JP2012525626A - ユーザ端末の逸脱する挙動 - Google Patents

Abstract

本発明は、ユーザ端末（１０）の逸脱する挙動を決定するための方法、通信ネットワーク（Ｎ）のネットワークノード内の装置（２４）、およびコンピュータプログラム製品に関する。本発明によれば、装置（２４）は、各グループが少なくとも１つのイベント・データ・セットを含む、第１のグループのイベント・データ・セット（ＥＤＳ１）および第２のグループのイベント・データ・セット（ＥＤＳ２、ＥＤＳ４）を得る。第１のグループ内の各イベント・データ・セットは特定のユーザ端末（１０）内のイベントに関係するユーザ端末生成イベントデータを含み、第２のグループ内の各イベント・データ・セットは特定のユーザ端末に関係するネットワーク生成イベントデータを含む。次に、装置は、第１のグループのイベント・データ・セットおよび第２のグループのイベント・データ・セットを含む比較を行い、比較に基づきユーザ端末の逸脱する挙動の存在を決定する。

Description

本発明はユーザ端末の逸脱する挙動（ｄｅｖｉａｔｉｎｇ ｂｅｈａｖｉｏｕｒ）を決定することに関する。より詳細には、本発明は、ユーザ端末の逸脱する挙動を決定するための方法、装置、およびコンピュータプログラム製品に関する。

電気通信ネットワークでは、今日、ユーザ端末能力がサードパーティのサービス提供者をますます利用できるようになってきている。したがって、ユーザ端末製造業者もネットワーク運営者もそのような別の開発者が使用するユーザ端末製造業者およびネットワーク運営者のＡＰＩ（アプリケーション・プログラム・インタフェース）を開放してきた。サービス提供者に対して機能を公開することにより、基本的電気通信機能たとえば電話およびメッセージングを使って高度サービスを提供する可能性が増大する。したがって、ユーザ端末および通信ネットワークに関連して提供されることができる様々なタイプのサードパーティのアプリケーションの数および多様性がますます増大している。

しかし、このことはユーザに新しい体験を導入するだけではない。サービス提供者に対して新しい可能性を導入することにより、高度サービスの創出が実際に可能になるだけでなく、ユーザ端末が危険にさらされる。これらの危険性は、（意図してまたは誤って）悪意をもって動作するソフトウェアに対する危険性のような逸脱する挙動を含む。広範囲にわたる試験なしに、開発された新しいサービスが望まれるように動作すること、すなわちユーザ端末内で起こるイベントが予期されることを制御するよい方法はない。そのような試験は、問題に対する従来の解決策であり、アプリケーションの認証を含む。新しい環境では、サービスが互いを利用することができ、別個のエンティティにより開発された構成要素を使用することができるので、認証は困難である。さらに、試験は、消費者のような末端ユーザが末端の端末を使用する前に行われるべきである。

ユーザ端末の環境でサードパーティのアプリケーションを制御する別の既存の方法が、「サンドボックス」ソリューション、すなわちサードパーティのアプリケーションがユーザ端末能力へのアクセスが非常に制限された「サンドボックス」内部だけで実行されることができるようにされるソリューションを使用することである。しかし、これらのタイプのソリューションは、とても多くの制約および制限を実際に生み出すので、ソフトウェア開発者の創造性を制限する。このことは実際には、逸脱する挙動を有するユーザ端末を識別するのではなく、むしろアプリケーションの能力を限定することを通して逸脱する挙動の可能性を制限する。

ファイアウォール技術が、ある種のアプリケーションに対するアクセスを許可するまたはブロックするために使用される別の重要な技術である。ファイアウォールは、ユーザ端末上にインストールされることができるパーソナルファイアウォールとしても、ネットワーク内に展開されるネットワークファイアウォールとしても存在する。パーソナルファイアウォールは、何らかの追加のユーザ制御を使って端末により送受信されるすべてのネットワークトラフィックを分析することにより端末側でアクセスを制御する。ネットワークファイアウォールは同様のやり方で動作し、主な違いはファイアウォールを通過するすべてのトラフィックが分析されることである。通過するトラフィックの量は、展開、すなわちネットワークファイアウォールがどれだけユーザ近くに展開されるかに大きく依存する。これらのファイアウォールに伴う１つの制約が、これらのファイアウォールが端末中心の分析をネットワーク中心の分析と組み合わせないことである。別の制約は、ファイアウォールが、それ自体は逸脱する挙動を識別するのではなく、逸脱する挙動が識別されたときにしか使用されることができないことである。

したがって、本技術分野で改善が必要であり、この場合、ユーザ端末が末端ユーザにより使用されるときにユーザ端末の安全性を高めるため、およびネットワーク悪用を回避するために、そのようなアプリケーションを監視することができる新しい仕組みが特に必要である。

したがって、本発明は、ネットワーク悪用を回避すること、およびユーザ端末が末端ユーザにより使用されるときにユーザ端末の安全性を高めることに向けられる。

したがって、本発明の１つの目的が、ネットワーク悪用を回避すること、およびユーザ端末が末端ユーザにより使用されるときに末端ユーザの安全性を高めることである。

この目的は、本発明の第１の様態により、ユーザ端末の逸脱する挙動を決定するための方法を通して達成される。方法は通信ネットワークの少なくとも１つのネットワークノードで実行される。方法では、各グループが少なくとも１つのイベント・データ・セットを含む、第１のグループのイベント・データ・セットおよび第２のグループのイベント・データ・セットが得られる。第１のグループ内の各イベント・データ・セットは特定のユーザ端末内のイベントに関係するユーザ端末生成イベントデータを含み、第２のグループ内の各イベント・データ・セットは特定のユーザ端末に関係するネットワーク生成イベントデータを含む。方法では、次に、第１のグループのイベント・データ・セットおよび第２のグループのイベント・データ・セットを含む比較が行われ、比較に基づき特定のユーザ端末の逸脱する挙動の存在が決定される。

目的は、本発明の第２の様態により、ユーザ端末の逸脱する挙動を決定するために通信ネットワークのネットワークノード内の装置を通して達成される。装置は、通信ネットワークに関係する別の装置と通信するための少なくとも１つの通信インタフェース、および逸脱挙動決定ユニットを含む。逸脱挙動決定ユニットは、第１のグループのイベント・データ・セットおよび第２のグループのイベント・データ・セットを得るが、ここで、各グループが少なくとも１つのイベント・データ・セットを含む。第１のグループ内の各イベント・データ・セットは特定のユーザ端末内のイベントに関係するユーザ端末生成イベントデータを含み、第２のグループ内の各イベント・データ・セットは特定のユーザ端末に関係するネットワーク生成イベントデータを含む。逸脱挙動決定ユニットは、第１のグループのイベント・データ・セットおよび第２のグループのイベント・データ・セットを含む比較をさらに行い、比較に基づき特定のユーザ端末の逸脱する挙動の存在を決定する。

上述の目的は、本発明の第３の様態により、コンピュータ・プログラム・コードを含むコンピュータプログラム製品を通して解決される。通信ネットワーク内に提供されるユーザ端末の逸脱する挙動を決定するためにコードが装置上で実行されているとき、コードは装置にいくつかのステップを実行させる。まず装置は、各グループが少なくとも１つのイベント・データ・セットを含む、第１のグループのイベント・データ・セットおよび第２のグループのイベント・データ・セットを得る。第１のグループ内の各イベント・データ・セットは特定のユーザ端末内のイベントに関係するユーザ端末生成イベントデータを含み、第２のグループ内の各イベント・データ・セットは特定のユーザ端末に関係するネットワーク生成イベントデータを含む。次に、装置は第１のグループのイベント・データ・セットおよび第２のグループのイベント・データ・セットを含む比較を行い、最後に、比較に基づき特定のユーザ端末の逸脱する挙動の存在を決定する。

上述の目的は、本発明の第４の様態により、第３の様態によるコンピュータプログラム、およびコンピュータプログラムが記憶されるコンピュータ読出可能手段を含むプログラム製品を通して解決される。

第１のグループのイベント・データ・セットおよび第２のグループのイベント・データ・セットを含む比較が、２つのグループのイベント・データ・セット間の直接比較とすることができる。比較はまた、各グループのイベント・データ・セットと共通基準との、たとえば２つのグループ内のイベント・データ・セットにより提供される一定量のトラフィックとの比較とすることができる。

本発明には多くの有利な点がある。本発明はネットワーク悪用を回避し、ユーザ端末内で発生するイベントに関係するユーザ端末の安全性を改善する。このことは、ネットワークとの端末の相互作用による結果としてネットワーク内に残された情報／トレースとユーザ端末内の動作を比較することにより行われる。この方法では、不明瞭なサービスを監視し、ユーザ相互作用とネットワークトラフィックを相関し、詐欺的挙動を検出し、悪意のあるソフトウェアを検出し、ソフトウェアの欠陥を検出することができる。この方法では、ユーザ端末が、末端ユーザにより使用されるとき、特に末端ユーザによりユーザ端末にダウンロードされるサードパーティのアプリケーションに関係して使用されるときも、安全性を高めることができる。

本発明の一変形形態によれば、第２のグループ内のイベント・データ・セットは第１のグループ内のイベント・データ・セットと相関させられる。このために、装置はまた、どのイベント・データ・セットが第１のグループに属し、どのイベント・データ・セットが第２のグループに属するかを決定するイベント・データ・セット相関ユニットを含むことができる。この決定は、イベント・データ・セットが同じサービスに関連付けられるという事実に基づく。この変形形態は、特定のユーザ端末に対して多くの異なるネットワーク生成イベントデータがある場合、逸脱する挙動の決定を簡略化する。

本発明の別の変形形態によれば、逸脱する挙動の存在を決定することは、第１のグループのイベント・データ・セットが第２のグループのイベント・データ・セットと異なる場合に逸脱する挙動を決定することを伴う。第１のグループ内のイベント・データ・セット内のデータと第２のグループ内の対応するイベント・データ・セットの間に相違がある場合、第１のグループは第２のグループと異なることがある。第１のグループはまた、第１のグループと第２のグループの間のイベント・データ・セットの数に相違がある場合、異なることがある。この方法では、たとえば、ユーザ端末が使用すると期待されるものと異なるキャリアが使用されているかどうか、またはユーザにパーソナル情報の代価または損失をさらにもたらすことがある期待される以上の通信セッションがセットアップされているかどうかを決定することが可能である。

