(57)【特許請求の範囲】
【請求項１】
管理対象に発生したイベントの対処業務を支援する業務支援システムにおいて、
未知の前記イベントに関して、当該イベントのイベント種別を１つ以上推定してイベント種別候補とするイベント種別推定部と、
推定された前記イベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、抽出した前記第１のイベント種別候補群の各前記イベント種別候補の確信度から第１の候補確信度を算出し、前記第１のイベント種別候補群に属する各前記イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出する第１の算出部と、
各前記イベントに対応する図形を前記第１の候補確信度及び前記第１の候補重要度を用いて座標空間上に表現する表現部と
を備えることを特徴とする業務支援システム。
【請求項２】
前記表現部は、
前記第１の候補確信度及び前記第１の候補重要度を平面座標軸の２軸上に表現する
ことを特徴とする請求項１の記載の業務支援システム。
【請求項３】
推定された前記イベント種別候補のうち確信度が低いものも含めた第２のイベント種別候補群を抽出し、抽出した前記第２のイベント種別候補群に属する各前記イベント種別候補の確信度から第２の候補確信度を算出し、前記第２のイベント種別候補群に属する各前記イベント種別候補にそれぞれ対応するイベント種別の第１の重要度から第２の候補重要度を算出する第２の算出部をさらに備え、
前記表現部は、
前記図形を前記第２の候補確信度及び前記第２の候補重要度を用いてグラフ形式で表現する
ことを特徴とする請求項１に記載の業務支援システム。
【請求項４】
前記表現部は、
２つ以上の前記イベントにそれぞれ対応する前記図形を描画する際、前記第１の候補確信度及び前記第１の候補重要度に基づいて各前記イベントの優先度をそれぞれ算出し、前記優先度の高い前記イベントに対応する前記図形から前記優先度が低い前記イベントに対応する前記図形へと各前記図形を順番に指し示すように、各前記図形間にそれぞれ矢印を描画する
ことを特徴とする請求項１に記載の業務支援システム。
【請求項５】
前記表現部は、
２つ以上の前記イベントにそれぞれ対応する前記図形を描画する際、前記第１の候補確信度及び前記第１の候補重要度と、前記第２の候補確信度及び前記第２の候補重要度とに基づいて各前記イベントの優先度をそれぞれ算出し、前記優先度の高い前記イベントに対応する前記図形から前記優先度が低い前記イベントに対応する前記図形へと各前記図形を順番に指し示すように、各前記図形間にそれぞれ矢印を描画する
ことを特徴とする請求項３に記載の業務支援システム。
【請求項６】
前記イベント種別候補は第２の評価観点による第２の重要度を持ち、前記第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別の第２の重要度から第３の候補重要度を算出する第３の算出部をさらに備え、
前記表現部は、
前記第１の候補確信度と、前記第１の候補重要度と、前記第３の候補重要度とを用いて座標上に前記図形を表現する
ことを特徴とする請求項１に記載の業務支援システム。
【請求項７】
前記表現部は、
前記第１の候補確信度を前記図形の大きさとし、前記第１の候補重要度と前記第３の候補重要度を座標軸の２軸上に表現する
ことを特徴とした請求項６に記載の業務支援システム。
【請求項８】
管理対象に発生したイベントの対処業務を支援する業務支援システムにより実行される業務支援方法であって、
未知の前記イベントに関して、当該イベントのイベント種別を１つ以上推定してイベント種別候補とする第１のステップと、
推定された前記イベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、抽出した前記第１のイベント種別候補群の各前記イベント種別候補の確信度から第１の候補確信度を算出し、前記第１のイベント種別候補群に属する各前記イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出する第２のステップと、
未知の各前記イベントに対応する図形を前記第１の候補確信度及び前記第１の候補重要度を用いて座標空間上に表現する第３のステップと
を備えることを特徴とする業務支援方法。
【請求項９】
前記第３のステップでは、
前記第１の候補確信度及び前記第１の候補重要度を平面座標軸の２軸上に表現する
ことを特徴とする請求項８に記載の業務支援方法。
【請求項１０】
前記第２のステップでは、
推定された前記イベント種別候補のうち確信度が低いものも含めた第２のイベント種別候補群を抽出し、抽出した前記第２のイベント種別候補群に属する各前記イベント種別候補の確信度から第２の候補確信度を算出し、前記第２のイベント種別候補群に属する各前記イベント種別候補にそれぞれ対応するイベント種別の第１の重要度から第２の候補重要度を算出し、
前記第３のステップでは、
前記図形を前記第２の候補確信度及び前記第２の候補重要度を用いてグラフ形式で表現する
ことを特徴とする請求項８に記載の業務支援方法。
【請求項１１】
前記第３のステップでは、
２つ以上の前記イベントにそれぞれ対応する前記図形を描画する際、前記第１の候補確信度及び前記第１の候補重要度に基づいて各前記イベントの優先度をそれぞれ算出し、前記優先度の高い前記イベントに対応する前記図形から前記優先度が低い前記イベントに対応する前記図形へと各前記図形を順番に指し示すように、各前記図形間にそれぞれ矢印を描画する
ことを特徴とする請求項８に記載の業務支援方法。
【請求項１２】
前記第３のステップでは、
２つ以上の前記イベントにそれぞれ対応する前記図形を描画する際、前記第１の候補確信度及び前記第１の候補重要度と、前記第２の候補確信度及び前記第２の候補重要度とに基づいて各前記イベントの優先度をそれぞれ算出し、前記優先度の高い前記イベントに対応する前記図形から前記優先度が低い前記イベントに対応する前記図形へと各前記図形を順番に指し示すように、各前記図形間にそれぞれ矢印を描画する
ことを特徴とする請求項１０に記載の業務支援方法。
【請求項１３】
前記第２のステップでは、
前記イベント種別候補は第２の評価観点による第２の重要度を持ち、前記第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別の第２の重要度から第３の候補重要度を算出し、
前記第３のステップでは、
前記第１の候補確信度と、前記第１の候補重要度と、前記第３の候補重要度とを用いて座標上に前記図形を表現する
ことを特徴とする請求項８に記載の業務支援方法。
【請求項１４】
表現部は、
前記第１の候補確信度を前記図形の大きさとし、前記第１の候補重要度と前記第３の候補重要度を座標軸の２軸上に表現する
ことを特徴とした請求項１３に記載の業務支援方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は業務支援システム及び方法に関し、例えば、アプリケーションが出力するイベント情報に対する対処作業を支援するイベント対処業務支援に適用して好適なものである。
【背景技術】
【０００２】
従来、特許文献１に示すようにアプリケーションが出力するイベントを重要度とともに画面に表示するシステムが存在した。このような技術を複数のアプリケーション製品が混在するシステムに応用したとき、アプリケーションごとに重要度の基準が異なるため、アプリケーションが出力した重要度とは別にシステムとしての重要度を定める必要が生じた。「イベント種別リスト」を設けることでそれを実現する次のようなシステムが考えられた。なお「イベント種別」とは、過去のイベントのカテゴリ分けを行い、そのカテゴリ分けされた種別のことを指す。カテゴリ分けの方法としては様々な方法が考えられ、その例を後述する。また、一つ以上のイベント種別を表形式にしたものをイベント種別リストと記載する。
【０００３】
このシステムにおいては、アプリケーションは、エラー等のイベントが発生した場合にそのイベントの内容を表すメッセージを含むイベント情報を出力する。
【０００４】
また、これらのアプリケーションのイベントを管理する管理装置（以下、これをイベント管理装置と呼ぶ）は、管理対象のアプリケーションで発生するイベントに対するイベントマスタ情報が登録された一覧（以下、これをイベント種別リストと呼ぶ）を保持する。ここで、「イベントマスタ情報」とは、イベント種別ＩＤやイベント情報に含まれるメッセージのひな形を示すメッセージテンプレートや、そのイベント種別の重要度などを含む情報をいう。以下においては、イベント種別リストに登録されているイベントを既知イベントと呼ぶ。
