(57)【要約】  通知されたイベントの異常を、確認者が把握することを支援する技術を提供する。支援装置は、複数の要素間のイベントのうち、異常イベントとして検出されたイベントに関連する要素に対し、該要素に関連する異常イベントとは異なるイベントを関連イベントとして取得する取得部と、異常イベントと関連イベントとに基づいて、要素を頂点とし要素間の関係を辺とし、異常イベントと関連イベントとの夫々を表し、且つ、関連イベントが異常イベントとは異なる様態で表示画面に表示される関係グラフを生成する生成部と、を備える。
2017094820.tif 000002
【特許請求の範囲】
【請求項１】
複数の要素間のイベントのうち、異常イベントとして検出されたイベントに関連する要素に対し、該要素に関連する前記異常イベントとは異なるイベントを関連イベントとして取得する取得手段と、
前記異常イベントと前記関連イベントとに基づいて、前記要素を頂点とし前記要素間の関係を辺とし、前記異常イベントと前記関連イベントとの夫々を表し、且つ、前記関連イベントが前記異常イベントとは異なる様態で表示画面に表示される関係グラフを生成する生成手段と、を備える支援装置。
【請求項２】
表示条件の入力を受け付ける受付手段を更に備え、
前記取得手段は、前記表示条件に応じた異常イベントに関連する要素に対し、該要素に関連する前記関連イベントを取得する、請求項１に記載の支援装置。
【請求項３】
表示条件の入力を受け付ける受付手段を更に備え、
前記生成手段は、前記表示条件に応じた前記異常イベントおよび前記関連イベントを表す前記関係グラフを生成する、請求項１に記載の支援装置。
【請求項４】
前記取得手段は、前記異常イベントに関連する要素から、所定のホップ数内で関連する要素までに含まれる要素に対し、該要素に関連するイベントを前記関連イベントとして取得する、請求項１から３の何れか１項に記載の支援装置。
【請求項５】
前記取得手段は、前記異常イベントに関連する複数の要素の少なくとも一つの要素に関連する、全てのイベントを前記関連イベントとして取得する、請求項１から４の何れか１項に記載の支援装置。
【請求項６】
前記取得手段は、前記異常イベントに関連する複数の要素の少なくとも一つの要素に関連するイベントのうち、イベントの発生時刻が新しい所定数のイベント、または、過去のある期間において発生したイベントのうち発生数が多い順に所定数分のイベントを、前記関連イベントとして取得する、請求項１から４の何れか１項に記載の支援装置。
【請求項７】
前記取得手段は、前記異常イベントの要素に関連する関連要素に対し、該関連要素に関連するイベントを前記関連イベントとして取得する、請求項１から６の何れか１項に記載の支援装置。
【請求項８】
前記異常イベントを検出する検出手段を更に備えることを特徴とする請求項１から７の何れか１項に記載の支援装置。
【請求項９】
前記表示画面を含み、前記関係グラフを該表示画面に表示させる表示手段を更に備えることを特徴とする請求項１から８の何れか１項に記載の支援装置。
【請求項１０】
複数の要素間のイベントのうち、異常イベントとして検出されたイベントに関連する要素に対し、該要素に関連する前記異常イベントとは異なるイベントを関連イベントとして取得し、
前記異常イベントと前記関連イベントとに基づいて、前記要素を頂点とし前記要素間の関係を辺とし、前記異常イベントと前記関連イベントとの夫々を表し、且つ、前記関連イベントが前記異常イベントとは異なる様態で表示画面に表示される関係グラフを生成する、支援方法。
【請求項１１】
表示条件の入力を受け付け、
前記関連イベントを取得する際、前記表示条件に応じた異常イベントに関連する要素に対し、該要素に関連する前記関連イベントを取得する、請求項１０に記載の支援方法。
【請求項１２】
表示条件の入力を受け付け、
前記表示条件に応じた前記異常イベントおよび前記関連イベントを表す前記関係グラフを生成する、請求項１０に記載の支援方法。
【請求項１３】
複数の要素間のイベントのうち、異常イベントとして検出されたイベントに関連する要素に対し、該要素に関連する前記異常イベントとは異なるイベントを関連イベントとして取得する処理と、
前記異常イベントと前記関連イベントとに基づいて、前記要素を頂点とし前記要素間の関係を辺とし、前記異常イベントと前記関連イベントとの夫々を表し、且つ、前記関連イベントが前記異常イベントとは異なる様態で表示画面に表示される関係グラフを生成する処理とを、コンピュータに実行させるプログラムを記録する、コンピュータ読み取り可能な非一時的な記録媒体。
【請求項１４】
表示条件の入力を受け付ける処理を、更にコンピュータに実行させ、
前記取得する処理は、前記表示条件に応じた異常イベントに関連する要素に対し、該要素に関連する前記関連イベントを取得する、プログラムを記録する、請求項１３に記載の記録媒体。
【請求項１５】
表示条件の入力を受け付ける処理を、更にコンピュータに実行させ、
前記生成する処理は、前記表示条件に応じた前記異常イベントおよび前記関連イベントを表す前記関係グラフを生成する、プログラムを記録する請求項１３に記載の記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、支援装置、支援方法および記録媒体に関する。
【背景技術】
【０００２】
システムを監視して、異常を検出する技術が開示されている。例えば、特許文献１には、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）より出力されたログの中から、普段と異なるログを抽出して、その異常度を評価する装置が開示されている。【０００３】
また、特許文献２には、障害発生履歴と発生した障害に対する障害原因解析の履歴を利用して、障害検出のためのルールの作成を自動化する方法が記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１４−３１８５５２号公報
【特許文献２】国際公開第２０１３／１４０６０８号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
検出された異常は、システムの管理者に通知される。そして、通知を受けた管理者が必要な対策を行うことが一般的である。【０００６】
