特許 7578859 通信監視装置、および通信監視方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2024-10-28

(45)【発行日】2024-11-06

(54)【発明の名称】通信監視装置、および通信監視方法

(51)【国際特許分類】

   H04L 43/0876 20220101AFI20241029BHJP

【ＦＩ】

H04L43/0876

【請求項の数】 9

(21)【出願番号】P 2024122997

(22)【出願日】2024-07-30

【審査請求日】2024-07-30

【早期審査対象出願】

(73)【特許権者】

【識別番号】397036309

【氏名又は名称】株式会社インターネットイニシアティブ

(74)【代理人】

【識別番号】100118902

【弁理士】

【氏名又は名称】山本 修

(74)【代理人】

【識別番号】100106208

【弁理士】

【氏名又は名称】宮前 徹

(74)【代理人】

【識別番号】100196508

【弁理士】

【氏名又は名称】松尾 淳一

(74)【代理人】

【識別番号】100195408

【弁理士】

【氏名又は名称】武藤 陽子

(72)【発明者】

【氏名】柿島 純

【審査官】宮島 郁美

(56)【参考文献】

【文献】特開２０１８－９３４３２（ＪＰ，Ａ）

【文献】特開２０１８－１２５６３２（ＪＰ，Ａ）

【文献】特開２０２０－１０８０２９（ＪＰ，Ａ）

【文献】特許第７５２１１４５（ＪＰ，Ｂ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ１２／００－６９／００

(57)【特許請求の範囲】

【請求項1】

ネットワーク帯域幅の異常な使用を行うユーザ端末の時間区間ごとの通信量の時系列データを教師データとして、前記時間区間を順次入力として与えた場合に、前記時間区間ごとのユーザ端末の通信量を出力する再帰型ニューラルネットワークを学習するように構成された第１学習部と、
前記第１学習部による学習で構築された学習済み再帰型ニューラルネットワークを、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末の前記時間区間ごとの通信量の時系列データについての真の異常データとして、前記真の異常データに類似する疑似異常データを生成する生成器と、前記生成器によって生成された前記疑似異常データと前記真の異常データとを識別する識別器とを有する生成モデルの敵対的学習を行うように構成された第２学習部と、
前記第２学習部の敵対的学習によって得られた学習済み生成器を用いて前記疑似異常データを生成するように構成された生成部と、
監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データと、前記生成部によって生成された前記疑似異常データとが一致する場合に、前記監視対象のユーザ端末が、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末であると判定するように構成された判定部と、
前記判定部による判定結果を通知するように構成された通知部と
を備える通信監視装置。

【請求項2】

請求項１に記載の通信監視装置において、
さらに、前記教師データとして用いられる、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末の前記時間区間ごとの通信量の時系列データを取得するように構成された第１取得部を備え、
前記ネットワーク帯域幅の前記異常な使用は、ユーザ端末が使用可能なネットワーク帯域幅の上限を超えた使用を含む
ことを特徴とする通信監視装置。

【請求項3】

請求項１に記載の通信監視装置において、
さらに、前記判定部は、前記監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データが、前記真の異常データと一致する場合に、前記監視対象のユーザ端末が、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末であると判定する
ことを特徴とする通信監視装置。

【請求項4】

請求項１に記載の通信監視装置において、
さらに、前記監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データをコアネットワークから取得するように構成された第２取得部を備える
ことを特徴とする通信監視装置。

【請求項5】

請求項１に記載の通信監視装置において、
前記疑似異常データは、前記真の異常データのデータ分布との統計的な距離が最小となるデータ分布を有する
ことを特徴とする通信監視装置。

【請求項6】

ネットワーク帯域幅の異常な使用を行うユーザ端末の時間区間ごとの通信量の時系列データを教師データとして、前記時間区間を順次入力として与えた場合に、前記時間区間ごとのユーザ端末の通信量を出力する再帰型ニューラルネットワークを学習する第１学習ステップと、
前記第１学習ステップによる学習で構築された学習済み再帰型ニューラルネットワークを、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末の前記時間区間ごとの通信量の時系列データについての真の異常データとして、前記真の異常データに類似する疑似異常データを生成する生成器と、前記生成器によって生成された前記疑似異常データと前記真の異常データとを識別する識別器とを有する生成モデルの敵対的学習を行う第２学習ステップと、
前記第２学習ステップでの敵対的学習によって得られた学習済み生成器を用いて前記疑似異常データを生成する生成ステップと、
監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データと、前記生成ステップで生成された前記疑似異常データとが一致する場合に、前記監視対象のユーザ端末が、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末であると判定する判定ステップと、
前記判定ステップでの判定結果を通知する通知ステップと
を備える通信監視方法。

【請求項7】

請求項６に記載の通信監視方法において、
さらに、前記教師データとして用いられる、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末の前記時間区間ごとの通信量の時系列データを取得する第１取得ステップを備え、
前記ネットワーク帯域幅の前記異常な使用は、ユーザ端末が使用可能なネットワーク帯域幅の上限を超えた使用を含む
ことを特徴とする通信監視方法。

【請求項8】

請求項６に記載の通信監視方法において、
さらに、前記判定ステップは、前記監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データが、前記真の異常データと一致する場合に、前記監視対象のユーザ端末が、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末であると判定する
ことを特徴とする通信監視方法。

【請求項9】

請求項６に記載の通信監視方法において、
さらに、前記監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データをコアネットワークから取得する第２取得ステップを備える
ことを特徴とする通信監視方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、通信監視装置、および通信監視方法に関する。

【背景技術】

【0002】

近年、インターネットに接続するモバイル端末や固定回線端末の数が急増し、インターネットを流れるトラヒックが急増している。モバイル端末や固定回線端末などのユーザ端末には、サービス契約やネットワーク管理によりデータ通信やインターネット接続の帯域幅の上限が事前に設定されている。しかし、ユーザ端末の中には、使用可能な帯域幅の上限を超えた通信を行う端末が存在し、そのようなユーザ端末によるパケットを処理するネットワーク設備において輻輳やバーストトラヒックなどのトラヒック異常が発生する原因となっている。

【0003】

例えば、ＤｏＳのように悪意を持って使用可能な帯域幅を超えたトラヒックを流し、バーストトラヒックを発生させる端末が存在する一方、ＤＤｏＳによる攻撃では、踏み台とされるユーザ端末は意図せず帯域幅の上限を超えた通信を行う場合がある。また、設定された帯域幅を超過する異常な通信パターンにも多様なものが存在する。例えば、設定された帯域幅の上限を大きく超えた通信を行うユーザ端末が存在する一方で、帯域幅の上限をわずかに超える場合や、間欠的に帯域幅の上限を超える通信を行うユーザ端末も存在する。このように、ネットワークのトラヒック異常の原因となり得る帯域幅の異常な使用にも様々な態様が存在するなかで、ネットワーク全体における個々のユーザ端末の通信量の状態を監視して、帯域幅の異常な使用を行うユーザ端末を特定することは困難であった。

