JP7465971B2 - ロールベースアクセス制御クラスタリング機械学習モデル実行モジュールを実装する方法および装置 - Google Patents

Description

関連出願

本国際出願は、2019年12月9日付出願の米国特許出願第16/707,836号の利益を主張する。同出願の全開示内容は、参照をもって本明細書へと明確に取り入れたものとする。

本開示は、概して、ロール（役割）ベースアクセス制御（ＲＢＡＣ）モデルに関し、より具体的には、最適数のクラスタを自動的に生成することで、コンピューティング装置から受け取った１つ以上のアプリケーションへのアクセス要求の処理時間を大幅に短縮するＲＢＡＣクラスタリング機械学習モデル実行モジュールの実装方法、システムおよび装置に関する。

現在、多数の従業員を抱える企業や組織の多くは、共通のアプリケーションや資格を有する従業員（すなわち、ユーザ）同士をグループにクラスタリングする（clustering a group of）際に、困難に直面する。例えば、企業や組織は、各従業員に対する特定のアプリケーションへのアクセス権限の割当てを、同企業や同組織の人材（ＨＲ）データベースまたは人事（ＨＲ）データベースから受信した同従業員のＨＲ属性に基づいて行う場合がある。従来、多数の従業員に対するアプリケーション及び同アプリケーションへのアクセス権（access）付与の判断は、同企業や同組織のセキュリティ管理ツール（ＳＡＴ）チームにより、同従業員が属するコンシューマービジネス（ＣＢ）又はラインオブビジネス（ＬＯＢ）を判断することに基づいて行われることがあった。従来、その際には、各従業員のＨＲ属性、すなわち、業務コードやコストセンターに基づいて比較的多数のプロファイルやロールを作成することで、従業員同士を手作業でグループ分け又はクラスタリングすることがあった。このような（These）手作業でのグループ分け又はクラスタ生成は極めて時間がかかると共に一貫性に欠けており、具体的に述べると、ユーザ間でのアプリケーションの共通度やアプリケーションのロール外アクセス権（out of role access）に不満が残る。しかも、アプリケーションへのアクセス権を有する従業員を管理する管理職は、同アクセス権が同従業員にとって今でも必要か否かを年に少なくとも数回再確認する（re-certify）よう企業や組織から求められる場合がある。例えば、大半の企業や組織では機密領域へのアクセス権についての再認証を定期的に実施することもあるが、このとき、アプリケーションへのアクセス権を有する従業員を管理する管理職は、同従業員のアクセス権が今でも必要か否かについての確認を求められる場合がある。極めて大規模な企業では、権限も極めて大量になるので、極めて早いうちに手に負えなくなってくる可能性が高い。

上記に鑑みて、前述した欠点や短所を解消する解決手段として、１つ以上のアプリケーションへのアクセス要求や再認証作業（recertification）を極めて短時間で、すなわち、数分以内で効率的に処理するという解決手段の提供が望ましい。

本開示は、とりわけ、最適数のクラスタを動的に且つ自動的に生成することで、コンピューティング装置から受け取った１つ以上のアプリケーションへのアクセス要求の処理時間を大幅に短縮するＲＢＡＣクラスタリング機械学習モデル実行モジュールを実装するための各種システムやサーバや装置や方法や媒体やプログラムやプラットフォームを、一以上の各種態様および／または実施形態および／または具体的構成もしくは構成要素（sub-component）をとおして提供する。本開示は、とりわけ、最適数のクラスタを動的に且つ自動的に生成することで、コンピューティング装置から受け取った１つ以上のアプリケーションへのアクセス要求の処理時間を大幅に短縮し、従来のように権限やロール一式を作成し且つこれらを静的に割り当てる必要性をなくしたＲＢＡＣクラスタリング機械学習モデル実行モジュールを実装するための各種システムやサーバや装置や方法や媒体やプログラムやプラットフォームについても、一以上の各種態様および／または実施形態および／または具体的構成もしくは構成要素をとおして提供する。本開示の例示的な実施形態の環境では、ユーザから要求された１つ以上のアプリケーションへのアクセス権を付与するか否かの判断が、１つ以上のアプリケーションへの同アクセス要求時に、前記ＲＢＡＣクラスタリング機械学習モデル実行モジュールを用いてリアルタイムで（例えば、本開示を限定するものではないが、約１００ミリ秒から約１秒の範囲内に）行われ得る。

本開示の一態様では、複数のアプリケーションへのアクセス権を付与するための最適数のクラスタを少なくとも１つのプロセッサ及び少なくとも１つのメモリを用いて自動的に生成する機械学習モデル実行モジュールを実装する方法について開示する。同方法は、ユーザの人事（ＨＲ）属性及びプロファイル情報データを記憶するデータベースを用意する過程と、前記データベースにおける（from）ユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする過程と、プロセッサを用いて階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成する過程と、前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする前記過程を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復する過程と、を備え得る。

本開示の他の態様において、前記方法は、さらに、ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとの類似度を共通度とし、最大数の共通度を有する最小数のクラスタを求めることに基づいて、前記最適数のクラスタを求める過程、を備え得る。

本開示のさらなる他の態様において、前記最適数のクラスタは、クラスタ数がｘ軸に対応して共通度がｙ軸に対応するグラフの曲線上の、クラスタ数をそれ以上増やしても共通度が増加しない一点であり得る。

本開示のさらなる他の態様において、前記最大数の共通度は、ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとが約７０％から約９０％の類似度であることを含み得る。

本開示のさらなる他の態様において、前記機械学習モデルは、前記最適数のクラスタを有するロールベースアクセス制御機械学習モデルであり得る。

本開示のさらなる他の態様において、各クラスタは、同クラスタに属する全ユーザの固有セキュリティ識別子、およびユーザ同士に共通するアプリケーションへのアクセス権に関するデータを含み得る。

本開示のさらなる他の態様において、各ユーザの前記ＨＲ属性は、業務コード、コストセンター、場所、役職および職位のうちの少なくとも１つについてのデータを含み得る（但し、本開示は、同構成に限定されない）。

本開示のさらなる他の態様において、前記方法は、さらに、前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取る過程と、前記新規ユーザのプロファイル情報に対応するアプリケーションと所与のクラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとの共通度を求めることに基づいて、前記機械学習モデルのうちの、同新規ユーザが属すべきクラスタを自動的に更新する過程と、更新された前記クラスタに基づいて、前記機械学習モデルを動的に且つ自動的に更新する過程と、更新された前記機械学習モデルにおける１つ以上の要求されたアプリケーションへのアクセス権を、前記新規ユーザにリアルタイムで付与する過程と、を備え得る。

本開示のさらなる他の態様において、前記共通度は、前記新規ユーザのプロファイル情報に対応するアプリケーションと前記クラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとが約７０％から約９０％の類似度であることを含み得る。

本開示のさらなる他の態様において、前記方法は、さらに、前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取る過程と、受け取った前記要求を前記機械学習モデルによってリアルタイムで評価し、前記新規ユーザのプロファイル情報が１つ以上の要求されたアプリケーションを含んでいないと判断することに基づいて、当該１つ以上の要求されたアプリケーションへのアクセス権を拒否する過程と、を備え得る。

本開示のさらなる他の態様では、複数のアプリケーションへのアクセス権を付与するための最適数のクラスタを自動的に生成する機械学習モデル実行モジュールを実装するシステムについて開示する。同システムは、ユーザの人事（ＨＲ）属性及びプロファイル情報データを記憶するデータベースと、通信ネットワークで前記データベースに動作可能に接続されたプロセッサと、を備え得る。前記プロセッサは、前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスし、階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成し、前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする処理を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復するように構成されたものであり得る。

本開示のさらなる他の態様において、前記プロセッサは、さらに、ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとの類似度を共通度とし、最大数の共通度を有する最小数のクラスタを求めることに基づいて、前記最適数のクラスタを求めるように構成されたものであり得る。

本開示のさらなる他の態様において、前記プロセッサは、さらに、前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取り、前記新規ユーザのプロファイル情報に対応するアプリケーションと所与のクラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとの共通度を求めることに基づいて、前記機械学習モデルのうちの、同新規ユーザが属すべきクラスタを自動的に更新し、更新された前記クラスタに基づいて、前記機械学習モデルを動的に且つ自動的に更新し、更新された前記機械学習モデルにおける１つ以上の要求されたアプリケーションへのアクセス権を、前記新規ユーザにリアルタイムで付与するように構成されたものであり得る。

本開示のさらなる他の態様において、前記プロセッサは、さらに、前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取り、受け取った前記要求を前記機械学習モデルによってリアルタイムで評価し、前記新規ユーザのプロファイル情報が１つ以上の要求されたアプリケーションを含んでいないと判断することに基づいて、当該１つ以上の要求されたアプリケーションへのアクセス権を拒否するように構成されたものであり得る。

本開示のさらなる他の態様では、複数のアプリケーションへのアクセス権を付与するための最適数のクラスタを自動的に生成する機械学習モデル実行モジュールを実装するための命令を記憶するように構成された非過渡的なコンピュータ読取り可能媒体について開示する。前記命令が実行されると、プロセッサは、データベースにおけるユーザの人事（ＨＲ）属性及びプロファイル情報データにアクセスする手順と、階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成する手順と、前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする前記手順を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復する手順と、を実行し得る。

以下の詳細な説明では、本開示の好適な実施形態についての本開示を限定しない実施例を用いて、下記の（noted）複数の図面を参照しながら本開示について詳述する。複数の図をとおして、同一の符号は、同一の構成／構成要素（element）を表すものとする。

例示的な一実施形態において、機械学習モデル実行モジュールを実装するコンピュータシステムを示す図である。 例示的な一実施形態において、機械学習モデル実行装置を含むネットワーク環境の一例を示す図である。 例示的な一実施形態において、機械学習モデル実行モジュールを含む図２の機械学習モデル実行装置を実装するシステムを示す図である。 例示的な一実施形態において、図３の機械学習モデル実行モジュールを実装するシステムを示す図である。 例示的な一実施形態において、機械学習モデル実行モジュールによって生成された機械学習モデルを表示するグラフィカルユーザインターフェース（ＧＵＩ）を示す図である。 本開示の機械学習モデル実行モジュールを使わずに生成されたクラスタとアプリケーション共通度のグラフである。 例示的な一実施形態の機械学習モデル実行モジュールを使って生成されたクラスタとアプリケーション共通度のグラフである。 例示的な一実施形態において、機械学習モデル実行モジュールを実装する方法の一例を示すフローチャートである。

本開示は、一以上の各種態様および／または実施形態および／または具体的構成もしくは構成要素（sub-component）をとおして、先に詳述した利点や後で説明する利点の少なくとも１つを奏するものであるように意図している。

