(57)【要約】【課題】、一旦発生した不都合現象が他に拡散すること又は繰り返されることを前もって予測し、これを抑制するリスク管理技術を提供する。【解決手段】各端末におけるイベント内容を経時的に記述したイベントログを取得し、特定端末で不都合現象が発生したこと示す不都合現象発生情報を取得し、不都合現象発生情報に基づいて決定される不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成し、他の端末のイベントログから取り出した注目イベントパターンに対して不都合現象到達イベントパターンを用いてパターンマッチング処理を施すことで得られる前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度に応じて不都合現象対策コマンドを出力する。【選択図】図１
2008269420.tif 000002
【特許請求の範囲】
【請求項１】
１つの端末で発生した不都合現象が拡散することを抑制するリスク管理方法において、
各端末におけるイベント内容を経時的に記述したイベントログを取得するステップと、前記端末の１つである特定端末で不都合現象が発生したこと示す不都合現象発生情報を取得するステップと、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成するステップと、前記端末におけるイベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すステップと、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定するステップと、前記不都合現象推移度に応じて不都合現象対策コマンドを出力するステップとからなるリスク管理方法。
【請求項２】
前記不都合現象到達イベントパターンは前記特定端末のイベントログから抽出されることを特徴とする請求項１に記載のリスク管理方法。
【請求項３】
前記不都合現象到達イベントパターンはマニュアルによって作成されることを特徴とする請求項１に記載のリスク管理方法。
【請求項４】
前記イベントログにはユーザによるキー操作又はマウス操作情報が含まれており、前記不都合現象到達イベントパターンはユーザ操作パターンとして表現可能であることを特徴とする請求項１から３のいずれか一項に記載のリスク管理方法。
【請求項５】
前記イベントログには各端末で起動可能な複数のプログラムの相互動作情報が含まれており、前記不都合現象到達イベントパターンはプログラム相互動作パターンとして表現可能であることを特徴とする請求項１から４のいずれか一項に記載のリスク管理方法。
【請求項６】
前記イベントログにはネットワーク交信情報が含まれており、前記不都合現象到達イベントパターンはネットワーク交信パターンとして表現可能であることを特徴とする請求項１から５のいずれか一項に記載のリスク管理方法。
【請求項７】
前記イベントログには前記端末の操作画面を順次キャプチャして生成される操作画面キャプチャ画像列が含まれており、前記不都合現象到達イベントパターンは操作画面パターンとして表現可能であることを特徴とする請求項１から６のいずれか一項に記載のリスク管理方法。
【請求項８】
前記不都合現象対策コマンドとして、前記注目イベントパターンが前記不都合現象到達イベントパターンに一致しないように当該端末における操作を強制的に変更するコマンドが出力されることを特徴とする請求項１から６のいずれか一項に記載のリスク管理方法。
【請求項９】
１つの端末で発生した不都合現象が拡散することを抑制するリスク管理プログラムにおいて、
各端末におけるイベント内容を経時的に記述したイベントログを取得する機能と、前記端末の１つである特定端末で不都合現象が発生したこと示す不都合現象発生情報を取得する機能と、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する機能と、前記端末におけるイベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施す機能と、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定する機能と、前記不都合現象推移度に応じて不都合現象対策コマンドを出力する機能とをコンピュータに実現させるリスク管理プログラム。
【請求項１０】
１つの端末で発生した不都合現象が拡散することを抑制するリスク管理システムにおいて、
各端末におけるイベント内容を経時的に記述したイベントログを取得するイベントログ取得部と、前記端末の１つである特定端末で不都合現象が発生したこと示す不都合現象発生情報を取得する不都合現象発生情報取得部と、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する不都合現象到達イベントパターン決定部と、前記端末におけるイベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すパターンマッチング処理部と、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定する不都合現象推移度決定部と、前記不都合現象推移度に応じて不都合現象対策コマンドを出力する不都合現象対策コマンド出力部とからなるリスク管理システム。
【請求項１１】
コンピュータ上で発生した不都合現象の繰り返しを抑制するリスク管理方法において、
前記コンピュータにおけるイベント内容を経時的に記述したイベントログを取得するステップと、前記コンピュータで不都合現象が発生したこと示す不都合現象発生情報を取得するステップと、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成するステップと、前記イベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すステップと、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定するステップと、前記不都合現象推移度に応じて不都合現象対策コマンドを出力するステップとからなるリスク管理方法。
