(57)【特許請求の範囲】
【請求項１】
情報システムの証跡ログにおける、主体、対象、および動作をそれぞれ比較対象とし、該比較対象の組合せ毎に今回採取された解析対象証跡ログに記録された事象の発生時刻に対応して時間帯別の事象発生回数を計数し、情報展開テーブルを作成する情報展開手段と、
過去から前記今回の解析対象証跡ログが採取される直前までの証跡ログに対応する前記情報展開テーブルを累積して累積情報展開テーブルを作成する累積手段と、
前記情報展開テーブルと累積情報展開テーブルを比較し、比較結果を出力する比較手段と、
を備えることを特徴とする証跡ログ解析システム。
【請求項２】
前記比較手段は、前記情報展開テーブルに含まれる前記比較対象の組合せＡが、前記累積情報展開テーブルの比較対象の組合せに存在しない場合に、該組合せＡに対応する事象を、初めて行われた操作として検知して前記比較結果を出力することを特徴とする請求項１記載の証跡ログ解析システム。
【請求項３】
前記比較手段は、前記情報展開テーブルの構成および比較条件を規定するための解析定義情報に前記比較対象の組合せに対応する事象発生回数が規定回数として定義されている場合に、前記情報展開テーブルの該当する比較対象の組合せの時間帯別の事象発生回数とそれぞれ比較して前記比較結果を出力することを特徴とする請求項１記載の証跡ログ解析システム。
【請求項４】
前記比較手段は、前記情報展開テーブルの構成および比較条件を規定するための解析定義情報に前記比較対象の組合せに対応する事象発生比率が規定比率として定義されている場合に、前記情報展開テーブルの該当する比較対象の組合せの時間帯別の事象発生回数と、それに対応する累積の事象発生回数とを用いて発生比率を求めて、該規定比率と比較して前記比較結果を出力することを特徴とする請求項１記載の証跡ログ解析システム。
【請求項５】
更に、通常行わないイレギュラーな操作が事前に登録された場合に、該操作に対応する情報展開テーブルを申請情報展開テーブルとして作成する申請情報展開手段を備え、
前記比較手段は、前記情報展開テーブルと前記累積情報展開テーブルを比較した結果、初めて行われた操作として検知された事象がある場合に、更に前記申請情報展開テーブルと該情報展開テーブルを比較して、事前に登録された操作であると判断された場合には該事象は不正な操作ではないと判断することを特徴とする請求項１記載の証跡ログ解析システム。
【請求項６】
前記比較手段は、前記情報展開テーブルの構成および比較条件を規定するための解析定義情報に前記比較対象の組合せに対応する事象発生比率が規定比率として定義されていて、前記情報展開テーブルに該当する比較対象の組合せが存在しない場合に、通常の動作が行われておらず、システム動作の正当性が確認できないことを出力することを特徴とする請求項１記載の証跡ログ解析システム。
【請求項７】
前記比較手段は、前記情報展開テーブルを構成する、比較対象の組合せにそれぞれ対応して時間帯別の事象の発生回数を計数して記録したレコードを、今回取得した解析対象証跡ログに対応するレコードであることを示す情報を添付して前記累積情報展開テーブルに追加し、該累積情報展開テーブルのみを参照して比較を行うことを特徴とする請求項６乃至請求項６記載の証跡ログ解析システム。
【請求項８】
前記累積手段は、前記情報展開テーブルを構成する、比較対象の組合せにそれぞれ対応して時間帯別の事象の発生回数を計数して記録したレコードについて、正常な動作ではないと判断された該レコードは前記累積情報展開テーブルに累積しないことを特徴とする請求項１記載の証跡ログシステム。
【請求項９】
情報処理装置に、
情報システムの証跡ログにおける、主体、対象、および動作をそれぞれ比較対象とし、該比較対象の組合せ毎に今回採取された解析対象証跡ログに記録された事象の発生時刻に対応して時間帯別の事象発生回数を計数し、情報展開テーブルを作成する情報展開ステップと、
過去から前記今回の解析対象証跡ログが採取される直前までの証跡ログに対応する前記情報展開テーブルを累積して累積情報展開テーブルを作成する累積ステップと、
前記情報展開テーブルと累積情報展開テーブルを比較し、比較結果を出力する比較ステップと、
を実行させることを特徴とする証跡ログ解析プログラム。
【請求項１０】
情報処理装置が、
情報システムの証跡ログにおける、主体、対象、および動作をそれぞれ比較対象とし、該比較対象の組合せ毎に今回採取された解析対象証跡ログに記録された事象の発生時刻に対応して時間帯別の事象発生回数を計数し、情報展開テーブルを作成し、
過去から前記今回の解析対象証跡ログが採取される直前までの証跡ログに対応する前記情報展開テーブルを累積して累積情報展開テーブルを作成し、
前記情報展開テーブルと累積情報展開テーブルを比較し、比較結果を出力する
ことを特徴とする証跡ログ解析方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システムから採取した証跡ログを解析する技術に関する。
【背景技術】
【０００２】
情報システムにおける「証跡ログ」とは、情報システムにおけるすべての操作や動作の記録であり、利用者の認証記録、利用者の操作記録、システム管理者の操作記録、業務プログラムの動作記録などすべてのシステム動作を記録した情報のことを言う。【０００３】
従来より、情報システムにおいて、採取した証跡ログから不正な操作等を検知する技術がある。これは、今回採取した証跡ログから、システムの利用者情報（ログインＩＤから判断）やエラー情報（例えばログイン失敗など）を抽出したり、そのエラーの件数を集計して、不正な操作を検知する、という技術である。このように今回採取した証跡ログだけで不正操作を検知する技術には次のような問題があった。【０００４】
・日々、業務内容は変化するため、今回採取した証跡ログだけでは不正な操作か判断しにくい。
・日毎、曜日毎、時間帯などにより正当な操作が異なるため、今回採取した証跡ログに含まれる操作が正当な操作か否か判断が難しい。【０００５】
このように、今回採取した証跡ログのみで不正操作を判断するのは難しく、限定的な不正操作の検出しかできなかった。
これに対し更に次のような不正操作検出技術がある。すなわち、事前に定義した不正な操作のパターンまたは正当な操作のパターンをシステムに登録しておき、今回採取した証跡ログとパターンマッチングをとることで不正操作を検知する方法である。【０００６】
証跡ログは、図１に示すように大量かつ情報項目の多いデータである。証跡ログは、日々変化する情報システムの利用状況を背景に、大量かつ多様な情報となっている。このような大量のデータに対し、不正操作に対応するパターンをもれなく登録するには限界がある。このため、重要な情報（ファイル）に対するアクセスのみに操作を限定して不正操作パターンを登録したり、または、ファイルコピー、メール送信などの大まかな操作に限定して不正操作パターンを登録するなどの対応がとられてきた。また、これらのシステムでは管理者等は、日々変化する情報システムの利用状況に応じて、パターンを再登録する必要もあった。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００９−２０８１２号公報
【特許文献２】特開２００７−１４８９４６号公報
【特許文献３】特開２００５−３２２２６１号公報
【特許文献４】特開２００５−５１５３９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
上述したように、情報システムにおける証跡ログから不正操作を検知する従来技術においてはそれぞれ次のような問題がある。まず、今回採取した証跡ログのみで不正操作を判断する方法では、限定的な不正操作の検出しかできない。また、事前に不正な操作パターンや正当な操作パターンを登録しておき、今回採取した証跡ログとパターンマッチングをとることで不正を検知する方法では、すべてのパターンを登録し尽くすということが難しく、限界がある。更に、従来技術では不正操作の検知は可能であるが、例えば情報システムにおいて、規定された業務プログラム等が予定されたタイミングで実行され、正常に動作しているか否か（これをシステム動作の正当性という）、という確認はできなかった。【０００９】
そこで本発明の課題は、情報システムの証跡ログから、より正確、かつ詳細に不正操作を検知するとともに、システムが正常に動作しているか否か（システム動作の正当性）を確認できる技術を提供することにある。
【課題を解決するための手段】
【００１０】
本実施形態の一態様によれば、情報展開手段と、累積手段と、比較手段とを備える証跡ログ解析システムが提供される。情報展開手段は、解析対象証跡ログから情報展開テーブルを作成する。情報展開テーブルとは、情報システムの証跡ログにおける、主体、対象、および動作をそれぞれ比較対象とし、比較対象の組合せ毎に証跡ログに記録された事象の発生時刻に対応して時間帯別の事象発生回数を計数・記録したものである。累積手段は、過去から前記今回の解析対象証跡ログが採取される直前までの証跡ログに対応する前記情報展開テーブルを累積して累積情報展開テーブルを作成する。比較手段は、前記情報展開テーブルと前記累積情報展開テーブルを比較し、比較結果を出力する。【００１１】
更に、本実施形態の一態様によれば、情報処理装置に、情報展開ステップと、累積ステップと、比較ステップとを実行させるプログラムが提供される。
前記情報展開ステップは、解析対象証跡ログから情報展開テーブルを作成する。累積ステップは、過去から前記今回の解析対象証跡ログが採取される直前までの証跡ログに対応する前記情報展開テーブルを累積して累積情報展開テーブルを作成する。比較ステップは、  前記情報展開テーブルと累積情報展開テーブルを比較し、比較結果を出力する。【００１２】
また、本実施形態の一態様によれば、前記プログラムに従って情報処理装置が実行する方法も提供される。
【発明の効果】
【００１３】
本実施の形態によれば、情報システムの証跡ログから、より正確、かつ詳細に不正操作、異常動作等を検知することができる。また、大量の解析対象の証跡ログおよび累積証跡ログについて事象の発生回数として数値化したものを比較し、不正操作、異常動作等を検知するため、高速に処理することが可能である。また、過去の正常な証跡ログと今回取得した解析対象証跡ログを比較するため、不正操作、異常動作、通常行われている操作・動作等が実行されているか等を、漏れなく確認することができる。これによりシステム動作の正当性を確認できる。更に、累積情報と今回採取された情報を比較して不正操作等を検知するため、不正操作パターン、異常動作パターンなどの管理者等による登録作業が不要である。
【図面の簡単な説明】
【００１４】
【図１】証跡ログのデータ例を示す図である。
【図２】情報展開テーブルの構成を示す図である。
【図３】累積情報展開テーブルの構成を示す図である。
【図４】情報展開テーブルと累積情報展開テーブルについて説明する図である。
【図５】情報展開テーブルと累積情報展開テーブルの比較処理の概念図である。
【図６】実施形態１の証跡ログ解析システムの構成を示す図である。
【図７】実施形態１の証跡ログ解析システムを実現する情報処理装置の構成を示す図である。
【図８】実施形態１の証跡ログ解析システムの全体フローを示す図である。
【図９】定義部１のフローを示す図である。
【図１０】証跡ログ解析定義入力画面の一例を示す図である。
【図１１】解析定義情報１２のデータ構造を示す図である。
【図１２】情報展開部２の処理の概要を説明する図である。
【図１３Ａ】情報展開部２の処理フローを示す図（その１）である。
【図１３Ｂ】情報展開部２の処理フローを示す図（その２）である。
【図１４】情報展開部２の処理フローのうち、情報展開テーブル（利用者）の書き込み処理のフローを示す図である。
【図１５】情報展開部２の処理フローのうち、情報展開テーブル（資源）の書き込み処理のフローを示す図である。
【図１６】情報展開部２の処理フローのうち、情報展開テーブル（ジョブ）の書き込み処理のフローを示す図である。
【図１７】情報展開部２の処理フローのうち、情報展開テーブル（利用者／資源）の書き込み処理のフローを示す図である。
【図１８】情報展開部２の処理フローのうち、情報展開テーブル（利用者／ジョブ）の書き込み処理のフローを示す図である。
【図１９】情報展開部２の処理フローのうち、情報展開テーブル（資源／ジョブ）の書き込み処理のフローを示す図である。
【図２０】情報展開部２の処理フローのうち、情報展開テーブル（利用者／資源／ジョブ）の書き込み処理のフローを示す図である。
【図２１】情報展開テーブルの有効項目について説明する図である。
【図２２】申請情報展開部３の処理の概要を説明する図である。
【図２３Ａ】申請情報展開部３のフローを示す図（その１）である。
【図２３Ｂ】申請情報展開部３のフローを示す図（その２）である。
【図２４】申請情報展開部３の処理フローのうち、申請情報展開テーブル（利用者）の書き込み処理のフローを示す図である。
【図２５】申請情報展開部３の処理フローのうち、申請情報展開テーブル（資源）の書き込み処理のフローを示す図である。
【図２６】申請情報展開部３の処理フローのうち、申請情報展開テーブル（ジョブ）の書き込み処理のフローを示す図である。
【図２７】申請情報展開部３の処理フローのうち、申請情報展開テーブル（利用者／資源）の書き込み処理のフローを示す図である。
【図２８】申請情報展開部３の処理フローのうち、申請情報展開テーブル（利用者／ジョブ）の書き込み処理のフローを示す図である。
【図２９】申請情報展開部３の処理フローのうち、申請情報展開テーブル（資源／ジョブ）の書き込み処理のフローを示す図である。
【図３０】申請情報展開部３の処理フローのうち、申請情報展開テーブル（利用者／資源／ジョブ）の書き込み処理のフローを示す図である。
【図３１Ａ】比較部９内の準備部４の処理の概要を説明する図（その１）である。
【図３１Ｂ】比較部９内の準備部４の処理の概要を説明する図（その１）である。
【図３２】比較部９内の準備部４の処理のフローを説明する図である。
【図３３】比較部９内の判定部５の処理の概要を説明する図である。
【図３４Ａ】比較部９内の判定部５の処理のフローを説明する図（その１）である。
【図３４Ｂ】比較部９内の判定部５の処理のフローを説明する図（その２）である。
【図３４Ｃ】比較部９内の判定部５の処理のフローを説明する図（その３）である。
【図３５】レポート部６の処理の概要を説明する図である。
【図３６】レポート部６の処理のフローを説明する図である。
【図３７】操作禁止情報反映部７の処理の概要を説明する図である。
【図３８】操作禁止情報反映部７の処理のフローを説明する図である。
【図３９Ａ】累積部８の処理の概要を説明する図（その１）である。
【図３９Ｂ】累積部８の処理の概要を説明する図（その２）である。
【図３９Ｃ】累積部８の処理の概要を説明する図（その３）である。
【図４０】累積部８の処理のフローを説明する図である。
【図４１】実施形態２における解析定義情報の一例を示す図である。
【図４２】実施形態２における操作等について説明する図である。
【図４３Ａ】実施形態２の処理の概要を説明する図（その１）である。
【図４３Ｂ】実施形態２の処理の概要を説明する図（その２）である。
【図４４】実施形態２の処理のフローを示す図である。
【図４５】実施形態３における操作等について説明する図である。
【図４６】実施形態３における解析定義情報の一例を示す図である。
【図４７Ａ】実施形態３における処理の概要を説明する図（その１）である。
【図４７Ｂ】実施形態３における処理の概要を説明する図（その２）である。
【図４８】実施形態３の処理フローを示す図である。
【図４９】実施形態４における操作等について説明する図である。
【図５０】実施形態４における解析定義情報の一例を示す図である。
