(57)【要約】【課題】  特定の行動が発生する可能性を自動で判断する。【解決手段】  本発明の行動解析システムは、特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納するモデル格納部と、主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、主体のプロファイルを作成するプロファイル作成部と、プロファイル情報と行動発生モデルとの適合性を示すスコアを算出するスコア算出部と、スコアの結果に基づいて、特定の行動が発生する可能性を自動で判定する判定部を備えることを特徴とする。【選択図】  図１
2015053082.tif 000002
【特許請求の範囲】
【請求項１】
特定の行動を解析するための行動解析システムであって、
前記行動解析システムは、
特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納するモデル格納部と、
主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、前記主体のプロファイル情報を作成するプロファイル作成部と、
前記プロファイル情報と前記行動発生モデルとの適合性を示すスコアを算出するスコア算出部と、
前記スコアに基づいて、特定の行動が発生する可能性を自動で判定する判定部と
を備える行動解析システム。
【請求項２】
前記行動主体が個人であり、
前記行動発生モデルは、前記個人の性格パターンモデルであることを特徴とする請求項１に記載の行動解析システム。
【請求項３】
前記性格パターンモデルは、前記メッセージファイルに記載された文章の内容および／または前記メッセージファイルに記載された文章の傾向に基づいて作成されることを特徴とする請求項２に記載の行動解析システム。
【請求項４】
前記行動主体が個人であり、
前記行動発生モデルは、前記個人の行動パターンモデルであることを特徴とする請求項１に記載の行動解析システム。
【請求項５】
前記行動パターンモデルは、前記メッセージファイルに記載された文章の内容および／または前記メッセージファイルのメタデータに基づいて作成されることを特徴とする請求項４に記載の行動解析システム。
【請求項６】
前記行動主体が、複数の個人で構成されるコミュニティであり、
前記行動発生モデルは、前記コミュニティのグループパターンモデルであることを特徴とする請求項１に記載の行動解析システム。
【請求項７】
前記グループパターンモデルは、前記メッセージファイルに記載された文章の内容および／または前記メッセージファイルのメタデータに基づいて作成されることを特徴とする請求項６に記載の行動解析システム。
【請求項８】
前記メッセージファイルのメタデータは、前記メッセージファイルの送受信時間情報および／または送受信対象情報を含むことを特徴とする請求項５または７に記載の行動解析システム。
【請求項９】
前記判定部は、前記スコアが所定の閾値を超えた場合、前記主体が特定の行動を行う可能性があると判定することを特徴とする請求項１〜８のいずれか一項に記載の行動解析システム。
【請求項１０】
前記行動解析システムは、さらに、
前記スコアが所定の閾値を超えた場合、管理者に対し、警告および前記主体のプロファイルを送信する警告部を備えることを特徴とする請求項１〜９のいずれか一項に記載の行動解析システム。
【請求項１１】
前記メッセージファイルは、電子メールおよび／またはインスタントメッセージであることを特徴とする請求項１〜１０のいずれか一項に記載の行動解析システム。
【請求項１２】
前記特定の行動は、正当な行為であることを特徴とする請求項１〜１１のいずれか一項に記載の行動解析システム。
【請求項１３】
前記特定の行動は、不正な行為であることを特徴とする請求項１〜１１のいずれか一項に記載の行動解析システム。
【請求項１４】
特定の行動を解析するための行動解析方法であって、
前記行動解析方法は、
特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納するモデル格納ステップと、
主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、前記主体のプロファイルを作成するプロファイル作成ステップと、
前記プロファイル情報と前記行動発生モデルとの適合性を示すスコアを算出するスコア算出ステップと、
前記スコアに基づいて、特定の行動が発生する可能性を自動で判定する判定ステップと
を備える行動解析方法。
【請求項１５】
特定の行動を解析するための行動解析プログラムであって、
前記行動解析方法は、コンピュータに、
特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納するモデル格納機能と、
主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、前記主体のプロファイルを作成するプロファイル作成機能と、
前記プロファイル情報と前記行動発生モデルとの適合性を示すスコアを算出するスコア算出機能と、
前記スコアに基づいて、特定の行動が発生する可能性を自動で判定する判定機能と
