行動パターン抽出装置および異常行動検出装置
【課題】 人間の行動の不確かさも考慮して、適切に行動パターンの抽出や異常行動の検出を行う装置を提供する。
【解決手段】 本発明に係る行動パターン抽出装置は、認証装置やセンサから得たユーザの通行履歴を格納している通行履歴データベースからユーザ毎の履歴系列を抽出する履歴系列抽出部と、抽出された履歴系列を格納する履歴系列データベースと、ユーザ毎の複数の履歴系列からユーザ毎の一つ以上の行動パターンを抽出する行動パターン抽出部と、抽出された行動パターンを格納する行動パターンデータベースを備えていることを特徴とする。
【解決手段】 本発明に係る行動パターン抽出装置は、認証装置やセンサから得たユーザの通行履歴を格納している通行履歴データベースからユーザ毎の履歴系列を抽出する履歴系列抽出部と、抽出された履歴系列を格納する履歴系列データベースと、ユーザ毎の複数の履歴系列からユーザ毎の一つ以上の行動パターンを抽出する行動パターン抽出部と、抽出された行動パターンを格納する行動パターンデータベースを備えていることを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、行動パターン抽出装置及び異常行動検出装置に関する。
【背景技術】
【０００２】
従来の行動パターン抽出装置および異常行動検出装置の例として、下記特許文献１に記載の「不正ログイン検出装置」が挙げられる。同装置では、ユーザがＰＣ（パーソナルコンピュータ）やＰＰＰ（ポイントツーポイントプロトコル）サーバへログインする際、当該ユーザの過去のログイン時刻データから予め抽出されてある通常のログインパターン（行動パターン）を基準にして、行動パターンに一致しないログインが不正ログインと判定される。
【０００３】
上記先行例では、行動パターンの情報として、ログイン統計情報データベースにユーザ名と単位時間毎にログインに成功した回数とが対応付けられて格納される。ログイン回数積算部が、ユーザ認証されログインされたユーザ名とログイン時刻を得ると、ログイン統計情報データベースの当該ユーザにおける該当する時刻範囲のログイン回数を１加算することにより、ユーザの行動パターンを得る。不正ログイン検出処理部は、ユーザ認証後、当該ユーザのログイン回数に基づき予め定義された不正ログイン条件による検証を行い、不正ログインの疑いの有無を判定する。
【０００４】
同先行例では、ログイン時刻範囲別に異常行動判定が行われている。つまり、偶々一度だけ通常と異なる時間にログインを生じた場合、直ちに不正ログインと判定される。人間が日常と異なる行動を取ることはしばしば生じるのであり、先行例のような行動パターン抽出方法および異常行動判定方法では、不要な検出である誤検出が多発することになると思われる。
【特許文献１】特開２００２−２９７５４３公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
本発明は、人間の行動の不確かさをある程度考慮しつつも、適切に行動パターンの抽出や異常行動の検出を行う装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、上記の目的を達成するためになされたものである。本発明に係る行動パターン抽出装置は、
認証装置やセンサから得たユーザの通行履歴を格納している通行履歴データベースからユーザ毎の履歴系列を抽出する履歴系列抽出部と、
抽出された履歴系列を格納する履歴系列データベースと、
ユーザ毎の複数の履歴系列からユーザ毎の一つ以上の行動パターンを抽出する行動パターン抽出部と、
抽出された行動パターンを格納する行動パターンデータベースを備えていることを特徴とする行動パターン抽出装置である。
【発明の効果】
【０００７】
本発明を利用することにより、１回の履歴データではなく履歴系列から行動パターンを抽出して、各ユーザの行動パターンを把握することができる。更に、１回の履歴データではなく履歴系列から行動パターンを抽出した上で異常行動を検出するので、検出動作を実効的且つ効率的に行うことができる。
【発明を実施するための最良の形態】
【０００８】
本発明に係る行動パターン抽出装置は、一定時間（例えば、１日）または一定区間（例えば、入場から退場まで）における連続する履歴データの系列（以下、履歴系列と言う。）からユーザの行動パターンを抽出する機能を提供する。また、本発明に係る異常行動検出装置は、所与の行動パターン（データ）と差異ある履歴系列が生じた場合に、異常行動として検出する機能を提供する。
【０００９】
個別の履歴データではなく、履歴系列データから行動パターンを抽出するので、１回程度通常と異なる履歴データが生じても異常行動と判定しない。従って、誤検出の多発を防ぐことができる。また、ユーザの行動パターンを１つだけ抽出するのではなく複数抽出するので、人の広範な行動パターンを捕らえより誤検出をより軽減することができる。
【００１０】
以下、図面を参照して本発明に係る好適な実施の形態を説明する。
【００１１】
実施の形態１．
図１は、本発明の実施の形態１に係る行動パターン抽出装置２の構成を示すブロック図である。実施の形態１に係る行動パターン抽出装置２は、適切なコンピュータシステム上に実装される。行動パターン抽出装置２は従来例の入退室管理システム４に接続する。
【００１２】
図１に示される行動パターン抽出装置２は、
・通行履歴データベース６から、ユーザ毎の履歴系列データを抽出する履歴系列抽出部８と、
・抽出された履歴系列データを格納する履歴系列データベース１２と、
・ユーザ毎の複数の履歴系列データから、ユーザ毎の一つ以上の行動パターン（データ）を抽出する行動パターン抽出部１０と、
・抽出された行動パターン（データ）を格納する行動パターンデータベース１４と
から構成される。
【００１３】
なお、上記通行履歴データベース６は、入退室管理システム４に付属するデータベースであり、各種認証装置やセンサから得られる通行履歴データを格納している。
【００１４】
実施の形態１に係る行動パターン抽出装置２は、行動パターンを抽出・分類する。人の通常の行動パターンは、過去の多数の行動に係るデータを分類することで得られる。本発明では、入退室管理システム４の通行履歴データベース６から、人の過去の行動に係るデータを得る。
【００１５】
以下では、分類処理に用いるデータを「分類データ」と言う。分類処理では、１人の人間の行動パターンを１つ以上の行動パターンに分類することができる。更に、実施の形態１では、単体の履歴データを分類データとせず、複数の履歴データが繋がって形成される履歴系列データを分類データとして、行動パターンを抽出する。履歴系列抽出部８が、分類データである履歴系列（データ）を作成する。行動パターン抽出部１０は、行動パターンの抽出を行う。
【００１６】
通行履歴データベース６は、従来例の入退室管理システム４に付属し、認証装置やセンサなどから得られるデータを格納している。このデータは、ユーザが入退室管理システム４の管理する建物内の所定の位置を通行したことを示す情報である。この「ユーザが・・・所定の位置を通行したことを示す情報」が、“履歴”データである。
【００１７】
通行履歴データベース６の内容は、図２に示すように、データベース内の管理用インデックス、（通行）時刻、ユーザＩＤ、認証装置やセンサの認証装置ＩＤからなる複数の履歴で構成される。履歴データは、認証装置やセンサから得られた時刻の順に並んでいる。
【００１８】
前述のように本発明では、行動パターンを抽出するために、個別のユーザに関して履歴系列（データ）を用いる。ここで、履歴系列（データ）の始端と終端を定義する必要がある。以下のような、履歴系列の始端と終端の定義が想定される。
・１日、１週間、就業時間などの、一定時間
・建物内に入ってから出るまでの通行区間などの、一定区間
