(57)【要約】【課題】従来の電子メール誤送信警告方式の判定精度には限界があり、過剰な警告や見逃しの可能性を回避できない。【解決手段】プロセッサと、記憶装置と、入力装置と、出力装置と、を備える計算機システムであって、前記記憶装置には、前記入力装置を介して入力された操作を識別する情報と、前記操作の意味を識別する情報と、を対応付ける意味定義情報、及び、複数の前記操作の意味を含む操作シーケンスと、警告条件と、を対応付ける警告条件情報が格納され、前記プロセッサは、前記入力装置を介して操作が入力された場合、前記意味定義情報に基づいて、前記入力された操作の意味を特定し、前記特定された意味及び前記警告条件情報に基づいて、前記計算機システムの状態が、前記入力された操作の意味を含む操作シーケンスと同一又は類似の操作シーケンスに対応する警告条件を満たすと判定された場合、前記出力装置に警告を出力する。【選択図】図１
2010160613.tif 000002
【特許請求の範囲】
【請求項１】
一つ以上の計算機を備える計算機システムであって、
前記計算機システムは、プロセッサと、前記プロセッサに接続される記憶装置と、前記プロセッサに接続される入力装置と、前記プロセッサに接続される出力装置と、を備え、
前記記憶装置には、
前記入力装置を介して入力された操作を識別する情報と、前記操作の意味を識別する情報と、を対応付ける意味定義情報が格納され、
複数の前記操作の意味を含む操作シーケンスと、警告条件と、を対応付ける警告条件情報が格納され、
前記プロセッサは、
前記入力装置を介して操作が入力された場合、前記意味定義情報に基づいて、前記入力された操作の意味を特定し、
前記特定された意味及び前記警告条件情報に基づいて、前記計算機システムの状態が、前記入力された操作の意味を含む操作シーケンスと同一又は類似の操作シーケンスに対応する警告条件を満たすか否かを判定し、
前記計算機システムの状態が、前記入力された操作の意味を含む操作シーケンスと同一又は類似の操作シーケンスに対応する警告条件を満たす場合、前記出力装置に警告を出力することを特徴とする計算機システム。
【請求項２】
前記プロセッサは、
時刻を示す情報と、前記時刻に前記出力装置に表示された画面のデータと、前記時刻における前記計算機システムの状態を示す値と、を対応付ける計算機状態情報を前記記憶装置に格納し、
前記入力装置を介して操作が入力された場合、前記入力された操作を識別する情報と、前記操作が入力された時刻と、を対応付ける操作ログ情報を前記記憶装置に格納し、
時刻の指定を入力された場合、前記画面のデータを用いて、前記指定された時刻を含む時間に前記出力装置に表示された画面を、前記各画面に対応付けられた時刻の順に、前記出力装置に表示し、
前記指定された時刻を含む時間に入力された前記操作のうち一つの指定を入力された場合、前記意味定義情報に基づいて、前記指定された操作の意味及び前記指定された操作より前に入力された一つ以上の操作の意味を含む操作シーケンスと同一の操作シーケンスを前記操作ログ情報から検索し、
前記指定された操作の意味及び前記指定された操作より前に入力された一つ以上の操作の意味を含む操作シーケンスと、前記指定された操作が入力された時刻における前記計算機システムの状態を示す値と、前記指定された操作の誤りが発生したことを示す事故情報と、前記検索された操作シーケンスと、前記検索された操作シーケンスに対応する操作が入力された時刻における前記計算機システムの状態を示す値と、を含む事例情報を前記記憶装置に格納し、
前記事例情報に基づいて、前記計算機システムの状態を示す値と、前記指定された操作の誤りの発生との相関を計算し、
前記計算された相関が所定の閾値より高い場合、前記計算機システムの状態を示す値を、前記指定された操作の意味を含む操作シーケンスに対応する前記警告条件として格納することを特徴とする請求項１に記載の計算機システム。
【請求項３】
前記プロセッサは、
前記指定された操作が入力された時刻における、前記指定された操作を入力した前記計算機システムの利用者の状態を示す値を、前記事例情報に含めて前記記憶装置に格納し、
前記検索された操作シーケンスが実行された時点の前記利用者の状態を示す値と、前記指定された操作が入力された時点における前記利用者の状態を示す値と、に基づいて、前記利用者の状態を示す値と、前記指定された操作の誤りの発生との相関を計算し、
前記計算された相関が所定の閾値より高い場合、前記利用者の状態を示す値を、前記指定された操作の意味を含む操作シーケンスに対応する前記警告条件として格納し、
前記計算機システム及び前記利用者の状態が、前記入力された操作の意味を含む操作シーケンスと同一又は類似の操作シーケンスに対応する警告条件を満たす場合、前記出力装置に警告を出力することを特徴とする請求項２に記載の計算機システム。
【請求項４】
前記プロセッサは、
前記計算機システムの状態を示す値の生起確率と、その値を条件とする前記指定された操作の誤りの発生の条件付確率との積に基づいて、前記計算機システムの状態を示す値と、前記指定された操作の誤りの発生との相関を計算し、
前記利用者の状態を示す値の生起確率と、その値を条件とする前記指定された操作の誤りの発生の条件付確率との積に基づいて、前記利用者の状態を示す値と、前記指定された操作の誤りの発生との相関を計算することを特徴とする請求項３に記載の計算機システム。
【請求項５】
前記プロセッサは、カイ二乗検定によって有意とみなされた前記計算機システムの状態を示す値及び前記利用者の状態を示す値を、前記警告条件として格納することを特徴とする請求項４に記載の計算機システム。
【請求項６】
前記計算機システムの状態を示す値が、前記出力装置に表示された選択可能なウインドウの数、前記出力装置に表示された選択可能なメニューの数、及び、前記出力装置に表示された選択可能なファイルの数の少なくとも一つを含み、
前記利用者の状態を示す値が、前記操作者の連続作業時間、前記操作者の累積作業時間、及び、前記操作が入力された時間帯を示す値の少なくとも一つを含むことを特徴とする請求項３に記載の計算機システム。
【請求項７】
前記プロセッサは、前記指定された時刻を含む時間に前記出力装置に表示された画面に加えて、前記指定された時刻を含む時間に入力された前記操作の意味を示す情報を前記出力装置に表示することを特徴とする請求項２に記載の計算機システム。
【請求項８】
前記プロセッサは、前記指定された時刻を含む時間に前記出力装置に表示された画面に加えて、前記警告条件を前記出力装置に表示することを特徴とする請求項２に記載の計算機システム。
【請求項９】
前記プロセッサは、前記出力装置に表示された画面の一部の領域の指定を入力されると、前記指定された領域に表示されるべき文字又は図形が判読不能になるように前記画面のデータを変更し、
前記変更された画面のデータを用いて、前記指定された時刻を含む時間に前記出力装置に表示された画面を前記出力装置に表示することを特徴とする請求項８に記載の計算機システム。
【請求項１０】
前記プロセッサは、前記入力された操作の意味を含む操作シーケンスと、前記警告条件に対応する操作シーケンスとが類似するか否かを、動的計画法によって算出した類似度に基づいて判定することを特徴とする請求項２に記載の計算機システム。
【請求項１１】
前記入力装置を介して受け付けられた操作を識別する情報は、前記入力装置のイベントデータを識別する情報を含み、前記操作の意味を識別する情報は、前記プロセッサが実行するアプリケーションへの操作命令を識別する情報を含むことを特徴とする請求項２に記載の計算機システム。
【請求項１２】
前記プロセッサは、電子メールを送信するアプリケーションを実行し、
前記入力装置を介して受け付けられた操作を識別する情報は、前記入力装置による文字データの入力を示す情報、及び、前記入力装置による操作対象の選択を示す情報、の少なくとも一方を含み、
前記操作の意味を識別する情報は、前記電子メールを送信するアプリケーションに対する、電子メールの宛先の入力を識別する情報、電子メールの件名の入力を識別する情報、電子メールの本文の入力を識別する情報、及び、電子メールに添付するファイルの選択を識別する情報、の少なくとも一つを含むことを特徴とする請求項１１に記載の計算機システム。
【請求項１３】
一つ以上の計算機を備える計算機システムを制御する方法であって、
前記計算機システムは、
プロセッサと、前記プロセッサに接続される記憶装置と、前記プロセッサに接続される入力装置と、前記プロセッサに接続される出力装置と、を備え、
前記記憶装置には、
前記入力装置を介して入力された操作を識別する情報と、前記操作の意味を識別する情報と、を対応付ける意味定義情報が格納され、
複数の前記操作の意味を含む操作シーケンスと、警告条件と、を対応付ける警告条件情報が格納され、
前記方法は、
前記入力装置を介して操作が入力された場合、前記意味定義情報に基づいて、前記入力された操作の意味を特定する第１手順と、
前記特定された意味及び前記警告条件情報に基づいて、前記計算機システムの状態が、前記入力された操作の意味を含む操作シーケンスと同一又は類似の操作シーケンスに対応する警告条件を満たすか否かを判定する第２手順と、
前記計算機システムの状態が、前記入力された操作の意味を含む操作シーケンスと同一又は類似の操作シーケンスに対応する警告条件を満たす場合、前記出力装置に警告を出力する第３手順と、を含むことを特徴とする方法。
【請求項１４】
前記方法は、さらに、
時刻を示す情報と、前記時刻に前記出力装置に表示された画面のデータと、前記時刻における前記計算機システムの状態を示す値と、を対応付ける計算機状態情報を前記記憶装置に格納する第４手順と、
前記入力装置を介して操作が入力された場合、前記入力された操作を識別する情報と、前記操作が入力された時刻と、を対応付ける操作ログ情報を前記記憶装置に格納する第５手順と、
時刻の指定を入力された場合、前記画面のデータを用いて、前記指定された時刻を含む時間に前記出力装置に表示された画面を、前記各画面に対応付けられた時刻の順に、前記出力装置に表示する第６手順と、
前記指定された時刻を含む時間に入力された前記操作のうち一つの指定を入力された場合、前記意味定義情報に基づいて、前記指定された操作の意味及び前記指定された操作より前に入力された一つ以上の操作の意味を含む操作シーケンスと同一の操作シーケンスを前記操作ログ情報から検索する第７手順と、
