JP6599282B2 - リスク判定モデル用学習データ生成装置、リスク判定モデル用学習データ生成方法、プログラム - Google Patents

Description

本発明は、リスクベース認証技術に関するものであり、特に機械学習を用いてリスク判定モデルである識別関数を構築する技術に関する。

インターネットバンキングなどのサービスでは、なりすまし被害を防ぐために、リスクベース認証も併せて利用することがある。リスクベース認証とは、ユーザのアクセス履歴と今回のアクセスの特徴を比較することで不正アクセスのリスクを判定し、高リスクと判定した場合には追加認証を行うものである。この追加認証では、例えば、口座開設時に設定を求められる秘密の質問（例：母親の旧姓は？）など口座開設者本人しか答えを知らないであろう質問とその答えを登録しておく。

一方、機械学習による大規模データの分類問題において、学習データ（教師データ、訓練データともいう）を何らかの理由により運用開始前に十分に用意できない場合、一度学習モデルを生成した後、精度を改善していくために識別対象となるデータを追加の学習データとして受け入れて、再学習を行っていく必要がある。例えば、リスクベース認証のリスク判定用識別関数の構築に機械学習を用いることを考えると、運用開始当初は十分にアクセス履歴が蓄積されていないため、精度改善のため再学習を行っていくのが好ましいと考えられる。このような学習モデルの継続的精度改善の実施に際しては、 日々大量に発生する識別対象となるデータすべてを追加の学習データとして受け入れてラベル付与と再学習を行うと非常に負荷がかかるという問題が存在する。そこで、従来は発生する識別対象となるデータのうち、追加の学習データとして受け入れると識別精度向上への寄与が大きいと見込まれるデータを、データの判定結果を基に数値解析により選別し、選別したデータのみに人手でラベルを付与することで解決していた（非特許文献１）。

"いまさら聞けないDeep Learning超入門（終）：深層学習の判別精度を向上させるコツとActive Learning (2/2)"、［online］、［平成28年4月27日検索］、インターネット <URL:http://www.atmarkit.co.jp/ait/articles/1512/16/news020_2.html>

先述した通り、リスクベース認証の用途で機械学習を利用する場合、運用開始前に十分な学習データを用意できないため、リスク判定の精度を継続的に改善するのが好ましい。しかし、日々大量のアクセスをオンラインで処理するリスクベース認証システムの性質上、リスク判定モデルの学習で処理負荷をかけるのは好ましくない。また、すべてのアクセス履歴のデータから学習データを生成したり、学習データ生成のためのラベル付けに人手を介在させることも現実的ではない。

そこで本発明は、機械学習を用いてリスクベース認証を実現する際に、運用中に行われる学習のための処理負荷を抑え、かつ、学習データ生成に人手を介在させることがないリスクベース認証装置を提供することを目的とする。

本発明の一態様は、利用者ＩＤと、利用者による認証要求時アクセスの特徴を示す特徴情報を含むレコードを学習データとして記録する学習データ記録部と、前記利用者ＩＤごとに前記特徴情報を用いて学習した不正アクセスのリスクを識別する識別関数を記録する学習結果記録部と、前記識別関数を学習するための学習アルゴリズムの動作を規定するハイパーパラメータを選択するためのハイパーパラメータ選択ポリシを記録するハイパーパラメータ選択ポリシ記録部と、前記利用者ＩＤと前記特徴情報を入力とし、前記利用者ＩＤを用いた認証に成功した場合に、前記利用者ＩＤと、前記特徴情報を含むレコードを学習データとして前記学習データ記録部に記録するリスク判定モデル用学習データ生成装置と、前記利用者ＩＤを入力とし、前記ハイパーパラメータ選択ポリシに基づいて決定した最適ハイパーパラメータを設定した前記学習アルゴリズムを用いて、前記利用者ＩＤに対応する学習データから前記識別関数を再学習するリスク判定モデル学習装置とを含むリスクベース認証装置である。

