特許 6559984 デジタル証拠作成装置、デジタル証拠作成システム、及び、デジタル証拠作成プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6559984

(24)【登録日】2019年7月26日

(45)【発行日】2019年8月14日

(54)【発明の名称】デジタル証拠作成装置、デジタル証拠作成システム、及び、デジタル証拠作成プログラム

(51)【国際特許分類】

   G06F 21/64 20130101AFI20190805BHJP

【ＦＩ】

   G06F21/64

【請求項の数】12

【全頁数】33

(21)【出願番号】特願2015-57064(P2015-57064)

(22)【出願日】2015年3月20日

(65)【公開番号】特開2016-177525(P2016-177525A)

(43)【公開日】2016年10月6日

【審査請求日】2017年12月25日

(73)【特許権者】

【識別番号】505386306

【氏名又は名称】株式会社くまなんピーシーネット

(74)【代理人】

【識別番号】100080160

【弁理士】

【氏名又は名称】松尾 憲一郎

(74)【代理人】

【識別番号】100149205

【弁理士】

【氏名又は名称】市川 泰央

(72)【発明者】

【氏名】浦口 康也

【審査官】 吉田 歩

(56)【参考文献】

【文献】 米国特許出願公開第２００８／０２４３９５５（ＵＳ，Ａ１）

【文献】 特開２００８−２１６３４２（ＪＰ，Ａ）

【文献】 特開２００６−１７８５２１（ＪＰ，Ａ）

【文献】 特開２００４−０８６６１７（ＪＰ，Ａ）

【文献】 池上 成朝，改訂版 デジタル・フォレンジック事典，日本，株式会社日科技連出版社，２０１４年 ４月２６日，ｐ．１４−１５，ｐ．４１７−４２０

【文献】 アーク情報システム ＨＤ革命／ＣｏｐｙＤｒｉｖｅ Ｖｅｒ．３ Ｐｒｏ，ＰＣｆａｎ，日本，（株）毎日コミュニケーションズ，２００８年１２月１５日，２００９年 １月１・１５日号，ｐ．１７４

【文献】 Arman Gungor，S.M.A.R.T.Data in Computer Forensics，２０１４年 １月 ９日，全文、全図，ＵＲＬ，https://www.meridiandiscovery.com/articles/smart-data-in-computer-forensics/

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／６４

(57)【特許請求の範囲】

【請求項1】

情報処理装置に接続して用いるデジタル証拠作成装置であって、
デジタル証拠作成プログラムが記憶された第１記憶媒体を備え、
前記第１記憶媒体の前記デジタル証拠作成プログラムを前記情報処理装置が実行することにより、前記情報処理装置は、前記情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする解析用記憶媒体を作成する機能と、当該解析用記憶媒体の作成に係る動作履歴を記録する機能と、前記原記憶媒体の機器固有情報を記録する機能と、前記情報処理装置に対するデジタル証拠作成に係る操作入力を記録する機能と、を実現し、
前記デジタル証拠作成プログラムを実行する前記情報処理装置は、原記憶媒体から解析用記憶媒体を作成する前後でそれぞれ当該原記憶媒体に係る耐用指標情報を取得し、解析用記憶媒体の作成に係る動作履歴として記録することを特徴とするデジタル証拠作成装置。

【請求項2】

前記第１記憶媒体には第１のオペレーティングシステムプログラムが記憶されており、
前記デジタル証拠作成プログラムは、前記第１記憶媒体から読みだされて前記情報処理装置において実行される前記第１のオペレーティングシステムプログラム上で実行され、
前記第１のオペレーティングシステムプログラムは、前記情報処理装置において、前記デジタル証拠作成装置を論理ディスクとしてマウントする一方、前記情報処理装置の内部又は外部の原記憶媒体となる記憶媒体については論理ディスクとしてマウントせず、前記解析用記憶媒体を作成する際は前記原記憶媒体に物理ディスクとしてアクセスすることを特徴とする請求項１に記載のデジタル証拠作成装置。

【請求項3】

前記解析用記憶媒体には、前記情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする物理的複製が記録される
ことを特徴とする請求項２に記載のデジタル証拠作成装置。

【請求項4】

前記デジタル証拠作成装置は、前記第１記憶媒体にドライバファイル格納用の記憶領域を有し、
前記第１記憶媒体の前記デジタル証拠作成プログラムを前記情報処理装置が実行することにより、前記情報処理装置は、前記記憶領域に保存されたドライバファイルを呼び出して一覧表示する機能と、一覧表示されたドライバファイルの中から選択された１又は複数のドライバファイルを前記第１のオペレーティングシステムプログラムに組込む機能と、を実現する
ことを特徴とする請求項２に記載のデジタル証拠作成装置。

【請求項5】

前記情報処理装置の内部又は外部の記憶媒体には第２のオペレーティングシステムが記憶されており、
前記デジタル証拠作成プログラムは、前記内部又は外部の記憶媒体から読みだされて前記情報処理装置において実行される前記第２のオペレーティングシステム上で実行され、
前記第２のオペレーティングシステムは、前記情報処理装置において、前記デジタル証拠作成装置を論理ディスクとしてマウントするとともに、前記情報処理装置の内部又は外部の原記憶媒体となる記憶媒体を論理ディスクとしてマウントし、前記解析用記憶媒体を作成する際は前記原記憶媒体に論理ディスクとしてアクセスする
ことを特徴とする請求項１に記載のデジタル証拠作成装置。

【請求項6】

前記解析用記憶媒体には、前記情報処理装置の内部又は外部の原記憶媒体となる記憶媒体の特定領域、特定フォルダ、特定ファイルの少なくとも１つのソフトウェア的複製が記録される
ことを特徴とする請求項５に記載のデジタル証拠作成装置。

【請求項7】

前記解析用記憶媒体には、前記情報処理装置の内部又は外部の記憶媒体を原記憶媒体とするソフトウェア的複製が記録される
ことを特徴とする請求項１〜請求項６の何れか１項に記載のデジタル証拠作成装置。

【請求項8】

前記デジタル証拠作成プログラムを実行する前記情報処理装置は、前記情報処理装置の内部又は外部の記憶媒体の耐用指標情報を取得して表示部に表示するとともに、当該耐用指標情報の取得に係る動作履歴を記録する機能を有する
ことを特徴とする請求項１〜請求項７の何れか１項に記載のデジタル証拠作成装置。

【請求項9】

前記デジタル証拠作成プログラムを実行する前記情報処理装置は、前記情報処理装置と当該情報処理装置の内部又は外部の記憶媒体の少なくとも一方の機器固有情報を取得して表示部に表示するとともに、当該機器固有情報に係る動作履歴を記録する機能を有する
ことを特徴とする請求項１〜請求項８の何れか１項に記載のデジタル証拠作成装置。

【請求項10】

前記デジタル証拠作成プログラムを実行する前記情報処理装置は、前記動作履歴、前記機器固有情報、及び前記操作入力に係る記録を前記第１記憶媒体に記録する構成であり、
前記デジタル証拠作成プログラムは、前記デジタル証拠作成装置が前記情報処理装置に接続されていることを動作条件とする
ことを特徴とする請求項１〜請求項９の何れか１項に記載のデジタル証拠作成装置。

【請求項11】

情報処理装置と、当該情報処理装置に接続して用いるデジタル証拠作成装置とを備えるデジタル証拠作成システムであって、
前記デジタル証拠作成装置は、デジタル証拠作成プログラムが記憶された第１記憶媒体を備え、
前記情報処理装置は、前記デジタル証拠作成装置の前記第１記憶媒体の前記デジタル証拠作成プログラムを実行することにより、前記情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする解析用記憶媒体を作成する機能と、当該解析用記憶媒体の作成に係る動作履歴を記録する機能と、前記原記憶媒体の機器固有情報を記録する機能と、前記情報処理装置に対するデジタル証拠作成に係る操作入力を記録する機能と、を実現し、
前記デジタル証拠作成プログラムを実行する前記情報処理装置は、原記憶媒体から解析用記憶媒体を作成する前後でそれぞれ当該原記憶媒体に係る耐用指標情報を取得し、解析用記憶媒体の作成に係る動作履歴として記録する機能を実現することを特徴とするデジタル証拠作成システム。

【請求項12】

情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする解析用記憶媒体を作成する機能と、
当該解析用記憶媒体の作成に係る動作履歴を記録する機能と、
前記原記憶媒体の機器固有情報を記録する機能と、
前記情報処理装置に対するデジタル証拠作成に係る操作入力を記録する機能と、
原記憶媒体から解析用記憶媒体を作成する前後でそれぞれ当該原記憶媒体に係る耐用指標情報を取得し、解析用記憶媒体の作成に係る動作履歴として記録する機能と、
を、前記情報処理装置に実現させることを特徴とするデジタル証拠作成プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、デジタル証拠作成装置、デジタル証拠作成システム、及び、デジタル証拠作成プログラムに関する。

【背景技術】

【0002】

近年、インターネット環境等の通信環境の発達に伴い、パーソナルコンピュータやスマートホン、タブレット端末等の情報処理装置の普及率が劇的に高まっている。このため、情報処理装置に記録されたデータが捜査や裁判等において証拠資料となるケースも増加しており、情報処理装置の記録媒体を法的証拠能力が認められる形で保全し、その法的証拠能力を保持しつつ、記録媒体のデータを複製したり解析したりする技術（デジタル・フォレンジック）が重要になってきている。

【0003】

ここで、情報処理装置に記録されるデータは主としてＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＵＳＢメモリ等の補助記憶媒体に記録されており、補助記憶媒体は電源を供給しなくても記憶を保持できる不揮発性記憶媒体の構成である。

【0004】

情報処理装置は、操作や通信等の何らかの入力が行われたり、起動（再起動を含む）や終了（スリープやサスペンド等の一時的な停止も含む）等が行われたりすると、補助記憶装置に記録された情報の一部（タイムスタンプ等）を自動的に書き換える構成になっている。

【0005】

情報処理装置に記憶されたデータの自動的な書き換えは、様々なタイミングで行われるため、情報処理装置に記録されたデータを、証拠性を保持した状態で適切に保全したり複製したりするためには、このような自動的な書き換えが起こらないように慎重に行う必要があり、コンピュータに関する高度な専門知識が要求されていた。

【0006】

また、上述したように、情報処理装置の記憶装置内のデータの証拠解析を行うには、そのデータを読み出す必要があるが、記憶装置のデータの読み出し処理を行うべくアクセスするとデータ自体が変更される恐れがあるため、証拠解析用にデータの複製を作成する必要がある。このとき、複製データと原本データとの同一性が確保されなければならず、意図的なデータの改竄のみならず、意図しないデータの変更も排除しなければならない。

【0007】

従って、複製データの作成は、情報処理装置にインストールされているＯＳが起動しない状態で行われる。具体的には、証拠の原本データが記録された対象記憶装置を情報処理装置から取り外して専用のコピー装置を用いて複製を行ったり、デジタル・フォレンジック専用の特殊なＯＳを用いて情報処理装置を起動させた状態で複製を行ったりする（特許文献１参照）。

【0008】

また、データ複製の段階に係る技術ではないが、意図的なデータの改竄を防止するべく、デジタル・フォレンジックの作業者のＰＣの操作状況をビデオカメラにて所定時間間隔で撮影して生成される作業映像ログデータと、調査対象ＨＤＤを物理的１００％コピーした解析用ＨＤＤを解析する作業者がデジタル・フォレンジック作業用のソフトウェアの組み込まれたＰＣを操作することによってデジタル・フォレンジック作業における操作記録正当性を証明するシステム又は方法が提案されている（特許文献２参照）。

