JPWO2015141220A1 - 情報処理装置及び監視方法 - Google Patents

Abstract

本発明は、情報処理システムを構成する要素間のデータ伝達関係を含む、その情報処理システムの状態を示す情報を出力する情報処理装置を提供する。その情報処理装置は、システムにおいて動作する複数のプロセスのそれぞれの挙動を示すイベントログに基づいて、そのプロセスを頂点とし、その頂点間のデータ伝達関係を辺とする、関係グラフを生成するためのグラフ化手段と、生成された関係グラフを出力するためのグラフ出力手段と、を備える。

Description

本発明は、コンピュータやサーバ、記憶システム、通信制御システム及び端末などで任意に構成される情報処理システムを監視する技術に関する。

情報処理システムを監視するためのさまざまな関連技術が知られている。

例えば、特許文献１は、プロセス監視装置を開示する。特許文献１のプロセス監視装置は、以下のように動作する。

第１に、そのプロセス監視装置は、プロセスの静的属性に基づいて要注意プロセスを抽出する。その静的属性は、例えば、プロセス名、そのプロセスに係るプログラムのメーカ名、プログラム（ソフトウェア）名、バージョン、そのプロセスを起動した親プロセス名、及びプロセスサイズを含む。そのプロセス監視装置は、以下の４つの場合に、該当するプロセスを要注意プロセスとして抽出する。その第１の場合は、現在の静的属性が過去の静的属性から変化している場合である。その第２の場合は、過去の静的属性が存在しない場合である。その第３の場合は、親プロセスが発見できない場合である。その第４の場合は、外部プロセスが親プロセスとなっている場合である。

第２に、そのプロセス監視装置は、動的属性に基づいて、要注意プロセスについて警報を発する。その動的属性は、例えば、動的専用メモリバイト数、動的共有メモリバイト数、リダイレクタの送信、受信トラフィック率、及びハードディスクアクセス率である。そのプロセス監視装置は、過去の動的属性と現在の動的属性とが統計的手法を用いて弁別可能である場合に、該当する要注意プロセスについて、警報の発生や監視対象プロセスとして登録などを実行する。

第３に、そのプロセス監視装置は、要注意プロセスと所定の関連性を有する関連プロセスを抽出し、その関連プロセスを監視対象プロセスとする。所定の関連性を持つプロセスとは、例えば、明確な親子リレーションがあるプロセス、明確な親子リレーションはないが、その監視対象プロセスが動作するときに常に起動されるプロセスなどである。

特開２００８−０２１２７４号公報

しかしながら、上述した先行技術文献に記載された技術においては、情報処理システムを構成する要素間のデータ伝達関係を含む、その情報処理システムの状態を示す情報を出力することが困難であるという問題点がある。

その理由は、特許文献１に記載された技術が、要注意プロセス、監視対象プロセス及び警報を発生する必要のあるプロセスのそれぞれに該当するプロセスを、個別に検出するための技術だからである。換言すると、特許文献１は、プロセス間の関係に関し、親子関係と起動の同期性とについて記載しているだけだからである。

本発明の目的は、上述した問題点を解決する情報処理装置、監視方法、及び、そのためのプログラム或いはそのプログラムを記録したコンピュータ読み取り可能な非一時的記録媒体を提供することにある。

本発明の一様態における情報処理装置は、システムにおいて動作する複数のプロセスのそれぞれの挙動を示すイベントログに基づいて、前記プロセスを頂点とし、前記頂点間のデータ伝達関係を辺とする、関係グラフを生成するためのグラフ化手段と、前記関係グラフを出力するためのグラフ出力手段と、を含む。

本発明の一様態における監視方法は、コンピュータが、システムにおいて動作する複数のプロセスのそれぞれの挙動を示すイベントログに基づいて、前記プロセスを頂点とし、前記頂点間のデータ伝達関係を辺とする、関係グラフを生成し、前記関係グラフを出力する。

本発明の一様態におけるコンピュータ読み取り可能な非一時的記録媒体は、システムにおいて動作する複数のプロセスのそれぞれの挙動を示すイベントログに基づいて、前記プロセスを頂点とし、前記頂点間のデータ伝達関係を辺とする、関係グラフを生成し、前記関係グラフを出力する、処理をコンピュータに実行させるプログラムを記録する。

本発明は、情報処理システムを構成する要素間のデータ伝達関係を含む、その情報処理システムの状態を示す情報を出力することが可能になるという効果がある。

図１は、本発明の第１の実施形態に係る情報処理装置の構成を示すブロック図である。 図２は、第１の実施形態に係る情報処理装置と監視対象システムとを備える情報処理システムの構成を示すブロック図である。 図３は、第１の実施形態におけるイベントログの一例を示す図である。 図４は、第１の実施形態における関係グラフの一例を示す図である。 図５は、第１の実施形態における関係グラフの他の一例を示す図である。 図６は、第１の実施形態における関係グラフの他の一例を示す図である。 図７は、第１の実施形態における関係グラフで表されるプロセス間の関係の概念図である。 図８は、第１の実施形態に係る情報処理装置を実現するコンピュータのハードウェア構成を示すブロック図である。 図９は、第１の実施形態における情報処理装置の動作を示すフローチャートである。 図１０は、第１の実施形態の第１の変形例における監視対象システムと情報処理装置とを備える情報処理システムの構成を示すブロック図である。 図１１は、第１の実施形態の第３の変形例における関係グラフの一例を示す図である。 図１２は、本発明の第２の実施形態に係る情報処理装置の構成を示すブロック図である。 図１３は、本発明の第３の実施形態に係る情報処理装置の構成を示すブロック図である。 図１４は、本発明の第４の実施形態に係る情報処理装置の構成を示すブロック図である。 図１５は、本発明の第５の実施形態に係る情報処理装置の構成を示すブロック図である。 図１６は、第５の実施形態におけるネットワーク図関係グラフの一例を示す図である。 図１７は、第５の実施形態におけるマトリックス関係グラフの一例を示す図である。 図１８は、第５の実施形態におけるネットワーク図関係グラフの一例を示す図である。 図１９は、第５の実施形態におけるマトリックス関係グラフの一例を示す図である。 図２０は、第２の実施形態の変形例における履歴蓄積部の内部構成の一例を示すブロック図である。 図２１は、第２の実施形態の変形例における履歴蓄積部の動作を示すフローチャートである。 図２２は、第２の実施形態の変形例における関係グラフが時間とともに削減されて行く様子を説明するための図である。 図２３は、第３の実施形態の変形例における情報処理装置の構成を示すブロック図である。 図２４は、第３の実施形態の変形例における検出された情報が重畳された関係グラフの一例を示す図である。 図２５は、第４の実施形態の第２の変形例における情報処理装置の構成を示すブロック図である。

本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の構成要素には同様の符号を付与し、適宜説明を省略する。

＜＜＜第１の実施形態＞＞＞
図１は、本発明の第１の実施形態に係る情報処理装置１００の構成を示すブロック図である。

図１に示すように、本実施形態に係る情報処理装置１００は、グラフ化部１１０及びグラフ出力部１２０を含む。尚、図１に示す構成要素は、ハードウェア単位の回路でも、コンピュータ装置の機能単位に分割された構成要素でもよい。ここでは、図１に示す構成要素は、コンピュータ装置の機能単位に分割された構成要素として説明する。

図２は、情報処理装置１００と監視対象システム（単に「システム」とも呼ばれる）９００とを備える情報処理システムの構成を示すブロック図である。尚、図２の例に係わらず、複数の監視対象システム９００が、情報処理装置１００に接続されてよい。

＝＝＝監視対象システム９００＝＝＝
監視対象システム９００は、複数のホスト９１０を含む。ホスト９１０は、例えば、コンピュータや、サーバ、記憶装置、通信制御装置などである。尚、図２の例に係わらず、監視対象システム９００は、ホスト９１０を１台だけ含んでもよい。ホスト９１０のそれぞれ及び情報処理装置１００は、図示しないネットワークで、互いに接続される。

＝＝＝ホスト９１０＝＝＝
ホスト９１０は、プロセス９２０、プロセス生成監視手段９３１、ファイルアクセス監視手段９３２、ホスト内プロセス間通信監視手段９３３及びホスト間プロセス間通信監視手段９３４を含む。

例えば、プロセス生成監視手段９３１、ファイルアクセス監視手段９３２、ホスト内プロセス間通信監視手段９３３及びホスト間プロセス間通信監視手段９３４のそれぞれは、ホスト９１０上で動作する監視エージェントである。

プロセス生成監視手段９３１は、プロセス９２０による新たなプロセス９２０の生成及びプロセス９２０の終了を監視し、その生成及びその終了のそれぞれを検出した場合にその内容を示すイベントログ８１０を送信する。