本発明によれば、機械学習を用いてリスクベース認証を実現する際に、継続的精度改善に用いる学習データが発生する度に繰り返し学習していくことにより、運用中に行われる学習のための処理の負荷を抑えることが可能となる。また、認証に成功したアクセスの特徴情報を学習データとして記録していくことにより、学習データ生成に人手を介在させる必要がなくなる。

リスクベース認証装置５００の構成を示すブロック図。 リスク判定モデル用学習データ生成装置１００の構成を示すブロック図。 リスク判定モデル用学習データ生成装置１００の動作を示すフローチャート。 リスク判定モデル学習装置２００の構成を示すブロック図。 リスク判定モデル学習装置２００の動作を示すフローチャート。 学習データテーブルの一例を示す図。 ハイパーパラメータ選択ポリシの一例を示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

＜実施形態＞
以下、図１〜図５を参照してリスクベース認証装置５００について説明する。図１は、リスクベース認証装置５００の構成を示すブロック図である。図２は、リスク判定モデル用学習データ生成装置１００の構成を示すブロック図である。図３は、リスク判定モデル用学習データ生成装置１００の動作を示すフローチャートである。図４は、リスク判定モデル学習装置２００の構成を示すブロック図である。図５は、リスク判定モデル学習装置２００の動作を示すフローチャートである。

図１に示すように、リスクベース認証装置５００は、リスク判定モデル用学習データ生成装置１００と、リスク判定モデル学習装置２００と、学習データ記録部３９０と、学習結果記録部３９２と、ハイパーパラメータ選択ポリシ記録部３９４を含む。図２に示すように、リスク判定モデル用学習データ生成装置１００は、データ受付部１１０と、モード判定部１２０と、識別部１３０と、認証制御部１４０と、第一認証部１８０と、第二認証部１９０を含む。図４に示すように、リスク判定モデル学習装置２００は、最適ハイパーパラメータ決定部２１０と、識別関数学習部２２０を含む。

学習データ記録部３９０は、利用者ごとに認証要求時のアクセス履歴を記録する。アクセス履歴は、例えば図６に示すように、利用者を識別する利用者ＩＤ、各アクセスを識別する識別番号（Ｎｏ．）、アクセス時刻を示す収集時刻、アクセスを特徴付ける特徴情報（Ｉｎｆｏ．１〜Ｉｎｆｏ．Ｎ）のデータの組として表現される。特徴情報の例として、利用者が使用するクライアント端末のＩＰアドレスなどがあり、特徴情報は一般にＮ次元ベクトルで表現される。なお、収集時刻もアクセスを特徴付けるものと考えられるので、収集時刻そのものも特徴情報として扱うこととしてもよい。

学習データ記録部３９０に記録されるアクセス履歴は、認証成功時のものである。つまり、リスク判定モデル学習装置２００は、認証成功時の特徴情報を用いてリスク判定モデル、すなわち識別関数を学習する。

学習結果記録部３９２は、利用者のアクセス履歴（特徴情報）を用いて学習した不正アクセスの可能性の高低を識別するための識別関数を利用者ＩＤとともに記録する。

ハイパーパラメータ選択ポリシ記録部３９４は、利用者ごとに生成される識別関数を学習する際の学習アルゴリズムの動作を規定するハイパーパラメータを選択するため基準（以下、ハイパーパラメータ選択ポリシという）を記録する。識別関数を学習する学習アルゴリズムはどのようなものであってもよい。例えば、ＳＶＭ（Support Vector Machine）やニューラルネットワークなどを用いることができる。

ハイパーパラメータ選択ポリシは、目的関数と制約条件の組で表現される。つまり、ハイパーパラメータ選択ポリシとは、ある制約条件下で所定の目的関数の値を最大化または最小化するようなハイパーパラメータを決定するために用いるものである。目的関数の例としては、ｍｉｎ（ＦＲＲ＋ＦＡＲ）、制約条件の例としては、｜ＦＲＲ−ＦＡＲ｜＜ｑ（ただし、ｑは、０≦ｑ≦１００を満たす任意の実数とする）が挙げられる。その他、図７に示すようなものもハイパーパラメータ選択ポリシの例である。例えば、“Ｓｅｌｅｃｔ Ｐａｒａｍｅｔｅｒ ｗｈｅｒｅ ｍｉｎ（ＦＡＲ）．”は、ＦＡＲが最小となるハイパーパラメータを選択することを意味する。

