WO2013183115A1

WO2013183115A1 - ログ管理システム及びプログラム

Info

Publication number: WO2013183115A1
Application number: PCT/JP2012/064468
Authority: WO
Inventors: 裕介日下; 智唯内藤
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2012-06-05
Filing date: 2012-06-05
Publication date: 2013-12-12
Anticipated expiration: 2014-12-05
Also published as: US8738625B2; US20130325913A1

Description

ログ管理システム及びプログラム

　本発明は、ログ管理システム及びプログラムに関し、特に、クライアント計算機におけるログを分析、管理する技術に関する。

　ユーザ（作業者）が使用するクライアント計算機とサーバ計算機とがネットワークによって通信可能に接続された計算機システムにおいて、クライアント計算機の生成するログを収集し、収集されたログによって、クライアント計算機におけるさまざまな操作履歴を把握することへの要求がある。

　また、近年、業務効率の改善やコンプライアンスの向上等の背景から、ユーザの業務状況を把握することへのニーズが増大している。例えば、ユーザによるクライアント計算機の操作により、ユーザの業務状況を監視するというニーズが存在する。例えば、特開２００２－２０８０５０号公報（特許文献１）は、入退室データやログイン・ログアウトデータを基に、作業者の業務時間を計算することを開示する。

特開２００２－２０８０５０号公報

　ユーザの業務状況を把握するため、ユーザが利用するクライアント計算機の操作ログ（ユーザ操作に起因するログ）を収集・分析する必要がある。業務管理者がユーザの業務状況を適切に把握すると共にそのための負担を軽減するため、管理システムが、ユーザの操作ログをより適切に分析し、ユーザの業務状況をより適切に管理できることが望まれる。

　本発明の一態様は、計算機において取得されたログを解析し、管理する、プロセッサと記憶デバイスを含むログ管理システムである。前記記憶デバイスは、前記計算機におけるログを記憶する。前記プロセッサは、前記記憶デバイスに記憶されている前記ログを参照して、それぞれが複数ログレコードからなる複数ロググループを作成する。前記プロセッサは、前記複数ロググループのそれぞれにおいて、表示領域がアクティブであるアクティブ期間を特定する。前記プロセッサは、前記複数ロググループから選択された基準ロググループの開始時刻から終了時刻までの開始終了期間と、前記基準ロググループ以外の対象ロググループのそれぞれのアクティブ期間とを比較して、前記開始終了期間に含まれるアクティブ期間を有する対象ロググループを特定する。前記プロセッサは、前記特定した対象ロググループのそれぞれの、前記開始終了期間内におけるアクティブ期間長さに基づいて、前記特定した対象ロググループのそれぞれを、前記基準ロググループと同一の第１クラスタに含めるか否かを判定する。

　本発明の一態様は、業務管理者がユーザの業務状況を適切に把握すると共にそのための負担を軽減できるように、ユーザに操作される計算機のログをより適切に分析し、ユーザの業務状況をより適切に管理できる。

実施例１において、クライアント計算機及びそのクライアント計算機の管理システムを含む、計算機システムの構成例を模式的に示している。実施例１において、管理サーバの構成を模式的に示している。実施例１において、計算機システムの動作例を示すシーケンス図である。実施例１において、操作ログＤＢの一例を示している。実施例１において、関連定義テーブルの一例を示している。実施例１において、業務分析プログラムによる、操作ログレコードのグルーピング及び業務名割り当ての処理例を示すフローチャートである。実施例１において、分析対象の操作ログレコードの一例を示している。実施例１において、操作ログレコードを、複数のグループにグループ化した結果の例を示している。実施例１において、業務分析プログラムによる操作ロググループの作成処理例のフローチャートである。実施例１において、操作ロググループ名称テーブルの一例を示している。実施例１において、実施例１の手法により操作ロググループのそれぞれに付与された操作ロググループ名を示している。実施例１において、操作ロググループへの名称付与の方法の一例を示すフローチャートである。実施例１において、業務分析プログラムが作成した操作ロググループの情報を格納する操作ロググループテーブルの一例を示している。実施例１において、図１２に示す操作ロググループテーブルが格納する二つの操作ロググループのアクティブ期間を示している。実施例１において、図１３に示す操作ロググループの時間計算の結果得られる操作ロググループ時間テーブルの例を示している。実施例１において、操作ロググループ時間テーブルへのデータ登録のための処理例を示すフローチャートである。実施例１において、六つの操作ロググループから、二つの操作ログクラスタ作成する例を示している。実施例１において、六つの操作ロググループから、二つの操作ログクラスタ作成する例を示している。実施例１において、図１６Ａ、１６Ｂを参照して説明したクラスタ化判定の判定結果を示している。実施例１において、操作ログクラスタの作成処理例を示すフローチャートである。実施例１において、図１８におけるクラスタ化判定の例を示すフローチャートである実施例１において、割り当てる業務名を絞りこむ処理の例を示すフローチャートである。実施例１において、ユーザテーブルの構成例を示している。実施例１において、業務テーブルの構成例を示している。実施例１において、業務分析結果テーブルの構成例を示している。実施例１において、指定ユーザの指定日付における操作ログから作成された操作ログクラスタの構成例を示している。実施例１において、指定ユーザの指定日付における操作ログから作成された操作ログクラスタの構成例を示している。実施例１において、学習テーブルの構成例を示している。実施例１において、指定ユーザの指定日付における操作ログの確率計算のために学習テーブルから選択されたエントリを示している。実施例１において、二つの操作ログクラスタの業務名候補の確率計算の結果を示している。実施例１において、業務分析結果の表示画像例を示している。

　以下、図面を参照しつつ、本発明を実施するための形態を説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略及び簡略化がなされている。本実施形態の管理システムは、クライアント計算機において取得される操作ログ（ユーザ操作に起因するログ）を使用して、そのクライアント計算機（ユーザ）を管理する。

　本実施形態の一態様の管理システムは、クライアント計算機における操作ログから取得した複数の操作ログレコードをグループ化し、複数の操作ロググループを作成する。管理システムは、さらに、関連する複数の操作ロググループを纏めてクラスタ（操作ログクラスタとも呼ぶ）を作成する。

　例えば、ユーザが異なるプログラムを使用して異なる作業を並行して行った場合、それら異なる作業の異なる操作ロググループが作成され、これら操作ロググループの開始から終了までの期間（開始終了期間とも呼ぶ）が、部分的に重なる。これらの操作ロググループの関連性が高い場合、これらを同一のクラスタに含めることで、ユーザの作業状況をより正確に分析し、管理することができる。作業管理者及びユーザは、管理システムの分析結果を参照することで、容易かつ適切にユーザの業務状況を把握することができる。

　具体的には、管理システムは、基準となる操作ロググループの開始時刻から終了時刻までの期間と、他の操作ロググループそれぞれにおけるアクティブ期間とを比較して、基準となる操作ロググループと他の操作ロググループのそれぞれが関連する操作ロググループであるか判定する。アクティブ期間は、表示領域がアクティブである期間である。

　表示領域は、プロセスやスレッドがユーザのために画像を表示する領域であって、例えば、ウィンドウやタブページである。表示領域が選択されると、その表示領域はアクティブとなり、他の表示領域は非アクティブ（パッシブとも呼ぶ）となる。例えば、ある時刻でアクティブである表示領域は一つである。

　例えば、操作ログレコードがプロセスの起動やウィンドウのアクティベイトを示す時刻から、他の操作ログレコードがそのプロセスの終了やそのウィンドウのディアクティベイトを示す時刻が、アクティブ期間である。一つの操作ロググループにおいて、離間する複数のアクティブ期間が存在し得る。

　管理システムは、基準となる操作ロググループの開始終了期間に含まれる、他の操作ロググループのアクティブ期間長さに基づいて、基準となる操作ロググループと他の操作ロググループとが同一クラスタに属するか判定することができる。

　基準となる操作ロググループの開始終了期間に含まれるアクティブ期間長さが長く、その結果、このアクティブ期間長さから得られる値が規定の範囲に含まれる場合、管理システムは、それらが同一クラスタに含まれると判定する。このように、関連する操作ロググループからクラスタを作成することで、関連する操作ログレコードをまとめてユーザの業務状況を正確に把握することができる。

　以下において、本実施例におけるクライアント計算機の管理を、図を参照して具体的に説明する。図１は、ユーザに操作されるクライアント計算機及びそのクライアント計算機の管理システムを含む、本実施例の計算機システムの構成例を模式的に示している。管理システムは、管理サーバ１００と管理コンソール１１０を含む。図１は、操作ログが取得される１つのクライアント計算機１３０を例示するが、典型的には、複数のクライアント計算機が管理システムによる管理対象に含まれる。各計算機は、ネットワーク１２０により通信可能に接続している。

　管理コンソール１１０は、管理者がクライアント計算機１３０の管理に利用する計算機である。管理者は、管理コンソール１１０から管理サーバ１００にアクセスし、管理サーバ１００に処理を指示するとともに、管理コンソール１１０に管理サーバ１００の処理結果を取得、表示させる。このように、管理者は、管理コンソール１１０を利用して、クライアント計算機１３０の操作ログによる管理を行う。管理システムは管理コンソール１１０を有していなくともよく、管理者は、管理コンソール１１０に代えて、管理サーバ１００に直接接続されている入出力デバイスを使用してもよい。

　図１に示すように、管理コンソール１１０は、プロセッサであるＣＰＵ１１１、記憶デバイス１１２、表示デバイス１１５、入力デバイス１１６、そしてネットワークインターフェース１１７を有する。管理コンソール１１０は、ネットワークインターフェース１１７によって、ネットワーク１２０に接続する。

　記憶デバイス１１２は、主記憶デバイス１１３及び二次記憶デバイス１１４を含む。主記憶デバイス１１３は、典型的には揮発性の半導体メモリであり、プログラムであるＷｅｂブラウザ１０３を格納している。管理者は、Ｗｅｂブラウザ１０３を使用して、管理サーバ１００へアクセスし、それを操作することができる。

　ＣＰＵ１１１は、主記憶デバイス１１３に記憶されているプログラムを実行することによって所定の機能を実現する機能部として動作する。実行されるプログラムは、図１に示すＷｅｂブラウザ１０３の他、不図示のＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）を含む。

　説明の便宜上、Ｗｅｂブラウザ１０３は主記憶デバイス１１３内に示されているが、典型的には、Ｗｅｂブラウザ１０３は、二次記憶デバイス１１４の記憶領域から主記憶デバイス１１３の記憶領域にロードされる。二次記憶デバイス１１４は、所定の機能を実現するために必要なプログラム及びデータを格納する、不揮発性の非一時的記憶媒体を含む記憶装置である。二次記憶デバイス１１４は、ネットワーク１２０を介して接続された外部の記憶デバイスでもよい。

　入力デバイス１１６の典型的な例は、キーボード及びポインタデバイスであるが、これらと異なるデバイスでもよい。表示デバイス１１５は、典型的には、表示モニタであり、管理サーバ１００における処理結果を表示する。クライアント計算機１３０は、ユーザが使用する計算機あって、管理システムの管理対象である。クライアント計算機１３０は、それを使用するユーザの操作ログを取得し、それを管理サーバ１００に送信する。

　図１に示すように、クライアント計算機１３０は、プロセッサであるＣＰＵ１３１、記憶デバイス１３２、表示デバイス１３５、入力デバイス１３６、そしてネットワークインターフェース１３７を有する。クライアント計算機１３０は、ネットワークインターフェース１３７によって、ネットワーク１２０に接続する。入力デバイス１３６の典型的な例はキーボード及びポインタデバイスであり、典型的表示デバイス１３５は表示モニタであるが、これらと異なるデバイスでもよい。

　記憶デバイス１３２は、主記憶デバイス１３３及び二次記憶デバイス１３４を含む。主記憶デバイス１３３は、典型的には揮発性半導体メモリであり、不図示のＯＳの他、マネージャ通信プログラム１３８、操作ログ取得プログラム１３９、複数のアプリケーションプログラム１４０を格納している。これらは、それぞれ、操作ログクライアントプログラムの一部であり、これらプログラムの動作の詳細は後述する。

　ＣＰＵ１３１は、主記憶デバイス１３３に記憶されているプログラムを実行することによって所定の機能を実現する。例えば、ＣＰＵ１３１は、操作ログ取得プログラム１３９に従って動作することで、操作ログ取得部として動作する。他のプログラムについても同様である。クライアント計算機１３０は、これら機能部を含む装置又はシステムである。

　説明の便宜上、プログラム１３８～１４０は主記憶デバイス１３３内に示されているが、典型的には、プログラム１３８～１４０は、二次記憶デバイス１３４の記憶領域から主記憶デバイス１３３の記憶領域にロードされる。二次記憶デバイス１３４は、所定の機能を実現するために必要なプログラム及びデータを格納する、不揮発性の非一時的記憶媒体を含む記憶デバイスである。二次記憶デバイス１３４は、ネットワーク１２０を介して接続された外部の記憶デバイスでもよい。

　図２は、管理サーバ１００の構成を模式的に示している。管理サーバ１００は計算機であって、プロセッサであるＣＰＵ２０１、記憶デバイス２０２、入出力インターフェース２０５、そしてネットワークインターフェース２０６を有する。管理サーバ１００は、通信インターフェース２０６によって、ネットワーク１２０に接続する。

