JP2011048547A - 異常行動検知装置、監視システム及び異常行動検知方法 - Google Patents

Abstract

【課題】人物などの異常行動を検知できるようにして、物理的不正アクセスなどの不正行為を未然に防止できる物理的セキュリティ機能の実現を可能とする異常行動検知装置を提供することにある。
【解決手段】サーバルームなどの監視範囲内の人物の行動を監視する監視システム１０に適用する異常行動検知装置である。異常行動検知装置は、サーバルーム内に入室した人物の行動を識別した行動識別結果と予め登録されている作業予約情報とを比較し、この比較結果に基づいて人物の行動が適正か否かを判定する判定部１１を有する。監視システム１０は、判定部１１の判定結果が不審行動検知の場合には、サーバルームの入口を施錠するなどの対策処理を実行する。
【選択図】図１

Description

本発明は、特に画像処理を利用して人物などの異常行動を検知する異常行動検知技術に関する。

近年、データセンタ（計算機センタも含む）において、コロケーションサービスと呼ばれる情報関係のサービスが提供されている。コロケーションサービスとは、データセンタが運用を管理するサーバルームを、ユーザである一般企業などに貸し出すサービスである。通常では、サーバルームには、複数台のサーバが設置されている。

コロケーションサービスでは、データセンタのユーザが、サーバルームに設置されているサーバを所有し、当該サーバのメンテナンスをユーザ自身で行なう場合もある。このような場合、ユーザは、サーバルームに作業員を派遣して、サーバや周辺装置（例えばディスクドライブなど）のメンテナンスを実施させることになる。

ここで、サーバルームには、他のユーザが使用するサーバも設置されている。ハイレベルのセキュリティの確保が要求されるサーバルームでは、一般的に、生体認証機能やＩＣカードを使用する照合装置などにより、厳密な入退出管理が行なわれている。しかしながら、サーバルームに入室した作業員などの人物の行動を厳密に管理し、例えばサーバに物理的不正アクセスなどによる情報漏洩を防止するための仕組みはない。

従来、予め登録された保守作業予約と被保守サーバでの保守作業ログとを比較して、不正行為を事後に検出するシステムが提案されている（例えば、特許文献１を参照）。

特開２００６−２６８１４８号公報

先行技術のシステムは、不正行為を事後に検出するもので、いわば情報セキュリティ機能に関するものである。しかしながら、前述のサーバルームに設置されているサーバへの物理的不正アクセスによる情報漏洩リスクを排除するためには、人物の異常行動を検知し、物理的不正アクセスなどの不正行為を未然に防止する、いわば物理的セキュリティ機能が必要である。

そこで、本発明の目的は、人物などの異常行動を検知できるようにして、物理的不正アクセスなどの不正行為を未然に防止できる物理的セキュリティ機能の実現を可能とする異常行動検知装置を提供することにある。

本発明の観点は、例えばサーバルームなどの監視範囲内に存在する人物などの検知対象の行動を識別することで、その検知対象の異常行動を検知する異常行動検知装置である。

本発明の観点に従った異常行動検知装置は、検知対象の画像情報を取得する画像情報取得手段と、前記画像情報に基づいて、前記検知対象の特徴情報を取得する特徴情報取得手段と、前記特徴情報に基づいて、前記検知対象の行動を識別する行動識別手段と、前記行動識別手段の行動識別結果と前記検知対象の行動予定を示す行動予定情報との比較結果に基づいて、前記検知対象の異常行動を検知する検知手段とを備えた構成である。

本発明の異常行動検知装置であれば、例えばサーバルーム内での物理的不正アクセスなどの不正行為を未然に防止できる物理的セキュリティ機能の実現することが可能となる。

本発明の実施形態に関する監視システムの要部を示すブロック図。 本実施形態に関する画像処理部の構成を説明するためのブロック図。 本実施形態に関する画像処理部の動作を説明するためのフローチャート。 本実施形態に関する監視システムの動作を説明するためのフローチャート。 本実施形態に関する監視システムの動作を説明するためのタイミングチャート。 本実施形態に関する監視システムの動作を説明するためのタイミングチャート。

