JP6992437B2 - ログ記録装置、ログ記録方法、ログ復号装置、及びログ復号方法 - Google Patents

Description

本発明は、ログ記録装置、ログ記録方法、ログ復号装置、及びログ復号方法に関し、特にＳＣＳＩ（Small Computer System Interface）ログデータからの解析用ログファイルの生成に関する。

ＳＣＳＩ装置に関する障害を解析する際、装置への命令や装置からの情報が記録されたＳＣＳＩログは、ＳＣＳＩログの解析者にとって非常に有益である。ただし、ＳＣＳＩ装置と送受信した情報がそのまま記録されるため、ＳＣＳＩ装置へ記録されたユーザデータも含まれており、取り扱いには十分な注意が必要であった。特に可搬時などにＳＣＳＩログ情報の全体を暗号化することはこれまでも行われてきたが、ＳＣＳＩログの解析者に対してユーザデータが露出することを避けることは難しかった。

これまで、障害解析用データの暗号化では、可搬時の第三者への漏えいを防ぐことに主眼が置かれていた。特許文献１では、ネットワーク上のパケットデータをキャプチャした解析用の情報を、解析者のみ復号できるようにあらかじめ解析者の公開鍵で暗号化し、のちに解析者の秘密鍵で復号することが、提案されている。しかし、この手法をＳＣＳＩログに応用したとしても、解析者にはすべての情報が露出されてしまう。

また、トレースデータの取捨選択については、主にデータを削減する目的で手法が提案されており、たとえば特許文献２では取得するデータ量を削減する目的で、データの一部のみを保存する手法が提案されている。しかし、この手法をＳＣＳＩログに応用する場合、必要なデータと必要でないデータを判別することが難しく、また、障害解析では当初必要でないと判断したデータが後から必要となることもあり、単に破棄してしまっては解析に支障が出るという課題がある。

特許文献３では、計算機システムの装置間でＣＤＢ（Command Description Block）や受領時刻、応答時刻を送信する際に、転送中に情報が漏えいするのを暗号によって防ぐことが提案されている。しかしながら、この手法ではユーザデータに限って暗号化することはできず、解析者に対しては全く情報を露出させないか、すべての情報を露出させるかの二択となってしまう。

特開２００８－２３６０５８号公報 特許第５４０１８４６号公報 特開２００８－６５４３３号公報

一方、ＳＣＳＩログ採取時に記録対象をＣＤＢ部分に絞ることとして、ＳＣＳＩデータ部を記録しないこととして、ユーザデータがＳＣＳＩログの解析者に露出しないようにすることは、現在のソフトウェアでも実現されている。

しかしながら、ＳＣＳＩプロトコルではＳＣＳＩデータ部にＳＣＳＩ機器制御のための重要な情報（以降、制御データ）が含まれることも多く、ＳＣＳＩデータ部が記録されていないＳＣＳＩログでは解析できる障害に限界があった。

また、障害解析にユーザデータが必要な場合も稀にあり、ユーザデータを完全に破棄してしまうと、障害解析が行えない場合があった。

このため、通常時の障害解析時には制御データのみを解析者に露出することとし、またどうしても必要な場合、かつ、ユーザが許可した場合に限り、解析者にユーザデータも追加で露出させる、といったＳＣＳＩログ記録方法が必要とされる。

したがって本発明の目的は、ユーザデータの秘匿性と障害解析性とを両立する、ログ記録装置、ログ記録方法、ログ復号装置、及びログ復号方法を提供することにある。

前記目的を達成するため、本発明に係るログ記録装置は、
入力されるＳＣＳＩ（Small Computer System Interface）ログデータに対し、ＣＤＢ（Command Description Block）判定情報に基づいて、上記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定するＣＤＢ判定手段と、
ユーザデータに関するＳＣＳＩ要求であると上記ＣＤＢ判定手段が判定したＳＣＳＩ要求について、ＳＣＳＩ要求のユーザデータを含む部分を暗号化キーに基づいて暗号化する第１暗号化手段と、
ユーザデータに関しないＳＣＳＩ要求であると上記ＣＤＢ判定手段が判定したＳＣＳＩ要求と、上記第１暗号化手段からのユーザデータを含む部分が暗号化されたＳＣＳＩ要求とを整形し、解析用ログファイルとして出力するログ出力手段と、を含む。

また本発明に係るログ復号装置は、上記ログ記録装置が出力する上記解析用ログファイルを復号するログ復号装置であり、
上記解析用ログファイルと、ＳＣＳＩ処理装置のユーザに用意された公開鍵とを入力して、上記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号する第１復号手段を含む。

また本発明に係るログ記録方法は、
入力されるＳＣＳＩ（Small Computer System Interface）ログデータに対し、ＣＤＢ（Command Description Block）判定情報に基づいて、上記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定し、
ユーザデータに関するＳＣＳＩ要求であると判定されたＳＣＳＩ要求について、ＳＣＳＩ要求のユーザデータを含む部分を暗号化キーに基づいて暗号化し、
ユーザデータに関しないＳＣＳＩ要求であると判定されたＳＣＳＩ要求と、ユーザデータに関するＳＣＳＩ要求で、上記ユーザデータを含む部分が暗号化されたＳＣＳＩ要求とを整形し、解析用ログファイルとして出力する。

また本発明に係るログ復号方法は、上記ログ記録方法で記録された上記解析用ログファイルを復号するログ復号方法であり、
上記解析用ログファイルと、ＳＣＳＩ処理装置のユーザに用意された公開鍵とを入力して、上記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号する。

