(57)【要約】【課題】多数の記録装置に記録されている情報について、短時間でそれぞれの記録情報の概要を把握することができるマルチトレースシステムを提供する。【解決手段】本体装置１０からソフトウエア記録装置２０に調査ソフトウエアをコピーした後、ソフトウエア記録装置２０を調査対象コンピュータＰＣに接続し、調査ソフトウエアをロードする。調査ソフトウエアは、本体装置１０が調査対象ソフトウエアに接続されていることを条件に起動し、調査対象コンピュータＰＣ内のアプリケーションソフトウエアを起動させることなく、記録内容の概要が把握できるデータを抽出し、抽出データは、本体装置１０又はソフトウエア記録装置２０に格納する。【選択図】図１
2016162098.tif 000002
【特許請求の範囲】
【請求項１】
情報処理装置に格納されているデータ情報を取り出して調査、分析するシステムであって、
前記情報処理装置の有する記憶手段から所要なデータ情報の取り出しを開始するための起動手段と、
前記記憶手段に格納されている所要データを取り出すためのデータ取得手段と、前記データ取得手段により取得したデータを調査、分析するためのデータ解析手段とを備え、
取り出した所要データを選択、抽出し、所定記憶媒体に格納するとともに、格納されたデータ情報の中から必要とする情報を選択、指定して表示することを特徴とするマルチトレースシステム。
【請求項２】
外部機器からアプリケーションソフトをダウンロードし、そのソフトを実行できる構成を有し、
調査対象となるデータが格納されている記憶手段と、
実行されているソフトに基づいた画面が表示される表示手段と、
実行されているソフトの操作ができる操作手段と、
外部機器とのデータ通信を可能とする接続部とをする調査対象コンピュータに接続され、
該コンピュータの記憶手段に記憶されているデータを抽出するトレースシステムであって、
前記調査対象コンピュータの接続部に接続される第１接続部と、
特定情報を記憶した特定情報記憶手段とを有する本体装置と、
前記本体装置から特定情報を取得する特定情報取得ステップと、
前記特定情報取得ステップで取得された特定情報に基づいて実行制限を解除するか否かの判定を行う判定ステップと、
前記判定ステップにおいて制限解除と判定された場合に、前記記録装置に記憶されているデータについて予め設定された条件に基づいてデータを抽出するデータ抽出ステップと、
を備え、外部機器からダウンロードされて前記調査対象コンピュータ上で実行される調査ソフトウエアと、
前記調査対象コンピュータにダウンロードされる前記調査ソフトウエアを記憶するソフトウエア記憶手段と、
前記調査対象コンピュータの接続部と接続される記録装置側接続部を備えるソフトウエア記録装置とを備えるマルチトレースシステム。
【請求項３】
前記調査ソフトウエアは、データ抽出ステップで抽出したデータを前記表示手段に表示する表示ステップを更に備える請求項２に記載のマルチトレースシステム。
【請求項４】
前記調査ソフトウエアは、データ抽出ステップで抽出したデータを前記調査対象コンピュータに接続された外部装置に記憶させる記憶ステップを更に備える請求項２または３に記載のマルチトレースシステム。
【請求項５】
前記ソフトウエア記録装置は、データ抽出ステップで抽出されたデータを記憶する記憶領域を有し、
前記記憶ステップにおいて、抽出されたデータが前記ソフトウエア記録装置の記憶領域に記憶される請求項４に記載のマルチトレースシステム。
【請求項６】
前記本体装置は、データ抽出ステップで抽出されたデータを記憶する抽出データ記憶手段を有し、
前記記憶ステップにおいて、抽出されたデータが前記抽出データ記憶手段に記憶される請求項４に記載のマルチトレースシステム。
【請求項７】
前記本体装置は、前記調査ソフトウエアを記憶する元記憶手段と、
ソフトウエア記録装置を接続する第２接続部と、
前記第２接続部に接続された前記ソフトウエア記録装置の前記ソフトウエア記憶手段に、前記元記憶手段に記憶されている調査ソフトウエアをコピーするコピー手段とを備え、
前記ソフトウエア記録装置の前記ソフトウエア記憶手段は、前記本体装置の前記元記憶手段からコピーされた調査ソフトウエアが記憶されている請求項２から６のいずれか１に記載のマルチトレースシステム。
【請求項８】
特定情報は、前記元記憶手段から前記ソフトウエア記憶手段に調査ソフトウエアをコピーする際に、ソフトウエア記録装置内のメモリに記録される請求項７に記載のマルチトレースシステム。
【請求項９】
前記本体装置は、調査ソフトウエアをコピーした前記ソフトウエア記録装置の個別情報を、該ソフトウエア記録装置から取得する記録装置個別情報取得手段と、
取得した個別情報を記憶する記録装置個別情報記憶手段とを備える請求項７又は８に記載のマルチトレースシステム。
【請求項１０】
前記調査ソフトウエアは、前記調査ソフトウエアが動作している前記調査対象コンピュータの固有識別情報を読み取る識別情報取得ステップと、該識別情報取得ステップによって読み取った固有識別情報を前記本体装置に送る識別情報送信ステップとを有し、
前記本体装置は、調査対象コンピュータから送られた固有識別情報を記憶する固有識別情報記憶手段を備える請求項２から９のいずれか１に記載のマルチトレースシステム。
【請求項１１】
前記調査ソフトウエアは、前記調査対象コンピュータに接続されている前記ソフトウエア記録装置の固有識別情報を前記本体装置に送る記録装置識別情報送信ステップを有し、
前記本体装置は、前記調査対象コンピュータから送られたソフトウエア記録装置の固有識別情報を記憶する記録装置固有識別情報記憶手段を有する請求項１０に記載のマルチトレースシステム。
【請求項１２】
前記本体装置は、固有識別情報記憶手段に記録されている調査対象コンピュータの固有識別情報と、該調査対象コンピュータに接続されているソフトウエア記録装置の固有識別情報とを関連付けて管理する管理手段を有する請求項１１に記載のマルチトレースシステム。
【請求項１３】
前記調査ソフトウエアは、調査対象コンピュータで実行された回数をカウントする使用回数計算ステップと、
前記ソフトウエア記録装置に使用回数計算ステップで計算された使用回数を記録する使用回数記録ステップと、
ソフトウエア記録装置に記録されている使用回数に基づいて他のステップの実行を制限する実行制限ステップとを有する請求項２〜１２のいずれか１に記載のマルチトレースシステム。
【請求項１４】
前記ソフトウエア記録装置は、個別に設けられた第１暗号化鍵情報を有し、
前記本体装置は、第１暗号化鍵情報に対して一義的に生成される第２暗号化鍵情報を生成する暗号化鍵情報生成手段と、
前記第１暗号化鍵情報と前記第２暗号化鍵情報とを関連づけて記憶する暗号化鍵情報記憶手段とを有し、
前記調査ソフトウエアは、接続されているソフトウエア記録装置から固有の暗号化鍵情報を読み取って本体装置に供給する暗号化鍵情報供給ステップと、
データ抽出ステップで抽出された抽出データの複製を作成する抽出データコピーステップと、
前記第２暗号化鍵情報生成手段から供給された第２暗号化鍵情報を受領する第２暗号化鍵情報受領ステップと、
第２暗号化鍵情報受領ステップで取得した第２暗号化鍵情報に基づいて、データ抽出ステップで抽出した抽出データ又は抽出データコピーステップで複製された抽出データの内一方を暗号化する抽出データ暗号化ステップと、
第２暗号化鍵情報受領ステップで取得した第２暗号化鍵情報を消去する第２暗号化鍵情報消去ステップと、
抽出データ暗号化ステップで暗号化された暗号化データを本体装置又はソフトウエア記録装置に記録する暗号化データ記録手段とを有する請求項２〜１３のいずれか１に記載のマルチトレースシステム。
【請求項１５】
