【０００１】[0001]
【発明の属する技術分野】この発明は、複数の機器によ
って構成されるシステムから、各機器の動作ログを安全
にかつ確実に回収するための動作ログ蓄積装置および動
作ログ蓄積管理方法に関するものである。BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to an operation log storage device and an operation log storage management method for safely and reliably collecting operation logs of respective devices from a system including a plurality of devices. .
【０００２】[0002]
【従来の技術】複数の機器によって構成されるシステム
を管理運用する際、例えば、各機器の異常や不正利用の
検出、異常の原因分析、動作内容に応じた課金などのた
めに、各機器で動作ログが正しく記録され、システムの
運用者がその動作ログを安全かつ確実に収集できる必要
がある。従来は、機器の動作ログを蓄積管理する方法と
して、次のような方法がある。2. Description of the Related Art When managing and operating a system composed of a plurality of devices, for example, in order to detect abnormalities or unauthorized use of each device, analyze the cause of the abnormality, and charge according to the operation contents, each device has It is necessary that the operation log is recorded correctly and that the system operator can collect the operation log safely and reliably. Conventionally, there is the following method for storing and managing operation logs of devices.
【０００３】第１の方法は、システムを構成する各機器
の動作ログを集中管理するログ管理サーバを設置し、各
機器とログ管理サーバの間の通信路を常時確立した上
で、各機器を、ログ管理サーバにその動作ログを蓄積し
ながら動作させる方法であり、最も簡易で有効な方法で
ある。ログ管理サーバは、機器からの動作ログの通知が
ない場合、機器が正常に動作していないとみなすことが
できる。第２の方法は、各機器とログ管理サーバ間に通
信路を確立するのではなく、人手によって各機器の動作
ログを回収する方法である。A first method is to install a log management server for centrally managing operation logs of each device constituting the system, establish a communication path between each device and the log management server at all times, and then connect each device to the log management server. This is a method of operating while accumulating the operation log in the log management server, and is the simplest and effective method. If there is no notification of the operation log from the device, the log management server can determine that the device is not operating normally. The second method is a method of manually collecting operation logs of each device, instead of establishing a communication path between each device and the log management server.
【０００４】第３の方法は、各機器とログ管理サーバ間
の通信路を断続的に確立し、通信路が確立されていない
期間の動作ログを、通信路の確立時にまとめて収集する
方法である。この方法は、例えば、家庭用パソコン（パ
ーソナルコンピュータ）、ノートパソコン、携帯電話
機、ＩＣカード、ＰＤＡ（携帯情報端末）、家庭用ゲー
ム機、携帯ゲーム機などの機器のように、通信路の常時
確立を前提にできない場合に有効である。A third method is to intermittently establish a communication path between each device and a log management server, and collect operation logs during a period in which the communication path is not established at the time of establishing the communication path. is there. In this method, a communication path is always established, for example, in a device such as a home personal computer (personal computer), a notebook personal computer, a mobile phone, an IC card, a PDA (portable information terminal), a home game machine, and a mobile game machine. This is effective when it cannot be assumed.
【０００５】[0005]
【発明が解決しようとする課題】管理する機器の動作ロ
グによって、機器の監視や、利用状況に応じた課金を行
うような場合、ログを安全にかつ確実に回収することが
必須である。すなわち、正しい内容のログを、正しい内
容のまま、確実に収集できる必要がある。上記の第１の
従来技術は実現が容易であるが、通信路の常時確立を前
提とする必要があるため適用可能なシステムに対する制
約が強いこと、通信路を確立するためのコストも大きく
なること、第三者がネットワークを通じて送信中のログ
に対する盗聴や改竄（かいざん）を行う可能性があるこ
となどの問題がある。In the case where the operation log of the device to be managed is used to monitor the device or to perform charging in accordance with the usage status, it is essential to collect the log safely and reliably. In other words, it is necessary to be able to reliably collect logs with correct contents while maintaining correct contents. Although the first prior art is easy to realize, it is necessary to presuppose that the communication path is always established, so that there are strong restrictions on applicable systems, and the cost for establishing the communication path increases. However, there is a problem that a third party may eavesdrop or alter the log being transmitted through the network.
【０００６】第２の従来技術や第３の従来技術は、通信
路の確立のためのコストを低く抑えることができる。特
に、ログ管理サーバ、もしくはログ管理サーバの管理者
が機器からログを取得することによって収集の確実性も
高くなる。しかし、これらの方法には、収集対象の機器
の数が多くなるに連れて実現困難になること、ログの更
新の有無に関わらず収集を行うために無駄な通信が生じ
ることなどの問題がある。[0006] The second and third prior arts can reduce the cost for establishing a communication path. In particular, when the log management server or the administrator of the log management server obtains logs from the device, the reliability of collection is increased. However, these methods have problems such as becoming difficult to implement as the number of devices to be collected increases, and causing unnecessary communication to perform collection regardless of whether or not the log is updated. .
【０００７】一方、逆に各機器の側から、ログが一定量
蓄積されるなどの必要時に、ログを自発的に提出する場
合、動作ログの無駄な取得を防止することができ、管理
対象の機器が多数になる場合にも向いている。しかし、
ログの提出が各機器に任されるため、機器における不正
の隠蔽や課金額の減額などを目的としたログの改竄やロ
グの提出拒否が発生する可能性がある上に、これらの早
期検出が困難になるため、ログ収集の確実性が低くな
る。[0007] On the other hand, when logs are voluntarily submitted from each device when a certain amount of logs are accumulated, useless acquisition of operation logs can be prevented, and the management target can be prevented. It is suitable for a case where the number of devices is large. But,
Since the submission of logs is left to each device, there is a possibility that log falsification or log refusal for the purpose of concealing fraud in devices or reducing the amount of billing may occur, and early detection of these This makes log collection less reliable.
【０００８】この発明の目的は、通信路の常時確立を前
提とせずに、上記のようなログの改竄、ログの盗聴、ロ
グの提出拒否の問題を解決し、システムを構成する各機
器の動作ログを安全かつ確実に収集できる動作ログ蓄積
管理方法及びその装置を提供することにある。SUMMARY OF THE INVENTION An object of the present invention is to solve the above problems of log falsification, log eavesdropping, and log submission rejection without assuming that a communication path is always established, and to operate each device constituting the system. An object of the present invention is to provide an operation log accumulation management method and an apparatus thereof that can collect logs safely and reliably.
【０００９】[0009]
【課題を解決するための手段】この発明の方法の１例に
よれば、管理対象機器側に、その管理対象機器の動作ロ
グを生成するログ発生部と、機器側ログ蓄積部と、ログ
管理部とを備える機器側装置を設け、ログ発生部からロ
グが生成されると、ログの追加可否を前記ログ管理部に
判断させ、その判断結果が追加許可であれば、前記生成
したログを前記機器側ログ蓄積部に蓄積し、前記判断結
果が追加不許可であれば、前記管理対象機器の動作を停
止させ、前記機器側ログ蓄積部に蓄積されているログを
ログ管理サーバへ送信し、前記ログ管理サーバは前記ロ
グを受信するとそのログをサーバ側ログ蓄積部に蓄積
し、かつ初期化命令を生成して前記機器側装置へ送信
し、前記機器側装置は前記初期化命令を受信すると、前
記ログ管理部内の、前記追加可否判断に用いる制限条件
を初期化し、かつ前記管理対象機器の動作停止を解除す
る。According to one example of the method of the present invention, a log generation unit for generating an operation log of the managed device, a device-side log storage unit, and a log management are provided on the managed device side. Unit is provided with a unit, and when a log is generated from a log generation unit, the log management unit is allowed to determine whether to add a log. Accumulate in the device-side log storage unit, if the determination result is addition not permitted, stop the operation of the managed device, transmit the log stored in the device-side log storage unit to the log management server, Upon receiving the log, the log management server accumulates the log in a server-side log storage unit, and generates an initialization command and transmits the generated initialization command to the device-side device.When the device-side device receives the initialization command, In the log management unit, Restriction used to add permission determination initialized, and cancels the stop of the operation of the device to be managed.
【００１０】[0010]
【発明の実施の形態】以下、この発明の実施例を図面を
参照して詳細に説明する。図１にこの発明の一実施例を
適用したシステム構成を示す。このシステムは、管理対
象機器１に設けられる機器側装置１０と、ログ管理サー
バ２とからなる。機器側装置１０には、機器１の動作中
のログ発生元となるログ発生部１１、ログ管理部１２、
ログを格納するログ蓄積部１３、ログ蓄積部１３内のロ
グをログ管理サーバ２に対して送信するログ送信部１
４、管理対象機器１の動作を停止させたり、その停止を
解除する機器動作停止・解除部１５、これらを制御する
制御部１６によって構成される。Embodiments of the present invention will be described below in detail with reference to the drawings. FIG. 1 shows a system configuration to which an embodiment of the present invention is applied. This system includes a device-side device 10 provided in a managed device 1 and a log management server 2. The device-side device 10 includes a log generation unit 11, a log management unit 12, which is a log generation source during operation of the device 1,
A log storage unit 13 for storing logs, and a log transmission unit 1 for transmitting logs in the log storage unit 13 to the log management server 2
4. A device operation stop / cancel unit 15 for stopping or canceling the operation of the managed device 1 and a control unit 16 for controlling these devices.
【００１１】ログ管理部１２は、制御部１６からのログ
の追加要求（発生したログをログ蓄積部１３に追加蓄積
する要求）の受け付け、および追加要求に対する結果
（蓄積を許可するか否かを示す信号）の返却を行う制御
部１２１、ログの追加可能回数、追加可能量、追加期限
の管理、ログの追加可否を判断する追加可否判断部１２
２、追加済みのログの内容を表わす情報を格納するログ
状態管理部１２４、新規に追加するログとログ状態管理
部１２４内の情報によってログ状態管理部１２４が格納
する情報を更新するログ状態更新部１２３、ログ管理サ
ーバ２からの初期化命令を受け付けて追加可否判断部１
２２の初期化を行う機器側初期化処理部１２５を備え
る。なお、ログ管理部１２は、耐タンパ性を持った装
置、つまり正規の入出力手段以外を用いて機能を変更し
たり秘密データを盗んだりしようとする攻撃に耐えられ
る装置、例えばＩＣカードとして実現することにより、
内部のデータやプログラムを外部から参照できないもの
にすることが可能である。The log management unit 12 receives a log addition request from the control unit 16 (a request to additionally store a generated log in the log storage unit 13), and determines the result of the addition request (whether to permit storage or not). Control unit 121 that returns a signal indicating the number of times the log can be added, the number of logs that can be added, the amount of the log that can be added, and the time limit for adding the log.
2. A log status management unit 124 that stores information indicating the contents of the added log, and a log status update that updates the information stored in the log status management unit 124 according to the newly added log and the information in the log status management unit 124. Unit 123, accepts an initialization command from log management server 2, and determines whether addition is possible or not
A device-side initialization processing unit 125 that initializes the device 22 is provided. Note that the log management unit 12 is implemented as a tamper-resistant device, that is, a device that can withstand attacks that attempt to change functions or steal secret data using means other than authorized input / output means, such as an IC card. By doing
It is possible to make internal data and programs inaccessible from outside.
【００１２】ログ管理サーバ２は、管理対象機器１から
ログを受信するログ受信部２１、ログ管理部１２を初期
化するための処理のうちサーバ側の処理を担当するサー
バ側初期化処理部２２、受信したログを蓄積するログ蓄
積部２３、これらを制御する制御部２４によって構成さ
れる。図２は、追加可否判断部１２２の機能構成を示
す。追加可否判断部１２２は、追加可否の検証を行いカ
ウンタおよびメモリの更新を行う制御部１２２ａ、現在
時刻を取得する現在時刻取得器１２２ｂ、ログの追加可
能回数の残存回数を管理する追加可能回数カウンタ１２
２ｃ、ログの追加期限を管理する追加期限メモリ１２２
ｄを有する。The log management server 2 includes a log receiving unit 21 for receiving a log from the device 1 to be managed, and a server-side initialization processing unit 22 responsible for server-side processing among processing for initializing the log management unit 12. , A log storage unit 23 for storing received logs, and a control unit 24 for controlling these. FIG. 2 shows a functional configuration of the addition possibility determination unit 122. The addition possibility determining unit 122 includes a control unit 122a that verifies whether addition is possible and updates a counter and a memory, a current time acquisition unit 122b that acquires the current time, and an addition possibility counter that manages the remaining number of times the log can be added. 12
2c, additional time limit memory 122 for managing log additional time limit
d.
