(57)【要約】【課題】サーバなどが蓄積したログに含まれる機密情報を識別すること。【解決手段】  情報処理装置は、ログからメッセージを読み出し、メッセージの類似性に応答してメッセージをクラスタ分けするクラスタ部２１４と、メッセージ間で可変の部分を特定する可変部特定部２１６と、可変の部分の機密属性を、予め設定されたルールを使用して決定を試みる属性決定部２１８と、ルールにより機密属性が決定できない部分がある場合に、メッセージ内での出現位置の対応関係を使用して決定するか、または機密属性が決定された部分と、機密属性が決定できない部分との共起関係を使用して前記機密属性が決定できない部分の機密属性を推定する属性推定部２２０とを含んでいる。【選択図】図２
2013137740.tif 000002
【特許請求の範囲】
【請求項１】
情報処理装置が蓄積したログの機密情報を識別する方法であって、前記方法は、
前記情報処理装置の動作についてのメッセージをログから読み出し、前記メッセージの類似性に関連してメッセージをクラスタ分けするステップと、
前記クラスタに含まれるメッセージのうちメッセージ間で可変の部分を特定するステップと、
前記可変の部分の機密属性を、予め設定されたルールを使用して決定を試みるステップと、
前記ルールにより機密属性が決定できない部分がある場合に、前記機密属性が決定できない部分の機密属性を、前記機密属性が決定された部分から推定して決定するステップと
を含む方法。
【請求項２】
さらに決定された前記機密属性に応答して前記メッセージ内の可変の部分の表示を別表示で置換して、セキュア・ログを生成するステップを含む、請求項１に記載の方法。
【請求項３】
前記機密属性を推定して決定するステップは、前記メッセージ内で前記機密属性が決定できない部分の出現位置と、前記機密属性が決定された部分の出現位置との対応関係を使用して推定するステップを含む、請求項１に記載の方法。
【請求項４】
前記機密属性が決定された部分と、前記機密属性が決定できない部分との共起頻度から前記機密属性が決定できない部分の機密属性を推定するステップを含む、請求項１に記載の方法。
【請求項５】
前記メッセージの類似性を、前記メッセージを構成する文字、キャラクタ、スペースの編集距離を使用して数値化するステップを含む、請求項１に記載の方法。
【請求項６】
前記可変の部分は、前記メッセージを構成する語、ストリング列、または正規表現で与えられる規則にしたがって記述されたコード情報である、請求項１に記載の方法。
【請求項７】
前記ルールは、前記部分のセマンティックスごとに機密にするべき語、ストリング列、または正規表現で与えられる規則にしたがって記述されたコード情報を分類して登録する、請求項１に記載の方法。
【請求項８】
前記メッセージ内で前記機密属性が決定できない部分の出現位置と、前記機密属性が決定された部分の出現位置との対応関係を使用して推定するステップは、
前記クラスタが含む前記メッセージの可変の部分について出現位置と機密属性とを対応付けたテンプレートを照合するステップと、
前記テンプレートの同一の出現位置の部分を前記テンプレートの機密属性として決定するステップを含む、請求項３に記載の方法。
【請求項９】
前記機密属性を推定して決定するステップは、機密にすべき部分と、機密属性が決定できない部分との共起頻度における条件に基づいて、前記機密属性が決定できない部分の機密属性を機密に設定するステップを含む、請求項１に記載の方法。
【請求項１０】
さらに、機密属性が推定かつ決定される前記部分のデータを、前記ルールに追加登録して学習させるステップを含む、請求項１に記載の方法。
【請求項１１】
前記機密属性を推定して決定するステップは、前記テンプレートの前記可変部分に関し同一のクラスタのメッセージのいずれかが少なくとも１つの機密部分を含む場合、前記テンプレートの前記可変部分の機密属性を機密として推定する、請求項１に記載の方法。
【請求項１２】
前記メッセージ内の可変の部分の表示を別表示で置換して、セキュア・ログを生成するステップは、前記可変の部分が有するセマンティックスを保持する別表示を選択して置換するステップを含む、請求項１に記載の方法。
【請求項１３】
前記メッセージ内の元の部分の表示が同一の場合、同一の別表示を選択するステップを含む、請求項１に記載の方法。
【請求項１４】
前記セキュア・ログだけを前記情報処理装置の外部に伝送する出力ステップを含む請求項２に記載の方法。
【請求項１５】
ログの機密情報を識別する情報処理装置であって、前記情報処理装置は、
前記情報処理装置の動作についてのメッセージをログから読み出し、前記メッセージの類似性に関連してメッセージをクラスタ分けするクラスタ部と、
前記クラスタに含まれるメッセージのうちメッセージ間で可変の部分を特定する可変部特定部と、
前記可変の部分の機密属性を、予め設定されたルールを使用して決定を試みる属性決定部と、
前記ルールにより機密属性が決定できない部分がある場合に、前記メッセージ内で前記機密属性が決定できない部分の出現位置と、前記機密属性が決定された部分の出現位置との対応関係を使用して推定するか、または前記機密属性が決定された部分と、前記機密属性が決定できない部分との共起頻度から前記機密属性が決定できない部分の機密属性を推定して決定する属性推定部と、
を含む
情報処理装置。
【請求項１６】
さらに、
前記ログから前記メッセージを読み出し、前記メッセージの類似性の順に前記メッセージをソートするメッセージ解析部と、
決定された前記機密属性に応答して前記メッセージ内の前記可変の部分の表示を別表示で置換して、セキュア・ログを生成する表示置換部と
を含み、
前記メッセージ解析部は、前記メッセージの類似性を、前記メッセージを構成する文字、キャラクタ、スペースの編集距離を使用して数値化する、請求項１５に記載の情報処理装置。
【請求項１７】
前記可変の部分は、前記メッセージを構成する語、ストリング列、または正規表現で与えられる規則にしたがって記述されたコード情報である、請求項１５に記載の情報処理装置。
【請求項１８】
情報処理装置が、請求項１〜請求項１４のいずれか１項に記載の方法を実行するための装置実行可能なプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、機密情報を識別する技術に関し、より詳細には、情報処理装置が蓄積したログに含まれる機密情報を特定する技術に関する。
【背景技術】
【０００２】
