JPWO2018216100A1 - 行動分析システム、行動分析方法及び記録媒体 - Google Patents

Abstract

複数の行動データを含む行動データ群を分析対象ごとに生成する生成部と、前記行動データ群に含まれるパラメタのうち、前記分析対象に依存するパラメタを前記分析対象に依存しないパラメタに変換することにより、複数の分析対象の各々の前記行動データ群を変換する変換部と、前記複数の分析対象の変換後の前記行動データ群を用いて分析を行う分析部と、を備えることを特徴とする行動分析システムが提供される。

Description

本発明は、行動分析システム、行動分析方法及び記録媒体に関する。

ユーザ又は装置の行動を示す複数のデータのパターンから特徴を検出することにより、異常検出等を行う技術が知られている。特許文献１には、携帯端末等を操作するユーザの操作から特徴の検出を行うデータ処理装置が記載されている。

特許文献１のデータ処理装置は、系列取得部と、断片化部と、パターン抽出部と、生成部とを備える。系列取得部は、複数のデータが配列されたデータ系列を取得する。断片化部は、データ系列を断片化して、複数の部分データ系列を得る。パターン抽出部は、複数の部分データ系列の少なくとも１つに出現する１以上のデータのパターンを複数抽出する。生成部は、複数の部分データ系列のそれぞれについて、複数のパターンのそれぞれを含むか否かに応じて異なる要素値を有する特徴ベクトルを生成する。これにより、発生時刻が時間的に不規則な現象を示す時系列のデータから、特徴ベクトルを生成して特徴を検出できる。

特開２０１６−５８０２７号公報

しかしながら、特許文献１に記載の技術において、複数のユーザ又は装置の行動に共通して現れる特徴を検出しようとした場合に、データに含まれるパラメタの種類によってはモデル化を適切に行うことが難しい場合がある。

本発明は、上述の問題に鑑みて行われたものであって、複数のユーザ又は装置の行動に共通して現れる特徴を検出する際に、より適切にモデル化を行うことができる行動分析システム、行動分析方法及び記録媒体を提供することを目的とする。

本発明の１つの観点によれば、複数の行動データを含む行動データ群を分析対象ごとに生成する生成部と、前記行動データ群に含まれるパラメタのうち、前記分析対象に依存するパラメタを前記分析対象に依存しないパラメタに変換することにより、複数の分析対象の各々の前記行動データ群を変換する変換部と、前記複数の分析対象の変換後の前記行動データ群を用いて分析を行う分析部と、を備えることを特徴とする行動分析システムが提供される。

本発明によれば、複数のユーザ又は装置の行動に共通して現れる特徴を検出する際に、より適切にモデル化を行うことができる行動分析システム、行動分析方法及び記録媒体を提供することができる。

本発明の第１実施形態に係る行動分析システム及び対象システムを示す概略図である。 本発明の第１実施形態に係る行動分析システムの機能構成を示すブロック図である。 本発明の第１実施形態に係るログの一例を示す表である。 本発明の第１実施形態に係る行動分析システムを用いた行動分析方法を示すフローチャートである。 本発明の第１実施形態に係るパラメタの変換を説明する表である。 本発明の第１実施形態に係る行動分析システムのハードウェア構成の一例を示すブロック図である。 本発明の第２実施形態に係る行動分析システムの機能構成を示すブロック図である。 本発明の第２実施形態に係る行動分析システムを用いた行動分析方法を示すフローチャートである。 本発明の第３実施形態に係る行動分析システムの機能構成を示すブロック図である。

以下、図面を参照して、本発明の実施形態を説明する。なお、以下で説明する図面において、同一の機能又は対応する機能を有する要素には同一の符号を付し、その繰り返しの説明は省略することもある。

［第１実施形態］
本発明の第１実施形態による行動分析システム及び行動分析方法について図１乃至図６を用いて説明する。

まず、本実施形態による行動分析システム及び行動分析の対象である対象システムを含む概略構成について図１を用いて説明する。図１は、本実施形態に係る行動分析システム及び対象システムを示す概略図である。

図１に示すように、本実施形態に係る行動分析システム１には、行動分析システム１による処理の対象となるログを生成して出力する１つ又は複数の対象システム２がネットワーク３を介して通信可能に接続されている。ネットワーク３は、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）であるが、その種別が限定されるものではない。また、ネットワーク３は、有線のネットワークであってもよいし、無線のネットワークであってもよい。

