(57)【要約】  本発明によれば、処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成部（１１）と、頻度データにおいて第１の特徴が現れている処理対象を、異常対象候補として抽出する抽出部（１２）と、を有する解析システム（１０）が提供される。
2018179586.tif 000002
【特許請求の範囲】
【請求項１】
処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段と、
前記頻度データにおいて第１の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段と、
を有する解析システム。
【請求項２】
請求項１に記載の解析システムにおいて、
前記第１の特徴は、異常が発生した時の過去の前記頻度データに現れている特徴である解析システム。
【請求項３】
請求項２に記載の解析システムにおいて、
前記第１の特徴は、所定期間内における前記所定イベントの発生頻度、前記所定イベントの発生が前記所定期間の中の一部期間に集中している度合い、及び、一方の軸に時間をとり他方の軸に前記発生頻度をとって前記所定イベントの発生頻度の時間変化を示した折れ線グラフの傾きの中の少なくとも１つで示される解析システム。
【請求項４】
請求項１から３のいずれか１項に記載の解析システムにおいて、
前記抽出手段は、前記異常対象候補の中から、前記頻度データにおいて第２の特徴が現れている前記異常対象候補を排除する解析システム。
【請求項５】
請求項４に記載の解析システムにおいて、
前記第２の特徴は、異常が発生していない時の過去の前記頻度データに現れている特徴である解析システム。
【請求項６】
請求項５に記載の解析システムにおいて、
前記第２の特徴は、全ての前記処理対象に共通して適用される特徴、及び、前記処理対象毎に定められた特徴の少なくとも一方を含む解析システム。
【請求項７】
請求項６に記載の解析システムにおいて、
全ての前記処理対象に共通して適用される前記第２の特徴は、複数の前記処理対象の前記頻度データに現れている特徴である解析システム。
【請求項８】
請求項６又は７に記載の解析システムにおいて、
前記処理対象毎に定められた前記第２の特徴は、前記処理対象各々の前記頻度データに現れている特徴である解析システム。
【請求項９】
請求項１から８のいずれか１項に記載の解析システムにおいて、
前記処理対象は人物であり、
前記所定イベントは取引であり、
前記生成手段は、前記取引の現場を撮影した画像データに基づき、人物毎に、前記取引の発生頻度の時間変化を示す前記頻度データを生成する解析システム。
【請求項１０】
請求項９に記載の解析システムにおいて、
取引端末の取引履歴に基づき、前記異常対象候補である人物が異常取引者か否かを判断する判断手段をさらに有する解析システム。
【請求項１１】
請求項１０に記載の解析システムにおいて、
前記判断手段は、前記異常対象候補である人物が前記取引において前記取引端末に入力した入力情報に基づき、前記異常対象候補である人物が前記異常取引者か否かを判断する解析システム。
【請求項１２】
請求項１１に記載の解析システムにおいて、
前記入力情報は、前記取引に用いるユーザＩＤ（identifier）及び／又は口座番号を含む解析システム。
【請求項１３】
請求項１２に記載の解析システムにおいて、
前記判断手段は、前記入力情報に含まれるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性、及び、前記画像データから推定される前記異常対象候補である人物のユーザ属性に基づき、前記異常対象候補である人物が前記異常取引者か否かを判断する解析システム。
【請求項１４】
請求項１０から１３のいずれか１項に記載の解析システムにおいて、
前記異常取引者と判断された人物を示す情報を前記取引端末に送信する送信手段を有する解析システム。
【請求項１５】
請求項１から８のいずれか１項に記載の解析システムにおいて、
前記処理対象はユーザＩＤ又は口座番号であり、
前記所定イベントは取引であり、
前記生成手段は、取引端末の取引履歴に基づき、ユーザＩＤ毎、又は、口座番号毎に、前記取引の発生頻度の時間変化を示す前記頻度データを生成する解析システム。
【請求項１６】
請求項１５に記載の解析システムにおいて、
前記取引の現場を撮影した画像データに基づき、前記異常対象候補であるユーザＩＤ又は口座番号が異常取引の対象か否かを判断する判断手段をさらに有する解析システム。
【請求項１７】
請求項１６に記載の解析システムにおいて、
前記判断手段は、前記異常対象候補であるユーザＩＤ又は口座番号を前記取引に用いた人物に基づき、前記異常対象候補であるユーザＩＤ又は口座番号が異常取引の対象か否かを判断する解析システム。
【請求項１８】
請求項１６又は１７に記載の解析システムにおいて、
前記判断手段は、前記異常対象候補であるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性、及び、前記画像データから推定される前記異常対象候補であるユーザＩＤ又は口座番号を前記取引に用いた人物のユーザ属性に基づき、前記異常対象候補であるユーザＩＤ又は口座番号が異常取引の対象か否かを判断する解析システム。
【請求項１９】
請求項１６から１８のいずれか１項に記載の解析システムにおいて、
異常取引の対象と判断されたユーザＩＤ又は口座番号を前記取引端末に送信する送信手段を有する解析システム。
【請求項２０】
請求項１０から１４、１６から１９の中のいずれか１項に記載の解析システムにおいて、
前記生成手段及び前記抽出手段を有する第１の装置と、
前記判断手段を有する第２の装置と、
を有し、
前記第１の装置と前記第２の装置は物理的に分かれて構成され、互いに通信可能である解析システム。
【請求項２１】
コンピュータが、
処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成工程と、
前記頻度データにおいて第１の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出工程と、
を実行する解析方法。
【請求項２２】
コンピュータを、
処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段、
前記頻度データにおいて第１の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段、
として機能させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、解析システム、解析方法及びプログラムに関する。
【背景技術】
【０００２】
本発明に関連する技術が、特許文献１に開示されている。特許文献１には、異常な金銭取引を検出する情報処理装置が開示されている。当該情報処理装置は、金銭取引のための操作が行われる端末装置から、ユーザの顔を撮影した顔画像と、金銭取引における取引金額データとを受信する。そして、当該情報処理装置は、当該人物のこれまでの金銭取引の内容に基づき、金銭取引が異常か否かを判断する。【０００３】