【先行技術文献】

【特許文献】

【0009】

【特許文献1】特開２００６−１７８５２１号公報

【特許文献2】特開２００８−２１６３４２号公報

【発明の概要】

【発明が解決しようとする課題】

【0010】

上述したように、従来のデジタル・フォレンジックに係る技術では、データを複製すること自体は技術的に可能であっても、複製されたデータの法的証拠能力を保証することが難しかった。すなわち、データの複製過程でデータの意図的な改竄や意図しない変更が行われていないことを保証するための作業に非常に大きな労力を払っていた。また、法的証拠能力あるデジタル・フォレンジック用の複製の作成には所要の手順や必須な記録事項等の方式的な要件があり、その方式的要件を具備する作業で複製されたことを保証する必要もあった。

【0011】

また、従来のデジタル・フォレンジックに係る技術では、複製元となるデータが記憶されたハードディスクドライブ等の記憶媒体をコンピュータから取り外して、デジタル・フォレンジック専用の複製装置にセットして解析用の複製を作成していた。また、コンピュータから取外すことが非常に困難なタイプの記憶媒体（例えば、基板に直付けされたＳＳＤ（Solid State Drive））も増えつつある。このため、デジタル・フォレンジックの解析用のデータ作成に多大な労力と時間を必要とし、多数の被疑コンピュータの中から選択抽出した少数のコンピュータの記憶媒体のみを解析対象とせざるを得ない場合があり、漏れのない捜査の支障になっていた。

【0012】

本発明は、前記課題に鑑みてなされたもので、デジタル証拠作成に係る作業性の向上、及び、作業専門性の緩和を目的とする。

【課題を解決するための手段】

【0013】

本発明の態様の１つは、情報処理装置に接続して用いるデジタル証拠作成装置であって、デジタル証拠作成プログラムが記憶された記憶媒体を備え、前記記憶媒体の前記デジタル証拠作成プログラムを前記情報処理装置で実行することにより、前記情報処理装置は、前記情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする解析用記憶媒体を作成する機能と、当該解析用記憶媒体の作成に係る動作履歴を記録する機能と、前記原記憶媒体の機器固有情報を記録する機能と、前記情報処理装置に対するデジタル証拠作成に係る操作入力を記録する機能と、を実現することを特徴とするデジタル証拠作成装置である。

【0014】

このように構成されたデジタル証拠作成装置においては、記憶媒体に記憶されているデジタル証拠作成プログラムを情報処理装置で実行させることにより、情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする解析用記憶媒体を作成する機能を実現するとともに、解析用記憶媒体の作成に係る動作履歴を記録する機能と、原記憶媒体の機器固有情報を記録する機能と、情報処理装置に対するデジタル証拠作成に係る操作入力を記録する機能と、を実現する構成としてある。このように、デジタル証拠作成装置によれば、デジタル証拠作成装置を情報処理装置に接続することにより、原記憶媒体から解析用記憶媒体を作成する高度な技術専門性を要求する作業と、原記憶媒体から作成される解析用記憶媒体に法的証拠能力を持たせるための高度な法的専門性を要求する作業とをまとめてプログラム処理により実行できるように構成されている。このため、従来、別々に行われていたデジタル証拠作成に係る作業性が大幅に向上し、作業専門性が大きく緩和されることになる。しかも、デジタル証拠作成装置という外部記憶装置を用いたことにより、デジタル証拠作成に係る携帯性も向上する。

【0015】

本発明の選択的な態様の１つは、前記記憶媒体には第１のオペレーティングシステムプログラムが記憶されており、前記デジタル証拠作成プログラムは、前記記憶媒体から読みだされて前記情報処理装置において実行される前記第１のオペレーティングシステムプログラム上で実行され、前記第１のオペレーティングシステムプログラムは、前記情報処理装置において、前記デジタル証拠作成装置を論理ディスクとしてマウントする一方、前記情報処理装置の内部又は外部の原記憶媒体となる記憶媒体については論理ディスクとしてマウントせず、前記解析用記憶媒体を作成する際は前記原記憶媒体に物理ディスクとしてアクセスすることを特徴とするデジタル証拠作成装置である。

【0016】

このように構成されたデジタル証拠作成装置においては、記憶媒体から読みだされて情報処理装置で実行される第１のオペレーティングシステムプログラムは、原記憶媒体となる記憶媒体を論理ディスクとしてマウントしないため、原記憶媒体のデータに対して作業者等の意図しない変更をオペレーティングシステムが加えて原記憶媒体の法的証拠能力を損ずる可能性を防止できる。一方、記憶媒体から読みだされて情報処理装置で実行される第１のオペレーティングシステムプログラムは、デジタル証拠作成装置を論理ディスクとしてマウントするため、デジタル証拠作成装置に記憶されているデジタル証拠作成プログラムは、第１のオペレーティングシステムプログラム上で実行することができる。

【0017】

本発明の選択的な態様の１つは、前記解析用記憶媒体には、前記情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする物理的複製が記録されることを特徴とするデジタル証拠作成装置である。

【0018】

このように構成されたデジタル証拠作成装置は、原記憶媒体に対して物理ディスクとしてアクセスするため、前記情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする物理的複製を、解析用記憶媒体に記録することができる。

【0019】

本発明の選択的な態様の１つは、前記情報処理装置の内部又は外部の記憶媒体には第２のオペレーティングシステムが記憶されており、前記デジタル証拠作成プログラムは、前記内部又は外部の記憶媒体から読みだされて前記情報処理装置において実行される前記第２のオペレーティングシステム上で実行され、前記第２のオペレーティングシステムは、前記情報処理装置において、前記デジタル証拠作成装置を論理ディスクとしてマウントするとともに、前記情報処理装置の内部又は外部の原記憶媒体となる記憶媒体を論理ディスクとしてマウントし、前記解析用記憶媒体を作成する際は前記原記憶媒体に論理ディスクとしてアクセスすることを特徴とするデジタル証拠作成装置である。

【0020】

このように構成されたデジタル証拠作成装置については、情報処理装置が当該情報処理装置の内部又は外部の記憶媒体に記憶された第２のオペレーティングシステムによってブートされており、この第２のオペレーティングシステムは、前記情報処理装置の内部又は外部の原記憶媒体となる記憶媒体を、論理ディスクとしてマウントしている。そして、第２のオペレーティングシステム上で、デジタル証拠作成装置の記憶媒体に記憶されたデジタル証拠作成プログラムが実行される構成である。すなわち、情報処理装置が起動して稼働中であって、当該情報処理装置を停止させたり再起動させたりすると消失する可能性のあるデータを、デジタル証拠作成プログラムを用いて、解析用記憶媒体に複製することが可能となる。

【0021】

本発明の選択的な態様の１つは、前記解析用記憶媒体には、前記情報処理装置の内部又は外部の原記憶媒体となる記憶媒体の特定領域、特定フォルダ、特定ファイルの少なくとも１つのソフトウェア的複製が記録されることを特徴とするデジタル証拠作成装置である。

【0022】

このように構成されたデジタル証拠作成装置においては、原記憶媒体となる記憶媒体を論理ディスクとしてマウントしているため、情報処理装置の内部又は外部の原記憶媒体となる論理ディスクの特定領域、特定フォルダ、特定ファイルを、ソフトウェア的複製（イメージデータ等）として解析用記憶媒体に記録することができる。

【0023】

本発明の選択的な態様の１つは、前記解析用記憶媒体には、前記情報処理装置の内部又は外部の記憶媒体を原記憶媒体とするソフトウェア的複製が記録されることを特徴とするデジタル証拠作成装置である。

【0024】

このように構成されたデジタル証拠作成装置においては、情報処理装置の内部又は外部の原記憶媒体の全体のソフトウェア的複製（イメージデータ等）を、解析用記録媒体に記録することができる。

【0025】

本発明の選択的な態様の１つは、前記デジタル証拠作成プログラムを実行する前記情報処理装置は、原記憶媒体から解析用記憶媒体を作成する前後でそれぞれ当該原記憶媒体に係る耐用指標情報を取得し、解析用記憶媒体の作成に係る動作履歴として記録することを特徴とするデジタル証拠作成装置である。

【0026】

このように構成されたデジタル証拠作成装置は、原記憶媒体から解析用記憶媒体を作成する前の原記憶媒体の耐用指標情報と、原記憶媒体から解析用記憶媒体を作成した後の原記憶媒体の耐用指標情報とを作成して記録するため、解析用記憶媒体の作成によって、原記憶媒体の耐用指標がどのように変化したかを、記録に基づいて把握することができる。

【0027】

本発明の選択的な態様の１つは、前記デジタル証拠作成プログラムを実行する前記情報処理装置は、前記情報処理装置の内部又は外部の記憶媒体の耐用指標情報を取得して表示部に表示するとともに、当該耐用指標情報の取得に係る動作履歴を記録する機能を有することを特徴とするデジタル証拠作成装置である。

【0028】

このように構成されたデジタル証拠作成装置は、任意のタイミングで原記憶媒体の耐用指標情報を取得して表示部に表示することができるため、これを見た作業者は、解析用記憶媒体の作成前に、原記憶媒体にから解析用記憶媒体を作成することの是非等を判断することが可能である。

【0029】

本発明の選択的な態様の１つは、前記デジタル証拠作成プログラムを実行する前記情報処理装置は、前記情報処理装置と当該情報処理装置の内部又は外部の記憶媒体の少なくとも一方の機器固有情報を取得して表示部に表示するとともに、当該機器固有情報に係る動作履歴を記録する機能を有することを特徴とするデジタル証拠作成装置である。

【0030】

このように構成されたデジタル証拠作成装置は、任意のタイミングで情報処理装置と当該情報処理装置の内部又は外部の記憶媒体との少なくとも一方の機器固有情報を取得して表示部に表示することができるため、これを見た作業者は、原記憶媒体とすべき記憶媒体を特定するための情報を得ることができる。

【0031】

本発明の選択的な態様の１つは、前記デジタル証拠作成プログラムを実行する前記情報処理装置は、前記動作履歴、前記機器固有情報、及び前記操作入力に係る記録を前記第１記憶媒体に記録する構成であり、前記デジタル証拠作成プログラムは、前記デジタル証拠作成装置が前記情報処理装置に接続されていることを動作条件とすることを特徴とするデジタル証拠作成装置である。

【0032】

このように構成されたデジタル証拠作成装置は、デジタル証拠作成プログラムの動作条件を前記デジタル証拠作成装置が情報処理装置に接続されていることとしてあるため、第１記憶媒体に記録される動作履歴、機器固有情報、及び操作入力に係る記録を、確実にデジタル証拠作成装置内部の第１記憶媒体内に記憶されるようにすることができる。これにより、デジタル証拠作成装置を用いて作成するデジタル証拠の散逸を防止し、証拠管理性を向上することができる。

【0033】

本発明の選択的な態様の１つは、前記デジタル証拠作成装置は、前記第１記憶媒体にドライバファイル格納用の記憶領域を有し、前記第１記憶媒体の前記デジタル証拠作成プログラムを前記情報処理装置が実行することにより、前記情報処理装置は、前記記憶領域に保存されたドライバファイルを呼び出して一覧表示する機能と、一覧表示されたドライバファイルの中から選択された１又は複数のドライバファイルを前記第１ＯＳプログラムに組込む機能と、を実現することを特徴とするデジタル証拠作成装置である。