対象システム２は、特定のシステムに限定されるものではないが、例えばＩＴ（Information Technology）システムである。ＩＴシステムは、サーバ、クライアント端末、ネットワーク機器その他の情報機器等の機器、及び当該機器上で動作するシステム・ソフトウェア、アプリケーション・ソフトウェア等のソフトウェアにより構成される。対象システム２は、稼働中の装置の行動、対象システム２を利用するユーザの行動、対象システム２により取得された人の行動等の行動を記録したログ（行動履歴）を生成する。対象システム２により生成されたログは、本実施形態による行動分析システム１に入力されて処理される。なお、行動分析システム１の分析対象である装置、ユーザ等は、複数であり得る。この場合、ログは、分析対象ごとに生成される。

本実施形態による行動分析システム１には、対象システム２において生成されたログがネットワーク３を介して入力されるようになっている。対象システム２から行動分析システム１にログを入力する態様は、特に限定されるものではなく、対象システム２の構成等に応じて適宜選択することができる。

例えば、対象システム２における通知エージェントが、対象システム２において生成されたログを行動分析システム１に送信することにより、行動分析システム１にログを入力することができる。ログを送信するプロトコルは、特に限定されるものではなく、ログを生成するシステムの構成等に応じて適宜選択することができる。例えば、プロトコルとして、ｓｙｓｌｏｇプロトコル、ＦＴＰ（File Transfer Protocol）、ＦＴＰＳ（File Transfer Protocol over TLS（Transport Layer Security）/SSL（Secure Sockets Layer））、ＳＦＴＰ（SSH（Secure Shell） File Transfer Protocol）を用いることができる。また、対象システム２が、生成したログを行動分析システム１と共有することにより、行動分析システム１にログを入力することができる。ログを共有するためのファイル共有の手法は、特に限定されるものではなく、ログを生成するシステムの構成等に応じて適宜選択することができる。例えば、ＳＭＢ（Server Message Block）又はこれを拡張したＣＩＦＳ（Common Internet File System）によるファイル共有を用いることができる。

なお、本実施形態による行動分析システム１は、必ずしも対象システム２とネットワーク３を介して通信可能に接続されている必要はない。例えば、行動分析システム１は、対象システム２からログを収集するログ収集システム（不図示）とネットワーク３を介して通信可能に接続されていてもよい。この場合、対象システム２で生成されたログは、一旦、ログ収集システムにより収集され、ログ収集システムからネットワーク３を介して行動分析システム１に入力される。また、本実施形態による行動分析システム１は、対象システム２で生成されたログを記録した記録媒体からログを取得することもできる。この場合、対象システム２は、ネットワークを介して行動分析システム１に接続されている必要はない。

以下、本実施形態による行動分析システム１の具体的構成について更に図２乃至図６を用いて説明する。図２は、本実施形態に係る行動分析システムの機能構成を示すブロック図である。図３は、本実施形態に係るログの一例を示す表である。図４は、本実施形態に係る行動分析システムを用いた行動分析方法を示すフローチャートである。図５は、実施形態に係るパラメタの変換を説明する表である。図６は、本実施形態に係る行動分析システムのハードウェア構成の一例を示すブロック図である。

図２に示すように、本実施形態による行動分析システム１は、処理部１０、記憶部２０及び表示部３０を有している。

処理部１０は、対象システム２における行動を分析するための各種の処理を実行する。処理部１０は、ログ取得部１０２、シーケンス生成部１０４、データ数取得部１０６、パラメタ変換部１０８、変換位置取得部１１０、出現頻度算出部１１２及び出力部１１４を有している。

記憶部２０は、対象システム２で生成されたログを記憶するログ記憶部２０２を有している。記憶部２０は、例えば、後述する記憶装置により構成される。対象システム２で生成されたログは、定期若しくは不定期に又はリアルタイムに記憶部２０に入力され、ログ記憶部２０２に記憶される。ここで、対象システム２が複数個ある場合には、ログ記憶部２０２は、対象システム２ごとにログを記憶することができる。

表示部３０は、処理部１０により出力される処理の結果を表示する装置である。表示部３０は、ディスプレイ、プリンタ等の出力装置により構成される。なお、表示部３０への表示に代えて行動分析システム１の外部の装置に処理結果のデータを送信する構成であってもよい。データを受信した当該他の装置は、必要に応じて当該データを用いた処理を行ってもよく、当該データの表示を行ってもよい。また、行動分析システム１は、処理結果を記憶部２０に記憶しておき、他の装置からの要求に応じて処理結果を他の装置に送信する構成であってもよい。

