JP6174537B2 - 操作検出装置、操作検出装置の動作方法およびコンピュータプログラム - Google Patents

Description

本発明は、機器にアプリケーションをインストールせずに機器に対する操作を検出する技術に関する。

ＰＣ及びプリンタなどの機器をネットワークに接続するに際して障害が発生した場合、ネットワークの専門知識を有する者が対応にあたることが多いが、その際、利用者がどのような操作を行ったかを知ることができれば対応が容易となる。

しかし、利用者が操作を記憶していない場合や、複数人で機器を使用している場合や、電源断などやアプリケーションに起因する障害の場合は、どのような操作が行われたかを知ることが困難であり、原因の探求に時間がかかる。

この問題に対し、非特許文献１及び特許文献１では、例えば、ＰＣにアプリケーションをインストールし、アプリケーションにより操作情報を収集する技術を開示している。

しかし、アプリケーションのインストールは面倒であり、利用者の負担となる。また、アプリケーションがオペレーティングシステムに依存する場合、設定の手間が生じる。また、アプリケーションを常時動作させる必要があり、機器への負荷がかかる。

一方、特許文献２では、ネットワーク上を流れるトラヒックを分析することで、利用しているアプリケーション種別を検出する技術を開示している。この技術を使用すれば、アプリケーションのインストールは不要となる。

特許第５３５０４１０号公報 特開２０１２−０３４２６２号公報

田中明通他，"PC操作履歴収集システム「メモリ・リトリーバ」"，NTT技術ジャーナル，Vol.22，No.7，2010．

しかし、この技術では、通信を行うアプリケーション種別しか検出できない。つまり、操作は検出できない。例えば、ＰＣの再起動やネットワーク設定の変更のような操作、オペレーティングシステムのアップデートのような操作が行われたことがわかれば有用だが、特許文献２の技術では不可能である。

さらに、ウェブブラウザを経由して新たなソフトウェアをダウンロードし、インストールした場合、特許文献２の技術では、ウェブブラウザを使用したことは検出できるが、ソフトウェアをダウンロードする操作が行われたことは検出できない。

本発明は、上記の課題に鑑みてなされたものであり、その目的とするところは、機器にアプリケーションをインストールせずに機器に対する操作を検出できる操作検出装置を提供することにある。

上記の課題を解決するために、第１の本発明は、機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置であって、複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベースと、ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベースと、操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第１の特徴量算出手段と、複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成する第１の特徴ベクトル生成手段と、当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割する特徴ベクトル分割手段と、複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成するノイズクラスタ生成手段と、前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させる第１の中心ベクトル生成手段と、前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第１の類似度算出手段と、当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成する第１の差分特徴ベクトル生成手段と、当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルから当該特徴ベクトル間の類似性に基づいて複数の操作クラスタを生成する操作クラスタ生成手段と、前記各操作クラスタにつき、当該操作クラスタ内の特徴ベクトルの中心ベクトルを生成し、前記操作名データベースから、当該中心ベクトルに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける第２の中心ベクトル生成手段と、操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第２の特徴量算出手段と、当該特徴量からなる特徴ベクトルを生成する第２の特徴ベクトル生成手段と、当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第２の類似度算出手段と、当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成する第２の差分特徴ベクトル生成手段と、前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出する第３の類似度算出手段と、当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す操作名読出手段とを備えることを特徴とする。

第２の本発明は、機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置であって、複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベースと、ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベースと、操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第１の特徴量算出手段と、複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成する第１の特徴ベクトル生成手段と、当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割する特徴ベクトル分割手段と、複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成するノイズクラスタ生成手段と、前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させる第１の中心ベクトル生成手段と、前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第１の類似度算出手段と、当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成する第１の差分特徴ベクトル生成手段と、当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルのそれぞれにつき、前記操作名データベースにおける当該特徴ベクトルに適合するルールの有無を判定し、適合すると判定された各ルールにつき、当該ルールに適合する特徴ベクトルからなる操作クラスタを生成する操作クラスタ生成手段と、当該各操作クラスタにつき、当該操作クラスタの中心ベクトルを生成し、前記操作名データベースから、当該操作クラスタに対応するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける第２の中心ベクトル生成手段と、操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第２の特徴量算出手段と、当該特徴量からなる特徴ベクトルを生成する第２の特徴ベクトル生成手段と、当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第２の類似度算出手段と、当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成する第２の差分特徴ベクトル生成手段と、前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出する第３の類似度算出手段と、当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す操作名読出手段とを備えることを特徴とする。

第３の本発明は、機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置の動作方法であって、前記操作検出装置は、複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベースと、ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベースとを備え、前記動作方法は、前記操作検出装置の第１の特徴量算出手段が、操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出し、前記操作検出装置の第１の特徴ベクトル生成手段が、複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成し、前記操作検出装置の特徴ベクトル分割手段が、当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割し、前記操作検出装置のノイズクラスタ生成手段が、複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成し、前記操作検出装置の第１の中心ベクトル生成手段が、前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させ、前記操作検出装置の第１の類似度算出手段が、前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出し、前記操作検出装置の第１の差分特徴ベクトル生成手段が、当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成し、前記操作検出装置の操作クラスタ生成手段が、当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルから当該特徴ベクトル間の類似性に基づいて複数の操作クラスタを生成し、前記操作検出装置の第２の中心ベクトル生成手段が、前記各操作クラスタにつき、当該操作クラスタ内の特徴ベクトルの中心ベクトルを生成し、前記操作名データベースから、当該中心ベクトルに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づけ、前記操作検出装置の第２の特徴量算出手段が、操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出し、前記操作検出装置の第２の特徴ベクトル生成手段が、当該特徴量からなる特徴ベクトルを生成し、前記操作検出装置の第２の類似度算出手段が、当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出し、前記操作検出装置の第２の差分特徴ベクトル生成手段が、当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成し、前記操作検出装置の第３の類似度算出手段が、前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出し、前記操作検出装置の操作名読出手段が、当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出すことを特徴とする。

第４の本発明は、機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置の動作方法であって、前記操作検出装置は、複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベースと、ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベースとを備え、前記動作方法は、前記操作検出装置の第１の特徴量算出手段が、操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出し、前記操作検出装置の第１の特徴ベクトル生成手段が、複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成し、前記操作検出装置の特徴ベクトル分割手段が、当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割し、前記操作検出装置のノイズクラスタ生成手段が、複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成し、前記操作検出装置の第１の中心ベクトル生成手段が、前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させ、前記操作検出装置の第１の類似度算出手段が、前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出し、前記操作検出装置の第１の差分特徴ベクトル生成手段が、当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成し、前記操作検出装置の操作クラスタ生成手段が、当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルのそれぞれにつき、前記操作名データベースにおける当該特徴ベクトルに適合するルールの有無を判定し、適合すると判定された各ルールにつき、当該ルールに適合する特徴ベクトルからなる操作クラスタを生成し、前記操作検出装置の第２の中心ベクトル生成手段が、当該各操作クラスタにつき、当該操作クラスタの中心ベクトルを生成し、前記操作名データベースから、当該操作クラスタに対応するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づけ、前記操作検出装置の第２の特徴量算出手段が、操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出し、前記操作検出装置の第２の特徴ベクトル生成手段が、当該特徴量からなる特徴ベクトルを生成し、前記操作検出装置の第２の類似度算出手段が、当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出し、前記操作検出装置の第２の差分特徴ベクトル生成手段が、当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成し、前記操作検出装置の第３の類似度算出手段が、前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出し、前記操作検出装置の操作名読出手段が、当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出すことを特徴とする。