【0004】

そこで、特許文献１は、過去のトラヒック情報のデータベースに基づいて、ユーザ端末の通信量を監視する技術を開示している。しかし、特許文献１に開示された技術では、過去のトラヒックのパターンとは異なる帯域幅の異常な使用を行うユーザ端末を特定することは困難である。

【先行技術文献】

【特許文献】

【0005】

【文献】特開２０２０－１０８０２９号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

従来の技術では、ネットワーク帯域幅の異常な使用をより確実に監視することが困難であった。

【0007】

本発明は、上述した課題を解決するためになされたものであり、ネットワーク帯域幅の異常な使用をより確実に監視することを目的とする。

【課題を解決するための手段】

【0008】

上述した課題を解決するために、本発明に係る通信監視装置は、ネットワーク帯域幅の異常な使用を行うユーザ端末の時間区間ごとの通信量の時系列データを教師データとして、前記時間区間を順次入力として与えた場合に、前記時間区間ごとのユーザ端末の通信量を出力する再帰型ニューラルネットワークを学習するように構成された第１学習部と、前記第１学習部による学習で構築された学習済み再帰型ニューラルネットワークを、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末の前記時間区間ごとの通信量の時系列データについての真の異常データとして、前記真の異常データに類似する疑似異常データを生成する生成器と、前記生成器によって生成された前記疑似異常データと前記真の異常データとを識別する識別器とを有する生成モデルの敵対的学習を行うように構成された第２学習部と、前記第２学習部の敵対的学習によって得られた学習済み生成器を用いて前記疑似異常データを生成するように構成された生成部と、監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データと、前記生成部によって生成された前記疑似異常データとが一致する場合に、前記監視対象のユーザ端末が、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末であると判定するように構成された判定部と、前記判定部による判定結果を通知するように構成された通知部とを備える。

【0009】

また、本発明に係る通信監視装置において、さらに、前記教師データとして用いられる、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末の前記時間区間ごとの通信量の時系列データを取得するように構成された第１取得部を備え、前記ネットワーク帯域幅の前記異常な使用は、ユーザ端末が使用可能なネットワーク帯域幅の上限を超えた使用を含んでいてもよい。

【0010】

また、本発明に係る通信監視装置において、さらに、前記判定部は、前記監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データが、前記真の異常データと一致する場合に、前記監視対象のユーザ端末が、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末であると判定してもよい。

【0011】

また、本発明に係る通信監視装置において、さらに、前記監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データをコアネットワークから取得するように構成された第２取得部を備えていてもよい。

【0012】

また、本発明に係る通信監視装置において、前記疑似異常データは、前記真の異常データのデータ分布との統計的な距離が最小となるデータ分布を有していてもよい。

【0013】

上述した課題を解決するために、本発明に係る通信監視方法は、ネットワーク帯域幅の異常な使用を行うユーザ端末の時間区間ごとの通信量の時系列データを教師データとして、前記時間区間を順次入力として与えた場合に、前記時間区間ごとのユーザ端末の通信量を出力する再帰型ニューラルネットワークを学習する第１学習ステップと、前記第１学習ステップによる学習で構築された学習済み再帰型ニューラルネットワークを、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末の前記時間区間ごとの通信量の時系列データについての真の異常データとして、前記真の異常データに類似する疑似異常データを生成する生成器と、前記生成器によって生成された前記疑似異常データと前記真の異常データとを識別する識別器とを有する生成モデルの敵対的学習を行う第２学習ステップと、前記第２学習ステップでの敵対的学習によって得られた学習済み生成器を用いて前記疑似異常データを生成する生成ステップと、監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データと、前記生成ステップで生成された前記疑似異常データとが一致する場合に、前記監視対象のユーザ端末が、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末であると判定する判定ステップと、前記判定ステップでの判定結果を通知する通知ステップとを備える。

【0014】

また、本発明に係る通信監視方法において、さらに、前記教師データとして用いられる、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末の前記時間区間ごとの通信量の時系列データを取得する第１取得ステップを備え、前記ネットワーク帯域幅の前記異常な使用は、ユーザ端末が使用可能なネットワーク帯域幅の上限を超えた使用を含んでいてもよい。

【0015】

また、本発明に係る通信監視方法において、さらに、前記判定ステップは、前記監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データが、前記真の異常データと一致する場合に、前記監視対象のユーザ端末が、前記ネットワーク帯域幅の前記異常な使用を行うユーザ端末であると判定してもよい。

【0016】

また、本発明に係る通信監視方法において、さらに、前記監視対象のユーザ端末の前記時間区間ごとの通信量の時系列データをコアネットワークから取得する第２取得ステップを備えていてもよい。

【発明の効果】

【0017】

本発明によれば、第１学習部による学習で構築された学習済み再帰型ニューラルネットワークを、ネットワーク帯域幅の異常な使用を行うユーザ端末の時間区間ごとの通信量の時系列データについての真の異常データとして、真の異常データに類似する疑似異常データを生成する生成器と、生成器によって生成された疑似異常データと真の異常データとを識別する識別器とを有する生成モデルの敵対的学習を行う。そのため、ネットワーク帯域幅の異常な使用をより確実に監視することができる。

【図面の簡単な説明】

【0018】

【図1】図１は、本発明の実施の形態に係る通信監視装置を含む通信監視システムの構成を示すブロック図である。

【図2】図２は、本実施の形態に係る通信監視装置が備える第１学習部を説明するための図である。

【図3】図３は、本実施の形態に係る通信監視装置が備える第２学習部の構成を示すブロック図である。

【図4】図４は、本実施の形態に係る通信監視装置が備える第２学習部の構成を示すブロック図である。

【図5】図５は、本実施の形態に係る通信監視装置が備える第２学習部を説明するための図である。

【図6】図６は、本実施の形態に係る通信監視装置のハードウェア構成を示すブロック図である。

【図7】図７は、本実施の形態に係る通信監視システムの動作シーケンスである。

【図8】図８は、本実施の形態に係る通信監視装置の動作を示すフローチャートである。

【発明を実施するための形態】

【0019】

以下、本発明の好適な実施の形態について、図１から図８を参照して詳細に説明する。

【0020】

［通信監視システムの構成］
まず、図１を参照して、本発明の実施の形態に係る通信監視装置１を備える通信監視システムの概要について説明する。

【0021】

本実施の形態に係る通信監視システムは、通信監視装置１、複数のユーザ端末２、ＵＰＦ（Ｕｓｅｒ Ｐｌａｎｅ Ｆｕｎｃｔｉｏｎ）３、およびデータネットワーク（ＤＮ）４を備える。通信監視装置１とＵＰＦ３とは、例えば、ＬＡＮ、ＷＡＮまたはインターネットなどの通信ネットワークＮＷを介して互いに通信可能に接続されている。ユーザ端末２は、ＬＡＮ、ＷＡＮまたはインターネット、ＩＳＤＮなどの有線ネットワークや、無線ＬＡＮ、例えば、５Ｇ無線通信システムを用いたモバイル通信ネットワークを介して、ＵＰＦ３を備えるコアネットワークと通信を行うことができる。

