(57)【要約】  入力部（１０１）は、学習用のデータおよび判定対象のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける。そして、整形部（１０２）は、受け付けられたデータを整形する。また、分類部（１０３）は、整形されたデータを、リクエストしたユーザごとに分類する。そして、学習部（１０４）は、分類された学習用のデータから、連続するｎ個のリクエストを学習用のデータの特徴量として抽出し、学習用のデータの特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する。また、判定部（１０５）は、分類された判定対象のデータから、連続するｎ個のリクエストを判定対象のデータの特徴量として抽出し、判定対象のデータの特徴量と、学習部（１０４）によって作成されたプロファイルとを基に、判定対象のデータを判定する。
2017145591.tif 000002
【特許請求の範囲】
【請求項１】
学習用のデータおよび判定対象のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける入力部と、
前記入力部によって受け付けられた前記データを、前記リクエストを行ったユーザごとに分類する分類部と、
前記分類部によって分類された前記学習用のデータから、連続する第１の個数のリクエストを前記学習用のデータの特徴量として抽出し、前記学習用のデータの特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する学習部と、
前記分類部によって分類された前記判定対象のデータから、連続する前記第１の個数のリクエストを前記判定対象のデータの特徴量として抽出し、前記判定対象のデータの特徴量と、前記学習部によって作成されたプロファイルと、を基に、前記判定対象のデータが異常であるか否かを判定する判定部と、
を有することを特徴とする分析装置。
【請求項２】
前記学習部は、ユーザごとのプロファイルに含まれる各特徴量の発生確率の全ユーザの平均値を計算し、計算した平均値を前記各特徴量の発生確率とする平均プロファイルをさらに作成することを特徴とする請求項１に記載の分析装置。
【請求項３】
前記判定部は、前記分類部によって分類された前記判定対象のデータの各リクエストを始点とする、連続する第２の個数のリクエストごとに、連続する前記第１の個数のリクエストを前記判定対象のデータの特徴量として抽出し、前記判定対象のデータの特徴量と、前記学習部によって作成されたプロファイルと、を基に、連続する前記第２の個数のリクエストごとのスコアを計算し、前記スコアの時系列の変化量および閾値を基に、前記判定対象のデータが異常であるか否かを判定することを特徴とする請求項１に記載の分析装置。
【請求項４】
前記判定部は、前記スコアの時系列の変化量の所定期間の移動平均が前記閾値を超えた場合、前記判定対象のデータが異常であると判定することを特徴とする請求項３に記載の分析装置。
【請求項５】
前記入力部は、閾値算出用のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力をさらに受け付け、
前記分類部は、前記入力部によって受け付けられた前記閾値算出用のデータを、前記リクエストを行ったユーザごとに分類し、
前記分類部によって分類された前記閾値算出用のデータの各リクエストを始点とする、連続する前記第２の個数のリクエストごとに、連続する前記第１の個数のリクエストを前記閾値算出用のデータの特徴量として抽出し、前記閾値算出用のデータの特徴量と、前記学習部によって作成されたプロファイルと、を基に、連続する前記第２の個数のリクエストごとのスコアを計算し、前記スコアの時系列の変化量を基に前記閾値を算出する閾値算出部をさらに有することを特徴とする請求項３に記載の分析装置。
【請求項６】
前記入力部によって受け付けられた前記データのうち所定の条件を満たすデータを除外し、さらに、除外されなかったデータを所定の処理によって編集する整形部をさらに有し、
前記分類部は、前記整形部によって編集されたデータを、前記リクエストを行ったユーザごとに分類することを特徴とする請求項１に記載の分析装置。
【請求項７】
分析装置によって実行される分析方法であって、
学習用のデータおよび判定対象のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける入力工程と、
前記入力工程によって受け付けられた前記データを、前記リクエストを行ったユーザごとに分類する分類工程と、
前記分類工程によって分類された前記学習用のデータから、連続する第１の個数のリクエストを前記学習用のデータの特徴量として抽出し、前記学習用のデータの特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する学習工程と、
前記分類工程によって分類された前記判定対象のデータから、連続する前記第１の個数のリクエストを前記判定対象のデータの特徴量として抽出し、前記判定対象のデータの特徴量と、前記学習工程によって作成されたプロファイルと、を基に、前記判定対象のデータが異常であるか否かを判定する判定工程と、
を含んだことを特徴とする分析方法。
【請求項８】
コンピュータに、
学習用のデータおよび判定対象のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける入力ステップと、
前記入力ステップによって受け付けられた前記データを、前記リクエストを行ったユーザごとに分類する分類ステップと、
前記分類ステップによって分類された前記学習用のデータから、連続する第１の個数のリクエストを前記学習用のデータの特徴量として抽出し、前記学習用のデータの特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する学習ステップと、
前記分類ステップによって分類された前記判定対象のデータから、連続する前記第１の個数のリクエストを前記判定対象のデータの特徴量として抽出し、前記判定対象のデータの特徴量と、前記学習ステップによって作成されたプロファイルと、を基に、前記判定対象のデータが異常であるか否かを判定する判定ステップと、
を実行させることを特徴とする分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、分析装置、分析方法および分析プログラムに関する。
