JP2001101049A - ファイル復元装置 - Google Patents

Abstract

(57)【要約】 【課題】 入力データファイルが未知の形式であっても
データファイルの内容を見たい。 【解決手段】 形式情報データベース２とデータ照合処
理装置４と復元処理装置５により入力データファイルを
復元できない場合、特徴解析処理装置６により入力デー
タファイルの特徴を解析し、形式推定処理装置７により
解析情報データベース３の既知の形式のデータの特徴を
用いて入力データファイルの形式を推定し、復元処理装
置５により復元し、データ確認処理装置８により復元し
た内容の確認を利用者に促す。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、データファイル
の復元に関するものである。以下に述べる実施の形態に
おいて、復元（従来技術における復元は除く）とは、特
定のアプリケーションで作成されたファイルであるが、
その特定のアプリケーションで利用できない状態になっ
ているファイルを、その特定のアプリケーションで利用
できる状態に戻すことをいう。例えば、ファイル名の一
部に用いられている拡張子が削除又は変更されている場
合、正しい拡張子を付与したり、データファイルの一部
が破壊されて、本来の形式ではないように偽装されてい
るファイルを修復したり、本来のデータファイルを他の
データファイルの中に埋め込んで隠蔽したものを取り出
したり、圧縮されたファイルを解凍したり、分割された
複数のファイルを結合したりすることをいう。

【０００２】

【従来の技術】図７は、例えば、従来のデータファイル
の復元方式であり、既知のファイル形式のファイルのみ
を復元することを可能としている。図において、９はデ
ータファイルの形式情報を格納する形式情報データベー
ス、１０は入力されたデータファイルと形式情報データ
ベース９から取り出した情報を照合するデータ照合処理
装置、１１は入力されたデータファイルを利用者が確認
可能なデータファイルに復元する復元処理装置である。
復元されたデータファイルは、例えば、テキストや画像
や音声等のデータファイルであり、圧縮や分割されてい
たデータファイルを復元したものであり、特定のアプリ
ケーションから生成されたデータファイル等である。

【０００３】次に、動作について説明する。従来の技術
は、まず、形式情報データベース９からデータファイル
の形式に関する情報を取り出す。取り出したデータファ
イルの情報と入力データファイルとをデータ照合処理装
置１０で照合する。データの照合に成功した場合は、復
元処理装置１１においてデータファイルを復元する。例
えば、形式情報データベース９に、拡張子がＴＸＴのフ
ァイルはテキストファイルであるという情報がある場
合、入力データファイルの拡張子がＴＸＴであれば、デ
ータ照合処理装置１０は、入力データファイルをテキス
トファイルとして判定し、復元処理装置１１は、テキス
トエディタを用いて入力データファイルの内容を表示
（復元）する。図７に示す従来のデータファイルの復元
方式における復元とは、単にデータファイルの内容を表
示することを意味しており、この従来技術の復元（表
示）は、以下に述べる実施の形態における復元の一部分
にすぎない。

【０００４】

【発明が解決しようとする課題】従来のデータファイル
の復元方式は、形式情報データベース９に格納されてい
ないデータファイルの形式については復元できないとい
う問題点があった。

【０００５】この発明は、上記のような問題点を解決す
るためになされたもので、入力データファイルが未知の
データファイルの形式であった場合でも、データファイ
ルの特徴を解析し、その結果からデータファイルの形式
を推定することによりデータファイルの復元することを
その目的とする。

【０００６】

【課題を解決するための手段】この発明に係るファイル
復元装置は、ファイル形式が既知のデータファイルの特
徴を格納する解析情報データベースと、ファイル形式が
未知のデータファイルを入力し、入力したデータファイ
ルの特徴を解析する特徴解析処理装置と、解析情報デー
タベースが格納している特徴と特徴解析処理装置が解析
した特徴とに基づいて、データファイルの形式を推定す
る形式推定処理装置と、形式推定処理装置により推定さ
れた形式に基づいてデータファイルを復元する復元処理
装置とを有することを特徴とする。

【０００７】上記ファイル復元装置は、更に、データフ
ァイル形式の情報を格納する形式情報データベースと、
データファイルと形式情報データベースの情報とを照合
して、データファイルの形式を判定するデータ照合処理
装置とを備え、上記形式情報データベースは、新たなフ
ァイル形式の情報を追加又は更新し、上記データ照合処
理装置は、追加又は更新された形式情報データベースを
参照してデータファイルの形式を判定し、上記復元処理
装置は、データ照合処理装置が判定した形式に基づいて
データファイルを復元することを特徴とする。

【０００８】上記特徴解析処理装置は、新たなファイル
形式のデータファイルが持つ特徴を解析する演算装置を
追加し、解析情報データベースは、新たなファイル形式
のデータファイルが持つ特徴を格納し、上記形式推定処
理装置は、特徴解析処理装置に追加された演算装置によ
り解析された特徴が解析情報データベースに格納した特
徴と一致する場合に、入力したデータファイルが新たな
ファイル形式のファイルであるということを推定するこ
とを特徴とする。

【０００９】上記ファイル復元装置は、更に、入力した
データファイルの履歴を格納する履歴データベースを備
え、上記履歴データベースに格納されたデータファイル
の中で復元できなかったデータファイルを再び入力して
復元することを特徴とする。

【００１０】上記ファイル復元装置は、形式が未知の複
数のデータファイルの特徴を抽出、解析、蓄積すること
により、学習的にファイル形式を推定し、データファイ
ルを復元することを特徴とする。

【００１１】上記特徴解析処理装置は、データファイル
の特徴を複数の解析項目により解析することを特徴とす
る。

【００１２】上記複数の解析項目は、少なくともデータ
ファイルの属性情報と統計情報とのいずれかを含むこと
を特徴とする。

【００１３】この発明に係るファイル復元装置は、特定
のアプリケーションにより作成された所定の形式を持つ
データファイルの所定の位置にある値の特徴情報をマジ
ック情報として記憶するマジック情報ファイルと、ファ
イル形式が判別できないファイルを入力し、入力したフ
ァイルの所定の位置にある値と上記マジック情報ファイ
ルに記憶されたマジック情報とを照合して、入力したフ
ァイルのファイル形式を推定するファイル形式推定サブ
システムと、ファイル形式推定サブシステムが推定した
ファイル形式を用いて入力したファイルの内容が認識で
きるように復元するファイル復元サブシステムとを備え
たことを特徴とする。

【００１４】上記ファイル形式推定サブシステムは、更
に、データファイルのファイル形式特有の特徴をチェッ
クすることにより、入力したファイルのファイル形式を
推定することを特徴とする。

【００１５】上記ファイル復元装置は、更に、ファイル
形式推定サブシステムが推定したファイル形式に依存し
て得られるファイル特有属性情報を抽出して保存すると
ともに、圧縮ファイルの伸長と、エンコードファイルの
デコードと、アーカイブファイルの展開と、分割ファイ
ルの結合とのいずれの処理が可能であるかを解析するフ
ァイル情報取得サブシステムを備えたことを特徴とす
る。

【００１６】上記ファイル復元装置は、更に、ファイル
に偽装処理又は隠蔽処理がされているかを解析又は検出
するファイル偽装／隠蔽解析サブシステムを備えたこと
を特徴とする。

【００１７】上記ファイル復元サブシステムは、偽装さ
れたファイルの修正と、隠蔽されたファイルの抽出と、
圧縮ファイルの伸長と、エンコードファイルのデコード
と、アーカイブファイルの展開と、分割ファイルの結合
とを試みることによりファイルの復元を行うことを特徴
とする。

