(57)【要約】    画像スパムの検出  電子メールのような電子オブジェクト内のスパム画像を検出する方法は、電子オブジェクトから抽出された画像を、非可逆圧縮関数を用いて共通の表現へと圧縮することと、抽出された画像の圧縮形が、既知のスパム画像のコーパスからのいずれかの既知のスパム画像の圧縮形であって、該圧縮形は、前記不可逆圧縮関数を用いて前記共通の表現へと圧縮された既知のスパム画像である圧縮形と一致するか否かを判定することと、を有している。電子オブジェクトから抽出された画像の圧縮形が、既知のスパム画像の圧縮形と一致していることの判定に基づいて、電子オブジェクトは、スパム画像を埋め込まれているという信号を出力される。
2010511211.tif 000002
【特許請求の範囲】
【請求項１】
電子オブジェクト内のスパム画像を検出する方法であって、
前記電子オブジェクト内に埋め込まれた画像を抽出することと、
抽出された前記画像を、不可逆圧縮関数を用いて共通の表現へと圧縮することと、
抽出された前記画像の圧縮形が、既知のスパム画像のコーパスからのいずれかの既知のスパム画像の圧縮形であって、該圧縮形は、前記不可逆圧縮関数を用いて前記共通の表現へと圧縮された前記既知のスパム画像である圧縮形と一致するか否かを判定することと、
電子オブジェクトから抽出された画像の圧縮形が、既知のスパム画像の圧縮形と一致していることの判定に基づいて、電子オブジェクトがスパム画像を埋め込まれているという信号を出力することと、
を有する方法。
【請求項２】
所定の前記表現は、所定のサイズと、所定の色数のカラーパレットを有するビットマップである、請求項１に記載の方法。
【請求項３】
前記所定のサイズは２２５００ピクセル以下である、請求項２に記載の方法。
【請求項４】
前記所定のサイズは１３６８４ピクセル以下である、請求項２に記載の方法。
【請求項５】
前記所定の色数は２４以下である、請求項２から４のいずれか１つに記載の方法。
【請求項６】
前記所定のサイズは４００ピクセル以上である、請求項２から５のいずれか１つに記載の方法。
【請求項７】
前記所定のサイズは５７６ピクセル以上である、請求項２から５のいずれか１つに記載の方法。
【請求項８】
前記所定の色数は５以上である、請求項２から７のいずれか１つに記載の方法。
【請求項９】
前記抽出された画像の圧縮形が、既知のスパム画像のコーパスからのいずれかの既知のスパム画像の圧縮形と一致するか否かを判定する前記のステップは、
抽出され圧縮された前記画像のハッシュ値を算出することと、
前記抽出され圧縮された画像の前記ハッシュ値が、前記コーパス内の前記既知のスパム画像の前記圧縮形の、格納されたセットのハッシュ値のいずれか１つと同じであるか否かを判定することと、
を有する、先行する請求項のいずれか１つに記載の方法。
【請求項１０】
前記既知のスパム画像を、前記不可逆圧縮関数を用いて前記共通の表現へと圧縮して前記既知のスパム画像の前記圧縮形を生成することと、前記既知のスパム画像の前記圧縮形の前記ハッシュ値を算出することと、前記既知のスパム画像の前記圧縮形の前記ハッシュ値を格納して前記格納されたセットのハッシュ値を構成することと、からなる前処理をさらに有する、請求項９に記載の方法。
【請求項１１】
前記既知のスパム画像を、前記不可逆圧縮関数を用いて前記共通の表現へと圧縮して前記既知のスパム画像の前記圧縮形を生成することと、該圧縮形を格納することと、からなる前処理をさらに有し、前記の判定するステップは、抽出され圧縮された前記画像を、格納された前記圧縮形と比較することによって行われる、請求項１から８のいずれか１つに記載の方法。
【請求項１２】
前記コーパス内の前記既知のスパム画像の１つの前記圧縮形と一致すると判定された、前記抽出された画像の前記圧縮形について、圧縮されていない前記抽出された各画像のサイズが、それに対応する、圧縮されていない前記既知のスパム画像の１つのサイズに、所定の程度に似通っているか否かを判定することをさらに有し、
電子オブジェクトがスパム画像を埋め込まれているという信号を出力する前記のステップは、電子オブジェクトから抽出された画像の圧縮形が、既知のスパム画像の圧縮形と一致していることの判定と、圧縮されていない前記抽出された各画像のサイズが、圧縮されていない前記既知のスパム画像の１つのサイズに、所定の程度に似通っていることの判定との組み合わせに基づいて行われる、先行する請求項のいずれか１つに記載の方法。
【請求項１３】
圧縮されていない前記抽出された各画像のサイズが、それに対応する、圧縮されていない前記既知のスパム画像の１つのサイズに、所定の程度に似通っているか否かを判定する前記のステップは、
圧縮されていない前記抽出された各画像のサイズを示すビットマスクを、当該ビットマスクの各ビットを、当該サイズが各範囲内にある時にセットするビットマスク関数であって、当該範囲は互いに重なっているビットマスク関数を用いて導き出すことと、
導き出された前記ビットマスクのいずれかのビットが、前記コーパス内の、圧縮されていない前記既知のスパム画像のサイズを示し、同一のビットマップ関数を用いて導き出された、格納されたセットのビットマスクと共通してセットされているか否かを判定することと、
を有する、請求項１２に記載の方法。
【請求項１４】
電子オブジェクトがスパム画像を埋め込まれているという前記信号を出力することに応答して、当該電子オブジェクトに関する是正措置を行うことをさらに有する、先行する請求項のいずれか１つに記載の方法。
【請求項１５】
前記電子オブジェクトは電子メールである、先行する請求項のいずれか１つに記載の方法。
【請求項１６】
ネットワークのノードを通過させられる電子オブジェクトに対して行われる、先行する請求項のいずれか１つに記載の方法。
【請求項１７】
前記不可逆圧縮関数は平均化関数であり、該平均化関数によって、該平均化関数が適用された画像のビット数が減らされる、先行する請求項のいずれか１つに記載の方法。
【請求項１８】
電子オブジェクト内のスパム画像を検出するシステムであって、
前記電子オブジェクト内に埋め込まれた画像を抽出するように動作する画像抽出エンジンと、
抽出された前記画像を、不可逆圧縮関数を用いて共通の表現へと圧縮するように動作する圧縮ユニットと、
抽出された前記画像の圧縮形が、既知のスパム画像のコーパスからのいずれかの既知のスパム画像の圧縮形であって、該圧縮形は、前記不可逆圧縮関数を用いて前記共通の表現へと圧縮された前記既知のスパム画像である圧縮形と一致するか否かを判定するように動作する判定ユニットと、
電子オブジェクトから抽出された画像の圧縮形が、既知のスパム画像の圧縮形と一致していることの、前記判定ユニットによる判定に応じて、電子オブジェクトがスパム画像を埋め込まれているという信号を出力するように動作する信号出力ユニットと、
を有するシステム。
【請求項１９】
