特許 7638781 ログ管理システム及びログ管理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-02-21

(45)【発行日】2025-03-04

(54)【発明の名称】ログ管理システム及びログ管理方法

(51)【国際特許分類】

   G06F 21/64 20130101AFI20250225BHJP

   G06F 11/34 20060101ALI20250225BHJP

【ＦＩ】

G06F21/64

G06F11/34 176

【請求項の数】 10

(21)【出願番号】P 2021078277

(22)【出願日】2021-05-06

(65)【公開番号】P2022172495

(43)【公開日】2022-11-17

【審査請求日】2024-01-18

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(73)【特許権者】

【識別番号】317015294

【氏名又は名称】東芝エネルギーシステムズ株式会社

(74)【代理人】

【識別番号】110001380

【氏名又は名称】弁理士法人東京国際特許事務所

(72)【発明者】

【氏名】黒田 英彦

(72)【発明者】

【氏名】富永 真哉

(72)【発明者】

【氏名】森下 由隆

(72)【発明者】

【氏名】尾曲 貴志

【審査官】▲柳▼谷 侑

(56)【参考文献】

【文献】特開２０１３－０４５３１３（ＪＰ，Ａ）

【文献】特開２００７－２７２７７４（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１８／０２５４８８８（ＵＳ，Ａ１）

【文献】特開２０１７－０８５２５０（ＪＰ，Ａ）

【文献】特開２０１０－０３９８７８（ＪＰ，Ａ）

【文献】特開２０１８－０２５９６５（ＪＰ，Ａ）

【文献】中国特許出願公開第１０６６５０４９３（ＣＮ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／１０

Ｇ０６Ｆ ２１／６０ － ２１／８８

Ｇ０６Ｆ １１／３４

(57)【特許請求の範囲】

【請求項1】

ネットワークに接続されログデータを生成及び記憶する設備において、前記ログデータを複数のカテゴリーに分類したログ集合体が形成されており、
前記カテゴリーの優先順位又は選定手続に従い、対応する前記ログ集合体の転送を前記設備に要求する制御手段と、
前記設備から転送された前記ログデータを受信する受信手段と、
受信された前記ログデータから認証符号を演算する演算手段と、
前記認証符号を前記記憶する記憶手段と、
前記ログデータの前記生成時に前記記憶された前記認証符号とその後に前記演算された前記認証符号とを照合する照合手段と、を備える設備ログの管理システムにおいて、
前記ログ集合体について前記認証符号をバイナリ変換して予め設定した順序で連結したのち一方向性関数から認証符号を求める符号結合手段を備える設備ログの管理システム。

【請求項2】

ネットワークに接続されログデータを生成及び記憶する設備において、前記ログデータを複数のカテゴリーに分類したログ集合体が形成されており、
前記カテゴリーの優先順位又は選定手続に従い、対応する前記ログ集合体の転送を前記設備に要求する制御手段と、
前記設備から転送された前記ログデータを受信する受信手段と、
受信された前記ログデータから認証符号を演算する演算手段と、
前記認証符号を前記記憶する記憶手段と、
前記ログデータの前記生成時に前記記憶された前記認証符号とその後に前記演算された前記認証符号とを照合する照合手段と、を備える設備ログの管理システムにおいて、
前記ログ集合体を二つに分割した一方の分割体のみから前記演算した前記認証符号の前記照合を実行し、前記照合の結果が不一致である場合、前記分割体をさらに二つに分割してその一方のみから前記演算した前記認証符号の前記照合を繰り返し実行する検索手段を備える設備ログの管理システム。

【請求項3】

ネットワークに接続されログデータを生成及び記憶する設備において、前記ログデータを複数のカテゴリーに分類したログ集合体が形成されており、
前記カテゴリーの優先順位又は選定手続に従い、対応する前記ログ集合体の転送を前記設備に要求する制御手段と、
前記設備から転送された前記ログデータを受信する受信手段と、
受信された前記ログデータから認証符号を演算する演算手段と、
前記認証符号を前記記憶する記憶手段と、
前記ログデータの前記生成時に前記記憶された前記認証符号とその後に前記演算された前記認証符号とを照合する照合手段と、を備える設備ログの管理システムにおいて、
前記受信した前記ログデータ又は前記演算された前記認証符号のバイナリ変換後の２値の数を検査し、前記ログデータの改竄の有無を確認する前検査手段を備える設備ログの管理システム。

【請求項4】

請求項１から請求項３のいずれか１項に記載の設備ログの管理システムにおいて、
前記カテゴリーはセキュリティ区分で規定され、同一の前記セキュリティ区分に属する前記設備で前記生成及び前記記憶された複数の前記ログデータを前記ログ集合体とする設備ログの管理システム。

【請求項5】

請求項１から請求項４のいずれか１項に記載の設備ログの管理システムにおいて、
前記ネットワークに接続される前記設備から前記受信手段への一方向のみに前記ログデータを転送させる一方向転送手段、を備える設備ログの管理システム。

