(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B1)
(11)【特許番号】
(24)【登録日】2024-10-02
(45)【発行日】2024-10-10
(54)【発明の名称】異常検出装置、および異常検出方法
(51)【国際特許分類】
H04L 43/0876 20220101AFI20241003BHJP
【ＦＩ】
H04L43/0876
【請求項の数】
5
(21)【出願番号】P 2024094904
(22)【出願日】2024-06-12
【審査請求日】2024-06-12
【早期審査対象出願】
(73)【特許権者】
【識別番号】397036309
【氏名又は名称】株式会社インターネットイニシアティブ
(74)【代理人】
【識別番号】100118902
【弁理士】
【氏名又は名称】山本 修
(74)【代理人】
【識別番号】100106208
【弁理士】
【氏名又は名称】宮前 徹
(74)【代理人】
【識別番号】100196508
【弁理士】
【氏名又は名称】松尾 淳一
(74)【代理人】
【識別番号】100195408
【弁理士】
【氏名又は名称】武藤 陽子
(72)【発明者】
【氏名】柿島 純
【審査官】吉田 歩
(56)【参考文献】
【文献】特開２０１８－１２５６３２（ＪＰ，Ａ）
【文献】特表２０２４－５０８２２０（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ４３／０８７６
(57)【特許請求の範囲】
【請求項1】
通信ネットワークのトラヒック量の時系列データにおける一時的なトラヒック量の増加の有無を観測値とした混合確率モデルに対して、前記観測値の集合である観測データの分布を設定するように構成された第１設定部と、設定された前記観測データの分布に基づいて前記混合確率モデルのパラメータを設定するように構成された第２設定部と、
設定された前記パラメータを有する前記混合確率モデルから得られる、前記一時的なトラヒック量の増加である異常トラヒックの発生パターンを表す真の異常情報に基づいて、前記真の異常情報に類似する疑似異常情報を生成する生成器と、前記生成器によって生成された前記疑似異常情報と前記真の異常情報とを識別する識別器とを有する生成モデルの敵対的学習を行うように構成された学習部と、
前記学習部によって構築された学習済み生成器を用いて前記疑似異常情報を生成するように構成された生成部と、
前記生成部によって生成された前記疑似異常情報に基づいて、前記通信ネットワークで発生する前記異常トラヒックを検出するように構成された検出部と
を備える異常検出装置。
【請求項2】
請求項１に記載の異常検出装置において、さらに、前記通信ネットワーク上のトラヒック量の時系列データを収集するように構成された収集部を備え、
前記検出部は、前記疑似異常情報が示す、前記一時的なトラヒック量の増加を含む前記通信ネットワークのトラヒック量の時系列データと、前記収集部によって収集された前記通信ネットワークのトラヒック量の時系列データとが一致する場合に、前記異常トラヒックを検出する
ことを特徴とする異常検出装置。
【請求項3】
請求項１に記載の異常検出装置において、前記混合確率モデルは、前記観測値の集合の前記観測データが、複数のクラスタの前記パラメータの集合をもつ混合ベルヌーイ分布に従うモデルであり、
前記混合確率モデルの前記パラメータは、各クラスタが前記観測値を発生する確率を表す混合比率、および前記各クラスタの前記観測値が前記一時的なトラヒック量の増加が有り、となる確率を含む
ことを特徴とする異常検出装置。
【請求項4】
コンピュータによって実行される異常検出方法であって、
通信ネットワークのトラヒック量の時系列データにおける一時的なトラヒック量の増加の有無を観測値とした混合確率モデルに対して、前記観測値の集合である観測データの分布を設定する第１設定ステップと、
設定された前記観測データの分布に基づいて前記混合確率モデルのパラメータを設定する第２設定ステップと、
設定された前記パラメータを有する前記混合確率モデルから得られる、前記一時的なトラヒック量の増加である異常トラヒックの発生パターンを表す真の異常情報に基づいて、前記真の異常情報に類似する疑似異常情報を生成する生成器と、前記生成器によって生成された前記疑似異常情報と前記真の異常情報とを識別する識別器とを有する生成モデルの敵対的学習を行う学習ステップと、
前記学習ステップで構築された学習済み生成器を用いて前記疑似異常情報を生成する生成ステップと、
前記生成ステップで生成された前記疑似異常情報に基づいて、前記通信ネットワークで発生する前記異常トラヒックを検出する検出ステップと
を備える異常検出方法。
【請求項5】
請求項４に記載の異常検出方法において、さらに、前記通信ネットワーク上のトラヒック量の時系列データを収集する収集ステップを備え、
前記検出ステップは、前記疑似異常情報が示す、前記一時的なトラヒック量の増加を含む前記通信ネットワークのトラヒック量の時系列データと、前記収集ステップで収集された前記通信ネットワークのトラヒック量の時系列データとが一致する場合に、前記異常トラヒックを検出する
ことを特徴とする異常検出方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、異常検出装置、および異常検出方法に関し、特に、通信トラヒックの異常を検出する技術に関する。
【背景技術】
【0002】
従来から、バーストトラヒックなどの異常トラヒックの推定や通信ネットワークを流れるトラヒック量を予測する技術が知られている。例えば、特許文献１は、リンクの異なる複数の過去のトラヒックデータの相関データに基づいて、最尤推定等の統計的推定手法を用いて所定のリンクについてのトラヒック量の最大値を予測するシステムを開示する。
【0003】
最尤推定等の統計的推定によってバーストトラヒックなどの異常トラヒックを推定する場合には、大量の過去の異常トラヒックのデータが必要となる。また、識別モデルに基づく機械学習で異常トラヒックを推定する場合においても、異常トラヒックに係る学習用データを大量に用意する必要がある。そのため、大量の過去の異常トラヒックのデータが収集できない場合には、異常トラヒックの推定や検出を行うことが困難な場合があった。
【先行技術文献】
【特許文献】
【0004】
【文献】特開２０１５－２１６５８５号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
