技術要約：ネットワークトラフィック異常検知におけるMambaのマルチビュー・スキャニングの解きほぐし（Disentangling）

1. 問題提起

ネットワークトラフィック異常検知（NTAD）は、悪意のある接続をリアルタイムで特定することを目的とした、極めて重要なサイバーセキュリティタスクである。ディープラーニング手法が主流となる中で、既存のアーキテクチャには特定の限界が存在する。MLPやCNNは長距離依存関係やマルチビュー間の相互作用の扱いに苦慮し、Transformerは二次関数的な計算複雑性の問題があり、RNNは並列性に欠ける。近年、線形時間計算量を持つ状態空間モデル（SSM）の一種であるMambaが、補完的なコンテキスト・キューを捉えるために設計されたマルチビュー・スキャニングメカニズムにより、NTADのための有望なバックボーンとして浮上している。

しかし、本論文は、マルチビューMambaをNTADに適用する際にこれまで見落とされていた構造的な欠陥を指摘している。それが**冗長性の蓄積（redundancy accumulation）**である。

• 現象： 標準的なマルチビューMambaにおける個別のスキャニング・ブランチは、実質的にビュー不変の情報（view-invariant information）（各ビュー間で共通するパターン）を大量に捉えてしまう。従来の融合手法（単純な加算や結合など）では、これらの不変成分が繰り返し増幅される。
• 結果： 逆に、ビュー固有の情報（view-specific information）（方向性や補完的な手がかり）が希釈、あるいは抑制されてしまう。これにより、**表現の均質化（representation homogenization）**が引き起こされ、融合された出力が個々のビューの不変パターンにますます似通ってしまう。
• 帰結： この「マルチビュー劣化問題」により、マルチビューMambaアーキテクチャは、微細で方向性のある異常トラフィックのパターンに対する感度を失い、シングルビューの構成よりも性能が悪化してしまう。

2. 手法：DisenMamba

冗長性の蓄積に対処するため、著者らはマルチビュー・スキャニングを**「解きほぐしてから融合する（disentangle-then-fuse）」**という2段階のプロセスへと再定義した新しいフレームワーク、DisenMambaを提案する。

2.1 マルチビュー・スキャニング戦略

ネットワークトラフィックの階層的な性質（フローはパケットで構成されること）を認識し、本モデルは以下の4つのビューに対してタスク特化型のスキャニング戦略を採用している。

1. フォワード・フロー・ビュー (Forward Flow-View)
2. バックワード・フロー・ビュー (Backward Flow-View)
3. フォワード・パケット・ビュー (Forward Packet-View)
4. バックワード・パケット・ビュー (Backward Packet-View)
   この双方向かつマルチグラニュラリティ（多粒度）なアプローチにより、単方向のスキャニングでは捉えきれない補完的な依存関係を捕捉する。

2.2 解きほぐされたマルチビュー・スキャニング (DMVS)

生のフィーチャーを直接融合するのではなく、各スキャニング・ビューは融合前に2つの異なるブランチに分解される。

• 共有ブランチ (Shared Branch / View-Invariant): パラメータを共有する投影行列を用いて、すべてのビューに共通するパターンを抽出する。
• プライベート・ブランチ (Private Branch / View-Specific): 残差ベースの抽出メカニズムを用いる。まず、ビューの表現から共有（不変）成分を除去し、その後、**低ランク投影（low-rank projections）**を適用して、増分的なビュー固有の情報を抽出する。この低ランク制約により、共有情報がプライベート・ブランチへ漏洩することを防ぐ。
• ストップグラディエント (Stop-Gradient): プライベート・フィーチャー抽出の際、勾配の干渉を防ぐために、共有ブランチに対してストップグラディエント操作が適用される。

2.3 マルチビュー融合 (MVF)

融合プロセスは、寄与度のバランスを取るように設計されている。

• 共有フィーチャ： 不変なパターンを強化するために、フィーチャーレベルの加算によって集約される。
• プライベート・フィーチャ： 補完的な方向性の手がかりを統合するために、結合（concatenation）および投影が行われる。
• 最終出力： 不変な表現と固有の表現を融合して最終的なエンコード表現を生成し、ビュー固有の信号が不変なノイズによってかき消されないようにする。