所定の前記表現は、所定のサイズと、所定の色数のカラーパレットを有するビットマップである、請求項１８に記載のシステム。
【請求項２０】
前記所定のサイズは２２５００ピクセル以下である、請求項１７に記載のシステム。
【請求項２１】
前記所定のサイズは１３６８４ピクセル以下である、請求項１９に記載のシステム。
【請求項２２】
前記所定の色数は２４以下である、請求項１９から２１のいずれか１つに記載のシステム。
【請求項２３】
前記所定のサイズは４００ピクセル以上である、請求項１９から２２のいずれか１つに記載のシステム。
【請求項２４】
前記所定のサイズは５７６ピクセル以上である、請求項１９から２２のいずれか１つに記載のシステム。
【請求項２５】
前記所定の色数は５以上である、請求項１９から２４のいずれか１つに記載のシステム。
【請求項２６】
前記判定ユニットは、
抽出され圧縮された前記画像のハッシュ値を算出し、
前記抽出され圧縮された画像の前記ハッシュ値が、前記コーパス内の前記既知のスパム画像の前記圧縮形の、格納されたセットのハッシュ値のいずれか１つと同じであるか否かを判定するように動作することによって、抽出された前記画像の圧縮形が、既知のスパム画像のコーパスからのいずれかの既知のスパム画像の圧縮形と一致するか否かを判定するように動作する、請求項１８から２５のいずれか１つに記載のシステム。
【請求項２７】
前記コーパス内の前記既知のスパム画像を、前記不可逆圧縮関数を用いて前記共通の表現へと圧縮するように動作する圧縮ユニットと、
前記既知のスパム画像の前記圧縮形の前記ハッシュ値を算出し、前記既知のスパム画像の前記圧縮形の前記ハッシュ値を格納して前記格納されたセットのハッシュ値を構成するように動作するハッシュユニットと、
を有する参照データベース生成器をさらに有する、請求項２６に記載のシステム。
【請求項２８】
前記既知のスパム画像を、前記不可逆圧縮関数を用いて前記共通の表現へと圧縮して前記既知のスパム画像の前記圧縮形を生成し、該圧縮形を格納するように動作する圧縮ユニットを有する参照データベース生成器をさらに有し、前記の判定するステップは、抽出され圧縮された前記画像を、格納された前記圧縮形と比較することによって行われる、請求項１８から２５のいずれか１つに記載のシステム。
【請求項２９】
前記コーパス内の前記既知のスパム画像の１つの前記圧縮形と一致すると、最初に述べた前記判定ユニットによって判定された、前記抽出された画像の前記圧縮形について、圧縮されていない前記抽出された各画像のサイズが、それに対応する、圧縮されていない前記既知のスパム画像の１つのサイズに、所定の程度に似通っているか否かを判定するように動作する第２の判定ユニットをさらに有し、
電子オブジェクトから抽出された画像の圧縮形が、既知のスパム画像の圧縮形と一致していることの、第１の前記判定ユニットによる判定と、圧縮されていない前記抽出された各画像のサイズが、圧縮されていない前記既知のスパム画像の１つのサイズに、所定の程度に似通っていることの、前記第２の判定ユニットによる判定との組み合わせに応じて、前記信号出力ユニットは、電子オブジェクトがスパム画像を埋め込まれているという信号を出力するように動作する、請求項１８から２８のいずれか１つに記載のシステム。
【請求項３０】
前記第２の判定ユニットは、
圧縮されていない前記抽出された各画像のサイズを示すビットマスクを、当該ビットマスクの各ビットを、当該サイズが各範囲内にある時にセットするビットマスク関数であって、当該範囲は互いに重なっているビットマスク関数を用いて導き出し、
導き出された前記ビットマスクのいずれかのビットが、前記コーパス内の、圧縮されていない前記既知のスパム画像のサイズを示し、同一の前記ビットマップ関数を用いて導きだされた、格納されたセットのビットマスクと共通してセットされているか否かを判定する、
ように動作することによって、圧縮されていない前記抽出された各画像のサイズが、それに対応する、圧縮されていない前記既知のスパム画像の１つのサイズに、所定の程度に似通っているか否かを判定するように動作する、請求項２９に記載のシステム。
【請求項３１】
電子オブジェクトがスパム画像を埋め込まれているという前記信号を出力することに応答して、当該電子オブジェクトに関する是正措置を行うように動作するユニットをさらに有する、請求項１８から３０のいずれか１つに記載のシステム。
【請求項３２】
前記電子オブジェクトは電子メールである、請求項１８から３１のいずれか１つに記載のシステム。
【請求項３３】
ネットワークのノードに設けられ、該ノードを通過する電子オブジェクトに対して動作する、請求項１８から３２のいずれか１つに記載の方法。
【請求項３４】
前記不可逆圧縮関数は平均化関数であり、該平均化関数によって、該平均化関数が適用された画像のビット数が減らされる、請求項１８から３３のいずれか１つに記載の方法。
【請求項３５】
電子オブジェクト内の参照画像を検出する方法であって、
前記電子オブジェクト内に埋め込まれた画像を抽出することと、
抽出された前記画像を共通の表現へと圧縮することと、
前記抽出された画像の圧縮形が、参照画像のコーパスからのいずれかの参照画像の、前記共通の表現への圧縮形と一致するか否かを判定することと、
電子オブジェクトから抽出された画像の圧縮形が、参照画像の圧縮形と一致していることの判定に基づいて、電子オブジェクトが参照画像を埋め込まれているという信号を出力することと、
を有する方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子メールのような電子オブジェクト内の画像スパムの検出に関するものであり、より一般的には、あらゆる種類の参照画像の検出に関するものである。
【背景技術】
【０００２】
スパム電子メールは、不要なメッセージで受信者の電子メールの受信箱を氾濫させることによってますます邪魔になっている。しばしば、スパムの内容は、詐欺的な、またはどぎつい内容を含み、苦痛や金銭的な損失を生じさせることがある。このようなメッセージに対処する時間の浪費、電子メールシステム上でそれらを格納し処理するのに必要な資源、およびネットワーク資源の浪費は、多大な金銭的無駄になることがある。
【０００３】
スパムを識別し、それを他の正当な電子メールと区別するために多くの技術が開発されている。しばしば、このような技術は、既知のスパム電子メール、および／または、既知のハム電子メール（すなわち、スパムではない電子メール）のコーパスに基づいており、そのテキストが、検査対象の電子メールのテキストと比較される。このような広く使用されている技術の１つが、ベイジアンフィルタリングの技術である。この技術は、メッセージ内の単語または単語対を識別するために電子メールを構文解析することを含んでいる。その後、これらの単語の、前に受信したスパムおよび非スパムのメッセージにおける存在頻度に基づいて確率論的計算が行われる。その結果、このフィルタによって、メッセージがスパムであるか否かの確率が与えられ、それに基づいて、受信者は、電子メールを読むか否かを決めることができる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】米国特許出願公開第２００６／０９３，２２１号明細書
