(57)【特許請求の範囲】
【請求項１】
運用管理端末装置と検証管理端末装置を用いるデータベースシステムの保守方法であって、
（１）運用管理端末装置が、稼働中のデータベースシステムをスキャンしてすべてのレコードを得る稼働データベーススキャン工程、
（２）運用管理端末装置が、データベースのすべてのレコードについて、各レコードにシーケンス番号情報を追加するシーケンス番号追加工程、
（３）運用管理端末装置において、シーケンス番号情報を有するレコードの各レコードの隠蔽すべき項目を暗号化した保管用データセットを作成して、保管用データ記録部に保存する保管登録工程、
（４）運用管理端末装置が、シーケンス番号情報を有するレコードの各レコードの隠蔽すべき項目を隠蔽した検証用データセットを作成して、これを検証管理端末装置に出力する検証用データ出力工程、
（５）検証管理端末装置が、運用管理端末装置の出力した検証用データセットを受け付けて、入力履歴データ記録部に保存する入力履歴受付保存工程、
（６）検証管理端末装置が、受け付けた検証用データセットを検証用データベースシステムにインポートするインポート工程、
（７）検証用データベースシステムにおいて、障害原因となったレコードを特定し修正する修正工程、
（８）検証管理端末装置において、修正したレコードを集め、検証用データセットに付されたシーケンス番号情報と同じシーケンス番号情報を付した修正用データセットを作成する修正用データセット作成工程、
（９）検証管理端末装置が、修正用データセットを出力する修正用データセット出力工程、
（１０）運用管理端末装置が、検証管理端末装置の出力した修正用データセットを受け入れる修正用データセット受入工程、
（１１）運用管理端末装置が、修正用データセットのシーケンス番号情報と同一のシーケンス番号情報を付した保管用データセットを保管用データ記録部から取出し，復号する工程．
（１２）運用管理端末装置が、前記復号化した保管用データセットの項目を用いて修正用データセットの隠蔽された項目を復元させた修正用データセットを作成する隠蔽項目復元工程．
（１３）運用管理端末装置が、前記復号した保管用データセットとこれに対応する稼働中のデータベースシステムのレコードを照合するレコード照合工程．
（１４）運用管理端末装置が，レコード照合工程の結果から，稼働中のデータベースシステムのレコードに変更が無い場合には、隠蔽された項目を復元させた修正用データセットを用いて更新し，修正情報を修正履歴ＤＢに保存するＤＢ更新工程．
（１５）運用管理端末装置が、レコード照合工程の結果から，稼働中のデータベースシステムのレコードに変更がある場合には，更新ルールを参照して、変更内容に応じて該当する更新ルールを抽出するルール抽出工程．
（１６）ルール抽出工程が抽出した更新ルールに従って、隠蔽された項目を復元させた修正用データセットを用いて、稼働中のデータベースシステムの変更されたレコードを更新し，修正情報を修正履歴ＤＢに保存する変更ＤＢ更新工程．
を含んだ工程でなされることを特徴とするデータベース保守方法。
【請求項２】
稼働中のデータベースシステムから検証側の検証用データベースシステムで用いる検証用データセットを準備するとともに、検証用データベースシステムで修正されたレコードを稼働中のデータベースシステムに反映させる運用管理端末装置と、検証用データセットを受け入れ、これを検証用データベースシステムに入力するとともに、検証用データベースシステムで修正されたレコードを運用管理端末装置へ渡す修正用データセットとして出力する検証管理端末装置と、から構成されるデータベース保守システムであって、
前記運用管理端末装置は、
修正用データセットを用いて稼働中のデータベースシステムのレコードを更新するときの更新処理方法を記述する更新ルールを記録するルール記録部と、
保管用データセットを記録する保管用データ記録部
暗号鍵情報を記録する暗号鍵データ記録部と、
ユーザ識別情報を含むユーザ管理情報を記録するユーザ管理情報記録部と、
から構成される記録部と、
稼働中のデータベースシステムをスキャンして、すべてのレコードとレコード定義データを取得するＤＢスキャン手段と、
ＤＢスキャン手段が取得したレコードにシーケンス番号情報を付加するシーケンス番号付加手段と、
ＤＢスキャン手段が取得したレコード定義データを参照して、レコードの隠蔽すべき項目を抽出して、隠蔽項目に設定する隠蔽項目設定手段と、
暗号鍵データ記録部が記録する暗号鍵情報を用いて、シーケンス番号情報が付加されたレコードの各レコードの隠蔽すべき項目を暗号化する、あるいは、暗号鍵データ記録部が記録する暗号鍵情報を用いて、保管用データセットの暗号化された項目を復号する暗号復号手段と、
暗号復号手段によって隠蔽すべき項目が暗号化されたレコードを用いて保管用データセットを作成する保管用データ作成手段と、
保管用データ記録部に保管用データセットを登録する保管登録手段と、
隠蔽項目設定手段が設定した各隠蔽すべき項目を、任意の文字列に置き換えて隠蔽した検証用データセットを作成する項目隠蔽手段と、
項目隠蔽手段が作成した検証用データセットを出力する検証用データ出力手段と、
検証管理端末装置が出力した修正用データセットを取得する修正レコード入力手段と、
修正用データセットのシーケンス番号情報と同一のシーケンス番号情報を付した保管用データセットを保管用データ記録部から取り出す保管用データ取出手段と、
暗号復号手段が復号した項目を用いて、修正用データセットの隠蔽された項目を復元して個人情報を復元させた修正用データセットを作成する個人情報復元手段と、
保管用データ取出手段の取り出した保管用データセットの暗号化された項目を、暗号復号手段が復号した項目に置き換えて、この復号した項目に置き換えられた保管用データセットを、これに対応する稼働中のデータベースシステムが有するレコードと照合して、稼働中のデータベースシステムのレコードに変更があるか否か判定するレコード照合手段と、
レコード照合手段の照合の結果、稼働中のデータベースシステムのレコードに変更がある場合には、更新ルールを参照して、変更内容に応じて該当する更新ルールを抽出するルール抽出手段と、
ルール抽出手段が抽出した更新ルールに従って、修正用データセットと変更があるレコードとを表示するレコード表示手段と、
ルール抽出手段が抽出した更新ルールに従って、個人情報を復元させた修正用データセットまたは、個人情報を復元させた修正用データセットの特定の項目のデータを用いて、稼働中のデータベースシステムを更新する変更ＤＢ更新手段と、
レコード照合手段の照合の結果、稼働中のデータベースシステムのレコードに変更が無い場合には、個人情報を復元させた修正用データセットを用いて更新し、あるいは、ルール抽出手段が抽出した更新ルールが更新するルールである場合には、更新ルールに従って更新する運用ＤＢ更新手段と、
を備える端末装置であって、
前記検証管理端末装置は、
検証用データセットを記録する入力履歴データ記録部から構成される記録部と、
運用管理端末装置の出力した検証用データセットを取得する検証用データ入力手段と、
検証用データ入力手段が受け付けた検証用データセットを入力履歴データ記録部に保存する入力履歴保存手段と、
検証用データセットを検証用データベースシステムに登録する検証用データ登録手段と、
検証用データベースシステムをスキャンして、すべてのレコードを得る検証用ＤＢスキャン手段と、
得たレコードのシーケンス番号情報と入力履歴データ記録部に保存された同一のシーケンス番号情報の検証用データセットと突き合わせて、一致しない項目を有するレコードを集め、検証用データセットに付されたシーケンス番号情報と同じシーケンス番号情報を付した修正用データセットを作成する修正用データ作成手段と、
修正用データセットを出力する修正用データ出力手段と、
を備える端末装置である
ことを特徴とするデータベース保守システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、稼動中のデータベースシステムを停止させることなく、データベースの保守を行う方法およびシステムに関するものである。
本発明は特に、個人情報を含んだデータベースシステムの保守において有用である。
【背景技術】
【０００２】
現代の企業活動においては、個人情報保護法が施行されて、企業が管理している個人情報が不正に、あるいは不注意に、外部に流出しないように個人情報漏洩防止管理することが益々重要となっている。
