(57)【要約】【課題】利便性の低下を抑制したデータ漏洩対策を可能にする。【解決手段】割符制御部は、認証された端末が所定範囲内に存在している間は、割符を生成せず、元データをデータキャッシュ部２８に格納し続ける（図１０（ａ））。また、割符制御部は、認証された端末が所定範囲内に存在しなくなると、データキャッシュ部２８に格納されている元データから割符（大）、（小）を生成し、割符（大）をエッジコンピュータ２０の割符格納部３８に格納するとともに、割符（小）をクラウドサーバ１０ｂの割符格納部１２に格納する。そして、データ消去制御部は、元データをデータキャッシュ部２８から消去する（図１０（ｂ））。【選択図】図１０
2020034982.tif 000002
【特許請求の範囲】
【請求項１】
データを格納する格納部を有する情報処理装置であって、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出する検出部と、
前記検出部が前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記検出部が前記端末又は人物を前記所定範囲内で検出できなくなると、前記データから複数の割符を生成し、前記複数の割符の一部を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記複数の割符の他部を他の装置が有する第２記憶装置に記憶し、前記データを前記格納部から消去する処理部と、
を備える情報処理装置。
【請求項２】
データを格納する格納部を有する情報処理装置であって、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出する検出部と、
前記データから複数の割符を生成し、前記複数の割符の一部を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記複数の割符の他部を他の装置が有する第２記憶装置に記憶し、前記検出部が前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記検出部が前記端末又は人物を前記所定範囲内で検出できなくなると、前記データを前記格納部から消去する処理部と、
を備える情報処理装置。
【請求項３】
前記データの読み出し指示を端末から受け付けたときに、該データが前記格納部に格納されていれば、前記データを前記格納部から読み出して前記端末に送信し、前記データが前記格納部に格納されていなければ、前記データに対応する複数の割符から前記データを生成して前記格納部に格納し、生成した前記データを前記端末に送信する、データ提供部を更に備える請求項１又は２に記載の情報処理装置。
【請求項４】
前記第１記憶装置に記憶する前記複数の割符の一部よりも、前記第２記憶装置に記憶する前記複数の割符の他部のほうが、データ量が小さいことを特徴とする請求項１〜３のいずれか一項に記載の情報処理装置。
【請求項５】
前記格納部は、揮発性記憶装置であることを特徴とする請求項１〜４のいずれか一項に記載の情報処理装置。
【請求項６】
データを格納する格納部を有する情報処理装置であって、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出する検出部と、
前記検出部が前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記検出部が前記端末又は人物を前記所定範囲内で検出できなくなると、暗号鍵を用いて前記データから暗号化データを生成し、前記暗号鍵及び前記暗号化データの一方を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記暗号鍵及び前記暗号化データの他方を他の装置が有する第２記憶装置に記憶し、前記データを前記格納部から消去する処理部と、
を備える情報処理装置。
【請求項７】
データを格納する格納部を有する情報処理装置であって、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出する検出部と、
暗号鍵を用いて前記データから暗号化データを生成し、前記暗号鍵及び前記暗号化データの一方を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記暗号鍵及び前記暗号化データの他方を他の装置が有する第２記憶装置に記憶し、前記検出部が前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記検出部が前記端末又は人物を前記所定範囲内で検出できなくなると、前記データを前記格納部から消去する処理部と、
を備える情報処理装置。
【請求項８】
データを格納する格納部を有する情報処理装置のコンピュータが、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出し、
前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記端末又は人物を前記所定範囲内で検出できなくなると、前記データから複数の割符を生成し、前記複数の割符の一部を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記複数の割符の他部を他の装置が有する第２記憶装置に記憶し、前記データを前記格納部から消去する、
処理を実行することを特徴とする情報処理方法。
【請求項９】
データを格納する格納部を有する情報処理装置のコンピュータが、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出し、
前記データから複数の割符を生成し、前記複数の割符の一部を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記複数の割符の他部を他の装置が有する第２記憶装置に記憶し、前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記端末又は人物を前記所定範囲内で検出できなくなると、前記データを前記格納部から消去する、
処理を実行することを特徴とする情報処理方法。
【請求項１０】
データを格納する格納部を有する情報処理装置のコンピュータが、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出し、
前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記端末又は人物を前記所定範囲内で検出できなくなると、暗号鍵を用いて前記データから暗号化データを生成し、前記暗号鍵及び前記暗号化データの一方を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記暗号鍵及び前記暗号化データの他方を他の装置が有する第２記憶装置に記憶し、前記データを前記格納部から消去する、
処理を実行することを特徴とする情報処理方法。
【請求項１１】
データを格納する格納部を有する情報処理装置のコンピュータが、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出し、
暗号鍵を用いて前記データから暗号化データを生成し、前記暗号鍵及び前記暗号化データの一方を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記暗号鍵及び前記暗号化データの他方を他の装置が有する第２記憶装置に記憶し、前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記端末又は人物を前記所定範囲内で検出できなくなると、前記データを前記格納部から消去する、
処理を実行することを特徴とする情報処理方法。
【請求項１２】
データを管理する管理装置と、
前記管理装置が管理するデータの複製データを格納する格納部を有し、端末からの要求に応じて前記複製データを提供する請求項１〜７のいずれか一項に記載の情報処理装置と、を備える分散処理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置及び情報処理方法、並びに分散処理システムに関する。
【背景技術】
【０００２】
クラウドサーバに格納されているデータに対してアクセスが集中することにより、クラウドサーバに負荷がかかるのを防止するための技術として、エッジコンピュータを利用した負荷分散技術が提案されている。この技術は、クラウドに格納されているデータのキャッシュをエッジコンピュータに配置しておき、エッジコンピュータの近くに存在する端末にエッジコンピュータが有するキャッシュを利用させることで、負荷分散を実現するというものである。
【０００３】
この場合、エッジコンピュータは筐体として存在し、誰でも出入り可能な部屋等に配置される場合もあるため、筐体やＨＤＤ等のハードウェアが盗難されるというリスクがある。万が一盗難されると、エッジコンピュータ内に格納されているキャッシュが漏洩してしまう。
【０００４】
このような漏洩を防ぐための技術として、電子文書を複数の分割データに分割し、各分割データそれぞれを異なるサーバに格納するような電子文書の分散化技術が知られている（例えば特許文献１〜３等参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】国際公開第２０１３／０６５１３３号