【0022】

本実施の形態に係る通信監視システムは、ネットワーク帯域幅の異常な使用を示す通信量の変動パターンのデータベースを事前に構築し、構築されたデータベースに基づいて、監視対象の複数のユーザ端末２の各々が、帯域幅の異常な使用を行う端末であるか否かを判定し、判定結果を通知する。

【0023】

ユーザ端末２は、モバイル端末および固定回線端末を含む。モバイル端末として構成されるユーザ端末２は、ＳＩＭを備え、スマートフォンなどの携帯通信端末、タブレット型コンピュータ、ラップトップ型コンピュータなどとして実現される。

【0024】

ユーザ端末２が備えるＳＩＭには、ユーザの契約プロファイルが格納されている。ＳＩＭの契約プロファイルには、ユーザの加入者識別情報が格納され、携帯電話の回線契約に割り当てられるＩＭＳＩ、加入者であるユーザの電話番号（ＭＳＩＳＤＮ：Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｄｉｒｅｃｔｏｒｙ Ｎｕｍｂｅｒ）、ＳＩＭカード番号（ＩＣＣＩＤ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ Ｉｄｅｎｔｉｆｉｅｒ）等の識別子情報が含まれる。ユーザ端末２は、割り当てられたＩＭＳＩによって一意に識別される。

【0025】

ユーザ端末２が固定回線端末として構成される場合、デスクトップコンピュータ、サーバ、ＩｏＴデバイスなどとして実現され、端末を一意に識別する端末ＩＰアドレスが割り当てられている。なお、以下の説明では、ユーザ端末２がモバイル端末である場合を例に挙げて説明する。

【0026】

ＵＰＦ３は、コアネットワークのユーザプレーン機能であり、図示されない無線アクセスネットワーク（ＲＡＮ）と、データネットワーク（ＤＮ）４との間のデータパケットを処理する。ＵＰＦ３は、複数のユーザ端末２の各々の通信量のログを記録する。ユーザ端末２がモバイル端末の場合には、ＩＭＳＩごとの通信量の時系列データが記録される。本実施の形態では、ＵＰＦ３は、予め設定された時間区間ごとの通信量の時系列データを記録する。

【0027】

データネットワーク（ＤＮ）４は、コアネットワークの外部のインターネット等であり、ユーザ端末２が有線または無線によりコアネットワークのＵＰＦ３を介して接続する。

【0028】

［通信監視装置の機能ブロック］
図１に示すように、通信監視装置１は、第１取得部１０、第１学習部１１、第２学習部１２、第１記憶部１３、生成部１４、第２記憶部１５、第２取得部１６、判定部１７、および通知部１８を備える。

【0029】

第１取得部１０は、第１学習部１１が教師データとして用いる、ネットワーク帯域幅の異常な使用を行うユーザ端末２による時間区間ごとの通信量の時系列データを取得する。ネットワーク帯域幅は、ユーザ端末２の各々と通信事業者とのサービス契約に基づき各ユーザ端末２に設定された使用可能な帯域幅の上限である。また、帯域幅の異常な使用とは、使用可能な帯域幅の上限を超える使用を一定期間にわたって行うことや、一定期間において間欠的に行うことを含む。さらに、帯域幅の異常な使用には、帯域幅の上限を僅かに超えるあるいは超えない程度の上限帯域幅の使用を一定期間にわたって行う場合や、一定期間において間欠的に行うことなど、通常の設定帯域幅の使用を逸脱した通信の態様を含む。このような帯域幅の異常な使用が１台あるいは複数台のユーザ端末２によって行われることで、通常よりも多くのトラヒックが発生し、ネットワークの輻輳やバーストトラヒックの原因となり得る。

【0030】

第１取得部１０は、帯域幅の異常な使用として事前に定義された帯域幅の使用パターンに基づいて算出された、ユーザ端末２の時間区間ごとの通信量の時系列データを取得することができる。あるいは、第１取得部１０は、過去に発生した帯域幅の異常な使用を行ったユーザ端末２による実際の時間区間ごとの通信量の時系列データの履歴を取得することができる。このように、第１取得部１０は、ネットワークの輻輳やバーストトラヒックを発生させる原因として想定される帯域幅の異常な使用の態様に応じた時間区間ごとの通信量の時系列データを取得することができる。例えば、第１取得部１０は、管理者により事前に設定された帯域幅の異常な使用に対応する通信量の時系列データを外部から取得することができる。

【0031】

また、時間区間とは、事前に設定された開始時刻と終了時刻とを持つ連続した単位時間であり、１つの時間区間の長さを、例えば、１［ｍｓ］とすることができる。さらに、ユーザ端末２の時間区間ごとの通信量の時系列データは、時間区間［ｍｓ］ごとに発生した通信量［ｂｐｓ］の時系列データセットである。

【0032】

第１学習部１１は、ネットワーク帯域幅の異常な使用を行うユーザ端末２の時間区間ごとの通信量の時系列データを教師データとして、時間区間を順次入力として与えた場合に、時間区間ごとのユーザ端末２の通信量を出力する再帰型ニューラルネットワーク（Ｒｅｃｕｒｒｅｎｔ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ：ＲＮＮ）を学習する。具体的には、第１学習部１１は、第１取得部１０によって取得された、帯域幅の異常な使用を行うユーザ端末２の時間区間ごとの通信量の時系列データ、すなわち、各時間区間の値に対して、ユーザ端末２の通信量の値を正解ラベルとして付与した時系列シーケンスをＲＮＮの教師データとして用いる。このように、第１学習部１１は、ＲＮＮにより、帯域幅の異常な使用に係る通信量の変動パターンを学習する。

【0033】

図２は、第１学習部１１の学習で用いるＲＮＮのネットワーク構造を示す模式図である。図２に示すように、ＲＮＮは、入力層Ｘ、メモリセルである隠れ層Ｈ、および出力層Ｙからなるニューラルネットワークで構成され、入力時系列データｘ^（ｔ）から予測時系列データｙ^（ｔ）を出力する。本実施の形態では、入力時系列データは、時間区間の値とする。また、予測時系列データは、各時間区間でのユーザ端末２の通信量である。ＲＮＮでは、時系列に沿って、ある時刻の隠れ層から次の時刻の隠れ層に情報を伝える。そのため、時刻ｔの隠れ層は、時刻ｔおよび直前の時刻ｔ－１の隠れ層からの入力を受け取る。

【0034】

与えられた時系列データｘ^（ｔ）に対して、ＲＮＮは次式（１）、（２）で定義される。
ｈ^（ｔ）＝σ（Ｕ×ｘ^（ｔ）＋Ｗ×ｈ^{（ｔ－１）}＋ｂ） ・・・（１）
ｙ^（ｔ）＝Ｖ×ｈ^（ｔ）＋ｃ ・・・（２）

【0035】

上式（１）は、入力層から隠れ層への伝播を表し、ｘ^（ｔ）は時刻ｔでの入力ベクトルである。ｈ^（ｔ）は、時刻ｔでの隠れ層の出力である。Ｕは、入力から隠れ層への重みパラメータ、Ｗは前の時刻ｔ－１の隠れ状態から現在の時刻ｔの隠れ状態への重みパラメータである。ｂは、隠れ層のバイアスベクトル、σは、活性化関数である。

