(57)【特許請求の範囲】
【請求項１】
複数の要素間のイベントのうち、異常イベントとして検出されたイベントを、該異常イベントに関連する要素ごとに分類する分類手段と、
分類の結果に基づいて、前記要素を頂点とし前記要素間の関係を辺として該異常イベントを表し、表示画面上において前記要素が種別ごとに配置され、且つ、前記表示画面に表示される関係グラフを生成する生成手段と、を備え、
前記イベントは、複数のホストを含むシステム上において発生したイベントであり、
前記分類手段は、ホストごとに、前記異常イベントを前記要素ごとに分類し、
前記生成手段は、前記要素を前記種別ごとに第１の方向に配置し、前記種別が前記第１の方向とは異なる第２の方向に並ぶ前記関係グラフを、前記ホストごとに生成する支援装置。
【請求項２】
前記異常イベントには、異常の度合いを表す値が関連付けられており、
前記生成手段は、前記異常の度合いに基づいて、前記種別ごとに、前記要素を前記第１の方向に並べた前記関係グラフを生成する、請求項１に記載の支援装置。
【請求項３】
前記関係グラフは、前記種別が、前記第２の方向に、ホスト内のファイル、該ホスト内のプロセス、該ホストとは異なる外部ホストの順に並ぶ、請求項１または２に記載の支援装置。
【請求項４】
前記関係グラフは、前記種別が、前記第２の方向に、ホスト内のアカウント、該ホスト内のプロセス、該ホスト内のファイルまたは該ホストとは異なる外部ホストの順に並ぶ、請求項１または２に記載の支援装置。
【請求項５】
前記関係グラフは、前記種別が、前記第２の方向に、ホスト内のアカウント、該ホスト内のプロセス、該ホスト内のファイルおよび該ホストとは異なる外部ホストの順に並ぶ、請求項１または２に記載の支援装置。
【請求項６】
前記生成手段は、前記ホストの内部の要素と、該ホストとは異なる外部ホストとを表す要素とが、前記表示画面上において、区別可能な様態で表示される前記関係グラフを生成する、請求項１から５の何れか１項に記載の支援装置。
【請求項７】
前記異常イベントの選択を受け付ける受付手段を更に備え、
前記分類手段は、受け付けた異常イベントに基づいて特定される時刻以降に発生した異常イベントを、該異常イベントに関連する要素ごとに分類する、請求項１から６の何れか１項に記載の支援装置。
【請求項８】
前記表示画面上における前記頂点または前記辺に、前記表示画面上に表示されたポインタが重畳している場合、前記生成手段は、前記頂点または前記辺に接続する頂点を示す要素に対し、該要素の前記ホスト内での場所をフルパスで前記表示画面上に表示させる、請求項１から７の何れか１項に記載の支援装置。
【請求項９】
前記異常イベントを含むリストと、該リストに関連付けられた前記関係グラフとを、含む画面を生成し、生成した画面を、前記表示画面に表示させる表示制御手段を更に備え、
前記表示画面上に表示された複数の前記異常イベントのうち何れかの異常イベントに、前記表示画面上に表示されたポインタが重畳している場合、前記表示制御手段は、前記ポインタが重畳している異常イベントに関連する異常イベントを、他の異常イベントとは異なる様態で表示させる、請求項１から８の何れか１項に記載の支援装置。
【請求項１０】
前記異常イベントを検出する検出手段を更に備えることを特徴とする請求項１から９の何れか１項に記載の支援装置。
【請求項１１】
前記表示画面を含む表示手段を更に備えることを特徴とする請求項１から１０の何れか１項に記載の支援装置。
【請求項１２】
複数の要素間のイベントのうち、異常イベントとして検出されたイベントを、該異常イベントに関連する要素ごとに分類し、
分類の結果に基づいて、前記要素を頂点とし前記要素間の関係を辺として該異常イベントを表し、表示画面上において前記要素が種別ごとに配置され、且つ、前記表示画面に表示される関係グラフを生成し、
前記イベントは、複数のホストを含むシステム上において発生したイベントであり、
前記異常イベントを前記要素ごとに分類する際、ホストごとに、該異常イベントを分類し、
前記関係グラフを生成する際、前記要素を前記種別ごとに第１の方向に配置し、前記種別が前記第１の方向とは異なる第２の方向に並ぶ前記関係グラフを、前記ホストごとに生成する支援方法。
【請求項１３】
複数の要素間のイベントのうち、異常イベントとして検出されたイベントを、該異常イベントに関連する要素ごとに分類する処理と、
分類の結果に基づいて、前記要素を頂点とし前記要素間の関係を辺として該異常イベントを表し、表示画面上において前記要素が種別ごとに配置され、且つ、前記表示画面に表示される関係グラフを生成する処理と、をコンピュータに実行させ、
前記イベントは、複数のホストを含むシステム上において発生したイベントであり、
前記分類する処理は、ホストごとに、前記異常イベントを前記要素ごとに分類する処理であり、
前記生成する処理は、前記要素を前記種別ごとに第１の方向に配置し、前記種別が前記第１の方向とは異なる第２の方向に並ぶ前記関係グラフを、前記ホストごとに生成するプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、支援装置、支援方法およびプログラムに関する。
【背景技術】
【０００２】
システムを監視して、異常を検出して表示する技術が開示されている。例えば、特許文献１には、障害原因の原因候補に含まれるイベントと、このイベントを含む他の原因候補とを、グループにまとめ、該グループごとに原因候補を表示することが記載されている。
【０００３】
また、特許文献２には、対象システムの構成部位間の依存関係性を示すリンクを表示画面に表示することが記載されている。
【０００４】
また、特許文献３には、ユーザへ通知すべき主事象情報と、設定された抽出条件を満たす副事象情報とをユーザへ通知する監視装置が記載されている。
【０００５】
また、特許文献４には、ノードおよびノード間の異常識別情報を表示する運用監視装置が記載されている。
【０００６】
また、イベント間の依存関係を抽出して、障害原因を特定する技術が特許文献５に記載されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１２−５９０６３号公報
【特許文献２】特開２０１２−３８０２８号公報
【特許文献３】特開２０１３−１９１０７０号公報
【特許文献４】特開２０１３−５４４０２号公報
【特許文献５】特開２００６−３１１０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
システムを監視することによって、様々な種類の異常イベントが検出される。このような異常イベントの関連性を、システムの管理者がログから把握することは、困難である。
【０００９】
特許文献１に記載の技術では、関連する障害の原因候補をグループにまとめて、グループ単位で、原因候補の対応優先度が高いものから順に表示している。したがって、特許文献１の技術では、例えば、同じホストで発生している障害であっても、解決する障害が異なる場合、異なるグループに分けられる。したがって、特許文献１の技術では、発生した異常イベントの関連性を管理者が把握できない。
【００１０】
また、異常イベントの実行元および実行先として、例えば、プロセス、ファイル、アカウント等、様々な要素がある。しかしながら、特許文献２に記載の技術では、対象システムの構成部位間の依存関係性を示すにとどまり、プロセス、ファイル、アカウント等、の要素については、開示されていない。
