特許ウォッチ

公開番号2025069669
公報種別公開特許公報(A)
公開日2025-05-01
出願番号2023179535
出願日2023-10-18
発明の名称時系列の対象ログデータにおける特異期間を判定するプログラム、装置及び方法
出願人KDDI株式会社
代理人個人
主分類G06F 18/2413 20230101AFI20250423BHJP(計算;計数)
要約【課題】時系列データにおける稀な事象の特異期間を判定する判定装置、方法及びプログラムを提供する。
【解決手段】判定装置1は、訓練段階として、教師ログデータから所定期間単位の複数の教師期間特徴量を抽出し、推定段階として、対象ログデータから所定期間単位の複数の対象期間特徴量を抽出する期間特徴量抽出部、訓練段階として、当該所定期間単位で、各教師期間特徴量を入力して訓練すると共に、各教師期間潜在表現を抽出し、推定段階として、各対象期間特徴量を入力して、各対象期間潜在表現を抽出する潜在表現抽出部、所定期間単位の教師期間潜在表現を記憶する潜在表現記憶部及び推定段階として、当該所定期間単位で、潜在表現記憶手段に記憶された教師期間潜在表現と、潜在表現抽出部から出力された対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、当該所定期間単位の所定期間を特異期間と判定する特異期間判定部を有する。
【選択図】図1
特許請求の範囲【請求項１】
時系列の教師ログデータに対して、時系列の対象ログデータにおける特異期間を判定するようにコンピュータを機能させるプログラムであって、
訓練段階として、教師ログデータを入力して、所定期間単位の複数の教師期間特徴量を抽出し、推定段階として、対象ログデータを入力して、所定期間単位の複数の対象期間特徴量を抽出する期間特徴量抽出手段と、
訓練段階として、当該所定期間単位で、各教師期間特徴量を入力して訓練すると共に、各教師期間潜在表現を抽出し、推定段階として、各対象期間特徴量を入力して、各対象期間潜在表現を抽出する潜在表現抽出手段と、
訓練段階として、所定期間単位の教師期間潜在表現を記憶する潜在表現記憶手段と、
推定段階として、当該所定期間単位で、潜在表現記憶手段に記憶された教師期間潜在表現と、潜在表現抽出手段から出力された対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、当該所定期間単位の所定期間を特異期間と判定する特異期間判定手段と
してコンピュータを機能させることを特徴とするプログラム。
続きを表示（約 3,400 文字）【請求項２】
特異期間判定手段は、
複数の教師期間潜在表現から算出された平均ベクトルと、対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、又は、
各教師期間潜在表現と対象期間潜在表現との間のベクトル間距離を算出し、最小となるベクトル間距離が所定閾値以上離れている場合、
当該所定期間単位の所定期間を特異期間と判定する
ようにコンピュータを機能させることを特徴とする請求項１に記載のプログラム。
【請求項３】
第１の期間単位と、当該第１の期間単位よりも短い時系列の複数の第２の期間単位とを規定し、
期間特徴量抽出手段は、
訓練段階として、第１の期間単位で、教師ログデータにおける複数の第１の教師期間特徴量を抽出し、推定段階として、対象ログデータにおける複数の第１の対象期間特徴量を抽出する第１の期間特徴量抽出手段と、
訓練段階として、第２の期間単位で、教師ログデータにおける複数の第２の教師期間特徴量を抽出し、推定段階として、対象ログデータにおける複数の第２の対象期間特徴量を抽出する第２の期間特徴量抽出手段とからなり、
潜在表現抽出手段は、
訓練段階として、第１の期間単位で、各第１の教師期間特徴量を入力して訓練すると共に、各第１の教師期間潜在表現を抽出する第１の潜在表現抽出手段と、
訓練段階として、第２の期間単位で、第１の教師期間潜在表現と、各第２の教師期間特徴量とを入力して訓練すると共に、各第２の教師期間潜在表現を抽出する第２の潜在表現抽出手段とからなり、
潜在表現記憶手段は、第１の期間単位の第１の教師期間潜在表現と、第２の期間単位の第２の教師期間潜在表現とを記憶し、
第１の潜在表現抽出手段は、推定段階として、第１の期間単位で、各第１の対象期間特徴量を入力して、各第１の対象期間潜在表現を抽出し、
第２の潜在表現抽出手段は、推定段階として、第２の期間単位で、第１の対象期間潜在表現と、各第２の対象期間特徴量とを入力して、各第２の対象期間潜在表現を抽出し、
特異期間判定手段は、第２の期間単位に、潜在表現記憶手段に記憶された第２の教師期間潜在表現と、第２の潜在表現抽出手段から出力された第２の対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、第２の期間単位の所定期間を特異期間と判定する
ようにコンピュータを機能させることを特徴とする請求項１に記載のプログラム。
【請求項４】
特異期間判定手段は、
複数の第２の教師期間潜在表現から算出された平均ベクトルと、第２の対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、又は、
