JP6287436B2 - 情報処理装置、情報処理システム、情報処理方法およびプログラム - Google Patents

Description

本発明は、個人情報を保護しつつ障害ログを公開する情報処理装置、情報処理システム、情報処理方法およびプログラムに関する。

情報システムにおいて、システムの開発者とシステムの運用者は異なる人物であること多い。この場合、システムの運用はシステムを利用する（稼働させる）会社が行い、開発は別のシステム開発会社が行う。このような体制においては、開発会社が情報システムのメンテナンス、及びシステム障害発生時の原因特定などを行う。しかしながら、システム開発会社に対して、個人情報及び機密情報を含むログを渡したくない企業が増えてきており、適切なメンテナンス、及びシステム障害発生時の原因特定が行えない場合がある。

そこで、特許文献１には、顧客がログ情報をメンテナンス業者に開示してもよいログ情報かどうかについて判断し、メンテナンス業者に対して開示して良いログ情報のみを提供するシステムが開示されている。

特開２００７−２６５２９６号公報

しかしながら、特許文献１に記載のシステムでは、メンテナンス業者が、顧客が開示しても良いと判断したログ情報だけを開示されても、メンテナンスできない場合がある、という課題がある。

本発明の目的は、上記課題に鑑み、個人情報の公開の範囲を抑えつつ、障害を回復させることができる情報処理装置、情報処理システム、情報処理方法、及びプログラムを提供することにある。

本発明の情報処理装置は、複数の個人情報の各々をビット列に対応させ、前記複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成する個人情報抽出手段と、障害ログの少なくとも一部を前記ビット列に置き換えた置換済み障害ログを生成するログマスキング手段と、前記置換済み障害ログのうち、前記ビット列に対応する情報を要求された場合に、前記特徴パターンに対応する前記ビット列が射影されている特徴を出力する取得手段と、を含む。

本発明の情報処理システムは、障害ログを出力する第１の端末と、複数の個人情報の各々をビット列に対応させ、前記複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成する個人情報抽出装置と、出力された前記障害ログの少なくとも一部を前記ビット列に置き換えた置換済み障害ログを生成するログマスキング装置と、前記置換済み障害ログのうち、前記ビット列に対応する情報を要求された場合に、前記特徴パターンに対応する前記ビット列が射影されている特徴を出力する取得装置と、を含む情報処理装置と、前記ビット列に対応する情報を要求し、出力された前記ビット列が射影されている特徴を受信する第２の端末と、を含む。

本発明の情報処理方法は、複数の個人情報の各々をビット列に対応させ、前記複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成し、障害ログの少なくとも一部を前記ビット列に置き換えた置換済み障害ログを生成し、前記置換済み障害ログのうち、前記ビット列に対応する情報を要求された場合に、前記特徴パターンに対応する前記ビット列が射影されている特徴を出力する。

本発明のプログラムは、複数の個人情報の各々をビット列に対応させ、前記複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成する処理と、障害ログの少なくとも一部を前記ビット列に置き換えた置換済み障害ログを生成する処理と、前記置換済み障害ログのうち、前記ビット列に対応する情報を要求された場合に、前記特徴パターンに対応する前記ビット列が射影されている特徴を出力する処理と、をコンピュータに実行させる。

本発明は、情報処理システム、情報処理装置、情報処理方法、及びプログラムにおいて、個人情報の公開の範囲を抑えつつ、障害を回復させることができることができるという効果がある。

本発明の第１の実施形態における情報処理システム１０の構成を示すブロック図である。 本発明の第１の実施形態における情報処理装置１００の構成を実現するコンピュータの一例を示すブロック図である。 本発明の第１の実施形態における情報処理システム１０の動作を示すフロー図である。 本発明の第１の実施形態における障害ログの具体例を示す図である。 本発明の第１の実施形態における個人情報記録部１３０が格納する特徴・個人情報の具体例を示す図である。 本発明の第１の実施形態におけるＢｌｏｏｍ Ｆｉｌｔｅｒの生成方法の具体例を示す図である。 本発明の第１の実施形態における特徴及びその特徴パターンの具体例を示す図である。 本発明の第１の実施形態における類似個人情報の具体例を示す図である。 本発明の第１の実施形態における個人情報がビット列に置換された障害ログの具体例を示す図である。 本発明の第１の実施形態における全てのビット列の特徴情報を取得したログの具体例を示す図である。ビット列の候補値群を取得したログ 本発明の第１の実施形態におけるビット列の候補値群を取得したログの具体例を示す図である。 本発明の第２の実施形態における情報処理システム１０ａの構成を示すブロック図である。 本発明の第２の実施形態における情報処理システム１０ａの処理の流れを示すフロー図である。 本発明の第２の実施形態における情報処理システム１０ａの処理の流れを示すフロー図である。 本発明の第２の実施形態における特徴の包含関係を階層構造化したＢｌｏｏｍ Ｆｉｌｔｅｒの一例を示す図である。 本発明の第２の実施形態における特徴、その特徴パターン、及び下位特徴の具体例を示す図である。 本発明の第２の実施形態における特徴、その特徴パターン、及び下位特徴の具体例を示す図である。 本発明の第２の実施形態における置換済み障害ログの一例を示す図である。 本発明の第２の実施形態における特徴を含む障害ログの一例を示す図である。 本発明の第２の実施形態における下位の特徴を含む障害ログの一例を示す図である。 本発明の第２の実施形態における実値を含む障害ログの一例を示す図である。 本発明の第３の実施形態における情報処理システム１０ｂの構成を示すブロック図である。 本発明の第３の実施形態における情報処理システム１０ａの処理の流れを示すフロー図である。 本発明の第３の実施形態における情報処理システム１０ａの処理の流れを示すフロー図である。 本発明の第３の実施形態における個人情報を平面上に配置する方法の具体例を示す図である。 本発明の第３の実施形態における行のＢｌｏｏｍ Ｆｉｌｔｅｒ及び列のＢｌｏｏｍ Ｆｉｌｔｅｒを生成する方法の具体例を示す図である。 本発明の第３の実施形態における個人情報集合記録部１７０が格納する情報の具体例を示す図である。 本発明の第３の実施形態における個人情報を平面上に配置する方法の具体例を示す図である。 本発明の第３の実施形態における個人情報集合記録部１７０が格納する情報の具体例を示す図である。 本発明の第４の実施形態における情報処理装置１０００の構成を示すブロック図である。 銀行システムでの障害が起きた時の、運用者及び開発者の具体的な動作の一例を示す図である。 銀行システムでの障害が起きた時の、運用者及び開発者の具体的な動作の一例を示す図である。

情報システムにおいて、システムの開発者とシステムの運用者は異なる人物であることが多いことを示す他の例（図３１及び図３２の銀行システム）を用いて、さらに説明する。図３１及び図３２は、銀行システムでの障害が起きた時の、運用者及び開発者の具体的な動作の一例を示す図（シーケンス図）である。本発明の実施形態において解決すべき課題を明らかにする。

図３１は、システムで障害が起きた時のシーケンス図の一例である。システムは、例えば、運用者と開発者が異なる銀行システムである。図３１に示すように、銀行システムでシステム障害が発生した場合、運用者（銀行側）は、銀行システムが出力する障害ログを開発者（開発会社側）に送付する（図３１での（１））。そして、運用者は、開発者へ障害対応と障害原因特定を要求（依頼）する。

ここで、障害ログには、銀行システムが保有する個人情報を含んでいる可能性がある。そのため、障害ログをそのまま開発会社に送付する行為は、個人情報を流出させるリスクを伴う。従って、個人情報を開発会社に送付しないためには、運用者が障害ログを送付する前に個人情報を含む部分を削除することが望ましい。また、運用者が障害ログを送付する前に、個人情報部分を関連のない他の情報に置換したりすることが望ましい。

しかしながら、この対処方法では、障害ログの削除部分や置換部分に存在した個人情報が障害特定に必要であるとき、開発者は、例えばメールなどで運用者に個人情報を要求する（図３１での（２））。運用者は、個人情報の要求に対して、該当する個人情報を提供（解答）する必要がある（図３１での（３））。すなわち、この対処方法では、両者間での個人情報のやりとりによって障害の特定が遅れてしまうという課題がある。

図３２は、システムで障害が起きた時のシーケンス図の一例である。システムは、例えば、運用者と開発者が異なる銀行システムである。図３２に示すように、銀行システムでシステム障害が発生した場合、運用者が公開ログシステムに障害ログを送付する（図３２での（１））。ここで、公開ログシステムとは、例えば、ログの個人情報の暗号化（例えば、部分暗号化）及び暗号化された個人情報の公開機能を備える。このログ公開システムは、例えば、障害ログを受信する機能、障害ログの個人情報を暗号化する機能、暗号化した障害ログを開発者に公開する機能、及び暗号化した個人情報の元の値を要求に応じて開発者に開示する機能、を有する。次に、ログ公開システムは、暗号化された個人情報を含む障害ログを開発者に公開する（図３２での（２））。これにより、開発者は個人情報の取得が即時行えるようになるため、障害の特定を早急に行うことができる。