【００１１】
また、特許文献３から５の夫々に記載の技術でも、上記様々な要素に関連する異常イベントの関連性を、管理者が把握することについては開示されていない。
【００１２】
本発明は、上記課題に鑑みてなされたものであり、その目的は、複数の要素間の異常イベントの関連性を、確認者（例えば、監視対象システムを管理する管理者）が容易に把握することを支援する技術を提供することにある。
【課題を解決するための手段】
【００１３】
本発明の一態様に係る支援装置は、複数の要素間のイベントのうち、異常イベントとして検出されたイベントを、該異常イベントに関連する要素ごとに分類する分類手段と、分類の結果に基づいて、前記要素を頂点とし前記要素間の関係を辺として該異常イベントを表し、表示画面上において前記要素が種別ごとに配置され、且つ、前記表示画面に表示される関係グラフを生成する生成手段と、を備える。
【００１４】
本発明の一態様に係る支援方法は、複数の要素間のイベントのうち、異常イベントとして検出されたイベントを、該異常イベントに関連する要素ごとに分類し、分類の結果に基づいて、前記要素を頂点とし前記要素間の関係を辺として該異常イベントを表し、表示画面上において前記要素が種別ごとに配置され、且つ、前記表示画面に表示される関係グラフを生成する。
【００１５】
なお、上記各装置または方法を、コンピュータによって実現するコンピュータプログラム、およびそのコンピュータプログラムが格納されている、コンピュータ読み取り可能な非一時的記録媒体も、本発明の範疇に含まれる。
【発明の効果】
【００１６】
本発明によれば、複数の要素間の異常イベントの関連性を、確認者が容易に把握することを支援することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の第１の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図２】本発明の第２の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図３】本発明の第２の実施の形態に係る支援装置の検出部が検出した異常イベントのリストである異常イベントリストの一例を示す図である。
【図４】本発明の第２の実施の形態に係る支援装置の分類部が行う分類処理の結果を示す図である。
【図５】本発明の第２の実施の形態において、表示装置が表示する関係グラフの一例を示す図である。
【図６】本発明の第２の実施の形態に係る支援装置および表示装置の処理の流れの一例を示す図である。
【図７】本発明の第２の実施の形態の変形例１において表示装置が表示する関係グラフの一例を示す図である。
【図８】本発明の第２の実施の形態の変形例２において表示装置が表示する関係グラフの一例を示す図である。
【図９】本発明の第２の実施の形態の変形例３において表示装置が表示する関係グラフの一例を示す図である。
【図１０】本発明の第２の実施の形態の変形例４において表示装置が表示する関係グラフの一例を示す図である。
【図１１】本発明の第３の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図１２】本発明の第３の実施の形態において表示装置が表示する関係グラフの一例を示す図である。
【図１３】本発明の第３の実施の形態に係る支援装置および表示装置の処理の流れの一例を示すフローチャートである。
【図１４】本発明の第４の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図１５】本発明の第４の実施の形態において表示装置の表示画面に表示される画面の一例を示す図である。
【図１６】本発明の第５の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図１７】本発明の第５の実施の形態に係る支援装置の検出部が検出した異常イベントのリストである異常イベントリストの一例を示す図である。
【図１８】本発明の第５の実施の形態において、表示装置が表示する関係グラフの一例を示す図である。
【図１９】本発明の第６の実施の形態に係る支援装置の機能構成の一例を示す機能ブロック図である。
【図２０】本発明の第６の実施の形態において表示装置の表示画面に表示される画面の一例を示す図である。
【図２１】本発明の第６の実施の形態において表示装置の表示画面に表示される画面の他の例を示す図である。
【図２２】本発明の各実施の形態を実現可能なコンピュータ（情報処理装置）のハードウェア構成を例示的に説明する図である。
【発明を実施するための形態】
【００１８】
＜第１の実施の形態＞
本発明の第１の実施の形態について、図面を参照して詳細に説明する。図１は、本発明の第１の実施の形態に係る支援装置１０の機能構成の一例を示す機能ブロック図である。なお、図１に示す支援装置１０は、本発明に特有な構成について示したものであり、図１に示す支援装置１０が図１に示されていない構成を有していてもよいことは言うまでもない。
【００１９】
図１に示す通り、本実施の形態に係る支援装置１０は、分類部１１と、生成部１２とを備える。
【００２０】
分類部１１は、異常イベントを示す異常イベント情報を受信する。この受信した異常イベント情報によって示される異常イベントは、監視対象システムを監視した結果であるログから検出された、異常の可能性が高いイベントである。ログには、監視対象システムに含まれるホストごとに、要素間のイベントを示す情報が含まれる。このログは、図示しない記憶部に格納される。
【００２１】
分類部１１は、受信した異常イベントを、該異常イベントに関連する要素ごとに分類する。そして、分類部１１は、分類した結果を生成部１２に供給する。
【００２２】
生成部１２は、分類部１１から分類した結果を受け取る。生成部１２は、受け取った分類の結果に基づいて、該異常イベントを表す関係グラフを生成する。この関係グラフは、要素を頂点とし要素間の関係を辺とするグラフである。生成部１２が生成する関係グラフは、表示装置の表示画面に表示される。生成部１２は、この表示画面上において、要素が種別ごとに配置されるような関係グラフを生成する。
【００２３】
これにより、例えば、図示しない表示装置の表示画面に表示された関係グラフは、要素が種別ごとに配置されており、要素ごとに分類された異常イベントを表す。
【００２４】
したがって、この表示画面を確認する確認者（例えば、監視対象システムの管理者。以降、管理者とも呼ぶ。）は、異常イベント間の関連性を、該表示画面上で確認することができる。これにより、この確認者は、要素ごとに、該要素に関連する複数の異常イベント間の関連性を確認することができる。また、確認者は、要素に関連する異常イベントと他の要素に関連する異常イベントとを比較することができる。
【００２５】
以上のように、本実施の形態に係る支援装置１０は、複数の要素間の異常イベントの関連性を、確認者が把握することを支援することができる。これにより、支援装置１０は、確認者が異常イベントの共通箇所（要素）を、容易に把握することを支援することができる。したがって、支援装置１０は、確認者が異常の原因や経緯の発見を行うことを支援することができる。
【００２６】
＜第２の実施の形態＞
次に、上述した第１の実施の形態を基本とする第２の実施の形態について説明する。まず、本実施の形態に係る支援装置１００の構成について説明する。図２は、本実施の形態に係る支援装置１００の機能構成の一例を示す図である。図２に示す通り、本実施の形態に係る支援装置１００は、分類部１１０と、生成部１２０と、記憶部１３０と、検出部１４０とを含む。