数に相違があるとき、第２のグループ内のイベント・データ・セットの１つが、料金レコードから得られるが、第１のグループ内にイベント・データ・セットが全くない電子メッセージに関係することがある。

さらに、逸脱する挙動にリンクされるユーザ端末に対するサービスを決定し、特定のユーザ端末とサービスの両方を含む動作の変更を得るために、動作に影響を及ぼす変更（ｃｈａｎｇｅ ｉｎｆｌｕｅｎｃｉｎｇ ａｃｔｉｏｎ）を行うことができる。動作に影響を及ぼす変更は、逸脱する挙動に影響を及ぼすことができる装置に通知すること、またはサービスに関係する制限を強制することとすることができる。このことは、制限を直接課すことにより、または是正動作が行われるべきかそうでないかをサービス提供者またはネットワーク運営者が決定するために逸脱する挙動について知らせられることにより、逸脱する挙動が停止されることができるようにする。

さらに別の変形形態によれば、サービスは、ネットワークを介して特定のユーザ端末に関与する１つまたは複数の通信セッションを含み、動作に影響を及ぼす変更は、サービスに関係する通信セッションに影響を及ぼすこと、および特定のユーザ端末を含むことを伴う。この方法では、望ましくない通信セッションが許可されない、または望ましい通信セッションに変更されるように、逸脱する挙動を変えることができる。

イベント・データ・セットが、イベントに関連するサービスを識別するデータ、イベントに関連するデータを識別し、ユーザ端末を識別する少なくとも１つの通信識別子を含む通信セッション、少なくとも１つの通信セッションベアラ識別子、および通信セッションに関係する時間データを含むことができる。このデータの提供が、逸脱する挙動の決定、およびあり得る是正動作の決定を簡略化する。

別の変形形態によれば、第１のグループ内のイベント・データ・セット内のサービスを決定するために、ユーザ端末を介して行われる触覚（ｔａｃｔｉｌｅ）ユーザ入力のシーケンスが、第１のグループ内のイベント内の触覚入力の基準シーケンスにマッピングされ、このことは、装置内のイベント・データ・セット修正ユニットにより行われることができる。このマッピングは、逸脱する挙動に関連付けられるサービスの決定を簡略化する。

別の変形形態によれば、ユーザ端末からユーザ端末生成イベント・データ・セットを受信し、これらのイベント・データ・セットに対してマッピングを行い、決定されたサービスを識別するデータを使って受信されたイベント・データ・セットを修正し、修正されたイベント・データ・セットをイベント・データ・ベース内に記憶することができる。この場合、第１のグループのイベント・データ・セットを得ることは、イベント・データ・ベースから第１のグループのイベント・データ・セットを取り出すことを伴う。

ネットワーク内の料金レコード、およびイベントレコードに基づき、イベント・データ・セットを生成し、これらのイベント・データ・セットをイベント・データ・ベース内に記憶することもできる。この場合、第２のグループのイベント・データ・セットを得ることは、比較を行う前にイベント・データ・ベースから第２のグループのイベント・データ・セットを取り出すことを伴う。

本発明の別の変形形態により、逸脱する挙動が決定されたイベント・データ・セットを分析データベース内に記憶し、分析データベースからイベント・データ・セットを取り出し、これらのイベント・データ・セットを分析し、上記分析に基づき逸脱する挙動を決定するための規則を変更することができる。このことは、サービスに関係するユーザ端末により行われる動作において行われる変更のために、逸脱する挙動の決定に改善が行われることを可能にする。

用語「含む／含んでいる」（ｃｏｍｐｒｉｓｅ／ｃｏｍｐｒｉｓｉｎｇ）は、本明細書で使用されるとき、言及される特徴、整数、ステップ、または構成要素の存在を指定するために選ばれるが、その１つまたは複数の別の特徴、整数、ステップ、構成要素、またはグループの存在または追加を排除しないことが強調されるべきである。

ここで、本発明が同封の図面に関してより詳細に説明される。

ユーザ端末、および本発明によるユーザ端末の逸脱する挙動を決定するための装置が提供される通信ネットワークを概略示す。 逸脱する挙動の決定を補助する機能を有するユーザ端末の簡略化された構成図を示す。 本発明の第１の実施形態に従って、ユーザ端末の逸脱する挙動を決定するための装置の簡略化された構成図を示す。 ネットワーク内のイベント・データ・ベースの第１のテーブルＴ１の内容を概略示す。 イベント・データ・ベースの第２のテーブルＴ２の内容を概略示す。 本発明の第１の実施形態によるユーザ端末の逸脱する挙動を決定するための方法で実行されるいくつかの方法ステップの流れ図を示す。 本発明の第２の実施形態に従って、逸脱する挙動を決定するための装置の簡略化された構成図を示す。 ユーザ端末を介して行われる触覚ユーザ入力のシーケンスに関連付けられるサービスを決定するためのいくつかの方法ステップの流れ図を示す。 本発明の第３の実施形態に従って、ユーザ端末の逸脱する挙動を決定するための装置が提供される通信ネットワークを示す。 本発明の一実施形態によるコンピュータプログラム製品をＣＤ ＲＯＭディスクの形で概略示す。 図６で概説される機能の一部を実行する本発明の一実施形態によるコンピュータプログラム内のいくつかの機能ユニットを概略概説する。

以下の説明では、説明のためであり限定のためではなく、本発明の完全な理解を提供するために、具体的詳細、たとえば特定のアーキテクチャ、インタフェース、技法などについて述べられる。しかし、本発明はこれらの具体的詳細から逸脱する別の実施形態で実施されることができることが当業者には明らかであろう。別の例では、不必要な詳細で本発明の説明を不明瞭にしないように、知られた装置、回路、および方法の詳細な説明が省かれる。

本発明は、一般にユーザ端末が末端ユーザにより使用されるときにユーザ端末の安全性を高めることに向けられる。

携帯電話、ゲーム機、ラップトップコンピュータ、パーム・トップ・コンピュータ、電子手帳などの多様なものでもよいユーザ端末が、今日ますます多様な機能を含むことができる。そのような機能はサービス提供者により提供されているサービスの一部として提供されることができる。この場合、サービスはネットワーク運営者、ユーザ端末製造業者により、さらにいわゆるサードパーティのサービス提供者でもよいサードパーティにより提供されることができる。多くの例では、そのようなサービス機能を用いるアプリケーションがまた、ネットワークを介してユーザ端末の中にダウンロードされることができる。サービスはゲームなどのようなものを含むことができる。しかし、ソーシャル・コミュニケーション・サービス、たとえばＦａｃｅｂｏｏｋ、Ｙｏｕｔｕｂｅなどのようなさらに別のタイプのサービスも受け入れられる。そこのサービスの一部がまた、通信も使用するという点でさらに強化されることができる。

そのような環境では、高度サービスに関連付けられるアプリケーションが、ユーザ装置のユーザにより、ユーザ装置の製造業者により、ネットワーク運営者により、またはサービス提供者自体によってさえ期待されるように動作しないことがあり得る。たとえば、ユーザ端末は、ユーザが気づいていない通信セッションに関与する、ユーザが気づいていないキャリアを使用して通信セッションに関与する、ユーザが気づいていないデータをユーザ端末からエクスポートする、開始された通信セッションを終了しないなどがあり得る。したがって、期待される挙動から逸脱するそのような挙動は、この場合、ユーザ端末のユーザにさらに見えないことがある。そのような挙動は、彼または彼女から隠されることがある。この場合、そのような隠された通信は、ユーザを思いがけない、望ましくない費用をこうむらせる、または別の望ましくない動作にさらさせ得る。そのような隠された通信はまた、多くのユーザがそのような望ましくない通信にさらされた場合、通信ネットワークが輻輳する状態になることがあるという点で、ネットワーク運営者にとって問題を引き起こすことがある。したがって、ネットワーク運営者はまた、たとえば詐欺的なサードパーティの提供者による、ネットワーク運営者のネットワークの悪用を心配することがある。そのような使用はまた、運営者が善意を失うことにつながり、結果として顧客を失うことになる。

そのような望ましくない挙動の理由が、アプリケーションに悪意があることにより引き起こされることがある。しかし、アプリケーションはまた、誤動作している、すなわちバグがあるために、逸脱するやり方で動作していることがある。

したがって、このために、ユーザ端末のよりよいネットワーク制御を得る必要があり、この場合、より詳細には、サービスに関係する通信に対してユーザが使用している通信ネットワークを介して、この制御を提供する必要がある。本発明は、そのようなよりよい制御を提供することに向けられる。

ここで、本発明が、ＷＡＮ（広域通信ネットワーク）であってもよい通信ネットワークＮの限定しない例について詳細に説明される。ネットワークＮは、図１に示されている。図では、このネットワークＮは、セルラネットワーク、たとえばＵＭＴＳ（欧州移動通信システムの規格）ネットワークでも、ＬＴＥ（携帯電話の通信規格）ネットワークでもよい。しかしネットワークＮはまた、固定電話ネットワークでもよい。ネットワークＮには、本例では携帯電話である第１のユーザ端末ＵＴ１０が接続される。前述のように、携帯電話は、本発明が使用されることができるユーザ端末の一例でしかない。

通信ネットワークＮには、第１の基地局１２および第２の基地局１４があり、第１のユーザ端末１０はこれらのうち第１の基地局１２と通信状態にある。通信ネットワークＮには、第１の基地局１２を介してユーザ端末１０からイベント・データ・セットを受信するユーザ端末イベント・データ・セット収集ノードＵＴＥＣＮ２０も提供される。この場合、これらのイベント・データ・セットは、第１のイベント・データ・セットＥＤＳ１により例示される。そのようなイベント・データ・セットがどのように見えることがあるかは後でより詳細に説明される。