本実施形態に係る行動分析システム１による処理の対象となるログは、対象システム２又はこれに含まれる構成要素により定期又は不定期に生成されて出力されたものである。ログは、稼働中の状況等の装置の行動、対象システム２を利用するユーザの行動、対象システム２により取得された人の行動等が記録されたものである。また、ログは、これらの他に、生成された時刻を示すタイムスタンプ、そのログを生成した構成要素のＩＰ（Internet Protocol）アドレス、そのログを生成した構成要素の名称等の他の情報を更に含むことができる。また、ログは、例えば、一行又は複数行のテキストデータであり、情報の単位として１以上のフィールドを含むことができる。複数のフィールドは、セパレータ又はデリミタにより区切られていてもよいし、区切られずに連続するものであってもよい。連続するフィールドは、単語、形態素、文字種等により分離することができる。

本実施形態が適用され得るログの一例である、あるユーザのメール送信履歴について図３を参照して説明する。図３には、あるユーザが、２０１７年１月１３日から２０１７年１月１８日までの間に８件のメール送信を行ったことを示すログが表形式で示されている。図３に示されるように、メール送信履歴は、メールの送信が行われた日時、メールを送信した宛先及び添付ファイルの有無をパラメタとして含む。図３では、これらのパラメタを１列目から３列目に分けて表示している。また、図３の各行は１つの行動データ、すなわち１回のメール送信に対応する。したがって、図３では、８件分のメール送信履歴が８行に分けて表示されている。

なお、図３に示すメール送信履歴は、例示であり、これら以外のパラメタを更に含んでもよい。また、図３は理解を容易にするために表形式で図示されているが、これに限定されるものではなく、メール送信履歴は、上述のように区切られずに連続したテキストデータ等のデータ形式で記憶されていてもよい。図３では複数のユーザのうちの１つのユーザのメール送信履歴のみが例示されているが、他のユーザについても同様のメール送信履歴が記憶されているものとする。

本実施形態に係る行動分析システム１は、ログを処理することにより分析対象の行動分析を行うものである。以下、処理部１０に含まれる各部の動作について図４のフローチャートに沿って詳述する。なお、以下の説明では、上述のメール送信履歴に対する行動分析を例として説明するが、本発明はこれに限定されるものではない。

ログ取得部１０２は、シーケンス生成部１０４からの指示に従い、シーケンス生成部１０４での処理に供するため、ログ記憶部２０２に記憶されたログを取得する。

データ数取得部１０６は、シーケンス生成部１０４で生成する行動シーケンスのデータの個数の設定値を取得する（ステップＳ１１）。データの個数の値は、他の装置、操作者等により外部から入力されてもよく、記憶部２０等に記憶されている値を読み出すことで取得してもよい。このデータの個数は行動分析の対象とする行動の個数であり、図３のメール送信履歴の例では、分析対象とするメール送信件数（図３の表の行数）を決定することに相当する。以下の説明では、データ数取得部１０６が取得したデータの個数はＬ個とする。

シーケンス生成部１０４は、ログ取得部１０２を介して、データ数取得部１０６で取得したデータの個数であるＬ個の行動データをログ記憶部２０２に記憶されたログから取得する。そして、シーケンス生成部１０４は、Ｌ個の行動データを含む行動シーケンスをユーザごとに生成する（ステップＳ１２）。

行動シーケンスの生成について図３のメール送信履歴の例を用いてより具体的に説明する。ここではＬの値は３であり、図３のメール送信履歴のうち、送信日時に基づいて選択された直近の３個メール送信のパラメタである「宛先」及び「添付ファイルの有無」が取得されるものとする。このとき、生成される行動シーケンスは、「yyy@efgh.com 有，nnn@lmn.com 無，xxx@abcd.com 有」となる。行動シーケンス内のカンマで区切られた一群のデータのそれぞれが１つの行動データを示しており、１つの行動データに含まれるパラメタ（本例では宛先と添付ファイルの有無）がスペースで区切られて表示されている。

なお、行動シーケンスの生成に用いるデータの個数は本例では直近のＬ個であり、行動シーケンスは固定長であるため、各ユーザに対して同一の長さの行動シーケンスが生成される。しかしながら、行動シーケンスは可変長であってもよい。例えば、処理部１０にデータ数取得部１０６に代えて対象とするデータ取得期間を取得する期間取得部を設け、所定期間内の行動データを取得するように構成してもよい。所定期間内のメール送信数はユーザによって異なるのが通常であるため、この場合、ユーザごとに異なる長さの行動シーケンスが生成され得る。

