JP2005141319A - 異常行動検出装置 - Google Patents

Abstract

【課題】 物理的な構造を前提としたユーザの異常行動検出を確実に行うことのできる異常行動検出装置を得る。
【解決手段】 行動履歴データベース２は、物理的な構造とユーザの移動履歴との関連情報を行動履歴として格納する。行動パターン抽出部４は、行動履歴データベース２の行動履歴に基づいて、ユーザの物理的な構造の行動パターンを抽出し、行動パターンデータベース３に格納する。異常行動検出部５は、行動履歴データベース２の任意の行動履歴に対して、その行動履歴に対応する行動パターンデータベース３中の行動パターンの値に基づいて、その行動履歴が異常行動であるか否かを判定する。
【選択図】 図１

Description

本発明は、物理構造とユーザの行動履歴に基づいて、ユーザの異常行動を検出する異常行動検出装置に関するものである。

従来、ユーザの異常行動を検出するものとして、主としてＰＣ（パーソナルコンピュータ）やＰＰＰ（Point to Point Protocol)サーバへのログインの際に不正ログインを検出するための不正ログイン検出装置があった（例えば、特許文献１参照）。

この文献に記載の不正ログイン検出装置では、ログイン統計情報データベースにユーザ名と、ある単位時間毎にログインに成功した回数とが対応付けられて格納される。そして、ログイン回数積算部が、ユーザ認証されログインされたユーザ名とログイン時刻を得ると、ログイン統計情報データベースの当該ユーザにおける該当する時刻範囲のログイン回数を１加算する。不正ログイン検出処理部は、ユーザ認証後、当該ユーザのログイン回数に基づき予め定義された不正ログイン条件による検証を行い、不正ログインの疑いの有無を判定するよう構成されている。

特開２００２−２９７５４３号公報

しかしながら、従来の異常行動検出装置では、上述したように、主にＰＣやＰＰＰサーバへのログインの際に該当ユーザの過去のログイン時刻に基づき不正ログインの有無を判定するものであり、物理的なユーザの移動を追跡する必要があるシステム、例えば入退室管理システム等に関するものではない。
そのため、このような技術では、物理的な構造を前提としたユーザの異常行動検出に適用するには不十分であった。

本発明は上記のような課題を解決するためになされたもので、物理的な構造を前提としたユーザの異常行動検出を確実に行うことのできる異常行動検出装置を得ることを目的とする。

この発明に係る異常行動検出装置は、物理的な構造とユーザの移動履歴を行動履歴データベースに格納すると共に、ユーザに固有の物理的な構造の行動パターンを抽出して行動パターンデータベースに格納し、任意の行動履歴に対して、行動パターンの値に基づいて、そのユーザの異常行動を検出するようにしたものである。

この発明の異常行動検出装置は、そのユーザに固有の物理的な構造に基づく行動パターンを抽出して、ユーザの任意の行動履歴に対応する行動パターンの値から、そのユーザの異常行動を検出するようにしたので、物理的な構造を前提としたユーザの異常行動検出を確実に行うことができる。

実施の形態１．
以下、この発明の実施の形態１を説明する。
尚、以下に説明する各実施の形態は、本発明を入退室管理システムに適用した場合を示している。また、実施の形態１では、ユーザの行動場所に基づいて異常検出を行う例である。

図１は、この発明の実施の形態１による異常行動検出装置を示す構成図である。
図において、異常行動検出装置１０は、物理構造データベース（物理構造ＤＢ）１、行動履歴データベース（行動履歴ＤＢ）２、行動パターンデータベース（行動パターンＤＢ）３、行動パターン抽出部４、異常行動検出部５からなる。

物理構造データベース１は、入退室管理システムで管理する建物の物理構造を示すデータベースである。
図２に、建物の物理構造の一例を示す。
図において、Ａｒｅａ１〜Ａｒｅａ４は、それぞれ異なる空間を示している。例えばＡｒｅａ２〜Ａｒｅａ４は、建物内の部屋を示しており、Ａｒｅａ１は建物外の空間を示している。また、図中のｇ１〜ｇ４は、それぞれ異なる空間の境界に設けられた認証装置を表しており、これら認証装置ｇ１〜ｇ４はそれぞれ通過可能な方向が予め決定されている。

図３は、各空間の通過可能か否かの関係を示す説明図である。
図中、実線矢印が物理的に通過可能で、かつ、認証装置有りを示している。また、破線矢印は、物理的に通過可能で、認証装置なしを示している。即ち、Ａｒｅａ１からＡｒｅａ２、Ａｒｅａ２からＡｒｅａ４、Ａｒｅａ１からＡｒｅａ３、Ａｒｅａ３からＡｒｅａ４は、それぞれ認証装置ｇ１、ｇ２、ｇ３、ｇ４による認証を行って通過可能であり、一方、Ａｒｅａ４からＡｒｅａ３に、また、Ａｒｅａ３からＡｒｅａ１へは、認証せずに通過可能であることを示している。

物理構造データベース１は、このような各空間と認証装置との関係を示す情報を格納する。これは、次のような隣接行列Ａで表現することができる。

各要素は、壁などがあり通過不可能な場合が０、認証装置がないが通過可能である場合が１、認証装置がある場合がｇ１などの装置ＩＤを示している。例えば、Ａ（２、４）＝ｇ２は、Ａｒｅａ２からＡｒｅａ４への間には認証装置ｇ２があることを示している。

行動履歴データベース２は、管理対象の建物の物理的な構造とユーザの移動履歴との関連情報を行動履歴として格納するデータベースである。即ち、この行動履歴データベース２は、物理構造データベース１で規定されている各認証装置ｇ１〜ｇ４の認証履歴を格納するためのデータベースであり、ユーザＩＤ、認証装置ＩＤ、認証時刻といった情報が格納される。