【図５１Ａ】実施形態４における処理の概要を示す図（その１）である。
【図５１Ｂ】実施形態４における処理の概要を示す図（その２）である。
【図５２】実施形態４の処理フローを示す図である。
【図５３】実施形態５における操作等について説明する図である。
【図５４Ａ】実施形態５における処理の概要を説明する図（その１）である。
【図５４Ｂ】実施形態５における処理の概要を説明する図（その２）である。
【図５５】実施形態５の処理フローを示す図である。
【図５６】実施形態６における解析定義情報の一例を示す図である。
【図５７】実施形態６における処理の概要を示す図である。
【図５８】実施形態６の処理フローを示す図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照して、本実施の形態について詳しく説明する。
まず、図２〜図４０を参照して実施形態１について説明する。実施形態１では汎用性のあるシステム構成を説明する。そして次に、図４１〜図５８を参照して、実施形態２〜実施形態６を説明する。実施形態２〜実施形態６では実施形態１をより具体化したシステム構成およびシステム動作について説明する。
【００１６】
実施形態１
実施形態１の説明では、まず証跡ログをどのように処理するかについて説明し、その後、説明した証跡ログ解析処理を実現するためのシステム構成について説明する。
【００１７】
本実施の形態では、不正操作、異常動作等の検知を行いたい今回採取した証跡ログと、過去に累積した正常動作時の証跡ログとを比較することで不正等を検出する。しかしながら、それぞれそのまま比較することはしない。本実施の形態では、情報処理装置等が比較し易いように、今回採取した証跡ログ（解析対象証跡ログ）の情報を、情報システムの運用内容が異なる比較帯別に、操作や動作の出現回数を数値化した情報展開を行い記録する。尚、「比較帯別」とは、例えば、時間帯、日、曜日などのことで、比較するためのタイミングの区別のことをいう。証跡ログは、データベースに情報展開テーブルを作成することで記録される。そして、解析対象証跡ログに対応する情報展開テーブル（以下、情報展開テーブル）と、過去に採取した正常な運用時の証跡ログに対応する情報展開テーブルを累積したもの（以下、累積情報展開テーブル）とを比較することで、不正な操作がないか、異常な動作がないか、を判断する。
【００１８】
このように、本実施の形態では数値化された出現回数を比較するため、不正等の検出処理を高速化することができる。また、正常な操作や動作を累積情報展開テーブルとして累積し、それを正常操作、動作についての情報として得用いるため、従来技術のように正常操作の動作パターンを人が登録するというような作業は不要である。
【００１９】
図２、図３、図４を参照して、情報展開テーブルと累積情報展開テーブルについて説明する。
まず図２に示すように、解析対象証跡ログから、情報展開テーブルが生成される。詳細な生成の仕方については後述する。情報展開テーブルは、図２に示すように項目部分とキー部分とレコード部分から構成される。
【００２０】
項目部分は、キー、直接操作、回数、および、時間帯、日、曜日等の比較帯などの項目名が記載される。
また、例えば、誰が（主体）、何を（対象）、どうした（動作）かを元に不正を判断したい場合、証跡ログに記載されている「利用者」「資源」「ジョブ」の情報を元に判断するが、これらを比較キーと本実施形態では呼ぶことにする。図２に示すように情報展開テーブルのキー部分には、この比較キーの組合せが列挙される。
【００２１】
レコード部分は、比較キーの組合せに対応する事象（事象とは、解析対象証跡ログの操作や動作記録の中で、比較キーに対応する１つの操作や動作記録のこと）が解析対象証跡ログに存在する回数を比較帯別に記録する部分である。尚、レコード部分の、比較キーの組合せにそれぞれ対応して比較帯別に事象の回数を計数して記録したものをそれぞれ１レコードということにする。
【００２２】
つまり、解析対象の証跡ログの中に比較キーである「利用者」と「資源」に対応する事象がないか検索し、ある場合はその事象を情報展開テーブルのキー値として情報展開テーブルにレコードが作成され、事象の発生回数が記録される。
【００２３】
更に各レコードの項目は、比較帯により作成される。比較帯が「時間帯」で定義されている場合、各時間帯別の項目を作成する。比較帯が「日」で定義されている場合１日〜３１日までの項目を作成する。また比較帯が「曜日」で定義されている場合、一週間の各曜日で項目を作成する。
【００２４】
このように情報展開テーブルの各レコードには、各比較帯項目ごとの発生回数が累積して記録される。つまり、各レコードの時間帯Ｔ１，Ｔ２・・・や、日の１日、２日、３日、・・・や、曜日の月曜、火曜、水曜・・・の欄は、発生回数を計数して記録するカウンタとなっている。また、Ｔ１，Ｔ２や、１日、２日、月曜、火曜などの計数値が記録される隣にはその値が有効か否かを示す欄（図２のＴ１有効、Ｔ２有効、１有効、２有効、日有効、土有効など）も設けられている。
【００２５】
以上のように、情報展開テーブルは、まず主体（だれが）、対象（なにを）、動作（どうした）の組合せをそれぞれ比較キーとして構成する。そして、該比較キーの組合せに対応する事象が解析対象証跡ログ情報に存在するとき、該事象の発生時刻に対応して比較帯別（時間帯、日、曜日等）の発生回数を計数して記録したものである。
【００２６】
次に図３に累積情報展開テーブルを示す。累積情報展開テーブルは、情報展開テーブルとほぼ同じ構成をしているが、各レコードの項目として、「情報種」、「ＵＰカウンタ」、「レポート」、「ＮＧ」などが新たに加わっている。
【００２７】
「情報種」には、累積レコードか今回採取した解析対象証跡ログに対応するレコードかを示す情報が記録される。図３には、「利用者１」「資源１」という比較キーの組合せが１行目と２行目に存在する。１行目は情報種が「累積」となっており、過去からの累積レコードが記録されている。２行目は情報種が「今回」となっており、今回解析対象証跡ログに対応するレコードとして累積情報展開テーブルに追加されたものである。累積情報展開テーブルにおいて、この１行目と２行目を比較して、不正な操作がないか、異常な動作が無いかを判断する。
【００２８】
また、累積情報展開テーブルでは、情報展開テーブルにおける、Ｔ１，Ｔ２などの値が有効か否かを示す欄に対応する欄を、「有効か否かを示す欄」または「ＵＰカウンタ」として用いる。すなわち、情報種が「今回」である今回レコードの場合には、項目値であるカウンタが有効であることを示す欄として用い、情報種が「累積」である累積レコードの場合には「ＵＰカウンタ」として用いる。「ＵＰカウンタ」は、今回の正常なレコードの各有効項目を各々の累積レコードに累積するときの、累積回数を記録するものである。例えば、正常なレコードとして３カ月分のレコードを累積レコードに累積するとき、各月における日付（１日、２日、３日・・・）は、各月で１回発生するため、３カ月分だと３回発生することになる。よって、比較帯が日のＵＰカウンタ部分では、ＵＰカウンタを３カウントアップすることになる。また、曜日の場合、各月における曜日は、それぞれ４回または５回発生するため、３カ月分だとその月のカレンダーにもよるが１２回か１３回発生することになる。よって、比較帯が曜日のＵＰカウンタ部分では、ＵＰカウンタを１２か１３カウントアップすることになる。ＵＰカウンタの値は、ある事象の発生比率と規定比率を比較する場合などに用いる。詳しくは後述する。
【００２９】
また、「レポート」は情報種「累積」のレコードと今回採取した解析対象証跡ログに対応するレコード（情報種「今回」のレコード）との比較結果を記録するものである。例えば、値０は初期値を示すとする。また、値１は新規に発生した事象であることを示すとする。また、値２は、解析対象証跡ログに対応するレコードにおいてある事象が発生した回数が規定範囲を超えたことを示すこととする。また、値３は、解析対象証跡ログに対応するレコードに基づいて求められる、ある事象が発生した比率が規定範囲を超えたことを示し、値４は該比率が規定に満たないことを示すこととする。尚、規定回数、規定比率については再度後述する。
【００３０】
また、「ＮＧ」はシステム管理者の判断結果を記録するものである。例えば、値０は初期値、正常を示し、値１はシステム管理者が異常と判断したもの示す。
図４に、情報展開テーブルと累積情報展開テーブルの比較について示す。
【００３１】
図４に示すように、解析対象証跡ログから生成された情報展開テーブルは、累積情報展開テーブルと比較するために、累積情報展開テーブルに追加される。この追加は、累積情報展開テーブルの比較キーの組合せと同じ比較キーの組合せの次の行に情報展開テーブルのレコードが挿入されるように追加される。つまり、「利用者１」「資源１」という比較キーの組合せが１行目、２行目のレコードとなり、「利用者１」「資源２」という比較キーの組合せが３行目、４行目のレコードとなっている。以下、５行目以降のレコードについても同様に累積されたレコードと今回比較するレコードとが対になって累積情報展開テーブルを構成する。
【００３２】
以上のような、情報展開テーブルを累積情報展開テーブルに追加する、という比較のための準備が完了すると、累積した事象を表すレコードと今回の事象を表すレコードのそれぞれの項目を比較することで、違いを判断する。比較の結果、ａ）新たに発生した事象か否か、ｂ）過去に発生した回数との違い、ｃ）過去に発生した日時や曜日、時間帯別の回数や発生比率の違い、ｄ）過去発生しているが、今回発生していない、などを異常な事象としてレポート出力する（図５参照）。
【００３３】
比較の結果は、図３に示した累積情報展開テーブルの（ア）、（イ）、（ウ）に例えば次のように記録される。
（ア）のレポート項目には、累積した事象を表すレコードと今回の事象を表すレコードの比較結果が記録される。各値に対応して次のような意味がある。
【００３４】
値０：初期値
値１：新規に出現
値２：回数が規定範囲を超えた
値３：比率が規定範囲を超えた
値４：比率が規定範囲に満たない。
【００３５】
（イ）のＮＧ項目には、管理者がレポート出力をみて判断した結果が記録される。各値に対して次のような意味がある。
値０：初期値、正常
値１：異常
（ウ）の各ＵＰカウンタは、今回の正常なレコードの各有効項目を各々累積するときに、累積回数を記録する。
【００３６】
このように、本実施の形態によれば、比較帯別に事象の発生回数として数値化したものを比較し不正等を検出するため、高速に処理することが可能である。また、情報展開テーブルと累積情報展開テーブルの比較結果がレポートとして出力されるため、システム管理者は容易にシステム動作が正常に行われているかを確認することができる。
【００３７】
尚、システム管理者の判断結果から、今回取得した解析対象ログの情報が正常であると判断された場合には、情報展開テーブルの各値を累積情報展開テーブルに累積する（図５参照）。これにより累積された情報展開テーブルは、次回以降の比較に使用されることになる。
【００３８】
以上、本実施の形態において、解析対象証跡ログを用いてどのように不正操作等を検出するかについて説明した。次に説明した証跡ログの解析を実現するための証跡ログ解析システムの構成について詳細に説明する。
【００３９】
図６に、本実施形態の証跡ログ解析システムの構成を示す。
図６では、管理対象サーバ６２と証跡ログ解析システム６１を別システムとして記載しているが、同一システム上にあっても構わないものとする。
【００４０】
証跡ログ解析システム６１は、定義部１、情報展開部２、申請情報展開部３、レポート部６、操作禁止情報反映部７、累積部８、比較部９を備える。比較部９は、更に準備部４、判定部５を含む。
【００４１】
定義部１は、証跡ログ解析システムが解析対象証跡ログ１４を解析して異常な事象をレポートするために必要な情報を解析定義情報１２として記憶するための処理を行う部分である。
【００４２】
情報展開部２は、解析対象証跡ログ１４から情報展開テーブル１０を生成する処理を行う部分である。
申請情報展開部３は、特別に通常行わない操作（イレギュラーな操作）を事前に申請した、事前申請証跡ログ１５や、直接指定した操作情報を元に、申請情報展開テーブル１３を作成する処理を行う部分である。
【００４３】
比較部９は、情報展開テーブル１０と累積情報展開テーブル１１を比較する部分である。比較部９内の準備部４は、情報展開テーブル１０を、累積情報展開テーブル１１に今回のレコードとして追加する処理を行う部分である。また、比較部９内の判定部５は、準備部４により、情報展開テーブル１０の内容が追加された累積情報展開テーブル１１において、累積した事象を示す累積レコードと、今回の事象を示す今回レコードとを、比較帯項目毎に値を比較することで違いを判断する処理を行う部分である。初めて発生した操作事象や動作事象、または規定回数や規定比率範囲外の事象を異常、不正等とみなして、今回レコードのレポート項目に記録する処理を行う。
【００４４】
レポート部６は、レポート項目に異常の記録のある事象をレポート１７に出力する処理を行う部分である。システム管理者は、レポート結果をもとに、正常な操作または動作かの判断を行い、不正操作や異常動作等の場合、今回レコードのＮＧ項目に記録する。
【００４５】
操作禁止情報反映部７は、累積情報展開テーブル１１のＮＧ項目に記録された異常な事象を取り出して、管理対象サーバ６２への操作を禁止するための利用者限定定義１６に定義を追加する処理を行う部分である。利用者限定定義１６は、既存のシステム操作禁止機能により参照される。例えば利用者が同様の操作を行った場合に、システム操作禁止機能が利用者限定定義１６を参照し、その操作が実行されないように禁止する。
【００４６】
累積部８は、正常と判断された今回レコードの各項目の値を累積情報展開テーブル１１の各レコードの値に反映する処理を行う部分である。
尚、図６に示した、証跡ログ解析システム６１、管理対象サーバ６２は、図７に示すようなハードウェア構成の情報処理装置により実現される。
【００４７】
図７の情報処理装置８２は、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ（ＣＰＵ）７０、Ｒｅａｄ Ｏｎｌｙ ｍｅｍｏｒｙ（ＲＯＭ）７１、 Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ（ＲＡＭ）７２、通信インターフェイス７３、入力装置７４、出力装置７５、記憶装置７６、可搬型記憶媒体７９の駆動装置７７を備える。情報処理装置８２が備えるこれら各部は、バス７８により接続されている。
【００４８】
また、情報処理装置８２は通信インターフェイス７３を介してネットワーク８０に接続されている。ネットワーク８０は、Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ（ＬＡＮ）やインターネットなどの任意のネットワークである。
【００４９】
ＣＰＵ７０は、ＲＡＭ７２にプログラムをロードし、ＲＡＭ７２をワーキングエリアとしても用いながらプログラムを実行することにより、情報処理装置８２を証跡ログ解析システム６１として機能させる。すなわち、ＣＰＵ７０はプログラムに従って、後述する処理フローを実現することにより証跡ログ解析システム６１として機能する。その際に、情報展開テーブル１０、累積情報展開テーブル１１、申請情報展開テーブル１３等のデータの格納部としては、たとえばＲＡＭ７２により実現されるが、ＲＡＭ７２と記憶装置７６の双方により実現されてもよい。
【００５０】
