(57)【要約】データベースシステムを監視するための技術が提供される。１組のデータ要素は、データベースシステムから装置へと読込まれ得る。当該装置はデータベースシステムの外部にあってもよい。当該装置から、１組の分析処理がデータ要素に対して行なわれて、データ要素のうちのいずれかが潜在的に異常であるとみなされるための基準を満たしているかどうかを識別する。潜在的に異常なデータが識別されれば通知の信号が送られる。
2005526311.tif 000002
【特許請求の範囲】
【請求項１】
データベースシステムを監視するための方法であって、前記データベースシステムは、１組の１つ以上のプロセッサを用いて作動され、
前記データベースシステムによって管理されるデータ要素を読込むステップを含み、前記データ要素は前記データシステムのデータベース内にコンテンツとして記憶されるデータを含み、前記方法はさらに、
データ要素に対して１組の分析処理を実行して、１組の分析処理によって規定された基準に基づいて、異常である１つ以上のデータ要素を識別するステップと、
１つ以上のデータ要素が潜在的に異常であることを識別した後で、自動的に通知の信号を送るステップとを含み、
前記方法を含むステップは、実質的に、１組の１つ以上のプロセッサの外部にある処理リソースを用いて実行される、方法。
【請求項２】
前記方法のステップは、前記データベースシステム上で如何なるエージェントも実行することなく行なわれる、請求項１に記載の方法。
【請求項３】
前記データ要素に対して１組の分析処理を実行するステップは、前記１組の１つ以上のプロセッサ上で如何なるコードも実行することなく行なわれる、請求項１に記載の方法。
【請求項４】
前記データベースシステムによって管理されるデータ要素を読込むステップは、前記データベースのスキーマについてのメタデータを読込むステップを含む、請求項１に記載の方法。
【請求項５】
前記データベースシステムによって管理されるデータ要素を読込むステップは、前記データベースシステムの１人以上のユーザが、前記データベース内のデータを見る、変更するまたは削除するうちの少なくとも１つを行なうことができるようにするための１組の特権を示すデータを読込むステップを含む、請求項１に記載の方法。
【請求項６】
自動的に通知の信号を送る前記ステップは、少なくとも第１の指定されたｅメールアドレスにｅメールを送信するステップを含む、請求項１に記載の方法。
【請求項７】
自動的に通知の信号を送る前記ステップは、少なくとも第１の指定された電話番号を呼出すステップを含む、請求項１に記載の方法。
【請求項８】
１組の分析処理を実行する前記ステップは、データ要素のうちの少なくともいくつかを、以前のインスタンスで読込まれたデータ要素と比較するステップを含む、請求項１に記載の方法。
【請求項９】
前記データ要素を読込むステップは、データベースのシステムカタログを読込むステップを含み、１つ以上のデータ要素を識別するために前記データ要素に対して１組の分析処理を実行するステップは、システムカタログを、以前のインスタンスで前記データベースから読込まれたシステムカタログと比較するステップを含む、請求項４に記載の方法。
【請求項１０】
データベースシステムを監視するための方法であって、前記方法は、
前記データベースシステムのデータベース内にコンテンツとして記憶された１組のデータ要素を識別するステップと、
前記１組のデータ要素に対して一連の分析プロセスを行なって、前記データベース内の潜在的に異常なデータを識別するステップとを含む、方法。
【請求項１１】
１組のデータを識別するステップは、前記データベースシステムから前記１組のデータを読込むステップを含む、請求項１０に記載の方法。
【請求項１２】
外部の機械から前記データベースシステムからの前記１組のデータを読込むステップをさらに含む、請求項１１に記載の方法。
【請求項１３】
一連の分析プロセスを行なうステップは、前記データ要素に対して第１のプロセスを行なって、前記データベースにおける何らかのデータが、前記１組のデータ要素の第１の特徴に基づいて異常であるかどうかに関する第１の判定を行ない、かつ前記データ要素に対して第２のプロセスを行って、前記データベースにおける何らかのデータが、前記１組のデータ要素の第２の特徴に基づいて異常であるかどうかに関する第２の判定を行なうステップを含む、請求項１０に記載の方法。
【請求項１４】
一連の分析プロセスを行なうステップは、前記データ要素に対して第３のプロセスを行なって、前記データベースにおける何らかのデータが、前記１組のデータ要素の第３の特徴に基づいて異常であるかどうかに関する第３の判定を行なうステップを含む、請求項１３に記載の方法。
【請求項１５】
一連の分析プロセスを行なうステップは、前記１組のデータ要素を、ユーザによって規定された１組のパラメータと比較するステップを含む、請求項１０に記載の方法。
【請求項１６】
一連の分析プロセスを行なうステップは、前記１組のデータ要素における２つ以上のデータ要素の最大値、前記１組のデータ要素における２つ以上のデータ要素の最小値、および前記１組のデータ要素における２つ以上のデータ要素の平均値を決定するステップを含む、請求項１３に記載の方法。
【請求項１７】
一連の分析プロセスを行なうステップは、前記最大値、前記最小値、および前記平均値のうちの少なくとも１つを、以前の期間から決定された値と比較するステップを含む、請求項１６に記載の方法。
【請求項１８】
一連の分析プロセスを行なうステップは、前記１組のデータ要素から１群のデータを選択するステップと、前記１群のデータの特徴を決定するステップとを含む、請求項１３に記載の方法。
【請求項１９】
前記１群のデータの特徴を決定するステップは、前記１群のデータにおける最大値のデータ要素、前記１群のデータにおける最小値のデータ要素、および前記１群のデータの平均値のうちの１つ以上を決定するステップを含む、請求項１８に記載の方法。
【請求項２０】
１群のデータを選択する前記ステップは、１つ以上のユーザが規定したパラメータに基づいて前記１群のデータを選択するステップを含む、請求項１８に記載の方法。
【請求項２１】
一連の分析プロセスを行なう前記ステップは、統計分布を用いて前記１組のデータ要素から識別された値を一まとめにするステップと、次に前記統計分布を用いて潜在的に異常なデータをデータベース内で識別するステップとを含む、請求項１０に記載の方法。
【請求項２２】
一連の分析プロセスを行なう前記ステップは、前記データベース内の個々のデータ要素を規定する２つ以上のパラメータの範囲に基づいて、前記個々のデータ要素の値のデータポイントを識別するステップを含む、請求項２１に記載の方法。
【請求項２３】
前記２つ以上のパラメータは、前記個々のデータ要素の行を識別する第１のパラメータ
、および、前記個々のデータ要素の列を識別する第２のパラメータに対応する、請求項２２に記載の方法。
【請求項２４】
一連の分析プロセスを行なう前記ステップは、１つ以上の前記一連の分析プロセスの結果を、以前の期間に前記データベースから識別された１組のデータ要素に対する前記１つ以上の一連の分析プロセスを行なって得られた以前の結果と比較するステップを含む、請求項１０に記載の方法。
【請求項２５】
一連の分析プロセスを行なう前記ステップは、１つ以上の前記一連の分析プロセスの結果を、指定された１組の結果と比較するステップを含む、請求項１０に記載の方法。
【請求項２６】
潜在的に異常なデータが識別された場合に、自動的に通知の信号を送るステップをさらに含む、請求項１０に記載の方法。
【請求項２７】
通知の信号を送る前記ステップは、指定されたｅメールアドレスにｅメールを送信するステップを含む、請求項２６に記載の方法。
【請求項２８】
通知の信号を送る前記ステップは、指定された電話番号を呼出すステップを含む、請求項２６に記載の方法。
【請求項２９】
１つ以上のインスタンスで前記一連の分析プロセスを行なった結果をまとめて報告書を編集するステップをさらに含む、請求項１０に記載の方法。
【請求項３０】
前記潜在的に異常なデータをまとめて前記報告書を編集するステップをさらに含む、請求項２９に記載の方法。
【請求項３１】
潜在的に異常なデータを、前記データを前記データベースに記憶させた事象と関連付けるステップをさらに含む、請求項１０に記載の方法。
【請求項３２】
異常なデータを前記データベースに記憶させる複数の事象を記録するステップをさらに含む、請求項３１に記載の方法。
【請求項３３】
データベースシステムを監視するための方法であって、前記方法は、
指定された期間における１つ以上のインスタンスで、前記データベースシステムのデータベース内にコンテンツとして記憶された１組のデータ要素を識別するステップと、
前記１組のデータ要素が、前記指定された期間にわたってどのように修正されるかについてのトレンドデータを識別するステップと、
前記データベース内で潜在的に異常なデータを識別するために、前記トレンドデータに基づいて１つ以上の分析処理を実行するステップとを含む、方法。
【請求項３４】
１つ以上の分析処理を実行する前記ステップは、前記トレンドデータに基づいて前記１つ以上の分析処理を調整するステップを含む、請求項３３に記載の方法。
【請求項３５】
１つ以上の分析処理を実行する前記ステップは、前記トレンドデータに基づいて前記１つ以上の分析処理を選択するステップを含む、請求項３３に記載の方法。
【請求項３６】
前記１組のデータ要素がどのように修正されるかについてのトレンドを識別するステップは、ユーザによって指定された持続期間にわたって前記トレンドデータを識別するステップを含む、請求項３３に記載の方法。
【請求項３７】
前記指定された期間が一旦終了すると、１組のデータ要素を識別する前記ステップと、次に、前記指定された期間に識別された前記トレンドデータに基づいて前記１つ以上の分析処理を実行するステップとを繰り返すステップをさらに含む、請求項３３に記載の方法。
【請求項３８】
１組のデータ要素を識別するステップは、前記データベースシステムのデータベースから前記１組のデータ要素を読込むステップを含む、請求項３３に記載の方法。
【請求項３９】
１組のデータ要素を識別する前記ステップは、前記指定された期間にわたって複数のインスタンスで繰返され、前記１組のデータ要素がどのように修正されるかについてのトレンドデータを識別する前記ステップは、前記１組のデータ要素を識別する各々のインスタンスの後で、前記トレンドデータを更新するステップを含む、請求項３３に記載の方法。
【請求項４０】
潜在的に異常なデータが識別された場合、自動的に通知の信号を送るステップをさらに含む、請求項３３に記載の方法。
【請求項４１】
通知の信号を送る前記ステップは、指定されたｅメールアドレスにｅメールを送信するステップを含む、請求項４０に記載の方法。
