JP2016038781A - 情報処理装置、情報処理装置の制御方法、およびプログラム - Google Patents

Abstract

【課題】異常の発生時の監査ログを保全し、監査することができる状態を保ったまま、利用者による装置の利用を可能にし、その際の監査ログの記録を継続すること。【解決手段】ＭＦＰ１０１のログ収集部３０３が、実行される各機能に応じて記録された機能ログ３０２を収集して監査ログ３０６として保存し、保存されている監査ログの数が上限数を超える場合、いずれかの監査ログを削除する。また、ログ収集部３０３は、ログの収集を妨げる異常が発生した場合、前記保存されている監査ログを圧縮し異常発生時のログ７０２として別途保存し、前記異常を解消し、上限数を下げる。【選択図】図７

Description

本発明は、ログ記録機能を備えた情報処理装置の制御に関する。

画像読み取り装置、印刷装置、画像保存装置、通信装置を備え、コピー、プリント、スキャン、ＦＡＸ送受信などの画像処理アプリケーションを持つ複合機（ＭＦＰ；ＭｕｌｔｉＦｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）が知られている。ＭＦＰは、さらに、文書ファイル保存機能や、ユーザ認証機能など、情報処理装置としての機能を備えるものも多い。

そのため、他の情報機器と同様に、トレーサビリティ、監査、情報漏洩抑止等を目的として、ＭＦＰの動作に対応してログを記録する機能が提案されている。このようなログは、監査ログと呼ばれている。

監査ログを参照することで、情報漏えいや不正アクセスが発覚した際に、監査ログから軌跡を追う、といったことが可能になる。その目的のためには、監査ログを記録・保存するための処理に関して何らかの異常が発生したとしても、ＭＦＰの動作と監査ログの対応が常にとれていることが重要である。さらに、異常発生時点の監査ログは異常の原因解析のために重要なので、失われることがないよう保全する必要がある。それらの実現のための提案も行われている（特許文献１）。

特許文献１では、監査ログのファイルをＭＦＰの外部に送信するという構成において、ネットワーク障害等が発生した場合の対応方法を提案している。具体的には、特許文献１では、監査ログのファイルサイズが所定の閾値を超えた段階で、ＭＦＰの動作を止める、というものである。この制御により、特許文献１では、「ＭＦＰが動作したにも関わらず、その動作に対応する監査ログが残らない」という状況は発生しなくなる。また、障害発生時の監査ログが、新たに記録された監査ログで上書きされて失われる、ということも起こらなくなる。その結果、ＭＦＰの動作と監査ログの対応が常にとれていることと、異常発生時の監査ログを保全することが共に実現される。

特許５３３４７３９号公報

しかし、特許文献１で示されるログの管理方法では、監査ログファイルを外部に送信できないという障害状態で、監査ログのファイルサイズが所定の閾値を超えると、ＭＦＰの動作を停止してしまう。そのため、利用者がＭＦＰを利用できなくなるという利便性上の課題がある。

本発明は、上記の問題点を解決するためになされたものである。本発明の目的は、異常の発生時のログを保全し、監査することができる状態を保ったまま、利用者による装置の利用を可能にし、その際のログの記録を継続することができる仕組みを提供することである。

本発明は、実行される各機能に応じてログが記録される情報処理装置であって、前記各機能に応じて記録されたログを収集して保存する保存手段と、前記保存手段に保存されているログの数が上限数を超える場合、前記保存されているログのいずれかを削除する削除手段と、異常が発生した場合、前記保存されているログを別途保存し、前記上限数を下げる保全手段と、を有することを特徴とする。

本発明によれば、異常の発生時のログを保全し、監査することができる状態を保ったまま、利用者による装置の利用を可能にし、その際のログの記録を継続することができる。

本実施例の情報処理装置を適用可能なシステム構成図 ＭＦＰのハードウェアの構成図 ＭＦＰのソフトウェア構成図 ログ管理画面を例示する図 ログ収集処理を例示するフローチャート ログ管理画面表示処理を例示するフローチャート 異常発生時のＭＦＰのソフトウェア構成図 異常発生時のログ管理画面を例示する図

