Brevet FR2625343A1 — publié le 19890630

PEItFECTIO AUX DISPOSITIFS DE TRAITEMENT DU SIGNAL La présente invention concerne un dispositif d'analyse d'une transaction informatique ou partie de transaction informatique. De façon générale, ce dispositif reçoit en entrée des signaux comprenant des informations délivrées par un utilisateur demandant l'exécution de la transaction informatique, ainsi que des informations de contexte représentatives des conditions de déroulement de la transaction. En fonction de ces deux types d'informations, le dispositif délivre en sortie des signaux de commande à des moyens de décision déterminant s'il y a lieu ou non de modifier le .déroulement de cette transaction ou de transactions suivantes, ou même d'arrêter complètement ou partiel lement lé processus et le service rendu à l'utilisateur. On cornait de tels dispositifs d'analyse, qui sont utilisés dans diverses applications telles que le contrôle d'accès physique ou logique, ou encore la délivrance d'autorisations et de services, de distribution de billets ou de services pour des cartes accréditives. De façon très schématique, il s'agit, à partir des informations fournies par l'utilisateur (données personnelles, etc.) et des conditions dans lesquelles ces informations sont délivrées (succession d'essais infructueux, nombre élevé de transactions sur un intervalle de temps réduit, etc.), de déterminer si la demande d'exécution de la transaction est ou non une demande "anormal-e" - c'est à dire révélatrice d'une tentative de fraude, d'abus ou de malveillance - et, dans l'affirmative, de prendre les décisions qui s'imposent de la manière la plus appropriée, à savoir interdire l'exécution de la transaction, en modifier le déroulement, mémoriser l'apparition de cette situation et attendre la prochaine demande d'exécution de transaction pour intervenir, etc. La détermination du caractère anormal ou non d'une demande d'exécution de transaction est déterminée par une série de règles prédéterminées, fondées principalement sur des analyses statistiques. Néanmoins, jusqu'à présent, ces règles étaient définies de façon plus ou moins empirique, sans fil conducteur, de sorte qu'elles n'aboutissaient pas, dans tous les cas, à une optimalisation de la décision prise. En outre; il est nécessaire d'utiliser un nombre élevé de signaux pour réaliser une bonne discrimination des transactions anormales : dans un système expert de traitement de données bancaires délivrant des autorisations de paiement, il est ainsi courant d'utiliser jusqu'à un millier de règles, du fait que le nombre d'événements anormaux (correspondant à quelques centaines de tentatives de fraudes par mois) est extrêmement faible par rapport au nombre d'événements normaux (plusieurs millions de transactions régulières). De la sorte, le "bruit de fond" informationnel est considérable et rend très difficile la révélation des demandes de transaction effectivement anormales, si ce n'est en prévoyant une marge de sécurité telle que l'on sera amené à refuser une proportion significative de transactions régulières, mais réalisées dans des conditions atypiques. En outre, l'analyse statistique oblige à mémoriser un volume d'informations considérable : par exemple, dans le cas des cartes accréditives, on stocke la totalité des transactions effectuées sur une période supérieure à une semaine par la totalité des porteurs de cartes, qui sont couramment de plusieurs millions.. L'un des buts de la présente invention e'st de pallier ces inconvénients et de dépasser ces limitations, en proposant un dispositif d'analyse présentant les avantages suivants - diminution du nombre de règles, typiquement dans un rapport de cinq à dix par rapport aux systèmes classiques, et ceci sans perte sur le résultat, c'est à dire sans perte sur la "qualité" ou "pertinence" de la décision prise, - pour chacune des règles, possibilité de simplifier la règle, toujours sans perte sur le résultat, ce qui permet de diminuer aussi bien le volume d'informations que le temps de transmission et de traitement, - optimalisation des règles entre elles, permettant d'aboutir directement aux résultats optimaux théoriques, ce qui réduit au minimum théorique le "taux de fausses alarmes" et le "taux de non- détection" , - volume d'information à stocker très inférieur, dans la mesure où l'on ne traitera -et conservera que la partie significative de l'information, évitant donc le recours à un stockage de masse de données brutes, - auto-adaptativité .du système en fonction de l'évolution des données statistiques, - très grande vitesse d'obtention des signaux de commande des moyens de décision, en raison de la limitation du volume d'informations, comme expliqué plus haut, cette vitesse étant encore accrue dans les modes de mise en oeuvre particuliers utilisant des circuits convoluteurs, que l'on décrira plus en détail dans la suite de la description. A cet effet, le dispositif d'analyse de la présente invention est caractérisé par - des moyens extracteurs, pour ne conserver, parmi les informations reçues en entrée, que celles utiles 'à l'analyse de la transaction, - des moyens suppresseurs, pour éliminer les signaux correspondant à une transaction considérée comme conforme à un ensemble de règles prédéterminées, de manière à ne pas poursuivre l'analyse pour les transactions de ce type, - des moyens de filtrage, pour éliminer, en fonction des caractéristiques statistiques des signaux délivrés par les moyens suppresseurs, les variations non significatives de la transaction à analyser, - des moyens de classement, pour répartir les signaux de la transaction à analyser en sortie des moyens de filtrage dans une ou plusieurs classes d'au moins un ensemble de classes, chaque ensemble correspondant à un critère prédéterminé de classification, ces