【背景技術】
【０００２】
従来、ユーザが閲覧したページを基に、検索、商品一覧、購入等の当該ページの機能からなる遷移情報の組み合わせを特徴量として取得し、Ｗｅｂサイトを利用するユーザのふるまいを予測する技術が知られている。このような技術においては、特徴量を基にユーザのクラスタリングや学習を行い、クラスタリングや学習の結果を用いて、閲覧行動パターンが類似するユーザを提示する技術や、類似する閲覧行動パターンからユーザの閲覧行動を予測する（例えば特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１４−１０６６６１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の技術には、ユーザの異常なふるまいや、ユーザへのなりすましの検知が困難であるという問題があった。【０００５】
例えば、従来の技術では、類似する閲覧行動パターンを抽出する機能しか持たないため、どのユーザの行動パターンとも類似しない異常なふるまいを検知することは困難である。また、自身の過去の行動パターンとの比較を行う機能が無いため、なりすましされた結果、通常と異なる行動パターンをとっていてもなりすましを検知することは困難である。
【課題を解決するための手段】
【０００６】
本発明の分析装置は、学習用のデータおよび判定対象のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける入力部と、前記入力部によって受け付けられた前記データを、前記リクエストを行ったユーザごとに分類する分類部と、前記分類部によって分類された前記学習用のデータから、連続する第１の個数のリクエストを前記学習用のデータの特徴量として抽出し、前記学習用のデータの特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する学習部と、前記分類部によって分類された前記判定対象のデータから、連続する前記第１の個数のリクエストを前記判定対象のデータの特徴量として抽出し、前記判定対象のデータの特徴量と、前記学習部によって作成されたプロファイルと、を基に、前記判定対象のデータが異常であるか否かを判定する判定部と、を有することを特徴とする。【０００７】
本発明の分析方法は、分析装置によって実行される分析方法であって、学習用のデータおよび判定対象のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける入力工程と、前記入力工程によって受け付けられた前記データを、前記リクエストを行ったユーザごとに分類する分類工程と、前記分類工程によって分類された前記学習用のデータから、連続する第１の個数のリクエストを前記学習用のデータの特徴量として抽出し、前記学習用のデータの特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する学習工程と、前記分類工程によって分類された前記判定対象のデータから、連続する前記第１の個数のリクエストを前記判定対象のデータの特徴量として抽出し、前記判定対象のデータの特徴量と、前記学習工程によって作成されたプロファイルと、を基に、前記判定対象のデータが異常であるか否かを判定する判定工程と、を含んだことを特徴とする。【０００８】
本発明の分析プログラムは、コンピュータに、学習用のデータおよび判定対象のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける入力ステップと、前記入力ステップによって受け付けられた前記データを、前記リクエストを行ったユーザごとに分類する分類ステップと、前記分類ステップによって分類された前記学習用のデータから、連続する第１の個数のリクエストを前記学習用のデータの特徴量として抽出し、前記学習用のデータの特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する学習ステップと、前記分類ステップによって分類された前記判定対象のデータから、連続する前記第１の個数のリクエストを前記判定対象のデータの特徴量として抽出し、前記判定対象のデータの特徴量と、前記学習ステップによって作成されたプロファイルと、を基に、前記判定対象のデータが異常であるか否かを判定する判定ステップと、を実行させることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、ユーザの異常なふるまいや、ユーザへのなりすましを検知することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、第１の実施形態に係る分析装置の構成の一例を示す図である。
【図２】図２は、第１の実施形態に係る分析装置に入力されるアクセスログの一例を示す図である。
【図３】図３は、第１の実施形態に係る分析装置のアクセスログの分類方法の一例について説明するための図である。
【図４】図４は、第１の実施形態に係る分析装置のアクセスログの分類方法の一例について説明するための図である。
【図５】図５は、第１の実施形態に係る分析装置の学習方法の概要を説明するための図である。
【図６】図６は、第１の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。
【図７】図７は、第１の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。
【図８】図８は、第１の実施形態に係る分析装置の学習処理の流れを示すフローチャートである。
【図９】図９は、第１の実施形態に係る分析装置の判定処理の流れを示すフローチャートである。
【図１０】図１０は、第２の実施形態に係る分析装置の学習方法の概要を説明するための図である。
【図１１】図１１は、第２の実施形態に係る分析装置の平均プロファイルの作成方法の一例を説明するための図である。
【図１２】図１２は、第２の実施形態に係る分析装置の学習処理の流れを示すフローチャートである。
【図１３】図１３は、第３の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。
【図１４】図１４は、第３の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。
【図１５】図１５は、第３の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。
