このアプリケーションの一部のコンテンツは現時点では利用できません。
このような状況が続く場合は、にお問い合わせくださいフィードバック & お問い合わせ
1. (WO2018179586) 解析システム、解析方法及びプログラム
Document

明 細 書

発明の名称 解析システム、解析方法及びプログラム

技術分野

0001  

背景技術

0002   0003  

先行技術文献

特許文献

0004  

発明の概要

発明が解決しようとする課題

0005  

課題を解決するための手段

0006   0007   0008  

発明の効果

0009  

図面の簡単な説明

0010   0011  

発明を実施するための形態

0012   0013   0014   0015   0016   0017   0018   0019   0020   0021   0022   0023   0024   0025   0026   0027   0028   0029   0030   0031   0032   0033   0034   0035   0036   0037   0038   0039   0040   0041   0042   0043   0044   0045   0046   0047   0048   0049   0050   0051   0052   0053   0054   0055   0056   0057   0058   0059   0060   0061   0062   0063   0064   0065   0066   0067   0068   0069   0070   0071   0072   0073   0074   0075   0076   0077   0078   0079   0080   0081   0082   0083   0084   0085   0086   0087   0088   0089   0090   0091   0092   0093   0094   0095   0096   0097   0098   0099   0100   0101   0102   0103   0104   0105   0106   0107   0108   0109   0110   0111   0112   0113   0114   0115   0116   0117   0118   0119   0120   0121   0122   0123   0124   0125   0126   0127   0128   0129   0130   0131   0132   0133   0134   0135  

請求の範囲

1   2   3   4   5   6   7   8   9   10   11   12   13   14   15   16   17   18   19   20   21   22  

図面

1   2   3   4   5   6   7   8   9   10   11   12   13   14   15   16   17   18   19  

明 細 書

発明の名称 : 解析システム、解析方法及びプログラム

技術分野

[0001]
 本発明は、解析システム、解析方法及びプログラムに関する。

背景技術

[0002]
 本発明に関連する技術が、特許文献1に開示されている。特許文献1には、異常な金銭取引を検出する情報処理装置が開示されている。当該情報処理装置は、金銭取引のための操作が行われる端末装置から、ユーザの顔を撮影した顔画像と、金銭取引における取引金額データとを受信する。そして、当該情報処理装置は、当該人物のこれまでの金銭取引の内容に基づき、金銭取引が異常か否かを判断する。
[0003]
 例えば、所定の期間にわたって同一人物によりされた振込取引金額の合計値が閾値を上回る場合、異常な金銭取引と判断することが開示されている。その他、所定の期間にわたって同一人物によりされた振込取引の1回あたりの平均取引金額に対する新たに行われた振込取引の金額の倍率が閾値を上回る場合、異常な金銭取引と判断することが開示されている。

先行技術文献

特許文献

[0004]
特許文献1 : 特開2010-282262号公報
特許文献2 : 国際公開2014/109127号
特許文献3 : 特開2015-49574号公報

発明の概要

発明が解決しようとする課題

[0005]
 本発明は、異常な取引を検出するための新たな技術を提供することを課題とする。

課題を解決するための手段

[0006]
 本発明によれば、
 処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段と、
 前記頻度データにおいて第1の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段と、
を有する解析システムが提供される。
[0007]
 また、本発明によれば、
 コンピュータが、
 処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成工程と、
 前記頻度データにおいて第1の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出工程と、
を実行する解析方法が提供される。
[0008]
 また、本発明によれば、
 コンピュータを、
 処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段、
 前記頻度データにおいて第1の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段、
として機能させるプログラムが提供される。

発明の効果

[0009]
 本発明によれば、異常な取引の可能性がある対象を抽出する新たな技術が実現される。

図面の簡単な説明

[0010]
 上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
[0011]
[図1] 本実施形態の解析システムのハードウエア構成の一例を概念的に示す図である。
[図2] 本実施形態の解析システムの機能ブロック図の一例である。
[図3] 本実施形態の解析システムの機能ブロック図の一例である。
[図4] 本実施形態の解析システムの機能ブロック図の一例である。
[図5] 本実施形態の前提技術を説明するための図である。
[図6] 本実施形態の前提技術を説明するための図である。
[図7] 本実施形態の解析システムの処理例を説明するための図である。
[図8] 本実施形態の解析システムで処理されるデータの一例を説明するための図である。
[図9] 本実施形態の解析システムで処理されるデータの一例を説明するための図である。
[図10] 本実施形態の解析システムで処理されるデータの一例を説明するための図である。
[図11] 本実施形態の解析システムで処理されるデータの一例を説明するための図である。
[図12] 本実施形態の解析システムと他の装置との関係を示す機能ブロック図の一例である。
[図13] 本実施形態の解析システムの処理の流れの一例を示すフローチャートである。
[図14] 本実施形態の解析システムの処理の流れの一例を示すフローチャートである。
[図15] 本実施形態の解析システムの処理の流れの一例を示すフローチャートである。
[図16] 本実施形態の解析システムの処理の流れの一例を示すフローチャートである。
[図17] 本実施形態の解析システムの機能ブロック図の一例である。
[図18] 本実施形態の解析システムの機能ブロック図の一例である。
[図19] 本実施形態の解析システムで処理されるデータの一例を説明するための図である。