【００１８】上記ファイル復元装置は、更に、ファイル
形式が特定できなかったファイルの特徴を抽出して保存
するファイル特徴解析サブシステムを備えたことを特徴
とする。

【００１９】

【発明の実施の形態】実施の形態１．図１は、本発明の
構成を示す図である。図１のメイン処理部は、例えば、
コンピュータである。メイン処理部内の図１に示した各
処理装置は演算装置であり、ＣＰＵやメモリや回路やフ
ァームウェアやソフトウェアプログラムで構成すること
ができる。図において、１は入力されたデータファイル
それ自身及び復元の成否、特徴解析の結果情報及びファ
イル形式の推定情報を全て格納する履歴情報データベー
ス、２はデータファイルの形式情報及びデータファイル
の内容を確認するのに必要なアプリケーション等を格納
する形式情報データベース、３はデータファイルの特徴
解析の処理結果の情報を格納する解析情報データベー
ス、４は形式情報データベース２の情報と処理中のデー
タファイルの情報とを照合するデータ照合処理装置、５
は形式情報データベース２の情報に基づき処理中のデー
タファイルを復元する復元処理装置、６はデータファイ
ルの特徴を解析する特徴解析処理装置、７は形式不明な
データファイルの形式を推定する形式推定処理装置、８
は形式情報データベース２の情報に基づきデータファイ
ルの内容を利用者が確認するデータ確認処理装置であ
る。形式情報データベース２、特徴解析処理装置６及び
データ確認処理装置８は随時更新及び追加（更新又は追
加）され、それに伴い解析情報データベース３の内容も
更新及び追加（更新又は追加）される。

【００２０】図２は、図１の特徴解析処理装置６の構成
を示す図である。特徴解析処理装置６は、複数の解析項
目１，２，・・・，ｎを処理する複数の（ｎ個の）演算
装置から構成されている。特徴解析処理装置６は、演算
装置の集合である。複数の解析項目とは、例えば、デー
タファイルの属性情報の解析項目であり、或いは、デー
タファイルの統計情報の解析項目等である。

【００２１】例えば、データファイルの属性情報の解析
としては、拡張子の解析、データファイルのヘッダ部に
ある所定の値の解析、或いは、データファイルの所定の
位置にあるコード（例えば、マジックナンバー）の解
析、データファイルのサイズの解析、或いは、データフ
ァイルのファイル名の長さによる解析等が考えられる。
また、データファイルの統計情報の解析としては、コー
ドの出現周期性の解析、コードの出現頻度解析（特定コ
ードの出現の偏り）、ビット０とビット１の出現頻度解
析、或いは、特定の識別子やタグ（例えば、ＨＴＭＬフ
ァイルの＜＞タグやＣＳＶファイルのカンマ）の出現頻
度解析、或いは、線形複雑度の解析等が考えられる。

【００２２】図３は、図１のデータ確認処理装置８の構
成を示す図である。データ確認処理装置８は、複数の確
認項目１，２，・・・，ｍを処理するｍ個の演算装置か
ら構成されている。データ確認処理装置８は、演算装置
の集合である。複数の確認項目とは、例えば、テキスト
エディタによるテキストファイルの表示機能であり、画
像ファイルの表示機能であり、音声ファイルの再生機能
等である。形式情報データベース２の内容の更新及び追
加（更新又は追加）に伴い、新たな確認項目が更新及び
追加（更新又は追加）される。例えば、ＨＴＭＬ形式の
データファイルの形式の情報が形式情報データベース２
の内容に追加された場合、ＨＴＭＬ形式のデータファイ
ルの表示機能としてブラウザが追加される。

【００２３】データファイルは、以下に示すような異な
る記録媒体を用いて、かつ、異なる媒体フォーマット形
式を用いて記録されている。また、そのデータファイル
の文字コードやファイル形式や数値形式や拡張子や圧縮
形式等も千差万別である。

【００２４】例えば、データファイルの保存形式として
は、以下のようなものが考えられる。 １．記録媒体 フレキシブルディスク（ＦＤ） メモリカード コンパクトディスク（ＣＤ） デジタルバーサタイルディスク（ＤＶＤ） 光ディスク ２．フォーマット形式 ＤＯＳフォーマット ＪＩＳフォーマット ３．文字コード Ｅｂｃｄｉｃコード ＩＳＯコード ＡＳＣＩＩコード ＡＮＳＩコード ＪＩＳコード ＵＮＩＸコード ４．ファイル形式 テキストファイル バイナリファイル ５．数値形式 整数型 浮動小数点型 パック型 アンパック型 ＢＣＤ型 ６．拡張子 ＢＭＰ ＪＰＥＧ ＧＩＦ ＰＩＣＴ ＴＩＦＦ ＣＳＶ ＴＸＴ ＨＴＭＬ ＸＭＬ ＳＧＭＬ ＤＯＣ ＥＸＥ ＰＤＦ ７．圧縮形式 ＺＩＰ ＬＨＡ

【００２５】前述した形式は、一例であり、この他にも
いろいろな形式が存在している。また、時とともに新た
な形式が追加されていく。

【００２６】取得したデータファイルの形式が未知の場
合には、従来は、自己の持つコンピュータにインストー
ルされているアプリケーションプログラムを用いて、そ
のデータファイルが読み込めるかどうかを１つ１つアプ
リケーション毎にチェックする作業を行なわなければな
らない。また、もし作成者の意図により、そのデータフ
ァイルの一部分が故意に破壊されている場合、或いは、
そのデータファイルの全部又は一部分が他のデータファ
イルに隠されてしまった場合、そのデータファイルを作
成したアプリケーションプログラムと同一のアプリケー
ションプログラムを用いても、そのデータファイルを読
み込むことが不可能になってしまう。また、新たなアプ
リケーションの出現やアプリケーションのバージョンア
ップ版の出現により、新たなファイル形式が誕生する
と、既存のアプリケーションや旧バージョンのアプリケ
ーションでは、その新たなファイル形式のファイルを読
み込んで利用することができなくなってしまう。

【００２７】この実施の形態においては、未知のデータ
ファイルのファイル形式を判定し、或いは、推定し、記
録されているデータファイルの内容を利用者が利用でき
る形に復元するものである。即ち、この実施の形態は、
利用者にはアクセス方法が分からない電子データであっ
て、利用者が直接感知することができない電子データ
を、利用者が知覚することができる形式にして出力する
装置を提供するものであり、例えば、電子データを利用
者が視覚的に利用できる形式に表示したり、プリントし
たりすることができる装置を提供するものである。

【００２８】ここでは、説明を簡単にするために、この
システムでは未知のデータファイルが格納された記録媒
体を物理的に扱うことができる周辺機器（例えば、フレ
キシブルディスクドライブやＣＤドライブやメモリカー
ドドライブ）が存在し、媒体フォーマット形式が扱える
システム、即ち、ファイルの内容は分からないが、少な
くとも未知のデータファイルのリードは可能であるシス
テムであることを前提に説明する。