【特許文献２】米国特許出願公開第２００６／０９２，２９２号明細書
【特許文献３】国際公開第２００４／００８３９２号パンフレット
【特許文献４】特開２００６−０５３７７４号公報
【特許文献５】米国特許出願公開第２００６／１４３，１７６号明細書
【特許文献６】米国特許出願公開第２００６／１４７，１８６号明細書
【特許文献７】米国特許出願公開第２００６／０６２，４７４号明細書
【特許文献８】国際公開第２００４／０５３７９６号パンフレット
【特許文献９】米国特許第７，０１６，５４９号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００５】
スパムの発信者は、多くのやり方で、このような技術によって彼らのメッセージがスパムであると検出されるのを避けるように試みて、彼らの電子メールを偽装して対処してきている。スパムの発信者が用いている特別な１つの方法は、彼らのメッセージの内容を、電子メールのメッセージ内のテキストとしてではなく、メール内に埋め込まれた画像として表現することである。この画像は、受信者へ提示され意図を伝えるテキストの代わりになっている場合があるが、そのテキストは、メッセージの一部としては存在しておらず、スパムを検出する解析をしにくい。もちろん、コーパスにおける既知のスパム画像と同一のスパム画像を検出するのは容易である。しかし、画像の性質上、本来の内容や受信者への意図を変更することなく、スパム電子メール内に前にあった画像との類似性を隠すようにスパム画像を変えることはスパムの発信者にとって容易である。
【０００６】
例えば、スパム画像、または、画像内に含まれているテキストの解析をさらに欺くために、スパムの発信者は、画像のサイズを変更すること、高さに対する幅の比を変更すること、色を変えた多くの単独ピクセルを含ませること、背景色またはテキストの色を変更すること、および、画像フォーマットを変更すること、を含む種々の技術によって画像を頻繁に変更している。
【０００７】
これらの、および他の技術は、同一の内容を含む画像を似ていないものにする働きをしている。人間の観察者は、画像間の違いが非常に小さなものであることを把握することができる。しかし、この違いは、コンピュータによる手段によってこれらの画像が近い関係にあると認識し、電子メールをスパムであると検出する試みを欺くのには十分に意味がある。
【０００８】
一態様において、本発明は、このような変更がスパムの発信者によって行われた場合でも、既知のスパム画像のコーパスに基づいて、電子メールまたは他の電子オブジェクト内のスパム画像を検出することに関するものである。
【０００９】
スパム画像よりも一般的な画像を考えると、電子メールのような電子オブジェクト内に埋め込まれた画像が、コーパス内の参照画像であるのを検出することが望まれる状況が多くあり、このような状況では、画像が変更された時に同様の問題が生じる。したがって、より一般的な態様において、本発明は、電子メールや他の電子オブジェクト内の画像がコーパスの既知の参照画像の１つであるのを検出することに関するものであり、この際、画像には、意図的な、または故意ではない画像の変更が行われていてもよいものである。
【００１０】
電子メールのような電子オブジェクトを解析する場合におけるさらなる問題は、速さと、解析を行うのに必要な処理能力である。解析を必要とするこのような電子オブジェクトの数は膨大である。例えば、メッセージラボ社だけでも、２００６年１０月現在で、スパム、および、マルウェアのような他の問題のために、１週間に１兆を超える電子メールをスキャンしている。スキャンに利用可能な時間と処理能力は、実際の条件によって制限されるので、速さと、解析を行うのに必要な処理能力は非常に重要である。
【００１１】
他の技術分野では、例えば以下のような、対象画像を認識することを目的とした多くの公知の画像認識技術がある。
【００１２】
特許文献１〜４に記載されているような画像インデキシングシステムは、画像の特徴部を抜き出し、それらのインデックスを生成し、それらの特徴部を吟味しデータベースと照合する。この方策は、スパムの発信者が、彼らの画像を、インデックスを付けられるかもしれない特徴部を隠すようにして検出され難くしようと盛んに試みているスパムの分野には適用できそうもない。
【００１３】
特許文献５には、この構想が、関係する画像を検索するための、問い合わせ可能なデータベースを記載することによって詳述されている。しかし、これらの画像を検索するのに用いられるインデックス情報は、画像の意味内容と、画像が中に見つかったオブジェクトに基づいている。スパム解析では、画像に結び付けられたどのようなテキストも、言葉に基づいたスパムフィルタを混乱させるように訳のわからない文章となっている可能性が高い。どのような画像の処理も、画像のスループットを高くすることができるようにするために迅速に行う必要があり、画像内のテキスト上のどのような意味内容の解析も、利用可能な時間と処理能力の実際の制限に合わせるためには、コンピュータ技術上、高価になりすぎる可能性が高い。同様に、スパム画像のテキスト上の内容は、このような方策を失敗させるように非常に制限され、および／または構成されている場合がある。
【００１４】
特許文献６，７には、画像を比較するのに用いるインデックスを生成するために画像内のカラー情報のヒストグラムを検査するシステムが開示されている。この方策は、大抵の画像比較について優秀である。しかし、スパム画像の分野では、カラーヒストグラムは、この方策に打ち勝つために、通常、意図的に変更される。背景色を変更することができる。１つの画像で黒であるテキストを、他の画像では黒に近い非常に多くの色から構成することができる。
【００１５】
他の種類の画像認識技術は、例えば特許文献８，９に記載されているように、ピクセルまたはピクセル領域の符合を検出することである。このような種類の技術では、優れた正確さが得られるが、必然的に画像を１つ１つ比較する必要があり、これは、スパム画像の検出に実際に用いるには、極めて遅く、コンピュータで処理する上で過重である。
【課題を解決するための手段】
【００１６】
本発明の一態様によれば、電子オブジェクト内のスパム画像を検出する方法であって、
電子オブジェクト内に埋め込まれた画像を抽出することと、
抽出された画像を共通の表現へと圧縮することと、
抽出された画像の圧縮形が、既知のスパム画像のコーパスからのいずれかの既知のスパム画像の、前記共通の表現への圧縮形と一致するか否かを判定することと、