【００１３】制御部１２２ａは、制御部１２１からの追
加要求を受け付けると、追加可能回数カウンタ１２２ｃ
が０より大きく、追加期限メモリ１２２ｄが示す時刻
が、現在時刻取得器１２２ｂによって得られる現在時刻
に達していない場合に、追加可能回数カウンタ１２２ｃ
を１減算した上で制御部１２１に追加許可を返却し、そ
の他の場合は不許可を返却する。なお、利用する追加条
件の種類によっては、すべての追加可否判断部１２２の
機能を実現する必要はなく、部分的に機能を縮退させて
も良い。例えば、追加回数の制限のみで良い場合は、追
加可能回数カウンタ１２２ｃと、追加可能回数カウンタ
１２２ｃが０より大きい場合にのみログの追加を可能と
判断する制御部１２２ａを実装するだけで良い。When the control unit 122a receives the addition request from the control unit 121, the addable number counter 122c
Is larger than 0 and the time indicated by the additional time limit memory 122d has not reached the current time obtained by the current time acquisition unit 122b, the addable number counter 122c
Is subtracted by 1, and then the addition permission is returned to the control unit 121; otherwise, the non-permission is returned. Note that depending on the type of the additional condition to be used, it is not necessary to realize all the functions of the addition possibility determination unit 122, and the functions may be partially reduced. For example, when only the number of additions is limited, it is only necessary to mount the addable number counter 122c and the control unit 122a that determines that the log can be added only when the addable number counter 122c is larger than 0.
【００１４】図３は、機器側初期化処理部１２５の機能
構成を示す。機器側初期化処理部１２５は、ログ管理サ
ーバ２からの初期化命令を受け付けて初期化命令が正当
であれば追加可否判断部１２２に初期化命令を伝達する
初期化制御部１２５ａ、初期化命令に含まれるダイジェ
スト値とログ状態管理部１２４内のダイジェスト値の比
較を行う比較器１２５ｂ、初期化命令に付与された署名
を検証する署名検証器１２５ｃ、署名検証器１２５ｃが
用いる情報であるログ管理サーバ公開鍵を格納するメモ
リ１２５ｄ、によって構成される。FIG. 3 shows a functional configuration of the device-side initialization processing unit 125. The device-side initialization processing unit 125 receives an initialization command from the log management server 2, and if the initialization command is valid, transmits the initialization command to the addition possibility determination unit 122. , A comparator 125b that compares the digest value included in the log information with the digest value in the log state management unit 124, a signature verifier 125c that verifies the signature given to the initialization instruction, and log management that is information used by the signature verifier 125c. A memory 125d for storing a server public key.
【００１５】図４は、サーバ側初期化処理部２２の機能
構成を示す。サーバ側初期化処理部２２は、ログ受信部
２１からログを受け付け、初期化命令を生成し、機器側
初期化処理部１２５に対して初期化命令を送信する初期
化制御部２２１、初期化制御部２２１からログを受け取
ってダイジェスト値を計算するダイジェスト値演算器２
２２、初期化制御部２２１が生成する初期化命令に署名
を付与する署名器２２３、署名器２２３が署名を生成す
るための情報であるログ管理サーバ秘密鍵を格納するメ
モリ２２４、によって構成される。FIG. 4 shows a functional configuration of the server-side initialization processing unit 22. The server-side initialization processing unit 22 receives a log from the log receiving unit 21, generates an initialization command, and transmits the initialization command to the device-side initialization processing unit 125. Digest value calculator 2 for receiving a log from the unit 221 and calculating a digest value
22, a signature unit 223 for giving a signature to the initialization command generated by the initialization control unit 221, and a memory 224 for storing a log management server private key, which is information for generating a signature. .
【００１６】以下は、説明中で用いる記号の定義であ
る。・Ｓｋは秘密鍵であり、秘密鍵Ｓｋによる署名関数
をＳSk、秘密鍵Ｓｋによるメッセージｍに対する署名を
ＳSk（ｍ）とする。ＰｋはＳｋと対となる公開鍵であ
り、公開鍵Ｐｋによる署名検証関数をＶPkとする。ＶPk
の引数は検証対象となるメッセージと署名であり、検証
が成功である場合は返り値がｔｒｕｅ（真）、失敗の場
合は返り値がｆａｌｓｅ（偽）となる。すなわち、Ｐｋ
とＳｋが１組の鍵である場合に、ＶPk（ｍ，Ｓ
Sk（ｍ））＝ｔｒｕｅ，ＶPk（ｍ′，ＳSk（ｍ））＝ｆ
ａｌｓｅ，ＶPk（ｍ，ｓｉｇｎ）＝ｆａｌｓｅとなる
（ｍ≠ｍ′，ｓｉｇｎ≠ＳSk（ｍ））。以上のようなＶ
Pk，ＳSkを実現する電子署名方式として、日本電信電話
株式会社が提案しているＥＳＩＧＮなどが知られてい
る。また、公開暗号方式による汎用的な認証および暗号
通信技術としてＯｐｅｎＳＳＬなどが知られている。The following are definitions of symbols used in the description. Sk is a secret key, and a signature function with the secret key Sk is SSk , and a signature for the message m with the secret key Sk is SSk (m). Pk is a public key paired with Sk, and a signature verification function using the public key Pk is set to VPk . VPk
Are the message to be verified and the signature. If the verification is successful, the return value is true (true), and if the verification fails, the return value is false (false). That is, Pk
And Sk are a set of keys, then VPk (m, S
Sk (m)) = true, VPk (m ′, SSk (m)) = f
alse, VPk (m, sign) = false (m ≠ m ′, sign ≠ SSk (m)). V as above
ESIGN proposed by Nippon Telegraph and Telephone Corporation or the like is known as an electronic signature scheme for realizingPk and SSk . Also, OpenSSL and the like are known as general-purpose authentication and encryption communication technologies using a public encryption method.
【００１７】・ｆはｙ＝ｆ（ｘ）であるような、ｘをｙ
からもとめることが極めて困難な一方向関数であり、ｙ
1＝ｆ（ｘ1），ｙ2＝ｆ（ｘ2）である時に、ｘ1と
ｘ2が異なる場合、ｙ1とｙ2 が一致する確率が極めて
低いという性質を持つ関数である。このような関数とし
て、米ＲＳＡ社のＭＤ４やＭＤ５などが知られている。
・Ｌnは管理対象機器内のログ発生部１１が生成するｎ
回目のログ蓄積部１３に追加蓄積されるログである。ま
た、ｎ回目までのすべてのログは、Ｌ1，Ｌ2，…，Ｌ
nで表わされる。F is x = y such that y = f (x)
Is a one-way function that is extremely difficult to determine from
When 1 = f (x1 ) and y2 = f (x2 ), if x1 is different from x2, the function has a property that the probability that y1 and y2 match is extremely low. As such a function, MD4 and MD5 of RSA of the United States are known.
Ln is n generated by the log generator 11 in the managed device
This is a log additionally stored in the log storage unit 13 for the first time. All logs up to the n-th log are L1 , L2 ,.
It is represented byn .
【００１８】・ｈnはログ発生部１１が生成するｎ回目
の追加分のログＬnの内容を一意に表わす情報（ダイジ
ェスト値）である。・Ｈnはログ発生部１１が生成する
ｎ回分の追加を行ったログ全体Ｌ1，Ｌ2，…，Ｌnを
一意に表わす情報（ダイジェスト値）である。・ａ‖ｂ
は、ａとｂの連接である。なお、以下の実施例で、初期
状態においては、ログ状態管理部１２４内の情報は空と
し、追加可否判断部１２２が備える各カウンタおよびメ
モリは適切な値に設定されているものとする。また、公
開鍵Ｐｋcと秘密鍵Ｓｋc、公開鍵Ｐｋsと秘密鍵Ｓｋs
はそれぞれ一組の鍵であるものとする。 第１の実施例 （１）ログの追加（ログ発生部１１が追加分のログのダ
イジェスト値をログ管理部１２に渡す場合） 以下に、図１、図２をもとに、管理対象機器１における
ログの発生からログの追加までの処理の流れを示す。な
お、図１０、図１１、図１２が、以下の処理に対応する
フロー図である。Hn is information (digest value) uniquely representing the contents of the log Ln for the n-th addition generated by the log generation unit 11. · Hn is the entire log was additional n times L1, L2 generated by the log generation unit 11, ..., which is information uniquely represent Ln (digest value).・ A‖b
Is the concatenation of a and b. In the following example, in the initial state, the information in the log state management unit 124 is assumed to be empty, and each counter and memory included in the addition possibility determination unit 122 are set to appropriate values. Further, the public key Pkc and the secret key Skc , and the public key Pks and the secret key Sks
Are each a set of keys. First Embodiment (1) Addition of a log (when the log generation unit 11 passes a digest value of the added log to the log management unit 12) Hereinafter, the managed device 1 will be described based on FIGS. 2 shows a flow of processing from generation of a log to addition of a log. FIGS. 10, 11, and 12 are flowcharts corresponding to the following processing.
【００１９】１．管理対象機器１のログ発生部１１はロ
グを生成すると（Ｓ１０１）、制御部１６は第ｎ回目の
追加分ログＬnに対するダイジェスト値ｈnをｈn＝ｆ
（Ｌn）に従って計算し（Ｓ１０２）、この値を含むロ
グ追加要求をログ管理部１２に通知する（Ｓ１０３）。
この時、ログ蓄積部１３内のログはＬ1，Ｌ2，…，Ｌ
n-1である。 ２．ログ管理部１２では、制御部１６からの追加要求を
制御部１２１が受け付ける（Ｓ２０１）。1. The log generation unit 11 of the management target device 1
When the control unit 16 generates the log (S101), the control unit 16
Additional log LnDigest value h fornHn= F
(Ln) (S102).
The log addition request is notified to the log management unit 12 (S103).
At this time, the log in the log storage unit 13 is L1, LTwo, ..., L
n-1It is. 2. The log management unit 12 receives an addition request from the control unit 16.
The control unit 121 receives (S201).
【００２０】３．制御部１２１は、追加可否判断部１２
２に追加要求を通知する（Ｓ２０２）。 ４．追加可否判断部１２２は、制御部１２１からの追加
要求を制御部１２２ａが受け付け、追加可能回数カウン
タ１２２ｃが０より大きく（Ｓ３０１〜３０２）、追加
期限メモリ１２２ｄが示す時刻が現在時刻取得器１２２
ｂによって得られる現在時刻に達していない場合に（Ｓ
３０３〜３０５）、制御部１２１に追加許可を返却し、
追加可能回数カウンタ１２２ｃを１減算して（Ｓ３０
６）、追加許可を制御部１２１に返却する（Ｓ３０
７）。一方、追加不許可の場合、不許可を制御部１２１
に返却する（Ｓ３０８）。3. The control unit 121 determines whether the addition is possible or not.
2 is notified of an addition request (S202). 4. The control unit 122a accepts an addition request from the control unit 121, the addable number counter 122c is larger than 0 (S301 to 302), and the time indicated by the additional time limit memory 122d is the current time acquisition unit 122.
If the current time obtained by b has not been reached (S
303-305), returning the addition permission to the control unit 121,
The possible addition counter 122c is decremented by 1 (S30).
6), returning the addition permission to the control unit 121 (S30)
7). On the other hand, in the case of addition rejection, the rejection is
(S308).
