JP4487291B2

JP4487291B2 - 監視結果記録システム、共通ログ生成装置、及びプログラム

Info

Publication number: JP4487291B2
Application number: JP2006035770A
Authority: JP
Inventors: 鳴利田渕
Original assignee: 鳴利田渕
Priority date: 2006-02-13
Filing date: 2006-02-13
Publication date: 2010-06-23
Anticipated expiration: 2026-02-13
Also published as: JP2007213521A

Description

本発明は、特定の領域を監視領域として、該監視領域に対する監視結果を記録する技術に関する。

従来より、コンピュータが設置された区画への入退室の監視や、コンピュータへのログイン状況の監視などを個別に行う複数種類の監視装置で構成され、これら監視装置がそれぞれ、監視結果を記録した監視ログを個別に生成する監視システムがある（例えば、特許文献１を参照）。

そして、この監視システムによれば、当該監視システムの管理者が、各監視装置にて生成された複数種類の監視ログをそれぞれ参照し、各監視ログ上の監視結果の間に不整合な点があるか否かを解析することで、各監視装置単体では発見できなかったコンピュータへの不正アクセスの形跡を発見できる。
特開２００５−３２８４７８号公報

しかしながら、従来の監視システムでは、上述のように、コンピュータへの不正アクセスの形跡を発見するために、管理者が複数種類の監視ログを個別に参照しなければならなかったため、その発見作業が非常に煩雑であった。

そこで、複数種類の監視ログ上の監視結果を１つのログに統合すれば、管理者が複数種類の監視結果を一度に参照することが可能となり、不正アクセスの形跡の発見作業を簡略化できる。

しかしながら、従来の監視システムでは、監視装置毎に監視ログ上の監視結果の記録形式などが異なるため、監視結果を１つのログに統合することが困難であった。
そこで、本発明は、複数種類の監視ログ上の監視結果を容易に１つのログ上に統合することが可能な技術を提供することを目的とする。

上記目的を達成するためになされた請求項１記載の発明は、特定の領域を監視領域として、該監視領域に対する監視結果を記録する監視結果記録システムであって、監視領域における互いに異なる監視対象を監視し、該監視対象の監視結果を記録した監視ログをそれぞれ生成する複数種類の監視装置と、該監視装置の各々から監視ログを取得する監視ログ取得手段と、監視ログの種類を識別するためのログ識別情報と、監視装置の各々が生成する監視ログ上の監視結果を統合して記録する共通ログ上の配列先とを対応づけたマッピングテーブルに基づき、監視ログ取得手段により取得された監視ログ上の監視結果を共通ログ上の配列先に記録して共通ログを生成する共通ログ生成手段と、監視ログ取得手段により取得された監視ログのログ識別情報に対応づけられた共通ログ上の配列先がマッピングテーブル上に存在するか否かを判定する配列先存在判定手段と、該配列先存在判定手段により共通ログ上の配列先がマッピングテーブル上に存在しないと判定された場合に、監視ログ取得手段により取得された、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログ上の監視結果が有する特徴と、監視ログ取得手段により取得された過去の監視ログ上の監視結果が有する特徴とを比較し、監視ログ上の監視結果が有する特徴が、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログ上の監視結果が有する特徴に最も近い過去の監視ログの識別情報に対応づけられた共通ログ上の配列先と、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログのログ識別情報とをマッピングテーブル上に対応づけて設定する配列先設定手段とを備えることを特徴とする。

この監視結果記録システムでは、複数種類の監視装置が、監視領域における互いに異なる監視対象を監視して、監視対象の監視結果を記録した監視ログをそれぞれ生成する一方、監視ログ取得手段が、監視装置の各々から監視ログを取得し、共通ログ生成手段が、マッピングテーブルに基づき、監視ログ取得手段により取得された監視ログ上の監視結果を共通ログ上の配列先に記録して共通ログを生成する。そして、配列先存在判定手段が、監視ログ取得手段により取得された監視ログのログ識別情報に対応づけられた共通ログ上の配列先がマッピングテーブル上に存在するか否かを判定し、配列先存在判定手段により共通ログ上の配列先がマッピングテーブル上に存在しないと判定された場合には、配列先設定手段が、監視ログ取得手段により取得された、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログ上の監視結果が有する特徴と、監視ログ取得手段により取得された過去の監視ログ上の監視結果が有する特徴とを比較し、監視ログ上の監視結果が有する特徴が、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログ上の監視結果が有する特徴に最も近い過去の監視ログの識別情報に対応づけられた共通ログ上の配列先と、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログのログ識別情報とをマッピングテーブル上に対応づけて設定する。

つまり、この監視結果記録システムによれば、各監視ログ上の監視結果の配列先を各監視ログのログ識別情報に対応づけて、マッピングテーブル上に予め設定しておきさえすれば、マッピングテーブルに基づき、各監視ログ上の監視結果を容易に共通ログ上に統合することができる。
しかも、この監視結果記録システムによれば、マッピングテーブル上に配列先が予め設定されていなくても、過去に取得した監視ログが多くなればなるほど、配列先を適切に設定する精度を高めることができ、ひいては、マッピングテーブル上に配列先が予め設定されていなくても、複数種類の監視ログ上の監視結果を容易、且つ、適切に共通ログ上に統合することができる。