【請求項１２】
コンピュータ上で発生した不都合現象の繰り返しを抑制するリスク管理プログラムにおいて、
前記コンピュータにおけるイベント内容を経時的に記述したイベントログを取得する機能と、前記コンピュータで不都合現象が発生したこと示す不都合現象発生情報を取得する機能と、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する機能と、前記イベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施す機能と、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定する機能と、前記不都合現象推移度に応じて不都合現象対策コマンドを出力する機能とをコンピュータに実現させるリスク管理プログラム。
【請求項１３】
コンピュータ上で発生した不都合現象の繰り返しを抑制するリスク管理モジュールにおいて、
前記コンピュータにおけるイベント内容を経時的に記述したイベントログを取得するイベントログ取得部と、前記コンピュータで不都合現象が発生したこと示す不都合現象発生情報を取得する不都合現象発生情報取得部と、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する不都合現象到達イベントパターン決定部と、前記イベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すパターンマッチング処理部と、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定する不都合現象推移度決定部と、前記不都合現象推移度に応じて不都合現象対策コマンドを出力する不都合現象対策コマンド出力部とからなるリスク管理モジュール。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、発生した不都合現象が他に拡散すること又は繰り返されることを抑制するリスク管理技術に関する。
【背景技術】
【０００２】
単体のコンピュータや複数のコンピュータによって構築されたネットワークシステムにおいて発生する種々の不都合現象、例えば、ユーザの操作ミスによる不適切な動作、コンピュータウイルスによる動作不良、プログラムの相互干渉によるフリーズ、不正操作による秘密情報の漏洩、不正操作による禁止情報のダウンロードなど、を防止する必要性が高まっている。このような不都合現象を未然に防ぐためには、全てのコンピュータの操作や動作を熟練を積んだ監視者が常時監視するとよいが、その監視コストが莫大なものとなり、現実的ではない。
【０００３】
ユーザによる操作ミスによる不都合を回避するひとつの技術として、サービス端末を利用している利用者が困っているかどうかを操作履歴から判断し、困っていると判断した時に、監視端末を使う監視者に、利用者が何で困っているかを示す操作履歴情報を提示し、監視者が困っている状況に応じた支援を行うために、利用者が困っていると想定される操作パターンデータを予めデータベース化し利用者の操作履歴から上記操作パターンデータが検出されたときは、操作履歴と検出した操作パターンを監視者に提示する操作履歴提示処理を行い、監視者が確認した操作状況に応じて支援機能データベースを用いて操作支援処理を行うシステムが提案されている（例えば、特許文献１参照）。このようなシステムは、テンキー操作のみで動作するような非常に限定された機能だけを提供することから不都合な操作が限定され、その予測が容易な場合には、予め利用者が困っていると想定される操作パターンデータをデータベース化しておくことができるので、それなりの効果が得られるが、種々の機能を提供する汎用コンピュータや、外部のサーバから種々の情報を取得できるネットワーク接続されたコンピュータに対してそのまま適用することは困難である。
【０００４】
また、特定のアプリケーションプログラムが、不正使用のユーザ、ウイルス感染のアクセス元、破損ファイル等のリスク発生源を検出した場合、そのリスクの発生原因、具体的には不正使用をしたユーザのユーザＩＤ、コンピュータウイルスの感染源となるファイルや破損ファイルのファイル名等を脅威コードとし、そのリスクによってＡＰが被る可能性のある損害内容、具体的にはユーザの不正使用やウイルス感染、破損ファイルにアクセスすることで引き起こされるＡＰのハングアップ等を損害コードとして記憶しておき、別なアプリケーションプログラムが起動しようとしているユーザのユーザＩＤや、アクセスしようとしているファイルのファイル名等を確認コードとして、この確認コードの値と同一の値を持つ脅威コードが存在しているか否かを検証し、同一値を持つ脅威コードが存在した場合には、対応する損害コードを被害発生の可能性として考慮するリスク情報管理システムが提案されている（例えば、特許文献２参照）。このシステムでは、リスクの発生原因を規定する脅威コードとして、不正使用をしたユーザのユーザＩＤやコンピュータウイルスの感染源となるファイルや破損ファイルのファイル名等を用いて、脅威コードと確認コードの一致でリスクの発生を判断しているので、起こりえるリスクを前の段階で予知するという発想がなく、リスク管理としては不十分である。
【特許文献１】特開平１０−２２２４６７号公報（段落番号００１７−００２３、図１）
【特許文献２】特開２００１−１４２６９０号公報（段落番号０００７−００１１、図４）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記実状に鑑み、本発明の課題は、一旦発生した不都合現象が他に拡散すること又は繰り返されることを前もって予測し、これを抑制するリスク管理技術を提供することである。