第５の本発明は、第１の本発明または第２の本発明の操作検出装置としてコンピュータを機能させるためのコンピュータプログラムであることを特徴とする。

本発明によれば、機器にアプリケーションをインストールせずに機器に対する操作を検出でき、さらに、操作が行われていないときにも発生するパケットデータの影響をなくすことができる。

第１の実施の形態に係る操作検出装置を利用する通信環境を例示する図である。 操作検出装置１の概略構成を示すブロック図である。 ポート番号記憶部１５の構成を示す図である。 操作名データベース１６の構成を示す図である。 操作を検出する前の準備期間における処理の流れを示すフローチャートである。 図５におけるステップＳ２の詳細なフローチャートである。 中心ベクトルと中央値を例示する図である。 操作を検出する際の処理の流れを示すフローチャートである。 操作検出装置１Ａの概略構成を示すブロック図である。 ノイズデータベース１７の構成を示す図である。 第６の実施の形態において操作を検出する前の準備期間における処理の流れを示すフローチャートである。 第６の実施の形態において操作を検出する際の処理の流れを示すフローチャートである。

以下、本発明の実施の形態について図面を参照して説明する。

[第１の実施の形態]
図１は、第１の実施の形態に係る操作検出装置を利用する通信環境を例示する図である。

操作検出装置１は、機器２（例えば、ＰＣ（パーソナルコンピュータ））が通信を行うのに使用されるパケットを基に機器２に対してどのような操作が行われたかを検出する装置である。ここでいう操作とは、利用者による操作（いわゆる手動操作）のみならず、機器２にインストールされたアプリケーションによる操作（すなわち見かけ上では自動処理）、外部要因による操作（例えば、停電時などの電源断）なども含む。なお、検出対象の機器はＰＣに限らない。

機器２は、例えば、スイッチ３とゲートウェイ装置４を介して、インターネット５に接続される。操作検出装置１は、例えば、スイッチ３のミラーリングポートに接続される。スイッチ３には、例えば周辺機器６が接続される。

スイッチ３は、スイッチ３に流れるパケットをミラーリングし、ミラーリングポートから操作検出装置１に送信するようになっている。スイッチ３は、機器２から送信または機器２で受信されるパケット以外に、周辺機器６から送信または周辺機器６で受信されるパケットを操作検出装置１に送信する。

操作検出装置１の入力部１１は、例えば、予めゲートウェイ装置４のルーティングテーブルやＡＲＰテーブルを参照し、機器２のＩＰアドレスおよびＭＡＣアドレスを取得しておき、これらに該当する送信元ＩＰアドレスや送信元ＭＡＣアドレスや宛先ＩＰアドレスや宛先ＭＡＣアドレスを含むパケットのみを受信するようになっている。

図２は、操作検出装置１の概略構成を示すブロック図である。

操作検出装置１は、パケットを受信する入力部１１、操作を検出する前の期間においてパケットにおける特徴量からなる特徴ベクトルを生成し、予め定められたルールに適合する特徴ベクトルをクラスタリングし、各クラスタ内の特徴ベクトルの中心ベクトルを操作パターンとして生成する操作パターン抽出部１２、操作を検出する期間において特徴ベクトルを生成し、中心ベクトルとの類似度を算出し、類似度に基づいて操作を検出する操作検出部１３、検出された操作名を出力する出力部１４、予めポート番号が記憶されるポート番号記憶部１５、予めルールと操作名を含むレコードが記憶される操作名データベース１６を備える。

図３は、ポート番号記憶部１５の構成を示す図である。

ポート番号記憶部１５は、例えば、Well-Knownポートと称される０番から１０２３番までのポート番号と当該ポート番号に対応するプロトコル名を記憶している。

図４は、操作名データベース１６の構成を示す図である。

操作名データベース１６には、複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールとを含むレコードが記憶される。ルールは、例えば、式などで表現される。操作名に対しては、後に、操作パターン抽出部１２が生成した中心ベクトルと閾値ｔｈが対応づけて記憶される。

図５は、操作を検出する前の準備期間における処理の流れを示すフローチャートである。図５の処理は、操作を検出する前に、つまり事前に行われるものである。

Ｓ１：入力部１１は、予め取得した機器２のＩＰアドレスおよびＭＡＣアドレスに該当する送信元ＩＰアドレスや送信元ＭＡＣアドレスや宛先ＩＰアドレスや宛先ＭＡＣアドレスを含むパケットのみを一定期間に渡って受信し、図示しない記憶領域へ受信時刻に対応づけて記憶させる。この期間は、機器２に一通りの操作が実行される期間であり、例えば、１ヶ月である。

Ｓ２：次に、操作パターン抽出部１２は、予め定められた単位時間ごとに、複数のプロトコルのそれぞれにつき、当該単位時間における当該プロトコルに該当するパケットのデータ量である特徴量を算出する。単位時間は、最も短い時間で行われる操作の時間とするのが好ましく、ここでは１秒とする。

図６は、図５におけるステップＳ２の詳細なフローチャートである。

Ｓ２１：操作パターン抽出部１２は、１ヶ月間に受信された全パケットを、パケットの受信開始から１秒後までの単位時間に受信されたパケットからなるパケット群、その後の１秒間（単位時間）に受信されたパケットからなるパケット群、その後の１秒間（単位時間）に受信されたパケットからなるパケット群、…というように分類する。

次に操作パターン抽出部１２は、１つのパケット群内のパケットごとにＳ２２〜Ｓ２６を行う。また、操作パターン抽出部１２は、他の各パケット群についても同じ処理を行う。

Ｓ２２：操作パターン抽出部１２は、対象のパケットのヘッダを参照し、パケットのプロトコルがＴＣＰまたはＵＤＰであるか否かを判定する。

Ｓ２３：操作パターン抽出部１２は、プロトコルがＴＣＰまたはＵＤＰであるなら（Ｓ２２：ＹＥＳ）、パケットのヘッダから宛先ポート番号を取得し、同じポート番号がポート番号記憶部１５に記憶されているか否かを判定する。

Ｓ２４：操作パターン抽出部１２は、プロトコルがＴＣＰでなくかつＵＤＰでないなら（Ｓ２２：ＮＯ）、または、ポート番号がポート番号記憶部１５に記憶されていないなら（Ｓ２３：ＮＯ）、パケットの最上位のプロトコル名を取得する。ポート番号がポート番号記憶部１５に記憶されていない場合は（Ｓ２３：ＮＯ）、ＴＣＰまたはＵＤＰが取得される（Ｓ２４）。

Ｓ２５：操作パターン抽出部１２は、ポート番号がポート番号記憶部１５に記憶されているなら（Ｓ２３：ＹＥＳ）、ポート番号に対応するプロトコル名を取得する。ここでは、ＨＴＴＰなどが取得される。

Ｓ２６：操作パターン抽出部１２は、プロトコル名を取得したなら（Ｓ２４、Ｓ２５）、該当のパケット群における当該プロトコル名の全パケットの合計データ量（予め０で初期化される）に対し、対象のパケットのデータ量を加算し、処理を終了する。

以下、合計のデータ量を特徴量という。

図５に戻り、説明を続ける。

Ｓ３：操作パターン抽出部１２は、複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成する。

例えば、操作パターン抽出部１２は、まず、１ヶ月の中の最初の時間Ｗ（時間窓という）に含まれる各単位時間に対応するパケット群について算出されたプロトコル名ごとの特徴量からなる特徴ベクトルを生成する。時間窓Ｗは、ここでは１分とする。

