JP2021047536A - 業務支援システム及び方法 - Google Patents

Abstract

【課題】未知の新着イベントに対するオペレータの対処業務の安全性を向上させる有用性の高い業務支援システム及び方法を提案する。【解決手段】未知のイベントに関して、当該イベントのイベント種別を１つ以上推定してイベント種別候補とし、推定したイベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、第１のイベント種別候補群の各イベント種別候補における各確信度から第１の候補確信度を算出し、第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出し、各イベントに対応する図形４２を第１の候補確信度及び第１の候補重要度を用いて座標空間４１上に表現する。【選択図】図１９

Description

本発明は業務支援システム及び方法に関し、例えば、アプリケーションが出力するイベント情報に対する対処作業を支援するイベント対処業務支援に適用して好適なものである。

従来、特許文献１に示すようにアプリケーションが出力するイベントを重要度とともに画面に表示するシステムが存在した。このような技術を複数のアプリケーション製品が混在するシステムに応用したとき、アプリケーションごとに重要度の基準が異なるため、アプリケーションが出力した重要度とは別にシステムとしての重要度を定める必要が生じた。「イベント種別リスト」を設けることでそれを実現する次のようなシステムが考えられた。なお「イベント種別」とは、過去のイベントのカテゴリ分けを行い、そのカテゴリ分けされた種別のことを指す。カテゴリ分けの方法としては様々な方法が考えられ、その例を後述する。また、一つ以上のイベント種別を表形式にしたものをイベント種別リストと記載する。

このシステムにおいては、アプリケーションは、エラー等のイベントが発生した場合にそのイベントの内容を表すメッセージを含むイベント情報を出力する。

また、これらのアプリケーションのイベントを管理する管理装置（以下、これをイベント管理装置と呼ぶ）は、管理対象のアプリケーションで発生するイベントに対するイベントマスタ情報が登録された一覧（以下、これをイベント種別リストと呼ぶ）を保持する。ここで、「イベントマスタ情報」とは、イベント種別ＩＤやイベント情報に含まれるメッセージのひな形を示すメッセージテンプレートや、そのイベント種別の重要度などを含む情報をいう。以下においては、イベント種別リストに登録されているイベントを既知イベントと呼ぶ。

そしてイベント管理装置は、新たに発生したイベントのイベント情報を受信した場合、その受信したイベント情報（以下、これを新着イベントと呼ぶ）に含まれるメッセージを読み取り、イベント種別リストに登録されている既知イベントの中からその新着イベントと同じ種別のイベント種別を推定し、そのイベントマスタ情報をオペレータに提示する。以下においては、この推定されたイベント種別のことを「イベント種別候補」と記載する。また、以下において、このイベント種別候補を推定することを「イベント種別候補を割り当てる」と表現する。推定の手法としては、例えばあるイベントに対して、「そのイベントのメッセージ」と「イベント種別のメッセージテンプレート」をそれぞれ形態素解析し、その類似度が高いイベント種別を「イベント種別候補」とする方式がある。ここで、このイベント種別候補のそれぞれが正解のイベント種別である可能性を示す指標を「確信度」と定義する。確信度は、例えば前述の類似度を用いる。

これによりオペレータは、このイベントマスタ情報を参考にしてその新着イベントに対処することができる。

特開２００３−１８６７０４号公報

かかる装置においては、一つのイベントに対するイベント種別候補を一つのイベント種別に絞ることができるとは限らず、複数のイベント種別がイベント種別候補として存在し得る。その場合はそれらのイベント種別候補をオペレータに提示し、オペレータがイベント種別候補の中から正解のイベント種別を指定する。このオペレータの操作によりイベント管理装置は新着イベントをイベント種別リストに関連付けることができる。このとき関連付けられたイベント種別の重要度を当該イベントに対する「真の重要度」と呼ぶことにする。

新着イベントが複数存在し、よって複数の新着イベントに対する正解をオペレータに指定してもらわなければならない場合、オペレータが正解を指定する順番が重要であるが、その順番を決めることは難しい。それぞれの新着イベントの真の重要度が高い順に正解を決めていくべきであるが、真の重要度はまだ分からないためである。

イベント管理装置が複数のイベント種別候補のうち第１候補のイベント種別の重要度を「仮の重要度」とし、仮の重要度順にリスト表示することで、オペレータに表示順に指定してもらうシステムもあり得るが、イベント管理装置が推定した第１候補が不正解であった場合、重要なイベントの正解の指定が後回しになってしまうという問題がある。つまり本システムにおいては、オペレータに新着イベントのそれぞれの重要度を推測するため情報を提供できていないという課題があった。

さらにオペレータは、新着イベントのそれぞれの重要度を推測することができないため、新着イベントの処理すべき順番を把握できないという課題があった。

また重要度の尺度は複数あり得る。例えば、システム管理者においてはオペレータの操作ミスによる計画外のシステム停止などシステムの運用継続性が失われるイベントは重要なイベントであるが、セキュリティ管理者においてはクラッカーの侵入により顧客情報が流出してしまうことが重要なイベントである。このように一つのイベントに対して複数の重要度の尺度があるとき従来のシステムでは同時に把握することができないという課題があった。

本発明は以上の点を考慮してなされたもので、未知の新着イベントに対して推定した重要度と確信度をオペレータに提示し、未知の新着イベントに対するオペレータの対処業務の安全性を向上させ得る有用性の高い業務支援システム及び方法を提案しようとするものである。

かかる課題を解決するため本発明においては、管理対象に発生したイベントの対処業務を支援する業務支援システムにおいて、未知のイベントに関して、当該イベントのイベント種別を１つ以上推定しイベント種別候補とするイベント種別推定部と、前記推定されたイベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、前記第１のイベント種別候補群の各前記イベント種別候補における各確信度から第１の候補確信度を算出し、前記第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出する第１の算出部と、前記各イベントに対応する図形を前記第１の候補確信度と前記第１の候補重要度とを用いて座標空間上に表現する表現部を設けるようにした。

また本発明においては、管理対象に発生したイベントの対処業務を支援する業務支援システムにより実行される業務支援方法であって、未知のイベントに関して、当該イベントのイベント種別を１つ以上推定しイベント種別候補とする第１のステップと、前記推定されたイベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、前記第１のイベント種別候補群の各前記イベント種別候補における各確信度から第１の候補確信度を算出し前記第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出する第２のステップと、前記各イベントに対応する図形を前記第１の候補確信度と前記第１の候補重要度とを用いて表現する第３のステップとを設けるようにした。

本発明の作業支援システム及び方法によれば、オペレータは、イベント分析装置から提示された分析結果画面に基づいて、確信度と重要度を把握しつつ未知の新着イベントに対処することができる。従って、本作業支援システム及び方法によれば、未知の新着イベントに対するオペレータの対処業務の業務安全性を向上させることができる。

本発明によれば、有用性の高い業務支援システム及び方法を実現できる。

第１及び第２の実施の形態によるイベント対処業務支援システムの全体構成を示すブロック図である。 第１の実施の形態による新着イベント分析結果画面の画面構成例を示す図である。 第１の実施の形態によるイベント種別リストの構成例を示す図表である。 イベントテーブルの構成例を示す図表である。 割当て結果テーブルの構成例を示す図表である。 イベント対処業務支援処理の処理手順を示すフローチャートである。 描画処理の処理手順を示すフローチャートである。 座標決定処理の処理手順を示すフローチャートである。 第１の実施の形態によるノード描画処理の処理手順を示すフローチャートである。 （Ａ）及び（Ｂ）は、座標決定処理の説明に供する図表である。 座標決定処理の説明に供する図表である。 レコメンド矢印描画処理の処理手順を示すフローチャートである。 （Ａ）及び（Ｂ）は、レコメンド矢印描画処理の説明に供する図表である。 第２の実施の形態による新着イベント分析結果画面の画面構成例を示す図である。 第２の実施の形態によるイベント種別リストの構成例を示す図表である。 第２の実施の形態によるノード描画処理の処理手順を示すフローチャートである。 第１の実施の形態においてパイ状の表現方法を示す図である。 第２の実施の形態によるイベント対処業務支援システムの全体構成を示すブロック図である。 第１の実施の形態による新着イベント分析結果画面の他の画面構成例を示す図である。