【請求項４２】
通知の信号を送る前記ステップは、指定された電話番号を呼出すステップを含む、請求項４０に記載の方法。
【請求項４３】
前記１つ以上の分析処理を実行した結果をまとめて報告書に編集するステップをさらに含む、請求項３３に記載の方法。
【請求項４４】
前記潜在的に異常なデータを前記報告書に編集するステップをさらに含む、請求項３３に記載の方法。
【請求項４５】
潜在的に異常なデータを、前記データを前記データベースに記憶させた事象と関連付けるステップをさらに含む、請求項３３に記載の方法。
【請求項４６】
異常なデータを前記データベースに記憶させる複数の事象を記録するステップをさらに含む、請求項４５に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願
この出願は、発明者としてセシャンＳ．ラージ（Seshan S. Raj）を挙げた「リレーショナルデータ破損を検出、警告、修正する装置および方法（“Apparatus and Method to Detect, Alert, and Correct Relational Data Corruption”）」と題される、２００２年２月２２日出願の米国仮出願番号第６０／３５９，４１２号、および発明者としてセスハン  Ｓ．ラージ、ワニ・タング(Wani Tang）およびアマルナート・ムクジャージー（Amarnath Mukherjee）を挙げた「情報の盗用を推測し警告する方法および装置（“Apparatus and Method to Infer and Alert Information Theft”）」と題される、２００２年５月６日出願の米国仮出願第６０／３７８，６０４号の優先権の利益を主張する。先述の優先出願の双方は、そのそれぞれの全体があらゆる目的のためにここに引用により援用される。
【０００２】
発明の分野
本発明はデータベースシステムの管理に関する。特に、本発明はデータベースシステムを監視するための方法および装置に関する。
【背景技術】
【０００３】
発明の背景
ネットワークシステムにおけるデータ保護は重要である。貴重なデータの完全性を破損するあるいはそれに影響を及ぼすおそれのある状況のタイプは多数あり、ネットワークシステムが進化するにつれて増加している。データの完全性に影響を及ぼす事象が生じたときに、当該事象が生じたことを検出できることが重要である。そうでなければ、よくあるように、データが影響された状態のままであり、ネットワークは将来同じタイプの事象による損傷を受けやすいままである。
【０００４】
貴重なデータを保護する際に現在のネットワークが直面する問題のタイプは、たとえば、ハッキング攻撃、ならびに無許可の使用、災害、（ウィルスおよびトロイの木馬等の）破壊工作ソフト、ハードウェアまたはソフトウェアの故障、内部者による不正行為または誤用および（不意のデータエントリの間違い等の）人間のエラーによる他のデータ破損を含む。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ネットワークシステムが遭遇する一般的な問題のいくつかのための異なるアプローチが開発されてきた。たとえば、ファイアウォールおよび仮想プライベートネットワークは、ネットワークシステムを外部のサイトからの無許可のアクセスから保護する。特権を指定することによって、異なるクラスのユーザがネットワーク上でどんなアクションを取ろうともそれに対して幾分かの保護が与えられる。この点で、特権を指定することによって、内部者による不正行為および誤用に対する保護が与えられるかも知れない。データバックアップは、ハードウェアまたはソフトウェアの故障の場合に保護を与える。しかしながら、ほとんどの場合において、問題のある事象が、特定のネットワークのさまざまな保護機構を回避し、ネットワークのデータに損害を与えるかあるいは影響を及ぼす場合、影響を及ぼされたデータは、特にその事象が後で通知されなければ容易に識別することができない。
【０００６】
この節に記載されたアプローチは、追求することのできるアプローチであるが、必ずし
も以前に考案されたまたは追求されたアプローチではない。したがって、別の方法で示されなければ、この節に記載された如何なるアプローチも、単にこの節に含まれるという理由で先行技術とみなされるものと想定されるべきではない。
【課題を解決するための手段】
【０００７】
発明の概要
本明細書に記載された実施例に従って、データベースシステムを監視するための技術が提供される。一実施例において、１組のデータ要素は、データベースシステムから当該データベースシステムの外部にある装置に読込まれる。装置から、１組の分析処理がデータ要素に対して行なわれて、データ要素のいずれかが潜在的に異常であると考えられる基準を満たしているかどうかを識別する。潜在的に異常なデータが識別された場合、通知の信号が送られる。
【０００８】
別の実施例において、データベースシステムを監視するための技術は、当該データベースシステムのデータベース内でコンテンツとして記憶された１組のデータ要素を識別するステップを含む。データベース内の潜在的に異常なデータを識別するために一連の分析プロセスが行なわれる。
【発明を実施するための最良の形態】
【０００９】
本発明は、限定によってではなく、例示によって示されており、添付の図面の図において、同じ参照番号は同様の要素を示している。
【００１０】
発明の詳細な説明
データベースを監視するための方法および装置が記載される。以下の説明において、説明する目的で、本発明を完全に理解してもらうために多数の特定の詳細が述べられる。しかしながら、本発明は、これらの特定の詳細なしでも行なわれ得ることが明らかであろう。他の例において、本発明を不必要にわかりにくくするのを防ぐために、周知の構造および装置がブロック図の形態で示される。
【００１１】
一般的な概要
本明細書に記載された実施例に従うと、データベースシステムによって管理されかつ記憶されるデータは、データの完全性、認証または正確さを損なうさまざまな行為または事象を検出するために監視され得る。本発明の実施例は、装置によって監視されているデータベース管理システムの外部で動作する装置上で実現され得る。
【００１２】
一実施例において、データベースが１つ以上のプロセッサの組を用いて維持される環境において、データベースを監視するための方法が提供される。この方法は、実質的に、１つ以上のプロセッサの組の外部にある処理リソースを用いて行なわれ得る。データベースシステムのデータベース内のコンテンツとして記憶されたデータを含むデータ要素は、データベースを維持するまたは実行するプロセッサの外部にある位置から読込まれる。１組の分析処理は、データベースのセクションに対して行なわれて、潜在的に異常なデータとみなされる１つ以上の基準を満たすデータ要素を識別する。潜在的に異常なデータが識別されると、通知の信号が送られるまたは通知が送信され得る。
【００１３】
別の実施例に従うと、データベースシステムを監視するための方法は、データベースシステムのデータベース内でコンテンツとして記憶された１組のデータ要素を識別するステップを含む。一連の分析プロセスは１組のデータ要素に対して行なわれて、データベース内の潜在的に異常なデータを識別する。潜在的に異常なデータが検出されると通知が誘発される。
【００１４】
別の実施例において、データベースシステムを監視するための方法は、指定された期間において１つ以上のインスタンスで、データベースシステムのデータベース内でコンテンツとして記憶された１組のデータ要素を識別するステップを含む。この方法はさらに、当該１組のデータ要素が、指定された期間にわたってどのように修正されるかについてのトレンドデータを識別するステップを含む。当該トレンドデータに基づいて、１つ以上の分析処理が行なわれて、データベース内で潜在的に異常なデータを識別する。
【００１５】
上述の実施例に関して、潜在的に異常なあるいは疑わしいデータを識別するために、さまざまなタイプのデータがデータベースシステムから処理され得る。一実施例において、データベースのスキーマに関するメタデータが読込まれ、処理されて、データベースのスキーマへの潜在的に疑わしい変更を検出する。たとえば、データベースのスキーマへの変更は、破壊工作ソフトの存在を示しているかもしれない。コンテンツデータを検査して、データベースを損なったかもしれない任意の数の事象（そのうちのいくつかは次の段落で説明される）を示す潜在的な異常を検出し得る。さらに、本明細書に記載された実施例は、ネットワーク上のユーザの特権を規定するデータを監視し得る。データベースの特権への変更が、検査され、おそらく疑わしいものとして報告されて、たとえば特権が不正にアクセスされて違法行為が行なわれないように保証し得る。
【００１６】
異常なコンテンツデータまたはメタデータを検出することができることによって、本発明の実施例は、他の事象の中で、悪いデータが他のシステムからもたらされるまたはインポートされるとき、スパイダ破損が分配形データベースで生じているとき、異なるアプリケーションモジュールによってデータベースに書込まれた矛盾したデータの存在、偶然のもしくは意図的なデータの削除または操作、セキュリティポリシーに違反する使用、不正のデータベースのトランザクションおよび入力、ならびに管理上のもしくは操作上のエラーを検出することができる。さらに、本発明の実施例は、流用されたもしくは不正に獲得された特権、または「ハッキングされた」データを検出することができる。同様に、特権が意図的にまたは無意識に変更されることにより、実際にはあるユーザにこのようなアクセスが与えられるべきではないときにも、そのユーザにデータベースへの許可されたアクセスが与えられ得る。
【００１７】
さらに、本明細書に記載されたような実施例は、データベースシステムからの如何なるかなりの量のリソースも必要とすることなく、このような機能を行なうことができる。たとえば、本明細書で与えられた実施例は、データベースを維持するための処理リソースを必要とせずに、データベースを監視するための機能を果たすことができる。データベースを維持するデータベースサーバは、記載されたような実施例が動作するのを可能にするための「エージェント」とともに構成される必要はない。実際に、この出願に記載されたような実施例は、データベースが、それを維持するシステムの性能特徴に最小の影響を与える状態で監視されるのを可能にする。
【００１８】
専門用語
本明細書で用いられるように、「コンテンツ」または「コンテンツデータ」という用語は、データベースに占めるデータのことをいうが、データベースの構造またはスキーマの一部はなさない。さらに、コンテンツデータはメタデータを含まない。
【００１９】
