JP6429309B2

JP6429309B2 - 不正取引検出システム

Info

Publication number: JP6429309B2
Application number: JP2014136430A
Authority: JP
Inventors: 晴樹増田
Original assignee: Ｓｉｏｒｋ株式会社
Priority date: 2014-07-02
Filing date: 2014-07-02
Publication date: 2018-11-28
Anticipated expiration: 2034-07-02
Also published as: JP2016015000A

Description

本発明は、偽造、盗難キャッシュカードを用いた現金自動取引装置からの不正な金銭の取引や、インターネットバンキングによる不正な金銭の取引を高精度に検出する上で好適な不正取引検出システムに関するものである。

従来より、偽造、盗難キャッシュカードを用いた現金自動取引装置からの不正な金銭の取引や、インターネットバンキングによる不正な金銭の取引（以下、不正取引という。）による被害が多発している。このため、２００６年２月に預金者保護法が制定され、偽造、盗難キャッシュカード、インターネットバンキングによる不正取引については、金融機関が補償することが義務付けられている。また同法９条では、不正な金銭の取引の防止措置として、認証技術の開発、情報漏洩防止、異常な取引状況の早期の把握のための情報システムの整備が金融機関に義務付けている。

しかしながら、このような法的整備以外に、不正取引そのものを早期に発見することが何よりも重要であり、これが預貯金者の被害額や、金融機関の補償額の最小化につながるものと考えられる。

このため、近年において夜間バッチ処理により金額や取引時間帯等に関し、所定の条件に該当する取引を抽出し、翌日以降において検査員の目視により異常性が認められる取引について本人確認等の追加確認を実施することにより、不正取引を検出することが行なわれている。しかしながら、このような不正取引の検出方法は、あくまで検査員による目視に依存するため、その検出精度、検出効率の面で改善の余地があった。

従って、例えば特許文献１に示すように、高額取引用の暗証番号を不正取得しにくくし、不正取引による被害を抑制する技術が開示されている。しかしながら、この特許文献１の開示技術を回避するようにして暗証番号が取得された場合に、不正取引を検出することができないという問題点があった。

特開２００６−３３１２６５号公報

そこで、本発明は、上述した問題点に鑑みて案出されたものであり、その目的とするところは、偽造、盗難キャッシュカードを用いた現金自動取引装置からの不正な金銭の取引や、インターネットバンキングによる不正な金銭の取引を高精度に検出する上で好適な不正取引検出システムを提供することにある。

請求項１に係る不正取引検出システムは、取引された取引金額のプロファイル、取引時間のプロファイル、及び取引場所のプロファイルの何れか１以上から構成され、口座毎又は利用者毎に記憶された取引データを、サーバーから取得するデータ取得手段と、上記データ取得手段により取得された上記取引データについて閾値以上のモードを検出し、検出したモードの統計的分布に基づいて、その期待値並びに標準偏差を算出する算出手段と、不正取引の判定対象について上記サーバーから取得した取引金額のプロファイル、取引時間のプロファイル、及び取引場所のプロファイルの何れか１以上から構成されたデータについて、上記算出手段により算出されたモードの統計的分布との乖離度を求め、当該乖離度が所定値以上のものを不正取引と判定する不正取引判定手段とを備え、上記算出手段は、検出したモードの区間を複数のデータ区間に分割したヒストグラムを取得し、その取得したヒストグラムの面積の総和と、検出したモードの期待値を中心とした正規分布の式における上記モード区間の積分値とが等しくなる条件の下で、上記正規分布の式から標準偏差を求め、上記不正取引判定手段は、不正取引の判定対象について、上記算出手段により算出されたモードの期待値及び標準偏差からなる統計的分布との乖離度を求めることを特徴とする。

請求項２に係る不正取引検出システムは、請求項１に係る発明において、上記算出手段は、下記式の左辺に示す正規分布ｎの式における当該モード区間の積分値と、下記式の右辺に示す上記ヒストグラムの各データ区間における面積Ｓｍ_kの総和とが互いに等しくなる条件の下で、当該式から正規分布ｎの標準偏差σ_nを求めることを特徴とする請求項２記載の不正取引検出システム。

(μ_n：上記ヒストグラムから求められた期待値、σ_n：正規分布ｎの標準偏差)