moyens de classement délivrant en sortie les signaux de commande des moyens de décision. Selon un certain nombre de caractéristiques avantageuses - le dispositif comprend des moyens d'archivage assurant la mémorisation des signaux correspondant à des transactions antérieures ; - les moyens de filtrage sont des moyens à effet variable, commandés par des moyens de calcul et de réglage fonctionnant en réponse au contenu des moyens d'archivage ; - les moyens de classement sont des moyens à effet variable, commandés par des moyens de calcul et de réglage fonctionnant en réponse au contenu des moyens d'archivage ; - les informations transmises aux moyens extracteurs comprennent des signaux représentatifs de l'écart entre les conditions effectives de déroulement de la transaction et les conditions considérées comme normales du déroulement de cette transaction ; - le signal représentatif dudit écart est un signal de distance quantifiant l'écart plus ou moins grand entre les conditions effectives de déroulement de la transaction et les conditions considérées comme normales du déroulement de cette transaction ; - il est prévu une pluralité de moyens de classement disposés en parallèle, recevant en entrée les mêmes signaux et délivrant chacun en sortie des signaux spécifiques à des moyens combinatoires formant interface avec les moyens de décision ; - le dispositif étant installé dans un terminal d'un système distribué, un terminal du système reçoit des signaux en provenance des dispositifs d'analyse de terminaux voisins, ces signaux, qui comportent au moins un signal d'alarme, constituant des signaux d'entrée du dispositif d'analyse de ce terminal ; - dans ce dernier cas, le signal transmis à chaque terminal voisin est transmis avec application d'une fonction du temps comportant un retard, cette fonction dépendant de l'éloignement de ce terminal par rapport au terminal ayant émis le signal correspondant. les signaux de commande délivrés comprennent au moins un signal d'alarme transmis aux terminaux voisins du système distribué, ce signal d'alarme transmis constituant un signal d'entrée pour' les dispositifs d'analyse de ces terminaux voisins. Le dispositif de la présente invention est susceptible de nombreuses applications, parmi lesquelles les plus avantageuses sont, de façon non limitative - le contrôle d'accès physique (locaux protégés, zones sécurisées, etc), - le contrôle d'accès logique : accès aux bases de données, messageries, réseaux d'information, etc, - les transactions bancaires en général, notamment celles effectuées par les distributeurs automatiques de billets et guichets automatiques bancaires, - la délivrance d'autorisations de paiement aux utilisateurs de cartes accréditives, - les modules sécurisés : il s'agit d'une variante particulière du contrôle d'accès logique appliqué aux "boîtes noires" de chiffrement et déchiffrement, dans lesquelles un dispositif interne au module analyse les signaux' d'entrée à chiffrer ou déchiffrer afin de détecter si la manière dont ces signaux sont appliqués correspond à une utilisation normale du module sécurisé ou non, par exemple lorsqu'un utilisateur non habilité tente de découvrir la clef de chiffrement en envoyant des séries particulières successives de signaux ; le dispositif de l'invention. analysera ces signaux .(messages incohérents, inattendus, fréquences anormales, délais de réponse non conformes, etc.) pour détecter une fraude éventuelle et auto-neutraliser le module sécurisé en cas de fraude avérée. On va maitenant décrire en détail le dispositif de l'invention en référence aux figures annexées, puis en donner un exemple d'application pratique dans la description détaillée qui va suivre. Sur les figures - la figure 1. est un schéma fonctionnel illustrant le contexte d'utilisation du dispositif de l'invention, - la figure 2 montre l'ensemble des différents blocs fonctionnels - la figure 3 illustre les moyens de filtrage, - la figure 4 illustre les moyens de classement, et - la figure 5 illustre les. moyens de mise en forme assurant l'interfaçage avec les moyens de décision, . - les figures 6 et 7 illustrent l'application du dispositif de l'invention à la propagation d'alarme dans un système distribué. La figure 1 représente, de façon schématique, un système informatique 1 comprenant des moyens 2 d'acquisition de données relatives à l'exécution d'une transaction, et des moyens de décision 3 déterminant, en fonction des données acquises par les moyens 2, s'il- y a lieu ou non de délivrer une autorisation permettant de poursuivre la transaction, de modifier le déroulement de cette transaction, ou de modifier le déroulement de transactions ultérieures. Le dispositif 4 d'analyse selon l'invention reçoit en entrée les signaux délivrés par les moyens d'acquisition 2 et délivre des signaux de commande. aux moyens de décision 3. Les moyens d'acquisition sont de type classique et ne seront pas décrits en détail ; ils peuvent comprendre des capteurs, convertisseurs, modems, lecteurs de support d'information (cartes magnétiques ou à microcircuit par exemple), claviers de saisie de données, etc. Les moyens de décision 3 servent à exploiter les résultats qui leur sont fournis par le dispositif d'analyse 4 de l'invention, cette décision pouvant être prise de façon automatique ou humaine (il s'agit alors d'un système particulier d'aide à la décision) ou encore mixte, c'est à dire automatique mais permettant l'intervention occasionnelle d'un opérateur. Configuration générale du dispositif d'analyse La figure 2 représente plus en détail la stucture du dispositif d'analyse 4 de l'invention qui comprend, d'amont en aval, des moyens extracteurs 5, des moyens suppresseurs 6, des moyens de filtrage ?, des moyens de classement 8 et des moyens de mise en forme 9. Le rôle des moyens