しかしながら、開発者が障害発生箇所の検討をつけられない場合、開発者はさらに開示された個人情報を要求する（図３２での（３））。それにより、ログ公開システムは、要求に応じて開発者に個人情報を開示する（送付する）。即ち、ログ公開システムによって開発者に公開する個人情報が暗号化される障害ログでは、開発者は闇雲に暗号化された個人情報の元の値を取得することになる。そのため、結果として障害とは関係のない出力ログに存在する個人情報まで閲覧してしまうという課題がある。

以下、本発明の実施形態は、上記課題を解決する情報処理システム１０を提供することを目的とする。

まず、本発明において、「手段」や「装置」、「システム」とは、単に物理的手段を意味するものではなく、その「手段」や「装置」、「システム」が有する機能をソフトウェアによって実現する場合も含む。また、１つの「手段」や「装置」、「システム」が有する機能が２つ以上の物理的手段や装置により実現されても、２つ以上の「手段」や「装置」、「システム」の機能が１つの物理的手段や装置により実現されても良い。

＜実施形態１＞
図１を用いて、本発明の第１の実施形態における情報処理システム１０について説明する。なお、図１に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明に対するなんらの限定を意図するものではない。図１は、第１の実施形態における情報処理システム１０の構成を示すブロック図である。

図１に示すように、情報処理システム１０は、情報処理装置１００と、運用者端末２００と、開発者端末３００と、を含む。情報処理装置１００は、送受信部１０１と、処理装置１０２と、記憶部１０９とを含む。処理装置１０２は、個人情報抽出装置１０３と、ログ出力分析装置１０４と、ログマスキング装置１０５と、個人情報特徴取得装置１０６と、個人情報候補値群取得装置１０７と、個人情報実値取得装置１０８と、を含む。記憶部１０９は、ログ記録部１１０と、特徴公開権限設定記録部１２０と、個人情報記録部１３０と、特徴集合記録部１４０と、類似個人情報記録部１５０と、公開済み情報記録部１６０と、を含む。ここで、処理装置１０２は、例えば、データ保存装置として記憶部１０９を有してもよい。

送受信部１０１は、運用者（ログ送付者）の端末（以下、運用者端末２００と記載する）からの障害ログの受け付け、および、開発者の端末（以下、開発者端末３００と記載する）へ応答を行う。ここで、障害ログとは、システムに障害が発生した時に、当該障害に関連するログである。また、開発者端末３００への応答とは、例えば、マスク済み障害ログやマスキングされた個人情報の特徴、候補値群、具体値の公開を行うことである。

個人情報抽出装置１０３は、処理装置として、例えば、ＭｅＣａｂ（メカブ）等の形態素解析器やパターンマッチング機構を備え、障害ログから個人情報を抽出する。また、個人情報抽出装置１０３は、例えば、抽出した個人情報に対して、その個人情報がどのような特徴を持つかの判定と個人情報文字列に対してハッシュ関数を適用しビット列の生成を行う。個人情報抽出装置１０３は、例えば、形態素解析に必要な辞書データやパターンマッチングに必要なパターン情報を備えても良い。

ログ出力分析装置１０４は、障害ログの各行ごとに出力パターンを分析し、分類する。ログ出力分析装置１０４は、例えば、各パターンにおいて出力された個人情報をグループ化する。

ログマスキング装置１０５は、ログ記録部１１０から障害ログを取得し、個人情報記録部１３０に記憶された個人情報１３１の個人情報文字列に一致する箇所を、個人情報ビット列１３３のビット列に置換する。ログマスキング装置１０５は、例えば、全ての個人情報文字列をビット列に置換した後、障害ログをログ記録部１１０に記録する。

個人情報特徴取得装置１０６は、送受信部１０１よりビット列を受信し、そのビット列に対応する特徴を特徴集合記録部１４０から取得し、送受信部１０１に返却する。個人情報特徴取得装置１０６は、例えば、送受信部１０１から個人情報のビット列を受信し、そのビット列の特徴を返す。

個人情報候補値群取得装置１０７は、送受信部１０１から個人情報のビット列を受信し、そのビット列の候補値群を返す。個人情報実値取得装置１０８は、例えば、送受信部１０１から個人情報のビット列を受信し、そのビット列の実値（例えば、個人情報の文字列）を返す。

ログ記録部１１０は、送受信部１０１より障害ログを格納する。特徴公開権限設定記録部１２０は、ログの公開対象端末（例えば、開発者端末３００）の設定および、ログに含まれる個人情報をどの端末にどの程度公開するかの設定値を格納する。特徴公開権限設定記録部１２０は、例えば、運用者端末２００からの個人情報の公開設定情報を格納する。個人情報記録部１３０は、個人情報抽出装置１０３より、個人情報１３１、特徴１３２、及び個人情報ビット列１３３を格納する。特徴集合記録部１４０は、個人情報抽出装置１０３より、特徴１４１、及び特徴パターン１４２を格納する。特徴、おなじ特徴を持つ個人情報ビット列の総論理和を受信し、保存する装置である。

類似個人情報記録部１５０は、例えば、ログ出力分析装置１０４よりログパターン文字列、同じパターンのログ中に出現した個人情報のビット列の総論理和、同じパターンのログ中に出現した個人情報群を格納する。公開済み情報記録部１６０は、例えば、開発者端末３００としてのユーザごとに個人情報の特徴、候補値群、実値の公開数を格納する。

運用者端末２００は、情報処理装置１００へ障害ログを出力する。運用者端末２００は、例えば、運用する銀行システムに障害が発生した時、情報処理装置１００へ障害ログを送信（出力）する。また、運用者端末２００は、例えば、第１の端末である。

開発者端末３００は、情報処理１００からマスク済み障害ログを受信する。開発者端末３００は、マスク済み障害ログが所定の条件を満たさない場合、情報処理装置１００へ要求する。開発者端末３００は、例えば、マスク済み障害ログを受信して、銀行システムの障害原因を分析するが、当該マスク済み障害ログでは分析をする上で必要な情報が確認できない場合がある。この場合において、開発者端末３００は、情報処理装置１００に対して、必要な情報を求める要求情報を出力する。また、開発者端末３００は、例えば、第２の端末である。

また、情報処理システム１０において、情報処理装置１００と、運用者端末２００及び開発者端末３００は、例えば、ネットワーク（有線及び無線通信を含む）で接続される。

図２を用いて、本発明の第１の実施形態における情報処理システム１０が含む情報処理装置１００を実現するコンピュータ４０について説明する。

図２は、本発明の第１の実施形態における情報処理システム１０が含む情報処理装置１００の代表的なハードウェア構成図である。図２に示すように、情報処理装置１００は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１、ＲＡＭ（Ｒａｍｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２、記憶装置３を含む。情報処理装置１００は、例えば、通信インターフェース４、入力装置５、出力装置６を含む。

情報処理装置１００が含む処理装置１０２とは、プログラムをＲＡＭ２に読み出し、実行するＣＰＵ１によって実現される。ここで、ＣＰＵ１及びＲＡＭ２は、個人情報抽出装置１０３、ログ出力分析装置１０４、ログマスキング装置１０５、個人情報特徴取得装置１０６、個人情報候補値群取得装置１０７、及び個人情報実値取得装置１０８を構成する。記憶装置３は、例えば、ハードディスクや、フラッシュメモリである。記憶装置３は、ログ記録部１１０、特徴公開権限設定記録部１２０、個人情報記録部１３０、特徴集合記録部１４０、類似個人情報記録部１５０、及び公開済み情報記録部１６０を含む。

情報処理装置１００が含む送受信部１０１は、通信インターフェース４である。通信インターフェース４は、ＣＰＵ１に接続され、ネットワーク或いは外部記憶媒体に接続される。外部データが通信インターフェース４を介してＣＰＵ１に取り込まれても良い。入力装置５は、例えばキーボードやマウス、タッチパネルである。出力装置６は、例えばディスプレイである。また、情報処理システム１０が含む運用者端末２００及び開発者端末３００は、例えば、コンピュータ４０と同様の構成及び機能を備えていてもよい。

次に、図３乃至図１１を用いて、本発明の第１の実施形態における情報処理システム１０の構成及び動作（処理の流れ）の詳細について説明する。

図３は、本発明の第１の実施形態における情報処理システム１０の動作を示すフロー図である。なお、図３に示すフロー図及び以下の説明は処理例であり、適宜求める処理に応じて処理順等を入れ替えたり処理を戻したり繰り返したりすることを行っても良い。また、後述の各処理ステップは、処理内容に矛盾を生じない範囲で、任意に順番を変更して、もしくは並列に実行することができ、また、各処理ステップ間に他のステップを追加しても良い。更に、便宜上１つのステップとして記載されているステップは複数のステップに分けて実行することもでき、便宜上複数に分けて記載されているステップを１ステップとして実行することもできる。この点、後述する第２実施形態以降についても同様である。