【請求項6】

請求項１から請求項５のいずれか１項に記載の設備ログの管理システムにおいて、
前記ネットワークに接続される前記設備から転送される前記ログデータの容量を圧縮して前記受信手段へ転送する圧縮手段、を備える設備ログの管理システム。
。

【請求項7】

請求項１から請求項６のいずれか１項に記載の設備ログの管理システムにおいて、
前記受信した前記ログデータに前記設備の固有識別情報を付加したうえで前記認証符号を演算させる付加手段を備える設備ログの管理システム。

【請求項8】

ネットワークに接続されログデータを生成及び記憶する設備において、前記ログデータを複数のカテゴリーに分類したログ集合体が形成されており、
前記カテゴリーの優先順位又は選定手続に従い、対応する前記ログ集合体の転送を前記設備に要求するステップと、
前記設備から転送された前記ログデータを受信するステップと、
受信された前記ログデータから認証符号を演算するステップと、
前記認証符号を前記記憶するステップと、
前記ログデータの前記生成時に前記記憶された前記認証符号とその後に前記演算された前記認証符号とを照合するステップと、を含む設備ログの管理方法において、
前記ログ集合体について前記認証符号をバイナリ変換して予め設定した順序で連結したのち一方向性関数から認証符号を求める設備ログの管理方法。

【請求項9】

ネットワークに接続されログデータを生成及び記憶する設備において、前記ログデータを複数のカテゴリーに分類したログ集合体が形成されており、
前記カテゴリーの優先順位又は選定手続に従い、対応する前記ログ集合体の転送を前記設備に要求するステップと、
前記設備から転送された前記ログデータを受信するステップと、
受信された前記ログデータから認証符号を演算するステップと、
前記認証符号を前記記憶するステップと、
前記ログデータの前記生成時に前記記憶された前記認証符号とその後に前記演算された前記認証符号とを照合するステップと、を含む設備ログの管理方法において、
検索手段により、前記ログ集合体を二つに分割した一方の分割体のみから前記演算した前記認証符号の前記照合を実行し、前記照合の結果が不一致である場合、前記分割体をさらに二つに分割してその一方のみから前記演算した前記認証符号の前記照合を繰り返し実行する設備ログの管理方法。

【請求項10】

ネットワークに接続されログデータを生成及び記憶する設備において、前記ログデータを複数のカテゴリーに分類したログ集合体が形成されており、
前記カテゴリーの優先順位又は選定手続に従い、対応する前記ログ集合体の転送を前記設備に要求するステップと、
前記設備から転送された前記ログデータを受信するステップと、
受信された前記ログデータから認証符号を演算するステップと、
前記認証符号を前記記憶するステップと、
前記ログデータの前記生成時に前記記憶された前記認証符号とその後に前記演算された前記認証符号とを照合するステップと、を含む設備ログの管理方法において、
前検査手段により、前記受信した前記ログデータ又は前記演算された前記認証符号のバイナリ変換後の２値の数を検査し、前記ログデータの改竄の有無を確認するログの管理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態はコンピュータネットワークにおけるログ管理技術に関する。

【背景技術】

【0002】

設備をコンピュータネットワークに接続すると、情報およびデータの共有や伝達が非常に効率的になる。その一方で、情報セキュリティを脅かす事象が起きた場合、原因究明と被害範囲の特定が重要である。さらに被害の拡大防止と迅速な復旧が求められる。そのためには、ネットワークの利用状況を記録したログデータを調査（フォレンジック調査）することが有効である。ただし、調査を実施する前に、ログデータそのものが改竄の被害を受けておらず健全であることを確認する必要がある。

【0003】

ログデータの改竄の有無を検知する従来技術の一例として、生成したログデータの時系列を分割した複数の分割データとそれぞれの分割データから計算したハッシュ値とを記憶する手法がある。そしてセキュリティ事象を検知した後に、分割データのハッシュ値を再計算し、先に計算して記憶されているハッシュ値との照合を行う。そして二つのハッシュ値の照合結果が不一致である場合、該当する分割データに、改竄された不正ログが含まれると判定される。

【先行技術文献】

【特許文献】

【0004】

【文献】特許第５０４５４８９号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

上述の技術では、時々刻々と蓄積されるログデータを一定容量毎に分割した膨大な分割データとそのハッシュ値とが記憶される。記憶されている膨大な量の分割データのハッシュ値を再計算し、先に計算したハッシュ値と照合するには時間がかかる課題があった。このため、セキュリティ事象が発生した場合、健全なログを迅速に調査へ提供することが困難となる。

【0006】

本発明の実施形態はこのような事情を考慮してなされたもので、情報セキュリティ事象が発生した際に、健全なログを迅速に調査へ供給できるログ管理技術を提供することを目的とする。