履歴系列の始端と終端の定義を如何に設定するかは、行動パターンを抽出する対象システム（図１では、入退室管理システム４）の特性に拠る。図１の入退室管理システム４では、例えば、１日の履歴系列を用いて行動パターン抽出を行うのが有効であると考えられる。
【００１９】
履歴系列抽出部８は、通行履歴データベース６の履歴（データ）からユーザ別の履歴系列を抽出する。図３は、履歴系列抽出部８の処理フローチャートである。履歴系列抽出部８は、通行履歴データベース６内の行動パターンを抽出する対象となる全ての履歴（データ）について次の処理を行う（Ｓ０２・Ｓ１４）。
【００２０】
該履歴のユーザＩＤを既に見つけているか判定する（Ｓ０４）。ここで、初めてのユーザＩＤであれば（Ｓ０４・Ｎｏ）該ユーザＩＤの履歴系列を保存するための領域を履歴系列データベース１２に確保し（Ｓ０８）、履歴系列の先頭にその履歴を保存する（Ｓ１２）。ユーザＩＤを既に見つけていれば（Ｓ０４・Ｙｅｓ）、その履歴が該ユーザＩＤの１つ前の履歴と異なる日であるかを判定する（Ｓ０６）。異なる日であれば（Ｓ０６・Ｙｅｓ）その履歴を別の履歴系列の先頭に保存し（Ｓ１２）、同じ日であれば（Ｓ０６・Ｎｏ）既にある履歴系列の末尾に追加する（Ｓ１０）。
【００２１】
履歴系列抽出部８で抽出された履歴系列データは、履歴系列データベース１２に保存される。図４は、履歴系列データベース１２に格納されるユーザ“ｕ”に関する履歴系列である。なお、図４のインデックスｉは図２のインデックスｉとは関係が無く、ユーザ“ｕ”に関する履歴に対して順に番号付けを仕直したものである。
【００２２】
行動パターン抽出部１０は、履歴系列データベース１２内の履歴系列からユーザ毎の行動パターンを抽出し、行動パターンデータベース１４に格納する。
【００２３】
図５は、１人のユーザの履歴系列データの例を示す表である。説明上の便宜のため、図４に示したインデックス、時刻、ユーザＩＤは省略している。表の各行が一つの履歴系列であり、この例では１９日分の履歴系列が含まれている。履歴系列の０、１、２などの数値は、ユーザが通過した認証装置ＩＤを表している。
【００２４】
これらの履歴系列から行動パターンを抽出するためには、履歴系列データ同士を対照し、履歴系列同士がどの程度似ているかを判断・決定しなければならない。しかし、履歴系列は各々長さ（即ち、１日に通過した認証装置の数）が異なるため、単純に履歴系列同士を対照しても何も得られない。そこで、実施の形態１では、長さが異なるデータを比較する手法であるＤＰ（Ｄｙｎａｍｉｃ Ｐｒｏｇｒａｍｉｎｇ）マッチングを用いる。
【００２５】
ＤＰマッチングについて簡単に説明する。例として、図６に示す履歴系列ＡとＢを比較する。“ａ０”や“ｂ１”などは、Ａ、Ｂの各要素（履歴）である。ＡとＢとでは履歴系列の長さが異なるため、そのまま系列の要素を比較することができない。そこで、短い方の履歴系列の要素に“＊”を入れてＡとＢの系列の長さを揃えた系列Ａ’、Ｂ’を作成する。系列中に“＊”が入れられる位置は、数２の式で表されているｄｉの規則を使用し、Ａ’とＢ’との比較結果であるＤが最も小さくなるように定められる。Ｄの定義は次の通りである。
【００２６】
【数１】
ここで、ＬはＡ’、Ｂ’の要素の数である。以下ではＬをＤの長さと言う。つまり、可能な限り、同じ認証装置ＩＤ（ａｉ＝ｂｉ）が比較されるように、元の履歴系列ＡとＢとに“＊”が入れられる。ここで、ｉは履歴系列の前からｉ番目の要素であることを表している。
【数２】
【００２７】
従って、履歴系列の長さを合わせ、数２の式で表されているｄｉの規則によりＡ’とＢ’の各要素ａ’ｉ、ｂ’ｉを比較し、比較結果Ｄを求める。図６における履歴系列ＡとＢとの比較結果Ｄは、
【数３】
となる。Ｄの値は、履歴系列が似ている程小さな値となる。
【００２８】
Ｄの値をそのまま用いて行動パターンを抽出することも可能と言えるが、Ｄは長い履歴系列である程大きな値になる可能性がある。そうすると、公平に類似度を表しているとはいい難い。そこで、Ｄを正規化、即ち、最大値を１に固定するようにする。その正規化された値をここでは履歴系列間の距離と呼び、履歴系列同士の比較に用いる。理論上Ｄが最も大きくなるのは、数２の式の定義より、全ての要素が全く異なるときである。そのときのＤは“Ｄの長さ×２＝２Ｌ”となる。従って、正規化された“距離”を、
Ｄ／（２Ｌ）
と定義する。ここでのＤの長さＬは、“＊”が入れられた後のＡ’やＢ’の要素の数を示す。図６の例では
距離＝１５／（２２×２）＝０．３４
である。従って、距離は、２つの履歴系列中の異なる要素の割合を表すことになる。
【００２９】
次に、分類データの行動パターンへの分類について説明する。まず、一人の人間の行動パターンは、一つに限定されるものではない。そのため、複数の履歴系列を複数の行動パターンに分類することを考える。本明細書では、上記の履歴系列データ相互の距離に基づいて、公知の分類（クラスタリング）アルゴリズムであるＬＢＧアルゴリズムにより履歴系列の分類を行う。
【００３０】
ＬＢＧ（Ｌｉｎｄｅ、Ｂｕｚｏ ａｎｄ Ｇｒａｙ）アルゴリズムは、個々のデータ（ここでは履歴系列）がどのクラスタ（行動パターン）に属するべきかというクラスタ間の境界を決定するアルゴリズムである。数学的には、クラスタ間分散が大きくなり、かつクラスタ内分散が小さくなるようにクラスタが決定される。このことは、行動パターンが異なる履歴系列同士の距離は大きくなり、行動パターンが同じ履歴系列同士の距離は小さくなることを示している。履歴系列を２次元座標上で表現することはできないが、分類方法を概念的に２次元座標上に表したものを、図７に示す。●と○が分類データ（履歴系列）を表しており、線がクラスタ間の境界を表している。×がクラスタの重心であり、○が重心に最も近い履歴系列データを表している（ここで、クラスタの重心に最も近い履歴系列データを、代表点と称する。）。代表点は、一つのクラスタに属する履歴系列の中で、同じクラスタに属する他の全ての履歴系列との距離の和が最小となるものを求めることで得られる。
【００３１】
ところで、上記のＬＢＧアルゴリズムは、クラスタ数が決まっている場合に用いられる方法である。一方で、そもそも人間の行動パターンの数は、個人によって異なる。従って、クラスタ数は履歴系列から自動的に求められることが望ましい。本発明では最大距離アルゴリズムと呼ばれるクラスタ数を決定する方法を用いる。図８に最大距離アルゴリズムの動作概念図を示し、以下にその概略の手順を示す。
【００３２】
１）まず、クラスタ数１として、全履歴系列の重心および代表点を求める（図８（１））。
２）クラスタの代表点から最も遠い点（最遠点）の距離が予め定められた閾値α以上である場合には（図８（１）の最遠点）、クラスタを１つ増やし代表点と最遠点を初期点としてＬＢＧアルゴリズムにより履歴系列を分類する（図８（２））。
３）各履歴系列につきその履歴系列から最も近いクラスタの代表点の距離を求め、その上でそれら距離のうち最も大きいものである点（最遠点）を確定する（図８（２）の最遠点）。最遠点と（近接の）代表点との距離が閾値以上の場合、クラスタ数を１つ増やし、各クラスタの代表点と最遠点を初期点として分類していく（図８（３））。
４）以下全ての履歴系列が代表点から閾値α以内の距離に入るまで、３）の処理を繰り返す。
【００３３】
図５の分類データである履歴系列を、最遠点の閾値αを０．２５として分類したところ、クラスタ数が“５”となり、図９に示す結果となった。つまり、このユーザの行動パターンを抽出したところ、５つの行動パターンが得られたことになる。
【００３４】
あるユーザの履歴系列を分類した結果、あるクラスタに属する分類データの数が少ない場合、そのクラスタは通常の行動パターンでは略発生しないと見なされ得るため、削除してもよい。例えば、予め閾値β（０≦β≦１）を定めておき、
Ｍ／Ｎ＜β
のとき該クラスタを行動パターンから削除する。ここで、Ｎは、あるユーザの分類データである履歴系列の数、Ｍは、あるクラスタに分類された履歴系列数を表す。