まず、情報処理装置１００は、運用者端末２００から受信した障害ログをログ記録部１１０に保存する（Ｓ１０１）。例えば、運用システム（例えば、銀行システム）に障害が発生した場合、運用者端末２００は運用システムの障害ログを情報処理装置１００に出力する。情報処理装置１００は、運用者端末２００から出力された障害ログを受信して、ログ記録部１１０に格納する。

ここで、ログ記録部１１０に格納される障害ログの一例について、図４を用いて説明する。図４は、第１の実施形態における障害ログを示す図である。図４に示すように、障害ログは、時間軸順に並んでおり、年月日と、時間と、ログの種類と、そのログに関する個人情報と、を含む。図４に示す障害ログは、例えば、“２０１３−１１−０１ ０９：３０ ｌｏｇｉｎ 田中”である。

次に、情報処理装置１００は、運用者端末２００から受信した個人情報の公開設定情報を受信し、特徴公開権限設定記録部１２０に格納する（Ｓ１０２）。運用者端末２００は、例えば、運用者端末２００が設定する障害ログの開示対象端末（例えば、開発者端末３００）及び障害ログが含む個人情報の開示範囲を含む公開設定情報を出力する。情報処理装置１００は、出力された公開設定情報を受信して、特徴公開権限設定記録部１２０に格納する。

次に、個人情報抽出装置１０３は、受信した障害ログから個人情報文字列を抽出する（Ｓ１０３）。運用者端末２００が障害ログの送信を完了した場合、個人情報抽出装置１０３は、例えば、ＭｅＣａｂ等の形態素解析器や正規表現等のパターンマッチングに基づき、ログ記録部１１０が格納する障害ログを分析する。分析した結果、個人情報抽出装置１０３は、個人情報の抽出と個人情報の特徴分類を行う。ここでいう特徴とは、例えば、個人情報文字列が表す概念のことを示す。

特徴分類の一例を、図４を用いて説明する。図４は、第１の実施形態におけるログ記録部１１０が格納する障害ログの具体例を示す図である。個人情報抽出装置１０３は、例えば、図４に示す“田中”という個人情報を“氏名（姓）”という特徴に分類し、“２Ｌジュース”を“商品”という特徴に分類する。

次に、個人情報抽出装置１０３は、抽出した個人情報文字列をハッシュ関数にかけてビット列を算出し、個人情報記録部１３０に格納する（Ｓ１０４）。個人情報抽出装置１０３は、例えば、抽出した個人情報文字列に１個のハッシュ関数を用いてビット列を算出する。

ここでは、例として図５を用いて説明する。図５は、第１の実施形態における個人情報記録部１３０が格納する特徴・個人情報の具体例を示す図である。図５に示すように、特徴・個人情報は個人情報文字列、特徴、及び個人情報ビット列を含む。例えば、特徴・個人情報文字列が“田中”である場合、個人情報抽出装置１０３は、ハッシュ関数を用いて文字列“田中”から、ビット列「０００００００００１０００００００」を算出する。この場合、個人情報ビット列は、「０００００００００１０００００００」である。個人情報抽出装置１０３は、個人情報文字列、特徴、ビット列を求めたら、個人情報文字列を個人情報１３１に、特徴を特徴１３２に、ビット列を個人情報ビット列１３３に、それぞれ格納する。

次に、個人情報抽出装置１０３は、個人情報記録部１３０の情報生成後、特徴別にＢｌｏｏｍ Ｆｉｌｔｅｒ（ブルーム フィルター）を生成し、特徴集合記録部１４０に格納する（Ｓ１０５）。ここで、Ｂｌｏｏｍ Ｆｉｌｔｅｒとは、空間効率の良い確率的データ構造である。また、Ｂｌｏｏｍ Ｆｉｌｔｅｒは、例えば、要素が集合のメンバー（構成）であるかどうかのテストに使用される。また、Ｂｌｏｏｍ Ｆｉｌｔｅｒは、偽陽性（Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅ）による誤検出の可能性を含むが、偽陰性（Ｆａｌｓｅ Ｎｅｇａｔｉｖｅ）はない。個人情報抽出装置１０３は、例えば、図４に示す特徴１３２の種類（属性）ごとに、全ての個人情報ビット列１３３のビット列の論理和を計算することでＢｌｏｏｍ Ｆｉｌｔｅｒを生成できる。

ここでは、例として図６を用いて説明する。また、Ｂｌｏｏｍ Ｆｉｌｔｅｒの生成方法について、例えば、使用するハッシュ関数の数は、単数でも複数でもよい。

図６は、第１の実施形態におけるＢｌｏｏｍ Ｆｉｌｔｅｒの生成方法の具体例を示す図である。図６に示すように、Ｂｌｏｏｍ Ｆｉｌｔｅｒの生成方法は、同じ特徴（例えば、氏名（姓））の個人情報ビット列同士を足し合わせる（総論理和を取る）ことである。即ち、個人情報抽出装置１０３は、図６に示す田中、上田、金澤、青木それぞれのビット列の論理和を計算すると、「０００００１０００１００１１０００」というビット列を得る。このビット列が、特徴“氏名（姓）”のＢｌｏｏｍ Ｆｉｌｔｅｒである。そして、個人情報抽出装置１０３は、全ての特徴のＢｌｏｏｍ Ｆｉｌｔｅｒを生成し、特徴集合記録部１４０に格納する。個人情報抽出装置１０３は、例えば、特徴を特徴１４１に、特徴パターン（Ｂｌｏｏｍ Ｆｉｌｔｅｒ）を特徴パターン１４２に、それぞれ格納する。

ここで、特徴集合記録部１４０に格納される全ての特徴のＢｌｏｏｍ Ｆｉｌｔｅｒの一例について、図７を用いて説明する。図７は、第１の実施形態における特徴とその特徴パターン（例えば、全ての特徴のＢｌｏｏｍ Ｆｉｌｔｅｒ）の具体例を示す図である。図７に示すように、特徴が“商品”の特徴パターン（Ｂｌｏｏｍ Ｆｉｌｔｅｒ）は「００００００１０１０００００１１０」である。

次に、ログ出力分析装置１０４は、障害ログを行単位でパターン分けし、同じパターンに含まれる個人情報群とそのビット列の総論理和を類似個人情報記録部１５０に追加する（Ｓ１０６）。ログ出力分析装置１０４は、例えば、ログ記録部１１０の障害ログを行単位で分析し、同じ出力パターンで出力されたログの行をグループ化する。そして、ログ出力分析装置１０４は、同じグループで出力され、かつ同じ特徴を持つ個人情報についてビット列の総論理和を取り、類似個人情報として類似個人情報記録部１５０に格納する。ここで、類似個人情報は、ログパターンと、特徴と、候補パターンと、個人情報群と、を含む。ログ出力分析装置１０４は、例えば、ログパターンをログパターン１５１に、特徴を特徴１５２に、特徴パターンを候補パターン１５３に、個人情報群を個人情報群１５４に、それぞれ格納する。

ここで、類似個人情報記録部１５０に格納される類似個人情報の一例について、図８を用いて説明する。図８は、第１の実施形態における類似個人情報の具体例を示す図である。図８に示すように、類似個人情報は、例えば、パターン分けされたログパターンが“ａｄｄ ｔｏ ｃａｒｔ ＊”である場合、特徴は“氏名（姓）”で、候補パターンが「０００００００００１００１１０００」で、個人情報群は“田中，青木，金澤”である。

次に、ログマスキング装置１０５は、障害ログの個人情報部分を個人情報ビット列１３３のビット列に置換し、ログ記録部１１０を更新する（Ｓ１０７）。ログマスキング装置１０５は、例えば、ログ出力分析装置１０４が類似個人情報記録部１５０への類似個人情報を登録後、ログ記録部１１０の障害ログに存在する個人情報文字列を、個人情報記録部１３０において対応するビット列に置換する。そして、ログマスキング装置１０５は、置換後の障害ログをログ記録部１１０に上書きする。また、ログマスキング装置１０５は、例えば、置換後の障害ログをログ記録部１１０が含む置換障害ログ１１１に格納してもよい。