請求項３に係る不正取引検出システムは、請求項１又は２に係る発明において、上記不正取引判定手段は、検出したモードの統計的分布の期待値と上記不正取引の判定対象との距離を、上記標準偏差で除した乖離度に基づいて上記判定を行なうことを特徴とする。

上述した構成からなる本発明によれば、偽造、盗難キャッシュカードを用いた不正な金銭の取引を高精度に検出することが可能となる。

本発明を適用した不正取引検出システムの構成を示す図である。取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルの各例を示す図である。各プロファイル期間における取引回数の例について説明するための図である。プロファイル観点のヒストグラムの例を示す図である。ヒストグラムのプロファイルを正規分布に近似させる処理について説明するための図である。モードＰ１、Ｐ２の各正規分布における標準偏差を求める例について説明するための図である。逆関数Ｆ^-1（ｘ）を縦軸とし、ｘを横軸とした場合の関係を示す図である。乖離度を求めるコンセプトについて説明するための図である。取引金額のプロファイルにおいて判定対象の乖離度を求める例について説明するための図である。取引時間のプロファイルにおいて、判定対象の乖離度を求める例について説明するための図である。取引場所のプロファイルにおいて、判定対象の乖離度を求める例について説明するための図である。本発明を適用した不正取引検出システムの動作を示すフローチャートである。

以下、本発明を適用した不正取引検出システムについて図面を参照しながら詳細に説明をする。

図１は、本発明を適用した不正取引検出システム１の構成を示している。不正取引検出システム１は、公衆通信網５に対してそれぞれ接続された、サーバー６と、現金自動取引装置７ａ〜７ｃと、インターネットバンキングによる各種手続きを行うためのパーソナルコンピュータ（ＰＣ）８と、サーバー６に接続された不正取引検出装置２とを備えている。

公衆通信網５は、サーバー６、現金自動取引装置７、ＰＣ８とを電話回線を介して接続されるインターネット網である。これらの公衆通信網５は、通常のインターネット回線に加えて、その守秘性を担保するために専用回線が用いられる場合がある。

現金自動取引装置７は、金融機関や駅、ショッピングモール、コンビニエンスストア等に設置され、顧客が自らのキャッシュカードにより現金を引き出し、現金を預金し、或いは振込等を行なうための、いわゆるＡＴＭ（Automated Teller Machine）である。この現金自動取引装置７は、金銭の取引状況を示す取引データを発行し、或いは公衆通信網５を介してサーバー６へ取引データを送信する。ここでいう取引データとは、例えば取引金額、取引時間のみならず、その取引場所に関するデータから構成される。取引場所は、その現金自動取引装置７が設置位置に応じたものとなっている。なお、この現金自動取引装置７は、ＡＴＭ以外に、郵貯を始め、他のいかなる現金を自動的に取引可能な装置を含む概念である。

ＰＣ８は、ユーザがインターネットを介した金融機関の取引サービス（インターネットバンキング）を受ける上でのインターフェースとしての役割を担う電子機器である。通常は、ユーザがＰＣ８を操作することにより、金融機関のサイトからログインすることで、インターネットバンキングの各種サービス及びこれを利用した各種取引を行っていくこととなる。ＰＣ８は、携帯電話、スマートフォン、タブレット型端末、ウェアラブル端末等、インターネットに接続可能であり、ＰＣ８と同様に取引を行うことが可能な電子機器に代替されるものであってもよい。サーバー６は、現金自動取引装置７やＰＣ８から公衆通信網５を介して取得された取引データを口座毎に、又は利用者毎に記録する。このサーバー６に記録される取引データは、不正取引検出装置２による命令に基づいて読み出される。

不正取引検出装置２は、いわゆるパーソナルコンピュータや、スマートフォン、タブレット型端末、携帯電話機等を始めとしたハードウェアとして具現化される。この不正取引検出装置２は、有線又は無線により公衆通信網５に対してアクセス可能とされている。この不正取引検出装置２は、かかる公衆通信網５を介してサーバー６に記録されている取引データを取得する。不正取引検出装置２は、取得したデータを解析することにより、各現金自動取引装置７ａ〜７ｃやＰＣ８によるインターネットバンキングについて不正な取引の有無を検出する。

次に、この不正取引検出装置２による不正取引の検出方法について説明をする。

図２に示すように、取引データは、大きく分類して取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルから構成される。以下の説明において、この取引データは、取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルの３つから構成されている場合を例にとり説明をするが、これに限定されるものではなく、何れか１以上のプロファイルのみが記述された取引データに基づいて不正取引を検出するものであってもよい。