例えば、所定の期間にわたって同一人物によりされた振込取引金額の合計値が閾値を上回る場合、異常な金銭取引と判断することが開示されている。その他、所定の期間にわたって同一人物によりされた振込取引の１回あたりの平均取引金額に対する新たに行われた振込取引の金額の倍率が閾値を上回る場合、異常な金銭取引と判断することが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−２８２２６２号公報
【特許文献２】国際公開２０１４／１０９１２７号
【特許文献３】特開２０１５−４９５７４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明は、異常な取引を検出するための新たな技術を提供することを課題とする。
【課題を解決するための手段】
【０００６】
本発明によれば、
処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段と、
前記頻度データにおいて第１の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段と、
を有する解析システムが提供される。【０００７】
また、本発明によれば、
コンピュータが、
処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成工程と、
前記頻度データにおいて第１の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出工程と、
を実行する解析方法が提供される。【０００８】
また、本発明によれば、
コンピュータを、
処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段、
前記頻度データにおいて第１の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段、
として機能させるプログラムが提供される。
【発明の効果】
【０００９】
本発明によれば、異常な取引の可能性がある対象を抽出する新たな技術が実現される。
【図面の簡単な説明】
【００１０】
上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。【００１１】
【図１】本実施形態の解析システムのハードウエア構成の一例を概念的に示す図である。
【図２】本実施形態の解析システムの機能ブロック図の一例である。
【図３】本実施形態の解析システムの機能ブロック図の一例である。
【図４】本実施形態の解析システムの機能ブロック図の一例である。
【図５】本実施形態の前提技術を説明するための図である。
【図６】本実施形態の前提技術を説明するための図である。
【図７】本実施形態の解析システムの処理例を説明するための図である。
【図８】本実施形態の解析システムで処理されるデータの一例を説明するための図である。
【図９】本実施形態の解析システムで処理されるデータの一例を説明するための図である。
【図１０】本実施形態の解析システムで処理されるデータの一例を説明するための図である。
【図１１】本実施形態の解析システムで処理されるデータの一例を説明するための図である。
【図１２】本実施形態の解析システムと他の装置との関係を示す機能ブロック図の一例である。
【図１３】本実施形態の解析システムの処理の流れの一例を示すフローチャートである。
【図１４】本実施形態の解析システムの処理の流れの一例を示すフローチャートである。
【図１５】本実施形態の解析システムの処理の流れの一例を示すフローチャートである。
【図１６】本実施形態の解析システムの処理の流れの一例を示すフローチャートである。
【図１７】本実施形態の解析システムの機能ブロック図の一例である。
【図１８】本実施形態の解析システムの機能ブロック図の一例である。
【図１９】本実施形態の解析システムで処理されるデータの一例を説明するための図である。
【発明を実施するための形態】
【００１２】
＜第１の実施形態＞
まず、本実施形態の解析システムの主たる特徴を簡単に説明する。本実施形態の解析システムは、以下で説明する複数の主たる特徴の中の少なくとも１つを有する。
【００１３】
「特徴Ａ」
本実施形態の解析システムは、取引の現場を撮影した画像データから人物を抽出し、抽出した人物毎（処理対象毎）に、取引（所定イベント）の発生頻度の時間変化を示す頻度データを生成する。画像データに現れる頻度が高い人物ほど、取引の発生頻度が高い人物となる。取引は、例えば、ＡＴＭ（automatic teller machine）を利用した取引である。
【００１４】
そして、解析システムは、上記頻度データにおいて第１の特徴が現れている人物（処理対象）を、異常な処理対象の候補（異常対象候補）の人物として抽出する。第１の特徴は、異常な取引が発生した時の過去の頻度データに現れている特徴である。第１の特徴の詳細は、以下で説明する。
【００１５】
異常な取引は、犯罪やその他のトラブルに関係した取引である。異常対象候補の人物は、異常な取引を行っている可能性がある人物である。
【００１６】
このような本実施形態の解析システムによれば、取引内容（例：取引金額）を示す情報を用いず、取引の発生頻度の時間変化の傾向に基づき、異常な取引の可能性がある人物を抽出することができる。
【００１７】
「特徴Ｂ」
本実施形態の解析システムによれば、異常対象候補の人物の中から、頻度データにおいて第２の特徴が現れている人物を排除することができる。第２の特徴は、異常が発生していない時の過去の頻度データに現れている特徴である。第２の特徴の詳細は、以下で説明する。
【００１８】
このような本実施形態の解析システムによれば、取引内容を示す情報を用いず、取引の発生頻度の時間変化の傾向に基づき、異常な取引の可能性がある人物として抽出した人物の中から、正常な取引である可能性が高い人物を排除することができる。
【００１９】
「特徴Ｃ」
また、本実施形態の解析システムによれば、取引端末の取引履歴に基づき、異常対象候補である人物が異常な取引を行っている人物（異常取引者）か否かを判断することができる。頻度データと取引履歴を用いて絞り込むことで、真に異常な取引をしている可能性が高い異常取引者を精度よく抽出できる。
【００２０】
なお、本実施形態の解析システムの場合、全ての人物の取引履歴を利用する必要はなく、異常対象候補と判断された特別な一部人物の取引履歴のみを利用すればよい。このため、プライベートな情報の乱用を抑制できる。
【００２１】
「特徴Ｄ」
また、本実施形態の解析システムによれば、異常取引者と判断した人物を示す情報を、取引端末に送信することができる。取引端末は、異常取引者と判断された人物のリストを用いて、自端末を操作する人物がリストアップされている人物か否かを判断できる。そして、リストに載っている人物を検出した場合、取引を停止したり、所定のユーザに通知したりできる。
【００２２】
次に、解析システムの構成を詳細に説明する。まず、解析システムのハードウエア構成の一例について説明する。解析システムは、任意のコンピュータのＣＰＵ（Central Processing Unit）、メモリ、メモリにロードされるプログラム、そのプログラムを格納するハードディスク等の記憶ユニット（あらかじめ装置を出荷する段階から格納されているプログラムのほか、ＣＤ（Compact Disc）等の記憶媒体やインターネット上のサーバ等からダウンロードされたプログラムをも格納できる）、ネットワーク接続用インターフェイスを中心にハードウエアとソフトウエアの任意の組合せによって実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当業者には理解されるところである。