即ち、本発明によれば、複数種類の監視ログ上の監視結果を容易に１つのログ上に統合することができる。
尚、上述の「監視領域」としては、建物や設備といった物理的な領域の他、コンピュータ上やネットワーク上の領域（例えば、データの領域やサービスの領域など）、もしくはこれらの組合せが該当する（以下、同様）。
また、「個人情報」としては、例えば、ユーザの氏名、ユーザの所属部署などが該当する（以下、同様）。
また、「監視結果が有する特徴」としては、例えば、監視結果の配列パターンや、監視結果に含まれる文字列、単位時間当たりに記録される監視結果の数などが該当する（以下、同様）。
また、請求項２記載の発明は、特定の領域を監視領域として、該監視領域に対する監視結果を記録する監視結果記録システムであって、監視領域における互いに異なる監視対象を監視し、該監視対象の監視結果を記録した監視ログをそれぞれ生成する複数種類の監視装置と、該監視装置の各々から監視ログを取得する監視ログ取得手段と、監視ログの種類を識別するためのログ識別情報と、監視装置の各々が生成する監視ログ上の監視結果を統合して記録する共通ログ上の配列先とを対応づけたマッピングテーブルに基づき、監視ログ取得手段により取得された監視ログ上の監視結果を共通ログ上の配列先に記録して共通ログを生成する共通ログ生成手段とを備え、マッピングテーブルは、ログ識別情報に対応づけられて、監視ログの種類毎に個別に存在し、当該監視結果記録システムは、監視ログ取得手段により取得された監視ログのログ識別情報に対応づけられたマッピングテーブルが存在するか否かを判定するテーブル存在判定手段と、該テーブル存在判定手段によりマッピングテーブルが存在しないと判定された場合に、監視ログ取得手段により取得された、マッピングテーブルが存在しない監視ログ上の監視結果が有する特徴と、監視ログ取得手段により取得された過去の監視ログ上の監視結果が有する特徴とを比較し、監視ログ上の監視結果が有する特徴が、マッピングテーブルが存在しない監視ログ上の監視結果が有する特徴に最も近い過去の監視ログの識別情報に対応づけられた共通ログ上の配列先と、マッピングテーブルが存在しない監視ログのログ識別情報とを対応づけたマッピングテーブルを生成するマッピングテーブル生成手段とを備えることを特徴とする。
この監視結果記録システムでは、複数種類の監視装置が、監視領域における互いに異なる監視対象を監視して、監視対象の監視結果を記録した監視ログをそれぞれ生成する一方、監視ログ取得手段が、監視装置の各々から監視ログを取得し、共通ログ生成手段が、マッピングテーブルに基づき、監視ログ取得手段により取得された監視ログ上の監視結果を共通ログ上の配列先に記録して共通ログを生成する。そして、テーブル存在判定手段が、監視ログ取得手段により取得された監視ログのログ識別情報に対応づけられたマッピングテーブルが存在するか否かを判定し、テーブル存在判定手段によりマッピングテーブルが存在しないと判定された場合に、マッピングテーブル生成手段が、監視ログ取得手段により取得された、マッピングテーブルが存在しない監視ログ上の監視結果が有する特徴と、監視ログ取得手段により取得された過去の監視ログ上の監視結果が有する特徴とを比較し、監視ログ上の監視結果が有する特徴が、マッピングテーブルが存在しない監視ログ上の監視結果が有する特徴に最も近い過去の監視ログの識別情報に対応づけられた共通ログ上の配列先と、マッピングテーブルが存在しない監視ログのログ識別情報とを対応づけたマッピングテーブルを生成する。
つまり、この監視結果記録システムによれば、各監視ログ上の監視結果の配列先を各監視ログのログ識別情報に対応づけて、マッピングテーブル上に予め設定しておきさえすれば、マッピングテーブルに基づき、各監視ログ上の監視結果を容易に共通ログ上に統合することができる。
しかも、マッピングテーブルが存在しなくても、過去に取得した監視ログが多くなればなるほど、適切なマッピングテーブルを生成する精度を高めることができ、ひいては、マッピングテーブルが存在しなくても、複数種類の監視ログ上の監視結果を容易、且つ、適切に共通ログ上に統合することができる。
即ち、本発明によれば、複数種類の監視ログ上の監視結果を容易に１つのログ上に統合することができる。
ところで、複数種類の前記監視ログの少なくとも一部に、監視対象にアクセスしたユーザを識別するためのユーザ識別情報が含まれている場合には、請求項１または請求項２に記載の監視結果記録システムは、請求項３記載のように、ユーザの個人情報と、ユーザ識別情報とを対応づけたユーザデータベースに基づき、監視ログ取得手段により取得された監視ログに含まれるユーザ識別情報に対応する個人情報を共通ログ上に設定する個人情報設定手段を備えるとよい。
このように監視結果記録システムを構成すれば、各ユーザの個人情報とそれに対応する共通ログ上の監視結果とを一度に参照できるため、各ユーザの行動に通常とは不整合な行動があるか否かを解析することで、監視領域にて不正行為が行われた形跡を発見できる。
更に、監視ログ自体にユーザの個人情報が含めずとも、共通ログ上に個人情報を設定できるため、監視ログが外部に漏洩しても、個人情報までもが外部に漏洩してしまうことを防止できる。
尚、「個人情報」としては、例えば、ユーザの氏名、ユーザの所属部署などが該当する（以下、同様）。
ここで、同一のユーザに対するユーザ識別情報が、監視ログの種類毎に異なる場合には、請求項４記載のように、ユーザデータベースには、同一の個人情報に対して監視ログの種類毎に異なるユーザ識別情報が対応づけられているとよい。
このようにユーザデータベースが設定されていれば、監視ログの種類毎に同一のユーザに対するユーザ識別情報が異なっていても、共通ログ上では同一のユーザの個人情報を設定できる。
また、請求項３及び請求項４記載の監視結果記録システムは、請求項５記載のように、監視ログに含まれるユーザ識別情報がユーザデータベース上に予め登録されたものであるか否かを判定するユーザ登録判定手段を備え、個人情報設定手段は、ユーザ登録判定手段によりユーザ識別情報がユーザデータベース上に未登録であると判定された場合に、新規のユーザである旨を個人情報として共通ログ上に設定するとよい。
この場合、ユーザがユーザデータベース上に未登録であっても、新規のユーザとして、そのユーザの行動に通常の新規のユーザとして不整合な行動があるか否かを解析することで、監視領域にて不正行為が行われた形跡を発見できる。