　記憶デバイス２０２は、主記憶デバイス２０３及び二次記憶デバイス２０４を含む。主記憶デバイス２０３は、典型的には揮発性半導体メモリであり、不図示のＯＳの他、操作ログ格納プログラム２０７、クライアント通信プログラム２０９、管理コンソール通信プログラム２１０、そして業務分析プログラム２１１を格納している。これらは、それぞれ、操作ログ管理プログラムの一部であり、それぞれのプログラムの動作の詳細は後述する。

　二次記憶デバイス２０４は、所定の機能を実現するために必要なプログラム及びデータを格納する、不揮発性の非一時的記憶媒体を含む記憶デバイスである。図２において、二次記憶デバイス２０４は、操作ログデータベース（ＤＢ）２１２、関連定義テーブル２１３、操作ロググループ名称テーブル２１４、操作ロググループテーブル２１５、操作ロググループ時間テーブル２１６、ユーザテーブル２１７、業務テーブル２１８、学習テーブル２１９、そして業務分析結果テーブル２２０を格納している。

　これらは、操作ログ管理データである。ＤＢ又はテーブルのエントリにおいて、フィールドの値が互いに対応づけられている。格納されている情報の詳細は後述する。二次記憶デバイス２０４は、ネットワーク１２０を介して接続された外部の記憶デバイスでもよい。

　説明の便宜上、プログラム２０７、２０９～２１１は主記憶デバイス２０３内に示されており、管理サーバ１００の処理に必要な情報（データ）２１２～２２０は二次記憶デバイス２０４に示されているが、典型的には、これらプログラム及び情報（データ）は、二次記憶デバイス２０４の記憶領域から主記憶デバイス２０３の記憶領域にロードされ、ＣＰＵ２０１によって使用される。

　ＣＰＵ２０１は、主記憶デバイス２０３に記憶されているデータを使用しつつプログラムを実行することによって、所定の機能を実現する。例えば、ＣＰＵ２０１は、操作ログ格納プログラム２０７、クライアント通信プログラム２０９、管理コンソール通信プログラム２１０、業務分析プログラム２１１のそれぞれに従って動作することで、操作ログ格納処理部、操作ロググルーピング部、クライアント通信部、管理コンソール通信部、業務分析部として動作する。管理サーバ１００は、これら機能部を含む装置又はシステムである。

　図１及び２の例において、管理サーバ１００は１台の計算機であるが、管理処理の高速化及び高信頼化のため、管理サーバ１００の実行する処理と同等の処理を、複数の計算機が実行してもよい。これら複数の計算機は、本実施例の管理システムに含まれる。クライアント計算機１３０は管理処理の一部を担うことができ、管理システムはクライアント計算機（の一部機能）を含むことができる。

　上述のように、管理サーバ１００、管理コンソール１１０及びクライアント計算機１３０のプログラムは、ＣＰＵ２０１、１１１、１３１によって実行されることで、定められた処理を記憶デバイス２０２、１１２、１３２及び他のデバイスを用いながら行う。従って、本実施例においてプログラムを主語とする説明は、ＣＰＵ２０１、１１１、１３１を主語とした説明でもよい。若しくは、プログラムが実行する処理は、そのプログラムが動作する計算機１００、１１０、１３０及びそれらを含む計算機システムが行う処理である。

　上述のように、クライアント計算機１３０は、そこでのユーザ操作の操作ログを取得し、管理サーバ１００に送信する。具体的には、クライアント計算機１３０上で動作する操作ログ取得プログラム１３９は、各アプリケーション１４０の操作情報（操作ログ）を取得する。操作ログ取得プログラム１３９の処理方法は広く知られており、それ自体は本発明の特徴ではないため、ここでの詳細な説明を省略する。

　図３は、本計算機システムの動作例を示すシーケンス図である。ユーザ３５１が、クライアント計算機１３０を操作し、その操作ログを操作ログ取得プログラム１３９が取得する（Ｓ３０１）。管理者３５１は、管理コンソール１１０の入力デバイス１１６を使用して、管理サーバ１００に業務分析プログラム２１１の起動の起動を要求する。起動要求は、ユーザを識別するユーザ名と分析を行う操作ログの日付を指定する。

　本例において、ユーザが使用するクライアント計算機は一つであるとする。業務分析プログラム２１１は、管理者からの要求によらず、分析を開始してもよい。例えば、毎日の既定の時刻に分析を開始する。

　業務分析プログラム２１１は、ユーザ名と使用クライアント計算機とを対応付ける情報を保持しており、その情報を参照して、クライアント計算機１３０に対して、操作ログの送信を要求する。この要求は、クライアント通信プログラム２０９により送信され、上記ユーザ名と日付とを指定する。

　クライアント計算機１３０のマネージャ通信プログラム１３８は、操作ログ取得プログラム１３９が取得した操作ログから、上記指定されたユーザ名と日付によって特定される操作ログを選択し、選択した操作ログを、ネットワークインタフェース１３７及びネットワーク１２０を介して、管理サーバ１００へ送信する（Ｓ３０２）。

　クライアント計算機１３０は全ての未送信操作ログを管理サーバ１００に送信し、管理サーバ１００が必要な操作ログを選択してもよい。また、クライアント計算機１３０は、管理サーバ１００からの要求によらず、既定の時刻に操作ログを送信してもよい。

　業務分析プログラム２１１は、他のプログラムを使用して、受信した操作ログを、操作ログＤＢ２１２に格納する。具体的には、管理サーバ１００において、クライアント通信プログラム２０９は、ネットワークインタフェース２０６を介して、クライアント計算機１３０から送信された操作ログを受信する。クライアント通信プログラム２０９は、受信した操作ログを操作ログ格納プログラム２０７へ渡す。操作ログ格納プログラム２０７は、受信した操作ログを、操作ログＤＢ２１２に格納する。

　業務分析プログラム２１１は、操作ログＤＢ２１２から、指定されたユーザ名及び日付の操作ログレコードを取得し、分析を行う。具体的には、業務分析プログラム２１１は、操作ログレコードのグルーピングを行う（Ｓ３０３）。グルーピングは、複数の操作ログレコードからなる操作ロググループを生成し、さらに、１以上の操作ロググループからなる操作ログクラスタを生成する。操作ログクラスタは、１以上の操作ログレコードのグループである。グルーピングの詳細は後述する。

　その後、業務分析プログラム２１１は、グルーピングの結果得られる操作ログクラスタに対して、名称を割り当てる（Ｓ３０４）。本例において、この名称はユーザの業務名である。名称の割り当ての詳細は後述する。

　業務分析プログラム２１１は、分析結果、つまり、操作ログレコードのグルーピング及び名称の割り当ての結果を表示する表示データを、クライアント通信プログラム２０９を使用して、クライアント計算機１３０に送信する。ユーザ３５１は、クライアント計算機１３０の表示デバイス１３５で結果を確認し、修正が必要であれば、それを示すデータを入力デバイス１３６により入力する。マネージャ通信プログラム１３８は、必要な修正の要求を管理サーバ１００に送信する。業務分析プログラム２１１は、管理者３５２からの要求に対しても、分析結果を送信する。

　業務分析プログラム２１１は、必要な修正をされた分析結果を登録する。具体的には、業務分析プログラム２１１は、その分析結果により、学習テーブル２１９及び業務分析結果テーブル２２０を更新する（Ｓ３０５）。これらの詳細は後述する。

　図３を参照して説明したように、管理サーバ１００の操作ログ格納プログラム２０７は、受け取った操作ログから操作ログＤＢ２１２へ格納するためのデータを取得して、そのデータを操作ログＤＢ２１２へ格納する。図４は、本例の操作ログＤＢ２１２の一例を示している。本例において、操作ログＤＢ２１２は一つのテーブルで表されている。

　本例の操作ログＤＢ２１２は、操作日時のカラム、操作種別のカラム、マシン名のカラム、ユーザ名のカラム、プロセスＩＤのカラム、プロセス名のカラム、入力情報のカラム、出力情報のカラムを有する。操作ログＤＢ２１２は、図示していない情報をさらに含んでいてもよい。

　操作日時は、操作がなされた日時を示す。操作種別は、ユーザによる操作の種別を示す。本例は、例えば、ログオン、プロセス起動、ファイルオープン、ウィンドウアクティベイト、ウィンドウディアクティベイトなどの操作種別を例示している。マシン名は、操作がなされたクライアント計算機の名前である。マシン名は、クライアント計算機を識別する一意の識別子であり、複数のクライアント計算機が存在する場合、それぞれ異なるマシン名が割り当てられる。

　ユーザ名は、ログインして操作を行ったユーザの名前を示す。複数のユーザが存在する場合、ユーザ名は１つのクライアント計算機１３０において一意の識別子であり、１つのクライアント計算機１３０において異なるユーザには異なるユーザ名が割り当てられる。複数のクライアント計算機が存在する場合、典型的には、ユーザ名は、全てのクライアント計算機において一意である。

　プロセスＩＤは、操作が行われたプロセスを識別する識別子である。プロセスは、プログラムのインスタンスである。同一のプログラムから生成された複数のプロセスが、並列して動作しうる。操作ログ取得プログラム１３９は、例えば、ＯＳからプロセスＩＤの値を得ることができる。プロセスＩＤとして、例えば、プロセスが生成された順所に従って、プロセスに単調増加する数字が割り当てられる。例えば、最小値から最大値までの数値が、順に、繰り返し割り当てられる。

　プロセス名はプロセスの名前であり、例えば、プログラムの名前又はその一部が使用される。例えば、本例において、browser.exeはＷｅｂブラウザのプロセス名であり、document.exeはワードプロセッサのプロセス名である。

　同一プロセスＩＤを有する操作ログレコードは、異なる操作種別を持ちうる。入力情報は操作による入力を識別する情報であり、同様に、出力情報は、操作による出力を識別する情報である。入力情報及び出力情報の詳細については、さらに後述する。後述するように、本例は、プロセスＩＤ、入力情報及び出力情報を使用して操作ログレコードをグルーピングする。

　図４の例において、操作ログＤＢ２１２に含まれる複数の操作ログレコード（エントリ）は、操作日時の古い操作から順に配列されている。操作ログレコードの一部は、全てのフィールドにそれらの内容を具体的に特定するデータを格納しているが、一部の操作ログレコードのフィールド（ハイフンが示されているフィールド）はそのようなデータを格納していない。例えば、これらのフィールドは、ＮＵＬＬ値を格納している。

　具体的には、全ての操作ログレコードは、操作日時、操作種別、マシン名、ユーザ名に特定の（ＮＵＬＬ以外のデータ）データを格納している。いくつかの操作のログレコードは、プロセスＩＤの値を含まない。例えば、ログオン操作（及びログオフ操作）は、対応する特定プロセスが存在しないため、操作ログレコードは、特定のプロセスＩＤ及びプロセス名を含まない。

　図４の例において、一部の操作ログレコードは、特定の入力情報又は特定の出力情報を有しており、他の操作ログレコードは、入力情報及び出力情報のいずれも有していない。例えば、Ｗｅｂアクセス及びファイルオープンの各操作に対して、特定の入力が定義されており、それらを示す情報（識別子）が、各操作ログレコードに格納されている。

　本例は、１台のクライアント計算機１３０（マシン名：ＰＣ１）における、１人のユーザ（ユーザ名：ＵｓｅｒＡ）による操作の操作ログを示しているが、複数のクライアント計算機又は複数のユーザが存在する場合、操作ログＤＢ２１２は、それら全ての操作ログを格納する。

　上述のように、管理サーバ１００の操作ログ格納プログラム２０７は、クライアント計算機１３０から受信した操作ログから、各操作ログレコードのデータを得て、操作ログＤＢ２１２に格納する。本構成例において、操作ログ格納プログラム２０７は、関連定義テーブル２１３を参照して、各操作の入力情報及び出力情報を特定する。

　図５は、関連定義テーブル２１３の一例を示している。この関連定義テーブル２１３は一例であり、関連定義テーブル２１３は他の操作種別を含むことができ、又、各操作種別に関連付けられる情報の他の定義を含むことができる。本例の関連定義テーブル２１３は、操作種別のカラム、入力情報のカラム、出力情報のカラムを有している。入力情報、出力情報のカラムは、それぞれ、各操作種別に対応する情報の種別を定義する。

　図５に示すように、一部の操作種別に対して入力情報、出力情報の一方又は双方が定義されているが、他の操作種別に対しては入力情報、出力情報のいずれも定義されていない（存在しないと定義されていることと同義）。これらの操作において入出力情報が存在しない。

　関連定義テーブル２１３において規定されている操作種別は、操作ログＤＢ２１２において登録される操作種別と同様である。例えば、操作ログＤＢ２１２に格納されうる全ての操作種別が関連定義テーブル２１３において、その入出力情報について（それらが存在しないことを含む）が定義されている。

　例えば、ウィンドウアクティベイト及びウィンドウディアクティベイトの操作種別には、入力情報も出力情報も定義されていない。ウィンドウアクティベイト操作は、プロセスの起動やウィンドウの選択により、当該ウィンドウ上でのユーザによる作業（計算機操作）を可能とする操作である。

　ウィンドウディアクティベイトは、アクティブなウィンドウを非アクティブ（パッシブ）に変更する操作である。プロセスの停止や当該ウィンドウと異なる表示領域の選択により、アクティブなウィンドウがディアクティベイトされる。