変換位置取得部１１０は、パラメタ変換部１０８での変換対象とするパラメタの位置の設定を取得する（ステップＳ１３）。パラメタの位置の設定は、他の装置、操作者等により外部から入力されてもよく、記憶部２０等に記憶されている値を読み出すことで取得してもよい。ここで、変換対象とするパラメタは、分析対象に依存する特有の要素を含むパラメタである。例えば、図３のメール送信履歴の例では、２列目の「宛先」がユーザに依存する特有のパラメタである。どの宛先にメールを送信するかは、メール送信を行うユーザによって大きく異なるものであり、ユーザに依存する特有のパラメタであるといえる。本例では、変換対象とするパラメタの位置として「２列目」を設定する。なお、パラメタの位置の設定は列以外の要素によるものであってもよく、例えば、ログの各パラメタにＩＤ（Identification）、番号等が付されていればこれらを用いて設定してもよい。

パラメタ変換部１０８は、行動シーケンスに含まれるパラメタのうち、変換位置取得部１１０により取得された位置のパラメタを所定の規則によりユーザに依存しないようなパラメタに変換する（ステップＳ１４）。この所定の規則は、例えば、過去に同様の行動が行われたことがあるか否かという規則であり得る。

行動シーケンスの変換について図３のメール送信履歴の例を用いてより具体的に説明する。ここでは、過去に同様の行動が行われたことがあるか、すなわち、同じ宛先にメールを送信した実績があるか否かに基づいて「宛先」を変換する例を説明する。図５は、パラメタの変換を説明する表である。図５は、図３に宛先実績の有無を追加した表である。一例として、６行目に記載された２０１７年１月１７日１５時２１分５０秒のyyy@efgh.comへのメール送信に着目する。これについては、２行目の２０１７年１月１３日１５時１分４８秒に同じ宛先（yyy@efgh.com）への送信が行われた履歴があることから宛先実績は「有」となる。

行動シーケンスの「宛先」のパラメタをユーザに依存しない「宛先実績」のパラメタに置き換えることにより、行動シーケンスの変換が行われる。具体的には、上述の「yyy@efgh.com 有，nnn@lmn.com 無，xxx@abcd.com 有」という行動シーケンスは、「有 有，無 無，有 有」に変換される。変換後の行動シーケンスは、宛先のメールアドレスのようなユーザに依存するパラメタを含まないため、複数のユーザに共通のパラメタとして扱うことができる。

出現頻度算出部１１２は、ユーザごとに生成された変換後の行動シーケンスに含まれるパラメタのパターンごとに出現頻度を算出して、出現頻度のリストを生成する（ステップＳ１５）。例えば、変換後の行動シーケンスが「有 有，無 無，有 有」というパターンであるユーザが１２０人いた場合、「（有 有，無 無，有 有），１２０」が出現頻度のリストの一要素となる。

出力部１１４は、変換後の行動シーケンス及び出現頻度のリストを行動分析により得られた行動モデルとして表示部３０に出力する。

出力された出現頻度のリストを参照したとき、仮に１０００人のユーザのうち、変換後の行動シーケンスのパターンが「無 有，有 無，無 有」であるユーザが１人のみであった場合、このユーザは、他のユーザとは異なる異常な行動（メール送信）を行っているといえる。また、行動シーケンスに対応するユーザを参照することにより、異常な行動を行っているユーザを特定することができる。

上述した行動分析システム１は、例えばコンピュータ装置により構成される。行動分析システム１のハードウェア構成の一例について図６を用いて説明する。なお、行動分析システム１は、単一の装置により構成されていてもよいし、有線又は無線で接続された２つ以上の物理的に分離された装置により構成されていてもよい。

行動分析システム１は、図６に示すように、ＣＰＵ（Central Processing Unit）１００２と、ＲＯＭ（Read Only Memory）１００４と、ＲＡＭ（Random Access Memory）１００６と、ＨＤＤ（Hard Disk Drive）１００８とを有している。また、行動分析システム１は、通信インターフェース（Ｉ／Ｆ（Interface））１０１０を有している。また、行動分析システム１は、ディスプレイコントローラ１０１２と、ディスプレイ１０１４とを有している。更に、行動分析システム１は、入力装置１０１６を有している。ＣＰＵ１００２、ＲＯＭ１００４、ＲＡＭ１００６、ＨＤＤ１００８、及び通信Ｉ／Ｆ１０１０、ディスプレイコントローラ１０１２、及び入力装置１０１６は、共通のバスライン１０１８に接続されている。