ファイルアクセス監視手段９３２は、プロセス９２０によるファイルのアクセスを監視し、そのアクセスを検出した場合にその内容を示すイベントログ８１０を送信する。

ホスト内プロセス間通信監視手段９３３及びホスト間プロセス間通信監視手段９３４のそれぞれは、プロセス間の通信を監視し、その通信を検出した場合にその内容を示すイベントログ８１０を送信する。ここで、ホスト内プロセス間通信は、例えば、パイプや、メッセージキュー、共有メモリ、ＵＮＩＸ（登録商標）ドメインソケット、などである。ホスト間プロセス間通信は、例えば、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）ソケットや、ＲＰＣ（Ｒｅｍｏｔｅ Ｐｒｏｃｅｄｕｒｅ Ｃａｌｌ）、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）リクエスト、ＨＴＴＰレスポンス、などである。

以後、プロセス生成監視手段９３１、ファイルアクセス監視手段９３２、ホスト内プロセス間通信監視手段９３３及びホスト間プロセス間通信監視手段９３４は、総称して、イベント監視手段９３０とも呼ばれる。

尚、図２の例に係わらず、ホスト９１０は、イベント監視手段として、イベント監視手段９３０の任意の一部だけを含んでもよい。また、ホスト９１０は、イベント監視手段として、イベント監視手段９３０以外の、任意のイベントに対するイベント監視手段を含んでよい。任意のイベントは、例えば、クリップボード、レジストリ、環境変数に関するイベントである。

＝＝＝グラフ化部１１０＝＝＝
グラフ化部１１０は、監視対象システム９００のイベントログ８１０に基づいて、関係グラフ８２０を生成する。

＝＝＝イベントログ８１０＝＝＝
イベントログ８１０は、例えば、監視対象システム９００において動作する複数のプロセス９２０の、それぞれの挙動を示す情報である。グラフ化部１１０は、例えば、ホスト９１０のそれぞれに存在するイベント監視手段９３０からイベントログ８１０を取得する。

図３は、イベントログ８１０の具体例である、イベントログ８１１を示す図である。図３に示すイベントログ８１１は、「プロセス９２０「Ｐ３」がプロセス９２０「Ｐ４」にデータを伴う要求メッセージを送信し、プロセス９２０「Ｐ４」がプロセス９２０「Ｐ３」にデータを伴う応答メッセージを送信した」というイベントを示す。尚、「Ｐ３」及び「Ｐ４」はプロセス９２０の識別子である。例えば、プロセス９２０「Ｐ３」は、識別子が「Ｐ３」であるプロセス９２０を示す。

図３に示すイベントログ８１１は、プロセス９２０「Ｐ３」とプロセス９２０「Ｐ４」とが同一ホスト９１０内のプロセス９２０ならば、ホスト内プロセス間通信監視手段９３３によって送信される。また、図３に示すイベントログ８１１は、プロセス９２０「Ｐ３」とプロセス９２０「Ｐ４」とが異なるホスト９１０で動作するプロセス９２０ならば、ホスト間プロセス間通信監視手段９３４によって送信される。

＝＝＝関係グラフ８２０＝＝＝
関係グラフ８２０は、プロセス９２０のそれぞれを頂点（ノードあるいは節点とも呼ばれる）、及びそれらのプロセス９２０間のデータ伝達関係を辺（リンク、エッジ或いは枝とも呼ばれる）とする。関係グラフ８２０は、監視対象システム９００内のプロセス９２０間の関係を表す。ここで、その関係は、例えば、「ある期間に、プロセス間でデータが伝達された」というデータ伝達関係や、「ある瞬間（または期間）に、プロセス間でデータ伝達が行われうる状態である」というデータ伝達関係などである。

具体的には、そのデータ伝達関係は、あるプロセス９２０から別のプロセス９２０へのデータの転送（そのあるプロセス９２０にとっては送信（ｓｅｎｄ）、その別のプロセス９２０にとっては受信（ｒｅｃｅｉｖｅ））である。また、そのデータ伝達関係は、ファイルアクセス監視手段９３２によって得られる、ある特定のファイルに対してデータの書き込み（ｗｒｉｔｅ）及び読み込み（ｒｅａｄ）を行った複数のプロセス９２０間の関係であってよい。また、そのデータ伝達関係は、あるプロセス９２０（親プロセス）による、別のプロセス９２０（子プロセス）の生成及び消去であってよい。更に、そのデータ伝達関係は、あるプロセス９２０から別のプロセス９２０に対するコネクションの確立、あるプロセス９２０と別のプロセス９２０との間のコネクションの終了などであってよい。ここで、コネクションは、例えば、ＴＣＰなどのトランスポート層におけるコネクションや、セッション層或いはアプリケーション層で実現されるコネクションなど、任意のコネクションであってよい。

＝＝＝関係グラフ８２１＝＝＝
図４は、関係グラフ８２０の具体例である、関係グラフ８２１を示す図である。図４に示すように、関係グラフ８２１は、頂点識別子と辺とを含むレコードからなる。頂点識別子は、例えば、頂点となるプロセス９２０の識別子である。辺は、頂点識別子のそれぞれで特定される頂点（プロセス９２０）からの、他の頂点へのデータ伝達関係を示す情報である。

例えば、頂点識別子の「Ｐ１」は、識別子が「Ｐ１」であるプロセス９２０を特定する。そして、頂点識別子「Ｐ１」に対応する辺の「Ｐ２；ＳＥＮＤ、Ｐ３；ＳＥＮＤ；ＲＥＣＥＩＶＥ」は、以下のことを示す。第１に、「Ｐ２；ＳＥＮＤ」の部分は、プロセス９２０「Ｐ１」がプロセス９２０「Ｐ２」にデータを送信したことを示す。第２に、「Ｐ３；ＳＥＮＤ」の部分は、プロセス９２０「Ｐ１」がプロセス９２０「Ｐ３」にデータを送信したことを示す。第３に、「Ｐ３；；ＲＥＣＥＩＶＥ」の部分は、プロセス９２０「Ｐ１」がプロセス９２０「Ｐ３」からデータを受信したことを示す。

例えば、頂点識別子が「Ｐ３」のレコードにおける辺の「Ｐ４；ＲＥＣＥＩＶＥ」、及び頂点識別子が「Ｐ４」のレコードにおける辺の「Ｐ３；ＳＥＮＤ」は、図３に示すイベントログ８１１に基づくものである。

＝＝＝関係グラフ８２２＝＝＝
図５は、関係グラフ８２０の他の具体例である、関係グラフ８２２を示す図である。

図５に示すように、関係グラフ８２２は、２つの頂点識別子の組である辺と、辺の属性（種類）とを含むレコードからなる。その辺は、頂点であるプロセス９２０の識別子のペアである。その辺の属性は、その辺で特定される頂点（プロセス９２０）間の、データ伝達関係を示す情報である。

＝＝＝関係グラフ８２４＝＝＝
図６は、関係グラフ８２０の他の具体例である、関係グラフ８２４を示す図である。

図６は、以下の第１から第５のイベントログ８１０に対応する関係グラフ８２０の例である。以下の説明において、プロセスＰ１は、第１のホスト９１０内のプロセス９２０である。プロセスＰ２は、第２のホスト９１０内のプロセス９２０である。ファイルＦ１は、第１のホスト９１０内のファイル（プロセス９２０の１種）である。ファイルＦ２は、第２のホスト９１０内のファイル（プロセス９２０の１種）である。

第１のイベントログ８１０は、第１のホスト９１０内のファイルアクセス監視手段９３２が送信した「プロセスＰ１がファイルＦ１を読取」というイベントログ８１０である。関係グラフ８２４の、頂点識別子が「Ｐ１」、辺の「Ｆ１；ＲＥＡＤ」が、第１のイベントログ８１０に対応する。

第２のイベントログ８１０は、第１のホスト９１０内の第１のホスト間プロセス間通信監視手段９３４が送信した「プロセスＰ１がプロセスＰ２と双方向通信」というイベントログ８１０である。関係グラフ８２４の、頂点識別子が「Ｐ１」、辺の「Ｐ２；ＳＥＮＤ／ＲＥＣＥＩＶＥ」及び頂点識別子が「Ｐ２」、辺の「Ｐ１；ＳＥＮＤ／ＲＥＣＥＩＶＥ」が、第２のイベントログ８１０に対応する。

第３のイベントログ８１０は、第２のホスト９１０内のファイルアクセス監視手段９３２が送信した「プロセスＰ２がファイルＦ２にデータを読取／書込」というイベントログ８１０である。関係グラフ８２４の、頂点識別子が「Ｐ２」、辺の「Ｆ２；ＲＥＡＤ／ＷＲＩＴＥ」が、第３のイベントログ８１０に対応する。

第４のイベントログ８１０は、第２のホスト９１０内のプロセス生成監視手段９３１が送信した「プロセスＰ２がファイルＦ２を実行ファイルとするプロセスＰ３を生成」というイベントログ８１０である。関係グラフ８２４の、頂点識別子が「Ｐ２」、辺の「Ｐ３；ＧＥＮＥＲＡＴＥ」が、第４のイベントログ８１０に対応する。

第５のイベントログ８１０は、第２のホスト９１０内のファイルアクセス監視手段９３２が送信した「プロセスＰ３がファイルＦ２を読取」というイベントログ８１０である。関係グラフ８２４の、頂点識別子が「Ｐ３」、辺の「Ｆ２；ＲＥＡＤ」が、５のイベントログ８１０に対応する。