また、実施例は、本明細書で例示的に図示・説明する本技術の少なくとも１つの態様についての命令が記憶された、少なくとも１つの非過渡的なコンピュータ読取り可能媒体として具現化され得る。一部の実施例における命令は、少なくとも１つのプロセッサによって実行されることで本明細書で図示・説明する本技術の実施例の方法を実現するのに必要となる手順を同プロセッサに実施させる、実行可能なコードを含有する。

本開示の分野における慣習どおり、例示的な実施形態は、機能ブロックおよび／または機能単位および／またはモジュールによって図示・説明している。当業者であれば、このようなブロックおよび／または機能単位および／またはモジュールが、論理回路、ディスクリート部品、マイクロプロセッサ、ハードワイヤード回路、メモリ素子、配線接続部などの、半導体ベースの製造技術やその他の技術を用いて形成され得る電子回路（または光回路）によって物理的に実現されるということが分かるであろう。マイクロプロセッサなどで実現される際のブロックおよび／または機能単位および／またはモジュールは、本明細書で説明する各種機能を実行するようにソフトウェア（例えば、マイクロコード等）でプログラムされ得るほか、場合に応じて（optionally）、ファームウェアおよび／またはソフトウェアによって駆動され得る。ほかにも、各ブロックおよび／または機能単位および／またはモジュールは、専用ハードウェアで実現されたり、一部の機能を実行する専用ハードウェアとその他の機能を実行するプロセッサ（例えば、プログラムされた少なくとも１つのマイクロプロセッサおよび対応付けられた回路等）との組合せとして実現されたりし得る。また、例示的な実施形態の各ブロックおよび／または機能単位および／またはモジュールは、本発明の概念の範囲を逸脱しない範疇で、２つ以上の相互作用する別々のブロックおよび／または機能単位および／またはモジュールに物理的に分割されることもある。さらに、例示的な実施形態のブロックおよび／または機能単位および／またはモジュール同士は、本開示の範囲を逸脱しない範疇で、より複雑なブロックおよび／または機能単位および／またはモジュールへと物理的に合体されることもある。

「略」、「約」、「凡そ」などの用語は、量、寸法、向き又は配置に比較的僅かな違いしかないこと、かつ／あるいは、特定の（certain）構成要素の動作、機能又は構造を著しく変えない程度の量、寸法、向き又は配置のばらつきを反映した用語であり得る。例えば、「約０．１から約１」という範囲は、例えば０．１±０％～５％から１±０％～５％などの範囲を、（記載の範囲と同じ効果が維持されるのであれば尚更）包含し得る。

図１に、本明細書に記載する実施形態に係る用途のシステムの一例を示す。システム１００は、概略的に図示したものであり、コンピュータシステム１０２（同符号は同システム全体を指す）を含み得る。

コンピュータシステム１０２は、命令群を具備し得る。同命令群が実行されると、コンピュータシステム１０２は、本明細書に開示する方法やコンピュータベースの機能のうちの任意の１つ以上を、単独で又は後述する他の装置と協働で実行し得る。コンピュータシステム１０２は、スタンドアロン装置として動作するものであってもよいし、他のシステム又は周辺装置と接続されたものであってもよい。例えば、コンピュータシステム１０２は、コンピュータやサーバやシステムや通信ネットワークやクラウド環境のうちの任意の１つ以上を有していてもよいし、そのような任意の１つ以上の内部に含められたものであってもよい。さらに言えば、前記命令は、そのようなクラウドベースのコンピューティング環境で動作するものであり得る。

ネットワーク型の実装では、コンピュータシステム１０２が、サーバとして動作する構成もあれば、サーバ－クライアントユーザネットワーク環境におけるクライアントユーザコンピュータ、クラウドコンピューティング環境におけるクライアントユーザコンピュータ、またはピアツーピア（すなわち、分散）ネットワーク環境におけるピアコンピュータシステムとして動作する構成もある。コンピュータシステム１０２またはコンピュータシステム１０２の一部は、パーソナルコンピュータ、タブレットコンピュータ、セットトップボックス、携帯情報端末(PDA)、モバイルデバイス、パームトップコンピュータ、ラップトップコンピュータ、デスクトップコンピュータ、通信装置、ワイヤレススマートフォン、パーソナルトラステッドデバイス（personal trusted device）、ウェアラブルデバイス、全球測位衛星（ＧＰＳ）装置、ウェブアプライアンス、またはマシン自身が行うべき処理を指定する命令群（逐次命令群または非逐次命令群）を実行することが可能なその他の任意のマシンなどの各種装置として実現され得るか、あるいは、そのような各種装置に組み込まれ得る。また、コンピュータシステム１０２は一つしか描かれていないが、別の実施形態として、命令実行や機能実行を各自又は共同で行うシステムやサブシステムを集団で含んだ実施形態もあり得る。本開示をとおして、システムという用語は、１つ以上の命令群を各自又は共同で実行することによって１つ以上のコンピュータ機能を実施するシステム群やサブシステム群を包含していると解釈されたい。

図１に示すように、コンピュータシステム１０２は、少なくとも１つのプロセッサ１０４を備え得る。プロセッサ１０４は、有形物であり且つ非過渡的なものである。本明細書で用いる「非過渡的」という用語は、ある状態の永続的性質ではなく、ある状態の一定期間の持続的性質のことであると解釈されたい。具体的に述べると、「非過渡的」という用語は、特定の搬送波、信号又はその他の形態物についての任意の場所の任意の瞬間の一時的にしか存在しない性質などといった、一過性の性質を否定する用語である。プロセッサ１０４は、製造品および／またはマシンコンポーネントである。プロセッサ１０４は、ソフトウェア命令を実行することによって本明細書の各実施形態で説明する機能を実施するように構成されている。プロセッサ１０４は、汎用プロセッサである場合もあれば、特定用途向け集積回路（ＡＳＩＣ）の一部である場合もある。また、プロセッサ１０４は、マイクロプロセッサ、マイクロコンピュータ、プロセッサチップ、コントローラ、マイクロコントローラ、デジタルシグナルプロセッサ（ＤＳＰ）、状態マシンまたはプログラマブルロジックデバイスであってもよい。また、プロセッサ１０４は、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）などのプログラマブルゲートアレイ（ＰＧＡ）を含む論理回路とされてもよいし、ディスクリート型ゲート（discrete gate）および／またはトランジスタロジックを含む他種の回路とされてもよい。プロセッサ１０４は、中央演算処理装置（ＣＰＵ）、グラフィックスプロセシングユニット（ＧＰＵ）、または両者であってもよい。また、本明細書で説明するいずれのプロセッサも、複数のプロセッサ、並列プロセッサ、または両者からなるものであってよい。複数のプロセッサは、一つの装置に含まれるか又は一つの装置と接続されたものであってもよいし、複数の装置に含まれるか又は複数の装置と接続されたものであってもよい。

コンピュータシステム１０２は、さらに、コンピュータメモリ１０６を備え得る。コンピュータメモリ１０６は、通信可能な（in communication）静的メモリ、動的メモリ、または両者からなり得る。本明細書で説明するメモリは、データや実行可能な命令を記憶し得る有形物の記憶媒体であり、命令が記憶されているあいだは非過渡的といえる。再び述べるが、本明細書で用いる「非過渡的」という用語は、ある状態の永続的性質ではなく、ある状態の一定期間の持続的性質のことであると解釈されたい。具体的に述べると、「非過渡的」という用語は、特定の搬送波、信号又はその他の形態物（form）についての任意の場所の任意の瞬間の一時的にしか存在しない性質などといった、一過性の性質を否定する用語である。前記メモリは、製造品および／またはマシンコンポーネントである。本明細書で説明するメモリは、コンピュータによってデータや実行可能な命令が読み取られることが可能なコンピュータ読取り可能媒体である。本明細書で説明するメモリは、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、フラッシュメモリ、電気的にプログラム可能な読出し専用メモリ（ＥＰＲＯＭ）、電気的に消去可能でプログラム可能な読出し専用メモリ（ＥＥＰＲＯＭ）、レジスタ、ハードディスク、キャッシュ、リムーバブルディスク、テープ、コンパクトディスク読出し専用メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、フロッピーディスク、ブルーレイディスク、または当該技術分野で知られているその他の任意の形態の記憶媒体であり得る。メモリは、揮発性であっても不揮発性であってもよく、セキュアで且つ／或いは暗号化されたものであっても非セキュアで且つ／或いは暗号化されていないものであってもよい。当然ながら、コンピュータメモリ１０６は、メモリ同士の任意の組合せからなるものであっても単一の記憶装置（storage）からなるものであってもよい。

コンピュータシステム１０２は、さらに、液晶ディスプレイ（ＬＣＤ）、有機発光ダイオード（ＯＬＥＤ）、フラットパネルディスプレイ、固体表示装置、陰極線管（ＣＲＴ）、プラズマディスプレイ、その他に知られている任意の表示装置などのディスプレイ１０８を備え得る。

コンピュータシステム１０２は、さらに、キーボード、タッチセンサ入力型の画面又はパッド（touch-sensitive input screen or pad）、音声入力、マウス、ワイヤレスキーパッド付の遠隔制御（リモコン）装置、音声認識エンジンと接続されたマイクロフォン、ビデオカメラやスチルカメラなどのカメラ、カーソル制御装置、全地球測位システム（ＧＰＳ）装置、高度計、ジャイロスコープ、加速度計、近接センサ、これらの任意の組合せなどといった、少なくとも１つの入力装置１１０を備え得る。当業者であれば、コンピュータシステム１０２の各（various）実施形態が複数の入力装置１１０を備える場合もあることが分かるであろう。また、当業者であれば、入力装置１１０の上記の例が全てを網羅したものではなく、コンピュータシステム１０２が他の入力装置１１０や代わりの入力装置１１０を備えていてもよいことがさらに分かるであろう。

コンピュータシステム１０２は、さらに、本明細書で説明する任意のメモリから任意の１つ以上の命令群（例えば、ソフトウェア等）を読み取るように構成された媒体リーダー１１２を備え得る。同命令は、プロセッサで実行されることにより、本明細書で説明する方法や処理のうちの１つ以上を実施するように用いられ得る。具体的な一実施形態において、コンピュータシステム１０２で実行される際の同命令は、その全体または少なくとも一部がメモリ１０６および／または媒体リーダー１１２および／またはプロセッサ１１０内部に存在し得る。

コンピュータシステム１０２は、さらに、ネットワークインターフェース１１４、出力装置１１６などといった（但し、これらに限定されない）、コンピュータシステムとともに使用されるか又はコンピュータシステム内に含められるものとして一般的に周知・理解されている任意の追加の装置、コンポーネント、部品、周辺装置、ハードウェア、ソフトウェア、又はこれらの任意の組合せを備えていてもよい。出力装置１１６は、スピーカー、音声出力、映像出力、遠隔制御（リモコン）出力、プリンター、又はこれらの任意の組合せであり得る（但し、これらに限定されない）。