以下、本発明を実施するための形態について図面を用いて説明する。なお、以下の実施の形態は特許請求の範囲に係る発明を限定するものでなく、また実施の形態で説明されている特徴の組み合わせの全てが発明の解決手段に必須のものとは限らない。

＜＜システム構成＞＞
図１は、本発明の一実施例を示す情報処理装置を適用可能なシステムの全体構成を例示する図である。
図１において、１０１は本発明の情報処理装置としての画像形成装置であり、特に複合機（ＭＦＰ；ＭｕｌｔｉＦｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）に対応するものである（以下、ＭＦＰ１０１という）。本システムでは、ＬＡＮ１００に、ＭＦＰ１０１とＰＣ１０２とが接続されている。パーソナルコンピュータ（ＰＣ）１０２は、ＭＦＰ１０１に対して印刷指示を出したり、ＭＦＰ１０１の動作を制御したりするために利用される。ＬＡＮ１００は、有線ネットワークであっても無線ネットワークであってもよい。また、ＬＡＮ１００の代わりにＵＳＢ等の他のインタフェースを介して、ＭＦＰ１０１とＰＣ１０２が接続される構成であってもよい。

なお、ＭＦＰ１０１は、トレーサビリティ、監査、情報漏洩抑止等のセキュリティ監査を目的として、ＭＦＰ１０１の動作に対応してログを記録する機能を有する。

＜＜ハードウェア構成＞＞
図２は、ＭＦＰ１０１のハードウェア構成を例示するブロック図である。
ＣＰＵ２０１を含む制御部２００は、ＭＦＰ１０１全体の動作を制御する。ＣＰＵ２０１は、ＲＯＭ２０２に記憶された制御プログラムを読み出して読取制御や送信制御などの各種制御を行う。ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等の一時記憶領域として用いられる。ＨＤＤ２０４は、画像データや各種プログラムを記憶するハードディスクである。なお、ハードディスクの代わりにＳＳＤ（ソリッドステートドライブ）等の他の記憶装置を用いてもよい。

操作部Ｉ／Ｆ２０５は、操作部２１０と制御部２００とを接続する。
プリンタＩ／Ｆ２０６は、プリンタ２１１と制御部２００とを接続する。プリンタ２１１で印刷すべき画像データは、プリンタＩ／Ｆ２０６を介して制御部２００から転送され、プリンタ２１１において記録媒体上に印刷される。
スキャナＩ／Ｆ２０７は、スキャナ２１２と制御部２００とを接続する。スキャナ２１２は、原稿上の画像を読み取って画像データを生成し、該画像データをスキャナＩ／Ｆ２０７を介して制御部２００に入力する。

ＦＡＸ Ｉ／Ｆ２０８は、制御部２００を電話線（図示しない）に接続する。ＦＡＸ Ｉ／Ｆ２０８は、電話線を介してＦＡＸデータの送受信を行う。
ネットワークＩ／Ｆ２０９は、制御部２００（ＭＦＰ１０１）をＬＡＮ１００に接続する。ネットワークＩ／Ｆ２０９は、ＬＡＮ１００上の外部装置（例えば、ＰＣ１０２）からの印刷指示を受信したり、印刷指示に対する応答を送信したりする。

＜＜ソフトウェア構成＞＞
図３は、ＭＦＰ１０１における本発明に関連するソフトウェア構成について例示するブロック図である。なお、特にことわりのない限り、図３に示す各部は、ＣＰＵ２０１がＲＯＭ２０２に記憶された制御プログラムを実行することにより実現されるものである。