【課題を解決するための手段】
【０００６】
１つの端末で発生した不都合現象が拡散することを抑制するため、本発明によるリスク管理方法は、各端末におけるイベント内容を経時的に記述したイベントログを取得するステップと、前記端末の１つである特定端末で不都合現象が発生したこと示す不都合現象発生情報を取得するステップと、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成するステップと、前記端末におけるイベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すステップと、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定するステップと、前記不都合現象推移度に応じて不都合現象対策コマンドを出力するステップとからなる。
【０００７】
このリスク管理方法では、実際に不都合現象が発生した際に、この不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する。つまり、不都合現象が発生するまでには、この不都合現象をもたらすいくつかのイベント（コンピュータにおける時間的動作単位）の発生過程、つまり不都合現象をもたらすイベント列が存在しているので、これに基づいて不都合現象到達イベントパターンを生成することができる。例えば、このイベント列に基づいて不都合現象到達イベントパターンを生成するための１つ方法は、前記特定端末のイベントログの最終イベントからさかのぼって不都合現象到達イベントパターンを抽出することである。また、オペレータが発生した不都合現象から判断して適切な不都合現象到達イベントパターンをマニュアルによって作成してもよい。もちろん、前記特定端末のイベントログからオペレータの判断で適切なイベントを抽出して不都合現象到達イベントパターンを生成してもよい。また、最終イベントに達しないためのリスク管理であるので、処理的には、最終イベントを不都合現象到達イベントパターンに含めなくともよいが、オペレータなどの視覚的なチェックなどを考慮して、最終イベントを含めてもよい。いずれにせよ、不都合現象到達イベントパターンが生成されると、その後、この不都合現象を発生させた特定端末以外の端末おけるイベントログから順次監視対象となる注目イベントパターンを取り出し、この注目イベントパターンと不都合現象到達イベントパターンの間でパターンマッチングを行い、注目イベントパターンが不都合現象到達イベントパターンに推移していく可能性を示す不都合現象推移度を決定する。注目イベントパターンが高い可能性をもって不都合現象到達イベントパターンに推移していくと判定された場合、未然にこの不都合現象の発生を防ぐために、該当する端末に対して不都合現象対策コマンドを出力する。この不都合現象推移度を明確な数値として表したい場合には、不都合現象推移確率として演算によって求めるようにするとよい。これにより、１つの端末で発生した不都合現象が拡散することが抑制される。なお、ここで述べられている不都合現象の拡散を防止する対象としては、不都合現象から復帰した端末も含まれており、１つの端末で発生した不都合現象がその不都合から復帰したその端末にも拡散しないようにすることも、本発明のリスク管理技術に当然含まれている。
【０００８】
イベントパターンの構成要素であるイベントはイベントログとして経時的に記録されているが、端末つまりコンピュータにおいて発生する不都合現象の原因として第１に挙げられるものは、ユーザによる過失又は故意による不正操作であることから、本発明の好適な実施形態の１つでは、前記イベントログにはユーザによるキー操作又はマウス操作情報が含まれており、前記不都合現象到達イベントパターンはユーザ操作パターンとして表現される。これにより、不都合現象を導いたユーザ操作パターンが不都合現象到達イベントパターンとして確定され、他の端末においてそのような不都合現象到達イベントパターンに到達するようなユーザ操作を回避させることで、１つの端末で発生した不都合現象が拡散することが抑制される。
【０００９】
ユーザ操作とは直接的な関係がない要因でもコンピュータは種々の不都合現象を発生させる。例えば、プログラムの相互干渉によるクラッシュなどである。このような問題にも対処するためには、前記イベントログに各端末で起動可能な複数のプログラムの相互動作情報が含まれ、前記不都合現象到達イベントパターンとしてプログラム相互動作パターンを設定するとよい。つまり、プログラムＡのプロセスｘとｙが順次実行された後プログラムＢのプロセスｚが実行されたことによりフリーズ状態といった不都合現象が生じた場合、そのようなプロセスの実行パターンつまり不都合現象到達イベントパターンを回避させることで、１つの端末で発生した不都合現象が拡散することを防ぐのである。
【００１０】
さらに、コンピュータがネットワーク化されている場合、コンピュータ上で発生する一部の不都合現象は、特定のネットワーク交信をその原因とすることができる。この観点から、前記イベントログにはネットワーク交信情報が含まれ、前記不都合現象到達イベントパターンはネットワーク交信パターンとして表現することも重要である。
【００１１】
また、コンピュータにおける種々の操作や動作の過程はその都度の操作画面で確認することができる。このことを考慮するならば、時々刻々と変化する操作画面をコンピュータにおけるイベントと見なして、コンピュータにおけるリスク管理に利用することが可能となる。従って、本発明の好適な実施形態の１つでは、前記イベントログには前記端末の操作画面を順次キャプチャして生成される操作画面キャプチャ画像列が含まれており、前記不都合現象到達イベントパターンは操作画面パターンとして表現される。つまり、不都合現象に至った操作画面パターンとチェック対象となる操作画面パターンをチェックし、不都合現象に至った操作画面パターンにならないように１つの端末で発生した不都合現象の拡散が抑制される。なお、ここでの操作画面の意味は、モニタに表示された全画面でもよいし、その一部分、例えば特定のウインドウ画面や、さらにはボタンやアイコンなどのイメージも含まれるものである。