このように、従来の技術によれば、大量の過去の異常トラヒックのデータを用いることなく、異常なトラヒックを検出することが困難な場合があった。
【0006】
本発明は、上述した課題を解決するためになされたものであり、大量の過去の異常トラヒックのデータを用いることなく、異常なトラヒックを検出することを目的とする。
【課題を解決するための手段】
【0007】
上述した課題を解決するために、本発明に係る異常検出装置は、通信ネットワークのトラヒック量の時系列データにおける一時的なトラヒック量の増加の有無を観測値とした混合確率モデルに対して、前記観測値の集合である観測データの分布を設定するように構成された第１設定部と、設定された前記観測データの分布に基づいて前記混合確率モデルのパラメータを設定するように構成された第２設定部と、設定された前記パラメータを有する前記混合確率モデルを、前記一時的なトラヒック量の増加である異常トラヒックの発生パターンを表す真の異常情報として、前記真の異常情報に類似する疑似異常情報を生成する生成器と、前記生成器によって生成された前記疑似異常情報と前記真の異常情報とを識別する識別器とを有する生成モデルの敵対的学習を行うように構成された学習部と、前記学習部によって構築された学習済み生成器を用いて前記疑似異常情報を生成するように構成された生成部と、前記生成部によって生成された前記疑似異常情報に基づいて、前記通信ネットワークで発生する前記異常トラヒックを検出するように構成された検出部とを備える。
【0008】
また、本発明に係る異常検出装置において、さらに、前記通信ネットワーク上のトラヒック量の時系列データを収集するように構成された収集部を備え、前記検出部は、前記疑似異常情報が示す、前記一時的なトラヒック量の増加を含む前記通信ネットワークのトラヒック量の時系列データと、前記収集部によって収集された前記通信ネットワークのトラヒック量の時系列データとが一致する場合に、前記異常トラヒックを検出してもよい。
【0009】
また、本発明に係る異常検出装置において、前記混合確率モデルは、混合ベルヌーイ分布に従うモデルであり、前記混合確率モデルの前記パラメータは、前記各クラスタが前記観測値を発生する確率を表す混合比率、および前記各クラスタの前記観測値が前記一時的なトラヒック量の増加が有り、となる確率を含んでいてもよい。
【0010】
上述した課題を解決するために、本発明に係る異常検出方法は、通信ネットワークのトラヒック量の時系列データにおける一時的なトラヒック量の増加の有無を観測値とした混合確率モデルに対して、前記観測値の集合である観測データの分布を設定する第１設定ステップと、設定された前記観測データの分布に基づいて前記混合確率モデルのパラメータを設定する第２設定ステップと、設定された前記パラメータを有する前記混合確率モデルを、前記一時的なトラヒック量の増加である異常トラヒックの発生パターンを表す真の異常情報として、前記真の異常情報に類似する疑似異常情報を生成する生成器と、前記生成器によって生成された前記疑似異常情報と前記真の異常情報とを識別する識別器とを有する生成モデルの敵対的学習を行う学習ステップと、前記学習ステップで構築された学習済み生成器を用いて前記疑似異常情報を生成する生成ステップと、前記生成ステップで生成された前記疑似異常情報に基づいて、前記通信ネットワークで発生する前記異常トラヒックを検出する検出ステップとを備える。
【0011】
また、本発明に係る異常検出方法において、さらに、前記通信ネットワーク上のトラヒック量の時系列データを収集する収集ステップを備え、前記検出ステップは、前記疑似異常情報が示す、前記一時的なトラヒック量の増加を含む前記通信ネットワークのトラヒック量の時系列データと、前記収集ステップで収集された前記通信ネットワークのトラヒック量の時系列データとが一致する場合に、前記異常トラヒックを検出してもよい。
【発明の効果】
【0012】
本発明によれば、設定されたパラメータを有する混合確率モデルを、一時的なトラヒック量の増加である異常トラヒックの発生パターンを表す真の異常情報として、真の異常情報に類似する疑似異常情報を生成する生成器と、生成器によって生成された疑似異常情報と真の異常情報とを識別する識別器とを有する生成モデルの敵対的学習を行う。そのため、大量の過去の異常トラヒックのデータを用いることなく、異常なトラヒックを検出することができる。
【図面の簡単な説明】
【0013】
【発明を実施するための形態】
【0014】
【0015】
［異常検出システムの構成］
まず、図１を参照して本発明の実施の形態に係る異常検出装置１を備える異常検出システムの概要について説明する。
まず、図１を参照して本発明の実施の形態に係る異常検出装置１を備える異常検出システムの概要について説明する。
【0016】
異常検出システムは、４Ｇ／ＬＴＥ、５Ｇ、６Ｇ等の移動通信システムに設けられ、異常検出装置１、通信端末２、基地局３、およびコアネットワーク４を備える。異常検出装置１とコアネットワーク４とは、例えば、ＷＡＮやインターネットなどのネットワークＮＷを介して接続されている。異常検出システムは、多数の通信端末２が同時間帯に移動通信サービスを利用することでトラヒック量が一時的に増加する異常トラヒックを検出する。
【0017】
通信端末２は、ＳＩＭを備え、スマートフォンなどの携帯通信端末、タブレット型コンピュータ、ラップトップ型コンピュータなどとして実現される。本実施の形態では複数の通信端末２が存在する。また、通信端末２は、ＩＰアドレスを有するＩｏＴ端末を含む。
【0018】
基地局３は、所定の通信規格に対応した無線基地局で構成され、通信エリアに在圏する通信端末２とコアネットワーク４との間の通信を中継する。基地局３は、バックホールリンクなどのネットワークを介してコアネットワーク４と接続する。
【0019】
コアネットワーク４は、通信データおよび制御信号を管理および制御し、通信端末２や基地局３とインターネットなどの外部ネットワークを接続する。コアネットワーク４は、例えば、５Ｇ通信規格に対応し、制御プレーン（Ｃ－ｐｌａｎｅ）内にＡＭＦ（Ａｃｃｅｓｓ ａｎｄ Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）、ＵＤＭ（Ｕｎｉｆｉｅｄ Ｄａｔａ Ｍａｎａｇｅｍｅｎｔ）、およびＵＤＲ（Ｕｎｉｆｉｅｄ Ｄａｔａ Ｒｅｐｏｓｉｔｏｒｙ）等の機能ノードを備える。
【0020】
コアネットワーク４が備えるＡＭＦは、ユーザ端末の登録や無線接続を管理する制御プレーンの機能ノードである。ＵＤＭは、コアネットワークにおける加入者情報の管理、ユーザ端末の移動管理などを行う機能ノードである。ＵＤＲは、通信端末２のＩＭＳＩや在圏情報を保持した加入者プロファイルを格納する。
