JP2008269420A

JP2008269420A - Risk management method and risk management program in computer, and risk management system for executing the method

Info

Publication number: JP2008269420A
Application number: JP2007113378A
Authority: JP
Inventors: Satoshi Ogata; 聖史緒方
Original assignee: SKY Co Ltd
Current assignee: SKY Co Ltd
Priority date: 2007-04-23
Filing date: 2007-04-23
Publication date: 2008-11-06

Abstract

<P>PROBLEM TO BE SOLVED: To provide a risk management technology for previously predicting that an inconvenient phenomenon which has occurred once diffuses to somewhere else or is repeated, and suppressing it. <P>SOLUTION: An event log described with event contents in each terminal with time is acquired, inconvenient phenomenon occurrence information showing that the inconvenient phenomenon has occurred in a specific terminal is acquired, an inconvenient phenomenon arrival event pattern prescribed from an event pattern group from an initial event causing the inconvenient phenomenon determined based on the inconvenient phenomenon occurrence information to a final event triggering final occurrence of the inconvenient phenomenon is generated, and an notice event pattern obtained by applying pattern matching processing to a notice event pattern taken out from the event log of the other terminal by use of the inconvenient phenomenon arrival event pattern outputs an inconvenient phenomenon countermeasure command according to an inconvenient phenomenon transition degree undergoing a transition to the inconvenient phenomenon arrival event pattern. <P>COPYRIGHT: (C)2009,JPO&INPIT

Description

本発明は、発生した不都合現象が他に拡散すること又は繰り返されることを抑制するリスク管理技術に関する。 The present invention relates to a risk management technique for suppressing the occurrence of an inconvenient phenomenon to be spread or repeated elsewhere.

単体のコンピュータや複数のコンピュータによって構築されたネットワークシステムにおいて発生する種々の不都合現象、例えば、ユーザの操作ミスによる不適切な動作、コンピュータウイルスによる動作不良、プログラムの相互干渉によるフリーズ、不正操作による秘密情報の漏洩、不正操作による禁止情報のダウンロードなど、を防止する必要性が高まっている。このような不都合現象を未然に防ぐためには、全てのコンピュータの操作や動作を熟練を積んだ監視者が常時監視するとよいが、その監視コストが莫大なものとなり、現実的ではない。 Various inconveniences occurring in a single computer or a network system constructed by a plurality of computers, for example, inappropriate operation due to user's operation error, malfunction due to computer virus, freeze due to mutual interference of programs, secret due to illegal operation There is a growing need to prevent information leaks and the downloading of prohibited information due to unauthorized operations. In order to prevent such an inconvenient phenomenon, it is preferable that an experienced supervisor monitors all the operations and operations of all computers, but the monitoring cost becomes enormous and is not practical.

ユーザによる操作ミスによる不都合を回避するひとつの技術として、サービス端末を利用している利用者が困っているかどうかを操作履歴から判断し、困っていると判断した時に、監視端末を使う監視者に、利用者が何で困っているかを示す操作履歴情報を提示し、監視者が困っている状況に応じた支援を行うために、利用者が困っていると想定される操作パターンデータを予めデータベース化し利用者の操作履歴から上記操作パターンデータが検出されたときは、操作履歴と検出した操作パターンを監視者に提示する操作履歴提示処理を行い、監視者が確認した操作状況に応じて支援機能データベースを用いて操作支援処理を行うシステムが提案されている（例えば、特許文献１参照）。このようなシステムは、テンキー操作のみで動作するような非常に限定された機能だけを提供することから不都合な操作が限定され、その予測が容易な場合には、予め利用者が困っていると想定される操作パターンデータをデータベース化しておくことができるので、それなりの効果が得られるが、種々の機能を提供する汎用コンピュータや、外部のサーバから種々の情報を取得できるネットワーク接続されたコンピュータに対してそのまま適用することは困難である。 One technique for avoiding inconveniences caused by user operation errors is to determine whether the user using the service terminal is in trouble from the operation history. In order to present operation history information indicating what the user is in trouble and to provide support according to the situation in which the monitor is in trouble, a database of operation pattern data that the user is assumed to be in trouble is created in advance. When the above operation pattern data is detected from the user's operation history, an operation history presentation process for presenting the operation history and the detected operation pattern to the monitor is performed, and a support function database according to the operation status confirmed by the monitor There has been proposed a system for performing an operation support process using a computer (see, for example, Patent Document 1). Since such a system provides only a very limited function that can be operated only by a numeric keypad, inconvenient operations are limited, and if the prediction is easy, the user is in trouble. Expected operation pattern data can be stored in a database, so it can be used for a certain effect, but it can be used for general-purpose computers that provide various functions and network-connected computers that can acquire various information from external servers. However, it is difficult to apply as it is.

また、特定のアプリケーションプログラムが、不正使用のユーザ、ウイルス感染のアクセス元、破損ファイル等のリスク発生源を検出した場合、そのリスクの発生原因、具体的には不正使用をしたユーザのユーザＩＤ、コンピュータウイルスの感染源となるファイルや破損ファイルのファイル名等を脅威コードとし、そのリスクによってＡＰが被る可能性のある損害内容、具体的にはユーザの不正使用やウイルス感染、破損ファイルにアクセスすることで引き起こされるＡＰのハングアップ等を損害コードとして記憶しておき、別なアプリケーションプログラムが起動しようとしているユーザのユーザＩＤや、アクセスしようとしているファイルのファイル名等を確認コードとして、この確認コードの値と同一の値を持つ脅威コードが存在しているか否かを検証し、同一値を持つ脅威コードが存在した場合には、対応する損害コードを被害発生の可能性として考慮するリスク情報管理システムが提案されている（例えば、特許文献２参照）。このシステムでは、リスクの発生原因を規定する脅威コードとして、不正使用をしたユーザのユーザＩＤやコンピュータウイルスの感染源となるファイルや破損ファイルのファイル名等を用いて、脅威コードと確認コードの一致でリスクの発生を判断しているので、起こりえるリスクを前の段階で予知するという発想がなく、リスク管理としては不十分である。
特開平１０−２２２４６７号公報（段落番号００１７−００２３、図１）特開２００１−１４２６９０号公報（段落番号０００７−００１１、図４） In addition, when a specific application program detects a risk occurrence source such as an unauthorized use user, a virus infection access source, a damaged file, etc., the cause of the risk, specifically, the user ID of the unauthorized use user, The file name of a computer virus infection source or the name of a damaged file is used as a threat code, and the contents of damage that the AP may suffer due to the risk, specifically, the unauthorized use of a user, virus infection, or a damaged file are accessed. This code is stored as a damage code, and the user ID of the user trying to start another application program or the file name of the file to be accessed is used as a confirmation code. There is a threat code with the same value as A risk information management system that verifies whether or not a threat code having the same value exists and considers the corresponding damage code as a possibility of occurrence of damage has been proposed (for example, see Patent Document 2). . In this system, the threat code matches the confirmation code using the user ID of the unauthorized user, the file name that is the source of the computer virus, the file name of the damaged file, etc. as the threat code that defines the cause of the risk. Therefore, there is no idea of predicting possible risks at the previous stage, and it is not sufficient for risk management.
JP 10-222467 (paragraph number 0017-0023, FIG. 1) JP 2001-142690 A (paragraph number 0007-0011, FIG. 4)

上記実状に鑑み、本発明の課題は、一旦発生した不都合現象が他に拡散すること又は繰り返されることを前もって予測し、これを抑制するリスク管理技術を提供することである。 In view of the above situation, an object of the present invention is to provide a risk management technique that predicts in advance that a once-occurring inconvenience phenomenon is diffused or repeated, and suppresses this.

１つの端末で発生した不都合現象が拡散することを抑制するため、本発明によるリスク管理方法は、各端末におけるイベント内容を経時的に記述したイベントログを取得するステップと、前記端末の１つである特定端末で不都合現象が発生したこと示す不都合現象発生情報を取得するステップと、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成するステップと、前記端末におけるイベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すステップと、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定するステップと、前記不都合現象推移度に応じて不都合現象対策コマンドを出力するステップとからなる。 In order to suppress the spread of inconveniences occurring in one terminal, the risk management method according to the present invention includes the step of acquiring an event log that describes event contents in each terminal over time, and one of the terminals. The step of acquiring inconvenience phenomenon occurrence information indicating that an inconvenience phenomenon has occurred in a specific terminal, and the final occurrence of the inconvenience phenomenon from an initial event that causes the inconvenience phenomenon determined based on the inconvenience phenomenon occurrence information Generating an inconvenience phenomenon arrival event pattern defined from an event pattern group that reaches the final event that triggers the event, and pattern matching using the inconvenience phenomenon arrival event pattern for the event pattern of interest extracted from the event log in the terminal Performing the processing and the pattern matching A step of the target event pattern to determine inconvenience phenomenon transition of transitioning to the inconvenient phenomenon reaches event pattern based on the processing result, and a step of outputting a disadvantage phenomena countermeasures command in response to the adverse phenomena transition degree.