前記指定された操作の意味及び前記指定された操作より前に入力された一つ以上の操作の意味を含む操作シーケンスと、前記指定された操作が入力された時刻における前記計算機システムの状態を示す値と、前記指定された操作の誤りが発生したことを示す事故情報と、前記検索された操作シーケンスと、前記検索された操作シーケンスに対応する操作が入力された時刻における前記計算機システムの状態を示す値と、を含む事例情報を前記記憶装置に格納する第８手順と、
前記事例情報に基づいて、前記計算機システムの状態を示す値と、前記指定された操作の誤りの発生との相関を計算する第９手順と、
前記計算された相関が所定の閾値より高い場合、前記計算機システムの状態を示す値を、前記指定された操作の意味を含む操作シーケンスに対応する前記警告条件として格納する第１０手順と、を含むことを特徴とする請求項１３に記載の方法。
【請求項１５】
前記第８手順は、前記指定された操作が入力された時刻における、前記指定された操作を実行した前記計算機システムの利用者の状態を示す値を、前記事例情報に含めて前記記憶装置に格納する手順を含み、
前記第９手順は、前記検索された操作シーケンスが実行された時点の前記利用者の状態を示す値と、前記指定された操作が入力された時点における前記利用者の状態を示す値と、に基づいて、前記利用者の状態を示す値と、前記指定された操作の誤りの発生との相関を計算する手順を含み、
前記第１０手順は、前記計算された相関が所定の閾値より高い場合、前記利用者の状態を示す値を、前記指定された操作の意味を含む操作シーケンスに対応する前記警告条件として格納する手順を含み、
前記第３手順は、前記計算機システム及び前記利用者の状態が、前記入力された操作の意味を含む操作シーケンスと同一又は類似の操作シーケンスに対応する警告条件を満たす場合、前記出力装置に警告を出力する手順を含むことを特徴とする請求項１４に記載の方法。
【請求項１６】
前記第９手順は、
前記計算機システムの状態を示す値の生起確率と、その値を条件とする前記指定された操作の誤りの発生の条件付確率との積に基づいて、前記計算機システムの状態を示す値と、前記指定された操作の誤りの発生との相関を計算する手順と、
前記利用者の状態を示す値の生起確率と、その値を条件とする前記指定された操作の誤りの発生の条件付確率との積に基づいて、前記利用者の状態を示す値と、前記指定された操作の誤りの発生との相関を計算する手順と、を含むことを特徴とする請求項１５に記載の方法。
【請求項１７】
前記第９手順は、カイ二乗検定によって有意とみなされた前記計算機システムの状態を示す値及び前記利用者の状態を示す値を、前記警告条件として格納する手順を含むことを特徴とする請求項１６に記載の方法。
【請求項１８】
前記計算機システムの状態を示す値が、前記出力装置に表示された選択可能なウインドウの数、前記出力装置に表示された選択可能なメニューの数、及び、前記出力装置に表示された選択可能なファイルの数の少なくとも一つを含み、
前記利用者の状態を示す値が、前記操作者の連続作業時間、前記操作者の累積作業時間、及び、前記操作が入力された時間帯を示す値の少なくとも一つを含むことを特徴とする請求項１５に記載の方法。
【請求項１９】
前記第６手順は、前記指定された時刻を含む時間に前記出力装置に表示された画面に加えて、前記指定された時刻を含む時間に入力された前記操作の意味を示す情報を前記出力装置に表示する手順を含むことを特徴とする請求項１４に記載の方法。
【請求項２０】
前記方法は、さらに、前記指定された時刻を含む時間に前記出力装置に表示された画面に加えて、前記警告条件を前記出力装置に表示する手順を含むことを特徴とする請求項１４に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本願明細書に開示される技術は、計算機の誤操作を防止する技術に関し、特に、電子メール送信機器の操作間違いなど、情報利用者の過失による情報漏えい事故を未然に防ぐ技術に関する。
【背景技術】
【０００２】
近年の社会的関心の高まりによって、情報漏えい事故の影響は、個人情報保護法等の法令遵守違反及び営業秘密の暴露による事業機会損失等に留まらず、信頼失墜による企業価値棄損につながる危険性が生じている。このため多くの企業、行政組織は既に様々な技術的、非技術的漏えい防止技術を利用しており、アクセス制御、暗号など、正当な権限を持った情報利用者のみに情報の読み書きを制限する技術が普及している。
【０００３】
しかし各種調査報告によれば情報漏えい事故件数は増加の一途を辿っており、さらに事故原因の約半数は、計算機等の情報機器又は情報格納媒体の紛失、電子メール送信時のアドレス指定違いなど、情報利用者の過失に起因すると言われている。アクセス制御、暗号等の情報漏えい防止技術のみでは、このような過失に対策することが困難である。例えば、機密情報を格納したファイルシステムにアクセス制御がかかっているとしても、アクセス権限を正当に保有した利用者が、機密情報格納ファイルを電子メールで誤って外部に送信してしまう事故が起こりえる。
【０００４】
上記の誤操作のような、情報利用者の過失に起因する事故は、電子メール送信以外の処理（例えばファイル操作等）においても発生し得る。このような事故は、例えば有用な情報の喪失又は漏洩を引き起こし、最終的には経済的な損失につながる恐れがある。
【０００５】
このため、近年、情報利用者の過失に起因する事故の防止を目的として、特に電子メールシステムを対象として、情報利用者の操作ミスを警告及び防止する技術が開発されてきた。
【０００６】
特許文献１は、誤送信ではないアドレスと電子メール本文中の宛名を蓄積しておくことによって、電子メール誤送信を警告する技術を開示している（段落［００２５］〜［００３６］参照）。特許文献１に記載の技術は、過去に送信した電子メール本文が含む宛名を抽出し、過去の送信電子メールに指定されていた送信先アドレスと共に記憶する手段を備えている。新たな電子メールの送信時には、前記の記憶情報を用いて送信する電子メールアドレスと本文中の宛名との同一性を判定し、両者が一致しない場合には誤送信の可能性を警告する。
【０００７】
特許文献２は、誤送信を注意すべきアドレスを予め指定しておくことによって、電子メール誤送信を警告する技術を開示している（段落［００３６］〜［００４８］参照）。特許文献２に記載の技術は、組織外部の電子メールアドレスを登録する手段を備えている。電子メール送信時には、送信先アドレスと記憶した外部アドレスとを比較し、両者が一致する場合には、誤送信の可能性を警告する。外部アドレスは、アドレスが有するキーワード又はドメイン名などを用いて指定される。
【０００８】
特許文献３は、誤送信を注意すべきアドレスを判定する手段として、アドレス帳におけるアドレスの並び順と、送信電子メールの送信先アドレスとを用いる技術を開示している（段落［００２５］〜［００３９］参照）。特許文献３に記載の技術は、次の２条件を共に満たす場合に、誤送信の警告を発する手段を備えている。（１）送信先アドレスが、通常は送信者が送信しないアドレス（送信者と同一組織に属しないアドレスなど）になっている、（２）アドレス帳に、送信先アドレスから推測される類似のユーザ名（例えば同姓のユーザ名など）が存在し、かつ、この類似のユーザ名のアドレスが送信者と同一組織に属する。
【特許文献１】特開２００８−９７１０８号公報
【特許文献２】特開２００８−７０９８２号公報
【特許文献３】特開２００１−２３０８０２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
特許文献１が実現しようとする誤送信警告は、電子メールを送信してもよいアドレスの一覧に基づいて判定する、いわゆるホワイトリスト方式のものである。ホワイトリスト方式には、未知のメールアドレスが全て警告の対象になってしまうという問題がある。また、特許文献１によれば、過去に送信したメール本文中の宛名を用いてホワイトリストが生成されるため、メールアドレスが既知であっても、本文中の宛名が未知である場合に誤判定が生じる。このような過剰警告は利用者に負担を強いるだけでなく、利用者が警告を信用しなくなる事態を招くため、実際に誤送信が生じた場合の警告を見逃す可能性が高まる。
【００１０】
特許文献２及び３が実現しようとする誤送信警告は、電子メールを送信してはいけないアドレスの一覧に基づいて判定する、いわゆるブラックリスト方式のものである。ブラックリスト方式には、リストが不完全な場合、誤送信を見逃してしまうという問題がある。
【００１１】
特許文献２が開示する技術においては、外部アドレスをリストに予め登録しておく必要があるが、ここで登録漏れを排除する手段が提供されていない。さらに、電子メールの送信者が、常に外部アドレスに送信する場合には、原理上、電子メール送信の度に警告が発生する。このため、上述のホワイトリスト方式と同様に、過剰な警告が生じうるという問題がある。
【００１２】
特許文献３が開示する技術においては、アドレス帳におけるアドレスの並び順と、送信電子メールの送信先アドレスとに基づいてブラックリストが自動生成されるため、従来技術２と比較してリストの登録が簡単に済む。しかし、特許文献３の技術は、特定の誤送信発生メカニズムについてのみ有効である。例えば、宛先又は添付ファイルのどちらかを取り違えてしまうことによる誤送信には対応できない。
【００１３】
以上に述べたように、ホワイトリスト方式、ブラックリスト方式のいずれも、電子メールの送信後に誤送信を判定するものであるが、判定精度には限界がある。そのため、根本的に誤送信を根絶するには、誤送信を生じさせる情報利用者の行為そのものを是正することが不可欠である。
【００１４】
本発明はこのような事情に鑑みてなされたものであり、電子メール誤送信防止など、ＰＣ、ワークステーションなどの情報端末の利用者の操作間違いを防止することを目的とする。電子メール誤送信を例に具体的に説明すると、本発明は、メール作成からメール送信に至るまでの情報利用者の端末操作を監視し、過去に起きた事故事例と類似した端末操作を検出し、その操作を行っている者に対して警告を発することによって、潜在的な過失リスクを軽減させることを第１の目的とする。さらに、本発明は、誤送信リスクの高い端末操作を情報利用者が理解できるよう、誤送信事故事例を共有するためのサービスを実現することを第２の目的とする。
【課題を解決するための手段】
【００１５】