【図１６】図１６は、第３の実施形態に係る分析装置の判定処理の流れを示すフローチャートである。
【図１７】図１７は、第４の実施形態に係る分析装置の構成の一例を示す図である。
【図１８】図１８は、第４の実施形態に係る分析装置の閾値算出処理の流れを示すフローチャートである。
【図１９】図１９は、プログラムが実行されることにより分析装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１１】
以下に、本願に係る分析装置、分析方法および分析プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、各実施形態は適宜組み合わせることができる。
【００１２】
［第１の実施形態］
まず、第１の実施形態に係る分析装置の構成、処理の流れおよび効果を説明する。
【００１３】
［第１の実施形態の構成］
まず、図１を用いて第１の実施形態に係る分析装置の構成について説明する。図１は、第１の実施形態に係る分析装置の構成の一例を示す図である。図１に示すように、分析装置１０は、入力部１０１、整形部１０２、分類部１０３、学習部１０４、判定部１０５、出力部１０６および記憶部１０７を有する。
【００１４】
分析装置１０の処理は、学習フェーズおよび判定フェーズに分けることができる。学習フェーズにおいては、入力されたアクセスログを基にプロファイルを作成する。判定フェーズにおいては、学習フェーズにおいて作成されたプロファイルを用いて、アクセスログの判定を行う。まず、学習フェーズにおける分析装置１０の各機能部の処理について説明する。
【００１５】
（学習フェーズ）
入力部１０１は、学習用のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける。入力部１０１に入力されるデータの入力形式は、サーバとの通信内容のパケットをキャプチャしたものやサーバへのアクセスログ等である。
【００１６】
また、入力部１０１に入力されるデータには、ユーザごとのリクエスト情報を構築するために必要な、時刻、リクエスト、セッションＩＤもしくは発ＩＰアドレス等の情報が含まれていればよい。実施形態においては、入力部１０１にはアクセスログが入力されるものとし、図２を用いて、入力部１０１に入力されるアクセスログについて説明する。図２は、第１の実施形態に係る分析装置に入力されるアクセスログの一例を示す図である。
【００１７】
図２に示すように、アクセスログには、例えば発ＩＰアドレス、日時、リクエストが含まれる。図２のサーバへのアクセスログのうちのＮｏ１のアクセスログは、「１９２．１６８．０．１」というＩＰアドレスから、「１１／Ｎｏｖ／２０１５  ０９：００：００」に「ＧＥＴ／ｉｎｄｅｘ．ｈｔｍｌ」というリクエストがサーバに対して行われたことを示している。
【００１８】
なお、入力部１０１への入力データの与え方は複数行のログをまとめて渡すバッチ処理であってもよいし、１行ずつ渡して都度処理を行うリアルタイム処理であってもよい。以下、入力部１０１にバッチ処理によって入力データが与えられる場合を例に説明するが、リアルタイム処理で処理することも可能である。
【００１９】
整形部１０２は、入力部１０１によって受け付けられたデータのうち所定の条件を満たすデータを除外し、さらに、除外されなかったデータを所定の処理によって編集する。具体的に、整形部１０２は、アクセスログからある条件を満たすものを除去する。整形部１０２は、例えば「正規表現．＊￥．ｊｐｇ＄｜．＊￥．ｇｉｆ＄にマッチするもの」を除去するようにしてもよい。この場合、リクエストが「．ｊｐｇ」もしくは「．ｇｉｆ」で終わるもの、すなわち図の取得に関するリクエストを除去することができる。これにより、図の取得リクエストのようなブラウザが自動的に取得するリクエストを除去し、ユーザのふるまいに関係するリクエストのみを処理対象として抽出することができ、ふるまいを分析する精度の向上が期待できる。
【００２０】
さらに、整形部１０２は、以下のｉ）〜ｉｉｉ）のような処理をリクエストに施してもよい。これらにより、サイトの構成にあわせたふるまい分析を行うことが可能となり、ふるまいを分析する精度の向上が期待できる。
ｉ）階層による打ち切り・・・ＵＲＬの”／”で区切られた階層をあらかじめ定められた階層で打ち切る。
例）３階層で打ち切る場合  ／ｎｅｗｓ／ｋｏｋｕｎａｉ／ｓｐｏｒｔｓ／ｓｏｃｃｅｒ／ｉｎｄｅｘ．ｈｔｍｌ  ⇒  ／ｎｅｗｓ／ｋｏｋｕｎａｉ／ｓｐｏｒｔｓ／
ｉｉ）正規表現による置換・・・ＵＲＬを指定した正規表現のパターンで置換する。
例）３桁以上の数字を”％ＮＵＭ”に置換する場合  ／ｆｏｏ／ｂａｒ／ａｂｃ２０１５１１０１  ⇒  ／ｆｏｏ／ｂａｒ／ａｂｃ％ＮＵＭ
ｉｉｉ）クエリストリングの除去・・・ＵＲＬの”？”以降のパラメータを削除する。
例）  ／ｆｏｏ／ｂａｒ／ｉｎｄｅｘ．ｈｔｍｌ？ｉｄ＝ｔａｒｏ＆ｉｎｆｏ＝ｘｙｚ  ⇒  ／ｆｏｏ／ｂａｒ／ｉｎｄｅｘ．ｈｔｍｌ
【００２１】
分類部１０３は、入力部１０１によって受け付けられたデータを、リクエストを行ったユーザごとに分類する。具体的に、分類部１０３は、入力部１０１によって受け付けられたアクセスログを、アクセスログを発生させたユーザごとに分類し、リクエスト情報を構築する。なお、整形部１０２によってアクセスログの整形が行われている場合は、分類部１０３は、整形部１０２によって編集されたデータを、リクエストを行ったユーザごとに分類する。図３に示すように、分類部１０３は、例えば同一のユーザからのリクエストは同一のＩＰアドレスであると仮定し、発ＩＰアドレスごとにアクセスログを分類する。図３は、第１の実施形態に係る分析装置のアクセスログの分類方法の一例について説明するための図である。
【００２２】
図３に示すように、サーバへのアクセスログのうち、Ｎｏ１、３、４のアクセスログは、発ＩＰアドレスが「１９２．１６８．０．１」であるため、分類部１０３は、Ｎｏ１、３、４のアクセスログを同一のユーザのアクセスログと判定し、発ＩＰが１９２．１６８．０．１であるユーザのリクエスト情報に分類する。
【００２３】
また、図３に示すように、サーバへのアクセスログのうち、Ｎｏ２、５のアクセスログは、発ＩＰアドレスが「１９２．１６８．０．２」であるため、分類部１０３は、Ｎｏ２、５のアクセスログを同一のユーザのアクセスログと判定し、発ＩＰが１９２．１６８．０．２であるユーザのリクエスト情報に分類する。