尚、関係グラフ８２０は、上述の例に係わらず任意の形式で示されてよい。例えば、関係グラフ８２０は、隣接行列のデータ構造をとってもよい。

＝＝＝関係グラフ８２０で表されるプロセス９２０間の関係＝＝＝
図７は、関係グラフ８２１、関係グラフ８２２或いは関係グラフ８２３などの、関係グラフ８２０で表される、プロセス９２０間の関係の概念図である。

図７において、頂点は円形で示され、円形の中に頂点識別子が示されている。また、辺は円形を結ぶ線分で示されている。例えば、線分は、ＳＥＮＤまたはＲＥＣＥＩＶＥを示す。図７に示すグラフは、有向グラフであり、線分の矢印の向きは、データの流れる方向を示す。両端に矢印のある線分は、その辺がＳＥＮＤ及びＲＥＣＥＩＶＥの両方を含むことを示す。

図７に示す例に係わらず、辺は、有向（矢印あり）であっても無向（矢印なし）であってもよい。例えば、単にコネクションがあることだけを示すプロセス９２０「Ｐ１」とプロセス９２０「Ｐ２」との間の辺は、無向であってよい。例えば、コネクションの要求側と待受側とを示す必要がある場合、辺は有効であってよい。

＝＝＝グラフ出力部１２０＝＝＝
グラフ出力部１２０は、グラフ化部１１０が生成した関係グラフ８２０を出力する。

以上が、情報処理装置１００の機能単位の構成要素についての説明である。

次に、情報処理装置１００のハードウェア単位の構成要素について説明する。

図８は、本実施形態における情報処理装置１００を実現するコンピュータ７００のハードウェア構成を示す図である。

図８に示すように、コンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。例えば、記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体（非一時的記録媒体）である。また、記録媒体７０７は、情報を信号として保持する、一時的記録媒体であってもよい。

ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の全体の動作を制御する。例えば、ＣＰＵ７０１は、記憶装置７０３に装着された記録媒体７０７から、そのプログラムやデータを読み込み、読み込んだそのプログラムやそのデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図９に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。

そして、ＣＰＵ７０１は、その読み込んだプログラムに従って、またその読み込んだデータに基づいて、図１に示すグラフ化部１１０及びグラフ出力部１２０として各種の処理を実行する。

尚、ＣＰＵ７０１は、通信網（不図示）に接続される外部コンピュータ（不図示）から、記憶部７０２にそのプログラムやそのデータをダウンロードしてもよい。

記憶部７０２は、そのプログラムやそのデータを記憶する。記憶部７０２は、イベントログ８１０や関係グラフ８２０を記憶してよい。

記憶装置７０３は、例えば、任意の光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク及び半導体メモリである。記憶装置７０３は、そのプログラムをコンピュータ読み取り可能に記憶する。また、記憶装置７０３は、そのデータを記憶してもよい。記憶装置７０３は、イベントログ８１０や関係グラフ８２０を記憶してよい。

入力部７０４は、オペレータによる操作の入力や外部からの情報の入力を受け付ける。入力操作に用いられるデバイスは、例えば、任意のマウスやキーボード、内蔵のキーボタン及びタッチパネルなどである。

出力部７０５は、例えばディスプレイで実現される。出力部７０５は、例えばＧＵＩ（ＧＲＡＰＨＩＣＡＬ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）によるオペレータへの入力要求や、オペレータに対する出力提示などのために用いられる。

通信部７０６は、ホスト９１０及び後述する任意装置９４０とのインタフェースを実現する。通信部７０６は、グラフ化部１１０及びグラフ出力部１２０の一部として含まれてよい。

以上説明したように、図１に示す情報処理装置１００の機能単位のブロックは、図８に示すハードウェア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。

尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給される場合、ＣＰＵ７０１は、記録媒体７０７に格納されたそのプログラムのコードを読み出して実行してもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたそのプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納してもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するそのプログラム（ソフトウェア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。尚、情報を非一時的に記憶する記憶媒体は、不揮発性記憶媒体とも呼ばれる。

以上が、本実施形態における情報処理装置１００を実現するコンピュータ７００の、ハードウェア単位の各構成要素についての説明である。

次に本実施形態の動作について、図面を参照して詳細に説明する。

図９は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されてよい。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。

グラフ化部１１０は、情報処理装置１００の初期化の完了に伴って、自動的に動作を開始する。尚、初期化の完了時において、関係グラフ８２０の内容は、空（カラ）である。また、関係グラフ８２０は、例えば、図８に示す記憶部７０２或いは記憶装置７０３に保持される。

グラフ化部１１０は、イベントログ８１０を受信したか否かを判断する（ステップＳ６０１）。グラフ化部１１０は、例えば、図８に示す通信部７０６を介して、監視対象システム９００からイベントログ８１０を受信する。

イベントログ８１０を受信した場合（ステップＳ６０１でＹＥＳ）、グラフ化部１１０は、受信したイベントログ８１０に基づいて、関係グラフ８２０の内容を生成或いは更新する（ステップＳ６０２）。その後、処理は、ステップＳ６０３へ進む。

イベントログ８１０を受信していない場合（ステップＳ６０１でＮＯ）、処理は、ステップＳ６０３へ進む。

次に、グラフ出力部１２０は、関係グラフ８２０の出力タイミングであるか否かを判断する（ステップＳ６０３）。例えば、グラフ出力部１２０は、図８に示す入力部７０４を介してオペレータからの指示を受けた場合に、その出力タイミングであると判断する。グラフ出力部１２０は、図示しない計時手段を用いて所定の時刻であることを検出した場合に、その出力タイミングであると判断してもよい。グラフ出力部１２０は、上述の例に係わらず任意の手法で、その出力タイミングであることを判断してよい。

出力タイミングである場合（ステップＳ６０３でＹＥＳ）、グラフ出力部１２０は、関係グラフ８２０を出力する（ステップＳ６０４）。その後、処理は、ステップＳ６０１へ戻る。

例えば、グラフ出力部１２０は、関係グラフ８２０を図８に示す出力部７０５を介して出力する。また、グラフ出力部１２０は、図８に示す通信部７０６を介して、図示しない機器に関係グラフ８２０を送信してもよい。また、グラフ出力部１２０は、図８に示す記憶装置７０３を介して、記録媒体７０７に関係グラフ８２０を記録してもよい。

出力タイミングでない場合（ステップＳ６０３でＮＯ）、処理は、ステップＳ６０１へ戻る。

図９に示すフローチャートでは、グラフ化部１１０とグラフ出力部１２０とは、直列的に順番に動作する。しかし、グラフ化部１１０とグラフ出力部１２０とは、並列的に動作してもよい。

図９に示すフローチャートでは、グラフ化部１１０は、イベントログ８１０を受信するたびに関係グラフ８２０を更新する。しかし、グラフ化部１１０は、受信したイベントログ８１０を蓄積し、特定のタイミング（例えば、グラフ出力部１２０が関係グラフ８２０を出力する直前）で、蓄積したイベントログ８１０に基づいて関係グラフ８２０を生成或いは更新してもよい。

上述の説明に係わらず、グラフ化部１１０は、任意の手法でイベントログ８１０を取得してよい。例えば、グラフ化部１１０は、所定の時刻に、イベント監視手段９３０のそれぞれからまとめてイベントログ８１０を取得してよい。この場合、イベント監視手段９３０は、その所定の時間までイベントログ８１０を蓄積する。

また、イベントログ８１０は、図８に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、グラフ化部１１０は、図８に示す入力部７０４を介して操作者が入力した、イベントログ８１０を取得してもよい。また、グラフ化部１１０は、図８に示す通信部７０６を介して図示しない機器から、イベントログ８１０を受信してもよい。また、グラフ化部１１０は、図８に示す記憶装置７０３を介して、記録媒体７０７に記録されたイベントログ８１０を取得してもよい。

＜＜＜第１の実施形態の第１の変形例＞＞＞
グラフ化部１１０は、任意の装置のそれぞれの挙動を示すイベントログ８１０に基づいて、更にその所定の装置を頂点とする、関係グラフ８２０を生成する。その任意の装置は、例えば、任意の、監視エージェントを配置できないホスト、ルータ、センサ、プリンタ及びネットワーク機器などである。

この場合、グラフ化部１１０は、更に、その所定の装置間、及びその所定の装置とプロセス９２０との間のデータ伝達関係を辺とする。

図１０は、ホスト９１０、ホスト９１１、ルータ９４１、センサ９４２、プリンタ９４３及びネットワーク機器９４４を含む監視対象システム９０１と、情報処理装置１００とを備える情報処理システムの構成を示す図である。以後、ルータ９４１、センサ９４２、プリンタ９４３及びネットワーク機器９４４は、総称して、任意装置９４０とも呼ばれる。

