(57)【要約】      （修正有）【課題】行動変化及び一貫性をモデル化することで、異常性を特定するシステムを提供する。【解決手段】動作中、システムは、複数のユーザと関連付けられる業務実施データを取得する。業務実施データは、複数のユーザイベントを含む。システムは、業務実施データを複数のドメインに、ユーザイベントの種類に基づいて分類し、個別のドメイン内でユーザ行動を、個別のドメインに関連付けられる業務実施データに基づいてモデル化し、少なくとも１人の特異なユーザを、複数ドメインのモデル化されたユーザ行動に基づいて特定する。【選択図】図３
2015153428.tif 000002
【特許請求の範囲】
【請求項１】
異常性を特定するコンピュータシステムであって、
複数のユーザと関連付けられる業務実施データを取得するよう構成されるデータ取得機構であって、前記業務実施データは複数のユーザイベントを含む、データ取得機構と、
前記業務実施データを複数のドメインに、前記ユーザイベントの種類に基づいて分類するよう構成される、データ分類機構と、
個別のドメイン内でユーザの行動を、前記個別のドメインと関連付けられる業務実施データに基づいてモデル化するよう構成される、モデル化機構と、
少なくとも１人の特異なユーザを、前記複数ドメインのモデル化されたユーザ行動に基づいて検出するよう構成される、異常性検出機構と、
を備える、コンピュータシステム。
【請求項２】
前記の複数のドメインは、
ログオンドメインと、
電子メールドメインと、
ハイパーテキスト転送プロトコル（ＨＴＴＰ）ドメインと、
ファイルドメインと、
デバイスドメインと、
のうちの１つ以上を含む、請求項１に記載のコンピュータシステム。
【請求項３】
前記個別のドメイン内で前記ユーザ行動をモデル化する一方で、前記モデル化機構は、
前記複数のユーザの特徴ベクトルを、前記個別のドメインと関連付けられる前記業務実施データに基づいて作成し、および、
クラスタ化アルゴリズムを前記特徴ベクトルに適用し、ユーザのサブセットは第１のクラスタにクラスタ化される、
よう構成される、請求項１に記載のコンピュータシステム。
【請求項４】
第２のドメイン内で個別のユーザと関連付けられる異常性スコアを、前記ユーザが、ユーザの前記サブセット内で他のユーザがクラスタ化される第２のクラスタにクラスタ化される確率に基づいて算出するよう構成される、異常性スコア算出器をさらに備える、請求項３に記載のコンピュータシステム。
【請求項５】
個別のドメイン内で前記ユーザ行動をモデル化する一方で、前記モデル化機構は、前記個別のドメイン内でユーザを、時間インスタンスと関連付けられる業務実施データに基づいてクラスタ化することにより、前記個別のドメイン内で前記ユーザ行動の変化をモデル化するよう、さらに構成される、請求項１に記載のコンピュータシステム。
【請求項６】
前記ユーザ行動の変化をモデル化する一方で、前記モデル化機構は、時間インスタンスでの第１のクラスタから、後続の時間インスタンスでの第２のクラスタへのユーザ遷移の確率を算出するよう、さらに構成される、請求項５に記載のコンピュータシステム。
【請求項７】
前記少なくとも１人の特異なユーザを検出する一方で、前記異常性検出機構は、前記複数のドメインの前記少なくとも１人の異常性ユーザと関連付けられる、異常性スコアの加重和を算出するよう構成される、請求項１に記載のコンピュータシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、一般的には、悪意ある内部者の検出に関する。より詳細には、本開示は、行動変化および一貫性をモデル化することにより、悪意ある内部者を検出するシステムに関する。
【背景技術】
【０００２】
悪意ある内部者の検出は、会社または政府機関など、大きな組織内にいる内部者により引き起こされる悲惨な事件を防ぐのに非常に重要な役割を果たす。個人の特異な行動を検出することにより、組織は、個人が組織または社会全般に損害を与える可能性のある罪を犯さないよう、介入または防止してもよい。例えば、諜報機関は従業員の行動を監視し、特定の人物が、ある政府政策に対する不満の兆候を見せている可能性があることに気付く場合がある。その人物が、例えば内密の政府文書など、機密情報にアクセスするのを防ぐなどして、早期介入により、その人物が機密情報を外部者に漏洩することを防止してもよい。検出された異常性は、多くの場合、さらなる調査を行う分析者に提示される。
【発明の概要】
【課題を解決するための手段】
【０００３】
本発明の１つの実施形態は、異常性を特定するシステムを提供する。動作中、システムは、複数のユーザと関連付けられる業務実施データを取得する。業務実施データは、複数のユーザイベントを含む。さらに、システムは、業務実施データをユーザイベントの種類に基づいて複数のドメインに分類し、個別のドメインに関連付けられる業務実施データに基づいて、個別のドメイン内でユーザ行動をモデル化し、および、複数ドメインのモデル化されたユーザ行動に基づいて、少なくとも１人の特異なユーザを特定する。
【０００４】
本実施形態の変形において、複数のドメインは、ログオンドメイン、電子メールドメイン、ハイパーテキスト転送プロトコル（ＨＴＴＰ）ドメイン、ファイルドメイン、およびデバイスドメインのうちの１つ以上を含む。
【０００５】
本実施形態の変形において、個別のドメイン内でユーザ行動をモデル化することは、個別のドメインと関連付けられる業務実施データに基づいて、複数のユーザの特徴ベクトルを作成して、クラスタ化アルゴリズムを特徴ベクトルに適用することに関与し、ここでユーザのサブセットは、第１のクラスタにクラスタ化される。
【０００６】
さらなる変形において、システムは、ユーザが、ユーザのサブセット内で他のユーザがクラスタ化される第２のクラスタにクラスタ化される確率に基づいて、第２のドメイン内で個別のユーザに関連付けられる異常性スコアを、さらに算出する。
【０００７】
本実施形態の変形において、個別のドメイン内でユーザ行動をモデル化することは、時間インスタンスと関連付けられる業務実施データに基づいて、個別のドメイン内でユーザをクラスタ化することにより、個別のドメイン内でユーザ行動の変化をモデル化することに、さらに関与する。
【０００８】
さらなる変形において、ユーザ行動の変化をモデル化することは、ある時間インスタンスでの第１のクラスタから、後続の時間インスタンスでの第２のクラスタまでの、ユーザ遷移の確率を算出することに、さらに関与する。
【０００９】