【００３５】
以上のような分類を受けて、行動パターンデータベース１４は、クラスタＩＤと各クラスタの代表点における履歴系列とを格納情報として、行動パターンを記録する。
【００３６】
ここまで、履歴の時刻要素を考慮に入れずに行動パターンを分類しているが、実際の人間の行動パターンにおいて時刻は重要な要素であると考えられる。そこで、履歴系列の比較のＤＰマッチングのｄｉの定義式［数１］を以下の式［数４］のように変更し、時刻を考慮することも可能である。
【数４】
【００３７】
上記数４において、ｔ（ａ’ｉ）、ｔ（ｂ’ｉ）は履歴ａ’ｉ、ｂ’ｉが得られた時刻、Ｔは時刻に関する閾値であるとする。つまり、履歴ａ’ｉとｂ’ｉの取得した時刻が十分に異なれば、ｄｉの値は無限大（十分大きな数）となることを表している。但し、実際にｄｉに無限大を割り当ててしまうのではない。つまり、時刻が十分に異なる場合、（ｄｉが無条件に無限大になってしまうから）認証装置ＩＤが同じであっても（例えば、図１０のＡ、Ｂの末尾の履歴のように）異なる履歴であるとして“＊”を代入する契機とするものである。図５の履歴系列の中で、認証装置ＩＤの系列は同じであるが、時刻を考慮した結果、距離が大きくなる、という例を図１１に示す。図１１の例では「Ｔ＝２」（時間）とした。
【００３８】
以上の実施の形態１では、履歴系列を用いて行動パターンを抽出するため、１回の通常と異なる履歴データが生じても直ぐに別の行動パターンとして抽出するのではなく、人の行動を複数の履歴の流れでとらえる。また、複数の行動パターンを抽出するので、人の広範な行動パターンを抽出することができる。また、履歴の意味を抽出することができ、入退室管理システムにおける監視業務の負荷軽減または効率化を図ることができる。
【００３９】
実施の形態２．
図１２は、本発明の実施の形態２に係る異常行動検出装置２２の構成を示すブロック図である。実施の形態２に係る異常行動検出装置２２は、実施の形態１に係る行動パターン抽出装置２を包含し、且つ、実施の形態１に係る行動パターン抽出装置２と略同様のものである。従って、同一部位には同一符号を付して説明を省略し、両者の差異を中心に説明する。
【００４０】
異常行動検出装置２２は、実施の形態１に係る行動パターン抽出装置２に加えて、異常行動検出部２４を含む。異常行動検出部２４は、行動パターン抽出装置２の履歴系列データベース１２に格納されている任意のユーザの履歴系列と行動パターンデータベース１４の同ユーザの行動パターンとを比較し、該履歴系列が行動パターンと異なっていると判断した場合、該履歴系列が異常行動であると判定する。
【００４１】
次に、装置全体の動作を示す。行動パターン抽出装置２が作成する行動パターンデータベース１４における分類データにより、新たに生じる履歴系列データが、異常行動を示すものであるかどうか判定される。この判定は異常行動検出部２４が行う。以下では判定に向けられる履歴系列データを判定データと称する。
【００４２】
行動パターンデータベース１４にユーザの行動パターンが格納されるまでは、実施の形態１と同様である。但し、履歴系列抽出部８は、分類データのみならず判定データも、実施の形態１と同様に、通行履歴データベース１４から抽出する。
【００４３】
異常行動検出部２４は、判定データである履歴系列データと、当該ユーザの持つ複数の行動パターンとを比較し、最も似ている行動パターンを見つける。そこで最も似ている行動パターンと比較したにも関わらず、あまり似ていないと判断された場合には、判定データである履歴系列を異常行動と判定する。
【００４４】
似ているか似ていないかの判定は、例えば以下の手順で行う。
（１）各クラスタの代表点と判定対象となる履歴系列とをＤＰマッチングで比較し、距離を求める。
（２）最も距離が短かったクラスタ（の代表点）との距離が、予め定められた閾値γ以上であれば、どのクラスタにも属さない、つまりどの行動パターンにも属さないとして、異常行動と判定する。
【００４５】
図９の行動パターン抽出部１０の抽出結果を基に、異常行動検出を行った結果を、図１３に示す。判定対象となった履歴系列は、図５と同じユーザの別の１ヶ月の履歴系列データである。「比較先クラスタ」は、それぞれの履歴系列との距離が最も近い図９のクラスタＩＤを示しており、「代表点からの距離」は、そのクラスタの代表点からの距離を表している。代表点からの距離の値が大きい履歴系列は、どのクラスタにもあまり似ていないことを表しており、従ってそのことにより異常行動であることが示されている。例えば、閾値γを“０．２５”とした場合、図１３にて網掛けされた履歴系列が、異常行動として検出される。
【００４６】
ここで、予め異常行動パターンと判定できる履歴系列が判明している場合には、その履歴系列を異常行動パターンとして予め定義しておき、その異常行動パターンと判定データである履歴系列との距離が、所与の閾値εより小さい場合には、その判定データにつき異常行動と判定する、ということも可能である。
【００４７】
実施の形態２では、履歴系列データを用いて異常行動を判定するのであり、１回の（即ち、一時の）通常と異なる行動（の履歴）を異常とは判定しない。従って、実施の形態２には、過度に過敏な異常行動検出を防ぐという効果がある。また、異常な行動を行ったユーザを事後的に検出することができるため、後に該ユーザにその行動につき確認することや、そのユーザに対して監視カメラや警備員が爾後注目することが可能になる。これらのことにより、その後の不正行為の発生が可及的に防がれるという効果がある。
【００４８】
実施の形態３．
実施の形態３に係る異常行動検出装置の構成は、実施の形態２に係る異常行動検出装置２２と同様のものであるため、以下、図１２を利用して、実施の形態３に係る異常行動検出装置を説明する。
【００４９】
実施の形態２に係る異常行動検出装置２２は、予め履歴系列データベース２４に格納されている履歴系列データに基づいて、異常行動を検出する。一方、実施の形態３では、各種認証装置やセンサから得られる通行履歴データが生じる毎に、履歴系列データベースに履歴データが追加され、そして、個々の履歴系列につき終了の区切りを迎えると、直ちに異常行動であるか否かが検出（判断）される。
【００５０】
つまり、実施の形態３に係る異常行動検出装置２２は、実施の形態２と比べて、各構成要素の動作のタイミングが異なる。履歴系列抽出部８は、実施の形態２と同様に通行履歴データベース６から履歴系列を抽出する。まず、履歴系列抽出部８は、予め同データベース６から分類データとなる履歴系列を抽出する。その後、判定データとなる履歴系列は、通行履歴データベースに履歴が追加される毎に、履歴系列抽出部８が履歴系列データベースに該履歴を追加することで作成される。
【００５１】
行動パターン抽出部１０は、分類データに対して処理を行う。即ち、行動パターン抽出部１０は、実施の形態２の場合と同様に、履歴系列データベース１２から行動パターンを抽出し、行動パターンデータベース１４に格納する。この動作は、予め一度実行されるのであってもよい。
【００５２】
ここで、実施の形態２と異なり、異常行動検出部８は履歴系列の終了の区切りを見出すと、履歴系列データベース１２の最新の履歴系列データと行動パターンデータベース１４の行動パターンを比較し、その行動が異常であるかどうかを判定する。判定方法については、実施の形態２と同様である。
【００５３】
履歴系列の終了の区切りは、次のように定義する。異常行動検出部２４が動作するタイミングである履歴系列の終了の区切りは、履歴系列の定義によって異なる。一定時間（例えば、一日、一週間、就業時間など）を履歴系列と定義している場合には、その一定時間の終了時が履歴系列の終了であり、そのときに異常行動検出部２４が動作する。また、一定区間（例えば、ビル内に入ってから出るまで、ある通行区間に入ってから出るまで、など）を履歴系列と定義している場合には、ユーザ（行動検出対象者）がその区間に入って出た後に異常行動検出部２４が動作する。