通信ネットワークＮには、ネットワークに接続されるユーザ端末と別の端末の間の通信セッションを処理する責任があるＧＧＳＮ（ゲートウェイＧＰＲＳ支援ノード）ノード１６の形のネットワークノードもある。より詳細には、ＧＧＳＮノード１６は第１のユーザ端末１０と別の端末の間の通信セッションを処理する責任がある。このＧＧＳＮノード１６はネットワーク内のトラフィックを阻むための１つまたは複数のファイアウォールを提供されることがある。ＧＧＳＮノード１６はまた、処理する通信セッションに対してネットワーク生成イベント・データ・セット、たとえばＣＤＲ（コール詳細レコード）の形のイベントレコードを提供する。これらのイベント・データ・セットは、第１のユーザ端末１０を含む通信セッションに基づき生成されたイベント・データ・セットを含む。ネットワークはまた、ネットワーク管理ユニットＮＭ２８を含む。

ネットワークＮには、ネットワーク・イベント・データ・セット収集ノードＮＥＣＮ１８もある。このノード１８は、ネットワーク生成イベント・データ・セット、たとえばＣＤＲを受信するためにＧＧＳＮノード１６と、およびＥＤＲ（イベントデータレコード）の形で料金レコードを受信するために課金システムＢＩＳ２９と通信する。この場合、ネットワーク・イベント・データ・セット収集ノード１８は、ＧＧＳＮノード１６からＥＤＲの形で第２のイベント・データ・セットＥＤＳ２を、ＧＧＳＮノード１６から同様にＥＤＲの形で第３のイベント・データ・セットＥＤＳ３を、課金システムＢＩＳ２９からＣＤＲの形で第４のイベント・データ・セットＥＤＳ４を、および最後にＧＧＳＮノード１６からＥＤＲの形で第５のイベント・データ・セットＥＤＳ５を受信するように示されている。ここでは、本発明を説明するためにイベント・データ・セットの数が限定されていることが理解されるべきである。一般に、さらに多くが通信ネットワークＮを通して送信されていることも理解されるべきである。

通信ネットワークＮには、イベント・データ・ベースＥＤＢ２２がさらにある。ユーザ端末イベント・データ・セット収集ノードＵＴＥＣＮ２０は、おそらく修正または処理後、第１のイベント・データ・セットＥＤＳ１を含むイベント・データ・セットをイベント・データ・ベースＥＤＢ２２内に記憶する。また、ネットワーク・イベント・データ・セット収集ノード１８は、第２イベント・データ・セットＥＤＳ２、第３イベント・データ・セットＥＤＳ３、および第４のイベント・データ・セットＥＤＳ４を含むイベント・データ・セットをイベント・データ・ベースＥＤＢ２２内に記憶する。しかし、イベント・データ・セットは様々なソースから得られるので、この場合、課金システムおよびネットワーク・イベント・データ・セット収集ノード１８から、同じイベントに関係するイベント・データ・セットが存在することがある。この場合、重複するイベント・データ・セットはイベント・データ・ベース２２内に記憶されない。このことは、第４のイベント・データ・セットＥＤＳ４と同じイベントに関係する第５のイベント・データ・セットＥＤＳ５がイベント・データ・ベースＥＤＢ２２内に記憶されないという事実により例示される。

通信ネットワークＮには、特定のユーザ端末の逸脱する挙動を決定するために、イベント・データ・ベース２２から第１および第２のグループのイベント・データ・セットを収集する、逸脱挙動決定装置ＤＢＤＤ２４の形のネットワークノードがさらにある。ここに示される本発明の一例では、特定のユーザ端末は第１のユーザ端末１０である。この場合、第１のグループは、第１のイベント・データ・セットＥＤＳ１により例示され、第２のグループは、第２イベント・データ・セットＥＤＳ２および第４のイベント・データ・セットＥＤＳ４により例示される。この場合、特定のユーザ端末すなわち第１のユーザ端末１０に逸脱する挙動があることを逸脱挙動決定装置２４が決定するかどうかに応じて、逸脱挙動決定装置２４は動作に影響を及ぼす１つまたは複数の変更を行う。この場合、動作に影響を及ぼすこれらの変更はまた、動作に影響を及ぼす変更メッセージを送信することを伴う。一例として、ここでは逸脱挙動決定装置２４は、ＧＧＳＮノード１６に関係する動作に影響を及ぼす第１の変更メッセージＣＩＡ１、ユーザ端末１０に関係する動作に影響を及ぼす第２の変更メッセージＣＩＡ２、ネットワーク管理ユニットＮＭ２８に関係する動作に影響を及ぼす第３の変更メッセージＣＩＡ３、およびサービス提供者ＳＰのサーバのような装置３１に関係する動作に影響を及ぼす第４の変更メッセージＣＩＡ４を送信する。この場合、このサービス提供者は通信ネットワークＮの一部ではない。また、この場合、第１のユーザ端末１０はネットワークの一部ではないと考えられるが、何らかの状況ではそうであると考えられることがある。

この場合、逸脱挙動決定装置２４は、第１のユーザ端末の逸脱する挙動があることを決定することができる。次に、これに関連するイベント・データ・セットが分析データベースＡＤＢ２６内に装置により記憶されることができ、このことが、第１のイベント・データ・セットＥＤＳ１、第２のイベント・データ・セットＥＤＳ２および第４のイベント・データ・セットＥＤＳ４がそこに記憶されることにより例示されている。

通信ネットワークＮ内の様々なノード、すなわち逸脱挙動決定装置２４、基地局１２および１４、データ収集ノード１８および２０、ネットワーク管理ユニット２８、ＧＧＳＮノード１６、課金システム２９、ならびにデータベース２２および２６はすべて、標準化されたコンピュータ通信プロトコル、たとえばＴＣＰ／ＩＰを使用して、互いに、およびネットワークの内側および外側の別のエンティティと通信することができる。したがって、通信はコネクションレスとなることがある。したがって、通信が行われることができる多くの経路があるので、通信は、図１では破線矢印により示される。しかし、第１のユーザ端末１０は、基地局１２と直接接続されており、この場合、基地局１２と直接無線接続されており、したがって、この接続は破線矢印で示されない。しかし、代替形態として、同様に無線インタフェースを介した通信が間接的であってもよいこと、すなわちユーザ端末が別のユーザ端末を介してネットワークと通信することが可能であることが理解されるべきである。

図２は、通信ネットワークと共に使用するための第１のユーザ端末１０の構成図を示す。ユーザ端末１０は、通信制御ユニットＣＣ３２に接続される無線通信インタフェースＷＣＩ３０を含む。通信制御ユニット３２は、典型的には通信プロトコルによる通信のような機能を提供するが、一方、インタフェースは、キャリアに対する信号の変調を提供する。この場合、通信制御ユニット３２はまた、機能制御ユニット３４に接続される。機能制御ユニット３４はユーザ端末１０の様々な機能を制御し、一般に、関連するプログラムメモリを有するプロセッサの形で提供される。次に、機能制御ユニット３４は、いくつかの機能ユニット、たとえば種々のアプリケーションを処理する様々なアプリケーション処理ユニットを提供する。１つのアプリケーション処理ユニットＡＰＰ３８が一例として示されている。この場合、アプリケーション処理ユニットは、サービス提供者により提供されるサービスに関係するアプリケーション、たとえばサービスを使用することを処理することができる。アプリケーション、たとえばアプリケーション処理ユニット３８により提供されるアプリケーションにユーザ端末１０のユーザをアクセスさせるために、このアプリケーション処理ユニット３８は、ここではキーパッドＫＰ３６である触覚ユーザ入力ユニットに接続される。ユーザ端末は、何らかのブロッキング基準に従って通信をブロックするように設定される端末ファイアウォールをさらに提供されることがある。

本発明で使用されるイベント・データ・セットを生成できるためには、機能制御ユニット３４はまた、イベント・データ・セット生成ユニットＥＤＳ＿ＧＥＮ４２を含む。このイベント・データ・セット生成ユニット４２はまた、触覚入力ユニット３６、機能制御ユニット３４内のクロック４０と同様に、通信制御ユニット３２にも接続される。この場合、機能制御ユニット３４内のユニットはプロセッサ上で実行されるプログラムコードとして提供され、機能制御ユニット３４の一部となるので、図では破線ボックスとして示されるが、別のエンティティは、実線のボックスとして示される。

図３は、本発明の第１の実施形態による逸脱挙動決定装置２４の構成図を示す。この実施形態では、逸脱挙動決定装置２４は、通信ネットワークの別の装置、または通信ネットワークと連絡を保つ別の装置と通信するための通信インタフェースＣＩ４８を含む。この通信インタフェース４８は、逸脱挙動決定ユニットＤＢＤＵ４４と同様にイベント・データ・セット相関ユニットＥＣＵ４６にも接続される。この場合、通信インタフェース４８は、コンピュータ通信ネットワークを介して通信するための一般の通信インタフェース、たとえばイーサネット通信インタフェースである。この場合、通信インタフェース４８は、通信ネットワーク上の通信を可能にするためのプロトコル処理機能をさらに含む。逸脱挙動決定ユニットＤＢＤＵ４４はまた、イベント・データ・セット相関ユニット４６に接続され、これらのユニット４４および４６もまた、プロセッサ上で実行されているとき、これらのユニットの機能を実行するためのプログラムコードを含む関連するプログラムメモリを有するプロセッサの形で有利に提供される。

図４は、イベント・データ・ベースＥＤＢ２２内に記憶されているイベント・データ・セットの第１のテーブルＴ１を示す。この場合、テーブルＴ１はいくつかの行を含み、各行は特定のイベントに関連付けられる。このテーブルＴ１は、ネットワーク関連イベントにさらに関連付けられる。このことは、このデータベースが、通信ネットワークと通信しているすべてのユーザ端末に関係する通信ネットワークにより記録されるイベントを含むことを意味する。ネットワークが大きい場合、そのような多数のイベントが記録されることができる。ここでは、本発明の説明を簡略化するために、数は３つに限定される。第１のテーブルＴ１には、第２のイベント・データ・セットＥＤＳ２、第３のイベント・データ・セットＥＤＳ３、および第４のイベント・データ・セットＥＤＳ４が記憶される。これらのイベント・データ・セットそれぞれに対して、ユーザ端末を示す通信標識、あるいは、ＩＭＳＩ、ＩＭＥＩ、またはユーザ端末に関連する携帯電話番号でもよいユーザ端末識別子ＩＤが提供される。

