WO2006129676A1

WO2006129676A1 - 監視方法、監視システム、システム用のプログラム、及びプログラムを記録した記録媒体

Info

Publication number: WO2006129676A1
Application number: PCT/JP2006/310809
Authority: WO
Inventors: Koichiro Shoji; Takashi Nozaki
Original assignee: Science Park Corporation
Priority date: 2005-05-31
Filing date: 2006-05-30
Publication date: 2006-12-07
Also published as: JP4911530B2; CN101223510B; EP1887473A4; US7945917B2; US20100162273A1; JPWO2006129676A1; CN101223510A; EP1887473A1

Abstract

　【課題】クライアントコンピュータの利用状況を監視するために画面イメージを取得し、取得した画面イメージを効率的に保存し、保存した画面イメージを容易に検索可能にする。　【解決手段】クライアントコンピュータ（２）において、画面イメージを生成するときの描画コマンドを、ドライバウェア（２２）によって取得し、描画コマンドからテキストデータを抽出する。抽出したテキストデータと描画コマンドを関連付けて、サーバ（３）のデータベース（１３）に格納する。データベース（１３）をキーワードによって検索し、関連付けられた描画コマンドから画面イメージを再生する。

Description

明細書

監視方法、監視システム、システム用のプログラム、及びプログラムを記録した記録媒体

技術分野

[0001] 本発明は、電子計算機の利用状況を監視するための監視方法、その方法を適用した監視システム、そのシステムにて用いられるプログラム、及びそのプログラムを記録した電子計算機での読み取り可能な記録媒体に関する。特に、 LAN (Local Area Ne twork)等の通信網に接続するクライアントコンピュータのディスプレイに表示される画面イメージを監視する監視方法、監視システム、システム用のプログラム、及びプログラムを記録した記録媒体に関する。

背景技術

[0002] 企業や政府機関等が入って!/、る建造物、学校校舎等の構内に LAN (Local Area Network)等のネットワークを構築するシステムが普及している。このネットワークに接続されて!、るクライアントコンピュータからは、インターネット等の外部通信網へのァクセスが可能であり、及びシステム内の情報や装置等を複数の利用者が共有している

[0003] これらの利用者は、クライアントコンピュータを用いて業務を行って!/、る。また、これらの利用者は、クライアントコンピュータ力外部通信網へアクセスしたり、システム内の共有された情報及び装置へアクセスしたりしてその業務に必要な行為を行っている。し力しながら、直接的に業務と関係の無いウェブページにアクセスする行為、及びゲームを行う行為等の非業務行為も行われており、業務効率の悪ィ匕等の諸問題が発生している。

[0004] 更に、非業務行為としては、情報の改竄、漏洩、及び破壊等の不正行為が行われる可能性もある。非業務行為が行われている場合でも、業務を行っている状況と一見しただけでは判別がつかず、規制が困難であるという問題がある。ウェブページのァクセス記録を蓄積することにより、業務と関係がないウェブページへのアクセスを調査する方法もある。 [0005] ウェブページの IPアドレス等のアクセス記録から閲覧したウェブページを調査することは容易ではなぐまたオフラインゲーム等の遊興行為については、記録が残り難く調査が困難であるという問題がある。このために、ネットワークに接続されているクライアントコンピュータの利用状況を監視するものとして様々なシステムが提案されている。特許文献 1には、 LAN接続されたクライアントコンピュータの利用状況を監視するシステムを開示している。

[0006] このシステムにおヽては、 LANに接続された被監視装置の画面を、 LANに接続された監視装置のディスプレイに表示し、また、 LANに接続された記録装置に記録して保存している。受信した表示画像情報は、送信元の被監視装置を特定する識別情報及び時刻に対応付けて、記録装置に格納されている履歴データベースに記録して、る。この履歴データベースを元にクライアントコンピュータに利用状況を追跡することが可能になっている。

[0007] 特許文献 2には、一台のサーバコンピュータで複数のエージェントコンピュータを監視するシステムを開示して、る。エージェントコンピュータのビデ才ディスプレイに表示された画像を圧縮して、ネットワークを介してサーバコンピュータに送信して、展開してビデオディスプレイに表示するか圧縮した状態で記憶装置に記録して、る。また、エージェント上に稼動中の処理の名称を取り出して、サーバコンピュータに送信して、画面の圧縮に伴う情報の欠落を補足している。

[0008] 特許文献 1 :特開 2003— 91433号公報

特許文献 2 :特開 2001— 229141号公報

発明の開示

発明が解決しょうとする課題

[0009] 画面に表示される画面イメージをビットマップ、 JPEG等の画像ベースの形式で保存する方法は、取り扱うデータ量が大きぐネットワークで伝送するとき通信データ大きくなり、記録装置への記録量が膨大なデータになる。この従来の方法では、クライアントコンピュータの利用状況を、保存された画面イメージを再生しながら確認して、る。保存された稼動処理の名称からは、どのようなプログラムが起動しているかを確認できるが、画面に表示されて、る内容までは把握できな、。 [0010] クライアントコンピュータの画面イメージを画像形式で保存しているため、画面に表示されたテキスト情報を検索することができない。画面の表示を追跡するときに、保存された画面イメージを一画面ずつ開いて再生しながら確認している。このような追跡方法では、必要な画面を簡単に見たり、表示したりすることができない。画像認識の画像処理技術を用いて、画面イメージ力その中に表示されて!、るテキストデータを認識することは理論的にできる力そのための画像処理をするデータ量が膨大になるため、画面に表示されている連続再生の画面イメージ力テキストデータを読み取ることは実用的ではない。

[0011] 本発明は上述のような技術背景のもとになされたものであり、下記の目的を達成する。

本発明の目的は、クライアントコンピュータの利用状況を監視するために画面ィメージを取得し、取得した画面イメージを効率的に保存するための監視方法、監視システム、システム用のプログラム、及びプログラムを記録した記録媒体を提供する。

[0012] 本発明の他の目的は、クライアントコンピュータの利用状況を監視するために保存した画面イメージを容易に検索可能にするための監視方法、監視システム、システム用のプログラム、及びプログラムを記録した記録媒体を提供する。

[0013] 本発明の更に他の目的は、クライアントコンピュータの利用状況を監視するために保存した描画コマンドベースの画面イメージを再生するための監視方法、監視システム、システム用のプログラム、及びプログラムを記録した記録媒体を提供する。

課題を解決するための手段

[0014] 本発明は、前記目的を達成するため、次の手段を採る。

本発明は、クライアントコンピュータの利用状況を監視するための監視方法、監視システム、システム用のプログラム、及びプログラムを記録した記録媒体を提供する。本発明は、電子計算機をオペレーティングシステムによって動作させ、電子計算機の表示装置に表示される表示イメージを記録して、電子計算機の利用状況を監視するものである。本発明の監視システムは、電子計算機の表示装置に表示される画面ィメージと、この画面イメージ力抽出されたテキストデータとを関連付けてデータベース化して保存する。 [0015] 画面イメージは、この画面イメージを電子計算機で生成するときの、描画コマンドをベースにして保存される。また、画面イメージは、ラスターデータで保存されることができる。描画コマンドは、テキストデータとしてデータベースに保存される。このデータベースは、サーバに格納されている。サーバは、電子計算機とネットワークによって接続される。サーバは、データベースを検索するための検索手段と、保存されたラスタ一データや描画コマンドから画面イメージを再生するための再生手段を備える。

[0016] 電子計算機の利用状況を把握するために、キーワードによってデータベースを検索手段で検索し、検索の検索結果を表示手段で表示する。更に、検索の検索結果のテキストデータに関連付けられたもので、データベースに格納された描画コマンド等の関数を用いて表示イメージを再生手段で再生する。電子計算機は、オペレーテイングシステムによって制御されて動作する。オペレーティングシステム又はオペレーティングシステム上に動作するアプリケーションプログラム力電子計算機の表示装置にデータを表示するとき、オペレーティングシステムのグラフィック機能を提供するサブシステム（GDI32、 GDI)が表示イメージを生成している。