【0021】
コアネットワーク４は、ユーザプレーン（Ｕ－ｐｌａｎｅ）内に、ＵＰＦ（Ｕｓｅｒ Ｐｌａｎｅ Ｆｕｎｃｔｉｏｎ）、ＰＧＷ（Ｐａｃｋｅｔ Ｄａｔａ Ｎｅｔｗｏｒｋ Ｇａｔｅｗａｙ）などの機能ノードを備える。ＵＰＦはデータ通信におけるパケットの転送やルーティングなどのトラヒック管理を行う。ＰＧＷは、通信端末２のデータトラフィックの外部ネットワークへのルーティングを行う。
【0022】
コアネットワーク４は、通信ネットワーク上のトラヒックデータを記録する。例えば、コアネットワーク４が備えるＡＭＦおよびＵＰＦは、通信ネットワークを所定の時間間隔ごとに流れたトラヒック量の時系列データを記録することができる。あるいは、コアネットワーク４は、図示されないネットワークモニタ装置を備え、ネットワークモニタ装置はキャプチャしたパケットやフローベースによる解析によるトラヒック量の時系列データを記録することができる。
【0023】
通信端末２は、位置登録要求、データ通信、セッション確立要求などの要求パケットを、基地局３を介してコアネットワーク４に送信し、これらの要求に対する応答パケットをコアネットワーク４から受信する。本実施の形態では、通信端末２がコアネットワーク４に送信する要求パケットにより、一時的なトラヒック量の増加である異常トラヒックを検出する場合について説明する。また、異常トラヒックは、短時間でトラヒック量が急増するバーストトラヒックである。
【0024】
上述した構成を有する本実施の形態に係る異常検出システムは、バーストトラヒックの発生パターンを混合ベルヌーイ分布によりモデル化した混合確率モデルを採用する。異常検出システムは、トラヒック量の時系列データにおいて、設定された時間帯や頻度で発生する一時的なトラヒック量の増加のパターンを反映するようにパラメータが設定された混合確率モデルを敵対的学習の真のデータとして、真のデータに類似する疑似データを生成する生成器１２１を学習する。さらに、異常検出システムは、学習済み生成器１２１’を用いて生成された疑似データをバーストトラヒックのデータベースとして持ち、収集された実際のトラヒックデータと突合することでバーストトラヒックを検出する。
【0025】
［異常検出装置の機能ブロック］
次に、本実施の形態に係る異常検出装置１の機能ブロックについて、図１のブロック図を参照して説明する。図１に示すように、異常検出装置１は、第１設定部１０、第２設定部１１、学習部１２、第１記憶部１３、生成部１４、第２記憶部１５、収集部１６、検出部１７、および提示部１８を備える。
次に、本実施の形態に係る異常検出装置１の機能ブロックについて、図１のブロック図を参照して説明する。図１に示すように、異常検出装置１は、第１設定部１０、第２設定部１１、学習部１２、第１記憶部１３、生成部１４、第２記憶部１５、収集部１６、検出部１７、および提示部１８を備える。
【0026】
第１設定部１０は、通信ネットワークのトラヒック量の時系列データにおける一時的なトラヒック量の増加の有無を観測値とした混合確率モデルに対して、観測値の集合である観測データの分布を設定する。本実施の形態では、混合確率モデルとして混合ベルヌーイ分布に従うモデルを採用する。観測値は、通信端末２から送信される要求パケットによるトラヒック量が、設定されたトラヒック量を超えるか否かを二値データで表した値である。設定されたトラヒック量は、通信ネットワークが許容できるトラヒック量の最大値などの基準値とすることができる。
【0027】
本実施の形態において採用される混合ベルヌーイ分布は、０と１とを要素とする長さＤのベクトルが作るＮ個の観測データがあるとき、その集合をクラスタリングするモデルである。本実施の形態では、時間軸上において通信ネットワークのトラヒック量が設定された値を超える時間帯およびその数や頻度などで表されるバーストトラヒックの発生パターンを複数のクラスタとして考え、時間軸上の複数の時間帯の各々で、設定されたトラヒック量を超えるか否かを０と１で表した観測値の集合を観測データとする。また、観測値は、二値分布を有する複数の異なるクラスタから発生する。
【0028】
ここで、Ｎ個の二値ベクトルである観測値ｘ１，ｘ２，…，ｘＮの集合の観測データＸが、Ｋ個のクラスタのパラメータμ１，μ２，…，μＫの集合すなわちパラメータデータセットＭをもつ混合ベルヌーイ分布に従うものとする。すなわち、観測データＸが複数のクラスタから生成されると仮定し、各クラスタには、試行が成功する確率、すなわち設定されたトラヒック量を超える確率を表すパラメータμが対応付けられている。
【0029】
観測データＸとパラメータデータセットＭとは、それぞれ次式（１）、（２）のように表される（Ｔは転置記号である。）。
【数1】
【0030】
ｎ番目の二値ベクトルの観測値ｘｎとｋ番目のパラメータベクトルμｋの各々は、さらに、以下の式（３）、（４）に示すようにそれぞれがＤ個の要素をもつベクトルとして表される。
【数2】
【0031】
観測値ｘｎの要素ｘｎ（ｉ）（ｉ＝１,２,…,Ｄ）の各々は、前述したように０または１の値をとる二値変数である。本実施の形態では、要素ｘｎ（ｉ）を以下のように定義する。
【数3】
【0032】
各時間帯で設定されたトラヒック量を超える確率、および各時間帯で設定されたトラヒック量を超えない確率は、それぞれ次式（６）、（７）で表される。
【数4】
【0033】
上式（６）、（７）から、観測データＸの観測値ｘｎにクラスタｋが割り当てられたときに、観測値ｘｎは、クラスタｋのパラメータμｋをもつ、次式（８）のベルヌーイ分布に従う。
【数5】
【0034】
ここで、各クラスタ（Ｋ個）の発生頻度のパラメータデータセットπを以下のように定義する。パラメータπは、観測値ｘｎがどの程度各クラスタに配分されるのかを示すパラメータである。したがって、パラメータπｋは、観測データＸの観測値ｘｎがクラスタｋで発生する混合比率を示す。
【数6】
【0035】
また、観測値ｘｎにクラスタｋが割り当てられたときに、観測値ｘｎは、μｋをパラメータとするＤ個のベルヌーイ分布に従う。さらに、各観測値ｘｎは、次式（１０）の混合ベルヌーイ分布によって独立に生成されるものとする。
【数7】
【0036】
上式（１０）の混合ベルヌーイ分布の定義式により、各クラスタにおけるベルヌーイ分布の確率を示すパラメータμｋと、そのクラスタの混合比率πｋとを組み合わせて、全てのクラスタから、観測値ｘｎが発生する確率を求めることができる。上式（１０）は、本実施の形態における混合確率モデルであり、各時間帯で通信ネットワークのトラヒック量が設定された値を超える確率分布を表している。