【００２９】この実施の形態において、形式情報データ
ベース２には、既に分かっているデータファイル形式の
情報を、予め格納しておく。例えば、テキストファイル
形式のデータファイルには、拡張子としてＴＸＴが用い
られることが分かっている場合には、形式情報データベ
ース２には、拡張子がＴＸＴのファイルは、テキスト形
式のファイルであるという情報を予め記憶しておく。デ
ータ照合処理装置４は、入力データファイルの拡張子を
参照し、拡張子がＴＸＴである場合には、テキストファ
イルであると判定する。復元処理装置５は、データ照合
処理装置４の判定結果に基づき、入力データファイルを
テキストファイルとして復元処理する。この場合は、復
元処理は何もしない（復元処理する必要がない）。そし
て、データ確認処理装置８は、そのデータファイルの内
容を表示、或いは、印刷する。また、例えば、ＨＴＭＬ
ファイルには、＜ＨＴＭＬ＞と＜／ＨＴＭＬ＞とのマー
クアップタグが必須である場合には、形式情報データベ
ース２には、＜ＨＴＭＬ＞と＜／ＨＴＭＬ＞とのマーク
アップタグがあるファイルは、ＨＴＭＬ形式のファイル
であるという情報を予め記憶しておく。データ照合処理
装置４が、その情報を用いて入力された拡張子のないデ
ータファイルがＨＴＭＬファイルであると判定すると、
復元処理装置５は、そのデータファイルに拡張子ＨＴＭ
Ｌを付与する。そして、データ確認処理装置８は、その
データファイルの内容を表示、或いは、印刷する。

【００３０】もし、入力データファイルの拡張子が全く
ない状態で入力された場合には、データ照合処理装置４
は、形式情報データベース２に拡張子がＴＸＴである場
合にはテキストファイルであるという情報しかなけれ
ば、形式情報データベース２を参照してもその入力デー
タファイルの形式を判定することができない。

【００３１】解析情報データベース３には、予め、例え
ば、テキストファイル形式のデータの統計情報を格納し
ておく。例えば、１バイトコードが００からＦＦで表現
され、かつ、テキストファイルに用いられる文字コード
が４１からＤＦの間のみである場合に、サンプル用のテ
キストファイルの各文字コードの出現頻度を統計データ
として解析情報データベース３に予め格納しておく。特
徴解析処理装置６は、入力データファイルの各コードの
出現頻度を解析する。解析の結果、入力データファイル
には、４１からＤＦまでのコードのみしか使われていな
いことが判明した場合には、解析情報データベース３に
記憶されたテキストファイルの特徴と一致することにな
る。形式推定処理装置７は、この結果から入力データフ
ァイルがテキストファイルであることを推定する。復元
処理装置５は、この推定結果に基づき、ファイル名に拡
張子ＴＸＴを付与することにより、入力データファイル
をテキストファイルとして復元する。データ確認処理装
置８は、テキストファイルの表示機能であるテキストエ
ディタを起動し、復元処理装置５が復元したデータを入
力して表示することにより推定が正しいか否かを利用者
に確認してもらう。

【００３２】次に、動作について説明する。図４は、本
発明の基本処理の流れを示すフローである。まず、デー
タファイルの入力により、履歴情報データベース１にデ
ータファイルを格納する（Ｓ１，Ｓ２）。形式情報デー
タベース２の情報と入力データファイルとをデータ照合
処理装置４において照合する（Ｓ３）。データファイル
の形式照合に成功した場合は、形式情報データベース２
の情報に基づき復元処理装置５においてデータファイル
を復元する（Ｓ４）。復元したデータファイルが利用者
にとって確認可能な形式かどうかを形式情報データベー
ス２の情報に基づき判別する（Ｓ５）。もしくは、設定
により（Ｓ５１）、履歴情報データベースに処理の結果
を格納し（Ｓ１５）、処理を終了する。例えば、復元し
たデータファイルが複数のファイルを１つにまとめた
（例えば、ＬＨＡやＴＡＲ）アーカイブファイルである
かどうかを確認する。アーカイブファイルのままでは、
利用者が利用できないので、更に、Ｓ３に戻り、形式の
照合を行い、アーカイブファイルの展開を行うことによ
り復元が行われる。アーカイブファイルでない場合に
は、次のＳ６に移る。Ｓ５において判別に成功した場合
は、利用者がデータファイルの内容を形式情報データベ
ース２の情報に基づきデータ確認処理装置８により確認
する（Ｓ６）。もしくは、設定により（Ｓ６１）、履歴
情報データベースに処理の結果を格納し（Ｓ１５）、処
理を終了する。このＳ６による利用者の確認とは、例え
ば、表示装置に復元した情報を表示したり、或いは、プ
リンタに印字して利用者が認識できる状態になっている
かどうかを利用者にファイルの内容を確認させるもので
ある。この確認は、視覚又は聴覚により行われる。Ｓ５
において利用者が確認できない形式（例えば、アーカイ
ブファイル）の場合は、改めてデータ照合処理装置４に
おいて形式情報データベース２の情報に基づきデータフ
ァイルの形式照合を実行する（Ｓ３）。Ｓ６において利
用者が確認に成功した場合は、履歴情報データベースに
処理の結果を格納し（Ｓ１５）、処理を終了する。Ｓ６
において、利用者が内容の確認に失敗した場合は、履歴
情報データベースに処理の結果を格納し（Ｓ１５）、改
めてデータ照合処理装置４において形式情報データベー
ス２の情報に基づきデータファイルの形式照合を実行す
る（Ｓ３）。Ｓ３においてデータファイルの形式照合に
失敗した場合は、特徴解析処理装置６により、データフ
ァイルの特徴解析を処理する（Ｓ７）。例えば、データ
ファイルのコードの出現頻度の統計解析を行ったり、デ
ータファイルのビット０とビット１の出現頻度の統計解
析を行ったり、データファイルの中に使われている特定
のタグや識別子の頻度を解析する。或いは、データファ
イルの属性情報としてヘッダ部の特定の値を参照した
り、データファイルの所定の位置にあるコードを取得し
たりして図２に示すｎ個の解析項目について特徴を解析
する。データファイルの特徴解析を処理した結果は、解
析情報データベース３に格納する（Ｓ８）。次に、解析
情報データベース３に予め格納した既知のデータファイ
ルの特徴と特徴解析処理装置６が解析情報データベース
３に格納した未知のデータファイルのｎ個の特徴情報と
に基づいて、形式推定処理装置７によりデータファイル
の形式を推定する（Ｓ９）。特徴が一致する場合又は類
似する場合は、その未知のデータファイルの形式を既知
のデータファイルの形式と同一の形式であると（優先順
位をつけて）推定する。特徴が全く非類似のときは、推
定失敗となる。Ｓ９においてデータファイルの形式の推
定に成功した場合は、形式情報データベース２の情報に
基づき復元処理装置５によりデータファイルを復元する
（Ｓ１０）。復元したデータファイルが、利用者にとっ
て確認可能な形式かどうかを形式情報データベース２の
情報に基づき判別する（Ｓ１１）。もしくは、設定によ
り（Ｓ１１１）、履歴情報データベースに処理の結果を
格納し（Ｓ１５）、処理を終了する。Ｓ１１において判
別に成功した場合は、利用者がデータファイルの内容を
形式情報データベース２の情報に基づきデータ確認処理
装置８により確認する（Ｓ１２）。もしくは、設定によ
り（Ｓ１２１）、履歴情報データベースに処理の結果を
格納し（Ｓ１５）、処理を終了する。Ｓ１１において利
用者が確認不可能な形式（例えば、アーカイブファイ
ル）の場合は、データ照合処理装置４において形式情報
データベース２の情報に基づきデータファイルの形式照
合を実行する（Ｓ３１，Ｓ３）。Ｓ１２において利用者
の確認に成功した場合は、推定が正しかったことになる
ので、データファイルの属性情報（又は統計情報）を形
式情報データベース２に格納し（Ｓ１３）、データ確認
処理装置８の内容を更新もしくは追加して（Ｓ１４）、
履歴情報データベースに処理の結果を格納し（Ｓ１
５）、処理を終了する。データファイルの属性情報（又
は統計情報）を形式情報データベース２に格納する理由
は、次回、同一形式のデータファイルが入力された場合
に、そのデータファイルの判定に役立てるためである
（学習機能）。データ確認処理装置８の内容を更新もし
くは追加する理由は、次回の確認処理の際に、そのデー
タファイルをどの機能（どのプログラム）を用いて確認
させるかを覚えておくためである。Ｓ１２において利用
者の確認に失敗した場合は、その推定が間違っていたこ
とになるので、改めて形式推定処理装置７においてデー
タファイルの形式推定を実行する。或いは、次に優先順
位の高いものを選択する（Ｓ９１，Ｓ９）。Ｓ９におい
てデータファイルの形式の推定に失敗した場合は、履歴
情報データベース１に格納された当該データファイルに
対して、データファイルの形式の推定に失敗したことを
記録してから（Ｓ１５）処理を終了する。以上の処理
は、１つまたは複数のデータファイルを処理する場合が
ある。

