため、当該最終判定を行なう機会が少なくなり、例えば、この最終判定を行なう管理者の負担が低減される。
【００５９】
更に、上記適応型免疫機能系２０におけるメモリセル部２７は、生物の免疫機能における免疫記憶機能（Memory Cell）に対応し、上記のようにして補助判定部２４にて非自己（異種因子）であると判定（上記最終判定による判定も含む）された入力因子ｉ及び上記常習犯データ検出部１２にて非自己であると判定された入力因子ｉに基づいて検出器を生成して記憶する。このようにメモリセル部２７に記憶された検出器は、上記判定部２３にて上記非自己検出器生成部２１にて生成された検出器Ｄと同様に使用される。
【００６０】
このようにメモリセル部２７に記憶された検出器は確実に非自己である因子に基づいて生成されたものであることから、このような検出器を使用することにより、入力因子ｉをより短時間で非自己（異種因子）であることを検出できるようになる。
【００６１】
上述した例では、単一の弱い検出器Ｄｗにて定まるグレイゾーンＺＧに入力因子ｉが属する場合に、その入力因子ｉが本当に非自己の因子としてよいか否かの最終判定を行なう必要があると判定されるが、入力因子ｉが単一及び複数を問わずにいずれかの弱い検出器Ｄｗにて定まるグレイゾーンＺＧに属する場合に、その入力因子ｉについて上記最終判定を行なう必要があると判定されるようにすることもできる。
【００６２】
更に、特に、グレイゾーンＺＧを定めることなく、学習用自己Ｓｅの外縁に近接する弱い検出器Ｄｗに属する入力因子ｉに対して上記最終判定を行なう必要があると判定されるようにしてもよい。この場合、２つ以上の弱い検出器Ｄｗに属する入力因子ｉに対しては上記最終判定を行なうことなく、非自己因子（異種因子）であるとの判定を行なうこともできる。
【００６３】
これらの場合であっても、最終判定を行なう機会をある程度低減させることが可能となる。
【００６４】
ところで、学習用自己Ｓｅを規定する範囲は、上述したようにコンピュータシステムにおいて経験した因子ｓｅ（アクセス、入力操作パターン、ファイル、データ、プログラム等）や論理的に発生しうる因子ｓｅにて基づいて定められる。そのため、その因子ｓｅの集合の外縁が図２に示すように入り組んだ構成になりうる。特に図２における領域Ｈは、ホールと呼ばれ、上記のように一定の類似範囲ｒにて定義される検出器Ｄではカバーすることができない。
【００６５】
非自己検出器生成部２１は、学習用自己Ｓｅの外縁に沿って位置する検出器Ｄの類似範囲を狭くすることで、上記領域Ｈをもカバーできる検出器Ｄを生成することができるようになる。このような検出器の生成手順を図５を参照して説明する。
【００６６】
最大値ｒｍａｘ、最小値ｒｍｉｎ及びｒｄｉがシステムパラメータとして予め設定される。そして、学習用自己Ｓｅに基づいて非自己因子ｐ（∈Ｐ）がランダムに発生される。
【００６７】
この状態において、以下のステップ１〜５に従って検出器Ｄが生成される。
【００６８】
ステップ１：
類似範囲ｒが最大値ｒｍａｘに設定される（ｒ＝ｒｍａｘ）。
【００６９】
ステップ２：
上記非自己因子ｐに対して、
∀ｓｅ∈Ｓｅ、ｄ（ｐ，ｓｅ）＞ｒであるか否かが判定される。
【００７０】
ステップ３
上記条件が満足される場合、
ｄ（ｐ，ｘ）≦ｒ
で定義される検出器Ｄが生成される。
【００７１】
ステップ４：
上記条件が満足されない場合、
ｒ＝ｒ−ｒｄｉとし、ｒ＜ｒｍｉｎであるか否かが判定される。
【００７２】
ステップ５：