ここで、ＦＲＲ（False Rejection Rate）は、本人であるにもかかわらず本人ではないと判断されてしまう確率を表す。また、ＦＡＲ（False Acceptance Rate）は、他人であるにもかかわらず本人であると誤認してしまう確率を表す。なお、ハイパーパラメータ選択ポリシを表現するための指標として、ＦＲＲやＦＡＲ以外のものを用いてもよい。例えば、機械学習分野で一般に用いられる指標である適合率（Precision）、正答率（Accuracy）、再現率（Recall）などを用いてハイパーパラメータ選択ポリシを表現することができる。

リスクベース認証装置５００の動作は、大きく２つに分けられる。一つがリスク判定モデル用学習データ生成装置１００による認証及び学習データの記録である。もう一つがリスク判定モデル学習装置２００による識別関数の学習である。

＜リスク判定モデル用学習データ生成装置１００の動作＞
まず、リスク判定モデル用学習データ生成装置１００による認証及び学習データの記録について説明する。データ受付部１１０は、利用者のクライアント端末からネットワークを介して送信されてきた利用者ＩＤ、セッションＩＤ、特徴情報を含む認証要求データを受信する（Ｓ１１０）。特徴情報は、リスクベース認証に用いるものであり、識別関数の学習に用いられるものである。第一認証部１８０は、データ受付部１１０から入力された利用者ＩＤに基づいて利用者が正当な利用者であるかを認証し、データ受付部１１０に認証結果を出力する（Ｓ１８０）。第一認証部１８０が用いる認証方式はどのようなものであってもよい。例えば、ＩＤ・パスワード方式を用いることができる。この場合、第一認証部１８０は、利用者ＩＤとともにパスワードをデータ受付部１１０から受け取る。認証結果がＯＫである（認証に成功した）場合、データ受付部１１０は、利用者ＩＤ、セッションＩＤ、特徴情報をモード判定部１２０に出力する。一方、認証結果がＮＧである（認証に失敗した）場合、データ受付部１１０は、処理を終了する。

モード判定部１２０は、データ受付部１１０から利用者ＩＤ、セッションＩＤ、特徴情報を受け取った後、利用者ＩＤを用いて学習データ記録部３９０に記録されている当該利用者の学習データテーブルのレコード数（利用者ＩＤに対応する学習データの数）を取得し、レコード数があらかじめ設定された数（所定の閾値）未満であるか否かを判断する（Ｓ１２０）。レコード数が所定の閾値未満である場合、モード判定部１２０は、利用者ＩＤに対応する学習データテーブルに特徴情報をその他必要な情報とともに記録し、処理を終了する。レコード数が所定の閾値以上である場合には、モード判定部１２０は、利用者ＩＤ、セッションＩＤ、特徴情報を識別部１３０に出力する。もちろん、所定の閾値未満であるか否かで判断する代わりに、所定の閾値以下であるか否かで判断してもよい。

識別部１３０は、モード判定部１２０から利用者ＩＤ、セッションＩＤ、特徴情報を受け取った後、利用者ＩＤを用いて学習結果記録部３９２に記録されている当該利用者の識別関数を取得し、特徴情報を識別関数に入力して不正アクセスの可能性があるか否か示す識別結果を生成する（Ｓ１３０）。識別関数は、識別関数学習部２２０で用いる学習アルゴリズムに依存する。識別結果が、不正アクセスのリスクが高いことを示すものである場合、利用者ＩＤ、セッションＩＤ、特徴情報を認証制御１４０に渡す。一方、識別結果が、不正アクセスのリスクが低いことを示すものである場合、処理を終了する。

