JP2004309998A - 確率分布推定装置および異常行動検出装置，ならびにその確率分布推定方法および異常行動検出方法 - Google Patents

Abstract

【課題】忘却型アルゴリズムを用いて大量データを逐次的に読み込みつつ適応的に各データが発生する確率分布を推定し、これを用いた異常行動検出を行う。
【解決手段】確率分布推定装置２または確率分布推定装置４は、ベクトル値のデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を、隠れ変数を持つ確率モデルを用いて推定する。特に、入力データの値に対して隠れ変数を持つ確率モデルのパラメータの値を読み込み、該確率モデルを用いて該入力データが発生した確からしさを計算し、新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新し、パラメータ値の幾つかを出力する。異常検出手段６は、確率分布推定装置２または確率分布推定装置４から受け取ったパラメータの値を用いて、異常行動度としてデータの情報量を計算して出力する。
【選択図】 図７

Description

【０００１】
【発明の属する技術分野】
本発明は確率分布推定装置および異常行動検出装置，ならびにその確率分布推定方法および異常行動検出方法に関し、特に全体の行動パタンに対して大きく外れる異常行動を検出する確率分布推定装置および異常行動検出装置，ならびにその確率分布推定方法および異常行動検出方法に関する。
【０００２】
【従来の技術】
従来、統計学やデータマイニング、なりすまし検出や侵入検出などの分野で幾つかの異常行動検出装置が提案されている。
【０００３】
まず、１点１点の多次元データの異常を検出する装置としては、“外れ値度計算装置及びそれに用いる確率密度推定装置並びに忘却型ヒストグラム計算装置”がある（例えば、特許文献１参照）。この装置は、１点１点の離散値または連続値の多次元データをヒストグラムまたは確率密度関数を用いて表し、統計的外れ値の検出を行うものである。
【０００４】
この他に、離散値ベクトルデータで表される行動データを用いた異常行動検出装置が、以下のようになりすまし検出や侵入検出などの分野で幾つか提案されている。
【０００５】
システムコールデータを用いた侵入検出方式としては、Ｓ． Ｆｏｒｒｅｓｔ， Ｓ． Ａ． Ｈｏｆｍｅｙｒ， Ａ． Ｓｏｍａｙａｊｉ， Ｔ． Ａ． Ｌｏｎｇｓｔａｆｆによる方式（例えば、非特許文献１参照）やＣ． Ｗａｒｒｅｎｄｅｒ， Ｓ． Ｆｏｒｒｅｓｔ， Ｂ． Ｐｅａｒｌｍｕｔｔｅｒによる方式（例えば、非特許文献２参照）がよく知られている。Ｓ． Ｆｏｒｒｅｓｔ， Ｓ． Ａ． Ｈｏｆｍｅｙｒ， Ａ． Ｓｏｍａｙａｊｉ， Ｔ． Ａ． Ｌｏｎｇｓｔａｆｆによる方式は、特定プログラムが正常時に内部的に利用しているシステムコールのパタンの部分列を記憶し、実行プログラムのシステムコール系列とこれらの部分列とのマッチングを行ってプログラムが正常か否かの判定をするものである。また、Ｃ． Ｗａｒｒｅｎｄｅｒ， Ｓ． Ｆｏｒｒｅｓｔ， Ｂ． Ｐｅａｒｌｍｕｔｔｅｒによる方式は、過去のシステムコール系列を隠れマルコフモデルを用いて学習し、得られたパラメータを用いて実行プログラムが正常か否かの判定をするものである。
【０００６】
また、なりすまし検出方式としては、Ｒ． Ａ． Ｍａｘｉｏｎ ａｎｄ Ｔ． Ｎ． Ｔｏｗｎｓｅｎｄによる方式（例えば、非特許文献３参照）が知られている。この方式は、特定ユーザの過去のコマンド履歴をナイーブベイズモデルを用いて学習し、得られたパラメータを用いて現在のユーザの行動が正常か否かの判定をするものである。
【０００７】
Ｗｅｂのアクセスログを用いた異常行動検出方式としては、Ｉ． Ｃａｄｅｚ ａｎｄ Ｐ． Ｓ． Ｂｒａｄｌｅｙによる方式（例えば、非特許文献４参照）がある。この方式は、複数ユーザのアクセスログデータを用いて全体の行動の変化を検出するものである。
【０００８】
また、ビデオカメラ画像からの人間の異常行動検出システムが、公知である（例えば、特許文献２参照）。このシステムは、行動モデルをエントロピー的プライアと隠れマルコフモデルとを用いて推定するものである。
【０００９】
一方、連続値ベクトルデータで表される行動データを用いた異常行動検出装置には、次のようなものがある。
【００１０】
時系列データにおける変化点を検出する方式には、Ｋ． Ｙａｍａｎｉｓｈｉ ａｎｄ Ｊ． Ｔａｋｅｕｃｈｉ による方式（例えば、非特許文献５参照）がある。この方式は、時系列データを自己回帰モデルなどを用いてオンラインで学習し、モデルが大きく変化した点を変化点として検出するものである。
【００１１】
時系列連続値データにおいて特徴的な箇所を発見する方式としては、Ｘ． Ｇｅ ａｎｄ Ｐ． Ｓｍｙｔｈ による方式 （例えば、非特許文献６参照） が知られている。この方式は、時系列連続値データを継続時間の分布モデルおよび各状態に対応する回帰モデルを持つ隠れマルコフモデルを用いて表し、特定の状態に対応する時系列連続値データを特徴的な箇所として検出するものである。
【００１２】
また、軌跡データ（連続値行動データ）の状態推定を行う方式としては、Ｓ． Ｇａｆｆｎｅｙ ａｎｄ Ｐ． Ｓｍｙｔｈ による方式（例えば、非特許文献７参照）が知られている。この方式は、軌跡データを回帰モデルの有限混合分布を用いて学習し、軌跡データが有限混合分布の各回帰モデルから生起した確からしさを計算する状態推定手段を備えたものである。
【００１３】
【特許文献１】
特開２００１−１０１１５４号公報（第５−６頁、図３―図４）
【特許文献２】
特開平１１−２５９６４３号公報（第５−６頁、図１）
【非特許文献１】
Ｓ． Ｆｏｒｒｅｓｔ， Ｓ． Ａ． Ｈｏｆｍｅｙｒ， Ａ． Ｓｏｍａｙａｊｉ， Ｔ． Ａ． Ｌｏｎｇｓｔａｆｆ， Ａ ｓｅｎｓｅ ｏｆ ｓｅｌｆ ｆｏｒ ＵＮＩＸ（登録商標）ｐｒｏｃｅｓｓｅｓ， ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １９９６ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ， ｐｐ：１２０−１２８， １９９６
【非特許文献２】
Ｃ． Ｗａｒｒｅｎｄｅｒ， Ｓ． Ｆｏｒｒｅｓｔ， Ｂ． Ｐｅａｒｌｍｕｔｔｅｒ， Ｄｅｔｅｃｔｉｎｇ ｉｎｔｒｕｓｉｏｎｓ ｕｓｉｎｇ ｓｙｓｔｅｍ ｃａｌｌｓ： ａｌｔｅｒｎａｔｉｖｅ ｄａｔａ ｍｏｄｅｌｓ， ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １９９９ ＩＥＥＥ ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ， ｐｐ：１３３−１４５， １９９９
【非特許文献３】
Ｒ． Ａ． Ｍａｘｉｏｎ ａｎｄ Ｔ． Ｎ． Ｔｏｗｎｓｅｎｄ， Ｍａｓｑｕｅｒａｄｅ Ｄｅｔｅｃｔｉｏｎ Ｕｓｉｎｇ Ｔｒｕｎｃａｔｅｄ Ｃｏｍｍａｎｄ Ｌｉｎｅｓ， ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｄｅｐｅｎｄａｂｌｅ Ｓｙｓｔｅｍｓ ａｎｄ Ｎｅｔｗｏｒｋｓ， ｐｐ：２１９−２２８， ２００２
【非特許文献４】
Ｉ． Ｃａｄｅｚ ａｎｄ Ｐ． Ｓ． Ｂｒａｄｌｅｙ， Ｍｏｄｅｌ Ｂａｓｅｄ Ｐｏｐｕｌａｔｉｏｎ Ｔｒａｃｋｉｎｇ ａｎｄ Ａｕｔｏｍａｔｉｃ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｄｉｓｔｒｉｂｕｔｉｏｎ Ｃｈａｎｇｅｓ， ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｎｅｕｒａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｙｓｔｅｍｓ， ｐｐ：１３４５−１３５２， ２００１
【非特許文献５】
Ｋ． Ｙａｍａｎｉｓｈｉ ａｎｄ Ｊ． Ｔａｋｅｕｃｈｉ， Ａ Ｕｎｉｆｙｉｎｇ Ｆｒａｍｅｗｏｒｋ ｆｏｒ Ｄｅｔｅｃｔｉｎｇ ｏｕｔｌｉｅｒｓ ａｎｄ ｃｈａｎｇｅ−ｐｏｉｎｔｓ ｆｒｏｍ ｎｏｎ−ｓｔａｔｉｏｎａｒｙ ｔｉｍｅ ｓｅｒｉｅｓ ｄａｔａ， ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＫＤＤ２００２， ｐｐ：４１−４６， ２００２
【非特許文献６】
Ｘ． Ｇｅ ａｎｄ Ｐ． Ｓｍｙｔｈ， Ｄｅｆｏｒｍａｂｌｅ Ｍａｒｋｏｖ Ｍｏｄｅｌ Ｔｅｍｐｌａｔｅｓ ｆｏｒ Ｔｉｍｅ−Ｓｅｒｉｅｓ Ｐａｔｔｅｒｎ Ｍａｔｃｈｉｎｇ， ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＫＤＤ２０００， ｐｐ：８１−９０， ２０００
【非特許文献７】
Ｓ． Ｇａｆｆｎｅｙ ａｎｄ Ｐ． Ｓｍｙｔｈ， Ｔｒａｊｅｃｔｏｒｙ Ｃｌｕｓｔｅｒｉｎｇ ｗｉｔｈ Ｍｉｘｔｕｒｅｓ ｏｆ Ｒｅｇｒｅｓｓｉｏｎ Ｍｏｄｅｌｓ， ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＫＤＤ１９９９， ｐｐ：６３−７２， １９９９
【００１４】
【発明が解決しようとする課題】
第１の問題点は、従来技術では、データを発生させる情報源の変化に対して適応性が無いことである。その理由は、特許文献１、Ｋ． Ｙａｍａｎｉｓｈｉ ａｎｄ Ｊ． Ｔａｋｅｕｃｈｉによる方式以外の全ての方式では、過去の全てのデータを平等に扱うため、パタンの変化があったときに対応できないからである。
【００１５】
第２の問題点は、十分なスケーラビリティがないことである。その理由は、Ｓ． Ｆｏｒｒｅｓｔ， Ｓ． Ａ． Ｈｏｆｍｅｙｒ， Ａ． Ｓｏｍａｙａｊｉ， Ｔ． Ａ． Ｌｏｎｇｓｔａｆｆによる方式では、マッチングを用いるため、精度の高い検出を行うためには大規模な記憶容量を必要とするからである。特許文献１、Ｋ． Ｙａｍａｎｉｓｈｉ ａｎｄ Ｊ． Ｔａｋｅｕｃｈｉによる方式以外の全ての方式では、いずれも学習アルゴリズムが過去の全てのデータを用いるものであるため、大規模な記憶容量を必要とする上に計算上非効率であるからである。
【００１６】
第３の問題点は、ノイズに対するロバスト性が無いことである。その理由は、Ｓ． Ｆｏｒｒｅｓｔ， Ｓ． Ａ． Ｈｏｆｍｅｙｒ， Ａ． Ｓｏｍａｙａｊｉ， Ｔ． Ａ． Ｌｏｎｇｓｔａｆｆによる方式では、マッチングを用いるため、記憶した部分列と少しでも異なるものは全て異常と判定してしまうからである。
【００１７】
第４の問題点は、検出できる異常行動が限定されていることである。その理由は、離散値データを扱うＳ． Ｆｏｒｒｅｓｔ， Ｓ． Ａ． Ｈｏｆｍｅｙｒ， Ａ． Ｓｏｍａｙａｊｉ， Ｔ． Ａ． Ｌｏｎｇｓｔａｆｆによる方式，Ｃ． Ｗａｒｒｅｎｄｅｒ， Ｓ． Ｆｏｒｒｅｓｔ， Ｂ． Ｐｅａｒｌｍｕｔｔｅｒによる方式，Ｒ． Ａ． Ｍａｘｉｏｎ ａｎｄ Ｔ． Ｎ． Ｔｏｗｎｓｅｎｄによる方式では、いずれもそれぞれの問題に特化された手法であり、単一プログラムや単一ユーザの過去の行動から大きく外れる外れ値の意味での異常行動の検出はできるが、バーストな異常行動の発生や複数プログラムや複数ユーザの問題を扱うことはできないからである。同様に、特許文献２記載のシステムでも、学習したモデルからの外れ値の意味での行動を検出することしかできない。また、Ｉ． Ｃａｄｅｚ ａｎｄ Ｐ． Ｓ． Ｂｒａｄｌｅｙによる方式は、複数ユーザのアクセスログを分析する問題における全体の行動の変化を検出することはできるが、各個人の行動の変化を検出することはできない。さらに、連続値データを扱うＸ． Ｇｅ ａｎｄ Ｐ． Ｓｍｙｔｈによる方式では、時系列連続値データにおいて、あらかじめ注目するべきであると分かっている特徴的な箇所を検出することはできるが、異常な軌跡を検出することはできない。また、Ｓ． Ｇａｆｆｎｅｙ ａｎｄ Ｐ． Ｓｍｙｔｈによる方式においても、軌跡の状態推定手段を備えているが、異常な軌跡を検出することはできない。
【００１８】
第５の問題点は、データ数が少ない場合の検出精度が悪いことである。Ｓ． Ｆｏｒｒｅｓｔ， Ｓ． Ａ． Ｈｏｆｍｅｙｒ， Ａ． Ｓｏｍａｙａｊｉ， Ｔ． Ａ． Ｌｏｎｇｓｔａｆｆによる方式， Ｃ． Ｗａｒｒｅｎｄｅｒ， Ｓ． Ｆｏｒｒｅｓｔ， Ｂ． Ｐｅａｒｌｍｕｔｔｅｒによる方式，Ｒ． Ａ． Ｍａｘｉｏｎ ａｎｄ Ｔ． Ｎ． Ｔｏｗｎｓｅｎｄによる方式では、単一プログラムや単一ユーザについて、それぞれ十分な量の過去のデータが無いと精度のよい異常行動検出を行うことができない。
【００１９】
第６の問題点は、分析対象のデータが限定されていることである。特許文献１記載のシステムでは、学習したモデルからの外れ値の意味での１点１点の離散値データまたは連続値データを検出することはできるが、異常行動を検出することはできない。同様に、Ｋ． Ｙａｍａｎｉｓｈｉ ａｎｄ Ｊ． Ｔａｋｅｕｃｈｉによる方式でも、１点１点の離散値データまたは連続値データの外れ値や変化点を検出することはできるが、行動データのパタンの異常を検出することはできない。
【００２０】
【発明の目的】
本発明の第１の目的は、行動を表すベクトルデータを忘却型アルゴリズムを用いて大量データを逐次的に読み込みつつノイズに対してロバストかつ適応的に各データが発生する確率分布を推定し、これを用いた異常行動の検出を行う確率分布推定装置および異常行動検出装置，ならびにその確率分布推定方法および異常行動検出方法を提供することにある。
【００２１】
本発明の第２の目的は、これまでのパタンの外れ値の意味での異常行動と区別して、異常行動度を用いてさらにバーストな異常行動を意味する行動の変化を検出することが可能な確率分布推定装置および異常行動検出装置，ならびにその確率分布推定方法および異常行動検出方法を提供することにある。
【００２２】
本発明の第３の目的は、複数プログラムや複数ユーザのデータが混合した行動データを扱う問題において、各個人の行動の変化を検出することが可能であり、同時に各個人についての行動データが少ない場合にも精度のよい異常行動データの検出が可能な確率分布推定装置および異常行動検出装置，ならびにその確率分布推定方法および異常行動検出方法を提供することにある。
【００２３】
本発明の第４の目的は、全体の行動モデルの構造の変化を検出することが可能な確率分布推定装置および異常行動検出装置，ならびにその確率分布推定方法および異常行動検出方法を提供することにある。
【００２４】
【課題を解決するための手段】
本発明の請求項１の確率分布推定装置（図１の２）は、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を、隠れ変数を持つ確率モデルを用いて推定する確率分布推定装置であって、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置（図１の２２）と、入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段（図１の２１）と、該確からしさ計算手段から確からしさを読み込み、前記確率モデルの各パラメータを前記パラメータ記憶装置から読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段（図１の２３）とを備え、前記パラメータ記憶装置の前記確率モデルのパラメータのいくつかを出力するようにしたことを特徴とする。
【００２５】
また、本発明の請求項２の確率分布推定装置（図１の２）は、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を、継続時間分布および隠れ変数を持つ時系列モデルを用いて推定する確率分布推定装置であって、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置（図１の２２）と、入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段（図１の２１）と、該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルの各パラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段（図１の２３）とを備え、前記パラメータ記憶装置の前記確率モデルのパラメータのいくつかを出力するようにしたことを特徴とする確率分布推定装置。
【００２６】
さらに、本発明の請求項３の確率分布推定装置（図１の２）は、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を、継続時間分布を持つ隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置であって、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置（図１の２２）と、入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段（図１の２１）と、該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布の各パラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段（図１の２３）とを備え、前記パラメータ記憶装置の前記確率モデルのパラメータのいくつかを出力するようにしたことを特徴とする。
【００２７】
さらにまた、本発明の請求項４の確率分布推定装置（図３の４）は、入力データをベクトルデータ列に加工するセッション化手段（図３の４１）をさらに備えることを特徴とする。
【００２８】
また、本発明の請求項５の異常行動検出装置（図５）は、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図５の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図５の５）とを備えることを特徴とする。
【００２９】
さらに、本発明の請求項６の異常行動検出装置（図５）は、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図５の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図５の５）とを備えることを特徴とする。
【００３０】
さらにまた、本発明の請求項７の異常行動検出装置（図７）は、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図７の６）とを備えることを特徴とする。
【００３１】
また、本発明の請求項８の異常行動検出装置（図７）は、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、各隠れ変数を持つ確率モデルのパラメータを前記パラメータ記憶装置から読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図７の６）とを備えることを特徴とする。
【００３２】
さらに、本発明の請求項９の異常行動検出装置（図９）は、前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部（図９の７１）をさらに備えることを特徴とする。
【００３３】
さらにまた、本発明の請求項１０の異常行動検出装置（図１１）は、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、各隠れ変数を持つ確率モデルのパラメータを前記パラメータ記憶装置から読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図１１の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図１１の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図１１の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図１１の１０）とを備えることを特徴とする。
【００３４】
また、本発明の請求項１１の異常行動検出装置（図１１）は、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図１１の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図１１の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図１１の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図１１の１０）とを備えることを特徴とする。
【００３５】
さらに、本発明の請求項１２の異常行動検出装置（図１３）は、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する複数の確率分布推定装置（図１３の２または４）と、隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図１３の１１）とを備えることを特徴とする。
【００３６】
さらにまた、本発明の請求項１３の異常行動検出装置（図１３）は、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する複数の確率分布推定装置（図１３の２または４）と、隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図１３の１１）とを備えることを特徴とする。
【００３７】
また、本発明の請求項１４の異常行動検出装置（図５）は、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図５の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図５の５）とを備えることを特徴とする。
【００３８】