このリスク管理方法では、実際に不都合現象が発生した際に、この不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する。つまり、不都合現象が発生するまでには、この不都合現象をもたらすいくつかのイベント（コンピュータにおける時間的動作単位）の発生過程、つまり不都合現象をもたらすイベント列が存在しているので、これに基づいて不都合現象到達イベントパターンを生成することができる。例えば、このイベント列に基づいて不都合現象到達イベントパターンを生成するための１つ方法は、前記特定端末のイベントログの最終イベントからさかのぼって不都合現象到達イベントパターンを抽出することである。また、オペレータが発生した不都合現象から判断して適切な不都合現象到達イベントパターンをマニュアルによって作成してもよい。もちろん、前記特定端末のイベントログからオペレータの判断で適切なイベントを抽出して不都合現象到達イベントパターンを生成してもよい。また、最終イベントに達しないためのリスク管理であるので、処理的には、最終イベントを不都合現象到達イベントパターンに含めなくともよいが、オペレータなどの視覚的なチェックなどを考慮して、最終イベントを含めてもよい。いずれにせよ、不都合現象到達イベントパターンが生成されると、その後、この不都合現象を発生させた特定端末以外の端末おけるイベントログから順次監視対象となる注目イベントパターンを取り出し、この注目イベントパターンと不都合現象到達イベントパターンの間でパターンマッチングを行い、注目イベントパターンが不都合現象到達イベントパターンに推移していく可能性を示す不都合現象推移度を決定する。注目イベントパターンが高い可能性をもって不都合現象到達イベントパターンに推移していくと判定された場合、未然にこの不都合現象の発生を防ぐために、該当する端末に対して不都合現象対策コマンドを出力する。この不都合現象推移度を明確な数値として表したい場合には、不都合現象推移確率として演算によって求めるようにするとよい。これにより、１つの端末で発生した不都合現象が拡散することが抑制される。なお、ここで述べられている不都合現象の拡散を防止する対象としては、不都合現象から復帰した端末も含まれており、１つの端末で発生した不都合現象がその不都合から復帰したその端末にも拡散しないようにすることも、本発明のリスク管理技術に当然含まれている。 In this risk management method, when an inconvenient phenomenon actually occurs, an inconvenient phenomenon defined from an event pattern group that extends from an initial event that causes the inconvenient phenomenon to a final event that triggers the final occurrence of the inconvenient phenomenon. Generate arrival event pattern. In other words, by the time an inconvenience occurs, there are several events (temporal operation units in the computer) that cause this inconvenience, that is, an event sequence that causes inconvenience. An inconvenience arrival event pattern can be generated. For example, one method for generating the inconvenience phenomenon arrival event pattern based on this event sequence is to extract the inconvenience phenomenon arrival event pattern from the last event in the event log of the specific terminal. Also, an appropriate inconvenience phenomenon event pattern may be created manually by judging from the inconvenience generated by the operator. Of course, an inconvenience phenomenon arrival event pattern may be generated by extracting an appropriate event from the event log of the specific terminal at the operator's discretion. In addition, since it is risk management for not reaching the final event, the final event does not need to be included in the inconvenience phenomenon arrival event pattern in terms of processing, but the final event is considered in consideration of visual checks by the operator and the like. May be included. In any case, when the inconvenience phenomenon arrival event pattern is generated, the attention event pattern to be monitored is sequentially extracted from the event log in the terminal other than the specific terminal that has caused the inconvenience, and this attention event pattern and inconvenience are obtained. Pattern matching is performed between the phenomenon arrival event patterns, and the inconvenience phenomenon transition degree indicating the possibility that the target event pattern will transition to the inconvenience phenomenon arrival event pattern is determined. When it is determined that the event pattern of interest changes to the inconvenience phenomenon arrival event pattern with a high possibility, an inconvenience phenomenon countermeasure command is output to the corresponding terminal in order to prevent the occurrence of this inconvenience in advance. When it is desired to express the inconvenience phenomenon transition degree as a clear numerical value, it is preferable to obtain the inconvenience phenomenon transition probability by calculation. Thereby, it is possible to suppress the inconvenience occurring in one terminal from spreading. In addition, as a target for preventing the spread of the inconvenience described here, the terminal that has recovered from the inconvenience is also included, and the inconvenience that occurred in one terminal is also spread to the terminal that has recovered from the inconvenience. It is naturally included in the risk management technique of the present invention to avoid this.

イベントパターンの構成要素であるイベントはイベントログとして経時的に記録されているが、端末つまりコンピュータにおいて発生する不都合現象の原因として第１に挙げられるものは、ユーザによる過失又は故意による不正操作であることから、本発明の好適な実施形態の１つでは、前記イベントログにはユーザによるキー操作又はマウス操作情報が含まれており、前記不都合現象到達イベントパターンはユーザ操作パターンとして表現される。これにより、不都合現象を導いたユーザ操作パターンが不都合現象到達イベントパターンとして確定され、他の端末においてそのような不都合現象到達イベントパターンに到達するようなユーザ操作を回避させることで、１つの端末で発生した不都合現象が拡散することが抑制される。 Events that are constituent elements of event patterns are recorded as event logs over time, but the first cause of inconvenience occurring in terminals, that is, computers, is user error or intentional unauthorized operation. Therefore, in one preferred embodiment of the present invention, the event log includes key operation or mouse operation information by the user, and the inconvenience phenomenon arrival event pattern is expressed as a user operation pattern. As a result, the user operation pattern that has led to the inconvenience phenomenon is confirmed as the inconvenience phenomenon arrival event pattern, and the user operation to reach such an inconvenience phenomenon arrival event pattern at another terminal is avoided by one terminal. The inconvenience that has occurred is prevented from diffusing.

ユーザ操作とは直接的な関係がない要因でもコンピュータは種々の不都合現象を発生させる。例えば、プログラムの相互干渉によるクラッシュなどである。このような問題にも対処するためには、前記イベントログに各端末で起動可能な複数のプログラムの相互動作情報が含まれ、前記不都合現象到達イベントパターンとしてプログラム相互動作パターンを設定するとよい。つまり、プログラムＡのプロセスｘとｙが順次実行された後プログラムＢのプロセスｚが実行されたことによりフリーズ状態といった不都合現象が生じた場合、そのようなプロセスの実行パターンつまり不都合現象到達イベントパターンを回避させることで、１つの端末で発生した不都合現象が拡散することを防ぐのである。 Even with factors that are not directly related to user operations, the computer causes various inconveniences. For example, a crash due to mutual interference between programs. In order to cope with such a problem, it is preferable that the event log includes the interaction information of a plurality of programs that can be started on each terminal, and a program interaction pattern is set as the inconvenience phenomenon arrival event pattern. In other words, when an inconvenience such as a freeze state occurs because the process z and the program B are executed after the processes x and y of the program A are sequentially executed, the execution pattern of such a process, that is, the inconvenience phenomenon arrival event pattern is set. By avoiding this, it is possible to prevent the inconvenience occurring in one terminal from spreading.

さらに、コンピュータがネットワーク化されている場合、コンピュータ上で発生する一部の不都合現象は、特定のネットワーク交信をその原因とすることができる。この観点から、前記イベントログにはネットワーク交信情報が含まれ、前記不都合現象到達イベントパターンはネットワーク交信パターンとして表現することも重要である。 Furthermore, if the computer is networked, some inconveniences that occur on the computer can be caused by specific network communication. From this point of view, the event log includes network communication information, and it is also important to express the inconvenience phenomenon arrival event pattern as a network communication pattern.

また、コンピュータにおける種々の操作や動作の過程はその都度の操作画面で確認することができる。このことを考慮するならば、時々刻々と変化する操作画面をコンピュータにおけるイベントと見なして、コンピュータにおけるリスク管理に利用することが可能となる。従って、本発明の好適な実施形態の１つでは、前記イベントログには前記端末の操作画面を順次キャプチャして生成される操作画面キャプチャ画像列が含まれており、前記不都合現象到達イベントパターンは操作画面パターンとして表現される。つまり、不都合現象に至った操作画面パターンとチェック対象となる操作画面パターンをチェックし、不都合現象に至った操作画面パターンにならないように１つの端末で発生した不都合現象の拡散が抑制される。なお、ここでの操作画面の意味は、モニタに表示された全画面でもよいし、その一部分、例えば特定のウインドウ画面や、さらにはボタンやアイコンなどのイメージも含まれるものである。 In addition, various operations and operation processes in the computer can be confirmed on each operation screen. If this is taken into consideration, an operation screen that changes from moment to moment can be regarded as an event in the computer and used for risk management in the computer. Accordingly, in one preferred embodiment of the present invention, the event log includes an operation screen capture image sequence generated by sequentially capturing operation screens of the terminal, and the inconvenience phenomenon arrival event pattern is Expressed as an operation screen pattern. That is, the operation screen pattern leading to the inconvenient phenomenon and the operation screen pattern to be checked are checked, and the spread of the inconvenient phenomenon occurring in one terminal is suppressed so that the operation screen pattern leading to the inconvenient phenomenon does not occur. Note that the meaning of the operation screen here may be the entire screen displayed on the monitor, or a part thereof, for example, a specific window screen, or an image such as a button or icon.

１つの端末で発生した不都合現象が拡散することを回避するために出力される不都合現象対策コマンドとしては、前記注目イベントパターンが前記不都合現象到達イベントパターンに一致しないように当該端末における操作を強制的に変更するコマンドが適しているが、最終的な判断をユーザに委ねるために、不都合現象対策コマンドとして警告通知コマンドを出力して、該当端末を操作しているユーザに不都合現象発生の可能性を警告するようにしてもよい。 As an inconvenience phenomenon countermeasure command that is output in order to avoid the inconvenience occurring in one terminal from spreading, an operation on the terminal is forcibly made so that the event pattern of interest does not match the inconvenience phenomenon arrival event pattern. The command to change to is suitable, but in order to leave the final decision to the user, a warning notification command is output as an inconvenience phenomenon countermeasure command, and the possibility of the inconvenience occurring to the user operating the corresponding terminal You may make it warn.