【００２７】
分類部１１０および生成部１２０は、夫々、上述した第１の実施の形態における分類部１１および生成部１２に相当する。つまり、図２において、破線の枠で囲った部分は、上述した第１の実施の形態における支援装置１０に相当する。
【００２８】
また、図２に示す通り、支援装置１００は、表示装置２００と接続している。なお、本実施の形態では、支援装置１００が表示装置２００とは別個の構成であることを例に説明を行うが、支援装置１００は、表示装置２００を表示部として内部に設ける構成であってもよい。
【００２９】
記憶部１３０には、図示しない監視対象システムを監視した結果（ログ）が、格納されている。図２では、記憶部１３０が支援装置１００内に内蔵されることを例に説明を行うが、記憶部１３０は、支援装置１００とは別個の記憶装置にて実現されるものであってもよい。
【００３０】
この監視対象システムは、ネットワークで接続された複数の装置（ホスト）を含む。ログには、監視対象システム上において発生した、複数の要素間のイベントを検出した結果（イベントを示す情報）が、ホストごとに含まれる。要素は、あるホストに対するイベントの場合、種別がプロセス、ファイル、外部ホストの何れであってもよい。
【００３１】
要素間のイベントとは、例えば、要素の一方がプロセスであり他方がファイルである場合、上記プロセスが上記ファイルにアクセスしたこと、である。また、要素間のイベントとは、例えば、要素の一方がプロセスであり他方が外部ホストの場合は、上記プロセスが上記外部ホストに接続したこと、である。なお、要素間のイベントは、これに限定されるものではない。
【００３２】
なお、本実施の形態では、１つのイベントが２つの要素間におけるイベントであるとして説明を行うが、１つのイベントは複数の要素間で発生するイベントであってもよい。
【００３３】
検出部１４０は、記憶部１３０に格納されたログから、異常の可能性が高いイベントを検出する。この異常イベントの一例を、図３に示す。図３は、検出部１４０によって検出された異常イベントのリスト（異常イベントリスト）の一例を示す図である。なお、図３に示す異常イベントリストには、ログから検出された、あるホストに対する異常イベントが含まれる。
【００３４】
図３に示す通り、異常イベントリストには、複数の異常イベントが含まれる。異常イベントリストには、異常イベントの内容と、該異常イベントが発生した時刻と、が含まれる。また、異常イベントリストには、図３に示す通り、各異常イベントを識別する識別子（イベントＩＤ（Ｉｄｅｎｔｉｆｉｅｒ））が含まれていてもよい。なお、異常イベントリストに含まれる情報は、これに限定されず、例えば、異常イベントの異常度合いが含まれていてもよい。異常度合いとは、異常の可能性が高いと検出された異常イベントが、異常である可能性の高さを表したものである。本実施の形態では、この異常度合いが数値で表されており、数値が高いほど、異常である可能性が高いとする。
【００３５】
異常イベントの内容について、説明する。例えば、図３の一行目に示す、イベントＩＤが「ＩＤ０１」の異常イベントの内容は「‘Ｐｒｏｃｅｓｓ１’  ｏｐｅｎｅｄ  ‘Ｆｉｌｅ１’」である。これは、要素の一方が、プロセス名が「Ｐｒｏｃｅｓｓ１」のプロセスであり、他方が、ファイル名が「Ｆｉｌｅ１」のファイルであることを示している。そして、この異常イベントは、「Ｐｒｏｃｅｓｓ１」が「Ｆｉｌｅ１」を開いたことを示している。また、例えば、図３の九行目に示す、イベントＩＤが「ＩＤ０９」の異常イベントの内容は「‘Ｐｒｏｃｅｓｓ１’  ｃｏｎｎｅｃｔ  ｗｉｔｈ  ‘ＥｘＨｏｓｔ１’」である。これは、要素の一方が、プロセス名が「Ｐｒｏｃｅｓｓ１」のプロセスであり、他方が、外部ホスト名が「ＥｘＨｏｓｔ１」の外部ホストであることを示している。そして、この異常イベントは、「Ｐｒｏｃｅｓｓ１」が「ＥｘＨｏｓｔ１」に接続したことを示している。
【００３６】
検出部１４０は、異常イベントを検出すると、異常イベントリストに、検出した異常イベントを、追記していく構成であってもよい。なお、図３では、説明の便宜上、１つのホストに対する異常イベントを示す異常イベントリストを示したが、異常イベントリストは、複数のホストの夫々に対する異常イベントを含んでいてもよい。
【００３７】
検出部１４０は、異常イベントリストを、分類部１１０に供給してもよいし、記憶部１３０または検出部１４０内の記憶部に格納してもよい。
【００３８】
分類部１１０は、検出部１４０から異常イベントリストを受け取る。または、分類部１１０は、記憶部１３０または検出部１４０の記憶部から異常イベントリストを取得してもよい。
【００３９】
分類部１１０は、異常イベントリストに含まれる異常イベントを、該異常イベントに関連する要素ごとに分類する。異常イベントに関連する要素は、例えば、図３に示すイベントＩＤが「ＩＤ０１」の異常イベントの場合、「Ｐｒｏｃｅｓｓ１」および「Ｆｉｌｅ１」である。
【００４０】
分類部１１０の分類処理について、図４を用いて説明する。図４は、本実施の形態に係る支援装置１００の分類部１１０が行う分類処理の結果を示す図である。以下では、分類する異常イベントを、イベントＩＤを用いて説明する。
【００４１】
分類部１１０は、図３に示す異常イベントリストに含まれる、イベントＩＤが「ＩＤ０１」から「ＩＤ１０」までの異常イベントを、要素ごとに分類する。要素ごとに分類した結果、図４に示すように、要素「Ｐｒｏｃｅｓｓ１」に分類された異常イベントは、イベントＩＤが、「ＩＤ０１」、「ＩＤ０３」、「ＩＤ０４」、「ＩＤ０６」および「ＩＤ０９」となる。分類部１１０は、他の要素ごとに、異常イベントを分類し、図４に示すような分類結果が得られる。このとき、分類部１１０は、分類した要素の種別を、要素ごとに特定する。そして、分類部１１０は、特定した要素の種別を、分類結果に含まれる要素に関連付ける。
【００４２】
以上のようにして、分類部１１０は、ホストごとに、異常イベントを要素ごとに分類する。そして、分類部１１０は、分類処理の結果を、生成部１２０に供給する。
【００４３】
なお、分類部１１０が分類する異常イベントの数は特に限定されない。分類部１１０は、現時点から所定の期間の異常イベントを分類してもよいし、管理者等によって指定された期間の異常イベントを分類してもよい。
【００４４】
生成部１２０は、分類部１１０から分類処理の結果を受け取る。生成部１２０は、受け取った分類の結果に基づいて、該異常イベントを表す関係グラフを生成する。関係グラフは、要素を頂点（節点とも呼ぶ）とし、要素間を結ぶ線を辺（リンク、エッジまたは枝とも呼ぶ）として含む。生成部１２０が生成する関係グラフは、表示装置２００の表示画面に表示される。生成部１２０は、この表示画面上において、分類結果に含まれる、要素に関連付けられた種別を用いて、要素が種別ごとに配置されるような関係グラフを生成する。
【００４５】
生成部１２０が生成し、表示画面に表示させる関係グラフの一例を図５に示す。図５は、本実施の形態の表示装置２００が表示する関係グラフの一例を示す図である。本実施の形態では、要素の種別は、ファイル、プロセス、外部ホストであるとする。
【００４６】
