JP2008009850A - 履歴管理装置及び履歴管理方法及び履歴管理プログラム - Google Patents

履歴管理装置及び履歴管理方法及び履歴管理プログラム Download PDF

Info

Publication number
JP2008009850A
JP2008009850A JP2006181415A JP2006181415A JP2008009850A JP 2008009850 A JP2008009850 A JP 2008009850A JP 2006181415 A JP2006181415 A JP 2006181415A JP 2006181415 A JP2006181415 A JP 2006181415A JP 2008009850 A JP2008009850 A JP 2008009850A
Authority
JP
Japan
Prior art keywords
information
management
history
input
processing device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2006181415A
Other languages
English (en)
Inventor
Tatsuya Tsurukawa
達也 鶴川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Priority to JP2006181415A priority Critical patent/JP2008009850A/ja
Publication of JP2008009850A publication Critical patent/JP2008009850A/ja
Pending legal-status Critical Current

Links

Images

Landscapes

  • Debugging And Monitoring (AREA)

Abstract

【課題】形式などが異なる膨大な量のログのなかから、目的とするログを迅速・容易に発見することができるように、ログを管理する。
【解決手段】履歴加工部１２２は、発生履歴情報６４０（ログ）を入力し、発生履歴情報６４０に含まれる発生時刻情報６４１と関与対象情報６４２とに基づいて、関与対象情報６４２が示す対象を一意に識別する管理識別情報６５３を取得する。履歴加工部１２２は、取得した管理識別情報６５３を発生履歴情報６４０に付加して、加工済履歴情報６５０を生成し、出力する。
【選択図】図７