次に、請求項６記載の発明は、特定の領域を監視領域として、該監視領域における互いに異なる監視対象を監視し、該監視対象の監視結果を記録した監視ログをそれぞれ生成する複数種類の監視装置の各々から監視ログを取得する監視ログ取得手段と、監視ログの種類を識別するためのログ識別情報と、監視装置の各々が生成する監視ログ上の監視結果を統合して記録する共通ログ上の配列先とを対応づけたマッピングテーブルに基づき、監視ログ取得手段により取得された監視ログ上の監視結果を共通ログ上の配列先に記録して共通ログを生成する共通ログ生成手段と、監視ログ取得手段により取得された監視ログのログ識別情報に対応づけられた共通ログ上の配列先がマッピングテーブル上に存在するか否かを判定する配列先存在判定手段と、該配列先存在判定手段により共通ログ上の配列先がマッピングテーブル上に存在しないと判定された場合に、監視ログ取得手段により取得された、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログ上の監視結果が有する特徴と、監視ログ取得手段により取得された過去の監視ログ上の監視結果が有する特徴とを比較し、監視ログ上の監視結果が有する特徴が、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログ上の監視結果が有する特徴に最も近い過去の監視ログの識別情報に対応づけられた共通ログ上の配列先と、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログのログ識別情報とをマッピングテーブル上に対応づけて設定する配列先設定手段とを備えることを特徴とする共通ログ生成装置である。

つまり、この共通ログ生成装置は、請求項１記載の監視結果記録システムの一部を構成するものであり、複数種類の監視装置と組み合わせることで請求項１記載の監視結果記録システムを構成することができる。
次に、請求項７記載の発明は、特定の領域を監視領域として、該監視領域における互いに異なる監視対象を監視し、該監視対象の監視結果を記録した監視ログをそれぞれ生成する複数種類の監視装置の各々から監視ログを取得する監視ログ取得手段と、監視ログの種類を識別するためのログ識別情報と、監視装置の各々が生成する監視ログ上の監視結果を統合して記録する共通ログ上の配列先とを対応づけたマッピングテーブルに基づき、監視ログ取得手段により取得された監視ログ上の監視結果を共通ログ上の配列先に記録して共通ログを生成する共通ログ生成手段とを備え、マッピングテーブルは、ログ識別情報に対応づけられて、監視ログの種類毎に個別に存在し、当該共通ログ生成装置は、監視ログ取得手段により取得された監視ログのログ識別情報に対応づけられたマッピングテーブルが存在するか否かを判定するテーブル存在判定手段と、該テーブル存在判定手段によりマッピングテーブルが存在しないと判定された場合に、監視ログ取得手段により取得された、マッピングテーブルが存在しない監視ログ上の監視結果が有する特徴と、監視ログ取得手段により取得された過去の監視ログ上の監視結果が有する特徴とを比較し、監視ログ上の監視結果が有する特徴が、マッピングテーブルが存在しない監視ログ上の監視結果が有する特徴に最も近い過去の監視ログの識別情報に対応づけられた共通ログ上の配列先と、マッピングテーブルが存在しない監視ログのログ識別情報とを対応づけたマッピングテーブルを生成するマッピングテーブル生成手段とを備えることを特徴とする共通ログ生成装置である。
つまり、この共通ログ生成装置は、請求項２記載の監視結果記録システムの一部を構成するものであり、複数種類の監視装置と組み合わせることで請求項２記載の監視結果記録システムを構成することができる。
また、請求項８記載の発明は、請求項６及び請求項７記載の共通ログ生成装置において、複数種類の監視ログの少なくとも一部には、監視対象にアクセスしたユーザを識別するためのユーザ識別情報が含まれ、さらに、ユーザの個人情報と、ユーザ識別情報とを対応づけたユーザデータベースに基づき、監視ログ取得手段により取得された監視ログに含まれるユーザ識別情報に対応する個人情報を共通ログ上に設定する個人情報設定手段を備えることを特徴とする。
つまり、この共通ログ生成装置は、請求項３記載の監視結果記録システムの一部を構成するものであり、複数種類の監視装置と組み合わせることで請求項３記載の監視結果記録システムを構成することができる。
また、請求項９記載の発明は、請求項８記載の共通ログ生成装置において、同一のユーザに対するユーザ識別情報が、監視ログの種類毎に異なり、ユーザデータベースには、同一の個人情報に対して監視ログの種類毎に異なるユーザ識別情報が対応づけられていることを特徴とする。
つまり、この共通ログ生成装置は、請求項４記載の監視結果記録システムの一部を構成するものであり、複数種類の監視装置と組み合わせることで請求項４記載の監視結果記録システムを構成することができる。
また、請求項１０記載の発明は、請求項８及び請求項９記載の共通ログ生成装置において、監視ログに含まれるユーザ識別情報がユーザデータベース上に予め登録されたものであるか否かを判定するユーザ登録判定手段を備え、個人情報設定手段は、ユーザ登録判定手段によりユーザ識別情報がユーザデータベース上に未登録であると判定された場合に、新規のユーザである旨を個人情報として共通ログ上に設定することを特徴とする。
つまり、この共通ログ生成装置は、請求項５記載の監視結果記録システムの一部を構成するものであり、複数種類の監視装置と組み合わせることで請求項５記載の監視結果記録システムを構成することができる。

また、請求項１１記載の発明は、コンピュータを請求項６乃至請求項１０いずれか記載の共通ログ生成装置における各手段として機能させるためのプログラムである。
即ち、このプログラムによれば、コンピュータを請求項６乃至請求項１０記載の共通ログ生成装置の各手段、ひいては、請求項１乃至請求項５記載の監視結果記録システムの各手段として機能させることができる。