グラフ化部１１０は、更に、任意装置９４０のそれぞれの挙動を示すイベントログ８１０を、任意装置９４０の挙動を監視するイベント監視手段から、取得する。そのイベント監視手段は、任意装置９４０に実装された監視エージェントであってよいし、任意装置９４０の挙動を外部から監視する装置であってもよい。

また、ホスト９１１は、自身に監視エージェントを配置できない。そして、ホスト９１１の挙動を直接監視するための適切な外部装置は、存在しない。しかし、グラフ化部１１０は、ホスト９１０上のイベント監視手段９３０から取得できるログに基づいて、プロセス９２０とホスト９１１との間にデータ伝達関係が発生したことを、間接的に認識することができる。具体的には、ホスト９１１は、例えば、ミッションクリティカルなサーバや、外部のウェブサーバなどであってよい。

＜＜＜第１の実施形態の第２の変形例＞＞＞
グラフ化部１１０は、プロセス９２０がアクセスする任意のファイルを頂点とし、その頂点に対するアクセスを辺とする関係グラフ８２０を生成する。

具体的には、辺で表されるプロセス９２０とファイルとの関係は、プロセス９２０によるそのファイルに対するオープン、クローズ、リード及びライト、並びにそのファイルの生成及び消去などの任意の関係である。

換言すると、上述の任意のファイルは、グラフ化部１１０がその挙動を直接的に示すイベントログ８１０を取得できない任意のファイルである。

＜＜＜第１の実施形態の第３の変形例＞＞＞
グラフ化部１１０は、同一の挙動または類似の挙動を示すイベントログ８１０を集約した関係グラフ８２０を生成してよい。

例えば、グラフ化部１１０は、一組の第１の特定のプロセス９２０と第２の特定のプロセス９２０との間の辺を１つとする、関係グラフ８２０を生成してもよい。この場合、グラフ化部１１０は、コネクション確立の回数やデータ量、アクセス頻度などを示す統計情報を、その辺に付加してよい。

また、グラフ化部１１０は、これら統計情報に基づいて、新たなイベントが発生した場合のその新たなイベントが、正常か異常かを判断するための基準を算出し、算出したその基準をその辺に付加してよい。例えば、グラフ化部１１０は、アクセス頻度の平均と標準偏差とに基づいて、次にアクセスがあった場合のそのアクセスの頻度が、その平均からどれくらい乖離したら異常と判断するかのしきい値を算出し、そのしきい値をその辺に付加してよい。

また、グラフ化部１１０は、第１の特定のプロセス９２０と第２の特定のプロセス９２０との間の、同一方向への複数回のデータ伝達を、１つの辺としてもよい。

＝＝＝関係グラフ８２３＝＝＝
図１１は、イベントログ８１０を集約した関係グラフ８２０の具体例である、関係グラフ８２３を示す図である。図１１に示すように、関係グラフ８２３は、辺に付加された「集約されたイベントログの個数」を示す情報を含む。

例えば、頂点識別子が「Ｐ１」のレコードにおける辺の「Ｐ２；ＳＥＮＤ［１］、 Ｐ３；ＳＥＮＤ［３］；ＲＥＣＥＩＶＥ［２］」は、以下のことを示す。第１に、「Ｐ２；ＳＥＮＤ［１］」の部分は、プロセス９２０「Ｐ１」がプロセス９２０「Ｐ２」へのデータ送信を１回実行したことを示す。第２に、「Ｐ３；ＳＥＮＤ［３］」の部分は、プロセス９２０「Ｐ１」がプロセス９２０「Ｐ３」へのデータ送信を３回実行したことを示す。第３に、「Ｐ３；；ＲＥＣＥＩＶＥ［２］」の部分は、プロセス９２０「Ｐ１」がプロセス９２０「Ｐ３」からのデータを２回受信したことを示す。

また、グラフ化部１１０は、データ伝達関係の種別のそれぞれを個別に辺とする、関係グラフ８２０を生成してよい。

その種別は、例えば、ファイルアクセス、ホスト内でのプロセス間通信、別ホスト間でのプロセス間通信及びプロセス生成などの任意の種別であってよい。

グラフ化部１１０は、データ伝達関係の任意の組み合わせを辺とする、関係グラフ８２０を生成してよい。データ伝達関係の任意の組み合わせは、例えば、上述のコネクション単位であってよい。

グラフ化部１１０は、任意の基準に基づいて選択したイベントログ８１０に基づいて、関係グラフ８２０を生成してよい。

具体的には、グラフ化部１１０は、プロセス９２０間のコネクションの確立及び終了のみを辺とする関係グラフ８２０を生成してもよい。また、グラフ化部１１０は、プロセス９２０間のコネクションの確立及び終了と、ファイルのオープン及びクローズと、のみを辺とする関係グラフ８２０を生成してもよい。

グラフ化部１１０は、辺にデータ伝達関係に関する属性（プロパティ）を付加してよい。その属性は、例えば、データ伝達関係の種別の情報や、時刻情報である。

例えば、グラフ化部１１０は、データ伝達関係における転送データ量に関する情報を、辺の属性としてよい。転送データ量に関する情報は、例えば、転送方向や、単位時間当たりの転送量平均値や転送量最大値、所定の期間の転送量合計値など、転送データ量に関する任意の情報であってよい。

また、グラフ化部１１０は、データ伝達関係におけるアクセス回数に関する情報を、辺の属性としてよい。アクセス回数に関する情報は、アクセス方向や、単位時間当たりの平均アクセス回数（平均頻度）や最大アクセス回数（最大頻度）、所定の期間のアクセス累計回数など、アクセス回数に関する任意の情報であってよい。

グラフ化部１１０は、任意の手法で、任意の同一の挙動または類似の挙動の定義に基づいて、イベントログ８１０を集約した辺を含む関係グラフ８２０を生成してよい。尚、「同一の挙動」及び「類似の挙動」は、両方をまとめて「類似の挙動」とも呼ばれる。また、グラフ化部１１０は、イベントログ８１０を集約することなく関係グラフ８２０を生成してよい。

「同一の挙動または類似の挙動の定義」は、例えば、プロセス９２０間のコネクションの確立及び終了や、ファイルのオープン及びクローズなどの定義であってよい。「同一の挙動または類似の挙動の定義」は、通信のプロトコルの定義であってよい。また、「同一の挙動または類似の挙動の定義」は、データの転送方向、データ量を区分けしての、単位時間当たりの転送量平均値や転送量最大値、所定の期間の転送量合計値などの転送データ量に関する任意の情報の定義であってよい。また、「同一の挙動または類似の挙動の定義」は、データ伝達関係における、回数を区分けしての、単位時間当たりの平均アクセス回数（平均頻度）や最大アクセス回数（最大頻度）、所定の期間のアクセス累計回数など、アクセス回数に関する任意の情報の定義であってよい。また、「同一の挙動または類似の挙動の定義」は、時間帯を区分けしての、時間帯の定義であってよい。

これら同一、類似の挙動ごとにイベントログを集約することにより、管理する情報量を削減しつつ、グラフの特性を明瞭化することができる。

また、異なった挙動のイベントログを個別に集約することにより、同一または類似の挙動のイベントログを集約しつつ、特定の同一または類似の挙動のイベントログの操作を容易にすることができる。例えば、普段プロトコルＡで通信している辺で、異常によりプロトコルＢによる通信が発生したとする。このような場合、この異常を対処した後、容易にプロトコルＢによる通信のイベントログを削除することができる。

また、グラフ化部１１０は、関係グラフ８２０にイベントログ８１０が集約された辺を含める場合、その集約されるイベントログ８１０に基づいて、イベントログ８１０が集約された辺の属性を生成してよい。

グラフ化部１１０は一定時間イベントが無かった辺を関係グラフから削除してもよい。例えば、あるコンピュータが廃棄され、もはや該コンピュータの情報は関係グラフから不要になった場合、グラフ化部１１０は該コンピュータとの通信が一定時間無かったことを検出すると、該コンピュータをノードとする辺を削除することができる。

上述した本実施形態における第１の効果は、監視対象システム（監視対象システム９００、監視対象システム９０１）を構成する要素間のデータ伝達関係を含む、その監視対象システムの状態を示す情報を出力することを可能にする点である。

その理由は、グラフ化部１１０が、イベントログ８１０に基づいて、監視対象システムの構造を表す関係グラフ８２０を生成し、グラフ出力部１２０が関係グラフ８２０を出力するからである。

上述した本実施形態における第２の効果は、監視対象システムを構成する要素及び外部の要素間のデータ伝達関係を網羅的にカバーすることを可能にする点である。

その理由は、グラフ化部１１０が、更に任意のファイル及び任意の装置を頂点とする関係グラフ８２０を生成するからである。

上述した本実施形態における第３の効果は、監視対象システムの規模の巨大さや複雑などに係わらず、第１の効果を得ることを可能にする点である、
その理由は、グラフ化部１１０が、イベントログ８１０を集約した関係グラフ８２０を生成するからである。

上述した本実施形態における第４の効果は、監視対象システムを構成する要素間のデータ伝達関係を含む、その監視対象システムの状態をより適切に示す情報を出力することを可能にする点である。