Description

この発明は、膨大な量のログなどを収集管理する履歴管理装置に関する。
企業情報システムにおいて、システムを構成する様々な機器が出力するログの収集・保存が行われている。
収集保存されたログは、例えば、情報漏洩などのセキュリティに関する問題が発生した場合に、その原因を究明するために利用される。あるいは、システムが正しく運用されていることを客観的に示すためにも利用される。
特開２００２−７３９９号公報 小林雅一「プライバシー・ゼロ 社員監視時代」、光文社、２００５年６月３０日、１２２〜１２３ページ
収集保存されるログは、その量が膨大であり、情報漏洩などの問題が発生したことが発覚するには時間がかかることから、長期間にわたるログを保存しておく必要がある。
また、ログは、出力した機器により形式が異なり、これらを一括して管理することを難しくしている。
この発明は、例えば、上記のような課題を解決するためになされたものであり、過去何年・何十年にもわたる膨大な量のログのなかから、必要なログを迅速・容易に発見できるようにすることを目的とする。
この発明にかかる履歴管理装置は、
情報を処理する処理装置と、
情報を記憶する記憶装置と、
上記処理装置を用いて、対象を識別する情報である管理識別情報と、期間を示す情報である期間情報と、上記期間情報によって示される期間において上記対象を示す情報である対象識別情報とを含む情報である管理情報を上記記憶装置に記憶する管理記憶部と、
上記処理装置を用いて、時刻を示す情報である時刻情報と、対象を示す情報である対象情報とを入力し、上記処理装置を用いて、上記管理記憶部が記憶した管理情報のなかから、入力した上記対象情報と、上記管理情報に含まれる対象識別情報とが一致し、かつ、入力した上記時刻情報によって示される時刻が上記管理情報に含まれる期間情報によって示される期間内である管理情報を抽出し、上記処理装置を用いて、抽出した上記管理情報に含まれる管理識別情報を出力する管理検索部と、
上記処理装置を用いて、事象が発生した時刻である発生時刻を示す情報である発生時刻情報と、上記事象の発生に関与した対象である関与対象を示す情報である関与対象情報とを含む情報である発生履歴情報を入力し、上記処理装置を用いて、入力した上記発生履歴情報に含まれる発生時刻情報によって示される発生時刻を示す情報を、上記管理検索部が入力する時刻情報として出力し、入力した上記発生履歴情報に含まれる関与対象情報を上記管理検索部が入力する対象情報として出力し、上記処理装置を用いて、上記管理検索部が出力した管理識別情報を入力し、上記処理装置を用いて、入力した上記発生履歴情報に含まれる情報と、入力した上記管理識別情報とを含む情報である加工済履歴情報を出力する履歴加工部と、
を有することを特徴とする。
この発明にかかる履歴管理装置によれば、履歴加工部１２２が、発生履歴情報６４０に含まれる関与対象情報６４２が示す対象を識別する管理識別情報６３１を含む加工済履歴情報６５０を出力するので、出力された加工済履歴情報６５０を蓄積しておけば、あとで検索する必要が生じた場合に、膨大な加工済履歴情報６５０のなかから、目的とする加工済履歴情報６５０を素早く発見することができるという効果を奏する。
実施の形態１．
実施の形態１を、図１〜図７を用いて説明する。
図１は、この実施の形態における履歴管理装置１００の外観の一例を示す図である。
図１において、履歴管理装置１００は、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。
システムユニット９１０は、コンピュータであり、ファクシミリ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク９４２（ＬＡＮ）、ゲートウェイ９４１を介してインターネット９４０に接続されている。
図２は、この実施の形態における履歴管理装置１００のハードウェア資源の一例を示す図である。
図２において、履歴管理装置１００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信ボード９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。
通信ボード９１５は、ファクシミリ機９３２、電話器９３１、ＬＡＮ９４２等に接続されている。通信ボード９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。インターネット９４０或いはＩＳＤＮ等のＷＡＮに接続されている場合、ゲートウェイ９４１は不用となる。
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」、「〜手段」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明する情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
また、以下に述べる実施の形態の説明において「〜部」、「〜手段」として説明するものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」、「〜手段」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」、「〜手段」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」、「〜手段」の手順や方法をコンピュータに実行させるものである。
図３は、この実施の形態における履歴管理装置１００の機能ブロックの構成の一例を示すブロック構成図である。
履歴管理装置１００は、ログ管理装置１２０、ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）管理装置１３０、管理端末装置１４０を有する。
履歴管理装置１００は、監視対象機器５００から発生履歴情報を収集し、加工して蓄積し、入力した検索条件に合致するものを表示する。
ログ管理装置１２０は、監視対象機器５００から発生履歴情報を収集し、加工して蓄積する。
ＩＤ管理装置１３０は、ログ管理装置１２０が発生履歴情報を加工するために必要な識別情報を管理する。
管理端末装置１４０は、検索条件を入力し、ログ管理装置１２０が検索した結果を表示する。なお、管理端末装置１４０は、履歴管理装置１００の一部でなくてもよい。
ログ管理装置１２０は、履歴収集部１２１、履歴加工部１２２、履歴蓄積部１２３、履歴検索部１２４を有する。
履歴収集部１２１は、ＣＰＵ９１１などの処理装置を用いて、監視対象機器５００から通知される発生履歴情報を収集する。
ここで、発生履歴情報とは、監視対象機器５００において発生した事象を記録した情報である。例えば、監視対象機器５００が出力したログファイルに含まれるログ情報などであり、監視対象機器５００を操作した場合、監視対象機器５００が何かを検出した場合、監視対象機器５００の状態が変化した場合など、様々な事象が発生した場合に発生履歴情報が生成される。
監視対象機器５００は、発生履歴情報を生成する都度、履歴収集部１２１に通知してもよいし、生成した発生履歴情報を蓄積しておき、履歴収集部１２１から発生履歴情報の通知を要求する履歴通知要求を通知された場合に、まとめて履歴収集部１２１に通知することとしてもよい。
履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、履歴収集部１２１が収集した発生履歴情報を分析し、検索しやすいように加工して、加工済履歴情報を生成する。
履歴蓄積部１２３は、ＣＰＵ９１１などの処理装置を用いて、履歴加工部１２２が加工した加工済履歴情報を、磁気ディスク装置９２０などの記憶装置に記憶する。
履歴検索部１２４は、ＣＰＵ９１１などの処理装置を用いて、管理端末装置１４０から通知された検索条件に基づいて、履歴蓄積部１２３が記憶した加工済履歴情報を検索し、検索結果を管理端末装置１４０に通知する。
ＩＤ管理装置１３０は、管理記憶部１３１、管理検索部１３２を有する。
管理記憶部１３１は、ＣＰＵ９１１などの処理装置を用いて、管理情報を磁気ディスク装置９２０などの記憶装置に記憶する。
ここで、管理情報とは、発生履歴情報に含まれる識別情報の対応関係などを示す情報である。管理情報は、履歴加工部１２２が発生履歴情報を加工する際に利用される。
管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、管理記憶部１３１が記憶した管理情報のなかから、履歴加工部１２２から通知された条件に合致する管理情報を検索し、検索結果を履歴加工部１２２に通知する。
管理検索部１３２は、また、ＣＰＵ９１１などの処理装置を用いて、管理端末装置１４０から通知された検索条件に基づいて、管理記憶部１３１が記憶した管理情報を検索し、検索結果を管理端末装置１４０に通知する。
管理端末装置１４０は、検索条件入力部１４１、検索結果表示部１４２を有する。
検索条件入力部１４１は、ＣＰＵ９１１などの処理装置を用いて、検索条件をキーボード９０２などの入力装置から入力し、入力した検索条件を示す情報を、履歴検索部１２４や管理検索部１３２に通知する。
検索結果表示部１４２は、ＣＰＵ９１１などの処理装置を用いて、履歴検索部１２４や管理検索部１３２が通知する検索結果を取得し、ＣＲＴなどの表示装置９０１やその他の出力装置に表示し、あるいは出力する。
管理端末装置１４０は、履歴照会部の一例である。
次に、履歴管理装置１００のうち、ＩＤ管理装置１３０について詳しく説明する。
図４は、この実施の形態におけるＩＤ管理装置１３０の詳細の一例を示す詳細ブロック図である。
管理記憶部１３１が記憶した管理情報６１０は、管理識別情報６１１、期間情報６１２、対象識別情報６１３などを含む情報である。
管理識別情報６１１は、対象を一意に識別する情報である。ここで、「一意に」とは、対象と一対一に対応した識別情報であることを意味する。すなわち、対象を指定すれば、対応する管理識別情報６１１が１つに定まり、逆に管理識別情報６１１を指定すれば、対応する対象が１つに定まる。また、時間が経過しても、対象と管理識別情報６１１との間の対応関係が変化することはない。
対象識別情報６１３は、対象を示す情報である。対象識別情報６１３は、管理識別情報６１１と同様、対象を識別することができる識別情報であるが、管理識別情報６１１と異なり、対象と一対一の対応関係にはない。したがって、１つの対象について、複数の対象識別情報６１３が存在してもよい。また、時間の経過により、対象と対象識別情報６１３との間の対応関係が変化する可能性があり、同じ対象識別情報６１３であっても、異なる対象を示す場合がある。
例えば、コンピュータにログオンするためのユーザ名は、そのユーザを示す対象識別情報６１３である。しかし、同一のユーザが、別のコンピュータにログオンするため、異なるユーザ名を有している場合もあるので、管理識別情報６１１ではない。
また、電子メールを送受信するためのメールアドレスも、その利用者を示す対象識別情報６１３である。
また、ネットワークに接続したコンピュータのマシン名あるいはＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスは、そのコンピュータを示す対象識別情報６１３である。しかし、ネットワークの構成を変更した場合、マシン名やＩＰアドレスを付け替える可能性があるので、管理識別情報６１１ではない。
従業員を管理するために付与する従業員コードや、会社の資産を管理するために付与する資産管理コードも、対象識別情報６１３である。なお、従業員コードや資産管理コードは、対象と一対一に対応しており、一度付与したら通常は変更しないので、管理識別情報６１１として用いることができる。
期間情報６１２は、対象識別情報６１３が示す対象が、管理識別情報６１１によって識別される対象と同一である期間を示す情報である。
期間情報６１２は、例えば、その期間の開始時刻を示す期間開始時刻情報と、その期間の終了時刻を示す期間終了時刻情報とを有し、期間開始時刻情報によって示される開始時刻から期間終了時刻情報によって示される終了時刻までの期間を示す。なお、ここで「開始時刻」「終了時刻」には、１日のなかのいわゆる「時刻」だけでなく、日付も含まれるものとする。
例えば、コンピュータのＩＰアドレスが対象識別情報６１３である場合、そのコンピュータをネットワークに接続するなどして、そのＩＰアドレスで運用することを開始した時刻から、例えばネットワークの構成を変更するなどして、そのコンピュータをそのＩＰアドレスで運用することを終了した時刻までの期間を示す情報を、期間情報６１２とする。
なお、現在もそのＩＰアドレスで運用中であれば、期間終了時刻情報を空欄とするなどして、その期間の終了時刻を指定しなくてもよい。
管理記憶部１３１は、管理情報６１０を複数記憶する。１つの管理情報６１０に含まれる管理識別情報６１１、期間情報６１２、対象識別情報６１３は、互いに対応づけられ、１つの管理情報６１０は、期間情報６１２が示す期間内において、対象識別情報６１３が示す対象が、管理識別情報６１１によって識別される対象と同一であることを示す。
１つの対象は複数の対象識別情報６１３を有する場合があるので、同じ管理識別情報６１１を含み、対象識別情報６１３が異なる管理情報６１０が複数ある場合がある。この場合、期間情報６１２が示す期間は、互いに重複していてもよいし、重複していなくてもよい。
また、時間の経過により、対象識別情報６１３が示す対象が変更される場合があるので、同じ対象識別情報６１３を含み、管理識別情報６１１が異なる管理情報６１０が複数ある場合もある。ただし、この場合は、期間情報６１２が示す期間が重複しないものとする。ある時刻において対象識別情報６１３が示す対象は、１つに定まる必要があるからである。
管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、時刻情報６２１と対象情報６２２とを入力し、管理記憶部１３１が記憶した管理情報６１０を検索して、入力した時刻情報６２１と対象情報６２２とに対応する管理識別情報６３１を出力する。
ここで、時刻情報６２１とは、時刻を示す情報であり、対象情報６２２とは、ユーザやコンピュータなどの対象を示す情報である。
管理検索部１３２は、時刻情報６２１が示す時刻において、対象情報６２２が示す対象を識別する管理識別情報６３１を出力する。
図５は、この実施の形態における管理検索部１３２が管理情報６１０を検索する管理検索処理の流れの一例を示すフローチャート図である。
管理検索処理は、管理情報抽出工程の一例である。
なお、管理記憶部１３１が管理情報６１０を記憶する管理記憶工程は、管理検索処理の開始前に行われ、管理記憶部１３１が管理情報６１０を記憶しているものとする。
Ｓ００１において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、時刻情報６２１と対象情報６２２とを入力する。
Ｓ００２において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、管理記憶部１３１が記憶した管理情報６１０を、順番に一つずつ取得する。
Ｓ００３において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ００２で管理情報６１０を取得できたか否かを判断する。
管理情報６１０を取得できた場合には、Ｓ００４へ進む。
管理記憶部１３１が記憶した管理情報６１０をすべて取得してしまい、これ以上取得できる管理情報６１０がない場合には、Ｓ００９へ進む。
Ｓ００４において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ００２で取得した管理情報６１０に含まれる対象識別情報６１３と、Ｓ００１で入力した対象情報６２２とを比較する。
Ｓ００５において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ００４で比較した結果、対象識別情報６１３と対象情報６２２とが一致すると判断した場合には、Ｓ００６へ進む。
対象識別情報６１３と対象情報６２２とが一致しないと判断した場合には、Ｓ００２に戻る。
Ｓ００６において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ００１で取得した時刻情報６２１が示す時刻と、Ｓ００２で取得した管理情報６１０に含まれる期間情報６１２が示す期間とを比較する。
Ｓ００７において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ００６で比較した結果、時刻情報６２１が示す時刻が期間情報６１２が示す期間内であると判断した場合には、Ｓ００８へ進む。
期間内であると判断した場合には、Ｓ００２に戻る。
Ｓ００８において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ００２で取得した管理情報６１０に含まれる管理識別情報６１１を、管理識別情報６３１として出力する。その後、管理検索処理を終了する。
Ｓ００９において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、該当なし情報６３９を出力する。その後、管理検索処理を終了する。
ここで、該当なし情報６３９とは、管理記憶部１３１が記憶した管理情報６１０のなかに、Ｓ００１で入力した時刻情報６２１が示す時刻において、Ｓ００１で入力した対象情報６２２が示す対象を識別する管理識別情報６１１を含む管理情報６１０が存在しないことを示す情報である。例えば、管理識別情報６１１として使用しないデータ（例えば「０」）を出力して、通常の出力である管理識別情報６３１と区別できるようにした情報である。
なお、ここでの説明では、リニア検索方式により管理検索処理を行っているが、二分木方式やハッシュ方式など、他の検索方式を用いてもよい。
次に、履歴管理装置１００のうち、履歴加工部１２２について詳しく説明する。
図６は、この実施の形態における履歴加工部１２２の詳細の一例を示す詳細ブロック図である。
履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、発生履歴情報６４０を入力し、入力した発生履歴情報６４０を加工して、加工済履歴情報６５０を生成し、生成した加工済履歴情報６５０を出力する。
履歴加工部１２２が入力する発生履歴情報６４０には、発生時刻情報６４１と関与対象情報６４２とが含まれている。
発生時刻情報６４１は、発生履歴情報６４０が示す事象の発生した時刻を示す情報である。
関与対象情報６４２は、発生履歴情報６４０が示す事象に関与した対象を示す情報である。
例えば、ある時刻に、あるユーザが、監視対象機器５００であるコンピュータにログオンしたとする。ログオンされたコンピュータは、これを事象の発生と認識し、発生履歴情報６４０を生成する。なお、ログオンされたコンピュータではなく、ログオンされたコンピュータの動作を監視している他のコンピュータが、発生履歴情報６４０を生成してもよい。
この場合、生成された発生履歴情報６４０には、そのユーザがコンピュータにログオンした時刻を示す発生時刻情報６４１が含まれる。
また、関与対象情報６４２として、そのユーザを示すユーザ名などの情報や、そのコンピュータを示すマシン名などの情報が含まれる。
あるいは、ある時刻に、ある従業員が、監視対象機器５００である入退室管理装置にＩＤカードを挿入し、部屋の扉を開けたとする。入退室管理装置は、これを事象の発生と認識し、発生履歴情報６４０を生成する。
この場合、生成された発生履歴情報６４０には、その従業員が入退室管理装置にＩＤカードを挿入した時刻を示す発生時刻情報６４１が含まれる。
また、関与対象情報６４２として、その従業員を示すＩＤカード番号などの情報や、開けられた扉を示す扉番号などの情報が含まれる。
生成された発生履歴情報６４０は、履歴収集部１２１が収集し、履歴加工部１２２に入力される。
関与対象情報６４２は、管理記憶部１３１が記憶した管理情報６１０に含まれる対象識別情報６１３と同一の情報であり、ユーザやコンピュータなどの対象を示す情報である。
関与対象情報６４２は、その事象が発生した時点においてその対象を示す情報であり、時間の経過によって、同一の関与対象情報６４２が示す対象が変化する場合がある。
また、一人の利用者がＩＤカードを使って部屋に入り、部屋のなかのコンピュータにログオンした場合、同じ利用者が関与した事象であるにもかかわらず、一方ではＩＤカード番号を、他方ではユーザ名を関与対象情報６４２として含む発生履歴情報６４０が生成される。
このように、発生履歴情報６４０に含まれる関与対象情報６４２は、その事象が発生した時刻や、その発生履歴情報６４０を生成した監視対象機器５００によって異なり、統一されていない。
履歴加工部１２２は、このようにバラバラの関与対象情報６４２を含む発生履歴情報６４０を加工して、統一された管理識別情報６５３を含む加工済履歴情報６５０を生成する。
これにより、なにか問題が発生して、履歴蓄積部１２３が記憶した加工済履歴情報６５０を検索する必要が生じた場合、膨大な履歴情報のなかから、目的とする履歴情報を素早く発見することができる。
そのため、履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、入力した発生履歴情報６４０に含まれる発生時刻情報６４１と関与対象情報６４２とを取得し、管理検索部１３２が入力する時刻情報６２１と対象情報６２２として、管理検索部１３２に対して出力する。管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、図５で説明した管理検索処理を行い、入力した発生時刻情報６４１と関与対象情報６４２とから、対応する管理識別情報６３１を求めて出力する。履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、管理検索部１３２が出力した管理識別情報６３１を取得し、発生履歴情報６４０に含まれる発生時刻情報６４１や関与対象情報６４２などの情報と合わせて、加工済履歴情報６５０を生成し、出力する。
図７は、この実施の形態における履歴加工部１２２が履歴情報を加工する履歴加工処理の流れの一例を示すフローチャート図である。
Ｓ０１１（発生履歴入力工程）において、履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、発生履歴情報６４０を入力する。なお、この例では、履歴収集部１２１が監視対象機器５００から収集した発生履歴情報６４０を出力し、履歴収集部１２１が出力した発生履歴情報６４０を入力する構成としているが、監視対象機器５００が出力した発生履歴情報６４０を、履歴加工部１２２が直接入力する構成としてもよい。
Ｓ０１２において、履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０１１で入力した発生履歴情報６４０を解析し、入力した発生履歴情報６４０に含まれる発生時刻情報６４１と関与対象情報６４２とを取得する。
Ｓ０１３において、履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０１２で取得した発生時刻情報６４１と関与対象情報６４２とを、管理検索部１３２が入力する時刻情報６２１と対象情報６２２として、管理検索部１３２に対して出力する。
なお、発生履歴情報６４０に含まれる発生時刻情報６４１は、グリニッジ標準時で時刻を示す情報であったり、ローカル時で時刻を示す情報であったり、時分までの情報であったり、ミリ秒単位の情報であったり、生成した監視対象機器５００によって異なる形式の発生時刻情報６４１である可能性がある。履歴加工部１２２は、これら異なる形式の発生時刻情報６４１である場合には、その発生時刻情報６４１によって示される時刻を示す、統一された形式の時刻情報６２１を生成し、管理検索部１３２に対して出力する。
なお、最初から形式の統一された発生時刻情報６４１を含む発生履歴情報６４０を履歴収集部１２１が収集する場合や、履歴収集部１２１が形式を統一する場合には、履歴加工部１２２は、入力した発生時刻情報６４１をそのまま管理検索部１３２に対して出力してもよい。
Ｓ０１４において、履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０１３での出力した情報を入力した管理検索部１３２が管理検索処理をした結果を入力する。履歴加工部１２２が入力する管理検索処理の結果は、管理識別情報６３１または該当なし情報６３９である。
Ｓ０１５において、履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０１４で入力した情報が管理識別情報６３１であるか該当なし情報６３９であるかを判断する。
管理識別情報６３１であると判断した場合には、Ｓ０１６へ進む。
該当なし情報６３９であると判断した場合には、Ｓ０１７へ進む。
Ｓ０１６（履歴加工工程）において、履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０１４で入力した管理識別情報６３１を、管理識別情報６５３として含む加工済履歴情報６５０を生成し、出力する。
履歴加工部１２２が出力する加工済履歴情報６５０は、Ｓ０１１で入力した発生履歴情報６４０に含まれるすべての情報を含み、更に管理識別情報６５３を含む情報であってもよい。あるいは、Ｓ０１１で入力した発生履歴情報６４０に含まれる関与対象情報６４２を、管理識別情報６５３で置き換えた情報であってもよい。
Ｓ０１７において、履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、異常発生情報６５９を含む加工済履歴情報６５０を生成し、出力する。
異常発生情報６５９とは、異常発生を示す情報である。
例えば、従業員が退職して、その従業員が使用していたユーザＩＤが抹消された場合、管理記憶部１３１が記憶する管理情報６１０に含まれる期間情報６１２は、そのユーザＩＤが抹消された時刻を終了時刻とする情報に書き換えられている。
しかし、一部の監視対象機器５００において、そのユーザＩＤを抹消するのを忘れてしまうと、抹消されたはずのユーザＩＤで、その監視対象機器５００を操作することができる。
その場合、そのユーザＩＤでその監視対象機器５００を操作すると、監視対象機器５００は、そのユーザＩＤを関与対象情報６４２として含む発生履歴情報６４０を生成する。
履歴加工部１２２がそのようにして生成された発生履歴情報６４０を加工しようとすると、その監視対象機器５００が操作された時刻は、そのユーザＩＤについての管理情報６１０に含まれる期間情報６１２が示す期間外の時刻であるから、管理検索部１３２は、該当なし情報６３９を出力する。
これにより、ユーザＩＤの抹消忘れという異常事態が発生していることがわかる。そこで、履歴加工部１２２は、異常発生を示す異常発生情報６５９を含む加工済履歴情報６５０を出力する。
あるいは、利用者が勝手にユーザＩＤを生成して監視対象機器５００を使用した場合も、そのユーザＩＤは管理記憶部１３１が記憶した管理情報６１０に反映されていないので、管理検索部１３２は、該当なし情報６３９を出力する。これにより、不正使用という異常事態が発生していることがわかるので、履歴加工部１２２は、異常発生を示す異常発生情報６５９を含む加工済履歴情報６５０を出力する。
のちになんらかの問題が発生し、履歴蓄積部１２３が記憶した加工済履歴情報６５０を調べる必要が生じた場合、異常発生情報６５９を含む加工済履歴情報６５０を検索すれば、問題発生の原因を突き止めることができる。
なお、異常発生情報６５９を含む加工済履歴情報６５０を出力するにとどめ、なんらかの問題が発生しない限りは放置する構成としてもよい。あるいは、ＣＰＵ９１１などの処理装置を用いて、異常発生を示す警告をＣＲＴなどの表示装置９０１やその他の出力装置に出力する警告出力部を設け、履歴加工部１２２が出力した加工済履歴情報６５０を警告出力部が入力して、入力した加工済履歴情報６５０に異常発生情報６５９が含まれているか否かを判断し、異常発生情報６５９が含まれていると判断した場合には、警告出力部が警告を出力する構成としてもよい。そうすれば、問題が発生する前に異常事態を把握し、なんらかの対処をすることができるので、好ましい。
この実施の形態における履歴管理装置１００は、情報を処理するＣＰＵ９１１などの処理装置と、情報を記憶する磁気ディスク装置９２０などの記憶装置と、ＣＰＵ９１１などの処理装置を用いて、対象を識別する情報である管理識別情報６１１と、期間を示す情報である期間情報６１２と、期間情報６１２によって示される期間において対象を示す情報である対象識別情報６１３とを含む情報である管理情報６１０を磁気ディスク装置９２０などの記憶装置に記憶する管理記憶部１３１と、ＣＰＵ９１１などの処理装置を用いて、時刻を示す情報である時刻情報６２１と、対象を示す情報である対象情報６２２とを入力し、ＣＰＵ９１１などの処理装置を用いて、管理記憶部１３１が記憶した管理情報のなかから、入力した対象情報６２２と、管理情報６１０に含まれる対象識別情報６１３とが一致し、かつ、入力した時刻情報６２１によって示される時刻が管理情報６１０に含まれる期間情報６１２によって示される期間内である管理情報６１０を抽出し、ＣＰＵ９１１などの処理装置を用いて、抽出した管理情報６１０に含まれる管理識別情報６１１を出力する管理検索部１３２と、ＣＰＵ９１１などの処理装置を用いて、事象が発生した時刻である発生時刻を示す情報である発生時刻情報６４１と、上記事象の発生に関与した対象である関与対象を示す情報である関与対象情報６４２とを含む情報である発生履歴情報６４０を入力し、ＣＰＵ９１１などの処理装置を用いて、入力した発生履歴情報６４０に含まれる発生時刻情報６４１によって示される発生時刻を示す情報を、管理検索部１３２が入力する時刻情報６２１として出力し、入力した発生履歴情報６４０に含まれる関与対象情報６４２を管理検索部１３２が入力する対象情報６２２として出力し、ＣＰＵ９１１などの処理装置を用いて、管理検索部１３２が出力した管理識別情報６３１を入力し、ＣＰＵ９１１などの処理装置を用いて、入力した発生履歴情報６４０に含まれる情報と、入力した管理識別情報６３１とを含む情報である加工済履歴情報６５０を出力する履歴加工部１２２とを有することを特徴とする。
この実施の形態における履歴管理装置１００によれば、履歴加工部１２２が、発生履歴情報６４０に含まれる関与対象情報６４２が示す対象を識別する管理識別情報６３１を含む加工済履歴情報６５０を出力するので、出力された加工済履歴情報６５０を蓄積しておけば、あとで検索する必要が生じた場合に、膨大な加工済履歴情報６５０のなかから、目的とする加工済履歴情報６５０を素早く発見することができるという効果を奏する。
この実施の形態における履歴管理装置１００は、更に、ＣＰＵ９１１などの処理装置を用いて、履歴加工部１２２が出力した加工済履歴情報６５０を入力し、ＣＰＵ９１１などの処理装置を用いて、入力した加工済履歴情報６５０を磁気ディスク装置９２０などの記憶装置に記憶する履歴蓄積部１２３と、ＣＰＵ９１１などの処理装置を用いて、加工済履歴情報６５０に含まれる情報についての検索条件を示す情報である履歴検索条件情報を入力し、ＣＰＵ９１１などの処理装置を用いて、履歴蓄積部１２３が記憶した加工済履歴情報６５０のなかから、入力した履歴検索条件情報によって示される検索条件に合致する加工済履歴情報６５０を抽出し、ＣＰＵ９１１などの処理装置を用いて、抽出した加工済履歴情報６５０に含まれる情報を出力することを特徴とする。
この実施の形態における履歴管理装置１００によれば、履歴蓄積部１２３が加工済履歴情報６５０を記憶しておき、あとで必要になった場合に、履歴検索部１２４が加工済履歴情報６５０を検索して必要な加工済履歴情報６５０を抽出するので、のちに問題が発生した場合などに、速やかにその原因を解明することができるという効果を奏する。
この実施の形態における履歴管理装置１００は、履歴蓄積部１２３が、磁気ディスク装置９２０などの記憶装置を用いて、履歴加工部１２２が入力した発生履歴情報と、管理識別情報とのみを含む加工済履歴情報を記憶し、管理識別情報によって識別される対象の属性を示す情報を記憶しないことを特徴とする。
この実施の形態における履歴管理装置１００によれば、履歴蓄積部１２３は、履歴検索に必要な情報のみを記憶するので、履歴蓄積部１２３が記憶する加工済履歴情報の情報量を抑えることができ、履歴を保存するために必要な記憶装置の記憶容量が小さくて済み、履歴検索も速いという効果を奏する。
また、履歴検索結果を表示する際には、対象の属性を示す情報を付加して表示等するので、利用者が理解しやすいという効果を奏する。
この実施の形態における履歴管理装置１００は、管理検索部１３２が、更に、ＣＰＵ９１１などの処理装置を用いて、管理記憶部１３１が記憶した管理情報６１０のなかから、抽出できる管理情報が存在しない場合に、該当する管理情報６１０がないことを示す情報である該当なし情報６３９を出力し、履歴加工部１２２が、ＣＰＵ９１１などの処理装置を用いて、管理検索部１３２が該当なし情報６３９を出力した場合に、異常発生を示す異常発生情報６５９を更に含む加工済履歴情報６５０を出力することを特徴とする。
この実施の形態の履歴管理装置１００によれば、履歴加工部１２２が、入力した発生履歴情報６４０に含まれる関与対象情報６４２に該当する管理情報６１０がない場合に、異常発生情報６５９を含む加工済履歴情報６５０を出力するので、のちになんらかの問題が発生して加工済履歴情報６５０を検索する必要が生じた場合に、異常発生情報６５９を含む加工済履歴情報６５０を検索することで、問題発生の原因を突き止めることができるという効果を奏する。
この実施の形態における履歴管理装置１００は、更に、情報を出力するＣＲＴなどの表示装置９０１やその他の出力装置と、ＣＰＵ９１１などの処理装置を用いて、履歴加工部１２２が異常発生情報６５９を含む加工済履歴情報６５０を出力した場合に、異常発生を示す警告をＣＲＴなどの表示装置９０１やその他の出力装置に出力する警告出力部とを有することを特徴とする。
この実施の形態の履歴管理装置１００によれば、履歴加工部１２２が異常発生情報６５９を含む加工済履歴情報６５０を出力した場合に、警告出力部が警告を出力するので、問題が発生する前に異常事態に対処することができ、その異常に基づく問題の発生を未然に防ぐことができるという効果を奏する。
なお、警告出力部がない構成であっても、不正行為をのちに見つけようと思ったら見つけられるというだけで、不正行為を抑止する効果を期待することができる。そのほうが、常に監視されているというプレッシャーを従業員に与えなくて済むので、好ましい場合もある。
この実施の形態における履歴管理装置１００が履歴情報を管理する履歴管理方法は、ＣＰＵ９１１などの処理装置が、対象を識別する情報である管理識別情報６１１と、期間を示す情報である期間情報６１２と、期間情報６１２によって示される期間においてその対象を示す情報である対象識別情報６１３とを含む情報である管理情報６１０を磁気ディスク装置９２０などの記憶装置に記憶する管理記憶工程と、ＣＰＵ９１１などの処理装置が、事象が発生した時刻である発生時刻を示す情報である発生時刻情報６４１と、上記事象の発生に関与した対象である関与対象を示す情報である関与対象情報６４２とを含む情報である発生履歴情報６４０を入力する発生履歴入力工程と、ＣＰＵ９１１などの処理装置が、発生履歴入力工程で入力した発生履歴情報６４０に含まれる発生時刻情報６４１によって示される発生時刻を、時刻情報とし、発生履歴入力工程で入力した発生履歴情報６４０に含まれる関与対象情報６４２を、対象情報として、管理記憶工程で記憶した管理情報６１０のなかから、対象情報と、管理情報６１０に含まれる対象識別情報６１３とが一致し、かつ、時刻情報によって示される時刻が管理情報６１０に含まれる期間情報６１２によって示される期間内である管理情報６１０を抽出する管理情報抽出工程と、ＣＰＵ９１１などの処理装置が、発生履歴入力工程で入力した発生履歴情報６４０に含まれる情報と、管理情報抽出工程で抽出した管理情報６１０に含まれる管理識別情報６１１とを含む情報である加工済履歴情報６５０を出力する履歴加工工程とを有することを特徴とする。
この実施の形態における履歴管理装置１００が履歴情報を管理する履歴管理方法によれば、発生履歴入力工程で入力した発生履歴情報６４０に含まれる対象識別情報６１３に対応する管理情報６１０を管理情報抽出工程で抽出し、抽出した管理情報６１０に含まれる管理識別情報６１１を含む加工済履歴情報６５０を出力するので、加工済履歴情報６５０を蓄積しておけば、あとで検索する必要が生じた場合に、膨大な加工済履歴情報６５０のなかから、目的とする加工済履歴情報６５０を素早く見つけることができるという効果を奏する。
この実施の形態における履歴管理装置１００は、情報を処理するＣＰＵ９１１などの処理装置と、情報を記憶する磁気ディスク装置９２０などの記憶装置とを有するコンピュータを上述した履歴管理装置１００として機能させる履歴管理プログラムを、コンピュータに実行させることにより実現することができる。
この実施の形態における履歴管理プログラムによれば、履歴加工部１２２が、発生履歴情報６４０に含まれる関与対象情報６４２が示す対象を識別する管理識別情報６３１を含む加工済履歴情報６５０を出力する履歴管理装置１００としてコンピュータを機能させるので、出力された加工済履歴情報６５０を蓄積しておけば、あとで検索する必要が生じた場合に、膨大な加工済履歴情報６５０のなかから、目的とする加工済履歴情報６５０を素早く発見することができるという効果を奏する。
この実施の形態における履歴管理装置１００は、例えばログなどの履歴情報を加工するものであり、ログ加工装置とも呼ばれる。
この実施の形態におけるログ加工装置は、ログごとに異なる、個人や機器を特定する個別ＩＤ（ログオンアカウントやマシン名など）（対象識別情報６１３）を、ログに依存せず個人や機器を一意に特定する統合ＩＤ（管理識別情報６１１）を導入し、それと紐付けて管理し、さらにログに含まれる、ログごとの個別ＩＤを、統合ＩＤで置き換えることを特徴とする。
この実施の形態におけるログ加工装置は、個別ＩＤを、現在使われているＩＤのみならず過去に使われていたＩＤについても、その有効期間とともに管理し、個別ＩＤから統合ＩＤを照会する際に、時刻もキーに照会することを特徴とする。
実施の形態２．
実施の形態２について、図８〜図１１を用いて説明する。
この実施の形態における履歴管理装置１００の外観、ハードウェア資源、ブロック構成は、実施の形態１において説明した履歴管理装置１００と同様なので、ここでは説明を省略する。
この実施の形態における履歴管理装置１００は、監視対象機器５００が生成した発生履歴情報６４０がある程度溜まってから、履歴収集部１２１が収集し、履歴加工部１２２が、複数の発生履歴情報６４０をまとめて加工するものである。
例えば、１日の業務が終了したあとの深夜など負荷の少ない時間帯を利用して、その日１日に発生した発生履歴情報６４０をまとめて処理する場合である。
このように、複数の発生履歴情報６４０をまとめて処理する場合には、加工すべき発生履歴情報６４０のなかに、同一の関与対象情報６４２を含む発生履歴情報６４０が複数存在する場合がある。この実施の形態における履歴管理装置１００は、そのような場合に、管理検索部１３２が重複した管理検索処理をしないようにすることにより、処理を少なくし、膨大な発生履歴情報６４０を速く加工できるようにするものである。
図８は、この実施の形態における履歴加工部１２２のブロック構成の一例を示す詳細ブロック図である。
履歴加工部１２２は、ＣＰＵ９１１などの処理装置を用いて、複数の発生履歴情報６４０を入力し、入力した複数の発生履歴情報６４０を加工して複数の加工済履歴情報６５０を生成し、生成した複数の加工済履歴情報６５０を出力する。
履歴加工部１２２は、発生履歴情報６４０の加工に際し、発生履歴情報６４０に含まれる関与対象情報６４２が示す対象を識別する管理識別情報６３１を取得するため、管理検索部１３２に対して、関与対象情報６６１、開始時刻情報６６２、終了時刻情報６６３を通知し、管理検索部１３２が出力した期間付管理識別情報６３０を取得する。
管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、履歴加工部１２２が通知した関与対象情報６６１を対象情報６２２として入力する。また、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、履歴加工部１２２が通知した開始時刻情報６６２及び終了時刻情報６６３を時刻情報６２１として入力する。
この実施の形態における管理検索部１３２は、入力した開始時刻情報６６２が示す開始時刻から、入力した終了時刻情報６６３が示す終了時刻までの期間において、入力した関与対象情報６６１が示す対象を識別する管理識別情報６３１を検索し、出力する。
実施の形態１で説明したように、関与対象情報６６１と関与対象情報６６１が示す対象との対応関係は、時間の経過により変化する可能性がある。
例えば、関与対象情報６６１がコンピュータのＩＰアドレスである場合、ネットワークの構成を変更することにより、ＩＰアドレスが変化する場合がある。このとき、変更前は他のコンピュータに割り当てられていたＩＰアドレスが、変更後には別のコンピュータに割り当てられる場合があり、同じ関与対象情報６６１でも、異なる対象を示す場合がある。
したがって、一定の幅がある期間を指定して、関与対象情報６６１が示す対象を識別する管理識別情報６３１を検索すると、その期間内に、関与対象情報６６１と対象との対応関係が変化した結果、複数の管理識別情報６３１が抽出される場合がある。
この実施の形態の管理検索部１３２は、期間付管理識別情報６３０として、期間情報６３２を管理識別情報６３１とともに出力する。
期間情報６３２は、入力した関与対象情報６６１がが、出力した管理識別情報６３１によって識別される対象を示す期間を示す情報である。
図９は、この実施の形態における管理検索部１３２が管理情報６１０を検索する管理検索処理の流れの一例を示すフローチャート図である。
管理検索処理は、管理情報抽出工程の一例である。
Ｓ０２１において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、開始時刻情報６６２と、終了時刻情報６６３と、関与対象情報６６１とを入力する。
管理検索部１３２は、開始時刻情報６６２と終了時刻情報６６３とを、時刻情報として入力する。開始時刻情報６６２は、開始時刻を示す情報である。終了時刻情報６６３は、終了時刻を示す情報である。
管理検索部１３２は、関与対象情報６６１を、対象情報として入力する。
Ｓ０２２において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、管理記憶部１３１が記憶した管理情報６１０を、順番に一つずつ取得する。
Ｓ０２３において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０２２で管理情報６１０を取得できたか否かを判断する。
管理情報６１０を取得できた場合には、Ｓ０２４へ進む。
管理記憶部１３１が記憶した管理情報６１０をすべて取得してしまい、これ以上取得できる管理情報６１０がない場合には、Ｓ０３１へ進む。
Ｓ０２４において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０２２で取得した管理情報６１０に含まれる対象識別情報６１３と、Ｓ０２１で入力した関与対象情報６６１とを比較する。
Ｓ０２５において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０２４で比較した結果、対象識別情報６１３と関与対象情報６６１とが一致すると判断した場合には、Ｓ０２６へ進む。
対象識別情報６１３と関与対象情報６６１とが一致しないと判断した場合には、Ｓ０２２に戻る。
Ｓ０２６において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０２２で取得した管理情報６１０に含まれる期間情報６１２が示す期間の終了時刻と、Ｓ０２１で入力した開始時刻情報６６２が示す開始時刻とを比較する。
Ｓ０２７において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０２６で比較した結果、開始時刻情報６６２が示す開始時刻が、期間情報６１２が示す期間の終了時刻より後であると判断した場合には、Ｓ０２２に戻る。
開始時刻情報６６２が示す開始時刻が、期間情報６１２が示す期間の終了時刻以前であると判断した場合には、Ｓ０２８へ進む。
Ｓ０２８において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０２２で取得した管理情報６１０に含まれる期間情報６１２が示す期間の開始時刻と、Ｓ０２１で入力した終了時刻情報６６３が示す終了時刻とを比較する。
Ｓ０２９において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０２８で判断した結果、終了時刻情報６６３が示す終了時刻が、期間情報６１２が示す期間の開始時刻よりも前であると判断した場合には、Ｓ０２２に戻る。
終了時刻情報６６３が示す終了時刻が、期間情報６１２が示す期間の開始時刻以後であると判断した場合には、Ｓ０３０へ進む。
Ｓ０３０において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、期間付管理識別情報６３０を出力する。期間付管理識別情報６３０は、管理識別情報６３１と期間情報６３２とを含む。
期間付管理識別情報６３０に含まれる管理識別情報６３１は、Ｓ０２２で取得した管理情報６１０に含まれる管理識別情報６１１である。
期間付管理識別情報６３０に含まれる期間情報６３２は、Ｓ０２２で取得した管理情報６１０に含まれる期間情報６１２である。
あるいは、期間付管理識別情報６３０に含まれる期間情報６３２は、Ｓ０２２で取得した管理情報６１０に含まれる期間情報６１２が示す期間から、Ｓ０２１で取得した開始時刻情報６６２及び終了時刻情報６６３によって示される開始時刻から終了時刻までの期間以外の期間を除いた期間を示す情報であってもよい。
すなわち、管理情報６１０に含まれる期間情報６１２が示す期間の開始時刻が、Ｓ０２１で入力した開始時刻情報６６２が示す開始時刻より前の場合には、管理検索部１３２は、管理情報６１０に含まれる期間情報６１２を、Ｓ０２１で入力した開始時刻情報６６２が示す開始時刻が、期間の開始時刻となるよう修正して、期間情報６３２としてもよい。
同様に、管理情報６１０に含まれる期間情報６１２が示す期間の終了時刻が、Ｓ０２１で入力した終了時刻情報６６３が示す終了時刻より後の場合には、管理検索部１３２は、管理情報６１０に含まれる期間情報６１２を、Ｓ０２１で入力した終了時刻情報６６３が示す終了時刻が、期間の終了時刻となるよう修正して、期間情報６３２としてもよい。
Ｓ０３１において、管理検索部１３２は、ＣＰＵ９１１などの処理装置を用いて、検索終了情報６３８を出力し、管理検索処理を終了する。
検索終了情報６３８は、管理検索処理が終了したことを示す情報である。
なお、実施の形態１で説明したのと同様、リニア検索方式ではなく、他の検索方式により管理検索処理をしてもよい。
これにより、管理検索部１３２は、入力した対象情報と、管理情報６１０に含まれる対象識別情報６１３とが一致し、かつ、入力した開始時刻情報６６２によって示される開始時刻から入力した終了時刻情報６６３によって示される終了時刻までの期間と、管理情報６１０に含まれる期間情報６１２によって示される時間との間に重複する期間がある管理情報６１０を、管理記憶部１３１が記憶した管理情報６１０のなかから抽出し、抽出した管理情報６１０に対応する期間付管理識別情報６３０を出力する。
この実施の形態における管理検索部１３２は、入力した条件に合致する管理情報６１０が複数ある場合には、条件に合致する管理情報６１０に対応する期間付管理識別情報６３０を複数出力する。
この例では、条件に合致する管理情報６１０が見つかる都度、管理検索部１３２が期間付管理識別情報６３０を出力しているが、期間付管理識別情報６３０を一時的に記憶しておき、管理記憶部１３１が記憶した管理情報６１０の検索がすべて終了した後に、それまでに見つけた期間付管理識別情報６３０をまとめて出力することとしてもよい。
その場合には、検索終了情報６３８を出力せず、例えば、条件に合致した管理情報６１０の数を示す情報を出力することとしてもよい。
図８に戻り、履歴加工部１２２の説明を続ける。
履歴加工部１２２は、発生履歴記憶部２２１、発生期間判断部２２２、発生期間記憶部２２３、発生期間通知部２２４、対応期間取得部２２５、対応期間記憶部２２６、対応判断部２２７を有する。
発生履歴記憶部２２１は、ＣＰＵ９１１などの処理装置を用いて、複数の発生履歴情報６４０を入力する。発生履歴記憶部２２１は、ＣＰＵ９１１などの処理装置を用いて、入力した複数の発生履歴情報６４０を磁気ディスク装置９２０などの記憶装置に記憶する。
発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、発生履歴記憶部２２１が記憶した発生履歴情報６４０を取得する。発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、取得した発生履歴情報６４０に含まれる発生時刻情報６４１と関与対象情報６４２とを取得する。
発生期間判断部２２２は、取得した発生時刻情報６４１及び関与対象情報６４２に基づいて、発生期間記憶部２２３が記憶した発生期間情報６６０を更新する。