extracteurs 5 est de collecter et mettre en forme tous les signaux discriminants dont on peut disposer dans le système d'information 1 (on appelera "signal discriminant". tout signal parcipant à la prise de décision finale, quelle que soit la part plus ou moins grande pour laquelle il intervient dans cette décision). L'un des avantages de la présente invention est de pouvoir utiliser de façon exhaustive tous les signaux discriminants, même ceux qui ne le sont que faiblement alors que, dans les réalisations antérieures on ne conservait généralement que les signaux fortement discriminants afin d'en limiter le nombre. Les signaux discriminants peuvent être de natures très diverses - on peut utiliser, de façon classique, une information du type "tout ou rien", c'est à dire définissant si une relation est vérifiée ou non, si un seuil fixé est atteint ou non, s'il y a identité ou non entre une information délivrée et sa valeur de consigne, etc. ; - on peut également,- et de façon particulièrement avantageuse, utiliser au lieu d'une telle information binaire un signal mesurant l'écart entre la situation réelle et une situation "normale", ou l'écart entre l'information et sa valeur de consigne, etc. La théorie de l'information de Shannon ainsi que les systèmes de codes détecteurs ou correcteurs d'erreurs de Hamming donnent de nombreux exemples de telles mesures de "distance" entre informations, et l'on ne décrira pas plus en détail la manière d'obtenir de telles valeurs, technique en elle-même connue (différence mathématique, nombre de bits faux, distance de Hamming, nombre de caractères faux, coefficient de corrélation, etc.), le choix de la manière de calculer cette distance dépendant en fait de l'application pratique et du type de signal envisagé ; - il peut également s'agir du nombre d'accès à des ressources (bases de données, fourniture de produits ou de services, nombre d'utilisations d'une machine ou d'un logiciel ou partie de logiciel), des mouvements et déplacements d'appareils ou de personnes, du temps d'attente, ou des anomalies dans l'exécution d'une commande ou d'une opération, du temps d'exécution d'un traitement, d'une transmission ou d'un calcul, du temps de réaction par un opérateur humain à un signal où un affichage, etc ; - il est également possible d'utiliser, outre les grandeurs précitées, leur propriétés statistiques (moyenne, variance, coefficient de corrélation, etc.) ; - souvent, il est également utile de connaître les valeurs . correspondant aux grandeurs précitées pendant les périodes successives qui séparent deux transactions anormales avérées, notamment pendant la période écoulée depuis -la dernière transaction anormale détectée. Ces moyens extracteurs 5 délivrent ainsi des signaux à des moyens suppresseurs 6 destinés à définir, dans le flux des informations en sortie des moyens extracteurs, celles - et seulement celles - que l'on considère comme "suspectes", et qu'il s'agira ensuite de filtrer et d'analyser. A cet effet, les moyens suppresseurs 6 reçoivent en entrée, outre les signaux bruts délivrés par les moyens extracteurs 5, des règles prédéterminées (mais éventuellement modifiables) indiquant le critère permettant de considérer qu'un signal en entrée est "suspect" et qu'il devra donc être transmis pour analyse ultérieure aux autres circuits du dispositif. Le corps de règles contenu dans lé circuit 22 peut comprendre des franchissements de seuils, des apparitions d'un phénomène donné, l'utilisation non prévue de commandes à la disposition de l'utilisateur, le déroulement anormal d'un processus, etc. On obtient ainsi, en sortie de ces moyens suppresseurs 6, des signaux S, en nombre beaucoup plus réduit que les signaux bruts qui avaient été appliqués en entrée car l'on a éliminé, grâce à ces moyens, toutes les informations qui, par leur nature, correspondent à des signaux que l'on ne cherche pas à classer (qui ne peuvent être fraudés, par exemple). Ces moyens suppresseurs 6 alimentent également en sortie un fichier d'archives 10 qui conserve en mémoire les signaux correspondants aux événements considérés comme "suspects" - et ces seuls signaux -, à la différence des systèmes classiques qui ne mémorisaient que les signaux bruts, donc tous les signaux, d'ou une limitation rapide du fait du nombre considérable de ceux-ci. On désignera par la suite Si (n) les signaux délivrés par les moyens suppresseurs, n désignant la variable utilisée, qui peut être notamment - le temps (surtout utilisé à l'intérieur d'une opération ou transaction informatique donnée), - le numéro d'étape à l'intérieur de la transaction, - le numéro chronologique de l'opération ou de la transaction, - le numéro chronologique de l'événement, - le numéro chronologique des opérations ou traitement qui n'ont pas été menés jusqu'à terme, - ou encore une grandeur liée à une ou plusieurs des grandeurs précédentes. A la variable n, on associera une distribution en fréquence f, pouvant être également décrite en termes de pulsation w . Ces signaux Si (n) sont délivrés à des moyens de filtrage ayant pour fonction d"'améliorer le contraste" des signaux Si, c'est à dire d'éliminer, en fonction des caractéristiques statistiques des signaux Si (n), les variations non significatives de la transaction à analyser ; néanmoins et de façon caractéristique de la présente invention - cette élimination se fait sans aucune perte sur la qualité du résultat final : en d'autres termes, bien'que l'on élimine un certain nombre de signaux, la décision qui sera prise en fin de chaîne restera optimale, sans aucune -augmentation de l'incertitude correspondante. Ces moyens de filtrage 7, qui seront décrits plus en détail ci-dessous en référence à la figure 3, délivrent en sortie des signaux Vk(n) à partir des signaux Si (n) délivrés par les moyens suppresseurs