JP2018109930A - ログ出力プログラム、情報処理装置及びログ出力方法 - Google Patents

Abstract

【課題】調査に用いられないログの秘匿性を維持することを可能とするログ出力プログラム、情報処理装置及びログ出力方法を提供する。【解決手段】インシデントの発生時刻を特定し、ソフトウエアのログ情報を記憶する記憶部を参照して、そのログ情報に含まれる複数のログのうち、特定した発生時刻に応じた期間に取得された第１のログと、その期間以外の期間に取得された第２のログとを特定し、特定した第１のログに含まれる文字情報が、その文字情報よりも秘匿性が高い第１の文字情報に変換され、かつ、特定した第２のログに含まれる文字情報が、第１の文字情報よりも秘匿性が高い第２の文字情報に変換された新たなログ情報を出力する。【選択図】図５

Description

本発明は、ログ出力プログラム、情報処理装置及びログ出力方法に関する。

近年、物理マシンの性能向上に伴い、複数の仮想マシンを１つの物理マシンに集約する仮想化技術の研究が進められている。この仮想化技術は、例えば、仮想化ソフトウエア（以下、ハイパバイザとも呼ぶ）が物理マシンの物理リソースを複数の仮想マシンに割り当てて、各仮想マシンにインストールされたソフトウエアによるサービスの提供を可能にする。

そして、近年、物理マシンのリソースやインフラ等の仮想マシンの利用環境を提供する事業者（以下、クラウド事業者とも呼ぶ）によって、仮想マシンを利用してサービスの提供等を行う事業者（以下、サービス事業者とも呼ぶ）への仮想マシンの貸し出しが行われている。具体的に、クラウド事業者は、例えば、契約で定めた条件に基づいて、サービス事業者に対する仮想マシンの貸し出しを行う。

上記のようなクラウド事業者は、例えば、サービス事業者による仮想マシンの利用に伴って出力されたログ（以下、ログ情報とも呼ぶ）を記憶装置に蓄積する。そして、クラウド事業者は、例えば、サービス事業者から仮想マシンにおいて発生した事象等に関する問合せを受け付けた場合、記憶装置に蓄積したログから必要なログを抽出し、受け付けた問合せに対する調査を行う（例えば、特許文献１乃至４参照）。

特開２０１２−１９０３４５号公報 特開２０１１−２３７９７５号公報 特開２０１０−９２２３号公報 特開２０１４−２３５５６８号公報

上記のようなクラウド事業者は、記憶装置においてログの蓄積を行う際に、各サービス事業者に貸し出しを行った仮想マシンから出力されたログを区別することなく蓄積する場合がある。そのため、問合せに対する調査を行うクラウド事業者の担当者（以下、サポート担当者とも呼ぶ）は、問合せを行ったサービス事業者に関するログのみの抽出を行うことができない場合がある。したがって、サポート担当者は、問合せに対する調査を行う際に、例えば、他のサービス事業者に関するログ（調査に用いられないログ）を含めて抽出し、問合せに対する調査を行う。

しかしながら、記憶装置に蓄積されたログには、サービス事業者が提供するサービスを利用する者（以下、ユーザとも呼ぶ）の個人情報等が含まれている可能性がある。そのため、クラウド事業者は、サポート担当者が他のサービス事業者に関するログを閲覧する機会を可能な限り少なくすることが好ましい。

これに対し、クラウド事業者は、例えば、サポート担当者がログの閲覧をする前に、抽出されたログに含まれる情報の秘匿化を行う。これにより、クラウド事業者は、サポート担当者による他のサービス事業者に関するログの閲覧を防止することが可能になる。

しかしながら、この場合、記憶装置から抽出されたログのうち、問合せに対する調査に用いられるログ（問合せを行ったサービス事業者に関するログ）についても秘匿化が行われる可能性がある。そのため、サポート担当者は、問合せに対する調査を十分に行うことができない場合がある。

そこで、一つの側面では、本発明は、調査に用いられないログの秘匿性を維持することを可能とするログ出力プログラム、情報処理装置及びログ出力方法を提供することを目的とする。

実施の形態の一態様では、インシデントの発生時刻を特定し、ソフトウエアのログ情報を記憶する記憶部を参照して、前記ログ情報に含まれる複数のログのうち、特定した前記発生時刻に応じた期間に取得された第１のログと、前記期間以外の期間に取得された第２のログとを特定し、特定した前記第１のログに含まれる文字情報が、該文字情報よりも秘匿性が高い第１の文字情報に変換され、かつ、特定した前記第２のログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が高い第２の文字情報に変換された新たなログ情報を出力する、処理をコンピュータに実行させる。

一つの側面によれば、調査に用いられないログの秘匿性を維持することを可能とする。

図１は、情報処理システム１０の構成を示す図である。 図２は、情報処理システム１０の構成を示す図である。 図３は、情報処理装置１のハードウエア構成を示す図である。 図４は、情報処理装置１の機能ブロック図である。 図５は、第１の実施の形態におけるログ出力処理の概略を説明するフローチャート図である。 図６は、第１の実施の形態におけるログ出力処理の概略を説明する図である。 図７は、第１の実施の形態におけるログ出力処理の概略を説明する図である。 図８は、第１の実施の形態におけるログ出力処理の詳細を説明するフローチャート図である。 図９は、第１の実施の形態におけるログ出力処理の詳細を説明するフローチャート図である。 図１０は、第１の実施の形態におけるログ出力処理の詳細を説明するフローチャート図である。 図１１は、第１の実施の形態におけるログ出力処理の詳細を説明するフローチャート図である。 図１２は、第１の実施の形態におけるログ出力処理の詳細を説明するフローチャート図である。 図１３は、第１の実施の形態におけるログ出力処理の詳細を説明するフローチャート図である。 図１４は、第１の実施の形態におけるログ出力処理の詳細を説明するフローチャート図である。 図１５は、インシデント情報１３１の具体例を説明する図である。 図１６は、記憶装置２ａに記憶されたログ情報２３１の具体例を説明する図である。 図１７は、記憶装置２ａに記憶されたログ情報２３１から取得されたログの具体例を説明する図である。 図１８は、記憶装置２ａに記憶されたログ情報２３１から取得されたログの具体例を説明する図である。 図１９は、認証情報１３３の具体例を説明する図である。 図２０は、記憶装置２ａに記憶されたログ情報２３１から取得されたログの具体例を説明する図である。 図２１は、利用情報１３２の具体例を説明する図である。 図２２は、記憶装置２ａに記憶されたログ情報２３１から取得されたログの具体例を説明する図である。 図２３は、記憶装置２ａに記憶されたログ情報２３１から取得されたログの具体例を説明する図である。 図２４は、記憶装置２ａに記憶されたログ情報２３１から取得されたログの具体例を説明する図である。 図２５は、記憶装置２ａに記憶されたログ情報２３１から取得されたログの具体例を説明する図である。 図２６は、インシデント情報１３１の具体例を説明する図である。 図２７は、記憶装置２ａに記憶されたログ情報２３１から取得されたログの具体例を説明する図である。

［情報処理システムの構成］
初めに、情報処理システム１０の構成について説明を行う。図１及び図２は、情報処理システム１０の構成を示す図である。図１に示す情報処理システム１０は、例えば、情報処理装置１と、物理マシン２と、操作端末４とを有する。

物理マシン２は、１台以上の物理マシンから構成される。各物理マシンは、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｃｏｍｐｕｔｉｎｇ Ｕｎｉｔ）、メモリ（ＤＲＡＭ：Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）及びハードディスク（ＨＤＤ：Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等を有する。そして、物理マシン２の物理リソースは、複数の仮想マシン３（図１に示す例では、仮想マシン３ａ、３ｂ及び３ｃ）に割当てられる。

各仮想マシン３は、例えば、サービス事業者がユーザに対してサービスを提供するための業務システム（図示しない）を稼働させる。そして、各仮想マシン３は、業務システムの稼働に伴って発生したログをログ情報２３１として記憶装置２ａに蓄積する。

操作端末４は、例えば、ユーザがサポート担当者に対してサービスに関する問合せを行った場合に、サポート担当者が受け付けた問合せ（以下、インシデントとも呼ぶ）の内容を入力する端末である（図１の（１））。操作端末４は、例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）である。