しかしながら、異常検出が高度なアルゴリズムによって行われるようになると、異常であると通知されたイベントが、なぜ異常であるかを管理者が解読するのは困難になってくる。【０００７】
特許文献１および２に記載の技術では、異常であることを通知するに留まっている。つまり、特許文献１および２には、異常であると通知されたイベントに対して、管理者が該異常を把握することについては開示されていない。したがって、特許文献１および２に記載の技術では、異常であると通知されたイベントが、どのような異常であるかを管理者に把握させることができない。【０００８】
本開示は、上記課題に鑑みてなされたものであり、その目的は、通知されたイベントの異常を、確認者（例えば、監視対象システムを管理する管理者）が把握することを支援する技術を提供することにある。
【課題を解決するための手段】
【０００９】
本開示の一態様に係る支援装置は、複数の要素間のイベントのうち、異常イベントとして検出されたイベントに関連する要素に対し、該要素に関連する前記異常イベントとは異なるイベントを関連イベントとして取得する取得手段と、前記異常イベントと前記関連イベントとに基づいて、前記要素を頂点とし前記要素間の関係を辺とし、前記異常イベントと前記関連イベントとの夫々を表し、且つ、前記関連イベントが前記異常イベントとは異なる様態で表示画面に表示される関係グラフを生成する生成手段と、を備える。【００１０】
本開示の一態様に係る支援方法は、複数の要素間のイベントのうち、異常イベントとして検出されたイベントに関連する要素に対し、該要素に関連する前記異常イベントとは異なるイベントを関連イベントとして取得し、前記異常イベントと前記関連イベントとに基づいて、前記要素を頂点とし前記要素間の関係を辺とし、前記異常イベントと前記関連イベントとの夫々を表し、且つ、前記関連イベントが前記異常イベントとは異なる様態で表示画面に表示される関係グラフを生成する。【００１１】
なお、上記各装置または方法を、コンピュータによって実現するコンピュータプログラム、およびそのコンピュータプログラムが格納されている、コンピュータ読み取り可能な非一時的記録媒体も、本開示の範疇に含まれる。
【発明の効果】
【００１２】
本開示によれば、通知されたイベントの異常を、確認者が把握することを支援することができる。
【図面の簡単な説明】
【００１３】
【図１】本開示の第１の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図２】本開示の第２の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図３】本開示の第２の実施の形態に係る支援装置の生成部が生成する異常イベントの関係グラフの一例を示す図である。
【図４】本開示の第２の実施の形態に係る支援装置の生成部が生成する異常イベントの周辺情報の関係グラフの一例を示す図である。
【図５】本開示の第２の実施の形態において、表示装置が表示する関係グラフの一例を示す図である。
【図６】本開示の第２の実施の形態に係る支援装置および表示装置の処理の流れの一例を示す図である。
【図７】本開示の第３の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図８】本開示の第３の実施の形態に係る支援装置および表示装置の処理の流れの一例を示すフローチャートである。
【図９】本開示の第４の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図１０】本開示の第４の実施の形態に係る支援装置および表示装置の処理の流れの一例を示すフローチャートである。
【図１１】本開示の第４の実施の形態において、表示装置が表示する関係グラフの一例を示す図である。
【図１２】本開示の第４の実施の形態において、表示装置が表示する関係グラフの他の例を示す図である。
【図１３】本開示の各実施の形態を実現可能なコンピュータ（情報処理装置）のハードウェア構成を例示的に説明する図である。
【発明を実施するための形態】
【００１４】
＜第１の実施の形態＞
本開示の第１の実施の形態について、図面を参照して詳細に説明する。図１は、本開示の第１の実施の形態に係る支援装置１０の機能構成の一例を示す機能ブロック図である。なお、図１に示す支援装置１０は、本開示に特有な構成について示したものであり、図１に示す支援装置１０が図１に示されていないブロックを有していてもよいことは言うまでもない。
【００１５】
図１に示す通り、本実施の形態に係る支援装置１０は、取得部１１と、生成部１２とを備える。取得部１１は、異常イベントを示す異常イベント情報を受信する。この異常イベントは、監視対象システムを監視した結果であるログから検出された、異常の可能性が高いイベントである。ログには、要素間のイベントを示す情報が含まれる。このログは、図示しない記憶部に格納される。
【００１６】
取得部１１は、異常イベントに関連する要素を特定し、該要素に関連する異常イベント以外のイベントの情報を、ログから取得する。取得部１１は、例えば、異常イベントに関連する要素の少なくとも１つが関連する、異常イベント以外のイベントの情報をログから取得する。
【００１７】
そして、取得部１１は、取得したイベントの情報（関連イベント情報）を、異常イベント情報と共に生成部１２に供給する。
【００１８】
生成部１２は、取得部１１から異常イベント情報と関連イベント情報とを受信する。生成部１２は、異常イベント情報によって示される異常イベントと、関連イベント情報によって示される関連イベントとを表す関係グラフを生成する。この関係グラフは、要素を頂点とし要素間の関係を辺とするグラフである。生成部１２は、関連イベントが、異常イベントとは異なる様態で表示画面に表示されるような関係グラフを生成する。
【００１９】
これにより、例えば、図示しない表示装置の表示画面に表示させる関係グラフは、検出された異常イベントと該異常イベントに関連する関連イベントとを表す。関連イベントは、異常イベント以外のイベントであるため、正常と判断される正常イベントである。
【００２０】