et, éventuellement, de signaux Si antérieurs mémorisés dans le fichier d'archives 10 ; en outre, les paramètres du filtrage de, ces moyens de filtrage 7 peuvent être modifiés, éventuellement en temps réel, par des moyens de commande 11 permettant d'obtenir un réglage toujours optimal des filtres, notamment en fonction des informations archivées dans le fichier 10 : le système est ainsi rendu auto-adaptatif. Les signaux Vk(n) sont ensuite appliqués à des moyens de classement 8 qui vont opérer l'analyse proprement dite en fournissant en sortie des signaux Pu représentant la probabilité de l'appartenance de l'événement que l'on étudie à chacune de plusieurs classes Au d'événements, chaque classe correspondant à un "scénario" u prédéterminé que l'on souhaite détecter. En d'autres termes, Pu. indique, en termes de probabilité, le caractère plus ou moins suspect d'un comportement de l'utilisateur, ce caractère plus ou moins suspect étant typiquement révélateur d'une fraude, d'un abus ou d'une malveillance que l'on souhaite repérer afin de faire prendre au système d'information les décisions qui s'imposent. Ces moyens de classement 8, qui seront également décrits plus en détail par la suite en référence à la figure -4, sont de préférence, comme les moyens de filtrage 7, reliés à un organe de commande 20 permettant d'effectuer un réglage optimal de filtres utilisés, notamment en fonction des informations archivées dans le fichier 10, et rendant le système auto- adaptatif. Les signaux Pu peuvent être utilisés tels quels pour la prise de décision, et donc appliqués directement aux moyens de décision 3, ou bien ils peuvent être préalablement traités par des moyens de mise en forme 9, délivrant des signaux traités P'u aux moyens de décision 3. Ces moyens de mise en forme 9, qui seront également décrits plus détail par la suite en référence à la figure 5, peuvent par exemple transformer la variable continue Pu en une variable binaire "tout ou rien" au moyen de circuits à seuil. De même que les moyens de filtrage 7 et les moyens de classement 8, les moyens de mise en forme 9 sont avantageusement commandés par des moyens 21 assurant une adaptation permanente des fonctions, éventuellement en temps réel, notamment en fonction des informations archivées dans le fichier 10. Moyens de filtrage Les moyens de filtrage 7 ont été représentés plus en détail figure 3. Ces moyens de filtrage reçoivent en entrée les signaux Si (n) délivrés par les moyens suppresseurs 6 et délivrent en sortie les signaux Vk(n) aux moyens de classement 8 ; les signaux Vk(n) sont en nombre inférieur ou égal aux signaux Si (n). Si le spectre S*(w) (dans le domaine des fréquences) du signal Si (n) (dans le domaine temporel) n'est pas suffisamment plat, il peut être utile de corriger ce spectre, pour chacune des voies Si (n), par un filtre de voie correcteur 12. Il en est de même pour les sorties Vk(n) (filtres de voie 13). Entre les entrées Si (n), éventuellement corrigées par les filtres 12, et lés sorties Vk (n), éventuellement corrigées de la même façon par les filtres 13, on dispose, selon l'invention, une matrice de filtrage formée d'un réseau de filtres Fik, cette matrice étant de préférence une matrice de filtrage de type linéaire, telle qu'une matrice de filtrage de Wiener, de filtrage de Wiener discret ou de filtrage de Kalman. Ce filtrage a notamment pour propriété de tenir compte au mieux des caractéristiques statistiques des signaux Si (n) (notamment l'auto- corrélation sur chaque voie Si et les intercorrélations entre voies Si et Si), afin d'éliminer au mieux toutes les variations des signaux Si (n) qui ne sont pas significatives d'une anomalie recherchée. On va décrire, à titre d'exemple, les moyens de filtrage réalisés sous forme d'une matrice de filtrage de Wiener. Il existe en principe un filtre Fik, référencé 14, pour chaque couple (Si ,Vk ). Chaque ligne de filtre reçoit un même signal Si (n) tandis que, en sortie des filtres, les signaux délivrés sont additionnés sur chaque colonne pour former une voie Vk respective. A titre d'exemple particulier de réalisation, on peut notamment déterminer chaque filtre Fik par la relation suivante Fik (w) = Mik / e(w) (1) où Mik et o sont déterminés comme on va l'indiquer. Si l'on considère les signaux Si (n) pendant une ou plusieurs périodes où l'on est presque sûr (par exemple, par un examen a posteriori, ou en effectuant une simulation), qu'il n'y a pas eu d'événement qui puissent être considéré comme anormal ou suspect, ces signaux Si (n) représentent donc, de façon valable, des échantillons significatifs représentatifs de la catégorie des événements non suspects, correspondant typiquement à un usage normal du système d'information. Si l'on désigne Cik (r) le coefficient de corrélation entre les suites Si (n) et Sk(n), z étant le "retard", c'est à dire la différence (ni -nk), les coefficients de corrélation Cik (2) peuvent être mis sous la forme d'une matrice M(T), d'ordre r. Le déterminant e(.z) de cette matrice a, dans l'espace des fréquences, une transformée à(co) qui forme le numérateur de l'expression (1) ci- dessus. Si maintenant on supprime dans la matrice Mik les éléments contenus dans la ligne i et dans la colonne k, on obtient une nouvelle matrice Mik (en principe d'ordre r-1) qui est une fonction de 2, et dont la transformée dans l'espace des fréquences est Mik (w), qui constitue le dénominateur de la relation (1) ci-dessus. On notera que l'on peut supprimer dans cette matrice de filtrage les filtres dont les gains relatifs sont faibles ou négligeables, ce qui contribue à en simplifier la réalisation. Si, par ailleurs, tous les filtres Fi correspondant à un signal Si sont nuls ou négligeables, on peut en déduire que le signal Si n'est pas discriminant pour déterminer si l'événement