JPWO2018074027A1 - 異常検出装置、制御方法、及びプログラム - Google Patents

Abstract

取得部（２０２０）は、第１取引について、人物情報と取引情報との組み合わせを取得する。人物情報は、取引を実行する人物を表す情報である。取引情報は、取引に関する種々の情報である。記憶装置（１０）は各取引の取引情報を記憶している。検出部（２０４０）は、取得部（２０２０）によって取得された第１取引の人物情報を用いて、記憶装置（１０）から、第１取引を実行する人物との類似度が高い人物によって実行された取引（第２取引）の取引情報を取得する。検出部（２０４０）は、第１取引の取引情報と第２取引の取引情報を用いて異常な取引を検出する。

Description

本発明は、異常検出装置、制御方法、及びプログラムに関する。

銀行のキャッシュカードやクレジットカードを用いた不正な取引が問題となっている。このような不正な取引に関連する先行技術を開示する文献として、例えば特許文献１がある。特許文献１は、ゲームアカウントでゲーム通貨の異常取引が行われることを検出する装置を開示している。例えば、同じアカウントで同じアイテムを所定回数以上販売する場合に、そのアカウントが異常な取引を行うアカウントであると判定する。

特開２０１４−５３５０９７号公報 国際公開２０１４／１０９１２７号 特開２０１５−４９５７４号公報

特許文献１の装置は、取引が異常であるか否かをアカウントごとに判別している。しかし、例えば一人の人物が複数のアカウントを持っている場合などでは、１つのアカウントによる取引だけに着目しても、取引の異常を検出できないことが考えられる。

本発明は、上記の課題に鑑みてなされたものである。本発明の目的の一つは、異常な取引をより高い精度で検出する技術を提供することである。

本発明の異常検出装置は、（１）ユニーク性を持つ２種類以上の特徴データを含む第１の組み合わせを取得する取得手段と、（２）ユニーク性を持つ２種類以上の特徴データを含み、なおかつ前記第１の組み合わせに含まれる特徴データとの類似度が高い特徴データを含む第２の組み合わせを取得し、前記第１の組み合わせに含まれる特徴データと前記第２の組み合わせに含まれる特徴データとを用いて異常状態を検出する検出手段と、を有する。

本発明の制御方法は、コンピュータによって実行される。
当該制御方法は、（１）ユニーク性を持つ２種類以上の特徴データを含む第１の組み合わせを取得する取得ステップと、（２）ユニーク性を持つ２種類以上の特徴データを含み、なおかつ前記第１の組み合わせに含まれる特徴データとの類似度が高い特徴データを含む第２の組み合わせを取得し、前記第１の組み合わせに含まれる特徴データと前記第２の組み合わせに含まれる特徴データとを用いて異常状態を検出する検出ステップと、を有する。

本発明のプログラムは、本発明の制御方法が有する各ステップをコンピュータに実行させる。

本発明によれば、異常な取引をより高い精度で検出する技術が提供される。

上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。

実施形態１の異常検出装置を例示するブロック図である。 実施形態１の異常検出装置の動作を概念的に例示する図である。 異常検出装置を実現するための計算機を例示する図である。 実施形態１の異常検出装置によって実行される処理の流れを例示するフローチャートである。 複数の撮像画像それぞれから検出された人物を階層化したインデックスを例示する図である。 第２取引の取引情報を取得する第１の方法の流れを例示するフローチャートである。 図５のインデックスを用いて第１取引を行った人物との類似度が高い人物を特定する処理の流れを例示するフローチャートである。 人物情報と取引情報との対応付けをテーブル形式で例示する図である。 Ｓ１０６において実行される処理の流れを例示するフローチャートである。

以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また各ブロック図において、特に説明がない限り、各ブロックは、ハードウエア単位の構成ではなく機能単位の構成を表している。

［実施形態１］
図１は、実施形態１の異常検出装置２０００を例示するブロック図である。異常検出装置２０００は、取得部２０２０及び検出部２０４０を有する。取得部２０２０は、第１取引について、人物情報と取引情報との組み合わせを取得する。人物情報は、取引を実行する人物を表す情報である。例えば人物情報は、その人物が撮像された撮像画像から算出されるその人物の外見の特徴（例えば顔の特徴）を表す特徴量である。取引情報は、取引に関する種々の情報である。例えば取引は、銀行口座から現金を引き出す取引である。この場合、取引情報は、例えば銀行口座の口座番号、銀行口座の名義情報、取引が実行された日時、及び取引が実行された場所などを含む。取引や取引情報の詳細については後述する。

記憶装置１０は各取引の取引情報を記憶している。検出部２０４０は、取得部２０２０によって取得された第１取引の人物情報を用いて、記憶装置１０から、第１取引を実行する人物との類似度が高い人物によって実行された取引の取引情報を取得する。ここで取得される取引情報に係る取引を、第２取引と呼ぶ。検出部２０４０は、第１取引の取引情報と第２取引の取引情報を用いて異常な取引を検出する。

図２は、実施形態１の異常検出装置２０００の動作を概念的に例示する図である。取引実行装置２０−ｎ（ｎは正の整数）は、取引の実行に利用される装置である。取引が銀行口座から現金を引き出す取引である場合、取引実行装置２０−ｎは、例えば銀行やコンビニエンスストアに設置されている ATM（Auto Teller Machine）である。なお、以降の記載において、各取引実行装置に共通の事項について説明する際には、取引実行装置２０−ｎを単に取引実行装置２０と表記する。