図４は、行動履歴データベース２の構成を示す説明図である。
行動履歴データベース２は、図４に示すように、インデックス、認証時刻、ユーザＩＤ、認証装置ＩＤからなる複数のレコードで構成されている。即ち、ある認証が行われる毎に新たなインデックスが付与され、行動履歴として保存されるようになっている。また、異常行動を検出するため、ユーザ毎に行動履歴がまとめられている。

図５は、ユーザ別行動履歴データベースの説明図である。
このユーザ別行動履歴データベースは、図４に示した行動履歴データベース２と同様の構成でユーザ毎に作成されるものである。尚、ユーザ別行動履歴データベースにおけるインデックスは、そのユーザの履歴の順に付け直したもので、図４中のインデックスとは関連していない。尚、このユーザ別行動履歴データベースは、特に必須ではなく、後述する異常行動検出時に作成するようにしてもよい。

行動パターンデータベース３は、行動パターン抽出部４で抽出された行動パターンを格納するデータベースであり、実施の形態１では、認証されたそれぞれの認証装置ｇ１〜ｇ４の発生確率の値となっている。行動パターン抽出部４は、行動履歴データベース２に格納された各ユーザの行動履歴から各ユーザの通常の行動パターンを抽出する機能を有しており、実施の形態１では、その行動パターンとして、一定期間にどの認証装置で認証されたかを認証装置ｇ１〜ｇ４毎の発生確率として求める機能を有している。尚、抽出処理の詳細については後述する。

異常行動検出部５は、行動履歴データベース２中の任意の行動履歴に対して、行動パターンデータベース３中の、その行動履歴に対応する発生確率に基づいてユーザの異常行動を検出する機能を有している。即ち、ある行動履歴が認証装置ｇｉの通過に関するものであった場合、行動パターンデータベース３におけるそのユーザの認証装置ｇｉの発生確率を参照し、この発生確率が予め定めた閾値以下であった場合は、その行動は異常行動であると判定するよう構成されている。

次に、実施の形態１の動作について説明する。
行動履歴データベース２には、ユーザが認証装置で認証を行う毎に、図４に示すような行動履歴のレコードが格納される。このように行動履歴が格納された行動履歴データベース２に対して、例えば１ヶ月毎といった所定期間周期、あるいは任意のタイミングで、ユーザの異常行動を検出する。

この異常行動検出として、先ず、行動パターン抽出部４は、対象となるユーザの行動パターンを抽出し、これを行動パターンデータベース３に格納する。即ち、行動パターン抽出部４は、ユーザｕが、各認証装置ｇ１〜ｇ４を通過した発生確率を行動履歴データベース２に格納された行動履歴を集計して抽出する。これは、ユーザｕがある認証装置を通過した回数を、ユーザｕの全行動履歴数（図５におけるレコードの数）で除算し、各認証装置毎の発生確率を求めるものである。各認証装置の発生確率を行列Ｓで表すことができる。そして、行動パターン抽出部４は、このような行列Ｓで示すデータを行動パターンデータベース３に格納する。

尚、行動パターンの抽出は、例えば、行動履歴データベース２に行動履歴が格納される都度行う、といったように、異常行動検出とは無関係に行ってもよい。

次に、異常行動検出部５は、行動履歴データベース２から異常行動か否かを判定するための任意の行動履歴を一つ取り出し、この行動履歴に対応した認証装置の発生確率を行動パターンデータベース３より求める。ユーザｕの行動履歴データベース２の該当するレコードをＬ（ｉ）と表す。即ち、このレコードＬ（ｉ）における認証装置ＩＤはｇ（ｉ）である。そして、行列Ｓの認証装置ｇ（ｉ）の要素をＳ（ｇ（ｉ））と表すと、その値は、
Ｓ（ｇ（ｉ））＝Ｘである。例えば、ｇ（ｉ）＝ｇ２の場合、このＸはｓ２である。

例えば、行列Ｓでは、ｓ１＝６５％、ｓ２＝０．５％、ｓ３＝２０％、ｓ４＝１４．５％であったとする。この場合Ｘ＝０．５％である。異常行動検出部５は、このＸの値を予め定めた閾値Ｔｓと比較し、Ｔｓ＞Ｘのとき、ユーザｕのこの行動は異常であると判断する。例えばＴｓ＝１％であった場合、Ｔｓ＞Ｘであるため、ユーザのこの行動は異常行動の恐れがあると判定する。

即ち、ユーザｕの行動としては、ある程度決まった行動パターンが存在する。例えば、上記のユーザｕの通常の行動パターンは、認証装置ｇ１、ｇ３、ｇ４ではある程度頻繁に通過するが認証装置ｇ２はほとんど通過しない、といったものである。しかしながら、ある行動履歴が認証装置ｇ２の通過であった場合、この行動はユーザｕとしてはめったにない行動であり、従って、この行動は異常行動の恐れ有りと解釈するものである。

異常行動検出部５は、このような異常行動を検出した場合、その行動履歴と異常行動を示す情報を出力する。これにより、入退室管理システムにおける管理者は、該当ユーザに問い合わせを行ったり、監視カメラの画像をチェックする、といった対処を行う。

以上のように、実施の形態１によれば、物理的な構造の情報を格納する物理構造データベースと、物理的な構造とユーザの移動履歴との関連情報を行動履歴として格納する行動履歴データベースと、ユーザの物理的な構造の行動パターンを抽出する行動パターン抽出部と、行動履歴データベースから、任意の行動履歴を取り出し、取り出した行動履歴に対応する物理的な構造の行動パターンの値に基づいて、ユーザの異常行動を検出する異常行動検出部とを備えたので、物理的な構造を前提としたユーザの異常行動検出を確実に行うことができる。