さらに、本発明の請求項１５の異常行動検出装置（図５）は、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図５の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図５の５）とを備えることを特徴とする。
【００３９】
さらにまた、本発明の請求項１６の異常行動検出装置（図７）は、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図７の６）とを備えることを特徴とする。
【００４０】
また、本発明の請求項１７の異常行動検出装置（図７）は、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図７の６）とを備えることを特徴とする。
【００４１】
さらに、本発明の請求項１８の異常行動検出装置（図９）は、前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部（図９の７１）をさらに備えることを特徴とする。
【００４２】
さらにまた、本発明の請求項１９の異常行動検出装置（図１１）は、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図１１の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図１１の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図１１の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図１１の１０）とを備えることを特徴とする。
【００４３】
また、本発明の請求項２０の異常行動検出装置（図１１）は、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図１１の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図１１の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図１１の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図１１の１０）とを備えることを特徴とする。
【００４４】
さらに、本発明の請求項２１の異常行動検出装置（図１３）は、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する複数の確率分布推定装置（図１３の２または４）と、隠れ変数のとりうる状態の個数の異なる前記時系列モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図１３の１１）とを備えることを特徴とする。
【００４５】
さらにまた、本発明の請求項２２の異常行動検出装置（図１３）は、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する複数の確率分布推定装置（図１３の２または４）と、隠れ変数のとりうる状態の個数の異なる前記時系列モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図１３の１１）とを備えることを特徴とする。
【００４６】
また、本発明の請求項２３の異常行動検出装置（図５）は、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図５の１１）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図５の５）とを備えることを特徴とする。
【００４７】
さらに、本発明の請求項２４の異常行動検出装置（図５）は、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図５の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図５の５）とを備えることを特徴とする。
【００４８】
さらにまた、本発明の請求項２５の異常行動検出装置（図７）は、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図７の６）とを備えることを特徴とする。
【００４９】
また、本発明の請求項２６の異常行動検出装置（図７）は、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図７の６）とを備えることを特徴とする。
【００５０】
さらに、本発明の請求項２７の異常行動検出装置（図９）は、前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部（図９の７１）をさらに備えることを特徴とする。
【００５１】
さらにまた、本発明の請求項２８の異常行動検出装置（図１１）は、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図１１の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図１１の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図１１の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図１１の１０）とを備えることを特徴とする。
【００５２】
また、本発明の請求項２９の異常行動検出装置（図１１）は、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図１１の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図１１の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図１１の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図１１の１０）とを備えることを特徴とする。
【００５３】
さらに、本発明の請求項３０の異常行動検出装置（図１３）は、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する複数の確率分布推定装置（図１３の２または４）と、隠れ変数のとりうる状態の個数の異なる前記隠れマルコフモデルの有限混合分布に対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図１３の１１）とを備えることを特徴とする。
【００５４】
さらにまた、本発明の請求項３１の異常行動検出装置（図１３）は、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する複数の確率分布推定装置（図１３の２または４）と、隠れ変数のとりうる状態の個数の異なる前記隠れマルコフモデルの有限混合分布に対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図１３の１１）とを備えることを特徴とする。
【００５５】
一方、本発明の請求項３２の確率分布推定方法（図２）は、ベクトルデータ列を入力とする工程（図２のＳ１１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程（図２のＳ１２）と、該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図２のＳ１３）と、計算したパラメータ値の幾つかを出力する工程（図２のＳ１４）とを含むことを特徴とする。
【００５６】
また、本発明の請求項３３の確率分布推定方法（図２）は、ベクトルデータ列を入力とする工程（図２のＳ１１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程（図２のＳ１２）と、該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図２のＳ１３）と、計算したパラメータ値の幾つかを出力する工程（図２のＳ１４）とを含むことを特徴とする。
【００５７】
さらに、本発明の請求項３４の確率分布推定方法（図２）は、ベクトルデータ列を入力とする工程（図２のＳ１１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程（図２のＳ１２）と、該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図２のＳ１３）と、計算したパラメータ値の幾つかを出力する工程（図２のＳ１４）とを含むことを特徴とする。
【００５８】
さらにまた、本発明の請求項３５の確率分布推定方法（図４）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程（図４のＳ２２）をさらに含むことを特徴とする。
【００５９】
また、本発明の請求項３６の確率分布推定方法（図６）は、ベクトルデータ列を入力とする工程（図６のＳ３１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図６のＳ３２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程（図６のＳ３３）とを含むことを特徴とする。
【００６０】
さらに、本発明の請求項３７の異常行動検出方法（図６）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図６のＳ３１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、（図６のＳ３２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程（図６のＳ３３）とを含むことを特徴とする。
【００６１】
さらにまた、本発明の請求項３８の異常行動検出方法（図８）は、ベクトルデータ列を入力とする工程（図８のＳ４１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図８のＳ４２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程（図８のＳ４３およびＳ４４）とを含むことを特徴とする。
【００６２】
また、本発明の請求項３９の異常行動検出方法（図８）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図８のＳ４１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図８のＳ４２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程（図８のＳ４３およびＳ４４）とを含むことを特徴とする。
【００６３】
さらに、本発明の請求項４０の異常行動検出方法（図１０）は、複数個のデータを読み込み、前記推定された確率分布のパラメータを使用して前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する工程（図１０のＳ５４およびＳ５５）をさらに含むことを特徴とする。
【００６４】
さらにまた、本発明の請求項４１の異常行動検出方法（図１２）は、ベクトルデータ列を入力とする工程（図１２のＳ６１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１２のＳ６２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程（図１２のＳ６３およびＳ６４）と、前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程（図１２のＳ６５）と、更新前後の事後確率の変化を計算し出力する工程（図１２のＳ６６）とを含むことを特徴とする。
【００６５】
また、本発明の請求項４２の異常行動検出方法（図１２）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図１２のＳ６１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１２のＳ６２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程（図１２のＳ６３およびＳ６４）と、前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程（図１２のＳ６５）と、更新前後の事後確率の変化を計算し出力する工程（図１２のＳ６６）とを含むことを特徴とする。
【００６６】
さらに、本発明の請求項４３の異常行動検出方法（図１４のＳ）は、ベクトルデータ列を入力とする工程（図１４のＳ７１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１４のＳ７２）と、計算したパラメータ値の幾つかを出力する工程と、前記確率モデルのパラメータの個数を変化させて推定パラメータを並列に計算する工程と、該パラメータおよび入力データを用いて各確率モデルについて計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程（図１４のＳ７３およびＳ７４）とを含むことを特徴とする。
【００６７】
さらにまた、本発明の請求項４４の異常行動検出方法（図１４）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図１４のＳ７１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１４のＳ７２）と、計算したパラメータ値の幾つかを出力する工程と、前記確率モデルのパラメータの個数を変化させて推定パラメータを並列に計算する工程と、該パラメータおよび入力データを用いて各確率モデルについて計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程（図１４のＳ７３およびＳ７４）とを含むことを特徴とする。
【００６８】
また、本発明の請求項４５の異常行動検出方法（図６）は、ベクトルデータ列を入力とする工程（図６のＳ３１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図６のＳ３２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程（図６のＳ３３およびＳ３４）とを含むことを特徴とする。
【００６９】
さらに、本発明の請求項４６の異常行動検出方法（図６）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図６のＳ３１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図６のＳ３２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程（図６のＳ３３およびＳ３４）とを含むことを特徴とする。
【００７０】
さらにまた、本発明の請求項４７の異常行動検出方法（図８）は、ベクトルデータ列を入力とする工程（図８のＳ４１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図８のＳ４２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程（図８のＳ４３およびＳ４４）とを含むことを特徴とする。
【００７１】
また、本発明の請求項４８の異常行動検出方法（図８）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図８のＳ４１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図８のＳ４２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程（図８のＳ４３およびＳ４４）とを含むことを特徴とする。
【００７２】
さらに、本発明の請求項４９の異常行動検出方法（図１０）は、複数個のデータを読み込み、前記推定された確率分布のパラメータを使用して前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する工程（図１０のＳ５４およびＳ５５）をさらに含むことを特徴とする。
【００７３】
さらにまた、本発明の請求項５０の異常行動検出方法（図１２）は、ベクトルデータ列を入力とする工程（図１２のＳ６１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１２のＳ６２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程（図１２のＳ６３およびＳ６４）と、前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、更新前後の事後確率の変化を計算し出力する工程（図１２のＳ６５およびＳ６６）とを含むことを特徴とする。
【００７４】
また、本発明の請求項５１の異常行動検出方法（図１２）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図１２のＳ６１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１２のＳ６２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程（図１２のＳ６３およびＳ６４）と、前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、更新前後の事後確率の変化を計算し出力する工程（図１２のＳ６５およびＳ６６）とを含むことを特徴とする。
【００７５】
さらに、本発明の請求項５２の異常行動検出方法（図１４）は、ベクトルデータ列を入力とする工程（図１４のＳ７１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１４のＳ７２）と、計算したパラメータ値の幾つかを出力する工程と、前記時系列モデルのパラメータの個数を変化させて推定パラメータを並列に計算する工程と、該パラメータおよび入力データを用いて各時系列モデルについて計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程（図１４のＳ７３およびＳ７４）とを含むことを特徴とする。
【００７６】
さらにまた、本発明の請求項５３の異常行動検出方法（図１４）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図１４のＳ７１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１４のＳ７２）と、計算したパラメータ値の幾つかを出力する工程と、前記時系列モデルのパラメータの個数を変化させて推定パラメータを並列に計算する工程と、該パラメータおよび入力データを用いて各時系列モデルについて計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程（図１４のＳ７３およびＳ７４）とを含むことを特徴とする。
【００７７】
また、本発明の請求項５４の異常行動検出方法（図６）は、ベクトルデータ列を入力とする工程（図６のＳ３１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図６のＳ３２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程（図６のＳ３３およびＳ３４）とを含むことを特徴とする。
【００７８】
さらに、本発明の請求項５５の異常行動検出方法（図６）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図６のＳ３１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図６のＳ３２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程（図６のＳ３３およびＳ３４）とを含むことを特徴とする。
【００７９】
さらにまた、本発明の請求項５６の異常行動検出方法（図８）は、ベクトルデータ列を入力とする工程（図８のＳ４１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図８のＳ４２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程（図８のＳ４３およびＳ４４）とを含むことを特徴とする。
【００８０】
また、本発明の請求項５７の異常行動検出方法（図８）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図８のＳ４１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図８のＳ４２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程（図８のＳ４３およびＳ４４）とを含むことを特徴とする。
【００８１】
さらに、本発明の請求項５８の異常行動検出方法（図１０）は、複数個のデータを読み込み、前記推定された確率分布のパラメータを使用して前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する工程（図１０のＳ５４およびＳ５５）をさらに含むことを特徴とする。
【００８２】
さらにまた、本発明の請求項５９の異常行動検出方法（図１２）は、ベクトルデータ列を入力とする工程（図１２のＳ６１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１２のＳ６２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程（図１２のＳ６３およびＳ６４）と、前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、更新前後の事後確率の変化を計算し出力する工程（図１２のＳ６５およびＳ６６）とを含むことを特徴とする。
【００８３】