近年、各種情報は、インターネット、イントラネット、ＬＡＮなどのネットワークを介して共有され、情報の利用性やアクセス性が高まっている。インターネットなどにおいて情報を管理し、情報の利用者に対して情報を提供するためには、提供するべきコンテンツなどを管理するサーバが利用される。サーバは、ネットワークを介して接続されたクライアント装置からアクセスを受け付け、要求されたコンテンツの提供、利用者登録、個人情報の登録・変更などの処理を行う。
【０００３】
ネットワークに接続されたサーバとしては、とりわけ限定されるものではないが、ＳＭＴＰを使用して電子メールの送受信を可能とするメール・サーバ、ＨＴＴＰプロトコルを使用してウェブ・サービスを行うために、ＣＧＩなどを実装するウェブ・サーバ、ＦＴＰサーバなどの他、各種データを管理し、アクセス要求に応答してデータを提供するデータベース・サーバなどを挙げることができる。これらのサーバは、処理を実行する毎に、アクセスしたユーザの情報、認証結果、処理のために送付されたデータ内容、実行結果などを、蓄積して行く。蓄積される情報は、サーバの種類によって内容は異なるものの、アクセス元のＩＰアドレス、アクセス元のドメイン名、アクセスされた日付と時刻、アクセスされたファイル名、リンク元のページのURL、訪問者のウェブ・ブラウザ名やＯＳ名、処理にかかった時間、受信バイト数、送信バイト数、サービス状態コードなどを含む。以下、サーバなどの情報処理装置の動作により蓄積され、ファイル、データベース、など、動作に関するメッセージを蓄積したファイルを、単にログとして参照する。
【０００４】
サーバが生成するログは、上述したように、利用価値の高い情報を高密度に含んでおり、また、ログ分析を通じて、サーバへの例えば、分散ＤｏＳ攻撃といった悪意ある攻撃の履歴や、不正アクセスの履歴、アクセス内容の統計分析などによる市場分析などに適用することができる。
【０００５】
また、ログは、近年頻発しているサーバへの不正アクセスなどに関し、複数の組織で取得されたログを横断的に分析することで、ネットワーク上の攻撃者の時系列的及びターゲットの推移の情報をより正確に把握するために利用することもできる。しかしながら、ログは上述したようにネットワークの基本情報や個人情報を含むので、ログ分析を外部分析者に依頼する場合や、ログが複数のドメインにまたがっている場合には、信頼性のあるドメインであってもログ開示を行うことによる漏洩リスクが生じる。
【０００６】
図１０には、例示的にＡｐａｃｈｅ２．０を使用して実装したウェブ・サーバの例示的なアクセス・ログ１０００およびＦＴＰサーバのトランザクション・ログ１１００を示す。なお、図１０では、ネットワーク情報やプライベート情報、ポート情報に関し、秘匿する目的でアスタリスク「＊」で置換して示す。図１０に示すようにログには、サーバの固定ＩＰアドレス、使用しているポート番号、ディレクトリ階層構造といったサーバの基幹情報の他、ユーザＩＤといったプライベート情報やパスワードなど機密性の極めて高い情報が含まれている。しかしながら、多種多様な情報が登録される可能性のあるログ中で、どの箇所に機密性が高い情報が含まれているのかについては、ログの内容によって異なるという問題がある。
【０００７】
例えば、図１０に示したログをそのまま外部に出すことは、企業や組織のネットワーク情報やサーバ情報、個人情報などを外部に持ち出すことになるので、それ自体、企業リスクを生じさせる。また、ログが悪意のある攻撃者に洩れた場合、企業が蓄積した高付加価値の情報が破壊されたり、ハッキングにより盗用される虞も生じ、さらに、ＤｏＳ攻撃などのターゲットとされることも考えられる。
【０００８】
このため、サーバを利用する企業や組織にとって、ログをそのまま外部分析に提供することは、有用な情報を得ることができる代償として、機密漏洩、プライバシー情報漏洩、サーバへの不正アクセスによる情報漏洩など、高いリスクを生じさせることになっていた。この様な理由から、サーバへのアクセス履歴を解析し、サーバの機能に反映させる目的であっても、ログの第三者への開示には、秘密保持契約では賄えない高い障壁があり、柔軟なログ解析を行う際の阻害要因となっていた。また、ログ情報から機密性の高い情報を特定できたとしても、機密性の高い情報をアスタリスクなどで一括して置換してしまうと、アクセス者の同一性やアクセスしたデータの同一性などが失われる場合があり、ログの情報を秘匿するには、元のデータの属性や同一性などについては認識できることが好ましい。
【０００９】
これまで、ログの機密度を判断する手法が知られており、例えば特開２００９−１１６６８０号公報（特許文献１）には、コンピュータに入出力データについて機密性の有無などのデータ種類を簡便かつ高精度に検出し、データの適正な管理に寄与する技術を提供することを目的とし、入出力データの読み込み手段、入出力データに含まれる文字列を取得するデータ内容取得手段、文字列や、それに含まれる所定の文字群を素性として抽出する素性抽出手段を備え、外部記憶装置に、予めデータ種類が分かっている教師データを用いて機械学習したデータ種類学習結果を参照して素性のデータ種類を判定するデータ種類判定手段を設けることで、機械学習により高精度にデータ種類を判定する技術が記載されている。
【００１０】
特許文献１に記載された手法でもログ内の情報の機密性を判断することができる。しかしながら、教示データを利用するために教示データに含まれない情報に関しては機密性の判断ができず、機密情報の漏洩を生じてしまう虞が残されていた。その他、正規表現や単語リストにより機密ワードを検出する技術は、正規表現の種類の登録や単語リストの登録など、データ構築のための労力が膨大な物となることや単語漏れなどの点で限界があり、充分とは言えない。また、ログに関し、完全なスキーマを事前に定義して、それに従って機密情報を匿名化することも考えられるが、作成されるログの多様性のため、多様なスキーマを完全に作成することも現実的ではない。また、単語リストやスキーマを補充しても、珍しい名前はいくらでもあり、さらには、ユーザＩＤ、パスワードのタイプミスや入力箇所の間違いなど、間違えて入力された情報を登録したログに対応することも必要とされていた。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】特開２００９−１１６６８０号公報
【発明の概要】
【発明が解決しようとする課題】
【００１２】
本発明は、上述した従来技術の問題に鑑みてなされたものであり、ログ内に含まれる機密情報を識別することにより、ログの有用性を損なうことなく、ログの利用性を拡張することを可能とする、機密情報識別方法、情報処理装置、およびプログラムを提供することを課題とする。