ここでは、理解を容易にすべく、プロトコル名ｉの単位時間ｊでの特徴量をｆ（ｉ，ｊ）と表現し、プロトコル名の総数をｍとする。

操作パターン抽出部１２は、具体的には、特徴ベクトル｛ｆ（１，１），ｆ（１，２）,…,ｆ（１，６０），ｆ（２，１），ｆ（２，２），…，ｆ（ｍ，１），ｆ（ｍ，２），…，ｆ（ｍ，６０）｝を生成する。つまり、操作パターン抽出部１２は、連続する６０の単位時間（１分）について算出された特徴量からなる特徴ベクトルを生成する。

次に、操作パターン抽出部１２は、１ヶ月の中の最初の時間Ｓを除く期間の最初の時間Ｗに含まれる各単位時間に対応するパケット群について算出されたプロトコル名ごとの特徴量からなる特徴ベクトルを生成する。時間窓Ｗは同じく１分とし、Ｓは３０秒とする。

操作パターン抽出部１２は、具体的には、特徴ベクトル｛ｆ（１，３１），ｆ（１，３２）,…,ｆ（１，９０），ｆ（２，３１），ｆ（２，３２），…，ｆ（ｍ，３１），ｆ（ｍ，３２），…，ｆ（ｍ，９０）｝を生成する。

つまり、操作パターン抽出部１２は、時間窓Ｗを一定時間Ｓだけスライドさせ、同じように時間窓Ｗに該当する特徴量からなる特徴ベクトルを生成する。

操作パターン抽出部１２は、以下、同様に時間窓ＷをＳずつスライドさせ、その都度、特徴ベクトルを生成し、時間窓Ｗの一部が１ヶ月の終了時点を超えたなら、処理を終了させる。

なお、時間窓Ｗとスライド量Ｓは、１分と３０秒に限らない。

Ｓ４：次に、操作パターン抽出部１２は、生成した複数の特徴ベクトルから当該特徴ベクトル間の類似性に基づいて複数のクラスタを生成する。各特徴ベクトルは、いずれかのクラスタに含まれる。

ここでは、操作パターン抽出部１２は、例えば、非階層型クラスタリング手法の１つであるk-means法を用いる。つまり、操作パターン抽出部１２は、クラスタ数をまず２とし、クラスタの中心ベクトルとクラスタに含まれる特徴ベクトルの距離の総和である群内平方和を求める。次に、操作パターン抽出部１２は、クラスタ数を１増加させて、群内平方和とその減少量を計算する。これをクラスタ数ｎまで行う。ｎは、例えば、機器２に対する操作数のｘ倍（ｘは、Ｗ／Ｓ）とする。次に、操作パターン抽出部１２は、減少量が最も大きくなったときの増加後のクラスタ数と同じとなるように、クラスタを生成する。

Ｓ５：次に、操作パターン抽出部１２は、各クラスタにつき、当該クラスタ内の特徴ベクトルの中心ベクトルを生成し、操作名データベース１６から、当該中心ベクトルに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける。つまり、操作パターン抽出部１２は、各クラスタが何の操作を示すかを判定する。

Ｓ５では、操作パターン抽出部１２は、全ての中心ベクトルにおいて、各単位時間につき、当該単位時間に対応する要素（特徴量）の上位３つを選択する。

Ｓ５では、次に、操作パターン抽出部１２は、各プロトコル名につき、全ての中心ベクトルから当該プロトコル名に対応する要素（特徴量）を抽出し、抽出した特徴量の中央値を求める。

Ｓ５では、次に、操作パターン抽出部１２は、上位３つとして選択された特徴量以外の特徴量について、対応する中央値の１０倍以上ならば、その特徴量を選択する。

図７は、中心ベクトルと中央値を例示する図である。

ここでは、理解を容易にすべく、プロトコル名の総数ｍを１２とし、１つの中心ベクトルに対応する単位時間の数を５とし、中心ベクトルをマトリクスの形式で示す。

図７（ａ）の中心ベクトルでは、点模様の背景で示すように、単位時間１、２では、上位３つに含まれるＴＣＰ、ＤＮＳ、ＨＴＴＰの特徴量が選択され、単位時間３では、上位３つに含まれるＴＣＰ、ＨＴＴＰの特徴量が選択される。中央値の１０倍以上の特徴量はない。

図７（ｂ）の中心ベクトルでは、点模様の背景で示すように、単位時間１では、上位３つに含まれるＴＣＰ、ＨＴＴＰ、ＩＭＡＰの特徴量が選択される。また、斜め線模様の背景で示すように、中央値の１０倍以上であるＤＮＳの特徴量が選択される。

Ｓ５では、操作パターン抽出部１２は、操作名データベース１６から、中心ベクトルの選択された特徴量のパターンに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける。

Ｓ５では、例えば、図７（ａ）のように、前半フレームではＴＣＰ、ＤＮＳ、ＨＴＴＰが選択され、後半フレームでＴＣＰ、ＨＴＴＰ、ＩＭＡＰが選択されており、図４中のメール受信のルールに適合するため、図７（ａ）の中心ベクトルは、操作名「メール受信」に対応づけられる。

Ｓ６：次に、操作パターン抽出部１２は、各クラスタにつき、当該クラスタ内の各特徴ベクトルと当該クラスタの中心ベクトルとの距離の平均値を算出し、例えば、その平均値の逆数を当該中心ベクトルとともに後述の操作検出で用いる閾値ｔｈとして、操作名データベース１６において、当該中心ベクトルに対応づけて記憶させ、処理を終了する。

図８は、操作を検出する際の処理の流れを示すフローチャートである。

図８の処理は、図５の処理後、操作を検出する際に行われるものである。ここでは、図５の処理が終了していることとする。

Ｓ３１：入力部１１は、機器２のＩＰアドレスおよびＭＡＣアドレスに該当する送信元ＩＰアドレスや送信元ＭＡＣアドレスや宛先ＩＰアドレスや宛先ＭＡＣアドレスを含むパケットのみを時間窓Ｗと同じ１分間に渡って受信する。

Ｓ３２：操作検出部１３は、受信されたパケットを用い、単位時間ごとに、各プロトコルにつき、当該単位時間における当該プロトコルに該当するパケットのデータ量である特徴量を算出する。

つまり、Ｓ３２では、操作検出部１３は、受信したパケットに対し、図６のステップＳ２２〜Ｓ２６の処理を行う。

Ｓ３３：次に、操作検出部１３は、当該特徴量からなる特徴ベクトルを生成する。

つまり、Ｓ３３では、操作検出部１３は、図５のステップＳ３で特徴ベクトルを生成したように特徴ベクトルを生成する。

Ｓ３４：次に、操作検出部１３は、操作名データベース１６における各中心ベクトルにつき、当該特徴ベクトルと当該中心ベクトルの類似度を算出する。

Ｓ３４では、操作検出部１３は、例えば、式（１）により特徴ベクトルと中心ベクトルの距離ｄを算出し、例えば、距離ｄの逆数を計算し、これを類似度とする。つまり、距離が小さいほど類似度を高くする。

ここで、ｘｉは、特徴ベクトルのプロトコル名ｉに対応する特徴量、
ｙｉは、中心ベクトルのプロトコル名ｉに対応する特徴量、
ｍは、プロトコル名の総数である。

Ｓ３５：次に、操作検出部１３は、類似度の最大値に対応する中心ベクトルに対応づけて記憶した閾値ｔｈを操作名データベース１６から読み出し、類似度の最大値が閾値以上か否かを判定する。

操作検出部１３は、類似度の最大値が閾値未満なら（Ｓ３５：ＮＯ）、処理を終える。

Ｓ３６：操作検出部１３は、類似度の最大値が閾値以上なら（Ｓ３５：ＹＥＳ）、操作名データベース１６から当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す。