個人情報漏洩防止管理では、組織が個人情報を確実にセキュリティ管理することを保障するために、定められた基準や手続きに基づいて、個人情報が扱われるように管理・監視される。
この個人情報保護法とは、個人情報の保護に関する法律の略称で、取得に際しての利用目的の通知や、第三者への提供の制限や、本人からの開示請求訂正請求利用停止請求への義務などが定められている。
個人情報とは、生存する個人を識別・特定できる氏名、生年月日、学籍番号などの情報である。
【０００３】
個人情報をセキュリティ管理するために、たとえば、特許文献１では、個人情報を含む電文を送信するときに、文字を１対１に置き換える換字表を用いて、個人情報の文字列を１対１に換字して、個人情報をマスキングしてする送信することで、伝送中のメッセージ内容の漏洩リスクを低減する技術が開示されている。
あるいは、特許文献２では、本番システムを用いた開発保守において、開発保守者には、不可逆にマスク化された個人情報を提示して、漏洩を防止する技術が開示されている。
あるいは、特許文献３では、個人情報を扱うデータベースにおいて、プロキシーサーバ装置３が受信した個人情報を暗号化してデータベースに登録し、また、データベースの暗号化された個人情報をプロキシーサーバ装置３が復号して送信することで、データベースの個人情報を秘匿して管理する技術が開示されている。
【特許文献１】特開２００７−１０２５４０号公報（段落０００９、図２）
【特許文献２】特願２００６−２６８３７８号公報（段落００３０、図２）
【特許文献３】特願２００５−３０９８４６号公報（段落００３４−段落００３６、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１の技術では、換字表を用いるために、変換前と変換後の文字が１対１に対応しおり、データベースのような大量のデータを扱う場合には、変換規則が容易に類推できてしまうという弱点がある。
また、特許文献２の技術は、稼働中のデータベースシステムで使用される発明なので、たとえば、データベースの不具合を検証して不具合の対策をとるときに、本番処理に悪影響を与えるという不都合がある。
また、特許文献３の技術では、たとえば、データベースの不具合を検証したりや不具合の対策をとるときに、データベースの処理結果がプロキシーサーバ装置３を経由して取り寄せられるので、個人情報が復号されてしまい、個人情報を秘匿できないという欠点もある。
【０００５】
本発明は以上のような点を解決するためになされたものであって、本発明の課題は、個人情報を含んだデータベースシステムにおいて、個人情報を用いずに稼働中のデータベースの検証を行って保守する方法およびシステムを提供することである。
【課題を解決するための手段】
【０００６】
本発明は、以下の各態様に記載の手段により、前記課題を解決する。
すなわち、本願発明の第１の発明は、
運用管理端末装置と検証管理端末装置を用いるデータベースシステムの検証保守方法であって、
（１）運用管理端末装置が、稼働中のデータベースシステムをスキャンしてすべてのレコードを得る稼働データベーススキャン工程、
（２）運用管理端末装置が、データベースのすべてのレコードについて、各レコードにシーケンス番号情報を追加するシーケンス番号追加工程、
（３）運用管理端末装置において、シーケンス番号情報を有するレコードの各レコードの隠蔽すべき項目を暗号化した保管用データセットを作成して、保管用データ記録部に保存する保管登録工程、
（４）運用管理端末装置が、シーケンス番号情報を有するレコードの各レコードの隠蔽すべき項目を隠蔽した検証用データセットを作成して、これを検証管理端末装置に出力する検証用データ出力工程、
（５）検証管理端末装置が、運用管理端末装置の出力した検証用データセットを受け付けて、入力履歴データ記録部に保存する入力履歴受付保存工程、
（６）検証管理端末装置が、受け付けた検証用データセットを検証用データベースシステムにインポートするインポート工程、
（７）検証用データベースシステムにおいて、障害原因となったレコードを特定し修正する修正工程、
（８）検証管理端末装置において、修正したレコードを集め、検証用データセットに付されたシーケンス番号情報と同じシーケンス番号情報を付した修正用データセットを作成する修正用データセット作成工程、
（９）検証管理端末装置が、修正用データセットを出力する修正用データセット出力工程、
（１０）運用管理端末装置が、検証管理端末装置の出力した修正用データセットを受け入れる修正用データセット受入工程、
（１１）運用管理端末装置が、修正用データセットのシーケンス番号情報と同一のシーケンス番号情報を付した保管用データセットを保管用データ記録部から取出し，復号する工程．
（１２）運用管理端末装置が、前記復号化した保管用データセットの項目を用いて修正用データセットの隠蔽された項目を復元させた修正用データセットを作成する隠蔽項目復元工程．
（１３）運用管理端末装置が、前記復号した保管用データセットとこれに対応する稼働中のデータベースシステムのレコードを照合するレコード照合工程．
（１４）運用管理端末装置が，レコード照合工程の結果から，稼働中のデータベースシステムのレコードに変更が無い場合には、隠蔽された項目を復元させた修正用データセットを用いて更新し，修正情報を修正履歴ＤＢに保存するＤＢ更新工程．
（１５）運用管理端末装置が、レコード照合工程の結果から，稼働中のデータベースシステムのレコードに変更がある場合には，更新ルールを参照して、変更内容に応じて該当する更新ルールを抽出するルール抽出工程．
（１６）ルール抽出工程が抽出した更新ルールに従って、隠蔽された項目を復元させた修正用データセットを用いて、稼働中のデータベースシステムの変更されたレコードを更新し，修正情報を修正履歴ＤＢに保存する変更ＤＢ更新工程．
を含んだ工程でなされることを特徴とするデータベース保守方法である。
【０００７】
このように、個人情報を、データベースシステムから読み取った場合には、暗号化することで、セキュリティ管理することができる。また、個人情報を無意味な文字列に置き換えて隠蔽することで、個人情報の流出を防止することが可能となる。
【０００８】
本願発明の第２の発明は、
稼働中のデータベースシステムから検証側の検証用データベースシステムで用いる検証用データセットを準備するとともに、検証用データベースシステムで修正されたレコードを稼働中のデータベースシステムに反映させる運用管理端末装置と、検証用データセットを受け入れ、これを検証用データベースシステムに入力するとともに、検証用データベースシステムで修正されたレコードを運用管理端末装置へ渡す修正用データセットとして出力する検証管理端末装置と、から構成されるデータベース保守システムであって、
前記運用管理端末装置は、
修正用データセットを用いて稼働中のデータベースシステムのレコードを更新するときの更新処理方法を記述する更新ルールを記録するルール記録部と、
保管用データセットを記録する保管用データ記録部
暗号鍵情報を記録する暗号鍵データ記録部と、
ユーザ識別情報を含むユーザ管理情報を記録するユーザ管理情報記録部と、
から構成される記録部と、
稼働中のデータベースシステムをスキャンして、すべてのレコードとレコード定義データを取得するＤＢスキャン手段と、
ＤＢスキャン手段が取得したレコードにシーケンス番号情報を付加するシーケンス番号付加手段と、
ＤＢスキャン手段が取得したレコード定義データを参照して、レコードの隠蔽すべき項目を抽出して、隠蔽項目に設定する隠蔽項目設定手段と、
暗号鍵データ記録部が記録する暗号鍵情報を用いて、シーケンス番号情報が付加されたレコードの各レコードの隠蔽すべき項目を暗号化する、あるいは、暗号鍵データ記録部が記録する暗号鍵情報を用いて、保管用データセットの暗号化された項目を復号する暗号復号手段と、
暗号復号手段によって隠蔽すべき項目が暗号化されたレコードを用いて保管用データセットを作成する保管用データ作成手段と、
保管用データ記録部に保管用データセットを登録する保管登録手段と、
隠蔽項目設定手段が設定した各隠蔽すべき項目を、任意の文字列に置き換えて隠蔽した検証用データセットを作成する項目隠蔽手段と、
項目隠蔽手段が作成した検証用データセットを出力する検証用データ出力手段と、
検証管理端末装置が出力した修正用データセットを取得する修正レコード入力手段と、
修正用データセットのシーケンス番号情報と同一のシーケンス番号情報を付した保管用データセットを保管用データ記録部から取り出す保管用データ取出手段と、