以下図面について、本発明の一実施の形態を詳述する。

（１）第１の実施の形態
（１−１）本実施の形態によるイベント対処業務支援システムの構成
図１において、１は全体として本実施の形態によるイベント対処業務支援システムを示す。このイベント対処業務支援システム１は、管理対象のアプリケーションや機器にそれぞれ対応させて設けられた１又は複数のイベント生成サーバ２と、各イベント生成サーバ２と第１のネットワーク３を介して接続されたイベント管理サーバ４と、イベント管理サーバ４と第２のネットワーク５を介して接続された１又は複数のイベント分析サーバ６と、各イベント分析サーバ６と第３のネットワーク７を介して接続された１又は複数のオペレータ端末８と、イベント分析サーバ６と第４のネットワーク９を介して接続されたデータベースサーバ１０とを備えて構成される。

イベント生成サーバ２は、対応するアプリケーションに何らかのイベントが発生した場合にそのイベントに応じたイベント情報を生成し、生成したイベント情報を第１のネットワーク３を介してイベント管理サーバ４に送信する機能を有するサーバ装置である。

またイベント管理サーバ４は、各イベント生成サーバ２から送信されてきたイベント情報を第２のネットワーク５を介してイベント分析サーバ６に送信する。

イベント分析サーバ６は、後述するイベント対処業務支援機能が搭載されたサーバ装置であり、ＣＰＵ（Central Processing Unit）２０、記憶装置２１及び通信装置２２などの情報処理資源を備えて構成される。

ＣＰＵ２０は、イベント分析サーバ６全体の動作制御を司るプロセッサである。また記憶装置２１は、例えば、半導体メモリ及びハードディスク装置などから構成され、必要なプログラムやデータを記憶保持するために利用される。後述するイベント受信プログラム２３、イベント種別候補割当てプログラム２４及びノード描画プログラム２５もこの記憶装置２１に格納されて保持される。

通信装置２２は、例えば、ＮＩＣ（Network Interface Card）から構成され、第２〜第４のネットワーク５，７，９を介したイベント管理サーバ４、オペレータ端末８又はデータベースサーバ１０との通信時におけるプロトコル制御を行う。

オペレータ端末８は、システム管理者及びセキュリティ管理者や、発生した新着イベントのイベント対処を実際に行う作業者などのオペレータがそれぞれ使用するコンピュータ装置であり、後述のようにイベント分析サーバ６から送信される画面データに基づいて、図２について後述する新着イベント分析結果画面４０を表示する。

データベースサーバ１０は、イベント分析サーバ６が新着イベント分析結果画面４０を生成するために必要な各種情報を記憶保持するサーバ装置であり、ハードディスク装置、ＳＳＤ（Solid State Drive）又はフラッシュメモリ等の大容量の不揮発性の記憶装置３０を備えて構成される。データベースサーバ１０の記憶装置３０には、後述するイベント種別リスト３１、イベントテーブル３２、割当て結果テーブル３３及び学習モデル３４などが格納されて保持される。

（１−２）本実施の形態によるイベント対処作業支援機能
次に、本イベント対処作業支援システム１のイベント分析サーバ６に搭載されたイベント対処作業支援機能について説明する。このイベント対処作業支援機能は、イベント管理サーバ４から送信されてきた各イベント情報を分析し、分析結果に基づいて図２のような新着イベント分析結果画面４０を生成して、生成した新着イベント分析結果画面４０をオペレータ端末８に表示させる機能である。

イベント分析サーバ６は、イベント情報を受信するごとに、そのイベント情報に含まれるテキスト情報に基づくそのとき発生した新着イベントの内容を表すメッセージを、データベースサーバ１０内のイベント種別リスト３１に登録されている各既知イベントのイベントマスタ情報に含まれるテキスト情報に基づくメッセージテンプレートと順次比較し、これらの既知イベントごとに、そのイベントマスタ情報に含まれるテキスト情報に基づくメッセージテンプレートの内容がその新着イベントのイベント情報に含まれるテキスト情報に基づくメッセージの内容と類似する度合い（これを確信度とする）をそれぞれ算出する。

そしてイベント分析サーバ６は、算出した既知イベントごとの確信度に基づいて、当該確信度が予め設定された所定の閾値（以下、これを確信度閾値と呼ぶ）以上の既知イベントをイベント種別リスト３１からすべて抽出し、抽出したこれら既知イベントをイベント種別候補としてその新着イベントに割り当てる。

いずれの既知イベントも確信度閾値未満であった場合は、その旨をオペレータ端末８に表示する。オペレータは既知イベントのいずれかを指定するか、新規イベントである旨を入力するとともにその重要度を入力する。イベント分析サーバ６は、新規イベントである旨を入力されたとき、当該イベントと対応させて図３について後述するイベント種別リスト３１に以下の内容の行を１行追加する。追加する行の内容はイベント種別ＩＤ（３１Ａ）は新たに採番した番号とし、メッセージテンプレート３１Ｂはイベントテーブル３２の新着イベントの行のメッセージをコピーし、イベント種別リスト３１の重要度３１Ｃの当該行はオペレータから入力された重要度とする。

またイベント分析サーバ６は、このような新着イベントに対するイベント種別候補の割当て結果に基づいて、図２に示すような新着イベント分析結果画面４０を生成する。そしてイベント分析サーバ６は、生成した新着イベント分析結果画面４０の画面データを第３のネットワーク７を介して必要なオペレータ端末８に送信することにより、この新着イベント分析結果画面４０をそのオペレータ端末８に表示させる。

ここで、新着イベント分析結果画面４０は、図２に示すように、縦軸に重要度、横軸に確信度をとった平面座標４１を備えて構成される。そして平面座標４１には、それまでにイベント分析サーバ６が受信した各イベント情報にそれぞれ対応する新着イベントのうち、未だオペレータが対処していない各新着イベントとそれぞれ対応付けられたノード４２が表示される。

これらノード４２は、それぞれ対応する新着イベントに割り当てられたイベント種別候補のうち、確信度が最も大きいイベント種別候補の当該確信度をｘ座標、そのイベント種別候補に対して後述のように予めユーザが設定した重要度をｙ座標とするｘｙ座標を中心座標とする所定大きさの円グラフから構成される。あるいは確信度が閾値以上の１つまたは複数のイベント種別候補の最大の確信度をｘ座標、最大の重要度をｙ座標とする実施の形態としてもよい。

そして、この円グラフでは、対応する新着イベントに対して割り当てられたイベント種別候補のうち、重要度が高い値（例えば「80」以上）に設定されたイベント種別候補と、重要度が中程度の値（例えば「30」〜「79」）に設定されたイベント種別候補と、重要度が低い値（例えば「29」以下）に設定されたイベント種別候補との存在割合が、かかる重要度が「高」、「中」及び「低」のそれぞれに対応付けられた領域の中心角の大きさで表される。

また平面座標４１内には、当該平面座標４１内に存在する各ノード４２にそれぞれ対応する新着イベントについて、オペレータが対処すべき順番として推奨（レコメンド）する順番を表す矢印（以下、これをレコメンド矢印と呼ぶ）４３が表示される。