【００２１】５．制御部１２１は、追加可否判断部１２
２からの返却結果が追加許可である場合、ログ状態更新
部１２３にダイジェスト値ｈnを伝達する（Ｓ２０
３）。一方、追加可否判断部１２２からの返却結果が不
許可である場合、制御部１６に追加要求の処理結果とし
て不許可を返却する（Ｓ２０６）。 ６．ログ状態更新部１２３は、制御部１２１から受理し
たダイジェスト値ｈnとログ状態管理部１２４内の値Ｈ
n-1の組に対するダイジェスト値Ｈnを計算（Ｈn＝ｆ
（Ｈn-1‖ｈn））し、Ｈnによってログ状態管理部１
２４の値を上書きする。つまりログ状態管理部１２４内
に保持している値を更新する。ただし、ログ状態管理部
１２４内の値が空である場合（初期状態）、すなわち、
第１回目のログの追加では、Ｈ1＝ｈ1とする（Ｓ２０
４）。5. The control unit 121 determines whether the addition is possible or not.
When return results from 2 are additional authorized, transmits the digest value hn to the log state update unit 123 (S20
3). On the other hand, if the return result from the addition possibility determination unit 122 is not permitted, the control unit 16 returns non-permission as the processing result of the addition request (S206). 6. Log state update unit 123, the digest value hn and the value H in the log state managing unit 124 having received from the control unit 121
Calculate the digest value Hn for the set ofn−1 (Hn = f
(Hn-1 ‖hn )), and the log state management unit 1 is designated by Hn .
Overwrite the value of 24. That is, the value held in the log state management unit 124 is updated. However, when the value in the log state management unit 124 is empty (initial state),
In the addition of the first round of the log, and H1 = h1 (S20
4).
【００２２】７．制御部１２１は、制御部１６に対して
ログの追加許可を返却する（Ｓ２０５）。 ８．制御部１６は、追加要求に対して追加の許可の返却
を受けると、追加分のログＬnを、ログ蓄積部１３内に
追加蓄積する（Ｓ１０５）。これによって、ログ蓄積部
１３内のログはＬ1，Ｌ2，…，Ｌnとなる。また、制
御部１６は、追加要求に対して追加の不許可の返却を受
けると、ログ蓄積部１３にログを追加することはせず、
機器動作停止・解除部１５により以後、管理対象機器１
にログの処理以外の通常の動作を行わせないようにする
（Ｓ１０６）。7. The control unit 121 returns the log addition permission to the control unit 16 (S205). 8. Control unit 16 receives the return of additional authorization for additional requests, the log Ln extra minutes, add accumulated in the log storage unit 13 (S105). Thus, the log in the log storage unit 13 L1, L2, ..., a Ln. Further, when the control unit 16 receives a return of additional non-permission in response to the addition request, the control unit 16 does not add a log to the log accumulation unit 13,
After that, the device operation stop / release unit 15 sets the device 1 to be managed.
To perform normal operations other than the log processing (S106).
【００２３】なお、上記の５，７において、制御部１２
１にログ管理部１２の秘密鍵、制御部１６にログ管理部
１２の公開鍵を配置し、制御部１２１が、秘密鍵による
追加許可に対する署名を認証情報生成部１２６で生成し
て追加許可の返却結果に対して付与し、制御部１６が、
公開鍵によるログ管理部１２の署名を検証部１７で検証
することによって、ログ管理部１２のなりすましを防止
することができる。ログ管理部１２は耐タンパ性を与え
る点から例えばＩＣカードが用いられ、前記追加許可の
返却結果ごとにログ管理部１２の正当性を制御部１６が
検証する代りに、ログ管理部１２を機器側装置１０に装
着するごとにそのログ管理部１２の正当性を検証しても
よい。 （２）ログの回収（管理対象機器１側でダイジェスト値
を比較する場合）機器側装置１０は、ログの追加が不可
能となると、以後の動作ができなくなるため、再びログ
の追加を可能にするために、ログ管理サーバ２に対して
ログ蓄積部１３内のログ全体を送信し、ログ管理部１２
の初期化を行う必要がある。以下に、図１、図２、図
３、図４をもとに、合計ｎ回のログの追加を行った後の
ログ回収処理の流れを示す。なお、図１３、図１４、図
１５が、以下の処理に対応するフロー図、図１６が機器
側装置１０とログ管理サーバ２とのデータの送受を示
す。In the above-mentioned 5 and 7, the control unit 12
1 and the public key of the log management unit 12 are arranged in the control unit 16 and the control unit 121 generates a signature for the addition permission using the secret key in the authentication information generation unit 126, and Granted to the return result, the control unit 16
By verifying the signature of the log management unit 12 with the public key by the verification unit 17, spoofing of the log management unit 12 can be prevented. The log management unit 12 uses, for example, an IC card in order to provide tamper resistance. Instead of the control unit 16 verifying the validity of the log management unit 12 for each return result of the addition permission, the log management unit 12 Each time the log management unit 12 is attached to the side device 10, the validity of the log management unit 12 may be verified. (2) Log collection (when the digest value is compared on the management target device 1 side) If the log cannot be added, the device-side device 10 cannot perform the subsequent operations, so the log can be added again. In order to perform this, the entire log in the log storage unit 13 is transmitted to the log management server 2 and the log management unit 12
Needs to be initialized. Hereinafter, a flow of the log collection process after adding the log n times in total based on FIG. 1, FIG. 2, FIG. 3, and FIG. 13, 14, and 15 show flowcharts corresponding to the following processing, and FIG. 16 shows transmission and reception of data between the device-side device 10 and the log management server 2.
【００２４】１．機器側装置１０の制御部１６はログ管
理部１２から追加不許可の通知を受けると（Ｓ４０
０）、ログ蓄積部１３からすべてのログＬ1，Ｌ2，
…，Ｌnを取得（Ｓ４０１）し、ログ送信部１４を通じ
てログ管理サーバ２に送信する（Ｓ４０１）。ただし、
この時、機器側装置１０とログ管理サーバ２の間の通信
は、ログの第三者による盗聴、盗難を防止するために、
公開鍵暗号方式または共通鍵暗号方式による暗号化部１
８での暗号化、機器側装置１０によるログ管理サーバ２
の認証を機器側認証部１９とサーバ側認証部２６で行な
う。なお、既存の公開鍵暗号方式の認証および暗号通信
技術としてＯｐｅｎＳＳＬ、共通鍵暗号方式の既存技術
として日本電信電話株式会社のＦＥＡＬ，Ａｓｃｏｍ
Ｓｙｓｔｅｃ社のＩＤＥＡなどが知られている。1. When the control unit 16 of the device-side device 10 receives the notification of the addition non-permission from the log management unit 12 (S40)
0), all the logs L1 , L2 ,
..., acquires the Ln (S401), and transmits through the log transmission unit 14 to the log management server 2 (S401). However,
At this time, communication between the device-side device 10 and the log management server 2 is performed in order to prevent eavesdropping and theft of logs by a third party.
Encrypting unit 1 using public key cryptosystem or common key cryptosystem
8, log management server 2 by device 10
Is performed by the device-side authentication unit 19 and the server-side authentication unit 26. In addition, OpenSSL is used as the authentication and encryption communication technology of the existing public key cryptosystem, and FEAL, Ascom of Nippon Telegraph and Telephone Corporation is used as the existing technology of the common key cryptosystem.
IDEA of System Inc. is known.
【００２５】２．ログ管理サーバ２のログ受信部２１は
ログＬ1，Ｌ2，…，Ｌnを受信し（Ｓ５０１）、制御
部２４はその受信ログＬ1，…，Ｌnを、復号化部２５
で復号化してログ蓄積部２３に蓄積すると共にサーバ側
初期化処理部２２の初期化制御部２２１に転送する（Ｓ
５０２）。 ３．初期化制御部２２１は、ダイジェスト値演算器２２
２によって、ログＬ1，Ｌ2，…，ＬnからＨ′nを算
出する（Ｓ５０３）。なお、ダイジェスト値演算器２２
２は以下の式に従ってＨ′nを計算する。2. Log receiving unit 21 of the log management server 2 log L1, L2, ..., receives the Ln (S501), the control unit 24 that receives log L1, ..., a Ln, decoding unit 25
To be stored in the log storage unit 23 and transferred to the initialization control unit 221 of the server-side initialization processing unit 22 (S
502). 3. The initialization control unit 221 includes the digest value calculator 22
2, H ′n is calculated from the logs L1 , L2 ,..., Ln (S503). Note that the digest value calculator 22
2 calculates H ′n according to the following equation.
【００２６】Ｈ′1＝ｆ（Ｌ1） Ｈ′i＝ｆ（Ｈ′i-1‖ｆ（Ｌi））（ｉ＞１） ４．初期化制御部２２１は、Ｈ′nと、ログ管理サーバ
２の管理者が別途定める追加回数上限値Ｎ、追加期限Ｔ
との組（Ｈ′n，Ｎ，Ｔ）に、署名器２２３が生成す
る、メモリ２２４内のログ管理サーバ秘密鍵Ｓksによる
署名を付与した、初期化命令（（Ｈ′n，Ｎ，Ｔ），Ｓ
Sks(Ｈ′n，Ｎ，Ｔ））を生成し（Ｓ５０４）、機器側
装置１０の機器側初期化処理部１２５に送信する（Ｓ５
０５）。上限値Ｎ、期限Ｔは入力部２２９により初期化
制御部２２１に入力されている。3. H ′1 = f (L1 ) H ′i = f (H ′i−1 ‖f (Li )) (i> 1) The initialization control unit 221 includes H ′n , an upper limit N of the number of additions separately determined by an administrator of the log management server 2, and an additional time T
(H ′n , N, T) in which a signature with the log management server secret key Sks in the memory 224 generated by the signer 223 is added to the pair (H ′n , N, T). , S
Sks (H 'n, N, T)) generates (S504), and transmits to the device side initializing unit 125 of the device-side device 10 (S5
05). The upper limit N and the time limit T are input to the initialization control unit 221 by the input unit 229.
【００２７】５．機器側初期化処理部１２５は、初期化
制御部１２５ａがログ管理サーバ２から初期化命令を受
信し（Ｓ６０１）、署名検証器１２５ｃによって初期化
命令の署名を検証する（Ｓ６０２）。なお、署名検証器
１２５ｃは、メモリ１２５ｄ内のログ管理サーバ公開鍵
Ｐksを用いて次の式によって署名を検証する。 ＶPks(（Ｈ′n，Ｎ，Ｔ），ＳSks(Ｈ′n，Ｎ，Ｔ）） 結果がｔｒｕｅとなる場合は、正当なログ管理サーバ２
による初期化命令であると判断し認証は成功とみなし
（Ｓ６０３）、結果がｆａｌｓｅとなる場合は認証失敗
とみなして処理を中断し、ログ管理サーバ２にエラーを
通知する（Ｓ６０３，Ｓ６０８）。5. In the device-side initialization processing unit 125, the initialization control unit 125a receives the initialization instruction from the log management server 2 (S601), and verifies the signature of the initialization instruction by the signature verifier 125c (S602). The signature verifier 125c verifies the signature using the log management server public key Pks in the memory 125d according to the following equation. VPks ((H ′n , N, T), SSks (H ′n , N, T)) If the result is true, the valid log management server 2
It is determined that the command is an initialization command, and the authentication is regarded as successful (S603). If the result is false, the authentication is regarded as failure and the processing is interrupted, and an error is notified to the log management server 2 (S603, S608).
【００２８】６．初期化命令の認証に成功した場合（Ｓ
６０３）、初期化制御部１２５ａは、初期化命令に含ま
れるＨ′nと、ログ状態管理部１２４内の値Ｈnを比較
器１２５ｂによって比較し（Ｓ６０４，Ｓ６０５）、両
者が一致する場合は追加可否判断部１２２に初期化命令
を転送する。Ｈ′nとＨnが一致しない場合は処理を中
断し、ログ管理サーバ２にエラーを通知する（Ｓ６０
８）。７．追加可否判断部１２２の制御部１２２ａは、
初期化命令を受け付けると、追加可能回数カウンタ１２
２ｃの値をＮ、追加期限メモリ１２２ｄの値をＴ、ログ
状態管理部１２４の内容を空に設定し（Ｓ６０６）、ロ
グ管理サーバ２に初期化完了を通知すると共に機器側装
置１０の制御部１６にも初期化完了を通知する。6. If the initialization command is successfully authenticated (S
603), the initialization control unit 125a compares the H 'n included in the initialization instruction with the value Hn in the log state management unit 124 by the comparator 125b (S604, S605). The initialization instruction is transferred to the addition possibility determination unit 122. If H ′n and Hn do not match, the process is interrupted and an error is notified to the log management server 2 (S60).
