JP2010061397A - 操作ログ管理装置及び操作ログ管理方法 - Google Patents

Abstract

【課題】メモリ、ストレージ容量或いはバッテリなど、リソース上の制約の厳しい情報処理端末において、リソース不足やエラーなどの障害に対して、保存された操作ログの信頼性向上を実現する操作ログ管理装置及び操作ログ管理方法を提供する。
【解決手段】操作ログ管理装置１００は、操作情報ＯＰを保持する操作情報保持部１１１と、操作情報ＯＰを保持しているか否かを示す保持フラグをメモリ３１に維持し、操作情報保持部１１１が操作情報ＯＰを保持する際に保持フラグを設定し、操作情報ＯＰのストレージ３０への保存が完了した場合に保持フラグを消去する保持フラグ設定部１１２と、操作ログ管理装置１００の起動時に保持フラグを参照し、操作情報ＯＰを保持していることを示す場合、操作ログＬＧの保存失敗を示すログをストレージ３０に保存するとともに保持フラグを消去する起動時ログ部１１８とを備える。
【選択図】図１

Description

本発明は、情報処理端末における操作の履歴を含む操作ログを管理する操作ログ管理装置及び操作ログ管理方法に関する。

従来、携帯電話端末、Personal Digital Assistant（PDA）及びパーソナルコンピュータ（PC）などの情報処理端末において、当該情報処理端末の操作履歴を含む操作ログが保存されることがある。操作ログを保存することで、例えば、ユーザが情報処理端末の紛失・盗難に気付いてから情報処理端末を回収した際、情報処理端末の不正利用がされていないかを、操作ログを参照することで確認できる。ただし、不正利用の確認を確実に行うためには、情報処理端末のリソース不足やエラーなどの障害に対して、保存された操作ログの信頼性を担保する必要がある。また、操作ログは、情報処理端末の操作に応じて増大する。

そこで、操作ログの改ざんを防止する技術や、容量を削減する技術が提案されている（例えば、特許文献１及び特許文献２）。
特開２００８−４０７４５号公報（第８−９頁、第２図） 特開２００６−２９３８３４号公報（第１６−１７頁、第１１図）

情報処理端末のリソース不足やエラーなどの障害に対して、操作ログの保存の信頼性を向上すること、さらに、所定期間（例えば３日）の操作ログを確実に保存するためには、次のような課題がある。

第一に、操作ログの保存が、リソース（メモリ、バッテリ、ストレージなど）不足や、機能のエラー、突然の電源断などの障害により失敗した際、操作ログが消失する可能性がある。

第二に、大量の操作ログが発生した際、ストレージ容量が限られるため、操作ログが溢れ、所定期間の操作ログが保存できなくなる可能性が高い。操作ログの記憶領域を確保するため、既存ファイルを消去することが考えられるが、重要なシステムファイルやユーザデータの消去は、システム障害、データ消失及び利便性の低下につながる可能性がある。

第三に、情報処理端末側で操作ログの空き容量が確保不能となった際、所定期間の操作ログを保存できない。さらに、サーバ側で常に所定期間の操作ログを把握して情報処理端末を管理下に置きたい場合において、情報処理端末が無線通信ネットワークを介して操作ログをサーバに転送する機能を有しても、情報処理端末が長時間に渡って通信圏外に位置したり、無線通信ネットワークの障害が発生したりすると、その把握はできない。

本発明は、このような状況に鑑みてなされたものであり、メモリ、ストレージ容量或いはバッテリなど、リソース上の制約の厳しい情報処理端末において、リソース不足やエラーなどの障害に対して、保存された操作ログの信頼性向上を実現する操作ログ管理装置及び操作ログ管理方法を提供することを目的とする。

上述した問題を解決するため、本発明は、次のような特徴を有している。まず、本発明の第１の特徴は、情報処理端末（端末１０）における操作の履歴を含む操作ログ（操作ログＬＧ）を管理するとともに、前記情報処理端末に備えられたストレージ（ストレージ３０）に前記操作ログを保存するログ保存部（ログ保存部１１３）を備え、前記情報処理端末に実装される操作ログ管理装置（操作ログ管理装置１００）であって、前記操作ログとして前記ストレージに保存される前記操作の内容を示す１または複数の操作情報（操作情報ＯＰ）を保持する操作情報保持部（操作情報保持部１１１）と、前記操作情報保持部が前記操作情報を保持しているか否かを示す保持フラグを不揮発なメモリ（メモリ３１）に維持し、前記操作情報保持部が前記操作情報を保持する際に前記保持フラグを設定し、前記操作情報の前記ストレージへの保存が完了した場合に前記保持フラグを消去する保持フラグ設定部（保持フラグ設定部１１２）と、前記操作ログ管理装置の起動時に前記保持フラグを参照し、前記操作情報を保持していることを示す場合、前記操作ログの保存失敗を示すログを前記ストレージに保存するとともに前記保持フラグを消去する起動時ログ部（起動時ログ部１１８）とを備えることを要旨とする。

本発明の第２の特徴は、本発明の第１の特徴に係り、前記保持フラグ設定部が設定する前記保持フラグは、前記操作情報が発生した時刻を示すタイムスタンプまたは前記操作情報の種別の少なくとも何れかを含み、前記起動時ログ部は、前記操作ログの保存の失敗に加えて、前記保持フラグの内容を含むログを前記ストレージに保存することを要旨とする。

本発明の第３の特徴は、本発明の第１の特徴に係り、前記保持フラグ設定部は、前記情報処理端末の不正利用に関わる種別の操作情報を保持している場合にのみ、前記保持フラグを設定することを要旨とする。

本発明の第４の特徴は、本発明の第１の特徴に係り、前記操作情報の処理における障害の有無を示す障害フラグを不揮発なメモリ（メモリ３１）に維持し、前記情報処理端末における前記操作情報の処理での正常動作の維持を妨げる致命的障害が検出された場合、前記致命的障害が検出された時刻を示すタイムスタンプまたは前記致命的障害の種別の少なくとも何れかを含む前記障害フラグを設定し、前記障害フラグの設定後に前記情報処理端末の再起動を実行する障害対処部（障害対処部１１４）を備え、前記起動時ログ部は、前記操作ログ管理装置の起動時に前記障害フラグを参照し、前記障害フラグが設定されている場合、前記障害フラグの内容を示すログを保存するとともに前記障害フラグを消去することを要旨とする。

本発明の第５の特徴は、本発明の第４の特徴に係り、前記障害対処部は、前記再起動によっても前記情報処理端末における前記操作情報の処理に関する障害から復旧できていない場合、前記情報処理端末のユーザへの警告または前記情報処理端末に対する操作の制限を実行することを要旨とする。

本発明の第６の特徴は、本発明の第１の特徴に係り、前記操作ログの削除命令を受け付けた際、前記情報処理端末の正当な管理者であるかを認証し、前記操作ログの削除を実行するログ削除部（ログ削除部１２３）を備えることを要旨とする。

本発明の第７の特徴は、本発明の第１の特徴に係り、前記ログ保存部は、前記情報処理端末のリセットまたは電源供給が停止される前に実行される呼出しに応じて、前記操作情報保持部が保持している前記操作情報を前記リセットまたは前記電源供給の停止の前に、前記ストレージに保存することを要旨とする。

本発明の第８の特徴は、本発明の第１の特徴に係り、前記ストレージの空き容量が不足した際に前記ストレージから消去可能なファイルまたはフォルダである消去可能情報を指定する消去可リスト（消去可リストＬ１）を保持する消去可リスト保持部（消去可リスト保持部１０１）と、前記ストレージの空き容量が不足した際に、前記操作ログのタイムスタンプを参照し、所定期間より前の前記操作ログを消去する操作ログ消去部（操作ログ消去部１０３）と、前記操作ログ消去部による前記操作ログの消去では前記ストレージの空き容量の不足が解消されない場合、前記消去可リストによって指定された前記消去可能情報のうち、前記情報処理端末において利用中でない前記消去可能情報を消去する情報消去部（消去可ファイル消去部１０５）とを備えることを要旨とする。

本発明の第９の特徴は、本発明の第８の特徴に係り、前記操作ログを前記情報処理端末の第１外部デバイス（例えば、サーバ２０）に出力し、出力した前記操作ログを前記操作ログ消去部に消去させる操作ログ出力部（操作ログ出力部１０７）を備えることを要旨とする。