本実施形態の変形において、少なくとも１人の特異なユーザを特定することは、複数のドメインから少なくとも１人の特異なユーザに関連付けられる異常性スコアの加重和を算出することに関与する。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明の実施形態にしたがって、例示的なコンピューティング環境を図示する図を提示する。
【図２】図２は、独立型異常性および調和型異常性の視覚的な実例を提供する図を提示する。
【図３】図３は、本発明の実施形態にしたがって、マルチドメイン異常性検出のプロセスを図示するフローチャートを提示する。
【図４】図４は、本発明の実施形態にしたがって、検出されたマルチドメインの不一致の例示的なシナリオを図示する図を提示する。
【図５】図５は、本発明の実施形態にしたがって、複数ドメインの異常性スコアを統合するアルゴリズムのための疑似コードを図示する図を提示する。
【図６】図６は、本発明の実施形態にしたがって、一時的不一致を検出するプロセスを図示するフローチャートを提示する。
【図７】図７は、本発明の実施形態にしたがって、異常性検出フレームワークの高水準記述を図示する図を提示する。
【図８】図８は、本発明の１つの実施形態にしたがって、マルチドメインの一時的異常性検出のための例示的なコンピュータシステムを図示する。
【発明を実施するための形態】
【００１１】
図において、同様の参照番号は、図の同じ要素を指す。
【００１２】
以下の記述は、当業者の任意の人物が、実施形態を作成および使用できるように提示され、特定用途およびその要件を背景に提供される。開示される実施形態に対する様々な変更が当業者に容易に明らかになり、本明細書に規定される一般的な原理は、本開示の精神および範囲から逸脱せずに、他の実施形態および用途に適用されてもよい。したがって、本発明は、示される実施形態に限定されず、本明細書に開示される原理および特徴と一致する最も広い範囲に準じる。
【００１３】
本発明の実施形態は、多数の業務実施データに基づいて、悪意ある内部者を検出する解決策を提供する。より詳細には、システムはユーザの行動を監視し、２種類の特異な活動を検出する。すなわち、調和型異常性（悪意ある内部者が、自分が属さない群と同様に行動を試みる）、および、異常変化型異常性（悪意ある内部者が、仲間の行動変化と異なる行動の変化を見せる）である。ユーザの活動は異なるドメインに分割され、各ドメインは、ドメイン内での活動を表す特徴に基づいてモデル化される。動作中、システムはユーザの活動を観察し、各ドメインにおいてユーザの活動に基づいて、ユーザを異なる仲間の群にクラスタ化する。システムは、ユーザの行動変化を仲間の行動変化と比較することにより、異常行動変化を検出する。さらに、システムは、経時的にすべてのドメインにわたってユーザの仲間の群を監視することにより、ユーザの仲間−群の不一致を検出し得る。
【００１４】
悪意ある内部者は、情報セキュリティに大きな脅威をもたらす。内部情報へのアクセス権が与えられた従業員は、機密情報を外部者へ漏洩することにより、または、妨害動作を行うことにより、組織に損失をもたらす可能性がある。特異な行動の検出は、損害が起こる前に、潜在的な脅威を拡散することが可能な、潜在的な悪意ある内部者を特定するのに重要な役割を果たす。特異な行動を検出するために、多くの手法が、ログオン／オフ、ウェブサイトへのアクセス、電子メールの送受信、外部デバイスまたはファイルへのアクセスなど、会社支給または個人のコンピュータ上の、ユーザの様々な業務関連活動を含み得る、容易に利用可能な業務実施データを使用する。各種の活動は、各活動の、より詳細な説明を提供し得る、複数の属性を含んでもよい。例えば、ログオン活動は「業務時間外のログオン回数」および「非使用者ＰＣからのログオン回数」などの属性を含んでもよく、電子メール受信活動は、「受信者の数」および「電子メールの数」などの属性を含んでもよい。
【００１５】
本明細書における「コンピュータ」という用語は、ワークステーション、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、スマートフォン、携帯情報端末（ＰＤＡ）などを含むが、それらに限定されない、様々な種類のコンピューティングデバイスを指すよう使用されてよいことに留意されたい。
【００１６】
コンピュータの普及、特にモバイルデバイスの普及により、および、それらのコンピュータ上で起動するアプリケーションの多様性により、業務実施データは、膨大、多様、および異質になる。異なる分類のデータは、多くの場合、大きく異なる行動を表し、異なる処理および分析技術が必要となる。異なる分類のデータを統合することは、技術的に困難であり得る。例えば、あるモデルは、異なる分類の異なる特徴ベクトルを単一の特徴ベクトルに連結させるよう試みてもよい。しかしながら、異なる分類の特徴は異なる範囲または尺度を有していてもよいため、このような手法は機能しない可能性がある。正しい尺度が欠如すると、モデルは、異なる種類の活動を識別することができなくなり、モデルが異なる活動種類に関する結論を適切に取り扱う能力、および導き出す能力が、制限される。加えて、多数の特徴は、過剰適合または過度のモデル複雑性に起因して、モデルの正確性を損なう可能性があり、性能劣化および拡張性の問題を導き得る。
【００１７】
そのような問題を克服するために、本発明の一部の実施形態において、異なる種類の業務実施データ（または、異なる種類のユーザ活動）は、ドメインの特徴の独立集合として取り扱われる、各活動の種類に関連付けられる属性を伴って、異なるドメインに分類される。例えば、ログオン／オフ活動に関連付けられる属性は、ログオン回数、ログオンしたコンピュータの数、業務時間外のログオン回数、専用コンピュータでのログオン回数、および、他の従業員の専用コンピュータでのログオン回数など、を含んでもよい。これらの属性は、ログオン／ログオフドメインの特徴集合に含まれ得る。属性が各ドメインに規定されると、異常性検出システムは、各ドメインを独立的に取り扱う、ドメインごとのモジュラー手法を使用する。
【００１８】
モジュラー手法は、ドメインごとのクラスタ化能力、ドメインごとの学習能力、ドメインごとのモデル化および分析能力、新規データに対する適応能力、高度な拡張性、複数ドメインからの情報を融合する能力、および、グローバルなドメイン間モデルを確立する能力を含むが、それらに限定されない、複数の利点を提供し得る。
【００１９】