【0034】

このように構成されたデジタル証拠作成装置は、ドライバファイルを格納するための記憶領域が用意されており、この記憶領域内に格納されたドライバファイルを一覧表示する機能、一覧表示されたドライバファイルの中から選択されたドライバファイルを情報処理装置上で実行される第１ＯＳプログラムに組込む機能と、デジタル証拠作成プログラムの実行により実現可能である。このため、第１ＯＳプログラムに予め組込まれていないドライバを後から組込み可能であり、従来のデジタル・フォレンジックの手法ではデジタル証拠の複製や保全が不可能又は難しい態様の記憶媒体についても、技術専門性を有さない作業者が、第１ＯＳプログラムを介して容易に複製や保全を行うことができるようになる。

【0035】

以上説明したデジタル証拠作成装置は、他の機器に組み込まれた状態で実施されたり他の方法とともに実施されたりする等の各種の態様を含む。また、本技術は前記デジタル証拠作成装置を備えるデジタル証拠作成システム、上述した装置の構成に対応した機能を情報処理装置に実現させるデジタル証拠作成プログラム、当該デジタル証拠作成プログラムを記録した情報処理装置で読み取り可能な記録媒体、等としても実現可能である。

【発明の効果】

【0036】

本発明によれば、記憶媒体に記憶されているデジタル証拠作成プログラムを情報処理装置で実行させることにより、情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする解析用記憶媒体を作成する機能を実現するとともに、解析用記憶媒体の作成に係る動作履歴を記録する機能と、原記憶媒体の機器固有情報を記録する機能と、情報処理装置に対するデジタル証拠作成に係る操作入力を記録する機能と、を実現する構成としてある。このように、デジタル証拠作成装置によれば、デジタル証拠作成装置を情報処理装置に接続することにより、原記憶媒体から解析用記憶媒体を作成する高度な技術専門性を要求する作業と、原記憶媒体から作成される解析用記憶媒体に法的証拠能力を持たせるための高度な法的専門性を要求する作業とをまとめてプログラム処理により実行できるように構成されている。このため、従来、別々に行われていたデジタル証拠作成に係る作業性が大幅に向上し、作業専門性が大きく緩和されることになる。しかも、デジタル証拠作成装置という外部記憶装置を用いたことにより、デジタル証拠作成に係る携帯性も向上する。

【0037】

請求項２に係る発明によれば、記憶媒体から読みだされて情報処理装置で実行される第１のオペレーティングシステムプログラムは、原記憶媒体となる記憶媒体を論理ディスクとしてマウントしないため、原記憶媒体のデータに対して作業者等の意図しない変更をオペレーティングシステムが加えて原記憶媒体の法的証拠能力を損ずる可能性を防止できる。一方、記憶媒体から読みだされて情報処理装置で実行される第１のオペレーティングシステムプログラムは、デジタル証拠作成装置を論理ディスクとしてマウントするため、デジタル証拠作成装置に記憶されているデジタル証拠作成プログラムは、第１のオペレーティングシステムプログラム上で実行することができる。

【0038】

請求項３に係る発明によれば、原記憶媒体に対して物理ディスクとしてアクセスするため、前記情報処理装置の内部又は外部の記憶媒体を原記憶媒体とする物理的複製を、解析用記憶媒体に記録することができる。

【0039】

請求項５に係る発明によれば、情報処理装置が当該情報処理装置の内部又は外部の記憶媒体に記憶された第２のオペレーティングシステムによってブートされており、この第２のオペレーティングシステムは、前記情報処理装置の内部又は外部の原記憶媒体となる記憶媒体を、論理ディスクとしてマウントしている。そして、第２のオペレーティングシステム上で、デジタル証拠作成装置の記憶媒体に記憶されたデジタル証拠作成プログラムが実行される構成である。すなわち、情報処理装置が起動して稼働中であって、当該情報処理装置を停止させたり再起動させたりすると消失する可能性のあるデータを、デジタル証拠作成プログラムを用いて、解析用記憶媒体に複製することが可能となる。

【0040】

請求項６に係る発明によれば、原記憶媒体となる記憶媒体を論理ディスクとしてマウントしているため、情報処理装置の内部又は外部の原記憶媒体となる論理ディスクの特定領域、特定フォルダ、特定ファイルを、ソフトウェア的複製（イメージデータ等）として解析用記憶媒体に記録することができる。

【0041】

請求項７に係る発明によれば、情報処理装置の内部又は外部の原記憶媒体の全体のソフトウェア的複製（イメージデータ等）を、解析用記録媒体に記録することができる。

【0042】

請求項１に係る発明によれば、原記憶媒体から解析用記憶媒体を作成する前の原記憶媒体の耐用指標情報と、原記憶媒体から解析用記憶媒体を作成した後の原記憶媒体の耐用指標情報とを作成して記録するため、解析用記憶媒体の作成によって、原記憶媒体の耐用指標がどのように変化したかを、記録に基づいて把握することができる。

【0043】

請求項８に係る発明によれば、任意のタイミングで原記憶媒体の耐用指標情報を取得して表示部に表示することができるため、これを見た作業者は、解析用記憶媒体の作成前に、原記憶媒体にから解析用記憶媒体を作成することの是非等を判断することが可能である。

【0044】

請求項９に係る発明によれば、任意のタイミングで情報処理装置と当該情報処理装置の内部又は外部の記憶媒体との少なくとも一方の機器固有情報を取得して表示部に表示することができるため、これを見た作業者は、原記憶媒体とすべき記憶媒体を特定するための情報を得ることができる。

【0045】

請求項１０に係る発明によれば、前記デジタル証拠作成プログラムの動作条件を前記デジタル証拠作成装置が情報処理装置に接続されていることとしてあるため、第１記憶媒体に記録される動作履歴、機器固有情報、及び操作入力に係る記録を、確実にデジタル証拠作成装置内部の第１記憶媒体内に記憶されるようにすることができる。これにより、デジタル証拠作成装置を用いて作成するデジタル証拠の散逸を防止し、証拠管理性を向上することができる。

【0046】

請求項４に係る発明によれば、デジタル証拠作成装置内にドライバファイルを格納するための記憶領域が用意されており、この記憶領域内に格納されたドライバファイルを一覧表示する機能、一覧表示されたドライバファイルの中から選択されたドライバファイルを情報処理装置上で実行される第１ＯＳプログラムに組込む機能と、デジタル証拠作成プログラムの実行により実現可能である。このため、第１ＯＳプログラムに予め組込まれていないドライバを後から組込み可能であり、従来のデジタル・フォレンジックの手法ではデジタル証拠の複製や保全が不可能又は難しい態様の記憶媒体についても、技術専門性を有さない作業者が第１ＯＳプログラムを介して容易に複製や保全を行うことができるようになる。

【図面の簡単な説明】

【0047】

【図1】第１の実施形態に係るデジタル証拠作成装置の使用態様を示す図である。

【図2】第１の実施形態に係るデジタル証拠作成装置を接続したＰＣのハードウェア構成の一例を示すブロック図である。

【図3】デジタル証拠作成プログラムの処理の全体的な流れを示すフローチャートである。

【図4】機能選択画面において「S.M.A.R.T.の表示」が選択された際に実行される処理の流れを示すフローチャートである。

【図5】機能選択画面において「ハードウェア情報」が選択された際に実行される処理の流れを示すフローチャートである。

【図6】機能選択画面において「ディスクの複製」が選択された際に実行される処理の流れを示すフローチャートである。

【図7】機能選択画面において「ディスクの保全」が選択された際に実行される処理の流れを示すフローチャートである。

【図8】ソフトウェア使用許諾契約の同意画面の一例を示す図である。

【図9】案件情報設定画面の一例を示す図である。

【図10】機能選択画面の一例を示す図である。

【図11】S.M.A.R.T.の表示におけるディスク選択画面の一例を示す図である。

【図12】S.M.A.R.T.の表示におけるS.M.A.R.T.の結果表示画面の一例を示す図である。

【図13】ハードウェア情報におけるハードウェア情報一覧表示画面の一例を示す図である。

【図14】ディスクの複製におけるディスク選択画面の一例を示す図である。

【図15】ディスクの複製における選択内容の確認画面の一例を示す図である。

【図16】ディスクの複製におけるサマリー画面の一例を示す図である。

【図17】ディスクの保全におけるディスク選択画面の一例を示す図である。

【図18】ディスクの保全における保全内容設定画面の一例を示す図である。

【図19】ディスクの保全におけるオプション設定画面の一例を示す図である。

【図20】ディスクの保全における保全内容確認画面の一例を示す図である。

【図21】ディスクの保全におけるサマリー画面の一例を示す図である。

【図22】第２の実施形態に係るデジタル証拠作成システムの構成を示す図である。

【図23】デジタル証拠作成プログラムの処理の全体的な流れを示すフローチャートである。

【図24】機能選択画面において「パーティションの保全」が選択された際に実行される処理の流れを示すフローチャートである。

【図25】機能選択画面において「ファイル・フォルダの保全」が選択された際に実行される処理の流れを示すフローチャートである。

【図26】パーティションの保全におけるパーティション選択画面の一例を示す図である。

【図27】パーティションの保全における保全内容設定画面の一例を示す図である。

【図28】パーティションの保全におけるオプション設定画面の一例を示す図である。

【図29】パーティションの保全における保全内容確認画面の一例を示す図である。

【図30】パーティションの保全におけるサマリー画面の一例を示す図である。

【図31】ファイル・フォルダの保全におけるファイル・フォルダ選択画面の一例を示す図である。

【図32】ファイル・フォルダの保全における保全内容設定画面の一例を示す図である。

【図33】ファイル・フォルダの保全におけるオプション選択画面の一例を示す図である。

【図34】ファイル・フォルダの保全における保全内容確認画面の一例を示す図である。

【図35】ファイル・フォルダの保全におけるサマリー画面の一例を示す図である。

【図36】第３の実施形態に係るデジタル証拠作成システムの構成を示す図である。

【図37】第４の実施形態に係るデジタル証拠作成システムの構成を示す図である。

【図38】機能選択画面において「ドライバインストール」が選択された際に実行される処理の流れを示すフローチャートである。

【図39】ドライバ組込画面の一例を示す図である。

【図40】ドライバの正常組込が完了した旨の表示の一例を示す図である。

【発明を実施するための形態】

【0048】

以下、下記の順序に従って本発明を説明する。
（１）第１の実施形態：
（２）第２の実施形態：
（３）第３の実施形態：
（４）第４の実施形態：
（５）その他変形例：

【0049】

（１）第１の実施形態：
図１は、本実施形態に係るデジタル証拠作成装置の使用態様を示す図である。デジタル証拠作成装置１は、情報処理装置としてのパーソナルコンピューター（ＰＣ５）に外部接続して用いられる。デジタル証拠作成装置１は、ＵＳＢ（Universal Serial Bus）を介してＰＣ５に接続されている。

【0050】

図２は、デジタル証拠作成装置１を接続したＰＣ５のハードウェア構成の一例を示すブロック図である。ＰＣ５は、記憶媒体５０、制御部５１、ディスプレイコントローラ５２、ネットワークコントローラ５３、光学ドライブ５４、ＵＳＢコントローラー５５を有し、これら各部が通信バスを介して互いに通信可能に接続されている。