Ｓ３７：次に、出力部１４が、読み出された操作名を、例えば、図示しない表示装置などに表示し、処理を終える。

なお、第１の実施の形態では、ステップＳ６で、距離が小さいほど閾値を高くし、ステップＳ３４で、距離が小さいほど類似度を高くし、ステップＳ３５で、類似度の最大値が閾値以上か否かを判定し、類似度の最大値が閾値以上なら、ステップＳ３６で、最大値に対応する操作名を読み出したが、ステップＳ６で、例えば距離を閾値とし、ステップＳ３４で、距離を類似度とし、ステップＳ３５で、類似度の最小値が閾値以下か否かを判定し、類似度の最小値が閾値以下なら、ステップＳ３６で、最小値に対応する操作名を読み出してもよい。つまり、前者の処理は、実質的に後者の処理と同じである。

すなわち、いずれにしてもＳ３６の処理は、類似度の最大値が予め定めた閾値以上なら、操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出すという処理である。

また、第１の実施の形態では、プロトコルごとに特徴量を算出したが、例えば、パケットの宛先ごとに特徴量を算出してもよい。

また、第１の実施の形態では、パケットのデータ量の積算値を特徴量としたが、例えば、パケットの総数を特徴量としてもよい。

したがって、第１の実施の形態に係る操作検出装置１は、機器２が通信を行うのに使用されるパケットを基に機器２に対する操作を検出する操作検出装置であって、複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールとを含むレコードが記憶される操作名データベース１６と、操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第１の特徴量算出手段（ステップＳ２）と、複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成する第１の特徴ベクトル生成手段（ステップＳ３）と、当該複数の特徴ベクトルから当該特徴ベクトル間の類似性に基づいて複数のクラスタを生成するクラスタ生成手段（ステップＳ４）と、前記各クラスタにつき、当該クラスタ内の特徴ベクトルの中心ベクトルを生成し、操作名データベースから、当該中心ベクトルに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける中心ベクトル生成手段（ステップＳ５）と、操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第２の特徴量算出手段（ステップＳ３２）と、当該特徴量からなる特徴ベクトルを生成する第２の特徴ベクトル生成手段（ステップＳ３３）と、前記各中心ベクトルにつき、当該特徴ベクトルと当該中心ベクトルの類似度を算出する類似度算出手段（ステップＳ３４）と、類似度の最大値が予め定めた閾値以上なら、操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す操作名読出手段（ステップＳ３６）とを備えるので、特徴ベクトル、中心ベクトルは、複数の特徴量の増減パターンを示すものとなり、よって、増減パターンにより、機器２に対する操作を検出することができる。

[第２の実施の形態]
次に、本発明の第２の実施の形態について説明する。第２の実施の形態では、第１の実施の形態に同一または類似の装置および装置構成を用い、同一または類似のものについては第１の実施の形態で使用した符号を使用して重複説明を略し、第１の実施の形態とは異なる事項を中心に説明を行う。

第２の実施の形態では、第１の実施の形態に対し、ステップＳ４の処理が以下のように異なり、その他は、第１の実施の形態と同様である。

Ｓ４：操作パターン抽出部１２は、ステップＳ３で生成された複数の特徴ベクトルのそれぞれにつき、操作名データベース１６における当該特徴ベクトルに適合するルールの有無を判定し、適合すると判定された各ルールにつき、当該ルールに適合する特徴ベクトルからなるクラスタを生成する。

ここでは、特徴ベクトルに適合するルールの有無の判定は、パターンマッチングにより行う。

Ｓ４では、まず、操作パターン抽出部１２は、各ルールにつき、当該ルールに対応する操作名の操作を示す特徴ベクトルを複数含むクラスタを生成し、その操作の際の通信で使用されるプロトコル名の組を当該クラスタに対応づける。

Ｓ４では、操作パターン抽出部１２は、次に、全ての特徴ベクトルにおいて、各単位時間につき、当該単位時間に対応する要素（特徴量）の上位３つを選択する。

Ｓ４では、次に、操作パターン抽出部１２は、各プロトコル名につき、全ての特徴ベクトルから当該プロトコル名に対応する要素（特徴量）を抽出し、抽出した特徴量の中央値を求める。

Ｓ４では、次に、操作パターン抽出部１２は、上位３つとして選択された特徴量以外の特徴量について、対応する中央値の１０倍以上ならば、その特徴量を選択する。

Ｓ４では、次に、操作パターン抽出部１２は、各特徴ベクトルにつき、上位３つまたは中央値の１０倍以上として選択された特徴量に対応するプロトコル名の組と、クラスタに対応づけたプロトコル名の組のそれぞれを比較し、いずれかのクラスタに対応するプロトコル名の組に一致すれば（つまりルールと特徴ベクトルが適合すれば）、当該特徴ベクトルを当該クラスタに含ませる。いずれのクラスタに対応づけたプロトコル名の組とも一致しなければ、ルールで規定されない操作が行われた可能性があるので、例えば、その他の操作のクラスタに含ませる。

したがって、第２の実施の形態に係る操作検出装置１によれば、複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールとを含むレコードが記憶される操作名データベース１６と、操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第１の特徴量算出手段（ステップＳ２）と、複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成する第１の特徴ベクトル生成手段（ステップＳ３）と、当該複数の特徴ベクトルのそれぞれにつき、操作名データベース１６における当該特徴ベクトルに適合するルールの有無を判定し、適合すると判定された各ルールにつき、当該ルールに適合する特徴ベクトルからなるクラスタを生成するクラスタ生成手段（第２の実施の形態のステップＳ４）と、前記各クラスタにつき、当該クラスタ内の特徴ベクトルの中心ベクトルを生成し、操作名データベースから、当該中心ベクトルに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける中心ベクトル生成手段（ステップＳ５）と、操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第２の特徴量算出手段（ステップＳ３２）と、当該特徴量からなる特徴ベクトルを生成する第２の特徴ベクトル生成手段（ステップＳ３３）と、前記各中心ベクトルにつき、当該特徴ベクトルと当該中心ベクトルの類似度を算出する類似度算出手段（ステップＳ３４）と、類似度の最大値が予め定めた閾値以上なら、操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す操作名読出手段（ステップＳ３６）とを備えるので、特徴ベクトル、中心ベクトルは、複数の特徴量の増減パターンを示すものとなり、よって、増減パターンにより、機器２に対する操作を検出することができる。

また、第２の実施の形態では、非階層型クラスタリング手法などにより行う第１の実施の形態の方法に比べ，ノイズデータの混入が少なく、また、ルールに適合しない特徴ベクトルをクラスタから除外できるので、その後に生成する中心ベクトルがより正確になる。その結果、より正確に操作を検出できる。

[第３の実施の形態]
次に、本発明の第３の実施の形態について説明する。第３の実施の形態では、第１または第２の実施の形態に同一または類似の装置および装置構成を用い、同一または類似のものについては第１の実施の形態等で使用した符号を使用して重複説明を略し、第１の実施の形態等とは異なる事項を中心に説明を行う。

第３の実施の形態では、第１の実施の形態等に対し、ステップＳ２、Ｓ３２で求めた特徴量を標準化し、その他は、第１の実施の形態等と同様である。

つまり、Ｓ２（第１の特徴量算出手段）では、操作パターン抽出部１２は、例えば、１ヶ月分の特徴量を求めたなら、各プロトコル名につき、当該プロトコル名に対応する特徴量を選択し、その平均が０、分散が１となるように当該特徴量を変換する（標準化する）。