レコメンド矢印４３は、そのノード４２に対応する新着イベントに割り当てられた各イベント種別候補にそれぞれ設定された重要度と、これらのイベント種別候補についてそれぞれ算出された確信度とに基づいて決定されたこれら新着イベントの優先度に基づいて、優先度が高い新着イベントのノード４１から優先度が低い新着イベントのノード４１へと各ノード４１を順番に指し示すように必要なノード４２間にそれぞれ表示される。

これによりオペレータは、この新着イベント分析結果画面４０に表示されたレコメンド矢印４２が指し示す順番で各ノード４２にそれぞれ対応する新着イベントに対する対処を行うことで、より優先度が高い新着イベントから順番にこれら新着イベントの対処を行うことができる。

以上のような本実施の形態によるイベント対処業務支援機能を実現するための手段として、イベント分析サーバ６の記憶装置２１（図１）には、図１に示すように、イベント受信プログラム２３、イベント種別候補割当てプログラム２４及びノード描画プログラム２５が格納され、データベースサーバ１０の記憶装置３０には、イベント種別リスト３１、イベントテーブル３２、割当て結果テーブル３３及び学習モデル３４が格納されている。

イベント受信プログラム２３は、イベント管理サーバ４から送信されてくる各新着イベントのイベント情報を受信し、受信したイベント情報をデータベースサーバ１０のイベントテーブル３２に順次登録する機能を有するプログラムである。

またイベント種別候補割当てプログラム２４は、イベントテーブル３２に登録された各新着イベントに対して、イベント種別リスト３１に登録された既知イベントの中からメッセージ内容が類似する既知イベントを抽出してイベント種別候補としてそれぞれ割り当て、割当て結果を割当て結果テーブル３３に登録する機能を有するプログラムである。本実施の形態においてはメッセージを形態素解析し、類似度を算出することで確信度を算出しているが、機械学習を用いて確信度を計算してもよい。その場合、イベント種別候補割当てプログラム２４に、データベースサーバ１０に格納された学習モデル３４を用いて、新着イベントに割り当てるべきイベント種別候補を機械学習する機能を備える。

ノード描画プログラム２５は、イベント種別候補割当てプログラム２４により各新着イベントにそれぞれ割り当てられた各イベント種別候補の重要度等に基づいて、新着イベント分析結果画面４０の画面データを生成し、生成した新着イベント分析結果画面４０の画面データを第３のネットワーク７を介してオペレータ端末８に送信する機能を有するプログラムである。上述のように、この画面データに基づいて、オペレータ端末８にその新着イベント分析結果画面４０が表示される。

一方、イベント種別リスト３１は、従前に登録された既知イベントのイベントマスタ情報を管理及び保持するために利用されるリストであり、図３に示すように、少なくともイベント種別ＩＤ欄３１Ａ、メッセージテンプレート欄３１Ｂ及び重要度欄３１Ｃを備えるテーブル構成を有する。イベント種別リスト３１では、１つの行が１つの既知イベントに対応する。

そしてイベント種別ＩＤ欄３１Ａには、対応する既知イベントに対して付与された、イベント種別リスト３１内で固有のイベント種別ＩＤが格納される。またメッセージテンプレート欄３１Ｂには、対応する既知イベントが発生したときにイベント管理サーバ４（図１）から送信されてきたイベント情報に含まれていたメッセージのテキスト情報がメッセージテンプレートとして格納され、重要度欄３１Ｃには、対応する既知イベントに対して予めオペレータにより設定されたその既知イベントの重要度が格納される。

従って、図３の例の場合、例えば、「1000」というイベント種別ＩＤが付与された既知イベントについては、その既知イベントが発生したときにイベント分析サーバ６が受信したイベント情報に「アプリケーションサーバ(***)が異常停止しました」という内容のメッセージのテキスト情報が含まれており、その既知イベントの重要度がオペレータにより「90」に設定されていたことが示されている。

イベントテーブル３２は、新着イベントのイベント情報を管理するために利用されるテーブルであり、図４に示すように、少なくともイベントＩＤ欄３２Ａ及びメッセージ欄３２Ｂを備えて構成される。イベントテーブル３２では、１つの行がオペレータによるイベント対処が未だ実行されていない１つの新着イベントに対応する。

そしてイベントＩＤ欄３２Ａには、新着イベントが到着するたびにイベントテーブル３２内で一意なイベントＩＤが採番されたうえで格納され、メッセージ欄３２Ｂには、そのイベント情報に含まれていた当該新着イベントの内容を表すメッセージのテキスト情報が格納される。

従って、図４の例の場合、「0001」というイベントＩＤが付与された新着イベントのイベント情報に含まれるテキスト情報に基づく当該新着イベントの内容を表すメッセージの内容が「アプリケーションサーバ(Nagoya)が異常停止しました。」であったことが示されている。

割当て結果テーブル３３は、各新着イベントにそれぞれに割り当てられたイベント種別候補及びその確信度を管理するために利用されるテーブルであり、図５に示すように、イベントＩＤ欄３３Ａ、イベント種別ＩＤ欄３３Ｂ及び確信度欄３３Ｃを備えて構成される。割当て結果テーブル３３では、１つの行がイベントテーブル３２（図４）に登録されている１つの新着イベントに対して割り当てられたイベント種別候補の１つに対応する。

そしてイベントＩＤ欄３３Ａには、イベントテーブル３２に登録されているイベント対処が未だ実行されていない新着イベントのイベントＩＤが格納され、イベント種別ＩＤ欄３３Ｂには、その新着イベントに割り当てられたイベント種別候補（既知イベント）の１つのイベント種別ＩＤが格納される。また確信度欄３３Ｃには、そのイベントＩＤ欄３３Ａに対応する新着イベントがイベント種別ＩＤ欄３３Ｂに対応するイベント種別に割り当てることができる可能性を算出した値である確信度が格納される。

従って、図５の例の場合、例えば、「0001」というイベントＩＤが付与された新着イベントに対しては、「1000」というイベント種別ＩＤが付与された第１の既知イベントと、「1001」というイベント種別ＩＤが付与された第２の既知イベントと、「1003」というイベント種別ＩＤが付与された第３の既知イベントとの少なくとも３つの既知イベントがイベント種別候補として割り当てられており、第１〜第３の既知イベントの確信度がそれぞれ「90」、「40」及び「30」であることが示されている。

なお本イベント対処作業支援システム１の場合、イベントテーブル３２や割当て結果テーブル３３における各新着イベントのエントリは、その新着イベントに対するオペレータによる対処が完了するとそのイベントテーブル３２及び割当て結果テーブル３３から削除される。

オペレータは、新着イベント分析結果画面４０にノード４２が表示された新着イベントに対する対処が完了したときには、その旨をオペレータ端末８に操作入力する。そしてオペレータ端末８は、かかる操作入力が行われた場合、対処が完了したその新着イベントを特定したコマンドをイベント分析サーバ６に送信する。

そしてこのコマンドを受信したイベント分析サーバ６のノード描画プログラム２４は、そのコマンドにおいて特定された新着イベントのエントリをイベントテーブル３２や割当て結果テーブル３３から消去する。この結果、その新着イベントに対応するノード４２が新着イベント分析結果画面４０に表示されなくなる。

（１−３）本実施の形態によるイベント対処業務支援機能に関連する各種処理
次に、かかるイベント対処業務支援機能に関連してイベント分析サーバ６において実行される各種処理の具体的な処理内容について説明する。なお、以下の説明では、各種処理の処理主体を「プログラム」として説明するが、実際上は、その「プログラム」に基づいてＣＰＵ２０（図１）がその処理を実行することは言うまでもない。