本発明によれば、ユーザデータの秘匿性と障害解析性とを両立する、ログ記録装置、ログ記録方法、ログ復号装置、及びログ復号方法を実現することができる。

上位概念の実施形態に係るログ記録装置を説明するためのブロック図である。 実施形態に係るログ記録装置、ログ復号装置、ＳＣＳＩ処理装置などを含むシステムを説明するためのブロック図である。 実施形態に係る、図２のトレース部１の構成を説明するためのブロック図である。 実施形態に係る、図２のユーザ確認部２の構成を説明するためのブロック図である。 実施形態に係る、図２の暗号解除部３の構成を説明するためのブロック図である。 図３Ａのｃｄｂ判定テーブル１２の具体例を示すテーブルである。 図２や図３Ａのトレース部１の動作を説明するためのフローチャートである。 図３Ａのトレース部１のＳＣＳＩログ入力手段１１の働きを説明するための概念図である。 図３Ａのトレース部１のログ出力手段１７の働きを説明するための概念図である。 図２や図３Ｂのユーザ確認部２の動作を説明するためのフローチャートである。 図３Ｂのログ出力手段２９の働きと返送用ログファイル４３の生成を説明するためのフローチャートである。 図２や図３Ｃの暗号解除部３の動作を説明するためのフローチャートである。 図３Ｃのログ出力手段３５の働きと暗号解除済みログファイル４４の生成を説明するためのフローチャートである。 図２のシステムの全体動作を説明するためのシーケンスチャートである。 第２実施形態に係る、多ユーザ対応トレース部９の構成を説明するためのブロック図である。 図１３Ａの多ユーザ対応トレース部９へ入力されるＳＣＳＩログデータの一例と、多ユーザ対応トレース部９で生成される解析用ログファイルを説明するための概念図である。 他の実施形態に係る、ログ記録プログラムや復号プログラムを実行する情報処理装置の構成を示すブロック図である。

本発明の実施形態が対象とするＳＣＳＩログデータには、複数のＳＣＳＩ要求の記録がされている。記録されるＳＣＳＩ要求は、ＣＤＢ部とＳＣＳＩデータ部のペアからなる。ＣＤＢ部（の先頭バイト）は、読み込み、装置識別、書き込み、装置状態確認など、そのＳＣＳＩ要求が何かを表している。ＳＣＳＩデータ部には、ＳＣＳＩ要求が読み込みや書き込みなどのユーザデータに関するものの場合にはユーザデータが含まれており、ＳＣＳＩ要求が装置識別や装置状態確認などのユーザデータに関しないものの場合には制御データが含まれている。

本発明の好ましい実施形態について、図面を参照しながら詳細に説明する。具体的な実施形態について説明する前に、上位概念の実施形態に係るログ記録装置を説明する。図１は、上位概念の実施形態に係るログ記録装置を説明するためのブロック図である。

図１のログ記録装置は、ＳＣＳＩ（Small Computer System Interface）ログデータから解析用ログファイルを生成して出力する。図１のログ記録装置は、ＣＤＢ（Command Description Block）判定手段１３と、第１暗号化手段の一例としての暗号化手段１６と、ログ出力手段１７と、を含む。

ＣＤＢ判定手段１３は、入力されるＳＣＳＩログデータに対し、ＣＤＢ判定情報に基づいて、ＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定する。

暗号化手段１６は、ＳＣＳＩ要求がユーザデータに関すると上記ＣＤＢ判定手段１３が判定したＳＣＳＩ要求について、ＳＣＳＩログデータのＳＣＳＩデータ部を、暗号化キーに基づいて暗号化する。

ログ出力手段１７は、ＳＣＳＩ要求がユーザデータに関しないと上記ＣＤＢ判定手段１３が判定したＳＣＳＩ要求と、上記暗号化手段１６からのユーザデータを含む部分が暗号化されたＳＣＳＩ要求と、を整形し、解析用ログファイルとして出力する。

図１のログ記録装置によれば、入力されるＳＣＳＩログデータのＳＣＳＩプロトコルをＣＤＢ単位でトレースし、ユーザデータに関するＳＣＳＩ要求についてはＳＣＳＩデータ部を、暗号化キーに基づいて暗号化し、ユーザデータに関しないＳＣＳＩ要求については暗号化せずに、解析用ログファイルを生成する。これにより、ＳＣＳＩ処理装置の障害解析時には、ＳＣＳＩ処理装置の解析者へユーザデータが露出することを防ぎつつ、ＳＣＳＩ処理装置の障害解析を実現することができる。

ＳＣＳＩログデータのうちＣＤＢ部分やユーザデータに関しないＳＣＳＩ要求だけでＳＣＳＩ処理装置の障害原因を特定できるケースでは、図１のログ記録装置が出力する解析用ログファイルでＳＣＳＩ処理装置の解析者はＳＣＳＩ処理装置の障害原因を特定することができる。したがって、ＳＣＳＩログデータについて、ユーザデータの秘匿性と障害解析性とを両立するログ記録装置及びログ記録方法を実現できる。以下、より具体的な実施形態について説明する。

〔第１実施形態〕
次に、本発明の第１実施形態によるログ記録装置、ログ記録方法、ログ復号装置、及びログ復号方法について、説明する。図２は、実施形態に係るログ記録装置、ログ復号装置、ＳＣＳＩ処理装置などを含むシステムを説明するためのブロック図である。図３Ａは、実施形態に係る、図２のトレース部１の構成を説明するためのブロック図である。図３Ｂは、実施形態に係る、図２のユーザ確認部２の構成を説明するためのブロック図である。図３Ｃは、実施形態に係る、図２の暗号解除部３の構成を説明するためのブロック図である。

図２は、実施形態に係るログ記録装置、ログ復号装置、ＳＣＳＩ処理装置などを含むシステムの全体像を示している。図２のシステムは、実施形態のログ記録装置の一例としてのトレース部１と、ログ復号装置の一例としてのユーザ確認部２と、他のログ復号装置の一例としての暗号解除部３と、を含む。ここで、図２のトレース部１と、ユーザ確認部２と、暗号解除部３とはそれぞれ別の場所に設置しても良い。