カメラ３０−ｎ（ｎは正の整数）は、取引実行装置２０−ｎの付近に設置されているカメラ（例えば防犯カメラ）である。カメラ３０は、取引を行う人物を撮像するように設置されている。なお、以降の記載において、各カメラに共通の事項について説明する際には、カメラ３０−ｎを単にカメラ３０と表記する。

図２では、２つの異なる場所（例えば異なるコンビニエンスストア）に取引実行装置２０−１と取引実行装置２０−２が設置されている。そして、取引実行装置２０−１を用いて取引を実行する人物がカメラ３０−１によって撮像され、取引実行装置２０−２を用いて取引を実行する人物がカメラ３０−２によって撮像される。カメラ３０−１とカメラ３０−２はそれぞれ、繰り返し撮像を行うことで、撮像画像のシーケンス（例えば動画）を生成する。

この例において、異常検出装置２０００は、取引実行装置２０−１で実行されている第１取引の取引情報４０−１と、第１取引の実行している人物が撮像された撮像画像５０−１を取得する。さらに異常検出装置２０００は、撮像画像５０−１に含まれる人物を解析することで、第１取引を実行する人物の特徴量を算出する。異常検出装置２０００は、算出した特徴量を、第１取引を実行する人物の人物情報として用いる。

異常検出装置２０００は、第１取引を実行する人物の特徴量を用いて、この人物との類似度が高い人物によって行われた取引の取引情報４０を記憶装置１０から取得する。図２の例において、第１取引を実行する人物との類似度が高い人物として、撮像画像５０−２に含まれる人物が特定されたとする。この場合、異常検出装置２０００は、撮像画像５０−２に含まれる人物によって行われた取引の取引情報４０−２を取得する。この取引が前述した第２取引として扱われる。

そして異常検出装置２０００は、取引情報４０−１と取引情報４０−２を用いて異常な取引を検出する。

ここで、図２で説明した異常検出装置２０００の動作は、異常検出装置２０００に関する理解を容易にするための例示であり、異常検出装置２０００の構成や動作のバリエーションを制限するものではない。例えば図２の例において第１取引と第２取引は異なる取引実行装置２０で実行されているが、これらは同じ取引実行装置２０で実行された取引であってもよい。なお、以降の記載において、各取引情報に共通の事項について説明する際には、取引情報４０−ｎを単に取引情報４０と表記する。

＜作用・効果＞
本実施形態の異常検出装置２０００によれば、或る人物によって実行される第１の取引の取引情報と、その人物との類似度が高い人物によって実行された第２の取引の取引情報とに基づいて、取引の異常が検出される。このように異常検出装置２０００は、類似度が高い人物によって実行される複数の取引の情報を用いるため、例えばこれらの取引が異なる銀行口座（銀行のアカウント）を用いるものであったとしても、取引の異常を検出することができる。よって、１つのアカウントを用いた取引のみから取引の異常を検出する方法と比較し、取引の異常をより高い精度で検出することができる。

以下、本実施形態についてさらに詳細を述べる。

＜異常検出装置２０００のハードウエア構成の例＞
異常検出装置２０００の各機能構成部は、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。以下、異常検出装置２０００の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。

図３は、異常検出装置２０００を実現するための計算機１０００を例示する図である。計算機１０００は種々の計算機である。例えば計算機１０００は、Personal Computer（PC）、サーバマシン、又は携帯端末（タブレット端末やスマートフォン）などである。計算機１０００は、異常検出装置２０００を実現するために設計された専用の計算機であってもよいし、汎用の計算機であってもよい。

計算機１０００は、バス１０２０、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０を有する。バス１０２０は、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０が、相互にデータを送受信するためのデータ伝送路である。プロセッサ１０４０は、CPU（Central Processing Unit）や GPU（Graphics Processing Unit）などの演算処理装置である。メモリ１０６０は、RAM（Random Access Memory）などで構成される主記憶装置である。ストレージデバイス１０８０は、ハードディスク、SSD（Solid State Drive）、ROM、又はメモリカードなどで構成される補助記憶装置である。ただしストレージデバイス１０８０は RAM で構成されてもよい。

入出力インタフェース１１００は、計算機１０００と入出力デバイスとを接続するためのインタフェースである。例えば入出力インタフェース１１００には、キーボードやマウスなどの入力デバイスや、ディスプレイ装置などの出力デバイスが接続される。

ネットワークインタフェース１１２０は、WAN（Wide Area Network）や LAN（Local Area Network）などの通信網に接続するためのインタフェースである。

ストレージデバイス１０８０は異常検出装置２０００の各機能を実現するプログラムモジュールを記憶している。プロセッサ１０４０は、これら各プログラムモジュールをメモリ１０６０に読み出して実行することで、そのプログラムモジュールに対応する各機能を実現する。

＜処理の流れ＞
図４は、実施形態１の異常検出装置２０００によって実行される処理の流れを例示するフローチャートである。取得部２０２０は、第１取引の人物情報及び取引情報を取得する（Ｓ１０２）。検出部２０４０は、第１取引の人物情報を用いて、第２取引の取引情報を取得する（Ｓ１０４）。検出部２０４０は、第１取引の取引情報及び第２取引の取引情報を用いて異常な取引を検出する（Ｓ１０６）。