【特許文献２】特開２００８−１５２５９３号公報
【特許文献３】特開２００８−１９８０１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、複数の分割データを異なるサーバに格納すると処理遅延や処理負荷が発生するため、ユーザの利便性が低下するおそれがある。
【０００７】
１つの側面では、本発明は、利便性の低下を抑制したデータ漏洩対策が可能な情報処理装置及び情報処理方法、並びに分散処理システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
一つの態様では、情報処理装置は、データを格納する格納部を有する情報処理装置であって、予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出する検出部と、前記検出部が前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記検出部が前記端末又は人物を前記所定範囲内で検出できなくなると、前記データから複数の割符を生成し、前記複数の割符の一部を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記複数の割符の他部を他の装置が有する第２記憶装置に記憶し、前記データを前記格納部から消去する処理部と、を備える情報処理装置である。
【発明の効果】
【０００９】
利便性の低下を抑制したデータ漏洩対策ができる。
【図面の簡単な説明】
【００１０】
【図１】第１の実施形態に係る分散処理システムの構成を概略的に示す図である。
【図２】エッジコンピュータのハードウェア構成を示す図である。
【図３】第１の実施形態に係るエッジコンピュータの機能ブロック図である。
【図４】第１の実施形態においてエッジコンピュータが処理に用いるテーブルを示す図である。
【図５】第１の実施形態に係る元データ取得・格納処理を示すフローチャートである。
【図６】第１の実施形態に係るデータキャッシュ部のデータ自動消去処理を示すフローチャートである。
【図７】図６の割符化処理を示すフローチャートである。
【図８】第１の実施形態に係るデータ送信処理を示すフローチャートである。
【図９】図８のデコード処理を示すフローチャートである。
【図１０】図１０（ａ）、図１０（ｂ）は、第１の実施形態の概要を説明するための図である。
【図１１】第１の実施形態に係る動作検証レポートの生成処理を示すフローチャートである。
【図１２】動作検証レポートの例を示す図である。
【図１３】第２の実施形態において、エッジコンピュータに対してクラウドサーバから元データ（キャッシュ）が送信されてきたときに実行される処理を示すフローチャートである。
【図１４】第２の実施形態に係るデータキャッシュ部のデータ自動消去処理を示すフローチャートである。
【図１５】第２の実施形態においてエッジコンピュータが処理に用いるテーブルを示す図である。
【図１６】図１６（ａ）、図１６（ｂ）は、第２の実施形態の概要を説明するための図である。
【図１７】第３の実施形態に係るエッジコンピュータの機能ブロック図である。
【図１８】第３の実施形態における暗号化処理（Ｓ２６）を示すフローチャートである。
【図１９】第３の実施形態におけるデコード処理（Ｓ６２）を示すフローチャートである。
【図２０】図２０（ａ）、図２０（ｂ）は、第３の実施形態の概要を説明するための図である。
【図２１】第４の実施形態において、エッジコンピュータに対してクラウドサーバから元データ（キャッシュ）が送信されてきたときに実行される処理を示すフローチャートである。
【図２２】図２２（ａ）、図２２（ｂ）は、第４の実施形態の概要を説明するための図である。
【発明を実施するための形態】
【００１１】
《第１の実施形態》
以下、分散処理システムの第１の実施形態について、図１〜図１２に基づいて詳細に説明する。
【００１２】
図１には、第１の実施形態に係る分散処理システム１００の構成が概略的に示されている。図１に示すように、分散処理システム１００は、インターネットなどのネットワーク８０に接続されたクラウドサーバ１０と、情報処理装置としてのエッジコンピュータ２０と、を備える。クラウドサーバ１０はデータセンタ等に設置された情報処理装置であり、会社内のユーザが利用するデータを管理する。エッジコンピュータ２０は、例えば会社内の各室（会議室など）に設置された情報処理装置である。エッジコンピュータ２０によって認証された端末７０は、アクセスポイント６８を介してエッジコンピュータ２０との間で通信することが可能となっている。これにより、認証された端末７０は、エッジコンピュータ２０が有するデータを利用することが可能となっている。なお、端末７０はノートＰＣ（Personal Computer）などの持ち運び可能な情報処理装置であるものとする。
【００１３】
本第１の実施形態では、会社内において会議を開催する際に、ユーザ（管理者等）によってクラウドサーバ１０で管理されているデータ（文書などの資料）が会議室に設置されているエッジコンピュータ２０に送信（コピー）される。この場合、エッジコンピュータ２０においてデータのキャッシュ（元データと呼ぶ）が保持されているため、会議に参加するユーザは認証された端末７０からエッジコンピュータ２０にアクセスして元データを利用する。このようにすることで、会議開催中のクラウドサーバ１０へのアクセス集中を防止し、クラウドサーバ１０の負荷をエッジコンピュータ２０に分散することができる。
【００１４】
ここで、エッジコンピュータ２０は、会議室等に設置されるため、エッジコンピュータ２０そのもの（筐体）や記憶装置（ＨＤＤ（Hard Disk Drive）など）が悪意のある第三者によって盗難されるおそれがある。万が一盗難されると、エッジコンピュータ２０内に格納されている元データが漏洩するおそれがあるため、エッジコンピュータ２０におけるデータ管理が重要となる。
【００１５】
以下、本第１の実施形態のエッジコンピュータ２０の構成及びエッジコンピュータ２０が実行する処理について詳細に説明する。
【００１６】
図２には、エッジコンピュータ２０のハードウェア構成が示されている。図２に示すように、エッジコンピュータ２０は、ＣＰＵ（Central Processing Unit）９０、ＲＯＭ（Read Only Memory）９２、ＲＡＭ（Random Access Memory）９４、記憶部（ここではＨＤＤ（Hard Disk Drive））９６、ネットワークインタフェース９７、センサ９３、及び可搬型記憶媒体用ドライブ９９等を備えている。これらエッジコンピュータ２０の構成各部は、バス９８に接続されている。エッジコンピュータ２０では、ＲＯＭ９２あるいはＨＤＤ９６に格納されているプログラム、或いは可搬型記憶媒体用ドライブ９９が可搬型記憶媒体９１から読み取ったプログラムをＣＰＵ９０が実行することにより、図３に示す、各部の機能が実現される。なお、図３の各部の機能は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されてもよい。
【００１７】
図３は、エッジコンピュータ２０のＣＰＵ９０がプログラムを実行することにより実現されている機能を示す機能ブロック図である。図３に示すように、エッジコンピュータ２０は、データ提供部としてのデータ入出力部２１、状況監視部２２、割符制御部２４、データ消去制御部２６、エンコード部３０、割符送受信部３４、デコード部３６、レポート生成部４０、として機能する。また、図２に示すＲＡＭ９４（揮発性記憶装置）により、格納部としてのデータキャッシュ部２８及び割符一時保持部３２としての機能が実現され、ＨＤＤ９６（不揮発性記憶装置）により、第１記憶装置としての割符格納部３８の機能が実現されている。なお、揮発性記憶装置とは、電力を供給しないと内容が消去される記憶装置である。すなわち、揮発性記憶装置は、エッジコンピュータ２０が盗難された場合（電力が供給されなくなった場合）に記憶していたデータを消去する記憶装置である。一方、不揮発性記憶装置は、電力が供給されなくなってもデータを記憶し続ける記憶装置である。
【００１８】
データ入出力部２１は、ユーザにより、１つのクラウドサーバ１０（クラウドサーバ１０ａとする）に格納されているデータのキャッシュ（元データ）をエッジコンピュータ２０に送信（コピー）する操作が行われたときに、元データをデータキャッシュ部２８に記憶する。また、データ入出力部２１は、端末７０からエッジコンピュータ２０内で管理されている元データの送信要求を受け付けると、要求に対応する元データを端末７０に対して送信する。
【００１９】
状況監視部２２は、センサ９３（図２参照）から得られる情報に基づいて、エッジコンピュータ２０から所定範囲内の状況を監視する。より具体的には、センサ９３は、所定範囲内（例えば会議室内）に信頼できる端末又はユーザが存在しているか否かを検出するセンサであり、例えばＢＬＥ（Bluetooth（登録商標） Low Energy）ビーコン、ＲＦＩＤ（Radio Frequency IDentifier）、入室管理装置、ＧＰＳシステム、顔認証システムなどを含む。状況監視部２２は、所定範囲内に信頼できる端末又はユーザが存在しているか否かの情報を割符制御部２４やデータ消去制御部２６に通知する。なお、本第１の実施形態では、一例として、会議に参加するユーザ利用する端末が予め登録されているものとし、状況監視部２２は、当該端末（認証された端末と呼ぶ）７０が会議室内に存在するか否かをセンサ９３を用いて検出するものとする。なお、本第１の実施形態では、センサ９３と状況監視部２２とを含んで、検出部としての機能が実現されている。
