(57)【要約】  不正な侵入を必要とせずに、不審な通信を検知するための情報を集計するため、本発明の情報処理装置は、所定の装置が受信した通信データから通信の発信元を抽出し、発信元と、通信データにおける通信に関連する時間とを含む第１のデータを生成するデータ生成手段と、第１の期間と、第１の期間を含み第１の期間より長い第２の期間とのそれぞれにおいて、第１のデータを基に、発信元ごとにおける通信データの受信の第１の頻度を集計する頻度集計手段と含む。
2018225667.tif 000002
【特許請求の範囲】
【請求項１】
所定の装置が受信した通信データから通信の発信元を抽出し、前記発信元と、前記通信データにおける通信に関連する時間とを含む第１のデータを生成するデータ生成手段と、
第１の期間と、前記第１の期間を含み前記第１の期間より長い第２の期間とのそれぞれにおいて、前記第１のデータを基に、前記発信元ごとにおける前記通信データの受信の第１の頻度を集計する頻度集計手段と
を含む情報処理装置。
【請求項２】
前記第１の期間及び前記第２の期間の開始時間が同じ、又は、前記第１の期間及び前記第２の期間の終了時間が同じである
請求項１に記載の情報処理装置。
【請求項３】
前記頻度集計手段が、
前記第１のデータを時間に沿って複数の第２のデータに分割し、前記第２のデータにおける前記発信元ごとにおける前記通信データの受信の第２の頻度を集計し、前記第２の頻度を統合して前記第１の頻度を集計する
請求項１又は２に記載の情報処理装置。
【請求項４】
前記データ生成手段が、
前記発信元として、前記発信元の位置、及び／又は、前記発信元の機能を含む前記第１のデータを生成し、
前記頻度集計手段が、
前記位置及び／又は機能ごとに前記第１の頻度を集計する
請求項１ないし３のいずれか１項に記載の情報処理装置。
【請求項５】
前記データ生成手段が、
前記第１のデータとして、さらに、前記通信データにおける前記発信元に対応した宛先を含む前記第１のデータを生成し、
前記頻度集計手段が、
前記発信元と前記宛先との組ごとに前記第１の頻度を集計する
請求項１ないし４のいずれか１項に記載の情報処理装置。
【請求項６】
前記頻度集計手段が、
前記第２の期間として、少なくとも、１か月間、３か月間、半年間、又は、１年間のいずれか１つを含む
請求項１ないし５のいずれか１項に記載の情報処理装置。
【請求項７】
所定の装置が受信した通信データから通信の発信元を抽出し、前記発信元と、前記通信データにおける通信に関連する時間とを含む第１のデータを生成し、
第１の期間と、前記第１の期間を含み前記第１の期間より長い第２の期間とのそれぞれにおいて、前記第１のデータを基に、前記発信元ごとにおける前記通信データの受信の第１の頻度を集計する
情報処理方法。
【請求項８】
所定の装置が受信した通信データから通信の発信元を抽出し、前記発信元と、前記通信データにおける通信に関連する時間とを含む第１のデータを生成する処理と、
第１の期間と、前記第１の期間を含み前記第１の期間より長い第２の期間とのそれぞれにおいて、前記第１のデータを基に、前記発信元ごとにおける前記通信データの受信の第１の頻度を集計する処理と
をコンピュータに実行させるプログラムをコンピュータ読み取り可能に記録する記録媒体。
【請求項９】
請求項１ないし６のいずれか１項に記載の前記情報処理装置と、
前記通信データを取得して前記情報処理装置に送信する取得装置と、
前記情報処理装置から前記第１の頻度を受信して表示する表示装置と
を含む情報処理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報の処理に関し、特に、検知に関連する情報を処理する情報処理装置などに関する。
【背景技術】
【０００２】
インターネットなどのネットワークの普及に伴い、ネットワークを経由した不正なアクセスが、増加している。そのため、各種のＩＤＳ（Ｉｎｓｔｒｕｃｔｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）及びＳＯＣ（Ｓｅｃｕｒｉｔｙ  Ｏｐｅｒａｔｉｏｎ  Ｃｅｎｔｅｒ）が利用されている。【０００３】
ＩＤＳとは、ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｅｃｈｎｏｌｏｇｙ）システム又はネットワークへの不正なアクセスを検知するソフトウェア及び／又はハードウェアである（例えば、特許文献１を参照）。【０００４】
特許文献１に記載の電子メール分類装置は、過去の不正なデータ（特許文献１では、スパムメール）の特徴ベクトルを用いて、受信したメールが不正であるか否かを判定する。【０００５】
ＳＯＣとは、ＩＤＳなどを利用して、顧客などにおけるＩＴシステムへの不正侵入の監視及び対策を担当する組織である。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１１−２２７８５０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
システム及びネットワークを安全に運用するためには、不正な侵害は、１回たりとも発生させないことが望ましい。【０００８】
しかし、特許文献１に記載のように、一般的なＩＤＳ及びＳＯＣは、過去に発生した不正侵入に関する情報（例えば、シグネシャ、又は、特徴量）を用いて、不正なアクセス及び／又は侵入を判定する。一般的なＩＤＳなどは、不正な侵入が発生しないと、不正な侵入に対応することができない。つまり、特許文献１などを含め、一般的なＩＤＳ及びＳＯＣは、少なくとも一度は、不正に侵入されることが必要である。【０００９】
このように、特許文献１を含め一般的なＩＤＳなどは、不正な侵入の前には、不審者などからの通信を特定できないという問題点があった。【００１０】
本発明の目的は、上記問題点を解決し、不正な侵入を必要とせずに、不審な通信を検知するための情報を提供する情報処理装置などを提供することにある。
【課題を解決するための手段】
【００１１】
本発明の一形態における情報処理装置は、所定の装置が受信した通信データから通信の発信元を抽出し、発信元と、通信データにおける通信に関連する時間とを含む第１のデータを生成するデータ生成手段と、第１の期間と、第１の期間を含み第１の期間より長い第２の期間とのそれぞれにおいて、第１のデータを基に、発信元ごとにおける通信データの受信の第１の頻度を集計する頻度集計手段とを含む。【００１２】