また、実施の形態１によれば、行動履歴データベースは、ユーザが過去に通過した場所の情報を行動履歴として格納し、行動パターン抽出部は、行動履歴から、通過した場所の行動履歴の発生確率を、ユーザの行動パターンとして抽出し、異常行動検出部は、対象となる行動履歴に対応する通過場所の行動パターンの発生確率が、所定の閾値より小さかった場合に、行動履歴は異常行動であると判定するようにしたので、通常は立ち入らない場所に入り、不正な行動を行おうとしたユーザの行動を異常行動として検出することができる。

実施の形態２．
実施の形態２は、ユーザの行動時刻に基づいて異常検出を行うようにしたものである。

実施の形態２における図面上の構成は、図１に示した実施の形態１と同様であるため、図１を援用して説明する。
実施の形態２では、行動パターン抽出部４が、行動履歴データベース２のデータから行動パターンとして、各認証装置ｇ１〜ｇ４における通過時刻の発生確率を求め、これを行動パターンとして行動パターンデータベース３に格納するよう構成されている。また、異常行動検出部５は、行動履歴データベース２における行動履歴の通過時刻に対応した行動パターンデータベース３中の値が予め定めた閾値より小さい場合に異常行動と判定するよう構成されている。他の各構成は実施の形態１と同様であるため、ここでの説明は省略する。

次に、実施の形態２の動作について説明する。
実施の形態２においても、ユーザの異常行動を検出するため、行動パターン抽出部４は、予め定めたタイミングあるいは任意のタイミングで、対象となるユーザの行動パターンを抽出し、これを行動パターンデータベース３に格納する。実施の形態２では、ユーザｕがある認証装置を通過した時刻（時間帯）を、ユーザｕのその認証装置における全行動履歴数で除算し、各認証装置毎の通過時刻の発生確率を求めるものである。

あるユーザｕが認証装置ｇを通過する時刻ｔでの発生確率を関数ｐ（ｕ，ｇ，ｔ）と表す。ｔは例えば１０分や３０分といったある一定の時間幅を指しており、ユーザｕがその時間帯ｔに認証装置ｇを通過する確率をｐ（ｕ，ｇ，ｔ）と表す。各認証装置ｇ１〜ｇ４のｐ（ｕ，ｇ，ｔ）を行列Ｐで表す。行列内の要素は、ｐ２（ｔ）＝ｐ（ｕ，ｇ２，ｔ）として表している。

異常行動検出部５は、このような行列Ｐを用いて、ユーザｕの行動履歴から異常行動であるかどうかを判定する。ユーザｕの行動履歴データベース２中の任意のレコードをＬ（ｉ）と表す。行列Ｐの認証装置ｇ（ｉ）の要素をＰ（ｇ（ｉ））と表すと、その値は、Ｐ（ｇ（ｉ））＝Ｙである。ｇ（ｉ）＝ｇ３の場合、Ｙ＝ｐ３（Ｔｒ（ｉ））である。閾値を発生確率Ｔｐとすると、Ｔｐ＞Ｙのときユーザｕの対象となる行動履歴は異常行動であると判定する。

例えば、あるユーザｕが認証装置ｇ１を通過した時刻を３０分単位で集計したとする。
図６は、集計結果の一例を示す説明図である。
このような集計結果が行動パターンデータベース３に格納されており、また、閾値Ｔｐを０．０１（１％）とすると、異常行動検出部５は、１１：３０〜１１：５９に通過した行動履歴が異常行動であると判定する。この場合も、通常は通過しない時刻に通過したという行動は異常行動の恐れがある、という観点に基づいて異常行動の検出を行うようにしたものである。

以上のように、実施の形態２によれば、行動履歴データベースは、ユーザが過去に特定の場所を通過した時刻の情報を行動履歴として格納し、行動パターン抽出部は、行動履歴から、特定の場所を通過した時刻の行動履歴の発生確率を、ユーザの行動パターンとして抽出し、異常行動検出部は、対象となる行動履歴に対応する特定の場所を通過した時刻の行動パターンの発生確率が、所定の閾値より小さかった場合に、その行動履歴は異常行動であると判定するようにしたので、通常は通行しないような時刻、例えば真夜中などに通行した場合に、これを異常行動として検出することができる。

実施の形態３．
実施の形態３は、物理的な制約に基づいて異常検出を行うようにしたものである。

図７は、実施の形態３による異常行動検出装置を示す構成図である。
実施の形態３の異常行動検出装置１０ａの基本的な構成は、図１に示した実施の形態１と同様であるが、行動パターンデータベース３ａのデータ構成、行動パターン抽出部４ａが抽出する行動パターン、異常行動検出部５ａが判定の基準とするデータが異なっている。即ち、行動パターン抽出部４ａは、物理構造データベース１のデータに基づいて、物理的に認証装置ｇ（ｉ−１）を通過した後、他の認証装置を通過せずにｇ（ｉ）を通過可能であるかどうかを示す情報を行動パターンとして行動パターンデータベース３ａに格納するよう構成されている。また、異常行動検出部５ａは、行動パターンデータベース３ａに格納された通過可能か否かのデータに基づいて異常行動を判定するよう構成されている。他の構成は実施の形態１、２と同様であるため、ここでの説明は省略する。

次に、実施の形態３の動作について説明する。
実施の形態３においても、ユーザの異常行動を検出するため、行動パターン抽出部４ａが行動パターンを抽出し、これを行動パターンデータベース３ａに格納するのは実施の形態１、２と同様である。実施の形態３が異なるのは、行動パターン抽出部４ａが、その行動パターンとして物理構造データベース１に格納されているデータに基づいて抽出を行う点である。

