(57)【要約】  仮説推論装置１０は、観測事象を示す観測事象データを受け付ける、データ受付部１１と、受け付けた観測事象データの中から、受け付けた観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、データ特定部１２と、データ特定部１２によって特定されなかった観測事象データと知識データとを用いて、データ特定部１２によって特定されなかった観測事象データを導出することが可能な仮説を生成する、仮説生成部１３と、を備えている。
2020008632.tif 000002
【特許請求の範囲】
【請求項１】
観測事象を示す観測事象データを受け付ける、データ受付手段と、
受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、データ特定手段と、
前記データ特定手段によって特定されなかった前記観測事象データと、前記知識データとを用いて、前記データ特定手段によって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、仮説生成手段と、
を備えている、ことを特徴とする仮説推論装置。
【請求項２】
請求項１に記載の仮説推論装置であって、
前記データ特定手段は、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【請求項３】
請求項１または２に記載の仮説推論装置であって、
前記データ特定手段は、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【請求項４】
請求項１〜３のいずれかに記載の仮説推論装置であって、
前記データ特定手段は、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【請求項５】
請求項１〜４のいずれかに記載の仮説推論装置であって、
前記データ受付手段が、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記データ特定手段が、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記仮説生成手段が、前記データ特定手段によって特定されなかった前記ログと、前記知識データとを用いて、前記データ特定手段によって特定されなかった前記ログを導出することが可能な仮説を生成し、
当該仮説推論装置は、更に、生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外手段に出力する、異常情報作成手段を更に備えている、
ことを特徴とする仮説推論装置。
【請求項６】
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を有する、ことを特徴とする仮説推論方法。
【請求項７】
請求項６に記載の仮説推論方法であって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
【請求項８】
請求項６または７に記載の仮説推論方法であって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
【請求項９】
請求項６〜８のいずれかに記載の仮説推論方法であって、
前記（ｂ）のステップにおいて、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
【請求項１０】
請求項６〜９のいずれかに記載の仮説推論方法であって、
前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
当該仮説推論方法は、更に、（ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを更に有する、
ことを特徴とする仮説推論方法。
【請求項１１】
コンピュータに、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を実行させる、命令を含むプログラムを記録している、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１２】
請求項１１に記載のコンピュータ読み取り可能な記録媒体であって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１３】
請求項１１または１２に記載のコンピュータ読み取り可能な記録媒体であって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１４】
請求項１１〜１３のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記（ｂ）のステップにおいて、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項１５】
請求項１１〜１４のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
前記プログラムが、更に、前記コンピュータに、
（ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、仮説推論を行うための、仮説推論装置、及び仮説推論方法に関し、更には、これらを実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【背景技術】
【０００２】
従来から、計算機によって仮説推論を実行する試みがなされている（特許文献１〜４参照）。計算機によって仮説推論を行なえば、事実から得られた情報に基づいて、様々な事態を推理することが可能となる。このため、計算機による仮説推論は、出店計画、犯罪捜査、災害時の避難、環境管理等に有用であり、仮説推論を利用すればシミュレーションの精度の向上が期待できる。【０００３】