本願で開示する代表的な発明は、一つ以上の計算機を備える計算機システムであって、前記計算機システムは、プロセッサと、前記プロセッサに接続される記憶装置と、前記プロセッサに接続される入力装置と、前記プロセッサに接続される出力装置と、を備え、前記記憶装置には、前記入力装置を介して入力された操作を識別する情報と、前記操作の意味を識別する情報と、を対応付ける意味定義情報が格納され、複数の前記操作の意味を含む操作シーケンスと、警告条件と、を対応付ける警告条件情報が格納され、前記プロセッサは、前記入力装置を介して操作が入力された場合、前記意味定義情報に基づいて、前記入力された操作の意味を特定し、前記特定された意味及び前記警告条件情報に基づいて、前記計算機システムの状態が、前記入力された操作の意味を含む操作シーケンスと同一又は類似の操作シーケンスに対応する警告条件を満たすか否かを判定し、前記計算機システムの状態が、前記入力された操作の意味を含む操作シーケンスと同一又は類似の操作シーケンスに対応する警告条件を満たす場合、前記出力装置に警告を出力することを特徴とする。
【発明の効果】
【００１６】
本発明の一実施形態によれば、例えば電子メールの誤送信のような、計算機の利用者による誤操作を防止することができる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明の実施形態を、図面を参照して詳細に説明する。
【００１８】
＜第１の実施形態＞
図１は、本発明の第１の実施形態のシステム構成の例を示すブロック図である。
【００１９】
本実施形態の計算機システム１００は、情報利用端末１０１、管理サーバ１０２及び検証端末１０３などを備える。全ての端末及びサーバは、通信ネットワーク１２０を介して接続される。
【００２０】
情報利用端末１０１、管理サーバ１０２及び検証端末１０３の各々は、例えばパーソナルコンピュータ、サーバ装置又はワークステーション等の任意の情報処理装置である。通信ネットワーク１２０は、例えばＬＡＮ（Local Area Network）、又は、インターネット上に構成されたＶＰＮ（Virtual Private Network）等、特定組織の利用者を対象として運用される任意のネットワークである。
【００２１】
ここで、図２を参照し、情報利用端末１０１、管理サーバ１０２及び検証端末１０３の各々のハードウェア構成例を説明する。
【００２２】
図２は、本発明の第１の実施形態のハードウェア構成の例を示すブロック図である。
【００２３】
情報利用端末１０１、管理サーバ１０２及び検証端末１０３の各々は、図２に示す計算機２００によって実現される。図２に示す計算機２００は、ＣＰＵ（Central Processing Unit）２０１、ストレージ２０２、メモリ２０３、入力装置２０４、出力装置２０５及び通信装置２０６等を備える。ＣＰＵ２０１、ストレージ２０２、メモリ２０３、入力装置２０４、出力装置２０５及び通信装置２０６等はバス２０７によって互いに接続されている。
【００２４】
ストレージ２０２は、例えば、ＣＤ−Ｒ（Compact Disc-Recordable）、ＤＶＤ−ＲＡＭ（Digital Versatile Disk-Random Access Memory）、シリコンディスク等の記憶メディア及び当該記憶メディアの駆動装置、又は、ＨＤＤ（Hard Disk Drive）等である。入力装置２０４は、例えば、キーボード、マウス、スキャナ又はマイク等である。出力装置２０５は、例えば、ディスプレイ装置、スピーカ又はプリンタ等である。通信装置２０６は、例えば、ＬＡＮ（Local Area Network）ボード等である。情報利用端末１０１、管理サーバ１０２、検証端末１０３の各々は、各々の通信装置２０６を介して通信ネットワーク１２０に接続される。
【００２５】
再び図１を参照すると、情報利用端末１０１のＣＰＵ２０１は、端末状態記録処理部１０４、操作ログ記録処理部１０６、タイマー１０５、警告処理部１０７及び作業状況記録処理部１２１などを有する。これらは、情報利用端末１０１のＣＰＵ２０１が、情報利用端末１０１のメモリ２０３にロードしたプログラム（図示省略）を実行することによって実現される機能である。また、タイマー１０５は、バス２０７に接続された内部時計（図示省略）を利用するためのプログラムである。これらのプログラムはＯＳ（Operating System）の起動時に常駐し、情報利用者による端末操作とは独立にバックグラウンドで動作する。情報利用端末１０１のストレージ２０２は、警告条件データベース１０８を格納する。
【００２６】
本実施形態は、情報利用端末１０１が、電子メールサーバ（図示省略）を介して電子メールを送信するための端末である例を説明する。このため、情報利用端末１０１のＣＰＵ２０１は、さらに、メモリ２０３にロードしたプログラムを実行することによって、電子メール送信用アプリケーション（図示省略）を実現する。
【００２７】
ただし、本発明は、情報利用端末１０１が電子メール送信用アプリケーション以外のアプリケーションを実現する場合にも適用することができる。したがって、情報利用端末１０１は、メモリ２０３にロードしたプログラムを実行することによって、電子メール送信用アプリケーションの代わりに（又はそれに加えて）、任意のアプリケーションを実現してもよい。
【００２８】
計算機システム１００に２台以上の情報利用端末１０１が含まれてもよいが、発明の原理を簡潔に説明するため、本実施形態では情報利用端末１０１が１台である場合の例を説明する。
【００２９】
図３は、本発明の第１の実施形態の情報利用端末１０１において電子メール送信用アプリケーションを利用する際に表示される画面の例を示す説明図である。
【００３０】
情報利用端末１０１は、マウス及びキーボードによって操作するＧＵＩ（Graphical User Interface）を備え、アプリケーションを表すウインドウ、ファイルを表すアイコン等を画面（すなわち出力装置２０５）に表示する。情報利用者は、これらの表示部品を、キーボード及びマウスなど（すなわち入力装置２０４）を用いて操作する。
【００３１】
図３は情報利用端末１０１の画面表示例であり、マウスポインタ３００、電子メール作成ウインドウ３０１、電子ファイル格納フォルダ３０２及び３０３を表示している例である。電子メール作成ウインドウ３０１は、電子メールの宛先を入力するためのテキストボックス３０４、件名を入力するためのテキストボックス３０５、本文を入力するためのテキストボックス３０６、及び、メール送信を指示するボタン３０７を有する。図３において、電子ファイルはファイルとして格納されており、ファイルはフォルダごとにアイコンとして表示される。フォルダ３０２は、アイコン３０８、３０９及び３１０を含む。アイコンのそれぞれが一つのファイルを表し、各ファイルは電子データを格納している。同様にフォルダ３０３は、アイコン３１１、３１２及び３１３を含む。
【００３２】
管理サーバ１０２のＣＰＵ２０１は、事例収集処理部１１０、リスク算出処理部１１１、警告条件登録処理部１１２及び画面再現用データ検索処理部１２２を有する。これらは、管理サーバ１０２のＣＰＵ２０１が管理サーバ１０２のメモリ２０３にロードしたプログラム（図示省略）を実行することによって実現される機能である。また管理サーバ１０２のストレージ２０２は、端末状態データベース１１３、操作ログデータベース１１４、操作ログ意味定義データベース１１５、作業状況データベース１１６及び事例データベース１１７を格納する。
【００３３】
検証端末１０３のＣＰＵ２０１は、画面状態再現処理部１１８、事故発生時刻入力処理部１１９及び操作誤り指示処理部１０９を有する。これらは、検証端末１０３のＣＰＵ２０１が、検証端末１０３のメモリ２０３にロードしたプログラム（図示省略）を実行することによって実現される機能である。
【００３４】
なお上述の図１に一例を示すシステムでは、上述した機能を別の装置の各々が有する。すなわち、図１のシステムは三つの計算機２００を備え、情報利用端末１０１、管理サーバ１０２及び検証端末１０３の各々が一つの計算機２００によって実現される。しかし、本実施形態はこのようなシステム構成に限定されない。例えば、情報利用端末１０１、管理サーバ１０２及び検証端末１０３が一つの計算機２００によって実現されてもよい。その場合、図１に示す全ての機能（すなわち全ての処理部等）は、一つの計算機２００のメモリ２０３にロードしたプログラムをその計算機２００のＣＰＵ２０１が実行することによって実現される。さらに、図１に示す全ての情報（すなわち全てのデータベース）は、一つの計算機２００のストレージ２０２に格納される。
【００３５】
次に、上述したデータベースに格納されるデータの一例を説明する。
【００３６】
図４は、本発明の第１の実施形態の端末状態データベース１１３に格納されるデータの例を示す説明図である。
【００３７】
テーブル４００は、情報利用端末１０１の端末状態記録処理部１０４が取得する、情報利用端末１０１の表示画面データを格納する。具体的には、テーブル４００は、画面データの識別子を表すフィールド４０１、画面取得時の時刻を表すフィールド４０２、及び、画面データの実体を格納するファイル名を表すフィールド４０３を有する。画面データの実体は、情報利用端末１０１のストレージ２０２上のファイルシステムのファイルに、ビットデータとして格納される。
【００３８】
図４の例では、テーブル４００の先頭のレコードのフィールド４０１、４０２及び４０３に、それぞれ、「１」、「2008/04/01 10:00:00.00」及び「SCR01」が格納されている。これは、識別子「１」によって識別される画面データが、２００８年４月１日午前１０時０分０．００秒に情報利用端末１０１の出力装置２０５に表示された画面のデータ（例えば、その画面を表示するために必要な画像のビットマップデータ）であり、そのデータがファイル名「SCR01」なるファイルに格納されていることを示す。
【００３９】
テーブル４０４は、情報利用端末１０１の端末状態記録処理部１０４が取得するマウスポインタ３００の軌跡データを格納する。具体的には、テーブル４０４は、軌跡取得時の時刻を表すフィールド４０５、マウスポインタ３００の画面上座標を表すフィールド４０６及び４０７を有する。フィールド４０６がＸ座標、フィールド４０７がＹ座標に相当する。
【００４０】
図４の例では、テーブル４０４の先頭のレコードのフィールド４０５、４０６及び４０７に、それぞれ、「2008/04/01 10:00:00.00」、「１００」及び「１００」が格納されている。これは、２００８年４月１日午前１０時０分０．００秒におけるマウスポインタ３００の画面上のＸ座標及びＹ座標がそれぞれ「１００」及び「１００」であったことを示す。