また、本発明の請求項６０の異常行動検出方法（図１２）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図１２のＳ６１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１２のＳ６２）と、計算したパラメータ値の幾つかを出力する工程と、推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程（図１２のＳ６３およびＳ６４）と、前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、更新前後の事後確率の変化を計算し出力する工程（図１２のＳ６５およびＳ６６）とを含むことを特徴とする。
【００８４】
さらに、本発明の請求項６１の異常行動検出方法（図１４）は、ベクトルデータ列を入力とする工程（図１４のＳ７１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１４のＳ７２）と、計算したパラメータ値の幾つかを出力する工程と、前記隠れマルコフモデルの有限混合分布のパラメータの個数を変化させて推定パラメータを並列に計算する工程と、該パラメータおよび入力データを用いて各有限混合分布について計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程（図１４のＳ７３およびＳ７４）とを含むことを特徴とする。
【００８５】
さらにまた、本発明の請求項６２の異常行動検出方法（図１４）は、入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、ベクトルデータ列を入力とする工程（図１４のＳ７１）と、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程（図１４のＳ７２）と、計算したパラメータ値の幾つかを出力する工程と、前記隠れマルコフモデルの有限混合分布のパラメータの個数を変化させて推定パラメータを並列に計算する工程と、該パラメータおよび入力データを用いて各隠れマルコフモデルの有限混合分布について計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程（図１４のＳ７３およびＳ７４）とを含むことを特徴とする。
【００８６】
他方、本発明の請求項６３の確率分布推定プログラム（図１５の１００）は、コンピュータを、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置（図１５の２２），入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段（図１５の２１），および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段（図１５の２３）として動作させることを特徴とする。
【００８７】
また、本発明の請求項６４の確率分布推定プログラム（図１５の１００）は、コンピュータを、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置（図１５の２２），入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段（図１５の２１），および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段（図１５の２３）として動作させることを特徴とする。
【００８８】
さらに、本発明の請求項６５の確率分布推定プログラム（図１５の１００）は、コンピュータを、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置（図１５の２２），入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段（図１５の２１），および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段（図１５の２３）として動作させることを特徴とする。
【００８９】
さらにまた、本発明の請求項６６の確率分布推定プログラム（図１６の２００）は、コンピュータを、入力データをベクトルデータ列に加工するセッション化手段（図１６の４１）としてさらに動作させることを特徴とする。
【００９０】
また、本発明の請求項６７の異常行動検出プログラム（図１７の４００）は、コンピュータ（図１７の３００）を、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図１７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図１７の５）として動作させることを特徴とする。
【００９１】
さらに、本発明の請求項６８の異常行動検出プログラム（図１７の４００）は、コンピュータ（図１７の３００）を、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図１７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図１７の５）として動作させることを特徴とする。
【００９２】
さらにまた、本発明の請求項６９の異常行動検出プログラム（図１８の６００）は、コンピュータ（図１８の５００）を、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図１８の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図１８の６）として動作させることを特徴とする。
【００９３】
また、本発明の請求項７０の異常行動検出プログラム（図１８の６００）は、コンピュータ（図１８の５００）を、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図１８の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図１８の６）として動作させることを特徴とする。
【００９４】
さらに、本発明の請求項７１の異常行動検出プログラム（図１９の８００）は、コンピュータ（図１９の７００）を、前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部（図１９の７１）としてさらに動作させることを特徴とする。
【００９５】
さらにまた、本発明の請求項７２の異常行動検出プログラム（図２０の１０００）は、コンピュータ（図２０の９００）を、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図２０の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図２０の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図２０の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図２０の１０）として動作させることを特徴とする。
【００９６】
また、本発明の請求項７３の異常行動検出プログラム（図２０の１０００）は、コンピュータ（図２０の９００）を、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置（図２０の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図２０の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図２０の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図２０の１０）として動作させることを特徴とする。
【００９７】
さらに、本発明の請求項７４の異常行動検出プログラムは（図２１の１２００）、コンピュータ（図２１の１１００）を、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する複数の確率分布推定装置（図２１の２または４）と、隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図２１の１１）として動作させることを特徴とする。
【００９８】
さらにまた、本発明の請求項７５の異常行動検出プログラム（図２１の１２００）は、コンピュータ（図２１の１１００）を、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する複数の確率分布推定装置（図２１の２または４）と、隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図２１の１１）として動作させることを特徴とする。
【００９９】
また、本発明の請求項７６の異常行動検出プログラム（図１７の４００）は、コンピュータ（図１７の３００）を、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図１７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図１７の５）として動作させることを特徴とする。
【０１００】
さらに、本発明の請求項７７の異常行動検出プログラム（図１７の４００）は、コンピュータ（図１７の３００）を、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図１７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図１７の５）として動作させることを特徴とする。
【０１０１】
さらにまた、本発明の請求項７８の異常行動検出プログラム（図１８の６００）は、コンピュータ（図１８の５００）を、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図１８の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図１８の６）として動作させることを特徴とする。
【０１０２】
また、本発明の請求項７９の異常行動検出プログラム（図１８の６００）は、コンピュータ（図１８の５００）を、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図１８の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図１８の６）として動作させることを特徴とする。
【０１０３】
さらに、本発明の請求項８０の異常行動検出プログラム（図１９の８００）は、コンピュータを、前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部（図１９の７１）としてさらに動作させることを特徴とする。
【０１０４】
さらにまた、本発明の請求項８１の異常行動検出プログラム（図２０の１０００）は、コンピュータ（図２０の９００）を、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図２０の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図２０の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図２０の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図２０の１０）として動作させることを特徴とする。
【０１０５】
また、本発明の請求項８２の異常行動検出プログラム（図２０の１０００）は、コンピュータ（図２０の９００）を、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置（図２０の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図２０の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図２０の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図２０の１０）として動作させることを特徴とする。
【０１０６】
さらに、本発明の請求項８３の異常行動検出プログラム（図２１の１２００）は、コンピュータ（図２１の１１００）を、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する複数の確率分布推定装置（図２１の２または４）と、隠れ変数のとりうる状態の個数の異なる前記時系列モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図２１の１１）として動作させることを特徴とする。
【０１０７】
さらにまた、本発明の請求項８４の異常行動検出プログラム（図２１の１２００）は、コンピュータ（図２１の１１００）を、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する複数の確率分布推定装置（図２１の２または４）と、隠れ変数のとりうる状態の個数の異なる前記時系列モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図２１の１１）として動作させることを特徴とする。
【０１０８】
また、本発明の請求項８５の異常行動検出プログラム（図１７の４００）は、コンピュータ（図１７の３００）を、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図１７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図１７の５）として動作させることを特徴とする。
【０１０９】
さらに、本発明の請求項８６の異常行動検出プログラム（図１７の４００）は、コンピュータ（図１７の３００）を、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図１７の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段（図１７の５）として動作させることを特徴とする。
【０１１０】
さらにまた、本発明の請求項８７の異常行動検出プログラム（図１８の６００）は、コンピュータ（図１８の５００）を、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図１８の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図１８の６）として動作させることを特徴とする。
【０１１１】
また、本発明の請求項８８の異常行動検出プログラム（図１８の６００）は、コンピュータ（図１８の５００）を、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図１８の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段（図１８の６）として動作させることを特徴とする。
【０１１２】
さらに、本発明の請求項８９の異常行動検出プログラム（図１９の８００）は、コンピュータ（図１９の７００）を、前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部（図１９の７１）としてさらに動作させることを特徴とする。
【０１１３】
さらにまた、本発明の請求項９０の異常行動検出プログラム（図２０の１０００）は、コンピュータ（図２０の９００）を、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図２０の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図２０の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図２０の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図２０の１０）として動作させることを特徴とする。
【０１１４】
また、本発明の請求項９１の異常行動検出プログラム（図２０の１０００）は、コンピュータ（図２０の９００）を、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置（図２０の２または４）と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段（図２０の８）と、前記入力データとは別のデータを入力として与える参照データ入力装置（図２０の９）と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段（図２０の１０）として動作させることを特徴とする。
【０１１５】
さらに、本発明の請求項９２の異常行動検出プログラム（図２１の１２００）は、コンピュータ（図２１の１１００）を、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する複数の確率分布推定装置（図２１の２または４）と、隠れ変数のとりうる状態の個数の異なる前記隠れマルコフモデルの有限混合分布に対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図２１の１１）として動作させることを特徴とする。
【０１１６】
さらにまた、本発明の請求項９３の異常行動検出プログラム（図２１の１２００）は、コンピュータ（図２１の１１００）を、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する複数の確率分布推定装置（図２１の２または４）と、隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段（図２１の１１）として動作させることを特徴とする。
【０１１７】
【発明の実施の形態】
次に、本発明の実施の形態について、図面を参照して詳細に説明する。
【０１１８】
［第１の実施の形態］
図１は、本発明の第１の実施の形態に係る確率分布推定装置２の構成を示すブロック図である。本実施の形態に係る確率分布推定装置２は、確からしさ計算手段２１と、パラメータ記憶装置２２と、パラメータ更新手段２３と、パラメータ出力装置２４とから構成されている。
【０１１９】
パラメータ記憶装置２２は、隠れ変数を持つ確率モデルの全てのパラメータを記憶する手段である。
【０１２０】
確からしさ計算手段２１は、入力データが発生した確からしさを計算する手段である。
【０１２１】
パラメータ更新手段２３は、後述するパラメータ更新規則にしたがってパラメータを書き換える手段である。
【０１２２】
パラメータ出力装置２４は、パラメータ記憶装置２２のパラメータを出力する装置である。
【０１２３】
図２は、図１の確率分布推定装置２の概略動作を表すフロー図であり、図１の確率分布推定装置２は、以下のように動作する。
【０１２４】
まず、データが読み込まれる前にパラメータ記憶装置２２に格納されている各パラメータの値が初期化される（ステップＳ１０）。
【０１２５】
次に、新たなデータｙが入力される度に、以下のように動作をする。まず、データｙが確からしさ計算手段２１およびパラメータ更新手段２３に渡されて格納される（ステップＳ１１）。
【０１２６】
確からしさ計算手段２１は、パラメータ記憶装置２２より現在のパラメータの値を読み込み、これを用いてデータｙを発生した確からしさを計算し、パラメータ更新手段２３に送る。
【０１２７】
パラメータ更新手段２３は、パラメータ記憶装置２２より現在のパラメータの値を読み込み、データｙを読み込み、パラメータ記憶装置２２に記憶されているパラメータの値を書き換える（ステップＳ１３）。
【０１２８】
ここで用いるパラメータ更新規則は、通常パラメータ推定によく用いられるＤｅｍｐｓｔｅｒらのＥＭアルゴリズム（Ｍａｘｉｍｕｍ ｌｉｋｅｌｉｈｏｏｄ ｆｒｏｍ ｉｎｃｏｍｐｌｅｔｅ ｄａｔａ ｖｉａ ｔｈｅ ＥＭ ａｌｇｏｒｉｔｈｍ， Ｊｏｕｒｎａｌ ｏｆ ｔｈｅ Ｒｏｙａｌ Ｓｔａｔｉｓｔｉｃａｌ Ｓｏｃｉｅｔｙ， Ｓｅｒｉｅｓ Ｂ， Ｖｏｌ． ３９， ｎｏ．１， ｐｐ： １−３８， １９７７）をオンラインで高速にかつ適応的な学習を可能とするように改良したものである。ＥＭアルゴリズムとは、繰り返し毎に全データを用いて対数尤度の条件付期待値を最大化するアルゴリズムである。ここで、対数尤度の条件付期待値の最大化するときのパラメータは、十分統計量の条件付期待値を用いて計算される。これに対し、本パラメータ更新規則は、データを逐次的に読み込みながら、忘却係数ｒの重みを付けた十分統計量の条件付期待値を計算するアルゴリズムとなっている。すなわち、データｙ^ｊ＝（ｙ_１，…，ｙ_Ｔｊ）をｊ番目に読み込まれたデータとすると、現在のデータｙ^ｊの十分統計量の条件付期待値にｒ、過去データｙ^１，…，ｙ^{ｊ − １}の重み付き十分統計量の条件付期待値に（１−ｒ）の重みを付けて、和を取ったものを全体のデータの重み付き十分統計量の条件付期待値とする。これはすなわち、過去の１〜（ｊ−ｌ）番目のデータを前のデータほど忘却する推定を実現している。ここで、例えば、忘却係数ｒをデータによらない０＜ｒ＜１の定数とすると、忘却係数ｒの値が大きいほどより過去を忘却した推定を行う。ｒ＝１／ｊとすれば、１〜ｊ番目の全てのデータに等しい重みを付けて学習することができる。また、例えば、現在のデータの確からしさが小さいときにはより小さい重みを付ける、といったように、データに依存して忘却係数ｒを決めることもできる。以上のパラメータ更新規則を用いれば、時間が経つにつれて傾向が変わったデータを適応的に学習するができる。
【０１２９】
以下でより具体的に説明する。
【０１３０】
まず、離散値ベクトルデータで表される行動データの学習について説明する。
【０１３１】
データｙ＝（ｙ_１，…，ｙ_Ｔ）（離散ベクトル値）が、確率分布として、例えばｎ次元隠れマルコフモデルの有限混合分布を表す数１に従って発生するとする。
【０１３２】
【数１】