上記条件が満足されない場合、上記ステップ２の処理に戻る。
【００７３】
一方、上記条件が満足される場合、処理は終了する。
【００７４】
上記のような手順に従って処理がなされる結果、図５に示すように、類似範囲ｒが最大値ｒｍａｘとなる検出器がまず生成され、その検出器Ｄに学習用自己Ｓｅの因子が含まれる場合、その類似範囲ｒをｒｄｉずつ小さくして（ｒ−ｒｄｉ）、学習用自己Ｓｅの因子を含まなくなったときの類似範囲ｒで定義される検出器Ｄが最終的に生成される。なお、上記のように類似範囲ｒをｒｄｉずつ小さくして行く過程で、その類似範囲ｒが最小値ｒｍｉｎよりも小さくなってしまうと、その非自己因子ｐについての検出器Ｄは生成されない。
【００７５】
ランダムに発生する非自己因子ｐついて上記のように検出器Ｄを生成するようにすると、学習用自己Ｓｅの外縁から類似関係においてｒｍａｘ以上離れた非自己因子ｐについての検出器Ｄの類似範囲ｒは最大値ｒｍａｘとなる。また、学習用自己Ｓｅの外縁から類似関係においてｒｍａｘより近づいた非自己因子ｐについての検出器Ｄの類似範囲ｒは、その非自己因子ｐが学習用自己Ｓｅの外縁により近接するほど小さくなる。その結果、学習用自己Ｓｅの外縁に沿って形成される検出器Ｄの類似範囲ｒが図５に示すようにより小さいものとなる。
【００７６】
このように学習用自己Ｓｅの外縁に沿って形成される検出器Ｄの類似範囲ｒが比較的小さくなることから、図２に示すように、学習用自己Ｓｅの外縁の入り組んだ部分（例えば、領域Ｈ）をカバーすることのできる検出器Ｄを生成することが可能となる。その結果、より検出精度の高い適応型免疫系２０を構築することが可能となる。
【００７７】
また、システムパラメータとなる上記最大値ｒｍａｘ、ｒｍｉｎ、ｒｄｉを適当に設定することにより、より少ない検出器Ｄにて精度の高い判定を行なうような適応型免疫系２０を実現できるようになる。この場合、検出器Ｄを保存するメモリ容量を低減させることが可能となる。
【００７８】
例えば、上記のように発生される検出器Ｄを用いて判定部２３では次のようにして入力因子ｉ（∈Ｐ）が非自己の候補であるか否かを判定することができる。
【００７９】
Ｄｍ×Ｒｍ：検出器の集合
∃（ｄｍ，ｒｍ）∈Ｄｍ×Ｒｍ  ｄ（ｉ，ｄｍ）≦ｒｍ
であれば、入力因子ｉを非自己の候補として判定することができる。
【００８０】
また、上記のような検出器Ｄを用いて上述したようなグレイゾーンＺＧを設定することも可能である。
【００８１】
即ち、ｒｄｖをシステムパラメータとして、
∃（ｄｍ，ｒｍ）∈Ｄｍ×Ｒｍ、ｄ（ｉ，ｄｍ）≦ｒｍ−ｒｄｖ
であれば、入力因子ｉは非自己の候補として判定される。
【００８２】
また、∀（ｄｍ，ｒｍ）∈Ｄｍ×Ｒｍ、ｄ（ｉ，ｄｍ）＞ｒｍ−ｒｄｖ
かつ、∃（ｄｍ，ｒｍ）∈Ｄｍ×Ｒｍ、ｄ（ｉ，ｄｍ）≦ｒｍ
であれば、入力因子ｉを非自己の候補であると共にグレイゾーンＺＧに属するものと判定することができる。
【００８３】
上記のような判定部２３にて非自己の候補として判定された入力因子ｉに対する補助判定部２４での処理は、当該入力因子ｉがグレイゾーンＺＧに属するか否かに基づいて前述したものと同様に行なうことができる。
【００８４】
上述したような適応型免疫機能系２０での異種因子の検出精度は、非自己検出器生成部２１での検出器Ｄの生成に用いられる学習用自己Ｓｅがいかに真の自己Ｓに近いものとなっているかに依存する。学習用自己Ｓｅは、前述したようにコンピュータシステムを運用する過程で実際に発生する因子（アクセス、入力操作パターン、ファイル、データ、プログラム等）に基づいて定められるものであるが、より真の自己Ｓに近い学習用自己Ｓｅを得るためには、コンピュータシステムでの運用時間を長くしなければならない。