また、具体的には、仮説推論では、知識（ルール）と、観測事象（得られた事実）とから、妥当な仮説の導出が行われる。例えば、知識として「Ａ⇒Ｂ（Ａが成り立っているならＢが成り立つ）」が存在し、観測事象として「Ｂが成り立っている」が取得されているとする。この場合、推論により、仮説として「Ａが成り立っている」が得られる。なお、以降では、仮説推論のことを後ろ向き推論ともいう。また、ＢからＡを探すことを「推論を後ろ向きにたどる」という。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平９−２１３０８１号公報
【特許文献２】特開平１０−３３３９１１号公報
【特許文献３】特開２０００−２４２４９９号公報
【特許文献４】特表２０１５−５０２６１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、通常、仮説推論において、知識は人手によって設定されるが、観測事象は、システム運営時のログ等から大量に取得される。このため、従来からの仮説推論システムには、観測事象、即ちログの蓄積によって、仮説を導出するために必要な処理時間が大きく増加するという問題が発生している。【０００６】
一方、必ずしも、取得された観測事象の全てが、仮説推論において必要であるわけではなく、取得された観測事象のなかには、不要な観測事象も存在する。従って、取得された観測事象の中から、不要な観測事象を特定できれば、上記の問題を解消できると考えられる。しかしながら、従来からの仮説推論システムには、このような機能は備えられておらず、上記の問題の解消は困難である。【０００７】
本発明の目的の一例は、上記問題を解消し、不要な観測事象データを除いて仮説推論を実行し得る、仮説推論装置、仮説推論方法、及びコンピュータ読み取り可能な記録媒体を提供することにある。
【課題を解決するための手段】
【０００８】
上記目的を達成するため、本発明の一側面における仮説推論装置は、
観測事象を示す観測事象データを受け付ける、データ受付部と、
受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、データ特定部と、
前記データ特定部によって特定されなかった前記観測事象データと、前記知識データとを用いて、前記データ特定部によって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、仮説生成部と、
を備えている、ことを特徴とする。【０００９】
また、上記目的を達成するため、本発明の一側面における仮説推論方法は、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を有する、ことを特徴とする。【００１０】
更に、上記目的を達成するため、本発明の一側面におけるコンピュータ読み取り可能な記録媒体は、
コンピュータに、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を実行させる、命令を含むプログラムを記録している、
ことを特徴とする。
【発明の効果】
【００１１】
以上のように、本発明によれば、不要な観測事象データを除いて仮説推論を実行することができる。
【図面の簡単な説明】
【００１２】
【図１】図１は、本発明の実施の形態における仮説推論装置の概略構成を示すブロック図である。
【図２】図２は、本発明の実施の形態における仮説推論装置の構成を具体的に示すブロック図である。
【図３】図３は、本発明の実施の形態における仮説推論装置の動作を示すフロー図である。
【図４】図４は、図３に示したステップ２の具体例１を説明する図である。
【図５】図５は、図３に示したステップ２の具体例２を説明する図である。
【図６】図６は、観測Ｐから後ろ向き推論によってできる有向グラフを示している。
【図７】図７は、図３に示したステップ２の具体例３を説明する図である。
【図８】図８は、図３に示したステップ２の具体例４を説明する図である。
【図９】図９は、本発明の実施の形態における仮説推論装置を実現するコンピュータの一例を示すブロック図である。
【発明を実施するための形態】
【００１３】
（実施の形態）
以下、本発明の実施の形態における、仮説推論装置、仮説推論方法、及びプログラム〜について、図１〜図９を参照しながら説明する。
【００１４】
最初に、本発明の実施の形態における仮説推論装置の概略構成について説明する。図１は、本発明の実施の形態における仮説推論装置の概略構成を示すブロック図である。
【００１５】
図１に示す、本実施の形態における仮説推論装置１０は、仮説推論を実行するための装置である。図１に示すように、仮説推論装置１０は、データ受付部１１と、データ特定部１２と、仮説生成部１３とを備えている。
【００１６】
データ受付部１１は、観測事象を示す観測事象データを受け付ける。データ特定部１２は、データ受付部１１が受け付けた観測事象データの中から、受け付けた観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データ（以下「不要観測事象データ」と表記する）を特定する。
【００１７】
仮説生成部１３は、データ特定部１２によって特定されなかった観測事象データと、知識データとを用いて、データ特定部１２によって特定されなかった観測事象データを導出することが可能な仮説を生成する。
【００１８】
このように、本実施の形態では、受け付けられた観測事象データの中から、推論において不要な観測事象データが特定され、これ以外の観測事象データを用いて仮説が生成される。つまり、本実施の形態によれば、不要な観測事象データを除いて仮説推論を実行することができる。この結果、観測事象データの大量蓄積による仮説導出にかかる時間の増加が抑制される。
【００１９】
また、本実施の形態では、データ特定部１２は、受け付けた観測事象データに対して、知識データに基づいた解析を実行し、解析の結果と他の観測事象データとから導出可能である観測事象データを、不要観測事象データとして特定することもできる。また、データ特定部１２は、特定した不要観測事象データを削除することもできる。