【０００５】
そしてイベント管理装置は、新たに発生したイベントのイベント情報を受信した場合、その受信したイベント情報（以下、これを新着イベントと呼ぶ）に含まれるメッセージを読み取り、イベント種別リストに登録されている既知イベントの中からその新着イベントと同じ種別のイベント種別を推定し、そのイベントマスタ情報をオペレータに提示する。以下においては、この推定されたイベント種別のことを「イベント種別候補」と記載する。また、以下において、このイベント種別候補を推定することを「イベント種別候補を割り当てる」と表現する。推定の手法としては、例えばあるイベントに対して、「そのイベントのメッセージ」と「イベント種別のメッセージテンプレート」をそれぞれ形態素解析し、その類似度が高いイベント種別を「イベント種別候補」とする方式がある。ここで、このイベント種別候補のそれぞれが正解のイベント種別である可能性を示す指標を「確信度」と定義する。確信度は、例えば前述の類似度を用いる。
【０００６】
これによりオペレータは、このイベントマスタ情報を参考にしてその新着イベントに対処することができる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００３−１８６７０４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
かかる装置においては、一つのイベントに対するイベント種別候補を一つのイベント種別に絞ることができるとは限らず、複数のイベント種別がイベント種別候補として存在し得る。その場合はそれらのイベント種別候補をオペレータに提示し、オペレータがイベント種別候補の中から正解のイベント種別を指定する。このオペレータの操作によりイベント管理装置は新着イベントをイベント種別リストに関連付けることができる。このとき関連付けられたイベント種別の重要度を当該イベントに対する「真の重要度」と呼ぶことにする。
【０００９】
新着イベントが複数存在し、よって複数の新着イベントに対する正解をオペレータに指定してもらわなければならない場合、オペレータが正解を指定する順番が重要であるが、その順番を決めることは難しい。それぞれの新着イベントの真の重要度が高い順に正解を決めていくべきであるが、真の重要度はまだ分からないためである。
【００１０】
イベント管理装置が複数のイベント種別候補のうち第１候補のイベント種別の重要度を「仮の重要度」とし、仮の重要度順にリスト表示することで、オペレータに表示順に指定してもらうシステムもあり得るが、イベント管理装置が推定した第１候補が不正解であった場合、重要なイベントの正解の指定が後回しになってしまうという問題がある。つまり本システムにおいては、オペレータに新着イベントのそれぞれの重要度を推測するため情報を提供できていないという課題があった。
【００１１】
さらにオペレータは、新着イベントのそれぞれの重要度を推測することができないため、新着イベントの処理すべき順番を把握できないという課題があった。
【００１２】
また重要度の尺度は複数あり得る。例えば、システム管理者においてはオペレータの操作ミスによる計画外のシステム停止などシステムの運用継続性が失われるイベントは重要なイベントであるが、セキュリティ管理者においてはクラッカーの侵入により顧客情報が流出してしまうことが重要なイベントである。このように一つのイベントに対して複数の重要度の尺度があるとき従来のシステムでは同時に把握することができないという課題があった。
【００１３】
本発明は以上の点を考慮してなされたもので、未知の新着イベントに対して推定した重要度と確信度をオペレータに提示し、未知の新着イベントに対するオペレータの対処業務の安全性を向上させ得る有用性の高い業務支援システム及び方法を提案しようとするものである。
【課題を解決するための手段】
【００１４】
かかる課題を解決するため本発明においては、管理対象に発生したイベントの対処業務を支援する業務支援システムにおいて、未知のイベントに関して、当該イベントのイベント種別を１つ以上推定しイベント種別候補とするイベント種別推定部と、前記推定されたイベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、前記第１のイベント種別候補群の各前記イベント種別候補における各確信度から第１の候補確信度を算出し、前記第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出する第１の算出部と、前記各イベントに対応する図形を前記第１の候補確信度と前記第１の候補重要度とを用いて座標空間上に表現する表現部を設けるようにした。
【００１５】
また本発明においては、管理対象に発生したイベントの対処業務を支援する業務支援システムにより実行される業務支援方法であって、未知のイベントに関して、当該イベントのイベント種別を１つ以上推定しイベント種別候補とする第１のステップと、前記推定されたイベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、前記第１のイベント種別候補群の各前記イベント種別候補における各確信度から第１の候補確信度を算出し前記第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出する第２のステップと、前記各イベントに対応する図形を前記第１の候補確信度と前記第１の候補重要度とを用いて表現する第３のステップとを設けるようにした。
【００１６】
本発明の作業支援システム及び方法によれば、オペレータは、イベント分析装置から提示された分析結果画面に基づいて、確信度と重要度を把握しつつ未知の新着イベントに対処することができる。従って、本作業支援システム及び方法によれば、未知の新着イベントに対するオペレータの対処業務の業務安全性を向上させることができる。
【発明の効果】
【００１７】
本発明によれば、有用性の高い業務支援システム及び方法を実現できる。
【図面の簡単な説明】
【００１８】
【図１】第１及び第２の実施の形態によるイベント対処業務支援システムの全体構成を示すブロック図である。
【図２】第１の実施の形態による新着イベント分析結果画面の画面構成例を示す図である。
【図３】第１の実施の形態によるイベント種別リストの構成例を示す図表である。
【図４】イベントテーブルの構成例を示す図表である。
【図５】割当て結果テーブルの構成例を示す図表である。
【図６】イベント対処業務支援処理の処理手順を示すフローチャートである。
【図７】描画処理の処理手順を示すフローチャートである。
【図８】座標決定処理の処理手順を示すフローチャートである。
【図９】第１の実施の形態によるノード描画処理の処理手順を示すフローチャートである。
【図１０】（Ａ）及び（Ｂ）は、座標決定処理の説明に供する図表である。
【図１１】座標決定処理の説明に供する図表である。
【図１２】レコメンド矢印描画処理の処理手順を示すフローチャートである。
【図１３】（Ａ）及び（Ｂ）は、レコメンド矢印描画処理の説明に供する図表である。
【図１４】第２の実施の形態による新着イベント分析結果画面の画面構成例を示す図である。
【図１５】第２の実施の形態によるイベント種別リストの構成例を示す図表である。
【図１６】第２の実施の形態によるノード描画処理の処理手順を示すフローチャートである。
【図１７】第１の実施の形態においてパイ状の表現方法を示す図である。
【図１８】第２の実施の形態によるイベント対処業務支援システムの全体構成を示すブロック図である。
【図１９】第１の実施の形態による新着イベント分析結果画面の他の画面構成例を示す図である。
【発明を実施するための形態】
【００１９】
以下図面について、本発明の一実施の形態を詳述する。
【００２０】
（１）第１の実施の形態
（１−１）本実施の形態によるイベント対処業務支援システムの構成