発明を実施するための形態

[0012]
<第1の実施形態>
 まず、本実施形態の解析システムの主たる特徴を簡単に説明する。本実施形態の解析システムは、以下で説明する複数の主たる特徴の中の少なくとも1つを有する。
[0013]
「特徴A」
 本実施形態の解析システムは、取引の現場を撮影した画像データから人物を抽出し、抽出した人物毎(処理対象毎)に、取引(所定イベント)の発生頻度の時間変化を示す頻度データを生成する。画像データに現れる頻度が高い人物ほど、取引の発生頻度が高い人物となる。取引は、例えば、ATM(automatic teller machine)を利用した取引である。
[0014]
 そして、解析システムは、上記頻度データにおいて第1の特徴が現れている人物(処理対象)を、異常な処理対象の候補(異常対象候補)の人物として抽出する。第1の特徴は、異常な取引が発生した時の過去の頻度データに現れている特徴である。第1の特徴の詳細は、以下で説明する。
[0015]
 異常な取引は、犯罪やその他のトラブルに関係した取引である。異常対象候補の人物は、異常な取引を行っている可能性がある人物である。
[0016]
 このような本実施形態の解析システムによれば、取引内容(例:取引金額)を示す情報を用いず、取引の発生頻度の時間変化の傾向に基づき、異常な取引の可能性がある人物を抽出することができる。
[0017]
「特徴B」
 本実施形態の解析システムによれば、異常対象候補の人物の中から、頻度データにおいて第2の特徴が現れている人物を排除することができる。第2の特徴は、異常が発生していない時の過去の頻度データに現れている特徴である。第2の特徴の詳細は、以下で説明する。
[0018]
 このような本実施形態の解析システムによれば、取引内容を示す情報を用いず、取引の発生頻度の時間変化の傾向に基づき、異常な取引の可能性がある人物として抽出した人物の中から、正常な取引である可能性が高い人物を排除することができる。
[0019]
「特徴C」
 また、本実施形態の解析システムによれば、取引端末の取引履歴に基づき、異常対象候補である人物が異常な取引を行っている人物(異常取引者)か否かを判断することができる。頻度データと取引履歴を用いて絞り込むことで、真に異常な取引をしている可能性が高い異常取引者を精度よく抽出できる。
[0020]
 なお、本実施形態の解析システムの場合、全ての人物の取引履歴を利用する必要はなく、異常対象候補と判断された特別な一部人物の取引履歴のみを利用すればよい。このため、プライベートな情報の乱用を抑制できる。
[0021]
「特徴D」
 また、本実施形態の解析システムによれば、異常取引者と判断した人物を示す情報を、取引端末に送信することができる。取引端末は、異常取引者と判断された人物のリストを用いて、自端末を操作する人物がリストアップされている人物か否かを判断できる。そして、リストに載っている人物を検出した場合、取引を停止したり、所定のユーザに通知したりできる。
[0022]
 次に、解析システムの構成を詳細に説明する。まず、解析システムのハードウエア構成の一例について説明する。解析システムは、任意のコンピュータのCPU(Central Processing Unit)、メモリ、メモリにロードされるプログラム、そのプログラムを格納するハードディスク等の記憶ユニット(あらかじめ装置を出荷する段階から格納されているプログラムのほか、CD(Compact Disc)等の記憶媒体やインターネット上のサーバ等からダウンロードされたプログラムをも格納できる)、ネットワーク接続用インターフェイスを中心にハードウエアとソフトウエアの任意の組合せによって実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当業者には理解されるところである。
[0023]
 図1は、解析システムのハードウエア構成を例示するブロック図である。図1に示すように、解析システムは、プロセッサ1A、メモリ2A、入出力インターフェイス3A、周辺回路4A、バス5Aを有する。周辺回路4Aには、様々なモジュールが含まれる。
[0024]
 バス5Aは、プロセッサ1A、メモリ2A、周辺回路4A及び入出力インターフェイス3Aが相互にデータを送受信するためのデータ伝送路である。プロセッサ1Aは、例えばCPU(Central Processing Unit) やGPU(Graphics Processing Unit)などの演算処理装置である。メモリ2Aは、例えばRAM(Random Access Memory)やROM(Read Only Memory)などのメモリである。入出力インターフェイス3Aは、入力装置(例:キーボード、マウス、マイク、物理キー、タッチパネルディスプレイ、コードリーダ等)、外部装置、外部サーバ、外部センサ等から情報を取得するためのインターフェイスや、出力装置(例:ディスプレイ、スピーカ、プリンター、メーラー等)、外部装置、外部サーバ等に情報を出力するためのインターフェイスなどを含む。プロセッサ1Aは、各モジュールに指令を出し、それらの演算結果をもとに演算を行うことができる。
[0025]
 解析システムは、物理的及び/又は論理的に一体となった1つの装置で構成されてもよいし、物理的及び/又は論理的に分かれた複数の装置で構成されてもよい。複数の装置で構成される場合、複数の装置は互いに情報の送受信を行うよう構成され、複数の装置が協働して解析システムの機能を実現する。
[0026]
 図2に、解析システム10の機能ブロック図の一例を示す。図示するように、解析システム10は、生成部11と、抽出部12とを有する。
[0027]
 図3に、解析システム10の機能ブロック図の他の一例を示す。図示するように、解析システム10は、生成部11及び抽出部12に加えて、判断部13を有してもよい。
[0028]
 図4に、解析システム10の機能ブロック図の他の一例を示す。図示するように、解析システム10は、生成部11、抽出部12及び判断部13に加えて、送信部14を有してもよい。
[0029]
 生成部11は、処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する。所定イベントは、ATMを利用した取引(例:入金、出金、振込、記帳等)である。処理対象は、当該金銭取引を行なう人物である。
[0030]
 ここで、本実施形態の前提技術を説明する。当該前提技術は、以下の全ての実施形態に共通である。図5に示すように、複数の取引端末20(ATM)は、蓄積装置30と任意の通信手段で通信可能に構成される。
[0031]
 そして、取引端末20は、取引履歴を蓄積装置30に送信する。蓄積装置30は、複数の取引端末20各々から受信した取引履歴を蓄積する。取引履歴は、例えば、取引日時や取引端末20を介して入力された情報等を含む。取引端末20を介して入力された情報は、例えば、取引端末20が備えるタッチパネルディスプレイや物理キー等を操作して入力された情報(例:取引金額、取引種(例:入金、出金、振込、記帳等))や、顧客のカード(例:ICカード、磁気カード等)から取得した情報等が例示される。
[0032]
 また、取引端末20は、カメラを有し、任意のタイミングで、取引を行っている人物の顔を撮影する。例えば、取引端末20に対して所定の操作(例:カードの挿入、所定の入力)がなされたタイミングで撮影してもよいし、取引端末20が所定の動作(例:出金)を行ったタイミングで撮影してもよい。取引端末20は、生成した静止画の画像ファイルを、各取引に対応付けて蓄積装置30に送信する。
[0033]