本発明では、上述したリスク管理方法を実施するリスク管理システムも権利範囲としている。そのようなリスク管理システムでは、１つの端末で発生した不都合現象が拡散することを抑制するために、各端末におけるイベント内容を経時的に記述したイベントログを取得するイベントログ取得部と、前記端末の１つである特定端末で不都合現象が発生したこと示す不都合現象発生情報を取得する不都合現象発生情報取得部と、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する不都合現象到達イベントパターン決定部と、前記端末におけるイベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すパターンマッチング処理部と、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定する不都合現象推移度決定部と、前記不都合現象推移度に応じて不都合現象対策コマンドを出力する不都合現象対策コマンド出力部が備えられている。このように構成されたリスク管理システムも、先のリスク管理方法で述べられた作用効果を伴うものであり、上述した種々の付加的な特徴構成を備えることが可能である。 In the present invention, a risk management system that implements the above-described risk management method is also included in the scope of rights. In such a risk management system, an event log acquisition unit that acquires an event log that describes event contents over time in each terminal in order to prevent the inconvenience occurring in one terminal from spreading, and the terminal An inconvenient phenomenon occurrence information acquisition unit that obtains inconvenient phenomenon occurrence information indicating that the inconvenient phenomenon has occurred in a specific terminal, and an initial event that causes the inconvenient phenomenon determined based on the inconvenient phenomenon occurrence information An inconvenience phenomenon arrival event pattern determining unit that generates an inconvenience phenomenon arrival event pattern defined from an event pattern group leading to a final event that triggers the final occurrence of the inconvenience, and an event of interest extracted from the event log in the terminal Using the inconvenience arrival event pattern for the pattern A pattern matching processing unit that performs turn matching processing; an inconvenience phenomenon transition degree determination unit that determines an inconvenience phenomenon transition degree in which the event pattern of interest transitions to the inconvenience event arrival event pattern based on the pattern matching processing result; An inconvenient phenomenon countermeasure command output unit for outputting an inconvenient phenomenon countermeasure command according to the degree of phenomenon transition is provided. The risk management system configured in this way also has the operational effects described in the previous risk management method, and can be provided with the various additional characteristic configurations described above.

なお、本発明によるリスク管理技術は、ネットワークに接続された多数の端末を同じくネットワークに接続された端末監視装置によって監視するネットワークシステムに適用されるだけではなく、スタンドアローン型のコンピュータにも適用される。そのような１つのコンピュータにおける閉じられた範囲内で稼働するリスク管理方法は、前記コンピュータにおけるイベント内容を経時的に記述したイベントログを取得するステップと、前記コンピュータで不都合現象が発生したこと示す不都合現象発生情報を取得するステップと、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成するステップ、前記イベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すステップと、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定するステップと、前記不都合現象推移度に応じて不都合現象対策コマンドを出力するステップとからなる。このリスク管理方法では、コンピュータで発生した不都合現象のための確定させた不都合現象到達イベントパターンを用いて、以後の自己のイベントパターンをチェックして、同じ不都合現象の繰り返しを回避する。 The risk management technique according to the present invention is not only applied to a network system that monitors a large number of terminals connected to a network by a terminal monitoring apparatus that is also connected to the network, but is also applied to a stand-alone computer. The Such a risk management method that operates within a closed range in one computer includes a step of obtaining an event log that describes event contents in the computer over time, and a disadvantage that an inconvenience has occurred in the computer. Specified from a step of obtaining phenomenon occurrence information and an event pattern group from an initial event that causes the inconvenience determined based on the inconvenience occurrence information to a final event that triggers the final occurrence of the inconvenience Generating an inconvenience phenomenon arrival event pattern, performing a pattern matching process on the event pattern of interest extracted from the event log using the inconvenience phenomenon arrival event pattern, and based on the pattern matching process result note A step of event pattern to determine the disadvantages phenomenon transition of transitioning to the inconvenient phenomenon reaches event pattern, and a step of outputting a disadvantage phenomena countermeasures command in response to the adverse phenomena transition degree. In this risk management method, the inconvenience phenomenon arrival event pattern determined for the inconvenience occurring in the computer is used to check the subsequent event pattern of the self to avoid repetition of the same inconvenience.

同様に、実装されたコンピュータのみに作用する、本発明によるリスク管理モジュールは、このコンピュータにおけるイベント内容を経時的に記述したイベントログを取得するイベントログ取得部と、前記コンピュータで不都合現象が発生したこと示す不都合現象発生情報を取得する不都合現象発生情報取得部と、前記不都合現象発生情報に基づいて決定される前記不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベントパターン群から規定される不都合現象到達イベントパターンを生成する不都合現象到達イベントパターン決定部と、前記イベントログから取り出した注目イベントパターンに対して前記不都合現象到達イベントパターンを用いてパターンマッチング処理を施すパターンマッチング処理部と、前記パターンマッチング処理結果に基づいて前記注目イベントパターンが前記不都合現象到達イベントパターンに推移する不都合現象推移度を決定する不都合現象推移度決定部と、前記不都合現象推移度に応じて不都合現象対策コマンドを出力する不都合現象対策コマンド出力部を備えている。上述した作用により、このリスク管理モジュールを実装したコンピュータにおいてもこのコンピュータ上で発生した不都合現象の繰り返しが抑制される。 Similarly, the risk management module according to the present invention, which operates only on the installed computer, has an event log acquisition unit that acquires an event log that describes event contents in this computer over time, and an inconvenience occurs in the computer. An inconvenience occurrence information acquisition unit for acquiring inconvenience occurrence occurrence information indicating the final event that triggers the final occurrence of the inconvenience from an initial event that causes the inconvenience determined based on the inconvenience occurrence information. An inconvenience event arrival event pattern determination unit that generates an inconvenience event arrival event pattern defined from an event pattern group leading to an event, and pattern matching using the inconvenience event arrival event pattern for the event pattern of interest extracted from the event log Process A turn matching processing unit, an inconvenience phenomenon transition degree determination unit that determines an inconvenience phenomenon transition degree in which the event pattern of interest transitions to the inconvenience phenomenon arrival event pattern based on the pattern matching processing result, and a degree of inconvenience phenomenon transition And an inconvenient phenomenon countermeasure command output unit for outputting an inconvenient phenomenon countermeasure command. Due to the above-described action, the repetition of inconvenient phenomena occurring on the computer is suppressed even in the computer on which the risk management module is mounted.

さらに、本発明では、上述した全てのリスク管理技術をコンピュータに実現させるプログラムも権利範囲としている。 Furthermore, in the present invention, a program that causes a computer to realize all the risk management techniques described above is also included in the scope of rights.

１つの端末で発生した不都合現象が繰り返されたり、拡散されたりすることを抑制するリスク管理方法の基本原理を図１を用いて説明する。ここで言う不都合現象とはコンピュータ上で発生する不具合やコンピュータを通じて発生する不正行為などの総称で、例えばコンピュータウイルスによる動作不良やクラッシュ、プログラムの相互干渉によるクラッシュ、不正操作による秘密情報の漏洩、不正操作による禁止情報のダウンロードなどが挙げられる。 The basic principle of a risk management method that suppresses the inconvenience occurring in one terminal from being repeated or spread will be described with reference to FIG. The inconvenience mentioned here is a general term for malfunctions that occur on computers and fraudulent acts that occur through computers. For example, malfunctions and crashes caused by computer viruses, crashes caused by mutual interference of programs, leakage of confidential information due to unauthorized operations, and fraud For example, download of prohibited information by operation.

図１には、汎用的なノートパソコンやデスクパソコンである複数の端末１と、これらの端末１における不都合現象の拡散や繰り返しを防止するべく機能するリスク管理装置３がネットワーク（ＬＡＮのような組織内のネットワークであってもよいし、インターネットのように開放された広域のネットワークであってもよい）２を通じて接続されることにより構築されているコンピュータシステムが示されている。 In FIG. 1, a plurality of terminals 1 that are general-purpose notebook computers and desk computers and a risk management device 3 that functions to prevent the inconvenience from spreading and repeating in these terminals 1 are shown in a network (an organization such as a LAN). 2 may be a network within the network, or may be a wide-area network that is open like the Internet).

リスク管理装置３は、各端末１におけるユーザの操作状況やプログラムの動作状況を逐次把握しており、いずれかの端末１で不都合現象が発生した場合、その不都合現象をもたらしたユーザの操作状況やプログラムの動作状況を確定し、その端末１において同じ不都合現象が発生しないように監視するとともに、その不都合現象が他の端末１に拡散しないように監視する。以下にその手順を説明する。 The risk management device 3 sequentially grasps the user's operation status and program operation status at each terminal 1, and when an inconvenient phenomenon occurs in any terminal 1, The operation status of the program is determined, and monitoring is performed so that the same inconvenience does not occur in the terminal 1, and the inconvenience is not diffused to other terminals 1. The procedure will be described below.

端末１におけるユーザ操作やそれに伴うプログラムの起動及び種々のプログラムプロセスの実行動作はイベントログとして逐次記録され、リスク管理装置３に送られる（＃０１）。リスク管理装置３では、各端末１から順次受け取ったイベントログから、「アプリケーションＡのアイコンに対するマウスクリック」、「アプリケーションＡの起動」、「ファイル０１をオープン」、「ＵＲＬ：ａｂｃへのアクセス」、「ファイルｘｙｚのダウンロード」といったコンピュータの操作や動作に関する予め設定された最小単位の内容、つまりイベントが取り出され、端末１毎に、イベント列としてメモリに格納される（＃０２）。 User operations in the terminal 1, program activation and execution operations of various program processes are sequentially recorded as event logs and sent to the risk management apparatus 3 (# 01). In the risk management device 3, from the event log sequentially received from each terminal 1, “mouse click on application A icon”, “launch application A”, “open file 01”, “access to URL: abc”, The contents of a predetermined minimum unit relating to the operation and operation of the computer such as “download file xyz”, that is, the event is taken out and stored in the memory as an event sequence for each terminal 1 (# 02).