【００３３】以上のように、特徴解析処理装置６と形式
推定処理装置７により、データファイルの特徴を解析
し、データファイルの形式を推定するようにしているの
で、未知の形式のデータファイルを復元することができ
る。また、データ確認処理装置８を備えることにより、
復元したデータファイルの内容を利用者が確認すること
ができる。また、データファイルが故意に改ざんされて
いる場合、或いは、データファイルが一部破壊されてし
まった場合でも、そのデータファイルの属性情報が残っ
ている場合又は統計情報が変わらない場合には、データ
ファイルの形式を推定して復元することができる。

【００３４】実施の形態２．以上の実施の形態１では、
データファイルの特徴を解析し、データファイルの形式
を推定し、未知の形式のデータファイルを復元できるす
るようにしたものであるが、次に、形式情報データベー
ス２の情報を更新及び追加（更新又は追加）することに
より、これまで復元に失敗したデータファイルの再処理
を実行する場合の実施の形態を示す。

【００３５】履歴情報データベース１には、入力された
データファイルが全て履歴情報として格納してある。こ
の履歴情報データベース１に格納されたデータファイル
の中で復元に失敗したデータファイルを再処理するのが
この実施の形態である。再処理する前に、形式情報デー
タベース２が更新、或いは、追加されていることが前提
となる。例えば、実施の形態１で示した図４において、
Ｓ１３において形式情報データベース２が更新されてい
る。即ち、実施の形態１の動作中に形式情報データベー
ス２が自動的に更新され、推定された新たなファイル形
式が自動的に登録されている。この更新は、このシステ
ムがデータファイルの特徴を抽出、解析、蓄積すること
により、学習しながらデータファイルの形式を推定し、
データファイルを復元することを示している。また、形
式情報データベース２の追加又は更新は、前述した図４
に示す動作中に自動的に行われる以外に、この装置の利
用者により手作業で新たなファイルの形式の情報が追加
されても構わない。例えば、新しいアプリケーションや
新バージョンが新しいファイル形式を用いる場合には、
その新しいファイル形式の情報を利用者が手作業により
登録する。

【００３６】図５は、このような場合の処理の流れを示
すフローである。形式情報データベース２の情報を更新
及び追加（更新又は追加）する（Ｓ２１，Ｓ１３）。解
析情報データベース３の情報を更新及び追加（更新又は
追加）する（Ｓ２２，Ｓ８）。データ確認処理装置８の
更新及び追加（更新又は追加）を行う（Ｓ２３，Ｓ１
４）。上記Ｓ２１〜Ｓ２３の処理は、実施の形態１で示
したＳ１３，Ｓ８，Ｓ１４の処理そのものであっても構
わないし、利用者が手作業で行っても構わない。

【００３７】以下に述べるＳ１〜Ｓ６，Ｓ１５の動作
は、実施の形態１で示したＳ１〜Ｓ６，Ｓ１５の動作と
同じである。違うところは、データファイルが履歴情報
データベース１から入力される点である。しかもその入
力されるデータファイルは、以前に復元が失敗している
データファイルのみ選択されて入力される点である。以
下、Ｓ１〜Ｓ６，Ｓ１５の動作を簡単に説明する。履歴
情報データベース１からデータファイルを取り出す（Ｓ
１）。形式情報データベース２から取り出した情報と入
力データファイルとをデータ照合処理装置４において照
合する（Ｓ３）。データファイル形式の照合に成功した
場合は、形式情報データベース２の情報に基づき復元処
理装置５によりデータファイルを復元する（Ｓ４）。復
元したデータファイルが利用者にとって確認可能な形式
かどうかを形式情報データベース２の情報に基づき判別
する（Ｓ５）。もしくは、設定により（Ｓ５１）、履歴
情報データベースに処理の結果を格納し（Ｓ１５）、処
理を終了する。Ｓ５において判別に成功した場合は、デ
ータ確認処理装置８により利用者がデータファイルの内
容を形式情報データベース２の情報に基づき確認する
（Ｓ６）。もしくは、設定により（Ｓ６１）、履歴情報
データベースに処理の結果を格納し（Ｓ１５）、処理を
終了する。Ｓ５において判別に失敗した場合は、改めて
データ照合処理装置４によりデータファイルの形式の照
合を形式情報データベース２の情報に基づき実行する
（Ｓ３）。Ｓ６において利用者の確認に成功した場合
は、履歴情報データベースに処理の結果を格納し（Ｓ１
５）、処理を終了する。Ｓ６において利用者の確認に失
敗した場合は、改めてデータ照合処理装置４によりデー
タファイルの形式照合を形式情報データベース２の情報
に基づき実行する（Ｓ３）。Ｓ３においてデータファイ
ルの形式の照合に失敗した場合は、履歴情報データベー
スに処理の結果を格納し（Ｓ１５）、処理を終了する。

【００３８】以上のように、履歴情報データベース１及
び形式情報データベース２を備えることにより、継続し
て学習的なデータファイルの復元処理を実行可能として
いる。この実施の形態によれば、形式情報データベース
２が更新されていくことにより以前復元することができ
なかったデータファイルを再び入力し、形式情報データ
ベース２に新たに追加された情報を用いてデータ照合処
理装置４がデータファイルの形式を判定し、復元処理装
置５がその判定した形式に基づいてデータファイルを復
元することが可能になる。

【００３９】なお、図５においては、形式情報データベ
ース２からデータファイルを入力する場合を示したが、
図４に示したように、オリジナルのデータファイルから
入力する場合であっても構わない。

【００４０】実施の形態３．以上の実施の形態２では、
形式情報データベース２を更新及び追加（更新又は追
加）した場合のものであるが、続いて、特徴解析処理装
置６の解析項目を更新及び追加（更新又は追加）した場
合の実施の形態を示す。この実施の形態３で、特徴解析
処理装置６に新たな解析項目を追加することにより、前
述した実施の形態１又は２により自動的に（或いは、手
作業により）解析情報データベース３に蓄積されていた
解析情報を役立てることができる。即ち、過去の解析情
報を用いて新たなファイル形式を推定することが可能に
なり、継続して学習的なデータファイルの復元処理を実
行可能としている。

【００４１】図６は、このような場合の処理の流れを示
すフローである。特徴解析処理装置６の内容を更新する
（Ｓ２４）。即ち、特徴解析処理装置６に対して新たな
ファイル形式が持つ統計的特徴、或いは、新たなファイ
ル形式が有する属性情報を解析する演算装置を追加す
る。解析情報データベース３の内容を更新及び追加（更
新又は追加）する（Ｓ２５）。この解析情報データベー
ス３の内容の追加又は更新は、実施の形態１又は２で述
べたＳ８又はＳ２２により自動的に行われる（学習機
能）。或いは、特別に利用者が手作業により解析情報デ
ータベース３を追加又は更新しても構わない。