例えば、物理構造データベース１のデータに基づいて、物理的に認証装置ｇ（ｉ−１）を通過した後、他の認証装置を通過せずにｇ（ｉ）を通過可能であるかどうかを行列Ｂで表す。行列の要素は、０は物理的に通過不可能、１は物理的に通過可能であることを表す。

行動パターン抽出部４ａは、このような行列Ｂのデータを行動パターンデータベース３ａに格納する。

例えば、対象となる建物の論理構造が図３に示すものである場合、論理的な通過可能／不可能は次のように表すことができる。
図８は、各認証装置の通過可能／不可能を表す説明図である。
このような物理的な論理構造を行列Ｂで表すと、

となる。行列の要素の０が通過不可能、１が通過可能であることを表している。例えば、認証装置ｇ２を通過した後、他の認証装置を通らずにｇ３を通ることができるため２行３列の要素は１となる。

異常行動検出部５ａは、行列Ｂに示すデータを用いてユーザｕの行動履歴から異常行動であるかどうかを判定する。ユーザｕの連続する行動履歴データベース２のレコードをＬ（ｉ−１），Ｌ（ｉ）と表す。その連続するレコードで通過した認証装置をｇ（ｉ−１），ｇ（ｉ）で表すと、
Ｂ（ｇ（ｉ−１），ｇ（ｉ））＝Ｚ
より、ある値を得る。例えば、ｇ（ｉ−１）＝ｇ３，ｇ（ｉ）＝ｇ４の場合、Ｚ＝ｂ３４である。Ｚ＝０であるとき、ユーザｕの行動は異常であると判定する。

例えば、２段階の認証装置ｇ１、ｇ２があり、外部（Ａｒｅａ１）からは認証装置ｇ１、ｇ２の順でないと通過できないとする。このような物理制約の条件下で、例えば、ユーザｕ１がユーザｕ２のＩＤカードを不正に入手し、ユーザｕ１のＩＤカードで認証装置ｇ１を通過後、ユーザｕ２のＩＤカードで認証装置ｇ２を通過したとする。このような場合、ユーザｕ２は認証装置ｇ１を通過せずに認証装置ｇ２を通過したことになるため、その行動履歴は異常であると判定される。

また、これ以外にも、例えば複数のユーザが一人のユーザのＩＤカードを何度も使って同じ認証装置（例えば、認証装置ｇ１）を通過したような場合、そのＩＤカードのユーザの行動履歴に対応する要素は０であるため、異常であると判定される。

以上のように、実施の形態３によれば、行動履歴データベースは、ユーザが過去に異なる複数の場所を通過したか否かの情報を行動履歴として格納し、行動パターン抽出部は、物理構造データベースから、異なる複数の場所を通過可能か否かの情報を、ユーザの行動パターンとして抽出し、異常行動検出部は、対象となる行動履歴に対応する異なる複数の場所の行動パターンの情報が、通過不可能であった場合に、その行動履歴は異常行動であると判定するようにしたので、他人のＩＤカードを不正に入手して使用した場合や、同一人物が何度も認証することにより他の人物を通過させているような場合でも、これを異常行動として検出することができる。

実施の形態４．
実施の形態４は、ユーザの行動時間間隔に基づいて異常検出を行うようにしたものである。

実施の形態４における図面上の構成は、図１に示した実施の形態１と同様であるため、図１を援用して説明する。
実施の形態４では、行動パターン抽出部４が、行動履歴データベース２のデータから、行動パターンとして、各認証装置ｇ１〜ｇ４のうち異なる認証装置を通過する時間間隔の発生確率を抽出し、これを行動パターンデータベース３に格納するよう構成されている。また、異常行動検出部５は、行動履歴データベース２における行動履歴の通過時間間隔に対応した行動パターンデータベース３中の値が予め定めた閾値より小さい場合に異常行動と判定するよう構成されている。他の各構成は実施の形態１、２と同様であるため、ここでの説明は省略する。

次に、実施の形態４の動作について説明する。
ユーザの異常行動の検出は各実施の形態と同様、所定周期あるいは任意のタイミングで行う。即ち、行動パターン抽出部４は、あるユーザｕが認証装置ｇ（ｉ−１）を通過してから認証装置ｇ（ｉ）を通過する時間間隔Ｔに関する確率分布（発生確率）を求める。この確率分布を関数ｑ（ｕ，ｇ（ｉ−１），ｇ（ｉ），Ｔ）と表す。この関数ｑ（ｕ，ｇ（ｉ−１），ｇ（ｉ），Ｔ）は、行動履歴データベース２から求めることができる。また、各認証装置の関数ｑ（ｕ，ｇ（ｉ−１），ｇ（ｉ），Ｔ）を行列Ｑで表す。行列の要素は、例えば、ｑ１２（Ｔ）＝ｑ（ｕ，ｇ１，ｇ２，Ｔ）と表される。そして、行動パターン抽出部４は、このような行列Ｑのデータを行動パターンデータベース３に格納する。

異常行動検出部５は、行列Ｑのデータを用いて、ユーザｕの行動履歴から異常行動であるか否かを判定する。ユーザｕの連続する行動履歴データベース２中のレコードをＬ（ｉ−１），Ｌ（ｉ）と表すと、
Ｑ（ｇ（ｉ−１），ｇ（ｉ））＝Ｖ
より、ある値Ｖを得る。例えば、ｇ（ｉ−１）＝ｇ３、ｇ（ｉ）＝ｇ４の場合は、Ｑ＝ｑ３４（Ｔｒ（ｉ）−Ｔｒ（ｉ−１））である。閾値を発生確率Ｔｑとすると、Ｔｑ＞Ｖのときユーザｕの行動は異常行動であると判定する。