doit être considéré comme normal ou suspect et pour le classer. D'autre part, un filtre Fik peut entraîner un retard du signal de sortie Vk par rapport au signal d'entrée Si et il pourra arriver que ce retard soit important, et même prohibitif compte tenu de (urgence qu'il peut y avoir à prendre une décision dans une situation donnée. Pour pallier cet inconvénient, on pourra soit supprimer le filtre Fik, soit .limiter son retard, c'est à dire choisir un filtre sous-optimal. Jusqu'à présent, on a supposé que les filtres Fik (w) étaient indépendants de n (par exemple, du temps) ; dans ce cas, les calculs des filtres sont faits une fois pour toutes. Il peut cependant arriver que le calcul des filtres, par exemple à partir de la relation (1) ci-dessus, donne des résultats variables-en fonction de n, c'est à dire en fonction de l'historique des événements antérieurs mémorisés dans le fichier 10 ; dans ce cas, on calculera les filtres optimaux non plus une fois pour toutes mais périodiquement, éventuellement à chaque fois et en temps réel, c'est à dire pour chaque nouveau vecteur de signaux Si (n), le réglage des filtres étant modifié en conséquence à chaque séquence d'analyse. L'organe de commande référencé 11 sur la figure 2 permet d'assurer ce réglage variable 'et continu (ou discontinu). des filtres, par exemple en recalculant l'expression (1) et en modifiant en conséquence le réglage des filtres Fik ou d'une partie de ceux-ci (en effet, il se peut que seuls certains des filtres Fik soient affectés par l'historique des événements). Moyens de classement On a représenté plus en détail sur la figure 4 les moyens de classement 8, qui reçoivent en entrée les signaux Vk(n) délivrés par les moyens de filtrage 7 de la manière que l'on vient d'exposer et qui délivrent en sortie, aux moyens de mise en forme 9, des signaux Pu(n) dont l'amplitude est représentative de la probabilité attachée à chacune des sous-classes particulières d'événements parmi les événements avérés-anormaux. Ces différentes sous-classes correspondent, comme on l'a expliqué plus haut, à différents "scénarios" que l'on sait isoler, par exemple par analyse statistique, ou simuler. A chaque scénario Au on fera correspondre un ensemble de décisions Du permettant de tirer au mieux parti de la situation, ou d'en limiter au maximum les risques. Le nombre de colonnes u est quelconque (il dépend en fait du type de transaction à analyser, de la finesse d'analyse souhaitée et de la variété des signaux discriminants disponibles) ; il existe au moins une colonne u. Les moyens de classement 8 sont constitués d'une matrice de filtres adaptés FAku, référencés 15, alimentés de la même manière que dans le cas des moyens de filtrage décrits ci-dessus, c'est à dire que tous les filtres FAku d'une même ligne reçoivent le même signâl Vk(n), et que les sorties- de tous les filtres FAku d'une même colonne sont sommées pour fournir le signal Pu respectif après détection par un circuit 16 délivrant une valeur arithmétique à partir de la valeur algébrique du signal somme en sortie des filtres, le circuit 16 étant par exemple un circuit de détection quadratique. - Le calcul et le réglage des filtres FAku s'obtient en simulant ou en reproduisant (par exemple à partir de l'historique conservé dans le fichier 10) chacun des scénarios u. On obtient ainsi en sortie des moyens de filtrage 7 un signal respectif Vku (n), conséquence des scénarios d'événements u dans la voie Vk ; de préférence, on répète plusieurs fois ce même scénario u, et l'on conserve pour Vku le signal moyen des différents signaux obtenus à chaque répétition. A chaque signal Vku (n) on associe un filtre adapté FAku, déterminé par la relation générale . FA(cu) = K.ei wto V*(co) (2) K étant une constante, to étant également une constante (retard), V(w ) étant la transformée de Fourier de V(n) et V*(w) étant la conjuguée de V(co). Comme dans le cas des moyens de filtrage, il est possible, pour les moyens de classement - de supprimer les filtres FA dont les gains relatifs sont négligeables, - si tous les filtres d'une même ligne sont nuls ou négligeables, on peut en déduire que le signal Vk (n) n'est pas significatif pour discriminer les différents scénarios Au ; on peut alors supprimer les filtres correspondants. - si tous les filtres d'une colonne sont nuls 'ou négligeables, on peut en déduire que les signaux Si ne sont pas discrimiments pour la sous- classe d'événements u. - si un filtre FAku entraîne un retard important ou prohibitif du signal de sortie Pu par rapport au signal d'entrée Vk et que l'on souhaite pouvoir prendre rapidement une décision dans une situation donnée, on pourra soit supprimer ce filtre soit, de préférence, limiter son retard; c'est à dire choisir un filtre sous- optimal. - les filtres FAku peuvent être des filtres variables dans le temps, leur réglage étant adaptés en permanence par les moyens de commande 20 pour que leurs caractéristiques correspondent toujours à l'optimum calculé. On a jusqu'à présent supposé que les différents scénarios Au étaient connus à l'avance, et qu'il existait donc autant de signaux Pu que de sous- classes Au différentes, c'est à dire de scénarios différents. On peut vérifier ac posteriori que là partition en sous-classes Au est significative, en vérifiant que les deux colonnes de filtres adaptés FAku correspondant à deux scénarios différents sont significativement différentes ; dans le cas contraire, il est possible de supprimer l'une des deux colonnes de filtres, puisque ces deux colonnes sont plus ou moins redondantes. Si l'on ne connait pas à l'avance les différents scénarios Au, ou si l'on connaît mal ceux-ci, on peut utiliser de façon empirique (tout au moins en l'absence d'un fichier historique des événements suffisamment riche pour déterminer avec précision