＜異常検出装置２０００が動作するタイミング＞
前述した異常検出装置２０００による一連の処理（図４に例示した処理）は、第１取引の実行中に行われてもよいし、第１取引が行われた後に行われてもよい。後者の場合、例えば異常検出装置２０００は、過去の所定期間に行われた各取引を第１取引として扱って一連の処理を行う。こうすることで、異常検出装置２０００は、この所定期間に行われた取引の中から異常な取引を検出する。例えば異常検出装置２０００は、或る日に行われた各取引を第１取引として扱って次の日にバッチ処理を行うことで、各取引が正常であるか否かを判定する。

その他にも例えば、異常検出装置２０００は、ユーザの入力操作に応じて一連の処理を実行してもよい。例えばユーザは、異常検出装置２０００に対して、異常な取引が行われている可能性がある期間を指定する入力を行う。異常検出装置２０００は、その期間に行われた取引それぞれを第１取引として扱って、一連の処理を繰り返し行う。こうすることで、異常検出装置２０００は、指定された期間に行われた各取引の中から異常な取引を検出する。例えばユーザは、アカウントを悪用した事件の発生を受けて警察などの行政機関から協力を依頼された場合に、異常検出装置２０００に対し、その事件に関連ある期間を指定する入力を行うことで、その期間に行われた取引の中から異常な取引を検出させる。

＜異常検出装置２０００が扱う取引＞
異常検出装置２０００は、様々な取引を扱うことができる。異常検出装置２０００が扱う取引は、例えばアカウントを用いた取引である。この場合、取引情報は、取引に用いられたアカウントの識別子、取引に用いられたアカウントの名義情報、取引が行われた時点、及び取引が行われた場所のいずれか１つ以上を含む。アカウントの名義情報は、例えばそのアカウントのユーザの氏名、住所、又は生年月日などである。

アカウントとしては、様々なものを扱うことができる。例えばアカウントは銀行口座である。この場合の取引は、例えば銀行口座からの現金の引き出しやデビットカードを用いた支払いである。またこの場合、アカウントの識別子は、例えば銀行口座の口座番号などである。

その他にも例えば、アカウントはクレジットカードのアカウントである。この場合の取引は、例えばクレジットカードを用いた支払いやキャッシングである。またこの場合、アカウントの識別子は、例えばクレジットカード番号である。

その他にも例えば、アカウントは会員サービスのアカウントである。この場合の取引は、例えば会員カードを用いた買い物（例えばポイントを用いた商品の精算や、会員割引が適用される商品の精算）などである。またこの場合、アカウントの識別子は、例えば会員番号である。

＜異常検出装置２０００を実現する計算機１０００の例＞
異常検出装置２０００を実現するための具体的な計算機１０００としては、様々なものを採用しうる。例えば計算機１０００は、取引の実行に利用される取引実行装置（図２の取引実行装置２０）として実現される。取引が銀行口座を用いた取引である場合、例えば取引実行装置は、銀行口座に関する取引を扱う ATMや、デビットカードを用いた決済に利用される POS（Point of Sales）端末である。取引がクレジットカードのアカウントを用いた取引である場合、例えば取引実行装置は、クレジットカードに関する取引を扱う ATMや、クレジットカードを用いた決済に利用される POS 端末である。取引が会員サービスのアカウントを用いた取引である場合、例えば取引実行装置は、会員カードを用いた商品の決済に利用される POS 端末である。

計算機１０００は、取引実行装置とは異なる装置であってもよい。この場合、例えば計算機１０００は、取引実行装置の管理に用いられるサーバマシンである。その他にも例えば、計算機１０００は、異常検出装置２０００の実現のために取引実行装置や上記サーバマシンとは別途用意された計算機であってもよい。

異常検出装置２０００を実現する計算機１０００として取引実行装置２０を用いる場合、各取引実行装置２０が、その取引実行装置２０において実行される取引を第１取引として扱うことで、異常な取引の検出を行う。一方、異常検出装置２０００を実現する計算機１０００として取引実行装置２０以外を用いる場合、異常検出装置２０００が、１つ又は複数の取引実行装置２０によって実行される取引を第１取引として扱うことで、異常な取引の検出を行う。

＜記憶装置１０について＞
記憶装置１０は、取引情報を取得して記憶することができる任意の記憶装置である。異常検出装置２０００は、記憶装置１０と通信可能に接続されている。記憶装置１０は、異常検出装置２０００の内部に設けられてもよいし、外部に設けられてもよい。前者の場合、例えば記憶装置１０は、図３のストレージデバイス１０８０として実現される。後者の場合、例えば記憶装置１０は、NAS（Network Attached Storage）として実現される。

＜第１取引に関する情報の取得：Ｓ１０２＞
取得部２０２０は、第１取引の人物情報及び取引情報を取得する。以下、人物情報と取引情報の取得方法についてそれぞれ説明する。

＜＜人物情報の取得方法＞＞
異常検出装置２０００は、例えば前述したように、第１取引を実行する人物が撮像された撮像画像を取得する。さらに異常検出装置２０００は、この撮像画像を解析することで、第１取引を実行する人物の特徴量を算出する。例えばこの特徴量は、顔の特徴を表す。取得部２０２０は、算出された特徴量を人物情報として取得する。ここで、画像に含まれる人物の特徴量を算出する技術には、既存の技術を利用することができる。

ここで、第１取引を実行する人物を撮像するカメラ３０は、動画を生成するカメラであってもよいし、静止画を撮像するカメラであってもよい。前者の場合、異常検出装置２０００が取得する撮像画像は、動画を構成する画像フレームである。