また、Ｓ３２（第２の特徴量算出手段）では、操作検出部１３は、例えば、１分間分の特徴量を求めたなら、各プロトコル名につき、当該プロトコル名に対応する特徴量を選択し、その平均が０、分散が１となるように当該特徴量を変換する（標準化する）。

第３の実施の形態によれば、特徴量を標準化するので、パケットの数が少ないプロトコルを使用する操作であっても検出することができる。

[第４の実施の形態]
次に、本発明の第４の実施の形態について説明する。第４の実施の形態では、第１または第２または第３の実施の形態に同一または類似の装置および装置構成を用い、同一または類似のものについては第１の実施の形態等で使用した符号を使用して重複説明を略し、第１の実施の形態等とは異なる事項を中心に説明を行う。

第４の実施の形態では、第１の実施の形態等に対し、ステップＳ３、Ｓ３３で求めた特徴ベクトルを正規化し、その他は、第１の実施の形態等と同様である。

つまり、Ｓ３（第１の特徴ベクトル生成手段）では、操作パターン抽出部１２は、特徴ベクトルを求めたなら、各特徴ベクトルにつき、当該特徴ベクトルの大きさが１となるように、当該特徴ベクトルを変換する（正規化する）。

また、Ｓ３３（第２の特徴ベクトル生成手段）では、操作検出部１３は、特徴ベクトルを求めたなら、特徴ベクトルの大きさが１となるように、特徴ベクトルを変換する（正規化する）。

第４の実施の形態によれば、特徴ベクトルを正規化するので、特徴ベクトルは、対応する操作が行われた際のパケットのデータ量の比率を示し、つまり、データ量の多い少ないは無関係となるので、パケットの数が少ないプロトコルを使用する操作であっても検出することができる。

[第５の実施の形態]
次に、本発明の第５の実施の形態について説明する。第５の実施の形態では、第１または第２または第３または第４の実施の形態に同一または類似の装置および装置構成を用い、同一または類似のものについては第１の実施の形態等で使用した符号を使用して重複説明を略し、第１の実施の形態等とは異なる事項を中心に説明を行う。

第５の実施の形態では、第１の実施の形態等に対し、ステップＳ６における閾値の求め方と、Ｓ３４以降の処理が異なり、その他は、第１の実施の形態等と同様である。

Ｓ６で、操作パターン抽出部１２は、各クラスタにつき、当該クラスタ内の各特徴ベクトルと当該クラスタの中心ベクトルとの類似度ｓｉｍ（コサイン類似度）を式（２）により求める。

ここで、ｘは、特徴ベクトル、
ｙは、中心ベクトル、
ｘ・ｙは、ｘとｙの積、
｜ｘ｜は、ｘの長さ、
｜ｙ｜は、ｙの長さである。

類似度ｓｉｍは、特徴ベクトルと中心ベクトルの間の角度が小さいほど小さくなる。

Ｓ６では、操作パターン抽出部１２は、次に、類似度ｓｉｍの平均を計算し、これを当該中心ベクトルに対応する閾値ｔｈとする。

Ｓ３４では、操作検出部１３は、操作名データベース１６における各中心ベクトルにつき、当該特徴ベクトルと当該中心ベクトルの類似度を式（２）により算出する。

Ｓ３５では、操作検出部１３は、類似度の最小値に対応する中心ベクトルに対応づけて記憶した閾値ｔｈを操作名データベース１６から読み出し、類似度の最小値が閾値以下か否かを判定する。

Ｓ３６では、操作検出部１３は、類似度の最小値が閾値以下なら（Ｓ３５：ＹＥＳ）、操作名データベース１６から当該最小値に対応する中心ベクトルに対応づけられた操作名を読み出す。

なお、ステップＳ６で、類似度ｓｉｍの平均値の逆数を閾値とし、つまり、特徴ベクトルと中心ベクトルの間の角度が小さいほど閾値を高くし、ステップＳ３４で、類似度ｓｉｍの逆数を類似度とし、つまり、特徴ベクトルと中心ベクトルの間の角度が小さいほど類似度を高くし、ステップＳ３５で、類似度の最大値が閾値以上か否かを判定し、類似度の最大値が閾値以上なら、ステップＳ３７で、最大値に対応する操作名を読み出してもよい。つまり、第５の実施の形態の処理は、このような処理と実質的に同じである。

よって、第５の実施の形態では、特徴ベクトルと中心ベクトルの間の角度が小さいほど類似度を高くし、類似度の最大値が閾値以上なら、操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出していることになる。

ところで、第１〜第５の実施の形態では、操作が行われていないときにも発生するパケットデータの影響で、同一の操作であってもパケットパターンが異なってしまい、異なる操作であると判定されることや該当操作なしと判定されることがある。第６の実施の形態では、この課題を解決する。

[第６の実施の形態]
次に、本発明の第６の実施の形態について説明する。第６の実施の形態では、第１または第２または第３または第４または第５の実施の形態に同一または類似の装置および装置構成を用い、同一または類似のものについては第１の実施の形態等で使用した符号を使用して重複説明を略し、第１の実施の形態等とは異なる事項を中心に説明を行う。

第６の実施の形態では、操作パターン抽出時に、特徴ベクトルを、操作が行われる可能性のない時間の特徴ベクトルと、操作が行われる可能性のある時間の特徴ベクトルに分離する。そして、操作が行われる可能性のない時間のパケットパターンをノイズパターンとして学習し、保存しておく。また、ノイズパターンに類似した特徴ベクトルについて、特徴ベクトルからノイズパターンのベクトルの差分を求めることで、特徴ベクトルからノイズを除去する。そして、操作検出時においても同様に、ノイズパターンに類似した特徴ベクトルについて、特徴ベクトルからノイズパターンのベクトルの差分を求め、ノイズを除去する。

図９は、操作検出装置１Ａの概略構成を示すブロック図である。操作検出装置１Ａは操作検出装置１に代わるものである。

操作検出装置１Ａは、機器２（例えば、ＰＣ（パーソナルコンピュータ））が通信を行うのに使用されるパケットを基に機器２に対してどのような操作が行われたかを検出する装置である。ここでいう操作とは、利用者による操作（いわゆる手動操作）のみならず、外部要因による操作（例えば、停電時などの電源断）なども含む。機器２にインストールされたアプリケーションによる操作（すなわち見かけ上では自動処理）は含まない。なお、検出対象の機器はＰＣに限らない。

操作検出装置１Ａは、入力部１１、操作パターン抽出部１２、操作検出部１３、出力部１４、ポート番号記憶部１５、操作名データベース１６、ノイズデータベース１７を備える。

図１０は、ノイズデータベース１７の構成を示す図である。

ノイズデータベース１７には，操作パターン抽出部１２による後述の処理により得られた中心ベクトルと閾値ｔｈが対応づけて記憶される。

図１１は、第６の実施の形態において操作を検出する前の準備期間における処理の流れを示すフローチャートである。

ステップＳ１〜Ｓ３については、図５の処理と同じなので説明を省略する。

Ｓ４：操作パターン抽出部１２は、Ｓ３で生成した特徴ベクトルを、機器のユーザが操作を行う可能性のある時間内の特徴ベクトルと、ユーザが操作を行う可能性のない時間内の特徴ベクトルに分割する。

例えば、ユーザが操作を行う可能性のない時間は、ユーザが予め操作検出装置に与えておく。ユーザが操作を行う可能性のある時間は、例えば、ユーザが操作を行う可能性のない時間以外の時間とする。