を実現させる行動解析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、行動解析システム、行動解析方法、および、行動解析プログラムに関し、特に、特定の行動が発生する可能性を自動で判定可能な行動解析システム、行動解析方法、および、行動解析プログラムに関する。
【背景技術】
【０００２】
近年、ネットワーク上のデータや電子的記録等を分析することにより、人間により行われる特定の行動を発見するための技術が提案されている。
【０００３】
例えば、特許文献１には、不正な行動を検出するシステムに関する技術が開示されている。この技術は、少なくとも一つの電気通信ネットワークを有するネットワーク層と、ネットワーク層を管理し、ネットワーク層中の電気通信のインスタンスを表すデータを含むサービス記録を発生するためのサービス制御層と、サービス制御層の種々の構成要素及び処理からサービス記録を受信し、冗長を除去し複数の記録をネットワーク事象記録へ統合することによってデータを減少するためのデータ管理層を備える電気通信システムと、データ管理層からネットワーク事象記録を受信して不正行為の可能性に対してネットワーク事象記録をテストし且つ推測された不正行為の発生を指示するアラームを発生するための検出層と、検出層によって発生されたアラームを受信し且つアラームを不正行為ケースに統合するための分析層と、分析層から不正行為ケースを受信しかつ詐偽ケースの幾つかに働くエキスパートシステム層を備える多層不正行為検出システムに関するものである。
【０００４】
しがしながら、特許文献１記載の技術では、ネットワーク上で実行される正規の行動に対する逸脱を判定し、不正な行動の検出を行っているため、正規の行動の設定が困難な事象における不正な行動の発見や、ネットワーク外で行われる特定の行動の発見が困難である。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特表２００１−５１６１０７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上記事情に鑑み、本発明は、行動発生モデルを作成し、この行動発生モデルを用いて、特定の行動が発生する可能性を自動で判断することを目的とするものである。
【課題を解決するための手段】
【０００７】
本発明の行動解析システムは、特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納するモデル格納部と、主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、主体のプロファイルを作成するプロファイル作成部と、プロファイル情報と行動発生モデルとの適合性を示すスコアを算出するスコア算出部と、スコアの結果に基づいて、特定の行動が発生する可能性を自動で判定する判定部を備えることを特徴とする。
【０００８】
上記行動主体が個人であり、上記行動発生モデルは、個人の性格パターンモデルとすることができる。
【０００９】
上記性格パターンモデルは、メッセージファイルに記載された文章の内容および／またはメッセージファイルに記載された文章の傾向に基づいて作成されることができる。
【００１０】
上記行動主体が個人であり、上記行動発生モデルは、個人の行動パターンモデルとすることができる。
【００１１】
上記行動パターンモデルは、メッセージファイルに記載された文章の内容および／またはメッセージファイルのメタデータに基づいて作成されることができる。
【００１２】
上記行動主体が、複数の個人で構成されるコミュニティであり、上記行動発生モデルは、コミュニティのグループパターンモデルとすることができる。
【００１３】
上記グループパターンモデルは、メッセージファイルに記載された文章の内容および／またはメッセージファイルのメタデータに基づいて作成されることができる。
【００１４】
上記メッセージファイルのメタデータは、メッセージファイルの送受信時間情報および／または送受信対象情報を含むことができる。
【００１５】
上記判定部は、スコアが所定の閾値を超えた場合、主体が特定の行動を行う可能性があると判定することができる。
【００１６】
本発明の行動解析システムは、さらに、スコアが所定の閾値を超えた場合、管理者に対し、警告および主体のプロファイルを送信する警告部を備えることができる。
【００１７】
上記メッセージファイルは、電子メールおよび／またはインスタントメッセージとすることができる。
【００１８】
本発明の行動解析方法は、特定の行動を解析するための行動解析方法であって、行動解析方法は、特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納するモデル格納ステップと、主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、主体のプロファイルを作成するプロファイル作成ステップと、プロファイル情報と行動発生モデルとの適合性を示すスコアを算出するスコア算出ステップと、スコアに基づいて、特定の行動が発生する可能性を自動で判定する判定ステップとを備えることを特徴とする。
【００１９】