【００５４】
実施の形態３に係る異常行動検出装置２２を利用することにより、一つの履歴系列データの終結後、直ちに異常行動を検出することができる。
【００５５】
実施の形態４．
実施の形態４に係る異常行動検出装置の構成は、実施の形態３に係る異常行動検出装置と同様のものである。実施の形態３では、履歴系列終了時に異常行動を検出していたが、実施の形態４では、履歴データが得られる毎に、その履歴が追加された履歴系列が異常行動であるか否かが判断される。
【００５６】
実施の形態４に係る異常行動検出装置２２における行動パターン抽出装置１０は、実施の形態３のものと同じである。同様に、異常行動検出部２４以外の各部の動作は、実施の形態３のものと同じであるため、説明を省略する。
【００５７】
従って、以下では、実施の形態４に係る異常行動検出装置２２における異常行動検出部２４について説明する。履歴データが履歴系列に追加される毎に、その履歴系列に対して異常行動であるか否か判定を行うとすると、その履歴系列は終了の区切りを迎えていないから、（行動パターンデータベース１４の）行動パターンと大きく異なってしまう可能性が高い。そこで、履歴系列が終了の区切りを迎えていない場合には、その履歴系列の後に続く履歴を、異常行動検出部２４が予測して付加し、その上で異常行動であるか否か判定する。
【００５８】
例えば、行動パターン抽出部１０で抽出された、あるユーザの（行動パターンデータベース１４内の）行動パターンが、図１４の３つのものであったとする。ここで、ある日のそのユーザの履歴系列が図１５に示されたものであるとする。この履歴系列に最も近い行動パターンは、図１６の行動パターンＩＤ１である。しかし、このまま比較したのでは、その後に来ると予測される履歴が未だ無いため、この履歴系列が異常行動と判定される可能性が高い。
【００５９】
そこで、現状の履歴系列の後に来ると想定される履歴を補完し、その上で比較することにより、終了の区切りを迎えていない履歴系列の異常行動の判定を行う。補完される履歴は、最も近い行動パターンとの距離が最も小さくなるように、履歴系列の末尾に追加されるものとする。
【００６０】
図１７は、実施の形態４に係る異常行動検出部２４の処理フローチャートである。異常行動検出部２４は、定期的に履歴系列データベース１２に履歴が追加されるかどうかを検査する（Ｓ２２）。追加されていれば（Ｓ２２・ＹＥＳ）、その履歴系列が終了しているかどうかを判定する（Ｓ２４）。履歴系列が終了していれば（Ｓ２４・ＹＥＳ）、実施の形態３と同様の異常行動の判定を行う（Ｓ２８、Ｓ３０、Ｓ３２、Ｓ３４）。履歴系列が終了していなければ（Ｓ２４・ＮＯ）、得られた履歴系列はまだ途中であるため、概履歴系列に最も近い行動パターンの代表点の履歴系列を参照し、履歴系列を補完する（Ｓ２６）。補完された履歴系列を用いて異常行動の判定を行う（Ｓ２８、Ｓ３０、Ｓ３２、Ｓ３４）。
【００６１】
以上のような構成とすることにより、履歴が得られるたびに異常行動を検出することができるため、異常行動を行ったユーザを素早く知ることができる。
【図面の簡単な説明】
【００６２】
【図１】本発明の実施の形態１に係る行動パターン抽出装置の構成を示すブロック図である。
【図２】通行履歴データベースの内容の例である。
【図３】履歴系列抽出部の処理フローチャートである。
【図４】履歴系列データベースに格納されるユーザ“ｕ”に関する履歴系列である。
【図５】１人のユーザの履歴系列データの例を示す表である。
【図６】ＤＰマッチングを説明するための履歴系列ＡとＢの比較例である。
【図７】ＬＢＧアルゴリズムによる分類方法を、概念的に２次元座標上に表したものである。
【図８】最大距離アルゴリズムの動作概念図である。
【図９】図５の分類データである履歴系列を、最遠点の閾値αを０．２５として分類した結果の表である。
【図１０】時刻を考慮した場合の、履歴系列の比較例である。
【図１１】図５の履歴系列の中で、認証装置ＩＤの系列は同じであるが、時刻を考慮した結果、距離が大きくなる、という例を示す表である。
【図１２】本発明の実施の形態２に係る異常行動検出装置の構成を示すブロック図である。
【図１３】図９の行動パターン抽出部の抽出結果を基に、異常行動検出を行った結果である。
【図１４】行動パターン抽出部で抽出された、あるユーザの（行動パターンデータベース内の）行動パターンの例である。
【図１５】ある日のあるユーザの履歴系列の（途中）例である。
【図１６】図１４の行動パターンと図１５の履歴系列との、比較の例である。
【図１７】本発明の実施の形態４に係る異常行動検出部の処理フローチャートである。
【符号の説明】
【００６３】
２ 行動パターン抽出装置、 ４ 入退室管理システム、 ６ 入退室管理システム、 ８ 履歴系列抽出部、 １０ 行動パターン抽出部、 １２ 履歴系列データベース、 １４ 行動パターンデータベース、 ２２ 異常行動検出装置、 ２４ 異常行動検出部。
【技術分野】
【０００１】
本発明は、行動パターン抽出装置及び異常行動検出装置に関する。
【背景技術】
【０００２】
従来の行動パターン抽出装置および異常行動検出装置の例として、下記特許文献１に記載の「不正ログイン検出装置」が挙げられる。同装置では、ユーザがＰＣ（パーソナルコンピュータ）やＰＰＰ（ポイントツーポイントプロトコル）サーバへログインする際、当該ユーザの過去のログイン時刻データから予め抽出されてある通常のログインパターン（行動パターン）を基準にして、行動パターンに一致しないログインが不正ログインと判定される。
【０００３】
上記先行例では、行動パターンの情報として、ログイン統計情報データベースにユーザ名と単位時間毎にログインに成功した回数とが対応付けられて格納される。ログイン回数積算部が、ユーザ認証されログインされたユーザ名とログイン時刻を得ると、ログイン統計情報データベースの当該ユーザにおける該当する時刻範囲のログイン回数を１加算することにより、ユーザの行動パターンを得る。不正ログイン検出処理部は、ユーザ認証後、当該ユーザのログイン回数に基づき予め定義された不正ログイン条件による検証を行い、不正ログインの疑いの有無を判定する。
【０００４】
同先行例では、ログイン時刻範囲別に異常行動判定が行われている。つまり、偶々一度だけ通常と異なる時間にログインを生じた場合、直ちに不正ログインと判定される。人間が日常と異なる行動を取ることはしばしば生じるのであり、先行例のような行動パターン抽出方法および異常行動判定方法では、不要な検出である誤検出が多発することになると思われる。
【特許文献１】特開２００２−２９７５４３公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
本発明は、人間の行動の不確かさをある程度考慮しつつも、適切に行動パターンの抽出や異常行動の検出を行う装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、上記の目的を達成するためになされたものである。本発明に係る行動パターン抽出装置は、
認証装置やセンサから得たユーザの通行履歴を格納している通行履歴データベースからユーザ毎の履歴系列を抽出する履歴系列抽出部と、
抽出された履歴系列を格納する履歴系列データベースと、
ユーザ毎の複数の履歴系列からユーザ毎の一つ以上の行動パターンを抽出する行動パターン抽出部と、
抽出された行動パターンを格納する行動パターンデータベースを備えていることを特徴とする行動パターン抽出装置である。
【発明の効果】
【０００７】
本発明を利用することにより、１回の履歴データではなく履歴系列から行動パターンを抽出して、各ユーザの行動パターンを把握することができる。更に、１回の履歴データではなく履歴系列から行動パターンを抽出した上で異常行動を検出するので、検出動作を実効的且つ効率的に行うことができる。