ＣＰＵ１００２は、行動分析システム１の全体の動作を制御する。また、ＣＰＵ１００２は、処理部１０におけるログ取得部１０２、シーケンス生成部１０４、データ数取得部１０６、パラメタ変換部１０８、変換位置取得部１１０、出現頻度算出部１１２及び出力部１１４の各部の機能を実現するプログラムを実行する。ＣＰＵ１００２は、ＨＤＤ１００８等に記憶されたプログラムをＲＡＭ１００６にロードして実行することにより、処理部１０における各部の機能を実現する。

ＲＯＭ１００４は、ブートプログラム等のプログラムが記憶されている。ＲＡＭ１００６は、ＣＰＵ１００２がプログラムを実行する際のワーキングエリアとして使用される。また、ＨＤＤ１００８には、ＣＰＵ１００２が実行するプログラムが記憶されている。

また、ＨＤＤ１００８は、記憶部２０におけるログ記憶部２０２の機能を実現する記憶装置である。なお、ログ記憶部２０２の機能を実現する記憶装置は、不揮発性であればＨＤＤ１００８に限定されるものではなく、例えばフラッシュメモリ等であってもよい。

通信Ｉ／Ｆ１０１０は、ネットワーク３に接続された対象システム２との間のデータの通信を制御する。通信Ｉ／Ｆ１０１０は、ＣＰＵ１００２とともに処理部１０におけるログ取得部１０２の機能を実現する。

ディスプレイコントローラ１０１２には、表示部３０として機能するディスプレイ１０１４が接続されている。ディスプレイコントローラ１０１２は、ＣＰＵ１００２とともに出力部１１４として機能し、出力されたデータに基づく画像をディスプレイ１０１４に表示させる。

入力装置１０１６は、例えば、キーボード、マウス等のヒューマンインターフェースである。また、入力装置１０１６は、ディスプレイ１０１４に組み込まれたタッチパネルであってもよい。行動分析システム１の操作者は、入力装置１０１６を介して、行動分析システム１の設定の入力、処理の実行指示の入力等を行うことができる。

なお、行動分析システム１のハードウェア構成は、上述した構成に限定されるものではなく、種々の構成とすることができる。

本実施形態の効果について説明する。複数のユーザ、装置といった分析対象の行動に共通して現れる特徴を検出する際に、行動データに分析対象に依存するパラメタが含まれているとモデル化を適切に行うことができない場合がある。例えば、共通性がある複数の行動であっても分析対象に依存して外見上異なる行動を行っているように見える場合に、その共通性を把握できないことがあり得る。

例えば、ユーザＡが宛先Ｘに繰り返し添付ファイル付きのメールを送信する行動と、ユーザＢが宛先Ｙに繰り返し添付ファイル付きのメールを送信する行動とでは、宛先が異なる。そのため、宛先をパラメタとするモデルでは、外見上は異なる行動を行っているように見える。

しかしながら、ユーザによる依存性を排除してモデル化を行うことができれば、これらの行動には、同じ宛先に繰り返し添付ファイル付きメールを送信しているという共通の特徴を発見することができる。そこで、本例では、ユーザによる依存性を排除してモデル化を行うことがより適切である。

本実施形態では、行動シーケンス中のユーザに依存する特有のパラメタ（宛先）をユーザに依存しないパラメタ（宛先実績の有無）に変換することにより、当該パラメタを複数のユーザに共通のパラメタとして扱って特徴の検出を行うことができる。したがって、より適切にモデル化を行うことができる行動分析システムが提供される。

［第２実施形態］
本発明の第２実施形態による行動分析システム及び行動分析方法について図７及び図８を用いて説明する。以下の説明において、第１実施形態と同様の構成については、省略又は簡略化することがある。

図７は、本実施形態に係る行動分析システムの機能構成を示すブロック図である。図８は、本実施形態に係る行動分析システムを用いた行動分析方法を示すフローチャートである。本実施形態の行動分析システムは、図７に図示されているように、行動の異常度により行動シーケンスをランキング（順位付け）するランキング部１１６を更に備える。ランキング部１１６は、行動シーケンスの内容及び出現頻度の少なくとも１つに基づく行動の異常度の指標を用いて行動シーケンスをランキングする（ステップＳ１６）。このランキング結果は、変換後の行動シーケンス及び出現頻度のリストとともに、出力部１１４から表示部３０に出力される。

ランキング部１１６におけるランキング方法の例をいくつか説明する。第１の例は、出現頻度を異常度の指標とする例である。一般的に、出現頻度が低い行動はより異常な行動である可能性が高い。したがって、出現頻度が低い順に複数の行動シーケンスをソートすることにより、行動シーケンスをランキングすることができる。