【課題を解決するための手段】

【0007】

実施形態に係るログ管理システムにおいて、ネットワークに接続されログデータを生成及び記憶する設備において前記ログデータを複数のカテゴリーに分類したログ集合体が形成されており、前記カテゴリーの優先順位又は選定手続に従い対応する前記ログ集合体の転送を前記設備に要求する制御手段と、前記設備から転送された前記ログデータを受信する受信手段と、受信された前記ログデータから認証符号を演算する演算手段と、前記認証符号を前記記憶する記憶手段と、前記ログデータの前記生成時に前記記憶された前記認証符号とその後に前記演算された前記認証符号とを照合する照合手段と、を備え、さらに前記ログ集合体について前記認証符号をバイナリ変換して予め設定した順序で連結したのち一方向性関数から認証符号を求める符号結合手段を備えるか、前記ログ集合体を二つに分割した一方の分割体のみから前記演算した前記認証符号の前記照合を実行し前記照合の結果が不一致である場合前記分割体をさらに二つに分割してその一方のみから前記演算した前記認証符号の前記照合を繰り返し実行する検索手段を備えるか、もしくは前記受信した前記ログデータ又は前記演算された前記認証符号のバイナリ変換後の２値の数を検査し前記ログデータの改竄の有無を確認する前検査手段を備えるか、することを特徴とする。

【発明の効果】

【0008】

本発明の実施形態により、情報セキュリティ事象が発生した際に、ログデータの改竄有無の判定と不正ログの特定とを迅速に行うログ管理技術が提供される。

【図面の簡単な説明】

【0009】

【図1】本発明の第１実施形態に係るログ管理システムのブロック図。

【図2】第１実施形態の変形例を示すログ管理システムのブロック図。

【図3】第２実施形態に係るログ管理システムのブロック図。

【図4】第３実施形態に係るログ管理システムのブロック図。

【発明を実施するための形態】

【0010】

（第１実施形態）
以下、本発明の実施形態を添付図面に基づいて説明する。図１は、本発明の第１実施形態に係るログ管理システム１０Ａ（１０）のブロック図である。図２は第１実施形態の変形例を示すログ管理システム１０Ｂ（１０）のブロック図である。ログ管理システム１０Ａは、ネットワーク２０に接続されログデータ２６を生成及び記憶する設備２５（２５ａ，２５ｂ…）のログデータ２６を管理する。ログ管理システム１０Ａ（１０）は点検保守時などにネットワーク２０へ必要に応じて接続でき、あるいは常時接続していることが可能である。

【0011】

さらにログ管理システム１０Ａは、このカテゴリーの優先順位又は選定手続に従い対応するログ集合体の転送を設備２５（２５ａ，２５ｂ…）に要求する制御手段１１と、この設備２５（２５ａ，２５ｂ…）から転送されたログデータ２６を受信する受信手段１３と、受信されたログデータ２６から認証符号を演算する演算手段１４と、認証符号を記憶する記憶手段１５と、ログデータ２６の生成時に記憶された認証符号とその後に演算された認証符号とを照合する照合手段１７と、を備えている。設備２５（２５ａ，２５ｂ…）はログデータ２６を定周期で転送するか、または制御手段１１の要求で転送する。

【0012】

設備２５（２５ａ，２５ｂ…）は、各種の工場やプラント、生産ライン、社会インフラ設備、公共施設などの各種施設において、ローカルエリアネットワークやイントラネット、コンピュータネットワークに接続される機器や装置、コンピュータなどである。また設備やネットワークへ接続される保守装置などである。ログ管理システム１０Ａは保守装置と直接接続してもよいし、保守装置と兼用でもよい。そして、ログデータ２６とは、この設備２５の起動、停止、運転中の動作、あるいは操作や設定の変更、動作内容、外部との通信などのイベントについての内容や情報を時刻や設備識別情報などと組み合わせて記録される情報である。

【0013】

ログデータ２６は制御手段１１による制御ではなく、該当設備２５から定周期で受信手段１３へ転送するようにすることもできる。制御手段１１で制御する場合、制御手段１１はコンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。制御手段１１はネットワークに接続され、カテゴリーに応じて分類されて優先順位が高いログ集合体のログデータ２６を受信手段１３へ転送するように該当設備２５へ命令を送信する。また制御手段１１は、オペレータの端末操作によるカテゴリーの選定手続に従い、対応するログ集合体の転送命令を設備２５に送信してもよい。

【0014】

制御手段１１は、図１に示す形態をとる以外に、ネットワーク２０内の設備２５（２５ａ，２５ｂ…）のそれぞれに設置してもよいし、また所定台数の設備２５に対して１台設置することもできる。また制御手段１１の機能を有するソフトウエアを設備へインストールすることもできる。さらにログデータ２６は制御手段１１による制御ではなく、該当設備２５から定周期で受信手段１３へ転送することで不要にできる。

