JP6312344B2 - セキュリティ装置、その方法、およびプログラム - Google Patents

Description

本発明は、秘密分散技術に関し、特に、断片化された情報の完全性の担保に関する。

秘密分散技術とは、情報の機密性と可用性を高めるために、情報を単独では意味のない複数の断片情報に分割して分散保管する技術である（例えば、非特許文献１参照）。可用性を高めるため、断片情報は、例えばインターネット上のセキュアチャネルを利用した通信により複数のデータセンタへ送信され、データセンタ上のストレージに保管される。

Adi Shamir, "How to share a secret", Communications of the ACM 22 (11), pp. 612-613, 1979.

しかし、単独の断片情報では意味を成さないとはいえ、従来の技術では、複数の断片情報が第三者に改ざんされたり、破損したりしてしまった場合に検知できない可能性がある。

本発明はこのような点に鑑みてなされたものであり、秘密分散によって得られた断片情報の改ざんや破損を検知可能な技術を提供することを課題とする。

断片情報に対応する像を検証情報とし、検証情報を安全に格納するか秘密分散する。

本発明では、断片情報の改ざんや破損を検知することができる。

図１は実施形態の秘密分散システムの構成を例示したブロック図である。 図２Ａは第１実施形態のセキュリティ装置の構成を例示したブロック図であり、図２Ｂは第１，２実施形態の記憶装置の構成を例示したブロック図である。 図３は第１，２実施形態の分散処理を例示するためのフロー図である。 図４は第１，２実施形態の復元処理を例示するためのフロー図である。 図５は第１，２実施形態の復元処理を例示するためのフロー図である。 図６は第２実施形態のセキュリティ装置の構成を例示したブロック図である。 図７は第２実施形態のバックアップ処理を例示するためのフロー図である。 図８は第２実施形態のバックアップ復元処理を例示するためのフロー図である。 図９Ａは第３実施形態のセキュリティ装置の構成を例示したブロック図であり、図９Ｂは第３実施形態の記憶装置の構成を例示したブロック図である。 図１０は第３実施形態の分散処理を例示するためのフロー図である。 図１１は第３実施形態の復元処理を例示するためのフロー図である。 図１２Ａは第３実施形態の変形例セキュリティ装置の構成を例示したブロック図であり、図１２Ｂは第３実施形態の変形例の記憶装置の構成を例示したブロック図である。 図１３は第３実施形態の変形例の分散処理を例示するためのフロー図である。 図１４は第３実施形態の変形例の復元処理を例示するためのフロー図である。

以下、図面を参照して本発明の実施形態を説明する。
［第１実施形態］
本形態の秘密分散処理では、セキュリティ装置が、処理情報を秘密分散して複数個の断片情報を得、断片情報の写像による像である検証情報を得、検証情報を記憶部に格納する（安全に格納する）。本形態の復元処理では、セキュリティ装置が、復元に必要な断片情報の入力を受け付け、入力された断片情報の写像による像である第４検証情報と、記憶部に格納された検証情報と、を比較し、検証情報に一致する第４検証情報に対応する断片情報から処理情報を復元する。断片情報が改ざんや破損されていた場合、検証情報と第４検証情報とが不一致となる。そのため、断片情報の改ざんや破損を検知することができる。以下に本形態の詳細を説明する。

＜構成＞
図１に例示するように、本形態の秘密分散システム１は、クライアント装置１１と、セキュリティ装置１２と、複数個の記憶装置１３−１〜１３−Ｎ（ただし、Ｎは２以上の整数）とを有する。セキュリティ装置１２は、外部からの攻撃が遮断された安全なネットワークを通じてクライアント装置１１と通信可能に構成されている。すなわち、クライアント装置１１とセキュリティ装置１２とは、外部からの攻撃が遮断された安全なネットワーク上に構成されている。例えば、クライアント装置１１とセキュリティ装置１２は、秘密分散システム１を利用する会社の拠点内の安全なネットワーク上に構成されている。また、セキュリティ装置１２は、ネットワーク１４を通じて記憶装置１３−１〜１３−Ｎと通信可能に構成されている。ネットワーク１４は、例えば、インターネット等の安全ではないネットワークであるが、外部からの攻撃が遮断された安全なネットワークであってもよい。

≪クライアント装置１１≫
クライアント装置１１は、セキュリティ装置１２へ分散対象の処理情報（ファイルやデータ等）を送信したり、分散後の断片情報（シェア）から元の処理情報への復元をセキュリティ装置１２へ要求したりする。クライアント装置１１は、例えば、集積回路等のプログラムを必要としないハードウェアで構成される。クライアント装置１１は、予め処理情報が格納されたセキュリティ装置１２上のプログラムを実行する。その他、クライアント装置１１がＣＰＵ（central processing unit）やＲＡＭ（random-access memory）や通信装置等を備える汎用または専用のコンピュータ（例えば、パーソナルコンピュータやサーバコンピュータ等）に所定のプログラムが読み込まれて構成された装置であってもよい。

≪セキュリティ装置１２≫
セキュリティ装置１２は、クライアント装置１１からの要求に基づき、所定の秘密分散方式に則って処理情報の分散処理／復元処理を行う。これらの処理に伴い、セキュリティ装置１２は、各記憶装置（ストレージ）１３−１〜１３−Ｎとの間で断片情報を送受信する。また、セキュリティ装置１２は、分散処理の際に、断片情報の写像による像を格納し、随時、断片情報の改ざんや破損の検知を行う。なお、秘密分散では、しきい値Ｋ個以上（ただし、Ｋ≧１）の断片情報が得られた場合にのみ処理情報が復元されるように、処理情報をＮ（ただし、Ｎ≧２）個の断片情報に分散する。Ｋ＝Ｎを満たす秘密分散の方式をＮ−ｏｕｔ−ｏｆ−Ｎ分散方式といい、Ｋ＜Ｎを満たす秘密分散の方式をＫ−ｏｕｔ−ｏｆ−Ｎ分散方式という（例えば、非特許文献１参照）。正しい断片情報がＫ個以上集まれば処理情報を復元できるが、正しい断片情報がＫ個以上集まらなければ処理情報に関する情報を全く得ることができない。分散数Ｎおよび復元時に必要な断片情報数Ｋは自由に設定可能である。また、「Ａの写像による像Ｂ」は、Ａを所定の関数に入力して得られる関数値Ｂであってもよいし、Ａを所定のアルゴリズムに入力して得られる出力値Ｂであってもよい。言い換えると、「Ａの写像による像Ｂ」は、「Ａに写像ｆを施して得られる値Ｂ＝ｆ（Ａ）」である。すなわち、「Ａの写像による像Ｂ」は、「写像ｆのもとでのＡの像Ｂ＝ｆ（Ａ）」である。「写像」の例は、一方向性（one-wayness）および衝突困難性（collision resistance）を持つ写像である。例えば、ＳＨＡ−２５６等の暗号学的なハッシュ関数やハッシュアルゴリズムを写像として用いてもよいし、ＡＥＳ（Advanced Encryption Standard）やCamellia（登録商標）等の共通鍵暗号関数や共通鍵暗号アルゴリズムを写像として用いてもよい。「写像」が暗号学的なハッシュ関数やハッシュアルゴリズムである場合、「Ａの写像による像Ｂ」はＡのハッシュ値であり、「写像」が共通鍵暗号関数や共通鍵暗号アルゴリズムである場合、「Ａの写像による像Ｂ」はＡの暗号文である。なお、「写像」が一方向性を持つ場合、断片情報の写像による像から断片情報を得ることができず、安全性が高い。そのため、「写像」は一方向性を持つことが望ましい。また、「写像」が衝突困難性を持つ場合、改ざんまたは破損された断片情報を非常に高い確率で検知できる。そのため、「写像」は衝突困難性を持つことが望ましい。しかしながら、用途によっては、一方向性を持たない関数やアルゴリズムを「写像」として用いてもよいし、衝突困難性を持たない関数やアルゴリズムを「写像」として用いてもよい。