【００２３】
図１は、解析システムのハードウエア構成を例示するブロック図である。図１に示すように、解析システムは、プロセッサ１Ａ、メモリ２Ａ、入出力インターフェイス３Ａ、周辺回路４Ａ、バス５Ａを有する。周辺回路４Ａには、様々なモジュールが含まれる。
【００２４】
バス５Ａは、プロセッサ１Ａ、メモリ２Ａ、周辺回路４Ａ及び入出力インターフェイス３Ａが相互にデータを送受信するためのデータ伝送路である。プロセッサ１Ａは、例えばＣＰＵ（Central Processing Unit） やＧＰＵ（Graphics Processing Unit）などの演算処理装置である。メモリ２Ａは、例えばＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）などのメモリである。入出力インターフェイス３Ａは、入力装置（例：キーボード、マウス、マイク、物理キー、タッチパネルディスプレイ、コードリーダ等）、外部装置、外部サーバ、外部センサ等から情報を取得するためのインターフェイスや、出力装置（例：ディスプレイ、スピーカ、プリンター、メーラー等）、外部装置、外部サーバ等に情報を出力するためのインターフェイスなどを含む。プロセッサ１Ａは、各モジュールに指令を出し、それらの演算結果をもとに演算を行うことができる。
【００２５】
解析システムは、物理的及び／又は論理的に一体となった１つの装置で構成されてもよいし、物理的及び／又は論理的に分かれた複数の装置で構成されてもよい。複数の装置で構成される場合、複数の装置は互いに情報の送受信を行うよう構成され、複数の装置が協働して解析システムの機能を実現する。
【００２６】
図２に、解析システム１０の機能ブロック図の一例を示す。図示するように、解析システム１０は、生成部１１と、抽出部１２とを有する。
【００２７】
図３に、解析システム１０の機能ブロック図の他の一例を示す。図示するように、解析システム１０は、生成部１１及び抽出部１２に加えて、判断部１３を有してもよい。
【００２８】
図４に、解析システム１０の機能ブロック図の他の一例を示す。図示するように、解析システム１０は、生成部１１、抽出部１２及び判断部１３に加えて、送信部１４を有してもよい。
【００２９】
生成部１１は、処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する。所定イベントは、ＡＴＭを利用した取引（例：入金、出金、振込、記帳等）である。処理対象は、当該金銭取引を行なう人物である。
【００３０】
ここで、本実施形態の前提技術を説明する。当該前提技術は、以下の全ての実施形態に共通である。図５に示すように、複数の取引端末２０（ＡＴＭ）は、蓄積装置３０と任意の通信手段で通信可能に構成される。
【００３１】
そして、取引端末２０は、取引履歴を蓄積装置３０に送信する。蓄積装置３０は、複数の取引端末２０各々から受信した取引履歴を蓄積する。取引履歴は、例えば、取引日時や取引端末２０を介して入力された情報等を含む。取引端末２０を介して入力された情報は、例えば、取引端末２０が備えるタッチパネルディスプレイや物理キー等を操作して入力された情報（例：取引金額、取引種（例：入金、出金、振込、記帳等））や、顧客のカード（例：ＩＣカード、磁気カード等）から取得した情報等が例示される。
【００３２】
また、取引端末２０は、カメラを有し、任意のタイミングで、取引を行っている人物の顔を撮影する。例えば、取引端末２０に対して所定の操作（例：カードの挿入、所定の入力）がなされたタイミングで撮影してもよいし、取引端末２０が所定の動作（例：出金）を行ったタイミングで撮影してもよい。取引端末２０は、生成した静止画の画像ファイルを、各取引に対応付けて蓄積装置３０に送信する。
【００３３】
結果、蓄積装置３０には、図６に示すような情報が蓄積される。図６に示す情報は、取引ＩＤ（identifier）に、日時、ユーザ情報及び画像ファイルＩＤ等を対応付けている。日時は、取引が行われた日時である。ユーザ情報は、取引端末２０を介して入力された情報から得られる情報であり、取引を行ったユーザを示す情報である。画像ファイルＩＤは、各取引の間に生成された画像ファイルのＩＤである。なお、蓄積装置３０にはその他の情報が蓄積されてもよい。例えば、取引ＩＤに対応付けて、取引内容（例：取引種、取引金額等）を示す情報が蓄積されてもよい。
【００３４】
蓄積装置３０に蓄積されている当該情報に基づき、取引日時を対応付けられた画像ファイル群のデータ（以下、「処理対象データ」）が生成される。画像ファイルは、取引を行っている人物を撮影した静止画又は動画の画像ファイルである。生成部１１は、当該処理対象データに基づき、頻度データを生成する。なお、プライベートな情報の乱用を抑制する観点から、上記ユーザ情報や取引内容等を含む取引履歴は処理対象データに含まれなくてもよい。
【００３５】
次に、処理対象データから頻度データを生成する処理を説明する。当該処理は、（１）同じ人物がうつる画像ファイルをまとめてグループ化する処理、及び、（２）グループ毎に頻度データを生成する処理を含む。生成部１１は、１つの取引端末２０に対応して生成された処理対象データに基づきこれらの処理を実行してもよい。この場合、１つの取引端末２０における取引頻度の時間変化を示す頻度データが生成される。その他、複数の取引端末２０に対応して生成された複数の処理対象データをまとめて処理対象とし、これらの処理を実行してもよい。この場合、複数の取引端末２０に跨る取引頻度の時間変化を示す頻度データが生成される。
【００３６】
まず、（１）同じ人物がうつる画像ファイルをまとめてグループ化する処理を説明する。当該処理は、複数の画像ファイル各々から人物を抽出し、複数の画像ファイル各々から抽出された人物の外観の特徴量を抽出し、そして、外観の特徴量が類似するもの同士をまとめることで実現できる。具体的なアルゴリズムは設計的事項であるが、以下の技術を用いると、効率的なグループ化を実現できる。
【００３７】
当該技術は、複数の画像ファイル（複数の静止画ファイル、動画像の複数のフレーム等）各々から抽出した人物を、効率的に、同じ人物同士でまとめてグループ化する技術である。具体的には、図７に示すインデックスを用いてグループ化する。当該インデックスでは、複数の画像ファイル各々から抽出された人物を階層化している。ここで、各画像ファイルから検出された人物にはそれぞれ固有のＩＤが割り当てられる。このＩＤを検出ＩＤと呼ぶ。例えば図７に示されているF001-0001などが検出ＩＤである。F001は、画像ファイルのＩＤである。「-」の後の４桁の番号が、各画像ファイルから抽出された１人又は複数の人物を識別するための番号である。
【００３８】
第３層には、それまでに処理された全ての画像ファイルから得られた全ての検出ＩＤそれぞれに対応したノードが配置される。第３層に配置された複数のノードは、特徴量の類似度が所定値以上のもの同士でまとめてグループ化されている。第３層における１つのグループは、例えば、同じ人物であると推定される人物の検出ＩＤがまとめられたグループを表す。そこで図７では、第３層の各グループに対して固有のＩＤである人物ＩＤが割り当てられている。
【００３９】
第２層には、第３層の複数のグループそれぞれから選択された１つのノード（代表ノード）が配置される。代表ノードは、その代表ノードが属する第３層のグループと紐付けられている。第２層に配置された複数のノードは、特徴量の類似度が所定値以上のもの同士でまとめてグループ化される。なお、第２層のグループ化の類似度の基準（第１のしきい値）は、第３層のグループ化の類似度の基準（第２のしきい値）よりも低い。