特定の端末（ここでは第１の端末）において不都合現象が発生し、その不都合現象の発生が検知されると、その不都合現象の種別、内容、時刻などを記述した不都合現象発生情報が生成され、リスク管理装置３に送られる（＃０３）。リスク管理装置３では、第１の端末１から受け取った不都合現象発生情報から、コンピュータウイルスによる動作不良やプログラムの相互干渉によるクラッシュといったように不都合現象の種別や内容が特定され、特定された不都合現象に特有の要因と時刻を限定して抽出条件が作成され、この抽出条件に基づいて、この第１の端末１のメモリに格納されているイベント列からこの不都合現象を導いたと思われるイベントが抽出され、この抽出されたイベントからなるイベント列が不都合現象到達イベントパターンとして登録される（＃０４）。このように登録された不都合現象到達イベントパターンは、このようなパターンでコンピュータを操作又は動作させた場合特定の不都合現象を発生させることになる見本となっている。なお、不都合現象到達イベントパターンを生成するため、メモリに格納されているイベント列から関連イベントを抽出する際に、これらの抽出イベントは必ずしも経時的に連続している必要はない。これは連続したイベント列において不都合原書と全く無関係なイベントが混在する可能性があり、そのような不都合現象と無関係な独立したイベントを省くことは不都合現象到達イベントパターンの精度を上げることになるからである。例えば、図１における不都合現象到達イベントパターンは、イベントＲ＋Ｏ＋Ｐ＋Ｑとなっているが、イベントＯが無関係な独立したイベントであるとすれば、イベントＲ＋Ｐ＋Ｑを不都合現象到達イベントパターンとするのである。もちろん、制御を簡単にするためには、経時的に連続したイベントを抽出するとよい。また、不都合現象到達イベントパターンには、必ずしも、不都合現象の最終的な発生をトリガーする最終イベント（図１ではイベントＱ）を含ませなくともよい。最終イベントの手前で不都合現象の発生を回避する必要があるので、最終イベントが生じるまで待つことができないからである。さらに、不都合現象によってはその不都合現象到達イベントパターンがかなり解明されているものがあり、そのようなケースでは、不都合現象到達イベントパターンを第１の端末１のメモリに格納されているイベント列から抽出するのではなく、オペレータによってマニュアルで作成又は選択することも可能である。 When an inconvenience occurs in a specific terminal (here, the first terminal) and the occurrence of the inconvenience is detected, inconvenience occurrence information describing the type, content, time, etc. of the inconvenience is generated, It is sent to the risk management device 3 (# 03). In the risk management device 3, the type and content of the inconvenience such as malfunction due to computer virus or crash due to mutual interference of programs are identified from the inconvenience occurrence information received from the first terminal 1, and the inconvenient phenomenon identified. An extraction condition is created by limiting factors and time peculiar to the event, and based on this extraction condition, an event that seems to have led to this inconvenience is extracted from the event sequence stored in the memory of the first terminal 1 Then, an event sequence composed of the extracted events is registered as an inconvenience phenomenon arrival event pattern (# 04). The inconvenience phenomenon arrival event pattern registered in this way is a sample that causes a specific inconvenience when the computer is operated or operated in such a pattern. Note that in order to generate an inconvenience phenomenon arrival event pattern, when extracting related events from an event sequence stored in the memory, these extracted events do not necessarily have to be continuous over time. This is because there is a possibility that events that are completely irrelevant to the inconvenient original are mixed in a continuous event sequence, and omitting independent events that are irrelevant to such inconveniences increases the accuracy of the inconvenience arrival event pattern. It is. For example, the inconvenience phenomenon arrival event pattern in FIG. 1 is event R + O + P + Q, but if event O is an independent event that is irrelevant, event R + P + Q is used as the inconvenience phenomenon arrival event pattern. Of course, in order to simplify the control, events that are continuous over time may be extracted. Further, the inconvenience phenomenon arrival event pattern does not necessarily include the final event (event Q in FIG. 1) that triggers the final occurrence of the inconvenience. This is because it is necessary to avoid the occurrence of an inconvenient phenomenon before the final event, so it is not possible to wait until the final event occurs. Furthermore, there are cases where the inconvenience phenomenon arrival event pattern has been considerably elucidated depending on the inconvenience phenomenon. In such a case, the inconvenience phenomenon arrival event pattern is extracted from the event sequence stored in the memory of the first terminal 1. Instead, it can be manually created or selected by the operator.

従って、各端末１から逐次送られてくるイベントログに基づいて格納されていく最新のイベント列に対して、登録された不都合現象到達イベントパターンを標準パターンとしてパターンマッチング処理を行う（＃０５）。パターンマッチング処理の結果、高い類似度が見つけ出されると、つまり不都合現象到達イベントパターンへ推移する可能性（推移度）が高くなると、例えば、その推移度が所定の閾値を超えた場合、監視対象となっている端末１で警告を報知するなり、不都合現象到達イベントパターンへ完全に推移するために残っているイベントを生じさせないように特定イベントの出現を回避させるコマンドを与えるなりの不都合現象防止の対策が行われる（＃０６）。これにより、このネットワークシステムでは、端末１において発生した不都合現象が繰り返されたり、その他の端末１に拡散されたりすることが抑制される。 Therefore, pattern matching processing is performed on the latest event sequence stored based on the event log sequentially sent from each terminal 1 using the registered inconvenience phenomenon arrival event pattern as a standard pattern (# 05). As a result of pattern matching processing, when a high similarity is found, that is, when the possibility of transition to an inconvenience phenomenon arrival event pattern (transition degree) increases, for example, when the transition degree exceeds a predetermined threshold, Measures to prevent inconvenient phenomena that give a command to avoid the appearance of a specific event so as not to generate a remaining event in order to notify the warning at the terminal 1 that has become, and to make a transition to the inconvenient phenomenon arrival event pattern completely Is performed (# 06). Thereby, in this network system, it is suppressed that the inconvenient phenomenon which generate | occur | produced in the terminal 1 is repeated or spread | diffused to the other terminals 1. FIG.

上記の説明では、各端末１からリスク管理装置３に送られるイベントログには、端末におけるユーザ操作内容やそれに伴うプログラムの起動及び種々のプログラムプロセスの実行動作内容が含まれていたが、これらに代えて又はこれらに追加して、ユーザ操作やプログラムプロセスの実行動作に伴って逐次書き換えられていく操作画面（モニタ画面）をキャプチャして得られたキャプチャ画像が含まれてもよい。上述したように、端末１毎に格納されたキャプチャ画像から不都合現象到達イベントパターンとしてキャプチャ画像列を抽出することが可能であり、この画像としての不都合現象到達イベントパターンを標準パターンとしてパターンマッチング処理を行うことにより、不都合現象到達イベントパターンへ推移する可能性の高い端末１を特定することも可能である。 In the above description, the event log sent from each terminal 1 to the risk management device 3 includes the contents of user operations in the terminals, the activation of programs associated therewith, and the execution operation contents of various program processes. Instead of or in addition to these, a captured image obtained by capturing an operation screen (monitor screen) that is sequentially rewritten in accordance with a user operation or an execution operation of the program process may be included. As described above, it is possible to extract a captured image sequence as an inconvenience phenomenon arrival event pattern from a captured image stored for each terminal 1, and perform pattern matching processing using the inconvenience phenomenon arrival event pattern as an image as a standard pattern. By doing so, it is also possible to identify the terminal 1 that is likely to shift to the inconvenience phenomenon arrival event pattern.

上述した原理的なリスク管理システムを実際に構築する上で端末１とリスク管理装置３に要求される機能を示す機能ブロック図が図２に示されている。端末１は、ノート型パソコンやディスクトップ型パソコンなどの汎用パソコンであるが、それらのパソコンが作り出す機能の内、図２の機能ブロック図では、本発明に特に関係する機能を主に示している。端末１は、液晶ディスプレイなどのモニタ５１と、操作入力デバイス５２としてのキーボードやマウスと、各種データを格納する据え付けタイプのハードディスク５３やリムーバブルタイプの記録デバイス（ＵＳＢメモリなど）５４を備えている。この端末１にインストールされているＯＳによって作り出されるＧＵＩ部１０が仲介することにより、モニタ５１に表示された操作画面を通じてユーザによって入力された種々の操作命令が実行される。各種ファイル処理を含むユーザ指示に基づくデータ処理は相応のプログラムの起動を伴ってプログラム実行部１１で行われる。ＧＵＩ部１０で処理されたユーザ操作の内容は操作情報生成部１２で操作実行プログラム名や操作対象データ名（ファイル名）や操作コマンド名などを列挙する形でタイムスタンプとひも付けされて操作情報となり、プログラム実行部１１における実行プロセスの情報は動作情報生成部１３でプログラム名やプロセス名などを列挙する形でタイムスタンプとひも付けされて動作情報となる。 FIG. 2 is a functional block diagram showing functions required for the terminal 1 and the risk management device 3 in actually constructing the above-described principle risk management system. The terminal 1 is a general-purpose personal computer such as a notebook personal computer or a desktop personal computer. Among the functions created by these personal computers, the function block diagram of FIG. 2 mainly shows functions particularly related to the present invention. . The terminal 1 includes a monitor 51 such as a liquid crystal display, a keyboard and a mouse as the operation input device 52, an installed hard disk 53 storing various data, and a removable recording device (USB memory or the like) 54. Various operation commands input by the user through the operation screen displayed on the monitor 51 are executed by the GUI unit 10 created by the OS installed in the terminal 1 as an intermediary. Data processing based on user instructions including various file processing is performed by the program execution unit 11 with the start of the corresponding program. The contents of the user operation processed by the GUI unit 10 are linked to a time stamp in the form of enumerating operation execution program names, operation target data names (file names), operation command names, and the like by the operation information generation unit 12. Thus, the information on the execution process in the program execution unit 11 is linked to a time stamp in the form of enumerating program names and process names in the operation information generation unit 13 to become operation information.