【０１３３】
ここで、Ｋは有限混合分布の重ね合わせの数を表す整数であり、π_ｋ（ｋ＝１，…，Ｋ）は各隠れマルコフモデルの発生確率であり、数２が成り立つ。
【０１３４】
【数２】

【０１３５】
ただし、有限混合分布のＫ個のｎ次元隠れマルコフモデルを表す数３であるものとする。
【０１３６】
【数３】

【０１３７】
ここで、ｘ_１，…，ｘ_Ｔは隠れ変数系列、γは初期確率ベクトル、ａ，ｂは確率遷移行列である。Σ_（ｘ_１，…，ｘ_{Ｔ ）}は、隠れ変数系列ｘ_１，…，ｘ_Ｔのとりうる全ての組み合わせについて和をとることを意味する。
【０１３８】
隠れ変数系列ｘ_１，…，ｘ_Ｔをｘ_１＝ｙ_１，…，ｘ_Ｔ＝ｙ_Ｔとした場合、隠れマルコフモデルはマルコフモデルとなる。また、Ｋ＝１とし、隠れ変数のとりうる状態の個数を１とした場合、隠れマルコフモデルの有限混合分布はナイーブベイズモデルとなる。
【０１３９】
なお、隠れ変数のとりうる状態の個数とＴの値が大きく数３の計算が実用的に難しい場合は、ＶｉｔｅｒｂｉによるＶｉｔｅｒｂｉアルゴリズム（Ｅｒｒｏｒ ｂｏｕｎｄｓ ｆｏｒ ｃｏｎｖｏｌｕｔｉｏｎａｌ ｃｏｄｅｓ ａｎｄ ａｎ ａｓｙｍｐｔｏｔｉｃａｌｌｙ ｏｐｔｉｍｕｍ ｄｅｃｏｄｉｎｇ ａｌｇｏｒｉｔｈｍ， ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｈｅｏｒｙ， １３， ｐｐ： ２６０−２６７， １９６７）を使用して求められた最適状態遷移系列の確率で近似する。また、ｋ番目の隠れマルコフモデルの発生確率π_ｋ、初期確率ベクトルγにおける各出力シンボルの発生確率、確率遷移行列ａ，ｂにおける各状態遷移確率をパラメータベクトルθ_ｋ（ｋ＝１，…，Ｋ）で表し、θ＝（θ_１，…，θ_ｋ）とする。
【０１４０】
パラメータ記憶装置２２は、上述のパラメータθおよび各ｋについて後述のパラメータ更新規則によって計算されたｃ_ｋ，γ_１，ａ_１，ｂ_１を記憶する。ただし、隠れマルコフモデルの個数Ｋと、過去のデータの忘却の速さを表す忘却係数ｒ（０＜ｒ＜１；ｒが大きい程、過去のデータを速く忘却する）、パラメータνが予め与えられているものとし、データが読み込まれる前にこれらの全てのパラメータは初期化されているものとする。
【０１４１】
確からしさ計算手段２１では、確からしさが発生確率として数１および数３によって計算される。
【０１４２】
また、パラメータ更新手段２３では、数４〜数１１に示すように、各ｋ＝１，…，Ｋについて順次計算する。
【０１４３】
【数４】

【０１４４】
【数５】

【０１４５】
【数６】

【０１４６】
【数７】

【０１４７】
【数８】

【０１４８】
【数９】

【０１４９】
【数１０】

【０１５０】
【数１１】

【０１５１】
数５は、有限混合分布の係数π_ｋの重み付き十分統計量の条件付期待値を更新する計算であり、数６，数８，数１０のγ_１，ａ_１，ｂ_１は、それぞれｎ次元隠れマルコフモデルのパラメータγ，ａ，ｂの重み付き十分統計量の条件付期待値を更新する計算である。数５，数６，数８，数１０の全ての式において、現在のデータｙの十分統計量の条件付期待値にｒ、過去のデータの重み付き十分統計量の条件付期待値に（１−ｒ）の重みを付けて和を取る。有限混合分布の係数π_ｋは、数５で計算された重み付き十分統計量の条件付期待値そのものであり、ｎ次元隠れマルコフモデルのパラメータγ，ａ，ｂは、それぞれγ_１，ａ_１，ｂ_１を数７，数９，数１１のように正規化することによって計算される。
【０１５２】
なお、数１０，数１１におけるｕは、入力データの各シンボル、数６〜数１１におけるｓ，ｓ’やｓ_１，…，ｓ_{ｎ＋ １}は隠れ変数シンボルを表し、τ，τ’はそれぞれ入力データが与えられたときの時点（ｔ−ｎ＋１）から（ｔ＋１）の隠れ変数の事後確率と時点ｔの隠れ変数の事後確率を表す。これらのτ，τ’は、隠れマルコフモデルのパラメータ推定ではよく用いられるＢａｕｍらによるＢａｕｍ‐Ｗｅｌｃｈアルゴリズム（Ａ ｍａｘｉｍｉｚａｔｉｏｎ ｔｅｃｈｎｉｑｕｅ ｏｃｃｕｒｒｉｎｇ ｉｎ ｔｈｅ ｓｔａｔｉｓｔｉｃａｌ ａｎａｌｙｓｉｓ ｏｆ ｐｒｏｂａｂｉｌｉｓｔｉｃ ｆｕｎｃｔｉｏｎｓ ｏｆ Ｍａｒｋｏｖ ｃｈａｉｎｓ， Ｔｈｅ Ａｎｎａｌｓ ｏｆ Ｍａｔｈｅｍａｔｉｃａｌ Ｓｔａｔｉｓｔｉｃｓ， ４１（１）， ｐｐ： １６４−１７１， １９７０）を用いて計算される。また、記号“：＝”は右辺の計算結果を左辺に代入することを意味し、“Λｙ_ｔ＝ｕ”は時点ｔ番目の入力データのシンボルがｕであることを満たす場合のみ和をとることを意味する。
【０１５３】
以上では、離散値ベクトルデータで表される行動データを学習する確率分布推定装置について、ｎ次元隠れマルコフモデルの有限混合分布を隠れ変数を持つ確率モデルの一例として説明した。
【０１５４】
上述したように、隠れマルコフモデルの有限混合分布は、マルコフモデル、ナイーブベイズモデル、およびこれらの有限混合分布を含む。また、隠れマルコフモデルの有限混合分布の他にも、離散値ベクトルデータを表す隠れ変数を持つ確率モデルとして、継続時間分布を持つ隠れマルコフモデルや有限状態確率オートマトン、ベイジアンネットワーク、ニューラルネットワークなどが考えられる。
【０１５５】
また、時点ｔの隠れ変数ｘ_ｔが線形または非線形関数ｈ_ｘを用いてｘ_ｔ＝ｈ_ｘ（ｘ_１，…，ｘ_ｔ−１）で表されるとする。観測時系列ｙ_ｔが線形または非線形関数ｈ_ｙを用いてｙ_ｔ＝ｈ_ｙ（ｘ_１，…，ｘ_ｔ）で表されるとする。このとき、ｈ_ｘ，ｈ_ｙによって表される全ての離散値ベクトルデータを表す状態空間モデルが考えられる。十分統計量の条件付期待値を解析的に算出可能な全ての隠れ変数を持つ確率モデルについて、上のパラメータ更新規則を適用することができる。
【０１５６】
次に、連続値ベクトルデータで表される行動データの学習について説明する。
【０１５７】
データｙ＝（ｙ_１，…，ｙ_Ｔ）（連続ベクトル値）が、確率分布として、例えば継続時間分布と各状態に対応する自己回帰モデルを持つ１次元隠れマルコフモデルの有限混合分布を表す数１に従って発生するとする。ただし、ｙ_１，…，ｙ_Ｔは、それぞれ多次元連続ベクトル値を表すものとする。ここで、離散値ベクトルデータの場合と同様に、Ｋは有限混合分布の重ね合わせの数を表す整数であり、π_ｋ（ｋ＝１，…，Ｋ）は各１次元隠れマルコフモデルの発生確率であり、数２が成り立つ。ただし、有限混合分布のＫ個の継続時間分布と各状態に対応する自己回帰モデルを持つ１次元隠れマルコフモデルを表す数１２〜１４であるものとする。
【０１５８】
【数１２】

【０１５９】
【数１３】

【０１６０】
【数１４】

【０１６１】
ここで、ｘ_１，…，ｘ_Ｔは隠れ変数系列、γは初期確率ベクトル、ａ，ｂは確率遷移行列である。ただし、連続する隠れ変数ｘ_Ｔｘ_{Ｔ ＋１}はここでは異なる状態をとるものとし、Ｔ’≦Ｔが成り立つ。数１３のＰ（ｄ_Ｔ｜ｘ_Ｔ＝ｓ）は、隠れ変数ｘ_Ｔが状態ｓをとるときの継続時間分布の確率である。継続時間分布の例としては、例えば、ポアソン分布、幾何分布、指数分布、ガンマ分布などが考えられる。ただし、継続時間分布を持つ隠れマルコフモデルは、通常の隠れマルコフモデルと包含関係にあり、継続時間分布を幾何分布とした場合の継続時間分布を持つ隠れマルコフモデルは通常の隠れマルコフモデルである。ここでは、数１４のポアソン分布の場合を例として説明する。
【０１６２】
また、数１５は、Ｌ次元自己回帰モデルの式を表す。
【０１６３】
【数１５】

【０１６４】
また、各隠れ変数のとりうる状態に対応する自己回帰モデルの平均μ_ｓ、係数β_１，…，β_Ｌ、分散共分散行列Σ_ｓをパラメータベクトルθ_ｓで表す。ｋ番目の隠れマルコフモデルの発生確率π_ｋ、初期確率ベクトルγにおける各出力シンボルの発生確率、確率遷移行列ａ，ｂにおける各状態遷移確率、隠れ変数の各状態に対応する継続時間分布のパラメータλ_ｓ、および上述のθ_ｓをパラメータベクトルθ_ｋ（ｋ＝１，…，Ｋ）で表し、θ＝（θ_１，…，θ_ｋ）とする。
【０１６５】
なお、離散値ベクトルデータの例の場合と同様に、隠れ変数のとりうる状態の個数とＴの値が大きく数１２の計算が実用的に難しい場合は、ＶｉｔｅｒｂｉによるＶｉｔｅｒｂｉアルゴリズムを継続時間分布を持つ場合に拡張したアルゴリズム（例えば、確率モデルによる音声認識，ｐｐ：７４−７８，電子情報通信学会，１９８８）を使用して求められた最適状態遷移系列の確率で近似する。
【０１６６】
パラメータ記憶装置２２は、上述のパラメータθおよび各ｋについて後述のパラメータ更新規則によって計算されたｃ_ｋ，γ_１，ａ_１，ｂ_１，ｄ_ｓ，λ_{ｓ ， １}，μ_{ｓ ， １}，Ｃ_{ｓ ， ｌ ， １}，Σ_{ｓ ， １}を記憶する。ただし、離散値ベクトルデータの例の場合と同様に、隠れマルコフモデルの個数Ｋと、過去のデータの忘却の速さを表す忘却係数ｒ（０＜ｒ＜１；ｒが大きい程、過去のデータを速く忘却する）、パラメータνが予め与えられているものとし、データが読み込まれる前にこれらの全てのパラメータは初期化されているものとする。
【０１６７】
確からしさ計算手段２１では、確からしさが数１および数１２〜数１５によって計算される。
【０１６８】
また、パラメータ更新手段２３では、数４、数５および数１６〜数２９に示すように、各ｋ＝１，…，Ｋについて順次計算する。
【０１６９】
【数１６】

【０１７０】
【数１７】

【０１７１】
【数１８】

【０１７２】
【数１９】

【０１７３】
【数２０】

【０１７４】
【数２１】

【０１７５】
【数２２】

【０１７６】
【数２３】

【０１７７】
【数２４】

【０１７８】
【数２５】

【０１７９】
【数２６】

【０１８０】
【数２７】

【０１８１】
【数２８】

【０１８２】
【数２９】

【０１８３】
なお、τ，τ’’，τ’は、それぞれ入力データが与えられたときの、時点ｔから時点（ｔ＋ｄ−１）が状態ｓであり，時点（ｔ＋ｄ）に状態ｓ’となる事後確率、時点ｔから時点（ｔ＋ｄ−１）が状態ｓである事後確率、時点ｔから状態ｓである事後確率を表す。これらのτ，τ’’，τ’は、ＢａｕｍらによるＢａｕｍ‐Ｗｅｌｃｈアルゴリズムを継続時間分布を持つ場合に拡張したアルゴリズム（例えば、確率モデルによる音声認識，ｐｐ： ７４−７８，電子情報通信学会，１９８８）を用いて計算される。また、数２０、数２１のｄ_ｓ，λ_{ｓ ， １}は、それぞれ継続時間分布であるポアソン分布の重み付け十分統計量の条件付期待値である。数２３のμ_{ｓ ， １}，数２５のＣ_{ｓ ， ｌ ， １}，数２８のΣ_{ｓ ， １}は、それぞれ自己回帰モデルの重み付け十分統計量の条件付期待値である。特に、数２５のＣ_{ｓ ， ｌ ， １}は、Ｌ次自己回帰モデルにおける自己相関係数の重み付け十分統計量の条件付期待値を計算するものである（ｌ＝１，…，Ｌ）。また、自己回帰モデルの係数行列β_１，…，β_Ｌは、数２７のＬ次元連立方程式を解くことによって得られる。ただし、Ｃ_{ｓ ，− ｌ}＝Ｃ_{ｓ ， ｌ}である。
【０１８４】
また、数２８の各ｙ_{ｔ ＋ ｄ’}の予測値は、数２７において得られたβ_１，…，β_Ｌを用いて数３０によって計算される。
【０１８５】
【数３０】