【００２４】
また、分類部１０３は、例えば図４に示すように、ユーザＩＤが分かる認証ログ等をアクセスログと紐付け、ユーザＩＤごとにアクセスログを分類してもよい。図４は、第１の実施形態に係る分析装置のアクセスログの分類方法の一例について説明するための図である。この場合、サーバへのアクセスログには、発ＩＰアドレス、日時、リクエスト、セッションＩＤが含まれるものとする。また、認証ログには、日時、セッションＩＤ、ユーザＩＤおよびログイン状態が含まれるものとする。
【００２５】
例えば、図４のサーバへのアクセスログのうちのＮｏ１のアクセスログは、「１９２．１６８．０．１」というＩＰアドレスから、「１１／Ｎｏｖ／２０１５  ０９：００：００」に「ＧＥＴ／ｉｎｄｅｘ．ｈｔｍｌ」というリクエストが、セッションＩＤが「ＡＢＣ」であるセッションによりサーバに対して行われたことを示している。
【００２６】
また、図４の認証ログのうちのＮｏ１の認証ログは、「１１／Ｎｏｖ／２０１５  ０９：００：００」にセッションＩＤが「ＡＢＣ」であるセッションにより、ユーザＩＤが「Ｔａｒｏ」であるユーザがログインに成功したことを示している。
【００２７】
このとき、分類部１０３は、セッションＩＤにより認証ログとアクセスログを紐付け、アクセスログをユーザＩＤごとに分類する。例えば、図４に示すように、分類部１０３は、セッションＩＤが「ＡＢＣ」であるアクセスログを、ユーザＴａｒｏのリクエスト情報に分類する。また、分類部１０３は、セッションＩＤが「ＸＹＺ」であるアクセスログを、ユーザＨａｎａｋｏのリクエスト情報に分類する。
【００２８】
学習部１０４は、分類部１０３によって分類された学習用のデータから、連続するｎ個のリクエストを学習用のデータの特徴量として抽出し、学習用のデータの特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する。
【００２９】
学習部１０４は、分類部１０３によってユーザごとに分類されたアクセスログから、特徴量を抽出し、特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する。学習部１０４は、図５に示すように、分類部１０３によってユーザごとに分類されたアクセスログ、すなわちユーザごとのリクエスト情報から特徴量を抽出し、ユーザごとに学習を行い、ユーザ個別のプロファイルを作成する。図５は、第１の実施形態に係る分析装置の学習方法の概要を説明するための図である。
【００３０】
学習部１０４は、図６に示すように、例えばページ遷移順序を特徴量として抽出する。図６は、第１の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。図６に示すように、ページ遷移順序を特徴量として抽出する場合、学習部１０４は、連続するｎ個のリクエストを特徴量とする。
【００３１】
例えば、学習部１０４は、ｎ＝２として、Ｎｏ１とＮｏ２のリクエスト（ＧＥＴ／ｐａｇｅ１，ＧＥＴ／ｐａｇｅ２）、Ｎｏ２とＮｏ３のリクエスト（ＧＥＴ／ｐａｇｅ２，ＧＥＴ／ｐａｇｅ３）、Ｎｏ３とＮｏ４のリクエスト（ＧＥＴ／ｐａｇｅ３，ＧＥＴ／ｐａｇｅ４）等を特徴量として抽出する。
【００３２】
また、学習部１０４は、図７に示すように、例えばページ遷移時間間隔を特徴量として抽出する。図７は、第１の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。図７に示すように、ページ遷移時間間隔を特徴量として抽出する場合、学習部１０４は、連続するｎ個のリクエストおよび時間間隔を特徴量とする。
【００３３】
例えば、学習部１０４は、ｎ＝２として、Ｎｏ１とＮｏ２のリクエストおよび時間間隔（ＧＥＴ／ｐａｇｅ１，ＧＥＴ／ｐａｇｅ２，６０ｓ）、Ｎｏ２とＮｏ３のリクエストおよび時間間隔（ＧＥＴ／ｐａｇｅ２，ＧＥＴ／ｐａｇｅ３，１５ｓ）、Ｎｏ３とＮｏ４のリクエストおよび時間間隔（ＧＥＴ／ｐａｇｅ３，ＧＥＴ／ｐａｇｅ４，５５ｓ）等を特徴量として抽出する。
【００３４】
なお、学習部１０４が抽出する特徴量は、ページ遷移順序、ページ遷移時間間隔に限定されず、例えば、リクエストに現れるページの種類数等であってもよい。また、学習部１０４は複数の特徴量を組み合わせて学習に使用してもよい。
【００３５】
例えば、学習部１０４は、ページ遷移順序を特徴量として抽出する場合、さらに抽出した特徴量ごとの個数をカウントして新たな特徴量としてもよい。また、学習部１０４は、抽出した特徴量ごとの特徴量の有無を１／０で表したものを新たな特徴量としてもよい。また、学習部１０４は、ページ遷移時間間隔において、時間間隔の数値をそのまま特徴量としてもよいし、複数のリクエスト間の遷移時間の平均値を特徴量としてもよい。
【００３６】
学習部１０４は、抽出した特徴量を機械学習のアルゴリズムに与え、当該アルゴリズムに従い学習を行い、ユーザごとのプロファイルを生成もしくは更新し、記憶部１０７に格納する。
【００３７】
学習に使用される機械学習のアルゴリズムは、Ｊｕｂａｔｕｓ（参考文献：http://jubat.us/)やｓｃｉｋｉｔ−ｌｅａｒｎ(参考文献：http://scikit-learn.org/）のような、既存の機械学習ライブラリによるものであってもよく、方式は問わない。例えば、分類器のアルゴリズムを用いる場合、学習部１０４は、あるユーザ（Ｕｓｅｒ１）の特徴量について、ユーザ「Ｕｓｅｒ１」に分類されるべきデータとして学習を行い、生成された学習モデルをｕｓｅｒ１の個別プロファイルとして記憶部１０７に格納する。
【００３８】
（判定フェーズ）
判定フェーズにおいて、入力部１０１、整形部１０２および分類部１０３は学習フェーズと同様の処理を行い、リクエスト情報を構築する。また、判定部１０５は、学習部１０４と同様に、判定対象のリクエスト情報から特徴量を抽出する。判定部１０５は、機械学習のアルゴリズムに従い、記憶部１０７に格納された当該ユーザのユーザ個別プロファイルを用いて、入力されたアクセスログが当該ユーザのプロファイルから外れた異常なものであるか否かを判定する。
【００３９】
入力部１０１は、判定対象のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける。なお、判定フェーズにおいて入力部１０１に入力される判定対象のアクセスログは、学習フェーズにおいて入力されたものであってもよいし、学習フェーズでは入力されていないものであってもよい。例えば、判定フェーズにおいて、入力部１０１には、判定を行う日のアクセスログが入力され、学習フェーズにおいては判定を行う日の前日までのアクセスログが入力される。