前記調査ソフトウエアは、本体装置又はソフトウエア記録装置に記録されている抽出データを取得する抽出データ取得ステップと、
本体装置又はソフトウエア記録装置に記録されている暗号化データ記録手段ら暗号化データを取得する暗号化データ取得ステップと、
暗号化鍵情報記憶手段から第２暗号化鍵情報を取得する第２暗号化鍵情報取得ステップと、
第２暗号化鍵情報に基づいて暗号化データの暗号化を解除し、抽出データ取得ステップで取得した抽出データと同一性を判定する判定ステップとを備える請求項１４に記載のマルチトレースシステム。
【請求項１６】
前記本体装置は、前記元記憶手段に記憶されている調査ソフトウエアのハッシュ値を記憶するハッシュ値記憶手段を有し、
前記調査ソフトウエアは、起動時において、自己のプログラムのハッシュ値を算出するハッシュ値算出ステップと、
前記本体装置のハッシュ値記憶手段からハッシュ値を取得するハッシュ値取得ステップと、
ハッシュ値取得ステップで取得したハッシュ値と、ハッシュ値算出ステップで算出したハッシュ値とを比較して、両者のハッシュ値が同一であるか判断するハッシュ値比較ステップと、
ハッシュ値比較ステップにおいてハッシュ値が同一でない場合には、調査ソフトウエアを実行させない制限ステップとを備える請求項７に記載のマルチトレースシステム。
【請求項１７】
前記データ抽出ステップにおける予め設定された条件とは、調査対象コンピュータのファイル管理情報に基づいて決定される請求項２から１６のいずれか１に記載のマルチトレースシステム。
【請求項１８】
前記データ抽出ステップにおける予め設定された条件とは、調査対象コンピュータの操作手段によって入力されたキーワードに基づいて決定される請求項２から１６のいずれか１に記載のマルチトレースシステム。
【請求項１９】
前記データ抽出ステップにおける予め設定された条件とは、ファイルにアクセスされた時刻データに基づいて決定される請求項２から１６のいずれか１に記載のマルチトレースシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、電子計算機に接続されている記録装置に記録されている内容を調査するするマルチトレースシステムにかかり、詳しくは、複数の記録装置について比較的短時間で記録内容の概要を調査することができるマルチトレースシステムに関するものである。
【背景技術】
【０００２】
パーソナルコンピュータ等の情報処理装置に接続されているハードディスクドライブ装置等の記録装置の内容を調査する場合、パーソナルコンピュータから記録装置を取り外し、他の記録装置にコピーをしてバックアップを取る。そして複製側の記録内容について、適宜必要な調査が行われる。
このような作業は、特に犯罪捜査における証拠品として、パーソナルコンピュータ等の電子計算機を押収した場合に行われ、押収した記録装置は証拠として保管される。コピー側の記録装置の記録内容について、記録内容の調査が行われるのは、調査のための作業によって、記録内容が書き換えられる恐れがあるからであり、特に近年のオペレーションシステムでは、使用者の意図とは無関係にデータが書き換えてしまう場合があるからである。このようなことから、押収品であるコンピュータを直接操作して、記録装置の内容を調べることは、特に忌避される行為となっている。以上のように、押収品については、必ずデータコピーが行われるが、このようなデータのコピーには、例えば特許文献１に記載されているような複写装置が用いられる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−２４２９７３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら犯罪捜査における押収品が多数存在する場合、捜査現場で記録装置のコピー作業を行うと、コピー時間が長時間化するため、捜査に支障が生じるといった問題があった。また、押収品を持ち帰った後、コピー作業をすることも可能であるが、捜査現場が遠方である場合には、搬送中に押収した記録装置が破損するといった懸念があった。さらに、押収した記録装置の全てに有益な証拠となる情報が記録されているとは限らないが、押収品のすべてについて、コピー作業を行い、そのそれぞれについて、記録情報を調査しなければ、いずれの押収品に有用な証拠が含まれているのか判断することができなかった。
【０００５】
この発明は、多数の記録装置に記録されている情報について、短時間でそれぞれの記録情報の概要を把握することができるマルチトレースシステムを提供することを目的としている。
【課題を解決するための手段】
【０００６】
以上のような問題を解決する本発明は、以下のような構成を有する。
（１）情報処理装置に格納されているデータ情報を取り出して調査、分析するシステムであって、
前記情報処理装置の有する記憶手段から所要なデータ情報の取り出しを開始するための起動手段と、
前記記憶手段に格納されている所要データを取り出すためのデータ取得手段と、前記データ取得手段により取得したデータを調査、分析するためのデータ解析手段とを備え、
取り出した所要データを選択、抽出し、所定記憶媒体に格納するとともに、格納されたデータ情報の中から必要とする情報を選択、指定して表示することを特徴とするマルチトレースシステム。
【０００７】
（２）外部機器からアプリケーションソフトをダウンロードし、そのソフトを実行できる構成を有し、
調査対象となるデータが格納されている記憶手段と、
実行されているソフトに基づいた画面が表示される表示手段と、
実行されているソフトの操作ができる操作手段と、
外部機器とのデータ通信を可能とする接続部とをする調査対象コンピュータに接続され、
該コンピュータの記憶手段に記憶されているデータを抽出するトレースシステムであって、
前記調査対象コンピュータの接続部に接続される第１接続部と、
特定情報を記憶した特定情報記憶手段とを有する本体装置と、
前記本体装置から特定情報を取得する特定情報取得ステップと、
前記特定情報取得ステップで取得された特定情報に基づいて実行制限を解除するか否かの判定を行う判定ステップと、
前記判定ステップにおいて制限解除と判定された場合に、前記記録装置に記憶されているデータについて予め設定された条件に基づいてデータを抽出するデータ抽出ステップと、
を備え、外部機器からダウンロードされて前記調査対象コンピュータ上で実行される調査ソフトウエアと、
前記調査対象コンピュータにダウンロードされる前記調査ソフトウエアを記憶するソフトウエア記憶手段と、
前記調査対象コンピュータの接続部と接続される記録装置側接続部を備えるソフトウエア記録装置とを備えるマルチトレースシステム。
【０００８】
（３）前記調査ソフトウエアは、データ抽出ステップで抽出したデータを前記表示手段に表示する表示ステップを更に備える上記（２）に記載のマルチトレースシステム。
【０００９】
（４）前記調査ソフトウエアは、データ抽出ステップで抽出したデータを前記調査対象コンピュータに接続された外部装置に記憶させる記憶ステップを更に備える上記（２）または（３）に記載のマルチトレースシステム。
【００１０】
（５）前記ソフトウエア記録装置は、データ抽出ステップで抽出されたデータを記憶する記憶領域を有し、
前記記憶ステップにおいて、抽出されたデータが前記ソフトウエア記録装置の記憶領域に記憶される上記（４）に記載のマルチトレースシステム。
【００１１】
（６）前記本体装置は、データ抽出ステップで抽出されたデータを記憶する抽出データ記憶手段を有し、
前記記憶ステップにおいて、抽出されたデータが前記抽出データ記憶手段に記憶される上記（４）に記載のマルチトレースシステム。
【００１２】
（７）前記本体装置は、前記調査ソフトウエアを記憶する元記憶手段と、