コンピュータシステム１０２の各コンポーネントは、バス１１８又はその他の通信リンクで相互接続されて通信を行い得る。各コンポーネントは、図１に示すように、内部バスで相互接続されて通信を行うものであってもよい。しかしながら、当業者であれば、いずれのコンポーネントも拡張バスで接続されてよいことが分かるであろう。また、バス１１８は、ｐｅｒｉｐｈｅｒａｌ ｃｏｍｐｏｎｅｎｔ ｉｎｔｅｒｃｏｎｎｅｃｔ （PCI）、ｐｅｒｉｐｈｅｒａｌ ｃｏｍｐｏｎｅｎｔ ｉｎｔｅｒｃｏｎｎｅｃｔ （PCI） ｅｘｐｒｅｓｓ、ｐａｒａｌｌｅｌ ａｄｖａｎｃｅｄ ｔｅｃｈｎｏｌｏｇｙ ａｔｔａｃｈｍｅｎｔ、ｓｅｒｉａｌ ａｄｖａｎｃｅｄ ｔｅｃｈｎｏｌｏｇｙ ａｔｔａｃｈｍｅｎｔなどの（但し、これらに限定されない）一般的に周知・理解されている任意の標準や他種の規格によって通信が可能なものであり得る。

コンピュータシステム１０２は、ネットワーク１２２によって少なくとも１つの追加のコンピュータ装置１２０と通信可能であり得る。ネットワーク１２２は、ローカルエリアネットワーク（LAN）、ワイドエリアネットワーク（WAN）、インターネット、電話網、狭域ネットワーク、又は当該技術分野において一般的に周知・理解されているその他の任意のネットワークであり得る（但し、これらに限定されない）。狭域ネットワークには、例えば、Ｂｌｕｅｔｏｏｔｈ、Ｚｉｇｂｅｅ、赤外線、近距離通信、超広帯域（ultraband）、これらの任意の組合せ等が含まれ得る。当業者であれば、周知・理解されている別のネットワーク１２２が追加で又は代わりに使用されてもよく、例示したネットワーク１２２は本開示を限定するものでなければ（not limiting）全てを網羅したものでもないことが分かるであろう。また、当業者であれば、図１のネットワーク１２２が無線ネットワークとして描かれているものの、同ネットワーク１２２が有線ネットワークであってもよいことが分かるであろう。

図１では、追加のコンピュータ装置１２０がパーソナルコンピュータとして描かれている。しかし、当業者であれば、本願の代替的な実施形態として、コンピュータ装置１２０がラップトップコンピュータ、タブレットＰＣ、携帯情報端末（PDA）、モバイルデバイス、パームトップコンピュータ、デスクトップコンピュータ、通信装置、無線電話、パーソナルトラステッドデバイス、ウェブアプライアンス、サーバ、あるいは、装置自身が行うべき処理を指定する逐次命令群又は非逐次命令群を実行することが可能なその他の任意の装置であってもよいことが分かるであろう。当然ながら、当業者であれば、上記の装置が例示（exemplary devices）に過ぎず、本願の範囲を逸脱しない範疇で装置１２０が当該技術分野において一般的に周知・理解されている別の装置や機器（apparatus）であってもよいことが分かるであろう。例えば、コンピュータ装置１２０は、コンピュータシステム１０２と同一又は同様のものであってもよい。また、当業者であれば、同装置が装置や機器同士の任意の組合せであってもよいことを同じく理解するであろう。

当然ながら、当業者であれば、コンピュータシステム１０２の前述した各コンポーネントが例示に過ぎず、全てを網羅したもの及び／又は全てを含んだものでないことが分かるであろう。さらに、前述したコンポーネントの各例についても例示に過ぎず、同じく全てを網羅したもの及び／又は全てを含んだものではない。

本開示の各実施形態では、本明細書で説明する方法が、ソフトウェアプログラムを実行するハードウェアコンピュータシステムで実現され得る。また、本開示を限定しない例示的な一実施形態での実装形態には、分散処理、コンポーネント／オブジェクト分散処理、および並列処理が含まれ得る。本明細書で説明する方法や機能のうちの１つ以上を実現するのに、仮想コンピュータシステム処理が構築されてもよく、仮想処理環境をサポートするものとして、本明細書で説明するプロセッサが用いられてもよい。

本明細書に記載する各実施形態は、最適数のクラスタを動的に且つ自動的に生成することで、コンピューティング装置から受け取った１つ以上のアプリケーションへのアクセス要求の処理時間を大幅に短縮する機械学習モデル実行モジュールを実装する、最適化された方法を提供し得る。例示的な実施形態において、同機械学習モデル実行モジュールは、ロールベースアクセス制御（ＲＢＡＣ）クラスタリング機械学習モデル実行モジュールであり得る。本明細書に記載する各実施形態は、さらに、最適数のクラスタを自動的に生成することで、コンピューティング装置から受け取った１つ以上のアプリケーションへのアクセス要求の処理時間を大幅に短縮し、従来のように権限やロール一式を作成し且つこれらを静的に割り当てる必要性をなくしたＲＢＡＣクラスタリング機械学習モデル実行モジュールを実装する、最適化された方法を提供し得る。本開示の例示的な実施形態の環境（context）では、ユーザから要求された１つ以上のアプリケーションへのアクセス権を付与するか否かの判断が、１つ以上のアプリケーションへの同アクセス要求時に、前記ＲＢＡＣクラスタリング機械学習モデル実行モジュールを用いてリアルタイムで（例えば、本開示を限定するものではないが、約１００ミリ秒から約１秒の範囲内に）行われ得る。

図２を参照すると、本開示の機械学習モデル実行装置（ＭＬＭＥＤ）を実現するためのネットワーク環境２００の一例の概要が描かれている。

本開示のＭＬＭＥＤを実装していない従来のシステムでは、最適数のクラスタを自動的に且つ動的に生成することができないため、コンピューティング装置から受け取った１つ以上のアプリケーションへのアクセス要求の処理時間が大幅に長期化する可能性がある。つまり、従来のシステムでは、権限（permission）やロール一式を作成し且つこれらを手作業で静的に割り当てる必要があるが、一貫性に欠ける可能性があり、具体的には、クラスタ内のメンバ同士のアプリケーションの共通度やクラスタ内のメンバ同士のアプリケーションのロール外アクセス権（out of role access）に不満が残る。

例示的な実施形態では、図２に示すような脆弱性公開管理モジュールを備えたＭＬＭＥＤ２０２を実装することで、従来のシステムにまつわる上記の問題点が解消され得る。ＭＬＭＥＤ２０２は、図１に関して説明したコンピュータシステム１０２と同一又は同様のものであってもよい。

ＭＬＭＥＤ２０２は、実行可能な命令を含み得る少なくとも１つのアプリケーションを記憶し得る。ＭＬＭＥＤ２０２は、同命令を実行することで、例えばネットワークメッセージの送信、受信、処理等の動作を実施したり図面を参照しながら後で図示・説明するその他の動作を実施したりする。同アプリケーションは、別のアプリケーションのモジュールやコンポーネントとして実現される場合もある。また、同アプリケーションは、オペレーティングシステムの拡張、モジュール、プラグインなどとして実現される場合もある。

さらに言えば、同アプリケーションは、クラウドベースのコンピューティング環境で動作する場合もある。同アプリケーションは、クラウドベースのコンピューティング環境で管理され得る仮想マシン又は仮想サーバ内で、あるいは、そのような仮想マシン又は仮想サーバとして実行され得る。また、同アプリケーション（さらに言えば、ＭＬＭＥＤ２０２自体）は、少なくとも１つの特定の物理ネットワークコンピューティング装置に結び付けられるのではなく、クラウドベースのコンピューティング環境上で動作する仮想サーバに位置していてもよい。また、同アプリケーションは、ＭＬＭＥＤ２０２で実行される少なくとも１つの仮想マシン（ＶＭ）上で動作するものであってもよい。また、本技術の少なくとも１つの実施形態において、ＭＬＭＥＤ２０２上で動作する仮想マシンは、ハイパーバイザーによって管理又は監督され得る。

図２のネットワーク環境２００では、ＭＬＭＥＤ２０２が、通信ネットワーク２１０によって複数のクライアント装置２０８（１）～２０８（ｎ）と、複数のデータベース２０６（１）～２０６（ｎ）をホストする（すなわち、ホスト機能で動作する）複数のサーバ装置２０４（１）～２０４（ｎ）とに接続されている。ＭＬＭＥＤ２０２は、通信インターフェース（例えば、図１のコンピュータシステム１０２のネットワークインターフェース１１４等）により、通信ネットワーク２１０で互いに繋がった当該ＭＬＭＥＤ２０２および／またはサーバ装置２０４（１）～２０４（ｎ）および／またはクライアント装置２０８（１）～２０８（ｎ）間の動作可能な接続や通信を行う（但し、これとは異なる種類及び／又は数の通信ネットワークやシステムが、これとは異なる種類及び／又は数の接続及び／又は構成で、他の装置及び／又は構成要素との間に適用されてもよい）。

通信ネットワーク２１０は、図１に関して説明したネットワーク１２２と同一又は同様のものであってもよい（但し、ＭＬＭＥＤ２０２および／またはサーバ装置２０４（１）～２０４（ｎ）および／またはクライアント装置２０８（１）～２０８（ｎ）は、別のトポロジーで互いに接続されてもよい）。また、ネットワーク環境２００は、当該技術分野において周知なので本明細書では説明を省略する例えば少なくとも１つのルータおよび／またはスイッチ等といった別のネットワーク装置を含んでいてもよい。

例示に過ぎないが、通信ネットワーク２１０は、ローカルエリアネットワーク（ＬＡＮ）やワイドエリアネットワーク（ＷＡＮ）からなり得て、イーサネットや業界標準プロトコル上でＴＣＰ／ＩＰを用いるものであり得る（但し、これとは異なる種類及び／又は数のプロトコル及び／又は通信ネットワークが使用されてもよい）。本例の通信ネットワーク２０２は、適切なインターフェースメカニズムやネットワーク通信技術であれば、例えば、任意の適切な形態の通信トラフィック（例えば、音声、モデム等）、公衆交換電話網（ＰＳＴＮ）、イーサネットベースのパケットデータネットワーク（ＰＤＮ）、これらの組合せ等を含め、どのようなインターフェースメカニズムやネットワーク通信技術を用いたものであってもよい。

ＭＬＭＥＤ２０２は、スタンドアロン装置であってもよいし、例えばサーバ装置２０４（１）～２０４（ｎ）のうちの１つ以上等といった少なくとも１つの他の装置又は機器と一体的なものであってもよい。一具体例において、ＭＬＭＥＤ２０２は、サーバ装置２０４（１）～２０４（ｎ）のいずれかにホストされるものであってもよいし、それとは別の配置構成も可能である。また、ＭＬＭＥＤ２０２内の装置のうちの１つ以上が、例えば公衆ネットワーク、私設ネットワーク、クラウドネットワーク等の１つ以上を含む同一の又は別々の通信ネットワーク内にあってもよい。