ここで、ログ記録部１１０に格納される個人情報がビット列に置換された障害ログの一例について、図９を用いて説明する。図９は、第１の実施形態における個人情報がビット列に置換された障害ログ（以下、置換済み障害ログと記載する）の具体例を示す図である。図９に示すように、置換済み障害ログは、時間軸順に並んでおり、日時と、ログの種類と、そのログに関する、ビット列に置換された個人情報と、を含む。図９に示す置換済み障害ログは、例えば、“２０１３−１１−０１ ０９：３０ ｌｏｇｉｎ ［０００００００００１０００００００］”である。即ち、ログマスキング装置１０５は、図４に示す障害ログがログ記録部１１０に存在する場合、図５の個人情報記録部１３０の特徴・個人情報に基づき、“田中”を「０００００００００１０００００００」に置換する。ログマスキング装置１０５は、“２Ｌジュース”を「００００００００１００００００００」に、対応する個人情報ビット列に置換する。

次に、情報処理装置１００は、開発者端末３００から障害ログの公開要求（要求情報）を受信し、開発者端末３００に置換済み障害ログ（マスク済み障害ログ）を送信する（Ｓ１０８）。例えば、ログマスキング装置１０５の処理完了後、開発者端末３００は、情報処理装置１００に対して置換済み障害ログの公開を要求する（要求情報を送信する）。要求を受けた情報処理装置１００は、送受信部１０１にてログ記録部１１０から置換済み障害ログを取得し、開発者端末３００へ置換済み障害ログ送信する。情報処理装置１００が置換済み障害ログを公開する方法は、例えば、情報処理装置１００がファイルダウンロードやＨＴＭＬドキュメントを生成し、開発者端末３００のＷｅｂブラウザ画面上に置換済み障害ログを表示する。

次に、開発者端末３００は、システム障害の特定に必要であれば情報処理装置１００に対して、置換済み個人情報の特徴情報、実値を含む複数の候補値群、実値のうちいずれか１つの公開を要求する（Ｓ１０９）。この時、開発者端末３００は、情報処理装置１００に対して、公開して欲しい個人情報のビット列を送信する。

開発者端末３００がビット列化された個人情報の特徴を要求する場合、個人情報特徴取得装置１０６は、特徴集合記録部１４０から特徴情報を取得する（Ｓ１１０）。情報処理装置１００は、開発者端末３００に対して、個人情報の特徴情報を公開する（Ｓ１１１）。

開発者端末３００がビット列化された個人情報の候補値群を要求する場合、個人情報候補値群取得装置１０７は、類似個人情報記録１５０から個人情報の候補値群を取得する（Ｓ１１２）。情報処理装置１００は、開発者端末３００に対して、個人情報の候補値群を公開する（Ｓ１１３）。

開発者端末３００がビット列化された個人情報の実値を要求する場合、個人情報実値取得装置１０８は、個人情報記録部１３０から個人情報の実値を取得する（Ｓ１１４）。情報処理装置１００は、開発者端末３００に対して、個人情報の実値を公開する（Ｓ１１５）。

ここで、ステップＳ１１０乃至ステップＳ１１５の詳細な動作について、説明する。

開発者端末３００が、個人情報がマスキングされた障害ログとして図９のログを受け取った場合を考える。

図９のログは、大部分がビット列に置換されており、そのままではログから処理の概要を理解し難い。そこで、開発者端末３００は、ビット列の特徴情報を要求する。開発者端末３００が図９のログから「０００００００００１０００００００」の特徴情報を要求したとする。開発者端末３００から、送受信部１０１に対してビット列「０００００００００１０００００００」が送信され、送受信部１０１は、このビット列を個人情報特徴取得装置１０６に転送する。個人情報特徴取得装置１０６は、受け取った個人情報のビット列が射影になるビット列を特徴集合記録部１４０の特徴パターン１４２から検索する。Ｂｌｏｏｍ Ｆｉｌｔｅｒの特性から、ここで見つかった特徴パターン１４２に対応する特徴１４１が個人情報のビット列を含む特徴集合となる。開発者端末３００から送信されたビット列「０００００００００１０００００００」は、“氏名（姓）”の特徴パターン「０００００１０００１００１１０００」の射影に含まれる。そのため、ビット列「０００００００００１０００００００」は“氏名（姓）”を表した個人情報であると判定できる。取得した特徴情報は送受信部１０１から開発者端末３００に送信され、開発者端末３００は障害ログの「０００００００００１０００００００」部分が“氏名（姓）”であることを知ることができる。このようにして、全てのビット列の特徴情報を取得したログを図１０に示す。

開発者端末３００が図１０のログからａｄｄ ｔｏ ｃａｒｔ行の「０００００００００１０００００００」の候補値群を要求したとする。開発者端末３００から、送受信部１０１に対してビット列「０００００００００１０００００００」が送信され、送受信部１０１は、このビット列を個人情報候補値群取得装置１０７に転送する。個人情報候補値群取得装置１０７は、受け取ったビット列が射影になるビット列を候補パターン１５３から検索する。ビット列「０００００００００１０００００００」の検索では、図８に示す類似個人情報の一例より、１行目がヒットするため、ビット列「０００００００００１０００００００」の候補値群が“田中，青木，金澤”だと判定できる。候補値群は、送受信部１０１から開発者端末３００に送信され、開発者端末３００は、障害ログの「００００００００００１０００」部分が“田中”，“青木”，“金澤”のいずれかであることを知ることができる。このようにして、ａｄｄ ｔｏ ｃａｒｔ行とｅｒｒｏｒ ： ａｄｄ ｔｏ ｃａｒｔ行のビット列の候補値群を取得したログを図１１に示す。

図１１では、ａｄｄ ｔｏ ｃａｒｔ処理に成功した場合と失敗した場合でも“氏名（姓）”の特徴に“田中”が存在するため、処理の失敗の原因は姓ではないと考えられる。同様に、“商品”の特徴について“２Ｌジュース”が処理に成功した場合と失敗した場合の両方に存在するため、処理の失敗の原因ではないと考えられる。従って、残った特徴である“数量”が障害の原因となっていると推測できる。

この障害解析の例では、開発者端末３００はどの人物がこのシステムを利用しているかはわかるが、どの人物がどの商品を選んだかまではわからない。

ここから更に開発者端末３００が個人情報を要求した場合の動作を説明する。

開発者端末３００は図１１のログから「００００００００００１０００」の個人情報の実値を要求する。開発者端末３００から、送受信部１０１に対してビット列「００００００００００１０００」が送信され、送受信部１０１はこのビット列を個人情報実値取得装置１０８に転送する。個人情報実値取得装置１０８は送受信部１０１から受け取った個人情報のビット列「００００００００００１０００」と完全一致するビット列を個人情報ビット列１３３から検索する。ビット列「００００００００００１０００」の検索では、図５の特徴・個人情報の具体例より、“田中”行がヒットするため、ビット列「００００００００００１０００」の表す個人情報の実値が“田中”であると分かる。取得した実値は送受信部１０１から開発者端末３００に送信され、開発者端末３００は障害ログの「００００００００００１０００」部分が“田中”であることを知ることができる。

また、開発者端末３００は、例えば、ステップＳ１０８で受信した置換済み障害ログのみでシステム障害を特定できた場合、処理を終了しても良い。

また、開発者端末３００は、例えば、ステップＳ１１１又はステップＳ１１３で公開された各情報を取得した後で、かつ、システム障害の特定ができない場合、ステップＳ１０９にフローを戻しても良い。その場合、開発者端末３００は、再度自身が求める（システム障害を特定するための）情報を要求する。

以上で、本発明の第１の実施形態における情報処理システム１０の構成及び動作（処理の流れ）の説明を終了する。

本発明の第１の実施形態における情報処理システム１０の情報処理装置１００において、送受信部１０１は、運用者端末２００からの障害ログの受け付け、および、開発者端末３００へ応答を行う。個人情報抽出装置１０３は、障害ログから個人情報を抽出する。ログ出力分析装置１０４は、障害ログの各行ごとに出力パターンを分析し、分類する。ログマスキング装置１０５は、障害ログを取得し、個人情報１３１の個人情報文字列に一致する箇所を個人情報ビット列１３３のビット列に置換する。個人情報特徴取得装置１０６は、送受信部１０１よりビット列を受信し、そのビット列に対応する特徴を特徴集合記録部１４０から取得し、送受信部１０１に返却する。

個人情報候補値群取得装置１０７は、送受信部１０１から個人情報のビット列を受信し、そのビット列の候補値群を返す。個人情報実値取得装置１０８は、送受信部１０１から個人情報のビット列を受信し、そのビット列の実値を返す。ログ記録部１１０は、送受信部１０１より障害ログを格納する。特徴公開権限設定記録部１２０は、ログの公開対象端末の設定および、ログに含まれる個人情報をどの端末にどの程度公開するかの設定値を格納する。個人情報記録部１３０は、個人情報１３１、特徴１３２、及び個人情報ビット列１３３を格納する。特徴集合記録部１４０は、特徴１４１、及び特徴パターン１４２を格納する。類似個人情報記録部１５０は、ログパターン１５１、特徴１５２、候補パターン１５３、及び個人情報群１５４を格納する。