ソフトウエア記録装置を接続する第２接続部と、
前記第２接続部に接続された前記ソフトウエア記録装置の前記ソフトウエア記憶手段に、前記元記憶手段に記憶されている調査ソフトウエアをコピーするコピー手段とを備え、
前記ソフトウエア記録装置の前記ソフトウエア記憶手段は、前記本体装置の前記元記憶手段からコピーされた調査ソフトウエアが記憶されている上記（２）から（６）のいずれか１に記載のマルチトレースシステム。
【００１３】
（８）特定情報は、前記元記憶手段から前記ソフトウエア記憶手段に調査ソフトウエアをコピーする際に、ソフトウエア記録装置内のメモリに記録される上記（７）に記載のマルチトレースシステム。
【００１４】
（９）前記本体装置は、調査ソフトウエアをコピーした前記ソフトウエア記録装置の個別情報を、該ソフトウエア記録装置から取得する記録装置個別情報取得手段と、
取得した個別情報を記憶する記録装置個別情報記憶手段とを備える上記（７）又は（８）に記載のマルチトレースシステム。
【００１５】
（１０）前記調査ソフトウエアは、前記調査ソフトウエアが動作している前記調査対象コンピュータの固有識別情報を読み取る識別情報取得ステップと、該識別情報取得ステップによって読み取った固有識別情報を前記本体装置に送る識別情報送信ステップとを有し、
前記本体装置は、調査対象コンピュータから送られた固有識別情報を記憶する固有識別情報記憶手段を備える上記（２）から（９）のいずれか１に記載のマルチトレースシステム。
【００１６】
（１１）前記調査ソフトウエアは、前記調査対象コンピュータに接続されている前記ソフトウエア記録装置の固有識別情報を前記本体装置に送る記録装置識別情報送信ステップを有し、
前記本体装置は、前記調査対象コンピュータから送られたソフトウエア記録装置の固有識別情報を記憶する記録装置固有識別情報記憶手段を有する上記（１０）に記載のマルチトレースシステム。
【００１７】
（１２）前記本体装置は、固有識別情報記憶手段に記録されている調査対象コンピュータの固有識別情報と、該調査対象コンピュータに接続されているソフトウエア記録装置の固有識別情報とを関連付けて管理する管理手段を有する上記（１１）に記載のマルチトレースシステム。
【００１８】
（１３）前記調査ソフトウエアは、調査対象コンピュータで実行された回数をカウントする使用回数計算ステップと、
前記ソフトウエア記録装置に使用回数計算ステップで計算された使用回数を記録する使用回数記録ステップと、
ソフトウエア記録装置に記録されている使用回数に基づいて他のステップの実行を制限する実行制限ステップとを有する上記（２）〜（１２）のいずれか１に記載のマルチトレースシステム。
【００１９】
（１４）前記ソフトウエア記録装置は、個別に設けられた第１暗号化鍵情報を有し、
前記本体装置は、第１暗号化鍵情報に対して一義的に生成される第２暗号化鍵情報を生成する暗号化鍵情報生成手段と、
前記第１暗号化鍵情報と前記第２暗号化鍵情報とを関連づけて記憶する暗号化鍵情報記憶手段とを有し、
前記調査ソフトウエアは、接続されているソフトウエア記録装置から固有の暗号化鍵情報を読み取って本体装置に供給する暗号化鍵情報供給ステップと、
データ抽出ステップで抽出された抽出データの複製を作成する抽出データコピーステップと、
前記第２暗号化鍵情報生成手段から供給された第２暗号化鍵情報を受領する第２暗号化鍵情報受領ステップと、
第２暗号化鍵情報受領ステップで取得した第２暗号化鍵情報に基づいて、データ抽出ステップで抽出した抽出データ又は抽出データコピーステップで複製された抽出データの内一方を暗号化する抽出データ暗号化ステップと、
第２暗号化鍵情報受領ステップで取得した第２暗号化鍵情報を消去する第２暗号化鍵情報消去ステップと、
抽出データ暗号化ステップで暗号化された暗号化データを本体装置又はソフトウエア記録装置に記録する暗号化データ記録手段とを有する上記（２）〜（１３）のいずれか１に記載のマルチトレースシステム。
【００２０】
（１５）前記調査ソフトウエアは、本体装置又はソフトウエア記録装置に記録されている抽出データを取得する抽出データ取得ステップと、
本体装置又はソフトウエア記録装置に記録されている暗号化データ記録手段から暗号化データを取得する暗号化データ取得ステップと、
暗号化鍵情報記憶手段から第２暗号化鍵情報を取得する第２暗号化鍵情報取得ステップと、
第２暗号化鍵情報に基づいて暗号化データの暗号化を解除し、抽出データ取得ステップで取得した抽出データと同一性を判定する判定ステップとを備える上記（１４）に記載のマルチトレースシステム。
【００２１】
（１６）前記本体装置は、前記元記憶手段に記憶されている調査ソフトウエアのハッシュ値を記憶するハッシュ値記憶手段を有し、
前記調査ソフトウエアは、起動時において、自己のプログラムのハッシュ値を算出するハッシュ値算出ステップと、
前記本体装置のハッシュ値記憶手段からハッシュ値を取得するハッシュ値取得ステップと、
ハッシュ値取得ステップで取得したハッシュ値と、ハッシュ値算出ステップで算出したハッシュ値とを比較して、両者のハッシュ値が同一であるか判断するハッシュ値比較ステップと、
ハッシュ値比較ステップにおいてハッシュ値が同一でない場合には、調査ソフトウエアを実行させない制限ステップとを備える上記（７）に記載のマルチトレースシステム。
【００２２】
（１７）前記データ抽出ステップにおける予め設定された条件とは、調査対象コンピュータのファイル管理情報に基づいて決定される上記（２）から（１６）のいずれか１に記載のマルチトレースシステム。
【００２３】
（１８）前記データ抽出ステップにおける予め設定された条件とは、調査対象コンピュータの操作手段によって入力されたキーワードに基づいて決定される上記（２）から（１６）のいずれか１に記載のマルチトレースシステム。
【００２４】
（１９）前記データ抽出ステップにおける予め設定された条件とは、ファイルにアクセスされた時刻データに基づいて決定される上記（２）から（１６）のいずれか１に記載のマルチトレースシステム。
【発明の効果】
【００２５】
請求項１に記載の発明によれば、情報処理装置に格納されているデータ情報から所要データを選択、抽出したものを、所定の記録媒体に格納し、必要とされる情報を選択指定できるので、データ情報の概要の把握が容易となる。
【００２６】
請求項２に記載の発明によれば、記録装置接続部に接続されたソフトウエア記録装置から調査ソフトウエアをダウンロードした調査対象コンピュータに対して、該コンピュータの有する操作手段や表示手段を介して、調査ソフトウエアが操作されることで、記憶手段に記憶されているデータに対し、予め設定された条件に基づいてデータ抽出が行われる。データ抽出を開始するに先立って、調査対象コンピュータに接続されている本体装置から取得した特定情報から、本体装置が調査対象コンピュータに接続されているか否かを判断する。本体装置が接続されている場合には、実行制限が解除され、調査ソフトウエアが実質的に実行される。制限解除は、本体装置が接続されていることが条件となるので、調査ソフトウエアのみを不正コピーし、多数のソフトウエア記録装置を作成して、同時に使用することが抑制される。また、実行制限の解除時のみ本体装置の接続が条件とされるので、解除後は本体装置の接続解除し、他の調査対象コンピュータに順に接続していくことができるため、多数のソフトウエア記録装置を使用すれば、多数のコンピュータについて、一括して調査ソフトウエアを実行させることができる。調査対象コンピュータの有するアプリケーションソフトを利用しないので、調査対象コンピュータの記録内容の改変を抑制しつつ、記録内容の調査が可能となる。
【００２７】
請求項３に記載の発明によれば、データ抽出ステップで抽出されたデータを表示手段に表示することによって、記憶手段に記憶されていたデータの概要を容易に把握することができる。