 結果、蓄積装置30には、図6に示すような情報が蓄積される。図6に示す情報は、取引ID(identifier)に、日時、ユーザ情報及び画像ファイルID等を対応付けている。日時は、取引が行われた日時である。ユーザ情報は、取引端末20を介して入力された情報から得られる情報であり、取引を行ったユーザを示す情報である。画像ファイルIDは、各取引の間に生成された画像ファイルのIDである。なお、蓄積装置30にはその他の情報が蓄積されてもよい。例えば、取引IDに対応付けて、取引内容(例:取引種、取引金額等)を示す情報が蓄積されてもよい。
[0034]
 蓄積装置30に蓄積されている当該情報に基づき、取引日時を対応付けられた画像ファイル群のデータ(以下、「処理対象データ」)が生成される。画像ファイルは、取引を行っている人物を撮影した静止画又は動画の画像ファイルである。生成部11は、当該処理対象データに基づき、頻度データを生成する。なお、プライベートな情報の乱用を抑制する観点から、上記ユーザ情報や取引内容等を含む取引履歴は処理対象データに含まれなくてもよい。
[0035]
 次に、処理対象データから頻度データを生成する処理を説明する。当該処理は、(1)同じ人物がうつる画像ファイルをまとめてグループ化する処理、及び、(2)グループ毎に頻度データを生成する処理を含む。生成部11は、1つの取引端末20に対応して生成された処理対象データに基づきこれらの処理を実行してもよい。この場合、1つの取引端末20における取引頻度の時間変化を示す頻度データが生成される。その他、複数の取引端末20に対応して生成された複数の処理対象データをまとめて処理対象とし、これらの処理を実行してもよい。この場合、複数の取引端末20に跨る取引頻度の時間変化を示す頻度データが生成される。
[0036]
 まず、(1)同じ人物がうつる画像ファイルをまとめてグループ化する処理を説明する。当該処理は、複数の画像ファイル各々から人物を抽出し、複数の画像ファイル各々から抽出された人物の外観の特徴量を抽出し、そして、外観の特徴量が類似するもの同士をまとめることで実現できる。具体的なアルゴリズムは設計的事項であるが、以下の技術を用いると、効率的なグループ化を実現できる。
[0037]
 当該技術は、複数の画像ファイル(複数の静止画ファイル、動画像の複数のフレーム等)各々から抽出した人物を、効率的に、同じ人物同士でまとめてグループ化する技術である。具体的には、図7に示すインデックスを用いてグループ化する。当該インデックスでは、複数の画像ファイル各々から抽出された人物を階層化している。ここで、各画像ファイルから検出された人物にはそれぞれ固有のIDが割り当てられる。このIDを検出IDと呼ぶ。例えば図7に示されているF001-0001などが検出IDである。F001は、画像ファイルのIDである。「-」の後の4桁の番号が、各画像ファイルから抽出された1人又は複数の人物を識別するための番号である。
[0038]
 第3層には、それまでに処理された全ての画像ファイルから得られた全ての検出IDそれぞれに対応したノードが配置される。第3層に配置された複数のノードは、特徴量の類似度が所定値以上のもの同士でまとめてグループ化されている。第3層における1つのグループは、例えば、同じ人物であると推定される人物の検出IDがまとめられたグループを表す。そこで図7では、第3層の各グループに対して固有のIDである人物IDが割り当てられている。
[0039]
 第2層には、第3層の複数のグループそれぞれから選択された1つのノード(代表ノード)が配置される。代表ノードは、その代表ノードが属する第3層のグループと紐付けられている。第2層に配置された複数のノードは、特徴量の類似度が所定値以上のもの同士でまとめてグループ化される。なお、第2層のグループ化の類似度の基準(第1のしきい値)は、第3層のグループ化の類似度の基準(第2のしきい値)よりも低い。
[0040]
 第1層には、第2層の複数のグループそれぞれから選択された1つのノード(代表ノード)が配置される。代表ノードは、その代表ノードが属する第2層のグループと紐付けられている。
[0041]
 次に、このようなインデックスを生成する処理の流れを簡単に説明する。生成部11は、最初の検出IDに対応するノードをすべての層に配置し、互いに紐付ける。そして、第3層のノードに対応して、人物IDを発行する。それ以降の検出IDは、次のような流れでインデックス化される。
[0042]
 まず、生成部11は、第1層の各ノードと、インデックス化対象の検出IDとの類似度を算出する。「各ノードとインデックス化対象の検出IDの類似度」は、各ノードに対応する検出IDで特定される人物と、インデックス化対象の検出IDで特定される人物との外観の類似度である。
[0043]
 いずれのノードとの間の類似度も第1の閾値未満である場合、生成部11は、インデックス化対象の検出IDに対応するノードをすべての層に配置し、互いに紐付ける。なお、第2層及び第3層いずれにおいても、新たなノードをいずれのグループにも属させず、新たなグループとする。そして、第3層の新たなノードに対応して、人物IDを発行する。
[0044]
 一方、第1層のいずれかのノードとの類似度が第1の閾値以上である場合、生成部11は、類似度が第1の閾値以上であった第1層のノードに紐付けられた第2層のグループ(第2層の処理対象グループ)に含まれる各ノードと、インデックス化対象の検出IDとの類似度を算出する。
[0045]
 いずれのノードとの間の類似度も第2の閾値未満である場合、生成部11は、インデックス化対象の検出IDに対応するノードを第2層及び第3層に配置し、互いに紐付ける。なお、第2層に配置した新たなノードは、上記第2層の処理対象グループに属させる。第3層に配置した新たなノードは、いずれのグループにも属させず、新たなグループとする。そして、第3層の新たなノードに対応して、人物IDを発行する。
[0046]
 一方、第2層の処理対象グループのいずれかのノードとの類似度が第2の閾値以上である場合、生成部11は、インデックス化対象の検出IDに対応するノードを第3層に配置し、類似度が第2の閾値以上であったノードと同じグループに属させる。
[0047]
 次に、(2)グループ毎(人物毎)に、頻度データを生成する処理を説明する。頻度データは、人物毎に、取引(所定イベント)の発生頻度の時間変化を示すデータである。本実施形態では、画像ファイルにうつった場合(顔がうつった画像ファイルを生成された場合)、取引を行ったという前提で頻度データを生成する。
[0048]
 頻度データは、単位時間毎の取引積算回数を示すデータであってもよい。単位時間は、例えば1日が例示されるが、2分間、10分間、1時間、12時間、1週間、1カ月等、その他の値であってもよい。
[0049]
 図2乃至4に戻り、抽出部12は、頻度データにおいて第1の特徴が現れている人物(処理対象)を、異常対象候補として抽出する。第1の特徴は、異常が発生した時(異常な取引が行われた時)の過去の頻度データに現れている特徴である。そして、第1の特徴は、異常が発生していない時の過去の頻度データに現れていない特徴である。
[0050]
 抽出部12には、予め第1の特徴が登録されている。そして、抽出部12は、当該第1の特徴が現れている頻度データを検出する。
[0051]
 第1の特徴は、例えば、所定期間内における所定イベントの発生頻度、所定イベントの発生が所定期間の中の一部期間に集中している度合い、及び、一方の軸に時間をとり他方の軸に発生頻度をとって所定イベントの発生頻度の時間変化を示した折れ線グラフの傾きの中の少なくとも1つで示されてもよい。
[0052]
 例えば、第1の特徴は、「所定期間における取引の発生回数が第1の基準値(設計的事項)以上」であってもよい。このような第1の特徴が現れている頻度データの一例を図8に示す。図は、横軸に時間をとり、縦軸に発生頻度(回数)をとっている。そして、所定イベントが1回以上発生した単位時間に対応する発生頻度をプロットし、それらを時系列に結ぶことで、所定イベントの発生頻度の時間変化を折れ線グラフで示している。以下で説明する折れ線グラフは、すべて同様の手法で表したものである。