（１−３−１）イベント対処業務支援処理の流れ
図６は、かかるイベント対処業務支援機能に関連してイベント分析サーバ６において実行される一連の処理（本発明においてはこれをイベント対処業務支援処理と呼ぶ）の流れを示す。このイベント対処業務支援処理は、イベント分析サーバ６の起動後、オペレータがオペレータ端末８を操作してイベント対処業務支援処理の実行をイベント分析サーバ６に指示すると開始される。

そして、このイベント対処業務支援処理が開始されると、まず、イベント種別候補割当てプログラム２４（図１）が、イベントテーブル３２（図４）に登録されている新着イベントの中から１つの新着イベントを選択する（Ｓ１）。

次にイベント種別候補割当てプログラム２４は、ステップＳ１で選択した新着イベント（以下、これを選択新着イベントと呼ぶ）に対してイベント種別リスト３１の中から０個以上の既知イベントをイベント種別候補として割り当て、その確信度を算出する（Ｓ２）。

具体的には、イベント種別候補割当てプログラム２４は、選択新着イベントのイベント情報に含まれるその選択新着イベントの内容を表すメッセージのテキスト情報に基づいて、そのメッセージを形態素解析により品詞ごとに分解し、分解したこれらの品詞に基づいてN-gram処理やTF-IDF処理などの手法を用いてそのメッセージの特徴量をベクトル化する。

またイベント種別候補割当てプログラム２４は、同様の手法によりイベント種別リスト３１（図３）に登録されている各既知イベントのイベントマスタ情報に含まれる当該既知イベントの内容を表すメッセージのテキスト情報に基づいて、そのメッセージの特徴量をそれぞれベクトル化する。

そしてイベント種別候補割当てプログラム２４は、既知イベントごとに、新着イベントのメッセージの特徴量のベクトルと、その既知イベントのメッセージの特徴量のベクトルとを比較し、これら２つのベクトルの距離をその既知イベントに対する確信度としてそれぞれ算出する。

そしてイベント種別候補割当てプログラム２４は、このような処理により算出した既知イベントごとの確信度に基づいて、その確信度が上述した確信度閾値以上の既知イベントをすべて抽出し、これらをその選択新着イベントにイベント種別候補として割り当てる。またイベント種別候補割当てプログラム２４は、この割当て結果を割当て結果テーブル３３に登録する。

この後、イベント種別候補割当てプログラム２４は、ノード描画プログラム２５を呼び出し、上述のようにしてその選択新着イベントのイベントＩＤを引数としてノード描画プログラム２５（図１）に引き渡す。

ノード描画プログラム２５は、イベント種別候補割当てプログラム２４により呼び出されると、イベント種別候補割当てプログラム２４から引き渡された選択新着イベントのイベントＩＤを検索キーとして割り当て結果テーブル３２からイベント種別ＩＤ及び確信度を検索し、その検索により検出したイベント種別ＩＤを検索キーとしてイベント種別リスト３１に登録されている重要度を検索し、それらの情報に基づいて、図２のように選択新着イベントに対応する上述のノード４２を上述の新着イベント分析結果画面４０の平面座標４１上に描画する描画処理を実行する（Ｓ３）。この描画処理の詳細については後述する。そしてノード描画プログラム２５は、この後、イベント種別候補割当てプログラム２４に処理を戻す。

処理を戻されたイベント種別候補割当てプログラム２４は、イベントテーブル３２に登録されている新着イベントの中に未だイベント種別候補を割り当てていない新着イベントが存在するか否かを判断する（Ｓ４）。

ステップＳ４で未処理のイベントが存在する場合、イベント種別候補割当てプログラム２４は、ステップＳ１に戻る。またステップＳ４でイベントテーブル３２に登録されているすべての新着イベントにイベント種別候補が割り当てられている場合、イベント種別候補割当てプログラム２４は、レコメンド矢印描画処理（Ｓ５）を呼出す。

レコメンド矢印描画処理から戻ってくると、イベント種別候補割当てプログラム２４はオペレータからの入力等待ち状態になる（Ｓ６）。具体的にはオペレータからの入力があるか新たな新着イベントが到着するまで待つ。そしてイベント種別候補割当てプログラム２４は、オペレータからの入力があったか新着イベントが到着すると処理をステップＳ７に移す。

またイベント種別候補割当てプログラム２４は、この後、ステップＳ３で新着イベント分析結果画面４０の平面座標４１上に描画した各ノード４２のうち、既にオペレータによる対処済みの新着イベントに対するノード４２を平面座標４１上から削除する（Ｓ７）。

続いて、イベント種別候補割当てプログラム２４は、イベント種別候補を割り当てていない新たな新着イベントがイベントテーブル３２に登録されたか否かを判断する（Ｓ８）。そしてイベント種別候補割当てプログラム２４は、この判断で否定結果を得るとステップＳ５に戻り、この後、ステップＳ８で肯定結果を得るまでステップＳ５〜ステップＳ８の処理を繰り返す。

そして、イベント種別候補割当てプログラム２４は、イベント種別候補を割り当てていない新たな新着イベントがイベントテーブル３２に登録されることによりステップＳ８で肯定結果を得ると、ステップＳ１に戻り、この後、ステップＳ２以降の処理を上述と同様に実行する。

（１−３−２）描画処理
（１−３−２−１）描画処理の流れ
図７は、図６について上述したメンテナンス対応業務支援処理のステップＳ３においてノード描画プログラム２５（図１）により実行される描画処理の具体的な処理内容を示す。

ノード描画プログラム２５は、イベント種別候補割当てプログラム２４により呼び出されると、この図７に示す描画処理を開始し、まず、新着イベント分析結果画面４０の平面座標４１における選択新着イベントに対応するノード４２（図２）を描画すべき座標（ここでは、そのノード４２の中心座標）を決定する座標決定処理を実行する（Ｓ１０）。

続いて、ノード描画プログラム２５は、ステップＳ１０で決定した座標を中心とした選択新着イベントに対応するノード４２を描画するノード描画処理を実行する（Ｓ１１）。このノード描画処理により、オペレータ端末８に表示された新着イベント分析結果画面４０の平面座標４１上に選択新着イベントに対応するノード４２が描画される。

そしてノード描画プログラム２５は、この後、この描画処理を終了してイベント対処業務支援処理のステップＳ４に戻る。

（１−３−２−２）座標決定処理の流れ
図８は、図７について上述した描画処理のステップＳ１０でノード描画プログラム２５により実行される座標決定処理の具体的な処理内容を示す。

ノード描画プログラム２５は、描画処理のステップＳ１０に進むと、この図８に示す座標決定処理を開始し、まず、イベント種別候補割当てプログラム２４により選択新着イベントに割り当てられた各イベント種別候補のイベントマスタ情報をデータベースサーバ１０（図１）に格納されたイベント種別リスト３１からそれぞれ読み出す（Ｓ２０）。このとき、ステップＳ２３で使用する最大確信度イベント種別候補を「候補なし」に初期化しておく。

続いて、ノード描画プログラム２５は、ステップＳ２０でイベントマスタ情報を読み出した各イベント種別候補の中からステップＳ２２以降が未処理のイベント種別候補を１つ選択する（Ｓ２１）。次にノード描画プログラム２５は、ステップＳ２１で選択したイベント種別候補の確信度が現在までにステップＳ２１で選択したイベント種別候補の中で最大であるか否かを判断する。具体的には「ステップＳ２３で記載されている最大確信度イベント種別候補が初期化されている状態」か「ステップＳ２１で選択したイベント種別候補の確信度がステップＳ２３で記載されている最大確信度イベント種別候補の確信度より大きい場合」に確信度が最大であると判断する（Ｓ２２）。そしてノード描画プログラム２５は、この判断で否定結果を得るとステップＳ２４に進む。