【発明を実施するための最良の形態】
【０００８】
本発明に係る行動パターン抽出装置は、一定時間（例えば、１日）または一定区間（例えば、入場から退場まで）における連続する履歴データの系列（以下、履歴系列と言う。）からユーザの行動パターンを抽出する機能を提供する。また、本発明に係る異常行動検出装置は、所与の行動パターン（データ）と差異ある履歴系列が生じた場合に、異常行動として検出する機能を提供する。
【０００９】
個別の履歴データではなく、履歴系列データから行動パターンを抽出するので、１回程度通常と異なる履歴データが生じても異常行動と判定しない。従って、誤検出の多発を防ぐことができる。また、ユーザの行動パターンを１つだけ抽出するのではなく複数抽出するので、人の広範な行動パターンを捕らえより誤検出をより軽減することができる。
【００１０】
以下、図面を参照して本発明に係る好適な実施の形態を説明する。
【００１１】
実施の形態１．
図１は、本発明の実施の形態１に係る行動パターン抽出装置２の構成を示すブロック図である。実施の形態１に係る行動パターン抽出装置２は、適切なコンピュータシステム上に実装される。行動パターン抽出装置２は従来例の入退室管理システム４に接続する。
【００１２】
図１に示される行動パターン抽出装置２は、
・通行履歴データベース６から、ユーザ毎の履歴系列データを抽出する履歴系列抽出部８と、
・抽出された履歴系列データを格納する履歴系列データベース１２と、
・ユーザ毎の複数の履歴系列データから、ユーザ毎の一つ以上の行動パターン（データ）を抽出する行動パターン抽出部１０と、
・抽出された行動パターン（データ）を格納する行動パターンデータベース１４と
から構成される。
【００１３】
なお、上記通行履歴データベース６は、入退室管理システム４に付属するデータベースであり、各種認証装置やセンサから得られる通行履歴データを格納している。
【００１４】
実施の形態１に係る行動パターン抽出装置２は、行動パターンを抽出・分類する。人の通常の行動パターンは、過去の多数の行動に係るデータを分類することで得られる。本発明では、入退室管理システム４の通行履歴データベース６から、人の過去の行動に係るデータを得る。
【００１５】
以下では、分類処理に用いるデータを「分類データ」と言う。分類処理では、１人の人間の行動パターンを１つ以上の行動パターンに分類することができる。更に、実施の形態１では、単体の履歴データを分類データとせず、複数の履歴データが繋がって形成される履歴系列データを分類データとして、行動パターンを抽出する。履歴系列抽出部８が、分類データである履歴系列（データ）を作成する。行動パターン抽出部１０は、行動パターンの抽出を行う。
【００１６】
通行履歴データベース６は、従来例の入退室管理システム４に付属し、認証装置やセンサなどから得られるデータを格納している。このデータは、ユーザが入退室管理システム４の管理する建物内の所定の位置を通行したことを示す情報である。この「ユーザが・・・所定の位置を通行したことを示す情報」が、“履歴”データである。
【００１７】
通行履歴データベース６の内容は、図２に示すように、データベース内の管理用インデックス、（通行）時刻、ユーザＩＤ、認証装置やセンサの認証装置ＩＤからなる複数の履歴で構成される。履歴データは、認証装置やセンサから得られた時刻の順に並んでいる。
【００１８】
前述のように本発明では、行動パターンを抽出するために、個別のユーザに関して履歴系列（データ）を用いる。ここで、履歴系列（データ）の始端と終端を定義する必要がある。以下のような、履歴系列の始端と終端の定義が想定される。
・１日、１週間、就業時間などの、一定時間
・建物内に入ってから出るまでの通行区間などの、一定区間
履歴系列の始端と終端の定義を如何に設定するかは、行動パターンを抽出する対象システム（図１では、入退室管理システム４）の特性に拠る。図１の入退室管理システム４では、例えば、１日の履歴系列を用いて行動パターン抽出を行うのが有効であると考えられる。
【００１９】
履歴系列抽出部８は、通行履歴データベース６の履歴（データ）からユーザ別の履歴系列を抽出する。図３は、履歴系列抽出部８の処理フローチャートである。履歴系列抽出部８は、通行履歴データベース６内の行動パターンを抽出する対象となる全ての履歴（データ）について次の処理を行う（Ｓ０２・Ｓ１４）。
【００２０】
該履歴のユーザＩＤを既に見つけているか判定する（Ｓ０４）。ここで、初めてのユーザＩＤであれば（Ｓ０４・Ｎｏ）該ユーザＩＤの履歴系列を保存するための領域を履歴系列データベース１２に確保し（Ｓ０８）、履歴系列の先頭にその履歴を保存する（Ｓ１２）。ユーザＩＤを既に見つけていれば（Ｓ０４・Ｙｅｓ）、その履歴が該ユーザＩＤの１つ前の履歴と異なる日であるかを判定する（Ｓ０６）。異なる日であれば（Ｓ０６・Ｙｅｓ）その履歴を別の履歴系列の先頭に保存し（Ｓ１２）、同じ日であれば（Ｓ０６・Ｎｏ）既にある履歴系列の末尾に追加する（Ｓ１０）。
【００２１】
履歴系列抽出部８で抽出された履歴系列データは、履歴系列データベース１２に保存される。図４は、履歴系列データベース１２に格納されるユーザ“ｕ”に関する履歴系列である。なお、図４のインデックスｉは図２のインデックスｉとは関係が無く、ユーザ“ｕ”に関する履歴に対して順に番号付けを仕直したものである。
【００２２】
行動パターン抽出部１０は、履歴系列データベース１２内の履歴系列からユーザ毎の行動パターンを抽出し、行動パターンデータベース１４に格納する。
【００２３】
図５は、１人のユーザの履歴系列データの例を示す表である。説明上の便宜のため、図４に示したインデックス、時刻、ユーザＩＤは省略している。表の各行が一つの履歴系列であり、この例では１９日分の履歴系列が含まれている。履歴系列の０、１、２などの数値は、ユーザが通過した認証装置ＩＤを表している。
【００２４】
これらの履歴系列から行動パターンを抽出するためには、履歴系列データ同士を対照し、履歴系列同士がどの程度似ているかを判断・決定しなければならない。しかし、履歴系列は各々長さ（即ち、１日に通過した認証装置の数）が異なるため、単純に履歴系列同士を対照しても何も得られない。そこで、実施の形態１では、長さが異なるデータを比較する手法であるＤＰ（Ｄｙｎａｍｉｃ Ｐｒｏｇｒａｍｉｎｇ）マッチングを用いる。
【００２５】
ＤＰマッチングについて簡単に説明する。例として、図６に示す履歴系列ＡとＢを比較する。“ａ０”や“ｂ１”などは、Ａ、Ｂの各要素（履歴）である。ＡとＢとでは履歴系列の長さが異なるため、そのまま系列の要素を比較することができない。そこで、短い方の履歴系列の要素に“＊”を入れてＡとＢの系列の長さを揃えた系列Ａ’、Ｂ’を作成する。系列中に“＊”が入れられる位置は、数２の式で表されているｄｉの規則を使用し、Ａ’とＢ’との比較結果であるＤが最も小さくなるように定められる。Ｄの定義は次の通りである。
【００２６】
【数１】
ここで、ＬはＡ’、Ｂ’の要素の数である。以下ではＬをＤの長さと言う。つまり、可能な限り、同じ認証装置ＩＤ（ａｉ＝ｂｉ）が比較されるように、元の履歴系列ＡとＢとに“＊”が入れられる。ここで、ｉは履歴系列の前からｉ番目の要素であることを表している。
【数２】
【００２７】
従って、履歴系列の長さを合わせ、数２の式で表されているｄｉの規則によりＡ’とＢ’の各要素ａ’ｉ、ｂ’ｉを比較し、比較結果Ｄを求める。図６における履歴系列ＡとＢとの比較結果Ｄは、
【数３】
となる。Ｄの値は、履歴系列が似ている程小さな値となる。
【００２８】
Ｄの値をそのまま用いて行動パターンを抽出することも可能と言えるが、Ｄは長い履歴系列である程大きな値になる可能性がある。そうすると、公平に類似度を表しているとはいい難い。そこで、Ｄを正規化、即ち、最大値を１に固定するようにする。その正規化された値をここでは履歴系列間の距離と呼び、履歴系列同士の比較に用いる。理論上Ｄが最も大きくなるのは、数２の式の定義より、全ての要素が全く異なるときである。そのときのＤは“Ｄの長さ×２＝２Ｌ”となる。従って、正規化された“距離”を、