「データベース」は、表のまたは行型のフォーマットでデータを記憶するために用いられる何らかのデータ構造を含む。一般的に、データベースは階層的な構造ではないが、データベースを用いて階層的なデータを記憶することができる。
【００２０】
「特権」は、ネットワークのユーザが行なうことのできる１組のアクションまたは動作のことをいう。特権は、代わりに許可または１組の許可と呼ばれるかもしれない。
【００２１】
「データ要素」という用語は、データベースに記憶された何らかのデータのことを言う。たとえば、「データ要素」は、オブジェクトまたはオブジェクト内に含まれる値を含み得る。
【００２２】
システムの説明
図１は、本発明の実施例の下でデータベースを監視するためのシステムを示している。説明の目的で、図１は多くの従来の特徴を有するネットワークとの関連における実施例を示している。
【００２３】
図１によって示された一実施例に従うと、データ分析システム（ＤＡＳ）１１０がローカルエリアネットワーク（ＬＡＮ）１０４上に設けられる。ＬＡＮ１０４はインターネット１０８に接続される。ファイアウォール１２４は、インターネット１０８上で送信される、入ってくる通信からＬＡＮ１０４を保護するように構成される。ルータ１２２は、ＬＡＮ１０４に端を発するトラフィックを導く、またはＬＡＮ１０４の構成要素に行き先を定める。
【００２４】
データベースサーバ１３０は、ＬＡＮ１０４上で維持される。データベースサーバ１３０は、データベース１３２上で重要なデータを維持するものと想定され得る。重要なデータとは、たとえば、監査記録、アーカイブおよび顧客の口座情報を含むかも知れない。データベース１３２は、表のデータ構造のように関連の形式でデータを構成する。データベース１３２は、データベースサーバ１３０の不可欠の部分であり得る。データベースサーバ１３０によって維持されるデータは、コンテンツデータ、データベースのスキーマに関するメタデータ、およびユーザがデータベースにおけるデータを見る許可を規定する特権を含む。データベースサーバ１３０は、コンテンツデータ、メタデータ、および特権を管理し得る。管理局１４４はＬＡＮ１０４上で管理機能を果たすために用いられる。管理機能は、ＬＡＮのユーザのアクティビティを含むＬＡＮ１０４のセキュリティの監視を含み得る。ＬＡＮ１０４のさまざまな要素および構成要素はチャネル１０６によって相互接続され得る。境界ファイアウォールの領域内で相互接続された要素および構成要素はＬＡＮ１０４の一部と考えられる。
【００２５】
一実施例において、ＤＡＳ１１０は、ビジネスルールプロセス１２２、フェッチングエンジン１１４、およびポリシーエンジン１１６を含む。フェッチングエンジン１１４は、指定された間隔で、または（手動のコマンド等の）指定された状況が生じると、データベースサーバ１３０からデータを読込むように構成される。ＤＡＳ１１０は、データベースサーバ１３０から取出すデータに分析処理またはプロセスを行なって、データベースサーバ１３０によって維持されるデータの全体的な完全性を保護する。実施例において、フェッチングエンジン１１４は、データベース１３２の指定された部分をスキャンし、データベースサーバ１３０によって管理される表の列または他の部分を取出す。データをデータベース１３２から読込むことによって、ＤＡＳ１１０はデータベースサーバ１３０の外部で動作し、それによって当該データベースサーバへのその影響を最小にすることができる。
【００２６】
一実施例において、ＤＡＳ１１０は、異常なデータを識別するために、フェッチングエンジン１１４を通して取出されたデータに一連の分析処理を行なう。１つ以上の分析処理は、ビジネスルールまたはデータベースサーバ１３０の管理者またはオペレータによって指定された他のルールおよび条件を用いることを必要とし得る。このビジネスルールプロセス１１２は、管理者またはオペレータがビジネスルールに入るのを可能にするための機構を与え得る。ビジネスルールプロセス１１２はまた、ビジネスルールの実行を管理し得る。一旦異常なデータが識別されると、ＤＡＳ１１０は通知の信号を送り得る。たとえば
、ＤＡＳ１１０は、管理局１１４にｅメール１２２を送信してもよい。ＤＡＳ１１０は、代わりに呼出１２４を送ってもよく、またはたとえば可聴もしくは視覚による警報をもたらしてもよい。
【００２７】
ポリシーエンジン１１６は、フェッチングエンジン１１４によってデータベースサーバ１３０から取出されたさまざまなデータに一連のプロセス（代わりに「ポリシー」と呼ばれる）を実行するように構成される。一実施例において、ポリシーエンジン１１６は、一連のプロセスを、フェッチングエンジン１１４によって取出されたデータベース１３２の各々の列またはセグメントの指定された順序で、実行する責任を負う。ＤＡＳ１１０のために実現することのできるさまざまなポリシーのより詳細な説明が図４から６で与えられる。ポリシーが行なわれ得る態様は図３に示される。
【００２８】
したがって、ＤＡＳ１１０は、たとえばデータベースサーバ１３０上でエージェントを実行することなく、動作することができる。したがって、ＤＡＳ１１０はデータベースサーバ１３０からの「読取専用の」アクセスのみを必要とする。一実施例に従うと、ＤＡＳ１１０は、データベースサーバ１３０の性能に顕著な影響を与えない。
【００２９】
図２から７に記載された実施例によって示されるように、ＤＡＳ１１０は、データベースサーバ１３０からデータの「スナップショット」を得ることができる。ＤＡＳ１１０は、メタデータ、特権データおよびコンテンツデータを検査し分析し得る。メタデータは、データベース１３２の構造についてのデータ、および特定のデータ要素もしくは構造、または他の要素／構造の関係についてのデータを含む。特権は、ネットワーク上の異なるユーザに許可を与える。コンテンツデータは、データベース１３２をなすデータ構造によって記憶されるデータのことを示す。
【００３０】
ＬＡＮ１０４上のＤＡＳ１１０のための他の用途の中で、ＤＡＳは、事象がデータベースサーバ１３０によって維持されるデータに悪影響を及ぼすときを検出することができる。たとえば、ＤＡＳ１１０は、インターネット上でＬＡＮ１０４にアクセスする未知のユーザからの、データベースサーバによって維持されるデータの無許可のアクセスおよび／または操作を検出し得る。ＤＡＳ１１０はまた、ＬＡＮ１０４のユーザが、意図的にまたは無意識にデータベースサーバ１３０によって記憶されたデータを損なうときを判定し得る。ＬＡＮ１０４を通過した破壊工作ソフトは、それがデータベースサーバ１３０によって維持されるデータに影響を及ぼすとき、検出されるかも知れない。データベースサーバ１３０に影響を与えかつＤＡＳ１１０によって検出可能な事象の他の例が記載されるであろう。
【００３１】
図２は、本発明の実施例の下でデータベースシステムを監視するための方法を示している。記載されたような方法は、図１によって示されるシステムに対して行なわれ得る。たとえば、図２に記載されたような方法は、ＤＡＳ１１０に対して行なわれ得る。図２の方法を説明する際に、本発明の実施例を実行するために好適な構成要素または文脈を示すために、図１の要素が参照される。
【００３２】
図２を参照すると、データベースサーバから１組のデータを読込むためのステップ２１０が与えられる。データは、外部の装置または位置へと読込まれる。外部の装置は、たとえば、ＤＡＳ１１０に対応するスタンドアロンの構成要素を含んでもよい。読込動作は、定期的にというように自動的に行なわれてもよい。たとえば、行なわれ得る１つのタイプの読込動作は、構造化照会言語（ＳＱＬ）でのＳＥＬＥＣＴステートメントを含む。ＳＥＬＥＣＴステートメントはデータベース１３２の指定されたセクションをスキャンする。各々の読込動作は、ＤＡＳ１１０によって維持されているデータの「スナップショット」を与え得る。各々のスナップショットが記録されて、それが後に続く比較機能のために用
いることができるようにする。
【００３３】
データベースが読込まれる頻度またはスケジュールは、ユーザのニーズに依存して変化し得る。たとえば、いくつかの高度のセキュリティの適用例について、データベース１３２のスナップショットは数分または数秒毎に撮られるかも知れない。しかしながら、他の低レベルのセキュリティの適用例について、データベース１３２のスナップショットは、毎日または週１回の頻度で撮られるかも知れない。代わりに、データベース１３２の読込は事象駆動型であってもよい。たとえば、データベース１３２の各々の読込は、ネットワークの管理者によって手動で開始されてもよい。
【００３４】
一実施例に従って、データがデータベースサーバ１３０から読込まれる各々のインスタンスは、以下のタイプのデータ、すなわち（ｉ）データベースサーバ１３０によって維持されるデータ構造についてのメタデータを含むシステムカタログ、（ii）ＬＡＮ１０４上での異なるユーザのネットワークの特権を示す１つ以上の特権テーブル、および（iii）コンテンツデータのいくつかを生じ得る。システムカタログは、データベースの表、データベースの列、および表、列または個々のデータ要素の関係のすべてについてのメタデータを含み得る。コンテンツデータは、データベース１３２の一部である実際のリレーショナルデータに対応し得る。コンテンツデータは、特に、データベース１３２の完全性およびセキュリティを損なうさまざまな検出が難しい事象を検出するための特定の用途を有し得る。
【００３５】
ステップ２２０で、１つ以上の分析処理が、データベースサーバ１３０から読込まれた１組のデータに対して行なわれる。分析処理は、データベースサーバ１１０の外部で行なわれる。たとえば、ＤＡＳ１１０は、データサーバからの如何なるリソースも必要とせずに、データベースサーバ１３０によって維持されるデータを読込み、かつ分析処理を行ない得る。ＤＡＳ１１０によって行なわれる分析処理は、分析されるデータのタイプに依存する。複雑さの点から見て、コンテンツデータは最も難しく、より高度な分析処理を必要とする。他方で、システムカタログおよび特権表は、より最近のスナップショットおよび比較を行なうためのソースとして指定された別のスナップショットからのデータを直接比較することによって分析され得る。
【００３６】
一実施例において、分析処理は異常なデータを検出する。異常なデータは、管理者等によるさらに他の検査を必要とするものとして指定されたデータである。一実施例において、分析処理は、実際に一連のプロセスであり、各々のプロセスは異常なデータを検出するための１つの特定のアプローチを用いる。処理またはプロセスは、その結果を最大化するために、指定された順序で連続的に行なわれてもよい。分析処理のより詳細な説明およびそれらが行なわれる態様が以下で示される。
【００３７】