複数のサーバ装置２０４（１）～２０４（ｎ）は、図１に関して説明したコンピュータシステム１０２やコンピュータ装置１２０と、同図に関して説明した任意の構成や構成同士の任意の組合せを含め、同一又は同様のものであってもよい。例えば、任意のサーバ装置２０４（１）～２０４（ｎ）は、自身の特徴のなかでも特に、少なくとも１つのプロセッサとメモリと通信インターフェースとを有し、それらがバスやその他の通信リンクで互いに接続されていてもよい（但し、これとは異なる（other）数及び／又は種類のネットワーク装置が適用されてもよい）。本例のサーバ装置２０４（１）～２０４（ｎ）は、通信ネットワーク２１０を介してＭＬＭＥＤ２０２から受け取る要求を、例えばＨＴＴＰベースのプロトコル及び／又はＪａｖａＳｃｒｉｐｔ Ｏｂｊｅｃｔ Ｎｏｔａｔｉｏｎ（ＪＳＯＮ）プロトコル等に準拠して処理し得る（但し、これとは異なるプロトコルが用いられてもよい）。

サーバ装置２０４（１）～２０４（ｎ）は、ハードウェア又はソフトウェアである場合もあれば、内部ネットワークや外部ネットワークを含み得るプール内に複数のサーバを具備したシステムを示している場合もある。サーバ装置２０４（１）～２０４（ｎ）は、メタデータ群やデータ品質ルールや新たに生成されたデータを記憶するように構成されたデータベース２０６（１）～２０６（ｎ）をホストする。

サーバ装置２０４（１）～２０４（ｎ）はそれぞれ単一の装置として描かれているが、各サーバ装置２０４（１）～２０４（ｎ）の処理のうちの１つ以上が、少なくとも１つのサーバ装置２０４（１）～２０４（ｎ）を共同で構成する少なくとも１つの個々のネットワークコンピューティング装置間で分散される場合もある。また、サーバ装置２０４（１）～２０４（ｎ）は、特定の構成形態に限定されない。つまり、サーバ装置２０４（１）～２０４（ｎ）は、それらのうちの一方のネットワークコンピューティング装置が他方のネットワークコンピューティング装置の動作を管理及び／又は調整するように稼働するという、マスタ／スレーブ的アプローチ（master/slave approach）で動作する複数のネットワークコンピューティング装置からなるものとされてもよい。

サーバ装置２０４（１）～２０４（ｎ）は、例えばクラスタアーキテクチャ内、ピアツーピアアーキテクチャ内、仮想マシン群内、クラウドアーキテクチャ内等において複数のネットワークコンピューティング装置として動作するものであってもよい。つまり、本明細書で開示する技術は単一の環境に限定されるかの如く解釈されるべきではなく、それ以外の構成形態やアーキテクチャも想定される。

複数のクライアント装置２０８（１）～２０８（ｎ）も、図１に関して説明したコンピュータシステム１０２やコンピュータ装置１２０と、同図に関して説明した任意の構成や構成同士の任意の組合せを含め、同一又は同様のものであってよい。この文脈でのクライアント装置とは、通信ネットワーク２１０にインターフェース接続して１つ以上のサーバ装置２０４（１）～２０４（ｎ）や別のクライアント装置２０８（１）～２０８（ｎ）からリソースを取得するあらゆるコンピューティング装置のことを指している。

例示的な実施形態において、本例のクライアント装置２０８（１）～２０８（ｎ）は、最適数のクラスタを動的に且つ自動的に生成することでコンピューティング装置から受け取った１つ以上のアプリケーションへのアクセス要求の処理時間を大幅に短縮するように構成され得るＭＬＭＥＤ２０２の実現を支援し（facilitate）得る、任意の種類のコンピューティング装置からなるものであり得る。つまり、クライアント装置２０８（１）～２０８（ｎ）は、例えばチャットアプリケーション、電子メールアプリケーション、音声テキスト変換（voice-to-text）アプリケーション等をホストする、モバイルコンピューティング装置、デスクトップコンピューティング装置、ラップトップコンピューティング装置、タブレットコンピューティング装置、仮想マシン（クラウドベースのコンピュータを含む）などであり得る。

クライアント装置２０８（１）～２０８（ｎ）は、通信ネットワーク２１０でＭＬＭＥＤ２０２と通信を行ってユーザ要求を伝えるためのインターフェースを提供し得る標準ウェブブラウザやスタンドアロンクライアントアプリケーションなどのインターフェースアプリケーションを実行し得る。また、クライアント装置２０８（１）～２０８（ｎ）は、数ある構成要素の中でも特に、表示画面、タッチスクリーンなどの表示装置および／または例えばキーボード等の入力装置を備え得る。

本明細書ではネットワーク環境２００の一例としてＭＬＭＥＤ２０２、サーバ装置２０４（１）～２０４（ｎ）、クライアント装置２０８（１）～２０８（ｎ）および通信ネットワーク２１０を含むネットワーク環境２００について図示・説明しているが、これとは異なる種類及び／又は数のシステム及び／又は装置及び／又はコンポーネント及び／又は構成要素がこれとは異なるトポロジーで適用されてもよい。本明細書に記載する各例のシステムが例示的なものに過ぎないという点は、同例を実現するのに用いられる特定のハードウェアやソフトウェアの変形例が本技術分野またはその関連分野の当業者であれば分かるように数多く考えられ得ることからも理解されるであろう。

ネットワーク環境２００に示されている例えばＭＬＭＥＤ２０２、サーバ装置２０４（１）～２０４（ｎ）、クライアント装置２０８（１）～２０８（ｎ）等の装置のうちの１つ以上が、同じ物理マシン上の仮想インスタンスとして動作するように構成されてもよい。例えば、ＭＬＭＥＤ２０２やサーバ装置２０４（１）～２０４（ｎ）やクライアント装置２０８（１）～２０８（ｎ）のうちの１つ以上が、通信ネットワーク２１０で通信を行う別々の装置ではなく、同一の物理的装置上で動作するものとされてもよい。また、ＭＬＭＥＤ２０２やサーバ装置２０４（１）～２０４（ｎ）やクライアント装置２０８（１）～２０８（ｎ）の数は、図２で描いている数よりも多くても少なくてもよい。

また、いずれの例においても、任意の１つのシステムや装置が２つ以上のコンピューティングシステムや装置で置き換えられてよい。これにより、冗長性やレプリケーションなどの分散処理の原理や利点も適宜実現され、望んだように（as desired）、各例の装置やシステムの堅牢性や性能を向上させることにもなり得る。また、各例は、例えば任意の適切な形態の通信トラフィック（例えば、音声、モデム等）単独、無線トラフィックネットワーク、セルラートラフィックネットワーク、パケットデータネットワーク（ＰＤＮ）、インターネット、イントラネット、これらの組合せ等を含む任意の適切なインターフェースメカニズムやトラフィック技術を用いた任意の適切なネットワークをまたいで広がるコンピュータシステムによって実現されてもよい。

図３は、例示的な一実施形態において、ＭＬＭＥＭを備えたＭＬＭＥＤを実装するシステムを示す図である。

図３に示すように、ＭＬＭＥＭ３０６を備えたＭＬＭＥＤ３０２は、通信ネットワーク３１０を介してサーバ３０４、人事（ＨＲ）属性データベース３１２およびプロファイル情報データベース３１４に接続され得る。また、ＭＬＭＥＤ３０２は、通信ネットワーク３１０を介して第１のクライアント装置３０８（１）と第２のクライアント装置３０８（ｎ）とに接続され得る（但し、本開示はこれらに限定されない）。

例示的な実施形態において、ＭＬＭＥＤ３０２は、図３に図示・説明するようにＭＬＭＥＤ３０６を備えるものとなっているが、例えば、その他のルール、ポリシー、モジュール、データベース、アプリケーション等も備え得る。例示的な実施形態では、ＨＲ属性データベース３１２とプロファイル情報データベース３１４が共同で単一のデータベースを構成し得る。例示的な実施形態では、ＨＲ属性データベース３１２とプロファイル情報データベース３１４が、いずれもＭＬＭＥＤ３０２内またはＭＬＭＥＭ３０６内に組み込まれ得る。例示的な実施形態において、ＨＲ属性データベース３１２は、ユーザ（例えば、企業や組織の従業員や管理職等）のＨＲ属性データを記憶し得る（但し、本開示はこれらに限定されない）。例示的な実施形態において、ＨＲ属性データには、企業や組織の全従業員及び管理職並びに新規の従業員及び管理職の業務コード及び／又はコストセンター及び／又は場所及び／又は役職及び／又は職位などの本開示を限定しないデータのうちの少なくとも１つが含まれ得る。ＨＲ属性データベース３１２は、全従業員及び管理職の固有セキュリティ識別子（ＳＩＤ）を記憶し得て、対応するＨＲ属性データやプロファイル情報データとの結び付けを行い得る。

例示的な実施形態において、プロファイル情報データベース３１４は、各ＳＩＤと関連付けられたプロファイルに対応するデータを記憶し得る。プロファイルには、各ＳＩＤごとのアプリケーションや資格が含まれ得る。例えば、プロファイルは、自身のＨＲ属性データに応じて同プロファイルにユーザが属する場合に同ユーザがアクセスすることが可能となるアプリケーションを特定し得る。

後述するように、ＭＬＭＥＤ３０２は、ＨＲ属性データベース３１２におけるユーザの前記ＨＲ属性とプロファイル情報データベース３１４におけるユーザの前記プロファイル情報データにアクセスすると共に、ＭＬＭＥＤ３０２内またはＭＬＭＥＭ３０６内に組み込まれたプロセッサを用いて階層クラスタリングアルゴリズムを適用し、プロファイル情報データベース３１４から受け取ったユーザ（例えば、全従業員及び管理職等）の前記プロファイル情報データに対応したアプリケーションへの、同ユーザが有するアクセス権に基づいてユーザ同士をクラスタリングすることにより、機械学習モデルを生成するように構成され得る。アプリケーションへの一クラスタ内の全ユーザのアクセス権は、互いに最も類似したものとなる。後述するように、ＭＬＭＥＤ３０２は、さらに、ＨＲ属性データベース３１２におけるユーザの前記ＨＲ属性とプロファイル情報データベース３１４におけるユーザの前記プロファイル情報データにアクセスする処理を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復するように構成され得る。