発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、発生期間情報６６０を磁気ディスク装置９２０などの記憶装置に記憶する。
発生期間情報６６０は、発生履歴情報６４０に含まれる関与対象情報６４２が、出現した時刻の範囲を示す情報である。発生期間情報６６０は、関与対象情報６６１、開始時刻情報６６２、終了時刻情報６６３を含む。
発生期間情報６６０に含まれる関与対象情報６６１は、発生履歴記憶部２２１が入力した発生履歴情報６４０のなかに出現した関与対象情報６４２である。
発生期間情報６６０に含まれる開始時刻情報６６２は、発生履歴記憶部２２１が入力した発生履歴情報６４０のなかで、関与対象情報６６１と同一の関与対象情報６４２を含む発生履歴情報６４０に含まれる発生時刻情報６４１が示す発生時刻のうち、最も早い時刻を示す情報である。
発生期間情報６６０に含まれる終了時刻情報６６３は、発生履歴記憶部２２１が入力した発生履歴情報６４０のなかで、関与対象情報６６１と同一の関与対象情報６４２を含む発生履歴情報６４０に含まれる発生時刻情報６４１が示す発生時刻のうち、最も遅い時刻を示す情報である。
すなわち、発生履歴記憶部２２１が入力した発生履歴情報６４０のうち、開始時刻情報６６２が示す時刻から終了時刻情報６６３が示す時刻までの期間に発生した事象を記録した発生履歴情報６４０のなかに、関与対象情報６６１が含まれていることを示している。
発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、取得した発生履歴情報６４０に含まれる関与対象情報６４２についての発生期間情報６６０を、発生期間記憶部２２３が記憶しているか否かを判断する。記憶していない場合には、発生期間記憶部２２３が、ＣＰＵ９１１などの処理装置を用いて、新たに発生期間情報６６０を記憶する。
記憶している場合には、発生期間判断部２２２が、ＣＰＵ９１１などの処理装置を用いて、発生履歴情報６４０に含まれる発生時刻情報６４１が示す時刻が、発生期間情報６６０に含まれる開始時刻情報６６２と終了時刻情報６６３とが示す開始時刻から終了時刻までの間に入るか否かを判断する。入らない場合には、発生期間記憶部２２３が、ＣＰＵ９１１などの処理装置を用いて、発生期間情報６６０を更新する。
発生期間通知部２２４は、ＣＰＵ９１１などの処理装置を用いて、発生期間記憶部２２３が記憶した発生期間情報６６０を取得する。発生期間通知部２２４は、ＣＰＵ９１１などの処理装置を用いて、取得した発生期間情報６６０に含まれる関与対象情報６６１、開始時刻情報６６２、終了時刻情報６６３を、管理検索部１３２が入力する対象情報及び時刻情報として出力する。
対応期間取得部２２５は、ＣＰＵ９１１などの処理装置を用いて、発生期間通知部２２４が出力した関与対象情報６６１・開始時刻情報６６２・終了時刻情報６６３に対する応答として、管理検索部１３２が出力した期間付管理識別情報６３０を入力する。
対応期間記憶部２２６は、ＣＰＵ９１１などの処理装置を用いて、対応期間取得部２２５が入力した期間付管理識別情報６３０に含まれる管理識別情報６３１及び期間情報６３２と、発生期間通知部２２４が出力した関与対象情報６６１とを対応づけて、対応期間情報６７０として記憶する。
対応期間記憶部２２６が記憶する対応期間情報６７０は、関与対象情報６７１、期間情報６７２、管理識別情報６７３を含む。
対応期間情報６７０に含まれる関与対象情報６７１は、発生期間通知部２２４が出力した関与対象情報６６１である。
対応期間情報６７０に含まれる期間情報６７２は、発生期間通知部２２４が出力した関与対象情報６６１他に対する応答として管理検索部１３２が出力した期間付管理識別情報６３０に含まれる期間情報６３２である。
対応期間情報６７０に含まれる管理識別情報６７３は、発生期間通知部２２４が出力した関与対象情報６６１他に対する応答として管理検索部１３２が出力した期間付管理識別情報６３０に含まれる管理識別情報６３１である。
すなわち、対応期間情報６７０は、関与対象情報６７１が、期間情報６７２が示す期間において、管理識別情報６７３によって識別される対象を示すことを示す情報である。
対応期間情報６７０は、管理記憶部１３１が記憶した管理情報６１０のなかから、発生履歴記憶部２２１が入力した発生履歴情報６４０を加工するのに必要な情報を抜き出したものである。
対応判断部２２７は、ＣＰＵ９１１などの処理装置を用いて、発生履歴記憶部２２１が記憶した発生履歴情報６４０を取得する。対応判断部２２７は、ＣＰＵ９１１などの処理装置を用いて、対応期間記憶部２２６が記憶した対応期間情報６７０に基づいて、発生履歴情報６４０を加工し、加工済履歴情報６５０を生成する。対応判断部２２７は、生成した加工済履歴情報６５０を出力する。
図１０及び図１１は、この実施の形態における履歴加工部１２２が履歴情報を加工する履歴加工処理の流れの一例を示すフローチャート図である。
なお、履歴加工処理の開始前に、初期化処理として、発生履歴記憶部２２１は、ＣＰＵ９１１などの処理装置を用いて、磁気ディスク装置９２０などの記憶装置に記憶した発生履歴情報６４０を消去し、発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、磁気ディスク装置９２０などの記憶装置に記憶した発生期間情報６６０を消去しているものとする。
初期化処理は、履歴加工処理の開始前ではなく、履歴加工処理の終了後に行い、次回の履歴加工処理に備えることとしてもよい。
Ｓ０４１（発生履歴入力工程）において、発生履歴記憶部２２１は、ＣＰＵ９１１などの処理装置を用いて、発生履歴情報６４０を、１つずつ入力する。
Ｓ０４２において、発生履歴記憶部２２１は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４１で発生履歴情報６４０を入力したか否かを判断する。
発生履歴情報６４０を入力したと判断した場合には、Ｓ０４３へ進む。
今回の履歴加工処理で処理すべき発生履歴情報６４０をすべて入力し終わり、発生履歴情報６４０を入力しなかった場合には、Ｓ０５５へ進む。
Ｓ０４３において、発生履歴記憶部２２１は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４１で入力した発生履歴情報６４０を、磁気ディスク装置９２０などの記憶装置に記憶する。
Ｓ０４４において、発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４３で発生履歴記憶部２２１が記憶した発生履歴情報６４０を取得する。発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、取得した発生履歴情報６４０から、発生時刻情報６４１と関与対象情報６４２とを取得する。
Ｓ０４５において、発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、発生期間記憶部２２３が記憶した発生期間情報６６０のなかから、Ｓ０４４で取得した発生時刻情報６４１と同一の関与対象情報６６１を含む発生期間情報６６０を取得する。
Ｓ０４６において、発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、
Ｓ０４５で発生期間情報６６０を取得できたか否かを判断する。
Ｓ０４４で取得した発生時刻情報６４１と同一の関与対象情報６６１を含む発生期間情報６６０を発生期間記憶部２２３が既に記憶していて、Ｓ０４５で発生期間情報６６０を取得できた場合には、Ｓ０４７へ進む。
Ｓ０４４で取得した発生時刻情報６４１と同一の関与対象情報６６１を含む発生期間情報６６０を発生期間記憶部２２３がまだ記憶しておらず、Ｓ０４５で発生期間情報６６０を取得できなかった場合には、Ｓ０５１へ進む。
Ｓ０４７において、発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４５で取得した発生期間情報６６０に含まれる終了時刻情報６６３が示す終了時刻と、Ｓ０４３で取得した発生履歴情報６４０に含まれる発生時刻情報６４１が示す発生時刻とを比較して、発生時刻が終了時刻よりも遅いか否かを判断する。
Ｓ０４８において、発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４７で判断した結果、発生時刻が終了時刻よりも遅いと判断した場合には、Ｓ０５３へ進む。
発生時刻が終了時刻以前であると判断した場合には、Ｓ０４９へ進む。
Ｓ０４９において、発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４５で取得した発生期間情報６６０に含まれる開始時刻情報６６２が示す開始時刻と、Ｓ０４３で取得した発生履歴情報６４０に含まれる発生時刻情報６４１が示す発生時刻とを比較して、発生時刻が開始時刻よりも早いか否かを判断する。
Ｓ０５０において、発生期間判断部２２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４９で判断した結果、発生時刻が開始時刻よりも早いと判断したばあいには、Ｓ０５４へ進む。
発生時刻が開始時刻以後であると判断した場合には、Ｓ０４１に戻る。
なお、発生履歴記憶部２２１が入力する発生履歴情報６４０が発生時刻の早い順に並んでいる場合には、発生時刻情報６４１が示す発生時刻が、既に発生期間記憶部２２３が記憶している発生期間情報６６０に含まれる開始時刻情報６６２が示す開始時刻よりも早いことはあり得ないので、Ｓ０４９及びＳ０５０の処理は必要ない。
Ｓ０５１において、発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４３で発生期間判断部２２２が取得した発生履歴情報６４０に含まれる関与対象情報６４２を取得する。発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、取得した関与対象情報６４２を、新たな発生期間情報６６０として、磁気ディスク装置９２０などの記憶装置に記憶する。
Ｓ０５２において、発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４３で発生期間判断部２２２が取得した発生履歴情報６４０に含まれる発生時刻情報６４１を取得する。発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、取得した発生時刻情報６４１が示す時刻を示す情報を、Ｓ０５１で記憶した発生期間情報６６０の開始時刻情報６６２として、磁気ディスク装置９２０などの記憶装置に記憶する。
Ｓ０５３において、発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４３で発生期間判断部２２２が取得した発生履歴情報６４０に含まれる発生時刻情報６４１を取得する。発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、取得した発生時刻情報６４１が示す時刻を示す情報を、Ｓ０５１で記憶した発生期間情報６６０またはＳ０４５で取得した発生期間情報６６０の終了時刻情報６６３として、磁気ディスク装置９２０などの記憶装置に記憶する。
その後、Ｓ０４１に戻る。
Ｓ０５４において、発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４３で発生期間判断部２２２が取得した発生履歴情報６４０に含まれる発生時刻情報６４１を取得する。発生期間記憶部２２３は、ＣＰＵ９１１などの処理装置を用いて、取得した発生時刻情報６４１が示す時刻を示す情報を、Ｓ０４５で取得した発生期間情報６６０の開始時刻情報６６２として、磁気ディスク装置９２０などの記憶装置に記憶する。
その後、Ｓ０４１に戻る。
図１１に移って、履歴加工処理の説明を続ける。
Ｓ０５５において、発生期間通知部２２４は、ＣＰＵ９１１などの処理装置を用いて、発生期間記憶部２２３が記憶した発生期間情報６６０を、１つずつ取得する。
Ｓ０５６において、発生期間通知部２２４は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０５５で発生期間情報６６０を取得できたか否かを判断する。
発生期間情報６６０を取得できたと判断した場合には、Ｓ０５７へ進む。
発生期間記憶部２２３が記憶した発生期間情報６６０をすべて取得してしまい、これ以上取得できる発生期間情報６６０がないため、発生期間情報６６０を取得できなかった場合には、Ｓ０６０へ進む。
Ｓ０５７において、発生期間通知部２２４は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０５６で取得した発生期間情報６６０から、関与対象情報６６１と、開始時刻情報６６２と、終了時刻情報６６３とを取得する。発生期間通知部２２４は、ＣＰＵ９１１などの処理装置を用いて、取得した関与対象情報６６１、開始時刻情報６６２、終了時刻情報６６３を、管理検索部１３２が入力する対象情報及び時刻情報として、出力する。
管理検索部１３２はこれを入力して、図９で説明した管理検索処理をし、期間付管理識別情報６３０を出力する。
Ｓ０５８において、対応期間取得部２２５は、ＣＰＵ９１１などの処理装置を用いて、管理検索部１３２が出力した期間付管理識別情報６３０を入力する。
Ｓ０５９において、対応期間記憶部２２６は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０５７で発生期間通知部２２４が出力した関与対象情報６６１と、Ｓ０５８で対応期間取得部２２５が入力した期間付管理識別情報６３０に含まれる管理識別情報６３１及び期間情報６３２とを対応づけて、対応期間情報６７０を生成し、生成した対応期間情報６７０を磁気ディスク装置９２０などの記憶装置に記憶する。
その後、Ｓ０５５に戻る。
Ｓ０６０において、対応判断部２２７は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０４１で発生履歴記憶部２２１が記憶した発生履歴情報６４０を、最初から１つずつ取得する。
Ｓ０６１において、対応判断部２２７は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０６０で発生履歴情報６４０を取得できたか否かを判断する。
発生履歴情報６４０を取得できた場合には、Ｓ０６２へ進む。
発生履歴記憶部２２１が記憶した発生履歴情報６４０をすべて取得してしまい、これ以上取得できる発生履歴情報６４０がない場合には、履歴加工処理を終了する。
Ｓ０６２において、対応判断部２２７は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０５９で対応期間記憶部２２６が記憶した対応期間情報６７０のなかから、Ｓ０６０で取得した発生履歴情報６４０に対応する対応期間情報６７０を取得する。
すなわち、対応判断部２２７は、ＣＰＵ９１１などの処理装置を用いて、発生履歴情報６４０に含まれる関与対象情報６４２と、対応期間情報６７０に含まれる関与対象情報６７１とが一致し、かつ、発生履歴情報６４０に含まれる発生時刻情報６４１が示す時刻が、対応期間情報６７０に含まれる期間情報６７２が示す期間内にある対応期間情報６７０を探し、対応期間記憶部２２６から取得する。
Ｓ０６３（履歴加工工程）において、対応判断部２２７は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０６１で取得した発生履歴情報６４０に含まれる情報と、Ｓ０６２で取得した対応期間情報６７０に含まれる関与対象情報６７１とを含む加工済履歴情報６５０を生成する。対応判断部２２７は、ＣＰＵ９１１などの処理装置を用いて、生成した加工済履歴情報６５０を出力する。
その後、Ｓ０６０に戻る。
なお、Ｓ０６２で対応する対応期間情報６７０を取得できなかった場合には、Ｓ０６３で対応判断部２２７が、関与対象情報６７１を含む加工済履歴情報６５０の代わりに異常発生情報６５９を含む加工済履歴情報６５０を出力することとしてもよい。その場合、実施の形態１と同様、警告出力部が、ＣＲＴなどの表示装置９０１やその他の出力装置に異常発生を示す情報を出力する構成としてもよい。
このように、複数の発生履歴情報６４０がある場合に、そのなかで重複する関与対象情報６４２があるか否かを発生期間判断部２２２が判断し、重複する関与対象情報６４２がある場合には、それを１つにまとめてから、管理検索部１３２に対する検索要求を出す。
これにより、管理検索部１３２が、同一の対象情報について重複する管理検索処理をしないので、処理の量が減り、膨大な発生履歴情報６４０を速く加工できるようになる。
また、ログ管理装置１２０とＩＤ管理装置１３０とが離れている場合には、ログ管理装置１２０がＩＤ管理装置１３０に対して管理検索処理を要求し、ＩＤ管理装置１３０がログ管理装置１２０に対して検索の結果を返す通信にかかる通信コストも無視できない。
このように、重複する関与対象情報６４２を１つにまとめて検索することにより、ログ管理装置１２０とＩＤ管理装置１３０との間の通信にかかるコストを削減することができる。
この実施の形態における履歴管理装置１００は、管理検索部１３２が、ＣＰＵ９１１などの処理装置を用いて、開始時刻を示す情報である開始時刻情報６６２と、終了時刻を示す情報である終了時刻情報６６３とを、時刻情報として入力し、ＣＰＵ９１１などの処理装置を用いて、管理記憶部１３１が記憶した管理情報６１０のなかから、入力した対象情報と、管理情報６１０に含まれる対象識別情報６１３とが一致し、かつ、入力した開始時刻情報６６２によって示される開始時刻から入力した終了時刻情報６６３によって示される終了時刻までの期間と、管理情報６１０に含まれる期間情報６１２によって示される時間との間に重複する期間がある管理情報６１０を抽出し、ＣＰＵ９１１などの処理装置を用いて、抽出した管理情報６１０に含まれる管理識別情報６１１と、抽出した管理情報６１０に含まれる期間情報６１２とを含む情報である期間付管理識別情報６３０を出力し、履歴加工部１２２の発生履歴記憶部２２１が、ＣＰＵ９１１などの処理装置を用いて、発生履歴情報６４０を複数入力し、履歴加工部１２２の発生期間判断部２２２が、ＣＰＵ９１１などの処理装置を用いて、入力した発生履歴情報６４０に含まれる関与対象情報６４２が互いに一致する発生履歴情報６４０が複数あるか否かを判断し、履歴加工部１２２の発生期間通知部２２４が、ＣＰＵ９１１などの処理装置を用いて、関与対象情報６４２が互いに一致する発生履歴情報６４０が複数あると判断した場合に、関与対象情報６４２が互いに一致すると判断した複数の発生履歴情報６４０に含まれる発生時刻情報６４１によって示される発生時刻のうち、最も早い発生時刻を示す情報を、管理検索部１３２が入力する開始時刻情報６６２として出力し、関与対象情報６４２が互いに一致すると判断した複数の発生履歴情報６４０に含まれる発生時刻情報６４１によって示される発生時刻のうち、最も遅い発生時刻を示す情報を、管理検索部１３２が入力する終了時刻情報６６３として出力し、履歴加工部１２２の対応期間取得部２２５が、ＣＰＵ９１１などの処理装置を用いて、管理検索部１３２が出力した期間付管理識別情報６３０を入力し、履歴加工部１２２の対応判断部２２７が、ＣＰＵ９１１などの処理装置を用いて、入力した発生履歴情報６４０に含まれる情報と、入力した期間付管理識別情報６３０のうち、発生履歴情報６４０に含まれる発生時刻情報６４１によって示される発生時刻が期間付管理識別情報６３０に含まれる期間情報によって示される期間内である期間付管理識別情報６３０に含まれる管理識別情報６３１とを含む加工済履歴情報６５０を出力することを特徴とする。
この実施の形態における履歴管理装置１００によれば、履歴加工部１２２が、入力した発生履歴情報６４０に含まれる関与対象情報６４２が互いに一致する発生履歴情報６４０が複数ある場合に、それを一つにまとめて、管理検索部１３２に対して検索要求をするので、管理検索部１３２に対する検索要求の回数が少なくて済む。これにより、管理検索部１３２の処理によるＣＰＵ９１１などの処理装置の計算量が少なくなるという効果を奏する。
また、管理検索部１３２と履歴加工部１２２との間の通信量が減るので、通信コストを抑えることができるという効果を奏する。例えば、本社にＩＤ管理装置１３０を設置して、管理情報６１０を集中管理し、各地にある支社にログ管理装置１２０を設置して、履歴情報を管理する（履歴情報はその量が膨大なので、本社で集中管理するよりも各支社で管理するほうが通信コストが抑えられる）場合などに、通信コストを抑えることができるという効果を奏する。
上述したように、履歴管理装置１００は、物理的に一つの装置である必要はなく、一または複数の機能ブロックを実現する装置がインターネットや専用回線などにより接続して互いに情報をやり取りすることにより、全体が履歴管理装置１００として機能するように構成してもよい。
また、管理検索部１３２の処理量が減るので、１つのＩＤ管理装置１３０に対して、ログ管理装置１２０が多数存在する場合には、処理の分散が図れる。これにより、全体としての処理速度が速くなるという効果を奏する。例えば、上述したような本社にＩＤ管理装置１３０を設置して、各地の支社にログ管理装置１２０を設置する場合などに、効果を奏する。
この実施の形態におけるログ加工装置（履歴管理装置１００）は、統合ＩＤ照会時に、ログレコード（発生履歴情報６４０）ごとに照会するのではなく、複数のログレコードの固まりを一つの照会単位とし、個別ＩＤと、そのログ内で個別ＩＤが現れる時間範囲で照会することを特徴とする。
実施の形態３．
実施の形態３について、図１２〜図２１を用いて説明する。
この実施の形態では、上述した履歴管理装置１００の具体的な応用例について説明する。
図１２は、この実施の形態におけるログ加工装置１１０の構成の一例を示すブロック図である。
図１２において、ログ加工装置１１０は、ログ管理装置１２０、及びＩＤ管理装置１３０を有する。
また、管理端末装置１４０は、ログ加工装置１１０からは独立した装置である。管理端末装置１４０は、主にログの検索表示を行うための装置である。
なお、ログ管理装置１２０、ＩＤ管理装置１３０、管理端末装置１４０の外観及びハードウェア資源の構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。
ログ管理装置１２０は、ログ収集部３２１、統合ＩＤ照会部３２２、ログ蓄積部３２３、ログ検索部３２４、及びログデータベース記憶装置３２５（以下「ログＤＢ」という）を有する。
ログ収集部３２１は、ＣＰＵ９１１などの処理装置を用いて、ログ管理装置１２０とＬＡＮ９４２などのネットワークを介して接続された各種端末装置、機器などからログを収集する。ログ収集部３２１は、履歴収集部の一例である。
ログとは、機器の操作・動作などを記録した情報である。ログは、機器あるいは機器の動作等を監視する監視装置などが生成する。ログは、機器の１つの動作等を記録したログレコードの集合である。ログは、動作等が発生するたびにログレコードが追加されていくので、ログレコードは発生時刻順に並んでいる。ログレコードには、発生時刻、機器の識別子、操作者の識別子などの情報が記録されている。ログレコードは、発生履歴情報の一例である。
例えば、利用者が機器を操作した場合に、機器を操作した利用者や操作された機器を識別する情報、機器を操作した時刻を示す情報、操作内容や操作結果を示す情報などを含む情報がログレコードとして、ログに追加される。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、ログ収集部３２１が収集したログの各ログレコードから、個別ユーザＩＤ及び個別機器ＩＤを抽出する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、ＩＤ管理装置１３０と連携し、各々統合ユーザＩＤ、統合機器ＩＤを照会して、照会結果をログレコードに反映する。
個別ユーザＩＤとは、その操作を行った利用者を示す識別子である。例えば、コンピュータにログオンするためのユーザ名、電子メールを送信するためのメールアドレスなどである。個別ユーザＩＤは、対象識別情報の一例である。また、ログレコードに含まれる個別ユーザＩＤは、事象の発生に関与した対象を示す関与対象情報の一例であり、機器を操作した利用者を示す操作者情報の一例である。
個別機器ＩＤとは、その操作の対象である機器を示す識別子である。例えば、コンピュータをネットワーク上で識別するためのマシン名、ＩＰアドレスなどである。個別機器ＩＤは、対象識別情報の一例である。また、ログレコードに含まれる個別機器ＩＤは、事象の発生に関与した対象を示す関与対象情報の一例であり、操作された機器を示す情報である操作機器情報の一例である。
図１３は、この実施の形態におけるログ収集部３２１が収集するログ７０４の一例を示す図である。
ログ７０４は、複数のログレコード７４０を有する。この例では、ログ７０４は、テキスト形式の情報であり、ログ７０４の１行が、１つのログレコード７４０である。
ログレコード７４０には、ログレコードが記録された日付時刻７４１（この例では“２００６／０３／２８ １０：０１：４７”）、ログに固有の個別ユーザＩＤ７４２（この例では“ｙａｍａｄａ”）、ログに固有の個別機器ＩＤ７４３（この例では“ｈｏｓｔ００１”）が記録されている。
日付時刻７４１は、ログレコードが記録された時刻を示す情報である。日付時刻７４１は、発生時刻情報の一例である。また、ログレコードが機器の操作を記録したものである場合、日付時刻７４１は操作時刻情報の一例である。
ログ７０４において、ログレコード７４０は発生順に追加されていくので、日付時刻７４１が示す時刻が早い順に並んでいる。
なお、ログ７０４は、この例のようなＣＳＶ（Ｃｏｍｍａ Ｓｅｐａｒａｔｅｄ Ｖａｌｕｅｓ）形式のテキストデータである必要はなく、他の形式で表わされた情報であってもよい。
図１４は、この実施の形態における統合ＩＤ照会部３２２が加工して、統合ＩＤを反映した加工済ログ７０５の一例を示す図である。
加工済ログ７０５は、統合ＩＤ（統合ユーザＩＤ、統合機器ＩＤなど）を反映したログである。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、ログ７０４を加工し、加工済ログ７０５を生成する。
加工済ログ７０５には、ログ７０４のログレコード７４０に対応するログレコード７５０が記録される。ログレコード７５０は、加工済履歴情報の一例である。
ログレコード７５０は、日付時刻７５１、個別ユーザＩＤ７５２、個別機器ＩＤ７５３、統合ユーザＩＤ７５４、統合機器ＩＤ７５５を含む。
日付時刻７５１、個別ユーザＩＤ７５２、個別機器ＩＤ７５３は、ログ７０４のログレコード７４０に含まれていた日付時刻７４１、個別ユーザＩＤ７４２、個別機器ＩＤ７４３と同一の情報である。
統合ユーザＩＤ７５４（この例では“ＵＳＥＲ１２３４５６”）は、ユーザを一意に特定する識別子である。
個別ユーザＩＤ７５２は、ログ７０４を生成した機器などにより、異なる個別ユーザＩＤ７５２が、同一のユーザを示す場合がある。例えば、あるログ７０４には、個別ユーザＩＤ７５２としてユーザ名が記録され、別のログ７０４には、個別ユーザＩＤ７５２としてメールアドレスが記録されている。
これに対して、統合ユーザＩＤ７５４は、一人のユーザに対して１つしかない。したがって、統合ユーザＩＤ７５４が異なればユーザが異なり、ユーザが異なれば統合ユーザＩＤ７５４も異なる。
また、個別ユーザＩＤ７５２は、メールアドレスの変更などにより変わる可能性があるが、統合ユーザＩＤ７５４は、一度設定したら変更しない。したがって、例えば、過去何年にも渡るログを検索するような場合、同じ個別ユーザＩＤ７５２が異なるユーザを示している可能性もあるが、統合ユーザＩＤ７５４が同じなら、それは必ず同一人物を示している。
統合機器ＩＤ７５５（この例では“ＡＳＳＥＴ９８７６５４”）は、機器を一意に特定する識別子である。個別機器ＩＤ７５３と異なり、統合機器ＩＤ７５５が同一なら必ず同じ機器を示し、統合機器ＩＤ７５５が異なれば必ず異なる機器を示す。
このように、統合ユーザＩＤ７５４や統合機器ＩＤ７５５などの統合ＩＤは、対象を一意に特定する。したがって、過去何年にも渡る膨大な量のログを解析しなければならない場合であっても、統合ＩＤを使えば、比較的楽に検索することができる。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、このように、ログ７０４に、統合ＩＤを付加して、加工済ログ７０５を生成する。
統合ＩＤ照会部３２２は、以上のようなログの加工を行った後、生成した加工済ログ７０５を出力する。
ログ蓄積部３２３は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会部３２２が出力した加工後の加工済ログ７０５を、ログＤＢ３２５に蓄積する。ログ蓄積部３２３は、履歴蓄積部の一例である。
ログＤＢ３２５は、磁気ディスク装置９２０などの記憶装置である。ログＤＢ３２５は、例えば、一般のＲＤＢ（リレーショナル・データベース）などのデータ構造を有するデータとして、加工済ログ７０５を記憶する。
ログ検索部３２４は、ＣＰＵ９１１などの処理装置を用いて、管理端末装置１４０からのログ検索要求を入力し、ログの検索を行う。ログ検索部３２４は、例えば、ＳＱＬ文などによるログ検索要求にしたがって、データの検索取り出しを行う。ログ検索部３２４は、
ＣＰＵ９１１などの処理装置を用いて、検索の結果を管理端末装置１４０に返す。ログ検索部３２４は、履歴検索部の一例である。
ＩＤ管理装置１３０は、統合ＩＤ取得部３３１、統合ＩＤ属性情報取得部３３２、ＩＤ管理データベース記憶装置３３３（以下「ＩＤ管理ＤＢ」という）を有する。
統合ＩＤ取得部３３１は、ＣＰＵ９１１などの処理装置を用いて、ログ管理装置１２０の統合ＩＤ照会部３２２からの要求を入力する。統合ＩＤ取得部３３１は、ＣＰＵ９１１などの処理装置を用いて、入力した要求に応じて、ＩＤ管理ＤＢ３３３を検索し、ユーザを一意に特定する統合ユーザＩＤ７５４または機器を一意に特定する統合機器ＩＤ７５５などの統合ＩＤを取得する。統合ＩＤ取得部３３１は、ＣＰＵ９１１などの処理装置を用いて、取得した統合ＩＤを、ログ管理装置１２０の統合ＩＤ照会部３２２に返す。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、管理端末装置１４０からの要求を入力する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、入力した要求に応じて、ＩＤ管理ＤＢ３３３を検索し、統合ＩＤに付随する属性情報を取得する。
属性情報は、例えば、統合ユーザＩＤに付随する属性情報であれば、氏名、所属名、役職などを示す情報である。あるいは、統合機器ＩＤに付随する属性情報であれば、機器種別、設置場所名、管理者名などを示す情報である。
統合ＩＤ属性情報取得部３３２は、ＩＤ管理ＤＢ３３３から取得した属性情報を、管理端末装置１４０に返す。
管理端末装置１４０は、統合ＩＤ属性情報照会部３４１、ログ検索表示部３４２を有する。
統合ＩＤ属性情報照会部３４１は、ＣＰＵ９１１などの処理装置を用いて、キーボード９０２などの入力装置から入力した統合ＩＤをキーにして、統合ＩＤに付随する属性情報を照会する要求を生成し、ＩＤ管理装置１３０に発行する。検索条件入力部１４１は、ＣＰＵ９１１などの処理装置を用いて、ＩＤ管理装置１３０が返した属性情報を取得する。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、キーボード９０２などの入力装置から入力した検索条件に基づいて、ログＤＢ３２５が記憶した加工済ログ７０５を検索するログ検索条件を生成し、ログ管理装置１２０のログ検索部３２４に発行する。ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、ログ検索部３２４が返した検索結果を受信する。
ログ検索表示部３４２は、また、ＣＰＵ９１１などの処理装置を用いて、ログ検索部３２４から入力した加工済ログ７０５に含まれる統合ＩＤを取得する。ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、取得した統合ＩＤを、統合ＩＤ属性情報照会部３４１に通知する。統合ＩＤ属性情報照会部３４１が通知された統合ＩＤに基づいて、統合ＩＤ属性情報取得部３３２にＩＤ管理ＤＢ３３３の検索を要求し、統合ＩＤ属性情報取得部３３２が返した属性情報を、統合ＩＤ属性情報照会部３４１から取得する。
ログ検索表示部３４２は、ログ検索部３２４が返した検索結果や、統合ＩＤ属性情報照会部３４１から取得した属性情報を、ＣＲＴなどの表示装置９０１やその他の出力装置に表示・出力する。
次に、ＩＤ管理ＤＢ３３３が記憶する情報のデータ構造について説明する。
ＩＤ管理ＤＢ３３３は、磁気ディスク装置９２０などの記憶装置である。ＩＤ管理ＤＢ３３３は、個別ユーザＩＤ・個別機器ＩＤなどの個別ＩＤ、統合ユーザＩＤ・統合機器ＩＤなどの統合ＩＤ、及び統合ＩＤに付随する属性情報を、時間情報とともに保持するデータベースを記憶する。
ＩＤ管理ＤＢ３３３は、個別ＩＤデータベース７０１及び属性データベース７０２を記憶する。
個別ＩＤデータベース７０１は、統合ＩＤと個別ＩＤとの間の関係を示す管理情報７１０を登録したデータベースである。
属性データベース７０２は、統合ＩＤと属性との間の関係を示す管理属性情報７２０を登録したデータベースである。
図１５は、この実施の形態におけるＩＤ管理ＤＢ３３３が記憶する属性データベース７０２の内容の一例を示す図である。
属性データベース７０２は、例えば、種別７２１、属性７２２、統合ＩＤ７２３、開始時刻７２４、終了時刻７２５などのフィールドを有する。管理属性情報７２０は、属性データベース７０２の１つのレコードであり、属性データベース７０２は複数の管理属性情報７２０の集合である。
種別７２１は、属性の種類を示す情報である。属性７２２は、属性の内容を示す情報である。統合ＩＤ７２３は、その属性を有する対象の統合ＩＤを示す情報である。開始時刻７２４は、その対象がその属性を有する期間の開始時刻を示す情報である。終了時刻７２５は、その対象がその属性を有する期間の終了時刻を示す情報である。
この例において、終了時刻７２５が「９９９９／１２／３１ ２３：５９：５９」となっているのは、現在もその期間が終了していないことを示している。なお、その期間が終了する時刻があらかじめわかっている場合には、未来の時刻を終了時刻７２５として記憶しておいてもよい。
この例では、統合ＩＤ（統合機器ＩＤ）「ＡＳＳＥＴ９８７６５４」を付与された機器は、ＰＣサーバであり、１９９７年４月１日に購入されている。このＰＣサーバは、１棟６階に設置され、管理者は佐藤一郎である。
２００３年４月１日に、このＰＣサーバは、２棟８階に移動している。同時に、管理者が田中二郎に変更されている。
また、統合ＩＤ（統合ユーザＩＤ）「ＵＳＥＲ１２３４５６」を付与された従業員は、「山口花子」さんであり、１９９８年４月１日に入社している。人事部に配属され、役職は担当である。
２００３年６月１６日に人事異動があり、山口花子さんは経理部に移ったが、役職は担当のままである。
また、２００４年１０月１６日に山口花子さんは結婚して、苗字が「鈴木」になっている。
なお、この例では、管理属性情報７２０が開始時刻７２４の順に並んでいるが、統合ＩＤ７２３ごとに並んでいてもよい。また、統合ユーザＩＤについての管理属性情報７２０と、統合機器ＩＤについての管理属性情報７２０とを別のファイルにするなど分離して管理してもよい。あるいは、属性の種類ごとに別のファイルにするなど分離して管理してもよい。
また、氏名、所属、役職はユーザの属性の一例であり、管理者、設置場所、機器種別は機器の属性の一例であって、メールアドレス、電話番号、内線番号、資格、従業者タイプ、機器説明、機器接続ネットワーク（イントラネット、非武装地帯（Ｄｅｍｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ。以下「ＤＭＺ」という）などの区別）など、他の属性でもよい。
図１６は、この実施の形態におけるＩＤ管理ＤＢ３３３が記憶する個別ＩＤデータベース７０１の内容の一例を示す図である。
個別ＩＤデータベース７０１は、例えば、種別７１１、個別ＩＤ７１２、統合ＩＤ７１３、開始時刻７１４、終了時刻７１５などのフィールドを有する。管理情報７１０は、個別ＩＤデータベース７０１の１つのレコードであり、個別ＩＤデータベース７０１は複数の管理情報７１０の集合である。
種別７１１は、個別ＩＤの種類を示す情報である。個別ＩＤ７１２は、個別ＩＤの値を示す情報である。統合ＩＤ７１３は、その個別ＩＤが示す対象の統合ＩＤを示す情報である。開始時刻７１４は、その個別ＩＤがその対象を示す期間の開始時刻を示す情報である。終了時刻７１５は、その個別ＩＤがその対象を示す期間の終了時刻を示す情報である。
この例において、終了時刻７１５が「９９９９／１２／３１ ２３：５９：５９」となっているのは、現在もその期間が終了していないことを示している。すなわち、その個別ＩＤが現在有効であることを示している。なお、その期間が終了する時刻があらかじめわかっている場合には、未来の時刻を終了時刻７１５として記憶しておいてもよい。
この例では、統合ＩＤ「ＡＳＳＥＴ９８７６５４」のＰＣサーバは、１９９７年４月１日の導入時には、マシン名が「ｓｈｏｇｕｎ」、ＩＰアドレスが「１９２．１６８．１．１００」となっている。
２００３年４月１日に、このＰＣサーバを移動したことに伴い、マシン名が「ｐｏｓｅｉｄｏｎ」に、ＩＰアドレスが「１９２．１６８．１．１０５」に変更されている。
また、２００５年４月１６日には、社内ＬＡＮの再構築があり、ＩＰアドレスが「１９２．１６８．１．１２０」に変更されている。
また、統合ＩＤ「ＵＳＥＲ１２３４５６」の鈴木（旧姓山口）花子さんは、１９９８年４月１日の入社時に、ＯＳログオンＩＤ「ｙａｍａｇｕｃｈｉ」、アプリケーションＡのユーザＩＤとして「０００６」、電子メールアドレスをユーザＩＤとするアプリケーションＢ（例えば、電子メールソフトなど）のユーザＩＤ（すなわち、電子メールアドレス）として「ｈａｎａｋｏ＠ｄｏｍａｉｎ．ｃｏ．ｊｐ」をもらっている。
２０００年１０月１６日に、アプリケーションＡのユーザＩＤが「０１０６」に変更されている。また、２００４年１０月１６日に苗字が変わったので、ＯＳログオンＩＤも「ｓｕｚｕｋｉ」に変更されている。
２００５年３月１６日には、全社的なメールアドレス体系の変更があり、電子メールアドレスが「Ｓｕｚｕｋｉ．Ｈａｎａｋｏ＠ｄｏｍａｉｎ．ｃｏ．ｊｐ」になっている。また、２００５年４月１６日には、再びアプリケーションＡのユーザＩＤが変更され、「１００００１０６」になっている。
なお、この例では、管理情報７１０が開始時刻７１４の順に並んでいるが、統合ＩＤ７１３ごとに並んでいてもよい。また、統合ユーザＩＤについての管理情報７１０と、統合機器ＩＤについての管理情報７１０とを別のファイルにするなど分離して管理してもよい。あるいは、個別ＩＤの種類ごとに別のファイルにするなど分離して管理してもよい。
また、ＯＳログオンＩＤ、アプリケーションＡユーザＩＤ、アプリケーションＢユーザＩＤは個別ユーザＩＤの一例であり、マシン名、ＩＰアドレスは個別機器ＩＤの一例であって、他の個別ＩＤでもよい。
図１７は、この実施の形態におけるＩＤ管理ＤＢ３３３が記憶した個別ＩＤデータベース７０１及び属性データベース７０２によって示される統合ＩＤと個別ＩＤ、属性との間の関係を視覚的に表現した概念図である。
このように、ＯＳログオンＩＤ、アプリケーションＡユーザＩＤ、アプリケーションＢユーザＩＤなどの個別ＩＤと、氏名、所属、役職などの属性とが、１つの統合ユーザＩＤ「ＵＳＥＲ１２３４５６」によって紐付けされ、これらすべての情報が一人の従業員のものであることを示している。
同様に、マシン名、ＩＰアドレスなどの個別ＩＤと、管理者、設置場所、機器種別などの属性とが、１つの統合機器ＩＤ「ＡＳＳＥＴ９８７６５４」によって紐付けされ、これらすべての情報が一台の機器のものであることを示している。
また、個別ＩＤや属性は変更される場合があるが、統合ＩＤは変更しないので、過去のログを検索する場合、統合ＩＤを利用すれば、探したい従業員や機器についてのログを素早く見つけることができる。
次に、動作の詳細について説明する。
図１８は、この実施の形態におけるログ加工装置１１０がログ７０４を加工するログ加工処理の流れの一例を示すフローチャート図である。
Ｓ０７１において、ログ収集部３２１は、ＣＰＵ９１１などの処理装置を用いて、ログ７０４を収集する。
ログ収集部３２１は、ＣＰＵ９１１などの処理装置を用いて、収集したログ７０４を出力する。
Ｓ０７２（発生履歴入力工程）において、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０７１でログ収集部３２１が出力したログ７０４を入力する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、入力したログ７０４に基づいて、統合ＩＤ照会データ７０６を生成する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、生成した統合ＩＤ照会データ７０６を出力する。
Ｓ０７３（管理情報抽出工程）において、統合ＩＤ取得部３３１は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０７２で統合ＩＤ照会部３２２が出力した統合ＩＤ照会データ７０６を入力する。
統合ＩＤ取得部３３１は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６に基づいて、ＩＤ管理ＤＢ３３３を検索する。
統合ＩＤ取得部３３１は、ＣＰＵ９１１などの処理装置を用いて、ＩＤ管理ＤＢ３３３を検索した結果に基づいて、統合ＩＤ照会結果７０７を生成する。
統合ＩＤ取得部３３１は、ＣＰＵ９１１などの処理装置を用いて、生成した統合ＩＤ照会結果７０７を出力する。
Ｓ０７４（履歴加工工程）において、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０７３で統合ＩＤ取得部３３１が出力した統合ＩＤ照会結果７０７を入力する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会結果７０７に基づいて、ログ７０４を加工し、加工済ログ７０５を生成する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、生成した加工済ログ７０５を出力する。
Ｓ０７５において、ログ蓄積部３２３は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０７４で統合ＩＤ照会部３２２が出力した加工済ログ７０５を入力する。
ログ蓄積部３２３は、ＣＰＵ９１１などの処理装置を用いて、入力した加工済ログ７０５を、ログＤＢ３２５に蓄積する。
図１９は、この実施の形態におけるログ管理装置１２０の各機能ブロックの間でやり取りする情報の一例を示す図である。
ログ７０４は、ログ収集部３２１が収集し、統合ＩＤ照会部３２２に通知する。
ログ７０４は、図１３を用いて説明したように、例えば、日付時刻７４１、個別機器ＩＤ７４３などを有するログレコード７４０の集合である。
図１９に一例として示したログ７０４には、２００３年３月３１日１１時２４分３２秒に記録されたログレコード７４０に個別機器ＩＤ７４３として「ｓｈｏｇｕｎ」が記録されている。また、２００３年３月３１日１２時１２分４７秒に記録されたログレコード７４０には、個別機器ＩＤ７４３として「ｐｏｓｅｉｄｏｎ」が記録されている。
統合ＩＤ照会データ７０６は、統合ＩＤ照会部３２２がログ７０４に基づいて生成し、統合ＩＤ取得部３３１に送信する。
統合ＩＤ照会データ７０６は、照会条件の集合であり、それぞれの照会条件は、個別ＩＤ７６１、開始時刻７６２、終了時刻７６３を有する。
個別ＩＤ７６１は、個別ユーザＩＤや個別機器ＩＤなどの個別ＩＤを示す情報であり、照会の対象である個別ＩＤを示す。個別ＩＤ７６１は、対象情報の一例である。
開始時刻７６２と終了時刻７６３とは、個別ＩＤ７６１を照会する期間を示す情報である。開始時刻７６２と終了時刻７６３とは、時刻情報の一例である。
開始時刻７６２は、個別ＩＤ７６１を照会する期間の開始時刻を示す情報である。
終了時刻７６３は、個別ＩＤ７６１を照会する期間の終了時刻を示す情報である。
図１９に一例として示した統合ＩＤ照会データ７０６は、個別ＩＤ「ｓｈｏｇｕｎ」について２００３年３月３１日１１時２４分３２秒から２００３年４月１日１３時５２分２３秒までの期間で照会する照会条件と、個別ＩＤ「ｐｏｓｅｉｄｏｎ」について２００３年３月３１日１２時１２分４７秒から２００３年４月１日８時６分１１秒までの期間で照会する照会条件との２つの照会条件を含んでいる。
統合ＩＤ照会結果７０７は、統合ＩＤ取得部３３１が統合ＩＤ照会データ７０６に基づいてＩＤ管理ＤＢ３３３を検索した結果に基づいて生成し、統合ＩＤ照会部３２２に送信するものである。
統合ＩＤ照会結果７０７は、照会結果の集合であり、それぞれの照会結果は、個別ＩＤ７７１、開始時刻７７２、終了時刻７７３、統合ＩＤ７７４を有する。
個別ＩＤ７７１は、個別ユーザＩＤ７４２や個別機器ＩＤ７４３などの個別ＩＤを示す情報であり、統合ＩＤ照会データ７０６によって照会された個別ＩＤを示す。
開始時刻７７２と終了時刻７７３とは、照会された個別ＩＤ７７１が、統合ＩＤ７７４によって識別される対象を示す期間を示す情報である。開始時刻７７２と終了時刻７７３とは、期間情報の一例である。
統合ＩＤ７７４は、統合ユーザＩＤや統合機器ＩＤなどの統合ＩＤを示す情報であり、照会された個別ＩＤ７７１が示す対象を識別する統合ＩＤを示す。統合ＩＤ７７４は、管理識別情報の一例である。
図１９に一例として示した統合ＩＤ照会結果７０７は、個別ＩＤ「ｓｈｏｇｕｎ」が２００３年３月３１日１１時２４分３２秒から２００３年３月３１日２３時５９分５９秒までの期間において示す対象は、統合ＩＤ「ＡＳＳＥＴ９８７６５４」によって識別される対象であるという照会結果と、個別ＩＤ「ｐｏｓｅｉｄｏｎ」が２００３年３月３１日１２時１２分４７秒から２００３年３月３１日２３時５９分５９秒までの期間において示す対象は、統合ＩＤ「ＡＳＳＥＴ１２３４５６」によって識別される対象であるという照会結果と、個別ＩＤ「ｐｏｓｅｉｄｏｎ」が２００３年４月１日０時０分０秒から２００３年４月１日８時６分１１秒までの期間において示す対象は、統合ＩＤ「ＡＳＳＥＴ９８７６５４」によって識別される対象であるという照会結果との３つの照会結果を含んでいる。
この照会結果は、統合機器ＩＤ「ＡＳＳＥＴ９８７６５４」によって識別されるＰＣサーバが、２００３年３月３１日までは「ｓｈｏｇｕｎ」と呼ばれていたが、２００３年４月１日から「ｐｏｓｅｉｄｏｎ」と呼ばれるようになったことを示している。
また、２００３年３月３１日まで「ｐｏｓｅｉｄｏｎ」と呼ばれていた機器は別にあり、その機器の統合機器ＩＤは「ＡＳＳＥＴ１２３４５６」である。
また、「ｓｈｏｇｕｎ」についての照会期間が２００３年４月１日１３時５２分２３秒までなのに、「ｓｈｏｇｕｎ」についての照会結果が２００３年３月３１日２３時５９分５９秒までしかないので、２００３年４月１日以降は「ｓｈｏｇｕｎ」と呼ばれる機器が存在しないことがわかる。
加工済ログ７０５は、統合ＩＤ照会部３２２がログ７０４と統合ＩＤ照会結果７０７とに基づいて生成し、ログ蓄積部３２３に通知するものである。
加工済ログ７０５は、図１４を用いて説明したように、例えば、日付時刻７５１、個別機器ＩＤ７５３、統合機器ＩＤ７５５などを有するログレコード７５０の集合である。
図１９に一例として示した加工済ログ７０５は、ログ収集部３２１が収集したログ７０４に、統合機器ＩＤ７５５や異常発生情報７５９などを追加した内容となっている。
次に、図１８のＳ０７２における統合ＩＤ照会部３２２の動作について、更に詳しく説明する。
図２０は、この実施の形態における統合ＩＤ照会部３２２が統合ＩＤ照会データ７０６を生成する統合ＩＤ照会データ生成処理の流れの一例を示すフローチャート図である。
Ｓ０８１において、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、複数のログレコード７４０を含むログ７０４を入力する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、入力したログ７０４を磁気ディスク装置９２０などの記憶装置に記憶する。
Ｓ０８２において、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０８１で入力したログ７０４の先頭から、ログレコード７４０を１行ずつ読み込む。
ログレコード７４０は、発生時刻順に並んでいるので、統合ＩＤ照会部３２２は、ログレコード７４０を古いものから順に読み込む。
Ｓ０８３ａにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０８２で読み込んだログレコード７４０を解析し、個別ユーザＩＤ７４２と日付時刻７４１とを取得する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、取得した個別ユーザＩＤ７４２と日付時刻７４１とをＲＡＭ９１４などの記憶装置に一時記憶する。
Ｓ０８４ａにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、既に生成した統合ＩＤ照会データ７０６の照会条件のなかに、Ｓ０８３ａで取得した個別ユーザＩＤ７４２が記録されているか否かを判断する。
記録されていないと判断した場合には、Ｓ０８５ａへ進む。