【0036】

上式（２）は、隠れ層から出力層への伝播を表し、ｙ^（ｔ）は時刻ｔでの出力ベクトルである。Ｖは、隠れ層から出力層への重みパラメータ、ｃは出力層のバイアスベクトルである。

【0037】

第１学習部１１は、誤差逆伝播法などを利用して、与えられた入力値に対して、得られた予測出力値と教師データの出力値とを比較し、その誤差を最小化する目的関数を導入し、重みパラメータの誤差を調べて逆方向に伝播していき、最終的に重みパラメータＵ、Ｗ、Ｖやバイアスｂ、ｃを決定することができる。このような学習処理を経て、第１学習部１１は、学習済みＲＮＮを構築する。第１学習部１１によって構築された学習済みＲＮＮは、第２学習部１２による、生成モデルの敵対的学習における訓練データとして用いられる。

【0038】

第２学習部１２は、第１学習部１１による学習によって得られた学習済みＲＮＮを、ネットワーク帯域幅の異常な使用を行うユーザ端末２の時間区間ごとの通信量の時系列データについての真の異常データとして、真の異常データに類似する疑似異常データを生成する生成器１２１と、生成器１２１によって生成された疑似異常データと真の異常データとを識別する識別器１２２とを有する生成モデルの敵対的学習を行う。

【0039】

第２学習部１２は、図３に示すように、生成器１２１および識別器１２２を有するＧＡＮ（Ｇｅｎｅｒａｔｉｖｅ Ａｄｖｅｒｓａｒｒｉａｌ Ｎｅｔｗｏｒｋ：敵対的生成ネットワーク）を敵対的に学習させる。第２学習部１２の学習によって学習済み生成器１２１’が構築される。このように、本実施の形態では、第１学習部１１による学習で構築された学習済みＲＮＮが示す、事前に定義された帯域幅の異常な使用パターンに係る通信量の変動パターンを真の異常データとして考える。さらに、真の異常データを訓練データとして用いて、真の異常データが示す、帯域幅の異常な使用に係る時間区間ごとの通信量の時系列データに類似する疑似異常データを生成する生成器１２１を学習する。

【0040】

図４および図５は、第２学習部１２が用いるＧＡＮの生成器１２１および識別器１２２のニューラルネットワーク構造を模式的に表した図である。図４に示すように、生成器１２１は、入力層、隠れ層、および出力層を有するニューラルネットワークで構成される。生成器１２１は、連続する時間区間の値ｔ＿１～ｔ＿Ｄの各々に対応するＤ個の生成器１２１＿１～１２１＿Ｄで構成される。生成器１２１は、図３および図４に示すように、シーケンシャルな時間区間の値ｓを生成器１２１＿１～１２１＿Ｄのそれぞれに入力として与え、疑似異常データＧ１（ｓ）～ＧＤ（ｓ）を生成する構成とする。

【0041】

生成器１２１＿１～１２１＿Ｄの各々は、第１学習部１１がＲＮＮの学習で用いた各時刻の学習済みＲＮＮのメモリセルに対応する。例えば、Ｇ１で示される生成器１２１＿１は、時間区間の値ｔ＿１を入力として、ユーザ端末２が帯域幅の異常な使用を行った場合の、時間区間の値ｔ＿１での通信量Ｔ１を出力する学習済みＲＮＮのパラメータに類似する疑似異常データを学習することができるニューラルネットワーク構造を有する。生成器１２１を構成するニューラルネットワークとしてＣＮＮやＲｅｓＮｅｔを用いることができる。

【0042】

生成器１２１は、入力と重みパラメータの積和演算および活性化関数によるしきい値処理を経て出力Ｇ（ｓ）を出力する。例えば、生成器１２１＿１からの出力Ｇ１（ｓ）は、学習済みＲＮＮに時間区間の値ｔ＿１の値を入力として与えた場合に出力される通信量Ｔ１に類似する疑似異常データである。同様に、各時間区間の値ｔ＿２～ｔ＿Ｄに対応する生成器１２１＿２～１２１＿Ｄについても、学習済みＲＮＮから出力される通信量Ｔ２～ＴＤに類似する疑似異常データを出力する。このように、本実施の形態に係る生成器１２１は、各時間区間の値を入力として、ランダム関数を出力する。

【0043】

図５の（ａ）に示す識別器１２２は、入力層、隠れ層、および出力層を有するニューラルネットワークで構成される。図５の（ａ）の例では、訓練データの入力として、第１学習部１１によって得られた学習済みＲＮＮから出力される、各時間区間でのユーザ端末２の通信量を示す真の異常データが与えられる。図５の（ｂ）は、識別器１２２に与えられる入力データを説明するための図である。図５の（ｂ）の例では、真の異常データに係る訓練データを例示する。すなわち、ユーザ端末２が各時間区間ｔ＿１～ｔ＿Ｄでデータ通信を行った際の通信量Ｔ１～ＴＤが訓練データとして識別器１２２に与えられる。

【0044】

識別器１２２は、入力と重みパラメータの積和演算および活性化関数によるしきい値処理を経て、１または０の二値出力を出す。識別器１２２は、入力された真の異常データに係る訓練データを正しく真の異常データであると識別すると出力ｙ＝１を出力する。一方、入力された疑似異常データに係る訓練データを正しく疑似異常データであると識別すると出力ｙ＝０を出力する。このように、識別器１２２は、生成器１２１が生成したモデル分布を真の分布である訓練データのデータ分布から区別するモデルである。疑似異常データは、真の異常データのデータ分布との統計的な距離が最小となるデータ分布を有する。識別器１２２を構成するニューラルネットワークとしてＣＮＮを用いることができる。

【0045】

図３は、第２学習部１２によるＧＡＮの敵対的学習を説明するためのブロック図である。第２学習部１２が採用するＧＡＮの生成器１２１を関数Ｇ、識別器１２２を関数Ｄと表す。なお、以下において生成器１２１＿１～１２１＿Ｄの関数Ｇ１～ＧＤを総称して関数Ｇという。また、真の異常データをｘ、識別器１２２による出力である予測値はｙと表し、正解ラベルをtと表す。正解ラベルｔは、真の異常データに対して１、生成器１２１で生成された疑似異常データに対して０と設定される。このとき、識別器１２２は、二値分類問題として次式（３）の交差エントロピーＥ_ＣＥで表すことができる。

【0046】

【数1】

【0047】

上式（３）のブレース内の第１項が表すｔ_ｎｌｎｙ_ｎにおいて、識別器１２２の予測値ｙ_ｎが、真の異常データの正解ラベルｔ_ｎ＝１の値に近づくことが望ましい。一方、ブレース内の第２項が表す（１－ｔ_ｎ）ｌｎ（１－ｙ_ｎ）においては、識別器１２２の予測値ｙ_ｎが、疑似異常データと識別する正解ラベルの値（１－ｔ_ｎ）＝０に近づくことが望ましい。このように交差エントロピーＥ_ＣＥは、予測値が正解ラベルの値に一致している場合に最大値となる。