【００１２】
１つの端末で発生した不都合現象が拡散することを回避するために出力される不都合現象対策コマンドとしては、前記注目イベントパターンが前記不都合現象到達イベントパターンに一致しないように当該端末における操作を強制的に変更するコマンドが適しているが、最終的な判断をユーザに委ねるために、不都合現象対策コマンドとして警告通知コマンドを出力して、該当端末を操作しているユーザに不都合現象発生の可能性を警告するようにしてもよい。
【００１３】
本発明では、上述したリスク管理方法を実施するリスク管理システムも権利範囲としている。そのようなリスク管理システムでは、１つの端末で発生した不都合現象が拡散することを抑制するために、各端末におけるイベント内容を経時的に記述したイベントログを取得するイベントログ取得部と、前記端末の１つである特定端末で不都合現象が発生したこと示す不都合現象発生情報を取得する不都合現象発生情報取得部と、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する不都合現象到達イベントパターン決定部と、前記端末におけるイベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すパターンマッチング処理部と、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定する不都合現象推移度決定部と、前記不都合現象推移度に応じて不都合現象対策コマンドを出力する不都合現象対策コマンド出力部が備えられている。このように構成されたリスク管理システムも、先のリスク管理方法で述べられた作用効果を伴うものであり、上述した種々の付加的な特徴構成を備えることが可能である。
【００１４】
なお、本発明によるリスク管理技術は、ネットワークに接続された多数の端末を同じくネットワークに接続された端末監視装置によって監視するネットワークシステムに適用されるだけではなく、スタンドアローン型のコンピュータにも適用される。そのような１つのコンピュータにおける閉じられた範囲内で稼働するリスク管理方法は、前記コンピュータにおけるイベント内容を経時的に記述したイベントログを取得するステップと、前記コンピュータで不都合現象が発生したこと示す不都合現象発生情報を取得するステップと、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成するステップ、前記イベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すステップと、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定するステップと、前記不都合現象推移度に応じて不都合現象対策コマンドを出力するステップとからなる。このリスク管理方法では、コンピュータで発生した不都合現象のための確定させた不都合現象到達イベントパターンを用いて、以後の自己のイベントパターンをチェックして、同じ不都合現象の繰り返しを回避する。
【００１５】
同様に、実装されたコンピュータのみに作用する、本発明によるリスク管理モジュールは、このコンピュータにおけるイベント内容を経時的に記述したイベントログを取得するイベントログ取得部と、前記コンピュータで不都合現象が発生したこと示す不都合現象発生情報を取得する不都合現象発生情報取得部と、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する不都合現象到達イベントパターン決定部と、前記イベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すパターンマッチング処理部と、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定する不都合現象推移度決定部と、前記不都合現象推移度に応じて不都合現象対策コマンドを出力する不都合現象対策コマンド出力部を備えている。上述した作用により、このリスク管理モジュールを実装したコンピュータにおいてもこのコンピュータ上で発生した不都合現象の繰り返しが抑制される。
【００１６】
さらに、本発明では、上述した全てのリスク管理技術をコンピュータに実現させるプログラムも権利範囲としている。
【発明を実施するための最良の形態】
【００１７】
１つの端末で発生した不都合現象が繰り返されたり、拡散されたりすることを抑制するリスク管理方法の基本原理を図１を用いて説明する。ここで言う不都合現象とはコンピュータ上で発生する不具合やコンピュータを通じて発生する不正行為などの総称で、例えばコンピュータウイルスによる動作不良やクラッシュ、プログラムの相互干渉によるクラッシュ、不正操作による秘密情報の漏洩、不正操作による禁止情報のダウンロードなどが挙げられる。
【００１８】
図１には、汎用的なノートパソコンやデスクパソコンである複数の端末１と、これらの端末１における不都合現象の拡散や繰り返しを防止するべく機能するリスク管理装置３がネットワーク（ＬＡＮのような組織内のネットワークであってもよいし、インターネットのように開放された広域のネットワークであってもよい）２を通じて接続されることにより構築されているコンピュータシステムが示されている。
【００１９】
リスク管理装置３は、各端末１におけるユーザの操作状況やプログラムの動作状況を逐次把握しており、いずれかの端末１で不都合現象が発生した場合、その不都合現象をもたらしたユーザの操作状況やプログラムの動作状況を確定し、その端末１において同じ不都合現象が発生しないように監視するとともに、その不都合現象が他の端末１に拡散しないように監視する。以下にその手順を説明する。
【００２０】