本発明の一形態における情報処理方法は、所定の装置が受信した通信データから通信の発信元を抽出し、発信元と、通信データにおける通信に関連する時間とを含む第１のデータを生成し、第１の期間と、第１の期間を含み第１の期間より長い第２の期間とのそれぞれにおいて、第１のデータを基に、発信元ごとにおける通信データの受信の第１の頻度を集計する。【００１３】
本発明の一形態における記録媒体は、所定の装置が受信した通信データから通信の発信元を抽出し、発信元と、通信データにおける通信に関連する時間とを含む第１のデータを生成する処理と、第１の期間と、第１の期間を含み第１の期間より長い第２の期間とのそれぞれにおいて、第１のデータを基に、発信元ごとにおける通信データの受信の第１の頻度を集計する処理とをコンピュータに実行させるプログラムをコンピュータ読み取り可能に記録する。【００１４】
本発明の一形態における情報処理システムは、上記の情報処理装置と、通信データを取得して情報処理装置に送信する取得装置と、情報処理装置から第１の頻度を受信して表示する表示装置とを含む。
【発明の効果】
【００１５】
本発明に基づけば、不正な侵入を必要とせずに、不審な通信を検知するための情報を提供するとの効果を奏することができる。
【図面の簡単な説明】
【００１６】
【図１】図１は、本発明における第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図２】図２は、第１の実施形態に係る情報処理装置が実際の通信データを用いて、所定の開始日からの複数の期間における発信元ごとの頻度を集計した結果を示す図である。
【図３】図３は、第１の実施形態に係る情報処理装置を含む情報処理システムの構成の一例を示すブロック図である。
【図４】図４は、第１の実施形態に係る情報処理装置のハードウェア構成の一例を示すブロック図である。
【図５】図５は、第２の実施形態に係る情報処理装置の構成の一例を示すブロック図である。
【図６】図６は、第２の実施形態に係る頻度集計部の動作を説明するための図である。
【図７】図７は、発信元と宛先との組に対する頻度の集計の一例を示す図である。
【図８】図８は、第２の実施形態に係る頻度集計部の動作の一例を示すフローチャートである。
【発明を実施するための形態】
【００１７】
次に、図面を参照して、本発明の実施形態について説明する。
【００１８】
なお、各図面は、本発明の実施形態を説明するためのものである。ただし、本発明は、各図面の記載に限られるわけではない。また、各図面の同様の構成には、同じ番号を付し、その繰り返しの説明を、省略する場合がある。また、以下の説明に用いる図面において、本発明の説明に関係しない部分の構成については、記載を省略し、図示しない場合もある。
【００１９】
＜発明に関連する技術＞
まず、本発明に関連する技術を説明する。
【００２０】
一般的なＩＤＳなど不正を検知する装置又は組織（以下、単に「ＩＤＳ」と呼ぶ）は、不正な侵入そのものを遮断することを目的としている。具体的には、ＩＤＳは、受信した通信データを、直接的に判定して、遮断を実現する。
【００２１】
このように、ＩＤＳは、受信した通信のデータを判定することで、不正な侵害を遮断する。そのため、ＩＤＳにおける通信に対する継続的な監視時間としては、比較的短い期間（一般的に、数分から数時間、長くても１日程度）を用いている。
【００２２】
しかし、不正な侵入を企てる侵害者は、不正な侵入を実現するために、侵入の前に対象となるシステムにおける侵入可能となっている侵入口を探す。そして、侵入口が見つかると、侵害者は、見つけた侵入口から不正に侵入する。
【００２３】
この探索には、侵入先に悟られないため、通常の通信と区別がつかない通信（不正とはならない通信）が用いられる。また、この探索は、ある程度の回数を必要とする。そこで、この探索は、一般的に、人手ではなく、コンピュータなどを利用して、ある程度の長い間隔（例えば、数日、１か月、又は数か月）を開けて繰り返される。なお、探索に用いられる間隔は、ある程度の変動を含む場合がある。
【００２４】
このような探索の可能性がある不審な通信を検知するためには、比較的長い期間（例えば、数か月間）における通信のデータを用いた解析が必要となる。つまり、長期間における通信のデータを用いての解析は、侵入前の探索と想定されるような不審な通信を発信してくる発信元を見つけることができる可能性がある。
【００２５】
しかし、ネットワークにおいて通信されるデータは、非常に多い。例えば、単一の組織（例えば、数名から数十名からなる部門）において、一日当たりの通信量は、数ＧＢ（Ｇｉｇａ−Ｂｙｔｅ）から数十ＧＢとなる。一月当たりの通信量は、数十ＧＢから、数百ＧＢとなる。そして、通信量は、これからも、さらに増加すると考えられている。
【００２６】
そのため、長期間にわたるネットワークにおいて通信されているデータの保存には、非常に大きな記憶容量が必要である。
【００２７】
さらに、データ量が大きくなると、データを保存するための処理の時間が、増大する。例えば、一般的なデータベースにおいて、数ＧＢのデータを保存する時間は、数時間となっている。
【００２８】
また、たとえデータを保存できたとしても、不審な通信であるか否かを検知するための情報の生成には、保存したデータを用いた処理（例えば、検索処理）の実行が必要である。この処理の負荷も、非常に大きい。
【００２９】
例えば、データの検索時間は、採用する検索処理に依存するが、一般的に、データ量の増加に対して、データ量の増加率より高い比率で増加する。そこで、保存したデータが多くなると、データの検索処理の時間は、非常に増加してしまう。
【００３０】
検索の効率化の技術が提案されている。しかし、上記のようなネットワークにおける長期間のデータ量においても実用的な時間で処理できるような技術は、提案されていない。
【００３１】
例えば、検索時間を削減するための技術として、ハッシュを用いる技術がある。しかし、対象となるデータは、通信データのため、発信元及び宛先など複数の情報を含む。このようなデータを検索するためのハッシュは、通信データに含まれるデータ（例えば、発信元及び宛先）を組み合わせた検索に対応する必要がある。対象となる通信データの数は、億（数十ＧＢ）を超えている。生成する必要があるハッシュのデータの数は、含まれるデータのその組合せの数となるため、膨大な数となる。このように、ハッシュを用いる方法は、実際のネットワークにおける長期間の通信データに適用した場合、ハッシュの生成時間、及び、生成したハッシュの記憶容量が、共に、とても大きく、長期間の通信データへの適用が難しい。