本発明の第１０の特徴は、本発明の第８の特徴に係り、前記消去可リスト保持部は、前記情報処理端末の出荷時からプリインストールされている前記ファイルを前記消去可能情報として指定する前記消去可リストを保持することを要旨とする。

本発明の第１１の特徴は、本発明の第８の特徴に係り、前記消去可リスト保持部は、前記情報処理端末において利用中である前記ファイルの前記消去可リストから削除、または前記情報処理端末の第２外部デバイス（例えば、外部ストレージ４１）に出力された前記ファイルの前記消去可リストへの追加の少なくとも何れかを含むリスト編集処理を実行することを要旨とする。

本発明の第１２の特徴は、本発明の第８の特徴に係り、前記操作ログ消去部によって前記消去可能情報を消去しても前記ストレージの空き容量が所定値を下回る場合、前記情報処理端末に対する操作の制限を実行するとともに、ストレージの空き容量が前記所定値以上になった場合、前記制限を解除する操作制限部（操作制限部１２７）を備えることを要旨とする。

本発明の第１３の特徴は、本発明の第１２の特徴に係り、前記操作制限部は、前記操作ログ出力部による前記操作ログの前記第１外部デバイスへの出力が失敗した場合、前記制限の実行、バイオメトリクスを用いた前記情報処理端末のユーザの認証、または前記ユーザへの前記出力の失敗通知の少なくとも何れかを実行することを要旨とする。

本発明の第１４の特徴は、本発明の第８の特徴に係り、前記消去可リストは、前記消去可能情報を消去する順序の優先度を含み、前記優先度は、前記ファイルを優先的に消去するように規定され、前記情報消去部は、前記優先度に従って前記ファイルを消去することを要旨とする。

本発明の第１５の特徴は、本発明の第８の特徴に係り、前記情報消去部は、前記消去可能情報を消去した場合、前記消去可能情報が一時的に消去されたことを示すダミーファイルを生成することを要旨とする。

本発明の第１６の特徴は、本発明の第８の特徴に係り、前記ストレージの空き容量が所定値以上になった場合、前記情報消去部によって消去される前に前記情報処理端末の外部に出力された前記ファイルの出力先、または前記ファイルのダウンロード元を示すファイル取得情報に基づいて、前記情報消去部によって消去された前記ファイルを修復する修復部（修復部１０９）を備えることを要旨とする。

本発明の第１７の特徴は、本発明の第８特徴に係り、前記ログ保存部は、前記操作ログ消去部による前記操作ログの消去、及び前記情報消去部による前記消去可能情報の消去では前記ストレージの空き容量の不足が解消されない場合、前記操作ログの保存先を、前記情報処理端末の外部に設けられた外部ストレージ（例えば、外部ストレージ４２）に切り替えることを要旨とする。

本発明の第１８の特徴は、情報処理端末における操作の履歴を含む操作ログを管理する操作ログ管理方法であって、前記操作ログとして保存される前記操作の内容を示す１または複数の操作情報を、前記情報処理端末に備えられたストレージに保持するステップと、前記操作情報を保持しているか否かを示す保持フラグを維持し、前記操作情報が前記ストレージに保持される際に前記保持フラグを設定し、前記操作情報の前記ストレージへの保存が完了した場合に前記保持フラグを消去するステップと、前記操作ログ管理装置の起動時に前記保持フラグを参照し、前記操作情報を保持していることを示す場合、前記操作ログの保存失敗を示すログを前記ストレージに保存するとともに前記保持フラグを消去するステップとを備えることを要旨とする。

本発明の特徴によれば、メモリ、ストレージ容量或いはバッテリなど、リソース上の制約の厳しい情報処理端末において、リソース不足やエラーなどの障害に対して、保存された操作ログの信頼性向上を実現する操作ログ管理装置及び操作ログ管理方法を提供することができる。

次に、本発明の実施形態について説明する。具体的には、（１）情報処理端末の全体概略構成、（２）機能ブロックの詳細、（３）操作ログ管理装置の動作、（４）作用・効果、及び（５）その他の実施形態について説明する。

なお、以下の図面の記載において、同一または類似の部分には、同一または類似の符号を付している。ただし、図面は模式的なものであり、各寸法の比率などは現実のものとは異なることに留意すべきである。

したがって、具体的な寸法などは以下の説明を参酌して判断すべきものである。また、図面相互間においても互いの寸法の関係や比率が異なる部分が含まれていることは勿論である。

（１）情報処理端末の全体概略構成
図１は、本実施形態に係る操作ログ管理装置を含む情報処理端末の全体概略構成図である。図１に示すように、本実施形態において情報処理端末を構成する端末１０には、操作ログ管理装置１００が実装される。操作ログ管理装置１００は、情報処理端末（端末１０）における操作の履歴を含む操作ログＬＧを管理する。

端末１０は、携帯電話端末、Personal Digital Assistant（PDA）或いはノート型のパーソナルコンピュータ（PC）などである。操作ログ管理装置１００は、オペレーティングシステム（OS）上において動作するアプリケーション、或いはミドルウェアとして端末１０上に実装される。なお、操作ログ管理装置１００は、デバイスドライバなど、OSに含まれるソフトウェアとして実装されてもよいし、ハードウェアとして実装されてもよい。

端末１０は、有線通信路または無線通信路を介してサーバ２０に接続できる。また、端末１０は、端末１０内部に実装されたストレージ３０またはメモリ３１、及び端末１０の外部に設けられた外部ストレージ４１と外部ストレージ４２とにアクセスできる。

操作ログ管理装置１００は、消去可リスト保持部１０１、操作ログ消去部１０３、消去可ファイル消去部１０５、及び操作ログ出力部１０７を備える。また、操作ログ管理装置１００は、修復部１０９、操作情報保持部１１１、保持フラグ設定部１１２、ログ保存部１１３、障害対処部１１４、ＭＡＣ保存部１１５、ログ待避部１１７、起動時ログ部１１８、操作情報出力部１１９、システム停止情報出力部１２１、ログ削除部１２３、ログ送信部１２５及び操作制限部１２７を備える。

（２）機能ブロックの詳細
次に、操作ログ管理装置１００を構成する各機能ブロックの詳細について説明する。

具体的には、（２．１）ログ保存部１１３、（２．２）操作情報保持部１１１、（２．３）保持フラグ設定部１１２、（２．４）起動時ログ部１１８、（２．５）障害対処部１１４、（２．６）消去可リスト保持部１０１、（２．７）操作ログ消去部１０３、（２．８）消去可ファイル消去部１０５、（２．９）操作ログ出力部１０７、（２．１０）修復部１０９、（２．１１）ログ削除部１２３、（２．１２）ログ送信部１２５、及び（２．１３）操作制限部１２７の順に説明する。

（２．１）ログ保存部１１３
ログ保存部１１３は、端末１０に備えられたストレージ３０に操作ログＬＧを保存する。具体的には、ログ保存部１１３は、端末１０からの操作情報ＯＰにタイムスタンプなどを付加した情報を操作ログＬＧとしてストレージ３０に保存する。

ログ保存部１１３がストレージ３０に操作情報ＯＰ（または複数の操作情報ＯＰを含む操作情報群）を保存するタイミングは、例えば、保持している操作情報ＯＰの数や容量が所定の閾値を超えた場合とすることができる。当該タイミングは、前回の保存タイミングから所定時間が経過したときや、特定の時刻であってもよい。また、当該タイミングは、重要な操作情報ＯＰが入力された場合や、端末１０のバッテリ（不図示）の残量が少なくなったときなどでもよい。或いは、端末１０のリセットまたは電源の供給が停止される前に呼出しを受けたタイミングであってもよい。

また、ログ保存部１１３は、操作ログＬＧを保存する都度新たなファイルを作成し、操作情報ＯＰが書き込まれた当該ファイルを操作ログＬＧとして保存してもよいし、日付や所定時間単位でファイルを分別してもよい。或いは、ログ保存部１１３は、操作情報ＯＰの内容やタイムスタンプなどをデータベースに書き込むことによって操作ログＬＧを生成してもよい。

なお、本実施形態では、ストレージ３０は、端末１０に内蔵されているFlash ROMやハードディスクとしているが、SDカードやUIMなど外部ストレージを用いてもよい。また、メモリ３１は、Flash ROMなど、不揮発性のメモリによって構成される。