暗号復号手段が復号した項目を用いて、修正用データセットの隠蔽された項目を復元して個人情報を復元させた修正用データセットを作成する個人情報復元手段と、
保管用データ取出手段の取り出した保管用データセットの暗号化された項目を、暗号復号手段が復号した項目に置き換えて、この復号した項目に置き換えられた保管用データセットを、これに対応する稼働中のデータベースシステムが有するレコードと照合して、稼働中のデータベースシステムのレコードに変更があるか否か判定するレコード照合手段と、
レコード照合手段の照合の結果、稼働中のデータベースシステムのレコードに変更がある場合には、更新ルールを参照して、変更内容に応じて該当する更新ルールを抽出するルール抽出手段と、
ルール抽出手段が抽出した更新ルールに従って、修正用データセットと変更があるレコードとを表示するレコード表示手段と、
ルール抽出手段が抽出した更新ルールに従って、個人情報を復元させた修正用データセットまたは、個人情報を復元させた修正用データセットの特定の項目のデータを用いて、稼働中のデータベースシステムを更新する変更ＤＢ更新手段と、
レコード照合手段の照合の結果、稼働中のデータベースシステムのレコードに変更が無い場合には、個人情報を復元させた修正用データセットを用いて更新し、あるいは、ルール抽出手段が抽出した更新ルールが更新するルールである場合には、更新ルールに従って更新する運用ＤＢ更新手段と、
を備える端末装置であって、
前記検証管理端末装置は、
検証用データセットを記録する入力履歴データ記録部から構成される記録部と、
運用管理端末装置の出力した検証用データセットを取得する検証用データ入力手段と、
検証用データ入力手段が受け付けた検証用データセットを入力履歴データ記録部に保存する入力履歴保存手段と、
検証用データセットを検証用データベースシステムに登録する検証用データ登録手段と、
検証用データベースシステムをスキャンして、すべてのレコードを得る検証用ＤＢスキャン手段と、
得たレコードのシーケンス番号情報と入力履歴データ記録部に保存された同一のシーケンス番号情報の検証用データセットと突き合わせて、一致しない項目を有するレコードを集め、検証用データセットに付されたシーケンス番号情報と同じシーケンス番号情報を付した修正用データセットを作成する修正用データ作成手段と、
修正用データセットを出力する修正用データ出力手段と、
を備える端末装置である
ことを特徴とするデータベース保守システム
である。
【発明の効果】
【０００９】
本願発明によれば、個人情報を扱うデータベースシステムにおいて、
（１）稼働中のデータベースシステムとは異なる検証用のデータベースシステムを用いて、データベースシステムの検証を行うことが可能である。
（２）隠蔽した個人情報を復元することが不可能なデータを用いて、データベースシステムの検証を行うことが可能である。
（３）検証結果を、稼動させた状態のデータベースシステムに反映させることが可能である。
【発明を実施するための最良の形態】
【００１０】
以下、図面等を参照しながら、本発明の実施の形態について、更に詳しく説明する。
【００１１】
図１は、本発明によるデータベース保守方法により保守管理する対象である稼動中のデータベースシステム３００と検証用データベース５００を示した図である。
データベース保守システム１は、インターネット９００上で稼働中のデータベースシステム３００と運用管理端末装置１００とがネットワーク接続されている。
検証用データベースシステム５００には、検証管理端末装置２００がＬＡＮ７００で接続されているものとする。
【００１２】
運用管理端末装置１００と検証管理端末装置２００は、パーソナルコンピュータに後述する専用プログラムを搭載したものである。
【００１３】
稼働中のデータベースシステム３００と、検証用データベースシステム５００とは、サーバコンピュータに既存のデータベース管理システム（ＤＢＭＳ）を搭載したものである。
【００１４】
図２は、データベース保守方法の大まかな流れを説明する図である。
データベースの保守管理者（以下、個人情報を扱う権限を持つ端末オペレータ）は、稼働中のデータベースシステム３００をスキャンして、すべての検証すべきレコードを取得して、各レコードの個人情報は、暗号化して、保管用ＤＢに保存する（図２（１））。
このとき、個人情報を扱う権限を持つ端末オペレータは、各レコードの個人情報の項目を遮蔽した検証用データセットを作成して、記憶媒体８００（たとえば、ＤＶＤ）に記録する（同（２））。
【００１５】
個人情報を扱えない端末オペレータは、ＤＶＤに記録された検証用データセットを検証用データベースシステム５００に登録する（同（３））。
【００１６】
個人情報を扱えない端末オペレータは、検証用データベースシステム５００で検証用データを検証して、障害原因となったレコードを特定し修正する（同（４））。
【００１７】
個人情報を扱えない端末オペレータは、検証用データベースシステム５００から、検証作業で修正したレコードを抽出して、修正用データセットを作成する（同（５））。
【００１８】
個人情報を扱う権限を持つ端末オペレータは、保管用ＤＢに保存された暗号化された個人情報を復号して、ＤＶＤに記録された修正用データセットの遮蔽された個人情報を復元する（同（６））。
個人情報を扱う権限を持つ端末オペレータは、個人情報を復元した修正用データセットを用いて稼働中のデータベースシステム３００のレコードを更新する。このとき、更新されるレコードが検証作業中に変更されていれば、更新ルールに従った更新処理を行う（同（７））。
【００１９】
図３と図４は、稼働中のデータベースシステム３００のデータベースを説明する図である。
【００２０】
図３は、稼働中のデータベースシステム３００のデータベースの例である。
データベースは、テーブルで構成されている。テーブルは、レコード定義データとレコードを有している。テーブルの例としては、会員ＴＢＬ３１０と、受注ＴＢＬ３２０と、商品ＴＢＬ３３０とが示されている。
【００２１】
図４は、レコード定義データを説明する図である。レコード定義データとは、テーブルが有するレコードの項目を定義するデータである。図４には、図３のデータベースを構成するテーブルのレコード定義データが例示されている。
【００２２】
図４の（ａ）は、会員ＴＢＬ３１０のレコード定義データ３１１の定義項目を説明する図である。レコード定義データ３１１の定義項目は、会員ＩＤ３１１ａと、氏名３１１ｂと、住所３１１ｃと、総ポイント３１１ｄとから構成されている。
各定義項目では、文字種（たとえば、「半角英数字のみ」、「半角数字のみ」、「ひらがなのみ」、「全角漢字のみ」など）や文字数や数値範囲などが定義される。
ここで、定義項目「氏名」３１１ｂと、定義項目「住所」３１１ｃは、個人情報で、それぞれの文字種は、「全角漢字のみ」ある。
【００２３】
図４の（ｂ）は、受注ＴＢＬ３２０のレコード定義データ３２１の定義項目を説明する図である。
レコード定義データ３２１の定義項目は、受注Ｎｏ３２１ａと、ポイント３２１ｂと、会員ＩＤ３２１ｃと、商品ＩＤ３２１ｄとから構成されている。
ここで、レコード定義データ３２１が定義する項目には、個人情報は含まれていない。
【００２４】
図４の（ｃ）は、商品ＴＢＬ３３０のレコード定義データ３３１の定義項目を説明する図である。レコード定義データ３３１の定義項目は、商品ＩＤ３３１ａと、商品名３３１ｂと、単価３３１ｃとから構成されている。
ここで、レコード定義データ３２１が定義する項目には、個人情報は含まれていない。
【００２５】
図３には、テーブルのレコードが例示されている。たとえば、会員ＴＢＬのレコード３１２の例として、会員ＩＤ３１１ａ＝「A001」と氏名３１１ｂ＝「山田太郎」と住所３１１ｃ＝「東京」と総ポイント３１１ｄ＝「100」であるレコードが示されている。
この例の意味することは、会員ＩＤが「A001」の会員氏名は、「山田太郎」で、住所が「東京」で、総ポイントが「100」であるということである。ここで、会員氏名「山田太郎」と、住所「東京」は、個人情報である。
【００２６】
同様に、会員ＴＢＬのレコード３１３として、会員ＩＤ３１１ａ＝「A002」と氏名３１１ｂ＝「佐藤次郎」と住所３１１ｃ＝「千葉」と総ポイント３１１ｄ＝「10」が例示されている。
この例の意味することは、会員ＩＤが「A0021」の会員氏名は、「佐藤次郎」で、住所が「千葉」で、総ポイントが「10」であるということである。ここで、会員氏名「佐藤次郎」と、住所「千葉」は、個人情報である。
【００２７】