通信セッション識別データもある。通信セッション識別データは、関係するユーザ端末を含む通信セッションに関係するソースおよび宛先のデータを含む。ここでは、通信セッション識別データは、典型的にはＩＰアドレスであるソースアドレスＳ＿ＡＤＲおよびソースポート番号Ｐ、典型的には同様にＩＰアドレスである宛先アドレスＤ＿ＡＤＲおよび宛先ポート番号Ｐを含む。ソースアドレスまたは宛先のアドレスがまた、ユーザ端末を識別する通信標識として使用されることができる。通信セッション識別データはまた、通信セッションベアラ識別子またはキャリアデータＣと同様に通信セッションに関係する時間データＴも含む。また、プロトコルデータが含まれることができる（図示せず）。最後に、この例での各イベント・データ・セットはまた、イベント・データ・セットが関連付けられるサービスＳを識別する識別子の形でサービスを識別するデータを含む。本発明の機能を例示するため、第２のイベント・データ・セットＥＤＳ２は、第１のユーザ端末１０の識別子ＵＴ１、この第１のユーザ端末に関連するソースアドレスＡＤＲ１およびソースポート番号Ｐ１、この場合図１のサービス提供者に関連付けられる宛先アドレスＡＤＲ２および宛先ポート番号Ｐ２、第１のタイプのキャリアの識別子Ｃ１と同様に第２のイベント・データ・セットＥＤＳ２が生成されたイベントの継続時間を示す時間データＴ１−Ｔ２、ならびにこの場合図１のサービス提供者に関連するサービスである関連するサービスを識別する識別子Ｓ１を含む。

同じやり方で、第３のイベント・データ・セットＥＤＳ３は、別のユーザ端末の識別子ＵＴ２、この別のユーザ端末に関連するソースアドレスＡＤＲ３およびソースポート番号Ｐ１、この場合別のサービス提供者に関連付けられる宛先アドレスＡＤＲ４および宛先ポート番号Ｐ２、第１のタイプのキャリアＣ１と同様にイベントの継続時間を示す時間データＴ１−Ｔ２、ならびにこのように第２のイベント・データ・セットＥＤＳ２に関連するサービスと異なるサービスである関連するサービスを識別する識別子Ｓ２を含む。第４のイベント・データ・セットは、同様に第１のユーザ端末１０の識別子でもある識別子ＵＴ１、このユーザ端末に関連するソースアドレスＡＤＲ１およびソースポート番号Ｐ１、この場合も同様に図１のサービス提供者に関連付けられる宛先アドレスＡＤＲ２および宛先ポート番号Ｐ１、第２のタイプのキャリアＣ２と同様にイベントの継続時間を示す時間データＴ３−Ｔ４、ならびに第２のイベント・データ・セットＥＤＳ２に対して識別されたサービスと同じ関連するサービスを識別する識別子Ｓ１を含む。

前述のように、ここに示されるイベント・データ・セットは例示しているだけであり、テーブルは、一般にさらに多くのイベント・データ・セットを含む。各イベント・データ・セットはまた、プロトコル識別データ、たとえばＴＣＰ、ＵＤＰ、およびＨＴＴＰのプロトコルを識別するデータを含むことができる。図４のテーブルＴ１では、イベント・データ・セットはすべて、ユーザ端末に関連するソースアドレス、およびサービス提供者に関連する宛先アドレスを識別した。テーブルで分類されたイベント・データ・セットはまた、一般に、ユーザ端末が宛先アドレスを有し、別の装置がソースアドレスを有するイベント・データ・セットを含むことがここでは理解されるべきである。この場合、ユーザ端末が通信するエンティティのアドレスは、イベントデータが関連付けられるサービス提供者のアドレスと異なるアドレスとすることができる。したがって、そのアドレスは別のエンティティのアドレスとすることができる。

図５は、イベント・データ・ベース２２内に記憶されているイベント・データ・セットの第２のテーブルＴ２を示す。このテーブルＴ２は第１のテーブルと同じ構造を有し、したがって、同じタイプのデータを含む。しかし、このテーブルＴ２は、特定のユーザ端末により生成されているイベントデータに関係するイベント・データ・セットだけを含む。図５のこのテーブルは、図１の第１のユーザ端末とさらに関連付けられる。一般に、本発明により、逸脱する挙動に関して精査されるべき各ユーザ端末に対して１つのそのようなテーブルが提供される。

より詳細には、第２のテーブルＴ２は、第１のイベント・データ・セットＥＤＳ１、第６のイベント・データ・セットＥＤＳ６、および第７のイベント・データ・セットＥＤＳ７のデータを含む。第１のイベント・データ・セットＥＤＳ１は、第１のユーザ端末の識別子ＵＴ１、この第１の端末に関連するソースアドレスＡＤＲ１およびソースポート番号Ｐ１、この場合図１のサービス提供者に関連付けられる宛先アドレスＡＤＲ２および宛先ポート番号Ｐ２を含み、さらに第１のタイプのキャリアＣ１と同様にイベントの継続時間を示す時間データＴ１−Ｔ４、およびこの場合図１のサービス提供者に関連するサービスである関連するサービスを識別する識別子Ｓ１がある。第６のイベント・データ・セットＥＤＳ６は、第１のユーザ端末の識別子ＵＴ１、この第１の端末に関連するソースアドレスＡＤＲ１およびソースポート番号Ｐ１、図１のサービス提供者に関連付けられる宛先アドレスＡＤＲ２および宛先ポート番号Ｐ２、第１のタイプのキャリアＣ１と同様にイベントの継続時間を示す時間データＴ５−Ｔ６、および関連するサービスを識別する識別子Ｓ１を含む。最後に、第７のイベント・データ・セットＥＤＳ７は、第１のユーザ端末の識別子ＵＴ１、サービス提供者に関連するソースアドレスＡＤＲ５およびソースポート番号Ｐ５、この第１のユーザ端末に関連する宛先アドレスＡＤＲ１および宛先ポート番号Ｐ１、第２のタイプのキャリアＣ２と同様にイベントの継続時間を示す時間データＴ７−Ｔ８、および関連するサービスを識別する識別子Ｓ２を含む。

ここで、本発明の第１の実施形態の機能が、前述の図１から図５に関してと同様に、ユーザ端末の逸脱する挙動を決定するための方法で行われているいくつかの方法ステップの流れ図を示す図６を参照して説明される。

第１のユーザ端末１０は、内容がイベント・データ・ベース２２の第２のテーブル内で終わるイベント・データ・セットをネットワークに提供する。この点で、イベントが、第１のユーザ端末が含まれ、音声、映像、または会議のセッションと同様に電子メッセージを送受信するようなメッセージング通信セッションであってもよい、通信セッションとすることができる。これを行うため、第１のユーザ端末１０のイベント・データ・セット生成ユニット４２は、キーパッド３６を監視する。次に、イベント・データ・セット生成ユニット４２は、キーパッド３６を介してユーザにより行われている触覚ユーザ入力のシーケンスを、すなわちどのキーが押されたか、および末端ユーザまたは顧客でもよいこのユーザによりそれらのキーがどの順序で押されたかを、記録する。触覚ユーザ入力シーケンスは、クロック４０を介して得られる時間とさらに相関させられる。

次に、この第１の実施形態では、シーケンスは、触覚入力の既知の基準シーケンスまたはシーケンスのテンプレートと比較され、マッピングされることにより、イベント・データ・セット生成ユニット４２により分析される。次に、そのような既知の１つのシーケンスが、典型的には、ネットワークを介してサービス提供者により提供されるサービスに関係するアプリケーションを選択しているユーザと関連付けられ、別のシーケンスがこのアプリケーションで行われている選択と関連付けられ、さらに別のシーケンスがアプリケーションの終了または選択解除と関連付けられることができる。アプリケーションは、たとえばＳＭＳまたはＭＭＳの送信アプリケーションのようなメッセージングアプリケーションでも、サービス提供者３１により提供されるサービスのクライアント側を処理するアプリケーションでもよい。この方法で識別されるアプリケーションは、第１のユーザ端末１０内のアプリケーション処理ユニット３８により処理されるアプリケーションでもよく、したがって、そのアプリケーション処理ユニットは、ユーザにサービスを提供するアプリケーションを処理する。

イベント・データ・セット生成ユニット４２はまた、通信制御ユニット３２からデータを受信し、その情報は、第１のユーザ端末が含まれる通信セッションの通信セッションデータを含む。この通信セッションデータは、ソースおよび宛先のアドレス、ならびに関連するポート番号、使用されるキャリア、ならびにこれらの通信セッションのタイミングを含む。この場合、この通信セッションデータはまた、これらのセッションに対して使用されるプロトコルに関する情報を受信することがある。触覚ユーザ入力データのシーケンスに基づき、次に、イベント・データ・セット生成ユニット４２は、サービス通信セッションがどれと関与されているかを決定し、情報たとえばユーザ端末識別子、アドレスデータ、キャリアデータ、タイミングデータ、およびサービス識別データを含むイベント・データ・セット、ならびに任意選択で識別されるそれぞれのそのような通信セッションに対するプロトコルデータを生成する。この場合、データは、第２のテーブルＴ２内の第１のイベント・データ・セットＥＤＳ１に対して示されるデータをすべて含むことができる。この場合、そのようなイベント・データ・セットは、ＸＭＬ−文書の形で有利に提供されることができる。この方法では、イベント・データ・セット生成ユニットは、第１のサービスＳ１に関係する第１のユーザ端末とサービス提供者３１との間の通信セッションに関する上述の情報を含む第１のイベント・データ・セットＥＤＳ１を生成し、第１のイベント・データ・セットＥＤＳ１を通信制御ユニット３２および無線通信インタフェース３０を介して、ユーザ端末イベント・データ・セット収集ノード２０に第１の基地局１２を介して送信する。次に、第１のユーザ端末１０は、第６イベント・データ・セットＥＤＳ６および第７のイベント・データ・セットＥＤＳ７のようなイベント・データ・セットをユーザ端末イベント・データ・セット収集ノードに送信し続けることができる。