8). 7. The control unit 122a of the addition availability determination unit 122 includes:
When an initialization instruction is received, the addable number counter 12
The value of 2c is set to N, the value of the additional term memory 122d is set to T, the content of the log status management unit 124 is set to empty (S606), and the log management server 2 is notified of the completion of initialization, and the control unit of the device-side device 10 is set. 16 is also notified of the completion of initialization.
【００２９】図１３に示すように、制御部１６はログを
ログ管理サーバへ送信後、ログ管理部１２から初期化完
了通知の受信を待ち（Ｓ４０３）、この通知を受信する
と機器動作停止・解除部１５に停止解除を指示して機器
動作停止・解除部１５をして管理対象機器１の動作を再
開させる（Ｓ４０４）。あるいは図１３中に破線で示す
ように、ログ送信後、所定時間の経過を待ち（Ｓ４０
５）、所定時間経過するとログ管理部１２へログ追加要
求（ログを伴わない）を行い（Ｓ４０６）、追加許可が
返却されると（Ｓ４０７）、機器動作停止・解除部１５
に管理対象機器１の動作停止を解除させ（Ｓ４０４）、
追加許可が返却されなければステップＳ４０５に戻るよ
うにしてもよい。何れにしても初期化完了後に、管理対
象機器１の動作を再開させるようにすればよい。As shown in FIG. 13, after transmitting the log to the log management server, the control unit 16 waits for an initialization completion notification from the log management unit 12 (S403). The unit 15 is instructed to release the stop, and the device operation stop / release unit 15 is used to restart the operation of the managed device 1 (S404). Alternatively, as shown by the broken line in FIG. 13, after the log transmission, the elapse of a predetermined time is waited (S40).
5) After a lapse of a predetermined time, a log addition request (without a log) is made to the log management unit 12 (S406). When the addition permission is returned (S407), the device operation stop / release unit 15
Release the operation stop of the managed device 1 (S404),
If the additional permission is not returned, the process may return to step S405. In any case, the operation of the managed device 1 may be resumed after the initialization is completed.
【００３０】以上の処理の流れでは、初期化命令の認証
のために、公開鍵暗号方式（非対象鍵）を用いている。
そのため、あらかじめ、ログ管理サーバ公開鍵Ｐksを機
器側初期化処理部１２５のメモリ１２５ｄに、ログ管理
サーバ秘密鍵Ｓksをサーバ側初期化処理部２２のメモリ
２２４に配置しておく必要がある。なお、上記の認証処
理として公開鍵暗号方式ではなく、共通鍵方式を用いる
方法を採っても良い。共通鍵を用いる場合の機器側初期
化処理部１２５のブロック図は図５であり、サーバ側初
期化処理部２２のブロック図は、図６である。In the above processing flow, a public key cryptosystem (non-target key) is used for authentication of an initialization command.
Therefore, it is necessary to arrange the log management server public key Pks in the memory 125 d of the device-side initialization processing unit 125 and the log management server secret key Sks in the memory 224 of the server-side initialization processing unit 22 in advance. Note that a method using a common key method instead of the public key encryption method may be used as the above authentication processing. FIG. 5 is a block diagram of the device-side initialization processing unit 125 when a common key is used, and FIG. 6 is a block diagram of the server-side initialization processing unit 22.
【００３１】この場合、ログ管理サーバ２の管理者が共
通鍵をあらかじめ作成し、機器側初期化処理部１２５に
ついてはその認証用共通鍵をメモリ１２５ｇに、サーバ
側初期化処理部２２については同一の認証用共通鍵をメ
モリ２２７にそれぞれ配置する。この状態で、上記ログ
の回収処理の流れにおいて、サーバ側初期化処理部２２
の初期化制御部２２１が初期化命令に署名を付与する代
わりに、暗号器２２８において、メモリ２２７内の認証
用共通鍵による初期化命令の暗号化を行い、その暗号化
された初期化命令のみを機器側初期化処理部１２５へ送
る。また、機器側初期化処理部１２５で署名検証器１２
５ｃによる初期化命令の署名を検証する代わりに、復号
器１２５ｈでメモリ１２５ｇ内の認証用共通鍵による暗
号化初期化命令の復号化を行い、復号化できれば認証成
功、復号化できなければ認証失敗とみなすことができ
る。復号化できれば、その復号化された初期化命令中の
Ｈ′を比較器１２５ｂでＨnと比較し、一致すれば、復
号化された初期化命令中のＮとＴを追加可否判断部１２
２へ送る。 第２の実施例 （３）ログ発生部１１が追加分のログ自体をログ管理部
１２に渡す場合 第１の実施例で示したログの追加処理では、ログ管理部
１２に対する制御部１６からのログ追加要求が含む情報
は、追加分のログに対するダイジェスト値ｈnである
が、これを追加分のログＬn自体にすることが可能であ
る。この場合、制御部１６の側が、ダイジェスト値を計
算する機能を備える必要がないことと、追加可否判断部
内１２２で扱うことができる制約としてログの追加量の
上限を定めることができることが利点である。In this case, the administrator of the log management server 2 creates a common key in advance, the authentication common key is stored in the memory 125g for the device-side initialization processing unit 125, and the same for the server-side initialization processing unit 22. Are arranged in the memory 227. In this state, in the flow of the log collection process, the server-side initialization processing unit 22
Instead of the initialization control unit 221 adding a signature to the initialization instruction, the encryption unit 228 encrypts the initialization instruction using the authentication common key in the memory 227, and only the encrypted initialization instruction To the device-side initialization processing unit 125. In addition, the device-side initialization processing unit 125 uses the signature verifier 12
Instead of verifying the signature of the initialization command by 5c, the decryption device 125h decrypts the encryption initialization command using the common key for authentication in the memory 125g, and if the decryption is successful, the authentication is successful. If the decryption is not successful, the authentication fails. Can be considered. If decoding, compared by the comparator 125b and H 'of the decoded during initialization instruction and Hn, if they match, whether addition determines N and T during the initialization instruction has been decoded unit 12
Send to 2. Second embodiment (3) When the log generation unit 11 passes the added log itself to the log management unit 12 In the log addition processing described in the first embodiment, the control unit 16 sends the log management unit 12 to the log management unit 12. information log addition request includes is a digest value hn for additional portion of the log, it is possible to do this additional portion of the log Ln itself. In this case, there is an advantage that the control unit 16 does not need to have a function of calculating a digest value, and that the upper limit of the additional amount of the log can be determined as a constraint that can be handled by the addition availability determination unit 122. .
【００３２】以下に、図１、図３、図４、図９をもと
に、ログの追加処理の流れについて第１の実施例との差
分を示す。 ４．追加可否判断部１２２は、制御部１２１からの追加
要求を制御部１２２ａで受け付け、追加可能回数カウン
タ１２２ｃおよび追加可能量カウンタ１２１ｅのいずれ
も０より大きく、追加期限メモリ１２２ｄが示す時刻
が、現在時刻取得器１２２ｂによって得られる現在時刻
に達していない場合に、制御部１２１に追加許可を返却
し、その他の場合は不許可を返却する。この時、追加許
可の場合は、追加可能回数カウンタを１減算し、追加可
能量カウンタを追加するログＬnの量分減算する。The difference between the flow of the log adding process and the first embodiment will be described below with reference to FIGS. 1, 3, 4, and 9. 4. The addition possibility determination unit 122 receives the addition request from the control unit 121 by the control unit 122a, and both the addable number counter 122c and the addable amount counter 121e are larger than 0, and the time indicated by the addition time limit memory 122d is the current time. If the current time obtained by the acquisition unit 122b has not yet been reached, the control unit 121 returns an additional permission to the control unit 121, and otherwise returns a non-permission. At this time, in the case of adding authorization, the addable number counter subtracts 1 and the amount is subtracted log Ln to add additional possible amount counter.
【００３３】５．制御部１２１は、追加可否判断部１２
２からの返却結果が追加許可である場合、ログ状態更新
部１２３に、追加分のログＬnを伝達する。一方、追加
可否判断部１２２からの返却結果が不許可である場合、
制御部１６に対して追加要求の処理結果として不許可を
返却し、制御部１６は、ログ蓄積部１３にログを追加す
ることはせず、以後、ログの処理以外の通常の動作を行
わない。 ６．ログ状態更新部１２３は、制御部１２１から受理し
た追加分のログＬnとログ状態管理部１２４内の値（Ｈ
n-1）からダイジェスト値Ｈnを計算（Ｈn＝ｆ（Ｈ
n-1‖ｆ（Ｌn）））し、Ｈnによってログ状態管理部
１２４の値を上書きする。ただし、ログ状態管理部１２
４内の値が空である場合（初期状態）、すなわち、第１
回目のログの追加では、Ｈ1＝ｆ（ｈ1）とする。5. The control unit 121 determines whether the addition is possible or not.
When return results from 2 is added permitted, the log state update unit 123 transmits the log Ln additional minute. On the other hand, if the return result from the addition possibility determination unit 122 is not permitted,
Non-permission is returned to the control unit 16 as a processing result of the addition request, and the control unit 16 does not add a log to the log accumulation unit 13 and does not perform a normal operation other than the log processing thereafter. . 6. Log state update unit 123, the value of the log Ln extra minutes of acceptance from the control unit 121 and the log status management section 124 (H
n-1) calculating a digest value Hn from (Hn = f (H
n− 1‖f (Ln ))), and overwrites the value of the log state management unit 124 with Hn . However, the log status management unit 12
4 is empty (initial state), ie, the first
In the first log addition, H1 = f (h1 ).
【００３４】以下は、ログの回収処理の流れについて第
２の実施例との差分である。 ４．初期化制御部２２１は、Ｈ′nと、ログ管理サーバ
２の管理者が別途定める追加回数上限値Ｎ、追加可能量
上限値Ｍ、追加期限Ｔとの組（Ｈ′n，Ｎ，Ｍ，Ｔ）
に、署名器２２３が生成するログ管理サーバ秘密鍵Ｓks
による署名を付与した、初期化命令（（Ｈ′n，Ｎ，
Ｍ，Ｔ），ＳSks(Ｈ′n，Ｎ，Ｍ，Ｔ））を生成して、
機器側装置１０の機器側初期化処理部１２５に送信す
る。The following is the difference between the flow of the log collection process and the second embodiment. 4. Initialization control unit 221, H'n and the log management server 2 additional count upper limit value N administrator specifies otherwise, can be added amount upper limit value M, the set of the additional deadline T (H'n, N, M, T)
The log management server private key Sks generated by the signer 223
An initialization instruction ((H ′n , N,
M, T), SSks (H ′n , N, M, T)),
The data is transmitted to the device-side initialization processing unit 125 of the device-side device 10.
【００３５】５．機器側初期化処理部１２５は、署名検
証器１２５ａがログ管理サーバ２から受信した初期化命
令の署名を、署名検証器１２５ｃによって検証する。な
お、署名検証器１２５ｃは、ログ管理サーバ公開鍵Ｐks
を用いて次の式によって署名を検証する。 ＶPks(（Ｈ′n，Ｎ，Ｍ，Ｔ），ＳSks(Ｈ′n，Ｎ，
Ｍ，Ｔ）） 結果がｔｒｕｅとなる場合は、正当なログ管理サーバ２
による初期化命令であると判断し認証は成功とみなし、
結果がｆａｌｓｅとなる場合は認証失敗とみなして処理
を中断し、ログ管理サーバ２にエラーを通知する。5. The device-side initialization processing unit 125 verifies the signature of the initialization command received by the signature verifier 125a from the log management server 2 with the signature verifier 125c. Note that the signature verifier 125c uses the log management server public key Pks
Is used to verify the signature by the following equation: VPks ((H ′n , N, M, T), SSks (H ′n , N,
M, T)) If the result is true, the valid log management server 2
Authentication is determined to be successful, and authentication is considered successful.