【０１８６】
以上では、連続値ベクトルデータで表される行動データを学習する確率分布推定装置について継続時間分布および各状態に対応する自己回帰モデルを持つ１次元隠れマルコフモデルの有限混合分布を隠れ変数を持つ確率モデルの一例として説明した。この例は、容易に継続時間分布および各状態に対応する自己回帰モデルを持つｎ次元隠れマルコフモデルの有限混合分布に拡張される。この他に、各状態に対応するモデルが、回帰モデルや移動平均モデル、自己回帰移動平均モデル、正規分布である場合が考えられる。また、自己回帰モデルまたは多項式回帰モデルの有限混合分布、因子分析モデルなどが考えられる。また、時点ｔの隠れ変数ｘ_ｔが線形または非線形関数ｈ_ｘを用いてｘ_ｔ＝ｈ_ｘ（ｘ_１，…，ｘ_{ｔ − １}）で表されるとする。観測時系列ｙ_ｔが線形または非線形関数ｈ_ｙを用いてｙ_ｔ＝ｈ_ｙ（ｘ_１，…，ｘ_ｔ）で表されるとする。このとき、ｈ_ｘ，ｈ_ｙによって表される全ての連続値ベクトルデータを表す状態空間モデルが考えられる。十分統計量の条件付期待値を解析的に算出可能な全ての隠れ変数を持つ確率モデルについて、上のパラメータ更新規則を適用することができる。
【０１８７】
第１の実施の形態によれば、確率モデルを用いることによって大量の行動データをノイズに対してロバストに、オンラインアルゴリズムを適用することによって高速に、かつ忘却型アルゴリズムを用いることによって適応的に学習して、各データが発生する確率分布を推定することができる。
【０１８８】
［第２の実施の形態］
図３は、本発明の第２の実施の形態に係る確率分布推定装置４の構成を示すブロック図である。図３を参照すると、確率分布推定装置４は、図１に示された第１の実施の形態に係る確率分布推定装置２に対して、セッション化手段４１を付加した点だけが異なる。よって、確からしさ計算手段２１，パラメータ記憶装置２２，パラメータ更新手段２３，およびパラメータ出力装置２４の動作は、確率分布推定装置２における各手段２１〜２４の動作と同一のため、説明は省略する。
【０１８９】
セッション化手段４１は、入力装置１から得られたデータが行動を表すベクトルの形式を持たない場合、これをベクトルデータに変換するセッション化を行う。
【０１９０】
以下では、セッション化手段４１を有しない場合の入力データおよびセッション化手段４１を有する場合のセッション化後のデータを入力データと記述する。
【０１９１】
図４は、図３の確率分布推定装置４の概略動作を表すフロー図である。ステップＳ２２のセッション化では、入力データが行動を表すベクトルの形式を持たない場合、これをベクトルデータに変換するセッション化を行う。ステップＳ２０，Ｓ２１およびＳ２３〜Ｓ２５の動作は、図２のステップＳ１０〜Ｓ１４の動作と同一のため、説明は省略する。
【０１９２】
第２の実施の形態によれば、データが行動を表すベクトルの形式を持たない場合でも、大量の行動データをノイズに対してロバストに高速かつ適応的に学習して各データが発生する確率分布を推定することができる。
【０１９３】
［第３の実施の形態］
ところで、上述の隠れ変数を持つ確率モデルを表現するには、確率分布推定装置２または確率分布推定装置４によって計算されたパラメータの値を指定すれば十分であることから、異常行動検出装置は、パラメータの値を上述の確率分布推定装置２または確率分布推定装置４のパラメータ出力装置２４から受け取り、これを用いて入力データの異常行動らしさを計算する。
【０１９４】
図５は、本発明の第３の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、データを入力する入力装置１と、状態推定スコアを出力する出力装置３と、図１に示した確率分布推定装置２または図３に示した確率分布推定装置４と、入力データが各隠れ変数に対応する状態を持つ確からしさを計算する状態推定手段５とを有する。
【０１９５】
図６は、第３の実施の形態に係る異常行動検出装置の動作を表すフロー図である。第３の実施の形態に係る異常行動検出装置は、入力装置１によりデータを入力し（ステップＳ３１）、確率分布推定装置２または確率分布推定装置４を用いてパラメータの更新を行い（ステップＳ３２）、得られたパラメータを用いて状態推定手段５において上述の状態推定スコアを計算し（ステップＳ３３）、計算した状態推定スコアを出力装置３から出力する（ステップＳ３４）。
【０１９６】
例えば、隠れ変数を持つ確率モデルが、数１のように、ある確率モデルＰ_ｋの有限混合分布で表される場合を考える。状態推定手段５は、確率分布推定装置２または確率分布推定装置４（パラメータ出力装置２４）から受け取ったパラメータの値を用いて、スコアとして数３１のように各ｋについての確率モデルＰ_ｋから生起した確率を表す事後確率を状態推定スコアｃ_ｋとして計算して出力する。
【０１９７】
【数３１】

【０１９８】
この他にも、状態推定手段５は、例えば確率モデルＰ_ｋに数３のｎ次元隠れマルコフモデルを用いた場合、各隠れ変数ｘ_ｔが対応する状態をとる確からしさを計算して出力する。隠れ変数を持つ確率モデルの全ての隠れ変数について、状態推定手段５によって隠れ変数が対応する状態をとる確からしさを計算し出力することが考えられる。
【０１９９】
第３の実施の形態によれば、逐次的に行動データを読み込みながら忘却型アルゴリズムにより適応的な確率分布推定を行い、推定された確率分布を使用して、入力データが各隠れ変数に対応する状態を持つ確からしさを状態推定スコアとして計算するので、大量の行動データをノイズに対してロバストに高速かつ適応的に学習して各データが発生する確率分布を推定する確率分布推定装置を用いた異常行動検出装置により異常行動データの検出を行うことができる。
【０２００】
［第４の実施の形態］
図７は、本発明の第４の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、データを入力する入力装置１と、異常行動度を出力する出力装置３と、図１に示した確率分布推定装置２または図３に示した確率分布推定装置４と、入力データの異常行動度を計算する異常検出手段６とから構成されている。
【０２０１】
異常検出手段６は、異常行動度計算部６１を備え、確率分布推定装置２または確率分布推定装置４（パラメータ出力装置２４）から受け取ったパラメータの値を用いて、異常行動度としてデータの情報量を計算して出力する。具体的には、現在入力された長さＴ_ｊのデータｙ^ｊに対し、１〜（ｊ−１）番目までのデータから推定された確率分布のパラメータθ^{（ｊ − １）}を用いて、異常行動度を現すスコアとして数３２または数３３のように計算する。
【０２０２】
【数３２】

【０２０３】
【数３３】

【０２０４】
数３２または数３３は、その値が大きいほど入力データｙ^ｊが全体のパタンから外れた異常行動データであるという意味を持つ。ここで、数３２および数３３の第１項は、確率モデルＰを用いて入力データｙ^ｊを圧縮したと考えた場合の圧縮率に相当する。数３３中の“Ｃｏｍｐｒｅｓｓ”は、入力データｙ^ｊを例えばＬｅｍｐｅｌ−Ｚｉｖ符号などのユニバーサル符号を用いて圧縮したときの圧縮率を示す。したがって、数３３の第２項は、規則的なパタンや特徴的なパタンを持った異常行動データに対してより高いスコアを与える効果を持つ。なお、数３２や数３３で用いる推定パラメータはＷを正の整数として、ただちにθ^{（ｊ − Ｗ）}などに一般化される。また、ｆ（ｙ^ｊ）は、入力データｙ^ｊの長さを表す関数である。入力データｙ^ｊが離散値ベクトルデータの場合は、例えばｆ（ｙ^ｊ）＝Ｔ_ｊとし、数３２および数３３の対数関数の底を出力シンボルの総数とする。また、入力データｙ^ｊが連続値ベクトルデータの場合は、例えば、ｇ（ｙ_ｔ）をｙ_ｔをコンピュータ内で２進数表現した場合に必要とされるビット数として、ｆ（ｙ^ｊ）＝Σ_ｔｇ（ｙ_ｔ）とする。また、数３２および数３３の対数関数の底を２とする。
【０２０５】
図８は、第４の実施の形態に係る異常行動検出装置の動作を表すフロー図である。第４の実施の形態に係る異常行動検出装置は、入力装置１によりデータを入力し（ステップＳ４１）、確率分布推定装置２または確率分布推定装置４を用いてパラメータの更新を行い（ステップＳ４２）、得られたパラメータを用いて異常検出手段６の異常行動度計算部６１において上述の異常行動度を計算し（ステップＳ４３）、計算した異常行動度を出力装置３から出力する（ステップＳ４４）。
【０２０６】
第４の実施の形態によれば、逐次的に行動データを読み込みながら忘却型アルゴリズムにより適応的な確率分布推定を行い、推定された確率分布を使用して、データの確率分布に対する情報量として異常行動度を計算するので、大量の行動データをノイズに対してロバストに高速かつ適応的に学習して各データが発生する確率分布を推定する確率分布推定装置を用いた異常行動検出装置により異常行動データの検出を行うことができる。
【０２０７】
［第５の実施の形態］
図９は、本発明の第５の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、データを入力する入力装置１と、行動モデル変化度を出力する出力装置３と、図１に示した確率分布推定装置２または図３に示した確率分布推定装置４と、入力データの異常行動度を計算し、この異常行動度を用いて行動モデル変化度を計算する異常検出手段７とから構成されている。
【０２０８】
異常検出手段７は、異常行動度計算部６１で計算された異常行動度を使用して、行動モデル変化度計算部７１において異常行動度の平均を行動モデル変化度を現すスコアとして計算して出力する。具体的には、予め定められた時間間隔をＷとすると、現在入力されたデータｙ^ｊ、その直前の（Ｗ−１）個のデータｙ^{ｊ − Ｗ ＋１}，…，ｙ^{ｊ − １}と１〜（ｊ−Ｗ）番目までのデータから推定された確率分布のパラメータθ^{（ｊ − Ｗ）}を用いて、例えば数３４のように計算する。数３４は、その値が大きいほど、ｙ^{ｊ −Ｗ＋１}，…ｙ^ｊがバーストな異常行動データであるという意味を持つ。
【０２０９】
【数３４】

【０２１０】
図１０は、第５の実施の形態に係る異常行動検出装置の動作を表すフロー図である。第５の実施の形態に係る異常行動検出装置は、入力装置１によりデータを入力し（ステップＳ５１）、確率分布推定装置２または確率分布推定装置４を用いてパラメータの更新を行い（ステップＳ５２）、得られたパラメータを用いて異常行動度計算部６１において異常行動度を計算し（ステップＳ５３）、行動モデル変化度計算部７１において異常行動度を用いて上述の行動モデル変化度を計算し（ステップＳ５４）、計算した行動モデル変化度を出力装置３から出力する（ステップＳ５５）。
【０２１１】
第５の実施の形態によれば、過去のデータから適応的に学習した確率分布からの外れ値を表す異常行動度がある一定区間内で平均として特に大きくなっているかどうかを行動モデル変化度として計算し、外れ値が集中的に発生したことを検出するため、バーストな異常行動を意味する行動の変化を検出することができる。
【０２１２】
［第６の実施の形態］
図１１は、本発明の第６の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、データを入力する入力装置１と、事後確率の変化を出力する出力装置３と、図１に示した確率分布推定装置２または図３に示した確率分布推定装置４と、事後確率の変化の比較の対象として用いる１個以上の参照データを入力する参照データ入力装置９と、入力データの事後確率と参照データの事後確率とを計算する事後確率計算手段８と、事後確率計算手段８によって計算された事後確率の変化を計算する事後確率変化度計算手段１０とから構成されている。
【０２１３】
事後確率計算手段８は、確率分布推定装置２または確率分布推定装置４で推定された確率分布のパラメータを用いて、入力データと参照データ入力装置９から入力された参照データの隠れ変数に対応する状態の事後確率をそれぞれ計算する。
【０２１４】
事後確率変化度計算手段１０は、上述の事後確率計算手段８によって計算された２つの事後確率の差を事後確率変化度として計算して出力する。
【０２１５】
具体的には、例えば、隠れ変数を持つ確率モデルが、数１のように、ある確率モデルＰ_ｋの有限混合分布で表される場合を考える。入力データをｙ^ｊ、参照データのデータ集合をＹ、正の整数をＷ、推定パラメータをθ^{（ｊ − Ｗ）}として、事後確率計算手段８によって、各ｋについてＰ（ｋ｜Ｙ，θ^{（ｊ − Ｗ）}）とＰ（ｋ｜Ｙ，ｙ^ｊ，θ^{（ｊ − Ｗ）}）を計算する。なお、ここで参照データは、過去の入力データｙ^１，…ｙ^{ｊ − １}の部分集合とする。このときに、事後確率変化度は、例えば、数３５や数３６によって事後確率変化度計算手段１０で計算する。数３５や数３６は、その値が大きいほど、入力データｙ^ｊが参照データの行動パタンと異なる異常行動データであるという意味を持つ。
【０２１６】
【数３５】

【０２１７】
【数３６】

【０２１８】
この他にも、事後確率計算手段８は、例えば確率モデルＰ_ｋに数３のｎ次元隠れマルコフモデルを用いた場合、各隠れ変数ｘ_ｔが対応する状態をとる事後確率を、入力データと、入力データおよび参照データを合わせたデータとについてそれぞれ計算し、これらの変化を事後確率変化度計算手段１０により計算して出力する。隠れ変数を持つ確率モデルの全ての隠れ変数について、事後確率計算手段８によって入力データの隠れ変数と参照データの隠れ変数とが対応する状態をとる事後確率を計算し、その変化を事後確率変化度計算手段１０によって計算して出力することが考えられる。
【０２１９】
図１２は、第６の実施の形態に係る異常行動検出装置の動作を表すフロー図である。第６の実施の形態に係る異常行動検出装置は、入力装置１によりデータを入力し（ステップＳ６１）、確率分布推定装置２または確率分布推定装置４を用いてパラメータの更新を行い（ステップＳ６２）、事後確率の比較対照として用いる参照データを参照データ入力装置９により入力し（ステップＳ６３）、事後確率計算手段８により入力データと参照データとを用いて上述の２つの事後確率を計算し（ステップＳ６４）、これらの２つの事後確率を用いて事後確率変化度を事後確率変化度計算手段１０により計算し（ステップＳ６５）、計算した事後確率変化度を出力装置３から出力する（ステップＳ６６）。
【０２２０】
第６実施の形態によれば、事後確率変化度を用いることにより、分布全体からの外れ値だけではなく、あるプログラムやユーザについて、その隠れ変数の対応する状態の変化を検出することが可能であるため、複数プログラムや複数ユーザのデータが混合した状況の行動データを扱う問題において、各個人の行動の変化を検出することが可能であり、同時に各個人についての行動データが少ない場合にも精度のよい異常行動データの検出ができる。また、個人の行動データが少ない場合、複数のプログラムやユーザの行動データを合わせた全体のデータからの学習を行うことで、類似する行動パタンを持つデータを用いて単独のデータのみを使う場合に比べより信頼性のある学習を行うことができ、この推定された確率分布と事後確率変化度計算手段１０を用いることにより、精度のよい異常行動データの検出を実現できる。
【０２２１】
［第７の実施の形態］
図１３は、本発明の第７の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、データを入力する入力装置１と、情報量規準の値を出力する出力装置３と、隠れ変数のとりうる状態の個数の異なる隠れ変数を持つ確率モデルについてそれぞれのパラメータの推定を並列に行うための、複数個の図１に示した確率分布推定装置２または図３に示した確率分布推定装置４と、情報量規準計算手段１１とから構成されている。
【０２２２】
情報量規準計算手段１１は、複数個の図１に示した確率分布推定装置２または図３に示した確率分布推定装置４を使用して、隠れ変数のとりうる状態の個数の異なる隠れ変数を持つ確率モデルについてそれぞれ計算された推定パラメータを用いて情報量規準を計算し、情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する。
【０２２３】
具体的には、例えば、隠れ変数を持つ確率モデルが、数１のように、ある確率モデルＰ_ｋの有限混合分布で表される場合を考える。現在の入力データをｙ^ｊとして、Ｗ，Ｗ_０をそれぞれ正の整数とするとき、各Ｋについて数３７または数３８のように計算する。数３７または数３８のＳｃｏｒｅ４を最も小さくするＫの値を最適な有限混合分布の個数として出力する。数３７または数３８は、例えば、その値を最も小さくするＫの値が変化したとき、入力データｙ^ｊによって行動パタンの数が変化したという意味を持つ。上述のＫの値が大きくなるときは、新たな行動パタンが生成したときであり、Ｋの値が小さくなるときは、既存の行動パタンが消滅したときである。例えば、新しい行動パタンの生成から、異常な行動データの特徴的なパタンを発見することができる。また、パタンの生成や消滅から、全体のデータの傾向の時間的な変化を知ることができる。
【０２２４】
【数３７】