一部の実施形態において、業務実施データは、ログオンドメイン、ＨＴＴＰドメイン、電子メール送信ドメイン、電子メール受信ドメイン、デバイスドメイン、およびファイルドメインを含む、６つのドメインに分割される。ログオンドメインは、ログオンおよびログオフイベントを含む。ログオンドメインに関連付けられる特徴集合は、ログオン回数、ログオン活動を行ったコンピュータの数、業務時間外のログオン回数、ユーザの専用コンピュータでのログオン回数、他の従業員の専用コンピュータでのログオン回数などの特徴を含んでもよい。ＨＴＴＰドメインは、ウェブ閲覧またはアップロード／ダウンロードなど、ＨＴＴＰ（ハイパーテキスト転送プロトコル）アクセスイベントを含む。ＨＴＴＰドメインに関連付けられる特徴集合は、ウェブ訪問数、ウェブ訪問したコンピュータの数、訪問された統一資源ロケータ（ＵＲＬ）の数、業務時間外のウェブ訪問数、他の従業員の専用コンピュータから訪問されたＵＲＬの数などの特徴を含んでもよい。電子メール送信ドメインは、電子メール送信イベントを含む。電子メール送信ドメインと関連付けられる特徴集合は、電子メールの数、個別の受信者の数、内部の電子メール送信数、業務時間外に送信された電子メールの数、添付ファイル付きで送信された電子メールの数、他の従業員専用のコンピュータから送信された電子メールの数などの特徴を含んでもよい。電子メール受信ドメインは、電子メール受信イベントを含む。電子メール受信ドメインに関連付けられる特徴集合は、電子メール送信ドメインに関連付けられるものと同様である。一部の実施形態において、電子メール送信ドメインおよび電子メール受信ドメインは、統合されて電子メールドメインを形成してもよい。デバイスドメインは、ＵＳＢドライブまたはリムーバブルハードディスクなどの、リムーバブルデバイスの使用に関連するイベントを含む。デバイスドメインに関連付けられる特徴集合は、デバイスアクセスの数、デバイスアクセスを行ったコンピュータの数、業務時間外のデバイスアクセスの数、ユーザの専用コンピュータでのデバイスアクセスの数、他の従業員の専用コンピュータでのデバイスアクセスの数などの特徴を含んでもよい。ファイルドメインは、ファイルの作成、複写、移動、変更、名前の変更、および削除など、ファイルアクセスイベントを含む。ファイルドメインに関連付けられる特徴集合は、ファイルアクセスの数、ファイルアクセスを行ったコンピュータの数、個別のファイルの数、業務時間外のファイルアクセスの数、ユーザの専用コンピュータでのファイルアクセスの数、他の従業員の専用コンピュータでのファイルアクセスの数などの特徴を含み得る。
【００２０】
既存の異常性検出手法は、多くの場合、業務実施データの不均一性を無視して、統計的な異常値に焦点を当てるのみである。例えば、ある技術では、業務実施データ全体の確率分布を規定し、異常なほど小さい確率のデータ点を、異常性または異常値と分類する。異常性は各ドメインにおいて別々に特定され、特別に統合されることがある（すなわち、データから自動的に学習されるのではなく、手動で判定される）。例えば、１つのドメインのみで異常値であるユーザは、無視される恐れがあり、または、そのようなドメインで最も極端な異常性スコアを有するため特異であるとして警告される恐れがある。
【００２１】
これらの技術は別々のドメインにおいて異常値の検出に成功し得るが、一方で制限がある。特に、任意のドメインにおいて異常値でないユーザは、悪意あるユーザであっても、これらの技術に基づいて異常値とラベル付けされることはない。例えば、ユーザが複数の機器に毎日ログオンする場合を考える。このような行動は、ユーザが、複数の機器に毎日ログオンして、システム管理の件について電子メールを送信すると考えられる、システム管理者である場合、正常である。同じ行動は、ユーザが、通常の行動では単一の機器にログオンしてソフトウェア開発に関する電子メールを送信する、ソフトウェア技術者である場合、異常である。しかしながら、前述の技術を使用すると、この行動は決して特異であるとしてラベル付けされることはない。なぜならば、このような技術は、電子メールドメインとは別にログオンドメインを検査するため、複数機器へのログオンを異常値として取り扱わないからである。同様に、電子メールドメインのデータが検査される場合、異常性は検出されない。したがって、複数機器に日常的にログインして脆弱なデータを検索する悪意あるソフトウェア技術者は、各ドメインが別々に分析される場合、検出されないままである。
【００２２】
このような問題を解決するために、本発明の一部の実施形態は、利用可能なドメインの集合全体のグローバルモデルを構築し、グローバルモデルの異常値を見つけ出す。先に記述したように、グローバルモデルを確立する際、異なるドメインは特徴作成（入力処理）段階で別々のままであることに留意されたい。複数ドメインが統合されるのは、モデル化（学習および推論）およびスコア化（出力／決定）段階である。このモデル化戦略には、２つの利点がある。第１に、複数ドメインの異常値スコアは、特別な手法で統合されるのではなく、データ駆動手法で統合されることである。第２に、この戦略により、任意の単一ドメインにおいて特異であることによるのではない、特異な行動の検出が可能になることである。
【００２３】
図１は、本発明の実施形態にしたがって、例示的なコンピューティング環境を図示する図を提示する。コンピューティング環境１００は、一般的に、マイクロプロセッサ、メインフレームコンピュータ、デジタル信号プロセッサ、携帯コンピューティングデバイス、個人用整理手帳、デバイスコントローラ、および電化製品内の計算エンジンに基づくコンピュータシステムを含むが、それらに限定されない、任意の種類のコンピュータシステムを含み得る。図１に図示される例において、コンピューティング環境１００は、ネットワーク１０２、多数のクライアント機器１０４、１０６、１０８、および１１０、業務実施データベース１１２、および異常性検出サーバ１１４を含む。
【００２４】
ネットワーク１０２は、一般的に、コンピューティングノードと結合可能な任意の種類の有線または無線通信経路を含み得る。本ネットワークは、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、企業のイントラネット、仮想私設ネットワーク（ＶＰＮ）、および／またはネットワークの組み合わせを含むが、それらに限定されない。本発明の１つの実施形態において、ネットワーク１０２はインターネットを含む。さらに、ネットワーク１０２は、グローバル・システム・フォー・モバイル・コミュニケーションズ（ＧＳＭ（登録商標））ネットワークまたはロング・ターム・エボリューション（ＬＴＥ）ネットワークなど、電話機およびセルラーネットワークを含んでもよい。
【００２５】