記録されていると判断した場合には、Ｓ０８６ａへ進む。
Ｓ０８５ａにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ７０６に照会条件を追加し、個別ＩＤ７６１として、Ｓ０８３ａで取得した個別ユーザＩＤ７４２を記録する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、追加した照会条件の開始時刻７６２として、Ｓ０８３ａで取得した日付時刻７４１を設定する。
Ｓ０８６ａにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ７０６に記録された照会条件の終了時刻７６３として、Ｓ０８３ａで取得した日付時刻７４１を設定する。
Ｓ０８３ｂにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０８２で読み込んだログレコード７４０を解析し、個別機器ＩＤ７４３を取得する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、取得した個別機器ＩＤ７４３をＲＡＭ９１４などの記憶装置に一時記憶する。
Ｓ０８４ｂにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、既に生成した統合ＩＤ照会データ７０６の照会条件のなかに、Ｓ０８３ｂで取得した個別機器ＩＤ７４３が記録されているか否かを判断する。
記録されていないと判断した場合には、Ｓ０８５ｂへ進む。
記録されていると判断した場合には、Ｓ０８６ｂへ進む。
Ｓ０８５ｂにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ７０６に照会条件を追加し、個別ＩＤ７６１として、Ｓ０８３ｂで取得した個別機器ＩＤ７４３を記録する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、追加した照会条件の開始時刻７６２として、Ｓ０８３ａで取得した日付時刻７４１を設定する。
Ｓ０８６ｂにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ７０６に記録された照会条件の終了時刻７６３として、Ｓ０８３ａで取得した日付時刻７４１を設定する。
このように、Ｓ０８３ｂ〜Ｓ０８６ｂの処理は、Ｓ０８３ａ〜Ｓ０８６ａの処理とほとんど同じであり、処理の対象となる個別ＩＤが、個別ユーザＩＤではなく、個別機器ＩＤである点が異なる。
個別ユーザＩＤ、個別機器ＩＤ以外の個別ＩＤがある場合には、同様に、それぞれの個別ＩＤに対する処理をする。
あるいは、個別ＩＤの種類を区別せず、１回の処理で、１つのログレコード７４０に含まれるすべての個別ＩＤについて処理してもよい。
Ｓ０８７において、統合ＩＤ照会部３２２は、Ｓ０８１で入力したログ７０４のなかに、Ｓ０８２でまだ取得していないログレコード７４０があるか否かを判断する。
取得していないログレコード７４０があると判断した場合には、Ｓ０８２に戻る。
すべてのログレコード７４０を取得したと判断した場合には、統合ＩＤ照会データ生成処理を終了する。
このようにして生成した統合ＩＤ照会データ７０６は、統合ＩＤ照会部３２２が送信し、統合ＩＤ取得部３３１が受信する。統合ＩＤ照会部３２２は、受信した統合ＩＤ照会データ７０６に基づいてＩＤ管理ＤＢ３３３を検索し、検索結果から統合ＩＤ照会結果７０７を生成する。統合ＩＤ照会結果７０７は、統合ＩＤ取得部３３１が送信し、統合ＩＤ照会部３２２が受信する。
これにより、統合ＩＤ照会部３２２と統合ＩＤ取得部３３１との間でやり取りされる通信が１回の往復で済むので、通信コストが抑えられる。
次に、図１８のＳ０７４における統合ＩＤ照会部３２２の動作について、更に詳しく説明する。
図２１は、この実施の形態における統合ＩＤ照会部３２２が統合ＩＤ照会結果７０７に基づいてログ７０４を加工し、加工済ログ７０５を生成する統合ＩＤ照会結果反映処理の流れの一例を示すフローチャート図である。
Ｓ０９１において、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、複数のログレコード７４０を含むログ７０４を入力する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、入力したログ７０４を磁気ディスク装置９２０などの記憶装置に記憶する。
なお、Ｓ０９１で統合ＩＤ照会部３２２が入力するログ７０４は、図２０のＳ０８１で入力したログ７０４と同じものである。したがって、Ｓ０８１で入力したログ７０４を再利用する場合には、Ｓ０９１の処理はなくてもよい。
Ｓ０９２において、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ取得部３３１が出力した統合ＩＤ照会結果７０７を入力する。
Ｓ０９３において、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９１で入力したログ７０４の先頭から、ログレコード７４０を１行ずつ読み込む。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、読み込んだログレコード７４０を解析して、日付時刻７４１と個別ユーザＩＤ７４２と個別機器ＩＤ７４３とを取得する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、取得した日付時刻７４１と個別ユーザＩＤ７４２と個別機器ＩＤ７４３とを、ＲＡＭ９１４などの記憶装置に記憶する。
Ｓ０９４ａにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９３で取得した個別ユーザＩＤ７４２についての照会結果を、Ｓ０９２で入力した統合ＩＤ照会結果７０７から取得する。
個別ユーザＩＤ７４２についての照会結果を取得できた場合には、Ｓ０９５ａへ進む。
個別ユーザＩＤ７４２についての照会結果を取得できなかった場合には、Ｓ０９７ａへ進む。
Ｓ０９５ａにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９４ａで取得した照会結果を解析して、開始時刻７７２と終了時刻７７３とを取得する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９３で取得した日付時刻７４１が、取得した開始時刻７７２から終了時刻７７３までの期間内であるか否かを判断する。
日付時刻７４１が開始時刻７７２から終了時刻７７３の期間内であると判断した場合には、Ｓ０９６ａへ進む。
日付時刻７４１が開始時刻７７２から終了時刻７７３の期間外であると判断した場合には、Ｓ０９４ａに戻り、他の照会結果を取得する。
Ｓ０９６ａにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９４ａで取得した照会結果を解析して、統合ＩＤ７７４を取得する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９３で取得したログレコード７４０に、取得した統合ＩＤ７７４を追加して、ログレコード７５０を生成する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、生成したログレコード７５０を、磁気ディスク装置９２０などの記憶装置に記憶する。
その後、Ｓ０９４ｂへ進む。
Ｓ０９７ａにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９３で取得したログレコード７４０に、異常発生情報７５９を追加して、ログレコード７５０を生成する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、生成したログレコード７５０を、磁気ディスク装置９２０などの記憶装置に記憶する。
Ｓ０９４ｂにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９３で取得した個別機器ＩＤ７４３についての照会結果を、Ｓ０９２で入力した統合ＩＤ照会結果７０７から取得する。
個別機器ＩＤ７４３についての照会結果を取得できた場合には、Ｓ０９５ｂへ進む。
個別機器ＩＤ７４３についての照会結果を取得できなかった場合には、Ｓ０９７ｂへ進む。
Ｓ０９５ｂにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９４ｂで取得した照会結果を解析して、開始時刻７７２と終了時刻７７３とを取得する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９３で取得した日付時刻７４１が、取得した開始時刻７７２から終了時刻７７３の期間内であるか否かを判断する。
日付時刻７４１が開始時刻７７２から終了時刻７７３の期間内であると判断した場合には、Ｓ０９６ｂへ進む。
日付時刻７４１が開始時刻７７２から終了時刻７７３の期間外であると判断した場合には、Ｓ０９４ｂへ戻り、他の照会結果を取得する。
Ｓ０９６ｂにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９４ｂで取得した照会結果を解析して、統合ＩＤ７７４を取得する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９６ａまたはＳ０９７ａで生成したログレコード７５０に、取得した統合ＩＤ７７４を追加して、新たなログレコード７５０を生成する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、生成したログレコード７５０を出力する。
その後、Ｓ０９８へ進む。
Ｓ０９７ｂにおいて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９６ａまたはＳ０９７ａで生成したログレコード７５０に、異常発生情報７５９を追加して、新たなログレコード７５０を生成する。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、生成したログレコード７５０を出力する。
Ｓ０９８において、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ０９３で読み込むべきログレコード７４０がまだあるか否かを判断する。
次のログレコード７４０があると判断した場合には、Ｓ０９３に戻る。
最後のログレコード７４０まで処理が終わり、次のログレコード７４０がないと判断した場合には、統合ＩＤ照会結果反映処理を終了する。
なお、Ｓ０９４ａ及びＳ０９４ｂにおいて、統合ＩＤ照会部３２２が、個別ユーザＩＤ７４２または個別機器ＩＤ７４３についての照会結果をすべて、統合ＩＤ照会結果７０７から取得し、取得した照会結果が１つしかない場合は、期間内であるか否かの判断をせず、Ｓ０９６ａまたはＳ０９６ｂの処理をすることとしてもよい。
取得した照会結果が複数ある場合には、統合ＩＤ照会部３２２が、日付時刻７４１に基づいて、どの照会結果に該当するか判断し、Ｓ０９６ａまたはＳ０９６ｂの処理へ進む。
その場合、統合ＩＤ取得部３３１は、照会された個別ＩＤ７６１に対応する統合ＩＤ７７４がない期間があれば、その期間について、対応する統合ＩＤ７７４がないことを示す照会結果を返す構成とする。そうすれば、対応する統合ＩＤ７７４がない場合にも間違って統合ＩＤ７７４と対応づけてしまう可能性がなく、好ましい。
このようにして、統合ＩＤ照会部３２２は、統合ＩＤが反映されたログレコード７５０を出力する。
ログ蓄積部３２３は、統合ＩＤ照会部３２２が出力した複数のログレコード７５０を入力し、加工済ログ７０５として１つにまとめて、ログＤＢ３２５に記憶する。
ログ管理装置１２０のログ収集部３２１が収集するログ７０４は、一般に複数のログレコード７４０を含んだ、一定期間（ログ収集間隔）に発生したログレコード７４０の集合である。各ログレコード７４０は、一般にそのレコードの生成に関与したユーザや機器の個別ＩＤ（個別ユーザＩＤ７４２や個別機器ＩＤ７４３）が記録されている。
統合ＩＤ照会部３２２は、各レコードから個別ユーザＩＤ７４２、個別機器ＩＤ７４３を抽出し、ＩＤ管理装置１３０に各々該当する統合ユーザＩＤ、統合機器ＩＤを照会する。
統合ＩＤ属性情報取得部３３２は、照会にあたり、個別ＩＤのみならず、そのログレコードが記録された日付時刻７４１もＩＤ管理装置１３０に送る。個別ＩＤが示す対象は、日付時刻７４１によって変化している可能性があるからである。
例えば、機器のマシン名（個別機器ＩＤの一例）は、その機器がネットワーク上で果たしている役割に基づいて名づけられる場合がある。例えば、共用ファイルサーバとして運用している機器に「ｆｉｌｅｓｅｒｖｅｒ」というマシン名をつける場合などである。そうすれば、他の機器は、ネットワーク上で「ｆｉｌｅｓｅｒｖｅｒ」というマシン名の機器を探すことにより、必要とする機能の提供を受けることができ、その機器が実際にどれであるかを意識しなくて済むからである。
この場合、サーバのリプレースにより機器の実体が変わっても、マシン名は「ｆｉｌｅｓｅｒｖｅｒ」のままである。したがって、置き換え前と置き換え後とでは、同じマシン名であっても、異なる機器を示している。
このように、同一の個別機器ＩＤに対して時間軸により異なる機器が割り付けられている場合であっても、日付時刻７４１を指定して照会すれば、正しい統合機器ＩＤを照会することができる。
また、統合ＩＤ照会部３２２は、ログ収集部３２１が収集したログ７０４から個別ＩＤとそれが出現する時間範囲を各個別ＩＤごとにあらかじめ抽出し、個別ＩＤと時間範囲の組を複数まとめてＩＤ管理装置に照会する。これにより、処理の効率が高くなる。
以上説明した処理により、具体的にログ７０４がどのように加工されるかを示すため、図１９に示した例を用いて説明する。
図２０の統合ＩＤ照会データ生成処理の開始時において、統合ＩＤ照会データ７０６は新規に作成され、内容は空である。
統合ＩＤ属性情報取得部３３２は、ログ７０４からログレコード７４０を１行ずつ読み込み（図２０のＳ０８２）、処理を行う（図２０のＳ０８３ａ〜Ｓ０８６ｂ）。
２００３年３月３１日１１時２４分３２秒のログレコード７４０についての処理において、個別機器ＩＤ７４３「ｓｈｏｇｕｎ」がまだ統合ＩＤ照会データ７０６に記録されていないので（図２０のＳ０８４ｂ）、統合ＩＤ照会部３２２は、新たな照会条件を生成し、統合ＩＤ照会データ７０６に追加する（図２０のＳ０８５ｂ）。このとき、個別ＩＤ７６１は「ｓｈｏｇｕｎ」、開始時刻７６２は「２００３／０３／３１ １１：２４：３２」に設定する。また、終了時刻７６３も「２００３／０３／３１ １１：２４：３２」に設定する（図２０のＳ０８６ｂ）。
次のログレコード７４０（２００３年３月３１日１２時１２分４７秒）の処理に移り、個別機器ＩＤ７４３「ｐｏｓｅｉｄｏｎ」もまだ統合ＩＤ照会データ７０６に記録されていないので（図２０のＳ０８４ｂ）、統合ＩＤ照会部３２２は、新たな照会条件を生成し、統合ＩＤ照会データ７０６に追加する（図２０のＳ０８５ｂ）。このとき、個別ＩＤ７６１は「ｐｏｓｅｉｄｏｎ」、開始時刻７６２は「２００３／０３／３１ １２：１２：４７」に設定する。また、終了時刻７６３も「２００３／０３／３１ １２：１２：４７」に設定する（図２０のＳ０８６ｂ）。
次のログレコード７４０（２００３年３月３１日１４時８分１９秒）の処理に移り、個別機器ＩＤ７４３「ｓｈｏｇｕｎ」は統合ＩＤ照会データ７０６に既に記録されている（図２０のＳ０８４ｂ）。そこで、「ｓｈｏｇｕｎ」についての照会条件の終了時刻７６３を、「２００３／０３／３１ １４：０８：１９」に更新する（図２０のＳ０８６ｂ）。
統合ＩＤ照会部３２２は、このようにして、図１９に示した統合ＩＤ照会データ７０６を生成する。
統合ＩＤ取得部３３１は、この統合ＩＤ照会データ７０６を入力し、ＩＤ管理ＤＢ３３３を検索した結果から、図１９に示した統合ＩＤ照会結果７０７を生成し、出力する。
統合ＩＤ照会部３２２は、この統合ＩＤ照会結果７０７を入力し、入力した統合ＩＤ照会結果７０７に基づいて、ログ７０４を加工して、加工済ログ７０５を生成する。
統合ＩＤ属性情報取得部３３２は、ログ７０４からログレコード７４０を１行ずつ読み込み（図２１のＳ０９３）、処理を行う（図２１のＳ０９４ａ〜Ｓ０９７ｂ）。
統合ＩＤ照会部３２２は、処理の結果生成したログレコード７５０を１行ずつ出力し、これが全体として、加工済ログ７０５となる。
２００３年３月３１日１１時２４分３２秒のログレコード７４０についての処理において、統合ＩＤ照会部３２２は、個別機器ＩＤ７４３「ｓｈｏｇｕｎ」についての照会結果を、統合ＩＤ照会結果７０７から取得する（図２１のＳ０９４ｂ）。「ｓｈｏｇｕｎ」についての照会結果は１つしかなく、日付時刻７４１「２００３／０３／３１ １１：２４：３２」が、開始時刻７７２「２００３／０３／３１ １１：２４：３２」から終了時刻７７３「２００３／０３／３１ ２３：５９：５９」の期間内なので（図２１のＳ０９５ｂ）、統合ＩＤ属性情報取得部３３２は、統合ＩＤ７７４「ＡＳＳＥＴ９８７６５４」を、ログレコード７４０に追加してログレコード７５０を生成する（図２１のＳ０９６ｂ）。
次のログレコード７４０（２００３年３月３１日１２時１２分４７秒）の処理に移り、統合ＩＤ照会部３２２は、個別機器ＩＤ７４３「ｐｏｓｅｉｄｏｎ」についての照会結果を、統合ＩＤ照会結果７０７から取得する（図２１のＳ０９４ｂ）。「ｐｏｓｅｉｄｏｎ」についての照会結果は２つあるが、日付時刻７４１「２００３／０３／３１ １２：１２：４７」は、開始時刻７７２「２００３／０３／３１ １２：１２：４７」から終了時刻７７３「２００３／０３／３１ ２３：５９：５９」の期間内なので、上の紹介結果を採用し（図２１のＳ０９５ｂ）、統合ＩＤ属性情報取得部３３２は、統合ＩＤ７７４「ＡＳＳＥＴ１２３４５６」を、ログレコード７４０に追加してログレコード７５０を生成する（図２１のＳ０９６ｂ）。
間を省略して、２００３年４月１日１３時５２分２３秒のログレコード７４０についての処理を説明する。
統合ＩＤ照会部３２２は、個別機器ＩＤ７４３「ｓｈｏｇｕｎ」についての照会結果を、統合ＩＤ照会結果７０７から取得する（図２１のＳ０９４ｂ）。「ｓｈｏｇｕｎ」についての照会結果は１つしかないが、日付時刻７４１「２００３／０４／０１ １３：５２：２３」は、開始時刻７７２「２００３／０３／３１ １１：２４：３２」から終了時刻７７３「２００３／０３／３１ ２３：５９：５９」の期間外なので採用せず（図２１のＳ０９５ｂ）、統合ＩＤ照会部３２２は、異常発生情報７５９「ＥｒｒＵｎｋｎｏｗｎ」を、ログレコード７４０に追加してログレコード７５０を生成する。
なお、異常発生情報７５９は、まったく存在しない個別ＩＤと、かつて存在したが期限切れの個別ＩＤとを区別して（例えば「ＥｒｒＥｘｐｉｒｅｄ」など）、統合ＩＤ照会部３２２がログレコード７５０を生成する構成としてもよい。
統合ＩＤ照会部３２２は、このようにして、図１９に示した加工済ログ７０５を生成する。
以上のようにして、ログ７０４に統合ＩＤを反映して生成された加工済ログ７０５をログ蓄積部３２３がログＤＢ３２５に蓄積するので、統合ＩＤが示すオブジェクト（具体的な人や機器）に関連する、各ログに分散したイベントを、統合ユーザＩＤや統合機器ＩＤをキーに一括して検索できる。
また、統合ＩＤ照会時に個別ＩＤのみならず時刻も照会データに含めるため、個別ＩＤが、複数の統合ＩＤで繰り返し利用されていても、そのログレコードが記録された時の統合ＩＤを照会することができる。
さらに、統合ＩＤ照会時に個々のログレコードごとに照会するのではなく、個別ＩＤとそれがログに出現する時間範囲で照会を行うので、統合ＩＤ照会の性能を向上させることができる。
ここで、統合ＩＤについて補足する。
統合ＩＤは、ユーザや機器などの対象を一意に識別する情報である。
統合ＩＤは、新たに付与して管理してもよいし、対象を一意に識別できるという条件のもと、既に管理されている情報を用いてもよい。統合ＩＤとして、既に管理されている情報を用いれば、導入が容易であり、好ましい。
例えば、ある企業のなかでその企業の備品である機器を操作したユーザを対象として統合ＩＤによる管理を行う場合であれば、識別の対象であるユーザはその企業の従業員であるから、従業員コードを統合ＩＤとして用いることができる。
なお、従業員を一意に識別できるという条件を満たすのであれば、従業員コード以外の人事情報を統合ＩＤとして用いてもよい。
また、ある企業のなかでその企業の備品である機器を対象として統合ＩＤによる管理を行う場合であれば、識別の対象である機器はその企業の備品であるから、資産管理コードを統合ＩＤとして用いることができる。
なお、機器を一意に識別できるという条件を満たすのであれば、資産管理コード以外の資産管理情報を統合ＩＤとして用いてもよい。
このように、既に管理されている情報を統合ＩＤとして用いれば、管理端末装置１４０に条件を入力して加工済ログ７０５を検索する利用者にとって、その統合ＩＤによって識別される対象が、具体的に誰であるのか、物理的にどの機器であるのかを特定することが容易となり、ログの解析性が向上するので、好ましい。
次に、ログ管理装置１２０からの照会に対して、ＩＤ管理装置１３０が個別ＩＤに対応する統合ＩＤを発見できなかった場合について、補足する。
照会された個別ユーザＩＤに該当する統合ユーザＩＤがない場合、物理的な人物にたどり着かないＩＤが使われていることになる。例えば、マシン上にローカルに生成した不正なアカウントが使用されているなどの不正が行われている可能性がある。あるいは、退社した人物のアカウントを消去し忘れるなどして、有効期限の切れたアカウントが残っていて、不正に利用されている可能性がある。
この実施の形態におけるログ加工装置１１０によれば、ログ７０４をそのまま蓄積するのではなく、加工済ログ７０５に加工してから蓄積するので、加工の際に統合ＩＤにたどり着けない個別ＩＤが使われていることを検知することができる。
そのような個別ＩＤを検知した場合、ログ加工装置１１０は、異常発生情報７５９を含むログレコード７５０を生成するので、あとで検索する際、不正の可能性の高い動作を記録したログレコード７５０を容易に発見することができる。
あるいは、そのような個別ＩＤを検知した場合、警告出力部が、ＣＰＵ９１１などの処理装置を用いて、ＣＲＴなどの表示装置９０１やその他の出力装置に、異常発生を示す警告を出力する構成としてもよい。
例えば、退社した人物の統合ユーザＩＤを一定期間保持し、それに対する照会がなされた場合はＩＤ管理装置が失効ＩＤであることをログ管理装置に返すように構成してもよい。そうすれば、退職者のＩＤ無効化の運用忘れを防止することができる。
同様に、ログ７０４の解析過程において、統合機器ＩＤに該当する統合機器ＩＤがない場合には、個人ノートＰＣの社内持込使用など、不正な機器の使用である可能性を検知することができる。
退職や人事異動によって、以前は有効だった個別ユーザＩＤが無効になる場合がある。しかし、管理ミスなどにより、個別ユーザＩＤを無効化する処理をしないでいると、不正なアクセスを許すことになる。
このように管理ミスなどによる不正アクセスを他の不正アクセスと区別するため、統合ＩＤ取得部３３１は、その日付時刻７４１において個別ユーザＩＤ７４２に対応する統合ユーザＩＤ７５４を、ＩＤ管理ＤＢ３３３が記憶した個別ＩＤデータベース７０１のなかから発見できなかった場合には、期間外であってもその個別ユーザＩＤ７４２に対応する統合ユーザＩＤ７５４があれば、それを含む統合ＩＤ照会結果７０７を出力する構成としてもよい。
その場合、統合ＩＤ取得部３３１は、ＣＰＵ９１１などの処理装置を用いて、期限切れの個別ユーザＩＤ７４２が使われているという異常発生を示す異常発生情報７５９を統合ＩＤ照会結果７０７に含めて一緒に出力する。通常の場合と区別するためである。
統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会結果７０７を入力し、入力した統合ＩＤ照会結果７０７に含まれる異常発生情報７５９もログレコード７４０に追加して、異常発生情報７５９を含むログレコード７５０を生成し、出力する。
これにより、異常発生を検知できるだけでなく、その操作者が誰であるかを推測することができる。
この実施の形態におけるログ加工装置１１０（履歴管理装置）は、ＩＤ管理ＤＢ３３３（管理記憶部）が、ＣＰＵ９１１などの処理装置を用いて、利用者を識別する情報である統合ユーザＩＤ（利用者識別情報）を、管理識別情報として含む管理情報７１０を磁気ディスク装置９２０などの記憶装置に記憶し、統合ＩＤ照会部３２２（履歴加工部）が、ＣＰＵ９１１などの処理装置を用いて、機器を操作した時刻である操作時刻を示す情報である日付時刻７４１（操作時刻情報）と、機器を操作した利用者を示す情報である個別ユーザＩＤ７４２（操作者情報）とを含む情報であるログレコード７４０（操作履歴情報）を、発生履歴情報として入力し、ＣＰＵ９１１などの処理装置を用いて、入力したログレコード７４０に含まれる日付時刻７４１によって示される操作時刻を示す情報を、統合ＩＤ取得部３３１（管理検索部）が入力する時刻情報として出力し、入力したログレコード７４０に含まれる個別ユーザＩＤ７４２を、統合ＩＤ取得部３３１が入力する個別ＩＤ７６１（対象情報）として出力し、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ取得部３３１が出力した統合ユーザＩＤを含む統合ＩＤ照会結果７０７を入力し、ＣＰＵ９１１などの処理装置を用いて、入力したログレコード７４０に含まれる情報と、入力した統合ユーザＩＤとを含むログレコード７５０（加工済履歴情報）を出力することを特徴とする。
この実施の形態におけるログ加工装置１１０によれば、ログ７０４のログレコード７４０に含まれる個別ユーザＩＤ７４２から、対応する統合ユーザＩＤ７５４を求め、統合ユーザＩＤ７５４を含むログレコード７５０を出力するので、利用者の統合ユーザＩＤ７５４を検索条件とすれば、特定の利用者が機器を操作したことに関するログを容易に発見することができるという効果を奏する。
この実施の形態におけるログ加工装置１１０は、ＩＤ管理ＤＢ３３３（管理記憶部）が、ＣＰＵ９１１などの処理装置を用いて、従業員を識別する従業員コードを、統合ユーザＩＤ（管理識別情報）として含む管理情報７１０を磁気ディスク装置９２０などの記憶装置に記憶し、統合ＩＤ取得部３３１（管理検索部）が、ＣＰＵ９１１などの処理装置を用いて、抽出した管理情報７１０に含まれる従業員コードによって識別される従業員がその機器の操作を許可された従業員であるか否かを判断し、ＣＰＵ９１１などの処理装置を用いて、その従業員コードによって識別される従業員がその機器の操作を許可された従業員でないと判断した場合に、異常発生を示す情報である異常発生情報７５９を出力することを特徴とする。
この実施の形態におけるログ加工装置１１０によれば、期限切れのアカウントを削除し忘れるなどの管理ミスにより発生した不正アクセスを容易に発見でき、更に、その不正アクセスに関与したと思われる従業員を推定することができるという効果を奏する。
この実施の形態におけるログ加工装置１１０は、ＩＤ管理ＤＢ３３３（管理記憶部）が、ＣＰＵ９１１などの処理装置を用いて、機器を識別する情報である統合機器ＩＤ（機器識別情報）を、管理識別情報として含む管理情報７１０を磁気ディスク装置９２０などの記憶装置に記憶し、統合ＩＤ照会部３２２が、ＣＰＵ９１１などの処理装置を用いて、機器を操作した時刻である操作時刻を示す情報である日付時刻７４１（操作時刻情報）と、その操作時刻に操作された機器を示す情報である個別機器ＩＤ７４３（操作機器情報）とを含む情報であるログレコード７４０（操作履歴情報）を、発生履歴情報として入力し、ＣＰＵ９１１などの処理装置を用いて、入力したログレコード７４０に含まれる日付時刻７４１によって示される操作時刻を示す情報を、統合ＩＤ取得部３３１が入力する時刻情報として出力し、入力したログレコード７４０に含まれる個別機器ＩＤ７４３を統合ＩＤ取得部３３１が入力する個別ＩＤ７６１（対象情報）として出力し、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ取得部３３１が出力した統合機器ＩＤを含む統合ＩＤ照会結果７０７を入力し、ＣＰＵ９１１などの処理装置を用いて、入力したログレコード７４０に含まれる情報と、入力した統合機器ＩＤとを含むログレコード７５０（加工済履歴情報）を出力することを特徴とする。
この実施の形態におけるログ加工装置１１０によれば、マシン名やＩＰアドレスなどの個別機器ＩＤが再利用され、時刻によって異なる機器を示す場合であっても、正しく対応する統合機器ＩＤを取得して、取得した統合機器ＩＤを含むログレコード７５０を出力するので、特定の機器に関するログを容易に発見することができるという効果を奏する。
例えば、あるサーバが保有している機密情報が流出した場合、そのサーバに対するアクセスを容易に抽出することができるので、情報流出の原因を突き止める助けとなる。
この実施の形態におけるログ加工装置１１０は、ＩＤ管理ＤＢ３３３が、ＣＰＵ９１１などの処理装置を用いて、機器を識別する資産管理コードを、統合機器ＩＤ（管理識別情報）として含む管理情報７１０を、磁気ディスク装置９２０などの記憶装置に記憶することを特徴とする。
この実施の形態におけるログ加工装置１１０によれば、統合機器ＩＤとして資産管理コードを用いるので、導入が容易であり、ログの解析性が向上するという効果を奏する。
この実施の形態におけるログ加工装置１１０（履歴管理装置）は、更に、情報を出力するＣＲＴなどの表示装置９０１やその他の出力装置と、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ取得部３３１が異常発生情報７５９を出力した場合に、異常発生を示す警告をＣＲＴなどの表示装置９０１やその他の出力装置に出力する警告出力部とを有することを特徴とする。
この実施の形態のログ加工装置１１０によれば、統合ＩＤ取得部３３１が異常発生情報７５９を出力した場合に、警告出力部が警告を出力するので、問題が発生する前に異常事態に対処することができ、その異常に基づく問題の発生を未然に防ぐことができるという効果を奏する。
この実施の形態におけるログ加工装置１１０は、統合ユーザＩＤとして、人事情報に割り付けられたＩＤを用いることを特徴とする。
この実施の形態におけるログ加工装置１１０は、照会した統合ユーザＩＤが失効ＩＤである場合、統合ユーザＩＤ照会時に、照会エラーのみならず、失効ＩＤであることを返答することを特徴とする。
この実施の形態におけるログ加工装置１１０は、統合機器ＩＤとして、資産管理情報に割り付けられたＩＤを用いることを特徴とする。
実施の形態４．
実施の形態４について、図２２を用いて説明する。
この実施の形態におけるログ管理システム３００は、ログ加工装置１１０、管理端末装置１４０を有する。
ログ加工装置１１０及び管理端末装置１４０は、実施の形態３で説明したものと同様なので、ここでは説明を省略する。
ログ管理システム３００は、履歴管理装置の一例である。
この実施の形態では、ログ蓄積部３２３がログＤＢ３２５に蓄積した加工済ログ７０５の利用例について説明する。
管理端末装置１４０のログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、キーボード９０２などの入力装置からログ検索条件を入力する。
ログ検索条件とは、ログ蓄積部３２３がログＤＢ３２５に蓄積した加工済ログ７０５を検索するための条件を示す情報である。ログ検索条件は、検索条件情報の一例である。
ログ検索条件は、例えば、統合ＩＤについての条件を示す情報が含んでもよいし、含まなくてもよい。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、入力したログ検索条件を出力する。ログ検索表示部３４２は、履歴照会部の一例である。
ログ管理装置１２０のログ検索部３２４は、ＣＰＵ９１１などの処理装置を用いて、ログ検索表示部３４２が出力したログ検索条件を入力し、入力したログ検索条件によって示される検索条件に基づいて、ログＤＢ３２５が記憶した加工済ログ７０５を検索する。ログ検索部３２４は、検索結果を示す情報を出力する。ログ検索部３２４は、履歴検索部の一例である。
ログ検索部３２４が出力する検索結果を示す情報は、検索条件に合致する加工済ログ７０５のログレコード７５０に含まれる情報のすべてを含んでいてもよいし、一部だけを含んでいてもよい。例えば、ログレコード７５０のなかから抜粋した情報だけを検索結果として出力し、更に詳しい情報の表示を要求された場合に、すべての情報を出力することとしてもよい。
ログ検索表示部３４２は、入力したログ検索条件に統合ＩＤについての条件が含まれている場合、ＣＰＵ９１１などの処理装置を用いて、その統合ＩＤを統合ＩＤ属性情報照会部３４１に対して出力する。
あるいは、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、ログ検索部３２４から入力した情報によって示される検索結果から統合ＩＤを取得し、取得した統合ＩＤを統合ＩＤ属性情報照会部３４１に対して出力してもよい。
統合ＩＤ属性情報照会部３４１は、ＣＰＵ９１１などの処理装置を用いて、ログ検索表示部３４２が出力した統合ＩＤを入力する。統合ＩＤ属性情報照会部３４１は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤについての属性情報の照会を要求する情報を生成し、統合ＩＤ属性情報取得部３３２に対して出力する。
また、統合ＩＤ属性情報照会部３４１は、ＣＰＵ９１１などの処理装置を用いて、ログ検索条件とは別に、キーボード９０２などの入力装置から統合ＩＤを入力し、入力した統合ＩＤについての属性情報の照会を要求する情報を生成して、統合ＩＤ属性情報取得部３３２に対して出力してもよい。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報照会部３４１が出力した照会要求を入力する。照会要求には、統合ＩＤ属性情報照会部３４１が照会を要求する統合ＩＤが含まれている。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、ＩＤ管理ＤＢ３３３が記憶した属性データベース７０２を検索して、入力した統合ＩＤについての管理属性情報７２０を取得する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、取得した管理属性情報７２０を、統合ＩＤ属性情報照会部３４１に対して出力する。統合ＩＤ属性情報取得部３３２は、属性検索部の一例である。
統合ＩＤ属性情報照会部３４１は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２が出力した管理属性情報７２０を入力する。統合ＩＤ属性情報照会部３４１は、入力した管理属性情報７２０を、ログ検索表示部３４２に対して出力する。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報照会部３４１が出力した管理属性情報７２０を入力する。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、ログ検索部３２４から入力した検索結果に含まれるログレコード７５０の情報と、そのログレコード７５０に含まれる統合ＩＤについて、統合ＩＤ属性情報照会部３４１から入力した管理属性情報７２０とを合わせて、ＣＲＴなどの表示装置９０１やその他の出力装置に表示・出力する。
これにより、ログの解析過程において統合ＩＤが割り出された場合、それに付随する属性情報も参照できるので、実体が把握し易くなり、ログの解析性が向上する。
図１７などを用いて説明したとおり、対象の属性は時刻によって変化する可能性があり、ＩＤ管理ＤＢ３３３が記憶する属性データベース７０２に含まれる管理属性情報７２０には、その統合ＩＤによって識別される対象がその属性を有している期間を示す属性期間情報（例えば、図１５の開始時刻７２４及び終了時刻７２５）が含まれている。
そのため、統合ＩＤ属性情報照会部３４１が生成し、統合ＩＤ属性情報取得部３３２に対して出力する照会要求には、統合ＩＤのほか、照会したい時刻を示す時刻情報が含まれる。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤとともに、時刻情報を入力し、時刻情報によって示される時刻における管理属性情報７２０を検索して、出力する。
統合ＩＤ属性情報照会部３４１が生成し、統合ＩＤ属性情報取得部３３２に対して出力する照会要求に含まれる時刻情報は、現在時刻を示す情報であってもよい。これにより、その統合ＩＤによって識別される対象の現在の属性を取得することができるので、ログ検索表示部３４２が出力した情報を見た利用者が、容易に実体を把握することができる。
また、時刻情報が示す時刻は、ログ検索表示部３４２がログ検索部３２４から入力したログレコード７５０に含まれる日付時刻７５１によって示される時刻であってもよい。これにより、その統合ＩＤによって識別される対象の当時の属性を取得することができるので、ログ検索表示部３４２が出力した情報を見た利用者が、容易に実体を把握することができる。
ログ検索表示部３４２が入力するログ検索条件は、対象の属性についての条件を含んでいてもよい。
例えば、現在「２棟８階」に設置されている「ＰＣサーバ」について検索したい場合や、２００１年当時「人事部」にいた「山口花子」さんについて検索したい場合などは、統合ユーザＩＤや統合機器ＩＤが不明であっても、属性についての条件に基づいて検索をする。このように、日時を指定して属性を検索すれば、例えば「山口花子」さんが結婚して姓が変わったことを知らなくても、検索が可能になる。
ログ蓄積部３２３がログＤＢ３２５に蓄積した加工済ログ７０５には、統合ユーザＩＤ７５４や統合機器ＩＤ７５５などの統合ＩＤが含まれているが、その対象の属性についての情報は含まれていない。
そこで、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報照会部３４１を介して、統合ＩＤ属性情報取得部３３２に対して、その属性を有する対象の統合ＩＤを照会する。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、照会された条件に合致する管理属性情報７２０を検索し、検索結果を出力する。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２が出力した検索結果を入力する。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、入力した検索結果から統合ＩＤを取得し、取得した統合ＩＤを含むログ検索条件を生成して、生成したログ検索条件をログ検索部３２４に対して出力する。
次に、動作について説明する。
図２２は、この実施の形態における検索結果表示部１４２がログを照会するログ照会処理の流れの一例を示すフローチャート図である。
Ｓ４０１において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、ログ検索条件８０１をキーボード９０２などの入力装置から入力する。
ログ検索条件８０１は、例えば、ＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ）文などにより、加工済ログ７０５を検索する条件を示す情報である。
Ｓ４０２において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４０１で入力したログ検索条件８０１を解析する。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、ログ検索条件８０１を解析した結果に基づき、ログ検索条件８０１に統合ＩＤについての条件が含まれているか否かを判断する。
ログ検索条件８０１に統合ＩＤについての条件が含まれていると判断した場合には、Ｓ４０７へ進む。
ログ検索条件８０１に統合ＩＤについての条件が含まれていないと判断した場合には、Ｓ４０３へ進む。
Ｓ４０３において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４０２でログ検索条件８０１を解析した結果に基づき、ログ検索条件８０１に属性についての条件が含まれているか否かを判断する。
ログ検索条件８０１に属性についての条件が含まれていると判断した場合には、Ｓ４０４へ進む。
ログ検索条件８０１に属性についての条件が含まれていないと判断した場合には、Ｓ４０７へ進む。
Ｓ４０４において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４０２でログ検索条件８０１を解析した結果得られた属性についての条件に基づき、属性照会データ８０２を生成する。
属性照会データ８０２は、統合ＩＤ属性情報取得部３３２に対して管理属性情報７２０（図１５参照）の検索を要求する情報である。この場合、属性照会データ８０２は、種別７２１、属性７２２と、検索する時刻を示す時刻情報とを指定して、条件に合致する管理属性情報７２０の検索を要求する情報である。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、生成した属性照会データ８０２を出力する。
ログ検索表示部３４２が出力した属性照会データ８０２は、統合ＩＤ属性情報照会部３４１を介して、統合ＩＤ属性情報取得部３３２が入力する。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、ＩＤ管理ＤＢ３３３が記憶した属性データベース７０２を検索し、入力した属性照会データ８０２が示す条件に合致する管理属性情報７２０を取得する。
統合ＩＤ属性情報取得部３３２が、ＣＰＵ９１１などの処理装置を用いて、取得した管理属性情報７２０を、属性照会結果８０３として出力する。
Ｓ４０５において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２が出力した属性照会結果８０３を、統合ＩＤ属性情報照会部３４１経由で入力する。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、入力した属性照会結果８０３を解析して、管理属性情報７２０に含まれる統合ＩＤを取得する。
Ｓ４０６において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４０５で取得した統合ＩＤと一致する統合ＩＤを検索する検索条件を、Ｓ４０１で入力したログ検索条件８０１に追加する。
Ｓ４０７において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４０１で入力したログ検索条件８０１またはＳ４０６で生成したログ検索条件８０１を、ログ検索部３２４に対して出力する。
ログ検索部３２４は、ＣＰＵ９１１などの処理装置を用いて、ログ検索表示部３４２が出力したログ検索条件８０１を入力し、ログＤＢ３２５が記憶した加工済ログ７０５を検索して、条件に合致するログレコード７５０を取得する。
ログ検索部３２４は、ＣＰＵ９１１などの処理装置を用いて、取得したログレコード７５０をログ検索結果８０４として出力する。
Ｓ４０８において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、ログ検索部３２４が出力したログ検索結果８０４を入力する。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、入力したログ検索結果８０４を解析して、ログレコード７５０に含まれる統合ＩＤと日付時刻７５１とを取得する。
Ｓ４０９において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４０８で取得した統合ＩＤによって識別される対象の有する属性の検索を要求する属性照会データ８０５を生成する。
この場合、属性照会データ８０５は、統合ＩＤ７２３と時刻情報とを指定した情報である。
時刻情報が示す時刻は、Ｓ４０８で取得した日付時刻７５１が示す時刻である。これにより、そのログが記録された当時の属性を知ることができる。
あるいは、時刻情報は、現在時刻を示すものであってもよい。そうすれば、その対象が現在どういう状態にあるかを知ることができる。
ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、生成した属性照会データ８０５を出力する。
ログ検索表示部３４２が出力した属性照会データ８０５は、統合ＩＤ属性情報照会部３４１を経由して、統合ＩＤ属性情報取得部３３２が入力する。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、ＩＤ管理ＤＢ３３３が記憶した属性データベース７０２を検索し、入力した属性照会データ８０５が示す条件に合致する管理属性情報７２０を取得する。
統合ＩＤ属性情報取得部３３２は、取得した管理属性情報７２０を、属性照会結果８０６として出力する。
Ｓ４１０において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２が出力した属性照会結果８０６を、統合ＩＤ属性情報照会部３４１を介して入力する。
Ｓ４１１において、ログ検索表示部３４２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４０８で入力したログ検索結果８０４を、利用者が見やすい形にして照会結果８０７とし、ＣＲＴなどの表示装置９０１やその他の出力装置に出力する。
ログ検索表示部３４２は、ログレコード７５０に含まれる統合ＩＤについて、ログが記録された当時、または現在において、その統合ＩＤによって識別される対象が有する属性を、Ｓ４１０で入力した属性照会結果８０６から取得し、わかりやすい形でログレコード７５０に付加して出力する。
これにより、ログの解析過程において統合ＩＤが割り出された場合、それに付随する属性情報も参照できるので、実体が把握し易くなり、解析性が向上する。
また、属性情報を照会する際、統合ＩＤのみならず、ログレコードの記録された時刻をキーに照会するので、時間とともに変化する属性情報の中から、ログが記録された時刻における属性情報を照会でき、解析性が向上する。
さらに、属性情報を照会する際、上記に加え、現在時刻もキーに照会するので、ログが記録された時刻における属性情報の他に、現在の属性情報も照会でき、現在の連絡先などをすぐに把握することができる。
このように、統合ＩＤはログを蓄積する際に照会してログに反映させておき、属性情報はログを検索する際に照会して表示することにより、以下の効果を奏する。
蓄積されたログには統合ＩＤが反映されているため、統合ＩＤによる検索が可能となり、複数ログに分散記録された特定ユーザ或いは特定機器に関するログを一括検索することができる。
一方、統合ＩＤに付随する属性情報は、ログ検索・表示時に反映するため、蓄積するログの量を抑えることができる。
この実施の形態におけるログ管理システム３００（履歴管理装置）は、更に、情報を入力するキーボード９０２などの入力装置と、情報を出力するＣＲＴなどの表示装置９０１やその他の出力装置と、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ７２３（管理識別情報）と、統合ＩＤ７２３によって識別される対象の属性を示す情報である属性７２２（属性情報）とを含む情報である管理属性情報７２０を磁気ディスク装置９２０などの記憶装置に記憶するＩＤ管理ＤＢ３３３（属性記憶部）と、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤを入力し、ＣＰＵ９１１などの処理装置を用いて、ＩＤ管理ＤＢ３３３が記憶した管理属性情報７２０のなかから、入力した統合ＩＤと、管理属性情報７２０に含まれる統合ＩＤ７２３とが一致する管理属性情報７２０を抽出し、ＣＰＵ９１１などの処理装置を用いて、週出した管理属性情報７２０に含まれる情報を出力する統合ＩＤ属性情報取得部３３２（属性検索部）と、ＣＰＵ９１１などの処理装置を用いて、検索条件を示す情報であるログ検索条件８０１（検索条件情報）を、キーボード９０２などの入力装置から入力し、ＣＰＵ９１１などの処理装置を用いて、入力したログ検索条件８０１によって示される検索条件を示す情報を、ログ検索部３２４（履歴検索部）が入力する履歴検索条件情報として出力し、ＣＰＵ９１１などの処理装置を用いて、ログ検索部３２４が出力した加工済ログ７０５に含まれる情報を入力し、ＣＰＵ９１１などの処理装置を用いて、入力した加工済ログ７０５に含まれる統合ＩＤを、統合ＩＤ属性情報取得部３３２が入力する統合ＩＤとして出力し、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２が出力した管理属性情報７２０に含まれるを入力し、ＣＰＵ９１１などの処理装置を用いて、入力した加工済ログ７０５に含まれる情報と、入力した管理属性情報７２０に含まれる情報とをＣＲＴなどの表示装置９０１やその他の出力装置に出力するログ検索表示部３４２（履歴照会部）とを有することを特徴とする。
この実施の形態におけるログ管理システム３００によれば、加工済ログ７０５に含まれる統合ＩＤを条件として、ログ検索部３２４が加工済ログ７０５のログレコード７５０を検索し、統合ＩＤによって識別される対象の属性を示す管理属性情報７２０を、統合ＩＤ属性情報取得部３３２が検索し、ログ検索表示部３４２が検索した加工済ログ７０５と管理属性情報７２０とを合わせて出力するので、膨大なログのなかから必要とするログレコード７５０を容易に見つけることができるという効果を奏する。