【００２０】
割符制御部２４は、状況監視部２２からの通知等に基づいて、エンコード部３０やデコード部３６、割符送受信部３４の動作を制御する。
【００２１】
データ消去制御部２６は、状況監視部２２からの通知等に基づいて、データキャッシュ部２８に格納されている元データを消去したり、割符一時保持部３２に格納されている割符を消去したりする。
【００２２】
エンコード部３０は、割符制御部２４の指示の下、データキャッシュ部２８に格納されている元データを割符化する。本実施形態では、割符化により、割符（大）と割符（小）に分割するものとする。エンコード部３０は、割符（大）と割符（小）を割符一時保持部３２に格納する。なお、割符化が行われた場合には、データキャッシュ部２８から元データが消去される。
【００２３】
割符送受信部３４は、割符制御部２４の指示の下、割符（大）及び割符（小）の一方（例えば割符（小））を他の装置（例えばクラウドサーバ１０ｂとする）に対して送信する。クラウドサーバ１０ｂは、ＨＤＤ等により実現されている第２記憶装置としての割符格納部１２に割符（小）を格納する。この場合、データ消去制御部２６は、割符一時保持部３２に格納されている割符（小）を消去する。また、割符制御部２４は、割符一時保持部３２に対して割符（大）及び割符（小）の他方（例えば割符（大））を割符格納部３８に格納し、格納した割符を割符一時保持部３２から消去する。また、割符送受信部３４は、認証された端末７０から元データの送信要求が出されたがデータキャッシュ部２８内に元データが存在しない場合に、割符制御部２４の指示の下、クラウドサーバ１０ｂの割符格納部１２から割符（小）を受信する。そして、割符送受信部３４は、受信した割符（小）を割符一時保持部３２に格納する。
【００２４】
デコード部３６は、認証された端末７０から元データの送信要求が出されたがデータキャッシュ部２８内に元データが存在しない場合に、割符制御部２４の指示の下、デコード（割符を用いた元データの生成）を実行する。具体的には、デコード部３６は、割符一時保持部３２に格納されている割符（小）と割符格納部３８から読み出した割符（大）とを用いて元データを生成し、データキャッシュ部２８に格納する。データキャッシュ部２８に格納された元データは、データ入出力部２１により、認証された端末７０に対して送信される。
【００２５】
ここで、割符制御部２４及びデータ消去制御部２６は、図４に示すようなテーブルにおいて、データを管理している。図４のテーブルは、具体的には、「データＩＤ」、「ファイル名（ファイルパス）」、「割符格納部」、「エンコードフラグ」の各項目を有している。項目「データＩＤ」は、データに付与された識別情報を意味する。項目「ファイル名（ファイルパス）」は、データの名称及び拡張子を意味する。項目「割符格納部」は、割符の格納先（別のコンピュータなど）の情報を意味する。ここで、項目「エンコードフラグ」が「ｔｒｕｅ」の場合には、元データがデータキャッシュ部２８に格納されている状態で、この元データが後述する割符化処理（図６のステップＳ２６）の対象となる新しいデータであることを意味する。一方、項目「エンコードフラグ」が「ｆａｌｓｅ」の場合には、元データの割符化が行われており、割符化処理を行う必要がないデータであることを意味する。なお、図４のテーブルからは、項目「データＩＤ」及び項目「ファイル名（ファイルパス）」のいずれか一方を省略してもよい。
【００２６】
レポート生成部４０は、割符制御部２４やデータ消去制御部２６から出力されるログを取得し、動作検証レポートを生成する。
【００２７】
次に、エッジコンピュータ２０の処理について、図５〜図９のフローチャートに沿って、その他図面を参照しつつ詳細に説明する。
【００２８】
（元データ取得・格納処理）
図５には、元データ取得・格納処理がフローチャートにて示されている。図５の処理は、ユーザの操作に応じてクラウドサーバ１０ａから元データが送られてくるたびに実行される処理である。図５の処理では、まずステップＳ１０において、データ入出力部２１が元データを取得する。
【００２９】
次いで、ステップＳ１２では、割符制御部２４が、元データからデータＩＤを抽出し、テーブル（図４）に追加して、エッジコンピュータ外の割符格納部（例えば、クラウドサーバ１０ｂの割符格納部１２）の情報（格納先情報）と紐付けする。なお、管理者等は、データ種別等に対応して、各データの格納先情報を予め設定しておくものとする。
【００３０】
次いで、ステップＳ１４では、割符制御部２４が追加したデータＩＤのエンコードフラグを「ｔｒｕｅ」に設定する。なお、詳細については後述するが、割符制御部２４は、このステップＳ１４の処理が行われた段階で、キャッシュデータ作成ログをレポート生成部４０に対して出力する。
【００３１】
次いで、ステップＳ１６では、割符制御部２４が、データＩＤを付与した元データをデータキャッシュ部２８に格納する。
【００３２】
以上により、図５の処理が終了する。
【００３３】
（データキャッシュ部２８のデータ自動消去処理）
図６には、データキャッシュ部２８のデータ自動消去処理がフローチャートにて示されている。なお、図６の処理は、前述の元データ取得・格納処理や後述するデータ送信処理およびデコード処理と並行して実行されるようになっている。
【００３４】
図６の処理では、まず、ステップＳ２０において、割符制御部２４が、状況監視部２２の出力に基づいて、認証された端末７０がエッジコンピュータ２０から所定範囲内に存在しているか否かを判断する。このステップＳ２０の判断が肯定された場合、すなわち、会議室内に信頼できる端末が存在している場合には、割符制御部２４は、ステップＳ２２に移行する。
【００３５】
ステップＳ２２に移行すると、割符制御部２４は、一定時間が経過するまで待機する。そして、一定時間が経過すると、割符制御部２４は、ステップＳ２０に戻る。すなわち、割符制御部２４は、認証された端末７０が所定範囲内に存在しなくなるまでステップＳ２０（肯定）とステップＳ２２を繰り返し、ステップＳ２０の判断が否定された段階で、ステップＳ２４に移行する。
【００３６】
ステップＳ２４に移行すると、割符制御部２４は、テーブルにエンコードフラグが「ｔｒｕｅ」であるデータＩＤが存在するか否かを判断する。すなわち、割符制御部２４は、割符化の対象となる新しい元データがデータキャッシュ部２８に格納されているか否かを判断する。このステップＳ２４の判断が否定された場合には、ステップＳ２８に移行する。なお、ステップＳ２８の処理については、後述する。
【００３７】
一方、ステップＳ２４の判断が肯定された場合、すなわち、元データ（キャッシュ）がデータキャッシュ部２８内に存在する場合には、割符制御部２４は、ステップＳ２６に移行する。
【００３８】
ステップＳ２６に移行すると、割符化処理のサブルーチンが実行される。割符化処理としては、図７のフローチャートに沿った処理が実行されることになる。
【００３９】
図７の処理では、まず、ステップＳ３０において、割符制御部２４の指示の下、エンコード部３０が、エンコードフラグが「ｔｒｕｅ」のデータＩＤ毎にデータキャッシュ部２８内の元データを割符化する。また、エンコード部３０は、生成した割符に元データのデータＩＤを付与して割符一時保持部３２に保持する。ここでは、割符化により、元データが割符（大）と割符（小）に分割されたものとし、割符一時保持部３２に割符（大）、割符（小）の両方が保持されたものとする。
【００４０】
次いで、ステップＳ３２では、割符制御部２４の指示の下、割符送受信部３４が、生成した割符（小）をクラウドサーバ１０ｂの割符格納部１２に送信する。
【００４１】
次いで、ステップＳ３４では、データ消去制御部２６が、割符一時保持部３２に保持されている割符（小）を消去する。
【００４２】
次いで、ステップＳ３６では、割符制御部２４が、割符（大）をエッジコンピュータ２０内の割符格納部３８に格納する。
【００４３】
次いで、ステップＳ３８では、データ消去制御部２６が、割符一時保持部３２に保持されている割符（大）を消去する。
【００４４】
次いで、ステップＳ４０では、割符制御部２４が、テーブル（図４）の割符化した元データに対応するエンコードフラグを「ｆａｌｓｅ」とする。以上のようにして、図７の処理が行われた後は、図６のステップＳ２８に移行する。なお、図７の処理が終了した段階では、テーブル内にエンコードフラグ「ｔｒｕｅ」は無い状態となっている。
【００４５】
次いで、ステップＳ２８では、データ消去制御部２６は、データキャッシュ部２８内のデータを全て消去する。このように、エッジコンピュータ２０の周辺に認証された端末７０が存在していない状態では、エッジコンピュータ２０内から元データを消去することとしている。これにより、万が一悪意のある第三者によりエッジコンピュータ２０の筐体やエッジコンピュータ２０内の記憶装置が盗難されたとしても、データの漏洩を防止することができる。ステップＳ２８の処理の後は、図６の全処理が終了する。なお、図６の処理が終了した段階で、再び図６の処理がステップＳ２０から実行され、図６の処理が繰り返し実行されるようになっている。