プログラムは、ＲＯＭ７１または記憶装置７６に予め格納されていてもよく、ネットワーク８０を介してプログラム提供者８１から提供され、記憶装置７６に格納されてもよい。あるいは、可搬型記憶媒体７９に格納され、駆動装置７７にセットされた可搬型記憶媒体７９からＲＡＭ７２にロードされ、ＣＰＵ７０により実行されてもよい。可搬型記憶媒体７９としては、Ｃｏｍｐａｃｔ Ｄｉｓｃ（ＣＤ）やＤｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ（ＤＶＤ）などの光ディスク、光磁気ディスク、磁気ディスク、不揮発性半導体メモリなど様々な形式の記憶媒体を使用することができる。
【００５１】
入力装置７４は、マウスなどのポインティングデバイスやキーボードである。出力装置７５は、例えば液晶ディスプレイなどの表示装置である。記憶装置７６は、ハードディスク装置などの磁気ディスク装置でもよく、他の種類の記憶装置でもよい。
【００５２】
以上のように本実施形態の証跡ログ解析システム６１が情報処理装置で構成されることを説明した。以下、本実施形態の証跡ログ解析システム６１についてより詳しく説明する。
【００５３】
図６に示した証跡ログ解析システム６１の全体フローを図８に示す。図８のＳ８１〜Ｓ８８の各ステップは図６に示した証跡ログ解析システム６１の各処理部に対応している。
まず、Ｓ８１で、定義部１による処理が行われる。システム管理者等が事前に証跡ログ解析システムが不正または異常な事象をレポートとして出力するために必要な情報を定義して登録する作業を行うと、定義部１は解析定義情報１２として記憶するための処理を行う。
【００５４】
次にＳ８２で、情報展開部２による処理が行われる。情報展開部２は、解析対象証跡ログ１４と解析定義情報１２を元に、各比較帯項目別に各事象の発生回数を計数して数値化した情報展開テーブル１０を作成する。
【００５５】
また、Ｓ８３では事前申請証跡ログ等がある場合に、申請情報展開部３による処理が行われる。申請情報展開部３は、事前申請証跡ログ１５や直接指定した操作情報を元に申請情報展開テーブル１３を生成する。
【００５６】
次に、Ｓ８４で比較部９内の準備部４による処理が行われる。準備部４では、情報展開テーブル１０を、累積情報展開テーブル１１に今回のレコードとして追加する処理を行う。
【００５７】
次に、Ｓ８５で比較部９内の判定部５による処理が行われる。判定部５は、情報展開テーブル１０の内容が追加された累積情報展開テーブル１１において、累積情報であることを示す累積レコードと、今回の証跡ログに対応する情報であることを示す今回レコードとを、比較帯項目毎に値を比較することで違いを判断する処理を行う。
【００５８】
次に、Ｓ８６でレポート部６による処理が行われる。レポート部６は、レポート項目に異常の記録のある事象をレポート１７に出力する処理を行う。システム管理者は、レポート結果を基に、正常な操作または動作かの判断を行い、異常な操作と判断した場合には今回レコードのＮＧ項目に記録する。
【００５９】
次にＳ８７で、操作禁止情報反映部７による処理が行われる。操作禁止情報反映部７は、累積情報展開テーブル１１のＮＧ項目に”ＮＧ”であることが登録されたレコードを取り出して、それに該当する操作を管理対象サーバ６２への禁止操作として利用者限定定義１６に定義を追加する。
【００６０】
次にＳ８８で、累積部８による処理が行われる。累積部８は、正常と判断された今回レコードの各項目の値を累積情報展開テーブル１１の各レコードの値に反映する処理を行う部分である。
【００６１】
一つの証跡ログの解析は、Ｓ８２〜Ｓ８８の処理によって行われる。次の証跡ログの解析については、Ｓ８２に戻って再度処理が行われる。
以上のように、図８を参照して本実施形態のシステム全体フローを説明したが、各部の動作についてより詳しいフロー図等を参照して以下に説明する。
【００６２】
まず、Ｓ８１の定義部１の処理について、図９〜図１１を参照して説明する。
図９に定義部１のフローを示す。まず、Ｓ９１で、ログ解析システム６１の画面に証跡ログ解析定義入力画面を表示する。画面例を図１０に示す。比較キー、比較帯、比較キー値、規定回数、規定比率など、証跡ログを解析するために必要な情報をシステム管理者が入力できるような画面構成となっている。Ｓ９２で、システム管理者は図１０に示したような画面上に情報を入力することによって、証跡ログを解析するために必要な情報を設定する。そして、Ｓ９３で入力された情報を、解析定義情報１２としてシステムに記憶する。
【００６３】
解析定義情報１２のデータ構造を図１１に示す。解析定義情報１２のデータ構造は、定義項目とそれに対応する値を対応づけたテーブル状である。以下、各定義項目について（ａ）〜（ｅ）に説明する。尚、以下に記述する「比較する」とは、情報展開テーブル１０の事象と累積情報展開テーブル１１の事象を比較する意味で用いるものとする。
【００６４】
（ａ）比較キー：何の情報を元に比較するかを定義する情報である。値としては「利用者」「資源」「ジョブ」などがあり、複数選択できる。比較キーの種類はシステムにより異なる。
【００６５】
（ｂ）比較帯：比較キーの出現回数を、どの比較帯別に比較するかを定義する情報である。日、曜日、時間帯などの項目がある。日の場合は、各日単位に以降の規定回数や規定比率を指定してもよいし、１日〜３１日の全ての日を同様に比較する場合は、”全日”と指定してもよい。曜日の場合も、各曜日単位に以降の規定回数や規定比率を指定してもよいし、日曜日〜土曜日の全ての曜日を同様に比較する場合は、”全曜日”と指定してもよい。時間帯の場合は、何時〜何時と指定する。複数の時間帯を指定してもよい。
【００６６】
（ｃ）比較キー値：各比較キーの値毎に比較帯での規定回数や規定比率を比較する場合に指定する。例えば、利用者Ａが資源ＦＩＬＥＡにジョブＪＯＢ１でアクセスした回数を、規定回数と比較したい場合であって、他の利用者、資源、ジョブには規定回数の設定が無い、というような場合に設定する。つまり、比較キーの値毎に比較値が異なる場合に指定する。全ての比較キーの値とも同じ規定回数や規定比率で比較する場合は、比較キー値を省略してもよい。
【００６７】
（ｄ）規定回数：比較帯別の操作や動作の規定回数を比較キー値とともに指定する。例えば、１０回以上はすべて不正としてレポートする場合は、”１０”を指定する。省略した場合は規定回数に基づいた不正操作等の判断を行わない。
【００６８】
（ｅ）規定比率：比較帯別の操作や動作の規定比率を比較キー値とともに指定する。比率とは、過去の累積した証跡ログでの比較帯別の回数と今回の比較帯別の回数を比べたときの割合のことである。例えば、累積した証跡ログの一日のある事象が１００回で、今回の解析対象の証跡ログの一日における事象が８０回であれば８０％である。つまり、過去に累積した比較帯別の回数に対して、今回の回数が何％までの範囲を正常と扱うかを定義するのが規定比率である。省略した場合は規定比率の異常判断を行わない。
【００６９】
以上（ａ）〜（ｅ）に解析定義情報の定義項目について説明した。尚、解析定義情報１２において、（ａ）比較キーは、テーブルの一番最初に定義され、それ以降は、（ｂ）比較帯毎に、（ｃ）比較キー値、（ｄ）規定回数、（ｅ）規定比率が繰り返し定義される構成である。
【００７０】
以上、定義部１について説明した。次に、図８のＳ８２の情報展開部２について図１２〜図２１を参照して説明する。
まず、図１２に情報展開部２の処理の概要を示す。情報展開部２は、解析対象証跡ログ１４から情報展開テーブル１０を生成する。
【００７１】
解析対象証跡ログ１４の一例を図１２の上部に示す。また、図１２の下部には生成される情報展開テーブル１０の例をいくつか示している。
まず、情報展開部２は、解析定義情報１２を参照し、解析定義情報１２の「比較キー」と「比較帯」とから作成するテーブルを決定する。すなわち、例えば、「比較キー」として「利用者」「資源」「ジョブ」が設定されている場合には、情報展開テーブル１０として次の７つのテーブルを作成することになる。
【００７２】
・情報展開テーブル（利用者）
・情報展開テーブル（資源）
・情報展開テーブル（ジョブ）
・情報展開テーブル（利用者／資源）
・情報展開テーブル（利用者／ジョブ）
・情報展開テーブル（資源／ジョブ）
・情報展開テーブル（利用者／資源／ジョブ）
また、「比較帯」として「日」が設定されている場合には、比較帯部分が１日〜３１日（月によっては、２８日または３０日）の項目を備えるテーブルとなる。
【００７３】
作成するテーブルが決定すると、次に解析対象証跡ログ１４を上から順に１行ずつ読み込み、該当するテーブルのレコードに記録をする。例えば、図１２の１行目は、日付、時刻、ジョブ名、利用者、ログ種別、主データの順に「２００９年２月１日」「０８：１０：２０」「ＸＣＴＬ」「  」「ＡＵＴＨ」「ＰＲＯＦ＝ＰＲＯＦ１」となっている。ログ種別「ＡＵＴＨ」の場合には、情報展開テーブル（利用者）にレコードを記録する。この場合、「ＰＲＯＦ１」という利用者が日付「１日」に使用した、ということで１回という回数がカウントされる。それ以降、同じ利用者による使用がログにあった場合には、該当の数がカウントアップされていく。またすべての回数をカウントする「回数」という項目についてもカウントアップしていく。
【００７４】
また、図１２の解析対象証跡ログの４行目は日付、時刻、ジョブ名、利用者、ログ種別、主データ、補助データの順に次のようになっている。「２００９年２月１日」「０８：２２：１２」「ＤＪＯＢ」「ＰＲＯＦ１」「ＷＳＬＯＧ」「  」「ＳＡＶＥＦＩＬＥ  ＪＵＣＨＵＰＦ．ＢＬＩＢ」。ログ種別「ＷＳＬＯＧ」は、利用者が直接操作を行ったことを示す。直接操作であるかどうかは、補助データ項目にコマンドが規定されているかで判断することができる。ここでは、利用者「ＰＲＯＦ１」が「ＪＵＣＨＵＰＦ．ＢＬＩＢ」というファイルをＳＡＶＥ（保存）したことを示している。この場合に、上記の７種類の情報展開テーブルのすべてに対して、該当する比較キー（利用者、資源、ジョブ）または比較キーの組合せに対応するレコードに記録をする。つまり、図１２の下部に示すように、情報展開テーブル（利用者）には、すでに「ＰＲＯＦ１」というレコードが作成されているため、この日付「１」および「回数」の項目をカウントアップする。また、情報展開テーブル（資源）には、「ＪＵＣＨＵＰＦ．ＢＬＩＢ」というレコードは作成されていないため、新たに「ＪＵＣＨＵＰＦ．ＢＬＩＢ」というレコードを作成し、日付「１」および「回数」の項目の値を１とする。同様にして他のテーブルについてレコードを記録していく。
【００７５】
また、図１２の解析対象証跡ログの８行目は日付、時刻、ジョブ名、利用者、ログ種別、主データの順に次のようになっている。「２００９年２月１日」「１０：１０：２０」「ＢＪＯＢ」「ＡＲＡＯ」「ＲＤＢ」「ＦＬ＝Ｐ２００．ＡＬＩＢ」。ログ種別「ＲＤＢ」はデータベースにアクセスがあったことを示している。この場合に、上記の７種類の情報展開テーブルのすべてに対して、該当する比較キー（利用者、資源、ジョブ）または比較キーの組合せに対応するレコードに記録をする。つまり、情報展開テーブル（利用者）には、「ＡＲＡＯ」というレコードはまだ作成されていないため、「ＡＲＡＯ」というレコードを作成し、この日付「１」および「回数」の項目の値を１とする。また、情報展開テーブル（資源）には、「Ｐ１００．ＡＬＩＢ」というレコードが作成されているためこの日付「１」および「回数」の項目の値をカウントアップする。
【００７６】
このように、情報展開部２は、解析対象証跡ログ１４を１行１行処理し、１以上の情報展開テーブル１０を作成する。
図１３に、情報展開部２のフローを示す。
【００７７】
まず、Ｓ１３０１で、定義部１で定義された解析定義情報１２を読み込む。次に、Ｓ１３０２で、解析定義情報１２に定義された比較キーから、比較キーの組合せ分の情報展開テーブルを作成する。
【００７８】
次に、Ｓ１３０３〜Ｓ１３１７では解析対象証跡ログを１行ずつ処理していく。
まず、Ｓ１３０３で読み込んだ解析対象証跡ログから１行分（事象に対応する）を読み取りログ種別を判断する。ログ種別が「ＡＵＴＨ」（認証）の場合Ｓ１３０４に進む。ログ種別が「ＷＳＬＯＧ」（操作）の場合、Ｓ１３０６に進む。ログ種別が「ＲＤＢ」（データベース）の場合Ｓ１３０７に進む。
【００７９】
Ｓ１３０４では、「利用者名」＝「主データのＰＲＯＦ」、「日時」＝「ログの日付・時刻」とする。次に、Ｓ１３０５で、情報展開テーブル（利用者）の書き込み処理を行う。情報展開テーブルの書き込み処理については、図１４〜図２０を参照して、後で説明する。
【００８０】
Ｓ１３０３からＳ１３０６に進んだ場合、つまり、ログ種別が「ＷＳＬＯＧ」（操作）の場合、Ｓ１３０８〜Ｓ１３１７の処理を行う。まず、Ｓ１３０６で、「利用者名」＝「ログの利用者名」、「資源名」＝「ログの補助データの資源」、「ジョブ名」＝「ログのジョブ」、「日時」＝「ログの日付・時刻」とする。次に、Ｓ１３０８で、利用者が直接操作したか否かを判断する。上記したように、直接操作の場合は、ログの補助データ内にコマンドが記録されているため、これにより判断する。ＹＥＳの場合にはＳ１３０９に進み、ＮＯの場合にはＳ１３１０に進む。Ｓ１３０９では、直接操作フラグというフラグをＯＮにする。そして、Ｓ１３１０に進む。
【００８１】
ログの種類がＷＳＬＯＧの場合、比較キーの組合せが全てあることになるので、上記の全７種類の情報展開テーブルを作成することになる。このため、全ての情報展開テーブルに書き込み処理を行う。すなわち、Ｓ１３１０では、情報展開テーブル（利用者）に書き込みを行う。同様にＳ１３１１では、情報展開テーブル（資源）に書き込みを行う。Ｓ１３１２では、情報展開テーブル（ジョブ）に書き込みを行う。Ｓ１３１３では、情報展開テーブル（利用者／資源）に書き込みを行う。Ｓ１３１４では、情報展開テーブル（利用者／ジョブ）に書き込みを行う。Ｓ１３１５では、情報展開テーブル（資源／ジョブ）に書き込みを行う。Ｓ１３１６では、情報展開テーブル（利用者／資源／ジョブ）に書き込みを行う。情報展開テーブルの書き込み処理については図１４〜図２０を参照して、後で説明する。
【００８２】
そして、Ｓ１３１７で、直接操作フラグをＯＦＦに変更し、Ｓ１３１８に進む。
また、Ｓ１３０３からＳ１３０７に進んだ場合、つまりログ種別が「ＲＤＢ」（データベース）の場合次のように処理がなされる。まず、Ｓ１３０７で、「利用者名」＝「ログの利用者名」、「資源名」＝「ログの主データのＦＬ」、「ジョブ名」＝「ログのジョブ」、「日時」＝「ログの日付・時刻」とする。そして、ログ種別「ＷＳＬＯＧ」の場合と同様に、Ｓ１３１０〜Ｓ１３１７の処理を行う。
【００８３】
Ｓ１３１７からＳ１３１８に進むと、解析対象証跡ログの最後の行まで処理をしたか否かを判断し、ＹＥＳならば処理を終了する。また、Ｓ１３１８でＮＯならばＳ１３１９に進み、解析対象証跡ログの次の行を読み込んで、Ｓ１３０３に戻る。
【００８４】
以下図１３のＳ１３０５およびＳ１３１０〜Ｓ１３１６の情報展開テーブルへの書き込み処理について、それぞれ図１４〜図２０を参照して説明する。
情報展開テーブルへの書き込みは、比較キーの組合せ毎（情報展開テーブルの種類毎）にある。それぞれの動作は同一であり、対象となるキーが異なるだけである。よって、情報展開テーブル（利用者）について、図１４を参照して詳細に説明し、図１５〜図２０の詳しい説明は省略することにする。
【００８５】
まず、図１４のＳ１４０１において、情報展開テーブルの比較キーに、入力値の利用者名（Ｓ１３０４で取得した利用者名）があるか否かを判断する。あればＳ１４０３に進み、なければＳ１４０２に進む。Ｓ１４０２では、入力値の利用者名のレコードを新たにテーブルに追加する。そしてＳ１４０３に進む。  
【００８６】