第１のクライアント装置３０８（１）および第２のクライアント装置３０８（ｎ）は、ＭＬＭＥＤ３０２と通信可能なものとして描かれている。この点で、第１のクライアント装置３０８（１）および第２のクライアント装置３０８（ｎ）は、ＭＬＭＥＤ３０２の「クライアント」であり得て、本明細書ではそのようなものであるとの前提で説明している。ただし、第１のクライアント装置３０８（１）および／または第２のクライアント装置３０８（ｎ）が必ずしもＭＬＭＥＤ３０２の「クライアント」や本明細書において同「クライアント」との関連で説明している任意の存在（any entity described in association therewith herein）でなくてもよいという点は、周知の事項であり且つ理解されることであろう。第１のクライアント装置３０８（１）及び第２のクライアント装置３０８（ｎ）のうちの一方又は両方とＭＬＭＥＤ３０２との間には、さらなる関係や代わりの関係が存在していてもよいし関係が全く存在していなくてもよい。

第１のクライアント装置３０８（１）は、例えば、スマートフォンであり得る。当然ながら、第１のクライアント装置３０８（１）は、本明細書に記載した別のどの装置であってもよい。第２のクライアント装置３０８（ｎ）は、例えば、パーソナルコンピュータ（ＰＣ）であり得る。当然ながら、第２のクライアント装置３０８（ｎ）も、本明細書に記載した別のどの装置であってもよい。例示的な実施形態において、サーバ３０４は、図２に描かれたサーバ装置２０４と同一又は同等のものであってもよい。

処理は、通信ネットワーク３１０を介して実行され得る。通信ネットワーク３１０は、前述のように複数のネットワークからなるものであってもよい。例えば、例示的な一実施形態では、第１のクライアント装置３０８（１）及び第２のクライアント装置３０８（ｎ）のうちの一方又は両方が、広帯域通信又はセルラー通信でＭＬＭＥＤ３０２と通信を行い得る。当然ながら、このような実施形態は例示に過ぎず、本開示を限定するものでも全てを網羅したものでもない。

図４は、例示的な一実施形態において、図３の機械学習モデル実行モジュールを実装するシステムを示す図である。図４に示すように、システム４００は、内部にＭＬＭＥＭ４０６が組み込まれ得るＭＬＭＥＤ４０２、人事（ＨＲ）属性データベース４１２、プロファイル情報データベース４１４、サーバ４０４、および通信ネットワーク４１０を備え得る。

図４に示すように、ＭＬＭＥＭ４０６は、通信モジュール４０８、受信モジュール４１６、アクセスモジュール４１８、グラフィカルユーザインターフェース（ＧＵＩ）４２０、生成モジュール４２２、反復モジュール４２４、判断モジュール４２６、更新モジュール４２８、実行モジュール４３０、および評価モジュール４３２を含み得る。例示的な実施形態では、（ＨＲ）属性データベース４１２およびプロファイル情報データベース４１４もＭＬＭＥＭ４０６内またはＭＬＭＥＤ４０２内に組み込まれ得るほか、ＭＬＭＥＤ４０２に、企業や組織によって管理・稼働される各種システムが含まれている場合がある。例えば、企業や組織のセキュリティ管理ツールチームが、共通のアプリケーションを有する（may share similar applications）従業員同士についての最適数のクラスタを、ＭＬＭＥＤ４０２を利用して自動的に且つ動的に生成する場合がある。

例示的な実施形態において、通信モジュール４０８、受信モジュール４１６、アクセスモジュール４１８、生成モジュール４２２、反復モジュール４２４、判断モジュール４２６、更新モジュール４２８、実行モジュール４３０、および評価モジュール４３２は、それぞれマイクロプロセッサなど（microprocessors or similar）で実現され得て、本明細書で説明する各種機能を実行するようにソフトウェア（例えば、マイクロコード等）でプログラムされ得るほか、場合に応じて、ファームウェアおよび／またはソフトウェアによって駆動され得る。ほかにも、通信モジュール４０８、受信モジュール４１６、アクセスモジュール４１８、生成モジュール４２２、反復モジュール４２４、判断モジュール４２６、更新モジュール４２８、実行モジュール４３０、および評価モジュール４３２が、それぞれ専用ハードウェアで実現されたり、一部の機能を実行する専用ハードウェアとその他の機能を実行するプロセッサ（例えば、プログラムされた少なくとも１つのマイクロプロセッサおよび対応付けられた回路等）との組合せとして実現されたりし得る。また、例示的な実施形態の通信モジュール４０８、受信モジュール４１６、アクセスモジュール４１８、生成モジュール４２２、反復モジュール４２４、判断モジュール４２６、更新モジュール４２８、実行モジュール４３０、および評価モジュール４３２は、それぞれ本発明の概念の範囲を逸脱しない範疇で、２つ以上の相互作用する別々のモジュールに物理的に分割されることもある。

処理は、通信ネットワーク４１０を介して実行され得る。通信ネットワーク４１０は、前述のように複数のネットワークからなるものであってもよい。例えば、例示的な一実施形態では、ＭＬＭＥＭ４０６の各コンポーネントが、通信モジュール４０８および通信ネットワーク４１０を介してサーバ４０４、ＨＲ属性データベース４１２およびプロファイル情報データベース４１４と通信を行い得る。当然ながら、このような実施形態は例示に過ぎず、本開示を限定するものでも全てを網羅したものでもない。

例示的な実施形態では、通信モジュール４０８が、通信ネットワーク４１０を介してＨＲ属性データベース４１２とプロファイル情報データベース４１４との間にリンクを確立するように構成され得る。

例示的な実施形態では、受信モジュール４１６が、ＨＲ属性データとプロファイル情報データの連続フィードをＨＲデータベース４１２とプロファイル情報データベース４１４から毎日ベースで受信するように構成され得ると共に、ＭＬＭＥＭ４０６が、ＨＲ属性データとプロファイル情報データの前記フィードをメモリ（図示せず）に記憶しておくことによって、共通のアプリケーションを有する（may share similar applications）ユーザ同士のクラスタをコンシューマービジネス及び／又はラインオブビジネスのユーザ同士の類似度に基づいて自動的に生成するという用途に同フィードを現在進行形で又は後から利用する（for current and future use）ように構成され得る（但し、本開示はこれらに限定されない）。

例示的な実施形態では、アクセスモジュール４１８が、ＨＲデータベース４１２におけるユーザ（例えば、従業員、管理職等）の前記ＨＲ属性データとプロファイル情報データベース４１４におけるユーザのプロファイル情報データにアクセスするように構成され得る。例示的な実施形態では、ＨＲ属性データベース４１２とプロファイル情報データベース４１４とが単一のデータベースを構成し得て、この単一のデータベースが、ユーザからこれまでに受け取った１つ以上のアプリケーションへのアクセス要求及び新規で受け取るアクセス要求の全てに関するデータについても記憶し得る。例示的な実施形態では、アクセスモジュール４１８が、ユーザのＨＲ属性、ユーザのプロファイル情報、ならびにユーザからこれまでに受け取った１つ以上のアプリケーションへのアクセス要求及び新規で受け取るアクセス要求の全てに関する全データにアクセスするように構成され得る。これらのアクセス要求は、共通のアプリケーションを有する（may share similar applications）ユーザ同士のクラスタを生成モジュール４２２が生成する際に（to）利用される。

例示的な実施形態では、生成モジュール４２２が、ユーザのＨＲ属性、ユーザのプロファイル情報、ならびにユーザからこれまでに受け取った１つ以上のアプリケーションへのアクセス要求及び新規で受け取るアクセス要求の全てに関する全データを受信するように構成され得ると共に、階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいてユーザ同士をクラスタリングすることによって機械学習モデルを生成するように構成され得る。生成された機械学習モデルは、ＧＵＩ４２０に表示され得る。アプリケーションへの一クラスタ内の全ユーザのアクセス権は、互いに最も類似したものとなる。

例示的な実施形態では、反復モジュール４２４が、対応するデータベース４１２及びデータベース４１４、あるいは、前記単一のデータベースにおける、ユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする処理を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復するように構成され得る。

例示的な実施形態では、判断モジュール４２６が、ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとの類似度を共通度とし、最大数の共通度を有する最小数のクラスタを求めることに基づいて、前記最適数のクラスタを求めるように構成され得る。

例示的な実施形態では、受信モジュール４１６が、さらに、前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取るように構成され得る。

例示的な実施形態では、更新モジュール４２８が、前記新規ユーザのプロファイル情報に対応するアプリケーションと所与のクラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとの共通度を求めることに基づいて、前記機械学習モデルのうちの、同新規ユーザが属すべきクラスタを自動的に更新するように構成され得る。

例示的な実施形態では、更新モジュール４２８が、さらに、更新された前記クラスタに基づいて、前記機械学習モデルを動的に且つ自動的に更新するように構成され得る。

例示的な実施形態では、実行モジュール４３０が、更新された前記機械学習モデルにおける１つ以上の要求されたアプリケーションへのアクセス権を、前記新規ユーザにリアルタイムで付与するように構成され得る。

図５は、例示的な一実施形態において、機械学習モデル実行モジュールによって生成された機械学習モデルを表示するグラフィカルユーザインターフェース（ＧＵＩ）を示す図である。

図５に示すように、ＧＵＩ５２０には、生成モジュール４２２によって生成された機械学習モデル５００が表示される。機械学習モデル５００は、ユーザ同士の複数のクラスタを有する。例示的な実施形態では、ＧＵＩ５２０が、６個のクラスタ５２２，５２４，５２６，５２８，５３０，５３２を有する機械学習モデル５００を表示しているが、本開示はこれらに限定されない。ＧＵＩ５２０には、ＭＬＭＥＭ４０６によって自動的に求められた前記最適数のクラスタとして、どのような数のクラスタも表示され得る。

例えば、生成モジュール４２２は、階層クラスタリングモデルアルゴリズムを適用し、共通の（similar）プリケーション群を使用する各ユーザを分析することによって最適なクラスタを生成するように構成され得る。生成モジュール４２２は、このような分析に基づいて、ユーザ同士を最適なクラスタにグループ分け又はクラスタリングするように構成され得る。例えば、例示的な一実施形態では、クラスタ５２２の生成時に、ユーザＤ００１８０７、ユーザＥ５１３２５６およびユーザＩ９３８５６３９（各ユーザの固有ＳＩＤ）がいずれも共通の（similar）融資システムや共通の（similar）データベースや共通の（similar）アプリケーションへのアクセス権を有する一方で、いずれも１つ又は２つのアクセス権が共通していない、と判断モジュール４２６が判断し得る。例えば、ユーザＤ００１８０７、ユーザＥ５１３２５６およびユーザＩ９３８５６３９はいずれもデータベースやアプリケーションを多数共有する一方で、ユーザＤ００１８０７は、残り２人のユーザＥ５１３２５６およびユーザＩ９３８５６３９がアクセス権を有さない特定のデータベースや特定のアプリケーションへのアクセス権を有している可能性があり、その逆も然りである。それでも、判断モジュール４２６は、共通度の値が所定の閾値内であり且つロール外アクセス権（out of role access）に対応する値が所定の閾値未満であると判断することにより、３人のユーザＤ００１８０７、ユーザＥ５１３２５６およびユーザＩ９３８５６３９全員がクラスタ５２２にグループ化されるべきであると判断し得る。