電子オブジェクトから抽出された画像の圧縮形が、既知のスパム画像の圧縮形と一致していることの判定に基づいて、電子オブジェクトがスパム画像を埋め込まれているという信号を出力することと、
を有する方法が提供される。
【００１７】
同様に、同等の方法を実行するシステムが提供される。
【００１８】
本発明によれば、スパムの発信者の、上述した検出され難くする技術にも拘わらず、既知のスパム画像のコーパスに基づいてスパム画像を検出することが可能となる。対象の電子メールから抽出された画像は、圧縮され、同様に圧縮された既知のスパム画像のコーパスと比較される。対象の電子メールから抽出された画像と、既知のスパム画像の圧縮形について、共通の表現が用いられる。圧縮関数は不可逆なので、画像から、比較される前に、圧縮によって情報が有効に除去される。これによって、元々のスパム画像の圧縮形と、変更されたスパム画像の圧縮形が一致した場合に、電子メールを偽装する試みとしてスパムの発信者によって行われた変更が除去されるという効果が得られる。これは、抽出した画像を、その圧縮形が、コーパス内の既知のスパム画像の圧縮形と一致する場合に、スパム画像であると検出できることを意味している。
【００１９】
スパムの発信者によって行われる変更の性質上、実際に見られる、変更された多くのスパム画像をこのようにして検出することができることが実際に分かった。したがって、本発明によれば、高い検出率を生じることができる。この検出率は、共通の表現のサイズを減らすことによって増やすことができるが、これは、誤検出率が増えるという効果も生じる。実際には、共通の表現のサイズは、検出率の上昇と、誤検出率の低下の間の、所望の折り合いが得られるように選択されてよい。
【００２０】
本発明の他の重要な利点は、特に、他の多くの種類の画像認識技術に比べて、高速で、必要とする処理能力が低い検出が得られることである。これは、抽出された画像の圧縮も、さらには、抽出された画像と既知の画像の圧縮形が一致するか否かの判定も、本質的に高速で単純な処理であるからである。もちろん、前処理として、既知のスパム画像のコーパスを圧縮し、結果を格納してもよく、それによって、コーパス内の既知のスパム画像を繰り返し圧縮しなくて済む。
【００２１】
さらにハッシュ値を用いることによって、抽出された画像と既知の画像の圧縮形が一致するか否かの判定を高速化することができる。特に、抽出された画像のハッシュ値が算出され、既知のスパム画像の圧縮形についての、格納されたセットのハッシュ値と比較され、格納されたセットのハッシュ値は、前処理として算出されてよい。ハッシュ値の比較は、実際に非常に速い。
【００２２】
本発明は、どのような種類の電子オブジェクト内のスパム画像の検出に適用してもよい。しかし、本発明は、特に、ネットワークのノードを通過する電子オブジェクトに適用される。この種の状況では、多数の電子オブジェクトが通過し、スキャンされる必要があるので、本発明の利点が、強く感じられる。
【００２３】
本発明は、伝送が、受信者によってではなく、送信者によって始動される電子オブジェクトにも特に適用され、非常に一般的な１つの例は電子メールである。この状況では、受信者は、電子オブジェクトの内容をあまり、または全く制御できず、したがって、スパムの問題が、最も大きくなり、スパムの発信者の有利性が高い。
【００２４】
本発明は、スパム画像に特に適用されるが、一般には、互いに似通った画像を認識する技術はどのような種類の画像にも適用することができ、そこで、他の態様によれば、本発明は、より一般的に、電子オブジェクト内の画像を、コーパス内の参照画像と同じ、または変更されたバージョンであると検出することが望まれるどのような状況にも適用されてよい。例として、制限を生じることなく、組織が、当該組織の制御から離れる注意を要する書類の画像を検出したい場合がある。その場合、参照画像のコーパスを維持し、組織の外部に送信される電子オブジェクトに対して本発明を適用してもよい。このような安全確保が必要な状況では、誤検出率の上昇の犠牲を払っても、検出率を高めるために共通の表現のサイズを小さくしてもよい。
【００２５】
理解を深めることができるようにするために、ここから、制限を生じさせることのない例として、添付の図面を参照して本発明の実施形態について記載する。
【図面の簡単な説明】
【００２６】
【図１】２つの画像の、１つのピクセルからなる表現への圧縮を示す図である。
【図２】画像の、２つのピクセルからなる表現への圧縮を示す図である。
【図３】２つの画像の、４つのピクセルからなる表現への圧縮を示す図である。
【図４】既知のスパム画像のコーパスを前処理するサブシステムの図である。
【図５】対象の電子メールを解析するサブシステムの図である。
【図６】既知のスパム画像のコーパスを前処理する修正されたサブシステムの図である。
【図７】対象の電子メールを解析する修正されたサブシステムの図である。
【図８】スパム画像の例を示す図である。
【図９】スパム画像の例を示す図である。
【図１０】スパム画像の例を示す図である。
【図１１】スパム画像の様々な例を示す図である。
【図１２】スパム画像の例を示す図である。
【図１３】スパム画像の例を示す図である。
【図１４】スパム画像の例を示す図である。
【発明を実施するための形態】
【００２７】
以下の記載は、スパム画像を参照しているが、他の種類の画像にも同様に適用される。
【００２８】
最初に、本発明において画像を認識するための画像比較の使用の背景となる原理について記載する。
【００２９】
どのような画像も、十分大きな程度に圧縮され、例えば、サイズおよび色深度が減らされた場合、１つのピクセルと２色のパレットからなる表現、すなわち、白または黒の単一のピクセルに圧縮できる。このレベルの圧縮では、全ての画像のほぼ半分が、単一の白ピクセルに、半分が単一の黒ピクセルに変化させられる。したがって、全ての画像は、黒ピクセルに圧縮される画像のセットと、白ピクセルに圧縮される画像のセットとの、互いに区別される２つのセットに分けることができる。例えば、図１は、互いに異なる２つの画像と、それらの、単一のピクセルに圧縮された場合の圧縮形を示している。上側の画像は白ピクセルに圧縮され、下側の画像は黒ピクセルに圧縮されている。その後の、どのようなサイズおよびどのような色深度のどのような画像にも、同じ画像圧縮関数を適用することによって、元の画像の、圧縮された表現にすることができ、それによって、２つのセットのうちの一方に迅速に割り当てることができる。
【００３０】
同様に、圧縮が、２つのピクセルから構成される表現へのものである場合、図２に示すように、可能な結果が４つ得られる。すなわち、画像の第１のセットＡは、２つの白ピクセルに圧縮され、第２のセットＢは、２つの黒ピクセルに圧縮され、第３のセットＣは、最初の白ピクセルと２番目の黒ピクセルに圧縮され、第４のセットＤは、最初の黒ピクセルと２番目の白ピクセルに圧縮される。画像の圧縮により、圧縮された表現におけるこれらの結果によって、４つの可能なセットのうちの、当該画像を割り当てることができる１つが識別される。