端末１におけるユーザ操作やそれに伴うプログラムの起動及び種々のプログラムプロセスの実行動作はイベントログとして逐次記録され、リスク管理装置３に送られる（＃０１）。リスク管理装置３では、各端末１から順次受け取ったイベントログから、「アプリケーションＡのアイコンに対するマウスクリック」、「アプリケーションＡの起動」、「ファイル０１をオープン」、「ＵＲＬ：ａｂｃへのアクセス」、「ファイルｘｙｚのダウンロード」といったコンピュータの操作や動作に関する予め設定された最小単位の内容、つまりイベントが取り出され、端末１毎に、イベント列としてメモリに格納される（＃０２）。
【００２１】
特定の端末（ここでは第１の端末）において不都合現象が発生し、その不都合現象の発生が検知されると、その不都合現象の種別、内容、時刻などを記述した不都合現象発生情報が生成され、リスク管理装置３に送られる（＃０３）。リスク管理装置３では、第１の端末１から受け取った不都合現象発生情報から、コンピュータウイルスによる動作不良やプログラムの相互干渉によるクラッシュといったように不都合現象の種別や内容が特定され、特定された不都合現象に特有の要因と時刻を限定して抽出条件が作成され、この抽出条件に基づいて、この第１の端末１のメモリに格納されているイベント列からこの不都合現象を導いたと思われるイベントが抽出され、この抽出されたイベントからなるイベント列が不都合現象到達イベントパターンとして登録される（＃０４）。このように登録された不都合現象到達イベントパターンは、このようなパターンでコンピュータを操作又は動作させた場合特定の不都合現象を発生させることになる見本となっている。なお、不都合現象到達イベントパターンを生成するため、メモリに格納されているイベント列から関連イベントを抽出する際に、これらの抽出イベントは必ずしも経時的に連続している必要はない。これは連続したイベント列において不都合原書と全く無関係なイベントが混在する可能性があり、そのような不都合現象と無関係な独立したイベントを省くことは不都合現象到達イベントパターンの精度を上げることになるからである。例えば、図１における不都合現象到達イベントパターンは、イベントＲ＋Ｏ＋Ｐ＋Ｑとなっているが、イベントＯが無関係な独立したイベントであるとすれば、イベントＲ＋Ｐ＋Ｑを不都合現象到達イベントパターンとするのである。もちろん、制御を簡単にするためには、経時的に連続したイベントを抽出するとよい。また、不都合現象到達イベントパターンには、必ずしも、不都合現象の最終的な発生をトリガーする最終イベント（図１ではイベントＱ）を含ませなくともよい。最終イベントの手前で不都合現象の発生を回避する必要があるので、最終イベントが生じるまで待つことができないからである。さらに、不都合現象によってはその不都合現象到達イベントパターンがかなり解明されているものがあり、そのようなケースでは、不都合現象到達イベントパターンを第１の端末１のメモリに格納されているイベント列から抽出するのではなく、オペレータによってマニュアルで作成又は選択することも可能である。
【００２２】
従って、各端末１から逐次送られてくるイベントログに基づいて格納されていく最新のイベント列に対して、登録された不都合現象到達イベントパターンを標準パターンとしてパターンマッチング処理を行う（＃０５）。パターンマッチング処理の結果、高い類似度が見つけ出されると、つまり不都合現象到達イベントパターンへ推移する可能性（推移度）が高くなると、例えば、その推移度が所定の閾値を超えた場合、監視対象となっている端末１で警告を報知するなり、不都合現象到達イベントパターンへ完全に推移するために残っているイベントを生じさせないように特定イベントの出現を回避させるコマンドを与えるなりの不都合現象防止の対策が行われる（＃０６）。これにより、このネットワークシステムでは、端末１において発生した不都合現象が繰り返されたり、その他の端末１に拡散されたりすることが抑制される。
【００２３】
上記の説明では、各端末１からリスク管理装置３に送られるイベントログには、端末におけるユーザ操作内容やそれに伴うプログラムの起動及び種々のプログラムプロセスの実行動作内容が含まれていたが、これらに代えて又はこれらに追加して、ユーザ操作やプログラムプロセスの実行動作に伴って逐次書き換えられていく操作画面（モニタ画面）をキャプチャして得られたキャプチャ画像が含まれてもよい。上述したように、端末１毎に格納されたキャプチャ画像から不都合現象到達イベントパターンとしてキャプチャ画像列を抽出することが可能であり、この画像としての不都合現象到達イベントパターンを標準パターンとしてパターンマッチング処理を行うことにより、不都合現象到達イベントパターンへ推移する可能性の高い端末１を特定することも可能である。
【００２４】
上述した原理的なリスク管理システムを実際に構築する上で端末１とリスク管理装置３に要求される機能を示す機能ブロック図が図２に示されている。端末１は、ノート型パソコンやディスクトップ型パソコンなどの汎用パソコンであるが、それらのパソコンが作り出す機能の内、図２の機能ブロック図では、本発明に特に関係する機能を主に示している。端末１は、液晶ディスプレイなどのモニタ５１と、操作入力デバイス５２としてのキーボードやマウスと、各種データを格納する据え付けタイプのハードディスク５３やリムーバブルタイプの記録デバイス（ＵＳＢメモリなど）５４を備えている。この端末１にインストールされているＯＳによって作り出されるＧＵＩ部１０が仲介することにより、モニタ５１に表示された操作画面を通じてユーザによって入力された種々の操作命令が実行される。各種ファイル処理を含むユーザ指示に基づくデータ処理は相応のプログラムの起動を伴ってプログラム実行部１１で行われる。ＧＵＩ部１０で処理されたユーザ操作の内容は操作情報生成部１２で操作実行プログラム名や操作対象データ名（ファイル名）や操作コマンド名などを列挙する形でタイムスタンプとひも付けされて操作情報となり、プログラム実行部１１における実行プロセスの情報は動作情報生成部１３でプログラム名やプロセス名などを列挙する形でタイムスタンプとひも付けされて動作情報となる。