【課題を解決するための手段】
【００１３】
本発明は上記課題を解決するために、ログ内の個別情報が機密情報か否かを識別する。ログ内での個別情報の機密性の判断は、ログのメッセージを、メッセージの類似性によってクラスタ化し、各クラスタに含まれるメッセージを比較することにより、その差分から、メッセージの固定部分と可変部分を識別する。そして可変部分のそれぞれについて、判定ルールに登録された語、ストリング列または正規表現として定義されるコード情報を参照して機密度を判定する。そして、判定ルールに登録された語、ストリング列またはコード情報により機密と判定された文字列出現した位置は、当該クラスタ内のメッセージ中における機密にするべき部分として判断する。この判断を当該クラスタ内の他のメッセージにも伝播する。すなわち、当該クラスタ内の他のメッセージにおいては、機密にするべき部分にあたる文字列は、判定ルールにより機密と判定されなかった場合でも、機密であると判断する。
さらに、当該クラスタ内の他のメッセージにおいて、機密にするべき部分にあたる文字列を判定ルールに登録することにより、同一の文字列が他のメッセージ中に出現した場合にも、機密と判定することを可能にする。
【００１４】
機密領域と判断された領域は、個々の情報に適した形式で別表示に置換する。置換は、完全に情報をマスキングしてしまうと図１０に示すように情報量が少なくなり、ログとしての有用性が著しく低下するので、できるかぎり元の情報と同じ種類または意味合いを有するセマンティックス的に同等の表示で置換することができる。元の情報と同じ種類または意味合いの表示で置換することで、情報の種類が判定でき、かつ同定可能な形で置換することができる。例えば、人名であれば、別の名前、例えば、“Alice”→“Cathy”、“Bob”→“David”と言うように別名にマッピングする。
【００１５】
また、例えばＩＰアドレスなどの場合には、ＩＰアドレスのネットワーク構造の特定部分だけを残し、他の部分をプライベートＩＰアドレスなどを構成する正規表現で与えられる一定の規則を有するコード情報などに置換することができる。
【００１６】
さらに本発明では、判定ルールに登録されていない情報については、メッセージ中における出現位置、機密語との共起関係を使用して判定ルールからでは機密属性が決定できない領域の機密属性を推定することで、ログの機密領域が外部に漏れないようにしながら、ログの利用性を改善することを可能とする。
【図面の簡単な説明】
【００１７】
【図１】本実施形態の情報処理システム１００の実施形態を示す図。
【図２】本実施形態で使用するセキュア・ログ生成部２００の機能ブロック図。
【図３】本実施形態で解析対象とされるログ３００を示す図。
【図４】本実施形態の判定ルール２２４に登録される語、ストリング列、または正規表現など可変部のリストを示す図。
【図５】本実施形態のログ解析方法のフローチャートおよびログ解析のデータ形態を示す図。
【図６】図５に後続する処理のフローチャート。
【図７】図６で説明した機密度推定処理のフローチャート。
【図８】本実施形態で使用する機密度判断態様８００を、対象とするログ８１０に対応付けて示した図。
【図９】本実施形態の表示置換部２２２の実行する置換処理の実施形態を示す図。
【図１０】例示的にＡｐａｃｈｅ２．０を使用して実装したウェブ・サーバのアクセス・ログ１０００およびＦＴＰサーバのトランザクション・ログ１１００を示す図。
【発明を実施するための形態】
【００１８】
以下、本発明を実施形態をもって説明するが、本発明は、後述する実施形態に限定されるものではない。図１は、本実施形態の機密情報識別方法が適用される情報処理システム１００の実施形態を示す。サーバ機能部１２０は、ネットワーク１１０に接続されていて、ネットワーク１１０に接続されたクライアント装置１１２からの要求に応答して、ウェブ・サービス、ストレージ・サービス、検索サービスなどをクライアント装置１１２に対して提供する。
【００１９】
サーバ機能部１２０は、サーバ装置１２２と、サーバ装置１２２が実装するデータベース・アプリケーションなどによりデータが管理される、データベース１２４とを含んでいる。データベース１２４は、提供するべきコンテンツを管理する他にも、利用者登録、利用者情報変更、アクセス制御情報などのセキュリティ情報を含むことができる。
【００２０】
図１に示すサーバ装置１２２は、ブレード・サーバ、ラックマウント・サーバ、または汎用コンピュータなどの情報処理装置から構成することができ、ＷＩＮＤＯＷＳ（登録商標）２００Ｘ、ＵＮＩＸ（登録商標）、ＬＩＮＵＸ（登録商標）などのオペレーティング・システムにより制御することができる。また、サーバ装置１２２は、クライアント装置１１２からの検索要求を処理し、クライアント装置１１２に処理結果を返すことができる限り、分散コンピューティングのためのプロキシ・サーバ、ゲートウェイ・サーバなどとして実装することもできるし、ウェブ・サーバとして実装することができる。
【００２１】
クライアント１０２は、いかなるシングルコア・プロセッサまたはデュアルコア・プロセッサといったマイクロプロセッサ、ＲＡＭ、ハードディスク装置などを含むパーソナル・コンピュータ、ワークステーションとして実装することができる。また、クライアント装置１１２は、ＰＤＡ、スマートフォンとして実装することもできる。クライアント装置１１２は、ＷＩＮＤＯＷＳ（登録商標）、ＵＮＩＸ（登録商標）、ＬＩＮＵＸ（登録商標）、ＭＡＣ  ＯＳ（登録商標）、ＡＮＤＯＲＯＩＤ（登録商標）など、いかなるオペレーティング・システムで制御することができる。
【００２２】
クライアント装置１１２と、サーバ機能部１２０との間は、ネットワーク１１０を介して、ＴＣＰ／ＩＰなどのトランザクション・プロトコルを使用して接続することができる。また、クライアント装置１１２と、サーバ装置１２２との間のデータ・トランザクションは、ＲＭＩ(Remote Method Invocation)、ＲＰＣ(Remote Procedure Call)、ＥＪＢ(Enterprise
Java（登録商標） Beans)、ＣＯＲＢＡ(Common Object Broker Architecture)などの分散コンピューティング環境を使用して構築することができる。
【００２３】
他の実施形態では、サーバ装置１２２とクライアント装置１１２との間でＨＴＴＰプロトコルを使用し、クライアント装置１１２側にウェブ・ブラウザ、サーバ装置１２２側にＣＧＩ(Common Gateway Interface)、サーブレット、データベース・アプリケーションなどのサーバ・プログラムを実装して構成することもできる。さらに他の実施形態では、サーバ装置１２２側にＦＴＰサーバ・アプリケーションを実装し、クライアント装置１１２をＦＴＰクライアントとして、データ・トランザクションを行う構成とすることもできる。