【００３１】
画像圧縮関数を、サイズおよび色深度が増えた圧縮画像表現が得られるように修正すると、圧縮される全ての画像に対する可能な結果の数も修正される。このようにして、画像に圧縮を適用した結果にしたがって画像を割り当てることができるセットの数も増える。
【００３２】
一般に、共通の表現、例えば、所定の数のピクセルおよび色深度の圧縮画像を出力する適切な画像圧縮関数を、画像を分類する目的で用いることができる。例えば、あらゆるサイズおよび色深度の画像を取り込み、それを、５色（赤、緑、青、白、および黒）のカラーパレットを有する４つのピクセルから構成される表現へと圧縮する画像圧縮関数を、図３に示すように、緑の野原の画像と、ポピーの野原の画像を区別するのに用いることができ、図３は、元々の形態および圧縮形の画像を示している。
【００３３】
本発明では、圧縮画像の表現は、コーパス内の既知のスパムの変更されたバージョンを認識できるようにするものが選択される。
【００３４】
実際に、共通の表現の広範囲のサイズが、スパムの発信者によって送信される視覚的に関連する全ての画像を、全ての当該スパム画像について共通の圧縮形に翻訳するのに有効であることが分かった。この圧縮画像は、同じ関数を適用された時に非常にわずかな非スパム画像しか、同じ圧縮形に圧縮されないものである。このことは、既知のスパム画像のコーパスを用いることによって、変更された画像を既知のスパム画像と似通ったものとして、したがって、それら事態がスパムであると分類するのに利用することができる。
【００３５】
圧縮画像の共通の表現のサイズは、サイズと共に変わる検出速度と誤検出率との間に所望の折り合いが得られるように、選択されてよい。
【００３６】
小さな共通の表現を与える強い圧縮関数は、可能な出力を、画像の、対応する少数の可能なセットによってわずかにしか与えない。小さすぎると、画像の分類が、全く関係のない画像が似通っていると判定されるという意味で、意味のないものとなることがある。例えば、図３に示す画像圧縮は、緑の野原の画像からポピーの野原の画像を識別するのに用いることができる。すなわち、画像圧縮フィルタを元の画像に適用した結果を検査することによって、元の画像を、ポピーの野原の画像に似た画像セットと、緑の野原の画像に似た画像セットに割り当てることができる。しかし、このレベルの圧縮では、この技術は、誤検出を起こしがちであり、例えば、赤い消防車の画像は、ポピーの野原の画像から区別できず、緑色のカエルの画像は、緑の野原の画像から区別できない。画像圧縮関数によって得られる圧縮画像のサイズと色数を増やすことによって、結果として得られる画像を、誤検出をわずかにして、互いに関係する画像を正確に結びつけるのに用いることが可能になる。
【００３７】
したがって、共通の表現のサイズは、スパム画像の検出において有効な誤検出率が得られるように十分に大きくする必要がある。実際には、共通の表現が、所定のサイズとカラーパレットを有するビットマップである場合、所定のサイズが４００ピクセル以上、好ましくは５７６ピクセル以上であり、所定の色数が５色以上である場合に、スパム画像の有効な検出が可能であることが分かった。共通の表現は長方形であってもよいが、４００または５７６ピクセルの画像は、正方形の場合、２０×２０ピクセル、または２４×２４ピクセルのサイズの画像に等しい。
【００３８】
大きな共通の表現を与える弱い圧縮関数は、可能な出力を、対応する多数の可能な画像のセットによって極めて多数与える。大きすぎると、これは、非常に似通った画像を識別する働きしかできず、したがって、スパム画像の多くの種類の変更を検出し損なう。したがって、共通の表現のサイズは、スパム画像の検出において有効な検出率が得られるように十分に小さくする必要がある。実際に、共通の表現が、所定のサイズとカラーパレットを有するビットマップの場合、所定のサイズが、２２５００ピクセル以下、好ましくは、１３６８４ピクセル以下であり、所定の色数が２４以下である場合に、スパム画像を有効に検出することが可能であることが分かった。共通の表現は長方形であってもよいが、２２５００または１３６８４ピクセルの画像は、正方形の場合、１５０×１５０ピクセル、または１２８×１２８ピクセルのサイズの画像に等しい。
【００３９】
ここから、本発明を組み込んだ、スパム画像を検出するシステムについて記載する。このシステムは、既知のスパム画像のコーパスを前処理して参照データベースを生成する、図４に示す前処理サブシステム１００と、対象の電子メールを解析する、図５に示す解析サブシステム２００から構成されている。このシステムは、ネットワークのノードに適用されてよく、そのノードを、送信者から受信者への途中で通過する電子メール（または他の電子オブジェクト）を解析するのに用いられてよい。このシステムは、他の技術を用いてスパムを検出し、またマルウェアを検出する、より広範の一式のフィルタの一部を形成していてもよい。
【００４０】
毎秒、多くの電子メールが、スパムを含んでいるか否かを検出するために解析される環境では、実際問題として、電子メール内のどのような画像についても、圧縮し、その後、コーパス内の既知の各スパム画像について、圧縮とピクセル毎の比較をするのに、望ましくない長い時間がとられる。したがって、処理は、２つのやり方で高速化される。
【００４１】
第１に、既知のスパム画像のコーパスが圧縮され、結果が、参照データベースを生成するために事前の処理で格納される。こうして、コーパス内の既知のスパム画像の圧縮が、対象とする電子メールが解析される前に行われる。
【００４２】
第２に、画像のどの圧縮形が一致するかの検出が、圧縮形のハッシュ値を算出し、どのハッシュ値が一致するかを判定することによって行われる。したがって、参照データベースは、コーパス内の既知のスパム画像の圧縮形のハッシュ値の、記録されたセットを収容している。ハッシュ値の比較は、非常に迅速かつ容易に行うことができる処理である。
【００４３】
ここから、前処理サブシステム１００について図４を参照して記載する。
【００４４】
埋め込まれた画像を含む既知のスパム電子メールのコーパス１１０が収集される。これらの電子メールは、例えば、ユーザが分類するなどして分類されることによって、スパムであると分かっている。
【００４５】
このコーパスは、コーパス１１０内の電子メールから画像データを抽出する画像抽出エンジン１０１に送られる。画像抽出エンジン１０１によって、多様な画像種類（例えば、ｊｐｅｇ、ｇｉｆ、ｐｎｇ、ｂｍｐなど）が、単一の共通のフォーマットに変化させられる。このようにして、画像抽出エンジン１０１によって、既知のスパム画像のコーパスが生成される。