異常検出装置２０００が撮像画像を取得する方法は任意である。例えば異常検出装置２０００は、撮像画像が記憶されている記憶装置にアクセスすることで、撮像画像を取得する。撮像画像が記憶されている記憶装置は、撮像画像を生成したカメラ３０の内部に設けられていてもよいし、カメラ３０の外部に設けられていてもよい。また例えば、異常検出装置２０００は、カメラ３０などから送信される撮像画像を受信することで、撮像画像を取得してもよい。

なお、撮像画像に含まれる人物の特徴量を算出する処理は、異常検出装置２０００以外の装置によって行われてもよい。この場合、取得部２０２０は、第１取引を実行する人物の人物情報として、上記特徴量を算出した装置からその特徴量を取得する。

＜＜第１取引の取引情報の取得＞＞
取得部２０２０が第１取引の取引情報を取得する方法は様々である。以下、異常検出装置２０００が一連の処理を行うタイミングが、第１取引が実行される時である場合と、第１取引が終了した後の場合とに分けて説明する。

＜＜＜第１取引が実行される時に異常検出装置２０００が動作するケース＞＞＞
異常検出装置２０００は、第１取引の実行に用いられる取引実行装置から第１取引の取引情報を取得する。ここで、異常検出装置２０００が取引実行装置として実現されているとする。この場合、異常検出装置２０００は、異常検出装置２０００の内部で生成された第１取引の取引情報を取得する。

一方、異常検出装置２０００が取引実行装置以外の装置として実現されているとする。この場合、取引実行装置は、第１取引の実行中（例えば第１取引が開始した直後）に、異常検出装置２０００に対して第１取引の取引情報を送信する。異常検出装置２０００は、取引実行装置によって送信された取引情報を受信する。

＜＜＜第１取引の終了後に異常検出装置２０００が動作するケース＞＞＞
異常検出装置２０００は、記憶装置１０から第１取引の取引情報を取得する。例えば異常検出装置２０００が、過去に行われた複数の取引それぞれを第１取引として扱って一連の処理を実行するとする。この場合、例えば異常検出装置２０００は、記憶装置１０から取引情報を順に読み出し、読み出した取引情報を第１取引の取引情報として扱って一連の処理を行う。なお、取引情報の読み出し順は任意である。

＜＜人物情報と取引情報とを組み合わせる方法＞＞
取得部２０２０は、第１取引の人物情報と取引情報の組み合わせを取得する。例えば、人物情報と取引情報は、人物情報の生成に用いられた撮像画像の生成日時と、取引情報に示される取引日時に基づいて組み合わせられる。より具体的には、例えば取引情報は、複数の人物情報のうち、人物情報の生成に用いられた撮像画像の生成日時が、その取引情報の取引日時に最も近い人物情報と組み合わせられる。その他にも例えば、取引情報は、複数の人物情報のうち、人物情報の生成に用いられた撮像画像の生成日時が、その取引情報の取引開始日時と取引完了日時の間の時点である人物情報と組み合わせられる。この場合、取引情報は、取引開始日時と取引完了日時の双方を示す。

＜第２取引の取引情報の取得：Ｓ１０４＞
検出部２０４０は、第１取引を行う人物の人物情報を用いて、第１取引を行った人物との類似度が高い人物によって行われた取引の取引情報を取得する（Ｓ１０４）。検出部２０４０によって取得される取引情報は、１つであってもよいし、複数であってもよい。後者の場合、複数の取引が第２取引として扱われる。

人物情報が人物の特徴量を示す場合、検出部２０４０は、第１取引を行う人物の特徴量との類似度が高い特徴量を持つ人物によって行われた取引の取引情報を取得する。以下、（１）第１取引を行う人物の特徴量との類似度が高い特徴量を特定する方法、及び（２）その特徴量を持つ人物によって行われた取引の取引情報を特定する方法のそれぞれについて説明する。

＜＜第１取引を行う人物の特徴量との類似度が高い特徴量を特定する方法＞＞
第１取引を行う人物の特徴量との類似度が高い特徴量を特定する方法には、様々な方法を採用できる。以下では、具体的な方法を２つ例示する。

＜＜＜第１の方法＞＞＞
図６は、第２取引の取引情報を取得する第１の方法の流れを例示するフローチャートである。検出部２０４０は、以降の処理に利用する集合Ｕを空集合に初期化する（Ｓ２０２）。検出部２０４０は、取引が行われる場所が撮影された動画（例えば過去の所定期間の動画）を解析することで、各取引を行った人物の特徴量を算出し、算出した各特徴量を集合Ｕに入れる（Ｓ２０４）。ここで、検出部２０４０は、それぞれ異なる場所が撮影された複数の動画を解析対象としてもよい（図２参照）。例えば銀行口座に関する取引を扱う場合、検出部２０４０は、複数の ATM それぞれを撮影することで生成された複数の動画を対象として解析を行う。ただし、解析対象の動画は１つの場所が撮影された動画のみであってもよい。

Ｓ２０６からＳ２１４は、集合Ｕに含まれる各特徴量について実行されるループ処理Ａである。Ｓ２０６において、検出部２０４０は、集合Ｕに要素が含まれるか否かを判定する。集合Ｕに要素が含まれる場合、図６の処理はＳ２０８に進む。一方、集合Ｕに要素が含まれない場合、図６の処理は終了する。

Ｓ２０８において、検出部２０４０は、取引を行った人物の特徴量を１つ集合Ｕから取り出す。取り出される特徴量を vi と表記する。検出部２０４０は、第１取引を行う人物の特徴量と、集合Ｕから取り出した特徴量 vi との類似度が所定値以上であるか否かを判定する（Ｓ２１０）。第１取引を行う人物の特徴量と vi との類似度が所定値未満である場合（Ｓ２１０：ＮＯ）、図６の処理はＳ２１４に進む。