[0053]
 第1の基準値を適切に設定することで、所定期間(図8の例の場合、1月1日から1月31日までの1か月間)における取引の発生回数が異常に多い人物を、異常対象候補として抽出できる。
[0054]
 その他、第1の特徴は、「所定期間における取引の発生回数が第2の基準値(設計的事項)以上であり、かつ、取引の発生が上記所定期間の中の一部期間に集中している」であってもよい。「第2の基準値」は、第1の基準値未満である。「一部期間」は、例えば、上記所定期間の3分の2以下、又は、半分以下であってもよい。「一部期間に集中した状態」は、上記所定期間に発生した取引の中の所定数(例:半分)以上が一部期間に発生している状態である。このような第1の特徴が現れている頻度データの一例を図9に示す。
[0055]
 このような第1の特徴を検出することで、所定期間(図8の例の場合、1月1日から1月31日までの1か月間)における取引の発生回数がある程度多く、かつ、それが一定期間に集中している人物を、異常対象候補として抽出できる。
[0056]
 その他、第1の特徴は、「所定期間における取引の発生回数が第3の基準値(設計的事項)以上であり、かつ、横軸に時間をとり縦軸に発生頻度をとって所定イベントの発生頻度の時間変化を示した折れ線グラフにおいて、傾き(以下、「グラフの傾き」)の絶対値が第4の基準値(設計的事項)以上となっている部分を有する」であってもよい。「第3の基準値」は、第1の基準値未満である。このような第1の特徴が現れている頻度データの一例を図8乃至図10に示す。
[0057]
 このような第1の特徴を検出することで、所定期間(図8の例の場合、1月1日から1月31日までの1か月間)における取引の発生回数がある程度多く、かつ、経過時間に対する単位時間の取引積算回数の変動が大きい人物を、異常対象候補として抽出できる。
[0058]
 その他、第1の特徴は、「所定期間における取引の発生回数が第5の基準値(設計的事項)以上であり、かつ、所定期間における単位時間の取引積算回数の幅(最大値と最小値の差)が第6の基準値(設計的事項)以上」であってもよい。「第5の基準値」は、第1の基準値未満である。このような第1の特徴が現れている頻度データの一例を図8乃至図10に示す。
[0059]
 このような第1の特徴を検出することで、所定期間(図8の例の場合、1月1日から1月31日までの1か月間)における取引の発生回数がある程度多く、かつ、単位時間(図8の例の場合、1日)の取引積算回数の変動が大きい人物を、異常対象候補として抽出できる。
[0060]
 ここで、異常が発生していない時の頻度データの一例を図19に示す。図示するように、通常は、所定期間における取引の発生回数は一定レベル以下となる。また、取引の発生は分散して発生し、一部期間に集中することはない。また、単位時間の取引積算回数は少ない方で安定し、その幅は小さくなる。また、単位時間の取引積算回数が短い期間で大きく変動することはないため、上記グラフの傾きの絶対値は一定レベル以下となる。
[0061]
 なお、抽出部12は、抽出した異常対象候補の中から、頻度データにおいて第2の特徴が現れている異常対象候補を排除してもよい。第2の特徴は、異常が発生していない時の過去の頻度データに現れている特徴である。そして、第2の特徴は、異常が発生している時の過去の頻度データに現れていない特徴である。
[0062]
 第2の特徴は、全ての人物に共通して適用される特徴、及び、人物毎に定められた特徴の少なくとも一方を含むことができる。
[0063]
 全ての人物に共通して適用される第2の特徴は、複数の人物の「異常が発生していない時の過去の頻度データ」に現れている特徴である。例えば、所定割合以上の人物の「異常が発生していない時の過去の頻度データ」に現れている特徴であってもよい。複数の「異常が発生していない時の過去の頻度データ」を解析することで、このような第2の特徴を抽出することができる。
[0064]
 人物毎に定められた第2の特徴は、各人物の「異常が発生していない時の過去の頻度データ」に現れている特徴である。例えば、各人物の「異常が発生していない時の過去の頻度データ」を解析し、取引の発生頻度の時間変化の傾向を算出してもよい。そして、当該傾向を、各人物の第2の特徴としてもよい。
[0065]
 図3及び図4に戻り、判断部13は、取引端末20の取引履歴に基づき、異常対象候補である人物が異常取引者か否かを判断する。判断部13は、蓄積装置30に蓄積されている取引履歴(図6参照)の中の、異常対象候補である人物の画像ファイルに対応付けられている取引履歴を取得し、当該取引履歴に基づき上記判断を行う。異常対象候補でない人物の画像ファイルに対応付けられている取引履歴は取得しなくてもよい。以下、判断部13による判断処理の一例を説明する。
[0066]
「判断処理1」
 判断部13は、異常対象候補である人物が取引において取引端末20に入力した入力情報に基づき、異常対象候補である人物が異常取引者か否かを判断することができる。判断に用いる入力情報は、口座番号及び/又は口座名義(ユーザID)を含む。
[0067]
 予め、図11に示すように、各ユーザID(又は口座番号)に対応付けて、ユーザ属性が登録される。ユーザ属性は、性別、年齢、住所等である。判断部13は、入力情報と、図8に示すような登録情報に基づき、入力情報に含まれるユーザID又は口座番号に対応付けて登録されているユーザ属性を特定する。
[0068]
 また、判断部13は、異常対象候補である人物の画像ファイルに基づいた画像解析により、当該人物のユーザ属性を推定する。
[0069]
 そして、判断部13は、入力情報に含まれるユーザID又は口座番号に対応付けて登録されているユーザ属性(例:性別、年齢)と、画像ファイルに基づいた画像解析により推定した異常対象候補である人物のユーザ属性(例:性別、年齢)とが合致するか否かを判断する。そして、合致しない場合、判断部13は、当該異常対象候補である人物は異常取引者であると判断する。
[0070]
 また、判断部13は、入力情報に含まれるユーザID又は口座番号に対応付けて登録されているユーザ属性(例:住所)と、取引端末20の設置位置とに基づき、異常対象候補である人物が異常取引者か否かを判断することができる。例えば、登録されている住所と、取引端末20の設置位置との間の距離が所定の閾値以上である場合、判断部13は、当該異常対象候補である人物は異常取引者であると判断してもよい。
[0071]
 また、判断部13は、同一人物が互いに異なる複数の口座名義を入力し、取引している場合、すなわち口座名義が互いに異なる複数の口座で取引している場合、当該異常対象候補である人物は異常取引者であると判断してもよい。
[0072]
「判断処理2」
 判断部13は、異常対象候補である人物が取引において取引端末20に入力した入力情報に基づき、異常対象候補である人物が異常取引者か否かを判断することができる。判断に用いる入力情報は、取引内容を含む。
[0073]
 例えば、異常対象候補である人物が所定の期間にわたって行った振込取引金額の合計値が閾値を上回る場合、当該異常対象候補である人物は異常取引者であると判断してもよい。その他、異常対象候補である人物が引き出し限度額での出金を所定の期間内で所定回数以上行っている場合、当該異常対象候補である人物は異常取引者であると判断してもよい。
[0074]
 図4に戻り、送信部14は、異常取引者と判断された人物を示す情報を取引端末20に送信する。図12に示すように、解析システム10と、複数の取引端末20各々とは、互いに通信可能になっている。
[0075]
 取引端末20は、異常取引者と判断された人物のリストを保持する。そして、取引中の人物を撮影した画像ファイルを生成すると、当該リストと照合し、取引中の人物が異常取引者であるか否かを判断する。そして、リストに載っている人物を検出した場合、取引を停止したり、所定のユーザに通知したりする。