【００３２】
ハッシュの長さを短くする又は保存するハッシュの数を削減すると、ハッシュを用いた検索の処理時間は、短くなる。しかし、この場合、ハッシュの衝突の発生が多くなる。ハッシュが衝突すると、通常の検索処理が必要となる。そのため、ハッシュを短くすることは、実際のネットワークにおける通信データへの適用が難しい。
【００３３】
このように、ＩＤＳのような一般的な監視装置は、不審な通信の発信元を検知するような、長期間における通信データの解析を扱うことができなかった。
【００３４】
しかし、不正な侵害を防ぐためには、不正な侵害が発生する前、言い換えると不正な侵害を必要としないで侵害者などの探索に用いられる不審な通信を検知するための情報の提供が望まれている。
【００３５】
本発明における実施形態は、以下で説明する構成及び動作を用いて、不正な侵害を必要としないでも、長期間におけるデータを用いて不審な通信を検知するための情報の提供を実現することができる。
【００３６】
＜第１の実施形態＞
以下、図面を参照して、第１の実施形態について説明する。
【００３７】
第１の実施形態に係る情報処理装置１００における処理の対象となるデータ（以下、「対象データ」と呼ぶ）は、任意である。情報処理装置１００は、ネットワークにおける通信データを処理してもよい。あるいは、情報処理装置１００は、記憶装置（例えば、ＲＡＩＤ（Ｒｅｄｕｎｄａｎｔ  Ａｒｒａｙｓ  ｏｆ  Ｉｎｅｘｐｅｎｓｉｖｅ（Ｉｎｄｅｐｅｎｄｅｎｔ）  Ｄｉｓｋｓ））におけるアクセスデータを処理してもよい。
【００３８】
さらに、情報処理装置１００は、自装置が受信した通信データを処理してもよい。あるいは、情報処理装置１００は、他の装置又は組織が受信した通信データを処理してもよい。
【００３９】
そして、情報処理装置１００は、対象データから頻度を集計するためのデータ（以下、「集計用データ」と呼ぶ）を生成し、集計用データにおける頻度を集計する。
【００４０】
以下では、一例として、情報処理装置１００は、所定の装置（例えば、自装置又は判定対象の装置）が受信した通信データを処理する。そして、情報処理装置１００は、通信データにおける不審な発信元を検知するための情報として、通信データにおける発信元に関する情報（例えば、発信元のアドレス）に関連する頻度を集計する。
【００４１】
ただし、これは、本実施形態に係る情報処理装置１００における対象データ及び集計用データを制限するものではない。例えば、情報処理装置１００は、発信元に限らず、宛先に関する情報及び／又は通信の時間に関する情報を処理してもよい。あるいは、情報処理装置１００は、通信データのペイロードに含まれる所定のデータを処理してもよい。あるいは、情報処理装置１００は、所定の記憶装置に対するアクセスに用いられるデータのアクセス元、アクセス先、又はアクセス時間を処理してもよい。
【００４２】
［構成の説明］
まず、図面を参照して、第１の実施形態に係る情報処理装置１００の構成について説明する。
【００４３】
図１は、本発明における第１の実施形態に係る情報処理装置１００の構成の一例を示すブロック図である。情報処理装置１００は、データ生成部１１０と、頻度集計部１２０とを含む。
【００４４】
データ生成部１１０は、集計用データとして、対象データ（今の場合、通信データ）から、処理の対象となるデータ（今の場合、発信元に関するデータ）を抽出し、対象となるデータを含む集計用データを生成する。
【００４５】
通信データは、通信対象となるデータ本体（ペイロード）に加え、その他の情報を含む。例えば、通信データは、発信元及び宛先など通信を実現するために必要となる装置（ノードなどとも呼ばれる）に関する情報を含む。発信元に関する情報は、例えば、発信元のアドレス及びポート番号など、発信元の位置及び機能に関する情報である。あるいは、通信データは、発信時間及び受信時間など時間に関する情報を含む場合もある。あるいは、通信データは、中継ノードなど、通信の介在者に関連する情報を含む場合もある。このように、通信データは、複数の情報を含む。
【００４６】
データ生成部１１０は、通信データから、処理の対象であるデータ（今の場合、発信元に関する情報（例えば、発信元のアドレス））を抽出する。
【００４７】
なお、データ生成部１１０は、集計用データを抽出する通信データを選択してもよい。例えば、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）において、発信元は、接続を確立する際に、最初にＳＹＮパケット（ｓｙｎｃｈｒｏｎｉｚｅ  ｐａｃｋｅｔ）を送る。そこで、データ生成部１１０は、ＳＹＮパケットにおける発信元を抽出してもよい。この場合、情報処理装置１００は、処理の対象となるデータの量をさらに削減できる。
【００４８】
さらに、データ生成部１１０は、集計用データとして、通信データにおける通信の時間に関する情報（例えば、対象の装置が通信データを受信した時間）を抽出又は生成する。例えば、データ生成部１１０は、通信のログを基に集計用データを生成する場合、そのログから通信の受信時間を抽出してもよい。あるいは、データ生成部１１０が、直接的に受信した通信データを処理して集計用データを生成する場合、データ生成部１１０は、時間に関する情報として、通信データを受信した時間を集計用データに含ませてもよい。
【００４９】
頻度集計部１２０は、データ生成部１１０が生成したデータを基に、所定の期間における、発信元の種類ごと（例えば、発信元のアドレスごと）の通信データの受信の頻度を集計する。
【００５０】
例えば、所定の期間が、Ａ日のＢ時００分から１か月間とする。
【００５１】
この場合、例えば、データ生成部１１０は、通信データのログから、発信元と受信時間とを抽出して集計用データを生成し、頻度集計部１２０に送信する。あるいは、データ生成部１１０は、直接的に通信データを受信する場合、Ａ日のＢ時００分から集計用データの生成を開始してもよい。あるいは、データ生成部１１０は、常に通信データを受信し、集計用データを生成して、頻度集計部１２０に送信してもよい。通信データは、常に受信されている。そのため、上記のように動作する場合、データ生成部１１０と、頻度集計部１２０とは、同時又は並列に動作してもよい。