【００２５】
各種操作画面をモニタ５１に表示するため、これらの表示データは一時的にビデオメモリ１４に格納されるが、このビデオメモリ１４に展開されている表示データ、つまり操作画面は操作画面キャプチャ部１５で操作画面キャプチャ画像（以下単にキャプチャ画像と称する）としてキャプチャされ、タイムスタンプとひも付けされてキャプチャ画像情報となる。
【００２６】
操作情報生成部１２で生成された操作情報や動作情報生成部１３で生成された動作情報や操作画面キャプチャ部１５で生成されたキャプチャ画像情報はイベントログ生成部１６によって機械的に読み出し可能にフォーマットされたイベントログとして結合され、ネットワークＩＦ１７を通じてリスク管理装置３に送られる。ネットワークＩＦ１７は、外部との間のデータ交信の全てを管理制御しているので、不正なデータのやり取りはここでの交信記録を経過から判断することが可能である。このため、このネットワークＩＦ１７では、その交信情報を生成して、イベントログ生成部１６に送る機能も有している。イベントログ生成部１６では、与えられた交信情報をイベントログに組み込むことができる。
【００２７】
さらに、端末１に発生した、コンピュータウイルスによる動作不良やプログラムの相互干渉によるクラッシュといったような不都合現象を検知すると、この不都合現象の種別、内容、時刻などを記述した不都合現象発生情報を生成してリスク管理装置３に送り出す不都合現象検知部１８が備えられている。
【００２８】
端末１からリスク管理装置３に送られるイベントログは、端末ＩＤやＭＡＣアドレスによってその送信元を確定することが可能であるが、端末１がマルチユーザタイプである場合、その端末１を操作しているユーザが特定されることも重要である。このため、そのような端末１を利用するためには、まずユーザ名とパスワードの入力によってログインしなければならないようにし、このログイン処理を通じて得られたユーザ名は、ログイン・ログオフ制御部１９において、そのままで又は必要に応じてユーザＩＤ等に変換され、端末１を識別するための端末ＩＤとともにリスク管理装置３に送られ管理されるユーザ属性情報とする。また、イベントログ自体にユーザ属性情報を記述するようにしてもよい。
【００２９】
なお、ログイン・ログオフ制御部１９には、リスク管理装置３がこの端末１におけるこれ以上の操作や動作が不都合現象を引き起こす可能性が高いと判定した場合、警告情報報知コマンドや特定種類のイベントに結びつく操作や動作を禁止するコマンドやこのユーザのログインを強制的にログオフするコマンドなどの不都合現象対策コマンドがリスク管理装置３から送られてくる。ログイン・ログオフ制御部１５は、警告情報報知コマンドを受け取るとこれをモニタ５１に表示し、操作や動作を禁止するコマンドを受け取ると、ＧＵＩ部１０やプログラム実行部１１に設定されているテーブルに禁止された操作や動作を書き込んで以後特定の操作や動作を禁止する。また、強制ログオフコマンドを受け取ると、直ちに強制ログオフし、以後少なくとも所定期間の間このユーザによるログインは禁止される。
【００３０】
リスク管理装置３も一般的には汎用コンピュータによって構成され、液晶ディスプレイなどの監視モニタ６１、操作入力デバイス６２としてキーボードやマウス、ハードディスクなどで構成されるデータ格納部６４などが付属している。このリスク管理装置３にインストールされているＯＳによってＧＵＩ部３０や端末１から送られてきた端末操作ユーザに関するユーザ属性情報に基づいて特定された端末１とこの端末１を操作しているユーザを管理する端末管理部３１などを初めとして種々の基本的な機能が作り出される。また、リスク管理装置３における本発明に関する機能のほとんどは、このリスク管理装置３にインストールされているリスク管理プログラムの実行に伴って作り出される。その代表的なものとして、イベントログ取得部３２、イベントパターン取り出し部３３、不都合現象発生情報取得部３４、不都合現象到達イベントパターン決定部３５、パターンマッチング処理部３７、不都合現象推移度決定部３８、不都合現象対策コマンド出力部３９などが挙げられる。
【００３１】
イベントログ取得部３２は、各端末１から送られてくるイベントログを端末別に取り込み、イベントログに含まれているイベントを、操作情報、動作情報、交信情報、キャプチャ画像情報のいずれかに分類する。この内、操作情報と動作情報と交信情報はテキスト情報であるので、操作・動作情報管理部３２ａで管理され、キャプチャ画像情報はイメージ情報であるので、キャプチャ画像管理部３２ｂで管理される。イベントパターン取り出し部３３は、操作・動作情報管理部３２ａやキャプチャ画像管理部３２ｂで管理されている各イベントを随時取り出して時系列的にメモリに展開して、これらの時系列的に並んだ同一種類のイベントからなるイベント列をイベントパターンとして作り出す。
【００３２】
不都合現象発生情報取得部３４は、ある特定の端末１で不都合現象が発生したこと示す不都合現象発生情報を取得する。不都合現象到達イベントパターン決定部３５は、不都合現象発生情報取得部３４で取得された不都合現象発生情報に基づいて決定されるこの不都合現象の原因となる初期イベントからこの不都合現象の最終的な発生をトリガーする最終イベントに至るイベント列を、この不都合現象発生を発生させた特定端末１のイベントログからイベントパターン取り出し部３３で作り出されているイベント列から抽出して不都合現象到達イベントパターンと定義する。この定義された不都合現象到達イベントパターンは、不都合現象到達イベントパターンテーブル３６に登録され、パターンマッチング処理における標準パターンとして用いられる。パターンマッチング処理部３７は、不都合現象の発生の後に正常に復帰した端末１を含む、不都合現象を発生している端末以外の端末１におけるイベントログからイベントパターン取り出し部３３で取り出されるイベント列としての注目イベントパターンに対して不都合現象到達イベントパターンテーブル３６で登録されている１つ以上の不都合現象到達イベントパターンを用いてパターンマッチング処理を施す。