[0017] 画面イメージは、 GDI32、 GDIが提供している関数である描画コマンドによって生成される。描画コマンドには、画面イメージに、ベクターデータを表示するものと、ラスターデータを表示するものがある。また、テキストデータを表示するものもある。ォペレ一ティングシステムのカーネルモードで動作するインターフェースドライバ手段からなる取得手段を電子計算機とサーバが備える。インターフェースドライバ手段は、オペレーティングシステム又はアプリケーションプログラムと、サブシステムの入力機能又は出力機能とのインターフェースを提供する。

[0018] サブシステム（GDI32、 GDI)が表示イメージを生成するために実行する描画コマンド等の関数を、サブシステム (GDI32、 GDI)の入力機能又は出力機能を利用して取得する。つまり、描画コマンドは、 GDI32、 GDI,ディスプレイデバイスドライバ等の入出力機能を利用して取得する。取得された関数力テキストデータを抽出し、テキストデータと関数を関連付けて、データベースに格納する。描画コマンド等の関数の取得は、取得手段によって行われる。取得手段は、関数をインターフェースドライバ手段のインターフェースによって取得する。 [0019] アプリケーションプログラムからデータを画面に表示する要求が出力され、オペレーティングシステムのグラフィック関連の機能を提供するサブシステム GDI32にデータが渡されるとき、描画コマンドが取得される。また、 GDI32からオペレーティングシステムのカーネルモードの GDIにデータが渡されるとき、又は GDIが実行するときに、描画コマンドが取得される。

[0020] 電子計算機は、取得手段によって取得した取得データをサーバに送信するための送信手段を備える。サーバは、電子計算機の送信手段によって送信されてきたデータを受信する受信手段と、このデータに含まれる取得データをデータベースに格納する格納手段を備える。電子計算機力画面イメージがサーバに送信されてくると、画面イメージ力テキストデータを抽出して、この画面イメージと関連つけてデータべースに保存する。画面イメージ力もテキストデータを抽出する機能は、電子計算機が有することができる。

[0021] インターフェースドライバ手段は、記憶装置力データを取り出すための記録装置用ドライバ部と、表示装置に直接表示可能な表示イメージを生成するためのグラフィックデバイスドライバにデータを出力するためのインターフェース部とを有する。サーバの再生手段は、記録装置用ドライバ部とインターフェース部を有する。サーバにおいては、データベースに格納された関数を記録装置用ドライバ部によって取得して、インターフェース部に出力して、表示イメージを再生する。

[0022] 電子計算機においては、アプリケーションプログラムの操作履歴、電子計算機の入力装置から入力される操作履歴、電子計算機の通信履歴、及び電子計算機の固有情報、サブシステムから出力されるラスターデータ、及び関数の実行時間の中から選択される 1以上のデータを取得手段が取得する。これらの履歴データは、テキストデータ又は関数に関連付けてデータベースに格納する。データベースには、画面ィメージに含まれるベクターデータとラスターデータの代わり、ベクターデータとラスターデータが保存された保存先のリンクを格納する方法を採用しても良い。

[0023] 電子計算機の利用状況を把握するために、キーワードによってデータベースを検索手段で検索し、検索の検索結果を表示手段で表示し、検索の検索結果のテキストデータに関連付けられたもので、データベースに格納された関数を用いて表示ィメージを再生手段で再生する。データベースに格納されている履歴データ、関数、画面イメージ等の電子計算機に関するデータに基づいて、電子計算機の利用状況を示すレポートを作成する機能を監視システムが備える。

[0024] このレポートは、監視システムの管理者の指示によって、又は定期的に作成される。サーバは、このレポートを作成するためのレポート作成手段を有する。レポート作成手段は、電子計算機に関するデータを分析し、その結果をまとめてレポートにする。レポートは、電子計算機の固有情報、電子計算機を利用したユーザを示すユーザ情報、ユーザが電子計算機を利用した時間又は時間帯を示す時間情報、及び電子計算機で不審なプログラムを実行、又は不適切な情報を発するネットワークアドレスに電子計算機力もアクセスした情報を示す不正アクセス情報力もなる。

[0025] データベースに保存された画面イメージの再生は、ユーザモードのアプリケーションプログラム又は、カーネルモードのドライバウェアで実現する。データベース、画面イメージは、監視システムのサーバに格納される力電子計算機のローカル又は外付け記録装置に保存する方法を取っても良い。又は、データベースは、ネットワーク上の他の電子計算機に保存する方法を取っても良い。ネットワークを介してデータべースに接続された他の電子計算機は、データベースにアクセスし、その内容を検索し、画面イメージの再生を行う機能を備えることができる。

発明の効果

[0026] 本発明によると、次の効果が奏される。

本発明は、クライアントコンピュータの画面に表示される画面イメージを、その画面ィメージを生成するときのコマンドを取得して保存しているため、従来の画像ベースの保存形式と違って、データ量を低減することが可能になった。

[0027] 本発明は、クライアントコンピュータの画面に表示される画面イメージから、詳しくは取得したコマンドから、テキストデータを抽出して、このテキストデータとコマンドベースの画面イメージを関連付けて保存してデータベース化を図って、るため、クライアントコンピュータの利用状況を容易に検索することが可能になった。

[0028] 本発明は、クライアントコンピュータの、描画コマンドをベースにした画面イメージと、それに含まれるテキストデータを関連付けてデータベース化し、データベースをテキストキーワードによって検索し、検索結果に関連付けられた描画コマンドから画面ィメージを再生しているため、目的の画面イメージを容易に見つけることが可能になり、クライアントコンピュータの利用状況を管理しやすくなつた。

[0029] 本発明は、クライアントコンピュータの利用状況を定期的に又は管理者の指示によつてレポートとして作成し、管理のポリシーによって所定期間の間に保管することで、法人監査やセキュリティマネジメントにも利用することができる。

発明を実施するための最良の形態

[0030] 本発明は、クライアントコンピュータの利用状況を監視するための監視システムである。本発明の監視システムは、クライアントコンピュータのディスプレイに表示される画面イメージと、この画面イメージ力抽出されたテキストデータとを関連付けてデータベース化して保存している。クライアントコンピュータでは、 GDI32 (Graphics Device I nterface 32の略、後述の説明参照）、 GDI (Graphics Device Interfaceの略、後述の説明参照）、ディスプレイデバイスドライバ等によって、画面イメージを生成している。

[0031] 画面イメージは、 GDI32、 GDIが提供している関数である描画コマンドによって生成される。描画コマンドには、画面イメージに、ベクターデータを表示するものと、ラスターデータを表示するものがある。また、テキストデータを表示するものもある。画面ィメージは、この画面イメージをクライアントコンピュータで生成するときの、描画コマンドをベースにして保存する。

[0032] 描画コマンドは、 GDI32、 GDI,ディスプレイデバイスドライバ等の入出力機能を利用して取得する。データベースには、画面イメージの生成された時間情報、クライアントコンピュータの識別情報、利用者の識別情報等も保存される。また、データべ一スには、画面イメージに含まれるベクターデータとラスターデータの代わり、ベクターデータとラスターデータが保存された保存先のリンクを格納する方法を採用できる。

[0033] データベース、画面イメージは、監視システムの監視サーバに格納される力ネットワーク上の他の電子計算機、クライアントコンピュータのローカル又は外付け記録装置に保存する方法を採用できる。このデータベースに格納された情報を検索することにより、クライアントコンピュータのディスプレイに表示された内容を容易に把握することが可能になる。 [0034] 監視システムは、クライアントコンピュータ又は監視サーノくからデータベースにァクセスしてその内容を検索したり、保存された画面イメージを再生したりする。また、監視サーバにネットワークを介して接続された他の電子計算機からも同様な操作をすることができる。