本発明の行動解析プログラムは、特定の行動を解析するための行動解析プログラムであって、行動解析方法は、コンピュータに、特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納するモデル格納機能と、主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、主体のプロファイルを作成するプロファイル作成機能と、プロファイル情報と行動発生モデルとの適合性を示すスコアを算出するスコア算出機能と、スコアに基づいて、特定の行動が発生する可能性を自動で判定する判定機能とを実現させることを特徴とする。
【発明の効果】
【００２０】
本発明の行動解析システム、行動解析方法、および、行動解析プログラムによれば、行動発生モデルを作成し、この行動発生モデルを用いることにより、特定の行動が発生する可能性を自動で判断することができる。
【図面の簡単な説明】
【００２１】
【図１】本発明の実施形態における行動解析システムの構成図
【図２】本発明の実施形態における行動解析システムの処理フローを示したチャート
【図３】本発明の実施形態におけるプロファイル作成部の処理フローを示したチャート
【図４】本発明の実施形態におけるスコア算出部の処理フローを示したチャート
【図５】本発明の実施形態における判定部の処理フローを示したチャート
【図６】本発明の実施形態における警告部の処理フローを示したチャート
【図７】本発明の実施形態におけるモデル格納部の処理フローを示したチャート
【発明を実施するための形態】
【００２２】
本発明の実施形態における行動解析システムを、添付の図面を参照しながら詳細に説明する。
【００２３】
図１に示すように、上記行動解析システム１は、モデル格納部１１、プロファイル作成部１２、スコア算出部１３、判定部１４および警告部１５を備える。
【００２４】
上記行動解析システム１は、コンピュータおよび／またはサーバで構成され、各種入力に基づきＣＰＵがＲＯＭに記録されたプログラムを実行することで、各種機能部として動作する。
【００２５】
上記モデル格納部１１は、特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納する。
【００２６】
上記行動主体とは、上記特定の行動を行った個人または複数の個人で構成されるコミュニティをいう。
【００２７】
上記ネットワークとは、上記行動主体が属する会社内のコンピュータ間、または、会社内のコンピュータと会社外のコンピュータやインターネットを接続した通信網をいう。
【００２８】
上記メッセージファイルとは、例えば、電子メールやインスタントメッセージ等で送受信されるファイルをいう。
【００２９】
上記送受信履歴とは、ファイルの本文およびメタデータに記録されている送受信したファイルの内容、送受信した時間、送受信対象等の情報をいう。
【００３０】
上記行動発生モデルは、メッセージファイルの送受信履歴から、特定の行動を起こす要素をモデル化したものとすることができる。行動発生モデルとは、例えば、性格パターンモデル、行動パターンモデル、グループパターンモデル等である。
【００３１】
上記プロファイル作成部１２は、主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、主体のプロファイル情報を作成する。主体のプロファイル情報とは、例えば、性格パターンプロファイル、行動パターンプロファイル、グループパターンプロファイル等である。
【００３２】
上記主体とは、個人または複数の個人で構成されるコミュニティをいう。
【００３３】
上記スコア算出部１３は、プロファイル作成部１２において作成されたプロファイル情報と、モデル格納部に格納された行動発生モデルとの適合性を示すスコアを算出する。例えば、プロファイル情報と行動発生モデルとが完全に一致する場合を１００とし、全く一致しない場合を０として表すことができる。
【００３４】
上記判定部１４は、スコア算出部１３において算出されたスコアの結果に基づいて、特定の行動が発生する可能性を自動で判定する。
【００３５】
行動主体が個人である場合、上記行動発生モデルは、個人の性格パターンモデルとすることができる。
【００３６】
上記性格パターンモデルは、メッセージファイルに記載された文章の内容および／またはメッセージファイルに記載された文章の傾向に基づいて作成されるのが好ましい。具体的には、メッセージの書き方、テーマ等に基づいて作成されることができる。
【００３７】
行動主体が個人である場合、上記行動発生モデルは、個人の行動パターンモデルとすることができる。
【００３８】
上記行動パターンモデルは、メッセージファイルに記載された文章の内容および／またはメッセージファイルのメタデータに基づいて作成されるのが好ましい。具体的には、メッセージのテーマ、送受信の時間、送受信対象の数、送受信対象等に基づいて作成することができる。
【００３９】
行動主体が複数の個人で構成されるコミュニティである場合、上記行動発生モデルは、コミュニティのグループパターンモデルとすることができる。
【００４０】