請求項４に記載の発明によれば、データ抽出ステップで抽出されたデータを外部記録装置に記憶させるので、他のコンピュータ等に該外部記録装置を接続することによって、記憶されたデータを任意の場所、任意の時刻に確認することができる。
【００２８】
請求項５に記載の発明によれば、ソフトウエア記録装置に、データ抽出ステップで抽出されたデータを記憶する記憶領域を設けることで、外部記録装置を別個に用意する必要がなく、システム構成を簡易とできる。
請求項６に記載の発明によれば、本体装置に、データ抽出ステップで抽出されたデータを記憶するデータ記憶手段を設けることで、別に外部記録装置を用意する必要がなく、システム構成を簡易とできる。
【００２９】
請求項７に記載の発明によれば、本体装置の元記憶手段に調査ソフトウエアが記憶され、第２接続部に接続されたソフトウエア記録装置に、調査作業を開始する直前に、調査ソフトウエアをコピーする構成とすることによって、調査ソフトウエアの不正コピーなどを抑制でき、調査ソフトウエアの管理が容易となる。
請求項８に記載の発明によれば、元記憶手段からソフトウエア記憶手段に調査ソフトウエアをコピーする際に、特定情報をソフトウエア記録装置内のメモリに記録する構成とすることによって、特定情報をコピーする作業が省略でき、作業の効率化を図ることができる。また、調査ソフトウエアと特定情報が一対としてコピーされるので、特定情報によって調査ソフトウエアの不正使用を確実に規制できる。
【００３０】
請求項９に記載の発明によれば、本体装置は、調査ソフトウエアをコピーしたソフトウエア記録装置の個別情報を取得し、これを記憶するので、調査ソフトウエアを記憶したソフトウエア記録装置を個別に管理することが可能となる。
請求項１０に記載の発明によれば、調査ソフトウエアが動作している調査対象コンピュータの固有識別情報を本体装置の固有識別情報記憶手段に記憶することによって、調査対象コンピュータ毎に調査結果の管理をすることが可能となる。
【００３１】
請求項１１に記載の発明によれば、さらに調査ソフトウエアに接続されているソフトウエア記録装置の固有識別情報を本体装置に記憶することによって、ソフトウエア記録装置の管理を容易とすることができる。
請求項１２に記載の発明によれば、調査対象コンピュータの固有識別情報と、該コンピュータに接続されているソフトウエア記録装置の固有識別情報とを関連付けて管理するので、本体装置において、調査結果、調査対象コンピュータ、ソフトウエア記録装置についての関連した情報の管理が可能となる。
【００３２】
請求項１３に記載の発明によれば、調査ソフトウエアには、使用回数制限が課せられるため、調査ソフトウエアの不正使用が抑制される。
請求項１４に記載の発明によれば、抽出データは、ソフトウエア記録装置の固有の暗号化鍵情報から一義的に生成される暗号化鍵情報に基づいて、暗号化し、抽出データを秘匿化できる。特に、ソフトウエア記録装置は第２暗号化鍵情報を有さないので、該装置に記録された秘匿化抽出データは、本体装置以外の装置で秘匿化を解除することはできず、秘匿性を確実にすることができる。
【００３３】
請求項１５に記載の発明によれば、本体装置又はソフトウエア記録装置において、暗号化されずに記録されていた抽出データに対して、暗号化された同じデータを解除したものと比較し、同一のデータであるか判定する判定ステップを有するため、抽出データが改ざん又は毀損されているか否かを知ることができる。
請求項１６に記載の発明によれば、元記憶手段に記憶されている調査ソフトウエアのハッシュ値と、実行前の調査ソフトウエアのハッシュ値を比較し、ハッシュ値が異なる場合に、調査ソフトウエアの実行を制限することで、プログラムに支障のある調査ソフトウエアの作動を未然に抑制することができる。
【００３４】
請求項１７に記載の発明によれば、調査対象コンピュータのファイル管理情報に基づいて、データ抽出ステップにおける抽出条件が決定されるので、ファイル抽出処理が容易となる。
請求項１８に記載の発明によれば、キーワードに基づいてデータ抽出処理が行われるので、汎用性のある抽出処理が可能となる。
請求項１９に記載の発明によれば、時刻データに基づいて抽出処理が行われるので、アクセスした期間を限定した抽出処理をすることができる。
【図面の簡単な説明】
【００３５】
【図１】本発明のマルチトレースシステム１の使用状態を示す外観図である。
【図２】本体装置の電子回路構成を示すブロック図である。
【図３】調査プログラムが起動するコンピュータの構成を示すブロック図である。
【図４】本体装置における調査ソフトウエアのコピー処理を示すフローチャートである。
【図５】調査対象コンピュータ上で動作する調査ソフトウエアの処理を示すフローチャートである。
【図６】実行制限ルーチンの処理を示すフローチャートである。
【図７】トレースルーチンの処理を示すフローチャートである。
【図８】表示画面の構成を示す平面図である。
【図９】表示領域の表示内容を示す平面図である。
【図１０】表示領域の表示内容を示す平面図である。
【図１１】表示領域の表示内容を示す平面図である。
【図１２】表示領域の表示内容を示す平面図である。
【図１３】表示領域の表示内容を示す平面図である。
【図１４】表示領域の表示内容を示す平面図である。
【図１５】表示領域の表示内容を示す平面図である。
【図１６】表示領域の表示内容を示す平面図である。
【図１７】表示領域の表示内容を示す平面図である。
【図１８】表示領域の表示内容を示す平面図である。
【図１９】表示領域の表示内容を示す平面図である。
【図２０】データ保存ルーチンの処理を示すフローチャートである。
【図２１】データ判定ルーチンの処理を示すフローチャートである。
【発明を実施するための形態】
【００３６】
本発明のマルチトレースシステムについて詳説する。図１は、本発明のマルチトレースシステム１の使用状態を示す外観図である。マルチトレースシステム０は、本体装置１０と、ソフトウエア記録装置２０とを有している。本体装置１０は、電子回路を内蔵するカバン型のケース１１を備え、ケース１１は、電子回路が内蔵されているケース本体１１ｂと、ケース本体１１ｂの開口部１１１ｂに開閉自在に取り付けられた蓋体１１ａを備えている。ケース本体１１ｂの開口部１１１ｂには、内蔵された電子回路の複数の接続端子Ｔａｈ１〜３、Ｔａｕ１〜５、表示部１５及び操作部１６が配置されており、これら接続端子等は、蓋体１１ａを閉じることによって、衝撃、水、塵等から保護される構成となっている。なお、蓋体１１ａの内側には、後述するような調査ソフトウエアを駆動させることができるパーソナルコンピュータが格納されている。
【００３７】
図２は、本体装置１０の電子回路構成を示すブロック図である。この本体装置１０は、中央処理装置であるＣＰＵ（Central Processing Unit）を有する制御部１２と、ハードディスクドライブ装置ＨＤＤａ〜ＨＤＤｃを接続するインターフェースを備えたＨＤＤ接続部ａ〜ｃと、外部機器を接続する接続部Ｕ1〜５、表示部１５と、操作部１６と、を備えている。ＨＤＤ接続部ａには、ハードディスクドライブ装置を接続するための接続端子Ｔａｈ１が、ＨＤＤ接続部ｂには、ハードディスクドライブ装置を接続するための接続端子Ｔａｈ２が、ＨＤＤ接続部ｃには、ハードディスクドライブ装置を接続するための接続端子Ｔａｈ３がそれぞれ設けられている。また、接続部Ｕ１には接続端子Ｔａｕ１が、接続部Ｕ２には接続端子Ｔａｕ２が、接続部Ｕ３には接続端子Ｔａｕ３が、接続部Ｕ４には接続端子Ｔａｕ４が、接続部Ｕ５には接続端子Ｔａｕ５がそれぞれ設けられている。
【００３８】