【００４１】
テーブル４０８は、情報利用端末１０１の端末状態記録処理部１０４が取得する、情報利用端末１０１の画面表示部品の状態を格納する。具体的には、テーブル４０８は、画面データの識別子を表すフィールド４０１、実行中のプロセス名を表すフィールド４０９、プロセスが表示しているウインドウを表すフィールド４１０、ウインドウの状態を表すフィールド４１１、ウインドウの中で情報利用者が操作可能なオブジェクト（ＧＵＩ部品）の数を表すフィールド４１２、及び、オブジェクトの種別を表すフィールド４１３を有する。テーブル４０８のフィールド４０１の画面データ識別子は、テーブル４００のフィールド４０１と共通である。すなわち、例えば、テーブル４００においてフィールド４０１（すなわちＳ＃）が１であるレコードに記録された画面の詳細情報が、テーブル４０８のＳ＃が１であるレコードに記録されている。
【００４２】
図４の例では、テーブル４０８の先頭のレコードのフィールド４０１、４０９、４１０、４１１、４１２及び４１３に、それぞれ、「１」、「Ｗ１」、「ＶＩＳＩＢＬＥ」、「３」及び「ＭＥＮＵ」が格納されている。これは、識別子「１」によって識別される画面データが表示されていたときに、プロセス名「ＰＲＯ１」なるプロセスが実行されており、その画面にウインドウ名「Ｗ１」なるウインドウが表示されており、そのウインドウが利用者に見えるように表示されており、そのウインドウには選択可能な３個のオブジェクトが含まれ、それらのオブジェクトの種類がメニューであることを示す。
【００４３】
なお、ウインドウがユーザに見えない状態である場合（例えば、作成されているがユーザに表示されていない場合、又は、アイコン化されているためにユーザからの操作を受け付けない状態である場合）、そのウインドウに対応するフィールド４１１に「ＩＮＶＩＳＩＢＬＥ」が格納される。フィールド４１３には、オブジェクトがメニューであることを示す「ＭＥＮＵ」のほかに、オブジェクトがファイルのアイコンであることを示す「ＦＩＬＥ」等が格納されてもよい。図４のフィールド４１３に表示された「ＮＯＮＥ」は、「ＩＮＶＩＳＩＢＬＥ」状態のウインドウに選択可能なオブジェクトが含まれないことを示す。
【００４４】
図５は、本発明の第１の実施形態の操作ログデータベース１１４内のテーブルの例を示す説明図である。
【００４５】
操作ログデータベース１１４内のテーブルには、情報利用者による情報利用端末１０１のキーボード、マウス等の入力操作の履歴データが格納される。履歴データは操作ログ記録処理部１０６によって取得及び格納される。
【００４６】
操作ログデータベース１１４内のテーブルは、フィールド５００、５０１、５０２及び５０３を有する。フィールド５００は入力操作データ取得時刻、フィールド５０１は入力を受け付けたプロセス名、フィールド５０２は操作対象ウインドウ及びオブジェクト、フィールド５０３は操作対象で発生したイベントである。
【００４７】
フィールド５０２に格納された値のうち「W」はウインドウ識別子、「O」はオブジェクト識別子を表す。例えば「W1_O1」は、識別子「１」のウインドウにおける識別子「１」のオブジェクトを示している。
【００４８】
フィールド５０２の各操作対象に対応してフィールド５０３に格納されるイベントは、情報利用端末１０１で稼働するＯＳによってプロセスに通知される。図５の例では、「ACTIVATE」は、操作対象のウインドウが入力可能になった状態を示す。「LB_CLICK」は、操作対象のオブジェクト（例えばボタン又はテキストボックス）の上でマウスの左ボタンのクリックが発生した状態を示す。「INPUT(abcde)」は、操作対象のオブジェクト（例えばテキストボックス）にキーボードから文字列”abcde”が入力された状態を示す。「DRUG(I1)」は、操作対象のウインドウに表示されたアイコン「I1」に対する、マウスを用いたドラッグ操作が発生した状態を示す。
【００４９】
図６は、本発明の第１の実施形態の操作ログ意味定義データベース１１５内のテーブルの例を示す説明図である。
【００５０】
操作ログ意味定義データベース１１５内のテーブルは、管理サーバ１０２の管理者によってシステム稼働前に予め登録されるものであり、操作ログデータベース１１４に格納されたデータと、情報利用者による作業とを対応付ける情報を含む。操作ログ意味定義データベース１１５内のテーブルは、プロセス名を表すフィールド６００、プロセスが受け付けた入力操作対象を表すフィールド６０１、操作対象で発生したイベントを表すフィールド６０２、情報利用者の動作を表すフィールド６０３、及び、動作の対象を表すフィールド６０４を有する。
【００５１】
フィールド６００、６０１及び６０２には、情報利用者が情報利用端末１０１を用いて作業した際に操作ログとして取得されるデータ値が格納される。具体的には、フィールド６００、６０１及び６０２には、情報利用端末１０１の入力装置２０４のイベントデータを識別する情報が格納される。
【００５２】
一方、フィールド６０３及び６０４には、操作ログとして取得されるデータ値が意味する作業を表す値が格納される。具体的には、フィールド６０３及び６０４には、情報利用端末１０１において実行されるアプリケーション（例えば電子メール送信アプリケーション）への操作命令を識別する情報が格納される。
【００５３】
具体的には、本実施形態のように情報利用端末１０１が電子メール送信用アプリケーションを実現する場合、操作ログとして取得されるデータ値は、入力装置２０４による文字データの入力を示す情報、及び、入力装置２０４による操作対象の選択を示す情報、の少なくとも一方を含んでもよい。アプリケーションへの操作命令を識別する情報は、電子メールの宛先の入力を識別する情報、電子メールの件名の入力を識別する情報、電子メールの本文の入力を識別する情報、及び、電子メールに添付するファイルの選択を識別する情報、の少なくとも一つを含んでもよい。
【００５４】
例えば、図６に示す先頭のレコードは、情報利用者がプロセス「PRO1」の操作対象「W1_O1」に対して行ったキーボード入力「INPUT(X)」が、電子メールの宛先「Data X」の入力（「SET“TO”」）を意味することを表している。
【００５５】
その他、作業内容（フィールド６０３）及び作業対象（フィールド６０４）との組み合わせが表す意味の例は、次のとおりである。作業内容「SET“SUBJECT”」と作業対象「Data X」との組み合わせは、「「Data X」を電子メールの件名として入力する」という意味を表す。作業内容「SET“BODY”」と作業対象「Data X」との組み合わせは、「「Data X」を電子メールの本文として入力する」という意味を表す。作業内容「ATTACH」と作業対象「File X」との組み合わせは、「ファイル「File X」を電子メールに添付する」という意味を表す。
【００５６】
図５に示すように、利用者による情報利用端末１０１の操作は、プロセス名、操作対象及びイベントによって識別される。すなわち、二つの操作のプロセス名、操作対象及びイベントうち少なくとも一つが相違していれば、それらは異なる操作として識別される。しかし、図６に示すテーブルを使用することによって、異なる操作を同じ意味の操作として識別することができる。
【００５７】
例えば、異なる電子メール送信用アプリケーションを用いて電子メールにファイル添付する操作は、異なるイベントとして識別される場合がある。その場合であっても、それらの異なるイベントを、同一の意味（すなわち「ファイルを電子メールに添付する」という作業内容）と対応付けることによって、それらの操作を同一の意味を持った操作として識別することができる。
【００５８】
後述するように、本実施形態では、過去に発生した事故事例に基づいて、現在実行されている操作が事故につながる危険が高いか否かが判定され、危険が高い場合には警告が出力される。しかし、入力装置２０４のイベントによって操作を識別する場合、上記のように、あるアプリケーションにおいて発生した事故事例を別のアプリケーションの操作の危険性の判定に使用することができない。一方、操作の意味を識別することによって、あるアプリケーションにおいて発生した事故事例を別のアプリケーションの操作の危険性の判定に使用することができる。
【００５９】
図７は、本発明の第１の実施形態の作業状況データベース１１６内のテーブルの例を示す説明図である。
【００６０】
作業状況データベース１１６内のテーブルには、作業状況記録処理部１２１が算出したデータが格納される。このテーブルは、作業番号を表すフィールド７００、作業開始時刻を表すフィールド７０１、及び、作業終了時刻を表すフィールド７０２を有する。作業開始時刻及び作業終了時刻は、情報利用端末１０１に情報利用者がログインした時刻、ログオフした時刻、スクリーンセーバの起動時刻、終了時刻、又は、無入力状態の判定結果に基づいて、作業状況記録処理部１２１によって判定される。
【００６１】
例えば、情報利用者がログインした時刻が作業開始時刻、ログオフした時刻が作業終了時刻と判定されてもよい。スクリーンセーバが起動した時刻が作業終了時刻、スクリーンセーバが終了した時刻が次の作業開始時刻と判定されてもよい。無入力状態の始点が作業終了時刻、終点が次の作業開始時刻と判定されてもよい。作業開始時刻から、その後の最も近い作業終了時刻までの間の作業が、一つの作業として識別される。各作業を識別するために、作業番号（フィールド７００）が付与される。
【００６２】
図８は、本発明の第１の実施形態の事例データベース１１７内のテーブルの例を示す説明図である。
【００６３】
事例データベース１１７内のテーブルには、事例収集処理部１１０が、電子メール誤送信など実際に生じた事故事例、及び、事故事例に類似したその他の事例に関するデータを収集及び加工したデータが格納される。このテーブルは、過失（情報利用者による操作間違い）事例の識別子を表すフィールド８００、過失の発生要因（条件変数）を表すフィールド８０１、及び、条件変数の値を表すフィールド８０２を有する。１件の事例の条件変数が２個以上存在する場合、本テーブルには、事例識別子Ｃ＃の値が同じである複数のレコードが格納される。
【００６４】