一方、第１取引を行う人物の特徴量と vi との類似度が所定値以上である場合（Ｓ２１０：ＹＥＳ）、検出部２０４０は、第１取引を行う人物の特徴量として、特徴量 vi を特定する。

Ｓ２１４はループ処理Ａの終端であるため、図６の処理はＳ２０６に戻る。以降、集合Ｕの要素が無くなるまで、ループ処理Ａが繰り返し実行される。

＜＜＜第２の方法＞＞＞
この方法において、異常検出装置２０００は、取引が行われる場所が撮影された動画を解析して、検出された人物の特徴量を図５のようにインデックス化する。ここで、解析対象の動画は１つであってもよいし、複数であってもよい。後者の場合、複数の動画には、それぞれ異なる場所が撮影された動画が含まれてもよい。そして異常検出装置２０００は、このインデックスを用いて、第１取引を行う人物との類似度が高い人物を特定する。このインデックスを用いることで、処理速度を高速化できる。このインデックスの詳細及び生成方法は、特許文献２及び３に開示されている。以下、図５のインデックスの構成及びその利用方法を簡単に説明する。

図５に示すインデックスは、複数の撮像画像それぞれから検出された人物を階層化している。ここで、撮像画像から検出された人物にはそれぞれ固有のＩＤ（Identifier）が割り当てられている。このＩＤを検出ＩＤと呼ぶ。例えば図５において、F0001-0001 や F0001-0002 などが検出ＩＤである。ここで、図５に示すインデックスは予め生成しておくものとする。

第３層には、それまでに処理された全ての撮像画像から得られた全ての検出ＩＤそれぞれに対応したノードが配置される。第３層に配置された複数のノードは、特徴量の類似度が所定値以上のもの同士でまとめてグループ化されている。第３層における１つのグループは、例えば、同じ人物であると推定される人物の検出ＩＤがまとめられたグループを表す。そこで図５では、第３層の各グループに対して固有のＩＤである人物ＩＤが割り当てられている。

第２層には、第３層の複数のグループそれぞれから選択された１つのノード（代表ノード）が配置される。代表ノードは、その代表ノードが属する第３層のグループと紐付けられている。第２層に配置された複数のノードは、特徴量の類似度が所定値以上のもの同士でまとめてグループ化される。なお、第３層のグループ化の類似度の基準（第２のしきい値）は、第２層のグループ化の類似度の基準（第１のしきい値）よりも高い。

第１層には、第２層の複数のグループそれぞれから選択された１つのノード（代表ノード）が配置される。代表ノードは、その代表ノードが属する第２層のグループと紐付けられている。

なお、上記のインデックスは、図４に示した異常検出装置２０００の処理が実行される前に、予め生成されていることが好ましい。例えば、取引が行われる場所が撮影された各動画を所定の周期で定期的に解析することで、上記のインデックスを生成・更新しておく。このインデックスを生成・更新する処理は、異常検出装置２０００によって行われてもよいし、他の装置によって行われてもよい。ただしこのインデックスは、図４のＳ１０４において生成されてもよい。

次に、第１取引を行った人物との類似度が高い人物を図５のインデックスを用いて特定する方法について説明する。図７は、図５のインデックスを用いて第１取引を行った人物との類似度が高い人物を特定する処理の流れを例示するフローチャートである。

検出部２０４０は、第１層の各ノードを対象として、ループ処理Ａ（Ｓ３０２からＳ３０６）を実行する。Ｓ３０２において、検出部２０４０は、まだループ処理Ａの対象としていない第１層のノードが存在するか否かを判定する。まだループ処理Ａの対象としていない第１層のノードが存在する場合、検出部２０４０は、まだループ処理Ａの対象としていない第１層のノードの内の１つを選択する。ここで選択された第１層のノードを、ノードｉと呼ぶ。そして、図７の処理はＳ３０４に進む。一方、既に全ての第１層のノードを対象としてループ処理Ａが実行されている場合、図７の処理はＳ３０８に進む。

検出部２０４０は、第１取引を行う人物の特徴量とノードｉに対応する人物の特徴量との類似度が第１のしきい値以上であるか否かを判定する（Ｓ３０４）。上記類似度が第１のしきい値以上である場合（Ｓ３０４：ＹＥＳ）、図７の処理はＳ３１０に進む。これに伴い、ループ処理Ａは終了する。

一方、上記類似度が第１のしきい値未満である場合（Ｓ３０４：ＮＯ）、図７の処理はＳ３０６に進む。Ｓ３０６はループ処理Ａの終端であるため、図７の処理はＳ３０２に進む。

前述したように、Ｓ３０２において、既に全ての第１層のノードを対象としてループ処理Ａが実行されている場合、図７の処理はＳ３０８に進む。Ｓ３０８において、検出部２０４０は、過去に取引を行った人物の特徴量の中に、第１取引を行う人物の特徴量との類似度合いが高い特徴量は存在しないと判定する。そして、図７の処理は終了する。

Ｓ３１０からＳ３１４は、第２層における１つのグループを対象として実行されるループ処理Ｂである。このグループは、Ｓ３０６において、算出した類似度が第１のしきい値以上であると判定された第１層のノードｉを代表ノードとするグループである。