[0035] 描画コマンドは、アプリケーションプログラム力データを画面に表示する要求が出力され、オペレーティングシステムのグラフィック関連の機能を提供するサブシステム GDI32にデータが渡されるとき、取得する。また、描画コマンドは、 GDI32からオペレーティングシステムのカーネルモードの GDIにデータが渡されるとき、又は GDIが実行するときに取得する。データベースに保存された画面イメージの再生は、ユーザモードのアプリケーションプログラム又は、カーネルモードのドライバウェアで実現する。

[0036] 次に、発明を実施するための最良の形態を説明する。図 1は、本発明の監視システム 1の概要を図示している。監視システム 1は、クライアントコンピュータ 2の利用状況を監視するためのシステムである。監視システム 1は、クライアントコンピュータ 2と監視サーバ 3からなる。クライアントコンピュータ 2は、入出力装置を備えた通常の電子計算機である。クライアントコンピュータ 2と監視サーバ 3は、 LAN4に接続されている

[0037] クライアントコンピュータ 2は、 LAN4によって他のクライアントコンピュータ 2やプリンタ 5等と接続されている。また、 LAN4には、共有して利用するためのファイル等が格納されて、る共有ファイルサーバ 6が接続されて、る。クライアントコンピュータ 2は、共有ファイルサーバ 6に LAN4経由でアクセスし、共有ファイルサーバ 6に格納されて、る共有のファイルにアクセスすることができる。

[0038] 更に、 LAN4は、それに接続されて!、るルータ 7を介して、インターネット 9等の外部ネットワークに接続されている。 LAN4は、 LANケーブル 8によってそれを構成するクライアントコンピュータ 2、監視サーバ 3、共有ファイルサーバ 6等の電子計算機、ルータ 7、プリンタ 5を相互に接続している。ユーザは、クライアントコンピュータ 2を利用して、クライアントコンピュータ 2にインストールされているソフトウェアを用いて必要な作業を行うことができる。 [0039] また、ユーザは、クライアントコンピュータ 2から他のクライアントコンピュータ 2や共有ファイルサーノ 6等にアクセスしたり、プリンタ 5により書類を印刷したりする。また、クライアントコンピュータ 2にインストールされているウェブブラウザからインターネット 9にアクセスして、インターネット 9上のデータの閲覧、ファイルのダウンロード、電子メール用のソフトウェアを利用した電子メールの送受信等を行う。

[0040] クライアントコンピュータ 2には、監視ツール 10がインストールされている（図 2を参照）。監視ツール 10は、クライアントコンピュータ 2の画面に表示されている内容を監視サーバ 3に送信するためのソフトウェアである。監視ツール 10は、クライアントコンビユータ 2の画面に表示される画面イメージと、この画面イメージに含まれるテキストデータを取得して監視サーバ 3に送信する機能を有する。画面イメージは、この画面ィメージを生成するときの、描画コマンドをベースにして保存される。

[0041] 画面イメージが RAWのビットマップデータ等のラスターデータを含む場合は、監視ツール 10はこれをテキストデータと描画コマンドと一緒に監視サーバ 3に送信する。また、画面イメージに含まれるラスターデータを圧縮して送信データの軽減を図ることができる。更に、画面イメージやテキストデータを送信するとき、暗号化して監視サーノ 3に送信することもできる。これらの圧縮、暗号ィ匕は、公知の技術を用いて行われる。そのために、その詳細な説明を省略する。

[0042] 監視サーバ 3には、監視用のアプリケーションプログラムである監視プログラム 11がインストールされ、これが動作する（図 4を参照)。監視サーバ 3は、その内蔵又は外付けで記憶装置 30 (図 4を参照）を有しており、これにクライアントコンピュータ 2を監視するために必要なデータを格納したデータベース 13 (図 1を参照）を格納している。監視プログラム 11は、クライアントコンピュータ 2から送信されてくる描画コマンドから画面イメージの再生に必要なデータと、描画コマンド力抽出されたテキストデータを関連付けてデータベース 13に保存する機能を備えて!/、る。

[0043] 監視ツール 10又は、ドライバウェア 22 (説明は後述する）は、描画コマンドからテキストデータを抽出する機能を備えているが、監視サーバ 3がこの機能を備えることもできる。監視ツール 10は、クライアントコンピュータ 2上に動作するアプリケーションプログラム 20等のソフトウェアの動作に関する情報を取得して監視サーバ 3に送信する機能を有する。例えば、監視ツール 10は、ファイルの開閉、更新や削除等の操作ログ、アプリケーションプログラム 20の実行に関連するデータ等を取得して監視サーバ 3に送信する。監視ツール 10は、クライアントコンピュータ 2の入出力装置を操作するときのデータを取得して監視サーバ 3に送信する。

[0044] 図 2には、クライアントコンピュータ 2の概要を図示している。図 2には、アプリケーシヨンプログラム 20、オペレーティングシステム 21、ドライバウェア 22、 GDI23、グラフィックデバイスドライバ 24、グラフィックカード 25、ネットワークデバイスドライバ 26、ネットワークカード 27、ディスプレイ 28が図示されている。更に、記憶装置用デバイスドラィバ 29、記憶装置 30が図示されている。アプリケーションプログラム 20は、クライアントコンピュータ 2にインストールされたソフトウェアである。

[0045] クライアントコンピュータ 2は、ディスプレイ 28、マウス（図示せず）、キーボード（図示せず)等の入出力装置、内蔵又は外付けノヽードディスク等の記憶装置 30、 RAM (図示せず）、 ROM (図示せず)等のメモリ、中央処理ユニット（図示せず)等を備えた通常の電子計算機である。クライアントコンピュータ 2は、ネットワークカード 27、通信ポート（図示せず)等のデータ通信に必要なハードウェアも備えている。

[0046] また、アプリケーションプログラム 20は、 Windows (登録商標）のユーザモード 31で動作するプログラムである。オペレーティングシステム 21は、クライアントコンピュータ 2に導入され、インストールされた基本ソフトウェアである。ディスプレイ 28は、クライアントコンピュータ 2の出力装置の一つの物理装置である。ネットワークカード 27は、クライアントコンピュータ 2がネットワークに接続するための物理デバイスである。

[0047] ネットワークデバイスドライバ 26は、ネットワークカード 27を直接制御し、オペレーテイングシステム 21又はアプリケーションプログラム 20と LAN8との通信を提供するためのプログラムである。クライアントコンピュータ 2には、ネットワークカード 27やデイスプレイ 28のような物理デバイスが数多く搭載されている。

[0048] これらの物理デバイスは、ネットワークデバイスドライバ 26のような、それぞれのデバイスドライバによって制御されて動作している。オペレーティングシステム 21からこれらのデバイスドライバを制御して、る。一つのデバイスから他のデバイスへのデータの送受信は、オペレーティングシステム 21、特にオペレーティングシステム 21のユーザモード 31を経由して行われることが一般的である。

[0049] ドライバウェア 22は、デバイスドライバ間のデータの送受信をカーネルモード 32で実現するためのソフトウェアである。ドライバウェア 22の例としては、電子計算機のィンターフェースドライバプログラムとして WO02/091195に開示されている。ドライバウェア 22は、デバイスドライバ間だけではなぐオペレーティングシステム 21と複数のデバイスドライバとのデータの送受信を提供する機能を有する。

[0050] ドライバウェア 22は、オペレーティングシステム 21のカーネルモード 32で動作し、オペレーティングシステム 21の GDI32 (34)力 GDI23へのデータの送受信を行うとき、そのデータを取得する。また、ドライバウェア 22は、 GDI23からグラフィックデバイスドライバ 24へのデータの送受信を行うとき、そのデータを取得する。