公開済み情報記録部１６０は、ユーザごとに個人情報の特徴、候補値群、実値の公開数を格納する。情報処理システム１０における運用者端末２００は、情報処理装置１００へ障害ログを出力する。情報処理システム１０における開発者端末３００は、情報処理装置１００から置換済み障害ログを受信する。開発者端末３００は、システム障害の特定に必要であれば情報処理装置１００に対して、置換済み個人情報の特徴情報、実値を含む複数の候補値群、実値のうちいずれか１つの公開を要求する。開発者端末３００は、前述の要求に対応する情報を取得する。そのため、情報処理システム１０は、個人情報の公開の範囲を抑えつつ、障害を回復させることができることができる。

また、情報処理システム１０は、開発者端末３００に対して障害ログに含まれる個人情報文字列をマスキングし、マスキングされた各文字列について特徴・候補値群・実値の問い合わせを可能にする。そのため、不用意な個人情報の公開を防ぐことができる。

また、ユーザ（開発者端末３００）は、障害ログを個人情報が隠された状態で閲覧し、必要に応じて個人情報取得するため、障害と関連の無いログに含まれる個人情報を目にすることが無い。また、ユーザ（開発者端末３００）は、特徴、候補値群、実値と順々に個人情報を閲覧するため、最低限の個人情報で障害の特定ができる。また、ユーザ（開発者端末３００）は、障害と関係のないログ部分の個人情報を目にせずに障害解析ができる。

また、ユーザ（開発者端末３００）は、特徴まで閲覧することで、ログの概要を理解することができ、障害と関連のあるログ出力か否かを判定できる。また、ユーザ（開発者端末３００）は、候補値群まで閲覧することで、完全な個人情報の特定を避けつつ、ログが出力された個人情報の具体値傾向を知り、障害特定に役立てることができる。

また、情報処理システム１０は、個人情報の特徴情報、候補値群をビット演算で取得できるため、特徴・候補値群の検索を高速に行うことができる。

＜実施形態２＞
本発明の第２の実施形態における情報処理システム１０ａについて、図１２乃至図２１を参照して説明する。なお、本発明の第２実施形態において、以下の説明では、第１の実施形態と同様の構成については同一の符号を付すと共に、説明を省略する。また、第１の実施形態と同様の作用効果についても、説明を省略している。

第２の実施形態では、第１の実施形態に特徴の階層化を追加したものである。即ち、図１２に示すように、第２の実施形態における情報処理システム１０ａは、特徴集合記録部１４０に下位特徴１４３をさらに含む。下位特徴１４３とは、各特徴の下位概念となる特徴の一覧を格納する。ここで、図１２は、第２の実施形態における情報処理システム１０ａの構成を示すブロック図である。

第１の実施形態と同じように、情報処理システム１０ａは、運用者端末２００から送られた障害ログに基づき、個人情報抽出装置１０３が個人情報とその特徴を抽出し、個人情報記録部１３０に格納する。第２の実施形態（情報処理システム１０ａ）が第１の実施形態と異なる点は、個人情報抽出装置１０３がＢｌｏｏｍ Ｆｉｌｔｅｒの階層構造を形成する点である。

以下、図１５を参照しながら、本実施形態における特徴の階層化について説明する。図１５は、特徴の包含関係を階層構造化したＢｌｏｏｍ Ｆｉｌｔｅｒの一例を示す図である。図１５に示すように、本実施形態における特徴の階層化では、例えば、特徴“氏名”であれば、“姓”と“名”の特徴に分けることができる。つまり、“氏名”のＢｌｏｏｍ Ｆｉｌｔｅｒ「１１１００１１１１１００・・・」は、“姓”のＢｌｏｏｍ Ｆｉｌｔｅｒ「１１０００１０１００００・・・」及び“名”のＢｌｏｏｍ Ｆｉｌｔｅｒ「０１０００１００００００・・・」の論理和で得られる。これは、氏名のＢｌｏｏｍ Ｆｉｌｔｅｒが姓のＢｌｏｏｍ Ｆｉｌｔｅｒ及び名のＢｌｏｏｍ Ｆｉｌｔｅｒの上位にあることを示す。

また、“姓”の特徴も国ごとに更に特徴を区分することができる。本実施形態における情報処理装置１００ａは、このように特徴を細かく細分化し、開発者端末３００に対して特徴を公開する際には、上位の特徴から順番に特徴情報を公開するものである。

以下、図１３及び図１４を参照しながら、本実施形態における情報処理システム１０ａの処理の流れを説明する。図１３及び図１４は、本実施形態における情報処理システム１０ａの処理の流れを示すフロー図である。本実施形態における情報処理システム１０ａの処理の流れは、第１の実施形態とほぼ同様であるので、説明を省略する。ここでは、図１３に示すように、階層構造Ｂｌｏｏｍ Ｆｉｌｔｅｒの生成フロー、及び図１４に示す特徴情報取得フローについて説明する。

第２の実施形態における、階層構造のＢｌｏｏｍ Ｆｉｌｔｅｒの生成処理過程のフローチャートを図１３に示す。まず、個人情報抽出装置１０３は、各特長についてＢｌｏｏｍ Ｆｉｌｔｅｒを生成する（Ｓ２０１）。次に、個人情報抽出装置１０３は、特徴の論理和を取り、上位概念のＢｌｏｏｍ Ｆｉｌｔｅｒを生成する（Ｓ２０２）。次に、個人情報抽出装置１０３は、上位特徴と下位特徴をマッピングする（Ｓ２０４）。個人情報抽出装置１０３は、全ての特徴の包含関係について処理するまで、ステップＳ２０３及びステップＳ２０４の動作を繰り返し行う（Ｓ２０２）。個人情報抽出装置１０３は、全ての特徴の包含関係について繰り返し処理を終了した場合（Ｓ２０５）、特徴、Ｂｌｏｏｍ Ｆｉｌｔｅｒ、特徴の階層関係を特徴集合記録部１４０に格納する（Ｓ２０６）。

次に、第２の実施形態における、階層構造のＢｌｏｏｍ Ｆｉｌｔｅｒから特徴情報を取得する処理過程のフローチャートを図１４に示す。まず、個人情報特徴取得装置１０６は、送受信部１０１から転送された、開発者端末３００より個人情報の取得要求を受信する（Ｓ２１１）。次に、個人情報特徴取得装置１０６は、取得要求を受信した時に、開発者端末３００から渡されたデータがビット列のみであった場合（Ｓ２１２）、木構造のルート直下のＢｌｏｏｍ Ｆｉｌｔｅｒで判定する（Ｓ２１３）。そして、個人情報特徴取得装置１０６は、ヒットしたＢｌｏｏｍ Ｆｉｌｔｅｒの特徴情報を開発者端末３００に返す（Ｓ２１４）。また、個人情報特徴取得装置１０６は、取得要求を受信した時に、開発者端末３００から渡されたデータがビット列及び特徴のみであった場合（Ｓ２１２）、渡された特徴を表すノード直下のＢｌｏｏｍ Ｆｉｌｔｅｒで判定する（Ｓ２１５）。そして、個人情報特徴取得装置１０６は、ヒットしたＢｌｏｏｍ Ｆｉｌｔｅｒの特徴情報を開発者端末３００に返す（Ｓ２１４）。

以上で、情報処理システム１０ａの、階層構造Ｂｌｏｏｍ Ｆｉｌｔｅｒの生成処理過程、及び階層構造のＢｌｏｏｍ Ｆｉｌｔｅｒから特徴情報を取得する処理過程についての説明を終了する。

第２の実施形態において、個人情報抽出装置１０３は、特徴の階層関係が定義されており、階層関係の定義情報に基づき、各特徴の下位に存在する特徴を特徴集合記録部１４０の下位特徴１４３に格納する。特徴の階層関係とは、ある特徴がより大きな概念の別の特徴に包含されることの定義情報である。例えば、特徴“姓”と”名”は特徴“氏名”に包含されるという情報が特徴の階層関係にあたる。

図１６は、第２の実施形態における特徴、その特徴パターン、及び下位特徴の具体例を示す図である。図１６に示すように、特徴集合記録部１４０は、特徴１４１、特徴パターン１４２、及び下位特徴１４３（例えば、特徴集合）を格納する。これは図１５に示す階層構造のＢｌｏｏｍ Ｆｉｌｔｅｒを表したものであり、上位概念は下位概念を包含するめ、上位概念のＢｌｏｏｍ Ｆｉｌｔｅｒは下位概念のＢｌｏｏｍ Ｆｉｌｔｅｒを射影に含む。“氏名”のＢｌｏｏｍ Ｆｉｌｔｅｒ「１１１００１１１１１００・・・」は、“姓”のＢｌｏｏｍ Ｆｉｌｔｅｒ「１１０００１０１００００・・・」と“名”のＢｌｏｏｍ Ｆｉｌｔｅｒ「００１０００１０１１００・・・」の両方を射影として包含する。