Ｓ３１２において、検出部２０４０は、処理対象のグループの中に、まだループ処理Ｂの対象としていないノードが存在するか否かを判定する。まだループ処理Ｂの対象としていないノードが存在する場合、検出部２０４０は、まだループ処理Ｂの対象としていないノードの内の１つを選択する。ここで選択されたノードをノードｊと呼ぶ。そして、図７の処理はＳ３１２に進む。一方、処理対象のグループに含まれる全てのノードについて既にループ処理Ｂが実行された場合、図７の処理はＳ３０８に進む。

Ｓ３１２において、検出部２０４０は、第１取引を行う人物の特徴量とノードｊに対応する人物の特徴量との類似度が第２のしきい値以上であるか否かを判定する（Ｓ３１２）。上記類似度が第２のしきい値以上である場合（Ｓ３１２：ＹＥＳ）、図７の処理はＳ３１６に進む。これに伴い、ループ処理Ｂは終了する。

一方、上記類似度が第２のしきい値未満である場合（Ｓ３１２：ＮＯ）、図７の処理はＳ３１４に進む。Ｓ３１４はループ処理Ｂの終端であるため、図７の処理はＳ３１０に進む。

Ｓ３１６では、第３層における１つのグループを対象に処理が行われる。このグループは、Ｓ３１２において、算出した類似度が第２のしきい値以上であると判定された第２層のノードｊを代表ノードとする第３層のグループである。検出部２０４０は、この第３層のグループに含まれるノードに対応する人物の特徴量を、第１取引を行う人物の特徴量と類似度が高い特徴量として特定する。

＜＜或る特徴量を持つ人物によって行われた取引の取引情報を特定する方法＞＞
検出部２０４０は、前述した第１の方法や第２の方法で特定された特徴量を持つ人物によって行われた取引の取引情報を記憶装置１０から取得する。ここで取得される取引情報が第２取引の取引情報として扱われる。

或る特徴量を持つ人物によって行われた取引の取引情報は、例えば、その特徴量の算出に利用された撮像画像の生成日時及び取引情報の取引日時に基づいて特定することができる。その具体的な方法は、前述した、人物情報と取引情報とを組み合わせる方法と同様である。

また、動画から算出される人物の特徴量（人物情報）と取引情報との対応付けを予め生成しておき、記憶装置１０に記憶しておいてもよい。例えばこの対応付けを生成する処理は、所定の周期で定期的に実行される。この対応付けを行う装置は、異常検出装置２０００であってもよいし、異常検出装置２０００とは異なる装置であってもよい。

図８は、人物情報と取引情報との対応付けをテーブル形式で例示する図である。図８のテーブルとテーブル５００と表記する。テーブル５００は、特徴量５０２及び取引情報５０４という２つの列を有する。特徴量５０２は、取引を行った人物の特徴量を示す人物情報である。取引情報５０４は取引情報を示す。

取引情報５０４は、識別子５０６、名義情報５０８、取引日時５１０、及び取引場所５１２を含む。識別子５０６は、アカウントの識別子（例えば銀行口座の口座番号）を示す。名義情報５０８は、アカウントの名義情報（例えば銀行口座の名義人の氏名や住所など）を示す。取引日時５１０は、取引が行われた日時を示す。取引場所５１２は、取引が行われた場所を示す。例えば取引場所５１２は、取引が行われた場所の住所や GPS（Global Positioning System）座標などを示す。

テーブル５００を利用する場合、検出部２０４０は、前述した第１の方法や第２の方法で特定された特徴量でテーブル５００を検索することで、その特徴量を持つ人物によって行われた取引の取引情報を取得する。

＜異常な取引の検出：Ｓ１０６＞
検出部２０４０は、第１取引の取引情報及び第２取引の取引情報を用いて異常な取引を検出する（Ｓ１０６）。例えば検出部２０４０は、各取引情報が示すアカウントの識別子や取引場所の相違などに基づいて異常な取引を検出する。具体的には、異常な取引があると判定するための所定の条件を予め定めておく。

図９は、Ｓ１０６において実行される処理の流れを例示するフローチャートである。検出部２０４０は、第１取引と第２取引の取引情報を用いて、上記所定の条件が満たされているか否かを判定する（Ｓ４０２）。この条件が満たされている場合、検出部２０４０は、異常な取引を検出する（Ｓ４０４）。一方、この条件が満たされていない場合、異常な取引は検出されずに図９の処理が終了する。

なおＳ４０４において、検出部２０４０は、第１取引や第２取引などの個別の取引を異常な取引として検出してもよいし、個別の取引を特定せずに「異常な取引が検出された」という判定のみを行ってもよい。

以下、異常な取引を検出するための条件について、いくつか例示する。

＜＜条件１＞＞
検出部２０４０は、「第１取引と第２取引の中にアカウントの名義情報が互いに異なる取引が所定個以上存在する」という条件が満たれている場合に、異常な取引を検出する。アカウントの名義情報が互いに異なるとは、例えばアカウントのユーザの氏名が互いに異なることを意味する。上記所定個は、例えば３個以上とすることが好適である。この場合、第２取引が２つ以上存在することとなる。

このケースでは、例えば、同一であると推測される人物が、名義が異なる複数のアカウントを用いて取引を行った場合に、異常な取引が検出される。名義が異なる複数のアカウントを用いて一人の人物が取引を行うことは一般的でないと考えられる。そこで異常検出装置２０００は、このような一般的ではない取引が行われた場合に、異常な取引を検出する。