[0051] グラフィックカード 25は、ディスプレイ 28に表示される画面イメージを作成するための物理デバイスである。グラフィックデバイスドライバ 24は、グラフィックカード 25を制御するためのデバイスドライバである。グラフィックデバイスドライバ 24は、 GDI23 (後述の説明を参照）からの命令と渡されたデータに基づいて、かつ、グラフィックカード 25を制御しながら画面イメージを生成する。

[0052] グラフィックカード 25は、ディスプレイ 28に表示するためのビットマップ形式の RAW データをその内部のメモリに格納し、グラフィックデバイスドライバ 24の命令によって、ディスプレイ 28に順次に送信し、画面イメージをディスプレイ 28に表示させる。監視ツーノレ 10は、クライアントコンピュータ 2にインスト一ノレされ、クライアントコンピュータ 2 のディスプレイ 28に表示される画面イメージ等のデータ取得して、サーバ 3に送信するためのプログラムである。

[0053] 監視ツール 10は、 GDI32監視モジュール 35から描画コマンドを取得する。詳しくは、 GDI32監視モジュール 35は、アプリケーションプログラム 20から GDI32 (35)に渡すデータと画面表示要求の描画コマンドを受信し、その受信したデータを監視ッール 10に渡す。この描画コマンドとは、表示装置に出力を行うためのベクターデータ、ラスターデータ、テキストデータを出力するための GDI関数である。

[0054] ドライバウェア 22は、 GDI23とのインターフェースを提供する GDI監視モジュール 3 6、ネットワークデバイスドライバ 26とのインターフェースを提供するネットワークドライバモジュール 37、及び記憶装置用デバイスドライバ 29とのインターフェースを提供する記憶装置用ドライバモジュール 38を備えて、る。

[0055] 〔GDIについて〕

Windowsでは、ウィンドウや文字も含め、ディスプレイ 28に表示されるデータ全てを画像として扱って、る。 Windowsが標準で提供して!/、るサブシステム 33は複数あり、その中でグラフィック関連のものは GDI32 (Graphics Device Interface 32) (34)である。 Windowsは、印刷装置やディスプレイ 28等の表示装置にテキスト、図形、画像データ等のデータを表示するとき GDI32 (34)を使う。 GDI32 (34)は、オペレーティングシステム 21のユーザモード 31で動作する。

[0056] アプリケーションプログラム 20は、画面イメージへの描画や印刷等の処理をサブシステム 33に依頼し、その処理はサブシステム 33内の GDI32 (34)によって行われる。 GDI32 (34)は、カーネルモード 32で動作する GDI23と共に、その依頼をディスプレイドライバやプリンタドライバが処理できる形に変換して実行する。 GDI23は、デバイスドライバとのやり取りによって出力装置の機種や種類による違ヽを吸収し、アプリケーシヨンプログラム 20から見れば出力装置の違、を意識しな、で動作することが可會になる。

[0057] GDI23は、アプリケーションプログラム 20からの依頼データを処理するための次のような描画コマンドを提供する。例えば、線を描画するための DrvLineToコマンド等のベクターデータを出力する描画コマンドがある。また、テキストの文字列を出力するための DrvTextOutコマンド等の描画コマンドがある。また、ラスターデータを出力するための DrvBitBltコマンド等の描画コマンドがある。

[0058] 次の GDI関数を使用してテキストの出力を行うことができる。

BOOL

DrvTextOut(

IN SURFOBJ *pso,

IN STROBJ *pstro,

IN FONTOBJ *pfo,

IN CLIPOBJ *pco, IN RECTL *prclExtra,

IN RECTL *prclOpaque,

IN BRUSHOBJ *pboFore,

IN BRUSHOBJ *pboOpaque,

IN POINTL *pptlOrg,

IN MIX mix

);

[0059] ドライバウェア 22は、 GDI23とアプリケーションプログラム 20又はオペレーティングシステム 21とのインターフェースを提供し、 GDI23とアプリケーションプログラム 20又はオペレーティングシステム 21から GDI23に送信される命令、データを取得する。ドライバウエア 22は、 GDI23とアプリケーションプログラム 20又はオペレーティングシステム 21から、画面イメージを生成するために送信されるために、 GDI23に送信される描画コマンドを取得する。

[0060] ドライバウェア 22は、描画コマンドからテキストデータを抽出する機能と、描画コマンドと、テキストデータをサーバ 3に送信する機能を有する。監視ツール 10からの指示に従って、指定されたサーバ 3に送信する。

[0061] 〔描画する手順〕

図 3は、画面イメージを表示する手順を示すフローチャートである。アプリケーションプログラム 20は、ディスプレイ 28にテキストや図を表示するとき、テキストや図を GDI 32 (34)へ出力し、表示要求を依頼する (ステップ 1)。アプリケーションプログラム 10 力 GDI32 (34)への依頼は、サブシステム 34から GDI23に渡される（ステップ 3)。このとき、 GDI32監視モジュール 35は、この依頼を取得する（ステップ 2)。

[0062] GDI23は、その依頼を受け取って、グラフィックデバイスドライバ 24で処理できる形式に変換して、グラフィックデバイスドライバ 24に送信する (ステップ 4)。ドライバゥェァ 22は、 GDI23からグラフィックデバイスドライバ 24へ送信されるデータを GDI監視モジュール 36によって取得し、監視ツール 10へ送信する。（ステップ 5)

[0063] 画面イメージは、この画面イメージを生成するときの、描画コマンドをベースにして取得する。また、画面イメージをクライアントコンピュータで生成するときの、ラスターデータも取得して保存する。

監視ツール 10は、 GDI32監視モジュール 35と、ドライバウェア 22から取得した画面イメージを生成する描画コマンドを分析して、それに含まれるテキストデータを取得する（ステップ 6)。グラフィックデバイスドライバ 24、グラフィックカード 25は、 GDI23 力も受け取ったデータを用いて画面イメージを生成する（ステップ 7)。

[0064] グラフィックカード 25は、生成された画面イメージをディスプレイ 28に送信して表示する（ステップ 8)。監視ツール 10は、この取得したテキストデータと、画面イメージをドライバウエア 22へ渡し、ドライバゥェ 22はテキストデータと、画面イメージを用いて監視サーバ 3へ送信する送信データを作成する。この作成された送信データは、ネットワークデバイスドライバ 26へ渡され、ネットワークカード 27を経由して監視サーバ 3へ送信される (ステップ 9)。

[0065] 監視ツール 10は、描画コマンドそれに含まれるテキストデータの他に、画面ィメージの生成された時間情報、クライアントコンピュータ 2の識別情報、利用者の識別情報等を取得して監視サーバ 3に送信する。クライアントコンピュータ 2の識別情報としては、クライアントコンピュータ 2のコンピュータ名、 IPアドレス、及び MACアドレスの中から 1以上を取得する。利用者の識別情報としては、クライアントコンピュータ 2に口グィンして!/、るユーザ名を取得する。

[0066] 図 4には、監視サーバ 3の概要を図示している。監視サーバ 3は、ディスプレイ 28、マウス（図示せず)、キーボード（図示せず)等の入出力装置、内蔵又は外付けハードディスク等の記憶装置 30、 RAM (図示せず）、 ROM (図示せず）等のメモリ、中央処理ユニット（図示せず)等を備えた通常の電子計算機である。監視サーバ 3は、ネットワークカード 27、通信ポート（図示せず)等のデータ通信に必要なハードウェアも備えている。

[0067] 監視サーバ 3は、記憶装置 30と記憶装置用デバイスドライバ 29を備えている。記憶装置 30は、監視サーバ 3の内部記憶装置であり、データベース 13を格納するための記憶装置である。記憶装置用デバイスドライバ 29は、記憶装置 30を直接制御するためのデバイスドライバである。監視サーバ 3の他のデバイスやソフトウェアについては、図 2のものと同様な機能をするため、詳しい説明は省略する。以下は、違っている機能を動作だけを説明する。