以下図面を参照して、本発明の実施形態を説明する。

［システムの構成］
図１は、本実施形態に関する監視システムの構成を説明するためのブロック図である。

監視システム１０は大別して、判定部１１と、画像処理部１２と、入退出管理部１３と、業務管理部１４とを有し、コンピュータシステムのハードウェア及びソフトウェアにより実現される構成である。なお、各機能部１２〜１４はそれぞれコンピュータからなり、ネットワークで接続されて情報の送受信ができる構成でもよい。ネットワークには、ＬＡＮなどのコンピュータネットワークだけでなく、携帯電話等などに接続する通信ネットワークも含まれる。

判定部１１は、画像処理部１２、入退出管理部１３、及び業務管理部１４から提供される情報に基づいて、例えばサーバルームの入退室者及び入室した人物の行動が適正であるか否かを判定する良否判定動作を実行する。即ち、判定部１１は、人物の行動が不適正である場合には、異常行動であると検知する異常行動検知部である。本実施形態では、監視範囲としてはサーバルームを想定する。

画像処理部１２は、監視カメラなどのセンサ１５から入力される画像情報を処理し、監視対象の人物の行動を識別する機能を有する。画像処理部１２は、行動識別情報を蓄積しているデータベース２０及び作業位置情報を蓄積しているデータベース２１を参照する。

入退出管理部１３は、例えばＩＣカードを使用する認証装置１６からの認証結果に基づいて、サーバルームの入退室者を管理する。入退出管理部１３は、認証装置１６の認証結果から個人属性情報を取得し、データベース２２に蓄積する。入退出管理部１３は、サーバルームの入口に設けられている自動ドアなどの物理ゲート１７の開閉を制御する。

業務管理部１４は、データベース２３に蓄積されている作業予約情報を管理する。即ち、業務管理部１４は、サーバルームを運営するデータセンタのオペレータから入力された作業予約情報をデータベース２３に登録し、判定部１１からの要求に応じてデータベース２３に登録されている作業予約情報を提供する。

作業予約情報とは、サーバルーム内で作業を行う作業者が、事前にデータセンタの管理者に対して申請するサーバルーム内での予定作業内容に関する情報である。具体的には、作業予約情報は、作業内容、作業日時、作業場所、作業手順、作業エリアやラックの位置、サーバの位置情報などを含む。

画像処理部１２は、図２に示すように、画像取得部１２０と、行動識別部１２１とを含む。画像取得部１２０は、センサ１５から入力される画像情報を取得し、内部のバッファメモリに格納する。センサ１５は、サーバルーム内に設置されている複数の監視カメラ１５０や、レーザ検知器１５１または赤外センサ１５２である。本実施形態では、画像取得部１２０は、監視カメラ１５０により、サーバルーム内の人物を撮影して得られる画像情報を取得する。

［システムの動作］
以下、図３から図６を参照して、本実施形態のシステムの動作を説明する。

まず、図４のフローチャート及び図５のタイミングチャートを参照して、作業者がサーバルームに入室するときに、システム１０の入退出管理部１３の動作を説明する。ここで、作業者とは、サーバルームを運営するデータセンタのユーザから派遣された人物とする。

作業者は、サーバルームの入口に設置された認証装置１６に、ＩＣカードを使用してアクセスする。認証装置１６は、ＩＣカードから個人属性情報を読み取り、認証処理を実行する。入退出管理部１３は、認証装置１６の認証結果から個人属性情報を取得し、データベース２２に蓄積する。

判定部１１は、入退出管理部１３から得られる個人属性情報と事前に登録された作業予約情報と比較し、作業予約人物と入室者は一致するか否かの判定を行う（ステップＳ１１）。このとき、判定部１１は、図５に示すように、業務管理部１４からデータベース２３に登録されている作業者名、作業日程、作業予約時刻などの作業予約情報を取得する（ステップＳ１２）。

判定部１１は、作業予約人物と入室者とが一致し、かつ作業予約時刻と入室時刻とがほぼ一致するとの判定結果が得られた場合には、作業者が適正な入室者と判定する（ステップＳ１１のＹＥＳ）。この場合、システム１０は、図５に示すように、例えば電気錠を開錠し、サーバルームの自動ドアなどの物理ゲート１７を開く。これにより、作業者は、サーバルーム内に入ることができる。

一方、システム１０は、判定部１１の判定結果が不一致の場合には電気錠を開錠せずに、物理ゲート１７の閉状態を維持する（ステップＳ１１のＮＯ，Ｓ１３）。従って、作業者が不適正である場合には、当該作業者はサーバルーム内に入室できない。