情報処理装置１は、例えば、操作端末４からインシデントの内容の入力があった場合、入力されたインシデントの内容からインシデント情報１３１を生成する（図１の（２））。そして、情報処理装置１は、生成したインシデント情報１３１を記憶装置１ａに記憶する（図１の（３））。

また、情報処理装置１は、例えば、サポート担当者から操作端末４を介してインシデントの調査を行う旨の入力があった場合に、調査対象のインシデントに対応するインシデント情報１３１を記憶装置１ａから取得する（図２の（４））。そして、情報処理装置１は、記憶装置１ａから取得したインシデント情報１３１に対応するログ情報２３１を記憶装置２ａから取得する（図２の（５））。その後、情報処理装置１は、例えば、記憶装置２ａから取得したログ情報２３１を操作端末４に送信する（図２の（６））。これにより、サポート担当者は、調査対象のインシデント情報１３１の調査を行うためのログ情報２３１を取得することが可能になる。

ここで、上記のようなクラウド事業者は、記憶装置２ａにおいてログの蓄積を行う際に、各サービス事業者に貸し出しを行った仮想マシンから出力されたログをまとめて蓄積する場合がある。すなわち、この場合、記憶装置２ａに蓄積されるログには、複数のサービス事業者のそれぞれが利用する仮想マシン３から出力されたログが区分けされることなく含まれる。そのため、サポート担当者は、問合せを行ったサービス事業者に関するログのみの抽出を行うことができない場合がある。したがって、サポート担当者は、問合せに対する調査を行う際に、他のサービス事業者に関するログ（調査に用いられないログ）を含めて閲覧しながら調査を行う必要がある。

しかしながら、記憶装置２ａに蓄積されたログには、ユーザの個人情報等が含まれている可能性がある。そのため、クラウド事業者は、サポート担当者が他のサービス事業者に関するログを閲覧する機会を可能な限り少なくすることが好ましい。

そこで、クラウド事業者は、例えば、サポート担当者がログの閲覧をする前に、抽出されたログに含まれる情報の秘匿化を行う。これにより、クラウド事業者は、サポート担当者による他のサービス事業者に関するログの閲覧を防止することが可能になる。

しかしながら、この場合、記憶装置２ａから抽出したログのうち、問合せに対する調査に用いられるログ（問合せを行ったサービス事業者に関するログ）についても秘匿化が行われる可能性がある。そのため、サポート担当者は、問合せに対する調査を十分に行うことができない場合がある。

そこで、本実施の形態における情報処理装置１は、インシデント情報１３１に情報が含まれるインシデントの発生時刻を特定する。そして、情報処理装置１は、ソフトウエアのログ情報２３１を記憶する記憶装置２ａを参照して、ログ情報２３１に含まれる複数のログのうち、特定した発生時刻に応じた期間に取得されたログ（以下、第１のログとも呼ぶ）を特定する。また、情報処理装置１は、ソフトウエアのログ情報２３１を記憶する記憶装置２ａを参照して、ログ情報２３１に含まれる複数のログのうち、特定した発生時刻に応じた期間以外の期間に取得されたログ（以下、第２のログとも呼ぶ）を特定する。

その後、情報処理装置１は、第１のログに含まれる文字情報をその文字情報よりも秘匿性が高い文字情報（以下、第１の文字情報とも呼ぶ）に変換し、第２のログに含まれる文字情報を第１の文字情報よりも秘匿性が高い文字情報（以下、第２の文字情報とも呼ぶ）に変換する。そして、情報処理装置１は、第１のログ及び第２のログに含まれる文字情報を変換した新たなログ情報（以下、ログ情報２３１ａとも呼ぶ）を出力する。

すなわち、調査対象のインシデントの調査に用いられるログは、調査対象のインシデントの発生時刻と近い時刻に取得（記憶）されている可能性が高い。そのため、情報処理装置１は、調査対象のインシデントの発生時刻と近い時刻に取得されたログの秘匿性が、それ以外のログの秘匿性よりも低くなるように、ログ情報２３１に含まれる各ログの秘匿化を行う。

これにより、情報処理装置１は、調査に用いられる可能性が高いログの秘匿性を相対的に低くし、調査に用いられる可能性がログの秘匿性を相対的に高くすることが可能になる。そのため、情報処理装置１は、サポート担当者による調査を妨げることなく、サポート担当者が調査に用いないログの秘匿性を維持することが可能になる。

［情報処理システムのハードウエア構成］
次に、情報処理システム１０のハードウエア構成について説明する。図３は、情報処理装置１のハードウエア構成を示す図である。

情報処理装置１は、プロセッサであるＣＰＵ１０１と、メモリ１０２と、外部インターフェース（Ｉ／Ｏユニット）１０３と、記憶媒体１０４とを有する。各部は、バス１０５を介して互いに接続される。

記憶媒体１０４は、例えば、記憶媒体１０４内のプログラム格納領域（図示しない）に、秘匿化したログを出力する処理（以下、ログ出力処理とも呼ぶ）を行うためのプログラム１１０を記憶する。また、記憶媒体１０４は、例えば、ログ出力処理を行う際に用いられる情報を記憶する情報格納領域１３０（以下、記憶部１３０とも呼ぶ）を有する。なお、情報格納領域１３０は、図１等で説明した記憶装置１ａに対応する。

ＣＰＵ１０１は、プログラム１１０の実行時に、プログラム１１０を記憶媒体１０４からメモリ１０２にロードし、プログラム１１０と協働してログ出力処理を行う。また、外部インターフェース１０３は、例えば、操作端末４と通信を行う。

［情報処理システムの機能］
次に、情報処理システム１０の機能について説明する。図４は、情報処理装置１の機能ブロック図である。

情報処理装置１のＣＰＵ１０１は、プログラム１１０と協働することにより、例えば、インシデント生成部１１１と、情報管理部１１２と、発生時刻特定部１１３と、ログ特定部１１４と、文字情報変換部１１５と、ログ出力部１１６として動作する。そして、情報格納領域１３０には、例えば、インシデント情報１３１と、利用情報１３２と、認証情報１３３とが記憶される。

インシデント生成部１１１は、例えば、操作端末４から入力された問合せ（インシデント）の内容からインシデント情報１３１を生成する。そして、情報管理部１１２は、インシデント生成部１１１が生成したインシデント情報１３１を情報格納領域１３０に記憶する。

発生時刻特定部１１３は、調査対象のインシデントの発生時刻を特定する。具体的に、発生時刻特定部１１３は、情報格納領域１３０に記憶されたインシデント情報１３１のうち、調査対象のインシデントに関する情報を含むインシデント情報１３１に含まれる発生時刻を特定する。

ログ特定部１１４は、記憶装置２ａを参照し、ログ情報２３１に含まれる複数のログのうち、発生時刻特定部１１３が特定した発生時刻に応じた期間に取得された第１のログを特定する。発生時刻に応じた期間は、例えば、発生時刻特定部１１３が特定した発生時刻の所定時間前（例えば、１０分前）から、発生時刻特定部１１３が特定した発生時刻の所定時間後（例えば、１０分後）までの期間である。また、ログ特定部１１４は、記憶装置２ａを参照し、ログ情報２３１に含まれる複数のログのうち、発生時刻特定部１１３が特定した発生時刻に応じた期間以外の期間に取得された第２のログを特定する。

文字情報変換部１１５は、ログ特定部１１４が特定した第１のログに含まれる文字情報をその文字情報よりも秘匿性が高い第１の文字情報に変換する。また、文字情報変換部１１５は、ログ特定部１１４が特定した第２のログに含まれる文字情報を第１の文字情報よりも秘匿性が高い第２の文字情報に変換する。

ログ出力部１１６は、第１のログ及び第２のログに含まれる文字情報を変換したログ情報２３１ａを出力する。利用情報１３２及び認証情報１３３の説明については後述する。

［第１の実施の形態］
次に、第１の実施の形態の概略について説明する。図５は、第１の実施の形態におけるログ出力処理の概略を説明するフローチャート図である。また、図６及び図７は、第１の実施の形態におけるログ出力処理の概略を説明する図である。図６及び図７を参照しながら、図５のログ出力処理の詳細を説明する。