また、受注ＴＢＬ３２０のレコード３２１の例として、受注Ｎｏ３２１ａ＝「101」と、ポイント３２１ｂ＝「10」と会員ＩＤ３２１ｃ＝「A002」と商品ＩＤ３２１ｄ＝「Z01」であるレコードが示されている。
この例の意味することは、受注Ｎｏが「101」は、会員ＩＤが「A002」の会員から商品ＩＤが「Z01」の商品を受注して、この会員の総ポイントに加算するポイントは「10」であるということである。
【００２８】
また、商品ＴＢＬ３３０のレコード３３１の例として、商品ＩＤ３３１ａ＝「Z01」と、商品名３３１ｂ＝「紳士スーツ」と、単価３３１ｃ＝「120,000」であるレコードが示されている。
この例の意味することは、商品ＩＤが「Z01」の商品は、商品名が「紳士スーツ」で、単価が「120,000」であるということである。
【００２９】
図５を用いて、図２のデータベース保守方法の大まかな流れを、具体的に説明する。
【００３０】
図５は、データベース保守の運用フローである。
【００３１】
《（１−１）検証すべきレコードの取得》
個人情報を扱う権限を持つ端末オペレータが、運用管理端末装置１００のユーザ認証を受けて、運用管理端末装置１００にデータベースのスキャンを指示すると、運用管理端末装置１００は、稼働中のデータベースシステム３００をスキャンして、すべての検証すべきレコードを取得する（図５（１−１））
【００３２】
《（１−２）シーケンス番号の付加》
運用管理端末装置１００は、取得したレコードにシーケンス番号を付加する（同（１−２））。
ここで、図６を用いてシーケンス番号を付加したレコードについて、説明する。
【００３３】
図６は、シーケンス番号を付加したレコードの形式と例を説明する図である。
【００３４】
図６の（ａ）は、シーケンス番号を付加したレコード１９０ｄの形式を説明する図である。
シーケンス番号を付加したレコード１９０ｄは、シーケンス番号１９１ｎと、テーブル名称情報１９１ｂと、テーブルのレコード１９１ｒとから構成される。
シーケンス番号１９１ｎは、データベース全体でユニークなシーケンス番号である。
テーブル名称情報１９１ｂは、レコードが記録されたテーブルの名称である。
テーブルのレコード１９１ｒは、テーブルに記録されたレコードのデータである。
なお、稼働中のデータベースシステム３００から取得したレコードに、データベース全体でユニークなシーケンス番号を付加するのは、後述する保管用データセットと修正用データセットをレコード単位で対応付ける情報を、データベースのアプリケーションロジックとはまったく無関係なものとして加えておきたいからである。
【００３５】
図６の（ｂ）は、シーケンス番号を付加したレコードのセット１９０の例である。
図６の（ｂ）には、図３の稼働中のデータベースシステム３００から取得したレコードにシーケンス番号を付加したレコードのセット１９０が例示されている。
【００３６】
たとえば、シーケンス番号を付加したレコードのセットに含まれるレコード１９０ｄの例として、シーケンス番号１９１ｎ＝「＃1」と、テーブル名称情報１９１ｂ＝「会員TBL」と、テーブルのレコード１９１ｒ＝「A001、山田太郎、東京、100」が示されている。
この例の意味することは、シーケンス番号が「＃1」を付加したレコードは、テーブル名称が「会員TBL」で、レコードの内容が「A001、山田太郎、東京、100」であることを示す。
【００３７】
同様に、シーケンス番号を付加したレコードの集合に含まれるレコード１９０ｄの他の例として、シーケンス番号１９１ｎ＝「＃2」と、テーブル名称情報１９１ｂ＝「会員TBL」と、テーブルのレコード１９１ｒ＝「A002、佐藤次郎、千葉、10」が示されている。
この例の意味することは、シーケンス番号が「＃2」を付加したレコードは、テーブルの名称が「会員TBL」で、レコードの内容が「A002、佐藤次郎、千葉、10」であることを示す。
【００３８】
《（１−３）個人情報の暗号化》
個人情報を扱う権限を持つ端末オペレータが稼働中のデータベースシステム３００のスキーマ（＝レコード定義データ）を参照して、シーケンス番号を付加されたレコードの秘匿すべき項目（たとえば、個人情報の項目）を指定して、運用管理端末装置１００は、シーケンス番号を付加されたレコードの秘匿すべき項目のデータ（たとえば、個人情報）を暗号化した保管用データセットを作成して、ファイルに格納して保管用ＤＢに記録する（図５（１−３））。
ここで、図７を用いて、保管用データセットを説明する。
【００３９】
図７は、保管用データセット１９１の例である。
保管用データセット１９１は、シーケンス番号を付加したレコード１９０に含まれる個人情報を暗号化した保管用データ１９１ｄの集合である。
なお、保管用データセット１９１は、ファイルに格納されて保管用ＤＢに保管される。
図７には、図６の（ｂ）で説明したシーケンス番号を付加したレコード１９０から作成された保管用データセット１９１がファイルに格納された例が示されている。
【００４０】
たとえば、保管用データセットに含まれる保管用データ１９１ｄの例として、格納されたファイルのＩＤ１９１ｉ＝「ID1200301」と、シーケンス番号１９１ｎ＝「＃1」と、テーブル名称情報１９１ｂ＝「会員TBL」と、テーブルのレコード１９１ｒ＝「A001、Gl89ds、Hjkda、100」が示されている。
この例の意味することは、格納されたファイルのＩＤが「ID1200301」で、シーケンス番号１９１ｎが「＃1」で、レコードの個人情報を暗号化した結果は、「A001、Gl89ds、Hjkda、100」であるということである。
ここで、「Gl89ds」は、個人情報の「山田太郎」を暗号化したもので、「Hjkda」は、個人情報の「東京」を暗号化したものである。
【００４１】
同様に、保管用データセット１９１に含まれる保管用データ１９１ｄの他の例として、ファイルＩＤ１９１ｉ＝「ID1200301」と、シーケンス番号１９１ｎ＝「＃2」と、テーブル名称情報１９１ｂ＝「会員TBL」と、テーブルのレコード１９１ｒ＝「A002、kldS;b、po93s、10」が示されている。
この例の意味することは、ファイルＩＤが「ID1200301」で、シーケンス番号１９１ｎが「＃2」で、レコードの個人情報を暗号化した結果は、「A001、kldS;b、po93s、10」であるということである。
ここで、「kldS;b」は、個人情報の「佐藤次郎」を暗号化したもので、「po93s」は、個人情報の「千葉」を暗号化したものである。
【００４２】
次に、図１１を用いて、取得された検証すべきレコードから保管用データセット１９１を作成する手順を説明する。
【００４３】
図１１は、保管用データセット１９１を作成する手順を説明する図である。
運用管理端末装置１００において、ユーザ認証された、個人情報を扱う権限を持つ端末オペレータの指示を受け付けて、稼働中のデータベースシステム３００をスキャンして、レコードとレコード定義データ３１１／３２１／３３１を取得する（図１１（１））
運用管理端末装置１００において、取得したレコードにシーケンス番号を付加する（同（２））
【００４４】
運用管理端末装置１００において、取得したレコード定義データ３１１／３２１／３３１を表示して、会員ＴＢＬ３１０のレコード定義データ３１１に含まれる、氏名３１１ｂと、住所３１１ｃの項目を遮蔽する指示の入力を受け付けて、隠蔽項目として設定する（同（３））
【００４５】
運用管理端末装置１００において、シーケンス番号が付加されたレコードの中から、テーブル名称情報１９１ｂ「会員ＴＢＬ」を抽出して、暗号復号手段１３６が「氏名」と「住所」の項目を暗号化させた保管用データセット１９１を作成する。
する（同（４））
運用管理端末装置１００において、遮蔽項目を暗号化した保管用データセット１９１を、ファイルＩＤ「ID1200301」を有するファイルに格納して保管用ＤＢに保管する（同（５））
【００４６】
《（２）検証用データセットの出力》
運用管理端末装置１００は、保管用データセットの暗号化された個人情報を任意の文字列に置き換えて遮蔽した検証用データセットを作成して、ファイルに格納してＤＶＤ８００に記録する（図５（２））。あるいは、シーケンス番号を付加されたレコードの秘匿すべき項目のデータ（＝個人情報）を任意の文字列に置き換えて遮蔽した検証用データセットを作成してもよい。
ここで、図８を用いて、検証用データセットを説明する。
【００４７】
図８は、検証用データセットの例である。