【0048】

ここで、ＧＡＮを構成する生成器１２１は、パラメータｗ_Ｇ，θ_Ｇを有し、関数Ｇ（ｗ_Ｇ，θ_Ｇ）と表す。また、識別器１２２は、パラメータｗ_Ｄ，θ_Ｄを有し、関数Ｄ（ｗ_Ｄ，θ_Ｄ）と表す。上式（３）の交差エントロピーＥ_ＣＥに基づいた生成器１２１と識別器１２２とを備えるＧＡＮの目的関数Ｅは、次式（４）で表すことができる。

【数2】

【0049】

上式（４）の第１項が表すＥ_{Ｄ（ｘ）＝１}ｌｎＤ（ｗ_Ｄ，θ_Ｄ）は、識別器１２２が真の異常データを真の異常データであると識別する期待値である。上式（４）の第２項が表すＥ_{Ｄ（ｘ）＝０}ｌｎ（１－Ｄ（Ｇ（ｗ_Ｇ，θ_Ｇ），ｗ_Ｄ，θ_Ｄ））は、生成器１２１により生成された疑似異常データを識別器１２２が疑似異常データであると識別する期待値である。ＧＡＮの学習では、目的関数Ｅのｍｉｎ－ｍａｘ最適化により、生成器１２１と識別器１２２とを敵対的に学習する。したがって、識別器１２２をだますような疑似異常データを生成できるように生成器１２１を学習し、生成器１２１が生成した疑似異常データを疑似異常データであると識別するように識別器１２２を学習する。

【0050】

識別器１２２の学習では、真の異常データが与えられた場合に、識別器１２２がｙ＝１に近い出力を出すことで、上式（４）の目的関数Ｅの第１項を最大化する。一方、疑似異常データが与えられた場合に、識別器１２２がｙ＝０に近い出力を出すことで目的関数Ｅの第２項を最大化するように学習が行われる。

【0051】

生成器１２１の学習では、上式（４）のＤ（Ｇ（ｗ_Ｇ，θ_Ｇ），ｗ_Ｄ，θ_Ｄ）（図３のＧ１（ｓ）～ＧＤ（ｓ））が１に近くなるようなＧ（ｗ_Ｇ，θ_Ｇ）（図３のＧ１（ｓ）～ＧＤ（ｓ））を出力することで、目的関数Ｅを最小化する。第２学習部１２は、生成器１２１のパラメータと識別器１２２のパラメータとを交互に更新する学習手順を用いる。なお、第２学習部１２による生成器１２１および識別器１２２の学習手順の詳細は後述する。

【0052】

第１記憶部１３は、学習済みＲＮＮのパラメータ、および学習済み生成器１２１’を記憶する。具体的には、第１記憶部１３は、各時間区間ｔ＿１～ｔ＿Ｄに対応する学習済み生成器１２１＿１’～１２１＿Ｄ’を記憶する。

【0053】

生成部１４は、第２学習部１２の敵対的学習によって得られた学習済み生成器１２１’を用いて疑似異常データを生成する。より具体的には、生成部１４は、時間区間の値ｔ＿１～ｔ＿Ｄを学習済み生成器１２１＿１’～１２１＿Ｄ’に入力し、学習済み生成器１２１＿１’～１２１＿Ｄ’の演算を行って、時間区間ごとのユーザ端末２の通信量を示す疑似異常データを生成する。各学習済み生成器１２１＿１’～１２１＿Ｄ’で生成された疑似異常データのシーケンスは、帯域幅の異常な使用による通信量の変動パターンを表す。

【0054】

第２記憶部１５は、生成部１４によって生成された疑似異常データを記憶する。また、第２記憶部１５は、第２学習部１２が訓練データとして用いた真の異常データを記憶する。第２記憶部１５は、帯域幅の異常な使用を表す時間区間ごとの通信量の時系列データのデータベースを構築する。

【0055】

第２取得部１６は、監視対象のユーザ端末２の時間区間ごとの通信量の時系列データをコアネットワークから取得する。具体的には、第２取得部１６は、コアネットワークのＵＰＦ３から、複数のユーザ端末２の各々の通信量の履歴を一定周期で取得する。第２取得部１６は、ＩＭＳＩをキーとして各ユーザ端末２の時間区間ごとの通信量の履歴を取得する。

【0056】

判定部１７は、監視対象のユーザ端末２の時間区間ごとの通信量の時系列データと、生成部１４によって生成された疑似異常データとが一致する場合に、監視対象のユーザ端末２が、帯域幅の異常な使用を行う端末であると判定する。また、判定部１７は、監視対象のユーザ端末２の時間区間ごとの通信量の時系列データが、真の異常データと一致する場合に、監視対象のユーザ端末２は、帯域幅の異常な使用を行う端末であると判定する。具体的には、判定部１７は、第２記憶部１５に記憶されている、疑似異常データおよび真の異常データを含む異常データのデータベースに基づいて判定処理を行う。

【0057】

さらに、判定部１７は、第２記憶部１５に記憶されている疑似異常データおよび真の異常データが示す、時間区間ごとの通信量の時系列データの値から一定範囲内の通信量の時系列データの値を有するユーザ端末２を、帯域幅の異常な使用を行う端末であると判定することができる。ここで、第２取得部１６によって取得された監視対象のユーザ端末２の時間区間ごとの通信量の時系列データセットを、［Ｘ_１，Ｘ_２，Ｘ_３，・・・，Ｘ_Ｄ］と表す。また、第２記憶部１５に記憶されている異常データに係る時間区間ごとの通信量のｌ個の時系列データセットを、［Ｙ_{（１，１）}，Ｙ_{（１，２）}，Ｙ_{（１，３）}，・・・，Ｙ_{（１，Ｄ）}］，［Ｙ_{（２，１）}，Ｙ_{（２，２）}，Ｙ_{（２，３）}，・・・，Ｙ_{（２，Ｄ）}］，・・・，［Ｙ_{（Ｌ，１）}，Ｙ_{（Ｌ，２）}，Ｙ_{（Ｌ，３）}，・・・，Ｙ_{（Ｌ，Ｄ）}］と表す。

【0058】

判定部１７は、時間区間ごとの通信量のパターンが、第２記憶部１５に記憶されている時間区間ごとの通信量のパターンにどれだけ似ているかについて、次式（５）で表すように、２つの時系列データセット間のユークリッド距離を計算し、その距離がしきい値以下であるかを判断することで判定を行うことができる。