図９は、確率分布と時間間隔に基づく異常検出の説明図である。
図示のように、確率分布が閾値Ｔｑより小さい場合として、確率分布がＴｑに相当する時間間隔Ｔ＿ｌｏｗより短い時間間隔および時間間隔Ｔ＿ｈｉｇｈより長い時間間隔であった場合に異常行動であると判定することができる。

また、より長い経路の移動時間を基に異常行動を検出する場合は、行動履歴データベース２から複数の認証装置を通過したときの通過時間を集計して異常行動を検出する。
ｎ個の認証装置の通過時間を基に異常行動を検出する場合、行動パターン抽出部４は、通過時間関数ｑを保持するＱをｎ次元配列とし、配列の各要素に行動履歴データベース２より集計された通過時間を集計した関数ｑを求めて、これを行動パターンデータベース３に格納する。そして、異常行動検出部５は、該当の経路通過時間の確率が予め定められた閾値以下であれば異常行動であると判定する。

例えば、認証装置ｇ１、ｇ２、ｇ３、ｇ４と順に四つの認証装置を通った行動履歴があるとする。ｇ１、ｇ２、ｇ３、ｇ４の順に通過したときの４次元配列Ｑの要素Ｑ（ｇ１，ｇ２，ｇ３，ｇ４）に格納されている関数ｑ１２３４（Ｔ）が得られる。この関数Ｔにｇ１の通過時刻とｇ４の通過時刻の差を代入することにより、過去の行動における該当経路の通過時間の発生確率を得ることができる。この値が予め定められた閾値より小さい場合は異常行動であると判定する。

以上のように、実施の形態４によれば、行動履歴データベースは、ユーザが過去に異なる複数の場所を通過した時間間隔の情報を行動履歴として格納し、行動パターン抽出部は、行動履歴から、異なる複数の場所を通過する時間間隔の行動履歴の発生確率を、ユーザの行動パターンとして抽出し、異常行動検出部は、対象となる行動履歴に対応する異なる複数の場所を通過する時間間隔の行動パターンの発生確率が、所定の閾値より小さかった場合に、その行動履歴は異常行動であると判定するようにしたので、例えば、ある部屋に以上に長く滞在して不正行為を行っている場合等、これを異常行動として検出することが可能である。

実施の形態５．
実施の形態５は、ユーザの行動経路に基づいて異常検出を行うようにしたものである。

実施の形態５における図面上の構成は、図１に示した実施の形態１と同様であるため、図１を援用して説明する。
実施の形態５では、行動パターン抽出部４が、行動履歴データベース２のデータから行動パターンとして、各認証装置ｇ１〜ｇ４のいずれかの異なる認証装置を通過する経路の発生確率を抽出し、これを行動パターンデータベース３に格納するよう構成されている。また、異常行動検出部５は、行動履歴データベース２における行動履歴の通過経路に対応した行動パターンデータベース３中の値が予め定めた閾値より小さい場合に異常行動と判定するよう構成されている。他の各構成は実施の形態１と同様であるため、ここでの説明は省略する。

次に、実施の形態５の動作について説明する。
ユーザの異常行動の検出は各実施の形態と同様、所定周期あるいは任意のタイミングで行う。即ち、行動パターン抽出部４は、あるユーザｕが認証装置ｇ（ｉ−１）を通過後、認証装置ｇ（ｉ）を通過する確率ｒに関する確率分布を求める。

あるユーザｕが認証装置ｇ（ｉ−１）を通過後、認証装置ｇ（ｉ）を通過する確率ｒは、ｇ（ｉ−１）を通過した全回数をＮ_i-1、その後ｇ（ｉ）を通過する回数をＮ_ｉとすると、
ｒ（ｕ，ｇ（ｉ−１），ｇ（ｉ））＝Ｎ_ｉ／Ｎ_ｉ−１
である。ｒを各認証装置間で集計すると行列Ｒが得られる。行列Ｒではｒ２１＝ｒ（ｕ，ｇ２，ｇ１）と表している。このような行列Ｒのデータを行動パターン抽出部４は行動パターンデータベース３に格納する。

異常行動検出部５は、このような行列Ｒを用いて、ユーザｕの行動履歴データベース２中の行動履歴が異常行動であるかを判定する。ユーザｕの連続する行動履歴データベース２中のレコードをＬ（ｉ−１），Ｌ（ｉ）で表すと、
Ｒ（ｇ（ｉ−１），ｇ（ｉ））Ｗ
より値Ｗを得る。ｇ（ｉ−１）＝ｇ３，ｇ（ｉ）＝ｇ４の場合はＷ＝ｒ３４である。閾値をＴｒとすると、Ｔｒ＞Ｗのときユーザｕの行動は異常行動であると判定する。

物理的に移動不可能である経路を考慮すると行列Ｒは、

と表され、行列Ｒに実施の形態３の行列Ｂを含めてもよい。即ち、実施の形態５に実施の形態３の構成を組み合わせてもよい。

また、より長い経路の通過確率を基に異常行動を検出する場合は、行動履歴データベース２から複数の認証装置を通過する確率を集計して異常行動を検出することができる。
ｎ個の認証装置の通過確率を基に異常行動を検出する場合、行動パターン抽出部４は、経路選択確率を保持するＲをｎ次元配列とし、配列の各要素に行動履歴データベース２より集計された経路選択確率を求め、これを行動パターンデータベース３に格納する。そして、異常行動検出部５は、該当の経路が選択された確率が予め定められた閾値以下であれば異常行動であるとする。

例えばｇ１、ｇ２、ｇ３、ｇ４と順に四つの認証装置を通った行動履歴があるとする。ｇ１、ｇ２、ｇ３、ｇ４の順に通過したときの４次元配列Ｒの要素Ｒ（ｇ１，ｇ２，ｇ３，ｇ４）に格納されている該当経路選択確率ｒ１２３４が予め定められた閾値以下であれば異常行動であると判定する。