図３に示すように、機能実行部３０１は、複数存在しており、それぞれがプリンタＩ／Ｆ２０６、スキャナＩ／Ｆ２０７、ＦＡＸ Ｉ／Ｆ２０８を制御して、コピー、プリント、スキャン、ＦＡＸなどの機能を実行する。また、機能実行部３０１は、ネットワークＩ／Ｆ２０９を制御してＰＣ１０２と通信したり、操作部２１０に表示される設定ＵＩ（図示しない設定画面）を制御してＭＦＰ１０１の動作に関わる設定変更を行ったりもする。さらに、機能実行部３０１は、ユーザ認証に関わる処理を行ったりもする。

各機能実行部３０１は機能を実行すると、その機能の実行に関するログをＨＤＤ２０４上の機能ログ３０２に保存する。機能ログ３０２は、１つの機能実行部３０１につき１つ存在する。機能ログ３０２の例を以下に示す。
表１、表２、表３はそれぞれ、プリント機能、設定変更機能、ユーザ認証機能の機能ログ３０２の例を示すものである。

ログ収集部３０３は、一定間隔で機能ログ３０２に記録されているログを収集して１つにまとめ、監査ログ３０６としてＨＤＤ２０４上に保存する。機能ログ３０２の収集は、図３の"（２）収集"、監査ログ３０６への保存は図７の"（３）保存"に対応する。（２）、（３）の前後でインデックス情報３０５の"（１）参照"、"（４）更新"も行われるが、これについては後述する。

表４は、監査ログ３０６の一例を示すものである。なお、表４は、表１、表２、表３の各機能ログ３０２を１つに結合したものである。

なお、このようにログを２段階で保存するのは、次のような理由による。
複合機には多くの機能が備えられている。また、複合機のソフトウェア開発上の特徴として、市場要望を聞きながらバージョンアップする過程で少しずつ機能を増やしていく、というものがある。そのような背景のもと、ソフトウェア設計上の都合もあり、ログが機能毎に分散されて保存されることは珍しくない。しかし、分散されて保存されたままだと、利用者がログを扱うのに利便性の面で不都合が生じる。このような状況を避けるため、分散されて保存された各機能のログを１つにまとめている。

引き続き、各部の説明を行う。
上限値情報３０４には、監査ログ３０６に保存できるログの件数の上限の数が記録されている。ログ収集部３０３が監査ログ３０６にログを保存する際、監査ログ３０６に保存されているログの件数が、上限値情報３０４が示す数に達している場合は、例えば一番古いログを削除してから新たなログの追加を行う。なお、このような上限数の制御を行うのは、ＨＤＤ２０４の容量が潤沢ではなく、ログのために使用できる容量に制限があるからである。

インデックス情報３０５はファイルであり、ログ収集部３０３が機能ログの何番目までのログを取得済みかが機能別に記録されている。すなわち、インデックス情報は、機能ログ別に収集済みのログと未収集のログを判断可能にするものである。ログ収集部３０３は、インデックス情報３０５に記録されている番号の次の番号以降のログを、機能ログ３０２から収集して監査ログ３０６に保存する。この制御は、ログの増分のみ取得することで、効率的なログ収集を実現するために行っているものである。

インデックス情報３０５の例を表５、表６に示す。
表５は、まだ何も機能ログ３０２が収集されていない状態のインデックス情報３０５を示す表である。表５に示す状態でログ収集を行う場合、ログ収集部３０３は全ての機能についてそれぞれ１番目からログを収集する。ログ収集後のインデックス情報３０５は、表６のように、取得済みＮｏ列の値が更新される。取得済みＮｏ列には、機能毎に、機能ログ３０２の取得済みの最大のログの番号が書き込まれる。

なお、インデックス情報３０５が破損しているときは、ログ収集部３０３は機能ログ３０２の収集を行わない。これは、ログ収集部３０３が機能ログ３０２から、どの番号のログを収集すればよいかが不明なためである。したがって、インデックス情報３０５は、ログ収集を継続する上で重要な情報であると言える。なお、破損が発生する場合としては、例えばインデックス情報３０５の更新が行われている状態で、停電によりＭＦＰ１０１の電源が失われた場合などが考えられる。

