(57)【要約】  相互相関関係抽出手段８２は、イベント型ウィンドウ分割手段８１によって生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する。相互相関規則生成手段８３は、相互相関関係抽出手段８２が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれるそのイベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する。
2013128530.tif 000002
【特許請求の範囲】
【請求項１】
イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割手段と、
前記イベント型ウィンドウ分割手段によって生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出手段と、
前記相互相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成手段とを備えた
ことを特徴とするイベント相関規則検出システム。
【請求項２】
イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出する単一相関関係抽出手段と、
前記単一相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する単一相関規則生成手段とを備えた
請求項１記載のイベント相関規則検出システム。
【請求項３】
単一相関規則生成手段は、生成した単一相関規則のうち、相互相関規則生成手段が生成した相互相関規則とイベント型の組が一致する規則を除いた単一相関規則をイベント相関規則として生成する
請求項２記載のイベント相関規則検出システム。
【請求項４】
イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出する発生箇所関係抽出手段と、
前記発生箇所関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定した発生箇所別規則をイベント相関規則として生成する発生箇所別規則生成手段とを備えた
請求項２または請求項３記載のイベント相関規則検出システム。
【請求項５】
発生箇所別規則生成手段は、生成した発生箇所別規則のうち、相互相関規則生成手段が生成した相互相関規則とイベント型の組が一致する規則、および、単一相関規則生成手段が生成した単一相関規則とイベント型の組が一致する規則を除いた発生箇所別規則をイベント相関規則として生成する
請求項４記載のイベント相関規則検出システム。
【請求項６】
相互相関規則生成手段は、イベントの組ごとに、対象とするイベント型の組がイベント情報の集合中に含まれる度合いを示す指標である支持度と、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である信頼度とを計算し、当該支持度および当該信頼度が閾値よりも大きいイベント型の組から相互相関規則を生成する
請求項１記載のイベント相関規則検出システム。
【請求項７】
イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成し、
生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出し、
前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する
ことを特徴とするイベント相関規則検出方法。
【請求項８】
イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出し、
前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する
請求項７記載のイベント相関規則検出方法。
【請求項９】
イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出し、
前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定した発生箇所別規則をイベント相関規則として生成する
請求項７または請求項８記載のイベント相関規則検出方法。
【請求項１０】
コンピュータに、
イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割処理、
前記イベント型ウィンドウ分割処理で生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出処理、および、
前記相互相関関係抽出処理で抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成処理
を実行させるための相関規則検出用プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、イベントの履歴から、イベントの相関有無の判別に用いられる規則であるイベント相関規則を抽出するイベント相関規則検出システム、イベント相関規則検出方法およびイベント相関規則検出用プログラムに関する。
【背景技術】
【０００２】
蓄積された履歴から相関関係を抽出するシステムが特許文献１に記載されている。図１９は、特許文献１に記載されたシステムの機能を示すブロック図である。図１９に示すシステムは、データ・アクセス・プログラム／ユーティリティ１８と、データ・ベース２０と、マイニング・カーネル・インタフェース２６と、マイング・カーネル１６と、マイニング・カーネル１６の実行結果を記録するマイニング結果レポジトリ２４を備えている。【０００３】
マイニング・カーネル・インタフェース２６には、最低サポート値および最低信頼値が事前に与えられる。マイング・カーネル１６は、データ・アクセス・プログラム／ユーティリティ１８を介してデータ・ベース２０にアクセスし、抽出した相関関係をマイニング結果レポジトリ２４に記憶する。【０００４】
具体的には、マイング・カーネル１６は、ｋ種類の品目セットを生成する。ここで、ｋは、品目セットの長さを示す。マイング・カーネル１６は、ｋ＝２から処理を始めて、徐々にｋを増やしていく。特許文献１に記載されたシステムでは、品目セットがトランザクションのデータ・ベース２０に存在する回数がサポート率と定義される。このサポート率が事前に与えられた最小サポート値を超える品目セットを、大きな品目セットとして選び出す。【０００５】
そして、マイング・カーネル１６は、選び出したｋ種類の品目で構成されている品目セットに対し、品目を１個加えて（ｋ＋１）個にし、これに対して同様にサポート率を計算する。以降、ｋを増加させ、処理が繰り返される。そして、すべてのサポート率が最小サポート値未満になったときの品目の種類をｋ’とすると、マイング・カーネル１６は、（ｋ’−１）個の時点で残った品目セットを出力する。【０００６】
そして、マイング・カーネル１６は、残った要素の一集合（例えば、｛Ａ，Ｂ，Ｃ，Ｄ｝）から一つの要素（例えばＤ）を取り出し、その要素が他の要素（例えば、Ａ，Ｂ，Ｃ）に起因するか調べる。【０００７】
具体的には、マイング・カーネル１６は、試験対象の大きな品目セットｌｋのサポートを、サブセット（ｌｋ−ｈｍ＋１）のサポートで除算して信頼値を求める。そして、この信頼値が事前に与えられた最低信頼値以上であれば、マイング・カーネル１６は、（ｌｋ−ｈｍ＋１）=>ｈｍ＋１（上記の例では、Ａ，Ｂ，Ｃ=>Ｄ）を関連規則と判断する。なお、記号「=>」は、左辺に起因して右辺が発生する相関関係を有することを示す。【０００８】
図２０は、イベント履歴からイベント相関規則を抽出する一般的なイベント相関規則検出システムの例を示すブロック図である。図２０に例示するイベント相関規則検出システムは、イベント発生源１１０と、イベント相関用ルールエンジン１６０と、イベント履歴データベース１３０（以下、イベント履歴ＤＢ１３０）と、イベント相関規則生成手段９３０と、ＧＵＩ（Graphical User Interface）１１５とを備えている。【０００９】
イベント履歴ＤＢ１３０は、イベント発生源１１０が発生したイベントの履歴を記憶する。【００１０】
イベント相関規則生成手段９３０は、イベント履歴ＤＢ１３０に記憶されたイベントに基づいてイベント相関規則９７０を生成する。イベント相関規則生成手段９３０は、例えば、上述する特許文献１に記載されたシステムが相関関係を生成する方法と同様の方法を利用してイベント相関規則を生成することができる。【００１１】
イベント相関用ルールエンジン１６０は、イベント相関規則９７０を参照しつつ、相関性のあるイベント（相関規則）をＧＵＩ１１５に表示する。例えば、「イベント型Ａのイベントが発生した場合にイベント型Ｃのイベントが発生する」というイベント相関規則「Ａ=>Ｃ」が存在すると想定する。なお、イベント型とは、イベントに含まれ、そのイベントの種類を示す情報である。【００１２】
ここで、連続したイベントの集合Ｗ１内に、イベント型ＣのイベントＥ３が存在したとする。また、その集合Ｗ１内であってイベント型Ｃの直前に、イベント型ＡのイベントＥ１が存在したとする。このとき、イベント相関用ルールエンジン１６０は、Ｅ１とＥ３に相関があると判断し、その相関規則をＧＵＩ１１５に表示する。
【先行技術文献】
【特許文献】
【００１３】
【特許文献１】特許第３１９５２３３号公報
【発明の概要】
【発明が解決しようとする課題】
【００１４】