[0076]
 なお、解析システム10は、図8乃至図10、図19に示すような折れ線グラフをユーザに向けて出力してもよい。当該出力は、ディスプレイ、プリンター、メーラー、プロジェクタ等のあらゆる出力装置を介して実現される。
[0077]
 例えば、解析システム10は、異常取引者と判断された人物の頻度データに基づいた折れ線グラフをまとめてリスト表示してもよい。その他、解析システム10は、異常対象候補である人物の頻度データに基づいた折れ線グラフをまとめてリスト表示してもよい。このようにすれば、解析に必要なデータに絞って、出力することができる。
[0078]
 なお、図示しないが、解析システム10は、図8乃至図10、図19に示すような折れ線グラフを出力する際、併せて、検出された第1の特徴の内容を示してもよい。例えば、図8に示す折れ線グラフに対応付けて、「1カ月間における取引の発生回数が第1の基準値以上であったため、異常対象候補として抽出した」旨が表示されてもよい。
[0079]
 また、図8乃至図10、図19に示すような折れ線グラフにおいて、取引が発生している日の中のいずれかを指定する入力を受付けると、解析システム10は、指定された日に行われた取引で撮影された画像を画面に表示してもよい。
[0080]
 このような出力を行うことで、ユーザは、解析システム10による解析結果の検証を効率的に行うことができる。
[0081]
 次に、本実施形態の解析システム10の処理の流れの一例を説明する。
[0082]
 図13のフローチャートに示すように、生成部11が、取引の現場を撮影した画像データに基づき、人物毎に、取引の発生頻度の時間変化を示す頻度データを生成すると(S10)、抽出部12は、頻度データにおいて第1の特徴が現れている人物を、異常対象候補として抽出する(S11)。
[0083]
 当該処理によれば、取引内容を示す情報を用いず、取引の発生頻度の時間変化の傾向に基づき、画像にうつる複数の人物の中から、異常な取引の可能性がある人物を抽出することができる。
[0084]
 抽出した異常対象候補に絞り込んで、以降の分析、解析、捜査等を行うことで、これらの作業の効率が向上する。
[0085]
 なお、図14のフローチャートに示すように、S11の後に、抽出部12は、S11で抽出した異常対象候補の中から、頻度データにおいて第2の特徴が現れている人物を排除してもよい(S12)。
[0086]
 当該処理によれば、異常な取引の可能性がある人物を、より高精度に絞り込むことができる。結果、以降の分析、解析、捜査等の作業の効率が向上する。
[0087]
 また、図15のフローチャートに示すように、S12の後に、判断部13は、取引端末20の取引履歴に基づき、異常対象候補である人物が異常取引者か否かを判断してもよい(S13)。
[0088]
 当該処理によれば、頻度データと取引履歴を用いて絞り込むことで、真に異常な取引をしている可能性が高い異常取引者を精度よく抽出できる。
[0089]
 また、取引の発生頻度の時間変化の傾向に基づき異常対象候補を抽出し、その後、抽出した異常対象候補に対して取引履歴を用いた判断を適用する当該処理によれば、全ての人物の取引履歴を利用する必要はなく、異常対象候補と判断された特別な一部人物の取引履歴のみを利用すればよい。このため、プライベートな情報の乱用を抑制できる。
[0090]
 また、図16のフローチャートに示すように、S13の後に、送信部14は、異常取引者と判断された人物を示す情報を取引端末20に送信してもよい。上述の通り、取引端末20は、異常取引者と判断された人物のリストを用いて、取引中の人物が異常取引者であるか否かを判断、判断結果に応じて取引を停止したり、所定のユーザに通知したりする。
[0091]
 当該処理によれば、異常取引者による異常取引の未然防止や、当該人物の逮捕の促進等が実現される。
[0092]
 次に、本実施形態の作用効果を説明する。
[0093]
 本実施形態の解析システム10によれば、異常な取引を検出するための新たな技術が実現される。
[0094]
 また、本実施形態の解析システム10によれば、取引金額等の取引内容を示すプライベートな情報を利用せずに、異常な取引の可能性がある対象(異常対象候補)を抽出することができる。プライベートな情報を利用する必要がないので、汎用性が高くなる。
[0095]
 また、本実施形態の解析システム10によれば、異常が発生した時の過去の頻度データに現れている特徴や、異常が発生していない時の過去の頻度データに現れている特徴等に基づき、異常対象候補の抽出や排除を行うことができる。結果、精度よく、異常対象候補を抽出することができる。
[0096]
 また、本実施形態の解析システム10によれば、取引履歴に基づき、異常対象候補が異常取引者であるか否かを判断できる。頻度データと取引履歴とを組み合わせて異常取引者を抽出することで、真に異常な取引をしている可能性が高い異常取引者を精度よく抽出できる。
[0097]
 なお、異常対象候補に対してのみ取引履歴を用いた判断を適用すればよいので、全ての人物の取引履歴を利用する必要はない。このため、プライベートな情報の乱用を抑制できる。
[0098]
 また、本実施形態の解析システム10によれば、異常取引者と判断された人物を取引端末20に通知できる。取引端末20は、異常取引者と判断された人物のリストを用いて、取引中の人物が異常取引者であるか否かを判断、判断結果に応じて取引を停止したり、所定のユーザに通知したりする。このため、異常取引者による異常取引の未然防止や、当該人物の逮捕の促進等が実現される。
[0099]
 ところで、複数台の取引端末20に跨って同一人物により行われた取引をまとめることができなければ、異常取引の抽出精度が落ちてしまう。例えば、複数台の取引端末に跨って同一人物により行われた取引をまとめていない特許文献1の発明においては、複数台の取引端末に跨って取引が行われた場合、同一人物による振込取引金額の合計値が閾値を実際には上回っていてもその対象を抽出できない。本実施形態の解析システム10によれば、複数台の取引端末20に跨って同一人物により行われた取引をまとめて取引頻度の時間変化を算出し、異常取引者を抽出できる。このため、異常取引者の抽出精度が良好となる。
[0100]
 ここで、変形例を説明する。当該変形例は、以下の全ての実施形態に適用可能である。当該変形例においても、各実施形態と同様の作用効果を実現できる。
[0101]
 上記説明では、取引の現場を撮影した静止画像の画像データに基づき頻度データを生成したが、取引の現場を撮影した動画像の画像データに基づき頻度データを生成してもよい。この場合、各フレームのデータを静止画像の画像データとして扱い、同様の処理で、同様の作用効果を実現できる。
[0102]
 この場合、頻度データは、単位時間毎の取引積算回数を示すデータに代えて、単位時間毎の取引積算時間を示すデータとしてもよい。取引積算時間は、各人物が単位時間内で動画像にうつっている積算時間である。
[0103]
 また、上記説明では、所定イベントはATMを利用した取引(例:入金、出金、振込、記帳等)であったが、その他であってもよい。例えば、クレジットカードや会員カードを利用した取引(支払)であってもよい。この場合、これらのカードから情報を取得する取引端末20に備えられたカメラ、又は、当該取引端末20の近くに設置されたカメラが、カード利用者を撮影(動画像又は静止画像)する。解析システム10は、任意のタイミングで所定位置にいる人物を画像データから抽出し、取引者として認識する。例えば、カードから情報を取得した際に、会計装置の前にいる人物を、取引者として認識してもよい。そして、解析システム10は、上記と同様にして、画像データの解析による異常対象候補の抽出や、取引履歴を用いた異常取引者の抽出や、取引端末20への異常取引者の通知等を行う。