Ｓ１４０３では、レコードの該当項目のカウンタをカウントアップする。また、対応する有効項目を１にする。この有効項目について図２１を参照して説明する。解析対象証跡ログに基づいて作成された情報展開テーブルには、各レコードが有効か否かを設定する項目が用意されている。図２１には、２月１日〜２月３日の解析対象ログから情報展開テーブルを作成した例が示されている。この場合、各レコードにおいて、各日付毎の事象の発生件数が記録されており、その隣に、そのデータが有効であるか否かを設定する項目がある。例としては、日付「１」の隣にある「１有効」という項目である。日付「１」のカウンタをカウントアップすると同時に、「１有効」の項目を有効（値は１）に設定することにより、日付「１」のカウンタの値が有効であることを示すことができる。図２１では、２月１日〜３日以外の日付においてはこの有効項目の値が０となっており、日付４日以降の項目の値は無効であることを示している。このように有効項目を情報展開テーブルに設けることによって、比較帯別に規定回数や規定比率比較を行う場合に、無効な比較帯の回数（０回）を比較しないようできる。また、無効なデータを累積しないようにすることもできる。
【００８７】
Ｓ１４０４では、直接操作フラグがＯＮか否かを判断する。直接操作フラグがＯＮの場合、Ｓ１４０５に進み、レコードの直接操作項目を値１にする。直接操作フラグがＯＦＦの場合、図１３の次の処理に戻る。直接操作項目についても、図２１に示してある。図２１の情報展開テーブルの１行目に示したレコードは、利用者「ＰＲＯＦ１」が資源「ＪＵＣＨＵＰＦ．ＢＬＩＢ」を直接保存（ＳＡＶＦＩＬＥ）したことを示している。この操作に対して、直接操作項目の値が１と記録され、該当レコードが直接操作であることを示すことができる。
【００８８】
このように、情報展開テーブルの書き込み処理では、まず、テーブルに既に入力値と同一な値をキーとするレコードが存在するか否かを判断し、同一なものがなければ新たにレコードを生成する。そのあと、各レコードの該当比較帯の項目のカウンタをカウントアップする。また、カウントアップするレコードに対応する操作が直接操作の場合には、直接操作の項目に直接操作であることを示す値を入力する、という処理を行う。
【００８９】
同様にして、図１５では入力値の資源名についてＳ１５０１〜Ｓ１５０５の処理を行う。図１６では、入力値のジョブについてＳ１６０１〜Ｓ１６０５の処理を行う。図１７では、入力値の利用者／資源についてＳ１７０１〜Ｓ１７０５の処理を行う。図１８では、入力値の利用者／ジョブについてＳ１８０１〜Ｓ１８０５の処理を行う。図１９では、入力値の資源／ジョブについてＳ１９０１〜Ｓ１９０５の処理を行う。図２０では、入力値の利用者／資源／ジョブについてＳ２００１〜Ｓ２００５の処理を行う。
【００９０】
以上のように、図１４〜図２０に基づいて、各情報展開テーブルの書き込み処理を行うことができる。
以上、図１２〜図２１を参照して、情報展開部２の処理について詳しく説明した。次に、図２２〜図３０を参照して、図８のＳ８３の申請情報展開部３の処理について説明する。
【００９１】
申請情報展開部３は、特別に通常行わない操作や動作（イレギュラーな操作や動作）を事前に申請しておき、事前に申請した操作が不正や異常と見なされないようにするときに必要となる処理部である。申請情報展開部３は、事前に申請した操作等に関する情報を、情報展開テーブルや累積情報展開テーブルと同様のデータ構造となるように展開する処理を行う。
【００９２】
事前にイレギュラー操作などを申請する方法として次の（１）（２）の二つの方法がある。
（１）過去に採取、または別のシステムなどから採取された、操作記録としての証跡ログを利用して、該当部分をコピーし、証跡ログ情報の形態で申請する方法。
（２）申請したい操作または動作に対応する証跡ログを取得できない場合に、該当動作または動作に対応する比較キー（利用者、資源、ジョブ）がわかる場合に、その比較キー情報、回数等、時間などを直接、条件入力のように指定して申請する方法。
【００９３】
上記（１）、（２）について、図２２に概要を示す。
（１）では、過去に実施した操作記録から、該当箇所をコピーし、申請画面の申請ログを貼り付ける部分に添付している。そして、作業する予定時間をＸ月Ｘ日Ｘ時〜ＸＸ時と入力している。
【００９４】
また、（２）の直接指定の場合は、作業予定時間をＸ月Ｘ日Ｘ時〜ＸＸ時、利用者名、資源名、ジョブ名、回数などを直接、条件入力のように指定している。
その後、登録内容をシステム管理者に承認してもらい、その後、申請情報展開部３が登録情報を展開し、申請情報展開テーブル１３を作成する。
【００９５】
図２３に申請情報展開部３のフローを示す。
まず、情報展開テーブルを作成したときと同様に、比較キーの組合せ分の申請情報展開テーブルを作成する。すなわち、比較キーが「利用者」「資源」「ジョブ」の場合、以下の７種類の申請情報展開テーブルを作成することになる。
【００９６】
・申請情報展開テーブル（利用者）
・申請情報展開テーブル（資源）
・申請情報展開テーブル（ジョブ）
・申請情報展開テーブル（利用者／資源）
・申請情報展開テーブル（利用者／ジョブ）
・申請情報展開テーブル（資源／ジョブ）
・申請情報展開テーブル（利用者／資源／ジョブ）
まず、Ｓ２３０１で、比較キーの組合せ分の申請情報テーブルを作成する。
【００９７】
次に、Ｓ２３０２で申請方法の種類を判別する。申請方法が、ログによる申請の場合にはＳ２３０３に進む。申請方法が、直接指定による申請の場合にはＳ２３１７に進む。
まず、ログによる申請の場合について、Ｓ２３０３〜Ｓ２３１６を説明する。
【００９８】
ログによる申請の場合は、情報展開部２と同様の処理を行う。情報展開部２と異なる点は、解析情報展開テーブルに書き込み処理をする前に、入力値を取得するステップで、証跡ログから日時の情報を取得するのではなく、上記（１）で入力された作業予定時間等を取得する点である。
【００９９】
図２３においてまず、Ｓ２３０３で読み込んだ申請ログの行のログ種別を判断する。ログ種別が「ＡＵＴＨ」（認証）の場合はＳ２３０４に進む。ログ種別が「ＷＳＬＯＧ」（操作）の場合はＳ２３０６に進む。ログ種別がＲＤＢ（データベース）の場合はＳ２３０７に進む。
【０１００】
Ｓ２３０４では、「利用者名」＝「ログの主データのＰＲＯＦ」、「日時」＝「申請作業日付」とする。次に、Ｓ２３０５で申請情報展開テーブル（利用者）の書き込み処理を行う。各申請情報展開テーブルの書き込み処理については、図２４〜図３０を参照して後で説明する。
【０１０１】
また、Ｓ２３０３でログ種別が「ＷＳＬＯＧ」（操作）と判断された場合はＳ２３０６に進む。Ｓ２３０６で、「利用者名」＝「ログの利用者名」、「資源名」＝「ログの補助データの資源」、「ジョブ名」＝「ログのジョブ」、「日時」＝「申請作業日付」とする。次に、Ｓ２３０８〜Ｓ２３１４で申請情報展開テーブルへの書き込みを行う。ログの種別がＷＳＬＯＧの場合、比較キーの組合せが全てあることになるので、次の全７種類の申請情報展開テーブルに書き込み処理を行う。すなわち、Ｓ２３０８では、申請情報展開テーブル（利用者）に書き込みを行う。同様に、Ｓ２３０９では申請情報展開テーブル（資源）に書き込みを行う。Ｓ２３１０では申請情報展開テーブル（ジョブ）に書き込みを行う。Ｓ２３１１では、申請情報展開テーブル（利用者／資源）に書き込みを行う。Ｓ２３１２では、申請情報展開テーブル（利用者／ジョブ）に書き込みを行う。Ｓ２３１３では申請情報展開テーブル（資源／ジョブ）に書き込みを行う。Ｓ２３１４では申請情報展開テーブル（利用者／資源／ジョブ）に書き込みを行う。申請情報展開テーブルの書き込み処理については図２４〜図３０を参照して後で説明する。
【０１０２】
また、Ｓ２３０３でログ種別が「ＲＤＢ」（データベース）と判断された場合はＳ２３０７に進む。Ｓ２３０７で、「利用者名」＝「ログの利用者名」、「資源名」＝「ログの主データのＦＬ」、「ジョブ名」＝「ログのジョブ」、「日時」＝「申請作業日付」とする。そして、ログ種別「ＷＳＬＯＧ」の場合と同様に、Ｓ２３０８〜Ｓ２３１４の処理を行う。
【０１０３】
Ｓ２３０４またはＳ２３１４からＳ２３１５に進むと、Ｓ２３１５では、申請のログの最終行まで処理をしたか否かを判断する。ＹＥＳの場合は処理を終了する。Ｎｏの場合は申請ログの次の行を読み込んで（Ｓ２３１６）、Ｓ２３０３に戻る。
【０１０４】
以下、図２３のＳ２３０５およびＳ２３０８〜Ｓ２３１４の申請情報展開テーブルへの書き込み処理について、それぞれ図２４〜図３０を参照して説明する。
申請情報展開テーブルへの書き込みは、比較キーの組合せ毎（申請情報展開テーブルの種類毎）にある。それぞれの動作は同一であり、対象となるキーが異なるだけである。よって、申請情報展開テーブル（利用者）を図２４を参照して詳細に説明し、図２５〜図３０の詳しい説明は省略することにする。
【０１０５】
まず、図２４のＳ２４０１において、情報展開テーブルの比較キーに、入力値の利用者名（Ｓ２３０４で取得した利用者名）があるか否かを判断する。あればＳ２４０３に進み、なければＳ２４０２に進む。Ｓ２４０２では、入力値の利用者名のレコードを新たにテーブルに追加する。そしてＳ２４０３に進む。Ｓ２４０３では、入力値の日時の情報に基づいて、レコードの該当項目のカウンタをカウントアップする。
【０１０６】
このように、申請情報展開テーブルの書き込み処理では、まず、テーブルに既に入力値と同一な値をキーとするレコードが存在するか否かを判断し、同一なものがなければ新たにレコードを生成する。そのあと、各レコードの該当比較帯の項目のカウンタをカウントアップする。
【０１０７】
同様にして、図２５では入力値の資源名についてＳ２５０１〜Ｓ２５０３の処理を行う。図２６では、入力値のジョブについてＳ２６０１〜Ｓ２６０３の処理を行う。図２７では、入力値の利用者／資源についてＳ２７０１〜Ｓ２７０３の処理を行う。図２８では、入力値の利用者／ジョブについてＳ２８０１〜Ｓ２８０３の処理を行う。図２９では、入力値の資源／ジョブについてＳ２９０１〜Ｓ２９０３の処理を行う。図３０では、入力値の利用者／資源／ジョブについてＳ３００１〜Ｓ３００３の処理を行う。
【０１０８】
以上のように、図２４〜図３０に基づいて、各申請情報展開テーブルの書き込み処理を行うことができる。
次に、Ｓ２３０２で「申請方法の種別が直接指定による申請である」と判断された場合の処理である、Ｓ２３１７〜Ｓ２３２６について説明する。
【０１０９】
まず、Ｓ２３１７で「利用者名」＝「指定の利用者名」「資源名」＝「指定の資源名」「ジョブ名」＝「指定のジョブ名」「日時」＝「申請作業日付」とする。そして、Ｓ２３１８〜Ｓ２３２４で各申請情報展開テーブルへの書き込み処理を行う。Ｓ２３１８では、申請情報テーブル（利用者）の書き込みを行う。Ｓ２３１９では、申請情報テーブル（資源）の書き込みを行う。Ｓ２３２０では申請情報テーブル（ジョブ）の書き込みを行う。Ｓ２３２１では申請情報テーブル（利用者／資源）の書き込みを行う。Ｓ２３２２では、申請情報テーブル（利用者／ジョブ）の書き込みを行う。Ｓ２３２３では、申請情報テーブル（資源／ジョブ）の書き込みを行う。Ｓ２３２４では、申請情報テーブル（利用者／資源／ジョブ）の書き込みを行う。それぞれの書き込み処理は、図２４〜図３０でそれぞれ説明した通りである。
【０１１０】
Ｓ２３２５で、全ての申請情報を処理したか否かを判断する。ＹＥＳの場合、処理を終了する。ＮＯの場合、次の申請情報を処理の対象として（Ｓ２３２６）、Ｓ２３１７に戻る。
【０１１１】
以上のように、図２３に示したフローにより、証跡ログを用いた申請情報および直接条件指定による申請情報を情報展開テーブルの形態に展開することができる。
以上、図２２〜図３０を参照して、申請情報展開部３について詳しく説明した。次に、比較部９の処理について説明する。
【０１１２】
図６のシステムの全体構成にも示したように、比較部９は準備部４と判定部５を含んで構成される。比較部９では、まず準備部４により比較のための準備を行い、その後判定部５で比較判定を行う。
【０１１３】
まず、図３１、図３２を参照して準備部４の処理について詳しく説明し、その後判定部５について説明する。
図３１に準備部４の処理の概要を説明する図を示す。準備部４は、次の処理である判定部５が情報展開テーブル１０と累積情報展開テーブル１１を比較し易いように、情報展開テーブル１０の情報を累積情報展開テーブル１１に一旦レコードとして追加する処理を行う。
【０１１４】
尚、以下の説明では、比較キーが「利用者」「資源」「ジョブ」で、「利用者／資源／ジョブ」の情報展開テーブルおよび累積情報展開テーブルの場合について説明するが、他の情報展開テーブルの場合でも同様の処理を行う。
【０１１５】
図３１Ａに示すように、準備部４は、情報展開テーブルを累積情報展開テーブルに追加する処理を行う。
情報展開テーブルの各レコードを累積情報展開テーブルに追加する場合、次のような場合があることが考えられる。
（１）追加するレコードの比較キーのキー値が、累積情報展開テーブルに存在しない場合。
（２）追加するレコードの比較キーのキー値が、累積情報展開テーブルに存在する場合。
（３）累積情報展開テーブルに存在するレコードであるが、追加する情報展開テーブル中には対応する比較キーのキー値が存在しない場合。
【０１１６】
上記（１）の場合に対応する例を図３１の（１）に示す。この例では、比較キー「利用者」「資源」「ジョブ」の値がそれぞれ「ＰＲＯＦ２」「Ｐ１００．ＡＬＩＢ」「ＡＪＯＢ」であるレコードを累積情報展開テーブルに追加しようとしている。しかし、累積情報展開テーブルには比較キーの値が「ＰＲＯＦ２」「Ｐ１００．ＡＬＩＢ」「ＡＪＯＢ」という組合せが存在しないため、累積情報展開テーブルにレコードの追加を行う。このとき、図３１（１）に示すように情報種が「累積」と「今回」の二種類のレコードを作成する。そして、作成した二種のレコードのうち、情報種が「今回」であるレコードに、情報展開テーブルのレコードの内容を書き込む。尚、図３１には各情報展開テーブルに有効項目を示していないが、有効項目の情報についても書き込みが行われる。
【０１１７】
また、上記（２）の場合に対応する例を図３１の（２）に示す。この例では、比較キー「利用者」「資源」「ジョブ」の値がそれぞれ「ＰＲＯＦ２」「Ｐ１００．ＡＬＩＢ」「ＡＪＯＢ」であるレコードを累積情報展開テーブルに追加しようとしている。累積情報展開テーブルには、比較キーの値が「ＰＲＯＦ２」「Ｐ１００．ＡＬＩＢ」「ＡＪＯＢ」であるレコードが存在するため、情報展開テーブルのレコードを書き込むところがすでに確保されている、ということになる。図３１の（２）に示すように、予め値０に初期化されている情報種「今回」であるレコードに、情報展開テーブルの各レコードのカウンタの値を足しこむ。
【０１１８】
また、上記（３）の場合に対応する例を図３１の（３）に示す。この例では、比較キー「利用者」「資源」「ジョブ」の値がそれぞれ「ＰＲＯＦ２」「Ｐ１００．ＡＬＩＢ」「ＡＪＯＢ」であるレコードが累積情報展開テーブルに存在するが、情報展開テーブルのレコードには存在しない場合を示している。累積情報展開テーブルに存在するレコードであるが、情報展開テーブルには存在しないレコードの場合、情報種が「今回」のレコードの各項目値は初期化された値である０のままである。
【０１１９】
以上のように、準備部４の処理の概要を説明した。本実施の形態では、上記（１）および上記（２）ように情報展開テーブルの内容を累積情報展開テーブルに書き込むことを、情報展開テーブルを累積情報展開テーブルに追加する、ということにする。
【０１２０】
次に、準備部４のフローを図３２に示す。
まず、Ｓ３２１で、情報展開テーブルのレコードを取り出す。
次にＳ３２２で取り出したレコードの比較キーのキー値が累積情報テーブルのレコードに存在するか否かを判断する。「ある」と判断された場合Ｓ３２５に進む。「ない」と判断された場合にはＳ３２３に進む。
【０１２１】
Ｓ３２３では、累積情報展開テーブルに新しく２つのレコードを追加する。１つは、累積レコードを記録するためのレコードで、情報種の項目値が「累積」であるものである。もう１つは今回のレコードを記録するためのレコードで、情報種の項目値が「今回」であるものである。Ｓ３２４では、追加した今回レコードの各カウンタに、情報展開テーブルのレコードから書き込む。