【００４６】
なお、詳細については後述するが、ステップＳ２８の処理が行われた段階で、割符制御部２４は、キャッシュデータ削除ログをレポート生成部４０に対して出力する。
【００４７】
（データ送信処理）
図８には、認証された端末７０からデータの送信要求が出された場合に実行される、データ送信処理がフローチャートにて示されている。
【００４８】
図８の処理では、まず、ステップＳ５０において、データ入出力部２１が、データの送信要求を受信する。次いで、ステップＳ５２では、状況監視部２２が、認証された端末７０が所定範囲内に存在するか否かを判断する。このステップＳ５２の判断が否定された場合には、会議室内で会議が開かれておらず、端末７０に対してデータを送信する必要がないため、ステップＳ６４に移行して、データ入出力部２１が、データ要求元の端末へデータが存在しない旨を通知する。その後は、図８の全処理を終了する。
【００４９】
これに対し、ステップＳ５２の判断が肯定された場合には、ステップＳ５４に移行し、データ入出力部２１は、送信要求のあったデータのデータＩＤを抽出する。次いで、ステップＳ５６では、データ入出力部２１は、テーブルに送信要求のあったデータのデータＩＤが存在するか否かを判断する。このステップＳ５６の判断が否定された場合、すなわち送信要求のあったデータをエッジコンピュータ２０から提供できない場合には、ステップＳ６４に移行する。ステップＳ６４に移行すると、データ入出力部２１は、データ要求元の端末へデータが存在しない旨を通知する。その後は、図８の全処理を終了する。
【００５０】
一方、ステップＳ５６の判断が肯定された場合には、ステップＳ５８に移行し、データ入出力部２１は、データキャッシュ部２８に送信要求データのデータＩＤが付与されたデータが存在するか否かを判断する。
【００５１】
このステップＳ５８の判断が肯定された場合、すなわち、送信要求データがデータキャッシュ部２８に格納されている場合には、ステップＳ６０に移行する。ステップＳ６０では、データ入出力部２１が、データキャッシュ部２８に格納されている送信要求データを読み出し、送信要求元の端末７０に送信する。
【００５２】
これに対し、ステップＳ５８の判断が否定された場合、すなわち、元データがデータキャッシュ部２８にない場合には、ステップＳ６２に移行する。ステップＳ６２では、デコード処理のサブルーチンが実行される。ステップＳ６２のデコード処理は、図９のフローチャートに沿って実行される。なお、詳細については後述するが、図８に示すように、ステップＳ６２の処理を行う前段階において、割符制御部２４は、デコード開始ログをレポート生成部４０に対して出力するものとする。
【００５３】
図９の処理では、まず、ステップＳ７０において、割符制御部２４がテーブル（図４）を参照して送信要求データのデータＩＤに紐付けられた割符格納部（例えばクラウドサーバ１０ｂの割符格納部１２）を特定する。そして割符制御部２４は、特定した割符格納部に対し、割符送受信部３４を介して、送信要求データのデータＩＤが付与された割符（小）を要求する。
【００５４】
次いで、ステップＳ７２では、割符制御部２４の指示の下、割符送受信部３４が、要求した割符（小）を割符格納部（クラウドサーバ１０ｂの割符格納部１２）から受信し、割符一時保持部３２に保持する。
【００５５】
次いで、ステップＳ７４では、割符制御部２４が、割符（大）をエッジコンピュータ２０内の割符格納部３８から取得し、割符一時保持部３２に保持する。
【００５６】
次いで、ステップＳ７６では、割符制御部２４の指示の下、デコード部３６が、割符（小）と割符（大）を用いて元データを生成（デコード）する。
【００５７】
次いで、ステップＳ７８では、データ消去制御部２６が、割符一時保持部３２に保持された割符（小）を消去する。また、次のステップＳ８０では、データ消去制御部２６は、割符一時保持部３２に保持された割符（大）を消去する。
【００５８】
次いで、ステップＳ８２では、割符制御部２４の指示の下、デコード部３６が、データＩＤを付与した元データ（ステップＳ７６で生成された元データ）をデータキャッシュ部２８に格納する。なお、詳細については後述するが、ステップＳ８２の処理が行われる際には、割符制御部２４は、キャッシュデータ作成ログをレポート生成部４０に対して出力する。以上のようにして図９の処理が終了すると、図８のステップＳ５８に戻る。なお、図９のステップＳ８２の処理が実行された段階においても、図５のステップＳ１６の処理が実行された段階と同様、図６の処理が開始されるようになっている。
【００５９】
ステップＳ５８に戻り、ステップＳ５８の判断が肯定されると、データ入出力部２１は、ステップＳ６０に移行する。ステップＳ６０に移行すると、データ入出力部２１は、データキャッシュ部２８に格納されている送信要求データ（上述した図９の処理でデータキャッシュ部２８に格納されたデータ）を読み出し、送信要求元の端末７０に送信する。
【００６０】
その後は、図８の全処理を終了する。図８の処理が実行されることで、送信要求データがデータキャッシュ部２８に格納されていればそのまま送信要求データを端末７０に送信することができる。一方、送信要求データがデータキャッシュ部２８に格納されていなければ、割符化により生成された割符（大）と割符（小）とから送信要求データをデコードすることで、送信要求データを送信することができる。
【００６１】
本第１の実施形態では、会議室内に認証された端末７０が存在する場合には、図１０（ａ）において模式的に示すように、元データがデータキャッシュ部２８に格納されている。すなわち、会議を行うユーザが会議室内に存在しており、エッジコンピュータ２０の盗難の可能性が低い場合には、エッジコンピュータ２０に元データをそのまま格納しておくことで、データ利用時のユーザの利便性を高くすることができる。
【００６２】
一方、会議室内に認証された端末７０が存在しない場合には、図１０（ｂ）において模式的に示すように、元データが割符化され、割符（大）がエッジコンピュータ２０の割符格納部３８に格納され、割符（小）がクラウドサーバ１０ｂの割符格納部１２に格納される。また、元データについてはデータキャッシュ部２８から削除される。このように、会議を行うユーザが会議室内に存在しておらず、エッジコンピュータ２０の盗難の可能性がある場合には、割符（小）をエッジコンピュータ２０以外の装置に格納することで、盗難時におけるデータの漏洩を防止することができる。
【００６３】
（動作検証レポートの生成処理）
次に、レポート生成部４０が実行する動作検証レポートの生成処理について図１１のフローチャートに沿って、その他図面を適宜参照しつつ詳細に説明する。
【００６４】
レポート生成部４０は、前述したようなタイミングで、「キャッシュデータ作成ログ」（図５、図９参照）、「キャッシュデータ消去ログ」（図６参照）、「デコード開始ログ」（図８参照）を受信する。レポート生成部４０は、ログが送信されてくる度に図１１のフローチャートに沿った処理を実行する。
【００６５】
図１１の処理では、まずステップＳ１００において、レポート生成部４０ができ、ログを受信する。次いで、ステップＳ１０２では、レポート生成部４０が、ログのデータＩＤを抽出する。次いで、ステップＳ１０４では、レポート生成部４０が、動作検証レポート（図１２参照）に、抽出したデータＩＤに対応する行が存在するか否かを判断する。
【００６６】
ここで、図１２の動作検証レポートには、「ファイル名」、「ログ時刻」、「ａ１〜ａ７」、「ｂ１〜ｂ３」、「状態」の各項目が設けられている。項目「ファイル名」には、元データのファイル名が格納され、項目「ログ時刻」には、最新のログの受信時刻が格納される。また、項目「ａ１〜ａ７」、「ｂ１〜ｂ３」には、ログに基づく動作の進行状況が表され、項目「状態」には、危険度が低い順に「安全」、「注意」、「危険」が格納される。
【００６７】
図１１のステップＳ１０４の判断が否定された場合、レポート生成部４０は、ステップＳ１０６に移行し、抽出したデータＩＤに対応するレポートの行を生成し、状態を「未定義」とする。その後はステップＳ１０８に移行する。一方、ステップＳ１０４の判断が肯定された場合、すなわち、抽出したデータＩＤに対応する行が動作検証レポートに存在する場合には、ステップＳ１０６を経ずにステップＳ１０８に移行する。
【００６８】
ステップＳ１０８に移行すると、レポート生成部４０は、受信したログがデコード開始ログであるか否かを判断する。このステップＳ１０８の判断が肯定された場合には、ステップＳ１１０に移行し、レポート生成部４０は、抽出したデータＩＤの行の項目「状態」を「注意」とする。その後は、図１１の全処理を終了する。
【００６９】
一方、ステップＳ１０８の判断が否定された場合には、ステップＳ１１２に移行し、レポート生成部４０は、受信したログがキャッシュデータ作成ログであるか否かを判断する。このステップＳ１１２の判断が肯定された場合には、ステップＳ１１４に移行し、レポート生成部４０は、抽出したデータＩＤの行の項目「状態」を「危険」とする。その後は、図１１の全処理を終了する。