【0037】
図２の（ａ）、（ｂ）、および図３の（ａ）、（ｂ）は、第１設定部１０および第２設定部１１による観測データＸの分布の設定、およびパラメータμｋ、πｋの設定を説明するための図である。図２の（ｂ）および図３の（ｂ）に示すクラスタ１～Ｄは、トラヒック量が設定された値を超える時間帯およびその頻度、すなわちバーストトラヒックの発生パターンの全体を表す。クラスタの数はＤ個設けられ（Ｋ＝Ｄ）、これは、Ｄ個の時間帯であるタイムスロットの数に対応する。また、クラスタ間の縦方向のタイムスロットＩＤは互いに対応している。各クラスタを構成する「１～Ｄ」の観測値は、１～Ｄ個の時間帯の各々で、通信ネットワークのトラヒック量が、設定されたトラヒック量を超えるか否かを示す観測値ｘｎである。図２の（ｂ）の例では、各クラスタの１～Ｄの各データにおいて、トラヒック量が設定された値を超える時間帯（図中の黒丸点）と、設定された量を超えない時間帯（図中の黒丸点以外のデータ）とが設定されている。
【0038】
図２の（ｂ）の例では、第１設定部１０は、各クラスタに「設定されたトラヒック量を超える：１」観測値を１つ設定し、これ以外の観測値は「設定されたトラヒック量を超えない：０」。したがって、クラスタ１のタイムスロット「１」の観測値、クラスタ２のタイムスロット「２」の観測値、およびクラスタＤのタイムスロット「Ｄ」の観測値が、「設定されたトラヒック量を超える：１」をとる。さらに、第１設定部１０は、「設定されたトラヒック量を超える：１」確率（例えば、９０％など）を設定することができる。このように、第１設定部１０は、各クラスタにおいて、どのタイムスロットにおいて設定されたトラヒック量を超えるバーストトラヒックを発生させるかを設定することができる。
【0039】
第２設定部１１は、第１設定部１０によって設定された観測データＸの分布に基づいて、混合確率モデルのパラメータを設定する。第２設定部１１は、第１設定部１０により設定された各クラスタで「設定されたトラヒック量を超える：１」となる時間帯およびその数に基づいて、混合確率モデルのパラメータμｋ、πｋの値を設定することができる。
【0040】
また、第２設定部１１は、第１設定部１０が各クラスタの観測値ｘｎの発生確率を設定した場合には、設定された各クラスタの観測値ｘｎの発生確率を考慮した混合比率を設定し、さらにパラメータμｋ、πｋの値を調整し決定することができる。
【0041】
例えば、図２の（ｂ）に示すように、第２設定部１１は、第１設定部１０による各クラスタの観測値ｘｎの設定に基づいて、クラスタ１～Ｄの観測データＸに占める割合を均等に設定することができる。第２設定部１１は、各クラスタ１～Ｄが選ばれる確率を均等とするために、上式（９）のパラメータπ１～πＤの値を１／Ｄと設定することができる。さらにこのとき、第２設定部１１は、混合比率を表すパラメータπｋと、観測値ｘｎの発生確率を表すパラメータμｋとを相互に調整し、決定することができる。
【0042】
このように、第２設定部１１は、第１設定部１０によってクラスタごとに設定された、各時間帯でトラヒック量が設定された値を超える観測値の発生確率に基づいて、各パラメータμｋ、πｋの値を調整し、上式（１０）の混合確率モデルにおいて、特定のクラスタからｘｎが発生する確率をさらに調整することができる。
【0043】
図２の（ａ）は、図２の（ｂ）のクラスタ１～Ｄによるバーストトラヒックの発生パターンを表すトラヒック量の時系列データである。縦軸は、トラヒック量［ｂｐｓ］、横軸は時間［ｓ］を示す。タイムスロット「１」～「Ｄ」のすべての時間帯にわたって設定されたトラヒック量ＴＨを超えた値となっている。すなわち、図２の（ａ）のトラヒック量の時系列データは、各クラスタで、１個のタイムスロットのトラヒック量が設定された値ＴＨを超えるように設定され、さらに、各クラスタが均等に選ばれるように設定されたことに対応するバーストトラヒックの発生パターンである。
【0044】
一方、図３の（ｂ）においては、第１設定部１０は、クラスタ１～Ｄのうち、クラスタ２のタイムスロット「２」、クラスタ４のタイムスロット「４」、およびクラスタ１０のタイムスロット「１０」において、設定されたトラヒック量ＴＨを超える観測値を設定する。また、第２設定部１１は、クラスタ１～Ｄのパラメータのうち、クラスタ２、４、１０がそれぞれ選ばれる確率を均等とするために、π２＝π４＝π１０＝１／３と設定する。クラスタ２、４、１０以外のクラスタのパラメータπｋは、０と設定される。
【0045】
このようなクラスタの設定により、図３の（ａ）に示すように、点線で示すタイムスロット「２」、「４」、「１０」の時間帯で、設定されたトラヒック量ＴＨを超え、それ以外のタイムスロットでは、設定されたトラヒック量ＴＨを超えないバーストトラヒックの発生パターンが得られる。
【0046】
第１設定部１０および第２設定部１１によって、各クラスタから観測値ｘｎが発生する確率および各クラスタが選ばれる確率が事前に設定された混合確率モデルは、以下の学習部１２による敵対的学習の際の真のデータとして用いられる。
【0047】
学習部１２は、第２設定部１１により設定されたパラメータμｋ、πｋを有する混合確率モデルを、一時的なトラヒック量の増加である異常トラヒックを表す真の異常情報として、真の異常情報に類似する疑似異常情報を生成する生成器１２１と、生成器１２１によって生成された疑似異常情報と真の異常情報とを識別する識別器１２２とを有する生成モデルの敵対的学習を行う。真の異常情報は、事前に設定されたバーストトラヒックの発生パターンが反映された情報である。学習部１２は、混合確率モデルの１～Ｋ個のクラスタの各々について、学習済み生成器１２１’（学習済み生成器１２１’＿１，・・・，１２１’＿Ｋ）を構築することができる。本実施の形態では、Ｄ個のクラスタが設けられるため、学習済み生成器１２１’＿１，・・・，１２１’＿Ｄが構築される。
【0048】
学習部１２は、図４に示すように、生成器１２１および識別器１２２を有するＧＡＮ（Ｇｅｎｅｒａｔｉｖｅ Ａｄｖｅｒｓａｒｉａｌ Ｎｅｔｗｏｒｋ）を敵対的に学習させる。本実施の形態では、生成器１２１と識別器１２２とのペアをクラスタの数だけ（Ｋ個）設けることができる。あるいは、図４に示すように、Ｄ個の生成器１２１＿１，・・・，１２１＿Ｄに対して１つの識別器１２２を設けることができる。学習部１２の学習により、Ｄ個の学習済み生成器１２１’（学習済み生成器１２１’＿１，・・・，１２１’＿Ｄ）が構築される。