図１において、１は全体として本実施の形態によるイベント対処業務支援システムを示す。このイベント対処業務支援システム１は、管理対象のアプリケーションや機器にそれぞれ対応させて設けられた１又は複数のイベント生成サーバ２と、各イベント生成サーバ２と第１のネットワーク３を介して接続されたイベント管理サーバ４と、イベント管理サーバ４と第２のネットワーク５を介して接続された１又は複数のイベント分析サーバ６と、各イベント分析サーバ６と第３のネットワーク７を介して接続された１又は複数のオペレータ端末８と、イベント分析サーバ６と第４のネットワーク９を介して接続されたデータベースサーバ１０とを備えて構成される。
【００２１】
イベント生成サーバ２は、対応するアプリケーションに何らかのイベントが発生した場合にそのイベントに応じたイベント情報を生成し、生成したイベント情報を第１のネットワーク３を介してイベント管理サーバ４に送信する機能を有するサーバ装置である。
【００２２】
またイベント管理サーバ４は、各イベント生成サーバ２から送信されてきたイベント情報を第２のネットワーク５を介してイベント分析サーバ６に送信する。
【００２３】
イベント分析サーバ６は、後述するイベント対処業務支援機能が搭載されたサーバ装置であり、ＣＰＵ（Central Processing Unit）２０、記憶装置２１及び通信装置２２などの情報処理資源を備えて構成される。
【００２４】
ＣＰＵ２０は、イベント分析サーバ６全体の動作制御を司るプロセッサである。また記憶装置２１は、例えば、半導体メモリ及びハードディスク装置などから構成され、必要なプログラムやデータを記憶保持するために利用される。後述するイベント受信プログラム２３、イベント種別候補割当てプログラム２４及びノード描画プログラム２５もこの記憶装置２１に格納されて保持される。
【００２５】
通信装置２２は、例えば、ＮＩＣ（Network Interface Card）から構成され、第２〜第４のネットワーク５，７，９を介したイベント管理サーバ４、オペレータ端末８又はデータベースサーバ１０との通信時におけるプロトコル制御を行う。
【００２６】
オペレータ端末８は、システム管理者及びセキュリティ管理者や、発生した新着イベントのイベント対処を実際に行う作業者などのオペレータがそれぞれ使用するコンピュータ装置であり、後述のようにイベント分析サーバ６から送信される画面データに基づいて、図２について後述する新着イベント分析結果画面４０を表示する。
【００２７】
データベースサーバ１０は、イベント分析サーバ６が新着イベント分析結果画面４０を生成するために必要な各種情報を記憶保持するサーバ装置であり、ハードディスク装置、ＳＳＤ（Solid State Drive）又はフラッシュメモリ等の大容量の不揮発性の記憶装置３０を備えて構成される。データベースサーバ１０の記憶装置３０には、後述するイベント種別リスト３１、イベントテーブル３２、割当て結果テーブル３３及び学習モデル３４などが格納されて保持される。
【００２８】
（１−２）本実施の形態によるイベント対処作業支援機能
次に、本イベント対処作業支援システム１のイベント分析サーバ６に搭載されたイベント対処作業支援機能について説明する。このイベント対処作業支援機能は、イベント管理サーバ４から送信されてきた各イベント情報を分析し、分析結果に基づいて図２のような新着イベント分析結果画面４０を生成して、生成した新着イベント分析結果画面４０をオペレータ端末８に表示させる機能である。
【００２９】
イベント分析サーバ６は、イベント情報を受信するごとに、そのイベント情報に含まれるテキスト情報に基づくそのとき発生した新着イベントの内容を表すメッセージを、データベースサーバ１０内のイベント種別リスト３１に登録されている各既知イベントのイベントマスタ情報に含まれるテキスト情報に基づくメッセージテンプレートと順次比較し、これらの既知イベントごとに、そのイベントマスタ情報に含まれるテキスト情報に基づくメッセージテンプレートの内容がその新着イベントのイベント情報に含まれるテキスト情報に基づくメッセージの内容と類似する度合い（これを確信度とする）をそれぞれ算出する。
【００３０】
そしてイベント分析サーバ６は、算出した既知イベントごとの確信度に基づいて、当該確信度が予め設定された所定の閾値（以下、これを確信度閾値と呼ぶ）以上の既知イベントをイベント種別リスト３１からすべて抽出し、抽出したこれら既知イベントをイベント種別候補としてその新着イベントに割り当てる。
【００３１】
いずれの既知イベントも確信度閾値未満であった場合は、その旨をオペレータ端末８に表示する。オペレータは既知イベントのいずれかを指定するか、新規イベントである旨を入力するとともにその重要度を入力する。イベント分析サーバ６は、新規イベントである旨を入力されたとき、当該イベントと対応させて図３について後述するイベント種別リスト３１に以下の内容の行を１行追加する。追加する行の内容はイベント種別ＩＤ（３１Ａ）は新たに採番した番号とし、メッセージテンプレート３１Ｂはイベントテーブル３２の新着イベントの行のメッセージをコピーし、イベント種別リスト３１の重要度３１Ｃの当該行はオペレータから入力された重要度とする。
【００３２】
またイベント分析サーバ６は、このような新着イベントに対するイベント種別候補の割当て結果に基づいて、図２に示すような新着イベント分析結果画面４０を生成する。そしてイベント分析サーバ６は、生成した新着イベント分析結果画面４０の画面データを第３のネットワーク７を介して必要なオペレータ端末８に送信することにより、この新着イベント分析結果画面４０をそのオペレータ端末８に表示させる。
【００３３】
ここで、新着イベント分析結果画面４０は、図２に示すように、縦軸に重要度、横軸に確信度をとった平面座標４１を備えて構成される。そして平面座標４１には、それまでにイベント分析サーバ６が受信した各イベント情報にそれぞれ対応する新着イベントのうち、未だオペレータが対処していない各新着イベントとそれぞれ対応付けられたノード４２が表示される。
【００３４】
これらノード４２は、それぞれ対応する新着イベントに割り当てられたイベント種別候補のうち、確信度が最も大きいイベント種別候補の当該確信度をｘ座標、そのイベント種別候補に対して後述のように予めユーザが設定した重要度をｙ座標とするｘｙ座標を中心座標とする所定大きさの円グラフから構成される。あるいは確信度が閾値以上の１つまたは複数のイベント種別候補の最大の確信度をｘ座標、最大の重要度をｙ座標とする実施の形態としてもよい。
【００３５】
そして、この円グラフでは、対応する新着イベントに対して割り当てられたイベント種別候補のうち、重要度が高い値（例えば「80」以上）に設定されたイベント種別候補と、重要度が中程度の値（例えば「30」〜「79」）に設定されたイベント種別候補と、重要度が低い値（例えば「29」以下）に設定されたイベント種別候補との存在割合が、かかる重要度が「高」、「中」及び「低」のそれぞれに対応付けられた領域の中心角の大きさで表される。
【００３６】
また平面座標４１内には、当該平面座標４１内に存在する各ノード４２にそれぞれ対応する新着イベントについて、オペレータが対処すべき順番として推奨（レコメンド）する順番を表す矢印（以下、これをレコメンド矢印と呼ぶ）４３が表示される。
【００３７】
レコメンド矢印４３は、そのノード４２に対応する新着イベントに割り当てられた各イベント種別候補にそれぞれ設定された重要度と、これらのイベント種別候補についてそれぞれ算出された確信度とに基づいて決定されたこれら新着イベントの優先度に基づいて、優先度が高い新着イベントのノード４１から優先度が低い新着イベントのノード４１へと各ノード４１を順番に指し示すように必要なノード４２間にそれぞれ表示される。
【００３８】
これによりオペレータは、この新着イベント分析結果画面４０に表示されたレコメンド矢印４２が指し示す順番で各ノード４２にそれぞれ対応する新着イベントに対する対処を行うことで、より優先度が高い新着イベントから順番にこれら新着イベントの対処を行うことができる。
【００３９】
以上のような本実施の形態によるイベント対処業務支援機能を実現するための手段として、イベント分析サーバ６の記憶装置２１（図１）には、図１に示すように、イベント受信プログラム２３、イベント種別候補割当てプログラム２４及びノード描画プログラム２５が格納され、データベースサーバ１０の記憶装置３０には、イベント種別リスト３１、イベントテーブル３２、割当て結果テーブル３３及び学習モデル３４が格納されている。
【００４０】
イベント受信プログラム２３は、イベント管理サーバ４から送信されてくる各新着イベントのイベント情報を受信し、受信したイベント情報をデータベースサーバ１０のイベントテーブル３２に順次登録する機能を有するプログラムである。