【００７０】
これに対し、ステップＳ１１２の判断が否定された場合、すなわち、受信したログがキャッシュデータ消去ログであった場合には、レポート生成部４０は、ステップＳ１１６に移行する。ステップＳ１１６に移行すると、レポート生成部４０は、抽出したデータＩＤの行の項目「状態」を「安全」とする。その後は、図１１の全処理を終了する。
【００７１】
なお、動作検証レポートの項目「状態」が「安全」の場合には、図１０（ｂ）に示すような元データがデータキャッシュ部２８に格納されていない状態であり、エッジコンピュータ２０が盗難されてもデータ漏洩のおそれがないことを表している。また、項目「状態」が「危険」の場合には、図１０（ａ）に示すような元データがデータキャッシュ部２８に格納されていることを表している。また、項目「状態」が「注意」の場合には、元データが割符（大）と割符（小）から生成される途中であることを表している。
【００７２】
レポート生成部４０は、管理者等から要求があった場合などにおいて、動作検証レポートを提供する。なお、レポート生成部４０は、エッジコンピュータ２０内に無くてもよい。すなわち、レポート生成部４０は、エッジコンピュータ２０外（例えばクラウドサーバ１０）にあってもよい。
【００７３】
なお、レポート生成部４０に対してログを出力した割符制御部２４やデータ消去制御部２６は、レポート生成部４０からログを受信したことを示す通知（受信通知）を受け付けるまで次の処理に進まないようにしてもよい。このようにすることで、動作検証レポートの内容とエッジコンピュータ２０の状態とが整合しない状態が発生するのを抑制することができる。
【００７４】
これまでの説明から明らかなように、本第１の実施形態では、割符制御部２４と、データ消去制御部２６とにより、元データを割符化したり、データキャッシュ部２８から元データを消去する処理を実行する処理部としての機能が実現されている。
【００７５】
以上詳細に説明したように、本第１の実施形態によると、状況監視部２２が、認証された端末７０がエッジコンピュータ２０から所定範囲内に存在しているか否かをセンサ９３を用いて監視する。そして、割符制御部２４は、認証された端末７０が所定範囲内に存在している間は（Ｓ２０：肯定）、割符を生成せず、元データをデータキャッシュ部２８に格納し続ける。また、割符制御部２４は、認証された端末７０が所定範囲内に存在しなくなると（Ｓ２０：否定）、データキャッシュ部２８に格納されている元データ（キャッシュ）から複数の割符を生成する（Ｓ３０）。そして、割符（大）をエッジコンピュータ２０の割符格納部３８に格納する（Ｓ３６、Ｓ３８）とともに、割符（小）をクラウドサーバ１０ｂの割符格納部１２に格納する（Ｓ３２、Ｓ３４）。さらに、データ消去制御部２６は、元データをデータキャッシュ部２８から消去する（Ｓ２８）。これにより、本第１の実施形態では、エッジコンピュータ２０が盗難される可能性がある場合に、割符化を行い、割符（大）と割符（小）を異なる装置の割符格納部に格納し、元データをデータキャッシュ部２８から消去するため、盗難された場合のデータの漏洩を防止することができる。また、エッジコンピュータ２０が盗難される可能性が低く、かつエッジコンピュータ２０に格納された元データ（キャッシュ）がユーザに利用される可能性が高い場合には、元データをデータキャッシュ部２８に格納し続けることとしている。これにより、ユーザはデータキャッシュ部２８の元データを利用することができるため、割符をデコードする必要がある場合と比べ、エッジコンピュータ２０や通信網（インフラ）への負荷を低減し、ユーザの利便性を向上することができる。このように本第１の実施形態では、利便性の低下を抑制したデータ漏洩対策が可能となっている。
【００７６】
また、本第１の実施形態では、揮発性記憶装置であるデータキャッシュ部２８に元データを格納することとしている。これにより、万が一、元データがデータキャッシュ部２８に格納されている状態でエッジコンピュータ２０が盗難されても、盗難時にデータキャッシュ部２８に電力が供給されなくなることで、データキャッシュ部２８から元データを消去することができる。なお、本第１の実施形態では、上述のような処理を行っているため、データキャッシュ部２８が不揮発性記憶装置であったとしても、データ漏洩の可能性は低くなっている。
【００７７】
また、本第１の実施形態では、データ入出力部２１は、データの送信要求を端末７０から受け付けると、元データがデータキャッシュ部２８に格納されていれば、元データを端末７０に送信する。また、データ入出力部２１は、元データがデータキャッシュ部２８に格納されていなければ、デコード部３６が元データに対応する割符をデコードして得られたデータを端末７０に送信する。これにより、データの漏洩を防止しつつ、ユーザに対して、ユーザが要求するデータを提供することができる。
【００７８】
また、本第１の実施形態では、エッジコンピュータ２０の割符格納部３８に格納する割符（割符（大））よりも、クラウドサーバ１０ｂの割符格納部１２に格納する割符（割符（小））のほうが、データ量が小さい。これにより、クラウドサーバ１０ｂとの間の通信量を低減することができる。ただし、これに限らず、割符（大）をクラウドサーバ１０ｂの割符格納部１２に格納することとしてもよい。
【００７９】
《第２の実施形態》
次に、第２の実施形態について、図１３〜図１６に基づいて説明する。本第２の実施形態に係る分散処理システム１００の構成は、第１の実施形態と同様であるが、エッジコンピュータ２０の処理の一部が第１の実施形態と異なっている。以下においては、エッジコンピュータ２０の処理のうち第１の実施形態と異なる点を中心に説明する。
【００８０】
図１３には、エッジコンピュータ２０に対してクラウドサーバ１０ａからデータが送信されてきたときに実行される処理（第１の実施形態の図５に対応）が示されている。本第２の実施形態では、エッジコンピュータ２０がデータのキャッシュ（元データ）を取得したタイミングで、エッジコンピュータ２０の周囲の状況に関わらず、元データの割符化を実行する点が第１の実施形態と異なっている。
【００８１】
図１３の処理では、まずステップＳ２００において、データ入出力部２１が元データを取得する。
【００８２】
次いで、ステップＳ２０２では、割符制御部２４が、元データからデータＩＤを抽出し、テーブル（図１５）に追加してエッジコンピュータ２０外の割符格納部（例えば、クラウドサーバ１０ｂの割符格納部１２）の情報（格納先情報）と紐付けする。なお、管理者等は、データ種別等に対応して、各データの格納先情報を予め設定しておくものとする。なお、図１５のテーブルは、第１の実施形態のテーブル（図４）から項目「エンコードフラグ」を省略したものである。
【００８３】
次いで、ステップＳ２０４では、割符制御部２４の指示の下、エンコード部３０が元データを割符化し、生成した割符に元データのデータＩＤを付与して割符一時保持部３２に保持する。ここでは、割符化により、元データが割符（大）と割符（小）に分割されたものとし、割符一時保持部３２に割符（大）、割符（小）の両方が保持されたものとする。
【００８４】
次いで、ステップＳ２０６では、割符制御部２４の指示の下、割符送受信部３４が、生成した割符（小）をクラウドサーバ１０ｂの割符格納部１２に送信する。
【００８５】
次いで、ステップＳ２０８では、データ消去制御部２６が、割符一時保持部３２に保持されている割符（小）を消去する。
【００８６】
次いで、ステップＳ２１０では、割符制御部２４が、割符（大）をエッジコンピュータ２０内の割符格納部３８に格納する。
【００８７】
次いで、ステップＳ２１２は、データ消去制御部２６が、割符一時保持部３２に保持されている割符（大）を消去する。
【００８８】
次いで、ステップＳ２１４では、割符制御部２４が、データＩＤを付与した元データをデータキャッシュ部２８に格納する。ステップＳ２１４の処理が終了すると、図１３の全処理が終了することになる。
【００８９】
以上のように、本第２の実施形態では、エッジコンピュータ２０に元データが送信されると、割符化が行われる。そして、割符（小）がクラウドサーバ１０ｂの割符格納部１２に格納され、割符（大）がエッジコンピュータ２０内の割符格納部３８に格納されるようになっている。また、元データはデータキャッシュ部２８に格納されるようになっている。
【００９０】
次に、図１４の処理について説明する。図１４の処理は、第１の実施形態の図６に対応する処理である。なお、図１４の処理は、図６の処理と同様に、元データ取得・格納処理やデータ送信処理およびデコード処理と並行して実行されるようになっている。
【００９１】
図１４の処理では、まずステップＳ２２０において、割符制御部２４が、認証された端末７０がエッジコンピュータ２０から所定範囲内に存在しているか否かを判断する。このステップＳ２２０の判断が肯定された場合、すなわち、会議室内に認証された端末７０が存在している場合には、割符制御部２４は、ステップＳ２２２に移行する。
【００９２】
ステップＳ２２２に移行すると、割符制御部２４は、一定時間が経過するまで待機する。そして、一定時間が経過すると、割符制御部２４は、ステップＳ２２０に戻る。すなわち、割符制御部２４は、認証された端末７０が所定範囲内に存在しなくなるまでステップＳ２２０（肯定）とステップＳ２２２を繰り返し、ステップＳ２２０の判断が否定された段階で、ステップＳ２２４に移行する。