【００２０】
更に、データ特定部１２は、まず、受け付けられた観測事象データに対して、解析として、後ろ向き推論を行うこともできる。この時、データ特定部１２は、後ろ向き推論の代わりに、例えば、オントロジーによる上位下位関係を用いた解析を実行することもできる。次いで、データ特定部１２は、得られた推論結果について、受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた観測事象データを不要観測事象データとして特定することもできる。
【００２１】
加えて、データ特定部１２は、受け付けられた観測事象データと、観測が予想される事象とが同時に成立することを条件として、特定の条件を満たす場合に、受け付けた観測事象データを、不要観測事象データとして特定することもできる。特定の条件を満たす場合としては、観測が予想される事象が観測されていない場合、他の観測からの知識データによる後ろ向き推論によって、観測が予想される事象の導出が不可能である場合が挙げられる。
【００２２】
仮説生成部１３は、不要観測事象データ以外の観測事象データと、知識データとを用いて、不要観測事象データ以外の観測事象データを導出することが可能な仮説を生成する。また、本実施の形態では、仮説生成部１３は、仮説を生成する際に、そのコストを算出し、算出したコストに基づいて、最適な仮説を選択することもできる。
【００２３】
例えば、知識データとして、下記の２つが存在しているとする。なお、添字は、各知識データ(ルール)に割り当てられる重みであり、左辺から右辺を仮説するにはどの程度信頼ならないかを表している。
Kill(x, y)1.4 ⇒ arrest(z, x)
Kill(x, y)1.2 ⇒murder(x)
【００２４】
そして、不要観測事象データ以外の観測事象データとして、「murder(A)$10」、「police(B)$10」、「arrest(B,A)$10」が得られているとする。なお、観測事象データに与えられている添字は、各観測事象データに割り当てられるコストを示している。
【００２５】
このような場合、仮説生成部１３は、「Kill(x, y)1.2⇒murder(x)」と「murder(A)$10」とから、仮説候補「Kill(A, u1)$12」を生成する。また、仮説生成部１３は、「Kill(x, y)1.4 ⇒ arrest(z, x)」と「arrest(B,A)$10」とからも、仮説候補「Kill(A, u2)$14」を生成する。各仮説候補における添字は、知識データの重みと、観測事象データのコストとを乗算して得られており、各仮説候補が持つコストを示している。その後、仮説生成部１３は、生成した仮説候補の中から、コストが最も低い仮説候補を選択し、選択した仮説候補を外部の装置等に出力する。
【００２６】
続いて、図２を用いて、本実施の形態における仮説推論装置の構成をより具体的に説明する。図２は、本発明の実施の形態における仮説推論装置の構成を具体的に示すブロック図である。
【００２７】
図２に示すように、本実施の形態における仮説推論装置１０は、ネットワークを介して、コンピュータシステム２０に接続されており、コンピュータシステム２０のセキュリティシステムとして機能している。このため、コンピュータシステム２０は、そこで行われた処理のログを仮説推論装置１０に出力する。
【００２８】
図２の例では、仮説推論装置１０において、データ受付部１１は、コンピュータシステム２０から出力されたログを観測事象データとして受け付ける。また、データ特定部１２は、受け付けたログの中から、受け付けたログ以外の他のログと知識データとに基づいて、不要となるログ（以下「不要ログ」と表記する。）を特定する。
【００２９】
そして、仮説生成部１３が、データ特定部１２によって特定されなかったログ、つまり不要ログ以外のログと、知識データとを用いて、不要ログ以外のログを導出することが可能な仮説を生成する。
【００３０】
また、図２の例では、仮説推論装置１０は、異常情報作成部１４を備えている。異常情報作成部１４は、仮説生成部によって生成された仮説に基づいて、コンピュータシステム２０に発生した異常に関する情報を作成し、作成した情報を外部（例えば、コンピュータシステム２０の管理者の端末装置等）に出力する。
【００３１】
例えば、仮説生成部１３が、「コンピュータシステム２０のいずれかの端末装置によってマルウェアが受信されている」という仮説を生成したとする。この場合、異常情報作成部１４は、異常に関する情報として、例えば、このマルウェアに関する情報、マルウェアを除去するための手法に関する情報等を生成する。
【００３２】
このように、本実施の形態における仮説推論装置１０をセキュリティシステムとして用いれば、大量に発生するシステムのログの中から必要なものだけを抽出して仮説推論を行うことができるので、迅速、且つ確実に、異常を検出することができる。
【００３３】
［装置動作］
次に、本実施の形態における仮説推論装置１０の動作について図３を用いて説明する。図３は、本発明の実施の形態における仮説推論装置の動作を示すフロー図である。以下の説明においては、適宜図１〜図６を参照する。また、本実施の形態では、仮説推論装置１０を動作させることによって、仮説推論方法が実施される。よって、本実施の形態における仮説推論方法の説明は、以下の仮説推論装置１０の動作説明に代える。
【００３４】
図３に示すように、最初に、データ受付部１１は、観測事象を示す観測事象データを受け付ける（ステップＡ１）。ステップＡ１において受け付けられる観測事象データは、１つであっても良いし、複数個であっても良い。
【００３５】
次に、データ特定部１２は、ステップＡ１で受け付けた観測事象データの中から、受け付けた観測事象データ以外の他の観測事象データと知識データとに基づいて、不要観測事象データを特定する（ステップＡ２）。具体的には、データ特定部１２は、下記に示す図４〜図６に示した処理を実行する。