例示的な実施形態では、共通度の値が、ユーザの現行のアプリケーションと同ユーザのプロファイルのアプリケーションとの類似度の値を表す。例示的な実施形態において、共通度の値の比較に用いられる前記所定の閾値は、ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとの約７０％から約９０％の類似度の範囲内で前記最大数の共通度が得られること、さらには、約０％から約２５％の範囲内で最小数のロール外アクセス権の値が得られることを含み得るが、本開示はこれらに限定されない。

例えば、ユーザＤ００１８０７はアプリケーション群［ａ，ｂ，ｃ，ｄ］へのアクセス権を有し得て、クラスタ５２２は同クラスタ内のメンバにアプリケーション群［ｂ，ｃ，ｄ，ｅ］へのアクセスを許可する。判断モジュール４２６は、ユーザＤ００１８０７がクラスタ５２２に対して７５％の共通度（同ユーザの４つのアプリケーションのうち、３つのアプリケーション［ｂ，ｃ，ｄ］がクラスタ５２２に属するアプリケーションと共通している）および２５％のロール外アクセス権を有していることから、同ユーザがクラスタ５２２に属すべきと判断し得る。本例では、アプリケーションｅがロール外アクセス権になる。

例示的な実施形態において、前記最適数のクラスタは、クラスタ数がグラフのｘ軸に対応して共通度がグラフのｙ軸に対応する場合に、クラスタ数をそれ以上増やしても共通度が増加しないグラフの曲線上の一点であり得る。

例えば、図６Ａは、本開示の機械学習モデル実行モジュールを使わずに生成された、クラスタと、アプリケーション共通度のグラフである。図６Ａに示すように、アプリケーション共通度は凡そ４０％（図６Ａの線Ａ）、アプリケーションのロール外アクセス権は凡そ３５％となり、前記最適数のクラスタは５５０個となる。

例えば、本開示のＭＬＭＥＭ４０６を実装していない従来のシステムでは、最適数のクラスタを自動的に且つ動的に生成することができないため、コンピューティング装置から受け取った１つ以上のアプリケーションへのアクセス要求の処理時間が大幅に長期化する可能性がある。つまり、従来のシステムでは、権限やロール一式を作成し且つこれらを手作業で静的に割り当てる必要があるが、一貫性に欠ける可能性があり、具体的には、クラスタ内のメンバ同士のアプリケーションの共通度やクラスタ内のメンバ同士のアプリケーションのロール外アクセス権に不満が残る（共通度の値およびロール外アクセス権の値に関して先に開示した所定の許容可能閾値外となる）。

図６Ｂは、例示的な一実施形態のＭＬＭＥＭ４０６を使って生成された、クラスタと、アプリケーション共通度のグラフである。図６Ｂに示すように、アプリケーション共通度は凡そ７２％（図６Ｂの線Ｂ）、アプリケーションのロール外アクセス権は凡そ１７％となり、前記最適数（最小数）のクラスタは３００個となる。例えば、本開示のＭＬＭＥＭ４０６を実装するシステムは、最適数のクラスタを自動的に且つ動的に生成することで、コンピューティング装置から受け取った１つ以上のアプリケーションへのアクセス要求の処理時間を大幅に短縮できる可能性がある。つまり、例示的な実施形態のシステムでは、権限やロール一式を作成し且つこれらを手作業で静的に割り当てる必要がなく、一貫性に欠ける恐れがない。さらに、ＭＬＭＥＭ４０６を用いることで、クラスタ内のメンバ同士のアプリケーションの共通度やクラスタ内のメンバ同士のアプリケーションのロール外アクセス権が満足なものになる（共通度の値およびロール外アクセス権の値に関して先に開示した所定の許容可能閾値内となる）。

例示的な実施形態では、判断モジュール４２６が、最小数のクラスタで最大数の共通度を求めるように構成され得る。例えば、判断モジュール４２６は、クラスタ数をそれ以上増やしても共通度が増加しない一点（図６Ｂに示す曲線Ｂ上の点Ｃ）を自動的に求めるように構成され得る。つまり、判断モジュール４２６は、クラスタを追加しても同線が上向くことなく共通度が直線に近付くプラトー点（図６Ｂに示す曲線Ｂ上の点Ｃ）を特定するように構成され得る。例示的な本実施形態では、曲線Ｂ上の点Ｃが最大数の共通度（例えば、７２％の共通度）を有する最小数のクラスタ（例えば、３００個のクラスタ）を示した際に、最適なクラスタ点に到達したものと判断モジュール４２６が判断している。

例えば、判断モジュール４２６が曲線Ｂ上の点Ｃの前記最適なクラスタ点を求める際には、生成モジュール４２２が生成した新たなクラスタ群（例えば、５０個の新たなクラスタ）を追加するたびに、パーセントポイント（％ｐｔ）増が得られなくなったか否かの判断が行われる（it has been determined that no gain of multiple percentage point are received）。具体的に述べると、判断モジュール４２６は、これらの新たなクラスタをそれぞれ分析し、当該新たなクラスタに含まれるユーザに対応したＨＲ属性データ（例えば、業務コード、コストセンター、場所、職位等）及びプロファイル情報データから（with）、これらの新たなクラスタに属するユーザがアクセス可能となるはずであった（may be accessible）共通の（general）アプリケーションが何なのかを調べるように構成され得る。そして、判断モジュール４２６は、それらの（these）新たなクラスタを解除して既に生成済みの最適なクラスタ群（図６Ｂの本例では、既に生成済みの３００個のクラスタが最適なクラスタ群であると判断される）のうちのどのクラスタ（one）に当該新たなクラスタ内の各ユーザを追加するのかを、先に開示した最大共通度・最小ロール外アクセス権アルゴリズムを判断することに基づいて決定するように構成され得る。

例示的な実施形態では、一人のユーザが、一つのクラスタにのみ属し得る。例えば、図５に示すクラスタ５２２内のユーザは、クラスタ５２４，５２６，５２８，５３０，５３２に属すべきでなく、クラスタ５２２以外のクラスタ内のユーザについても然りである（and vice versa）。

例示的な実施形態では、機械学習モデル５００が、前記最適数（すなわち、３００個）のクラスタを有するロールベースアクセス制御機械学習モデルであり得る。

例示的な実施形態では、各クラスタ５２２，５２４，５２６，５２８，５３０，５３２が、同クラスタに属する全ユーザの固有セキュリティ識別子（ＳＩＤ）、およびユーザ同士に共通するアプリケーションへのアクセス権に関するデータを含み得る。

例示的な実施形態では、各ユーザの前記ＨＲ属性が、業務コード、コストセンター、場所、役職および職位のうちの少なくとも１つについてのデータを含み得るが、本開示はこれらに限定されない。

例示的な実施形態では、受信モジュール４１６が、さらに、前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取るように構成され得て、評価モジュール４３２が、受け取った前記要求を前記機械学習モデルによってリアルタイムで評価するように構成され得る。実行モジュール４３０は、前記新規ユーザのプロファイル情報が１つ以上の要求されたアプリケーションを含んでいないとの判断モジュール４２６の判断に基づいて、当該１つ以上の要求されたアプリケーションへのアクセス権を拒否するように構成され得る。拒否の通知は、通信モジュール４０８を介して電子メール又はその他の形態の電子的通信によってユーザ又は同ユーザの管理職に伝えられ得る。

例示的な実施形態では、前記共通度が判断モジュール４２６によって求められ得て、同共通度は、前記新規ユーザのプロファイル情報に対応するアプリケーションと所与のクラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとの類似度が約７０％から約９０％であることを含み得る。

例示的な実施形態では、更新モジュール４２８が、前記新規ユーザのプロファイル情報に対応するアプリケーションと所与のクラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとの共通度を求めることに基づいて、機械学習モデル５００のうちの、同新規ユーザが属すべきクラスタ（例えば、クラスタ５２２，５２４，５２６，５２８，５３０，５３２のうちの一つ）を自動的に更新するように構成され得る。

例示的な実施形態では、更新モジュール４２８が、さらに、更新された前記クラスタに基づいて、機械学習モデル５００を動的に且つ自動的に更新するように構成され得る。

例示的な実施形態では、実行モジュール４３０が、更新された機械学習モデル５００における１つ以上の要求されたアプリケーションへのアクセス権を、前記新規ユーザにリアルタイムで付与するように構成され得る。

例示的な実施形態では、非過渡的なコンピュータ読取り可能媒体が、ＭＬＭＥＭ４０６を実装するための命令を記憶するように構成され得る。例示的な実施形態では、前記命令が実行されると、ＭＬＭＥＭ４０６内又はＭＬＭＥＤ４０２内に組み込まれたプロセッサが、データベースにおけるユーザの人事（ＨＲ）属性及びプロファイル情報データにアクセスする手順と、階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成する手順と、前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする前記手順を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復する手順と、を実行し得る。前記プロセッサは、図１に示すプロセッサ１０４と同一又は同様のものであってもよい。

図７は、例示的な一実施形態において、機械学習モデル実行モジュールを実装する方法の一例を示すフローチャートである。同機械学習モデル実行モジュールは、図３に示すＭＬＭＥＭ３０６又は図４に示すＭＬＭＥＭ４０６であり得る。

図７の方法７００では、ステップＳ７０２にて、ユーザの人事（ＨＲ）属性及びプロファイル情報データを記憶するデータベースが用意され得る。

ステップＳ７０４にて、前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データがアクセスされ得る。

ステップＳ７０６にて、階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいてユーザ同士をクラスタリングすることにより、機械学習モデルが生成され得る。アプリケーションへの一クラスタ内の全ユーザのアクセス権は、互いに最も類似したものとなり得る。

ステップＳ７０８にて、前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする処理が、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復され得る。例示的な実施形態では、ステップＳ７０８にて、ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとの類似度を共通度とし、最大数の共通度を有する最小数のクラスタを求めることに基づいて、前記最適数のクラスタが求められ得る。例示的な実施形態において、前記最適数のクラスタは、クラスタ数がグラフのｘ軸に対応して共通度がグラフのｙ軸に対応する場合に、クラスタ数をそれ以上増やしても共通度が増加しないグラフの曲線上の一点でありうる。

ステップＳ７１０にて、前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求が、新規ユーザから受け取られ得る。

ステップＳ７１２にて、前記新規ユーザのプロファイル情報に対応するアプリケーションと所与のクラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとの共通度を求めることに基づいて、前記機械学習モデルのうちの、同新規ユーザが属すべきクラスタが自動的に更新され得る。