【００４０】
判定部１０５は、分類部１０３によって分類された判定対象のデータから、連続するｎ個のリクエストを判定対象のデータの特徴量として抽出し、判定対象のデータの特徴量と、学習部１０４によって作成されたプロファイルと、を基に、判定対象のデータが異常であるか否かを判定する。そして、出力部１０６は、判定部１０５による判定結果を出力する。なお、判定部１０５が使用する機械学習のアルゴリズムは、学習部１０４と同様に、その種類や方式は問わない。
【００４１】
［第１の実施形態の処理］
図８を用いて、分析装置１０の学習フェーズにおける学習処理について説明する。図８は、第１の実施形態に係る分析装置の学習処理の流れを示すフローチャートである。図８に示すように、まず、入力部１０１は、アクセスログの入力を受け付ける（ステップＳ１０１）。
【００４２】
次に、分類部１０３は、アクセスログをユーザごとに分類し（ステップＳ１０２）、ユーザごとのリクエスト情報を構築する（ステップＳ１０３）。そして、学習部１０４は、リクエスト情報から特徴量を抽出し（ステップＳ１０４）、抽出した特徴量を基に学習を行い、ユーザごとのプロファイルを作成する（ステップＳ１０５）。
【００４３】
図９を用いて、分析装置１０の判定フェーズにおける判定処理について説明する。図９は、第１の実施形態に係る分析装置の判定処理の流れを示すフローチャートである。図９に示すように、まず、入力部１０１は、アクセスログの入力を受け付ける（ステップＳ１５１）。
【００４４】
次に、分類部１０３は、アクセスログをユーザごとに分類し（ステップＳ１５２）、ユーザごとのリクエスト情報を構築する（ステップＳ１５３）。そして、判定部１０５は、リクエスト情報から特徴量を抽出し（ステップＳ１５４）、抽出した特徴量を基に、学習処理で作成されたユーザごとのプロファイルを用いてリクエスト情報の判定を行う（ステップＳ１５５）。そして、出力部１０６は、判定結果を出力する（ステップＳ１５６）。
【００４５】
［第１の実施形態の効果］
入力部１０１は、学習用のデータおよび判定対象のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力を受け付ける。また、分類部１０３は、入力部１０１によって受け付けられたデータを、リクエストを行ったユーザごとに分類する。そして、学習部１０４は、分類部１０３によって分類された学習用のデータから、連続するｎ個のリクエストを学習用のデータの特徴量として抽出し、学習用のデータの特徴量を用いて学習を行い、ユーザごとのプロファイルを作成する。また、判定部１０５は、分類部１０３によって分類された判定対象のデータから、連続するｎ個のリクエストを判定対象のデータの特徴量として抽出し、判定対象のデータの特徴量と、学習部１０４によって作成されたプロファイルと、を基に、判定対象のデータが異常であるか否かを判定する。
【００４６】
これにより、例えば判定対象のあるユーザのふるまいを、当該ユーザの過去のふるまいを学習したユーザ個別プロファイルと比較できるため、ユーザの異常なふるまいや、ユーザへのなりすましを検知することができる。
【００４７】
また、整形部１０２は、入力部１０１によって受け付けられたデータのうち所定の条件を満たすデータを除外し、さらに、除外されなかったデータを所定の処理によって編集する。そして、分類部１０３は、整形部１０２によって編集されたデータを、リクエストを行ったユーザごとに分類する。これにより、ユーザのふるまいに関係するリクエストのみを処理対象として抽出することができるため、分析精度を向上させることができる。
【００４８】
［第２の実施形態］
第１の実施形態では、ユーザ個別のプロファイルを作成し、作成したユーザ個別のプロファイルを用いてアクセスログの判定を行った。これに対し、第２の実施形態では、ユーザ個別のプロファイルを基に全ユーザの平均プロファイルをさらに作成し、全ユーザの平均プロファイルを用いて異常なユーザを判定する。
【００４９】
［第２の実施形態の構成］
第２の実施形態の分析装置１０は、第１の実施形態の分析装置１０と同様の機能部を有する。また、第２の実施形態の分析装置１０の処理は、第１の実施形態と同様に、学習フェーズおよび判定フェーズに分けることができる。
【００５０】
（学習フェーズ）
第２の実施形態では、学習フェーズにおける入力部１０１、整形部１０２および分類部１０３による処理は第１の実施形態と同様である。また、学習部１０４は、図１０に示すように、分類部１０３によってユーザごとに分類されたアクセスログ、すなわちユーザごとのリクエスト情報から特徴量を抽出し、ユーザごとに学習を行い、ユーザ個別のプロファイルを作成する。図１０は、第２の実施形態に係る分析装置の学習方法の概要を説明するための図である。さらに、学習部１０４は、ユーザ個別のプロファイルを基に平均プロファイルを作成し、記憶部１０７に格納する。
【００５１】
学習部１０４が個別プロファイルから平均プロファイルを生成する手法は、使用する機械学習のアルゴリズムやプロファイルの形式によって異なる。例えば、プロファイルが個々の特徴量ごとの発生確率からなるデータの場合、学習部１０４は、ユーザごとのプロファイルに含まれる各特徴量の発生確率の全ユーザの平均値を計算し、計算した平均値を各特徴量の発生確率とする平均プロファイルをさらに作成する。
【００５２】
具体的に、図１１に示すように、学習部１０４は、全ての個別プロファイルについて、特徴量ごとの発生確率の平均を計算し、平均プロファイルとしてもよい。図１１は、第２の実施形態に係る分析装置の平均プロファイルの作成方法の一例を説明するための図である。
【００５３】
図１１の例では、例えばＵｓｅｒ１のプロファイルの特徴量Ａの発生確率が２０％、Ｕｓｅｒ２のプロファイルの特徴量Ａの発生確率が４％である。ここで、特徴量Ａの各プロファイルの発生確率の平均は１２％なので、学習部１０４は、１２％を平均プロファイルの特徴量Ａの発生確率とする。
【００５４】
（判定フェーズ）