Ｄ／（２Ｌ）
と定義する。ここでのＤの長さＬは、“＊”が入れられた後のＡ’やＢ’の要素の数を示す。図６の例では
距離＝１５／（２２×２）＝０．３４
である。従って、距離は、２つの履歴系列中の異なる要素の割合を表すことになる。
【００２９】
次に、分類データの行動パターンへの分類について説明する。まず、一人の人間の行動パターンは、一つに限定されるものではない。そのため、複数の履歴系列を複数の行動パターンに分類することを考える。本明細書では、上記の履歴系列データ相互の距離に基づいて、公知の分類（クラスタリング）アルゴリズムであるＬＢＧアルゴリズムにより履歴系列の分類を行う。
【００３０】
ＬＢＧ（Ｌｉｎｄｅ、Ｂｕｚｏ ａｎｄ Ｇｒａｙ）アルゴリズムは、個々のデータ（ここでは履歴系列）がどのクラスタ（行動パターン）に属するべきかというクラスタ間の境界を決定するアルゴリズムである。数学的には、クラスタ間分散が大きくなり、かつクラスタ内分散が小さくなるようにクラスタが決定される。このことは、行動パターンが異なる履歴系列同士の距離は大きくなり、行動パターンが同じ履歴系列同士の距離は小さくなることを示している。履歴系列を２次元座標上で表現することはできないが、分類方法を概念的に２次元座標上に表したものを、図７に示す。●と○が分類データ（履歴系列）を表しており、線がクラスタ間の境界を表している。×がクラスタの重心であり、○が重心に最も近い履歴系列データを表している（ここで、クラスタの重心に最も近い履歴系列データを、代表点と称する。）。代表点は、一つのクラスタに属する履歴系列の中で、同じクラスタに属する他の全ての履歴系列との距離の和が最小となるものを求めることで得られる。
【００３１】
ところで、上記のＬＢＧアルゴリズムは、クラスタ数が決まっている場合に用いられる方法である。一方で、そもそも人間の行動パターンの数は、個人によって異なる。従って、クラスタ数は履歴系列から自動的に求められることが望ましい。本発明では最大距離アルゴリズムと呼ばれるクラスタ数を決定する方法を用いる。図８に最大距離アルゴリズムの動作概念図を示し、以下にその概略の手順を示す。
【００３２】
１）まず、クラスタ数１として、全履歴系列の重心および代表点を求める（図８（１））。
２）クラスタの代表点から最も遠い点（最遠点）の距離が予め定められた閾値α以上である場合には（図８（１）の最遠点）、クラスタを１つ増やし代表点と最遠点を初期点としてＬＢＧアルゴリズムにより履歴系列を分類する（図８（２））。
３）各履歴系列につきその履歴系列から最も近いクラスタの代表点の距離を求め、その上でそれら距離のうち最も大きいものである点（最遠点）を確定する（図８（２）の最遠点）。最遠点と（近接の）代表点との距離が閾値以上の場合、クラスタ数を１つ増やし、各クラスタの代表点と最遠点を初期点として分類していく（図８（３））。
４）以下全ての履歴系列が代表点から閾値α以内の距離に入るまで、３）の処理を繰り返す。
【００３３】
図５の分類データである履歴系列を、最遠点の閾値αを０．２５として分類したところ、クラスタ数が“５”となり、図９に示す結果となった。つまり、このユーザの行動パターンを抽出したところ、５つの行動パターンが得られたことになる。
【００３４】
あるユーザの履歴系列を分類した結果、あるクラスタに属する分類データの数が少ない場合、そのクラスタは通常の行動パターンでは略発生しないと見なされ得るため、削除してもよい。例えば、予め閾値β（０≦β≦１）を定めておき、
Ｍ／Ｎ＜β
のとき該クラスタを行動パターンから削除する。ここで、Ｎは、あるユーザの分類データである履歴系列の数、Ｍは、あるクラスタに分類された履歴系列数を表す。
【００３５】
以上のような分類を受けて、行動パターンデータベース１４は、クラスタＩＤと各クラスタの代表点における履歴系列とを格納情報として、行動パターンを記録する。
【００３６】
ここまで、履歴の時刻要素を考慮に入れずに行動パターンを分類しているが、実際の人間の行動パターンにおいて時刻は重要な要素であると考えられる。そこで、履歴系列の比較のＤＰマッチングのｄｉの定義式［数１］を以下の式［数４］のように変更し、時刻を考慮することも可能である。
【数４】
【００３７】
上記数４において、ｔ（ａ’ｉ）、ｔ（ｂ’ｉ）は履歴ａ’ｉ、ｂ’ｉが得られた時刻、Ｔは時刻に関する閾値であるとする。つまり、履歴ａ’ｉとｂ’ｉの取得した時刻が十分に異なれば、ｄｉの値は無限大（十分大きな数）となることを表している。但し、実際にｄｉに無限大を割り当ててしまうのではない。つまり、時刻が十分に異なる場合、（ｄｉが無条件に無限大になってしまうから）認証装置ＩＤが同じであっても（例えば、図１０のＡ、Ｂの末尾の履歴のように）異なる履歴であるとして“＊”を代入する契機とするものである。図５の履歴系列の中で、認証装置ＩＤの系列は同じであるが、時刻を考慮した結果、距離が大きくなる、という例を図１１に示す。図１１の例では「Ｔ＝２」（時間）とした。
【００３８】
以上の実施の形態１では、履歴系列を用いて行動パターンを抽出するため、１回の通常と異なる履歴データが生じても直ぐに別の行動パターンとして抽出するのではなく、人の行動を複数の履歴の流れでとらえる。また、複数の行動パターンを抽出するので、人の広範な行動パターンを抽出することができる。また、履歴の意味を抽出することができ、入退室管理システムにおける監視業務の負荷軽減または効率化を図ることができる。
【００３９】
実施の形態２．
図１２は、本発明の実施の形態２に係る異常行動検出装置２２の構成を示すブロック図である。実施の形態２に係る異常行動検出装置２２は、実施の形態１に係る行動パターン抽出装置２を包含し、且つ、実施の形態１に係る行動パターン抽出装置２と略同様のものである。従って、同一部位には同一符号を付して説明を省略し、両者の差異を中心に説明する。
【００４０】
異常行動検出装置２２は、実施の形態１に係る行動パターン抽出装置２に加えて、異常行動検出部２４を含む。異常行動検出部２４は、行動パターン抽出装置２の履歴系列データベース１２に格納されている任意のユーザの履歴系列と行動パターンデータベース１４の同ユーザの行動パターンとを比較し、該履歴系列が行動パターンと異なっていると判断した場合、該履歴系列が異常行動であると判定する。
【００４１】
次に、装置全体の動作を示す。行動パターン抽出装置２が作成する行動パターンデータベース１４における分類データにより、新たに生じる履歴系列データが、異常行動を示すものであるかどうか判定される。この判定は異常行動検出部２４が行う。以下では判定に向けられる履歴系列データを判定データと称する。
【００４２】
行動パターンデータベース１４にユーザの行動パターンが格納されるまでは、実施の形態１と同様である。但し、履歴系列抽出部８は、分類データのみならず判定データも、実施の形態１と同様に、通行履歴データベース１４から抽出する。
【００４３】
異常行動検出部２４は、判定データである履歴系列データと、当該ユーザの持つ複数の行動パターンとを比較し、最も似ている行動パターンを見つける。そこで最も似ている行動パターンと比較したにも関わらず、あまり似ていないと判断された場合には、判定データである履歴系列を異常行動と判定する。
【００４４】
似ているか似ていないかの判定は、例えば以下の手順で行う。
（１）各クラスタの代表点と判定対象となる履歴系列とをＤＰマッチングで比較し、距離を求める。
（２）最も距離が短かったクラスタ（の代表点）との距離が、予め定められた閾値γ以上であれば、どのクラスタにも属さない、つまりどの行動パターンにも属さないとして、異常行動と判定する。
【００４５】