la partition entre les différents scénarios), au moins deux batteries de filtres, dont l'une est à large bande, c'est à dire à réaction rapide, et l'autre à bande étroite, c'est à dire à réaction lente. Moyens de mise en forme On va maintenant décrire plus en détail les moyens de mise en forme 9, en référence à la figure 5. Dans certains cas, la simple présentation des informations Pu peut suffire à la prise de décision, de sorte que les moyens de mise en forme 9 sont simplement réduits à un affichage de ces différents signaux Pu. Néanmoins, dans la plupart des cas ces signaux ne sont pas directement utilisables, en particulier lorsque les décisions à prendre dans une situation donnée ne dépendent pas directement des grandeurs Pu, mais de combinaisons logiques, algébriques ou heuristiques des grandeurs Pu et de leurs variations en fonction de n (typiquement, en fonction du temps). Ces différents calculs sont alors effëctués par un organe de calcul 18 délivrant en sortie des signaux directement utilisables par les moyens de décision 3. Par ailleurs, il peut être très souvent utile de transformer les signaux continus Pu en signaux binaires P'u, c'est à dire d'obtenir une-information non plus en termes de probabilité, mais une information "tout ou rien" sur l'existence ou non d'un scénario Au. Dans ce dernier cas, la transformation est effectuée par des comparateurs 19 recevant chacun en entrée un signal Pu et le comparant à un seuil Lu respectif de manière à fournir le résultat binaire P'u. Les seuils Lu peuvent être fixes et réglés une fois pour toutes. Cependant, lorsque, à partir des informations du fichier historique 10, on s'aperçoit de variations notables en fonction de n (typiquement, en fonction du temps), on peut être amené à faire varier les seuils Lu en fonction des informations de ce fichier ; ce réglage continu des seuils est réalisé par un circuit 21 (figure 2), similaire dans son fonctionnement aux circuits de commande 11 et 20 agissant respectivement sur les moyens de filtrage 7 et les moyens de classement 8: Comme pour ces derniers, le circuit 21 rend le dispositif d'analyse de l'invention auto-adaptatif en fonction de l'évolution dans le temps des données. Cet ajustement permanent des seuils Lu peut aussi permettre de régler les moyens de mise en forme de manière à maintenir à une valeur de référence des critères fixés à l'avance, par exemple de manière à maintenir constant le taux moyen d'événements anormaux, ou le taux moyen de décisions négatives prises par les moyens de décision 3. Variantes de mise en oeuvre La configuration décrite ci-dessus peut être perfectionnée de diverses manières en fonction de la nature et de la complexité des transactions à analyser. On peut par exemple utiliser plusieurs dispositifs d'analyse 4, 4',... (figure 1) en parallèle, correspondant chacun à des critères d'anormalité significativement différents, ou bien pour des raisons de séparation des fonctions, facilité dé réalisatiôn, fiabilité, etc., bien que, théoriquement; un système utilisant plusieurs dispositifs d'analyse en parallèle soit équivalent à un système d'analyse unique avec des matrices de filtrage de plus grande dimension. Par ailleurs, dans le cas de plusieurs dispositifs en parallèle, certains organes peuvent être communs, c'est à dire que l'on ne met en parallèle que (par exemple) les moyens de filtrage , les moyens suppresseurs et de classement étant communs, etc. On peut également mettre en cascade plusieurs dispositifs d'analyse selon l'invention, dans les cas complexes où les décisions doivent être prises avec des signaux Pu ou P'u fortement corrélés entre eux : il sera alors utile d'utiliser un dispositif d'analyse secondaire utilisant comme signaux d'entrée les signaux de sortie Pu du dispositif d'analyse principal ; le réglage du dispositif d'analyse secondaire s'effectue de la même manière que celui du dispositif d'analyse principal. En ce qui concerne les techniques de filtrage et de classement utilisées, on peut utiliser, comme on l'a décrit plus haut, des filtres numériques Fik et FAku, à caractéristiques fixes ou variables. On peut également utiliser, en lieu et place de ces filtres numériques, des corrélateurs ou des convoluteurs, selon des techniques connues. Application à la propagation d'alarme De façon générale, l'ensemble d'analyse selon l'invention peut être - soit complet et autonome, - soit intégré dans un système expert dont il constitue -un élément principal de décision, - soit distribué sur plusieurs niveaux. Concernant ce dernier point, il y a lieu de remarquer que -le système de l'invention est particulièrement avantageux dans un système distribué et hiérarchisé de machines tel que réseau informatique, réseau de distributeurs de billets, de terminaux point de vente, etc. Par exemple, dans le cas des terminaux point de vente, les terminaux installés chez les commerçants dépendent d'un centre local d'autorisation, lui-même relié à un centre national, qui -à son tour est relié à un centre international. A chaque niveau hiérarchique sont prévues des limites d'autorisation prédéfinies, avec une délégation au niveau supérieur en cas de dépassement de cette limite. Par exemple, au niveau du terminal point de vente, l'autorisation peut être délivrée sans en référer au centre local si le montant de la transaction ne dépasse pas un plafond donné, et pour une transaction unique par jour chez un même commerçant' ; si ces conditions ne sont pas remplies, le commerçant devra en référer au centre local, qui pourra accorder l'autorisation lui-même, ou bien devra en référer au centre national, en fonction d'autres règles de décision, etc. On conçoit que les règles aujourd'hui utilisées sont assez frustres, en particulier au niveau hiérarchique le plus bas. La présente invention permet