【００２４】
サーバ装置１２２は、サーバ装置１２２またはデータベース１２４の適切な記憶空間にログ１２６を保持している。本明細書において、ログ１２６とは、サーバなどの情報処理装置の動作により蓄積された情報処理装置の動作についてのメッセージを蓄積したファイルを、単にログとして参照することができ、特定の実施形態では、例えばログ１２６は、クライアント装置１１２との間で行われたトランザクションのうち、サーバ装置１２２の動作を表す情報が、逐次的に記録されて生成される。
【００２５】
ログ１２６は、情報は高付加価値であるものの、多くの場合、テキスト・ベースで記録されるので、種々の方法で外部からアクセスすることができるが、高度に限定された企業・団体の担当者以外の者が生のログにアクセスすることは、セキュリティの観点から好ましくない。このため、本実施形態では、サーバ機能部１２０に対して、ログに直接アクセスさせるのではなく、ログが含む重要な基本情報や個人情報を遮蔽したセキュア・ログを生成し、当該セキュア・ログにアクセスさせる機能手段を、サーバ装置１２２に実装する。また、本明細書において、セキュア・ログとは、ログ１２６が含む機密情報を本発明にしたがって識別し、機密情報を遮蔽または置換して、機密情報が表示されないように修正したデータ・ファイルをいう。
【００２６】
図２は、ログから機密性の高い領域を識別するために、本実施形態で使用するセキュア・ログ生成部２００の機能ブロック図である。図２に示したセキュア・ログ生成部２００は、サーバ装置１２２が実行可能なプログラム、例えばＣ＋＋、Ｊａｖａ（登録商標）、Ｐｅｒｌ、Ｒｕｂｙ、ＰＨＰなどを使用して作成することができ、暗号化などの方式とは異なる方式により、ログへのアクセスを制御する、例えばフィルタ・モジュールなどとしてサーバ装置１２２に実装することができる。
【００２７】
図２に示したセキュア・ログ生成部２００は、サーバ装置１２２が生成したログ１２６を、適切な入力インタフェースを使用し、ログが記録された記憶空間から読み出して、秘匿性の高い情報を識別し、各種の処理を適用して機密情報として遮蔽する。機密情報が遮蔽されたデータ・ファイルは、セキュア・ログ１２６ａとされ、出力インタフェースなどを介して出力させることができる。ログ１２６の読み出しに際しては、ログに暗号が設定されている場合、セキュア・ログ生成部２００を呼び出すために用意されたパスワードや復号鍵を入力することができる。また、セキュア・ログ１２６ａを出力する形式は、特に限定はされないが、デスクトップ画面への表示、ＨＴＭＬ、ＸＭＬなどの構造化文書の作成、テキスト文書の作成、作成したファイルのハードディスク装置などの外部記憶媒体への格納、ネットワークを介した送信などを含むことができる。なお、図２では、説明の便宜上、入力・出力インタフェースは省略して示している。
【００２８】
図２を使用して、本実施形態のセキュア・ログ生成部２００をさらに説明する。セキュア・ログ生成部２００は、機密情報識別部２１０と、表示置換部２３０とを含んで構成することができる。機密情報識別部２１０は、ログ１２６に存在する機密情報を識別する機能を提供しており、表示置換部２３０は、機密情報識別部２１０が識別したログ１２６の表示を他の文字などで置き換える機能を提供する。
【００２９】
機密情報識別部２１０は、メッセージ解析部２１２と、クラスタ部２１４と、可変部特定部２１６とを含んでいる。メッセージ解析部２１２は、ログを構文解析するパーザを含んで構成されており、ログ１２６が含むメッセージの文章類似性を、例えばテンプレートとの比較などにより定量化し、類似性の順にメッセージをソーティングする。クラスタ部２１４は、ソーティングされたメッセージを類似性を使用してクラスタリングする。可変部特定部２１６は、特定のクラスタに含まれるメッセージの領域のうち、固定されて変化しない領域である固定部およびメッセージ毎に変化する領域である可変部を、メッセージ相互の比較により特定し、クラスタに帰属されたメッセージのうち、変数として処理するべき可変部の位置を識別する。以下、メッセージ中の領域のうち、メッセージ毎に変化する領域を可変部として参照し、メッセージが代わっても変化しない領域を固定部として参照する。
【００３０】
さらに機密情報識別部２１０は、属性決定部２１８と、属性推定部２２０とを含む。属性決定部２１８は、メッセージ中で可変部として識別されたワード（語）、ストリング列、正規表現で与えられる一定の規則を有するコード情報などの機密性に関する属性を、判定ルール２２４を参照して判断する。例えば、可変部として識別された領域の存在する語、ストリング列、正規表現が判定ルール２２４に登録されているか否かを検索し、現在判断されている可変部が、判定ルールで機密に登録されている場合、当該可変部は、機密情報として遮蔽、または置換するべき変数としてマークされる。
【００３１】
また、属性推定部２２０は、判定ルール２２４に登録されていない変数に関してその機密性を推定する判断を行う。推定判断の第１実施形態では、判定ルール２２４に従って機密であると判断された可変部と、メッセージ中での位置が同一にある変数は、判定ルール２２４によって機密と判断された可変部と同一の機密レベルを有するものと推定する。また、推定判断の第２実施形態では、機密であると判断された可変部と、属性が不明な可変部の共起関係を使用し、共起関係の態様によって属性不明の可変部の機密レベルを推定する実施形態である。
【００３２】
本実施形態の属性推定部２２０は、判定ルール２２４だけを使用するのではなく、メッセージ内の構文解析の結果を機密レベルの推定に使用することにより、判定ルール２２４に登録した語、ストリング列、正規表現だけではなく、判定ルール２２４からは機密レベルの不明な語、ストリング列、正規表現（以下、本実施形態では、不明部として参照する。）の処理を可能とする。
【００３３】
表示置換部２３０は、機密と判定または推定した可変部を、可変部のセマンティックスを保持したまま、異なる語、ストリング列、または正規化表現といった別表示に元の表示を置換する。用語「セマンティックスを保持したまま」とは、可変部の意味内容または概念内容と同一または類似の置換語を選択することを意味する。例示すれば、人名の場合、“Alice”→“Cathy”、“Bob”→“David”などに置換する。また、ＩＰアドレスといった正規表現の場合、“１９２．１６８．１．１”→“１９２．１．１．２”、“１０．１．５．６”→“１６７．５．７．８”などのコード情報に置換する。また、地名、ランドマーク名、ポート番号、その他の可変部などについても同一または類似の置換語で置き換える処理を行う。