　他の例として、ファイルオープンの操作種別の入力情報は、オープンファイルパスである。本実施例で説明する構成例において、ファイルパスはファイルのフルパスであり、ディレクトリ情報（格納アドレス）とファイル名（ディレクトリ情報を含まない）を含む。ファイルオープンに対しては、出力情報は定義されていない。

　他の例として、ファイルアップロードの入力情報は、アップロード元ファイルパスである。出力情報は定義されていない。ファイルダウンロードの出力情報は保存先ファイルパスであり、入力情報は定義されていない。Ｗｅｂアクセスに対しては、入力情報が定義されており、参照先ＵＲＬである。出力情報には定義されていない。Ｗｅｂアクセスに関連付けられた情報は、ＵＲＬの一部で定義されてもよい。これは他の操作種別におけるＵＲＬについて同様である。

　この他、図５の関連定義テーブル２１３において、クリップボードコピーの操作種別に対して出力情報が、そしてクリップボード貼り付けの操作種別に対して入力情報が定義されている。クリップボードコピーは、コピー元データを維持する操作（いわゆるコピー操作）及び削除する操作（いわゆる切り取り操作）を含む。定義された出力情報及び入力情報は、それぞれ、コピーデータ及び貼り付けデータである。

　操作種別に関連づけられる入力情報又は出力情報として、設計により適切な情報が使用される。例えば、上述のように、データのフルパスやデータそのものの他、データのハッシュ値を使用してもよい。クリップボードの場合は、クリップボードのプログラムがコピー操作や切り取り操作に対してシーケンシャルに識別子を割り当て、これを上記入力情報及び出力情報として使用することができる。

　操作ログ格納プログラム２０７は、クライアント計算機１３０から受信した操作ログにおける１つの操作（操作ログレコード）に対する入力情報、出力情報を、関連定義テーブル２１３を参照して決定する。操作ログ格納プログラム２０７は、受信した操作ログから、選択している操作に対して定義されている入力情報、出力情報を取得して、操作ログＤＢ２１２に格納する。

　例えば、クライアント計算機１３０から送信される操作ログは、操作ログＤＢ２１２に格納する情報よりも、ユーザ操作についての詳細で多くの情報を含む。例えば、操作ログ格納プログラム２０７は、受信した操作ログに含まれる複数のイベント（エントリ）から、それらに対応する操作種別を定義情報に従って決定し、それらイベントから操作ログＤＢ２１２に格納する他のデータ（情報）を抽出する。

　操作ログ格納プログラム２０７は、このように生成した操作ログレコード（のデータ）を操作ログＤＢ２１２に格納する。クライアント計算機１３０における操作ログ取得プログラム１３９が、操作ログＤＢ２１２の操作ログレコードの各フィールドの値を含む操作ログを管理サーバ１００に送信し、操作ログ格納プログラム２０７は、受信した操作ログから操作ログレコード（のデータ）を選択して、それを操作ログＤＢ２１２に格納してもよい。操作ログ取得プログラム１３９は、操作ログＤＢ２１２に格納するデータのみを管理サーバ１００に送信してもよい。

　本例は、操作種別と、対応する入力情報、出力情報と、を関連付ける情報を、図５の関連定義テーブル２１３で示す。しかし、操作種別と情報とを関連づける定義情報は、１つのテーブルに含まれている必要はなく、どのようなデータ構造を有していてもよい。定義情報は、テーブルを構成することなく操作ログ格納プログラム２０７内に含まれていてもよい。

　同様のことは、本実施形態の管理システムが、クライアント計算機管理において使用する全ての情報について同様である。具体的には、操作ログＤＢ２１２、関連定義テーブル２１３、操作ロググループ名称テーブル２１４、操作ロググループテーブル２１５、操作ロググループ時間テーブル２１６、ユーザテーブル２１７、業務テーブル２１８、ガキ周テーブル２１９、業務分析結果テーブル２２０が有する情報は、どのようなデータ構造により表されていてもよい。このように、本実施形態において、情報はデータ構造に依存しない。また、各情報の内容を説明する際に、「識別情報」、「識別子」、「名」、「ＩＤ」等の表現を用いるが、これらについてはお互いに置換が可能である。

　図３を参照して説明したように、業務分析プログラム２１１は、操作ログＤＢ２１２から指定されたユーザ及び日付の操作ログレコードを取得し、それらのグルーピングを行う（Ｓ３０３）。さらに、業務分析プログラム２１１は、グルーピングにより作成された操作ログクラスタに業務名を割り当てる（Ｓ３０４）。図６は、業務分析プログラム２１１による、操作ログレコードのグルーピングＳ３０３及び名称割り当てＳ３０４の処理例を示すフローチャートである。

　業務分析プログラム２１１は、複数の操作ログレコードからなる操作ロググループを作成する（Ｓ６０１）。本例において、各操作ロググループは、一つの作業に対応すると推定される。さらに、業務分析プログラム２１１は、ステップＳ６０１で生成した操作ロググループから、操作ログクラスタを生成する（Ｓ６０２）。操作ログクラスタは、複数の操作ロググループからなる。本例において、操作ログクラスタは、一つの業務に対応すると推定される。

　操作ログクラスタは、複数の操作ログレコードで構成されており、操作ロググループと同様に、操作ログレコードのグループである。本例においては、ステップＳ６０１が作成する操作ログレコードのグループと、ステップＳ６０２が作成する操作ログレコードのグループとを区別するため、前者を操作ロググループと呼び、後者を操作ログクラスタと呼ぶ。ステップＳ６０１、Ｓ６０２は、図３における操作ロググルーピングＳ３０３に対応する。

　次に、業務分析プログラム２１１は、操作ログクラスタに対する名称（業務名）割り当てのため、業務名の絞り込みを行い（Ｓ６０３）、さらに、業務名決定のための確率計算を行う（Ｓ６０４）。業務分析プログラム２１１は、確率計算Ｓ６０４の計算結果に基づいて、操作ログクラスタに割り当てる業務名を決定する（Ｓ６０５）。ステップＳ６０３～Ｓ６０５は、図３のシーケンス図における名称割り当てＳ３０４に対応する。

　図６のフローチャートにおいて示すように、業務分析プログラム２１１は、操作ログレコードのグルーピングにおいて、作業に対応する操作ロググループを作成し（Ｓ６０１）、さらに、作成した操作ロググループから、業務に対応する操作ログクラスタを作成する（Ｓ６０２）。まず、操作ロググループの作成方法（Ｓ６０１）を具体的に説明する。

　図７は、分析対象の操作ログレコードの一例を示す。この例は、一人のユーザＵｓｅｒＡによる、一日における操作ログレコード７０１～７１１を示す。本例の操作ログレコード７０１～７１１は、図４に示す操作ログＤＢ２１２の内容と一致している。図８は、これら操作ログレコード７０１～７１１を、複数のグループ（本例で二つの操作ロググループ）にグループ化（Ｓ６０１）した結果を示す。

　図８において、操作ロググループ８０１は、操作ログレコード７０２～７０４、７０９、７１０で構成されている。他の操作ロググループ８０２は操作ログレコード７０５～７０８で構成されている。業務分析プログラム２１１は、関連あると推定される複数の操作ログレコードを纏めて、一つの操作ロググループを作成する。本例において、業務分析プログラム２１１は、操作ログにおいて、関連性が高く、一連の操作に含まれると推定される操作ログレコードが同一グループに含まれるように、操作ログレグループを作成する。本例の操作ロググループの作成は、主に、二つのステップを含む。

　一つ目のステップは、操作ログレコードの属性によって、その操作ログレコードが属するグループを決定する。業務分析プログラム２１１は、操作ログレコードに含まれるデータを参照して、そのログレコードのグループを決定する。具体的には、このステップは、操作ログレコードに含まれるグループ識別子、一例において、プロセスＩＤに基づいて、その操作ログレコードが属するグループを決定する。

　図８の例において、操作ロググループ８０１は、プロセスＩＤが１の操作ログレコードからなるグループであり、操作ロググループ８０２は、プロセスＩＤが２の操作ログレコードからなるグループである。

　次のステップは、同一作業の一連の操作に含まれると推測される異なるグループを関連付ける。業務分析プログラム２１１は、異なるグループに属する操作ログレコードの出力情報と入力情報とによって、異なるグループ間の関係を決定する。このように、入出力情報によって複数のグループを統合することで、同一作業における一連の操作（操作のグループ）を適切に関連付ける。

　具体的には、業務分析プログラム２１１は、出力情報と入力情報とが一致する操作ログレコードを含む異なるグループを関連付ける。業務分析プログラム２１１は、出力情報と入力情報とが一致する操作ログレコードを含む２つのグループは、同一作業の一連の操作に含まれると推測し、それらを統合グループに含める。本例は、この統合グループも操作ロググループと呼ぶ。

　図８の例においては、操作ログレコードのグループ８０１の出力情報／入力情報は、操作ログレコードのグループ８０２の入力情報／出力情報と一致しない。そのため、これらは統合されず、別の操作ロググループとしての定義が維持される。

　業務分析プログラム２１１は、入出力情報によって各グループ間の関連性を決定し、互いに関連する複数のグループによって１つの統合グループを生成する。１つのグループは、入出力情報によって複数のグループと関連することがあり、１つのグループは、関連する他のグループを介してさらに他のグループと連鎖的に関連することがある。統合グループは、入出力情報によってこのように関連付けられた複数のグループを含み、３以上のグループを含みうる。

　ステップＳ６０１が作成する操作ロググループは、第１ステップで作成された複数操作ログレコードで構成され、他の操作ロググループと統合されていないグループ、又は、複数の操作ロググループが統合されたグループである。本例では、ステップＳ６０１はクラスタ化の対象となりえる、複数の操作ロググループを作成する。

　図９は、業務分析プログラム２１１による操作ロググループの作成処理例のフローチャートである。業務分析プログラム２１１は、上述のように、プロセスＩＤと入出力情報を参照して、操作ロググループを作成する。図９のフローチャートにおいて、業務分析プログラム２１１は、まず、操作ログＤＢ２１２から、業務分析の要求を受けたユーザ及日付の操作ログを抽出する（Ｓ９０２）。抽出された操作ログは、記憶デバイス２０２に格納される。

　次に、業務分析プログラム２１１は、抽出した操作ログをプロセスＩＤによりグループに分割し、分割したグループを操作ロググループテーブル２１５に格納する（Ｓ９０３）。具体的には、上述のように、業務分析プログラム２１１は、抽出した操作ログの各操作ログレコードのプロセスＩＤを参照し、同一のプロセスＩＤを有する操作ログレコードを同一のグループに含める。

　次に、業務分析プログラム２１１は、プロセスＩＤによって分割したグループの操作ログレコードから、出力情報と入力情報が一致する操作ログレコードを検索する（Ｓ９０４）。検索は、異なるグループに属する操作ログレコードの関係であり、同一グループ内の出力情報と入力情報の一致を除外する。業務分析プログラム２１１は、この検索において、出力情報と入力情報が一致する操作ログレコードを見つけると、それぞれの操作ログレコードが属するグループに関連があるとみなす。

　以下の説明において、出力情報の操作ログレコードを有するグループを出力グループ、出力情報と同じ入力情報の操作ログレコードに含むグループを入力グループと呼ぶ。ステップＳ９０４における検索結果が、一致する操作ログレコードが存在することを示す場合（Ｓ９０５：ＹＥＳ）、業務分析プログラム２１１は、ステップＳ９０６に移る。一致する操作ログレコードが存在しない場合（Ｓ９０５：ＮＯ）、フローは終了する。

　ステップＳ９０６において、業務分析プログラム２１１は、１つの操作ログレコードの出力情報に対して同一の入力情報を操作ログレコードにもつグループの個数を判定する。個数が１の場合、業務分析プログラム２１１はステップＳ９０７へ移る。ステップＳ９０７において、業務分析プログラム２１１は、出力グループに含まれる操作ログを、入力グループにコピーする。

　個数がｎ(２以上の整数)の場合、業務分析プログラム２１１は、ステップＳ９０８へ移る。ステップＳ９０８において、業務分析プログラム２１１は、出力グループに含まれる操作ログを、入力グループｉ（順次選択される複数の入力グループのそれぞれ）にコピーする。業務分析プログラム２１１は、このステップＳ９０８を、ステップＳ９０５、Ｓ９０６で見つけた全てのグループに対して実行する。

　業務分析プログラム２１１は、出力グループと入力グループを関連付けて統合グループを生成することができれば、上記操作ログのコピーを行わなくてもよい。例えば、業務分析プログラム２１１は、統合グループを構成するグループを関連付ける（定義する）情報を操作ロググループテーブル２１５に格納する。これは、ステップＳ９０７において同様である。

　ステップＳ９０９において、業務分析プログラム２１１は、出力グループのテーブルを、操作ロググループテーブル２１５から削除する。業務分析プログラム２１１は、出力グループの操作ログレコードを、対応する入力グループにコピーする。出力グループのテーブルは、ステップＳ９０９で、操作ロググループテーブル２１５から削除される。

　本例において、業務分析プログラム２１１は、複数操作ロググループの必要な統合の後に、作成した操作ロググループに名称を付与する。業務分析プログラム２１１は、操作ロググループ名称テーブル２１４を参照して、操作ロググループ内の操作ログレコードのデータを使用して、その操作ロググループの名称を決定する。