＜＜条件２＞＞
検出部２０４０は、「第１取引と第２取引の中に、アカウントの種類が同一であり、なおかつアカウントの識別子が互いに異なる取引が所定個以上存在する」という条件が満たれている場合に、異常な取引を検出する。「アカウントの種類が同一である」という状況は、例えばいずれのアカウントも同じ銀行のアカウントであるという状況、いずれのアカウントも同じクレジットカードのアカウントであるという状況、又はいずれのアカウントも同じ会員サービスのアカウントである状況などである。上記所定個は、例えば３個以上とすることが好適である。この場合、第２取引が２つ以上存在することとなる。

アカウントの種類を比較するために、例えば取引情報にアカウントの種類を示す情報を含めるようにしておく。ただし、アカウントの識別子の中にアカウントの種類を区別するための情報（例えば所定桁の数値）が含まれている場合、取引情報は、アカウントの種類を示す情報を別途含まなくてもよい。

このケースでは、例えば、同一と見られる人物が、同一の銀行における多数の銀行口座を用いて現金の引き出しを行った場合に、異常な取引が検出される。同じ人物が同一の銀行で多数の銀行口座を用いて取引を行うことは一般的でないと考えられる。そこで異常検出装置２０００は、このような一般的ではない取引が行われた場合に、異常な取引を検出する。

またこのケースでは、取引情報に名義情報が含まれていない場合（例えば偽造カードが利用された場合）であっても異常な取引を検出することができる。

＜＜その他の付加条件＞＞
検出部２０４０は、前述した各条件に、「第１取引の取引日時と第２取引の取引日時との差分が所定時間以内である」という条件を加えてもよい。名義や識別子が異なるアカウントを用いた取引が短い時間内（例えば数時間以内）に行われるケースは、これらの取引が長い期間で行われるケースよりも、異常な取引が行われている蓋然性が高いと考えられるためである。

また検出部２０４０は、前述した各条件に、「第１取引の取引日時と第２取引の取引場所との距離が所定距離以上である」という条件を加えてもよい。名義や識別子が異なるアカウントを用いた取引が離れた場所（例えば数十ｋｍ離れた場所）で行われるケースは、これらの取引が近い場所で行われるケースよりも、異常な取引が行われている蓋然性が高いと考えられるためである。

さらに、前述した各条件に、「第１取引の取引日時と第２取引の取引場所との距離が所定距離以上である」という条件と「第１取引の取引日時と第２取引の取引日時との差分が所定時間以内である」という条件の双方を加えてもよい。

＜異常な取引が検出された場合の対処＞
検出部２０４０によって異常な取引が検出された場合の対処は様々である。例えば異常な取引が検出された場合、取引実行装置２０は、取引実行装置は第１取引を中止する。こうすることで、異常な取引によって損害が発生することを防ぐことができる。なおこの場合、異常検出装置２０００による一連の処理は、第１取引が行われるタイミングで実行される。

なお、異常検出装置２０００が取引実行装置２０以外の装置で実現されている場合、異常検出装置２０００は、取引実行装置２０に対して、異常な取引が検出されたことを通知する。取引実行装置２０は、この通知に応じて、第１取引を中止する。

その他にも例えば、異常検出装置２０００は、異常な取引が検出された場合に、取引実行装置２０を管理するサーバや取引実行装置２０の管理者の携帯端末に対して警告を送信する。この警告には、第１取引を行う人物が撮像された撮像画像や、第１取引の取引情報が含まれることが好適である。サーバや携帯端末に対して警告を送信する技術には、既存の技術を利用することができる。この場合、異常検出装置２０００による一連の処理は、第１取引が行われている間に実行されてもよいし、第１取引が終了した後に実行されてもよい。

その他にも例えば、異常検出装置２０００は、異常な取引が検出された場合に、所定の機関へ通報を行ってもよい。この通報の際、第１取引を行う人物が撮像された撮像画像や、第１取引の取引情報が上記機関に送信されることが好適である。上記所定の機関は、異常であると判定された取引のアカウントを管理している機関（銀行やクレジットカード会社など）、又は警察などの行政機関である。この場合、異常検出装置２０００による一連の処理は、第１取引が行われている間に実行されてもよいし、第１取引が終了した後に実行されてもよい。

以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。

この出願は、２０１６年１０月１７日に出願された日本出願特願２０１６−２０３９２９号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (21)