セキュリティ装置１２は、例えば、ＣＰＵやＲＡＭや通信装置等を備えた汎用または専用のコンピュータに所定のプログラムが読み込まれて構成される。図２Ａに例示するように、本形態のセキュリティ装置１２は、インタフェース部１２１（「出力部」「第２入力部」）と、秘密分散部１２２と、検証情報生成部１２３と、記憶部１２４と、検証部１２５，１２６と、復元部１２７と、制御部１２８と、メモリ１２９とを有する。セキュリティ装置１２は、制御部１２８の制御のもとで各処理を実行する。以下では説明を省略するが、インタフェース部１２１に入力されたデータや各部で得られたデータは、逐一、メモリ１２９や記憶部１２４に格納される。メモリ１２９や記憶部１２４に格納されたデータは、必要に応じて各部に読み込まれる。

≪記憶装置１３−ｎ（ただし、ｎ＝１，・・・，Ｎ）≫
記憶装置１３−ｎは、例えば、データセンタのストレージであり、上述の断片情報を保管する。可用性を高めるため、記憶装置１３−ｎは、互いに地理的に離れた場所に設置されることが望ましい。記憶装置１３−ｎは、例えば、ＣＰＵやＲＡＭや通信装置等を備えた汎用または専用のコンピュータに所定のプログラムが読み込まれて構成される装置である。図２Ｂに例示するように、本形態の記憶装置１３−ｎは、インタフェース部１３１−ｎと、記憶部１３２−ｎと、検証情報生成部１３３−ｎと、制御部１３８−ｎと、メモリ１３９−ｎを有する。記憶装置１３−ｎは、制御部１３８−ｎの制御のもとで各処理を実行する。以下では説明を省略するが、インタフェース部１３１−ｎに入力されたデータや各部で得られたデータは、逐一、メモリ１３９−ｎや記憶部１３２−ｎに格納される。メモリ１３９−ｎや記憶部１３２−ｎに格納されたデータは、必要に応じて各部に読み込まれる。

＜分散処理＞
次に、図３を用いて本形態の分散処理を説明する。
まず、クライアント装置１１が、分散要求とともに分散対象の処理情報ｍをセキュリティ装置１２に送信（出力）する。処理情報ｍはどのような情報であってもよい。処理情報ｍの例は、文書、表、画像、動画、音声等のファイル、または数値等のデータである（ステップＳ１０１）。

処理情報ｍはセキュリティ装置１２（図２Ａ）のインタフェース部１２１で受信され（入力を受け付け）、秘密分散部１２２に送られる（ステップＳ１０２）。秘密分散部１２２は、所定の秘密分散方式に則って処理情報ｍを秘密分散して、Ｎ個（複数個）の断片情報ｓ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を得て出力する。Ｎ個の断片情報ｓ_ｎは検証情報生成部１２３およびインタフェース部１２１に送られる（ステップＳ１０３）。検証情報生成部１２３は、入力された断片情報ｓ_ｎの写像Ｈによる像である検証情報ｈ_ｎ＝Ｈ（ｓ_ｎ）（ただし、ｎ＝１，・・・，Ｎ）を得て出力する。前述のように、写像Ｈの例は、暗号学的なハッシュ関数やハッシュアルゴリズムや共通鍵暗号関数や共通鍵暗号アルゴリズムであり、検証情報ｈ_ｎの例は、断片情報ｓ_ｎのハッシュ値や断片情報ｓ_ｎの暗号文である。Ｎ個の検証情報ｈ_ｎ（ただし、ｎ＝１，・・・，Ｎ）は、記憶部１２４に安全に格納される（ステップＳ１０４）。インタフェース部１２１は、Ｎ個の断片情報ｓ_ｎを出力し、それぞれをネットワーク１４経由で記憶装置１３−ｎに送信する（ただし、ｎ＝１，・・・，Ｎ）。すなわち、断片情報ｓ_１は記憶装置１３−１に送信され、断片情報ｓ_２は記憶装置１３−２に送信され、・・・、断片情報ｓ_Ｎは記憶装置１３−Ｎに送信される（ステップＳ１０５）。

各断片情報ｓ_ｎは、各記憶装置１３−ｎ（図２Ｂ）のインタフェース部１３１−ｎで受信され（入力を受け付け）、各記憶部１３２−ｎに格納される（ステップＳ１０６−ｎ。ただし、ｎ＝１，・・・，Ｎ）。各記憶装置１３−ｎの検証情報生成部１３３−ｎは、各記憶部１３２−ｎから断片情報ｓ_ｎを読み出し、断片情報ｓ_ｎの写像Ｈによる像である検証情報ｈ_ｎ’＝Ｈ（ｓ_ｎ）（ただし、ｎ＝１，・・・，Ｎ）を得て出力する。ただし、写像Ｈはセキュリティ装置１２の検証情報生成部１２３で用いられたものと同一である。各検証情報ｈ_ｎ’は、ネットワーク１４経由でセキュリティ装置１２に送信される（ステップＳ１０７−ｎ。ただし、ｎ＝１，・・・，Ｎ）。

各検証情報ｈ_ｎ’はセキュリティ装置１２（図２Ａ）のインタフェース部１２１で受信され（入力を受け付け）、検証部１２５に送られる（ステップＳ１０８）。検証部１２５は、各ｎ＝１，・・・，Ｎについて、送られた検証情報ｈ_ｎ’と記憶部１２４から読み出した検証情報ｈ_ｎとが一致するかを検証する（ステップＳ１０９）。ここで、何れかのｎ＝１，・・・，Ｎについてｈ_ｎ≠ｈ_ｎ’である場合、制御部１２８は処理をステップＳ１０５に戻し、ステップＳ１０５〜Ｓ１０９の処理のやり直しを指示する。なお、ステップＳ１０５〜Ｓ１０９の処理をすべてやり直してもよいが、ステップＳ１０９でｈ_ｎ≠ｈ_ｎ’となったｎのみについてステップＳ１０５〜Ｓ１０９の処理をやり直してもよい。一方、すべてのｎ＝１，・・・，Ｎについてｈ_ｎ＝ｈ_ｎ’である場合には処理を終了する。

＜復元処理＞
次に、図４および図５を用いて本形態の復元処理を説明する。
まず、クライアント装置１１が、復元要求をセキュリティ装置１２に送信する（ステップＳ１２１）。セキュリティ装置１２（図２Ａ）のインタフェース部１２１はこの復元要求を受信する。インタフェース部１２１は、さらにＮ個の記憶装置１３−１〜１３−ＮのうちＫ個（ただし、Ｋ≦Ｎ）の記憶装置１３−ｆ（１）〜１３−ｆ（Ｋ）に対し、ネットワーク１４経由で復元要求を送信する。なお、ｆは単射であり、｛ｆ（１），・・・，ｆ（Ｋ）｝⊆｛１，・・・，Ｎ｝を満たす。Ｋ個のｆ（１），・・・，ｆ（Ｋ）の選択方法に限定はない。例えば、｛１，・・・，Ｎ｝からランダムに｛ｆ（１），・・・，ｆ（Ｋ）｝を選択してもよいし、所定の優先順位に従って｛ｆ（１），・・・，ｆ（Ｋ）｝を選択してもよい。例えば、安全性の高い順番に記憶装置１３−ｆ（１），・・・，１３−ｆ（Ｋ）を選択してもよい（ステップＳ１２２）。

復元要求は、各記憶装置１３−ｆ（ｋ）（図２Ｂ）のインタフェース部１３１−ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）で受信される。復元要求を受信した各記憶装置１３−ｆ（ｋ）の検証情報生成部１３３−ｆ（ｋ）は、記憶部１３２−ｆ（ｋ）から断片情報ｓ_ｆ（ｋ）を読み出し、断片情報ｓ_ｆ（ｋ）の写像Ｈによる像である検証情報ｈ_ｆ（ｋ）’＝Ｈ（ｓ_ｆ（ｋ））（ただし、ｋ＝１，・・・，Ｋ）を得て出力する。ただし、写像Ｈはセキュリティ装置１２の検証情報生成部１２３で用いられたものと同一である。各検証情報ｈ_ｆ（ｋ）’は、ネットワーク１４経由でセキュリティ装置１２に送信される（ステップＳ１２３−ｆ（ｋ）。ただし、ｋ＝１，・・・，Ｋ）。