【００３４】
なお、ポート番号やメール・アドレスの場合には、偽名や異なる数値を使用したとしても当該メール・アドレスを使用している第三者が存在する可能性も高く、またサーバが実際に置換後のポートを使用している可能性もある。このため、本実施形態では、メール・アドレスやポート番号などの情報の場合、メール・アドレスやポート番号であることが分かる程度の痕跡情報を残し、それ以外は元の情報を数値以外のキャラクタ、アスタリスク、♯記号、その他適切なシンボルで語を置き換えることができる。
【００３５】
その他、暗号化やその他の置換方法など、これまで知られたいかなる匿名化方法や秘匿方法を使用することもできる。また、可変部の変換の際には、元の語などの出現履歴とのコインシデンスを取るために可変部の語や値が同一の場合には、同一の置換語や値を割当てることが好ましい。
【００３６】
表示置換部２３０によって機密と判定された可変部が置換された後、セキュア・ログ１２６ａで示されるデータ・ファイルとして出力可能とされる。表示置換部２３０が作成したセキュア・ログ１２６ａは、適切な出力インタフェースを介して、ファイルなどの伝送媒体として送信することもできるし、ハードディスク装置、ＵＳＢメモリ、フレキシブルディスクなどの可搬性の記録媒体に格納することで、出力することができる。
【００３７】
以上のように生成したセキュア・ログは、仮にログ解析のために外部業者がアクセスする場合や、外部業者にファイルを提供する場合にも、企業リスクの発生を最低化できるので、よりログの利用性を高め、ネットワークシステムの改善を可能とする。なお、生のログにアクセスする場合には、他の安全性の高いアプリケーションを使用することで、ログへのアクセス性とログ解析の秘匿性とを確保することができるが、生のログにアクセスするためのアプリケーションは、本願の要旨ではないので詳細な説明を省略する。
【００３８】
図３は、本実施形態で解析対象とされるログ３００を示す。図３に示したログ３００は、人名３１０、都市名３２０、電子メール・アドレス３３０が含まれている。また、ログ３００に例示するメッセージは、ログイン・メッセージの他、特定の人名に関連する、Tokyo、Osakaなどのロケール情報やメール・アドレスの更新に関する情報が含まれている。また、日本人名と思われるストリング列である“Sachiko”３４０も含まれている。これら個人情報や個人情報かも知れない情報、または個人情報に関連して機密にするべき情報などをすべてを判定ルール２２４に含ませることはログの種類の多様さや、判定ルール２２４作成のためのプログラミング労力を考えると現実的ではない。
【００３９】
またいくら単語登録を増やしたところで、例えばインド・ヨーロッパ言語の人名“Alice”３１０や“Bob”しか登録されていない判定ルール２２４では、例えば、日本人名らしい“Sachiko”は、その機密レベルが不明な不明部に分類されてしまい、充分な秘匿性を保証できない。このため、本実施形態は、メッセージ構造の解析を通じて不明部についてもその機密レベルを推定することで、ログ３００の秘匿性の検出を改善するものである。
【００４０】
図４は、本実施形態の判定ルール２２４に登録される語、ストリング列、または正規表現など可変部のリストを示す。判定ルール２２４は、機密部のレコード毎に属性と語／ストリング列／正規表現などの領域表示とがフィールドとして対応付けられている。属性は、機密部のセマンティックスに対応するカテゴリであり、置換語は、可変部のカテゴリに基づき、選択することができる。また、ＩＰアドレスは、正規表現で与えられており、ＩＰアドレスを置換する場合には、例えばプライベートアドレスの中から本来のＩＰアドレスの一部を残した形式の表現に置換することができる。
【００４１】
この他、図４には、属性として、メール・アドレスも登録されており、メール・アドレスの場合には、ランダムに「＠」よりも左のストリング列を置換するだけでは実際のメール・アドレスとなる可能性が排除できないので例えば、ストリングを、「＊」（アスタリスク）や「！」（イクスクラメーション・マーク）など、メール・アドレスであることを認識させることができる範囲で、匿名化することができる。
【００４２】
その他、判定ルール２２４には、非機密メッセージも登録することができる。非機密メッセージは、判定ルール２２４に不可避的にエントリするべきデータではないが、パーザによる構文解析を効率化することが要求される用途では、非機密メッセージを登録することができる。
【００４３】
図５のフローチャートおよびログ解析のデータ形態を使用して、本実施形態の機密情報識別処理およびセキュア・ログ生成処理を説明する。図５の処理は、ステップＳ５００から開始し、ステップＳ５０１で、メッセージ解析部２１２がログデータをメッセージ単位で読み込み、ログをメッセージ毎に分割し、メッセージごとに編集距離を計算する。ステップＳ５０２では、編集距離を使用してメッセージを類似度に応じてソーティングする。ステップＳ５０２で得られるメッセージ構造５１０は、メッセージの編集距離に基づく類似度に対応してソーティングされた構造として生成され、図５に示した実施形態では、ユーザ・プロファイル更新のメッセージと、ログイン・メッセージが、類似度のないメッセージの種類として認識されている。メッセージ構造５１０では、メッセージ中の可変部５１２、５１４が例示的に示されている。その他、「User Profile for」や「is updated」などの文字列は、固定部である。
【００４４】
詳細に説明すると、センテンス「Use Profile
for」と、「is updated」に挟まれた語「Alice」は、個人名であり、また「Tokyo」、「alice@foo.com」は、それぞれ都市名、電子メール・アドレスであり、それぞれの値を示す変数名とともに可変部として識別されている。メッセージ構造５１０を見ると解るように、類似度の高いメッセージの可変部は、文章構造中の同一の順に出現する特徴を有している。
【００４５】