【0051】

ディスプレイコントローラ５２は、制御部５１の制御に基づいて操作画面等の各種の画像を表示部としてのディスプレイ５６に表示させる。ＵＳＢコントローラー５５にはマウスやキーボード等の操作入力機器が接続されており、ユーザが操作入力機器を介して制御部５１に対して各種の操作入力を行うことができる。制御部５１は、ＣＰＵ（Central Processing Unit），ＲＯＭ（Read Only Memory），ＲＡＭ（Random Access Memory）を有し、ＲＯＭ等に記憶されたプログラムに基づいてＲＡＭをワークエリアとしてＣＰＵが演算処理を行うことにより、ＰＣ５を統括的に制御する。

【0052】

ＰＣ５は、ブートデバイスを適宜に変更して設定可能であり、内蔵する第１記憶媒体としての記憶媒体５０をブートデバイスとする態様と、外部接続されたデジタル証拠作成装置１をブートデバイスとする態様とを切り替えて選択可能である。デジタル証拠作成装置１は記憶媒体１１を内蔵しており、この記憶媒体１１には第１のオペレーティングシステムプログラム（第１ＯＳプログラム１２）が記憶されており、外部接続されたデジタル証拠作成装置１に記憶された第１ＯＳプログラム１２によってＰＣ５をブートすることができる。

【0053】

第１ＯＳプログラム１２は、記憶媒体１１から読みだされてＰＣ５で実行する際に、デジタル証拠作成装置１を論理ディスクとしてマウントする一方、ＰＣ５の内部の記憶媒体５０については論理ディスクとしてマウントしない。例えば、第１ＯＳプログラム１２をWindows（登録商標） PEにて実現する場合は、Window（登録商標） PEの所定のレジストリ値を変更することにより、Windows（登録商標） PEのマウントマネージャサービスがストレージデバイスに対して自動マウントを行わないようにしたり、接続されているローカルディスク及びストレージエリアネットワークの論理ユニット番号上のボリュームが自動的にマウントされないように変更したりする。

【0054】

なお、第１ＯＳプログラム１２がＰＣ５で実行される際に論理ディスクとしてマウントしない記憶媒体としてはデジタル証拠作成装置１の記憶媒体１１に限らず、デジタル証拠作成装置１以外のＰＣ５の内部又は外部の任意の記憶媒体について論理ディスクとしてマウントしない構成を採用することができる。

【0055】

デジタル証拠作成装置１は、外部接続用のインターフェース規格と記憶媒体１１のインターフェース規格との間でデータ変換を行うコントローラーチップ１４を有しており、このコントローラーチップ１４を介して記憶媒体１１はＰＣ５のＵＳＢコントローラー５５に接続されている。コントローラーチップ１４はシリアル番号等の固有識別番号を有しており、ＰＣ５のＵＳＢコントローラー５５を介した外部からの問い合わせに対して固有識別番号を応答する。

【0056】

次に、デジタル証拠作成装置１に記憶された第１ＯＳプログラム１２でＰＣ５をブートした場合のデジタル証拠の作成手順について説明する。デジタル証拠作成装置１の記憶媒体１１に記憶された第１ＯＳプログラム１２によってＰＣ５がブートされると、第１ＯＳプログラム１２のブートが完了した後にデジタル証拠作成装置１の記憶媒体１１に記憶されたデジタル証拠作成プログラム１３が自動的又は手動で起動される。

【0057】

デジタル証拠作成プログラム１３は、ＰＣ５にデジタル証拠作成装置１が接続されていることを動作条件（起動条件、機能実行条件、等）としてある。すなわち、デジタル証拠作成プログラム１３は、ＰＣ５にデジタル証拠作成装置１が接続されている場合には起動・機能実行が可能であるが、ＰＣ５にデジタル証拠作成装置１が接続されていない場合には、起動・機能実行をできない構成としてある。これにより、デジタル証拠作成プログラム１３の動作中、デジタル証拠作成装置１がＰＣ５に確実に接続された状態を実現することができる。

【0058】

このような動作条件の具体的な一例としては、起動時又は機能実行時に、デジタル証拠作成装置１のコントローラーチップ１４のシリアル番号などの機器固有情報を利用する態様がある。すなわち、デジタル証拠作成装置１のコントローラーチップ１４の機器固有情報を取得し、取得した機器固有情報と予めプログラム中に保持する機器固有情報とが一致する場合は起動や機能実行を開始又は継続し、取得した機器固有情報と予めプログラム中に保持する機器固有情報とが一致しない場合は起動や機能実行を停止又は開始しない。

【0059】

このように、デジタル証拠作成プログラム１３の動作中、ＰＣ５にデジタル証拠作成装置１が確実に接続された状態を実現することにより、デジタル証拠の証拠管理を容易化し、証拠の散逸を防止する。すなわち、本実施形態に係るデジタル証拠作成装置１では後述するログを一律にデジタル証拠作成装置１内の所定領域（所定フォルダ等）に保存する構成を採用しており、ログの保存場所を限定することにより、ログの取り損じや取り違えを防止することができる。また、作業者が誤ってログを証拠原本である原記憶媒体中に保存して証拠原本を汚す可能性を排除している。また、ログを現場の独自判断で別の記憶媒体等に記憶して証拠散逸する可能性を排除して証拠管理性の低下を防止する効果もある。

【0060】

デジタル証拠作成プログラム１３を実行するＰＣ５は、ＰＣ５の内部又は外部の記憶媒体を原記憶媒体とする解析用記憶媒体を作成する第１処理部Ｆ１と、解析用記憶媒体の作成に係る動作履歴を記録する第２処理部Ｆ２と、原記憶媒体の機器固有情報及び／又はＰＣ５の機器固有情報を記録する第３処理部Ｆ３と、耐用指標情報を記録する第４処理部Ｆ４と、デジタル証拠作成に関連してＰＣ５に対して行われる操作入力を記録する第５処理部Ｆ５と、第１ＯＳプログラム１２にドライバを組み込む第６処理部Ｆ６と、を有する。

【0061】

デジタル証拠作成プログラム１３を実行するＰＣ５は、法的証拠能力あるデジタル証拠を作成するための所定の手順に則った操作入力を許容する一方、それ以外の操作入力を制限する構成となっている。すなわち、法的証拠能力あるデジタル証拠を作成するための所定の手順に則って操作画面が遷移する構成であり、各操作画面では所定の操作入力以外の操作入力を受け付けない構成であり、しかも所要の操作入力が為されるまで次の操作画面へ遷移しない構成としてある。

【0062】

以下、図３〜図７に示すフローチャートに沿って、各操作入力画面について説明する。図３は、デジタル証拠作成プログラムの処理の全体的な流れを示すフローチャート、図４は、機能選択画面において「S.M.A.R.T.の表示」が選択された際に実行される処理の流れを示すフローチャート、図５は、機能選択画面において「ハードウェア情報」が選択された際に実行される処理の流れを示すフローチャート、図６は、機能選択画面において「ディスクの複製」が選択された際に実行される処理の流れを示すフローチャート、図７は、機能選択画面において「ディスクの保全」が選択された際に実行される処理の流れを示すフローチャート、図３８は機能選択画面において「ドライバインストール」が選択された際に実行される処理の流れを示すフローチャートである。

【0063】

デジタル証拠作成プログラム１３を実行するＰＣ５は、ＰＣ５に接続されているデジタル証拠作成装置１がデジタル証拠を受け入れ可能な状態であるかを判断する。具体的には、まず記憶領域１１における後述するデジタル証拠記憶領域Ｒｌｏｇ（デジタル証拠を保存するためのフォルダ等）の有無を確認する（Ｓ１）。記憶領域１１にデジタル証拠記憶領域Ｒｌｏｇが存在しない場合は（Ｓ１：無）次の処理に進み、ソフトウェア使用許諾契約の同意画面を表示し（Ｓ２）、存在する場合は（Ｓ１：有）、デジタル証拠作成プログラム１３が終了する（Ｓ１２）。

【0064】

図８は、ソフトウェア使用許諾契約の同意画面の一例を示す図である。同意画面においては、ソフトウェア使用許諾契約に対する同意／非同意を選択する操作入力が許容されている。ソフトウェア使用許諾契約への同意を示す操作入力を行うと次の手順に係る画面へ遷移する。一方、ソフトウェア使用許諾契約への同意を拒否する操作入力を行うと次の手順に係る画面へ遷移せず、例えばデジタル証拠作成プログラム１３が終了される。

【0065】

同意画面においてソフトウェア使用許諾契約への同意を示す操作入力を行うと、次に、デジタル証拠作成プログラム１３を実行するＰＣ５は、案件情報の入力を促す案件情報設定画面を表示する（Ｓ３）。

【0066】

図９は、案件情報設定画面の一例を示す図である。案件情報設定画面においては、少なくとも、案件名、担当者名、及び証拠作成日時の入力が許容及び必須となる。証拠作成日時については、ＢＩＯＳ（Basic Input/Output System）が保持する日時情報を取得して案件情報設定画面に表示する構成としてもよく、このＢＩＯＳが保持する日時情報を証拠作成日時として使用してもよいし、作業者が手作業で入力した日時情報を証拠作成日時として使用してもよい。その他、案件情報設定画面においては案件内容等の付記的事項を入力可能にしてもよい。案件情報設定画面においては、必須入力要素の入力が完了すると次の操作入力画面である機能選択画面へ遷移させる操作入力が可能となる。

【0067】

このようにして案件情報を設定すると、デジタル証拠作成装置１の記憶媒体１１内に、当該案件のログ等のデジタル証拠を保存するための専用のデジタル証拠記憶領域Ｒｌｏｇ（案件名のフォルダ等）が形成される。すなわち、デジタル証拠作成プログラム１３は、１つのデジタル証拠作成装置１内に特定の案件に紐づけられた１つのデジタル証拠記憶領域を形成する。

【0068】

このように、ステップＳ１の判定によりデジタル証拠記憶領域Ｒｌｏｇの存在しないデジタル証拠作成装置１の記憶媒体１１に対してデジタル証拠記憶領域Ｒｌｏｇを形成する構成とすることにより、１つのデジタル証拠作成装置１内には、１つの案件名に対応する１つのデジタル証拠のみが保存されることとなり、作成済みの証拠を破損したり、複数案件の証拠が混在したりすることが無く、証拠管理性が向上する。なお、デジタル証拠の保存に使用済みのデジタル証拠作成装置１は、ワイプ処理等の工場出荷状態に戻す所定の処理を行うことにより、再び別案件のデジタル証拠の保存用に使用可能となる。

【0069】

以上のソフトウェア使用許諾契約への同意、案件情報の入力の後、デジタル証拠作成に係る機能選択画面が表示される（Ｓ４）。

【0070】

図１０は、機能選択画面の一例を示す図である。本実施形態においては、機能選択画面には「S.M.A.R.T.の表示」、「ハードウェア情報」、「ディスクの複製」、「ディスクの保全」の少なくとも４つの項目が選択可能に表示される。また、図１０には明示されていないが、項目「メイン」のドロップダウンリストから「ドライバインストール」の項目も選択可能である。なお、図１０に示す機能選択画面には、「パーティションの保全」、「ファイル・フォルダの保全」の２つの項目も表示されているが、原記憶媒体を論理ディスクとしてマウントしていないため選択不可となっている。また、図１０に示す機能選択画面においてタブの×アイコンを操作するとデジタル証拠作成プログラム１３が終了する（Ｓ１２）