If the result is false, authentication is considered to have failed, the processing is interrupted, and an error is notified to the log management server 2.
【００３６】６．初期化命令の認証に成功した場合、初
期化制御部１２５ａは、初期化命令に含まれるＨ′
nと、ログ状態管理部１２４内の値Ｈnを比較器１２５
ｂによって比較し、両者が一致する場合は追加可否判断
部１２２に初期化命令を転送する。Ｈ′nとＨnが一致
しない場合は処理を中断し、ログ管理サーバ２にエラー
を通知する。 ７．追加可否判断部１２２の制御部１２２ａは、初期化
命令を受け付けると、追加可能回数カウンタ１２２ｃの
値をＮ、追加期限メモリ１２２ｄの値をＴ、追加可能量
カウンタ１２２ｅの値をＭ、ログ状態管理部１２４の内
容を空に設定し、ログ管理サーバ２と制御部１６に初期
化完了を通知する。 第３の実施例 （４）ログの回収（ログ管理サーバ２側でダイジェスト
値を比較する場合１）第１の実施例で示したログの回収
処理において、機器側装置１０側で行っているＨ′nと
Ｈnの比較処理を、ログ管理サーバ２側で行うこともで
きる。この方法では、通信の起点が管理対象機器に統一
されるため、管理対象機器がファイアウォール内に存在
し、ファイアウォールの内部を起点とする通信のみが許
される場合などに向いている。6. When the authentication of the initialization command is successful, the initialization control unit 125a sets H ′ included in the initialization command.
n and the value Hn in the log state management unit 124
b. If both match, an initialization instruction is transferred to the addition possibility determination unit 122. If H ′n and Hn do not match, the process is interrupted and an error is notified to the log management server 2. 7. Upon receiving the initialization instruction, the control unit 122a of the addition possibility determination unit 122 sets the value of the addition possible number counter 122c to N, the value of the addition time limit memory 122d to T, the value of the addition possible amount counter 122e to M, and the log state management. The contents of the section 124 are set to be empty, and the log management server 2 and the control section 16 are notified of the completion of the initialization. Third embodiment (4) Log collection (when the digest value is compared on the log management server 2 side 1) In the log collection processing shown in the first embodiment, H performed on the device-side device 10 side 'the process of comparisonn and Hn, can also be performed in the log management server 2 side. In this method, since the starting point of the communication is unified with the managed device, it is suitable for a case where the managed device exists in the firewall and only communication starting from the inside of the firewall is permitted.
【００３７】第２の実施例とは異なり、機器側初期化処
理部１２５のブロック図が図７、サーバ側初期化処理部
２２のブロック図が図８となる。機器側装置１０とログ
管理サーバ２とのデータの送受の様子を図１７に示す。
以下に、図１、図２、図７、図８、図１７をもとに、ロ
グの回収処理の流れを以下に説明する。 １．機器側装置１０の制御部１６はログ管理部１２から
追加不許可の通知を受けると、ログ送信部１４を通じ
て、ログ蓄積部１３内のすべてのログＬ1，Ｌ2，…，
Ｌnをログ管理サーバ２に送信し、またログ管理部１２
の機器側初期化処理部１２５に対してログ管理部初期化
依頼を通知する。ただし、送信中のログに対する第三者
による盗聴、盗難については、第１の実施例で示した方
法によって防止する。Unlike the second embodiment, FIG. 7 is a block diagram of the device-side initialization processing unit 125, and FIG. 8 is a block diagram of the server-side initialization processing unit 22. FIG. 17 shows how data is transmitted and received between the device-side device 10 and the log management server 2.
The flow of the log collection process will be described below with reference to FIGS. 1, 2, 7, 8, and 17. 1. When the control unit 16 of the device-side apparatus 10 receives the notification of the non-addition from the log management unit 12, all the logs L1 , L2 ,.
Ln to the log management server 2 and the log management unit 12
A log management unit initialization request is notified to the device-side initialization processing unit 125. However, eavesdropping and theft by a third party on the log being transmitted is prevented by the method described in the first embodiment.
【００３８】２．ログ管理サーバ２のログ受信部２１
は、ログＬ1，Ｌ2，…，Ｌnを受信し、制御部２４は
そのログＬ1，Ｌ2，…，Ｌnをログ蓄積部２３に蓄積
すると共にサーバ側初期化処理部２２の初期化制御部２
２１に転送する。 ３．初期化制御部２２１は、ダイジェスト値演算器２２
２によって、ログＬ1，Ｌ2，…，ＬnからＨ′nを算
出する。なお、ダイジェスト値演算器２２２は以下の式
に従ってＨ′nを計算する。2. Log receiving unit 21 of log management server 2
The log L1, L2, ..., receives the Ln, the control unit 24 is the log L1, L2, ..., a server-side initialization unit 22 while accumulating Ln to the log storage unit 23 Initialization control unit 2
Transfer to 21. 3. The initialization control unit 221 includes the digest value calculator 22
2, H ′n is calculated from the logs L1 , L2 ,..., Ln . Note that the digest value calculator 222 calculates H ′n according to the following equation.
【００３９】Ｈ′1＝ｆ（Ｌ1） Ｈ′i＝ｆ（Ｈ′i-1‖ｆ（Ｌi））（ｉ＞１） ４．初期化制御部２２１は、機器側装置１０からの初期
化伺い通知の到着を待つ。 ５．１．で、ログ管理部初期化依頼を受け付けた機器側
初期化処理部１２５は、ログ状態管理部１２４から、ダ
イジェスト値Ｈnを取得し、この値を含み、署名器１２
５ｅによってメモリ１２５ｆ内の管理対象機器秘密鍵Ｓ
kcによる署名が付与された初期化伺い通知（Ｈn，Ｓ
Skc（Ｈn））を生成してログ管理サーバ２に送信す
る。H ′1 = f (L1 ) H ′i = f (H ′i−1 ‖f (Li )) (i> 1) The initialization control unit 221 waits for an initialization inquiry notification from the device-side device 10 to arrive. 5.1. In the equipment-side initialization processing unit 125 accepts the log management unit initialization request, from the log state management unit 124 obtains the digest value Hn, wherein the value, the signature 12
5e, the device secret key S to be managed in the memory 125f.
Initialization inquiry notice (Hn , S
It generatesSkc (Hn)) is transmitted to the log management server 2.
【００４０】６．初期化制御部２２１では、受信した初
期化伺い通知の署名を署名検証器２２５が、メモリ２２
６内の管理対象機器公開鍵Ｐkcを用いて、次の式によっ
て検証する。 ＶPkc(Ｈn，ＳSkc(Ｈn）） 結果がｔｒｕｅとなる場合は、正当な機器側装置１０が
作成した初期化伺い通知であると判断し認証は成功とみ
なし、結果がｆａｌｓｅとなる場合は認証失敗とみなし
て処理を中断し、機器側装置１０にエラーを通知する。6. In the initialization control unit 221, the signature verifier 225 stores the signature of the received initialization inquiry notification in the memory 22.
Using the managed device public key Pkc in 6, the verification is performed by the following equation. VPkc (Hn , SSkc (Hn )) If the result is true, it is determined that the notification is an initialization inquiry notification created by a valid device-side device 10, the authentication is regarded as successful, and the result is false. In this case, the authentication is considered to have failed, the processing is interrupted, and an error is notified to the device-side device 10.
【００４１】７．初期化伺い通知の認証に成功した場
合、初期化制御部２２１は、比較器２３０によってＨn
とＨ′nを比較して一致する場合、ログ管理サーバ２の
管理者が別途定める追加回数上限値Ｎ、追加期限Ｔの組
に、署名器２２３で、メモリ２２４内のログ管理サーバ
秘密鍵Ｓksによる署名を付与した初期化命令（（Ｎ，
Ｔ），ＳSks(Ｎ，Ｔ））を生成し、機器側装置１０の機
器側初期化処理部１２５に送信する。一方、ＨnとＨ′
nが一致しない場合は処理を中断する。なおファイアウ
ォールの内部を起点とする往復通信では、往路がファイ
アウォールを起点としていれば復路、つまりサーバ２か
ら機器側装置１０への通信は可能である。7. When the initialization inquiry notification is successfully authenticated, the initialization control unit 221 causes the comparator 230 to output Hn
And H ′n are compared, and if they match, the signer 223 adds the log management server secret key Sks in the memory 224 to the set of the upper limit N of the number of additions and the additional period T separately determined by the administrator of the log management server 2. An initialization instruction ((N,
T), SSks (N, T)) are generated and transmitted to the device-side initialization processing unit 125 of the device-side device 10. On the other hand, Hn and H '
If n does not match, the processing is interrupted. In the round-trip communication starting from the inside of the firewall, the return path, that is, the communication from the server 2 to the device-side device 10 is possible if the outward path starts from the firewall.
【００４２】８．機器側初期化処理部１２５では、初期
化処理部１２５ａがログ管理サーバ２から受信した初期
化命令の署名を署名検証器１２５ｃが、メモリ１２５ｄ
内のログ管理サーバ公開鍵Ｐksを用いて、次の式によっ
て検証する。ＶPks(（Ｎ，Ｔ），ＳSks(Ｎ，Ｔ））結果
がｔｒｕｅとなる場合は、正当なログ管理サーバによる
初期化命令であると判断し認証は成功とみなして、追加
可否判断部１２２に初期化命令を転送する。一方、認証
結果がｆａｌｓｅとなる場合は処理を中断し、ログ管理
サーバ２にエラーを通知する。8. In the device-side initialization processing unit 125, the signature verification unit 125c checks the signature of the initialization instruction received by the initialization processing unit 125a from the log management server 2 by the memory 125d.
Using the log management server public key Pks in the above, verification is performed by the following equation. If the result of VPks ((N, T), SSks (N, T)) is true, it is determined that the command is an initialization command by a valid log management server, the authentication is regarded as successful, and the addition possibility determination unit is determined. The initialization instruction is transferred to 122. On the other hand, if the authentication result is false, the process is interrupted and an error is notified to the log management server 2.
【００４３】９．追加可否判断部１２２の制御部１２２
ａは、初期化命令を受け付けると、追加可能回数カウン
タ１２２ｃの値をＮ、追加期限メモリ１２２ｄの値を
Ｔ、ログ状態管理部１２４の内容を空に設定し、ログ管
理サーバ２に初期化完了を通知すると共に制御部１６に
も通知し、制御部１６は機器動作停止・解除部１５によ
り管理対象機器１の通常動作を再開させる。なお、ログ
の追加時にログ発生部１１がログＬn自体をログ管理部
１２への追加要求に含める場合は、追加可否判断部１２
２のブロック図が図９となり、追加可否判断部１２２で
の処理は第２の実施例と同様に変更するが、全体の処理
の流れはこの第３の実施例とほぼ同様にすればよい。 第４の実施例 （５）ログの回収（ログ管理サーバ２側でダイジェスト
値を比較する場合２） 第３の実施例で示したログの回収処理と同様に、Ｈ′n
とＨnの比較処理をログ管理サーバ２側で行い、制御部
１６はログ管理サーバ２に対してログの送信を行うのみ
で良い場合、つまりログ管理部１２の処理は決ってお
り、管理者は制御部１６についてのみの処理を考慮すれ
ばよい場合の処理の流れの他の例を、図１、図２、図
７、図８、図１８をもとにして以下に示す。9. Control unit 122 of addition availability determination unit 122
When receiving the initialization command, a sets the value of the number-of-additional-times counter 122c to N, the value of the additional time limit memory 122d to T, the content of the log status management unit 124 to empty, and completes the initialization to the log management server 2. Is also notified to the control unit 16, and the control unit 16 causes the device operation stop / release unit 15 to restart the normal operation of the managed device 1. When the log generation unit 11 includes the log Ln itself in the addition request to the log management unit 12 at the time of adding a log, the log generation unit 11
FIG. 9 is a block diagram of the second embodiment, and the processing in the addition possibility determination section 122 is changed in the same manner as in the second embodiment, but the flow of the entire processing may be substantially the same as that in the third embodiment. 4. Fourth embodiment (5) Log collection (when the digest value is compared on the log management server 2 side) As in the log collection processing shown in the third embodiment, H ′n
In the casewhere the log management server 2 side performs the comparison processing of the log management server 2 and the control unit 16 only needs to transmit the log to the log management server 2, that is, the processing of the log management unit 12 is determined. The following shows another example of the processing flow in the case where only the processing of the control unit 16 needs to be considered based on FIGS. 1, 2, 7, 8, and 18.