尚、このプログラムは、ＲＯＭやバックアップＲＡＭに記録され、これらＲＯＭやバックアップＲＡＭからコンピュータにロードされて用いられてもよいし、ネットワークを介してコンピュータにロードされて用いられてもよい。また、フレキシブルディスク（ＦＤ）や光ディスク（ＭＯ）、ＤＶＤ、ＣＤ−ＲＯＭ、Ｂｌｕ−Ｒａｙディスク、ＨＤ−ＤＶＤ、ハードディスク、メモリカードなどといったコンピュータにて読み取り可能な記録媒体に記録されて用いられてもよい。

以下に本発明の実施形態を図面と共に説明する。
まず、図１は、本発明を適用した監視システム１の構成ブロック図である。
図１に示すように、監視システム１は、コンピュータ操作管理システム２と、入退室管理システム３と、位置情報管理システム４と、ＣＣＴＶ（Closed Circuit Television）カメラ監視システム５と、外部センサシステム６とからなる複数種類の監視装置と、クライアント用端末８とをログエージェントサーバ７に接続して構成され、これら機器が設置されたオフィス１０内を監視領域としている。

ここで、コンピュータ操作管理システム２は、オフィス１０内のコンピュータ（図示せず）を監視対象とし、コンピュータへのログイン情報や、利用履歴、操作履歴、ユーザ認証、ファイル利用履歴からなる監視結果を記録した監視ログを生成するように構成されている。

また、入退室管理システム３は、コンピュータが設置された区画への入退室を監視対象とし、ＩＣカードや生体認証、これらの組み合わせによる多要素認証などによって、コンピュータが設置された区画への入退室を監視し、その監視結果を記録した監視ログを生成するように構成されている。

また、位置情報管理システム４は、コンピュータへアクセスする権限を持つ各ユーザの所在（位置）を監視対象とし、ＩＣタグやＧＰＳ（Global Positioning System）、ＰＨＳ（Personal Handyphone System ）などといった無線通信技術によって、オフィス１０内におけるユーザの所在を監視し、その監視結果を記録した監視ログを生成するように構成されている。

また、ＣＣＴＶカメラ監視システム５は、オフィス１０内の特定区画にいる人物を監視対象とし、画像監視システムや監視カメラ記録システム、顔認証・外観認証システムなどによって、特定区画にいる人物の容貌や動きを監視し、その監視結果を記録した監視ログを生成するように構成されている。

また、外部センサシステム６は、オフィス１０内全体を監視対象とし、振動センサや赤外線センサ、音声センサなどによってオフィス１０内への侵入者の有無を監視し、その監視結果を記録した監視ログを生成するように構成されている。

尚、これら監視装置が生成する監視ログのうち、外部センサシステム６を除く監視装置が生成する監視ログには、ユーザを識別するためのユーザ識別情報（以下、「ユーザＩＤ」という。）が含まれている。但し、本実施形態では、ユーザＩＤが監視ログ毎（つまり、監視装置毎）に異なっている。

また、クライアント用端末８は、周知のパーソナルコンピュータからなり、ログエージェントサーバ７から送信される通知をオフィス１０内の管理者に通知する。
また、ログエージェントサーバ７は、上述の各監視装置にてそれぞれ生成された監視ログを取得し、取得した監視ログ上の監視結果を統合した共通ログを生成する。但し、ログエージェントサーバ７とオフィス１０の外部にあるセンターシステム２０との間には、インターネット９を利用したインターネットＶＰＮ（Virtual Private Network ）が構築されており、ログエージェントサーバ７は、センターシステム２０に共通ログを送信するように設定されている。

尚、センターシステム２０には、ユーザＩＤと、ユーザの個人情報（ここではユーザの氏名及び所属する会社名など）とを対応づけたユーザデータベース（ＤＢ）２１が設けられている。但し、本実施形態のユーザＤＢ２１では、同一の個人情報に対して監視ログの種類毎に異なるユーザＩＤが対応づけられている
ここで、ログエージェントサーバ７は、より具体的には図２に示すような機能が設けられている。尚、図２は、ログエージェントサーバ７の機能ブロック図である。

図２に示すように、ログエージェントサーバ７は、監視ログから共通ログを生成する機能であるログコンバータモジュール７１と、共通ログから不要な情報を削除する機能であるフィルタモジュール７２と、共通ログから異常を検知する機能である検知モジュール７３と、検知モジュール７３による検知結果をクライアント用端末８に送信する機能である通知モジュール７４と、検知モジュール７３による検知結果に応じて外部の機器を制御する機能である機器制御モジュール７５と、共通ログをセンターシステム２０へ送信する機能である送信モジュール７６とが設けられている。

但し、ログエージェントサーバ７は、ＣＰＵやＲＯＭ、ＲＡＭ、ハードディスクドライブ（ＨＤＤ）、ネットワークインターフェイスなどを備えた周知のサーバ装置として構成されており、上述の各種機能は、ソフトウェアによって実現されている。より具体的には、ログコンバータモジュール７１は、後述の共通ログ生成処理におけるＳ１００〜Ｓ１２５の処理に該当し、フィルタモジュール７２は、後述の共通ログ生成処理におけるＳ１３０，Ｓ１３５の処理に該当する。また、検知モジュール７３は、後述の共通ログ生成処理におけるＳ１４０〜Ｓ１６５の処理に該当し、通知モジュール７４は、後述の共通ログ生成処理におけるＳ１７０の処理に該当し、機器制御モジュール７５は、後述の共通ログ生成処理におけるＳ１７５，Ｓ１８０の処理に該当し、送信モジュール７６は、後述の共通ログ生成処理におけるＳ１８５の処理に該当する。

以下、ログエージェントサーバ７のＣＰＵが実行する各種処理のうち、本発明に係る処理について詳述する。
まず、図３は、ログエージェントサーバ７のＣＰＵが実行する共通ログ生成処理の流れを示すフローチャートである。尚、ログエージェントサーバ７のＣＰＵは、予め指定された時間が経過する毎、もしくは予め指定された時刻が到来する毎に本処理を実行する。