以上のように、実施の形態５によれば、行動履歴データベースは、ユーザが、過去に異なる複数の場所を移動した経路の情報を行動履歴として格納し、行動パターン抽出部は、行動履歴から、異なる複数の場所の経路の行動履歴の発生確率を、ユーザの行動パターンとして抽出し、異常行動検出部は、対象となる行動履歴に対応する異なる複数の場所の経路の行動パターンの発生確率が、所定の閾値より小さかった場合に、その行動履歴は異常行動であると判定するようにしたので、例えば、通常は移動しない経路を移動して不正行為を行う場合等、これを異常行動として検出することが可能である。

実施の形態６．
実施の形態６は、ユーザの通過頻度に基づいて異常検出を行うようにしたものである。

実施の形態６における図面上の構成は、図１に示した実施の形態１と同様であるため、図１を援用して説明する。
実施の形態６では、行動パターン抽出部４が、行動履歴データベース２のデータから行動パターンとして、各認証装置ｇ１〜ｇ４を通過する頻度の発生確率を抽出し、これを行動パターンデータベース３に格納するよう構成されている。また、異常行動検出部５は、行動履歴データベース２における行動履歴の通過頻度に対応した行動パターンデータベース３中の値が予め定めた閾値より小さい場合に異常行動と判定するよう構成されている。他の各構成は実施の形態１と同様であるため、ここでの説明は省略する。

次に、実施の形態６の動作について説明する。
ユーザの異常行動の検出は実施の形態１と同様、任意のタイミングで行う。即ち、行動パターン抽出部４は、任意のタイミングで、あるユーザｕがある単位時間で通過する頻度を各認証装置ｇ（ｉ）毎に集計する。

ユーザｕがある単位時間の各認証装置を通過する頻度を行動履歴より集計する。単位時間は例えば１日や１週間などである。ユーザｕが認証装置ｇをｈ回通過する確率を関数ｖ（ｕ，ｇ，ｈ）と表す。関数ｖ（ｕ，ｇ，ｈ）は行動履歴から求めることができる。各認証装置のｖ（ｕ，ｇ，ｈ）を行列Ｖで表す。行列内の要素では、ｖ（ｕ，ｇ２，ｈ）をｖ２（ｈ）として表している。

行列Ｖを用いて、ユーザｕの行動履歴から異常行動であるかどうかを判定する。
ユーザｕのある単位時間の認証装置ｇ（ｉ）の通過頻度ｈをＶを用いて評価する。Ｖの認証装置ｇ（ｉ）の要素をＳ（ｇ（ｉ））と表すと
Ｖ（ｇ（ｉ））＝Ｚ
より値Ｚを得る。ｇ（ｉ）＝ｇ３の場合はＺ＝ｖ３（ｈ）である。閾値を発生確率ＴｖとするとＴｖ＞Ｚのときユーザｕの行動は異常であると判定する。

図１０は、確率分布と頻度に基づく異常検出の説明図である。
図示のように、確率分布が閾値Ｔｖより小さい場合として、確率分布がＴｖに相当する頻度ｈ＿ｌｏｗより少ない頻度および頻度ｈ＿ｈｉｇｈより多い頻度であった場合に異常行動であると判定することができる。

以上のように、実施の形態６によれば、行動履歴データベースは、ユーザが、過去に通過した場所の情報を行動履歴として格納し、行動パターン抽出部は、行動履歴から、通過した場所の通過頻度の行動履歴の発生確率を、ユーザの行動パターンとして抽出し、異常行動検出部は、対象となる行動履歴に対応する通過した場所の通過頻度の行動パターンの発生確率が、所定の閾値より小さかった場合に、その行動履歴は異常行動であると判定するようにしたので、例えば、同一人物が何度も認証を行うことにより他の人物を通過させているような場合、これを異常行動として検出することが可能である。

実施の形態７．
実施の形態７は、認証装置からの認証結果に対して、その認証した行動が異常か否かを判定するようにしたものである。即ち、異常行動検出をリアルタイムに行うようにしたものである。

図１１は、実施の形態７による異常行動検出装置を示す構成図である。
図において、異常行動検出装置１００は、物理構造データベース（物理構造ＤＢ）１、行動履歴データベース（行動履歴ＤＢ）２、行動パターンデータベース（行動パターンＤＢ）３ｂ、行動パターン抽出部４ｂ、異常行動検出部５ｂ、検出マスク部６からなる。また、入退室管理システム２００は、認証装置ｇ１〜ｇ４からの認証結果を出力するシステムである。尚、実施の形態７は、実施の形態１に相当する構成に適用した例を示している。

異常行動検出装置１００の物理構造データベース１および行動履歴データベース２は、上述した実施の形態１における物理構造データベース１および行動履歴データベース２と同様の構成である。即ち、物理構造データベース１には、図３に示した内容のデータが格納されている。行動履歴データベース２は、入退室管理システム２００において、認証が行われる度に、その行動が行動履歴として格納されるデータベースである。

行動パターン抽出部４ｂは、行動履歴データベース２に格納された行動履歴に基づいて、所定の周期、あるいは行動履歴が更新される度にユーザ毎の行動パターンを抽出し、これを行動パターンデータベース３ｂに格納する機能部である。異常行動検出部５ｂは、入退室管理システム２００から出力される認証結果に基づいて、その認証された行動が異常行動であるか否かを行動パターンデータベース３ｂのデータに基づいて判定すると共に、検出マスク部６で登録されている行動については異常行動の検出から除外して判定する機能部である。また、異常行動検出部５ｂにおける異常検出の判定方法は実施の形態１と同様である。検出マスク部６は、予め、異常検出から除外する行動を除外情報として登録しておくための機能部である。