【００４０】
第１層には、第２層の複数のグループそれぞれから選択された１つのノード（代表ノード）が配置される。代表ノードは、その代表ノードが属する第２層のグループと紐付けられている。
【００４１】
次に、このようなインデックスを生成する処理の流れを簡単に説明する。生成部１１は、最初の検出ＩＤに対応するノードをすべての層に配置し、互いに紐付ける。そして、第３層のノードに対応して、人物ＩＤを発行する。それ以降の検出ＩＤは、次のような流れでインデックス化される。
【００４２】
まず、生成部１１は、第１層の各ノードと、インデックス化対象の検出ＩＤとの類似度を算出する。「各ノードとインデックス化対象の検出ＩＤの類似度」は、各ノードに対応する検出ＩＤで特定される人物と、インデックス化対象の検出ＩＤで特定される人物との外観の類似度である。
【００４３】
いずれのノードとの間の類似度も第１の閾値未満である場合、生成部１１は、インデックス化対象の検出ＩＤに対応するノードをすべての層に配置し、互いに紐付ける。なお、第２層及び第３層いずれにおいても、新たなノードをいずれのグループにも属させず、新たなグループとする。そして、第３層の新たなノードに対応して、人物ＩＤを発行する。
【００４４】
一方、第１層のいずれかのノードとの類似度が第１の閾値以上である場合、生成部１１は、類似度が第１の閾値以上であった第１層のノードに紐付けられた第２層のグループ（第２層の処理対象グループ）に含まれる各ノードと、インデックス化対象の検出ＩＤとの類似度を算出する。
【００４５】
いずれのノードとの間の類似度も第２の閾値未満である場合、生成部１１は、インデックス化対象の検出ＩＤに対応するノードを第２層及び第３層に配置し、互いに紐付ける。なお、第２層に配置した新たなノードは、上記第２層の処理対象グループに属させる。第３層に配置した新たなノードは、いずれのグループにも属させず、新たなグループとする。そして、第３層の新たなノードに対応して、人物ＩＤを発行する。
【００４６】
一方、第２層の処理対象グループのいずれかのノードとの類似度が第２の閾値以上である場合、生成部１１は、インデックス化対象の検出ＩＤに対応するノードを第３層に配置し、類似度が第２の閾値以上であったノードと同じグループに属させる。
【００４７】
次に、（２）グループ毎（人物毎）に、頻度データを生成する処理を説明する。頻度データは、人物毎に、取引（所定イベント）の発生頻度の時間変化を示すデータである。本実施形態では、画像ファイルにうつった場合（顔がうつった画像ファイルを生成された場合）、取引を行ったという前提で頻度データを生成する。
【００４８】
頻度データは、単位時間毎の取引積算回数を示すデータであってもよい。単位時間は、例えば１日が例示されるが、２分間、１０分間、１時間、１２時間、１週間、１カ月等、その他の値であってもよい。
【００４９】
図２乃至４に戻り、抽出部１２は、頻度データにおいて第１の特徴が現れている人物（処理対象）を、異常対象候補として抽出する。第１の特徴は、異常が発生した時（異常な取引が行われた時）の過去の頻度データに現れている特徴である。そして、第１の特徴は、異常が発生していない時の過去の頻度データに現れていない特徴である。
【００５０】
抽出部１２には、予め第１の特徴が登録されている。そして、抽出部１２は、当該第１の特徴が現れている頻度データを検出する。
【００５１】
第１の特徴は、例えば、所定期間内における所定イベントの発生頻度、所定イベントの発生が所定期間の中の一部期間に集中している度合い、及び、一方の軸に時間をとり他方の軸に発生頻度をとって所定イベントの発生頻度の時間変化を示した折れ線グラフの傾きの中の少なくとも１つで示されてもよい。
【００５２】
例えば、第１の特徴は、「所定期間における取引の発生回数が第１の基準値（設計的事項）以上」であってもよい。このような第１の特徴が現れている頻度データの一例を図８に示す。図は、横軸に時間をとり、縦軸に発生頻度（回数）をとっている。そして、所定イベントが１回以上発生した単位時間に対応する発生頻度をプロットし、それらを時系列に結ぶことで、所定イベントの発生頻度の時間変化を折れ線グラフで示している。以下で説明する折れ線グラフは、すべて同様の手法で表したものである。
【００５３】
第１の基準値を適切に設定することで、所定期間（図８の例の場合、１月１日から１月３１日までの１か月間）における取引の発生回数が異常に多い人物を、異常対象候補として抽出できる。
【００５４】
その他、第１の特徴は、「所定期間における取引の発生回数が第２の基準値（設計的事項）以上であり、かつ、取引の発生が上記所定期間の中の一部期間に集中している」であってもよい。「第２の基準値」は、第１の基準値未満である。「一部期間」は、例えば、上記所定期間の３分の２以下、又は、半分以下であってもよい。「一部期間に集中した状態」は、上記所定期間に発生した取引の中の所定数（例：半分）以上が一部期間に発生している状態である。このような第１の特徴が現れている頻度データの一例を図９に示す。
【００５５】
このような第１の特徴を検出することで、所定期間（図８の例の場合、１月１日から１月３１日までの１か月間）における取引の発生回数がある程度多く、かつ、それが一定期間に集中している人物を、異常対象候補として抽出できる。
【００５６】
その他、第１の特徴は、「所定期間における取引の発生回数が第３の基準値（設計的事項）以上であり、かつ、横軸に時間をとり縦軸に発生頻度をとって所定イベントの発生頻度の時間変化を示した折れ線グラフにおいて、傾き（以下、「グラフの傾き」）の絶対値が第４の基準値（設計的事項）以上となっている部分を有する」であってもよい。「第３の基準値」は、第１の基準値未満である。このような第１の特徴が現れている頻度データの一例を図８乃至図１０に示す。
【００５７】
このような第１の特徴を検出することで、所定期間（図８の例の場合、１月１日から１月３１日までの１か月間）における取引の発生回数がある程度多く、かつ、経過時間に対する単位時間の取引積算回数の変動が大きい人物を、異常対象候補として抽出できる。
【００５８】
その他、第１の特徴は、「所定期間における取引の発生回数が第５の基準値（設計的事項）以上であり、かつ、所定期間における単位時間の取引積算回数の幅（最大値と最小値の差）が第６の基準値（設計的事項）以上」であってもよい。「第５の基準値」は、第１の基準値未満である。このような第１の特徴が現れている頻度データの一例を図８乃至図１０に示す。
【００５９】
このような第１の特徴を検出することで、所定期間（図８の例の場合、１月１日から１月３１日までの１か月間）における取引の発生回数がある程度多く、かつ、単位時間（図８の例の場合、１日）の取引積算回数の変動が大きい人物を、異常対象候補として抽出できる。
【００６０】
ここで、異常が発生していない時の頻度データの一例を図１９に示す。図示するように、通常は、所定期間における取引の発生回数は一定レベル以下となる。また、取引の発生は分散して発生し、一部期間に集中することはない。また、単位時間の取引積算回数は少ない方で安定し、その幅は小さくなる。また、単位時間の取引積算回数が短い期間で大きく変動することはないため、上記グラフの傾きの絶対値は一定レベル以下となる。