情報処理装置１は、図５に示すように、ログ出力タイミングになるまで待機する（Ｓ１のＮＯ）。ログ出力タイミングは、例えば、サポート担当者が操作端末４を介してインシデントの調査を行う旨の入力を行ったタイミングであってよい。

そして、ログ出力タイミングになった場合（Ｓ１のＹＥＳ）、情報処理装置１は、図６に示すように、特定のインシデントの発生時刻を特定する（Ｓ２）。特定のインシデントは、例えば、サポート担当者が操作端末４を介して調査を行う旨の入力を行ったインシデント（調査対象のインシデント）である。具体的に、情報処理装置１は、Ｓ２の処理において、情報格納領域１３０に記憶されたインシデント情報１３１のうち、特定のインシデントに関する情報を含むインシデント情報１３１に含まれる発生時刻を特定する。

続いて、情報処理装置１は、図６に示すように、ソフトウエアのログ情報２３１を記憶する記憶装置２ａを参照して、ログ情報２３１に含まれる複数のログのうち、Ｓ２の処理で特定した発生時刻に応じた期間に取得された第１のログと、Ｓ２の処理で特定した期間以外の期間に取得された第２のログとを特定する（Ｓ３）。

さらに、情報処理装置１は、図７に示すように、Ｓ３の処理で特定した第１のログに含まれる文字情報をその文字情報よりも秘匿性が高い第１の文字情報に変換する（Ｓ４）。また、情報処理装置１は、図７に示すように、Ｓ３の処理で特定した第２のログに含まれる文字情報を第１の文字情報よりも秘匿性が高い第２の文字情報に変換する（Ｓ５）。

すなわち、調査対象のインシデントの調査に用いられるログは、調査対象のインシデントの発生時刻と近い時刻に出力されている可能性が高い。そのため、情報処理装置１は、調査対象のインシデントの発生時刻と近い時刻に出力されたログの秘匿性が、それ以外のログの秘匿性よりも低くなるように、ログ情報２３１に含まれる各ログの秘匿化を行う。

そして、情報処理装置１は、図７に示すように、Ｓ４及びＳ５の処理で文字情報を変換した第１のログ及び第２のログ（ログ情報２３１ａ）を出力する（Ｓ６）。

これにより、情報処理装置１は、調査に用いられる可能性が高いログの秘匿性を相対的に低くし、調査に用いられる可能性がログの秘匿性を相対的に高くすることが可能になる。そのため、情報処理装置１は、サポート担当者による調査を妨げることなく、サポート担当者が調査に用いないログの秘匿性を維持することが可能になる。

［第１の実施の形態の詳細］
次に、第１の実施の形態の詳細について説明する。図８から図１４は、第１の実施の形態におけるログ出力処理の詳細を説明するフローチャート図である。また、図１５から図２７は、第１の実施の形態におけるログ出力処理の詳細を説明する図である。図１５から図２７を参照しながら、図８から図１４のログ出力処理の詳細を説明する。

初めに、ログ出力処理のうち、インシデント情報１３１の蓄積を行う処理（以下、インシデント蓄積処理とも呼ぶ）について説明を行う。図８は、インシデント蓄積処理を説明するフローチャート図である。

情報処理装置１のインシデント生成部１１１は、図８に示すように、新たなインシデントが発生するまで待機する（Ｓ１１のＮＯ）。具体的に、インシデント生成部１１１は、例えば、サポート担当者が操作端末４を介して問合せ（インシデント）の内容を入力するまで待機する。

そして、新たなインシデントが発生した場合（Ｓ１１のＹＥＳ）、インシデント生成部１１１は、Ｓ１１の処理で発生したインシデントの内容を含むインシデント情報１３１を生成する（Ｓ１２）。その後、情報処理装置１の情報管理部１１２は、Ｓ１２の処理で生成されたインシデント情報１３１を情報格納領域１３０に記憶する（Ｓ１３）。以下、インシデント情報１３１の具体例について説明を行う。

［インシデント情報の具体例］
図１５及び図２６は、インシデント情報１３１の具体例を説明する図である。図１５等に示すインシデント情報１３１は、ある１つのインシデントに関するインシデント情報１３１であり、情報格納領域１３０に記憶されたインシデント情報１３１の一部である。

そして、図１５等に示すインシデント情報１３１は、各インシデントを識別する番号である「インシデント番号」と、各インシデントが発生した時刻である「発生日時」と、サポート担当者に問合せを行ったユーザの識別情報である「ユーザ」とを含む。また、図１５に示すインシデント情報１３１は、問合せの内容に対応するソフトウエアである「発生ソフト」と、問合せの内容である「現象」とを含む。

具体的に、図１５に示すインシデント情報１３１には、「インシデント番号」として「０１６−０７０７−０１２３」が設定され、「発生日時」として「２０１６／０７／０７ １０：３０」が設定され、「ユーザ」として「Ｕｓｅｒ１」が設定されている。また、図１５に示すインシデント情報１３１には、「発生ソフト」として「不明」が設定され、「現象」として「“☆テストユーザＮｏ．１☆”というユーザを登録しようとしたところ、エラーが発生した。」という内容が設定されている。なお、図１５に示すインシデント情報１３１に含まれる各情報は、例えば、ユーザから問合せを受け付けたサポート担当者が操作端末４において入力する情報である。

図８に戻り、インシデント生成部１１１は、Ｓ１３の処理の後、次のインシデントが発生するまで待機する（Ｓ１１のＮＯ）。

次に、インシデント蓄積処理以外のログ出力処理について説明を行う。図９から図１４は、インシデント蓄積処理以外のログ出力処理を説明するフローチャート図である。

情報処理装置１の発生時刻特定部１１３は、図９に示すように、ログ出力タイミングになるまで待機する（Ｓ２１のＮＯ）。そして、ログ出力タイミングになった場合（Ｓ２１のＹＥＳ）、情報処理装置１のログ特定部１１４は、情報格納領域１３０に記憶されたインシデント情報１３１を参照し、特定のインシデントに対応するインシデント情報１３１に含まれる発生時刻を特定する（Ｓ２２）。

具体的に、図１５に示すインシデント情報１３１の「発生日時」には、インシデントの発生時刻である「１０：３０」が含まれている。そのため、ログ特定部１１４は、例えば、図１５に示すインシデント情報１３１を参照し、特定のインシデントに対応する発生時刻として「１０：３０」を特定する。

その後、情報処理装置１のログ特定部１１４は、Ｓ２２の処理で特定した発生時刻の所定時間前の時刻から、Ｓ２２の処理で特定した発生時刻の所定時間後の時刻までの期間を特定する（Ｓ２３）。

具体的に、Ｓ２２の処理で特定された発生時刻が「１０：３０」である場合、ログ特定部１１４は、例えば、特定された発生時刻の１０分前（１０：２０）から、特定された発生時刻の１０分後（１０：４０）までの期間をログ取得期間として特定する。

そして、ログ特定部１１４は、記憶装置２ａに記憶されたログ情報２３１から、Ｓ２３の処理で特定したログ取得期間に取得されたログを取得する（Ｓ２４）。以下、記憶装置２ａに記憶されたログ情報２３１の具体例について説明を行う。

［ログ情報の具体例］
図１６は、記憶装置２ａに記憶されたログ情報２３１の具体例を説明する図である。また、図１７、図１８、図２０、図２２、図２３、図２４、図２５及び図２７は、記憶装置２ａに記憶されたログ情報２３１から取得されたログの具体例を説明する図である。

図１６に示すログ情報２３１等は、各ログを識別する「項番」と、各ログが取得された時刻（以下、生成時刻とも呼ぶ）が設定される「時刻」と、各ログの内容が設定される「ログ内容」とを項目として有する。

図１６に示すログ情報２３１等において、「ログ内容」には、各ログの内容が示す事象が発生したソフトウエアを識別する情報として、「ＡＰ１」、「ＡＰ２」、「ＡＰ３」及び「ＯＳ」のいずれかの文字情報が含まれる。「ＡＰ１」、「ＡＰ２」及び「ＡＰ３」は、それぞれソフトウエアを示す文字情報であり、「ＯＳ」は、各ソフトウエアが動作するＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を示す文字情報である。