なお、このパターンマッチング処理の対象となる注目イベントパターンに含まれるイベント数は、標準パターンとして設定される不都合現象到達イベントパターンにおけるイベント数に応じて変動する。なお、このパターンマッチング処理では、標準パターンとしての不都合現象到達イベントパターンの経時的な順番に関しては厳密であり、経時的な順番が異なる場合マッチングしないと見なされる。不都合現象推移度決定部は、パターンマッチング処理部３７によるパターンマッチング処理結果に基づいて注目イベントパターンが対象となっている不都合現象到達イベントパターンに推移する不都合現象推移度を決定する。この実施の形態では、不都合現象推移度決定部３８は、推移度を取り扱いやすい数値として表現するため、不都合現象推移度として不都合現象推移確率を演算するように構成されている。この不都合現象推移確率の演算アルゴリズムの一例として、パターンマッチング度、及び、不都合現象のタイプ別で多くの試料データをもとに統計的な処理によって得られた関係式を用いて作り出すことができる。
【００３３】
不都合現象対策コマンド出力部３９は、不都合現象確率（推移度）に応じて、不都合現象が発生する可能性が高い端末１に対して、不都合現象の発生を予防すべく、不都合現象対策コマンドを送る。この不都合現象対策コマンドとしては、注目イベントパターンが不都合現象到達イベントパターンに一致しないように当該端末１における操作を強制的に変更するコマンドや、不都合現象の発生を予告する警告を当該端末１のユーザに報知するための警告通知コマンド、当該端末１のユーザに対して強制的なログオフを行うコマンドといったような当該端末１に対するリスク抑制コマンドと、ファイルサーバに対する当該端末１からのリクエストの受付を禁止するコマンドやＤＮＳサーバやプロキシサーバやメールサーバなどに対する当該端末１からのリクエストの受付を禁止するコマンドといったような外部サーバに対するリスク抑制コマンドなどが挙げられる。
【００３４】
このように構成されたリスク管理システムにおけるリスク管理の手順を非常に単純化された例を用いる。ここでの不都合現象は、外部からのコンピュータウイルスで、以下のような過程を経て、特定の端末１に侵入したケースとする。
（１）Ｗｅｂブラウザの起動
（２）サイトＡＢＣにアクセス
（３）サイトＡＢＣのトップページ表示
（４）特定エリアをクリック
（５）ＸＹＺページの表示
（６）特定ボタンＥＸＩＴをクリック
（７）コンピュータウイルスを含むＰＰＰ．ｅｘｅファイルのダウンロード
（８）ＰＰＰ．ｅｘｅファイルの自動起動によるコンピュータウイルスの感染
（９）Ｗｅｂブラウザの終了
上記のような操作を行った場合、特定端末１がコンピュータウイルスに感染したことを常駐しているウイルス検出ソフトによって検出されると、不都合現象検知部１８がコンピュータウイルス感染に関する不都合現象発生情報を生成して、リスク管理装置３に送ることになる。また、上記のような操作を行った場合、端末１がリスク管理装置３に送るイベントログから、イベントパターン取り出し部３３は、図３の（ａ）で模式的に示されるようなイベント列を取り出すことができる。
【００３５】
この不都合現象発生情報を受け取ったリスク管理装置３は、この不都合現象を他の端末１に拡散させないように、図４で示す不都合現象防止対策処理を行う。この不都合現象防止対策処理では、発生した不都合現象を登録する登録ルーチンと発生した不都合現象の拡散を回避する回避実行ルーチンが並列して実行している。登録ルーチンでは、まず、不都合現象発生情報を解読して、不都合現象の種類（ここではコンピュータウイルス感染）など不都合現象の属性情報を求める（＃１１）。不都合現象到達イベントパターン決定部３５は、その属性情報（コンピュータウイルス感染の場合感染履歴情報など）から、この不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベント列を検索し、不都合現象到達イベントパターンとして見つけ出す（＃１２）。例えば、図３で示したイベント列から図３の（ｂ）に示すイベント列が不都合現象到達イベントパターンとして決定される。この決定された不都合現象到達イベントパターンは不都合現象到達イベントパターンテーブル３６に登録される（＃１３）。
【００３６】
回避実行ルーチンでは、まず、監視対象となる端末１を指定する（＃２１）。これは通常、その時点で稼働している端末１を順次指定していくやり方でよい。パターンマッチング処理部３７は、不都合現象到達イベントパターンテーブル３６に登録されている全ての不都合現象到達イベントパターンをパターンマッチング処理の標準パターンとして順次設定する（＃２２）。指定された監視対象端末１のイベントログからイベントパターン取り出し部３３が、設定された標準パターンに適合するイベント数を持つべくイベントパターンを取り出し、パターンマッチング処理部３７に与える（＃２３）。なお、イベントパターン取り出し部３３によって取り出されるイベントパターンに含まれるイベント数は標準パターンに含まれるイベント数と同じである必要はない。例えば、取り出されたイベントパターンに含まれるイベントには連続する他のイベントとは無関係なイベントも混在する可能性がある場合、取り出されるイベントパターンに含まれるイベント数は設定された標準パターンに含まれるイベント数より大きくする方が好都合となる。また、取り出されるイベントパターンから無関係なイベントを除外しておく前処理を行うことも好適であるし、必要の場合、取り出されたイベントパターンに含まれるイベントの順番を一部変えることも不都合現象到達イベントパターン（標準パターン）によっては有効である。