【００６１】
なお、抽出部１２は、抽出した異常対象候補の中から、頻度データにおいて第２の特徴が現れている異常対象候補を排除してもよい。第２の特徴は、異常が発生していない時の過去の頻度データに現れている特徴である。そして、第２の特徴は、異常が発生している時の過去の頻度データに現れていない特徴である。
【００６２】
第２の特徴は、全ての人物に共通して適用される特徴、及び、人物毎に定められた特徴の少なくとも一方を含むことができる。
【００６３】
全ての人物に共通して適用される第２の特徴は、複数の人物の「異常が発生していない時の過去の頻度データ」に現れている特徴である。例えば、所定割合以上の人物の「異常が発生していない時の過去の頻度データ」に現れている特徴であってもよい。複数の「異常が発生していない時の過去の頻度データ」を解析することで、このような第２の特徴を抽出することができる。
【００６４】
人物毎に定められた第２の特徴は、各人物の「異常が発生していない時の過去の頻度データ」に現れている特徴である。例えば、各人物の「異常が発生していない時の過去の頻度データ」を解析し、取引の発生頻度の時間変化の傾向を算出してもよい。そして、当該傾向を、各人物の第２の特徴としてもよい。
【００６５】
図３及び図４に戻り、判断部１３は、取引端末２０の取引履歴に基づき、異常対象候補である人物が異常取引者か否かを判断する。判断部１３は、蓄積装置３０に蓄積されている取引履歴（図６参照）の中の、異常対象候補である人物の画像ファイルに対応付けられている取引履歴を取得し、当該取引履歴に基づき上記判断を行う。異常対象候補でない人物の画像ファイルに対応付けられている取引履歴は取得しなくてもよい。以下、判断部１３による判断処理の一例を説明する。
【００６６】
「判断処理１」
判断部１３は、異常対象候補である人物が取引において取引端末２０に入力した入力情報に基づき、異常対象候補である人物が異常取引者か否かを判断することができる。判断に用いる入力情報は、口座番号及び／又は口座名義（ユーザＩＤ）を含む。
【００６７】
予め、図１１に示すように、各ユーザＩＤ（又は口座番号）に対応付けて、ユーザ属性が登録される。ユーザ属性は、性別、年齢、住所等である。判断部１３は、入力情報と、図８に示すような登録情報に基づき、入力情報に含まれるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性を特定する。
【００６８】
また、判断部１３は、異常対象候補である人物の画像ファイルに基づいた画像解析により、当該人物のユーザ属性を推定する。
【００６９】
そして、判断部１３は、入力情報に含まれるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性（例：性別、年齢）と、画像ファイルに基づいた画像解析により推定した異常対象候補である人物のユーザ属性（例：性別、年齢）とが合致するか否かを判断する。そして、合致しない場合、判断部１３は、当該異常対象候補である人物は異常取引者であると判断する。
【００７０】
また、判断部１３は、入力情報に含まれるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性（例：住所）と、取引端末２０の設置位置とに基づき、異常対象候補である人物が異常取引者か否かを判断することができる。例えば、登録されている住所と、取引端末２０の設置位置との間の距離が所定の閾値以上である場合、判断部１３は、当該異常対象候補である人物は異常取引者であると判断してもよい。
【００７１】
また、判断部１３は、同一人物が互いに異なる複数の口座名義を入力し、取引している場合、すなわち口座名義が互いに異なる複数の口座で取引している場合、当該異常対象候補である人物は異常取引者であると判断してもよい。
【００７２】
「判断処理２」
判断部１３は、異常対象候補である人物が取引において取引端末２０に入力した入力情報に基づき、異常対象候補である人物が異常取引者か否かを判断することができる。判断に用いる入力情報は、取引内容を含む。
【００７３】
例えば、異常対象候補である人物が所定の期間にわたって行った振込取引金額の合計値が閾値を上回る場合、当該異常対象候補である人物は異常取引者であると判断してもよい。その他、異常対象候補である人物が引き出し限度額での出金を所定の期間内で所定回数以上行っている場合、当該異常対象候補である人物は異常取引者であると判断してもよい。
【００７４】
図４に戻り、送信部１４は、異常取引者と判断された人物を示す情報を取引端末２０に送信する。図１２に示すように、解析システム１０と、複数の取引端末２０各々とは、互いに通信可能になっている。
【００７５】
取引端末２０は、異常取引者と判断された人物のリストを保持する。そして、取引中の人物を撮影した画像ファイルを生成すると、当該リストと照合し、取引中の人物が異常取引者であるか否かを判断する。そして、リストに載っている人物を検出した場合、取引を停止したり、所定のユーザに通知したりする。
【００７６】
なお、解析システム１０は、図８乃至図１０、図１９に示すような折れ線グラフをユーザに向けて出力してもよい。当該出力は、ディスプレイ、プリンター、メーラー、プロジェクタ等のあらゆる出力装置を介して実現される。
【００７７】
例えば、解析システム１０は、異常取引者と判断された人物の頻度データに基づいた折れ線グラフをまとめてリスト表示してもよい。その他、解析システム１０は、異常対象候補である人物の頻度データに基づいた折れ線グラフをまとめてリスト表示してもよい。このようにすれば、解析に必要なデータに絞って、出力することができる。
【００７８】
なお、図示しないが、解析システム１０は、図８乃至図１０、図１９に示すような折れ線グラフを出力する際、併せて、検出された第１の特徴の内容を示してもよい。例えば、図８に示す折れ線グラフに対応付けて、「１カ月間における取引の発生回数が第１の基準値以上であったため、異常対象候補として抽出した」旨が表示されてもよい。
【００７９】
また、図８乃至図１０、図１９に示すような折れ線グラフにおいて、取引が発生している日の中のいずれかを指定する入力を受付けると、解析システム１０は、指定された日に行われた取引で撮影された画像を画面に表示してもよい。
【００８０】
このような出力を行うことで、ユーザは、解析システム１０による解析結果の検証を効率的に行うことができる。
【００８１】
次に、本実施形態の解析システム１０の処理の流れの一例を説明する。
【００８２】
図１３のフローチャートに示すように、生成部１１が、取引の現場を撮影した画像データに基づき、人物毎に、取引の発生頻度の時間変化を示す頻度データを生成すると（Ｓ１０）、抽出部１２は、頻度データにおいて第１の特徴が現れている人物を、異常対象候補として抽出する（Ｓ１１）。
【００８３】
当該処理によれば、取引内容を示す情報を用いず、取引の発生頻度の時間変化の傾向に基づき、画像にうつる複数の人物の中から、異常な取引の可能性がある人物を抽出することができる。
【００８４】
抽出した異常対象候補に絞り込んで、以降の分析、解析、捜査等を行うことで、これらの作業の効率が向上する。
【００８５】
なお、図１４のフローチャートに示すように、Ｓ１１の後に、抽出部１２は、Ｓ１１で抽出した異常対象候補の中から、頻度データにおいて第２の特徴が現れている人物を排除してもよい（Ｓ１２）。
【００８６】