上述する特許文献１に記載されたシステムにより生成されるイベント相関規則を用いることで、関連するイベントを抽出することはできる。しかし、特許文献１に記載されたシステムにより生成されるイベント相関規則を用いてイベントを抽出した場合、誤検出を行う可能性がある。以下、誤検出が行われる場合について具体例を用いて説明する。【００１５】
図２１は、イベントの例およびイベントから生成されるイベント相関規則の例を示す説明図である。また、図２２は、イベントの他の例を示す説明図である。図２１（ａ）は、メールサーバ（１９２．１６８．２００．１９２）のイベントログと、メールクライアント（１９２．１６８．２００．１０）のイベントログを示している。【００１６】
図２１（ａ）に例示するイベントログは、メールクライアントがメールサーバへの接続を失敗（Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｅｄ）したことにより発生する。そのため、メールサーバは、“Ｅｒｒｏｒ  ｒｅａｄｉｎｇ  ｆｒｏｍ  ｃｏｎｎｅｃｔｉｏｎ”イベントおよびＮＯＱＵＥＵＥイベントを発生させる。【００１７】
この場合、一般的に、図２１（ｂ）に例示するイベント相関規則が生成される。例えば、図２１（ｂ）の１行目は、Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｅｄイベントが発生したとき、１５分以内  （ＷＩＴＨＩＮ  １５ｍｉｎ）に、ＮＯＱＵＥＵＥイベントが発生するという規則を示す。【００１８】
ここで、図２２に例示するイベントログに対して、図２１（ｂ）の１行目に例示する規則を適用するとする。図２２に例示するイベントログは、メールサーバ（１９２．１６８．２００．１９２）を使っている他のメールクライアント（１０．１６８．２００．１９９）がＣｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｅｄイベントを発生させたことを示す。すなわち、図２１（ａ）に例示するイベントとたまたま同時間帯に、メールサーバ（１９２．１６８．２００．１９２）がメールクライアント（１０．１６８．２００．１０）からの接続に対してＮＯＱＵＥＵＥイベントを発生させたとする。【００１９】
このような場合、メールクライアントが発生させたイベントの内容（具体的には、メールクライアントを特定する情報「１９２．１６８．２００．１０」）を参照すれば、図２２に例示するイベント間に相関が無いのは自明である。しかし、図２１（ｂ）の１行目に例示する規則を適用して関連するイベントを検出する場合、この両者のイベントは相関有りと判断され誤検出されてしまう。【００２０】
すなわち、特許文献１に記載された方法などの一般的な方法で抽出される相関規則を利用すると、同時間帯に複数の装置間で同種のイベントが複数発生した場合、関連するイベントの誤検出率が高くなり、イベントの分析精度が低下してしまうという問題がある。【００２１】
そこで、本発明では、関連するイベントの誤検出率を抑えることができるイベント相関分析システム、イベント相関規則検出方法およびイベント相関規則検出用プログラムを提供することを目的とする。
【課題を解決するための手段】
【００２２】
本発明によるイベント相関規則検出システムは、イベントの発生箇所を示す情報、そのイベントの種類を示すイベント型およびそのイベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、そのイベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割手段と、イベント型ウィンドウ分割手段によって生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出手段と、相互相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれるそのイベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成手段とを備えたことを特徴とする。【００２３】
本発明によるイベント相関規則検出方法は、イベントの発生箇所を示す情報、そのイベントの種類を示すイベント型およびそのイベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、そのイベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成し、生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出し、抽出されたイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれるそのイベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成することを特徴とする。【００２４】
本発明による相関規則検出用プログラムは、コンピュータに、イベントの発生箇所を示す情報、そのイベントの種類を示すイベント型およびそのイベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、そのイベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割処理、イベント型ウィンドウ分割処理で生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出処理、および、相互相関関係抽出処理で抽出されたイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれるそのイベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成処理を実行させることを特徴とする。
【発明の効果】
【００２５】
本発明によれば、関連するイベントの誤検出率を抑えることができる。
【図面の簡単な説明】
【００２６】
【図１】本発明によるイベント相関規則検出システムの一実施形態を示すブロック図である。
【図２】イベント履歴ＤＢが記憶するイベント情報の例を示す説明図である。
【図３】イベントウィンドウの例を示す説明図である。
【図４】イベント相関規則生成手段の例を示すブロック図である。
【図５】イベント型ウィンドウ表の例を示す説明図である。
【図６】イベント相関規則を検出する動作の例を示すフローチャートである。
【図７】イベント相関規則生成手段の動作の例を示すフローチャートである。
【図８】相互相関規則の例を示す説明図である。
【図９】イベント相関規則を生成する処理を表すシークエントの例を示す説明図である。
【図１０】相互相関イベント型ウィンドウ表の例を示す説明図である。
【図１１】支持度および信頼度の例を示す説明図である。
【図１２】イベント相関規則の例を示す説明図である。
【図１３】単一相関イベント型ウィンドウ表の例を示す説明図である。
【図１４】支持度および信頼度の他の例を示す説明図である。
【図１５】発生箇所別イベント型ウィンドウ表の例を示す説明図である。
【図１６】支持度および信頼度のさらに他の例を示す説明図である。
【図１７】イベントウィンドウ表の例を示す説明図である。
【図１８】本発明によるイベント相関規則検出システムの概要を示すブロック図である。
【図１９】特許文献１に記載されたシステムの機能を示すブロック図である。
【図２０】一般的なイベント相関規則検出システムの例を示すブロック図である。
【図２１】イベントの例およびイベントから生成されるイベント相関規則の例を示す説明図である。
【図２２】イベントの他の例を示す説明図である。
【発明を実施するための形態】
【００２７】
以下、本発明の実施形態を図面を参照して説明する。
【００２８】
実施形態１．
図１は、本発明によるイベント相関規則検出システムの一実施形態を示すブロック図である。本実施形態のイベント相関規則検出システムは、イベント発生源１１０と、イベント履歴ＤＢ１３０と、ウィンドウ分割手段１４０と、イベントウィンドウ表記憶手段１５０と、イベント相関用ルールエンジン１６０と、イベント相関規則データベース１７０（以下、イベント相関規則ＤＢ１７０と記す。）と、イベント相関規則生成手段１８０と、ＧＵＩ１１５とを備えている。
【００２９】
イベント発生源１１０は、イベントの発生源になる装置である。イベント発生源１１０は、例えば、処理を要求する端末や、処理要求を受信するサーバなどにより実現される。なお、イベント発生源１１０は、イベントの発生が検知可能な装置であれば、どのような装置であってもよい。
【００３０】
また、イベント発生源１１０は、検知されたイベントをイベント履歴ＤＢ１３０に記憶させる。なお、イベントの発生源になる装置と、検知されたイベントの内容をイベント履歴ＤＢ１３０に記憶させる装置とは、同一であってもよく、異なっていてもよい。
【００３１】
イベント履歴ＤＢ１３０は、各装置で発生したイベントの内容を示す情報（以下、イベント情報と記す。）を記憶する。図２は、イベント履歴ＤＢ１３０が記憶するイベント情報の例を示す説明図である。図２に例示するイベント履歴ＤＢ１３０は、イベントを識別する識別子（ｅ＃）ごとに、イベントが発生した発生時刻（Ｔｉｍｅ）、イベントの種類を示すイベント型、イベントが発生した装置を識別する情報であるイベント発生箇所（発生箇所）、イベントに関連する情報を示すイベント属性（属性１，属性２）を一覧表の形式で記憶していることを示す。また、イベント属性は、イベントに関係する装置を示す情報も含んでいる。
【００３２】