また、図１６に示すログ情報２３１において、「ログ情報」には、各ログの内容が示す事象の種別を識別する情報として、異常が発生していることを示す「ＥＲＲＯＲ」と異常が発生していないことを示す「ＩＮＦＯ」とのいずれかの文字情報が含まれる。

具体的に、「項番」が「１」であるログには、「時刻」として「０７：２０」が設定され、「ログ内容」として「ＡＰ１ ＩＮＦＯ ＡＰ１が起動しました。」という内容が設定されている。また、「項番」が「４」であるログには、「時刻」として「０７：４８」が設定され、「ログ内容」として「ＯＳ ＥＲＲＯＲ 接続が拒否されました。ＩＰ＝１０．２０．３０．４０，ｅｒｒｎｏ＝５６５６」が設定されている。図１６に含まれる他の情報については説明を省略する。

そして、ログ特定部１１４は、Ｓ２４の処理において、例えば、図１６に示すログ情報２３１に含まれるログから、「時刻」に設定された時刻がＳ２３の処理で特定したログ取得期間に含まれるログを取得する。具体的に、ログ取得期間が「１０：２０」から「１０：４０」までの間の期間である場合、図１７に示すように、図１６に示すログ情報２３１から、「項番」に「１１」から「１４」が設定されたログを取得する。

これにより、ログ特定部１１４は、サポート担当者が受け付けた問合せに対する調査を行う際に用いられる可能性が高いログを抽出することが可能になる。

図１０に戻り、ログ特定部１１４は、特定のインシデントに対応するインシデント情報１３１に特定の用語が含まれているか否かを判定する（Ｓ３１）。特定の用語は、例えば、一般用語以外の名詞からなる文字情報であって、インシデント情報１３１の「現象」に設定された文章に含まれる文字情報である。

具体的に、ログ特定部１１４は、例えば、特定のインシデント情報１３１の「現象」に設定された文字情報に対して形態素分割を行い、「☆テストユーザＮｏ．１☆」、「ユーザ」、「登録」、「エラー」及び「発生」をそれぞれ特定する。ここで、「ユーザ」、「登録」、「エラー」及び「発生」は、一般用語である。そのため、ログ特定部１１４は、例えば、特定のインシデントに対応するインシデント情報１３１に、特定の用語である「☆テストユーザＮｏ．１☆」が存在するものと判定する。

そして、特定のインシデント情報１３１に特定の用語が含まれていると判定した場合（Ｓ３１のＹＥＳ）、ログ特定部１１４は、Ｓ２４の処理で特定したログに特定の用語を含むログが存在するか否かを判定する（Ｓ３２）。

その結果、Ｓ２４の処理で特定したログに特定の用語を含むログが存在すると判定した場合（Ｓ３２のＹＥＳ）、ログ特定部１１４は、Ｓ２３の処理で特定したログ取得期間を、Ｓ３２の処理で存在すると判定したログが取得された時刻の所定時間前から、Ｓ３２の処理で存在すると判定したログが取得された時刻の所定時間後までの期間に更新する（Ｓ３３）。

具体的に、図１７に示すログのうちの「項番」が「１２」であるログの「ログ内容」には、「☆テストユーザＮｏ．１☆」の文字情報が含まれる。そして、「項番」が「１２」であるログの「時刻」には「１０：２７」が設定されている。そのため、ログ特定部１１４は、この場合、ログ取得期間を「１０：１７」から「１０：３７」までの期間に更新する。

すなわち、インシデント情報１３１に含まれる各情報は、例えば、サポート担当者がユーザからの問合せの内容（例えば、ユーザから送信されたメールの内容）から抽出して設定した情報である。そのため、インシデント情報１３１に含まれる各情報は、必ずしも正確でない場合がある。そこで、ログ特定部１１４は、インシデント情報１３１の「現象」に含まれる特定の用語を含むログが存在した場合、そのログがユーザから受け付けた問合せの内容に対応するログであると判定する。そして、ログ特定部１１４は、ユーザから受け付けた問合せの内容に対応する事象が、存在したログの「時刻」に設定された時刻に発生したものと判定し、ログ取得期間の更新を行う。

これにより、ログ特定部１１４は、サポート担当者が受け付けた問合せに対する調査を行う際に用いられる可能性が高いログをより効率的に抽出することが可能になる。

その後、ログ特定部１１４は、記憶装置２ａに記憶されたログ情報２３１から、Ｓ３３の処理で更新したログ取得期間に取得されたログを取得する（Ｓ３４）。具体的に、ログ特定部１１４は、ログ取得期間を「１０：１７」から「１０：３７」までの間の期間に更新した場合、図１８に示すように、図１６に示すログ情報２３１から、「項番」に「１０」から「１３」が設定されたログを取得する。

一方、特定のインシデント情報１３１に特定の用語が含まれていないと判定した場合（Ｓ３１のＮＯ）、または、Ｓ２４の処理で特定したログに特定の用語を含むログが存在しないと判定した場合（Ｓ３２のＮＯ）、ログ特定部１１４は、Ｓ３３及びＳ３４の処理を行わない。すなわち、これらの場合、ログ特定部１１４は、ユーザから受け付けた問合せの内容に対応するログの特定を行うことができないため、ログ取得期間の更新等を行わない。

その後、ログ特定部１１４は、図１１に示すように、情報格納領域１３０に記憶されたインシデント情報１３１を参照し、特定のインシデントに対応するインシデント情報１３１に対応するユーザを特定する（Ｓ４１）。具体的に、ログ特定部１１４は、例えば、図１５で説明したインシデント情報１３１を参照し、「ユーザ」に設定された情報である「Ｕｓｅｒ１」を特定する。

そして、ログ特定部１１４は、Ｓ４１の処理で特定したユーザがログインを行った時刻がＳ２３の処理で特定したログ取得期間（Ｓ３３の処理で更新したログ取得期間）に含まれているか否かを判定する（Ｓ４２）。その結果、Ｓ４１の処理で特定したユーザがログインを行った時刻がログ取得期間に含まれていないと判定した場合（Ｓ４２のＮＯ）、ログ特定部１１４は、Ｓ４１の処理で特定したユーザがログインを行った時刻を特定する（Ｓ４３）。

具体的に、ログ特定部１１４は、情報格納領域１３０に記憶された認証情報１３３を参照し、Ｓ４１の処理で特定したユーザがログインを行った時刻を特定する。認証情報１３３は、例えば、各ユーザが各ソフトウエア（仮想マシン３で動作するソフトウエア）にログインした時刻またはログアウトした時刻を示す情報である。なお、Ｓ４１の処理で特定したユーザが複数のソフトウエアについてそれぞれログインを行っている場合、ログ特定部１１４は、Ｓ４１の処理で特定したユーザがログインを行った時刻のうちの最も早い時間を特定するものであってよい。以下、認証情報１３３の具体例について説明を行う。

［認証情報の具体例］
図１９は、認証情報１３３の具体例を説明する図である。図１９に示す認証情報１３３には、「０７：５２」、「Ｕｓｅｒ２」、「ＡＰ１」及び「ログイン」が対応付けられた情報が含まれる。すなわち、図１９に示す認証情報１３３には、Ｕｓｅｒ２が「０７：５２」にＡＰ１にログインを行ったことを示す情報が含まれる。また、図１９に示す認証情報１３３には、「０８：０２」、「Ｕｓｅｒ１」、「ＡＰ１」及び「ログイン」が対応付けられた情報が含まれる。すなわち、図１９に示す認証情報１３３には、Ｕｓｅｒ１が「０８：０２」にＡＰ１にログインを行ったことを示す情報が含まれる。図１９に含まれる他の情報については説明を省略する。

そして、Ｓ２３の処理で特定したログ取得期間（Ｓ３３の処理で更新したログ取得期間）が「１０：１７」から「１０：３７」までの間の期間である場合、Ｕｓｅｒ１がログインを行った時刻である「０８：０２」は、ログ取得期間に含まれない。そのため、ログ特定部１１４は、例えば、Ｓ４３の処理において、Ｕｓｅｒ１がログインを行った時刻である「０８：０２」を特定する。