ログ記録装置の一例としてのトレース部１は、ＳＣＳＩ処理装置からＳＣＳＩログデータを受け取る。図２に示すように一般的なＳＣＳＩ処理装置７は、ＳＣＳＩ処理層７２と、それより上位の処理を行うアプリケーション層７１と、それより下位の処理を行うインタフェース層７３からなる。本実施形態では、このうちＳＣＳＩ処理層７２にて出力されるＳＣＳＩログデータ４１を扱う。

（トレース部）
図２及び図３Ａのトレース部１はＳＣＳＩログデータ４１を入力すると、必要なデータのみＳＣＳＩ処理装置７のユーザの公開鍵５１で暗号化したうえで、解析用ログファイル４２として出力する。

図３Ａのトレース部１は実施形態のログ記録装置の一例であり、ＳＣＳＩ（Small Computer System Interface）ログ入力手段１１と、ＣＤＢ（Command Description Block）判定手段１３と、ｃｄｂ判定テーブル１２と、を含む。さらにトレース部１は、暗号化キー登録手段１４と、暗号化キー保持手段１５と、暗号化手段１６と、ログ出力手段１７と、を含む。

ＳＣＳＩログ入力手段１１は、ＳＣＳＩ処理層７２から出力されるデータ形式に応じて、ＳＣＳＩログデータ４１のＣＤＢ部とＳＣＳＩデータ部をＣＤＢ判定手段１３へ送信する機能を有する。ｃｄｂ判定テーブル１２は、ＣＤＢの先頭バイト（０～２５５）を記録するテーブルである。ｃｄｂ判定テーブル１２は、たとえば図４のような情報を記録したテーブルである。ＣＤＢ判定手段１３は、ＣＤＢの先頭バイトをｃｄｂ判定テーブル１２と比較して、ＳＣＳＩ要求が読み込みや書き込みなどのユーザデータに関するものか、装置識別や装置状態確認などのユーザデータに関しないものかを判定し、暗号化手段１６へ送信する機能を持つ。暗号化キー登録手段１４は、ファイルからＳＣＳＩ処理装置７のユーザの公開鍵５１の入力を受け付け、暗号化キー保持手段１５へ保存する機能を持つ。暗号化キー保持手段１５は、暗号化キーを保持するためのストレージである。暗号化手段１６は、暗号化キー保持手段１５に保持された暗号化キーを使用し、公開鍵認証方式を使用してＳＣＳＩデータを暗号化する機能を持つ。ログ出力手段１７は、ＣＤＢとＳＣＳＩデータ、暗号化済みＳＣＳＩデータを整形して、解析用ログファイル４２を出力する機能を持つ。

（ユーザ確認部）
図２及び図３Ｂのユーザ確認部２は、ＳＣＳＩ処理装置７のユーザが使用するユニットである。障害解析にユーザデータが必要と解析者が考えた場合、解析者はＳＣＳＩ処理装置７のユーザへ、解析用ログファイル４２と、解析者の公開鍵５３とを送信する。ユーザ確認部２は、解析用ログファイル４２とユーザの秘密鍵５２、解析者の公開鍵５３を入力すると、ＳＣＳＩデータを解析者へ提供しても良いか確認の後、解析者の公開鍵５３で再度暗号化した返送用ログファイル４３を出力する。返送用ログファイル４３は、障害解析の解析者へと返送されて障害解析に活用される。

図３Ｂのユーザ確認部２は実施形態のログ復号装置の一例であり、暗号データ入力手段２１と、第１復号手段の一例としての復号手段２４と、復号データ確認手段２５と、第２暗号化手段の一例としての暗号化手段２８と、ログ出力手段２９と、を含む。さらに図３Ｂのユーザ確認部２は、復号キー入力手段２２と、復号キー保持手段２３と、暗号化キー入力手段２６と、暗号化キー保持手段２７と、を含む。

暗号データ入力手段２１は、解析用ログファイル４２からＣＤＢと未処理のＳＣＳＩデータ、及び、暗号化済みのＳＣＳＩデータを判別する機能を有する。復号キー入力手段２２は、ファイルから秘密鍵５２の入力を受け付けて、復号キー保持手段２３へ保存する機能を持つ。復号キー保持手段２３は、復号キーを保持するためのストレージである。復号手段２４は、復号キー保持手段２３に保持された復号キーを使用し、公開鍵認証方式を使用してＳＣＳＩデータを復号する機能を持つ。復号データ確認手段２５は、たとえばコマンドラインプロンプトやダイアログボックスなどのいわゆるユーザインタフェースを通じて、ユーザに復号済みのＳＣＳＩデータを提示し、解析者への提供可否を確認する機能を有する。暗号化キー入力手段２６は、ファイルから解析者の公開鍵５３の入力を受け付けて、暗号化キー保持手段２７へ保存する機能を持つ。暗号化キー保持手段２７は、暗号化キーを保持するためのストレージである。暗号化手段２８は、暗号化キー保持手段２７に保持された暗号化キーを使用し、公開鍵認証方式を使用してＳＣＳＩデータを再度暗号化する機能を持つ。ログ出力手段２９は、ＣＤＢとＳＣＳＩデータ、再暗号化済みＳＣＳＩデータ、破棄されたＳＣＳＩデータを整形して、返送用ログファイル４３を出力する機能を持つ。

（暗号解除部）
図２及び図３Ｃの暗号解除部３は実施形態の他のログ復号装置の一例であり、障害解析の解析者が使用するユニットである。暗号解除部３は、返送用ログファイル４３と解析者の秘密鍵５４を入力すると、暗号解除済みログファイル４４を出力する。