図３に示すように、本処理では、まず、ログエージェントサーバ７のＨＤＤに予め設定された、取得すべき監視ログの種類を識別するためのログ識別情報を参照し、取得すべき監視ログのログ識別情報を取得する（Ｓ１００）。尚、本実施形態では、ログ識別情報として、監視ログのファイルへのパス及び監視ログのファイルに付与された識別子が設定されている。

続いて、取得したログ識別情報に基づいて、上述の各監視装置から監視ログを取得したのち（Ｓ１０５）、取得した監視ログのログ識別情報に対応したマッピングテーブルを当該ログエージェントサーバ７のＨＤＤから読み出す（Ｓ１１０）。但し、本実施形態のマッピングテーブルは、監視ログのログ識別情報に対応づけられて、監視ログの種類毎に個別にＨＤＤに設定されている。尚、各マッピングテーブルには、ログ識別情報と、監視ログ上の監視結果の共通ログ上の配列先とが対応づけられている。

そして、Ｓ１０５にて取得した監視ログの全てに対してマッピングテーブルが存在していたか否かを判定し（Ｓ１１５）、マッピングテーブルが存在しない監視ログがあった場合には（Ｓ１１５：Ｎｏ）、後述のマッピングテーブル生成処理を実行したのち（Ｓ１２０）、後述のＳ１２５へ移行する。

一方、Ｓ１０５にて取得した監視ログの全てに対してマッピングテーブルが存在していた場合には（Ｓ１１５：Ｙｅｓ）、読み出したマッピングテーブルに基づいて、各監視ログ上の監視結果を共通ログ上の配列先に記録して共通ログを生成する（Ｓ１２５）。尚、本実施形態の共通ログは、監視結果の配列を固定された固定長部分と、監視結果の配列を任意に変更可能な可変長部分とから構成されている（図７参照）。

共通ログの生成を終了すると、共通ログ上から削除すべき不要な監視結果の条件（フィルタ条件）を示すフィルタ条件データを当該ログエージェントサーバ７のＨＤＤから読み出し、共通ログ上にフィルタ条件に一致する監視結果が存在するか否かを判定する（Ｓ１３０）。

ここで、フィルタ条件に一致する監視結果が存在する場合には（Ｓ１３０：Ｙｅｓ）、フィルタ条件に一致する監視結果を共通ログ上から削除して（Ｓ１３５）、後述のＳ１４０へ移行する一方、フィルタ条件に一致する監視結果が存在しない場合には（Ｓ１３０：Ｎｏ）、共通ログ上の個々の監視結果を参照し、オフィス１０内にて不正行為が発生した旨を示す監視結果があるか否かを判定する（Ｓ１４０）。

そして、不正行為が発生した旨を示す監視結果がある場合には（Ｓ１４０：Ｙｅｓ）、後述のＳ１６５に直ちに移行する一方、不正行為が発生した旨を示す監視結果がない場合には（Ｓ１４０：Ｎｏ）、後述の個人情報設定処理を実行したのち（Ｓ１４５）、取得した監視結果に含まれるユーザＩＤに対応する個人情報がユーザＤＢ２１に登録されているか否かを確認することで未登録ユーザの認識が必要であるか否かを判定する（Ｓ１５０）。

ここで、未登録ユーザの認識が必要であると判定した場合には（Ｓ１５０：Ｙｅｓ）、後述の未登録ユーザ認識処理を実行したのち（Ｓ１５５）、後述のＳ１６０へ移行する一方、未登録ユーザの認識が不要であると判定した場合には（Ｓ１５０：Ｎｏ）、当該ログエージェントサーバ７のＨＤＤに予め設定された、オフィス１０内における不正行為の形跡を示す監視結果のパターンを示す検知条件データを読み出して、読み出した検知条件データと一致する監視結果のパターンが共通ログ上にあるか否かを判定する（Ｓ１６０）。

そして、検知条件データと一致する監視結果のパターンがない場合には（Ｓ１６０：Ｎｏ）、後述のＳ１８５へ直ちに移行する。
一方、検知条件データと一致する監視結果のパターンがある場合には（Ｓ１６０：Ｙｅｓ）、不正行為の形跡を検知した旨を当該ログエージェントサーバ７のＨＤＤに予め設定された検知ログに記録し（Ｓ１６５）、不正行為の形跡を検知した旨をクライアント用端末８に通知すると共に（Ｓ１７０）、監視結果のパターンに基づいて、不正行為を防止するための外部機器（例えば、電磁ロックなど）を作動させる必要があるか否かを判定する（Ｓ１７５）。

ここで、外部機器を作動させる必要があると判定した場合には（Ｓ１７５：Ｙｅｓ）、監視結果のパターンに応じた制御信号を該当する外部機器に送信して（Ｓ１８０）、外部装置を作動させる一方、外部装置を作動させる必要がないと判定した場合には（Ｓ１７５：Ｎｏ）、共通ログをセンターシステム２０へ送信して（Ｓ１８５）、本処理を終了する。

次に、図４は、上述のマッピングテーブル生成処理（Ｓ１２０）の流れを示すフローチャートである。
図４に示すように、本処理では、まず、当該ログエージェントサーバ７のＨＤＤに設定された、過去に取得した監視ログ上の監視結果が有する特徴を抽出したマッピング解析ロジックを読み出し（Ｓ２００）、予め設定された生成パターンに基づいて、マッピングテーブルが存在しない監視ログに対応したマッピングテーブルを生成する（Ｓ２０５）。尚、本実施形態では、生成パターンとして、マッピングテーブルが存在しない監視ログ上の監視結果が有する特徴と、過去に取得した監視ログ上の監視結果が有する特徴とを比較し、その比較結果に対応づけられた共通ログ上の配列先と、マッピングテーブルが存在しない監視ログのログ識別情報とを対応づけたマッピングテーブルを生成する。より具体的には、監視結果の配列パターンや、監視結果に含まれる文字列、単位時間当たりに記録される監視結果の数などを比較し、これらの特徴が最も近い過去の監視ログのログ識別情報に対応づけられた配列先をマッピングテーブルが存在しない監視ログのログ識別情報に対応づけることで新たなマッピングテーブルを生成する。