2.4 学習目的

本モデルは、ゼロポジティブ学習（zero-positive learning）（正常トラフィックのみで学習する設定）の下で動作する。損失関数は以下の組み合わせで構成される。

1. 再構成損失 ($L_{REC}$): 入力と再構成されたトラフィック間のコサイン類似度損失であり、正常なパターンを学習する。
2. 解きほぐし制約 ($L_{DIS}$): 共有表現とプライベート表現の間の統計的依存関係を明示的に最小化する軽量なクロス共分散損失であり、効果的な分離を保証する。

3. 主な貢献

1. 冗長性の蓄積の特定： 著者らは、MambaベースのNTADにおける「冗長性の蓄積」現象を体系的に特定・定量化した初めての存在であり、これをマルチビュー劣化を引き起こす根本的なボトルネックとして定義した。
2. DisenMambaフレームワーク： 「解きほぐしてから融合する」パラダイムを通じて、ビュー不変成分とビュー固有成分を明示的に分離し、表現の均質化を効果的に緩和する新しいアーキテクチャを提案した。
3. 効率的な解きほぐしメカニズム： 推論へのオーバーヘッドを最小限に抑えつつ、分離を実現するための軽量な投影モジュール、残差ベースの抽出、低ランク制約、および特定の解きほぐし損失を導入した。
4. 実証的検証： 提案手法が、Mambaの線形時間効率を維持しながら、最新の（SOTA）NTAD手法を凌駕することを包括的な実験で示した。

4. 実験結果

著者らは、CIC-IoT2023、DoHBrw2020、ISCX-Tor2016の3つの実世界のデータセットを用いてDisenMambaを評価した。

• 性能： DisenMambaは、すべての指標（AUC、精度、F1スコア）において最先端の結果を達成した。例えば、最高のベースラインであるSMambaと比較して、CIC-IoT2023でAUCが3.1%、DoHBrw2020で**3.9%**向上した。
• アブレーション研究：
  • 解きほぐしの設計を削除するか、単純な加算を用いた場合、性能が大幅に低下した。これは提案メカニズムの必要性を裏付けている。
  • 低ランク投影またはストップグラディエント操作を削除すると性能が低下し、情報の漏洩を防ぐための構造的制約の重要性が検証された。
• 冗長性分析： CKA（Centered Kernel Alignment）類似度分析により、標準的な融合はビュー間の類似性を高める（均質化させる）一方で、DisenMambaはビュー間の類似性を減少させ、補完的な情報を保持することに成功したことが示された。
• 効率性： 本フレームワークは、軽量な投影モジュールによる無視できる程度のオーバーヘッドのみで、元のMambaモデルと同等のミリ秒レベルの推論レイテンシを維持している。

5. 意義と主張

本論文は、ネットワークトラフィック分析のための新しい**「解きほぐされたマルチビューMambaパラダイム」**を確立したと主張している。その主な意義は、ナイーブなマルチビュー拡張がNTADにおいて性能を低下させ得るという逆説的な発見を解決した点にある。冗長性の蓄積という構造的な欠陥に明示的に対処することで、DisenMambaはMambaのマルチビュー・スキャニング能力のポテンシャルを最大限に引き出している。

著者らは、自らの研究を単なる漸進的な改善ではなく、SSMをネットワークトラフィックに適用する方法に対する根本的な修正であると位置づけている。彼らは、この「解きほぐしてから融合する」アプローチが、暗号化されたネットワークトラフィックに固有のヘテロジニアス（異種混在的）なマルチビュー異常を捉えるために不可欠であると断言しており、より高感度で効率的な異常検知システムへの道筋を示している。最後に、このフレームワークはコンピュータビジョンや時系列解析などの他の領域にも拡張可能であることを示唆して締めくくっているが、現在の研究は厳密にNTADに焦点を当てている。