図３Ｃの暗号解除部３は、暗号データ入力手段３１と、第２復号手段の一例としての復号手段３４と、復号キー入力手段３２と、復号キー保持手段３３と、ログ出力手段３５と、を含む。

暗号データ入力手段３１は、返送用ログファイル４３からＣＤＢとＳＣＳＩデータ、暗号化済みのＳＣＳＩデータ、破棄されたＳＣＳＩデータを判別する機能を有する。復号キー入力手段３２は、ファイルから秘密鍵５４の入力を受け付けて、復号キー保持手段３３へ保存する機能を持つ。復号キー保持手段３３は、復号キーを保持するためのストレージである。復号手段３４は、復号キー保持手段３３に保持された復号キーを使用して、公開鍵認証方式を使用してＳＣＳＩデータを復号する機能を持つ。ログ出力手段３５は、ＣＤＢとＳＣＳＩデータを整形して暗号解除済みログファイル４４を出力する機能を持つ。

（トレース部の動作）
図５を用いて、本実施形態のトレース部１の動作の概要を説明する。ＳＣＳＩログ入力手段１１は、ＳＣＳＩログデータ４１を入力として受け取り、ＣＤＢ及びＳＣＳＩデータを取得しＣＤＢ判定手段１３へ送信する（ステップＳ１１）。この際、図６のように各ＣＤＢと対応するＳＣＳＩデータのペアを作成し、ＣＤＢ判定手段１３へペアごとに送信する。ＣＤＢ判定手段１３では、ＳＣＳＩログ入力手段１１から受け取ったＣＤＢの先頭バイトを抽出し（ステップＳ１２）、ｃｄｂ判定テーブル１２を検索して、判定テーブルに含まれる場合は暗号化を、判定テーブルに含まれない場合は未処理を決定する（ステップＳ１３）。暗号化が決定されたペアは暗号化手段１６へ送信され、未処理が決定されたペアはログ出力手段１７へ送信される。

暗号化手段１６では、あらかじめ登録されたユーザの公開鍵５１を用いて、ＳＣＳＩデータ部を暗号化する（ステップＳ１４）。暗号化は公開鍵暗号方式であれば良く、たとえばＲＳＡ暗号などを用いる。暗号化したＳＣＳＩデータは、ＣＤＢとあわせてログ出力手段１７へ送信する。

ログ出力手段１７は、暗号化手段１６又はＣＤＢ判定手段１３からＣＤＢとＳＣＳＩデータのペアを取得し、整形して解析用ログファイル４２として出力する（ステップＳ１５）。その際は、図７のように解析用ログファイル４２では、暗号データの場合に「ＥＤＡＴＡ」、未処理データの場合に「ＤＡＴＡ」と記録し、ＳＣＳＩデータが暗号化済みのものか、未処理のものかが区別できるように出力する。

解析者は解析用ログファイル４２を用いて障害解析を実施するが、暗号化済みＳＣＳＩデータがどうしても必要となった場合は、ＳＣＳＩ処理装置７のユーザに復号化を依頼する。その際、解析者は自身の公開鍵５３と、解析用ログファイル４２を、ＳＣＳＩ処理装置７のユーザに提供する。

ＳＣＳＩ処理装置７のユーザは、解析者から取得した解析用ログファイル４２と、解析者の公開鍵５３、自身の秘密鍵５２を、ユーザ確認部２へ入力することで返送用ログファイル４３が取得できる。

（ユーザ確認部の動作）
図８を用いて、本実施形態のユーザ確認部２の動作を説明する。暗号データ入力手段２１は、解析用ログファイル４２を読み取り、ＣＤＢとＳＣＳＩデータを取得する（ステップＳ２１）。その際、ＤＡＴＡと記録された部分は未処理のＳＣＳＩデータ、ＥＤＡＴＡと記録された部分は暗号化済みのＳＣＳＩデータとして、区別して扱う。取得したＣＤＢとＳＣＳＩデータは、次に復号手段２４で処理が行われる。

復号手段２４では、暗号データ入力手段２１から取得したデータが、暗号化済みＳＣＳＩデータであるか未処理のＳＣＳＩデータであるか判断する（ステップＳ２２）。暗号化済みＳＣＳＩデータの場合にはユーザの秘密鍵５２を使用して、復号処理を実施し（ステップＳ２３）、復号データ確認手段２５へ復号済みのＳＣＳＩデータを送信する。また、取得したデータが未処理のＳＣＳＩデータの場合には、ログ出力手段２９へ送信する。

復号データ確認手段２５では、復号済みＳＣＳＩデータをコマンドプロンプトやダイアログボックスなどのユーザインタフェースを通じてユーザに表示して提示し（ステップＳ２４）、解析者に露出して良い情報か否かの確認を促す。ユーザが解析者に露出可と指示したＳＣＳＩデータはＣＤＢとともに暗号化手段２８へ送信される。ユーザが解析者に露出不可と指示したＳＣＳＩデータは破棄され、ＣＤＢのみがログ出力手段２９へ送信される（ステップＳ２５）。暗号化手段２８は、解析者の公開鍵５３を用いて、復号データ確認手段２５から受信した復号済みのＳＣＳＩデータを再度暗号化する（ステップＳ２６）。再度暗号化されたＳＣＳＩデータは、ＣＤＢとともにログ出力手段２９へ送信される。ログ出力手段２９は、復号手段２４又は復号データ確認手段２５又は暗号化手段２８から受信した、ＣＤＢ及び再暗号化ＳＣＳＩデータ又は未処理ＳＣＳＩデータを、返送用ログファイル４３へ出力する（ステップＳ２７）。その際は、図９のように返送用ログファイル４３では、再暗号データの場合に「ＥＤＡＴＡ２」、未処理データの場合に「ＤＡＴＡ」、ユーザによってＳＣＳＩデータが破棄された場合は「ＮＯＤＡＴＡ」と記録し、ＳＣＳＩデータが再暗号化済みのものか、未処理のものか、破棄されたか、区別できるように出力する。