したがって、この表示画面を確認する確認者（例えば、監視対象システムの管理者）は、異常イベントと正常イベントとを同時に確認することができる。これにより、この確認者は、発生した異常イベントと正常イベントとを比較することができる。よって、この確認者は、異常イベントが異常であることを、容易に把握することができる。これにより、確認者は、異常イベントが示す異常が、対応が必要かどうかを、判断することができる。
【００２１】
以上のように、本実施の形態に係る支援装置１０は、通知されたイベントの異常を、確認者が把握することを支援することができる。
【００２２】
＜第２の実施の形態＞
次に、上述した第１の実施の形態を基本とする第２の実施の形態について説明する。まず、本実施の形態に係る支援装置１００の構成について説明する。図２は、本実施の形態に係る支援装置１００の機能構成の一例を示す図である。図２に示す通り、本実施の形態に係る支援装置１００は、取得部１１０と、生成部１２０と、記憶部１３０と、検出部１４０とを含む。
【００２３】
取得部１１０および生成部１２０は、夫々、上述した第１の実施の形態における取得部１１および生成部１２に相当する。つまり、図２において、破線の枠で囲った部分は、上述した第１の実施の形態における支援装置１０に相当する。
【００２４】
また、図２に示す通り、支援装置１００は、表示装置２００と接続している。なお、本実施の形態では、支援装置１００が表示装置２００とは別個の構成であることを例に説明を行うが、支援装置１００は、表示装置２００を表示部として内部に設ける構成であってもよい。
【００２５】
記憶部１３０には、図示しない監視対象システムを監視した結果（ログ）が、格納されている。図２では、記憶部１３０が支援装置１００内に内蔵されることを例に説明を行うが、記憶部１３０は、支援装置１００とは別個の記憶装置にて実現されるものであってもよい。
【００２６】
この監視対象システムは、ネットワークで接続された複数のホスト（ノード）を含む。ログには、監視対象システム上において監視された複数の要素間のイベントを検出した結果（イベントを示す情報）が含まれる。要素は、ホスト、プロセス、ファイル、アカウントの何れであってもよい。要素間のイベントとは、例えば、２つの要素がホストである場合は、データが伝達されたこと、である。また、要素間のイベントとは、例えば、要素の一方がプロセスであり他方がファイルである場合、上記プロセスが上記ファイルにアクセスしたこと、である。また、要素間のイベントとは、例えば、要素の一方がアカウントであり他方がプロセスの場合は、上記アカウントが上記プロセスを実行したこと、である。なお、要素間のイベントは、これに限定されるものではない。
【００２７】
なお、本実施の形態では、１つのイベントが２つの要素間におけるイベントであるとして説明を行うが、１つのイベントは複数の要素間で発生するイベントであってもよい。
【００２８】
検出部１４０は、記憶部１３０に格納されたログから、異常の可能性が高いイベントを検出する。検出部１４０は検出した結果（異常イベント）を示す情報（異常イベント情報）を、取得部１１０に供給する。この異常イベント情報は、ログに含まれる、イベントを示す情報そのものであってもよい。また、異常イベント情報は、少なくとも、検出した異常イベントを識別する識別子（イベントＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）と呼ぶ）と、該異常イベントに関連する要素を識別する情報（要素情報）と、を含むものであってもよい。また、異常イベント情報は、その他の情報を含んでもよい。例えば、異常イベント情報は、異常イベントが発生した時刻を表す情報を含んでいてもよい。以下、異常イベントに関連する要素を異常イベントの要素とも呼ぶ。
【００２９】
以下、検出部１４０が検出する、異常の可能性が高いイベントの一例を示す。なお、検出部１４０が検出するイベントは以下に限定されるものではない。
（ａ）要素の一方がプロセスであり、他方がファイルである場合、上記プロセスが通常はアクセスしないファイルにアクセスした、というイベント、
（ｂ）要素の一方がプロセスであり、他方がホストの場合、上記プロセスが上記ホストに初めて通信を行った、というイベント、
（ｃ）要素の両方がホストの場合、上記ホスト間の通信が初めて行われた、というイベント、
（ｄ）要素の両方がプロセスの場合、一方のプロセスが、通常は起動しないプロセスを起動した、というイベント、
（ｅ）要素の一方がアカウントであり、他方がプロセスの場合、アカウントが初めて上記プロセスを起動した、というイベント。
【００３０】
取得部１１０は、検出部１４０から異常イベント情報を受信する。取得部１１０は、受信した異常イベント情報に含まれる要素情報によって特定される要素に関連するイベントに関する情報（関連イベント情報）を、記憶部１３０に格納されたログから取得する。なお、関連イベント情報によって示されるイベント（関連イベント）は、異常イベントの要素に関する、イベントである。また、関連イベントは、異常イベント情報によって示される異常イベント以外のイベントである。つまり、関連イベントは、ログに含まれるイベントのうち、異常イベントとして検出されていないイベントであり、且つ、ある異常イベントに関連するイベントであるため、正常イベント、または、通常イベントとも呼ぶ。以下では、関連イベントを示す関連イベント情報を、異常イベントの周辺情報とも呼ぶ。
【００３１】
取得部１１０は、関連イベント情報と異常イベント情報とを関連付けて生成部１２０に供給する。この関連イベント情報は、異常イベント情報と同様に、ログから取得したイベントを示す情報そのものであってもよいし、例えば、イベントＩＤ、およびイベントＩＤに関連する要素情報を少なくとも含む情報であってもよい。
【００３２】
なお、取得部１１０は、ログから関連イベント情報を取得する際、ある要素に関連する要素を、例えば、記憶部１３０などに格納していてもよい。そして、取得部１１０は、この格納した情報を定期的に更新してもよい。例えば、取得部１１０は、ログから抽出した、あるプロセスがアクセスするファイルの一覧を、記憶部１３０に格納してもよい。
【００３３】
また、取得部１１０は、異常イベントの周辺情報を取得する場合、例えば、記憶部１３０などに格納された、異常イベントの種類および異常イベントに関連する要素を示す情報を用いてもよい。これにより、支援装置１００は、関連イベントの取得に掛かる時間を削減することができる。