【００３６】
次に、仮説生成部１３は、ステップＡ２で特定した不要観測事象データ以外の観測事象データと、知識データとを用いて、不要観測事象データ以外の観測事象データを導出することが可能な仮説を生成する（ステップＡ３）。また、ステップＡ３においては、仮説生成部１３は、生成した仮説毎に、コストを算出する。
【００３７】
次に、仮説生成部１３は、ステップＡ３において生成した仮説のなから、そのコストに基づいて、最適な仮説を選択し、選択した仮説を外部に出力する（ステップＡ４）。
【００３８】
［具体例］
続いて、図４〜図８を用いて、図３に示したステップＡ２の具体例１〜４について説明する。また、以下の具体例１〜４では、知識ルールとして下記のルールが用意されているとする。更に、各ルールの述語の意味についても以下に示す。
【００３９】
知識ルール：
textFile(x)⇒ file(x)
exeFile(x)⇒ file(x)
unknownTypeFile(x)⇒ file(x)
hiddenMalware(x)⇒unknownTypeFile(x)
harmlessUnknownFile(x)⇒unknownTypeFile(x)
targedtedAttack(x)⇒ file(x) ∧ emailAttachment(y,x)
businessEmailCompromise(x)⇒ file(x) ∧ emailAttachment(y,x)
emailAttachment(y,x)⇒ email(y)
【００４０】
各述語の意味：
file(x): xはファイルである。
textFile(x): xはテキスト形式のファイルである。
exeFile(x): xは実行形式のファイルである。
unknownTypeFile(x): xは未知のファイル形式のファイルである。
hiddenMalware(x): xは隠されたマルウェアである。
harmlessUnknownFile(x): xは無害な未知のファイルである。
targedtedAttack(x): xは標的型攻撃である。
businessEmailCompromise(x): xはビジネスメール詐欺である。
emailAttachment(y,x): Eメールyの添付物はxである。
email(y): yはEメールである。
【００４１】
図４は、図３に示したステップ２の具体例１を説明する図である。図４の例では、データ特定部１２は、受け付けた観測事象データに対して、知識データに基づいた解析を実行し、解析の結果と他の観測事象データとから導出可能である観測事象データを、不要観測事象データとして特定する。
【００４２】
具体的には、図４に示すように、観測Ｐとして、観測事象データ「file(“a.exe”)」が、観測されたとする。この観測事象データは、例えば、ＩＤＳ（Intrusion Detection System）、ＳＩＥＭ（Security Information and Event Management）等の各種ツールによって得られたデータ（ファイル名：”a.exe”）である。また、観測事象データは、論理式の形式で、仮説推論装置１０に入力される。また、観測Ｏ’として、観測事象データ「!textFile(“a.exe”)」、「exeFile(“a.exe”)」、及び「!unknownTypeFile(“a.exe”)」が観測されたとする。なお、ここでは、「!」は否定を表す記号として用いられている。
【００４３】
この場合、データ特定部１２は、上記の知識データを用いて、観測Ｐの解析の結果として、「!textFile(“a.exe”)」、「exeFile(“a.exe”)」、及び「!unknownTypeFile(“a.exe”)」を取得する。そして、図４の例では、取得された解析の結果に含まれるリテラルは、他の観測（観測事象データ）Ｏ’（「!textFile(“a.exe”)」、「exeFile(“a.exe”)」、及び「!unknownTypeFile(“a.exe”)」）に含まれている。従って、この場合、データ特定部１２は、観測Ｐは、解析の結果と他の観測事象データとから導出可能であるので、観測Ｐを不要観測事象データとして特定する。
【００４４】
図５は、図３に示したステップ２の具体例２を説明する図である。図５の例では、データ特定部１２は、まず、受け付けた観測事象データに対して、解析として、後ろ向き推論を行う。そして、データ特定部１２は、得られた推論結果について、受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた観測事象データを不要観測事象データとして特定する。
【００４５】
具体的には、図５の例では、観測Ｐとして、「file(“b.xxx”)」が、観測Ｏ’として、「!textFile(“b.xxx”)」、「!exeFile(“b.xxx”)」、「!hiddenmalware(“b.xxx”)」、及び「harmlessUnknownFile(“b.xxx”)」が観測されているとする。この場合において、データ特定部１２が、上述の知識データを用いて、観測Ｐに対して解析（後ろ向き推論）を行うと、「textFile(“b.xxx”)」、「exeFile(“b.xxx”)」、及び「unknownTypeFile(“b.xxx”)」が得られる。
【００４６】
ところで、図４の例では、他の観測事象データＯ’には、「!textFile(“b.xxx”)」、「!exeFile(“b.xxx”)」、「!hiddenmalware(“b.xxx”)」、及び「harmlessUnknownFile(“b.xxx”)」は含まれているが、「unknownTypeFile(“b.xxx”)」は含まれていない。従って、図４の例であれば、観測Ｐは不要観測事象データとして特定されないことになる。なお、以降では、肯定のリテラル（「exeFile(“b.xxx”)」など）と否定のリテラル（「!exeFile(“b.xxx”)」など）は同一であるとして扱う。