ステップ２３０で、データベースシステムから読込まれたデータから異常なデータが検出された場合に通知の信号が送られる。一実施例に従って、通知は、管理者等の指定されたネットワークユーザへのｅメールまたは呼出の形式であってもよい。通知は、ユーザに、潜在的に異常なデータを手動で検査して、実際にそのデータが不正確であるかどうかを判定するように誘発してもよく、あるいはデータベースサーバ１３０によって維持されるデータの完全性が損なわれていることを示す。
【００３８】
図３は、データベースからのコンテンツデータを分析する一連のプロセスが連続して行なわれる実施例を示している。コンテンツデータを分析して、データベースを損なった根本的な事象が生じたことを示し得る異常なコンテンツデータを検出することができる。たとえば、異常なコンテンツデータは、コンテンツデータが異常であるために、データベースがハッキングされたことを示すことができる。この例をさらに見ると、コンテンツデー
タは特定のクラスの顧客が割戻しを与えられる量に対応し得、異常なデータは他の人よりもより多くの資金を受けるように指定されたクラスにおける個人のうちの１人に対応し得る。この異常なデータの存在は、管理者がこの異常なデータが正確かどうかを検査すべきことを示し得る。異常なデータが不正確である場合、管理者は、データベースがハッキングされたか、またはデータをデータベースに入れる許可を有する者が不正に特定のエントリを作成したかを見るために検査し得る。
【００３９】
後者の場合、管理者は、エラーが無意識に生成されたのかどうか、またはアクセスを有する人が意図的に異常なデータを入れるという悪意を有していたかどうかを検査し得る。たとえば、管理者は、より多くの資金を受けるように指定された人が、データベースへのアクセスを有する従業員であることを発見するかも知れない。この例において、管理者は、その従業者が不正行為をしているかも知れない、またはデータベースの完全性を損なうであろうさらに他の行為を行なう傾向があるということを密告される。
【００４０】
与えられた例が示すように、異常なコンテンツデータの検出によって、データベースの完全性に影響を及ぼした事象または人物に関する多数の手がかりおよび情報を与えることができる。図３に記載されたような実施例において、分析プロセスが、同じコンテンツデータ要素またはコンテンツデータの要素の組に連続的に行なわれて、コンテンツデータのいずれかが異常であるかどうかが判定される。たとえば、１つのプロセスが異常であると定義することは、別のプロセスが定義することとは異なる可能性がある。このようにして、図３に記載されたような実施例では、異常なコンテンツデータがあるかどうかに関する判定を行なうときに、データベースからのコンテンツデータの一部に対して連続的なプロセスが行なわれる。異常なコンテンツデータがあるという判定によって、異常なデータが生成されたかも知れないさまざまな事象または状況の発生の手がかりまたは指示を与えることができる。図３の説明において、図１の要素を参照するが、これは記載された方法のステップまたは機能を実現するために好適な構成要素を示すために過ぎない。
【００４１】
ステップ３１０で、コンテンツデータがデータベースから読込まれる。たとえば、コンテンツデータは、データベース１３２を維持するデータベースサーバ１３０から読込まれるかも知れない。
【００４２】
ステップ３１５で、データベース１３２から取出されたコンテンツデータの少なくとも一部が分析のために識別される。一実施例において、コンテンツデータの各々の部分は、その部分を連続した分析プロセスにかけることによって分析される。コンテンツデータの異なる部分は、一度にまたは同時に分析され得る。
【００４３】
ステップ３２０では、データベース１３２から読込まれるコンテンツデータに対して第１の分析プロセスが行なわれる。このプロセス自体が、所望の順序で行なわれる一連の処理を損なうかも知れない。たとえば、プロセスは、コンテンツデータの中で異常を検出するためのアルゴリズムに対応し得る。
【００４４】
ステップ３３０で、第１の分析プロセスが特定のデータ要素またはデータ要素の組につき異常なデータを検出したかどうかに関して、判定がなされる。異常なデータは、普通でないコンテンツデータまたは他のデータよりも不正確である可能性の高いデータに対応し得る。一実施例において、第１の分析プロセスは、データが異常であるときを規定するための１つ以上の基準を定義する。第１の分析プロセスは、データベース１３２から読込まれたデータを検査して、このプロセスによって指定された１つ以上の基準がデータベースから読込まれたコンテンツデータによって満たされているかどうかを判定し得る。たとえば、データベースに記憶されたデータオブジェクトの１つ以上の値等の各々のデータ要素が、第１の分析プロセスによって規定されたアルゴリズムを通して分析され得る。
【００４５】
別の例として、アルゴリズムは、データ要素を同時に、データベース１３２から読込まれた他のデータ要素と比較して、そのデータ要素が他のデータ要素と比較されたときに異常であるかどうかを判定し得る。別の例として、第１のプロセスのアルゴリズムは、個々のデータ要素を以前にデータベースから読込まれた他のデータ要素と比較し得る。たとえば、データベースが安全でありかつ損なわれていないことがわかっているときにデータベースから読込まれる１組の比較データは、第１の（および後続の）分析プロセスが行なわれるときに比較するために用いられる１組のデータを与え得る。
【００４６】
ステップ３３０における判定が、分析されているデータ要素が異常であるというものであれば、次にステップ３３５で通知が生成され、送られる。一実施例において、指定された個人またはクライアントは、異常なコンテンツデータが発見されたという通知を送信される。通知は、ｅメール、呼出または他の形態のメッセージ伝達の形であってもよいが、通知を可聴警報または光の点滅ほどの単純なものとすることができる。一実施例において、通知は、通知を誘発した特定のデータ値またはデータ要素を指定する。別の実施例において、通知は、コンテンツデータのうち通知において連続的なプロセスによって分析された部分を識別する。
【００４７】
ステップ３３０での判定が、第１の分析プロセスが異常なデータを検出していないというものであれば、ステップ３４０は、同じコンテンツデータに対して行なうことができる別の分析プロセスが存在するかどうかに関する判定を行なう。実施例において、各々が別個のアルゴリズムを用いる複数のプロセスを同じコンテンツデータに対して行なうことができる。ステップ３４０における判定が、特定のコンテンツデータを分析するための他の分析プロセスが存在しないというものであれば、ステップ３４５は、ステップ３１０で読込まれたコンテンツデータの別の部分がまだ分析されていないかどうかを識別する。ステップ３４５での判定が、ステップ３１５からの他のコンテンツデータが残っており、コンテンツデータの別の部分が存在するというものであれば、この方法はステップ３１５から繰返される。
【００４８】
ステップ３４０での判定が、コンテンツデータの特定の部分のための別の分析プロセスが存在するというものであれば、この方法は、一連のプロセスにおけるプロセスのすべてが、データベース１３２から読込まれたコンテンツデータ要素のために連続的に行なわれるまで、ステップ３３０から繰返される。プロセスのいずれかが通知を誘発する場合、ステップ３３５が通知を送信する。
【００４９】
分析される必要のある追加のコンテンツデータがある場合、ステップ３５０は、別のプロセスを用いてコンテンツデータに対して別の分析処理を行なう。このステップで行なわれる特定のプロセスは、複数のプロセスが行なわれるべき順序に指定され得る。
【００５０】
ステップ３４５での判定が、ステップ３１５からの他のコンテンツデータが存在しないというものであれば、この方法は（データベース１３２から読込まれている追加のコンテンツデータは保留になる）ステップ３５０で終了する。通知またはコンテンツデータの異なる部分へのさまざまな分析プロセスの結果を詳述するまたは強調する方法が完了すると、報告が生成され得る。この詳細、強調および結果を記録してもよい。
【００５１】
ある実施例において、データベース１３２からのコンテンツデータは、定期的にまたはあるスケジュールに従って読込まれ得る。一旦読込まれると、図３に記載されたような方法が行なわれ得る。代わりに、コンテンツデータは、ある計画されていない事象に応じて読込まれてもよい。たとえば、管理者または他のネットワークユーザは、図３に記載されたような方法が行なわれるように手動で誘発してもよい。
【００５２】
図３に記載されたような実施例は、特定の組のコンテンツデータに対して分析プロセスのすべてを連続的に行なうが、一方で別の実施例は、分析プロセスの少なくともいくつかを同時にまたは少なくとも互いに独立して行なう。たとえば、このような実施例では、いつ第１の分析プロセスが開始されるまたは完了するということに全く留意せずに、第２の分析プロセスが行なわれ得る。
【００５３】
図４は、本発明の実施例に従って、データベースシステムのコンテンツデータを監視するための方法を示している。コンテンツデータを監視して、監視されたデータベースのコンテンツを不正に変更したかも知れないさまざまな事象の発生を検出し得る。このような事象の例は、ハッキング攻撃、破壊工作ソフトの存在、コンテンツデータを変更する、意図的であるが許可された不正行為、またはデータベースに悪い値を入力する不測のデータ入力を含む。
【００５４】
図４の説明において、図１の要素を参照するが、これは記載される方法のステップまたは機能を実現するために好適な構成要素を示すために過ぎない。１組のコンテンツデータ要素について、図４で記載されたような方法は、コンテンツデータのいずれかが異常であるかどうかを判定するための一連のポリシーを実現する。このポリシーは、実際にはプロセスであり、各々のポリシーは、コンテンツデータが異常であるときに定義するパラメータおよび条件を有する。
【００５５】
図４によって示された方法は、データベース１３２からのコンテンツデータがＤＡＳ１１０に読込まれるものと想定される。たとえば、以下で与えられる説明において、フェッチングエンジン１１４はコンテンツデータをＤＡＳ１１０に読込むことが想定され、ポリシーエンジン１１６およびビジネスルールプロセスの組合せがポリシーを実行して、コンテンツデータのいずれかが懸念をもたらすか、あるいは通知を誘発するものかどうかを判定する。
【００５６】
一実施例において、ステップ４２０から４６０は連続的に行なわれ、１つのステップは他のステップが終了したときに行なわれる。別の実施例において、ステップ４２０から４６０は共にまたは同時に行なわれるようにする。さらに、ステップは互いから独立して行なわれてもよい。一実施例において、さまざまなステップが行なわれるときの特定のタイミングは、ネットワークの管理者または操作によって指定されてもよい。