【０１２２】
Ｓ３２５では、累積情報展開テーブルに既にある情報種「今回」のレコードの各カウンタに情報展開テーブルのレコードから書き込む。
Ｓ３２６では、情報展開テーブルのすべてのレコードを処理したか否かを判断する。ＹＥＳの場合処理を終了する。ＮＯの場合、Ｓ３２７で情報展開テーブルの次のレコードを取り出して、Ｓ３２２に戻る。
【０１２３】
以上、図３１、図３２を参照して、比較部９の準備部４について説明した。
次に図３３、図３４を参照して比較部９の判定部５について説明する。
判定部５は、準備部４で用意した累積情報展開テーブルを元に、解析対象証跡ログの比較対象の事象と予め登録設定された規定回数や規定比率の判定を行う。
【０１２４】
図３３に、判定部５の概要を示す。
まず、比較キーが同じで、情報種が「累積」「今回」であるレコードを読み込む。その後、情報種が「累積」のレコードで、回数の項目の値が０のものを新規に発生した事象と判断する。新規に発生した事象については、申請情報展開テーブルと比較し、該当操作がイレギュラーな操作ではないかどうかを判断する。イレギュラーな操作ではなく、新規に発生した事象であると判断された場合には、情報種が「今回」であるレコードのレポート項目に値１を記載し、新規に出現した事象であることを記録する。
【０１２５】
また、情報種が「累積」のレコードで、回数の項目が０でない場合は新規に発生した事象ではないため、予め登録された規定回数以上、または、予め登録された規定比率以上、事象が発生していないか等を判断する。
【０１２６】
事象が規定回数以上発生しているか否かの判断は、解析定義情報１２に定義されている規定回数と情報種が「今回」のレコードの各比較帯項目の回数を比較して判断を行うことができる。規定回数を超えていると判断された場合には、情報種が「今回」であるレコードのレポート項目に値２を書き込む。
【０１２７】
事象が規定比率以上発生しているか否かの判断は、解析定義情報１２に定義されている規定比率と、情報種「累積」のレコードの各比較帯項目の「回数÷ＵＰカウンタ項目値」と、情報種「今回」のレコードの「各比較帯項目の値÷サイクル数」を比較して行う。尚、サイクル数とは、各比較帯の項目が何回対象になったかを表す数字である。例えば解析対象証跡ログが４月１日〜６月３０日までの期間を対象にしたログの場合、各日は４月、５月、６月と三回なので３となる（３１日は５月にだけしかないので、１回）。時間帯は日数と同じなため、９１となる。曜日数は既知の技術で回数を求めるなどする。また、週単位での証跡ログ採取であれば各曜日のサイクル数は１になる。比較部５で求めたサイクル数は、情報処理装置のメモリまたは不図示の累積情報展開テーブルの何処かに記録しておく。記録したサイクル数は、後の累積部８の処理で用いる。また、ＵＰカウンタの項目値とは、累積部８で累積レコードに今回レコードを累積するときに、サイクル数でＵＰカウンタをカウントＵＰすることで記録されていく値である。すなわち、ＵＰカウンタはサイクル数の累積であり、累積レコードの各比較帯項目の回数から１回あたり（１サイクル値）の回数を求めるのに使用するものである。
【０１２８】
また、事象の発生が規定比率に達しているか否かの判断は、事象が規定比率以上発生しているか否かの判断と同様に行うことができる。
以上のように解析定義情報１２と比較した結果、規定比率以上であると判断された場合には、情報種「今回」のレポート項目に値３を書き込む。また、規定比率に満たないと判断された場合には、情報種「今回」のレポート項目に値４を書き込む。
【０１２９】
判定部５は、以上のような処理を累積情報展開テーブル内の追加されたレコードについて順に行っていく。
また、すべての追加されたレコードについて初めて出現した事象か否か、または規定回数や規定比率との比較を行った後、判定部５ではシステム動作の正当性を確認する処理を行う。正当性の確認は、解析定義情報１２に規定比率の指定があるのに、今回発生していない事象を異常と見なすことで行う。尚、正当性の確認処理は、いつも動作させてもよいし、定義の指定が存在する場合にのみ動作させるようにしてもかまわない。また、正当性の確認は、規定回数や規定比率との事象発生回数、事象発生比率の比較により行うことも可能とも考えられるが、上記の規定回数や規定比率により比較判断した場合には、今回発生した事象に対してのみにしか検証できない。本来発生すべきだが、今回発生していない事象（解析対象ログには含まれていない事象）に対しては確認することができない。正当性の確認処理は、このように、本来発生すべき事象であって今回発生しなかったものがないか否かを確認する処理を行うものである。
【０１３０】
図３４に判定部５の処理フローを示す。
まず、Ｓ３４０１でインデックスｉを１に初期化する。Ｓ３４０２で累積情報展開テーブルに解析対象展開テーブルから追加されたｉ番目のレコードを読み出し、読み出したレコードを処理中レコードとする。累積情報展開テーブルに追加されたレコードであるか否かは、各レコードについて情報種が「今回」で、回数の項目が０でないレコードであることを確認すればよい。
【０１３１】
次に、Ｓ３４０３で処理中のレコードが、初めて出現した事象か否かを判断する。初めて出現した事象か否かの判断は、処理中レコードと同じ比較キーの値であって、情報種が「累積」のレコードの回数項目が０か否かを判断すればよい。情報種が「累積」のレコードの回数項目が０の場合は、初めて出現した事象であると判断できる。
【０１３２】
初めて発生した事象であると判断された場合（Ｓ３４０３でＹＥＳと判定された場合）、Ｓ３４０５に進む。Ｓ３４０５〜Ｓ３４０７では事前申請に登録されている事象か否かの判定を行う。まず、Ｓ３４０５で、現在処理中のレコードの比較キーに対応する申請情報展開テーブルがあるかを判断する。例えば、比較キーが利用者（累積情報展開テーブル（利用者））であれば、申請情報展開テーブル（利用者）があるか判断する。Ｓ３４０５で、ない（ＮＯ）と判断された場合にはＳ３４０８に進む。Ｓ３４０５で、ある（ＹＥＳ）と判断された場合にはＳ３４０６に進む。Ｓ３４０６では、申請情報展開テーブルにおいて、処理中レコードの比較キーの値と同じレコードがあるか否かを判断する。Ｓ３４０６で、ない（ＮＯ）と判断された場合にはＳ３４０８に進む。Ｓ３４０６で、ある（ＹＥＳ）と判断された場合にはＳ３４０７に進む。Ｓ３４０７では、処理中レコードの各比較帯の項目値が同じか否かを判断する。同じであれば事前に申請された操作事象と同じであるため異常無しと判断して、Ｓ３４１３に進む。Ｓ３４０７で異なると判断された場合、Ｓ３４０８に進む。Ｓ３４０８では、初めて発生した事象であることを記録するために、情報種「今回」のレコードのレポート項目に値１を書き込む。そして、Ｓ３４１３に進む。
【０１３３】
Ｓ３４０３で、処理中レコードが、初めて出現した事象でないと判断された場合Ｓ３４０９に進む。Ｓ３４０９では解析定義情報１２に規定された規定回数、規定比率との比較を行う。
【０１３４】
上述したように、解析定義情報１２に規定された回数より事象が多く発生しているか否かの判断は、情報種「今回」のレコードの各比較帯項目の回数で比較する。また、規定比率より大きい、または達していない、の判断は、該規定比率と、情報種「累積」レコードの各比較帯項目の「回数÷ＵＰカウンタ項目値」と今回レコードの「各比較帯項目の値÷サイクル数」を比較することで行う。
【０１３５】
Ｓ３４０９での比較の結果、規定回数を超えている場合には、情報種「今回」レコードのレポート項目に値２を書き込む（Ｓ３４１０）。Ｓ３４０９での比較の結果、規定比率を超えている場合には、情報種「今回」レコードのレポート項目に値３を書き込む（Ｓ３４１１）。Ｓ３４０９での比較の結果、規定比率に満たないと判断された場合には、情報種「今回」レコードのレポート項目に値４を書き込む（Ｓ３４１２）。Ｓ３４１０、Ｓ３４１１、Ｓ３４１２の後、それぞれＳ３４１３に進む。
【０１３６】
Ｓ３４１３では、累積情報展開テーブルに解析対象展開テーブルから追加されたレコードがまだあるか否かを判断する。ある場合には、Ｓ３４１４でインデックスｉを１インクリメントしてＳ３４０２に戻る。Ｓ３４１３で、ない、と判断された場合にはＳ３４１５に進む。Ｓ３４１５〜Ｓ３４１７では、システム業務の正当性を確認する処理を行う。
【０１３７】
正当性の確認は、規定比率指定があるのに今回発生していない事象を異常とみなすことで行う。まず、Ｓ３４１５で、解析定義情報１２に累積情報展開テーブルの比較キー値に該当する規定比率の指定があるか否かを判断する。ない場合には処理を終了する。Ｓ３４１５で、ある、と判断された場合には、Ｓ３４１６に進む。Ｓ３４１６では、累積情報展開テーブルにおいて、情報種「今回」のレコードの回数項目値が０であって、情報種「累積」のレコードの回数項目値が０でないレコードを取り出すという処理を行う。Ｓ３４１７では取り出されたレコード（情報種は「今回」）のレポート項目に値４を書き込み、事象の発生が、規定比率を満たしていないことを記録する。
【０１３８】
Ｓ３４１５〜Ｓ３４１７について具体例を用いて説明すると次のようになる。例えば、解析定義情報１２の比較キー値が「資源」＝「ＦＩＬＥ」「ジョブ」＝「ＪＯＢ」で規定比率が指定されているとする。このとき、累積情報展開テーブル（資源／ジョブ）があり、この中のレコードのキー値が「ＦＩＬＥ」「ＪＯＢ」と一致するレコードが対象になる。次に、該対象レコードと判断されたもののうち、情報種「今回」のレコードの回数項目値が０であって情報種「累積」のレコードの回数項目値が０でないレコードを取り出す。このように取り出されたレコードが、規定比率が指定されているのに今回発生していない事象に該当する。よって取り出されたレコードの情報種「今回」のレコードのレポート事項に値４（規定比率を満たさない事象であることを示す値）を書き込む。
【０１３９】
以上のように、図３３、図３４を参照して判定部５の処理について説明した。
次に、図３５、図３６を参照して、レポート部６の説明をする。レポート部６は判定部５で比較された結果である、累積情報展開テーブルのレポート項目の値に基づいて、初めて発生した事象や規定範囲外の事象をレポートとして出力する処理を行う。出力されたレポートはシステム監査レポートなどとしてそのまま利用することも可能である。
【０１４０】
また、システム管理者は、レポート部６により出力された結果において問題のある事象か否かの判断を行い、問題ある事象に対してはその旨の登録を行う。この登録情報は、累積情報展開テーブルの該当レコードのＮＧ項目に、異常の意味を示す値１が書き込まれることで記録される。尚、累積情報展開テーブルのＮＧ項目は最初、値０に初期化されている。よって、ＮＧ項目に書き込みが行われない場合、つまり値０は正常を意味することになる。
【０１４１】
図３５にレポート部６の処理の概要を示す。
まず、レポート部６は、累積情報展開テーブルのレポート項目が値０以外のレコードを全て取り出す。そして、レポート項目の値に応じたレポート情報を出力する。（図３５の（１）の処理）このとき、各事象名はレコードの比較キーの値である。例えば、利用者名／資源名／ジョブ名である。
【０１４２】
レポートの項目の値が１の場合、新規事象が発生したことを示している。このため、事象名と回数、また各比較項目の回数を出力する。図３５に示すように、例えば「利用者名ＡＡＡ、回数Ｎ回、各日の回数Ｎ回」というように出力する。
【０１４３】
レポートの項目の値が２の場合、事象の発生回数が規定回数を超えていることを示している。このため、事象名と回数と解析定義情報１２の規定回数をレポートとして出力する。
【０１４４】
レポートの項目の値が３の場合、ある時間における事象の発生比率が規定比率を超えていることを示している。このため、事象名と回数(比率）と解析定義情報１２の規定比率をレポートとして出力する。
【０１４５】
レポートの項目の値が４の場合、ある時間における事象の発生比率が規定比率に満たないことを示している。このため、事象名と回数(比率）と解析定義情報１２の規定比率をレポートとして出力する。
【０１４６】
このようにして出力されたレポートは、情報処理装置の表示装置などに、図３５の「証跡ログ解析結果レポート」に示すような画面で表示される。
次に、表示装置の画面に表示されたレポートをみて、システム管理者は出力された事象が問題のある事象か否かの判断を行う。そして、問題がある事象であると判断した場合、画面のＮＧをチェックする部分にチェックを入力して問題である事象であることを登録する（図３５の（２）の処理）。
【０１４７】
その後、レポート部６は”ＮＧ”と指定された事象に対応する、累積情報展開テーブルの、情報種「今回」のレコードのＮＧ項目に１（異常の意味を示す値）を書き込む（図３５の（３）の処理）。これにより、異常な事象についてシステムに登録される。
【０１４８】
図３６にレポート部６の処理フローを示す。
まず、Ｓ３６１で累積情報展開テーブルから、レポート項目の値が０以外のレコードを取り出し、レポート項目の値に応じたレポートを出力する。レポート項目の値と出力するレポートの内容については上述した通りである。
【０１４９】
次に、Ｓ３６２で、システム管理者が出力されたレポートから問題のある事象でないか否かを判断して、問題のある事象に対してＮＧを選択する。
次にＳ３６３で、ＮＧ選択された場合、累積情報展開テーブルの、情報種「今回」レコードのＮＧ項目に値１（異常の意味を示す値）を書き込む。
【０１５０】
以上、図３５、図３６を参照してレポート部６について説明した。
次に、図３７、図３８を参照して、操作禁止情報反映部７について説明する。
操作禁止情報反映部７は、累積情報展開テーブルに記録された異常な事象（つまり、ＮＧ項目の値が１のもの）を取り出して、管理対象サーバ６２に操作を禁止するための、利用者限定定義１６に定義を追加する処理を行う。利用者限定定義１６とは、ある利用者に禁止する操作について定義を記載しておけば、既存の利用者操作禁止制御機能等により、該利用者は該当操作を行うことが不可能になる、というものである。操作禁止情報反映部７は、証跡ログを採取した管理対象サーバ６２が利用者限定定義１６を備え、利用者に操作禁止する機能がある場合のみに動作できる。
【０１５１】
図３７に操作禁止情報反映部７の処理の概要を示す。
上述してきた処理で、「異常」と判断された事象のうち、利用者がシステムに対して直接コマンド操作したものについて、操作を禁止する。利用者がシステム対して直接コマンド操作した事象か否かは、レコードの直接操作の項目に値１が格納されているので、これにより判断することができる。よって、操作禁止情報反映部７は、まず、累積情報展開テーブルにおいて、情報種「今回」レコードの直接操作の項目が値１でかつ、ＮＧ項目が値１のレコードを取り出す。取り出した全てのレコードに対応する操作の情報を、管理対象サーバ６２が備える利用者限定機能が用いる利用者限定定義の定義形式に合わせて登録する。つまり、操作を制限する利用者と操作（コマンド）として、取り出したレコードの利用者名とジョブ名を該利用者限定定義に書き込む。図３７の例では、累積情報展開テーブルの一番下の行のレコードに対応する操作が、利用者限定定義に登録されている（利用者＝ＴＡＮＡＫＡ，コマンド＝ＥＤＩＴＦＩＬＥ）。これにより、以後利用者ＴＡＮＡＫＡさんがファイル等を編集する操作を行おうとすると、その操作は強制的に禁止され実行不可能となる。
【０１５２】
図３８に操作禁止情報反映部７のフローチャートを示す。