【００５２】
頻度集計部１２０は、データ生成部１１０から受け取った集計用データにおける、Ａ日のＢ時００分から１か月間の発信元ごとの頻度（例えば、通信回数）を集計する。
【００５３】
この場合、頻度集計部１２０における集計の結果のデータの数は、発信元の種類（今の場合、発信元のアドレス）の数となる。
【００５４】
例えば、一般的に、一つの通信処理は、複数の通信データを用いて実現されている。そのため、大半の通信において、発信元の数は、通信データの数に比べ、かなり少ない。そのため、頻度集計部１２０における集計の結果のデータの数は、かなり小さな数となる。
【００５５】
ただし、侵害者は、検知されにくくするために、複数の発信元を用いる場合がある。この場合、発信元の数は、侵害者の数より多くなる。しかし、侵害者が探索に用いる通信（不審な通信）は、かなり間隔をあけた通信である。そのため、侵害者が複数の発信元を用いる場合でも、発信元の数は、通信データの数に比べて、小さな数である。
【００５６】
このように、頻度集計部１２０における集計の結果のデータ量は、通信データの量に比べ、かなり少ない量となる。したがって、頻度集計部１２０は、容易にデータを保存及び処理できる。
【００５７】
なお、情報処理装置１００の動作は、上記に限定されない。例えば、データ生成部１１０は、通信データにおける発信元のアドレスと受信時間とを含む集計用データを生成して、図示しない記憶部に記憶してもよい。そして、頻度集計部１２０が、その記憶部に記憶されている集計用データから対象期間に含まれる集計用データを基に、発信元ごとの頻度（通信回数）を集計してもよい。
【００５８】
この場合、記憶される集計用データは、通信データに含まれる情報の一部（例えば、発信元のアドレス及び受信時間）である。
【００５９】
発信元のアドレス及び受信時間は、通信データと比較して、通常かなり小さいデータである。例えば、通信データの一例であるＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）は、そのサイズは可変であるが、通常、数千バイトである。これに対し、アドレスの一例であるＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスは、４バイト又は８バイトのデータである。受信時間のデータは、数バイトのデータである。このように、保存が必要なデータ量は、通信データの量に比べ、かなり小さなデータ量であり、保存可能な量である。
【００６０】
そのため、この場合でも、情報処理装置１００は、容易に集計用データを保存することができる。
【００６１】
また、頻度集計部１２０における追加となる動作は、集計用データの読み出し動作である。しかし、集計用データの量は、少ない量である。また、データの読み出し動作は、通常、負荷が低い動作である。そのため、頻度集計部１２０における負荷の増加は、集計の動作に比べ小さい量である。
【００６２】
一つの期間における発信元ごとに集計値は、ある期間における発信元ごとの発信の頻度である。侵害者における発信の頻度は、侵害されるまで、分からない情報である。そのため、一つの期間における発信の頻度は、不審な通信の判定する材料として必ずしも有効ではなかった。
【００６３】
そこで、第１の実施形態に係る頻度集計部１２０は、一つの期間ではなく、複数の期間における頻度を集計する。この頻度の集計は、複数の期間における頻度の変化を示すデータである。
【００６４】
具体的には、頻度集計部１２０は、最小期間（第１の期間）を設定し、さらにその最小期間を含む最小期間より長い期間（第２の期間）を設定し、最小期間と設定した複数の期間とにおける頻度を集計する。各期間は、異なる長さである。
【００６５】
例えば、頻度集計部１２０は、開始時間が同じである複数の期間において頻度を集計する。あるいは、頻度集計部１２０は、終了時間が同じである複数の期間において頻度を集計する。
【００６６】
なお、頻度集計部１２０における期間の単位は、任意である。例えば、頻度集計部１２０は、期間の単位として、秒、分、時間、日、又は、月を用いてもよい。例えば、頻度集計部１２０は、開始時間に替えて、開始日、又は、開始月を用いてもよい。
【００６７】
また、期間の長さは、任意である。例えば、期間は、１週間、１か月間、３か月間、半年間、又は、１年間である。
【００６８】
例えば、頻度集計部１２０は、１日を増加単位とする複数の期間（１日間から１年間までの各期間）における発信元ごとの通信データの頻度を集計する。具体的には、例えば、頻度集計部１２０は、開始日を決定し、開始日を最小期間とする。そして、頻度集計部１２０は、開始日からの、１日間（開始日）、２日間（開始日と次の日）、…、３０日間（約１か月間）、…、９０日間（約３か月間）、…、１８０日（約６か月間）、…、３６０日（約１年間）において、頻度を集計する。ここで、１日間が、最小期間（第１の期間）の一例である。２日間から３６０日間が、最小期間より長い期間（第２の期間）の一例である。
【００６９】
図２は、第１の実施形態に係る情報処理装置１００が実際の通信データを用いて、所定の開始日からの複数の期間における発信元ごとの頻度を集計した結果を示す図である。図２の縦軸は、観測期間（集計期間）である。図２の横軸は、観測回数（集計した頻度）である。ただし、横軸は、対数となっている。
【００７０】
図２を参照すると、観測時間の２５，０００，０００秒から３０，０００，０００秒（約１０か月間から１年間）において、頻度が１０回から数１０回となっている通信が観測された。図２において、この通信は、楕円で囲まれている。この通信の発信元は、平均すると、１か月に１回から数回通信を発信している。
【００７１】
この通信は、明らかに、他の部分と分離されている。つまり、この部分の通信は、通常の通信ではなく、不審な通信、又は、故障などの候補となる。
【００７２】
そこで、情報処理装置１００の利用者は、この通信の発信元を確認して、不正な発信元の候補となるか否かなどを確認すればよい。
【００７３】