当該処理によれば、異常な取引の可能性がある人物を、より高精度に絞り込むことができる。結果、以降の分析、解析、捜査等の作業の効率が向上する。
【００８７】
また、図１５のフローチャートに示すように、Ｓ１２の後に、判断部１３は、取引端末２０の取引履歴に基づき、異常対象候補である人物が異常取引者か否かを判断してもよい（Ｓ１３）。
【００８８】
当該処理によれば、頻度データと取引履歴を用いて絞り込むことで、真に異常な取引をしている可能性が高い異常取引者を精度よく抽出できる。
【００８９】
また、取引の発生頻度の時間変化の傾向に基づき異常対象候補を抽出し、その後、抽出した異常対象候補に対して取引履歴を用いた判断を適用する当該処理によれば、全ての人物の取引履歴を利用する必要はなく、異常対象候補と判断された特別な一部人物の取引履歴のみを利用すればよい。このため、プライベートな情報の乱用を抑制できる。
【００９０】
また、図１６のフローチャートに示すように、Ｓ１３の後に、送信部１４は、異常取引者と判断された人物を示す情報を取引端末２０に送信してもよい。上述の通り、取引端末２０は、異常取引者と判断された人物のリストを用いて、取引中の人物が異常取引者であるか否かを判断、判断結果に応じて取引を停止したり、所定のユーザに通知したりする。
【００９１】
当該処理によれば、異常取引者による異常取引の未然防止や、当該人物の逮捕の促進等が実現される。
【００９２】
次に、本実施形態の作用効果を説明する。
【００９３】
本実施形態の解析システム１０によれば、異常な取引を検出するための新たな技術が実現される。
【００９４】
また、本実施形態の解析システム１０によれば、取引金額等の取引内容を示すプライベートな情報を利用せずに、異常な取引の可能性がある対象（異常対象候補）を抽出することができる。プライベートな情報を利用する必要がないので、汎用性が高くなる。
【００９５】
また、本実施形態の解析システム１０によれば、異常が発生した時の過去の頻度データに現れている特徴や、異常が発生していない時の過去の頻度データに現れている特徴等に基づき、異常対象候補の抽出や排除を行うことができる。結果、精度よく、異常対象候補を抽出することができる。
【００９６】
また、本実施形態の解析システム１０によれば、取引履歴に基づき、異常対象候補が異常取引者であるか否かを判断できる。頻度データと取引履歴とを組み合わせて異常取引者を抽出することで、真に異常な取引をしている可能性が高い異常取引者を精度よく抽出できる。
【００９７】
なお、異常対象候補に対してのみ取引履歴を用いた判断を適用すればよいので、全ての人物の取引履歴を利用する必要はない。このため、プライベートな情報の乱用を抑制できる。
【００９８】
また、本実施形態の解析システム１０によれば、異常取引者と判断された人物を取引端末２０に通知できる。取引端末２０は、異常取引者と判断された人物のリストを用いて、取引中の人物が異常取引者であるか否かを判断、判断結果に応じて取引を停止したり、所定のユーザに通知したりする。このため、異常取引者による異常取引の未然防止や、当該人物の逮捕の促進等が実現される。
【００９９】
ところで、複数台の取引端末２０に跨って同一人物により行われた取引をまとめることができなければ、異常取引の抽出精度が落ちてしまう。例えば、複数台の取引端末に跨って同一人物により行われた取引をまとめていない特許文献１の発明においては、複数台の取引端末に跨って取引が行われた場合、同一人物による振込取引金額の合計値が閾値を実際には上回っていてもその対象を抽出できない。本実施形態の解析システム１０によれば、複数台の取引端末２０に跨って同一人物により行われた取引をまとめて取引頻度の時間変化を算出し、異常取引者を抽出できる。このため、異常取引者の抽出精度が良好となる。
【０１００】
ここで、変形例を説明する。当該変形例は、以下の全ての実施形態に適用可能である。当該変形例においても、各実施形態と同様の作用効果を実現できる。
【０１０１】
上記説明では、取引の現場を撮影した静止画像の画像データに基づき頻度データを生成したが、取引の現場を撮影した動画像の画像データに基づき頻度データを生成してもよい。この場合、各フレームのデータを静止画像の画像データとして扱い、同様の処理で、同様の作用効果を実現できる。
【０１０２】
この場合、頻度データは、単位時間毎の取引積算回数を示すデータに代えて、単位時間毎の取引積算時間を示すデータとしてもよい。取引積算時間は、各人物が単位時間内で動画像にうつっている積算時間である。
【０１０３】
また、上記説明では、所定イベントはＡＴＭを利用した取引（例：入金、出金、振込、記帳等）であったが、その他であってもよい。例えば、クレジットカードや会員カードを利用した取引（支払）であってもよい。この場合、これらのカードから情報を取得する取引端末２０に備えられたカメラ、又は、当該取引端末２０の近くに設置されたカメラが、カード利用者を撮影（動画像又は静止画像）する。解析システム１０は、任意のタイミングで所定位置にいる人物を画像データから抽出し、取引者として認識する。例えば、カードから情報を取得した際に、会計装置の前にいる人物を、取引者として認識してもよい。そして、解析システム１０は、上記と同様にして、画像データの解析による異常対象候補の抽出や、取引履歴を用いた異常取引者の抽出や、取引端末２０への異常取引者の通知等を行う。
【０１０４】
＜第２の実施形態＞
本実施形態の解析システム１０は、例えば以下の点で、第１の実施形態の解析システム１０と異なる。本実施形態の解析システム１０は、取引端末２０の取引履歴に基づき、ユーザＩＤ（例：口座名義）毎、又は、口座番号毎に、取引の発生頻度の時間変化を示す頻度データを生成する。そして、解析システム１０は、頻度データにおいて第１の特徴が現れているユーザＩＤ又は口座番号を、異常対象候補として抽出する。そして、解析システム１０は、取引の現場を撮影した画像データに基づき、異常対象候補であるユーザＩＤ又は口座番号が、異常取引の対象か否かを判断する。
【０１０５】
次に、解析システム１０の構成を詳細に説明する。本実施形態の解析システム１０のハードウエア構成の一例は、第１の実施形態と同様である。
【０１０６】
本実施形態の解析システム１０の機能ブロック図の一例は、第１の実施形態同様、図２乃至図４で示される。
【０１０７】
生成部１１は、処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する。所定イベントは、ＡＴＭを利用した取引（例：入金、出金、振込、記帳等）である。処理対象は、ユーザＩＤ（例：口座名義）又は口座番号である。
【０１０８】
頻度データは、単位時間毎の取引積算回数を示すデータであってもよい。単位時間は、例えば１日が例示されるが、２分間、１０分間、１時間、１２時間、１週間、１カ月等、その他の値であってもよい。
【０１０９】
抽出部１２は、頻度データにおいて第１の特徴が現れているユーザＩＤ又は口座番号を、異常対象候補として抽出する。第１の特徴は、異常が発生した時（異常な取引が行われた時）の過去の頻度データに現れている特徴である。そして、第１の特徴は、異常が発生していない時の過去の頻度データに現れていない特徴である。第１の特徴の詳細や、頻度データにおいて第１の特徴が現れている処理対象を異常対象候補として抽出する処理の詳細は、第１の実施形態と同様である。処理対象を「人物」から「ユーザＩＤ又は口座番号」に変更すればよい。
【０１１０】