【００４７】
これに対して、図５の例では、データ特定部１２が、知識データとして、「hiddenMalware(x) ⇒unknownTypeFile(x)」と、「harmlessUnknownFile(x) ⇒unknownTypeFile(x)」とを、先の推論結果である「unknownTypeFile(“b.xxx”)」に対して、後ろ向きに推論を行う。これにより、「hiddenMalware(“b.xxx”)」、及び「harmlessUnknownFile(“b.xxx”)」が取得される。そして、これらは他の観測事象データＯ’に含まれるので、データ特定部１２は、観測Ｐを不要観測事象データとして特定する。なお、図５において、実線で囲まれたリテラルは、観測されたリテラルを示し、破線で囲まれたリテラルは、観測されていないリテラルを示している。
【００４８】
図６は、観測Ｐから後ろ向き推論によってできる有向グラフを示している。図６に示す有向グラフにおいて、観測Ｐからリンクの向きに従って移動したときに、必ず観測Ｏ’のいずれかのリテラルに到達することができる場合、観測Ｐを不要観測事象データとすることが可能となる。
【００４９】
図７は、図３に示したステップ２の具体例３を説明する図である。図７の例では、まず、受け付けた観測事象データと、観測が予想される事象とが同時に成立するか否かが条件となる。言い換えると、図７の例では、観測事象データを構成する観測論理式と、観測が予想される事象を示す観測論理式とが連言をなす後件を持つ、ルールがあることが条件となる。連言をなす後件を持つルールとしては、上述した知識データのうちの、「targedtedAttack(x) ⇒ file(x) ∧ emailAttachment(y,x)」と、「businessEmailCompromise(x)⇒ file(x) ∧emailAttachment(y,x)」とが該当する。
【００５０】
そして、データ特定部１２は、この条件下のもと、観測が予想される事象が観測されていない場合、又は、他の観測からの知識データによる後ろ向き推論によって、観測が予想される事象の導出が不可能である場合は、受け付けた観測事象データを不要観測事象データとして特定する。
【００５１】
具体的には、図７の例において、観測Ｍとして、「file(“a.exe”)」が観測されているとする。また、観測が予想される事象を観測Ｎ「emailAttachment(y,x)」とする。この場合、上述の知識データを用いた、観測の後ろ向き推論により、図７の中段に示すツリーが得られる。このツリーは、観測「file(“a.exe”)」から後ろ向き推論によってできる有向グラフを示している。図７の下段に示すツリーは、観測Ｍと観測Ｎとから後ろ向き推論によってできる有向グラフを示している。なお、図７中では、記号「＆」を用いて連言を表現している。
【００５２】
この条件下において、観測Ｏ’として、図４の例と同様に、観測事象データ「!textFile(“a.exe”)」、「exeFile(“a.exe”)」、及び「!unknownTypeFile(“a.exe”)」が観測されているとする。一方、「targedtedAttack(x)」及び「 businessEmailCompromise(x)」が観測されていないとする。この時、観測が予想される観測Ｎ「emailAttachment(y,x)」が観測されていない場合、または、観測Ｍ及び観測Ｏ’から知識データによる後ろ向き推論によって、仮説として観測Ｎを取得することができない場合、データ特定部１２は、観測Ｍを不要観測事象データとして特定する。
【００５３】
また、言い換えると、観測Ｍ及び観測Ｏ’に加えて、観測Ｎとして、「emailAttachment(“c.emal”,”a.exe”)」が観測されている場合は、観測Ｍが不要観測事象データとして特定されることはない。また、観測として「email(“c.eml”)」が観測されている場合は、ルール「emailAttachment(y,x) ⇒ email(y)」によって、観測Ｎ「emailAttachment(“c.eml”,x)」は仮説される。よって、この場合も、観測Ｍが不要観測事象データとして特定されることはない。
【００５４】
但し、図７の例において、「emailAttachment(“c.emal”,”a.exe”)」が観測されていても、他に、「!targedtedAttack(”a.exe”)」と、「!businessEmailCompromise(”a.exe”)」とが観測されていると、図８に示す有向グラフが成立する。図８は、図３に示したステップ２の具体例４を説明する図である。
【００５５】
図８に示すように、この場合は、file∧emailAttachmentを後件に有するルールと、fileを後件に有するルールとから、観測Ｍ「file(“a.exe”)」は導出可能である。従って、図８の例では、観測Ｍは不要観測事象データとして特定される。
【００５６】
［実施の形態による効果］
以上のように本実施の形態によれば、不要観測事象データを除いた状態で仮説推論を実行することができる。また、除かれる不要観測事象データは、新たに取得された観測、既に取得されている観測、及び知識データに基づいて、厳密に特定される。このため、本実施の形態によれば、仮説導出にかかる時間の増加を抑制しつつ、仮説の精度を高めることができる。
【００５７】
［プログラム］
本実施の形態におけるプログラムは、コンピュータに、図３に示すステップＡ１〜Ａ４を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における仮説推論装置１０と仮説推論方法とを実現することができる。この場合、コンピュータのプロセッサは、データ受付部１１、データ特定部１２、及び仮説生成部１３として機能し、処理を行なう。
【００５８】
また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、データ受付部１１、データ特定部１２、及び仮説生成部１３のいずれかとして機能しても良い。
