JP7173165B2 - 履歴管理装置、履歴管理方法及びプログラム - Google Patents

Description

本発明は履歴を管理する技術に関する。

履歴を表すデータを管理するための技術が開発されている。例えば特許文献１は、複数のコンピュータから得たログを一つにまとめる技術を開示している。具体的には、各コンピュータから得たログを共通形式の中間ログに変換し、中間ログの内容を要約することで、統合ログが生成される。

特開２００６－２５９８１１号公報

記録されているログの中から、所望の条件を満たすログを検索したいことがある。この際、記録されているログの量が多いと、ログの検索に要する時間が長くなる。特許文献１は、統合ログから所望のログを検索することについては言及していない。

本発明は、上述の課題に鑑みてなされたものであり、その目的の一つは、イベントの履歴を効率的に管理する技術を提供することである。

本発明の履歴管理装置は、１）プログラムの活動に関連するイベントの履歴であるイベント履歴を取得し、取得したイベント履歴の内容に基づき、複数の記憶領域の中から、イベント履歴を記憶させる記憶領域を決定する格納先決定部と、２）決定した記憶領域に取得したイベント履歴を格納する格納処理部と、３）取得したイベント履歴が決定された記憶領域に記憶されていることを表すように、決定された記憶領域に対応づけられているインデックス情報を更新するインデックス更新部と、を有する。

格納先決定部は、イベント履歴の内容に関する条件と、その条件に該当するイベント履歴を記憶させる１つ以上の前記記憶領域とを対応づけたグループ情報を取得し、グループ情報に示されている記憶領域のうち、取得したイベント履歴が合致する条件に対応づけられている記憶領域を、取得したイベント履歴を記憶させる記憶領域として決定する。グループ情報が示す条件は、イベントの主体又は客体に関するユーザグループを示す。格納先決定部は、グループ情報において取得したイベント履歴が示すイベントの主体又は客体に関するユーザグループに対応づけられている記憶領域を、取得したイベント履歴を記憶させる記憶領域に決定する。

本発明の履歴管理方法はコンピュータによって実行される。当該履歴管理方法は、１）プログラムの活動に関連するイベントの履歴であるイベント履歴を取得し、取得したイベント履歴の内容に基づき、複数の記憶領域の中から、イベント履歴を記憶させる記憶領域を決定する格納先決定ステップと、２）決定した記憶領域に取得したイベント履歴を格納する格納処理ステップと、３）取得したイベント履歴が決定された記憶領域に記憶されていることを表すように、決定された記憶領域に対応づけられているインデックス情報を更新するインデックス更新ステップと、を有する。

格納先決定ステップにおいて、イベント履歴の内容に関する条件と、その条件に該当するイベント履歴を記憶させる１つ以上の記憶領域とを対応づけたグループ情報を取得し、グループ情報に示されている記憶領域のうち、取得したイベント履歴が合致する条件に対応づけられている記憶領域を、取得したイベント履歴を記憶させる記憶領域として決定する。グループ情報が示す条件は、イベントの主体又は客体に関するユーザグループを示している。格納先決定ステップにおいて、グループ情報において取得したイベント履歴が示すイベントの主体又は客体に関するユーザグループに対応づけられている記憶領域を、取得したイベント履歴を記憶させる記憶領域に決定する。

本発明のプログラムは、本発明の制御方法が有する各ステップをコンピュータに実行させる。

本発明によれば、イベントの履歴を効率的に管理する技術が提供される。

上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
本実施形態の情報処理システムの動作の概要を例示する図である。 実施形態１の情報処理システムの構成を例示する図である。 履歴管理装置を実現するための計算機を例示する図である。 検索処理装置を実現するための計算機を例示する図である。 実施形態１の履歴管理装置によって実行される処理の流れを例示するフローチャートである。 実施形態１の検索処理装置によって実行される処理の流れを例示するフローチャートである。 イベント履歴をテーブル形式で例示する図である。 イベント履歴の内容が複数のテーブルに分散して格納されるケースを例示する図である。 イベントの発生時刻を条件として示すグループ情報を例示する図である。 ユーザグループを条件として示すグループ情報を例示する図である。 OS の種類を条件として示すグループ情報を例示する図である。 複数の条件の組み合わせに対して記憶領域３０が対応づけられるケースを例示する図である。 ブルームフィルタで実現されるインデックス情報を例示する図である。 記憶領域ごとに複数のインデックス情報が用意されるケースを例示する図である。 インデックス項目がイベント履歴に含まれる複数の項目の組みに対応するケースを例示する図である。 ブルームフィルタで構成されるインデックス情報を利用した検索を例示する図である。 複数のインデックス項目が存在するケースにおける検索について例示する図である。

以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また、特に説明する場合を除き、各ブロック図において、各ブロックは、ハードウエア単位の構成ではなく、機能単位の構成を表している。

［実施形態１］
＜概要＞
図１は、本実施形態の情報処理システム４０００の動作の概要を例示する図である。図１は、情報処理システム４０００の動作についての理解を容易にするための概念的な説明を表す図であり、情報処理システム４０００の動作を具体的に限定するものではない。

情報処理システム４０００は、履歴管理装置２０００及び検索処理装置３０００を有する。履歴管理装置２０００は、対象のコンピュータシステム（以下、対象システム）において発生したイベントに関する情報であるイベント履歴１０を記憶領域３０に格納する。対象システムは、１つ以上の任意のマシンで構成される。マシンは、物理マシンであってもよいし、仮想マシンであってもよい。イベントは、例えば、対象システムに含まれるマシンで動作するプロセスが行った活動（ファイルや他のプロセスへのアクセスなど）を表す。検索処理装置３０００は、履歴管理装置２０００によって記憶領域３０に格納されたイベント履歴の検索要求（検索クエリ）を処理する装置である。

ここで、情報処理システム４０００には、複数の記憶領域３０が設けられている。イベント履歴１０は、複数の記憶領域３０の一部（１つ以上の記憶領域３０であって、全ての記憶領域３０ではない）に記憶される。記憶領域３０は、例えば、１つの記憶装置である。ただし、１つの記憶装置の中に複数の記憶領域３０（例えばパーティション）が設けられていてもよい。また、記憶領域３０は、複数の記憶装置の集合を仮想的に１つの記憶装置とみなすことで構成された記憶領域であってもよい。

履歴管理装置２０００は、新たなイベント履歴１０を記憶領域に記憶させる際、そのイベント履歴１０の内容に基づいて、そのイベントを記憶させる記憶領域３０を決定し、決定した記憶領域３０にそのイベント履歴を記憶させる。さらに、履歴管理装置２０００は、検索処理装置３０００が検索を行う際に、検索対象とする記憶領域３０を一部に絞り込むことができるように、インデックス情報４０の更新を行う。

インデックス情報４０は記憶領域３０に対応づけられる。記憶領域３０に対応するインデックス情報４０は、イベント履歴１０がその記憶領域３０に記憶されているか否かを表す。履歴管理装置２０００は、イベント履歴１０を或る記憶領域３０に記憶させたら、その記憶領域３０に対応するインデックス情報４０を、そのイベント履歴１０がその記憶領域３０に記憶されていることを表すように更新する。

ここで、少なくとも、インデックス情報４０により、「対応する記憶領域３０にイベント履歴１０が記憶されていない」ということが表されている場合、そのイベント履歴１０は、その記憶領域３０に記憶されていない。すなわち、フォールスネガティブは許容しない。こうすることで、「検索条件に該当するイベント履歴１０が実際には存在するにもかかわらず、検索結果としてそのイベント履歴１０を取得できない」という事態が発生しないようにする。一方で、インデックス情報４０により、「対応する記憶領域３０にイベント履歴１０が記憶されている」ということが表されている場合、そのイベント履歴１０は、実際にその記憶領域３０に記憶されていてもよいし、記憶されていなくてもよい。すなわち、フォールスポジティブは許容してもよい。