[0068] 〔全体の動作〕

図 5は、監視システム 1の全体の動作を示すフローチャートである。利用状況を監視しょうとするクライアントコンピュータ 2には、予め、監視ツール 10がインストールされている（ステップ 11)。監視ツール 10は、 CD— ROMやフレキシブルディスク等の記録媒体に格納されて、て、記録媒体力もクライアントコンピュータ 2にインストールする。また、ネットワークからクライアントコンピュータ 2にダウンロードしてインストールすることちでさる。

[0069] このとき、ドライバウェア 22がー緒にインストールされる。そして、クライアントコンビュータ 2上に監視ツール 10を動作させて、監視サーバ 3を指定してユーザの監視を開始する (ステップ 12)。また、クライアントコンピュータ 2上に動作するアプリケーションプログラム 20の動作やファイルに関するログの監視を指定することができる。

[0070] 以後、監視ツール 10は、 GDI23の入出力機能を利用して、クライアントコンビユータ 2のディスプレイ 28に表示される画面イメージの描画コマンドと、この描画コマンドに含まれるテキストデータを取得する（ステップ 13)。このデータの取得については、図 3のフローチャートにおいて詳しく説明している。そして、監視ツール 10は、デイスプレイ 28に送信可能な状態になった画面イメージを取得し、テキストデータと画面ィメージ等を含む送信データを作成して、監視サーバ 3に送信する (ステップ 14、 15)。

[0071] この画面イメージは、基本的に描画コマンドベースのものである力ラスターデータで表現されている場合がある。この場合は、画面メージの圧縮、サイズの変更などを行うことができる。また、監視サーノ 3への送信されるデータの暗号ィ匕を行うこともできる。監視サーバ 3は、クライアントコンピュータ 2から送信されてきたテキストデータ、画面イメージ等を含む送信データを受信し、その解析を行う（ステップ 16、 17)。

[0072] そして、監視サーバ 3は、テキストデータと画面イメージとの関連付けを行って記憶装置に保存する（ステップ 18、 19)。データベース 13は、テキストデータと画面ィメージのデータで更新される（ステップ 20)。データベース 13には、更に、クライアントコンピュータ 2から送信されてきた画面イメージの生成された時間情報、クライアントコンビユータ 2の識別情報、利用者の識別情報等を格納する。 [0073] そして、監視サーバ 3は、次の処理に移る。監視サーバ 3において行われているステツプ 16から 19の処理は、監視プログラム 11によって行われる。このような処理が指定され、監視ツール 10がインストールされたクライアントコンピュータ 2全てにおいて実行される。クライアントコンピュータ 2の利用状況を、データベース 13に保存されたデータに基づ、て把握することができる。

[0074] データベース 13に保存されたデータを検索して、それに対応する画面イメージを再生しながら、クライアントコンピュータ 2の利用状況を把握する。図 6には、データべ一ス 13の内容を検索して、画面を再生するときの画面例を図示している。図 6の画面の中央付近には、クライアントコンピュータ 2の利用状況を再生するための再生領域 51 が表示されている。

[0075] 再生領域 51の中には、クライアントコンピュータ 2の画面のイメージの再生を表示するための領域である再生画面 52と、再生するときにコントロールするためのボタンからなる再生ツールバー 53とがある。再生ツールバー 53は、再生画面 52に表示するィメージを連続的に再生し、制御するための各種のボタンが表示されている。再生ツールバ一 53には、左側力もコマ戻り、コマ送り、巻き戻し、再生、一時停止、早送り、停止するためのボタン等が表示されて、る。

[0076] 再生領域 51の左側には、検索領域 54が表示されている。検索領域 54には、端末リスト領域 55と、検索領域 56が表示されている。端末リスト領域 55には、監視しているクライアントコンピュータ 2の一覧、又は監視するために表示画面を保存したクライアントコンピュータ 2の一覧が表示される。検索領域 56には、検索するためのキーヮードの入力ボックス等が表示される。

[0077] 再生領域 51の右側には、再生画面 52に表示されているイメージの描画コマンドの一覧を表示するための端末の操作履歴ビュー 57が表示されている。再生領域 51の下側には、サムネイル領域 58が表示されている。サムネイル領域 58には、検索領域 56にキーワード入力して検索した結果に対応するイメージのサムネイルが表示される。

[0078] データベース 13に保存されたデータを検索して、それに対応する画面イメージを再生しながら、クライアントコンピュータ 2の利用状況を把握する一例を図 7のフローチヤートに示している。監視プログラム 11を起動し (ステップ 30)、図 6に図示した画面が表示される。検索領域 54には、検索キーワードを入力する (ステップ 31)。検索キーワードとしては、特定のプログラム名、入力単語、操作時間、操作期間、 IPアドレス、ユーザ名、アクセス先の IPアドレス等を指定することできる。

[0079] また、クライアントコンピュータ 2の識別情報、利用者の識別情報等を指定することができる。そして、この検索キーワードでデータベースの内容を検索する（ステップ 32 )。そして、検索結果は、サムネイル領域 58に表示される (ステップ 33、 34)。検索結果が複数ある場合は、それが並べられて表示される。検索するとき、端末リスト領域 5 5から特定のクライアントコンピュータ 2を選択することができる。

[0080] サムネイル領域 58の検索結果から一つのサムネイルを選択すると、その結果に関連付けられた画面イメージが記憶装置 30から呼び出されて、再生画面 52に表示されて再生される (ステップ 35)。画面イメージは、描画コマンドをベースにして保存されているので、この描画コマンドによって画面イメージを再現し、連続的に再生する。そして、この画面イメージに使われた描画コマンドの一覧力端末の操作履歴ビュー 57に表示される。端末の操作履歴ビュー 57には、クライアントコンピュータ 2の操作履歴をも表示する。

[0081] 詳しくは、ファイルのアクセス履歴、アプリケーションプログラムの実行に関する情報等を端末の操作履歴ビュー 57に表示し、再生イメージのその前後の再生イメージとの関連する操作を把握する。再生ツールバー 53を利用しながら再生画面を再生したり、早送りしたりして、クライアントコンピュータ 2の利用状況を確認する。検索結果でキーワードに該当する結果が見つ力もな力つたときは、その旨の知らせをし、別の方法での検索を進めることができる (ステップ 33、 37、 38)。例えば、所定期間の間に記録された画面の再生や、類似のキーワードの検索等によってクライアントコンビュータ 2の利用状況を確認する。

[0082] このように、クライアントコンピュータ 2の画面イメージだけを保存しな!、で、その画面イメージに含まれるテキストデータを関連付けて保存して置くと、その後、それを通常のテキストのキーワードを入力して検索可能になる。よって、ユーザ力 Sクライアントコンピュータ 2をどのように利用しているかを迅速に把握することができる。画面イメージは、描画コマンドをベースにして保存しているため、取り扱うデータ量が、画像データより遥かに小さくなる。

[0083] むろん、著作権のある電子データの不法コピーや、不適切なウェブページへのァクセス等の不審な操作をユーザがして、な、かを確認し、容易に把握することができる。詳しいことは、記録装置 30に記録した画面イメージを順番に再生することで知ることができる。

[0084] また、監視プログラム 11には、特定のキーワードが見つ力たときは、管理者に知らせる機能を持たせる事ができ、ユーザの不審な操作に対して迅速に対応することができる。又は、クライアントコンピュータ 2のディスプレイ 28に警告を表示し、又はクライアントコンピュータ 2のユーザにメール等で知らせて警告することもできる。管理者のコンピュータに警告を表示したり、管理者の携帯電話に警告を送信したり、管理者のメールアドレスに警告を送信したりして管理者に知らせることができる。