ＭＦＰ１０１の利用者が監査ログ３０６の内容を参照するには、例えば、機能実行部３０１が監査ログの管理機能を提供し、ＰＣ１０２上のＷｅｂブラウザ（図示しない）でログ管理画面を表示する、といった方法がある。

図４は、ログ管理画面を例示する図である。
図４に示す例では、「監査ログを表示する」ボタン４０１が押下されると、その旨がＰＣ１０２上のＷｅｂブラウザからＭＦＰ１０１に通知され、監査ログの管理機能を提供する機能実行部３０１により、Ｗｅｂブラウザ上に監査ログ３０６の内容が表示される。「監査ログを削除する」４０２ボタンが押されると、その旨がＰＣ１０２上のＷｅｂブラウザからＭＦＰ１０１に通知され、監査ログの管理機能を提供する機能実行部３０１により、監査ログ３０６に保存されたログが全て削除される。「監査ログをダウンロードする」４０３ボタンが押されると、その旨がＰＣ１０２上のＷｅｂブラウザからＭＦＰ１０１に通知され、監査ログの管理機能を提供する機能実行部３０１により、監査ログ３０６の内容がＭＦＰ１０１からＰＣ１０２に送信され、ファイルとして例えばＰＣ１０２内の記憶装置（ＨＤＤなど）に保存される。

＜＜ログ収集処理＞＞
ログ収集部３０３によるログの収集処理を、図５、図７を用いて説明する。
図５は、ログ収集部３０３によるログ収集処理を例示するフローチャートであり、一定間隔（例えば３０秒間隔）で実行される。なお、このフローチャートの処理は、ＭＦＰ１０１のＣＰＵ２０１がＲＯＭ２０２又はＨＤＤに記録されたプログラムを読み出して実行することにより実現されるものである。
図７は、異常発生時のＭＦＰ１０１のソフトウェアの構成について例示するブロック図である。なお、図７と図３の差異は、図７にエラーフラグファイル７０１と異常発生時のログ７０２（ともに後述する）が追加されている点である。

まず、ログ収集部３０３は、インデックス情報３０５の内容を読み込む（Ｓ５０１）。次に、ログ収集部３０３は、インデックス情報３０５の読み込みに成功したか否かで処理が分岐する（Ｓ５０２）。

インデックス情報３０５の読み込みに成功したと判定した場合（Ｓ５０２でＹｅｓの場合）、ログ収集部３０３は、ログの収集処理を行う（Ｓ５０３〜Ｓ５０６）。具体的には、ログ収集部３０３が、機能ログ３０２からログを収集し（Ｓ５０３）、監査ログとして保存する（Ｓ５０４）。さらに、ログ収集部３０３は、収集したログ件数が上限数を超えた場合は、上限数を超えた数のログを監査ログ３０６から削除し（Ｓ５０５）、インデックス情報３０５を更新する（Ｓ５０６）。そして、本フローチャートの処理を終了する。

ここで、上記Ｓ５０５の処理内容の詳細を説明する。
ログ収集部３０３は、上限値情報３０４の値（監査ログ３０６に保存できるログの最大件数を示す）と監査ログ３０６内のログの件数を比較する。そして、監査ログ３０６内のログの件数のほうが大きいと判定した場合には、ログ収集部３０３は、上限値情報３０４の値を超えた分のログを、日時の古いログから順に、監査ログ３０６から削除する。

なお、監査ログの削除は、日時の古いログから順に削除する構成を示したが、予め設定されている優先順位に基づいて削除してもよい。例えば、機能毎に優先順位を設け、優先順位の低い機能のログを古いログから削除し、優先順位の高い機能のログは、削除しないようにしてもよい。また、上限数を超えないようにログを監査ログ３０６から削除したのち、新たなログを監査ログ３０６に保存するようにしてもよい。