なお、図２では、イベント属性が２つである場合を例示しているが、イベント情報に含まれるイベント属性は、２つに限られず、３つ以上であってもよい。以下の説明では、イベント属性を単に属性と記すこともある。
【００３３】
ウィンドウ分割手段１４０は、イベント発生源１１０から受信したイベント情報を一定時間ごとに区切り、イベントウィンドウと呼ばれるイベントの集合に分割する。
【００３４】
図３は、イベントウィンドウの例を示す説明図である。図３に示す例では、イベントが横方向に時系列に発生していることを示す。また、図３に例示する黒三角印が、発生したイベントを示す。ウィンドウ分割手段１４０は、発生したイベントを一定時間Ｗ［ｓｅｃ］ごとに区切ることで、イベント情報を複数のイベントウィンドウに分割する。そして、ウィンドウ分割手段１４０は、分割したイベントウィンドウをイベントウィンドウ表記憶手段１５０に記憶する。
【００３５】
イベントウィンドウ表記憶手段１５０は、ウィンドウ分割手段１４０によって分割されたイベントウィンドウを記憶する。イベントウィンドウ表記憶手段１５０は、例えば、イベントウィンドウに含まれるイベント情報を表形式で記憶する。以下、イベントウィンドウ表記憶手段１５０が記憶するイベントウィンドウの集合を、イベントウィンドウ表と記す。
【００３６】
イベント相関規則ＤＢ１７０は、イベントの相関有無の判別に用いられる規則（すなわち、イベント相関規則）を記憶する。なお、イベント相関規則の具体的内容は、後述される。
【００３７】
イベント相関用ルールエンジン１６０は、イベント相関規則ＤＢ１７０に記憶されたイベント相関規則に基づいて、イベントウィンドウ表記憶手段１５０に記憶された各イベントの相関有無を判別する。具体的には、イベント相関用ルールエンジン１６０は、イベント相関規則を満たすイベントを相関ありと判断する。そして、イベント相関用ルールエンジン１６０は、相関があるイベントを検出し、ＧＵＩ１１５に表示する。
【００３８】
ＧＵＩ１１５は、イベント相関用ルールエンジン１６０の指示に基づいて、相関のあるイベント情報を表示する。ＧＵＩ１１５は、例えば、ディスプレイ装置等により実現される。
【００３９】
図４は、イベント相関規則生成手段１８０の例を示すブロック図である。本実施形態のイベント相関規則生成手段１８０は、イベント型ウィンドウ分割手段２１０と、イベント型ウィンドウ表記憶手段２２０と、相互相関分類手段２３０と、相互相関規則生成手段２５０と、単一相関分類手段３３０と、単一相関規則生成手段３５０と、発生箇所別分類手段４３０と、発生箇所別規則生成手段４５０とを含む。
【００４０】
イベント型ウィンドウ分割手段２１０は、イベント履歴ＤＢ１３０に記憶されたイベントを一定時間ごとに区切り、イベントの集合であるイベントウィンドウに分割する。なお、イベント型ウィンドウ分割手段２１０が一定時間ごとにイベントを区切る方法は、ウィンドウ分割手段１４０が、イベント発生源１１０から受信したイベントを一定時間ごとに区切る方法と同様である。なお、分割する時間間隔は、予め定められる。
【００４１】
イベント型ウィンドウ表記憶手段２２０は、イベント型ウィンドウ分割手段２１０によって分割されたイベントウィンドウを記憶する。以下、イベント型ウィンドウ分割手段２１０によって生成されたイベントウィンドウの集合をイベント型ウィンドウ表と記す。図５は、イベント型ウィンドウ表記憶手段２２０が記憶するイベント型ウィンドウ表の例を示す説明図である。図５に例示するイベント型ウィンドウ表は、イベントウィンドウを識別するイベントウィンドウＩＤ（ｗ＃）が付与されたイベントを記憶していることを示す。具体的には、図５に例示するイベント型ウィンドウ表の第２列にイベントウィンドウＩＤ（ｗ＃）が設定され、第３列に、イベントウィンドウに属するイベントのイベント型の集合が設定される。
【００４２】
相互相関分類手段２３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一で、一のイベントの属性が示す情報と他のイベントの発生箇所を示す情報とが同一である組を相互相関イベント型ウィンドウ表２４０として抽出する。
【００４３】
相互相関規則生成手段２５０は、相互相関分類手段２３０が抽出したイベントの組（すなわち、相互相関イベント型ウィンドウ表２４０）からイベント相関規則の一つである相互相関規則を生成する。相互相関規則生成手段２５０は、生成した相互相関規則をイベント相関規則としてイベント相関規則ＤＢ１７０に記憶する。
【００４４】
具体的には、相互相関規則生成手段２５０は、相互相関分類手段２３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、そのイベントの組に含まれる発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組を相関ありと判断する。そして、相互相関規則生成手段２５０は、各イベント型の組合せ、発生箇所およびイベント属性を用いて、相互相関規則を生成する。
【００４５】
単一相関分類手段３３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一である組を単一相関イベント型ウィンドウ表３４０として抽出する。
【００４６】
単一相関規則生成手段３５０は、単一相関分類手段３３０が抽出したイベントの組（すなわち、単一相関イベント型ウィンドウ表３４０）からイベント相関規則の一つである単一相関規則を生成する。単一相関規則生成手段３５０は、生成した単一相関規則をイベント相関規則としてイベント相関規則ＤＢ１７０に記憶する。
【００４７】
具体的には、単一相関規則生成手段３５０は、単一相関分類手段３３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、そのイベントの組に含まれる発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組を相関ありと判断する。そして、単一相関規則生成手段３５０は、各イベント型の組合せ、発生箇所およびイベント属性を用いて、単一相関規則を生成する。
【００４８】
なお、単一相関規則生成手段３５０は、生成した単一相関規則のうち、相互相関規則生成手段２５０が生成した相互相関規則とイベント型の組が一致する単一相関規則を除いた規則をイベント相関規則ＤＢ１７０に記憶する。このようにすることで、重複したイベント相関規則がイベント相関規則ＤＢ１７０に記憶されることを抑制できる。
【００４９】
発生箇所別分類手段４３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一である組を発生箇所別イベント型ウィンドウ表４４０として抽出する。
【００５０】
発生箇所別規則生成手段４５０は、発生箇所別分類手段４３０が抽出したイベントの組（すなわち、発生箇所別イベント型ウィンドウ表４４０）からイベント相関規則の一つである発生箇所別規則を生成する。発生箇所別規則生成手段４５０は、生成した発生箇所別規則をイベント相関規則としてイベント相関規則ＤＢ１７０に記憶する。
【００５１】
具体的には、発生箇所別規則生成手段４５０は、発生箇所別分類手段４３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、そのイベントの組に含まれる発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組を相関ありと判断する。そして、発生箇所別規則生成手段４５０は、各イベント型の組合せ、発生箇所およびイベント属性を用いて、発生箇所別規則を生成する。
【００５２】
なお、発生箇所別規則生成手段４５０は、生成した発生箇所別規則のうち、相互相関規則生成手段２５０が生成した相互相関規則及び単一相関規則生成手段３５０が生成した単一相関規則とイベント型の組が一致する発生箇所別規則を除いた規則をイベント相関規則ＤＢ１７０に記憶する。このようにすることで、重複したイベント相関規則がイベント相関規則ＤＢ１７０に記憶されることを抑制できる。
【００５３】
イベント相関規則生成手段１８０は、相互相関分類手段２３０および相互相関規則生成手段２５０と、単一相関分類手段３３０および単一相関規則生成手段３５０と、発生箇所別分類手段４３０および発生箇所別規則生成手段４５０の各手段の組合せのうち、いずれか１つの組合せのみを含んでいてもよく、各組合せを２つ以上含んでいてもよい。
【００５４】
ウィンドウ分割手段１４０と、イベント相関用ルールエンジン１６０と、イベント相関規則生成手段１８０（より具体的には、イベント型ウィンドウ分割手段２１０と、相互相関分類手段２３０と、相互相関規則生成手段２５０と、単一相関分類手段３３０と、単一相関規則生成手段３５０と、発生箇所別分類手段４３０と、発生箇所別規則生成手段４５０）とは、プログラム（イベント相関規則検出用プログラム）に従って動作するコンピュータのＣＰＵ（Central Processing Unit ）によって実現される。
【００５５】
例えば、プログラムは、イベント相関規則検出システムを実現する装置の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、ウィンドウ分割手段１４０、イベント相関用ルールエンジン１６０およびイベント相関規則生成手段１８０（より具体的には、イベント型ウィンドウ分割手段２１０、相互相関分類手段２３０、相互相関規則生成手段２５０、単一相関分類手段３３０、単一相関規則生成手段３５０、発生箇所別分類手段４３０および発生箇所別規則生成手段４５０）として動作してもよい。