検証用データセット１９２は、個人情報を隠蔽した検証用データ１９２ｄの集合である。検証用データセット１９２は、ファイルＩＤを有するファイルに格納されている。検証用データセット１９２を格納するファイルのＩＤは、保管用データセット１９１を格納するファイルのＩＤと関連付けられている。
なお、検証用データ１９２ｄと保管用データ１９１ｄは、シーケンス番号により、対応付けられている。
【００４８】
図８には、図７で説明した保管用データセット１９１に対応する検証用データセット１９２が例示されている。
たとえば、保管用データセット１９１に含まれる検証用データ１９２ｄの例として、格納されたファイルのＩＤ１９２ｉ＝「ID1200301」と、シーケンス番号１９２ｎ＝「＃1」と、テーブル名称情報１９１ｂ＝「会員TBL」と、テーブルのレコード１９２ｒ＝「A001、＊＊＊、＊＊、100」が示されている。
この例の意味することは、ファイルＩＤが「ID1200301」で、シーケンス番号１９２ｎが「＃1」で、個人情報を隠蔽した結果は、「A001、＊＊＊、＊＊、100」であるということである。
ここで、置き換えられた任意の文字列「＊＊＊」と「＊＊」は、個人情報の「山田太郎」と「東京」を隠蔽したものである。個人情報は、任意の文字で隠蔽されているので、個人情報を復元することは不可能である。
なお、置き換える任意の文字列の文字種は、隠蔽すべき項目の文字種に対応させる。そこで、たとえば、隠蔽すべき項目の文字種が「全角漢字のみ」であれば、置き換える任意の文字列は任意の「全角漢字」の文字列となる。
なお、隠蔽すべき項目の文字種には、「半角英数字のみ」、「半角数字のみ」、「ひらがなのみ」、「全角漢字のみ」などがある。
【００４９】
次に、図１２を用いて、検証用データセット出力の手順を説明する。
【００５０】
図１２は、検証用データセット作成の手順を説明する図である。
運用管理端末装置１００において、取得したレコード定義データ３１１／３２１／３３１を表示して、会員ＴＢＬ３１０のレコード定義データ３１１に含まれる、氏名３１１ｂと、住所３１１ｃの項目を遮蔽する指示の入力を受け付けて、隠蔽項目として設定する（図１２（１））。
運用管理端末装置１００において、設定された各隠蔽すべき項目を、任意の文字列に置き換えて隠蔽した検証用データセット１９２を作成する（同（２））。
運用管理端末装置１００において、作成した検証用データセット１９２をファイルに格納してＤＶＤ８００に記録する（同（３））。
【００５１】
《（３）検証用データセットの検証データベースシステム登録》
検証管理端末装置２００の個人情報を扱えない端末オペレータは、ユーザ認証を受けて、検証用データセット登録の指示をして、検証管理端末装置２００は、ＤＶＤ８００に記録された検証用データセットを検証データベースシステムに登録する（図５（３））。
【００５２】
《（４）検証データベースシステムのレコード修正》
個人情報を扱えない端末オペレータは、検証用データベースシステム５００で検証した結果を分析して、障害原因となったレコードを特定し、検証用データベースシステム５００のレコードを修正する（図５（４））。
【００５３】
《（５）修正用データセットの出力》
運用管理端末装置２００は、検証用データベースシステム５００をスキャンして、すべてのレコードを取得して、検証用データセットと比較して、内容が相違するレコードをすべて抽出して、修正用データセットを作成してファイルに格納してＤＶＤ８００に記録する（図５（５））。
ここで、図９を用いて、修正用データセット２９１を説明する。
【００５４】
図９は、修正用データセット２９１の例である。
修正用データセット２９１は、検証用データベースシステム５００で検証して修正されたたシーケンス番号付レコードの集合である。
【００５５】
修正用データセット２９１は、ファイルＩＤを有するファイルに格納されている。
修正用データ２９１ｄの形式は、検証用データ１９２ｄの形式と同じである。
すなわち、修正用データ２９１ｄは、格納されたファイルのＩＤ２９１ｉと関連付けられて、シーケンス番号２９１ｎと、テーブル名称情報２９１ｂと、修正レコードデータ２９１ｒとから構成される。
【００５６】
ファイルＩＤ２９１ｉは、対応付けられた検証用データ１９２のファイルＩＤ１９２ｉと同じ値である。
シーケンス番号２９１ｎは、対応付けられた検証用データ１９２ｄのシーケンス番号１９２ｎと同じ値である。
テーブル名称情報２９１ｂは、対応付けられた検証用データ１９２ｄのテーブル名称情報１９２ｂと同じである。
修正レコードデータ１９１ｒは、検証して修正されたレコードである。
修正用データセット２９１のシーケンス番号と検証用データセット１９２のシーケンス番号は、対応付けられている。
同様に、修正用データセット２９１を格納するファイルのＩＤと、検証用データセット１９２を格納するファイルのＩＤ１９１ｉは、対応付けられている。
【００５７】
図９には、図８の検証用データ１９２ｄに対応した修正用データ２９１ｄが例示されている。
たとえば、修正用データ２９１ｄ「ファイルＩＤ２９１ｉ＝「ID1200301」と、シーケンス番号２９１ｎ＝「＃2」と、テーブル名称情報２９１ｂ＝「会員TBL」と、レコードデータ２９１ｒ＝「A777、＊＊＊、＊＊、10」が例示されている。
この例示された修正用データ２９１ｄは、検証用データセット１９２に含まれるファイルＩＤと、シーケンス番号が同一である検証用データ１９２ｄ「格納されたファイルのＩＤ１９２ｉ＝「ID1200301」と対応している。
【００５８】
《（６）個人情報の復元》
運用管理端末装置１００は、保管用ＤＢを参照して、ＤＶＤ８００に記録された修正用データセットに対応する保管用データセットを抽出して、保管用データセットの暗号化された個人情報を復号して、修正用データセットの遮蔽項目に反映させて個人情報を復元する（図５（６））。
【００５９】
次に、図１３を用いて、個人情報復元の手順を説明する。
【００６０】
図１３は、修正用データ２９１ｄの隠蔽された項目を復元する手順を説明する図である。
運用管理端末装置１００において、ユーザ認証された個人情報を扱えない端末オペレータの指示を受け付けて、検証管理端末装置２００が出力した、ファイルに格納された修正用データセット２９１を取得する（図１３（１））。
【００６１】
運用管理端末装置１００において、取得したファイルのファイルＩＤ「ID1200301」をキーにして、保管用ＤＢを検索して、同一のＩＤを有する保管用データセット１９１を取得する（同（２））。
運用管理端末装置１００において、修正用データセット２９１から抽出した一つの修正用データ２９１ｄのシーケンス番号と同一のシーケンス番号を有する保管用データ１９１ｄを保管用データセット１９１から抽出する（同（３））。
【００６２】
運用管理端末装置１００において、抽出した保管用データ１９１ｄの暗号化された項目を復号する（同（４））。
運用管理端末装置１００において、前記抽出した一つの修正用データ２９１の秘匿項目を、前記復号した項目に置き換えて復元して、個人情報を復元させた修正用データ２９２を作成する（同（５））
【００６３】
運用管理端末装置１００において、稼働中のデータベースシステムから、前記作成された個人情報を復元させた修正用データ２９２に対応する修正対象レコードを検索して、この検索した修正対象レコードと前記復号した保管用データセットと照合して、修正対象レコードの内容が変更されていないことを確認する（同（６））
【００６４】
運用管理端末装置１００において、稼働中のデータベースシステムの修正対象レコードを、個人情報を復元させた修正用データ２９２を用いて更新する（同（７））。
【００６５】
《（７）稼働中のデータベースシステムの更新》
稼働中のデータベースシステム３００のレコードが、検証中に変更されていても変更されていなくとも、検証結果を矛盾なく稼働中のデータベースシステム３００に反映するために、運用管理端末装置１００は、更新ルールを用いて、稼働中のデータベースシステム３００の更新をおこなう。この更新ルールには、レコードの変更内容に応じた更新方法が記述されている。
そこで、修正用データに対応するレコード（＝修正用データで更新したいレコード）を稼働中のデータベースシステムの中から抽出する。抽出されたレコードが変更されている場合には、更新ルールを参照して、その変更内容に応じた更新ルールを適用して、更新ルールに記述された更新方法で抽出されたレコードを更新する。また、抽出されたレコードが変更されていない場合には、個人情報を復元した修正用データを用いて更新する（図５（７））。
【００６６】
なお、ここで、図１０を用いて、更新ルール１９３を説明する。