上述の手法では簡易にランキングを行うことができる。しかしながら、行動シーケンスに含まれる行動の種類が多く、複雑な場合、あるいは分析対象の個数が多い場合には、出現頻度の値が同一の値又は近い値となる行動シーケンスが大量に提示され、異常行動として注目すべき行動が判別しにくくなることがある。

そこで、第２の例として、行動シーケンス中の行動のランダム性を異常度の指標とするランキング方法の例を説明する。行動シーケンスに含まれる行動データの個数をＬ、行動シーケンスに含まれる行動の種類数をＫとする。このとき、例えば、Ｋ／Ｌをランダム性に対応する値として扱うことができるため、これを異常度の指標として用いることができる。Ｋ／Ｌが低い順に複数の行動シーケンスをソートすることにより、行動シーケンスをランキングすることができる。

Ｋ／Ｌの算出について具体例を挙げて説明する。Ｌの値が３であり、行動シーケンスが、「有 有，有 有，有 有」の場合、行動の種類は「有 有」の１種類のみであるためＫの値は１である。したがって、Ｋ／Ｌの値は１／３と算出される。一方、行動シーケンスが、「有 無，無 有，有 有」の場合、行動の種類は「有 無」、「無 有」、「有 有」の３種類であるためＫの値は３である。したがって、Ｋ／Ｌの値は１と算出される。このように各行動がばらばらであり、ランダム性が高いほどＫ／Ｌの値は１に近くなり、各行動が規則的でランダム性が低いほどＫ／Ｌの値は０に近くなる。

２つのシーケンス「有 有，有 有，有 有」、「有 無，無 有，有 有」が同じ出現頻度であった場合、ランダム性が高い後者よりも、規則性が高い前者の方がより異常度が高く注目すべき行動である。ランダム性の高い行動は、偶然に出現したものである可能性が高いが、規則性の高い行動は何らかの理由があって生じている可能性が高いためである。第２の例では、行動の内容を考慮したランキングが可能である。また、行動シーケンスに含まれる行動の種類が多く、複雑な場合、あるいは分析対象の個数が多い場合にも値が重複しにくいため、異常行動として注目すべき行動が判別しやすい利点がある。

第３の例では、第１の例の出現頻度と第２の例のＫ／Ｌの積を異常度の指標とする。出現頻度とＫ／Ｌの積が低い順に複数の行動シーケンスをソートすることにより、行動シーケンスをランキングすることができる。例えば、出現頻度の値が１２、Ｋ／Ｌの値が２／８である場合、これらの積は３となる。出現頻度、Ｋ／Ｌはいずれも小さいほど異常度が高いため、これらの積も値が小さいほど異常度が高い。本例では、出現頻度とランダム性の両方を考慮したランキングが可能である。また、行動シーケンスに含まれる行動の種類が多く、複雑な場合、あるいは分析対象の個数が多い場合に、第２の例よりも更に値が重複しにくく、異常行動として注目すべき行動が判別しやすい利点がある。

以上のように本実施形態では、第１実施形態の効果に加えて、行動シーケンスの内容及び出現頻度の少なくとも１つに基づく異常度の指標を用いたランキング結果を出力することができる。これにより、行動分析システムの利用者は、出力された行動シーケンスの中から異常度が高い行動を容易に判別することができる。

［第３実施形態］
上述の各実施形態において説明した行動分析システムは、第３実施形態によれば、図９に示すように構成することもできる。図９は、第３実施形態に係る行動分析システムの機能構成を示すブロック図である。

図９に示すように、第３実施形態による行動分析システム１は、複数の行動データを含む行動データ群を分析対象ごとに生成する生成部１２を有している。また、行動分析システム１は、行動データ群に含まれるパラメタのうち、分析対象に依存するパラメタを分析対象に依存しないパラメタに変換することにより、複数の分析対象の各々の行動データ群を変換する変換部１４を有している。また、行動分析システム１は、複数の分析対象の変換後の行動データ群を用いて分析を行う分析部１６を有している。これにより、複数のユーザ又は装置の行動に共通して現れる特徴を検出する際に、より適切にモデル化を行うことができる行動分析システム１が提供される。

［変形実施形態］
以上、実施形態を参照して本発明を説明したが、本発明は上述の実施形態に限定されるものではない。本願発明の構成及び詳細には本発明の要旨を逸脱しない範囲で、当業者が理解し得る様々な変形をすることができる。