図８の例では、事例１（すなわち、事例識別子Ｃ＃の値「１」に対応する事例）の条件変数として「操作シーケンス」、「選択可能ウインドウ数」、「選択可能メニュー数」、「選択可能ファイル数」、「連続作業時間」、「累積作業時間」、「作業時間帯」及び「発生事故」が格納される。ただしこれらの条件変数と事故との間に因果関係があるとは限らない。事故と条件変数との間の因果関係の大きさは、本テーブルを参照するリスク算出処理部１１１によって抽出され、情報利用者に警告すべき警告事例として、警告条件データベース１０８に格納される。
【００６５】
図８の例では、事例１の条件変数「操作シーケンス」に対応する条件変数値として「(1)TO (2)SUBJECT (3)BODY (4)ATTACH (5)SEND(CURRENT)」が格納されている。これは、事例１が発生する直前に、利用者が、電子メールの宛先を入力し、電子メールの件名を入力し、電子メールの本文を入力し、電子メールにファイルを添付し、電子メールを送信する、という操作のシーケンスを実行したことを表す。
【００６６】
図８の例では、事例１の条件変数「選択可能ウインドウ数」、「選択可能メニュー数」及び「選択可能ファイル数」に対応する条件変数値として、それぞれ、「２」、「３」及び「１５」が格納されている。これらは、事例１が発生した時点で選択可能な２個のウインドウが画面に表示され、選択可能な３個のメニューが表示され、選択可能な１５個のファイルのアイコンが表示されていたことを表す。
【００６７】
図８の例では、事例１の条件変数「連続作業時間」、「累積作業時間」及び「作業時間帯」に対応する条件変数値として、それぞれ、「２」、「１５０」及び「ＰＭ」が格納されている。これらは、事例１が発生した時点で利用者が２時間連続して作業を実行しており、その時点の利用者の累積作業時間が１５０時間であり、その時点が午後であったことを表す。
【００６８】
図８の例では、条件変数「発生事故」に対応する条件変数値として、「INVALID ATTACH」又は「NO」が格納されている。事例１の「発生事故」に対応する「INVALID ATTACH」は、事例１が事故事例であり、その事故の内容が「誤ったファイルの添付」であることを表す。一方、事例２の「発生事故」に対応する「NO」は、事例２が事故事例に類似しているが、事故事例ではないことを表す。このような、事故事例に類似しているが事故事例ではない事例を、以下、過失未遂事例とも記載する。
【００６９】
図１１は、本発明の第１の実施形態の警告条件データベース１０８内のテーブルの例を示す説明図である。
【００７０】
図１１に示すテーブルは、警告条件の識別子を表すフィールド１１００、警告判定のための条件変数を表すフィールド１１０１、及び、条件変数の値を表すフィールド１１０２を有する。これらの値の詳細については後述する。
【００７１】
次に、本実施形態の動作例を説明する。
【００７２】
図９は、本発明の第１の実施形態において、情報利用者による作業を記録し、電子メール誤送信などの事故が生じそうな場合に警告を発する処理を示すシーケンス図である。
【００７３】
図９のシーケンスは、情報利用者が情報利用端末１０１を操作する度に実行される。情報利用者がキーボード又はマウス等を用いた入力操作によって表示画面に変更が生じた場合に、端末状態記録処理部１０４が、タイマー１０５から現在時刻を取得する（Ｓ９０１）。端末状態記録処理部１０４が検出する入力操作は、マウスポインタの移動、マウスボタンクリック、マウスによるドラッグアンドドロップ、キーボードによる文字入力などである。
【００７４】
次に端末状態記録処理部１０４は、テーブル４０４に格納するマウスポインタ座標、テーブル４００に格納する画面のビットマップデータ、及び、テーブル４０８に格納する画面表示部品（例えばウインドウ自体、並びに、各ウインドウに表示されるボタン及びアイコン等）の状態を管理サーバ１０２に送信する（Ｓ９０２）。ビットマップデータの画像フォーマットとして、ＪＰＥＧ又はＧＩＦなど任意のフォーマットを用いることができる。
【００７５】
ただし、端末状態記録処理部１０４は、マウスポインタの移動のみを検出した場合、画面のビットマップデータを送信しなくてもよい。
【００７６】
管理サーバ１０２は、受信したデータを、端末状態データベース１１３の各テーブルに追加したレコードに格納する（Ｓ９０３）。ただし、管理サーバ１０２は、レコードを追加する前のテーブル４００に既に格納されているレコード数に１を加算した値を算出し、その値を、追加したレコードのフィールド４０１として用いる。そして、管理サーバ１０２は、テーブル４０８に追加したレコードのフィールド４０１として、テーブル４００に追加したレコードのフィールド４０１と同じ値を用いる。
【００７７】
次に操作ログ記録処理部１０６は、画面の変更の原因となった操作を示す情報を、操作ログとして管理サーバ１０２に送信する（Ｓ９０４）。操作ログは、操作の対象（例えばマウスで操作したウインドウ又はオブジェクト）の識別子、操作の内容に対応するイベント、及び操作によって入力された文字列等である。
【００７８】
管理サーバ１０２は、操作ログ記録処理部１０６から受信したデータを操作ログデータベース１１４に格納する（Ｓ９０５）。
【００７９】
次に管理サーバ１０２は、受信した操作ログデータを、メール宛先入力又は件名入力などの作業内容データに変換し、情報利用端末１０１に送信する（Ｓ９０６）。この変換処理は、次のように実行される。管理サーバ１０２は、Ｓ９０５で新たに格納された各レコードのプロセス名５０１、操作対象５０２及びイベント５０３に一致するプロセス名６００、操作対象６０１及びイベント６０２を有する操作ログ意味定義データベース１１５のレコードを検索する。そして、管理サーバ１０２は、検索されたレコードの作業内容６０３のフィールド値を作業内容データとして取得し、情報利用端末１０１に送信する。
【００８０】
次に警告処理部１０７は、管理サーバ１０２から取得した作業内容データ及び作業状況記録処理部１２１が保持する作業状況データを、警告条件データベース１０８の格納データと比較することによって、警告判定を行う（Ｓ９０７）。具体的には警告処理部１０７は、図１１の警告条件ごとに、作業内容データ及び作業状況データが、「発生事故」以外の条件変数及び条件変数値と合致するか否かを判定する。警告条件は識別子の昇順で比較され、最初に合致した警告条件が特定される。
【００８１】
ここで、各条件変数の比較及び判定について説明する。「操作シーケンス」の比較判定については、警告処理部１０７が過去に取得した一定件数の作業内容データを記憶しておき、ＤＰ（Dynamic Programming、動的計画法）マッチングなどによって一致を判定する。例えば、警告処理部１０７は、過去に取得した一定件数の作業内容データと、警告条件の「操作シーケンス」に格納された値との間の類似度をＤＰマッチングなどによって算出し、その類似度が所定の閾値より高い場合に、過去に取得した一定件数の作業内容データと「操作シーケンス」とが一致すると判定してもよい。
【００８２】
警告処理部１０７は、「操作シーケンス」以外の条件変数が一致しており、最近の作業内容が「操作シーケンス」に記載されている順番に進行し（又は、上記のように算出された類似度が所定の閾値より高く）、かつ現在の作業状況が「発生事故」に記載された値と一致するとき、合致する警告条件が存在すると判定する。警告条件データベース１０８のテーブルに、外部システム（図示省略）が持っているデータ（例えば、会社の勤務時間管理システムが持っている月間の累積作業時間を示すデータ）が条件変数として定義されている場合、警告処理部１０７が起動時などに当該データを取り込んでもよい。
【００８３】
次に警告処理部１０７は、合致する警告条件が存在する場合に、情報利用者に対して誤送信に注意するよう、情報利用端末１０１の出力装置２０５を通じて警告を発する（Ｓ９０８）。この警告は、例えば、画面上のダイアログボックス又は音声などによって行われる。
【００８４】
なお、作業状況記録処理部１２１は、情報利用端末１０１へのログイン時刻、ログオフ時刻、スクリーンセーバの起動時刻、終了時刻、及び、無入力状態の判定結果などに基づいて、作業開始時刻及び作業終了時刻を計算し、作業時間（すなわち作業開始時刻からその次の作業終了時刻までの時間）が確定した時点で管理サーバ１０２に送信する（図示省略）。作業状況記録処理部１２１の処理はバックグラウンドで動作し、情報利用者には一切通知されない。
【００８５】
以上が、情報利用者による作業を記録すると共に、電子メール誤送信などの過失による事故が生じそうな場合に警告を発する動作のシーケンスである。
【００８６】
次に、警告条件データベース１０８を更新する動作例を説明する。
【００８７】
図１０は、本発明の第１の実施形態において、事故が発生した場合に実行される処理を示すシーケンス図である。
【００８８】
具体的には、図１０は、電子メール誤送信など、情報利用端末１０１の操作間違いによる事故が発生した場合に実行される動作シーケンスを示す。以下、電子メール誤送信を例に説明する。
【００８９】
まず検証端末１０３の事故発生時刻入力処理部１１９が、操作間違いをした当事者（情報利用者）から、事故発生時刻の入力を受け付ける（Ｓ１００１）。次に画面状態再現処理部１１８は管理サーバ１０２に、情報利用端末１０１の画面を再現するためのデータを要求する（Ｓ１００２）。Ｓ１００２では、入力された事故発生時刻が管理サーバ１０２に送信される。
【００９０】
管理サーバ１０２の画面再現用データ検索処理部１２２は、事故発生時刻に基づいて、端末状態データベース１１３、操作ログデータベース１１４及び操作ログ意味定義データベース１１５からデータを検索し、要求データを検証端末１０３に送信する（Ｓ１００３）。ここで、Ｓ１００３の詳細な処理を説明する。
【００９１】
図１７は、本発明の第１の実施形態において、画面再現用のデータを検索するために実行される処理を示すフローチャートである。
【００９２】
図１７のフローにおいて、画面再現用データ検索処理部１２２は、まず作業状況データベース１１６を検索し、条件「作業開始時刻≦事故発生日時≦作業終了時刻」を満足するレコードを特定し、特定されたレコードに記載された作業開始時刻を事故発生時作業開始時刻として取得する（Ｓ１７０１）。事故発生時作業とは、事故が発生した時点で実行されていた作業を意味する。
【００９３】
