公开(公告)号：EP2442239A4

公开(公告)日：2015-06-03

申请号：EP10793976

申请日：2010-06-09

Applicant: IBM

Inventor： HIDO SHOHEI ,  KASHIMA HISASHI

IPC: G06F17/30

CPC classification number: G06F17/30958 ,  G06F17/10 ,  G06K9/6892

公开(公告)号：EP2660675A4

公开(公告)日：2017-04-05

申请号：EP11852898

申请日：2011-12-15

Applicant: IBM

Inventor： HIDO SHOHEI ,  TAKAHASHI RIKIYA ,  SUZUKI SHOKO ,  YOSHIHAMA SACHIKO ,  HAMZAOUI KARIM

IPC: G05B23/02 ,  G21D3/00

CPC classification number: G05B9/02 ,  G05B23/0281 ,  G21D3/001 ,  Y02E30/40

Abstract: [Problem to be Solved] To efficiently determine the type, location, and cause of an abnormality in a complex system or support the determination. [Solution] A method applied to a computer that determines a situation of a system includes the steps of: receiving measurement data from each of a plurality of measurement targets in the system; computing a plurality of sets of anomaly values based on the measurement data and a predetermined computation algorithm according to a plurality of classifications corresponding to a plurality of properties of each measurement target; and determining the situation of the system based on the sets of anomaly values and a predetermined determination algorithm.

Abstract translation: [要解决的问题]有效地确定复杂系统中的异常的类型，位置和原因，或支持确定。 [解决方案]应用于确定系统的情况的计算机的方法包括以下步骤：从系统中的多个测量目标中的每一个接收测量数据; 基于所述测量数据和根据与每个测量目标的多个属性对应的多个分类的预定计算算法来计算多组异常值; 以及基于所述异常值集合和预定确定算法确定所述系统的状况。

公开(公告)号：CA2757461A1

公开(公告)日：2011-01-06

申请号：CA2757461

申请日：2010-06-09

Applicant: IBM

Inventor： HIDO SHOHEI ,  KASHIMA HISASHI

IPC: G06F17/30

Abstract: The similarity between graphs having an extremely large number of nodes, such as an SNS, a link of WWW, etc., can be obtained within a reasonable time. A unique value is provided to a label of a node in a graph. Preferably, the value is a fixed-length bit string. In this case, the length of the bit string is selected to be sufficiently larger than the number of digits by which types of labels can be expressed. With respect to one graph, nodes of the graph are sequentially visited by an existing graph search method, such as a depth-first search, a breadth-first search, and the like. At this time, in the system, when one specific node is visited, a calculation is performed for bit string label values of all nodes adjacent to the specific node and the bit string label value of the specific node, to obtain a bit string value. The hash calculation is performed for the calculated bit string value and the original bit string label value of the node to obtain another bit string label value, and this value becomes the label value of the node. After finishing the visit to all nodes in one graph, the label values of all nodes are rewritten. When the same treatment is performed for another graph which becomes a target of the graph similarity comparison, label values of all nodes in this graph are rewritten. Therefore, with respect to one graph, a ratio of label values which are identical to the label values in another graph, per all nodes is calculated to obtain the similarity.