　図１０Ａは、操作ロググループ名称テーブル２１４の一例を示している。図１０Ａに示す例において、操作ロググループ名称テーブル２１４は、操作種別に対して、その述語と、目的語のデータ種別とを定義する。操作ロググループグループの名称は、述語と目的語を組み合わせて生成される。例えば、プロセス起動の操作により名称が決まる場合、その名称は「プロセス名」（プロセス名は各操作に依存）の「実行」である。

　業務分析プログラム２１１は、操作ロググループから選択した操作ログレコードの操作種別を特定し、その操作種別に関連付けられている述語と目的語のデータ種別とを、操作ロググループ名称テーブル２１４から選択する。業務分析プログラム２１１は、操作ログＤＢ２１２又は操作ロググループテーブル２１５から、選択した目的語のデータ種別のデータを取得し、述語及び目的語のデータから当該グループ（業務）の名称を生成する。図１０Ｂは、本例の手法により操作ロググループ８０１、８０２のそれぞれに付与された操作ロググループ名を示している。

　業務分析プログラム２１１は、グループ化による操作ロググループを順次選択して、各操作ロググループの名称を生成する。図１１は、操作ロググループへの名称付与の方法の一例を示すフローチャートである。本例において、業務分析プログラム２１１が、操作ロググループ名称テーブル２１４を参照して、各操作ロググループ（統合グループ又は統合されなかったグループ）の名称を決定する。

　業務分析プログラム２１１は、まず、選択した操作ロググループ内の操作ログレコードを日時の新しい順にソートする（Ｓ１１０１）。このステップは省略してもよい。次に、業務分析プログラム２１１は、一番新しい操作ログレコードの情報を選択する（Ｓ１１０２）。作業の目的は、その作業の最後又はその近くの操作であることが多いからである。

　選択した操作ログレコードの操作種別が操作ロググループ名称テーブル２１４のいずれかのエントリに一致する場合（Ｓ１１０３：ＹＥＳ）、業務分析プログラム２１１は、ステップＳ１１０４に移る。それが、いずれのエントリとも一致しない場合（Ｓ１１０３：ＮＯ）、業務分析プログラム２１１は、ステップＳ１１０５へ移る。

　ステップＳ１１０４において、業務分析プログラム２１１は、選択した操作種別の述語、目的語のデータ種別を、操作ロググループ名称テーブル２１４を参照して特定し、その目的語のデータ種別のデータを、操作ログＤＢ２１１から取得する。業務分析プログラム２１１は、さらに、取得した述語、目的語のデータから、作業（グループ）の名称を生成する。

　ステップＳ１１０５において、業務分析プログラム２１１は、当該グループの未判定の操作ログレコードが残っているかを判定する。操作ログレコードが残っている場合（Ｓ１１０５：ＹＥＳ）、業務分析プログラム２１１は、ステップＳ１１０６に移る。操作ログレコードが残っていない場合（Ｓ１１０５：ＮＯ）、業務分析プログラム２１１は、ステップＳ１１０７へ移る。

　ステップＳ１１０６において、業務分析プログラム２１１は、前回選択した操作ログレコードの次に新しい操作ログレコード、つまり、残っている操作ログレコードにおいて最も新しい操作ログレコードの情報を取得する。その後、業務分析プログラム２１１は、ステップＳ１１０３に戻る。

　ステップＳ１１０７において、業務分析プログラム２１１は、業務（グループ）名を生成するための操作（操作ログレコード）が当該グループの操作ログに存在しないため、当該グループにおける一番新しい操作ログレコードの操作種別を使用して、当該操作ロググループの名称を生成する。

　上記方法のように、操作ロググループにおける情報に応じてその操作ロググループの名称を決定することで、その操作ロググループの作業に適切な名称をつけることができる。さらに、予め操作種別と作業名とを関連付ける定義情報を用意し、操作ロググループから選択した操作種別と定義情報から作業名（操作ロググループ名）を決定することで、そのグループの作業により適切な名称をつけることができる。

　業務分析プログラム２１１は、これと異なる方法によって選択した操作種別により名称を生成してもよい。例えば、各操作種別に対して優先度を付与し、業務分析プログラム２１１は、その優先度に従って名称決定に使用する操作種別を選択してもよい。

　業務分析プログラム２１１は、定義情報を使用しなくともよい。本例における定義情報である操作ロググループ名称テーブル２１４は、操作種別と関連付けられた述語と目的語のデータ種別を示すが、これと異なる名称決定方法でもよい。例えば、業務分析プログラム２１１は、述語の代わりに操作種別を使用して、述語に相当する部分を含まない名称を生成してもよい。

　図１２は、業務分析プログラム２１１が作成した操作ロググループの情報を格納する操作ロググループテーブル２１５の一例を示している。各操作ロググループは、操作ロググループＩＤの値で一意に識別される。操作ロググループ８０１、８０２の操作ロググループＩＤは、それぞれ、１、２である。操作ロググループ８０１の名称は「システムの現状資料.docの参照」であり、操作ロググループ８０２の名称は「現状分析報告書.docのアップロード」である。本例のいずれの操作ロググループも他の操作ロググループと統合されていないが、操作ロググループテーブル２１５は、入出力情報を使用して統合された操作ロググループといずれの操作ロググループとも統合されなかった操作ロググループを含むことができる。

　次に、業務分析プログラム２１１は、操作ロググループテーブル２１５に格納されている操作ロググループのクラスタ化（図６におけるステップＳ６０２）を行う。業務分析プログラム２１１は、二つの操作ロググループを同一のクラスタに含めるか否かを、一方の操作ロググループの開始から終了までの期間における、他方の操作ロググループのアクティブ期間に基づいて決定する。

　本例において、操作ロググループの開始時刻は、最も古い操作ログレコードの操作時刻であり、終了時刻は最も新しい操作ログレコードの時刻である。他の例において、開始時刻は、操作ロググループにおける最も古いプロセス起動の操作ログレコードの時刻である。一つの操作ロググループは複数のプロセスのレコードを含み得る。

　アクティブ期間は、操作ロググループにおけるユーザ操作が有効である期間であり、本例において、ウィンドウがアクティブである期間である。プロセスが起動される又は当該プロセスによるウィンドウが選択されると、そのウィンドウがアクティベイトされる（アクティブ状態）。

　一方、ウィンドウがアクティベイトされた後に、他のウィンドウやデスクトップ等が選択されると、アクティブであったウィンドウがディアクティベイトされ、当該ウィンドウの状態は非アクティブ又はパッシブとなる。本例においては、アクティブ期間において、ユーザがそのウィンドウ（プロセス）を使用して業務を行っていると推定される。

　図１３は、図１２に示す操作ロググループテーブル２１５が格納する二つの操作ロググループ８０１、８０２のアクティブ期間を示している。操作ロググループ８０１は、二つのアクティブ期間を有し、最初のアクティブ期間は操作ログレコード７０２～７０４までの期間であり、次のアクティブ期間は操作ログレコード７０９、７１０の期間である。

　最初のアクティブ期間の開始操作は、プロセス起動（操作ログレコード７０２）であり、終了操作はウィンドウディアクティベイト（操作ログレコード７０４）である。上述のように、操作ログレコード７０２は、操作ロググループ８０１の開始レコードでもある。プロセス起動は、ウィンドウをアクティベイトする。最初のアクティブ期間の開始時刻が０８：５９：５９であり、終了時刻は１０：５９：５９である。従って、最初のアクティブ期間の期間長さは、２時間である。

　次のアクティブ期間の開始操作は、ウィンドウアクティベイト（操作ログレコード７０９）であり、終了操作はプロセス停止（操作ログレコード７１０）である。操作ログレコード７１０は、操作ロググループ８０１の終了レコードでもある。プロセス停止は、ウィンドウをディアクティベイトする。このアクティブ期間の開始時刻が１３：００：００であり、終了時刻は１６：００：００である。従って、このアクティブ期間の期間長さは、３時間である。

　操作ロググループ８０１が非アクティブである間において、他方の操作ロググループ８０２がアクティブである。操作ロググループ８０２は、一つアクティブ期間のみを有し、操作ログレコード７０５～７０８までの期間である。本例において、二つの操作ロググループが同時にアクティブであることはない。

　アクティブ期間の開始操作は、プロセス起動（操作ログレコード７０５）であり、終了操作はプロセス停止（操作ログレコード７０８）である。操作ログレコード７０５は、操作ロググループ８０２の開始レコードでもあり、操作ログレコード７０８は、操作ロググループ８０２の終了レコードでもある。このアクティブ期間の開始時刻が１１：００：００であり、終了時刻は１２：００：００である。従って、このアクティブ期間の期間長さは、１時間である。

　図１４は、図１３に示す操作ロググループ８０１、８０２の時間計算の結果得られる操作ロググループ時間テーブル２１６の例を示す。本例の操作ロググループ時間テーブル２１６は二つエントリを有し、最初のエントリが操作ロググループ８０１のエントリであり、次のエントリが、操作ロググループ８０２のエントリである。

　開始時刻と終了時刻のカラムは、それぞれ、操作ロググループの開始時刻と終了時刻を格納する。アクティブ期間のカラムは、各操作ロググループにおける、各アクティブ期間の開始時刻と終了時刻を格納する。操作ロググループ８０１は二つのアクティブ期間を有し、操作ロググループ８０２は一つのアクティブ期間を有する。総アクティブ期間長さのカラムは、各操作ロググループの全アクティブ期間の長さの総和である。

　図１５は、各操作ロググループの時間計算の処理例、つまり、操作ロググループ時間テーブル２１６へのデータ登録のための処理例を示すフローチャートである。業務分析プログラム２１１は、ステップＳ１５０１～Ｓ１５１１を各操作ロググループについて、順次繰り返す。また、業務分析プログラム２１１は、ステップＳ１５０２～Ｓ１５１０を、選択した操作ロググループ内の各操作ログレコードについて、順次繰り返す。

　業務分析プログラム２１１は、まず、操作ロググループテーブル２１５を参照し、選択した基準操作ロググループにおいて、最も古い操作ログレコードの情報を取得する。業務分析プログラム２１１は、この操作ログレコードの操作時刻を、当該基準操作ロググループの開始時刻であり、かつ、最初のアクティブ期間の開始時刻と決定する（Ｓ１５０１）。業務分析プログラム２１１は、この操作ロググループの開始時刻を、操作ロググループ時間テーブル２１６に登録する。

　業務分析プログラム２１１は、操作ロググループテーブル２１５から、当該操作ロググループ内の操作ログレコードを操作日時が古いものから順に取得する（Ｓ１５０２）。業務分析プログラム２１１は、取得した操作ログレコードの操作種別が、ウィンドウディアクティベイトであるか判定する（Ｓ１５０３）。

　ステップＳ１５０３の判定結果が肯定的である場合（Ｓ１５０３：ＹＥＳ）、業務分析プログラム２１１は、当該操作ログレコードの操作時刻を、アクティブ期間の終了時刻と決定し（Ｓ１５０４）、当該アクティブ期間を操作ロググループ時間テーブル２１６に登録する（Ｓ１５０５）。その後、業務分析プログラム２１１は、ステップＳ１５０２に戻り、次の操作ログレコードについてステップＳ１５０２～Ｓ１５１０を実行する。

　ステップＳ１５０３の判定結果が否定的である場合（Ｓ１５０３：ＮＯ）、業務分析プログラム２１１は、当該操作ログレコードの操作種別がプロセス停止であるか判定する（Ｓ１５０６）。

　ステップＳ１５０６の判定結果が否定的である、つまり、当該操作ログレコードの操作種別がプロセス停止ではない場合（Ｓ１５０６：ＮＯ）、業務分析プログラム２１１は、当該操作ログレコードの操作種別が、ウィンドウアクティベイトであるか判定する（Ｓ１５０７）。業務分析プログラム２１１は、前回アクティブ期間が操作ロググループ時間テーブル２１６に登録された後に、このステップＳ１５０７に入る。

　Ｓ１５０７の判定結果が肯定的である場合（Ｓ１５０７：ＹＥＳ）、業務分析プログラム２１１は、ウィンドウアクティベイトの操作日時を次のアクティブ期間の開始時刻と決定する（Ｓ１５０８）。その後、業務分析プログラム２１１は、ステップＳ１５０２に戻り、次の操作ログレコードについてステップＳ１５０２～Ｓ１５１０を実行する。

　一方、ステップＳ１５０６の判定結果が肯定的である場合（Ｓ１５０６：ＹＥＳ）、業務分析プログラム２１１は、当該操作ログレコードの操作時刻を、当該アクティブ期間の終了時刻と決定する（Ｓ１５０９）。業務分析プログラム２１１は、さらに、当該アクティブ期間の終了時刻を操作ロググループ時間テーブル２１６に登録する（Ｓ１５１０）。業務分析プログラム２１１は、最後のアクティブ期間の終了時刻を操作ロググループの終了時刻と決定し、操作ロググループ時間テーブル２１６に登録する。

　業務分析プログラム２１１は、当該操作ロググループの全てのアクティブ期間の登録が終了しているので、操作ロググループテーブル２１５に格納されている当該操作ロググループの全てのアクティブ期間の長さを加算し、総アクティブ期間長さを算出する。業務分析プログラム２１１は、算出した総アクティブ期間長さの値を操作ロググループ時間テーブル２１６に登録し、次の操作ロググループを操作ロググループテーブル２１５から選択する（Ｓ１５１１）。業務分析プログラム２１１は、ステップＳ１５０１～Ｓ１５１１を次の操作ロググループについて実行する。