ログ保存部１１３は、操作ログ消去部１０３による操作ログＬＧの消去、及び消去可ファイル消去部１０５による消去可能情報の消去によってはストレージ３０の空き容量の不足が解消されない場合、操作ログＬＧの保存先を、端末１０の外部に設けられた外部ストレージ４２に切り替えることができる。或いは、ログ保存部１１３は、ストレージ３０に割り当てられた操作ログＬＧ用の空き容量が閾値以下である場合、操作ログＬＧのタイムスタンプを参照し、所定期間（例えば、３日）より前の操作ログＬＧを、端末１０の外部に設けられた外部ストレージ（例えば、外部ストレージ４１）に待避してもよい。

また、ログ保存部１１３は、暗号化が施された操作ログＬＧを保存することができる。ログ保存部１１３は、暗号化に代えて圧縮が施された操作ログＬＧを保存してもよい。すなわち、ログ保存部１１３は、暗号化または圧縮の少なくとも何れかが施された操作ログＬＧを保存することができる。

（２．２）操作情報保持部１１１
操作情報保持部１１１は、端末１０に対する操作の内容を示す操作情報ＯＰに関する処理を実行する。具体的には、操作情報保持部１１１は、操作ログＬＧとしてストレージ３０に保存される操作の内容を示す１または複数の操作情報ＯＰを保持する。本実施形態では、操作情報保持部１１１は、操作情報ＯＰをＲＡＭ（不図示）に記憶する。

また、操作情報保持部１１１は、複数の操作情報ＯＰを含む操作情報群の認証に用いられる認証コード（ＭＡＣ値）に基づいて、当該操作情報群と認証コードとを関連付けて保存することができる。

なお、Message Authentication Code（ＭＡＣ）値の計算には、例えば、HMAC-MD5、HMAC-SHA1などの鍵付きハッシュ・メッセージ認証コード方式を用いることができる。或いは、CBC-MAC（Cipher Block Chaining-MAC）など、ブロック暗号によるメッセージ認証コードなどを用いてもよい。

（２．３）保持フラグ設定部１１２
保持フラグ設定部１１２は、操作情報保持部１１１が操作情報ＯＰを保持しているか否かを示す保持フラグを不揮発なメモリ３１に維持する。また、保持フラグ設定部１１２は、操作情報保持部１１１が操作情報ＯＰを保持する際に保持フラグを設定する。保持フラグ設定部１１２は、操作情報ＯＰのストレージ３０への保存が完了した場合に保持フラグを消去、つまり、リセットする。

本実施形態では、操作情報ＯＰはＲＡＭに記憶されているが、まだストレージ３０には書き込まれていないため、保持フラグ設定部１１２は、消失する可能性があることを示す保持フラグを設定する。保持フラグが維持されるメモリ３１は、端末１０の突然のリセットや電源断が起きても消失しないものとする。

保持フラグ設定部１１２が設定する保持フラグは、操作情報ＯＰが発生した時刻を示すタイムスタンプまたは操作情報ＯＰの種別を含むことができる。さらに、保持フラグは、複数の操作情報ＯＰに対して、各々に対応するタイムスタンプを含むこともできる。

また、保持フラグ設定部１１２は、処理オーバヘッドの削減のため、端末１０の不正利用に関わる種別の操作情報ＯＰを保持している場合にのみ、保持フラグを設定することができる。不正利用に関わる種別とは、「折りたたみの携帯電話の開閉」、「暗証番号の入力」及び「バイオメトリクス認証の入力」などである。

（２．４）起動時ログ部１１８
起動時ログ部１１８は、操作ログ管理装置１００の起動時に保持フラグを参照し、操作情報ＯＰを保持していることを示す場合、操作ログＬＧの保存失敗を示すログをストレージ３０に保存するとともに、当該保持フラグを消去する。

また、起動時ログ部１１８は、操作ログＬＧの保存の失敗に加えて、保持フラグの内容として、操作情報ＯＰが発生したタイムスタンプや操作情報ＯＰの種別を含むログを前記ストレージに保存できる。さらに、起動時ログ部１１８は、保持フラグが操作情報ＯＰを保持していないことを示す場合、保持フラグの保存の失敗がないことを示すログをストレージに保存できる。

起動時ログ部１１８は、操作ログ管理装置１００の起動時に、操作情報ＯＰの処理における障害の有無を示す障害フラグを参照する。起動時ログ部１１８は、障害フラグが設定されている場合、障害フラグの内容を示すログを保存するとともに、障害フラグを消去する。さらに、障害フラグが設定されていない場合、障害がないことを示すログをストレージに保存できる。

（２．５）障害対処部１１４
障害対処部１１４は、操作情報ＯＰの処理における障害の有無を示す障害フラグをメモリ３１に維持する。障害対処部１１４は、端末１０における操作情報ＯＰの処理での正常動作の維持を妨げる致命的障害が検出された場合、致命的障害が検出された時刻を示すタイムスタンプまたは致命的障害の種別を含む障害フラグを設定する。

障害対処部１１４は、障害フラグの設定後に、端末１０の再起動を実行する。障害の種別とは、メモリ３１の容量不足や、ストレージ３０の異常などである。

また、障害対処部１１４は、端末１０の再起動によっても端末１０における操作情報ＯＰの処理に関する障害から復旧できていない場合、端末１０のユーザへの警告または端末１０に対する操作の制限を実行できる。

（２．６）消去可リスト保持部１０１
消去可リスト保持部１０１は、ストレージ３０の空き容量が不足した際にストレージ３０から消去可能なファイルまたはフォルダを指定する消去可リストＬ１（図１において不図示、図２参照）を保持する。なお、以下、ストレージ３０の空き容量が不足した際にストレージ３０から消去可能なファイルまたはフォルダを適宜「消去可能情報」と記載する。

図２は、消去可リストＬ１の一例を示す。図２に示すように、消去可リストＬ１は、消去可能情報を消去する順序の優先度を含むことができる。当該優先度が高いファイルなどは、優先的に消去するように規定される。

例えば、プリインストールのビデオpreinstall1.mp4やテンポラリファイルフォルダD:\tmpは優先的に消去するため、優先度が「１」に設定される。一方、プリインストールの音楽preinstall2.wavやバックアップファイルフォルダD:\backupは、優先度が「１」よりも低い「２」に設定される。さらに、写真preinstall3.jpgやサンプルアプリケーションD:\sampleappは、優先度が「２」よりも低い「３」に設定される。

消去可リスト保持部１０１は、端末１０のユーザや、端末１０を管理する企業の管理者などの指定に従って、消去可リストＬ１に所望のファイルの追加や削除することもできる。例えば、ユーザに提示可能な消去可リスト設定のメニューを設けたり、遠隔から操作ログ管理装置１００を制御したりすることによって、消去可リストＬ１に所望のファイルの追加などが実現される。例えば、消去可リストＬ１において、preinstall1.mp4はユーザが気に入っているため、当該ファイルが消去可リストＬ１から削除されることが考えられる。また、当該管理者から、ゲーム関連のファイルは不要として、例えば、d:\gamesのフォルダが消去可リストＬ１に追加されることが考えられる。

消去可リスト保持部１０１は、端末１０において利用中であるファイルの消去可リストＬ１からの削除を実行することができる。また、消去可リスト保持部１０１は、何れかの外部ストレージ、例えば外部ストレージ４１に出力、つまり、バックアップされたファイルの消去可リストへの追加を実行することができる。本実施形態において、外部ストレージ４１は、第２外部デバイスを構成する。すなわち、消去可リスト保持部１０１は、ファイルの追加や削除などのリスト編集処理を実行することができる。

なお、本実施形態では、外部ストレージ４１及び外部ストレージ４２は、SDカードやUser Identity Module（UIM）、USB、ハードディスクなどのうち何れでもよい。

例えば、端末１０の待ち受け画面に用いられている画像など、当該ファイル（画像）の消去によって問題があるファイルが消去の対象から除外されることが考えられる。消去可リストＬ１において、例えば、preinstall3.jpgが待ち受け画面に利用されている場合、当該ファイルが消去可リストＬ１から削除される。なお、当該ファイルが待ち受け画面に用いられなくなった場合、消去可リストＬ１に当該ファイルを再び追加してもよい。

