[发明专利]事件历史存储装置、事件历史追踪装置、事件历史存储方法、事件历史存储程序以及数据结构

说明书

技术领域

本发明涉及一种例如用于容易且高效地实现应用程序的动作日志中包含的信息的追踪的数据管理技术、以及使用通过所述数据管理技术所管理的数据的历史的追踪技术。

背景技术

以信息安全、网络监视、设备管理等领域为中心，从收集存储的日志数据中监视信息泄露、非法访问、仪器故障等历史，很好地管理信息、网络、设备。

例如，收集对于作为追踪对象的实例(Instance)而产生的事件的历史数据，并根据该事件的历史数据来追踪在一定期间内该实例做出了何种行为。追踪对象是指成为追踪/监视对象的对象，例如是由PC(Personal Computer：个人计算机)生成的文件等。另外，追踪对象的实体称作实例。也就是说，如果追踪对象是文件，则实例是指文件A、文件B等具体的文件。也就是说，实例的行为例如指文件A被编辑、保存等。

通常，在事件的历史数据中记录有识别与事件相关联的实例的追踪对象ID(标识符)、表示发生了事件的时刻的时间戳、事件的动作信息。即，在称为“文件A被编辑”的事件的历史数据中，记录有文件A的标识符、被编辑的日期时间信息、以及表示编辑这样的动作的信息。

在专利文献1中，对分散记录在多个数据库中的各实例附加统一的标识符，并且使每个实例具有表示各实例被处理的顺序的信息。由此，在事件历史数据分散地记录在多个数据库中的情况下，也会容易地按顺序追踪每个实例的处理。

专利文献1：日本特开平11-212831号公报

发明内容

在现有的事件历史管理方法中，在实例被分割的情况下等，难以连续地追踪分割前的实例的行为和分割后的实例的行为。即，当实例被分割时，向被分割而生成的新的实例附加新的标识符，导致原来的实例(分割前的实例)与新的实例(分割后的实例)被附加不同的标识符。因此，原来的实例与新的实例之间变得没有关联性，从而难以连续地追踪原来的实例和新的实例。即，在从实例中产生新的实例的情况下，难以连续地追踪原来的实例和新的实例(费事)。

不限于实例被分割的情况，在实例被合并、复制等的情况下也相同。

例如，在实例为由PC所生成的文件时该文件被复制、重命名等的情况下、或在实例为制造工序中的原料时该原料被分割、合并了的情况下，难以连续地追踪处理前的实例和处理后的实例。

即，当文件被复制而生成新的文件时，向复制源的文件和新的文件附加不同的标识符。因此，难以连续地追踪复制源的文件和新的文件的行为。

另外，在现有的事件历史管理方法中，难以从不同的视角追踪关于某个实例的动作(费事)。

例如，在有多个文件且由多个用户使用该多个文件的情况下，难以从使用了该文件的用户这样的视角追踪关于某个文件的行为。即，对于某个文件即使能够进行被保存、被打开、并再次被保存这样的追踪，也难以对于某个文件进行由用户1保存、由用户2打开、并由用户2再次保存这样的追踪。

本发明的目的在于，例如从实例中产生新的实例的情况下，也能够容易地连续地追踪原来的实例和新的实例的事件历史。

另外，本发明的目的在于，例如能够从不同的视角容易地追踪关于某个实例的动作。

与本发明有关的事件历史存储装置例如存储由应用程序所产生的事件的历史，该事件历史存储装置的特征在于，具备：

顺序关系存储部，针对属于表示规定种类的分类之中成为追踪对象的分类的每个实例，对与该实例相关联地产生的事件附加标识符，将利用所述标识符表示与该实例相关联地产生的事件的产生顺序的顺序关系信息存储到存储装置中；

层次关系存储部，在通过由所述顺序关系存储部存储了产生顺序的事件而从实例产生新的实例的情况下，关于所述事件，对所述新的实例附加新的标识符，将关于所述事件对产生源的实例附加的标识符与所述新的标识符关联起来的层次关系信息存储到存储装置中；以及

关系结构存储部，将对同一事件附加的标识符关联起来的关系结构信息存储到存储装置中，其中，该对同一事件附加的标识符是所述顺序关系存储部和所述层次关系存储部中的某一个对属于不同分类的实例附加的标识符。

所述层次关系存储部的特征在于，将对新的实例附加的新的标识符设为子，将对产生源的实例附加的标识符设为父，存储将所述新的标识符与对产生源的实例附加的标识符关联起来的层次关系信息。

所述层次关系存储部的特征在于，在实例通过事件而被分割或合并或复制的情况下，视作产生了新的实例。

与本发明有关的事件历史追踪装置例如从所述事件历史存储装置所存储的事件的历史中追踪关于规定实例的事件的历史，该事件历史追踪装置的特征在于，具备：