【００９３】
ステップＳ２２０の判断が否定され、ステップＳ２２４に移行すると、データ消去制御部２６は、データキャッシュ部２８内のデータを全て消去する。ステップＳ２２４の処理が終了すると、図１４の全処理が終了する。なお、図１４の処理が終了した段階で、再び図１４の処理がステップＳ２２０から実行され、図１４の処理が繰り返し実行されるようになっている。
【００９４】
なお、本第２の実施形態のデータ送信処理は、第１の実施形態のデータ送信処理（図８、図９）と同様である。
【００９５】
本第２の実施形態では、第１の実施形態と同様、会議室内に認証された端末７０が存在する場合には、図１６（ａ）に示すように、元データがデータキャッシュ部２８に格納されている。すなわち、会議を行うユーザが会議室内に存在しており、エッジコンピュータ２０の盗難の可能性が低い場合には、エッジコンピュータ２０に元データをそのまま格納しておくことで、データ利用時のユーザの利便性を高くすることとしている。
【００９６】
一方、会議室内に認証された端末７０が存在しない場合には、図１６（ｂ）に示すように、元データはデータキャッシュ部２８から消去される。また、割符（大）はエッジコンピュータ２０の割符格納部３８に格納されており、割符（小）はクラウドサーバ１０ｂの割符格納部１２に格納されている。すなわち、会議を行うユーザが会議室内に存在しておらず、エッジコンピュータ２０の盗難の可能性がある場合に、割符（大）と割符（小）が別々の装置に存在していることになるため、エッジコンピュータ２０が盗難されてもデータの漏洩を防止することができる。
【００９７】
また、本第２の実施形態では、図１６（ａ）、図１６（ｂ）に示すように、元データを受信した際に元データを予め割符化しているため、認証された端末７０が会議室内に存在しなくなったタイミングで割符化を行う必要がない。これにより、会議室内に認証された端末７０が存在しなくなった直後のタイミング（割符化前又は割符化を実行している間のタイミング）でエッジコンピュータ２０が盗難された場合でも、データの漏洩を防止することができる。
【００９８】
また、本第２の実施形態では、揮発性記憶装置であるデータキャッシュ部２８に元データを格納することとしている。これにより、万が一、元データがデータキャッシュ部２８に格納されている状態でエッジコンピュータ２０が盗難されても、盗難時にデータキャッシュ部２８に電力が供給されなくなることで、データキャッシュ部２８から元データを消去することができる。なお、本第２の実施形態では、上述のような処理を行っているため、データキャッシュ部２８が不揮発性記憶装置であったとしても、データ漏洩の可能性は低くなっている。
【００９９】
なお、本第２の実施形態では、図１３のステップＳ２１２とステップＳ２１４の間にキャッシュデータ作成ログが出力され、図１４のステップＳ２２４の後にキャッシュデータ削除ログが出力されるようになっている。したがって、第２の実施形態においても、第１の実施形態と同様、動作検証レポートの生成処理を実行することができる。
【０１００】
《第３の実施形態》
次に、第３の実施形態について、図１７〜図１９に基づいて詳細に説明する。上述した第１の実施形態では、元データを割符化する場合について説明したが、本第３の実施形態では元データを暗号化することとしている。
【０１０１】
図１７は、第３の実施形態のエッジコンピュータ２０の機能ブロック図である。第１の実施形態（図３）から変更した箇所については、太線枠で示すとともに、符号の末尾に「Ａ」を付して示している。具体的には、第１の実施形態の割符制御部２４、割符送受信部３４、割符一時保持部３２、割符格納部３８が、第３の実施形態では、暗号化制御部２４Ａ、暗号鍵送受信部３４Ａ、暗号鍵・暗号化データ保持部３２Ａ、暗号化データ格納部３８Ａとなっている。また、クラウドサーバ１０ｂの割符格納部１２が、暗号鍵格納部１２Ａとなっている。更に、第３の実施形態では、エッジコンピュータ２０の機能として、図１７において太破線で示すように暗号鍵生成部４２が追加されている。
【０１０２】
また、処理に用いるテーブルは、図４と同様であるが、項目「割符格納部」は、「暗号鍵格納部」となる。
【０１０３】
（元データ取得・格納処理）
本第３の実施形態では、元データ取得・格納処理については、第１の実施形態（図５）と同様の処理となっている。ただし、ステップＳ１２では、データＩＤと紐付ける情報がエッジコンピュータ外の暗号鍵格納部（例えばクラウドサーバ１０ｂの暗号鍵格納部１２Ａ）である点が第１の実施形態と異なっている。
【０１０４】
（データキャッシュ部のデータ自動消去処理）
本第３の実施形態では、データキャッシュ部２８のデータ自動消去処理についても、第１の実施形態（図６）と同様の処理となっている。ただし、ステップＳ２６では、割符化処理ではなく暗号化処理が実行される。
【０１０５】
ステップＳ２６の暗号化処理は、図１８に示すフローチャートに沿って実行される。この図１８の処理では、まず、ステップＳ３２９において、暗号鍵生成部４２が、エンコードフラグ「ｔｒｕｅ」のデータＩＤ毎に個別の暗号鍵を生成し、暗号鍵にデータＩＤを付与して暗号鍵・暗号化データ保持部３２Ａに保持する。
【０１０６】
その後は、図７のステップＳ３０、Ｓ３２、Ｓ３４、Ｓ３６、Ｓ３８、Ｓ４０と同様に、図１８のステップＳ３３０、Ｓ３３２、Ｓ３３４、Ｓ３３６、Ｓ３３８、Ｓ３４０を実行する。この場合、図１８において下線を付して示すように、図７の「割符化」、「割符（小）」、「割符一時保持部」、「割符（大）」、「（エッジコンピュータ内の）割符格納部」、「（エッジコンピュータ外の）割符格納部」を、「暗号化」、「暗号鍵」、「暗号鍵・暗号化データ保持部」、「暗号化データ」、「（エッジコンピュータ内の）暗号鍵格納部」、「（エッジコンピュータ内の）暗号化データ格納部」として、各処理を実行するものとする。なお、ステップＳ３３０における元データの暗号化においては、ステップＳ３２９で生成した暗号鍵を用いることとする。
【０１０７】
（データ送信処理）
本第３の実施形態のデータ送信処理は、第１の実施形態と同様、図８のフローチャートに沿った処理となっている。ただし、図８のステップＳ６２（デコード処理）においては、図１９のフローチャートに沿った処理が行われる。
【０１０８】
図１９の処理において実行されるステップＳ３７０、Ｓ３７２、Ｓ３７４、Ｓ３７６、Ｓ３７８、Ｓ３８０、Ｓ３８２は、基本的には、図９のステップＳ７０、Ｓ７２、Ｓ７４、Ｓ７６、Ｓ７８、Ｓ８０、Ｓ８２と同様となっている。ただし、図１９の処理では、下線を付して示すように、図９の「割符（小）」、「割符一時保持部」、「割符（大）」、「（エッジコンピュータ内の）割符格納部」、「（エッジコンピュータ外の）割符格納部」を、「暗号鍵」、「暗号鍵・暗号化データ保持部」、「暗号化データ」、「（エッジコンピュータ内の）暗号鍵格納部」、「（エッジコンピュータ内の）暗号化データ格納部」として、各処理を実行するものとする。
【０１０９】
本第３の実施形態では、会議室内に認証された端末７０が存在する場合には、図２０（ａ）において模式的に示すように、元データがデータキャッシュ部２８に格納されている。すなわち、会議を行うユーザが会議室内に存在しており、エッジコンピュータ２０の盗難の可能性が低い場合には、エッジコンピュータ２０に元データをそのまま格納しておくことで、データ利用時のユーザの利便性を高くすることができる。
【０１１０】
一方、会議室内に認証された端末７０が存在しない場合には、図２０（ｂ）において模式的に示すように、元データが暗号化される。また、暗号化データがエッジコンピュータ２０内の暗号化データ格納部３８Ａに格納され、暗号鍵がクラウドサーバ１０ｂの暗号鍵格納部１２Ａに格納される。また、元データについてはデータキャッシュ部２８から削除される。このように、会議を行うユーザが会議室内に存在しておらず、エッジコンピュータ２０の盗難の可能性がある場合には、暗号鍵をエッジコンピュータ２０以外の装置に格納することで、盗難時におけるデータの漏洩を防止することができる。
【０１１１】
なお、本第３の実施形態においても、動作検証レポートの生成処理は、第１の実施形態と同様に実行することができる。
【０１１２】
本第３の実施形態では、暗号化制御部２４Ａと、データ消去制御部２６とにより、元データを暗号化したり、データキャッシュ部２８から元データを消去する処理を実行する処理部としての機能が実現されている。また、暗号鍵格納部１２Ａにより、暗号鍵を格納する第２記憶装置としての機能が実現されている。
【０１１３】