または、操作パターン抽出部１２が、ユーザが操作を行う可能性のない時間を自動的に検出する。例えば、操作パターン抽出部１２は、パケット流量が予め定めた閾値以下となる時間が一定期間続く場合、これをユーザが操作を行う可能性のない時間であると判定する。この場合、操作パターン抽出部１２は、ユーザが操作を行う可能性のない時間以外を、ユーザが操作を行う可能性のある時間とする。

ここで、ユーザが操作を行う可能性のある時間内の特徴ベクトルを操作時間特徴ベクトル、ユーザが操作を行う可能性のない時間内の特徴ベクトルをノイズ時間特徴ベクトルと呼ぶ。

なお、パケット流量以外の特徴量（プロトコル数など）を用いてもよい。ユーザが操作していない時に発生するパケットで使用されるプロトコル数は限られる（少ない）ことから， 単位時間内に含まれるプロトコル数が閾値以下か否かにより、ユーザが操作を行う可能性のない時間とそうでない時間を推定できると考えられる。

Ｓ５：次に、操作パターン抽出部１２は、複数のノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のクラスタ（以下、ノイズクラスタ）を生成する。各ノイズ時間特徴ベクトルは、いずれかのクラスタに含まれる。

ここでは、操作パターン抽出部１２は、例えば、非階層型クラスタリング手法の１つであるk-means法を用いる。つまり、操作パターン抽出部１２は、クラスタ数をまず２とし、クラスタの中心ベクトルとクラスタに含まれる特徴ベクトルの距離の総和である群内平方和を求める。次に、操作パターン抽出部１２は、クラスタ数を１増加させて、群内平方和とその減少量を計算する。これをクラスタ数ｎまで行う。ｎは、例えば５０とする。次に、操作パターン抽出部１２は、減少量が最も大きくなったときの増加後のクラスタ数と同じとなるように、クラスタを生成する。

Ｓ６：次に、操作パターン抽出部１２は、各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、当該ノイズクラスタ内の各ノイズ時間特徴ベクトルと当該中心ベクトルとの距離の平均値を算出し、例えば、その平均値の逆数を当該中心ベクトルとともに後述の操作ベクトル生成および操作検出で用いる閾値ｔｈ＿ｎとして、ノイズデータベース１７において、当該中心ベクトルに対応づけて記憶させる。

Ｓ７：次に、操作パターン抽出部１２は、各操作時間特徴ベクトルにつき、操作時間特徴ベクトルとノイズデータベース１７の各中心ベクトルとの類似度を算出する。

Ｓ７では、操作パターン抽出部１２は、例えば、第１の実施の形態の式（１）により操作時間特徴ベクトルと中心ベクトルの距離ｄを算出し、例えば、距離ｄの逆数を計算し、これを類似度とする。つまり、距離が小さいほど類似度を高くする。

ただし、式（１）において、ｘｉは、操作時間特徴ベクトルのプロトコル名ｉに対応する特徴量、ｙｉは、中心ベクトルのプロトコル名ｉに対応する特徴量、ｍは、プロトコル名の総数とする。

Ｓ８：次に、操作パターン抽出部１２は、各操作時間特徴ベクトルにつき、類似度の最大値に対応する中心ベクトルに対応づけて記憶した閾値ｔｈ＿ｎをノイズデータベース１７から読み出し、類似度の最大値が閾値以上か否かを判定する。

操作パターン抽出部１２は、類似度の最大値が閾値未満なら（Ｓ８：ＮＯ）、該当の操作時間特徴ベクトルをＳ１０の入力とする。

Ｓ９：操作パターン抽出部１２は、類似度の最大値が閾値以上なら（Ｓ８：ＹＥＳ）、該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とするベクトル（差分特徴ベクトルという）を生成する。

Ｓ１０：次に，操作パターン抽出部１２は、類似度の最大値が閾値未満（Ｓ８：ＮＯ）の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルから当該特徴ベクトル間の類似性に基づいて複数のクラスタ（操作クラスタという）を生成する。各特徴ベクトルは、いずれかの操作クラスタに含まれる。

ここでは，Ｓ５のクラスタリング処理と同一の処理を行う．
Ｓ１１：次に、操作パターン抽出部１２は、各操作クラスタにつき、当該操作クラスタ内の特徴ベクトルの中心ベクトルを生成し、操作名データベース１６から、当該中心ベクトルに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける。つまり、操作パターン抽出部１２は、各操作クラスタが何の操作を示すかを判定する。

Ｓ１１では、操作パターン抽出部１２は、全ての中心ベクトルにおいて、各単位時間につき、当該単位時間に対応する要素（特徴量）の上位３つを選択する。

Ｓ１１では、次に、操作パターン抽出部１２は、各プロトコル名につき、全ての中心ベクトルから当該プロトコル名に対応する要素（特徴量）を抽出し、抽出した特徴量の中央値を求める。

Ｓ１１では、次に、操作パターン抽出部１２は、上位３つとして選択された特徴量以外の特徴量について、対応する中央値の１０倍以上ならば、その特徴量を選択する。

図７を用いて説明したように、ここでは、理解を容易にすべく、プロトコル名の総数ｍを１２とし、１つの中心ベクトルに対応する単位時間の数を５とし、中心ベクトルをマトリクスの形式で示す。

図７（ａ）の中心ベクトルでは、点模様の背景で示すように、単位時間１、２では、上位３つに含まれるＴＣＰ、ＤＮＳ、ＨＴＴＰの特徴量が選択され、単位時間３では、上位３つに含まれるＴＣＰ、ＨＴＴＰの特徴量が選択される。中央値の１０倍以上の特徴量はない。

図７（ｂ）の中心ベクトルでは、点模様の背景で示すように、単位時間１では、上位３つに含まれるＴＣＰ、ＨＴＴＰ、ＩＭＡＰの特徴量が選択される。また、斜め線模様の背景で示すように、中央値の１０倍以上であるＤＮＳの特徴量が選択される。

Ｓ１１では、操作パターン抽出部１２は、操作名データベース１６から、中心ベクトルの選択された特徴量のパターンに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける。

Ｓ１１では、例えば、図７（ａ）のように、前半フレームではＴＣＰ、ＤＮＳ、ＨＴＴＰが選択され、後半フレームでＴＣＰ、ＨＴＴＰ、ＩＭＡＰが選択されており、図４中のメール受信のルールに適合するため、図７（ａ）の中心ベクトルは、操作名「メール受信」に対応づけられる。

Ｓ１２：次に、操作パターン抽出部１２は、各操作クラスタにつき、当該操作クラスタ内の各特徴ベクトルと当該操作クラスタの中心ベクトルとの距離の平均値を算出し、例えば、その平均値の逆数を当該中心ベクトルとともに後述の操作検出で用いる閾値ｔｈとして、操作名データベース１６において、当該中心ベクトルに対応づけて記憶させ、処理を終了する。

図１２は、第６の実施の形態において操作を検出する際の処理の流れを示すフローチャートである。

ステップＳ３１〜Ｓ３３については、図８の処理と同じなので説明を省略する。

Ｓ３４：操作検出部１３は、各特徴ベクトルにつき、当該特徴ベクトルとノイズデータベース１７の各中心ベクトルとの類似度を算出する。

ここでは，Ｓ７と同一の類似度算出方法を用いる。

Ｓ３５：次に、操作検出部１３は、各特徴ベクトルにつき、類似度の最大値に対応する中心ベクトルに対応づけてノイズデータベース１７に記憶した閾値ｔｈ＿ｎをノイズデータベース１７から読み出し、類似度の最大値が閾値以上か否かを判定する。