例えば、データ生成部１１０が発信元の位置に関するデータを含む集計用データを生成し、頻度集計部１２０が発信元の位置ごとの頻度を集計する場合を想定する。この場合、利用者は、発信元の位置ごとの頻度を基に、発信元の位置（例えば、国又は地域）を判定できる。例えば、ＩＰアドレスは、所定の組織（例えば、ＩＣＡＮＮ：Ｉｎｔｅｒｎｅｔ  Ｃｏｒｐｏｒａｔｉｏｎ  ｆｏｒ  Ａｓｓｉｇｎｅｄ  Ｎａｍｅｓ  ａｎｄ  Ｎｕｍｂｅｒｓ）が、組織名及び位置などを含む申請を基に、申請した組織に割り当てる。そこで、情報処理装置１００が、発信元のデータとして、ＩＰアドレスを用いる場合、利用者は、発信元のＩＰアドレスから、発信元の組織名、又はその組織の位置（例えば、国又は地域）を判定すればよい。
【００７４】
あるいは、情報処理装置１００は、発信元の機能に関するデータを用いてもよい。例えば、データ生成部１１０が、発信元の位置及び機能を含む集計用データを生成する。そして、頻度集計部１２０が、発信元の位置及び機能の組合せごとの頻度を集計する。この場合、利用者は、そのデータを基に、発信元の位置及び使用している機能を確認できる。
【００７５】
例えば、情報処理装置１００が、発信元のデータとして、ＩＰアドレスと、一般的なネットワークにおいて使用されているポート番号とを用いる場合、利用者は、ＩＰアドレスとポート番号とを基に、発信元ごとに使用している機能を確認できる。例えば、利用者は、発信元である組織と、その活動（組織的な活動）とを絞り込める。なお、一般的なインターネットでは、ポート番号が２３番の場合、通信は、Ｔｅｌｎｅｔである。ポート番号が８０番又は８０８０番の場合、通信は、ＨＴＴＰ（Ｈｙｐｅｒ−Ｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）である。
【００７６】
このように、情報処理装置１００は、利用者に対して、発信元の位置及び／又は機能に関する情報を提供することができる。
【００７７】
情報処理装置１００は、複数の期間における頻度（例えば、通信回数）を集計する。この集計は、複数の期間における頻度の変化を示すデータである。そして、図２に示されているように、この集計は、不審な通信を検知するために用いることができる情報である。
【００７８】
上記の期間は、ＩＤＳなどが扱うデータの観測期間に比べ、かなり長い期間である。ＩＤＳなどは、このような長い期間における観測を実現していなかった。
【００７９】
情報処理装置１００は、通信データの一部（例えば、発信元）に関する頻度を扱うため、このような長い期間における通信の頻度を集計することができる。そして、情報処理装置１００の利用者は、このような頻度を用いて、上記のように不審な通信及び／又は発信元などの活動を検知できる。
【００８０】
この知見は、本発明の発明者が新たに見いだしたものである。
【００８１】
さらに、図２に示されるデータの生成に用いられた通信データは、不正に侵害された後の通信データではなく、通常の動作における通信データである。このように、情報処理装置１００は、不正な侵入を必要とせずに、つまり、不審な通信データではなく通常の通信データを用いて不審な通信を検知できる情報を提供する。
【００８２】
［効果の説明］
次に、第１の実施形態に係る情報処理装置１００の効果について説明する。
【００８３】
第１の実施形態に係る情報処理装置１００は、不正な侵入を必要とせずに、不審な通信を検知するための情報を提供するとの効果を奏することができる。
【００８４】
その理由は、次のとおりである。
【００８５】
情報処理装置１００は、データ生成部１１０と、頻度集計部１２０とを含む。データ生成部１１０が、所定の装置が受信した通信データから通信の発信元を抽出し、発信元と通信データにおける通信に関連する時間とを含む第１のデータを生成する。そして、頻度集計部１２０は、第１の期間と、第１の期間を含み第１の期間より長い第２の期間とのそれぞれにおいて、第１のデータを基に、発信元ごとにおける通信データの受信の第１の頻度を集計する。「第１のデータ」及び「第１の頻度」については、後ほど、「第２のデータ」及び「第２の頻度」と合わせて説明する。
【００８６】
ここで、データ生成部１１０及び頻度集計部１２０は、不審な侵入に関連する通信データを必要としていない。つまり、情報処理装置１００は、不審な侵害を必要としない。
【００８７】
さらに、データ生成部１１０は、集計用データとして、通信データから一部のデータ、特に発信元のデータなど通信データに比べ小さいデータを抽出して、集計用データを生成する。また、頻度集計部１２０は、発信元ごとにおける頻度を集計する。つまり、頻度集計部１２０は、発信元の数程度のデータを処理する。このように、情報処理装置１００は、処理可能な量のデータを用いて動作可能である。
【００８８】
そして、頻度集計部１２０は、第１の期間（最小期間）と最小期間を含む最小期間より長い第２の期間とにおける頻度を集計する。例えば、頻度集計部１２０は、開始日が同じである複数の期間における頻度を集計する。
【００８９】
その結果、情報処理装置１００は、図２に示されているように、長期間における観測に基づいて発見される不審な通信を検知できる情報を提供する。
【００９０】
［システムの説明］
図３は、第１の実施形態に係る情報処理装置１００を含む情報処理システム１０の構成の一例を示すブロック図である。
【００９１】
情報処理システム１０は、情報処理装置１００と、取得装置２００と、表示装置３００とを含む。情報処理システム１０は、さらに、記憶装置４００を含んでもよい。
【００９２】
取得装置２００は、通信データを取得する。そして、取得装置２００は、通信データを情報処理装置１００に送信する。さらに、取得装置２００は、他の情報を情報処理装置１００に送信してもよい。例えば、取得装置２００は、情報処理装置１００に、頻度を集計する期間（例えば、最小期間及び最大期間）及び／又は集計するデータ（例えば、発信元を集計する指示）を送信してもよい。
【００９３】
取得装置２００における取得元は、任意である。取得装置２００は、記憶装置４００から、通信データを取得して、情報処理装置１００に送信してもよい。あるいは、取得装置２００は、図示しない装置（例えば、観察対象の通信機器）から通信データを取得してもよい。
【００９４】
なお、取得装置２００は、取得した通信データを、情報処理装置１００ではなく、記憶装置４００に保存してもよい。この場合、情報処理装置１００は、記憶装置４００に記憶された通信データを用いて動作する。
【００９５】
情報処理装置１００は、通信データを用いて、既に説明した動作を実行する。情報処理装置１００は、所定の指示（例えば、取得装置２００からの指示）を基に、集計した複数の期間（最小期間と、最小期間を含む最小期間より長い期間）における発信元ごとの頻度を、表示装置３００に送信する。