また、抽出部１２は、抽出した異常対象候補の中から、頻度データにおいて第２の特徴が現れている異常対象候補を排除してもよい。第２の特徴は、異常が発生していない時の過去の頻度データに現れている特徴である。そして、第２の特徴は、異常が発生している時の過去の頻度データに現れていない特徴である。第２の特徴の詳細や、頻度データにおいて第２の特徴が現れている処理対象を異常対象候補から排除する処理の詳細は、第１の実施形態と同様である。処理対象を「人物」から「ユーザＩＤ又は口座番号」に変更すればよい。
【０１１１】
判断部１３は、取引の現場を撮影した画像データに基づき、異常対象候補であるユーザＩＤ又は口座番号が異常取引の対象か否かを判断する。判断部１３は、蓄積装置３０に蓄積されている画像ファイルの中の、異常対象候補であるユーザＩＤ又は口座番号に対応付けられている画像ファイル（図６参照）を取得し、当該画像ファイルに基づき上記判断を行う。異常対象候補でないユーザＩＤ又は口座番号に対応付けられている画像ファイルは取得しなくてもよい。このようにすれば、通信負担や処理負担を軽減できる。
【０１１２】
判断部１３の処理は、第１の実施形態と同様である。すなわち、判断部１３は、異常対象候補であるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性、及び、画像データから推定される異常対象候補であるユーザＩＤ又は口座番号を取引に用いた人物のユーザ属性に基づき、異常対象候補であるユーザＩＤ又は口座番号が異常取引の対象か否かを判断することができる。
【０１１３】
例えば、判断部１３は、異常対象候補であるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性（例：性別、年齢）、及び、画像データから推定される異常対象候補であるユーザＩＤ又は口座番号を取引に用いた人物のユーザ属性（例：性別、年齢）が合致しない場合、当該異常対象候補であるユーザＩＤ又は口座番号は異常取引の対象と判断することができる。
【０１１４】
その他、判断部１３は、異常対象候補である１つのユーザＩＤ又は口座番号が複数（人数は設計的事項）の人物に利用されている場合、すなわち異常対象候補の１つの口座が複数の人物に利用されている場合、当該異常対象候補であるユーザＩＤ又は口座番号は異常取引の対象と判断することができる。
【０１１５】
その他、判断部１３は、異常対象候補であるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性（例：住所）と、取引端末２０の設置位置とに基づき、当該異常対象候補であるユーザＩＤ又は口座番号は異常取引の対象か否かを判断することができる。例えば、登録されている住所と、取引端末２０の設置位置との間の距離が所定の閾値以上である場合、判断部１３は、当該異常対象候補であるユーザＩＤ又は口座番号は異常取引の対象と判断してもよい。
【０１１６】
送信部１４は、異常取引の対象と判断されたユーザＩＤ又は口座番号を取引端末２０に送信する。図１２に示すように、解析システム１０と、複数の取引端末２０各々とは、互いに通信可能になっている。
【０１１７】
取引端末２０は、異常取引の対象と判断されたユーザＩＤ又は口座番号のリストを保持する。そして、当該リストを用いて、異常取引の対象と判断されたユーザＩＤ又は口座番号を用いた取引が行われている場合、それを検出することができる。そして、その取引を停止したり、所定のユーザに通知したりする。
【０１１８】
なお、解析システム１０は、第１の実施形態と同様、図８乃至図１０、図１９に示すような折れ線グラフをユーザに向けて出力してもよい。その詳細は、第１の実施形態と同様である。
【０１１９】
次に、本実施形態の解析システム１０の処理の流れの一例を説明する。
【０１２０】
図１３のフローチャートに示すように、生成部１１が、取引端末２０の取引履歴に基づき、ユーザＩＤ又は口座番号毎に、取引の発生頻度の時間変化を示す頻度データを生成すると（Ｓ１０）、抽出部１２は、頻度データにおいて第１の特徴が現れているユーザＩＤ又は口座番号を、異常対象候補として抽出する（Ｓ１１）。
【０１２１】
当該処理によれば、取引内容を示す情報を用いず、取引の発生頻度の時間変化の傾向に基づき、異常な取引が行われている可能性があるユーザＩＤ又は口座番号を抽出することができる。
【０１２２】
抽出した異常対象候補に絞り込んで、以降の分析、解析、捜査等を行うことで、これらの作業の効率が向上する。
【０１２３】
なお、図１４のフローチャートに示すように、Ｓ１１の後に、抽出部１２は、Ｓ１１で抽出した異常対象候補の中から、頻度データにおいて第２の特徴が現れているユーザＩＤ又は口座番号を排除してもよい（Ｓ１２）。
【０１２４】
当該処理によれば、異常な取引の可能性があるユーザＩＤ又は口座番号を、より高精度に絞り込むことができる。結果、以降の分析、解析、捜査等の作業の効率が向上する。
【０１２５】
また、図１５のフローチャートに示すように、Ｓ１２の後に、判断部１３は、取引の現場を撮影した画像データに基づき、異常対象候補であるユーザＩＤ又は口座番号が異常取引の対象か否かを判断してもよい（Ｓ１３）。
【０１２６】
当該処理によれば、取引の発生頻度の時間変化の傾向に基づき抽出した異常対象候補が、異常取引の対象か否かを、取引の現場を撮影した画像データに基づき判断できる。取引履歴とその他のデータ（例：画像データ）とを用いて判断することで、異常な取引をしている可能性が高いユーザＩＤ又は口座番号を精度よく抽出できる。
【０１２７】
また、図１６のフローチャートに示すように、Ｓ１３の後に、送信部１４は、異常取引の対象と判断されたユーザＩＤ又は口座番号を取引端末２０に送信してもよい。上述の通り、取引端末２０は、異常取引の対象と判断されたユーザＩＤ又は口座番号のリストを用いてこれらを用いた取引を検出し、当該取引を停止したり、所定のユーザに通知したりする。
【０１２８】
当該処理によれば、異常取引の未然防止や、異常取引を行っている人物の逮捕の促進等が実現される。
【０１２９】
次に、本実施形態の解析システム１０は、第１の実施形態の解析システム１０と同様の作用効果を実現できる。
【０１３０】
＜第３の実施形態＞
図１７及び図１８に、本実施形態の解析システム１０の機能ブロック図の一例を示す。図示するように、解析システム１０は、第１の装置１０１と、第２の装置１０２とを含む。第１の装置１０１と第２の装置１０２とは、物理的及び／又は論理的に分かれて構成される。第１の装置１０１と第２の装置１０２とは、任意の手段で通信可能である。
【０１３１】
第１の装置１０１は、生成部１１と抽出部１２とを有する。第２の装置１０２は、判断部１３を有する（図１７及び図１８）。図１８に示すように、第２の装置１０２は、送信部１４を有してもよい。生成部１１、抽出部１２、判断部１３及び送信部１４の構成は、第１及び第２の実施形態と同様である。
【０１３２】
第１の実施形態の判断部１３は取引履歴を用いて処理を行うが、このような判断部１３を、他の機能部と分けて構成することができる。かかる場合、取引履歴は第２の装置１０２内でとどめることができ、第１の装置１０１に入力する必要がない。
【０１３３】
例えば、取引履歴を管理する主体の管理下に第２の装置１０２を置き、他の主体の管理下に第１の装置１０１を置くことで、取引履歴を管理する主体の外部に取引履歴を出すことなく、異常取引の対象や異常取引者を特定することができる。
【０１３４】
以下、参考形態の例を付記する。