ユーザ端末イベント・データ・セット収集ノード２０は、ユーザ端末１０内のイベント・データ・セット生成ユニット４２と対話することができる。対話は非同期式として、どちらの側からも開始されることができる。ユーザ端末イベント・データ・セット収集ノード２０は、ユーザにより明示的に無効にされなければ、イベント・データ・セット生成ユニット４２を制御することができることがある。したがって、ユーザ端末イベント・データ・セット収集ノード２０が第１のイベント・データ・セットＥＤＳ１を受信したとき、イベント・データ・ベース２２の第２のテーブルＴ２内にテーブル形式で記憶するために第１のイベント・データ・セットＥＤＳ１を修正する。したがって、ユーザ端末イベント・データ・セット収集ノード２０は、ＸＭＬ文書からデータを抽出し、そのデータをイベント・データ・ベース２２の第２のテーブルＴ２内に挿入するために転送する。ユーザ端末イベント・データ・セット収集ノード２０は、第１のユーザ端末内のイベント・データ・セット生成ユニットに２４時間ごと、毎週などのような繰り返しの時間間隔で、イベント・データ・セットを供給するように要求することができる。ユーザ端末イベント・データ・セット収集ノードは、イベント・データ・セット生成ユニットにより生成されるイベント・データ・セット内にどのデータが含まれるべきかを、すなわち第１のユーザ端末内のイベント・データ・セット生成ユニットがどのデータを収集すべきかをさらに決定することができる。したがって、ネットワーク運営者は、どのイベント・データ・セットが収集されるべきか、イベント・データ・セットは何を含むべきか、およびイベント・データ・セットが供給される形式を決定することができる。

これが行われる間、ネットワーク・イベント・データ・セット収集ノード１８は、ＧＧＳＮノード１６からＣＤＲの形でイベント・データ・セットを収集する。この場合、ネットワークイベント・データ・セット収集ノード１８は、ＧＧＳＮノード１６から第２のイベント・データ・セットＥＤＳ２、第３のイベント・データ・セットＥＤＳ３、および第５のイベント・データ・セットＥＤＳ５を受信し、第４のイベント・データ・セットＥＤＳ４を課金システム２９からＥＤＲの形で受信し、第２のイベント・データ・セットＥＤＳ２、第４のイベント・データ・セットＥＤＳ４、および第５のイベント・データ・セットＥＤＳ５は、第１のユーザ端末１０、および第１のユーザ端末１０と第１のサービスＳ１に関係するサービス提供者３１の間の通信セッションに関連付けられ、一方、第３のイベント・データ・セットＥＤＳ３は、別のサービスＳ２に関係する別のユーザ端末、および別のネットワークエンティティの通信セッションに関連付けられる。次に、ネットワークイベント・データ・セット収集ノード１８は、第１のイベント・データ・セットＥＤＳ、第３のイベント・データ・セットＥＤＳ３、および第４のイベント・データ・セットＥＤＳ４からデータを抽出し、これらに基づき新しいイベント・データ・セットを提供し、それらをイベント・データ・ベース２２内の第１のテーブルＴ１のテーブルの形で記憶する。イベント・データ・セットがＧＧＳＮノードと同様に課金システムからも受けとられるので、前述のように、同じ活動に関係するイベント・データ・セットが受けとられるという危険性、すなわち重複する情報があるという危険性がある。この場合、冗長なイベント・データ・セットが取り除かれる。したがって、第１のテーブルは、重複する項目を回避するためだが、同様に、壊れたデータを回避するために、不要なものが取り除かれることができる。本例では、第５のイベント・データ・セットＥＤＳ５が第４のイベント・データ・セットＥＤＳ４と同じ情報を含み、したがって、イベント・データ・ベース２２内に記憶されない。ここでは、当然、第５のイベント・データ・セットがイベント・データ・ベース内に記憶されるが、第４のイベント・データ・セットが記憶されないという点で状況が逆にされることがあることが理解されるべきである。ネットワークイベント・データ・セット収集ノード１８はまた、たとえばＧＧＳＮノード１６に関係して提供されるネットワークファイアウォールを制御することができることがある。

この方法では、イベント・データ・ベース２２の第１のテーブルＴ１は、ネットワーク内のいくつかのユーザ端末に関係するネットワーク生成イベント・データ・セットで満たされ、イベント・データ・ベース２２の第２のテーブルＴ２は、特定の第１のユーザ端末１０だけに関係する、したがって特定のユーザ端末内のイベントだけに関係するユーザ端末生成イベント・データ・セットで満たされる。

次に、特定のユーザ端末が第１のサービスＳ１に関係する逸脱する挙動を有するかどうかを決定するために、第１のユーザ端末１０に関係するイベント・データ・セットが逸脱挙動決定装置２４により精査される。

この過程を簡略化するために、この第１の実施形態では逸脱挙動決定装置２４の一部であるイベント・データ・セット相関ユニット４６が、イベント・データ・セットを互いに相関させる、すなわちイベント・データ・セット相関ユニット４６が第１および第２のテーブル内のどのイベント・データ・セットが互いにリンクされているかを決定する。イベント・データ・セット相関ユニットは、一方のテーブルから１つのイベント・データ・セットを取り出し、他方のテーブル内で一致を見つけ出す。どの方法で相関探索を開始するべきかは、イベント・データ・セットが受信される順序に依存する。相関関係は別個のデータベース内に記憶されるか、またはイベント・データ・ベース２２内に依存関係として記憶されることができる。端末データとネットワークデータの間の相関は、ユーザごとに基づき、かつ端末側とネットワーク側の両方でのログイン時間に基づき実行されることができる。メッセージを同期させるために、ユーザ端末イベント・データ・セット収集ノードとネットワーク・イベント・データ・セット収集ノードの間に相対クロックがさらに保持されることができる。第１および第２のグループ内にどのイベント・データ・セットが提供されるべきかの決定は、たとえば共通の期間中に同じサービスにリンクされているイベント・データ・セットを通して行われることができる。

したがって、イベント・データ・セット相関ユニット４６は、イベント・データ・ベース内のイベント・データ・セットを探索するために通信インタフェース４８を介してイベント・データ・ベース２２に接続する。より詳細には、イベント・データ・セット相関ユニット４６は、少なくとも１つのイベント・データ・セットを含む第２のテーブルＴ２内のイベント・データ・セットから第１のグループのイベント・データ・セット、および第１のテーブルＴ１内のイベント・データ・セットから少なくとも１つのイベント・データ・セットを同様に含む第２のグループのイベント・データ・セットを形成する。イベント・データ・セットはすべて同じサービスと同様に同じ特定のユーザ端末にリンクされるいくつかのイベントと関係がある。ここで示される例では、第１のグループは、この場合時間間隔Ｔ１−Ｔ４に設定される一定時間間隔でのサービスＳ１に関係する第１のユーザ端末を含むすべてのイベント・データ・セットから作られる。同様のやり方で、第２のグループは、同じサービスおよび同じ時間間隔に関係する第１のユーザ端末を含むすべてのイベント・データ・セットから作られる。このことから、第１のグループは、例では１つのイベント・データ・セット、すなわち第１のイベント・データ・セットＥＤＳ１だけを含むが、第２のグループは、２つのイベント・データ・セット、すなわち第２イベント・データ・セットＥＤＳ２および第４のイベント・データ・セットＥＤＳ４を含むことが理解されることができる。次に、これらの相関関係するグループは、この第１の実施形態に従って、これらのグループが互いに相関関係があるというマーキングを伴いイベント・データ・ベース２２の中に戻して記憶される。

相関関係するイベント・データ・セットは、代替として、逸脱する挙動を決定するために逸脱挙動決定ユニット４４に直接アクセスできる別個の相関データベース内に記憶されることができる。第１および第２のグループはさらに、第１のユーザ端末が逸脱する挙動を有するかどうかを直接決定するために、逸脱挙動決定ユニット４４に直接提供されることができる。イベント・データ・セット相関ユニットはまた、たとえば対応するプログラムメモリがネットワーク・インタフェース・ユニットに接続されるプロセッサを通して通信ネットワーク内の別個の装置またはネットワークノードとしてさらに提供されることができる。

第１のユーザ端末が逸脱する挙動を有するか有しないかを決定するために、この第１の実施形態による逸脱挙動決定装置２４の逸脱挙動決定ユニット４４は、通信インタフェース４８を介してイベント・データ・ベース２２内の第２のテーブルＴ２から第１のグループのイベント・データ・セットを得る。ここで示される例では、第１のグループは、第１のイベント・データ・セットＥＤＳ１だけを含んでいたので、ステップ５０で、イベント・データ・ベース２２の第２のテーブルＴ２から第１のイベント・データ・セットＥＤＳ１を取り出す。その後、逸脱挙動決定ユニット４４は、通信インタフェース４８を介してイベント・データ・ベース２２の第１のテーブルＴ１から第２のグループのイベント・データ・セットを得る。この場合、第２のグループは第２のイベント・データ・セットＥＤＳ２および第４のイベント・データ・セットＥＤＳ４だけを含むので、逸脱挙動決定ユニット４４は、ステップ５２で、通信インタフェース４８を介してイベント・データ・ベース２２内の第１のテーブルＴ１から第２のイベント・データ・セットＥＤＳ２および第４のイベント・データ・セットＥＤＳ４を取り出す。これが行われたとき、次に、逸脱挙動決定ユニット４４は第１のグループのイベント・データ・セットおよび第２のグループのイベント・データ・セットを含む比較を行い、この場合、第１のグループのイベント・データ・セットを第２のグループのイベント・データ・セットと比較する。ここに示される具体的例では、逸脱挙動決定ユニット４４は、ステップ５４で、第１のイベント・データ・セットＥＤＳ１を第２のイベント・データ・セットＥＤＳ２および第４のイベント・データ・セットＥＤＳ４とさらに比較する。