また、外部ストレージ４１に出力（バックアップ）されたファイルは、ファイルやデータベースのバックアップ機能からの通知、或いは当該バックアップ機能に問い合わせることによって認識される。さらに、消去可リスト保持部１０１は、サーバ２０や外部ストレージにバックアップ済みのファイルをバックアップ先情報とともに消去可リストＬ１に追加してもよい。消去可リストＬ１において、preinstall3.jpgは、サーバ２０にバックアップ済みであるため、「修復」のエントリにおいてサーバ２０のアドレスが保持されている。アドレスは、URL、IPアドレス、ホスト名など何れでもよい。また、D:\backupは、外部ストレージ４１にバックアップされていることが記録されている。

消去可リスト保持部１０１は、端末１０の出荷時からプリインストールされているファイルを消去可能情報として指定する消去可リストＬ１を保持することもできる。また、消去可リスト保持部１０１は、プリインストールされているファイルであって、端末１０が外部からダウンロード可能であるファイルを、ダウンロード先情報とともに消去可リストＬ１に追加することができる。

消去可リストＬ１において、preinstall1.mp4は、修復のエントリにおいてダウンロード先としてURL1が保持されている。URL1のサーバは、例えば端末１０のメーカのサイトやコンテンツプロバイダのサイトなどとすることができる。このようなファイルを指定することによって、当該ファイルが消去された場合でも端末１０やユーザへの影響を少なくすることができる。

（２．７）操作ログ消去部１０３
操作ログ消去部１０３は、ストレージ３０の空き容量が不足した際に、操作ログＬＧのタイムスタンプを参照し、所定期間より前の操作ログＬＧを消去する。

具体的には、操作ログ消去部１０３は、操作ログＬＧの空き容量が不足していることを、操作ログ消去部１０３自体が操作ログＬＧ用に割り当てられたストレージ３０の空き容量を監視することによって判定してもよいし、操作ログ管理装置１００内の別モジュール、端末１０のOS、ファイルシステム、或いはデータベースなどからの通知によって、空き容量が不足していることを認識してもよい。

例えば、操作ログ消去部１０３自体がストレージ３０の空き容量を監視する場合、周期的なタイマ割り込みによって操作ログ消去部１０３が起動し、空き容量が不足しているかどうかが判定される。空き容量は、例えば、操作ログＬＧ用に割り当てられたストレージ３０の容量から、操作ログＬＧによって消費されている容量を引いた容量が、所定値を下回っている場合、不足と判定される。

また、所定期間として、例えば３日が指定された場合、タイムスタンプが３日よりも前の操作ログＬＧが消去される。その際、操作ログ消去部１０３は、３日より以前の操作ログＬＧをすべて消去してもよいし、一部のみを消去してもよい。

本実施形態では、操作ログＬＧには、端末１０の操作の種別に応じた操作優先度が割り当てられる。操作ログ消去部１０３は、当該操作優先度に基づいて消去する操作ログＬＧを決定することができる。

図５は、操作情報ＯＰ（図１参照）の種別及び操作優先度の具体例を示す。図５に示すように、電話帳の閲覧は高操作優先度「１」に指定され、Web閲覧は低操作優先度「３」に指定される。操作ログ消去部１０３は、操作ログＬＧを消去する際、Web閲覧に関する操作ログＬＧを消去する場合や、操作優先度が「３」に指定されている操作ログＬＧすべて（図５の例では、Web閲覧と設定変更）を消去する場合がある。

なお、操作ログ消去部１０３は、操作ログＬＧを消去する際、削除した操作ログＬＧの操作情報ＯＰの種別を保存することができる。例えば、操作ログ消去部１０３は、Web閲覧に関する操作ログＬＧを削除したことを保存できる。

また、操作ログ消去部１０３は、操作ログＬＧを消去する際、認証コード、具体的には、ＭＡＣ値と関連付けられた複数の操作情報ＯＰを含む操作情報群を単位として操作情報ＯＰを消去することもできる。さらに、操作ログ消去部１０３は、操作ログＬＧを消去する際、ダイアログを表示してユーザに消去の確認を要求したり、暗証番号やバイオメトリクス認証によってユーザ認証を行ったりしてもよい。

（２．８）消去可ファイル消去部１０５
消去可ファイル消去部１０５は、前操作ログ消去部１０３による操作ログＬＧの消去ではストレージ３０の空き容量の不足が解消されない場合、消去可リストＬ１で指定されたファイルまたはフォルダを削除する。本実施形態において、消去可ファイル消去部１０５は、情報消去部を構成する。

具体的には、消去可ファイル消去部１０５は、操作ログ消去部１０３による操作ログＬＧの消去ではストレージ３０の空き容量の不足が解消されない場合、消去可リストＬ１によって指定された消去可能情報のうち、端末１０において利用中でない消去可能情報を消去する。

消去可リストＬ１に示すように、消去可ファイル消去部１０５は、消去済みエントリにおいて消去済みのファイルまたはフォルダにマーク、具体的には「１」に設定することによって、次に消去可能なファイルやフォルダを検出することができる。なお、消去可ファイル消去部１０５は、ファイルなどを消去する際、ダイアログを表示してユーザに消去の確認を要求したり、暗証番号やバイオメトリクス認証によってユーザ認証を行ったりしてもよい。

消去可ファイル消去部１０５は、ファイル（またはフォルダ、以下同）に優先度が指定されている場合、当該優先度に従ってファイルを消去することができる。具体的には、消去可ファイル消去部１０５は、消去可リストＬ１に基づいて、高優先度のファイル（またはフォルダ）を抽出し、抽出したファイルを削除する。なお、消去可ファイル消去部１０５は、ファイル抽出の際、消去済みのファイルは抽出しない。また、消去可ファイル消去部１０５は、所定数、所定容量或いは最高の優先度から所定優先度までのファイルを抽出してもよい。

消去可ファイル消去部１０５は、当該ファイル、つまり、消去可能情報を消去した場合、消去可能情報が一時的に消去されたことを示すダミーファイルを生成することができる。或いは、消去可ファイル消去部１０５は、当該ファイルを管理するモジュールに対してファイルが一時的に消去されたことを示す一時消去フラグを設定してもよい。

このような処理によって、操作ログＬＧを保存するために消去されたコンテンツやアプリケーションなどのファイルをユーザが利用しようとした際、当該ファイルが一時的に消去されたことを示すダミーファイルやダイアログを表示することができる。

例えば、画像ファイルの場合、消去したファイル名と同じファイル名として一時消去された旨が記載されているダミー画像ファイルを保存したり、消去した画像ファイルからダミー画像ファイルへのリンクを設定したりすることによって、ダミー画像のユーザへの表示を実現する。

また、例えばファイルがデータベースによって管理されている場合、消去可ファイル消去部１０５は、当該データベース上における当該ファイルのレコードに対して一時消去フラグを設定すればよい。また、ファイルが特定のアプリケーションで管理されている場合、消去可ファイル消去部１０５は、当該アプリケーションの管理テーブルにおいて一時消去フラグを設定すればよい。

（２．９）操作ログ出力部１０７
操作ログ出力部１０７は、操作ログＬＧをサーバ２０に出力し、出力した操作ログＬＧを操作ログ消去部１０３に消去させる。本実施形態において、サーバ２０は、端末１０の第１外部デバイスを構成する。

操作ログ出力部１０７は、出力したすべての操作ログＬＧを操作ログ消去部１０３に消去させてもよいし、出力した操作ログＬＧのうち、最近の操作ログＬＧは消去せずにストレージ３０に保存しておいてもよい。なお、操作ログ出力部１０７は、出力が成功した操作ログＬＧをマークすることによって、出力が失敗した操作ログＬＧの消去を回避する。

端末１０からサーバ２０への操作ログＬＧの出力は、UART、USB、Bluetooth、無線LAN、携帯電話網など、有線インタフェース或いは無線インタフェースを介して行われる。操作ログ出力部１０７は、ユーザが該当するメニューを選択することによって操作ログＬＧの出力が指示された場合、有線インタフェース或いは無線インタフェースを介して通信路が確立された場合、或いはサーバ２０から出力要求された場合などに操作ログＬＧを出力できる。

（２．１０）修復部１０９
修復部１０９は、ストレージ３０の空き容量が所定値以上になった場合、消去可ファイル消去部１０５によって消去される前にサーバ２０に出力されたファイルの出力先、または当該ファイルのダウンロード元を示すファイル取得情報に基づいて、消去可ファイル消去部１０５によって消去されたファイルを修復する。