各種操作画面をモニタ５１に表示するため、これらの表示データは一時的にビデオメモリ１４に格納されるが、このビデオメモリ１４に展開されている表示データ、つまり操作画面は操作画面キャプチャ部１５で操作画面キャプチャ画像（以下単にキャプチャ画像と称する）としてキャプチャされ、タイムスタンプとひも付けされてキャプチャ画像情報となる。 In order to display various operation screens on the monitor 51, these display data are temporarily stored in the video memory 14. The display data developed in the video memory 14, that is, the operation screens are displayed on the operation screen capture unit 15. It is captured as an operation screen capture image (hereinafter simply referred to as a capture image), and is linked with a time stamp to become captured image information.

操作情報生成部１２で生成された操作情報や動作情報生成部１３で生成された動作情報や操作画面キャプチャ部１５で生成されたキャプチャ画像情報はイベントログ生成部１６によって機械的に読み出し可能にフォーマットされたイベントログとして結合され、ネットワークＩＦ１７を通じてリスク管理装置３に送られる。ネットワークＩＦ１７は、外部との間のデータ交信の全てを管理制御しているので、不正なデータのやり取りはここでの交信記録を経過から判断することが可能である。このため、このネットワークＩＦ１７では、その交信情報を生成して、イベントログ生成部１６に送る機能も有している。イベントログ生成部１６では、与えられた交信情報をイベントログに組み込むことができる。 The operation information generated by the operation information generation unit 12, the operation information generated by the operation information generation unit 13, and the captured image information generated by the operation screen capture unit 15 are formatted to be mechanically readable by the event log generation unit 16. The event logs are combined and sent to the risk management apparatus 3 through the network IF 17. Since the network IF 17 manages and controls all the data communication with the outside, it is possible to judge the communication record here from the progress of the illegal data exchange. For this reason, the network IF 17 also has a function of generating the communication information and sending it to the event log generation unit 16. The event log generation unit 16 can incorporate the given communication information into the event log.

さらに、端末１に発生した、コンピュータウイルスによる動作不良やプログラムの相互干渉によるクラッシュといったような不都合現象を検知すると、この不都合現象の種別、内容、時刻などを記述した不都合現象発生情報を生成してリスク管理装置３に送り出す不都合現象検知部１８が備えられている。 Further, when an inconvenience such as a malfunction caused by a computer virus or a crash due to mutual interference between programs is detected in the terminal 1, inconvenience occurrence information describing the type, content, time, etc. of the inconvenience is generated. An inconvenient phenomenon detection unit 18 that is sent to the risk management device 3 is provided.

端末１からリスク管理装置３に送られるイベントログは、端末ＩＤやＭＡＣアドレスによってその送信元を確定することが可能であるが、端末１がマルチユーザタイプである場合、その端末１を操作しているユーザが特定されることも重要である。このため、そのような端末１を利用するためには、まずユーザ名とパスワードの入力によってログインしなければならないようにし、このログイン処理を通じて得られたユーザ名は、ログイン・ログオフ制御部１９において、そのままで又は必要に応じてユーザＩＤ等に変換され、端末１を識別するための端末ＩＤとともにリスク管理装置３に送られ管理されるユーザ属性情報とする。また、イベントログ自体にユーザ属性情報を記述するようにしてもよい。 The event log sent from the terminal 1 to the risk management device 3 can determine the transmission source by the terminal ID or the MAC address. If the terminal 1 is a multi-user type, the terminal 1 is operated by operating the terminal 1 It is also important to identify the users who are present. For this reason, in order to use such a terminal 1, it is necessary to first log in by inputting a user name and a password, and the user name obtained through this login process is stored in the login / logoff control unit 19. The user attribute information is converted into a user ID or the like as it is or as needed, and is sent to the risk management apparatus 3 and managed together with the terminal ID for identifying the terminal 1. Further, user attribute information may be described in the event log itself.

なお、ログイン・ログオフ制御部１９には、リスク管理装置３がこの端末１におけるこれ以上の操作や動作が不都合現象を引き起こす可能性が高いと判定した場合、警告情報報知コマンドや特定種類のイベントに結びつく操作や動作を禁止するコマンドやこのユーザのログインを強制的にログオフするコマンドなどの不都合現象対策コマンドがリスク管理装置３から送られてくる。ログイン・ログオフ制御部１５は、警告情報報知コマンドを受け取るとこれをモニタ５１に表示し、操作や動作を禁止するコマンドを受け取ると、ＧＵＩ部１０やプログラム実行部１１に設定されているテーブルに禁止された操作や動作を書き込んで以後特定の操作や動作を禁止する。また、強制ログオフコマンドを受け取ると、直ちに強制ログオフし、以後少なくとも所定期間の間このユーザによるログインは禁止される。 The log-in / log-off control unit 19 notifies the warning information notification command or a specific type of event when the risk management device 3 determines that further operation or operation on the terminal 1 is likely to cause an inconvenience. The risk management device 3 sends an inconvenience countermeasure command such as a command for prohibiting linked operations or actions, or a command for forcibly logging off the user's login. When the log-in / log-off control unit 15 receives the warning information notification command, the log-in / log-off control unit 15 displays the warning information notification command on the monitor 51. When the log-in / log-off control unit 15 receives the command for prohibiting the operation or operation, the log-in / log-off control unit 15 The specified operation or action is written and the specific operation or action is prohibited thereafter. Also, when a forced logoff command is received, the forced logoff is immediately performed, and thereafter, login by the user is prohibited for at least a predetermined period.

リスク管理装置３も一般的には汎用コンピュータによって構成され、液晶ディスプレイなどの監視モニタ６１、操作入力デバイス６２としてキーボードやマウス、ハードディスクなどで構成されるデータ格納部６４などが付属している。このリスク管理装置３にインストールされているＯＳによってＧＵＩ部３０や端末１から送られてきた端末操作ユーザに関するユーザ属性情報に基づいて特定された端末１とこの端末１を操作しているユーザを管理する端末管理部３１などを初めとして種々の基本的な機能が作り出される。また、リスク管理装置３における本発明に関する機能のほとんどは、このリスク管理装置３にインストールされているリスク管理プログラムの実行に伴って作り出される。その代表的なものとして、イベントログ取得部３２、イベントパターン取り出し部３３、不都合現象発生情報取得部３４、不都合現象到達イベントパターン決定部３５、パターンマッチング処理部３７、不都合現象推移度決定部３８、不都合現象対策コマンド出力部３９などが挙げられる。 The risk management device 3 is also generally constituted by a general-purpose computer, and is attached with a monitoring monitor 61 such as a liquid crystal display and a data storage unit 64 constituted by a keyboard, a mouse, a hard disk or the like as an operation input device 62. The OS installed in the risk management device 3 manages the terminal 1 specified based on the user attribute information related to the terminal operation user sent from the GUI unit 30 or the terminal 1 and the user operating this terminal 1. Various basic functions are created starting with the terminal management unit 31 and the like. Further, most of the functions related to the present invention in the risk management device 3 are created in accordance with the execution of the risk management program installed in the risk management device 3. As typical examples, an event log acquisition unit 32, an event pattern extraction unit 33, an inconvenience phenomenon occurrence information acquisition unit 34, an inconvenience phenomenon arrival event pattern determination unit 35, a pattern matching processing unit 37, an inconvenience phenomenon transition degree determination unit 38, An inconvenient phenomenon countermeasure command output unit 39 and the like can be mentioned.

イベントログ取得部３２は、各端末１から送られてくるイベントログを端末別に取り込み、イベントログに含まれているイベントを、操作情報、動作情報、交信情報、キャプチャ画像情報のいずれかに分類する。この内、操作情報と動作情報と交信情報はテキスト情報であるので、操作・動作情報管理部３２ａで管理され、キャプチャ画像情報はイメージ情報であるので、キャプチャ画像管理部３２ｂで管理される。イベントパターン取り出し部３３は、操作・動作情報管理部３２ａやキャプチャ画像管理部３２ｂで管理されている各イベントを随時取り出して時系列的にメモリに展開して、これらの時系列的に並んだ同一種類のイベントからなるイベント列をイベントパターンとして作り出す。 The event log acquisition unit 32 captures the event log sent from each terminal 1 for each terminal, and classifies the event included in the event log as one of operation information, operation information, communication information, and captured image information. . Among them, since the operation information, the operation information, and the communication information are text information, they are managed by the operation / operation information management unit 32a, and since the captured image information is image information, it is managed by the capture image management unit 32b. The event pattern take-out unit 33 takes out each event managed by the operation / motion information management unit 32a and the captured image management unit 32b at any time, develops them in a memory in time series, and arranges these same events in time series. Create an event pattern consisting of different types of events as an event pattern.