即ち、上述した実施の形態１〜６では、行動履歴データベース２中の１レコードの行動履歴について異常か否かを判定したが、実施の形態７では、入退室管理システムからリアルタイムで送られてくる認証結果について、その行動が異常か否かを判定する点が特徴である。

次に、実施の形態７の動作について説明する。
行動パターン抽出部４ｂは、ユーザｕの通常の行動パターンを抽出するため、所定のタイミングで、ユーザｕが各認証装置ｇ１〜ｇ４を通過する確率を行動履歴データベース２に格納されたデータに基づいて集計する。これは、ユーザｕがある認証装置を通過した回数を、ユーザｕの全行動履歴数で除算し、各認証装置毎の通過確率（発生確率）を求めるものである。あるいは、最近一ヶ月間といったような行動履歴データベース２中の特定期間のみを対象として通過確率を求めてもよい。このよう求められたユーザ毎の通過確率は、行動パターンデータベース３ｂに格納される。

一方、検出マスク部６には、異常行動検出部５ｂにおいて異常行動から除外するための行動が除外情報として記憶されている。例えば、ユーザｕが今まで使用していなかった認証装置ｇ２を数日間利用することが予め分かっている場合、ユーザｕの行動場所の異常行動判定において認証装置ｇ２への過去の行動履歴が少ないことによる異常行動検出を取り消すように予め検出マスク部に設定しておく。異常行動検出部５ｂが異常を検出した場合に通知するデータ構造が、［ユーザＩＤ，異常行動判定方法，認証装置］とすると、上記の場合、検出マスク部６に取り消す異常行動検出として、［ユーザｕ，行動場所による判定，ｇ２］といったように除外情報を設定する。

異常行動検出部５ｂは、入退室管理システム２００から送られてくる認証結果を受信する度に、その認証を行った行動が異常行動であるかを判定する。即ち、この判定は、実施の形態１と同様に、その行動に対応する認証装置の通過確率が予め定めた閾値より小さかった場合に異常行動であると判定するものである。また、閾値との比較では異常行動と判定される場合でも、検出マスク部６で登録されている行動であった場合は、異常判定からは除外する。
このような動作により、この数日間起こるであろう異常行動検出を防ぐことができる。

以上のように、実施の形態７によれば、物理的な構造の情報を格納する物理構造データベースと、物理的な構造とユーザの移動履歴との関連情報を行動履歴として格納する行動履歴データベースと、ユーザの物理的な構造の行動パターンを抽出する行動パターン抽出部と、任意の行動履歴を受けて、受けた行動履歴に対応する物理的な行動パターンの値に基づいて、ユーザの異常行動を検出する異常行動検出部とを備えたので、物理的な構造を前提としたユーザの異常行動検出を確実にかつリアルタイムに行うことができる。その結果、例えば、異常行動検出により、そのユーザに対して監視カメラや警備員が注目することにより、その後の不正行為を未然に防止することができる。

また、実施の形態７によれば、特定の行動履歴に対して除外情報を設定する検出マスク部と、対象となる行動履歴が検出マスク部における除外情報に一致した場合、その行動履歴を異常行動の判定から除外する異常行動検出部とを備えたので、不要な異常行動検出が行われなくなり、警備員や監視員が不要な異常行動に惑わされることがなくなるという効果がある。

尚、上記実施の形態７では、実施の形態１の構成に対して適用したが、実施の形態２〜実施の形態６に対しても同様に適用することができる。例えば、通過時刻による判定は実施の形態２と同様に行うことができる。また、物理制約による判定、時間間隔による判定、経路による判定については、認証結果と共に、行動履歴データベース２から、例えば物理制約による判定の場合のｇ（ｉ−１）のレコードといった、必要なレコードを取り出すことによって、実施の形態３〜５と同様に判定を行うことができる。

また、通過頻度による判定に適用した場合、実施の形態６とは判定方法が多少異なる。リアルタイムに集計されている場合、あるその時点の認証装置通過頻度Ｈｒの発生確率がＴｒであるとする。閾値を発生確率Ｔｖとし、Ｔｒ＜ＴｖであったとしてもＨｒより大きな頻度で発生確率がＴｖ以上の場合があるときには異常であると判定しない。即ち、実施の形態６で説明した図１０中の頻度がｈ＿ｌｏｗより小さい場合は異常であるとして検出しない。

また、上記各実施の形態１〜実施の形態６を任意に複数組み合わせることも可能であり、複数の行動パターンに基づいて異常行動の検出を行ってもよい。

また、上記各実施の形態において、検出マスク部６は実施の形態７のみ設けたが、実施の形態１〜６に設けてもよい。実施の形態１〜６のいずれかに設けた場合は、例えば、行動履歴データベース２中の行動履歴において、発生確率は低いが異常行動ではないのが判っているような行動履歴については除外情報として登録しておくことにより、不要な異常行動の検出を防ぐことができる。

更に、上記各実施の形態では、異常行動検出装置として入退室管理システムに適用した場合を説明したが、これに限定されるものではなく、同様の構成で、例えば鉄道における旅客の移動の管理や高速道路における車両の移動の管理といったものに対しても異常行動の検出を行うことができる。

例えば、鉄道の旅客の場合、上述した入退室管理システムと同様に、各旅客の移動経路を追跡するシステムを設け、経路や頻度等による異常行動の検出を行うよう構成する。このようなシステムでは、例えば、同一の旅客が何度も同じ場所を通過していたり、他人の定期券を不正に入手して使用した場合等を異常行動として検出することができる。その結果、犯罪防止に寄与することができ、また、電車を乗り違えている旅客を検出できることからサービス向上に寄与することができる。

また、高速道路における車両の移動の管理に適用した場合、例えば高速道路チケットによって車両の移動を追跡するシステムを設け、異常行動を検出するよう構成する。これにより、例えば、高速道路チケットをサービスエリアで交換する等、チケットの不正使用を検出することができる。