具体的には、バックアップ先またはダウンロード元がサーバ２０である場合、修復部１０９は、当該ファイルをサーバ２０からダウンロードし、ストレージ３０上における消去前の位置に再配置する。バックアップ先が外部ストレージの場合、修復部１０９は、当該外部ストレージからファイルを読み込み、ストレージ３０上における消去前の位置に再配置する。

なお、修復部１０９は、優先度に従って修復するファイルを選択することができる。例えば、修復部１０９は、消去可リストＬ１において優先度が「３」に設定されているファイルから優先的に修復することができる。

また、修復部１０９は、修復したファイルの消去済みエントリ（消去可リストＬ１参照）を「０」にリセットする。リセット後、修復部１０９は、ストレージ３０の空き容量が不足してくると、当該ファイルを消去可能に設定する。

（２．１１）ログ削除部１２３
ログ削除部１２３は、操作ログＬＧの削除命令を受け付けた際、情報処理端末の正当な管理者であるかを認証し、操作ログＬＧの削除を実行する。削除命令にはすべての操作ログＬＧを削除する初期化を含む。管理者とは、例えば、端末１０のユーザが社員の場合、その社員が属する企業の情報システム管理者、ユーザが子供の場合、その親となる。管理者とユーザとが同じ場合もあるが、本実施形態では異なるものとする。

具体的には、ログ削除部１２３は、ローカル、すなわち端末１０のメニューなどから操作ログＬＧの削除命令を受け付けた際、正当な管理者であるかを認証するため、暗証番号や指紋などのバイオメトリクスによる認証を要求する。ログ削除部１２３は、正当な管理者からの削除命令と判定した場合、操作ログＬＧの削除を実行する。

また、ログ削除部１２３は、遠隔からの操作ログＬＧの削除命令の場合、削除命令に付与された電子署名の検証や鍵の照合などに基づいて、許可された正当な管理者からの削除命令か否かを判定する。ログ削除部１２３は、正当な管理者からの削除命令と判定した場合、操作ログＬＧの削除を実行する。

（２．１２）ログ送信部１２５
ログ送信部１２５は、時間やイベントに基づく条件に従って未送信の操作ログＬＧをサーバ２０に送信する。例えば、ログ送信部１２５は、所定の間隔で周期的に未送信の操作ログＬＧを送信したり、特定の時刻で送信したりすることができる。

また、ログ送信部１２５は、サーバ２０や他のサーバからのデータ消去命令や削除命令に対する応答時に未送信の操作ログＬＧを併せて送信したり、暗証番号の入力の失敗など、セキュリティ上重要な操作情報ＯＰが発生した際に未送信の操作ログＬＧを送信したりしてもよい。

なお、ログ送信部１２５は、未送信の操作ログＬＧをサーバ２０に送信する際、未送信のすべての操作ログＬＧではなく、重要な操作ログＬＧや、比較的新しいまたは古い操作ログＬＧなど、未送信の操作ログＬＧの一部を抽出して送信してもよい。

（２．１３）操作制限部１２７
操作制限部１２７は、操作ログ消去部１０３によってファイルなどの消去可能情報を消去してもストレージ３０の空き容量が所定値を下回る場合、端末１０に対する操作の制限を実行する。また、操作制限部１２７は、ストレージ３０の空き容量が所定値以上になった場合、当該制限を解除する。

具体的には、操作制限部１２７は、消去可能情報を消去しても操作ログＬＧの空き容量が所定値を下回る場合、端末１０をロック状態として利用を制限する。操作制限部１２７は、ストレージ３０の空き容量が所定値以上になった場合、当該ロックを解除する。

また、操作制限部１２７は、所定時間に渡って、或いは所定回数に渡ってサーバ２０への操作ログＬＧの送信が失敗した場合にも、端末１０をロック状態としたり、バイオメトリクス認証によってユーザ認証を行ったりしてもよい。或いは、操作制限部１２７は、操作ログ出力部１０７による操作ログＬＧのサーバ２０への出力が失敗した場合、当該ユーザへの出力の失敗通知をしてもよい。

さらに、操作制限部１２７は、操作ログ出力部１０７による操作ログＬＧのサーバ２０への出力が失敗した場合、消去可ファイル消去部１０５による消去可能情報の消去を実行させてもよい。

（３）操作ログ管理装置の動作
次に、操作ログ管理装置１００の動作について説明する。具体的には、（３．１）消去可能情報の消去手順、（３．２）ログ保存手順、（３．３）操作ログ待避手順、（３．４）操作ログ保存先切替手順、（３．５）起動時フラグ検査手順、（３．６）障害対処手順、（３．７）操作ログ削除手順、（３．８）操作ログ送信手順、及び（３．９）修復手順について説明する。

（３．１）消去可能情報の消去手順
まず、図３及び図４を参照して、ファイルなどの消去可能情報の消去手順について説明する。

（３．１．１）手順１
図３は、操作ログ管理装置１００による消去可能情報の消去手順１に従ったフローチャートを示す。本手順は、タイマ割り込みを契機に実行される。

図３に示すように、ステップ３１において、操作ログ消去部１０３は、まず、操作ログＬＧの空き容量が不足しているかどうかを判定する。操作ログ消去部１０３は、空き容量が不足していない場合、手順を終了する。

ステップ３２において、操作ログ消去部１０３は、ストレージ３０に保存されている操作ログＬＧのタイムスタンプを参照し、所定期間期間より前の操作ログを消去する。この際、操作ログ消去部１０３は、ダイアログを表示してユーザに消去の確認をしてもよいし、暗証番号やバイオメトリクス認証によってユーザ認証を行ってもよい。

ステップ３３において、操作ログ消去部１０３は、もう一度、操作ログＬＧの空き容量が不足しているかどうかを判定する。ステップＳ３２における操作ログＬＧの消去によって空き容量の不足が解消された場合、操作ログ消去部１０３は、手順を終了する。

ステップ３４において、空き容量の不足が解消されない場合、消去可ファイル消去部１０５は、消去可リストＬ１で指定されたファイルまたはフォルダを削除する。この際、消去可ファイル消去部１０５は、消去可リストＬ１において消去済みのファイルまたはフォルダにマークする。

なお、操作ログ消去部１０３は、ＭＡＣ値の整合性を確保するため、操作ログＬＧを消去する際、複数の操作情報ＯＰを含む操作情報群を単位として操作ログＬＧを消去してもよい。

（３．１．２）手順２
図４は、操作ログ管理装置１００による消去可能情報の消去手順２に従ったフローチャートを示す。本手順は、消去可能情報を消去する順序の優先度に従って消去可能情報が消去される。また、本手順も、手順１と同様にタイマ割り込みを契機に実行される。ステップ４１〜４３は、ステップ３１〜３３までと同様であるため、説明を省略する。

ステップ４４において、消去可ファイル消去部１０５は、消去可リストＬ１から、高優先度のファイルまたはフォルダを抽出する。

ステップ４５において、消去可ファイル消去部１０５は、抽出したファイルまたはフォルダを削除する。

（３．２）ログ保存手順
図６は、操作ログ管理装置１００によるログ保存手順に従ったフローチャートを示す。操作ログＬＧを保存するタイミングは、上述したように様々なケースが考えられるが、ここでは、前回の保存時刻から所定時間（1分とする）経過した場合に操作ログＬＧを保存するケース、つまり、周期的に操作ログＬＧを保存するケースについて説明する。

なお、操作ログＬＧの保存方法に関して、ここでは、保存する都度新たなファイルを作成し、操作情報ＯＰを当該ファイルに書き込むケースについて説明する。また、ＭＡＣ値と操作情報ＯＰとの関連付けは、操作情報ＯＰを含むファイルにＭＡＣ値を埋め込む方法を用いるものとする。

図６に示すように、本手順は、操作情報ＯＰが操作ログ管理装置１００に入力された際に実行される。

ステップ６１において、操作情報保持部１１１は、端末１０から入力された操作情報ＯＰを保持し、保持フラグにタイムスタンプを設定する。

ステップ６２において、ログ保存部１１３は、前回のログ保存時刻から所定時間（１分）経過したかを判定する。所定時間経過していない場合、ログ保存部１１３は手順を終了する。