パターンマッチング処理が行われ、取り出されたイベントパターンと設定された標準パターン（不都合現象到達イベントパターン）の類似度、つまり取り出されたイベントパターンが標準パターンに推移する可能性としての確率が演算される（＃２４）。得られた確率と予め設定されているしきい値が比較される（＃２５）。確率がしきい値より大きい場合（＃２５Yes分岐）、この監視対象端末１において不都合現象が発生する可能性が高いとみなし、その不都合現象のリスク程度や確率の値に応じて、直ちに操作や動作を中止させるか、警告だけにするといったように、相応な不都合現象対策コマンドを決定する（＃２６）。決定された不都合現象対策コマンドは、ネットワーク２を通じて監視対象端末１に送られる（＃２７）。確率がしきい値より小さい場合（＃２５No分岐）、取り出されたイベントパターンに関しては問題がないと見なして、次に取り出すべきイベントパターンが存在するどうかをチェックし、存在する場合（＃２８Yes分岐）、ステップ＃２３に戻って次の別なイベントパターンをパターンマッチング処理部３７に与え、存在しない場合（＃２８No分岐）、次に標準パターンとして設定すべき不都合現象到達イベントパターンが残っているかどうかをチェックする（＃２９）。設定すべき不都合現象到達イベントパターンが残っている場合（＃２９Yes分岐）、ステップ＃２２に戻って次の別な不都合現象到達イベントパターンを標準パターンとして設定する。設定すべき不都合現象到達イベントパターンが残っていない場合（＃２９No分岐）、ステップ＃２１に戻って次の別な端末１を監視対象端末として指定する。このようにして、一旦発生した不都合現象が他に拡散すること又は繰り返されることをイベントパターンを用いた不都合現象到達確率（不都合現象到達推移度）によって予測し、これを防止すべく、対策を講じる。
【００３７】
上記図３の例では、イベント列として、テキスト化又はコード化されたイベント内容の列をイベントパターンと定義していたが、そのようなイベント毎にモニタ５１に表示される操作画面であるキャプチャ画像列をイベントパターンとして定義して、上述した不都合現象防止対策処理を実行することも可能である。そのようなキャプチャ画像によるイベントパターンの一例が図５に示されている。この不都合現象防止対策処理はパターンマッチング処理に基づく不都合現象到達確率（不都合現象到達推移度）が基本となっているので、イメージベースのイベントパターンに対しても高い適用性を有する。なお、なお、ここでのパターンマッチング処理の対象となる操作画面には、モニタに表示された全画面だけではなく、その一部分、例えば特定のウインドウ画面や、さらにはボタンやアイコンなどのイメージも含まれるものである。このようなモニタ画面上の部分的な領域は、モニタ画面全域のキャプチャ画像から切り取ることも可能であるし、最初からその領域だけをキャプチャして限定的な操作画面として取り扱うようにしてもよい。
【００３８】
図６には本発明の別の実施形態が示されている。先に説明した実施の形態では、多数の端末１で生成されたイベントログと特定の端末１で発生した不都合現象を記述する不都合現象発生情報がネットワーク２を介してリスク管理装置３に送られ、このリスク管理装置３で、そのような不都合現象が繰り返されたり、拡散されたりすることを防止するべく対策が講じられていた。しかしながら、このリスク管理装置３における不都合現象防止対策処理を実行するために要求される各機能部をモジュール化して端末１のコンピュータに実装すれば、そのコンピュータは単独で、本発明によるリスク管理機能を実現することができる。そのような形態における機能ブロック図が図６に示されている。これは、前述したネットワークタイプのリスク管理技術に較べ、ネットワークを介してのイベントログと不都合現象発生情報と不都合現象対策コマンドの伝送がコンピュータのデータバスに置き換わっていることに違いがあるが、実質的な技術内容は同じであるので、ここではその説明の繰り返しは省略する。
【００３９】
上記実施形態の説明では、端末１で発生した不都合現象は、端末１に実装された不都合現象検知部１８によって検知され、その不都合現象の種別、内容、時刻などを記述した不都合現象発生情報がリスク管理装置３に送り出されるような構成であったが、これに代えて、端末１にから送られてくる操作情報や制御情報などに基づいて端末１で発生した不都合を検知する不都合現象検知部がリスク管理装置３側に実装される構成を採用してもよい。この構成では、不都合現象検知部は各端末１に実装する必要がなく、リスク管理装置３にだけ実装すればよいので、その保守点検管理も容易となり、またコスト的にも有利である。
【図面の簡単な説明】
【００４０】
【図１】本発明によるリスク管理技術の基本原理を説明する模式図
【図２】本発明によるリスク管理技術を適用したコンピュータシステムの機能ブロック図
【図３】イベントパターンとなるテキストベースのイベント列の説明図
【図４】不都合現象防止対策処理を示すフローチャート
【図５】イベントパターンとなるイメージベースのイベント列の説明図
【図６】本発明によるリスク管理技術をスタンドアローンタイプのコンピュータに適用した形態における機能ブロック図
【符号の説明】
【００４１】
１：端末
２：ネットワーク
３：リスク管理装置
１２：操作情報生成部
１３：動作情報生成部
１５：操作画面キャプチャ部
１６：イベントログ生成部
１８：不都合現象検知部
３２：イベントログ取得部
３３：イベントパターン取り出し部
３４：不都合現象発生情報取得部
３５：不都合現象到達イベントパターン決定部
３６：不都合現象到達イベントパターンテーブル
３７：パターンマッチング処理部
３８：不都合現象推移度決定部
３９：不都合現象対策コマンド出力部
【図１】
2008269420.tif 000003
【図２】
2008269420.tif 000004
【図３】
2008269420.tif 000005
【図４】
2008269420.tif 000006
【図５】
2008269420.tif 000007
【図６】
2008269420.tif 000008