【００３４】
また、取得部１１０は、異常イベントのうち、図示しない入力装置を介して、管理者等が指定した異常イベントを示す情報を受け付け、該異常イベントの周辺情報を取得する構成であってもよい。
【００３５】
生成部１２０は、関連イベント情報と、異常イベント情報とを受信する。そして、生成部１２０は、関連イベント情報と異常イベント情報とに基づいて、関連イベント情報と異常イベント情報とに含まれる、要素情報が示す要素の間の関係を表す関係グラフを生成する。関係グラフは、要素を頂点（節点とも呼ぶ）とし、要素間を結ぶ線を辺（リンク、エッジまたは枝とも呼ぶ）として含む。
【００３６】
具体的には、生成部１２０は、異常イベント情報に基づいて、異常イベントの関係グラフを生成する。生成部１２０が生成する異常イベントの関係グラフを、表示画面に表示した場合の一例を図３に示す。なお、本例では、図３に示す通り、２つの要素（要素Ａおよび要素Ｂ）はどちらもプロセスであるとし、要素Ａをｐｒｏｃｅｓｓ１とし、要素Ｂをｐｒｏｃｅｓｓ２とする。本実施の形態では、生成部１２０は、異常イベントに関連する２つの要素を、円で表し、これらの要素を図３に示すような円状の領域の外縁上に配置し、要素間を実線でつないだ関係グラフを生成する。また、生成部１２０は、要素名や要素の内容を、要素のラベルとして要素と共に関係グラフ上に表示させてもよい。例えば、要素Ａの要素名が「Ａ」の場合、生成部１２０は、この「Ａ」をラベルとして表示してもよい。なお、要素の形状、領域の形状、要素の配置位置、要素間を結ぶ線の形状は、図３に示すものに限定されるものではなく、要素と、要素間の関係とが表現できるものであればよい。なお、本実施の形態では、実線で示す関係グラフを異常イベントであるとして説明を行う。
【００３７】
次に、生成部１２０は、関連イベント情報（異常イベントの周辺情報）に基づいて、関連イベントの関係グラフを生成する。このとき、生成部１２０は、異常イベントの関係グラフの上に重畳して、関連イベントの関係グラフを生成してもよい。しかしながら、本実施の形態では、説明の便宜上、関連イベントの関係グラフを、異常イベントの関係グラフとは別に生成することを例に説明を行う。
【００３８】
生成部１２０が生成する関連イベントの関係グラフを、表示画面に表示した場合の一例を図４に示す。関連イベントは、上述したとおり、異常イベントの要素に関するイベントである。図３と同様の例を用いて説明すると、関連イベントは、要素Ａに関連する、異常イベント以外のイベントと、要素Ｂに関連する、異常イベント以外のイベントとを含む。例えば、取得部１１０が、以下の（１）〜（４）のイベントを関連イベントとし、これらを示す情報を取得しているとする。
（１）要素Ａは要素Ａ−１にアクセスした、
（２）要素Ａは要素Ａ−２にアクセスした、
（３）要素Ｂは要素Ｂ−１にアクセスした、
（４）要素Ｂは要素Ｂ−２にアクセスした。
上記（１）から（４）の関連イベントは、異常イベントとして検出されていないイベントであるため、正常イベント、または、通常イベントといえる。
【００３９】
そして、生成部１２０は、図４に示すような関係グラフを生成する。このとき、生成部１２０は、上記（１）〜（４）の関連イベントを示す関係グラフが、図３に示した異常イベントを示す関係グラフとは異なる様態で表示されるような関係グラフを生成する。
【００４０】
例えば、生成部１２０は、関連イベントを示す関係グラフに含まれる、要素間をつなぐ線を、図４に示すように、実線ではなく、破線、一点鎖線等で表現する。また、生成部１２０は、関連イベントを示す関係グラフに含まれる、要素間をつなぐ線を、異常イベントの関係グラフに含まれる線とは異なる色や太さで表現してもよい。
【００４１】
また、生成部１２０は、関連イベントを要素ごとに異なる様態で表現してもよい。例えば、生成部１２０は、図４に示すように、要素Ａに関連する関連イベントを破線で表し、要素Ｂに関連する関連イベントを一点鎖線で表してもよい。また、生成部１２０は、関連イベントに関連する要素のうち、異常イベントに直接関連しない要素（図４の場合、要素Ａ−１、要素Ａ−２、要素Ｂ−１および要素Ｂ−２）を、異常イベントの要素（図４の場合、要素Ａおよび要素Ｂ）とは異なる様態で表現してもよい。以下、関連イベントに関連する要素を関連イベントの要素とも呼ぶ。
【００４２】
その後、生成部１２０は、図３および図４に示した関係グラフを合成する。そして、生成部１２０は、生成（合成）した関係グラフを、表示装置２００の表示画面に表示させる。表示装置２００に表示される関係グラフの一例を図５に示す。図５に示す通り、生成部１２０は、異常イベントを表現する関係グラフ上に、該異常イベントの周辺情報を該異常イベントとは異なる様態で、表示させていることがわかる。
【００４３】
表示装置２００は、生成部１２０が生成した関係グラフを表示画面上に表示する。表示装置２００は、例えば、液晶ディスプレイによって実現される。
【００４４】
なお、本実施の形態では、説明の便宜上、異常イベントが１つであることを例に説明を行ったが、異常イベントは、複数であってもよい。また、取得部１１０が取得した関連イベントが、異常イベントの要素に直接関連するイベント（該要素から１ホップで関連する要素との間のイベント）であることを例に説明を行ったが、関連イベントはこれに限定されない。ここで、ホップ数とは、関係グラフで表現された要素間をつなぐ線の数を示すもので、図５における要素Ａから要素Ｂまでのホップ数は１となる。また、図５における要素Ａから要素Ｂ−２までのホップ数は２となる。
【００４５】
例えば、取得部１１０は、異常イベントの要素から所定のホップ数内で関連する要素までのイベントを取得してもよい。所定のホップ数が２の場合について説明する。上述した要素Ａ−１と、要素Ａ−３との間のイベントがあるとした場合、要素Ａ−３は要素Ａから２ホップで関連する要素となる。この場合、生成部１２０は、（ａ）要素Ａと要素Ａ−１との間のイベントとを表す関係グラフと、（ｂ）要素Ａ−１と要素Ａ−３との間のイベントとを表す関係グラフとが、異なる様態で表示されるような関係グラフを生成してもよい。
【００４６】