【0071】

機能選択画面のいずれかの項目が選択されると、第１処理部Ｆ１が選択された項目に応じた処理を実行し、第２処理部Ｆ２〜第５処理部Ｆ５が選択された項目に応じて実行される処理のログを作成する。ここで作成されるログは、いずれも原記憶媒体から作成される解析用記憶媒体の法的証拠能力を間接的に示すものであり、本実施形態においては、エビデンスログＬ１とオペレーションログＬ２の２種類のログが作成される。エビデンスログＬ１は、解析用記憶媒体に記録されるデータの実体面に係るログであり、オペレーションログＬ２は、解析用記憶媒体の作成に際して作業者が行う操作入力に係るログである。

【0072】

機能選択画面において「S.M.A.R.T.の表示」を選択する操作入力を行うと、対象となり得るディスクを選択するディスク選択画面が表示される（Ｓ５１）。

【0073】

図１１は、ディスク選択画面の一例を示す図である。ディスク選択画面には、選択可能なディスクの一覧、各ディスクに対応させて表示されるディスク選択用のチェックボックス、「診断実行」「戻る」「キャンセル」の各操作ボタンがそれぞれ表示される。「戻る」ボタンが操作入力されると図１０に示す機能選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。

【0074】

ディスクに対応するチェックボックスにチェックを入れて「診断実行」ボタンを操作入力すると、制御部５１は、記憶媒体５０の自己診断機能（Self-Monitoring, Analysis and Reporting Technology）を利用してS.M.A.R.T.の各検査項目に係る情報を取得し、S.M.A.R.T.の表示画面をディスプレイ５６に表示する（Ｓ５２）。

【0075】

図１２は、S.M.A.R.T.の表示画面の一例を示す図である。S.M.A.R.T.の表示画面には、S.M.A.R.T.の結果とともに、「閉じる」ボタンが表示される。「閉じる」ボタンが操作入力されるとS.M.A.R.T.の表示画面が閉じ、図１０に示す機能選択画面に戻る。

【0076】

S.M.A.R.T.は、記録媒体の健康状態（寿命）を間接的に示すものであり、表示されたS.M.A.R.T.に基づいて、作業者は原記憶媒体が解析用記憶媒体を作成する際に発生するデータアクセスに耐えうるか否かの目安となる。S.M.A.R.T.は、本実施形態において原記憶媒体の耐用指標に相当する。記憶媒体５０の健康状態が悪い場合、デジタル証拠作成作業が原記憶媒体に与える負荷によって、原記憶媒体の法的証拠性を損なう可能性が懸念される。

【0077】

S.M.A.R.T.の各検査項目のうち、特に、記憶媒体５０に対する読み・書き・転送に係るエラーを示す検査項目の値が記憶媒体５０の耐用指標として重要である。例えば、読み込み時のエラー率を示す「Raw read error rate」、代替処理待ちの不良セクタ数を示す「Current pending sector count」、UltraDMA転送時のCRCエラー数を示す「UDMA CRC error rate」、書き込み時のエラー率を示す「Write error rate」が、読み・書き・転送に係るエラーを示す検査項目である。

【0078】

S.M.A.R.T.の各検査項目及び／又は検査項目の値は、検査項目の値が示す記憶媒体５０の健康状態に応じて表示態様を相違させてもよい。例えば、検査項目の値が示す記憶媒体５０の健康状態に応じてS.M.A.R.T.の各検査項目及び／又は検査項目の値を異なる色で着色して表示してもよい。より具体的には、検査項目の値が所定の規定範囲を下回る場合は緑文字、当該所定の規定範囲内の場合は青文字、当該所定の規定範囲を超える場合は赤文字で表示する等の着色が可能である。健康状態に応じて表示態様を変えて表示することにより、記憶媒体５０の健康状態の一瞥把握性が向上する。

【0079】

「S.M.A.R.T.の表示」の実行時に作成されるエビデンスログＬ１には、概略、案件識別情報、作業者識別情報、情報収集の開始日時、付記的説明、各種ハードウェア情報、S.M.A.R.T.の表示機能を呼び出したことを示す情報、等が記録される。各種ハードウェア情報としては、Disk Type、Disk Model、Disk Serial、Disk Size、Disk LBA、Computer Manufacturer、Computer Model、Computer Serial、Processor ID、Processor Manufacturer、Processor speed、Computer Memory、BIOS Manufacturer、BIOS Version、BIOS Date、Network Adapter、Network Description、Network Mac Address、等が例示される。

【0080】

「S.M.A.R.T.の表示」の実行時に作成されるオペレーションログＬ２には、概略、「S.M.A.R.T.の表示」の操作入力、ディスクを選択するチェックボックスに対する操作入力、「診断実行」を指示する操作入力、診断対象に選択されたディスク名、「閉じる」を指示する操作入力、等が記録される。このように、解析用記憶媒体の作成の状況を逐一記録したログを作成することにより、法的証拠能力を担保された解析用記憶媒体を作成することができる。

【0081】

機能選択画面において「ハードウェア情報」を選択する操作入力が行われると、制御部５１がＰＣ５の各ハードウェアに係る情報を取得し、ハードウェア情報一覧表示画面をディスプレイ５６に表示する（Ｓ６１）。

【0082】

図１３は、ハードウェア情報一覧表示画面の一例を示す図である。ハードウェア情報一覧表示画面には、ハードウェア情報の一覧の他、「閉じる」の操作ボタンが表示される。ハードウェア情報一覧表示画面の「閉じる」ボタンを操作入力されると、図１０に示す機能選択画面に戻る。

【0083】

ハードウェア情報は、ＰＣ５及び記憶媒体５０の機器の仕様を示す情報である。「ハードウェア情報」が選択された時に、その情報を取得・表示されるハードウェアとしては、ＰＣ５、記憶媒体５０、ＣＰＵ、ＲＡＭ、ＢＩＯＳ、ネットワークアダプタ、等が例示される。これらのハードウェア情報は、ＰＣ５及び記憶媒体５０の機器固有情報であり、記憶媒体５０の使用環境情報でもあるため、記憶媒体５０の同一性を間接的、補助的に証明する情報となり得る。

【0084】

記憶媒体５０に係るハードウェア情報としては、Disk Type、Disk Model、Disk Serial、Disk Size、Disk LBA等が例示される。ＰＣ５に係るハードウェア情報としては、Computer Manufacturer、Computer Model、Computer Serial等が例示される。ＣＰＵのハードウェア情報としては、Processor ID、Processor Manufacturer、Processor speed、等が例示される。ＲＡＭのハードウェア情報としては、Computer Memory sizeが例示される。ＢＩＯＳのハードウェア情報としては、BIOS Manufacturer、BIOS Version、BIOS Date等が例示される。ネットワークアダプタのハードウェア情報としては、Network Adapter、Network Description、Network Mac Address等が例示される。

【0085】

「ハードウェア情報」の実行時に作成されるエビデンスログＬ１には、概略、案件識別情報、作業者識別情報、情報収集を開始した日時、付記的な説明、各種ハードウェア情報が記録される。各種ハードウェア情報としては、Disk Type、Disk Model、Disk Serial、Disk Size、Disk LBA、Computer Manufacturer、Computer Model、Computer Serial、Processor ID、Processor Manufacturer、Processor speed、Computer Memory、BIOS Manufacturer、BIOS Version、BIOS Date、Network Adapter、Network Description、Network Mac Addressが例示される。

【0086】

「ハードウェア情報」の実行時に作成されるオペレーションログＬ２には、概略、「ハードウェア情報」の操作入力、ハードウェア情報の一覧表示画面の「閉じる」の操作入力について記録される。

【0087】

機能選択画面において「ディスクの複製」を選択する操作入力が行われると、ディスク選択画面が表示される（Ｓ８１）。

【0088】

図１４は、ディスク選択画面の一例を示す図である。ディスク選択画面には、選択可能なディスク名の一覧、各ディスク名に対応するディスク選択用のチェックボックス、ハッシュタイプを選択するラジオボタン、「戻る」、「次へ」、「キャンセル」のボタン、がそれぞれ表示されている。作業者が「戻る」ボタンを操作入力すると図１０に示す機能選択画面に戻る。作業者が「キャンセル」ボタンを操作入力すると図１０に示す機能選択画面に戻る。

【0089】

作業者がディスク名に対応するチェックボックスにチェックを入れ、所望のハッシュタイプを選択して「次へ」ボタンを操作入力すると選択内容確認画面が表示される図１５参照）。選択内容確認画面には、選択内容の他に、「戻る」、「複製実行」、「キャンセル」の各ボタンが表示されている。また、選択内容確認画面には、物理的複製の作成処理の進捗を示すプログレスバーも表示されている。作業者が「戻る」ボタンを操作入力すると図１４に示すディスク選択画面に戻る。作業者が「キャンセル」ボタンを操作入力すると図１０に示す機能選択画面に戻る。

【0090】

「複製実行」のボタンが操作入力されると、制御部５１が、原記憶媒体の物理的複製を、ワイプ処理等の工場出荷状態に戻す所定の処理を行ってデジタル証拠作成装置１に接続された記憶媒体に作成する処理を開始する（Ｓ８２）。制御部５１は、デジタル証拠作成元となる記憶媒体５０の全領域のデータを、いわゆるDisk-to-Disk方式により、ＰＣ５に接続される別の記憶媒体に保存する。併せて、デジタル証拠作成元となる記憶媒体５０のデータからハッシュ関数（MD5、SHA-256等）を用いてハッシュ値を作成し、記憶媒体１１に保存する。デジタル証拠作成元のデータから作成したハッシュ値を複製データとともに記憶媒体１１に保存することにより、作成された解析用記憶媒体のデータが改変されていないことを証明することができる。

【0091】

ディスクの複製の実行前に、デジタル証拠作成プログラム１３は、ディスクの複製先となる記憶媒体の情報の有無を確認し、記憶媒体に情報が記憶されている場合は、ディスクの複製を中止する保護機能を有している。これにより、複製元と複製先の取り違えや、有用な証拠が記憶された記憶媒体を誤って複製先に使用したりする事態を防止できる。複製先となる記憶媒体の情報の有無は、例えば、パーティションの有無の確認（ＭＢＲ末尾のBOOT Signature等の固定値の有無）により行うことができる。

【0092】

物理的複製の作成が完了すると、複製作業のサマリーを表示するサマリー画面が表示される（図１６参照）。サマリー画面には、複製が正常終了したか否か、複製に要した時間、エラーの発生回数、複製元のディスク情報、複製先のディスク情報、ハッシュタイプ、等が表示される。サマリー画面の「終了」ボタンを操作入力すると、サマリー画面が閉じて図１０に示す機能選択画面に戻る。

【0093】

このように、機能選択画面の「ディスクの複製」の項目の選択により実行される処理は、原記憶媒体の全領域に対してセクタ毎に行う複製であり、原記憶媒体のディスクの先頭セクタから末尾セクタまで、データ格納部分だけでなくデータ非格納部分も含めて、原記憶媒体のデータの並び順通りに解析用記憶媒体上に再現する。本実施形態において、ディスクの複製により作成される解析用記憶媒体は、原記憶媒体の物理的複製を構成する。

【0094】

「ディスクの複製」の実行時に作成されるエビデンスログＬ１には、概略、案件識別情報、作業者識別情報、情報収集開始日時、付記的な説明、各種ハードウェア情報、複製の前処理として取得されるS.M.A.R.T.の情報、ディスクの物理的複製の設定情報、ディスクの物理的複製の進捗情報、複製の後処理として取得されるS.M.A.R.T.の情報、が記録される。ディスクの物理的複製処理の前後でS.M.A.R.T.の情報を記録することにより、ログから、ディスクの複製処理によるディスクへの影響度合を判断可能となる。