各検証情報ｈ_ｆ（ｋ）’はセキュリティ装置１２（図２Ａ）のインタフェース部１２１で受信され（入力を受け付け）、検証部１２５に送られる（ステップＳ１２４）。検証部１２５は、各ｋ＝１，・・・，Ｋについて、送られた検証情報ｈ_ｆ（ｋ）’と記憶部１２４から読み出した検証情報ｈ_ｆ（ｋ）とが一致するかを検証する（ステップＳ１２５）。ここで、何れかのｋ＝１，・・・，Ｋについてｈ_ｆ（ｋ）≠ｈ_ｆ（ｋ）’である場合、インタフェース部１２１はエラーを出力し、それがクライアント装置１１に送られて処理を終了する（ステップＳ１２６）。一方、すべてのｋ＝１，・・・，Ｋについてについてｈ_ｆ（ｋ）＝ｈ_ｆ（ｋ）’である場合、インタフェース部１２１は、ステップＳ１２２で復元要求を送信した記憶装置１３−ｆ（１）〜１３−ｆ（Ｋ）に対し、ネットワーク１４経由で断片情報要求を送信する（ステップＳ１２８）。

断片情報要求が送信された各記憶装置１３−ｆ（ｋ）（図２Ｂ）は、記憶部１３２−ｆ（ｋ）から断片情報ｓ_ｆ（ｋ）を読み出してインタフェース部１３１−ｆ（ｋ）に送る。インタフェース部１３１−ｆ（ｋ）は、断片情報ｓ_ｆ（ｋ）をネットワーク１４経由でセキュリティ装置１２に送信する（ステップＳ１２９−ｆ（ｋ）。ただし、ｋ＝１，・・・，Ｋ）。

セキュリティ装置１２（図２Ａ）のインタフェース部１２１は、断片情報ｓ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）を受信し（入力を受け付け）、検証部１２６に送る（ステップＳ１３０）。検証部１２６は、各ｋ＝１，・・・，Ｋについて、送られた断片情報ｓ_ｆ（ｋ）の写像による像である検証情報（第４検証情報）Ｈ（ｓ_ｆ（ｋ））と、記憶部１２４に格納された検証情報ｈ_ｆ（ｋ）と、を比較する。すなわち、検証部１２６は、各ｋ＝１，・・・，Ｋについて、送られた断片情報ｓ_ｆ（ｋ）の写像による像である検証情報Ｈ（ｓ_ｆ（ｋ））を生成し、記憶部１２４から検証情報ｈ_ｆ（ｋ）を読み出し、読み出した検証情報ｈ_ｆ（ｋ）と生成した検証情報Ｈ（ｓ_ｆ（ｋ））とが一致するか（ｈ_ｆ（ｋ）＝Ｈ（ｓ_ｆ（ｋ））であるか）を判定する。ただし、写像Ｈは検証情報生成部１２３で用いられたものと同一である（ステップＳ１３１）。ここで、何れかのｋ＝１，・・・，Ｋについてｈ_ｆ（ｋ）≠Ｈ（ｓ_ｆ（ｋ））であれば、インタフェース部１２１はエラーを出力し、それがクライアント装置１１に送られて処理を終了する（ステップＳ１２６）。一方、すべてのｋ＝１，・・・，Ｋについてｈ_ｆ（ｋ）＝Ｈ（ｓ_ｆ（ｋ））であれば、ｈ_ｆ（ｋ）＝Ｈ（ｓ_ｆ（ｋ））である検証情報Ｈ（ｓ_ｆ（ｋ））に対応する断片情報ｓ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）が復元部１２７に送られる。復元部１２７は、入力されたＫ個の断片情報ｓ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）を用い、ステップＳ１０３の秘密分散方式に則って処理情報ｍを復元して出力する。処理情報ｍはインタフェース部１２１に入力され、インタフェース部１２１は処理情報ｍをクライアント装置１１に送信（出力）する（ステップＳ１３２）。処理情報ｍは、クライアント装置１１で受信され（入力を受け付け）、処理が終了する（ステップＳ１３３）。

＜本形態の特徴＞
本形態では、断片情報ｓ_ｎの写像による像ｈ_ｎ＝Ｈ（ｓ_ｎ）である検証情報ｈ_ｎをセキュリティ装置１２に安全に格納しておくこととしたため、断片情報ｓ_ｎの改ざんや破損を検知することができる。さらに、断片情報ｓ_ｎをネットワーク１４経由で送受信するたびに、検証情報ｈ_ｎを用いて記憶装置１３−ｎに格納された断片情報ｓ_ｎを検証するため、断片情報ｓ_ｎの改ざんや破損を早期に検出することができる。また、検証情報ｈ_ｎはセキュリティ装置１２に安全に格納されるため、外部からの検証情報ｈ_ｎに対する攻撃を防止でき、検証情報ｈ_ｎの情報理論的安全性を確保できる。

なお、上述の説明では、ステップＳ１２５においてｈ_ｆ（ｋ）≠ｈ_ｆ（ｋ）’と判断された場合、およびステップＳ１３１においてｈ_ｆ（ｋ）≠Ｈ（ｓ_ｆ（ｋ））と判断された場合、インタフェース部１２１がエラーを出力し、それがクライアント装置１１に送られて処理を終了することとした（ステップＳ１２６）。しかしながら、図４に破線で示すように、ステップＳ１２５においてｈ_ｆ（ｋ）≠ｈ_ｆ（ｋ）’と判断された場合、および／または、ステップＳ１３１においてｈ_ｆ（ｋ）≠Ｈ（ｓ_ｆ（ｋ））と判断された場合、制御部１２８でリトライが可能か否かを判断してもよい（ステップＳ１２７）。ここで、リトライが可能な場合には、処理をステップＳ１２２に戻し、新たなＫ個の記憶装置１３−ｆ（１）〜１３−ｆ（Ｋ）を選択してステップＳ１２２以降の処理をやり直し、リトライが不可能な場合には、インタフェース部１２１がエラーを出力し、それがクライアント装置１１に送られて処理を終了する（ステップＳ１２６）。なお「リトライが可能な場合」の例は、例えば、Ｎ個の記憶装置１３−１〜１３−Ｎのうち、まだステップＳ１２２で選択されていない記憶装置が存在する場合（Ｋ＜Ｎが前提となる）や、リトライ回数（例えば、ステップＳ１２７でリトライが可能であると判断した回数）が所定回数未満である場合などである。また、ステップＳ１２７でリトライが可能であると判断された場合、ｈ_ｆ（ｋ）≠ｈ_ｆ（ｋ）’またはｈ_ｆ（ｋ）≠Ｈ（ｓ_ｆ（ｋ））と判断されたｆ（ｋ’）（ただし、ｋ’＝１，・・・，Ｋ）のみについて、ｆ（ｋ’）をｆ（ｋ’’）に更新し（ただし、ｋ’’≠ｋ’、ｋ’’＝１，・・・，Ｎ）、更新されたｆ（ｋ’’）のみについてステップＳ１２２以降の処理をやり直してもよい。

また、上述の説明では、各断片情報ｓ_ｎの写像による像Ｈ（ｓ_ｎ）を各検証情報とした。すなわち、断片情報ｓ_ｎと検証情報Ｈ（ｓ_ｎ）とが一対一で対応していた。しかしながら、複数個の断片情報ｓ_ｎの結合情報の写像による像を検証情報としてもよい。この場合の検証では、複数個の断片情報ｓ_ｎの結合情報の写像による像が検証情報と等しいかを判定する。

また、上述の説明では、断片情報をネットワーク１４経由で送受信するたびに、検証情報ｈ_ｎを用いて記憶装置１３−ｎに格納された断片情報ｓ_ｎを検証することとした（ステップＳ１０７−ｎ、Ｓ１０８、Ｓ１０９、Ｓ１２３−ｆ（ｋ）、Ｓ１２４、Ｓ１２５）。しかしながら、これらの検証の少なくとも一部が省略されてもよい。或いは、断片情報をネットワーク１４経由で送受信するタイミング以外において、必要に応じ、検証情報ｈ_ｎを用いて記憶装置１３−ｎに格納された断片情報ｓ_ｎを検証してもよい。

また、上述の説明では、セキュリティ装置１２が分散処理（ステップＳ１０２〜Ｓ１０５、Ｓ１０８、Ｓ１０９）と復元処理（ステップＳ１２２、Ｓ１２４、Ｓ１２５、Ｓ１２６、Ｓ１２７、Ｓ１２８、Ｓ１３０、Ｓ１３１、Ｓ１３２）の両方を実行した。しかしながら、分散処理を実行するセキュリティ装置と復元処理セキュリティ装置とが互いに異なっていてもよい。ただし、復元処理セキュリティ装置は、記憶部１２４に格納された検証情報ｈ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を利用できる装置である必要がある。また、記憶部１２４に格納された検証情報ｈ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を複製して、別の復元処理セキュリティ装置に格納して利用することにしてもよい。