また、取得部１１０が取得する関連イベントの数は特に限定されない。取得部１１０は、ログから取得可能な関連イベント情報のうち、異常イベントに直接的または間接的に関連する複数の要素の少なくとも一つの要素に関連する、全てのイベントの情報を、関連イベント情報として取得してもよい。
【００４７】
上述の例の場合、異常イベントに直接的に関連する要素とは、要素Ａおよび要素Ｂである。この場合、取得部１１０は、要素Ａに関連するイベントの全て、および／または、要素Ｂに関連するイベントの全てを、関連イベントとして取得してもよい。
【００４８】
また、異常イベントの要素から所定のホップ数内で関連する要素までの関連イベントを取得する場合において、図５の例では、異常イベントに間接的に関連する要素とは、要素Ａ−１、要素Ａ−２、要素Ｂ−１および要素Ｂ−２である。この場合、取得部１１０は、これらの要素の少なくとも何れかに関連する、全てのイベントの情報を、関連イベント情報として取得してもよい。
【００４９】
また、取得部１１０は、ログから取得可能な関連イベント情報のうち、異常イベントに関連する複数の要素の少なくとも一つの要素に関連する、一部のイベント情報を、関連イベント情報として取得してもよい。一部のイベント情報とは、例えば、所定数の関連イベント情報であってもよい。一部のイベント情報とは、例えば、現時点から、イベントの発生時刻が新しい順にＮ（Ｎは自然数）件分のイベント情報であってもよい。また、一部のイベント情報とは、過去のある期間において発生したイベントのうち、最も発生数が多いイベントから順に、Ｎ件分のイベント情報であってもよい。
【００５０】
また、取得部１１０は、異常イベントに関連する要素ごとに、上記一部のイベント情報を取得してもよいし、異常イベントに関連する要素全体に対して、上記一部のイベント情報を取得してもよい。
【００５１】
これにより、支援装置１００は、管理者が異常イベントと比較したい数の、正常イベントを、表示装置２００に表示させることができる。
【００５２】
また、取得部１１０が取得する関連イベントは、異常イベントの要素に直接関連するイベントに限定されない。取得部１１０は、例えば、異常イベントの要素に関連する要素（関連要素と呼ぶ）に関連するイベント情報を関連イベント情報としてもよい。例えば、異常イベントの要素の一つが要素Ａであり、要素ＡがグループＡに含まれる場合、グループＡに含まれる要素Ａ以外の要素（例えば、要素ＡＡと呼ぶ）が関連要素である。そして、取得部１１０は、要素ＡＡに関連するイベント情報を関連イベント情報としてログから取得してもよい。
【００５３】
これにより、支援装置１００は、異常イベントに間接的に関連する正常イベントを、該異常イベントと共に表示装置２００に表示させることができる。
【００５４】
また、取得部１１０は、記憶部１３０を確認し、記憶部１３０に格納されたログが更新される度に、関連イベント情報を取得してもよいし、所定の間隔で関連イベント情報を取得してもよい。
【００５５】
（支援装置１００および表示装置２００の処理）
次に、図６を参照して、本実施の形態に係る支援装置１００および表示装置２００の処理の流れについて説明する。図６は、本実施の形態に係る支援装置１００の処理の流れの一例を示すフローチャートである。
【００５６】
図６に示す通り、検出部１４０が異常イベントを検出する（ステップＳ３１）。そして、取得部１１０が、異常イベントの周辺情報である関連イベント情報を取得する（ステップＳ３２）。
【００５７】
そして、生成部１２０が、異常イベントおよび関連イベントの関係グラフを生成する（ステップＳ３３）。その後、表示装置２００が、表示画面上に関係グラフを表示する（ステップＳ３４）。
【００５８】
以上により、支援装置１００および表示装置２００の処理を終了する。
【００５９】
（効果）
本実施の形態に係る支援装置１００によれば、検出部１４０が検出した異常イベントの要素に関連する、異常イベントとは異なるイベントを、取得部１１０が関連イベントとして取得する。そして、生成部１２０が、異常イベントと関連イベントとに基づいて、異常イベントと関連イベントとをそれぞれ表す関係グラフを生成する。このとき、生成部１２０が生成する関係グラフは、関連イベントが異常イベントとは異なる様態で表示画面に表示されるものである。
【００６０】
したがって、表示装置２００が表示画面に表示する関係グラフには、異常イベントと、該異常イベントとは異なる様態で表示された関連イベントとが含まれる。
【００６１】
したがって、この表示画面を確認する確認者（例えば、監視対象システムの管理者）は、異常イベントと正常イベントとを同時に確認することができる。これにより、この確認者は、発生した異常イベントと正常イベントとを比較することができる。よって、この確認者は、異常イベントが異常であることを、容易に把握することができる。
【００６２】
以上のように、本実施の形態に係る支援装置１００は、上述した第１の実施の形態に係る支援装置１０と同様に、通知されたイベントの異常を、確認者が把握することを支援することができる。
【００６３】
＜第３の実施の形態＞
次に、本開示の第３の実施の形態について説明する。図７は、本実施の形態に係る支援装置１０１の機能構成の一例を示す機能ブロック図である。なお、説明の便宜上、前述した各実施形態で説明した図面に含まれるブロックと同じ機能を有するブロックについては、同じ符号を付し、その詳細な説明を省略する。
【００６４】
図７に示す通り、本実施の形態に係る支援装置１０１は、取得部１１１と、生成部１２０と、記憶部１３０と、検出部１４０と、受付部１５０と、を備える。
【００６５】
受付部１５０は、入力装置３００を介して、管理者などからの、表示条件の入力を受け付ける。受付部１５０は受け付けた情報（条件情報）を取得部１１１に供給する。受付部１５０は、表示条件として、例えば、イベントの時刻を示す時刻情報またはイベントの期間を示す期間情報を受け付ける。また、受付部１５０は、表示条件として、例えば、要素を示す情報を受けつけてもよい。
【００６６】
入力装置３００は、例えば、マウス、キーボード等によって実現される。なお、本実施の形態では、表示装置２００および入力装置３００は、支援装置１０１とは別個の装置で実現されることを例に説明を行うが、表示装置２００および入力装置３００は夫々表示部および入力部として、支援装置１０１内に内蔵される構成であってもよい。この場合、表示部および入力部は、例えば、タッチパネルとして実現されるものであってもよい。