図９の行動パターン抽出部１０の抽出結果を基に、異常行動検出を行った結果を、図１３に示す。判定対象となった履歴系列は、図５と同じユーザの別の１ヶ月の履歴系列データである。「比較先クラスタ」は、それぞれの履歴系列との距離が最も近い図９のクラスタＩＤを示しており、「代表点からの距離」は、そのクラスタの代表点からの距離を表している。代表点からの距離の値が大きい履歴系列は、どのクラスタにもあまり似ていないことを表しており、従ってそのことにより異常行動であることが示されている。例えば、閾値γを“０．２５”とした場合、図１３にて網掛けされた履歴系列が、異常行動として検出される。
【００４６】
ここで、予め異常行動パターンと判定できる履歴系列が判明している場合には、その履歴系列を異常行動パターンとして予め定義しておき、その異常行動パターンと判定データである履歴系列との距離が、所与の閾値εより小さい場合には、その判定データにつき異常行動と判定する、ということも可能である。
【００４７】
実施の形態２では、履歴系列データを用いて異常行動を判定するのであり、１回の（即ち、一時の）通常と異なる行動（の履歴）を異常とは判定しない。従って、実施の形態２には、過度に過敏な異常行動検出を防ぐという効果がある。また、異常な行動を行ったユーザを事後的に検出することができるため、後に該ユーザにその行動につき確認することや、そのユーザに対して監視カメラや警備員が爾後注目することが可能になる。これらのことにより、その後の不正行為の発生が可及的に防がれるという効果がある。
【００４８】
実施の形態３．
実施の形態３に係る異常行動検出装置の構成は、実施の形態２に係る異常行動検出装置２２と同様のものであるため、以下、図１２を利用して、実施の形態３に係る異常行動検出装置を説明する。
【００４９】
実施の形態２に係る異常行動検出装置２２は、予め履歴系列データベース２４に格納されている履歴系列データに基づいて、異常行動を検出する。一方、実施の形態３では、各種認証装置やセンサから得られる通行履歴データが生じる毎に、履歴系列データベースに履歴データが追加され、そして、個々の履歴系列につき終了の区切りを迎えると、直ちに異常行動であるか否かが検出（判断）される。
【００５０】
つまり、実施の形態３に係る異常行動検出装置２２は、実施の形態２と比べて、各構成要素の動作のタイミングが異なる。履歴系列抽出部８は、実施の形態２と同様に通行履歴データベース６から履歴系列を抽出する。まず、履歴系列抽出部８は、予め同データベース６から分類データとなる履歴系列を抽出する。その後、判定データとなる履歴系列は、通行履歴データベースに履歴が追加される毎に、履歴系列抽出部８が履歴系列データベースに該履歴を追加することで作成される。
【００５１】
行動パターン抽出部１０は、分類データに対して処理を行う。即ち、行動パターン抽出部１０は、実施の形態２の場合と同様に、履歴系列データベース１２から行動パターンを抽出し、行動パターンデータベース１４に格納する。この動作は、予め一度実行されるのであってもよい。
【００５２】
ここで、実施の形態２と異なり、異常行動検出部８は履歴系列の終了の区切りを見出すと、履歴系列データベース１２の最新の履歴系列データと行動パターンデータベース１４の行動パターンを比較し、その行動が異常であるかどうかを判定する。判定方法については、実施の形態２と同様である。
【００５３】
履歴系列の終了の区切りは、次のように定義する。異常行動検出部２４が動作するタイミングである履歴系列の終了の区切りは、履歴系列の定義によって異なる。一定時間（例えば、一日、一週間、就業時間など）を履歴系列と定義している場合には、その一定時間の終了時が履歴系列の終了であり、そのときに異常行動検出部２４が動作する。また、一定区間（例えば、ビル内に入ってから出るまで、ある通行区間に入ってから出るまで、など）を履歴系列と定義している場合には、ユーザ（行動検出対象者）がその区間に入って出た後に異常行動検出部２４が動作する。
【００５４】
実施の形態３に係る異常行動検出装置２２を利用することにより、一つの履歴系列データの終結後、直ちに異常行動を検出することができる。
【００５５】
実施の形態４．
実施の形態４に係る異常行動検出装置の構成は、実施の形態３に係る異常行動検出装置と同様のものである。実施の形態３では、履歴系列終了時に異常行動を検出していたが、実施の形態４では、履歴データが得られる毎に、その履歴が追加された履歴系列が異常行動であるか否かが判断される。
【００５６】
実施の形態４に係る異常行動検出装置２２における行動パターン抽出装置１０は、実施の形態３のものと同じである。同様に、異常行動検出部２４以外の各部の動作は、実施の形態３のものと同じであるため、説明を省略する。
【００５７】
従って、以下では、実施の形態４に係る異常行動検出装置２２における異常行動検出部２４について説明する。履歴データが履歴系列に追加される毎に、その履歴系列に対して異常行動であるか否か判定を行うとすると、その履歴系列は終了の区切りを迎えていないから、（行動パターンデータベース１４の）行動パターンと大きく異なってしまう可能性が高い。そこで、履歴系列が終了の区切りを迎えていない場合には、その履歴系列の後に続く履歴を、異常行動検出部２４が予測して付加し、その上で異常行動であるか否か判定する。
【００５８】
例えば、行動パターン抽出部１０で抽出された、あるユーザの（行動パターンデータベース１４内の）行動パターンが、図１４の３つのものであったとする。ここで、ある日のそのユーザの履歴系列が図１５に示されたものであるとする。この履歴系列に最も近い行動パターンは、図１６の行動パターンＩＤ１である。しかし、このまま比較したのでは、その後に来ると予測される履歴が未だ無いため、この履歴系列が異常行動と判定される可能性が高い。
【００５９】
そこで、現状の履歴系列の後に来ると想定される履歴を補完し、その上で比較することにより、終了の区切りを迎えていない履歴系列の異常行動の判定を行う。補完される履歴は、最も近い行動パターンとの距離が最も小さくなるように、履歴系列の末尾に追加されるものとする。
【００６０】
図１７は、実施の形態４に係る異常行動検出部２４の処理フローチャートである。異常行動検出部２４は、定期的に履歴系列データベース１２に履歴が追加されるかどうかを検査する（Ｓ２２）。追加されていれば（Ｓ２２・ＹＥＳ）、その履歴系列が終了しているかどうかを判定する（Ｓ２４）。履歴系列が終了していれば（Ｓ２４・ＹＥＳ）、実施の形態３と同様の異常行動の判定を行う（Ｓ２８、Ｓ３０、Ｓ３２、Ｓ３４）。履歴系列が終了していなければ（Ｓ２４・ＮＯ）、得られた履歴系列はまだ途中であるため、概履歴系列に最も近い行動パターンの代表点の履歴系列を参照し、履歴系列を補完する（Ｓ２６）。補完された履歴系列を用いて異常行動の判定を行う（Ｓ２８、Ｓ３０、Ｓ３２、Ｓ３４）。
【００６１】
以上のような構成とすることにより、履歴が得られるたびに異常行動を検出することができるため、異常行動を行ったユーザを素早く知ることができる。
【図面の簡単な説明】
【００６２】
【図１】本発明の実施の形態１に係る行動パターン抽出装置の構成を示すブロック図である。
【図２】通行履歴データベースの内容の例である。
【図３】履歴系列抽出部の処理フローチャートである。
【図４】履歴系列データベースに格納されるユーザ“ｕ”に関する履歴系列である。
【図５】１人のユーザの履歴系列データの例を示す表である。
【図６】ＤＰマッチングを説明するための履歴系列ＡとＢの比較例である。
【図７】ＬＢＧアルゴリズムによる分類方法を、概念的に２次元座標上に表したものである。
【図８】最大距離アルゴリズムの動作概念図である。
【図９】図５の分類データである履歴系列を、最遠点の閾値αを０．２５として分類した結果の表である。
【図１０】時刻を考慮した場合の、履歴系列の比較例である。