次に、作業者がサーバルーム内に入室した後のシステム１０の動作を説明する。以下、図３のフローチャートを参照して、主として画像処理部１２の動作を説明する。

本実施形態では、サーバルーム内には、複数の監視カメラ１５０が設置されている。監視カメラ１５０は、サーバルーム内に入室した人物を撮影する。画像処理部１２では、画像取得部１２０は、監視カメラ１５０から送信される画像信号を画像情報に変換して取得する（ステップＳ３）。画像処理部１２が単眼画像処理方式であれば、画像取得部１２０は、１台の監視カメラ１５０の撮影による画像情報を取得する。また、画像処理部１２がステレオ画像処理方式であれば、画像取得部１２０は、２台の監視カメラ１５０から送信される画像信号からステレオ画像情報を取得する。本実施形態では、監視カメラの台数や画角などに制限はない。

ここで、画像処理部１２は、事前に画像処理に必要なモデルのファイルを入力し、当該モデルの初期化処理を実行する（ステップＳ１，Ｓ２）。画像処理部１２は、取得した画像情報から画像処理によりサーバルーム内に入室した人物（ここでは作業者）の行動（主としてサーバへのアクセス行為）を識別する。また、作業者がアクセスしているサーバ位置を特定する。即ち、画像処理部１２は、画像処理結果に基づいて、作業者の行動識別情報（アクセスしたサーバの位置情報などを含む）を生成する。以下、詳細に説明する。

行動識別部１２１は、取得した画像情報を基に、行動識別処理を実行する（ステップＳ４）。また、行動識別部１２１は、作業（アクセス）位置の特定処理も実行する。行動識別部１２１は、行動識別処理結果（行動識別結果ファイル）および作業位置情報（位置情報ファイル）を判定部１１に出力すると共に、コンピュータシステムの端末の表示画面上に出力する（ステップＳ５）。

ここで、サーバルーム内において、識別する行動内容とは、例えばサーバ本体のラックの開閉、ディスクドライブ（ＨＤＤ）の交換、ＵＳＢメモリの抜き差し、キーボードやマウスの操作、ケーブリングなどであり、サーバやラック等の機器に対するいわば物理的アクセスに関する行動である。また、作業（アクセス）位置の特定としては、例えば、外部メディアとのインターフェースの場所である。行動識別部１２１は、サーバルーム内において例えばディスクドライブの盗難や破壊などの犯罪行為に相当する行動の識別処理も行なう。また、行動識別部１２１は、作業者の姿勢（例えば立った状態、中腰の状態、しゃがみこんだ状態）や、サーバの高さが異なる場合においても、サーバに対する物理的アクセスの行為を識別する。行動識別部１２１は、作業（アクセス）位置の特定処理として、作業者が存在するサーバルーム内のエリア、どのラックの前に存在しているか、どのサーバにアクセスしているのかなどを特定する。

このような行動識別部１２１による行動識別処理として、ルールベースで行動を識別する方法では、特定の特徴量情報に関する閾値設定に基づいて識別処理が可能となる。例えば、作業者がしゃがみこんだ姿勢で、ＵＳＢメモリを差し込む行為を識別する場合、特徴量情報の中で人物の高さ情報などに基づいて姿勢を判定する。また、人物のシルエットなどの特徴量情報に基づいて、ＵＳＢメモリを差し込む行為を識別する。このとき、識別の基準となる閾値は可変とする。

以上のようにして、作業者がサーバルーム内に入室した後のシステム１０の動作としては、図４のフローチャートに示すように、画像処理部１２は、監視カメラ１５０の撮影により当該作業者の画像情報を取得する（ステップＳ１４）。画像処理部１２は、行動識別部１２１により、作業者の行動内容及び作業（アクセス）位置を識別する行動識別処理を実行する（ステップＳ１５）。

次に、システム１０の判定部１１は、画像処理部１２から出力される行動識別結果（行動情報）に基づいて、サーバルーム内での作業者の作業（行動又は行為）が異常行動であるか否かの判定を実行する（ステップＳ１６）。具体的には、判定部１１は、データベース２３に登録されている作業予約情報を参照し、当該作業予約情報と行動情報（即ち、行動識別結果）とを比較する（ステップＳ１７）。ここで、作業予約情報と行動情報は、入退出管理部１３により管理されている個人属性情報により関連付けされている。