検索処理装置３０００は、インデックス情報４０を利用して検索クエリ５０を処理する。検索クエリ５０は、検索により記憶領域３０から取得したいイベント履歴１０に関する条件（以下、検索条件）を示す。例えば、「イベントの実行主体がアプリケーション X である」という検索条件を示す検索クエリ５０で検索が行われた場合、検索処理装置３０００は、アプリケーション X によって実行された各イベントのイベント履歴１０を取得する。

ここで、検索処理装置３０００は、インデックス情報４０を用いて、検索クエリ５０が示す検索条件を満たすイベント履歴１０が記憶されている記憶領域３０の絞り込みを行う。具体的には、検索処理装置３０００は、各インデックス情報４０と、検索クエリ５０が示す検索条件とを比較することで、検索条件を満たすイベント履歴１０が記憶されている可能性がある記憶領域３０を特定する。そして、検索処理装置３０００は、特定された記憶領域３０を対象に、検索条件を満たすイベント履歴１０の検索を行う。そして検索処理装置３０００は、検索条件を満たすイベント履歴１０が記憶領域３０の中に記憶されていたら、そのイベント履歴１０を取得する。

なお、図１では履歴管理装置２０００と検索処理装置３０００とが別々に実装されているが、これら２つの装置は、同一の計算機上に実装されてもよい。

＜作用効果＞
履歴管理装置２０００によれば、イベント履歴１０を記憶領域３０に記憶する際、そのイベント履歴１０の内容に基づいて格納先の記憶領域３０が決定された上で、格納先の記憶領域３０に対応するインデックス情報４０が更新される。こうすることで、検索処理装置３０００がイベント履歴１０の検索を行う際、インデックス情報４０を参照することで、イベント履歴１０が記憶されている可能性がある記憶領域３０を絞り込むことができる。よって、イベント履歴１０の検索に要する時間を削減することができる。

以下、本実施形態の情報処理システム４０００についてさらに詳細に説明する。

＜情報処理システム４０００の機能構成の例＞
図２は、実施形態１の情報処理システム４０００の構成を例示する図である。情報処理システム４０００は、履歴管理装置２０００及び検索処理装置３０００を有する。履歴管理装置２０００は、格納先決定部２０２０、格納処理部２０４０、及びインデックス更新部２０６０を有する。格納先決定部２０２０は、イベント履歴１０を取得し、そのイベント履歴１０の内容に基づいて、そのイベント履歴１０を記憶させる記憶領域３０を決定する。格納処理部２０４０は、決定した記憶領域３０にイベント履歴１０を格納する。インデックス更新部２０６０は、上記決定した記憶領域３０に対応するインデックス情報が、上記取得したイベント履歴１０がその記憶領域３０に記憶されていることを表すように、そのインデックス情報４０を更新する。

検索処理装置３０００は、クエリ取得部３０２０、記憶領域特定部３０４０、及び検索処理部３０６０を有する。クエリ取得部３０２０は検索クエリ５０を取得する。記憶領域特定部３０４０は、検索クエリ５０が示す検索条件と、各記憶領域３０に対応するインデックス情報４０とを比較することで、検索クエリ５０が示す検索条件に該当するイベント履歴１０が記憶されている可能性がある記憶領域３０を特定する。検索処理部３０６０は、特定された記憶領域３０を対象としてイベント履歴１０の検索を行う。

＜履歴管理装置２０００のハードウエア構成＞
履歴管理装置２０００の各機能構成部は、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。以下、履歴管理装置２０００の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。

図３は、履歴管理装置２０００を実現するための計算機１０００を例示する図である。計算機１０００は任意の計算機である。例えば計算機１０００は、Personal Computer（PC）、サーバマシン、タブレット端末、又はスマートフォンなどである。計算機１０００は、履歴管理装置２０００を実現するために設計された専用の計算機であってもよいし、汎用の計算機であってもよい。

計算機１０００は、バス１０２０、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０を有する。バス１０２０は、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ１０４０などを互いに接続する方法は、バス接続に限定されない。プロセッサ１０４０は、CPU（Central Processing Unit）、GPU（Graphics Processing Unit）、又は FPGA（Field-Programmable Gate Array）などのプロセッサである。メモリ１０６０は、RAM（Random Access Memory）などを用いて実現される主記憶装置である。ストレージデバイス１０８０は、ハードディスクドライブ、SSD（Solid State Drive）、メモリカード、又は ROM（Read Only Memory）などを用いて実現される補助記憶装置である。ただし、ストレージデバイス１０８０は、RAM など、主記憶装置を構成するハードウエアと同様のハードウエアで構成されてもよい。

入出力インタフェース１１００は、計算機１０００と入出力デバイスとを接続するためのインタフェースである。ネットワークインタフェース１１２０は、計算機１０００を通信網に接続するためのインタフェースである。この通信網は、例えば LAN（Local Area Network）や WAN（Wide Area Network）である。ネットワークインタフェース１１２０が通信網に接続する方法は、無線接続であってもよいし、有線接続であってもよい。

ストレージデバイス１０８０は、履歴管理装置２０００の機能構成部を実現するプログラムモジュールを記憶している。プロセッサ１０４０は、これら各プログラムモジュールをメモリ１０６０に読み出して実行することで、各プログラムモジュールに対応する機能を実現する。

＜検索処理装置３０００のハードウエア構成＞
検索処理装置３０００の各機能構成部は、履歴管理装置２０００の各機能構成部と同様に、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。

図４は、検索処理装置３０００を実現するための計算機５０００を例示する図である。計算機５０００は、計算機１０００と同様に、任意の計算機である。計算機５０００は、バス５０２０、プロセッサ５０４０、メモリ５０６０、ストレージデバイス５０８０、入出力インタフェース５１００、及びネットワークインタフェース５１２０を有する。バス５０２０、プロセッサ５０４０、メモリ５０６０、ストレージデバイス５０８０、入出力インタフェース５１００、及びネットワークインタフェース５１２０はそれぞれ、バス１０２０、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０と同様である。

＜記憶領域３０について＞
記憶領域３０は、種々の記憶装置によって実現される。ここで、複数の記憶領域３０が１つの記憶装置で実現されてもよい。また、１つの記憶領域３０が複数の記憶装置で実現されてもよい。

例えば、各記憶領域３０を実現する記憶装置の集合により、SAN（Storage Area Network）が構成される。計算機１０００は、ネットワークインタフェース１１２０を介して、記憶領域３０によって構成される SAN に接続される。同様に、計算機５０００は、ネットワークインタフェース５１２０を介して、記憶領域３０によって構成される SAN に接続される。こうすることで、ネットワークを介し、履歴管理装置２０００及び検索処理装置３０００の双方から各記憶領域３０にアクセスすることができる。ただし、各記憶領域３０は履歴管理装置２０００及び検索処理装置３０００の双方からアクセス可能に構成されていればよく、必ずしも上述した SAN を構成する必要はない。

＜処理の流れ＞
図５は、実施形態１の履歴管理装置２０００によって実行される処理の流れを例示するフローチャートである。格納先決定部２０２０は、イベント履歴１０を取得する（Ｓ１０２）。格納先決定部２０２０は、取得したイベント履歴１０の内容に基づいて、そのイベント履歴１０を記憶させる記憶領域３０を決定する（Ｓ１０４）。格納処理部２０４０は、上記決定した記憶領域３０にイベント履歴１０を格納する（Ｓ１０６）。インデックス更新部２０６０は、上記決定した記憶領域３０に対応するインデックス情報４０を更新する（Ｓ１０８）。