【００４４】１．機器側装置１０の制御部１６は、追加
不許可通知を受けると、ログ送信部１４を通じて、ログ
蓄積部１３内のすべてのログＬ1，Ｌ2，…，Ｌnをロ
グ管理サーバ２に送信する。ただし、送信中のログに対
する第三者による盗聴、盗難については、第１の実施例
で示した方法によって防止する。 ２．ログ管理サーバ２の制御部２４はログ受信部２１
で、受信したログＬ1，Ｌ2，…，Ｌnを、ログ蓄積部
２３に蓄積すると共にサーバ側初期化処理部２２の初期
化制御部２２１に転送する。1. When the control unit 16 of the device-side device 10 receives the addition non-permission notification, the control unit 16 transmits all the logs L1 , L2 ,..., Ln in the log accumulation unit 13 to the log management server 2 via the log transmission unit 14. I do. However, eavesdropping and theft by a third party on the log being transmitted is prevented by the method described in the first embodiment. 2. The control unit 24 of the log management server 2 includes a log receiving unit 21
Then, the received logs L1 , L2 ,..., Ln are stored in the log storage unit 23 and transferred to the initialization control unit 221 of the server-side initialization processing unit 22.
【００４５】３．初期化制御部２２１は、ダイジェスト
値演算器２２２によって、ログＬ1，Ｌ2，…，Ｌnか
らＨ′nを算出する。なお、ダイジェスト値演算器２２
２は以下の式に従ってＨ′nを計算する。 Ｈ′1＝ｆ（Ｌ1） Ｈ′i＝ｆ（Ｈ′i-1‖ｆ（Ｌi））（ｉ＞１） ４．初期化制御部２２１は、署名器２２３を利用して、
メモリ２２４内のログ管理サーバ秘密鍵Ｓksによる署名
を付与したダイジェスト値取得要求（ｒｅｑ，ＳSks(ｒ
ｅｑ））を生成して、機器側初期化処理部１２５に対し
て送信する。ただし、ｒｅｑは管理対象機器１とログ管
理サーバ２間で事前に定めたダイジェスト値取得要求を
表わす適切なメッセージとする。3. The initialization control unit 221 uses the digest value calculator 222 to calculate H ′n from the logs L1 , L2 ,..., Ln . Note that the digest value calculator 22
2 calculates H ′n according to the following equation. H ′1 = f (L1 ) H ′i = f (H ′i−1 ‖f (Li )) (i> 1) The initialization control unit 221 uses the signature unit 223 to
A digest value acquisition request (req, SSks (r
eq)) is generated and transmitted to the device-side initialization processing unit 125. Here, req is an appropriate message representing a digest value acquisition request determined in advance between the managed device 1 and the log management server 2.
【００４６】５．機器側初期化処理部１２５は、ダイジ
ェスト値取得要求の署名を、署名検証器１２５ｃを利用
し、メモリ１２ｄ内のログ管理サーバ公開鍵Ｐksを用い
て、次の式によって検証する。 ＶPks(ｒｅｑ，ＳSks(ｒｅｑ）） 結果がｔｒｕｅとなる場合は、正当なログ管理サーバ２
からのダイジェスト値取得要求であるとみなし、ログ状
態管理部１２４内のＨnを含み、署名器１２５ｅによっ
て機器側装置１０の秘密鍵Ｓkcにる署名が付与されたダ
イジェスト値送信通知（Ｈn，ＳSkc(Ｈn））を生成し
てログ管理サーバ２に送信する。5. The device-side initialization processing unit 125 verifies the signature of the digest value acquisition request by using the signature verifier 125c and the log management server public key Pks in the memory 12d according to the following equation. VPks (req, SSks (req)) If the result is true, the valid log management server 2
, The digest value transmission request (Hn , Hn ) including the Hn in the log state management unit 124 and the signature given by the signature key 125 e with the secret key Skc of the device-side apparatus 10. SSkc (Hn )) is generated and transmitted to the log management server 2.
【００４７】ダイジェスト値取得要求の署名の検証結果
がｆａｌｓｅとなる場合は認証失敗とみなして処理を中
断し、ログ管理サーバ２にエラーを通知する。 ６．初期化制御部２２１は、機器側装置１０から受信す
るダイジェスト値送信通知の署名を、署名検証器２２５
を利用し、機器側装置１０の公開鍵Ｐkcを用いて、次の
式によって検証する。 ＶPkc(Ｈn，ＳSkc(Ｈn）） 結果がｔｒｕｅとなる場合は認証は成功とみなし、結果
がｆａｌｓｅとなる場合は認証失敗とみなして処理を中
断する。When the verification result of the signature of the digest value acquisition request is false, it is regarded as an authentication failure, the processing is interrupted, and an error is notified to the log management server 2. 6. The initialization control unit 221 converts the signature of the digest value transmission notification received from the device-side device 10 into a signature verifier 225
Is verified using the public key Pkc of the device-side device 10 according to the following equation. VPkc (Hn , SSkc (Hn )) If the result is true, the authentication is regarded as successful, and if the result is false, the authentication is regarded as failure and the processing is interrupted.
【００４８】７．ダイジェスト値送信通知の署名の検証
に成功した場合、初期化制御部２２１は、ＨnとＨ′n
を比較し、一致する場合、ログ管理サーバ２の管理者が
別途定める追加回数上限値Ｎ、追加期限Ｔの組に、署名
器２２３によってログ管理サーバ秘密鍵２２４（Ｓks）
による署名を付与した初期化命令（（Ｎ，Ｔ），Ｓ
Sks(Ｎ，Ｔ））を生成し、機器側装置１０の機器側初期
化処理部１２５に送信する。一方、ＨnとＨ′nが一致
しない場合は処理を中断する。7. When the signature of the digest value transmission notification has been successfully verified, the initialization control unit 221 sets Hn and H ′n
Are compared, and if they match, the log management server private key 224 (Sks) is added by the signer 223 to the set of the maximum number of additions N and the additional time limit T separately determined by the administrator of the log management server 2.
(N, T), S
Sks (N, T)), and transmits to the device side initializing unit 125 of the apparatus-side device 10. On the other hand, when the Hn and H'n do not match the process is interrupted.
【００４９】８．機器側初期化処理部１２５では、ログ
管理サーバ２から初期化処理部１２５ａが受信した初期
化命令の署名を、署名検証器１２５ｃが、メモリ１２５
ｄ内のログ管理サーバ公開鍵Ｐksを用いて、次の式によ
って検証する。 ＶPks(（Ｎ，Ｔ），ＳSks(Ｎ，Ｔ）） 結果がｔｒｕｅとなる場合は、正当なログ管理サーバに
よる初期化命令であると判断し認証は成功とみなして、
追加可否判断部１２２に初期化命令を転送する。一方、
認証結果がｆａｌｓｅとなる場合は処理を中断し、ログ
管理サーバ２にエラーを通知する。8. In the device-side initialization processing unit 125, the signature of the initialization command received by the initialization processing unit 125a from the log management server 2 is stored in the memory 125 by the signature verifier 125c.
The verification is performed by the following equation using the log management server public key Pks in d. VPks ((N, T), SSks (N, T)) If the result is true, it is determined that the command is an initialization command by a valid log management server, and authentication is regarded as successful.
The initialization instruction is transferred to the addition possibility determination unit 122. on the other hand,
If the authentication result is false, the process is interrupted and an error is notified to the log management server 2.
【００５０】９．追加可否判断部１２２の制御部１２２
ａは、初期化命令を受け付けると、追加可能回数カウン
タ１２２ｃの値をＮ、追加期限メモリ１２２ｄの値を
Ｔ、ログ状態管理部１２４の内容を空に設定し、制御部
１６とログ管理サーバ２に初期化完了を通知する。制御
部１６は初期化完了通知を受けて、機器動作停止・解除
部１５により管理対象機器１の通常動作を再開させる。
なお、第２の実施例と同様、ログの追加時にログ発生部
１１がログ自体をログ管理部１２への追加要求に含める
場合は、追加可否判断部１２２のブロック図が図９とな
り、追加可否判断部１２２の処理を第２の実施例と同様
に行い、この他の処理はこの上記第４の実施例とほぼ同
様に行えばよい。 第５の実施例 （６）ログ管理部１２がネットワーク上に存在する場合 ログ管理部１２をネットワーク上の第三者機関が管理
し、汎用的なログの正当性保証サービスを提供すること
ができる。9. Control unit 122 of addition availability determination unit 122
a, upon receiving the initialization command, sets the value of the addable number counter 122c to N, the value of the additional time limit memory 122d to T, and the contents of the log status management unit 124 to be empty. To the initialization completion. Upon receiving the initialization completion notification, the control unit 16 causes the device operation stop / release unit 15 to resume normal operation of the managed device 1.
As in the second embodiment, when the log generation unit 11 includes the log itself in the addition request to the log management unit 12 at the time of adding a log, the block diagram of the addition availability determination unit 122 is shown in FIG. The processing of the determination unit 122 may be performed in the same manner as in the second embodiment, and the other processing may be performed in substantially the same manner as in the fourth embodiment. Fifth Embodiment (6) When the Log Management Unit 12 Exists on the Network The log management unit 12 can be managed by a third-party organization on the network, and a general log validity assurance service can be provided. .
【００５１】まず、ログの追加処理については、前記
（１）および前記（３）で示した処理に対して、次のよ
うな変更が必要である。すなわち、インターネットなど
の信頼性の低いネットワークを利用する場合、制御部１
６とログ管理部１２間は相互認証と通信内容の暗号化が
必要である。そのため、それぞれが公開鍵と秘密鍵の組
を作成し、公開鍵を事前に交換して配置、あるいは、共
通鍵を作成して双方に配置する必要がある。ただし、専
用ネットワークを利用する等のため、制御部１６とログ
管理部１２間の通信のセキュリティレベルが高い場合に
は、相互認証と通信の暗号化のいずれかを実現するだけ
でも良い。First, as for the log addition processing, the following changes are required from the processing shown in the above (1) and (3). That is, when using a low-reliability network such as the Internet, the control unit 1
6 and the log management unit 12 require mutual authentication and encryption of communication contents. Therefore, it is necessary to generate a pair of a public key and a secret key, and exchange and arrange the public keys in advance, or create a common key and arrange them on both sides. However, if the security level of the communication between the control unit 16 and the log management unit 12 is high because a dedicated network is used, it is only necessary to realize either the mutual authentication or the encryption of the communication.
【００５２】また、ログの回収処理については、前記
（２）、前記（４）、前記（５）で示したいずれの処理
手順によっても実現可能である。 （７）その他 追加可否判断部１２２の実装パターンとして、追加回数
の制限、追加量の制限、追加期限のいずれか１つまたは
複数の制限の組み合わせとして７通りの構成が考えられ
る。図２、図９は、このうちの２つのパターンを示した
図であり、その他のパターンについては容易に構成でき
ることは明かであるので対応する図は省略する。The log collection processing can be realized by any of the processing procedures shown in the above (2), (4) and (5). (7) Others As the mounting pattern of the addition availability determination unit 122, seven configurations are conceivable as any one of the limitation on the number of additions, the limitation on the amount of addition, and the combination of a plurality of limitations. FIGS. 2 and 9 show two of these patterns, and it is clear that other patterns can be easily formed, so that the corresponding figures are omitted.