判定フェーズにおいて、入力部１０１、整形部１０２および分類部１０３は学習フェーズと同様の処理を行い、リクエスト情報を構築する。また、判定部１０５は、学習部１０４と同様に、判定対象のリクエスト情報から特徴量を抽出する。判定部１０５は、機械学習のアルゴリズムに従い、記憶部１０７に格納された平均プロファイルを用いて、入力されたアクセスログが平均プロファイルから外れていないかを判定する。判定部１０５は、例えば平均プロファイルから所定量以上外れているアクセスログを異常と判定する。
【００５５】
そして、出力部１０６は、判定部１０５による判定結果を出力する。なお、判定部１０５が使用する機械学習のアルゴリズムは、学習部１０４と同様に、その種類や方式は問わない。
【００５６】
［第２の実施形態の処理］
図１２を用いて、分析装置１０の学習フェーズにおける学習処理について説明する。図１２は、第２の実施形態に係る分析装置の学習処理の流れを示すフローチャートである。図１２に示すように、まず、入力部１０１は、アクセスログの入力を受け付ける（ステップＳ２０１）。
【００５７】
次に、分類部１０３は、アクセスログをユーザごとに分類し（ステップＳ２０２）、ユーザごとのリクエスト情報を構築する（ステップＳ２０３）。そして、学習部１０４は、リクエスト情報から特徴量を抽出し（ステップＳ２０４）、抽出した特徴量を基に学習を行い、ユーザごとのプロファイルを作成する（ステップＳ２０５）。さらに、学習部１０４は、ユーザごとのプロファイルを基に平均プロファイルを作成する（ステップＳ２０６）。
【００５８】
［第２の実施形態の効果］
学習部１０４は、ユーザごとのプロファイルに含まれる各特徴量の発生確率の全ユーザの平均値を計算し、計算した平均値を各特徴量の発生確率とする平均プロファイルをさらに作成する。これにより、判定対象のユーザのふるまいを平均プロファイルと比較でき、大多数から外れたふるまいをするユーザを異常ユーザとして検知することができる。
【００５９】
また、第１の実施形態と同様に、整形部１０２は、入力部１０１によって受け付けられたデータのうち所定の条件を満たすデータを除外し、さらに、除外されなかったデータを所定の処理によって編集することができる。この場合、分類部１０３は、整形部１０２によって編集されたデータを、リクエストを行ったユーザごとに分類する。これにより、ユーザのふるまいに関係するリクエストのみを処理対象として抽出することができるため、分析精度を向上させることができる。
【００６０】
［第３の実施形態］
第１の実施形態では、判定を行う際に、入力されたアクセスログから構築されたリクエスト情報を一度に分析していた。これに対し、第３の実施形態では、所定のウィンドウサイズのスライドウィンドウに含まれるリクエスト情報を分析することで、時系列に沿った分析を行うことができる。
【００６１】
［第３の実施形態の構成］
第３の実施形態の分析装置１０は、第１の実施形態の分析装置１０と同様の機能部を有する。また、第３の実施形態の分析装置１０の処理は、第１の実施形態と同様に、学習フェーズおよび判定フェーズに分けることができる。
【００６２】
（学習フェーズ）
第３の実施形態では、学習フェーズにおける処理は、第１の実施形態または第２の実施形態と同様である。学習フェーズ終了後、記憶部１０７にはユーザ個別のプロファイルまたは全ユーザの平均プロファイルが格納されている。
【００６３】
（判定フェーズ）
判定フェーズにおいて、入力部１０１、整形部１０２および分類部１０３は学習フェーズと同様の処理を行い、リクエスト情報を構築する。また、判定部１０５は、学習部１０４と同様に、判定対象のリクエスト情報から特徴量を抽出する。
【００６４】
判定部１０５は、分類部１０３によって分類された判定対象のデータの各リクエストを始点とする、連続するｗ個のリクエストごとに、連続するｎ個のリクエストを判定対象のデータの特徴量として抽出し、判定対象のデータの特徴量と、学習部１０４によって作成されたプロファイルと、を基に、連続するｗ個のリクエストごとのスコアを計算し、スコアの時系列の変化量および閾値を基に、判定対象のデータが異常であるか否かを判定する。
【００６５】
具体的に、判定部１０５は、第３の実施形態では、第１の実施形態および第２の実施形態と異なり、判定時にリクエスト情報を一度に分析するのではなく、図１３に示すように、初めに１番目からｗ番目のリクエストまでを分析し、次に２番目からｗ＋１番目のリクエストを分析し・・・、というように分析対象を１つずつずらしながら分析を行い、その分析結果の変動によって判定を行う。図１３は、第３の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。
【００６６】
これにより、例えばなりすましの発生が疑われる時点を特定することが可能となる。なお、分析対象のリクエスト情報の範囲をスライドウィンドウ、ｗをウィンドウサイズという。
【００６７】
判定部１０５は、図１３に示すように、例えばｗ＝４として、リクエスト情報を４つずつ取り出す。そして、図１４に示すように、取り出した４つのリクエスト情報から特徴量を抽出する。図１４は、第３の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。なお、特徴量の抽出方法は、第１の実施形態および第２の実施形態と同様である。
【００６８】
図１４は、判定部１０５が、４つのリクエスト情報からページ遷移順序を特徴量として抽出する場合の例を示している。このとき、判定部１０５は、連続する２個のリクエストを特徴量とし、例えば、Ｎｏ１とＮｏ２のリクエスト（ＧＥＴ／ｐａｇｅ１，ＧＥＴ／ｐａｇｅ２）、Ｎｏ２とＮｏ３のリクエスト（ＧＥＴ／ｐａｇｅ２，ＧＥＴ／ｐａｇｅ３）、Ｎｏ３とＮｏ４のリクエスト（ＧＥＴ／ｐａｇｅ３，ＧＥＴ／ｐａｇｅ４）を抽出する。
【００６９】
さらに、図１５に示すように、判定部１０５は、ｗ個のリクエスト情報から特徴量を抽出した後、１番目のリクエスト情報を削除し、さらにｗ個以上のリクエスト情報が残っていれば、１番目からｗ番目のリクエスト情報を取り出す。図１５は、第３の実施形態に係る分析装置の特徴量の抽出方法の一例を説明するための図である。そして、判定部１０５は、残りのリクエスト情報の数がｗ未満になるまで処理を繰り返す。
【００７０】
また、判定部１０５は、機械学習のアルゴリズムに従い、抽出したスライドウィンドウごとの特徴量の、ユーザ個別のプロファイルまたは全ユーザの平均プロファイルからの外れ度合いをスコアとして計算し、スコアの変動を時系列に沿って確認し、スコアがあらかじめ定めた閾値を超えた時点をなりすましが発生した時点と判断する。そして、出力部１０６は、判定部１０５による判定結果を出力する。判定部１０５は、例えば、スコアの時系列の変化が閾値を超えた場合、判定対象のデータが異常であると判定する。なお、判定部１０５が使用する機械学習のアルゴリズムは、学習部１０４と同様に、その種類や方式は問わない。