各第２の教師期間潜在表現と第２の対象期間潜在表現との間のベクトル間距離を算出し、最小となるベクトル間距離が所定閾値以上離れている場合、
当該所定期間単位の所定期間を特異期間と判定する
ようにコンピュータを機能させることを特徴とする請求項３に記載のプログラム。
【請求項５】
特異期間と判定された第２の対象期間特徴量を、複数の第２の対象期間特徴量に拡張するデータ拡張手段と
して更に機能させ、
第２の潜在表現抽出手段は、訓練段階として、拡張された複数の第２の対象期間特徴量を、特異期間における教師期間特徴量として入力して訓練する
ようにコンピュータを機能させることを特徴とする請求項３に記載のプログラム。
【請求項６】
第２の期間単位よりも短い時系列の複数の第３の期間単位を更に規定し、
訓練段階として、第３の期間単位で、教師ログデータにおける複数の第３の教師期間特徴量を抽出し、推定段階として、第３の期間単位に、対象ログデータにおける複数の第３の対象期間特徴量を抽出する第３の期間特徴量抽出手段と、
訓練段階として、第３の期間単位で、第２の教師期間潜在表現と、各第３の教師期間特徴量とを入力して訓練すると共に、各第３の教師期間潜在表現を抽出する第３の潜在表現抽出手段と
して更に機能させ、
前記潜在表現記憶手段は、第３の期間単位の各第３の教師期間潜在表現を更に記憶し、
第３の潜在表現抽出手段は、推定段階として、第３の期間単位で、第２の対象期間潜在表現と、各第３の対象期間特徴量とを入力して、各第３の対象期間潜在表現を抽出し、
特異期間判定手段は、第３の期間単位で、潜在表現記憶手段に記憶された第３の教師期間潜在表現と、第３の潜在表現抽出手段から出力された第３の対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、第３の期間単位の所定期間を特異期間と判定する
ようにコンピュータを機能させることを特徴とする請求項３に記載のプログラム。
【請求項７】
特異期間判定手段は、
複数の第３の教師期間潜在表現から算出された平均ベクトルと、第３の対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、又は、
各第３の教師期間潜在表現と第３の対象期間潜在表現との間のベクトル間距離を算出し、最小となるベクトル間距離が所定閾値以上離れている場合、
当該所定期間単位の所定期間を特異期間と判定する
ようにコンピュータを機能させることを特徴とする請求項６に記載のプログラム。
【請求項８】
特異期間と判定された第３の対象期間特徴量を、複数の第３の対象期間特徴量に拡張するデータ拡張手段と
して更に機能させ、
第３の潜在表現抽出手段は、訓練段階として、拡張された複数の第３の対象期間特徴量を、特異期間における教師期間特徴量として入力して訓練する
ようにコンピュータを機能させることを特徴とする請求項６に記載のプログラム。
【請求項９】
時系列の教師ログデータに対して、時系列の対象ログデータにおける特異期間を判定する判定装置であって、
訓練段階として、教師ログデータを入力して、所定期間単位の複数の教師期間特徴量を抽出し、推定段階として、対象ログデータを入力して、所定期間単位の複数の対象期間特徴量を抽出する期間特徴量抽出手段と、
訓練段階として、当該所定期間単位で、各教師期間特徴量を入力して訓練すると共に、各教師期間潜在表現を抽出し、推定段階として、各対象期間特徴量を入力して、各対象期間潜在表現を抽出する潜在表現抽出手段と、
訓練段階として、所定期間単位の教師期間潜在表現を記憶する潜在表現記憶手段と、
推定段階として、当該所定期間単位で、潜在表現記憶手段に記憶された教師期間潜在表現と、潜在表現抽出手段から出力された対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、当該所定期間単位の所定期間を特異期間と判定する特異期間判定手段と
を有することを特徴とする判定装置。
【請求項１０】
時系列の教師ログデータに対して、時系列の対象ログデータにおける特異期間を判定する装置の判定方法であって、
装置は、
訓練段階として、
教師ログデータを入力して、所定期間単位の複数の教師期間特徴量を抽出する第１のステップと、
当該所定期間単位で、各教師期間特徴量を入力して訓練すると共に、各教師期間潜在表現を抽出する第２のステップと、
所定期間単位の教師期間潜在表現を記憶する第３のステップと、
推定段階として、
対象ログデータを入力して、所定期間単位の複数の対象期間特徴量を抽出する第４のステップと、
各対象期間特徴量を入力して、各対象期間潜在表現を抽出する第５のステップと、
当該所定期間単位で、第３のステップで記憶された教師期間潜在表現と、第５のステップで出力された対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、当該所定期間単位の所定期間を特異期間と判定する第６のステップと
を実行することを特徴とする判定方法。

発明の詳細な説明【技術分野】
【０００１】
本発明は、時系列のビッグデータにおける、稀な事象に基づく特異期間を判定する技術に関する。
続きを表示（約 2,400 文字）【背景技術】
【０００２】