この実施の形態におけるログ管理システム３００（履歴管理装置）は、ＩＤ管理ＤＢ３３３（属性記憶部）が、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ（管理識別情報）によって識別される対象が属性７２２（属性情報）によって示される属性を有する期間示す情報である開始時刻７２４及び終了時刻７２５（属性期間情報）を更に含む管理属性情報７２０を磁気ディスク装置９２０などの記憶装置に記憶し、統合ＩＤ属性情報取得部３３２（属性検索部）が、ＣＰＵ９１１などの処理装置を用いて、時刻を示す情報である時刻情報と、統合ＩＤとを入力し、ＣＰＵ９１１などの処理装置を用いて、ＩＤ管理ＤＢ３３３が記憶した管理属性情報７２０のなかから、入力した統合ＩＤと、管理属性情報７２０に含まれる統合ＩＤ７２３とが一致し、かつ、入力した時刻情報によって示される時刻が、管理属性情報７２０に含まれる開始時刻７２４及び終了時刻７２５によって示される期間内である管理属性情報７２０を抽出し、ＣＰＵ９１１などの処理装置を用いて、抽出した管理属性情報７２０を出力し、ログ検索表示部３４２が、ＣＰＵ９１１などの処理装置を用いて、入力した加工済ログ７０５のログレコード７５０（加工済履歴情報）に含まれる日付時刻７５１（発生時刻情報）によって示される発生時刻を示す情報を、統合ＩＤ取得部３３１が入力する時刻情報として出力することを特徴とする。
この実施の形態におけるログ管理システム３００によれば、統合ＩＤ属性情報取得部３３２が、ログが記録された時刻における管理属性情報７２０を検索するので、ログが記録された時刻における対象の属性を知ることができ、ログの可読性が向上するという効果を奏する。
この実施の形態におけるログ管理システム３００（履歴管理装置）は、更に、ログ検索表示部３４２（履歴照会部）が、ＣＰＵ９１１などの処理装置を用いて、現在時刻を示す情報を、統合ＩＤ属性情報取得部３３２（属性検索部）が入力する時刻情報として出力することを特徴とする。
この実施の形態におけるログ管理システム３００によれば、統合ＩＤ属性情報取得部３３２が、現在時刻における管理属性情報７２０を検索するので、判明した対象の現在の属性を知ることができ、ログの可読性が向上するという効果を奏する。
この実施の形態におけるログ加工装置１１０は、統合ＩＤが、実体を識別するために割り当てられたＩＤであり、実体に付随する属性情報（個人であれば所属名、機器であれば設置場所など）を統合ＩＤに紐付けて管理し、統合ＩＤから属性情報の照会をすることを特徴とする。
この実施の形態におけるログ加工装置１１０は、統合ＩＤに付属する属性情報を、それらの有効期間範囲とともに管理し（例えば個人の所属部署は時間とともに変わる）、統合ＩＤから属性情報を照会する時に、統合ＩＤと時刻の両方を引数に照会することを特徴とする。
この実施の形態におけるログ加工装置１１０は、統合ＩＤ照会時に現在時刻も引数に追加して照会することを特徴とする。
この実施の形態におけるログ加工装置１１０は、ログへの統合ＩＤの反映を、ログ蓄積時に行うことを特徴とする。
この実施の形態におけるログ加工装置１１０は、付随する属性情報（所属部署名、氏名、住所、など）を検索・表示時に反映することを特徴とする。
この実施の形態におけるログ加工装置１１０によれば、ログ蓄積前にログに統合ＩＤを反映するので、統合ＩＤが後のログ解析性に効果を発揮する。
実施の形態５．
実施の形態５について、図２３〜図２５を用いて説明する。
この実施の形態のおけるログ管理システム３００、ログ加工装置１１０、管理端末装置１４０の構成は、実施の形態４で説明したものと同様なので、ここでは説明を省略する。
図２３は、この実施の形態におけるログ加工装置１１０の内部ブロックの詳細な構成の一例を示す詳細ブロック図である。
統合ＩＤ照会部３２２は、ログレコード解析部３７１、統合ＩＤ照会データ生成部３７２、統合ＩＤ照会結果解析部３７３、ログレコード加工部３７４を有する。
ログレコード解析部３７１は、ＣＰＵ９１１などの処理装置を用いて、ログ収集部３２１が出力したログ７０４から、ログレコード７４０を１行ずつ読み込む。ログレコード解析部３７１は、ＣＰＵ９１１などの処理装置を用いて、読み込んだログレコード７４０を解析して、日付時刻７４１や個別ユーザＩＤ７４２などを取得する。
ログレコード解析部３７１は、ＣＰＵ９１１などの処理装置を用いて、取得した日付時刻７４１や個別ユーザＩＤ７４２などを出力する。
統合ＩＤ照会データ生成部３７２は、ＣＰＵ９１１などの処理装置を用いて、ログレコード解析部３７１が取得した個別ユーザＩＤ７４２や個別機器ＩＤ７４３などの個別ＩＤ７６１、日付時刻７４１を入力する。統合ＩＤ照会データ生成部３７２は、ＣＰＵ９１１などの処理装置を用いて、入力した個別ＩＤ７６１などに基づいて、統合ＩＤ照会データ７０６を生成する。統合ＩＤ照会データ生成部３７２は、生成した統合ＩＤ照会データ７０６を、統合ＩＤ取得部３３１に対して出力する。
統合ＩＤ照会結果解析部３７３は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ取得部３３１が統合ＩＤ照会データ７０６に基づいて個別ＩＤデータベース７０１を検索した検索結果を示す統合ＩＤ照会結果７０７を入力する。統合ＩＤ照会結果解析部３７３は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会結果７０７を解析して、統合ＩＤ７７４及び送受信種別７９１を取得する。統合ＩＤ照会結果解析部３７３は、ＣＰＵ９１１などの処理装置を用いて、取得した統合ＩＤ７７４及び送受信種別７９１を出力する。
ログレコード加工部３７４は、ＣＰＵ９１１などの処理装置を用いて、ログ収集部３２１が出力したログ７０４を入力する。ログレコード加工部３７４は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会結果解析部３７３が出力した統合ＩＤ７７４及び送受信種別７９１を入力する。ログレコード加工部３７４は、ＣＰＵ９１１などの処理装置を用いて、入力したログ７０４を加工し、入力した統合ＩＤ７７４及び送受信種別７９１を追加して、加工済ログ７０５を生成する。ログレコード加工部３７４は、ＣＰＵ９１１などの処理装置を用いて、生成した加工済ログ７０５を、ログ蓄積部３２３に対して出力する。
この実施の形態のログ収集部３２１が収集するログ７０４は、利用者が、監視対象機器５００であるコンピュータを用いて電子メールの送受信操作を行ったことを記録したログである。ログ収集部３２１が収集するログ７０４に含まれるログレコード７４０は、メール送信履歴情報の一例である。
ＩＤ管理ＤＢ３３３は、個別ＩＤ記憶部３６１、ドメイン種別記憶部３７５、送受信種別テーブル記憶部３７７を有する。
個別ＩＤ記憶部３６１は、ＣＰＵ９１１などの処理装置を用いて、個別ＩＤデータベース７０１を、磁気ディスク装置９２０などの記憶装置に記憶している。
ドメイン種別記憶部３７５は、ＣＰＵ９１１などの処理装置を用いて、電子メールアドレス７８３のドメイン名と、そのドメインの種別との対応関係を示すドメイン種別テーブルを、磁気ディスク装置９２０などの記憶装置に記憶している。
送受信種別テーブル記憶部３７７は、ＣＰＵ９１１などの処理装置を用いて、送信元種別及び送信先種別と、そのメールの送受信の種別との対応関係を示す送受信種別テーブルを、磁気ディスク装置９２０などの記憶装置に記憶している。
統合ＩＤ取得部３３１は、照会データ取得部３５１、統合ＩＤ検索部３５２、ドメイン種別判定部３７６、送受信種別判定部３７８、照会結果通知部３５３を有する。
照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ生成部３７２が出力した統合ＩＤ照会データ７０６を入力する。照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６を、統合ＩＤ検索部３５２に対して出力する。照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６に含まれる個別ＩＤが電子メールアドレスである場合、ドメイン種別判定部３７６に対して、その電子メールアドレスを出力する。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、照会データ取得部３５１が出力した統合ＩＤ照会データ７０６を入力する。統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６に基づいて、個別ＩＤ記憶部３６１が記憶した個別ＩＤデータベース７０１を検索し、統合ＩＤ照会データ７０６に含まれる個別ＩＤに対応する統合ＩＤを取得する。統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、取得した統合ＩＤを出力する。
ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、照会データ取得部３５１が出力した電子メールアドレス７８３を入力する。ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、入力した電子メールアドレス７８３からドメイン名を取得する。ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、ドメイン種別記憶部３７５が記憶したドメイン種別テーブルを検索して、取得したドメイン名を有するドメインの種別を判定する。ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、判定したドメインの種別を示すドメイン種別７８１を出力する。なお、ドメイン種別７８１には、送信元メールアドレスについてのドメイン種別である送信元種別と、送信先メールアドレスについてのドメイン種別である送信先種別との２種類があり、ドメイン種別判定部３７６は、送信元種別と送信先種別との２つのドメイン種別７８１を出力する。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、ドメイン種別判定部３７６が出力したドメイン種別７８１を入力する。送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブルを検索して、メールの送受信の種別を判定する。送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、判定した送受信の種別を示す送受信種別７９１を出力する。
照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した統合ＩＤ７７４と、送受信種別判定部３７８が出力した送受信種別７９１とを入力する。照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ７７４と送受信種別７９１とに基づいて、統合ＩＤ照会結果７０７を生成する。照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、生成した統合ＩＤ照会結果７０７を出力する。
図２４は、この実施の形態におけるＩＤ管理装置１３０の各ブロックの間でやり取りされる情報の一例を示す図である。
ログ収集部３２１が収集して出力したログ７０４に含まれる各ログレコード７４０に基づいて、統合ＩＤ照会データ生成部３７２が生成して出力する統合ＩＤ照会データ７０６は、日付時刻７４１、個別ユーザＩＤ７４２、個別機器ＩＤ７４３、送信元メールアドレス７４６、送信先メールアドレス７４７などを含む。
日付時刻７４１は、利用者が電子メールを送受信した時刻を示す情報（送信時刻情報）である。
個別ユーザＩＤ７４２は、電子メールを送受信した利用者を示す識別情報であり、例えば、ＯＳのログオン名である。
個別機器ＩＤ７４３は、利用者が電子メールを送受信した機器を示す識別情報であり、例えば、コンピュータのマシン名である。
送信元メールアドレス７４６は、利用者が電子メールを送信した場合であれば、利用者が送信に用いたメールアドレスを示す情報である。利用者が電子メールを受信した場合であれば、受信したメールの送信者が用いたメールアドレスを示す情報である。
送信先メールアドレス７４７は、利用者が電子メールを送信した場合であれば、送信した電子メールの宛先を示すメールアドレスを示す情報である。利用者が電子メールを受信した場合であれば、受信したメールの宛先である利用者のメールアドレスを示す情報である。
日付時刻７４１は、移動時刻情報の一例である。個別ユーザＩＤ７４２、個別機器ＩＤ７４３、送信元メールアドレス７４６、送信先メールアドレス７４７は、個別ＩＤの一例である。送信元メールアドレス７４６は、移動元情報の一例である。送信先メールアドレス７４７は、移動先情報の一例である。
ログレコード解析部３７１は、ＣＰＵ９１１などの処理装置を用いて、ログレコード７４０を解析し、日付時刻７４１、個別ユーザＩＤ７４２などの個別ＩＤを取得して出力する。
統合ＩＤ照会データ生成部３７２は、ＣＰＵ９１１などの処理装置を用いて、ログレコード解析部３７１が出力した日付時刻７４１、個別ユーザＩＤ７４２などの個別ＩＤを入力する。統合ＩＤ照会データ生成部３７２は、ＣＰＵ９１１などの処理装置を用いて、それぞれのログレコード７４０について、そのログレコード７４０の日付時刻７４１と、そのログレコード７４０に含まれる個別ＩＤのリストとからなる統合ＩＤ照会データ７０６を生成する。統合ＩＤ照会データ生成部３７２は、ＣＰＵ９１１などの処理装置を用いて、生成した統合ＩＤ照会データ７０６を出力する。
照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ生成部３７２が出力した統合ＩＤ照会データ７０６を入力し、解析する。照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６から、日付時刻７４１と電子メールアドレス７８３（送信元メールアドレス７４６と送信先メールアドレス７４７）を取得する。照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、取得した日付時刻７４１と電子メールアドレス７８３とを、ドメイン種別判定部３７６に対して出力する。
ドメイン種別記憶部３７５が記憶しているドメイン種別テーブル７８０は、項目として、ドメイン名７８２、ドメイン種別７８１、開始時刻７８４、終了時刻７８５を有するテーブル形式の情報である。
ドメイン名７８２は、メールアドレスの「＠」より後ろの部分の文字列であり、ドメインを示す情報である。
ドメイン種別７８１は、ドメイン名７８２が示すドメインの種別を示す情報である。例えば、そのドメインが「社内」のドメインであるか、「社外」のドメインであるかを示す。なお、これは一例であってもっと細かな種別を設けて区別してもよい。例えば、「社内」のドメインを更に細かく分類し、「人事部」のドメイン、「営業部」のドメインなどの種別を設けてもよい。また、「社外」のドメインを更に細かく分類し、「取引先」のドメイン」、「同業他社」のドメインなどの種別を設けてもよい。
開始時刻７８４及び終了時刻７８５は、そのドメイン名７８２が示すドメインが、そのドメイン種別７８１が示す種別のドメインである期間を示す情報である。開始時刻７８４はその期間の開始時刻を示す。終了時刻７８５はその期間の終了時刻を示す。
例えば、新たなドメイン名を獲得して使用を始めた場合や、それまで取引関係のなかった相手との取引を始めた結果、「社外」だったドメインが「取引先」になった場合など、ドメイン名７８２とドメイン種別７８１との対応関係も、時刻によって変化する場合があるので、開始時刻７８４及び終了時刻７８５によって、その対応関係がある期間を特定しておく。
開始時刻７８４及び終了時刻７８５は、管理情報７１０や管理属性情報７２０における開始時刻７１４，７２４や終了時刻７１５，７２５と同様なので、更に詳しい説明は省略する。
ドメイン種別判定部３７６は、メールアドレス文字列を入力とし、「＠」以降のドメイン文字列から社内アドレスか社外アドレスかを判定するものである。
ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、照会データ取得部３５１が出力した電子メールアドレス７８３を入力し、ドメイン種別記憶部３７５が記憶したドメイン種別テーブル７８０を検索して、ドメイン種別７８１を取得し、取得したドメイン種別７８１を出力する。
ドメイン種別判定部３７６は、ドメイン種別記憶部３７５が記憶したドメイン種別テーブル７８０のなかに、入力した電子メールアドレス７８３のドメイン名がない場合には、そのドメインは「社外」のドメインであると判定することとしてもよい。ドメイン名が未知であるということは、少なくとも「社内」のドメインではないと判断できるからである。
送受信種別テーブル記憶部３７７が記憶している送受信種別テーブル７９０は、項目として、送信元種別７９２、送信先種別７９３、送受信種別７９１を有するテーブル形式の情報である。
送信元種別７９２は、送信元メールアドレス７４６のドメイン種別７８１を示す情報である。
送信先種別７９３は、送信先メールアドレス７４７のドメイン種別７８１を示す情報である。
送受信種別７９１は、メールの送受信の方向を示す情報である。この例では、「社内から社内へ」の場合を「１」、「社内から社外へ」の場合を「２」、「社外から社内へ」の場合を「３」、「社外から社外へ」の場合を「４」と定義している。しかし、送受信種別７９１は数字である必要はない。
送受信種別判定部３７８は、送信元アドレス及び送信先アドレスが各々社内か社外かの情報を入力とし、送受信種別テーブル７９０を参照して、入力情報の関係から送受信種別を決定するものである。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、ドメイン種別判定部３７６が出力したドメイン種別７８１を入力し、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブル７９０を検索して、送受信種別７９１を取得し、取得した送受信種別７９１を出力する。
照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した統合ユーザＩＤ７５４や統合機器ＩＤ７５５などの統合ＩＤと、送受信種別判定部３７８が出力した送受信種別７９１とを入力して、統合ＩＤ照会結果７０７を生成し、生成した統合ＩＤ照会結果７０７を出力する。
次に、動作について説明する。
図２５は、この実施の形態におけるＩＤ管理装置１３０が統合ＩＤを検索するＩＤ検索処理の流れの一例を示すフローチャート図である。
Ｓ４２１において、照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ生成部３７２が出力した統合ＩＤ照会データ７０６を入力する。照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２に対して、入力した統合ＩＤ照会データ７０６を出力する。照会データ取得部３５１はＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６を解析して、日付時刻７４１、送信元メールアドレス７４６、送信先メールアドレス７４７を取得する。照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、ドメイン種別判定部３７６に退位して、取得した日付時刻７４１、送信元メールアドレス７４６、送信先メールアドレス７４７を出力する。
Ｓ４２２の処理と、Ｓ４２６からＳ４２７までの処理とは、並列して実行される。しかし、一方の処理を先に実行し、他方の処理を後に実行してもよい。
Ｓ４２２において、統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４２１で照会データ取得部３５１が出力した統合ＩＤ照会データ７０６を入力する。統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６に含まれる日付時刻７４１、個別ユーザＩＤ７４２、個別機器ＩＤ７４３、送信元メールアドレス７４６、送信先メールアドレス７４７を取得する。統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、個別ＩＤ記憶部３６１が記憶した個別ＩＤデータベース７０１を検索し、取得した日付時刻７４１が示す時刻において、個別ユーザＩＤ７４２、個別機器ＩＤ７４３などの個別ＩＤに対応する統合ＩＤを検索する。また、送信元メールアドレス７４６、送信先メールアドレス７４７も個別ＩＤ（個別ユーザＩＤ）の一種であるから、統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、日付時刻７４１が示す時刻において、送信元メールアドレス７４６、送信先メールアドレス７４７に対応する統合ＩＤも同様に検索する。統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、検索した統合ＩＤを出力する。
その後、Ｓ４２４へ進む。
一方、Ｓ４２６において、ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４２１で照会データ取得部３５１が出力した日付時刻７４１、送信元メールアドレス７４６、送信先メールアドレス７４７を入力する。ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、入力した送信元メールアドレス７４６及び送信先メールアドレス７４７それぞれのドメイン名を取得する。ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、ドメイン種別記憶部３７５が記憶したドメイン種別テーブル７８０のなかから、取得した送信元メールアドレス７４６及び送信先メールアドレス７４７のドメイン名を検索し、対応するドメイン種別７８１を取得する。ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、送信元メールアドレス７４６に対応するドメイン種別７８１である送信元種別と、送信先メールアドレス７４７に対応するドメイン種別７８１である送信先種別とを出力する。
Ｓ４２７において、送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４２６でドメイン種別判定部３７６が出力したドメイン種別７８１（送信元種別及び送信先種別）を入力する。送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブル７９０のなかから、入力した送信元種別及び送信先種別に対応する送受信種別７９１を取得する。送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、取得した送受信種別７９１を出力する。
その後、Ｓ４２４へ進む。
Ｓ４２４において、照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４２２で統合ＩＤ検索部３５２が出力した統合ＩＤ７７４を入力する。照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、Ｓ４２７で送受信種別判定部３７８が出力した送受信種別７９１を入力する。照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ７７４及び入力した送受信種別７９１に基づいて、統合ＩＤ照会結果７０７を生成する。照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、生成した統合ＩＤ照会結果７０７を出力する。
図２４に示した具体例を用いて、動作の流れを説明する。
照会データ取得部３５１は、入力した統合ＩＤ照会データ７０６を解析して、日付時刻７４１「２００５／０３／２８ １０：０１：４７」と送信元メールアドレス７４６「Ｓｕｚｕｋｉ．Ｈａｎａｋｏ＠ｄｏｍａｉｎ．ｃｏ．ｊｐ」と送信先メールアドレス７４７「ｘｙｚ＠ｃｏｍｐａｎｙ．ｃｏ．ｊｐ」とを取得し、ドメイン種別判定部３７６に対して出力する（図２５のＳ４２１）。
ドメイン種別判定部３７６は、照会データ取得部３５１が出力した日付時刻７４１「２００５／０３／２８ １０：０１：４７」と送信元メールアドレス７４６「Ｓｕｚｕｋｉ．Ｈａｎａｋｏ＠ｄｏｍａｉｎ．ｃｏ．ｊｐ」と送信先メールアドレス７４７「ｘｙｚ＠ｃｏｍｐａｎｙ．ｃｏ．ｊｐ」とを入力し、解析して、送信元ドメイン名「ｄｏｍａｉｎ．ｃｏ．ｊｐ」と送信先ドメイン名「ｃｏｍｐａｎｙ．ｃｏ．ｊｐ」とを取得する。ドメイン種別判定部３７６は、これをドメイン種別記憶部３７５が記憶したドメイン種別テーブル７８０と照合することにより、送信元種別「社内」と送信先種別「社外」とを取得し、出力する（図２５のＳ４２６）。
送受信種別判定部３７８は、ドメイン種別判定部３７６が出力した送信元種別「社内」と送信先種別「社外」とを入力し、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブル７９０と照合することにより、送受信種別７９１「２」を取得し、出力する（図２５のＳ４２７）。
照会結果通知部３５３は、統合ＩＤ検索部３５２が出力した統合ＩＤと、送受信種別判定部３７８が出力した送受信種別７９１とを入力し、統合ＩＤ照会結果７０７を生成する。
この例において、照会結果通知部３５３は、統合ＩＤ照会データ７０６に含まれる個別ＩＤのリストと同じ順番で統合ＩＤを並べ、最後に送受信種別７９１を加えたリストを生成して、統合ＩＤ照会結果７０７としている。すなわち、この例に示した統合ＩＤ照会結果７０７は、個別ユーザＩＤ７４２「ｓｕｚｕｋｉ」に対応する統合ＩＤは統合ユーザＩＤ７５４「ＵＳＥＲ１２３４５６」、個別機器ＩＤ７４３「ｐｃ００１」に対応する統合ＩＤは統合機器ＩＤ７５５「ＡＳＳＥＴ１４７２５８」、送信元メールアドレス７４６「Ｓｕｚｕｋｉ．Ｈａｎａｋｏ＠ｄｏｍａｉｎ．ｃｏ．ｊｐ」に対応する統合ＩＤは統合ユーザＩＤ７５４「ＵＳＥＲ１２３４５６」、送信先メールアドレス７４７「ｘｙｚ＠ｃｏｍｐａｎｙ．ｃｏ．ｊｐ」に対応する統合ＩＤはドメイン種別７８１「社外」であり、送受信種別７９１は「２」であることを示している。
なお、送信先メールアドレス７４７「ｘｙｚ＠ｃｏｍｐａｎｙ．ｃｏ．ｊｐ」は、社外のメールアドレスなので、個別ＩＤ記憶部３６１が記憶した個別ＩＤデータベース７０１には、対応する統合ＩＤがない。しかし、社外のメールアドレスに対応する統合ＩＤがないのは当然なので、照会結果通知部３５３は、該当なし情報や異常発生情報ではなく、その個別ＩＤが「社外」のものであることを示すドメイン種別７８１を、統合ＩＤの代わりに返す。
なお、この実施の形態では、電子メールの送受信を記録したログを加工する場合を例に説明したが、データの移動を伴う操作であれば、電子メールの送受信に限らず、様々な操作を記憶したログを加工する構成としてもよい。
この実施の形態におけるログ管理システム３００（履歴管理装置）は、統合ＩＤ取得部３３１（管理検索部）が、ＣＰＵ９１１などの処理装置を用いて、データを移動した時刻である移動時刻を示す情報である移動時刻情報を時刻情報として入力し、データを移動した移動元を示す情報である移動元情報と、データを移動した移動先を示す情報である移動先情報とを、対象情報として入力し、ＣＰＵ９１１などの処理装置を用いて、入力した移動元情報に基づいて、移動元の種別を判別し、入力した移動先情報に基づいて、移動先の種別を判別し、判別した移動元の種別と判別した移動先の種別とに基づいて、データの移動方向を判別し、ＣＰＵ９１１などの処理装置を用いて、判別したデータの移動方向を示す情報である移動方向情報を出力し、統合ＩＤ照会部３２２（履歴加工部）は、更に、ＣＰＵ９１１などの処理装置を用いて、移動時刻情報と移動元情報と移動先情報とを含む情報であるデータ移動履歴情報を、発生履歴情報として入力し、ＣＰＵ９１１などの処理装置を用いて、入力したデータ移動履歴情報に含まれる移動時刻情報と移動元情報と移動先情報とを、統合ＩＤ取得部３３１に対して出力し、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ取得部３３１が出力した移動方向情報を入力し、ＣＰＵ９１１などの処理装置を用いて、入力した移動方向情報を更に含む加工済履歴情報を出力することを特徴とする。
この実施の形態におけるログ管理システム３００によれば、統合ＩＤ取得部３３１が、データの移動を伴う操作を記録したログについて、データの移動方向を判定し、判定した結果を示す移動方向情報を含む加工済ログを、統合ＩＤ照会部３２２が出力するので、例えば、のちに情報漏洩が発生した場合に、その情報漏洩の原因となる方向にデータを移動した操作を迅速に発見することができるという効果を奏する。
この実施の形態におけるログ管理システム３００（履歴管理装置）は、ＩＤ管理ＤＢ３３３が、ＣＰＵ９１１などの処理装置を用いて、利用者を識別する情報である利用者識別情報を、統合ユーザＩＤ（管理識別情報）として含み、その利用者が所有する電子メールアドレスを個別ユーザＩＤ（対象識別情報）として含む管理情報７１０を磁気ディスク装置９２０などの記憶装置に記憶し、統合ＩＤ照会部３２２が、ＣＰＵ９１１などの処理装置を用いて、電子メールを送信した時刻である送信時刻を示す情報である日付時刻７４１（送信時刻情報）と、その電子メールの送信元を示す電子メールアドレスである送信元メールアドレス７４６と、その電子メールの送信先を示す電子メールアドレスである送信先メールアドレス７４７とを含む情報であるログレコード７４０（メール送信履歴情報）を、データ移動履歴情報として入力し、ＣＰＵ９１１などの処理装置を用いて、入力したログレコード７４０に含まれる日付時刻７４１を統合ＩＤ取得部３３１が入力する移動時刻情報として出力し、入力したログレコード７４０に含まれる送信元メールアドレス７４６を統合ＩＤ取得部３３１が入力する移動元情報として出力し、入力したログレコード７４０に含まれる送信先メールアドレス７４７を統合ＩＤ取得部３３１が入力する移動先情報として出力し、統合ＩＤ照会部３２２が、ＣＰＵ９１１などの処理装置を用いて、入力した送信元メールアドレス７４６に基づいて、送信元のドメイン種別７８１を判別し、入力した送信先メールアドレス７４７に基づいて、送信先のドメイン種別７８１を判別し、判別した送信元のドメイン種別７８１と判別した送信先のドメイン種別７８１とに基づいて、その電子メールの送受信方向を判別し、ＣＰＵ９１１などの処理装置を用いて、判別したその電子メールの送受信方向を示す情報である送受信種別７９１（メール送受信方向情報）を移動方向情報として出力することを特徴とする。
この実施の形態におけるログ管理システム３００によれば、統合ＩＤ取得部３３１が、電子メールの送受信方向を示す送受信種別７９１を含むログについて、メールの送受信方向を判定し、判定した送受信方向を示す送受信種別７９１を含む加工済ログ７０５を、統合ＩＤ照会部３２２が出力するので、のちにメール送受信ログを検索する必要が生じた場合に、探したいログを迅速に発見することができるという効果を奏する。
例えば、情報漏洩が発生した場合、膨大なメール送信記録の中から、社内から社外に送信したメール記録を、上記送受信種別をキーとして検索し、対象ログを絞り込むことができる。
この実施の形態におけるログ加工装置１１０は、メール送信ログの送信元アドレスと送信先アドレスを読み取り、各々のドメインから社内、社外を判断し、メール送受信が、社内間、社内→社外、社外→社内、のいずれかを区別する判定手段により、その種別をログに反映し、また、ログはこの送受信種別を記録するためのカラムを持つフォーマットとすることを特徴とする。
この実施の形態におけるログ加工装置１１０によれば、統合ユーザＩＤ、統合機器ＩＤ以外にメール送信を記録したログレコードに対する「送受信種別」をログに反映するので、ログの解析性が更に向上するという効果がある。
実施の形態６．
実施の形態６について、図２６を用いて説明する。
この実施の形態におけるログ管理システム３００、ログ加工装置１１０、管理端末装置１４０の構成は、実施の形態５で説明したものと同様なので、ここでは説明を省略する。
この実施の形態におけるドメイン種別判定部３７６は、ドメイン種別記憶部３７５が記憶したドメイン種別テーブル７８０のなかに、取得したドメイン名と完全に一致するドメイン名が発見できない場合に、ドメイン名の一部を用いてそのドメイン名の種別を推定し、推定したドメイン種別７８１を出力する。
図２６は、この実施の形態におけるドメイン種別記憶部３７５が記憶しているドメイン種別テーブル７８０の一例を示す図である。
ドメイン種別テーブル７８０は、項目として、ドメイン種別７８１とドメイン名７８２と開始時刻７８４と終了時刻７８５とを有するテーブル形式のデータである。
この実施の形態におけるドメイン種別テーブル７８０は、一部に「＊」を含むドメイン名７８２を有する。ここで、「＊」は任意の文字列と一致するものとみなすことを示す文字の一例である。
また、この実施の形態におけるドメイン種別テーブル７８０は、ドメイン種別７８１として「社内」「社外」だけでなく、「取引先」「他社」「個人」などを細かく区別している。
この例では、ドメイン名が「ｄｏｍａｉｎ．ｃｏ．ｊｐ」と完全に一致する場合は「社内」と判断し、ドメイン名が「ｃｕｓｔｏｍｅｒ１．ｃｏ．ｊｐ」と完全に一致する場合は「取引先」と判断する。また、ドメイン名の後半が「．ｃｕｓｔｏｍｅｒ２．ｃｏ．ｊｐ」と一致する場合も「取引先」と判断する。これにより、この取引先がドメイン名の前半部分が異なる複数のドメイン名を有している場合に、複数のドメイン名をすべて記憶しておく必要がない。
また、ドメイン名が一致するものがなく、最後が「．ｃｏ．ｊｐ」で終わる場合には、「他社」と判断する。これは、会社が有するドメイン名が「．ｃｏ．ｊｐ」で終わる場合が多いので、未知のドメイン名であっても「．ｃｏ．ｊｐ」で終わる場合には、会社のドメインであると推定するものである。
同様に、ドメイン名が一致するものがなく、最後が「．ｎｅ．ｊｐ」で終わる場合には、「個人」と判断する。これは、個人向けのアドレスなどに「．ｎｅ．ｊｐ」で終わるアドレスがよく使われるので、未知のドメイン名であっても「．ｎｅ．ｊｐ」で終わる場合には、個人のドメインであると推定するものである。
このように、未知のドメイン名である場合に、そのドメインの種別を推定する規則をドメイン種別記憶部３７５がドメイン種別テーブル７８０に記憶しておき、ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、ドメイン種別７８１を推定する。
これにより、業務に関するメール送信なのか、私用の可能性の高いメール送信なのかを容易に判別することができる。
例えば、メールの送信先が「個人」あるいは取引関係のない「他社」である場合は、私用メールである可能性が高い。
そこで、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブル７９０において、メールの送信先が「個人」あるいは「他社」である場合には、特別な送受信種別７９１を割り当てておく。
メールの送信先が「個人」あるいは「他社」である場合、送受信種別判定部３７８が、送受信種別テーブル７９０から、特別な送受信種別７９１を取得し、ログレコード加工部３７４が加工済ログ７０５に反映する。
これにより、のちに情報漏洩などの問題が発生してメール送信記録を調べる必要が生じた場合に、その特別な送受信種別７９１を含むログレコード７５０を検索すれば、問題発生の原因となった行為を迅速に発見することができる。
また、ドメイン種別７８１が「社内」である場合、ドメイン種別判定部３７６は、ＩＤ管理ＤＢ３３３が記憶した個別ＩＤデータベース７０１及び属性データベース７０２とを駆使して、ドメイン種別７８１を更に細かく判別する。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、照会データ取得部３５１が出力した統合ＩＤ照会データ７０６に含まれる個別ＩＤに対応する統合ＩＤを検索し、出力する。
送信元メールアドレス７４６及び送信先メールアドレス７４７は、統合ＩＤ照会データ７０６に含まれる個別ＩＤの一種であるから、統合ＩＤ検索部３５２が出力する統合ＩＤのなかには、送信元メールアドレス７４６及び送信先メールアドレス７４７に対応する統合ＩＤもある。
ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した統合ＩＤのうち、ドメイン種別７８１が「社内」である送信元メールアドレス７４６または送信先メールアドレス７４７に対応する統合ＩＤを入力する。ドメイン種別判定部３７６は、入力した統合ＩＤについての管理属性情報７２０の照会を要求する属性照会データ８０２を生成し、統合ＩＤ属性情報取得部３３２に対して出力する。
ドメイン種別判定部３７６が生成する属性照会データ８０２は、例えば、その統合ＩＤによって識別される従業員の所属部署の照会を要求するものである。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、ドメイン種別判定部３７６が出力した属性照会データ８０２を入力し、ＩＤ管理ＤＢ３３３が記憶した属性データベース７０２を検索して、属性照会結果８０３を出力する。
ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２が出力した属性照会結果８０３を入力する。ドメイン種別判定部３７６は、ＣＰＵ９１１などの処理装置を用いて、入力した属性照会結果８０３を解析する。
ドメイン種別判定部３７６は、属性照会結果８０３に含まれる管理属性情報７２０から、例えば、そのメールアドレスの所有者（従業員）の所属部署（「営業部」「人事部」など）を判別する。
ドメイン種別判定部３７６は、判別した所属部署をドメイン種別７８１として出力する。
大きな会社であれば、同じ社内であっても互いに業務上なんのつながりもない部署が存在する場合がある。したがって、社内メールであっても、そのような部署間のメールは、私用メールである可能性が高い。
また、取引先とのメールであっても、例えば、資材部と資材納入業者との間のメールであれば正常な業務上のものである可能性が高いが、人事部と資材納入会社との間では通常業務に関するメールをやり取りする必要はないので、私用メールである可能性が高い。
そこで、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブル７９０において、このような私用メールである可能性が高い部署が相手である場合には、特別な送受信種別７９１を割り当てておく。
特別な送受信種別７９１は、やはり、加工済ログ７０５に反映されるので、のちに検索する際の助けとなる。
なお、照会結果通知部３５３は、統合ＩＤ７７４と送受信種別７９１だけでなく、ドメイン種別７８１も追加した統合ＩＤ照会結果７０７を生成することとしてもよい。その場合、ログレコード加工部３７４は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会結果７０７に含まれるドメイン種別７８１を、加工済ログ７０５に更に追加する。これにより、加工済ログ７０５の解析が更に容易になる。
また、照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、送受信種別判定部３７８が判定した送受信種別７９１が、私用メールである可能性が高いことなどを示す特別な送受信種別７９１である場合には、更に異常発生情報を追加した統合ＩＤ照会結果７０７を生成してもよい。その場合、ログレコード加工部３７４は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会結果７０７に含まれる異常発生情報も、加工済ログ７０５に更に追加する。これにより、加工済ログ７０５の解析が更に容易になる。
また、照会結果通知部３５３は、ＯＳのログオン名などを個別ユーザＩＤとして取得した統合ＩＤ７７４と、電子メールアドレスを個別ユーザＩＤとして取得した統合ＩＤ７７４とが不一致の場合にも、統合ＩＤ照会結果７０７に更に異常発生情報を追加することとしてもよい。他人のメールアドレスを不正に使用しているなど、不正な操作が行われている可能性が高いからである。
なお、警告出力部が、ログレコード加工部３７４が出力した加工済ログ７０５を入力し、異常発生情報が含まれている場合には、異常発生を示す警告をＣＲＴなどの表示装置９０１やその他の出力装置に表示・出力することとしてもよい。
この実施の形態におけるログ加工装置１１０は、統合ＩＤ取得部３３１（管理検索部）が、更に、ＣＰＵ９１１などの処理装置を用いて、判別した送信先の種別に基づいて、その電子メールが不審メールであるか否かを判断し、ＣＰＵ９１１などの処理装置を用いて、その電子メールが不審メールであると判断した場合に、異常発生を示す情報である異常発生情報をを出力することを特徴とする。
この実施の形態におけるログ加工装置１１０によれば、不審メールの可能性が高い電子メールの送受信記録に、統合ＩＤ照会部３２２が異常発生情報を付加して出力するので、のちに検索する必要が生じた場合に、膨大なログのなかから、不審メールの送受信を容易に見つけることができるという効果を奏する。
この実施の形態におけるログ加工装置１１０は、メール送信が社内から社外であった場合、送信先が会社か個人かをドメイン文字列などにより区別し、その種別をログに反映することを特徴とする。
この実施の形態におけるログ加工装置１１０は、社外のメールドメインを、あらかじめ、取引のある会社とそれ以外に分別しておき、メール送信が社内から社外であった場合、取引のある会社か否かを区別し、その種別をログに反映することを特徴とする。
この実施の形態におけるログ加工装置１１０は、メール送受信が、社内間であった場合、所外宛てか、他部宛てか、部内宛てかを区別し、その種別をログに反映することを特徴とする。
この実施の形態におけるログ加工装置１１０は、メール送信アドレス、受信アドレスに該当する統合ユーザＩＤをログに反映しておくことを特徴とする。
これにより、業務に関するメール送信か、私用の可能性が高いメール送信かを区別することができる。
また、取引のある会社宛てか否かを区別し、その種別もログに反映するように構成することにより、業務に関するメール送信か、不正宛先送信の可能性が高いメール送信かを区別することができる。
更に、社内メールであっても、事業所間によるものか、同一事業所内の異なる部間によるものか、同一部内間によるものかを区別し、その種別もログに反映することにより、社内宛てメールの使用状況を把握することができ、業務上あまり関係の無い部門宛ての送信など、不審と思われるメール送信状況を把握することができる。
また、送信先アドレスが社内宛ての場合、送信元アドレスと送信先アドレスに対応する統合ユーザＩＤを割り出し、それをそのままログに反映するようすることにより、ある特定の個人間のメール送受信記録を容易に検索することができる。
実施の形態７．
実施の形態７について、図２７〜図２８を用いて説明する。
この実施の形態のおけるログ管理システム３００、ログ加工装置１１０、管理端末装置１４０の構成は、実施の形態４で説明したものと同様なので、ここでは説明を省略する。
図２７は、この実施の形態におけるログ加工装置１１０の内部ブロックの詳細な構成の一例を示す詳細ブロック図である。
なお、実施の形態５で説明したブロックと同様のブロックについては、同一の符号を付し、説明を省略する。
統合ＩＤ照会部３２２は、ログレコード解析部３７１、統合ＩＤ照会データ生成部３７２、統合ＩＤ照会結果解析部３７３、ログレコード加工部３７４などを有する。
統合ＩＤ取得部３３１は、照会データ取得部３５１、統合ＩＤ検索部３５２、送受信種別判定部３７８、照会結果通知部３５３などを有する。
ＩＤ管理ＤＢ３３３は、個別ＩＤ記憶部３６１、属性記憶部３６２、送受信種別テーブル記憶部３７７などを有する。
属性記憶部３６２は、ＣＰＵ９１１などの処理装置を用いて、属性データベース７０２を磁気ディスク装置９２０などの記憶装置に記憶する。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、個別ＩＤ記憶部３６１が記憶した個別ＩＤデータベース７０１を検索し、照会データ取得部３５１が出力した統合ＩＤ照会データ７０６に含まれる個別ＩＤに対応する統合ＩＤを取得する。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤについての管理属性情報７２０を照会する属性照会データ８０５を生成する。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、生成した属性照会データ８０５を統合ＩＤ属性情報取得部３３２に対して出力する。
統合ＩＤ検索部３５２が生成する属性照会データ８０５は、例えば、その統合ＩＤによって識別されるコンピュータが接続しているネットワークの種別（機器接続ネットワーク）の照会を要求するものである。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した属性照会データ８０５を入力する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、入力した属性照会データ８０５に基づいて、属性記憶部３６２が記憶した属性データベース７０２を検索する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、検索の結果取得した管理属性情報７２０を含む属性照会結果８０６を出力する。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２が出力した属性照会結果８０６を入力する。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、入力した属性照会結果８０６を解析して、統合ＩＤについての管理属性情報７２０を取得する。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、取得した管理属性情報７２０に基づいて、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブル７９０を検索し、送受信種別７９１を判定する。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、判定した送受信種別７９１を出力する。
この実施の形態のログ収集部３２１が収集するログ７０４は、利用者が、監視対象機器５００であるコンピュータを用いて、ファイルのコピー、複製、移動、転送など（以下「複製等」という）を行ったことを記録したログである。ログ収集部３２１が収集するログ７０４に含まれるログレコード７４０は、複製履歴情報の一例である。
この実施の形態のログ加工装置１１０は、ファイルの複製等をした場合に、複製元のファイルを記憶していた機器と、複製先のファイルを記憶した機器とから、送受信種別７９１を求めて、ログレコード７５０に追加する。
図２８は、この実施の形態におけるＩＤ管理装置１３０の各ブロックの間でやり取りされる情報の一例を示す図である。
ログ収集部３２１が収集して出力したログ７０４に含まれる各ログレコード７４０に基づいて、統合ＩＤ照会データ生成部３７２が生成して出力する統合ＩＤ照会データ７０６は、日付時刻７４１、個別ユーザＩＤ７４２、複製元マシン名８４１、複製先マシン名８４２などを含む。
日付時刻７４１は、利用者がファイルの複製等を行った時刻を示す情報（複製時刻情報）である。
個別ユーザＩＤ７４２は、ファイルの複製等を行った利用者を示す個別ＩＤである。
複製元マシン名８４１は、利用者が複製した元のファイルを記憶していたコンピュータなどの機器（ファイル記憶装置の一例）の個別ＩＤ（複製元情報）である。
複製先マシン名８４２は、利用者が複製した結果できた新しいファイルを記憶したコンピュータなどの機器（ファイル記憶装置の一例）の個別ＩＤ（複製先情報）である。
日付時刻７４１は、移動時刻情報の一例である。複製元マシン名８４１は、移動元情報の一例である。複製先マシン名８４２は、移動先情報の一例である。
ログレコード解析部３７１は、ＣＰＵ９１１などの処理装置を用いて、ログ７０４のログレコード７４０を解析し、日付時刻７４１、個別ユーザＩＤ７４２などの個別ＩＤ７６１を取得して出力する。
統合ＩＤ照会データ生成部３７２は、ＣＰＵ９１１などの処理装置を用いて、ログレコード解析部３７１が出力した日付時刻７４１、個別ユーザＩＤ７４２などの個別ＩＤ７６１を取得する。統合ＩＤ照会データ生成部３７２は、ＣＰＵ９１１などの処理装置を用いて、取得した日付時刻７４１、個別ユーザＩＤ７４２などの個別ＩＤ７６１に基づいて、統合ＩＤ照会データ７０６を生成する。統合ＩＤ照会データ生成部３７２は、生成した統合ＩＤ照会データ７０６を出力する。
照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ生成部３７２が出力した統合ＩＤ照会データ７０６を入力する。照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６を出力する。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、照会データ取得部３５１が出力した統合ＩＤ照会データ７０６を入力する。統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、個別ＩＤ記憶部３６１が記憶した個別ＩＤデータベース７０１を検索し、入力した統合ＩＤ照会データ７０６に含まれる個別ユーザＩＤ７４２などの個別ＩＤに対応する統合ＩＤを取得する。統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、照会結果通知部３５３に対して、取得した統合ＩＤを出力する。