【００４１】
またイベント種別候補割当てプログラム２４は、イベントテーブル３２に登録された各新着イベントに対して、イベント種別リスト３１に登録された既知イベントの中からメッセージ内容が類似する既知イベントを抽出してイベント種別候補としてそれぞれ割り当て、割当て結果を割当て結果テーブル３３に登録する機能を有するプログラムである。本実施の形態においてはメッセージを形態素解析し、類似度を算出することで確信度を算出しているが、機械学習を用いて確信度を計算してもよい。その場合、イベント種別候補割当てプログラム２４に、データベースサーバ１０に格納された学習モデル３４を用いて、新着イベントに割り当てるべきイベント種別候補を機械学習する機能を備える。
【００４２】
ノード描画プログラム２５は、イベント種別候補割当てプログラム２４により各新着イベントにそれぞれ割り当てられた各イベント種別候補の重要度等に基づいて、新着イベント分析結果画面４０の画面データを生成し、生成した新着イベント分析結果画面４０の画面データを第３のネットワーク７を介してオペレータ端末８に送信する機能を有するプログラムである。上述のように、この画面データに基づいて、オペレータ端末８にその新着イベント分析結果画面４０が表示される。
【００４３】
一方、イベント種別リスト３１は、従前に登録された既知イベントのイベントマスタ情報を管理及び保持するために利用されるリストであり、図３に示すように、少なくともイベント種別ＩＤ欄３１Ａ、メッセージテンプレート欄３１Ｂ及び重要度欄３１Ｃを備えるテーブル構成を有する。イベント種別リスト３１では、１つの行が１つの既知イベントに対応する。
【００４４】
そしてイベント種別ＩＤ欄３１Ａには、対応する既知イベントに対して付与された、イベント種別リスト３１内で固有のイベント種別ＩＤが格納される。またメッセージテンプレート欄３１Ｂには、対応する既知イベントが発生したときにイベント管理サーバ４（図１）から送信されてきたイベント情報に含まれていたメッセージのテキスト情報がメッセージテンプレートとして格納され、重要度欄３１Ｃには、対応する既知イベントに対して予めオペレータにより設定されたその既知イベントの重要度が格納される。
【００４５】
従って、図３の例の場合、例えば、「1000」というイベント種別ＩＤが付与された既知イベントについては、その既知イベントが発生したときにイベント分析サーバ６が受信したイベント情報に「アプリケーションサーバ(***)が異常停止しました」という内容のメッセージのテキスト情報が含まれており、その既知イベントの重要度がオペレータにより「90」に設定されていたことが示されている。
【００４６】
イベントテーブル３２は、新着イベントのイベント情報を管理するために利用されるテーブルであり、図４に示すように、少なくともイベントＩＤ欄３２Ａ及びメッセージ欄３２Ｂを備えて構成される。イベントテーブル３２では、１つの行がオペレータによるイベント対処が未だ実行されていない１つの新着イベントに対応する。
【００４７】
そしてイベントＩＤ欄３２Ａには、新着イベントが到着するたびにイベントテーブル３２内で一意なイベントＩＤが採番されたうえで格納され、メッセージ欄３２Ｂには、そのイベント情報に含まれていた当該新着イベントの内容を表すメッセージのテキスト情報が格納される。
【００４８】
従って、図４の例の場合、「0001」というイベントＩＤが付与された新着イベントのイベント情報に含まれるテキスト情報に基づく当該新着イベントの内容を表すメッセージの内容が「アプリケーションサーバ(Nagoya)が異常停止しました。」であったことが示されている。
【００４９】
割当て結果テーブル３３は、各新着イベントにそれぞれに割り当てられたイベント種別候補及びその確信度を管理するために利用されるテーブルであり、図５に示すように、イベントＩＤ欄３３Ａ、イベント種別ＩＤ欄３３Ｂ及び確信度欄３３Ｃを備えて構成される。割当て結果テーブル３３では、１つの行がイベントテーブル３２（図４）に登録されている１つの新着イベントに対して割り当てられたイベント種別候補の１つに対応する。
【００５０】
そしてイベントＩＤ欄３３Ａには、イベントテーブル３２に登録されているイベント対処が未だ実行されていない新着イベントのイベントＩＤが格納され、イベント種別ＩＤ欄３３Ｂには、その新着イベントに割り当てられたイベント種別候補（既知イベント）の１つのイベント種別ＩＤが格納される。また確信度欄３３Ｃには、そのイベントＩＤ欄３３Ａに対応する新着イベントがイベント種別ＩＤ欄３３Ｂに対応するイベント種別に割り当てることができる可能性を算出した値である確信度が格納される。
【００５１】
従って、図５の例の場合、例えば、「0001」というイベントＩＤが付与された新着イベントに対しては、「1000」というイベント種別ＩＤが付与された第１の既知イベントと、「1001」というイベント種別ＩＤが付与された第２の既知イベントと、「1003」というイベント種別ＩＤが付与された第３の既知イベントとの少なくとも３つの既知イベントがイベント種別候補として割り当てられており、第１〜第３の既知イベントの確信度がそれぞれ「90」、「40」及び「30」であることが示されている。
【００５２】
なお本イベント対処作業支援システム１の場合、イベントテーブル３２や割当て結果テーブル３３における各新着イベントのエントリは、その新着イベントに対するオペレータによる対処が完了するとそのイベントテーブル３２及び割当て結果テーブル３３から削除される。
【００５３】
オペレータは、新着イベント分析結果画面４０にノード４２が表示された新着イベントに対する対処が完了したときには、その旨をオペレータ端末８に操作入力する。そしてオペレータ端末８は、かかる操作入力が行われた場合、対処が完了したその新着イベントを特定したコマンドをイベント分析サーバ６に送信する。
【００５４】
そしてこのコマンドを受信したイベント分析サーバ６のノード描画プログラム２４は、そのコマンドにおいて特定された新着イベントのエントリをイベントテーブル３２や割当て結果テーブル３３から消去する。この結果、その新着イベントに対応するノード４２が新着イベント分析結果画面４０に表示されなくなる。
【００５５】
（１−３）本実施の形態によるイベント対処業務支援機能に関連する各種処理
次に、かかるイベント対処業務支援機能に関連してイベント分析サーバ６において実行される各種処理の具体的な処理内容について説明する。なお、以下の説明では、各種処理の処理主体を「プログラム」として説明するが、実際上は、その「プログラム」に基づいてＣＰＵ２０（図１）がその処理を実行することは言うまでもない。
【００５６】
（１−３−１）イベント対処業務支援処理の流れ
図６は、かかるイベント対処業務支援機能に関連してイベント分析サーバ６において実行される一連の処理（本発明においてはこれをイベント対処業務支援処理と呼ぶ）の流れを示す。このイベント対処業務支援処理は、イベント分析サーバ６の起動後、オペレータがオペレータ端末８を操作してイベント対処業務支援処理の実行をイベント分析サーバ６に指示すると開始される。
【００５７】
そして、このイベント対処業務支援処理が開始されると、まず、イベント種別候補割当てプログラム２４（図１）が、イベントテーブル３２（図４）に登録されている新着イベントの中から１つの新着イベントを選択する（Ｓ１）。
【００５８】
次にイベント種別候補割当てプログラム２４は、ステップＳ１で選択した新着イベント（以下、これを選択新着イベントと呼ぶ）に対してイベント種別リスト３１の中から０個以上の既知イベントをイベント種別候補として割り当て、その確信度を算出する（Ｓ２）。
【００５９】
具体的には、イベント種別候補割当てプログラム２４は、選択新着イベントのイベント情報に含まれるその選択新着イベントの内容を表すメッセージのテキスト情報に基づいて、そのメッセージを形態素解析により品詞ごとに分解し、分解したこれらの品詞に基づいてN-gram処理やTF-IDF処理などの手法を用いてそのメッセージの特徴量をベクトル化する。
【００６０】
またイベント種別候補割当てプログラム２４は、同様の手法によりイベント種別リスト３１（図３）に登録されている各既知イベントのイベントマスタ情報に含まれる当該既知イベントの内容を表すメッセージのテキスト情報に基づいて、そのメッセージの特徴量をそれぞれベクトル化する。