【００７１】
［第３の実施形態の処理］
図１６を用いて、分析装置１０の判定フェーズにおける判定処理について説明する。図１６は、第３の実施形態に係る分析装置の判定処理の流れを示すフローチャートである。図１６に示すように、まず、入力部１０１は、アクセスログの入力を受け付ける（ステップＳ３０１）。
【００７２】
次に、分類部１０３は、アクセスログをユーザごとに分類し（ステップＳ３０２）、ユーザごとのリクエスト情報を構築する（ステップＳ３０３）。そして、リクエスト情報のうち１個目からｗ個目を取り出し（ステップＳ３０４）、取り出したリクエスト情報から特徴量を抽出し、プロファイルとの比較によってスコアを算出する（ステップＳ３０５）。そして、判定部１０５は、１個目、すなわち先頭のリクエスト情報を削除する（ステップＳ３０６）。
【００７３】
このとき、残りのリクエスト情報がｗ個以上であれば（ステップＳ３０７、Ｙｅｓ）、判定部１０５は、さらにリクエスト情報のうち１個目からｗ個目を取り出し（ステップＳ３０４）、処理を繰り返す。また、残りのリクエスト情報がｗ個以上でない場合（ステップＳ３０７、Ｎｏ）、判定部１０５は、これまでに算出したスコアの時系列変化を基にリクエスト情報を判定する（ステップＳ３０８）。そして、出力部１０６は、判定結果を出力する（ステップＳ３０９）。
【００７４】
［第３の実施形態の効果］
判定部１０５は、分類部１０３によって分類された判定対象のデータの各リクエストを始点とする、連続するｗ個のリクエストごとに、連続するｎ個のリクエストを判定対象のデータの特徴量として抽出し、判定対象のデータの特徴量と、学習部１０４によって作成されたプロファイルと、を基に、連続するｗ個のリクエストごとのスコアを計算し、スコアの時系列の変化量および閾値を基に、判定対象のデータが異常であるか否かを判定する。これにより、あるユーザの時系列の変動を分析することができるようになるため、なりすましや異常が発生した時点を特定することができるようになる。
【００７５】
また、判定部１０５は、スコアの時系列変化をそのまま判定に用いてもよいし、スコアの時系列の変化量の所定期間の移動平均をとり、移動平均が閾値を超えた場合、判定対象のデータが異常であると判定してもよい。これにより、一時的に異常なふるまいをしたユーザ等を異常ユーザとして誤検知することを抑制することができる。
【００７６】
また、第１の実施形態と同様に、整形部１０２は、入力部１０１によって受け付けられたデータのうち所定の条件を満たすデータを除外し、さらに、除外されなかったデータを所定の処理によって編集することができる。この場合、分類部１０３は、整形部１０２によって編集されたデータを、リクエストを行ったユーザごとに分類する。これにより、ユーザのふるまいに関係するリクエストのみを処理対象として抽出することができるため、分析精度を向上させることができる。
【００７７】
［第４の実施形態］
第３の実施形態では、判定を行う際に、スコアの変動を時系列に沿って確認し、スコアがあらかじめ定めた閾値を超えた時点をなりすましが発生した時点と判断していた。これに対し、第４の実施形態では、閾値を自動的に計算する。
【００７８】
［第４の実施形態の構成］
図１７に示すように、第４の実施形態の分析装置１０は、第３の実施形態の分析装置１０と同様の機能部に加え、閾値算出部１０８を有する。図１７は、第４の実施形態に係る分析装置の構成の一例を示す図である。また、第４の実施形態の分析装置１０の処理には、第３の実施形態と同様の学習フェーズおよび判定フェーズに加えて、閾値算出フェーズがある。
【００７９】
（学習フェーズ）
第４の実施形態では、学習フェーズにおける処理は、第３の実施形態と同様である。学習フェーズ終了後、記憶部１０７にはユーザ個別のプロファイルまたは全ユーザの平均プロファイルが格納されている。
【００８０】
（判定フェーズ）
第４の実施形態の判定フェーズにおける処理は、第３の実施形態と同様である。ただし、第３の実施形態ではあらかじめ定めた閾値をスコアと比較していたが、第４の実施形態では、閾値算出フェーズにおいて算出された閾値をスコアと比較する。閾値算出フェーズの処理について説明する。
【００８１】
（閾値算出フェーズ）
閾値算出フェーズでは、入力部１０１は、閾値算出用のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力をさらに受け付ける。また、分類部１０３は、入力部１０１によって受け付けられた閾値算出用のデータを、リクエストを行ったユーザごとに分類する。そして、閾値算出部１０８は、分類部１０３によって分類された閾値算出用のデータの各リクエストを始点とする、連続するｗ個のリクエストごとに、連続するｎ個のリクエストを閾値算出用のデータの特徴量として抽出し、閾値算出用のデータの特徴量と、学習部１０４によって作成されたプロファイルと、を基に、連続するｗ個のリクエストごとのスコアを計算し、スコアの時系列の変化量を基に閾値を算出する。
【００８２】
具体的に、閾値算出フェーズでは、入力部１０１および分類部１０３は第３の実施形態の判定フェーズと同様の処理を行い、リクエスト情報を構築する。また、閾値算出部１０８は、判定部１０５と同様に、判定対象のリクエスト情報からスライドウィンドウごとの特徴量を抽出し、抽出したスライドウィンドウごとの特徴量の、ユーザ個別のプロファイルからの外れ度合いをスコアとして計算する。そして、閾値算出部１０８は、スコアの最大値を閾値としてもよいし、スコアの移動平均の最大値を閾値としてもよい。
【００８３】
［第４の実施形態の処理］
図１８を用いて、分析装置１０の閾値算出フェーズにおける閾値算出処理について説明する。図１８は、第４の実施形態に係る分析装置の閾値算出処理の流れを示すフローチャートである。図１８に示すように、まず、入力部１０１は、アクセスログの入力を受け付ける（ステップＳ４０１）。
【００８４】
次に、分類部１０３は、アクセスログをユーザごとに分類し（ステップＳ４０２）、ユーザごとのリクエスト情報を構築する（ステップＳ４０３）。そして、閾値算出部１０８は、リクエスト情報のうち１個目からｗ個目を取り出し（ステップＳ４０４）、取り出したリクエスト情報から特徴量を抽出し、プロファイルとの比較によってスコアを算出する（ステップＳ４０５）。そして、閾値算出部１０８は、１個目、すなわち先頭のリクエスト情報を削除する（ステップＳ４０６）。