précisément d'améliorer cet état de fait en prenant une décision beaucoup plus- "subtile" en prévoyant une analyse in situ de la transaction, par exemple par un dispositif ou logiciel simple supplémentaire intégré au terminal point de vente. Ceci permet d'une part de - diminuer le nombre de recours au centre local, toujours lourds à gérer (établissement d'une communication téléphonique, télétransmission d'un certain nombre d'informations, attente, etc.), tout en diminuant le risque d'utilisations frauduleuses. En outre, et de façon particulièrement avantageuse, le système de la présente invention permet, lorsqu'une transaction suspecte est avérée (et a fortiori s'il s'agit effectivement d'une tentative frauduleuse), de propager l'alarme à l'intérieur du système distribué, selon une fonction du temps (dépendant de l'éloignement des terminaux voisins) et de façon progressive (l'alarme étant d'abord -propagée aux terminaux les plus proches) et évolutive (la détection, sur plusieurs terminaux, de transactions suspectes rapprochées dans le temps et dans l'espace permet d'augmenter le niveau de l'alarme). En d'autres termes, si le système d'analyse de l'invention incorporé à un terminal donné- du système distribué détecte une transaction suspecte à un instant to, la probabilité correspondante de fraude selon un scénario Au déterminé va passer, pour ce terminal, à un niveau donné (par exemple, 70 %) à cet instant to, comme illustré en A sur la figure 6. On va utiliser ce système pour mettre en alerte les terminaux géographiquement voisins en transmettant à ceux-ci un signal d'alerte qui constituera l'un des signaux d'entrée de leur dispositif d'analyse propre -, cette transmission pouvant être effectuée soit via le niveau hiérarchique supérieur (transmission de l'information au centre local qui la répercute ensuite progressivement vers les terminaux voisins, en commençant par -les plus proches, -cette solution étant généralement préférable dans le cas d'un réseau de terminaux très dense autour du terminal où a été détectée la transaction suspecte), soit directement de point à point, ce qui évite de surcharger le système informatique du centre local. La probabilité de fraude pour un terminal (terminal 1) situé par exemple à une distance correspondant à un temps de parcours minimal de 10 minutes par rapport au terminal (terminal 2) où a été détectée la transaction suspecte est indiquée figure 7. Avec une constante de temps T = 10 minutes par rapport au signal A, c'est à dire à partir de l'instant to+10, la probabilité (courbe B) va augmenter progressivement jusqu'à un maximum, puis diminuer lentement, le risque de fraude s'estompant peu à peu avec le temps. Les filtres de ce terminal seront par exemple choisis de sorte que la probabilité maximale soit inférieure à la probabilité déterminée pour le terminal 1, par exemple moitié moindre, ce qui donne une probabilité maximale de 35 %. Si, en revanche, une seconde transaction suspecte A' (figure 6) est détectée (au terminal 1 ou à un autre terminal voisin) à un instant Vo peu de temps après la première transaction suspecte A, on obtiendra au terminal 2 une seconde réponse B' correspondante, identique à la réponse B, mais décalée dans le temps. La composition des deux réponses B et B' donne la réponse B+B' qui, comme on peut le constater, passe par un maximum correspondant à une probabilité de fraude très supérieure à celle correspondant à une seule transaction suspecte détectée (réponse B ou réponse B'). Une telle application de la présente invention à la propagation d'alarme permet d'accroître considérablement la prévention des fraudes et permet en outre un suivi géographique en temps réel des transactions suspectes, ce qui rend le système particulièrement dissuasif. Ce système de propagation d'alarme est en outre relativement aisé et peu coûteux à mettre en oeuvre, dans la mesure où il ne requiert aucune infrastructure supplémentaire par rapport à ce qui existe actuellement. Exemple de mise en oeuvre de l'invention appliquée d un système de délivrance d'autorisations pour cartes accréditives Dans cette application, les signaux significatifs Si pourront être les suivants - nature du service demandé (distribution d'argent, paiement, transfert de fonds, etc.), - moyen utilisé à cet effet (distributeur de billets, automate en libre- service, appareil fonctionnant en présence ou non d'un commerçant, etc.), -lieu d'origine de la demande d'autorisation (magasin, automate bancaire sur la voie publique, terminal à domicile, etc.), - montant demandé (ou, de préférence, son ordre de grandeur, défini par le logarithme du montant, ce qui permet de réduire le nombre de bits d'informations sans compromis sur le résultat final), - moyen d'autentification du support et des informations (par le commerçant, par un moyen automatisé, par une lecture de piste magnétique, etc.), - moyen d'identification du porteur (signature, code confidentiel, caractéristique biométrique, etc.), - délai de réponse demandé pour l'obtention de l'autorisation, - lieu géographique du demandeur ou toute information équivalente, - nature du commerce, - date (jour de la semaine, quantième, etc.) et heure de la demande , - lieu habituel d'achats et lieu du dernier achat, ce qui permet de mesurer la "distance" entre ces données et le lieu d'où provient la demande d'autorisation, - transactions déjà effectuées dans le passé pour un porteur donné. Ces grandeurs précédentes ne sont pas aléatoires ni indépendantes. Si l'on utilise pour le filtrage un système mettant en oeuvre la relation (1) indiquée plus haut; le résultat sera, par exemple pour un filtre Fik correspondant à la fréquence des demandes, un filtre ayant une caractéristique de filtre intégrateur avec une largeur de bande de l'ordre de huit jours. L'ensemble