［第２実施形態］
第２実施形態では、第１実施形態で説明した事項に加え、さらに自然災害等による利用会社拠点（クライアント装置やセキュリティ装置等がある拠点）の喪失やセキュリティ装置の故障に備え、セキュリティ装置に保管している検証情報を、秘密分散を利用してバックアップする。本形態のバックアップ処理時には、セキュリティ装置が、検証情報の写像による像である第２検証情報を得、検証情報と第２検証情報とを含む結合情報を秘密分散して複数個の第２断片情報を得、第２断片情報を出力する。第２断片情報は各記憶装置に分散して格納される。本形態のバックアップ復元処理時には、セキュリティ装置が、第２断片情報の入力を受け付け、入力された第２断片情報から結合情報を復元し、復元された結合情報（復元情報）が含む検証情報の写像による像である第３検証情報と、復元された結合情報が含む第２検証情報と、を比較する。第２断片情報が改ざんや破損されていた場合、第３検証情報と第２検証情報とが不一致となる。そのため、第２断片情報の改ざんや破損を検知することができ、正しい検証情報を復元できる。以下に本形態の詳細を説明する。なお、以下では第１実施形態との相違点のみを説明し、第１実施形態と共通する事項については第１実施形態で用いた参照番号を用い、説明を省略する。

＜構成＞
図１に例示するように、本形態の秘密分散システム２は、クライアント装置１１と、セキュリティ装置２２と、複数個の記憶装置２３−１〜２３−Ｎ（ただし、Ｎは２以上の整数）とを有する。セキュリティ装置２２は、外部からの攻撃が遮断された安全なネットワークを通じてクライアント装置１１と通信可能に構成されている。また、セキュリティ装置２２は、ネットワーク１４を通じて記憶装置２３−１〜２３−Ｎと通信可能に構成されている。

≪クライアント装置１１≫
第１実施形態と同じである。

≪セキュリティ装置２２≫
セキュリティ装置２２は、クライアント装置１１からの要求に基づき、所定の秘密分散方式に則って処理情報の分散処理／復元処理を行う。これらの処理は第１実施形態またはその変形例と同じである。さらに、セキュリティ装置２２は、所定の契機で、記憶部に格納された検証情報のバックアップ処理を行う。セキュリティ装置２２は、例えば、ＣＰＵやＲＡＭや通信装置等を備えた汎用または専用のコンピュータに所定のプログラムが読み込まれて構成される。図６に例示するように、本形態のセキュリティ装置２２は、インタフェース部１２１（「入力部」「第２入力部」「出力部」「第２出力部」）と、秘密分散部１２２と、検証情報生成部１２３と、記憶部１２４と、検証部１２５，１２６と、復元部１２７と、制御部１２８と、メモリ１２９と、秘密分散部２２２と、検証情報生成部２２３と、複製部２２４と、検証部２２６と、復元部２２７を有する。セキュリティ装置２２は、制御部１２８の制御のもとで各処理を実行する。

≪記憶装置２３−ｎ（ただし、ｎ＝１，・・・，Ｎ）≫
記憶装置２３−ｎは、第１実施形態で説明した断片情報に加え、上述検証情報のバックアップ処理で得られた第２断片情報を格納する。記憶装置２３−ｎは、例えば、ＣＰＵやＲＡＭや通信装置等を備えた汎用または専用のコンピュータに所定のプログラムが読み込まれて構成される装置である。図２Ｂに例示するように、本形態の記憶装置２３−ｎは、インタフェース部１３１−ｎと、記憶部２３２−ｎと、検証情報生成部１３３−ｎと、制御部１３８−ｎと、メモリ１３９−ｎを有する。記憶装置２３−ｎは、制御部１３８−ｎの制御のもとで各処理を実行する。

本形態の分散処理（図３）および復元処理（図４および図５）は、記憶部１３２−ｎに代えて記憶部２３２−ｎが用いられることを除き、第１実施形態またはその変形例と同じである。以下では、第１実施形態またはその変形例との相違点であるバックアップ処理およびバックアップ復元処理のみを説明する。

＜バックアップ処理＞
まず、図７を用いて本形態のバックアップ処理を説明する。
バックアップ処理は所定の契機で実行される。例えば、バックアップ処理は、セキュリティ装置２２の記憶部１２４に新たな検証情報が格納されるたびに実行されてもよいし、所定の期間ごとに実行されてもよいし、クライアント装置１１からの要求があるたびに実行されてもよい。

バックアップ処理が実行される場合、まず、セキュリティ装置２２（図６）の複製部２２４が記憶部１２４から検証情報ｈ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を抽出し、すべての検証情報ｈ_ｎを含む複製情報ｄ＝｛ｈ_１，・・・，ｈ_Ｎ｝を得て出力する。複製情報ｄの例は、記憶部１２４に格納されたすべての検証情報ｈ_ｎを含むダンプファイルである。複製情報ｄは検証情報生成部２２３に送られる（ステップＳ２０１）。検証情報生成部２２３は、入力された複製情報（検証情報）ｄの写像Ｇによる像ｇ＝Ｇ（ｄ）である検証情報（第２検証情報）ｇを得る。検証情報ｇは検証情報ｈ_ｎの写像による像であるともいえる。前述のように、写像Ｇの例は、暗号学的なハッシュ関数やハッシュアルゴリズムや共通鍵暗号関数や共通鍵暗号アルゴリズムであり、検証情報ｇの例は、複製情報ｄのハッシュ値や複製情報ｄの暗号文である。検証情報生成部２２３は、さらに検証情報ｇと複製情報ｄとを含む結合情報（ｄ，ｇ）を得て出力する。結合情報（ｄ，ｇ）の例は、上述のダンプファイルの先頭にハッシュ値等の検証情報ｇを付したデータである。結合情報（ｄ，ｇ）は秘密分散部２２２に送られる（ステップＳ２０２）。秘密分散部２２２は、所定の秘密分散方式に則って、入力された結合情報（ｄ，ｇ）を秘密分散してＮ個（複数個）の断片情報（第２断片情報）ｓｈ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を得て出力する。Ｎ個の断片情報ｓｈ_ｎはインタフェース部１２１に送られる（ステップＳ２０３）。インタフェース部１２１は、Ｎ個の断片情報ｓｈ_ｎを出力し、それぞれをネットワーク１４経由で記憶装置２３−ｎに送信する（ただし、ｎ＝１，・・・，Ｎ）。すなわち、断片情報ｓｈ_１は記憶装置２３−１に送信され、断片情報ｓｈ_２は記憶装置２３−２に送信され、・・・、断片情報ｓｈ_Ｎは記憶装置２３−Ｎに送信される（ステップＳ２０４）。

各断片情報ｓｈ_ｎは、各記憶装置２３−ｎ（図２Ｂ）のインタフェース部１３１−ｎで受信され（入力を受け付け）、各記憶部２３２−ｎに格納され、処理が終了する（ステップＳ２０５−ｎ。ただし、ｎ＝１，・・・，Ｎ）。

＜バックアップ復元処理＞
次に、図８を用いて本形態のバックアップ復元処理を説明する。
バックアップ復元処理は、クライアント装置１１からの要求を受けて行われる。バックアップ復元処理が開始されると、まず、セキュリティ装置２２（図６）のインタフェース部１２１は、Ｎ個の記憶装置２３−１〜２３−ＮのうちＫ個（ただし、Ｋ≦Ｎ）の記憶装置２３−ｆ（１）〜２３−ｆ（Ｋ）に対し、ネットワーク１４経由で復元要求を送信する。第１実施形態のステップＳ１２２と同様、Ｋ個のｆ（１），・・・，ｆ（Ｋ）の選択方法に限定はない（ステップＳ２２２）。

復元要求は、各記憶装置２３−ｆ（ｋ）（図２Ｂ）のインタフェース部１３１−ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）で受信される。復元要求が送信された記憶装置２３−ｆ（ｋ）は、記憶部２３２−ｆ（ｋ）から断片情報ｓｈ_ｆ（ｋ）を読み出してインタフェース部１３１−ｆ（ｋ）に送る。インタフェース部１３１−ｆ（ｋ）は、断片情報ｓｈ_ｆ（ｋ）をネットワーク１４経由でセキュリティ装置２２に送信する（ステップＳ２２３−ｆ（ｋ）。ただし、ｋ＝１，・・・，Ｋ）。