本実施の形態では、生成部１２０は、要素を円で表し、要素間を実線でつないだ関係グラフを生成する。なお、要素の形状、要素間を結ぶ線の形状は、図５に示すものに限定されるものではなく、要素と、要素間の関係とが表現できるものであればよい。また、各要素には、要素名が、関連付けて表示されている。
【００４７】
図５に示す通り、生成部１２０は、要素の種別を、左から右に（第２の方向に）向かって、ホスト内のファイル、ホスト内のプロセス、外部ホストの順に並べて表示している。そして、各種別を表す棒状の領域（種別領域）には、要素が、上から下に（第１の方向に）配置されている。この種別領域に配置される要素は、図４に示した分類部１１０によって分類された要素になる。したがって、例えば、種別が「プロセス」の種別領域（図５の中央の棒状領域）には、「Ｐｒｏｃｅｓｓ１」と「Ｐｒｏｃｅｓｓ２」とが配置される。
【００４８】
各種別領域における要素の表示順は、特に限定されない。例えば、要素名順であってもよいし、関連する異常イベントの数が多い順であってもよい。
【００４９】
生成部１２０は、分類した結果に基づいて、同じ異常イベントに関連する要素同士を、線で接続した、図５に示すような関係グラフを生成する。図４に示す分類結果に基づくと、イベントＩＤが「ＩＤ０１」の異常イベントに関連する要素は、「Ｐｒｏｃｅｓｓ１」と「Ｆｉｌｅ１」とである。したがって、生成部１２０は、これらの要素間を線で結ぶことにより、「Ｐｒｏｃｅｓｓ１」と「Ｆｉｌｅ１」との間の関係グラフを生成する。
【００５０】
なお、生成部１２０は、図５に示す通り、関連する要素が多い要素を、関連する要素が少ない要素よりも大きく表示させてもよい。例えば、「Ｐｒｏｃｅｓｓ１」は、５つの他の要素に関連しており、「Ｆｉｌｅ１」は１つの他の要素に関連しているため、生成部１２０は、「Ｐｒｏｃｅｓｓ１」を「Ｆｉｌｅ１」よりも大きくした関係グラフを生成してもよい。
【００５１】
また、図４では、要素間のイベントが１つずつであったが、要素間のイベントは複数であってもよい。例えば、「Ｐｒｏｃｅｓｓ１」と「Ｆｉｌｅ１」との間で複数回の異常イベントが発生していてもよい。この場合、分類部１１０が分類をする際に、異常イベントの回数をカウントし、生成部１２０が、要素間をつなぐ線を、異常イベントの回数に応じて、変化させた関係グラフを生成してもよい。生成部１２０は、例えば、上記異常イベントの回数が多い要素間をつなぐ線を、他の線より大きく表示した関係グラフを生成してもよいし、他の線とは異なる色や様態で表示した関係グラフを生成してもよい。これにより、支援装置１００は、同じ異常イベントが他の異常イベントよりも多く発生していることを、管理者等が容易に把握することを支援することができる。
【００５２】
なお、種別領域の形状は、特に限定されない。図５に示すように、種別領域が棒状の領域の場合、生成部１２０は、要素を種別ごとに並べて表示させることができるため、管理者等が種別ごとに要素間の関係を容易に把握することを支援することができる。
【００５３】
また、図５では、関係グラフが無向グラフであることを例に説明を行ったが、関係グラフは有向グラフであってもよいし、無向辺と有向辺とを含むグラフであってもよい。
【００５４】
（支援装置１００および表示装置２００の処理）
次に、図６を参照して、本実施の形態に係る支援装置１００および表示装置２００の処理の流れについて説明する。図６は、本実施の形態に係る支援装置１００の処理の流れの一例を示すフローチャートである。
【００５５】
図６に示す通り、検出部１４０が異常イベントを検出する（ステップＳ６１）。そして、分類部１１０が、異常イベントを、該異常イベントに関連する要素ごとに分類する（ステップＳ６２）。
【００５６】
そして、生成部１２０が、異常イベントを表す関係グラフを生成する（ステップＳ６３）。この関係グラフは、上述したとおり、要素が種別ごとに配置された関係グラフである。その後、表示装置２００が、表示画面上に関係グラフを表示する（ステップＳ６４）。
【００５７】
以上により、支援装置１００および表示装置２００の処理を終了する。
【００５８】
（効果）
本実施の形態に係る支援装置１００によれば、分類部１１０が、複数の要素間のイベントのうち、異常イベントとして検出されたイベントを、該異常イベントに関連する要素ごとに分類する。そして、生成部１２０が分類の結果に基づいて、該異常イベントを表し、表示画面上において要素が種別ごとに配置される関係グラフを生成する。
【００５９】
したがって、この表示画面を確認する確認者は、異常イベント間の関連性を、該表示画面上で確認することができる。これにより、この確認者は、要素ごとに、該要素に関連する複数の異常イベント間の関連性を確認することができる。また、確認者は、要素に関連する異常イベントと他の要素に関連する異常イベントとを比較することができる。
【００６０】
以上のように、本実施の形態に係る支援装置１００は、上述した第１の実施の形態に係る支援装置１０と同様に、複数の要素間の異常イベントの関連性を、確認者が容易に把握することを支援することができる。したがって、支援装置１００は、確認者が異常の原因や経緯の発見を行うことを支援することができる。
【００６１】
（変形例１）
次に、第２の実施の形態に係る支援装置１００の変形例１について説明する。上述した第２の実施の形態では、要素の種別が、ファイル、プロセスおよび外部ホストの何れかであることを例に説明を行ったが、要素の種別はアカウントであってもよい。本変形例では、要素の種別が、アカウント、プロセスおよび外部ホストの何れかであることを例に説明を行う。
【００６２】
本変形例において、生成部１２０が生成し、表示画面に表示させる関係グラフの一例を図７に示す。図７は、本変形例において表示装置２００が表示する関係グラフの一例を示す図である。
【００６３】
図７に示す通り、生成部１２０は、要素の種別を、左から右に（第２の方向に）向かって、ホスト内のアカウント、ホスト内のプロセス、外部ホストの順に並べて表示している。そして、各種別を表す種別領域には、要素が、上から下に（第１の方向に）配置されている。
【００６４】
図７に示す関係グラフによれば、アカウント名が「Ｕｓｅｒ１」のアカウントが、プロセス名が「Ｐｒｏｃｅｓｓ１」のプロセスを起動したことがわかる。図７に示す関係グラフに示されるイベントは、異常イベントであるため、「Ｕｓｅｒ１」から「Ｐｒｏｃｅｓｓ１」を起動することが、異常と判断されていることがわかる。これにより、管理者等は、複数のアカウントから起動したプロセスであって、異常イベントと関連しているプロセスを、容易に把握することができる。また、管理者等は、複数のアカウントから起動したプロセスであって、異常イベントに関連しているプロセスが、外部ホストに対して接続したという異常イベントを容易に発見することができる。
【００６５】
（変形例２）
次に、第２の実施の形態に係る支援装置１００の変形例２について説明する。上述した変形例１では、要素の種別が、アカウント、プロセスおよび外部ホストの何れかであることを例に説明を行ったが、本変形例では、要素の種別が、アカウント、プロセスおよびファイルの何れかであることを例に説明を行う。
【００６６】
本変形例において、生成部１２０が生成し、表示画面に表示させる関係グラフの一例を図８に示す。図８は、本変形例において表示装置２００が表示する関係グラフの一例を示す図である。
【００６７】
図８に示す通り、生成部１２０は、要素の種別を、左から右に（第２の方向に）向かって、ホスト内のアカウント、ホスト内のプロセス、ホスト内のファイルの順に並べて表示している。なお、アカウントとファイルとは逆であってもよい。そして、各種別を表す種別領域には、要素が、上から下に（第１の方向に）配置されている。