例えば、上述の実施形態では、行動分析に用いる行動データ群の形式として、行動の発生時刻に基づく順序で配列された行動シーケンスを用いているが、データの形式はシーケンスに限定されない。例えば、順序の情報を含まない「集合」であってもよい。「シーケンス」の場合は、「有 無，無 無，有 有」と「無 無，有 有，有 無」とは異なるデータであるが、「集合」の場合には、順序を考慮しないため、これらは同一のデータとして扱われる。行動分析システムの適用先又は行動履歴の内容に依存してより適切な形式のデータを選択して用いることができる。なお、「行動シーケンス」及び「集合」は一般的に「行動データ群」と呼ぶことができる。

また、上述の実施形態では、ログ記憶部２０２に既に記憶されたログを用いて行動分析を行っており、行動分析システム１で既に取得済みのデータを用いた分析という意味で、静的かつオフラインな処理であるといえる。しかしながら、本発明は、行動発生時にオンラインでデータを取得して処理を行う動的なものであってもよく、そのような例を説明する。本例では、記憶部２０に過去に取得された行動シーケンスと出現頻度のリストをあらかじめ生成して記憶しておく。新たにメール送信等の行動が発生したときに、行動分析システム１は、その行動データを取得し、当該ユーザの行動シーケンスを生成する。行動分析システム１は、この行動シーケンスを記憶しているリストと対比してその行動シーケンスの出現頻度、異常度、ランキング結果等を算出し、出力する。これにより、異常な行動を行動発生時に即時に検出することができる。また、新たにメール送信等の行動が発生したときには、上述の処理に加えて、行動シーケンスと出現頻度のリストの更新を行ってもよい。

また、上述の実施形態では、メールシステム、あるいは情報通信の技術領域への本発明の適用例として、メール送信履歴の行動分析を例示したが、本発明はメールシステム、情報通信以外の技術領域にも適用可能である。

例えば、本発明は、運送業における配送履歴の行動分析に適用することができる。ユーザごとに配送品、配送先、配送サービスの種類の履歴を記録しておき、この履歴に対して配送行動、注文行動等の行動分析を行うことにより、異常な配送、注文等を検出することができる。

また、例えば、本発明は、小売業又は金融業におけるクレジットカードの使用履歴の行動分析に適用することができる。ユーザごとに使用したクレジットカード、購入品等の履歴を記録しておき、この履歴に対して行動分析を行うことにより、異常なクレジットカードの使用、他人によるカードの不正使用等を検出することができる。

このように、本発明は、多様な領域におけるユーザ又は装置の行動分析に適用することができ、これによりユーザ又は装置の異常、不正等の検出を行うことができる。

また、上述の各実施形態の機能を実現するように該実施形態の構成を動作させるプログラムを記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のコンピュータプログラムが記録された記録媒体はもちろん、そのコンピュータプログラム自体も各実施形態に含まれる。

該記録媒体としては、例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ（Compact Disc-Read Only Memory）、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ（Operating System）上で動作して処理を実行するものも各実施形態の範疇に含まれる。

上述の各実施形態の機能により実現されるサービスは、ＳａａＳ（Software as a Service）の形態でユーザに対して提供することもできる。

上述の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
複数の行動データを含む行動データ群を分析対象ごとに生成する生成部と、
前記行動データ群に含まれるパラメタのうち、前記分析対象に依存するパラメタを前記分析対象に依存しないパラメタに変換することにより、複数の分析対象の各々の前記行動データ群を変換する変換部と、
前記複数の分析対象の変換後の前記行動データ群を用いて分析を行う分析部と、
を備えることを特徴とする行動分析システム。

（付記２）
前記変換部は、前記分析対象に依存するパラメタを過去に同様の行動が行われたことがあるか否かを示すパラメタに変換することを特徴とする付記１に記載の行動分析システム。

（付記３）
前記分析部は、前記複数の分析対象の変換後の前記行動データ群に含まれるパラメタのパターンごとに出現頻度を算出することを特徴とする付記１又は２に記載の行動分析システム。

（付記４）
変換後の前記行動データ群に含まれる行動及び前記出現頻度の少なくとも１つに基づく行動の異常度を用いて前記行動データ群をランキングするランキング部を更に備えることを特徴とする付記３に記載の行動分析システム。

（付記５）
前記ランキング部は、前記複数の分析対象の変換後の前記行動データ群に含まれる行動のランダム性を前記異常度の指標として前記ランキングを行うことを特徴とする付記４に記載の行動分析システム。