操作禁止情報反映部７は、１以上ある累積情報展開テーブルの全てについてレコードをチェックする処理を行う。まず或る累積情報展開テーブルについて、Ｓ３８１で、情報種「今回」レコードの直接操作項目が値１かつＮＧ項目が値１のレコードを取り出す。そして、Ｓ３８２で累積情報展開テーブルの全てのレコードをチェックしたかを判断し、全て終わっていなければ（ＮＯ）、Ｓ３８１に戻って順次累積情報展開テーブルのレコードをチェックする。１つの累積情報展開テーブルについてＳ３８１，Ｓ３８２の処理が終わると、次の累積情報展開テーブルを処理する。Ｓ３８３で、全ての累積情報展開テーブルの処理が終わったか否かを判断し、終わっていなければ（ＮＯ）、Ｓ３８１に戻る。全ての累積情報展開テーブルの処理が終われば（ＹＥＳ）、Ｓ３８４に進む。Ｓ３８４では、従来からある利用者限定機能の利用者限定定義の定義形式に合わせて、取り出したレコードの利用者名とジョブ名を、操作を制限する利用者と操作（コマンド）として書き込む。
【０１５３】
以上、操作禁止情報反映部７の処理について説明した。次に、図３９、図４０を参照して累積部８の処理について説明する。
累積部８は、レポート部６で異常であると判断されたものを除く事象、すなわち、正常な事象に対応する各項目の発生件数（カウンタの値）を累積情報展開テーブルに累積させる処理を行う。
【０１５４】
図３９に累積部８の処理の概要を示す。
累積部８は、情報展開テーブルから累積情報展開テーブルに追加された全てのレコードについて処理を行う。
【０１５５】
この場合に、追加されたレコードが（１）正常な事象と判断されたもの、（２）異常な事象と判断されたもの、によって異なる処理を行う。
まず、（１）追加されたレコードが正常な事象と判断されたものの処理について、図３９（１）に示す。
【０１５６】
図３９（１）に示すように、累積情報展開テーブルにおいて、今回追加されたレコードであり、かつ、正常な事象と判断されたものである、ということは、情報種項目が「今回」のレコードで、回数項目値が０以外で、ＮＧ項目値が０であるものから抽出できる。抽出されたレコードは、正常な事象であると判断されたものであるので、累積レコードに各カウンタ値の足しこみを行う。
【０１５７】
図３９（１）に示すように、情報種「累積」のレコードの日付「１」の項目値がｘ１であったところに、情報種「今回」のレコードの日付「１」の項目値ｙ１を足しこみしている。同様に、情報種「累積」のレコードの日付「２」の項目値がｘ２であったところに、情報種「今回」のレコードの日付「２」の項目値ｙ２を足しこみしている。また、情報種「累積」のレコードの日付「１」項目のＵＰカウンタには、不図示のメモリ等に記録されているサイクル数Ｓを足しこんでいる（Ｎ＋Ｓ）。同様に情報種「今回」のレコードの日付「２」項目のＵＰカウンタにもサイクル数Ｓを足しこんでいる。尚、日付「３」〜日付「３１」のレコードについては、情報種「有効」のレコードの有効か否かを示す欄が無効（値０）であることを示しているため、足しこみ処理を行わない。また、足しこみ処理が完了したあと、情報種「今回」のレコードの各項目値は０に初期化される（クリア）。
【０１５８】
次に（２）異常な事象と判断されたものの処理について説明する。図３９（２）に示すように、累積情報展開テーブルにおいて、今回追加されたレコードであり、かつ、異常な事象と判断されたものである、ということは、情報種項目が「今回」のレコードで、回数項目値が０以外で、ＮＧ項目値が１であるものから抽出できる。この場合は、処理を何も行わずに、情報種「累積」のレコードの各項目値を０に初期化する（クリア）。
【０１５９】
図３９には、累積情報展開テーブルにおいて、レコードとして存在したが、今回情報展開テーブルからのレコードの追加がなく、情報種「今回」のレコードの各項目値が０であった場合の例も（３）に示しておいた。図３９（３）に示すように、この場合は情報種「今回」のレコードの各項目の値は０であるため、何も処理をしない。
【０１６０】
以上のように、累積部８の処理の概要を説明した。次に図４０に累積部８の処理フローを示す。
まず、Ｓ４０１でインデックスｉを値１に初期化する。
【０１６１】
Ｓ４０２で累積情報展開テーブルからｉ行目のレコードを取り出す。Ｓ４０３で、情報種項目が「今回」で、回数の項目値が０でないか否かを判断する。Ｎｏの場合は、Ｓ４０７に進む。Ｙｅｓの場合はＳ４０４に進む。Ｓ４０４で異常（ＮＧ）な事象か否か判断する。すなわち、取り出したレコードのＮＧ項目の値が０か否かで判断する。ＮＧ項目の値が０でない場合（Ｎｏ）、取り出したレコードに対応する事象はＮＧであるため、累積レコードへの足しこみ処理は行わず、Ｓ４０６に進む。ＳＳ４０４で、取り出したレコードのＮＧ項目の値が０である場合（Ｙｅｓ）、取り出したレコードに対応する事象はＮＧでないため、累積レコードへの足しこみ処理を行うためＳ４０５に進む。
【０１６２】
Ｓ４０５では、取り出したレコードの比較キーと同一の比較キーで、情報種項目が「累積」のレコードの各項目値に、情報種項目が「今回」のレコードの各項目値を足しこむ。更に、それぞれの項目に対応するＵＰカウンタにサイクル数Ｓを足しこむ。そして、Ｓ４０６に進む。
【０１６３】
Ｓ４０６では、情報種「今回」のレコードの各項目値を０に初期化する（クリア）。そして、Ｓ４０７に進む。
Ｓ４０７では、ｉ行目のレコードは、累積情報展開テーブルの最後のレコードか否かを判断する。最後のレコードである場合（Ｙｅｓ）には処理を終了する。最後のレコードではない場合（Ｎｏ）には、Ｓ４０８に進む。Ｓ４０８ではｉを１インクリメントして、Ｓ４０２に戻る。
【０１６４】
図４０に示したようなフローにより、累積部８は正常なログに対応する情報を累積情報展開テーブルに累積する処理を行う。
以上、実施形態１について図面を参照して詳細に説明した。
【０１６５】
本実施の形態によれば、大量の解析対象の証跡ログを、過去の正常な証跡ログと比較することができるため、より正確な判断が可能である。また、その比較判断の際に、証跡ログをそのまま比較するのではなく、比較帯別に事象の発生回数として数値化したものを比較し判断するため、高速に処理することが可能である。
【０１６６】
また、本実施の形態によれば、過去の正常な証跡ログと今回取得した証跡ログとを比較することで、不正な操作、動作だけでなく、通常行われている操作、動作がもれなく動作しているかという確認が可能で、これによりシステム動作の正当性を確認できる。
【０１６７】
また、本実施の形態によれば、情報展開テーブルや累積情報展開テーブルの構成は定義により変更することが可能で、これにより比較キーや項目を解析対象システムに合わせて構成することができる。つまり運用内容の異なる、時間帯や日／曜日に分けて比較する、など、解析対象のシステムに合わせて柔軟に対応することが可能である。
【０１６８】
また、本実施の形態によれば証跡ログに対応する事象の発生回数を累積していき、該累積情報に基づいて正常な操作に対応するパターンと異常な操作に対応するパターンを判断する。このため、従来技術のように正常操作のパターン、不正操作のパターン等をあらかじめ登録する必要がない。また、今回取得した証跡ログを順次累積していくことで、常に累積情報は更新され、該累積情報をもとに正常が異常かの判断が行われるため、不正な操作の判断やシステム業務の正当性の判断の信頼性が高くなる。
【０１６９】
以下実施形態１のシステムの動作について、より具体的な例として、実施形態２〜実施形態６として詳しく説明する。実施形態２では、初めて行われる操作／動作を不正として検知する場合について説明する。また、実施形態３では、ある操作等についての一日における規定回数により不正等を検知する場合について説明する。また、実施形態４では、ある操作についての一日における規定比率により不正等を検知する場合について説明する。また、実施形態５では申請情報通りの操作か否かの判断により不正等を検知する場合について説明する。また、実施形態６では、システム業務の正当性を判断する場合について説明する。
【０１７０】
実施形態２
初めて行われる操作／動作を不正として検知する場合について説明する。
図４１に、実施形態２における解析定義情報４１１を示す。
【０１７１】
「比較キー」は、「利用者、資源、ジョブ」となっている。また、「比較帯」、「比較キー値」、「規定回数」、「規定比率」はそれぞれ、「ＸＸＸ」、「ＸＸＸ，ＸＸＸ」、「ＮＮＮ」、「ＮＮＮ」となっている。このように初めて行われる操作／動作を不正として検知する場合は、比較キーのみの設定でよい。
【０１７２】
このとき、図４２に示すような操作が行われたとする。すなわち、発注データベースの資源＝ＦＩＬＥＡは、発注の業務プログラム（ＯＲＤＥＲＰＲＯ）のみから処理されることになっている。しかし、２月２日の日に利用者であるＴＡＮＡＫＡさんが、ＥＤＴＦＩＬＥコマンドにより直接ＦＩＬＥＡを書き換えるという処理を行った。
【０１７３】
図４２に示すような操作が行われた場合の、本実施形態における証跡ログ解析システムの処理の概要を図４３に示す。
まず、情報展開部２が解析対象証跡ログ４３０から情報展開テーブルを作成する。情報展開テーブルは、利用者、資源、ジョブの組合せ全てについて作成されるが、図４３では情報展開テーブル（利用者／資源／ジョブ）４３１のみを示している。図４３の情報展開テーブル４３１には、次のレコード（ａ）、（ｂ）、（ｃ）が作成される。
（ａ）「ＹＡＭＡＭＯＴ＋ＦＩＬＥＡ＋ＯＲＤＥＲＰＲＯ＋１０＋２＋・・・＋１」
（ｂ）「ＴＡＮＡＫＡ＋ＦＩＬＥＡ＋ＯＲＤＥＲＰＲＯ＋５＋１＋・・・・＋０」
（ｃ）「ＴＡＮＡＫＡ＋ＦＩＬＥＡ＋ＥＤＴＦＩＬＥ＋１＋０＋１・・・＋０」
レコード（ａ）（ｂ）は正しく業務プログラム（ＯＲＤＥＲＰＲＯ）を通して操作された事象に対応するレコードである。レコード（ｃ）は、２日の項目の値が１となっている。これは、利用者ＴＡＮＡＫＡさんが直接ＦＩＬＥＡを２日に編集したことを示している。
【０１７４】
そして、次に作成された情報展開テーブル４３１は、準備部４により累積情報展開テーブル４３２に追加される。図４３の累積情報展開テーブル４３２には、レコード（ａ）（ｂ）（ｃ）がそれぞれ追加されている。
【０１７５】
次に、判定部５で、初めて行われた操作／動作に対応する事象であるか否かが判断される。すなわち、情報種「累積」のレコードであって、回数項目の値が０であるものを、初めて行われた操作／動作であると判断する。図４３において説明すると、累積情報展開テーブル（利用者／資源／ジョブ）４３２の（ｃ）のレコードが、初めて行われた操作／動作に対応する事象であると判断される。そこで、（ｃ）のレコードのレポート項目に、初めて行われた操作／動作に対応する事象であることを示す値１が書き込まれる。
【０１７６】
次に、レポート部６が累積情報展開テーブル（利用者／資源／ジョブ）４３２の各レコードのレポート項目に０以外の値が書き込まれている場合に、レポートを出力し、システム管理者等に提示する。図４３の累積情報展開テーブル（利用者／資源／ジョブ）４３２の（ｃ）のレコードには、初めて行われた操作／動作であることを示す値１が格納されている。これにより、初めて行われた操作／動作である旨の情報が生成されて、レポート出力される。システム管理者は、情報処理装置の画面等で異常操作であるか否かの判断を行い、ＮＧ指定の入力を行う。ＮＧ指定されたものについては、レポート部６により、累積情報展開テーブル（利用者／資源／ジョブ）４３２の該当レコードのＮＧ項目に値１が書き込まれる。
【０１７７】
実施形態２の処理フローを図４４に示す。尚、このフロー図は特に図４２の操作等が行われた場合に注目して示したものであり、このフロー図に描かれない詳しい部分は実施形態１のフローを参照することとする。
【０１７８】
図４４において、まず、Ｓ４４１で、定義部１が解析定義情報４１１を作成する。このとき、初めて行われる操作／動作の検知のためには、比較キーの設定のみしてあればよい。
【０１７９】
次に、Ｓ４４２で、情報展開部２が解析対象証跡ログ４３０から情報展開テーブル４３１を作成する。詳しくは実施形態１の情報展開部２のフローの通りである。
次に、Ｓ４４３で、準備部４が、累積情報展開テーブル４３２に、情報種項目が「今回」のレコードを追加する。詳しくは実施形態１の準備部４のフローの通りである。
【０１８０】
次に、判定部５がＳ４４４〜Ｓ４４９の処理を行う。
Ｓ４４４でインデックスｉを１に初期化する。次に、Ｓ４４５で累積情報展開テーブル４３２に情報展開テーブル４３１から追加されたｉ番目のレコードを取り出す。ここで、図４３のレコード（ａ）、（ｂ）、（ｃ）はそれぞれ取り出される。次に、Ｓ４４６で初めて出現した事象か判断される。つまり、対応する情報種「累積」のレコードの回数項目の値が０となっているものを初めて出現したものと判断する。これによりレコード（ｃ）は初めて出現した事象であると判断される。Ｓ４４６で初めて出現した事象ではないと判断されたものについては、実施形態１の判定部５のフローに示したように、Ｓ３４０９の処理に進む。
【０１８１】
次にＳ４４７で、初めて出現した事象であると判断されたレコードについて、情報種「今回」のレコードのレポート項目に値１を書き込む。
Ｓ４４８で、累積情報展開テーブルに４３２に解析対象展開テーブル４３１から追加されたレコードがまだあるか否かを判断して、ある（Ｙｅｓ）の場合にはＳ４４９に進む。ない（Ｎｏ）の場合にはＳ４５０に進む。Ｓ４４９では、インデックスｉを１イクンリメントしてＳ４４５に戻る。
【０１８２】
Ｓ４４８の後、レポート部６での処理が行われる。Ｓ４５０で、レポート部６は累積情報展開テーブル４３２から、各レコードのレポート項目の値が０以外のレコードを取り出し、レポート項目の値に応じたレポートを出力する。
【０１８３】
次に、Ｓ４５１で、システム管理者は、出力されたレポートから問題ある事象でないか判断して、問題のある事象に対してＮＧを入力してする。そしてＳ４５２で、レポート部６はＮＧ入力指定されたものに対して、累積情報展開テーブル４３２の情報種「今回」のレコードのＮＧ項目に値１を書き込む。
【０１８４】
以上のように実施形態２について説明した。本実施形態によれば、初めて行われる操作／動作を検知することが可能である。
実施形態３
次に実施形態３について説明する。実施形態３は、操作等についての一日における規定回数により不正等を検知する場合について説明するものである。
【０１８５】
図４５に、実施形態３におけるシステム操作／動作の仮定を示す。
すなわち、マスタデータの資源＝ＦＩＬＥＡは、マスタ反映業務プログラム（ＭＰＲＯ）で、毎日１回か２回の更新がある。しかし、２月２日の日にＴＡＮＡＫＡさんが操作を５回も行った。このＴＡＮＡＫＡさんが行った５回の操作が規定の回数よりも多いため、これを不正操作と検知する。
【０１８６】
図４６に、規定回数により不正を検知する場合の解析定義情報４６１の一例を示す。
「比較キー」は「利用者、資源、ジョブ」となっている。また、「比較帯」を毎日比較する意味の「全日」としている。また、比較キー値を「資源＝ＦＩＬＥＡ、ジョブ＝ＭＰＲＯ」、３回以上の操作は異常と判断するため、「規定回数」＝「２」と指定されている。
【０１８７】
図４５に示したようなシステム操作／動作が行われた場合の、本実施形態における証跡ログ解析システムの処理の概要を図４７に示す。
まず、情報展開部２が解析対象証跡ログ４７０から情報展開テーブルを作成する。情報展開テーブルは利用者、資源、ジョブの組合せ全てについて作成されるが、図４７では情報展開テーブル（資源／ジョブ）４７１のみを示している。このとき次のレコード（ａ）が作成される。
（ａ）「ＦＩＬＥＡ＋ＭＰＲＯ＋４０＋１＋・・・・＋１」
このレコード（ａ）は、２日の項目の値が５となっており、資源ＦＩＬＥＡにジョブＭＰＲＯによって２月２日に５回アクセスされたことがわかる。
【０１８８】
そして、次に作成された情報展開テーブル４７１は、準備部４により累積情報展開テーブル４７２に追加される。図４７の累積情報展開テーブル４７２には、レコード（ａ）が追加されている。
【０１８９】