【0015】

カテゴリーによる分類としては、セキュリティ区分やゾーン、機能や役割、機種、系統、設置場所、製造メーカや製造年、記憶情報の種類や形式、量などが挙げられる。カテゴリーがセキュリティ区分により規定される場合、設備のセキュリティの重要度別に階級を設定し、例えば、設備２５を１０段階に分類する。そして、同一の階級に属するログデータ２６を一つのログ集合体と想定する。

【0016】

この時、１つのログ集合体を構成するログデータ２６の個数や種類は制限なく、また１つの設備２５に付随して記憶される必要もなくネットワーク２０に接続する設備２５（２５ａ，２５ｂ…）の全体に分散していてもよい。別の例として、セキュリティゾーンの場合、ゾーンのセキュリティの重要度別に階級を設定し、例えば、ゾーンを５段階に分類する。そして、ゾーン毎に設備２５を分類して同一の階級に属するログデータ２６を一つのログ集合体と想定する。この時、同一ゾーンにある設備２５のログデータ２６を収集記憶する記憶装置（図示略）をゾーン内に設置することもできる。記憶装置はＮＡＳ、コンピュータとその記憶デバイスで構成できる。

【0017】

一方向転送手段１２は、ネットワーク２０に接続される設備２５（２５ａ，２５ｂ…）から受信手段１３への一方向のみにログデータ２６を転送させるものである。一方向転送手段１２は、例えば、ＬＥＤやＬＤなどの発光素子を送信装置とし、ＰＤなどの受光素子を受信装置として構成される。一方向転送手段１２は、設備２５から受信手段１３への一方向のみ、優先順位又は選定手続に従ってログデータ２６を転送する。一方向転送手段１２によって受信手段１３からネットワーク２０に向かうログデータ２６や認証符号の流出を完全に防止できる。また図２に示すように、それぞれ独立したネットワーク２０（２０ａ，２０ｂ，２０ｃ）の各々に一方向転送手段１２（１２ａ，１２ｂ，１２）が設置される場合、制御手段１１は、一部のネットワーク２０ｂ，２０ｃに接続されるように構成してもよい。

【0018】

受信手段１３は、コンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。受信手段１３はレジスタやキャッシュメモリ、ＲＡＭなどのメインメモリによって設備２５（２５ａ，２５ｂ…）からログデータ２６を受信し、ログデータ２６の生成タイミングや到着時刻が異なる場合でもログデータ２６を一時的に記憶する。

【0019】

演算手段１４は、演算機能を持ち、コンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。演算手段１４はログデータ２６から認証符号を計算して求め、認証符号を記憶手段１５または照合手段１７へ伝送する。

【0020】

認証符号の計算は、一方向性関数や認証付きブロック暗号のアルゴリズムから計算されるメッセージ認証符号、あるいはデジタル署名の署名が適用できる。具体的には、例えば、一方向性関数にはＭＤ２、ＭＤ４、ＭＤ５、ＳＨＡ－１、ＳＨＡ－２、ＳＨＡ－３、ＲＩＰＥＭＤ－１２８、ＲＩＰＥＭＤ－１６０、認証付きブロック暗号のアルゴリズムにはＣＢＣ－ＭＡＣ、ＣＭＡＣ、ＣＣＭ、ＧＣＭ／ＧＭＡＣ、デジタル署名にはＲＳＡやＤＳＡがそれぞれ適用できる。

【0021】

記憶手段１５は、コンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。記憶装置は磁気ディスクやＳＳＤなどのストレージに加え、ＵＳＢメモリ、メモリカード、ＣＤ、ＤＶＤ、Ｂｌｕｅ―ｒａｙなどの外部記憶装置も適用できる。記憶手段１５は受信手段１３から伝送されるログデータ２６や演算手段１４から伝送される認証符号を記憶する。そして照合手段１７へ、記憶されているログデータ２６や認証符号を伝送する。

【0022】

前検査手段１６は演算機能を持ち、コンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。前検査手段１６は受信手段１３から伝送されるログデータ２６や演算手段１４から伝送される認証符号を受信し、パリティを検査してログデータ２６に改竄の可能性があることを確認する。バイナリ変換後の２値の数についての検査では、ログデータ２６や認証符号のバイナリ値における１の個数または０の個数を計算し、前検査手段１６または記憶手段１５に記憶する。そして、該当ログデータ２６の改竄検知を行う場合には、該当ログデータ２６やその認証符号の１の個数を求め、前検査手段１６または記憶手段１５に記憶される該当ログデータ２６の１の個数と照合する。これにより、１の数の差があることに起因する該当ログデータ２６の改竄を検知できる。なお前検査手段１６は省略可能であり、必要に応じて備えることができる。

【0023】

照合手段１７は演算機能を持ち、コンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。照合手段１７は前検査手段１６から転送される認証符号と記憶手段１５に記憶される認証符号を照合する。照合が一致する場合は認証符号の元になるログデータ２６に改竄がなく、不一致の場合は認証エラーでありログデータ２６に改竄があることになる。