図１１に戻り、ログ特定部１１４は、Ｓ２３の処理で特定したログ取得期間（Ｓ３３の処理で更新したログ取得期間）の開始時刻を、Ｓ４３の処理で特定した時刻に更新する（Ｓ４４）。具体的に、ログ取得期間が「１０：１７」から「１０：３７」までの間の期間であり、Ｕｓｅｒ１がログインを行った時刻である「０８：０２」である場合、ログ特定部１１４は、ログ取得期間を「０８：０２」から「１０：３７」までの間の期間に更新する。

そして、ログ特定部１１４は、記憶装置２ａに記憶されたログ情報２３１から、Ｓ４４の処理で更新したログ取得期間に取得されたログを取得する（Ｓ４５）。具体的に、ログ特定部１１４は、ログ取得期間を「０８：０２」から「１０：３７」までの間の期間に更新した場合、図２０に示すように、図１６に示すログ情報２３１から、「項番」に「５」から「１３」が設定されたログを取得する。

すなわち、サポート担当者が受け付けた問合せに対する調査を行う際に用いられるログは、問合せを行ったユーザがログインを行った後に含まれている可能性がある。そのため、ログ特定部１１４は、問合せを行ったユーザがいずれかのソフトウエアにログインを行った時刻がログ取得時間よりも前にある場合、そのログインの時刻がログ取得時間に含まれるように開始時刻を早める。

これにより、ログ特定部１１４は、サポート担当者が受け付けた問合せに対する調査を行う際に用いられる可能性が高いログをより効率的に抽出することが可能になる。

なお、Ｓ４１の処理で特定したユーザがログインを行った時刻がログ取得期間に含まれていると判定した場合（Ｓ４２のＹＥＳ）、ログ特定部１１４は、Ｓ４３からＳ４５の処理を行わない。すなわち、この場合、ログ特定部１１４は、ログ取得期間の開始時刻を前の時刻に更新する必要がないため、ログ取得期間の更新等を行わない。

続いて、ログ特定部１１４は、図１２に示すように、Ｓ２４、Ｓ３４またはＳ４５の処理で取得したログのうち、Ｓ２２の処理で特定した発生時刻（Ｓ３２の処理で存在したログが取得された時刻）から、Ｓ２３の処理で特定したログ取得期間（Ｓ３３の処理等で更新したログ取得期間）の終了時刻までの間に取得されたログを特定する。そして、ログ特定部１１４は、特定したログのうち、Ｓ４１の処理で特定したユーザに対応するログであって、特定種別の文字情報を含むログが存在するか否かを判定する（Ｓ５１）。特定種別の文字情報は、例えば、「ＥＲＲＯＲ」からなる文字情報である。

具体的に、ログ特定部１１４は、例えば、情報格納領域１３０に記憶された利用情報１３２を参照し、Ｓ４１の処理で特定したユーザが利用するソフトウエアを特定する。そして、ログ特定部１１４は、例えば、特定したソフトウエアを示す文字情報と「ＥＲＲＯＲ」からなる文字情報とを含む文字情報が「ログの内容」に設定されたログを特定する。以下、利用情報１３２の具体例について説明を行う。

［利用情報の具体例］
図２１は、利用情報１３２の具体例を説明する図である。図２１に示す利用情報１３２は、「ＡＰ１」を利用するユーザが「Ｕｓｅｒ１」及び「Ｕｓｅｒ２」であり、「ＡＰ２」を利用するユーザが「Ｕｓｅｒ１」及び「Ｕｓｅｒ２」であり、「ＡＰ３」を利用するユーザが「Ｕｓｅｒ２」及び「Ｕｓｅｒ３」であることを示している。

そのため、ログ特定部１１４は、Ｓ５１の処理において、図１５で説明したインシデント情報１３１の「ユーザ」に設定された情報が「Ｕｓｅｒ１」である場合、「Ｕｓｅｒ１」が利用するソフトウエアとして「ＡＰ１」及び「ＡＰ２」を特定する。

ここで、インシデントの発生時刻が「１０：２７」であって、ログ取得時間の終了時刻が「１０：３７」である場合、図２０に示すログ情報２３１において、インシデントの発生時刻とログ取得時間の終了時刻との間の時刻が「時刻」に設定されたログは、「項番」が「１３」であるログのみである。そして、「項番」が「１３」であるログの「ログ内容」には、「ＥＲＲＯＲ」からなる文字情報が含まれているが、「ＡＰ１」、「ＡＰ２」または「ＯＳ」からなる文字情報は含まれていない。そのため、ログ特定部１１４は、この場合、Ｓ５１の処理において、条件に合致するログが存在しないと判定する（Ｓ５２のＮＯ）。

図１２に戻り、Ｓ５１の処理でログが存在しないと判定した場合（Ｓ５２のＮＯ）、ログ特定部１１４は、例えば、Ｓ２３の処理で特定したログ取得期間（Ｓ３３の処理等で更新したログ取得期間）よりも後に取得されたログのうち、Ｓ４１の処理で特定したユーザに対応するログであって、特定種別の文字情報を含むログが取得された時刻のうちの最初の時刻を特定する（Ｓ５３）。そして、ログ特定部１１４は、Ｓ２３の処理で特定したログ取得期間（Ｓ３３またはＳ４４の処理で更新したログ取得期間）の終了時刻を、Ｓ５３の処理で特定した時刻に更新する（Ｓ５４）。

具体的に、ログ特定部１１４は、例えば、図１６で説明したログ情報２３１から、ログ取得期間の終了時刻である「１０：３７」よりも後の時刻が「時刻」に設定されたログであって、「ＡＰ１」、「ＡＰ２」または「ＯＳ」からなる文字情報と「ＥＲＲＯＲ」からなる文字情報とを含む文字情報が「ログ内容」に含まれるログとして、「項番」が「１５」及び「１７」であるログを特定する。そして、ログ特定部１１４は、「項番」が「１５」及び「１７」であるログのうち、最初に取得されたログである「項番」が「１５」であるログを特定する。さらに、ログ特定部１１４は、ログ取得期間の終了時刻である「１０：３７」を、「項番」が「１５」であるログの「時刻」に設定された「１０：５１」に更新する。

すなわち、サポート担当者が受け付けた問合せに対する調査を行う際に用いられるログは、Ｓ２３の処理で特定したログ取得期間（Ｓ３３の処理等で更新したログ取得期間）よりも後の時刻に取得された可能性がある。また、調査を行う際に用いられるログは、異常な事象が発生したことを示す「ＥＲＲＯＲ」の文字情報を含む可能性が高い。

そこで、ログ特定部１１４は、ログ取得時間に取得されたログのうち、インシデントの発生時刻とログ取得時間の終了時刻との間に取得されたログに、「ＥＲＲＯＲ」の文字情報を含むログが存在しない場合、調査を行う際に用いられるログがログ取得時間の後に取得されている可能性があると判定する。そして、ログ特定部１１４は、この場合、ログ取得期間の終了時刻を、ログ取得時間よりも後に取得されたログであって、「ＡＰ１」、「ＡＰ２」または「ＯＳ」からなる文字情報と「ＥＲＲＯＲ」の文字情報を含むログのうち、最初に取得されたログが取得された時刻に更新する。

その後、ログ特定部１１４は、記憶装置２ａに記憶されたログ情報のうち、Ｓ５４の処理で更新したログ取得期間に取得されたログ（第１のログ）を取得する（Ｓ５５）。具体的に、ログ特定部１１４は、ログ取得期間を「０８：０２」から「１０：５１」までの間の期間に更新した場合、図２２に示すように、図１６に示すログ情報２３１から、「項番」に「５」から「１５」が設定されたログを取得する。

一方、ログ特定部１１４は、Ｓ５１の処理でログが存在すると判定した場合（Ｓ５２のＹＥＳ）、Ｓ５３、Ｓ５４及びＳ５５の処理を行わない。すなわち、この場合、ログ特定部１１４は、ログ取得期間の終了時刻を後の時刻に更新する必要がないため、ログ取得期間の更新等を行わない。