【００４２】以下述べるＳ１〜Ｓ１５の処理は、実施の
形態１で示したＳ１〜Ｓ１５の処理と同様である。以下
に、簡単な説明を行う。履歴情報データベース１から復
元が失敗したデータファイルを取り出す（Ｓ１）。この
入力は履歴情報データベース１からではなく、オリジナ
ルのデータファイルから行っても構わない。特徴解析処
理装置６により、データファイルの特徴解析を実行し
（Ｓ７）、その結果を解析情報データベース３に格納す
る（Ｓ８）。解析情報データベース３の情報から形式推
定処理装置７によりデータファイルの形式を推定する
（Ｓ９）。Ｓ９においてデータファイル形式の推定に成
功した場合は、データファイルを復元する（Ｓ１０）。
データファイルが利用者にとって確認可能な形式かどう
かを判別する（Ｓ１１）。もしくは、設定により（Ｓ１
１１）、履歴情報データベースに処理の結果を格納し
（Ｓ１５）、処理を終了する。Ｓ１１において判別に成
功した場合は、データ確認処理装置８によりデータファ
イルの内容を利用者が確認する（Ｓ１２）。もしくは、
設定により（Ｓ１２１）、履歴情報データベースに処理
の結果を格納し（Ｓ１５）、処理を終了する。Ｓ１１に
おいて判別に失敗した場合は、改めてデータ照合処理装
置４によりデータファイルの形式の照合を実行する（Ｓ
３）。Ｓ１２において利用者の確認に成功した場合は、
形式情報データベース２に復元したデータファイルの属
性情報等を格納し（Ｓ１３）、データ確認処理装置８の
内容を更新及び追加（更新又は追加）して（Ｓ１４）、
履歴情報データベースに処理の結果を格納し（Ｓ１
５）、処理を終了する。Ｓ１２において利用者の確認に
失敗した場合は、改めて形式推定処理装置７によりデー
タファイルの形式の推定を実行する（Ｓ９）。Ｓ３にお
いてデータファイルの形式の照合に成功した場合は、改
めて復元処理装置５によりデータファイルの復元を実行
する（Ｓ１０）。Ｓ３においてデータファイルの形式の
照合に失敗した場合は、特徴解析処理装置６により改め
てデータファイルの特徴解析処理を実行する（Ｓ７）。
Ｓ９においてデータファイルの形式の推定に失敗した場
合は、履歴情報データベースに処理の結果を格納し（Ｓ
１５）、処理を終了する。

【００４３】以上のように、特徴解析処理装置６の解析
項目を更新することにより、学習的なデータファイルの
復元処理を実行可能としているので、これまで復元に失
敗していたデータファイルの復元が可能となっている。

【００４４】実施の形態４．この実施の形態において
は、前述した実施の形態１〜３が実装されるシステムに
ついて説明する。なお、以下の「１．システム概要」、
「２．システム機能仕様」、「３．画面仕様」に記述さ
れたファイル仕様とテーブル仕様と外部モジュールのイ
ンタフェースは、「４．データ仕様」に記述してあるの
で、適時参照されたい。 １．システム概要 本システムは、自動的にファイルフォーマットを推定、
隠蔽されている情報の抽出、未知フォーマットの特徴を
抽出・蓄積を行う。ユーザが未知ファイルを解析する場
合に本システムがそのサポートを行う事で、解析作業の
効率化を目的とする。以下に、システムの機能を示す。 （１）ファイルフォーマットの推定。 （２）ファイルの展開／伸長／結合／デコード。 （３）偽装／隠蔽処理されたファイルの修正／抽出。 （４）未知ファイルフォーマットの特徴情報の蓄積。

【００４５】２．システム機能仕様 システムは、図８のサブシステムから構成される。

【００４６】２．１ 全体制御サブシステム 図９に示すように、システム全体の制御を行う。

【００４７】２．１．１ 初期化機能 システムの初期化を行う。初期化時に行う処理は以下の
通り。 （１）初期設定ファイルの読み込み （２）マジック情報ファイルの読み込み （３）偽装情報ファイルの読み込み （４）隠蔽情報ファイルの読み込み （５）外部モジュールのローディング

【００４８】２．１．２ 推定処理制御機能 推定処理制御機能は推定処理全体の制御を行い、他のサ
ブシステムの機能を呼び出す。

【００４９】２．１．２．１ 推定方法 推定方法には次の３通りの方法がある。 （１）情報解析 ユーザが指定したファイル（解析項目リスト）に対して
ファイル形式推定／ファイル情報解析を行う。 （２）復元 解析項目リストに対して、情報解析、抽出／修正／展開
／伸長／結合／デコードを行う。復元ファイルについて
は行わない。また、復元の際は可能な処理を図１０の優
先順位で実行する。 （３）再帰復元 解析項目リスト、復元ファイルに対して再帰的に（復元
ファイルを含む全てに対して）復元を行う。推定処理制
御の基本的な処理フローを、図１１に示す。

【００５０】２．１．２．２ エラー処理 推定処理中にエラーが発生した場合、図１２のように処
理する。

【００５１】２．１．３ 外部モジュール制御機能 ファイルフォーマット特有な情報を解析するには外部モ
ジュールを用いる。外部モジュールはファイルフォーマ
ット毎にマジック情報ファイルに定義し、起動時に動的
にロードする。解析可能なファイルフォーマットが増え
た場合、マジック情報ファイルに記述を追加し、外部モ
ジュールを作成する事でフォーマットの追加を可能とす
る。外部モジュール制御機能の主な機能を、以下及び図
１３に示す。 （１）外部モジュールのロード （２）外部モジュール内の関数の呼び出し

【００５２】２．１．４ 解析ログ管理機能 推定処理の解析過程を解析ログとして１０世代保存す
る。ただし、以下の条件で世代を変更する。 （１）ログファイルのサイズが１ＭＢを越えた時。 （２）ログのクリア要求が発生した時。ただし、ログフ
ァイルのサイズが０バイトの場合は、世代変更を行わな
い。解析ログの内容は「４．２．５ 解析ログファイ
ル」参照。

【００５３】２．２ 画面制御サブシステム ユーザインタフェースの全てを管理し、遷移／画面の動
きを制御する。画面遷移、画面の動きは画面仕様を参
照。

【００５４】２．３ ファイル形式推定サブシステム 対象ファイルを解析し、ファイルフォーマットを推定す
る。

【００５５】２．３．１ 推定方法 システムが推定できるフォーマットは、図１４のように
分類できる。ファイル形式推定サブシステムはこれらの
フォーマットを以下の方法で推定する。 （１）マジックナンバーによる推定 マジック情報テーブルと推定対象ファイルのマジックナ
ンバーを比較し、推定を行う。マジックナンバーは以下
の情報で表現可能な固定値とする。 １）バイト位置 ファイル先頭からのバイト数。 ２）型 バイト位置で指定された箇所の値の型。数値型または文
字列型。 ３）比較方法 比較演算で表現可能。 ４）値 比較値。１０進数、１６進数、文字列で表現可能。 例）１０バイト目が０ｘ１０００。０バイト目が１より
大きい。５バイト目から“ａｂｃｄ”の文字列がある。 （２）データ形式による推定 フォーマットに特有なデータ形式の特徴をチェックし、
ファイルフォーマットを推定する。推定はマジック情報
ファイルで指定された外部モジュールにより解析を行
う。

【００５６】２．３．２ 推定対象 図１６のファイルの推定が可能とする。

【００５７】２．３．３ 推定結果 推定処理の結果として、図１７の情報を解析結果テーブ
ルに書き込む。

【００５８】２．４ ファイル情報取得サブシステム ファイル形式推定サブシステムで推定したファイルフォ
ーマットからの詳細情報の抽出と、フォーマット特有処
理（伸長、展開など）を行う。図１８に示すように、フ
ォーマットに特有な情報の取得、伸長、展開方法などは
フォーマット依存であり、すべて専用モジュールを用い
て行う。共通的な情報の取得以外はフォーマット毎にモ
ジュールを用意する。