【００５６】
また、ウィンドウ分割手段１４０と、イベント相関用ルールエンジン１６０と、イベント相関規則生成手段１８０（より具体的には、イベント型ウィンドウ分割手段２１０と、相互相関分類手段２３０と、相互相関規則生成手段２５０と、単一相関分類手段３３０と、単一相関規則生成手段３５０と、発生箇所別分類手段４３０と、発生箇所別規則生成手段４５０）とは、それぞれが専用のハードウェアで実現されていてもよい。
【００５７】
次に、本実施形態のイベント相関規則検出システムの動作を説明する。まず、本実施形態のイベント相関規則検出システムの動作のうち、イベント相関規則を検出する動作を説明する。図６は、イベント相関規則を検出する動作の例を示すフローチャートである。
【００５８】
まず、イベント相関規則生成手段１８０は、イベント履歴ＤＢ１３０に記憶されたイベント情報を参照して、イベント相関規則を生成する。イベント相関規則生成手段１８０は、生成したイベント相関規則をイベント相関規則ＤＢ１７０に記憶する（ステップＡ１１０）。なお、イベント相関規則を生成する動作については後述される。
【００５９】
イベント相関規則ＤＢ１７０にイベント相関規則が記憶された後、システムの運用が開始される（ステップＡ１２０）。
【００６０】
続いて、ウィンドウ分割手段１４０は、イベント発生源１１０が発生させたイベントに関するイベント情報を受信し、一定時間Ｗ［ｓｅｃ］ごとにイベント情報をグループ化する。ウィンドウ分割手段１４０は、その結果をイベントウィンドウ表記憶手段１５０に記録する（ステップＡ１３０）。
【００６１】
イベント相関用ルールエンジン１６０は、イベント相関規則ＤＢ１７０に格納されたイベント相関規則を参照し、イベントウィンドウ表記憶手段１５０に記憶されているイベント間で相関のあるイベント群をＧＵＩ１１５に表示する（ステップＡ１４０）。
【００６２】
イベント相関用ルールエンジン１６０は、ユーザが運用終了の指示を与えているか否か判断する（ステップＡ１５０）。運用終了の指示は、例えば、ＧＵＩ１１５等を介してユーザにより与えられる。運用終了の指示が与えられていない場合（ステップＡ１５０におけるｎｏ）、ステップＡ１３０以降の処理が繰り返される。一方、運用終了の指示が与えられている場合（ステップＡ１５０におけるｙｅｓ）、イベント相関規則を検出する動作は終了する。
【００６３】
次に、本実施形態のイベント相関規則生成手段１８０の動作を説明する。図７は、イベント相関規則生成手段１８０の動作の例を示すフローチャートである。
【００６４】
イベント型ウィンドウ分割手段２１０は、イベント履歴ＤＢ１３０を参照し、一定時間Ｗ［ｓｅｃ］単位でイベントをイベントウィンドウに分割し、イベント型ウィンドウ表記憶手段２２０に記憶する（ステップＢ１１０）。
【００６５】
相互相関分類手段２３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一で、一のイベントの属性が示す情報と他のイベントの発生箇所を示す情報とが同一である組を相互相関イベント型ウィンドウ表２４０として抽出する（ステップＢ１２０）。
【００６６】
相互相関規則生成手段２５０は、相互相関イベント型ウィンドウ表２４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１３０）。
【００６７】
続いて、単一相関分類手段３３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報が同一である組を単一相関イベント型ウィンドウ表３４０として抽出する（ステップＢ１４０）。
【００６８】
単一相関規則生成手段３５０は、単一相関イベント型ウィンドウ表３４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１５０）。ただし、単一相関規則生成手段３５０は、相互相関規則生成手段２５０がすでに生成済みのイベント相関規則とイベント型が同一の規則を記憶しないようにする。このようにすることで、重複したイベント相関規則がイベント相関規則ＤＢ１７０に記憶されることを抑制できる。
【００６９】
続いて、発生箇所別分類手段４３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一である組を発生箇所別イベント型ウィンドウ表４４０として抽出する（ステップＢ１６０）。
【００７０】
発生箇所別規則生成手段４５０は、発生箇所別イベント型ウィンドウ表４４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１７０）。ただし、発生箇所別規則生成手段４５０は、相互相関規則生成手段２５０および単一相関規則生成手段３５０がすでに生成済みのイベント相関規則とイベント型が同一の規則を記憶しないようにする。このようにすることで、重複したイベント相関規則がイベント相関規則ＤＢ１７０に記憶されることを抑制できる。
【００７１】
以上のように、本実施形態によれば、イベント型ウィンドウ分割手段２１０が、イベント履歴ＤＢ１３０に記憶されたイベント情報の集合をイベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントウィンドウを生成する。相互相関分類手段２３０が、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する。そして、相互相関規則生成手段２５０が、イベント相関規則を生成する。このイベント相関規則としての相互相関規則は、相互相関分類手段２３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれる発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定する。以上の構成により、関連するイベントの誤検出率を抑えることができる。
【００７２】
すなわち、本実施形態のイベント相関規則検出システムでは、既存のイベント履歴からイベントの発生箇所やイベントの属性も考慮したイベント相関規則が生成される。よって、誤検出率を抑えることができるため、相関イベントを高精度に検出することが可能になる。
【００７３】
また、単一相関分類手段３３０が、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出してもよい。そして、単一相関規則生成手段３５０が、イベント相関規則を生成してもよい。このイベント相関規則としての単一相関規則は、単一相関分類手段３３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれる発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定する。このような構成を含むことで、関連するイベントの誤検出率をより抑えることができる。
【００７４】
また、発生箇所別分類手段４３０が、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出してもよい。そして、発生箇所別規則生成手段４５０が、イベント相関規則を生成する。このイベント相関規則としての発生箇所別規則則は、発生箇所別分類手段４３０が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれる発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定する。このような構成を含むことで、関連するイベントの誤検出率をより抑えることができる。
【００７５】
以下、図２１（ａ）に例示するイベントの例を用いて、本実施形態の効果を説明する。メールサーバで発生したＮＯＱＵＥＵＥイベントは、発生箇所６１（ｓｏｌ８：１９２．１６８．２００．１９２）とイベントに関係するホスト（装置）を示す属性６２（ＮＯＱＵＥＵＥ．ｆｒｏｍＨｏｓｔ＝１９２．１６８．２００．１０）とを含む。
【００７６】
また、メールクライアントで発生したＣｏｎｎｅｃｔｉｏｎ  Ｆａｉｌｅｄイベントは、発生箇所６３（ｍｙｈｏｓｔ：１９２．１６８．２００．１０）と、イベントに関係するホスト（装置）を示す属性６４（Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅ．ｔｏＨｏｓｔ＝１９２．１６８．２００．１９２）とを含む。
【００７７】
このイベントの組を参照すると、メールサーバで発生したイベントの発生箇所を示す情報と、メールクライアントで発生したイベントの属性が示す情報とが同一である。且つ、メールサーバで発生したイベントの属性が示す情報と、メールクライアントで発生したイベントの発生箇所を示す情報とが同一である。そのため、相互相関分類手段２３０が、このイベントの組を相互相関イベント型ウィンドウ表２４０として抽出する。
【００７８】
そして、相互相関規則生成手段２５０は、このイベントの組から相互相関規則を生成する。図８は、相互相関規則の例を示す説明図である。図８に例示する規則は、Ｃｏｎｎｅｃｔｉｏｎ＿ＦａｉｌｕｒｅイベントからＮＯＱＵＥＵＥイベントが１５分以内に発生し、ＷＨＥＲＥ節が成立したときのみに、相関有りと判断されることを意味する。また、ＷＨＥＲＥ節は、Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅの発生箇所（Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅ．ｈｏｓｔｎａｍｅ）とＮＯＱＵＥＵＥの属性（ＮＯＱＵＥＵＥ．ｆｒｏｍＨｏｓｔ）が一致しており、かつ、ＮＯＱＵＥＵＥの発生箇所（ＮＯＱＵＥＵＥ．ｈｏｓｔｎａｍｅ）とＣｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅの属性（Ｃｏｎｎｅｃｔｉｏｎ＿Ｆａｉｌｕｒｅ．ｔｏＨｏｓｔ）が一致しているという条件を示す。