これに対して、ノード描画プログラム２５は、ステップＳ２２の判断で肯定結果を得ると、ステップＳ２１で選択したイベント種別候補のイベント種別ＩＤ及び確信度を、確信度が最大のイベント種別候補（本発明ではこれを最大確信度イベント種別候補と呼ぶ）のイベント種別ＩＤ及び確信度として記憶する（Ｓ２３）。

次いで、ノード描画プログラム２５は、選択新着イベントに割り当てられたすべてのイベント種別候補についてステップＳ２１〜ステップＳ２３の処理を実行し終えたか否かを判断する（Ｓ２４）。そしてノード描画プログラム２５は、この判断で否定結果を得るとステップＳ２１に戻り、この後、ステップＳ２１で選択するイベント種別候補を、選択新着イベントに割り当てられたイベント種別候補のうちのステップＳ２２以降が未処理の他のイベント種別候補に順次切り替えながら、ステップＳ２１〜ステップＳ２４の処理を繰り返す。

そしてノード描画プログラム２５は、選択新着イベントに割当てられたすべてのイベント種別候補についてステップＳ２２〜ステップＳ２３の処理を実行し終えることによりステップＳ２４で肯定結果を得ると、新着イベント分析結果画面４０の平面座標４１に描画すべきそのときの選択新着イベントに対応するノード４２の中心座標を、そのとき最大確信度イベント種別候補の確信度として記憶している値をｘ座標、その最大確信度イベント種別候補についてイベント種別リスト３１の対応する行に格納されている重要度をｙ座標とする座標位置に決定する（Ｓ２５）。そしてノード描画プログラム２５は、この後、この座標決定処理を終了して図７について上述した描画処理のステップＳ１０に戻る。

（１−３−２−３）ノード描画処理の流れ
図９は、図７について上述した描画処理のステップＳ１１でノード描画プログラム２５により実行されるノード描画処理の具体的な処理内容を示す。

ノード描画プログラム２５は、描画処理のステップＳ１１に進むと、この図９に示すノード描画処理を開始し、まず、選択新着イベントに割り当てられた各イベント種別候補の重要度をデータベースサーバ１０（図１）のイベント種別リスト３１（図１）からそれぞれ取得する（Ｓ３０）。

続いて、ノード描画プログラム２５は、取得したこれらの重要度に基づいて、選択新着イベントの各イベント種別候補を重要度を「高」、「中」及び「低」の３つのカテゴリに分類する（Ｓ３１）。

具体的には、ノード描画プログラム２５は、図１０（Ａ）に示すように、ユーザにより設定された重要度が既定の第１の閾値（例えば「80」）以上のイベント種別候補については重要度が「高」のカテゴリに分類し、設定された重要度が第１の閾値未満でかつ既定の第２の閾値（例えば「30」）以上のイベント種別候補については重要度が「中」のカテゴリに分類し、設定された重要度が第２の閾値未満のイベント種別候補については重要度が「低」のカテゴリに分類する。

この後、ノード描画プログラム２５は、図１０（Ｂ）に示すように、カテゴリごとのイベント種別候補の含有率を算出する（Ｓ３２）。具体的には、ノード描画プログラム２５は、カテゴリごとに、そのカテゴリにおけるイベント種別候補の含有率を次式

のように、そのときの選択新着イベントに割り当てられた全イベント種別候補の確信度の合算値に対するそのカテゴリに属する全イベント種別候補の確信度の合算値の割合を100倍するようにして算出する。

続いて、ノード描画プログラム２５は、新着イベント分析結果画面４０（図２および図１９）の平面座標４１（図２）上に、図８について上述した座標決定処理により決定した座標を中心座標とする一定半径の円グラフで表現されるノード４２（図２）を描画する（Ｓ３３）。

この際、ノード描画プログラム２５は、図１１に示すように、重要度が「高」、「中」及び「低」の３つのカテゴリにそれぞれ対応するノード４２内の各領域ＡＲ１，ＡＲ２，ＡＲ３の中心角α１，α２，α３が、それぞれ360度にそのカテゴリにおけるイベント種別候補の含有率を乗算し、その乗算結果を100で除算した値となるようにノード４２内を分割し、これら領域ＡＲ１〜ＡＲ３をそのカテゴリに対応する色に着色し又はこれら領域ＡＲ１〜ＡＲ３内にそのカテゴリに対応する模様を描画する。

そしてノード描画プログラム２５は、この後、このノード描画処理を終了して図７について上述した描画処理に戻る。

（１−３−２−４）レコメンド矢印描画処理の流れ
図１２は、図６について上述したイベント対処業務支援処理のステップＳ５でノード描画プログラム２５により実行されるレコメンド矢印描画処理の具体的な処理内容を示す。

ノード描画プログラム２５は、イベント対処業務支援処理のステップＳ５に進むと、この図１２に示すレコメンド矢印描画処理を開始し、まず、そのとき新着イベント分析結果画面４０（図２）の平面座標４１（図２）内に表示されているレコメンド矢印４３をすべて消去する。そしてイベントテーブル３２に存在する新着イベントのそれぞれに関してステップＳ４０〜ステップＳ４３を実施する。

具体的に、ノード描画プログラム２５は、イベントテーブル３２に存在するすべての新着イベントの中からステップＳ４１以降が未処理の新着イベントを１つ選択する（Ｓ４０）。

続いて、ノード描画プログラム２５は、ステップＳ４０で選択した新着イベントに対して割り当てられたすべてのイベント種別候補の重要度をデータベースサーバ１０（図１）のイベント種別リスト３１（図３）から読み出すことにより取得する（Ｓ４１）。

次いで、ノード描画プログラム２５は、ステップＳ４１で重要度を取得した各イベント種別候補を、図９のステップＳ３１と同様にして重要度が「高」、「中」及び「低」の３つのカテゴリに分類する（Ｓ４２）。またノード描画プログラム２５は、この後、ステップＳ４０で選択した新着イベントに対するイベント対処の優先度を、次式

のようにしてそれぞれ算出する（Ｓ４３）。

具体的には、ノード描画プログラム２５は、ステップＳ４０で選択した新着イベントの各イベント種別候補のうち、重要度が「高」のカテゴリに分類された各イベント種別候補について、そのイベント種別候補の重要度及び確信度をそれぞれ乗算する。

またノード描画プログラム２５は、これらの乗算結果をすべて合算した値に、図１３（Ａ）のように各カテゴリに対して予めそれぞれ設定された係数（以下、これをカテゴリ係数と呼ぶ）のうちのそのカテゴリ（重要度が「高」のカテゴリ）に対して設定されているカテゴリ係数を乗算する。

さらにノード描画プログラム２５は、その新着イベントの各イベント種別候補のうち、重要度が「中」や「低」のカテゴリに分類された各イベント種別候補についてもカテゴリごとに同様の演算を行い、図１３（Ｂ）に示すように、これら３つのカテゴリについての演算結果をすべて合算した値をその新着イベントの優先度として算出する。

続いて、ノード描画プログラム２５は、イベントテーブル３２に存在するすべての新着イベントについてステップＳ４１〜ステップＳ４３の処理を実行し終えたか否かを判断する（Ｓ４４）。そしてノード描画プログラム２５は、この判断で否定結果を得るとステップＳ４０に戻り、この後ステップＳ４０で選択する新着イベントをステップＳ４１以降の処理が未処理の他の新着イベントに順次切り替えながらステップＳ４０〜ステップＳ４４の処理を繰り返す。

そしてノード描画プログラム２５は、イベントテーブル３２に存在するすべての新着イベントについてその優先度を算出し終えることによりステップＳ４４で肯定結果を得ると、まず画面上のレコメンド矢印をすべて消去し（Ｓ４５）、その後上述のようにして算出した各新着イベントの優先度に基づいて、新着イベント分析結果画面４０の平面座標４１内における対応する各ノード４２間に上述のレコメンド矢印４３をそれぞれ描画する（Ｓ４６）。