【００５３】また、前記実施例では、ログ状態更新部１
２３とログ状態管理部１２４の実現手段として、一方向
関数によるログのダイジェスト値を用いているが、前記
（３）に示したように、ログ管理部１２が、ログ発生部
１１から受け付ける追加要求がログ自体を含む場合は、
ログの状態管理の方法として、ログそのものをそのまま
蓄積する方法が考えられる。この場合、正常な場合はロ
グ状態管理部１２４に保持されているログとログ蓄積部
１３に蓄積されているログとは同一となる。In the above embodiment, the log status updating unit 1
23 and a log digest value by a one-way function are used as a means for realizing the log state management unit 124. As shown in (3) above, the log management unit 12 accepts an additional request received from the log generation unit 11. Contains the log itself,
As a method of managing the log state, a method of storing the log itself as it is can be considered. In this case, if the log is normal, the log stored in the log status management unit 124 and the log stored in the log storage unit 13 are the same.
【００５４】前述した機器側装置１０はコンピュータを
主体として構成することができる。例えば図１９に示す
ように、バス３０１にログ発生部１１、ログ蓄積部１
３、ログ送信部１４、機器動作停止・解除部１５、例え
ばＩＣカードのような耐タンパ性ログ管理部１２、一方
向関数演算部３０２、プログラムメモリ３０３、ＣＰＵ
３０４、動作用メモリ３０５が接続され、ＣＰＵ３０４
はメモリ３０３内のコンピュータの基本動作プログラム
およびこのログ管理の機器側処理プログラムを実行して
ログ発生部１１からのログ発生にもとづき、一方向関数
演算部３０２にログＬnに対し、ダイジェスト値ｈnを
演算させ、ｈnをログ管理部１２に入力させる。The device 10 described above can be constituted mainly by a computer. For example, as shown in FIG. 19, the log generation unit 11 and the log accumulation unit 1
3, a log transmission unit 14, a device operation stop / release unit 15, a tamper-resistant log management unit 12, such as an IC card, a one-way function calculation unit 302, a program memory 303, and a CPU.
304, an operation memory 305 is connected, and the CPU 304
Based on the log generation from the log generating unit 11 by executing the computer basic operation program and the device-side program of the log management of the memory 303, to the log Ln to the one-way function calculating unit 302, a digest value hn is calculated and hn is input to the log management unit 12.
【００５５】ログ管理部１２もそのＣＰＵ４０１がメモ
リ（通常ＲＯＭ）４０２内のプログラムを実行して処理
を行うものであり、入出力インターフェース部４０３を
介してバス３０１と接続され、メモリ４０４内に追加可
能回数カウンタ１２２ｃを構成する領域４０４ａ、追加
期限が格納される領域４０４ｂ、追加可能量カウンタ１
２２ｅを構成する領域４０４ｃ、更に現ログ状態Ｈn-1
が格納される領域４０４ｄなどが設けられ、メモリ（通
常ＲＯＭ）４０５内の図１２に示した処理を行う追加可
否判断プログラムをメモリ４０８の内容や時計４０６を
参照してＣＰＵ４０１が実行し、また一方向関数演算部
４０７にＨn＝ｆ（Ｈn-1‖ｈn）の演算を行わせて、
メモリ４０４内のＨn-1を更新させ、追加可否判断結果
をインタフェース４０３を介してＣＰＵ３０４へ通知す
る。The log management unit 12 is also one in which the CPU 401 executes processing by executing a program in a memory (normal ROM) 402. The log management unit 12 is connected to the bus 301 via the input / output interface unit 403 and added to the memory 404. An area 404a constituting the possible number counter 122c, an area 404b for storing an additional time limit, and an addable amount counter 1
22e, and the current log state Hn-1
Is provided, and the CPU 401 executes an addition possibility determination program for performing the processing shown in FIG. 12 in the memory (normal ROM) 405 with reference to the contents of the memory 408 and the clock 406. The direction function calculation unit 407 performs the calculation of Hn = f (Hn−1 ‖hn ),
Hn−1 in the memory 404 is updated, and the result of the addition determination is notified to the CPU 304 via the interface 403.
【００５６】またＣＰＵ４０１はメモリ（ＲＯＭ）４０
８内の機器側初期化プログラムを実行し、送受信部４０
９を介してログ管理サーバとデータを送受信し、メモリ
４０４内の各制御を初期化し、更にその際、署名検証処
理部１２５ｃにより署名検証を行わせたり、署名処理部
１２５ｅにより署名を生成させたりし、必要に応じて動
作用メモリ４１１を利用する。署名鍵、検証鍵はメモリ
４１２に格納されてある。一方向関数演算部３０２及び
４０７、署名検証処理部１２５ｃ、署名処理部１２５ｅ
はそれぞれモジュール化されたものが用いられる。The CPU 401 has a memory (ROM) 40
8 to execute the device-side initialization program.
9 for transmitting and receiving data to and from the log management server and initializing each control in the memory 404. At this time, the signature is verified by the signature verification processing unit 125c or generated by the signature processing unit 125e. Then, the operation memory 411 is used as needed. The signature key and the verification key are stored in the memory 412. One-way function calculation units 302 and 407, signature verification processing unit 125c, signature processing unit 125e
Are modularized.
【００５７】ＣＰＵ３０４はメモリ３０３内のプログラ
ムの実行により、ログ管理部１２からの判断結果や、初
期化完了通知などを受信して、ログ蓄積部１３に対する
ログの蓄積、機器動作停止・解除部１５に指令を出し、
管理対象機器の動作の停止やその解除を行わせ、またロ
グ蓄積部１３に蓄積されているログをログ送信部１４に
よりログ管理サーバへ送信させたりする。ログのログ管
理サーバ２への送信時に安全性のために暗号化部３０６
によりログを暗号化して送信する。ログ管理サーバの正
当性の認証のための検証、機器側装置１０の正当性を認
証させるための署名としては、先に述べたように共通鍵
方式によってもよい。The CPU 304 receives the judgment result from the log management unit 12 and the notification of the completion of the initialization by executing the program in the memory 303, accumulates the log in the log accumulation unit 13, and stops and releases the operation of the device 15. Issue a command to
The operation of the managed device is stopped or canceled, and the log stored in the log storage unit 13 is transmitted to the log management server by the log transmission unit 14. When transmitting the log to the log management server 2, the encryption unit 306 is used for security.
To encrypt and transmit the log. As a verification for authenticating the validity of the log management server and a signature for authenticating the validity of the device-side device 10, the common key method may be used as described above.
【００５８】ログ管理サーバ２も同様にコンピュータに
より機能させることができる。例えば図２０に示すよう
に、ＣＰＵ５０１がメモリ５０２内のプログラムを実行
して機器側装置１０から送信されたログが受信部２１に
受信されると、その受信ログを復号化部５０３により復
号化してログ蓄積部２３に格納し、また一方向関数演算
部５０４に演算させてダイジェスト値Ｈ′nを求め、入
力部５０５により入力され、メモリ５０６に保持されて
いる追加可能上限回数Ｎ、追加期限Ｔ、追加可能上限量
Ｍ、Ｈ′nにより初期化命令を作成し、署名処理部２２
３により署名を生成して、送受信部５０７より機器側装
置１０へ送信し、また機器側装置１０から送受信部５０
７に受信したデータを署名検証処理部２２５で検証して
処理する。署名鍵、検証鍵はメモリ５０８に格納されて
ある。署名処理部２２３、署名検証部２２５、復号化部
５０３、一方向関数演算部５０４はそれぞれモジュール
化されたものを用いてもよく、プログラムを実行させて
機能させてもよい。この場合の認証処理としては共通鍵
方式によってもよい。The log management server 2 can be similarly operated by a computer. For example, as shown in FIG. 20, when the CPU 501 executes a program in the memory 502 and the log transmitted from the device-side apparatus 10 is received by the receiving unit 21, the received log is decrypted by the decrypting unit 503. The digest value H ′n is stored in the log storage unit 23 and operated by the one-way function operation unit 504 to obtain the digest value H ′n, which is input by the input unit 505 and is stored in the memory 506. , addable limit amount M, the H'n create an initialization instruction, the signature processing unit 22
3, a signature is generated, transmitted from the transmission / reception unit 507 to the device-side device 10, and transmitted from the device-side device 10 to the transmission / reception unit 50.
7, the data received by the signature verification unit 225 is verified and processed. The signature key and the verification key are stored in the memory 508. Each of the signature processing unit 223, the signature verification unit 225, the decryption unit 503, and the one-way function operation unit 504 may use a module, or may execute a program to function. The authentication process in this case may be based on a common key method.
【００５９】上述において、ログ蓄積部１３には管理対
象機器１の使用開始からの全てのログを保存し、ログ状
態管理部１２４には追加機器判断部１２２を初期化して
からそれについて追加許可を返却できなくなるまでのロ
グ又はそのダイジェスト値を保存し、ログ管理サーバ２
へのログの送信は、そのログ状態管理部１２４内に保存
したログ状態情報と対応したログのみ、つまり追加した
ログのみを送信するようにしてもよい。In the above description, the log storage unit 13 stores all logs from the start of use of the management target device 1, and the log status management unit 124 initializes the additional device determination unit 122, and then permits addition of the additional device determination unit 122. Save the log until it cannot be returned or its digest value and save it in the log management server 2
May be transmitted only to the log corresponding to the log status information stored in the log status management unit 124, that is, only the added log.
【００６０】上述では初期化の条件の１つとして、ログ
状態管理部１２４に保有しているログ状態情報と、ログ
管理サーバ２へ送信したログを表わすログ状態情報とが
一致することとしたが、この条件は必ずしも設けなくて
もよい。更にログ管理部１２が不許可を返却した場合は
ログをログ管理サーバ２へ送り、追加可否判断部１２２
を初期化したが、最初に不許可が返却されたら、管理対
象機器１の動作を停止し、その後の動作を再開させなく
てもよい。この場合は例えば使い捨てカメラのようなも
のに適用できる。In the above description, one of the initialization conditions is that the log status information held in the log status management unit 124 matches the log status information indicating the log transmitted to the log management server 2. However, this condition need not always be provided. Further, when the log management unit 12 returns the non-permission, the log is sent to the log management server 2, and the addition possibility determination unit 122
Is initialized, but when the disapproval is returned first, the operation of the managed device 1 may be stopped and the subsequent operation may not be restarted. In this case, the present invention can be applied to, for example, a disposable camera.
【００６１】上述において機器側初期化処理部１２５に
おけるログ管理サーバとの送受通信をログ送信部１４を
用いて行ってもよい。同様にサーバ側初期化処理部２２
の機器側装置１０との送受信を、ログ受信部２１で行っ
てもよい。In the above description, the transmission / reception communication with the log management server in the device-side initialization processing unit 125 may be performed using the log transmission unit 14. Similarly, the server-side initialization processing unit 22
The transmission / reception with the device-side device 10 may be performed by the log receiving unit 21.
【００６２】[0062]
【発明の効果】以上述べたように、この発明によって、
管理対象機器が一定の制約を超えてログを蓄積する場合
にその機器の通常の動作を制限することによって、ログ
管理サーバへのログの送信を義務付けることができるた
め、ログの提出拒否の防止、すなわち確実なログの回収
が可能となる。しかも通信路を常時確立しておく必要が
ない。As described above, according to the present invention,
When the managed device accumulates logs exceeding a certain limit, by restricting the normal operation of the device, it is possible to obligate the transmission of logs to the log management server, thereby preventing the refusal of log submission, That is, it is possible to reliably collect logs. Moreover, there is no need to always establish a communication path.