公开(公告)号：DE112012003110T5

公开(公告)日：2014-04-10

申请号：DE112012003110

申请日：2012-04-26

Applicant: IBM

Inventor： TATSUBORI MICHIAKI ,  HIDO SHOHEI

IPC: G06Q40/08 ,  G06N3/00

Abstract: Problem Bereitstellen eines Verfahrens, bei dem in einem Prozess des Durchführens von Prüfungen und Bewertungen von Antragsdokumenten mittels überwachten Maschinenlernens fälschlicherweise akzeptierte Daten, die mit böswilliger Absicht erzeugt wurden, mit hoher Genauigkeit erfasst werden können. Mittel zur Lösung Gemäß der vorliegenden Erfindung werden sowohl in dem Fall, in dem überwachtes (Lernen) Daten erstellt werden als auch in dem Fall, in dem Testdaten erstellt werden, die Daten mit an die Daten angehängten Zeitinformationen aufgezeichnet. Anschließend werden die Lerndaten in einer Zielklasse Clustering unterzogen. Auf ähnliche Weise werden die Testdaten in der Zielklasse Clustering unterzogen. Anschließend wird die Wahrscheinlichkeitsdichte für jede der identifizierten Unterklassen für jedes der Zeitintervalle mit verschiedenen Zeitpunkten und Zeitdauern für die Lerndaten und für die Testdaten für jedes der Zeitintervalle in dem letzten Zeitraum, die verschiedene Breiten aufweisen, berechnet. Anschließend wird ein Verhältnis zwischen einer Wahrscheinlichkeitsdichte, die erhalten wird, wenn Lernen durchgeführt wird, und einer Wahrscheinlichkeitsdichte, die erhalten wird, wenn Testen durchgeführt wird, als eine relative Häufigkeit in jedem der Zeitintervalle für jede der Unterklassen bezogen. Eine Eingabe mit einer relativen Häufigkeit, die statistisch und merklich erhöht wird, wird als Anomalie erkannt, und es wird eine Warnung ausgegeben, so dass im Einzelnen überprüft wird, ob es sich um eine Anomalie handelt, die durch einen Angriff verursacht wurde.

公开(公告)号：DE102012103652A1

公开(公告)日：2012-11-22

申请号：DE102012103652

申请日：2012-04-26

Applicant: IBM

Inventor： SUZUKI SHOKO ,  HIDO SHOHEI ,  HAMZAOUI KARIM

IPC: G05B13/04 ,  G05B23/00 ,  G06F11/30 ,  G08B31/00 ,  G08C25/00 ,  H04Q9/02

Abstract: Problem Bereitstellung eines Verfahrens, eines Computerprogramms und eines Systems, mit deren Hilfe das System so kontinuierlich wie möglich arbeitet, ohne dass ein Teil oder das gesamte System gestoppt werden, selbst wenn anormale Daten von einem bestimmten Sensor festgestellt werden, die auf einen Defekt oder dgl. hinweisen. Mittel zur Lösung des Problems Es wird ein Verfahren bereitgestellt, das auf ein System angewendet wird, zu dem unter anderem eine Vielzahl von Sensoren, ein Proxy und ein Server gehören. Das Verfahren umfasst die folgenden Schritte: Messen von Objekten mithilfe der Vielzahl von Sensoren, um erste Messwerte zu erhalten, bzw.; Berechnen einer Korrelation zwischen den ersten Messwerten durch den Server auf der Grundlage der ersten Messwerte; Berechnen eines Istwertes eines zweiten Messwertes durch den Proxy auf der Grundlage der ersten Messwerte und einer vorgegebenen Funktion; Überprüfen der Vielzahl von Sensoren, indem der Server anhand eines vorgegebenen Zeitintervalls nacheinander einen oder mehrere Sensoren als Überprüfungszielsensoren festlegt; Berechnen eines Vorhersagewertes des zweiten Messwertes durch den Server, wobei die Berechnung auf der Korrelation und den ersten Messwerten von den anderen Sensoren mit Ausnahme der Überprüfungszielsensoren unter der Vielzahl von Sensoren beruht; und Ausgeben des Vorhersagewertes der zweiten Messung anstelle des Istwertes zumindest während der Überprüfung der Überprüfungszielsensoren.

公开(公告)号：GB2507217A

公开(公告)日：2014-04-23

申请号：GB201401147

申请日：2012-04-26

Applicant: IBM

Inventor： TATSUBORI MICHIAKI ,  HIDO SHOHEI

IPC: G06N5/04 ,  G06N3/00 ,  G06Q40/08

Abstract: The objective of the present invention is to provide a technique capable of detecting, with high accuracy, data for a false positive that has been maliciously created in processing for reviewing or assessing an application form by way of supervised machine learning. According to the invention, first, both when preparing supervisor (learning) data and when preparing test data, a time is added when a data unit is recorded. Next, the learning data for the object class are clustered, and similarly, the test data for the object class are clustered. Next, with regard to the learning data, for each time frame of various times and durations, and with regard to the test data, for each immediate time frame of various durations, an identification probability density is aggregated for each subclass. Next, for each subclass of each time frame, the ratio of the probability densities for learning time to testing time are treated as a relative frequency, and an input for which the relative frequency increases significantly statistically is detected as an anomaly so as to trigger an alert to examine in detail whether or not the situation is an attack.