des filtres Fik étant ainsi défini et ceux-ci réglés selon leurs caractéristiques optimales, on peut procéder au règlage des filtres adaptés FAku. On considèrera à cet effet des scénarios correspondant à divers risques ; par exemple - dans le cas de l'utilisation abusive d'une carte volée : le nombre d'utilisations et leurs montants, ainsi que la période pendant laquelle l'utilisation a lieu, etc. sont des données connues qui peuvent être utilisées pour régler une colonne de filtres adaptés FAku. Le réglage du seuil du circuit 16 correspondant à cette colonne sera effectué par exemple de telle façon que le nombre de dépassements de seuil en l'absence d'utilisation abusive reste à -un niveau acceptable (par exemple, inférieur à 1 96 des _ demandes d'autorisation) ; - une deuxième ligne de filtres adaptés FAku pourra être obtenue en considérant les tentatives de recherche du code confidentiel associé à une carte donnée, ou bien l'apparition de supports physiquement différents portant des informations identiques (cas des cartes frauduleusement dupliquées), etc. De façon générale, pour simplifier et accélérer les calculs - on ne conservera pour chaque information qu'un minimum de bits d'information (quelques bits, éventuellement un seul bit), - on utilisera la technique d'addition des réponses percussionnelles des filtres, c'est à dire qu'on mettra à jour la réponse des filtres sans la complètement cette réponse à chaque fois, niais simplement en cumulant les réponses percussionnelles correspondant à chaque transaction informatique nouvelle, - on ne conservera en mémoire que les caractéristiques permettant de mettre à jour la réponse des filtres (date de la dernière mise à jour, paramètre décrivant la réponse en gain et en phase), et à chaque nouvelle demande d'autorisation, ces paramètres seront mis à jour. Enfin, les réglages des filtres pourront être différents selon les périodes: heures ouvrables ou non, jour de la semaine, week-end prolongé, périodes de vacances ou de fin d'années, etc). " REVENDICATIONS 1. Un dispositif (4) d'analyse d'une transaction informatique ou partie de transaction, dans lequel le dispositif reçoit en entrée des signaux comprenant les informations délivrées par un utilisateur demandant l'exécution de la transaction ainsi que des informations de contexte représentatives des conditions de déroulement de la transaction, et délivre en sortie des signaux de commande à des moyens de décision (3) déterminant s'il y a lieu ou non de délivrer une autorisation à l'utilisateur lui permettant de poursuivre la transaction ou de modifier le déroulement de cette transaction ou de transactions ultérieures, caractérisé par - des moyens extracteurs (5), pour ne conserver, parmi les informations reçues en entrée, que celles utiles à l'analyse de la transaction, - des moyens suppresseurs (6), pour, éliminer les signaux correspondant à une transaction considérée comme conforme à un ensemble de règles prédéterminées, de manière à ne pas poursuivre l'analyse pour les transactions de ce type, - des moyens de filtrage (7), pour éliminer, en fonction des caractéristiques statistiques des signaux délivrés par les moyens suppresseurs, les variations non significatives de la transaction à analyser, - des moyens de classement (8), pour répartir les signaux de la transaction à analyser en sortie des moyens de filtrage (7) dans une ou plusieurs classes d'au moins un ensemble de classes, chaque ensemble correspondant à un critère prédéterminé de classification, ces moyens de classement délivrant en sortie les signaux de commande des moyens de décision. 2. Le dispositif de la revendication 1, comprenant des moyens d'archivage (10) assurant la mémorisation des signaux correspondant à des transactions antérieures. 3. Le dispositif de la revendication 2, dans lequel les moyens de filtrage (7) sont des moyens à effet variable, commandés par des moyens de calcul et de réglage (11) fonctionnant en réponse au contenu des moyens d'archivage (10). 4. Le dispositif de l'une des revendications 2 ou 3, dans lequel les moyens de classement (8) sont des moyens à effet variable, commandés par des moyens de calcul et de réglage (20) fonctionnant en réponse au contenu des moyens d'archivage (10). 5. Le dispositif de- l'une des revendications précédentes, dans lequel les informations transmises aux moyens extracteurs comprennent des signaux représentatifs de l'écart entre les conditions effectives de déroulement de la transaction et les conditions considérées comme normales du déroulement de cette transaction. 6. Le dispositif de la revendication 5, dans lequel le signal représentatif dudit écart est un signal de distance. quantifiant l'écart plus ou moins grand entre les conditions effectives. de déroulement de la transaction et les conditions considérées comme-.normales du déroulement de cette transaction. 7. Le dispositif de l'une des revendications 1 à 6, comprenant une pluralité de moyens de classement (8) disposés en parallèle, recevant en entrée les mêmes signaux et délivrant chacun en sortie des signaux spécifiques à des moyens combinatoires (9) formant interface avec les moyens de décision. r 8. Le dispositif de l'une des revendications 1 à 7, installé dans un terminal d'un système distribué, caractérisé en ce qu'un terminal du système reçoit des signaux en provenance des dispositifs d'analyse de terminaux voisins, ces signaux, qui comportent au moins un signal d'alarme, constituant des signaux d'entrée du dispositif d'analyse de ce terminal. 9. Le dispositif de la revendication 8, dans lequel le signal transmis à chaque terminal voisin est transmis avec application d'une fonction du temps comportant un retard, cette fonction dépendant de. l'éloignement de ce terminal par rapport au terminal ayant émis le signal correspondant.