1. ユニーク性を持つ２種類以上の特徴データを含む第１の組み合わせを取得する取得手段と、
   ユニーク性を持つ２種類以上の特徴データを含み、なおかつ前記第１の組み合わせに含まれる特徴データとの類似度が高い特徴データを含む第２の組み合わせを取得し、前記第１の組み合わせに含まれる特徴データと前記第２の組み合わせに含まれる特徴データとを用いて異常状態を検出する検出手段と、を有する異常検出装置。
2. 前記取得手段は、第１の取引を実行する人物を表す人物情報と、前記第１の取引に関する取引情報との組み合わせを取得し、
   前記検出手段は、前記取得された人物情報を用いて、各取引の前記取引情報を記憶している記憶装置から、前記第１の取引を実行する人物との類似度が高い人物によって実行された第２の取引の取引情報を取得し、前記第１の取引の取引情報と前記第２の取引の取引情報を用いて異常な取引を検出する、請求項１に記載の異常検出装置。
3. 前記検出手段は、各取引を行う人物が撮像された複数の撮像画像の中から、前記第１の取引を実行する人物との類似度が高い人物が撮像された撮像画像を特定し、その撮像画像が生成された時間に基づき、前記記憶装置に記憶されている複数の取引情報の中から、前記第２の取引の取引情報を特定する、請求項２に記載の異常検出装置。
4. 各取引を実行した人物を表す前記人物情報と、その取引の前記取引情報とを対応づけて記憶している記憶装置と通信可能に接続されており、
   前記検出手段は、前記第１の取引を実行する人物との類似度が高い人物の前記人物情報に対応づけられている取引情報を、前記第２の取引の取引情報として前記記憶装置から取得する、請求項２に記載の異常検出装置。
5. 前記検出手段は、前記第１の取引が行われる際に異常な取引の検出を行う、請求項２乃至４いずれか一つに記載の異常検出装置。
6. 前記人物情報は、前記取引を実行する人物が撮像された撮像画像を用いて算出されたその人物の特徴量を示す、請求項２乃至５いずれか一つに記載の異常検出装置。
7. 前記取引は、アカウントを用いた取引であり、
   前記取引情報は、前記取引に用いられた前記アカウントの識別子、前記取引に用いられた前記アカウントの名義情報、前記取引が行われた時点、及び前記取引が行われた場所のいずれか１つ以上を含む、請求項２乃至６いずれか一つに記載の異常検出装置。
8. 前記アカウントは銀行口座であり、
   前記取引情報は、その取引で利用された前記銀行口座の識別子、その取引で利用された前記銀行口座の名義情報、その取引が行われた時点、及びその取引が行われた場所のいずれか１つ以上を含む、請求項７に記載の異常検出装置。
9. 前記検出手段は、前記第１の取引と前記第２の取引の中に、アカウントの名義情報が互いに異なる取引が所定個以上含まれる場合に、異常な取引が存在すると判定する、請求項７又は８に記載の異常検出装置。
10. 前記検出手段は、前記第１の取引と前記第２の取引の中に、アカウントの種類が同一であり、なおかつアカウントの識別子が互いに異なる取引が所定個以上含まれる場合に、異常な取引が存在すると判定する、請求項７又は８に記載の異常検出装置。
11. コンピュータによって実行される制御方法であって、
    ユニーク性を持つ２種類以上の特徴データを含む第１の組み合わせを取得する取得ステップと、
    ユニーク性を持つ２種類以上の特徴データを含み、なおかつ前記第１の組み合わせに含まれる特徴データとの類似度が高い特徴データを含む第２の組み合わせを取得し、前記第１の組み合わせに含まれる特徴データと前記第２の組み合わせに含まれる特徴データとを用いて異常状態を検出する検出ステップと、を有する制御方法。
12. 前記取得ステップにおいて、第１の取引を実行する人物を表す人物情報と、前記第１の取引に関する取引情報との組み合わせを取得し、
    前記検出ステップにおいて、前記取得された人物情報を用いて、各取引の前記取引情報を記憶している記憶装置から、前記第１の取引を実行する人物との類似度が高い人物によって実行された第２の取引の取引情報を取得し、前記第１の取引の取引情報と前記第２の取引の取引情報を用いて異常な取引を検出する、請求項１１に記載の制御方法。
13. 前記検出ステップにおいて、各取引を行う人物が撮像された複数の撮像画像の中から、前記第１の取引を実行する人物との類似度が高い人物が撮像された撮像画像を特定し、その撮像画像が生成された時間に基づき、前記記憶装置に記憶されている複数の取引情報の中から、前記第２の取引の取引情報を特定する、請求項１２に記載の制御方法。
14. 各取引を実行した人物を表す前記人物情報と、その取引の前記取引情報とを対応づけて記憶している記憶装置と通信可能に接続されており、
    前記検出ステップにおいて、前記第１の取引を実行する人物との類似度が高い人物の前記人物情報に対応づけられている取引情報を、前記第２の取引の取引情報として前記記憶装置から取得する、請求項１２に記載の制御方法。
15. 前記検出ステップにおいて、前記第１の取引が行われる際に異常な取引の検出を行う、請求項１２乃至１４いずれか一つに記載の制御方法。
16. 前記人物情報は、前記取引を実行する人物が撮像された撮像画像を用いて算出されたその人物の特徴量を示す、請求項１２乃至１５いずれか一つに記載の制御方法。
17. 前記取引は、アカウントを用いた取引であり、
    前記取引情報は、前記取引に用いられた前記アカウントの識別子、前記取引に用いられた前記アカウントの名義情報、前記取引が行われた時点、及び前記取引が行われた場所のいずれか１つ以上を含む、請求項１２乃至１６いずれか一つに記載の制御方法。
18. 前記アカウントは銀行口座であり、
    前記取引情報は、その取引で利用された前記銀行口座の識別子、その取引で利用された前記銀行口座の名義情報、その取引が行われた時点、及びその取引が行われた場所のいずれか１つ以上を含む、請求項１７に記載の制御方法。
19. 前記検出ステップにおいて、前記第１の取引と前記第２の取引の中に、アカウントの名義情報が互いに異なる取引が所定個以上含まれる場合に、異常な取引が存在すると判定する、請求項１７又は１８に記載の制御方法。
20. 前記検出ステップにおいて、前記第１の取引と前記第２の取引の中に、アカウントの種類が同一であり、なおかつアカウントの識別子が互いに異なる取引が所定個以上含まれる場合に、異常な取引が存在すると判定する、請求項１７又は１８に記載の制御方法。
21. 請求項１１乃至２０いずれか一つに記載の制御方法の各ステップをコンピュータに実行させるプログラム。

Images