図６は、実施形態１の検索処理装置３０００によって実行される処理の流れを例示するフローチャートである。クエリ取得部３０２０は検索クエリ５０を取得する（Ｓ２０２）。記憶領域特定部３０４０は、検索クエリ５０が示す検索条件と、各インデックス情報４０とを比較することで、検索条件に該当するイベント履歴１０が記憶されている可能性がある記憶領域を特定する（Ｓ２０４）。検索処理部３０６０は、特定された記憶領域３０を対象としてイベント履歴１０の検索を行う（Ｓ２０６）。

＜イベント履歴１０について＞
イベント履歴１０は、過去の或る時点において対象システム上で（対象システムに含まれるマシン上で）発生したイベントに関する情報である。イベント履歴１０は、イベントの発生時刻とイベントの内容とを対応づけて示す。

例えばイベント履歴１０は、対象システム上で動作するプロセスの活動の履歴を表す。例えばプロセスの活動は、システムコール単位で記録される。或るプロセスが他のプロセスを客体として活動する場合、これらのプロセスは互いに同一の OS（Operating System）上で動作するものであってもよいし、互いに異なる OS 上で動作するものであってもよい。後者の例としては、例えば、ソケットインタフェースを利用することで、或るプロセスが他の OS 上で動作する別のプロセスと通信を行うことが考えられる。

イベント履歴１０は、１つ以上の項目に関する情報を示す。ここで、例えばイベントは、主体、客体、活動内容、及び発生時刻という４つの要素を表す情報によって識別される。そこで例えば、イベント履歴１０は、大別して、主体を表す主体情報、客体を表す客体情報、活動の内容を表す内容情報、及び発生時刻という４つの項目で構成される。

主体情報は、例えば、その主体の種別及び識別情報である。主体の種別は、例えば、プロセス又はソケットなどである。主体がプロセスである場合、主体情報には、そのプロセスを識別する情報が含まれる。以下、プロセスを識別する情報をプロセス識別情報と呼ぶ。具体的には、プロセス識別情報は、プロセスＩＤ（Identifier）を含む。ただし、複数のスレッドが動作するプロセスについてのプロセス識別情報は、プロセスＩＤに加え、スレッドＩＤをさらに含む。

また、プロセス識別情報は、プロセスの実行ファイルに関する情報をさらに含んでもよい。プロセスの実行ファイルに関する情報とは、例えば、実行ファイルの名称やパス、実行ファイルのハッシュ値、実行ファイルのデジタル署名、又は実行ファイルで実現されるアプリケーションの名称などである。

主体がソケットである場合、例えば主体情報には、ソケットに割り当てられた識別子が含まれる。

客体情報は、例えば、その客体の種別及び識別情報である。客体の種別は、例えば、プロセス、ファイル、又はソケットなどである。客体がプロセスである場合、客体情報にはそのプロセスのプロセス識別情報が含まれる。

客体がファイルである場合、客体情報には、そのファイルを識別する情報（以下、ファイル識別情報）が含まれる。ファイル識別情報は、例えばファイルの名称やパスなどである。また、客体がファイルである場合、客体情報には、そのファイルのハッシュ値や、ファイルシステムの識別子とファイルシステム上でのファイルを構成するディスクブロックの識別子（inode 番号やオブジェクトID）の組み合わせなどが含まれていてもよい。

客体がソケットである場合、例えば客体情報には、ソケットに割り当てられた識別子が含まれる。

内容情報は、例えば、種々ある活動内容に予め割り当てておく識別子である。例えば、「プロセスを起動する」、「プロセスを停止する」、「ファイルをオープンする」、「ファイルからデータを読み込む」、「ファイルにデータを書き込む」、「ソケットをオープンする」、「ソケットからデータを読み込む」、「ソケットにデータを書き込む」、及び「ソケットから別のソケットへデータを送信する」などといった活動の内容に、互いに異なる識別子を割り当てておく。なお、ソケットに対するアクセスは、そのソケットに対応づけられた他の装置へのアクセスを意味する。

システムコール単位でイベントが記録される場合、内容情報は、システムコールの識別情報を示してもよい。システムコールの識別情報は、例えば、システムコール名やシステムコール番号である。また、内容情報には、システムコールに与えた引数の内容（引数自体の値や、引数として与えたポインタが指し示すメモリ領域に格納されているデータ）など、システムコールがどのような条件下で実行されたかを表す情報がさらに示されてもよい。

図７は、イベント履歴１０をテーブル形式で例示する図である。以下、図７のテーブルをイベントテーブル２００と呼ぶ。イベントテーブル２００の各レコードは、１つのイベント履歴１０を表す。イベントテーブル２００は、大別して、主体情報２０２、客体情報２０４、内容情報２０６、及び発生時刻２０７という４つの項目を含む。主体情報２０２は、プロセスＩＤ２０８、スレッドＩＤ２０９、及びパス２１０という３つの項目を含む。客体情報２０４は、種別２１２及び識別情報２１４という２つの項目を含む。発生時刻２０７は、イベントが発生した時刻を示す。

ここで、イベント履歴１０は、対象システム上におけるプロセスの活動を記録することで生成される。プロセスの活動を記録する技術には、既存の技術を利用することができる。

ここで、図７の例では、イベント履歴１０が１つのテーブルで表されている。しかし、イベント履歴１０の内容は、複数のテーブルに分散して格納されてもよい。図８は、イベント履歴１０の内容が複数のテーブルに分散して格納されるケースを例示する図である。ここでは説明を簡単にするため、客体の種類を、プロセスとファイルの２つにしている。

まず、イベント履歴１０を表すイベントテーブルが、客体の種類ごとに設けられている。すなわち、客体がプロセスであるイベント履歴１０を表すイベントテーブルと、客体がファイルであるイベント履歴１０を表すイベントテーブルの２つが用意されている。さらに、プロセスに関する情報をまとめたテーブル（以下、プロセステーブル）と、ファイルに関する情報をまとめたテーブル（以下、ファイルテーブル）がそれぞれ用意されている。イベントテーブルは、プロセステーブルとファイルテーブルを参照する。

新しいイベント履歴１０をイベントテーブルに格納する際、そのイベント履歴１０が示すプロセスに関する情報が既にプロセステーブルに格納されている場合、そのプロセスに関する情報を示すプロセステーブルのレコードを、イベントテーブルから参照するように設定する。一方、イベント履歴１０が示すプロセスに関する情報がプロセステーブルに格納されていない場合、そのプロセスに関するレコードをプロセステーブルに追加した上で、そのレコードをイベントテーブルから参照するように設定する。ファイルについても同様にする。

＜イベント履歴１０の取得：Ｓ１０２＞
格納先決定部２０２０は、処理対象とするイベント履歴１０を取得する（Ｓ１０２）。格納先決定部２０２０がイベント履歴１０を取得する方法は様々である。例えば格納先決定部２０２０は、イベント履歴１０を生成した装置によって送信されたイベント履歴１０を受信することで、イベント履歴１０を取得する。その他にも例えば、格納先決定部２０２０は、イベント履歴１０が記憶されている記憶装置にアクセスすることで、イベント履歴１０を取得する。例えばこの記憶装置は、生成されたイベント履歴１０を、記憶領域３０に記憶させる前に一時的に保存しておくために利用される。そして、履歴管理装置２０００がこの記憶装置から取得したイベント履歴１０を記憶領域３０に格納することにより、効率的に検索できる態様で、イベント履歴１０が管理されるようになる。

＜記憶領域３０の決定：Ｓ１０４＞
格納先決定部２０２０は、取得したイベント履歴１０の内容に基づいて、そのイベント履歴１０を記憶させる記憶領域３０を決定する（Ｓ１０４）。複数の記憶領域３０は、イベント履歴１０の内容に関する条件でグループ分けされる。各グループに含まれる記憶領域３０は、１つであってもよいし、複数であってもよい。また、１つの記憶領域３０は、１つのグループのみに含まれてもよいし、複数のグループに含まれてもよい。