【００５７】
ステップ４１０では、１つ以上の分析プロセスを行なうための比較パラメータが設定される。各々のプロセスは、異なる組の比較パラメータを必要とし得る。一実施例において、比較パラメータのうちの少なくともいくつかは、ネットワークの管理者またはオペレータによって定義される。各々のポリシーによって必要とされる比較パラメータは、以下で詳細に述べられる特定のポリシーとともにより詳細に説明される。
【００５８】
ステップ４２０から４６０は実現されるポリシーを識別し、各々のポリシーはコンテンツデータに対して行なわれるべき特定のタイプの分析である。各々のポリシーはポリシーエンジン１１６によって実現され得る。特定のプロセスまたはプロセスを行なうための命令は、ポリシーエンジン１１６とともに記憶されるか、またはライブラリ等の他の場所に記憶されてもよく、ここでポリシーはポリシーエンジン１１６にアクセスすることができる。
【００５９】
ステップ４２０で、コンテンツデータに対して平均分析を行なうためのプロセスを指定するポリシーが実現される。一実施例において、フェッチングエンジン１１４によって読込まれたデータの列が処理されて、当該列におけるデータについて、（１）すべての値の
平均値、（２）値の最大値、および（３）値の最小値を判定する。次に、列における各々のデータ要素を平均値、最大値および最小値と比較する。（ステップ４１０で識別された）これらの比較パラメータは、１つの特定のデータ要素が平均値、最小値および／または最大値で変動する可能性のある許容範囲または許容帯域を規定する。
【００６０】
たとえば、比較パラメータは、データ要素の値が平均値から２０％、および最小値または最高値から５％の範囲にわたり得ることを規定してもよい。当該帯域を超えれば、データ要素は異常であると判定される。図３で詳細に述べられるように、通知は信号で送られるかまたは送信されてもよい。一実施例において、特定のデータ要素がこのステップの結果として異常であると考えられる場合、その特定のデータ要素はその後で他のポリシーによって処理されない。
【００６１】
ステップ４３０で、コンテンツデータに対して分布分析を行なうためのプロセスを指定するポリシーが実現される。分布プロセスは、データ要素の範囲値を指定された基準の組と比較する。指定された基準の組はステップ４１０で得られるかも知れない。一実施例において、データ要素のいずれかが指定された基準を超える範囲値を有していれば、これらのデータ要素は異常であると表示される。このようなデータ要素のためのさらに他の分析は必要とされないかも知れない。さらに、潜在的に異常なデータ要素がこのステップの間に検出された場合、指定された受信者に通知の信号が送られるかまたは通知が送信され得る。
【００６２】
例を挙げると、データの特定の列は、会社の従業員の給与を含む値を列挙し得る。１０万ドルよりも高い如何なる給与の値も異常として指定する、１組の基準が規定され得る。次に当該列における各々のデータ要素を検査して、特定のデータ要素の給与の値を識別する。給与の値が１０万ドルを超えれば、通知の信号が送られるまたは通知が送信される。
【００６３】
ステップ４４０では、データベースから取出されるコンテンツデータに対するデータマイニング分析を行なうためのプロセスを指定するポリシーが実現される。データマイニング分析は、２つ以上の変数またはパラメータに基づいてデータ要素を互いに密集させ得る。たとえば、各々のデータ要素は、個々の従業員のプロフィールであるオブジェクトに対応し得る。分析され得るオブジェクトの変数は、地位および給与を含む。所与の１組のデータ要素につき、個々の従業員のプロフィールは、地位および給与によってひとまとめにされてもよい。次に、１人の従業員のプロフィールがクラスタの外部であると判定されれば、その従業員のプロフィールは異常であると識別される。たとえば、１人の従業員が同じ地位の他の従業員よりも給与が非常に高いと判定されるかもしれない。別の例として、１人の従業員がその会社における他の誰もが有さない地位を有していると判定されるかもしれない。これらの場合のどちらによっても、特定の従業員のプロフィールが異常であると思われるトリガーとなり得る。このステップで用いられる特定の変数、およびクラスタからの個々の値の許容偏差は、すべてステップ４１０で得られた比較パラメータの一部である。
【００６４】
ステップ４５０で、データベースから取出されたコンテンツデータがカテゴリにセグメント化されるプロセスを指定する別のポリシーが実現される。次に、ステップ４５５では、プロセスが、特定のカテゴリに従って分類されたデータ要素のために修正される以外は、ステップ４２０から４４０のうちの１つ以上で詳細に述べられたプロセスが再び行なわれる。ステップ４２０から４５０のプロセスが特定のカテゴリについて行なわれるときに、異常なデータがあると判定するために用いられる基準は、カテゴリにつき具体的に規定され得る。カテゴリは、ネットワークの管理者／オペレータによって定義され得る。ステップ４２０から４４０で詳細に述べられたプロセスの各々を行なう際に用いられるカテゴリ特定の基準は、ステップ４１０で得られるかもしれない。
【００６５】
ステップ４６０では、ビジネスルールまたは他の予め規定されたルールを用いて、コンテンツデータが異常であるかどうかを判定するプロセスを指定する別のポリシーが実現される。ビジネスルールはユーザ規定のルールを含む。たとえば、ユーザ規定のルールは、会社特定のセキュリティポリシー等の特定のビジネス環境のために実現されてもよい。一実施例において、このようなルールはＳＱＬクエリーの形態で構成される。このようなルールは、監視されたデータベースが存在するネットワークの管理者またはオペレータによって規定されてもよい。予め規定されたルールとは、ＤＡＳがネットワーク上で実現される前に、ＤＡＳ１１０に存在する製造規定ルールを含み得るより広いカテゴリのルールのことをいう。一実施例において、予め規定されたルールは、ベンダ独自の「最良実施」ポリシーから成る。このような最良実施ポリシーは、データベースにたとえば周知のダミーのパスワードおよびログインを与える。これらのパスワードおよびログインは周知であるが、すべての管理者が実際にこれらが存在することを知っているとは限らないかも知れない。予め規定されたルールは、このような最良実施ポリシーから潜在的なセキュリティ違反を自動的に削除するように構成されてもよい。
【００６６】
一実施例において、ビジネスルールは、ＤＡＳ１１０のビジネスルールプロセス１１２によって管理され得る。ポリシーエンジン１１４はビジネスルールを適用し得る。ビジネスルールを作成することができることによって、ＤＡＳ１１０を特定のネットワーク環境に拡張することができるようになる。たとえば、１つの会社のコンテンツデータを脅かすタイプの事象は、別の会社のコンテンツデータを脅かすタイプの事象とは異なるかもしれない。記載したような実施例において、各々の会社は、その独自のニーズを満たす独自のビジネスルールを規定することができる。さらに、製造業者は、その顧客が有していない専門知識を有しているかもしれない。製造業者は、顧客による使用を容易にするために、ＤＡＳ１１０等の装置に予め規定されたルールを与え得る。
【００６７】
図４によって示されるような実施例は、ポリシーが実現される特定の順序を詳細に示しているが、一方で他の実施例は同様のポリシーを実現するための他の順序を用いるかもしれない。代わりに、ポリシーが行なわれる順序は、ネットワークのユーザまたは管理者によって規定されてもよい。
【００６８】
図５は、データベースシステムのシステムカタログへの変更を検出することによってデータベースシステムを監視するための方法を示している。図５の方法を説明する際に、図１の要素を参照するが、これは記載されている方法のステップまたは機能を実現するための好適な構成要素を示すために過ぎない。一般的に、データベースシステムカタログは、監視されているデータベースシステムのテーブル、列、およびデータ要素についてのメタデータを含む。たとえば、システムカタログは、特定のデータベースシステムテーブルの列およびスキーマの定義を与える。このシステムカタログはまた、データ要素、列およびテーブルがどのように互いに関連すべきかについての定義を与え得る。
【００６９】
ステップ５１０で、正確であることがわかっているシステムカタログは、将来の比較のための参照ファイルとして獲得される。システムカタログは、たとえば、システムカタログが正確であるとわかっているときにデータベース１３２から読込まれ得る。これは、たとえばデータベースが監査された直後に対応し得る。代わりに、システムカタログのコピーがシステムへ直接入力されてもよい。このシステムカタログは、後に続く分析のための比較の基礎として機能する。
【００７０】
ステップ５２０で、分析されるべき別のシステムカタログはデータベース１３２から読込まれる。次のシステムカタログは、第１のシステムカタログが読込まれた後の期間にデータベース１３２から読込まれ得る。一実施例において、ステップ５２０は、ネットワー
クの管理者によって指定された間隔で定期的に行なわれる。たとえば、この方法の効果を最大にするために、ステップ５２０は毎分または数秒ごとに行なわれて、第１のシステムカタログおよびそれに続くシステムカタログの比較を行なってもよい。代わりに、ステップ５２０は、データベースサーバ５３０を妨害する少数の事象が予測されるときに週単位で行なわれてもよい。
【００７１】
ステップ５３０で、第２のシステムカタログを第１のシステムカタログと比較するために、分析処理またはプロセスが行なわれる。第１のシステムカタログがデータベース１３２から読込まれたとき以来、第２のシステムカタログがどのように変化したかを判定するために分析が行なわれる。
【００７２】
ステップ５４０では、後に続くシステムカタログが変更された態様の詳細を述べる報告書が作成される。たとえば、システムカタログへのすべての変更のリストを列挙してもよく、特定の表のために生成されたすべての新しい列を識別してもよく、および／または別の表へのスキーマの修正を列挙してもよい。この報告書は、後に続くシステムカタログと第１のシステムカタログとの間に何らかの異常が存在するかどうかを判定するために、ネットワークのセキュリティ担当者または管理者によって、評価され得る。潜在的な異常があると、ネットワークの管理者またはセキュリティ担当者が行動を起こし得る。
【００７３】
ステップ５４０を行なうことの代わりとして、別の方法には、２つのシステムカタログの比較において異常なデータが存在するかどうかをプログラムで判定する備えがなされている。異常が存在すると判定されれば、ネットワークの管理者またはセキュリティ担当者に通知が送信される。したがって、このような実施例は、さもなければ手動で行なわれるステップを自動化する。