そして、新たに生成したマッピングテーブルを当該ログエージェントサーバ７のＨＤＤに設定すると共に（Ｓ２１０）、新たにマッピングテーブルを生成した監視ログ上の監視結果の特徴を抽出して、抽出した特徴をマッピング解析ロジックに登録し（Ｓ２１５）、その登録内容をセンターシステム２０へ送信して（Ｓ２２０）、本処理を終了する。

次に、図５は、上述の個人情報設定処理（Ｓ１４５）の流れを示すフローチャートである。
図５に示すように、本処理では、まず、取得した監視ログに含まれるユーザＩＤをセンターシステム２０へ送信し（Ｓ３００）、ユーザＤＢ２１にて各ユーザＩＤに対応づけられた個人情報をセンターシステム２０から取得する（Ｓ３０５）。

そして、取得した個人情報を共通ログ上に設定し（Ｓ３１０）、本処理を終了する。
次に、図６は、上述の未登録ユーザ認識処理（Ｓ１５５）の流れを示すフローチャートである。

図６に示すように、本処理では、まず、新規ユーザである旨を示す個人情報である新規ユーザ情報をセンターシステム２０に問い合わせ（Ｓ４００）、ユーザＤＢ２１にて新規ユーザに対応づけられた新規ユーザ情報をセンターシステム２０から取得する（Ｓ４０５）。

そして、取得した新規ユーザ情報を共通ログ上に設定し（Ｓ４１０）、本処理を終了する。
以上に述べたように、本実施形態の監視システム１では、マッピングテーブルに基づき、各監視ログ上の監視結果を共通ログ上の配列先に記録して、共通ログを生成するため、複数種類の監視ログ上の監視結果を容易に１つのログ上に統合することができる。

また、本実施形態の監視システム１では、取得した監視ログに対応するマッピングテーブルが存在しなくても、監視ログに対応したマッピングテーブルを新たに生成するため、マッピングテーブルが存在しない監視ログ上の監視結果を共通ログ上に統合することができる。

また、本実施形態の監視システム１では、マッピングテーブルが存在しない監視ログ上の監視結果が有する特徴と、過去に取得した監視ログ上の監視結果が有する特徴との比較結果に応じたマッピングテーブルを生成するため、過去に取得した監視ログが多くなればなるほど、適切なマッピングテーブルを生成する精度を高めることができ、ひいては、マッピングテーブルが存在しなくても、複数種類の監視ログ上の監視結果を容易、且つ、適切に共通ログ上に統合することができる。

また、本実施形態の監視システム１では、共通ログ上にユーザの個人情報を設定するため、各ユーザの個人情報と共通ログ上の監視結果を一度に参照でき、各ユーザの行動に通常とは不整合な行動があるか否かを解析することで、オフィス１０内にて不正行為が行われた形跡を発見できる。

また、本実施形態の監視システム１では、監視ログ自体にユーザの個人情報を含めずとも、共通ログ上に個人情報を設定できるため、監視ログが外部に漏洩しても、個人情報までもが外部に漏洩してしまうことを防止できる。

また、本実施形態の監視システム１では、ユーザ識別情報がユーザＤＢ２１上に未登録であっても、新規ユーザ情報を共通ログ上に設定するため、そのユーザの行動に通常の新規のユーザとして不整合な行動があるか否かを解析することで、オフィス１０内にて不正行為が行われた形跡を発見できる。

尚、本実施形態では、コンピュータ操作管理システム２、入退室管理システム３、位置情報管理システム４、ＣＣＴＶカメラ監視システム５、外部センサシステム６が本発明の監視装置に相当し、共通ログ生成処理のＳ１０５が本発明における監視ログ取得手段に相当し、共通ログ生成処理のＳ１１０，Ｓ１２５が本発明における共通ログ生成手段に相当する。

また、本実施形態では、共通ログ生成処理のＳ１１５が本発明におけるテーブル存在判定手段に相当し、マッピングテーブル生成処理のＳ２００，Ｓ２０５が本発明におけるマッピングテーブル生成手段に相当する。

また、本実施形態では、個人情報設定処理のＳ３００〜Ｓ３１０と、未登録ユーザ認識処理のＳ４００〜Ｓ４１０とが本発明における個人情報設定手段に相当し、共通ログ生成処理のＳ１５０が本発明におけるユーザ登録判定手段に相当する。

以上、本発明の実施の形態について説明したが、本発明は、上記実施形態に何ら限定されることはなく、本発明の技術的範囲に属する限り種々の形態をとり得ることはいうまでもない。

例えば、上記実施形態では、マッピングテーブルがログ識別情報に対応づけられて、監視ログの種類毎に個別に存在していたが、同一のマッピングテーブル上に監視ログの識別情報に対応づけられて共通ログ上の配列先が設定されていてもよい。

この場合、共通ログ生成処理のＳ１１５にて、取得した監視ログのログ識別情報の全てに対してマッピングテーブル上に共通ログ上の配列先が設定されているか否かを判定し（本発明における配列先存在判定手段に相当）、共通ログ上の配列先が設定されていない監視ログが存在する場合には、共通ログ生成処理のＳ１２０にて、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログのログ識別情報と、共通ログ上の配列先とを新たにマッピングテーブル上に対応づけて設定（本発明における配列先設定手段に相当）すればよい。