その理由は、グラフ化部１１０が、任意に選択したイベントログ８１０に基づいて、関係グラフ８２０を生成するからである。

＜＜＜第２の実施形態＞＞＞
次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

図１２は、本発明の第２の実施形態に係る情報処理装置２００の構成を示すブロック図である。

図１２に示すように、本実施形態における情報処理装置２００は、第１の実施形態の情報処理装置１００と比べて、グラフ化部１１０に替えてグラフ化部２１０を含み、グラフ出力部１２０に替えてグラフ出力部２２０を含む点が異なる。更に、情報処理装置２００は、情報処理装置１００と比べて、履歴蓄積部２３０を含む点が異なる。

＝＝＝グラフ化部２１０＝＝＝
グラフ化部２１０は、所定のタイミングで、その時点の関係グラフ８２０を復元可能な情報を、例えばその時点の時刻を関連付けて、履歴蓄積部２３０に記録する。その所定のタイミングは、例えば所定の時刻である。その所定のタイミングは、イベントログ８１０の処理数が、所定の閾値に達するタイミングであってよい。また、その所定のタイミングは、上述の例に係わらず、任意のタイミングであってよい。その時点の関係グラフ８２０を復元可能な情報は、例えば、以前のいずれかの時点（例えば、１つ前の時点）の関係グラフ８２０からの差分である。また、その時点の関係グラフ８２０を復元可能な情報は、その時点の関係グラフ８２０そのものであってもよい。

更に、グラフ化部２１０は、最新の関係グラフ８２０を暫定関係グラフとして履歴蓄積部２３０に記録し、イベントログ８１０を取得するたびに、その暫定関係グラフと関連付けられた時刻とを更新してもよい。この場合、グラフ化部２１０は、その所定のタイミングで、その暫定関係グラフの更新を停止し、その暫定関係グラフを確定された関係状態グラフ８２０としてよい。

グラフ化部２１０は、上述の点を除き、図１に示すグラフ化部１１０と同等である。

＝＝＝履歴蓄積部２３０＝＝＝
履歴蓄積部２３０は、関係グラフ８２０を記憶する。履歴蓄積部２３０は、更に、上述の暫定関係グラフを記憶してよい。

＝＝＝グラフ出力部２２０＝＝＝
グラフ出力部２２０は、例えば、図９のステップＳ６０４において、履歴蓄積部２３０に記憶されている関係グラフ８２０、及び履歴蓄積部２３０にまだ記憶されていないグラフ化部２１０が最後に生成した関係グラフ８２０を、任意に出力する。グラフ出力部２２０は、履歴蓄積部２３０に記憶されている暫定関係グラフを出力してよい。

上述した本実施形態における効果は、第１の実施形態の効果に加え、過去及び現在の関係グラフ８２０を出力することを可能にする点である。

その理由は、グラフ化部２１０が所定のタイミングで関係グラフ８２０を履歴蓄積部２３０に記録し、グラフ出力部２２０が履歴蓄積部２３０に記憶された関係グラフ８２０を出力するからである。

＜＜＜第２の実施形態の変形例＞＞＞
図２０は、本変形例の履歴蓄積部２３０の内部構成の一例を示すブロック図である。

図２０に示すように、本変形例の履歴蓄積部２３０は、データベース２００１、タイマー２００２、グラフ情報集約・削減部２００３、キャッシュ２００４を含む。

図２１は、本変形例の履歴蓄積部２３０の動作を示すフローチャートである。

尚、図２１に示すフローチャートの動作とは非同期に、グラフ化部２１０は、関係グラフ８２０をデータベース２００１に書き込むものとする。同じく、グラフ出力部２２０は、データベース２００１から関係グラフ８２０を読み出すものとする。

タイマー２００２は、時間を計時し、所定の時間の経過を検出する（Ｓ２１０２）。

次に、タイマー２００２は、グラフ情報集約・削減部２００３を起動する（２１０３）。尚、タイマー２００２が複数の所定の時間の経過を同時に検出した場合は、複数の所定の時間のそれぞれに対応して、順次、グラフ情報集約・削減部２００３を起動する。

次に、グラフ情報集約・削減部２００３は、データベース２００１に記録された、その所定の時間に対応する全ての関係グラフ８２０に対して、順次、以下のステップＳ２１０５からステップＳ２１１１までの処理を実行する（Ｓ２１０４）。尚、データベース２００１に記録された関係グラフ８２０は、履歴関係グラフとも呼ばれる。

グラフ情報集約・削減部２００３は、その所定の時間に対応する関係グラフ８２０の１つを、データベース２００１から読み出す（Ｓ２１０５）。

次に、グラフ情報集約・削減部２００３は、その関係グラフ８２０を削除するかどうかを判定する（Ｓ２１０６）。判定方法としては、例えば、乱数を発生させ、その乱数に基づいて確率的に、その関係グラフ８２０を削除するかどうかを判定する方法などが挙げられる。

「その関係グラフ８２０を削除する」と判定した場合（Ｓ２１０６でｙｅｓ）、グラフ情報集約・削減部２００３は、その関係グラフ８２０をキャッシュに保持する（Ｓ２１０７）。

次に、グラフ情報集約・削減部２００３は、その関係グラフ８２０をデータベースから削除する（Ｓ２１０８）。

一方、「その関係グラフ８２０を削除しない」と判定した場合（Ｓ２１０６でＮＯ）、グラフ情報集約・削減部２００３は、Ｓ２１０５で読み出した関係グラフ８２０とキャッシュされている関係グラフ８２０とを集約する（Ｓ２１０９）。関係グラフ８２０を集約する方法としては、例えば、同じ情報（例えば、「ノード−エッジ−ノード」の関係が同じ、など）については別個に情報を保持するのではなくその情報を１個のみ保持し、その情報の数を付加するなどがある。

次に、グラフ情報集約・削減部２００３は、データベース２００１のその関係グラフ８２０を更新する（Ｓ２１１０）。

次に、グラフ情報集約・削減部２００３は、キャッシュ２００４をクリアする（Ｓ２１１１）。換言すると、グラフ情報集約・削減部２００３は、キャッシュ２００４内の関係グラフ８２０（即ち、集約された関係グラフ８２０）を削除する。

図２２は、本変形例により、データベース２００１の関係グラフ８２０が時間とともに削減されて行く様子を説明するための図である。

図２２において、実線で示す長方形（例えば、２２０１）は、保持されている関係グラフ８２０が発生時刻の位置にプロットされているものを、点線で示す長方形（例えば、２２０２）は削除され、集約された関係グラフ８２０を、示す。

最近（現在から所定の時間２２０３ａだけ遡った時刻まで）の関係グラフ８２０は全て保持されている。これに対し、所定の時間２２０３ａが経過後（所定の時間２２０３ａの直前から所定の時間２２０３ｂだけ遡った時刻まで）の関係グラフ８２０は、確率的に削除される。削除される関係グラフ８２０の情報は、後続する関係グラフ８２０の同じ情報に集約される。更に所定の時間２２０３ｂが経過後（所定の時間２２０３ｂの直前からから所定の時間２２０３ｃだけ遡った時刻まで）、関係グラフ８２０は、確率的に更に削除され、集約される。

ここで、所定の時間のそれぞれ（所定の時間２２０３ａ遡った時刻から所定の時間２２０３ｂ遡った時刻までの時間や、所定の時間２２０３ｂ遡った時刻から所定の時間２２０３ｃまで遡った時刻までの時間など）は、同一であっても異なっていてもよい。例えば、過去へ遡るほど、その所定の時間が大きくてよい。

また、それぞれの所定の時間ごとに対応する、関係グラフ８２０を削除する確率は、同一であってよいし、異なっていてもよい。

上述した本実施形態における第１の効果は、何も対処せずに関係グラフ８２０の履歴を蓄積すると無限に履歴蓄積部２３０（データベース２００１）のデータ量が増加してしまうことに対し、そのデータ量の増加を抑制することが可能なる点である。

その理由は、グラフ情報集約・削減部２００３が、時間の経過に基づいて、データベース２００１に記録された関係グラフ８２０を、削除するからである。

上述した本実施形態における第２の効果は、より適切に履歴蓄積部２３０のデータ量の増加を抑制することが可能なる点である。

その理由は、グラフ情報集約・削減部２００３が、確率的にデータベース２００１に記録された関係グラフ８２０を、削除するからである。

上述した本実施形態における第３の効果は、履歴蓄積部２３０に記録された関係グラフ８２０を、履歴蓄積部２３０に記録された情報の情報量の減衰を抑制しつつ、履歴蓄積部２３０のデータ量の増加を抑制することが可能なる点である。

その理由は、グラフ情報集約・削減部２００３が、削除される関係グラフ８２０に含まれる情報を、削除されない関係グラフ８２０に集約するからである。

＜＜＜第３の実施形態＞＞＞
次に、本発明の第３の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

図１３は、本発明の第３の実施形態に係る情報処理装置３００の構成を示すブロック図である。

図１３に示すように、本実施形態における情報処理装置３００は、第２の実施形態の情報処理装置２００と比べて、グラフ化部２１０に替えてグラフ化部３１０を含み、問い合わせ処理部３４０を更に含む点が異なる。