【００５９】
ここで、本実施の形態におけるプログラムを実行することによって、仮説推論装置１０を実現するコンピュータについて図９を用いて説明する。図９は、本発明の実施の形態における仮説推論装置を実現するコンピュータの一例を示すブロック図である。
【００６０】
図９に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。
【００６１】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
【００６２】
また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
【００６３】
データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【００６４】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。
【００６５】
なお、本実施の形態における仮説推論装置１０は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、仮説推論装置１０は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
【００６６】
上述した実施の形態の一部又は全部は、以下に記載する（付記１）〜（付記１５）によって表現することができるが、以下の記載に限定されるものではない。
【００６７】
（付記１）
観測事象を示す観測事象データを受け付ける、データ受付部と、
受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、データ特定部と、
前記データ特定部によって特定されなかった前記観測事象データと、前記知識データとを用いて、前記データ特定部によって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、仮説生成部と、
を備えている、ことを特徴とする仮説推論装置。
【００６８】
（付記２）
付記１に記載の仮説推論装置であって、
前記データ特定部は、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【００６９】
（付記３）
付記１または２に記載の仮説推論装置であって、
前記データ特定部は、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【００７０】
（付記４）
付記１〜３のいずれかに記載の仮説推論装置であって、
前記データ特定部は、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【００７１】
（付記５）
付記１〜４のいずれかに記載の仮説推論装置であって、
前記データ受付部が、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記データ特定部が、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記仮説生成部が、前記データ特定部によって特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
当該仮説推論装置は、更に、生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、異常情報作成部を更に備えている、
ことを特徴とする仮説推論装置。
【００７２】
（付記６）
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を有する、ことを特徴とする仮説推論方法。
【００７３】
（付記７）
付記６に記載の仮説推論方法であって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
【００７４】
（付記８）
付記６または７に記載の仮説推論方法であって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
【００７５】
（付記９）
付記６〜８のいずれかに記載の仮説推論方法であって、
前記（ｂ）のステップにおいて、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
【００７６】
（付記１０）
付記６〜９のいずれかに記載の仮説推論方法であって、
前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記データ特定部によって特定されなかった前記ログを導出することが可能な仮説を生成し、
当該仮説推論方法は、更に、（ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを更に有する、
ことを特徴とする仮説推論方法。
【００７７】
（付記１１）
コンピュータに、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を実行させる、命令を含むプログラムを記録している、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００７８】
（付記１２）
付記１１に記載のコンピュータ読み取り可能な記録媒体であって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００７９】
（付記１３）
付記１１または１２に記載のコンピュータ読み取り可能な記録媒体であって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、不要となる観測事象データとして特定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００８０】
（付記１４）