一方、上記Ｓ５０２において、インデックス情報３０５の読み込みに失敗したと判定した場合（Ｓ５０２でＮｏの場合）、ログ収集部３０３は、ログの収集を妨げる異常が発生したと判断し、Ｓ５０７以降の処理を行う。以下、詳細に説明する。

上述のログの収集を妨げる異常が発生した場合、ログ収集部３０３は、エラーフラグファイル７０１をＨＤＤ２０４内に生成する（Ｓ５０７）。なお、エラーフラグファイル７０１は中身が空のファイルで、このファイルが存在していることは、異常が発生したことを示すという意味を持つ。

続いて、ログ収集部３０３は、収集済みの監査ログ３０６を圧縮し、異常発生時のログ７０２としてＨＤＤ２０４に別途保存し、異常発生時のログの保全を行う（Ｓ５０８）。なお、異常発生時のログ７０２は、監査ログ３０６とは異なり、上述したＳ５０５では削除されず、ユーザの確認操作等が検出されるまで保全される。

さらに、ログ収集部３０３は、インデックス情報３０５を初期化して、前記ログの収集を妨げる異常を解消する（Ｓ５０９）。
具体的には、ログ収集部３０３は、インデックス情報３０５のファイルを削除して新たにインデックス情報３０５のファイルをＨＤＤ２０４内に作成し、それぞれの機能について、取得済みＮｏ列に、現在の最大のログの番号を書き込む。現在の最大のログの番号は、ログ収集部３０３が各機能実行部３０１に問い合わせることにより取得することができる。

なお、ここでは、新たに作成したインデックス情報３０５の取得済みＮｏ列に、現在の最大のログの番号を書き込む場合を説明したが、現在の最大のログの番号から所定数を減算した値を書き込むように構成してもよい。なお、該所定数は、前回のログ収集処理から今回のログ収集処理までの間に、記録されると想定される機能ログの数よりも大きい値とすることが望ましい。該所定数は、固定の値であっても、過去のログ収集部３０３のログ収集実績等に応じてログ収集部３０３自身等が決定するものであってもよい。例えば、過去のログ収集部３０３のログ収集実績を曜日別、時間帯別等で、機能別に集計しておき、該集計結果に基づいて曜日別、時間帯別、機能別に決定するようにしてもよい。このように構成することで、前回のログ収集処理から今回のログ収集処理までの間に記録された機能ログの収集もれの発生を抑えることができる。
上記Ｓ５０９においてインデックス情報３０５の初期化により前記ログの収集を妨げる異常が解消すると、ログ収集部３０３は、Ｓ５１０に処理を進める。

上記Ｓ５１０では、ログ収集部３０３は、上限値情報３０４の値を、正常時よりも小さな値に変更する。
なお、ログ収集部３０３は、異常発生時のログ７０２のサイズに応じて、上限値情報３０４の値を下げるようにしてもよい。即ち、ログ収集部３０３は、異常発生時のログ７０２のサイズが大きい場合には上限値情報３０４の値の下げ幅を大きくし、異常発生時のログ７０２のサイズが小さい場合には上限値情報３０４の下げ幅を小さくするように制御する。上記Ｓ５１０の処理を終了すると、ログ収集部３０３は、本フローチャートの処理を終了する。なお、ＭＦＰ１０１のＣＰＵ２０１は、この状態で利用者の操作の受け付けを可能とし、また実行した機能のログの記録を継続するように制御する。

上記Ｓ５０７〜Ｓ５１０の処理により、これ以降、ログ収集部３０３が、図５に示したログ収集処理を行う際は、上記Ｓ５０２でインデックス情報の読み込みに成功したと判定されるので、上記Ｓ５０３以降のログ収集処理を実行することとなる。
なお、前記ログの収集を妨げる異常が発生した場合、その旨をメール等で予め登録されている管理者の通知先に通知するようにしてもよい。