【００６８】
図８に示す関係グラフによれば、図７と同様に、アカウント名が「Ｕｓｅｒ１」のアカウントが、プロセス名が「Ｐｒｏｃｅｓｓ１」のプロセスを起動したことがわかる。そして、この「Ｐｒｏｃｅｓｓ１」が「Ｆｉｌｅ１」、「Ｆｉｌｅ２」、「Ｆｉｌｅ３」および「Ｆｉｌｅ４」を開いたことがわかる。これにより、管理者等は、複数のアカウントから起動したプロセスであって、異常イベントと関連しているプロセスを、容易に把握することができる。また、管理者等は、複数のアカウントから起動したプロセスであって、異常イベントに関連しているプロセスが、ファイルを開いたという異常イベントを容易に発見することができる。
【００６９】
（変形例３）
次に、第２の実施の形態に係る支援装置１００の変形例３について説明する。本変形例では、１つの種別領域に２つの要素を含めて表示した関係グラフについて説明を行う。
【００７０】
例えば、あるアカウントが、あるプロセスを起動した場合、該プロセスは、図７に示した通り、外部ホストに接続する、または、図８に示した通り、ファイルを開く、を行うことが多い。本変形例では、生成部１２０が生成する関係グラフに含まれる要素の種別が、ホスト内のアカウント、該ホスト内のプロセス、該ホスト内のファイルおよび外部ホストの順に並ぶ、ことについて説明を行う。
【００７１】
本変形例において、生成部１２０が生成し、表示画面に表示させる関係グラフの一例を図９に示す。図９は、本変形例において表示装置２００が表示する関係グラフの一例を示す図である。
【００７２】
図９に示す通り、生成部１２０は、要素の種別を、左から右に（第２の方向に）向かって、ホスト内のアカウント、ホスト内のプロセス、ホスト内のファイルおよび外部ホストの順に並べて表示している。そして、各種別を表す種別領域には、要素が、上から下に（第１の方向に）配置されている。
【００７３】
図９に示す関係グラフによれば、図７と同様に、アカウント名が「Ｕｓｅｒ１」のアカウントが、プロセス名が「Ｐｒｏｃｅｓｓ１」のプロセスを起動したことがわかる。そして、この「Ｐｒｏｃｅｓｓ１」が「Ｆｉｌｅ１」、「Ｆｉｌｅ２」、「Ｆｉｌｅ３」および「Ｆｉｌｅ４」を開いたこと、および「ＥｘＨｏｓｔ１」に接続したことがわかる。これにより、管理者等は、複数のアカウントから起動したプロセスであって、異常イベントと関連しているプロセスを、容易に把握することができる。また、管理者等は、複数のアカウントから起動したプロセスであって、異常イベントに関連しているプロセスが、外部ホストに対して接続した、および、ファイルを開いた、という異常イベントを容易に発見することができる。
【００７４】
なお、図９に示す、右側の種別領域は、外部ホストとファイルといった２つの種別の要素を含む。そのため、生成部１２０は、図９に示す通り、異なる種別の要素が異なる様態で表示されるような関係グラフを生成してもよい。
【００７５】
（変形例４）
次に、第２の実施の形態に係る支援装置１００の変形例４について説明する。図５および図７に示す関係グラフでは、ホスト内のファイル、プロセスおよびアカウントと、外部ホストとが同じ様態で表現されている。本変形例では、ホスト内部に含まれる要素と、ホストの外部の要素（外部ホスト）とが区別可能な状態で表示される関係グラフについて説明する。
【００７６】
図１０は、本変形例において表示装置２００が表示する関係グラフの一例を示す図である。図１０は、図５に示す関係グラフを変形したものである。支援装置１００の生成部１２０は、例えば、図１０に示すように、ホスト内部に含まれる要素を１つの集合として枠で囲み、それ以外の要素（外部ホスト）を該枠の外側に配置した関係グラフを生成してもよい。また、生成部１２０が生成する関係グラフはこれに限定されない。生成部１２０は、例えば、種別領域の色や様態を、ホスト内部の要素が含まれる種別領域と、外部ホストの種別領域とで異なるような関係グラフを生成してもよい。
【００７７】
このように、ホスト内部に含まれる要素と、ホストの外部の要素とを区別可能な状態で表示させることにより、管理者等は、外部ホストに対して、例えば、情報漏えいの可能性が高い異常イベントを容易に見つけることができる。
【００７８】
なお、図５、図７から図１０に示す通り、生成部１２０は、表示画面上において、種別がプロセスの要素の列が、他の種別（外部ホスト、アカウントおよびファイル）の要素の列に挟まれるような関係グラフを生成することが好ましい。アカウントが行う処理、ファイルにアクセスされる処理、外部ホストに対して行われる処理は、全て、プロセスの起動により行われるからである。したがって、生成部１２０が、プロセスの要素を中心に配置して表示することにより、一方の要素が、あるプロセスを起動して、他の要素に対して、ある異常イベントを行うという一連の振る舞いを、管理者が容易に確認することができる。
【００７９】
＜第３の実施の形態＞
次に、本発明の第３の実施の形態について説明する。図１１は、本実施の形態に係る支援装置１０１の機能構成の一例を示す機能ブロック図である。なお、説明の便宜上、前述した各実施の形態で説明した図面に含まれるブロックと同じ機能を有するブロックについては、同じ符号を付し、その詳細な説明を省略する。
【００８０】
図１１に示す通り、本実施の形態に係る支援装置１０１は、分類部１１１と、生成部１２０と、記憶部１３０と、検出部１４１と、受付部１５０と、を備える。
【００８１】
本実施の形態における検出部１４１は、上述した検出部１４０の機能に加え、検出した異常イベントを含む異常イベントリストを、表示装置２００に表示させる機能を有する。
【００８２】
入力装置３００は、例えば、マウス、キーボード等によって実現される。なお、本実施の形態では、表示装置２００および入力装置３００は、支援装置１０１とは別個の装置で実現されることを例に説明を行うが、表示装置２００および入力装置３００は夫々表示部および入力部として、支援装置１０１内に内蔵される構成であってもよい。この場合、表示部および入力部は、例えば、タッチパネルとして実現されるものであってもよい。
【００８３】
受付部１５０は、入力装置３００を介して、管理者等からの入力を受け付ける。例えば、管理者が、表示装置２００に表示された異常イベントリストから、ある異常イベントを、入力装置３００を介して選択すると、受付部１５０は、該異常イベントの選択を受け付ける。そして、受付部１５０は、選択された異常イベントの時刻を示す時刻情報を、分類部１１１に供給する。なお、受付部１５０は、選択された異常イベントを示す情報を、検出部１４１に供給してもよい。この場合、検出部１４１が上記異常イベントの時刻を特定して、特定した時刻情報を、分類部１１１に供給すればよい。
【００８４】
分類部１１１は、受付部１５０または検出部１４１から時刻情報を受信する。分類部１１１は、受信した時刻情報によって示される時刻以降の異常イベントに基づいて、上述した分類部１１０と同様に、異常イベントを要素ごとに分類する。
【００８５】