クライアント機器１０４〜１１０は、一般的に、計算能力のあるネットワーク上の任意のノードおよびネットワーク全域で通信を行う機構を含み得る。ユーザ１１６および１１８などの一般ユーザは、日常活動をクライアント機器上で行う。クライアントは、ワークステーション、パーソナルコンピュータ（ＰＣ）、ラップトップコンピュータ、タブレットコンピュータ、スマートフォン、および／または、ネットワーク接続性を伴う他の電子コンピューティングデバイスを含み得るが、それらに限定されない。さらに、クライアント機器は、有線および／または無線接続を使用してネットワーク１０２と結合されてもよい。１つの実施形態において、各クライアント機器は、一般ユーザにより行われる活動を記録するよう構成される機構を含む。
【００２６】
業務実施データベース１１２は、一般的に、不揮発性記憶装置に電気的に記録された活動に関連付けられるデータを保存するための任意の種類のシステムを含み得る。本データベースは、フラッシュメモリおよび／またはバッテリバックアップメモリに基づく記憶デバイスだけでなく、磁気、光、および光磁気記憶デバイスに基づくシステムも含むが、それらに限定されない。１つの実施形態において、クライアント機器１０４〜１１０は、記録された業務実施データを、業務実施データベース１１２にネットワーク１０２を介して送信する。
【００２７】
異常性検出サーバ１１４は、異常性検出アルゴリズムを起動するための機構を有する任意の計算ノードを含む。加えて、異常性検出サーバ１１４は、異常行動のある個人を特定する嫌疑リストを出力することができる。一部の実施形態において、異常性検出サーバ１１４は、異常性スコアに基づいて、すべてのユーザをランク付けするリストを出力することができる。セキュリティ分析者はリストを閲覧して、さらに検査する必要がある個人を判定し得る。
【００２８】
本発明の実施形態は、３種類の異常性に基づいて悪意ある内部者を検出することができる解決策を提供する。すなわち、独立型異常性、調和型異常性、および一時的な不一致に起因する異常性である。図２は、独立型異常性および調和型異常性の視覚的な実例を提供する図を提示する。図２において、従業員（各々がデータ点であり、円により描写され得る）は、仕事の役割に基づいてクラスタ化される。例えば、塗り潰した円２１２により描写されるソフトウェア技術者などのソフトウェア技術者は、クラスタ２０２として一緒にクラスタ化され、塗り潰していない円２１４により描写されるシステム管理者などのシステム管理者は、クラスタ２０４として一緒にクラスタ化され、斜線の円２１６により描写される人材部（ＨＲ）員などのＨＲ部の職員は、クラスタ２０６として一緒にクラスタ化される。プライバシーの目的により、業務実施データは、典型的には仕事の役割と関連する情報を含まず、機器学習技術は、多くの場合、業務実施データの特徴空間において従業員をクラスタ化するために使用される。一部の実施形態において、クラスタ化は、単一ドメインにおいて行われ得る。例えば、図２のクラスタ化の結果は、ログオンドメインにおいて取得され得る。
【００２９】
図２から、データ点２１８およびデータ点２２０など、多くのデータ点は、任意のクラスタに分類されないことが分かる。これらのデータ点は統計的な異常値であり、独立型異常性を表す。この種類の異常性は、多くの場合、従来の手法により検出され得る。さらに、図２は、データ点が、仕事の役割と一致しないクラスタにクラスタ化されることを明示する。例えば、データ点２２２の仕事の役割は、ソフトウェア技術者である。しかしながら、このデータ点は、主にシステム管理者からなるクラスタ２０４にクラスタ化される。同様に、データ点２２４はＨＲ職員であり、そのデータ点は、主にソフトウェア技術者からなるクラスタ２０２にクラスタ化される。データ点２２２および２２４は調和型異常性を表し、多くの場合、従来の手法では無視される。３つ目の種類の異常性である一時的異常性は、図２に示されない。一時的異常性は、一定期間にわたって通常と異なるパターンを見せる異常性である。
【００３０】
調和型異常性を検出するために、システムは、すべてのドメインにおいて業務実施データを分析する必要がある。しかしながら、データ集合のサイズが大きいために推論が困難になり得る、すべてのドメインのすべての特徴を含む単一トップダウンモデルを有する代わりに、ドメインごとに分割されたモデルが構築される。各ドメインは最初に別々に分析され、その後、システムは様々なドメイン間の相互依存を分析する。一部の実施形態において、異常性検出システムは、２段階のモデル化プロセスを使用し得る。第１段階では、各々の個別ドメイン内に単一ドメインモデルを構築する。単一ドメインモデルの構築は、対応するドメインにおいてモデルパラメータの最尤推定値（ＭＬＥ）を取得することを含み得ることに留意されたい。さらなる実施形態において、単一ドメインモデルは、ガウス混合モデル（ＧＭＭ）に基づいており、ここで、各ドメイン内で各ユーザが属するクラスタごとに最大事後確率（ＭＡＰ）が取得される。第２段階では、グローバルモデルにおける単一ドメインモデルパラメータを、パラメータが固定されているかのように使用する。各ドメインのデータが比較的に明確である場合（すなわち、各単一ドメインモデルが十分な正確性で決定され得る場合）、正確性の損失は小さいことに留意されたい。一部の実施形態において、グローバルドメイン間共通モデルは、ＭＡＰクラスタ指標に基づく。最終的に、複数のドメインからの情報は、出力を生成するために結合される。
【００３１】
マルチドメイン異常性検出システムは、特異なユーザが、複数のドメイン全域で不一致行動を示すユーザであるという前提に基づいて、特異なユーザを検出する。一般的に、ユーザの活動は、任意のドメインにおいてユーザの仕事の役割を反映し、同様の仕事の役割を持つユーザは、各ドメイン内で同様の行動を示すものである。図２に示されるように、ソフトウェア技術者（塗り潰された円）は同様の行動を表し、一緒にクラスタ化される。加えて、各ユーザは、複数ドメインにわたって同じ集合のユーザのクラスタに属するべきである。例えば、ウェブ閲覧活動に基づいて、「ＨＴＴＰ」ドメイン内で技術者と同様に行動をする（したがって、同じクラスタに属する）ユーザは、「ログオン」ドメイン内でも技術者と同じクラスタに属するべきである。このようなユーザが「ログオン」ドメインにおいて異なるクラスタ（つまり、システム管理者のクラスタ）に属する場合、技術者が頻繁に複数機器にログオンするという、疑わしい行動を示している可能性がある。このようなドメイン間の行動不一致は、異常性を特定するために使用され得る。一部の実施形態において、この問題は、（クラスタ指標により特定される）クラスタが特徴として使用される、分類タスクとして述べられる。システムは、すべての他のドメインにおけるクラスタ指標に基づいて、１つのドメインにおけるユーザのクラスタを予測し得る。各ドメインにおけるユーザのクラスタの予測正確性は、ドメイン全体の行動一致性を反映する。