そして、ログ特定部１１４は、図１３に示すように、情報格納領域１３０に記憶されたログ情報２３１を参照し、ログ情報２３１に含まれる複数のログのうち、Ｓ２３の処理で特定したログ取得期間（Ｓ３３の処理等で更新したログ取得期間）以外の期間に取得されたログ（第２のログ）を取得する（Ｓ６１）。具体的に、ログ特定部１１４は、図２３に示すように、図１６で説明したログ情報２３１のうち、図２２で説明した第１のログ以外のログ（「項番」が「１」から「４」であるログ及び「項番」が「１６」から「１８」であるログ）を、第２のログとして取得する。

なお、ログ特定部１１４は、記憶装置２ａに記憶されたログ情報２３１のうち、第１のログ以外のログの一部のみを第２のログとして取得するものであってもよい。具体的に、ログ特定部１１４は、例えば、Ｓ２２の処理で特定した発生時刻（Ｓ３２の処理で存在したログが取得された時刻）の所定時間前（例えば、１時間前）の時刻から、その発生時刻の所定時間後（例えば、１時間後）の時刻まで間に取得されたログのうち、第１のログ以外のログを第２のログとして取得するものであってもよい。

その後、情報処理装置１の文字情報変換部１１５は、Ｓ５５の処理で取得した第１のログのうち、Ｓ４１の処理で特定したユーザに対応するログであって、特定種別の文字情報を含むログに含まれる文字情報を、その文字情報よりも秘匿性が高い第１の文字情報に変換する（Ｓ６２）。

また、文字情報変換部１１５は、Ｓ６１の処理で取得した第２のログのうち、特定種別の文字情報を含むログに含まれる文字情報を、第１の文字情報よりも秘匿性が高い第２の文字情報に変換する（Ｓ６３）。さらに、文字情報変換部１１５は、Ｓ５５の処理で取得した第１のログのうち、Ｓ６２の処理で文字情報の変換が行われたログ以外のログに含まれる文字情報を、第２の文字情報に変換する（Ｓ６４）。以下、Ｓ６２からＳ６４の処理で文字情報を変換した後のログについて説明を行う。

［文字情報を変換した後のログの具体例（１）］
図２４は、Ｓ６２からＳ６４の処理で文字情報を変換した後のログの具体例を説明する図である。図２４に示すログのうち、「項番」が「１」から「４」であるログ及び「項番」が「１６」から「１８」であるログは、図２３に示す第２のログに含まれる文字情報を変換した後のログである（Ｓ６３）。また、図２４に示すログのうち、「項番」が「５」から「１５」であるログは、図２２に示す第１のログに含まれる文字情報を変換した後のログである（Ｓ６２、Ｓ６４）。

以下、第２の文字情報への変換は、変換対象の文字情報の全てを「ＸＸＸＸ」に変換することにより行われるものとする。また、第１の文字情報への変換は、変換対象の文字情報がＩＰアドレスである場合、「ＩＰａｄｄｒ１」に変換し、変換対象の文字情報がユーザ名である場合、「Ｕｓｅｒｎａｍｅ１」に変換することにより行われるものとする。また、第１の文字情報への変換は、変換対象の文字情報がホスト名である場合、「ｈｏｓｔｎａｍｅ１」に変換することにより行われるものとする。なお、変換後においても変換前の文字情報の一意性を確保するために、末尾の「１」は変換前の文字情報毎に変わるものとする。

さらに、第３の文字情報への変換は、変換対象の文字情報の文字数を変えることなく、変換対象の文字情報に含まれる数字を「１」に変換し、ひらがなを「あ」に変換し、カタカナを「ア」に変換し、漢字を「全」に変換し、記号を「○」に変換することにより行われるものとする。なお、変換後においても変換前の文字情報の一意性を確保するために、末尾の１文字は変換前の文字情報毎に変わるものとする。

具体的に、図２４に示す第１のログ（「項番」が「５」から「１５」であるログ）のうち、Ｓ４１の処理で特定したユーザが利用するソフトウエアである「ＡＰ１」、「ＡＰ２」または「ＯＳ」からなる文字情報と「ＥＲＲＯＲ」からなる文字情報とを含むログは、「項番」が「５」、「６」、「８」、「１０」、「１２」及び「１５」であるログである。

そのため、文字情報変換部１１５は、図２４の下線部分に示すように、例えば、図１６で説明したログ情報２３１における「項番」が「５」であるログの「ログ内容」に設定された情報のうち、「ｈｏｓｔｎａｍｅ＝」に続く文字情報を「ｄｂｓｅｒｖｅｒ１」から第１の文字情報である「ｈｏｓｔｎａｍｅ１」に変換する。また、文字情報変換部１１５は、例えば、図１６で説明したログ情報２３１における「項番」が「６」であるログの「ログ内容」に設定された情報のうち、「ｈｏｓｔｎａｍｅ＝」に続く文字情報を「ｄｂｓｅｒｖｅｒ２」から第１の文字情報である「ｈｏｓｔｎａｍｅ２」に変換する。さらに、文字情報変換部１１５は、例えば、図１６で説明したログ情報２３１における「項番」が「８」であるログの「ログ内容」に設定された情報のうち、「ＩＰ＝」に続く文字情報を「１０．２０．３０．６０」から第１の文字情報である「ＩＰａｄｄｒ１」に変換する。

一方、図２４に示す第１のログ（「項番」が「５」から「１５」であるログ）のうち、Ｓ４１の処理で特定したユーザが利用するソフトウエアである「ＡＰ１」、「ＡＰ２」または「ＯＳ」からなる文字情報と「ＥＲＲＯＲ」からなる文字情報との両方を含まないログは、「項番」が「７」、「９」、「１１」、「１３」及び「１４」であるログである。また、図２４に示す第２のログは、「項番」が「１」から「４」であるログ及び「項番」が「１６」から「１８」であるログである。

そのため、文字情報変換部１１５は、図２４の下線部分に示すように、例えば、図１６で説明したログ情報２３１における「項番」が「７」であるログの「ログ内容」に設定された情報のうち、「ＩＰ＝」に続く文字情報を「１０．２０．３０．５０」から第２の文字情報である「ＸＸＸＸ」に変換する。また、文字情報変換部１１５は、例えば、図１６で説明したログ情報２３１における「項番」が「１４」であるログの「ログ内容」に設定された情報のうち、「ＩＰ＝」に続く文字情報を「１０．２０．３０．６０」から第２の文字情報である「ＸＸＸＸ」に変換する。

すなわち、第１のログは、調査対象のインシデントの発生時刻に近い時刻に取得されたログである。そして、第１のログのうち、サポート担当者に対して問合せを行ったユーザが利用するソフトウエアの関するログは、調査対象のインシデントの調査に用いられる可能性が高いログであると判断できる。

そのため、文字情報変換部１１５は、第１のログのうち、Ｓ４１の処理で特定したユーザが利用するソフトウエアの関するログの秘匿性を、第１のログのうち、Ｓ４１の処理で特定したユーザ以外のユーザが利用するソフトウエアに関するログの秘匿性よりも低くする。同様に、文字情報変換部１１５は、第１のログのうち、Ｓ４１の処理で特定したユーザが利用するソフトウエアの関するログの秘匿性を、第２のログの秘匿性よりも低くする。

これにより、情報処理装置１は、調査に用いられる可能性が高いログの秘匿性を相対的に低くし、調査に用いられる可能性がログの秘匿性を相対的に高くすることが可能になる。そのため、情報処理装置１は、サポート担当者による調査を妨げることなく、サポート担当者が調査に用いないログの秘匿性を維持することが可能になる。

なお、図１９で説明した認証情報１３３には、Ｕｓｅｒ１がＡＰ２にログインしたことを示す情報が含まれていない。そのため、情報処理装置１は、「ＡＰ２」からなる文字情報を含むログが、問合せに対する調査を行う際に用いられる可能性が低いログであると判定するものであってよい。そして、文字情報変換部１１５は、この場合、第１のログのうち、「ＡＰ２」からなる文字情報を含むログに含まれる文字情報については、第２の文字情報に変換するものであってもよい（Ｓ６２、Ｓ６４）。