【００６７】
取得部１１１は、上述した取得部１１または取得部１１０に相当する。取得部１１１は、検出部１４０から異常イベント情報を受信する。また、取得部１１１は、受付部１５０から条件情報を受信する。取得部１１１は、条件情報に含まれる表示条件を満たす異常イベントがあるか否かを確認する。
【００６８】
例えば、条件情報が時刻情報である場合、表示条件は、時刻情報によって表される時刻、または、該時刻を含む所定の期間の異常イベントおよび該異常イベントに関連する関連イベントを表示する、という条件になる。よって、取得部１１１は、受信した異常イベント情報に基づいて、時刻情報によって表される時刻、または、該時刻を含む所定の期間の異常イベントが有るか否かを判定する。なお、このとき、異常イベント情報には、異常イベントが発生した時刻の情報が含まれるとする。
【００６９】
また、例えば、条件情報が期間情報である場合、表示条件は、期間情報によって表される期間の異常イベントおよび該異常イベントに関連する関連イベントを表示する、という条件になる。よって、取得部１１１は、受信した異常イベント情報に基づいて、期間情報によって表される期間の異常イベントが有るか否かを判定する。そして、期間情報によって表される期間の異常イベントが有る場合、取得部１１１は、該異常イベントの要素に関連するイベントに関する関連イベント情報を、記憶部１３０に格納されたログから取得する。
【００７０】
また、例えば、条件情報が要素の情報である場合、表示条件は、要素の情報によって表される要素に関連する異常イベントおよび該異常イベントに関連する関連イベントを表示する、という条件になる。よって、取得部１１１は、受信した異常イベント情報に基づいて、上記要素の情報によって示される要素に関連する異常イベントがあるか否かを判定する。例えば、条件情報が、「ｐｒｏｃｅｓｓ１」を示す情報である場合、取得部１１１は、「ｐｒｏｃｅｓｓ１」の要素に関連する異常イベントがあるか否かを判定する。第２の実施の形態と同様に、「ｐｒｏｃｅｓｓ１」と「ｐｒｏｃｅｓｓ２」との間のイベントが異常イベントであると検出されている場合、取得部１１１は、「ｐｒｏｃｅｓｓ１」の要素に関連する異常イベントがあると判定する。そして、取得部１１１は、この異常イベントの要素に関連するイベント（第２の実施の形態において説明した（１）から（４）の関連イベント）の情報を取得する。
【００７１】
なお、取得部１１１が行う関連イベント情報の取得については、取得部１１０と同様であるため詳細な説明を省略する。なお、条件情報が時刻情報または期間情報である場合、取得部１１１が取得する関連イベント情報は、時刻情報によって表される時刻もしくは該時刻を含む所定の期間、または、期間情報によって示される期間のイベントを示す情報であってもよい。
【００７２】
そして、生成部１２０は、異常イベント情報と、取得部１１１が取得した関連イベント情報とに基づいて、関係グラフを生成する。
【００７３】
（支援装置１０１および表示装置２００の処理）
次に、図８を参照して、本実施の形態に係る支援装置１０１および表示装置２００の処理の流れについて説明する。図８は、本実施の形態に係る支援装置１０１の処理の流れの一例を示すフローチャートである。
【００７４】
図８に示す通り、検出部１４０が異常イベントを検出する（ステップＳ８１）。また、受付部１５０が、入力を受け付ける（ステップＳ８２）。なお、ステップＳ８１とステップＳ８２とは同時に行われてもよいし、逆順で行われてもよい。
【００７５】
そして、取得部１１１が、条件情報に含まれる表示条件を満たす異常イベントがあるか否かを確認する（ステップＳ８３）。条件情報に含まれる表示条件を満たす異常イベントが無い場合、（ステップＳ８３にてＮＯ）、支援装置１０１は処理を終了する。なお、支援装置１０１は、他の入力を受け付ける画面を表示画面に表示させてもよいし、条件情報に含まれる表示条件を満たす異常イベントが検出されるまで、ステップＳ１０１を実行し続けてもよい。
【００７６】
条件情報に含まれる表示条件を満たす異常イベントがある場合（ステップＳ８３にてＹＥＳ）、取得部１１１が、異常イベントの周辺情報である関連イベント情報を取得する（ステップＳ８４）。
【００７７】
そして、生成部１２０が、異常イベントおよび関連イベントの関係グラフを生成する（ステップＳ８５）。その後、表示装置２００が、表示画面上に関係グラフを表示する（ステップＳ８６）。
【００７８】
以上により、支援装置１０１および表示装置２００の処理を終了する。
【００７９】
（効果）
本実施の形態に係る支援装置１０１によれば、上述した第１および第２の実施の形態と同様の効果を奏することができる。また、本実施の形態に係る支援装置１０１によれば、取得部１１１が、表示条件に応じた異常イベントに関連する関連イベントを取得する。これにより、生成部１２０が生成する関係グラフは、表示条件に応じたものとなる。したがって、管理者等は、自身が確認したい関係グラフのみを表示画面で確認することができる。よって、本実施の形態に係る支援装置１０１によれば、管理者等が異常イベントをより確実に把握することを支援することができる。
【００８０】
＜第４の実施の形態＞
次に、本開示の第４の実施の形態について説明する。上述した第３の実施の形態では、受付部１５０が受け付けた条件情報に基づいて、関係グラフを作成することについて説明を行った。本実施の形態では、表示装置２００に表示された関係グラフに対して、管理者等からの入力を受け付ける構成について説明する。
【００８１】
図９は、本実施の形態に係る支援装置１０２の機能構成の一例を示す機能ブロック図である。なお、説明の便宜上、前述した各実施形態で説明した図面に含まれるブロックと同じ機能を有するブロックについては、同じ符号を付し、その詳細な説明を省略する。
【００８２】
図９に示す通り、本実施の形態に係る支援装置１０２は、取得部１１０と、生成部１２１と、記憶部１３０と、検出部１４０と、受付部１５０と、を備える。
【００８３】