【００７９】
図２２に例示するイベントからイベント相関規則を検出する場合、図８に例示するイベント相関規則を用いれば、図２２に例示するイベントからはイベントの組が抽出されないことになる。このように、同時間帯に複数の装置間で同種のイベントが複数発生した場合であっても、関連するイベントの誤検出を抑制できる。
【００８０】
なお、相互相関規則生成手段２５０、単一相関規則生成手段３５０および発生箇所別規則生成手段４５０がイベント相関規則を生成する処理は、シークエントを用いて表すことも可能である。図９は、イベント相関規則を生成する処理を表すシークエントの例を示す説明図である。図９（ａ）は、発生箇所別規則を生成する処理の例を示す。図９（ｂ）は、単一相関規則の例を示す。図９（ｃ）は、相互相関規則の例を示す。
【００８１】
図９に例示するシークエントは、イベント型ウィンドウ表の中に、横線上部に該当するイベント群が存在するとき、横線下部の規則を生成することを示す。
【００８２】
図９（ａ）に例示するシークエントは、発生箇所が同一（Ａ１）のイベント型ｅ１及びｅ２のイベントが同一のイベントウィンドウＷに属しており、イベント型ｅ１とイベント型ｅ２の相関規則（ｅ１=>ｅ２）を生成する場合を想定している。
【００８３】
そして、図９（ａ）に例示するシークエントは、「イベントの発生箇所が同一ならば、イベント型ｅ１のイベントとイベント型ｅ２のイベントは、イベント相関が成り立つ」というイベント相関規則を生成することを意味する。
【００８４】
すなわち、図９（ａ）に例示するシークエントは、発生箇所別規則生成手段４５０が行う動作を示している。
【００８５】
図９（ｂ）に例示するシークエントは、イベント型ｅ１及びｅ２のイベントが同一のイベントウィンドウＷに属しており、イベントｅ１の属性ａｔｔｒ１の値が、イベントｅ２の発生箇所（Ｂ１）と同一であり、かつ、イベント型ｅ１とイベント型ｅ２の相関規則（ｅ１=>ｅ２）を生成する場合を想定している。
【００８６】
そして、図９（ｂ）に例示するシークエントは、「イベント型ｅ１のイベントの属性ａｔｔｒ１が他のイベント発生箇所と同一であるイベント型ｅ１のイベントは、イベント相関が成り立つ」というイベント相関規則を生成することを意味する。
【００８７】
すなわち、図９（ｂ）に例示するシークエントは、単一相関規則生成手段３５０が行う動作を示している。
【００８８】
図９（ｃ）に例示するシークエントは、イベント型ｅ１及びｅ２のイベントが同一のイベントウィンドウＷに属しており、イベントｅ１の属性ａｔｔｒ１の値が、イベントｅ２の発生箇所（Ｂ１）と同一であり、イベントｅ２の属性ａｔｔｒ２の値が、イベントｅ２の発生箇所（Ａ１）と同一であり、イベント型ｅ１とイベント型ｅ２の相関規則（ｅ１=>ｅ２）を生成する場合を想定している。
【００８９】
そして、図９（ｃ）に例示するシークエントは、「イベントｅ１の属性ａｔｔｒ１が、ｅ２のイベント発生箇所と同一であり、イベントｅ２の属性ａｔｔｒ２が、ｅ１のイベント発生箇所と同一であるならば、イベント型ｅ１のイベントとイベント型ｅ２のイベントは、イベント相関が成り立つ」というイベント相関規則を生成することを意味する。
【００９０】
すなわち、図９（ｃ）に例示するシークエントは、相互相関規則生成手段２５０が行う動作を示している。
【００９１】
例えば、イベント相関規則を生成する一般的な方法では、イベントの発生箇所を考慮せずにイベント相関規則が生成されていた。そのため、イベントの相関を検出する際、関係のないイベントが誤検出される場合があった。しかし、上述するように、相互相関規則生成手段２５０、単一相関規則生成手段３５０および発生箇所別規則生成手段４５０がイベントの発生箇所を示す情報を含むイベント相関規則を生成するため、関連するイベントの誤検出率を抑えることができる。
【実施例】
【００９２】
以下、具体的な実施例により本発明を説明するが、本発明の範囲は以下に説明する内容に限定されない。以下の実施例の説明では、イベント履歴ＤＢ１３０が図２に例示するイベント履歴を記憶しているものとする。また、図２に例示するイベントのイベント型は、ＱｕｅｒｙＥｒｒｏｒ，ＤＢＥｒｒｏｒ，ＮＷＣｏｎｇｅｓｔｉｏｎ，ＴｏｏＭａｎｙＲｅｑｕｅｓｔ，ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅの６種類であるとする。【００９３】
イベント型ウィンドウ分割手段２１０は、イベント履歴ＤＢ１３０を参照し、一定時間Ｗ［ｓｅｃ］＝３００秒単位でイベントをイベントウィンドウに分割し、イベント型ウィンドウ表記憶手段２２０に記憶する（図７におけるステップＢ１１０）。本実施例では、この処理により、図５の例に示すようにイベントが記憶される。具体的には、イベント履歴ＤＢ１３０にイベントウィンドウのＩＤ（ｗ＃）を付与した情報がイベント型ウィンドウ表記憶手段２２０に記憶された情報になる。【００９４】
相互相関分類手段２３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一で、一のイベントの属性が示す情報と他のイベントの発生箇所を示す情報とが同一である組を相互相関イベント型ウィンドウ表２４０として抽出する（ステップＢ１２０）。【００９５】
例えば、図５に例示する表のイベントＩＤ（ｅ＃）５，６で識別される２つのイベントは、同一ウィンドウ（ｗ＃＝３）に属している。また、ｅ＃＝５で識別されるイベントの発生箇所（Ｄ２）とｅ＃＝６で識別されるイベントの属性２が示す値（Ｄ２）は同一である。かつ、ｅ＃＝５で識別されるイベントの属性１の値（ＬＢ）と、ｅ＃＝６で識別されるイベントの発生箇所（ＬＢ）は同一である。よって、相互相関分類手段２３０は、このイベントの組を相互相関イベント型ウィンドウ表２４０として抽出する。【００９６】
続いて、相互相関規則生成手段２５０は、相互相関イベント型ウィンドウ表２４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１３０）。【００９７】
図１０は、相互相関イベント型ウィンドウ表の例を示す説明図である。ここでは、図１０に例示する相互相関イベント型ウィンドウ表２４０が生成されているものとする。【００９８】
相互相関規則生成手段２５０は、イベントの組ごとに、イベント型の組における支持度と信頼度を計算する。そして、相互相関規則生成手段２５０は、支持度および信頼度が閾値よりも大きいイベント型の組を特定し、このイベント型の組から相互相関規則を生成する。以下、イベント型の組を（ｅＴｙｐｅ１，ｅＴｙｐｅ２）と記す。【００９９】
なお、この閾値は、予め定められた値であってもよく、運用者がＧＵＩ１１５を介して入力した値であってもよい。以降に示す閾値についても同様である。【０１００】
ここで、イベント型の組（ｅＴｙｐｅ１，ｅＴｙｐｅ２）に対する支持度ｓ（ｅＴｙｐｅ１，ｅＴｙｐｅ２）とは、相互相関イベント型ウィンドウ表２４０Ｗｍ中のイベント型の組が現れるウィンドウ数＃｛ｗ∈Ｗｍ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗに含まれるウィンドウ数＃｛ｗ∈Ｗ｝で割った値である。なお、＃は、集合の要素を表す単項前置演算子である。【０１０１】
すなわち、支持度ｓとは、対象とするイベント型の組がイベント履歴中に含まれる度合いを示す指標である。具体的には、支持度ｓは、相互相関分類手段２３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウ数で割ることにより算出される。【０１０２】
また、イベント型の組における信頼度は、イベント型（ｅ１．ｔｙｐｅ）の発生を元にするイベント型（ｅ２．ｔｙｐｅ）の信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）として表わすことができる。信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）は、相互相関イベント型ウィンドウ表２４０Ｗｍ中の２つのイベント型（ｅＴｙｐｅ１，ｅＴｙｐｅ２）が同時に発生するウィンドウ数＃｛ｗ∈Ｗｍ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗの中でｅＴｙｐｅ１が発生するウィンドウ数＃｛ｗ∈Ｗ｜ｅ∈ｗ∧ｅ．ｔｙｐｅ＝ｅＴｙｐｅ１｝で割った値である。【０１０３】
すなわち、信頼度とは、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である。具体的には、第一のイベント型を有する一のイベントの発生に基づいて発生する第二のイベント型を有する他のイベントの信頼度ｔは、相互相関分類手段２３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウのうち一のイベント型のイベントを有するイベントウィンドウの数で割ることにより算出される。【０１０４】
図１１は、支持度および信頼度の例を示す説明図である。本実施例では、支持度の閾値を０．１５とし、信頼度の閾値を０．６とする。【０１０５】
図１１（ａ）は、支持度の例を示す説明図である。図１１（ａ）に例示する表では、行と列で表されたイベント型の交点に当たる部分が、そのイベント型の組の支持度を表す。【０１０６】