付記１１〜１３のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記（ｂ）のステップにおいて、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００８１】
（付記１５）
付記１１〜１４のいずれかに記載のコンピュータ読み取り可能な記録媒体であって、
前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
前記プログラムが、更に、前記コンピュータに、
（ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを実行させる命令を更に含む、
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００８２】
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【産業上の利用可能性】
【００８３】
以上のように、本発明によれば、不要な観測事象データを除いて仮説推論を実行することができる。本発明は、仮説推論が求められるシステムにおいて有用である。
【符号の説明】
【００８４】
１０  仮説推論装置
１１  データ受付部
１２  データ特定部
１３  仮説生成部
１１０  コンピュータ
１１１  ＣＰＵ
１１２  メインメモリ
１１３  記憶装置
１１４  入力インターフェイス
１１５  表示コントローラ
１１６  データリーダ／ライタ
１１７  通信インターフェイス
１１８  入力機器
１１９  ディスプレイ装置
１２０  記録媒体
１２１  バス
【図１】
2020008632.tif 000003
【図２】
2020008632.tif 000004
【図３】
2020008632.tif 000005
【図４】
2020008632.tif 000006
【図５】
2020008632.tif 000007
【図６】
2020008632.tif 000008
【図７】
2020008632.tif 000009
【図８】
2020008632.tif 000010
【図９】
2020008632.tif 000011
【手続補正書】
【提出日】令和2年12月21日(2020.12.21)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
観測事象を示す観測事象データを受け付ける、データ受付手段と、
受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、データ特定手段と、
前記データ特定手段によって特定されなかった前記観測事象データと、前記知識データとを用いて、前記データ特定手段によって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、仮説生成手段と、
を備えている、ことを特徴とする仮説推論装置。
【請求項２】
請求項１に記載の仮説推論装置であって、
前記データ特定手段は、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【請求項３】
請求項１または２に記載の仮説推論装置であって、
前記データ特定手段は、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【請求項４】
請求項１〜３のいずれかに記載の仮説推論装置であって、
前記データ特定手段は、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【請求項５】
請求項１〜４のいずれかに記載の仮説推論装置であって、
前記データ受付手段が、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記データ特定手段が、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記仮説生成手段が、前記データ特定手段によって特定されなかった前記ログと、前記知識データとを用いて、前記データ特定手段によって特定されなかった前記ログを導出することが可能な仮説を生成し、
当該仮説推論装置は、更に、生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外手段に出力する、異常情報作成手段を更に備えている、
ことを特徴とする仮説推論装置。
【請求項６】
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を有する、ことを特徴とする仮説推論方法。
【請求項７】
コンピュータに、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を実行させる、プログラム。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
本発明は、仮説推論を行うための、仮説推論装置、及び仮説推論方法に関し、更には、これらを実現するためのプログラムに関する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０００７
【補正方法】変更
【補正の内容】
【０００７】
本発明の目的の一例は、上記問題を解消し、不要な観測事象データを除いて仮説推論を実行し得る、仮説推論装置、仮説推論方法、及びプログラムを提供することにある。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１０
【補正方法】変更
【補正の内容】
【００１０】
更に、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を実行させる、プログラム。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００６９
【補正方法】変更
【補正の内容】
【００６９】