セキュリティ装置２２（図６）のインタフェース部１２１は、断片情報（第２断片情報）ｓｈ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）を受信し（入力を受け付け）、復元部２２７に送る（ステップＳ２２４）。復元部２２７は、入力されたＫ個の断片情報ｓｈ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）を用い、ステップＳ２０３の秘密分散方式に則って結合情報（ｄ，ｇ）を復元して出力する。結合情報（ｄ，ｇ）は検証部２２６に送られる（ステップＳ２２５）。検証部２２６は、入力された結合情報（ｄ，ｇ）が含む複製情報（検証情報）ｄ＝｛ｈ_１，・・・，ｈ_Ｎ｝の写像Ｇによる像Ｇ（ｄ）である検証情報（第３検証情報）Ｇ（ｄ）と、入力された結合情報（ｄ，ｇ）が含む検証情報（第２検証情報）ｇとを比較する。すなわち、検証部２２６は、入力された結合情報（ｄ，ｇ）が含む複製情報ｄの写像Ｇによる像Ｇ（ｄ）を得、得られたＧ（ｄ）と入力された結合情報（ｄ，ｇ）が含む検証情報ｇとが一致するか（ｇ＝Ｇ（ｄ）であるか）を判定する。ただし、写像Ｇは検証情報生成部２２３で用いられたものと同一である（ステップＳ２２６）。ここで、ｇ≠Ｇ（ｄ）であれば、インタフェース部１２１はエラーを出力し、それがクライアント装置１１に送られて処理を終了する（ステップＳ２２７）。一方、ｇ＝Ｇ（ｄ）であれば、検証部２２６は、複製情報ｄ＝｛ｈ_１，・・・，ｈ_Ｎ｝が表すｈ_１，・・・，ｈ_Ｎを記憶部１２４に格納して処理を終了する（ステップＳ２２８）。

＜本形態の特徴＞
本形態では、複製情報（検証情報）ｄ＝｛ｈ_１，・・・，ｈ_Ｎ｝の写像Ｇによる像ｇ＝Ｇ（ｄ）である検証情報ｇを得、複製情報（検証情報）ｄと検証情報ｇとを含む結合情報（ｄ，ｇ）を秘密分散してＮ個の断片情報ｓｈ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を得、各断片情報ｓｈ_ｎを記憶装置２３−ｎに格納することとした。これにより、セキュリティ装置２２の記憶部１２４のデータが破損してしまった場合でも、Ｋ個の断片情報ｓｈ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）から検証情報ｈ_１，・・・，ｈ_Ｎを復元することができる。また、検証情報ｇを用いることにより、検証情報ｈ_１，・・・，ｈ_Ｎが改ざんや破損しているかも検証（完全性の検証）できる。さらに、検証情報ｇをセキュリティ装置２２の記憶部１２４に格納しておいたのでは記憶部１２４のデータが破損してしまった場合に検証情報ｈ_１，・・・，ｈ_Ｎを検証することができなくなるが、本形態ではＫ個の記憶装置２３−ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）に分散して格納された断片情報ｓｈ_ｆ（ｋ）から検証情報ｇを復元できる。そのため、記憶部１２４のデータが破損してしまった場合でも検証情報ｈ_１，・・・，ｈ_Ｎを検証できる。

なお、上述の説明では、ステップＳ２２６においてｇ≠Ｇ（ｄ）と判断された場合、インタフェース部１２１がエラーを出力し、それがクライアント装置１１に送られて処理を終了することとした（ステップＳ２２７）。しかしながら、図８に破線で示すように、ステップＳ２２６においてｇ≠Ｇ（ｄ）と判断された場合、制御部１２８でリトライが可能か否かを判断してもよい（ステップＳ２２９）。ここで、リトライが可能な場合には、処理をステップＳ２２２に戻し、新たなＫ個の記憶装置２３−ｆ（１）〜２３−ｆ（Ｋ）を選択してステップＳ２２２以降の処理をやり直し、リトライが不可能な場合には、インタフェース部１２１がエラーを出力し、それがクライアント装置１１に送られて処理を終了する（ステップＳ２２７）。なお「リトライが可能な場合」の例は、例えば、Ｎ個の記憶装置２３−１〜２３−Ｎのうち、まだステップＳ２２２で選択されていない記憶装置が存在する場合（Ｋ＜Ｎであることが前提）や、リトライ回数（例えば、ステップＳ２２９でリトライが可能であると判断した回数）が所定回数未満である場合などである。

また、上述の説明では像Ｇ（ｄ）を検証情報ｇとしたが、検証情報ｈ_ｎの写像による像を検証情報ｇとするのであればどのような検証情報ｇであってもよい。例えば、Ｇ（ｈ_１），・・・，Ｇ（ｈ_Ｎ）のビット結合値｜Ｇ（ｈ_１）｜・・・｜Ｇ（ｈ_Ｎ）｜を検証情報ｇとしてもよい。この場合のステップＳ２２６の検証処理はＧ（ｄ）を｜Ｇ（ｈ_１）｜・・・｜Ｇ（ｈ_Ｎ）｜に置換した処理となる。

検証情報（第２検証情報）ｇと複製情報（検証情報）ｄとを含む結合情報（ｄ，ｇ）に代え、検証情報ｇおよび複製情報ｄの少なくとも一方を含む情報を用い、図７のバックアップ処理（ステップＳ２０１〜Ｓ２０５−１，・・・，Ｎ）が実行されてもよい。例えば、結合情報（ｄ，ｇ）に代え、検証情報ｇを含むが複製情報ｄを含まない情報αが用いられてもよいし、複製情報ｄを含むが検証情報ｇを含まない情報βが用いられてもよい。結合情報（ｄ，ｇ）に代えて情報αが用いられる場合には、例えば、図７のバックアップ処理に加え、さらに複製情報ｄがＮ個の断片情報ｓｄ_１，・・・，ｓｄ_Ｎに秘密分散され、各断片情報ｓｄ_ｎが記憶装置２３−ｎにそれぞれ格納される。結合情報（ｄ，ｇ）に代えて情報βが用いられる場合には、例えば、図７のバックアップ処理に加え、さらに検証情報ｇがＮ個の断片情報ｓｇ_１，・・・，ｓｇ_Ｎに秘密分散され、各断片情報ｓｇ_ｎが記憶装置２３−ｎにそれぞれ格納される。すなわち、検証情報ｇと複製情報ｄとが独立に秘密分散されてもよい。

同様に、検証情報（第２検証情報）ｇと複製情報（検証情報）ｄとを含む結合情報（ｄ，ｇ）に代え、検証情報ｇおよび複製情報ｄの少なくとも一方を含む復元情報を用い、図８のバックアップ復元処理（ステップＳ２２２〜Ｓ２２８）が実行されてもよい。例えば、結合情報（ｄ，ｇ）に代えて、検証情報ｇを含むが複製情報ｄを含まない復元情報αが用いられてもよいし、複製情報ｄを含むが検証情報ｇを含まない復元情報βが用いられてもよい。例えば、結合情報（ｄ，ｇ）に代えて復元情報αが用いられる場合には、ステップＳ２２６の前に、さらにＫ個の記憶装置１３−ｆ（１）〜１３−ｆ（Ｋ）から出力された断片情報ｓｄ_ｆ（１），・・・，ｓｄ_ｆ（Ｋ）がセキュリティ装置２２に入力され、それらから複製情報ｄが復元され、ステップＳ２２６以降の処理が実行される。例えば、結合情報（ｄ，ｇ）に代えて復元情報βが用いられる場合には、ステップＳ２２６の前に、さらにＫ個の記憶装置１３−ｆ（１）〜１３−ｆ（Ｋ）から出力された断片情報ｓｇ_ｆ（１），・・・，ｓｇ_ｆ（Ｋ）がセキュリティ装置２２に入力され、それらから検証情報ｇが復元され、ステップＳ２２６以降の処理が実行される。