次に、画面再現用データ検索処理部１２２は、端末状態データベース１１３のテーブル４００を検索し、条件「事故発生時作業開始時刻≦画面状態記録時刻≦事故発生時刻」を満たすレコードを全て取得する。次に、画面再現用データ検索処理部１２２は、テーブル４０４を参照し、条件「事故発生時作業開始時刻≦ポインタ記録時刻≦事故発生時刻」を満たすレコードを全て取得し、画面状態記録時刻と画面ファイルとからなるレコードの集合を構成する（Ｓ１７０２）。
【００９４】
次に、画面再現用データ検索処理部１２２は、操作ログデータベース１１４を検索し、条件「事故発生時作業開始時刻≦操作記録時刻≦事故発生時刻」を満たすレコードを全て取得する（Ｓ１７０３）。
【００９５】
次に、画面再現用データ検索処理部１２２は、操作ログ意味定義データベース１１５を検索し、Ｓ１７０３で取得したレコードのそれぞれについて、プロセス名５０１、操作対象５０２及びイベント５０３に一致する操作ログ意味定義データベース１１５のレコードを検索する。そして、画面再現用データ検索処理部１２２は、検索されたレコードから作業内容６０３のフィールド値を取得し、操作記録時刻と作業内容とからなるレコードの集合を構成する（Ｓ１７０４）。Ｓ１７０４における検索及びフィールド値の取得は、図９のＳ９０６と同様に実行される。
【００９６】
次に、画面再現用データ検索処理部１２２は、（ａ）Ｓ１７０２で取得したレコードの集合（ポインタ記録時刻とマウスポインタ座標）、（ｂ）Ｓ１７０２で構成したレコード集合（画面状態記録時刻と画面ファイル）、及び、（ｃ）Ｓ１７０４で構成したレコード集合（操作記録時刻と作業内容）を、要求データとして検証端末１０３に送信する（Ｓ１７０５）。
【００９７】
以上がＳ１００３の詳細処理フローである。この処理フローにおいてレコード集合を求める処理は、典型的にはＳＱＬなどのデータベース検索言語によって記述される。
【００９８】
Ｓ１００３の完了後、検証端末１０３の画面状態再現処理部１１８は、Ｓ１００３で取得したデータを用いて、事故発生に至る状況を再現するためのデータを、検証端末１０３の出力装置２０５に出力する（Ｓ１００４）。これによって、事故発生時作業が開始されてから事故が発生するまでの間に情報利用端末１０１に出力装置２０５に表示された画面が、検証端末１０３の出力装置２０５に再現される。
【００９９】
図１２は、本発明の第１の実施形態の画面状態再現処理部１１８によって出力される画面の例を示す説明図である。
【０１００】
図１２において、再現画面を表示するウインドウ１２００及び表示制御ウインドウ１２０１が、検証端末１０３の出力装置２０５に表示される。
【０１０１】
表示制御ウインドウ１２０１は、再現画面を時間順に連続表示するための再生ボタン１２０２、連続表示を停止する停止ボタン１２０３、及び、再現画面の作業内容表示テーブルデータなどを含む。作業内容表示テーブルは、操作記録時刻１２０４及び作業内容１２０５からなる。
【０１０２】
利用者がマウスポインタを用いて再生ボタン１２０２を操作してから停止ボタンを操作するまでの間、画面状態再現処理部１１８は、再現画面表示ウインドウ１２００に、Ｓ１００３（詳細はＳ１７０５）で取得したポインタ記録時刻及びマウスポインタ座標に基づいて、マウスポインタを時間順に表示する。このとき、画面状態再現処理部１１８は、背景画面としてＳ１００３（詳細はＳ１７０５）で取得した画面ファイルを表示する。具体的には、表示されているマウスポインタに対応するカーソル位置記録時刻４０５に最も近い画面状態記録時刻４０２に対応する画面ファイルが背景として表示される。
【０１０３】
さらに、作業表示テーブルには、Ｓ１００３（詳細はＳ１７０５）で取得した操作記録時刻及びそれに対応する作業内容が表示される。作業内表表示テーブルには、表示中の操作記録時刻から過去一定時間分のデータが、テーブルの大きさに応じて表示される。
【０１０４】
電子メールを誤送信した当事者は、再生ボタン１２０２及び停止ボタン１２０３をクリックしながら再現画面を目視しつつ、宛先入力間違い、本文入力間違い、添付するファイルの選択間違いなど、操作誤りを指示する。操作誤りの指示は、操作誤りに該当する作業内容表示テーブル中のレコードを操作（例えばダブルクリック）することによって行われる。例えば、時刻１０時０分０秒における宛先入力が誤りであった場合、当事者は、作業内容表示テーブルの「10:00:00  宛先入力」のレコードをダブルクリックする。このような操作誤りの指示を、操作誤り指示処理部１０９が受け付ける（Ｓ１００５）。
【０１０５】
次に、検証端末１０３は、誤送信は起きていない（すなわち事故は発生していない）が事故事例に類似した事例（過失未遂事例）の収集を管理サーバ１０２に要求する（Ｓ１００６）。このとき検証端末１０３は、Ｓ１００３（詳細はＳ１７０５）で取得したレコード集合（ｃ）のうち、作業開始時刻から操作誤り発生時刻に至るまでの間に記録した作業内容に該当するレコードを、管理サーバ１０２に対して送信する。
【０１０６】
次に、管理サーバ１０２の事例収集処理部１１０は、Ｓ１００６で受信した作業内容レコードから構成される事故事例に近い事例（過失未遂事例）を検索する（Ｓ１００７）。具体的には、後述する図１８の処理が実行される。次に、事例収集処理部１１０は、事故事例、及び、Ｓ１００７において検索された過失未遂事例をそれぞれ事例データベース１１７に格納する（Ｓ１００８）。
【０１０７】
ここで事例とは、（１）一定時間内に情報利用者が行った作業内容（ＭＡＮ要因８０３）を識別する情報、（２）その作業内容を実行したときの端末の状態（ＭＡＣＨＩＮＥ要因８０４）を識別する情報、及び、（３）その作業内容を実行したときの情報利用者自身の状態（ＭＥＤＩＡ要因８０５）を識別する情報、を含むデータである。
【０１０８】
個々の事例は、作業状況データベース１１６の作業開始時刻及び作業終了時刻によって区切られる。すなわち、一つの事例は一つの作業に対応する。事故事例とは、誤送信（又は、その他の誤った操作）が起きた事例のことであり、Ｓ１００６で受信した作業内容レコードを元に構成されるデータである。過失未遂事例とは、作業内容が事故事例と似ているが、誤送信（又はその他の誤った操作）が起きなかった事例のことであり、事故事例を元に検索した結果得られるデータである。
【０１０９】
図８の例では、条件変数「操作シーケンス」がＭＡＮ要因８０３、条件変数「選択可能ウインドウ数」、選択可能メニュー数」及び「選択可能ファイル数」がＭＡＣＨＩＮＥ要因８０４、条件変数「連続作業時間」、「累積作業時間」及び「作業時間帯」がＭＥＤＩＡ要因８０５である。この例において、事例１が事故事例、事例２が過失未遂事例である。
【０１１０】
図１８は、本発明の第１の実施形態において、事例を収集するために実行される処理を示すフローチャートである。
【０１１１】
図１０のＳ１００７において、作業状況データベース１１６のレコードのそれぞれについて、図１８に示す処理が実行される。
【０１１２】
最初に、事例収集処理部１１０は、作業状況データベース１１６のレコードに格納された作業開始時刻及び作業終了時刻に基づいて事例時間（すなわち作業時間）を算出する（Ｓ１８０１）。
【０１１３】
次に、事例収集処理部１１０は、操作ログデータベース１１４を検索し、条件「作業開始時刻≦操作記録時刻≦作業終了」を満たす操作ログレコード集合を取得する（Ｓ１８０２）。
【０１１４】
次に、事例収集処理部１１０は、Ｓ１８０２で取得した操作ログレコードのそれぞれを、操作ログ意味定義データベース１１５を用いて作業内容に変換する。この変換は、図９のＳ９０６と同様に実行される。変換によって得られた作業内容の集合が、事例のＭＡＮ要因レコード集合として取得される（Ｓ１８０３）。
【０１１５】
次に、事例収集処理部１１０は、Ｓ１８０３で取得した事例のＭＡＮ要因レコード集合を検索対象として、Ｓ１００６で受信した作業内容レコードを検索する。Ｓ１８０３で取得した事例のＭＡＮ要因レコード集合に、Ｓ１００６で受信した全ての作業内容レコードが含まれる場合、Ｓ１８０２で取得した事例は過失未遂事例と判定される（Ｓ１８０４）。
【０１１６】
次に、事例収集処理部１１０は、Ｓ１８０４で取得した過失未遂事例の作業時間内に発生した、端末状態データベース１１３のテーブル４０８を検索、集計することによって、ＭＡＣＨＩＮＥ要因に該当するデータを取得する（Ｓ１８０５）。例えば、作業中に可視状態になっていたウインドウ数の最大値が、「選択可能ウインドウ数」として取得される。可視状態ウインドウ数は、同一の画面識別子４０１を有するレコード集合において、ウインドウ状態４１１が「ＶＩＳＩＢＬＥ」であるレコードの数である。作業中に選択可能であったメニュー数の最大値が、「選択可能メニュー数」として取得される。選択可能メニュー数は、同一の画面識別子４０１を有するレコードのうち、オブジェクト種別４１３が「ＭＥＮＵ」であるレコードの選択可能オブジェクト４１２の合計値である。
【０１１７】
次に、事例収集処理部１１０は、Ｓ１８０１で取得した過失未遂事例の作業時間と、作業状況データベース１１６とを集計することによって、ＭＥＤＩＡ要因に該当するデータを得る（Ｓ１８０６）。例えば「連続作業時間」は過失未遂事例の作業開始時刻から作業終了時刻までの経過時間である。「累積作業時間」は、作業状況データベース１１６の各レコードにおける作業開始時刻から作業終了時刻までの経過時間のうち、過失未遂事例と同じ日のものを合計した値である。
【０１１８】
Ｓ１８０５におけるＭＡＣＨＩＮＥ要因集計ロジック、Ｓ１８０６におけるＭＥＤＩＡ要因集計ロジックは、管理サーバ１０２の管理者によって予め決められ、事例収集処理部１１０に与えられる。
【０１１９】
Ｓ１００８において、事例収集処理部１１０は、以上の処理で取得した過失未遂事例を事例データベース１１７に格納する。各事例の条件変数「発生事故」の値として「ＮＯ」が格納される。さらに、Ｓ１００８において、事例収集処理部１１０は、Ｓ１００６で受信した作業内容レコードを用いて事故事例を構成し、その事故事例を事例データベース１１７に格納する。具体的には、事故事例のＭＡＮ要因として、Ｓ１００６で受信した作業内容データが格納される。ＭＡＣＨＩＮＥ要因及びＭＥＤＩＡ要因は、Ｓ１８０５及びＳ１８０６と同様の処理によって取得される。このとき、Ｓ１００６で受信した作業開始時刻及び事故発生日時に基づいて、事故事例に対応する作業時間が定義される。
【０１２０】
Ｓ１００９において、リスク算出処理部１１１は、事例データベース１１７のデータを参照し、「発生事故」の種別ごとに、ＭＡＣＨＩＮＥ要因及びＭＥＤＩＡ要因を事故発生の条件変数として、任意の条件変数の組の確からしさＲを求める。本実施形態では、次の通り定義するＲが大きいほど、リスクが大きな事例と見なす。ＭＡＣＨＩＮＥ要因、ＭＥＤＩＡ要因の条件変数の任意の組みＸに対し、Ｘの生起確率Ｐ（Ｘ）は、