従来、複数の道路区間について、将来の交通状況を予測する技術がある（例えば特許文献１参照）。この技術によれば、過去交通量から未来交通量を予測する教師あり学習エンジンを用いており、予め多種多量の過去データを必要とする。複数の道路区間に、交通状況データの類似性に基づいて複数のクラスタに区分されている。そして、学習エンジンは、クラスタ毎に、過去の所定時点より前の過去交通状況データを入力し、所定時点より後の過去交通状況データを出力するように予測モデルを訓練する。そして、学習エンジンは、道路区間毎に、道路情報収集端末から収集した現在交通状況データを入力し、その道路区間が属するクラスタに対応付けられた予測モデルを用いて、将来の交通状況データを予測する。
【０００３】
また、少量の教師データであっても、教師あり学習エンジンを用いて、ネットワーク異常となるボットネットの司令塔サーバを検知する技術もある（例えば特許文献２参照）。この技術によれば、ネットワーク通信情報から、マルウェアに感染したボットとそのボットを制御する司令塔サーバとの間の通信プロトコルの接続構造について、少なくとも一方が類似するホスト間で通信するサーバを司令塔サーバの候補として抽出する。各々の司令塔サーバの候補について、通信情報に基づくネットワーク通信特徴を生成する。そして、ネットワーク通信特徴が類似する司令塔サーバの候補を同じ集団に分類し、外部脅威情報を、分類した各々の集団に照合して、所定量以上の司令塔サーバを含む集団に属する全ての候補を司令塔サーバとして検知する。
【先行技術文献】
【特許文献】
【０００４】
特開２０２３－００５０１５号公報
特開２０１８－１６９８９７号公報
【非特許文献】
【０００５】
データ拡張(Data Augmentation)、CVMLエキスパートガイド、[online]、［令和５年１０月４日検索］、インターネット＜URL:https://cvml-expertguide.net/terms/dl/regularization/data-augmentation/#:~:text=%E3%83%87%E3%83%BC%E3%82%BF%E6%8B%A1%E5%BC%B5%20(Data%20Augmentation%2C%20%E3%83%87%E3%83%BC%E3%82%BF,%E3%82%92%E6%8B%A1%E3%81%92%E3%82%8B%E5%87%A6%E7%90%86%E3%81%A7%E3%81%82%E3%82%8B%EF%BC%8E＞
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１によれば、教師あり学習エンジンを用いるために、大量の多種多量な過去データを必要とし、稀な事象に基づく少量の過去データに対応する予測が難しいという問題点があった。即ち、稀な事象の発生における予測精度は、過去に存在しなかった未知データが多量に集まって再訓練されるまで向上しない。
【０００７】
また、特許文献２によれば、外部サーバとの通信情報も副次的に用いることによって少量のデータであっても稀なネットワーク異常検知を可能しているが、外部サーバに依存しているために、少ないコスト（計算時間及び計算量）で再訓練できないという問題点があった。
【０００８】
これに対し、本願の発明者らは、時系列のビッグデータにおける、稀な事象に基づく特異期間を判定することができないか、と考えた。また、特異期間を抽出することができれば、その特異期間に発生したデータのみを拡張（水増し）することによって、学習エンジンで再訓練することができる、と考えた。即ち、稀な事象に基づく特異期間が抽出された場合であっても、平時の期間における学習エンジンの予測精度が低下しないように、学習エンジンを再訓練することができる。
【０００９】
そこで、本発明は、時系列のビッグデータにおける、稀な事象に基づく特異期間を判定することができるプログラム、装置及び方法を提供することを目的とする。また、本発明によれば、判定された特異期間におけるデータのみを拡張し、その特異期間の期間単位における潜在表現のみを再訓練することによって、汎化性能を向上させることもできる。
【課題を解決するための手段】
【００１０】
本発明によれば、時系列の教師ログデータに対して、時系列の対象ログデータにおける特異期間を判定するようにコンピュータを機能させるプログラムであって、
訓練段階として、教師ログデータを入力して、所定期間単位の複数の教師期間特徴量を抽出し、推定段階として、対象ログデータを入力して、所定期間単位の複数の対象期間特徴量を抽出する期間特徴量抽出手段と、
訓練段階として、当該所定期間単位で、各教師期間特徴量を入力して訓練すると共に、各教師期間潜在表現を抽出し、推定段階として、各対象期間特徴量を入力して、各対象期間潜在表現を抽出する潜在表現抽出手段と、
訓練段階として、所定期間単位の教師期間潜在表現を記憶する潜在表現記憶手段と、
推定段階として、当該所定期間単位で、潜在表現記憶手段に記憶された教師期間潜在表現と、潜在表現抽出手段から出力された対象期間潜在表現との間のベクトル間距離が所定閾値以上離れている場合、当該所定期間単位の所定期間を特異期間と判定する特異期間判定手段と
してコンピュータを機能させることを特徴とする。
（【００１１】以降は省略されています）

関連特許