（付記３）
付記１または２に記載の仮説推論装置であって、
前記データ特定部は、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論装置。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００７１
【補正方法】変更
【補正の内容】
【００７１】
（付記５）
付記１〜４のいずれかに記載の仮説推論装置であって、
前記データ受付部が、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記データ特定部が、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記仮説生成部が、前記データ特定部によって特定されなかった前記ログと、前記知識データとを用いて、前記データ特定部によって特定されなかった前記ログを導出することが可能な仮説を生成し、
当該仮説推論装置は、更に、生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、異常情報作成部を更に備えている、
ことを特徴とする仮説推論装置。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００７４
【補正方法】変更
【補正の内容】
【００７４】
（付記８）
付記６または７に記載の仮説推論方法であって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とする仮説推論方法。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００７６
【補正方法】変更
【補正の内容】
【００７６】
（付記１０）
付記６〜９のいずれかに記載の仮説推論方法であって、
前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
当該仮説推論方法は、更に、（ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを更に有する、
ことを特徴とする仮説推論方法。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００７７
【補正方法】変更
【補正の内容】
【００７７】
（付記１１）
コンピュータに、
（ａ）観測事象を示す観測事象データを受け付ける、ステップと、
（ｂ）受け付けた前記観測事象データの中から、受け付けた前記観測事象データ以外の他の観測事象データと知識データとに基づいて、不要となる観測事象データを特定する、ステップと、
（ｃ）前記（ｂ）のステップによって特定されなかった前記観測事象データと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記観測事象データを導出することが可能な仮説を生成する、ステップと、
を実行させる、プログラム。
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】００７８
【補正方法】変更
【補正の内容】
【００７８】
（付記１２）
付記１１に記載のプログラムであって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して、前記知識データに基づいた解析を行い、前記解析の結果と前記他の観測事象データとから導出可能である観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とするプログラム。
【手続補正１２】
【補正対象書類名】明細書
【補正対象項目名】００７９
【補正方法】変更
【補正の内容】
【００７９】
（付記１３）
付記１１または１２に記載のプログラムであって、
前記（ｂ）のステップにおいて、受け付けた前記観測事象データに対して後ろ向き推論を行い、得られた推論結果について、前記受け付けた観測事象データから推論を後ろ向きにたどった場合に、必ず他の観測事象データのいずれかに該当することを条件に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とするプログラム。
【手続補正１３】
【補正対象書類名】明細書
【補正対象項目名】００８０
【補正方法】変更
【補正の内容】
【００８０】
（付記１４）
付記１１〜１３のいずれかに記載のプログラムであって、
前記（ｂ）のステップにおいて、
受け付けた前記観測事象データと、観測が予想される事象とが同時に成立することを条件として、前記観測が予想される事象が観測されていない場合、又は、他の観測からの前記知識データによる後ろ向き推論によって、前記観測が予想される事象の導出が不可能である場合に、受け付けた前記観測事象データを、前記不要となる観測事象データとして特定する、
ことを特徴とするプログラム。
【手続補正１４】
【補正対象書類名】明細書
【補正対象項目名】００８１
【補正方法】変更
【補正の内容】
【００８１】
（付記１５）
付記１１〜１４のいずれかに記載のプログラムであって、
前記（ａ）のステップにおいて、コンピュータシステムから出力されたログを前記観測事象データとして受け付け、
前記（ｂ）のステップにおいて、受け付けた前記ログの中から、受け付けた前記ログ以外の他のログと知識データとに基づいて、不要となるログを特定し、
前記（ｃ）のステップにおいて、前記（ｂ）のステップで特定されなかった前記ログと、前記知識データとを用いて、前記（ｂ）のステップによって特定されなかった前記ログを導出することが可能な仮説を生成し、
前記コンピュータに、
（ｄ）生成された前記仮説に基づいて、前記コンピュータシステムに発生した異常に関する情報を作成し、作成した情報を外部に出力する、ステップを更に実行させる、
ことを特徴とするプログラム。
【国際調査報告】
2020008632.tif 000012
2020008632.tif 000013