【００５９】２．４．１ 共通属性情報取得機能 図１９に示すように、ファイルフォーマットとは独立的
な共通属性情報を取得する。解析処理後、図２０の情報
を解析結果テーブルに保存する。

【００６０】 ２．４．２ ファイル特有属性情報取得機能 図２１に示すように、外部モジュールの情報取得機能を
呼び出し、ファイルフォーマットに特有な情報を取得す
る。解析処理後、図２２の情報を解析結果テーブルに保
存する。

【００６１】２．５ 偽装／隠蔽解析サブシステム 偽装／隠蔽処理されたファイルの検出／解析を行う。偽
装／隠蔽解析サブシステムは、図２３の機能から構成さ
れる。図２４に示すように、偽装解析、隠蔽解析は共に
外部モジュールで行う。外部モジュールは偽装情報ファ
イル、隠蔽情報ファイルにより指定する。

【００６２】２．５．１ 偽装解析 偽装解析では偽装処理が施されたファイルの偽装方法を
検出する。ただし、偽装解析では検出のみで、偽装の修
正は行わない。検出可能な偽装方法を、図２５に示す。
偽装検出処理後、図２６の情報を解析結果テーブルに書
き込む。

【００６３】２．５．１．１ 拡張子偽装 ファイル形式推定サブシステムの推定結果を元に、通常
の拡張子と実際の拡張子が異なっているかをチェックす
る。拡張子偽装の場合、ファイル自体への修正は発生す
る事は無く、修正処理を有効にしない。

【００６４】２．５．２ 隠蔽解析 隠蔽解析では隠蔽処理が施されたファイルの隠蔽方法と
隠蔽されたデータを検出する。ただし、隠蔽解析ではデ
ータの抽出は行わない。検出可能な隠蔽方法を、図２７
に示す。図２７において、「不明」とは、現在隠蔽方法
が「不明」であり、自動学習により又は手作業により将
来隠蔽方法と検出方法が追加されることを示している。
隠蔽検出処理後、図２８の情報を解析結果テーブルに書
き込む。

【００６５】２．６ ファイル復元サブシステム ファイル情報解析結果を元に、ファイルの復元を行う。
ファイル復元サブシステムは、図２９の機能から構成さ
れる。

【００６６】２．６．１ 復元ファイル管理機能 解析対象のファイルを復元する場合、解析対象のメディ
アに変更が加わる事が無いよう、復元ファイルの管理を
行う。復元されたファイルを以下の方法で管理する。 （１）オリジナルのファイルに修正を加える場合はテン
ポラリディレクトリにコピーして管理する。 （２）アーカイブファイル等から複数の復元ファイルが
展開される場合など、復元することにより既存のファイ
ルを破壊しないよう管理する。 （３）エンコードファイルデコードなどで、復元前のフ
ァイル名と復元後のファイル名に変更が生じない場合、
ファイル名が重複しないようファイルを管理する。

【００６７】２．６．２ 偽装ファイル修正機能 図３０に示すように、偽装解析結果を元に、偽装処理さ
れたファイルの修正を行う。複数の修正が可能な場合
は、全ての修正の結果を復元ファイルとして生成する。 （１）偽装拡張子修正 修正処理なし。

【００６８】２．６．３ 隠蔽ファイル抽出機能 隠蔽解析結果を元に、隠蔽処理されたファイルから隠蔽
情報を抽出する。隠蔽処理はファイルフォーマットによ
り異なる為、ここではその方法を定義しない。抽出処理
を行った場合、図３１の情報を解析結果テーブルに保存
する。

【００６９】２．６．４ 圧縮ファイル伸長機能 圧縮処理されたファイル（ＬＨＡなどのアーカイブ機能
を含むファイルフォーマットは除く）を伸長する。伸長
処理はファイルフォーマットにより異なる為、ここでは
その方法を定義しない。伸長処理を行った場合、図３２
の情報を解析結果テーブルに保存する。

【００７０】２．６．５ アーカイブファイル展開機能 アーカイブファイル（ＬＨＡなどの圧縮機能を持つファ
イルフォーマットを含む）を展開する。展開処理はファ
イルフォーマットにより異なる為、ここではその方法を
定義しない。展開処理を行った場合、図３３の情報を解
析結果テーブルに保存する。

【００７１】２．６．６ 分割ファイル結合機能 分割ファイルを結合する。結合処理はファイルフォーマ
ットにより異なる為、ここではその方法を定義しない。
結合処理を行った場合、図３４の情報を解析結果テーブ
ルに保存する。

【００７２】 ２．６．７ エンコードファイルデコード機能 例えば、ＭＩＭＥ（マルチパーパス・インターネット・
メール・エクステンション）やＵＵＥＮＣＯＤＥの方式
でエンコードされたファイルをデコードする。デコード
処理はファイルフォーマットにより異なる為、ここでは
その方法を定義しない。デコード処理を行った場合、図
３５の情報を解析結果テーブルに保存する。

【００７３】２．７ マジック情報編集サブシステム マジック情報ファイル、偽装情報ファイル、隠蔽情報フ
ァイルの編集を行う。

【００７４】２．８ ファイル特徴解析サブシステム フォーマットを特定できなかった場合、そのファイルの
特徴を抽出しデータベースに保存する。

【００７５】３．画面仕様 ３．１ 概要 システムは、図３６の画面から構成される。ファイル解
析画面からの遷移を図３７に示す。図３７は、小さい文
字のため判読不可能かもしれないが、図３８以降に、図
３７の各画面の拡大図を示している。図３７からは、画
面遷移のみを理解されたい。

【００７６】３．２ ファイル解析画面 ３．２．１ 機能 ファイル解析のメインとなる画面で、推定処理の実行、
推定結果等の情報を表示する。

【００７７】３．２．２ 画面構成（図３８参照）

【００７８】３．２．３ ボタンの動作（図３９参照）

【００７９】３．２．４ メニューの動作 ３．２．４．１ ファイルメニュー（図４０参照）

【００８０】 ３．２．４．２ 編集メニュー（図４１参照）

【００８１】 ３．２．４．３ 表示メニュー（図４２参照）

【００８２】 ３．２．４．４ ヘルプメニュー（図４３参照）

【００８３】３．２．５ 解析状態表示エリアの動作 ３．２．５．１ 表示内容 解析状態表示エリアは、図４４，図４５に示すように、
ファイルの解析状態を木構造で表示する。