また、統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、取得した統合ＩＤ７７４のうち、複製元マシン名８４１に対応する統合機器ＩＤと、複製先マシン名８４２に対応する統合機器ＩＤと（ファイル記憶装置識別情報の一例）について、その統合機器ＩＤによって識別される機器の設置種別を示す管理属性情報７２０を照会する属性照会データ８０５を生成する。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、生成した属性照会データ８０５を、統合ＩＤ属性情報取得部３３２に対して出力する。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した属性照会データ８０５を入力する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、属性記憶部３６２が記憶した属性データベース７０２を検索し、入力した属性照会データ８０５に含まれる統合ＩＤについての管理属性情報７２０を取得する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、取得した管理属性情報７２０のうち、種別７２１が「設置種別」である管理属性情報７２０の属性７２２を取得する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、取得した属性７２２を含む属性照会結果８０６を出力する。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２が出力した属性照会結果８０６を入力する。送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、入力した属性照会結果８０６を解析して、機器設置種別７８６を取得する。
機器設置種別７８６とは、その機器の設置場所の種別を示す情報である。機器設置種別７８６は、種別７２１が「設置種別」である管理属性情報７２０のなかに含まれる属性７２２として、ＩＤ管理ＤＢ３３３の属性記憶部３６２が記憶している。
例えば、社内のネットワーク（イントラネット）をインターネットなど社外のネットワークと接続する場合には、社内のネットワークが外部からの攻撃を受けて機密情報が流出することがないよう、ファイアウォールなどを設けて、社内のネットワークを外部と隔離する構成とすることが多い。
また、ウェブサーバなど、外部からのアクセスを許す機器は、更にファイアウォールなどにより社内のネットワークと隔離されたＤＭＺなどの領域に配置し、万が一、外部からの攻撃によりウェブサーバが乗っ取られるなどの事態が発生した場合でも、社内のネットワークに被害が及ばないように構成することがある。
機器設置種別７８６とは、ファイアウォールなどにより隔離された各ネットワークの種別を示す情報である。特に、外部からの攻撃に対する安全性を基準に分類した種別であり、例えば、「イントラ」（イントラネット）、「ＤＭＺ」などである。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブル７９０を検索し、取得した機器設置種別７８６に対応する送受信種別７９１を取得する。
送受信種別７９１は、ファイル移動方向情報の一例である。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、取得した送受信種別７９１を出力する。
照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した統合ユーザＩＤ７５４や統合機器ＩＤ７５５などの統合ＩＤと、送受信種別判定部３７８が出力した送受信種別７９１とを入力する。照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ユーザＩＤ７５４や統合機器ＩＤ７５５などの統合ＩＤと送受信種別７９１とに基づいて、統合ＩＤ照会結果７０７を生成する。統合ＩＤ照会結果解析部３７３は、生成した統合ＩＤ照会結果７０７を出力する。
例えば、ＤＭＺに接続した機器は、たとえ外部に公開していない機器であっても、社内のネットワークに接続した機器よりも、安全性が低い。したがって、ＤＭＺに接続した機器が記憶したファイル内の情報は、情報漏洩の危険が高いといえる。
したがって、一時的にせよ、ＤＭＺに接続した機器に複製を置いたファイルの内容が漏洩した場合、その間に受けた攻撃により、ファイルが盗まれた可能性がある。
この実施の形態のログ加工装置１１０は、そのような安全性の低い機器にファイルを複製等した記録であるログレコード７５０に、送受信種別７９１をつけて区別することにより、情報漏洩などの原因究明のために加工済ログ７０５を検索する必要が生じた場合に、情報漏洩などの原因である可能性の高い行為を絞り込むことを容易にするものである。
図２８に示した具体例を用いて、動作の流れを説明する。
照会データ取得部３５１は、入力した統合ＩＤ照会データ７０６を解析して、日付時刻７４１「２００５／０３／２９」、個別ユーザＩＤ７４２「ｔａｎａｋａ」、複製元マシン名８４１「ｐｃ００１３」、複製先マシン名８４２「ｗｅｂｓｅｒｖｅｒ１」などの個別ＩＤを取得し、出力する。
統合ＩＤ検索部３５２は、照会データ取得部３５１が出力した日付時刻７４１、個別ＩＤを入力し、個別ＩＤ記憶部３６１が記憶した個別ＩＤデータベース７０１を検索して、入力した日付時刻７４１が示す時刻において、入力した個別ＩＤに対応する統合ＩＤを取得して、出力する。
また、統合ＩＤ検索部３５２は、取得した統合ＩＤのうち、複製元マシン名８４１に対応する統合ＩＤ７７４「ＡＳＳＥＴ９６３８５２」（複製元統合ＩＤ）と、複製先マシン名８４２に対応する統合ＩＤ７７４「ＡＳＳＥＴ１８３４９２」（複製先統合ＩＤ）とについて、日付時刻７４１「２００５／０３／２９ １４：２３：５０」が示す時刻における管理属性情報７２０「設置種別」の照会を要求する属性照会データ８０５を生成し、出力する。
統合ＩＤ属性情報取得部３３２は、統合ＩＤ検索部３５２が出力した属性照会データ８０５を入力し、属性記憶部３６２が記憶した属性データベース７０２を検索して、属性照会結果８０６を出力する。
送受信種別判定部３７８は、統合ＩＤ属性情報取得部３３２が出力した属性照会結果８０６を入力し、解析して、複製元統合ＩＤ「ＡＳＳＥＴ９６３８５２」の機器設置種別７８６「イントラ」（複製元種別）と、複製先統合ＩＤ「ＡＳＳＥＴ１８３４９２」の機器設置種別７８６「ＤＭＺ」（複製先種別）とを取得する。
送受信種別判定部３７８は、取得した機器設置種別７８６（複製元種別「イントラ」、複製先種別「ＤＭＺ」）に基づいて、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブル７９０を検索して、送受信種別７９１「１２」を取得し、出力する。
照会結果通知部３５３は、統合ＩＤ検索部３５２が出力した統合ＩＤと、送受信種別判定部３７８が出力した送受信種別７９１「１２」とを入力し、統合ＩＤ照会結果７０７を生成する。
この例では、マシン名「ｐｃ００１３」という個別機器ＩＤで示される機器はイントラネットに接続されており、マシン名「ｗｅｂｓｅｒｖｅｒ１」という個別機器ＩＤで示される機器はＤＭＺに接続されている。２００５年３月２９日１４時２３分５０秒に、個別ユーザＩＤ「ｔａｎａｋａ」で示される利用者が、「ｐｃ００１３」から「ｗｅｂｓｅｒｖｅｒ１」へファイルを複製したことが記録されている。
のちに、そのファイルの内容が漏洩するなどして、加工済ログ７０５を検索する必要が生じた場合、そのファイルのファイル名を含み、送受信種別７９１「１２」のログレコード７５０を検索すれば、このログレコード７５０がすぐに発見でき、その頃に「ｗｅｂｓｅｒｖｅｒ１」が外部から攻撃を受けた痕跡があるか否かを調べれば、迅速な原因究明が可能となる。
この実施の形態におけるログ管理システム３００（履歴管理装置）は、ＩＤ管理ＤＢ３３３（管理記憶部）が、ＣＰＵ９１１などの処理装置を用いて、ファイルを記憶する機器（ファイル記憶装置）を識別する情報であるファイル記憶装置識別情報を、統合機器ＩＤ（管理識別情報）として含む管理情報７１０を磁気ディスク装置９２０などの記憶装置に記憶し、統合ＩＤ照会部３２２（履歴加工部）が、ＣＰＵ９１１などの処理装置を用いて、ファイル記憶装置が記憶したファイルを他のファイル記憶装置に複製した時刻を示す日付時刻７４１（複製時刻情報）と、そのファイルを記憶していたファイル記憶装置を示す情報である複製元マシン名８４１（複製元情報）と、そのファイルを複製した他のファイル記憶装置を示す情報である複製先マシン名８４２（複製先情報）とを含む情報であるログレコード７４０（複製履歴情報）を、データ移動履歴情報として入力し、ＣＰＵ９１１などの処理装置を用いて、入力したログレコード７４０に含まれる日付時刻７４１を統合ＩＤ取得部３３１が入力する移動時刻情報として入力し、入力したログレコード７４０に含まれる複製元マシン名８４１を統合ＩＤ取得部３３１が入力する移動元情報として出力し、入力したログレコード７４０に含まれる複製先マシン名８４２を統合ＩＤ取得部３３１が入力する移動先情報として出力し、統合ＩＤ取得部３３１は、ＣＰＵ９１１などの処理装置を用いて、入力した複製元マシン名８４１に対応する統合機器ＩＤ（ファイル記憶装置識別情報）に基づいて、複製元種別７９６（ファイル記憶装置の種別）を判別し、入力した複製先マシン名８４２に対応する統合機器ＩＤに基づいて、複製先種別７９７（他のファイル記憶装置の種別）を判別し、判別した複製元種別７９６と複製先種別７９７とに基づいて、ファイルの移動方向を判別し、ＣＰＵ９１１などの処理装置を用いて、判別したファイルの移動方向を示す情報である送受信種別７９１（ファイル移動方向情報）を出力することを特徴とする。
この実施の形態におけるログ管理システム３００によれば、統合ＩＤ取得部３３１が、複製元マシン名８４１と複製先マシン名８４２とに基づいて送受信種別７９１を判別し、判別した送受信種別７９１を追加した加工済ログ７０５を、統合ＩＤ照会部３２２が生成して出力するので、加工済ログ７０５を蓄積しておけば、のちに情報漏洩などの問題が発生した場合に、膨大な加工済ログ７０５のなかから、問題発生の原因となった行為のログを見つけることが容易になるという効果を奏する。
この実施の形態におけるログ加工装置１１０は、ファイルコピーログのコピー元マシンとコピー先マシンを読み取り、予め、各マシンの属性情報として、設置場所の属性（イントラネットか、ＤＭＺか）を統合機器ＩＤに紐付けて管理しておき、イントラ間、イントラ→ＤＭＺ、ＤＭＺ→イントラ、ＤＭＺ間のいずれかを区別する判定手段により、その種別をログに反映することを特徴とする。
これにより、例えば情報漏洩が発生した場合、膨大なファイルコピー・転送レコードの中から、イントラネットからＤＭＺに流れたファイルの記録を、上記送受信種別をキーとして検索し、対象ログを絞り込むことができる。
なお、送受信種別７９１（ファイル移動方向情報）は、イントラ・ＤＭＺ間の移動を区別するのではなく、例えば、事業所内、事業所間、部署内、部署間などを区別するものとしてもよい。
例えば、複製元マシン名８４１及び複製先マシン名８４２に対応する統合ＩＤについて、統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２から、その機器の管理者に関する属性情報を取得し、更に、その管理者の所属に関する属性情報を取得する。統合ＩＤ照会部３２２は、ＣＰＵ９１１などの処理装置を用いて、その機器の管理者の所属からその機器がどの事業所のどの部署で使用されているものであるかを判別し、ファイルの複製等が、事業場所間によるものか、同一事業所内の異なる部間によるものか、同一部内間によるものかを区別し、その種別もログに反映する。
この実施の形態におけるログ加工装置１１０は、ファイルコピーが、所外宛てか、他部宛てか、部内宛てかを区別し、その種別をログに反映することを特徴とする。
これにより、ファイルのコピー・転送状況を把握することができ、さらに、業務上あまり関係の無い部門宛てのコピー・転送など、不審と思われるファイルコピー・転送状況を把握することができるという効果を得ることができる。
なお、不審なファイルの複製等について、特別な送受信種別７９１を割り当てておき、ログレコード７５０に追加することとすれば、加工済ログ７０５を検索する際に、不審なファイルの複製等を容易に見つけることができる。更に、送受信種別判定部３７８が出力した送受信種別７９１が、不審なファイルの複製等に割り付けた特別な送受信種別７９１である場合、照会結果通知部３５３は、異常発生を示す異常発生情報を含む統合ＩＤ照会結果７０７を生成し、ログレコード加工部３７４は、入力した統合ＩＤ照会結果７０７に含まれる異常発生情報をログレコード７５０に追加しておけば、不審なファイルの複製等を見つけることが更に容易になる。
この実施の形態におけるログ管理システム３００（履歴管理装置）は、統合ＩＤ取得部３３１（管理検索部）が、更に、ＣＰＵ９１１などの処理装置を用いて、判別したファイルの移動方向に基づいて、不審な複製であるか否かを判断し、ＣＰＵ９１１などの処理装置を用いて、不審な複製であると判断した場合に、異常発生を示す情報である異常発生情報を出力することを特徴とする。
この実施の形態におけるログ管理システム３００によれば、不審な複製の可能性が高いログにあらかじめ異常発生情報を付加しておくので、のちに膨大なログのなかから、問題発生の原因を究明するために必要なログを発見することが容易になるという効果を奏する。
実施の形態８．
実施の形態８について、図２９〜図３０を用いて説明する。
この実施の形態におけるログ管理システム３００、ログ加工装置１１０、管理端末装置１４０の構成は、実施の形態４で説明したものと同様なので、ここでは説明を省略する。
図２９は、この実施の形態におけるログ加工装置１１０の内部ブロックの詳細な構成の一例を示す詳細ブロック図である。
なお、実施の形態７で説明したブロックと同様のブロックについては、同一の符号を付し、説明を省略する。
統合ＩＤ照会部３２２は、ログレコード解析部３７１、統合ＩＤ照会データ生成部３７２、統合ＩＤ照会結果解析部３７３、送受信種別テーブル記憶部３７７、送受信種別判定部３７８、ログレコード加工部３７４などを有する。
ＩＤ管理ＤＢ３３３は、個別ＩＤ記憶部３６１、属性記憶部３６２などを有する。
統合ＩＤ取得部３３１は、照会データ取得部３５１、統合ＩＤ検索部３５２、照会結果通知部３５３などを有する。
統合ＩＤ照会データ生成部３７２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ７０６を生成し、出力する。
統合ＩＤ照会データ生成部３７２が生成する統合ＩＤ照会データ７０６は、実施の形態２及び実施の形態３において説明したのと同様、１つのログ７０４のなかに同じ個別ＩＤ７６１が複数回出てくる場合、それらを１つにまとめて照会する形式とする。これにより、ログ管理装置１２０とＩＤ管理装置１３０との間の通信量を削減できる。
統合ＩＤ照会データ生成部３７２がこのような形式の統合ＩＤ照会データ７０６を生成する手順については、実施の形態２で説明したので、ここでは説明を省略する。
照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ生成部３７２が出力した統合ＩＤ照会データ７０６を入力する。照会データ取得部３５１は、入力した統合ＩＤ照会データ７０６を、統合ＩＤ検索部３５２に対して出力する。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、照会データ取得部３５１が出力した統合ＩＤ照会データ７０６を入力する。統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６に基づいて、個別ＩＤ記憶部３６１が記憶した個別ＩＤデータベース７０１を検索し、統合ＩＤ照会データ７０６に含まれる個別ＩＤ７６１に対応する統合ＩＤを取得する。統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、取得した統合ＩＤと、照会された期間のうちその統合ＩＤと個別ＩＤとが対応している期間を示す期間情報とを、照会結果通知部３５３に対して出力する。
また、統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、取得した統合ＩＤについて、その統合ＩＤと個別ＩＤとが対応している期間における属性を照会する属性照会データ８０５を生成し、統合ＩＤ属性情報取得部３３２に対して出力する。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した属性照会データ８０５を入力する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、入力した属性照会データ８０５に基づいて、属性記憶部３６２が記憶した属性データベース７０２を検索し、属性照会データ８０５に含まれる統合ＩＤについての管理属性情報７２０を取得する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、取得した管理属性情報７２０に基づいて、属性照会結果８０６を生成する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、生成した属性照会結果８０６を、照会結果通知部３５３に対して出力する。
照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した統合ＩＤなどと、統合ＩＤ属性情報取得部３３２が出力した属性照会結果８０６とを入力する。照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤや属性照会結果８０６に基づいて、統合ＩＤ照会結果７０７を生成する。照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、生成した統合ＩＤ照会結果７０７を、統合ＩＤ照会結果解析部３７３に対して出力する。
統合ＩＤ照会結果解析部３７３は、ＣＰＵ９１１などの処理装置を用いて、照会結果通知部３５３が出力した統合ＩＤ照会結果７０７を入力する。統合ＩＤ照会結果解析部３７３は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会結果７０７を解析して、統合ＩＤや属性などを取得する。統合ＩＤ照会結果解析部３７３は、ＣＰＵ９１１などの処理装置を用いて、取得した統合ＩＤや属性などを出力する。
送受信種別テーブル記憶部３７７は、ＣＰＵ９１１などの処理装置を用いて、送信元種別及び送信先種別と、そのメールの送受信の種別との対応関係を示す送受信種別テーブルを、磁気ディスク装置９２０などの記憶装置に記憶している。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会結果解析部３７３が出力した統合ＩＤによって識別される対象の属性を入力する。送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、入力した属性に基づいて、送受信種別テーブル記憶部３７７が記憶した送受信種別テーブルを検索し、送受信種別７９１を判定する。送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、判定した送受信種別７９１を出力する。
ログレコード加工部３７４は、ＣＰＵ９１１などの処理装置を用いて、ログ収集部３２１が出力したログ７０４を入力する。ログレコード加工部３７４は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会結果解析部３７３が出力した統合ＩＤと、送受信種別判定部３７８が出力した送受信種別７９１とを入力する。ログレコード加工部３７４は、入力した統合ＩＤや送受信種別７９１を、入力したログ７０４に追加して、加工済ログ７０５を生成し、出力する。
この実施の形態におけるログ管理装置１２０は、統合ＩＤ照会データ生成部３７２が個別ＩＤに対応する統合ＩＤを照会する際に、統合ＩＤだけでなく、その統合ＩＤによって識別される対象の属性についても、同時に照会するものである。これにより、ログ管理装置１２０とＩＤ管理装置１３０との間の通信量を更に削減することができる。
図３０は、この実施の形態におけるＩＤ管理装置１３０の各ブロックの間でやり取りされる情報の一例を示す図である。
統合ＩＤ照会データ生成部３７２が生成する統合ＩＤ照会データ７０６は、個別ＩＤ７６１、開始時刻７６２、終了時刻７６３、照会属性７６８からなる照会条件のリストである。この例では、統合ＩＤ照会データ７０６はテキストデータであり、１行が１つの照会条件を示す。１つの照会条件は、個別ＩＤ７６１、開始時刻７６２、終了時刻７６３、照会属性７６８を「，」で区切って並べたＣＳＶ形式のリストである。
照会属性７６８は、統合ＩＤを照会する際に同時に照会する属性の種別を示す情報である。
この図の例における統合ＩＤ照会データ７０６の１行目は、個別ＩＤ７６１「ｐｃ００１」について、「２００５年３月３１日１１時２４分３２秒」から「２００５年６月１５日１３時５２分２３秒」までの期間において対応する統合ＩＤを照会することを示している。また、その統合ＩＤによって識別される対象について、同じ期間における属性「設置種別」を同時に照会することを示している。
統合ＩＤ検索部３５２が生成する属性照会データ８０５は、統合ＩＤ８５１、開始時刻８５２、終了時刻８５３、照会属性８５４からなる属性照会条件のリストである。この例では、属性照会データ８０５はテキストデータであり、１行が１つの属性照会条件を示す。１つの属性照会条件は、統合ＩＤ８５１、開始時刻８５２、終了時刻８５３、照会属性８５４を「，」で区切って並べたＣＳＶ形式のリストである。
統合ＩＤ８５１は、照会対象である統合ＩＤを示す情報である。
開始時刻８５２及び終了時刻８５３は、属性を照会する期間を示す情報である。開始時刻８５２は、属性を照会する期間の開始時刻を示す情報である。終了時刻８５３は、属性を照会する期間の終了時刻を示す情報である。
照会属性８５４は、照会する属性の種別を示す情報である。
この図の例における属性照会データ８０５の１行目は、統合ＩＤ８５１「ＡＳＳＥＴ９７３２０１」によって識別される対象について、「２００５年３月３１日１１時２４分３２秒」から「２００５年３月３１日２３時５９分５９秒」までの期間における属性「設置種別」を照会することを示している。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ照会データ７０６に基づいて、個別ＩＤ記憶部３６１が記憶した個別ＩＤデータベース７０１を検索して、個別ＩＤ７６１に対応する統合ＩＤと、その統合ＩＤとその個別ＩＤ７６１とが対応する期間の開始時刻及び終了時刻とを取得する。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、取得した統合ＩＤと、開始時刻及び終了時刻とに基づいて、属性照会データ８０５を生成し、出力する。
統合ＩＤ検索部３５２が生成する属性照会データ８０５のうち、統合ＩＤ８５１は、取得した統合ＩＤである。
開始時刻８５２は、取得した開始時刻である。ただし、取得した開始時刻が統合ＩＤ照会データ７０６の開始時刻７６２より前である場合、統合ＩＤ検索部３５２は、統合ＩＤ照会データ７０６の開始時刻７６２を、開始時刻８５２とする。
終了時刻８５３は、取得した終了時刻である。ただし、取得した終了時刻が統合ＩＤ照会データ７０６の終了時刻７６３より後である場合、統合ＩＤ検索部３５２は、統合ＩＤ照会データ７０６の終了時刻７６３を、終了時刻８５３とする。
照会属性８５４は、統合ＩＤ照会データ７０６の照会属性７６８である。
例えば、この図の例に示した統合ＩＤ照会データ７０６に基づいて、統合ＩＤ検索部３５２が個別ＩＤデータベース７０１を検索した結果、個別ＩＤ７６１「ｐｃ００１」は、「２００５年３月３１日１１時２４分３２秒」から「２００５年３月３１日２３時５９分５９秒」までの期間において、統合ＩＤ「ＡＳＳＥＴ９７３２０１」に対応し、「２００５年４月１日０時０分０秒」から「２００５年６月１５日１３時５２分２３秒」までの期間において、統合ＩＤ「ＡＳＳＥＴ４２４６１２」に対応することがわかったとする。同様に、個別ＩＤ７６１「ｐｃ００２」は、照会された全期間において、統合ＩＤ「ＡＳＳＥＴ３５８４６９」に対応することがわかったとする。
統合ＩＤ検索部３５２は、ＣＰＵ９１１などの処理装置を用いて、検索の結果取得したこれらの情報に基づいて、この図の例に示した属性照会データ８０５を生成する。
統合ＩＤ属性情報取得部３３２が生成する属性照会結果８０６は、統合ＩＤ８６１、開始時刻８６２、終了時刻８６３、属性内容８６４からなる照会結果のリストである。この例では、属性照会結果８０６はテキストデータであり、１行が１つの照会結果を示す。１つの照会結果は、統合ＩＤ８６１、開始時刻８６２、終了時刻８６３、属性内容８６４を「，」で区切って並べたＣＳＶ形式のリストである。
統合ＩＤ８６１は、照会された統合ＩＤを示す情報である。
開始時刻８６２及び終了時刻８６３は、統合ＩＤ８６１によって識別される対象がその属性を有していた期間を示す情報である。開始時刻８６２は、その期間の開始時刻を示す情報である。終了時刻８６３は、その期間の終了時刻を示す情報である。
属性内容８６４は、統合ＩＤ８６１によって識別される対象が、開始時刻８６２及び８終了時刻８６３が示す期間において有する、照会された種別の属性の内容を示す情報である。
この図の例における属性照会結果８０６の１行目は、統合ＩＤ８６１「ＡＳＳＥＴ９７３２０１」によって識別される対象は、「２００５年３月３１日１１時２４分３２秒」から「２００５年３月３１日２３時５９分５９秒」までの期間において、「設置種別」が「イントラ」であったことを示している。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した属性照会データ８０５を入力する。統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、入力した属性照会データ８０５に持ついて、属性記憶部３６２が記憶した属性データベース７０２を検索し、統合ＩＤ８５１によって識別される対象の属性の内容と、その対象がその属性を有する期間の開始時刻及び終了時刻とを取得する。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、取得した属性の内容と、開始時刻及び終了時刻に基づいて、属性照会結果８０６を生成し、出力する。
統合ＩＤ属性情報取得部３３２が生成する属性照会結果８０６のうち、統合ＩＤ８６１は、属性照会データ８０５の統合ＩＤ８５１である。
開始時刻８６２は、取得した開始時刻である。ただし、取得した開始時刻が属性照会データ８０５の開始時刻８５２より前である場合、統合ＩＤ属性情報取得部３３２は、属性照会データ８０５の開始時刻８５２を、開始時刻８６２とする。
終了時刻８６３は、取得した終了時刻である。ただし、取得した終了時刻が属性照会データ８０５の終了時刻８５３より後である場合、統合ＩＤ属性情報取得部３３２は、属性照会データ８０５の終了時刻８５３を、終了時刻８６３とする。
属性内容８６４は、取得した属性の内容である。
例えば、この図の例に示した属性照会データ８０５に基づいて、統合ＩＤ属性情報取得部３３２が属性データベース７０２を検索した結果、統合ＩＤ８５１「ＡＳＳＥＴ９７３２０１」によって識別される対象は、照会された全期間において、「設置種別」が「イントラ」であることがわかったとする。また、統合ＩＤ８５１「ＡＳＳＥＴ４２４６１２」によって識別される対象は、「２００５年４月１日０時０分０秒」から「２００５年５月３１日２３時５９分５９秒」までの期間において、「設置種別」が「イントラ」であり、「２００５年６月１日０時０分０秒」から「２００５年６月１５日１３時５２分２３秒」までの期間において、「設置種別」が「ＤＭＺ」であることがわかったとする。また、統合ＩＤ８５１「ＡＳＳＥＴ３５８４６９」によって識別される対象は、「２００５年３月３０日１２時１２分４７秒」から「２００５年４月３０日２３時５９分５９秒」までの期間において、「設置種別」が「ＤＭＺ」であり、「２００５年５月１日０時０分０秒」から「２００５年５月２０日８時６分１１秒」までの期間において、「設置種別」が「イントラ」であることがわかったとする。
統合ＩＤ属性情報取得部３３２は、ＣＰＵ９１１などの処理装置を用いて、検索の結果取得したこれらの情報に基づいて、この図の例に示した属性照会結果８０６を生成する。
照会結果通知部３５３が生成する統合ＩＤ照会結果７０７は、実施の形態３において図１９で説明した統合ＩＤ照会結果７０７に、統合ＩＤ属性情報取得部３３２が生成した属性照会結果８０６を加えたものである。
統合ＩＤ照会結果７０７は、個別ＩＤ７７１、開始時刻７７２、終了時刻７７３、統合ＩＤ７７４からなる統合ＩＤの照会結果と、統合ＩＤ８６１、開始時刻８６２、終了時刻８６３、属性内容８６４からなる属性の照会結果とのリストである。この例では、統合ＩＤ照会結果７０７はテキストデータであり、１行が１つの照会結果を示す。
統合ＩＤの照会結果は、個別ＩＤ７７１、開始時刻７７２、終了時刻７７３、統合ＩＤ７７４を「，」で区切って並べたＣＳＶ形式のリストである。
属性の照会結果は、統合ＩＤ８６１、開始時刻８６２、終了時刻８６３、属性内容８６４を「，」で区切って並べたＣＳＶ形式のリストである。属性の照会結果は、属性照会結果８０６に含まれる照会結果と同じである。
照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した個別ＩＤ、その個別ＩＤに対応する統合ＩＤ、その統合ＩＤと個別ＩＤとが対応する期間の開始時刻及び終了時刻を入力する。また、照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ属性情報取得部３３２が出力した属性照会結果８０６を入力する。
照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、入力した個別ＩＤ、統合ＩＤ、開始時刻、終了時刻に基づいて、統合ＩＤの照会結果を生成する。すなわち、照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、個別ＩＤ、開始時刻、終了時刻、統合ＩＤを「，」で区切って並べたテキストデータを生成する。
照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、生成した統合ＩＤの照会結果の次に、その統合ＩＤについての属性の照会結果を挿入する。
照会結果通知部３５３は、このようにして、統合ＩＤ照会結果７０７を生成する。
なお、この例では、統合ＩＤの照会結果と属性の照会結果とを１つに結合して統合ＩＤ照会結果７０７として出力する構成としているが、統合ＩＤ照会結果７０７は統合ＩＤの照会結果のみから生成し、それとは別に、属性照会結果８０６を出力する構成としてもよい。
照会結果通知部３５３が生成して出力した統合ＩＤ照会結果７０７は、統合ＩＤ照会結果解析部３７３がＣＰＵ９１１などの処理装置を用いて入力する。統合ＩＤ照会結果解析部３７３は、入力した統合ＩＤ照会結果７０７を解析して、統合ＩＤや属性などの情報を取得する。統合ＩＤ照会結果解析部３７３が取得した統合ＩＤなどの情報は、ログレコード加工部３７４がログ７０４に追加して、加工済ログ７０５を生成する。
この例では、統合ＩＤ照会結果解析部３７３が取得した属性を、そのままログ７０４に追加するのではなく、取得した属性に基づいて、送受信種別判定部３７８が送受信種別を判定し、判定した送受信種別をログレコード加工部３７４がログ７０４に追加する構成としている。
送受信種別判定部３７８が送受信種別を判定する手順については、実施の形態７で説明したものと同様なのでここでは説明を省略する。
このように、ログ管理装置１２０がＩＤ管理装置１３０に対して統合ＩＤを照会する際、同時にその統合ＩＤによって識別される対象の属性についても照会することにより、統合ＩＤによって識別される対象の属性を、ログ７０４に追加して、加工済ログ７０５を生成することができる。これにより、加工済ログ７０５を検索する際に、属性を直接検索することができ、検索の効率が高くなるという効果を奏する。
また、属性の照会を、統合ＩＤの照会と同時に行うので、ログ管理装置１２０とＩＤ管理装置１３０との間の通信量を少なくすることができるという効果を奏する。
また、ＩＤ管理装置１３０が生成して、ログ管理装置１２０に対して出力する統合ＩＤ照会結果７０７は、統合ＩＤの照会結果のすぐあとにその統合ＩＤについての属性の照会結果がついているので、個別ＩＤから対応する属性を容易に見つけることができ、ログレコード加工部３７４がログ７０４を加工する処理を速くすることができるという効果を奏する。
また、照会した属性をそのままログ７０４に追加するのではなく、照会した属性に基づいて判別した送受信種別をログ７０４に追加するので、のちに加工済ログ７０５を検索する際の検索効率が高くなるという効果を奏する。
実施の形態９．
実施の形態９について、図３１を用いて説明する。
この実施の形態におけるログ管理システム３００、ログ加工装置１１０、管理端末装置１４０の構成は、実施の形態４で説明したものと同様なので、ここでは説明を省略する。
図３１は、この実施の形態におけるログ加工装置１１０の内部ブロックの詳細な構成の一例を示す詳細ブロック図である。
なお、実施の形態５で説明したブロックと同様のブロックについては、同一の符号を付し、説明を省略する。
統合ＩＤ照会部３２２は、ログレコード解析部３７１、統合ＩＤ照会データ生成部３７２、統合ＩＤ照会結果解析部３７３、ログレコード加工部３７４などを有する。
ＩＤ管理ＤＢ３３３は、個別ＩＤ記憶部３６１、ＵＲＬ種別記憶部３８５、送受信種別テーブル記憶部３７７などを有する。
統合ＩＤ取得部３３１は、照会データ取得部３５１統合ＩＤ検索部３５２、ＵＲＬ種別判定部３８６、送受信種別判定部３７８、照会結果通知部３５３などを有する。
この実施の形態におけるログ収集部３２１が収集するログは、インターネット上のサイトに対するファイルのアップロードやインターネット上のサイトからのファイルのダウンロードを記録したものである。
ログ７０４のログレコード７４０は、アップロードあるいはダウンロードしたサイトのＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を示す情報を含んでいる。
ログレコード解析部３７１は、ＣＰＵ９１１などの処理装置を用いて、ログ収集部３２１が出力したログ７０４のログレコード７４０を解析して、ＵＲＬ８４６を取得し、出力する。統合ＩＤ照会データ生成部３７２は、ＣＰＵ９１１などの処理装置を用いて、ログレコード解析部３７１が出力したＵＲＬ８４６を含む統合ＩＤ照会データ７０６を生成し、出力する。照会データ取得部３５１は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ照会データ７０６に含まれるＵＲＬ８４６を取得し、ＵＲＬ種別判定部３８６に対して出力する。
ＵＲＬ種別記憶部３８５は、ＣＰＵ９１１などの処理装置を用いて、ＵＲＬとその種別との対応を示すＵＲＬ種別テーブルを、磁気ディスク装置９２０などの記憶装置に記憶している。
ＵＲＬの種別とは、例えば、そのＵＲＬが示すサイトへのファイルのアップロードやダウンロードを許可するか否かを示す情報である。あるいは、ダウンロードすることが危険なソフトウェア（ウィニーなどセキュリティ上の問題を引き起こす可能性のあるソフトウェアなど）が置かれているサイトであるか否かを示すものであってもよい。
ＵＲＬ種別判定部３８６は、ＣＰＵ９１１などの処理装置を用いて、照会データ取得部３５１が出力したＵＲＬ８４６を入力する。
ＵＲＬ種別判定部３８６は、ＣＰＵ９１１などの処理装置を用いて、ＵＲＬ種別記憶部３８５が記憶したＵＲＬ種別テーブルを検索し、入力したＵＲＬ８４６の種別を取得する。
ＵＲＬ種別判定部３８６は、ＣＰＵ９１１などの処理装置を用いて、取得したＵＲＬ種別７９９を出力する。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、ＵＲＬ種別判定部３８６が出力したＵＲＬ種別７９９を入力する。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、入力したＵＲＬ種別７９９と、アップロードかダウンロードかの区別に基づいて、送受信種別テーブル記憶部３７７を検索し、送受信種別７９１を取得する。
送受信種別判定部３７８は、ＣＰＵ９１１などの処理装置を用いて、取得した送受信種別７９１を出力する。
照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、統合ＩＤ検索部３５２が出力した統合ＩＤと、送受信種別判定部３７８が出力した送受信種別７９１とを入力する。照会結果通知部３５３は、ＣＰＵ９１１などの処理装置を用いて、入力した統合ＩＤ７７４と送受信種別７９１とに基づいて、統合ＩＤ照会結果７０７を生成し、出力する。
この実施の形態におけるログ加工装置１１０は、ファイルのウェブアップロード操作において、予めアップロードを許可するＵＲＬをリストアップしておき、リストにあるＵＲＬか逸脱したＵＲＬかを区別する情報をログに反映することを特徴とする。
ファイルのウェブアップロード操作において、予めアップロードを許可するＵＲＬをリストアップしておき、リストにあるＵＲＬか逸脱したＵＲＬかを区別する情報をログに反映することにより、許可していない不正なＵＲＬへのファイルアップロード操作を把握することができる。
この実施の形態におけるログ加工装置１１０は、ファイルのウェブダウンロード操作において、特定のＵＲＬをリストアップしておき、リストにあるＵＲＬからのダウンロードか否かを区別する情報をログに反映することを特徴とする。
ファイルのウェブダウンロード操作において、特定のＵＲＬをリストアップしておき、リストにあるＵＲＬからのダウンロードか否かを区別する情報をログに反映することにより、セキュリティ上好ましくないソフトウェアをダウンロードした可能性のあるログを把握することができる。
以上説明したログ加工装置は、企業情報システムにおいて、セキュリティ問題が発生した際のインシデント解析などに際に、ログの解析性を向上させることを目的とした用途に有用である。
以上説明したログ加工装置は、ネットワークに接続された機器が出力するログを収集し、蓄積する前に、ログレコードの発生に関与したユーザや機器に対し、それらを一意に特定する統合ＩＤを反映したり、情報移動に関するログレコードに対し、情報の送信元と送信先の関係から見出される情報移動の意味を示す送受信種別情報を反映することで、後のログ解析時にログの解析性を向上させることができる。
以上説明したログ加工装置は、内部にログ管理装置とＩＤ管理装置を備え、
ログ管理装置は、さらにその内部にログを収集するログ収集部と、統合ＩＤをＩＤ管理装置に照会し、照会結果をログに反映する統合ＩＤ照会部と、統合ＩＤを反映したログをログＤＢに蓄積するログ蓄積部と、蓄積したログの検索を可能とするログ検索部、及びログＤＢを備え、
ＩＤ管理装置は、さらにその内部にＩＤ管理ＤＢから統合ＩＤを取得する統合ＩＤ取得部と、同じくＩＤ管理ＤＢから、統合ＩＤに付随する属性情報を取得する統合ＩＤ属性情報取得部、及びＩＤ管理ＤＢを備えている。
このように、ログ蓄積時に、後のログ解析に資する情報を予めログに反映しておくことによりログの解析性を向上させることができる。
また、統合ＩＤ以外にも、後の解析に役立つ各種情報を、蓄積前にログに予め反映しておくことによりログの解析性を高めることができる。
以上説明したログ加工装置は、ログを収集・蓄積する機能を持つ「ログ管理装置」と、ログに記録される各種ユーザＩＤや機器ＩＤを、ユーザや機器を一意に特定する統合ＩＤと紐付けて管理する「ＩＤ管理装置」から構成されることを特徴とする。
ログ管理装置は、ログを蓄積する直前に、ログレコードに含まれるユーザアカウント名やアプリケーションごとのユーザＩＤ、マシン名やＩＰアドレスなど、ユーザや機器に割り付けられたログ固有の個別ＩＤから、ログレコードが記録された時刻とともに、ユーザや機器を一意に特定する統合ＩＤをＩＤ管理装置に照会し、統合ＩＤをログレコードに反映することを特徴とする。
ＩＤ管理装置は、ログ固有の個別ＩＤと統合ＩＤの関係、及び、ユーザであれば所属部署名、機器であれば設置場所などを例とした、統合ＩＤに付随する属性情報を、時間情報とともに過去に遡って管理することを特徴とする。
ログ管理装置は、統合ＩＤの照会のみならず、更に、ログレコードがメール送信やデータコピーなど、情報の移動を示す場合、情報の送信元と送信先の属性、及びそれらの関係から抽出・分類される情報移動の意味（例えば、社内から社外へのメール送信、イントラネットからＤＭＺへのデータ移動など）をＩＤ管理装置に照会し、蓄積前にログに反映することを特徴とする。
ＩＤ管理装置は、個別ＩＤと統合ＩＤ及び付随する属性情報の時系列管理のみならず、情報の送信元と送信先の関係から抽出・分類される情報移動の意味を管理することを特徴とするものである。
このように、ログ蓄積時に、ログごとに固有のユーザＩＤや機器ＩＤを、過去に遡って統合ＩＤに変換しログに反映するため、特定のユーザ、特定の機器に関連する、複数のログに分散したログレコードを、統合ＩＤをキーにして一括検索することができる。
更に、情報移動の意味（社内から社外へのメール送信や、イントラネットからＤＭＺへのデータ移動、など）をキーにして、それに該当するログレコードを、一括検索することができる。
実施の形態１における履歴管理装置１００の外観の一例を示す図。 実施の形態１における履歴管理装置１００のハードウェア資源の一例を示す図。 実施の形態１における履歴管理装置１００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態１におけるＩＤ管理装置１３０の詳細の一例を示す詳細ブロック図。 実施の形態１における管理検索部１３２が管理情報６１０を検索する管理検索処理の流れの一例を示すフローチャート図。 実施の形態１における履歴加工部１２２の詳細の一例を示す詳細ブロック図。 実施の形態１における履歴加工部１２２が履歴情報を加工する履歴加工処理の流れの一例を示すフローチャート図。 実施の形態２における履歴加工部１２２のブロック構成の一例を示す詳細ブロック図。 実施の形態２における管理検索部１３２が管理情報６１０を検索する管理検索処理の流れの一例を示すフローチャート図。 実施の形態２における履歴加工部１２２が履歴情報を加工する履歴加工処理の流れの一例を示すフローチャート図（１）。 実施の形態２における履歴加工部１２２が履歴情報を加工する履歴加工処理の流れの一例を示すフローチャート図（２）。 実施の形態３におけるログ加工装置１１０の構成の一例を示すブロック図。 実施の形態３におけるログ収集部３２１が収集するログ７０４の一例を示す図。 実施の形態３における統合ＩＤ照会部３２２が加工して、統合ＩＤを反映した加工済ログ７０５の一例を示す図。 実施の形態３におけるＩＤ管理ＤＢ３３３が記憶する属性データベース７０２の内容の一例を示す図。 実施の形態３におけるＩＤ管理ＤＢ３３３が記憶する個別ＩＤデータベース７０１の内容の一例を示す図。 実施の形態３におけるＩＤ管理ＤＢ３３３が記憶した個別ＩＤデータベース７０１及び属性データベース７０２によって示される統合ＩＤと個別ＩＤ、属性との間の関係を視覚的に表現した概念図。 実施の形態３におけるログ加工装置１１０がログ７０４を加工するログ加工処理の流れの一例を示すフローチャート図。 実施の形態３におけるログ管理装置１２０の各機能ブロックの間でやり取りする情報の一例を示す図。 実施の形態３における統合ＩＤ照会部３２２が統合ＩＤ照会データ７０６を生成する統合ＩＤ照会データ生成処理の流れの一例を示すフローチャート図。 実施の形態３における統合ＩＤ照会部３２２が統合ＩＤ照会結果７０７に基づいてログ７０４を加工し、加工済ログ７０５を生成する統合ＩＤ照会結果反映処理の流れの一例を示すフローチャート図。 実施の形態４における検索結果表示部１４２がログを照会するログ照会処理の流れの一例を示すフローチャート図。 実施の形態５におけるログ加工装置１１０の内部ブロックの詳細な構成の一例を示す詳細ブロック図。 実施の形態５におけるＩＤ管理装置１３０の各ブロックの間でやり取りされる情報の一例を示す図。 実施の形態５におけるＩＤ管理装置１３０が統合ＩＤを検索するＩＤ検索処理の流れの一例を示すフローチャート図。 実施の形態６におけるドメイン種別記憶部３７５が記憶しているドメイン種別テーブル７８０の一例を示す図。 実施の形態７におけるログ加工装置１１０の内部ブロックの詳細な構成の一例を示す詳細ブロック図。 実施の形態７におけるＩＤ管理装置１３０の各ブロックの間でやり取りされる情報の一例を示す図。 実施の形態８におけるログ加工装置１１０の内部ブロックの詳細な構成の一例を示す詳細ブロック図。 実施の形態８におけるＩＤ管理装置１３０の各ブロック間でやり取りされる情報の一例を示す図。 実施の形態９におけるログ加工装置１１０の内部ブロックの詳細な構成の一例を示す詳細ブロック図。
符号の説明
１００ 履歴管理装置、１１０ ログ加工装置、１２０ ログ管理装置、１２１ 履歴収集部、１２２ 履歴加工部、１２３ 履歴蓄積部、１２４ 履歴検索部、１３０ ＩＤ管理装置、１３１ 管理記憶部、１３２ 管理検索部、１４０ 管理端末装置、１４１ 検索条件入力部、１４２ 検索結果表示部、２２１ 発生履歴記憶部、２２２ 発生期間判断部、２２３ 発生期間記憶部、２２４ 発生期間通知部、２２５ 対応期間取得部、２２６ 対応期間記憶部、２２７ 対応判断部、３００ ログ管理システム、３２１ ログ収集部、３２２ 統合ＩＤ照会部、３２３ ログ蓄積部、３２４ ログ検索部、３２５ ログＤＢ、３３１ 統合ＩＤ取得部、３３２ 統合ＩＤ属性情報取得部、３３３ ＩＤ管理ＤＢ、３４１ 統合ＩＤ属性情報照会部、３４２ ログ検索表示部、３５１ 照会データ取得部、３５２ 統合ＩＤ検索部、３５３ 照会結果通知部、３６１ 個別ＩＤ記憶部、３６２ 属性記憶部、３７１ ログレコード解析部、３７２ 統合ＩＤ照会データ生成部、３７３ 統合ＩＤ照会結果解析部、３７４ ログレコード加工部、３７５ ドメイン種別記憶部、３７６ ドメイン種別判定部、３７７ 送受信種別テーブル記憶部、３７８ 送受信種別判定部、３８２ 属性照会データ生成部、３８３ 属性照会結果解析部、３８５ ＵＲＬ種別記憶部、３８６ ＵＲＬ種別判定部、５００ 監視対象機器、６１０ 管理情報、６１１，６３１，６５３，６７３ 管理識別情報、６１２，６３２，６７２ 期間情報、６１３ 対象識別情報、６２１ 時刻情報、６２２ 対象情報、６３０ 期間付管理識別情報、６３８ 検索終了情報、６３９ 該当なし情報、６４０ 発生履歴情報、６４１，６５１ 発生時刻情報、６４２，６５２，６６１，６７１ 関与対象情報、６５０ 加工済履歴情報、６５９，７５９ 異常発生情報、６６０ 発生期間情報、６６２ 開始時刻情報、６６３ 終了時刻情報、６７０ 対応期間情報、７０１ 個別ＩＤデータベース、７０２ 属性データベース、７０４ ログ、７０５ 加工済ログ、７０６ 統合ＩＤ照会データ、７０７ 統合ＩＤ照会結果、７１０ 管理情報、７１１，７２１ 種別、７１２ 個別ＩＤ、７１３，７２３ 統合ＩＤ、７１４，７２４ 開始時刻、７１５，７２５ 終了時刻、７２０ 管理属性情報、７２２ 属性、７４０，７５０ ログレコード、７４１，７５１ 日付時刻、７４２，７５２ 個別ユーザＩＤ、７４３，７５３ 個別機器ＩＤ、７４６ 送信元メールアドレス、７４７ 送信先メールアドレス、７４８ 添付ファイル名、７５４ 統合ユーザＩＤ、７５５ 統合機器ＩＤ、７６１，７７１ 個別ＩＤ、７６２，７７２，７８４ 開始時刻、７６３，７７３，７８５ 終了時刻、７６８ 照会属性、７７４ 統合ＩＤ、７８０ ドメイン種別テーブル、７８１ ドメイン種別、７８２ ドメイン名、７８３ 電子メールアドレス、７８６ 機器設置種別、７９０ 送受信種別テーブル、７９１ 送受信種別、７９２ 送信元種別、７９３ 送信先種別、７９６ 複製元種別、７９７ 複製先種別、７９９ ＵＲＬ種別、８０１ ログ検索条件、８０２，８０５ 属性照会データ、８０３，８０６ 属性照会結果、８０４ ログ検索結果、８０７ 照会結果、８４１ 複製元マシン名、８４２ 複製先マシン名、８４３ 複製ファイル名、８４６ ＵＲＬ、８５１，８６１ 統合ＩＤ、８５２，８６２ 開始時刻、８５３，８６３ 終了時刻、８５４ 照会属性、８６４ 属性内容、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ ＣＤＤ、９０６ プリンタ装置、９０７ スキャナ装置、９１０ システムユニット、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ ＯＳ、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群、９３１ 電話器、９３２ ファクシミリ機、９４０ インターネット、９４１ ゲートウェイ、９４２ ＬＡＮ。