比較は、イベント・データ・セット内の通信セッション関連データ、およびサービス関連データ、たとえばキャリア、セッションの継続時間、使用されるアドレスおよび／またはポート番号、ならびに多分プロトコルの任意に関して行われることができる。比較は、同様にまたはさらに、２つのグループ内のイベント・データ・セットの数、たとえば第１のグループ内よりも第２のグループ内に多くのイベント・データ・セットがあるかどうかに関する比較とすることができる。比較はさらに、イベント・データ・セットが振る舞うべきように振る舞っているかどうか、すなわちイベント・データ・セットがサービスに対して提供される１組の規則に従っているか、たとえばイベント・データ・セットが好ましいキャリアを使用しているか、またはグループがイベント・データ・セットの正しいシーケンスを含むかに関する比較とすることができる。挙動の比較はさらに、２つのグループ内のイベント・データ・セットにより示されるトラフィックの量が、サービスに関して発生すべきトラフィックの量から逸脱しているか、たとえば発生すべきものよりも多くのトラフィックがあるかどうかとすることができる。この場合、トラフィックの逸脱する量は、通信セッションの長さ、ならびに使用されるキャリアのタイプおよびプロトコルを通して決定されることができる転送されるデータの逸脱する量でもよい。トラフィックの逸脱する量はまた、おそらくキャリアおよび／またはプロトコルに従って分類される通信セッションの逸脱する数とすることができる。したがって、逸脱挙動決定ユニットは、逸脱する挙動を見つけ出すために相関関係するイベントを調べる。たとえば、第１のグループが、１つのＳＭＳが送信されたことを示し、第２のグループが、３つのＳＭＳが送信されたことを示す場合、逸脱する挙動が決定されることができる。この例示する実施形態では、比較されるのがイベント・データ・セットの数である。時間間隔Ｔ１−Ｔ４には、第１のユーザ端末を含む別個の通信セッションとそれぞれ関連付けられる２つのイベント・データ・セットＥＤＳ２およびＥＤＳ５が第２のグループ内にあるが、第１のグループ内には１つＥＤＳ１だけがあることを理解されることができる。第５のイベント・データ・セットＥＤＳ５は、第２のタイプのキャリアＣ２をさらに使用しているが、第１および第２のイベント・データ・セットは第１のタイプのキャリアＣ１を使用している。これらの違いの１つまたは複数に基づき、逸脱挙動決定装置２４の逸脱挙動決定ユニット４４は、２つのグループ間に相違があることを決定する。第２のグループ内のイベント・データ・セットの１つが、料金レコード、すなわち第４のイベント・データ・セットＥＤＳ４から得られることを理解されることができる。本例では、このことが、対応するイベント・データ・セットが第１のグループ内にないキャリアＣ２を通して識別される電子メッセージに関係がある。

したがって、逸脱挙動決定ユニットは、逸脱する挙動をフィルタにかけて取り出し、このことは、サービスの正常な挙動と、第１のグループ内および第２のグループ内のイベント間の、サービスの正常な挙動の相関関係とを比較することを通して行われることができる。新しいサービスが正常な条件から逸脱する、または古いサービスが異なった振る舞いを始めるとき、警報が出されることがある。

ステップ５６で、相違がある場合、すなわち内容および／または数に相違がある、ならびに／あるいは正常な挙動からの相違がある場合、逸脱挙動決定ユニット４４は、ステップ６０で、特定のユーザ端末が逸脱する挙動を有することを決定するが、ステップ５６で、相違がない場合、逸脱する挙動が決定されず、ステップ５８で、精査が終了される。

ステップ６０で、逸脱する挙動が決定される場合、ステップ６２で、逸脱挙動決定ユニット４４は、どのサービスＳが逸脱する挙動に関連付けられるかを決定する、すなわち逸脱する挙動にリンクされるユーザ端末に対するサービスを決定し、そのサービスは典型的には第１のユーザ端末に関与する１つまたは複数の通信セッションを含む。このことは、比較されたデータセット内のサービス設定を精査することを通して行われることができる。異なる設定がある場合、一方のグループ内の設定が、関連するサービスを規定する設定であることがある。この場合、サービスは、第１のサービスＳ１であると決定される。したがって、逸脱する挙動の存在は、比較に基づき決定される。その後、ステップ６４で、逸脱挙動決定ユニット４４は、特定のユーザ端末とサービスの両方を含む動作の変更を得るために、動作に影響を及ぼす少なくとも１つの変更ＣＩＡを行う。したがって、動作に影響を及ぼす変更は、影響を及ぼす変更のメッセージを送信することとすることができるが、このメッセージは、サービスに関係する、第１のユーザ端末を含む、影響を及ぼす通信セッションに対するメッセージであることができる。これは、サービスに関係する通信を停止する、ネットワーク要素への指示でもよい。したがって、動作に影響を及ぼす変更は、ネットワークファイアウォール内の一部の特定のソフトウェアに対するネットワークアクセスに関係するブロッキングを導入する、ＧＧＳＮノードへの指令とすることができる。したがって、動作に影響を及ぼす変更が、ＧＧＳＮノードへの指示、またはコマンドの形で動作に影響を及ぼす第１の変更メッセージＣＩＡ１の送信、またはユーザ端末１０への指示またはコマンドとして動作に影響を及ぼす第２の変更メッセージＣＩＡ２の送信とすることができる。そのようなメッセージは、ユーザ端末に対するサービスに関する制限を強制することができる。第１のユーザ端末に送信されるとき、指示はイベント・データ・セット生成ユニット４２に有利に送信され、指示は、たとえば端末ファイアウォールを制御することを通して悪意があると疑われるソフトウェアに対してアクセスをフィルタにかけるまたはブロックすることが行われるブロッキング機能を含むことができる。したがって、ユーザ端末内のイベント・データ・セット生成ユニット４２は、端末ファイアウォールを制御することによりアプリケーション処理ユニットの悪意のあるソフトウェアを停止させるか、または一時的にブロックするフィルタリング機構の役割を果たすことができる。このことはいくつかの異なる方法で、すなわち１）ソフトウェアが実行されるのを完全にブロックすること、２）ソフトウェアに対するすべてのネットワークアクセスをブロックすることで行われることができる。

逸脱挙動決定ユニットは、詐欺的な挙動を取り出して悪意のあるソフトウェアを分類するために、機械学習技法をさらに含むことができる。端末からの動作をネットワークデータと相関させることにより、ネットワーク内の故障またはソフトウェア内のバグが検出されることができ、この情報がユーザおよびサービス提供者の両方にとって有用となり得る。

したがって、ＧＧＳＮ１６およびユーザ端末１０に関係する使用される動作に影響を及ぼす変更はまた、警報または警報メッセージ、すなわち逸脱する挙動に影響を及ぼし得る装置への通知メッセージの送信とすることができる。送信されることができる動作に影響を及ぼす第３の変更メッセージＣＩＡ３および／または動作に影響を及ぼす第４の変更メッセージＣＩＡ４は、逸脱する挙動に関してこれらのメッセージを通知するために、ネットワーク管理ユニット２８または識別されたサービス提供者３１に送信されることができる警報または警報メッセージである。この場合、コマンドまたは警報のような、動作に影響を及ぼす変更メッセージのタイプ、およびそのような動作に影響を及ぼす変更メッセージの受信エンティティが、逸脱の程度またはタイプに基づき選択されることができる。警報または警報メッセージの場合、受信エンティティはその後、第１のユーザ端末に関連して行われるべき適切な動作を決定することができる。動作に影響を及ぼす変更はまた、ユーザ端末１０の特定のサービスに対してキャリアを変更する指示、たとえば第２のキャリアから第１のキャリアへの変更を送信することを伴うことができる。また、ユーザ端末に対する影響を及ぼす変更メッセージをそのような指示メッセージとすることができる。

その後、相違が見つけ出されたイベント・データ・セットは、第１の実施形態に従って、ステップ６６で、通信インタフェース４８を介して分析データベースＡＤＢ２６内の逸脱挙動決定ユニット４４により記憶される。これは、逸脱するパターンの分析がユーザ端末に対して行われることができるようにするために行われる。次に、このことが、正常な挙動であると考えられるパターンを変更するために使用されることができる。これが行われた後、ステップ６８で分析が終了される。

分析データベース内で相違が見つけ出されたこれらのイベント・データ・セットを記憶することを通して、逸脱挙動決定装置またはネットワーク内の別のノードが、分析データベースからイベント・データ・セットを取り出し、これらの取り出されたイベント・データ・セットを分析し、次に、逸脱する挙動に対する規則を変更することができる。

逸脱する挙動は、以下のオプションのうちの１つまたは複数を使用することにより対処されることができる。
ａ．ユーザ端末のイベント・データ・セット生成ユニット内でサービスを一時的にブロックすること。
ｂ．ユーザに通知すること。
ｃ．ネットワーク内の識別されたサービスからのイベントをブロックすること。
ｄ．ネットワーク管理システムに警報すること。

さらに、逸脱挙動決定装置は、以下をすることができる。
ｅ．明示的ログを生成すること。
ｆ．識別されたサービスの別のユーザに対する確認を実行すること。
ｇ．ユーザ入力を必要とすること。

適切な即時の動作が取られたとき、逸脱挙動決定装置は、サービスを処理するための長期の規則を運営者が生成することができるようにするフォローアップのために、識別されたサービスにフラグを立てる。ユーザからの明示的フィードバックが、真に逸脱する挙動、およびサービスの状況では正常である挙動を識別するために使用されることができる。

本発明を通して、ユーザ端末内のイベント・データ・セット生成ユニットは、ユーザ端末とユーザの対話を記録し抽出することができる。ユーザ端末内に記録される情報のタイプは、この情報が、ネットワークと端末の対話による結果としてネットワーク内に残される情報／トレースと比較することができるように、ネットワークから制御され、さらにタイムスタンプを押される。

逸脱挙動決定装置により実現されるような本発明はまた、端末上に展開される悪意のあるソフトウェアの検出を可能にする。検出することができる典型的な悪意のある使用法の例が以下を含む（がそれに限定されない）。

ＳＭＳ／ＭＭＳの送信：ユーザにより送信されるＳＭＳ／ＭＭＳメッセージの数がネットワーク側から見られたＳＭＳ／ＭＭＳメッセージと一致することを確認すること。このことは、ユーザの同意なしにバックグラウンドでＳＭＳ／ＭＭＳを送信するソフトウェアの検出を認める。

データアクセス：ネットワークへのすべてのパケット・データ・アクセスがユーザにより意図され、悪意のあるソフトウェアに隠されていないことを検出する。このことは、メガバイト（ＭＢ）当たりの費用が非常に高いローミング状況で特に重要である。