ステップＳ７１４にて、更新された前記クラスタに基づいて、前記機械学習モデルが動的に且つ自動的に更新され得る。

ステップＳ７１６にて、更新された前記機械学習モデルにおける１つ以上の要求されたアプリケーションへのアクセス権が、前記新規ユーザにリアルタイムで付与され得る。

例示的な実施形態では、方法７００が、さらに、前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取る過程と、受け取った前記要求を前記機械学習モデルによってリアルタイムで評価し、前記新規ユーザのプロファイル情報が１つ以上の要求されたアプリケーションを含んでいないと判断することに基づいて、当該１つ以上の要求されたアプリケーションへのアクセス権を拒否する過程と、を備え得る。

例示的な幾つかの実施形態を参照しながら本発明について説明したが、使用した文言は図示・説明の文言であって限定的な文言ではないことを理解されたい。本開示の態様の範囲や精神を逸脱しない範疇で変更が施されてもよく、同変更は現行・補正後にかかわらず添付の特許請求の範囲内のものであるとする。特定の手段や物体（materials）や実施形態を参照しながら本発明について説明したが、本発明は具体的な開示（particulars disclosed）に限定されないものとする。むしろ、本発明は機能的に等価なあらゆる構造、方法及び用途に及ぶものであり、これらも添付の特許請求の範囲内のものであるとする。

例えば、前記コンピュータ読取り可能媒体は単一の媒体であるかの如く（as）説明しているかもしれないが、「コンピュータ読取り可能媒体」という用語は、集中型データベースや分散型データベースなどの単一の媒体や複数の媒体、および／または、１つ以上の命令群を記憶する対応付けられたキャッシュやサーバを包含するものとする。「コンピュータ読取り可能媒体」という用語は、さらに、プロセッサで実行される命令群を記憶、暗号化又は搬送することが可能なあらゆる媒体や、本明細書で開示した任意の１つ以上の実施形態をコンピュータシステムに実行させるあらゆる媒体も包含するものとする。

前記コンピュータ読取り可能媒体は、非過渡的なコンピュータ読取り可能媒体および／または過渡的なコンピュータ読取り可能媒体からなり得る。本開示を限定しない例示的な特定の一実施形態では、前記コンピュータ読取り可能媒体が、例えばメモリカードや、１つ以上の不揮発性の読み出し専用メモリを収めたその他のパッケージ体等といった、固体メモリからなり得る。また、前記コンピュータ読取り可能媒体は、ランダムアクセスメモリ又はその他の書き換え可能揮発性メモリであってもよい。また、前記コンピュータ読取り可能媒体は、例えばディスクやテープや、伝送媒体で伝えられた信号などの搬送波信号を保存する（capture）その他の記憶装置等といった、光磁気媒体又は光媒体からなる場合もある。つまり、本開示は、データや命令が記憶され得るあらゆるコンピュータ読取り可能媒体やその他の等価物や後継の媒体も包含していると考えられたい。

本願では、具体的な実施形態をコンピュータ読取り可能媒体のコンピュータプログラムやコードセグメントとして実現されるかの如く説明しているが、本明細書に記載した１つ以上の実施形態を実現するのに、特定用途向け集積回路（ASIC）、プログラマブルロジックアレイ、その他のハードウェア装置などの専用ハードウェア実現体を構築することも可能であると理解されたい。本明細書に記載した各（various）実施形態を具備し得る用途例には、様々な電子システムやコンピュータシステムが広く含まれ得る。つまり、本願は、ソフトウェア実現体やファームウェア実現体やハードウェア実現体、さらには、これらの組合せを包含し得る。本願のどの内容も、ハードウェアではなくソフトウェアでしか実現されないかの如く、あるいは、ハードウェアではなくソフトウェアでしか実現することができないかの如く解釈されるべきではない。

本願では、具体的な実施形態のなかで特定の規格やプロトコルに準拠して実現され得るコンポーネントや機能について説明したが、本開示はそのような規格やプロトコルに限定されない。このような規格は、一定期間が経つと（periodically）、基本的に同じ機能を有するより高速な又はより効率的な等価物に取って代わられる。したがって、同じ又は同様の機能を有する後任の規格やプロトコルも、同規格や同プロトコルと等価的なものであると見なされる。

本明細書に記載した実施形態についての図面は、各実施形態の基本的な（general）理解をもたらすためのものである。同図面は、本明細書で説明した構造や方法を用いた装置やシステムの構成や構成要素の全てを完全に説明するためのものではない。当業者であれば、本開示を検討することで他にも数多くの実施形態が明白となり得るであろう。本開示の範囲を逸脱しない範疇で構造や論理を置き換えたり変更したりすることで、本開示とは別の実施形態が用いられたり本開示から別の実施形態が導き出されたりし得る。また、図面は例示に過ぎず、縮尺どおりでない場合もある。図中の縮尺比（proportion）は誇張されている場合もあれば、わざと小さくしている場合もある。したがって、本開示と図面は、限定的なものではなく例示的なものと見なされるべきである。

本明細書では、本開示の１つ以上の実施形態を、それぞれ単独で且つ／或いは複数まとめて「本発明」と言及している場合もあるが、これらは便宜上のものに過ぎず、本願の範囲を特定の発明や発明思想に意図的に限定しているわけではない。また、本明細書では特定の実施形態について図示・説明しているものの、図示の特定の実施形態がそれと同一又は同様の目的を達成するように設計された任意の後発的な配置構成と置き換えられてもよい点については分かるかと思われる。本開示は、各実施形態についての後発的なあらゆる改変物や変形物を包含しているものとする。当業者であれば、本説明を検討することで、前述の実施形態同士を組み合わせることや本明細書に具体的に記載されていない別の実施形態についても歴然となるであろう。

要約書は、特許請求の範囲や意味の解釈や限定に利用されないという前提（understanding）の下で提出したものである。また、前述の詳細な説明では、本開示の合理化の目的から、様々な構成を互いに一まとめにしたり同じ（single）実施形態で説明したりしている場合がある。本開示は、各請求項に対応する実施形態が各請求項に明記しているものよりも多くの構成を要求していると示唆しているかの如く解釈されるべきではない。むしろ、添付の特許請求の範囲が表すように、発明の主題は、本開示の任意の実施形態内の全構成数よりも少ない数の構成に向けられているものであり得る。したがって、添付の特許請求の範囲は、各請求項が別々の発明の主題を独立して定めるようなかたちで前記詳細な説明へと読み込まれるものであるといえる。

これまでに開示した主題は、例示的なものであって限定的なものではなく、かつ、添付の特許請求の範囲は、本開示の真正な精神及び範囲内に収まるものである限り、かかる変更、改良および他の実施形態を全て包含しているものとする。つまり、本開示の範囲は、法律が認める最大限の範疇における添付の特許請求の範囲及びその均等物についての最大限の広義な解釈によって決定されるものであり、前述の詳細な説明によって限定されたり制限されたりするものではない。
なお、本発明は、実施の態様として以下の内容を含む。
［態様１］
複数のアプリケーションへのアクセス権を付与するための最適数のクラスタを少なくとも１つのプロセッサ及び少なくとも１つのメモリを用いて自動的に生成する機械学習モデル実行モジュールを実装する方法であって、
ユーザの人事（ＨＲ）属性及びプロファイル情報データを記憶するデータベースを用意する過程と、
前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする過程と、
プロセッサを用いて階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成する過程と、
前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする前記過程を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復する過程と、
を備える、方法。
［態様２］
態様１に記載の方法において、さらに、
ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとの類似度を共通度とし、最大数の共通度を有する最小数のクラスタを求めることに基づいて、前記最適数のクラスタを求める過程、
を備える、方法。
［態様３］
態様２に記載の方法において、前記最適数のクラスタは、クラスタ数がｘ軸に対応して共通度がｙ軸に対応するグラフの曲線上の、クラスタ数をそれ以上増やしても共通度が増加しない一点である、方法。
［態様４］
態様２に記載の方法において、前記最大数の共通度は、ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとが約７０％から約９０％の類似度であることを含む、方法。
［態様５］
態様１に記載の方法において、前記機械学習モデルが、前記最適数のクラスタを有するロールベースアクセス制御機械学習モデルである、方法。
［態様６］
態様１に記載の方法において、各クラスタが、同クラスタに属する全ユーザの固有セキュリティ識別子、およびユーザ同士に共通するアプリケーションへのアクセス権に関するデータを含む、方法。
［態様７］
態様１に記載の方法において、各ユーザの前記ＨＲ属性が、業務コード、コストセンター、場所、役職および職位のうちの少なくとも１つについてのデータを含む、方法。
［態様８］
態様１に記載の方法において、さらに、
前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取る過程と、
前記新規ユーザのプロファイル情報に対応するアプリケーションと所与のクラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとの共通度を求めることに基づいて、前記機械学習モデルのうちの、同新規ユーザが属すべきクラスタを自動的に更新する過程と、
更新された前記クラスタに基づいて、前記機械学習モデルを動的に且つ自動的に更新する過程と、
更新された前記機械学習モデルにおける１つ以上の要求されたアプリケーションへのアクセス権を、前記新規ユーザにリアルタイムで付与する過程と、
を備える、方法。
［態様９］
態様８に記載の方法において、前記共通度は、前記新規ユーザのプロファイル情報に対応するアプリケーションと前記クラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとが約７０％から約９０％の類似度であることを含む、方法。
［態様１０］
態様１に記載の方法において、さらに、
前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取る過程と、
受け取った前記要求を前記機械学習モデルによってリアルタイムで評価し、前記新規ユーザのプロファイル情報が１つ以上の要求されたアプリケーションを含んでいないと判断することに基づいて、当該１つ以上の要求されたアプリケーションへのアクセス権を拒否する過程と、
を備える、方法。
［態様１１］
複数のアプリケーションへのアクセス権を付与するための最適数のクラスタを自動的に生成する機械学習モデル実行モジュールを実装するシステムであって、
ユーザの人事（ＨＲ）属性及びプロファイル情報データを記憶するデータベースと、
通信ネットワークで前記データベースに動作可能に接続されたプロセッサと、
を備え、前記プロセッサは、
前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスし、
階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成し、
前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする処理を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復する、
ように構成されている、システム。
［態様１２］
態様１１に記載のシステムにおいて、前記プロセッサは、さらに、
ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとの類似度を共通度とし、最大数の共通度を有する最小数のクラスタを求めることに基づいて、前記最適数のクラスタを求める、
ように構成されている、システム。
［態様１３］
態様１２に記載のシステムにおいて、前記最適数のクラスタは、クラスタ数がｘ軸に対応して共通度がｙ軸に対応するグラフの曲線上の、クラスタ数をそれ以上増やしても共通度が増加しない一点である、システム。
［態様１４］
態様１２に記載のシステムにおいて、前記最大数の共通度は、ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとが約７０％から約９０％の類似度であることを含む、システム。
［態様１５］
態様１１に記載のシステムにおいて、各クラスタが、同クラスタに属する全ユーザの
固有セキュリティ識別子、およびユーザ同士に共通するアプリケーションへのアクセス権に関するデータを含む、システム。
［態様１６］
態様１１に記載のシステムにおいて、各ユーザの前記ＨＲ属性が、業務コード、コストセンター、場所、役職および職位のうちの少なくとも１つについてのデータを含む、システム。
［態様１７］
態様１１に記載のシステムにおいて、前記プロセッサは、さらに、
前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取り、
前記新規ユーザのプロファイル情報に対応するアプリケーションと所与のクラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとの共通度を求めることに基づいて、前記機械学習モデルのうちの、同新規ユーザが属すべきクラスタを自動的に更新し、
更新された前記クラスタに基づいて、前記機械学習モデルを動的に且つ自動的に更新し、
更新された前記機械学習モデルにおける１つ以上の要求されたアプリケーションへのアクセス権を、前記新規ユーザにリアルタイムで付与する、
ように構成されている、システム。
［態様１８］
態様１７に記載のシステムにおいて、前記共通度は、前記新規ユーザのプロファイル情報に対応するアプリケーションと前記クラスタに既に属しているユーザのプロファイル情報に対応するアプリケーションとが約７０％から約９０％の類似度であることを含む、システム。
［態様１９］
態様１１に記載のシステムにおいて、前記プロセッサは、さらに、
前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取り、
受け取った前記要求を前記機械学習モデルによってリアルタイムで評価し、前記新規ユーザのプロファイル情報が１つ以上の要求されたアプリケーションを含んでいないと判断することに基づいて、当該１つ以上の要求されたアプリケーションへのアクセス権を拒否する、
ように構成されている、システム。
［態様２０］
複数のアプリケーションへのアクセス権を付与するための最適数のクラスタを自動的に生成する機械学習モデル実行モジュールを実装するための命令を記憶するように構成された非過渡的なコンピュータ読取り可能媒体であって、
前記命令が実行されると、プロセッサは、
データベースにおけるユーザの人事（ＨＲ）属性及びプロファイル情報データにアクセスする手順と、
階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成する手順と、
前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする前記手順を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復する手順と、
を実行する、非過渡的なコンピュータ読取り可能媒体。