［第３実施形態］
本形態の秘密分散処理では、セキュリティ装置が、処理情報を秘密分散して複数個の断片情報を得、処理情報の写像による像である検証情報を得、検証情報を秘密分散して複数個の第２断片情報を得、断片情報および第２断片情報を出力する。断片情報および第２断片情報は、各記憶装置に分散して格納される。本形態の復元処理では、セキュリティ装置が、断片情報および第２断片情報の入力を受け付け、入力された断片情報から復元された処理情報の写像による像である第２検証情報と、入力された第２断片情報から復元された検証情報と、を比較する。断片情報が改ざんや破損されていた場合、検証情報と第２検証情報とが不一致となる。そのため、断片情報の改ざんや破損を検知することができる。また、本形態では検証情報も秘密分散し、それによって得られる第２断片情報をも分散して各記憶装置に格納するため、セキュリティ装置が検証情報を格納する記憶部が不要となる。以下に本形態の詳細を説明する。以下ではこれまで説明した事項との相違点を中心に説明する。

＜構成＞
図１に例示するように、本形態の秘密分散システム３は、クライアント装置１１と、セキュリティ装置３２と、複数個の記憶装置３３−１〜３３−Ｎ（ただし、Ｎは２以上の整数）とを有する。セキュリティ装置３２は、外部からの攻撃が遮断された安全なネットワークを通じてクライアント装置１１と通信可能に構成されている。また、セキュリティ装置３２は、ネットワーク１４を通じて記憶装置３３−１〜３３−Ｎと通信可能に構成されている。

≪クライアント装置１１≫
第１実施形態と同じである。

≪セキュリティ装置３２≫
セキュリティ装置３２は、クライアント装置１１からの要求に基づき、所定の秘密分散方式に則って処理情報の分散処理／復元処理を行う。これらの処理に伴い、セキュリティ装置３２は、各記憶装置３３−１〜３３−Ｎとの間で断片情報を送受信する。セキュリティ装置３２は、例えば、ＣＰＵやＲＡＭや通信装置等を備えた汎用または専用のコンピュータに所定のプログラムが読み込まれて構成される。図９Ａに例示するように、本形態のセキュリティ装置３２は、インタフェース部１２１（「出力部」「入力部」）と、秘密分散部３２２，３２４と、検証情報生成部３２３と、検証部３２６と、復元部３２７，３２８と、制御部１２８と、メモリ１２９とを有する。セキュリティ装置３２は、制御部１２８の制御のもとで各処理を実行する。

≪記憶装置３３−ｎ（ただし、ｎ＝１，・・・，Ｎ）≫
記憶装置３３−ｎは、例えば、データセンタのストレージであり、上述の断片情報および第２断片情報を保管する。可用性を高めるため、記憶装置３３−ｎは、互いに地理的に離れた場所に設置されることが望ましい。記憶装置３３−ｎは、例えば、ＣＰＵやＲＡＭや通信装置等を備えた汎用または専用のコンピュータに所定のプログラムが読み込まれて構成される装置である。図９Ｂに例示するように、本形態の記憶装置３３−ｎは、インタフェース部３３１−ｎと、記憶部３３２−ｎと、制御部１３８−ｎと、メモリ１３９−ｎを有する。記憶装置３３−ｎは、制御部１３８−ｎの制御のもとで各処理を実行する。

＜分散処理＞
次に、図１０を用いて本形態の分散処理を説明する。
まず、クライアント装置１１が、分散要求とともに分散対象の処理情報ｍをセキュリティ装置３２に送信（出力）する（ステップＳ１０１）。

処理情報ｍはセキュリティ装置３２（図９Ａ）のインタフェース部１２１で受信され（入力を受け付け）、秘密分散部３２２および検証情報生成部３２３に送られる（ステップＳ１０２）。秘密分散部３２２は、所定の秘密分散方式に則って処理情報ｍを秘密分散して、Ｎ個（複数個）の断片情報ｓ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を得て出力する。Ｎ個の断片情報ｓ_ｎはインタフェース部１２１に送られる（ステップＳ３０２）。検証情報生成部３２３は、入力された処理情報ｍの写像Ｈによる像である検証情報ｈ＝Ｈ（ｍ）を得て出力する。検証情報ｈは秘密分散部３２４に送られる（ステップＳ３０３）。秘密分散部３２４は、所定の秘密分散方式に則って、入力された検証情報ｈを秘密分散して、Ｎ個（複数個）の断片情報（第２断片情報）ｈ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を得て出力する。Ｎ個の検証情報ｈ_ｎはインタフェース部１２１に送られる（ステップＳ３０４）。インタフェース部１２１は、Ｎ個の断片情報（ｓ_ｎ，ｈ_ｎ）を出力し、それぞれをネットワーク１４経由で記憶装置３３−ｎに送信する（ただし、ｎ＝１，・・・，Ｎ）。すなわち、（ｓ_１，ｈ_１）は記憶装置３３−１に送信され、（ｓ_２，ｈ_２）は記憶装置３３−２に送信され、・・・、（ｓ_Ｎ，ｈ_Ｎ）は記憶装置３３−Ｎに送信される（ステップＳ３０５）。

各（ｓ_ｎ，ｈ_ｎ）は、各記憶装置３３−ｎ（図９Ｂ）のインタフェース部３３１−ｎで受信され（入力を受け付け）、各記憶部３３２−ｎに格納され（ステップＳ３０６−ｎ。ただし、ｎ＝１，・・・，Ｎ）、処理を終了する。

＜復元処理＞
次に、図１１を用いて本形態の復元処理を説明する。
まず、クライアント装置１１が、復元要求をセキュリティ装置３２に送信する（ステップＳ１２１）。セキュリティ装置３２（図９Ａ）のインタフェース部１２１はこの復元要求を受信する。インタフェース部１２１は、さらにＮ個の記憶装置３３−１〜３３−ＮのうちＫ個（ただし、Ｋ≦Ｎ）の記憶装置３３−ｆ（１）〜３３−ｆ（Ｋ）に対し、ネットワーク１４経由で復元要求を送信する。第１実施形態のステップＳ１２２と同様、Ｋ個のｆ（１），・・・，ｆ（Ｋ）の選択方法に限定はない（ステップＳ１２２）。

復元要求は、各記憶装置３３−ｆ（ｋ）（図９Ｂ）のインタフェース部３３１−ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）で受信される。復元要求を受信した各記憶装置３３−ｆ（ｋ）は記憶部３３２−ｆ（ｋ）から（ｓ_ｆ（ｋ），ｈ_ｆ（ｋ））を読み出してインタフェース部３３１−ｆ（ｋ）に送る。各インタフェース部３３１−ｆ（ｋ）は、（ｓ_ｆ（ｋ），ｈ_ｆ（ｋ））をネットワーク１４経由でセキュリティ装置３２に送信する（ステップＳ３２３−ｆ（ｋ）。ただし、ｋ＝１，・・・，Ｋ）。

セキュリティ装置３２（図９Ａ）のインタフェース部１２１は、（ｓ_ｆ（ｋ），ｈ_ｆ（ｋ））（ただし、ｋ＝１，・・・，Ｋ）を受信し（入力を受け付け）、断片情報ｓ_ｆ（ｋ）を復元部３２７に送り、検証情報ｈ_ｆ（ｋ）を復元部３２８に送る（ステップＳ３２４）。復元部３２７は、前述の秘密分散方式に則って、入力されたＫ個の断片情報ｓ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）から処理情報ｍを復元して出力する。処理情報ｍは検証部３２６に送られる（ステップＳ３２５）。復元部３２８は、前述の秘密分散方式に則って、入力されたＫ個の断片情報ｈ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）から検証情報ｈを復元して出力する。検証情報ｈは検証部３２６に送られる（ステップＳ３２６）。検証部３２６は、入力された検証情報ｈ（第２断片情報ｈ_ｎから復元された検証情報ｈ）と、入力された処理情報ｍの写像Ｈによる像Ｈ（ｍ）である検証情報（断片情報ｓ_ｆ（ｋ）から復元された処理情報ｍの写像Ｈによる像Ｈ（ｍ）である第２検証情報）Ｈ（ｍ）と、を比較する。すなわち、検証部３２６は、入力された処理情報ｍの写像Ｈによる像Ｈ（ｍ）を得て、この像Ｈ（ｍ）と入力された検証情報ｈとが一致するか（ｈ＝Ｈ（ｍ）であるか）を判定する。ただし、写像Ｈはセキュリティ装置３２の検証情報生成部３２３で用いられたものと同一である（ステップＳ３２７）。ここで、ｈ≠Ｈ（ｍ）であれば、インタフェース部１２１はエラーを出力し、それがクライアント装置１１に送られて処理を終了する（ステップＳ１２６）。一方、ｈ＝Ｈ（ｍ）であれば、検証部３２６は処理情報ｍを出力し、インタフェース部１２１は入力された処理情報ｍをクライアント装置１１に送信（出力）する（ステップＳ３２８）。処理情報ｍはクライアント装置１１で受信され（入力を受け付け）、処理が終了する（ステップＳ１３３）。