以上示したように、ＭＦＰ１０１において、監査ログの収集ができなくなるような異常が発生した場合でも、そのときに残されている監査ログが、その後のログの記録で上書きされることにより失われてしまうことがないよう保全して、監査することができる状態を保つことができる。また、監査することができる状態を保ったまま、利用者による装置の利用を可能にし、その際の監査ログの記録を継続することができる。

＜＜ログ管理画面表示処理＞＞
ログ収集部３０３によるログ管理画面表示処理を、図６、図８を用いて説明する。
図６は、ログ収集部３０３によるログ管理画面表示処理を例示するフローチャートである。なお、このフローチャートの処理は、ＭＦＰ１０１のＣＰＵ２０１がＲＯＭ２０２又はＨＤＤに記録されたプログラムを読み出して実行することにより実現されるものである。

まず、ログ収集部３０３は、利用者によるログ管理画面へのアクセスを検出する（Ｓ６０１）。例えば、ＰＣ１０２で動作するＷｅｂブラウザからＭＦＰ１０１に対して、ログ管理画面を要求するアクセスがあると、ログ収集部３０３が該アクセスを検出し、Ｓ６０２に処理を進める。
Ｓ６０２では、ログ収集部３０３は、エラーフラグファイル７０１が存在するかどうかを判定し、該判定結果に基づいて処理を分岐する。

エラーフラグファイル７０１が存在しないと判定した場合（Ｓ６０２でＮｏの場合）、ログ収集部３０３は、正常時のログ管理画面を表示制御する（Ｓ６０３）。ここで、ログ管理画面がＷｅｂブラウザ上に表示されるシステム構成の場合は、ログ収集部３０３が行う実際の処理は、ログ管理画面を表示するためのＨＴＭＬデータを、ＰＣ１０２で動作するＷｅｂブラウザに向けて送信する処理である。ＰＣ１０２で動作するＷｅｂブラウザは、該ＨＴＭＬデータに基づいてログ管理画面をＰＣ１０２のディスプレイに表示する。即ち、実際にログ管理画面を表示するのは、該ＨＴＭＬデータを受信したＷｅｂブラウザということになる。

一方、上記Ｓ６０２において、エラーフラグファイル７０１が存在すると判定した場合（Ｓ６０２でＹｅｓの場合）、ログ収集部３０３は、Ｓ６０４以降の処理を実行する。まず、ログ収集部３０３は、図８に示すような異常発生時のログ管理画面を表示制御する（Ｓ６０４）。ここでのログ収集部３０３の実際の処理は、システム構成によってはログ管理画面のＨＴＭＬデータ送信だけであるという点は、上述したＳ６０３の処理と同様である。

ここで、異常発生時のログ管理画面について説明する。
図８は、異常発生時のログ管理画面を例示する図である。
図８に示すように、異常時発生時のログ管理画面には、ＯＫボタン８０１、「監査ログをダウンロードする」ボタン８０２が備えられており、利用者がＯＫボタン８０１、「監査ログをダウンロードする」ボタン８０２を押下できるようになっている。例えば、「監査ログをダウンロードする」ボタン８０２が押下されると、その旨がＰＣ１０２上のＷｅｂブラウザからＭＦＰ１０１に通知され、ログ収集部３０３等が、図５のＳ５０８で保存された異常発生時のログ７０２をＰＣ１０２に送信する。ＰＣ１０２では、ＭＦＰ１０１から受信した異常発生時のログ７０２を記憶装置（例えば、ＰＣ１０２内のＨＤＤ等）に保存する。

なお、上記図８や図４に示したログ管理画面を操作部２１０に表示し、操作部２１０から異常の発生に関連する利用者の確認操作を行うようにしてもよい。この構成の場合、監査ログのダウンロードは、操作部２１０からＰＣ１０２内の所定のフォルダ等を指定して実行するものとする。

ログ収集部３０３は、異常発生時のログ管理画面においてＯＫボタン８０１の押下を検出すると、例えば、ＯＫボタンが押下されたことをＰＣ１０２のＷｅｂブラウザから受信すると、前記異常の発生に関連する利用者の確認操作を検出したと判断し（Ｓ６０５）、Ｓ６０６以降の処理を実行する。