上記グループパターンモデルは、メッセージファイルに記載された文章の内容および／またはメッセージファイルのメタデータに基づいて作成されるのが好ましい。具体的には、コミュニティの発生時期、コミュニティが扱っている主題、コミュニティの活動時間帯、メッセージの送受信対象等に基づいて作成することができる。
【００４１】
上記メッセージファイルのメタデータは、メッセージファイルの送受信時間情報および／または送受信対象情報を含むことができる。
【００４２】
上記判定部１４は、スコアが所定の閾値を超えた場合、主体が特定の行動を行う可能性があると判定することができる。
【００４３】
本発明の行動解析システム１は、さらに、スコアが所定の閾値を超えた場合、管理者に対し、警告および主体のプロファイルを送信する警告部１５を備えるのが好ましい。
【００４４】
上記警告部１５は、特定の行動が発生する可能性があると判定されたプロファイル情報をモデル格納部１１に送信し、学習させることも可能である。この場合、送信されたプロファイル情報は、行動発生モデルとして格納され、利用されることができる。
【００４５】
また、上記モデル格納部１１は、過去の判定結果から、特定の行動が発生する可能性が高いプロファイル情報を行動発生モデルとして自動で格納することも可能である。さらに、モデル格納部１１は、過去の行動発生モデルより特定の行動が行われる傾向を推定して、新たな行動発生モデルとして格納することも可能である。その際に、一つの特定の行動における送受信履歴から、複数の要素に関連する複数のモデルが作成されてもよい。
【００４６】
上記メッセージファイルは、例えば電子メールおよび／またはインスタントメッセージとすることができる。インスタントメッセージとは、専用のアプリケーションを用いて、ネットワーク内のコンピュータ間で送受信するメッセージのやり取り等をいう。
【００４７】
上記特定の行動は、正当な行為とすることができる。正当な行為とは、例えば、正規の手続きを踏まえた契約行為や、正規の手順を踏まえたネットワーク上の登録行為などの行為をいうが、これに限定されるものではなく、何らかの規定にのっとった行為も含むものとする。
【００４８】
上記特定の行動は、不正な行為とすることができる。不正な行為とは、例えば、複数人でカルテルを結ぶ行為や、機密文書等のデータを流出させる行為などの行為をいうが、これに限定されるものではなく、何らかの規定に違反する行為も含むものとする。
【００４９】
さらに、上述した本発明の行動解析システムによれば、例えば、所属する会社の上層部との接点が多い人物Ａ、所属する会社の競合会社との接点が多い人物Ｂ、顧客との接点が多く、価格に関する情報を多く有する人物Ｃの３人がメッセージのやり取りを行っている場合などに、価格カルテルが発生する可能性が高いと判定することができる。
【００５０】
すなわち、価格カルテルにおいて、ある商品における競合ＸおよびＹ社の担当者たちが、コミュニケーションを取って、価格に関する情報収集を行い、価格調整のためのコンタクトを取り、調整に至り、その情報を関係者と共有している場合などに、価格カルテルが発生する可能性が高いと判定することができる。
【００５１】
また、上述した本発明の行動解析システムによれば、例えば、所属する会社外の人物との接点が多い人物Ｄが、ある特定の文書（秘密管理された技術に関する文書等）を作成している場合に、情報漏洩が発生する可能性が高いと判定することができる。
【００５２】
続いて、本発明の実施形態に従う行動解析方法の一例について、図面を参照しながら説明する。
【００５３】
図２に示すように、本発明の行動解析方法は、モデル格納ステップ（Ｓ１１０）と、プロファイル作成ステップ（Ｓ１２０）と、スコア算出ステップ（Ｓ１３０）と、判定ステップ（Ｓ１４０）とを備える。なお、図２では、本発明の行動解析方法が、さらに、警告ステップ（Ｓ１５０）を備える場合が示されている。
【００５４】
モデル格納ステップ（Ｓ１１０）では、特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納する。このステップは、上述したモデル格納部によって処理されることができる。
【００５５】
プロファイル作成ステップ（Ｓ１２０）では、主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、主体のプロファイルを作成する。このステップは、上述したプロファイル作成部によって処理されることができる。
【００５６】
スコア算出ステップ（Ｓ１３０）では、プロファイル情報と行動発生モデルとの適合性を示すスコアを算出する。このステップは、上述したスコア算出部によって処理されることができる。
【００５７】
判定ステップ（Ｓ１４０）では、スコアの結果に基づいて、特定の行動が発生する可能性を自動で判定する。このステップは、上述した判定部によって処理されることができる。
【００５８】
警告ステップ（Ｓ１５０）では、スコア算出部によって算出されたスコアが所定の閾値を超えた場合、管理者に対し、警告および主体のプロファイルを送信する。この処理は、上述した警告部によって処理されることができる。
【００５９】