個人情報抽出終了後、第１の実施形態と同様にログ出力分析装置１０４とログマスキング装置１０５は、ログ出力分析とログのマスキング処理を行う。その後、開発者端末３００にマスク済みのログを公開し、開発者端末３００から特徴情報の要求を受ける。この時、情報処理装置１００ａは、開発者端末３００に対して上位のものから順番に特徴を公開する。

例えば図１５、図１６において、開発者端末３００から「１０００００００００００・・・」のビット列の特徴情報が要求された場合がある。その場合、個人情報特徴取得装置１０６は、このビット列を階層構造の上位に位置する“氏名”のＢｌｏｏｍ Ｆｉｌｔｅｒと“ＩＰアドレス”のＢｌｏｏｍ Ｆｉｌｔｅｒにかける。そして、このビット列は“氏名” のＢｌｏｏｍ Ｆｉｌｔｅｒの写像にのみ含まれるため、個人情報特徴取得装置１０６は、送受信部１０１を介して“氏名”という特徴情報を開発者端末３００に送信する。

ここで、より詳細な特徴を取得する場合、開発者端末３００は「１０００００００００００・・・」のビット列と先ほど受信した“氏名”という特徴情報を情報処理装置１００ａに送信する。個人情報特徴取得装置１０６は、特徴集合記録部１４０から“氏名”の下位特徴一覧に“姓”，“名”が存在することを取得し、“姓”と“名”のＢｌｏｏｍ Ｆｉｌｔｅｒに対してビット列「１０００００００００００・・・」を適用する。この場合、与えられたビット列は、“姓”のＢｌｏｏｍ Ｆｉｌｔｅｒの写像に含まれる。そのため、個人情報特徴取得装置１０６は、送受信部１０１を介して“姓”という特徴情報を開発者端末３００に送信する。

この特徴情報が要求された場合、このビット列を階層構造においてＩＰアドレスのＢｌｏｏｍ Ｆｉｌｔｅｒの直下に位置するＩＰｖ６アドレスのＢｌｏｏｍ ＦｉｌｔｅｒとＩＰｖ４アドレスのＢｌｏｏｍ Ｆｉｌｔｅｒにかける。これにより、このビット列の特徴は“ＩＰｖ４アドレス”であることがわかるため、今度は“ＩＰｖ４アドレス”という特徴情報を開発者端末３００に送信する。

次に、図１８乃至図２１を用いて、開発者端末３００がマスク済み障害ログから障害原因を特定する方法を説明する。図１８は、第２の実施形態における置換済み（マスク済み）障害ログの一例を示す図である。図１９は、第２の実施形態における特徴を含む障害ログの一例を示す図である。図２０は、第２の実施形態における下位の特徴を含む障害ログの一例を示す図である。図２１は、第２の実施形態における実値を含む障害ログ（置換なし）の一例を示す図である。

図１８に示すログにおいて、９時４０分（０９：４０）と１０時１０分（１０：１０）にエラーのログが発生している。図１８に示すログの大部分は、ビット列に置換されているため、開発者端末３００（例えば、開発者）は、当該ログの処理概要を理解しづらい。そこで、開発者端末３００は、情報処理装置１００ａに開示要求をする。要求した結果、開発者端末３００は、図１９に示す各ビット列の特徴を含むログを取得する。図１９に示すように、置換済み障害ログに対して個人情報の特徴情報が可視化されたため、開発者端末３００は、ログが示すシステムの動作の流れが理解しやすくなる。

ここで、障害（ｅｒｒｏｒ）の発生したｃｒｅａｔｅ ｎｅｗ ｕｓｅｒ ａｃｃｏｕｎｔ処理のログ行に着目して、ｃｒｅａｔｅ ｎｅｗ ｕｓｅｒ ａｃｃｏｕｎｔ処理のログの（姓）と（名）の特徴情報を更に取得すると図２０のログが得られる。図２０のログによると、ｃｒｅａｔｅ ｎｅｗ ｕｓｅｒ ａｃｃｏｕｎｔ処理は氏名が日姓＋日名か英名＋英名の場合に成功し、氏名が英姓＋日名の場合に失敗していることが分かる。従って、氏名の姓と名に洋人名と邦人名を組み合わせた場合に障害が発生していることが考えられる。

本例ではログが示す処理の概要を理解するために、個人情報の特徴を取得し、障害部分のみ追加で詳細な特徴情報を取得した。これにより、どの国籍の人のログインや買い物が多いかという情報を公開すること無く障害を特定できる。

以上より、第２の実施形態における情報処理システム１０ａは、第１の実施形態における情報処理システム１０の情報処理装置１００に加えて、下位特徴１４３を含む。下位特徴１４３は、階層関係の定義情報に基づき、各特徴の下位に存在する特徴を格納する。そのため、情報処理システム１０ａは、個人情報の公開の範囲を抑えつつ、障害を回復させることができることができる。

また、情報処理システム１０ａは、予め定義した特徴の意味の包含関係から、特徴のＢｌｏｏｍ Ｆｉｌｔｅｒの階層関係を生成し、ビット列を射影に含むＢｌｏｏｍ Ｆｉｌｔｅｒを階層関係の上位から検索する。これにより、個人情報の特徴を取得する際に、抽象的な特徴から具体的な特徴を少しずつ順番に返すことができ、かつ、開発者端末３００に対する個人情報の公開量を抑えることができる。

また、情報処理システム１０ａは、階層関係をもつＢｌｏｏｍ Ｆｉｌｔｅｒを用いて特徴を取得する場合、階層の上位から特徴を探索する。これにより、Ｂｌｏｏｍ Ｆｉｌｔｅｒ群を線形に検索するよりも、ビット列に対するＢｌｏｏｍ Ｆｉｌｔｅｒ適用計算回数を少なく抑えることができる。

また、特徴を階層構造に並べたことで、特徴を線形検索するよりもＢｌｏｏｍ Ｆｉｌｔｅｒを適用する回数を大幅に減らすことができる。

また、個人情報の特徴を上位概念から順番に公開するため、障害特定に至るまでの個人情報の公開量を抑えることができる。

また、Ｂｌｏｏｍ Ｆｉｌｔｅｒで階層構造を構成したことで、ビット列から特徴を検出するために行うＢｌｏｏｍ Ｆｉｌｔｅｒ適用回数を減らす事ができる。

また、特徴集合記録部１４０が有する特定の特徴集合に対して、多くの個人情報が集中する場合、個人情報抽出装置１０３は、例えば、偽陽性確率を下げる目的で特徴集合を分割してＢｌｏｏｍ Ｆｉｌｔｅｒを定義してもよい。図１６に示すように、特徴がＩＰアドレスである個人情報に比べ、特徴が氏名である個人情報が大量に存在する場合がある。この場合、氏名のＢｌｏｏｍ Ｆｉｌｔｅｒは、ＩＰアドレスのＢｌｏｏｍ Ｆｉｌｔｅｒと比べ、多くのビットが１の状態をとる。これにより、氏名のＢｌｏｏｍ Ｆｉｌｔｅｒが氏名ではない個人情報のビット列を氏名だと誤って判定してしまう可能性が高くなる。

そこで、個人情報抽出装置１０３は、特徴が氏名である個人情報の集合を幾つかに分割してＢｌｏｏｍ Ｆｉｌｔｅｒを定義しても良い。氏名のＢｌｏｏｍ Ｆｉｌｔｅｒを３つに分割して定義した、特徴集合記録部１４０の一例を図１７に示す。図１７に示すように、氏名のＢｌｏｏｍ Ｆｉｌｔｅｒを氏名１、氏名２、氏名３に分けることで、図１６に定義された氏名の特徴パターンと比較してそれぞれのビット列の１の数が少なくなっている。

＜実施形態３＞
本発明の第３の実施形態における情報処理システム１０ｂについて、図２２乃至図２９を参照して説明する。なお、本発明の第３実施形態において、以下の説明では、第１及び第２の実施形態と同様の構成については同一の符号を付すと共に、説明を省略する。また、第１及び第２の実施形態と同様の作用効果についても、説明を省略している。

第３の実施形態では、第１の実施形態における情報処理装置１００に個人情報集合記録部１７０を追加したものである。ここで、図２２は、第３の実施形態における情報処理システム１０ｂの構成を示すブロック図である。図２２に示すように、第３の実施形態における情報処理装置１００ｂの個人情報集合記録部１７０は、行Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７２、列Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７１、及び個人情報１７３を含む。

行Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７２は、個人情報の一覧を、二等辺三角形を作るようにマス目に並べ、行ごとに同じ行に並ぶ個人情報のＢｌｏｏｍ Ｆｉｌｔｅｒを格納する。列Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７１は、列ごとに同じ列に並ぶ個人情報のＢｌｏｏｍ Ｆｉｌｔｅｒを格納する。個人情報１７３は、各座標に対応する個人情報の一覧を格納する。