[0104]
<第2の実施形態>
 本実施形態の解析システム10は、例えば以下の点で、第1の実施形態の解析システム10と異なる。本実施形態の解析システム10は、取引端末20の取引履歴に基づき、ユーザID(例:口座名義)毎、又は、口座番号毎に、取引の発生頻度の時間変化を示す頻度データを生成する。そして、解析システム10は、頻度データにおいて第1の特徴が現れているユーザID又は口座番号を、異常対象候補として抽出する。そして、解析システム10は、取引の現場を撮影した画像データに基づき、異常対象候補であるユーザID又は口座番号が、異常取引の対象か否かを判断する。
[0105]
 次に、解析システム10の構成を詳細に説明する。本実施形態の解析システム10のハードウエア構成の一例は、第1の実施形態と同様である。
[0106]
 本実施形態の解析システム10の機能ブロック図の一例は、第1の実施形態同様、図2乃至図4で示される。
[0107]
 生成部11は、処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する。所定イベントは、ATMを利用した取引(例:入金、出金、振込、記帳等)である。処理対象は、ユーザID(例:口座名義)又は口座番号である。
[0108]
 頻度データは、単位時間毎の取引積算回数を示すデータであってもよい。単位時間は、例えば1日が例示されるが、2分間、10分間、1時間、12時間、1週間、1カ月等、その他の値であってもよい。
[0109]
 抽出部12は、頻度データにおいて第1の特徴が現れているユーザID又は口座番号を、異常対象候補として抽出する。第1の特徴は、異常が発生した時(異常な取引が行われた時)の過去の頻度データに現れている特徴である。そして、第1の特徴は、異常が発生していない時の過去の頻度データに現れていない特徴である。第1の特徴の詳細や、頻度データにおいて第1の特徴が現れている処理対象を異常対象候補として抽出する処理の詳細は、第1の実施形態と同様である。処理対象を「人物」から「ユーザID又は口座番号」に変更すればよい。
[0110]
 また、抽出部12は、抽出した異常対象候補の中から、頻度データにおいて第2の特徴が現れている異常対象候補を排除してもよい。第2の特徴は、異常が発生していない時の過去の頻度データに現れている特徴である。そして、第2の特徴は、異常が発生している時の過去の頻度データに現れていない特徴である。第2の特徴の詳細や、頻度データにおいて第2の特徴が現れている処理対象を異常対象候補から排除する処理の詳細は、第1の実施形態と同様である。処理対象を「人物」から「ユーザID又は口座番号」に変更すればよい。
[0111]
 判断部13は、取引の現場を撮影した画像データに基づき、異常対象候補であるユーザID又は口座番号が異常取引の対象か否かを判断する。判断部13は、蓄積装置30に蓄積されている画像ファイルの中の、異常対象候補であるユーザID又は口座番号に対応付けられている画像ファイル(図6参照)を取得し、当該画像ファイルに基づき上記判断を行う。異常対象候補でないユーザID又は口座番号に対応付けられている画像ファイルは取得しなくてもよい。このようにすれば、通信負担や処理負担を軽減できる。
[0112]
 判断部13の処理は、第1の実施形態と同様である。すなわち、判断部13は、異常対象候補であるユーザID又は口座番号に対応付けて登録されているユーザ属性、及び、画像データから推定される異常対象候補であるユーザID又は口座番号を取引に用いた人物のユーザ属性に基づき、異常対象候補であるユーザID又は口座番号が異常取引の対象か否かを判断することができる。
[0113]
 例えば、判断部13は、異常対象候補であるユーザID又は口座番号に対応付けて登録されているユーザ属性(例:性別、年齢)、及び、画像データから推定される異常対象候補であるユーザID又は口座番号を取引に用いた人物のユーザ属性(例:性別、年齢)が合致しない場合、当該異常対象候補であるユーザID又は口座番号は異常取引の対象と判断することができる。
[0114]
 その他、判断部13は、異常対象候補である1つのユーザID又は口座番号が複数(人数は設計的事項)の人物に利用されている場合、すなわち異常対象候補の1つの口座が複数の人物に利用されている場合、当該異常対象候補であるユーザID又は口座番号は異常取引の対象と判断することができる。
[0115]
 その他、判断部13は、異常対象候補であるユーザID又は口座番号に対応付けて登録されているユーザ属性(例:住所)と、取引端末20の設置位置とに基づき、当該異常対象候補であるユーザID又は口座番号は異常取引の対象か否かを判断することができる。例えば、登録されている住所と、取引端末20の設置位置との間の距離が所定の閾値以上である場合、判断部13は、当該異常対象候補であるユーザID又は口座番号は異常取引の対象と判断してもよい。
[0116]
 送信部14は、異常取引の対象と判断されたユーザID又は口座番号を取引端末20に送信する。図12に示すように、解析システム10と、複数の取引端末20各々とは、互いに通信可能になっている。
[0117]
 取引端末20は、異常取引の対象と判断されたユーザID又は口座番号のリストを保持する。そして、当該リストを用いて、異常取引の対象と判断されたユーザID又は口座番号を用いた取引が行われている場合、それを検出することができる。そして、その取引を停止したり、所定のユーザに通知したりする。
[0118]
 なお、解析システム10は、第1の実施形態と同様、図8乃至図10、図19に示すような折れ線グラフをユーザに向けて出力してもよい。その詳細は、第1の実施形態と同様である。
[0119]
 次に、本実施形態の解析システム10の処理の流れの一例を説明する。
[0120]
 図13のフローチャートに示すように、生成部11が、取引端末20の取引履歴に基づき、ユーザID又は口座番号毎に、取引の発生頻度の時間変化を示す頻度データを生成すると(S10)、抽出部12は、頻度データにおいて第1の特徴が現れているユーザID又は口座番号を、異常対象候補として抽出する(S11)。
[0121]
 当該処理によれば、取引内容を示す情報を用いず、取引の発生頻度の時間変化の傾向に基づき、異常な取引が行われている可能性があるユーザID又は口座番号を抽出することができる。
[0122]
 抽出した異常対象候補に絞り込んで、以降の分析、解析、捜査等を行うことで、これらの作業の効率が向上する。
[0123]
 なお、図14のフローチャートに示すように、S11の後に、抽出部12は、S11で抽出した異常対象候補の中から、頻度データにおいて第2の特徴が現れているユーザID又は口座番号を排除してもよい(S12)。
[0124]
 当該処理によれば、異常な取引の可能性があるユーザID又は口座番号を、より高精度に絞り込むことができる。結果、以降の分析、解析、捜査等の作業の効率が向上する。
[0125]
 また、図15のフローチャートに示すように、S12の後に、判断部13は、取引の現場を撮影した画像データに基づき、異常対象候補であるユーザID又は口座番号が異常取引の対象か否かを判断してもよい(S13)。
[0126]
 当該処理によれば、取引の発生頻度の時間変化の傾向に基づき抽出した異常対象候補が、異常取引の対象か否かを、取引の現場を撮影した画像データに基づき判断できる。取引履歴とその他のデータ(例:画像データ)とを用いて判断することで、異常な取引をしている可能性が高いユーザID又は口座番号を精度よく抽出できる。
[0127]