このようにイベント履歴１０の内容に基づいてイベント履歴１０の先を決めることにより、同様の内容のイベント履歴１０が同じ記憶領域３０に記憶されるようになる。そのため、イベント履歴１０の検索の際に、その検索範囲を効率的に絞り込めるようになる。

記憶領域３０のグループを表す情報は、履歴管理装置２０００及び検索処理装置３０００の双方からアクセス可能な記憶装置に記憶させておく。この情報を、グループ情報と呼ぶ。グループ情報は、イベント履歴１０の内容に関する条件と、その条件に該当するイベント履歴１０を記憶させる記憶領域３０とを対応づけた情報である。

格納先決定部２０２０は、グループ情報に示される条件の中から、取得したイベント履歴１０が合致する条件を特定する。そして、格納先決定部２０２０は、特定した条件に対応づけられている記憶領域３０を、そのイベント履歴１０を記憶させる記憶領域として決定する。

ここで、記憶領域３０のグループ分けに利用する条件には、様々なものを採用できる。以下、この条件についていくつか例示する。

＜＜イベントの発生時刻＞＞
例えば複数の記憶領域３０は、その中に記憶されるイベント履歴１０が示すイベントの発生時刻を条件としてグループ分けされる。この場合、グループ情報は、条件として、時間の範囲（期間）を示す。すなわち、グループ情報は、期間と記憶領域３０との対応付けを示す。或る期間に対応づけられている記憶領域３０には、その期間に含まれる発生時刻を示すイベント履歴１０が格納される。

図９は、イベントの発生時刻を条件として示すグループ情報を例示する図である。図９に示すテーブルをテーブル３００と呼ぶ。テーブル３００は、レコードＩＤ３０２、条件３０４、及び記憶領域ＩＤ３０６を互いに対応づけている。例えば１行目のレコードは、期間 P1 に対して S1, S2, 及び S3 という記憶領域３０が対応づけられていることを示している。

格納先決定部２０２０は、グループ情報に示される複数の期間の中から、取得したイベント履歴１０によって示される発生時刻が含まれる期間を特定する。そして、格納先決定部２０２０は、特定した期間に対応づけられている記憶領域３０を、イベント履歴１０を記憶させる記憶領域として決定する。

イベントの発生には時間的な偏りがあることが多い。例えば、攻撃手法のトレンドは時間的に変遷することが多いため、攻撃に関するイベントは期間ごとに異なった特徴を持つことが多い。また、攻撃活動には時間的な波があることが多いため、攻撃に関するイベントの発生は特定の期間に集中することが多い。

このようにイベントの発生が時間的に偏りやすいことから、期間ごとにイベント履歴１０を格納する記憶領域３０を分けることで、イベント履歴１０の検索範囲を効率的に絞り込めるようになる。

＜＜ユーザグループ＞＞
例えば記憶領域３０は、その中に記憶されるイベント履歴１０が示す主体又は客体に関連するユーザグループを条件としてグループ分けされる。この場合、グループ情報は、条件として、ユーザグループを示す。すなわち、グループ情報は、ユーザグループと記憶領域３０との対応付けを示す。或るユーザグループに対応づけられている記憶領域３０には、そのユーザグループを主体又は客体に関するユーザグループとして示すイベント履歴１０が格納される。

図１０は、ユーザグループを条件として示すグループ情報を例示する図である。図１０に示すテーブルをテーブル４００と呼ぶ。テーブル４００は、レコードＩＤ４０２、条件４０４、及び記憶領域ＩＤ４０６を互いに対応づけている。例えば１行目のレコードは、ユーザグループ U1 に対して S1, S2, 及び S3 という記憶領域３０が対応づけられていることを示している。

格納先決定部２０２０は、グループ情報に示される複数のユーザグループの中から、取得したイベント履歴１０が示す主体又は客体に関するユーザグループに合致するものを特定する。そして、格納先決定部２０２０は、グループ情報において特定したユーザグループに対応づけられている記憶領域３０を、イベント履歴１０を記憶させる記憶領域として決定する。

このようにユーザグループを条件として利用する場合、イベント履歴１０の主体情報や客体情報にユーザグループに関する情報を含めるようにする。なお、主体に関するユーザグループと客体に関するユーザグループのどちらを条件として利用するかは、予め設定しておく。

ここで、主体に関するユーザグループとは、例えば、イベント履歴１０が示すイベントの主体のプロセスを実行しているユーザが属しているユーザグループである。

また、客体に関するユーザグループには、例えば以下に示すものが挙げられる。イベント履歴１０が示すイベントの客体がプロセスである場合、客体に関するユーザグループとは、例えば、そのプロセスを実行しているユーザが属しているユーザグループである。イベント履歴１０が示すイベントの客体がファイルである場合、客体に関するユーザグループとは、例えば、そのファイルの所有者が属しているユーザグループである。イベント履歴１０が示すイベントの客体がマシンである場合、客体に関するユーザグループとは、例えば、そのマシンの所有者が属しているユーザグループである。

イベントの発生は、組織の部門などといったユーザのグループについて偏りがあることが多い。例えば攻撃の対象は、或る特定のユーザグループに集中することが多い。例えば、ユーザグループで共通するアカウント、ユーザグループ内のファイルサーバや Web サーバなどが集中して攻撃の対象となることがある。また、コンピュータシステムの運用ポリシーがユーザグループごとに異なる場合、或るユーザグループの運用ポリシーに問題があると、そのユーザグループに攻撃が集中することがある。また、ユーザグループがセキュリティの境界（ファイヤウォールなど）となっていると、或るユーザグループ内で発生した攻撃がそのユーザグループ内に閉じ込められる（例えば、マルウェア感染がそのユーザグループ内のみで発生する）ため、そのユーザグループに攻撃が集中することになる。

このようにイベントの発生がユーザグループごとに偏りやすいことから、ユーザグループごとにイベント履歴１０を格納する記憶領域３０を分けることで、イベント履歴１０の検索範囲を効率的に絞り込めるようになる。

＜＜オペレーティングシステム＞＞
例えば記憶領域３０は、その中に記憶されるイベント履歴１０が示す主体又は客体に関連する OS（Operating System）の種類という基準でグループ分けされる。この場合、グループ情報は、条件として OS の種類を示す。すなわち、グループ情報は、OS の種類と記憶領域３０との対応付けを示す。或る OS 種類に対応づけられている記憶領域３０には、その OS の種類を主体又は客体に関する OS の種類として示すイベント履歴１０が格納される。

図１１は、OS の種類を条件として示すグループ情報を例示する図である。図１１に示すテーブルをテーブル５００と呼ぶ。テーブル５００は、レコードＩＤ５０２、条件５０４、及び記憶領域ＩＤ５０６を互いに対応づけている。例えば１行目のレコードは、「名称が OS1 でバージョンが v1 」という OS の種類に対して、S1, S2, 及び S3 という記憶領域３０が対応づけられていることを示している。

このように OS の種類を条件として利用する場合、イベント履歴１０の主体情報や客体情報に、OS の種類に関する情報を含めるようにする。なお、主体に関する OS の種類と客体に関する OS の種類のどちらを条件として利用するかは、予め設定しておく。

主体に関する OS の種類とは、例えば、イベント履歴１０が示すイベントの主体のプロセスを実行している OS の種類である。イベント履歴１０が示す客体がプロセスである場合、客体に関する OS の種類とは、例えばそのプロセスを実行している OS の種類である。イベント履歴１０が示す客体がマシンである場合、客体に関する OS の種類とは、例えばそのマシンで動作している OS 種類である。

OS の種類は、例えば、Windows、Mac OS、Android といった OS の名称で区別される。また、これら OS の名称に加え、バージョン番号やディストリビューションごとにさらに細かく OS の種類が区別されてもよい。前述の図１１では、OS の名称とバージョン番号の組み合わせで、OS の種類が表されている。