　次に、関連する操作ロググループのクラスタ化を説明する。本例において、同一クラスタに含まれる異なる操作ロググループは、同一業務内の異なる作業であると推定される。図１６Ａ、図１６Ｂは、六つの操作ロググループＧ１～Ｇ２から、二つの操作ログクラスタ１６０１、１６０２を作成する例を示す。図１６Ａは操作ロググループのシーケンスを示し、図１６Ｂは、各操作ロググループの名称（作業名）及び操作ログクラスタ１６０１、１６０２の構成を示す。

　第１操作ログクラスタ１６０１は、操作ロググループＧ１～Ｇ３から成り、第２操作ログクラスタ１６０２は、操作ロググループＧ４～Ｇ６から成る。図１６Ａにおいて、各操作ロググループにおける矩形は、アクティブ期間を示している。図１６Ｂに示す各操作ロググループ（各作業）の名称は、図１１を参照して説明したフローチャートに従い割り当てられている。

　業務分析プログラム２１１は、二つの操作ロググループが同一のクラスタに含まれるか否かを、一方の操作ロググループ（基準操作ロググループとも呼ぶ）の開始から終了までの期間（開始終了期間とも呼ぶ）に対する、他方の操作ロググループ（対象操作ロググループとも呼ぶ）のアクティブ期間の重なりに基づいて判定する。

　図１６Ａにおいて、各操作ロググループにおいて、最も古い（最も上の）アクティブ期間の開始時刻が操作ロググループの開始時刻であり、最も新しい（最も下の）アクティブ期間の終了時刻が操作ロググループの終了時刻である。また、ハッチされた矩形１６１１～１６１７は、他の操作ロググループの開始終了期間に含まれるアクティブ期間を示す。矩形１６１１～１６１７は、古い順に上から下に配置されている。

　本例において、業務分析プログラム２１１は、基準操作ロググループの開始終了期間に含まれる（重なる）、対象操作ロググループのアクティブ期間長さに基づいて、二つの操作ログレコードが同一のクラスタに含まれるか否かを判定する。業務分析プログラム２１１は、重なるアクティブ期間長さが所定の値以上である場合、二つの操作ログレコードが同一のクラスタに含まれると判定し、所定の値未満下である場合に二つの操作ログレコードが同一のクラスタに含まれないと判定する。

　図１６Ａにおいて、細線ハッチの矩形は、上記アクティブ期間長さの条件を満たすアクティブ期間を示し、太線ハッチの矩形は、上記条件を満たさないアクティブ期間を示している。具体的に説明する。操作ロググループＧ１（対象操作ロググループ）のアクティブ期間１６１２は、操作ロググループＧ２（基準操作ロググループ）の開始終了期間内にあるが、その長さが短いため、上記条件を満たさない。

　本例において、対象操作ロググループの少なくとも一つのアクティブ期間が基準操作ロググループの開始時刻から終了時刻までの期間に含まれていればよく、対象操作ロググループの開始時刻が基準操作ロググループの開始時刻よりも早い又は対象操作ロググループの終了時刻が基準操作ロググループの終了時刻よりも遅くともよい。

　一方、操作ロググループＧ２（対象操作ロググループ）のアクティブ期間１６１１は、操作ロググループＧ１（基準操作ロググループ）の開始終了期間内にあり、その長さが長いために上記条件を満たす。従って、操作ロググループＧ２は、操作ロググループＧ１と同一操作ログクラスタに含められる。

　操作ロググループＧ３（対象操作ロググループ）のアクティブ期間１６１３は、操作ロググループＧ２（基準操作ロググループ）の開始終了期間内にあり、その長さが長いために上記条件を満たす。従って、操作ロググループＧ３は、操作ロググループＧ２と同一操作ログクラスタに含まれる。上述のように、操作ロググループＧ２は操作ロググループＧ１と同一の操作ログクラスタに含まれる。

　本例において、操作ロググループＧ１、Ｇ２、Ｇ３が、同一クラスタに含まれる。このように、本例は、基準操作ロググループと対象操作ロググループの二つのペアがそれぞれ同一クラスタに含まれ、二つのペアが共通の操作ロググループを含む場合、その二つのペアの全ての操作ロググループが同一のクラスタに含まれると判定する。

　操作ロググループＧ２（対象操作ロググループ）のアクティブ期間１６１５は、操作ロググループＧ４（基準操作ロググループ）の開始終了期間内にあるが、その長さが短いため、上記条件を満たさない。したがって、業務分析プログラム２１１は、操作ロググループＧ２は、操作ロググループＧ４と同一操作ログクラスタに含まれないと判定する。

　操作ロググループＧ４（対象操作ロググループ）のアクティブ期間１６１４、１６１７は、それぞれ、操作ロググループＧ２、Ｇ５（基準操作ロググループ）の開始終了期間内にあるが、その長さが短いため、上記条件を満たさない。したがって、業務分析プログラム２１１は、操作ロググループＧ４は、操作ロググループＧ２、Ｇ５と同一操作ログクラスタに含まれないと判定する。

　一方、操作ロググループＧ５（対象操作ロググループ）のアクティブ期間１６１６、１６１８は、共に、操作ロググループＧ４（基準操作ロググループ）の開始終了期間内にある。さらに、これらアクティブ期間１６１６、１６１８の合計長さ（アクティブ期間長さ）は、上記条件を満たす。このため、業務分析プログラム２１１は、操作ロググループＧ５は、操作ロググループＧ５と同一操作ログクラスタに含まれると判定する。

　操作ロググループＧ４、Ｇ５のように、基準操作ロググループと対象操作ロググループが入れ替わると、クラスタ化判定の結果も変化し得る。アクティブ期間１６１６、１６１８のように、対象操作ロググループの複数のアクティブ期間が基準操作ロググループの開始終了期間に含まれる場合、本例は、その複数のアクティブ期間の長さの和に基づいて、クラスタ化判定を行う。

　操作ロググループＧ６（対象操作ロググループ）のアクティブ期間１６１９は、操作ロググループＧ４（基準操作ロググループ）の開始終了期間内にあり、その長さが長いために上記条件を満たす。従って、操作ロググループＧ６は、操作ロググループＧ４と同一操作ログクラスタに含まれる。

　図１７は、図１６Ａ、１６Ｂを参照して説明したクラスタ化判定の判定結果を示している。図１７において、「○」は、対象操作ログロググープが基準操作ロググループと同一のクラスタに含まれると判定されたことを示す。

　「×」は、対象操作ロググループの１以上のアクティブ期間が基準操作ロググループの開始終了期間に含まれるが、そのアクティブ期間長さが短いために、対象操作ロググループが基準操作ロググループと同一のクラスタに含まれないと判定されたことを示す。「-」は、対象操作ロググループのいずれのアクティブ期間も基準操作ロググループの開始終了期間内に含まれないことを示す。

　図１８及び図１９は、操作ログクラスタの作成処理例のフローチャートである。図１９は、操作ログクラスタの作成におけるクラスタ化判定処理の例を示す。本例において、業務分析プログラム２１１は、全ての操作ロググループのそれぞれを基準操作ロググループとして選択し、選択した基準操作ロググループに対して、他の全ての操作ロググループのそれぞれを対象操作ロググループとして選択する。

　業務分析プログラム２１１は、作成された操作ロググループを操作ロググループ時間テーブル２１６から順次選択し、選択した操作ロググループのそれぞれを基準操作ロググループとして扱う。さらに、業務分析プログラム２１１は、対象操作ロググループを操作ロググループ時間テーブル２１６から順次選択して、基準操作ロググループの開始終了期間と対象操作ロググループのアクティブ期間とを比較して、対象操作ロググループが基準操作ロググループと同一の操作ログクラスタに含まれるかを判定する。

　図１８に示すように、業務分析プログラム２１１は、ステップＳ１８０１、Ｓ１８０２を各操作ロググループについて実行する。当該ループ中の操作ロググループが基準操作ロググループである。業務分析プログラム２１１は、基準操作ロググループの開始時刻、終了時刻の情報を、操作ロググループ時間テーブル２１６から取得する（Ｓ１８０１）。

　次に、業務分析プログラム２１１は、開始時刻から終了時刻の間にアクティブになった全ての他の操作ロググループを選択する（Ｓ１８０２）。業務分析プログラム２１１は、操作ロググループ時間テーブル２１６から、基準操作ロググループ以外の操作ロググループのアクティブ期間の情報を取得する。アクティブ期間が、基準操作ロググループの開始時刻から終了時刻までの期間（開始終了期間）に含まれている場合、当該対象操作ロググループは、開始時刻から終了時刻の間にアクティブになったと判定される。

　例えば、図１６Ａに示す例において、操作ロググループＧ２が基準操作ロググループであるとして、その開始終了期間においてアクティブになった他の操作ロググループは、操作ロググループＧ１、Ｇ３、Ｇ４である。

　ステップＳ１８０１、Ｓ１８０２を全ての操作ロググループを基準操作ロググループとして繰り返すことで、各操作ロググループを基準操作ロググループとして、各基準操作ロググループの開始終了期間にアクティベイトされる全ての対象操作ログレコードが特定される。その後、業務分析プログラム２１１は、クラスタ化判定を実行し（Ｓ１８０３）、さらに、同一クラスタに含まれると判定された操作ロググループで各操作ログクラスタを作成する（Ｓ１８０４）。

　上述のように、第１及び第２の操作ロググループのそれぞれが、それらと異なる第３の操作ロググループとクラスタ化される場合、第１の操作ロググループと第２の操作ロググループは、第３の操作ロググループを介してクラスタ化される。ステップＳ１８０４において、業務分析プログラム２１１は、同一クラスタに含まれる全ての操作ロググループを特定する。本例において、他のいずれの操作ロググループともクラスタ化されなかった操作ロググループも、その後の処理において、操作ログクラスタとして扱われる。このフローにより、同一業務に含まれると推定される全ての操作ロググループを適切に纏めることができる。

　図１９は、図１８におけるクラスタ化判定（Ｓ１８０３）の例を示すフローチャートである。業務分析プログラム２１１は、ステップＳ１９０１～Ｓ１９０７を各操作ロググループについて実行する。業務分析プログラム２１１は、一つの操作ロググループを基準操作ロググループとして選択する（Ｓ１９０１）。

　業務分析プログラム２１１は、選択した基準操作ロググループの開始時刻から終了時刻の間にアクティベイトされた各対象操作ロググループのために、Ｓ１９０２～Ｓ１９０７を繰り返す。図１８を参照して説明したように、各基準操作ロググループの開始時刻から終了時刻の間にアクティベイトされた各対象操作ロググループは特定済みである。

　業務分析プログラム２１１は、クラスタ化について未判定の対象操作ロググループを選択する（Ｓ１９０２）。業務分析プログラム２１１は、選択した対象操作ロググループの基準操作ロググループに対する重複アクティブ期間の情報を取得する（Ｓ１９０３）。具体的には、業務分析プログラム２１１は、操作ロググループ時間テーブル２１６から、基準操作ロググループの開始時刻及び終了時刻の情報、並びに、選択した対象操作ロググループのアクティブ期間の情報を取得する。

　業務分析プログラム２１１は、各アクティブ期間の開始時刻及び終了時刻と、基準操作ロググループの開始時刻及び終了時刻とを比較して、各アクティブ期間が、基準操作ロググループの開始終了期内にあるか判定することができる。これにより、基準操作ロググループの開始終了期内にあるアクティブ期間である、重複アクティブ期間が特定される。

　次に、業務分析プログラム２１１は、基準操作ロググループの総アクティブ期間長さに対する、重複アクティブ期間長さの割合を計算する（Ｓ１９０４）。総アクティブ期間長さは、アクティブ期間の長さの合計値であり、図１３の例において、操作ロググループ８０１の総アクティブ期間長さは、（０２：００：００＋０３：００：００）＝０５：００：００である。

　図１３の例において、操作ロググループ８０２の重複アクティブ期間長さは、０１：００：００である。操作ロググループ８０１が基準操作ロググループであり、操作ロググループ８０２が対象操作ロググループである場合、割合は、０１：００：００／０５：００：００＝０．２である。複数の重複アクティブ期間が存在する場合、重複アクティブ期間長さは、それらの合計値である。

　次に、業務分析プログラム２１１は、算出した割合が所定の閾値以上であるか判定する（Ｓ１９０５）。算出した割合が閾値以上である場合（Ｓ１９０５：ＹＥＳ）、業務分析プログラム２１１は、基準操作ロググループと、選択した対象操作ロググループとを、同一クラスタに含めることを決定する（Ｓ１９０６）。算出した割合が閾値未満である場合（Ｓ１９０５：ＮＯ）、業務分析プログラム２１１は、基準操作ロググループと、選択した対象操作ロググループとを、同一クラスタに含めないことを決定する（Ｓ１９０７）。

　例えば、閾値が０．１であるとすると、図１３の例での割合が０．２であるので、操作ロググループ８０２と操作ロググループ８０１とは、クラスタ化される。例えば、基準操作ロググループの総アクティブ期間長さが０９：００：００であり、対象操作ロググループの重複アクティブ期間長さが００：３０：００であるとすると、その割合は略０．０５であり、閾値未満である。これは、クラスタ化条件を満たさず、業務分析プログラム２１１は、対象操作ロググループは基準操作ロググループの操作ログクラスタに含まれないと判定する。