【０２２５】
【数３８】

【０２２６】
この他にも、例えば、確率モデルＰ_ｋに数３のｎ次元隠れマルコフモデルを用いた場合、複数個の図１に示した確率分布推定装置２または図３に示した確率分布推定装置４を使用して、各隠れ変数ｘ_ｔのとりうる状態の個数を変化させた場合のパラメータの推定を並列に行い、情報量規準計算手段１１は、それぞれの状態の個数の異なるｎ次元隠れマルコフモデルの有限混合分布について情報量規準の値を計算し、情報量規準の値が最も小さい時の状態の個数を最適な値として出力する。また、例えば、確率モデルＰ_ｋに数１２〜１４によって表される、継続時間分布と隠れ変数のとる各状態に対応する自己回帰モデルを持つ１次元隠れマルコフモデル用いた場合、複数個の図１に示した確率分布推定装置２または図３に示した確率分布推定装置４を使用して、各隠れ変数ｘ_ｔのとりうる状態の個数や各隠れ変数ｘ_ｔが対応する状態をとる継続時間を変化させた場合のパラメータの推定を並列に行い、情報量規準計算手段１１は、それぞれの継続時間分布と隠れ変数のとる各状態に対応する自己回帰モデルを持つ１次元隠れマルコフモデルの有限混合分布について情報量規準の値を計算し、情報量規準の値が最も小さい時の状態の個数や状態の継続時間を最適な値として出力する。
【０２２７】
隠れ変数を持つ確率モデルの全ての隠れ変数について、複数個の図１に示した確率分布推定装置２または図３に示した確率分布推定装置４を使用して、隠れ変数のとりうる状態の個数の異なる隠れ変数を持つ確率モデルについてそれぞれのパラメータの推定を並列に行い、情報量規準計算手段１１によって推定パラメータを用いて情報量規準を計算し、情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力することが考えられる。
【０２２８】
図１４は、第７の実施の形態に係る異常行動検出装置の動作を表すフロー図である。第７の実施の形態に係る異常行動検出装置は、入力装置１によりデータを入力し（ステップＳ７１）、複数個の確率分布推定装置２または確率分布推定装置４を用いて、それぞれ異なる隠れ変数のとりうる状態の個数を持つ確率分布のパラメータの更新を行い（ステップＳ７２）、各確率分布について情報量規準を情報量規準計算手段１１により計算し（ステップＳ７３）、これらの情報量規準の値を出力装置３から出力する（ステップＳ７４）。
【０２２９】
［第８の実施の形態］
図１５は、本発明の第８の実施の形態に係る確率分布推定装置２の構成を示すブロック図である。本実施の形態に係る確率分布推定装置２は、図１に示した第１の実施の形態に係る確率分布推定装置２に対して確率分布推定プログラム１００を付加するようにした点だけが異なる。したがって、その他の特に言及しない部分には同一符号を付して、それらの詳しい説明を省略する。
【０２３０】
確率分布推定プログラム１００は、コンピュータでなる確率分布推定装置２に読み込まれ、確率分布推定装置２の動作を、確からしさ計算手段２１，パラメータ記憶装置２２，パラメータ更新手段２３およびパラメータ出力装置２４として制御する。確率分布推定プログラム１００の制御による確率分布推定装置２の動作は、第１の実施の形態に係る確率分布推定装置２の動作と全く同様になるので、その詳しい説明を割愛する。
【０２３１】
［第９の実施の形態］
図１６は、本発明の第９の実施の形態に係る確率分布推定装置４の構成を示すブロック図である。本実施の形態に係る確率分布推定装置４は、図３に示した第２の実施の形態に係る確率分布推定装置４に対して確率分布推定プログラム２００を付加するようにした点だけが異なる。したがって、その他の特に言及しない部分には同一符号を付して、それらの詳しい説明を省略する。
【０２３２】
確率分布推定プログラム２００は、コンピュータでなる確率分布推定装置４に読み込まれ、確率分布推定装置４の動作を、確からしさ計算手段２１，パラメータ記憶装置２２，パラメータ更新手段２３，パラメータ出力装置２４およびセッション化手段４１として制御する。確率分布推定プログラム２００の制御による確率分布推定装置４の動作は、第２の実施の形態に係る確率分布推定装置４の動作と全く同様になるので、その詳しい説明を割愛する。
【０２３３】
［第１０の実施の形態］
図１７は、本発明の第１０の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、図５に示した第３の実施の形態に係る異常行動検出装置を実現するコンピュータ３００に対して異常行動検出プログラム４００を付加するようにした点だけが異なる。したがって、その他の特に言及しない部分には同一符号を付して、それらの詳しい説明を省略する。
【０２３４】
異常行動検出プログラム４００は、コンピュータ３００でなる異常行動検出装置に読み込まれ、異常行動検出装置の動作を、確率分布推定装置２または確率分布推定装置４，および状態推定手段５として制御する。異常行動検出プログラム４００の制御による異常行動検出装置の動作は、第３の実施の形態に係る異常行動検出装置の動作と全く同様になるので、その詳しい説明を割愛する。
【０２３５】
［第１１の実施の形態］
図１８は、本発明の第１１の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、図７に示した第４の実施の形態に係る異常行動検出装置を実現するコンピュータ５００に対して異常行動検出プログラム６００を付加するようにした点だけが異なる。したがって、その他の特に言及しない部分には同一符号を付して、それらの詳しい説明を省略する。
【０２３６】
異常行動検出プログラム６００は、コンピュータ５００でなる異常行動検出装置に読み込まれ、異常行動検出装置の動作を、確率分布推定装置２または確率分布推定装置４，および異常行動度計算部６１を含む異常検出手段６として制御する。異常行動検出プログラム６００の制御による異常行動検出装置の動作は、第４の実施の形態に係る異常行動検出装置の動作と全く同様になるので、その詳しい説明を割愛する。
【０２３７】
［第１２の実施の形態］
図１９は、本発明の第１２の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、図９に示した第５の実施の形態に係る異常行動検出装置を実現するコンピュータ７００に対して異常行動検出プログラム８００を付加するようにした点だけが異なる。したがって、その他の特に言及しない部分には同一符号を付して、それらの詳しい説明を省略する。
【０２３８】
異常行動検出プログラム８００は、コンピュータ７００でなる異常行動検出装置に読み込まれ、異常行動検出装置の動作を、確率分布推定装置２または確率分布推定装置４，ならびに異常行動度計算部６１および行動モデル変化度計算部７１を含む異常検出手段７として制御する。異常行動検出プログラム８００の制御による異常行動検出装置の動作は、第５の実施の形態に係る異常行動検出装置の動作と全く同様になるので、その詳しい説明を割愛する。
【０２３９】
［第１３の実施の形態］
図２０は、本発明の第１３の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、図１１に示した第６の実施の形態に係る異常行動検出装置を実現するコンピュータ９００に対して異常行動検出プログラム１０００を付加するようにした点だけが異なる。したがって、その他の特に言及しない部分には同一符号を付して、それらの詳しい説明を省略する。
【０２４０】
異常行動検出プログラム１０００は、コンピュータ９００でなる異常行動検出装置に読み込まれ、異常行動検出装置の動作を、確率分布推定装置２または確率分布推定装置４，事後確率計算手段８，参照データ入力装置９および事後確率変化度計算手段１０として制御する。異常行動検出プログラム１０００の制御による異常行動検出装置の動作は、第６の実施の形態に係る異常行動検出装置の動作と全く同様になるので、その詳しい説明を割愛する。
【０２４１】
［第１４の実施の形態］
図２１は、本発明の第１４の実施の形態に係る異常行動検出装置の構成を示すブロック図である。本実施の形態に係る異常行動検出装置は、図１３に示した第７の実施の形態に係る異常行動検出装置を実現するコンピュータ１１００に対して異常行動検出プログラム１２００を付加するようにした点だけが異なる。したがって、その他の特に言及しない部分には同一符号を付して、それらの詳しい説明を省略する。
【０２４２】
異常行動検出プログラム１２００は、コンピュータ１１００でなる異常行動検出装置に読み込まれ、異常行動検出装置の動作を、複数の確率分布推定装置２または確率分布推定装置４，および情報量規準計算手段１１として制御する。異常行動検出プログラム１２００の制御による異常行動検出装置の動作は、第７の実施の形態に係る異常行動検出装置の動作と全く同様になるので、その詳しい説明を割愛する。
【０２４３】
【実施例】
次に、本発明の第１の実施の形態に係る確率分布推定装置（図１の２）および確率分布推定方法の実施例を説明する。本実施例では、例として、データを離散値ベクトルデータとし、確率分布を隠れマルコフモデルの有限混合分布として、説明する。あるユーザのコマンド履歴を一定時間ごとに記録したものが１入力データとして入力装置１から得られる。ここで、各入力データの長さは異なっていてもよい。確率分布推定装置２は、例えば“（ｃｄ，ｌｓ，ｃｐ，…）”を１入力データｙとし、“ｃｄ”，“ｌｓ”などをそれぞれ入力データのシンボルｙ_１，ｙ_２とする。このとき、隠れマルコフモデルの隠れ変数は、例えばこれらの各コマンドのうち類似するものを集めた集合となり、隠れマルコフモデルのパラメータは、それぞれγがこれらのクラスタの初期確率、ａがこれらのクラスタ間の遷移行列、ｂがこれらのクラスタの条件付の入力データのシンボルの確率となる。
【０２４４】
次に、本発明の第２の実施の形態に係る確率分布推定装置（図３の４）および確率分布推定方法の実施例を説明する。本実施例では、セッション化手段（図３の４１）は、例えば入力データが“１３：４０：０１ ｃｄ，１３：４０：０２ ｌｓ，１３：４１：２１ ｃｐ，…，１３：４５：３３ ｎｅｔｓｃａｐｅ，１３：４５：３７ ｎｅｔｓｃａｐｅ，…”のようにコマンドの実行時間とコマンドが記録されたデータである場合、これを例えば一定時間ごとに区切って“（ｃｄ，ｌｓ，ｃｐ，…）”，“（ｎｅｔｓｃａｐｅ，ｎｅｔｓｃａｐｅ）”に変換するなどの方法により入力データ形式である離散値ベクトルデータに変換する。
【０２４５】
次に、本発明の第３の実施の形態に係る異常行動検出装置（図５）の実施例を、図２２を参照して説明する。本実施例では、あるユーザの過去のコマンド履歴データ“（ｃｄ，ｌｓ，ｃｐ，…），（ｎｅｔｓｃａｐｅ，ｎｅｔｓｃａｐｅ），…”から第１の実施の形態に係る確率分布推定装置（図１の２）または第２の実施の形態に係る確率分布推定装置（図３の４）によって推定された確率分布のパラメータが得られ、現在のこのユーザが実行しているコマンド履歴を表す１入力データ“（ｐｓ，ｔｃｓｈ，ｔｃｓｈ，…）”が得られる。このとき、状態推定手段（図５の５）によって、例えば、入力データが学習した有限混合分布のどの隠れマルコフモデルから生起したかを表す確からしさを計算し、これを状態推定スコアとして出力する。ユーザが実行するいくつかのコマンドのパタンを表す各隠れマルコフモデルのうち、現在のコマンド履歴がどの隠れマルコフモデルから生起したかを計算することができる。具体的には、図２２のように、ユーザの現在の入力したコマンド履歴の有限混合分布の各隠れマルコフモデルの表すパタンとの類似度を確率的に計算する。なお、図２２の各パタンは、実際はそれぞれ初期確率や確率遷移行列などの隠れマルコフモデルのパラメータを用いて表される。また、状態推定手段（図５の５）によって、例えば、各隠れマルコフモデルの隠れ変数が対応する状態をとる確からしさを計算し、ユーザの実行する個々のコマンドがコマンド集合を表す各状態のうち、どの状態から生起したかを知ることができる。例えば、ファイルやディレクトリを編集するコマンドである、ｍｖ，ｃｐ，ｍｋｄｉｒなどのコマンドを１つのコマンド集合を成すと仮定すると、状態推定手段（図５の５）によって個々のコマンドだけではなくファイルを編集する、という現象をとらえることができる。
【０２４６】
次に、本発明の第４の実施の形態に係る異常行動検出装置（図７）の実施例を説明する。本実施例では、あるユーザの過去のコマンド履歴データ“（ｃｄ，ｌｓ，ｃｐ，…），（ｎｅｔｓｃａｐｅ，ｎｅｔｓｃａｐｅ），…”から第１の実施の形態に係る確率分布推定装置（図１の２）または第２の実施の形態に係る確率分布推定装置（図３の４）によって推定された確率分布のパラメータが得られ、現在のこのユーザが実行しているコマンド履歴を表す１入力データ“（ｐｓ，ｔｃｓｈ，ｔｃｓｈ，…）”が得られる。このとき、異常検出手段（図７の６）によって、入力データの異常の度合いを出力し、この値が大きいほど異常であると判断する。
【０２４７】
次に、本発明の第５の実施の形態に係る異常行動検出装置（図９）の実施例を説明する。本実施例では、あるユーザの過去のコマンド履歴データ“（ｃｄ，ｌｓ，ｃｐ，…），（ｎｅｔｓｃａｐｅ，ｎｅｔｓｃａｐｅ），…”から第１の実施の形態に係る確率分布推定装置（図１の２）または第２の実施の形態に係る確率分布推定装置（図３の４）によって推定された確率分布のパラメータが得られ、現在のこのユーザが実行しているコマンド履歴を表す１入力データ“（ｐｓ，ｔｃｓｈ，ｔｃｓｈ，…）”が得られ、また現在から近い過去にユーザが実行したコマンド履歴を表すいくつかの入力データ“（ｎｅｔｓｃａｐｅ，ｎｅｔｓｃａｐｅ，…），（ｔｃｓｈ，ｔｃｓｈ，…）”が得られる。このとき、異常検出手段（図９の７）によって、最近のユーザの行動の変化の度合いを表す行動モデル変化度を出力し、この値が大きいほど異常であると判断する。
【０２４８】