例えば、表示装置２００の表示画面上に、図３に示す異常イベントリストが表示されているとする。管理者が、イベントＩＤが「ＩＤ０４」を選択すると、受付部１５０は、この選択を受け付ける。そして、イベントＩＤが「ＩＤ０４」の異常イベントの時刻が「２０１５−１１−０２  １２：２１：００」であるため、分類部１１１は、この時刻以降の異常イベントを分類する。図３に示す異常イベントに含まれる異常イベントであって、上記時刻以降の異常イベントは、イベントＩＤが「ＩＤ０４」〜「ＩＤ１０」の異常イベントである。したがって、分類部１１１は、イベントＩＤが「ＩＤ０４」〜「ＩＤ１０」の異常イベントを、要素ごとに分類する。
【００８６】
そして、生成部１２０は、分類結果に基づいて、関係グラフを生成する。生成部１２０が生成した関係グラフの一例を図１２に示す。図１２は、本実施の形態において表示装置２００が表示する関係グラフの一例を示す図である。
【００８７】
図１２に示す関係グラフは、図５に示した関係グラフと比べると、イベントＩＤが「ＩＤ０１」、「ＩＤ０２」および「ＩＤ０３」の異常イベントが含まれていないことがわかる。
【００８８】
（支援装置１０１および表示装置２００の処理）
次に、図１３を参照して、本実施の形態に係る支援装置１０１および表示装置２００の処理の流れについて説明する。図１３は、本実施の形態に係る支援装置１０１の処理の流れの一例を示すフローチャートである。
【００８９】
図１３に示す通り、検出部１４０が異常イベントを検出する（ステップＳ１３１）。その後、受付部１５０が管理者からの入力を受け付ける（ステップＳ１３２）。そして、分類部１１１が、受付部１５０が受け付けた入力に基づいて特定される時刻以降の異常イベントを、該異常イベントに関連する要素ごとに分類する（ステップＳ１３３）。
【００９０】
そして、生成部１２０が、異常イベントを表す関係グラフを生成する（ステップＳ１３４）。この関係グラフは、上述したとおり、要素が種別ごとに配置された関係グラフである。その後、表示装置２００が、表示画面上に関係グラフを表示する（ステップＳ１３５）。
【００９１】
以上により、支援装置１０１および表示装置２００の処理を終了する。
【００９２】
（効果）
本実施の形態に係る支援装置１０１によれば、上述した第１および第２の実施の形態と同様の効果を奏することができる。また、本実施の形態に係る支援装置１０１によれば、分類部１１１は、受付部１５０が受け付けた異常イベントに基づいて特定される時刻以降に発生した異常イベントを、該異常イベントに関連する要素ごとに分類する。そして、生成部１２０は、分類部１１１が要素ごとに分類した異常イベントに基づいて、関係グラフを生成する。
【００９３】
これにより、例えば、管理者によって選択された異常イベント以降に発生した異常イベントを、管理者が容易に把握することができる。
【００９４】
例えば、管理者が、あるプロセスがあるファイルを開いた、という異常イベントを選択した場合、支援装置１０１は、表示装置２００に、選択された異常イベント以降に発生した異常イベントを、要素ごとに表示することができる。これにより、管理者は選択した異常イベントに関連するプロセスが、その後、どのような振る舞いを行ったかを容易に把握することができる。例えば、管理者は、上記選択した異常イベントに関連するプロセスが、この選択した異常イベントの後に、外部ホストと通信を行った、などを、確認することができる。これにより、管理者は、例えば、ファイルの漏洩などが起こった可能性を容易に確認することができる。
【００９５】
なお、本実施の形態では、受付部１５０が異常イベントリストから、異常イベントを選択することを例に説明を行ったが、受付部１５０は、表示装置２００に表示された関係グラフから、異常イベントを選択してもよい。この場合であっても、分類部１１１は、選択された異常イベントの時刻以降の異常イベントを、要素ごとに分類することができる。したがって、生成部１２０がその後に生成する関係グラフは、選択された異常イベント以降に発生した異常イベントを表すものとなる。
【００９６】
＜第４の実施の形態＞
次に、本発明の第４の実施の形態について説明する。図１４は、本実施の形態に係る支援装置１０１の機能構成の一例を示す機能ブロック図である。なお、説明の便宜上、前述した各実施の形態で説明した図面に含まれるブロックと同じ機能を有するブロックについては、同じ符号を付し、その詳細な説明を省略する。
【００９７】
図１４に示す通り、本実施の形態に係る支援装置１０２は、分類部１１０と、生成部１２１と、記憶部１３０と、検出部１４０と、受付部１５１と、を備える。本実施の形態では、管理者が、入力装置３００を用いて、表示装置２００に表示された関係グラフに含まれる、頂点または辺の何れかに対して、マウスポインタ等を重ねる操作（以降、マウスオーバーと呼ぶ）を行った場合について説明する。
【００９８】
本実施の形態において、受付部１５１は、例えば、表示画面上におけるマウスポインタ等の位置を示す位置情報を受け付ける。受付部１５１は、受け付けた位置情報を、生成部１２１に供給する。
【００９９】
生成部１２１は、受付部１５１から位置情報を受信する。生成部１２１は、表示装置２００に表示させた関係グラフの中から、位置情報によって表される位置に表示させている頂点（要素）または辺を特定する。
【０１００】
管理者がマウスオーバーしたものが要素の場合、生成部１２１は、マウスオーバーした要素を他の要素よりも強調した状態で、表示画面に表示させる。このとき、生成部１２１は、強調表示した要素のフルパスを、該要素と共に、表示画面に表示させる。
【０１０１】
また、管理者がマウスオーバーしたものが辺の場合、生成部１２１は、この辺の両端の要素と、辺とを強調した状態で、表示画面に表示させる。このとき、生成部１２１は、強調表示した要素のフルパスを、該要素と共に、表示画面に表示させる。このとき、表示装置２００に表示される画面の一例を図１５に示す。
【０１０２】
管理者が、マウスポインタを、図１２に示す関係グラフのうち、「Ｆｉｌｅ６」と「Ｐｒｏｃｅｓｓ２」とをつなぐ辺（つまり、「Ｆｉｌｅ６」と「Ｐｒｏｃｅｓｓ２」との間の異常イベントの関係を示す辺）上に、重ねたとする。このとき、図１５に示す通り、生成部１２１は、「Ｆｉｌｅ６」と「Ｐｒｏｃｅｓｓ２」とこれらをつなぐ辺とを強調して、表示装置２００の表示画面上に表示させる。このとき、生成部１２１は、「Ｆｉｌｅ６」と「Ｐｒｏｃｅｓｓ２」とのホスト内での場所をフルパスで表示画面上に表示させる。
【０１０３】
これにより、管理者は、異常イベントとして挙げられた要素の名前が、既知の名前であっても、この要素が通常とは異なる位置に存在しているか否かを容易に確認することができる。例えば、「Ｐｒｏｃｅｓｓ２」という名前のプロセスが、ホスト内で既に存在している名前のプロセスであった場合、生成部１２１がフルパスを表示することにより、管理者は「Ｐｒｏｃｅｓｓ２」が通常存在する場所のプロセスか否かを確認することができる。これにより、支援装置１０２は、異常イベントとして挙げられたイベントの詳細を、管理者が把握することを支援することができる。
【０１０４】
なお、受付部１５１は、第３の実施の形態において説明した受付部１５０と一体となって形成されたものであってもよいし、異なっていてもよい。
【０１０５】
また、管理者がマウスオーバーしたものが要素の場合、生成部１２１は、マウスオーバーした要素に関連する異常イベントを表す関係グラフ（該要素に接続された辺および要素）の全てを強調した状態で、表示画面に表示させてもよい。
【０１０６】
＜第５の実施の形態＞