これにより、文字情報変換部１１５は、秘匿性を低くするログをより限定することが可能になる。

そして、文字情報変換部１１５は、図１４に示すように、Ｓ６２の処理で変換したログに特定の用語を含むログが存在するか否かを判定する（Ｓ７１）。具体的に、文字情報変換部１１５は、例えば、Ｓ３１の処理において特定のインシデント情報１３１に含まれるか否かの判定を行った文字情報（例えば、「☆テストユーザＮｏ．１☆」）を含むログが存在するか否かを判定する。

その結果、Ｓ６２の処理で変換したログに特定の用語を含むログが存在すると判定した場合（Ｓ７１のＹＥＳ）、文字情報変換部１１５は、Ｓ７１の処理で存在したログのうち、Ｓ４１の処理で特定したユーザに対応するログに含まれる文字情報を、第１の文字情報よりも秘匿性が低い第３の文字情報に変換する（Ｓ７３）。

すなわち、インシデント情報１３１の「現象」に含まれる特定の用語を含むログが存在した場合、文字情報変換部１１５は、存在したログがユーザから受け付けた問合せの内容に対応するものと判定する。そのため、文字情報変換部１１５は、特定の用語を含むログが調査に用いられる可能性が極めて高いログであると判定し、特定の用語を含むログの秘匿性をさらに低くする。以下、Ｓ７３の処理で文字情報を変換した後のログについて説明を行う。

［文字情報を変換した後のログの具体例（２）］
図２５は、Ｓ７３の処理で文字情報を変換した後のログの具体例を説明する図である。具体的に、図２５に示す第１のログのうち、特定の用語である「☆テストユーザＮｏ．１☆」からなる文字情報と、Ｓ４１の処理で特定したユーザが利用するソフトウエアである「ＡＰ１」、「ＡＰ２」または「ＯＳ」からなる文字情報と、「ＥＲＲＯＲ」からなる文字情報とを含むログは、「項番」が「１２」であるログのみである。

そのため、文字情報変換部１１５は、図２５の下線部分に示すように、例えば、図２４で説明したログ情報２３１における「項番」が「１２」であるログの「ログ内容」に設定された情報のうち、「Ｕｓｅｒｎａｍｅ＝」に続く文字情報を「Ｕｓｅｒｎａｍｅ１」から第３の文字情報である「○アアアアアア○全○」に変換する。

これにより、文字情報変換部１１５は、サポート担当者による調査がログの秘匿化によって妨げられる可能性をより低くすることを可能になる。

図１４に戻り、Ｓ６２の処理で変換したログに特定の用語を含むログが存在しないと判定した場合（Ｓ７１のＮＯ）、文字情報変換部１１５は、Ｓ６２の処理で変換した第１のログのうち、Ｓ４１の処理で特定したユーザに対応するログに含まれる文字情報を、第１の文字情報よりも秘匿性が低い第３の文字情報に変換する（Ｓ７２）。

すなわち、インシデント情報１３１の「現象」に含まれる特定の用語を含むログが存在しない場合、文字情報変換部１１５は、第１のログに含まれるログのうち、調査に用いられる可能性が極めて高いログを特定することができない。そのため、文字情報変換部１１５は、例えば、第１のログに含まれる文字情報の秘匿性を一律に低くする。以下、Ｓ７２の処理で文字情報を変換した後のログについて説明を行う。

［文字情報を変換した後のログの具体例（３）］
図２６は、図１５で説明したインシデント情報１３１とは異なるインシデント情報１３１の具体例である。また、図２７は、Ｓ７２の処理で文字情報を変換した後のログの具体例を説明する図である。

初めに、図２６に示すインシデント情報１３１について説明を行う。図２６に示すインシデント情報１３１の「インシデント番号」、「発生日時」、「ユーザ」及び「発生ソフト」には、図１５で説明したインシデント情報１３１と同じ情報が設定されている。そして、図２６に示すインシデント情報１３１の「現象」には、「複数のサーバーのＣＰＵ使用率が上限閾値を超えたままになっている。」という内容の文字情報が設定されている。

ここで、図２６に示すインシデント情報１３１の「現象」に設定された文字情報には、一般用語以外の文字情報が含まれない。そのため、文字情報変換部１１５は、Ｓ６２の処理で文字情報を変換したログに特定の用語を含むログが存在しないものと判定する（Ｓ７１のＮＯ）。したがって、文字情報変換部１１５は、この場合、Ｓ７１の処理で存在したログのうち、Ｓ４１の処理で特定したユーザが利用するソフトウエアである「ＡＰ１」、「ＡＰ２」または「ＯＳ」からなる文字情報と、「ＥＲＲＯＲ」からなる文字情報とを含むログに含まれる文字情報を、第３の文字情報に変換する。

次に、Ｓ７２の処理で文字情報を変換した後のログの具体例について説明を行う。図２７に示す第１のログ（「項番」が「５」から「１５」であるログ）のうち、Ｓ４１の処理で特定したユーザが利用するソフトウエアである「ＡＰ１」、「ＡＰ２」または「ＯＳ」からなる文字情報と、「ＥＲＲＯＲ」からなる文字情報とを含むログは、「項番」が「５」、「６」、「８」、「１０」、「１２」及び「１５」であるログである。

そのため、文字情報変換部１１５は、図２７の下線部分に示すように、例えば、図２４で説明したログ情報２３１における「項番」が「５」であるログの「ログ内容」に設定された情報のうち、「ｈｏｓｔｎａｍｅ＝」に続く文字情報を「ｈｏｓｔｎａｍｅ１」から第３の文字情報である「ａａａａａａａａ１」に変換する。また、文字情報変換部１１５は、例えば、図２４で説明したログ情報２３１における「項番」が「６」であるログの「ログ内容」に設定された情報のうち、「ｈｏｓｔｎａｍｅ＝」に続く文字情報を「ｈｏｓｔｎａｍｅ２」から第３の文字情報である「ａａａａａａａａ２」に変換する。また、文字情報変換部１１５は、例えば、図２４で説明したログ情報２３１における「項番」が「８」であるログの「ログ内容」に設定された情報のうち、「ＩＰ＝」に続く文字情報を「ＩＰａｄｄｒ１」から第３の文字情報である「１１．１１．１１．１１」に変換する。さらに、文字情報変換部１１５は、例えば、図２４で説明したログ情報２３１における「項番」が「１２」であるログの「ログ内容」に設定された情報のうち、「Ｕｓｅｒｎａｍｅ＝」に続く文字情報を「Ｕｓｅｒｎａｍｅ１」から第３の文字情報である「○アアアアアア○全○」に変換する。

これにより、文字情報変換部１１５は、インシデント情報１３１の「現象」に含まれる特定の用語を含むログが存在しない場合であっても、サポート担当者による調査がログの秘匿化によって妨げられる可能性をより低くすることを可能になる。

以上の実施の形態をまとめると、以下の付記のとおりである。

（付記１）
インシデントの発生時刻を特定し、
ソフトウエアのログ情報を記憶する記憶部を参照して、前記ログ情報に含まれる複数のログのうち、特定した前記発生時刻に応じた期間に取得された第１のログと、前記期間以外の期間に取得された第２のログとを特定し、
特定した前記第１のログに含まれる文字情報が、該文字情報よりも秘匿性が高い第１の文字情報に変換され、かつ、特定した前記第２のログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が高い第２の文字情報に変換された新たなログ情報を出力する、
処理をコンピュータに実行させることを特徴とするログ出力プログラム。

（付記２）
付記１において、
前記期間は、前記発生時刻の所定時間前の時刻から前記発生時刻の所定時間後の時刻までの期間である、
ことを特徴とするログ出力プログラム。

（付記３）
付記１において、
前記新たなログ情報を出力する処理では、前記第１のログに特定種別の文字情報を含むログが含まれる場合、前記特定種別の文字情報を含むログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が低い第３の文字情報に変換された前記新たなログ情報の出力を行う、
ことを特徴とするログ出力プログラム。

（付記４）
付記３において、
前記特定種別の文字情報は、前記ソフトウエアの実行に伴って異常が発生したことを示す文字情報である、
ことを特徴とするログ出力プログラム。