操作検出部１３は、類似度の最大値が閾値未満なら（Ｓ３５：ＮＯ）、該当の特徴ベクトルをＳ３７の入力とする。

Ｓ３６：操作検出部１３は、類似度の最大値が閾値以上なら（Ｓ３５：ＹＥＳ）、該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とするベクトル（差分特徴ベクトル）を生成する。

Ｓ３７：次に、操作検出部１３は、操作名データベース１６における各中心ベクトルにつき、各差分特徴ベクトルとの類似度ならびにＳ３４で算出した類似度の最大値が閾値未満（Ｓ３５：ＮＯ）となった各特徴ベクトルとの類似度を算出する。

Ｓ３７では、Ｓ７と同一の類似度算出方法を用いる．
Ｓ３８：次に、操作検出部１３は、類似度の最大値に対応する中心ベクトルに対応づけて記憶した閾値ｔｈを操作名データベース１６から読み出し、類似度の最大値が閾値ｔｈ以上か否かを判定する。

操作検出部１３は、類似度の最大値が閾値未満なら（Ｓ３８：ＮＯ）、処理を終える。

Ｓ３９：操作検出部１３は、類似度の最大値が閾値以上なら（Ｓ３８：ＹＥＳ）、操作名データベース１６から当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す。

Ｓ４０：次に、出力部１４が、読み出された操作名を、例えば、図示しない表示装置などに表示し、処理を終える。

したがって、第６の実施の形態に係る操作検出装置１Ａは、機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置であって、複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベース１６と、ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベース１７と、操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第１の特徴量算出手段（ステップＳ２）と、複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成する第１の特徴ベクトル生成手段（ステップＳ３）と、当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割する特徴ベクトル分割手段（ステップＳ４）と、複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成するノイズクラスタ生成手段（ステップＳ５）と、前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させる第１の中心ベクトル生成手段（ステップＳ６）と、前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第１の類似度算出手段（ステップＳ７）と、当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成する第１の差分特徴ベクトル生成手段（ステップＳ８、Ｓ９）と、当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルから当該特徴ベクトル間の類似性に基づいて複数の操作クラスタを生成する操作クラスタ生成手段（ステップＳ１０）と、前記各操作クラスタにつき、当該操作クラスタ内の特徴ベクトルの中心ベクトルを生成し、前記操作名データベースから、当該中心ベクトルに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける第２の中心ベクトル生成手段（ステップＳ１１）と、操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第２の特徴量算出手段（ステップＳ３２）と、当該特徴量からなる特徴ベクトルを生成する第２の特徴ベクトル生成手段（ステップＳ３３）と、当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第２の類似度算出手段（ステップＳ３４）と、当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成する第２の差分特徴ベクトル生成手段（ステップＳ３５、Ｓ３６）と、前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出する第３の類似度算出手段（ステップＳ３７）と、当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す操作名読出手段（ステップＳ３９）とを備えるので、換言すれば、予め操作が行われていない時間のパケットパターンをノイズパターンとして学習し、操作パターン抽出対象の特徴ベクトルおよび操作検出対象の特徴ベクトルから類似したノイズパターンを除去することで、操作が行われていないときにも発生するパケットデータの影響をなくすことができ、問題を解決することができる。

（変形例）
なお、第６の実施の形態のＳ１０において、類似度の最大値が閾値未満（Ｓ８：ＮＯ）となった操作時間特徴ベクトルおよび差分特徴ベクトル（特徴ベクトルと総称する）のそれぞれにつき、操作名データベース１６における当該特徴ベクトルに適合するルールの有無を判定し、適合すると判定された各ルールにつき、当該ルールに適合する特徴ベクトルからなる操作クラスタを生成してもよい。

特徴ベクトルに適合するルールの有無の判定は、第２の実施の形態と同様に、パターンマッチングにより行うことができる。

上記のようにＳ１０でルールを用いた場合、Ｓ１１では、各操作クラスタにつき、当該操作クラスタの中心ベクトルを生成し、操作名データベース１６から、当該操作クラスタに対応するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づければよい。

したがって、第６の実施の形態の変形例に係る操作検出装置１Ａは、機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置であって、複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベース１６と、ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベース１７と、操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第１の特徴量算出手段（ステップＳ２）と、複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成する第１の特徴ベクトル生成手段（ステップＳ３）と、当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割する特徴ベクトル分割手段（ステップＳ４）と、複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成するノイズクラスタ生成手段（ステップＳ５）と、前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させる第１の中心ベクトル生成手段（ステップＳ６）と、前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第１の類似度算出手段（ステップＳ７）と、当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成する第１の差分特徴ベクトル生成手段（ステップＳ８、Ｓ９）と、当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルのそれぞれにつき、前記操作名データベースにおける当該特徴ベクトルに適合するルールの有無を判定し、適合すると判定された各ルールにつき、当該ルールに適合する特徴ベクトルからなる操作クラスタを生成する操作クラスタ生成手段（ステップＳ１０）と、当該各操作クラスタにつき、当該操作クラスタの中心ベクトルを生成し、前記操作名データベースから、当該操作クラスタに対応するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける第２の中心ベクトル生成手段（ステップＳ１１）と、操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第２の特徴量算出手段（ステップＳ３２）と、当該特徴量からなる特徴ベクトルを生成する第２の特徴ベクトル生成手段（ステップＳ３３）と、当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第２の類似度算出手段（ステップＳ３４）と、当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成する第２の差分特徴ベクトル生成手段（ステップＳ３５、Ｓ３６）と、前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出する第３の類似度算出手段（ステップＳ３７）と、当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す操作名読出手段（ステップＳ３９）とを備えるので、換言すれば、予め操作が行われていない時間のパケットパターンをノイズパターンとして学習し、操作パターン抽出対象の特徴ベクトルおよび操作検出対象の特徴ベクトルから類似したノイズパターンを除去することで、操作が行われていないときにも発生するパケットデータの影響をなくすことができ、問題を解決することができる。

なお、各実施の形態に係る操作検出装置としてコンピュータを機能させるためのコンピュータプログラムは、半導体メモリ、磁気ディスク、光ディスク、光磁気ディスク、磁気テープなどのコンピュータ読み取り可能な記録媒体に記録でき、また、インターネットなどの通信網を介して伝送させて、広く流通させることができる。

１、１Ａ 操作検出装置
１１ 入力部
１２ 操作パターン抽出部
１３ 操作検出部
１４ 出力部
１５ ポート番号記憶部
１６ 操作名データベース
１７ ノイズデータベース

Claims (6)