ユーザは、返送用ログファイル４３を解析者へ送付する。解析者は返送用ログファイル４３と自身の秘密鍵５４を暗号解除部３へ入力し、暗号解除済みログファイル４４を得る。

（暗号解除部の動作）
図１０を用いて、本実施形態の暗号解除部３の動作を説明する。暗号データ入力手段３１は、返送用ログファイル４３を読み取り、ＣＤＢとＳＣＳＩデータを取得する（ステップＳ３１）。その際、ＤＡＴＡと記録された部分は未処理のＳＣＳＩデータ、ＥＤＡＴＡ２と記録された部分は再暗号化済みのＳＣＳＩデータ、ＮＯＤＡＴＡと記録された部分は破棄されたデータとして、区別して扱う。取得したＣＤＢとＳＣＳＩデータは、次に復号手段３４で処理が行われる。

復号手段３４では、暗号データ入力手段３１から取得したデータが破棄されたデータであるか未処理のＳＣＳＩデータであるか判断する（ステップＳ３２）。暗号データ入力手段３１から取得したデータが破棄されたデータであれば、ＣＤＢのみをログ出力手段３５へ送信する。続いて、取得したデータが未処理のＳＣＳＩデータの場合は、そのままログ出力手段３５へ送信する。さらに、取得したデータが再暗号化済みＳＣＳＩデータであるか判断する（ステップＳ３３）。取得したデータが再暗号化済みＳＣＳＩデータの場合には、解析者の秘密鍵５４を使用して復号処理を実施し（ステップＳ３４）、ログ出力手段３５へ復号済みのＳＣＳＩデータを送信する。ログ出力手段３５は、復号手段３４から受信した、ＣＤＢ及び復号済みＳＣＳＩデータ又は未処理ＳＣＳＩデータを、暗号解除済みログファイル４４へ出力する（ステップＳ３５）。その際は、図１１のように復号済みデータの場合に「ＤＤＡＴＡ」、未処理データの場合に「ＤＡＴＡ」、ユーザによってＳＣＳＩデータが破棄された場合は「ＮＯＤＡＴＡ」と記録し、解析者に取り扱いに注意を要するデータ部分がわかるように出力する。

（本実施形態による効果）
図１２のシステムのシーケンスチャートを参照して、本実施形態の効果を説明する。図１２は本実施形態で説明した各装置（トレース部１、ユーザ確認部２、暗号解除部３）と、解析者とユーザ、及び各ログファイル（ＳＣＳＩログデータ４１、解析用ログファイル４２、返送用ログファイル４３、暗号解除済みログファイル４４）や各鍵（ユーザの公開鍵５１、ユーザの秘密鍵５２、解析者の公開鍵５３、解析者の秘密鍵５４）の関係を図示したものである。

障害解析においてＳＣＳＩログデータ４１が必要となった場合、これまでは解析者がＳＣＳＩログデータ４１相当の情報を直接見る必要があった。ただ、ＳＣＳＩログデータ４１には、ユーザが解析者に露出したくない情報が含まれている可能性があり、また、ユーザが露出したくない情報は一般的な装置障害等の解析時にはあまり必要のない情報であった。

そこで本実施形態では、あらかじめユーザから預かったユーザの公開鍵５１をトレース部１へ登録することで、ＳＣＳＩ処理装置７から出力されるＳＣＳＩログデータ４１を本実施形態のトレース部１によって暗号化し、解析用ログファイル４２を得ることができる。

解析用ログファイル４２には、一般的なＳＣＳＩ障害の解析に必要なＳＣＳＩプロトコル上重要な情報は平文で含まれており、解析者は通常の障害であれば十分に解析することが可能である。また、機密度の高いユーザデータは暗号化されて含まれており、解析者は内容を確認することができない。従って通常時は解析用ログファイル４２を使用することで、解析者に秘密情報を露出することなく、十分な障害解析が可能である。これが本実施形態の効果の１である。

次に、障害によってはやはりどうしてもユーザデータの解析が必要となる障害も、稀に存在する。そのような場合には、解析者は取得した解析用ログファイル４２と自身の公開鍵５３を、ユーザに送付する。ユーザは、解析者から受け取った解析用ログファイル４２と解析者の公開鍵５３、自身の秘密鍵５２をユーザ確認部２へ入力することで、解析用ログファイル４２に含まれる機密性の高いユーザデータの内容を確認することができる。この際、やはりどうしても解析者に露出することができない情報が含まれる場合には、その部分の情報を破棄することができる。これが本実施形態の効果の２である。すなわち、ユーザは、ユーザデータにどうしても解析者に露出できない情報が含まれる場合には、解析者に情報が露出する前に任意に該当情報を破棄できる。

一方、解析者に露出しても問題が無い情報と判断した情報は、処理を継続し返送用ログファイル４３を得て、解析者に送付する。解析者は、暗号解除部３へ返送用ログファイル４３と自身の秘密鍵５４を入力することで、暗号解除済みログファイル４４を得ることができる。暗号解除済みログファイル４４には、解析に必要なユーザデータが復号されており、解析者は障害解析を行うことができる。これが本実施形態の効果の３である。すなわち、解析者はユーザの許可が得られれば、解析に必要なユーザデータを平文で入手することが可能である。