【００７４】
図６は、ネットワーク上でユーザに割当てられた特権への変更を検出することによってデータベースシステムを監視するための方法を示している。特権が監視されなければ、常に、ある人がネットワーク上でアクセスしかつ自分自身の特権を編集する方法を見つけて、より多くのアクセスおよびネットワークリソースの制御を得る可能性がある。ある人の１組の特権が不正に修正または獲得された場合、悪用の検出は非常に難しくなる可能性がある。ユーザに与えられた新しい特権は、ユーザの許可されたアクティビティを強化するだけであり、それにより悪用の検出がより難しくなるであろう。図６の方法を説明する際に、図１の要素を参照するが、これは記載される方法のステップまたは機能を実現するために好適な構成要素を示すために過ぎない。
【００７５】
ステップ６１０で、ネットワーク上でユーザの特権を識別するための特権データが、それが正確であるとわかったときから記憶される。たとえば、特権データは、手動で検査され調査された後で記憶されてもよい。これはまた、たとえば、特権データのエラーまたは濫用がないと考えても無難な特定の時に、データベースサーバ１３０から読込まれた特権のリストに対応し得る。
【００７６】
ステップ６２０で、特権データは、監視されているデータベースサーバ１３０から読込まれる。これは、元の特権データの組が、データサーバ１３０から得られた後ならいつでも行なわれ得る。一実施例において、このようなデータが読込まれる頻度は管理者によって決定される。
【００７７】
ステップ６３０で、特権データからの異常があるという何らかの指示があるかどうかを判定するために、ステップ６２０において読込まれた特権データが、ステップ６１０で読込まれた特権データと比較される。一実施例において、特権データへの何らかの変更によって、比較処理が起動されて、異常があることが示されるかも知れない。しかしながら、
別の実施例において、特権データにおける変更は、異常が示される前にいくつかの基準を満たさなければならない。たとえば、ネットワーク上の特権データへの変更の回数は、指定された数以下であることが必要とされるかもしれない。代わりに、ある低レベルの特権への変更は無視されるかもしれない。
【００７８】
ステップ６３０で異常がなければ、次にステップ６３５で、ステップ６２０においてデータベース１３０から読込まれた特権データは正確であると想定される。一実施例において、この特権データは、後で示されるような方法を実施する際の比較のための基礎として用いられる。
【００７９】
ある実施例において、特権に変更または他の異常が存在すれば、ステップ６４０で、管理者および／またはセキュリティオペレータに特権データにおける変更を知らせる通知が作成される。特権データにおける変更は、ネットワークセキュリティの深刻な違反である恐れがある。
【００８０】
特権を監視するための過去のアプローチは、ネットワーク上でユーザの特権を定期的に審査することであった。典型的に、これは手動で行なわれてきたため、ユーザが自分の有すべき以上の特権を与えられた場合、手動の審査によって最終的にそれが検出されていた。このようなシナリオにおいて、ネットワークは、ユーザがその特権にアクセスして、特権に変更を行ない、次に新しい許可を用いて以前アクセスすることができなかったネットワークリソースにアクセスするという状況に遭遇しやすい。ユーザは、さらに自分の特権を元の設定に戻して検出を回避することができる。
【００８１】
図６によって記載されたような実施例は、このような問題を克服する。なぜなら、特権データは自動的に読込まれ、かつ分析され得るからである。さらに、特権データは、連続的に、または少なくとも、さもなければ特権データへの迅速な変更を検出することができる頻度で、読込まれてもよい。
【００８２】
６４０の代わりとして、別の実施例では、２組の特権の間の変更もしくは差異および／または変更／差異のために送信された通知を要約するまたは少なくとも強調する報告書が作成される。
【００８３】
一実施例に従って、コンテンツデータ、（システムカタログ等の）メタデータおよび特権データを読込むための処理が一度に読込まれ得る。代わりに、異なるタイプのデータを異なる回数で読込んでもよい。たとえば、より多くの処理リソースを必要とするコンテンツデータを異なる回数でデータベースサーバ１３０から読込んで、ＤＡＳ１１０が過度に負担を負わないことを保証し得る。
【００８４】
実施例に従って、コンテンツデータ、メタデータおよび特権が分析される態様を特定のネットワーク上で修正して、ネットワークが使用される態様および関心のある事象が生じた履歴の態様を明らかにし得る。このような実施例は、トレンドデータを組込んで、さまざまなタイプのデータに異常がないかを分析するプロセスの性能を修正する。
【００８５】
図７は、学習モードを用いて、異常なデータを識別するための１つ以上のプロセスが行なわれる態様を同調させるためにトレンドデータを分析する方法を示している。先行の実施例のように、図１の要素を参照するが、これは記載されている方法のステップまたは機能を実現するために好適な構成要素を示すに過ぎない。たとえば、図７に記載された実施例に従うと、ＤＡＳ１１０は、そのプロセスの性能を同調させるためにデータベースの事象を監視するように構成されて、通知が認可されるときをより適切に判定することができるようにする。
【００８６】
ステップ７１０では、データがデータベースサーバ１３０から読込まれる。データをデータベースサーバ１３０から読込むことができる態様は、先行の実施例において記載されている。
【００８７】
ステップ７２０で、「学習モード」がＤＡＳ１１０に対して起動されているかどうかに関する判定が行なわれる。学習モードは、ＤＡＳ１１０がトレンドデータまたは過去のアクティビティの履歴の他の表示を獲得し、かつトレンドデータを処理して、それがネットワークの管理者／オペレータに対して行なった通知、結果および／または判定がどのように用いられたかを見るモードに対応し得る。学習モードはユーザの選択があれば起動される。たとえば、管理者にはユーザインターフェイスが与えられて、あるアイコンまたは他の特徴を選択することによって、学習モードを活動状態にすることができるようにする。同様の態様において、管理者は学習モードの選択を取消してもよい。
【００８８】
学習モードが起動される場合、ステップ７３０でトレンドデータが獲得される。トレンドデータはさまざまな方法で獲得され得る。データベースサーバ１３０は、ＤＡＳ１１０によってトレンドデータに変換されるデータを報告し得る。別のモジュールは、通知を受けるように指定された管理者／オペレータによって行なわれる行為を判定するデータベースのアクティビティを監視し得る。代わりに、ＤＡＳ１１０はデータベースサーバ１３０を観察してもよい。トレンドデータの主題は、過去の異常なデータの検出に応じて修正動作が行なわれたかどうか、およびどのような修正動作が含まれたかを含み得る。
【００８９】
ステップ７４０では、ＤＡＳ１１０によって行なうことのできる１つ以上の分析プロセスがトレンドデータに基づいて更新される。トレンドデータが分析プロセスに影響を及ぼす複雑さの度合は変化するかもしれない。単純なレベルでは、連続的に無視される、繰返される異常がトレンドデータにおいて観察されるかもしれない。その特定の異常を後で検出したら、それは次にＤＡＳ１１０によって無視されるかもしれない。より複雑なレベルでは、統計分析を用いて微妙な違いがないかトレンドデータを分析し得る。
【００９０】
一実施例において、ネットワークの管理者またはオペレータは、学習モードが活動状態になった結果として分析プロセスに対して行なわれる如何なる変更も通知され得る。管理者またはオペレータは、トレードデータを検討した結果として識別された分析プロセスへの如何なる変更も拒否する機会を与えられ得る。
【００９１】
ステップ７５０では、分析プロセスが、更新され、次に分析プロセスがデータベースサーバ１３０から読込まれたデータに対して行なわれる。たとえば、平均化プロセスまたは分配プロセスを行なう際に用いられる比較パラメータは、少なくともデータベース１３２から取出されたデータの特定の列または行について変更してもよい。図５に記載された方法で分析される特権データについて、比較に基づいた特定の特権は、トレンドデータとともに更新され得る。同様に、図６に記載された方法において、比較を行なうための基礎であるシステムカタログも同様に更新され得る。トレンドデータの検討に基づく図４から６に記載された方法への他の更新も可能である。
【００９２】
ステップ７２０で、学習モードが活動状態ではないと判定された場合、ステップ７６０は、設定された分析プロセスを用いて、データベースから読込まれたデータへの分析を行なう。
【００９３】
ステップ７５０またはステップ７６０のいずれかに続いて、ステップ７６５は、異常なデータが検出されたかどうかに関する判定を行なう。したがって、学習モードが活動状態であるということは、ＤＡＳ１１０がその分析プロセスを行なうことを妨げない。異常な
データが検出された場合、ステップ７５０で通知が送信される。そうでなければ、方法はステップ７１０から始まって繰返される。すなわち、追加のデータがおそらく後でデータベースから取出される。
【００９４】
一実施例において、学習モードが起動さて異常なデータが検出された場合、後に続くステップ７１０の反復が、学習モードが非活動化された状態で行なわれ得る。これは、異常なデータがトレンドデータにおいて考慮されるのを容易にし得る。
【００９５】
図７に記載されたような方法によって与えられる結果のために、さもなければ潜在的に異常であると判定されるあるコンテンツデータが、過去の事象に基づいて無視され得る。たとえば、従業員の給与に対応するコンテンツデータが監視されるかもしれない。監視の間に、従業員の新しい地位の前の従業員の新しい給与が記録されるトレンドが設定され得る。
【００９６】
したがって、たとえば下位から上位の地位へ昇進した従業員の記録は、その従業員が多額の昇給を受けたことを示し、かつ何日かまたは何週間か後にその従業員が新しい地位を有したことを示し得る。新しい給与は従業員の以前の仕事にとっては異常であるであろうが、図７に記載されたような方法を採用して、ＤＡＳ１１０が、従業員の新しい給与が記録されたとき、および従業員の地位がデータベース１３２に記録されたときの間に遅れがあることを知ることができるようにする。ＤＡＳ１１０は、従業員の給与に対応する潜在的に異常なデータがもう通知を必要としないことを認識する。むしろ、ＤＡＳ１１０は、記録が後で、従業員の地位が変更されたことを示すかどうかを見守ることができる。
【００９７】