【００４６】
画像抽出エンジン１０１によって抽出された既知のスパム画像は画像圧縮ユニット１０２に送られる。画像圧縮ユニット１０２は、不可逆で、圧縮されていない画像のサイズに拘わらず、全ての画像を共通の表現へと圧縮するのに有効な画像圧縮関数を用いて、既知のスパム画像を圧縮する。
【００４７】
計算を簡単にするために、共通の表現は、所定のサイズと、所定の色数の所定のカラーパレットを有するビットマップであってよい。この場合、画像圧縮関数は、２つの効果を有する。
【００４８】
第１に、画像圧縮関数によって、画像のサイズが、その元の高さおよび幅から、全ての画像について共通の高さおよび幅に縮められる。これは、画像の圧縮形における各ピクセルが、元の画像の、対応する位置の窓内の複数のピクセルの線形結合によって導き出される単純な平均化関数によって行われてよい。この窓内の全てのピクセルは、線形結合において等しい重み有していてよく、または、重みが等しくならないように窓関数が用いられてもよい。
【００４９】
第２に、画像圧縮関数によって、共通のカラーパレットを適用するために色深度が減らされる。これは、単純に、画像の圧縮形における各ピクセルについてカラーパレットにおいて最も近いものを選択することによって達成されてよい。これによって、画像の圧縮形に、同じ共通のカラーパレットからの色のみが含まれることが保証される。
【００５０】
画像のサイズと色深度との両方の減少によって、情報量が減少し、したがって、非可逆圧縮が行われることが分かる。一般に、広範な非可逆圧縮を代替的に行ってよい。共通の表現としては、ビットマップが便利であるが、一般には、共通の表現は、他の種類のもの、例えば、ベクターグラフィックス、または、変換係数としてもよい、
【００５１】
コーパスにおける既知の各スパム画像の圧縮形は、画像圧縮ユニット１０２からハッシュ関数ユニット１０３に送られ、ハッシュ関数ユニット１０３は、ハッシュ関数を用いて、既知のスパム画像についてのハッシュ値１０４を算出する。各ハッシュ値１０４は、それが導き出される既知のスパム画像の圧縮形に対して、事実上、一意的な２値記号である（より厳密には、互いに異なる２つの圧縮形が、同一のハッシュ値１０４を有する確率は非常に小さく、実際上は無視できる）。どのようなハッシュ関数を適用してもよい。用いてよい１つの可能なハッシュ関数はＭＤ５である。
【００５２】
ハッシュ関数ユニット１０３によって算出されたハッシュ値１０４は、解析対象の電子メールがスパムであるか否かの判定時の基準として用いるためにデータベース１０５に格納される。
【００５３】
ここから、図５を参照して解析サブシステム２００について記載する。
【００５４】
解析サブシステム２００は、各着信電子メール２０１を以下ように処理する。判定ユニット２０２によって、着信電子メール２０１が画像を含んでいるか否かが判定される。着信電子メール２０１が画像を含んでない場合、着信電子メールは、図５にステップ２０３によって示すように、解析サブシステム２００の残りの部分によって処理されることなく通過させられる。
【００５５】
埋め込まれた画像を含む着信電子メール２０１は、前処理サブシステム１００の画像抽出エンジン１０１、画像圧縮ユニット１０２およびハッシュ関数ユニット１０３とそれぞれ同等であり、前述と同様に動作する画像抽出エンジン２０４、画像圧縮ユニット２０５およびハッシュ関数ユニット２０６に送られる。したがって、画像抽出ユニット２０４によって、電子メール２０１に埋め込まれた画像が抽出され、画像圧縮ユニット２０５によって、その画像が圧縮され、ハッシュ関数ユニット２０６によって、電子メール２０１から抽出された画像の圧縮形のハッシュ値２０７が算出される。特に、画像圧縮ユニット１０２と２０５によって、上述のように、画像を圧縮し、画像の、共通の表現での圧縮形を生成するために、同一の画像圧縮関数が適用されることが特筆される。同様に、ハッシュ関数ユニット２０６と１０３によって、同一のハッシュ関数が適用される。
【００５６】
ハッシュ関数ユニット２０６によって出力された、電子メール２０１から抽出された画像の圧縮形のハッシュ値２０７は判定ユニット２０８に供給される。判定ユニット２０８によって、前処理サブシステム１００によって予め作成されたデータベース１０５に、ハッシュ値２０７が存在するか否かの問い合わせが行われる。こうして、判定ユニット２０８によって、解析対象の画像から導き出されたハッシュ値２０７が、データベース１０５に格納されコーパス１１０内の既知のスパム画像のいずれかのハッシュ値１０４である、セットのハッシュ値１０４のいずれか１つと同じであるか否かが判定される。
【００５７】
これによって、電子メール２０１に埋め込まれた画像の圧縮形が、コーパス１１０内の既知のスパム画像のいずれかの圧縮形と一致することの（ハッシュ関数の正確さにのみ影響される）判定結果が得られる。この判定に基づいて、電子メール２０１に埋め込まれた画像が、コーパス内の既知のスパム画像のいずれかの圧縮形と一致する場合、判定ユニット２０８によって、電子メール２０１にスパム画像が埋め込まれていることを示す出力２０９が生成される。そうでなければ、判定ユニット２０８によって、電子メール２０１にスパム画像が埋め込まれていないことを示す出力２１０が生成される。
【００５８】
電子メール２０１にスパム画像が埋め込まれていることが出力２０９によって示された場合、任意構成として、この電子メールに対して、是正措置ユニット２１１において、ある形態の是正措置を行ってもよい。是正措置の形態としては、種々の形態が取られてよく、例えば、判定の再吟味をできるように、熟達したユーザに対してスパム電子メールについての注意喚起を行うこと、電子メール２０１を削除すること、受信者がアクセス可能なスパムフォルダに電子メール２０１を送ること、電子メール２０１を、それがおそらくスパムであると受信者が識別できるように修正すること、電子メール２０１をサーバーに格納し、受信者に通知書を送信すること、および／または、さらなる解析を行うこと、が含まれてよいが、これらに制限されるわけではない。
【００５９】
ここから、図６および７を参照して修正バージョンのシステムについて記載する。
【００６０】
最初に、システムを修正する理由を説明する。図４および５に示すシステムは、スパム画像を検出するのに有効なものではあるが、ハム画像が、スパム画像とは無関係の起源からのものであったとしても、スパム画像の圧縮形と一致する圧縮形を有することが偶然に起こった場合に、一定数の誤検出が起こる。任意構成の修正は、以下のように、このような誤検出を減らすことを意図したものである。
【００６１】