不都合現象発生情報取得部３４は、ある特定の端末１で不都合現象が発生したこと示す不都合現象発生情報を取得する。不都合現象到達イベントパターン決定部３５は、不都合現象発生情報取得部３４で取得された不都合現象発生情報に基づいて決定されるこの不都合現象の原因となる初期イベントからこの不都合現象の最終的な発生をトリガーする最終イベントに至るイベント列を、この不都合現象発生を発生させた特定端末１のイベントログからイベントパターン取り出し部３３で作り出されているイベント列から抽出して不都合現象到達イベントパターンと定義する。この定義された不都合現象到達イベントパターンは、不都合現象到達イベントパターンテーブル３６に登録され、パターンマッチング処理における標準パターンとして用いられる。パターンマッチング処理部３７は、不都合現象の発生の後に正常に復帰した端末１を含む、不都合現象を発生している端末以外の端末１におけるイベントログからイベントパターン取り出し部３３で取り出されるイベント列としての注目イベントパターンに対して不都合現象到達イベントパターンテーブル３６で登録されている１つ以上の不都合現象到達イベントパターンを用いてパターンマッチング処理を施す。なお、このパターンマッチング処理の対象となる注目イベントパターンに含まれるイベント数は、標準パターンとして設定される不都合現象到達イベントパターンにおけるイベント数に応じて変動する。なお、このパターンマッチング処理では、標準パターンとしての不都合現象到達イベントパターンの経時的な順番に関しては厳密であり、経時的な順番が異なる場合マッチングしないと見なされる。不都合現象推移度決定部は、パターンマッチング処理部３７によるパターンマッチング処理結果に基づいて注目イベントパターンが対象となっている不都合現象到達イベントパターンに推移する不都合現象推移度を決定する。この実施の形態では、不都合現象推移度決定部３８は、推移度を取り扱いやすい数値として表現するため、不都合現象推移度として不都合現象推移確率を演算するように構成されている。この不都合現象推移確率の演算アルゴリズムの一例として、パターンマッチング度、及び、不都合現象のタイプ別で多くの試料データをもとに統計的な処理によって得られた関係式を用いて作り出すことができる。 The inconvenient phenomenon occurrence information acquisition unit 34 acquires inconvenient phenomenon occurrence information indicating that an inconvenient phenomenon has occurred in a specific terminal 1. The inconvenience phenomenon arrival event pattern determination unit 35 determines the final occurrence of the inconvenience from the initial event that causes the inconvenience that is determined based on the inconvenience occurrence information acquired by the inconvenience occurrence information acquisition unit 34. The event sequence leading to the final event to be triggered is extracted from the event sequence created by the event pattern extracting unit 33 from the event log of the specific terminal 1 that has caused the occurrence of the inconvenient phenomenon and defined as an inconvenient event arrival event pattern. The defined inconvenience phenomenon arrival event pattern is registered in the inconvenience phenomenon arrival event pattern table 36 and used as a standard pattern in the pattern matching process. The pattern matching processing unit 37 is an event sequence extracted by the event pattern extracting unit 33 from the event log in the terminal 1 other than the terminal that has caused the inconvenient phenomenon, including the terminal 1 that has returned to normal after the occurrence of the inconvenient phenomenon. Pattern matching processing is performed on the target event pattern using one or more inconvenience phenomenon arrival event patterns registered in the inconvenience phenomenon arrival event pattern table 36. Note that the number of events included in the target event pattern to be subjected to the pattern matching process varies depending on the number of events in the inconvenient phenomenon arrival event pattern set as the standard pattern. In this pattern matching process, the order of the inconvenience phenomenon arrival event pattern as a standard pattern with respect to time is strict, and if the order with time is different, it is considered that no matching occurs. The inconvenience phenomenon transition degree determination unit determines the inconvenience phenomenon transition degree of transition to the inconvenience phenomenon arrival event pattern that is the target event pattern based on the pattern matching processing result by the pattern matching processing unit 37. In this embodiment, the inconvenience phenomenon transition degree determination unit 38 is configured to calculate the inconvenience phenomenon transition probability as the inconvenience phenomenon transition degree in order to express the transition degree as a numerical value easy to handle. As an example of an algorithm for calculating the inconvenience phenomenon transition probability, it can be created by using a relational expression obtained by statistical processing based on a large amount of sample data for each pattern type and the inconvenience phenomenon type.

不都合現象対策コマンド出力部３９は、不都合現象確率（推移度）に応じて、不都合現象が発生する可能性が高い端末１に対して、不都合現象の発生を予防すべく、不都合現象対策コマンドを送る。この不都合現象対策コマンドとしては、注目イベントパターンが不都合現象到達イベントパターンに一致しないように当該端末１における操作を強制的に変更するコマンドや、不都合現象の発生を予告する警告を当該端末１のユーザに報知するための警告通知コマンド、当該端末１のユーザに対して強制的なログオフを行うコマンドといったような当該端末１に対するリスク抑制コマンドと、ファイルサーバに対する当該端末１からのリクエストの受付を禁止するコマンドやＤＮＳサーバやプロキシサーバやメールサーバなどに対する当該端末１からのリクエストの受付を禁止するコマンドといったような外部サーバに対するリスク抑制コマンドなどが挙げられる。 The inconvenience phenomenon countermeasure command output unit 39 sends an inconvenience phenomenon countermeasure command to the terminal 1 that is highly likely to cause the inconvenience phenomenon according to the inconvenience phenomenon probability (transition degree) in order to prevent the occurrence of the inconvenience phenomenon. . The inconvenience phenomenon countermeasure command includes a command for forcibly changing the operation of the terminal 1 so that the event pattern of interest does not match the inconvenience phenomenon arrival event pattern, and a warning for notifying the occurrence of the inconvenient phenomenon. A risk notification command for the terminal 1 such as a warning notification command for informing the user, a command for forcibly logging off the user of the terminal 1, and a request from the terminal 1 to the file server are prohibited. Examples include a command and a risk suppression command for an external server such as a command for prohibiting reception of a request from the terminal 1 for a DNS server, a proxy server, a mail server, or the like.

このように構成されたリスク管理システムにおけるリスク管理の手順を非常に単純化された例を用いる。ここでの不都合現象は、外部からのコンピュータウイルスで、以下のような過程を経て、特定の端末１に侵入したケースとする。
（１）Ｗｅｂブラウザの起動
（２）サイトＡＢＣにアクセス
（３）サイトＡＢＣのトップページ表示
（４）特定エリアをクリック
（５）ＸＹＺページの表示
（６）特定ボタンＥＸＩＴをクリック
（７）コンピュータウイルスを含むＰＰＰ．ｅｘｅファイルのダウンロード
（８）ＰＰＰ．ｅｘｅファイルの自動起動によるコンピュータウイルスの感染
（９）Ｗｅｂブラウザの終了
上記のような操作を行った場合、特定端末１がコンピュータウイルスに感染したことを常駐しているウイルス検出ソフトによって検出されると、不都合現象検知部１８がコンピュータウイルス感染に関する不都合現象発生情報を生成して、リスク管理装置３に送ることになる。また、上記のような操作を行った場合、端末１がリスク管理装置３に送るイベントログから、イベントパターン取り出し部３３は、図３の（ａ）で模式的に示されるようなイベント列を取り出すことができる。 A very simplified example of the risk management procedure in the risk management system configured in this way is used. The inconvenience here is a case where a computer virus from the outside has entered a specific terminal 1 through the following process.
(1) Web browser activation (2) Access to site ABC (3) Top page display of site ABC (4) Click on specific area (5) Display of XYZ page (6) Click on specific button EXIT (7) Computer virus Including PPP. exe file download (8) PPP. Infection of computer virus by automatic start of exe file (9) Termination of Web browser When the above operation is performed, it is detected by the virus detection software resident that the specific terminal 1 is infected with the computer virus. Thus, the inconvenience detection unit 18 generates inconvenience occurrence information related to computer virus infection and sends it to the risk management device 3. Further, when the above operation is performed, the event pattern extraction unit 33 extracts an event sequence as schematically illustrated in FIG. 3A from the event log sent from the terminal 1 to the risk management device 3. be able to.

この不都合現象発生情報を受け取ったリスク管理装置３は、この不都合現象を他の端末１に拡散させないように、図４で示す不都合現象防止対策処理を行う。この不都合現象防止対策処理では、発生した不都合現象を登録する登録ルーチンと発生した不都合現象の拡散を回避する回避実行ルーチンが並列して実行している。登録ルーチンでは、まず、不都合現象発生情報を解読して、不都合現象の種類（ここではコンピュータウイルス感染）など不都合現象の属性情報を求める（＃１１）。不都合現象到達イベントパターン決定部３５は、その属性情報（コンピュータウイルス感染の場合感染履歴情報など）から、この不都合現象の原因となる初期イベントから前記不都合現象の最終的な発生をトリガーする最終イベントに至るイベント列を検索し、不都合現象到達イベントパターンとして見つけ出す（＃１２）。例えば、図３で示したイベント列から図３の（ｂ）に示すイベント列が不都合現象到達イベントパターンとして決定される。この決定された不都合現象到達イベントパターンは不都合現象到達イベントパターンテーブル３６に登録される（＃１３）。 The risk management device 3 that has received the inconvenience occurrence information performs the inconvenience prevention measure process shown in FIG. 4 so that the inconvenience does not spread to other terminals 1. In this inconvenience prevention measure processing, a registration routine for registering the inconvenience that has occurred and an avoidance execution routine for avoiding the diffusion of the inconvenience that has occurred are executed in parallel. In the registration routine, first, the inconvenience phenomenon occurrence information is decoded, and the inconvenience phenomenon attribute information such as the kind of inconvenience phenomenon (here, computer virus infection) is obtained (# 11). The inconvenience phenomenon arrival event pattern determination unit 35 uses the attribute information (such as infection history information in the case of a computer virus infection) from the initial event that causes the inconvenience to the final event that triggers the final occurrence of the inconvenience. The event sequence is searched and found as an inconvenience phenomenon arrival event pattern (# 12). For example, the event sequence shown in FIG. 3B is determined as the inconvenience phenomenon arrival event pattern from the event sequence shown in FIG. The determined inconvenience phenomenon arrival event pattern is registered in the inconvenience phenomenon arrival event pattern table 36 (# 13).