記載されたような実施例に与えられ得る１つの特徴は、報告書作成プログラムを含むことである。報告書作成プログラムは、ネットワークの管理者／オペレータのために報告書を作成する自動化された機構であるかもしれない。報告書作成プログラムは、モジュールまたはＤＡＳ１１０（図１）の構成要素を形成する同様の論理としてもよい。報告書は、遭遇した特定の異常を要約するまたは強調し得る。さらに、トレンドデータまたはトレンドデータの結果が報告書に記載されてもよい。一実施例において、報告書は通知の代わりとしても機能する。
【００９８】
記載されたような実施例に与えられ得る別の特徴は記録機構を含む。記録機構は、ＤＡＳ１１０の使用に関するさまざまな情報を記録する。この情報に含まれるのは、遭遇したすべての異常なデータの記録である。さらに、トレンドデータまたはトレンドデータの結果が記録されてもよい。記録機構は、モジュールまたはＤＡＳ１１０（図１）の他の構成要素であってもよい。
【００９９】
ハードウェアの概観
図８は、本発明の実施例が実現され得るコンピュータシステム８００を示すブロック図である。コンピュータシステム８００は、バス８０２または情報を通信するための他の通信機構、およびバス８０２と結合された情報を処理するためのプロセッサ８０４を含む。コンピュータシステム８００はまた、バス８０２に結合された、プロセッサ８０４によって実行される情報および命令を記憶するための、ランダムアクセスメモリ（ＲＡＭ）等の主記憶装置８０６または他の動的記憶装置を含む。主記憶装置８０６は、プロセッサ８０４によって実行される命令を実行する際に、一時的な変数または他の中間情報を記憶するために用いられてもよい。コンピュータシステム８００は、バス８０２に結合された、プロセッサ８０４のための静的な情報および命令を記憶するための、読出し専用記憶装置（ＲＯＭ）８０８または他の静的記憶装置をさらに含む。磁気ディスクまたは光ディスクのような記憶装置８１０が与えられ、情報および命令を記憶するためにバス８０２に結合される。
【０１００】
コンピュータシステム８００は、バス８０２を介して、情報をコンピュータユーザに表示するための陰極線管（ＣＲＴ）等の表示装置８１２に結合され得る。英数字のおよび他のキーを含む入力装置８１４は、プロセッサ８０４への情報およびコマンド選択を伝達するために、バス８０２に結合される。別のタイプのユーザ入力装置は、方向情報およびコマンド選択をプロセッサ８０４に伝達し、かつ表示装置８１２上のカーソルの動きを制御するための、マウス、ドラッグボール、またはカーソル方向キー等のカーソル制御８１６である。この入力装置は、典型的に、２つの軸、すなわち第１の軸（たとえばｘ）および第２の軸（たとえばｙ）における２自由度を有し、これによって装置が平面において位置を指定することができる。
【０１０１】
本発明は、本明細書に記載された技術を実現するためのコンピュータシステム８００の使用に関するものである。本発明の一実施例に従って、これらの技術は、主記憶装置８０６に含まれる１つ以上のシーケンスの１つ以上の命令を実行するプロセッサ８０４に応じて、コンピュータシステム８００によって行なわれる。このような命令は、記憶装置８１０等の別のコンピュータ読取可能な媒体から主記憶装置８０６へと読込まれ得る。主記憶装置８０６に含まれるシーケンスの命令の実行によって、プロセッサ８０４は本明細書に記載されたプロセスステップを行なう。代替の実施例において、ハードワイヤード回路をソフトウェア命令の代わりにまたはそれと組合せて用いて、本発明を実現してもよい。したがって、本発明の実施例は、ハードウェア回路およびソフトウェアの何なる特定の組合せにも限定されない。
【０１０２】
本明細書で用いられるような「コンピュータ読取可能な媒体」という用語は、命令をプロセッサ８０４に実行するために与えることに関与する如何なる媒体のことをいう。このような媒体は、不揮発性媒体、揮発性媒体および伝送媒体を含むがこれらに限定されない多くの形態をとってもよい。不揮発性媒体は、たとえば記憶装置８１０等の光ディスクまたは磁気ディスクを含む。揮発性媒体は、主記憶装置８０６等の動的記憶装置を含む。伝送媒体は、バス８０２を含む電線を含んだ、同軸ケーブル、銅線および光ファイバを含む。伝送媒体はまた、電波および赤外線データ通信の際に生成されたような音波および光波の形態をとることもできる。
【０１０３】
コンピュータ読取可能な媒体の一般的な形態は、たとえば、フロッピー（登録商標）ディスク、フレキシブルディスク、ハードディスク、磁気テープ、または如何なる他の磁気媒体、ＣＤ−ＲＯＭ、如何なる他の光学媒体、せん孔カード、紙テープ、孔のパターンを有する他の物理的な媒体、ＲＡＭ、ＰＲＯＭおよびＥＰＲＯＭ、ＦＬＡＳＨ−ＥＰＲＯＭ、如何なる他のメモリチップまたはカートリッジ、以下で記載されるような搬送波、またはコンピュータが読込むことのできる如何なる他の媒体を含む。
【０１０４】
コンピュータ読取可能な媒体のさまざまな形態は、１つ以上のシーケンスの１つ以上の命令をプロセッサ８０４に実行するために伝えることに関与し得る。たとえば、命令は最初にリモートコンピュータの磁気ディスクに伝えられ得る。リモートコンピュータは、命令をその動的記憶装置にロードし、かつモデムを用いて電話線に命令を送信することができる。コンピュータシステム８００の構内にあるモデムは、電話線上でデータを受信し、かつ赤外線送信機を用いてデータを赤外線信号に変換することができる。赤外線検出器は赤外線信号で伝えられたデータを受信することができ、適切な回路によってデータをバス８０２に置くことができる。バス８０２はデータを主記憶装置８０６に伝え、プロセッサ８０４はこの主記憶装置から命令を取出し実行する。主記憶装置８０６によって受信された命令は、プロセッサ８０４によって実行される前にまたは実行された後のいずれかに、記憶装置８１０に選択的に記憶され得る。
【０１０５】
コンピュータシステム８００はまた、バス８０２に結合された通信インターフェイス８１８を含む。通信インターフェイス８１８は、ローカルネットワーク８２２に接続されたネットワークリンク８２０に結合する双方向データ通信を与える。たとえば、通信インターフェイス８１８は、統合デジタル通信サービス網（ＩＳＤＮ）カードまたは対応するタイプの電話線にデータ通信接続を与えるモデムであってもよい。別の例として、通信インターフェイス８１８は、互換性のあるＬＡＮへデータ通信接続を与えるローカルエリアネットワーク（ＬＡＮ）カードでもよい。ワイヤレスリンクを実現してもよい。何らかのこのような実現化例において、通信インターフェイス８１８は、さまざまなタイプの情報を示すデジタルデータストリームを伝える電気、電磁気または光学信号を送信し、受信する。
【０１０６】
ネットワークリンク８２０は、典型的に、１つ以上のネットワークを通して他のデータ装置へのデータ通信を与える。たとえば、ネットワークリンク８２０は、ローカルネットワーク８２２を通してホストコンピュータ８２４への、またはインターネットサービスプロバイダ（ＩＳＰ）８２６によって稼動されるデータ機器への接続を与え得る。ＩＳＰ８２６は次に、現在一般的に「インターネット」８２８と呼ばれる世界的なパケットデータ通信網を通してデータ通信サービスを提供する。ローカルネットワーク８２２およびインターネット８２８は、双方ともデジタルデータストリームを伝える電気、電磁気または光学信号を用いる。さまざまなネットワークを通した信号、ならびにネットワークリンク８２０上の、およびデジタルデータをコンピュータシステム８００へおよびコンピュータシステム８００から伝える通信インターフェイス８１８を通した信号は、情報を移送する例示的な形態の搬送波である。
【０１０７】
コンピュータシステム８００は、ネットワーク、ネットワークリンク８２０、および通信インターフェイス８１８を通して、メッセージを送信しかつプログラムコードを含むデータを受信することができる。インターネットの例において、サーバ８３０は、インターネット８２８、ＩＳＰ８２６、ローカルネットワーク８２２および通信インターフェイス８１８を通して、アプリケーションプログラムのために要求されたコードを送信し得る。
【０１０８】
コードが受信されると、受信されたコードは、プロセッサ８０４によって実行され、および／または後で実行するために記憶装置８１０もしくは他の不揮発性の記憶装置に記憶され得る。この態様で、コンピュータシステム８００は搬送波の形態でのアプリケーションコードを獲得し得る。
【０１０９】
先述の明細書において、本発明の実施例が、実現化例によって異なり得る多数の特定の詳細を参照して記載されてきた。したがって、本発明は何であるか、および出願人によって本発明が意図されることは何かを単独でかつ排他的に指示するものは、この出願から生ずる１組のクレームであり、これは如何なる後に続く修正も含むこのようなクレームがもたらす特定の形態である。このような特許請求の範囲に含まれる用語について本明細書において特に述べられた如何なる定義も、特許請求の範囲で用いられるこのような用語の意味を決定する。したがって、特許請求の範囲で特に挙げられなかった制限、要素、特性、特徴、利点または属性は決してこのような特許請求の範囲を制限すべきではない。したがって、明細書および図面は、制限的な意味ではなく例示的な意味において考えられるべきである。
【図面の簡単な説明】
【０１１０】
【図１】本発明の実施例の下でデータベースを監視するためのシステムを示す図である。
【図２】本発明の実施例の下でデータベースシステムを監視するための方法を示す図である。
【図３】一連のプロセスが連続して行なわれて、データベースからのコンテンツデータを分析する実施例を示す図である。
【図４】本発明の実施例に従って、データベースシステムのコンテンツデータを監視するための方法を示す図である。
【図５】データベースシステムのシステムカタログへの変更を検出することによってデータベースシステムを監視するための方法を示す図である。
【図６】ネットワーク上のユーザに割当てられた特権への変更を検出することによってデータベースシステムを監視するための方法を示す図である。
【図７】学習モードを用いて、異常なデータを識別するための１つ以上のプロセスが行なわれる態様を同調させるためにトレンドデータを分析する方法を示す図である。
【図８】本発明の実施例が実現され得るコンピュータシステムを示すブロック図である。
【図１】
2005526311.tif 000003
【図２】
2005526311.tif 000004
【図３】
2005526311.tif 000005
【図４】
2005526311.tif 000006
【図５】
2005526311.tif 000007
【図６】
2005526311.tif 000008
【図７】
2005526311.tif 000009