 また、図16のフローチャートに示すように、S13の後に、送信部14は、異常取引の対象と判断されたユーザID又は口座番号を取引端末20に送信してもよい。上述の通り、取引端末20は、異常取引の対象と判断されたユーザID又は口座番号のリストを用いてこれらを用いた取引を検出し、当該取引を停止したり、所定のユーザに通知したりする。
[0128]
 当該処理によれば、異常取引の未然防止や、異常取引を行っている人物の逮捕の促進等が実現される。
[0129]
 次に、本実施形態の解析システム10は、第1の実施形態の解析システム10と同様の作用効果を実現できる。
[0130]
<第3の実施形態>
 図17及び図18に、本実施形態の解析システム10の機能ブロック図の一例を示す。図示するように、解析システム10は、第1の装置101と、第2の装置102とを含む。第1の装置101と第2の装置102とは、物理的及び/又は論理的に分かれて構成される。第1の装置101と第2の装置102とは、任意の手段で通信可能である。
[0131]
 第1の装置101は、生成部11と抽出部12とを有する。第2の装置102は、判断部13を有する(図17及び図18)。図18に示すように、第2の装置102は、送信部14を有してもよい。生成部11、抽出部12、判断部13及び送信部14の構成は、第1及び第2の実施形態と同様である。
[0132]
 第1の実施形態の判断部13は取引履歴を用いて処理を行うが、このような判断部13を、他の機能部と分けて構成することができる。かかる場合、取引履歴は第2の装置102内でとどめることができ、第1の装置101に入力する必要がない。
[0133]
 例えば、取引履歴を管理する主体の管理下に第2の装置102を置き、他の主体の管理下に第1の装置101を置くことで、取引履歴を管理する主体の外部に取引履歴を出すことなく、異常取引の対象や異常取引者を特定することができる。
[0134]
 以下、参考形態の例を付記する。
1. 処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段と、
 前記頻度データにおいて第1の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段と、
を有する解析システム。
2. 1に記載の解析システムにおいて、
 前記第1の特徴は、異常が発生した時の過去の前記頻度データに現れている特徴である解析システム。
3. 2に記載の解析システムにおいて、
 前記第1の特徴は、所定期間内における前記所定イベントの発生頻度、前記所定イベントの発生が前記所定期間の中の一部期間に集中している度合い、及び、一方の軸に時間をとり他方の軸に前記発生頻度をとって前記所定イベントの発生頻度の時間変化を示した折れ線グラフの傾きの中の少なくとも1つで示される解析システム。
4. 1から3のいずれかに記載の解析システムにおいて、
 前記抽出手段は、前記異常対象候補の中から、前記頻度データにおいて第2の特徴が現れている前記異常対象候補を排除する解析システム。
5. 4に記載の解析システムにおいて、
 前記第2の特徴は、異常が発生していない時の過去の前記頻度データに現れている特徴である解析システム。
6. 5に記載の解析システムにおいて、
 前記第2の特徴は、全ての前記処理対象に共通して適用される特徴、及び、前記処理対象毎に定められた特徴の少なくとも一方を含む解析システム。
7. 6に記載の解析システムにおいて、
 全ての前記処理対象に共通して適用される前記第2の特徴は、複数の前記処理対象の前記頻度データに現れている特徴である解析システム。
8. 6又は7に記載の解析システムにおいて、
 前記処理対象毎に定められた前記第2の特徴は、前記処理対象各々の前記頻度データに現れている特徴である解析システム。
9. 1から8のいずれかに記載の解析システムにおいて、
 前記処理対象は人物であり、
 前記所定イベントは取引であり、
 前記生成手段は、前記取引の現場を撮影した画像データに基づき、人物毎に、前記取引の発生頻度の時間変化を示す前記頻度データを生成する解析システム。
10. 9に記載の解析システムにおいて、
 取引端末の取引履歴に基づき、前記異常対象候補である人物が異常取引者か否かを判断する判断手段をさらに有する解析システム。
11. 10に記載の解析システムにおいて、
 前記判断手段は、前記異常対象候補である人物が前記取引において前記取引端末に入力した入力情報に基づき、前記異常対象候補である人物が前記異常取引者か否かを判断する解析システム。
12. 11に記載の解析システムにおいて、
 前記入力情報は、前記取引に用いるユーザID(identifier)及び/又は口座番号を含む解析システム。
13. 12に記載の解析システムにおいて、
 前記判断手段は、前記入力情報に含まれるユーザID又は口座番号に対応付けて登録されているユーザ属性、及び、前記画像データから推定される前記異常対象候補である人物のユーザ属性に基づき、前記異常対象候補である人物が前記異常取引者か否かを判断する解析システム。
14. 10から13のいずれかに記載の解析システムにおいて、
 前記異常取引者と判断された人物を示す情報を前記取引端末に送信する送信手段を有する解析システム。
15. 1から8のいずれかに記載の解析システムにおいて、
 前記処理対象はユーザID又は口座番号であり、
 前記所定イベントは取引であり、
 前記生成手段は、取引端末の取引履歴に基づき、ユーザID毎、又は、口座番号毎に、前記取引の発生頻度の時間変化を示す前記頻度データを生成する解析システム。
16. 15に記載の解析システムにおいて、
 前記取引の現場を撮影した画像データに基づき、前記異常対象候補であるユーザID又は口座番号が異常取引の対象か否かを判断する判断手段をさらに有する解析システム。
17. 16に記載の解析システムにおいて、
 前記判断手段は、前記異常対象候補であるユーザID又は口座番号を前記取引に用いた人物に基づき、前記異常対象候補であるユーザID又は口座番号が異常取引の対象か否かを判断する解析システム。
18. 16又は17に記載の解析システムにおいて、
 前記判断手段は、前記異常対象候補であるユーザID又は口座番号に対応付けて登録されているユーザ属性、及び、前記画像データから推定される前記異常対象候補であるユーザID又は口座番号を前記取引に用いた人物のユーザ属性に基づき、前記異常対象候補であるユーザID又は口座番号が異常取引の対象か否かを判断する解析システム。
19. 16から18のいずれかに記載の解析システムにおいて、
 異常取引の対象と判断されたユーザID又は口座番号を前記取引端末に送信する送信手段を有する解析システム。
20. 10から14、16から19の中のいずれかに記載の解析システムにおいて、
 前記生成手段及び前記抽出手段を有する第1の装置と、
 前記判断手段を有する第2の装置と、
を有し、
 前記第1の装置と前記第2の装置は物理的に分かれて構成され、互いに通信可能である解析システム。
21. コンピュータが、
 処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成工程と、
 前記頻度データにおいて第1の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出工程と、
を実行する解析方法。
22. コンピュータを、
 処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段、
 前記頻度データにおいて第1の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段、
として機能させるプログラム。
[0135]
 この出願は、2017年3月31日に出願された日本出願特願2017-072161号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