第３の実施形態における情報処理装置１００ｂは、個人情報のビット列を空間上に配置し、軸方向ごとにＢｌｏｏｍ Ｆｉｌｔｅｒで表す個人情報の集合を形成し、軸方向ごとに与えられたビット列を含むＢｌｏｏｍ Ｆｉｌｔｅｒを求める。そして、情報処理装置１００ｂは、Ｂｌｏｏｍ Ｆｉｌｔｅｒが表す個人情報の集合の交点を求めることで個人情報を検索する。

第３の実施形態（情報処理システム１０ｂ）は、第１の実施形態（情報処理システム１０）と同じように、運用者から送られた障害ログに基づき、個人情報抽出装置１０３で個人情報とその特徴を抽出し、個人情報記録部１３０に記録する。第３の実施形態が第１の実施形態と異なる点（動作）は、個人情報抽出装置１０３が、個人情報を個人情報記録部１３０に格納した後、個人情報集合記録部１７０にＢｌｏｏｍ Ｆｉｌｔｅｒと個人情報の一覧を格納する。

そこで、図２３及び図２４を用いて、個人情報集合記録部１７０へのＢｌｏｏｍ Ｆｉｌｔｅｒの記録処理と個人情報の取得処理の動作を説明する。図２３及び図２４は、本実施形態における情報処理システム１００ｂの処理の流れを示すフロー図である。本実施形態における情報処理システム１０ｂの処理の流れは、第１の実施形態とほぼ同様であるので、説明を省略する。ここでは、図２３に示すように、個人情報取得用Ｂｌｏｏｍ Ｆｉｌｔｅｒの生成フロー及び個人情報集合記録部１７０へ格納処理について説明する。また、図２４に示すように、個人情報の取得フローについて説明する。

図２３に示すように、まず、個人情報抽出装置１０３は、全ての個人情報を出現頻度の高い順に並び替えて、個人情報１７３に格納する（Ｓ３０１）。次に、個人情報抽出装置１０３は、個人情報を平面（２次元空間）上に直角２等辺三角形を形成するように配置する（Ｓ３０２）。次に、個人情報抽出装置１０３は、個人情報のビット列を生成する（Ｓ３０３）。次に、平面上の行方向の全列について、平面上の列に並ぶビット列の論理和の作成を繰り返す（Ｓ３０４及びＳ３０５）。繰り返し処理が完了した場合（Ｓ３０６）、個人情報抽出装置１０３は、列のビット列の論理和一覧を列Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７１に格納する（Ｓ３０７）。次に、平面上の行方向の全行について、平面上の行に並ぶビット列の論理和の作成を繰り返す（Ｓ３０９及びＳ３１０）。繰り返し処理が完了した場合（Ｓ３１０）、行のビット列の論理和の一覧を、行Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７２へ格納する（Ｓ３１１）。以上で、個人情報取得用Ｂｌｏｏｍ Ｆｉｌｔｅｒの生成フロー及び個人情報集合記録部１７０への格納処理を終了する。

次に、第３の実施形態における、個人情報を取得する処理過程のフローチャートを図２４に示す。まず、情報処理装置１００ｂ（送受信部１０１）は、開発者端末３００より送信される個人情報の取得要求を受信する（Ｓ３２１）。次に、個人情報実値取得装置１０８は、列Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７１よりビット列にマッチするＢｌｏｏｍ Ｆｉｌｔｅｒを検索する（Ｓ３２２）。ここで、ｍはマッチしたＢｌｏｏｍ Ｆｉｌｔｅｒのインデックスを示す。また、ｍについては後述する。次に、個人情報実値取得装置１０８は、行Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７２よりビット列にマッチするＢｌｏｏｍ Ｆｉｌｔｅｒを検索する（Ｓ３２３）。ここで、ｎは、マッチしたＢｌｏｏｍ Ｆｉｌｔｅｒのインデックスを示す。また、ｎについては後述する。次に、個人情報実値取得装置１０８は、個人情報１７３の（ｍ＾２＋２ｍｎ＋ｎ＾２−ｍ−３ｎ＋２）／２番目の個人情報を取得し、開発者端末３００に返す（Ｓ３２４）。

ここで、図２５乃至図２７を用いて、第３の実施形態における処理の動作の詳細を説明する。

障害ログの個人情報は、例えば「田中」、「青木」、「清水」、「Ｋａｎａｚａｗａ」、「Ｕｅｄａ」、「６７．１１．９．７」、「１７２．１６．１．２」、「東京都 墨田区 押上 １丁目」、「１９４５年８月１５日生」、「７２．１６．１．８３」である。個人情報抽出装置１０３は、個人情報を障害ログにおいて出現頻度が高い順に並び替え、マス目に二等辺三角形を作るように配置する。図２５に示すように、個人情報抽出装置１０３は、４×４のマス目の左上から、数字順に個人情報を配置する。例えば、図２５に示す４×４のマス目の、１行目は１．「田中」、２．「１７２．１６．１．２」、４．「Ｋａｎａｚａｗａ」、７．「６７．１１．９．７」、と個人情報が格納される。ここでの“１．”、“２．”は、個人情報抽出装置１０３が４×４のマス目に格納する順番を示す。

続いて、個人情報抽出装置１０３は、マス目に並べた個人情報をビット列に置き換え、マス目の行方向と列方向について１行、１列ずつＢｌｏｏｍ Ｆｉｌｔｅｒを生成する。個人情報抽出装置１０３は、生成したＢｌｏｏｍ Ｆｉｌｔｅｒを行Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７２と列Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７１に格納し、出現頻度順に並び替えた個人情報を個人情報１７３に格納する。図２５のように配置した個人情報をビット列に置き換えて、行と列、それぞれの方向についてＢｌｏｏｍ Ｆｉｌｔｅｒを作成すると図２６のようになる。

また、取得したＢｌｏｏｍ Ｆｉｌｔｅｒと個人情報を個人情報集合記録部１７０に格納した様子は図２７のようになる。

個人情報集合記録部１７０への情報記録を終えたら、第１の実施形態と同じように、ログのマスキング、マスク済みログの公開、個人情報の特徴情報の公開、個人情報の候補値群の公開を行う。 その後、開発者端末３００から個人情報の実値が要求された際には、個人情報実値取得装置１０８が開発者端末３００から受け取ったビット列に対応する個人情報を、個人情報集合記録部１７０から検索する。

検索は列Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７１と行Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７２の両方に対して先頭から順番に、開発者端末３００から受け取ったビット列を含むＢｌｏｏｍ Ｆｉｌｔｅｒを走査して行う。受け取ったビット列を含むＢｌｏｏｍ Ｆｉｌｔｅｒが列Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７１のｍ番目、行Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７２のｎ番目に存在したとする。その場合、ビット列に対応する個人情報は個人情報１７３の（ｍ＾２＋２ｍｎ＋ｎ＾２−ｍ−３ｎ＋２）／２番目のインデックスに存在することになる。

例えば、図２６の例において、「００００１００００００００」のビット列から個人情報を求める場合を考える。ビット列「００００１００００００００」は列Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７１の２番目、行Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７２の３番目のＢｌｏｏｍ Ｆｉｌｔｅｒにそれぞれ含まれる。そのため、ｍ＝２，ｎ＝３を（ｍ＾２＋２ｍｎ＋ｎ＾２−ｍ−３ｎ＋２）／２に代入して、個人情報１７３の９番目のインデックスにある「清水」が求める個人情報となる。以上で、第３の実施形態における、個人情報を取得する処理過程の説明を終了する。

以上より、第３の実施形態における情報処理システム１０ｂは、第１の実施形態における情報処理システム１０の情報処理装置１００に加えて、個人情報集合記録部１７０を含む。個人情報集合記録部１７０は、行Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７２、列Ｂｌｏｏｍ Ｆｉｌｔｅｒ１７１、及び個人情報１７３を含む。そのため、情報処理システム１０ｂは、個人情報の公開の範囲を抑えつつ、障害を回復させることができることができる。

また、情報処理システム１０ｂは、ビット列に対応する個人情報を取得する際に要する計算量が情報処理システム１０と比べて少ない。例えば、１００００種類の個人情報が存在する場合、情報処理システム１０ではビット列とのパターンマッチ処理を１〜１００００回行う必要がある。しかし、情報処理システム１０ｂでは、Ｂｌｏｏｍ Ｆｉｌｔｅｒへの適用を２〜１４２回行えば良い。

また、情報処理システム１０ｂでは、個人情報を出現頻度の順番に並び替えるため、出現頻度の高い個人情報ほど、少ない計算回数で個人情報を取得できる。

また、情報処理システム１０ｂは、情報処理システム１０と比べて、記憶領域の使用量が少ない。それは、個人情報の実値を取得する際に、個人情報記録部１３０を必要としないからである。