制御部１２は、メモリ１３と、ＣＰＵ１２１と、ワーキングエリアとしてのメモリ１２３を備えている。ＣＰＵ１２１は、所望のコマンドを、ハードディスクドライブ装置等の接続されている装置に供給するとともに、ハードディスクドライブ装置等から供給されたデータをメモリ１３に格納する等の処理を行う。制御部１２には、表示部１５と、操作部１６とが接続されている。表示部１５は、例えば、ディスプレイ画面などの表示画面で構成され、操作の指示表示、本体装置１０の状態を表示する状態表示（例えば、エラー表示等）等を視覚情報として出力する。これらの表示の構成は、液晶などのディスプレイ画面により表示する構成の他、ランプのオンオフやランプの色の変化などにより表示する構成などが用いられる。
【００３９】
また、操作部１６は、電源スイッチ、モード選択スイッチ、操作開始スイッチ、リセットスイッチ等により構成されている。操作部１６において選択された操作内容は、操作信号として制御部１２に供給される。メモリ１３は、ランダムアクセスメモリ（ＲＡＭ）であり、ＣＰＵで制御部１２から供給された複写元ハードディスクドライブ装置から読み取ったデータを、複写先ハードディスクドライブ装置へ書き込むために一時保存するために用いられ、或いは、調査ソフトウエアによる調査結果（抽出データ）を記録するめたに用いられ、本体装置の特定情報、ソフトウエア記録装置の固有識別情報、調査対象パーソナルコンピュータの固有識別情報、第１暗号化鍵情報及び第２暗号化鍵情報、調査ソフトウエアのハッシュ値、暗号化された抽出データ等を記録する。
【００４０】
ＨＤＤ接続部ａ〜ｃは、インターフェースを介して接続されたハードディスクドライブ装置ＨＤＤａ〜ｃの駆動を制御する。例えば、複写元ハードディスクドライブ装置又は複写先ハードディスクドライブ装置の接続の有無の確認、記録開始の指令、記録終了の確認、記録動作のエラーの認識、等である。これらの制御動作は、制御部１２からの指令信号に基づき開始される。また、ＨＤＤ接続部ａ〜ｃで認識した各ハードディスクドライブ装置からの信号は、制御部１２へ供給される。
【００４１】
さらに、制御部１２には、接続部Ｕ１〜Ｕ５が接続されている。本実施形態の装置では、各接続部Ｕ１〜Ｕ５には、ユニバーサル・シリアル・バス規格の接続端子Ｔａｕ1〜Ｔａｕ５が設けられている。これらの接続端子は、ＵＳＢ端子に限られず、ＬＡＮケーブル用接続端子等の他の端子であってもよい。この接続端子Ｕ１〜Ｕ５には、後述するソフトウエア記録装置２０が接続され、或いは、調査対象パーソナルコンピュータＰＣが接続される。
【００４２】
図１に示されているように、本体装置１の接続端子Ｔａｕ1〜Ｔａｕ５のいずれかには、ソフトウエア記録装置２０が接続され、本体装置１からソフトウエア記録装置２０へ調査ソフトウエアが書き込まれる。ソフトウエア記録装置２０は、本体装置１に対して複数個（１個〜ｎ個）用意することができ、複数の調査対象コンピュータＰＣ１〜ＰＣｎに対して、それぞれソフトウエア記録装置２０−１〜ｎを接続し、同時にデータのトレースを行うことを可能とする。
【００４３】
ソフトウエア記録装置２０は、ＵＳＢ端子、ＵＳＢコントローラ、フラッシュメモリ、水晶振動子等を備えている。前記フラッシュメモリには、調査ソフトウエア、特定情報、シリアル番号等の記録装置個別情報、暗号化された抽出データ、第１の暗号化鍵情報等が記録される。ＵＳＢコントローラは、供給されたコマンドに基づいて、フラッシュメモリからのデータの読み出し、書き込みを行う。
【００４４】
本発明のマルチトレースシステムによって調査対象となるコンピュータは、次のような構成を有するものである。図３は、調査対象となるコンピュータの構成を示すブロック図である。調査対象とされるコンピュータＰＣは、中央処理装置であるＣＰＵ（Central Processing Unit）３１及びワーキングエリアとしての主記録装置であるメインメモリ３２を備えたマザーボート３０と、キーボードやポインテイングディバイスで構成された操作入力装置３４と、例えば、液晶ディスプレイで構成された出力装置３５と、ハードディスクドライブ装置やソリッドステートドライブ（ＳＳＤ）で構成された補助記録装置３３とを備えている。補助記録装置３３には、オペレーションシステムやアプリケーションシステム及びファイル管理システムや、各アプリケーションシステムに対応したデータが記憶されている。
【００４５】
コンピュータＰＣは、さらに複数の接続部Ｔａｐ１〜Ｔａｐ３を備え、これらの接続部にはユニバーサル・シリアル・バス規格の接続端子が設けられている。このような接続部Ｔａｐ１〜Ｔａｐ３を介して、ハードディクスドライブ装置などの外部記録装置や、プリンタなどの出力装置、スキャナーなどの入力装置が接続される。本体装置１０およびソフトウエア記録装置２０に設けられている接続端子は、調査対象コンピュータＰＣに接続する必要があることから、調査対象コンピュータＰＣが有する接続端子に接続できる接続端子を備えている必要がある。
【００４６】
コンピュータＰＣにおいて、アプリケーションソウトを起動する場合には、オペレーションシステムを起動させた後、更にアプリケーションソフトをメインメモリ３２に書き込んだ後、実行される。メインメモリ３２に書き込まれるアプリケーションソフトは、補助記録装置３３に記録されているものに限らず、接続部Ｔａｐ１〜Ｔａｐ３に接続された外部記録装置から読み出したアプリケーションソフトをメインメモリ３２に書き込んだ後、実行することもできる。
【００４７】
以上のような構成において、本発明のマルチトレースシステム１の動作について説明する。調査対象コンピュータの調査を開始する前に、本体装置１０からソフトウエア記録装置２０へ調査ソフトウエアをコピーする。図１に示されている通り、本体装置２０の接続端子Ｔａｕ１にソフトウエア記録装置２０-ｎを接続する。そして、本体装置１０では、調査ソフトウエアのコピー処理が行われる。
【００４８】
図４は、調査ソフトウエアのコピー処理を示すフローチャートである。ソフトウエア記録装置２０-ｎの接続が確認された（ステップＳ１０１）後、メモリ１３から特定情報を取得する（ステップＳ１０３）。特定情報とは、調査ソフトウエアがコンピュータＰＣ上で起動する際に、本体装置１０が接続されていることを確認するために設定された情報であり、他の装置に区別することのできる識別情報である。特定情報としては、本体装置１０に内蔵されているＣＰＵのシリアル番号や、本体装置の製造者が設定した識別情報などである。
【００４９】
取得された特定情報は、ソフトウエア記録装置２０-ｎに供給される（ステップＳ１０５）。ソフトウエア記録装置２０-ｎでは、供給された特定情報をフラッシュメモリの所定の領域に記録する。次に、メモリ１３から調査ソフトウエアを取得し（ステップＳ１０７）、ソフトウエア記録装置２０-ｎに調査ソフトウエアを供給する（ステップＳ１０９）。ソフトウエア記録装置２０-ｎでは、供給された調査ソフトウエアをフラッシュメモリの所定の領域に記録する。
【００５０】
次に、ソフトウエア記録装置２０-ｎから固有識別情報としてシリアル番号を取得し（ステップＳ１１１）、取得したシリアル番号をメモリ１３に書き込む（ステップＳ１１３）。ソフトウエア記録装置となるＵＳＢフラッシュメモリを複数用意し、以上のようなコピー作業を各ＵＳＢフラッシュメモリに行う。このようにして、調査対象コンピュータの数と同じ数のソフトウエア記録装置を作成する。
【００５１】
調査ソフトウエアの処理動作について説明する。図５は、調査ソウトウエアーの操作手順と処理を示すフローチャートである。調査対象コンピュータＰＣにおいて、オペーティンクシステムを起動させた状態で、本体装置１０を接続部Ｔａｐ２に接続し(ステップＳ２０１)、ソフトウエア記録装置２０を接続部Ｔａｐ３に接続する(ステップＳ２０３)。