【0024】

（第１実施形態の作用）
セキュリティ事象発生時にはその内容や影響範囲、発生や終息の日時、原因及び対策、侵入ルートや方法などを調査する必要がある。このため設備２５の各種ログデータ２６の調査分析が行われることが一般的であるが、ログデータ２６そのものが改竄された場合には正しく調査を行うことができない。そこで設備２５のログデータ２６に改竄がないことを検証したのち調査へ提供される。

【0025】

ネットワーク２０でつながる設備２５は所定の時間間隔でログデータ２６を受信手段１３へ伝送する。設備２５での制御や計算、記憶などのプロセス処理、設備２５の起動から停止まで、設備２５のログインからログアウトまで、などのイベント単位時でログデータ２６を送信する。

【0026】

さらに所定容量のログデータ２６が生成された場合や、特定のログデータ２６が生成された場合、イベント発生時などに、設備２５からログデータ２６を送信することもできる。さらには制御手段１１による制御ではなく、設備２５からログデータ２６を定周期で受信手段１３へ転送するようにすることもできる。そして設備２５のログデータ２６は一方向転送手段１２を通って受信手段１３へ伝送される。一方向転送手段１２があることで各設備２５からログデータ２６を受信することはできるが、受信手段１３や記憶手段１５に記憶されログデータ２６や認証符号は、設備２５の方向へ流出することはない。

【0027】

設備２５のログデータ２６は演算手段１４で認証符号が演算される。演算では同じセキュリティ階級のログ集合体（以下、Ｕ_rと略記）に属する設備２５_mのログデータ（以下、Ｌ_mと略記）をバイナリ変換し、順序を指定して連結したのちに一方向性関数から認証符号（以下、Ｃ_mと略記）を求める。

【0028】

特に一方向性関数から求められるＣ_mは５１２ｂｉｔ以下の固定データにでき、Ｌ_mと比べて容量を小さくできる。Ｃ_mは設備２５_mに関する設備名称や型式、シリアル番号などの情報と合わせて記憶手段１５に記憶される。また必要に応じ、Ｌ_mも記憶手段１５に記憶される。

【0029】

全階級のＵ_rのＣ_mが演算され、記憶手段１５に記憶される。また必要に応じてＬ_mも記憶手段１５に記憶される。なおＬ_mのデータ数や容量が大きい場合はＬ_mの結合数をｎ個に設定し、ｎ個の認証符号（Ｃ_m ⁿと略記）を求めることでＵ_rの認証符号がｎ個のＣ_m ⁿから構成されるようにすることもできる。ｎは結合後のＬ_mの数や容量から決定することもできる。続いて前検査手段１６においてＬ_mおよびＣ_mまたはＣ_m ⁿをバイナリ変換し、１の個数を求めて記憶手段１５に記憶する。なお前検査手段１６は省略可能であり、必要に応じて備えることができる。

【0030】

制御手段１１はセキュリティ区分の階級から優先順位に応じてＵ_rを指定し、Ｕ_rに属する設備２５から現在記憶するログデータ（以下、Ｌ'_mと略記）を受信手段１３から取得する。なおセキュリティインシデントが設備２５への不正ログインである可能性が高い場合など原因が推定できる場合にはログイン関わる階級のＵ_rの設備２５を優先して取得する。

【0031】

このようにセキュリティ区分やセキュリティインシデントに基づいてログ集合体を形成し、ログ集合体に優先順位を設定することで重要なログデータ２６の改竄有無と不正ログデータの特定を迅速に行うことができる。演算手段１４では受信手段１３のＬ'_mをバイナリ変換し、指定順序で連結して一方向性関数から現在の認証符号（以下、Ｃ'_mと略記）、あるいは現在のｎ個の認証符号（以下、Ｃ'_m ⁿと略記）を求める。一方向性関数の演算は非常に短時間で可能であることが知られている。

【0032】

Ｕ_rのＬ'_mについて改竄の有無を確認する場合、最初に前検査手段１６においてＬ'_mまたはＣ'_mまたはＣ'_m ⁿをバイナリ変換し、１の個数を求める。そして記憶手段１５に記憶されるＬ_mまたはＣ_mまたはＣ_m ⁿの１の個数と照合して異なる場合は改竄があると判定する。そして改竄がある場合にはＬ'_mを分析することで不正ログを特定できる。このようにログデータ２６または認証符号をバイナリ変換し、その１の個数を計数することで簡単に改竄があることを確認できる。なお、１の個数が同じであっても改竄の可能性がある。このため前検査手段１６は省略可能であり、必要に応じて備えることができる。