（付記５）
付記３において、
前記新たなログ情報を出力する処理では、前記インシデントに含まれる特定の用語を含むログが前記第１のログに含まれる場合、前記第１のログのうち、前記特定の用語を含むログに含まれる文字情報が、前記第３の文字情報に変換された前記新たなログ情報の出力を行い、前記特定の用語を含むログが前記第１のログに含まれていない場合、前記第１のログのそれぞれに含まれる文字情報が、前記第３の文字情報に変換された前記新たなログ情報の出力を行う、
ことを特徴とするログ出力プログラム。

（付記６）
付記１において、
前記新たなログ情報を出力する処理では、前記第１のログに、前記インシデントに関連する特定のユーザ以外のユーザが利用するソフトウエアのログが含まれる場合、前記特定のユーザが利用するソフトウエアのログに含まれる文字情報が、前記第１の文字情報に変換され、前記特定のユーザ以外のユーザが利用するソフトウエアのログに含まれる文字情報が、前記第２の文字情報に変換された前記新たなログ情報の出力を行う、
ことを特徴とするログ出力プログラム。

（付記７）
付記１において、
前記複数のログは、各ログの生成時刻をそれぞれ有し、さらに、
前記新たなログ情報を出力する処理の前において、前記第１のログに、前記生成時刻が前記インシデントの発生時刻から前記期間の終了時刻までの間であるログであって特定種別の文字情報を含むログが含まれていない場合、前記期間の終了時刻を、前記生成時刻が前記期間の後であるログであって前記特定種別の文字情報を含む最初のログの前記生成時刻に変更する、
ことを特徴とするログ出力プログラム。

（付記８）
付記１において、
前記複数のログは、各ログの生成時刻をそれぞれ有し、さらに、
前記新たなログ情報を出力する処理の前において、前記第１のログに特定のユーザのログインに関するログが含まれていない場合、前記期間の開始時刻を、前記特定のユーザのログインに関するログの前記生成時刻に変更する、
ことを特徴とするログ出力プログラム。

（付記９）
インシデントの発生時刻を特定する発生時刻特定部と、
ソフトウエアのログ情報を記憶する記憶部を参照して、前記ログ情報に含まれる複数のログのうち、特定した前記発生時刻に応じた期間に取得された第１のログと、前記期間以外の期間に取得された第２のログとを特定するログ特定部と、
特定した前記第１のログに含まれる文字情報が、該文字情報よりも秘匿性が高い第１の文字情報に変換され、かつ、特定した前記第２のログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が高い第２の文字情報に変換された新たなログ情報を出力するログ出力部と、を有する、
ことを特徴とする情報処理装置。

（付記１０）
付記９において、
ログ出力部は、前記第１のログに特定種別の文字情報を含むログが含まれる場合、前記特定種別の文字情報を含むログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が低い第３の文字情報に変換された前記新たなログ情報の出力を行う、
ことを特徴とする情報処理装置。

（付記１１）
インシデントの発生時刻を特定し、
ソフトウエアのログ情報を記憶する記憶部を参照して、前記ログ情報に含まれる複数のログのうち、特定した前記発生時刻に応じた期間に取得された第１のログと、前記期間以外の期間に取得された第２のログとを特定し、
特定した前記第１のログに含まれる文字情報が、該文字情報よりも秘匿性が高い第１の文字情報に変換され、かつ、特定した前記第２のログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が高い第２の文字情報に変換された新たなログ情報を出力する、
ことを特徴とするログ出力方法。

（付記１２）
付記１１において、
前記新たなログを出力する工程では、前記第１のログに特定種別の文字情報を含むログが含まれる場合、前記特定種別の文字情報を含むログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が低い第３の文字情報に変換された前記新たなログ情報の出力を行う、
ことを特徴とするログ出力方法。

１：情報処理装置 １ａ：記憶装置
２：物理マシン ２ａ：記憶装置
３ａ：仮想マシン ３ｂ：仮想マシン
３ｃ：仮想マシン ４：操作端末

Claims (10)

1. インシデントの発生時刻を特定し、
   ソフトウエアのログ情報を記憶する記憶部を参照して、前記ログ情報に含まれる複数のログのうち、特定した前記発生時刻に応じた期間に取得された第１のログと、前記期間以外の期間に取得された第２のログとを特定し、
   特定した前記第１のログに含まれる文字情報が、該文字情報よりも秘匿性が高い第１の文字情報に変換され、かつ、特定した前記第２のログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が高い第２の文字情報に変換された新たなログ情報を出力する、
   処理をコンピュータに実行させることを特徴とするログ出力プログラム。
2. 請求項１において、
   前記期間は、前記発生時刻の所定時間前の時刻から前記発生時刻の所定時間後の時刻までの期間である、
   ことを特徴とするログ出力プログラム。
3. 請求項１において、
   前記新たなログ情報を出力する処理では、前記第１のログに特定種別の文字情報を含むログが含まれる場合、前記特定種別の文字情報を含むログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が低い第３の文字情報に変換された前記新たなログ情報の出力を行う、
   ことを特徴とするログ出力プログラム。
4. 請求項３において、
   前記特定種別の文字情報は、前記ソフトウエアの実行に伴って異常が発生したことを示す文字情報である、
   ことを特徴とするログ出力プログラム。
5. 請求項３において、
   前記新たなログ情報を出力する処理では、前記インシデントに含まれる特定の用語を含むログが前記第１のログに含まれる場合、前記第１のログのうち、前記特定の用語を含むログに含まれる文字情報が、前記第３の文字情報に変換された前記新たなログ情報の出力を行い、前記特定の用語を含むログが前記第１のログに含まれていない場合、前記第１のログのそれぞれに含まれる文字情報が、前記第３の文字情報に変換された前記新たなログ情報の出力を行う、
   ことを特徴とするログ出力プログラム。
6. 請求項１において、
   前記新たなログ情報を出力する処理では、前記第１のログに、前記インシデントに関連する特定のユーザ以外のユーザが利用するソフトウエアのログが含まれる場合、前記特定のユーザが利用するソフトウエアのログに含まれる文字情報が、前記第１の文字情報に変換され、前記特定のユーザ以外のユーザが利用するソフトウエアのログに含まれる文字情報が、前記第２の文字情報に変換された前記新たなログ情報の出力を行う、
   ことを特徴とするログ出力プログラム。
7. 請求項１において、
   前記複数のログは、各ログの生成時刻をそれぞれ有し、さらに、
   前記新たなログ情報を出力する処理の前において、前記第１のログに、前記生成時刻が前記インシデントの発生時刻から前記期間の終了時刻までの間であるログであって特定種別の文字情報を含むログが含まれていない場合、前記期間の終了時刻を、前記生成時刻が前記期間の後であるログであって前記特定種別の文字情報を含む最初のログの前記生成時刻に変更する、
   ことを特徴とするログ出力プログラム。
8. 請求項１において、
   前記複数のログは、各ログの生成時刻をそれぞれ有し、さらに、
   前記新たなログ情報を出力する処理の前において、前記第１のログに特定のユーザのログインに関するログが含まれていない場合、前記期間の開始時刻を、前記特定のユーザのログインに関するログの前記生成時刻に変更する、
   ことを特徴とするログ出力プログラム。
9. インシデントの発生時刻を特定する発生時刻特定部と、
   ソフトウエアのログ情報を記憶する記憶部を参照して、前記ログ情報に含まれる複数のログのうち、特定した前記発生時刻に応じた期間に取得された第１のログと、前記期間以外の期間に取得された第２のログとを特定するログ特定部と、
   特定した前記第１のログに含まれる文字情報が、該文字情報よりも秘匿性が高い第１の文字情報に変換され、かつ、特定した前記第２のログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が高い第２の文字情報に変換された新たなログ情報を出力するログ出力部と、を有する、
   ことを特徴とする情報処理装置。
10. インシデントの発生時刻を特定し、
    ソフトウエアのログ情報を記憶する記憶部を参照して、前記ログ情報に含まれる複数のログのうち、特定した前記発生時刻に応じた期間に取得された第１のログと、前記期間以外の期間に取得された第２のログとを特定し、
    特定した前記第１のログに含まれる文字情報が、該文字情報よりも秘匿性が高い第１の文字情報に変換され、かつ、特定した前記第２のログに含まれる文字情報が、前記第１の文字情報よりも秘匿性が高い第２の文字情報に変換された新たなログ情報を出力する、
    ことを特徴とするログ出力方法。

Images