【００３２】
図３は、本発明の実施形態にしたがって、マルチドメイン異常性検出のプロセスを図示するフローチャートを提示する。動作中、マルチドメイン異常性検出システムは、大企業または政府機関の従業員である場合が多い、多数のユーザの膨大な業務実施データを一定期間にわたって受信する（動作３０２）。業務実施データに記録される各イベントは、ユーザＩＤ、コンピュータＩＤ、（ログオン、ログオフ、ファイルダウンロード、ファイルアップロード、ウェブ閲覧などを特定する）活動コード、およびタイムスタンプなどの補助情報でタグ付けされることに留意されたい。その後、業務実施データは、複数ドメインに分類される（動作３０４）。一部の実施形態において、ドメインは、ログオンドメイン、ＨＴＴＰドメイン、電子メール送信／受信ドメイン、ファイルドメイン、およびデバイスドメインを含んでもよいが、それらに限定されない。各ドメイン内で、システムは、ドメイン属性にしたがって、タグの集合を未加工のイベントと関連付ける（動作３０６）。例えば、各イベントがタグ付けされ、イベントが通常業務時間内に起こるのか、または業務時間外に起こるのか、を示してもよい。または、イベントがタグ付けされて、イベントがユーザ自身の専用コンピュータ上で起こるのか、別の誰かの専用コンピュータ上で起こるのか、または共有コンピュータ上で起こるのか、を示してもよい。このような情報は、悪意あるユーザが、多くの場合、同僚から情報を盗むか、または時間外に不正な活動を行う必要があるため、極めて重要であることに留意されたい。加えて、組織の外部の活動に関連するイベント（例えば、外部アドレスとのメール送受信、および外部のＵＲＬとの間のファイルアップロード／ダウンロード）がラベル化される。さらに、ドメイン特有タグが、未加工のイベントに適用され得る。例えば、電子メールドメインでは、電子メールが添付ファイルを含むかを示すために、タグが適用される。実際の設定では、ユーザは多数のイベントを日ごとに蓄積し得ることに留意されたい。例えば、４６００人のユーザを伴うデータ集合は、一日に約８千９百万件の記録を有する可能性がある。
【００３３】
続いて、システムは、各ドメインの特徴ベクトルを作成し（動作３０８）、各ドメイン内で作成された特徴ベクトルに基づいて、ユーザをクラスタ化する（動作３１０）。各ドメインの特徴集合は、ドメイン特有の属性を含むことに留意されたい。ユーザの仕事の役割がシステムにとって未知であることを考慮して、このようなクラスタ化は、これらの隠された仕事の役割のモデル化を提供する。先に述べたように、同様の仕事の役割を有するユーザは同様に行動する傾向があり、したがって、各ドメイン内で同じクラスタに属することになる。一部の実施形態において、システムは、ｋ平均クラスタ化技術を特徴ベクトルに適用する。さらに、他のクラスタ化技術も可能である。先の段落に記載されるように、単一ドメインモデルは、ガウス混合モデル化（ＧＭＭ）に基づき得る。このドメインごとの学習スキームの利点は、学習の変化に起因する低レベルのエラーを伴う、より簡潔なモデルを提供することにより、モデルの正確性が向上して、過剰適合のリスクが削減されることであることに留意されたい。さらに、ドメインごとの学習スキームは、モデルの解釈の可能性を向上させる。さらに、各活動ドメインを別々に取り扱うことで、異なる種類のモデルが異なる活動ドメインを適切に使用し得るため、より高い柔軟性が提供される。例えば、一部のモデルは、特徴の関連性について、ある推論を作成する。このような推論は、一部のドメインにおいて妨害され得るが、すべてのドメインにおいて妨害されるわけではない。
【００３４】
ドメインごとのクラスタ化に成功すると、システムは、特定のドメインにおける特定のユーザの予測可能性を算出し、マルチドメイン不一致を検出する（動作３１２）。各ユーザｕの単一ドメインモデルの最大事後確率（ＭＡＰ）クラスタ指標は、クラスタベクトルｃｕを形成し、ここで、ｃｕｉはドメインｉにおけるユーザｕのＭＡＰクラスタ指標である。各ユーザｕのドメインｉにおける行動は、クラスタ指標ｃｕｉが他のドメインのクラスタ指標｛ｃｕｊ｝ｊ≠ｉから予測可能である場合、他のドメインと一致する。最も簡潔である場合、システムは他のユーザ（ｗ≠ｕ）のクラスタ指標を使用して、｛ｃｗｊ｝ｊ≠ｉからｃｗｉへのマッピングを学習してもよく、その後、このマッピングがユーザｕを一般的に扱うかチェックしてもよい。一部の実施形態において、対象ドメインにおけるユーザのクラスタ指標の予測は、分類器が１つのドメインを除くすべてのドメインからの情報をクラスタ化することで訓練され、残りのドメインまたは対象ドメインのクラスタ情報を予測する、マルチラベル分類タスクとして述べられ得る。
【００３５】
図４は、本発明の実施形態にしたがって、検出されたマルチドメイン不一致の例示的なシナリオを図示する図を提示する。図４において、テーブル４００は、ユーザ１〜７のドメインごとのクラスタ化の結果をリスト化したものであり、各セルが、あるドメインのあるユーザのクラスタ指標を示す。例えば、ログオンドメインにおいて、ユーザ１はクラスタ１にクラスタ化され、デバイスドメインにおいて、ユーザ１はクラスタ３にクラスタ化され、ファイルドメインにおいて、ユーザ１はクラスタ４にクラスタ化される、といった具合である。その後、システムは、最初の３つのドメインであるログオンドメイン、デバイスドメイン、およびファイルドメインからのクラスタ情報を使用して、分類器を訓練し得る。図４から、ユーザ２、４、５、６、および７は、３つのドメインにおいて同じクラスタに属すると言える。その後、システムは、ＨＴＴＰドメインにおいて、これらのユーザのクラスタ指標の予測を試み得る。ユーザ２、４、５、および６は、ＨＴＴＰドメインにおいて、すべてクラスタ１である。したがって、システムは、ユーザ７がＨＴＴＰドメインにおいても、クラスタ１であるべきと予測してもよい。しかしながら、図４に示される例において、ユーザ７はＨＴＴＰドメインにおいて、クラスタ２にクラスタ化されている。その後、システムは、ＨＴＴＰドメインにおいて、ユーザ７のドメイン間不一致を示し、ユーザ７は、ＨＴＴＰドメインにおいて異常性としてラベル付けされ得る。一部の実施形態において、システムは、異常性スコアをＨＴＴＰドメインのユーザ７に割り当てる。異常性スコアは、対象ドメイン（この例においては、ＨＴＴＰドメイン）におけるすべての他ユーザに対する全体の予測正確性に基づいて、判定され得ることに留意されたい。これは、ドメインの予測が一般的に困難である際に、不適当な予測が大きく不利に働くべきではないという発想による。対照的に、非常に予測しやすいドメインでは、不適当な予測は非常に疑わしくなる。図４に示される例において、ＨＴＴＰドメインにおいてすべての他ユーザのクラスタ指標が正確に予測され、結果として、ユーザ７に高い異常性スコアが割り当てられ得る。異常性スコアがドメインごとに計算されたとしても、スコアは他のドメインにより通知されるため、すべてのドメインの情報を考慮し得ることに留意されたい。