【００６３】また、この発明の実施例によって、ログ管
理サーバは、機器側装置からログを受信した際、ログの
内容を表わすダイジェスト値を比較する構成とする場合
は、機器側装置内および転送中のログの改竄を検出でき
るため、安全にログの蓄積および回収を行うことが可能
となる。さらに、管理対象機器の動作制限の解除および
ログの追加制約の再設定の処理では、ログの内容の改変
を検証するだけでなく、正当な機器側装置およびログ管
理サーバであることの認証を行なうため、安全に処理す
ることが可能である。また、ログの追加制約は、ログの
追加回数、ログの追加量、追加期限のいずれか１つまた
は複数の組み合わせによって、柔軟に設定することが可
能である。Further, according to the embodiment of the present invention, when the log management server is configured to compare a digest value representing the content of the log when receiving the log from the device side device, the log management server may be in the device side device and during the transfer. Since the alteration of the log can be detected, it is possible to safely accumulate and collect the log. Further, in the processing of releasing the operation restriction of the managed device and resetting the log addition restriction, not only the alteration of the log content is verified, but also the authentication of the device as a legitimate device and the log management server is performed. Therefore, it is possible to process safely. Further, the log addition constraint can be flexibly set by any one or a combination of the number of times of log addition, the amount of log addition, and the additional time limit.
【図１】この発明のシステムの機能構成例を示すブロッ
ク図。FIG. 1 is a block diagram showing a functional configuration example of a system according to the present invention.
【図２】図１中の追加可否判断部１２２（追加量の制限
なし）の機能構成例を示すブロック図。FIG. 2 is a block diagram showing an example of a functional configuration of an addition availability determination unit 122 (with no restriction on the amount of addition) in FIG. 1;
【図３】図１中の機器側初期化処理部１２５（比較器の
機器側設置）の機能構成例を示すブロック図。FIG. 3 is a block diagram showing a functional configuration example of a device-side initialization processing unit 125 (comparator-side installation of the comparator) in FIG. 1;
【図４】図１中のサーバ側初期化処理部２２（比較器の
機器側設置）の機能構成例を示すブロック図。FIG. 4 is a block diagram showing a functional configuration example of a server-side initialization processing unit 22 (installation of a comparator on the device side) in FIG. 1;
【図５】図１中の機器側初期化処理部１２５（共通鍵利
用）の機能構成例を示すブロック図。FIG. 5 is a block diagram showing a functional configuration example of a device-side initialization processing unit 125 (using a common key) in FIG. 1;
【図６】図１中のサーバ側初期化処理部２２（共通鍵利
用）の機能構成例を示すブロック図。FIG. 6 is a block diagram showing a functional configuration example of a server-side initialization processing unit 22 (using a common key) in FIG. 1;
【図７】図１中の機器側初期化処理部１２５（比較器の
サーバ側設置）の機能構成例を示すブロック図。7 is a block diagram showing an example of a functional configuration of a device-side initialization processing unit 125 (installation of a comparator on a server side) in FIG. 1;
【図８】図１中のサーバ側初期化処理部２２（比較器の
サーバ側設置）の機能構成例を示すブロック図。FIG. 8 is a block diagram showing an example of a functional configuration of a server-side initialization processing unit 22 (comparator server-side installation) in FIG. 1;
【図９】図１中の追加可否判断部１２２（追加量の制限
あり）の機能構成例を示すブロック図。FIG. 9 is a block diagram showing an example of a functional configuration of an addition availability determination unit 122 (with an additional amount limited) in FIG. 1;
【図１０】ログ追加における機器側装置の制御部１６の
処理手順の例を示す流れ図。FIG. 10 is a flowchart illustrating an example of a processing procedure of the control unit 16 of the device-side device in log addition.
【図１１】ログ追加におけるログ管理部１２の処理手順
の例を示す流れ図。FIG. 11 is a flowchart showing an example of a processing procedure of a log management unit 12 in log addition.
【図１２】ログ追加における追加可否判断部１２２の処
理手順の例を示す流れ図。FIG. 12 is a flowchart illustrating an example of a processing procedure of an addition availability determination unit 122 in log addition.
【図１３】ログ回収における機器側装置の制御部１６の
処理手順の例を示す流れ図。FIG. 13 is a flowchart showing an example of a processing procedure of the control unit 16 of the device-side device in log collection.
【図１４】ログ回収におけるログ管理サーバ２の処理手
順の例を示す流れ図。FIG. 14 is a flowchart showing an example of a processing procedure of the log management server 2 in log collection.
【図１５】ログ回収における機器側初期化処理部１２５
の処理手順の例を示す流れ図。FIG. 15 is a device-side initialization processing unit 125 in log collection.
4 is a flowchart showing an example of the processing procedure.
【図１６】ログ回収（比較器機器側）における機器側装
置１０とログ管理サーバ２間のデータの送、受信を示す
図。FIG. 16 is a diagram showing transmission and reception of data between the device-side device 10 and the log management server 2 during log collection (comparator device side).
【図１７】ログ回収（比較器サーバ側）における機器側
装置１０とログ管理サーバ２間のデータの送、受信を示
す図。FIG. 17 is a diagram showing transmission and reception of data between the device-side device 10 and the log management server 2 during log collection (comparator server side).
【図１８】ログ回収（比較器サーバ側）における機器側
装置１０とログ管理サーバ２間のデータの送、受信の他
の例を示す図。FIG. 18 is a diagram showing another example of data transmission and reception between the device-side device 10 and the log management server 2 in log collection (comparator server side).
【図１９】機器側装置１０をコンピュータにより構成し
た機能構成例を示すブロック図。FIG. 19 is a block diagram showing an example of a functional configuration in which the device-side device 10 is configured by a computer.
【図２０】ログ管理サーバ２をコンピュータにより構成
した機能構成例を示すブロック図。FIG. 20 is a block diagram illustrating an example of a functional configuration in which the log management server 2 is configured by a computer.
フロントページの続き (72)発明者 寺田 雅之 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 Ｆターム(参考） 5B042 GA12 JJ03 MA08 MA09 MA20 5B089 GA12 GA21 GA25 GB02 JB16 KA12 KB04Continuation of the front page (72) Inventor Masayuki Terada 2-3-1 Otemachi, Chiyoda-ku, Tokyo F-term in Nippon Telegraph and Telephone Corporation (reference) 5B042 GA12 JJ03 MA08 MA09 MA20 5B089 GA12 GA21 GA25 GB02 JB16 KA12 KB04
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000173066AJP2001350652A (en) | 2000-06-09 | 2000-06-09 | Operation log storage device and operation log storage management method |
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000173066AJP2001350652A (en) | 2000-06-09 | 2000-06-09 | Operation log storage device and operation log storage management method |
| Publication Number | Publication Date |
|---|---|
| JP2001350652Atrue JP2001350652A (en) | 2001-12-21 |
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000173066APendingJP2001350652A (en) | 2000-06-09 | 2000-06-09 | Operation log storage device and operation log storage management method |
| Country | Link |
|---|---|
| JP (1) | JP2001350652A (en) |
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003058395A (en)* | 2001-06-04 | 2003-02-28 | Sony Computer Entertainment Inc | Log collecting/analyzing system, log collecting method, log collecting program for making computer perform, log analyzing method, log analyzing program for making computer perform, log collecting device, log analyzing device, log collecting terminal and log server |
| JP2008052390A (en)* | 2006-08-23 | 2008-03-06 | Hitachi Software Eng Co Ltd | Audit log recording control method and information leakage monitoring program |
| JP2009053740A (en)* | 2007-08-23 | 2009-03-12 | Internatl Business Mach Corp <Ibm> | System, method and computer program for recording operation log |
| US8271804B2 (en) | 2007-09-28 | 2012-09-18 | Brother Kogyo Kabushiki Kaisha | Information processing device, log management apparatus, and log management program product |
| JP2019029025A (en)* | 2012-04-05 | 2019-02-21 | アシュラント インコーポレイテッドＡｓｓｕｒａｎｔ，Ｉｎｃ． | System, method, apparatus, and non-transitory computer-readable storage medium for providing mobile device support services |
| US10873850B2 (en) | 2012-04-05 | 2020-12-22 | Assurant, Inc. | System, method, apparatus, and computer program product for providing mobile device support services |
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8090771B2 (en) | 2001-06-04 | 2012-01-03 | Sony Computer Entertainment Inc. | Log collecting/analyzing system with separated functions of collecting log information and analyzing the same |
| JP2003058395A (en)* | 2001-06-04 | 2003-02-28 | Sony Computer Entertainment Inc | Log collecting/analyzing system, log collecting method, log collecting program for making computer perform, log analyzing method, log analyzing program for making computer perform, log collecting device, log analyzing device, log collecting terminal and log server |
| US7558820B2 (en) | 2001-06-04 | 2009-07-07 | Sony Computer Entertainment Inc. | Log collecting/analyzing system with separated functions of collecting log information and analyzing the same |
| JP2008052390A (en)* | 2006-08-23 | 2008-03-06 | Hitachi Software Eng Co Ltd | Audit log recording control method and information leakage monitoring program |
| US8554740B2 (en) | 2007-08-23 | 2013-10-08 | International Business Machines Corporation | Recording a log of operations |
| JP2009053740A (en)* | 2007-08-23 | 2009-03-12 | Internatl Business Mach Corp <Ibm> | System, method and computer program for recording operation log |
| US8271804B2 (en) | 2007-09-28 | 2012-09-18 | Brother Kogyo Kabushiki Kaisha | Information processing device, log management apparatus, and log management program product |
| JP2019029025A (en)* | 2012-04-05 | 2019-02-21 | アシュラント インコーポレイテッドＡｓｓｕｒａｎｔ，Ｉｎｃ． | System, method, apparatus, and non-transitory computer-readable storage medium for providing mobile device support services |
| US10873850B2 (en) | 2012-04-05 | 2020-12-22 | Assurant, Inc. | System, method, apparatus, and computer program product for providing mobile device support services |
| US10939266B2 (en) | 2012-04-05 | 2021-03-02 | Assurant, Inc. | System, method, apparatus, and computer program product for providing mobile device support services |
| US11601801B2 (en) | 2012-04-05 | 2023-03-07 | Assurant, Inc. | System, method, apparatus, and computer program product for providing mobile device support services |
| US11683671B2 (en) | 2012-04-05 | 2023-06-20 | Assurant, Inc. | System, method, apparatus, and computer program product for providing mobile device support services |
| US12150025B2 (en) | 2012-04-05 | 2024-11-19 | Assurant, Inc. | System, method, apparatus, and computer program product for providing mobile device support services |
| Publication | Publication Date | Title |
|---|---|---|
| US11882442B2 (en) | Handset identifier verification | |
| US9071439B2 (en) | Method and apparatus for remote administration of cryptographic devices | |
| CN102413224B (en) | Methods, systems and equipment for binding and running security digital card | |
| CN101682628A (en) | Secure communications | |
| US20070209081A1 (en) | Methods, systems, and computer program products for providing a client device with temporary access to a service during authentication of the client device | |
| US20100255813A1 (en) | Security in a telecommunications network | |
| US8775812B2 (en) | Received message verification | |
| US7302252B2 (en) | Authentication systems, wireless communication terminals, and wireless base stations | |
| JPH10123950A (en) | Data verification method, verified data generation device, and data verification device | |
| US20100250949A1 (en) | Generation, requesting, and/or reception, at least in part, of token | |
| JP2003216237A (en) | Remote monitoring system | |
| JP2017011491A (en) | Authentication system | |
| CN117397202A (en) | Monitoring system for monitoring hash-based digital signatures | |
| JP2002529778A (en) | Incorporating shared randomness into distributed encryption | |
| CN112968779B (en) | A security authentication and authorization control method, control system, and program storage medium | |
| CN119168644A (en) | A blockchain transaction signature and verification method and device supporting quantum security | |
| JP2001350652A (en) | Operation log storage device and operation log storage management method | |
| KR20180052479A (en) | System for updating firm ware of wire and wireless access point using signature chain, wire and wireless access point and method thereof | |
| JP2008176741A (en) | Client terminal, service providing server, service providing system, control method, and service providing method | |
| CN114143777B (en) | Certificate key downloading method and system of internet of things terminal based on SIM card | |
| JP5768543B2 (en) | Electronic signature system, signature server, signer client, electronic signature method, and program | |
| JP5489913B2 (en) | Portable information device and encrypted communication program | |
| CN115859322A (en) | Hospital transaction data encryption management system | |
| CN119382888B (en) | User authentication method, intelligent service system, device, medium, and program | |
| JP4158758B2 (en) | Program ID communication processing control method, program ID communication range control method, and public key communication path providing method |