プライバシ情報：ユーザにより意図されたとき、ユーザに関する情報、すなわちユーザの電話帳だけがアップロード／ダウンロードされることを検出する。

電話で呼び出すこと。ＳＭＳの送信に類似して、本発明は、ユーザにより発せられない電話呼び出しを検出することができ、したがって、たとえば高額料金の電話番号にソフトウェアが呼び出すことを防ぐ。すなわち、ユーザは市内通話を行っていると考えているが、多大な費用が関連付けられる番号を呼び出していることになる。

したがって、本発明にはいくつかの別の有利な点がある。本発明はサードパーティのサービス提供者によるネットワーク悪用を回避する。本発明は、末端ユーザ、すなわち顧客により使用されるときにユーザ端末の安全性を高める。このことは、サービス提供者により提供されるサードパーティのアプリケーションが末端ユーザによりユーザ端末の中にダウンロードされた後にさらに行われることができる。有利な点は、不明瞭なサービスの監視、ユーザ対話とネットワークトラフィックの相関関係、詐欺的挙動の検出、悪意のあるソフトウェアの検出、ソフトウェア内の欠陥の検出、端末およびネットワークの動作を同期させることにより端末ファイアウォールを絶えず最新に保つのに役立つこと、不必要な多くの時間を消費するロギングの必要性を最小にする、ネットワークからのユーザ端末監視を制御すること、およびユーザ端末ファイアウォールとネットワークファイアウォールの両方での状態を制御する／同期させる実現性を可能にすることをさらに含むが、それに限定されない。

第１の実施形態では、イベント・データ・セット生成ユニットが、どのサービスが特定のイベントに関連付けられたかを決定した。本発明によれば、このことはネットワーク内で代わりに行われることができる。本発明の第２の実施形態によれば、このことが、逸脱挙動決定装置２４により行われる。

図７は、この第２の実施形態による修正された逸脱挙動決定装置２４の構造図を示す。この図には、逸脱挙動決定ユニット４４およびイベント相関ユニット４６に加えて、通信インタフェースに接続されるイベント・データ・セット修正ユニット７０がある。

図８は、図７のイベント・データ・セット修正ユニット７０により実行されるいくつかのステップの流れ図を示す。ここでは、ユーザ端末のイベント・データ・セット生成ユニットが第１の実施形態で説明されるようにイベントに関係するデータを収集する。しかし、ユーザ端末のイベント・データ・セット生成ユニットは、サービスへの触覚入力シーケンスのどんなマッピングも行わず、代わりに、逸脱挙動決定装置２４のイベント・データ・セット修正ユニット７０に、たとえばＸＭＬファイルの形で通信セッションデータと一緒に触覚入力シーケンスデータを送信する。このイベント・データ・セットＥＤＳは、触覚入力シーケンスデータＴＩＳＤ、すなわちユーザ端末ＵＴ１０の中に作られる触覚ユーザ入力のシーケンスを識別するデータと一緒に、前述の通信セッション識別データを含み、したがって、ステップ７２で、イベント・データ・セット修正ユニット７０により受信される。次に、触覚ユーザ入力シーケンスデータＴＩＳＤは、ステップ７４で、第１の実施形態においてユーザ端末内で行われたのと同じ方法で基準シーケンスデータＲＳＤにマッピングされ、次に、ステップ７６で、このマッピングに基づきサービスＳが決定される。その後、イベント・データ・セット修正ユニットは、ステップ７８で、第１のイベント・データ・セットＥＤＳ１を生成するために、すなわち所与の例ではサービスＳ１であった関連するサービスＳを識別するデータをも含むために、イベント・データ・セットＥＤＳを修正する。その後、イベント・データ・セット修正ユニット７０は、ステップ８０で、修正されたイベント・データ・セットＥＤＳ１をイベント・データ・ベースＥＤＢ内に記憶する。

この場合、この修正は、逸脱挙動決定装置２４内で行われる必要がないが、全く同様に通信ネットワークのユーザ端末のイベント・データ・セット収集ノード内、または別個のイベント・データ・セット修正ノード内で実行されることができたことが理解されるべきである。

イベント・データ・ベースが使用されるのではなく、逸脱挙動決定装置が、逸脱する挙動をリアルタイムで決定することがさらに可能である。この場合、逸脱挙動決定装置は、通信インタフェースと一緒に、逸脱挙動決定ユニットだけを含むことができる。代替として、逸脱挙動決定装置はまた、イベント・データ・セット修正ユニットと組み合わせられることができる。

図９は、そのような逸脱挙動決定装置２４が、逸脱挙動決定ユニットおよび通信インタフェースだけを含む本発明の第３の実施形態によるシナリオを概略示す。この場合、第１のユーザ端末１０は、以前のように、第１の基地局１２と通信しており、第１の基地局１２は、同様にＧＧＳＮノード１６に接続される。このＧＧＳＮノード１６にさらに接続されるのが、ＰＥＰ（ポリシー制御ポイント）ユニット８１である。このＰＥＰユニット８１は、課金システム２９に送信されるＥＤＲの形でネットワーク・イベント・データ・セットを生成し、前に説明された第４のイベント・データ・セットＥＤＳ４がそのようなイベント・データ・セットの一例として示される。そのようなイベント・データ・セットは、通信セッションが終了されるとすぐに形成される。次に、このイベント・データ・セットＥＤＳ４はまた、逸脱挙動決定装置２４に送信される。この場合、第１のユーザ端末１０はまた、ユーザ端末関連イベント・データ・セットが生成されるとすぐに、逸脱挙動決定装置２４にユーザ端末関連イベント・データ・セットを送信し、したがって、前に説明された第１のイベント・データ・セットを同様に送信するように構成される。一例として、この場合、逸脱挙動決定装置２４は、第１のイベント・データ・セットＥＤＳ１および第４のイベント・データ・セットＥＤＳ４を直接受信する。この場合、第１のイベント・データ・セットがメッセージングセッションに関連付けられる場合、このことは、この場合キャリアあるいはＳＭＳまたはＭＭＳの情報が課金レコードと比較されることを意味する。次に、これらのイベント・データ・セットは逸脱挙動決定装置の逸脱挙動決定ユニット内で処理され、逸脱する挙動が決定される場合、動作に影響を及ぼす変更が、たとえばＧＧＳＮノード１６に指令ＣＩＡ１を送信することが行われる。

本発明から作られることができる別の変形形態がいくつかある。上記で説明されるテーブルでは、別個のユーザ端末識別子が省かれることが可能である。次に、特にダイナミックアドレッシング方式の代わりに固定アドレッシング方式が使用される場合、ユーザ端末がソースアドレスまたは宛先のアドレスにより一意に識別されることができる。テーブルはまた、別個のデータベース内に提供されるか、または第３の実施形態のように完全に省かれることができる。逸脱する挙動が既に決定されたイベント・データ・セットの分析、および対応する分析データベースはまた、当然省かれることができる。基地局は、接続されるユーザ端末との間の様々なタイプのトラフィックを阻止するファイアウォールを提供されることがある。したがって、逸脱挙動決定装置、ネットワークイベント・データ・セット収集ノード、またはＧＧＳＮノードはまた、サービスに関係するトラフィックを阻止するためにこれらの基地局と通信することができる。基地局はまた、ネットワーク生成イベント・データ・セット、たとえばＣＤＲを提供するように構成されることができる。したがって、ネットワークイベント・データ・セット収集ノードはまた、ネットワーク生成イベント・データ・セットを受信するために、これらの基地局と通信することができる。

逸脱挙動決定装置は、前に説明されたように、逸脱挙動決定ユニットの機能と同様に、イベント・データ・セット相関ユニットおよびイベント・データ・セット相関ユニットが逸脱挙動決定装置内に含まれる場合に、イベント・データ・セット相関ユニットおよびイベント・データ・セット相関ユニットの機能を実行するためのコンピュータ・プログラム・コードを含む関連するプログラムメモリを有するプロセッサの形で有利に提供されることができる。このユニットまたはこれらのユニットはまた、たとえばＡＳＩＣ回路の形のようなハードウェアの形で提供されることができることが理解されるべきである。コンピュータ・プログラム・コードはまた、サーバの中にロードされたとき、逸脱挙動決定装置の上記で説明されたユニットの機能を実現するコンピュータ読出可能手段で、たとえばＣＤ ＲＯＭディスクまたはメモリスティックのようなデータ記憶媒体の形で提供されることができる。そのようなコンピュータ・プログラム・コードを含むコンピュータ・プログラム・コード８４を有するＣＤ ＲＯＭディスク８２の形でそのような１つのコンピュータプログラム製品が、図１０に概略示されている。

プログラムコードはまた、純粋なコンピュータプログラムとして提供されることができる。この一例が、第１の実施形態による逸脱挙動決定装置のためのコンピュータプログラム８４を概説する図１１に示されている。このコンピュータプログラム８４は、図３に描かれる逸脱挙動決定ユニットの機能を実現するコンピュータプログラム命令ＩＮＳＴＲを含む逸脱挙動決定関数（ＤＥＶＩＡＴＩＮＧ ＢＥＨＡＶＩＯＵＲ ＤＥＴＥＲＭＩＮＩＮＧ ＦＵＮＣＴＩＯＮ）と名付けられるコンピュータ・プログラム・モジュール、および図３に描かれるイベント・データ・セット相関ユニットの機能を実現するコンピュータプログラム命令ＩＮＳＴＲを含むＥＤＳ相関関数（ＥＤＳ ＣＯＲＲＥＬＡＴＩＮＧ ＦＵＮＣＴＩＯＮ）と名付けられるコンピュータ・プログラム・モジュールを含む。代替として、イベント・データ・セット修正ユニットを提供するコンピュータ・プログラム・モジュールも含まれることができ、イベント・データ・セット相関ユニットを実現するコンピュータ・プログラム・モジュールが除外されることができる。

したがって、コンピュータプログラムは、逸脱する挙動を決定するための装置内にロードされたとき、この装置に第１および第２のグループのイベント・データ・セットを得させ、両方のグループのイベント・データ・セットを含む比較を行わせ、比較に基づき特定のユーザ端末の逸脱する挙動の存在を装置に決定させるコンピュータ・プログラム・コード手段またはコンピュータプログラム命令を含むことができる。