【００６７】
図１０は、更新ルール１９３の例である。更新ルール１９３は、修正用データセットを用いて稼働中のデータベースシステム３００のレコードを更新するときの更新処理方法を記述する。更新ルール１９３のタイプは、「個人情報を復元した修正用データで更新」するタイプと、「計算式にしたがって算出した値を用いて更新」するタイプと、「変更されたレコードと個人情報を復元した修正用データを表示させて、個人情報を扱う権限を持つ端末オペレータが判断し入力した指示を受け付けて、指示に従って更新」するタイプなどである。
【００６８】
なお、更新ルール１９３が適用されるのは、稼働中のデータベースシステム３００のレコードが、検証用データセットを作成するためにデータベースシステム３００をスキャンした時より後に変更されていた場合である。
【００６９】
図１０には、更新ルール１９３が例示されている。更新ルール１９３は、ルール番号とルール文とから構成されている。「個人情報を復元した修正用データで更新」するタイプの更新ルール１９３の例としては、たとえば、ルール番号が「r001」で、とルール文が「変更された項目の属性が価格であれば、更新する。」である更新ルールが示されている。この例の意味することは、稼働中のデータベースシステム３００のレコードの変更された項目の属性が価格であれば、個人情報を復元させた修正用データを用いて稼働中のデータベースシステム３００を更新するということである。
【００７０】
あるいは、「計算式にしたがって算出した値を用いて更新」するタイプの更新ルール１９３の例としては、ルール番号が「r002」で、ルール文が「変更された項目の属性が、個人情報であれば、最終更新日のものに更新する。」である更新ルールが示されている。この例の意味することは、稼働中のデータベースシステム３００のレコードに変更がある場合には，そのレコードの変更された項目の属性が個人情報であれば、そのレコードの変更日と検証日と比較して、最新日付のレコードの状態になるように更新するということである。
【００７１】
あるいは、「計算式にしたがって算出した値を用いて更新」するタイプの更新ルール１９３の例としては、ルール番号が「r003」で、ルール文が「変更された項目の属性が、累積ポイントであれば、検証期間中に変更された差分を算入して算出し直した累積ポイントに更新する。」である更新ルールが示されている。この例の意味することは、稼働中のデータベースシステム３００のレコードの変更された項目の属性が累積ポイントであれば、検証期間中に稼働中のデータベースシステムで変更されたポイントの差分を求めて、これを修正用データセットの累積ポイントに加算して、この加算した累積ポイントを用いて稼働中のデータベースシステムを更新するということである。
【００７２】
あるいは、「変更されたレコードと個人情報を復元した修正用データを表示させて、個人情報を扱う権限を持つ端末オペレータが判断し入力した指示を受け付けて、指示に従って更新」するタイプの更新ルール１９３の例としては、ルール番号が「r101」で、ルール文が「変更された項目の属性が、ＩＤであれば、表示する。」である更新ルールが示されている。
この例の意味することは、稼働中のデータベースシステム３００のレコードの変更された項目の属性がＩＤであれば、個人情報を復元させた修正用データと、変更があるレコードとを一緒に表示して端末オペレータによる入力を促し、端末オペレータによる入力を受け付けるということである。
【００７３】
次に、図１４と図１５を用いて、運用管理端末装置１００と検証管理端末装置２００を説明する。
【００７４】
図１４は、運用管理端末装置１００の詳細な構成図である。
運用管理端末装置１００は、ＣＰＵ１０１と、表示部１０４と、入力部１０３と、ネットワーク通信部１０５と、メモリ１０９と、専用プログラムを備える。
【００７５】
ＣＰＵ１０１は、中央演算処理回路である。表示部１０４は、ＬＣＤ（液晶表示器）やＥＬ（有機エレクトロルミネッセンス）ディスプレーである。入力部１０３は、マウスやキーボードである。ネットワーク通信部１０５は、ＬＡＮ接続回路である。
メモリ１０９は、半導体メモリや磁気メモリである。
【００７６】
メモリ１０９は、ルール記録部１０９ａと、保管用データ記録部１０９ｂと、暗号鍵データ記録部１０９ｃと、ユーザ管理情報記録部１０９ｄと、修正履歴データ記録部１０９ｅから構成される。
【００７７】
ルール記録部１０９ａは、更新ルール１９３を記録する。
更新ルール１９３とは、検証用データベースシステム５００で検証している間に、稼働中のデータベースシステム３００のレコードが変更されていた場合に、レコードを更新するときの更新処理方法を記述する。
更新ルールは、「個人情報を復元した修正用データで更新」するタイプの更新ルールと、「計算式にしたがって算出した値を用いて更新」するタイプの更新ルールと、「変更されたレコードと個人情報を復元した修正用データを表示させて、個人情報を扱う権限を持つ端末オペレータが判断し入力した指示を受け付けて、指示に従って更新」するタイプの更新ルールなどから構成される。
【００７８】
保管用データ記録部１０９ｂは、保管用データセット１９１を記録する。
暗号鍵データ記録部１０９ｃは、暗号鍵情報１９７を記録する。
ユーザ管理情報記録部１０９ｄは、ユーザ識別情報を含むユーザ管理情報１９５を記録する。
修正履歴データ記録部１０９ｅは、作業者識別情報とともに修正用データセット２９１を記録する。
【００７９】
このほかに、ＤＢスキャン手段１１０と、シーケンス番号付加手段１２２と、隠蔽項目設定手段１２３と、暗号復号手段１３６と、保管用データ作成手段１２０と、保管登録手段１４０と、項目隠蔽手段１２６と、検証用データ出力手段１５０と、修正用データ入力手段１６０と、保管用データ取出手段１７０と、個人情報復元手段１７３と、レコード照合手段１７６と、ルール抽出手段１３０と、レコード表示手段１３３と、変更ＤＢ更新手段１８５と、運用ＤＢ更新手段１８０と、ユーザ管理手段１３９と、修正履歴保存手段１３８と、とを備える。これらの各手段は、それぞれの専用プログラムとして実現され、専用プログラムがＣＰＵ１０１に解釈・実行されることによって機能する。
【００８０】
ＤＢスキャン手段１１０は、稼働中のデータベースシステム３００をスキャンして、すべてのレコードとレコード定義データを取得する。
【００８１】
シーケンス番号付加手段１２２は、ＤＢスキャン手段１１０が取得したレコードにシーケンス番号情報を付加する。
【００８２】
隠蔽項目設定手段１２３は、ＤＢスキャン手段１１０が取得したレコード定義データを参照して、レコードの隠蔽項目を抽出して、シーケンス番号付加手段１２２がシーケンス番号情報を付加したレコードの隠蔽項目を設定する。
【００８３】
暗号復号手段１３６は、暗号鍵データ記録部１０９ｃが記録する暗号鍵情報を用いて、隠蔽項目設定手段１２３が設定した各レコードの隠蔽すべき項目を暗号化する、あるいは、暗号鍵データ記録部１０９ｃが記録する暗号鍵情報を用いて、保管用データセット１９１の暗号化された項目を復号する。
【００８４】
保管用データ作成手段１２０は、暗号復号手段１３６によって隠蔽すべき項目が暗号化された各レコードを用いて、保管用データセット１９１を作成する。
保管登録手段１４０は、保管用データ作成手段１２０が作成した保管用データセット１９１をファイルに格納して保管用データ記録部１０９ｂに登録する。
【００８５】
項目隠蔽手段１２６は、隠蔽項目設定手段１２３が設定した各隠蔽すべき項目を、任意の文字列に置き換えて隠蔽した検証用データセット１９２を作成する。
ここで、置き換える任意の文字列の文字種は、隠蔽すべき項目の文字種に対応させる。
隠蔽すべき項目の文字種には、「半角英数字のみ」、「半角数字のみ」、「ひらがなのみ」、「全角漢字のみ」などがある。そこで、たとえば、置き換える任意の文字列の文字種が「全角漢字のみ」であれば、任意の「全角漢字」の文字列に置き換える。
【００８６】
検証用データ出力手段１５０は、項目隠蔽手段１２６が作成した検証用データセット１９２を出力（たとえば、ＤＶＤに記録）する。
修正用データ入力手段１６０は、検証管理端末装置２００が出力した修正用データセット２９１を取得する。
【００８７】
保管用データ取出手段１７０は、修正用データセットが格納されたファイルのファイルＩＤと同一のファイルＩＤのファイルを保管用データ記録部１０９ｂから抽出して、修正用データセットのシーケンス番号情報と同一のシーケンス番号情報を付した保管用データセット１９１を取り出す。