【0033】

続いて照合手段１７では前検査手段１６から出力されるＣ'_mまたはＣ'_m ⁿと記憶手段１５に記憶されるＣ_mまたはＣ_m ⁿとを照合する。Ｃ'_m＝Ｃ_mの時はＬ'_mに改竄はなく、Ｌ'_mに関するセキュリティインシデントの調査が開始される。Ｃ'_m≠Ｃ_mの時はＬ'_mに改竄があり、Ｌ'_mを分析して不正ログを特定できる。このようにログデータ２６を設備２５のカテゴリーに応じて分類してカテゴリー別のログ集合体とし、優先順位を設定してログ集合体の認証符号を求めて照合することにより、重要なログデータ２６の改竄有無と不正ログデータの特定を迅速に行うことができる。また時間的に最新のＣ'_mまたはＣ'_m ⁿを記憶手段１５に記憶することで現状状態のログデータ２６が健全であることを保持できる。

【0034】

（第１実施形態の効果）
このように第１実施形態では、ログデータ２６を所定のカテゴリーに応じて分類してカテゴリー別のログ集合体とし、優先順位を設定してログ集合体の認証符号を求めることでログデータに改竄がないことを検査できる。これによって調査に必要なログデータを迅速
に提供できる。また記憶手段に時間的に最新の認証符号を保存することで現状状態のログデータが健全であることを保持できる。

【0035】

さらに、セキュリティ区分やセキュリティインシデントに基づいて設備２５のログ集合体を形成し、優先順位を設定してログ集合体の認証符号を求めることで、セキュリティ上重要なログデータ２６に改竄がないことを検査できる。これによって調査に必要なログデータを迅速に提供できる。

【0036】

さらに、各設備２５からログデータ２６を受信できる一方で受信手段１３や記憶手段１５に記憶されログデータ２６や認証符号はネットワーク２０へ流出しないようにできる。これにより、照合元になるログデータ２６や認証符号が健全であることから重要な設備２５のログデータ２６を迅速に調査へ提供できる。

【0037】

さらに、各設備２５からのログデータ２６または認証符号をバイナリ変換し、その１の個数を計数することで改竄があること迅速に確認できる。これによって認証符号の照合前にもログデータ２６の改竄検知ができることから重要な設備２５のログデータ２６を調査へ迅速に提供できる。この前検査手段１６は省略可能であり、必要に応じて備えることができる。

【0038】

（第２実施形態）
次に図３を参照して本発明における第２実施形態について説明する。図３は第２実施形態に係るログ管理システム１０Ｃ（１０）のブロック図である。なお、図３において図１と共通の構成又は機能を有する部分は、同一符号で示し、重複する説明を省略する。

【0039】

第２実施形態のログ管理システム１０Ｃは、受信手段１３と、演算手段１４と、記憶手段１５と、照合手段１７と、に加えさらに、ネットワーク２０に接続される設備２５（２５ａ，２５ｂ…）から転送されるログデータ２６の容量を圧縮して受信手段１３へ転送する圧縮手段１８と、受信したログデータ２６に設備２５（２５ａ，２５ｂ…）の固有識別情報を付加したうえで演算手段１４に認証符号を演算させる付加手段１９と、ログデータ２６とこれに対応する認証符号とを組み合せて記憶手段１５に記憶させる符号結合手段２１と、を備えている。

【0040】

圧縮手段１８は演算機能を持ち、コンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。圧縮手段１８はネットワーク２０に接続されている設備２５（２５ａ，２５ｂ…）それぞれに設置してもよいし、また所定台数の設備２５に対して１台設置することもできる。また圧縮手段１８の機能を有するソフトウエアを設備へインストールすることもできる。圧縮手段１８は設備２５のログデータ２６の容量を可逆的に圧縮して受信手段１３へ伝送する。データ圧縮の方法にはランレングス符号化、ハフマン符号化、Lempel-Ziv圧縮法などが適用できる。

【0041】

付加手段１９は記憶装置を持ち、コンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。記憶装置は磁気ディスクやＳＳＤなどのストレージに加え、ＵＳＢメモリ、メモリカード、ＣＤ、ＤＶＤ、Ｂｌｕｅ－ｒａｙなどの外部記憶装置も適用できる。付加手段１９には設備２５（２５ａ，２５ｂ…）の個体識別情報が記憶され、演算手段１４でログデータ２６から認証符号を演算する時に該当設備２５の個体識別情報を演算に加える。個体識別情報は、設備の型式／型番や仕様、種類、用途、製造業者、製造日、補修履歴、シリアル番号などの設備を識別できるデジタル情報である。

【0042】

符号結合手段２１は演算機能を持ち、コンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。符号結合手段２１は演算手段１４で演算された認証符号を演算し、記憶手段１５または照合手段１７へ伝送する。演算では、任意の数の認証符号をバイナリ変換して連結し、演算手段１４と同様の演算で認証符号を求める。