【００９６】
なお、情報処理装置１００は、集計した複数の期間における発信元ごとの頻度を記憶装置４００に保存してもよい。この場合、表示装置３００は、記憶装置４００からデータ（頻度）を取得する。
【００９７】
表示装置３００は、受信したデータ（例えば、送信元ごとの受信の頻度）を表示する。例えば、表示装置３００は、図２に示されるような、複数の期間における発信元ごとの頻度を表示する。
【００９８】
表示装置３００は、データの受信の際、又は、データ表示する際に、取得装置２００又は情報処理装置１００から表示に関連する情報を受信してもよい。例えば、表示装置３００は、取得装置２００又は情報処理装置１００から、データの表示範囲の指定を受信してもよい。
【００９９】
情報処理システム１０の構成は、図３の構成に限定されない。取得装置２００、表示装置３００、及び／又は、記憶装置４００は、情報処理装置１００に含まれていてもよい。
【０１００】
［ハードウェア構成］
情報処理装置１００のハードウェアについて説明する。
【０１０１】
情報処理装置１００は、次のように構成される。例えば、情報処理装置１００の各構成部は、ハードウェア回路で構成されてもよい。あるいは、情報処理装置１００において、各構成部は、ネットワークを介して接続した複数の装置を用いて、構成されてもよい。あるいは、情報処理装置１００において、複数の構成部は、１つのハードウェアで構成されてもよい。
【０１０２】
あるいは、情報処理装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）と、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）と、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）とを含むコンピュータ装置として実現されてもよい。情報処理装置１００は、上記構成に加え、さらに、入出力接続回路（ＩＯＣ：Ｉｎｐｕｔ  ａｎｄ  Ｏｕｔｐｕｔ  Ｃｉｒｃｕｉｔ）を含むコンピュータ装置として実現されてもよい。情報処理装置１００は、上記構成に加え、さらに、ネットワークインターフェース回路（ＮＩＣ：Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃｉｒｃｕｉｔ）を含むコンピュータ装置として実現されてもよい。
【０１０３】
図４は、第１の実施形態に係る情報処理装置１００のハードウェア構成の一例を示すブロック図である。図４において、情報処理装置６００が、第１の実施形態に係る情報処理装置１００のハードウェア構成の一例である。
【０１０４】
情報処理装置６００は、ＣＰＵ６１０と、ＲＯＭ６２０と、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを含み、コンピュータ装置を構成している。
【０１０５】
ＣＰＵ６１０は、ＲＯＭ６２０からプログラムを読み込む。そして、ＣＰＵ６１０は、読み込んだプログラムに基づいて、ＲＡＭ６３０と、内部記憶装置６４０と、ＩＯＣ６５０と、ＮＩＣ６８０とを制御する。そして、ＣＰＵ６１０を含むコンピュータは、これらの構成を制御し、図１に示されている、データ生成部１１０と、頻度集計部１２０としての各機能を実現する。
【０１０６】
ＣＰＵ６１０は、各機能を実現する際に、ＲＡＭ６３０又は内部記憶装置６４０を、プログラムの一時記憶媒体として使用してもよい。
【０１０７】
また、ＣＰＵ６１０は、コンピュータで読み取り可能にプログラムを記憶した記憶媒体７００が含むプログラムを、図示しない記憶媒体読み取り装置を用いて読み込んでもよい。あるいは、ＣＰＵ６１０は、ＮＩＣ６８０を介して、図示しない外部の装置からプログラムを受け取り、ＲＡＭ６３０に保存して、保存したプログラムを基に動作してもよい。
【０１０８】
ＲＯＭ６２０は、ＣＰＵ６１０が実行するプログラム及び固定的なデータを記憶する。ＲＯＭ６２０は、例えば、Ｐ−ＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ−ＲＯＭ）又はフラッシュＲＯＭである。
【０１０９】
ＲＡＭ６３０は、ＣＰＵ６１０が実行するプログラム及びデータを一時的に記憶する。ＲＡＭ６３０は、例えば、Ｄ−ＲＡＭ（Ｄｙｎａｍｉｃ−ＲＡＭ）である。
【０１１０】
内部記憶装置６４０は、情報処理装置６００が長期的に保存するデータ及びプログラムを記憶する。また、内部記憶装置６４０は、ＣＰＵ６１０の一時記憶装置として動作してもよい。内部記憶装置６４０は、例えば、ハードディスク装置、光磁気ディスク装置、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）、又はディスクアレイ装置である。
【０１１１】
情報処理装置６００が情報処理システム１０に用いられる場合、内部記憶装置６４０は、記憶装置４００として動作してもよい。
【０１１２】
ここで、ＲＯＭ６２０と内部記憶装置６４０とは、不揮発性（ｎｏｎ−ｔｒａｎｓｉｔｏｒｙ）の記憶媒体である。一方、ＲＡＭ６３０は、揮発性（ｔｒａｎｓｉｔｏｒｙ）の記憶媒体である。そして、ＣＰＵ６１０は、ＲＯＭ６２０、内部記憶装置６４０、又は、ＲＡＭ６３０に記憶されているプログラムを基に動作可能である。つまり、ＣＰＵ６１０は、不揮発性記憶媒体又は揮発性記憶媒体を用いて動作可能である。
【０１１３】
ＩＯＣ６５０は、ＣＰＵ６１０と、入力機器６６０及び表示機器６７０とのデータを仲介する。ＩＯＣ６５０は、例えば、ＩＯインターフェースカード又はＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）カードである。さらに、ＩＯＣ６５０は、ＵＳＢのような有線に限らず、無線を用いてもよい。
【０１１４】
入力機器６６０は、情報処理装置６００の操作者からの入力指示を受け取る機器である。入力機器６６０は、例えば、キーボード、マウス、又はタッチパネルである。
【０１１５】
情報処理装置６００が情報処理システム１０に用いられる場合、入力機器６６０は、取得装置２００として動作してもよい。
【０１１６】
表示機器６７０は、情報処理装置６００の操作者に情報を表示する機器である。表示機器６７０は、例えば、液晶ディスプレイである。