【００６１】
そしてイベント種別候補割当てプログラム２４は、既知イベントごとに、新着イベントのメッセージの特徴量のベクトルと、その既知イベントのメッセージの特徴量のベクトルとを比較し、これら２つのベクトルの距離をその既知イベントに対する確信度としてそれぞれ算出する。
【００６２】
そしてイベント種別候補割当てプログラム２４は、このような処理により算出した既知イベントごとの確信度に基づいて、その確信度が上述した確信度閾値以上の既知イベントをすべて抽出し、これらをその選択新着イベントにイベント種別候補として割り当てる。またイベント種別候補割当てプログラム２４は、この割当て結果を割当て結果テーブル３３に登録する。
【００６３】
この後、イベント種別候補割当てプログラム２４は、ノード描画プログラム２５を呼び出し、上述のようにしてその選択新着イベントのイベントＩＤを引数としてノード描画プログラム２５（図１）に引き渡す。
【００６４】
ノード描画プログラム２５は、イベント種別候補割当てプログラム２４により呼び出されると、イベント種別候補割当てプログラム２４から引き渡された選択新着イベントのイベントＩＤを検索キーとして割り当て結果テーブル３２からイベント種別ＩＤ及び確信度を検索し、その検索により検出したイベント種別ＩＤを検索キーとしてイベント種別リスト３１に登録されている重要度を検索し、それらの情報に基づいて、図２のように選択新着イベントに対応する上述のノード４２を上述の新着イベント分析結果画面４０の平面座標４１上に描画する描画処理を実行する（Ｓ３）。この描画処理の詳細については後述する。そしてノード描画プログラム２５は、この後、イベント種別候補割当てプログラム２４に処理を戻す。
【００６５】
処理を戻されたイベント種別候補割当てプログラム２４は、イベントテーブル３２に登録されている新着イベントの中に未だイベント種別候補を割り当てていない新着イベントが存在するか否かを判断する（Ｓ４）。
【００６６】
ステップＳ４で未処理のイベントが存在する場合、イベント種別候補割当てプログラム２４は、ステップＳ１に戻る。またステップＳ４でイベントテーブル３２に登録されているすべての新着イベントにイベント種別候補が割り当てられている場合、イベント種別候補割当てプログラム２４は、レコメンド矢印描画処理（Ｓ５）を呼出す。
【００６７】
レコメンド矢印描画処理から戻ってくると、イベント種別候補割当てプログラム２４はオペレータからの入力等待ち状態になる（Ｓ６）。具体的にはオペレータからの入力があるか新たな新着イベントが到着するまで待つ。そしてイベント種別候補割当てプログラム２４は、オペレータからの入力があったか新着イベントが到着すると処理をステップＳ７に移す。
【００６８】
またイベント種別候補割当てプログラム２４は、この後、ステップＳ３で新着イベント分析結果画面４０の平面座標４１上に描画した各ノード４２のうち、既にオペレータによる対処済みの新着イベントに対するノード４２を平面座標４１上から削除する（Ｓ７）。
【００６９】
続いて、イベント種別候補割当てプログラム２４は、イベント種別候補を割り当てていない新たな新着イベントがイベントテーブル３２に登録されたか否かを判断する（Ｓ８）。そしてイベント種別候補割当てプログラム２４は、この判断で否定結果を得るとステップＳ５に戻り、この後、ステップＳ８で肯定結果を得るまでステップＳ５〜ステップＳ８の処理を繰り返す。
【００７０】
そして、イベント種別候補割当てプログラム２４は、イベント種別候補を割り当てていない新たな新着イベントがイベントテーブル３２に登録されることによりステップＳ８で肯定結果を得ると、ステップＳ１に戻り、この後、ステップＳ２以降の処理を上述と同様に実行する。
【００７１】
（１−３−２）描画処理
（１−３−２−１）描画処理の流れ
図７は、図６について上述したメンテナンス対応業務支援処理のステップＳ３においてノード描画プログラム２５（図１）により実行される描画処理の具体的な処理内容を示す。
【００７２】
ノード描画プログラム２５は、イベント種別候補割当てプログラム２４により呼び出されると、この図７に示す描画処理を開始し、まず、新着イベント分析結果画面４０の平面座標４１における選択新着イベントに対応するノード４２（図２）を描画すべき座標（ここでは、そのノード４２の中心座標）を決定する座標決定処理を実行する（Ｓ１０）。
【００７３】
続いて、ノード描画プログラム２５は、ステップＳ１０で決定した座標を中心とした選択新着イベントに対応するノード４２を描画するノード描画処理を実行する（Ｓ１１）。このノード描画処理により、オペレータ端末８に表示された新着イベント分析結果画面４０の平面座標４１上に選択新着イベントに対応するノード４２が描画される。
【００７４】
そしてノード描画プログラム２５は、この後、この描画処理を終了してイベント対処業務支援処理のステップＳ４に戻る。
【００７５】
（１−３−２−２）座標決定処理の流れ
図８は、図７について上述した描画処理のステップＳ１０でノード描画プログラム２５により実行される座標決定処理の具体的な処理内容を示す。
【００７６】
ノード描画プログラム２５は、描画処理のステップＳ１０に進むと、この図８に示す座標決定処理を開始し、まず、イベント種別候補割当てプログラム２４により選択新着イベントに割り当てられた各イベント種別候補のイベントマスタ情報をデータベースサーバ１０（図１）に格納されたイベント種別リスト３１からそれぞれ読み出す（Ｓ２０）。このとき、ステップＳ２３で使用する最大確信度イベント種別候補を「候補なし」に初期化しておく。
【００７７】
続いて、ノード描画プログラム２５は、ステップＳ２０でイベントマスタ情報を読み出した各イベント種別候補の中からステップＳ２２以降が未処理のイベント種別候補を１つ選択する（Ｓ２１）。次にノード描画プログラム２５は、ステップＳ２１で選択したイベント種別候補の確信度が現在までにステップＳ２１で選択したイベント種別候補の中で最大であるか否かを判断する。具体的には「ステップＳ２３で記載されている最大確信度イベント種別候補が初期化されている状態」か「ステップＳ２１で選択したイベント種別候補の確信度がステップＳ２３で記載されている最大確信度イベント種別候補の確信度より大きい場合」に確信度が最大であると判断する（Ｓ２２）。そしてノード描画プログラム２５は、この判断で否定結果を得るとステップＳ２４に進む。
【００７８】
これに対して、ノード描画プログラム２５は、ステップＳ２２の判断で肯定結果を得ると、ステップＳ２１で選択したイベント種別候補のイベント種別ＩＤ及び確信度を、確信度が最大のイベント種別候補（本発明ではこれを最大確信度イベント種別候補と呼ぶ）のイベント種別ＩＤ及び確信度として記憶する（Ｓ２３）。
【００７９】
次いで、ノード描画プログラム２５は、選択新着イベントに割り当てられたすべてのイベント種別候補についてステップＳ２１〜ステップＳ２３の処理を実行し終えたか否かを判断する（Ｓ２４）。そしてノード描画プログラム２５は、この判断で否定結果を得るとステップＳ２１に戻り、この後、ステップＳ２１で選択するイベント種別候補を、選択新着イベントに割り当てられたイベント種別候補のうちのステップＳ２２以降が未処理の他のイベント種別候補に順次切り替えながら、ステップＳ２１〜ステップＳ２４の処理を繰り返す。
【００８０】
そしてノード描画プログラム２５は、選択新着イベントに割当てられたすべてのイベント種別候補についてステップＳ２２〜ステップＳ２３の処理を実行し終えることによりステップＳ２４で肯定結果を得ると、新着イベント分析結果画面４０の平面座標４１に描画すべきそのときの選択新着イベントに対応するノード４２の中心座標を、そのとき最大確信度イベント種別候補の確信度として記憶している値をｘ座標、その最大確信度イベント種別候補についてイベント種別リスト３１の対応する行に格納されている重要度をｙ座標とする座標位置に決定する（Ｓ２５）。そしてノード描画プログラム２５は、この後、この座標決定処理を終了して図７について上述した描画処理のステップＳ１０に戻る。
【００８１】
（１−３−２−３）ノード描画処理の流れ
図９は、図７について上述した描画処理のステップＳ１１でノード描画プログラム２５により実行されるノード描画処理の具体的な処理内容を示す。
【００８２】