（付記６）
前記ランキング部は、前記行動データ群に含まれる前記行動データの個数をＬ、前記行動データ群に含まれる行動の種類数をＫとしたとき、Ｋ／Ｌに基づいて前記ランキングを行うことを特徴とする付記４又は５に記載の行動分析システム。

（付記７）
前記ランキング部は、Ｋ／Ｌと前記出現頻度との積に基づいて前記ランキングを行うことを特徴とする付記６に記載の行動分析システム。

（付記８）
前記行動データ群は、前記行動データ群に含まれる複数の前記行動データが行動の発生時刻に基づく順序で配列されたシーケンスであることを特徴とする付記１乃至７のいずれか１項に記載の行動分析システム。

（付記９）
複数の行動データを含む行動データ群を分析対象ごとに生成するステップと、
前記行動データ群に含まれるパラメタのうち、前記分析対象に依存するパラメタを前記分析対象に依存しないパラメタに変換することにより、複数の分析対象の各々の前記行動データ群を変換するステップと、
前記複数の分析対象の変換後の前記行動データ群を用いて分析を行うステップと、
を含むことを特徴とする行動分析方法。

（付記１０）
コンピュータに、
複数の行動データを含む行動データ群を分析対象ごとに生成するステップと、
前記行動データ群に含まれるパラメタのうち、前記分析対象に依存するパラメタを前記分析対象に依存しないパラメタに変換することにより、複数の分析対象の各々の前記行動データ群を変換するステップと、
前記複数の分析対象の変換後の前記行動データ群を用いて分析を行うステップと、
を実行させることを特徴とするプログラムが記録された記録媒体。

Claims (10)

1. 複数の行動データを含む行動データ群を分析対象ごとに生成する生成部と、
   前記行動データ群に含まれるパラメタのうち、前記分析対象に依存するパラメタを前記分析対象に依存しないパラメタに変換することにより、複数の分析対象の各々の前記行動データ群を変換する変換部と、
   前記複数の分析対象の変換後の前記行動データ群を用いて分析を行う分析部と、
   を備えることを特徴とする行動分析システム。
2. 前記変換部は、前記分析対象に依存するパラメタを過去に同様の行動が行われたことがあるか否かを示すパラメタに変換することを特徴とする請求項１に記載の行動分析システム。
3. 前記分析部は、前記複数の分析対象の変換後の前記行動データ群に含まれるパラメタのパターンごとに出現頻度を算出することを特徴とする請求項１又は２に記載の行動分析システム。
4. 変換後の前記行動データ群に含まれる行動及び前記出現頻度の少なくとも１つに基づく行動の異常度を用いて前記行動データ群をランキングするランキング部を更に備えることを特徴とする請求項３に記載の行動分析システム。
5. 前記ランキング部は、前記複数の分析対象の変換後の前記行動データ群に含まれる行動のランダム性を前記異常度の指標として前記ランキングを行うことを特徴とする請求項４に記載の行動分析システム。
6. 前記ランキング部は、前記行動データ群に含まれる前記行動データの個数をＬ、前記行動データ群に含まれる行動の種類数をＫとしたとき、Ｋ／Ｌに基づいて前記ランキングを行うことを特徴とする請求項４又は５に記載の行動分析システム。
7. 前記ランキング部は、Ｋ／Ｌと前記出現頻度との積に基づいて前記ランキングを行うことを特徴とする請求項６に記載の行動分析システム。
8. 前記行動データ群は、前記行動データ群に含まれる複数の前記行動データが行動の発生時刻に基づく順序で配列されたシーケンスであることを特徴とする請求項１乃至７のいずれか１項に記載の行動分析システム。
9. 複数の行動データを含む行動データ群を分析対象ごとに生成するステップと、
   前記行動データ群に含まれるパラメタのうち、前記分析対象に依存するパラメタを前記分析対象に依存しないパラメタに変換することにより、複数の分析対象の各々の前記行動データ群を変換するステップと、
   前記複数の分析対象の変換後の前記行動データ群を用いて分析を行うステップと、
   を含むことを特徴とする行動分析方法。
10. コンピュータに、
    複数の行動データを含む行動データ群を分析対象ごとに生成するステップと、
    前記行動データ群に含まれるパラメタのうち、前記分析対象に依存するパラメタを前記分析対象に依存しないパラメタに変換することにより、複数の分析対象の各々の前記行動データ群を変換するステップと、
    前記複数の分析対象の変換後の前記行動データ群を用いて分析を行うステップと、
    を実行させることを特徴とするプログラムが記録された記録媒体。

Images