受付部１５０は、上述した第３の実施の形態と同様に、入力装置３００を介して、管理者などからの入力を受け付ける。そして、受付部１５０は、受け付けた条件情報を、生成部１２１に供給する。
【００８４】
生成部１２１は、第２の実施の形態における生成部１２０と同様に、異常イベントと、該異常イベントに関連する関連イベントとを表す関係グラフを生成する。そして、生成部１２１は、受付部１５０から条件情報を受け付けると、該条件情報によって示される表示条件を満たす異常イベントおよび関連イベントを表す関係グラフを生成する。そして、生成部１２１は、生成した関係グラフを表示装置２００の表示画面に表示させる。
【００８５】
なお、受付部１５０が受けつける条件情報は、表示装置２００に表示された関係グラフに基づいて、入力可能な表示条件を表す情報であることが好ましい。条件情報は、例えば、表示装置２００に表示された関係グラフに含まれる要素の何れかを示す情報であることが好ましい。
【００８６】
（支援装置１０２および表示装置２００の処理）
次に、図１０を参照して、本実施の形態に係る支援装置１０２および表示装置２００の処理の流れについて説明する。図１０は、本実施の形態に係る支援装置１０２の処理の流れの一例を示すフローチャートである。
【００８７】
図１０に示す通り、検出部１４０が異常イベントを検出する（ステップＳ１０１）。そして、取得部１１０が、異常イベントの周辺情報である関連イベント情報を取得する（ステップＳ１０２）。
【００８８】
そして、生成部１２１が、異常イベントおよび関連イベントの関係グラフを生成する（ステップＳ１０３）。その後、表示装置２００が、表示画面上に関係グラフを表示する（ステップＳ１０４）。
【００８９】
その後、受付部１５０が、入力を受け付けたか否かを判定する（ステップＳ１０５）。入力を受け付けていない場合（ステップＳ１０５にてＮＯ）、受付部１５０は、ステップＳ１０５を繰り返す。入力を受け付けた場合（ステップＳ１０５にてＹＥＳ）、生成部１２１は、入力された条件情報に応じた関係グラフを生成し、該関係グラフを表示装置２００の表示画面に表示させる（ステップＳ１０６）。
【００９０】
以上により、支援装置１０２および表示装置２００の処理を終了する。
【００９１】
表示装置２００に表示される関係グラフについて、図３〜図５、図１１および図１２を用いて説明する。まず、図１１は、ステップＳ１０４で、表示画面に表示される関係グラフの一例を示す図である。図１１には、図５を用いて説明した関係グラフに加え、要素Ｃおよび要素Ｄの間の異常イベントと、要素Ｃおよび要素Ｃ−１の間の関連イベントと、要素Ｄおよび要素Ｄ−１の間の関連イベントとを表す関係グラフが含まれる。
【００９２】
なお、以下では、図１１で示した関係グラフから、管理者が、表示条件として、要素Ａに関連する異常イベントおよび関連イベントを表示する、という条件を入力した場合を例に説明を行う。
【００９３】
この場合、要素Ａに関連する異常イベントの関係グラフは、図３に示した関係グラフであり、該異常イベントに関連する関連イベントは、図４に示した関係グラフである。したがって、生成部１２１は、ステップＳ１０６にて、図５に示した関係グラフを生成し、表示装置２００に表示させる。
【００９４】
なお、生成部１２１は、条件情報に直接関連する関連イベントのみの関係グラフを生成してもよい。例えば、上記の場合、要素Ａに関連する関連イベントは、図５に示す（１）および（２）のグラフになる。よって、生成部１２１は、ステップＳ１０６にて、図１２に示す関係グラフを生成し、該関係グラフを表示装置２００に表示させてもよい。
【００９５】
（効果）
本実施の形態に係る支援装置１０２によれば、上述した第１および第２の実施の形態と同様の効果を奏することができる。また、本実施の形態に係る支援装置１０２によれば、生成部１２１が、表示条件に応じた異常イベントおよび関連イベントを表す関係グラフを生成し、該関係グラフを表示画面に表示させる。これにより、管理者等は、自身が確認したい関係グラフのみを表示画面で確認することができる。したがって、本実施の形態に係る支援装置１０２によれば、管理者等が異常イベントをより確実に把握することを支援することができる。
【００９６】
（ハードウェア構成について）
本開示の各実施形態において、各装置の各構成要素は、機能単位のブロックを示している。各装置の各構成要素の一部又は全部は、例えば図１３に示すような情報処理装置５００とプログラムとの任意の組み合わせにより実現される。情報処理装置５００は、一例として、以下のような構成を含む。
【００９７】
・ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）５０１
・ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）５０２
・ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）５０３
・ＲＡＭ５０３にロードされるプログラム５０４
・プログラム５０４を格納する記憶装置５０５
・記録媒体５０６の読み書きを行うドライブ装置５０７
・通信ネットワーク５０９と接続する通信インタフェース５０８
・データの入出力を行う入出力インタフェース５１０
・各構成要素を接続するバス５１１
各実施形態における各装置の各構成要素は、これらの機能を実現するプログラム５０４をＣＰＵ５０１が取得して実行することで実現される。各装置の各構成要素の機能を実現するプログラム５０４は、例えば、予め記憶装置５０５やＲＡＭ５０３に格納されており、必要に応じてＣＰＵ５０１が読み出す。なお、プログラム５０４は、通信ネットワーク５０９を介してＣＰＵ５０１に供給されてもよいし、予め記録媒体５０６に格納されており、ドライブ装置５０７が当該プログラムを読み出してＣＰＵ５０１に供給してもよい。
【００９８】
各装置の実現方法には、様々な変形例がある。例えば、各装置は、構成要素毎にそれぞれ別個の情報処理装置５００とプログラムとの任意の組み合わせにより実現されてもよい。また、各装置が備える複数の構成要素が、一つの情報処理装置５００とプログラムとの任意の組み合わせにより実現されてもよい。
【００９９】