【0049】
図５および図６は、学習部１２が用いるＧＡＮの生成器１２１および識別器１２２のニューラルネットワーク構成を模式的に表した図である。図５に示すように、生成器１２１は、入力層、隠れ層、および出力層を有するニューラルネットワークで構成される。なお、Ｋ個の生成器１２１＿１，・・・，１２１＿Ｄはそれぞれ同じネットワーク構造を有し、以下では生成器１２１と総称して説明する。生成器１２１は、ランダムな雑音から疑似異常情報を生成するモデルである。生成器１２１の入力ノードには、例えば、ガウス雑音のベクトルがランダムにｍ個サンプルされて入力される（ｚ１～ｚｍ）。
【0050】
生成器１２１は、入力と重みパラメータの積和演算および活性化関数によるしきい値処理を経て出力Ｇ（ｚ）を出力する。生成器１２１からの出力Ｇ（ｚ）は、第２設定部１１が設定したパラメータμｋ、πｋを有する混合確率モデルにより得られる観測データＸに類似するデータである。より具体的には、生成器１２１は、設定されたパラメータμｋ、πｋを有する混合確率モデルにより得られる各クラスタの観測値ｘｎに類似するデータを生成する。図５の各出力Ｇ（ｚ１）～Ｇ（ｚＤ）は、各クラスタの観測値ｘｎの各々に対応する。生成器１２１を構成するニューラルネットワークとしてＣＮＮやＲｅｓＮｅｔを用いることができる。
【0051】
図６に示す識別器１２２は、入力層、隠れ層、および出力層を有するニューラルネットワークで構成される。図６の例では、訓練データの入力として、第２設定部１１により設定されたパラメータμｋ、πｋを有する混合確率モデルによって得られる、各クラスタの観測値ｘｎが与えられる。
【0052】
識別器１２２は、入力と重みパラメータの積和演算および活性化関数によるしきい値処理を経て、１または０の二値出力を出す。識別器１２２は、入力された真の異常情報に係る訓練データを正しく真の異常情報であると識別すると出力ｙ＝１を出力する。一方、入力された疑似異常情報に係る訓練データを正しく疑似異常情報であると識別すると出力ｙ＝０を出力する。このように、識別器１２２は、生成器１２１が生成したモデル分布を真の分布である訓練データのデータ分布から区別するモデルである。識別器１２２を構成するニューラルネットワークとしてＣＮＮを用いることができる。
【0053】
図４は、学習部１２によるＧＡＮの敵対的学習を説明するためのブロック図である。学習部１２が採用するＧＡＮの生成器１２１を関数Ｇ、識別器１２２を関数Ｄと表す。また、真の異常情報をｘ、識別器１２２による出力である予測値はｙと表し、正解ラベルをｔと表す。正解ラベルｔは、真の異常情報に対して１、生成器１２１で生成された疑似異常情報に対して０と設定される。このとき、識別器１２２は、二値分類問題として次式（１１）の交差エントロピーＥＣＥで表すことができる。
【0054】
【数8】
【0055】
上式（１１）のブレース内の第１項が表すｔｎｌｎｙｎにおいて、識別器１２２の予測値ｙｎが、真の異常情報の正解ラベルｔｎ＝１の値に近づくことが望ましい。一方、ブレース内の第２項が表す（１－ｔｎ）ｌｎ（１－ｙｎ）においては、識別器１２２の予測値ｙｎが、疑似異常情報と識別する正解ラベルの値（１－ｔｎ）＝０に近づくことが望ましい。このように交差エントロピーＥＣＥは、予測値が正解ラベルの値に一致している場合に最大値となる。
【0056】
ここで、ＧＡＮを構成する生成器１２１は、パラメータｗＧ，θＧを有し、関数Ｇ（ｗＧ，θＧ）と表す。また、識別器１２２は、パラメータｗＤ，θＤを有し、関数Ｄ（ｗＤ，θＤ）と表す。上式（１１）の交差エントロピーＥＣＥに基づいた生成器１２１と識別器１２２とを備えるＧＡＮの目的関数Ｅは、次式（１２）で表すことができる。
【数9】
【0057】
上式（１２）の第１項が表すＥＤ（ｘ）＝１ｌｎＤ（ｗＤ，θＤ）は、識別器１２２が真の異常情報を真の異常情報であると識別する期待値である。上式（１２）の第２項が表すＥＤ（ｘ）＝０ｌｎ（１－Ｄ（Ｇ（ｗＧ，θＧ），ｗＤ，θＤ））は、生成器１２１により生成された疑似異常情報を識別器１２２が疑似異常情報であると識別する期待値である。ＧＡＮの学習では、目的関数Ｅのｍｉｎ－ｍａｘ最適化により、生成器１２１と識別器１２２とを敵対的に学習する。したがって、識別器１２２をだますような疑似異常情報を生成できるように生成器１２１を学習し、生成器１２１が生成した疑似異常情報を疑似異常情報であると識別するように識別器１２２を学習する。
【0058】
識別器１２２の学習では、真の異常情報が与えられた場合に、識別器１２２がｙ＝１に近い出力を出すことで、上式（１２）の目的関数Ｅの第１項を最大化する。一方、疑似異常情報が与えられた場合に、識別器１２２がｙ＝０に近い出力を出すことで目的関数Ｅの第２項を最大化するように学習が行われる。
【0059】
生成器１２１の学習では、上式（１２）のＤ（Ｇ（ｗＧ，θＧ），ｗＤ，θＤ）（図４のＤ（Ｇ（ｚ）））が１に近くなるようなＧ（ｗＧ，θＧ）（図４のＧ（ｚ））を出力することで、目的関数Ｅを最小化する。学習部１２は、生成器１２１のパラメータと識別器１２２のパラメータとを交互に更新する学習手順を用いる。なお、学習部１２による生成器１２１および識別器１２２の学習手順の詳細は後述する。
【0060】
第１記憶部１３は、学習部１２によってＧＡＮの目的関数Ｅが最適化された学習済み生成器１２１’を記憶する。より詳細には、第１記憶部１３は、クラスタ１～Ｄに対応するＤ個の学習済み生成器１２１’（学習済み生成器１２１’＿１，・・・，１２１’＿Ｄ）を記憶する。また、第１記憶部１３は、パラメータμｋ、πｋが設定された上式（１０）の混合確率モデルを記憶する。
【0061】
生成部１４は、学習部１２によって構築された学習済み生成器１２１’を用いて疑似異常情報を生成する。より詳細には、生成部１４は、クラスタ１～Ｋに対応するＤ個の学習済み生成器１２１’＿１，・・・，１２１’＿Ｄのそれぞれの演算を行って、疑似異常情報を生成する。
【0062】
第２記憶部１５は、生成部１４によって生成された疑似異常情報を記憶する。第２記憶部１５が記憶する疑似異常情報は、バーストトラヒックの発生パターンのデータベースである。
【0063】
収集部１６は、通信ネットワーク上のトラヒック量の時系列データを収集する。例えば、収集部１６は、ネットワークＮＷを介して、コアネットワーク４で記録されたトラヒック量の履歴を収集することができる。
【0064】