ノード描画プログラム２５は、描画処理のステップＳ１１に進むと、この図９に示すノード描画処理を開始し、まず、選択新着イベントに割り当てられた各イベント種別候補の重要度をデータベースサーバ１０（図１）のイベント種別リスト３１（図１）からそれぞれ取得する（Ｓ３０）。
【００８３】
続いて、ノード描画プログラム２５は、取得したこれらの重要度に基づいて、選択新着イベントの各イベント種別候補を重要度を「高」、「中」及び「低」の３つのカテゴリに分類する（Ｓ３１）。
【００８４】
具体的には、ノード描画プログラム２５は、図１０（Ａ）に示すように、ユーザにより設定された重要度が既定の第１の閾値（例えば「80」）以上のイベント種別候補については重要度が「高」のカテゴリに分類し、設定された重要度が第１の閾値未満でかつ既定の第２の閾値（例えば「30」）以上のイベント種別候補については重要度が「中」のカテゴリに分類し、設定された重要度が第２の閾値未満のイベント種別候補については重要度が「低」のカテゴリに分類する。
【００８５】
この後、ノード描画プログラム２５は、図１０（Ｂ）に示すように、カテゴリごとのイベント種別候補の含有率を算出する（Ｓ３２）。具体的には、ノード描画プログラム２５は、カテゴリごとに、そのカテゴリにおけるイベント種別候補の含有率を次式
【数１】
0006840204.tif 000002
のように、そのときの選択新着イベントに割り当てられた全イベント種別候補の確信度の合算値に対するそのカテゴリに属する全イベント種別候補の確信度の合算値の割合を100倍するようにして算出する。
【００８６】
続いて、ノード描画プログラム２５は、新着イベント分析結果画面４０（図２および図１９）の平面座標４１（図２）上に、図８について上述した座標決定処理により決定した座標を中心座標とする一定半径の円グラフで表現されるノード４２（図２）を描画する（Ｓ３３）。
【００８７】
この際、ノード描画プログラム２５は、図１１に示すように、重要度が「高」、「中」及び「低」の３つのカテゴリにそれぞれ対応するノード４２内の各領域ＡＲ１，ＡＲ２，ＡＲ３の中心角α１，α２，α３が、それぞれ360度にそのカテゴリにおけるイベント種別候補の含有率を乗算し、その乗算結果を100で除算した値となるようにノード４２内を分割し、これら領域ＡＲ１〜ＡＲ３をそのカテゴリに対応する色に着色し又はこれら領域ＡＲ１〜ＡＲ３内にそのカテゴリに対応する模様を描画する。
【００８８】
そしてノード描画プログラム２５は、この後、このノード描画処理を終了して図７について上述した描画処理に戻る。
【００８９】
（１−３−２−４）レコメンド矢印描画処理の流れ
図１２は、図６について上述したイベント対処業務支援処理のステップＳ５でノード描画プログラム２５により実行されるレコメンド矢印描画処理の具体的な処理内容を示す。
【００９０】
ノード描画プログラム２５は、イベント対処業務支援処理のステップＳ５に進むと、この図１２に示すレコメンド矢印描画処理を開始し、まず、そのとき新着イベント分析結果画面４０（図２）の平面座標４１（図２）内に表示されているレコメンド矢印４３をすべて消去する。そしてイベントテーブル３２に存在する新着イベントのそれぞれに関してステップＳ４０〜ステップＳ４３を実施する。
【００９１】
具体的に、ノード描画プログラム２５は、イベントテーブル３２に存在するすべての新着イベントの中からステップＳ４１以降が未処理の新着イベントを１つ選択する（Ｓ４０）。
【００９２】
続いて、ノード描画プログラム２５は、ステップＳ４０で選択した新着イベントに対して割り当てられたすべてのイベント種別候補の重要度をデータベースサーバ１０（図１）のイベント種別リスト３１（図３）から読み出すことにより取得する（Ｓ４１）。
【００９３】
次いで、ノード描画プログラム２５は、ステップＳ４１で重要度を取得した各イベント種別候補を、図９のステップＳ３１と同様にして重要度が「高」、「中」及び「低」の３つのカテゴリに分類する（Ｓ４２）。またノード描画プログラム２５は、この後、ステップＳ４０で選択した新着イベントに対するイベント対処の優先度を、次式
【数２】
0006840204.tif 000003
のようにしてそれぞれ算出する（Ｓ４３）。
【００９４】
具体的には、ノード描画プログラム２５は、ステップＳ４０で選択した新着イベントの各イベント種別候補のうち、重要度が「高」のカテゴリに分類された各イベント種別候補について、そのイベント種別候補の重要度及び確信度をそれぞれ乗算する。
【００９５】
またノード描画プログラム２５は、これらの乗算結果をすべて合算した値に、図１３（Ａ）のように各カテゴリに対して予めそれぞれ設定された係数（以下、これをカテゴリ係数と呼ぶ）のうちのそのカテゴリ（重要度が「高」のカテゴリ）に対して設定されているカテゴリ係数を乗算する。
【００９６】
さらにノード描画プログラム２５は、その新着イベントの各イベント種別候補のうち、重要度が「中」や「低」のカテゴリに分類された各イベント種別候補についてもカテゴリごとに同様の演算を行い、図１３（Ｂ）に示すように、これら３つのカテゴリについての演算結果をすべて合算した値をその新着イベントの優先度として算出する。
【００９７】
続いて、ノード描画プログラム２５は、イベントテーブル３２に存在するすべての新着イベントについてステップＳ４１〜ステップＳ４３の処理を実行し終えたか否かを判断する（Ｓ４４）。そしてノード描画プログラム２５は、この判断で否定結果を得るとステップＳ４０に戻り、この後ステップＳ４０で選択する新着イベントをステップＳ４１以降の処理が未処理の他の新着イベントに順次切り替えながらステップＳ４０〜ステップＳ４４の処理を繰り返す。
【００９８】
そしてノード描画プログラム２５は、イベントテーブル３２に存在するすべての新着イベントについてその優先度を算出し終えることによりステップＳ４４で肯定結果を得ると、まず画面上のレコメンド矢印をすべて消去し（Ｓ４５）、その後上述のようにして算出した各新着イベントの優先度に基づいて、新着イベント分析結果画面４０の平面座標４１内における対応する各ノード４２間に上述のレコメンド矢印４３をそれぞれ描画する（Ｓ４６）。
【００９９】
具体的には、ノード描画プログラム２５は、イベントテーブル３２に存在する各新着イベントを優先度が大きい順番にソートし、ソートした順番で新着イベントを順に指し示していくように必要なノード４２間にレコメンド矢印４３をそれぞれ描画する。
【０１００】
そしてノード描画プログラム２５は、すべてのレコメンド矢印４３を描画し終えると、このレコメンド矢印描画処理を終了して、図７について上述した描画処理に戻る。
【０１０１】
なお、本実施の形態においてレコメンド矢印４３を描画する処理を行わないこととしてもよい。その場合、表示形態は図１９のようになる。図１９は、レコメンド矢印４３が表示されていない点を除いて図２の新着イベント分析結果画面と同様の構成を有する。
【０１０２】
（１−４）本実施の形態の効果
以上のように本実施の形態のイベント対処業務支援システム１では、イベント分析サーバ６がイベント管理サーバ４から与えられる新着イベントのイベント情報を分析し、分析結果に基づいて、新着イベントに対する確信度と重要度をユーザが一見して認識できるように、これら新着イベントにそれぞれ対応するノード４２を平面座標４１上に配置した新着イベント分析結果画面４０を生成してオペレータ端末に表示させる。
【０１０３】
従って、オペレータは、この新着イベント分析結果画面４０を参照することにより、未知の新着イベントに対する確信度と重要度を直ちに認識することができる。さらにイベント分析サーバ６が対処すべき新着イベントの順番を表示することにより、オペレータは適切な順番で新着イベントに対処することができる。よって本実施の形態によれば、未知の新着イベントに対するオペレータの対処業務の安全性を向上させ得る有用性の高いイベント対処業務支援システムを実現できる。
【０１０４】
（２）第２の実施の形態
図１８において、イベント対処業務支援システム５０は全体として第２の実施の形態によるイベント対処業務支援システムを示す。このイベント対処業務支援システム５０では、図２について上述した新着イベント分析結果画面４０に代えて、図１４に示すような新着イベント分析結果画面６０をイベント分析サーバ５１が生成し、これをオペレータ端末８に表示させる点を除いて第１の実施の形態のイベント対処業務支援システム１とほぼ同様に構成されている。
【０１０５】