Claims (20)

1. 複数のアプリケーションへのアクセス権を付与するための最適数のクラスタを少なくとも１つのプロセッサ及び少なくとも１つのメモリを用いて自動的に生成する機械学習モデル実行モジュールを実装する方法であって、
   ユーザの人事（ＨＲ）属性及びプロファイル情報データを記憶するデータベースを用意する過程と、
   前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする過程と、
   プロセッサを用いて階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成する過程と、
   前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする前記過程を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復する過程と、
   前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取る過程と、
   前記新規ユーザのプロファイル情報が対応するアプリケーションと既にクラスタに属しているユーザのプロファイル情報が対応するアプリケーションとの共通度を求めることに基づいて、前記機械学習モデルのうちの、同新規ユーザが属すべきクラスタを自動的に更新する過程であって、前記共通度は、前記新規ユーザのプロファイル情報が対応するアプリケーションと既にクラスタに属しているユーザのプロファイル情報が対応するアプリケーションとが約７０％から約９０％の類似度であることを含む過程と、
   更新された前記機械学習モデルにおける１つ以上の要求されたアプリケーションへのアクセス権を、前記新規ユーザにリアルタイムで付与する過程と、
   を備える、方法。
2. 請求項１に記載の方法において、さらに、
   ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとの類似度を前記共通度とし、最大数の前記共通度を有する最小数のクラスタを求めることに基づいて、前記最適数のクラスタを求める過程、
   を備える、方法。
3. 請求項２に記載の方法において、前記最適数のクラスタは、クラスタ数がｘ軸に対応して共通度がｙ軸に対応するグラフの曲線上の、クラスタ数をそれ以上増やしても共通度が増加しない一点である、方法。
4. 請求項２に記載の方法において、前記共通度は、前記新規ユーザのプロファイル情報が対応するアプリケーションと既にクラスタに属しているユーザのプロファイル情報が対応するアプリケーションとの間の約０％から約２５％の範囲内の類似度が除外される、方法。
5. 請求項１に記載の方法において、前記機械学習モデルが、前記最適数のクラスタを有するロールベースアクセス制御機械学習モデルである、方法。
6. 請求項１に記載の方法において、各クラスタが、同クラスタに属する全ユーザの固有セキュリティ識別子、およびユーザ同士に共通するアプリケーションへのアクセス権に関するデータを含む、方法。
7. 請求項１に記載の方法において、各ユーザの前記ＨＲ属性が、業務コード、コストセンター、場所、役職および職位のうちの少なくとも１つについてのデータを含む、方法。
8. 請求項１に記載の方法において、さらに、更新された前記クラスタに基づいて、前記機械学習モデルを動的に且つ自動的に更新する過程を備える、方法。
9. 請求項６に記載の方法において、さらに、機械学習モデルが最適数のクラスタの各々を含み、グラフィカルユーザインターフェースに機械学習モデルを表示する過程を備える、方法。
10. 請求項１に記載の方法において、さらに、
    前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取る過程と、
    受け取った前記要求を前記機械学習モデルによってリアルタイムで評価し、前記新規ユーザのプロファイル情報が１つ以上の要求されたアプリケーションを含んでいないと判断することに基づいて、当該１つ以上の要求されたアプリケーションへのアクセス権を拒否する過程と、
    を備える、方法。
11. 複数のアプリケーションへのアクセス権を付与するための最適数のクラスタを自動的に生成する機械学習モデル実行モジュールを実装するシステムであって、
    ユーザの人事（ＨＲ）属性及びプロファイル情報データを記憶するデータベースと、
    通信ネットワークで前記データベースに動作可能に接続されたプロセッサと、
    を備え、前記プロセッサは、
    前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスし、
    階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成し、
    前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする処理を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復し、
    前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取り、
    前記新規ユーザのプロファイル情報が対応するアプリケーションと既にクラスタに属しているユーザのプロファイル情報が対応するアプリケーションとの共通度を求めることに基づいて、前記機械学習モデルのうちの、同新規ユーザが属すべきクラスタを自動的に更新し、前記共通度は、前記新規ユーザのプロファイル情報が対応するアプリケーションと既にクラスタに属しているユーザのプロファイル情報が対応するアプリケーションとが約７０％から約９０％の類似度であることを含み、
    前記プロセッサは、更新された前記機械学習モデルにおける１つ以上の要求されたアプリケーションへのアクセス権を、前記新規ユーザにリアルタイムで付与する、
    ように構成されている、システム。
12. 請求項１１に記載のシステムにおいて、前記プロセッサは、さらに、
    ユーザの現行のアプリケーションと同ユーザが属するプロファイルに含まれるアプリケーションとの類似度を前記共通度とし、最大数の前記共通度を有する最小数のクラスタを求めることに基づいて、前記最適数のクラスタを求める、
    ように構成されている、システム。
13. 請求項１２に記載のシステムにおいて、前記最適数のクラスタは、クラスタ数がｘ軸に対応して共通度がｙ軸に対応するグラフの曲線上の、クラスタ数をそれ以上増やしても共通度が増加しない一点である、システム。
14. 請求項１２に記載のシステムにおいて、前記共通度は、前記新規ユーザのプロファイル情報が対応するアプリケーションと既にクラスタに属しているユーザのプロファイル情報が対応するアプリケーションとの間の約０％から約２５％の範囲内の類似度が除外される、システム。
15. 請求項１１に記載のシステムにおいて、各クラスタが、同クラスタに属する全ユーザの
    固有セキュリティ識別子、およびユーザ同士に共通するアプリケーションへのアクセス権に関するデータを含む、システム。
16. 請求項１１に記載のシステムにおいて、各ユーザの前記ＨＲ属性が、業務コード、コストセンター、場所、役職および職位のうちの少なくとも１つについてのデータを含む、システム。
17. 請求項１１に記載のシステムにおいて、前記プロセッサは、さらに、更新された前記クラスタに基づいて、前記機械学習モデルを動的に且つ自動的に更新するように構成されている、システム。
18. 請求項１５に記載のシステムにおいて、さらに、機械学習モデルが最適数のクラスタの各々を含み、前記プロセッサは、グラフィカルユーザインターフェースに機械学習モデルを表示する、システム。
19. 請求項１１に記載のシステムにおいて、前記プロセッサは、さらに、
    前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取り、
    受け取った前記要求を前記機械学習モデルによってリアルタイムで評価し、前記新規ユーザのプロファイル情報が１つ以上の要求されたアプリケーションを含んでいないと判断することに基づいて、当該１つ以上の要求されたアプリケーションへのアクセス権を拒否する、
    ように構成されている、システム。
20. 複数のアプリケーションへのアクセス権を付与するための最適数のクラスタを自動的に生成する機械学習モデル実行モジュールを実装するための命令を記憶するように構成された非過渡的なコンピュータ読取り可能媒体であって、
    前記命令が実行されると、プロセッサは、
    データベースにおけるユーザの人事（ＨＲ）属性及びプロファイル情報データにアクセスする手順と、
    階層クラスタリングアルゴリズムを適用し、ユーザの前記プロファイル情報データに対応したアプリケーションへの同ユーザが有するアクセス権に基づいて、アプリケーションへの一クラスタ内の全ユーザのアクセス権が互いに最も類似したものとなるようにユーザ同士をクラスタリングすることにより、機械学習モデルを生成する手順と、
    前記データベースにおけるユーザの前記ＨＲ属性及び前記プロファイル情報データにアクセスする前記手順を、前記機械学習モデル用に最適数のクラスタが生成されたと判断されるまで反復する手順と、
    前記機械学習モデル内の１つ以上のアプリケーションへのアクセス要求を新規ユーザから受け取る手順と、
    前記新規ユーザのプロファイル情報が対応するアプリケーションと既にクラスタに属しているユーザのプロファイル情報が対応するアプリケーションとの共通度を求めることに基づいて、前記機械学習モデルのうちの、同新規ユーザが属すべきクラスタを自動的に更新する手順であって、前記共通度は、前記新規ユーザのプロファイル情報が対応するアプリケーションと既にクラスタに属しているユーザのプロファイル情報が対応するアプリケーションとが約７０％から約９０％の類似度であることを含む手順と、
    更新された前記機械学習モデルにおける１つ以上の要求されたアプリケーションへのアクセス権を、前記新規ユーザにリアルタイムで付与する手順と、
    を実行する、非過渡的なコンピュータ読取り可能媒体。

Images