〔第２実施形態〕
次に、本発明の第２実施形態によるログ記録装置、ログ記録方法、ログ復号装置、及びログ復号方法について、説明する。ひとつのサーバに複数のストレージ装置を接続している場合や、いわゆるストレージアレイ装置などのように、一つのストレージ装置が複数のディスク装置からなる場合には複数ユーザが相乗りしている場合もある。このような場合には、図２や図３Ａのトレース部１を図１３Ａ及び図１３Ｂに示すような多ユーザ対応トレース部９に変更することが有効である。図１３Ａは、第２実施形態に係る、多ユーザ対応トレース部９の構成を説明するためのブロック図である。図１３Ｂは、図１３Ａの多ユーザ対応トレース部９へ入力されるＳＣＳＩログデータの一例と、多ユーザ対応トレース部９で生成される解析用ログファイルを説明するための概念図である。本実施形態では、ログ復号装置、及びログ復号方法は第１実施形態と同様であり、図２のシステムとほぼ同様なシステムを用いることとして、その詳細な説明は省略することとする。第２実施形態としては、第１実施形態と相違点する部分を中心に、説明することとする。

図１３Ａ及び図１３Ｂの多ユーザ対応トレース部９はＳＣＳＩログデータ８１を入力すると、必要なデータのみＳＣＳＩ処理装置７のユーザの公開鍵５１で暗号化したうえで、解析用ログファイル８２として出力する。ＳＣＳＩログデータ８１は、図２の一般的なＳＣＳＩ処理装置７のＳＣＳＩ処理層７２にて出力されるＳＣＳＩログデータ４１と同様なものであるが、複数のユーザのログデータがその中に含まれている。

図１３Ａの多ユーザ対応トレース部９は、ＳＣＳＩ（Small Computer System Interface）ログ入力手段９１と、ＣＤＢ（Command Description Block）判定手段９３と、ｃｄｂ判定テーブル９２と、を含む。さらに多ユーザ対応トレース部９は、ユーザ情報登録手段９４と、ユーザ情報保持テーブル９５と、暗号化手段９６と、ログ出力手段９７と、を含む。

すなわち、取得するＳＣＳＩログデータ８１に装置を識別する情報を含める。さらにユーザ情報登録手段９４でも、装置を識別する情報と公開鍵との組をユーザＡ情報１０１やユーザＢ情報１０２として受け取る。受け取ったユーザＡ情報１０１やユーザＢ情報１０２は、例えば装置を識別する情報ＡＡＡＡと公開鍵Ａの組や、装置を識別する情報ＢＢＢＢと公開鍵Ｂの組といったように、装置を識別する情報と公開鍵との組としてユーザ情報保持テーブル９５に保存する。ＳＣＳＩログ入力手段９１及びＣＤＢ判定手段９３は、ＣＤＢとＳＣＳＩデータに追加して対象装置を識別する情報をあわせて保持する点を除き、第１実施形態のＳＣＳＩログ入力手段１１及びＣＤＢ判定手段１３と同一である。また、ｃｄｂ判定テーブル９２は、第１実施形態のｃｄｂ判定テーブル１２と同じでよい。暗号化手段９６は、ＣＤＢ判定手段９３からＣＤＢ、ＳＣＳＩデータに追加して装置識別情報を受け取り、受け取った装置識別情報をもとにユーザ情報保持テーブル９５を検索し、暗号化に使用する公開鍵を選択する。ログ出力手段９７は、装置識別情報をあわせて出力する点以外は、第１実施形態のログ出力手段１７と同一である。

（本実施形態による効果）
図１３Ａ及び図１３Ｂの多ユーザ対応トレース部９によれば、入力されるＳＣＳＩログデータ８１のＳＣＳＩプロトコルをＣＤＢ単位でトレースし、ＳＣＳＩログデータ８１のうちＳＣＳＩデータ部を暗号化キーに基づいて暗号化し、ＣＤＢ部分については暗号化せずに、解析用ログファイル８２を生成する。これにより第１実施形態と同様に、ＳＣＳＩ処理装置の障害解析時には、ＳＣＳＩ処理装置の解析者へユーザデータが露出することを防ぎつつ、ＳＣＳＩ処理装置の障害解析を実現することができる。

ＳＣＳＩログデータ８１のうちＣＤＢ部分だけでＳＣＳＩ処理装置の障害原因を特定できるケースでは、解析用ログファイル８２でＳＣＳＩ処理装置の解析者はＳＣＳＩ処理装置の障害原因を特定することができる。このようにして得られた解析用ログファイル８２は、第１実施形態の解析用ログファイル４２と同様に、通常の解析には十分に使用可能である。したがって第１実施形態と同様に、ＳＣＳＩログデータ８１について、ユーザデータの秘匿性と障害解析性とを両立するログ記録装置及びログ記録方法を実現できる。

さらに本実施形態では、装置を識別する情報とユーザ情報との組が、解析用ログファイル４２に含まれている。ひとつのサーバに複数のストレージ装置を接続している場合や、ストレージアレイ装置などのように、一つのストレージ装置が複数のディスク装置からなる場合でも、全てのユーザのユーザデータの秘匿性を維持しつつ、ＳＣＳＩログが記録される。

また、どうしても必要となった場合には、第１実施形態で説明した解析用ログファイル４２と同様に、解析用ログファイル８２をユーザへ送付し、第１実施形態で説明したユーザ確認部２を使用して返送用ログファイル４３を作成してもらい、第１実施形態で説明した暗号解除部３を使用して、必要なユーザデータの暗号を解除することも可能である。