[0085] データベース 13、画面イメージは、監視サーバ 3に格納される力ネットワーク上の他の電子計算機、クライアントコンピュータ 2のローカル又は外付け記録装置に保存することができる。保存される画面イメージは、その保存容量の軽減を図るために白黒のイメージでも良い。このデータベース 13には、クライアントコンピュータ 2、監視サーバ 3、ネットワークを介して接続された他の電子計算機力もアクセスして、そこに記録されている内容を検索したり、保存された画面イメージを再生したりすることができる。

[0086] 本実施の形態では、クライアントコンピュータ 2上に動作する監視ツール 10、監視サーバ 3上に動作する監視プログラム 11を提供している。しかし、監視プログラム 11の機能の一部の機能を制限したマネージャプログラムを提供することができる。例えば、マネージャプログラムは、保存された画面イメージの再生機能、及びデータベース 3 の検索機能だけを備えることができる。このマネージャプログラムは、専用のアプリケーシヨンプログラムで保存された画面イメージやデータベース 3にアクセス可能なコンピュータにインストールされて動作するもので良い。更に、このマネージャプログラムはウェブベースのプログラムでも良、。

[0087] 〔カーネルモード 32で画面イメージの再生〕監視サーバ 3によって、記憶装置 30に保存されている画面イメージを再生するとき、ユーザモード 31又はカーネルモード 32で再生する方法をとる。カーネルモード 32 において、画面イメージを再生する方法を図 8のフローチャートに示している。監視プログラム 11から画面イメージを再生するとき、ドライバウェア 22に対して、画面ィメージ用のデータの要求が行われる（ステップ 50)。

[0088] ドライバウェア 22は、この画面イメージの再生の要求を受信し (ステップ 51)、ドライノウェア 22の記憶装置用ドライバモジュール 38から記憶装置用デバイスドライバ 29 にデータを要求する (ステップ 52)。記憶装置用デバイスドライバ 29は、記憶装置 30 力も要求されたデータを取得して (ステップ 53)、記憶装置用ドライバモジュール 38 に送信する。

[0089] 記憶装置用ドライバモジュール 38は、記憶装置デバイスドライバ 29から受信したデータをドライバウェア 22にわたす。ドライバウェア 22は、このデータを、 GDI監視モジユール 36を経由して、グラフィックデバイスドライバ 24に送信する（ステップ 56、 57)。グラフィックデバイスドライバ 24とグラフィックカード 25は、 GDI監視モジュール 36から受信したデータ力もディスプレイ 28に表示可能な画面イメージを作成し、ディスプレイ 28に送信する（ステップ 58、 59)。

[0090] よって、保存された画面イメージデータ力画面イメージが再生される。この方法では、記憶装置 30から取得したデータは、オペレーティングシステム 21のカーネルモード 32だけを介して送信され、処理されているので、オペレーティングシステム 21はカーネルモード 32とユーザモード 31を切り替える必要が無ぐ一連の処理は高速に行われる。

[0091] 〔ユーザモード 32で画面イメージの再生〕

ユーザモード 31において、画面イメージを再生する方法を図 9のフローチャートに示している。監視プログラム 11から記憶装置 30に対して画面イメージ用のデータ（画面再生用データ）の要求が行われる（ステップ 70)。この要求は、サブシステム 33を介して、記憶装置デバイスドライバ 29に送信される (ステップ 71)。

[0092] 監視プログラム 11から記憶装置デバイスドライバ 29へ画面再生用データを要求するときは、オペレーティングシステム 21の動作モードは、ユーザモード 31からカーネルモード 32へ切り替わる。記憶装置デバイスドライバ 29は、この要求を受信して (ステツプ 72)、記憶装置 30から要求された画面再生用データを取得して (ステップ 73) 、サブシステム 29を介して監視プログラム 11に渡す (ステップ 74、 75)。

[0093] 記憶装置デバイスドライバ 29から監視プログラム 11へ要求された画面再生用データを渡すとき、オペレーティングシステム 21の動作モードは、カーネルモード 32からユーザモード 31へ切り替わる。監視プログラム 11から記憶装置デバイスドライバ 29 へ画面再生用データを要求するときと、記憶装置デバイスドライバ 29から監視プログラム 11に画面再生用データを渡すときは、ドライバウェア 22を介して行われる力ドラィバウエア 22はこれらのデータに対して何等かの処理を行わない。

[0094] 監視プログラム 11は、 GDI32監視モジュール 35を介して画面再生用データを用いて画面イメージの再生を行う（ステップ 76)。 GDI32監視モジュール 35は、監視プログラム 11から渡された画面イメージ用の画面再生用データを GDI32 (34)にわたし、 GDI32 (34)力 GDI23に渡される（ステップ 76、 77)。このとき、オペレーティングシステム 21の動作モードは、ユーザモード 31からカーネルモード 32へ切り替わる。

[0095] GDI23は、画面イメージデータをグラフィックデバイスドライバ 24にわたす (ステップ 78)。グラフィックデバイスドライバ 24とグラフィックカード 25は、 GDI監視モジュール 36から受信したデータカゝらディスプレイ 28に表示可能な画面イメージを作成し、ディスプレイ 28に送信する（ステップ 79、 80)。

[0096] よって、記憶装置 30に保存された画面イメージ用の画面再生用データ力画面ィメージが再生される。この方法では、記憶装置 30から取得したデータは、オペレーティングシステム 21のカーネルモード 32、ユーザモード 31の切り替えを行いながら処理されている。このため、カーネルモード 32だけによつて画面イメージが再生される場合（図 8のフローチャートを参照）と比べ、一連の処理速度は遅!、。

[0097] このように、この監視システム 1は、クライアントコンピュータ 2にユーザがログインして力もログオフするまでの全ての操作の記録を保存し、クライアントコンピュータ 2を監視することができる。管理者は、この保存された画面イメージやテキストデータから、クライアントコンピュータ 2の利用状況を定期的に確認して監視できる。例えば、特定の時間帯を指定して、保存された画面イメージやテキストデータを検索し、クライアントコンピュータ 2の利用状況に監視することができる。また、一日に数回ランダムにクライアントコンピュータ 2の利用状況を確認することができる。監視システム 1は、クライアントコンピュータ 2の利用状況について定期的にレポートをするレポート機能を備えている。

[0098] レポート機能は、それ専用のソフトウェアで実現されることができる。図 10には、レポ一トの例を図示している。図 10に図しているレポート 70は、クライアントコンピュータ 2 を利用した利用者が不審な操作をしたときのレポートである。レポート 70には、 3つのコンピュータのレポート 71〜73を示している。各レポート 71〜73には、クライアントコンピュータ 2を示す「コンピュータ」、クライアントコンピュータ 2の利用者を示す「ユーザ名」、そのログイン時間を示す「ログイン時間」、そのログイン時間を示す「ログオフ時間」、不審な操作を行ったか否かを示す「不審な操作の回数」の項目がある。

[0099] 不審な操作には、次のような操作やアクセスが含まれる。コンピュータウィルスゃハッキング、クラッキング等の不審なプログラムを実行である。利用者が、不適切な情報を発するネットワークアドレスにアクセスした操作である。また、監視システム 1を導入した組織等の規則に反するアクセスをしたアクセス、著作権侵害に当たる情報をダウンロードした行為、そのサイトにアクセスしたアクセスである。また、これらの IPアドレス等のネットワークアドレスが不審な操作に含まれる。

[0100] 不審な操作があるときは、例えばレポート 71のとき、そのアクセスした IPアドレスを示す「アクセス IP」とアクセスした時間帯を示す「アクセス時間帯」の項目が追加されている。管理者は、このレポート 70を元に利用者の利用状況を保存された画面ィメージを再生しながら監視することができる。このレポート 70には、更に、クライアントコンピュータ 2を利用したデータを様々角度'視点力分析して結果を追加することができる。