Claims (20)

  1. 情報を処理する処理装置と、
    情報を記憶する記憶装置と、
    上記処理装置を用いて、対象を識別する情報である管理識別情報と、期間を示す情報である期間情報と、上記期間情報によって示される期間において上記対象を示す情報である対象識別情報とを含む情報である管理情報を上記記憶装置に記憶する管理記憶部と、
    上記処理装置を用いて、時刻を示す情報である時刻情報と、対象を示す情報である対象情報とを入力し、上記処理装置を用いて、上記管理記憶部が記憶した管理情報のなかから、入力した上記対象情報と、上記管理情報に含まれる対象識別情報とが一致し、かつ、入力した上記時刻情報によって示される時刻が上記管理情報に含まれる期間情報によって示される期間内である管理情報を抽出し、上記処理装置を用いて、抽出した上記管理情報に含まれる管理識別情報を出力する管理検索部と、
    上記処理装置を用いて、事象が発生した時刻である発生時刻を示す情報である発生時刻情報と、上記事象の発生に関与した対象である関与対象を示す情報である関与対象情報とを含む情報である発生履歴情報を入力し、上記処理装置を用いて、入力した上記発生履歴情報に含まれる発生時刻情報によって示される発生時刻を示す情報を、上記管理検索部が入力する時刻情報として出力し、入力した上記発生履歴情報に含まれる関与対象情報を上記管理検索部が入力する対象情報として出力し、上記処理装置を用いて、上記管理検索部が出力した管理識別情報を入力し、上記処理装置を用いて、入力した上記発生履歴情報に含まれる情報と、入力した上記管理識別情報とを含む情報である加工済履歴情報を出力する履歴加工部と、
    を有することを特徴とする履歴管理装置。
  2. 上記管理検索部は、
    上記処理装置を用いて、開始時刻を示す情報である開始時刻情報と、終了時刻を示す情報である終了時刻情報とを、上記時刻情報として入力し、
    上記処理装置を用いて、上記管理記憶部が記憶した管理情報のなかから、入力した上記対象情報と、上記管理情報に含まれる対象識別情報とが一致し、かつ、入力した上記開始時刻情報によって示される開始時刻から入力した上記終了時刻情報によって示される終了時刻までの期間と、上記管理情報に含まれる期間情報によって示される期間との間に重複する期間がある管理情報を抽出し、
    上記処理装置を用いて、抽出した上記管理情報に含まれる管理識別情報と、抽出した上記管理情報に含まれる期間情報とを含む情報である期間付管理識別情報を出力し、
    上記履歴加工部は、
    上記処理装置を用いて、上記発生履歴情報を複数入力し、
    上記処理装置を用いて、入力した上記発生履歴情報に含まれる関与対象情報が互いに一致する発生履歴情報が複数あるか否かを判断し、
    上記処理装置を用いて、上記関与対象情報が互いに一致する発生履歴情報が複数あると判断した場合に、上記関与対象情報が互いに一致すると判断した複数の発生履歴情報に含まれる発生時刻情報によって示される発生時刻のうち、最も早い発生時刻を示す情報を、上記管理検索部が入力する開始時刻情報として出力し、上記関与対象情報が互いに一致すると判断した複数の発生履歴情報に含まれる発生時刻情報によって示される発生時刻のうち、最も遅い発生時刻を示す情報を上記管理検索部が入力する終了時刻情報として出力し、
    上記処理装置を用いて、上記管理検索部が出力した期間付管理識別情報を入力し、
    上記処理装置を用いて、入力した上記発生履歴情報に含まれる情報と、入力した上記期間付管理識別情報のうち、上記発生履歴情報に含まれる発生時刻情報によって示される発生時刻が上記期間付管理識別情報に含まれる期間情報によって示される期間内である期間付管理識別情報に含まれる管理識別情報とを含む加工済履歴情報を出力する
    ことを特徴とする請求項１に記載の履歴管理装置。
  3. 上記履歴管理装置は、更に、
    上記処理装置を用いて、上記履歴加工部が出力した加工済履歴情報を入力し、上記処理装置を用いて、入力した加工済履歴情報を上記記憶装置に記憶する履歴蓄積部と、
    上記処理装置を用いて、上記加工済履歴情報に含まれる情報についての検索条件を示す情報である履歴検索条件情報を入力し、上記処理装置を用いて、上記履歴蓄積部が記憶した加工済履歴情報のなかから、入力した上記履歴検索条件情報によって示される検索条件に合致する加工済履歴情報を抽出し、上記処理装置を用いて、抽出した上記加工済履歴情報に含まれる情報を出力する履歴検索部と、
    を有することを特徴とする請求項１に記載の履歴管理装置。
  4. 上記履歴蓄積部は、
    上記記憶装置を用いて、上記履歴加工部が入力した上記発生履歴情報に含まれる情報と、上記管理識別情報とのみを含む加工済履歴情報を記憶し、上記管理識別情報によって識別される対象の属性を示す情報を記憶しない
    ことを特徴とする請求項３に記載の履歴管理装置。
  5. 上記履歴管理装置は、更に、
    情報を入力する入力装置と、
    情報を出力する出力装置と、
    上記処理装置を用いて、上記管理識別情報と、上記管理識別情報によって識別される対象の属性を示す情報である属性情報とを含む情報である管理属性情報を上記記憶装置に記憶する属性記憶部と、
    上記処理装置を用いて、上記管理識別情報を入力し、上記処理装置を用いて、上記属性記憶部が記憶した管理属性情報のなかから、入力した上記管理識別情報と、上記管理属性情報に含まれる管理識別情報とが一致する管理属性情報を抽出し、上記処理装置を用いて、抽出した上記管理属性情報に含まれる情報を出力する属性検索部と、
    上記処理装置を用いて、検索条件を示す情報である検索条件情報を、上記入力装置から入力し、上記処理装置を用いて、入力した上記検索条件情報によって示される検索条件を示す情報を、上記履歴検索部が入力する履歴検索条件情報として出力し、上記処理装置を用いて、上記履歴検索部が出力した加工済履歴情報に含まれる情報を入力し、上記処理装置を用いて、入力した上記加工済履歴情報に含まれる管理識別情報を、上記属性検索部が入力する管理識別情報として出力し、上記処理装置を用いて、上記属性検索部が出力した管理属性情報に含まれる情報を入力し、上記処理装置を用いて、入力した上記加工済履歴情報に含まれる情報と、入力した上記管理属性情報に含まれる情報とを上記出力装置に出力する履歴照会部と、
    を有することを特徴とする請求項３に記載の履歴管理装置。
  6. 上記属性記憶部は、
    上記処理装置を用いて、上記管理識別情報によって識別される対象が上記属性情報によって示される属性を有する期間を示す情報である属性期間情報を更に含む管理属性情報を上記記憶装置に記憶し、
    上記属性検索部は、
    上記処理装置を用いて、時刻を示す情報である時刻情報と、上記管理識別情報とを入力し、
    上記処理装置を用いて、上記属性記憶部が記憶した管理属性情報のなかから、入力した上記管理識別情報と、上記管理属性情報に含まれる管理識別情報とが一致し、かつ、入力した上記時刻情報によって示される時刻が、上記管理属性情報に含まれる属性期間情報によって示される期間内である管理属性情報を抽出し、
    上記処理装置を用いて、抽出した上記管理属性情報に含まれる情報を出力し、
    上記履歴照会部は、
    上記処理装置を用いて、入力した上記加工済履歴情報に含まれる発生時刻情報によって示される発生時刻を示す情報を、上記属性検索部が入力する時刻情報として出力する
    ことを特徴とする請求項５に記載の履歴管理装置。
  7. 上記履歴照会部は、更に、
    上記処理装置を用いて、現在時刻を示す情報を、上記属性検索部が入力する時刻情報として出力する
    ことを特徴とする請求項６に記載の履歴管理装置。
  8. 上記管理検索部は、更に、
    上記処理装置を用いて、上記管理記憶部が記憶した管理情報のなかから、抽出できる管理情報が存在しない場合に、該当する管理情報がないことを示す情報である該当なし情報を出力し、
    上記履歴加工部は、
    上記処理装置を用いて、上記管理検索部が該当なし情報を出力した場合に、異常発生を示す情報である異常発生情報を更に含む加工済履歴情報を出力する
    ことを特徴とする請求項１に記載の履歴管理装置。
  9. 上記管理記憶部は、
    上記処理装置を用いて、利用者を識別する情報である利用者識別情報を、上記管理識別情報として含む管理情報を上記記憶装置に記憶し、
    上記履歴加工部は、
    上記処理装置を用いて、機器を操作した時刻である操作時刻を示す情報である操作時刻情報と、上記機器を操作した利用者を示す情報である操作者情報とを含む情報である操作履歴情報を、上記発生履歴情報として入力し、
    上記処理装置を用いて、入力した上記操作履歴情報に含まれる操作時刻情報によって示される操作時刻を示す情報を、上記管理検索部が入力する時刻情報として出力し、入力した上記操作履歴情報に含まれる操作者情報を上記管理検索部が入力する対象情報として出力し、
    上記処理装置を用いて、上記管理検索部が出力した利用者識別情報を入力し、
    上記処理装置を用いて、入力した上記操作履歴情報に含まれる情報と、入力した上記利用者識別情報とを含む加工済履歴情報を出力する
    ことを特徴とする請求項１に記載の履歴管理装置。
  10. 上記管理記憶部は、
    上記処理装置を用いて、従業員を識別する従業員コードを、上記管理識別情報として含む管理情報を、上記記憶装置に記憶し、
    上記管理検索部は、
    上記処理装置を用いて、抽出した上記管理情報に含まれる従業員コードによって識別される従業員が上記機器の操作を許可された従業員であるか否かを判断し、
    上記処理装置を用いて、上記従業員コードによって識別される従業員が上記機器の操作を許可された従業員でないと判断した場合に、異常発生を示す情報である異常発生情報を出力する
    ことを特徴とする請求項９に記載の履歴管理装置。
  11. 上記管理記憶部は、
    上記処理装置を用いて、機器を識別する情報である機器識別情報を、上記管理識別情報として含む管理情報を上記記憶装置に記憶し、
    上記履歴加工部は、
    上記処理装置を用いて、機器を操作した時刻である操作時刻を示す情報である操作時刻情報と、上記操作時刻に操作された機器を示す情報である操作機器情報とを含む情報である操作履歴情報を、上記発生履歴情報として入力し、
    上記処理装置を用いて、入力した上記操作履歴情報に含まれる操作時刻情報によって示される操作時刻を示す情報を、上記管理検索部が入力する時刻情報として出力し、入力した上記操作履歴情報に含まれる操作機器情報を上記管理検索部が入力する対象情報として出力し、
    上記処理装置を用いて、上記管理検索部が出力した機器識別情報を入力し、
    上記処理装置を用いて、入力した上記操作履歴情報に含まれる情報と、入力した上記機器識別情報とを含む加工済履歴情報を出力する
    ことを特徴とする請求項１に記載の履歴管理装置。
  12. 上記管理記憶部は、
    上記処理装置を用いて、機器を識別する資産管理コードを、上記管理識別情報として含む管理情報を、上記記憶装置に記憶する
    ことを特徴とする請求項１１に記載の履歴管理装置。
  13. 上記管理検索部は、更に、
    上記処理装置を用いて、データを移動した時刻である移動時刻を示す情報である移動時刻情報を上記時刻情報として入力し、上記データを移動した移動元を示す情報である移動元情報と、上記データを移動した移動先を示す情報である移動先情報とを上記対象情報として入力し、
    上記処理装置を用いて、入力した上記移動元情報に基づいて、上記移動元の種別を判別し、入力した上記移動先情報に基づいて、上記移動先の種別を判別し、判別した上記移動元の種別と判別した上記移動先の種別とに基づいて、上記データの移動方向を判別し、
    上記処理装置を用いて、判別した上記データの移動方向を示す情報である移動方向情報を出力し、
    上記履歴加工部は、更に、
    上記処理装置を用いて、上記移動時刻情報と上記移動元情報と上記移動先情報とを含む情報であるデータ移動履歴情報を、上記発生履歴情報として入力し、
    上記処理装置を用いて、入力した上記データ移動履歴情報に含まれる上記移動時刻情報と上記移動元情報と上記移動先情報とを、上記管理検索部に対して出力し、
    上記処理装置を用いて、上記管理検索部が出力した移動方向情報を入力し、
    上記処理装置を用いて、入力した移動方向情報を更に含む加工済履歴情報を出力する
    ことを特徴とする請求項１に記載の履歴管理装置。
  14. 上記管理記憶部は、
    上記処理装置を用いて、利用者を識別する情報である利用者識別情報を、上記管理識別情報として含み、上記利用者が所有する電子メールアドレスを、上記対象識別情報として含む管理情報を上記記憶装置に記憶し、
    上記履歴加工部は、
    上記処理装置を用いて、電子メールを送信した時刻である送信時刻を示す情報である送信時刻情報と、上記電子メールの送信元を示す電子メールアドレスである送信元メールアドレスと、上記電子メールの送信先を示す電子メールアドレスである送信先メールアドレスとを含む情報であるメール送信履歴情報を、上記データ移動履歴情報として入力し、
    上記処理装置を用いて、入力した上記メール送信履歴情報に含まれる上記送信時刻情報を上記管理検索部が入力する移動時刻情報として出力し、入力した上記メール送信履歴情報に含まれる送信元メールアドレスを上記管理検索部が入力する移動元情報として出力し、入力した上記メール送信冷機情報に含まれる送信先メールアドレスを上記管理検索部が入力する移動先情報として出力し、
    上記管理検索部は、
    上記処理装置を用いて、入力した上記送信元メールアドレスに基づいて、上記送信元の種別を判別し、入力した上記送信先メールアドレスに基づいて、上記送信先の種別を判別し、判別した上記送信元の種別と判別した上記送信先の種別とに基づいて、上記電子メールの送受信方向を判別し、
    上記処理装置を用いて、判別した上記電子メールの送受信方向を示す情報であるメール送受信方向情報を上記移動方向情報として出力する
    ことを特徴とする請求項１３に記載の履歴管理装置。
  15. 上記管理検索部は、更に、
    上記処理装置を用いて、判別した上記送信先の種別に基づいて、上記電子メールが不審メールであるか否かを判断し、
    上記処理装置を用いて、上記電子メールが不審メールであると判断した場合に、異常発生を示す情報である異常発生情報を出力する
    ことを特徴とする請求項１４に記載の履歴管理装置。
  16. 上記管理記憶部は、
    上記処理装置を用いて、ファイルを記憶するファイル記憶装置を識別する情報であるファイル記憶装置識別情報を、上記管理識別情報として含む管理情報を上記記憶装置に記憶し、
    上記履歴加工部は、
    上記処理装置を用いて、ファイル記憶装置が記憶したファイルを他のファイル記憶装置に複製した時刻を示す複製時刻情報と、上記ファイルを記憶していたファイル記憶装置を示す情報である複製元情報と、上記ファイルを複製した他のファイル記憶装置を示す情報である複製先情報とを含む情報である複製履歴情報を、上記データ移動履歴情報として入力し、
    上記処理装置を用いて、入力した上記複製履歴情報に含まれる複製時刻情報を上記管理検索部が入力する移動時刻情報として出力し、入力した上記複製履歴情報に含まれる複製元情報を上記管理検索部が入力する移動元情報として出力し、入力した上記複製履歴情報に含まれる複製先情報を上記管理検索部が入力する移動先情報として出力し、
    上記管理検索部は、
    上記処理装置を用いて、入力した上記複製元情報に対応するファイル記憶装置識別情報に基づいて、上記ファイル記憶装置の種別を判別し、入力した上記複製先情報に対応するファイル記憶装置識別情報に基づいて、上記他のファイル記憶装置の種別を判別し、判別した上記ファイル記憶装置の種別と判別した上記他のファイル記憶装置の種別とに基づいて、上記ファイルの移動方向を判別し、
    上記処理装置を用いて、判別した上記ファイルの移動方向を示す情報であるファイル移動方向情報を出力する
    ことを特徴とする請求項１３に記載の履歴管理装置。
  17. 上記管理検索部は、更に、
    上記処理装置を用いて、判別した上記ファイルの移動方向に基づいて、不審な複製であるか否かを判断し、
    上記処理装置を用いて、不審な複製であると判断した場合に、異常発生を示す情報である異常発生情報を出力する
    ことを特徴とする請求項１６に記載の履歴管理装置。
  18. 上記履歴管理装置は、更に、
    情報を出力する出力装置と、
    上記処理装置を用いて、上記管理検索部が上記異常発生情報を出力した場合に、異常発生を示す警告を上記出力装置に出力する警告出力部と、
    を有することを特徴とする請求項１０及び請求項１５及び請求項１７のいずれかに記載の履歴管理装置。
  19. 情報を処理する処理装置と、情報を記憶する記憶装置とを有する履歴管理装置が履歴情報を管理する履歴管理方法において、
    上記処理装置が、対象を識別する情報である管理識別情報と、期間を示す情報である期間情報と、上記期間情報によって示される期間において上記対象を示す情報である対象識別情報とを含む情報である管理情報を上記記憶装置に記憶する管理記憶工程と、
    上記処理装置が、事象が発生した時刻である発生時刻を示す情報である発生時刻情報と、上記事象の発生に関与した対象である関与対象を示す情報である関与対象情報とを含む情報である発生履歴情報を入力する発生履歴入力工程と、
    上記処理装置が、上記発生履歴入力工程で入力した上記発生履歴情報に含まれる発生時刻情報によって示される発生時刻を示す情報を、時刻情報とし、上記発生履歴入力工程で入力した上記発生履歴情報に含まれる関与対象情報を、対象情報として、上記管理記憶工程で記憶した管理情報のなかから、上記対象情報と、上記管理情報に含まれる対象識別情報とが一致し、かつ、上記時刻情報によって示される時刻が上記管理情報に含まれる期間情報によって示される期間内である管理情報を抽出する管理情報抽出工程と、
    上記処理装置が、上記発生履歴入力工程で入力した上記発生履歴情報に含まれる情報と、上記管理情報抽出工程で抽出した上記管理情報に含まれる管理識別情報とを含む情報である加工済履歴情報を出力する履歴加工工程と、
    を有することを特徴とする履歴管理方法。
  20. 情報を処理する処理装置と、情報を記憶する記憶装置とを有するコンピュータを、請求項１に記載の履歴管理装置として機能させることを特徴とする履歴管理プログラム。
JP2006181415A 2006-06-30 2006-06-30 履歴管理装置及び履歴管理方法及び履歴管理プログラム Pending JP2008009850A (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2006181415A JP2008009850A (ja) 2006-06-30 2006-06-30 履歴管理装置及び履歴管理方法及び履歴管理プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2006181415A JP2008009850A (ja) 2006-06-30 2006-06-30 履歴管理装置及び履歴管理方法及び履歴管理プログラム