【００８４】３．２．５．２ 操作 解析状態表示エリアでのマウス操作は、図４６の通り。

【００８５】３．２．５．３ 処理時の動作 推定処理により、図４７のような動作を行う。

【００８６】３．３ ファイル選択画面 ３．３．１ 機能解析対象のファイル／ディレクトリを
選択し、ファイル解析画面の解析状態表示エリアに項目
を追加する。

【００８７】３．３．２ 画面構成（図４８参照）

【００８８】３．３．３ ボタンの動作（図４９参照）

【００８９】３．４ ファイル詳細情報画面 ３．４．１ 機能対象ファイルの詳細な解析結果を表示
する。

【００９０】３．４．２ 画面構成（図５０参照）

【００９１】３．４．３ 表示項目 表示する情報は、図５１の通り。

【００９２】３．４．４ ボタンの動作（図５２参照）

【００９３】３．５ 偽装／隠蔽情報詳細画面 ３．５．１ 機能 ファイルに施された偽装の詳細情報を表示する。

【００９４】３．５．１．２ 画面構成（図５３参照）

【００９５】３．５．３ 表示項目 表示する情報は、図５４の通り。

【００９６】３．５．４ ボタンの動作（図５５参照）

【００９７】３．６ 解析ログ表示画面 ３．６．１ 機能 推定処理の過程を解析ログとしてテキスト形式で表示す
る。

【００９８】３．６．２ 画面構成（図５６参照）

【００９９】３．６．３ ボタンの動作（図５７参照）

【０１００】３．６．４ メニューの動作 ３．６．４．１ ファイルメニュー（図５８参照）

【０１０１】 ３．６．４．２ 編集メニュー（図５９参照）

【０１０２】３．７ 属性検索画面 ３．７．１ 機能 ファイル解析画面での解析結果をもとに属性検索を行
い、ファイル解析画面の対象となる項目を強調表示す
る。

【０１０３】３．７．２ 画面構成（図６０参照）

【０１０４】３．７．３ 検索項目 検索可能な情報は、図６１の通り。

【０１０５】３．７．４ ボタンの動作（図６２参照）

【０１０６】３．８ 解析ログ検索画面 ３．８．１ 機能 解析ログの文字列検索を行い、解析ログ表示画面の対象
文字列を強調表示する。

【０１０７】３．８．２ 画面構成（図６３参照）

【０１０８】３．８．３ ボタンの動作（図６４参照）

【０１０９】４．データ仕様 ４．１ エラーメッセージ仕様（図６５参照）

【０１１０】４．２ ファイル仕様 図６６に、ファイル仕様を示す。

【０１１１】４．２．１ 初期設定ファイル ＷｉｎｄｏｗｓのＩＮＩファイル形式とする。

【０１１２】４．２．２ マジック情報ファイル ＷｉｎｄｏｗｓのＩＮＩファイル形式で表現する（図６
７参照）。ｍａｇｉｃの詳細は、図６８の通りである。

【０１１３】４．２．３ 偽装情報ファイル 図６９に、偽装情報ファイルの構成を示す。

【０１１４】４．２．４ 隠蔽情報ファイル 図７０に、隠蔽情報ファイルの構成を示す。偽装情報フ
ァイルと同一構成である。

【０１１５】４．２．５ 解析ログファイル 解析ログファイルには、図７１のような解析情報を記録
する。エラーが発生した場合には、その内容を記録す
る。

【０１１６】４．３ テーブル仕様（構造体仕様） テーブル仕様を、図７２に示す。構造体の関係図を、図
７３，図７４に示す。

【０１１７】 ４．３．１ 解析項目リスト（図７５参照）

【０１１８】４．３．２ 解析結果（図７６参照）

【０１１９】 ４．３．３ 偽装／隠蔽リスト（図７７参照）

【０１２０】 ４．３．４ 偽装／隠蔽情報（図７８参照）

【０１２１】４．３．５ マジック情報（図７９参照）

【０１２２】 ４．３．６ マジックナンバー定義（図８０参照）

【０１２３】４．４ 外部モジュールインタフェース 外部モジュールとのインタフェースを、以下に示す。

【０１２４】４．４．１ 通常ファイルの外部モジュー
ル（図８１参照）

【０１２５】４．４．１．１ 初期化（図８２参照） 外部モジュールロード時に呼び出す。

【０１２６】 ４．４．１．２ フォーマット推定（図８３参照） マジックナンバーが存在しないファイルフォーマットの
推定処理

【０１２７】４．４．１．３ 詳細解析（図８４参照）

【０１２８】４．４．１．４ 伸長／展開／結合／デコ
ード（図８５参照） 復元処理を実行する。

【０１２９】 ４．４．１．５ ファイル特有情報変換（図８６参照） ファイル特有情報をテキストに変換する。

【０１３０】４．４．２ 偽装／隠蔽ファイルの外部モ
ジュール（図８７参照）

【０１３１】４．４．２．１ 初期化（図８８参照）

【０１３２】４．４．２．２ 解析（図８９参照）

【０１３３】４．４．２．３ 復元（図９０参照）

【０１３４】

【発明の効果】以上のように、この発明の実施の形態
１，４によれば、未知の形式のデータファイルの学習的
な復元が可能という効果がある。また、実施の形態２及
び３及び４によれば、未知のデータファイルの継続的な
解析、推定、復元処理が可能という効果がある。