検出部１７は、生成部１４によって生成された疑似異常情報に基づいて、通信ネットワークで発生するバーストトラヒックを検出する。検出部１７は、生成部１４によって生成された疑似異常情報が示す、一時的なトラヒック量の増加を含む通信ネットワークのトラヒック量の時系列データと、収集部１６によって収集された通信ネットワークのトラヒック量の時系列データとが一致する場合に、バーストトラヒックを検出することができる。
【0065】
より詳細には、検出部１７は、収集部１６によって収集されたトラヒック量の時系列データを、上式（５）に対応する二値データの時系列に変換する。具体的には、検出部１７は、設定されたトラヒック量の値に基づいて、収集されたトラヒック量の時系列データを、「設定されたトラヒック量を超える：１」および「設定されたトラヒック量を超えない：０」の二値表現に変換する。
【0066】
検出部１７は、疑似異常情報が示す、各時間帯でトラヒック量が設定された値を超える確率に基づく上式（５）に応じた二値データの時系列と、収集されたトラヒック量の時系列データの二値データの時系列とが一致する場合に、バーストトラヒックを検出することができる。また、検出部１７は、収集されたトラヒック量の時系列データの二値データの時系列と疑似異常情報が示すトラヒック量の時系列データの二値データの時系列とを逐次比較し、早い時間帯から順に一致を確認することができる。例えば、図３の（ａ）に示すように、バーストトラヒックの発生を示すピークの値よりも前の時間帯でトラヒック量の時系列データの二値データの時系列が一致する場合に、事前にバーストトラヒックの発生を予測することができる。
【0067】
提示部１８は、検出部１７による異常トラヒックの検出結果を提示する。例えば、提示部１８は、ネットワークＮＷを介して、外部のトラヒック管理サーバに対して、バーストトラヒックの発生が予測される時間帯を通知することができる。
【0068】
［異常検出装置のハードウェア構成］
次に、上述した機能を有する異常検出装置１を実現するハードウェア構成の一例について、図７を用いて説明する。
次に、上述した機能を有する異常検出装置１を実現するハードウェア構成の一例について、図７を用いて説明する。
【0069】
図７に示すように、異常検出装置１は、例えば、バス１０１を介して接続されるプロセッサ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力Ｉ／Ｏ１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。さらに、異常検出装置１は、表示装置１０７を備える。
【0070】
プロセッサ１０２は、ＣＰＵ、ＧＰＵ、ＦＰＧＡ、ＡＳＩＣなどによって実現される。
【0071】
主記憶装置１０３には、プロセッサ１０２が各種制御や演算を行うためのプログラムが予め格納されている。プロセッサ１０２と主記憶装置１０３とによって、図１に示した第１設定部１０、第２設定部１１、学習部１２、生成部１４、収集部１６、検出部１７、および提示部１８など異常検出装置１の各機能が実現される。
【0072】
通信インターフェース１０４は、異常検出装置１と各種外部電子機器との間をネットワーク接続するためのインターフェース回路である。
【0073】
補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。
【0074】
補助記憶装置１０５は、異常トラヒックを検出する異常検出プログラムを格納するプログラム格納領域を有する。また、補助記憶装置１０５は、混合ベルヌーイ分布に係る混合確率モデルの演算を行う混合確率モデル演算プログラムを格納するプログラム格納領域を有する。また、補助記憶装置１０５は、異常検出装置１が実行するＧＡＮの敵対的学習を行うための学習プログラムを格納するプログラム格納領域を有する。補助記憶装置１０５によって、図１で説明した第１記憶部１３および第２記憶部１５が実現される。さらには、例えば、上述したデータやプログラムなどをバックアップするためのバックアップ領域などを有していてもよい。
【0075】
入出力Ｉ／Ｏ１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりする入出力装置である。
【0076】
表示装置１０７は、有機ＥＬディスプレイや液晶ディスプレイなどによって構成される。表示装置１０７によって提示部１８を実現することができる。
【0077】
【0078】
図８に示すように、まず、第１設定部１０は、混合確率モデルにおいて観測データＸの分布を設定する（ステップＳ１）。具体的には、第１設定部１０は、設定されたバーストトラヒックの発生パターンが反映されるように、クラスタごとに観測値ｘｎを設定する。なお、図２および図３で説明したように、クラスタの数は観測値の数、すなわちタイムスロットの数（Ｋ＝Ｄ）とする。
【0079】
次に、第２設定部１１は、ステップＳ１で設定された観測データＸの分布となるように混合確率モデルのパラメータμｋ、πｋを設定する（ステップＳ２）。具体的には、第２設定部１１は、上式（１０）の混合確率モデルに、クラスタごとに設定された観測値ｘｎを有する観測データＸを与えた際の、パラメータμｋ、πｋを調整して決定する。例えば、第２設定部１１は、ステップＳ１で設定されたクラスタごとの観測値ｘｎの発生確率を考慮して、各クラスタの選ばれやすさを示す混合比率のパラメータπｋを設定し、さらにパラメータμｋ、πｋの値を相互に調整し決定することができる。パラメータμｋ、πｋが設定された混合確率モデルは、第１記憶部１３に記憶される。
【0080】
続いて、学習部１２は、学習処理を行う（ステップＳ３）。具体的には、学習部１２は、ステップＳ２で設定されたパラメータμｋ、πｋを有する混合確率モデルを、バーストトラヒックの発生パターンを示す真の異常情報として、真の異常情報に類似する疑似異常情報を生成する生成器１２１と、生成器１２１によって生成された疑似異常情報と真の異常情報とを識別する識別器１２２とを有するＧＡＮの敵対的学習を行う。学習処理によって、クラスタ１～Ｄのそれぞれに対応するＤ個の学習済み生成器１２１’＿１，・・・，１２１’＿Ｄが構築され、第１記憶部１３に記憶される。なお、ステップＳ３での学習処理の詳細は後述する。
【0081】
次に、生成部１４は、ステップＳ３で学習部１２によって構築された学習済み生成器１２１’を用いて疑似異常情報を生成する（ステップＳ４）。より詳細には、生成部１４は、ステップＳ４において、クラスタ１～Ｄに対応するＤ個の学習済み生成器１２１’＿１，・・・，１２１’＿Ｄのそれぞれの演算を行って、疑似異常情報を生成する。その後、第２記憶部１５は、ステップＳ４で生成された疑似異常情報を記憶する（ステップＳ５）。