【００８８】
個人情報復元手段１７３は、暗号復号手段１３６が保管用データセット１９１の復号した項目の個人情報を用いて、修正用データセット２９１の隠蔽された項目の個人情報を復元させた修正用データセット２９２を作成する。
【００８９】
レコード照合手段１７６は、保管用データ取出手段１７０の取り出した保管用データセットの暗号化された項目を、暗号復号手段１３６が復号した項目に置き換えて、この復号した項目に置き換えられた保管用データセットを、これに対応する稼働中のデータベースシステム３００が有するレコードと照合して、稼働中のデータベースシステム３００のレコードに変更があるか否かを判定する。
【００９０】
ルール抽出手段１３０は、レコード照合手段１７６の照合の結果、稼働中のデータベースシステム３００のレコードに変更がある場合には、更新ルール１９３を参照して、変更内容に応じて該当する更新ルールを抽出する。
【００９１】
レコード表示手段１３３は、ルール抽出手段１３０が抽出した更新ルールが、「変更されたレコードと個人情報を復元した修正用データを表示させて、個人情報を扱う権限を持つ端末オペレータが判断し入力した指示を受け付けて、指示に従って更新」するタイプの場合には、修正用データセット２９１と変更があるレコードとを表示する。
【００９２】
レコード照合手段１７６の照合の結果、稼働中のデータベースシステム３００のレコードに変更が無い場合には、運用ＤＢ更新手段１８０は、個人情報を復元させた修正用データセット２９２を用いて更新する。
【００９３】
レコード照合手段１７６の照合の結果、稼働中のデータベースシステム３００のレコードに変更がある場合には、変更ＤＢ更新手段１８５は、ルール抽出手段１３０が抽出した更新ルールに従って、個人情報を復元させた修正用データまたは、個人情報を復元させた修正用データの特定の項目のデータまたは、受け付けた入力指示を用いて、稼働中のデータベースシステム３００を更新する。
【００９４】
たとえば、抽出した更新ルールが「個人情報を復元した修正用データで更新」するタイプの場合には、変更ＤＢ更新手段１８５は、更新ルールに従って、個人情報を復元した修正用データを用いて稼働中のデータベースシステム３００を更新する。
【００９５】
あるいは、抽出した更新ルールが「計算式にしたがって算出した値を用いて更新」するタイプの場合には、変更ＤＢ更新手段１８５は、更新ルールに従って、所定の計算式を用いて値を算出して、この算出した値を適用した修正用データを用いて稼働中のデータベースシステム３００を更新する。
【００９６】
あるいは、抽出した更新ルールが「変更されたレコードと個人情報を復元した修正用データセットを表示させて、個人情報を扱う権限を持つ端末オペレータが判断し入力した指示を受け付けて、指示に従って更新」するタイプの場合には、レコード表示手段１３３が、修正用データセット２９１と変更があるレコードとを表示させて、変更ＤＢ更新手段１８５は、修正指示の入力を受け付けて、個人情報を復元させた修正用データまたは、個人情報を復元させた修正用データの特定の項目のデータを用いて、稼働中のデータベースシステム３００を更新する。
【００９７】
ユーザ管理手段１３９は、個人情報を扱う権限を持つ端末オペレータにより入力された作業者ＩＤをユーザ管理情報記録部１０９ｄに記録されたユーザ識別情報と照合して、両者が一致すればユーザ認証する。
修正履歴保存手段１３８は、作業者識別情報とともに修正用データセットを修正履歴データ記録部に保存する。
【００９８】
図１６は、検証用データセット作成のフローチャートである。
（１）ユーザ管理処理：ユーザ管理手段１３９は、個人情報を扱う権限を持つ端末オペレータにより入力された作業者ＩＤをユーザ管理情報記録部１０９ｄに記録されたユーザ識別情報と照合して、両者が一致すればユーザ認証する。（ステップＳ１１０）
（２）ＤＢスキャン処理：ＤＢスキャン手段１１０は、稼働中のデータベースシステム３００をスキャンして、すべてのレコードとレコード定義データを取得する。（ステップＳ１２０）
（３）ＩＤ・シーケンス＃割当処理：シーケンス番号付加手段１２２は、ＤＢスキャン手段１１０が取得したレコードにシーケンス番号情報を付加する。（ステップＳ１３０）
（４）隠蔽項目設定処理：隠蔽項目設定手段１２３は、ＤＢスキャン手段１１０が取得したレコード定義データを参照して、シーケンス番号付加手段１２２によってシーケンス番号情報が付加されたレコードの項目を抽出して、隠蔽項目に設定する。（ステップＳ１４０）
（５）暗号化・復号化処理：暗号復号手段１３６は、暗号鍵データ記録部１０９ｃが記録する暗号鍵情報を用いて、シーケンス番号情報を付加したレコードに対して、隠蔽項目設定手段１２３が設定した各レコードの隠蔽すべき項目を暗号化する。（ステップＳ１５０）
（６）隠蔽項目暗号化処理：保管用データ作成手段１２０は、暗号復号手段１３６によって隠蔽すべき項目が暗号化された、シーケンス番号情報が付加されたレコードを用いて、保管用データセット１９１を作成する。（ステップＳ１６０）
（７）保管処理：保管登録手段１４０は、保管用データセット１９１を保管用データ記録部１０９ｂに登録する。（ステップＳ１７０）
（８）隠蔽処理：項目隠蔽手段１２６は、隠蔽項目設定手段１２３が設定した各隠蔽すべき項目を、任意の文字列に置き換えて隠蔽した検証用データセット１９２を作成する。（ステップＳ１８０）
（９）検証用データ出力処理：検証用データ出力手段１５０は、項目隠蔽手段１２６が作成した検証用データセット１９２を出力する。（ステップＳ１９０）
【００９９】
図１７は、修正用データセットを用いて、稼働中のデータベースシステムを更新する処理のフローチャートである。
（１）ユーザ管理処理：ユーザ管理手段１３９は、個人情報を扱う権限を持つ端末オペレータにより入力された作業者ＩＤをユーザ管理情報記録部１０９ｄに記録されたユーザ識別情報と照合して、両者が一致すればユーザ認証する。（ステップＳ２００）
（２）修正用データセット受入管理処理：修正用データ入力手段１６０は、検証管理端末装置２００が出力した修正用データセット２９１を入力する。（ステップＳ２１０）
（３）暗号化・復号化処理：レコード照合手段１７６は、保管用データ取出手段１７０の取り出した保管用データセットの暗号化された項目を、暗号復号手段１３６が復号した項目に置き換えて、復号した保管用データセットを作成する。（ステップＳ２２０）
（４）更新レコード作成処理：個人情報復元手段１７３は、暗号復号手段１３６が復号した項目を用いて、修正用データセット２９１の隠蔽された項目を復元して個人情報を復元させた修正用データセット２９２を作成する。（ステップＳ２３０）
（５）変更確認処理：レコード照合手段１７６は、復号した保管用データセットを用いて、これに対応する稼働中のデータベースシステム３００が有するレコードと比較して変更があるか否かを照合する。（ステップＳ２４０）
（６）更新処理：
（６−１）レコード照合手段１７６の照合の結果、稼働中のデータベースシステム３００のレコードに変更が無い場合には、運用ＤＢ更新手段１８０は、個人情報を復元させた修正用データセット２９２を用いて稼働中のデータベースシステム３００を更新する。
（６−２）あるいは、レコード照合手段１７６の照合の結果、稼働中のデータベースシステム３００のレコードに変更がある場合には、ルール抽出手段１３０は、更新ルール１９３を参照して、変更内容に応じて該当する更新ルールを抽出する。
（６−２−１）そして、ルール抽出手段１３０が抽出した更新ルールが「個人情報を復元した修正用データで更新」するタイプの場合には、変更ＤＢ更新手段１８５は、更新ルールに従って、個人情報を復元した修正用データを用いて稼働中のデータベースシステム３００を更新する。
（６−２−２）ルール抽出手段１３０が抽出した更新ルールが「計算式にしたがって算出した値を用いて更新」するタイプの場合には、変更ＤＢ更新手段１８５は、更新ルールに従って、所定の計算式を用いて値を算出して、この算出した値を適用した修正用データを用いて稼働中のデータベースシステム３００を更新する。
（６−２−３）ルール抽出手段１３０が抽出した更新ルールが「変更されたレコードと個人情報を復元した修正用データセットを表示させて、個人情報を扱う権限を持つ端末オペレータが判断し入力した指示を受け付けて、指示に従って更新」するタイプの場合には、レコード表示手段１３３は、修正用データセット２９１と変更があるレコードとを表示する。そして、変更ＤＢ更新手段１８５は、修正用データ反映指示の入力を受け付けて，一部の個人情報を復元させた修正用データセットまたは，一部の個人情報を復元させた修正用データセットの特定の項目のデータを用いて、稼働中のデータベースシステム３００を更新する。（ステップＳ２５０）