次に、本発明の第５の実施の形態について説明する。本実施の形態では、異常イベントリストに、異常イベントの異常度合いが含まれている場合について説明を行う。図１６は、本実施の形態に係る支援装置１０３の機能構成の一例を示す機能ブロック図である。なお、説明の便宜上、前述した各実施の形態で説明した図面に含まれるブロックと同じ機能を有するブロックについては、同じ符号を付し、その詳細な説明を省略する。
【０１０７】
図１６に示す通り、本実施の形態に係る支援装置１０３は、分類部１１０と、生成部１２２と、記憶部１３０と、検出部１４０と、を備える。本実施の形態に係る支援装置１０３は、上述した第３または第４の実施の形態と同様に受付部１５０または受付部１５１を備える構成であってもよい。
【０１０８】
本実施の形態における検出部１４０が検出した異常イベントのリスト（異常イベントリスト）の一例を図１７に示す。図１７に示す通り、本実施の形態における異常イベントリストには、図３に示す異常イベントリストに加え、各異常イベントの異常度合いが含まれる。本実施の形態では、この異常度合いは、図１７に示す通り、０から１までの数値で表されており、数値が高いほど、異常である可能性が高いとする。
【０１０９】
分類部１１０は、例えば、図１７に示すような異常イベントを要素ごとに分類する。上述したとおり、異常イベントには異常度合いが含まれるため、分類部１１０が分類した結果に含まれる異常イベントにも異常度合いが含まれる。
【０１１０】
生成部１２２は、分類部１１０から分類処理の結果を受け付ける。生成部１２２は、分類処理の結果に基づいて、関係グラフを生成する。このとき、生成部１２２は、要素を、異常度合いに応じて並べる。例えば、生成部１２２は、分類した要素に関連する異常イベントの異常度合いが最も高いものを、要素ごとに特定する。そして、生成部１２２は、特定した異常度合いが高いものから順に、要素を並べる。
【０１１１】
図１７を参照すると、異常度合いが最も高いプロセスは、イベントＩＤが「ＩＤ１１」の異常イベントに関連する要素である「Ｐｒｏｃｅｓｓ１」であることがわかる。したがって、生成部１２２は、種別がプロセスの要素「Ｐｒｏｃｅｓｓ１」および「Ｐｒｏｃｅｓｓ２」を、「Ｐｒｏｃｅｓｓ１」、「Ｐｒｏｃｅｓｓ２」の順に並べる。
【０１１２】
同様に、生成部１２２は、種別がファイルの要素を、「Ｆｉｌｅ１」、「Ｆｉｌｅ６」、「Ｆｉｌｅ５」、「Ｆｉｌｅ３」、「Ｆｉｌｅ２」、「Ｆｉｌｅ４」の順に並べる。
【０１１３】
そして、生成部１２２は、分類処理の結果に基づいて、並べた要素間を線でつないだ関係グラフを生成する。本実施の形態における生成部１２２が生成した関係グラフの一例を図１８に示す。図１８は、本実施の形態において表示装置２００が表示する関係グラフの一例を示す図である。
【０１１４】
図１８に示す通り、種別領域に配置された要素は、上述した順に上から下に（第１の方向に）並んでいることがわかる。そして、図１８に示す関係グラフは、図１７に示す異常イベントを表現していることがわかる。
【０１１５】
なお、生成部１２２は、要素に関連する異常イベントの異常度合いの平均を、要素ごとに求めて、求めた平均を用いて、要素を並べてもよい。また、生成部１２２は、要素に関連する異常イベントの異常度合いの合計を要素ごとに求めて、求めた合計を用いて、要素を並べてもよい。また、生成部１２２は、求めた合計に応じて、要素の大きさや様態を他の要素とは異なる様態で表示させてもよい。例えば、ある要素に対して求めた異常度合いの合計が、他の要素の異常度合いの合計より大きい場合、生成部１２２は、この要素を他の要素より、強調された状態で表示させてもよい。
【０１１６】
（効果）
本実施の形態に係る支援装置１０３によれば、上述した第１および第２の実施の形態と同様の効果を奏することができる。また、本実施の形態に係る支援装置１０３によれば、生成部１２２が、異常の度合いに基づいて、種別ごとに、要素を第１の方向に並べた関係グラフを生成する。このように生成された関係グラフを、表示装置２００が表示することにより、管理者は、異常である可能性が高い異常イベントを、容易に特定することができる。
【０１１７】
＜第６の実施の形態＞
次に、本発明の第６の実施の形態について説明する。図１９は、本実施の形態に係る支援装置１０４の機能構成の一例を示す機能ブロック図である。なお、説明の便宜上、前述した各実施の形態で説明した図面に含まれるブロックと同じ機能を有するブロックについては、同じ符号を付し、その詳細な説明を省略する。
【０１１８】
図１９に示す通り、本実施の形態に係る支援装置１０４は、分類部１１０と、生成部１２０と、記憶部１３０と、検出部１４０と、受付部１５２と、表示制御部１６０とを備える。
【０１１９】
本実施の形態では、検出部１４０は、異常イベントリストを表示制御部１６０に供給するとする。また、本実施の形態では、生成部１２０は、生成した関係グラフを、表示制御部１６０に供給するとする。このとき、生成部１２０が表示制御部１６０に供給する関係グラフに含まれる異常イベントは、異常イベントリストに含まれる異常イベントに関連付けられているとする。例えば、関係グラフに含まれる各辺に対し、異常イベントを表すイベントＩＤが関連付けられているとする。
【０１２０】
受付部１５２は、表示画面上におけるマウスポインタ等の位置を示す位置情報を受け付ける。受付部１５２は、受け付けた位置情報を、表示制御部１６０に供給する。
【０１２１】
表示制御部１６０は、検出部１４０から受信した異常イベントリストと、生成部１２０から受信した関係グラフとを、表示装置２００に表示させる画面を生成する。そして、表示制御部１６０は、生成した画面（生成画面）を表示装置２００の表示画面に表示させるよう制御する。これにより、表示装置２００は、表示制御部１６０からの制御に基づいて、表示画面に、表示制御部１６０が生成した生成画面を表示する。
【０１２２】
また、表示制御部１６０は、受付部１５２から位置情報を受信する。表示制御部１６０は、位置情報から、マウスポインタの位置を特定し、この特定した位置に表示している異常イベントを特定する。そして、表示制御部１６０は、特定した異常イベントに関連する、関係グラフ内の異常イベントおよび／または異常イベントリスト内の異常イベントを、他の異常イベントとは異なる様態で表示装置２００に表示させる。
【０１２３】
表示制御部１６０が生成し、表示画面に表示させる生成画面の一例を図２０に示す。図２０は、本実施の形態において表示装置２００の表示画面に表示される生成画面の一例を示す図である。
【０１２４】
図２０に示す通り、生成画面には、関係グラフと、異常イベントリストとが含まれる。表示画面に表示された関係グラフに含まれる異常イベントと、異常イベントリストに含まれる異常イベントとは関連付けられている。
【０１２５】
図２０に示した表示画面に表示された関係グラフまたは異常イベントリストに対し、管理者がマウスポインタ等を重ねる操作を行った場合における、表示画面の一例を図２１に示す。
【０１２６】
図２１に示す通り、管理者が、例えば、異常イベントリスト上において、イベントＩＤが「ＩＤ２５」の異常イベントに対して、マウスオーバーしたとする。このとき、表示制御部１６０は、マウスオーバーされた位置から異常イベントを特定し、特定した異常イベントに関連する、関係グラフ上の辺および要素を、他の辺および要素とは異なる様態で表示させる。イベントＩＤが「ＩＤ２５」の異常イベントは、「Ｐｒｏｃｅｓｓ２」と「Ｆｉｌｅ５」との間における異常イベントであるため、表示制御部１６０は、「Ｐｒｏｃｅｓｓ２」および「Ｆｉｌｅ５」の要素と、この要素間をつなぐ線とを、例えば、強調して表示画面に表示させる。