　重複アクティブ期間長さに基づくクラスタ化判定の上記例は、基準操作ロググループの総アクティブ期間長さに対する対象操作ロググループの重複アクティブ期間長さの割合によりクラスタ化の有無を判定する。これにより、適切に同一操作ログクラスタ（同一業務）に含める操作ロググループを特定することができる。業務分析プログラム２１１は、これと異なる方法により、クラスタ化判定を行ってもよい。

　例えば、業務分析プログラム２１１は、基準操作ロググループの開始終了期間の長さに対する対象操作ロググループの重複アクティブ期間長さの割合によりクラスタ化の有無を判定してもよい。若しくは、業務分析プログラム２１１は、対象操作ロググループの総アクティブ期間長さ又は開始終了期間の長さに対する対象操作ロググループの重複アクティブ期間長さの割合によりクラスタ化の有無を判定してもよい。

　業務分析プログラム２１１は、重複アクティブ期間長さを、直接に、予め決定された閾値と比較してクラスタ化の有無を判定してもよい。重複アクティブ期間長さが閾値以上であれば、対象操作ロググループは基準操作ロググループの操作ログクラスタに含まれると判定され、それが閾値未満であれば、対象操作ロググループは基準操作ロググループの操作ログクラスタに含まれないと判定される。

　重複アクティブ期間長さに基づくクラスタ化判定の上記複数例が示すように、重複アクティブ期間長さが長く、所定の値（所定の値は基準操作ログクラスタの総アクティブ期間長さや開始終了期間長さ等によって変化する値を含む）以上である場合に、対象操作ロググループは基準操作ロググループの操作ログクラスタに含まれると判定される。

　次に、業務分析プログラム２１１は、各操作ログクラスタに対して名称（業務名）を割り当てる。図６のフローチャートが示すように、業務分析プログラム２１１は、割り当てる業務名を絞りこみ（Ｓ６０３）、さらに、絞り込んだ各業務名が当該操作ログクラスタに適切な業務名であるかの確率計算を行い（Ｓ６０４）、その計算結果に従って業務名を決定する（Ｓ６０５）。

　図２０は、割り当てる業務名を絞りこむ処理（Ｓ６０３）の例を示すフローチャートである。本例において、業務分析プログラム２１１は、ユーザの担当業務分類及び業務分類の業務構成に基づいて、業務名を絞りこむ。ユーザの担当業務分類の情報は、ユーザテーブル２１７に登録されている。各業務分類の業務構成は、業務テーブル２１８に登録されている。

　図２１は、ユーザテーブル２１７の構成例を示しており、本例において、ユーザテーブル２１７は、ユーザと現在の担当業務プロジェクト（ＰＪとも呼ぶ）及び担当業務分類を対応付ける。例えば、ユーザＡは、二つのプロジェクトを担当しており、それらのプロジェクトコードは、「ＰＪ１」、「ＰＪ２」である。さらに、ユーザＡは、プロジェクトＰＪ１において生産業務を担当し、プロジェクトＰＪ２においても「生産業務」を担当している。「生産業務」は、業務分類の一つである。

　図２２は、業務テーブル２１８の構成例を示す。業務テーブル２１８は、業務分類、業務名、業務内容、そして工程番号のカラムを有する。業務分類は複数の業務で構成されており、業務名カラムは、各業務分類に含まれる業務の業務名を格納する。図２２は、業務テーブル２１８に含まれる一部のデータを示しおり、「生産業務」、「営業業務」、そして「業務外」の三つの業務分類が例示されている。

　業務内容カラムは、各業務の業務内容を示すデータを格納する。工程番号カラムの値は、業務分類における業務の順序を示す。各業務分類において、業務は、工程番号の小さい順次実行される。

　本例は、ユーザの前回（例えば昨営業日）の担当業務に基づいて、割り当てる業務名の絞り込みを行う。一例において、業務分析プログラム２１１は、ユーザの前回の担当業務及びその前後工程の業務を、選択する。これら業務の業務名が、絞り込まれた業務名である。前回業務の前工程業務又は後工程業務が存在しない場合は、業務分析プログラム２１１は、存在する業務名のみを選択する。

　業務分析プログラム２１１は、業務分析結果テーブル２２０から、ユーザの前回担当業務の情報を得ることができる。図２３は、業務分析結果テーブル２２０の構成例を示す。業務分析プログラム２１１は、業務分析が終了すると、その分析結果を業務分析結果テーブル２２０に登録する。

　本例において、業務分析結果テーブル２２０は、業務日付、ユーザ、担当業務、プロジェクトコード、業務名、業務時間のカラムを有する。担当業務カラムは、ユーザが担当する業務の業務分類を格納する。業務名は、業務分類における担当業務の業務名を格納する。業務時間カラムは、当該業務の操作ログクラスタにおける全アクティブ期間の長さの合計値を格納する。これは、ユーザがその業務を実際に行っていたと推定される時間の長さであり、これにより適切に業務時間を推定できる。

　業務分析結果テーブル２２０のエントリは、指定されたユーザ及び日付に、その業務分析結果を対応付ける。ユーザが一日に複数の業務を担当している場合、それらの分析結果は異なるエントリに格納されている。

　例えば、業務分析結果テーブル２２０において、ユーザＡのプロジェクトＰＪ１における昨営業日の担当業務が、「生産業務」における「現状分析」であり、プロジェクトＰＪ２における昨営業日の担当業務が、「生産業務」における「詳細設計」であるとする。

　「生産業務」における「現状分析」は、図２２の業務テーブル２１８におけるエントリ２２０１である。また、さらに、「生産業務」における「詳細設計」は、業務テーブル２１８におけるエントリ２２０２である。

　プロジェクトＰＪ１に対して絞り込みにより選択される業務は、ユーザＡの昨営業日の担当業務である「現状分析」業務（工程番号１）、そして、後工程である工程番号２の「概要設計」業務である。プロジェクトＰＪ２に対して絞り込みにより選択される業務は、昨営業日の担当業務である「詳細設計」業務（工程番号４）、前工程である工程番号３の「機能設計」業務、そして後工程である工程番号５の「システム構築」業務である。

　図２０のフローチャートを参照して、業務名の絞り込み処理を説明する。業務分析プログラム２１１は、まず、ユーザテーブル２１７から、指定されているユーザの「担当業務」及び「プロジェクトコード」の情報を取得する（Ｓ２００１）。次に、業務分析プログラム２１１は、業務分析結果テーブル２２０からユーザの昨営業日の「担当業務」、「プロジェクトコード」「業務名」の情報を取得する（Ｓ２００２）。

　次に、業務分析プログラム２１１は、ステップＳ２００３～Ｓ２００５を、ユーザテーブル２１７から取得したプロジェクトのそれぞれについて実行する。また、業務分析プログラム２１１は、ステップＳ２００３を、業務分析結果テーブル２２０から取得した昨営業日のプロジェクトについて実行する。

　ステップＳ２０３において、業務分析プログラム２１１は、ユーザテーブル２１７から取得した担当業務分類の業務分類名と担当プロジェクトのプロジェクトコードの組が、昨営業日の担当業務分類の業務分類名と担当プロジェクトのプロジェクトコードの組と一致するか判定する。

　昨営業日のいずれの組も、ユーザテーブル２１７から取得した組と一致しない場合、つまり、昨営業日のいずれの組についてもステップＳ２００３の判定結果がＮＯである場合、業務分析プログラム２１１は、ユーザテーブル２１７から取得した組の業務分類に含まれる全ての業務の情報を業務テーブル２１８から取得する（Ｓ２００５）。

　ユーザテーブル２１７から取得した担当業務分類の業務分類名と担当プロジェクトのプロジェクトコードの組と、昨営業日の担当業務分類の業務分類名と担当プロジェクトのプロジェクトコードの組が一致する場合（Ｓ２００３：ＹＥＳ）、業務分析プログラム２１１は、業務テーブル２１８から、昨営業日の業務名と一致する業務の情報と、その業務の前後工程の業務の情報を取得する（Ｓ２００４）。

　このフローの結果、分析中の操作ログクラスタに割り当てる業務名は、ユーザが現在担当しているプロジェクトの昨営業日の担当業務及びその前後工程の業務の業務名、又は、当該プロジェクトの業務分類の全ての業務の業務名に絞り込まれる。このように、ユーザの現在担当の業務分類によって割り当てる業務名を絞り込むことで、適切に割り当てる業務名を絞り込むことができる。

　さらに、昨営業日の担当業務に基づき業務名を絞り込むことで、適切に絞り込む業務名の数を減らすことができる。特に、昨営業日の担当業務及びその前後工程の業務の業務名を選択することで、より適切に業務名を絞り込むことができる。ユーザは、昨営業日の業務と同一又は、その前後工程の業務を一般に行うからである。業務工程が戻ることがない場合には、昨営業日の業務と同一業務及び次工程の業務の業務名のみを選択してもよい。

　他の例において、業務分析プログラム２１１は、業務分析結果テーブル２２０から、当該プロジェクトの最新のエントリを選択してもよい。当該エントリの業務日付は、昨営業日又はそれより前の日付である。また、最新のエントリの選択において、選択可能なエントリの業務日付に条件が付されていてもよい。例えば、分析している操作ログの日付から規定期間以内のエントリからのみ選択可能という条件が付される。

　指定ユーザの現在担当プロジェクト（ユーザテーブル２１７の登録プロジェクト）に一致するエントリを選択できない場合、業務分析プログラム２１１は、そのプロジェクトにおける担当業務分類の全ての業務の情報を業務テーブル２１８から取得すればよい。

　次に、絞り込みにより得られた各業務名が、操作ログクラスタに対する正しい業務名であることの確率計算を説明する。業務分析プログラム２１１は、過去に操作ログクラスタに割り当てられた業務名の履歴情報から、選択された各業務名が、分析中の操作ログクラスタの業務名である確率を算出する。これにより、適切な業務名を操作ログクラスタに割り当てることができる。

　以下に説明する例において、業務分析プログラム２１１は、操作ログクラスタを構成する各操作ロググループの特徴を特定する。本例は、これら操作ロググループの特徴の組を、操作ログクラスタの特徴とも呼ぶ。操作ログクラスタに含まれる操作ロググループの特徴を使用して業務名を特定することで、様々な構成を有する操作ログクラスタの業務名を適切に特定することができる。

　業務分析プログラム２１１は、絞り込みにより選択された各業務名について、当該操作ログクラスタの特徴（業務の特徴）を有する操作ログクラスタに対して割り当てられる確率を、過去の履歴を使用して計算する。過去の履歴から計算される適合確率により割り当てる業務名を決定することで、最適と推定される業務名を割り当てることができる。

　上記例のように、複数の担当プロジェクトが存在している場合には、全てのプロジェクトの業務名候補のそれぞれの確率を、各操作ログクラスタについて計算する。確率計算は、本例において、ヘイズの定理を使用する。業務分析プログラム２１１は、最も高い確率を示す業務名を、当該操作ログクラスタに割り当てる。

　具体的に説明する。業務分析プログラム２１１は、下記数式により、分析中の操作ログクラスタの特徴（条件）において、業務名が割り当てられる（業務名が正しい）確率Ｐ（業務名|作業の特徴）を計算する。業務分析プログラム２１１は、この確率が最も大きい業務名を割り当てる。
　　Ｐ（業務名｜業務の特徴）
　　＝Ｐ（業務の特徴｜業務名）×Ｐ（業務名）／Ｐ（業務の特徴）

　上述のように、Ｐ（業務名｜業務の特徴）は、操作ログクラスタを構成する操作ロググループ（作業）の全ての特徴（業務の特徴）を有する操作ログクラスタの業務名が、当該業務名である確率である。これは、事後確率である。全ての業務名候補の確率計算においてＰ（業務の特徴）は共通であるため、業務名候補の確率計算において、Ｐ（業務名|業務の特徴）は、Ｐ（業務の特徴｜業務名）×Ｐ（業務名）に比例する。

　Ｐ（業務の特徴｜業務名）は、当該業務名の操作ログクラスタにおいて、当該業務の特徴（操作ロググループの特徴の組）が現れる確率である。Ｐ（業務名）は、操作ログクラスタにその業務名が割り当てられる確率であり、過去の全ての業務において当該業務名が割り当てられた確率である。これは、事前確率である。Ｐ（業務の特徴）は、過去の全業務において、その業務の特徴を持った業務が出現する確率である。

　Ｐ（業務の特徴｜業務名）は、さらに、次の数式で表される。
　　Ｐ（業務の特徴｜業務名）
　　　＝Ｐ（作業の特徴１｜業務名）×・・・Ｐ（作業の特徴Ｎ｜業務名）

　ここで、操作ログクラスタ（業務）は、Ｎ個（Ｎは２以上の整数）の操作ロググループ（作業）で構成されている。業務（操作ログクラスタ）が一つの操作ロググループで構成されている場合、Ｐ（業務の特徴｜業務名）＝Ｐ（作業１の特徴｜業務名）である。