ここで、図５に示すように、判定部１１は、業務管理部１４からデータベース２３に登録されている作業予約情報を取得する。業務管理部１４は、サーバルームを運営するデータセンタのオペレータから入力された作業予約情報をデータベース２３に登録する。作業予約情報とは、サーバルーム内で作業を行う作業者が、事前にデータセンタの管理者に対して申請するサーバルーム内での予定作業内容に関する情報である。具体的には、作業予約情報は、作業者の所属や氏名、作業スケジュール（開始時刻、終了時刻など）、作業内容、作業場所、作業手順、作業エリアやラックの位置、サーバの位置情報などを含む。

判定部１１は、比較結果が一致する場合には、作業者の作業は適正であると判定する（ステップＳ１６のＹＥＳ）。システム１０は、判定部１１の判定結果を端末の表示画面上に出力することにより、データセンタのオペレータやサーバ管理者に通知する（ステップＳ１８）。

一方、判定部１１は、比較結果が不一致の場合には、作業者の作業は不適正であると判定する（ステップＳ１６のＮＯ）。即ち、判定部１１は、作業者の異常行動を検知する。ここで、判定部１１は、比較処理として、時間軸上での作業予約情報と行動情報（行動識別結果）とを比較して、異常行動を検知してもよい。即ち、作業予約情報として、日時や時刻が指定されている作業内容が含まれている場合に、同一日時や時刻での行動情報とを比較する。具体的には、例えばサーバのディスクドライブを交換する作業が、作業予約情報として日時や時刻が指定されている場合である。この場合、作業者の行動がディスクドライブを交換する作業であると識別されたときに、その日時や時刻が異なる場合には、当該作業者の作業は異常行動であると検知される。

判定部１１の判定結果で作業が不適正である場合に、図６に示すように、システム１０は、サーバルームの入口の電気錠を施錠して、物理ゲート１７をロックする（ステップＳ１９）。即ち、作業者が不正な行為（異常行動）を行なっていると判定した場合には、サーバルームから退室できないようにする。

また、システム１０は、警告装置を制御して、データセンタのオペレータなどにアラーム発報などを行う。この場合、システム１０は、サーバルーム内のスピーカを使用して、警告アナウンスを流すなどの警告処置を実行してもよい。システム１０は、図６に示すように、作業者の異常行動を検知すると、警告やサーバルームの入口をロックするなどの不正対策を実行する共に、データセンタのオペレータやサーバ管理者に通知する（ステップＳ１８）。

以上のようにして本実施形態の監視システム１０であれば、仮にサーバルーム内に入室を許可された作業者の場合でも、サーバルーム内での作業者の作業（行動）を監視することができる。即ち、予め登録された作業予約情報に基づいて、作業者の作業が適正であるか否かを判定し、不適正な作業が行なわれたと判定した場合（異常行動を検知した場合）には、所定の対策処理を行なうことができる。対策処理としては、サーバルームの入口ドアを施錠してロックすることや、データセンタの管理者などに対するアラーム通知、またはサーバルーム内で警告アナウンスを流すなどの処理である。

このような対策処理を行なうことにより、作業者が予定していない作業、例えばディスクドライブを持ち出すような作業を中断させることが可能となる。従って、例えば作業者を装った不審者が、サーバルーム内に入室した場合でも、サーバへの不正アクセスや、ディスクドライブなどを盗むなどの不正行為を未然に防止することが可能となる。これにより、サーバに対する不正アクセスを操作履歴などから事後に検知するだけでなく、サーバルーム内でサーバへの物理的不正アクセスや異常行動を検知すると共に中断させることが可能となる。従って、サーバへの物理的不正アクセスによる情報漏洩リスクを排除することができる。

なお、システム１０では、判定部１１が判定結果を業務管理部１４に通知することにより、業務管理部１４により、サーバルーム内での不審者の個人属性情報やサーバへの物理的アクセスの履歴情報を管理することができる。また、システム１０は、判定部１１により異常行動の人物を検知した場合に、監視カメラ１５０により撮影された当該不審者（作業者）の撮影画像をデータベースに登録してもよい。このような登録処理（一種の学習機能）により、システム１０は、次回のサーバルーム内での作業者の異常行動を検知する場合に、登録された撮影画像を参照することができる。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