【図１１】図５の履歴系列の中で、認証装置ＩＤの系列は同じであるが、時刻を考慮した結果、距離が大きくなる、という例を示す表である。
【図１２】本発明の実施の形態２に係る異常行動検出装置の構成を示すブロック図である。
【図１３】図９の行動パターン抽出部の抽出結果を基に、異常行動検出を行った結果である。
【図１４】行動パターン抽出部で抽出された、あるユーザの（行動パターンデータベース内の）行動パターンの例である。
【図１５】ある日のあるユーザの履歴系列の（途中）例である。
【図１６】図１４の行動パターンと図１５の履歴系列との、比較の例である。
【図１７】本発明の実施の形態４に係る異常行動検出部の処理フローチャートである。
【符号の説明】
【００６３】
２ 行動パターン抽出装置、 ４ 入退室管理システム、 ６ 入退室管理システム、 ８ 履歴系列抽出部、 １０ 行動パターン抽出部、 １２ 履歴系列データベース、 １４ 行動パターンデータベース、 ２２ 異常行動検出装置、 ２４ 異常行動検出部。
【特許請求の範囲】
【請求項１】
認証装置やセンサから得たユーザの通行履歴を格納している通行履歴データベースからユーザ毎の履歴系列を抽出する履歴系列抽出部と、
抽出された履歴系列を格納する履歴系列データベースと、
ユーザ毎の複数の履歴系列からユーザ毎の一つ以上の行動パターンを抽出する行動パターン抽出部と、
抽出された行動パターンを格納する行動パターンデータベースを備えていることを特徴とする行動パターン抽出装置。
【請求項２】
請求項１記載の行動パターン抽出装置を含み、
履歴系列データベースに格納されている、任意のユーザの履歴系列と行動パターンデータベースの該ユーザの行動パターンと比較し、該履歴系列が行動パターンと異なっていると判断した場合、該ユーザの履歴系列が異常行動を示すデータであると判定する異常行動検出部を備えていることを特徴とする異常行動検出装置。
【請求項３】
履歴系列抽出部が、ユーザ毎の一定時間または一定通行区間の履歴系列を抽出することを特徴とする請求項１記載の行動パターン抽出装置。
【請求項４】
履歴系列抽出部が、ユーザ毎の一定時間または一定通行区間の履歴系列を抽出することを特徴とする請求項２記載の異常行動検出装置。
【請求項５】
行動パターン抽出部が、履歴系列同士の類似度を示す値である距離を定義して比較する行動パターンを抽出することを特徴とする請求項１又は請求項３に記載の行動パターン抽出装置。
【請求項６】
行動パターン抽出部が、履歴系列同士の類似度を示す値である距離を定義して比較する行動パターンを抽出し、
異常行動検出部が、ユーザの履歴系列と該ユーザの行動パターンと比較する際に、最も距離の小さい行動パターンとの距離が、予め設定されている閾値以上である場合に該履歴系列を異常行動であると判定することを特徴とする請求項２又は請求項４に記載の異常行動検出装置。
【請求項７】
履歴系列抽出部が、認証装置やセンサから得たユーザの通行履歴を格納している通行履歴データベースからユーザ毎の履歴系列を抽出し、さらに通行履歴データベースに履歴が追加される度にリアルタイムに履歴系列データベースに該履歴を追加し、
異常行動検出部が、履歴系列抽出部が抽出した最新の履歴系列と行動パターンデータベースの行動パターンとを比較し、該履歴系列が行動パターンと異なっていると判断した場合、該ユーザの履歴系列が異常行動を示すデータであると判定することを特徴とする請求項２、４、若しくは６のうちのいずれか一つに記載の異常行動検出装置。
【請求項８】
履歴系列が終了の区切りを迎えた後、
履歴系列抽出部が、抽出した履歴系列と行動パターンを比較し異常行動を判定することを特徴とする請求項６記載の異常行動検出装置。
【請求項９】
履歴が得られるたびに履歴系列を履歴系列データベースに追加する履歴系列抽出部と、
履歴系列に履歴が追加されるたびに、
該履歴系列を補完して、異常行動の判定を行う異常行動検出部を備えていることを特徴とする請求項６記載の異常行動検出装置。
【請求項１】
認証装置やセンサから得たユーザの通行履歴を格納している通行履歴データベースからユーザ毎の履歴系列を抽出する履歴系列抽出部と、
抽出された履歴系列を格納する履歴系列データベースと、
ユーザ毎の複数の履歴系列からユーザ毎の一つ以上の行動パターンを抽出する行動パターン抽出部と、
抽出された行動パターンを格納する行動パターンデータベースを備えていることを特徴とする行動パターン抽出装置。
【請求項２】
請求項１記載の行動パターン抽出装置を含み、
履歴系列データベースに格納されている、任意のユーザの履歴系列と行動パターンデータベースの該ユーザの行動パターンと比較し、該履歴系列が行動パターンと異なっていると判断した場合、該ユーザの履歴系列が異常行動を示すデータであると判定する異常行動検出部を備えていることを特徴とする異常行動検出装置。
【請求項３】
履歴系列抽出部が、ユーザ毎の一定時間または一定通行区間の履歴系列を抽出することを特徴とする請求項１記載の行動パターン抽出装置。
【請求項４】
履歴系列抽出部が、ユーザ毎の一定時間または一定通行区間の履歴系列を抽出することを特徴とする請求項２記載の異常行動検出装置。
【請求項５】
行動パターン抽出部が、履歴系列同士の類似度を示す値である距離を定義して比較する行動パターンを抽出することを特徴とする請求項１又は請求項３に記載の行動パターン抽出装置。
【請求項６】
行動パターン抽出部が、履歴系列同士の類似度を示す値である距離を定義して比較する行動パターンを抽出し、
異常行動検出部が、ユーザの履歴系列と該ユーザの行動パターンと比較する際に、最も距離の小さい行動パターンとの距離が、予め設定されている閾値以上である場合に該履歴系列を異常行動であると判定することを特徴とする請求項２又は請求項４に記載の異常行動検出装置。
【請求項７】
履歴系列抽出部が、認証装置やセンサから得たユーザの通行履歴を格納している通行履歴データベースからユーザ毎の履歴系列を抽出し、さらに通行履歴データベースに履歴が追加される度にリアルタイムに履歴系列データベースに該履歴を追加し、
異常行動検出部が、履歴系列抽出部が抽出した最新の履歴系列と行動パターンデータベースの行動パターンとを比較し、該履歴系列が行動パターンと異なっていると判断した場合、該ユーザの履歴系列が異常行動を示すデータであると判定することを特徴とする請求項２、４、若しくは６のうちのいずれか一つに記載の異常行動検出装置。
【請求項８】
履歴系列が終了の区切りを迎えた後、
履歴系列抽出部が、抽出した履歴系列と行動パターンを比較し異常行動を判定することを特徴とする請求項６記載の異常行動検出装置。
【請求項９】
履歴が得られるたびに履歴系列を履歴系列データベースに追加する履歴系列抽出部と、
履歴系列に履歴が追加されるたびに、
該履歴系列を補完して、異常行動の判定を行う異常行動検出部を備えていることを特徴とする請求項６記載の異常行動検出装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２００６−６５５７２（Ｐ２００６−６５５７２Ａ）
【公開日】平成１８年３月９日（２００６．３．９）
【国際特許分類】
【出願番号】特願２００４−２４７０７２（Ｐ２００４−２４７０７２）
【出願日】平成１６年８月２６日（２００４．８．２６）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【出願人】（０００２３６０５６）三菱電機ビルテクノサービス株式会社 (1,792)
【公開日】平成１８年３月９日（２００６．３．９）
【国際特許分類】
【出願日】平成１６年８月２６日（２００４．８．２６）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【出願人】（０００２３６０５６）三菱電機ビルテクノサービス株式会社 (1,792)
[ Back to top ]