ステップ６３において、ログ保存部１１３は、ストレージ３０上にファイルを新たに作成し、保持する１以上の操作情報ＯＰを当該ファイルに書き込むとともに、当該ファイルを保存する。さらに、操作情報保持部１１１は、保持フラグを消去、つまりリセットする。

ステップ６４において、ＭＡＣ保存部１１５は、保存したファイルのＭＡＣ値を計算する。

ステップ６５において、ＭＡＣ保存部１１５は、計算したＭＡＣ値を当該ファイルに埋め込む。

ステップ６６において、ログ保存部１１３は、ストレージ３０に割り当てられた操作ログＬＧ用の空き容量が閾値よりも大きいか判定する。当該空き容量が閾値よりも大きい場合、ログ保存部１１３は手順を終了する。

ステップ６７において、当該空き容量が閾値以下である場合、ログ保存部１１３は、（３．３）操作ログ待避手順を呼び出し、本手順を終了する。

（３．３）操作ログ待避手順
図７は、操作ログ管理装置１００による操作ログ待避手順に従ったフローチャートを示す。本手順は、ログ保存部１１３から呼び出された場合に実行される。

ステップ７１において、ログ保存部１１３は、ストレージ３０に保存されている操作ログＬＧのタイムスタンプを参照し、所定期間（例えば、３日）より前の操作ログＬＧを抽出する。

ステップ７２において、ログ保存部１１３は、抽出した操作ログＬＧを外部ストレージ４１に待避し、手順を終了する。この際、ＭＡＣ保存部１１５は、ＭＡＣ値と操作情報ＯＰとの関連付けも更新する。

（３．４）操作ログ保存先切替手順
図８は、操作ログ管理装置１００による操作ログ保存先切替手順に従ったフローチャートを示す。ステップ８１〜８２は、ステップ７１〜７２までと同様であるため、説明を省略する。

ステップ８３において、ログ保存部１１３は、端末１０に内蔵されているストレージ３０の操作ログＬＧ用の空き容量が所定値を超えたか、すなわち不足が解消されたかを判定する。不足が解消された場合、ログ保存部１１３は、手順を終了する。

ステップ８４において、ログ保存部１１３は、空き容量の不足が解消されていないため、操作ログＬＧの保存先を外部ストレージ４２に切り替える。

（３．５）起動時フラグ検査手順
図９は、操作ログ管理装置１００による起動時フラグ検査手順に従ったフローチャートを示す。本手順は、端末１０が起動して、操作ログ管理装置１００が起動される際、或いは操作ログ管理装置１００のみが再起動される際に実行される。

ステップ９１において、起動時ログ部１１８は、操作ログ管理装置１００の起動時に保持フラグを参照する。ステップＳ９２において、起動時ログ部１１８は、保持フラグが設定されているかを判定する。

保持フラグが設定されている場合、ステップ９３において、起動時ログ部１１８は、操作ログＬＧの保存失敗を示すログをストレージ３０に保存する。本実施形態では、保保持フラグに含まれるタイムスタンプと、操作情報ＯＰの種別とが操作ログＬＧとして保存される。

ステップ９４において、起動時ログ部１１８は、障害フラグを参照する。ステップＳ９５において、起動時ログ部１１８は、障害フラグが設定されているかを判定する。

障害フラグが設定されている場合、ステップ９６において、起動時ログ部１１８は、操作ログＬＧの保存の失敗を示すログをストレージ３０に保存する。本実施形態では、障害フラグに含まれるタイムスタンプと、障害の種別とが操作ログＬＧとして保存される。起動時ログ部１１８は、ステップＳ９６の処理を実行し、本手順を終了する。

（３．６）障害対処手順
図１０は、操作ログ管理装置１００によ障害対処手順に従ったフローチャートを示す。本手順は、操作情報ＯＰの処理において致命的障害が検出された際に実行される。

ステップ１０１において、障害対処部１１４は、タイムスタンプとして、現在の時刻または致命的障害が検出された時刻と、致命的障害の種別とを含む障害フラグを設定する。

ステップ１０２において、障害対処部１１４は、端末１０の再起動（リセット）を実行することによって、本手順を終了する。

（３．７）操作ログ削除手順
図１１は、操作ログ管理装置１００による操作ログ削除手順に従ったフローチャートを示す。本手順は、ログ削除命令をローカルまたは遠隔から受け付けた際に実行される。ここでは、サーバ２０からログ削除命令を受け付けたものとする。

ステップ１１１において、ログ削除部１２３は、ログ削除命令の電子署名を検証する。

ステップ１１２において、ログ削除部１２３は、電子署名の正当性に基づいて、許可された管理者からの削除命令かを判定する。

ステップ１１３において、ログ削除部１２３は、ログ削除命令の検証が成功した場合、操作ログＬＧの削除を実行する。一方、ログ削除命令の検証が失敗した場合、ログ削除部１２３は、許可されたユーザからのログ削除命令でないため、本手順を終了する。

（３．８）操作ログ送信手順
図１２は、操作ログ管理装置１００による操作ログ送信手順に従ったフローチャートを示す。本手順は、タイマ割り込みに基づいて実行される。ここでは、ログ送信部１２５は、周期的に操作ログＬＧを送信するものとする。また、所定時間に渡って操作ログＬＧの送信が成功しなかった場合、所定のファイル（個人情報、業務情報などを含むファイルであって、予め指定されたファイル）が消去されるものとする。

ステップ１２１において、ログ送信部１２５は、前回の操作ログＬＧの送信から所定時間経過したかを判定する。一定時間経過していない場合、ログ送信部１２５は、手順を終了する。

ステップ１２２において、ログ送信部１２５は、所定時間が経過したため、未送信の操作ログＬＧをサーバ２０に送信する。

ステップ１２３において、ログ送信部１２５は、操作ログＬＧの送信が成功したか失敗したかを判定する。ログ送信部１２５は、成功した場合、本手順を終了する。

操作ログＬＧの送信が失敗した場合、ステップ１２４において、ログ送信部１２５は、操作ログＬＧの送信が所定時間に渡って成功していないかを判定する。

操作ログＬＧの送信が所定時間に渡って成功していない場合、ステップ１２５において、ログ送信部１２５は、指定されたファイル、具体的には、消去可リストＬ１において、上述した所定のファイルを消去する。

（３．９）修復手順
図１３は、操作ログ管理装置１００による修復手順に従ったフローチャートを示す。ここでは、メニューから操作ログ出力が呼び出されたことを契機に本手順が実行される場合を示す。また、ここでは、端末１０にプリインストールされているファイルをダウンロードすることによって修復するものとする。

ステップ１３１において、操作ログ出力部１０７は、操作ログＬＧをサーバ２０に出力する。その際、操作ログ出力部１０７は、出力に成功した操作ログＬＧにマークする。

ステップ１３２において、操作ログ出力部１０７は、操作ログ消去部１０３を呼び出す。

ステップ１３３において、操作ログ消去部１０３は、マークされた操作ログＬＧを消去する。

ステップ１３４において、操作ログ消去部１０３は、ストレージ３０の空き容量が所定値を超えたかを判定する。空き容量が所定値を超えない場合、操作ログ消去部１０３は、手順を終了する。

空き容量が所定値を超えた場合、ステップ１２５において、修復部１０９は、消去可リストＬ１の修復エントリにあるダウンロード先情報を参照して、当該URLからファイルをダウンロードする。修復部１０９は、ダウンロードしたファイルを元の位置、つまり、ストレージ３０上における消去前の位置に再配置する。

ステップ１２６において、修復部１０９は、修復したファイルについて消去可リストＬ１の消去済みエントリをリセットする。

（４）作用・効果
操作ログ管理装置１００によれば、保持フラグ設定部１１２がメモリ３１上に保持フラグを維持し、起動時ログ部１１８が、端末１０の再起動後、保持フラグが設定されている場合、操作ログＬＧの保存の失敗を示すログをストレージ３０に保存する。このため、端末１０の障害やバッテリ（不図示）の取り外しなどの突然の電源断があっても、少なくとも保存に失敗したログの有無が確認できる。