逸脱する挙動の存在の決定では、コードはさらに、第１のグループのイベント・データ・セットが第２のグループのイベント・データ・セットと異なる場合、逸脱する挙動を装置に決定させることができ、この場合、第１のグループ内のイベント・データ・セット内のデータと、第２のグループ内の対応するイベント・データ・セット内との間に相違がある場合、グループは異なり得る。グループはまた、第１のグループと第２のグループの間のイベント・データ・セットの数の相違によって異なり得る。

さらに、コードは装置に、逸脱する挙動にリンクされるユーザ端末に対するサービスを決定させ、特定のユーザ端末とサービスの両方を含む動作の変更を得るために動作に影響を及ぼす変更を行わせることができる。

この場合、動作に影響を及ぼす変更は、逸脱する挙動に影響を及ぼし得る装置に、ユーザ端末に対するサービスに関係する制限、および／または特定のユーザ端末を含むサービスに関係する通信セッションに影響を及ぼす制限を強制するよう通知することとすることができる。

さらに、コードは装置に、第１のグループ内のイベント・データ・セットにおけるサービスを決定するために、ユーザ端末を介して行われる触覚ユーザ入力のシーケンスを触覚入力の基準シーケンスにマッピングさせることができる。

コードはまた、装置に、ユーザ端末からユーザ端末生成イベント・データ・セットを受信させ、これらのイベント・データ・セットに対してマッピングを行わせ、決定されたサービスを識別するデータを用いて、受信されたイベント・データ・セットを修正させ、修正されたイベント・データ・セットをイベント・データ・ベース内に記憶させることができ、この場合、第１のグループのイベント・データ・セットを得ることは、イベント・データ・ベースから第１のグループのイベント・データ・セットを取り出すことを伴う。

最後に、コードは装置に、逸脱する挙動が決定されたイベント・データ・セットを分析データベース内に記憶させるのと同様に、分析データベースからイベント・データ・セットを取り出させ、これらのイベント・データ・セットを分析させ、分析に基づき逸脱する挙動を決定するための規則を変更させることができる。

本発明が、現在、最も実際的であり好ましい実施形態であると考えられるものに関連して説明されたが、本発明は開示された実施形態に限定されるべきではなく、それどころか、様々な修正形態および均等の構成を包含することが意図されることが理解されるべきである。したがって、本発明は以下の特許請求の範囲だけにより限定されるべきである。

Claims (21)

1. 通信ネットワークの少なくとも１つのネットワークノード内で実行されているユーザ端末の逸脱する挙動を決定するための方法であって、
   少なくとも１つのイベント・データ・セットを含む第１のグループのイベント・データ・セットを得るステップであって、この第１のグループ内の各イベント・データ・セットが特定のユーザ端末内のイベントに関係するユーザ端末生成イベントデータを含むステップと、
   少なくとも１つのイベント・データ・セットを含む第２のグループのイベント・データ・セットを得るステップであって、この第２のグループ内の各イベント・データ・セットが前記特定のユーザ端末に関係するネットワーク生成イベントデータを含むステップと、
   前記第１のグループのイベント・データ・セットおよび前記第２のグループのイベント・データ・セットを含む比較を行うステップと、
   前記比較に基づき前記特定のユーザ端末の逸脱する挙動の存在を決定するステップとを含む方法。
2. 前記第２のグループ内の前記イベント・データ・セットが、前記第１のグループ内の前記イベント・データ・セットと相関させられる、請求項１に記載の方法。
3. 前記第１のグループのイベント・データ・セットが前記第２のグループのイベント・データ・セットと異なる場合、逸脱する挙動の前記存在を決定する前記ステップが、逸脱する挙動を決定するステップを伴う、請求項１または２に記載の方法。
4. 前記第１のグループ内のイベント・データ・セット内のデータと、前記第２のグループ内の対応するイベント・データ・セットの間に相違が存在する場合、前記第１のグループのイベント・データ・セットが前記第２のグループのイベント・データ・セットと異なる、請求項３に記載の方法。
5. 前記第１のグループおよび前記第２のグループの少なくとも一方の中に２つ以上のイベント・データ・セットがあり、前記第１のグループと前記第２のグループの間のイベント・データ・セットの数に相違がある場合、前記第１のグループのイベント・データ・セットが前記第２のグループのイベント・データ・セットと異なる、請求項３または４に記載の方法。
6. 前記第２のグループ内の前記イベント・データ・セットの１つが料金レコードから得られ、かつ前記第１のグループ内にイベント・データ・セットがない電子メッセージに関係する、請求項５に記載の方法。
7. 前記逸脱する挙動にリンクされる前記ユーザ端末に対するサービスを決定するステップと、前記特定のユーザ端末と前記サービスの両方を含む動作の変更を得るために動作に影響を及ぼす変更を実行するステップとをさらに含む、請求項１から６のいずれか１項に記載の方法。
8. 動作に影響を及ぼす変更を実行する前記ステップが、前記逸脱する挙動に影響を及ぼすことができる装置に通知するステップを含む、請求項７に記載の方法。
9. 動作に影響を及ぼす変更を実行する前記ステップが、前記ユーザ端末に対する前記サービスに関係する制限を強制するステップを含む、請求項７または８に記載の方法。
10. 前記サービスが、前記ネットワークを介して前記特定のユーザ端末を関与させている１つまたは複数の通信セッションを含み、動作に影響を及ぼす変更を実行する前記ステップが、前記サービスに関係する通信セッションに影響を及ぼすステップと、前記特定のユーザ端末を含むステップとを含む、請求項９に記載の方法。
11. イベント・データ・セットが、前記イベントに関連するサービスを識別するデータ、前記イベントに関連するデータを識別し、かつ前記ユーザ端末を識別する少なくとも１つの通信識別子を含む通信セッション、少なくとも１つの通信セッションベアラ識別子、および前記通信セッションに関係する時間データを含む、請求項１〜１０のいずれか１項に記載の方法。
12. 前記第１のグループ内のイベント・データ・セット内のサービスを決定するために、前記ユーザ端末を介して行われる触覚ユーザ入力のシーケンスを触覚入力の基準シーケンスにマッピングするステップをさらに含む、請求項１〜１１のいずれか１項に記載の方法。
13. 前記ユーザ端末からユーザ端末生成イベント・データ・セットを受信するステップと、これらのイベント・データ・セットに対してマッピングする前記ステップを実行するステップと、決定されたサービスを識別するデータを用いて、前記受信されたイベント・データ・セットを修正するステップと、イベント・データ・ベース内に前記修正されたイベント・データ・セットを記憶するステップとをさらに含み、前記第１のグループのイベント・データ・セットを得るステップが前記イベント・データ・ベースから前記第１のグループのイベント・データ・セットを取り出すステップを伴う、請求項１２に記載の方法。
14. 前記ネットワーク内の料金レコードおよびイベントレコードに基づきイベント・データ・セットを提供し、これらのイベント・データ・セットをイベント・データ・ベース内に記憶するステップをさらに含み、前記第２のグループのイベント・データ・セットを得る前記ステップが、比較する前記ステップを実行する前に、このイベント・データ・ベースから前記第２のグループのイベント・データ・セットを取り出すステップを伴う、請求項１〜１３のいずれか１項に記載の方法。
15. 逸脱する挙動が分析データベース内で決定されたイベント・データ・セットを記憶するステップをさらに含む、請求項１〜１４のいずれか１項に記載の方法。
16. 前記分析データベースからイベント・データ・セットを取り出すステップと、これらのイベント・データ・セットを分析するステップと、前記分析に基づき逸脱する挙動を決定するための規則を変更するステップとをさらに含む、請求項１５に記載の方法。
17. ユーザ端末の逸脱する挙動を決定するための、通信ネットワークのネットワークノード内の装置であって、
    前記通信ネットワークに関係する別の装置と通信するための少なくとも１つの通信インタフェースと、
    少なくとも１つのイベント・データ・セットを含む第１のグループのイベント・データ・セットであって、この第１のグループ内の各イベント・データ・セットが特定のユーザ端末内のイベントに関係するユーザ端末生成イベントデータを含む第１のグループのイベント・データ・セットを得て、
    少なくとも１つのイベント・データ・セットを含む第２のグループのイベント・データ・セットであって、この第２のグループ内の各イベント・データ・セットが前記特定のユーザ端末に関係するネットワーク生成イベントデータを含む第２のグループのイベント・データ・セットを得て、かつ
    前記第１のグループのイベント・データ・セットおよび前記第２のグループのイベント・データ・セットを含む比較を行い、
    前記比較に基づき前記特定のユーザ端末の逸脱する挙動の存在を決定するように構成される逸脱挙動決定ユニットと、を含む装置。
18. どのイベント・データ・セットが前記第１のグループに属するのか、およびどのイベント・データ・セットが前記第２のグループに属するのかを、イベント・データ・セットが同じサービスに関連付けられるという事実に少なくとも基づき決定するように構成されるイベント・データ・セット相関ユニットをさらに含む、請求項１７に記載の装置。
19. 前記第１のグループ内のイベント・データ・セットでのサービスを決定するために、前記ユーザ端末に対して行われる触覚入力のシーケンスを触覚入力の基準シーケンスにマッピングするように構成されるイベント・データ・セット修正ユニットをさらに含む、請求項１８に記載の装置。
20. 通信ネットワーク内のユーザ端末の逸脱する挙動を決定するために装置上で実行されるときに、前記装置に、
    少なくとも１つのイベント・データ・セットを含む第１のグループのイベント・データ・セットであって、この第１のグループ内の各イベント・データ・セットが特定のユーザ端末内のイベントに関係するユーザ端末生成イベントデータを含む第１のグループのイベント・データ・セットを得させ、
    少なくとも１つのイベント・データ・セットを含む第２のグループのイベント・データ・セットであって、この第２のグループ内の各イベント・データ・セットが前記特定のユーザ端末に関係するネットワーク生成イベントデータを含む第２のグループのイベント・データ・セットを得させ、
    前記第１のグループのイベント・データ・セットおよび前記第２のグループのイベント・データ・セットを含む比較を行わせ、かつ
    前記比較に基づき前記特定のユーザ端末の逸脱する挙動の存在を決定させるコンピュータ・プログラム・コードを含むコンピュータプログラム。
21. 請求項２０に記載のコンピュータプログラムと、前記コンピュータプログラムが記憶されるコンピュータ読出し可能手段と、を含むコンピュータプログラム製品。

Images