　Ｐ（作業の特徴ｋ｜業務名）は、当該業務名の操作ログクラスタにおいて、作業の特徴ｋの操作ロググループが現れる確率である。Ｐ（業務の特徴｜業務名）は、当該業務名の操作ログクラスタに、作業の特徴１の操作ロググループ～作業の特徴Ｎの操作ロググループの全てが含まれる確率である。

　以下において、確率計算の具体例を説明する。図２４Ａ、２４Ｂは、指定ユーザの指定日付における操作ログから作成された二つの操作ログクラスタ１６０１、１６０２の構成例を示している。この例は、図１６Ｂの例と一致している。業務分析プログラム２１１は、これらテーブルを作成して記憶デバイス２０２に一時的に格納する。

　第１操作ログクラスタ１６０１の三つの操作ロググループのそれぞれに、操作種別、プロセス名、外部情報が対応づけられている。同様に、第２操作ログクラスタ１６０２の三つの操作ロググループのそれぞれに、操作種別、プロセス名、外部情報が対応づけられている。操作ロググループの特徴は、これら３種類のデータの組で定義される。

　各エントリの操作種別、プロセス名、外部情報のフィールドは、当該エントリの操作ロググループから選択された一つの操作ログレコードの情報である。外部情報は、クライアント計算機の通信（送信又は受信）した通信先の識別子である。例えば、「アップロード」、「ダウンロード」、「ＦＴＰ送信」、「ＦＴＰ受信」、「Ｗｅｂアクセス」、「クリップボードコピー」、「クリップボード貼り付け」の操作（操作種別）において、クライアント計算機と通信した外部の通信先（アクセス先）の識別子である。外部情報の種別は、操作種別に対応づけて予め定義されている。

　操作種別のフィールドは、外部情報が示すアクセス先へのアクセスにおける、操作の種別の識別子を格納する。プロセス名のフィールドは、操作種別フィールドが示す操作を行ったプロセスのプロセス名（プロセス種別の識別子）を格納する。

　一例において、業務分析プログラム２１１は、操作ロググループにおいて、外部情報を含む最新の操作レコードを選択し、その操作ログレコードにおける、操作種別、プロセス名及びアクセス先の識別子（外部情報）を、当該操作ロググループの特徴として使用する。上述のように、操作ロググループを構成する操作ログレコードは、操作ロググループテーブル２１５から取得できる。

　操作ロググループが、外部情報を有する操作ログレコードを含まない場合、業務分析プログラム２１１は、例えば、操作ロググループの名称（作業名）の決定において選択した操作ログレコードを選択する。この場合、当該操作ロググループの特徴に、外部情報は含まれない。

　上述のように、業務分析プログラム２１１は、操作ログクラスタに割り当てられた過去の業務名の履歴から、業務名の確率を計算する。過去履歴は、学習テーブル２１９に格納されている。図２５は、学習テーブル２１９の構成例を示している。学習テーブル２１９は、業務分類、業務名、操作種別、プロセス名、外部情報、出現回数のカラムを有する。業務分析プログラム２１１は、新たな分析結果によって、学習テーブル２１９を更新する。

　一つのエントリは、操作種別、プロセス名、外部情報の組で決まる作業特徴、その作業特徴を有する操作ロググループ（作業）が含まれる操作ログクラスタに割り当てられた業務分類及び業務名、そして、その作業特徴と業務名との組の出現回数を対応付ける。

　出現回数カラムの各フィールドは、そのエントリの業務分類及び業務名の操作ログクラスタにおいて、当該作業特徴（操作種別、プロセス名、外部情報）を有する操作ロググループが現れた回数を示す。つまり、過去にその作業特徴を有する作業（操作ロググループ）を含む操作ログクラスタに、その業務名を割り当てた回数である。

　例えば、操作ログクラスタが、作業特徴が異なる二つの操作ロググループＸ、Ｙで構成されており、その操作ログクラスタに業務分類Ａ、業務名Ｂが割り当てられたとする。業務分析プログラム２１１は、学習テーブル２１１において、業務分類Ａ及び業務名Ｂ並びに操作ロググループＸの作業特徴のエントリにおいて出現回数を１増やし、業務分類Ａ及び業務名Ｂ並びに操作ロググループＹの作業特徴のエントリにおいて出現回数を１増やす。

　業務分析プログラム２１１は、分析中の操作ログクラスタの確率計算に使用するデータを、学習テーブル２１９から選択する。業務分析プログラム２１１は、分析対象の操作ログクラスタの業務名候補として選択した業務名と同一業務名のエントリを選択する。

　図２６は、指定ユーザの指定日付における操作ログの確率計算、つまり、本例において、第１操作ログクラスタ１６０１及び第２操作ログクラスタ１６０１の確率計算のために学習テーブル２１９から選択されたエントリを示している。業務分析プログラム２１１は、このテーブルを作成して記憶デバイス２０２に格納する。

　第１及び第２操作ログクラスタ１６０１、１６０２のそれぞれのプロジェクトは、不明である。第１操作ログクラスタ１６０１及び第２操作ログクラスタのそれぞれの業務名候補は、二つのプロジェクトＰＪ１、ＰＪ２の業務名候補である。

　それらは、プロジェクトＰＪ１の「生産業務」における「現状分析」及び「生産業務」における「概要設計」、並びに、プロジェクトＰＪ２の「生産業務」における「詳細設計」、「機能設計」、及び「システム構築」である。業務分析プログラム２１１は、学習テーブル２１９から、これらの業務名の全てのエントリを取得する。

　業務分析プログラム２１１は、第１操作ログクラスタ１６０１及び第２操作ログクラスタ１６０２のそれぞれのために、業務名候補「現状分析」、「概要設計」、「機能設計」、「詳細設計」、「システム構築」のそれぞれの確率（適切な業務名である確率）を、学習テーブル２１９から選択した上記履歴情報を使用して計算する。上述のように、Ｐ（業務名|業務の特徴）は、Ｐ（業務の特徴｜業務名）×Ｐ（業務名）に比例するため、業務分析プログラム２１１は、Ｐ（業務の特徴｜業務名）×Ｐ（業務名）を計算すればよい。

　以下において、第１操作ログクラスタ１６０１に対する業務名「現状分析」の適合確率の計算例を説明する。第１操作ログクラスタ１６０１の操作ロググループの特徴は図２４Ａに示されている。「現状分析」のＰ（業務の特徴｜業務名）は、Ｐ（（参照、document.exe、zzzz.co.jp/genjyo）｜現状分析）×Ｐ（（アップロード、browser.exe、zzzz.co.jp/bunseki）｜現状分析）×Ｐ（（参照、browser.exe、yyyy.ne.jp/system）｜現状分析）である。なお、ＵＲＬの一部を省略した。以下の確率の表記において同様である。

　図２６の例において、全てのエントリの出現回数の総和が４３、業務名「現状分析」の出現回数の総和が５であるとする。この例において、Ｐ（業務名）は、５／４３である。さらに、「現状分析、参照、document.exe、zzzz.co.jp/genjyo」のエントリの出現回数が２、「現状分析、アップロード、browser.exe、zzzz.co.jp/bunseki」のエントリの出現回数が３、「現状分析、参照、browser.exe、yyyy.ne.jp/system」のエントリの出現回数が未知（エントリが未登録）であるとする。

　Ｐ（（参照、document.exe、zzzz.co.jp/genjyo）｜現状分析）は２／５、Ｐ（（アップロード、browser.exe、zzzz.co.jp/bunseki）｜現状分析）は３／５である。本例において、出現回数が未知（未登録）の場合、業務分析プログラム２１１は、その出現回数が１であると仮定される（プラススムージング）。従って、Ｐ（（参照、browser.exe、yyyy.ne.jp/system）｜現状分析）は、１／５である。

　上記値を使用して、「現状分析」のＰ（業務の特徴｜業務名）×Ｐ（業務名）は以下のように計算される。
　　｛（２／５）×（３／５）×（１／５）｝×（５／４３）＝６／１０７５
６／１０７５は約０．００６である。

　業務分析プログラム２１１は、同様の方法により、操作ログクラスタ１６０１の他の業務名候補「概要設計」、「機能設計」、「詳細設計」、「システム構築」のそれぞれの確率を計算する。さらに、業務分析プログラム２１１は、操作ログクラスタ１６０１についての確率計算と同様の方法により、操作ログクラスタ１６０２の各業務名候補「現状分析」、「概要設計」、「機能設計」、「詳細設計」、「システム構築」の確率を計算することができる。

　図２７は、第１及び第２操作ログクラスタ１６０１、１６０２の業務名候補の確率計算の結果を示している。第１操作ログクラスタ１６０１に対して、適合確率が最も大きい業務名はプロジェクトＰＪ１の「現状分析」である。第２操作ログクラスタ１６０２に対して、適合確率が最も大きい業務名はプロジェクトＰＪ２の「システム構築」である。

　業務分析プログラム２１１は、第１操作ログクラスタ１６０１に「現状分析」を割り当て、第２操作ログクラスタ１６０２に「システム構築」を割り当てることを決定する。業務分析プログラム２１１は、分析結果を、業務分析結果テーブル２２０に登録し、さらに、分析結果によって学習テーブル２１９を更新する。

　図２８は、業務分析結果の表示画像例２８０１を示している。業務分析プログラム２１１は、業務分析結果テーブル２２０から取得した情報により、画像データを生成することができる。業務分析プログラム２１１は、生成した画像データを作成して、管理コンソール１１０又はクライアント計算機１３０に送信する。

　業務分析結果画像２８０１は、分析を指定されたユーザ及び日付を示すセクション２８１１と、分析結果の業務のリストのセクション２８１２を含む。セクション２８１２は、ユーザが行った業務のリストを表示し、各業務の業務分類、プロジェクトコード、業務名、業務時間を示す。業務時間は、対応する操作ログクラスタの総アクティブ期間長である。

　図２８は、表示画像２８０１は一例であって、分析結果の表示画像２８０１は、この例の一部又はこの例と異なる内容を表示することができる。例えば、表示画像２８０１は、業務に含まれる作業（操作ロググループ）の内容を含む業務詳細を表示してもよい。

　業務分析プログラム２１１は、管理コンソール通信プログラム２１０を使用して、ネットワークＩ／Ｆ２０６及びネットワーク１２０を通じて、分析結果を管理コンソール１１０へ送信する。業務分析プログラム２１１は、クライアント通信プログラム２０９を使用して、ネットワークＩ／Ｆ２０６及びネットワーク１２０を通じて、分析結果をクライアント計算機１３０に送信する。

　管理コンソール１１０は、ネットワークＩ／Ｆ１１７を通じて分析結果を受信し、それを記憶デバイス１１２に格納する。Ｗｅｂブラウザ１０３は、受信した結果を、表示デバイス１１５によって表示する。管理者は、画像２８０１を参照することで、ユーザの業務を容易に確認することがでる。これによって、管理者によるユーザ業務の把握、管理を効果的に支援することができる。

　クライアント計算機１３０は、ネットワークＩ／Ｆ１３７を通じて分析結果を受信し、それを記憶デバイス１３２に格納する。マネージャ通信プログラム１３８は、受信した結果を、表示デバイス１３５によって表示する。ユーザは、分析結果を参照して、その結果が正しいものであるか確認することができる。

　ユーザは、その分析結果が正しい場合には、それを示す応答を管理サーバ１００に送信し、分析結果が正しくない場合は、正しい情報を管理サーバ１００に送信する。分析結果の訂正を受信した業務分析プログラム２１１は、その受信した情報により、業務分析結果テーブル２２０及び学習テーブル２１９を訂正する。

他の実施例
　実施例１は、プロセスＩＤによって操作ログレコードをグループ化する。業務分析プログラム２１１は、これと異なるグループ識別子を使用して、操作ログレコードから操作ロググループを作成してもよい。

　例えば、業務分析プログラム２１１は、表示領域の識別子（例えばウィンドウハンドルと呼ばれる識別子）により操作ログレコードをグルーピングする。表示領域の識別子は、例えば、ＯＳから得ることができる。表示領域の識別子は、例えば、画面上のウィンドウを識別する。

　ＭＤＩ（Ｍｕｌｔｉｐｌｅ　Ｄｏｃｕｍｅｎｔ　Ｉｎｔｅｒｆａｃｅ）による親ウィンドウ内の複数子ウィンドウには、それぞれ異なる識別子を割り当ててもよい。クライアント計算機１３０が、ＴＤＩ（Ｔａｂｂｅｄ　Ｄｏｃｕｍｅｎｔ　Ｉｎｔｅｒｆａｃｅ）を使用し、１つのウィンドウが、タブによって複数のドキュメントを切り替えて表示する場合、それぞれのタブに異なる表示領域識別子を割り当ててもよい。

　このほか、スレッドＩＤをグループ識別子として使用してもよい。このように、操作を受けるプロセス、ウィンドウ又はスレッドなどの、操作を受けるオブジェクトの識別子によって、操作ロググループを作成することができる。

　業務分析プログラム２１１は、プロセスＩＤとは異なる第二のグループ識別子に基づいて、操作ログレコードが属するグループを決定してもよい。例えば、業務分析プログラム２１１は、プロセスＩＤとコンテキスト情報という二つの異なる種別のグループ識別子によって、操作ログをグルーピングする。異なる複数の識別子により操作ロググループを作成することで、ユーザ操作により即した操作ロググループを作成することができる。