次に判定部５では、初めて出現した事象か否かを判断する。初めて出現した事象ではない場合、規定回数判定が行われる。規定回数判定は、まず判定対象事象かが判断される。判定対象の事象かの判断は、解析定義情報４６１の定義の比較キーなどが合致しているか否かで判断する。図４６では、「比較帯」＝「全日」、比較キー値が、「資源＝ＦＩＬＥＡ、ジョブ＝ＭＰＲＯ」となっているので、図４７の累積情報展開テーブル（資源／ジョブ）４７２のレコード（ａ）は、判定対象となる。
【０１９０】
次に、各日（全項目）の値が規定回数を超えていないか判断される。図４６の解析定義情報４６１では規定回数が２回と定義されており、レコード（ａ）は２日の項目値は５回で、規定回数を超えている。これにより異常と判断して、情報種「今回」のレポート項目に、規定回数を超えた事象であることを示す、値２を書き込む。
【０１９１】
次にレポート部６が累積情報展開テーブル（資源／ジョブ）４７２の各レコードのレポート項目に０以外の値が書き込まれている場合に、レポートを出力し、システム管理者等に提示する。図４７の累積情報展開テーブル（資源／ジョブ）４７２の（ａ）のレコードには、規定回数を超えた事象であることを示す値２が格納されている。これにより規定回数を超えた事象である旨の情報が生成されて、レポート出力される。システム管理者は、情報処理装置の画面等で異常操作であるか否かの判断を行い、ＮＧ指定の入力を行う。ＮＧ指定されたものについては、レポート部６により、累積情報展開テーブル（利用者／資源／ジョブ）４７２の該当レコードのＮＧ項目に値１が書き込まれる。
【０１９２】
実施形態３の処理フローを図４８に示す。尚、このフロー図は特に図４７の操作等が行われた場合に注目して示したものであり、このフロー図に描かれない詳しい部分は実施形態１のフローを参照することとする。
【０１９３】
まず、図４８において、Ｓ４８１で、定義部１が解析定義情報４６１を作成する。図４６に示したように、「比較帯」が「全日」、「比較キー値」が「資源＝ＦＩＬＥＡ，ジョブ＝ＭＰＲＯ」、「規定回数」が「２」の解析定義情報４６１が作成される。
【０１９４】
次にＳ４８２で、情報展開部２が情報展開テーブル４７１を作成する。詳しくは実施形態１の情報展開部２のフローの通りである。
次に、Ｓ４８３で、準備部４が累積情報展開テーブル４７２に、情報種項目が「今回」のレコードを追加する。ここで、レコード（ａ）「ＦＩＬＥＡ＋ＭＰＲＯ＋４０＋１＋・・・・＋１」が追加される。詳しくは実施形態１の準備部４のフローの通りである。
【０１９５】
次に、判定部５がＳ４８４〜Ｓ４９１の処理を行う。
Ｓ４８４でインデックスｉを１に初期化する。次に、Ｓ４８５で累積情報展開テーブル４７２に情報展開テーブル４７１から追加されたｉ番目のレコードを取り出す。ここでレコード（ａ）は取り出される。次に、Ｓ４８６で初めて出現した事象か否かを判断される。つまり、対応する情報種「累積」のレコードの回数項目の値が０となっているものを初めて出現したと判断する。レコード（ａ）はこの条件には合致せず、Ｎｏと判断される、Ｓ４８７に進むことになる。Ｓ４８６で初めて出現した事象であると判断された場合は、実施形態１の判定部５のフローに示したようにＳ３４０５の処理に進む。
【０１９６】
次に、Ｓ４８７で、規定回数判定の対象か否かが判断される。ここでＮｏと判断された場合には、実施形態１の判定部５のフローに示したようにＳ３４０９の処理により規定比率との比較など他の不正検出処理を行う。Ｓ４８７でＹｅｓと判断された場合、Ｓ４８８に進む。Ｓ４８８では、規定回数の判定が行われる。Ｓ４８８では、レコードの全項目の値が、規定回数を超えていないかを判断する。図４７では、レコード（ａ）の２月２日の項目の値５は規定回数２を超えている。そこで、Ｓ４８９に進む。Ｓ４８９ではレコードのレポート項目に、事象の発生回数が規定回数を超えていることを示す値２を書き込む。
【０１９７】
次に、Ｓ４９０で、累積情報展開テーブル４７２に解析対象展開テーブル４７１から追加されたレコードがまだあるか否かを判断して、ある（Ｙｅｓ）の場合にはＳ４９１に進む。ない（Ｎｏ）場合にはＳ４９２に進む。Ｓ４９１では、インデックスｉをインクリメントしてＳ４８５に戻る。
【０１９８】
Ｓ４９０の後、レポート部６での処理が行われる。Ｓ４９２で、累積情報展開テーブル４７２から、各レコードのレポート項目の値が０以外のレコードを取り出し、レポート項目の値に応じたレポートを出力する。
【０１９９】
次にＳ４９３で、システム管理者は出力されたレポートから問題ある事象でないか判断して、問題ある事象に対してＮＧ入力する。そしてＳ４９４でレポート部６は、ＮＧ入力指定されたものに対して、累積情報展開テーブル４７２の情報種「今回」のレコードのＮＧ項目に値１を書き込む。
【０２００】
以上のように実施形態３について説明した。本実施形態によれば、事象の発生回数が規定回数を超える場合、不正と検知することができる。
実施形態４
次に実施形態４について説明する。実施形態４は、操作等の回数について、一日における規定比率により不正等を検知する場合について説明するものである。
【０２０１】
図４９に、実施形態４におけるシステム操作／動作の仮定を示す。
データベース資源＝ＦＩＬＥＡは、業務プログラム（ＪＯＢＡ）で処理される。この処理は全日、一定回数の±３０％の範囲内で実行される。しかし、２月２日の火曜日に利用者Ｂさんが業務プログラム（ＪＯＢＡ）で通常の倍の操作を行った。この利用者Ｂが行った操作について規定比率よりも多いため、これを不正操作と検知する。
【０２０２】
図５０に、規定比率により不正を検知する場合の解析定義情報５０１の一例を示す。
「比較キー」は「利用者、資源、ジョブ」となっている。また、「比較帯」を全曜日比較する意味の「全曜日」としている。また、比較キー値を「資源＝ＦＩＬＥＡ、ジョブ＝ＪＯＢＡ」、規定比率を１００％の±３０％の範囲を示す「７０〜１３０％」とした。
【０２０３】
図４９に示したようなシステム操作／動作が行われた場合の、本実施形態における証跡ログ解析システムの処理の概要を図５１に示す。
まず、情報展開部２が解析対象証跡ログ５１０から情報展開テーブルを作成する。情報展開テーブルは、利用者、資源、ジョブの組合せ全てについて作成されるが、図５１では情報展開テーブル（利用者／資源／ジョブ）５１１についてのみを示している。このとき、次のレコード（ａ）（ｂ）が作成される。
（ａ）「Ａ＋ＦＩＬＥＡ＋ＪＯＢＡ＋３５＋５＋・・・＋１」
（ｂ）「Ｂ＋ＦＩＬＥＡ＋ＪＯＢＡ＋３９＋５＋・・・・１」
この作成されたレコード（ａ）については、すべての項目の値が５となっており、一定回数５回に対して規定比率範囲の±３０％以内に入っているため、不正とは検知されない。尚、「一定回数」について後で説明する。またレコード（ｂ）についても、火曜日以外の項目値は、一定回数５回に対して規定比率囲の±３０％以内に入っているため、不正とは検知されない。しかし火曜日の項目値については１０回となっており、一定回数５回に対する比率は２００％となり、規定比率範囲外となるため不正と検知される。
【０２０４】
上記のように作成された情報展開テーブル５１１の各レコードは、準備部４によって、累積情報展開テーブル（利用者／資源／ジョブ）５１２に追加される。
判定部５ではまず初めて出現した事象か否かを判断する。初めて出現した事象ではない場合、規定比率判定が行われる。規定比率判定は、まず判定対象事象か否かが判断される。判定対象の事象か否かの判断は、解析定義情報５０１の定義の比較キーなどが合致しているか否かで判断する。図５０では、「比較帯」＝「全曜日」、比較キー値が、「資源＝ＦＩＬＥＡ、ジョブ＝ＪＯＢＡ」となっている。このため、図５１の累積情報展開テーブル（利用者／資源／ジョブ）に示した全てのレコードが判定対象となる。
【０２０５】
次に、判定部５は、情報種項目が「今回」のレコードの各曜日の項目の値が規定比率の範囲か否かを判断する。判定は次のように行う。まず、情報種項目が「累積」のレコードの各曜日の項目値を、各曜日のＵＰカウンタの値で割り、一定回数を求める。図５１のレコード（ｂ）を例に説明する。レコード（ｂ）に対応する、情報種「累積」のレコードの火曜日の項目値は５０であり、ＵＰカウンタの値は１０である。これにより、一定回数は５０／１０により”５”と求められる。この一定回数５に対して、情報種「今回」のレコードの項目値が規定比率の範囲内にあるか否かにより不正を判定する。レコード（ｂ）の火曜日の項目値は”１０”となっており、一定回数５に対して２倍、すなわち２００％となるため規定範囲を超えたと判定される。判定部５はこのように不正と判定された事象についてレポート項目に、規定比率の範囲を超えた操作等が行われたことを示す、値３を書き込む。
【０２０６】
次に、レポート部６が累積情報展開テーブル（利用者／資源／ジョブ）５１２の各レコードのレポート項目に０以外の値が書き込まれている場合にレポート出力し、システム管理者等に提示する。図５１のレコード（ｂ）には、規定比率を超えた事象であることを示す値３が格納されている。これにより規定比率を超えた事象である旨の情報が生成されて、レポート出力される。システム管理者は、情報処理装置の画面等で異常操作であるか否かの判断を行い、ＮＧ指定の入力を行う。ＮＧ指定されたものについては、レポート部６により、累積情報展開テーブル（利用者／資源／ジョブ）５１２の該当レコードのＮＧ項目に値１が書き込まれる。
【０２０７】
実施形態４の処理フローを図５２に示す。尚、このフロー図は特に図４９の操作等が行われた場合に注目して示したものであり、このフロー図に描かれない詳しい部分は実施形態１のフローを参照することとする。
【０２０８】
まず、図５２おいて、Ｓ５２１で、定義部１が解析定義情報５０１を作成する。図５０に示したように、「比較帯」が「全曜日」、「比較キー値」が「資源＝ＦＩＬＥＡ，ジョブ＝ＪＯＢＡ」、「規定比率」が「７０％〜１３０％」の解析定義情報５０１が作成される。
【０２０９】
次に、Ｓ５２２で情報展開部２が情報展開テーブル５１１を作成する。詳しくは実施形態１の情報展開部２のフローの通りである。
次に、Ｓ５２３で、準備部４が累積情報展開テーブル１１に、情報種項目が「今回」のレコードを追加する。詳しくは実施形態１の情報展開部２のフローの通りである。
【０２１０】
次に、判定部５がＳ５２４〜Ｓ５３１の処理を行う。
Ｓ５２４でインデックスｉを１に初期化する。次に、Ｓ５２５で累積情報展開テーブル５１２に情報展開テーブル５１１から追加されたｉ番目のレコードを取り出す。ここでレコード（ａ）、（ｂ）は取り出される。次に、Ｓ５２６で初めて出現した事象か否かを判断される。つまり、対応する情報種「累積」のレコードの回数項目の値が０となっているものを初めて出現したと判断する。レコード（ａ）、（ｂ）はこの条件には合致せず、Ｎｏと判断される、Ｓ５２７に進むことになる。Ｓ５２６で初めて出現した事象であると判断された場合は、実施形態１の判定部５のフローに示したようにＳ３４０５の処理に進む。
【０２１１】
次にＳ５２７で規定比率判定の対象か否かが判断される。ここでＮｏと判断された場合には、実施形態１の判定部５のフローに示したようにＳ３４０９の処理により規定回数との比較などの他の不正検出処理を行う。Ｓ５２７でＹｅｓと判断された場合、Ｓ５２８に進む。Ｓ５２８では規定比率の判定が行われる。規定比率の判定については、上述したように、一定回数を基準とする情報種「今回」のレコードの各項目値の割合を求め、規定比率と比較することで行われる。つまり、レコード（ｂ）では火曜日の項目値は１０であり、これを一定回数５を基準とする割合を求めると２００％となる。この２００％は規定比率７０％〜１３０％の範囲内にはない。Ｓ５２９に進み、レポート部６はレコードのレポート項目に、規定比率の範囲を超えていることを示す値３を書き込む。
【０２１２】
次に、Ｓ５３０で、累積情報展開テーブル５１２に解析対象展開テーブル５１１から追加されたレコードがまだあるか否かを判断して、ある（Ｙｅｓ）の場合にはＳ５３１に進む。ない（Ｎｏ）場合にはＳ５３２に進む。Ｓ５３１では、インデックスｉをインクリメントしてＳ５２５に戻る。
【０２１３】
Ｓ５３０の後、レポート部６での処理が行われる。Ｓ５３２で、累積情報展開テーブル５１２から各レコードのレポート項目の値が０以外のレコードを取り出し、レポート項目に応じたレポートを出力する。
【０２１４】
次にＳ５３３で、システム管理者は出力されたレポートから問題ある事象でないか判断して、問題ある事象に対してＮＧ入力する。そしてＳ５３４でレポート部６は、ＮＧ入力指定されたものに対して、累積情報展開テーブル１１の情報種「今回」のレコードのＮＧ項目に値１を書き込む。
【０２１５】
以上のように実施形態４について説明した。本実施形態によれば、事象の発生比率が規定比率を超える場合、不正と検知することができる。
実施形態５
次に実施形態５について説明する。実施形態５は申請情報通りの操作か否かの判断により不正等を検知する場合について説明するものである。
【０２１６】
図５３に、実施形態５におけるシステム操作／動作の仮定を示す。
すなわち、発注データベースの資源＝ＦＩＬＥＡは、発注業務のプログラム（ＯＲＤＥＲＰＲＯ）のみから処理される。利用者ＴＡＮＡＫＡさんは、２月２日の日に直接ＥＤＩＴＦＩＬＥコマンドでＦＩＬＥＡを修正する必要があったので、過去に採取したこの操作の証跡ログ情報を元に、作業日時を２月２日１０時〜１２時と指定して事前に申請した。その後、２月２日に直接ＥＤＩＴＦＩＬＥコマンドでＦＩＬＥＡを修正する作業を行った。
【０２１７】
図５３に示したような場合の本実施形態における証跡ログ解析システムの処理の概要を図５４に示す。
まず、システム管理者が事前に申請された作業の承認を行う。すると、申請情報展開部３により事前に申請された情報を元に申請情報展開テーブル５４０が作成される。図５３では作成される申請情報展開テーブル（利用者／資源／ジョブ）５４０の一例を示している。つまり、比較キーの値が「ＴＡＮＡＫＡ＋ＦＩＬＥＡ＋ＥＤＴＦＩＬＥ 」であるレコードの日付が２日である項目に、申請された証跡ログ情報の回数の値、すなわち、１回を示す値１が書き込まれて作成される。
【０２１８】
次に２月２日に採取された解析対象証跡ログが解析される。まず、情報展開部２が解析対象証跡ログ５４１から情報展開テーブル５４２を作成する。このとき、図５４に示す情報展開テーブル５４２には、次のようなレコード（ａ）、（ｂ）、（ｃ）が作成される。（ａ）「ＹＡＭＡＭＯＴＯ＋ＦＩＬＥＡ＋ＯＲＤＥＲＰＲＯ＋１０＋２・・・・＋１」
（ｂ）「ＴＡＮＡＫＡ＋ＦＩＬＥＡ＋ＯＲＤＥＲＰＲＯＬ＋５＋１＋・・・・・・０」
（ｃ）「ＴＡＮＡＫＡ＋ＦＩＬＥＡＬ＋ＥＤＴＦＩＬＥ＋１＋０＋・・・・・・・０」
これらのレコードのうち、レコード（ａ）と（ｂ）は発注業務プログラム（ＯＲＤＥＲＰＲＯ）で操作された正常な操作に対応するレコードである。また、レコード（ｃ）は、利用者ＴＡＮＡＫＡさんが直接ＥＤＩＴＦＩＥＬコマンドでファイルを編集したログに対応しており、また、申請情報テーブルに同様な操作が設定されているレコードである。
【０２１９】
そして次に、作成された情報展開テーブル５４２は、準備部４により累積情報展開テーブル５４３に追加される。図５４の累積情報展開テーブル５４３にレコード（ａ）、（ｂ）、（ｃ）が追加されている。
【０２２０】
次に判定部５では、初めて出現した事象か否かを判断する。初めて出現した事象か否かは、情報種「今回」のレコードの回数項目値が０以外で、かつ、情報種「累積」のレコードの回数項目値が０であるものを、初めて行われた操作／動作であると判断する。図５４において、レコード（ｃ）は初めて出現した事象であると判断される。
【０２２１】