回避実行ルーチンでは、まず、監視対象となる端末１を指定する（＃２１）。これは通常、その時点で稼働している端末１を順次指定していくやり方でよい。パターンマッチング処理部３７は、不都合現象到達イベントパターンテーブル３６に登録されている全ての不都合現象到達イベントパターンをパターンマッチング処理の標準パターンとして順次設定する（＃２２）。指定された監視対象端末１のイベントログからイベントパターン取り出し部３３が、設定された標準パターンに適合するイベント数を持つべくイベントパターンを取り出し、パターンマッチング処理部３７に与える（＃２３）。なお、イベントパターン取り出し部３３によって取り出されるイベントパターンに含まれるイベント数は標準パターンに含まれるイベント数と同じである必要はない。例えば、取り出されたイベントパターンに含まれるイベントには連続する他のイベントとは無関係なイベントも混在する可能性がある場合、取り出されるイベントパターンに含まれるイベント数は設定された標準パターンに含まれるイベント数より大きくする方が好都合となる。また、取り出されるイベントパターンから無関係なイベントを除外しておく前処理を行うことも好適であるし、必要の場合、取り出されたイベントパターンに含まれるイベントの順番を一部変えることも不都合現象到達イベントパターン（標準パターン）によっては有効である。パターンマッチング処理が行われ、取り出されたイベントパターンと設定された標準パターン（不都合現象到達イベントパターン）の類似度、つまり取り出されたイベントパターンが標準パターンに推移する可能性としての確率が演算される（＃２４）。得られた確率と予め設定されているしきい値が比較される（＃２５）。確率がしきい値より大きい場合（＃２５Yes分岐）、この監視対象端末１において不都合現象が発生する可能性が高いとみなし、その不都合現象のリスク程度や確率の値に応じて、直ちに操作や動作を中止させるか、警告だけにするといったように、相応な不都合現象対策コマンドを決定する（＃２６）。決定された不都合現象対策コマンドは、ネットワーク２を通じて監視対象端末１に送られる（＃２７）。確率がしきい値より小さい場合（＃２５No分岐）、取り出されたイベントパターンに関しては問題がないと見なして、次に取り出すべきイベントパターンが存在するどうかをチェックし、存在する場合（＃２８Yes分岐）、ステップ＃２３に戻って次の別なイベントパターンをパターンマッチング処理部３７に与え、存在しない場合（＃２８No分岐）、次に標準パターンとして設定すべき不都合現象到達イベントパターンが残っているかどうかをチェックする（＃２９）。設定すべき不都合現象到達イベントパターンが残っている場合（＃２９Yes分岐）、ステップ＃２２に戻って次の別な不都合現象到達イベントパターンを標準パターンとして設定する。設定すべき不都合現象到達イベントパターンが残っていない場合（＃２９No分岐）、ステップ＃２１に戻って次の別な端末１を監視対象端末として指定する。このようにして、一旦発生した不都合現象が他に拡散すること又は繰り返されることをイベントパターンを用いた不都合現象到達確率（不都合現象到達推移度）によって予測し、これを防止すべく、対策を講じる。 In the avoidance execution routine, first, the terminal 1 to be monitored is designated (# 21). In general, this may be a method of sequentially designating the terminals 1 operating at that time. The pattern matching processing unit 37 sequentially sets all the inconvenience phenomenon arrival event patterns registered in the inconvenience phenomenon arrival event pattern table 36 as standard patterns for pattern matching processing (# 22). The event pattern extracting unit 33 extracts an event pattern from the event log of the designated monitoring target terminal 1 so as to have the number of events that matches the set standard pattern, and provides the event pattern to the pattern matching processing unit 37 (# 23). Note that the number of events included in the event pattern extracted by the event pattern extraction unit 33 need not be the same as the number of events included in the standard pattern. For example, if the events included in the extracted event pattern may include events that are not related to other consecutive events, the number of events included in the extracted event pattern is included in the set standard pattern It is more convenient to make it larger than the number of events. It is also preferable to perform pre-processing that excludes irrelevant events from the extracted event pattern, and if necessary, it is also possible to change the order of events included in the extracted event pattern. This is effective depending on the event pattern (standard pattern). Pattern matching processing is performed, and the similarity between the extracted event pattern and the set standard pattern (inconvenient phenomenon arrival event pattern), that is, the probability that the extracted event pattern is likely to transition to the standard pattern is calculated. (# 24). The obtained probability is compared with a preset threshold value (# 25). If the probability is greater than the threshold value (# 25 Yes branch), it is considered that there is a high possibility that an inconvenience will occur in the monitored terminal 1, and an operation or action is immediately performed according to the risk level or probability value of the inconvenience. Corresponding inconvenience phenomenon countermeasure command is determined (# 26). The determined inconvenience phenomenon countermeasure command is sent to the monitoring target terminal 1 through the network 2 (# 27). If the probability is smaller than the threshold value (# 25 No branch), it is considered that there is no problem with the extracted event pattern, and it is checked whether there is an event pattern to be extracted next, and if it exists (# 28 Yes branch). Returning to Step # 23, another next event pattern is given to the pattern matching processing unit 37, and if it does not exist (# 28 No branch), it is determined whether or not an inconvenience phenomenon arrival event pattern to be set as a standard pattern remains. Check (# 29). When the inconvenience phenomenon arrival event pattern to be set still remains (# 29 Yes branch), the process returns to step # 22 to set another inconvenience phenomenon arrival event pattern as a standard pattern. If there is no inconvenience phenomenon arrival event pattern to be set (# 29 No branch), the process returns to step # 21 to designate the next different terminal 1 as the monitoring target terminal. In this way, once an inconvenience that has occurred once is diffused or repeated, it is predicted by the inconvenience phenomenon arrival probability (inconvenience phenomenon arrival transition degree) using the event pattern, and measures are taken to prevent this. .

上記図３の例では、イベント列として、テキスト化又はコード化されたイベント内容の列をイベントパターンと定義していたが、そのようなイベント毎にモニタ５１に表示される操作画面であるキャプチャ画像列をイベントパターンとして定義して、上述した不都合現象防止対策処理を実行することも可能である。そのようなキャプチャ画像によるイベントパターンの一例が図５に示されている。この不都合現象防止対策処理はパターンマッチング処理に基づく不都合現象到達確率（不都合現象到達推移度）が基本となっているので、イメージベースのイベントパターンに対しても高い適用性を有する。なお、なお、ここでのパターンマッチング処理の対象となる操作画面には、モニタに表示された全画面だけではなく、その一部分、例えば特定のウインドウ画面や、さらにはボタンやアイコンなどのイメージも含まれるものである。このようなモニタ画面上の部分的な領域は、モニタ画面全域のキャプチャ画像から切り取ることも可能であるし、最初からその領域だけをキャプチャして限定的な操作画面として取り扱うようにしてもよい。 In the example of FIG. 3 above, a text or coded event content sequence is defined as an event pattern as an event sequence, but a captured image that is an operation screen displayed on the monitor 51 for each such event. It is also possible to define the column as an event pattern and execute the above-described inconvenience prevention countermeasure processing. An example of an event pattern based on such a captured image is shown in FIG. Since this inconvenience prevention measure processing is based on the inconvenience phenomenon arrival probability (inconvenience phenomenon arrival transition degree) based on the pattern matching processing, it has high applicability to image-based event patterns. Note that the operation screens that are subject to pattern matching here include not only the entire screen displayed on the monitor, but also a part of it, for example, a specific window screen, and further images such as buttons and icons. It is what Such a partial area on the monitor screen can be cut out from the captured image of the entire monitor screen, or only the area may be captured from the beginning and handled as a limited operation screen.

図６には本発明の別の実施形態が示されている。先に説明した実施の形態では、多数の端末１で生成されたイベントログと特定の端末１で発生した不都合現象を記述する不都合現象発生情報がネットワーク２を介してリスク管理装置３に送られ、このリスク管理装置３で、そのような不都合現象が繰り返されたり、拡散されたりすることを防止するべく対策が講じられていた。しかしながら、このリスク管理装置３における不都合現象防止対策処理を実行するために要求される各機能部をモジュール化して端末１のコンピュータに実装すれば、そのコンピュータは単独で、本発明によるリスク管理機能を実現することができる。そのような形態における機能ブロック図が図６に示されている。これは、前述したネットワークタイプのリスク管理技術に較べ、ネットワークを介してのイベントログと不都合現象発生情報と不都合現象対策コマンドの伝送がコンピュータのデータバスに置き換わっていることに違いがあるが、実質的な技術内容は同じであるので、ここではその説明の繰り返しは省略する。 FIG. 6 shows another embodiment of the present invention. In the embodiment described above, event logs generated by a large number of terminals 1 and inconvenience occurrence information describing inconveniences occurring in a specific terminal 1 are sent to the risk management device 3 via the network 2. In the risk management device 3, measures have been taken to prevent such inconvenience from being repeated or diffused. However, if each functional unit required for executing the inconvenience phenomenon prevention measure processing in the risk management apparatus 3 is modularized and mounted on the computer of the terminal 1, the computer alone can perform the risk management function according to the present invention. Can be realized. A functional block diagram in such a form is shown in FIG. This differs from the network type risk management technology described above in that the event log, inconvenience occurrence information, and inconvenience countermeasure command transmission via the network are replaced by the computer data bus. Since the technical contents are the same, the description thereof will not be repeated here.