以上説明したように、本第３の実施形態によると、状況監視部２２が、認証された端末７０がエッジコンピュータ２０から所定範囲内に存在しているか否かをセンサ９３を用いて監視する。そして、暗号化制御部２４Ａは、認証された端末７０が所定範囲内に存在していた場合に（図６のＳ２０：肯定）、暗号化を行わず、元データをデータキャッシュ部２８に格納し続ける。また、暗号化制御部２４Ａは、認証された端末７０が所定範囲内に存在しなくなると（図６のＳ２０：否定）、データキャッシュ部２８に格納されている元データから暗号鍵と暗号化データを生成する（Ｓ３２９、Ｓ３３０）。そして、暗号化制御部２４Ａは、暗号化データをエッジコンピュータ２０の暗号化データ格納部３８Ａに格納するとともに、暗号鍵をクラウドサーバ１０ｂの暗号鍵格納部１２Ａに格納する。さらに、データ消去制御部２６は、元データをデータキャッシュ部２８から消去する（図６のＳ２８）。これにより、本第３の実施形態では、エッジコンピュータ２０が盗難される可能性がある場合に、暗号化を行い、暗号化データと暗号鍵を異なる装置に格納するため、盗難された場合のデータの漏洩を防止することができる。また、エッジコンピュータ２０が盗難される可能性が低く、かつエッジコンピュータ２０に格納された元データがユーザに利用される可能性が高い場合には、暗号化を行わず、元データをデータキャッシュ部２８に格納し続けることとしている。これにより、ユーザがデータを利用する際にはデータキャッシュ部２８の元データを利用すればよいため、暗号化データを復号する必要がある場合と比べ、エッジコンピュータ２０や通信網（インフラ）への負荷を低減し、ユーザの利便性を向上することができる。このように本第３の実施形態では、利便性の低下を抑制したデータ漏洩対策が可能となっている。
【０１１４】
また、本第３の実施形態では、揮発性記憶装置であるデータキャッシュ部２８に元データを格納することとしている。これにより、万が一、元データがデータキャッシュ部２８に格納されている状態でエッジコンピュータ２０が盗難されても、盗難時にデータキャッシュ部２８に電力が供給されなくなることで、データキャッシュ部２８から元データを消去することができる。なお、本第３の実施形態では、上述のような処理を行っているため、データキャッシュ部２８が不揮発性記憶装置であったとしても、データ漏洩の可能性は低くなっている。
【０１１５】
また、本第３の実施形態では、データ入出力部２１は、データの送信要求を端末７０から受け付けると、元データがデータキャッシュ部２８に格納されていれば、元データを端末７０に送信する。また、データ入出力部２１は、元データがデータキャッシュ部２８に格納されていなければ、デコード部３６が元データに対応する暗号化データを暗号鍵で復号して得られたデータを端末７０に送信する。これにより、データの漏洩を防止しつつ、ユーザに対して、ユーザが要求するデータを提供することができる。
【０１１６】
また、本第３の実施形態では、エッジコンピュータ２０に暗号化データを格納し、クラウドサーバ１０ｂに暗号化データよりもデータ量が小さい暗号鍵を格納することとしている。これにより、クラウドサーバ１０ｂとの間の通信量を低減することができる。ただし、これに限らず、暗号化データをクラウドサーバ１０ｂに格納することとしてもよい。
【０１１７】
《第４の実施形態》
次に、第４の実施形態について、図２１に基づいて詳細に説明する。上述した第３の実施形態は、第１の実施形態の割符化を暗号化に変更した実施形態であったが、本第４の実施形態は、第２の実施形態の割符化を暗号化に変更した実施形態である。
【０１１８】
本第４の実施形態のエッジコンピュータ２０の機能ブロック図は、第３の実施形態と同様（図１７参照）となっている。
【０１１９】
本第４の実施形態では、第２の実施形態の図１３の処理に代えて、図２１の処理を実行する。図２１においては、ステップＳ４００、Ｓ４０２、Ｓ４０４、Ｓ４０６、Ｓ４０８、Ｓ４１０、Ｓ４１２、Ｓ４１４は、基本的には、図１３のステップＳ２００、Ｓ２０２、Ｓ２０４、Ｓ２０６、Ｓ２０８、Ｓ２１０、Ｓ２１２、Ｓ２１４と同様となっている。ただし、図２１の処理では、下線を付して示すように、図１３の「割符（小）」、「割符一時保持部」、「割符（大）」、「（エッジコンピュータ内の）割符格納部」、「（エッジコンピュータ外の）割符格納部」を、「暗号鍵」、「暗号鍵・暗号化データ保持部」、「暗号化データ」、「（エッジコンピュータ内の）暗号鍵格納部」、「（エッジコンピュータ内の）暗号化データ格納部」として、各処理を実行するものとする。
【０１２０】
また、ステップＳ４０２とステップＳ４０４の間においては、太線枠で示すように、暗号鍵生成部４２がステップＳ４０３の処理を実行する。このステップＳ４０３においては、暗号鍵生成部４２は、暗号鍵を生成し、暗号鍵にデータＩＤを付与して暗号鍵・暗号化データ保持部３２Ａに保持する。なお、ステップＳ４０４における元データの暗号化においては、ステップＳ４０３で生成した暗号鍵を用いることとする。
【０１２１】
その他の処理については、上述した第３の実施形態と同様となっている。
【０１２２】
本第４の実施形態では、第３の実施形態と同様、会議室内に認証された端末７０が存在する場合には、図２２（ａ）に示すように、元データがデータキャッシュ部２８に格納されている。すなわち、会議を行うユーザが会議室内に存在しており、エッジコンピュータ２０の盗難の可能性が低い場合には、エッジコンピュータ２０に元データをそのまま格納しておくことで、データ利用時のユーザの利便性を高くすることとしている。
【０１２３】
一方、会議室内に認証された端末７０が存在しない場合には、図２２（ｂ）に示すように、元データはデータキャッシュ部２８から消去される。また、暗号化データがエッジコンピュータ２０内の暗号化データ格納部３８Ａに格納され、暗号鍵がクラウドサーバ１０ｂの暗号鍵格納部１２Ａに格納される。すなわち、会議を行うユーザが会議室内に存在しておらず、エッジコンピュータ２０の盗難の可能性がある場合には、暗号鍵と暗号化データが別々の装置に存在していることになる。したがって、エッジコンピュータ２０が盗難されてもデータの漏洩を防止することができる。
【０１２４】
また、本第４の実施形態では、図２２（ａ）、図２２（ｂ）に示すように、元データを受信した際に元データの暗号化を行うため、認証された端末７０が会議室内に存在しなくなったタイミングで暗号化を行う必要がない。これにより、会議室内に認証された端末７０が存在しなくなった直後のタイミング（暗号化前又は暗号化を実行している間のタイミング）でエッジコンピュータ２０が盗難された場合でも、データの漏洩を防止することができる。
【０１２５】
なお、上記各実施形態では、認証された端末７０がエッジコンピュータ２０から所定範囲内に存在しない場合に、データキャッシュ部２８から元データを消去する場合について説明したが、これに限られるものではない。データキャッシュ部２８は揮発性記憶装置であるため、エッジコンピュータ２０が盗難されたときには、電力が供給されなくなることにより自動的にデータキャッシュ部２８から消去されると考えられる。したがって、上記各実施形態では、認証された端末７０がエッジコンピュータ２０から所定範囲内に存在しない場合であっても、データキャッシュ部２８から元データを消去しないこととしてもよい。
【０１２６】
なお、上記各実施形態では、分散処理システム１００が会社内で利用される場合について説明したが、これに限らず、例えば学校などにおいて利用することもできる。この場合、授業時間中など教師が教室内にいる間は、上述した会議室内に認証された端末７０が存在する場合と同様の処理を行い、教師が教室内にいない間は、上述した会議室内に認証された端末７０が存在しない場合と同様の処理を行うこととすればよい。
【０１２７】
なお、上記の処理機能は、コンピュータによって実現することができる。その場合、処理装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記憶媒体（ただし、搬送波は除く）に記録しておくことができる。
【０１２８】
プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ（Digital Versatile Disc）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）などの可搬型記憶媒体の形態で販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
【０１２９】
プログラムを実行するコンピュータは、例えば、可搬型記憶媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記憶媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。
【０１３０】
上述した実施形態は本発明の好適な実施の例である。但し、これに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形実施可能である。
【０１３１】
なお、以上の第１〜第４の実施形態の説明に関して、更に以下の付記を開示する。
（付記１）  データを格納する格納部を有する情報処理装置であって、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出する検出部と、
前記検出部が前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記検出部が前記端末又は人物を前記所定範囲内で検出できなくなると、前記データから複数の割符を生成し、前記複数の割符の一部を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記複数の割符の他部を他の装置が有する第２記憶装置に記憶し、前記データを前記格納部から消去する処理部と、