より具体的には、マッピングテーブル上に配列先が存在しない監視ログ上の監視結果が有する特徴と、取得した過去の監視ログ上の監視結果が有する特徴とを比較し、その比較結果に対応づけられた共通ログ上の配列先と、共通ログ上の配列先がマッピングテーブル上に存在しない監視ログのログ識別情報とを新たにマッピングテーブル上に対応づけて設定すればよい。

このような手法を用いることにより、過去に取得した監視ログが多くなればなるほど、配列先を適切に設定する精度を高めることができ、ひいては、マッピングテーブル上に配列先が予め設定されていなくても、複数種類の監視ログ上の監視結果を容易、且つ、適切に共通ログ上に統合することができる。

本発明を適用した監視システム１の構成ブロック図である。ログエージェントサーバ７の機能ブロック図である。ログエージェントサーバ７のＣＰＵが実行する共通ログ生成処理の流れを示すフローチャートである。ログエージェントサーバ７のＣＰＵが実行するマッピングテーブル生成処理の流れを示すフローチャートである。ログエージェントサーバ７のＣＰＵが実行する個人情報設定処理（Ｓ１４５）の流れを示すフローチャートである。ログエージェントサーバ７のＣＰＵが実行する未登録ユーザ認識処理の流れを示すフローチャートである。共通ログの概要を示す説明図である。

符号の説明

１…監視システム、２…コンピュータ操作管理システム、３…入退室管理システム、４…位置情報管理システム、５…ＣＣＴＶカメラ監視システム、６…外部センサシステム、７…ログエージェントサーバ、８…クライアント用端末、９…インターネット、１０…オフィス、２０…センターシステム、２１…ユーザＤＢ、７１…ログコンバータモジュール、７２…フィルタモジュール、７３…検知モジュール、７４…通知モジュール、７５…機器制御モジュール、７６…送信モジュール。