次に、本発明の第６の実施の形態に係る異常行動検出装置（図１１）の実施例を説明する。本実施例では、あるユーザの過去のコマンド履歴データ“（ｃｄ，ｌｓ，ｃｐ，…），（ｎｅｔｓｃａｐｅ，ｎｅｔｓｃａｐｅ），…”から第１の実施の形態に係る確率分布推定装置（図１の２）または第２の実施の形態に係る確率分布推定装置（図３の４）によって推定された確率分布のパラメータが得られ、現在このユーザが実行しているコマンド履歴を表す１入力データ“（ｐｓ，ｔｃｓｈ，ｔｃｓｈ，…）”が得られる。このとき、現在から近い過去にユーザが実行したコマンド履歴を表すいくつかの入力データを参照データ入力装置（図１１の９）から入力し、事後確率計算手段（図１１の８）によって参照データの事後確率とこれに現在のユーザのデータを加えたものの事後確率を計算する。次に、事後確率変化度計算手段（図１１の１０）によって、上述の２つの事後確率の変化を事後確率変化度として計算し、これを用いて現在のユーザの行動が過去と異なる隠れ変数の対応する状態を持つかどうかを見ることによって、確率分布が内部的に変化しているかどうかを判断する。
【０２４９】
また、本発明の第６の実施の形態に係る異常行動検出装置は、複数のプログラムまたはユーザのデータの混合したデータを扱う場合に特に有効であり、以下、複数ユーザのデータが得られる場合の第６の実施の形態に係る異常行動検出装置の実施例を説明する。複数のユーザの過去のコマンド履歴データ“ユーザ１：（ｃｄ，ｌｓ，ｃｐ，…），ユーザ２：（ｍａｉｌ，ｎｅｔｓｃａｐｅ，ｎｅｔｓｃａｐｅ，…），ユーザ１：（ｎｅｔｓｃａｐｅ，ｎｅｔｓｃａｐｅ），…”から第１の実施の形態に係る確率分布推定装置（図１の２）または第２の実施の形態に係る確率分布推定装置（図３の４）によって推定された確率分布のパラメータが得られ、現在のユーザ１が実行しているコマンド履歴を表す１入力データ“（ｐｓ，ｔｃｓｈ，ｔｃｓｈ，…）”が得られる。このとき、過去のユーザ１のデータをいくつか集めたものを参照データ入力装置（図１１の９）から入力し、事後確率計算手段（図１１の８）によって参照データの事後確率とこれに現在のユーザ１のデータを加えたものの事後確率とを計算する。次に、事後確率変化度計算手段（図１１の１０）によって、上述の２つの事後確率の変化を事後確率変化度として計算し、これを用いて入力データの異常の度合いを出力し、この値が大きいほど異常であると判断する。
【０２５０】
次に、本発明の第７の実施の形態に係る異常行動検出装置（図１３）の実施例を説明する。本実施例では、あるユーザの過去のコマンド履歴データ“（ｃｄ，ｌｓ，ｃｐ，…），（ｎｅｔｓｃａｐｅ，ｎｅｔｓｃａｐｅ），…”から第１の実施の形態に係る確率分布推定装置（図１の２）または第２の実施の形態に係る確率分布推定装置（図３の４）によって、例えば、有限混合分布の隠れマルコフモデルの個数を変化させてそれぞれの場合について並列に確率分布を推定する。推定された確率分布のパラメータを用いて、情報量規準計算手段（図１３の１１）によってそれぞれの確率分布について情報量規準を計算する。このとき、情報量規準の値が最も小さくなる隠れマルコフモデルの個数が現在最適なクラスタ数である。現在このユーザが実行しているコマンド履歴を表す１入力データ“（ｐｓ，ｔｃｓｈ，ｔｃｓｈ，…）”が得られ、このデータをそれぞれ上述の確率分布推定装置２または確率分布推定装置４に入力して再度並列にパラメータの推定と情報量規準の計算とを行う。このとき最適なクラスタ数が変化したかどうかを見ることで、新しい行動パタンの生成や消滅を表すモデルの構造変化を捉えることができる。また、隠れ変数のとりうる状態の個数を変化させた場合に情報量規準計算手段（図１３の１１）を用いれば、コマンドの連なりが意味する行動の生成や消滅だけではなく、個々のコマンド集合の生成や消滅を捉えることができる。具体的には、例えば、ファイルやディレクトリを編集するコマンドである、ｍｖ，ｃｐ，ｍｋｄｉｒなどのコマンドを表す１つのコマンド集合の出現や消滅を時系列的に捉えることができる。
【０２５１】
以上のなりすまし検出の実施例の他に、プログラムが内部で実行するシステムコールのパタンを用いた侵入検出，Ｗｅｂの閲覧履歴を用いた不審顧客行動検出，アラームメッセージを用いたネットワーク障害検出などの応用がある。
【０２５２】
例えば、システムコール系列をデータとしたときに、異常検出手段（図７の６）を用いると、通常のプログラムが実行するシステムコールのパタンに対し侵入があった場合のシステムコールのパタンを外れ値として検出することで、侵入検出に応用される。また、同データに異常検出手段（図９の７）を用いると、侵入があったことによってシステムコールのパタンが継続的に大きく変化している状況を検出することができる。
【０２５３】
例えば、複数ユーザのＷｅｂの閲覧履歴が混合したＷｅｂの閲覧履歴をデータとしたときに、ある一人の顧客に着目して事後確率変化度計算手段（図１１の１０）を用いると、顧客の行動が全体の顧客の中では異常ではない場合でも、過去とは異なる閲覧の仕方をしている、という個人の行動変化を検出することができる。また、同データに情報量規準計算手段（図１３の１１）を用いると、Ｗｅｂページのデザインの変更が原因で生じた全体の顧客行動パタンの中での新しい行動パタンなどを検出することができる。
【０２５４】
また、データを連続値ベクトルデータとし、確率分布を継続時間分布と各状態に対応する自己回帰モデルを持つ隠れマルコフモデルの有限混合分布として、説明する。例えば、コンピュータ性能評価やネットワーク性能分析におけるリソース使用量をデータとする。
【０２５５】
ＣＰＵ使用率やメモリ消費量などの時系列に観測される数値データを、曜日や時間帯などの一定時間単位に区切ったものを１行動データとする。例えば状態推定手段（図５の５）を用いて、有限混合分布のどの隠れマルコフモデルから生起したかの確からしさを計算した場合、現在の軌跡が数種類ある軌跡のパタンのうち、どのパタンに当てはまるのかを知ることができる。一方、状態推定手段（図５の５）を用いて、各隠れマルコフモデルの隠れ変数の対応するどの状態から生起したかの確からしさを計算した場合、現在の軌跡の特定の箇所がどのパタンに当てはまるのかを知ることができる。ここで、継続時間分布を持つ隠れマルコフモデルを用いることにより、時間方向の伸縮性を加味してロバストな状態推定を実現することができる。
【０２５６】
また、異常検出手段（図７の６）を用いると、図２３のように複数ある軌跡のパタンのうちどれにも当てはまらないパタンを持つ軌跡を検出することができる。
【０２５７】
異常検出手段（図９の７）を用いると、障害があったことによってＣＰＵ使用率のパタンが過去のパタンと比較して継続的に大きく変化している状況を検出することができる。
【０２５８】
また、複数コンピュータのＣＰＵ使用率を観測するような状況があった場合、事後確率変化度計算手段（図１１の１０）を用いると、全体のパタンの中では、異常パタンではないけれども、あるコンピュータに着目したとき、そのコンピュータでは過去にはないようなパタンの軌跡が観測された、という状況を検出することができる。
【０２５９】
また、情報量規準計算手段（図１３の１１）を用いて、有限混合分布の最適な分布数を時系列に計算した場合、新しい軌跡のパタンの生成や消滅をその具体的な特徴と共に検出することができる。さらに、情報量規準計算手段（図１３の１１）を用いて、最適な継続時間や隠れ変数のとりうる状態の個数を計算した場合、軌跡の一部分として新しい特徴的なパタンの生成や消滅をとらえることができる。
【０２６０】
以上のＣＰＵ使用率の実施例のほかに、連続値データを用いる応用例として、署名認証や、ビデオ画像等の動画を用いた動体解析などへの応用がある。
【０２６１】
例えば、署名認証の場合、署名時の手の動作などを記録した数値データから異常検出手段（図７の６）を用いて本人の署名かどうかを鑑定することができる。
【０２６２】
また、例えば、ビデオ画像等の動画を用いた動体解析の場合、行動を表す数値データから情報量規準計算手段（図１３の１１）を用いて、新しい特徴的な行動パタンの生成や消滅をとらえることができる。
【０２６３】
【発明の効果】
第１の効果は、大量の行動を表すベクトルデータをノイズに対してロバストに、高速かつ適応的に学習して各データが発生する確率分布を推定する確率分布推定装置を用いた異常行動検出装置により異常行動データの検出を行うことができることにある。その理由は、逐次的に行動データを読み込みながら忘却型アルゴリズムにより適応的な確率分布推定を行い、推定された確率分布を使用して、隠れ変数に対応する状態の事後確率を状態推定スコアとして計算し、またデータの確率分布に対する情報量として異常行動度を計算するためである。
【０２６４】
第２の効果は、行動モデル変化度計算部により、バーストな異常行動を意味する行動の変化を検出することができることにある。その理由は、過去のデータから適応的に学習した確率分布からの外れ値を表す異常行動度がある一定区間内で平均として特に大きくなっているかどうかを行動モデル変化度として計算し、外れ値が集中的に発生したことを検出するためである。
【０２６５】
第３の効果は、事後確率変化度計算手段により、複数プログラムや複数ユーザのデータが混合した状況の行動データを扱う問題において、各個人の行動の変化を検出することが可能であり、同時に各個人についての行動データが少ない場合にも精度のよい異常行動データの検出ができることにある。その理由は、事後確率の変化を用いると、分布全体からの外れ値だけではなく、あるプログラムやユーザについて、その行動を表すモデルの隠れ変数に対応する状態の変化を検出することが可能であるためである。また、個人の行動データが少ない場合、複数のプログラムやユーザの行動データを合わせた全体のデータからの学習を行うことで、類似する行動パタンを持つデータを用いて単独のデータのみを使う場合に比べより信頼性のある学習を行うことができ、この推定された確率分布と上述の事後確率変化度計算手段を用いることにより、精度のよい異常行動データの検出を実現できるためである。
【０２６６】
第４の効果は、情報量規準計算手段により全体の行動モデルの構造の変化を検出することができることにある。その理由は、隠れ変数を持つ確率モデルの隠れ変数のとりうる状態の個数を変化させて、それぞれの確率モデルについてパラメータを推定し情報量規準を計算したとき、情報量規準の値が最も小さくなる隠れ変数のとりうる状態の個数が最適な隠れ変数のとりうる状態の個数であり、逐次的に確率分布推定を行っていく過程で最適な隠れ変数のとりうる状態の個数が変化する時点を見つけることによってデータの発生分布の大きな構造変化を検出できるためである。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係る確率分布推定装置の構成を示すブロック図である。
【図２】第１の実施の形態に係る確率分布推定装置の動作を示すフロー図である。
【図３】本発明の第２の実施の形態に係る確率分布推定装置の構成を示すブロック図である。
【図４】第２の実施の形態に係る確率分布推定装置の動作を示すフロー図である。
【図５】本発明の第３の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図６】第３の実施の形態に係る異常行動検出装置の動作を示すフロー図である。
【図７】本発明の第４の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図８】第４の実施の形態に係る異常行動検出装置の動作を示すフロー図である。
【図９】本発明の第５の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図１０】第５の実施の形態に係る異常行動検出装置の動作を示すフロー図である。
【図１１】本発明の第６の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図１２】第６の実施の形態に係る異常行動検出装置の動作を示すフロー図である。
【図１３】本発明の第７の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図１４】第７の実施の形態に係る異常行動検出装置の動作を示すフロー図である。
【図１５】本発明の第８の実施の形態に係る確率分布推定装置の構成を示すブロック図である。
【図１６】本発明の第９の実施の形態に係る確率分布推定装置の構成を示すブロック図である。
【図１７】本発明の第１０の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図１８】本発明の第１１の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図１９】本発明の第１２の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図２０】本発明の第１３の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図２１】本発明の第１４の実施の形態に係る異常行動検出装置の構成を示すブロック図である。
【図２２】本発明の実施例を説明するための図である。
【図２３】本発明の実施例を説明するための図である。
【符号の説明】
１ 入力装置
２，４ 確率分布推定装置
３ 出力装置
５ 状態推定手段
６，７ 異常検出手段
８ 事後確率計算手段
９ 参照データ入力装置
１０ 事後確率変化度計算手段
１１ 情報量規準計算手段
２１ 確からしさ計算手段
２２ パラメータ記憶装置
２３ パラメータ更新手段
２４ パラメータ出力装置
４１ セッション化手段
６１ 異常行動度計算部
７１ 行動モデル変化度計算部
１００，２００ 確率分布推定プログラム
３００，５００，７００，９００，１１００ コンピュータ
４００，６００，８００，１０００，１２００ 異常行動検出プログラム

Claims (93)

1. ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を、隠れ変数を持つ確率モデルを用いて推定する確率分布推定装置であって、
   隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置と、
   入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段と、
   該確からしさ計算手段から確からしさを読み込み、前記確率モデルの各パラメータを前記パラメータ記憶装置から読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段と
   を備え、前記パラメータ記憶装置の前記確率モデルのパラメータのいくつかを出力するようにしたことを特徴とする確率分布推定装置。
2. ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を、継続時間分布および隠れ変数を持つ時系列モデルを用いて推定する確率分布推定装置であって、
   継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置と、
   入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段と、
   該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルの各パラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段と
   を備え、前記パラメータ記憶装置の前記確率モデルのパラメータのいくつかを出力するようにしたことを特徴とする確率分布推定装置。
3. ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を、継続時間分布を持つ隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置であって、
   継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置と、
   入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、前記隠れマルコフモデルの有限混合分布から該入力データが発生した確からしさを計算する確からしさ計算手段と、
   該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布の各パラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段と
   を備え、前記パラメータ記憶装置の前記隠れマルコフモデルの有限混合分布のパラメータのいくつかを出力するようにしたことを特徴とする確率分布推定装置。
4. 入力データをベクトルデータ列に加工するセッション化手段をさらに備えることを特徴とする請求項１，請求項２または請求項３記載の確率分布推定装置。
5. 隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、
   該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段と
   を備えることを特徴とする異常行動検出装置。
6. 入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、
   該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段と
   を備えることを特徴とする異常行動検出装置。
7. 隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、
   該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段と
   を備えることを特徴とする異常行動検出装置。
8. 入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、各隠れ変数を持つ確率モデルのパラメータを前記パラメータ記憶装置から読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、
   該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段と
   を備えることを特徴とする異常行動検出装置。
9. 前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部をさらに備えることを特徴とする請求項７または請求項８記載の異常行動検出装置。
10. 隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、各隠れ変数を持つ確率モデルのパラメータを前記パラメータ記憶装置から読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、
    前記入力データとは別のデータを入力として与える参照データ入力装置と、
    前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段と
    を備えることを特徴とする異常行動検出装置。
11. 入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、
    前記入力データとは別のデータを入力として与える参照データ入力装置と、
    前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段と
    を備えることを特徴とする異常行動検出装置。
12. 隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する複数の確率分布推定装置と、
    隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段と
    を備えることを特徴とする異常行動検出装置。
13. 入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する複数の確率分布推定装置と、
    隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段と
    を備えることを特徴とする異常行動検出装置。
14. 継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルから該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段と
    を備えることを特徴とする異常行動検出装置。
15. 入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段と
    を備えることを特徴とする異常行動検出装置。
16. 継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段と
    を備えることを特徴とする異常行動検出装置。
17. 入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段と
    を備えることを特徴とする異常行動検出装置。
18. 前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部をさらに備えることを特徴とする請求項１６または請求項１７記載の異常行動検出装置。
19. 継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、
    前記入力データとは別のデータを入力として与える参照データ入力装置と、
    前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段と
    を備えることを特徴とする異常行動検出装置。
20. 入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、
    前記入力データとは別のデータを入力として与える参照データ入力装置と、
    前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段と
    を備えることを特徴とする異常行動検出装置。
21. 継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する複数の確率分布推定装置と、
    隠れ変数のとりうる状態の個数の異なる前記時系列モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段とを備えることを特徴とする異常行動検出装置。
22. 入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する複数の確率分布推定装置と、
    隠れ変数のとりうる状態の個数の異なる前記時系列モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段とを備えることを特徴とする異常行動検出装置。
23. 継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段と
    を備えることを特徴とする異常行動検出装置。
24. 入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段と
    を備えることを特徴とする異常行動検出装置。
25. 継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段と
    を備えることを特徴とする異常行動検出装置。
26. 入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段と
    を備えることを特徴とする異常行動検出装置。
27. 前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部をさらに備えることを特徴とする請求項２５または請求項２６記載の異常行動検出装置。
28. 継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、
    前記入力データとは別のデータを入力として与える参照データ入力装置と、
    前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段と
    を備えることを特徴とする異常行動検出装置。
29. 入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、
    該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、
    前記入力データとは別のデータを入力として与える参照データ入力装置と、
    前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段と
    を備えることを特徴とする異常行動検出装置。
30. 継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する複数の確率分布推定装置と、
    隠れ変数のとりうる状態の個数の異なる前記隠れマルコフモデルの有限混合分布に対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段と
    を備えることを特徴とする異常行動検出装置。
31. 入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する複数の確率分布推定装置と、
    隠れ変数のとりうる状態の個数の異なる前記隠れマルコフモデルの有限混合分布に対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段と
    を備えることを特徴とする異常行動検出装置。
32. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に、隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と
    を含むことを特徴とする確率分布推定方法。
33. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と
    を含むことを特徴とする確率分布推定方法。
34. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記隠れマルコフモデルの有限混合分布モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と
    を含むことを特徴とする確率分布推定方法。
35. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程をさらに含むことを特徴とする請求項３２，請求項３３または請求項３４記載の確率分布推定方法。
36. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程と
    を含むことを特徴とする異常行動検出方法。
37. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程と
    を含むことを特徴とする異常行動検出方法。
38. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程と
    を含むことを特徴とする異常行動検出方法。
39. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程と
    を含むことを特徴とする異常行動検出方法。
40. 複数個のデータを読み込み、前記推定された確率分布のパラメータを使用して前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する工程をさらに含むことを特徴とする請求項３８または請求項３９記載の異常行動検出方法。
41. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程と、
    前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、
    更新前後の事後確率の変化を計算し出力する工程と
    を含むことを特徴とする異常行動検出方法。
42. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程と、
    前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、
    更新前後の事後確率の変化を計算し出力する工程と
    を含むことを特徴とする異常行動検出方法。
43. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    前記確率モデルのパラメータの個数を変化させて推定パラメータを並列に計算する工程と、
    該パラメータおよび入力データを用いて各確率モデルについて計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程と
    を含むことを特徴とする異常行動検出方法。
44. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に隠れ変数を持つ確率モデルを使用して、入力データの値に対して前記確率モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    前記確率モデルのパラメータの個数を変化させて推定パラメータを並列に計算する工程と、
    該パラメータおよび入力データを用いて各確率モデルについて計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程と
    を含むことを特徴とする異常行動検出方法。
45. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程と
    を含むことを特徴とする異常行動検出方法。
46. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程と
    を含むことを特徴とする異常行動検出方法。
47. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程と
    を含むことを特徴とする異常行動検出方法。
48. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程と
    を含むことを特徴とする異常行動検出方法。
49. 複数個のデータを読み込み、前記推定された確率分布のパラメータを使用して前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する工程をさらに含むことを特徴とする請求項４７または請求項４８記載の異常行動検出方法。
50. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程と、
    前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、
    更新前後の事後確率の変化を計算し出力する工程と
    を含むことを特徴とする異常行動検出方法。
51. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程と、
    前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、
    更新前後の事後確率の変化を計算し出力する工程と
    を含むことを特徴とする異常行動検出方法。
52. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    前記時系列モデルのパラメータの個数を変化させて推定パラメータを並列に計算する工程と、
    該パラメータおよび入力データを用いて各時系列モデルについて計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程と
    を含むことを特徴とする異常行動検出方法。
53. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布および隠れ変数を持つ時系列モデルを使用して、入力データの値に対して前記時系列モデルのパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記時系列モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    前記時系列モデルのパラメータの個数を変化させて推定パラメータを並列に計算する工程と、
    該パラメータおよび入力データを用いて各時系列モデルについて計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程と
    を含むことを特徴とする異常行動検出方法。
54. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程と
    を含むことを特徴とする異常行動検出方法。
55. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定工程と
    を含むことを特徴とする異常行動検出方法。
56. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程と
    を含むことを特徴とする異常行動検出方法。
57. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記確率モデルのパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を用いて該データの異常行動度を計算して出力する工程と
    を含むことを特徴とする異常行動検出方法。
58. 複数個のデータを読み込み、前記推定された確率分布のパラメータを使用して前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する工程をさらに含むことを特徴とする請求項５６または請求項５７記載の異常行動検出方法。
59. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程と、
    前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、
    更新前後の事後確率の変化を計算し出力する工程と
    を含むことを特徴とする異常行動検出方法。
60. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    推定された確率分布のパラメータを使用して、前記入力データとは別に参照データを読み込み、隠れ変数に対応する状態の事後確率を計算する工程と、
    前記入力データから新たに読み込んだデータを使用して該事後確率を更新する工程と、
    更新前後の事後確率の変化を計算し出力する工程と
    を含むことを特徴とする異常行動検出方法。
61. ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    前記隠れマルコフモデルの有限混合分布のパラメータの個数を変化させて推定パラメータを並列に計算する工程と、
    該パラメータおよび入力データを用いて各有限混合分布について計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程と
    を含むことを特徴とする異常行動検出方法。
62. 入力データがベクトルデータ構造を持たない場合に、該入力データを該ベクトルデータに変換するセッション化を行う工程と、
    ベクトルデータ列を入力とする工程と、
    該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布に継続時間分布を持つ隠れマルコフモデルの有限混合分布を使用して、入力データの値に対して前記隠れマルコフモデルの有限混合分布のパラメータから該入力データが発生した確からしさを計算する工程と、
    該確からしさおよび前記隠れマルコフモデルの有限混合分布のパラメータを使用して新たに読み込んだデータに応じて過去のデータを忘却しつつパラメータを更新する工程と、
    計算したパラメータ値の幾つかを出力する工程と、
    前記隠れマルコフモデルの有限混合分布のパラメータの個数を変化させて推定パラメータを並列に計算する工程と、
    該パラメータおよび入力データを用いて各隠れマルコフモデルの有限混合分布について計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する工程と
    を含むことを特徴とする異常行動検出方法。
63. コンピュータを、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段として動作させるための確率分布推定プログラム。
64. コンピュータを、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段として動作させるための確率分布推定プログラム。
65. コンピュータを、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段として動作させるための確率分布推定プログラム。
66. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段としてさらに動作させることを特徴とする請求項６３，請求項６４または請求項６５記載の確率分布推定プログラム。
67. コンピュータを、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段として動作させるための異常行動検出プログラム。
68. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記確率モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段として動作させるための異常行動検出プログラム。
69. コンピュータを、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段として動作させるための異常行動検出プログラム。
70. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段として動作させるための異常行動検出プログラム。
71. コンピュータを、前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部としてさらに動作させることを特徴とする請求項６９または請求項７０記載の異常行動検出プログラム。
72. コンピュータを、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、前記入力データとは別のデータを入力として与える参照データ入力装置と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段として動作させるための異常行動検出プログラム。
73. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、前記入力データとは別のデータを入力として与える参照データ入力装置と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段として動作させるための異常行動検出プログラム。
74. コンピュータを、隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する複数の確率分布推定装置と、隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段として動作させるための異常行動検出プログラム。
75. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，隠れ変数を持つ確率モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み前記確率モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記確率モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記確率モデルを用いて推定する複数の確率分布推定装置と、隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段として動作させるための異常行動検出プログラム。
76. コンピュータを、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段として動作させるための異常行動検出プログラム。
77. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記時系列モデルの各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段として動作させるための異常行動検出プログラム。
78. コンピュータを、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段として動作させるための異常行動検出プログラム。
79. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段として動作させるための異常行動検出プログラム。
80. コンピュータを、前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部としてさらに動作させることを特徴とする請求項７８または請求項７９記載の異常行動検出プログラム。
81. コンピュータを、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、前記入力データとは別のデータを入力として与える参照データ入力装置と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段として動作させるための異常行動検出プログラム。
82. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、前記入力データとは別のデータを入力として与える参照データ入力装置と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段として動作させるための異常行動検出プログラム。
83. コンピュータを、継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する複数の確率分布推定装置と、隠れ変数のとりうる状態の個数の異なる前記時系列モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段として動作させるための異常行動検出プログラム。
84. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布および隠れ変数を持つ時系列モデルの全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み前記時系列モデルを用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記時系列モデルのパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記時系列モデルを用いて推定する複数の確率分布推定装置と、隠れ変数のとりうる状態の個数の異なる前記時系列モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段として動作させるための異常行動検出プログラム。
85. コンピュータを、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段として動作させるための異常行動検出プログラム。
86. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータが前記隠れマルコフモデルの有限混合分布の各隠れ変数に対応する状態を持つ確からしさをスコアとして出力する状態推定手段として動作させるための異常行動検出プログラム。
87. コンピュータを、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段として動作させるための異常行動検出プログラム。
88. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、新たに読み込んだデータの情報量を計算して該データの異常行動度として出力する異常検出手段として動作させるための異常行動検出プログラム。
89. コンピュータを、前記確率分布推定装置により推定された確率分布のパラメータを使用して、新たに複数個のデータを読み込み、前記異常行動度の一定幅の時間平均として行動モデル変化度を計算して出力する行動モデル変化度計算部としてさらに動作させることを特徴とする請求項８７または請求項８８記載の異常行動検出プログラム。
90. コンピュータを、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、前記入力データとは別のデータを入力として与える参照データ入力装置と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段として動作させるための異常行動検出プログラム。
91. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する確率分布推定装置と、該確率分布推定装置により推定された確率分布のパラメータを使用して、隠れ変数に対応する状態の事後確率を計算する事後確率計算手段と、前記入力データとは別のデータを入力として与える参照データ入力装置と、前記事後確率計算手段により前記参照データ入力装置から読み込んだデータから計算された隠れ変数に対応する状態の事後確率および新たに読み込んだ入力データから計算された隠れ変数に対応する状態の事後確率を使用して、事後確率の変化を計算し出力する事後確率変化度計算手段として動作させるための異常行動検出プログラム。
92. コンピュータを、継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する複数の確率分布推定装置と、隠れ変数のとりうる状態の個数の異なる前記隠れマルコフモデルの有限混合分布に対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段として動作させるための異常行動検出プログラム。
93. コンピュータを、入力データをベクトルデータ列に加工するセッション化手段，継続時間分布を持つ隠れマルコフモデルの有限混合分布の全てのパラメータを記憶するパラメータ記憶装置，入力データに対して前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み前記隠れマルコフモデルの有限混合分布を用いて該入力データが発生した確からしさを計算する確からしさ計算手段，および該確からしさ計算手段から確からしさを読み込み、前記パラメータ記憶装置から前記隠れマルコフモデルの有限混合分布のパラメータを読み込み、新たに読み込んだデータに応じて過去のデータを忘却しつつ前記パラメータ記憶装置の内容を更新するパラメータ更新手段を備え、ベクトルデータ列を入力として、該ベクトルデータ列を順次読み込みつつ各データが発生する確率分布を前記隠れマルコフモデルの有限混合分布を用いて推定する複数の確率分布推定装置と、隠れ変数のとりうる状態の個数の異なる前記確率モデルに対して前記複数の確率分布推定装置を並列に使用して、各確率分布推定装置により推定された確率分布のパラメータおよび入力データから計算した情報量規準の値が最も小さい時の隠れ変数のとりうる状態の個数を最適な値として出力する情報量規準計算手段として動作させるための異常行動検出プログラム。

Images