【００５２】
ソフトウエア記録装置２０であるＵＳＢフラッシュメモリのウィンドを開き、ウィンド内に表示された調査ソフトウエアのアイコンをクリックすることによって、起動する(ステップＳ２０５)。この操作によって、調査ソフトウエアがソフトウエア記録装置２０からメインメモリ３２にコピーされる(ステップＳ２０７)。調査ソフトウエアが起動すると、最初に実行制限ルーチン(ステップＳ２０９)が実行される。この実行制限ルーチンは、調査ソフトウエアの実質的な動作を制限するルーチンであり、所定の条件を満たした場合のみ調査ソフトウエアの実質的な動作を許容するものである。所定の条件とは、調査対象コンピュータＰＣに、本体装置１０が接続されていることが確認できることである。この条件は、処理開始の条件であり、処理が開始されたのちは、本体装置１０の接続が解除されていてもよい。
【００５３】
このような実行制限ルーチンにおいて処理開始が許可されたのち、実質的な処理ルーチンであるトレースルーチン(ステップＳ２１１)が実行される。このトレースルーチンでは、調査対象コンピュータＰＣのオペーレーティングシステムが有するファイル管理情報を読み出し、読み出した情報から予め設定されている検索条件に基づいて所望の情を報抽出する。予め設定されている検索条件とは、操作入力装置３４から入力されたキーワード、或いはファイルにアクセスされた時刻などに基づき抽出される。
【００５４】
以上のようなトレースルーチン（ステップＳ２１１）で抽出された抽出データは、データ保存ルーチン(ステップＳ２１３)で所定のメモリへ記録される。この際、抽出データの改竄等を防止するため、抽出データのコピーを取っておき、コピーされたデータ、又は元データの一方を暗号化する処理を行う。特に、ソフトウエア記録装置２０は、単体で持ち運びでき、また小型であるため、記録データの改竄や、装置自体を紛失する恐れがあるため、記録するデータを暗号化することが望まれる。また、データ内容が改竄され、或いは装置の不調等によりデータが毀損された場合には、バックアップとして暗号化されたデータが保管されていれば、容易にデータの復旧が可能となる。
【００５５】
図６に示されているフローチャートに基づいて実行制限処理について説明する。調査ソフトウエアは、起動後、ソフトウエア記録装置２０の使用回数Ｎが所定値Ｍを超えたか否か判断する（ステップＳ３０１）。この所定値は、調査ソフトウエアの不正使用を抑制するために予め定められた値であり、使用回数を制限する値である。このような使用制限は、使用回数ではなく、使用期間で設定してあってもよい。例えば、使用開始日より３０日経過するまでに使用可能とするなどである。この場合の日数計算は、ＵＳＢコントローラに内蔵されている時刻計算手段で計算することができる。
【００５６】
ステップＳ３０１で所定値Ｍを超えている場合には、実行不能表示を行う（ステップＳ３１１）。所定値Ｍを超えていない場合には、使用回数Ｎをインクリメントし（ステップＳ３０３）、特定情報を本体装置１０から取得する（ステップＳ３０５）。調査ソフトウエアが保持している特定情報と、ステップＳ３０５で取得した特定情報とを比較し、両者が同一か否か判断する（ステップＳ３０７）。同一でない場合には、実行不能表示する（ステップＳ３１１）。
【００５７】
同一である場合には、以降のトレースルーチンＳ２１１の実行を許可する。このような構成とすることによって、ソフトウエア記録装置２０を使用する場合には、本体装置１０の接続が必須となり、ソフトウエア記録装置２０単独での使用が防止される。ソフトウエア記録装置２０に記録されている調査ソフトウエアを、他のＵＳＢフラッシュメモリにコピーすることで、ソフトウエア記録装置２０の複製を容易に作ることができるが、本体装置１０の接続を実行の際の条件とすることで、実質的に複製の使用を不可することが可能となり、複数個作成したソフトウエア記録装置２０−１〜ｎの管理が容易となる。
【００５８】
ここで、特定情報としては、本体装置１０のシリアル番号等の固有識別情報や、予め特定情報として設定されたキーワード、本体装置１０のメモリ１３に記録されているソフトウエア記録装置２０のシリアル番号等があげられる。この他、本体装置１０のメモリ１３に調査ソフトウエアのハッシュ値をあらかじめ記憶しておき、ステップＳ３０４で、調査ソフトウエアのハッシュ値を算出し、ステップＳ３０５で、本体装置１０から記憶されているハッシュ値を取得し、ステップＳ３０７でステップＳ３０４のハッシュ値とステップＳ３０５のハッシュ値を比較して、同一の場合にはリターンし、同一でない場合には実行不能表示をする（ステップＳ３１１）構成としてもよい。この場合、ソフトウエア記録装置２０の記録されている調査ソフトウエアが改竄されているか否かを確認できるといった効果も得ることができる。
【００５９】
続いて、図７に示されているフローチャートに基づいて、トレースルーチン（ステップＳ２１１）について説明する。実行制限ルーチンＳ２０９で実行制限が解かれた後、調査対象コンピュータＰＣの固有識別情報を取得し（ステップＳ４０１）、更に、ソフトウエア記録装置２０の固有識別情報を取得し（ステップＳ４０３）、これらの情報を本体装置１０へ供給する（ステップＳ４０５）。本体装置１０では、調査対象コンピュータＰＣの固有識別情報と、該コンピュータＰＣに接続されたソフトウエア記録装置２０の固有識別情報を関連付けてメモリ１３に記録する。この時点で、本体装置１０は、調査対象コンピュータＰＣとの接続を解除してもよい。
【００６０】
起動時においてのみ本体装置１０の接続を必要とし、その後の調査作業においては、本体装置１０の接続は必ずしも必要ない。このように構成することによって、複数の調査対象コンピュータＰＣ−１〜ｎに対して、ソフトウエア記録装置２０−１〜ｎをそれぞれ接続し、１つの本体装置１０を順に接続して起動していけば、複数の調査対象コンピュータＰＣ−１〜ｎに対して、調査ソフトウエアを用いた調査を同時に行うことが可能となる。
【００６１】
調査対象コンピュータのオペレーションシステムにおいて作成されたファイル管理情報を取得する（ステップＳ４０７）。取得した管理情報に基づいて、画面に表示するデータを抽出整理し（ステップＳ４０９）、画面データを作成する（ステップＳ４１１）。作成された画面データは、表示部３５に表示される(ステップＳ４１２)。
【００６２】
図８〜図１８は、表示部３５に表示された画面の構成例を示すものである。図８に示されているように、トップ画面では、タイトルバー５１ｔの下側に、ツールバー５２ｍが表示され、その下側に、調査対象となる記録装置に記録されているデータの概要が表示される表示領域５３が設けられている。ツールバー５２ｍには、検索ボタン５２１、データ格納指示領域５２ｓ、件名表示領域５２ａ等が設けられている。データ格納指示領域５２ｓには、データ格納先を指示する格納先入力用のテキストボックス５２２、格納実行を指示する実行ボタン５２３が設けられている。テキストボックス５２ｓにおいて、本体装置１０又はソフトウエア記録装置２０のいずれかを指定して、抽出データを記憶させることができる。
【００６３】
表示領域５３に表示されるデータは予め複数の種類に区分けされ、区分けされたデータの種類毎に、表示領域が切り替わる構成となっており、表示領域の上端部には、タブ表示５３ｂが設けられ、区分けされたデータの種類の名称が各タグに分けて表示されている。このタブを選択することによって、表示領域５３に表示される概要データの種類が切り替わる。この区分けされるデータの種類は、「概要」、「システム」、「ファイル」、「削除ファイル」、「ソフト」、「ＷＥＶ」、「メール」、「ログオン」、「デバイス」、「時刻表示」等である。
【００６４】