【０１００】
図１５は、検証管理端末装置２００の詳細な構成図である。
【０１０１】
検証管理端末装置２００は、ＣＰＵ２０１と、ネットワーク通信部２０５と、メモリ２０９と、専用プログラムを備える。
【０１０２】
ＣＰＵ２０１は、中央演算処理回路である。
ネットワーク通信部２０５は、ＬＡＮ接続回路である。
【０１０３】
メモリ２０９は、半導体メモリや磁気メモリである。
メモリ２０９は、入力履歴記録部２０９ｂと、ユーザ管理情報記録部２０９ｄとを含んで構成される。
【０１０４】
入力履歴記録部２０９ｂは、検証用データセット１９２を記録する。
ユーザ管理情報記録部２０９ｄは、ユーザ識別情報を含むユーザ管理情報を記録する。
【０１０５】
このほかに、検証用データ入力手段２１０と、入力履歴保存手段２２０と、検証用データ登録手段２３０と、検証用ＤＢスキャン手段２４０と、修正用データ作成手段２５０と、修正用データ出力手段２６０と、ユーザ管理手段２３９とを備える。これらの各手段は、それぞれの専用プログラムとして実現され、専用プログラムがＣＰＵ２０１に解釈・実行されることによって機能する。
【０１０６】
検証用データ入力手段２１０は、検証管理端末装置２００が、運用管理端末装置１００の出力（たとえば、ＤＶＤに記録）した検証用データセット１９２を取得する。
【０１０７】
入力履歴保存手段２２０は、検証用データ入力手段１１０が受け付けた検証用データセット１９２を入力履歴データ記録部２０９に保存する。
なお、入力履歴保存手段２２０は、検証用データセット１９２を作業者識別情報とともに、入力履歴データ記録部２０９に保存してもよい。
【０１０８】
検証用データ登録手段２３０は、入力履歴データ記録部２０９に保存された検証用データセットを検証用データベースシステム５００に登録する。
【０１０９】
検証用ＤＢスキャン手段２４０は、検証用データベースシステムをスキャンして、すべてのレコードを得る。
修正用データ作成手段２５０は、得たレコードのシーケンス番号情報と入力履歴データ記録部２０９ｃに保存された同一のシーケンス番号情報の検証用データセット１９２と突き合わせて、一致しない項目を有するレコードを集め、検証用データセット１９２に付されたシーケンス番号情報と同じシーケンス番号情報を付した修正用データセット２９１を作成する。
【０１１０】
修正用データ出力手段２６０は、修正用データセット２９１を出力（たとえば、ＤＶＤに記録）する。
【０１１１】
ユーザ管理手段２３９は、個人情報を扱えない端末オペレータにより入力された作業者ＩＤをユーザ管理情報記録部２０９ｄに記録されたユーザ識別情報と照合して、両者が一致すればユーザ認証する。
【０１１２】
図１８は、検証管理処理のフローチャートである。
（１）ユーザ管理処理：ユーザ管理手段２３９は、個人情報を扱えない端末オペレータにより入力された作業者ＩＤをユーザ管理情報記録部２０９ｄに記録されたユーザ識別情報と照合して、両者が一致すればユーザ認証する。（ステップＳ３００）
（２）入力履歴管理処理：検証用データ入力手段２１０は、検証管理端末装置２００が、運用管理端末装置１００の出力した検証用データセット１９２を受け付ける。
入力履歴保存手段２２０は、検証用データ入力手段２１０が受け付けた検証用データセット１９２を入力履歴データ記録部２０９に保存する。（ステップＳ３１０）
（３）検証用データベース登録処理：検証用データ登録手段２３０は、検証用データ入力手段２１０が受け付けた検証用データセットを検証用データベースシステム５００に登録する。（ステップＳ３２０）
（４）ＤＢスキャン処理：検証用ＤＢスキャン手段２４０は、検証用データベースシステムをスキャンして、すべてのレコードを得る。（ステップＳ３３０）
（５）差分データ取得処理：修正用データ作成手段２５０は、得たレコードのシーケンス番号情報と入力履歴データ記録部２０９ｃに保存された同一のシーケンス番号情報の検証用データセット１９２と突き合わせて、一致しない項目を有するレコードを集る。（ステップＳ３４０）
（６）修正用データ作成処理：修正用データ作成手段２５０は、集めたレコードに、検証用データセット１９２に付されたレコード識別情報と同じレコード識別情報を付した修正用データセット２９１を作成する。（ステップＳ３５０）
（７）出力履歴管理処理：修正用データ出力手段２６０は、修正用データセット２９１を運用管理端末装置に出力する。このとき、出力履歴ＤＢに出力履歴を記録してもよい。（ステップＳ３６０）
【図面の簡単な説明】
【０１１３】
【図１】本発明によるデータベース保守方法により保守管理する対象である稼動中のデータベースシステム３００と検証用データベース５００を示した図
【図２】データベース保守方法の大まかな流れを説明する図
【図３】稼働中のデータベースの例
【図４】レコード定義データを説明する図
【図５】データベース保守の運用フロー
【図６】シーケンス番号を付加したレコードの形式と例を説明する図
【図７】保管用データセットの例
【図８】検証用データセットの例
【図９】修正用データセット２９１の形式と例を説明する図
【図１０】更新ルール１９３の例
【図１１】保管用データセット１９１を作成する手順を説明する図
【図１２】検証用データセット作成の手順を説明する図
【図１３】修正用データ２９１の隠蔽された項目を復元する手順を説明する図
【図１４】運用管理端末装置１００の詳細な構成図
【図１５】検証管理端末装置２００の詳細な構成図
【図１６】検証用データセット作成のフローチャート
【図１７】修正用データセットを用いて、稼働中のデータベースシステムを更新する処理のフローチャート
【図１８】検証管理処理のフローチャート
【符号の説明】
【０１１４】
１  データベース保守システム
１００  運用管理端末装置
１０９  メモリ
１０９ａ  ルール記録部
１０９ｂ  保管用データ記録部
１０９ｃ  暗号鍵データ記録部
１０９ｄ  ユーザ管理情報記録部
１０９ｅ  修正履歴データ記録部
１１０  ＤＢスキャン手段
１２０  保管用データ作成手段
１２２  シーケンス番号付加手段
１２３  隠蔽項目設定手段
１２６  項目隠蔽手段
１３０  ルール抽出手段
１３３  レコード表示手段
１３６  暗号復号手段
１３８  修正履歴保存手段
１３９  ユーザ管理手段
１４０  保管登録手段
１５０  検証用データ出力手段
１６０  修正用データ入力手段
１７０  保管用データ取出手段
１７３  個人情報復元手段
１７６  レコード照合手段
１８５  変更ＤＢ更新手段
１８０  運用ＤＢ更新手段
１９９  ユーザ管理手段
１９１  保管用データセット
１９２  検証用データセット
１９３  更新ルール
２００  検証管理端末装置
２０９ｂ  入力履歴記録部
２０９ｄ  ユーザ管理情報記録部
２１０  検証用データ入力手段
２２０  入力履歴保存手段
２３０  検証用データ登録手段
２３９  ユーザ管理手段
２４０  検証用ＤＢスキャン手段
２５０  修正用データ作成手段
２６０  修正用データ出力手段
２９２  修正用データセット
３００  稼働中のデータベースシステム
５００  検証用データベースシステム
【図１】
0005167795.tif 000002
【図２】
0005167795.tif 000003
【図３】
0005167795.tif 000004
【図４】
0005167795.tif 000005
【図５】
0005167795.tif 000006
【図６】
0005167795.tif 000007
【図７】
0005167795.tif 000008
【図８】
0005167795.tif 000009
【図９】
0005167795.tif 000010
【図１０】
0005167795.tif 000011
【図１１】
0005167795.tif 000012
【図１２】
0005167795.tif 000013
【図１３】
0005167795.tif 000014
【図１４】
0005167795.tif 000015
【図１５】
0005167795.tif 000016
【図１６】
0005167795.tif 000017
【図１７】
0005167795.tif 000018
【図１８】
0005167795.tif 000019