【0043】

（第２実施形態の作用）
第１実施形態と同様、設備２５のログデータ２６に改竄がないことを検証する場合、調査・検証する設備２５のログデータ２６の数が多い場合がある。このような場合、ネットワーク２０でつながる設備２５からイベント単位でのログデータ２６が圧縮手段１８で圧縮して伝送される。あるいは設備２５からログデータ２６を圧縮手段１８で圧縮して定周期で伝送される。

【0044】

設備２５の圧縮されたログデータ２６はログ管理システム１０Ｃの圧縮手段１８で解凍されたのちに受信手段１３へ伝送される。また圧縮データの伝送に替えて、設備２５でログデータ２６の認証符号を一方向性関数から計算して演算手段１４へ伝送することもできる。ログデータ２６を圧縮してネットワーク２０を伝送することで迅速な伝送が実現できる。

【0045】

設備２５のログデータ２６は演算手段１４で認証符号が演算される。演算では付加手段１９からＵ_rのＬ_mに関する各々の個体情報を取得し、Ｑ個のＬ_mとその個体情報をバイナリ変換したのち連結して一方向性関数からＱ個の認証符号（以下、ＰＣ_mと略記する）を求める。続いて符号結合手段２１において、Ｑ個のＰＣ_mをバイナリ変換して予め設定した順序で連結したのち一方向性関数から認証符号を求めてＵ_rの認証符号（以下、ＴＣ_mと略記する）とする。そしてＴＣ_mが記憶手段１５に記憶される。これによりログ集合体を構成するログデータ２６の数が多い場合でも認証符号の個数を低減できる。

【0046】

優先順位の高いＵ_rに属する設備２５から圧縮手段１８によって圧縮して送信されたＬ'_mは圧縮手段１８で解凍されたのち受信手段１３へ伝送される。そして付加手段１９からＵ_rのＬ'_mに関する各々の個体情報を取得し、Ｑ個のＬ'_mとその個体情報をバイナリ変換したのち連結して一方向性関数から現在のＱ個の認証符号（以下、ＰＣ'_mと略記する）を求める。さらに符号結合手段２１においてＱ個のＰＣ'_mをバイナリ変換して予め設定した順序で連結したのち一方向性関数から認証符号（以下、ＴＣ'_mと略記する）を求める。

【0047】

照合手段１７では符号結合手段２１から出力されるＴＣ'_mと記憶手段１５に記憶されるＴＣ_mとを照合する。ＴＣ'_m＝ＴＣ_mの時はＬ'_mに改竄はなく、Ｌ'_mに関するセキュリティインシデントの調査が開始される。この時、ＴＣ_mおよびＴＣ'_mには設備２５の個体情報が含まれ、これら含めて認証符号が一致することから認証符号に設備２５の個体情報を含めることで重要な設備２５のログデータ２６に間違いことが確認できる。ＴＣ'_m≠ＴＣ_mの時はＬ'_mに改竄があり、Ｕ_ｒを分析して不正ログを特定できる。

【0048】

（第２実施形態の効果）
このように第２実施形態では、各設備２５のログデータ２６を圧縮してネットワーク２０を伝送して受信後に解凍することで、迅速にログデータ２６を伝送させることができる。これによって重要な設備２５のログデータ２６を迅速に調査へ提供できる。

【0049】

さらに、ログデータ２６を分類したログ集合体についてそれぞれ求めた認証符号を結合して認証符号を求め、優先順位を設定して認証符号を照合できる。これにより、ログデータ２６の数が多い場合でも認証符号の数を低減できることから重要な設備２５のログデータ２６を迅速に調査へ提供できる。

【0050】

さらに、設備２５のカテゴリーに応じて分類したカテゴリー別のログ集合体に設備２５の個体情報を加え、優先順位を設定してログ集合体の認証符号を求めることでログデータ２６に改竄がないことを検査できる。これにより、設備２５を正しく認証することができることから重要な設備２５のログデータ２６を迅速に調査へ提供できる。

【0051】

（第３実施形態）
次に図４を参照して本発明における第３実施形態について説明する。図４は第３実施形態に係るログ管理システム１０Ｄ（１０）のブロック図である。なお、図４において図１と共通の構成又は機能を有する部分は、同一符号で示し、重複する説明を省略する。

【0052】

第２実施形態のログ管理システム１０Ｃは、第１実施形態と共通する受信手段１３と、演算手段１４と、記憶手段１５と、照合手段１７と、に加えさらに、ログ集合体を二つに分割した一方の分割体のみから演算した認証符号の照合を実行し、照合の結果が不一致である場合、分割体をさらに二つに分割してその一方のみから演算した認証符号の照合を繰り返し実行する検索手段２７を備えている。