「概要」には、詳細内容の集計、要約情報が含まれる。「システム」には、ＯＳ、ユーザー、コンピュータ等の詳細情報が含まれる。「ファイル」には、ファイル名、ファイルのサイズ、作成日等の詳細情報が含まれる。「削除ファイル」には、削除したファイルのファイル名、削除した日時時刻等の詳細情報が含まれる。「ソフト」には、調査対象コンピュータＰＣにインストールされているアプリケーションソフトの詳細情報が含まれる。「ＷＥＢ」には、アクセスしたページのＵＲＬなどのＷＥＢ閲覧の詳細情報が含まれる。「メール」には、送受信したメールのタイトル、日時等の詳細情報が含まれる。「ログオン」には、ユーザー情報・ログオン日時の詳細情報が含まれる。「デバイス」には、デバイス名、デバイスＩＤ等の詳細情報が含まれる。「時刻表示」には、記録されている時刻情報に基づいて抽出された情報が、時系列で表示される。
【００６５】
「概要」のタブをクリックすると、図９に示されているように、表示領域内に項目、名称、バージョン/ユーザ、カウント／シリアル、日付、備考等が表形式で表示される。具体的には、例えば、項目にはＯＳ、Ｕｓｅｒ、Ｃｏｍｐｕｔｅｒ、Ｍａｉｌなどが列挙され、ＯＳの項目に対応する名称として、Ｗｉｎｄｏｗｓ７などの記載が、表形式で表示される。
【００６６】
「システム」のタブをクリックすると、図１０に示されているように、表示領域内に項目、分類／サービス、状態／名称、備考／ステータス等が表示される。具体例としては、例えば、分類／サービスの項目には、ＯＳＩｎｆｏｒｍａｔｉｏｎと記載され、それに対応する状態／名称の項目には、Ｗｉｎｄｏｗｓ７などの記載が、また備考／ステータスの項目にはＡＭＤ  Ｖｅｒ６．１．７６０１  Service Pack 1などの詳細が、表形式で表示される。
【００６７】
「ファイル」のタブをクリックすると、図１１に示されているように、表示領域内にファイル名、サイズ、作成日、更新日、ＭＤ５,ＳＨＡ２５６などの各種ハッシュ値、フルパス等が表示される。具体例としは、例えば、ファイル名の項目には、ｄｅｓｋｔｏｐ．ｉｎｉと記載され、サイズの項目には１２９と記載され、作成日の項目には２０１４／０６／２７  １０：０２：０３と記載され、更新日の項目には２０１４／０６／２７  １０：０２：０３と記載され、ＭＤ５,ＳＨＡ２５６の各項目には、ハッシュ値 Ａ５２６Ｂ９Ｅ７Ｃ７１６Ｂ３４８などの各種ハッシュ値が記載され、フルパスの項目にはＨ：￥＄ＲＥＣＹＣＬＥ.・・・等が表形式で表示される。
【００６８】
「削除ファイル」のタブをクリックすると、図１２に示されているように、表示領域内にボリューム、ファイル名、サイズ、作成日、更新日、削除日、ＬＢＡ等が表示される。具体例としは、例えば、ボリュームの項目には、￥￥.￥Ｈ：と記載され、ファイル名の項目には、ＭｏｕｎｔＵＳＢ.ｖｂｓ.ｌｎｋと記載され、サイズの項目には５５４（２２Ａｈ）と記載され、作成日の項目には２０１４／０７／２４  １７：１９：０８と記載され、更新日の項目には２０１４／０８／１８  １１：３９：１４と記載され、削除日の項目には２０１４／０８／１８  １１：３９：１４と記載され、ＬＢＡの項目には、０００００２９８２０４Ｅｈと記載され、表形式で表示される。
【００６９】
「ソフト」のタブをクリックすると、図１３に示されているように、表示領域内にソフトウエア、バージョン、メーカー／タイプ、日付、インストールパス/ コマンドライン等が表示される。具体例としは、例えば、ソフトウエアの項目には、Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ Ｖｉｓｕａｌ Ｗｅｂ Ｄｅｖｅｌｏｐｅｒ ２００７と記載され、バージョンの項目には、０と記載され、メーカー／タイプの項目にはＭｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎと記載され、日付の項目には２０１４０６１２と記載され、インストールパス/ コマンドラインの項目にはＣ：￥Ｐｒｏｇｒａｍ  Ｆｉｌｅｓ（×８６）￥Ｍｉｃｒｏｓｏｆｔ  Ｏｆｆｉｃｅ￥と記載され、表形式で表示される。
【００７０】
「ＷＥＢ」のタブをクリックすると、図１４に示されているように、表示領域内にＵＲＬ、日付/ 時間、ユーザ、ブラウザ等が表示される。具体例としは、例えば、ＵＲＬの項目には、ｈｔｔｐｓ：//ｗｍｚａｑｎｅ.ｊｐ/ｄｏ/ｍａｉｌ/ｍｅｓｓａｇｅ/ｖｉｅｗ？ｍｓｇＩｄ=ＪｕｎｋDELIM1442&l=ja-JP&v=zaqと記載され、日付/ 時間の項目には、２０１４/０９/１７ ３２：１６：５２と記載され、ユーザの項目には、使用者名が記載され、ブラウザの項目にはＩＥ １１．０と記載され、表形式で表示される。
【００７１】
「メール」のタブをクリックすると、図１５に示されているように、表示領域内に項目、送信者、日付、タイトル、データ等が表示される。具体例としは、例えば、項目の欄には、ＭａｉｌＵｓｅｒ［１］、Ｍａｉｌｅｒ、ＳｔｏｒｅＰａｔｈ、Ｆｏｌｄｅｒと記載され、送信者の項目には、送信元の名称（氏名）、発信元の名称（氏名）と記載され、日付の項目には、送信日或いは受信日が記載され、タイトルの項目には、メールの件名が記載され、データの項目にはメールや添付ファイルの格納先を示すアドレスが記載され、表形式で表示される。
【００７２】
「ログオン」のタブをクリックすると、図１６に示されているように、表示領域内にＩＤ、イベント、日時、ユーザ、ＳＩＤ、備考等といった項目が表示される。具体例としは、例えば、ＩＤの欄には、ＩＤ番号が記載され、イベントの項目には、ＬＯＧＯＮ又はＬＯＧＯＦＦと記載され、日時の項目には、ＬＯＧＯＮ又はＬＯＧＯＦＦされた日時が記載され、ユーザの項目には、ＩＤの項目で記載されたＩＤ番号が付されたユーザ名が記載され、ＳＩＤの項目にはセキュリティ識別子が記載され、表形式で表示される。
【００７３】
「デバイス」のタブをクリックすると、図１７に示されているように、表示領域内にカテゴリ、デバイスＩＤ、名称、シリアル、インストール、最終使用、備考等といった項目が表示される。具体例としは、例えば、カテゴリの欄には、ＵＳＢＳＴＯＲが記載され、デバイスＩＤの項目には、Ｄｉｓｋ＆Ｖｅｎ＿Ｈｉｔａｃｈｉ＆Ｐｒｏｄ＿ＨＴＳ７２３２２５Ｌ９Ａ３６０＆Ｒｅ・・・と記載され、名称の項目には、シリアルの項目には、デバイスのシリアル番号が記載され、インストールの項目にはインストールされた日時（２０１４/０８/１９ １１：１６：５９）が記載され、最終使用の項目には、最後に使用された日時（２０１４/０９/１２ ０８：１１：４７）が記載され、表形式で表示される。
【００７４】
「時刻表示」のタブをクリックすると、図１８に示されているように、表示領域内にグラフが表示される。このグラフは、横軸を時間軸、縦軸をタブで分類されている項目を配置した軸とされている。項目軸に表示される項目は、表示領域の上部に配置されているチェックボックスにチェックを入れることで、適宜選択できる構成となっており、この実施形態では、「ファイル」「削除ファイル」「ＷＥＢ」の項目が選択されており、グラフ上には、各項目における日時に関するデータに基づいて、横軸上にプロットされている。このように、時系列に沿った分布を、ＸＹ平面（直交する２軸で位置規定される平面）上に表示することによって、データの概要を、視覚を介して直感的に把握することができる。
【００７５】
次にツールバー５２ｍの中央部に配置された検索ボタン５２１を押すと、図１９に示されているような検索ウィンド５４が表示される。この検索ウィンド５４は、表示領域５３に表示されているデータの中から、キーワード検索をするための検索条件を入力するウィンドである。検索ウィンド５４内には、キーワードを入力するためのテキストボックス５４１、項目を指定することで検索場所を指定するリストボックス５４２、ファイルの種類をしているリストボックス５４５、時間的な検索条件を指定する時間的条件入力領域５４４、ファイルのサイズを検索条件として指定するサイズ入力ボックス５４３、実行ボタン５４６が設けられている。