ここで取引金額のプロファイルは、例えば横軸を取引金額とし、縦軸を頻度としたヒストグラム、又はそのデータで構成される。取引時間のプロファイルは、例えば横軸を取引時間、縦軸を頻度としたヒストグラム、又はそのデータで構成される。取引場所のプロファイルは、例えば縦軸を経度、横軸をとした位置情報で構成される散布図又はそのデータで構成される。つまり、現金が引き出された現金自動取引装置７の位置や、インターネットバンキングにおけるＩＰアドレスが、緯度と経路からなる２次元座標上で示されることとなる。

不正取引検出装置２は、口座毎に不正取引の有無を検出する際には、サーバー６から取引データを取得した上で、取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルの作成を行う。利用者毎に不正取引の有無を検出する際も同様である。このとき、不正取引検出装置２は、取引データにおいて統計的に有意なデータ数が得られていない場合には、プロファイルを作成しないように制御するようにしてもよい。かかるプロファイル作成条件の例としては、所定期間（以下、プロファイル期間という。）における取引回数に基づくものであってもよい。ちなみにプロファイル期間は、システム管理者が自在に設定できるものとされていてもよい。

不正取引検出装置２は、図３に示すように、プロファイル期間における取引回数がプロファイル最小数Ｎ_min未満である場合において、統計的に有意となるデータ数を確保できないため、プロファイルを作成しないようにする。なお、この図３中、“Ｘ”はプロファイルに反映させない取引データであり、“Ｐ”は、プロファイルに反映させる取引データである。このプロファイル最小数Ｎ_minは、システム管理者が自在に設定できる閾値であり、プロファイル期間が１ヶ月である場合に、２５とするようにしてもよい。

またプロファイル期間における取引回数が、図３に示すようにプロファイル最小数Ｎ_min以上、プロファイル最大数Ｎ_max以下である場合には、統計的に有意なデータ数が充足されたものとして、当該プロファイル期間内の全ての取引データに基づいてプロファイルを作成する。このプロファイル最大数Ｎ_maxは、システム管理者が自在に設定できる閾値とされていてもよい。

また、プロファイル期間における取引回数が、図３に示すようにプロファイル最大数Ｎ_max超である場合には、直近から数えてプロファイル最大数Ｎ_maxまでの取引データに基づいてプロファイルを作成する。かかるケースでは、統計的に有意なデータ数が充足しているため、できるだけ直近の取引が反映されたデータについて重点的に分析を行う。

不正取引検出装置２は、実際に作成したプロファイルを分析する上で、モードという概念を用いる。モードとは、図４に示すようにプロファイル観点のヒストグラム（度数分布表）を口座毎に作成し、各データ区間の相対度数が所定の閾値以上の区間をいう。利用者毎に判定を行う場合には、利用者単位でヒストグラムを作成する。図４のプロファイルは、取引金額のプロファイルの一例であり、横軸は階級下限値を意味するが、閾値以上の区間は、２００００円〜２９９９９円、１３００００〜１５９９９９円、２６００００円〜２７９９９９万円の区間であるため、これら各区間をモードとみなす。なお、閾値についても、システム管理者側において自在に設定可能とされていてもよい。

次に不正取引検出装置２は、検出したモードの統計的分布を正規分布に近似させるべく、その期待値並びに標準偏差を算出する。所定の閾値以上の区間のみをモードとみなしてその後の統計解析を行わせる理由としては、取得した全てのプロファイルの統計的分布をそのまま正規分布に近似させようとした場合には、例えば図４の点線に示すように全体的に連続したものとなってしまう。特に複数の離間したピークが現れるプロファイルでは、このような全体的に連続した正規分布に近似させると、本来の傾向との間で大きな乖離を生じてしまう。従って、閾値以上のみモードとみなして正規分布に近似させることで、極力本来の傾向を統計的に解析することが可能となる。

不正取引検出装置２は、例えば図５（ａ）に示すようなプロファイルから、閾値以上のモードＰ１とモードＰ２を検出したものとする。このようなモードＰ１とモードＰ２とをそれぞれ、図５（ｂ）に示すような正規分布にそれぞれ近似させる処理を行う。