イベントの発生は、OS の種類について偏りがあることが多い。例えば攻撃は、脆弱性が発見された種類の OS に対して集中して行われることが多い。また、通常、プログラムの実行ファイルは OS の種類ごとに異なるため、或る特定の種類の OS 用に攻撃ツールが作られた場合、その攻撃ツールによる攻撃は、その種類の OS に対して集中して行われる。

このようにイベントの発生が OS の種類ごとに偏りやすいことから、OS の種類ごとにイベント履歴１０を格納する記憶領域３０を分けることで、イベント履歴１０の検索範囲を効率的に絞り込めるようになる。

＜＜複数の基準の組み合わせ＞＞
記憶領域３０は、上述した種々の条件の組み合わせでグループ分けされてもよい。例えば、期間、ユーザグループ、及び OS の種類という３つの条件の組み合わせに対して、記憶領域３０を対応づけるようにする。

図１２は、複数の条件の組み合わせに対して記憶領域３０が対応づけられるケースを例示する図である。図１２において、記憶領域３０は、まず期間でグループ分けされている。次に、期間でグループ分けされた記憶領域３０が、ユーザグループでグループ分けされている。そして、期間及び部門でグループ分けされた記憶領域３０が、OS の種類でグループ分けされている。これにより、「期間、部門、OS の種類」という３つの条件の組み合わせに対して、記憶領域３０が対応付けられている。

＜記憶領域３０への格納：Ｓ１０６＞
格納処理部２０４０は、格納先決定部２０２０によって決定された記憶領域３０にイベント履歴１０を格納する（Ｓ１０６）。ここで、特定の記憶領域３０にデータを格納する技術には、既存の技術を利用することができる。なお、図８で例示したようにイベント履歴１０に示される情報が複数のテーブルに分散して格納される場合、格納処理部２０４０は、複数のテーブルそれぞれについて、イベント履歴１０が示す情報に対応するレコードを生成し、生成したレコードを、格納先決定部２０２０によって決定された記憶領域３０に格納する。すなわち、イベントテーブルのレコード及びイベントテーブルから参照する他のテーブルのレコードがいずれも、格納先決定部２０２０によって決定された記憶領域３０に格納される。

なお、グループ情報において、条件に対して複数の記憶領域３０が対応づけられていることもある（図９の１行目のレコードなど）。この場合、例えば格納処理部２０４０は、グループ情報を用いて決定された複数の記憶領域３０の中から１つを選択し、選択した記憶領域３０にイベント履歴１０を格納する。ここで、複数の記憶領域３０の中から１つの記憶領域３０を選択する基準は任意である。例えば格納処理部２０４０は、空き容量が最も少ない記憶領域３０を選択する。こうすることで、使用する記憶領域３０の数をできる限り少なくできる。その他にも例えば、格納処理部２０４０は、空き容量が最も多い記憶領域３０を選択してもよい。こうすることで、記憶領域３０に対するアクセスを分散させることができる。

また、イベント履歴１０の冗長性を高めるため、格納処理部２０４０は、グループ情報を用いて決定された複数の記憶領域３０のうちのいずれか２つ以上にイベント履歴１０を複数格納してもよい。なお、データの冗長性を高めるための技術には、RAID などの既存の技術を利用することができる。

＜インデックス情報４０の更新：Ｓ１０８＞
インデックス更新部２０６０は、格納先決定部２０２０によって決定された記憶領域３０に対応するインデックス情報４０を更新する（Ｓ１０８）。ここで、記憶領域３０とインデックス情報４０との対応づけは、予め定めておく。例えば前述したグループ情報において、条件、記憶領域３０、及びインデックス情報４０の組み合わせを示すようにする。これにより、グループ情報において同一の条件に対応づけられている１つ以上の記憶領域３０に対し、１つのインデックス情報４０が用いられる。インデックス情報４０は、例えば、グループ情報を生成した際に生成及び初期化しておく。

記憶領域３０に対応するインデックス情報４０は、或るイベント履歴１０がその記憶領域３０に記憶されているか否かを示す情報である。また、１つのインデックス情報４０は、イベント履歴１０の１つ以上の項目に対応づけられる。ここで、インデックス情報４０が対応づけられているイベント履歴１０の項目を、インデックス項目と呼ぶ。例えば、インデックス項目として、主体のプロセスの実行ファイル名を用いるとする。この場合、或るイベント履歴１０が記憶されている記憶領域３０は、そのイベント履歴１０が示す主体のプロセスの実行ファイル名とインデックス情報とを用いて把握することができる。

インデックス情報４０の具体的なデータ構造としては、例えば、ブルームフィルタを採用することができる。ブルームフィルタは、所定長のビット列で構成される。また、ブルームフィルタを操作するために、１つ以上の関数（例えばハッシュ関数）が予め用意される。各操作関数は、入力されたデータを、ブルームフィルタに含まれるいずれか１つ以上のビットにマッピングする。すなわち、操作関数にデータを入力すると、ブルームフィルタ内のビットの位置が１つ以上出力される。なお、ブルームフィルタのサイズ（ビット数）や操作関数の数は、任意に定めることができる。

ブルームフィルタは、フォールスネガティブは必ず発生せず、フォールスポジティブの発生確率も小さい。よって、「フォールスネガティブは許容しないがフォールスポジティブは許容する」という条件を満たすため、履歴管理装置２０００が利用するインデックス情報４０に好適なデータ構造である。

インデックス情報４０としてブルームフィルタを用いる場合、インデックス更新部２０６０は、格納処理部２０４０によって処理されたイベント履歴１０が示すインデックス項目の値を、上述した操作関数に入力する。そして、インデックス更新部２０６０は、格納処理部２０４０がイベント履歴１０を記憶させた記憶領域３０に対応するブルームフィルタについて、操作関数から得られた１つ以上のビットの値を、対応する記憶領域３０にイベント履歴１０が記憶されていることを表す値（例えば、１）に変更する。

図１３は、ブルームフィルタで実現されるインデックス情報４０の更新方法を例示する図である。例えば図１３では、操作関数 h1 から h3 という３つの操作関数が利用されている。格納処理部２０４０がイベント履歴１０を記憶領域３０に記憶させたら、インデックス更新部２０６０は、そのイベント履歴１０が示すインデックス項目の値を、前述した各操作関数に入力する。これにより、各操作関数から、１つ以上のビットの位置が出力される。

例えば図１３において、インデックス項目は主体のプロセスの実行ファイル名である。そのため、インデックス更新部２０６０は、イベント履歴１０が示す主体のプロセスの実行ファイル名を、操作関数 h1 から h3 それぞれに入力する。操作関数 h1 から h3 は、入力に応じて、それぞれ位置 p1 から p3 を出力する。

インデックス更新部２０６０は、ブルームフィルタにおいて、各操作関数によって出力された各位置のビットを１にする。例えば図１３では、位置 p1 から p3 という３箇所のビットの値が１に変更される。なお、ブルームフィルタの生成時には、全てのビットの値を０に初期化しておく。

以上の操作により、イベント履歴１０を記憶領域３０に記憶させた際に、その記憶領域３０に対応するブルームフィルタ（インデックス情報４０）において、そのイベント履歴１０のインデックス項目が示す値に対応する各ビットが１になる。これによりインデックス項目を条件として検索した場合に、検索条件を満たすイベント履歴１０が記憶されている記憶領域３０を高速に絞り込むことができる。よって、イベント履歴１０を効率的に検索できるようになる。なお、ブルームフィルタを利用した検索方法の具体例については後述する。

なお、インデックス情報４０は、ブルームフィルタ以外のデータ構造で構成されてもよい。インデックス情報４０を構成するデータ構造には、既存のデータベース管理システムなどにおいてインデックスに利用されている種々のデータ構造を利用することができる。