再度、フローチャートを使用して説明すると、ステップＳ５０３では、クラスタ部２１４が、ソーティングしたメッセージを編集距離から決定される類似度に応じてクラスタ化する。クラスタ化は、ソーティングによる類似度のランク付けの程度に応じ、必ずしも必要な処理ではないが、クラスタ単位で可変部・固定部の認識を行うことで、可変部の認識性・認識精度を高めることができる。図５には、ステップＳ５０３の処理により生成されるメッセージ構造５１０のクラスタ化の処理を、クラスタ構造５２０を示す。説明する実施形態では、ユーザ・プロファイル更新のメッセージを含むクラスタと、ログイン・メッセージを含むクラスタが識別されている。
【００４６】
さらに、ステップＳ５０３では、クラスタを形成するメッセージの固定部および可変部の構造をテンプレート構造５３０として登録し、各クラスタにおける可変部＝変数が存在する箇所、すなわち同一のクラスタ内の各メッセージにおける変数を、メッセージに対して紐付けたテンプレートを生成し、適切な作業用の記憶空間に登録する。この際、メッセージのクラスタは、例えば、[クラスタ識別値，編集距離範囲，テンプレート識別値]などとして索引付けすることができ、判定ルール２２４の適切な記憶領域を確保して、クラスタの索引を登録しておくことができる。
【００４７】
テンプレート構造は、ログの処理毎に生成することもできるが、同一のサーバ機能部１２０に関しては、多くの場合、同一のメッセージが使用される。このため、一旦クラスタの索引を生成した後には、判定ルール２２４にクラスタ識別値に紐付けてメッセージ・テンプレートとして登録しておき、処理対象のメッセージを読み込んで編集距離から分類されるべきクラスタを識別し、直ちに処理対象のメッセージ中の可変部の機密度を評価するように実装することもできる。
【００４８】
図５に示すテンプレート構造５３０では、可変部は、“＜？＞”として示されているが、図５のテンプレート構造５３０の可変部の表示は例示的なものであり、構造化文書のタグを付して識別することを意味するものではない。テンプレート中での可変部の識別は、可変部特定部２１６が担当し、例えば先頭からの語数、スペースの数、変数を識別するためのダブルコーテーションの間など、特定の目的のためのプログラミングにより適宜選択することができる。ステップＳ５０４では、識別された可変部を判定ルール２２４の照合のための検索キーとして設定し、ポイントＡから次の処理に処理を進める。
【００４９】
図６は、図５に後続する処理のフローチャートである。図６の処理は、ステップＳ６０１で判定ルール２２４を属性決定部２１８が検索することにより、可変部の機密度を判定する。その後、ステップＳ６０２では、検索の結果得られた機密度を、現在判断している可変部の位置の可変部の機密度として、テンプレートに紐づける。紐付けは、テンプレートを構文解析し、語／ストリング／正規表現の階層構造とし、ＸＭＬなどの構造化文書として紐付けすることもできるし、より単純に[テンプレート識別値，先頭からの語数，機密，先頭からの語数，非機密，先頭からの語数，機密]などのテーブルとして登録しておくことができる。
【００５０】
図６には、属性決定部２１８が、テンプレートを使用して可変部の機密度を判断した結果を示す。メッセージ構造６１０では、「User Profile for」の後の“Alice”および“Bob”は、判定ルール２２４に登録されており、そのまま機密であると判断される。一方、“Sachiko”は、説明する実施形態では、判定ルール２２４には登録されておらず、属性決定部２１８は、検索の結果として値“false”を返す。
【００５１】
この状況は、ログイン・メッセージでも同様である。ステップＳ６０２で属性決定部２１８が、値＝falseを返すと、セキュア・ログ生成部２００は、属性推定部２２０を呼び出す。属性推定部２２０は、ステップＳ６０３で、機密属性が不明な可変部のテンプレート上での位置を判断し、テンプレートに割り当てられている当該出現位置の機密度を属性決定部２１８が割り当てるべき機密度として設定し、後述する表示置換部２３０の処理に利用させる。この処理について説明したのがテンプレート構造６２０である。
【００５２】
テンプレート構造６２０では、ユーザ・プロファイル更新テンプレートでは、＜Red＞で示された可変部の位置がすでに機密属性として登録されているので、＜Red＞の位置に相当する不明部が出現しても、当該不明部の機密属性＝機密として設定できる。またログイン・テンプレートについても例示的に＜Red＞で示した位置の不明部は、その機密属性＝機密に設定される。
【００５３】
また、属性推定部２２０は、メッセージに存在する任意位置の可変部について、ステップＳ６０４で出現位置以外の情報を使用して任意の位置の可変部の機密度類推処理を行う。機密度類推処理は、より詳細に後述するが、メッセージ中での機密部の存在の有無または機密部との共起関係を使用してメッセージ中の任意の位置の不明部についてその機密属性を推定する処理を行う。ステップＳ６０４の処理の後、ステップＳ６０５で特定のメッセージ内で機密レベルの不明な不明部の機密レベルの設定を更新し、処理を表示置換部２３０に処理を渡し、ステップＳ６０６で、可変部を判定ルールを参照して異なる表示に置換して、セキュア・ログを生成させる。その後、ステップＳ６０７で適切な出力インタフェースを介してセキュア・ログ１２６ａを他の装置で利用可能となるように出力し処理を終了する。
【００５４】
図７は、図６で説明した機密度推定処理のフローチャートである。機密度推定処理は、図２に示したセキュア・ログ生成部２００が、メッセージ中に含まれ得る任意の位置の可変部の機密レベルを推定するための処理である。本実施形態の機密情報識別方法では、機密度の類推は、２つの実施形態で行われ、第１の類推方法は、メッセージ内での機密部の存在を利用する態様（ステップＳ６０４→Ｓ７００→Ｓ６０５）であり、第２の類推方法は、機密部と不明部との共起関係を使用して、メッセージ内の機密属性を動的に類推する態様（ステップＳ６０４→Ｓ７１０→Ｓ７１１→Ｓ７１２→Ｓ６０５）である。本実施形態において、用語「共起関係」とは、メッセージが含む可変部の値２つまたはそれ以上が共に同一メッセージ内に出現することを意味する。また、用語「共起頻度」とは、特定の可変部が共にメッセージ内で出現する頻度を意味する。
【００５５】
より具体的には、例えば、個人の氏名と、特定の日付とが同一メッセージ内の異なる可変部に同時に出現する場合を考える。氏名は、機密度の高い機密部であり、その直後に出現する日付は、氏名に対応する個人にとって特別な意味を持つ日、たとえば誕生日である可能性が高い。また、そのような共起が発生した場合に個人の誕生日が特定されると推定することは、異なる個人に関し、これらの変数の共起が｛同姓同名確率＊同一誕生日確率｝程度のきわめて低い確率にすぎないことを考慮すると妥当な類推方法であるということができる。すなわち、機密部と同一メッセージ内に出現する可変部は、その機密属性が不明であったとしても「機密」として推定するのが妥当である。