図１１（ａ）に例示する支持度が算出された場合、支持度の閾値０．１５よりも支持度が大きい組は、ｓ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ，ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ）＝ｓ（ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）である。【０１０７】
図１１（ｂ）は、信頼度の例を示す説明図である。図１１（ｂ）に例示する表では、行と列で表されたイベント型の交点に当たる部分が、そのイベント型の組の信頼度を表す。【０１０８】
図１１（ｂ）に例示する信頼度が算出された場合、信頼度が閾値０．６よりも大きい組は、ｔ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ｜ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ），ｔ（ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ｜ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）の２つである。【０１０９】
そこで、相互相関規則生成手段２５０は、これらの結果（図１１（ｃ）参照）に基づいて相互相関規則を生成する。具体的には、相互相関規則生成手段２５０は、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組のうち、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一で、一のイベントの属性が示す情報と他のイベントの発生箇所を示す情報とが同一である組であって、支持度および信頼度に基づいて特定されたイベント型を有する組であることを条件とする相互相関規則を生成する。【０１１０】
図１２は、イベント相関規則の例を示す説明図である。本実施例では、相互相関規則生成手段２５０は、図１２（ａ）および図１２（ｂ）に例示する規則を生成する。すなわち、相互相関規則生成手段２５０は、以下に示す２つの規則を生成する。そして、相互相関規則生成手段２５０は、これらの規則をイベント相関規則ＤＢ１７０に記憶する。【０１１１】
NullConnectionFrom => ConnectionFailure WITHIN 15min WHERE {
NullConnectionFrom.hostname == ConnectionFailure.attr2 
NullConnectionFrom.attr1 == ConnectionFailure.hostname
} 
ConnectionFailure => NullConnectionFrom WITHIN 15min WHERE {
ConnectionFailure.hostname == NullConnectionFrom.attr1 
ConnectionFailure.attr2 == NullConnectionFrom.hostname
}【０１１２】
このように、相互相関規則生成手段２５０が、相互相関分類手段２３０が抽出したイベント型の各組について支持度と信頼度を計算し、支持度および信頼度が閾値よりも大きいイベント型の組から相互相関規則を生成する。【０１１３】
次に、単一相関分類手段３３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組で、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一である組を単一相関イベント型ウィンドウ表３４０として抽出する（ステップＢ１４０）。【０１１４】
例えば、図５に例示する表のイベントＩＤ（ｅ＃）１０，１１で識別される２つのイベントは、同一ウィンドウ（ｗ＃＝４）に属している。また、ｅ＃＝１１で識別されるイベントの発生箇所（Ｄ２）と、ｅ＃＝１０で識別されるイベントの属性１の値（Ｄ２）は同一である。よって、単一相関分類手段３３０は、このイベントの組を単一相関イベント型ウィンドウ表３４０として抽出する。【０１１５】
続いて、単一相関規則生成手段３５０は、単一相関イベント型ウィンドウ表３４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１５０）。【０１１６】
図１３は、単一相関イベント型ウィンドウ表の例を示す説明図である。ここでは、図１３に例示する単一相関イベント型ウィンドウ表３４０が生成されているものとする。【０１１７】
単一相関規則生成手段３５０は、イベントの組ごとに、イベント型の組における支持度と信頼度を計算する。そして、単一相関規則生成手段３５０は、支持度および信頼度が閾値よりも大きいイベント型の組を特定し、このイベント型の組から単一相関規則を生成する。【０１１８】
ここで、イベント型の組（ｅＴｙｐｅ１，ｅＴｙｐｅ２）に対する支持度ｓ（ｅＴｙｐｅ１，ｅＴｙｐｅ２）とは、単一相関イベント型ウィンドウ表３４０Ｗｓ中のイベント型の組が現れるウィンドウ数＃｛ｗ∈Ｗｓ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウＷに含まれるウィンドウ数＃｛ｗ∈Ｗ｝で割った値である。【０１１９】
すなわち、ここでの支持度ｓも、対象とするイベント型の組がイベント履歴中に含まれる度合いを示す指標である。具体的には、支持度ｓは、単一相関分類手段３３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウ数で割ることにより算出される。【０１２０】
また、イベント型の組における信頼度は、イベント型（ｅ１．ｔｙｐｅ）の発生を元にするイベント型（ｅ２．ｔｙｐｅ）の信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）として表わすことができる。信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）は、単一相関イベント型ウィンドウ表３４０Ｗｓ中の２つのイベント型（ｅＴｙｐｅ１，ｅＴｙｐｅ２）が同時に発生するウィンドウ数＃｛ｗ∈Ｗｓ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗの中でｅＴｙｐｅ１が発生するウィンドウ数＃｛ｗ∈Ｗ｜ｅ∈ｗ∧ｅ．ｔｙｐｅ＝ｅＴｙｐｅ１｝で割った値である。【０１２１】
すなわち、ここでの信頼度も、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である。具体的には、第一のイベント型を有する一のイベントの発生に基づいて発生する第二のイベント型を有する他のイベントの信頼度ｔは、単一相関分類手段３３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウのうち一のイベント型のイベントを有するイベントウィンドウの数で割ることにより算出される。【０１２２】
図１４は、支持度および信頼度の他の例を示す説明図である。本実施例では、支持度の閾値を０．２とし、信頼度の閾値を０．６とする。【０１２３】
図１４（ａ）は、支持度の例を示す説明図である。表の内容は、図１１（ａ）に例示する表と同様である。【０１２４】
図１４（ａ）に例示する支持度が算出された場合、支持度の閾値０．２よりも支持度が大きい組は、ｓ（ＤＢＥｒｒｏｒ，ＱｕｅｒｙＥｒｒｏｒ）＝ｓ（ＱｕｅｒｙＥｒｒｏｒ，ＤＢＥｒｒｏｒ）及びｓ（ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）＝ｓ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ，ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ）の２つである。【０１２５】
図１４（ｂ）は、信頼度の例を示す説明図である。表の内容は、図１１（ｂ）に例示する表と同様である。【０１２６】
図１４（ｂ）に例示する信頼度が算出された場合、信頼度が閾値０．６よりも大きい組は、ｔ（ＱｕｅｒｙＥｒｒｏｒ｜ＤＢＥｒｒｏｒ），ｔ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ｜ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ），ｔ（ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ｜  ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）の３つである。【０１２７】
そこで、単一相関規則生成手段３５０は、これらの結果（図１４（ｃ）参照。）に基づいて単一相関規則を生成する。具体的には、単一相関規則生成手段３５０は、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組のうち、一のイベントの発生箇所を示す情報と他のイベントの属性が示す情報とが同一である組であって、支持度および信頼度に基づいて特定されたイベント型を有する組であることを条件とする単一相関規則を生成する。【０１２８】
この場合、単一相関規則生成手段３５０は、以下に示す３つの規則を生成する。【０１２９】
DBError => QueryError WITHIN 15min WHERE {