修正は、圧縮されていない形態で、互いに大幅に異なるサイズを有する複数の画像は、同一のスパム画像の変更されたバージョンではない可能性が高いという原理に基づいている。スパムの発信者は、スパム画像が検出される可能性を下げるためにスパム画像のサイズを頻繁に変えることに熟練しているが、大幅なサイズの変更は、それによって、概して、スパム画像の内容の特性を根本的に変える必要が生じるので、用いられるのはまれである。通常、スパムの発信者によって導入されるサイズの変更は、２０％程度以下である。したがって、修正には、付加的に、解析対象の電子メール２０１から抽出された、圧縮されていない画像のサイズを、圧縮されていない既知のスパム画像のサイズと比較し、サイズが所定の程度に似通っている場合にのみ、抽出された画像がスパムであると判定を行うことが含められる。
【００６２】
図６に示すように、前処理サブシステム１００は、画像サイズ解析エンジン１０６を含むように修正され、画像サイズ解析エンジン１０６は、コーパス１１０内の電子メールから抽出された既知のスパム画像を供給される。画像サイズ解析エンジン１０６によって、（圧縮されていない）画像のサイズを示すビットマスク１０７が導き出される。特に、ビットマスク１０７は、画像のサイズが各範囲内にある時にビットマスクの各ビットをセットするビットマスク関数を用いて導き出される。したがって、各ビットが、サイズが所定の範囲にあることに対応している。以下にさらに記載するように、サイズの、複数の範囲は、互いに重なっている。
【００６３】
この例では、ビットマスク１０７は、２つの部分を有しており、１つの部分は、画像の高さを示すビットであり、他方の部分は、画像の幅を示すビットであるが、全体を画像のサイズ用のビットとして設定することも可能である。
【００６４】
画像サイズ解析エンジン１０６によって、導き出されたビットマスク１０７が、それに対応する、コーパス１１０内の同じ既知のスパム画像から導き出されたハッシュ値１０４と結びつけて、データベース１０４に格納される。
【００６５】
同様に、図７に示すように、解析サブシステム２００は、画像サイズ解析エンジン２１２を含むように修正され、画像サイズ解析エンジン２１２は、画像抽出エンジン２０４によって抽出された画像を供給される。画像サイズ解析エンジン２１２は、前処理サブシステム１００の画像サイズ解析エンジン１０６と同等であり、前述と同様に動作する。したがって、画像サイズ解析エンジン２１２によって、解析対象の電子メール２０１から抽出された画像のサイズを示すビットマスク２１３が導き出される。画像サイズ解析エンジン１０６と２１２は、両方とも、共通のビットマップ関数を用い、その結果、ビットマスク２１３のビットは、電子メール２０１から抽出された画像のサイズが、同一の各範囲内に入っている時に、セットされる。
【００６６】
解析サブシステム２００のさらなる修正は、判定ユニット２０８によって行われる判定の仕方についてである。図７の動作２０８によって示すように、判定ユニット２０８によって、電子メール２０１に埋め込まれた画像の圧縮形が、コーパス１１０内の既知のスパム画像のいずれかの圧縮形と一致するか否かを判定するために、解析対象の画像から導き出されたハッシュ値２０７が、データベース１０５内に格納されたセットのハッシュ値１０４のいずれか１つと同一か否かがやはり判定される。
【００６７】
加えて、動作２０８ａで、電子メール２０１に埋め込まれた画像の圧縮形が、既知のスパム画像の１つの圧縮形と一致することが分かった場合、判定ユニット２０８によって、動作２０８ｂが進められ、動作２０８ｂでは、電子メール２０１に埋め込まれた画像から導き出されたビットマスク２１３が、既知のスパム画像の、同一の１つのビットマスク１０７と比較される。特に、これら２つのビットマスク１０７と２１３が、高さと幅のそれぞれについて、共通してセットされたいずれかのビットを有しているか否かが判定される。これは、単純に、２つのビットマスク１０７と２１３に２値ＡＮＤ演算を適用し、結果のいずれかのビットがセットされているか否かを判定することによって達成される。
【００６８】
問題とする画像のサイズが、特定の範囲内にある時にビットマスク１０７と２１３の各ビットがセットされるので、動作２０８ｂによって、電子メール２０１に埋め込まれた画像の圧縮形のサイズを、当該圧縮形が一致する、既知のスパム画像の１つの圧縮形のサイズと迅速に比較する効果が得られる。２つのビットマスク１０７と２１３が、高さに関してセットされた共通のビットと、幅に関してセットされた共通のビットを有している場合、動作２０８ｂによって、両画像がサイズについて似通っていることが判定され、そうでなければ、両画像がサイズについて似通っていないことが判定される。
【００６９】
各ビットに対応する複数の範囲の重なりが、境界問題を扱うのに利用される。複数の範囲が重なっていない場合、画像サイズの、境界付近での小さな変更によって、画像サイズが１つの画像範囲から他の画像範囲に移り、ビットマスク２１３においてセットされるビットが変わり、画像サイズの比較によって、２つの画像がサイズについて似通っていないという誤った報告がされる場合がある。これは、複数の範囲の重なりによって対処される。ある画像に対しては、ビットマスク１０７と２１３で２つ以上のビットがセットされてよい。これにより、画像サイズを示す２つのビットマスク１０７と２１３の比較によって、両画像がサイズについて似通っていることを示す正確な結果が与えられる可能性が高くなる。したがって、動作２０８ｂによって、画像サイズが所定の程度に似通っていることが判定される効果が得られ、この所定の程度は、各範囲の大きさと重なりによって調整される。
【００７０】
使用される実際の範囲については、以下の考慮がなされる。高さまたは幅のピクセル数の同じ変化は、大きな画像に対してよりも、小さな画像に対しての方が大きな影響を与える。５０×５０ピクセルの画像についての１次元における５０ピクセルの変化は、画像サイズが２倍になるか、画像が、観察者に対して見えなくなる結果になる。逆に、９００×９００ピクセルの画像についての１次元における５０ピクセルの変化は、ほとんど目立たない。これらの変化の程度に対処するために、画像比較関数によって、画像サイズの小さな変化が、観察者にとって気の付く大きな変化となる場合とならない場合があることが認識できるようにする必要がある。これに対処するために、サイズの範囲の、ビットマスクにおけるビット間での増大は、直線的ではなく、修正されたフィボナッチ数列に基づいている。例として、以下の表は、ビットマスクの各ビットについての範囲の可能な１つのセットを示しており、同じ表が、高さに対応するビットと、幅に対応するビットに対して適用される。
【表１】
2010511211.tif 000003
【００７１】