更に、判定部５は、初めて出現した事象であると判断されたレコードに対して、更に事前に申請された事象であるか否かの判断を行う。つまり、申請情報展開テーブル５４０に同じ比較キー値が存在するか否かを判断する。同じ比較キー値のレコードがある場合には、更にそのレコードの各項目の値と同じか否かを判断する。図５４において説明すると、申請情報展開テーブル５４０のレコードとレコード（ｃ）の比較キーおよび各項目値が同じであるため、レコード（ｃ）に対応する操作は予め申請された事象に対応する操作であると判断する。このようにレコード（ｃ）に対応する操作は、不正な操作等ではなく、正常な操作であると判断される。正常な操作と判断された場合には、判定部６は累積情報展開テーブル５４３の該当レコードのレポート項目には何も書き込まない。
【０２２２】
次にレポート部６が累積情報展開テーブル５４２の各レコードのレポート項目に０以外が書き込まれている場合に、レポートを出力し、システム管理者に提示する。図５４の累積情報展開テーブル５４３（ａ）、（ｂ）、（ｃ）のレコードのレポート項目には０以外の値が格納されていない。よって、システムは正常に動作している旨のレポートが表示される。
【０２２３】
実施形態５の処理フローを図５５に示す。尚、このフロー図は特に図５３の操作等が行われた場合に注目して示したものであり、このフロー図に描かれない詳しい部分は実施形態１のフローを参照することとする。
【０２２４】
まず、図５５には不図示であるが、申請情報展開部３が事前に申請された情報を申請情報展開テーブル１３に変換する処理が行われる。詳しくは実施形態１の申請情報展開部３のフローの通りである。その上で、図５５に示されるフローにより証跡ログ情報が解析される。
【０２２５】
まず、図５５においてＳ５５１で定義部１が不図示の解析定義情報を作成する。本実施形態は、初めて行われる操作／動作の検知と同様であるため、比較キーの設定のみしてあればよい。
【０２２６】
次にＳ５５２で、情報展開部２が解析対象証跡ログ５４２から情報展開テーブル５４２を作成する。詳しくは実施形態１の情報展開部２のフローの通りである。
次に、Ｓ５５３で、準備部４が累積情報展開テーブル５４３に、情報種項目が「今回」のレコードを追加する。ここでレコード（ａ）、（ｂ）、（ｃ）が追加される。詳しくは実施形態１の準備部４のフローの通りである。
【０２２７】
次に判定部５がＳ５５４〜Ｓ５６２の処理を行う。
Ｓ５５４でインデックスｉを１に初期化する。次にＳ５５５で、累積情報展開テーブル５４３に情報展開テーブル５４２から追加されたｉ番目のレコードを取り出す。ここで、レコード（ａ）、（ｂ）、（ｃ）はそれぞれ取り出される。次に、Ｓ５５６で初めて出現した事象か判断される。つまり、対応する情報種「累積」のレコードの回数項目の値が０となっているものを初めて出現したものと判断する。これにより、レコード（ｃ）は初めて出現した事象であると判断される。Ｓ５５６で初めて出現した事象ではないと判断されたものについては、実施形態１の判定部５のフローに示したように、Ｓ３４０９の処理に進む。
【０２２８】
次に、初めて出現した事象であると判断されたレコードについて、申請された事象であるか否かの判断を行う。すなわち、Ｓ５５７、Ｓ５５８、Ｓ５５９で、申請情報展開テーブル５４０に同じ比較キーが存在するか否か、同じ比較キー値のレコードがあるか、レコードの各項目の値と同じか否かを判断する。Ｓ５５７、Ｓ５５８、Ｓ５５９すべてＹＥＳの場合には、何もせずにＳ５６０に進む。Ｓ５５７、Ｓ５５８、Ｓ５５９のいずれかがＮＯの場合には、事前に申請された事象に対応する操作ではない、ということになるため、Ｓ５６１で情報種「今回」のレコードのレポート項目に値１を書き込む。
【０２２９】
Ｓ５５９またはＳ５６１の後、Ｓ５６０で、累積情報展開テーブルに５４３に解析対象展開テーブル５４２から追加されたレコードがまだあるか否かを判断して、ある（Ｙｅｓ）の場合にはＳ５６２に進む。ない（Ｎｏ）の場合にはＳ５６３に進む。Ｓ５６２では、インデックスｉを１イクンリメントしてＳ５５５に戻る。
【０２３０】
Ｓ５６０の処理の後、レポート部６での処理が行われる。Ｓ５６３で、レポート部６は累積情報展開テーブル５４３から、各レコードのレポート項目の値が０以外のレコードを取り出し、レポート項目の値に応じたレポートを出力する。
【０２３１】
次に、Ｓ５６４で、システム管理者は、出力されたレポートから問題ある事象でないか判断して、問題のある事象に対してＮＧを入力してする。そしてＳ５６５で、レポート部６はＮＧ入力指定されたものに対して、累積情報展開テーブル５４３の情報種「今回」のレコードのＮＧ項目に値１を書き込む。
【０２３２】
以上のように、実施形態５について説明した。本実施形態によれば初めて行われる操作／動作を検知することが可能である。
実施形態６
次に実施形態６について説明する。実施形態６は、システム動作の正当性を確認する場合について説明するものである。
【０２３３】
システムの操作／動作の仮定は次のようであるとする。すなわち、日々の業務内容は同じであり、システムに対する全ての操作や動作回数は全日一定の回数で行われ、通常３０％前後の変化の範囲内である。ある月に、通常行う「Ｂさんが業務プログラム（ＪＯＢＡ）で資源（ＦＩＬＥＡ）を処理する」という処理を行わなかった。
【０２３４】
図５６に本実施形態における解析定義情報５６１を示す。「比較帯」を全曜日比較する意味の“全曜日”を指定、全ての操作／動作を対象にするため「比較キー値」を“全キー”と指定し、「規定比率」を３０％前後の範囲を表す”７０％〜１３０％”とした。
【０２３５】
図５７に本実施形態における証跡ログ解析システムの処理の概要を示す。
まず、解析対象証跡ログから情報展開した情報展開テーブルにおいて、情報種「今回」のレコードが準備部４によって累積情報展開テーブル５７１に追加される。図５７では、レコード（ａ）が追加されている。
【０２３６】
レコード（ａ）：「Ａ＋ＦＩＥＬＡ＋ＪＯＢＡ＋今回＋３５＋・・・・」また、累積情報展開テーブル５７１の、情報種「累積」のレコードの各項目には、毎日操作または動作しているため、それぞれ回数を示す値が格納されている。また、このとき、Ｂさんが業務プログラムＪＯＢで資源ＦＩＬＥＡを処理するという処理を行っていないため、累積情報展開テーブル５７１にはレコード（ｂ）はとくに更新されない。（レコード（ｂ）：「Ｂ＋ＦＩＬＥＡ＋ＪＯＢＡ＋今回＋０・・・」）。
【０２３７】
判定部５で情報種「今回」のレコードの「初めての事象」に対する「規定回数」「規定比率」の不正判定が行われた後に、情報種「今回」のレコードの回数が値０のものに対して、正当性確認が行われる。この正当性の確認は、過去一定の操作や動作が行われているのに、今回は操作や動作がないものを検知することで行われる。
【０２３８】
この正当性の確認には、まず、解析定義情報５６１に累積情報展開テーブルの比較キー値に該当する規定比率指定があるか否かを判断する。本実施の形態では、比較キー値が“全キー”で、規定比率が設定されている。次に、判定部５は、情報種「今回」のレコードであって回数項目の値が０で、情報種「累積」のレコードであって回数項目の値が０以外のレコードを取り出す。このレコードの事象が、過去一定の操作や動作が行われているのに、今回は操作や動作がない事象である。図５７ではレコード（ｂ）（「Ｂ＋ＦＩＬＥＡ＋ＪＯＢＡ」）がこの条件に合致し、過去一定の操作や動作が行われているのに、今回は操作や動作がない事象であると判断される。これにより、該当のレコードのレポート項目に、事象の発生が規定比率の範囲を満たしていないことを示す、値４を書き込む。
【０２３９】
すると、次にレポート部６が、累積情報展開テーブル５７１の各レコードのレポート項目に０以外の値が書き込まれている場合に、レポートを出力し、システム管理者等に提示する。
【０２４０】
このように本実施形態によれば、システム管理者等は、通常行われている業務、操作等が行われていない場合にそれを検知することができ、システム動作の異常を確認することができる。つまり、通常行われている業務、操作がきちんと動作していることが確認できることと同意であり、システムの正当性を確認することができる。
【０２４１】
図５８に実施形態６のシステムフローを示す。尚、このフロー図は特に図４７の操作等が行われた場合に注目して示したものであり、このフロー図に描かれない詳しい部分は実施形態１のフローを参照することとする。
【０２４２】
まず、図５８においてＳ５８１で、定義部１が解析定義情報５６１を作成する。図５６６に示したように、「比較帯」が「全曜日」、「比較キー」が「全キー」、「規定比率」が「７０％〜１３０％」の解析定義情報５６１が作成される。
【０２４３】
次にＳ５８２で情報展開部２が情報展開テーブルを作成する。
次に、Ｓ５８３で、準備部４が累積情報展開テーブル５７１に、情報種項目が「今回」のレコードを追加する。詳しくは実施形態１の準備部４のフローの通りである。
【０２４４】
次に判定部５がＳ５８４〜Ｓ５８７の処理を行う。
Ｓ５８４で、累積情報展開テーブルの全レコードに対し、「初めて事象」「規定回数」「規定比率」による不正検出処理を行う。
【０２４５】
次に、Ｓ５８５で、解析定義情報５６１に累積情報展開テーブル５７１の比較キー値に該当する解析定義情報５６１があるか否かを判断する。ない場合には、レポート部６の処理へ進む。ある場合には、Ｓ５８６で累積情報展開テーブル５７１において、情報種「今回」のレコードの回数項目値が０であって、情報種「累積」のレコードの回数項目値が０でないレコードを取り出すという処理を行う。そして、Ｓ５８７で、取り出されたレコード（情報種は「今回」）のレポート項目に、事象の発生が規定比率を満たしていないことを示す、値４を書き込む。
【０２４６】
判定部５での処理の後、レポート部６の処理が行われる。レポート部６では、Ｓ５８８で累積情報展開テーブル５７１から各レコードのレポート項目の値が０以外のレコードを取り出し、レポート項目の値に応じたレポートを出力する。本実施形態の場合には、通常発生している事象が今回発生していない旨の情報表示がなされる。
【０２４７】
以上のように、実施形態６について説明した。本実施形態によれば、システム動作の正当性を確認することができる。
以上のように、実施形態２〜実施形態６を詳細に説明した。
【０２４８】
実施形態２によれば、初めて行われる操作／動作を不正として検知できる。また、実施形態３によれば、ある操作等について一日における規定回数により不正等を検知することができる。また実施形態４によれば、ある操作についての一日における規定比率により不正等を検知することができる。また実施形態５によれば予め申請された操作に合致するか否かにより不正等を検知することができる。また実施形態６によればシステム業務の正当性を判断することができる。
【０２４９】
以上のようにそれぞれの実施形態について詳細に示したが、本発明は上記実施の形態に記載したことに限定されないことはいうまでもない。例えば、上記実施形態では、情報展開テーブルと累積情報展開テーブルの比較処理の際、情報展開テーブルのレコードを累積情報展開テーブルに追加してから比較処理を行った。しかし、これは情報展開テーブルと累積情報展開テーブルを比較するための一手法に過ぎず、比較処理が可能であればどのような構成であっても構わない。また、情報展開テーブルや累積情報展開テーブルの構成についても上述した実施形態の構成に限定されず、解析対象証跡ログにおける事象の発生回数と累積した事象の発生回数とを比較できる情報があれば構わない。このように、本発明は、上記実施形態に記載したことに限定されず、本発明の趣旨を逸脱しない範囲において様々な変更が可能である。
【図１】
0005447668.tif 000002
【図２】
0005447668.tif 000003
【図３】
0005447668.tif 000004
【図４】
0005447668.tif 000005
【図５】
0005447668.tif 000006
【図６】
0005447668.tif 000007
【図７】
0005447668.tif 000008
【図８】
0005447668.tif 000009
【図９】
0005447668.tif 000010
【図１０】
0005447668.tif 000011
【図１１】
0005447668.tif 000012
【図１２】
0005447668.tif 000013
【図１３Ａ】
0005447668.tif 000014
【図１３Ｂ】
0005447668.tif 000015
【図１４】
0005447668.tif 000016
【図１５】
0005447668.tif 000017
【図１６】
0005447668.tif 000018
【図１７】
0005447668.tif 000019
【図１８】
0005447668.tif 000020
【図１９】
0005447668.tif 000021
【図２０】
0005447668.tif 000022
【図２１】
0005447668.tif 000023
【図２２】
0005447668.tif 000024
【図２３Ａ】
0005447668.tif 000025
【図２３Ｂ】
0005447668.tif 000026
【図２４】
0005447668.tif 000027
【図２５】
0005447668.tif 000028
【図２６】
0005447668.tif 000029
【図２７】
0005447668.tif 000030
【図２８】
0005447668.tif 000031
【図２９】
0005447668.tif 000032
【図３０】
0005447668.tif 000033
【図３１Ａ】
0005447668.tif 000034
【図３１Ｂ】
0005447668.tif 000035
【図３２】
0005447668.tif 000036
【図３３】
0005447668.tif 000037
【図３４Ａ】
0005447668.tif 000038
【図３４Ｂ】
0005447668.tif 000039
【図３４Ｃ】
0005447668.tif 000040
【図３５】
0005447668.tif 000041
【図３６】
0005447668.tif 000042
【図３７】
0005447668.tif 000043
【図３８】
0005447668.tif 000044
【図３９Ａ】
0005447668.tif 000045
【図３９Ｂ】
0005447668.tif 000046
【図３９Ｃ】
0005447668.tif 000047
【図４０】
0005447668.tif 000048
【図４１】
0005447668.tif 000049
【図４２】
0005447668.tif 000050
【図４３Ａ】
0005447668.tif 000051
【図４３Ｂ】
0005447668.tif 000052
【図４４】
0005447668.tif 000053
【図４５】
0005447668.tif 000054
【図４６】
0005447668.tif 000055
【図４７Ａ】
0005447668.tif 000056
【図４７Ｂ】
0005447668.tif 000057
【図４８】
0005447668.tif 000058
【図４９】
0005447668.tif 000059
【図５０】
0005447668.tif 000060
【図５１Ａ】
0005447668.tif 000061
【図５１Ｂ】
0005447668.tif 000062
【図５２】
0005447668.tif 000063
【図５３】
0005447668.tif 000064
【図５４Ａ】
0005447668.tif 000065
【図５４Ｂ】
0005447668.tif 000066
【図５５】
0005447668.tif 000067
【図５６】
0005447668.tif 000068
【図５７】
0005447668.tif 000069
【図５８】
0005447668.tif 000070