本実施形態では、障害対処部１１４がメモリ３１上に障害フラグを維持し、起動時ログ部１１８が、端末１０の再起動後、障害フラグが設定されている場合、障害発生時刻や致命的障害の種別を含むログを保存する。このため、操作情報ＯＰの処理において障害が発生しても、ログ保存部１１３やストレージ３０とは別の手段で障害の発生時刻を記憶し、復旧後に当該時刻などが記録される。つまり、端末１０において、ログ機能が正常動作していた時間帯、及びログ機能に異常があった時間帯をログから確認できる。

本実施形態では、許可された端末１０のユーザからのみ操作ログＬＧの削除命令を受け付け、操作ログＬＧの削除が実行される。このため、例えば、端末１０が業務用途の場合、企業における端末１０の管理者は操作ログＬＧの削除が可能であるが、端末１０を利用する従業者による操作ログＬＧの削除を禁止でき、ログの信頼性を向上できる。

本実施形態では、所定期間（３日）より前の操作ログＬＧの消去ではストレージ３０の空き容量の不足が解消されない場合、消去可リストＬ１によって指定された消去可能情報のうち、端末１０において利用中でない消去可能情報が消去される。このため、消去可能情報が消去されることによって操作ログＬＧ用にストレージ３０の空き容量を確保することができる。

すなわち、操作ログ管理装置１００によれば、ストレージ３０の容量やバッテリなど、リソース上の制約の厳しい端末１０において、より確実な所定期間の操作ログＬＧの保存を実現できる。

本実施形態では、サーバ２０に出力された操作ログＬＧは、操作ログ消去部１０３によって消去される。このため、操作ログＬＧをサーバ２０に保存しつつ、ストレージ３０の空き容量を増大させることができる。また、本実施形態では、出力が成功した操作ログＬＧのみがマークされるため、出力の失敗による操作ログＬＧの消失を防止できる。

本実施形態では、出荷時からプリインストールされ、ダウンロード可能なファイルが消去可能情報として指定される。当該ファイルは比較的修復が容易であるため、消去可ファイル消去部１０５による当該ファイルの消去が端末１０やユーザに与える影響を少なくすることができる。

本実施形態では、端末１０において利用中であるファイルの消去可リストＬ１から削除、または外部ストレージ４１に出力されたファイルの消去可リストＬ１への追加を含むリスト編集処理が実行される。このため、端末１０の待ち受け画面に設定されている画像など、消去すると問題が生じるファイルを消去対象から除外できる。また、外部ストレージ４１に出力された、つまりバックアップされたファイルを消去可リストＬ１に追加することによって、ストレージ３０の空き容量を増大できる。

本実施形態では、ファイルなどの消去可能情報を消去してもストレージ３０の空き容量が所定値を下回る場合、端末１０に対する操作の制限が実行される。このため、操作ログＬＧをストレージ３０に確実に保存できない場合は、端末１０の利用を制限することによって端末１０の安全性を確保できる。

本実施形態では、操作ログＬＧのサーバ２０への出力が失敗した場合、消去可ファイル消去部１０５による消去可能情報の消去が実行される。また、操作ログＬＧのサーバ２０への出力が失敗した場合、端末１０の利用制限の実行、バイオメトリクスを用いた端末１０のユーザの認証、または端末１０のユーザへの当該出力の失敗通知を実行することができる。

このため、サーバ２０において端末１０の操作ログＬＧを把握できない状態に陥った際でも所定期間の操作ログＬＧが保存できなくなる可能性を低減できる。また、ユーザへの当該出力の失敗通知によれば、ユーザは、予め端末１０が利用制限やファイル消去が実行される可能性を認識できる。このため、ユーザは、例えば端末１０が無線通信の実行可能圏内に移動したときに、操作ログＬＧを手動でサーバ２０に送信するなどの対処をすることができる。

本実施形態では、消去可ファイル消去部１０５は、消去可能情報を消去する順序の優先度に従ってファイルを消去する。このため、消去しても比較的問題が少ないファイルから順次削除することができる。

本実施形態では、消去可ファイル消去部１０５は、消去可能情報を消去した場合、消去可能情報が一時的に消去されたことを示すダミーファイルを生成する。このため、消去されたコンテンツやアプリケーションなどのファイルを端末１０のユーザが利用しようとした際、一時的に消去されたことを示すダミーファイルやダイアログを表示することができる。また、本実施形態では、一定の場合、消去可ファイル消去部１０５によって消去されたファイルを修復部１０９がダウンロードすることによって、消去されたファイルが修復される。すなわち、ファイルの消去に伴うユーザの利便性の低下を緩和できる。

本実施形態では、操作ログ消去部１０３は、端末１０の操作の種別に応じた操作優先度に基づいて消去する操作ログＬＧを決定する。このため、優先度の高い操作情報ＯＰを含む操作ログＬＧを可能な限り保存できる。

本実施形態では、ストレージ３０に保存されずに、RAMに保持（記憶）されている操作情報を判別する保持フラグが用いられる。このため、端末１０に突発的な電源断が発生した場合でも、RAMのみ保持されていたことによって消失してしまった操作情報ＯＰの有無を判定できる。

本実施形態では、操作ログ消去部１０３は、操作ログＬＧを消去する際、ＭＡＣ値と関連付けられた操作情報群を単位として操作情報ＯＰを消去する。このため、操作ログＬＧの改ざんの検出が容易となる。また、複数の操作情報ＯＰを含む操作情報群を単位として処理が実行されるため、処理オーバヘッドやバッテリの消費を抑制できる。

本実施形態では、ストレージの空き容量が不足した際に、操作ログＬＧのタイムスタンプを参照し、所定期間より前の操作ログＬＧを、外部ストレージ４１に待避させる。このため、操作ログＬＧ用に割り当てられたストレージ３０の容量を超える量の操作ログＬＧを残すことができる。また、外部ストレージ４１は、端末１０から取り外されてしまうと、操作ログＬＧの消失や操作ログＬＧの書き込み失敗などのリスクがある。しかしながら、所定期間（例えば、３日）の操作ログＬＧは、外部ストレージ４１よりも比較的安全で信頼できるストレージ３０、つまり、端末１０に内蔵されたストレージに保存されるため、操作ログＬＧの改ざんなどの対する一定の安全性は確保できる。

本実施形態では、操作ログ消去部１０３による操作ログＬＧの消去、及び消去可ファイル消去部１０５による消去可能情報の消去ではストレージ３０の空き容量の不足が解消されない場合、操作ログＬＧの保存先が外部ストレージ４２に切り替えられる。このため、操作ログＬＧ用に割り当てられたストレージ３０の容量を超える量の操作ログＬＧを残すことができる。

本実施形態では、ログ保存部１１３は、暗号化または圧縮の少なくとも何れかが施された操作ログＬＧを保存する。このため、端末１０が盗難されたり、紛失したりした際に、操作ログＬＧが窃取されるリスクを低減できる。

（５）その他の実施形態
上述したように、本発明の一実施形態を通じて本発明の内容を開示したが、この開示の一部をなす論述及び図面は、本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態が明らかとなろう。

例えば、上述した本発明の実施形態では、端末１０は、サーバ２０、外部ストレージ４１及び外部ストレージ４２と接続されていたが、端末１０は、必ずしもこれらすべての外部デバイスと接続されていなくても構わない。例えば、外部ストレージ４２を用いずに外部ストレージ４１のみを用いるようにしてもよい。

上述した実施形態では、消去可リストＬ１には、優先度などのエントリが含まれていたが、当該エントリは、必ずしも含まれていなくてもよい。

このように、本発明は、ここでは記載していない様々な実施の形態などを含むことは勿論である。したがって、本発明の技術的範囲は、上述の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

本発明の実施形態に係る操作ログ管理装置を含む情報処理端末の全体概略構成図である。 本発明の実施形態に係る消去可リストＬ１の一例を示す図である 本発明の実施形態に係る操作ログ管理装置１００による消去可能情報の消去手順１に従ったフローチャートを示す図である。 本発明の実施形態に係る操作ログ管理装置１００による消去可能情報の消去手順２に従ったフローチャートを示す図である。 本発明の実施形態に係る操作情報ＯＰの種別及び操作優先度の具体例を示す図である。 本発明の実施形態に係る操作ログ管理装置１００によるログ保存手順に従ったフローチャートを示す図である。 本発明の実施形態に係る操作ログ管理装置１００による操作ログ待避手順に従ったフローチャートを示す図である。 本発明の実施形態に係る操作ログ管理装置１００による操作ログ保存先切替手順に従ったフローチャートを示す図である。 本発明の実施形態に係る操作ログ管理装置１００による起動時フラグ検査手順に従ったフローチャートを示す図である。 本発明の実施形態に係る操作ログ管理装置１００による障害対処手順に従ったフローチャートを示す図である。 本発明の実施形態に係る操作ログ管理装置１００による操作ログ削除手順に従ったフローチャートを示す図である。 本発明の実施形態に係る操作ログ管理装置１００による操作ログ送信手順に従ったフローチャートを示す図である。 本発明の実施形態に係る操作ログ管理装置１００による修復手順に従ったフローチャートを示す図である。