＜本形態の特徴＞
本形態では、処理情報ｍを秘密分散し、それによって断片情報ｓ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を得、処理情報ｍの写像による像ｈ＝Ｈ（ｍ）である検証情報ｈを秘密分散し、それによって断片情報ｈ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を得、各（ｓ_ｎ，ｈ_ｎ）を各記憶装置３３−ｎ（ただし、ｎ＝１，・・・，Ｎ）に格納することとした。そのため、断片情報ｓ_ｎの改ざんや破損を検知することができる。また、処理情報ｍを秘密分散して得られる断片情報ｓ_ｎだけではなく、処理情報ｍの検証情報ｈを秘密分散して得られる断片情報ｈ_ｎをも分散して各記憶装置３３−ｎに格納しておくため、セキュリティ装置３２に検証情報を格納しておく必要がない。

なお、上述の説明では、ステップＳ３２７においてｈ≠Ｈ（ｍ）と判断された場合、インタフェース部１２１がエラーを出力し、それがクライアント装置１１に送られて処理を終了することとした（ステップＳ１２６）。しかしながら、図１１に破線で示すように、ステップＳ３２７においてｈ≠Ｈ（ｍ）と判断された場合、制御部１２８でリトライが可能か否かを判断してもよい（ステップＳ１２７）。ここで、リトライが可能な場合には、処理をステップＳ１２２に戻し、新たなＫ個の記憶装置３３−ｆ（１）〜３３−ｆ（Ｋ）を選択してステップＳ１２２以降の処理をやり直し、リトライが不可能な場合には、インタフェース部１２１がエラーを出力し、それがクライアント装置１１に送られて処理を終了する（ステップＳ１２６）。

また、上述の説明では、セキュリティ装置３２が分散処理（ステップＳ１０２、Ｓ３０２〜Ｓ３０５）と復元処理（ステップＳ１２２、Ｓ１２６、Ｓ１２７、Ｓ３２４〜Ｓ３２８）の両方を実行した。しかしながら、分散処理を実行するセキュリティ装置と復元処理セキュリティ装置とが互いに異なっていてもよい。

また、上述の説明では処理情報ｍの写像Ｈによる像Ｈ（ｍ）を検証情報ｈとした。しかしながら、これに代えて、処理情報ｍを秘密分散して得られる断片情報ｓ_ｎの写像Ｈによる像Ｈ（ｓ_ｎ）を検証情報ｈ_ｎとしてもよい。図１３に例示するように、この変形例の秘密分散処理では、前述したステップＳ１０１，Ｓ１０２の処理の後、セキュリティ装置３２’（図１２Ａ）の秘密分散部３２２が、処理情報ｍを秘密分散してＮ個（複数個）の断片情報ｓ_ｎ（ただし、ｎ＝１，・・・，Ｎ）を得て出力し（ステップＳ３０２）、検証情報生成部３２３’が断片情報ｓ_ｎの写像Ｈによる像である検証情報ｈ_ｎ＝Ｈ（ｓ_ｎ）（ただし、ｎ＝１，・・・，Ｎ）を得て出力し（ステップＳ３０３’）、秘密分散部３２４’が各検証情報ｈ_ｎを秘密分散してそれぞれＮ個（複数個）ずつの第２断片情報ｓｈ_ｎ，ｉ（ただし、ｎ＝１，・・・，Ｎ、ｉ＝１，・・・，Ｎ）を得て出力し（ステップＳ３０４’）、インタフェース部１２１’が断片情報ｓ_ｎおよび第２断片情報ｓｈ_ｎ，ｉを出力する（ステップＳ３０５’）。各断片情報ｓ_ｎは、各記憶装置３３’−ｎ（図１２Ｂ）のインタフェース部３３１’−ｎに入力され、記憶部３３２’−ｎにそれぞれ格納される（ステップＳ３０６’−ｎ）。また、第２断片情報の集合｛ｓｈ_１，ｉ，・・・，ｓｈ_Ｎ，ｉ｝は、各記憶装置３３’−ｉのインタフェース部３３１’−ｉに入力され、記憶部３３２’−ｉにそれぞれ格納される（ステップＳ３０６’−ｉ）。図１４に例示するように、この変形例の復元処理では、まずセキュリティ装置３２’（図１２Ａ）のインタフェース部１２１’が、前述したステップＳ１２１の処理で送られた復元要求を受信する。インタフェース部１２１’は、Ｎ個の記憶装置３３’−１〜３３’−Ｎに含まれるκ個以上の記憶装置３３’−ηに対して復元要求を送信する。ただし、κは１以上Ｎ以下の整数である（ステップＳ１２２’）。復元要求が送信された記憶装置３３’−ηは記憶部３３２’−ηから断片情報ｓ_ηおよび第２断片情報の集合｛ｓｈ_１，η ，・・・，ｓｈ_Ｎ，η｝を送信する。これにより、少なくともＫ個の断片情報ｓ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）および各ｆ（ｋ）についてそれぞれＫ’個の第２断片情報ｓｈ_{ｆ（ｋ），ｆ’（ｋ’）}（ただし、ｋ’＝１，・・・，Ｋ’、Ｋ’は１以上Ｎ以下の整数）がセキュリティ装置３２’に送られる。例えば、Ｋ≧Ｋ’の場合にはＫ＝κとし、Ｋ＜Ｋ’の場合にはＫ’＝κとし、κ個の記憶装置３３’−η（ただし、η＝ｇ’（１），・・・，ｇ’（κ））が断片情報ｓ_ηおよび第２断片情報の集合｛ｓｈ_１，η ，・・・，ｓｈ_Ｎ，η｝をセキュリティ装置３２’に送信する。なお、ｆ’，ｇ’は単射であり、｛ｆ’（１），・・・，ｆ’（Ｋ）｝⊆｛１，・・・，Ｎ｝および｛ｇ’（１），・・・，ｇ’（κ）｝⊆｛１，・・・，Ｎ｝を満たす（ステップＳ３２３’）。すくなくともＫ個の断片情報ｓ_ｆ（ｋ）（ただし、ｋ＝１，・・・，Ｋ）および各ｆ（ｋ）についてそれぞれＫ’個の第２断片情報ｓｈ_{ｆ（ｋ），ｆ’（ｋ’）}（ただし、ｋ’＝１，・・・，Ｋ’）はセキュリティ装置３２’のインタフェース部１２１’に入力される（ステップＳ３２４’）。セキュリティ装置３２’の復元部３２８’は、入力されたＫ’個の第２断片情報ｓｈ_{ｆ（ｋ），ｆ’（ｋ’）}（ただし、ｋ’＝１，・・・，Ｋ’）から検証情報ｈ_ｆ（ｋ）を復元して出力する（ステップＳ３２６’）。検証部３２６’は、入力された断片情報ｓ_ｆ（ｋ）の写像Ｈによる像Ｈ（ｓ_ｆ（ｋ））である第２検証情報と、入力されたＫ’個の第２断片情報ｓｈ_{ｆ（ｋ），ｆ’（ｋ’）}（ただし、ｋ’＝１，・・・，Ｋ’）から復元された検証情報ｈ_ｆ（ｋ）と、を比較する（ステップＳ３２７’）。ここで、すべてのｋ＝１，・・・，Ｋについてｈ_ｆ（ｋ）＝Ｈ（ｓ_ｆ（ｋ））であれば、セキュリティ装置３２’の復元部３２７は、入力されたＫ個の断片情報ｓ_ｆ（ｋ）から処理情報ｍを復元して出力し（ステップＳ３２５）、インタフェース部１２１’が処理情報ｍをクライアント装置１１に送信する（ステップＳ３２８）。一方、何れかのｋ＝１，・・・，Ｋについてｈ_ｆ（ｋ）≠Ｈ（ｓ_ｆ（ｋ））であれば、セキュリティ装置３２’のインタフェース部１２１’は、エラーを出力する（ステップＳ１２６）。あるいは、何れかのｋ＝１，・・・，Ｋについてｈ_ｆ（ｋ）≠Ｈ（ｓ_ｆ（ｋ））と判断された場合、制御部１２８でリトライが可能か否かを判断し（ステップＳ１２７）、リトライが可能な場合に処理をステップＳ１２２’に戻し、リトライが不可能な場合にインタフェース部１２１’がエラーを出力してもよい（ステップＳ１２６）。