【００８５】
このとき、残りのリクエスト情報がｗ個以上であれば（ステップＳ４０７、Ｙｅｓ）、閾値算出部１０８は、さらにリクエスト情報のうち１個目からｗ個目を取り出し（ステップＳ４０４）、処理を繰り返す。また、残りのリクエスト情報がｗ個以上でない場合（ステップＳ４０７、Ｎｏ）、閾値算出部１０８は、これまでに算出したスコアの時系列変化を基に閾値を算出する（ステップＳ４０８）。
【００８６】
［第４の実施形態の効果］
入力部１０１は、閾値算出用のデータとして、ユーザによるサーバへのリクエストを時系列で表したデータの入力をさらに受け付ける。また、分類部１０３は、入力部１０１によって受け付けられた閾値算出用のデータを、リクエストを行ったユーザごとに分類する。そして、閾値算出部１０８は、分類部１０３によって分類された閾値算出用のデータの各リクエストを始点とする、連続するｗ個のリクエストごとに、連続するｎ個のリクエストを閾値算出用のデータの特徴量として抽出し、閾値算出用のデータの特徴量と、学習部１０４によって作成されたプロファイルと、を基に、連続するｗ個のリクエストごとのスコアを計算し、スコアの時系列の変化量を基に閾値を算出する。これにより、閾値の設定を自動化することができ、検知精度を向上させることができる。
【００８７】
また、第１の実施形態と同様に、整形部１０２は、入力部１０１によって受け付けられたデータのうち所定の条件を満たすデータを除外し、さらに、除外されなかったデータを所定の処理によって編集することができる。この場合、分類部１０３は、整形部１０２によって編集されたデータを、リクエストを行ったユーザごとに分類する。これにより、ユーザのふるまいに関係するリクエストのみを処理対象として抽出することができるため、分析精度を向上させることができる。
【００８８】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central  Processing  Unit）および当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００８９】
また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００９０】
［プログラム］
一実施形態として、分析装置は、パッケージソフトウェアやオンラインソフトウェアとして上記の分析処理を実行する分析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の分析プログラムを情報処理装置に実行させることにより、情報処理装置を分析装置として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等のスレート端末等がその範疇に含まれる。
【００９１】
また、分析装置は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の分析処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、分析装置は、アクセスログを入力とし、ユーザごとのプロファイルを出力とする分析サービスを提供するサーバ装置として実装される。この場合、分析装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の分析に関するサービスを提供するクラウドとして実装することとしてもかまわない。
【００９２】
図１９は、プログラムが実行されることにより分析装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００９３】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００９４】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、分析装置の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、分析装置における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【００９５】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００９６】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３およびプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３およびプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００９７】
１０  分析装置
１０１  入力部
１０２  整形部
１０３  分類部
１０４  学習部
１０５  判定部
１０６  出力部
１０７  記憶部
１０８  閾値算出部
【図１】
2017145591.tif 000003
【図２】
2017145591.tif 000004
【図３】
2017145591.tif 000005
【図４】
2017145591.tif 000006
【図５】
2017145591.tif 000007
【図６】
2017145591.tif 000008
【図７】
2017145591.tif 000009
【図８】
2017145591.tif 000010
【図９】
2017145591.tif 000011
【図１０】
2017145591.tif 000012
【図１１】
2017145591.tif 000013
【図１２】
2017145591.tif 000014
【図１３】
2017145591.tif 000015
【図１４】
2017145591.tif 000016
【図１５】
2017145591.tif 000017
【図１６】
2017145591.tif 000018
【図１７】
2017145591.tif 000019
【図１８】
2017145591.tif 000020
【図１９】
2017145591.tif 000021
【国際調査報告】
2017145591.tif 000022
2017145591.tif 000023