【0082】
次に、収集部１６は、通信ネットワーク上のトラヒック量の時系列データを収集する（ステップＳ６）。例えば、収集部１６は、ネットワークＮＷを介して、コアネットワーク４で記録されたトラヒック量の履歴を収集することができる。続いて、検出部１７は、ステップＳ６で収集されたトラヒック量の時系列データを、上式（５）に対応する二値データの時系列に変換する（ステップＳ７）。ステップＳ７では、基準値として設定されたトラヒック量の値に基づいて、トラヒック量の時系列データを、「設定されたトラヒック量を超える：１」および「設定されたトラヒック量を超えない：０」の二値データに変換する。
【0083】
続いて、検出部１７は、ステップＳ５で第２記憶部１５に記憶された疑似異常情報に基づいて、通信ネットワークで発生する異常トラヒックを検出する（ステップＳ８）。検出部１７は、生成部１４によって生成された疑似異常情報が示す、バーストトラヒックの発生パターンを表すトラヒック量の時系列データに対応する二値データの時系列と、ステップＳ６で収集部１６によって収集され、さらにステップＳ７で変換されたトラヒック量の時系列データの二値データの時系列とが一致する場合に、異常トラヒックを検出することができる。ステップＳ８において検出部１７は、疑似異常情報が示すトラヒック量のバーストの発生前の時間帯で、トラヒック量の時系列データに対応する二値データの時系列が一致する場合に、将来発生するバーストトラヒックを予測することができる。
【0084】
その後、提示部１８は、ステップＳ７で検出部１７による異常トラヒックの検出結果を提示する（ステップＳ９）。例えば、ステップＳ８では、提示部１８は、ネットワークＮＷを介して、外部のトラヒック管理サーバ等に対して、バーストトラヒックの発生が予測される時間帯を通知することができる。
【0085】
次に、図９を参照し、図８で説明した異常検出装置１の学習部１２による学習処理（ステップＳ３）を説明する。図９に示す学習処理の例では、学習部１２は、１～Ｄ個のクラスタごとの真の異常情報を繰り返し学習する。まず、学習部１２は、真の異常情報を訓練データ１２４として識別器１２２に入力し、真の異常情報を真の異常情報（ｙ＝１）と識別するように、識別器１２２のパラメータｗＤ，θＤを学習し、更新する（ステップＳ２０）。
【0086】
図４の学習部１２のブロック図に示すように、図８のステップＳ２で設定されたパラメータμｋ、πｋを有する混合確率モデルは、バーストトラヒックの発生パターンを示す真の異常情報であり、識別器１２２を学習する際の訓練データ１２４として用いられる。ステップＳ２０では、まず、真の異常情報として、クラスタ１～クラスタＤのうち、クラスタ１の１～Ｄ個の観測値ｘｎを訓練データ１２４として用いる。
【0087】
ステップＳ２０において、学習部１２は、例えば、誤差逆伝搬法などを用いて識別器１２２に真の異常情報を学習させることができる。ステップＳ２０により、クラスタ１の真の異常情報を真の異常情報と識別することができる識別器１２２が事前に構築される。
【0088】
次に、学習部１２は、ガウス雑音を発生し、発生したガウス雑音のランダムなベクトルを生成器１２１に入力として与える（ステップＳ２１）。続いて、生成器１２１は、与えられたガウス雑音に基づいて、入力ｚと重みパラメータｗＧ，θＧの積和演算および活性化関数によるしきい値処理を行い、疑似異常情報Ｇ（ｚ）を生成する（ステップＳ２２）。ステップＳ２２では、図４に示すように、学習部１２は、Ｄ個の生成器１２１＿１，・・・，１２１＿Ｄの各々で生成された１～Ｄ個の出力を合成して（図４に示す点ａ）、１つの疑似異常情報Ｇ（ｚ）を生成する。
【0089】
次に、学習部１２は識別器１２２の学習を行う。識別器１２２の学習は、生成器１２１のパラメータｗＤ，θＤを固定して行われる。まず、学習部１２は、図８のステップＳ２で設定されたパラメータμｋ、πｋを有する混合確率モデルである、真の異常情報を訓練データ１２４として識別器１２２に入力として与える。そして、学習部１２は、上式（１２）の目的関数Ｅが最大となるように、誤差逆伝搬法などによりパラメータｗＤ，θＤを更新する（ステップＳ２３）。なお、訓練データ１２４のラベルは１（真の異常情報）が設定されている。ステップＳ２３では、まず、学習部１２は、Ｄ個のクラスタ１～クラスタＤのうちのクラスタ１の１～Ｄ個の観測値ｘｎを真の異常情報として用いて、識別器１２２を学習する。
【0090】
次に、学習部１２は、ステップＳ２２で生成器１２１によって生成された疑似異常情報を識別器１２２に入力として与え、上式（１２）の目的関数Ｅが最大となるように、誤差逆伝搬法などによりパラメータｗＤ，θＤを更新する（ステップＳ２４）。すなわち、ステップＳ２３およびステップＳ２４では、上式（１２）の目的関数Ｅを最大にするために、第１項はＤ（ｗＤ，θＤ）＝１が出力され、第２項はＤ（Ｇ（ｗＧ，θＧ），ｗＤ，θＤ）＝０となるように最適化が行われる。なお、訓練データ１２４には、ラベルは０（疑似異常情報）が設定されている。ステップＳ２４では、Ｄ個の生成器１２１＿１，・・・，１２１＿Ｄの各々で生成され、合成された１つの疑似異常情報Ｇ（ｚ）を用いて、識別器１２２を学習する。
【0091】
ステップＳ２３およびステップＳ２４での識別器１２２の学習は、図４に示す学習部１２のブロック図において、識別器１２２からの出力１２３に基づいて、目的関数Ｅのブロック１２５で識別器誤差が算出され、その後、識別器１２２へ誤差逆伝搬されることを示す破線の矢印に対応する。
【0092】
次に、学習部１２は生成器１２１（生成器１２１＿１，・・・，１２１＿Ｄ）の学習を行う。生成器１２１の学習では、識別器１２２のパラメータが固定されて行われる。学習部１２は、ランダムなガウス雑音を生成器１２１に与えた際に疑似異常情報が生成されるように生成器１２１を学習する。具体的には、学習部１２は、上式（１２）の目的関数Ｅを最小とするために、誤差逆伝搬法などによりパラメータｗＧ，θＧを更新する（ステップＳ２５）。
【0093】
ステップＳ２５での学習は、図４の学習部１２のブロック図において、生成器１２１へ誤差逆伝搬されることを示す破線の矢印のフローに対応する。すなわち、ステップＳ２５は、図４の生成器１２１で生成された疑似異常情報が識別器１２２に入力され、その出力１２３から目的関数Ｅのブロック１２５で生成器誤差が算出され、さらには、生成器１２１へ誤差逆伝搬される破線矢印のフローに対応する。