Ｐ（Ｘ）＝Ｎ（Ｘ）／Ｎ＝（Ｘを有する事例の数）／（事例の総数）  ・・・（１）
によって算出される。ある事故Ｙの生起確率Ｐ（Ｙ）は、
Ｐ（Ｙ）＝Ｎ（Ｙ）／Ｎ＝（Ｙを有する事例の数）／（事例の総数）  ・・・（２）
によって算出される。また、Ｘを事前条件とする、ある事故Ｙの生起確率Ｐ（Ｙ｜Ｘ）は、
Ｐ（Ｙ｜Ｘ）＝Ｎ（Ｘ∩Ｙ）／Ｎ（Ｘ）＝（ＸとＹを有する事例の数）／（Ｘを有する事例の数）  ・・・（３）
によって算出される。ある条件Ｘを有する事例の事故リスクＲは、
Ｒ＝Ｐ（Ｘ）×ｌｏｇ｛Ｐ（Ｙ｜Ｘ）／Ｐ（Ｙ）｝  ・・・（４）
によって算出される。Ｒが大きな条件Ｘは、公知の方法によって求めることができる。例えば、特許３４５２３０８号などに開示された方法が用いられてもよい。
【０１２１】
次にＳ１０１０において、リスク算出処理部１１１は、統計的に有意なＲを持つ事故事例発生条件を抽出する。具体的には、統計量χ２を式（５）で算出し、カイ二乗検定によって有意と見なされた事故事例発生条件を採用する。
【０１２２】
【数１】
2010160613.tif 000003
【０１２３】
言い換えると、上記の計算によって、条件変数値の組み合わせと事故の生起確率との相関の強さが算出され、その相関が所定の閾値より強い場合、その条件変数値の組み合わせが事故事例発生条件として抽出される。
【０１２４】
次に管理サーバ１０２は、警告条件データベース１０８の更新要求を情報利用端末１０１に送信する（Ｓ１０１１）。具体的には、管理サーバ１０２は、情報利用端末１０１に対して、Ｓ１０１０で採用された全ての事故事例発生条件と、それに対応するＭＡＮ要因データと、発生事故の種別とを送信する。
【０１２５】
次に情報利用端末１０１は、受信した事例発生条件を警告条件データベース１０８に格納する。図１１の例では、情報利用端末１０１は、ＭＡＮ要因データを条件変数「操作シーケンス」として、事故事例発生条件及び発生事故種別を、その他の条件変数として格納する（Ｓ１０１２）。
【０１２６】
具体的には、図１１の例では、識別子（Ｗ＃）１１００の値が「１」である警告条件（以下、警告条件Ｗ１と記載）の条件変数「操作シーケンス」として、「(1)TO (2)SUBJECT (3)BODY (4)ATTACH (5)SEND(CURRENT)」が格納されている。さらに、警告条件Ｗ１の条件変数「選択可能ウインドウ数」、「選択可能ファイル数」、「連続作業時間」及び「発生事故」として、それぞれ、「２以上」、「２０以上」、「５以上」及び「ATTACH」が格納されている。これは、「操作シーケンス」が示す操作手順が実行された場合にファイル添付の誤りが発生する確率と、「選択可能ウインドウ数」の値「２以上」、「選択可能ファイル数」の値「２０以上」及び「連続作業時間」の値「５以上」の組み合わせと、の間に所定の閾値以上の強い相関があったことを示している。この場合、情報利用端末１０１は、上記の警告条件Ｗ１が満たされると判定（Ｓ９０７）した場合に、ファイルの添付の誤りが発生する可能性が高いことを情報利用者に警告する（Ｓ９０８）。
【０１２７】
以上が第１の実施形態の説明である。本実施形態の特徴は、ＯＳレベルのイベントデータからからなる操作ログを、意味レベルの作業内容データに変換し（Ｓ９０６）、変換したデータを、事前に抽出しておいた警告条件と比較する（Ｓ９０７）ことにある。これによって、実際にメールが送信される前に、誤送信の可能性を警告することができるようになる。１台の情報利用端末においても本実施形態は有効であるが、さらに複数の情報利用端末が運用されている環境においては、電子メール送信アプリケーションが端末ごとに異なるような場合であっても、操作ログを作業内容データに変換して利用する仕組みを備えているため、全ての操作ログを相互に比較することができる。
【０１２８】
例えば、複数の情報利用端末１０１が互いに異なる電子メール送信アプリケーションを使用している場合、それぞれの端末において意味が同一である作業（例えば「宛先の入力」）は、ＯＳレベルでは異なるイベントデータとして識別される。しかし、操作ログ意味定義データベース１１５がそれらの異なるイベントデータを同一の作業内容データと対応付けることによって、それぞれの端末において取得された操作ログを相互に比較することができる。
【０１２９】
また、本実施形態の別の特徴は、端末状態と操作ログとが記録時刻で関連付けて格納され（Ｓ９０３、Ｓ９０５）、事故が生じた際には事故発生時の状況が再現され（Ｓ１００４）、誤りであった端末操作を情報利用者が指示できる（Ｓ１００５）ことである。これによって、宛先アドレスの間違い、メール本文の間違い、添付ファイルの間違いなど、電子メール誤送信事故の原因の複数の候補のうち、該当する原因を正しく記録することができる。
【０１３０】
電子メール誤送信に限らず、情報利用者の操作間違い、認識違い等の過失行為を未然に防ぐには、事故の原因を事故当事者の不注意に求めるだけでなく、事故が生じやすい作業条件を把握し、対策することが必要である。本実施形態では、端末利用状況を記録した各種データを、ＭＡＮ要因データ、ＭＡＣＨＩＮＥ要因データ及びＭＥＤＩＡ要因データに分類することによって事例を構成し（図８）、ＭＡＮ要因データが類似した事例を収集し（Ｓ１００７、Ｓ１００８）、ＭＡＣＨＩＮＥ要因データ及びＭＥＤＩＡ要因データから、事故事例の発生と因果関係が強い条件を算出（Ｓ１００９）し、統計的に有意な条件を警告条件として抽出する（Ｓ１０１０）ことを特徴とする。これによって、事故が生じやすい作業条件を把握することができる。
【０１３１】
また、本実施形態のさらに別の特徴は、事故のリスクを抽出するために、事故は発生してないが事故発生時のＭＡＮ要因が類似した過失未遂事例を集め（Ｓ１００７）、それを事例データベース１１７に格納する（Ｓ１００８）ことである。このため、事例データベース１１７を用いれば、過失未遂事例を起こしていた情報利用者に事故を周知することも容易に実現できるようになる。
【０１３２】
なお、本実施形態は、情報利用端末１０１が電子メール送信用アプリケーション以外のアプリケーションを実現する場合にも適用することができる。例えば、情報利用端末１０１によるファイル操作に本実施形態を適用する場合、ファイル操作のために情報利用者によって入力される入力装置２０４のイベント（例えば、画面上のアイコンの指定、アイコンのドラッグ、メニュー項目の指定及び文字データの入力等）を識別する情報が、操作ログ意味定義データベース１１５のフィールド６００〜６０２及び操作ログデータベース１１４に格納される。一方、上記の操作が意味するファイル操作（例えばファイル生成、ファイル更新、ファイル移動、ファイル削除及びファイル名変更等）を識別する情報が、操作ログ意味定義データベース１１５のフィールド６０３及び６０４に格納される。
【０１３３】
このように、任意の操作のための入力イベントを識別する情報と、その操作の意味（すなわちアプリケーションに対する操作命令）を識別する情報とを対応付けることによって、情報利用端末１０１が実行する任意の処理に本実施形態を適用することができる。
【０１３４】
＜第２の実施形態＞
図１３は、本発明の第２の実施形態のシステム構成の例を示すブロック図である。
【０１３５】
本実施形態は、事故事例を公開し、情報利用者間で共有するための手段を実現する。本実施形態の計算機システムは、事故事例公開サーバ１３００、情報利用端末１０１、管理サーバ１０２及び検証端末１０３などを備える。全ての端末及びサーバは、通信ネットワーク１２０を介して接続される。情報利用端末１０１、管理サーバ１０２、検証端末１０３及び通信ネットワーク１２０は、第１の実施形態のシステムと同様である。
【０１３６】
事故事例公開サーバ１３００は、例えば、パーソナルコンピュータ、サーバ装置又はワークステーション等の任意の情報処理装置である。事故事例公開サーバ１３００のハードウェア構成例は図２の通りである。事故事例公開サーバ１３００のＣＰＵ２０１は、公開用事例生成処理部１３０１、Ｗｅｂサーバ１３０２、公開用事例データベース１３０３及び警告条件データベース１０８などを有する。これらは、事故事例公開サーバ１３００のＣＰＵ２０１が、事故事例公開サーバ１３００のメモリ２０３にロードしたプログラム（図示省略）を実行することによって実現される機能である。事故事例公開サーバ１３００のストレージ２０２は、公開用事例データベース１３０３及び警告条件データベース１３０４を格納する。警告条件データベース１３０４は、第１の実施形態における警告条件データベース１０８と同じデータを格納する。
【０１３７】
次に、上述したデータベースに格納するデータの一例を説明する。
【０１３８】
図１４は、本発明の第２の実施形態の公開用事例データベース１３０３に格納されるデータの例を示す説明図である。
【０１３９】
テーブル１４００は、公開用事例における表示画面を記録したデータを格納する。具体的には、テーブル１４００は、画面データの識別子を表すフィールド１４０１、表示画面取得時の時刻を表すフィールド１４０２、画面データの実体を格納するファイル名を表すフィールド１４０３、操作シーケンスを表すフィールド１４０７、及び、公開用事例の事例識別子を表すフィールド１４０５を有する。
【０１４０】
フィールド１４０１は、テーブル４００におけるフィールド４０１と共通であり、フィールド１４０５は、警告条件データベース１３０４に格納された警告条件の識別子フィールド１１００と共通である。画面データの実体は、事故事例公開サーバ１３００のストレージ２０２上のファイルシステムのファイルに、ビットデータとして格納される。フィールド１４０４は、操作シーケンスを再現するためのデータを格納したテーブルへのリファレンスである。
【０１４１】
テーブル１４０６は、操作シーケンス「SEQ01」のデータを格納するテーブルの一例である。テーブル１４０６は、操作記録時刻を表すフィールド１４０７、及び、作業内容を表すフィールド１４０８などを有する。
【０１４２】
さらに、公開用事例データベース１３０３は、テーブル１４００に記録した画面状態内におけるマウス操作を再現するためのテーブル１４０９を格納している。テーブル１４０９の構造は、図４のテーブル４０４と同様である。
【０１４３】