各モードに対応する正規分布の積分の比率は、モードの相対度数（モードシェア）の比率に等しいと仮定する。このときモードＰ１における正規分布の積分値Ｉ１は、Ｉ１＝（Ｉ１＋Ｉ２）Ｓｍ１／（Ｓｍ１＋Ｓｍ２）で表すことができ、モードＰ２における正規分布の積分値Ｉ２は、Ｉ２＝（Ｉ１＋Ｉ２）Ｓｍ２／（Ｓｍ１＋Ｓｍ２）で表すことができる。ここでＳｍ１は、モードＰ１におけるヒストグラムの縦軸の値であり、Ｓｍ２は、モードＰ２におけるヒストグラムの縦軸の値である。

これを一般化すると、正規分布ｎの積分Ｉｎは、以下の（１）式で表される。

・・・・・・・・・・（１）

このＩ_kは、（データ区間ｋの積分値であり、Ｓｍ_kは、データ区間ｋの面積である。この一般化された式の意味するところは、正規分布のサイズは、ヒストグラムにおける各データ区間の高さに依存するということにある。また、各正規分布において、対応するモード区間での積分は、それに対応するモードシェアに等しいものと仮定したとき、下記（２）式を定義することが可能となる。

・・・・・・・・・・（２）

また、この（２）式に（１）式を代入して整理すると、下記式（２）´が得られる。

・・・・・・・・・・（２）´
(μ_n：ヒストグラムから求められた期待値、σ_n：正規分布ｎの標準偏差)

なお、式（２）´におけるヒストグラムから求められた期待値μ_nは、ヒストグラムから求めた算術平均（相加平均）や中央値等の何れであってもよく、システム管理者側において、これら以外の統計的指数も含めて自由に設定することが可能となる。

この式（２）´は、左辺に示す正規分布ｎの式における当該モード区間の積分値と、右辺に示す上記ヒストグラムの各データ区間における面積Ｓｍ_kの総和とが互いに等しくなる条件としている。図５でいうところのモードＰ₁の面積と、当該Ｐ₁と同一のモード区間（２００００〜２９９９９円）の積分区間の積分値Ｉ₁とが互いに等しくなり、モードＰ₂の面積と、当該Ｐ₂と同一のモード区間（８００００〜８９９９９円）の積分区間の積分値Ｉ₂とが互いに等しくなる。そして、かかる条件の下で、当該式（２）´から正規分布ｎの標準偏差σ_nを求める。その結果、図６に示すように、モードＰ１の正規分布における正規分布のｎ＝１とした場合における正規分布１の標準偏差σ₁と、モードＰ２の正規分布における正規分布のｎ＝２とした場合における正規分布２の標準偏差σ₂とがそれぞれ求められる。

また（２）´式の左辺の積分について、更にモード区間の開始点（from(n)）と、終点（to(n)）を記載した式（３）を下記に示す。

・・・・・・・・・・（３）

ここで標準正規累積分布関数Ｆ（ｚ）は以下の式（３）´により表される。

・・・・・・・・・・（３）´

モード区間について（３）´式におけるz座標の対応を以下とする。

モード区間始点x_from(n)→z_from(n)、モード区間中点μ_n→0、モード区間終点x_to(n)→z_to(n)
対象性より、(3)式左辺は以下と表すことができる。
(3)式左辺 = F(z_to(n)) - F(z_from(n)) = 2(F(z_to(n)) - F(0)) = 2F(z_to(n)) - 1
以上より、

・・・・・・・・・・（４）

ここで（４）式右辺の変数は全て既知であり、標準正規累積分布関数の逆関数Ｆ^-1（ｘ）は、以下より求まるため、局所標準偏差σ_nを求めることが可能となる。

図７は、逆関数Ｆ^-1（ｘ）を縦軸とし、ｘを横軸とした場合の関係を示している。ｘは、１/２（ΣＳｍ_k＋１）である。

なお、局所標準偏差σ_nの算出方法は、上述した方法に限定されるものではない。式（２）´又は式（３）において右辺はヒストグラムの面積であるから簡単に求めることができ、また左辺において未知数は、σ_nのみであることから、当該σ_nについての方程式を解くことにより、これを求めることができる。かかる場合における方程式の解法については、従来のいかなる数学的手法を用いるようにしてもよい。また、これ以外には、解の候補となりえるσ_nを順次入力し、右辺と左辺が等しくなるか或いはほぼ等しくなるまで試行錯誤を繰り返すようにしてもよい。