【００５６】
このため、本実施形態では、共起関係を使用して機密度を類推する場合、機密部を基準とする共起頻度を使用し、共起頻度に関して条件を設定することにより、不明部の機密度を類推する。このための条件としては、共起頻度に関して特定の論理条件を設定することができる。
【００５７】
以下さらに、図７を使用して本実施形態の機密度類推処理を説明する。機密度類推処理は、ステップＳ６０３から処理を渡されて開始し、第1の実施形態であるステップＳ７００で、メッセージ内に機密部が含まれるか否かを判断し、機密部が含まれる場合、当該メッセージ内に共起する可変部を一括して機密と設定し、処理をステップＳ６０５に渡す。
【００５８】
以下に、第２の実施形態について説明する。第２の実施形態では、ステップＳ７１０でメッセージから当該メッセージが含む可変部をリスト・アップする。ステップＳ７１１でログ内の同一の属性に分類される可変部と共に出現する可変部をリスト・アップし、共起頻度を計算し、可変部に対応付ける。
【００５９】
ステップＳ７１２では、機密部の機密部文字列（Ａ）と、不明部の可変部文字列（Ｂ）の共起頻度がしきい値ＴＨ１以上であり、かつ同時にその可変部文字列（Ｂ）と、当該機密部の文字列以外（上付きバーＡ）が同時に出現する頻度がしきい値ＴＨ２以下である場合に、現在判断している不明部を機密と推定する。この論理条件による処理を採用する理由は、例えば可変部の値が機密情報である氏名である場合、この氏名と高い頻度で共起する文字列（例：誕生日、電子メール・アドレス、この人物のパスワードなど）は、機密であると考えるべきだからである。
【００６０】
図７には、共起頻度に基づく機密度類推のための例示的な条件を示す。条件７３０は、機密部と共起する可変部を機密として処理する第１の実施形態において使用される。条件７３０では、人名「Alice」と共起する文字列「Tokyo」および電子メール・アドレス「alice@foo.com」が共に機密性が高い可変部であるとして推定される。推定の結果に応じて文字の置換などを上述したように適用し、機密情報を保護する。また、条件７４０は、第２の実施形態のステップＳ７１２で使用する条件である。
【００６１】
一方、条件７４０は、複数の共起判断を行う必要が生じるものの、より精密に不明部の機密部との関係に基づいて機密推定を行うことを可能とする。これらの各判断条件は、ログの種類、目的に応じて情報処理装置に実装することができる。
【００６２】
条件７４０のような判断が必要になるのは、以下のような場合である。すなわち、機密の可変部と同時に出現する文字列のうちには、ごく一般的で、他のメッセージ内にも出現するようなものがありうる。例えば、ある人物が住む国の名前は、その人物の名前と同時に高い頻度で出現するかもしれないが、同じ国に他にも多くの人が住んでいて、その国名が他の多くの人名とも同時に出現することがありうる。そのような場合には、国名自体の機密度は低く、国名を置換する必要はない。（つまり、国の人口が十分に大きいと仮定すれば、国名のみから個人を特定することは容易ではないため、国名からはほとんど個人のプライバシーが漏洩しないと考えられるためである）。この例の場合にある国名は、特定の人名Ａと同時に出現するばかりでなく、Ａ以外の人名（上付きバーＡ）とも多く同時に出現するため、条件７４０を用いることで、非機密と判断することができる。また、他の実施形態の場合、上述したしきい値を、特定用途において適切に機密度を与えるように、適宜設定することで、所望するセキュリティ性を提供することができる。
【００６３】
以下、さらに本発明の他の実施形態について、図７のコンテキストに沿って説明する。この実施形態では機密度推定処理はステップＳ６０４から処理を渡されて開始する。ステップＳ７００では、属性推定部２２０は、下記の２つのモードから一つを、以下の通り選択する。第１のモードは、最も単純なアプローチであり、属性推定部２２０は、機密とされるメッセージ内のすべての可変部を判定し、メッセージ内のいずれか１以上の可変部が機密と判定された場合、処理をステップＳ６０５に進める。これは、可変部が機密でない場合であってもいくつかの可変部を機密と過剰に分類することもあるが、簡略化した判定方法である。また、第２のモードを選択した場合、属性推定部２２０は、ステップＳ７１０でメッセージに含まれる可変部をリストする。ステップＳ７１１で、属性推定部２２０は、各メッセージ内に出現する可変部のセットをリストし、その後各可変部それぞれの共起頻度を計算する。
【００６４】
ステップＳ７１２では、不明部および特定の機密部の共起頻度が所定のしきい値ＴＨ１以上であり、かつ不明部である可変部の特定の機密部を除く機密部との共起頻度がしきい値ＴＨ２よりも低い場合、属性推定部２２０は、当該可変部分を機密と決定する。この処理を用いるのは、以下の理由による。例えば、可変部が、機密情報である個人名なので、個人名と共に、高い共起頻度で出現（例えば誕生日、電子メール・アドレス、個人のパスワード）するストリングもまた機密として考慮することができるためである。
【００６５】
この実施形態において第１のモードは、機密部と可変部との間の共起関係における、不明部を「機密」として判断するための出現頻度のしきい値を０に設定することに対応する。言い換えると、機密部分と共に1回以上出現するすべての可変部分を機密として判断するものであり、第１の実施形態のように、メッセージ内で機密部と不明部とが存在する場合に、当該不明部を機密とする代替的な処理と言うことができる。第１のモードは、第１の実施形態と同様に可変部のいくつかを、そうでないにもかかわらず機密として過分類する可能性がある点で簡略化した判定方法である。しかしながら、この方法は、共起頻度のチェックを必要としない。したがって、この実施形態は、情報処理装置のオーバー・ヘッドを軽減する場合に属性推定部２２０が選択する処理とすることができる。ステップＳ７１２の後、属性推定部２２０は、ステップＳ６０５に進んで、図７の機密度推定処理を終了させる。付随的に、共起判断のための対象の可変部の属性に応じて、共起頻度のしきい値として異なる値を使用することもできる。
【００６６】