Publications (1)

Publication Number Publication Date
JP2008009850A true JP2008009850A (ja) 2008-01-17

Family

ID=39067976

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006181415A Pending JP2008009850A (ja) 2006-06-30 2006-06-30 履歴管理装置及び履歴管理方法及び履歴管理プログラム

Country Status (1)

Country Link
JP (1) JP2008009850A (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012212228A (ja) * 2011-03-30 2012-11-01 Hitachi Solutions Ltd Ｉｔ障害検知・検索装置及びプログラム
JP2022153081A (ja) * 2021-03-29 2022-10-12 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012212228A (ja) * 2011-03-30 2012-11-01 Hitachi Solutions Ltd Ｉｔ障害検知・検索装置及びプログラム
JP2022153081A (ja) * 2021-03-29 2022-10-12 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム
JP7517223B2 (ja) 2021-03-29 2024-07-17 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム
US12235953B2 (en) 2021-03-29 2025-02-25 Denso Corporation Attack analyzer, attack analysis method and attack analysis program

Similar Documents

Publication Publication Date Title
US12255915B2 (en) Programmatic discovery, retrieval, and analysis of communications to identify abnormal communication activity
US20220278997A1 (en) Multistage analysis of emails to identify security threats
CN111600856B (zh) 数据中心运维的安全系统
US11552951B2 (en) Processing changes to authorized keys
US8745759B2 (en) Associated with abnormal application-specific activity monitoring in a computing network
US8086694B2 (en) Network storage device collector
CN112765245A (zh) 一种电子政务大数据处理平台
US20050114658A1 (en) Remote web site security system
US11940970B2 (en) Asset inventory reconciliation services for use in asset management architectures
US20230214398A1 (en) Data Privacy Management & Compliance Using Distributed Ledger Technology
EP4232928B1 (en) Data provenance tracking service
CN111274276A (zh) 操作审计方法、装置及电子设备和计算机可读存储介质
JP7617210B2 (ja) 個人情報接続記録管理方法および装置
JP6636605B1 (ja) 履歴監視方法、監視処理装置および監視処理プログラム
Khosravi et al. Reliability of hijacked journal detection based on scientometrics, altmetric tools, and web informatics: A case report using Google Scholar, Web of Science, and Scopus
JP4445941B2 (ja) 顧客データベース管理装置及び顧客データベース管理プログラム
Fehér et al. Log file authentication and storage on blockchain network
JP2008009850A (ja) 履歴管理装置及び履歴管理方法及び履歴管理プログラム
CN119167358A (zh) 一种基于大数据模型的有效网络安全事件监测方法及其系统
CN102546636B (zh) 监测受限资源的方法和装置
JP4857199B2 (ja) 情報資産管理システム、ログ分析装置、及びログ分析用プログラム
CN115905640A (zh) 一种信息管理方法、系统及装置
Lee et al. PCA in ERP environment using the misuse detection system design and implementation of RBAC permissions
KR20120136866A (ko) 개인정보 전송관리 시스템 및 방법
WO2025004022A1 (en) System and method for secret rotation using contextual management of machine identities

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20090409

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20110216

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110920

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20120131