１０…監視システム、１１…判定部、１２…画像処理部、１３…入退出管理部、
１４…業務管理部、１５…センサ、１６…認証装置、１７…物理ゲート、
２０…データベース（行動識別情報）、２１…データベース（作業位置情報）、
２２…データベース（個人属性情報）、２３…データベース（作業予約情報）、
１２０…画像取得部、１２１…行動識別部、１５０…監視カメラ。

Claims (13)

1. 検知対象の画像情報を取得する画像情報取得手段と、
   前記画像情報に基づいて、前記検知対象の特徴情報を取得する特徴情報取得手段と、
   前記特徴情報に基づいて、前記検知対象の行動を識別する行動識別手段と、
   前記行動識別手段の行動識別結果と前記検知対象の行動予定を示す行動予定情報との比較結果に基づいて、前記検知対象の異常行動を検知する検知手段と
   を具備したことを特徴とする異常行動検知装置。
2. 前記検知対象の予定作業内容を示す作業予約情報が設定されている記憶手段を有し、
   前記検知手段は、
   前記行動予定情報として前記記憶手段から取得する前記作業予約情報を参照し、
   前記作業予約情報と前記行動識別結果との比較結果に基づいて、前記検知対象の行動が前記予定作業内容に含まれない場合に異常行動であると検知する構成であることを特徴とする請求項１に記載の異常行動検知装置。
3. 前記作業予約情報は、時間軸上に応じた予定作業内容を示す情報を含み、
   前記検知手段は、
   前記作業予約情報と前記行動識別結果とを時間軸上で比較し、当該比較結果が異なる場合には異常行動であると検知する構成であることを特徴とする請求項２に記載の異常行動検知装置。
4. 前記検知手段は、前記検知対象として設定された監視範囲内に存在する人物の異常行動を検知するように構成されており、
   前記画像情報取得手段は、
   前記人物の認証処理により前記監視範囲内に入ることを許可された人物の画像情報を取得するように構成されていることを特徴とする請求項１から請求項３のいずれか１項に記載の異常行動検知装置。
5. 前記検知手段は、
   前記認証処理により取得される個人属性情報を使用して、前記記憶手段から該当する人物の前記作業予約情報を参照し、前記人物の異常行動を検知するように構成されていることを特徴とする請求項４に記載の異常行動検知装置。
6. 前記行動識別手段は、
   前記行動識別結果として、人物の行動内容及び行動位置を示す行動情報を出力するように構成されていることを特徴とする請求項１から請求項５のいずれか１項に記載の異常行動検知装置。
7. 請求項１から請求項６のいずれか１項に記載の異常行動検知装置を有し、
   設定された監視範囲内で前記検知対象を撮影し、撮影により生成された前記画像情報を前記画像情報取得手段に伝送する監視カメラを有する構成であることを特徴とする監視システム。
8. 前記検知手段により前記検知対象として人物の異常行動が検知された場合に、前記監視範囲内での人物による不正行為を中断または防止するための対策処理を実行する対策処理手段を有することを特徴とする請求項７に記載の監視システム。
9. 前記対策処理手段は、
   前記監視範囲内から人物が退避することを防止する手段を含むことを特徴とする請求項８に記載の監視システム。
10. 前記対策処理手段は、
    前記監視範囲内の人物に対して警告を行なう手段を含むことを特徴とする請求項８に記載の監視システム。
11. 前記監視範囲内は、サーバが設置されているサーバルーム内であることを特徴とする請求項７から請求項１０のいずれか１項に記載の監視システム。
12. 検知対象の画像情報を取得する処理と、
    前記画像情報に基づいて、前記検知対象の特徴情報を取得する処理と、
    前記特徴情報に基づいて、前記検知対象の行動を識別する処理と、
    前記行動識別処理による行動識別結果と前記検知対象の行動予定を示す行動予定情報との比較結果に基づいて、前記検知対象の異常行動を検知する処理と
    を実行することを特徴とする異常行動検知方法。
13. 検知対象の画像情報を取得する処理と、
    前記画像情報に基づいて、前記検知対象の特徴情報を取得する処理と、
    前記特徴情報に基づいて、前記検知対象の行動を識別する処理と、
    前記行動識別処理による行動識別結果と前記検知対象の行動予定を示す行動予定情報との比較結果に基づいて、前記検知対象の異常行動を検知する処理と
    を有する手順をコンピュータに実行させるプログラム。

Images