インデックス情報４０は、記憶領域３０ごとに複数用意されてもよい。この場合、記憶領域３０ごとに、インデックス項目がそれぞれ異なる複数のインデックス情報４０が用意される。図１４は、記憶領域３０ごとに複数のインデックス情報４０が用意されるケースを例示する図である。この例では、記憶領域３０ごとに、主体のプロセスの実行ファイル名をインデックス項目とするブルームフィルタと、客体のファイル名をインデックス項目とするブルームフィルタが用意されている。

インデックス更新部２０６０は、イベント履歴１０が示す主体のプロセスの実行ファイル名を操作関数に入力し、その結果を用いて、イベント履歴１０が格納された記憶領域３０に対応するブルームフィルタのうち、主体のプロセスの実行ファイル名をインデックス項目とするものを更新する。また、インデックス更新部２０６０は、イベント履歴１０が示す客体のファイル名を操作関数に入力し、その結果を用いて、イベント履歴１０が格納された記憶領域３０に対応するブルームフィルタのうち、客体のファイル名をインデックス項目とするものを更新する。なお、インデックス項目がそれぞれ異なる複数のインデックス情報４０において、操作関数は共通であってもよいし、異なっていてもよい。後者の場合、図１４の例でいえば、２つのブルームフィルタの更新に、それぞれ異なる操作関数の組みが用いられる。

１つのインデックス項目は、イベント履歴１０に含まれる複数の項目の組みに対応してもよい。この場合、インデックス項目に対応する複数の項目の組み（例えば、各項目の値を連結した文字列）を操作関数に入力して得られる結果を用いて、インデックス情報４０の更新が行われる。図１５は、インデックス項目がイベント履歴１０に含まれる複数の項目の組みに対応するケースを例示する図である。この例では、１つのインデックス項目が、主体のプロセスの実行ファイル名と客体のファイル名の組みで定められている。そのため、記憶領域３０ごとに、主体のプロセスの実行ファイル名と客体のファイル名の組みをインデックス項目とする１つのブルームフィルタが用意されている。インデックス更新部２０６０は、イベント履歴１０が示す主体のプロセスの実行ファイル名と客体のファイル名を連結した文字列を操作関数に入力し、その結果を用いて、ブルームフィルタを更新する。

インデックス項目として採用するイベント履歴１０の項目は、検索の条件として頻繁に指定される項目とすることが好適である。例えば、マルウエアが実行されていないかどうかを把握するために、イベント履歴１０の検索が頻繁に行われるとする。この場合、主体のプロセスの実行ファイル名を条件とした検索が頻繁に行われると考えられる。そのため、インデックス項目として主体のプロセスの実行ファイル名を採用することが好適である。

＜検索クエリ５０の取得：Ｓ２０２＞
検索処理装置３０００では、まずクエリ取得部３０２０が、検索クエリ５０を取得する（Ｓ２０２）。検索クエリ５０は、検索したいイベント履歴１０に関する条件である検索条件を示す。検索条件は、検索したいイベント履歴１０の特徴を表しているとも言える。

例えば検索条件は、イベント履歴１０に含まれる項目の値に関する条件である。例えば、「主体のプロセスの実行ファイル＝xyz.exe」や「客体のファイル名＝abc.docx」などといった検索条件が考えられる。

＜検索クエリ５０に対応する記憶領域３０の特定：Ｓ２０４＞
記憶領域特定部３０４０は、検索クエリ５０によって示される検索条件を満たすイベント履歴１０が記憶されている可能性がある記憶領域３０を特定する。そのために、記憶領域特定部３０４０は、検索クエリ５０によって示される検索条件とインデックス情報４０とを比較することで、インデックス情報４０が、対応する記憶領域３０に検索条件を満たすイベント履歴１０が記憶されていることを表しているか否かを判定する。インデックス情報４０が、対応する記憶領域３０に検索条件を満たすイベント履歴１０が記憶されていることを表す場合、記憶領域特定部３０４０は、そのインデックス情報４０に対応する記憶領域３０を、検索条件を満たすイベント履歴１０が記憶されている可能性がある記憶領域３０として特定する。一方、インデックス情報４０が、対応する記憶領域３０に検索条件を満たすイベント履歴１０が記憶されていないことを表す場合、記憶領域特定部３０４０は、そのインデックス情報４０に対応する記憶領域３０を、検索条件を満たすイベント履歴１０が記憶されていない記憶領域３０として特定する。

例えば、インデックス情報４０がブルームフィルタで実現されているとする。この場合、記憶領域特定部３０４０は、検索条件で指定されているインデックス項目の値をブルームフィルタの操作関数に入力することで、１つ以上のビット位置を得る。そして、記憶領域特定部３０４０は、各記憶領域３０に対応するブルームフィルタについて、得られたビット位置が１であるか否か（対応する記憶領域３０に検索条件を満たすイベント履歴１０が記憶されていることを表す値であるか否か）を判定する。記憶領域特定部３０４０は、得られたビット位置がいずれも１であるブルームフィルタに対応する記憶領域３０を、検索条件を満たすイベント履歴１０を記憶している可能性がある記憶領域３０として特定する。一方、記憶領域特定部３０４０は、得られたビット位置のいずれかが０であるブルームフィルタに対応する記憶領域３０を、検索条件を満たすイベント履歴１０が記憶されていない記憶領域３０として特定する。

図１６は、ブルームフィルタで構成されるインデックス情報４０を利用した検索を例示する図である。この例において、インデックス項目は、主体のプロセスの実行ファイル名である。記憶領域特定部３０４０は、検索クエリ５０で指定されている主体のプロセスの実行ファイル名を、操作関数 h1 から h3 に入力する。これにより、これらの操作関数からそれぞれ、位置 q1 から q3 が出力される。記憶領域特定部３０４０は、複数のブルームフィルタそれぞれについて、位置 q1 から q3 の値がいずれも１となっているか否かを判定する。

記憶領域特定部３０４０は、位置 q1 から q3 の値がいずれも１であるブルームフィルタに対応する記憶領域３０を、検索条件を満たすイベント履歴１０が記憶されている可能性がある記憶領域３０として特定する。一方で、記憶領域特定部３０４０は、位置 q1 から q3 の値のいずれかが１でないと判定されたブルームフィルタに対応する記憶領域３０を、検索条件を満たすイベント履歴１０が記憶されていない記憶領域３０として特定する。

前述したように、インデックス情報４０はフォールスネガティブを許容しない。そのため、インデックス情報４０を利用することで、少なくとも、検索条件を満たすイベント履歴１０を記憶していないことが確実である記憶領域３０を特定し、その記憶領域３０をイベント履歴１０の検索対象から除外することができる。よって、イベント履歴１０の検索に要する時間を短くすることができる。

ここで、インデックス項目が複数であるとする。すなわち、１つの記憶領域３０に対して複数のインデックス情報４０が設けられているとする。この場合、記憶領域特定部３０４０は、各記憶領域３０についてこれら複数のインデックス情報４０を利用することで、各記憶領域３０に検索条件を満たすイベント履歴１０が記憶されているか否かを判定する。例えば、インデックス情報４０がブルームフィルタで実現されているとする。この場合、各インデックス項目について、検索条件において指定されているそのインデックス項目の値を、ブルームフィルタの操作関数に入力する。こうすることで、インデックス項目ごとに、検索条件に対応するビットの位置が出力される。

記憶領域特定部３０４０は、対応する全てのブルームフィルタにおいて、操作関数から得られたビットの位置が全て１となっている記憶領域３０を、検索条件を満たすイベント履歴１０が記憶されている可能性がある記憶領域３０として特定する。一方、対応するいずれかのブルームフィルタにおいて、操作関数から得られたいずれかのビットの位置が０である記憶領域３０を、検索条件を満たすイベント履歴１０が記憶されていない記憶領域３０として特定する。