【０１１７】
情報処理装置６００が情報処理システム１０に用いられる場合、表示機器６７０は、表示装置３００として動作してもよい。
【０１１８】
ＮＩＣ６８０は、ネットワークを介した図示しない外部の装置とのデータのやり取りを中継する。ＮＩＣ６８０は、例えば、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）カードである。さらに、ＮＩＣ６８０は、有線に限らず、無線を用いてもよい。
【０１１９】
情報処理装置６００が情報処理システム１０に用いられる場合、ＮＩＣ６８０は、取得装置２００、表示装置３００、及び／又は、記憶装置４００との接続を仲介してもよい。
【０１２０】
このように構成された情報処理装置６００は、情報処理装置１００と同様の効果を得ることができる。
【０１２１】
その理由は、情報処理装置６００のＣＰＵ６１０が、プログラムに基づいて情報処理装置１００と同様の機能を実現できるためである。
【０１２２】
＜第２の実施形態＞
上記のとおり、第１の実施形態に係る情報処理装置１００では、動作に必要となるデータ量が、通信データ全体に比べ、少ない量である。そのため、情報処理装置１００は、通信データにおける不審な通信を検知するためのデータ（頻度）を集計できる。
【０１２３】
しかし、今後のネットワークにおけるデータの増加を考慮すると、さらなる効率化が望まれる。そこで、第２の実施形態として、頻度集計部１２０における動作を効率化した情報処理装置１０１について説明する。なお、以下の説明において、データ生成部１１０と頻度集計部１２１とは、順番に動作する。ただし、この動作は、第２の実施形態における説明を明確にするためである。第１の実施形態と同様に、データ生成部１１０と頻度集計部１２１とは、少なくとも一部の動作において、同時に動作してもよい。
【０１２４】
次に、図面を参照して、第２の実施形態について説明する。
【０１２５】
［構成の説明］
まず、図面を参照して、第２の実施形態に係る情報処理装置１０１の構成について説明する。
【０１２６】
図５は、第２の実施形態に係る情報処理装置１０１の構成の一例を示すブロック図である。情報処理装置１０１は、データ生成部１１０と、頻度集計部１２１と、データ記憶部１３０とを含む。頻度集計部１２１は、データ分割部１２３と、区間頻度集計部１２５と、頻度統合部１２７とを含む。
【０１２７】
なお、情報処理装置１０１は、図４に示されているハードウェアで構成されてもよい。この場合、内部記憶装置６４０が、データ記憶部１３０として動作する。
【０１２８】
データ生成部１１０は、第１の実施形態のデータ生成部１１０と同様に、頻度集計部１２１における処理対象の集計用データを生成する。本実施形態の説明では、データ生成部１１０は、通信データにおける発信元と、その通信データの受信時間とを含む集計データを生成する。そして、データ生成部１１０は、生成した集計用データをデータ記憶部１３０に保存する。データ生成部１１０は、最大の期間に対応した集計用データを生成して、データ記憶部１３０に保存する。
【０１２９】
データ記憶部１３０は、集計用データを保存する。
【０１３０】
データ分割部１２３は、集計用データを、集計用データの時間に沿って、所定の数又は所定の時間ごとのデータ（以下、「区間データ」と呼ぶ）に分割する。データの区別を容易にするため、集計用データ及び区間データを、それぞれ、「第１のデータ」及び「第２のデータ」と呼ぶ場合もある。
【０１３１】
区間頻度集計部１２５は、各区間データにおける発信元ごとの受信の頻度（以下、「区間頻度」と呼ぶ）を集計する。
【０１３２】
頻度統合部１２７は、区間頻度を統合して、発信元ごとの受信の頻度（以下、「統合頻度」と呼ぶ）を集計する。統合頻度は、第１に実施形態における頻度である。頻度の区別を容易にするため、統合頻度及び区間頻度を、それぞれ、「第１の頻度」及び「第２の頻度」と呼ぶ場合もある。つまり、第１の実施形態の頻度は、第１の頻度の一例である。
【０１３３】
一般的に、通信は、発信元ごとにある程度まとまって発信される。そのため、各区間に含まれる発信元の数は、集計用データ全体の発信元の数より少なくなる。そのため、各区間における頻度の集計に必要となる負荷及び記憶容量は、少なくなると想定される。
【０１３４】
図６は、第２の実施形態に係る頻度集計部１２１の動作を説明するための図である。
【０１３５】
図６の左側の表が、集計用データの一例である。頻度集計部１２１は、図６における集計用データを基に、発信元ごとの頻度を集計する。
【０１３６】
データ分割部１２３は、集計用データを区間データに分割する。図６の左側の点線で囲んだ２つの範囲が、それぞれ、区間データである。
【０１３７】
区間頻度集計部１２５は、区間データにおける頻度（区間頻度）を集計する。図６の中央の２つの表が、区間データごとの区間頻度の一例である。
【０１３８】
頻度統合部１２７は、区間頻度を統合して発信元ごとの頻度（統合頻度）を集計する。図６の右側の表が、統合頻度の一例である。
【０１３９】
この動作について、数式を用いて説明する。数式に用いる変数は、次のとおりである。
ｘ：集計用データの数（集計用データに含まれる発信元の総数）
ｎ：発信元の延べ数（通常は、ｎ＜＜ｘ）
ｄ：区間の数
ｉ：区間を示す変数（１≦ｉ≦ｄ）
ｆ（ａ）：発信元がａ個の場合の（平均）検索時間を示す関数
ｙｉ：区間ｉにおける発信元の数（通常は、ｙｉ≦ｎ＜＜ｘ）
（１）全体を一度に処理する場合
全体を一度に処理する場合の検索処理は、全てのデータにおいて、発信元の全体からデータに対応した発信元を検索する処理となる。そのため、全体の検索時間は、「ｎ個の発信元から対応した発信元を検索する時間（ｆ（ｎ））」をデータの数（ｘ）繰り返す時間となる。この場合の検索時間は、次の数１となる。
【０１４０】
【数１】
2018225667.tif 000003
【０１４１】
（２）区間に分割した場合
区間に分割した場合の検索処理は、各区間内における発信元を検索する処理と、各区間の結果の統合における検索処理となる。区間内の発信元の延べ数は、平均的に、全発信元の数を区間の数で割った値（ｎ／ｄ）となる。
【０１４２】
そこで、区間内の検索時間は、区間内の検索時間「ｆ（ｎ／ｄ）」と区間内のデータ数（ｘ／ｄ）の積となる。この検索が、区間の数（ｄ）だけ発生する。
【０１４３】