修正された評価サブシステム２００では、動作２０８ａにおける、電子メール２０１に埋め込まれた画像の圧縮形が、コーパス１１０内の既知のスパム画像の１つの圧縮形と一致することの判定と、動作２０８ｂにおける、電子メール２０１に埋め込まれた圧縮されていない画像のサイズが、既知のスパム画像の同一の１つのサイズと似通っていることの判定との組み合わせに基づいて、判定ユニット２０８によって、電子メール２０１にスパム画像が埋め込まれていることを示す出力２０９が生成される。さもなければ、判定ユニット２０８によって、電子メール２０１にスパム画像が埋め込まれていないことを示す出力２１０が生成される。
【実施例】
【００７２】
ここから、図８〜１４に示す実際の幾つかのスパム画像を参照して、上述のシステムにおける圧縮とハッシュ値の使用の実施例を示す。各スパム画像について、圧縮していない画像のサイズとＭＤ５ハッシュ値は以下の通りである。
図８は、ｓｔｏｃｋ１．ｇｉｆを示している。
寸法：５５９×６８８ピクセル
サイズ：２６．５Ｋｂ
ＭＤ５ハッシュ値：８５ｅ１ｂｂｅ１７ａｂｃ６９４ｂ２ｄ７ｄｅ７０９８３７ａ７４ｃ２
図９は、ｓｔｏｃｋ２．ｇｉｆを示している。
寸法：５０９×６７４ピクセル
サイズ：２６．６Ｋｂ
ＭＤ５ハッシュ値：９ａｅ３４６３５ａ９ａｂ２ｆ２９２７８２５ｆ１１ｄｄ４ｃ５ｄｂ６
図１０は、ｓｔｏｃｋ３．ｇｉｆを示している。
寸法：６２４×７０６ピクセル
サイズ：３３．３Ｋｂ
ＭＤ５ハッシュ値：１２ａ９０９ｂａｃｂ４７５２６２９ｃ３ｄｃ５３８７ｄ０９７５ｂ６
図１１は、ｓｏｆｔ１．ｇｉｆを示している。
寸法：２２９×９１ピクセル
サイズ：８．２３Ｋｂ
ＭＤ５ハッシュ値：３２４ｄ５８８ａ９ｃ７４０８８ｆ０９ｆ７６５１ｆ５３４９ｂ７５５
図１２は、ｓｏｆｔ２．ｇｉｆを示している。
寸法：２２９×９１ピクセル
サイズ：１２．２Ｋｂ
ＭＤ５ハッシュ値：１ｆｅ６４１９８ｄ０３ｄｅ９ａｄａ５ｃｂ３８ｃ９８６６２４２２８
図１３は、ｄｒｕｇ１．ｇｉｆを示している。
寸法：３１０×１７５ピクセル
サイズ：３．２０Ｋｂ
ＭＤ５ハッシュ値：ｂ５ｄ５ｃｄｃ８８ｅ０８ｄ７ｅｆ８２ｂ８ｆ６３８ｃｅ１６１８８ｅ
図１４は、ｄｒｕｇ２．ｇｉｆを示している。
寸法：３０５×１７８ピクセル
サイズ：３．２１Ｋｂ
ＭＤ５ハッシュ値：２ｃｆ８３ｂ０８５０ｆ５ｄｆ４６ｃ９６２９４０ａ３１ｅ１３３ｅａ
【００７３】
実際の画像を考慮すると、ｓｔｏｃｋ１．ｇｉｆ、ｓｔｏｃｋ２．ｇｉｆ、およびｓｔｏｃｋ３．ｇｉｆは、全て、第１のスパム画像の変更されたバージョンであり、ｓｏｆｔ１．ｇｉｆとｓｏｆｔ２．ｇｉｆは、両方とも、第２のスパム画像の変更されたバージョンであり、ｄｒｕｇ１．ｇｉｆとｄｒｕｇ２．ｇｉｆは、両方とも、第３のスパム画像の変更されたバージョンであることが明らかである。
【００７４】
最初に、図４および５に示す修正されていないシステムを考える。画像を、８色（白、黒、赤、緑、青、黄、シアン、マゼンタ）を含む８×８ピクセルの表現からなる共通の表現へと圧縮する画像圧縮ユニット２０５（または１０２）を用い、また、ＭＤ５ハッシュ関数を適用するハッシュ関数ユニット２０６（または１０３）を用いることによって、以下の、圧縮画像についてのハッシュ値２０７（または１０４）が与えられる。
【表２】
2010511211.tif 000004
【００７５】
ハッシュ値２０７の検査によって、画像ｓｔｏｃｋ１．ｇｉｆ、ｓｔｏｃｋ２．ｇｉｆ、ｓｔｏｃｋ３．ｇｉｆ、ｄｒｕｇ１．ｇｉｆ、およびｄｒｕｇ２．ｇｉｆが互いに似通っていることが検出され、画像ｓｏｆｔ１．ｇｉｆとｓｏｆｔ２．ｇｉｆが互いに関連しているが、他の画像とは異なることが検出されることが示される。
【００７６】
したがって、ｓｔｏｃｋ１．ｇｉｆとｓｏｆｔ１．ｇｉｆが、コーパス１１０内の既知のスパム画像であるならば、解析サブシステム２００によって、ｓｔｏｃｋ２．ｇｉｆ、ｓｔｏｃｋ３．ｇｉｆ、およびｓｏｆｔ２．ｇｉｆがスパムであると、正確に検出されるが、ｄｒｕｇ２．ｇｉｆがｓｔｏｃｋ１．ｇｉｆに関連していると、不正確に検出される。
【００７７】
これは、システムの基本的な動作を示し、検出漏れの可能性も示している。このような検出漏れは、図６および７に示す修正されたシステムによって避けることができる。この場合、画像サイズ解析エンジン２１２（または１０６）によって、各画像について以下のビットマスク２１３（または１０７）が生成される。
【表３】
2010511211.tif 000005
【００７８】
したがって、ｓｔｏｃｋ１．ｇｉｆ、ｓｔｏｃｋ２．ｇｉｆ、およびｓｔｏｃｋ３．ｇｉｆは、全て、高さと幅の両方について、ビットマスク２１３（または１０７）に、共通してセットされたビットを共有しており、ｄｒｕｇ１．ｇｉｆとｄｒｕｇ２．ｇｉｆは、高さと幅の両方について、ビットマスク２１３（または１０７）に、共通してセットされたビットを共有しているが、重要なことに、ｓｔｏｃｋ１．ｇｉｆ、ｓｔｏｃｋ２．ｇｉｆ、およびｓｔｏｃｋ３．ｇｉｆとは、ビットマスク２１３（または１０７）に、共通してセットされたビットを共有していない。この情報が、判定ユニット２０８の動作２０８ｂにおいて用いられて、一方のｓｔｏｃｋ１．ｇｉｆ、ｓｔｏｃｋ２．ｇｉｆ、およびｓｔｏｃｋ３．ｇｉｆと、他方のｄｒｕｇ１．ｇｉｆおよびｄｒｕｇ２．ｇｉｆとが互いに関連していないことが推論され、それによって、上述の誤検出が回避される。
【００７９】
他の方策は、共通の表現をより大きくして、より厳しい画像比較が行われるように圧縮関数の強さを弱めることである。共通の表現が、前と同じ８色で６４×６４ピクセルの表現の場合、圧縮された画像に対して以下のハッシュ値２０７（または１０４）が導き出される。
【表４】
2010511211.tif 000006
【００８０】
この場合、ｓｔｏｃｋ１．ｇｉｆ、ｓｔｏｃｋ２．ｇｉｆ、およびｓｔｏｃｋ３．ｇｉｆは似通っていると検出されるが、他の画像は似通っていると検出されない。したがって、上述の誤検出は回避されるが、検出率の低下の犠牲を払うことになる。
【図１】
2010511211.tif 000007
【図２】
2010511211.tif 000008
【図３】
2010511211.tif 000009
【図４】
2010511211.tif 000010
【図５】
2010511211.tif 000011
【図６】
2010511211.tif 000012
【図７】
2010511211.tif 000013
【図８】
2010511211.tif 000014
【図９】
2010511211.tif 000015
【図１０】
2010511211.tif 000016
【図１１】
2010511211.tif 000017
【図１２】
2010511211.tif 000018
【図１３】
2010511211.tif 000019
【図１４】
2010511211.tif 000020
【国際調査報告】
2010511211.tif 000021
2010511211.tif 000022
2010511211.tif 000023