保守運用

特 集

Network-AI

将来のデジタル社会を支えるネットワークの変革─オペレーション編─

異常検知

ディープラーニングに基づく異常検知技術
─DeAnoS: Deep Anomaly Surveillance

景け い し ろ う

な か のゆうすけ

渡辺 敬志郎

本稿では，ネットワークサービスのプロアクティブな保守運用に向けてNTT研究所で検討を進めているディープラーニングに基づく異常検知技術（DeAnoS: Deep Anomaly Surveillance）の概要と事業会社における検証状況を紹介します．

背わたなべ

た じ り

け ん ご/田尻 兼悟

中野 雄介
NTTネットワーク基盤技術研究所

態」を学習し，テスト（異常検知）時に変換します．こうすることで，syslogには，現時点のデータが上記のようにも含めた学習を可能としています．

NTTネットワーク基盤技術研究所

学習されたAEに入力され，入出力層さらに，異常を検知するだけでなく，では，ICTシステムの状態変化の早期のベクトル間の距離を異常度として出異常検知時にその要因を推定するため検知を目的として，オートエンコー力します（図 1 ）．異常度がしきい値の検討も進めています（5）．具体的には，ダ（AE）を 活 用した 異 常 検 知 技 術を超えると異常として検知します．

AEによって異常が検知されたら，どなお，入力するネットワークデータの入力次元が原因で異常度が高くなっ．本稿

としては，SNMP（Simple Network

たかをスパース最適化によって推定すではDeAnoSに関してNTT R&DフォーManagement Protocol）/MIB（Man-る技術を検討しています．この技術でラム2018（秋）で展示した内容を紹

agement Information Base）に基づくは，異常度に対する各入力次元の寄与介します．

リソース ・ トラフィック情報やNetflow度を算出しており，これにより異常検に基づくフローデータといった数値知後の切り分け作業の効率化が期待でデータに加え，テキスト情報であるきます．

（DeAnoS: Deep Anomaly Surveillance）（1）（~ 3）の開発に取り組んでいます

DeAnoSの概要DeAnoSで活用しているAEは，デールータやサーバのsyslogも対象としてタに内在する複雑な構造の学習を可能います．syslogは，syslog分析技術（4）とするディープラーニングの一種であを用いてID化し，各IDの出現回数をり，AEによる異常検知技術に注目が用いてテキストデータから数値データ

事業会社におけるDeAnoSの検証状況
現在，事業会社の協力の下で，実際集まっています．AEでは中間層の次元を入出力層より少なく設定し，入力層のデータを出力層で再現するようにパラメータを学習することで，中間層においてデータの次元削減が行われます．AEを用いた異常検知では，正常なデータは入力データ空間上において，低次元表現が可能なある多様体の周辺に分布するという前提に基づいています．具体的には，学習時には，システムが正常に動作している期間に観入力
データ

x1x2x1x2x3x3x4x5x4x5x6x6

Layer1

出力
データ

入力
データx1x2x1x2x3x3x4x4x5x5x6

Layer2 Layer3

Layer1

近くなるように学習

出力
データ

x6
Layer2 Layer3

異常度として出力（a） 学習時（b） テスト時

図1

AEの仕組み測した各種データによって「正常な状NTT技術ジャーナル 2019.517将来のデジタル社会を支えるネットワークの変革─オペレーション編─

概要を示すとともに，ネットワーク異常検知技術に関する事業会社との検証アプリケーションサーバ状況について紹介しました．

リソースに関するsarデータを異常検知に利用（項目数は1サーバ当り数十）

異常の予見的な検知に加えて，異常の原因となっていたパラメータを特定

今後は事業会社との技術検証を進めてブラッシュアップを継続的に行うとともに，実フィールドで技術を利用す異常の予見的な検知に関する事例るための環境を整備します．
また，
ネッ

異常度

トワーク異常検知技術の課題として，異常検知した際の要因の解釈性改善や数時間前に障害の予見的な挙動を検知

異常発見！
！
！

多様な環境への適応などが挙げられ，これらを解決するための研究開発を継続して行います．

時間

図2

■参考文献

NTT東日本との取り組み

MVNOシステム
リソースに関するsarデータを異常検知に利用（項目数は1000強）

異常度

仮想サーバ

（EPCの一機能を提供）

特異的な異常の検知に関する事例
障害原因となる定時処理の失敗を検知（しきい値では検知難）
障害発生

時間

長期的な異常の検知に関する事例
異常度

徐々に異常度が高くなる
傾向を検知（原因はバグ）異常発見！
！
！

（1） 中野 ・ 池田 ・ 渡辺 ・ 石橋 ・ 川原：“オートエン コ ー ダ に よ る ネ ッ ト ワ ー ク 異 常 検 知，”2017信学総大，B-7-33，2017．
（2） 池田 ・ 中野 ・ 渡辺 ・ 石橋 ・ 川原：“オートエンコーダを用いたネットワーク異常検知における精度向上に向けた一検討，” 2017信学総大，B-7-34，2017．
（3） 川原：“ネットワークオペレーション ・ 制御技術の高度化に向けたAI/機械学習の活用について，” 2017信学ソ大，BT-2-1，2017．
（4） T. Kimura, A. Watanabe, T. Toyono, and K.
Ishibashi: “Proactive Failure Detection
Learning Generation Patterns of Large-scale
Network Logs，” IEEE/IFIP CNSM 2015
（mini-conf.），Barcelona，Spain，Nov. 2015．
（5） 池田 ・ 石橋 ・ 中野 ・ 渡辺 ・ 川原：“オートエンコーダを用いた異常検知におけるスパース最適化を用いた要因推定手法，” 信学技報，Vol.117，No.89，pp.61-66，2017．

異常検知に加えて，異常の原因となっていたパラメータを特定
時間
MVNO: Mobile Virtual Network Operator

図3

NTTコミュニケーションズとの取り組みのサービスから取得した運用データに確認しました（図 2 ）．また，NTTコ

基づきDeAnoSの検証を進めており，

ミュニケーションズ ネットワーク

技術の有効性検証や実用に向けた課題

サービス部との取り組みにおいては，の 抽 出 を 行 っ て い ま す． 本 稿 で は特異事象や長期的な傾向の変化を対象

NTT東日本とNTTコミュニケーショとして分析を行い，異常検知に加えてンズとの取り組みについて紹介しまその原因となるパラメータの推定が可す．まずNTT東日本 高度化推進部と能である事例を確認しました（図 3 ）．の取り組みでは，アプリケーションサーバ群における異常の予見的 ・ 早期今後の展開

検知とその原因となっていたパラメー

本稿では，NTTネットワーク基盤タの推定を行いDeAnoS の有効性を技術研究所が検討しているDeAnoSの

18

NTT技術ジャーナル 2019.5（左から）田尻 兼悟/ 渡辺 敬志郎/
中野 雄介
NTT研究所では，Network-AIに基づく保守運用の効率化 ・ 高度化に関する技術の提案を通じて，より良いサービス提供環境の整備に貢献していきたいと考えています．

◆問い合わせ先NTTネットワーク基盤技術研究所
通信トラヒック品質プロジェクト
TEL 0422-59-4349
FAX 0422-59-6364
E-mail dnn-ad-ext-ml hco.ntt.co.jp