なお、メッセージによっては、メッセージ内の可変部に関し、その機密属性が判定ルール２２４によってはまったく判断できないものも発生する可能性がある。この場合、機密情報識別部２１０は、不明部の出現位置を使用して機密属性の推定を行い、その後さらに、共起関係を使用して不明部の機密属性の推定および決定を行うことで、機密情報がそのままセキュア・ログに表示されてしまうことを防止することができる。さらに、他の実施形態では、一旦不明部として識別された位置に出現した語、ストリング列、キャラクタ列、数字列、コード情報などについて機密属性が推定された後、判定ルール２２４に推定された語、ストリング、キャラクタ列、コード情報などのデータを追加登録することにより、判定ルール２２４を学習させ、機密情報の判定処理を効率化させて行くこともできる。
【００６７】
図８は、本実施形態で使用する機密度判断態様８００を、対象とするログ８１０に対応付けて示した図である。白抜き矩形枠は、固定部であり、雲形枠内の可変部は、機密の領域であり、ハッチングした矩形枠内は、推定された機密領域であり、アンダーラインの可変部は、テンプレート内の出現位置を使用して判断された機密属性の領域である。
【００６８】
図８に示すように、固定メッセージ（非機密）および雲形枠内の可変部のセット８２０は、判定ルール２２４を使用して直接機密属性が判断されたものである。一方、セット８３０については、判定ルール２２４では不明部として分類された可変部である。本実施形態では、不明部として分類された可変部に関し、可変部の共起関係およびメッセージ内の出現位置を使用して機密属性を判定する。
【００６９】
共起関係を使用して機密属性が類推または推定された可変部は、氏名に対する日付および都市名である。また、可変部の出現位置を使用して判断されたのは、可変部＝passw0rdである。この可変部は、ユーザＩＤを入力しようとして誤ってパスワードを入力し、加えてパスワードにタイプミスが重畳された不明部となっている。この可変部は、ユーザＩＤが入力されるべき部位に誤入力されなおかつタイプミスがあるため、不明部を構成する。当然ながらこの説明は、説明のためにだけなされるものであって、パスワードに相当する可変部が判定ルールに登録されることはない。本実施形態では、同一のクラスタ内のメッセージでの可変部の出現位置を使用して、例えばログ８１０の第１行目の可変部“UserID”の直後に機密属性の領域が出現していることを利用して、不明部＝passw0rdについて機密であると判断している。
【００７０】
以上の通り、本実施形態では、判定ルール２２４に登録されていない可変部についても機密レベルを設定することができ、企業・団体リスクを低減させることで、ログの利用性を向上させている。
【００７１】
図９は、本実施形態の表示置換部２３０の実行する置換処理の実施形態を示す。元のログ９００には、人名、都市名、電子メール・アドレスなど複数の機密領域が含まれている。本実施形態の表示置換部２３０は、機密として登録されたメッセージの可変部を、設定されたプロトコルにしたがって置換する。具体的には、人名・都市名については判定ルール２２４内の同一の属性の他の値を選択し、置換する。なお、このとき元の可変部が同一の場合には、同一の別表現の値を割当てる。また、電子メール・アドレスについては電子メール・アドレスであったことを識別させる程度の別表現で、アルファベットを他のキャラクタや数字に変更する。
【００７２】
具体的には、人名に関しては、ログ９００の“Alice”、“Bob”、“Sachiko”は、セキュア・ログ９１０では、それぞれ、“Mary”、“Nic”、“John”に置換されている。また、都市名については、“Tokyo”、“Osaka”、“Naha”が、それぞれ“New
York”、“Washington”、“Toront”に置換されている。さらに電子メール・アドレスについては、ＳＭＴＰプロトコルに準拠した表現を有することが認識できるように****@***.***の表現を残し、キャラクタで置換したものとされている。なお、個人を特定する以外のドメインネームの領域については、情報量の観点から非置換のまま残すこともできる。
【００７３】
また、図９には、示されていないが、ＩＰアドレスなどについては、グローバルＩＰアドレスを、元の数字の一部を流用しながら適切なプライベートＩＰアドレスに置換するなどによって機密情報を置換する。なお、置換のためのルールは、セキュア・ログ生成部２００の管理する適切な記憶空間にテーブルやリストとして保存しておき、サーバ管理者などの高レベルの管理者の要求に応じて、逆変換し、元のログを再現するために利用することもできる。
【００７４】
なお、本発明につき、発明の理解を容易にするために各機能手段および各機能手段の処理を具体的な機能手段をもって記述したが、本発明は、上述した特定の機能手段が特定の処理を実行する外、処理効率や実装上のプログラミングなどの効率を考慮して、いかなる機能手段にでも上述した処理を実行するための機能を割り当てることができる。
【００７５】
本発明の上記機能は、Ｃ＋＋、Ｊａｖａ（登録商標）、Ｊａｖａ（登録商標）Ｂｅａｎｓ、Ｊａｖａ（登録商標）Ａｐｐｌｅｔ、Ｊａｖａ（登録商標）Ｓｃｒｉｐｔ、Ｐｅｒｌ、Ｒｕｂｙ、ＰＹＴＨＯＮなど、オブジェクト指向プログラミング言語、ＳＱＬなどの検索専用言語などで記述された装置実行可能なプログラムにより実現でき、装置可読な記録媒体に格納して頒布または伝送して頒布することができる。
【００７６】
これまで本発明を、特定の実施形態をもって説明してきたが、本発明は、実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。
【符号の説明】
【００７７】
１００  情報処理システム
１０２  クライアント
１１０  ネットワーク
１１２  クライアント装置
１２０  サーバ機能部
１２２  サーバ装置
１２４  データベース
１２６  ログ
１２６ａ  セキュア・ログ
２００  セキュア・ログ生成部
２１０  機密情報識別部
２１２  メッセージ解析部
２１４  クラスタ部
２１６  可変部特定部
２１８  属性決定部
２２０  属性推定部
２２４  判定ルール
２３０  表示置換部
【図１】
2013137740.tif 000003
【図２】
2013137740.tif 000004
【図３】
2013137740.tif 000005
【図４】
2013137740.tif 000006
【図５】
2013137740.tif 000007
【図６】
2013137740.tif 000008
【図７】
2013137740.tif 000009
【図８】
2013137740.tif 000010
【図９】
2013137740.tif 000011
【図１０】
2013137740.tif 000012