また、区間の結果の統合における検索処理は、全ての区間において、各区間の発信元それぞれについて全発信元を検索する処理（ｆ（ｎ））を、各区間における発信元の数（ｙｉ）繰り返す処理となる。
【０１４４】
この場合の検索の総時間は、次の数２となる。
【０１４５】
【数２】
2018225667.tif 000004
【０１４６】
左辺の第１項が、区間内の検索時間の合計である。第２項が、統合のための時間である。右辺は、左辺の第１項を整理したものである。
【０１４７】
発信元の数は、通信データの数に比べ、非常に小さい（ｎ＜＜ｘ）。また、統合処理における各区間の含まれる発信元の数は、データ全体の数に比べて非常に小さい（ｙｉ＜＜ｘ）。
【０１４８】
そのため、右辺の第１項は、全体を一度に処理する場合の時間（数１）に比べ、かなり小さい値である。また、第２項も、全体を一度に処理する場合の時間（数１）に比べ、非常に小さい値である。その結果、数２の値は、数１の値より小さい値である。つまり、発信元の検索処理においては、区間に分割した場合の検索処理の時間は、全体を一度に処理する場合の時間に比べ、かなり短時間となる。
【０１４９】
このように、頻度集計部１２１は、頻度集計部１２０に比べ、検索時間を削減できる。
【０１５０】
なお、頻度集計部１２１における集計は、第１の実施形態と同様に、発信元ごとの集計に限られず、例えば、発信元と宛先との組の頻度を集計してもよい。
【０１５１】
図７は、発信元と宛先との組に対する頻度の集計の一例を示す図である。
【０１５２】
［動作の説明］
次に、図面を参照して、第２の実施形態に係る頻度集計部１２１の動作について説明する。
【０１５３】
図８は、第２の実施形態に係る頻度集計部１２１の動作の一例を示すフローチャートである。
【０１５４】
データ分割部１２３は、集計用のデータを区間データに分割する（ステップＳ２０１）。
【０１５５】
区間頻度集計部１２５は、全ての区間データに対して、以下の動作を繰り返す（ステップＳ２０２）。
【０１５６】
区間頻度集計部１２５は、未処理の区間データの中から一つの区間データを選択する（ステップＳ２０３）。
【０１５７】
区間頻度集計部１２５は、選択した区間データにおける全てのデータに対して、以下の動作を実行する（ステップＳ２０４）。
【０１５８】
区間頻度集計部１２５は、区間データにおける未処理のデータからデータを一つ選択する（ステップＳ２０５）。
【０１５９】
区間頻度集計部１２５は、そのデータの発信元に対応した頻度を保存するデータ（区間頻度）を生成済みか判定する（ステップＳ２０６）。
【０１６０】
生成済みの場合（ステップＳ２０６でＹｅｓ）、区間頻度集計部１２５は、区間頻度を更新する（ステップＳ２０７）。具体的には、区間頻度集計部１２５は、区間頻度の値を、一つ増やす。
【０１６１】
生成済みでない場合（ステップＳ２０６でＮｏ）、区間頻度集計部１２５は、その発信元に対応するデータ（区間頻度）を生成する（ステップＳ２０８）。生成される区間頻度の初期値は、１である。
【０１６２】
区間頻度集計部１２５は、区間データにおける全てのデータに対して、ステップＳ２０５からＳ２０８の動作を繰り返す。
【０１６３】
区間データ内における全てのデータを処理すると、区間頻度集計部１２５は、生成及び更新した区間頻度を保存する（ステップＳ２０９）。
【０１６４】
区間頻度集計部１２５は、全てに区間に対して、ステップＳ２０３からＳ２０９の動作を繰り返す。
【０１６５】
区間頻度集計部１２５が全ての区間データに対応した区間頻度を生成すると、頻度統合部１２７は、区間頻度を統合して、発信元ごとの頻度（統合頻度）を集計する（ステップＳ２１０）。
【０１６６】
そして、頻度集計部１２１は、動作を終了する。
【０１６７】
［効果の説明］
第２の実施形態に係る情報処理装置１０１の効果について説明する。
【０１６８】
第２の実施形態に係る情報処理装置１０１は、第１の実施形態の効果に加え、集計時間を削減するとの効果を奏することができる。
【０１６９】
その理由は、次のとおりである。
【０１７０】
頻度集計部１２１は、集計用のデータを複数の区間に分割し、各区間において区間頻度を集計し、集計した区間頻度を統合して発信元の頻度（統合頻度）を集計する。この動作は、集計用データにおける頻度の集計を、分割した区間における区間頻度の集計及び区間頻度の統合に分けて実行する動作である。
【０１７１】
この動作は、上記のとおり、全体を一度に処理するより短い時間で実現できる。その結果、頻度集計部１２１は、全体を一度に処理する場合に比べ、かなり少ない時間で、頻度を集計することができる。
【０１７２】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成及び詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【０１７３】
この出願は、２０１７年  ６月  ５日に出願された日本出願特願２０１７−１１０５６２を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０１７４】
１０    情報処理システム
１００    情報処理装置
１０１    情報処理装置
１１０    データ生成部
１２０    頻度集計部
１２１    頻度集計部
１２３    データ分割部
１２５    区間頻度集計部
１２７    頻度統合部
１３０    データ記憶部
２００    取得装置
３００    表示装置
４００    記憶装置
６００    情報処理装置
６１０    ＣＰＵ
６２０    ＲＯＭ
６３０    ＲＡＭ
６４０    内部記憶装置
６５０    ＩＯＣ
６６０    入力機器
６７０    表示機器
６８０    ＮＩＣ
７００    記憶媒体
【図１】
2018225667.tif 000005
【図２】
2018225667.tif 000006
【図３】
2018225667.tif 000007
【図４】
2018225667.tif 000008
【図５】
2018225667.tif 000009
【図６】
2018225667.tif 000010
【図７】
2018225667.tif 000011
【図８】
2018225667.tif 000012
【国際調査報告】
2018225667.tif 000013
2018225667.tif 000014