また、各装置の各構成要素の一部又は全部は、その他の汎用または専用の回路、プロセッサ等やこれらの組み合わせによって実現される。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。
【０１００】
各装置の各構成要素の一部又は全部は、上述した回路等とプログラムとの組み合わせによって実現されてもよい。
【０１０１】
各装置の各構成要素の一部又は全部が複数の情報処理装置や回路等により実現される場合には、複数の情報処理装置や回路等は、集中配置されてもよいし、分散配置されてもよい。例えば、情報処理装置や回路等は、クライアントアンドサーバシステム、クラウドコンピューティングシステム等、各々が通信ネットワークを介して接続される形態として実現されてもよい。
【０１０２】
なお、上述した各実施の形態は、本開示の好適な実施の形態であり、上記各実施の形態にのみ本開示の範囲を限定するものではなく、本開示の要旨を逸脱しない範囲において当業者が上記各実施の形態の修正や代用を行い、種々の変更を施した形態を構築することが可能である。
【０１０３】
この出願は、２０１５年１２月２日に出願された日本出願特願２０１５−２３５３６４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０１０４】
１０    支援装置
１１    取得部
１２    生成部
１００    支援装置
１０１    支援装置
１０２    支援装置
１１０    取得部
１１１    取得部
１２０    生成部
１２１    生成部
１３０    記憶部
１４０    検出部
１５０    受付部
２００    表示装置
３００    入力装置
【図１】
2017094820.tif 000003
【図２】
2017094820.tif 000004
【図３】
2017094820.tif 000005
【図４】
2017094820.tif 000006
【図５】
2017094820.tif 000007
【図６】
2017094820.tif 000008
【図７】
2017094820.tif 000009
【図８】
2017094820.tif 000010
【図９】
2017094820.tif 000011
【図１０】
2017094820.tif 000012
【図１１】
2017094820.tif 000013
【図１２】
2017094820.tif 000014
【図１３】
2017094820.tif 000015
【手続補正書】
【提出日】平成30年5月23日(2018.5.23)
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
本開示は、支援装置、支援方法およびプログラムに関する。
【手続補正３】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数の要素間のイベントのうち、異常イベントとして検出されたイベントに関連する要素に対し、該要素に関連する前記異常イベントとは異なるイベントを関連イベントとして取得する取得手段と、
前記異常イベントと前記関連イベントとに基づいて、前記要素を頂点とし前記要素間の関係を辺とし、前記異常イベントと前記関連イベントとの夫々を表し、且つ、前記関連イベントが前記異常イベントとは異なる様態で表示画面に表示される関係グラフを生成する生成手段と、を備える支援装置。
【請求項２】
表示条件の入力を受け付ける受付手段を更に備え、
前記取得手段は、前記表示条件に応じた異常イベントに関連する要素に対し、該要素に関連する前記関連イベントを取得する、請求項１に記載の支援装置。
【請求項３】
表示条件の入力を受け付ける受付手段を更に備え、
前記生成手段は、前記表示条件に応じた前記異常イベントおよび前記関連イベントを表す前記関係グラフを生成する、請求項１に記載の支援装置。
【請求項４】
前記取得手段は、前記異常イベントに関連する要素から、所定のホップ数内で関連する要素までに含まれる要素に対し、該要素に関連するイベントを前記関連イベントとして取得する、請求項１から３の何れか１項に記載の支援装置。
【請求項５】
前記取得手段は、前記異常イベントに関連する複数の要素の少なくとも一つの要素に関連する、全てのイベントを前記関連イベントとして取得する、請求項１から４の何れか１項に記載の支援装置。
【請求項６】
前記取得手段は、前記異常イベントに関連する複数の要素の少なくとも一つの要素に関連するイベントのうち、イベントの発生時刻が新しい所定数のイベント、または、過去のある期間において発生したイベントのうち発生数が多い順に所定数分のイベントを、前記関連イベントとして取得する、請求項１から４の何れか１項に記載の支援装置。
【請求項７】
前記取得手段は、前記異常イベントの要素に関連する関連要素に対し、該関連要素に関連するイベントを前記関連イベントとして取得する、請求項１から６の何れか１項に記載の支援装置。
【請求項８】
前記異常イベントを検出する検出手段を更に備えることを特徴とする請求項１から７の何れか１項に記載の支援装置。
【請求項９】
複数の要素間のイベントのうち、異常イベントとして検出されたイベントに関連する要素に対し、該要素に関連する前記異常イベントとは異なるイベントを関連イベントとして取得し、
前記異常イベントと前記関連イベントとに基づいて、前記要素を頂点とし前記要素間の関係を辺とし、前記異常イベントと前記関連イベントとの夫々を表し、且つ、前記関連イベントが前記異常イベントとは異なる様態で表示画面に表示される関係グラフを生成する、支援方法。
【請求項１０】
複数の要素間のイベントのうち、異常イベントとして検出されたイベントに関連する要素に対し、該要素に関連する前記異常イベントとは異なるイベントを関連イベントとして取得する処理と、
前記異常イベントと前記関連イベントとに基づいて、前記要素を頂点とし前記要素間の関係を辺とし、前記異常イベントと前記関連イベントとの夫々を表し、且つ、前記関連イベントが前記異常イベントとは異なる様態で表示画面に表示される関係グラフを生成する処理とを、コンピュータに実行させるプログラム。
【国際調査報告】
2017094820.tif 000016
2017094820.tif 000017
2017094820.tif 000018
2017094820.tif 000019