【図８】
2005526311.tif 000010
【手続補正書】
【提出日】平成16年6月9日(2004.6.9)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
コンピュータシステムの、１つ以上のプロセッサで実行されるデータベースサーバを含むデータベースシステムを監視するための方法であって、前記方法は、
前記データベースシステムによって管理されるコンテンツを、前記コンピュータシステムから離れた位置の装置に読込むステップと、
前記装置において、自動的に以下のステップを実行することによって自動的に異常を検出するステップとを含み、前記以下のステップは、
ａ）１つ以上の分析処理によって用いられる基準を指定する基準データを読込むステップと、
ｂ）前記基準データで指定される基準に基づいてコンテンツ内において異常である１つ以上のデータ要素を識別するために、前記コンテンツに対して１つ以上の分析処理を実行するステップと、
ｃ）前記１つ以上のデータ要素が異常であることを識別した後に通知の信号を送るステップとを含む、方法。
【請求項２】
前記データベースシステムによって管理されるコンテンツを読込む前記ステップは、前記装置が前記データベースシステムから「読取専用の」アクセスの認可を受けるステップと、前記装置が前記コンテンツを獲得するために、前記「読取専用の」アクセスを用いるステップとをさらに含む、請求項１に記載の方法。
【請求項３】
前記コンテンツに対して１つ以上の分析処理を実行するステップは、前記装置によって排他的に実行される、請求項１に記載の方法。
【請求項４】
前記データベースのスキーマに関するメタデータを読込むステップをさらに含み、前記１つ以上の分析処理は、少なくとも部分的に前記メタデータに基づいて実行される、請求項１に記載の方法。
【請求項５】
前記データベースシステムの１人以上のユーザが、前記データベース内のデータを見る、変更するまたは削除するうちの少なくとも１つを行なうことができるようにするための１組の特権を示すデータを読込むステップをさらに含み、前記１つ以上の分析処理は、少
なくとも部分的に前記特権に基づいて実行される、請求項１に記載の方法。
【請求項６】
通知の信号を送る前記ステップは、少なくとも第１の指定されたｅメールアドレスにｅメールを送信するステップを含む、請求項１に記載の方法。
【請求項７】
通知の信号を送る前記ステップは、少なくとも第１の指定された電話番号を呼出すステップを含む、請求項１に記載の方法。
【請求項８】
１つ以上の分析処理を実行するステップは、前記コンテンツのうちの少なくとも一部を、以前のインスタンスで読込まれたコンテンツと比較するステップを含む、請求項１に記載の方法。
【請求項９】
前記データベースのシステムカタログを読込むステップをさらに含み、１つ以上の分析処理を実行するステップは、前記システムカタログを、以前のインスタンスで前記データベースから読込まれたシステムカタログと比較するステップを含む、請求項４に記載の方法。
【請求項１０】
前記データベースに記憶され、前記装置の前記位置に読込まれるべき前記コンテンツ内で１組のデータ要素を識別するステップをさらに含む、請求項１に記載の方法。
【請求項１１】
前記データベースシステムによって管理されるコンテンツを、前記コンピュータシステムから離れた位置の装置に読込むステップは、前記１組のデータを外部のデータベース分析システムの位置に読込むステップを含む、請求項１０に記載の方法。
【請求項１２】
１つ以上の分析処理を実行するステップは、
前記データベースにおけるデータが、前記１組のデータ要素の第１の比較パラメータに基づいて異常であるかどうかに関する第１の判定を行なうために、前記１組のデータ要素に対して第１の分析処理を実行するステップと、
前記データベースにおけるデータが、前記１組のデータ要素の第２の比較パラメータに基づいて異常であるかどうかに関する第２の判定を行なうために、前記１組のデータ要素に対して第２の分析処理を実行するステップとを含む、請求項１０に記載の方法。
【請求項１３】
１つ以上の分析処理を実行するステップは、
前記データベースにおける何らかのデータが、前記１組のデータ要素の第３の比較パラメータに基づいて異常であるかどうかに関する第３の判定を行なうために、前記１組のデータ要素に対して第３の分析処理を実行するステップを含む、請求項１２に記載の方法。
【請求項１４】
１つ以上の分析処理を実行するステップは、前記１組のデータ要素を、ユーザによって規定された１組のパラメータと比較するステップを含む、請求項１０に記載の方法。
【請求項１５】
１つ以上の分析処理を実行するステップは、前記１組のデータ要素における２つ以上のデータ要素の最大値、前記１組のデータ要素における２つ以上のデータ要素の最小値、および前記１組のデータ要素における２つ以上のデータ要素の平均値を決定するステップを含む、請求項１２に記載の方法。
【請求項１６】
１つ以上の分析処理を実行するステップは、前記最大値、前記最小値、および前記平均値のうちの少なくとも１つを、以前の期間から決定された値と比較するステップを含む、請求項１５に記載の方法。
【請求項１７】
１つ以上の分析処理を実行するステップは、前記１組のデータ要素から１群のデータを
選択するステップと、前記１群のデータの比較パラメータを決定するステップとを含む、請求項１２に記載の方法。
【請求項１８】
前記１群のデータの比較パラメータを決定するステップは、前記１群のデータにおける最大値のデータ要素、前記１群のデータにおける最小値のデータ要素、および前記１群のデータの平均値のうちの１つ以上を決定するステップを含む、請求項１７に記載の方法。
【請求項１９】
１群のデータを選択するステップは、１つ以上のユーザが規定したパラメータに基づいて前記１群のデータを選択するステップを含む、請求項１７に記載の方法。
【請求項２０】
１つ以上の分析処理を実行するステップは、統計分布を用いて前記１組のデータ要素から識別された値を一まとめにするステップと、次に前記統計分布を用いて前記データベース内で異常なデータを識別するステップとを含む、請求項１０に記載の方法。
【請求項２１】
１つ以上の分析処理を実行するステップは、前記データベース内の個々のデータ要素を規定する２つ以上のパラメータの範囲に基づいて、前記個々のデータ要素の値のデータポイントを識別するステップを含む、請求項２０に記載の方法。
【請求項２２】
前記２つ以上のパラメータは、前記個々のデータ要素の行を識別する第１のパラメータ、および、前記個々のデータ要素の列を識別する第２のパラメータに対応する、請求項２１に記載の方法。
【請求項２３】
１つ以上の分析処理を実行するステップは、以前の期間に前記データベースから識別された１組のデータ要素に基づいて、１つ以上の前記分析処理の結果を、前記１つ以上の分析処理を実行して得られた以前の結果と比較するステップを含む、請求項１０に記載の方法。
【請求項２４】
１つ以上の分析処理を実行するステップは、１つ以上の前記分析処理の結果を、指定された１組の結果と比較するステップを含む、請求項１０に記載の方法。
【請求項２５】
１つ以上のインスタンスで分析処理を実行した結果をまとめて報告書に編集するステップをさらに含む、請求項１０に記載の方法。
【請求項２６】
前記異常なデータをまとめて報告書に編集するステップをさらに含む、請求項２５に記載の方法。
【請求項２７】
前記異常なデータを、前記データベースに前記異常なデータを記憶させた事象と関連付けるステップをさらに含む、請求項１０に記載の方法。
【請求項２８】
異常なデータを前記データベースに記憶させる複数の事象を記録するステップをさらに含む、請求項２７に記載の方法。
【請求項２９】
指定された期間における１つ以上のインスタンスで、前記データベースシステムのデータベース内でコンテンツとして記憶された１組のデータ要素を識別するステップと、
前記１組のデータ要素が、前記指定された期間にわたってどのように修正されるかについてのトレンドデータを識別するステップと、
前記トレンドデータに基づいて、前記データベース内で異常なデータを識別するために、１つ以上の分析処理を実行するステップとをさらに含む、請求項１に記載の方法。
【請求項３０】
前記トレンドデータに基づいて前記１つ以上の分析処理を実行する前記ステップは、前
記トレンドデータに基づいて前記１つ以上の分析処理を調整するステップを含む、請求項２９に記載の方法。
【請求項３１】
前記トレンドデータに基づいて前記１つ以上の分析処理を実行する前記ステップは、前記トレンドデータに基づいて前記１つ以上の分析処理を選択するステップを含む、請求項３０に記載の方法。
【請求項３２】
前記１組のデータ要素がどのように修正されるかについてのトレンドを識別するステップは、ユーザによって指定された持続期間にわたって前記トレンドデータを識別するステップを含む、請求項２９に記載の方法。
【請求項３３】
前記指定された期間が一旦終了すると、１組のデータ要素を識別する前記ステップと、次に、前記指定された期間に識別された前記トレンドデータに基づいて前記１つ以上の分析処理を実行するステップとを繰り返すステップをさらに含む、請求項２９に記載の方法。
【請求項３４】
１組のデータ要素を識別するステップは、前記データベースシステムのデータベースからの前記１組のデータ要素を読込むステップを含む、請求項２９に記載の方法。
【請求項３５】
１組のデータ要素を識別する前記ステップは、指定された期間にわたって複数のインスタンスで繰返され、前記１組のデータ要素がどのように修正されるかについてのトレンドデータを識別するステップは、前記１組のデータ要素を識別する各々のインスタンスの後に、前記トレンドデータを更新するステップを含む、請求項２９に記載の方法。
【請求項３６】
前記１つ以上の分析処理を実行した結果をまとめて報告書に編集するステップをさらに含む、請求項２９に記載の方法。
【請求項３７】
前記異常なデータをまとめて報告書に編集するステップをさらに含む、請求項２９に記載の方法。
【請求項３８】
異常なデータを、前記データベースに前記異常なデータを記憶させた事象と関連付けるステップをさらに含む、請求項２９に記載の方法。
【請求項３９】
異常なデータを前記データベースに記憶させる複数の事象を記録するステップをさらに含む、請求項３８に記載の方法。
【請求項４０】
１つ以上のプロセッサによって実行されるときに、前記１つ以上のプロセッサに請求項１から３９のうちのいずれか１つに挙げられる方法を実行させる１つ以上のシーケンスの
【国際調査報告】
2005526311.tif 000011
2005526311.tif 000012
2005526311.tif 000013
2005526311.tif 000014