【図面の簡単な説明】

【図１】 実施の形態１の構成図。

【図２】 特徴解析処理装置６の構成図。

【図３】 データ確認処理装置８の構成図。

【図４】 実施の形態１の処理の流れを示すフロー図。

【図５】 実施の形態２の処理の流れを示すフロー図。

【図６】 実施の形態３の処理の流れを示すフロー図。

【図７】 従来の構成図。

【図８】 実施の形態４のシステム機能仕様を示す図。

【図９】 全体制御サブシステムを示す図。

【図１０】 復元可能な処理の優先順位を示す図。

【図１１】 推定処理制御機能の制御フロー図。

【図１２】 エラー処理を示す図。

【図１３】 外部モジュール制御機能を示す図。

【図１４】 システムが推定できるフォーマットを示す
図。

【図１５】 ファイル形式推定サブシステムの動作を示
す図。

【図１６】 推定対象を示す図。

【図１７】 推定結果を示す図。

【図１８】 ファイル情報取得サブシステムを示す図。

【図１９】 共通情報取得機能を示す図。

【図２０】 解析結果処理後の解析結果テーブルを示す
図。

【図２１】 ファイル特有属性情報取得機能を示す図。

【図２２】 解析結果処理後の解析結果テーブルを示す
図。

【図２３】 偽装／隠蔽解析サブシステムを示す図。

【図２４】 偽装／隠蔽情報解析を示す図。

【図２５】 検出可能な偽装方法を示す図。

【図２６】 偽装検出処理後の解析結果テーブルを示す
図。

【図２７】 検出可能な隠蔽方法を示す図。

【図２８】 隠蔽検出処理後の解析結果テーブルを示す
図。

【図２９】 ファイル復元サブシステムを示す図。

【図３０】 偽装ファイル修正機能を示す図。

【図３１】 抽出を行った場合の解析結果テーブルを示
す図。

【図３２】 伸長処理を行った場合の解析結果テーブル
を示す図。

【図３３】 展開処理を行った場合の解析結果テーブル
を示す図。

【図３４】 結合処理を行った場合の解析結果テーブル
を示す図。

【図３５】 デコード処理を行った場合の解析結果テー
ブルを示す図。

【図３６】 画面仕様を示す図。

【図３７】 ファイル解析画面からの画面遷移図。

【図３８】 ファイル解析画面構成図。

【図３９】 ボタンの動作を示す図。

【図４０】 ファイルメニューを示す図。

【図４１】 編集メニューを示す図。

【図４２】 表示メニューを示す図。

【図４３】 ヘルプメニューを示す図。

【図４４】 解析状態表示エリアを示す図。

【図４５】 解析状態表示エリアの項目名とその内容を
示す図。

【図４６】 解析状態表示エリアでのマウス操作を示す
図。

【図４７】 処理時の動作を示す図。

【図４８】 ファイル選択画面構成図。

【図４９】 ボタンの動作を示す図。

【図５０】 ファイル詳細情報画面構成図。

【図５１】 表示項目を示す図。

【図５２】 ボタンの動作を示す図。

【図５３】 偽装／隠蔽情報画面構成図。

【図５４】 表示項目を示す図。

【図５５】 ボタンの動作を示す図。

【図５６】 解析ログ表示画面構成図。

【図５７】 ボタンの動作を示す図。

【図５８】 ファイルメニューを示す図。

【図５９】 編集メニューを示す図。

【図６０】 属性検索画面構成図。

【図６１】 検索項目を示す図。

【図６２】 ボタンの動作を示す図。

【図６３】 解析ログ検索画面構成図。

【図６４】 ボタンの動作を示す図。

【図６５】 エラーメッセージ仕様を示す図。

【図６６】 ファイル仕様を示す図。

【図６７】 マジック情報ファイルを示す図。

【図６８】 マジックの詳細を示す図。

【図６９】 偽装情報ファイル構成を示す図。

【図７０】 隠蔽情報ファイル構成を示す図。

【図７１】 解析ログファイルを示す図。

【図７２】 テーブル仕様を示す図。

【図７３】 マジック情報ファイルのデータ構造と偽装
／隠蔽情報ファイルのデータ構造とを示す図。

【図７４】 解析項目のデータ構造を示す図。

【図７５】 解析項目リストを示す図。

【図７６】 解析結果を示す図。

【図７７】 偽装／隠蔽リストを示す図。

【図７８】 偽装／隠蔽情報を示す図。

【図７９】 マジック情報を示す図。

【図８０】 マジックナンバー定義を示す図。

【図８１】 通常ファイルの外部モジュールを示す図。

【図８２】 初期化モジュールのインタフェースを示す
図。

【図８３】 フォーマット推定モジュールのインタフェ
ースを示す図。

【図８４】 詳細解析モジュールのインタフェースを示
す図。

【図８５】 伸長／展開／結合／デコードモジュールの
インタフェースを示す図。

【図８６】 ファイル特有情報変換モジュールのインタ
フェースを示す図。

【図８７】 偽装／隠蔽ファイルの外部モジュールを示
す図。

【図８８】 初期化モジュールのインタフェースを示す
図。

【図８９】 解析モジュールのインタフェースを示す
図。

【図９０】 復元モジュールのインタフェースを示す
図。

【符号の説明】

１ 履歴情報データベース、２ 形式情報データベー
ス、３ 解析情報データベース、４ データ照合処理装
置、５ 復元処理装置、６ 特徴解析処理装置、７ 形
式推定処理装置、８ データ確認処理装置。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 時田 俊雄 東京都千代田区丸の内二丁目２番３号 三 菱電機株式会社内 (72)発明者 儘田 裕幸 東京都千代田区丸の内二丁目２番３号 三 菱電機株式会社内 Ｆターム(参考） 5B082 DC07 GA01 5E501 AC20 BA20 EA34 FA46

Claims (13)

【特許請求の範囲】
1. 【請求項１】 ファイル形式が既知のデータファイルの
   特徴を格納する解析情報データベースと、 ファイル形式が未知のデータファイルを入力し、入力し
   たデータファイルの特徴を解析する特徴解析処理装置
   と、 解析情報データベースが格納している特徴と特徴解析処
   理装置が解析した特徴とに基づいて、データファイルの
   形式を推定する形式推定処理装置と、 形式推定処理装置により推定された形式に基づいてデー
   タファイルを復元する復元処理装置とを有することを特
   徴とするファイル復元装置。
2. 【請求項２】 上記ファイル復元装置は、更に、 データファイル形式の情報を格納する形式情報データベ
   ースと、 データファイルと形式情報データベースの情報とを照合
   して、データファイルの形式を判定するデータ照合処理
   装置とを備え、 上記形式情報データベースは、新たなファイル形式の情
   報を追加又は更新し、上記データ照合処理装置は、追加
   又は更新された形式情報データベースを参照してデータ
   ファイルの形式を判定し、上記復元処理装置は、データ
   照合処理装置が判定した形式に基づいてデータファイル
   を復元することを特徴とする請求項１記載のファイル復
   元装置。
3. 【請求項３】 上記特徴解析処理装置は、新たなファイ
   ル形式のデータファイルが持つ特徴を解析する演算装置
   を追加し、 解析情報データベースは、新たなファイル形式のデータ
   ファイルが持つ特徴を格納し、 上記形式推定処理装置は、特徴解析処理装置に追加され
   た演算装置により解析された特徴が解析情報データベー
   スに格納した特徴と一致する場合に、入力したデータフ
   ァイルが新たなファイル形式のファイルであるというこ
   とを推定することを特徴とする請求項１記載のファイル
   復元装置。
4. 【請求項４】 上記ファイル復元装置は、更に、 入力したデータファイルの履歴を格納する履歴データベ
   ースを備え、上記履歴データベースに格納されたデータ
   ファイルの中で復元できなかったデータファイルを再び
   入力して復元することを特徴とする請求項２又は３記載
   のファイル復元装置。
5. 【請求項５】 上記ファイル復元装置は、形式が未知の
   複数のデータファイルの特徴を抽出、解析、蓄積するこ
   とにより、学習的にファイル形式を推定し、データファ
   イルを復元することを特徴とする請求項１〜４いずれか
   記載のファイル復元装置。
6. 【請求項６】 上記特徴解析処理装置は、データファイ
   ルの特徴を複数の解析項目により解析することを特徴と
   する請求項１〜５いずれか記載のファイル復元装置。
7. 【請求項７】 上記複数の解析項目は、少なくともデー
   タファイルの属性情報と統計情報とのいずれかを含むこ
   とを特徴とする請求項６記載のファイル復元装置。
8. 【請求項８】 特定のアプリケーションにより作成され
   た所定の形式を持つデータファイルの所定の位置にある
   値の特徴情報をマジック情報として記憶するマジック情
   報ファイルと、 ファイル形式が判別できないファイルを入力し、入力し
   たファイルの所定の位置にある値と上記マジック情報フ
   ァイルに記憶されたマジック情報とを照合して、入力し
   たファイルのファイル形式を推定するファイル形式推定
   サブシステムと、 ファイル形式推定サブシステムが推定したファイル形式
   を用いて入力したファイルの内容が認識できるように復
   元するファイル復元サブシステムとを備えたことを特徴
   とするファイル復元装置。
9. 【請求項９】 上記ファイル形式推定サブシステムは、
   更に、データファイルのファイル形式特有の特徴をチェ
   ックすることにより、入力したファイルのファイル形式
   を推定することを特徴とする請求項８記載のファイル復
   元装置。
10. 【請求項１０】 上記ファイル復元装置は、更に、ファ
    イル形式推定サブシステムが推定したファイル形式に依
    存して得られるファイル特有属性情報を抽出して保存す
    るとともに、圧縮ファイルの伸長と、エンコードファイ
    ルのデコードと、アーカイブファイルの展開と、分割フ
    ァイルの結合とのいずれの処理が可能であるかを解析す
    るファイル情報取得サブシステムを備えたことを特徴と
    する請求項８又は９記載のファイル復元装置。
11. 【請求項１１】 上記ファイル復元装置は、更に、ファ
    イルに偽装処理又は隠蔽処理がされているかを解析又は
    検出するファイル偽装／隠蔽解析サブシステムを備えた
    ことを特徴とする請求項１０記載のファイル復元装置。
12. 【請求項１２】 上記ファイル復元サブシステムは、 偽装されたファイルの修正と、 隠蔽されたファイルの抽出と、 圧縮ファイルの伸長と、 エンコードファイルのデコードと、 アーカイブファイルの展開と、 分割ファイルの結合とを試みることによりファイルの復
    元を行うことを特徴とする請求項１１記載のファイル復
    元装置。
13. 【請求項１３】 上記ファイル復元装置は、更に、ファ
    イル形式が特定できなかったファイルの特徴を抽出して
    保存するファイル特徴解析サブシステムを備えたことを
    特徴とする請求項８〜１３いずれか記載のファイル復元
    装置。