図１７は、複数のインデックス項目が存在するケースにおける検索について例示する図である。図１７の例では、主体のプロセスの実行ファイル名というインデックス項目と、客体のファイル名というインデックス項目がある。記憶領域特定部３０４０は、検索条件において指定されている主体のプロセスの実行ファイル名を操作関数に入力することで、主体のプロセスの実行ファイル名に対応するブルームフィルタについて、ビットの位置 q1 から q3 を取得する。同様に、記憶領域特定部３０４０は、検索条件において指定されている客体のファイル名を操作関数に入力することで、客体のファイル名に対応するブルームフィルタについて、ビットの位置 q4 から q6 を取得する。

記憶領域特定部３０４０は、主体のプロセスの実行ファイル名に対応するブルームフィルタについて、位置 q1 から q3 のビットがいずれも１であるか否かを判定する。同様に、記憶領域特定部３０４０は、客体のファイル名に対応するブルームフィルタについて、位置 q4 から q6 のビットがいずれも１であるか否かを判定する。主体のプロセスの実行ファイル名に対応するブルームフィルタにおいて位置 q1 から q3 のビットがいずれも１であり、なおかつ客体のファイル名に対応するブルームフィルタにおいて位置 q4 から q6 のビットがいずれも１であれば、これらのブルームフィルタに対応する記憶領域３０において、検索条件を満たすイベント履歴１０が記憶されている可能性があることが分かる。一方、主体のプロセスの実行ファイル名に対応するブルームフィルタにおいて位置 q1 から q3 のビットのいずれかが０であるか、又は客体のファイル名に対応するブルームフィルタにおいて位置 q4 から q6 のビットのいずれかが０であれば、これらのブルームフィルタに対応する記憶領域３０において、検索条件を満たすイベント履歴１０が記憶されていないことが分かる。

なお、インデックス情報４０を利用する場合、検索条件で指定されるイベント履歴１０の項目の中に、前述したインデックス項目に対応する項目が含まれている必要がある。例えば図１３に示したように主体のプロセスの実行ファイル名をインデックス項目とする場合、検索クエリ５０が示す検索条件で、主体のプロセスの実行ファイル名が指定されている必要がある。インデックス項目に関する条件が検索条件に含まれない場合、例えば検索処理装置３０００は、インデックス情報４０を利用せず、全ての記憶領域３０を対象として検索を実行する。

＜検索の実行：Ｓ２０６＞
検索処理部３０６０は、記憶領域特定部３０４０によって特定された記憶領域３０を対象として、イベント履歴１０の検索を実行する。具体的には、検索処理部３０６０は、特定されたインデックス情報４０に対応する記憶領域３０の中から、検索条件を満たすイベント履歴１０を探索する。そして、記憶領域３０の中に検索条件を満たすイベント履歴１０が記憶されていたら、検索処理部３０６０は、そのイベント履歴１０を取得する。なお、特定の記憶領域の中から検索条件を満たすデータを探索する技術には、既存の技術を利用することができる。

以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
１． プログラムの活動に関連するイベントの履歴であるイベント履歴を取得し、前記取得したイベント履歴の内容に基づき、複数の記憶領域の中から、前記イベント履歴を記憶させる記憶領域を決定する格納先決定部と、
前記決定した記憶領域に前記取得したイベント履歴を格納する格納処理部と、
前記取得したイベント履歴が前記決定された記憶領域に記憶されていることを表すように、前記決定された記憶領域に対応づけられているインデックス情報を更新するインデックス更新部と、を有する履歴管理装置。
２． 前記格納先決定部は、前記イベント履歴の内容に関する条件と、その条件に該当する前記イベント履歴を記憶させる１つ以上の前記記憶領域とを対応づけたグループ情報を取得し、前記グループ情報に示されている記憶領域のうち、前記取得したイベント履歴が合致する条件に対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域として決定する、１．に記載の履歴管理装置。
３． 前記グループ情報が示す前記条件は、イベントの発生時刻が含まれる期間を示しており、
前記格納先決定部は、前記グループ情報において前記取得したイベント履歴が示すイベントの発生時刻を含む期間に対応づけられている前記記憶領域を、そのイベント履歴を記憶させる記憶領域に決定する、２．に記載の履歴管理装置。
４． 前記グループ情報が示す前記条件は、イベントの主体又は客体に関するユーザグループを示しており、
前記格納先決定部は、前記グループ情報において前記取得したイベント履歴が示すイベントの主体又は客体に関するユーザグループに対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域に決定する、２．に記載の履歴管理装置。
５． 前記グループ情報が示す前記条件は、イベントの主体又は客体に関する OS（Operating System）の種類を示しており、
前記格納先決定部は、前記グループ情報において前記取得したイベント履歴が示すイベントの主体又は客体に関する OS の種類に対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域に決定する、２．に記載の履歴管理装置。
６． 前記インデックス情報はブルームフィルタを含み、
前記インデックス更新部は、
前記取得したイベント履歴に含まれる情報を１つ以上の関数に入力し、
前記格納先決定部によって決定された記憶領域に対応する前記インデックス情報に含まれる前記ブルームフィルタにおいて、前記関数から出力された値によって定まるビットの値を、前記取得したイベント履歴が記憶されていることを示す値に更新する、１．乃至５．いずれか一つに記載の履歴管理装置。

７． プログラムの活動に関連するイベントの履歴であるイベント履歴の検索条件を示す検索クエリを取得するクエリ取得部と、
前記取得した検索クエリが示す検索条件を、各記憶領域に対応するインデックス情報と比較することで、前記検索条件に該当するイベント履歴が記憶されている可能性がある記憶領域を特定する記憶領域特定部と、
前記特定された記憶領域を対象として、前記検索条件に該当する前記イベント履歴を検索する検索処理部と、を有する検索処理装置。
８． 前記インデックス情報はブルームフィルタを含み、
前記記憶領域特定部は、
前記検索条件によって指定される前記イベント履歴に関する情報を１つ以上の関数に入力し、
前記関数から出力された値によって定まるビットの値がいずれも、前記検索条件によって指定される前記イベント履歴が対応する記憶領域に記憶されていることを示す値である前記ブルームフィルタに対応する記憶領域を、前記検索条件に該当するイベント履歴が記憶されている可能性がある記憶領域として特定する、７．に記載の検索処理装置。

９． コンピュータによって実行される履歴管理方法であって、
プログラムの活動に関連するイベントの履歴であるイベント履歴を取得し、前記取得したイベント履歴の内容に基づき、複数の記憶領域の中から、前記イベント履歴を記憶させる記憶領域を決定する格納先決定ステップと、
前記決定した記憶領域に前記取得したイベント履歴を格納する格納処理ステップと、
前記取得したイベント履歴が前記決定された記憶領域に記憶されていることを表すように、前記決定された記憶領域に対応づけられているインデックス情報を更新するインデックス更新ステップと、を有する履歴管理方法。
１０． 前記格納先決定ステップにおいて、前記イベント履歴の内容に関する条件と、その条件に該当する前記イベント履歴を記憶させる１つ以上の前記記憶領域とを対応づけたグループ情報を取得し、前記グループ情報に示されている記憶領域のうち、前記取得したイベント履歴が合致する条件に対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域として決定する、９．に記載の履歴管理方法。
１１． 前記グループ情報が示す前記条件は、イベントの発生時刻が含まれる期間を示しており、
前記格納先決定ステップにおいて、前記グループ情報において前記取得したイベント履歴が示すイベントの発生時刻を含む期間に対応づけられている前記記憶領域を、そのイベント履歴を記憶させる記憶領域に決定する、１０．に記載の履歴管理方法。
１２． 前記グループ情報が示す前記条件は、イベントの主体又は客体に関するユーザグループを示しており、
前記格納先決定ステップにおいて、前記グループ情報において前記取得したイベント履歴が示すイベントの主体又は客体に関するユーザグループに対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域に決定する、１０．に記載の履歴管理方法。
１３． 前記グループ情報が示す前記条件は、イベントの主体又は客体に関する OS（Operating System）の種類を示しており、
前記格納先決定ステップにおいて、前記グループ情報において前記取得したイベント履歴が示すイベントの主体又は客体に関する OS の種類に対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域に決定する、１０．に記載の履歴管理方法。
１４． 前記インデックス情報はブルームフィルタを含み、
前記インデックス更新ステップにおいて、
前記取得したイベント履歴に含まれる情報を１つ以上の関数に入力し、
前記格納先決定ステップによって決定された記憶領域に対応する前記インデックス情報に含まれる前記ブルームフィルタにおいて、前記関数から出力された値によって定まるビットの値を、前記取得したイベント履歴が記憶されていることを示す値に更新する、９．乃至１３．いずれか一つに記載の履歴管理方法。