【数3】

【0059】

さらに、判定部１７は、上式（５）の判定処理の前に、第２取得部１６によって取得された監視対象のユーザ端末２の時間区間ごとの通信量の時系列データセット［Ｘ_１，Ｘ_２，Ｘ_３，・・・，Ｘ_Ｄ］と、第２記憶部１５に記憶されている異常データが表す時間区間ごとの通信量の時系列データセット［Ｙ_{（ｌ，１）}，Ｙ_{（ｌ，２）}，Ｙ_{（ｌ，３）}，・・・，Ｙ_{（ｌ，Ｄ）}］において、互いに対応する時間区間がどれであるかを特定する。例えば、上式（５）では、第２記憶部１５に記憶されている異常データの時系列データセットのうち第１の時間区間の通信量Ｙ_{（ｌ，１）}に近い時間区間の通信量として、監視対象のユーザ端末２の通信量の時系列データセットのうちの第１の時間区間の通信量Ｘ_１が特定されている。

【0060】

判定部１７は、上式（５）を用いて判定処理を行う際に、監視対象のユーザ端末２の各時間区間での通信量の値が、対応する時間区間の異常データの通信量の値から一定範囲内となる場合にのみ、その時間区間に対応するデータポイント間の差および二乗の項の算出を行うことができる。例えば、第２記憶部１５の第１の時間区間の通信量Ｙ_{（ｌ，１）}の値が２［Ｇｂｐｓ］の場合、監視対象のユーザ端末２の対応する第１の時間区間での通信量Ｘ_１が１．７［Ｇｂｐｓ］などであり、２［Ｇｂｐｓ］から一定範囲内である場合には、上式（５）においてこれらのデータポイントが考慮される。一定範囲にない場合、例えば、通信量Ｘ_１が０．７［Ｇｂｐｓ］などの場合には、その時間区間での上式（５）の対応する項のデータポイント間の値はないものとして計算される。

【0061】

また、判定部１７は、第２記憶部１５に記憶されているＬ個の通信量の時系列データセットについて、上式（５）により、１～Ｌ個までの時系列データセットを順番に用いてしきい値処理を行い、上式（５）が満たされた時点で判定処理を終了する。さらに、監視対象となっている複数のユーザ端末２のすべてについて同様に上式（５）を用いた判定処理を行う。

【0062】

さらに、監視対象のユーザ端末２の時間区間ごとの通信量の時系列データセットの各通信量のデータポイントのうち、例えば、最も早い時間区間である第１の時間区間に対応する通信量Ｘ_１から、第２の時間区間の通信量Ｘ_２・・・と順番に、上式（５）に代入していき、しきい値以下となった時間区間のデータポイントが現れた時点で判定処理を終了することができる。これにより、１～Ｄ個までのすべてのデータポイントについての演算を行うまでもなく判定結果が得られる。

【0063】

通知部１８は、判定部１７による判定結果を通知する。具体的には、通知部１８は、ネットワーク帯域幅の異常な使用を行う端末であると判定した監視対象のユーザ端末２のＩＭＳＩをＵＰＦ３に通知する。さらに、通知部１８は、これらのＩＭＳＩで識別されるユーザ端末２の通信を遮断する指示をＵＰＦ３に対して行うことができる。

【0064】

［通信監視装置のハードウェア構成］
次に、上述した機能を有する通信監視装置１を実現するハードウェア構成の一例について、図６を用いて説明する。

【0065】

図６に示すように、通信監視装置１は、例えば、バス１０１を介して接続されるプロセッサ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力Ｉ／Ｏ１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。

【0066】

プロセッサ１０２は、ＣＰＵ、ＧＰＵ、ＦＰＧＡ、ＡＳＩＣなどによって実現される。

【0067】

主記憶装置１０３には、プロセッサ１０２が各種制御や演算を行うためのプログラムが予め格納されている。プロセッサ１０２と主記憶装置１０３とによって、図１に示した第１取得部１０、第１学習部１１、第２学習部１２、生成部１４、第２取得部１６、判定部１７、通知部１８など通信監視装置１の各機能が実現される。

【0068】

通信インターフェース１０４は、通信監視装置１と各種外部電子機器との間をネットワーク接続するためのインターフェース回路である。

【0069】

補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。

【0070】

補助記憶装置１０５は、通信監視装置１が実行する通信監視プログラムを格納するプログラム格納領域を有する。また、補助記憶装置１０５は、ＲＮＮの学習を行うための第１学習プログラム、およびＧＡＮを用いた敵対的学習を行うための第２学習プログラムを格納する領域を有する。補助記憶装置１０５によって、図１で説明した第１記憶部１３および第２記憶部１５が実現される。さらには、例えば、上述したデータやプログラムなどをバックアップするためのバックアップ領域などを有していてもよい。

【0071】

入出力Ｉ／Ｏ１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりする入出力装置である。

【0072】

表示装置１０７は、有機ＥＬディスプレイや液晶ディスプレイなどによって構成される。

【0073】

［通信監視システムの動作］
次に、上述した構成の通信監視装置１を備える通信監視システムの動作を、図７のシーケンス図を参照して説明する。

【0074】

まず、通信監視装置１の第１取得部１０は、ＲＮＮの学習で用いられる教師データを取得する（ステップＳ１）。第１取得部１０は、例えば、ネットワーク管理者により事前に設定された帯域幅の異常な使用のパターンに対応する、時間区間ごとの通信量の時系列データを取得する。あるいは、第１取得部１０は、複数のユーザ端末２の通信量の履歴から、帯域幅の異常な使用が発生した時間区間ごとの通信量の時系列データを抽出して取得することができる。

【0075】

次に、第１学習部１１は、ＲＮＮを学習する第１学習処理を行う（ステップＳ２）。より詳細には、第１学習部１１は、ステップＳ１で取得された、帯域幅の異常な使用を行うユーザ端末２による時間区間ごとの通信量の時系列データを教師データとして、時間区間を順次入力として与えた場合に、時間区間ごとのユーザ端末２の通信量を出力するＲＮＮを学習する。

【0076】

ステップＳ２において、第１学習部１１は、誤差逆伝播法などを利用して、与えた入力値に対して、得られた予測出力値と教師データの出力値とを比較し、その誤差を最小化する目的関数を導入し、それぞれの重みパラメータの誤差を調べて逆方向に伝播していき、最終的に上式（１）（２）の重みパラメータＵ、Ｗ、Ｖやバイアスｂ、ｃを決定する。第１記憶部１３は、ステップＳ３の第１学習処理で構築された学習済みＲＮＮを記憶する（ステップＳ３）。

【0077】

次に、第２学習部１２は、第２学習処理を行う（ステップＳ４）。より詳細には、第２学習部１２は、ステップＳ２の第１学習処理で得られた学習済みＲＮＮを訓練データ、すなわち真の異常データとして、真の異常データに類似する疑似異常データを生成する生成器１２１と、生成器１２１によって生成された疑似異常データと真の異常データとを識別する識別器１２２とを有するＧＡＮの敵対的学習を行う。真の異常データは、帯域幅の異常な使用として事前に定められた使用パターンに対応する通信量の変動パターンを表す時間区間ごとの通信量の時系列データである。ステップＳ４の第２学習処理の詳細は後述する。