【0094】
その後、目的関数Ｅの値がナッシュ均衡に到達して収束するまで（ステップＳ２６：ＮＯ）、ステップＳ２２からステップＳ２５までの識別器１２２および生成器１２１（生成器１２１＿１～生成器１２１＿Ｄ）の学習が繰り返し行われる。一方、目的関数Ｅの値が収束した場合（ステップＳ２６：ＹＥＳ）、クラスタ１～クラスタＤまでのすべての真の異常情報のうち、クラスタ２～クラスタＤまでの残りの真の異常情報を順番に用いて、Ｄ個の生成器１２１＿１，・・・，１２１＿Ｄ、および識別器１２２の学習が行われるまで（ステップＳ２７：ＮＯ）、ステップＳ２０からステップＳ２６までの処理が繰り返される。
【0095】
その後、クラスタ２～クラスタＤまでの残りのＤ－１個のクラスタの真の異常情報を用いて生成器１２１（生成器１２１＿１～生成器１２１＿Ｄ）および識別器１２２の学習が行われた場合（ステップＳ２７：ＹＥＳ）、学習部１２は、１～Ｄ個の学習済み生成器１２１’＿１，・・・，１２１’＿Ｄを第１記憶部１３に記憶する（ステップＳ２８）。以上のステップＳ２０からステップＳ２８までの処理によって学習済み生成器１２１’が構築される。さらにその後、処理は、図８のステップＳ４に移行する。
【0096】
以上説明したように、本実施の形態に係る異常検出装置１によれば、バーストトラヒックの発生を混合ベルヌーイ分布によりモデル化し、疑似的に発生させたバーストトラヒックの発生パターンを表す観測データＸの分布となるようにパラメータμｋ、πｋを設定した混合確率モデルをＧＡＮの敵対的学習での真のデータとして用いる。さらに、敵対的学習により構築された学習済み生成器１２１’によって生成された疑似異常情報をバーストトラヒックの発生パターンとしてデータベース化し、収集された実際のトラヒック量の時系列データが、データベースのバーストトラヒックの発生パターンに一致する場合、バーストトラヒックを検出する。そのため、大量の過去のバーストトラヒックのデータを用いることなく、バーストトラヒックを検出することができる。
【0097】
また、本実施の形態に係る異常検出装置１によれば、バーストトラヒックの発生パターンが反映されたパラメータμｋ、πｋが設定された混合確率モデルを、ＧＡＮの敵対的学習での真のデータである真の異常情報として用い、真の異常情報に類似する疑似異常情報、すなわち、真の異常情報とは必ずしも一致しない疑似異常情報を生成する生成器１２１を学習する。そのため、ＧＡＮの敵対的学習を行うことにより、混合ベルヌーイ分布に従う混合確率モデルの潜在変数の学習を行うことができる。
【0098】
また、本実施の形態に係る異常検出装置１によれば、トラヒック量が設定された値を超えるか否かを混合ベルヌーイ分布の各クラスタの観測値とするので、バーストトラヒックの発生にみられる短時間にトラヒック量が急増する頻度やパターンをクラスタごとに指定することができる。そのため、バーストトラヒックの発生パターンを詳細に設定し、より効果的なバーストトラヒックの検出が可能となる。
【0099】
また、本実施の形態に係る異常検出装置１によれば、学習済み生成器１２１’によって生成された疑似異常情報が示すトラヒック量の時系列データと、収集された実際のトラヒック量の履歴との比較を行うため、将来発生するバーストトラヒックを予測することが可能となる。
【0100】
なお、説明した実施の形態では、第１設定部１０が、各クラスタの１～Ｄ個の観測値において、「設定されたトラヒック量を超える：１」となる時間帯、あるいは「設定されたトラヒック量を超えない：０」となる時間帯を設定し、さらには各観測値の発生確率を設定する場合について説明した。また、第２設定部１１が、第１設定部１０による設定に基づいて混合比率のパラメータπｋを設定し、さらに、観測値の発生確率を示すパラメータμｋと混合比率のパラメータπｋとを相互に調整し、パラメータμｋ、πｋを決定する場合について説明した。しかし、第１設定部１０は、観測データＸにおいて、各クラスタの１～Ｄ個の観測値の具体的な二値の値を設定し、第２設定部１１が、各観測値の発生確率を設定し、パラメータμｋ、πｋを相互に調整する構成としてもよい。
【0101】
以上、本発明の異常検出装置、および異常検出方法における実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。
【符号の説明】
【0102】
１…異常検出装置、２…通信端末、３…基地局、４…コアネットワーク、１０…第１設定部、１１…第２設定部、１２…学習部、１３…第１記憶部、１４…生成部、１５…第２記憶部、１６…収集部、１７…検出部、１８…提示部、１０１…バス、１０２…プロセッサ、１０３…主記憶装置、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力Ｉ／Ｏ、１０７…表示装置、１２１…生成器、１２１’…学習済み生成器、１２２…識別器、１２３…出力、１２４…訓練データ、１２５…目的関数Ｅのブロック、ＮＷ…ネットワーク。
【要約】
【課題】大量の過去の異常トラヒックのデータを用いることなく、異常なトラヒックを検出することを目的とする。
【解決手段】
異常検出装置１は、設定されたパラメータを有する混合確率モデルを、一時的なトラヒック量の増加である異常トラヒックの発生パターンを表す真の異常情報として、真の異常情報に類似する疑似異常情報を生成する生成器１２１と、生成器１２１によって生成された疑似異常情報と真の異常情報とを識別する識別器１２２とを有する生成モデルの敵対的学習を行う学習部１２と、学習部１２によって構築された学習済み生成器を用いて疑似異常情報を生成する生成部１４と、生成部１４によって生成された疑似異常情報に基づいて、通信ネットワークで発生する異常トラヒックを検出する検出部１７とを備える。
【選択図】図１
【解決手段】
異常検出装置１は、設定されたパラメータを有する混合確率モデルを、一時的なトラヒック量の増加である異常トラヒックの発生パターンを表す真の異常情報として、真の異常情報に類似する疑似異常情報を生成する生成器１２１と、生成器１２１によって生成された疑似異常情報と真の異常情報とを識別する識別器１２２とを有する生成モデルの敵対的学習を行う学習部１２と、学習部１２によって構築された学習済み生成器を用いて疑似異常情報を生成する生成部１４と、生成部１４によって生成された疑似異常情報に基づいて、通信ネットワークで発生する異常トラヒックを検出する検出部１７とを備える。
【選択図】図１
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