識別部１３０が不正アクセスのリスクが高いと判定した場合、認証制御部１４０は、識別部１３０から利用者ＩＤ、セッションＩＤ、特徴情報を受け取る。その後、第二認証部１９０に利用者ＩＤ、セッションＩＤを渡す。第二認証部１９０は、セッションＩＤのセッションに対して、利用者ＩＤに基づいて追加認証を行い、認証制御部１４０に認証結果を出力する（Ｓ１９０）。追加認証には、先述の秘密の質問を用いることができる。追加認証結果がＯＫである場合、利用者ＩＤに対応する学習データテーブルに特徴情報をその他必要な情報とともに記録し、処理をリスク判定モデル学習装置２００に引き渡す。処理を引き渡す際、利用者ＩＤをリスク判定モデル学習装置２００に出力する。一方、追加認証結果がＮＧである場合、認証制御部１４０は、処理を終了する。

＜リスク判定モデル学習装置２００の動作＞
次に、リスク判定モデル学習装置２００による識別関数の学習について説明する。最適ハイパーパラメータ決定部２１０は、認証制御部１４０から利用者ＩＤを受け取ることにより、利用者ＩＤに対応する識別関数の再学習を開始する。この他、モード選択部１２０から利用者ＩＤとともに学習モードへの切り替え通知を受けて、最適ハイパーパラメータ決定部２１０が再学習を開始するのでもよい。

最適ハイパーパラメータ決定部２１０は、ハイパーパラメータ選択ポリシ記録部３９４から読み出したハイパーパラメータ選択ポリシ（目的関数と制約条件の組）を基準として、学習データ記録部３９０から取得した利用者ＩＤに対応する学習データから最適ハイパーパラメータを決定する（Ｓ２１０）。

最適ハイパーパラメータを決定するための手順の一例は以下の通りである。まず、グリッドサーチやランダムサンプリングなどのアルゴリズムに従いハイパーパラメータごとのＦＲＲ・ＦＡＲを算出する。グリッドサーチを用いた場合、あらかじめ設定された各種ハイパーパラメータの探索範囲でハイパーパラメータのすべての組み合わせについて交差検定等を使ってＦＲＲ・ＦＡＲを算出する。次に、算出したＦＲＲ・ＦＡＲをハイパーパラメータ選択ポリシに照らして最適なハイパーパラメータを決定する。グリッドサーチの場合、先ほど算出したＦＲＲ・ＦＡＲのすべての組み合わせからハイパーパラメータ選択ポリシを満たす組み合わせを最適ハイパーパラメータとして選択する。最適ハイパーパラメータ決定部２１０は、決定した最適ハイパーパラメータを利用者ＩＤとともに識別関数学習部２２０に出力する。

識別関数学習部２２０は、最適ハイパーパラメータ決定部２１０から利用者ＩＤ、最適ハイパーパラメータを受け取った後、利用者ＩＤを用いて学習データ記録部３９０から当該利用者の全学習データを取得し、識別関数を再学習する。学習アルゴリズムには、先述の通り、ＳＶＭ、ニューラルネットワークなど任意の機械学習アルゴリズムを用いることができる。識別関数学習部２２０は、学習結果である識別関数を利用者ＩＤとともに学習結果記録部３９２に記録する。

したがって、利用者について所定の閾値だけ学習データが蓄積した後、高リスクと判定され追加認証が求められたアクセスのうち、追加認証に成功したアクセスの特徴情報が記録される度に、識別関数の再学習が行われることになる。

本実施形態の発明によれば、特徴情報に不正の可能性がない（認証成功や追加認証成功）とのラベルを人手により付与することなく、識別関数の再学習のための学習データを蓄積することができる。これにより、当初学習データが十分でないことにより精度に懸念がある識別関数に対して逐次的に再学習をしていくことが可能になる。また、追加認証に成功した学習データが発生する度、繰り返し再学習をしていくため、運用中の装置に対する学習処理の負荷を抑えることが可能となる。

＜補記＞
本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ−ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。

ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。

ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。

本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。

既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１００ リスク判定モデル用学習データ生成装置
１１０ データ受付部
１２０ モード判定部
１３０ 識別部
１４０ 認証制御部
１８０ 第一認証部
１９０ 第二認証部
２００ リスク判定モデル学習装置
２１０ 最適ハイパーパラメータ決定部
２２０ 識別関数学習部
３９０ 学習データ記録部
３９２ 学習結果記録部
３９４ ハイパーパラメータ選択ポリシ記録部
５００ リスクベース認証装置

Claims (3)

1. 利用者ＩＤと、利用者による認証要求時アクセスの特徴を示す特徴情報を含むレコードを学習データとして記録する学習データ記録部と、前記利用者ＩＤごとに前記特徴情報を用いて学習した不正アクセスのリスクを識別する識別関数を記録する学習結果記録部とを用いて、前記識別関数を学習するための学習データを生成するリスク判定モデル用学習データ生成装置であって、
   利用者ＩＤ、セッションＩＤ、特徴情報を含む認証要求データを受け付けるデータ受付部と、
   前記利用者ＩＤを用いて認証結果を生成する第一認証部と、
   前記認証結果が成功である場合、前記学習データ記録部に記録されている前記利用者ＩＤに対応する学習データ数が所定の数未満のとき、前記利用者ＩＤと、前記特徴情報を含むレコードを新たな学習データとして前記学習データ記録部に記録するモード判定部と、
   前記学習データ数が所定の数以上のとき、前記利用者ＩＤに対応する識別関数を用いて前記特徴情報について不正アクセスのリスクを識別し、識別結果を生成する識別部と、
   前記識別結果がリスクが高いことを示すものである場合、前記利用者ＩＤを用いて追加認証結果を生成する第二認証部と、
   前記追加認証結果が成功である場合、前記利用者ＩＤと、前記特徴情報を含むレコードを新たな学習データとして前記学習データ記録部に記録し、前記利用者ＩＤを出力する認証制御部と
   を含むリスク判定モデル用学習データ生成装置。
2. データ受付部と、第一認証部と、モード判定部と、識別部と、第二認証部と、認証制御部とを含むリスク判定モデル用学習データ生成装置が、利用者ＩＤと、利用者による認証要求時アクセスの特徴を示す特徴情報を含むレコードを学習データとして記録する学習データ記録部と、前記利用者ＩＤごとに前記特徴情報を用いて学習した不正アクセスのリスクを識別する識別関数を記録する学習結果記録部とを用いて、前記識別関数を学習するための学習データを生成するリスク判定モデル用学習データ生成方法であって、
   前記データ受付部が、利用者ＩＤ、セッションＩＤ、特徴情報を含む認証要求データを受け付けるデータ受付ステップと、
   前記第一認証部が、前記利用者ＩＤを用いて認証結果を生成する第一認証ステップと、
   前記モード判定部が、前記認証結果が成功である場合、前記学習データ記録部に記録されている前記利用者ＩＤに対応する学習データ数が所定の数未満のとき、前記利用者ＩＤと、前記特徴情報を含むレコードを新たな学習データとして前記学習データ記録部に記録するモード判定ステップと、
   前記識別部が、前記学習データ数が所定の数以上のとき、前記利用者ＩＤに対応する識別関数を用いて前記特徴情報について不正アクセスのリスクを識別し、識別結果を生成する識別ステップと、
   前記第二認証部が、前記識別結果がリスクが高いことを示すものである場合、前記利用者ＩＤを用いて追加認証結果を生成する第二認証ステップと、
   前記認証制御部が、前記追加認証結果が成功である場合、前記利用者ＩＤと、前記特徴情報を含むレコードを新たな学習データとして前記学習データ記録部に記録し、前記利用者ＩＤを出力する認証制御ステップと
   を含むリスク判定モデル用学習データ生成方法。
3. 請求項１に記載のリスク判定モデル用学習データ生成装置としてコンピュータを機能させるためのプログラム。

Images