具体的には、本実施の形態によるイベント対処業務支援システム５０の場合、データベースサーバ１０の記憶装置３０に格納されたイベント種別リスト５２は、図１５に示すように、少なくともイベント種別ＩＤ欄５２Ａ及びメッセージテンプレート欄５２Ｂと、システム重要度欄５２Ｃ及びセキュリティ重要度欄５２Ｄとを備えて構成されている。
【０１０６】
そしてイベント種別ＩＤ欄５２Ａ及びメッセージテンプレート欄５２Ｂには、図３について上述した第１の実施の形態のイベント種別リスト３１のイベント種別ＩＤ欄３１Ａ又はメッセージ欄３１Ｂに格納される情報と同じ情報がそれぞれ格納される。
【０１０７】
またシステム重要度欄５２Ｃには、第１の実施の形態の「重要度」と同様にして予めオペレータにより設定された対応する既知イベントの第１の評価観点であるシステム上の重要度（以下、これをシステム重要度と呼ぶ）が格納され、セキュリティ重要度欄５２Ｄには、同様にオペレータにより予め設定されたその既知イベントの第２の評価観点であるセキュリティ上の重要度（以下、これをセキュリティ重要度と呼ぶ）が格納される。
【０１０８】
そしてシステム分析サーバ５１は、イベントテーブル３２に登録された各新着イベントに対して、それぞれイベント種別リスト５２に登録されている既知イベントの中から第１の実施の形態と同様にして算出された確信度が上述の確信度閾値以上のすべての既知イベントをイベント種別候補として割り当てる。
【０１０９】
またシステム分析サーバ５１は、各新着イベントに割り当てた各イベント種別候補のシステム重要度及びセキュリティ重要度と、確信度とに基づいて図１４に示すような新着イベント分析結果画面６０を生成する。そしてイベント分析サーバ５１は、生成した新着イベント分析結果画面６０の画面データを第３のネットワーク７を介して必要なオペレータ端末８に送信することにより、この新着イベント分析結果画面６０をそのオペレータ端末８に表示させる。
【０１１０】
この図１４に示すように、本実施の形態の新着イベント分析結果画面６０は、縦軸にセキュリティ重要度、横軸にシステム重要度をとった平面座標６１を備えて構成される。そして平面座標６１には、それまでにイベント分析サーバ５１が受信した各イベント情報にそれぞれ対応する新着イベントのうち、オペレータによる対処が未だ行われていない各新着イベントとそれぞれ対応付けられたノード６２が表示される。
【０１１１】
これらノード６２は、それぞれ対応する新着イベントに割り当てられたイベント種別候補のうち、確信度が最も大きいイベント種別候補についてイベント種別リスト５２から取得したシステム重要度をｘ座標、当該イベント種別候補についてイベント種別リスト５２から取得したセキュリティ重要度をｙ座標とするｘｙ座標を中心座標として表示された円グラフから構成される。
【０１１２】
この場合、円グラフは、対応する新着イベントに割り当てられたイベント種別候補のうちの最も確信度が高いイベント種別候補の当該確信度に反比例する大きさ（半径）で描画される。これにより確信度が低い新着イベントに対応するノード６２ほどより大きく表示されるために目立ち易く、オペレータがそのノード６２に対応する新着イベントに対するイベント対処を優先的に実行することができる。
【０１１３】
また円グラフでは、内部の左上の領域（以下、これを単に左上領域と呼ぶ）に、対応する新着イベントに対して割り当てられたイベント種別候補のうちの最もセキュリティ重要度が高いイベント種別候補が対応付けられ、内部の右下の領域（以下、これを単に右下領域と呼ぶ）に、対応する新着イベントに対して割り当てられたイベント種別候補のうち、最もシステム重要度が高いイベント種別候補が対応付けられる。
【０１１４】
具体的には円グラフの左上領域は、最もセキュリティ重要度が高いイベント種別候補の当該セキュリティ重要度の値が「高」、「中」及び「低」の３つのカテゴリのうちのいずれのカテゴリに属するかに応じて、その値が属するカテゴリに対応する色に着色され又はそのカテゴリに応じた模様が付けられる。例えば、セキュリティ重要度が「高」のカテゴリに属する場合（例えば、かかる値が「80」以上）には左上領域が赤色に着色され、セキュリティ重要度が「中」のカテゴリに属する場合（例えば、かかる値が「30」〜「79」）の場合には左上領域が橙色に着色され、セキュリティ重要度が「低」のカテゴリに属する場合（例えば、かかる値が「29」以下）には左上領域が緑色に着色される。
【０１１５】
これと同様に、円グラフの右下領域も、最もシステム重要度が高いイベント種別候補の当該システム重要度の値が「高」、「中」及び「低」の３つのカテゴリのうちのいずれのカテゴリに属するかに応じて、その値が属するカテゴリに対応する色に着色され又はそのカテゴリに応じた模様が付けられる。
【０１１６】
なお図１４の例では、新着イベント分析結果画面６０の平面座標上にノード６２のみが表示されているが、実際には、図２について上述したレコメンド矢印４３も第１の実施の形態と同様に表示する形態としてもよい。
【０１１７】
次に、本実施の形態によるイベント対処支援機能に関連してイベント分析サーバ５０において実行される一連の処理（イベント対処業務支援処理）の具体的な処理内容について説明する。なお、本実施の形態のイベント対処業務支援処理の全体の流れは、図６について上述した第１の実施の形態によるイベント対処業務支援処理と同様であるため、ここでの説明は省略する。
【０１１８】
またイベント対処業務支援処理のステップＳ３（図６）で本実施の形態のノード描画プログラム５３（図１）により実行される描画処理の流れも、図７について上述した第１の実施の形態による描画処理の流れと各ステップの処理内容を除いて同様であるため、ここでの説明は省略する。
【０１１９】
また、ステップＳ１０の処理内容である座標決定処理（図８）の各ステップの流れも、ステップＳ２５の処理内容を除いて同様であるため、ここでの説明は省略する。
【０１２０】
ステップＳ２５の処理内容は本実施の形態においては、次のように置き換える。「中心座標は最大確信度システム種別候補のシステム重要度をx、最大確信度システム種別候補のセキュリティ重要度をyとし、半径をシステムであらかじめ定めてある定数を最大確信度システム種別候補の確信度で割った値とする。」これらの値は後述するステップＳ５７にて使用する。
【０１２１】
図１６は、図７の描画処理のステップＳ１１において本実施の形態のノード描画プログラム５３により実行されるノード描画処理の具体的な処理内容を示す。
【０１２２】
本実施の形態のノード描画プログラム５３は、描画処理のステップＳ１１に進むと、この図１６に示すノード描画処理を開始し、まず、図６のステップＳ１で選択した新着イベント（選択新着イベント）に割り当てた各イベント種別候補のイベントマスタ情報をデータベースサーバ１０のイベント種別リスト５２からそれぞれ取得する。さらにステップＳ５３で使用する最大システム重要度イベント種別候補と、ステップＳ５５で使用する最大セキュリティ重要度イベント種別候補とを初期化する（Ｓ５０）。
【０１２３】
続いて、ノード描画プログラム５３は、ステップＳ５０でイベントマスタ情報を読み出した各イベント種別候補の中からステップＳ５２以降が未処理のイベント種別候補を１つ選択する（Ｓ５１）。またノード描画プログラム５３は、「最大システム重要度イベント種別候補が初期化状態である、又は、ステップＳ５１で選択したイベント種別候補のシステム重要度がステップＳ５０で最大システム重要度イベント種別候補を初期化してから現在までにステップＳ５１で選択したイベント種別候補の中で最大である」か否かを判断する（Ｓ５２）。そしてノード描画プログラム５３は、この判断で否定結果を得るとステップＳ５４に進む。
【０１２４】
これに対して、ノード描画プログラム５３は、ステップＳ５２の判断で肯定結果を得ると、そのときステップＳ５１で選択したイベント種別候補のイベント種別ＩＤ及びシステム重要度を、システム重要度が最大のイベント種別候補（本発明においては、これを最大システム重要度イベント種別候補と呼ぶ）のシステム重要度として記憶する（Ｓ５３）。
【０１２５】
次いで、ノード描画プログラム５３は、「最大セキュリティ重要度イベント種別候補が初期化状態である、又は、ステップＳ５１で選択したイベント種別候補のセキュリティ重要度がステップＳ５０で最大セキュリティ重要度イベント種別候補を初期化してから現在までにステップＳ５１で選択したイベント種別候補の中で最大である」か否かを判断する（Ｓ５４）。そしてノード描画プログラム５３は、この判断で否定結果を得るとステップＳ５６に進む。