【0095】

各種ハードウェア情報としては、Disk Type、Disk Model、Disk Serial、Disk Size、Disk LBA、Computer Manufacturer、Computer Model、Computer Serial、Processor ID、Processor Manufacturer、Processor speed、Computer Memory、BIOS Manufacturer、BIOS Version、BIOS Date、Network Adapter、Network Description、Network Mac Addressが例示される。

【0096】

ディスクの物理的複製の設定情報としては、複製作業の作業名（Disk Duplication等）、複製元の記憶媒体の情報、複製先の記憶媒体の情報、作成するハッシュタイプ、等が記録される。

【0097】

ディスクの物理的複製処理の進捗情報としては、ディスクの物理的複製処理を開始した旨、作成したハッシュ値、複製処理のサマリー、複製の成否、複製に要した時間、等が記録される。

【0098】

「ディスクの複製」の実行時に作成されるオペレーションログＬ２には、ディスクの物理的複製の作成を選択する操作入力、ソース記憶媒体の選択、複製先のディスクを選択する操作入力、「次へ」をクリックする操作入力、ハッシュタイプを指定する操作入力、複製開始を指示する操作入力、等が記録されている。

【0099】

機能選択画面において「ディスクの保全」を選択する操作入力が行われると、保全対象ディスクを選択するディスク選択画面が表示される（Ｓ７１）。

【0100】

図１７は、ディスク選択画面の一例を示す図である。ディスク選択画面には、選択可能なディスク名が一覧表示されており、各ディスク名に対応づけて選択用のチェックボックスが表示されている。ディスク選択画面には、「戻る」、「次へ」、「キャンセル」のボタンも表示されている。「戻る」ボタンが操作入力されると図１０に示す機能選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。ディスク名に対応するチェックボックスにチェックを入れて「次へ」ボタンを操作入力すると、保全内容設定画面が表示される（Ｓ７２）。

【0101】

図１８は、保全内容設定画面の一例を示す図である。保全内容設定画面には、保全データ名の入力部、保全用メモの入力部、ハッシュタイプを選択するラジオボタン、保全データのフォーマット（E01イメージファイル形式、DDイメージファイル形式等）を選択するラジオボタンが、それぞれ表示されている。保全内容設定画面には、「戻る」、「次へ」、「キャンセル」のボタンも表示されている。作業者が「戻る」ボタンを操作入力すると図１７に示すディスク選択画面に戻る。作業者が「キャンセル」ボタンを操作入力すると図１０に示す機能選択画面に戻る。

【0102】

保全データ名の入力部に入力される文字列は、ディスクの保全によって作成されるイメージデータのファイル名として使用される。保全用メモの入力部に入力される文字列は、保全に係る付記的なメモとしてログに記録される。所望のハッシュタイプと保全データのフォーマットを選択して「次へ」ボタンを操作入力するとオプション設定画面が表示される（Ｓ７３）。

【0103】

図１９は、オプション設定画面の一例を示す図である。オプション設定画面には、保全データの分割保存の要否を選択するラジオボタン、不良セクタのスキップの要否を選択するラジオボタンがそれぞれ表示されている。保全内容の設定画面には、「戻る」、「次へ」、「キャンセル」のボタンも表示されている。「戻る」ボタンが操作入力されると、図１８に示す保全内容選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。

【0104】

オプション設定画面において、分割保存の要否と不良セクタのスキップの要否を選択し、分割保存を選択した場合は分割サイズを指定して「次へ」ボタンを操作入力すると保全内容確認画面が表示される（図２０参照）。保全内容確認画面には、「戻る」、「保全開始」、「キャンセル」のボタンが表示されている。「戻る」ボタンが操作入力されると図１９に示すオプション選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。

【0105】

保全内容確認画面の表示内容に問題が無い場合は、作業者は「保全開始」のボタンを操作入力する。すると、制御部５１は、原記憶媒体となる記憶媒体５０のデータを、いわゆるDisk-to-File方式により、各種デジタル・フォレンジックツールで利用可能なイメージファイル形式（E01イメージファイル形式、DDイメージファイル形式等）にイメージファイル化したソフトウェア的複製を記憶媒体１１に保存する（Ｓ７４）。この保存処理の進捗は、図２０に示す保全内容確認画面プログレスバーにより表示される。

【0106】

イメージファイル形式でデジタル証拠を作成することにより、データ改変の可能性を低くすることができる。併せて、原記憶媒体となる記憶媒体５０のデータからハッシュ関数（MD5、SHA-256等）を用いてハッシュ値を作成し、イメージファイルとともに記憶媒体１１に保存する。原記憶媒体のデータから作成したハッシュ値をイメージファイルと共に保存することにより、作成されたイメージデータのデータが改変されていないことを証明することができる。

【0107】

イメージファイルの作成と保存が完了すると、ディスクの保全の作業のサマリーを表示するサマリー画面が表示される（図２１参照）。サマリー画面には、ディスクの保全が正常終了したか否か、ディスクの保全に要した時間、エラーの発生回数、保全元のディスク情報、イメージファイルの保存先のディスク情報、ハッシュタイプ、保全フォーマット、分割の有無、不良セクタのスキップの有無、等が表示される。サマリー画面の「終了」ボタンを操作入力すると、サマリー画面が閉じて図１０に示す機能選択画面に戻る。

【0108】

このように、機能選択画面の「ディスクの保全」の項目の選択により実行される処理は、原記憶媒体の全領域に対してセクタ毎に行う複製であり、原記憶媒体のディスクの先頭セクタから末尾セクタまで、データ格納部分だけでなくデータ非格納部分も含めてイメージデータ化して解析用記憶媒体上に保存する。ディスクの保全の項目の選択により作成される解析用記憶媒体は、原記憶媒体のソフトウェア的複製に相当する。

【0109】

「ディスクの保全」の実行時に作成されるエビデンスログＬ１には、概略、案件識別情報、作業者識別情報、情報収集開始日時、付記的な説明、各種ハードウェア情報、ディスクの保全の前処理としてのS.M.A.R.T.の情報、ディスクの保全の設定情報、ディスクの保全の進捗情報、ディスクの保全の後処理としてのS.M.A.R.T.の情報、等が記録される。

【0110】

各種ハードウェア情報としては、Disk Type、Disk Model、Disk Serial、Disk Size、Disk LBA、Computer Manufacturer、Computer Model、Computer Serial、Processor ID、Processor Manufacturer、Processor speed、Computer Memory、BIOS Manufacturer、BIOS Version、BIOS Date、Network Adapter、Network Description、Network Mac Addressが例示される。

【0111】

ディスクの保全の設定情報としては、保全作業の作業名（Evidence Collection等）、保全元のディスクの情報、保存先のフォルダ名及びファイル名の情報、作成するハッシュタイプ、作成するイメージデータのフォーマット、データ分割記録の有無、不良セクタのスキップの有無、作業の説明、が記録される。

【0112】

ディスクの保全の進捗情報としては、ディスクのイメージファイルの作成処理を開始した旨、スキップした不良セクタ、作成したハッシュ値、トータルのスキップ数、トータルの読み込みエラー数、保全処理のサマリー、ディスクの保全の成否、ディスクの保全に要した時間、が記録される。

【0113】

ディスクの保全処理の前後でS.M.A.R.T.の情報を記録することにより、ログから、ディスクの保全処理によるディスクへの影響度合を判断可能となる。

【0114】

「ディスクの保全」の実行時に作成されるオペレーションログＬ２には、ディスクの保全を選択する操作入力、保全元のディスクを選択する操作入力、データ分割の可否を選択する操作入力、不良セクタのスキップの可否を選択する操作入力、保存ファイル名の入力、使用するハッシュタイプを選択する操作入力、保存イメージデータの形式を選択する操作入力、保全イメージデータの作成開始を指示する操作入力、まとめの表示と終了を指示する操作入力、等が記録されている。

【0115】

機能選択画面において「ドライバインストール」を選択する操作入力が行われると、第１ＯＳプログラム１２に組み込むドライバを選択するドライバ選択画面が表示される（Ｓ１１１）。

【0116】

デジタル証拠作成装置１には、ドライバ格納用の記憶領域Ｒｄｒｖ（フォルダ等）が予め用意されている。デジタル証拠作成装置１を解析で用いるパソコン等に論理ディスクとしてマウントされると、デジタル証拠作成装置１の記憶領域Ｒｄｒｖには当該解析で用いるパソコン等を介して各種デバイスのドライバファイル（INFファイルを含むその他ドライバファイル（SYS、DLL、CAT等））を保存することができる。デジタル証拠作成プログラム１３を実行するＰＣ５が有する第６処理部Ｆ６は、記憶領域Ｒｄｒｖにアクセスして記憶領域Ｒｄｒｖに記憶されているドライバの一部又は全部を第１ＯＳプログラム１２に組込むドライバ組込機能を提供する。

【0117】

図３９は、ドライバ組込画面の一例を示す図である。ドライバ組込画面には、ドライバセットアップ情報を記述したINFファイルを選択するためのドロップダウンメニューと、選択されたINFファイルに対応するドライバの情報を表示するドライバ内容表示部と、が設けられている。ドライバ組込画面には、「ドライバ組込み」、「キャンセル」のボタンも表示されている。「キャンセル」ボタンが操作入力されると、ドライバ組込機能を終了して、図１０に示す機能選択画面に戻る。

【0118】

ドロップダウンメニューでINFファイルを選択して「ドライバ組込み」ボタンを操作入力すると、デジタル証拠作成プログラム１３は、ドロップダウンメニューで選択されたINFファイルのドライバを、第１ＯＳプログラム１２に組み込む処理を行う（Ｓ１１２）。ドライバの組み込みが完了すると、図４０に示すように、ドライバの正常組込が完了した旨の表示を行う。その後、必要に応じて、ドロップダウンメニューに表示される他のINFファイルに対応するドライバについても同様の操作を行ってドライバ組込みを行うことができる。

【0119】

このように、専用のドライバ保存用の記憶領域Ｒｄｒｖを用意し、当該記憶領域に作業者自らが必要なドライバファイルを保存して自由にドライバ組込みを行えるようにしてあるため、第１ＯＳプログラム１２に予め組み込み済みのドライバではアクセスが不可能であったＰＣ５内のデバイスや外部接続機器にもアクセスしてデジタル証拠を作成可能となる。

【0120】

具体的な一例を挙げると、PCI Expressで接続されるSSD（Solid State Drive）のように通常のインターフェース接続の記憶媒体と異なる態様で接続された記憶媒体についても、所要のドライバを組み込むことによりアクセス可能となる。また、複数台の記憶媒体を組み合わせて構築するディスクアレイ装置は、従来、ディスクアレイ装置を構成する記憶媒体毎にディスクの複製や保全を行っており、解析時に各記憶媒体に分散記憶された情報を再構築して一連の情報を復元する手間を要していたが、本実施形態に係るドライバ組込機能を利用してＲＡＩＤコントローラーのドライバを組み込むことにより、ディスクアレイ装置に記憶された情報を一連の情報として読みだして複製や保全を作成することが可能となる。