請求の範囲

[請求項1]
 処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段と、
 前記頻度データにおいて第1の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段と、
を有する解析システム。
[請求項2]
 請求項1に記載の解析システムにおいて、
 前記第1の特徴は、異常が発生した時の過去の前記頻度データに現れている特徴である解析システム。
[請求項3]
 請求項2に記載の解析システムにおいて、
 前記第1の特徴は、所定期間内における前記所定イベントの発生頻度、前記所定イベントの発生が前記所定期間の中の一部期間に集中している度合い、及び、一方の軸に時間をとり他方の軸に前記発生頻度をとって前記所定イベントの発生頻度の時間変化を示した折れ線グラフの傾きの中の少なくとも1つで示される解析システム。
[請求項4]
 請求項1から3のいずれか1項に記載の解析システムにおいて、
 前記抽出手段は、前記異常対象候補の中から、前記頻度データにおいて第2の特徴が現れている前記異常対象候補を排除する解析システム。
[請求項5]
 請求項4に記載の解析システムにおいて、
 前記第2の特徴は、異常が発生していない時の過去の前記頻度データに現れている特徴である解析システム。
[請求項6]
 請求項5に記載の解析システムにおいて、
 前記第2の特徴は、全ての前記処理対象に共通して適用される特徴、及び、前記処理対象毎に定められた特徴の少なくとも一方を含む解析システム。
[請求項7]
 請求項6に記載の解析システムにおいて、
 全ての前記処理対象に共通して適用される前記第2の特徴は、複数の前記処理対象の前記頻度データに現れている特徴である解析システム。
[請求項8]
 請求項6又は7に記載の解析システムにおいて、
 前記処理対象毎に定められた前記第2の特徴は、前記処理対象各々の前記頻度データに現れている特徴である解析システム。
[請求項9]
 請求項1から8のいずれか1項に記載の解析システムにおいて、
 前記処理対象は人物であり、
 前記所定イベントは取引であり、
 前記生成手段は、前記取引の現場を撮影した画像データに基づき、人物毎に、前記取引の発生頻度の時間変化を示す前記頻度データを生成する解析システム。
[請求項10]
 請求項9に記載の解析システムにおいて、
 取引端末の取引履歴に基づき、前記異常対象候補である人物が異常取引者か否かを判断する判断手段をさらに有する解析システム。
[請求項11]
 請求項10に記載の解析システムにおいて、
 前記判断手段は、前記異常対象候補である人物が前記取引において前記取引端末に入力した入力情報に基づき、前記異常対象候補である人物が前記異常取引者か否かを判断する解析システム。
[請求項12]
 請求項11に記載の解析システムにおいて、
 前記入力情報は、前記取引に用いるユーザID(identifier)及び/又は口座番号を含む解析システム。
[請求項13]
 請求項12に記載の解析システムにおいて、
 前記判断手段は、前記入力情報に含まれるユーザID又は口座番号に対応付けて登録されているユーザ属性、及び、前記画像データから推定される前記異常対象候補である人物のユーザ属性に基づき、前記異常対象候補である人物が前記異常取引者か否かを判断する解析システム。
[請求項14]
 請求項10から13のいずれか1項に記載の解析システムにおいて、
 前記異常取引者と判断された人物を示す情報を前記取引端末に送信する送信手段を有する解析システム。
[請求項15]
 請求項1から8のいずれか1項に記載の解析システムにおいて、
 前記処理対象はユーザID又は口座番号であり、
 前記所定イベントは取引であり、
 前記生成手段は、取引端末の取引履歴に基づき、ユーザID毎、又は、口座番号毎に、前記取引の発生頻度の時間変化を示す前記頻度データを生成する解析システム。
[請求項16]
 請求項15に記載の解析システムにおいて、
 前記取引の現場を撮影した画像データに基づき、前記異常対象候補であるユーザID又は口座番号が異常取引の対象か否かを判断する判断手段をさらに有する解析システム。
[請求項17]
 請求項16に記載の解析システムにおいて、
 前記判断手段は、前記異常対象候補であるユーザID又は口座番号を前記取引に用いた人物に基づき、前記異常対象候補であるユーザID又は口座番号が異常取引の対象か否かを判断する解析システム。
[請求項18]
 請求項16又は17に記載の解析システムにおいて、
 前記判断手段は、前記異常対象候補であるユーザID又は口座番号に対応付けて登録されているユーザ属性、及び、前記画像データから推定される前記異常対象候補であるユーザID又は口座番号を前記取引に用いた人物のユーザ属性に基づき、前記異常対象候補であるユーザID又は口座番号が異常取引の対象か否かを判断する解析システム。
[請求項19]
 請求項16から18のいずれか1項に記載の解析システムにおいて、
 異常取引の対象と判断されたユーザID又は口座番号を前記取引端末に送信する送信手段を有する解析システム。
[請求項20]
 請求項10から14、16から19の中のいずれか1項に記載の解析システムにおいて、
 前記生成手段及び前記抽出手段を有する第1の装置と、
 前記判断手段を有する第2の装置と、
を有し、
 前記第1の装置と前記第2の装置は物理的に分かれて構成され、互いに通信可能である解析システム。
[請求項21]
 コンピュータが、
 処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成工程と、
 前記頻度データにおいて第1の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出工程と、
を実行する解析方法。
[請求項22]
 コンピュータを、
 処理対象毎に、所定イベントの発生頻度の時間変化を示す頻度データを生成する生成手段、
 前記頻度データにおいて第1の特徴が現れている前記処理対象を、異常対象候補として抽出する抽出手段、
として機能させるプログラム。

図面

[ 図 1]

[ 図 2]

[ 図 3]

[ 図 4]

[ 図 5]

[ 図 6]

[ 図 7]

[ 図 8]

[ 図 9]

[ 図 10]

[ 図 11]

[ 図 12]

[ 図 13]

[ 図 14]

[ 図 15]

[ 図 16]

[ 図 17]

[ 図 18]

[ 図 19]