具体的には、ノード描画プログラム２５は、イベントテーブル３２に存在する各新着イベントを優先度が大きい順番にソートし、ソートした順番で新着イベントを順に指し示していくように必要なノード４２間にレコメンド矢印４３をそれぞれ描画する。

そしてノード描画プログラム２５は、すべてのレコメンド矢印４３を描画し終えると、このレコメンド矢印描画処理を終了して、図７について上述した描画処理に戻る。

なお、本実施の形態においてレコメンド矢印４３を描画する処理を行わないこととしてもよい。その場合、表示形態は図１９のようになる。図１９は、レコメンド矢印４３が表示されていない点を除いて図２の新着イベント分析結果画面と同様の構成を有する。

（１−４）本実施の形態の効果
以上のように本実施の形態のイベント対処業務支援システム１では、イベント分析サーバ６がイベント管理サーバ４から与えられる新着イベントのイベント情報を分析し、分析結果に基づいて、新着イベントに対する確信度と重要度をユーザが一見して認識できるように、これら新着イベントにそれぞれ対応するノード４２を平面座標４１上に配置した新着イベント分析結果画面４０を生成してオペレータ端末に表示させる。

従って、オペレータは、この新着イベント分析結果画面４０を参照することにより、未知の新着イベントに対する確信度と重要度を直ちに認識することができる。さらにイベント分析サーバ６が対処すべき新着イベントの順番を表示することにより、オペレータは適切な順番で新着イベントに対処することができる。よって本実施の形態によれば、未知の新着イベントに対するオペレータの対処業務の安全性を向上させ得る有用性の高いイベント対処業務支援システムを実現できる。

（２）第２の実施の形態
図１８において、イベント対処業務支援システム５０は全体として第２の実施の形態によるイベント対処業務支援システムを示す。このイベント対処業務支援システム５０では、図２について上述した新着イベント分析結果画面４０に代えて、図１４に示すような新着イベント分析結果画面６０をイベント分析サーバ５１が生成し、これをオペレータ端末８に表示させる点を除いて第１の実施の形態のイベント対処業務支援システム１とほぼ同様に構成されている。

具体的には、本実施の形態によるイベント対処業務支援システム５０の場合、データベースサーバ１０の記憶装置３０に格納されたイベント種別リスト５２は、図１５に示すように、少なくともイベント種別ＩＤ欄５２Ａ及びメッセージテンプレート欄５２Ｂと、システム重要度欄５２Ｃ及びセキュリティ重要度欄５２Ｄとを備えて構成されている。

そしてイベント種別ＩＤ欄５２Ａ及びメッセージテンプレート欄５２Ｂには、図３について上述した第１の実施の形態のイベント種別リスト３１のイベント種別ＩＤ欄３１Ａ又はメッセージ欄３１Ｂに格納される情報と同じ情報がそれぞれ格納される。

またシステム重要度欄５２Ｃには、第１の実施の形態の「重要度」と同様にして予めオペレータにより設定された対応する既知イベントの第１の評価観点であるシステム上の重要度（以下、これをシステム重要度と呼ぶ）が格納され、セキュリティ重要度欄５２Ｄには、同様にオペレータにより予め設定されたその既知イベントの第２の評価観点であるセキュリティ上の重要度（以下、これをセキュリティ重要度と呼ぶ）が格納される。

そしてシステム分析サーバ５１は、イベントテーブル３２に登録された各新着イベントに対して、それぞれイベント種別リスト５２に登録されている既知イベントの中から第１の実施の形態と同様にして算出された確信度が上述の確信度閾値以上のすべての既知イベントをイベント種別候補として割り当てる。

またシステム分析サーバ５１は、各新着イベントに割り当てた各イベント種別候補のシステム重要度及びセキュリティ重要度と、確信度とに基づいて図１４に示すような新着イベント分析結果画面６０を生成する。そしてイベント分析サーバ５１は、生成した新着イベント分析結果画面６０の画面データを第３のネットワーク７を介して必要なオペレータ端末８に送信することにより、この新着イベント分析結果画面６０をそのオペレータ端末８に表示させる。

この図１４に示すように、本実施の形態の新着イベント分析結果画面６０は、縦軸にセキュリティ重要度、横軸にシステム重要度をとった平面座標６１を備えて構成される。そして平面座標６１には、それまでにイベント分析サーバ５１が受信した各イベント情報にそれぞれ対応する新着イベントのうち、オペレータによる対処が未だ行われていない各新着イベントとそれぞれ対応付けられたノード６２が表示される。

これらノード６２は、それぞれ対応する新着イベントに割り当てられたイベント種別候補のうち、確信度が最も大きいイベント種別候補についてイベント種別リスト５２から取得したシステム重要度をｘ座標、当該イベント種別候補についてイベント種別リスト５２から取得したセキュリティ重要度をｙ座標とするｘｙ座標を中心座標として表示された円グラフから構成される。

この場合、円グラフは、対応する新着イベントに割り当てられたイベント種別候補のうちの最も確信度が高いイベント種別候補の当該確信度に反比例する大きさ（半径）で描画される。これにより確信度が低い新着イベントに対応するノード６２ほどより大きく表示されるために目立ち易く、オペレータがそのノード６２に対応する新着イベントに対するイベント対処を優先的に実行することができる。

また円グラフでは、内部の左上の領域（以下、これを単に左上領域と呼ぶ）に、対応する新着イベントに対して割り当てられたイベント種別候補のうちの最もセキュリティ重要度が高いイベント種別候補が対応付けられ、内部の右下の領域（以下、これを単に右下領域と呼ぶ）に、対応する新着イベントに対して割り当てられたイベント種別候補のうち、最もシステム重要度が高いイベント種別候補が対応付けられる。

具体的には円グラフの左上領域は、最もセキュリティ重要度が高いイベント種別候補の当該セキュリティ重要度の値が「高」、「中」及び「低」の３つのカテゴリのうちのいずれのカテゴリに属するかに応じて、その値が属するカテゴリに対応する色に着色され又はそのカテゴリに応じた模様が付けられる。例えば、セキュリティ重要度が「高」のカテゴリに属する場合（例えば、かかる値が「80」以上）には左上領域が赤色に着色され、セキュリティ重要度が「中」のカテゴリに属する場合（例えば、かかる値が「30」〜「79」）の場合には左上領域が橙色に着色され、セキュリティ重要度が「低」のカテゴリに属する場合（例えば、かかる値が「29」以下）には左上領域が緑色に着色される。

これと同様に、円グラフの右下領域も、最もシステム重要度が高いイベント種別候補の当該システム重要度の値が「高」、「中」及び「低」の３つのカテゴリのうちのいずれのカテゴリに属するかに応じて、その値が属するカテゴリに対応する色に着色され又はそのカテゴリに応じた模様が付けられる。

なお図１４の例では、新着イベント分析結果画面６０の平面座標上にノード６２のみが表示されているが、実際には、図２について上述したレコメンド矢印４３も第１の実施の形態と同様に表示する形態としてもよい。

次に、本実施の形態によるイベント対処支援機能に関連してイベント分析サーバ５０において実行される一連の処理（イベント対処業務支援処理）の具体的な処理内容について説明する。なお、本実施の形態のイベント対処業務支援処理の全体の流れは、図６について上述した第１の実施の形態によるイベント対処業務支援処理と同様であるため、ここでの説明は省略する。