上記実施形態の説明では、端末１で発生した不都合現象は、端末１に実装された不都合現象検知部１８によって検知され、その不都合現象の種別、内容、時刻などを記述した不都合現象発生情報がリスク管理装置３に送り出されるような構成であったが、これに代えて、端末１にから送られてくる操作情報や制御情報などに基づいて端末１で発生した不都合を検知する不都合現象検知部がリスク管理装置３側に実装される構成を採用してもよい。この構成では、不都合現象検知部は各端末１に実装する必要がなく、リスク管理装置３にだけ実装すればよいので、その保守点検管理も容易となり、またコスト的にも有利である。 In the description of the above embodiment, the inconvenience occurring in the terminal 1 is detected by the inconvenience detecting section 18 installed in the terminal 1, and the inconvenience occurrence information describing the type, content, time, etc. of the inconvenience is a risk. Although the configuration is such that it is sent to the management device 3, instead of this, there is an inconvenience detection unit that detects inconveniences occurring in the terminal 1 based on operation information, control information, etc. sent from the terminal 1. You may employ | adopt the structure mounted in the risk management apparatus 3 side. In this configuration, the inconvenient phenomenon detection unit does not need to be mounted on each terminal 1 and only needs to be mounted on the risk management device 3, so that maintenance and inspection management is facilitated and the cost is advantageous.

本発明によるリスク管理技術の基本原理を説明する模式図Schematic diagram explaining the basic principle of risk management technology according to the present invention 本発明によるリスク管理技術を適用したコンピュータシステムの機能ブロック図Functional block diagram of a computer system to which risk management technology according to the present invention is applied イベントパターンとなるテキストベースのイベント列の説明図Explanatory drawing of text-based event sequence that becomes event pattern 不都合現象防止対策処理を示すフローチャートFlow chart showing inconvenience prevention measures processing イベントパターンとなるイメージベースのイベント列の説明図Illustration of the image-based event sequence that will be the event pattern 本発明によるリスク管理技術をスタンドアローンタイプのコンピュータに適用した形態における機能ブロック図Functional block diagram in a form in which the risk management technology according to the present invention is applied to a stand-alone type computer

Explanation of symbols

１：端末
２：ネットワーク
３：リスク管理装置
１２：操作情報生成部
１３：動作情報生成部
１５：操作画面キャプチャ部
１６：イベントログ生成部
１８：不都合現象検知部
３２：イベントログ取得部
３３：イベントパターン取り出し部
３４：不都合現象発生情報取得部
３５：不都合現象到達イベントパターン決定部
３６：不都合現象到達イベントパターンテーブル
３７：パターンマッチング処理部
３８：不都合現象推移度決定部
３９：不都合現象対策コマンド出力部 1: terminal 2: network 3: risk management device 12: operation information generation unit 13: operation information generation unit 15: operation screen capture unit 16: event log generation unit 18: inconvenient phenomenon detection unit 32: event log acquisition unit 33: event Pattern extraction unit 34: Inconvenient phenomenon occurrence information acquisition unit 35: Inconvenient phenomenon arrival event pattern determination unit 36: Inconvenient phenomenon arrival event pattern table 37: Pattern matching processing unit 38: Inconvenient phenomenon transition degree determination unit 39: Inconvenient phenomenon countermeasure command output unit

Claims

In a risk management method that suppresses the spread of inconveniences occurring on one terminal,
A step of acquiring an event log that describes event contents in each terminal over time, a step of acquiring inconvenience occurrence information indicating that an inconvenient phenomenon has occurred in a specific terminal that is one of the terminals, and the occurrence of the inconvenient phenomenon Generating an inconvenience phenomenon reaching event pattern defined from an event pattern group ranging from an initial event that causes the inconvenient phenomenon determined based on information to a final event that triggers the final occurrence of the inconvenient phenomenon; Performing a pattern matching process using the inconvenience phenomenon arrival event pattern for the attention event pattern extracted from the event log in the terminal; and, based on the pattern matching process result, the attention event pattern is the inconvenience phenomenon arrival event pattern Transition to Steps and risk management method comprising the step of outputting a disadvantage phenomena countermeasures command in response to the adverse phenomena transition of determining the convenience phenomenon transition degree.

The risk management method according to claim 1, wherein the inconvenience phenomenon arrival event pattern is extracted from an event log of the specific terminal.

The risk management method according to claim 1, wherein the inconvenience phenomenon arrival event pattern is created manually.

4. The event log includes key operation or mouse operation information by a user, and the inconvenience phenomenon arrival event pattern can be expressed as a user operation pattern. The risk management method described.

5. The event log includes interaction information of a plurality of programs that can be started in each terminal, and the inconvenience phenomenon arrival event pattern can be expressed as a program interaction pattern. The risk management method according to any one of the above.

The risk management method according to any one of claims 1 to 5, wherein the event log includes network communication information, and the inconvenience phenomenon arrival event pattern can be expressed as a network communication pattern. .

The event log includes an operation screen capture image sequence generated by sequentially capturing operation screens of the terminal, and the inconvenience phenomenon arrival event pattern can be expressed as an operation screen pattern. Item 7. The risk management method according to any one of Items 1 to 6.

The command for forcibly changing the operation at the terminal so that the event pattern of interest does not match the event pattern for reaching the inconvenience phenomenon is output as the inconvenience phenomenon countermeasure command. The risk management method according to claim 1.

In a risk management program that suppresses the spread of inconveniences occurring on one terminal,
A function for acquiring event logs describing event contents over time in each terminal, a function for acquiring inconvenience phenomenon occurrence information indicating that an inconvenience has occurred in a specific terminal that is one of the terminals, and occurrence of the inconvenience A function of generating an inconvenience phenomenon arrival event pattern defined from an event pattern group that leads to a final event that triggers the final occurrence of the inconvenience from an initial event that causes the inconvenience determined based on information; A function of performing pattern matching processing on the event pattern of interest extracted from the event log in the terminal using the inconvenience phenomenon arrival event pattern, and the event event pattern of interest based on the pattern matching processing result is the inconvenience phenomenon arrival event pattern Inconvenient phenomenon transition to A function of determining the risk management program for realizing a function of outputting the disadvantages phenomena countermeasures command in response to the adverse phenomena transitions of the computer.

In a risk management system that suppresses the spread of inconveniences occurring in one terminal,
An event log acquisition unit that acquires an event log that describes event contents in each terminal over time, and inconvenience occurrence information that acquires inconvenience occurrence information indicating that an inconvenience has occurred in a specific terminal that is one of the terminals Arrival of an inconvenience phenomenon defined by an acquisition unit and an event pattern group from an initial event that causes the inconvenience determined based on the inconvenience occurrence information to a final event that triggers the final occurrence of the inconvenience An inconvenience phenomenon arrival event pattern determination section that generates an event pattern, a pattern matching processing section that performs pattern matching processing on the event pattern of interest extracted from an event log in the terminal using the inconvenience phenomenon arrival event pattern, and the pattern Based on the matching process result An inconvenience phenomenon transition degree determination unit that determines an inconvenience phenomenon transition degree in which the noticeable event pattern transitions to the inconvenience phenomenon arrival event pattern, and an inconvenience phenomenon countermeasure command output section that outputs an inconvenience phenomenon countermeasure command according to the inconvenience phenomenon transition degree A risk management system consisting of

In a risk management method that suppresses repeated inconveniences that occur on computers,
A step of acquiring an event log describing event contents in the computer over time, a step of acquiring inconvenience phenomenon occurrence information indicating that an inconvenience has occurred in the computer, and determination based on the inconvenience phenomenon occurrence information Generating an inconvenience reaching event pattern defined from an event pattern group from an initial event that causes the inconvenience to a final event that triggers the final occurrence of the inconvenience, and an attention extracted from the event log Performing a pattern matching process on the event pattern using the inconvenience phenomenon arrival event pattern, and an inconvenience phenomenon transition in which the event pattern of interest changes to the inconvenience phenomenon arrival event pattern based on the pattern matching process result Determining a risk management method comprising the step of outputting a disadvantage phenomena countermeasures command in response to the adverse phenomena transition degree.

In a risk management program that suppresses repeated inconveniences that occur on computers,
It is determined based on the function of acquiring an event log describing the event contents over time in the computer, the function of acquiring inconvenience occurrence information indicating that an inconvenience has occurred in the computer, and the inconvenience occurrence information. A function for generating an inconvenience phenomenon arrival event pattern defined from an event pattern group ranging from an initial event that causes the inconvenience to a final event that triggers the final occurrence of the inconvenience, and an attention extracted from the event log A function for performing a pattern matching process on the event pattern using the inconvenience phenomenon arrival event pattern, and a degree of inconvenience phenomenon transition in which the target event pattern changes to the inconvenience phenomenon arrival event pattern based on the pattern matching process result Function Risk management program for implementing the function of outputting a disadvantage phenomena countermeasures command in response to the adverse phenomena transitions of the computer.

In the risk management module that suppresses repeated inconveniences that occur on computers,
An event log acquisition unit that acquires an event log describing event contents in the computer over time, an inconvenience occurrence information acquisition unit that acquires inconvenience occurrence information indicating that an inconvenience has occurred in the computer, and the inconvenience An inconvenience phenomenon that generates an inconvenience phenomenon arrival event pattern defined from an event pattern group from an initial event that causes the inconvenience determined based on occurrence information to a final event that triggers the final occurrence of the inconvenience An arrival event pattern determination unit; a pattern matching processing unit that applies a pattern matching process to the attention event pattern extracted from the event log using the inconvenience phenomenon arrival event pattern; and the attention event based on the pattern matching process result An inconvenience phenomenon transition degree determination unit that determines an inconvenience phenomenon transition degree in which a pattern transitions to the inconvenience phenomenon arrival event pattern, and an inconvenience phenomenon countermeasure command output section that outputs an inconvenience phenomenon countermeasure command according to the inconvenience phenomenon transition degree. Risk management module.