事故事例公開サーバ１３００は、事故発生時の状況を再現するためのデータを生成し、Ｗｅｂサーバ１３０２によってデータを送信する。Ｗｅｂサーバ１３０２は、ＨＴＴＰ（Hyper Text Transfer Protocol）で通信するデータ送受信処理部である。Ｗｅｂサーバ１３０２が送信するデータは、情報利用端末１０１のＷｅｂブラウザ（図示略）が受信し、情報利用端末１０１の出力装置２０５に表示する。
【０１４４】
図１５は、本発明の第２の実施形態のＷｅｂブラウザが表示する画面の例を示す説明図である。
【０１４５】
領域１５００には再現画面が表示される。領域１５０１には、１５００の表示を制御するためのボタンなどが表示される。領域１５０１は、再現画面を時間順に連続表示するための再生ボタン１５０３、連続表示を停止する停止ボタン１５０４、及び、再現画面の作業内容表示テーブル１５０５を含む。領域１５０２には、事故発生時の要因１５０６（ＭＡＣＨＩＮＥ要因あるいはＭＥＤＩＡ要因）が表示される。再生ボタン１５０３及び停止ボタン１５０４の機能は、第１の実施形態における再生ボタン１２０２及び停止ボタン１２０３と同様である。作業内容表示テーブル１５０５には、第１の実施形態の操作記録時刻１２０４及び作業内容１２０５と同様の情報が表示される。
【０１４６】
次に、本実施形態の動作例を説明する。
【０１４７】
図１６は、本発明の第２の実施形態の公開用事例データベース１３０３及び警告条件データベース１３０４にデータを登録する処理を示すシーケンス図である。
【０１４８】
図１６のシーケンスは、図１０のシーケンスにおける情報利用端末１０１を事故事例公開サーバ１３００に置き換えたものとほぼ同様であるが、処理Ｓ１６０１、Ｓ１６０２及びＳ１６０３が追加されている点が異なる。以下、図１６のシーケンスのうち、図１０と異なる部分のみを説明する。
【０１４９】
Ｓ１６０１において、検証端末１０３の画面状態再現処理部１１８は、端末利用者の指示に従って、Ｓ１００３において取得したデータを修正し、公開用の画面再現データを生成する。具体的には、検証端末１０３の表示ウインドウ１２００において、端末利用者は、個人情報及び機密情報の表示領域を画面上で指定する。検証端末１０３は、指定された領域を表示する画像データに対してマスキングなどの画像処理を実行する。
【０１５０】
この画像処理は、画面の公開に伴って、その画面に含まれる個人情報又は機密情報が公開されることを防ぐために実行される。この画像処理の具体的な方法は、指定された領域に表示された文字又は図形を判別できないように加工する方法である限り、どのようなものであってもよい。例えば、この画像処理は、指定された領域に所定の色彩又は模様を上書きすることであってよいし、指定された領域の解像度を低下させることであってもよい。
【０１５１】
Ｓ１６０１の画像処理によって生成されたデータを含む画像ファイルが公開用事例データベース１３０３に登録される。例えば、画面状態再現処理部１１８は、Ｓ１００３で取得た画像ファイル「SCR01」を上記の画像処理によって修正した場合、修正されたデータを「SCR01-A」というファイルに格納する。その場合、公開用の画面再現用データとして「SCR01」の代わりに「SCR01-A」が使用される。
【０１５２】
Ｓ１６０２では、画面状態再現処理部１１８が公開用の画面再現用データを事故事例公開サーバ１３００に送信する。
【０１５３】
Ｓ１６０３では、事故事例公開サーバ１３００が、Ｓ１６０２で受信したデータを公開用事例データベース１３０３のテーブル１４００、１４０６及び１４０９に格納する。
【０１５４】
以上の図１６に示した処理によって、公開用事例データベース１３０３及び警告条件データベース１３０４に、図１５の表示データの生成に必要なデータが格納される。
【０１５５】
情報利用者が公開用事故事例を閲覧するために、情報利用端末１０１がＨＴＴＰによって事故事例公開サーバ１３００に事例再現用のデータを要求し、その要求に応じて送信されたデータを表示する。閲覧要求を受けた事故事例公開サーバ１３００は、公開用事例データベース１３０３に格納されたデータを用いて、図１０のＳ１００３と同様の処理によって領域１５００及び１５０１に表示するためのデータを生成し、さらに、領域１５０２に表示するためのデータを警告条件データベース１３０４から取り出し、これらのデータをＨＴＭＬ（Hyper Text Markup Language）データに変換し、閲覧要求元の情報利用端末１０１に送信する。
【０１５６】
領域１５０１に表示するためのデータは、画像データをＪＰＥＧ形式で１シーンずつ受信するためＨＴＭＬデータ、あるいは全シーンを一つにまとめた動画ファイルとして受信するためのＨＴＭＬデータなどである。
【０１５７】
以上が第２の実施形態の説明である。本実施形態の特徴は、Ｓ１６０１で修正された公開用画面を領域１５００に、Ｓ１００６で生成された警告条件を領域１５０２に表示することである。これによって、個人情報、顧客情報などの秘匿性の高い情報を事例の再現時に表示することなく、事故の要因とあわせて、事故発生時の具体的な状況を情報利用者に周知することができる。
【０１５８】
なお、本実施形態では警告条件データベース１３０４を備えているため、これを利用して、領域１５０２に表示するための警告条件が存在しない場合、すなわち操作間違いと因果関係が高いＭＡＣＨＩＮＥ要因、ＭＥＤＩＡ要因がはっきりしない場合に、事故事例公開サーバ１３００による事故再現用データを抑制することも容易に実現できる。例えばＷｅｂサーバ１３０２によって提供される事例選択用の一覧を作成する際に、警告条件が存在しない事例を除外してもよい。あるいは、事例選択用の一覧を生成する際に、警告条件のリスクが高い順に並び替えるなど、情報利用者が優先的に見るべき情報を選択することも容易に実現できる。
【０１５９】
なお、本実施形態は、第１の実施形態と同様、電子メール送信端末以外の情報利用端末１０１が電子メール送信用アプリケーション以外のアプリケーションについても適用することができる。
【０１６０】
以上、本発明によれば、例えば、メール作成からメール送信に至るまでの情報利用者の端末操作、端末内部状態、作業状態の監視データが蓄積される。電子メール誤送信発生事故時には、蓄積した監視データに基づいて端末誤操作の要因となった端末内部状態、作業状態が特定され、警告条件として蓄積される。これによって、過去の事故発生時と類似した状況で端末操作が生じた場合に、電子メール誤送信を警告することが可能になる。さらに、事故発生時の監視データと特定された警告条件を、事故事例として共有することが可能になる。
【図面の簡単な説明】
【０１６１】
【図１】本発明の第１の実施形態のシステム構成の例を示すブロック図である。
【図２】本発明の第１の実施形態のハードウェア構成の例を示すブロック図である。
【図３】本発明の第１の実施形態の情報利用端末において電子メール送信用アプリケーションを利用する際に表示される画面の例を示す説明図である。
【図４】本発明の第１の実施形態の端末状態データベースに格納されるデータの例を示す説明図である。
【図５】本発明の第１の実施形態の操作ログデータベース内のテーブルの例を示す説明図である。
【図６】本発明の第１の実施形態の操作ログ意味定義データベース内のテーブルの例を示す説明図である。
【図７】本発明の第１の実施形態の作業状況データベース内のテーブルの例を示す説明図である。
【図８】本発明の第１の実施形態の事例データベース内のテーブルの例を示す説明図である。
【図９】本発明の第１の実施形態において、情報利用者による作業を記録し、警告を発する処理を示すシーケンス図である。
【図１０】本発明の第１の実施形態において、事故が発生した場合に実行される処理を示すシーケンス図である。
【図１１】本発明の第１の実施形態の警告条件データベース内のテーブルの例を示す説明図である。
【図１２】本発明の第１の実施形態の画面状態再現処理部によって出力される画面の例を示す説明図である。
【図１３】本発明の第２の実施形態のシステム構成の例を示すブロック図である。
【図１４】本発明の第２の実施形態の公開用事例データベースに格納されるデータの例を示す説明図である。
【図１５】本発明の第２の実施形態のＷｅｂブラウザが表示する画面の例を示す説明図である。
【図１６】本発明の第２の実施形態の公開用事例データベース及び警告条件データベースにデータを登録する処理を示すシーケンス図である。
【図１７】本発明の第１の実施形態において、画面再現用のデータを検索するために実行される処理を示すフローチャートである。
【図１８】本発明の第１の実施形態において、事例を収集するために実行される処理を示すフローチャートである。
【符号の説明】
【０１６２】
１０１  情報利用端末
１０２  管理サーバ
１０３  検証端末
１０４  端末状態記録処理部
１０５  タイマー
１０６  操作ログ記録処理部
１０７  警告処理部
１０８  警告条件データベース
１０９  操作誤り指示処理部
１１０  事例収集処理部
１１１  リスク算出処理部
１１２  警告条件登録処理部
１１３  端末状態データベース
１１４  操作ログデータベース
１１５  操作ログ意味定義データベース
１１６  作業状況データベース
１１７  事例データベース
１１８  画面状態再現処理部
１１９  事故発生時刻入力処理部
１２０  通信ネットワーク
１２１  作業状況記録処理部
【図１】
2010160613.tif 000004
【図２】
2010160613.tif 000005
【図３】
2010160613.tif 000006
【図４】
2010160613.tif 000007
【図５】
2010160613.tif 000008
【図６】
2010160613.tif 000009
【図７】
2010160613.tif 000010
【図８】
2010160613.tif 000011
【図９】
2010160613.tif 000012
【図１０】
2010160613.tif 000013
【図１１】
2010160613.tif 000014
【図１２】
2010160613.tif 000015
【図１３】
2010160613.tif 000016
【図１４】
2010160613.tif 000017
【図１５】
2010160613.tif 000018
【図１６】
2010160613.tif 000019
【図１７】
2010160613.tif 000020
【図１８】
2010160613.tif 000021