＝＝＝グラフ化部３１０＝＝＝
グラフ化部３１０は、生成した関係グラフ８２０を、更に問い合わせ処理部３４０に出力する。グラフ化部３１０は、上述の点を除き、図１２に示すグラフ化部２１０と同等である。

＝＝＝問い合わせ処理部３４０＝＝＝
問い合わせ処理部３４０は、問い合わせ８３０を受信し、その問い合わせ８３０に応答して問い合わせ回答８４０を出力する。

問い合わせ８３０は、関係グラフ８２０の頂点、辺及び部分グラフなどについての任意の条件を含む。また、問い合わせ８３０は、履歴蓄積部２３０に記憶された及びグラフ化部３１０が生成・更新する、関係グラフ８２０に関連付けられた時刻についての条件を含んでよい。

問い合わせ処理部３４０は、それらの条件をキーとして履歴蓄積部２３０を検索し、及びグラフ化部３１０が生成・更新する関係グラフ８２０を確認し、それらの条件を満たす、関係グラフ８２０の頂点、辺及び部分グラフなどを検出する。次に、問い合わせ処理部３４０は、その検出した結果に基づいて、その関係グラフ８２０の頂点、辺及び部分グラフなどの有無、個数、及びその関係グラフ８２０を任意に含む、問い合わせ回答８４０を出力する。

例えば、問い合わせ処理部３４０は、問い合わせ回答８４０を図８に示す出力部７０５を介して出力する。また、問い合わせ処理部３４０は、図８に示す通信部７０６を介して、図示しない機器に問い合わせ回答８４０を送信してもよい。また、問い合わせ処理部３４０は、図８に示す記憶装置７０３を介して、記録媒体７０７に問い合わせ回答８４０を記録してもよい。

また、問い合わせ処理部３４０は、受信した問い合わせ８３０を記憶し、その問い合わせ８３０を記憶し、その問い合わせ８３０に含まれる条件に基づいて、所定の期間、グラフ化部３１０が生成・更新する関係グラフ８２０を確認してもよい。

そして、問い合わせ処理部３４０は、例えば、その条件を満たす、関係グラフ８２０の頂点、辺及び部分グラフなどを最初に検出した場合に、その検出した結果に基づいて、問い合わせ回答８４０を出力する。或いは、問い合わせ処理部３４０は、継続的に、その条件を満たす、関係グラフ８２０の頂点、辺及び部分グラフなどを検出し、その検出した結果に基づいて、問い合わせ回答８４０を出力してもよい。

尚、上述のように、問い合わせ処理部３４０が、その問い合わせ８３０を記憶し、グラフ化部３１０が生成・更新する関係グラフ８２０を検索する場合、情報処理装置３００は履歴蓄積部２３０を含まない構成であってもよい。

また、問い合わせ処理部３４０が、グラフ化部３１０が生成・更新する関係グラフ８２０を問い合わせ８３０の対象にしない場合、グラフ化部３１０は、関係グラフ８２０を問い合わせ処理部３４０へ出力しないでよい。即ち、この場合、グラフ化部３１０は、グラフ化部２１０であってよい。

尚、問い合わせ処理部３４０は、図１に示す情報処理装置１００に適用されてもよい。この場合、問い合わせ処理部３４０は、例えばグラフ化部１１０が生成・更新する関係グラフ８２０について、上述した動作を実行する。

上述した本実施形態における効果は、第２の実施形態の効果に加え、情報処理システムを構成する要素間のデータ伝達関係を含む、その情報処理システムの状態をより適切に示す情報を出力することを可能にする点である。

その理由は、問い合わせ処理部３４０が、問い合わせ８３０に含まれる条件を満足する、関係グラフ８２０に関する情報を含む、問い合わせ回答８４０を出力するからである。

＜＜＜第３の実施形態の変形例＞＞＞
図２３は、本変形例の情報処理装置３０１の構成を示すブロック図である。

図２３に示すように、本変形例の情報処理装置３０１が情報処理装置３００と異なる点は、問い合わせ回答８４０がグラフ出力部３２０に入力される点である。

グラフ出力部３２０は、問い合わせ８３０に対する問い合わせ回答８４０の情報を、グラフ化部３１０及び履歴蓄積部２３０から出力される関係グラフ８２０に重畳して出力する。

例えば、問い合わせとして「ノードＰ３からノードＰ２へＳｅｎｄが発生したら通知」という問い合わせ８３０が入力され、図１１と同様のイベントが発生したとする。すると、グラフ化部３１０は該イベントに基づいて関係グラフ８２０を生成し、グラフ出力部３２０へ出力するとともに、問い合わせ処理部３４０へ出力する。

次に、問い合わせ処理部３４０は問い合わせ８３０に基づいて、その関係グラフ８２０を検索し、検出した情報（ここでは、「ノードＰ３からノードＰ２へＳｅｎｄ」）を、グラフ出力部３２０へ出力する。

グラフ出力部３２０は、その関係グラフ８２０とその検出された情報とを重畳して、ディスプレイなどにその検出した情報重畳された関係グラフ８２０を出力する。

図２４は、その検出された情報が重畳されたネットワーク図関係グラフ２４２５（関係グラフ８２０）の一例を示す図である。問い合わせ８３０がない場合、出力は図７に示すようになる。しかし、本実施形態のように問い合わせ８３０がある場合、図２４に示すように、Ｐ３からＰ２へのＳｅｎｄを表すエッジ２４０８が強調されて表示される。強調する方法としては、例えば、他のエッジと異なった色で表示するや、表示を点滅させる、線種（太さ、模様）を変えて表示する、或いはアニメーション化するなど、であってよいし、それらに限らない。

上述した本変形例における効果は、関係グラフ８２０全体の中で、問い合わせに合致した部分がどこに位置するかが一見して分かるようにすることが可能になる点である。

その理由は、問い合わせ処理部３４０が、問い合わせ８３０に対応する関係グラフ８２０に関する情報を出力し、グラフ出力部３２０がその情報を重畳した関係グラフ８２０を出力するからである。

＜＜＜第４の実施形態＞＞＞
次に、本発明の第４実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

図１４は、本発明の第４の実施形態に係る情報処理装置４００の構成を示すブロック図である。

図１４に示すように、本実施形態における情報処理装置４００は、第１の実施形態の情報処理装置１００と比べて、グラフ化部１１０に替えてグラフ化部４１０を含み、マイニング部４５０を更に含む点が異なる。

＝＝＝グラフ化部４１０＝＝＝
グラフ化部４１０は、生成した関係グラフ８２０を、更にマイニング部４５０に出力する。グラフ化部４１０は、上述の点を除き、図１に示すグラフ化部１１０と同等である。

＝＝＝マイニング部４５０＝＝＝
マイニング部４５０は、マイニング要求８５０を受信する。次に、マイニング部４５０は、グラフ化部４１０から受け取った関係グラフ８２０に対して、そのマイニング要求８５０に基づいて、分析（マイニング）を実行する。次に、マイニング部４５０は、その分析の結果である分析結果８６０を、そのマイニング要求８５０への応答として送信する。

マイニング要求８５０は、関係グラフ８２０に対して実施する分析の内容を指定する。その分析の内容は、例えば、グラフ・クラスタリングや、頻出パターン検出、媒介中心性などである。

グラフ・クラスタリングは、関係グラフ８２０の頂点を「コミュニティ」に分割するための分析である。例えば、関係グラフ８２０の頂点は、「コミュニティ」は、同一コミュニティに属する頂点間は辺が密になるように、同一コミュニティに属さない頂点間は辺が疎になるように分割される。

頻出パターン検出は、関係グラフ８２０内に頻出する部分グラフのパターンを検出するための分析である。例えば、出現数が上位ｋ番目までの、部分グラフのパターンが抽出される。

媒介中心性は、各頂点が、全ての頂点のペアに対する最短経路の途中経路になる回数を求めるための分析である。例えば、各頂点に対応するその回数が計数される。

以上の例に係わらず、マイニング要求８５０は、任意のマイニング（グラフマイニング、グラフ構造マイニング、グラフ構造分析とも呼ばれる）の内容を指定してよい。

マイニング部４５０は、グラフ化部４１０が生成する関係グラフ８２０について、マイニング要求８５０に含まれる分析の内容に基づいて、マイニングを実行する。次に、マイニング部４５０は、そのマイニングの実行の結果を分析結果８６０として出力する。

例えば、マイニング部４５０は、分析結果８６０を図８に示す出力部７０５を介して出力する。また、マイニング部４５０は、図８に示す通信部７０６を介して、図示しない機器に分析結果８６０を送信してもよい。また、マイニング部４５０は、図８に示す記憶装置７０３を介して、記録媒体７０７に分析結果８６０を記録してもよい。