を備える情報処理装置。
（付記２）  データを格納する格納部を有する情報処理装置であって、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出する検出部と、
前記データから複数の割符を生成し、前記複数の割符の一部を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記複数の割符の他部を他の装置が有する第２記憶装置に記憶し、前記検出部が前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記検出部が前記端末又は人物を前記所定範囲内で検出できなくなると、前記データを前記格納部から消去する処理部と、
を備える情報処理装置。
（付記３）  前記データの読み出し指示を端末から受け付けたときに、該データが前記格納部に格納されていれば、前記データを前記格納部から読み出して前記端末に送信し、前記データが前記格納部に格納されていなければ、前記データに対応する複数の割符から前記データを生成して前記格納部に格納し、生成した前記データを前記端末に送信する、データ提供部を更に備える付記１又は２に記載の情報処理装置。
（付記４）  前記第１記憶装置に記憶する前記複数の割符の一部よりも、前記第２記憶装置に記憶する前記複数の割符の他部のほうが、データ量が小さいことを特徴とする付記１〜３のいずれかに記載の情報処理装置。
（付記５）  前記格納部は、揮発性記憶装置であることを特徴とする付記１〜４のいずれかに記載の情報処理装置。
（付記６）  データを格納する格納部を有する情報処理装置であって、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出する検出部と、
前記検出部が前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記検出部が前記端末又は人物を前記所定範囲内で検出できなくなると、暗号鍵を用いて前記データから暗号化データを生成し、前記暗号鍵及び前記暗号化データの一方を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記暗号鍵及び前記暗号化データの他方を他の装置が有する第２記憶装置に記憶し、前記データを前記格納部から消去する処理部と、
を備える情報処理装置。
（付記７）  データを格納する格納部を有する情報処理装置であって、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出する検出部と、
暗号鍵を用いて前記データから暗号化データを生成し、前記暗号鍵及び前記暗号化データの一方を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記暗号鍵及び前記暗号化データの他方を他の装置が有する第２記憶装置に記憶し、前記検出部が前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記検出部が前記端末又は人物を前記所定範囲内で検出できなくなると、前記データを前記格納部から消去する処理部と、
を備える情報処理装置。
（付記８）  データを格納する格納部を有する情報処理装置のコンピュータが、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出し、
前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記端末又は人物を前記所定範囲内で検出できなくなると、前記データから複数の割符を生成し、前記複数の割符の一部を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記複数の割符の他部を他の装置が有する第２記憶装置に記憶し、前記データを前記格納部から消去する、
処理を実行することを特徴とする情報処理方法。
（付記９）  データを格納する格納部を有する情報処理装置のコンピュータが、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出し、
前記データから複数の割符を生成し、前記複数の割符の一部を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記複数の割符の他部を他の装置が有する第２記憶装置に記憶し、前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記端末又は人物を前記所定範囲内で検出できなくなると、前記データを前記格納部から消去する、
処理を実行することを特徴とする情報処理方法。
（付記１０）  前記データの読み出し指示を端末から受け付けたときに、該データが前記格納部に格納されていれば、前記データを前記格納部から読み出して前記端末に送信し、前記データが前記格納部に格納されていなければ、前記データに対応する複数の割符から前記データを生成して前記格納部に格納し、生成した前記データを前記端末に送信する、処理を前記コンピュータが更に実行する付記８又は９に記載の情報処理方法。
（付記１１）  前記第１記憶装置に記憶する前記複数の割符の一部よりも、前記第２記憶装置に記憶する前記複数の割符の他部のほうが、データ量が小さいことを特徴とする付記８〜１０のいずれか一項に記載の情報処理方法。
（付記１２）  前記格納部は、揮発性記憶装置であることを特徴とする付記８〜１１のいずれかに記載の情報処理装置。
（付記１３）  データを格納する格納部を有する情報処理装置のコンピュータが、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出し、
前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記端末又は人物を前記所定範囲内で検出できなくなると、暗号鍵を用いて前記データから暗号化データを生成し、前記暗号鍵及び前記暗号化データの一方を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記暗号鍵及び前記暗号化データの他方を他の装置が有する第２記憶装置に記憶し、前記データを前記格納部から消去する、
処理を実行することを特徴とする情報処理方法。
（付記１４）  データを格納する格納部を有する情報処理装置のコンピュータが、
予め定められている端末又は人物が前記情報処理装置から所定範囲内に存在しているか否かを検出し、
暗号鍵を用いて前記データから暗号化データを生成し、前記暗号鍵及び前記暗号化データの一方を前記情報処理装置が有する第１記憶装置に記憶するとともに、前記暗号鍵及び前記暗号化データの他方を他の装置が有する第２記憶装置に記憶し、前記端末又は人物を前記所定範囲内で検出できている間は前記データを前記格納部に格納し続け、前記端末又は人物を前記所定範囲内で検出できなくなると、前記データを前記格納部から消去する、
処理を実行することを特徴とする情報処理方法。
（付記１５）  データを管理する管理装置と、
前記管理装置が管理するデータの複製データを格納する格納部を有し、端末からの要求に応じて前記複製データを提供する付記１〜７のいずれかに記載の情報処理装置と、を備える分散処理システム。
【符号の説明】
【０１３２】
２８  データキャッシュ部（格納部）
２０  エッジコンピュータ（情報処理装置）
７０  端末
２２  状況監視部（検出部の一部）
９３  センサ（検出部の一部）
３８  割符格納部（第１記憶装置）
１０ｂ  クラウドサーバ（他の装置）
１２  割符格納部（第２記憶装置）
２４  割符制御部（処理部の一部）
２６  データ消去制御部（処理部の一部）
２１  データ入出力部（データ提供部）
３８Ａ  暗号化データ格納部（第１記憶装置）
１２Ａ  暗号鍵格納部（第２記憶装置）
２４Ａ  暗号化制御部（処理部の一部）
【図１】
2020034982.tif 000003
【図２】
2020034982.tif 000004
【図３】
2020034982.tif 000005
【図４】
2020034982.tif 000006
【図５】
2020034982.tif 000007
【図６】
2020034982.tif 000008
【図７】
2020034982.tif 000009
【図８】
2020034982.tif 000010
【図９】
2020034982.tif 000011
【図１０】
2020034982.tif 000012
【図１１】
2020034982.tif 000013
【図１２】
2020034982.tif 000014
【図１３】
2020034982.tif 000015
【図１４】
2020034982.tif 000016
【図１５】
2020034982.tif 000017
【図１６】
2020034982.tif 000018
【図１７】
2020034982.tif 000019
【図１８】
2020034982.tif 000020
【図１９】
2020034982.tif 000021
【図２０】
2020034982.tif 000022
【図２１】
2020034982.tif 000023
【図２２】
2020034982.tif 000024