【0053】

検索手段２７は演算機能を持ち、コンピュータや計算機、ＰＣ、ＦＰＧＡやＣＰＵを備えた電子回路や演算装置、コントローラなどで構成され、汎用あるいは専用の装置が適用できる。検索手段２７は二つに分割されたログ集合体の一方のログ集合体のみの認証符号を演算して照合手段１７へ伝送する。この場合、照合が不一致の時にはそのログ集合体をさらに二つに分割し、照合が一致の時は設備からもう一方のログ集合体を取得して二つに分割して照合手段１７へ伝送する。検索手段２７では、このログ集合体の取得、分割、照合の一連の作業を繰り返す。

【0054】

（第３実施形態の作用）
第１実施形態及び第２実施形態と同様、設備２５のログデータ２６に改竄がないことを検証する場合、調査・検証する設備２５のログデータ２６の容量が非常に多い場合がある。

【0055】

ネットワーク２０でつながる設備２５のログデータ２６は受信手段１３へ伝送される。受信手段１３は生成タイミングや送信時間が異なるログデータ２６を待ち、ログデータ２６を受信する。そしてログデータ２６を一つのログ集合体と考えて二分割することを繰り返す。

【0056】

そして、２^ｐ個のＵ_rが策定される。Ｕ_rは一つのＬ_mで構成されるまで分割されてもよいし、複数以上のＬ_mで構成されてもよい。またＵ_rのデータ容量やＬ_mの構成数にはは制約はない。このような構成例して、Ｕ_rをｒ＝１,２,３,・・・・・・ｚで設定し、優先順位を“降べきの順”で規定すると、ログ集合体０：（Ｕ₁～Ｕz）、ログ集合体１：（Ｕ₁～Ｕ_z/2）（Ｕ_z/2+1～Ｕ_z）、ログ集合体２：（Ｕ₁～Ｕ_z/4）（Ｕ_z/4+1～Ｕ_z/2）（Ｕ_z/2+1～Ｕ_3z/4）（Ｕ_3z/4+1～Ｕ_z）・・・という形で“降べきの順”の優先順位でログ集合体を設定できる。そして演算手段１４においてＵ_rに属するＬ_mからＣ_mを求めてｚ個のＵ_zからＣ_mをそれぞれて記憶手段１５へ記憶する。

【0057】

（Ｕ₁～Ｕ_z/2）に属するＬ'_mは受信手段１３へ伝送され、演算手段１４においてＬ_m'からＣ_m'を求める。

【0058】

照合手段１７では演算手段１４から出力されるＣ_m'と記憶手段１５に記憶されるＣ_mとを照合する。Ｃ'_m＝Ｃ_mの時はＬ'_mに改竄はなく、Ｌ'_mに関するセキュリティインシデントの調査が開始される。

【0059】

（Ｕ_z/2+1～Ｕ_z）に属するＬ'_mは受信手段１３へ伝送され、演算手段１４において（Ｕ_z/2+1～Ｕ_3z/4）に属するＬ_m'からＣ_m'を求める。照合手段１７においてＣ'_m≠Ｃ_mの時はＬ'_mに改竄がある。このため受信手段１３に記憶される（Ｕ_z/2+1～Ｕ_3z/8）に属するＬ_m'からＣ_m'を再度求め、照合手段１７で照合する。Ｃ'_m≠Ｃ_mの時はＬ'_mに改竄がある。

【0060】

他方で改竄が一か所である場合には（Ｕ_3z/4～Ｕ_z）には改竄がないことからＬ'_mに関するセキュリティインシデントの調査が開始される。改竄が複数か所である場合は認証符号を求めて照合する。このようなログデータの分割と照合を繰り返して行うことで優先順位の高い設備のログデータの改竄検知と不正ログの特定を優先順位の高い順から迅速に行うことができる。

【0061】

（第３実施形態の効果）
第３実施形態では、ログ集合体を二つに分割して優先順位の高いログ集合体の方を伝送して認証符号を照合し、不一致となるログ集合体をさらに二つに分割して優先順位の高い方のログ集合体の認証符号を照合することを繰り返すことで優先順位が高い方から改竄有無の確認と不正なログデータの特定を行うことができる。これによって優先順位の高い設備のログデータの分割とその認証符号の照合を繰り返して行うことから重要な設備２５のログデータ２６を迅速に調査へ提供できる。

【0062】

以上述べた少なくともひとつの実施形態のログ管理システムによれば、カテゴリー毎に分類した前記ログの時系列から分割したログ集合体を単位に符号を生成することで重要な
ログを迅速に調査へ提供できる。

【0063】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更、組み合わせを行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

【符号の説明】

【0064】

１０（１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ）…ログ管理システム、１１…制御手段、１２…一方向転送手段、１３…受信手段、１４…演算手段、１５…記憶手段、１６…前検査手段、１７…照合手段、１８…圧縮手段、１９…付加手段、２０（２０ａ，２０ｂ，２０ｃ）…ネットワーク、２１…符号結合手段、２５（２５_m）…設備、２６…ログデータ、２７…検索手段。

【図1】

【図2】

【図3】

【図4】