また、検出したモードの区間を複数のデータ区間に分割したヒストグラムを取得し、その取得したヒストグラムの面積の総和と、検出したモードの期待値を中心とした正規分布の式における上記モード区間の積分値とが等しくなる条件の下で、上記正規分布の式から標準偏差を求めるものであれば、上述の方法に限定されるものではなく、いかなる方法に基づいて局所標準偏差σ_nを算出するようにしてもよい。

このようにして各モードの正規分布毎に局所標準偏差σ_nが算出され、また期待値μ_nが求められる。不正取引検出装置２は、取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルのそれぞれについて、同様にして正規分布を求める。

次に不正取引検出装置２は、この算出した正規分布との乖離度を求める。この乖離度を求める対象は、不正取引の判定対象とされた各プロファイルについて何れか１以上のデータとする。この不正取引の判定対象は各プロファイルについて、全てのデータをその対象としてもよいし、一部の任意のデータを対象としてもよい。

図８は、乖離度を求める例を示している。上述のようにして、それぞれのモードＤ１、モードＤ２について正規分布を求めた後、判定対象のデータＥが、当該データＥに最近接のモードに対してどの程度乖離しているかの度合を、乖離度としている。ちなみに、判定対象のデータＥに対して、最も近接しているモードは、モードＤ２であるため、当該データＥは、モードＤ２との間で上述した乖離度が求められることとなる。

この乖離度は、下記のように判定対象のデータＥとのモードＤ２の期待値μ_D2との距離（以下、モード距離という。）を、当該モードＤ２の局所標準偏差σ_D2で除すことにより求められる。
乖離度＝モード距離／当該モードの局所標準偏差

モード距離について、判定対象のデータと最近接のモードの期待値μ_nを基準とする理由は、その期待値μ_nこそ当該モードの傾向を如実に表しているものとみなせるためである。また局所標準偏差で除す理由としては、口座又は利用者の取引傾向としてのばらつきの影響を軽減させるためである。

取引金額のプロファイルにおいて判定対象の乖離度を求める際には、図９に示すように、金額のモード距離Mda_D2は単純な金額の差分であり、下式により求められる。モード距離（モードＤ２）：Mda_D2 =｜t_E −μ_D2｜
（t_E：判定対象の金額、μ_D2：モード期待値、σ_D2：局所標準偏差）

また、取引時間のプロファイルにおいて、判定対象の乖離度を求める際には、図１０に示すように、
モード距離（モードn）：Mdt_D2 =｜t_x −μ_D2｜（｜t_x −μ_D2｜≦12の場合）
モード距離（モードn）：Mdt_D2 = 24 −｜t_x −μ_n｜｜t_x −μ_D2｜＞12の場合）
（t_x：取引時間、μ_D2：モード中央値、σ_D2：局所標準偏差）

時間は、周期変数であることから、上述した場合分けを行う。モード距離Ｍｄｔ_nは、上述と同様に取引時間の最近接のモードｎとの時間差の絶対値に基づいて求める。

また、取引場所のプロファイルにおいて、それぞれのモードとの間で判定対象の乖離度を求める際には、図１１に示すように、判定対象の引き出し場所を緯度、経度等の位置座標上で特定する。そして、各モードの期待値に相当する座標（モード中央座標という。）と、判定対象の取引場所とのモード距離を求めるものとする。

このようにして、不正取引検出装置２は、取引金額、取引時間、取引場所の各プロファイルについて乖離度を求めた後、図１２に示すフローに基づいて異常値の判定を行う。先ずステップＳ１１では、取引金額、取引時間、取引場所の各観点毎に、判定対象の取引の異常性を調査するフェーズである。このステップＳ１１において金額異常値評価Ｓ１１１では、上述のようにして求めた取引金額の乖離度から金額スコアを出す。この金額スコアの算出方法は、判定対象の取引金額の乖離度をそのまま金額スコアとしてもよいし、何らかの係数や重み付けを付加するようにしてもよい。時間異常値評価Ｓ１１１では、上述のようにして求めた取引時間の乖離度から時間スコアを出す。この時間スコアの算出方法は、判定対象の取引時間の乖離度をそのまま金額スコアとしてもよいし、これに何らかの係数や重み付けを付加するようにしてもよい。場所異常値評価Ｓ１１１では、上述のようにして求めた取引場所の乖離度から場所スコアを出す。この場所スコアの算出方法は、判定対象の取引場所の乖離度をそのまま場所スコアとしてもよいし、これに何らかの係数や重み付けを付加するようにしてもよい。