【００８５】
そこで、より短時間により真の自己Ｓに近い学習用自己Ｓｅを作成するために、次のような処理を行なうと有効である。
【００８６】
例えば、コンピュータシステムを実際に運用して発生した因子を順次集計すると、例えば、図６（ａ）に示すようにそれら発生した因子の集合Ｓｅ（１）〜Ｓｅ（９）が離散的に作成される。このように離散的に作成された因子の集合Ｓｅ（１）〜Ｓｅ（９）に対して離散周波数変換の手法により低周波領域を抽出する処理を施す。すると、上記離散的に作成された因子の集合Ｓｅ（１）〜Ｓｅ（９）を囲む輪郭線Ｃが得られる。その結果、図６（ｂ）に示すように、この輪郭線Ｃを外縁とした学習用自己Ｓｅが定まる。
【００８７】
真の自己Ｓを構成する因子は一般には連続的に分布していると考えられる。そのため、上記のような処理により得られた因子の集合Ｓｅ（１）〜Ｓｅ（９）を囲む輪郭線Ｃは、真の自己Ｓの外縁に近いものとなりうる。即ち、真の自己Ｓに近い学習用自己Ｓｅを効率的に得ることができるようになる。
【００８８】
上記各例において、常習犯データ検出部１２が第一の免疫機能部に対応し、適応型免疫系２０が第二の免疫機能部に対応する。また、非自己検出器生成部２１が非自己検出器生成手段に対応し、判定部２３が非自己候補判定部に対応し、補助判定部２４が補助判定手段に対応する。
【００８９】
【発明の効果】
以上、説明したように、請求項１乃至２０記載の本願発明によれば、学習用自己に基づいて非自己因子の所定類似範囲にて定義される検出器を生成すること、入力因子が検出器のいずれかに属するか否かを判定すること、その判定結果に基づいて異種因子を検出することは、生物の免疫機能を模倣して実現することができ、更に、生成された検出器に属する異種因子の全てについて最終判定を行なうことなく、所定の基準に従って最終判定を行なう必要があると判定された入力因子について最終判定を行なうことになる。その結果、生物の免疫機能を模倣し、より効率的な処理が可能となる異種因子検出方法及びシステムを実現することが可能となる。
【図面の簡単な説明】
【図１】本発明の実施の一形態に係る異種因子検出システムの構成例を示すブロック図である。
【図２】異種因子の検出に用いられる検出器と学習用自己との関係を示す図である。
【図３】弱い検出器及び強い検出器と学習用自己との関係を示す図である。
【図４】弱い検出器にて定められるグレイゾーンと学習用自己及び真の自己との関係を示す図である。
【図５】非自己検出器生成部での検出器の生成過程の一例を示す図である。
【図６】学習用自己の生成過程の一例を示す図である。
【符号の説明】
１０  バリア部
１２  常習犯データ検出部
１３  常習犯データベース
１４、１５、２５  非自己処理部
２０  適応型免疫機能系
２１  非自己検出器生成部
２２  学習用自己データベース
２３  判定部
２４  補助判定部
２６  自己処理部
２７  メモリセル
【図１】
0003871020.tif 000002
【図２】
0003871020.tif 000003
【図３】
0003871020.tif 000004
【図４】
0003871020.tif 000005
【図５】
0003871020.tif 000006
【図６】
0003871020.tif 000007