またイベント対処業務支援処理のステップＳ３（図６）で本実施の形態のノード描画プログラム５３（図１）により実行される描画処理の流れも、図７について上述した第１の実施の形態による描画処理の流れと各ステップの処理内容を除いて同様であるため、ここでの説明は省略する。

また、ステップＳ１０の処理内容である座標決定処理（図８）の各ステップの流れも、ステップＳ２５の処理内容を除いて同様であるため、ここでの説明は省略する。

ステップＳ２５の処理内容は本実施の形態においては、次のように置き換える。「中心座標は最大確信度システム種別候補のシステム重要度をx、最大確信度システム種別候補のセキュリティ重要度をyとし、半径をシステムであらかじめ定めてある定数を最大確信度システム種別候補の確信度で割った値とする。」これらの値は後述するステップＳ５７にて使用する。

図１６は、図７の描画処理のステップＳ１１において本実施の形態のノード描画プログラム５３により実行されるノード描画処理の具体的な処理内容を示す。

本実施の形態のノード描画プログラム５３は、描画処理のステップＳ１１に進むと、この図１６に示すノード描画処理を開始し、まず、図６のステップＳ１で選択した新着イベント（選択新着イベント）に割り当てた各イベント種別候補のイベントマスタ情報をデータベースサーバ１０のイベント種別リスト５２からそれぞれ取得する。さらにステップＳ５３で使用する最大システム重要度イベント種別候補と、ステップＳ５５で使用する最大セキュリティ重要度イベント種別候補とを初期化する（Ｓ５０）。

続いて、ノード描画プログラム５３は、ステップＳ５０でイベントマスタ情報を読み出した各イベント種別候補の中からステップＳ５２以降が未処理のイベント種別候補を１つ選択する（Ｓ５１）。またノード描画プログラム５３は、「最大システム重要度イベント種別候補が初期化状態である、又は、ステップＳ５１で選択したイベント種別候補のシステム重要度がステップＳ５０で最大システム重要度イベント種別候補を初期化してから現在までにステップＳ５１で選択したイベント種別候補の中で最大である」か否かを判断する（Ｓ５２）。そしてノード描画プログラム５３は、この判断で否定結果を得るとステップＳ５４に進む。

これに対して、ノード描画プログラム５３は、ステップＳ５２の判断で肯定結果を得ると、そのときステップＳ５１で選択したイベント種別候補のイベント種別ＩＤ及びシステム重要度を、システム重要度が最大のイベント種別候補（本発明においては、これを最大システム重要度イベント種別候補と呼ぶ）のシステム重要度として記憶する（Ｓ５３）。

次いで、ノード描画プログラム５３は、「最大セキュリティ重要度イベント種別候補が初期化状態である、又は、ステップＳ５１で選択したイベント種別候補のセキュリティ重要度がステップＳ５０で最大セキュリティ重要度イベント種別候補を初期化してから現在までにステップＳ５１で選択したイベント種別候補の中で最大である」か否かを判断する（Ｓ５４）。そしてノード描画プログラム５３は、この判断で否定結果を得るとステップＳ５６に進む。

これに対して、ノード描画プログラム５３は、ステップＳ５４の判断で肯定結果を得ると、そのときステップＳ５１で選択したイベント種別候補のイベント種別ＩＤ及びセキュリティ重要度を、セキュリティ重要度が最大のイベント種別候補（以下、これを最大セキュリティ重要度イベント種別候補と呼ぶ）のセキュリティ重要度として記憶する（Ｓ５５）。

さらにノード描画プログラム５３は、選択新着イベントに割り当てられたすべてのイベント種別候補についてステップＳ５２〜ステップＳ５５の処理を実行し終えたか否かを判断する（Ｓ５６）。そしてノード描画プログラム５３は、この判断で否定結果を得るとステップＳ５１に戻り、この後、ステップＳ５１で選択するイベント種別候補を、選択新着イベントに割り当てられたイベント種別候補のうちのステップＳ５２以降が未処理の他のイベント種別候補に順次切り替えながら、ステップＳ５１〜ステップＳ５６の処理を繰り返す。

そしてノード描画プログラム５３は、選択新着イベントに割当てられたすべてのイベント種別候補についてステップＳ５２〜ステップＳ５５の処理を実行し終えることによりステップＳ５６で肯定結果を得ると、新着イベント分析結果画面６０（図１４）の平面座標６１（図１４）に描画すべきそのときの選択新着イベントに対応するノード６２（図１４）の中心座標を、ステップＳ２５にて算出した値、即ちそのとき最大システム重要度イベント種別候補のシステム重要度として記憶している値をｘ座標、そのとき最大セキュリティ重要度イベント種別候補のセキュリティ重要度として記憶しているセキュリティ重要度をｙ座標とする座標位置に決定し、新着イベント分析結果画面６０（図１４）の平面座標６１（図１４）上に、上述した座標決定処理により決定した座標を中心座標とし、上述した座標決定処理により決定した半径の円で表現され、その円の右下半分はステップＳ５３で算出した最大システム重要度イベント種別候補のシステム重要度に対応した色またはパターン、その円の左上半分はステップＳ５５で算出した最大セキュリティ重要度イベント種別候補のセキュリティ重要度に対応した色またはパターンを用いて描画する（Ｓ５７）。そしてノード描画プログラム５３は、この後、このノード描画処理を終了して図７について上述した描画処理のステップＳ１１の次の「リターン」に戻る。

なお、これ以降にイベント分析サーバ５１で実行される処理の内容は第１の実施の形態と同様であるため、ここでの説明は省略する。

以上のように本実施の形態のイベント対処業務支援システム５０では、イベント分析サーバ５１がイベント管理サーバ４から与えられる新着イベントのイベント情報を分析し、分析結果に基づいて、対処すべき新着イベントのシステム観点からの重要度とセキュリティ観点からの重要度をユーザが一見して認識できるように、これら新着イベントにそれぞれ対応するノード６２を平面座標６１上に配置した新着イベント分析結果画面６０を生成してオペレータ端末に表示させる。

従って、ペレータは、この新着イベント分析結果画面６０を参照することにより、どの新着イベントがシステム観点から重要でどの新着イベントがセキュリティ観点から重要かを直ちに認識することができ、適切に新着イベントに対処することができる。よって本実施の形態によれば、第１の実施の形態と同様に、未知の新着イベントに対するオペレータの対処業務の安全性を向上させ得る有用性の高いイベント対処業務支援システムを実現できる。

（３）他の実施の形態
なお上述の第１及び第２の実施の形態においては、イベント種別リスト３１，５２、イベントテーブル３２、割当て結果テーブル３３及び学習モデルをデータベースサーバに配置するようにした場合について述べたが、本発明はこれに限らず、例えば、これらのデータをイベント分析サーバ６，５１に配置するようにしてもよい。

また上述の第１及び第２の実施の形態においては、イベントテーブル３２や割当て結果テーブル３３における各新着イベントのエントリを、その新着イベントに対するオペレータによる対処が完了した後にそのイベントテーブル３２及び割当て結果テーブル３３から削除するようにした場合について述べたが、本発明はこれに限らず、対処済みの新着イベントのエントリをイベントテーブル３２や割当て結果テーブル３３から削除することなく、そのまま残しておくようにしてもよい。このようにすることにより、オペレータが過去の新着イベントを確認することができる。

さらに上述の第１の実施の形態においては、ノード４２を図１１について上述したように描画するようにした場合について述べたが、本発明はこれに限らず、ノード４２を例えば図１７のように描画するようにしてもよい。具体的には、重要度「高」「中」「低」のそれぞれに対応するノード４２内の各領域を、そのノードに対応するイベント種別候補の数で分割したそれぞれのパイ型領域に、確信度に応じた半径で、重要度毎の色で、重要度が高い順に、確信度が高い順に描画する。