尚、マイニング部４５０は、図２に示す情報処理装置２００に適用されてもよい。この場合、マイニング部４５０は、履歴蓄積部２３０に記憶される関係グラフ８２０についても同様に、上述の動作を実行してよい。

上述した本実施形態における効果は、第１の実施形態の効果に加え、情報処理システムを構成する要素間のデータ伝達関係を含む、その情報処理システムの状態をより適切に示す情報を出力することを可能にする点である。

その理由は、マイニング部４５０が、マイニング要求８５０に含まれる分析の内容に基づいて、関係グラフ８２０を分析（マイニング）し、その結果を分析結果８６０として出力するからである。

＜＜＜第４の実施形態の第１の変形例＞＞＞
第４の実施形態は、第３の実施形態の変形例の技術を適用されてもよい。

即ち、本変形例のマイニング部４５０が出力する分析結果８６０は、本変形例のグラフ出力部１２０に入力されてよい。そして、本変形例のグラフ出力部１２０は、分析結果８６０の情報を、グラフ化部４１０及から出力される関係グラフ８２０に重畳して出力する。

上述した本変形例における効果は、関係グラフ８２０全体の中で、マイニング要求８５０に合致した部分がどこに位置するかが一見して分かるようにすることが可能になる点である。

その理由は、マイニング部４５０が、マイニング要求８５０に対応する関係グラフ８２０に関する情報を出力し、グラフ出力部１２０がその情報を重畳した関係グラフ８２０を出力するからである。

＜＜＜第４の実施形態の第２の変形例＞＞＞
図２５は、本変形例の情報処理装置４０１の構成を示すブロック図である。

本変形例は、現在の関係グラフ８２０と過去の関係グラフ８２０とのそれぞれに個別に分析を実施し、それらの分析の結果を比較することにより、ネットワークの状況がいつもと違うことを検出することを特徴とする。

図２５に示すように本変形例の情報処理装置４０１は、グラフ化部４１０及び第１のマイニング部４５０に加え、履歴蓄積部４３０と、第２のマイニング部４５１と、比較部４６０と、グラフ出力部４２０と、を含む。

本変形例のグラフ化部４１０は、生成した関係グラフ８２０を履歴蓄積部４３０及びマイニング部４５０に出力する。

本変形例の履歴蓄積部４３０は、マイニング部４５１からもアクセスされる点を除いて、図１２に示す履歴蓄積部２３０と同等である。

第１のマイニング部４５０は、グラフ化部４１０から関係グラフ８２０（現在の関係グラフ８２０）を受け取り、その現在の関係グラフ８２０を分析する。

第２のマイニング部４５１は、履歴蓄積部４３０から関係グラフ８２０（過去の関係グラフ８２０）を受け取り、その過去の関係グラフ８２０を分析する。

比較部４６０は、第１のマイニング部４５０による分析の結果と、第２のマイニング部４５１による分析の結果と、を比較して差分を抽出し、その差分を出力する。

グラフ出力部４２０は、その差分を関係グラフ８２０上に重畳し出力する。例えば、グラフ出力部４２０は、グラフ化部４１０からの現在の関係グラフ８２０もしくは履歴蓄積部４３０からの過去の関係グラフ８２０の、その差分に相当する部分を強調して表示するように、関係グラフ８２０を出力する。

上述した本変形例における効果は、現在の関係グラフ８２０のうち、過去の関係グラフ８２０と統計的に異なる部分が、即ち普段と異なった関係グラフの部分が、視覚的に明瞭に判別できるようにすることが可能になる点である。

その理由は、以下の構成を含むからである。第１に、マイニング部４５０及びマイニング部４５１のそれぞれが、グラフ化部４１０及び履歴蓄積部４３０のそれぞれから受け取った関係グラフ８２０を分析する。第２に、比較部４６０が、マイニング部４５０及びマイニング部４５１のそれぞれの分析の結果の、差分を抽出する。第３に、グラフ出力部４２０が、その差分に更に基づいて関係グラフ８２０を表示する。

＜＜＜第５の実施形態＞＞＞
次に、本発明の第５実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

図１５は、本発明の第５の実施形態に係る情報処理装置５００の構成を示すブロック図である。

図１５に示すように、本実施形態における情報処理装置５００は、第１の実施形態の情報処理装置１００と比べて、グラフ出力部１２０に替えてグラフ出力部５２０を含む点が異なる。

＝＝＝グラフ出力部５２０＝＝＝
グラフ出力部５２０は、図表で表される関係グラフ８２０を生成し、出力する。グラフ出力部５２０は、上述の点を除き、図１に示すグラフ出力部１２０と同等である。

図表は、例えば、ネットワーク図やマトリックスである。次に、図表で表される関係グラフ８２０の例を説明する。

図１６は、図１１に示す関係グラフ８２３に対応する、ネットワーク図で表される関係グラフ８２０の具体的な例である、ネットワーク図関係グラフ８２５を示す図である。

図１６において、円形は頂点を示し、円形の中の文字列は頂点識別子を示す。また、円形を結ぶ線分は辺を示す。各辺に添えられた文字列（例えば、［１］）は、辺の属性である。

図１７は、図１１に示す関係グラフ８２３に対応する、マトリックスで表される関係グラフ８２０の具体的な例である、マトリックス関係グラフ８２６を示す図である。

図１７は、縦軸の頂点識別子（左端の頂点識別子）のリストで特定される頂点を辺のｆｒｏｍ（始端）側の頂点とし、横軸の頂点識別子（最上行の頂点識別子）のリストで特定される頂点を辺のｔｏ（終端）側の頂点とする、マトリックスである。マトリックスのセル内の数値（例えば、「１」）は、ｆｒｏｍ側の頂点からｔｏ側の頂点へのアクセス回数を示す。

図１８は、図６に示す関係グラフ８２４に対応する、ネットワーク図で表される関係グラフ８２０の具体的な例である、ネットワーク図関係グラフ８２７を示す図である。

図１８において、円形は頂点を示し、円形の中の文字列は頂点識別子を示す。また、円形を結ぶ線分は辺を示す。

図１９は、図６に示す関係グラフ８２４に対応する、マトリックスで表される関係グラフ８２０の具体的な例である、マトリックス関係グラフ８２８を示す図である。

図１９は、縦軸の頂点識別子（左端の頂点識別子）のリストで特定される頂点を辺のｆｒｏｍ側（要求側）側の頂点とし、横軸の頂点識別子（最上行の頂点識別子）のリストで特定される頂点を辺のｔｏ側（待受側）の頂点とする、マトリックスを示す図である。マトリックスのセル内の文字列（例えば、「ＲＥＡＤ」）は、ｆｒｏｍ側の頂点からｔｏ側の頂点への辺の有無（ＮＬ：辺なし、ＮＬ以外：辺あり）及び属性（Ｌ０、Ｌ１及びＬ２）のいずれかを示す。

マトリックスは、図１９の例に係わらず、任意の形式のマトリックスであってよい。また、ネットワーク図は、図１８の例に係わらず、任意の形式のネットワーク図であってよい。グラフ出力部５２０は、上述の例に係わらず、任意の種類の図表により表わされる関係グラフ８２０を、任意に組み合わせて或いは単独で出力してよい。

尚、グラフ出力部５２０は、図１２に示す情報処理装置２００に適用されてもよい。この場合、グラフ出力部５２０は、履歴蓄積部２３０に記憶される関係グラフ８２０についても同様に、図表で表される関係グラフ８２０を生成し、出力してよい。

同様に、本実施形態で示す技術は、図１３に示す情報処理装置２００、図１４に示す情報処理装置４００、図２３に示す情報処理装置３０１及び図２５に示す情報処理装置４０１のそれぞれに適用されてもよい。

＜＜＜第５の実施形態の変形例＞＞＞
グラフ出力部５２０は、関係グラフ８２０の時間的変化を表す表示情報を出力してよい。

その表示情報は、例えば、関係グラフ８２０の状態の変化を動画で示す情報であってよい。また、その表示情報は、関係グラフ８２０の複数の時点の状態を、並べて示す情報であってもよい。

その表示情報は、現在時刻に対応してリアルタイムに更新される情報であってよい。また、グラフ出力部５２０が情報処理装置２００に適用される場合、その表示情報は、要求された時間範囲に対応する情報であってもよい。

上述した本実施形態における効果は、第１の実施形態の効果に加え、関係グラフ８２０を、ユーザがより認知しやすい形式で提供することを可能にする点である。

その理由は、グラフ出力部５２０が、図表で表される関係グラフ８２０を生成し、出力するからである。更に、グラフ出力部５２０が、関係グラフ８２０の時間的変化を表す表示情報を出力するからである。

以上、各実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得るさまざまな変更をすることができる。

この出願は、２０１４年３月２０日に出願された日本出願特願２０１４−０５８４９６、及び２０１４年６月６日に出願されたＰＣＴ国際出願ＰＣＴ／ＪＰ２０１４／００３０１４を基礎とする優先権を主張し、その開示の全てをここに取り込む。