その際、本実施形態ではユーザごとに異なる公開鍵を使用しているため、ユーザデータが異なるユーザに露出されることを防止できる。

〔他の実施形態〕
以上、好ましい実施形態を説明したが、本発明はこれに限定されるものではない。上述した第１実施形態のトレース部１や第２実施形態の多ユーザ対応トレース部９は、情報処理装置に、ＣＤＢ判定手段、暗号化手段、ログ出力手段などの機能を実現させるログ記録プログラムを読み込んで実行させることによっても、実現され得る。第１実施形態のユーザ確認部２は、情報処理装置に、解析用ログファイル４２の解析者の公開鍵を入力して、復号化された解析用ログファイルのＳＣＳＩ要求のユーザデータを含む部分を暗号化する暗号化手段などの機能を実現させる暗号化プログラムを読み込んで実行させることによっても、実現され得る。第１実施形態の暗号解除部３は、情報処理装置に、返送用ログファイル４３の解析者の秘密鍵を入力して、暗号化した解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号する復号手段などの機能を実現させる復号プログラムを読み込んで実行させることによっても、実現され得る。

図１４は、他の実施形態に係る、ログ記録プログラムや復号プログラムを実行する情報処理装置の構成を示すブロック図である。図１４の情報処理装置は、ＣＰＵ（Central Processing Unit）１１１と、メモリ１１２と、を含む。メモリ１１２が記憶するＣＤＢ判定手段、暗号化手段、ログ出力手段などの機能を実現させるログ記録プログラムを読み込んで、ＣＰＵ１１１で実行させることによっても、第１実施形態のトレース部１や第２実施形態の多ユーザ対応トレース部９は実現され得る。

また、このようなプログラムは、プログラムを記録した記録媒体の形態で、流通され得る。このプログラムは、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記録デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disc Read Only Memory）などの光学記録媒体などの形態で、流通され得る。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）入力されるＳＣＳＩ（Small Computer System Interface）ログデータに対し、ＣＤＢ（Command Description Block）判定情報に基づいて、前記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定するＣＤＢ判定手段と、
ユーザデータに関するＳＣＳＩ要求であると前記ＣＤＢ判定手段が判定したＳＣＳＩ要求について、ＳＣＳＩ要求のユーザデータを含む部分を暗号化キーに基づいて暗号化する第１暗号化手段と、
ユーザデータに関しないＳＣＳＩ要求であると前記ＣＤＢ判定手段が判定したＳＣＳＩ要求と、前記第１暗号化手段からのユーザデータを含む部分が暗号化されたＳＣＳＩ要求とを整形し、解析用ログファイルとして出力するログ出力手段と、を含むログ記録装置。
（付記２）前記ＣＤＢ判定情報は、ＣＤＢの先頭バイトを記録したｃｄｂ判定テーブルである、付記１に記載のログ記録装置。
（付記３）前記ＣＤＢ判定手段は、入力されるＳＣＳＩログデータと、前記ｃｄｂ判定テーブルが記録するＣＤＢの先頭バイトとを比較して、前記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定する、付記２に記載のログ記録装置。
（付記４）前記暗号化キーは、ＳＣＳＩ処理装置のユーザごとに用意された暗号化キーである、付記１乃至３のいずれか一つに記載のログ記録装置。
（付記５）ＳＣＳＩ処理装置のユーザごとに用意された公開鍵に基づいて、前記ユーザごとに異なる暗号化を前記第１暗号化手段へ指示するユーザ情報保持テーブルをさらに含む、付記４に記載のログ記録装置。
（付記６）付記４又は付記５に記載のログ記録装置が出力する前記解析用ログファイルを復号するログ復号装置であり、
前記解析用ログファイルと、前記ユーザごとの秘密鍵とを入力して、前記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号する第１復号手段を含む、ログ復号装置。
（付記７）前記解析用ログファイルの解析者の公開鍵を入力して、復号された前記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含む部分を暗号化する第２暗号化手段をさらに含む、付記６に記載のログ復号装置。
（付記８）前記解析用ログファイルの解析者の秘密鍵を入力して、前記第２暗号化手段が暗号化した前記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号する第２復号手段を含む、付記７に記載のログ復号装置。
（付記９）入力されるＳＣＳＩ（Small Computer System Interface）ログデータに対し、ＣＤＢ（Command Description Block）判定情報に基づいて、前記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定し、
ユーザデータに関するＳＣＳＩ要求であると判定されたＳＣＳＩ要求について、ＳＣＳＩ要求のユーザデータを含む部分を暗号化キーに基づいて暗号化し、
ユーザデータに関しないＳＣＳＩ要求であると判定されたＳＣＳＩ要求と、ユーザデータに関するＳＣＳＩ要求で、前記ユーザデータを含む部分が暗号化されたＳＣＳＩ要求とを整形し、解析用ログファイルとして出力する、ログ記録方法。
（付記１０）前記ＣＤＢ判定情報は、ＣＤＢの先頭バイトを記録したｃｄｂ判定テーブルである、付記９に記載のログ記録方法。
（付記１１）入力されるＳＣＳＩログデータと、前記ｃｄｂ判定テーブルが記録するＣＤＢの先頭バイトとを比較して、前記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定する、付記１０に記載のログ記録方法。
（付記１２）前記暗号化キーは、ＳＣＳＩ処理装置のユーザごとに用意された暗号化キーである、付記９乃至１１のいずれか一つに記載のログ記録方法。
（付記１３）前記暗号化キーに基づいた暗号化では、ＳＣＳＩ処理装置のユーザごとに用意された公開鍵に基づいて、前記ユーザごとに異なる暗号化が指示される、付記１２に記載のログ記録方法。
（付記１４）付記１２又は付記１３に記載のログ記録方法で記録された前記解析用ログファイルを復号するログ復号方法であり、
前記解析用ログファイルと、前記ユーザごとの秘密鍵とを入力して、前記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号する、ログ復号方法。
（付記１５）前記解析用ログファイルの解析者の公開鍵を入力して、復号された前記解析用ログファイルの前記ユーザデータを含む部分を暗号化する、付記１４に記載のログ復号方法。
（付記１６）前記解析用ログファイルの解析者の秘密鍵を入力して、暗号化された前記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号する、付記１５に記載のログ復号方法。
（付記１７）ＳＣＳＩ（Small Computer System Interface）ログデータから解析用ログファイルを生成して出力するログ記録プログラムであって、
コンピュータを、
入力される前記ＳＣＳＩログデータに対し、ＣＤＢ（Command Description Block）判定情報に基づいて、前記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定するＣＤＢ判定手段と、
ユーザデータに関するＳＣＳＩ要求であると前記ＣＤＢ判定手段が判定したＳＣＳＩ要求について、ＳＣＳＩ要求のユーザデータを含む部分を暗号化キーに基づいて暗号化する第１暗号化手段と、
ユーザデータに関しないＳＣＳＩ要求であると前記ＣＤＢ判定手段が判定したＳＣＳＩ要求と、前記第１暗号化手段からのユーザデータを含む部分が暗号化されたＳＣＳＩ要求とを整形し、前記解析用ログファイルとして出力するログ出力手段と、して機能させるログ記録プログラム。