[0101] 例えば、利用者、クライアントコンピュータ、アクセスアドレス、使用プログラム、警告やテキストデータのキーワードごとに分析してレポートにまとめることができる。保存された画面イメージ、テキストデータやレポート 70は、管理のポリシーによって所定期間の間に保管されるので、法人監査やセキュリティマネジメントにも利用することができる。 [0102] 医療機関に利用されている MRI装置等の大型の装置、患者の電子カルテシステム、心電図モニター装置、投薬モニター装置等の医療機器や医療用システムに本発明を応用することができる。特に、オペレーティングシステムとして Windowsを利用しているものであれば全ての医療機器や医療用システムには、本発明の監視システム 1を導入することができ、これらの医療機器や医療システムの履歴を残すことができる。よって、手書きだけでカルテに残している医療記録やリモートメンテナンスの記録が格段に向上し、検索機能によってオンライン監視することができる。

[0103] また、機密情報を含むデータが保存されているサーバ等のリモートメンテナンスを行っている端末には、本発明の監視システム 1を導入することができる。この導入により、リモートメンテナンスの作業履歴を取得することができる。よって、リモートメンテナンスを行っている端末、サーバにおいて、不正操作が行われているか否かの監視を行うことができ、法人監査のときに作業履歴を証明として利用することが可能である。産業上の利用可能性

[0104] 本発明は、電子データの緊密な管理が必要な分野に利用すると良い。特に、金融機関、原子力関連の施設、医療機関の機器の監視、リモートメンテナンスや個人データを扱う端末等の分野に利用されても良い。更に、情報セキュリティマネジメントシステム（ISMS、 Information Security Management System)に禾 lj用されると良い。図面の簡単な説明

[0105] [図 1]図 1は、本発明の監視システム 1の概要を図示した図である。

[図 2]図 2は、クライアントコンピュータ 2の概要を図示している図である。

[図 3]図 3は、画面イメージをディスプレイ 28に表示する手順を示すフローチャートである。

[図 4]図 4は、監視サーバ 3の概要を図示した図である。

[図 5]図 5は、監視システム 1の全体の動作の流れを示すフローチャートである。

[図 6]図 6は、データベース 13に保存されたデータを検索して、クライアントコンビユータ 2の画面イメージを再生するときの例を画面例である。

[図 7]図 7は、クライアントコンピュータ 2の利用状況を、データベース 13に保存されたデータに基づいて把握する流れを示すフローチャートである。 [図 8]図 8は、カーネルモード 32で画面イメージを再生する例を示すフローチャートである。

[図 9]図 9は、ユーザモード 31で画面イメージを再生する例を示すフローチャートである。

[図 10]図 10は、クライアントコンピュータ 2の利用状況を示すレポート 70の例を図示した図である。

符号の説明

1…監視システム

2· ··クライアントコンピュータ

3…監視サーバ

4· -LAN

5· ··プリンタ

6…共有ファイルサーバ

7…ルータ

8 - "LANケーブル

10…監視ツール

11…監視プログラム

13…データベース

20…アプリケーションプログラム

21· · 'オペレーティングシステム

22· ··ドライバウェア

23- --GDI

24· ··グラフィックデバイスドライバ

25· ··グラフィックカード

26…ネットワークデバイスドライバ

27…ネットワークカード

28…ディスプレイ

29…記憶装置用デバイスドライバ · "記憶装置

· ..ユーザモード

· ··カーネノレモード

· "サブシステム

· •GDI32

· '•GDI32監視モジュール· '•GDI監視モジュール

· ' ·ネットワークドライバモジュール· '·記憶装置用ドライバモジュール· ··再生領域

· '·再生画面

· ··再生ツールバー

· ··検索領域

· '·端末リスト領域

· ··検索領域

· ··端末の操作履歴ビュー· ..サムネイル領域

· "レポート

Claims

請求の範囲

[1] 電子計算機をオペレーティングシステムによって動作させ、前記電子計算機の表示装置に表示される表示イメージを記録して、前記電子計算機の利用状況を監視するための監視方法にお!ヽて、

前記オペレーティングシステム又は前記オペレーティングシステム上に動作するァプリケーシヨンプログラムから前記表示装置にデータを表示するとき、前記オペレーティングシステムのグラフィック機能を提供するサブシステム（23、 34)が前記表示ィメージを生成するために実行する関数を、前記サブシステムの入力機能又は出力機能を利用した取得手段（10、 35、 22)で取得し、

前記関数力テキストデータを抽出手段（10、 22)で抽出し、

前記テキストデータと前記関数を関連付けて、前記電子計算機又は前記電子計算機とネットワークによって接続されたサーバに格納されているデータベースに格納手段（22、 38)で格納する

ことを特徴とする電子計算機の監視方法。

[2] 請求項 1に記載の電子計算機の監視方法お!/、て、

前記取得手段（10、 35、 22)は、前記電子計算機のデバイスを制御するためのデバイスドライバ間でデータの送受信を行う機能、及び前記オペレーティングシステムと前記デバイスドライバとの共通のインターフェースを提供する機能を備え、かつ、前記オペレーティングシステムのカーネルモードで動作するインターフェースドライバ手段（22)を有し、

前記インターフェースドライバ手段（22)は、前記オペレーティングシステム又は前記アプリケーションプログラムと、前記サブシステム（23、 34)の前記入力機能又は前記出力機能とのインターフェースを提供し、

前記関数を前記インターフェースドライバ手段（22)の前記インターフェースによつて取得する

ことを特徴とする電子計算機の監視方法。

[3] 請求項 1又は 2に記載の電子計算機の監視方法において、

前記アプリケーションプログラムの操作履歴、前記電子計算機の入力装置から入力される操作履歴、前記電子計算機の通信履歴、及び前記電子計算機の固有情報、前記サブシステム（23、 34)から出力されるラスターデータ、及び前記関数の実行時間の中から選択される 1以上のデータを取得して、前記テキストデータ又は前記関数に関連付けて前記データベースに格納する

ことを特徴とする電子計算機の監視方法。

[4] 請求項 1から 3の中から選択される 1項に記載の電子計算機の監視方法において、前記電子計算機の利用状況を把握するために、キーワードによって前記データべースを検索手段で検索し、

前記検索の検索結果を表示手段で表示し、

前記検索の検索結果の前記テキストデータに関連付けられたもので、前記データベースに格納された前記関数を用いて前記表示イメージを再生手段で再生することを特徴とする電子計算機の監視方法。

[5] 電子計算機をオペレーティングシステムによって動作させ、前記電子計算機の表示装置に表示される表示イメージを記録して、前記電子計算機の利用状況を監視するための監視システムにおいて、

前記オペレーティングシステム又は前記オペレーティングシステム上に動作するァプリケーシヨンプログラム力も前記表示装置にデータを表示するとき、前記表示ィメージを生成するために実行されるもので、前記オペレーティングシステムのグラフィック機能を提供するサブシステム（23、 34)の関数を、前記サブシステムの入力機能又は出力機能を利用して取得する取得手段（10、 22、 35)と、

前記関数力テキストデータを抽出する抽出手段（10、 22)と、

前記取得手段（10、 22、 35)によって取得した取得データと、前記テキストデータを、データベースが格納されて、る前記電子計算機又は前記電子計算機とネットヮークによって接続されたサーバに、送信する送信手段（26、 27、 37)と

を備えた前記電子計算機を有することを特徴とする電子計算機の監視システム。

[6] 請求項 5に記載の電子計算機の監視システムにお、て、

前記電子計算機のデバイスを制御するためのデバイスドライバ間でデータの送受信を行う機能と、前記オペレーティングシステムと前記デバイスドライバとの共通のィンターフェースを提供する機能を備え、前記オペレーティングシステムのカーネルモードで動作するソフトウェアで、かつ、前記オペレーティングシステム又は前記アプリケーシヨンプログラムと、前記サブシステムの前記入力機能又は前記出力機能とのィンターフェースを提供する機能を持つインターフェースドライバ手段（22)によって前記関数を取得する前記取得手段（22)と