【0121】

「ドライバインストール」の実行時には、特にエビデンスログＬ１へのログの記録は行われないが、ドライバインストールによって新たにドライバを組み込んだデバイスについては、他の項目の実行時に記録されるハードウェア情報の中に、組み込まれたドライバファイルに記録されている当該デバイスの名称等が記録されるようになる。

【0122】

「ドライバインストール」の実行時に作成されるオペレーションログＬ２には、インストールするドライバを選択する操作、選択したドライバをインストールした事実、ドライバインストール画面を閉じる操作等が記録される。

【0123】

（２）第２の実施形態：
図２２は、本実施形態に係るデジタル証拠作成システム２００の構成を示す図である。デジタル証拠作成システム２００は、上述した第１の実施形態と同様に、デジタル証拠作成装置１をＰＣ５に接続した構成により実現される。

【0124】

本実施形態において、ＰＣ５の記憶媒体５０には第２のオペレーティングシステム（第２ＯＳプログラム５７）が記憶されており、記憶媒体５０がＰＣ５においてブートデバイスに設定されている。このため、ＰＣ５の電源を投入すると、記憶媒体５０に記憶された第２ＯＳプログラム５７によってブートされる。

【0125】

第２ＯＳプログラム５７は、記憶媒体５０から読みだされてＰＣ５で実行される際に、デジタル証拠作成装置１、及び、ＰＣ５の記憶媒体５０を論理ディスクとしてマウントする。その後、ＰＣ５で稼働する第２ＯＳプログラム５７上で、デジタル証拠作成装置１の記憶媒体１１に記憶されたデジタル証拠作成プログラム１３が実行される。

【0126】

第２ＯＳプログラム５７上で実行されるデジタル証拠作成プログラム１３は、上述した第１の実施形態に係るデジタル証拠作成プログラム１３とほぼ同様の機能を実現する。ただし、第１の実施形態の機能選択画面（図１０参照）の「ディスクの複製」の項目及び「ドライバインストール」の項目については選択不可となる一方、「パーティションの保全」、「ファイル・フォルダの保全」の２つの項目は選択可能になる。原記憶媒体としての記憶媒体５０を論理ディスクとしてマウントしているためである。なお、パーティションは特定領域に相当し、ファイル・フォルダは、特定フォルダ又は特定ファイルに相当する。

【0127】

このため、上述した第１の実施形態の図３に示すフローチャートに対応する処理は、図２３に示す流れとなる。図２４は、図２３に示す「パーティションの保全」の操作項目が選択された際に実行される処理の流れを示し、図２５には、図２３に示す「ファイル・フォルダの保全」の操作項目が選択された際に実行される処理の流れを示す。なお、「パーティションの保全」及び「ファイル・フォルダの保全」以外の操作項目が選択された際に実行される処理は、第１の実施形態と同様であるため（上述した「ディスクの複製」の項目と「ドライバインストール」の項目は除く）以下では説明を省略する。

【0128】

機能選択画面において「パーティションの保全」を選択する操作入力が行われると、保全対象パーティションを選択するパーティション選択画面が表示される（Ｓ９１）。

【0129】

図２６は、パーティション選択画面の一例を示す図である。パーティション選択画面には、選択可能なパーティション名が一覧表示されており、各パーティション名に対応づけて選択用のチェックボックスが表示されている。パーティション選択画面には、「戻る」、「次へ」、「キャンセル」のボタンも表示されている。「戻る」ボタンが操作入力されると図１０に示す機能選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。パーティション名に対応するチェックボックスにチェックを入れて「次へ」ボタンを操作入力すると、保全内容設定画面が表示される（Ｓ９２）。

【0130】

図２７は、保全内容設定画面の一例を示す図である。保全内容設定画面には、保全データ名の入力部、保全用メモの入力部、ハッシュタイプを選択するラジオボタン、保全データのフォーマット（E01イメージファイル形式、DDイメージファイル形式等）を選択するラジオボタンが、それぞれ表示されている。保全内容設定画面には、「戻る」、「次へ」、「キャンセル」のボタンも表示されている。作業者が「戻る」ボタンを操作入力すると図２６に示すパーティション選択画面に戻る。作業者が「キャンセル」ボタンを操作入力すると図１０に示す機能選択画面に戻る。

【0131】

保全データ名の入力部に入力される文字列は、パーティションの保全によって作成されるイメージデータのファイル名として使用される。保全用メモの入力部に入力される文字列は、保全に係る付記的なメモとしてログに記録される。ハッシュタイプと保存データのフォーマットを選択して「次へ」ボタンを操作入力するとオプション設定画面が表示される（Ｓ９３）。

【0132】

図２８は、オプション設定画面の一例を示す図である。オプション設定画面には、保全データの分割保存の要否を選択するラジオボタン、不良セクタのスキップの要否を選択するラジオボタンがそれぞれ表示されている。保全内容の設定画面には、「戻る」、「次へ」、「キャンセル」のボタンも表示されている。「戻る」ボタンが操作入力されると、図２７に示す保全内容選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。

【0133】

オプション設定画面において、分割保存の要否と不良セクタのスキップの要否を選択し、分割保存を選択した場合は分割サイズを指定して「次へ」ボタンを操作入力すると保全内容確認画面が表示される。

【0134】

図２９は、保全内容確認画面の一例を示す図である。保全内容確認画面には、「戻る」、「保全開始」、「キャンセル」のボタンが表示されている。「戻る」ボタンが操作入力されると図２８に示すオプション選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。

【0135】

保全内容確認画面の表示内容に問題が無い場合は、作業者は「保全開始」のボタンを操作入力する。すると、制御部５１は、原記憶媒体となる記憶媒体５０の指定されたパーティションを、いわゆるDisk-to-File方式により、各種デジタル・フォレンジックツールで利用可能なイメージファイル形式にイメージファイル化したソフトウェア的複製を記憶媒体１１に保存する（Ｓ９４）。この保存処理の進捗は、図２９に示す保全内容確認画面プログレスバーにより表示される。

【0136】

イメージファイル形式でデジタル証拠を作成することにより、データ改変の可能性を低くすることができる。併せて、原記憶媒体となる記憶媒体５０のデータからハッシュ関数（MD5、SHA-256等）を用いてハッシュ値を作成し、イメージファイルとともに記憶媒体１１に保存する。原記憶媒体の指定されたパーティションのデータから作成したハッシュ値をイメージファイルと共に保存することにより、原記憶媒体から作成されたイメージファイルがその後改変されていないことを証明することができる。

【0137】

パーティションの保全が完了すると、保全作業のサマリーを表示するサマリー画面が表示される（図３０参照）。サマリー画面には、保全が正常終了したか否か、保全に要した時間、エラーの発生回数、保全元のパーティション情報、保全先のファイル情報、ハッシュタイプ、保全フォーマット、分割の有無、不良セクタのスキップの有無、等が表示される。サマリー画面の「終了」ボタンを操作入力すると、サマリー画面が閉じて図１０に示す機能選択画面に戻る。

【0138】

「パーティションの保全」の実行時に作成されるエビデンスログＬ１には、概略、案件識別情報、作業者識別情報、情報収集開始日時、付記的な説明、各種ハードウェア情報、パーティションの保全の前処理としてのS.M.A.R.T.の情報、パーティションの保全の設定情報、パーティションの保全の進捗情報、パーティションの保全の後処理としてのS.M.A.R.T.の情報、が記録される。

【0139】

各種ハードウェア情報としては、Disk Type、Disk Model、Disk Serial、Disk Size、Disk LBA、Computer Manufacturer、Computer Model、Computer Serial、Processor ID、Processor Manufacturer、Processor speed、Computer Memory、BIOS Manufacturer、BIOS Version、BIOS Date、Network Adapter、Network Description、Network Mac Addressが例示される。

【0140】

パーティションの保全の設定情報としては、保全作業の作業名（Evidence Collection等）、保全元の記憶媒体の情報、作成したイメージデータの保存先とファイル名の情報、作成するハッシュタイプ、作成するイメージデータのフォーマット、データ分割記録の有無、不良セクタのスキップの有無、作業の説明 、が記録される。

【0141】

パーティションの保全の進捗情報としては、パーティションの保全処理を開始した旨、作成したハッシュ値、パーティションの保全処理のサマリー、パーティションの保全の成否、パーティションの保全に要した時間、が記録される。

【0142】

パーティションの保全の前後でS.M.A.R.T.の情報を記録することにより、パーティションの保全処理による原記憶媒体としての記憶媒体５０に対する影響度合を、ログから判断可能となる。

【0143】

「パーティションの保全」の実行時に作成されるオペレーションログＬ２には、パーティションの保全を選択する操作入力、保全元の記憶媒体を選択指定する操作入力、データ分割の可否を選択する操作入力、不良セクタのスキップの可否を選択する操作入力、保存ファイル名の入力、使用するハッシュタイプを選択する操作入力、保存するイメージデータの形式を選択する操作入力、バックアップの開始を指示する操作入力、まとめの表示と終了を指示する操作入力、等が記録されている。

【0144】

機能選択画面において「ファイル・フォルダの保全」を選択する操作入力が行われると、保全対象ファイル又はフォルダを選択するファイル・フォルダ選択画面が表示される（Ｓ１０１）。

【0145】

図３１は、ファイル・フォルダ選択画面の一例を示す図である。ファイル・フォルダ選択画面には、選択可能なファイル名やフォルダ名が一覧表示されており、各ファイル名・フォルダ名に対応づけて選択用のチェックボックスが表示されている。ファイル・フォルダ選択画面には、「戻る」、「次へ」、「キャンセル」のボタンも表示されている。「戻る」ボタンが操作入力されると図１０に示す機能選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。

【0146】

ファイル・フォルダに対応するチェックボックスにチェックを入れて「次へ」ボタンを操作入力すると、保全内容設定画面が表示される（Ｓ１０２）。

【0147】

図３２は、保全内容設定画面の一例を示す図である。保全内容設定画面には、保全データ名の入力部、保全用メモの入力部、が表示されている。保全内容設定画面には、「戻る」、「次へ」、「キャンセル」のボタンも表示されている。作業者が「戻る」ボタンを操作入力すると図３１に示すファイル・フォルダ選択画面に戻る。作業者が「キャンセル」ボタンを操作入力すると図１０に示す機能選択画面に戻る。

【0148】

保全データ名の入力部に入力される文字列は、ファイル・フォルダの保全によって作成されるフォルダ名として使用される。保全用メモの入力部に入力される文字列は、保全に係る付記的なメモとしてログに記録される。その後、「次へ」ボタンを操作入力するとオプション設定画面が表示される（Ｓ１０３）。

【0149】

図３３は、オプション選択画面の一例を示す図である。オプション設定画面には、不良セクタのスキップの要否を選択するラジオボタンが表示されている。保全内容の設定画面には、「戻る」、「次へ」、「キャンセル」のボタンも表示されている。「戻る」ボタンが操作入力されると、図３２に示す保全内容選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。

【0150】

オプション選択画面において、不良セクタのスキップの要否を選択し、「次へ」ボタンを操作入力すると保全内容確認画面が表示される（図３４参照）。保全内容確認画面には、「戻る」、「保全開始」、「キャンセル」のボタンが表示されている。「戻る」ボタンが操作入力されると図３３に示すオプション選択画面に戻る。「キャンセル」ボタンが操作入力されると、図１０に示す機能選択画面に戻る。