DBError.hostname== QueryError.attr1 
}  ・・・規則（１）
NullConnectionFrom => ConnectionFailure WITHIN 15min WHERE {
NullConnectionFrom.hostname == ConnectionFailure.attr2 
}  ・・・規則（２）
ConnectionFailure => NullConnectionFrom WITHIN 15min WHERE {
ConnectionFailure.hostname == NullConnectionFrom.attr1 
}  ・・・規則（３）【０１３０】
ただし、上記に示す３つの規則のうち、規則（２）および規則（３）のイベント型は、それぞれ「NullConnectionFrom => ConnectionFailure」、「ConnectionFailure => NullConnectionFrom」である。これは、ステップＢ１３０で生成された規則のイベント型と一致する。そのため、単一相関規則生成手段３５０は、上記に示す２つの規則（２）および規則（３）（図１６（ｃ）における網掛け部分）を除き、一番上に示す規則（１）をイベント相関規則ＤＢ１７０に記憶する（図１２（ｃ）参照）。【０１３１】
次に、発生箇所別分類手段４３０は、イベント型ウィンドウ表記憶手段２２０を参照し、同一時間区分（すなわち、同一イベントウィンドウ）内に含まれるイベントの組で、一のイベントの発生箇所を示す情報と他のイベントの発生箇所を示す情報とが同一である組を発生箇所別イベント型ウィンドウ表４４０として抽出する（ステップＢ１６０）。【０１３２】
例えば、図５に例示する表のイベントＩＤ（ｅ＃）２，３で識別される２つのイベントは、同一ウィンドウ（ｗ＃＝１）に属している。また、両者とも、イベントの発生箇所（ＬＢ）は同一である。よって、発生箇所別分類手段４３０は、このイベントの組を発生箇所別イベント型ウィンドウ表４４０として抽出する。【０１３３】
続いて、発生箇所別規則生成手段４５０は、発生箇所別イベント型ウィンドウ表４４０を参照し、イベント相関規則を生成して、イベント相関規則ＤＢ１７０に記憶する（ステップＢ１７０）。【０１３４】
図１５は、発生箇所別イベント型ウィンドウ表の例を示す説明図である。ここでは、図１５に例示する発生箇所別イベント型ウィンドウ表４４０が生成されているものとする。【０１３５】
発生箇所別規則生成手段４５０は、イベントの組ごとに、イベント型の組における支持度と信頼度を計算する。そして、発生箇所別規則生成手段４５０は、支持度および信頼度が閾値よりも大きいイベント型の組を特定し、このイベント型の組から発生箇所別規則を生成する。【０１３６】
ここで、イベント型の組（ｅＴｙｐｅ１，ｅＴｙｐｅ２）に対する支持度ｓ（ｅＴｙｐｅ１，ｅＴｙｐｅ２）とは、発生箇所別イベント型ウィンドウ表４４０Ｗｐ中のイベント型の組が現れるウィンドウ数＃｛ｗ∈Ｗｐ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗに含まれるウィンドウ数＃｛ｗ∈Ｗ｝で割った値である。【０１３７】
すなわち、ここでの支持度ｓも、対象とするイベント型の組がイベント履歴中に含まれる度合いを示す指標である。具体的には、支持度ｓは、発生箇所別分類手段４３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウ数で割ることにより算出される。【０１３８】
また、イベント型の組における信頼度は、イベント型（ｅ１．ｔｙｐｅ）の発生を元にするイベント型（ｅ２．ｔｙｐｅ）の信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）として表わすことができる。信頼度ｔ（ｅＴｙｐｅ２｜ｅＴｙｐｅ１）は、発生箇所別イベント型ウィンドウ表４４０Ｗｐ中の２つのイベント型（ｅＴｙｐｅ１，ｅＴｙｐｅ２）が同時に発生するウィンドウ数＃｛ｗ∈Ｗｐ｜ｅａ，ｅｂ∈ｗ∧ｅａ．ｔｙｐｅ＝ｅＴｙｐｅ１∧ｅｂ．ｔｙｐｅ＝ｅＴｙｐｅ２｝を、イベント型ウィンドウ表Ｗの中でｅＴｙｐｅ１が発生するウィンドウ数＃｛ｗ∈Ｗ｜ｅ∈ｗ∧ｅ．ｔｙｐｅ＝ｅＴｙｐｅ１｝で割った値である。【０１３９】
すなわち、ここでの信頼度も、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である。具体的には、第一のイベント型を有する一のイベントの発生に基づいて発生する第二のイベント型を有する他のイベントの信頼度ｔは、発生箇所別分類手段４３０が抽出したイベント型の組が現れるイベントウィンドウ数を、イベント型ウィンドウ表記憶手段２２０において抽出対象とされたイベントウィンドウのうち一のイベント型のイベントを有するイベントウィンドウの数で割ることにより算出される。【０１４０】
図１６は、支持度および信頼度のさらに他の例を示す説明図である。本実施例では、支持度の閾値を０．１５とし、信頼度の閾値を０．６とする。【０１４１】
図１６（ａ）は、支持度の例を示す説明図である。表の内容は、図１１（ａ）に例示する表と同様である。【０１４２】
図１６（ａ）に例示する支持度が算出された場合、支持度の閾値０．１５よりも支持度が大きい組は、ｓ（ＮＷＣｏｎｇｅｓｔｉｏｎ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）＝ｓ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ，ＮＷＣｏｎｇｅｓｔｉｏｎ）及びｓ（ＴｏｏＭａｎｙＲｅｑｕｅｓｔ，ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ）＝ｓ（ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ，ＴｏｏＭａｎｙＲｅｑｕｅｓｔ）の２つである。【０１４３】
図１６（ｂ）は、信頼度の例を示す説明図である。表の内容は、図１１（ｂ）に例示する表と同様である。【０１４４】
図１６（ｂ）に例示する信頼度が算出された場合、信頼度が閾値０．６よりも大きい組は、存在しない。そのため、この例の場合、発生箇所別規則生成手段４５０は、イベント相関規則（発生箇所別規則）を生成しない（図１６（ｃ）参照）。【０１４５】
以上の処理により、相互相関規則生成手段２５０、単一相関規則生成手段３５０および発生箇所別規則生成手段４５０は、図１２に例示する３つの規則を生成する。【０１４６】
次に、イベント相関規則を検出する処理の具体的な動作を説明する。なお、以下の処理は、図６に例示するフローチャートで示す動作の一部に対応する。【０１４７】
ウィンドウ分割手段１４０は、イベント発生源１１０が発生させたイベントを受信し、一定時間Ｗ［ｓｅｃ］ごとにイベントを分割し、イベントウィンドウ表記憶手段１５０に記憶する（ステップＡ１３０）。【０１４８】
図１７は、イベントウィンドウ表記憶手段１５０に記憶されたイベントウィンドウ表の例を示す説明図である。このうち、ウィンドウ４（ｗ＃＝４）で識別されるイベント（ｅ＃＝１２）のイベント型「ＮｕｌｌＣｏｎｎｅｃｔｉｏｎＦｒｏｍ」と、イベント（ｅ＃＝１３）のイベント型「ＣｏｎｎｅｃｔｉｏｎＦａｉｌｕｒｅ」が、図１２に例示する第一段目の規則に合致する。具体的には、イベント（ｅ＃＝１２）とイベント（ｅ＃＝１３）との関係が、以下の規則に合致する。【０１４９】
NullConnectionFrom => ConnectionFailure WITHIN 15min WHERE {
NullConnectionFrom.hostname == ConnectionFailure.attr2 
NullConnectionFrom.attr1 == ConnectionFailure.hostname
}【０１５０】
そのため、イベント相関用ルールエンジン１６０は、イベント相関規則ＤＢ１７０に記憶された上記イベント相関規則に従い、イベントウィンドウ表記憶手段１５０に記録されたイベントで相関のあるイベント（ｅ＃＝１２），（ｅ＃＝１３）をＧＵＩ１１５に表示する。【０１５１】
次に、本発明の概要を説明する。図１８は、本発明によるイベント相関規則検出システムの概要を示すブロック図である。本発明によるイベント相関規則検出システムは、イベントの発生箇所を示す情報（例えば、メールサーバ、メールクライアントなど）、そのイベントの種類を示すイベント型（例えば、ＱｕｅｒｙＥｒｒｏｒなど）および、そのイベントに関係する情報（例えば、イベントに関する装置を示す情報、イベント発生時刻など）を示す１つ以上のイベント属性を含むイベント情報の集合を、そのイベントの発生時刻に基づいて予め定められた時間間隔（例えば、一定間隔Ｗ［ｓｅｃ］）で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割手段８１（例えば、イベント型ウィンドウ分割手段２１０）と、イベント型ウィンドウ分割手段８１によって生成されたイベントウィンドウの集合であるイベント型ウィンドウ表（例えば、イベント型ウィンドウ表記憶手段２２０に記憶されたイベント型ウィンドウ表）から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、一のイベントのイベント属性が示す情報と他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出手段８２（例えば、相互相関分類手段２３０）と、相互相関関係抽出手段８２が抽出したイベントの組に含まれる各イベント型の組合せを満たし、イベントの組に含まれるそのイベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則（例えば、図１２（ａ）、図１２（ｂ）に例示する相互相関規則）をイベント相関規則として生成する相互相関規則生成手段８３（例えば、相互相関規則生成手段２５０）とを備えている。【０１５２】