Claims

特定の領域を監視領域として、該監視領域に対する監視結果を記録する監視結果記録システムであって、
前記監視領域における互いに異なる監視対象を監視し、該監視対象の監視結果を記録した監視ログをそれぞれ生成する複数種類の監視装置と、
該監視装置の各々から前記監視ログを取得する監視ログ取得手段と、
前記監視ログの種類を識別するためのログ識別情報と、前記監視装置の各々が生成する前記監視ログ上の監視結果を統合して記録する共通ログ上の配列先とを対応づけたマッピングテーブルに基づき、前記監視ログ取得手段により取得された前記監視ログ上の監視結果を前記共通ログ上の配列先に記録して前記共通ログを生成する共通ログ生成手段と、
前記監視ログ取得手段により取得された前記監視ログの前記ログ識別情報に対応づけられた前記共通ログ上の配列先が前記マッピングテーブル上に存在するか否かを判定する配列先存在判定手段と、
該配列先存在判定手段により前記共通ログ上の配列先が前記マッピングテーブル上に存在しないと判定された場合に、前記監視ログ取得手段により取得された、前記共通ログ上の配列先が前記マッピングテーブル上に存在しない前記監視ログ上の監視結果が有する特徴と、前記監視ログ取得手段により取得された過去の前記監視ログ上の監視結果が有する特徴とを比較し、前記監視ログ上の監視結果が有する特徴が、前記共通ログ上の配列先が前記マッピングテーブル上に存在しない前記監視ログ上の監視結果が有する特徴に最も近い過去の前記監視ログの識別情報に対応づけられた前記共通ログ上の配列先と、前記共通ログ上の配列先が前記マッピングテーブル上に存在しない前記監視ログの前記ログ識別情報とを前記マッピングテーブル上に対応づけて設定する配列先設定手段と
を備えることを特徴とする監視結果記録システム。
特定の領域を監視領域として、該監視領域に対する監視結果を記録する監視結果記録システムであって、
前記監視領域における互いに異なる監視対象を監視し、該監視対象の監視結果を記録した監視ログをそれぞれ生成する複数種類の監視装置と、
該監視装置の各々から前記監視ログを取得する監視ログ取得手段と、
前記監視ログの種類を識別するためのログ識別情報と、前記監視装置の各々が生成する前記監視ログ上の監視結果を統合して記録する共通ログ上の配列先とを対応づけたマッピングテーブルに基づき、前記監視ログ取得手段により取得された前記監視ログ上の監視結果を前記共通ログ上の配列先に記録して前記共通ログを生成する共通ログ生成手段と
を備え、
前記マッピングテーブルは、
前記ログ識別情報に対応づけられて、前記監視ログの種類毎に個別に存在し、
当該監視結果記録システムは、
前記監視ログ取得手段により取得された前記監視ログの前記ログ識別情報に対応づけられた前記マッピングテーブルが存在するか否かを判定するテーブル存在判定手段と、
該テーブル存在判定手段により前記マッピングテーブルが存在しないと判定された場合に、前記監視ログ取得手段により取得された、前記マッピングテーブルが存在しない前記監視ログ上の監視結果が有する特徴と、前記監視ログ取得手段により取得された過去の前記監視ログ上の監視結果が有する特徴とを比較し、前記監視ログ上の監視結果が有する特徴が、前記マッピングテーブルが存在しない前記監視ログ上の監視結果が有する特徴に最も近い過去の前記監視ログの識別情報に対応づけられた前記共通ログ上の配列先と、前記マッピングテーブルが存在しない前記監視ログの前記ログ識別情報とを対応づけた前記マッピングテーブルを生成するマッピングテーブル生成手段と
を備えることを特徴とする監視結果記録システム。
複数種類の前記監視ログの少なくとも一部には、
前記監視対象にアクセスしたユーザを識別するためのユーザ識別情報が含まれ、
当該監視結果記録システムは、
前記ユーザの個人情報と、前記ユーザ識別情報とを対応づけたユーザデータベースに基づき、前記監視ログ取得手段により取得された前記監視ログに含まれる前記ユーザ識別情報に対応する前記個人情報を前記共通ログ上に設定する個人情報設定手段
を備えることを特徴とする請求項１または請求項２に記載の監視結果記録システム。
同一の前記ユーザに対する前記ユーザ識別情報が、前記監視ログの種類毎に異なり、
前記ユーザデータベースには、
同一の前記個人情報に対して前記監視ログの種類毎に異なる前記ユーザ識別情報が対応づけられている
ことを特徴とする請求項３記載の監視結果記録システム。
前記監視ログに含まれる前記ユーザ識別情報が前記ユーザデータベース上に予め登録されたものであるか否かを判定するユーザ登録判定手段
を備え、
前記個人情報設定手段は、
前記ユーザ登録判定手段により前記ユーザ識別情報が前記ユーザデータベース上に未登録であると判定された場合に、新規のユーザである旨を前記個人情報として前記共通ログ上に設定する
ことを特徴とする請求項３または請求項４記載の監視結果記録システム。
特定の領域を監視領域として、該監視領域における互いに異なる監視対象を監視し、該監視対象の監視結果を記録した監視ログをそれぞれ生成する複数種類の監視装置の各々から前記監視ログを取得する監視ログ取得手段と、
前記監視ログの種類を識別するためのログ識別情報と、前記監視装置の各々が生成する前記監視ログ上の監視結果を統合して記録する共通ログ上の配列先とを対応づけたマッピングテーブルに基づき、前記監視ログ取得手段により取得された前記監視ログ上の監視結果を前記共通ログ上の配列先に記録して前記共通ログを生成する共通ログ生成手段と、
前記監視ログ取得手段により取得された前記監視ログの前記ログ識別情報に対応づけられた前記共通ログ上の配列先が前記マッピングテーブル上に存在するか否かを判定する配列先存在判定手段と、
該配列先存在判定手段により前記共通ログ上の配列先が前記マッピングテーブル上に存在しないと判定された場合に、前記監視ログ取得手段により取得された、前記共通ログ上の配列先が前記マッピングテーブル上に存在しない前記監視ログ上の監視結果が有する特徴と、前記監視ログ取得手段により取得された過去の前記監視ログ上の監視結果が有する特徴とを比較し、前記監視ログ上の監視結果が有する特徴が、前記共通ログ上の配列先が前記マッピングテーブル上に存在しない前記監視ログ上の監視結果が有する特徴に最も近い過去の前記監視ログの識別情報に対応づけられた前記共通ログ上の配列先と、前記共通ログ上の配列先が前記マッピングテーブル上に存在しない前記監視ログの前記ログ識別情報とを前記マッピングテーブル上に対応づけて設定する配列先設定手段と
を備えることを特徴とする共通ログ生成装置。
特定の領域を監視領域として、該監視領域における互いに異なる監視対象を監視し、該監視対象の監視結果を記録した監視ログをそれぞれ生成する複数種類の監視装置の各々から前記監視ログを取得する監視ログ取得手段と、
前記監視ログの種類を識別するためのログ識別情報と、前記監視装置の各々が生成する前記監視ログ上の監視結果を統合して記録する共通ログ上の配列先とを対応づけたマッピングテーブルに基づき、前記監視ログ取得手段により取得された前記監視ログ上の監視結果を前記共通ログ上の配列先に記録して前記共通ログを生成する共通ログ生成手段と
を備え、
前記マッピングテーブルは、
前記ログ識別情報に対応づけられて、前記監視ログの種類毎に個別に存在し、
当該共通ログ生成装置は、
前記監視ログ取得手段により取得された前記監視ログの前記ログ識別情報に対応づけられた前記マッピングテーブルが存在するか否かを判定するテーブル存在判定手段と、
該テーブル存在判定手段により前記マッピングテーブルが存在しないと判定された場合に、前記監視ログ取得手段により取得された、前記マッピングテーブルが存在しない前記監視ログ上の監視結果が有する特徴と、前記監視ログ取得手段により取得された過去の前記監視ログ上の監視結果が有する特徴とを比較し、前記監視ログ上の監視結果が有する特徴が、前記マッピングテーブルが存在しない前記監視ログ上の監視結果が有する特徴に最も近い過去の前記監視ログの識別情報に対応づけられた前記共通ログ上の配列先と、前記マッピングテーブルが存在しない前記監視ログの前記ログ識別情報とを対応づけた前記マッピングテーブルを生成するマッピングテーブル生成手段と
を備えることを特徴とする共通ログ生成装置。
複数種類の前記監視ログの少なくとも一部には、
前記監視対象にアクセスしたユーザを識別するためのユーザ識別情報が含まれ、
さらに、
前記ユーザの個人情報と、前記ユーザ識別情報とを対応づけたユーザデータベースに基づき、前記監視ログ取得手段により取得された前記監視ログに含まれる前記ユーザ識別情報に対応する前記個人情報を前記共通ログ上に設定する個人情報設定手段
を備えることを特徴とする請求項６または請求項７記載の共通ログ生成装置。
同一の前記ユーザに対する前記ユーザ識別情報が、前記監視ログの種類毎に異なり、
前記ユーザデータベースには、
同一の前記個人情報に対して前記監視ログの種類毎に異なる前記ユーザ識別情報が対応づけられている
ことを特徴とする請求項８記載の共通ログ生成装置。
前記監視ログに含まれる前記ユーザ識別情報が前記ユーザデータベース上に予め登録されたものであるか否かを判定するユーザ登録判定手段
を備え、
前記個人情報設定手段は、
前記ユーザ登録判定手段により前記ユーザ識別情報が前記ユーザデータベース上に未登録であると判定された場合に、新規のユーザである旨を前記個人情報として前記共通ログ上に設定する
ことを特徴とする請求項８または請求項９記載の共通ログ生成装置。
コンピュータを請求項６乃至請求項１０いずれか記載の共通ログ生成装置における各手段として機能させるためのプログラム。