[7] 請求項 5又は 6に記載の電子計算機の監視システムにお、て、

前記アプリケーションプログラムの操作履歴、前記電子計算機の入力装置から入力される操作履歴、前記電子計算機の通信履歴、前記電子計算機の固有情報、前記サブシステム（23、 34)から出力されるラスターデータ、及び前記関数の実行時間の中から選択される 1以上のデータを取得する前記取得手段（10、 22、 35)とを備えた前記電子計算機を有することを特徴とする電子計算機の監視システム。

[8] 請求項 5から 7の中から選択される 1項に記載の電子計算機の監視システムにお!/ヽて、

前記送信手段（26、 27、 37)によって送信されてきた前記データを受信する受信手段 (37)と、

前記データに含まれる、前記取得データと前記テキストデータを関連付けて、前記データベースに格納する格納手段（₃₈₎とを備えた前記電子計算機、又は前記サーバを有することを特徴とする電子計算機の監視システム。

[9] 請求項 8に記載の電子計算機の監視システムにお、て、

前記電子計算機の利用状況を把握するために、キーワードによって前記データべースを検索する検索手段と、

前記検索の検索結果を表示する表示手段と、

前記検索の検索結果の前記テキストデータに関連付けられたもので、前記データベースに格納された前記関数を用いて前記表示イメージを再生する再生手段とを備えた前記電子計算機、又は前記サーバ、又は前記サーバにネットワークによつて接続された第 2電子計算機を有することを特徴とする電子計算機の監視システム。

[10] 請求項 9に記載の電子計算機の監視システムにおいて、

前記インターフェースドライバ手段（22)は、前記記憶装置からデータを取り出すための記録装置用ドライバ部（38)と、前記表示装置に直接表示可能な前記表示ィメージを生成するためのグラフィックデバイスドライバ（24)にデータを出力するためのインターフェース咅とを有し、

前記データベースに格納された前記関数を前記記録装置用ドライバ部（38)によつて取得して、前記インターフェース部に出力して、前記表示イメージを再生する前記再生手段と

を備えた前記電子計算機、又は前記サーバ、又は前記第 2電子計算機を有することを特徴とする電子計算機の監視システム。

[11] 請求項 8に記載の電子計算機の監視システムにおいて、

前記データベースに格納された前記電子計算機に関するデータに基づいて、前記電子計算機の利用状況を示すレポートを前記監視システムの管理者の指示によって、又は定期的に作成するためのレポート作成手段を有し、

前記レポートは、前記電子計算機の固有情報、前記電子計算機を利用したユーザを示すユーザ情報、前記ユーザが前記電子計算機を利用した時間又は時間帯を示す時間情報、及び前記電子計算機で不審なプログラムを実行、又は不適切な情報を発するネットワークアドレスに前記電子計算機力アクセスした情報を示す不正ァクセス情報力なる

ことを特徴とする電子計算機の監視システム。

[12] 電子計算機をオペレーティングシステムによって動作させ、前記電子計算機の表示装置に表示される表示イメージを記録して、前記電子計算機の利用状況を監視するための監視システム用のプログラムにおいて、

前記オペレーティングシステム又は前記オペレーティングシステム上に動作するァプリケーシヨンプログラム力も前記表示装置にデータを表示するとき、前記表示ィメージを生成するために実行されるもので、前記オペレーティングシステムのグラフィック機能を提供するサブシステムの関数を、前記サブシステムの入力機能又は出力機能を利用して取得する取得ステップと、前記関数からテキストデータを抽出する抽出ステップと、

前記取得ステップによって取得した取得データと、前記テキストデータを、データべースが格納されている前記電子計算機又は前記電子計算機とネットワークによって接続されたサーバに、送信する送信ステップと

を前記電子計算機に実行させるための監視システム用プログラム。

[13] 請求項 12に記載の監視システム用プログラムにおいて、

前記電子計算機のデバイスを制御するためのデバイスドライバ間のデータの送受信を行う機能と、前記オペレーティングシステムと前記デバイスドライバとの共通のィンターフェースを提供する機能を備え、前記オペレーティングシステムのカーネルモードで動作するソフトウェアで、かつ、前記オペレーティングシステム又は前記アプリケーシヨンプログラムと、前記サブシステムの前記入力機能又は前記出力機能とのィンターフェースを提供する機能を持つインターフェースドライバプログラムによって前記関数を取得する前記取得ステップと

[14] 請求項 12又は 13に記載の監視システム用プログラムにおいて、

前記アプリケーションプログラムの操作履歴、前記電子計算機の入力装置から入力される操作履歴、前記電子計算機の通信履歴、前記電子計算機の固有情報、前記サブシステムから出力されるラスターデータ、及び前記関数の実行時間の中から選択される 1以上のデータを取得する前記取得ステップと

[15] 請求項 12から 14の中力も選択される 1項に記載の監視システム用プログラムにおいて、

前記送信ステップによって送信されてきた前記データを受信する受信ステップと、前記データに含まれる、前記取得データと前記テキストデータを関連付けて、前記データベースに格納する格納ステップとを前記電子計算機、又は前記サーバに実行させるための監視システム用プロダラム。

[16] 請求項 15に記載の監視システム用プログラムにおいて、前記電子計算機の利用状況を把握するために、キーワードによってを検索する検索ステップと、

前記検索の検索結果を表示する表示ステップと、

前記検索の検索結果の前記テキストデータに関連付けられたもので、前記データベースに格納された前記関数を用いて前記表示イメージを再生する再生ステップとを前記電子計算機、又は前記サーバ、又は前記サーバにネットワークによって接続された第 2電子計算機に実行させるための監視システム用プログラム。

[17] 請求項 16に記載の監視システム用プログラムにおいて、

前記インターフェースドライバプログラムは、前記記憶装置からデータ取り出すための記録装置用ドライバ部と、前記表示装置に直接表示可能な前記表示イメージを生成するためのグラフィックデバイスドライバにデータを出力するためのインターフエ一ス咅とを有し、

前記データベースに格納された前記関数を前記記録装置用ドライバ部によって取得するステップと、前記記録装置用ドライバ部によって取得したデータを前記インタ一フェース部に出力して、前記表示イメージを再生する前記再生ステップと

を前記電子計算機、又は前記サーバ、又は前記第 2電子計算機に実行させるための監視システム用プログラム。

[18] 請求項 15に記載の監視システム用プログラムにおいて、

前記電子計算機に関するデータを前記データベースから取得するデータ取得ステップと、

前記電子計算機に関するデータを分析する分析ステップと、

前記分析ステップの結果をまとめてレポートを作成するレポート作成ステップとを前記電子計算機、又は前記サーバ、又は前記サーバにネットワークによって接続された第 2電子計算機に実行させるための実行させるための監視システム用プロダラム。

[19] 請求項 18に記載の監視システム用プログラムにおいて、

レポート作成ステップは、前記監視システムの管理者の指示によって、又は定期的に実行して、前記レポートを作成し、前記レポートは、前記電子計算機の固有情報、前記電子計算機を利用したユーザを示すユーザ情報、前記ユーザが前記電子計算機を利用した時間又は時間帯を示す時間情報、及び前記電子計算機で不審なプログラムを実行、又は不適切な情報を発するネットワークアドレスに前記電子計算機力アクセスした情報を示す不正ァクセス情報力なる

ことを特徴とする監視システム用プログラム。

請求項 12〜19の中力も選択される 1項に記載の監視システム用プログラムを記録した電子計算機での読み取り可能な記録媒体。