１ トレース部
１１ ＳＣＳＩログ入力手段
１２ ｃｄｂ判定テーブル
１３ ＣＤＢ判定手段
１４ 暗号化キー登録手段
１５ 暗号化キー保持手段
１６ 暗号化手段
１７ ログ出力手段
２ ユーザ確認部
２１ 暗号データ入力手段
２２ 復号キー入力手段
２３ 復号キー保持手段
２４ 復号手段
２５ 復号データ確認手段
２６ 暗号化キー入力手段
２７ 暗号化キー保持手段
２８ 暗号化手段
２９ ログ出力手段
３ 暗号解除部
３１ 暗号データ入力手段
３２ 復号キー入力手段
３３ 復号キー保持手段
３４ 復号手段
３５ ログ出力手段
９ 多ユーザ対応トレース部
９１ ＳＣＳＩログ入力手段
９２ ｃｄｂ判定テーブル
９３ ＣＤＢ判定手段
９４ ユーザ情報登録手段
９５ ユーザ情報保持テーブル
９６ 暗号化手段
９７ ログ出力手段

Claims (7)

1. 入力されるＳＣＳＩ（Small Computer System Interface）ログデータに対し、ＣＤＢ（Command Description Block）判定情報に基づいて、前記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定するＣＤＢ判定手段と、
   ユーザデータに関するＳＣＳＩ要求であると前記ＣＤＢ判定手段が判定したＳＣＳＩ要求について、ＳＣＳＩ要求のユーザデータを含む部分をＳＣＳＩ処理装置のユーザごとに用意された暗号化キーに基づいて暗号化する第１暗号化手段と、
   ユーザデータに関しないＳＣＳＩ要求であると前記ＣＤＢ判定手段が判定したＳＣＳＩ要求と、前記第１暗号化手段からのユーザデータを含む部分が暗号化されたＳＣＳＩ要求とを整形し、解析用ログファイルとして出力するログ出力手段と、を含むログ記録装置が出力する前記解析用ログファイルを復号するログ復号装置であり、
   前記解析用ログファイルと、前記ユーザごとの秘密鍵とを入力して、前記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号する第１復号手段と、
   前記解析用ログファイルの解析者の公開鍵を入力して、復号された前記解析用ログファイルの前記ユーザデータを含む部分を暗号化する第２暗号化手段と、を含むログ復号装置。
2. 前記ＣＤＢ判定情報は、ＣＤＢの先頭バイトを記録したｃｄｂ判定テーブルである、請求項１に記載のログ復号装置。
3. 前記ＣＤＢ判定手段は、入力されるＳＣＳＩログデータと、前記ｃｄｂ判定テーブルが記録するＣＤＢの先頭バイトとを比較して、前記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定する、請求項２に記載のログ復号装置。
4. ＳＣＳＩ処理装置のユーザごとに用意された公開鍵に基づいて、前記ユーザごとに異なる暗号化を前記第１暗号化手段へ指示するユーザ情報保持テーブルをさらに含む、請求項１乃至３のいずれかに記載のログ復号装置。
5. 前記解析用ログファイルの解析者の秘密鍵を入力して、前記第２暗号化手段が暗号化した前記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号する第２復号手段を含む、請求項４に記載のログ復号装置。
6. 入力されるＳＣＳＩ（Small Computer System Interface）ログデータに対し、ＣＤＢ（Command Description Block）判定情報に基づいて、前記ＳＣＳＩログデータのＳＣＳＩ要求がユーザデータに関するものか関しないものかを判定し、
   ユーザデータに関するＳＣＳＩ要求であると判定されたＳＣＳＩ要求について、ＳＣＳＩ要求のユーザデータを含む部分をＳＣＳＩ処理装置のユーザごとに用意された暗号化キーに基づいて暗号化し、
   ユーザデータに関しないＳＣＳＩ要求であると判定されたＳＣＳＩ要求と、ユーザデータに関するＳＣＳＩ要求で、前記ユーザデータを含む部分が暗号化されたＳＣＳＩ要求とを整形し、解析用ログファイルとして出力する、ログ記録方法で記録された前記解析用ログファイルを復号するログ復号方法であり、
   前記解析用ログファイルと、前記ユーザごとの秘密鍵とを入力して、前記解析用ログファイルのＳＣＳＩ要求のうちユーザデータを含み暗号化された部分を復号し、
   前記解析用ログファイルの解析者の公開鍵を入力して、復号された前記解析用ログファイルの前記ユーザデータを含む部分を暗号化する、ログ復号方法。
7. 前記ＣＤＢ判定情報は、ＣＤＢの先頭バイトを記録したｃｄｂ判定テーブルである、請求項６に記載のログ復号方法。

Images