１５． コンピュータによって実行される検索処理方法であって、
プログラムの活動に関連するイベントの履歴であるイベント履歴の検索条件を示す検索クエリを取得するクエリ取得ステップと、
前記取得した検索クエリが示す検索条件を、各記憶領域に対応するインデックス情報と比較することで、前記検索条件に該当するイベント履歴が記憶されている可能性がある記憶領域を特定する記憶領域特定ステップと、
前記特定された記憶領域を対象として、前記検索条件に該当する前記イベント履歴を検索する検索処理ステップと、を有する検索処理方法。
１６． 前記インデックス情報はブルームフィルタを含み、
前記記憶領域特定ステップにおいて、
前記検索条件によって指定される前記イベント履歴に関する情報を１つ以上の関数に入力し、
前記関数から出力された値によって定まるビットの値がいずれも、前記検索条件によって指定される前記イベント履歴が対応する記憶領域に記憶されていることを示す値である前記ブルームフィルタに対応する記憶領域を、前記検索条件に該当するイベント履歴が記憶されている可能性がある記憶領域として特定する、１５．に記載の検索処理方法。

１７． ９．乃至１４．いずれか一つに記載の履歴管理方法が有する各ステップをコンピュータに実行させるプログラム。

１８． １５．又は１６．に記載の検索処理方法が有する各ステップをコンピュータに実行させるプログラム。

Claims (13)

1. プログラムの活動に関連するイベントの履歴であるイベント履歴を取得し、前記取得したイベント履歴の内容に基づき、複数の記憶領域の中から、前記イベント履歴を記憶させる記憶領域を決定する格納先決定部と、
   前記決定した記憶領域に前記取得したイベント履歴を格納する格納処理部と、
   前記取得したイベント履歴が前記決定された記憶領域に記憶されていることを表すように、前記決定された記憶領域に対応づけられているインデックス情報を更新するインデックス更新部と、を有し、
   前記格納先決定部は、前記イベント履歴の内容に関する条件と、その条件に該当する前記イベント履歴を記憶させる１つ以上の前記記憶領域とを対応づけたグループ情報を取得し、前記グループ情報に示されている記憶領域のうち、前記取得したイベント履歴が合致する条件に対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域として決定し、
   前記グループ情報が示す前記条件は、イベントの主体又は客体に関するユーザグループを示しており、
   前記格納先決定部は、前記グループ情報において前記取得したイベント履歴が示すイベントの主体又は客体に関するユーザグループに対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域に決定する履歴管理装置。
2. 前記主体がプロセスである場合の前記主体に関するユーザグループは、前記取得したイベント履歴が示すイベントの主体であるプロセスを実行しているユーザが属しているユーザグループである
   請求項１に記載の履歴管理装置。
3. 前記客体がプロセスである場合の前記客体に関するユーザグループは、前記取得したイベント履歴が示すイベントの客体であるプロセスを実行しているユーザが属しているユーザグループである
   請求項１に記載の履歴管理装置。
4. 前記客体がファイルである場合の前記客体に関するユーザグループは、前記取得したイベント履歴が示すイベントの客体であるファイルの所有者が属しているユーザグループである
   請求項１に記載の履歴管理装置。
5. 前記客体がマシンである場合の前記客体に関するユーザグループは、前記取得したイベント履歴が示すイベントの客体であるマシンの所有者が属しているユーザグループである
   請求項１に記載の履歴管理装置。
6. 前記インデックス情報はブルームフィルタを含み、
   前記インデックス更新部は、
   前記取得したイベント履歴に含まれる情報を１つ以上の関数に入力し、
   前記格納先決定部によって決定された記憶領域に対応する前記インデックス情報に含まれる前記ブルームフィルタにおいて、前記関数から出力された値によって定まるビットの値を、前記取得したイベント履歴が記憶されていることを示す値に更新する、請求項１乃至５いずれか一項に記載の履歴管理装置。
7. コンピュータが実行する履歴管理方法であって、
   プログラムの活動に関連するイベントの履歴であるイベント履歴を取得し、前記取得したイベント履歴の内容に基づき、複数の記憶領域の中から、前記イベント履歴を記憶させる記憶領域を決定する格納先決定ステップと、
   前記決定した記憶領域に前記取得したイベント履歴を格納する格納処理ステップと、
   前記取得したイベント履歴が前記決定された記憶領域に記憶されていることを表すように、前記決定された記憶領域に対応づけられているインデックス情報を更新するインデックス更新ステップと、を有し、
   前記格納先決定ステップにおいて、前記イベント履歴の内容に関する条件と、その条件に該当する前記イベント履歴を記憶させる１つ以上の前記記憶領域とを対応づけたグループ情報を取得し、前記グループ情報に示されている記憶領域のうち、前記取得したイベント履歴が合致する条件に対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域として決定し、
   前記グループ情報が示す前記条件は、イベントの主体又は客体に関するユーザグループを示しており、
   前記格納先決定ステップにおいて、前記グループ情報において前記取得したイベント履歴が示すイベントの主体又は客体に関するユーザグループに対応づけられている前記記憶領域を、前記取得したイベント履歴を記憶させる記憶領域に決定する履歴管理方法。
8. 前記主体がプロセスである場合の前記主体に関するユーザグループは、前記取得したイベント履歴が示すイベントの主体であるプロセスを実行しているユーザが属しているユーザグループである
   請求項７に記載の履歴管理方法。
9. 前記客体がプロセスである場合の前記客体に関するユーザグループは、前記取得したイベント履歴が示すイベントの客体であるプロセスを実行しているユーザが属しているユーザグループである
   請求項７に記載の履歴管理方法。
10. 前記客体がファイルである場合の前記客体に関するユーザグループは、前記取得したイベント履歴が示すイベントの客体であるファイルの所有者が属しているユーザグループである
    請求項７に記載の履歴管理方法。
11. 前記客体がマシンである場合の前記客体に関するユーザグループは、前記取得したイベント履歴が示すイベントの客体であるマシンの所有者が属しているユーザグループである
    請求項７に記載の履歴管理方法。
12. 前記インデックス情報はブルームフィルタを含み、
    前記インデックス更新ステップにおいて、
    前記取得したイベント履歴に含まれる情報を１つ以上の関数に入力し、
    前記格納先決定ステップによって決定された記憶領域に対応する前記インデックス情報に含まれる前記ブルームフィルタにおいて、前記関数から出力された値によって定まるビットの値を、前記取得したイベント履歴が記憶されていることを示す値に更新する、請求項７乃至１１いずれか一項に記載の履歴管理方法。
13. 請求項７乃至１２いずれか一項に記載の履歴管理方法が有する各ステップをコンピュータに実行させるプログラム。

Images