【００３６】
マルチドメイン不一致を検出すると、システムは様々なモデルを確立して、対象ドメインにおけるクラスタ指標の予測可能性を測定してもよい。一部の実施形態において、離散モデル、ハイブリッドモデル、および連続モデルの３つの異なるモデルが使用され、予測可能性を測定し得る。これらの３つのモデル間の相違は、学習および評価のための特徴として使用されるクラスタ情報の精度にある。
【００３７】
例えば、離散モデルは個別の特徴を使用して、個別の評価結果を提供する。より詳細には、離散モデルは、観察ドメインのクラスタラベル（指標）を学習のための特徴として使用し、クラスタラベルを予測してユーザの予測可能性を評価する。予測可能性は、予測と観察との間のハミング距離として測定される（すなわち、予測が正しければ０、そうでなければ１）。ハイブリッドモデルは、観察ドメインのクラスタラベルを学習のための特徴として使用し、クラスタラベルを予測してユーザの予測可能性を評価する。しかしながら、離散モデルとは異なり、ハイブリッドモデルにおいては、真のクラスタが予測されるか否かにのみ基づいて評価されるのではなく、代わりに、真のクラスタがどのように予測されるかに基づいて評価される。つまり、本質において、密度推定の問題である。予測可能性は、仲間のクラスタ指標を前提として、１から、真のクラスタ指標を観察する見込みを引いたものとして測定される。言い換えれば、ハイブリッドモデルは個別の特徴を使用して、連続した評価結果を提供する。一方で、連続モデルは連続した特徴を使用して、連続した評価結果を提供する。より詳細には、連続モデルは、クラスタ確率のベクトルを特徴として使用して、さらに、対象ドメインのクラスタ確率ベクトルを予測する。
【００３８】
図３に戻ると、ドメイン予測可能性が、前述のマルチドメイン相互検証技術を使用してドメインごとに算出されると、システムは、複数ドメインまたはソースの異常性スコアを統合する（動作３１４）。一部の実施形態において、異常性スコアは、ＴＦ／ＩＤＦ（語出現頻度／逆文書頻度）値が情報検索およびテキストマイニングで使用される手法と類似して算出される加重和として、統合される。特に、様々なドメインにより提供される情報の複数ソースから引き出される、各ユーザの複数の異常性スコアを前提として、それらのスコアを各ユーザの最終スコアに統合することが目的である。先に述べたように、一般的にドメインの予測が困難である場合、不適当な予測が大きく不利に働くべきではなく、そのようなドメインには、より小さな重みが割り当てられるべきである。
【００３９】
図５は、本発明の実施形態にしたがって、複数ドメインの異常性スコアを統合するアルゴリズムのための疑似コードを図示する図を提示する。ｎユーザの各々の、ｍソースのｍスコアを前提とすると、融合アルゴリズムは２段階で進む。第１段階では、各ソースｓの重みを算出して、ドメインまたはソースの予測可能性における差異に反映させる。ドメインの予測可能性が高いほど、大きな重みが割り当てられ、その逆も成り立つ。一部の実施形態において、加重関数（ｐｓ）は、すべてのユーザの誤った予測スコアの総和に対する、ユーザ数の比率の対数として算出される。第２段階では、各ユーザｉに対して、各ソースｓの重み付き異常性スコアａを計算し、その後、各ソースの重み付き異常性スコアを統合して、最終的な異常性スコアｆを計算する。その後、システムは、統合異常性スコアを出力する（動作３１６）。一部の実施形態において、システムは、異常性スコアに基づいて、ユーザのランクリストを生成してもよい。
【００４０】
前述のマルチドメイン相互検証技術を使用して検出され得る調和型異常性に加えて、さらに、一次的不一致を表す異常性を検出することが好ましい。特定の行動が疑わしくない場合であっても、まれな行動変化が起こり得ることに留意されたい。従来の異常性検出手法は、多くの場合、過去の行動と比較して、ユーザの行動の突然の変化に対応する、一時的異常性を検出することに依存する。例えば、ユーザが業務時間外に仕事を突然し始めることが多い場合、従来の手法により異常性としてラベル付けされる可能性がある。しかしながら、このような行動変化は、ユーザが締め切りに直面している場合、または、新たな責任を担う場合、正常であってよい。したがって、ユーザを独立的に分析する従来の手法は、高い誤検出率を有する場合があり、調査コストが増加して、実際の悪意ある内部者から注意が逸れる可能性がある。
【００４１】
悪意のない種類の行動変化を行うユーザを誤って警告しないようにするために、一部の実施形態において、システムは、集団（例えば、同様の仕事の役割を有するユーザ）の同様のサブセットの活動変化をモデル化し、特定のユーザが、ユーザのサブ集団内で最も起こりやすい変化パターンと、どれだけ一致するか評価する。言い換えれば、ユーザが疑わしいか決定するために、システムは、各ユーザの活動変化と仲間群の活動変化とを比較する。
【００４２】
一時的不一致を検出することの問題点が、以下に定義され得る。特異なユーザは、仲間と比較して、通常と異なる行動の変化を表すユーザである。直感では、ユーザ活動は任意のドメインにおいてユーザの仕事の役割に反映されるべきであり、同様の仕事の役割を有するユーザは、経時的に各ドメイン内で同様な行動変化を表すべきである。仲間は、同様の時間の各々で同様の行動の変化を表すとは期待されないが、長い期間全体では期待される。一部の実施形態において、モデルは、仲間が同様の変化を経験すると期待されると見なす。しかしながら、これらの変化は、必ずしも同時に起こらなくてもよい。
【００４３】
調和型異常性を検出する手法と類似して、ここでユーザは活動に基づいて、さらにクラスタ化され、それにより、ユーザが割り当てられるクラスタは、このユーザが表す行動の種類を示す。加えて、ユーザ行動の変化は、このユーザが割り当てられるクラスタの変化により示される。比較的に長期間にわたって、仲間は、クラスタの同じサブセット間を遷移すると期待される。例えば、技術者は、ログオンドメインにおいて、クラスタ２と４との間での遷移が見られ、電子メールドメインにおいて、クラスタ３、４、および５の間での遷移が見られる。したがって、ログオンドメインにおいて、クラスタ２と５との間を遷移する技術者は、疑わしいと見なされる。この遷移が、技術者の仲間の中で少ないほど、疑わしさが増す。