1. 機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置であって、
   複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベースと、
   ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベースと、
   操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第１の特徴量算出手段と、
   複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成する第１の特徴ベクトル生成手段と、
   当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割する特徴ベクトル分割手段と、
   複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成するノイズクラスタ生成手段と、
   前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させる第１の中心ベクトル生成手段と、
   前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第１の類似度算出手段と、
   当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成する第１の差分特徴ベクトル生成手段と、
   当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルから当該特徴ベクトル間の類似性に基づいて複数の操作クラスタを生成する操作クラスタ生成手段と、
   前記各操作クラスタにつき、当該操作クラスタ内の特徴ベクトルの中心ベクトルを生成し、前記操作名データベースから、当該中心ベクトルに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける第２の中心ベクトル生成手段と、
   操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第２の特徴量算出手段と、
   当該特徴量からなる特徴ベクトルを生成する第２の特徴ベクトル生成手段と、
   当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第２の類似度算出手段と、
   当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成する第２の差分特徴ベクトル生成手段と、
   前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出する第３の類似度算出手段と、
   当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す操作名読出手段と
   を備えることを特徴とする操作検出装置。
2. 機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置であって、
   複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベースと、
   ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベースと、
   操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第１の特徴量算出手段と、
   複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成する第１の特徴ベクトル生成手段と、
   当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割する特徴ベクトル分割手段と、
   複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成するノイズクラスタ生成手段と、
   前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させる第１の中心ベクトル生成手段と、
   前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第１の類似度算出手段と、
   当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成する第１の差分特徴ベクトル生成手段と、
   当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルのそれぞれにつき、前記操作名データベースにおける当該特徴ベクトルに適合するルールの有無を判定し、適合すると判定された各ルールにつき、当該ルールに適合する特徴ベクトルからなる操作クラスタを生成する操作クラスタ生成手段と、
   当該各操作クラスタにつき、当該操作クラスタの中心ベクトルを生成し、前記操作名データベースから、当該操作クラスタに対応するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づける第２の中心ベクトル生成手段と、
   操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出する第２の特徴量算出手段と、
   当該特徴量からなる特徴ベクトルを生成する第２の特徴ベクトル生成手段と、
   当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出する第２の類似度算出手段と、
   当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成する第２の差分特徴ベクトル生成手段と、
   前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出する第３の類似度算出手段と、
   当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す操作名読出手段と
   を備えることを特徴とする操作検出装置。
3. 前記特徴ベクトル分割手段は、
   前記パケットの特徴量と予め定めた閾値を用いて、前記第１の特徴ベクトル生成手段で生成された複数の特徴ベクトルを操作時間特徴ベクトルとノイズ時間特徴ベクトルとに分割する
   ことを特徴とする請求項１または２記載の操作検出装置。
4. 機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置の動作方法であって、
   前記操作検出装置は、
   複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベースと、
   ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベースとを備え、
   前記動作方法は、
   前記操作検出装置の第１の特徴量算出手段が、
   操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出し、
   前記操作検出装置の第１の特徴ベクトル生成手段が、
   複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成し、
   前記操作検出装置の特徴ベクトル分割手段が、
   当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割し、
   前記操作検出装置のノイズクラスタ生成手段が、
   複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成し、
   前記操作検出装置の第１の中心ベクトル生成手段が、
   前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させ、
   前記操作検出装置の第１の類似度算出手段が、
   前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出し、
   前記操作検出装置の第１の差分特徴ベクトル生成手段が、
   当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成し、
   前記操作検出装置の操作クラスタ生成手段が、
   当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルから当該特徴ベクトル間の類似性に基づいて複数の操作クラスタを生成し、
   前記操作検出装置の第２の中心ベクトル生成手段が、
   前記各操作クラスタにつき、当該操作クラスタ内の特徴ベクトルの中心ベクトルを生成し、前記操作名データベースから、当該中心ベクトルに適合するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づけ、
   前記操作検出装置の第２の特徴量算出手段が、
   操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出し、
   前記操作検出装置の第２の特徴ベクトル生成手段が、
   当該特徴量からなる特徴ベクトルを生成し、
   前記操作検出装置の第２の類似度算出手段が、
   当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出し、
   前記操作検出装置の第２の差分特徴ベクトル生成手段が、
   当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成し、
   前記操作検出装置の第３の類似度算出手段が、
   前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出し、
   前記操作検出装置の操作名読出手段が、
   当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す
   ことを特徴とする操作検出装置の動作方法。
5. 機器が通信を行うのに使用されるパケットを基に当該機器に対する操作を検出する操作検出装置の動作方法であって、
   前記操作検出装置は、
   複数種類の操作につき、当該操作の操作名と当該操作の際に適用されるルールおよび中心ベクトルを含むレコードが記憶される操作名データベースと、
   ユーザが操作を行う可能性のない時間のパケットに基づいて生成された中心ベクトルを含むレコードが記憶されるノイズデータベースとを備え、
   前記動作方法は、
   前記操作検出装置の第１の特徴量算出手段が、
   操作を検出する前の期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出し、
   前記操作検出装置の第１の特徴ベクトル生成手段が、
   複数の単位時間につき、当該単位時間から始まる予め定められた複数の連続する単位時間について算出された特徴量からなる特徴ベクトルを生成し、
   前記操作検出装置の特徴ベクトル分割手段が、
   当該複数の特徴ベクトルを、前記機器のユーザが操作を行う可能性のある時間の特徴ベクトルである操作時間特徴ベクトルと前記ユーザが操作を行う可能性のない時間の特徴ベクトルであるノイズ時間特徴ベクトルとに分割し、
   前記操作検出装置のノイズクラスタ生成手段が、
   複数の前記ノイズ時間特徴ベクトルから当該ノイズ時間特徴ベクトル間の類似性に基づいて複数のノイズクラスタを生成し、
   前記操作検出装置の第１の中心ベクトル生成手段が、
   前記各ノイズクラスタにつき、当該ノイズクラスタ内のノイズ時間特徴ベクトルの中心ベクトルを生成し、前記ノイズデータベースに記憶させ、
   前記操作検出装置の第１の類似度算出手段が、
   前記各操作時間特徴ベクトルにつき、当該操作時間特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出し、
   前記操作検出装置の第１の差分特徴ベクトル生成手段が、
   当該類似度の最大値が予め定めた閾値以上の場合の該当の操作時間特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を特徴量とする差分特徴ベクトルを生成し、
   前記操作検出装置の操作クラスタ生成手段が、
   当該最大値が当該閾値未満の場合の該当の操作時間特徴ベクトルおよび前記差分特徴ベクトルからなる複数の特徴ベクトルのそれぞれにつき、前記操作名データベースにおける当該特徴ベクトルに適合するルールの有無を判定し、適合すると判定された各ルールにつき、当該ルールに適合する特徴ベクトルからなる操作クラスタを生成し、
   前記操作検出装置の第２の中心ベクトル生成手段が、
   当該各操作クラスタにつき、当該操作クラスタの中心ベクトルを生成し、前記操作名データベースから、当該操作クラスタに対応するルールを含むレコードを検索し、当該中心ベクトルを当該レコード内の操作名に対応づけ、
   前記操作検出装置の第２の特徴量算出手段が、
   操作を検出する期間において、単位時間ごとに、パケットのヘッダに含まれる所定の情報のそれぞれにつき、当該単位時間における当該所定の情報に該当するパケットの特徴量を算出し、
   前記操作検出装置の第２の特徴ベクトル生成手段が、
   当該特徴量からなる特徴ベクトルを生成し、
   前記操作検出装置の第２の類似度算出手段が、
   当該各特徴ベクトルにつき、当該特徴ベクトルと前記ノイズデータベースの各中心ベクトルとの類似度を算出し、
   前記操作検出装置の第２の差分特徴ベクトル生成手段が、
   当該類似度の最大値が予め定めた閾値以上の場合の該当の特徴ベクトルと当該最大値に対応する中心ベクトルとの差分を計算し、当該差分を特徴量とする差分特徴ベクトルを生成し、
   前記操作検出装置の第３の類似度算出手段が、
   前記操作名データベースにおける各中心ベクトルにつき、当該各差分特徴ベクトルとの類似度ならびに前記第２の類似度算出手段で算出した類似度の最大値が閾値以上の場合の該当の各特徴ベクトルとの類似度を算出し、
   前記操作検出装置の操作名読出手段が、
   当該類似度の最大値が予め定めた閾値以上なら、前記操作名データベースから当該最大値に対応する中心ベクトルに対応づけられた操作名を読み出す
   ことを特徴とする操作検出装置の動作方法。
6. 請求項１ないし３のいずれかに記載の操作検出装置としてコンピュータを機能させるためのコンピュータプログラム。
   

Images