さらに上述の第１及び第２の実施の形態においては、各既知イベントのイベント種別に対して予め設定された重要度（重要度、又はシステム重要度及びセキュリティ重要度）に基づいて新着イベントの重要度（候補重要度）を算出するようにした場合について述べたが、本発明はこれに限らず、これ以外の方法により新着イベントの重要度を算出するようにしてもよい。例えば、次式

のようにして新着イベントの重要度を算出するようにしてもよい。

本発明は、管理対象に発生した新着イベントの対処業務を支援する業務支援システムに広く適用することができる。

１，５０……イベント対処業務支援システム、２……イベント生成サーバ、４……イベント管理サーバ、６，５１……イベント分析サーバ、８……オペレータ端末、１０……データベースサーバ、２０……ＣＰＵ、２１，３０……記憶装置、２４……イベント種別候補割当てプログラム、２５，５３……ノード描画プログラム、３１，５２……イベント種別リスト、３２……イベントテーブル、３３……割当て結果テーブル、４０，６０……新着イベント分析結果画面、４１，６１……平面座標、４２，６２……ノード、４３……レコメンド矢印。

Claims (14)

1. 管理対象に発生したイベントの対処業務を支援する業務支援システムにおいて、
   未知の前記イベントに関して、当該イベントのイベント種別を１つ以上推定してイベント種別候補とするイベント種別推定部と、
   推定された前記イベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、抽出した前記第１のイベント種別候補群の各前記イベント種別候補の確信度から第１の候補確信度を算出し、前記第１のイベント種別候補群に属する各前記イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出する第１の算出部と、
   各前記イベントに対応する図形を前記第１の候補確信度及び前記第１の候補重要度を用いて座標空間上に表現する表現部と
   を備えることを特徴とする業務支援システム。
2. 前記表現部は、
   前記第１の候補確信度及び前記第１の候補重要度を平面座標軸の２軸上に表現する
   ことを特徴とする請求項１の記載の業務支援システム。
3. 推定された前記イベント種別候補のうち確信度が低いものも含めた第２のイベント種別候補群を抽出し、抽出した前記第２のイベント種別候補群に属する各前記イベント種別候補の確信度から第２の候補確信度を算出し、前記第２のイベント種別候補群に属する各前記イベント種別候補にそれぞれ対応するイベント種別の第１の重要度から第２の候補重要度を算出する第２の算出部をさらに備え、
   前記表現部は、
   前記図形を前記第２の候補確信度及び前記第２の候補重要度を用いてグラフ形式で表現する
   ことを特徴とする請求項１に記載の業務支援システム。
4. 前記表現部は、
   ２つ以上の前記イベントにそれぞれ対応する前記図形を描画する際、前記第１の候補確信度及び前記第１の候補重要度に基づいて各前記イベントの優先度をそれぞれ算出し、前記優先度の高い前記イベントに対応する前記図形から前記優先度が低い前記イベントに対応する前記図形へと各前記図形を順番に指し示すように、各前記図形間にそれぞれ矢印を描画する
   ことを特徴とする請求項１に記載の業務支援システム。
5. 前記表現部は、
   ２つ以上の前記イベントにそれぞれ対応する前記図形を描画する際、前記第１の候補確信度及び前記第１の候補重要度と、前記第２の候補確信度及び前記第２の候補重要度とに基づいて各前記イベントの優先度をそれぞれ算出し、前記優先度の高い前記イベントに対応する前記図形から前記優先度が低い前記イベントに対応する前記図形へと各前記図形を順番に指し示すように、各前記図形間にそれぞれ矢印を描画する
   ことを特徴とする請求項３に記載の業務支援システム。
6. 前記イベント種別候補は第２の評価観点による第２の重要度を持ち、前記第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別の第２の重要度から第３の候補重要度を算出する第３の算出部をさらに備え、
   前記表現部は、
   前記第１の候補確信度と、前記第１の候補重要度と、前記第３の候補重要度とを用いて座標上に前記図形を表現する
   ことを特徴とする請求項１に記載の業務支援システム。
7. 前記表現部は、
   前記第１の候補確信度を前記図形の大きさとし、前記第１の候補重要度と前記第３の候補重要度を座標軸の２軸上に表現する
   ことを特徴とした請求項６に記載の業務支援システム。
8. 管理対象に発生したイベントの対処業務を支援する業務支援システムにより実行される業務支援方法であって、
   未知の前記イベントに関して、当該イベントのイベント種別を１つ以上推定してイベント種別候補とする第１のステップと、
   推定された前記イベント種別候補のうち確信度が高い第１のイベント種別候補群を抽出し、抽出した前記第１のイベント種別候補群の各前記イベント種別候補の確信度から第１の候補確信度を算出し、前記第１のイベント種別候補群に属する各前記イベント種別候補にそれぞれ対応するイベント種別が保持する第１の重要度及び又は当該第１の重要度以外の情報から第１の候補重要度を算出する第２のステップと、
   未知の各前記イベントに対応する図形を前記第１の候補確信度及び前記第１の候補重要度を用いて座標空間上に表現する第３のステップと
   を備えることを特徴とする業務支援方法。
9. 前記第３のステップでは、
   前記第１の候補確信度及び前記第１の候補重要度を平面座標軸の２軸上に表現する
   ことを特徴とする請求項８に記載の業務支援方法。
10. 前記第２のステップでは、
    推定された前記イベント種別候補のうち確信度が低いものも含めた第２のイベント種別候補群を抽出し、抽出した前記第２のイベント種別候補群に属する各前記イベント種別候補の確信度から第２の候補確信度を算出し、前記第２のイベント種別候補群に属する各前記イベント種別候補にそれぞれ対応するイベント種別の第１の重要度から第２の候補重要度を算出し、
    前記第３のステップでは、
    前記図形を前記第２の候補確信度及び前記第２の候補重要度を用いてグラフ形式で表現する
    ことを特徴とする請求項８に記載の業務支援方法。
11. 前記第３のステップでは、
    ２つ以上の前記イベントにそれぞれ対応する前記図形を描画する際、前記第１の候補確信度及び前記第１の候補重要度に基づいて各前記イベントの優先度をそれぞれ算出し、前記優先度の高い前記イベントに対応する前記図形から前記優先度が低い前記イベントに対応する前記図形へと各前記図形を順番に指し示すように、各前記図形間にそれぞれ矢印を描画する
    ことを特徴とする請求項８に記載の業務支援方法。
12. 前記第３のステップでは、
    ２つ以上の前記イベントにそれぞれ対応する前記図形を描画する際、前記第１の候補確信度及び前記第１の候補重要度と、前記第２の候補確信度及び前記第２の候補重要度とに基づいて各前記イベントの優先度をそれぞれ算出し、前記優先度の高い前記イベントに対応する前記図形から前記優先度が低い前記イベントに対応する前記図形へと各前記図形を順番に指し示すように、各前記図形間にそれぞれ矢印を描画する
    ことを特徴とする請求項１０に記載の業務支援方法。
13. 前記第２のステップでは、
    前記イベント種別候補は第２の評価観点による第２の重要度を持ち、前記第１のイベント種別候補群に属する各イベント種別候補にそれぞれ対応するイベント種別の第２の重要度から第３の候補重要度を算出し、
    前記第３のステップでは、
    前記第１の候補確信度と、前記第１の候補重要度と、前記第３の候補重要度とを用いて座標上に前記図形を表現する
    ことを特徴とする請求項８に記載の業務支援方法。
14. 表現部は、
    前記第１の候補確信度を前記図形の大きさとし、前記第１の候補重要度と前記第３の候補重要度を座標軸の２軸上に表現する
    ことを特徴とした請求項１３に記載の業務支援方法。
    

Images