【0151】

保全内容確認画面の表示内容に問題が無い場合は、作業者は「保全開始」のボタンを操作入力する。すると、制御部５１は、原記憶媒体となる記憶媒体５０の指定されたファイル又はフォルダをAS IS（ファイル名、フォルダ名、サイズ、タイムスタンプ等を維持した形式）で、且つ読み取り専用属性で記憶媒体１１に保存する（Ｓ１０４）。この保存処理の進捗は、図３４に示す保全内容確認画面プログレスバーにより表示される。

【0152】

なお、このパーティションの保全やファイル・フォルダの保全においては、第２ＯＳプログラム５７が使用中のファイル等の保全が必要な場合もあるため、本実施形態に係るデジタル証拠作成プログラム１３は、ボリューム上のファイルを使用・非使用に関わらず現在の状態のコピーを作成するコピー機能を有している。このようなコピー機能の一例として、ＯＳに実装されているボリューム・シャドウ・コピー・サービス（VSS）があるが、本実施形態では、これと同様又は類似のコピー機能をアプリケーションであるデジタル証拠作成プログラム１３に実装しており、第２ＯＳプログラム５７が使用中のファイル等の保全を可能化してある。

【0153】

このように、本実施形態に係るパーティションの保全やファイル・フォルダの保全では、第２ＯＳプログラム５７の稼働中に当該第２ＯＳプログラム５７が使用中のファイル等も含めて限りなく原本の中身と同様の状態で保全できる。これにより、サイバー攻撃等のように情報処理装置内で活性中のマルウェア等をタイムスタンプを維持した状態で捕獲することができる。また、クラウド上で閲覧するメールやブラウザ等の場合のようにＲＡＭ等の一時的な記憶媒体にキャッシュされた情報についても保全することができる。

【0154】

また、AS ISでファイル・フォルダを保存することにより、解析に特殊な専門的機器を使わずに保全データの解析を行うことができる。併せて、上述したように保全データを読み取り専用属性で保存しているため、特殊な専門的機器を使わずとも、AS ISのデータを改変することがない。

【0155】

保全が完了すると、保全作業のサマリーを表示するサマリー画面が表示される（図３５参照）。サマリー画面には、保全が正常終了したか否か、保全に要した時間、エラーの発生回数、保全元のファイル・フォルダ情報、保全先のファイル情報、保全フォーマット、分割の有無、不良セクタのスキップの有無、等が表示される。サマリー画面の「終了」ボタンを操作入力すると、サマリー画面が閉じて機能選択画面に戻る。

【0156】

「ファイル・フォルダの保全」の実行時に作成されるエビデンスログＬ１には、概略、案件識別情報、作業者識別情報、情報収集開始日時、付記的な説明、各種ハードウェア情報、ファイル・フォルダの保全の前処理としてのS.M.A.R.T.の情報、ファイル・フォルダの保全の設定情報、ファイル・フォルダの保全の進捗情報、ファイル・フォルダの保全の後処理としてのS.M.A.R.T.の情報、が記録される。

【0157】

各種ハードウェア情報としては、Disk Type、Disk Model、Disk Serial、Disk Size、Disk LBA、Computer Manufacturer、Computer Model、Computer Serial、Processor ID、Processor Manufacturer、Processor speed、Computer Memory、BIOS Manufacturer、BIOS Version、BIOS Date、Network Adapter、Network Description、Network Mac Addressが例示される。

【0158】

ファイル・フォルダの保全の設定情報としては、保全作業の作業名（Evidence Collection等）、保全元の記憶媒体の情報、作成した書庫ファイルの保存先とファイル名の情報、作成する書庫ファイルのフォーマット、データ分割記録の有無、不良セクタのスキップの有無、作業の説明 、が記録される。

【0159】

ファイル・フォルダの保全の進捗情報としては、ファイル・フォルダの保全処理を開始した旨、ファイル・フォルダの保全処理のサマリー、ファイル・フォルダの保全の成否、ファイル・フォルダの保全に要した時間、が記録される。

【0160】

ファイル・フォルダの保全処理の前後でS.M.A.R.T.の情報を記録することにより、ログから、ファイル・フォルダの保全処理による原記憶媒体への影響度合を判断可能となる。

【0161】

「ファイル・フォルダの保全」の実行時に作成されるオペレーションログＬ２には、ファイル・フォルダの書庫ファイルの作成を選択する操作入力、保全元のファイル・フォルダを選択する操作入力、データ分割の可否を選択する操作入力、不良セクタのスキップの可否を選択する操作入力、保存ファイル名を入力する操作入力、使用するハッシュタイプを選択する操作入力、バックアップの開始指示の操作入力、終了を指示する操作入力、等が記録される。

【0162】

（３）第３の実施形態：
図３６は、本実施形態に係るデジタル証拠作成システム３００の構成を示す図である。デジタル証拠作成システム３００は、上述した第１の実施形態のＰＣ５が内蔵又はＰＣ５に外部接続されるＣＤ−ＲＯＭドライブ等の記憶媒体読取装置３０１に、デジタル証拠作成プログラム１３が記憶されたＣＤ−ＲＯＭ等の記憶媒体３０２をセットした構成により実現される。

【0163】

記憶媒体３０２には、上述した第１の実施形態で説明した第１ＯＳプログラム１２及びデジタル証拠作成プログラム１３が記憶されており、ＰＣ５は記憶媒体読取装置３０１をブートデバイスに設定されている。このため、ＰＣ５の電源を投入すると、記憶媒体読取装置３０１にセットされた記憶媒体３０２に記憶された第１ＯＳプログラム１２によってブートされる。その後、ＰＣ５で稼働する第１ＯＳプログラム１２上で、記憶媒体３０２に記憶されたデジタル証拠作成プログラム１３が実行される。

【0164】

このようにして第１ＯＳプログラム１２上で実行されるデジタル証拠作成プログラム１３は、上述した第１実施形態に係るデジタル証拠作成プログラム１３と同様の機能を実現することができる。上述した各ログは、ＣＤ−ＲＯＭ等の記憶媒体３０２に記憶されたデジタル証拠作成プログラム１３の実行時にも、ＰＣ５に接続されたデジタル証拠作成装置１の記憶媒体１１に記憶される。また、ＣＤ−ＲＯＭ等の記憶媒体３０２に記憶されたデジタル証拠作成プログラム１３の実行時にも、上述した第１の実施形態と同様に、ＰＣ５に接続されたデジタル証拠作成装置１の記憶媒体１１に設けられたドライバ記憶領域Ｒｄｒｖに記憶されたドライバファイルを第１ＯＳプログラム１２に組み込むことができる。

【0165】

なお、記憶媒体３０２に記憶されているデジタル証拠作成プログラム１３においても、ＰＣ５にデジタル証拠作成装置１が接続されていることを動作条件（起動条件、機能実行条件、等）としてある。すなわち、デジタル証拠作成プログラム１３は、ＰＣ５にデジタル証拠作成装置１が接続されている場合には起動・機能実行可能であるが、ＰＣ５にデジタル証拠作成装置１が接続されていない場合には、起動・機能実行できない構成としてある。

【0166】

（４）第４の実施形態：
図３７は、本実施形態に係るデジタル証拠作成システム４００の構成を示す図である。デジタル証拠作成システム４００は、上述した第１の実施形態と同様にＰＣ５にデジタル証拠作成装置１を接続した構成、又は上述した第３の実施形態と同様にＰＣ５にデジタル証拠作成装置１を接続しつつ記憶媒体読取装置３０１にデジタル証拠作成プログラム１３が記憶された記憶媒体３０２をセットした構成であるが、本実施形態においてはＰＣ５に他の記憶装置４０１，４０２が外部接続されている。本実施形態においては、記憶装置４０１が原記憶媒体を構成し、記憶装置４０２が解析用記憶媒体となる。

【0167】

本実施形態においては、デジタル証拠作成装置１を接続されたＰＣ５は、いわゆるデュプリケータと同様の機能を実現するものであり、デジタル証拠作成装置１からブートされてＰＣ５上で実行される第１ＯＳプログラム１２は、記憶装置４０１，４０２を論理ディスクとしてマウントせず、物理ディスクとしてアクセスする。これにより、原記憶媒体としての記憶装置４０１の法的証拠能力を低下させることなく、記憶装置４０１内のデータを複製等した解析用記憶媒体としての記憶装置４０２を作成することができる。

【0168】

（５）その他変形例：
デジタル証拠作成装置１は、ディスクの保全、パーティションの保全、ファイル・フォルダの保全、等の保全機能で作成したイメージデータや書庫ファイル等の保全データを、証拠性を担保しつつ他の記憶媒体に複製する機能を有していてもよい。この複製機能は、例えば、デジタル証拠作成装置１に添付して頒布されるＣＤ−ＲＯＭ等に記憶された保全データ複製プログラムを情報処理装置にインストールして実行することにより実現することができる。

【0169】

この複製機能は、保全データと一緒に保存されているハッシュ値と、保全データから新たに生成するハッシュ値とを比較し、ハッシュ値が一致する場合には保全データと当該ハッシュ値とを他の記憶媒体に複製する。このように、保全データの複製に先立ってハッシュ値の比較を行うことにより、保全データを解析用パソコンに複製したり、別の記憶媒体に複製したりする際に、証拠の正当性を担保された複製を作成することができる。

【0170】

また、デジタル証拠作成装置１に添付して頒布されるＣＤ−ＲＯＭ等に、デジタル証拠作成装置１を工場出荷時の状態に回帰させるワイプ機能を実現する初期化プログラムを記憶しておく。この初期化プログラムを情報処理装置上で実行することにより、デジタル証拠作成装置１の記憶媒体の全セクタにヌル文字を書き込む等の初期化が行われる。逆に言えば、添付のＣＤ−ＲＯＭに記憶された初期化プログラム以外では、工場出荷時の状態に回帰させることができない構成とする。これにより、デジタル証拠作成装置１に記憶された保全データが誤って消去されることを防止できる。

【0171】

なお、本発明は上述した実施形態に限られず、上述した実施形態の中で開示した各構成を相互に置換したり組み合わせを変更したりした構成、公知技術並びに上述した実施形態の中で開示した各構成を相互に置換したり組み合わせを変更したりした構成、等も含まれる。また、本発明の技術的範囲は上述した実施形態に限定されず、特許請求の範囲に記載された事項とその均等物まで及ぶものである。

【符号の説明】

【0172】

１…デジタル証拠作成装置、１１…記憶媒体、１２…第１ＯＳプログラム、１３…デジタル証拠作成プログラム、１４…コントローラーチップ、５…ＰＣ、５０…記憶媒体、５１…制御部、５２…ディスプレイコントローラ、５３…ネットワークコントローラ、５４…光学ドライブ、５５…ＵＳＢコントローラー、５６…ディスプレイ、５７…第２ＯＳプログラム、２００…デジタル証拠作成システム、３００…デジタル証拠作成システム、３０１…記憶媒体読取装置、３０２…記憶媒体、４００…デジタル証拠作成システム、４０１…記憶装置、４０２…記憶装置、Ｆ１…第１処理部、Ｆ２…第２処理部、Ｆ３…第３処理部、Ｆ４…第４処理部、Ｆ５…第５処理部、Ｆ６…第６処理部、Ｌ１…エビデンスログ、Ｌ２…オペレーションログ、Ｒｄｒｖ…ドライバ記憶領域、Ｒｌｏｇ…デジタル証拠記憶領域

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】

【図26】

【図27】

【図28】

【図29】

【図30】

【図31】

【図32】

【図33】

【図34】

【図35】

【図36】

【図37】

【図38】

【図39】

【図40】