このようにして観点別異常値判定ステップＳ１１を終了した後、総合異常値判定ステップＳ１２に移行する。この総合異常値判定ステップステップＳ１２では、先ずステップＳ１２１において、金額スコア、時間スコア、場所スコアの線形統合を行う。この線形統合では、金額係数ｗ_a、時間係数ｗ_t、場所係数ｗ_iを利用し、下記式に基づいて総合スコアを求める。
総合スコア＝ｗ_a×金額スコア＋ｗ_t×時間スコア＋ｗ_i×場所スコア

ステップＳ１２２では、このようにして求められた総合スコアに基づいて最終的な異常値を判定する。この異常値判定は、総合スコアと、予め設定した閾値とを比較し、総合スコアが閾値を超える場合には、判定対象の取引が異常であるものと判定し、ステップＳ１２３へ移行する。これに対して、総合スコアが閾値以下の場合には、判定対象の取引に異常性は無いものと判定し、特にアラートをすることは行わない。

ステップＳ１２３に移行した場合に、不正取引検出装置２は、不正な取引があった旨の通知（アラート）を外部に対して行う。そのアラートの手段はいかなるものであってもよく、金融機関に対して、メール等でその旨を配信するようにしてもよい。

このようにして、本発明によれば、偽造、盗難キャッシュカード等による現金自動取引装置からの不正な現金の引き出しを高精度に検出することができる。

なお、本発明は、上述した実施の形態に限定されるものではない。取引金額、取引時間、取引場所の３つのプロファイルについて、それぞれ乖離度を求めてスコア化し、これをステップＳ１２１において線形結合した総合スコアに基づいて判定する場合のみならず、これら取引金額、取引時間、取引場所の何れか１以上に基づいて判定するようにしてもよい。かかる場合には、実際に乖離度を求めた取引金額、取引時間、取引場所の何れか１以上についてのみ、総合スコアの式に代入して、判定を行うこととなる。仮に乖離度を求めたものが、取引金額、取引時間、取引場所の何れか１つのプロファイルである場合には、当該プロファイルのみに基づいて判定を行うものであってもよい。

１不正取引検出システム
２不正取引検出装置
５公衆通信網
６サーバー
７現金自動取引装置

Claims

取引された取引金額のプロファイル、取引時間のプロファイル、及び取引場所のプロファイルの何れか１以上から構成され、口座毎又は利用者毎に記憶された取引データを、サーバーから取得するデータ取得手段と、
上記データ取得手段により取得された上記取引データについて閾値以上のモードを検出し、検出したモードの統計的分布に基づいて、その期待値並びに標準偏差を算出する算出手段と、
不正取引の判定対象について上記サーバーから取得した取引金額のプロファイル、取引時間のプロファイル、及び取引場所のプロファイルの何れか１以上から構成されたデータについて、上記算出手段により算出されたモードの統計的分布との乖離度を求め、当該乖離度が所定値以上のものを不正取引と判定する不正取引判定手段とを備え、
上記算出手段は、検出したモードの区間を複数のデータ区間に分割したヒストグラムを取得し、その取得したヒストグラムの面積の総和と、検出したモードの期待値を中心とした正規分布の式における上記モード区間の積分値とが等しくなる条件の下で、上記正規分布の式から標準偏差を求め、
上記不正取引判定手段は、不正取引の判定対象について、上記算出手段により算出されたモードの期待値及び標準偏差からなる統計的分布との乖離度を求めること
を特徴とする不正取引検出システム。
上記算出手段は、下記式の左辺に示す正規分布ｎの式における当該モード区間の積分値と、下記式の右辺に示す上記ヒストグラムの各データ区間における面積Ｓｍ_kの総和とが互いに等しくなる条件の下で、当該式から正規分布ｎの標準偏差σ_nを求めること
を特徴とする請求項１記載の不正取引検出システム。

(μ_n：上記ヒストグラムから求められた期待値、σ_n：正規分布ｎの標準偏差)
上記不正取引判定手段は、検出したモードの統計的分布の期待値と上記不正取引の判定対象との距離を、上記標準偏差で除した乖離度に基づいて上記判定を行なうこと
を特徴とする請求項１又は２記載の不正取引検出システム。