具体的には、ログ収集部３０３は、異常発生時のログ７０２を削除し（Ｓ６０６）、エラーフラグファイル７０１を削除し（Ｓ６０７）、最後に、上限値情報３０４の値を元の値（正常時の値）に戻す（Ｓ６０８）。よって、これ以降で利用者がログ管理画面にアクセスした場合は、上記Ｓ６０２においてエラーフラグファイル７０１が存在しないと判定されるので、上記Ｓ６０３において正常時のログ管理画面が表示されることになる。

なお、本実施形態では、ＯＫボタン８０１の押下の検出に応答して異常発生時のログ７０２を削除し上限値情報３０４を元に戻す場合を例に挙げて説明したが、上限値情報３０４を元の値に戻す条件はこれに限定されるものではない。例えば、上述した異常発生時のログ７０２のダウンロード（異常発生時のログ７０２の外部への送信）が行われた場合に異常発生時のログ７０２を削除するようにし、これを条件に、上限値情報３０４を元の値に戻すようにしてもよい。

また、上記Ｓ６０８では、上限値情報３０４を元の値に戻す場合を説明したが、ＨＤＤ２０４の空き容量等に応じて、上限値情報３０４の値を上げるようにしてもよい。例えばログ収集部３０３は、ＨＤＤ２０４の空き容量が所定の容量よりも大きい場合には上限値情報３０４の値の元に戻し、ＨＤＤ２０４の空き容量が所定の容量よりも小さい場合には上限値情報３０４の値を特定の値（現在の値＜特定の値＜元の値）まで上げるようにしてもよい。

なお、異常発生時のログ７０２が削除される前に、再度、異常が発生した場合などのように、異常発生時のログ７０２が複数作成されている場合には、一度の確認操作により、全ての異常発生時のログ７０２を削除し、上限値情報３０４の値を上げるようにしてもよい。また、異常発生時のログ７０２毎に確認操作を検出し、該異常発生時のログ７０２を削除し、該削除した異常発生時のログ７０２のサイズに応じた値だけ、上限値情報３０４の値を上げるようにしてもよい。

以上の処理により、ログ収集に関する異常が発生した場合でも、該異常発生時に、その時点の監査ログ３０６を、異常発生時のログ７０２としてＭＦＰ１０１内で退避させることで、異常発生時の監査ログを保全することができる。なお、監査ログを退避する際、単に退避するのではなく、圧縮して退避する。さらに、新たに記録するログの上限数を下げておく。この状態で利用者の操作の受け付けを可能とし、また実行した機能のログの記録を行うことで、上記異常発生時のログの保全と、利用者の複合機の利用およびログの記録の継続を両立することができる。

従って、ログ収集部３０３によるログ収集を妨げる異常の発生時に、異常発生時の監査ログを保全し、監査することができる状態を保ったまま、利用者によるＭＦＰ１０１の利用を可能にし、その際の監査ログの記録を継続することができる。

なお、上記実施例では、ログ収集部３０３によるログ収集を妨げる異常の発生時に、該異常発生時の監査ログを保全する構成について説明したが、監査ログの保全はログ収集を妨げる異常の発生時に限定されるものではない。その他の異常の発生時にも、同様の処理を行うことにより、異常発生時の監査ログを保全し、監査することができる状態を保ったまま、利用者によるＭＦＰ１０１の利用を可能にし、その際の監査ログの記録を継続することができる。なお、この構成の場合、図５に示したログ収集処理内に限定することなく、なんらかの異常が発生した場合に、ログ収集部３０３が、Ｓ５０７〜Ｓ５１０の処理を実行するものとする。