【0078】

次に、第１記憶部１３は、ステップＳ４で構築された学習済み生成器１２１’を記憶する（ステップＳ５）。具体的には、各時間区間に対応する学習済み生成器１２１＿１’～１２１＿Ｄ’が第１記憶部１３に記憶される。続いて、生成部１４は、ステップＳ５で構築された学習済み生成器１２１’（学習済み生成器１２１＿１’～１２１＿Ｄ’）を用いて、疑似異常データを生成する（ステップＳ６）。ステップＳ６では、事前に用意された各時間区間の値が、各学習済み生成器１２１＿１’～１２１＿Ｄ’の入力として与えられる。

【0079】

次に、第２記憶部１５は、ステップＳ６で生成された疑似異常データおよびステップＳ４で用いられた真の異常データを記憶する（ステップＳ７）。ステップＳ７において、既知の異常データのデータベースが構築される。その後、第２取得部１６は、監視対象の複数のユーザ端末２の時間区間ごとの通信量の時系列データをＵＰＦ３から取得する（ステップＳ８）。ステップＳ８で取得される、時間区間ごとの通信量の時系列データは、ＩＭＳＩをキーとして取得された通信量の時系列データセットである。

【0080】

その後、判定部１７は、監視対象のユーザ端末２の時間区間ごとの通信量の時系列データと、生成部１４によって生成された疑似異常データとが一致する場合に、監視対象のユーザ端末２が、設定された帯域幅の異常な使用を行うユーザ端末２であると判定する（ステップＳ９）。ステップＳ９では、判定部１７は、まず、第２記憶部１５が記憶する異常データに係る通信量の時系列データセットと、監視対象のユーザ端末２の通信量の時系列データセットとの間で、対応する時間区間を特定する。さらに、対応する時間区間のデータポイントＹ_{（ｌ，１）}およびデータポイントＸ_１の値が、一定範囲内である場合にのみ、上式（５）のデータポイント間の差の二乗の項を計算し、しきい値による判定処理を行う。

【0081】

ステップＳ９の判定処理では、ＩＭＳＩで特定される監視対象のユーザ端末２ごとに、上式（５）を用いて、第２記憶部１５に記憶されている１～Ｌ個の異常データに係る通信量の時系列データセットを順番に用いてしきい値処理を行う。１～Ｌ個のうち一致する時系列データセットが存在した場合に、監視対象のユーザ端末２は帯域幅の異常な使用を行う端末であると判定される。一方、一致する時系列データセットが存在しない場合には、監視対象のユーザ端末２は、帯域幅の異常な使用を行っていないと判定される。

【0082】

その後、通知部１８は、ステップＳ９での判定結果を、ネットワークＮＷを介してＵＰＦ３に通知する（ステップＳ１０）。ステップＳ１０では、帯域幅の異常な使用を行う端末であるとされた監視対象のユーザ端末２のＩＭＳＩの通信を遮断する指示をＵＰＦ３に対して行うことができる。

【0083】

その後、ＵＰＦ３は、通信監視装置１からのＩＭＳＩの通知に基づいて、通知されたＩＭＳＩの通信を遮断する（ステップＳ１１）。

【0084】

次に、図８を参照し、通信監視装置１の第２学習部１２による第２学習処理（ステップＳ４）を説明する。まず、第２学習部１２は、図７のステップＳ２の第１学習部１１による第１学習処理で得られた、学習済みのパラメータ、すなわち学習済みＲＮＮを、帯域幅の異常な使用のパターンを表すユーザ端末２の時間区間ごとの通信量の時系列データに係る真の異常データとして取得する（ステップＳ３０）。

【0085】

ここで、図３の第２学習部１２によるＧＡＮの学習処理に示すように、ステップＳ３０で収集された真の異常データは、識別器１２２を学習する際に入力される訓練データ１２４として用いられる。また、識別器１２２に入力される真の異常データに係る訓練データは、学習済みＲＮＮによって得られた時間区間ごとのユーザ端末２の通信量の時系列シーケンスである。さらに、訓練データとして、ｎ個の通信量の時系列シーケンスのセットを用いることができる。

【0086】

次に、第２学習部１２は、真の異常データを訓練データ１２４として識別器１２２に入力し、真の異常データを真の異常データ（ｙ＝１）と識別するように、識別器１２２のパラメータｗ_Ｄ，θ_Ｄを学習し、更新する（ステップＳ３１）。ステップＳ３１では、第２学習部１２は、例えば、誤差逆伝播法などを用いて識別器１２２に真の異常データを学習させることができる。ステップＳ３１により、真の異常データを真の異常データと識別することができる識別器１２２が事前に構築される。

【0087】

次に、第２学習部１２は、時間区間の識別番号を生成器１２１に入力として与える（ステップＳ３２）。より詳細には、図３に示すように、時間軸に沿って最も早い時間区間の値ｔ＿１が、生成器１２１＿１に入力される。同様に、時間区間の値ｔ＿２～ｔ＿Ｄがそれぞれの生成器１２１＿２～１２１＿Ｄに入力される。

【0088】

続いて、生成器１２１は、与えられた時間区間の識別番号に基づいて、入力ｓと重みパラメータｗ_Ｇ，θ_Ｇの積和演算および活性化関数によるしきい値処理を行い、疑似異常データＧ（ｓ）を生成する（ステップＳ３３）。より詳細には、生成器１２１＿１～１２１＿Ｄの各々は、疑似異常データＧ１（ｓ）～ＧＤ（ｓ）を生成する。

【0089】

次に、第２学習部１２は識別器１２２の学習を行う。識別器１２２の学習は、生成器１２１のパラメータｗ_Ｄ，θ_Ｄを固定して行われる。まず、第２学習部１２は、ステップＳ３０で取得した真の異常データの訓練データ１２４を識別器１２２に入力として与え、上式（４）の目的関数Ｅが最大となるように、誤差逆伝播法などによりパラメータｗ_Ｄ，θ_Ｄを更新する（ステップＳ３４）。なお、訓練データ１２４のラベルは１（真の異常データ）が設定されている。

【0090】

次に、第２学習部１２は、ステップＳ３３で生成器１２１によって生成された疑似異常データを識別器１２２に入力として与え、上式（４）の目的関数Ｅが最大となるように、誤差逆伝播法などによりパラメータｗ_Ｄ，θ_Ｄを更新する（ステップＳ３５）。すなわち、ステップＳ３４およびステップＳ３５では、上式（４）の目的関数Ｅを最大にするために、第１項はＤ（ｗ_Ｄ，θ_Ｄ）＝１が出力され、第２項はＤ（Ｇ（ｗ_Ｇ，θ_Ｇ），ｗ_Ｄ，θ_Ｄ）＝０となるように最適化が行われる。なお、訓練データ１２４には、ラベルは０（疑似異常データ）が設定されている。また、ステップＳ３５においては、各時間区間に対応する生成器１２１＿１～１２１＿Ｄの各々で生成された疑似異常データＧ１（ｓ）～ＧＤ（ｓ）が識別器１２２に与えられる。

【0091】

ステップＳ３４およびステップＳ３５での識別器１２２の学習は、識別器１２２からの出力１２３に基づいて、目的関数Ｅのブロック１２５で識別器誤差が算出され、その後、識別器１２２へ誤差逆伝播されることを示す図３の破線の矢印に対応する。