そのような構成により、関連するイベントの誤検出率を抑えることができる。【０１５３】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。【０１５４】
（付記１）イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割手段と、前記イベント型ウィンドウ分割手段によって生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出手段と、前記相互相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成手段とを備えたことを特徴とするイベント相関規則検出システム。【０１５５】
（付記２）イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出する単一相関関係抽出手段と、前記単一相関関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する単一相関規則生成手段とを備えた付記１記載のイベント相関規則検出システム。【０１５６】
（付記３）単一相関規則生成手段は、生成した単一相関規則のうち、相互相関規則生成手段が生成した相互相関規則とイベント型の組が一致する規則を除いた単一相関規則をイベント相関規則として生成する付記２記載のイベント相関規則検出システム。【０１５７】
（付記４）イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出する発生箇所関係抽出手段と、前記発生箇所関係抽出手段が抽出したイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定した発生箇所別規則をイベント相関規則として生成する発生箇所別規則生成手段とを備えた付記２または付記３記載のイベント相関規則検出システム。【０１５８】
（付記５）発生箇所別規則生成手段は、生成した発生箇所別規則のうち、相互相関規則生成手段が生成した相互相関規則とイベント型の組が一致する規則、および、単一相関規則生成手段が生成した単一相関規則とイベント型の組が一致する規則を除いた発生箇所別規則をイベント相関規則として生成する付記４記載のイベント相関規則検出システム。【０１５９】
（付記６）イベント相関規則生成手段は、イベントの組ごとに、対象とするイベント型の組がイベント情報の集合中に含まれる度合いを示す指標である支持度と、一のイベントが発生した場合に他のイベントが発生し得る度合いを示す指標である信頼度とを計算し、当該支持度および当該信頼度が閾値よりも大きいイベント型の組から相互相関規則を生成する付記１記載のイベント相関規則検出システム。【０１６０】
（付記７）イベント情報に含まれるイベント属性は、イベントに関係する装置を示す情報を含む付記１から付記６のうちのいずれか１つに記載のイベント相関規則検出システム。【０１６１】
（付記８）イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成し、生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出し、前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成することを特徴とするイベント相関規則検出方法。【０１６２】
（付記９）イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出し、前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する付記８記載のイベント相関規則検出方法。【０１６３】
（付記１０）イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、イベントの発生箇所を示す情報が同一であるイベントの組を抽出し、前記抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報同士が所定の条件を満たす関係にあるイベントの組が相関を有することを規定した発生箇所別規則をイベント相関規則として生成する付記８または付記９記載のイベント相関規則検出方法。【０１６４】
（付記１１）コンピュータに、イベントの発生箇所を示す情報、当該イベントの種類を示すイベント型および当該イベントに関係する情報を示す１つ以上のイベント属性を含むイベント情報の集合を、当該イベントの発生時刻に基づいて予め定められた時間間隔で分割したイベントの集合であるイベントウィンドウを生成するイベント型ウィンドウ分割処理、前記イベント型ウィンドウ分割処理で生成されたイベントウィンドウの集合であるイベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一で、前記一のイベントのイベント属性が示す情報と前記他のイベントの発生箇所を示す情報とが同一であるイベントの組を抽出する相互相関関係抽出処理、および、前記相互相関関係抽出処理で抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した相互相関規則をイベント相関規則として生成する相互相関規則生成処理を実行させるための相関規則検出用プログラム。【０１６５】
（付記１２）コンピュータに、イベント型ウィンドウ表から、同一イベントウィンドウ内に含まれるイベントの組であって、一のイベントの発生箇所を示す情報と他のイベントのイベント属性が示す情報とが同一であるイベントの組を抽出する単一相関関係抽出処理、および、前記単一相関関係抽出処理で抽出されたイベントの組に含まれる各イベント型の組合せを満たし、前記イベントの組に含まれる当該イベントの発生箇所を示す情報とイベント属性が示す情報とが所定の条件を満たす関係にあるイベントの組が相関を有することを規定した単一相関規則をイベント相関規則として生成する単一相関規則生成処理を実行させる付記１１記載のイベント相関規則検出用プログラム。【０１６６】
以上、実施形態及び実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。【０１６７】
この出願は、２０１２年２月２７日に出願された日本特許出願２０１２−０４００６２を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【産業上の利用可能性】
【０１６８】
本発明は、イベントの履歴からイベント相関規則を抽出するイベント相関規則検出システムに好適に適用される。例えば、本発明のイベント相関規則検出システムを、ＩＴ（Information Technology）システムが発生する警報を相関分析する用途に適用できる。
【符号の説明】
【０１６９】
１１０  イベント発生源
１１５  ＧＵＩ
１３０  イベント履歴データベース（イベント履歴ＤＢ）
１４０  ウィンドウ分割手段
１５０  イベントウィンドウ表記憶手段
１６０  イベント相関用ルールエンジン
１７０  イベント相関規則データベース（イベント相関規則ＤＢ）
１８０  イベント相関規則生成手段
２１０  イベント型ウィンドウ分割手段
２２０  イベント型ウィンドウ表記憶手段
２３０  相互相関分類手段
２４０  相互相関イベント型ウィンドウ表
２５０  相互相関規則生成手段
３３０  単一相関分類手段
３４０  単一相関イベント型ウィンドウ表
３５０  単一相関規則生成手段
４３０  発生箇所別分類手段
４４０  発生箇所別イベント型ウィンドウ表
４５０  発生箇所別規則生成手段
【図１】
2013128530.tif 000003
【図２】
2013128530.tif 000004
【図３】
2013128530.tif 000005
【図４】
2013128530.tif 000006
【図５】
2013128530.tif 000007
【図６】
2013128530.tif 000008
【図７】
2013128530.tif 000009
【図８】
2013128530.tif 000010
【図９】
2013128530.tif 000011
【図１０】
2013128530.tif 000012
【図１１】
2013128530.tif 000013
【図１２】
2013128530.tif 000014
【図１３】
2013128530.tif 000015
【図１４】
2013128530.tif 000016
【図１５】
2013128530.tif 000017
【図１６】
2013128530.tif 000018
【図１７】
2013128530.tif 000019
【図１８】
2013128530.tif 000020
【図１９】
2013128530.tif 000021
【図２０】
2013128530.tif 000022
【図２１】
2013128530.tif 000023
【図２２】
2013128530.tif 000024
【国際調査報告】
2013128530.tif 000025
2013128530.tif 000026
2013128530.tif 000027
2013128530.tif 000028