　コンテキスト情報は、操作の対象を示す情報である。例えば、プロセス起動操作、プロセス停止操作、ファイルオープンのコンテキスト情報は、プロセスを生成するプログラム（ファイル）を識別する情報であり、例えば、アクセス先を示すファイルパスである。Ｗｅｂアクセスのコンテキスト情報は、Ｗｅｂアクセス先（Ｗｅｂページ送信元）のＵＲＬ又はそのＵＲＬの一部（例えばドメイン）である。

　例えば、ブラウザの一プロセスが、ウィンドウ内に異なるタブページを表示する場合、タブページのアクセス先が異なるドメインであれば、それらは異なる操作ロググループに振り分けられる。ユーザが、同一ブラウザプロセスにおいて異なるＷｅｂアプリケーション（例えば異なるメーラ）を利用する場合に、それら操作は異なる操作ロググループに含まれる。ファイルダウンロード操作のコンテキスト情報は、ファイルをダウンロードするためのアクセスするダウンロード元のＵＲＬ又はそのＵＲＬの一部である。

　実施例１は、入出力情報により、異なる操作ロググループを統合して新たな操作ロググループを作成する。業務分析プログラム２１１は、この操作ロググループの統合を省略してもよい。実施例１は、各操作ロググループに名称（作業名）を付与するが、これを省略してもよく、他の方法により作業名を決定してもよい。業務分析プログラム２１１は、複数のクライアント計算機における操作ログレコードから、操作ログクラスタを作成してもよい。

　実施例１のアクティブ期間の計算は、ウィンドウがアクティブである期間を特定し、そのアクティブ期間によりクラスタ化の判定を行う。操作ロググループのグルーピングが、表示領域の識別子やコンテキスト情報を使用してＴＤＩにおけるタブページやＭＤＩの子ウィンドウを識別する場合、業務分析プログラム２１１は、タブページや子ウィンドウのアクティブ期間をカウントする。業務分析プログラム２１１は、操作ロググループのグルーピングに適した種別の表示領域のアクティブ期間を特定し、カウントする。

　業務分析プログラム２１１は、実施例１に示す方法とは異なる方法で業務名を決定してもよい。業務分析プログラム２１１は、業務名候補の絞り込みを省略してもよい。業務分析プログラム２１１は、操作ログクラスタに対して予め決められた業務名のリストから選択した一つの業務名を割り当てるのではなく、業務名を操作ログクラスタの情報から作成してもよい。業務分析プログラム２１１は、操作ログクラスタに含まれる１又は複数の操作ロググループの名称を、操作ログクラスタの名称（業務名）として示してもよい。

　業務名割り当てにおける確率計算における作業の特徴は、上記三つの要素の一部のみ又はこれらと異なる要素により決定されてもよい。また、業務名の操作ログクラスタに対する適合確率は他の計算方法により算出されてもよい。

　実施例１は、全ての操作ロググループを順次基準操作ロググループとして選択して、クラスタ化の判定を行う。これと異なり、業務分析プログラム２１１は、一部の操作ロググループのみ基準操作ロググループとして選択して、クラスタ化の判定を行ってもよい。例えば、業務分析プログラム２１１は、最も開始時刻が早い操作ロググループを基準操作ロググループとしてクラスタ化判定を行い、当該基準操作ロググループと同一クラスタに含まれなかった残りの操作ロググループについて、同様の処理を繰り返す。

　以上、本発明の実施形態を説明したが、本発明が上記の実施形態に限定されるものではない。当業者であれば、上記の実施形態の各要素を、本発明の範囲において容易に変更、追加、変換することが可能である。

　管理システムは、上記管理サーバと管理コンソールの他、複数のクライアント計算機における操作ログを収集する複数の管理サーバを含むことができる。例えば、中央の管理サーバは、複数の他の管理サーバから操作ログを収集し、それの操作ログ分析を行う。

　上記の各構成及び機能は、それらの一部又は全部を、例えば集積回路で設計して得られるハードウェアで実現してもよい。本発明は、上記機能を実現するソフトウェアのプログラムコードを記憶した非一時的記憶媒体を、システム又は装置に供給し、そのシステム又は装置のコンピュータ（又はＣＰＵやＭＰＵ）が非一時的記憶媒体に格納されたプログラムコードを読み出して実行することによっても達成される。この場合、非一時的記憶媒体から読み出されたプログラムコード自体が上記実施の形態の機能を実現することになり、そのプログラムコードを記憶した非一時的記憶媒体は本発明を構成する。

　本発明は、上記実施の形態の機能を実現するソフトウェアのプログラムコードがネットワークを介して配信されることにより、システム又は装置のハードディスクやメモリ等の記憶手段又はＣＤ、ＤＶＤ等の非一時的記憶媒体に格納され、そのシステム又は装置のコンピュータ（又はＣＰＵやＭＰＵ）が当該記憶手段や当該非一時的記憶媒体に格納されたプログラムコードを読み出して実行することによっても、達成される。

Claims

　計算機において取得されたログを解析し、管理する、プロセッサと記憶デバイスを含むログ管理システムであって、
　前記記憶デバイスは、前記計算機におけるログを記憶し、
　前記プロセッサは、前記記憶デバイスに記憶されている前記ログを参照して、それぞれが複数ログレコードからなる複数ロググループを作成し、
　前記プロセッサは、前記複数ロググループのそれぞれにおいて、表示領域がアクティブであるアクティブ期間を特定し、
　前記プロセッサは、前記複数ロググループから選択された基準ロググループの開始時刻から終了時刻までの開始終了期間と、前記基準ロググループ以外の対象ロググループのそれぞれのアクティブ期間とを比較して、前記開始終了期間に含まれるアクティブ期間を有する対象ロググループを特定し、
　前記プロセッサは、前記特定した対象ロググループのそれぞれの、前記開始終了期間内におけるアクティブ期間長さに基づいて、前記特定した対象ロググループのそれぞれを、前記基準ロググループと同一の第１クラスタに含めるか否かを判定する、ログ管理システム。
　請求項１に記載のログ管理システムであって、
　前記プロセッサは、前記基準ロググループの総アクティブ期間長さに対する、前記特定した各対象ロググループの前記開始終了期間内のアクティブ期間長さの割合、を算出し、
　前記算出した割合が所定の値以上である場合に、前記プロセッサは、前記特定した各対象ロググループを前記第１クラスタ含めると判定する、ログ管理システム。
　請求項２に記載のログ管理システムであって、
　前記プロセッサは、前記第１クラスタに含まれる全ロググループのそれぞれの総アクティブ期間長さを算出し、
　前記プロセッサは、前記算出した前記全ロググループのそれぞれの総アクティブ期間長さから、前記第１クラスタの業務に費やされた業務時間を推定する、ログ管理システム。
　請求項３に記載のログ管理システムであって、
　前記プロセッサは、前記第１クラスタに含まれる各ロググループの特徴を、当該各ロググループの操作ログレコードが示すアクセス先及び当該アクセス先へのアクセスの操作種別を使用して決定し、
　前記プロセッサは、ロググループの特徴とクラスタに割り当てられた名称との関係の過去履歴を参照し、前記決定した特徴に基づいて前記第１クラスタに割り当てる名称を決定し、
　前記プロセッサは、前記名称と前記業務時間とを表示する画像データを出力する、ログ管理システム。
　請求項４に記載のログ管理システムであって、
　前記プロセッサは、予め用意されているリストから前記第１クラスタに割り当てる名称候補を選択し、
　前記記憶デバイスは、前記名称候補が過去に割り当てられたクラスタに含まれていたロググループの特徴、及び、当該ロググループの特徴のそれぞれが前記名称候補のそれぞれの割り当てにおいて出現した回数、の情報を記憶し、
　前記プロセッサは、前記情報を参照して、前記名称候補のそれぞれが割り当てられる場合に、前記第１クラスタの各ロググループの特徴が現れる確率を算出し、
　前記プロセッサは、前記算出した確率を使用して、前記名称候補のそれぞれが割り当てられる場合に、前記第１クラスタの全ロググループの特徴が現れる確率を算出し、
　前記プロセッサは、算出した前記全ロググループの特徴が現れる確率を使用して、前記第１クラスタに割り当てる名称を前記名称候補から選択する、ログ管理システム。
　請求項５に記載のログ管理システムであって、
　前記記憶デバイスは、前記計算機のユーザの現在の担当業務分類と、当該業務分類において前回担当した業務と、を示す第１情報を記憶し、
　前記プロセッサは、前記第１情報を参照して、前記前回担当した業務の業務名及びその後工程の業務の業務名を含む、前記名称候補を選択する、ログ管理システム。
　請求項１に記載のログ管理システムであって、
　前記プロセッサは、前記複数のロググループからロググループを順次選択し、順次選択したロググループのそれぞれについて、
　　前記選択したロググループの開始終了期間と、前記複数ロググループの他のロググループのそれぞれのアクティブ期間とを比較して、前記選択したロググループの前記開始終了期間に含まれるアクティブ期間を有する他のロググループを特定し、
　　前記特定した他のロググループのそれぞれの、前記選択したロググループの開始終了期間内におけるアクティブ期間長さに基づいて、前記特定した他のロググループのそれぞれを、前記選択したロググループと同一のクラスタに含めるか否かを判定し、
　前記プロセッサは、異なるロググループを共通のロググループと同一クラスタに含めると判定した場合に、前記異なるロググループを同一のクラスタに含めると判定する、ログ管理システム。
　管理システムに、計算機において取得されたログを分析、管理する方法を実行させるプログラムであって、
　前記計算機において取得されたログを受信し、
　前記受信したログを参照して、それぞれが複数ログレコードからなる複数ロググループを作成し、
　前記複数ロググループのそれぞれにおいて、表示領域がアクティブであるアクティブ期間を特定し、
　前記複数ロググループから選択された基準ロググループの開始時刻から終了時刻までの開始終了期間と、前記基準ロググループ以外の対象ロググループのそれぞれのアクティブ期間とを比較して、前記開始終了期間に含まれるアクティブ期間を有する対象ロググループを特定し、
　前記特定した対象ロググループのそれぞれの、前記開始終了期間内におけるアクティブ期間長さに基づいて、前記特定した対象ロググループのそれぞれを、前記基準ロググループと同一の第１クラスタに含めるか否かを判定する、手順を前記管理システムに実行させるプログラム。
　請求項８に記載のプログラムであって、
　前記基準ロググループの総アクティブ期間長さに対する、前記特定した各対象ロググループの前記開始終了期間内のアクティブ期間長さの割合、を算出し、
　前記算出した割合が所定の値以上である場合に、前記特定した各対象ロググループを前記第１クラスタ含めると判定する、手順を前記管理システムに実行させるプログラム。
　請求項８に記載のプログラムであって、
　前記第１クラスタに含まれる全ロググループのそれぞれの総アクティブ期間長さを算出し、
　前記算出した前記全ロググループのそれぞれの総アクティブ期間長さから、前記第１クラスタの業務に費やされた業務時間を推定する、手順を前記管理システムに実行させるプログラム。
　請求項８に記載のプログラムであって、
　前記第１クラスタに含まれる各ロググループの特徴を、当該各ロググループの操作ログレコードが示すアクセス先及び当該アクセス先へのアクセスの操作種別を使用して決定し、
　ロググループの特徴とクラスタに割り当てられた名称との関係の過去履歴を参照し、前記決定した特徴に基づいて前記第１クラスタに割り当てる名称を決定し、
　前記名称と前記業務時間とを表示する画像データを出力する、手順を前記管理システムに実行させるプログラム。
　請求項８に記載のプログラムであって、
　予め用意されているリストから前記第１クラスタに割り当てる名称候補を選択し、
　前記名称候補が過去に割り当てられたクラスタに含まれていたロググループの特徴、及び、当該ロググループの特徴のそれぞれが前記名称候補のそれぞれの割り当てにおいて出現した回数、の情報を参照して、前記名称候補のそれぞれが割り当てられる場合に、前記第１クラスタの各ロググループの特徴が現れる確率を算出し、
　前記算出した確率を使用して、前記名称候補のそれぞれが割り当てられる場合に、前記第１クラスタの全ロググループの特徴が現れる確率を算出し、
　算出した前記全ロググループの特徴が現れる確率を使用して、前記第１クラスタに割り当てる名称を前記名称候補から選択する、手順を前記管理システムに実行させるプログラム。
　請求項１２に記載のプログラムであって、
　前記名称候補を選択する手順は、前記計算機のユーザの現在の担当業務分類と、当該業務分類において前回担当した業務と、を示す第１情報を参照して、前記前回担当した業務の業務名及びその後工程の業務の業務名を含む前記名称候補を選択する、ことを含む、プログラム。
　請求項８に記載のプログラムであって、
　前記複数のロググループからロググループを順次選択し、順次選択したロググループのそれぞれについて、
　　前記選択したロググループの開始終了期間と、前記複数ロググループの他のロググループのそれぞれのアクティブ期間とを比較して、前記選択したロググループの前記開始終了期間に含まれるアクティブ期間を有する他のロググループを特定し、
　　前記特定した他のロググループのそれぞれの、前記選択したロググループの開始終了期間内におけるアクティブ期間長さに基づいて、前記特定した他のロググループのそれぞれを、前記選択したロググループと同一のクラスタに含めるか否かを判定し、
　異なるロググループを共通のロググループと同一クラスタに含めると判定した場合に、前記異なるロググループを同一のクラスタに含めると判定する、手順を前記管理システムに実行させるプログラム。