【0092】

次に、第２学習部１２は生成器１２１の学習を行う。生成器１２１の学習では、識別器１２２のパラメータが固定されて行われる。第２学習部１２は、各時間区間の識別番号を生成器１２１に与えた際に疑似異常データが生成されるように生成器１２１を学習する。具体的には、第２学習部１２は、上式（４）の目的関数Ｅを最小とするために、誤差逆伝播法などによりパラメータｗ_Ｇ，θ_Ｇを更新する（ステップＳ３６）。

【0093】

ステップＳ３６での学習は、図３に示す、生成器１２１へ誤差逆伝播されることを示す破線の矢印に対応する。すなわち、ステップＳ３６は、図３の生成器１２１＿１～１２１＿Ｄの各々で生成された疑似異常データＧ１（ｓ）～ＧＤ（ｓ）が識別器１２２に入力され、その出力１２３から目的関数Ｅのブロック１２５で生成器誤差が算出され、さらには、生成器１２１＿１～１２１＿Ｄへ誤差逆伝播される破線矢印に対応する。このように、ステップＳ３６では、各時間区間に対応して設けられた生成器１２１＿１～１２１＿Ｄが別々に学習される。

【0094】

その後、目的関数Ｅの値がナッシュ均衡に到達して収束するまで（ステップＳ３７：ＮＯ）、ステップＳ３３からステップＳ３６までの識別器１２２および生成器１２１（生成器１２１＿１～１２１＿Ｄ）の学習が繰り返し行われる。一方、目的関数Ｅの値が収束した場合（ステップＳ３７：ＹＥＳ）、ｎ個のセットの真の異常データについて、生成器１２１（生成器１２１＿１～１２１＿Ｄ）および識別器１２２の学習が行われるまで（ステップＳ３８：ＮＯ）、ステップＳ３１からステップＳ３７までの処理が繰り返される。

【0095】

その後、ｎ個全ての真の異常データの時間区間ｔ＿１～ｔ＿Ｄの訓練データを用いて、生成器１２１（生成器１２１＿１～１２１＿Ｄ）および識別器１２２の学習が行われた場合（ステップＳ３８：ＹＥＳ）、第２学習部１２は、学習済み生成器１２１’（学習済み生成器１２１＿１’～１２１＿Ｄ’）を第１記憶部１３に記憶する（ステップＳ５）。以上のステップＳ３０からステップＳ３８までの処理によって学習済み生成器１２１’（学習済み生成器１２１＿１’～１２１＿Ｄ’）が構築される。

【0096】

以上説明したように、本実施の形態に係る通信監視装置１によれば、事前に設定された、帯域幅の異常な使用パターンに係る通信量の変動パターンを教師データとしてＲＮＮを学習する。そして、学習済みＲＮＮを真の異常データとして、ＧＡＮの敵対的学習により学習済み生成器１２１’を構築し、学習済み生成器１２１’を用いて、帯域幅の異常な使用に係る通信量の変動パターンに類似する疑似異常データを大量に生成する。さらに、疑似異常データを第２記憶部１５に記憶し、異常データのデータベースを構築する。そのため、ネットワーク帯域幅の異常な使用をより確実に監視することができる。その結果、帯域幅の異常な使用に起因したバーストトラヒックやネットワークの輻輳を事前に防止することが可能となる。さらには、ＤｏＳやＤＤｏＳなどの悪意をもった意図的なトラヒックの増加やバーストトラヒックなどを未然に防止することができる。

【0097】

また、本実施の形態に係る通信監視装置１によれば、疑似異常データに加えて真の異常データを第２記憶部１５に記憶する。そのため、ネットワーク帯域幅の異常な使用パターンとしてより多様な使用パターンを既知の異常データに含むデータベースを構築することができる。

【0098】

また、本実施の形態に係る通信監視装置１によれば、ＲＮＮの各時刻における隠れ状態やメモリセルの値、およびユニット間の重みパラメータなどの潜在パラメータを、ＧＡＮの学習を通して学習するので、より簡易な構成で、多様な異常データを生成することができる。

【0099】

また、本実施の形態に係る通信監視装置１によれば、判定部１は、上式（５）による判定処理を行うため、時系列データセットに含まれる一部のデータポイントの一致に基づいて、帯域幅の異常な使用を行うユーザ端末２を特定することができる。そのため、より演算負荷が抑制される。

【0100】

また、本実施の形態に係る通信監視装置１によれば、事前に設定された、帯域幅の異常な使用に係る通信量の変動パターンのデータをＲＮＮの教師データとして設定するため、過去のネットワークトラヒックの履歴から抽出することが困難な異常な使用パターンや、過去に存在しない異常な使用パターンをも特定することが可能な既知の異常データを生成することができる。

【0101】

なお、説明した実施の形態では、第１学習部１１が、ＲＮＮを学習する場合について説明したが、第１学習部１１は、ＬＳＴＭ（Ｌｏｎｇ ｓｈｏｒｔ－ｔｅｒｍ ｍｅｍｏｒｙ）を用いて学習を行うことができる。

【0102】

また、説明した実施の形態では、５Ｇモバイル通信ネットワークに対応する通信監視システムについて説明したが、通信ネットワークはＬＴＥ／４Ｇや６Ｇなどであってもよい。また、通信ネットワークは、Ｗｉ－ＦｉやＥｔｈｅｒｎｅｔの固定通信ネットワークなどであってもよい。ユーザ端末２が固定回線端末である場合には、ＩＰアドレスをキーにして通信量の時系列データが取得される。さらに、通知部１８は、帯域幅の異常な使用を行うユーザ端末２のＩＰアドレスをＩＳＰネットワークに通知することができる。

【0103】

以上、本発明の通信監視装置、および通信監視方法における実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。

【符号の説明】

【0104】

１…通信監視装置、２…ユーザ端末、１０…第１取得部、１１…第１学習部、１２…第２学習部、１３…第１記憶部、１４…生成部、１５…第２記憶部、１６…第２取得部、１７…判定部、１８…通知部、１０１…バス、１０２…プロセッサ、１０３…主記憶装置、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力Ｉ／Ｏ、１０７…表示装置、１２１、１２１＿１～１２１＿Ｄ…生成器、１２１’、１２１＿１’～１２１＿Ｄ’…学習済み生成器、１２２…識別器、１２３…出力、１２４…訓練データ、１２５…目的関数Ｅのブロック、ＮＷ…ネットワーク。

【要約】

【課題】ネットワーク帯域幅の異常な使用をより確実に監視することを目的とする。
【解決手段】
通信監視装置１は、第１学習部１１による学習で構築された学習済み再帰型ニューラルネットワークを、ネットワーク帯域幅の異常な使用を行うユーザ端末２の時間区間ごとの通信量の時系列データについての真の異常データとして、真の異常データに類似する疑似異常データを生成する生成器１２１と、生成器１２１によって生成された疑似異常データと真の異常データとを識別する識別器１２２とを有する生成モデルの敵対的学習を行う。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】