また、本発明は、ＭＦＰ１０１に限定されるものではなく、コンピュータや各種の情報処理機器等の他の情報処理装置にも適用することが可能である。

なお、上述した各種データの構成及びその内容はこれに限定されるものではなく、用途や目的に応じて、様々な構成や内容で構成されることは言うまでもない。
以上、一実施形態について示したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
また、上記各実施例を組み合わせた構成も全て本発明に含まれるものである。

（他の実施例）
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。
また、本発明は、複数の機器から構成されるシステムに適用しても、１つの機器からなる装置に適用してもよい。
本発明は上記実施例に限定されるものではなく、本発明の趣旨に基づき種々の変形（各実施例の有機的な組合せを含む）が可能であり、それらを本発明の範囲から除外するものではない。即ち、上述した各実施例及びその変形例を組み合わせた構成も全て本発明に含まれるものである。

１０１ ＭＦＰ
１０２ ＰＣ

Claims (15)

1. 実行される各機能に応じてログが記録される情報処理装置であって、
   前記各機能に応じて記録されたログを収集して保存する保存手段と、
   前記保存手段に保存されているログの数が上限数を超える場合、前記保存されているログのいずれかを削除する削除手段と、
   異常が発生した場合、前記保存されているログを別途保存し、前記上限数を下げる保全手段と、
   を有することを特徴とする情報処理装置。
2. 前記保全手段は、前記保存手段に保存されているログを圧縮して別途保存することを特徴とする請求項１に記載の情報処理装置。
3. 前記保全手段は、前記異常の発生に関連する利用者の確認操作を検出した場合、前記保全手段が別途保存したログを削除し、前記上限数を上げることを特徴とする請求項１又は２に記載の情報処理装置。
4. 要求に応じて前記保全手段が別途保存したログを外部に送信する送信手段を有することを特徴とする請求項１乃至３のいずれか１項に記載の情報処理装置。
5. 前記保全手段は、前記送信手段によりログが送信された場合、該ログを削除し、前記上限数を上げることを特徴とする請求項４に記載の情報処理装置。
6. 前記保全手段は、前記保全手段が別途保存したログのサイズに応じて、前記上限数を下げることを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。
7. 前記異常は、前記保存手段によるログの収集を妨げる異常であることを特徴とする請求項１乃至６のいずれか１項に記載の情報処理装置。
8. 前記保存手段は、未収集のログを判断可能なインデックス情報を記録し、該インデックス情報に基づいて未収集のログを収集するものであり、
   前記保存手段によるログの収集を妨げる異常が発生した場合とは、前記保存手段が前記インデックス情報の読み取りができない場合であることを特徴とする請求項７に記載の情報処理装置。
9. 前記インデックス情報は、前記機能別に、未収集のログを判断可能なインデックス情報を記録した情報であることを特徴とする請求項８に記載の情報処理装置。
10. 前記インデックス情報を新たに作成することにより前記異常を解消する解消手段を有することを特徴とする請求項８又は９に記載の情報処理装置。
11. 前記削除手段は、記録された日時の古いログから順に前記第２のログを削除することを特徴とする請求項１乃至１０のいずれか１項に記載の情報処理装置。
12. 前記削除手段は、優先順位に基づいて前記第２のログを削除することを特徴とする請求項１乃至１０のいずれか１項に記載の情報処理装置。
13. 前記情報処理装置は、画像形成装置であることを特徴とする請求項１乃至１２のいずれか１項に記載の情報処理装置。
14. 実行される各機能に応じてログが記録される情報処理装置の制御方法であって、
    前記各機能に応じて記録された第１のログを収集して第２のログとして保存する収集ステップと、
    前記保存されている第２のログの数が上限数を超える場合、前記保存されている第２のログのいずれかを削除する削除ステップと、
    異常が発生した場合、前記保存されている第２のログを第３のログとして別途保存し、前記上限数を下げる保全ステップと、
    を有することを特徴とする情報処理装置の制御方法。
15. コンピュータを、請求項１乃至１３のいずれか１項に記載の手段として機能させるためのプログラム。

Images