符号の説明

１０…端末、２０…サーバ、３０…ストレージ、３１…メモリ、４１，４２…外部ストレージ、１００…操作ログ管理装置、１０１…消去可リスト保持部、１０３…操作ログ消去部、１０５…消去可ファイル消去部、１０７…操作ログ出力部、１０９…修復部、１１１…操作情報保持部、１１２…保持フラグ設定部、１１３…ログ保存部、１１４…障害対処部、１１５…ＭＡＣ保存部、１１７…ログ待避部、１１９…操作情報出力部、１２１…システム停止情報出力部、１２３…ログ削除部、１２５…ログ送信部、１２７…操作制限部、Ｌ１…消去可リスト、ＬＧ…操作ログ、ＯＰ…操作情報

Claims (18)

1. 情報処理端末における操作の履歴を含む操作ログを管理するとともに、前記情報処理端末に備えられたストレージに前記操作ログを保存するログ保存部を備え、前記情報処理端末に実装される操作ログ管理装置であって、
   前記操作ログとして前記ストレージに保存される前記操作の内容を示す１または複数の操作情報を保持する操作情報保持部と、
   前記操作情報保持部が前記操作情報を保持しているか否かを示す保持フラグを不揮発なメモリに維持し、前記操作情報保持部が前記操作情報を保持する際に前記保持フラグを設定し、前記操作情報の前記ストレージへの保存が完了した場合に前記保持フラグを消去する保持フラグ設定部と、
   前記操作ログ管理装置の起動時に前記保持フラグを参照し、前記操作情報を保持していることを示す場合、前記操作ログの保存失敗を示すログを前記ストレージに保存するとともに前記保持フラグを消去する起動時ログ部と
   を備える操作ログ管理装置。
2. 前記保持フラグ設定部が設定する前記保持フラグは、前記操作情報が発生した時刻を示すタイムスタンプまたは前記操作情報の種別の少なくとも何れかを含み、
   前記起動時ログ部は、前記操作ログの保存の失敗に加えて、前記保持フラグの内容を含むログを前記ストレージに保存する請求項１に記載の操作ログ管理装置。
3. 前記保持フラグ設定部は、前記情報処理端末の不正利用に関わる種別の操作情報を保持している場合にのみ、前記保持フラグを設定する請求項１に記載の操作ログ管理装置。
4. 前記操作情報の処理における障害の有無を示す障害フラグを不揮発なメモリに維持し、前記情報処理端末における前記操作情報の処理での正常動作の維持を妨げる致命的障害が検出された場合、前記致命的障害が検出された時刻を示すタイムスタンプまたは前記致命的障害の種別の少なくとも何れかを含む前記障害フラグを設定し、前記障害フラグの設定後に前記情報処理端末の再起動を実行する障害対処部を備え、
   前記起動時ログ部は、前記操作ログ管理装置の起動時に前記障害フラグを参照し、前記障害フラグが設定されている場合、前記障害フラグの内容を示すログを保存するとともに前記障害フラグを消去する請求項１に記載の操作ログ管理装置。
5. 前記障害対処部は、前記再起動によっても前記情報処理端末における前記操作情報の処理に関する障害から復旧できていない場合、前記情報処理端末のユーザへの警告または前記情報処理端末に対する操作の制限を実行する請求項４に記載の操作ログ管理装置。
6. 前記操作ログの削除命令を受け付けた際、前記情報処理端末の正当な管理者であるかを認証し、前記操作ログの削除を実行するログ削除部を備える請求項１に記載の操作ログ管理装置。
7. 前記ログ保存部は、前記情報処理端末のリセットまたは電源供給が停止される前に実行される呼出しに応じて、前記操作情報保持部が保持している前記操作情報を前記リセットまたは前記電源供給の停止の前に、前記ストレージに保存する請求項１に記載の操作ログ管理装置。
8. 前記ストレージの空き容量が不足した際に前記ストレージから消去可能なファイルまたはフォルダである消去可能情報を指定する消去可リストを保持する消去可リスト保持部と、
   前記ストレージの空き容量が不足した際に、前記操作ログのタイムスタンプを参照し、所定期間より前の前記操作ログを消去する操作ログ消去部と、
   前記操作ログ消去部による前記操作ログの消去では前記ストレージの空き容量の不足が解消されない場合、前記消去可リストによって指定された前記消去可能情報のうち、前記情報処理端末において利用中でない前記消去可能情報を消去する情報消去部と
   を備える請求項１に記載の操作ログ管理装置。
9. 前記操作ログを前記情報処理端末の第１外部デバイスに出力し、出力した前記操作ログを前記操作ログ消去部に消去させる操作ログ出力部を備える請求項８に記載の操作ログ管理装置。
10. 前記消去可リスト保持部は、前記情報処理端末の出荷時からプリインストールされている前記ファイルを前記消去可能情報として指定する前記消去可リストを保持する請求項８に記載の操作ログ管理装置。
11. 前記消去可リスト保持部は、前記情報処理端末において利用中である前記ファイルの前記消去可リストから削除、または前記情報処理端末の第２外部デバイスに出力された前記ファイルの前記消去可リストへの追加の少なくとも何れかを含むリスト編集処理を実行する請求項８に記載の操作ログ管理装置。
12. 前記操作ログ消去部によって前記消去可能情報を消去しても前記ストレージの空き容量が所定値を下回る場合、前記情報処理端末に対する操作の制限を実行するとともに、ストレージの空き容量が前記所定値以上になった場合、前記制限を解除する操作制限部を備える請求項８に記載の操作ログ管理装置。
13. 前記操作制限部は、前記操作ログ出力部による前記操作ログの前記第１外部デバイスへの出力が失敗した場合、前記制限の実行、バイオメトリクスを用いた前記情報処理端末のユーザの認証、または前記ユーザへの前記出力の失敗通知の少なくとも何れかを実行する請求項１２に記載の操作ログ管理装置。
14. 前記消去可リストは、前記消去可能情報を消去する順序の優先度を含み、
    前記優先度は、前記ファイルを優先的に消去するように規定され、
    前記情報消去部は、前記優先度に従って前記ファイルを消去する請求項８に記載の操作ログ管理装置。
15. 前記情報消去部は、前記消去可能情報を消去した場合、前記消去可能情報が一時的に消去されたことを示すダミーファイルを生成する請求項８に記載の操作ログ管理装置。
16. 前記ストレージの空き容量が所定値以上になった場合、前記情報消去部によって消去される前に前記情報処理端末の外部に出力された前記ファイルの出力先、または前記ファイルのダウンロード元を示すファイル取得情報に基づいて、前記情報消去部によって消去された前記ファイルを修復する修復部を備える請求項８に記載の操作ログ管理装置。
17. 前記ログ保存部は、前記操作ログ消去部による前記操作ログの消去、及び前記情報消去部による前記消去可能情報の消去では前記ストレージの空き容量の不足が解消されない場合、前記操作ログの保存先を、前記情報処理端末の外部に設けられた外部ストレージに切り替える請求項８に記載の操作ログ管理装置。
18. 情報処理端末における操作の履歴を含む操作ログを管理する操作ログ管理方法であって、
    前記操作ログとして保存される前記操作の内容を示す１または複数の操作情報を、前記情報処理端末に備えられたストレージに保持するステップと、
    前記操作情報を保持しているか否かを示す保持フラグを維持し、前記操作情報が前記ストレージに保持される際に前記保持フラグを設定し、前記操作情報の前記ストレージへの保存が完了した場合に前記保持フラグを消去するステップと、
    前記操作ログ管理装置の起動時に前記保持フラグを参照し、前記操作情報を保持していることを示す場合、前記操作ログの保存失敗を示すログを前記ストレージに保存するとともに前記保持フラグを消去するステップと
    を備える操作ログ管理方法。

Images