この発明の実施の形態１による異常行動検出装置を示す構成図である。 建物の物理構造の一例を示す説明図である。 各空間の通過可能か否かの関係を示す説明図である。 行動履歴データベース２の構成を示す説明図である。 ユーザ別行動履歴データベースの説明図である。 実施の形態２における集計結果の一例を示す説明図である。 実施の形態３による異常行動検出装置を示す構成図である。 各認証装置の通過可能／不可能を表す説明図である。 実施の形態４における確率分布と時間間隔に基づく異常検出の説明図である。 実施の形態６における確率分布と頻度に基づく異常検出の説明図である。 実施の形態７による異常行動検出装置を示す構成図である。

符号の説明

１ 物理構造データベース、２ 行動履歴データベース、３，３ａ，３ｂ 行動パターンデータベース、４，４ａ，４ｂ 行動パターン抽出部、５，５ａ，５ｂ 異常行動検出部、６ 検出マスク部、１０，１０ａ，１００ 異常行動検出装置。

Claims (9)

1. 物理的な構造の情報を格納する物理構造データベースと、
   物理的な構造とユーザの移動履歴との関連情報を行動履歴として格納する行動履歴データベースと、
   前記ユーザの物理的な構造の行動パターンを抽出する行動パターン抽出部と、
   前記行動履歴データベースから、任意の行動履歴を取り出し、当該取り出した行動履歴に対応する物理的な構造の行動パターンの値に基づいて、当該ユーザの異常行動を検出する異常行動検出部とを備えた異常行動検出装置。
2. 物理的な構造の情報を格納する物理構造データベースと、
   物理的な構造とユーザの移動履歴との関連情報を行動履歴として格納する行動履歴データベースと、
   前記ユーザの物理的な構造の行動パターンを抽出する行動パターン抽出部と、
   任意の行動履歴を受けて、当該受けた行動履歴に対応する物理的な行動パターンの値に基づいて、当該ユーザの異常行動を検出する異常行動検出部とを備えた異常行動検出装置。
3. 行動履歴データベースは、ユーザが過去に通過した場所の情報を行動履歴として格納し、
   行動パターン抽出部は、前記行動履歴から、前記通過した場所の行動履歴の発生確率を、当該ユーザの行動パターンとして抽出し、
   異常行動検出部は、対象となる行動履歴に対応する通過場所の行動パターンの発生確率が、所定の閾値より小さかった場合に、当該行動履歴は異常行動であると判定することを特徴とする請求項１または請求項２記載の異常行動検出装置。
4. 行動履歴データベースは、ユーザが過去に特定の場所を通過した時刻の情報を行動履歴として格納し、
   行動パターン抽出部は、前記行動履歴から、前記特定の場所を通過した時刻の行動履歴の発生確率を、当該ユーザの行動パターンとして抽出し、
   異常行動検出部は、対象となる行動履歴に対応する前記特定の場所を通過した時刻の行動パターンの発生確率が、所定の閾値より小さかった場合に、当該行動履歴は異常行動であると判定することを特徴とする請求項１または請求項２記載の異常行動検出装置。
5. 行動履歴データベースは、ユーザが過去に異なる複数の場所を通過したか否かの情報を行動履歴として格納し、
   行動パターン抽出部は、物理構造データベースから、前記異なる複数の場所を通過可能か否かの情報を、当該ユーザの行動パターンとして抽出し、
   異常行動検出部は、対象となる行動履歴に対応する前記異なる複数の場所の行動パターンの情報が、通過不可能であった場合に、当該行動履歴は異常行動であると判定することを特徴とする請求項１または請求項２記載の異常行動検出装置。
6. 行動履歴データベースは、ユーザが過去に異なる複数の場所を通過した時間間隔の情報を行動履歴として格納し、
   行動パターン抽出部は、前記行動履歴から、前記異なる複数の場所を通過する時間間隔の行動履歴の発生確率を、当該ユーザの行動パターンとして抽出し、
   異常行動検出部は、対象となる行動履歴に対応する前記異なる複数の場所を通過する時間間隔の行動パターンの発生確率が、所定の閾値より小さかった場合に、当該行動履歴は異常行動であると判定することを特徴とする請求項１または請求項２記載の異常行動検出装置。
7. 行動履歴データベースは、ユーザが、過去に異なる複数の場所を移動した経路の情報を行動履歴として格納し、
   行動パターン抽出部は、前記行動履歴から、前記異なる複数の場所の経路の行動履歴の発生確率を、当該ユーザの行動パターンとして抽出し、
   異常行動検出部は、対象となる行動履歴に対応する前記異なる複数の場所の経路の行動パターンの発生確率が、所定の閾値より小さかった場合に、当該行動履歴は異常行動であると判定することを特徴とする請求項１または請求項２記載の異常行動検出装置。
8. 行動履歴データベースは、ユーザが、過去に通過した場所の情報を行動履歴として格納し、
   行動パターン抽出部は、前記行動履歴から、前記通過した場所の通過頻度の行動履歴の発生確率を、当該ユーザの行動パターンとして抽出し、
   異常行動検出部は、対象となる行動履歴に対応する前記通過した場所の通過頻度の行動パターンの発生確率が、所定の閾値より小さかった場合に、当該行動履歴は異常行動であると判定することを特徴とする請求項１または請求項２記載の異常行動検出装置。
9. 特定の行動履歴に対して除外情報を設定する検出マスク部と、
   対象となる行動履歴が前記検出マスク部における除外情報に一致した場合、当該行動履歴を異常行動の判定から除外する異常行動検出部とを備えたことを特徴とする請求項１または請求項２記載の異常行動検出装置。

Images