また、情報処理システム１０ｂにおいて、個人情報記録部１３０はログのマスキング処理終了後は使用されないため、個人情報記録部１３０の情報を削除してもよい。

また、本実施形態において、個人情報抽出装置１０３は、個人情報を２次元平面上に並べたが、例えば、３次元以上の空間（例えば、ｎ次元空間）に個人情報を並べても良い。また、位置と特徴が対応づくように個人情報を並べ、特徴情報の格納を個人情報集合記録部１７０で行っても良い。

具体的には、図２８に示すように、マス目に個人情報を並べる際にその順番を種類順にする。図２８に示すように、１乃至５番目に氏名、６乃至８番目にＩＰアドレス、９番目に住所、１０番目に生年月日、という順番で個人情報が並んでいる。また、個人情報集合記録部１７０には、図２９に示すように個人情報１７３の並びと特徴を対応付けた情報を記録する、特徴対応１７４を追加する。これにより、個人情報１７３のインデックスから特徴を取得することができる。

また、情報処理システム１０ｂは、例えば、個人情報をｎ次元空間に配置し、各軸についてＢｌｏｏｍ Ｆｉｌｔｅｒを作成し、各軸でビット列化された情報を含むＢｌｏｏｍ Ｆｉｌｔｅｒを探し、その交点を求める。これにより、ビット列化された情報から元の情報を求めることができる。

また、前述の、個人情報をｎ次元空間に配置してＢｌｏｏｍ Ｆｉｌｔｅｒを作成する装置は、例えば、出現頻度の高いビット列を軸の原点の近くに配置してＢｌｏｏｍ Ｆｉｌｔｅｒを作成する。これにより、Ｂｌｏｏｍ Ｆｉｌｔｅｒの適用回数を減らすことができる。

また、前述の、個人情報をｎ次元空間に配置してＢｌｏｏｍ Ｆｉｌｔｅｒを作成する装置は、例えば、個人情報が大量に存在する場合には対応する個人情報を特定できるまでの最悪の場合の計算回数が線形検索を行った場合に比べ、非常に少ない。これにより、各個人情報の出現頻度に大きな差が無く、個人情報の出現頻度順の並び替えの効果が低い場合でも、高速に検索することができる。

また、前述の、個人情報をｎ次元空間に配置してＢｌｏｏｍ Ｆｉｌｔｅｒを作成する装置は、例えば、座標に個人情報文字列だけではなく、特徴情報、候補値群情報も関連付ける構成を取る。これにより、個人情報の特徴情報、候補値群、実値の取得を全て同じ処理で行える。

＜実施形態４＞
本発明を実施するための第４の形態における情報処理装置１０００の構成について、図面を参照して説明する。図３０は、本発明の第４の実施形態における情報処理装置１０００の構成を示すブロック図である。

本発明の第４の実施形態における情報処理装置１０００は、複数の個人情報の各々をビット列に対応させ、複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成する個人情報抽出部１０３０を含む。情報処理装置１０００は、障害ログの少なくとも一部をビット列に置き換えた置換済み障害ログを生成するログマスキング部１０５０を含む。情報処理装置１０００は、置換済み障害ログのうち、ビット列に対応する情報を要求された場合に、特徴パターンに対応するビット列が射影されている特徴を出力する取得部１０６０を含む。

上記構成を有する情報処理装置１０００は、複数の個人情報の各々をビット列に対応させ、複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成する。情報処理装置１０００は、障害ログの少なくとも一部をビット列に置き換えた置換済み障害ログを生成する。情報処理装置１０００は、置換済み障害ログのうち、ビット列に対応する情報を要求された場合に、特徴パターンに対応するビット列が射影されている特徴を出力する。したがって、情報処理装置１０００は、個人情報の公開の範囲を抑えつつ、障害を回復させることができる。

なお、第４の実施形態における個人情報抽出部１０３０と、ログマスキング部１０５０とは、それぞれ、上記の実施形態における個人情報抽出装置１０３と、ログマスキング装置１０５と、に対応する。第４の実施形態における取得部１０６０は、上記の実施形態における個人情報特徴取得装置１０６、個人情報候補値群取得装置１０７、及び個人情報実値取得装置１０８に対応する。

以上、実施形態を用いて本願発明を説明したが、本願発明は、上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解しうる様々な変更をすることができる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

１ ＣＰＵ
２ ＲＡＭ
３ 記憶装置
４ 通信インターフェース
５ 入力装置
６ 出力装置
１０ 情報処理システム
１０ａ 情報処理システム
１０ｂ 情報処理システム
１００ 情報処理装置
１００ａ 情報処理装置
１００ｂ 情報処理装置
１０１ 送受信部
１０２ 処理装置
１０３ 個人情報抽出装置
１０４ ログ出力分析装置
１０５ ログマスキング装置
１０６ 個人情報特徴取得装置
１０７ 個人情報候補値群取得装置
１０８ 個人情報実値取得装置
１０９ 記憶部
１１０ ログ記録部
１２０ 特徴公開権限設定記録部
１３０ 個人情報記録部
１３１ 個人情報
１３２ 特徴
１３３ 個人情報ビット列
１４０ 特徴集合記録部
１４１ 特徴
１４２ 特徴パターン
１５０ 類似個人情報記録部
１５１ ログパターン
１５２ 特徴
１５３ 候補パターン
１５４ 個人情報群
１６０ 公開済み情報記録部
１７０ 個人情報集合記録部
１７１ 列Ｂｌｏｏｍ Ｆｉｌｔｅｒ
１７２ 行Ｂｌｏｏｍ Ｆｉｌｔｅｒ
１７３ 個人情報
２００ 運用者端末
３００ 開発者端末
１０００ 情報処理装置
１０３０ 個人情報抽出部
１０５０ ログマスキング部
１０６０ 取得部

Claims (10)

1. 複数の個人情報の各々をビット列に対応させ、前記複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成する個人情報抽出手段と、
   障害ログの少なくとも一部を前記ビット列に置き換えた置換済み障害ログを生成するログマスキング手段と、
   前記置換済み障害ログのうち、前記ビット列に対応する情報を要求された場合に、前記特徴パターンに対応する前記ビット列が射影されている特徴を出力する取得手段と、
   を備える情報処理装置。
2. 前記特徴が類似する特徴パターン同士を足し合わせて、上位の特徴パターンを生成する請求項１に記載の情報処理装置。
3. ユーザからビット列に対応する特徴を要求された場合に、前記上位の特徴パターンに対応する特徴から順番に出力する請求項１又は２に記載の情報処理装置。
4. 複数の特徴を所定の数の集合で分割し、複数の特徴パターンを作成する請求項１乃至３のいずれか１項に記載の情報処理装置。
5. 前記特徴パターンがＢｌｏｏｍ Ｆｉｌｔｅｒであり、個人情報をｎ次元空間に配置して前記Ｂｌｏｏｍ Ｆｉｌｔｅｒを作成する場合に、出現頻度の高いビット列を軸の原点の近くに配置する請求項１乃至４のいずれか１項に記載の情報処理装置。
6. 座標に個人情報に加えて、前記特徴、及び候補値群情報も関連付ける請求項５に記載の情報処理装置。
7. 障害ログを出力する第１の端末と、
   複数の個人情報の各々をビット列に対応させ、前記複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成する個人情報抽出装置と、
   出力された前記障害ログの少なくとも一部を前記ビット列に置き換えた置換済み障害ログを生成するログマスキング装置と、
   前記置換済み障害ログのうち、前記ビット列に対応する情報を要求された場合に、前記特徴パターンに対応する前記ビット列が射影されている特徴を出力する取得装置と、を含む情報処理装置と、
   前記ビット列に対応する情報を要求し、出力された前記ビット列が射影されている特徴を受信する第２の端末と、
   を含む情報処理システム。
8. 複数の個人情報の各々をビット列に対応させ、前記複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成し、
   障害ログの少なくとも一部を前記ビット列に置き換えた置換済み障害ログを生成し、
   前記置換済み障害ログのうち、前記ビット列に対応する情報を要求された場合に、前記特徴パターンに対応する前記ビット列が射影されている特徴を出力する情報処理方法。
9. 前記特徴が類似する特徴パターン同士を足し合わせて、上位の特徴パターンを生成する請求項８に記載の情報処理方法。
10. 複数の個人情報の各々をビット列に対応させ、前記複数の個人情報のうち、特徴が同じ個人情報に対応するビット列を足し合わせた特徴パターンを生成する処理と、
    障害ログの少なくとも一部を前記ビット列に置き換えた置換済み障害ログを生成する処理と、
    前記置換済み障害ログのうち、前記ビット列に対応する情報を要求された場合に、前記特徴パターンに対応する前記ビット列が射影されている特徴を出力する処理と、
    をコンピュータに実行させるプログラム。

Images