【００４４】
一時的モデルを構築するために、本発明の一部の実施形態は、時間単位として日を使用し、（多数のイベント記録を含む）業務実施データが（ユーザ，日）記録の中に貯められる。各（ユーザ，日）ペアで、システムは、ドメイン固有属性を使用して各ドメインの特徴ベクトルを作成し得る。
【００４５】
図６は、本発明の実施形態にしたがって、一次的不一致を検出するプロセスを図示するフローチャートを提示する。動作中、システムは、多数の業務実施データを受信して、記録されたイベントをユーザ−日の記録に貯める（動作６０２）。さらに、週または月など、他の時間単位が所望の一時的精度に依存して使用され得る。（ユーザ，日）ペアの各容器において、システムはイベントを異なるドメインに分類し（動作６０４）、ドメインの適切なタグを未加工のイベントに適用し（動作６０６）、その後、各ドメインにおいて（ユーザ，日）ペアの特徴ベクトルを作成する（動作６０８）。動作６０４〜６０８は、本明細書において統合される統計値が、各（ユーザ，日）ペアに関連付けられる業務実施データのために収集されることを除いて、動作３０４〜３０８と類似している。
【００４６】
続いて、システムは、作成された特徴ベクトルに基づいて、ユーザをクラスタ化する（動作６１０）。クラスタ化が特徴に対して期間全体にわたって行われる先の手法とは異なり、ここでは、クラスタ化はユーザの日常行動の特徴に対して行われる。さらに、システムは、各ドメインｄの遷移確率行列Ｑｄを作成する（動作６１２）。一部の実施形態において、システムは、すべてのユーザおよび時間インスタンスにわたって統合される、このような変化の数を数えることにより、各可能クラスタペア（ｃｋ，ｃｍ）間の遷移確率ｑｄ（ｃｋ，ｃｍ）を計算することにより、Ｑｄを計算する。
【００４７】
その後、システムはユーザの行動変化をモデル化し、遷移スコアを算出することにより、各ドメインにおいて一時的異常性を検出する（動作６１４）。行動変化は、各ドメイン内で別々にモデル化されることに留意されたい。各ドメインで、システムは、毎日ユーザが属するクラスタを判定し、その後、日ごとにクラスタ間の遷移の可能性を計算する。例えば、システムは、特定の日にユーザがクラスタ１に属すると判定し、次の日に同じユーザがクラスタ２に移動する可能性が２０％あると判定してもよい。一部の実施形態において、システムは、マルコフモデルを適用してユーザの行動変化をモデル化する。より詳細には、システムは、ユーザ行動を経時的にマルコフ連鎖としてモデル化し、ここで、ユーザは毎日１つのクラスタ（または、状態）に属し、日ごとにクラスタ（状態）間を遷移する。システムは、遷移の総可能性を考慮して、まれな遷移に基づいて通常と異なる変化を検出する。各ユーザにおいて、期間全体にわたりユーザによりなされた、すべての遷移の総可能性は、Ｑｄを使用して計算可能であり、ドメインｄ内での各ユーザｕの遷移スコア
【数１】
2015153428.tif 000003
は、ユーザの総遷移可能性を予測することにより算出され得る。一部の実施形態において、
【数２】
2015153428.tif 000004
は、式、
【数３】
2015153428.tif 000005
として算出され、ここでｐｄ（ｃ０）は、ユーザｕの初期状態である、状態ｃ０である先の確率である。ユーザは遷移スコアに基づいてランク付けされ、遷移スコアが低いほど異常性ランクが高いことに留意されたい。したがって、仲間と比較して、最もまれな遷移を有するユーザは、最も疑わしくなり得る。一部の実施形態において、システムは、最も遷移しそうにないユーザに不利に働き、最もまれな遷移を使用して異常性スコアを計算する。ここで、
【数４】
2015153428.tif 000006
は、式、
【数５】
2015153428.tif 000007
として算出され得る。各ドメイン内でユーザの同じ集合の異常性スコアが取得されると、システムは、異なるドメインのこの情報を統合して、各ユーザの最終スコアを生成する（動作６１６）。一部の実施形態において、最終スコアは、すべてのドメインのユーザの最悪ランク（すなわち、最少遷移スコア）に基づいて計算される。
【数６】
2015153428.tif 000008
したがって、各ユーザの最終ランクは、すべてのドメインにわたって、最も疑わしい指針スコアを反映する。
【００４８】
図７は、本発明の実施形態にしたがって、異常性検出フレームワークの高レベルな記載を図示する図を提示する。図７において、フレームワーク７００は、上部のデータ入力層７０２、中間の単一ドメインモデル化層７０４、および下部のグローバルモデル化層７０６を含む、複数の層を含む。
【００４９】
データ入力層７０２は、集団のために業務実施データ集合を受信することを管理する。一部の実施形態において、データは、従業員の業務実施データが記録された会社からデータパッケージとして受信されてよい。一部の実施形態において、データ入力層７０２は、リアルタイムに業務実施データを記録するよう構成されるサーバと直接的に結合されてもよい。
【００５０】
単一ドメインモデル化層７０４は、分析されるドメインの数に依存して、多数の独立ブランチを含む。図７において、ログオン、ファイル、デバイス、電子メール、およびＨＴＴＰの５つのドメインが、単一ドメインモデル化層７０４に含まれる。データ入力層７０２の業務実施データは、異なるドメインに分類され、各ドメインブランチを介して別々に供給される。各ドメイン内で、特徴抽出およびクラスタ化は、特徴抽出モジュール（例えば、特徴抽出モジュール７０８）およびクラスタ化モジュール（例えば、クラスタ化モジュール７１０）により行われ、ユーザのドメインごとの行動をモデル化する。各ドメイン内で同様に行動するユーザは一緒にクラスタ化され、各ユーザは、各ドメインにおいて属するクラスタを示す、クラスタ指標でクラスタ化される。一部の実施形態において、クラスタ確率のベクトルが使用されて、各ユーザをラベル化する。この層において、各ドメイン内で異常値の異常性が特定され得ることに留意されたい。
【００５１】