【０１２７】
このとき、表示制御部１６０は、マウスオーバーされた異常イベントも強調して、表示させてもよい。
【０１２８】
（効果）
本実施の形態に係る支援装置１０４によれば、上述した第１および第２の実施の形態と同様の効果を奏することができる。また、本実施の形態に係る支援装置１０４によれば、表示制御部１６０が、異常イベントを含むリストと、該リストに関連付けられた関係グラフとを、含む画面を生成し、生成した画面を、前記表示画面に表示させる。この表示制御部１６０は、表示画面上に表示された複数の異常イベントのうち何れかの異常イベントに、表示画面上に表示されたポインタが重畳している場合、ポインタが重畳している異常イベントに関連する異常イベントを、他の異常イベントとは異なる様態で表示させる。
【０１２９】
これにより、例えば、異常イベントリストの中から、管理者が関係性を確認したいと考えた異常イベントに対して、マウスオーバーするだけで、管理者は、マウスオーバーされた異常イベントに関連する要素や他の異常イベントを、グラフ上で確認することができる。したがって、管理者は、表示画面に表示された関係グラフおよび異常イベントリストから、異常イベントの追跡などの異常に対する対応を容易に行うことができる。例えば、記憶部１３０に格納されているログは、一般的に、時系列に並んでいる。したがって、異常イベントリストに含まれる異常イベントも時系列に並んでいる。したがって、管理者は、時系列に並んだ異常イベントを、順番にマウスオーバーすることで、対応する関係グラフの異常イベントを確認することができるため、異常イベントの時間的な前後関係を容易に把握することができる。例えば、以下の（１）、（２）のような、同じ要素における振る舞いであるが、時系列が違うことにより、対応方法が変わる。
（１）あるプロセスがファイルを開いた後に外部ホストと通信を行った、
（２）あるプロセスが外部ホストと通信を行った後にファイルを開いた。
本実施の形態によれば、管理者はこの違いを容易に確認することができるため、支援装置１０４は、管理者が異常イベントに対して、最適な対応を取ることを支援することができる。なお、異常イベントリストにおける異常イベントの並び順は時系列に限定されるものではなく、どのような順番でもよい。
【０１３０】
（ハードウェア構成について）
本発明の各実施の形態において、各装置の各構成要素は、機能単位のブロックを示している。各装置の各構成要素の一部又は全部は、例えば図２２に示すような情報処理装置５００とプログラムとの任意の組み合わせにより実現される。情報処理装置５００は、一例として、以下のような構成を含む。
【０１３１】
・ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）５０１
・ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）５０２
・ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）５０３
・ＲＡＭ５０３にロードされるプログラム５０４
・プログラム５０４を格納する記憶装置５０５
・記録媒体５０６の読み書きを行うドライブ装置５０７
・通信ネットワーク５０９と接続する通信インターフェース５０８
・データの入出力を行う入出力インターフェース５１０
・各構成要素を接続するバス５１１
各実施の形態における各装置の各構成要素は、これらの機能を実現するプログラム５０４をＣＰＵ５０１が取得して実行することで実現される。各装置の各構成要素の機能を実現するプログラム５０４は、例えば、予め記憶装置５０５やＲＡＭ５０３に格納されており、必要に応じてＣＰＵ５０１が読み出す。なお、プログラム５０４は、通信ネットワーク５０９を介してＣＰＵ５０１に供給されてもよいし、予め記録媒体５０６に格納されており、ドライブ装置５０７が当該プログラムを読み出してＣＰＵ５０１に供給してもよい。
【０１３２】
各装置の実現方法には、様々な変形例がある。例えば、各装置は、構成要素毎にそれぞれ別個の情報処理装置５００とプログラムとの任意の組み合わせにより実現されてもよい。また、各装置が備える複数の構成要素が、一つの情報処理装置５００とプログラムとの任意の組み合わせにより実現されてもよい。
【０１３３】
また、各装置の各構成要素の一部又は全部は、その他の汎用または専用の回路、プロセッサ等やこれらの組み合わせによって実現される。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。
【０１３４】
各装置の各構成要素の一部又は全部は、上述した回路等とプログラムとの組み合わせによって実現されてもよい。
【０１３５】
各装置の各構成要素の一部又は全部が複数の情報処理装置や回路等により実現される場合には、複数の情報処理装置や回路等は、集中配置されてもよいし、分散配置されてもよい。例えば、情報処理装置や回路等は、クライアントアンドサーバシステム、クラウドコンピューティングシステム等、各々が通信ネットワークを介して接続される形態として実現されてもよい。
【０１３６】
なお、上述した各実施の形態は、本発明の好適な実施の形態であり、上記各実施の形態にのみ本発明の範囲を限定するものではなく、本発明の要旨を逸脱しない範囲において当業者が上記各実施の形態の修正や代用を行い、種々の変更を施した形態を構築することが可能である。
【符号の説明】
【０１３７】
１０    支援装置
１１    分類部
１２    生成部
１００    支援装置
１０１    支援装置
１０２    支援装置
１０３    支援装置
１０４    支援装置
１１０    分類部
１１１    分類部
１２０    生成部
１２１    生成部
１２２    生成部
１３０    記憶部
１４０    検出部
１４１    検出部
１５０    受付部
１５１    受付部
１５２    受付部
１６０    表示制御部
２００    表示装置
３００    入力装置
【図１】
0006648511.tif 000002
【図２】
0006648511.tif 000003
【図３】
0006648511.tif 000004
【図４】
0006648511.tif 000005
【図５】
0006648511.tif 000006
【図６】
0006648511.tif 000007
【図７】
0006648511.tif 000008
【図８】
0006648511.tif 000009
【図９】
0006648511.tif 000010
【図１０】
0006648511.tif 000011
【図１１】
0006648511.tif 000012
【図１２】
0006648511.tif 000013
【図１３】
0006648511.tif 000014
【図１４】
0006648511.tif 000015
【図１５】
0006648511.tif 000016
【図１６】
0006648511.tif 000017
【図１７】
0006648511.tif 000018
【図１８】
0006648511.tif 000019
【図１９】
0006648511.tif 000020
【図２０】
0006648511.tif 000021
【図２１】
0006648511.tif 000022
【図２２】
0006648511.tif 000023