図３は、上記プロファイル作成ステップ（Ｓ１２０）における処理の一例を具体的に示したフローチャートである。図３に示すように、プロファイル作成ステップ（Ｓ１２０）では、まず、メッセージファイルから、本文およびメタデータを取得する（Ｓ１２１）。次に、取得した本文およびメタデータを、メッセージのアドレス毎に分別し（Ｓ１２２）、分別された本文、メタデータの書き方、テーマ等から性格パターンのプロファイルを作成する（Ｓ１２３）。
【００６０】
また、メッセージのテーマ、送受信の時間、送受信対象の数、送受信対象等から行動パターンのプロファイルを作成することもできる（Ｓ１２４）。
【００６１】
一方で、メッセージのアドレスグループを識別し、グループ毎に分別し（Ｓ１２５）、メッセージのアドレスグループ毎に、アドレスグループの属するコミュニティの発生時期、コミュニティが扱っている主題、コミュニティの活動時間帯、ミュニティからのメッセージの送受信対象等からコミュニティのプロファイルを作成することもできる（Ｓ１２６）。メッセージのアドレスグループの識別は、例えば、送受信の時間、送受信対象等から識別される。
【００６２】
図４は、上記スコア算出ステップ（Ｓ１３０）における処理の一例を具体的に示したフローチャートである。図４に示すように、スコア算出ステップ（Ｓ１３０）は、性格パターンのプロファイルと、性格パターンモデルを取得し（Ｓ１３１）、それぞれの類似度を定量的に評価、スコアを算出する（Ｓ１３２）。
【００６３】
また、スコア算出部１３は、行動パターンのプロファイルと、行動パターンモデルを取得し（Ｓ１３３）、それぞれの類似度を定量的に評価、スコアを算出することもできる（Ｓ１３４）。
【００６４】
更に、スコア算出部１３は、コミュニティのプロファイルと、グループパターンモデルを取得し（Ｓ１３５）、それぞれの類似度を定量的に評価、スコアを算出することもできる（Ｓ１３６）。
【００６５】
図５は、上記判定ステップ（Ｓ１４０）における処理の一例を具体的に示したフローチャートである。図５に示すように、判定ステップ（Ｓ１４０）は、スコアが閾値を超過したかの判定をプロファイルごとに行い（Ｓ１４１）、スコアが所定の閾値を超えた場合、特定の行動を行う可能性があると判定し（Ｓ１４２）、スコアが閾値を超過しなかった場合は、処理を終了する。
【００６６】
図６は、上記警告ステップ（Ｓ１５０）における処理の一例を具体的に示したフローチャートである。図６に示すように、警告ステップ（Ｓ１５０）は、特定の行動が発生する可能性ありと判定されたかの判別を行い（Ｓ１５１）、判定された場合、システムの管理者に対し、警告および判定されたプロファイル情報を送信する（Ｓ１５２）。判定されなかった場合は、処理を終了する。
【００６７】
図７は、上記モデル格納ステップ（Ｓ１１０）における処理の一例を具体的に示したフローチャートである。図７に示すように、モデル格納部１１は、例えば、警告ステップ（Ｓ１５０）において、特定の行動が発生する可能性ありと判定されたかの判別を行い（Ｓ１１１）、判定された場合、警告部１５からプロファイル情報を取得し（Ｓ１１２）、行動発生モデルとして格納する（Ｓ１１３）ことができる。判定されなかった場合は、処理を終了する。
【００６８】
続いて、本発明の実施形態に従う行動解析プログラムの一例について説明する。
【００６９】
本発明の行動解析プログラムは、特定の行動を解析するための行動解析プログラムであって、コンピュータに、モデル格納機能と、プロファイル作成機能と、スコア算出機能と、判定機能とを実現させることを特徴とする。
【００７０】
モデル格納機能は、特定の行動を行った行動主体のネットワーク上のメッセージファイルの送受信履歴に基づいて作成された行動発生モデルを格納する。この機能は、上述したモデル格納部によって実現されることができる。
【００７１】
プロファイル作成機能と、主体のネットワーク上のメッセージファイルの送受信履歴に基づいて、主体のプロファイルを作成する。この機能は、上述したプロファイル作成部によって実現されることができる。
【００７２】
スコア算出機能は、プロファイル情報と行動発生モデルとの適合性を示すスコアを算出する。この機能は、上述したスコア算出部によって実現されることができ、詳細については上述した通りである。
【００７３】
判定機能は、スコアの結果に基づいて、特定の行動が発生する可能性を自動で判定する。この機能は、上述した判定部によって実現されることができ、詳細については上述した通りである。
【００７４】
以上、本発明の行動解析システム、行動解析方法、および、行動解析プログラムについて詳細に説明したが、本発明は、上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において、各種の改良や変更を行ってもよい。
【符号の説明】
【００７５】
１      行動解析システム
１１    モデル格納部
１２    プロファイル作成部
１３    スコア算出部
１４    判定部
１５    警告部
【図１】
2015053082.tif 000003
【図２】
2015053082.tif 000004
【図３】
2015053082.tif 000005
【図４】
2015053082.tif 000006
【図５】
2015053082.tif 000007
【図６】
2015053082.tif 000008
【図７】
2015053082.tif 000009