本発明は、情報処理システムの構成管理や運用管理、セキュリティ管理などを行う情報処理装置、監視方法、及びそのためのプログラムに適用できる。

１００ 情報処理装置
１１０ グラフ化部
１２０ グラフ出力部
２００ 情報処理装置
２１０ グラフ化部
２２０ グラフ出力部
２３０ 履歴蓄積部
３００ 情報処理装置
３０１ 情報処理装置
３１０ グラフ化部
３２０ グラフ出力部
３４０ 問い合わせ処理部
４００ 情報処理装置
４０１ 情報処理装置
４１０ グラフ化部
４２０ グラフ出力部
４３０ 履歴蓄積部
４５０ マイニング部
４５１ マイニング部
４６０ 比較部
５００ 情報処理装置
５２０ グラフ出力部
７００ コンピュータ
７０１ ＣＰＵ
７０２ 記憶部
７０３ 記憶装置
７０４ 入力部
７０５ 出力部
７０６ 通信部
７０７ 記録媒体
８１０ イベントログ
８１１ イベントログ
８２０ 関係グラフ
８２１ 関係グラフ
８２２ 関係グラフ
８２３ 関係グラフ
８２４ 関係グラフ
８２５ ネットワーク図関係グラフ
８２６ マトリックス関係グラフ
８２７ ネットワーク図関係グラフ
８２８ マトリックス関係グラフ
８３０ 問い合わせ
８４０ 問い合わせ回答
８５０ マイニング要求
８６０ 分析結果
９００ 監視対象システム
９０１ 監視対象システム
９１０ ホスト
９１１ ホスト
９２０ プロセス
９３０ イベント監視手段
９３１ プロセス生成監視手段
９３２ ファイルアクセス監視手段
９３３ ホスト内プロセス間通信監視手段
９３４ ホスト間プロセス間通信監視手段
９４０ 任意装置
９４１ ルータ
９４２ センサ
９４３ プリンタ
９４４ ネットワーク機器
２００１ データベース
２００２ タイマー
２００３ グラフ情報集約・削減部
２００４ キャッシュ
２４０８ エッジ
２４２５ ネットワーク図関係グラフ

Claims (30)

1. システムにおいて動作する複数のプロセスのそれぞれの挙動を示すイベントログに基づいて、前記プロセスを頂点とし、前記頂点間のデータ伝達関係を辺とする、関係グラフを生成するためのグラフ化手段と、
   前記関係グラフを出力するためのグラフ出力手段と、を含む
   情報処理装置。
2. 前記システムは、任意の前記プロセスのそれぞれが動作する、ネットワークで接続された複数のホストを含み、
   前記グラフ化手段は、少なくとも、前記ホストのそれぞれに存在する監視エージェントから前記イベントログを取得する
   請求項１記載の情報処理装置。
3. 前記グラフ化手段は、任意の装置のそれぞれの挙動を示すイベントログに基づいて、更に前記所定の装置を頂点とする前記関係グラフを生成する
   請求項１または２記載の情報処理装置。
4. 前記グラフ化手段は、更に、前記プロセスがアクセスする、任意のファイル及び装置を前記頂点とし、前記アクセスを前記辺とする前記関係グラフを生成する
   請求項１乃至３のいずれか１項に記載の情報処理装置。
5. 前記グラフ化手段は、更に、前記プロセスによる新たなプロセスの生成を辺とする前記関係グラフを生成する
   請求項１乃至４のいずれか１項に記載の情報処理装置。
6. 前記グラフ化手段は、類似の挙動を示す前記イベントログが集約された前記辺を含む前記関係グラフを生成する
   請求項１乃至５のいずれか１項に記載の情報処理装置。
7. 前記関係グラフに基づいて、新たなイベントが発生したときの前記イベントが正常か異常かを判断するための基準を算出する
   請求項６記載の情報処理装置。
8. 前記グラフ化手段は、前記辺における前記類似の挙動に情報を前記辺の属性とする
   請求項６または７記載の情報処理装置。
9. 前記グラフ化手段は、特定の前記辺に対応するイベントが一定期間発生しなかった場合、前記特定の辺を削除する
   請求項６乃至８のいずれか１項に記載の情報処理装置。
10. 前記グラフ化手段は、前記辺における転送データ量に関する情報を前記辺の属性とする、前記関係グラフを生成する
    請求項１乃至９のいずれか１項に記載の情報処理装置。
11. 前記グラフ化手段は、前記辺におけるアクセス回数に関する情報を前記辺の属性とする、前記関係グラフを生成する
    請求項１乃至１０のいずれか１項に記載の情報処理装置。
12. 前記グラフ化手段は、前記データ伝達関係の種別のそれぞれを個別に、前記辺とする前記関係グラフを生成する
    請求項１乃至１１のいずれか１項に記載の情報処理装置。
13. 前記グラフ化手段は、前記データ伝達関係の任意の組み合わせを前記辺とする前記関係グラフを生成する
    請求項１乃至１２のいずれか１項に記載の情報処理装置。
14. 前記グラフ化手段は、任意の基準に基づいて選択した前記イベントログに基づいて、前記関係グラフを生成する
    請求項１乃至１３のいずれか１項に記載の情報処理装置。
15. 前記辺は、前記頂点の関係に関するプロパティを含む
    請求項１乃至１４のいずれか１項に記載の情報処理装置。
16. 前記関係グラフを履歴関係グラフとして記憶する履歴蓄積手段を更に含み、
    前記グラフ化手段は、前記履歴関係グラフ及び前記イベントログに基づいて、前記履歴関係グラフを更新することで生成する前記関係グラフを出力する
    請求項１乃至１５のいずれか１項に記載の情報処理装置。
17. 前記履歴蓄積手段は、時間の経過に基づいて、前記履歴関係グラフを削除する
    請求項１６記載の情報処理装置。
18. 前記履歴蓄積手段は、前記履歴関係グラフを削除する場合、確率的に削除する
    請求項１７記載の情報処理装置。
19. 前記履歴蓄積手段は、前記履歴関係グラフを削除する場合、削除される前記履歴関係グラフに含まれる情報を、削除されない前記履歴関係グラフに集約する
    請求項１７または１８記載の情報処理装置。
20. 問い合わせを受信し、前記問い合わせに対応する前記関係グラフに関する情報を送信する問い合わせ処理手段を更に含む
    請求項１乃至１９のいずれか１項に記載の情報処理装置。
21. 前記問い合わせ処理手段は、前記問い合わせに対応する前記関係グラフに関する情報を前記グラフ出力手段に出力し、
    前記グラフ出力手段は、前記関係グラフのうち前記問い合わせに対応する部分を強調表示する
    請求項２０記載の情報処理装置。
22. マイニング要求に基づいて、前記関係グラフの分析を実行し、前記分析の結果を出力するマイニング手段を更に含む
    請求項１乃至２１のいずれか１項に記載の情報処理装置。
23. 前記マイニング手段は、前記分析の結果を前記グラフ出力手段に入力し、
    前記グラフ入力手段は、前記関係グラフのうち前記マイニング要求に対応する部分を強調表示する
    請求項２２記載の情報処理装置。
24. 前記マイニング手段は、現在の関係グラフの分析を実行し、前記分析の結果を出力する第１のマイニング手段であり、
    過去の関係グラフの分析を実行し、前記分析の結果を出力する第２のマイニング手段と、
    一つの前記マイニング要求に基づいて、前記第１のマイニング手段が出力する分析の結果と前記第２のマイニング手段が出力する分析の結果とを比較し、比較した結果に基づいて差分を出力する比較手段と、を更に含む
    請求項２２または２３記載の情報処理装置。
25. 前記比較手段は、前記差分を前記グラフ出力手段に入力し、
    前記グラフ入力手段は、前記関係グラフのうち前記差分の部分を強調表示する。
    請求項２４記載の情報処理装置。
26. 前記グラフ出力手段は、異なった色での表示、表示の点滅、異なる線の太さ、異なる線のパターン、及びアニメーション化の少なくともいずれかにより、前記部分を強調表示する
    請求項２１、２３及び２５のいずれか１項に記載の情報処理装置。
27. 前記グラフ出力部は、図表で表される前記関係グラフを生成し、出力する
    請求項１乃至２６のいずれか１項に記載の情報処理装置。
28. 請求項１乃至２７のいずれかに記載の情報処理装置と、
    少なくとも、プロセスの生成、ファイルのアクセス及びプロセス間の通信のいずれかのイベントを監視するイベント監視手段と、を含む
    情報処理システム。
29. システムにおいて動作する複数のプロセスのそれぞれの挙動を示すイベントログに基づいて、前記プロセスを頂点とし、前記頂点間のデータ伝達関係を辺とする、関係グラフを生成し、
    前記関係グラフを出力する
    監視方法。
30. システムにおいて動作する複数のプロセスのそれぞれの挙動を示すイベントログに基づいて、前記プロセスを頂点とし、前記頂点間のデータ伝達関係を辺とする、関係グラフを生成する処理と、
    前記関係グラフを出力する処理と、をコンピュータに実行させる
    プログラムを記録したコンピュータ読み取り可能な不揮発性非一時的記録媒体。

Images