グローバルモデル化層７０６はマルチドメイン相互検証を行い、調和型異常性を特定する。一部の実施形態において、各ドメインで、グローバルモデル化層７０６は、１つのドメインを除くすべてのドメインのクラスタラベルを学習のために特徴として使用し、対象ドメインの予測可能性を評価する。加えて、すべてのドメインの評価結果が統合され、統合結果を生成する。マルチドメイン相互検証に加えて、さらに、グローバルモデル化層７０６は、ユーザ間の一時的不一致を検出する。一時的モデルを確立するために、さらに、データ入力層７０２から単一ドメインモデル化層７０４へ移るデータは、期間に基づいて保存されるべきである。精度に依存して、日、週、または月などの期間内で、データは、同じ入れ物に配置され得る。単一ドメインモデル化層７０４において、以下の特徴抽出およびクラスタ化動作は、今度は各入れ物で行われるべきである。その後、グローバルモデル化層７０６は、ユーザが日ごとに、どのようにクラスタ間を遷移するかに基づいて、経時的にユーザの行動変化をモデル化する。最もまれな遷移を伴うユーザは、多くの場合、異常性として特定される。マルチドメイン相互検証の結果および一時的不一致の検出結果に基づいて、グローバルモデル化層７０６は、統計的異常値、調和型異常性、および一時的不一致に起因する異常性を含むが、それらに限定されない、すべての異なる種類の異常性を含んでもよい、嫌疑リストを出力し得る。
【００５２】
ドメインごとの特徴抽出およびクラスタ化を許容することにより、本発明の実施形態はドメインごとの分析が可能になり、したがって、各々の悪意ある活動が検出される理由および方法についての詳細な説明を提供することにより、より高度な推理および明確な結論を導くことができるようになることに留意されたい。これは、単に悪意ある活動を検出することよりも大きな利点を提供する。さらに、ドメインごとの分析により、どの活動ドメインが、どの種類の悪意ある活動を検出し得るか、および、正確さおよび誤り率のレベルはどの程度か、などを含む、ドメインごとの評価が容易になる。加えて、ドメインごとのモデル化は、様々なデータ種類への適用可能性を提供する。膨大なデータを取り扱う場合、典型的には、より多くのデータを受信し続けることになり、これらの追加データは、新しい活動ドメインまたは既存のドメイン内での新しい特徴を含んでもよい。ドメインごとのモジュール性により、システムは、利用可能なデータ集合全体の各段階（データ処理、学習、モデル化、および分析）を必ず繰り返す必要性なしに、分析において新しいデータを適用および含むことができる。言い換えれば、新しいデータは、先のモデルを起動した後に考慮され、その結果は、すべての先の既存ドメインデータで、すべてのモデルを必ず戻す必要性なしに、統合され得る。ドメインごとのモジュール性により、データの処理、モデルの学習および適用、および分析の起動が、各ドメインの別々の機器上で可能となり、それにより、拡張性の問題に対処し、機器性能を向上させる。複数ドメインまたはソースの結果を統合する場合、システムは、各ドメイン出力に別に重みを与える。重み付けは、各ドメインの問題に対する関連性および／または実用性、および、各ドメインで利用可能なデータの品質に基づき得る。さらに、ドメインは、他のドメインとの強い相関が見られる場合、無視され得る。
【００５３】
図８は、本発明の実施形態にしたがって、マルチドメインの一時的異常性検出のための例示的なコンピュータシステムを図示する。１つの実施形態において、コンピュータおよび通信システム８００は、プロセッサ８０２、メモリ８０４、および保存装置８０６を含む。保存装置８０６は、アプリケーション８１０および８１２などの他のアプリケーションと共に、マルチドメインの一時的異常性検出アプリケーション８０８を保存する。動作中、マルチドメインの一時的異常性検出アプリケーション８０８は、保存装置８０６からメモリ８０４へロードされ、その後、プロセッサ８０２により実行される。プログラムを実行する一方で、プロセッサ８０２は、上述の機能を行う。コンピュータおよび通信システム８００は、選択的なディスプレイ８１４、キーボード８１６、およびポインティングデバイス８１８と結合される。
【００５４】
この詳細な説明において記載されるデータ構造およびコードは、典型的に、コンピュータシステムにより使用されるコードおよび／またはデータを保存し得る任意のデバイスおよび／または媒体であってよい、コンピュータ可読保存媒体上に保存される。コンピュータ可読保存媒体は、揮発性メモリ、不揮発性メモリ、ディスクドライブ、磁気テープ、ＣＤ（コンパクトディスク）、ＤＶＤ（デジタル多用途ディスクまたはデジタルビデオディスク）などの磁気および光保存デバイス、または、現段階で既知であるか、または後に開発されるコンピュータ可読媒体を保存可能な他の媒体を含むが、それらに限定されない。
【００５５】
詳細な説明の段落で記載された方法およびプロセスは、上述のように、コンピュータ可読保存媒体に保存し得るコードおよび／またはデータとして具現化され得る。コンピュータシステムが、コンピュータ可読保存媒体上に保存されるコードおよび／またはデータの読み込みおよび実行を行う場合、コンピュータシステムは、データ構造およびコードとして具現化され、コンピュータ可読保存媒体内で保存される方法およびプロセスを行う。
【００５６】
さらに、本明細書に記載される方法およびプロセスは、ハードウェアモジュールまたは装置に含まれ得る。これらのモジュールおよび装置は、特定用途向け集積回路（ＡＳＩＣ）チップ、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、特定のソフトウェアモジュールまたは一部のコードを特定の時間に実行する、専用または共有プロセッサ、および／または、現段階で既知であるか、または後に開発される他のプログラマブル論理デバイスを含んでもよいが、それらに限定されない。ハードウェアモジュールまたは装置が起動されると、その中に含まれる方法およびプロセスが実行される。
【００５７】
様々な実施形態の前述の説明は、図示および説明の目的でのみ、提示されてきた。それらは、本発明を、開示される形態で網羅または限定する意図はない。したがって、多くの変形および変更が、当業者に明らかになるであろう。加えて、上述の開示は、本発明を限定するようには意図されない。
【図１】
2015153428.tif 000009
【図２】
2015153428.tif 000010
【図３】
2015153428.tif 000011
【図４】
2015153428.tif 000012
【図５】
2015153428.tif 000013
【図６】
2015153428.tif 000014
【図７】
2015153428.tif 000015
【図８】
2015153428.tif 000016