［その他の変形例等］
なお、本発明は上述の各実施形態に限定されるものではない。例えば、秘密分散によって得られた情報をさらに分割した情報を「断片情報」として上記の各処理が実行されてもよい。この場合の復元は、複数個の断片情報を結合して行われる。また、上述の各実施形態では、復元処理やバックアップ復元処理の際、セキュリティ装置が復元に用いる記憶装置を選択したが、クライアント装置が復元に用いる記憶装置を選択してもよい。また、上述の各実施形態では、分散時に処理情報ｍがクライアント装置からセキュリティ装置に入力され、復元後に処理情報ｍがセキュリティ装置からクライアント装置に出力されることとした。しかしながら、分散前に予めセキュリティ装置の記憶部に処理情報ｍが格納されており、復元後に処理情報ｍがセキュリティ装置の記憶部に格納されることとしてもよい。その他上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の各装置の一部またはすべての処理機能は、プログラムを用いることなく処理機能を実現する電子回路（circuitry）を用いて構成されてもよいし、プログラムがコンピュータにインストールされることで構成されてもよい。当該コンピュータは１個のプロセッサを備えていてもよいし、複数個のプロセッサを備えていてもよい。このようなコンピュータが備えるプロセッサはハードウェア・プロセッサであり、例えば、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路である。なお「電子回路（circuitry）」という用語は、プログラムを用いることなく処理機能を実現する電子回路だけを意味するものではなく、プログラムが読み込まれることで機能構成を実現する電子回路をも意味する。すなわち上述の各装置は、例えば、上述の各部の処理を実行するように構成された電子回路を含む装置である。上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

コンピュータ上で所定のプログラムを実行させて装置の処理機能を実現することに代えて、これらの処理機能の少なくとも一部をハードウェアで実現してもよい。

１〜３ 秘密分散システム
１１ クライアント装置
１２，２２，３２，３２’ セキュリティ装置
１３−ｎ，２３−ｎ，３３−ｎ，３３’−ｎ 記憶装置

Claims (6)

1. Ｎ≧２であり、Ｎ＞Ｋ≧１であり、Ｋ個以上の断片情報が得られた場合にのみ処理情報が復元されるように、前記処理情報をＮ個の断片情報ｓ _１ ，…，ｓ _Ｎ に秘密分散する秘密分散部と、
   ｎ＝１，…，Ｎであり、前記断片情報ｓ _ｎ の写像による像である検証情報ｈ _ｎ を得る検証情報生成部と、
   前記断片情報ｓ _１ ，…，ｓ _Ｎ を出力する出力部と、
   Ｎ個の前記検証情報ｈ _１ ，…，ｈ _Ｎ を含む複製情報ｄ＝｛ｈ _１ ，…，ｈ _Ｎ ｝の写像による像である第２検証情報ｇを得る第２検証情報生成部と、
   Ｋ個以上の第２断片情報が得られた場合にのみ前記複製情報ｄおよび前記第２検証情報ｇを含む情報が復元されるように、前記複製情報ｄおよび前記第２検証情報ｇを含む情報を秘密分散してＮ個の第２断片情報ｓｈ _１ ，…，ｓｈ _Ｎ を得る第２秘密分散部と、
   前記第２断片情報ｓｈ _１ ，…，ｓｈ _Ｎ を出力する第２出力部と、
   ｛ｆ（１），・・・，ｆ（Ｋ）｝⊆｛１，・・・，Ｎ｝であり、Ｋ個の前記第２断片情報ｓｈ _ｆ（１） ，…，ｓｈ _ｆ（Ｋ） の入力を受け付ける入力部と、
   前記入力部に入力された前記第２断片情報ｓｈ _ｆ（１） ，…，ｓｈ _ｆ（Ｋ） から、前記複製情報ｄおよび前記第２検証情報ｇを含む復元情報を復元する復元部と、
   前記復元情報に含まれた前記第２検証情報ｇと、前記復元情報に含まれた前記複製情報ｄの写像による像である第３検証情報と、を比較する検証部と、
   を有するセキュリティ装置。
2. 請求項１のセキュリティ装置であって、
   Ｋ個の前記断片情報ｓ _ｆ（１） ，…，ｓ _ｆ（Ｋ） の入力を受け付ける第２入力部と、
   ｋ＝１，…，Ｋであり、前記第２入力部に入力された前記断片情報ｓ _ｆ（ｋ） の写像による像である第４検証情報と、前記検証情報ｈ _ｆ（ｋ） と、を比較する第２検証部と、
   前記検証情報ｈ _ｆ（ｋ） に一致する前記第４検証情報に対応する前記断片情報ｓ _ｆ（ｋ） からなるＫ個の前記断片情報ｓ _ｆ（１） ，…，ｓ _ｆ（Ｋ） を用いて前記処理情報を復元する第２復元部と、
   を有するセキュリティ装置。
3. 請求項１または２のセキュリティ装置であって、
   前記写像は、一方向性および衝突困難性を持つ写像である、セキュリティ装置。
4. Ｎ≧２であり、Ｎ＞Ｋ≧１であり、秘密分散部において、Ｋ個以上の断片情報が得られた場合にのみ処理情報が復元されるように、前記処理情報をＮ個の断片情報ｓ _１ ，…，ｓ _Ｎ に秘密分散するステップと、
   ｎ＝１，…，Ｎであり、検証情報生成部において、前記断片情報ｓ _ｎ の写像による像である検証情報ｈ _ｎ を得るステップと、
   出力部において、前記断片情報ｓ _１ ，…，ｓ _Ｎ を出力するステップと、
   第２検証情報生成部において、Ｎ個の前記検証情報ｈ _１ ，…，ｈ _Ｎ を含む複製情報ｄ＝｛ｈ _１ ，…，ｈ _Ｎ ｝の写像による像である第２検証情報ｇを得るステップと、
   第２秘密分散部において、Ｋ個以上の第２断片情報が得られた場合にのみ前記複製情報ｄおよび前記第２検証情報ｇを含む情報が復元されるように、前記複製情報ｄおよび前記第２検証情報ｇを含む情報を秘密分散してＮ個の第２断片情報ｓｈ _１ ，…，ｓｈ _Ｎ を得るステップと、
   第２出力部において、前記第２断片情報ｓｈ _１ ，…，ｓｈ _Ｎ を出力するステップと、
   ｛ｆ（１），・・・，ｆ（Ｋ）｝⊆｛１，・・・，Ｎ｝であり、入力部において、Ｋ個の前記第２断片情報ｓｈ _ｆ（１） ，…，ｓｈ _ｆ（Ｋ） の入力を受け付けるステップと、
   復元部において、前記入力部に入力された前記第２断片情報ｓｈ _ｆ（１） ，…，ｓｈ _ｆ（Ｋ） から、前記複製情報ｄおよび前記第２検証情報ｇを含む復元情報を復元するステップと、
   検証部において、前記復元情報に含まれた前記第２検証情報ｇと、前記復元情報に含まれた前記複製情報ｄの写像による像である第３検証情報と、を比較するステップと、
   を有するセキュリティ方法。
5. 請求項４のセキュリティ方法であって、
   第２入力部において、Ｋ個の前記断片情報ｓ _ｆ（１） ，…，ｓ _ｆ（Ｋ） の入力を受け付けるステップと、
   ｋ＝１，…，Ｋであり、第２検証部において、前記第２入力部に入力された前記断片情報ｓ _ｆ（ｋ） の写像による像である第４検証情報と、前記検証情報ｈ _ｆ（ｋ） と、を比較するステップと、
   第２復元部において、前記検証情報ｈ _ｆ（ｋ） に一致する前記第４検証情報に対応する前記断片情報ｓ _ｆ（ｋ） からなるＫ個の前記断片情報ｓ _ｆ（１） ，…，ｓ _ｆ（Ｋ） を用いて前記処理情報を復元するステップと、
   を有するセキュリティ方法。
6. 請求項１から３の何れかのセキュリティ装置としてコンピュータを機能させるためのプログラム。

Images