【０１２６】
これに対して、ノード描画プログラム５３は、ステップＳ５４の判断で肯定結果を得ると、そのときステップＳ５１で選択したイベント種別候補のイベント種別ＩＤ及びセキュリティ重要度を、セキュリティ重要度が最大のイベント種別候補（以下、これを最大セキュリティ重要度イベント種別候補と呼ぶ）のセキュリティ重要度として記憶する（Ｓ５５）。
【０１２７】
さらにノード描画プログラム５３は、選択新着イベントに割り当てられたすべてのイベント種別候補についてステップＳ５２〜ステップＳ５５の処理を実行し終えたか否かを判断する（Ｓ５６）。そしてノード描画プログラム５３は、この判断で否定結果を得るとステップＳ５１に戻り、この後、ステップＳ５１で選択するイベント種別候補を、選択新着イベントに割り当てられたイベント種別候補のうちのステップＳ５２以降が未処理の他のイベント種別候補に順次切り替えながら、ステップＳ５１〜ステップＳ５６の処理を繰り返す。
【０１２８】
そしてノード描画プログラム５３は、選択新着イベントに割当てられたすべてのイベント種別候補についてステップＳ５２〜ステップＳ５５の処理を実行し終えることによりステップＳ５６で肯定結果を得ると、新着イベント分析結果画面６０（図１４）の平面座標６１（図１４）に描画すべきそのときの選択新着イベントに対応するノード６２（図１４）の中心座標を、ステップＳ２５にて算出した値、即ちそのとき最大システム重要度イベント種別候補のシステム重要度として記憶している値をｘ座標、そのとき最大セキュリティ重要度イベント種別候補のセキュリティ重要度として記憶しているセキュリティ重要度をｙ座標とする座標位置に決定し、新着イベント分析結果画面６０（図１４）の平面座標６１（図１４）上に、上述した座標決定処理により決定した座標を中心座標とし、上述した座標決定処理により決定した半径の円で表現され、その円の右下半分はステップＳ５３で算出した最大システム重要度イベント種別候補のシステム重要度に対応した色またはパターン、その円の左上半分はステップＳ５５で算出した最大セキュリティ重要度イベント種別候補のセキュリティ重要度に対応した色またはパターンを用いて描画する（Ｓ５７）。そしてノード描画プログラム５３は、この後、このノード描画処理を終了して図７について上述した描画処理のステップＳ１１の次の「リターン」に戻る。
【０１２９】
なお、これ以降にイベント分析サーバ５１で実行される処理の内容は第１の実施の形態と同様であるため、ここでの説明は省略する。
【０１３０】
以上のように本実施の形態のイベント対処業務支援システム５０では、イベント分析サーバ５１がイベント管理サーバ４から与えられる新着イベントのイベント情報を分析し、分析結果に基づいて、対処すべき新着イベントのシステム観点からの重要度とセキュリティ観点からの重要度をユーザが一見して認識できるように、これら新着イベントにそれぞれ対応するノード６２を平面座標６１上に配置した新着イベント分析結果画面６０を生成してオペレータ端末に表示させる。
【０１３１】
従って、ペレータは、この新着イベント分析結果画面６０を参照することにより、どの新着イベントがシステム観点から重要でどの新着イベントがセキュリティ観点から重要かを直ちに認識することができ、適切に新着イベントに対処することができる。よって本実施の形態によれば、第１の実施の形態と同様に、未知の新着イベントに対するオペレータの対処業務の安全性を向上させ得る有用性の高いイベント対処業務支援システムを実現できる。
【０１３２】
（３）他の実施の形態
なお上述の第１及び第２の実施の形態においては、イベント種別リスト３１，５２、イベントテーブル３２、割当て結果テーブル３３及び学習モデルをデータベースサーバに配置するようにした場合について述べたが、本発明はこれに限らず、例えば、これらのデータをイベント分析サーバ６，５１に配置するようにしてもよい。
【０１３３】
また上述の第１及び第２の実施の形態においては、イベントテーブル３２や割当て結果テーブル３３における各新着イベントのエントリを、その新着イベントに対するオペレータによる対処が完了した後にそのイベントテーブル３２及び割当て結果テーブル３３から削除するようにした場合について述べたが、本発明はこれに限らず、対処済みの新着イベントのエントリをイベントテーブル３２や割当て結果テーブル３３から削除することなく、そのまま残しておくようにしてもよい。このようにすることにより、オペレータが過去の新着イベントを確認することができる。
【０１３４】
さらに上述の第１の実施の形態においては、ノード４２を図１１について上述したように描画するようにした場合について述べたが、本発明はこれに限らず、ノード４２を例えば図１７のように描画するようにしてもよい。具体的には、重要度「高」「中」「低」のそれぞれに対応するノード４２内の各領域を、そのノードに対応するイベント種別候補の数で分割したそれぞれのパイ型領域に、確信度に応じた半径で、重要度毎の色で、重要度が高い順に、確信度が高い順に描画する。
【０１３５】
さらに上述の第１及び第２の実施の形態においては、各既知イベントのイベント種別に対して予め設定された重要度（重要度、又はシステム重要度及びセキュリティ重要度）に基づいて新着イベントの重要度（候補重要度）を算出するようにした場合について述べたが、本発明はこれに限らず、これ以外の方法により新着イベントの重要度を算出するようにしてもよい。例えば、次式
【数３】
0006840204.tif 000004
のようにして新着イベントの重要度を算出するようにしてもよい。
【産業上の利用可能性】
【０１３６】
本発明は、管理対象に発生した新着イベントの対処業務を支援する業務支援システムに広く適用することができる。
【符号の説明】
【０１３７】
１，５０……イベント対処業務支援システム、２……イベント生成サーバ、４……イベント管理サーバ、６，５１……イベント分析サーバ、８……オペレータ端末、１０……データベースサーバ、２０……ＣＰＵ、２１，３０……記憶装置、２４……イベント種別候補割当てプログラム、２５，５３……ノード描画プログラム、３１，５２……イベント種別リスト、３２……イベントテーブル、３３……割当て結果テーブル、４０，６０……新着イベント分析結果画面、４１，６１……平面座標、４２，６２……ノード、４３……レコメンド矢印。
【要約】      （修正有）【課題】未知の新着イベントに対するオペレータの対処業務の安全性を向上させる有用性の高い業務支援システム及び方法を提案する。【解決手段】未知のイベントに関して、当該イベントのイベント種別を１つ以上推定してイベント種別候補とし、推定したイベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、第１のイベント種別候補群の各イベント種別候補における各確信度から第１の候補確信度を算出し、第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出し、各イベントに対応する図形４２を第１の候補確信度及び第１の候補重要度を用いて座標空間４１上に表現する。【選択図】図１９【図１】
0006840204.tif 000005
【図２】
0006840204.tif 000006
【図３】
0006840204.tif 000007
【図４】
0006840204.tif 000008
【図５】
0006840204.tif 000009
【図６】
0006840204.tif 000010
【図７】
0006840204.tif 000011
【図８】
0006840204.tif 000012
【図９】
0006840204.tif 000013
【図１０】
0006840204.tif 000014
【図１１】
0006840204.tif 000015
【図１２】
0006840204.tif 000016
【図１３】
0006840204.tif 000017
【図１４】
0006840204.tif 000018
【図１５】
0006840204.tif 000019
【図１６】
0006840204.tif 000020
【図１７】
0006840204.tif 000021
【図１８】
0006840204.tif 000022
【図１９】
0006840204.tif 000023