【００７６】
リストボックス５４２に表示されるリストは、図示の例では、削除ファイルが表示された画面における検索であるから、ボリューム、ファイル名、サイズ、作成日、更新日、削除日、ＬＢＡがリストボックス５４２においてリストに挙げられる。
以上のような検索ウィンド５４内で入力された検索条件によって検索指示された場合には（ステップＳ４１３）、検索条件に基づく抽出処理を行い（ステップＳ４１５）、抽出されたデータは、表示領域５３に表示される（ステップＳ４１７）。
以上の通り、タブ５３ｂの名称で表示される項目と、各タブで指定された表示領域において表示される項目が、最初に抽出される概要データとしての抽出データであり、さらにこの抽出データの中から、キーワードやファイルサイズ、時刻指定等によって絞られた抽出データが作成される。
【００７７】
検索ウィンド５４を介して入力された検索条件に基づく検索処理結果は、データ格納指示領域５２ｓにおいて、格納先を指定して保存することができる。各タブに対応する表示領域に表示されたデータ毎に、データの保存をすることができる。
以下、データ保存ルーチンについて、図２０に示されているフローチャートに基づいて説明する。データ格納指示領域５２ｓにおいて、格納先を指定して実行された場合には（ステップＳ５０１）、その際表示領域５３に表示されているデータを、コピーして複製を作成する（ステップＳ５０３）。ソフトウエア記録装置２０から、該ソフトウエア記録装置２０について個別に設定された暗号化情報を、第１の暗号化情報として取得する（ステップＳ５０５）。この暗号化情報は、各ソフトウエア記録装置２０が個別に有する固有の情報であり、予め暗号化情報として設定された情報をフラッシュメモリに記録されたものである。この暗号化情報は、装置固有のシリアル番号を暗号化情報として用いてもよい。
【００７８】
取得した第１の暗号化情報を、本体装置１０へ供給する（ステップＳ５０７）。本体装置１０では、供給された第１の暗号化情報に基づいて、第２の暗号化情報を生成する。この第２の暗号化情報は、元となる第１の暗号化情報に対して一意的に決められるものである。
【００７９】
本体装置１０から第２の暗号化情報を取得し（ステップＳ５０９）、ステップＳ５０３でコピーした抽出データ又は、コピーの元なった抽出データの内の一方について、第２の暗号化情報に基づいた暗号化を行う（ステップＳ５１１）。  そして、暗号化された抽出データを本体装置１０とソフトウエア記録装置２０の一方に供給し、暗号化されていない抽出データを他方に供給する（ステップＳ５１３）。暗号化された抽出データは、本体装置１０ではメモリ１３に記録され、ソフトウエア記録装置２０では、フラッシュメモリに記憶される。
【００８０】
ソフトウエア記録装置２０と本体装置１０とからそれぞれ取得した第１の暗号化情報及び第２の暗号化情報を消去する（ステップＳ５１５）。これにより、暗号化された抽出データの、暗号化の解除に必要なデータは、調査対象コンピュータＰＣから削除される。これにより暗号化された抽出データの秘匿化が担保される。なお、ステップＳ５０１で、格納指示がなくとも、ステップＳ４０９で画面表示情報が作成された段階で、表示情報（図９〜図１８で表示領域に表示された情報）を自動的にコピーし、本体装置１０とソフトウエア記録装置２０にそれぞれ供給する構成としてもよい。
【００８１】
以上のように暗号化された抽出データが、ソフトウエア記録装置２０又は本体装置１０に記録されているので、他方の暗号化されていない抽出データが毀損又は改竄された場合、暗号化を解除した抽出データの照合することで、毀損又は改竄されたことを判定することができるとともに、毀損又は改竄された個所を、特定し、かつ修復することが可能となる。
【００８２】
特に、小型のソフトウエア記録装置２０は可搬性があり、また読み出しや書き込みが容易であるため、ソフトウエア記録装置２０に暗号化された抽出データを供給することで、データの保護を確保することができる。また、ソフトウエア記録装置２０に暗号化されていない抽出データを記録した場合には、暗号化されている抽出データが本体装置１０側に確保されているので、その暗号化データと比較することで、ソフトウエア記録装置２０に記憶されている抽出データに関するデータ毀損・改竄の有無を容易に判定できる。
【００８３】
このような判定は、例えば次のような処理によって行われる。以下は、ソフトウエア記録装置２０に暗号化抽出データが記録され、本体装置１０に暗号化されていない抽出データが記録されている場合を例に挙げて説明するものである。調査プログラムが図３に示されているような構成のコンピュータのメインメモリ３２にロードされた状態で、本体装置１０から抽出データを取得し（ステップＳ６０１）、ソフトウエア記録装置２０から暗号化抽出データを取得する（ステップＳ６０３）。次に、本体装置１０から第２暗号化鍵情報を取得し（ステップＳ６０５）、該第２暗号化鍵情報に基づいて暗号化抽出データの暗号化を解除する（ステップＳ６０７）。暗号化が解除されたソフトウエア記録装置２０に記録されていた抽出データと、本体装置１０に記録されていた抽出データを照合し、両者が同一であるか否か判定する（ステップＳ６０９）。
【００８４】
以上のように、抽出データは、調査対象コンピュータＰＣ以外のコンピュータに調査ソフトウエアをロードし、内容を確認することができる。このため、例えば、捜査現場において証拠品のパーソナルコンピュータから抽出データのみをソフトウエア記録装置２０に記録し、警察署や裁判所において、抽出データを閲覧するといったことが可能となる。また、暗号化された複製も確保されているので、証拠能力も確保される。
【符号の説明】
【００８５】
１  マルチトレースシステム
１０  本体装置
１１  ケース
１３  メモリ
２０  ソフトウエア記録装置
ＰＣ１〜ｎ  調査対象コンピュータ
５１ｔ  タイトルバー
５２ａ  件名表示領域
５２１  検索ボタン
５２ｍ  ツールバー
５２ｓ  データ格納先表示領域
５２２  テキストボックス
５２３  実行ボタン
５３  表示領域
５３ｂ  タブ
【図１】
2016162098.tif 000003
【図２】
2016162098.tif 000004
【図３】
2016162098.tif 000005
【図４】
2016162098.tif 000006
【図５】
2016162098.tif 000007
【図６】
2016162098.tif 000008
【図７】
2016162098.tif 000009
【図８】
2016162098.tif 000010
【図９】
2016162098.tif 000011
【図１０】
2016162098.tif 000012
【図１１】
2016162098.tif 000013
【図１２】
2016162098.tif 000014
【図１３】
2016162098.tif 000015
【図１４】
2016162098.tif 000016
【図１５】
2016162098.tif 000017
【図１６】
2016162098.tif 000018
【図１７】
2016162098.tif 000019
【図１８】
2016162098.tif 000020
【図１９】
2016162098.tif 000021
【図２０】
2016162098.tif 000022
【図２１】
2016162098.tif 000023