１．  処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段と、
前記頻度データにおいて第１の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段と、
を有する解析システム。
２．  １に記載の解析システムにおいて、
前記第１の特徴は、異常が発生した時の過去の前記頻度データに現れている特徴である解析システム。
３．  ２に記載の解析システムにおいて、
前記第１の特徴は、所定期間内における前記所定イベントの発生頻度、前記所定イベントの発生が前記所定期間の中の一部期間に集中している度合い、及び、一方の軸に時間をとり他方の軸に前記発生頻度をとって前記所定イベントの発生頻度の時間変化を示した折れ線グラフの傾きの中の少なくとも１つで示される解析システム。
４．  １から３のいずれかに記載の解析システムにおいて、
前記抽出手段は、前記異常対象候補の中から、前記頻度データにおいて第２の特徴が現れている前記異常対象候補を排除する解析システム。
５．  ４に記載の解析システムにおいて、
前記第２の特徴は、異常が発生していない時の過去の前記頻度データに現れている特徴である解析システム。
６．  ５に記載の解析システムにおいて、
前記第２の特徴は、全ての前記処理対象に共通して適用される特徴、及び、前記処理対象毎に定められた特徴の少なくとも一方を含む解析システム。
７．  ６に記載の解析システムにおいて、
全ての前記処理対象に共通して適用される前記第２の特徴は、複数の前記処理対象の前記頻度データに現れている特徴である解析システム。
８．  ６又は７に記載の解析システムにおいて、
前記処理対象毎に定められた前記第２の特徴は、前記処理対象各々の前記頻度データに現れている特徴である解析システム。
９．  １から８のいずれかに記載の解析システムにおいて、
前記処理対象は人物であり、
前記所定イベントは取引であり、
前記生成手段は、前記取引の現場を撮影した画像データに基づき、人物毎に、前記取引の発生頻度の時間変化を示す前記頻度データを生成する解析システム。
１０．  ９に記載の解析システムにおいて、
取引端末の取引履歴に基づき、前記異常対象候補である人物が異常取引者か否かを判断する判断手段をさらに有する解析システム。
１１．  １０に記載の解析システムにおいて、
前記判断手段は、前記異常対象候補である人物が前記取引において前記取引端末に入力した入力情報に基づき、前記異常対象候補である人物が前記異常取引者か否かを判断する解析システム。
１２．  １１に記載の解析システムにおいて、
前記入力情報は、前記取引に用いるユーザＩＤ（identifier）及び／又は口座番号を含む解析システム。
１３．  １２に記載の解析システムにおいて、
前記判断手段は、前記入力情報に含まれるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性、及び、前記画像データから推定される前記異常対象候補である人物のユーザ属性に基づき、前記異常対象候補である人物が前記異常取引者か否かを判断する解析システム。
１４．  １０から１３のいずれかに記載の解析システムにおいて、
前記異常取引者と判断された人物を示す情報を前記取引端末に送信する送信手段を有する解析システム。
１５．  １から８のいずれかに記載の解析システムにおいて、
前記処理対象はユーザＩＤ又は口座番号であり、
前記所定イベントは取引であり、
前記生成手段は、取引端末の取引履歴に基づき、ユーザＩＤ毎、又は、口座番号毎に、前記取引の発生頻度の時間変化を示す前記頻度データを生成する解析システム。
１６．  １５に記載の解析システムにおいて、
前記取引の現場を撮影した画像データに基づき、前記異常対象候補であるユーザＩＤ又は口座番号が異常取引の対象か否かを判断する判断手段をさらに有する解析システム。
１７．  １６に記載の解析システムにおいて、
前記判断手段は、前記異常対象候補であるユーザＩＤ又は口座番号を前記取引に用いた人物に基づき、前記異常対象候補であるユーザＩＤ又は口座番号が異常取引の対象か否かを判断する解析システム。
１８．  １６又は１７に記載の解析システムにおいて、
前記判断手段は、前記異常対象候補であるユーザＩＤ又は口座番号に対応付けて登録されているユーザ属性、及び、前記画像データから推定される前記異常対象候補であるユーザＩＤ又は口座番号を前記取引に用いた人物のユーザ属性に基づき、前記異常対象候補であるユーザＩＤ又は口座番号が異常取引の対象か否かを判断する解析システム。
１９．  １６から１８のいずれかに記載の解析システムにおいて、
異常取引の対象と判断されたユーザＩＤ又は口座番号を前記取引端末に送信する送信手段を有する解析システム。
２０．  １０から１４、１６から１９の中のいずれかに記載の解析システムにおいて、
前記生成手段及び前記抽出手段を有する第１の装置と、
前記判断手段を有する第２の装置と、
を有し、
前記第１の装置と前記第２の装置は物理的に分かれて構成され、互いに通信可能である解析システム。
２１．  コンピュータが、
処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成工程と、
前記頻度データにおいて第１の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出工程と、
を実行する解析方法。
２２．  コンピュータを、
処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段、
前記頻度データにおいて第１の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段、
として機能させるプログラム。
【０１３５】
この出願は、２０１７年３月３１日に出願された日本出願特願２０１７−０７２１６１号を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【図１】
2018179586.tif 000003
【図２】
2018179586.tif 000004
【図３】
2018179586.tif 000005
【図４】
2018179586.tif 000006
【図５】
2018179586.tif 000007
【図６】
2018179586.tif 000008
【図７】
2018179586.tif 000009
【図８】
2018179586.tif 000010
【図９】
2018179586.tif 000011
【図１０】
2018179586.tif 000012
【図１１】
2018179586.tif 000013
【図１２】
2018179586.tif 000014
【図１３】
2018179586.tif 000015
【図１４】
2018179586.tif 000016
【図１５】
2018179586.tif 000017
【図１６】
2018179586.tif 000018
【図１７】
2018179586.tif 000019
【図１８】
2018179586.tif 000020
【図１９】
2018179586.tif 000021
【国際調査報告】
2018179586.tif 000022
2018179586.tif 000023
2018179586.tif 000024
2018179586.tif 000025