(57)【要約】【課題】紛失・盗難によっても機密情報の漏洩しにくい外部記憶装置を提供する。【解決手段】外部の情報処理装置のために情報を記憶する外部記憶装置であって、記憶する対象となる情報である対象情報を記憶するための第２記憶部と、対象情報に対し当該対象情報の復元には予め定められた基準個数の分割データが必要な秘密分散法に基づく変換を行って生成した、複数の分割データのうち、基準個数以上の第１個数の分割データを取得する取得部と、取得した第１個数の分割データのそれぞれを第２記憶部に格納する第２格納部と、予め定められた操作を受けた時点を基準として予め設定した基準時間が経過したことを条件に、格納した第１個数の分割データのうち基準個数と第１個数との差分より多い個数の分割データを破壊するデータ破壊部とを備える外部記憶装置を提供する。
2008078689.tif 000002
【特許請求の範囲】
【請求項１】
情報処理装置と、前記情報処理装置から受け取った情報を記憶する外部記憶装置とを備えたシステムであって、
前記情報処理装置が、
第１記憶部と、
前記外部記憶装置に記憶する対象となる対象情報に対し、当該対象情報の復元には予め定められた基準個数の分割データが必要となる秘密分散法に基づく変換を行って、前記基準個数を超える個数の複数の分割データを生成する第１生成部と、
生成した前記複数の分割データの中から前記基準個数以上の第１個数の分割データを選択して、前記外部記憶装置に対し出力する出力部と、
生成した前記複数の分割データのうち出力した前記分割データを除外した第２個数の分割データを前記第１記憶部に格納する第１格納部と
を有し、
前記外部記憶装置が、
第２記憶部と、
前記情報処理装置から入力された前記第１個数の分割データのそれぞれを前記第２記憶部に格納する第２格納部と、
予め定められた操作を受けた時点を基準として予め設定した基準時間が経過したことを条件に、格納した前記第１個数の分割データのうち、前記基準個数と前記第１個数との差分より多くかつ当該差分と前記第２個数との合計以下の個数の分割データを破壊するデータ破壊部と
を有するシステム。
【請求項２】
前記情報処理装置が、前記第２記憶部に格納されて前記データ破壊部により破壊されていない分割データを前記外部記憶装置から読み出して、読み出した前記分割データを、前記第１記憶部から読み出した分割データに基づいて前記対象情報に復元する第１復元部を有する請求項１に記載のシステム。
【請求項３】
前記外部記憶装置が、前記第２記憶部に格納されて前記データ破壊部により破壊されていない分割データを読み出して、読み出した前記分割データを、前記情報処理装置の前記第１記憶部から読み出した分割データに基づいて前記対象情報に復元する第２復元部を有する請求項１に記載のシステム。
【請求項４】
前記情報処理装置が、
生成した前記複数の分割データのうち、出力した前記分割データおよび前記第１記憶部に格納した分割データを除外した分割データを、外部のサーバ装置に登録する登録部と、  前記第２記憶部に格納されて前記データ破壊部により破壊されていない分割データを前記外部記憶装置から読み出して、読み出した前記分割データを、前記サーバ装置に登録した前記分割データおよび前記第１記憶部に格納された分割データのいずれかに基づいて前記対象情報に復元する第１復元部と
を更に有する請求項１に記載のシステム。
【請求項５】
外部の情報処理装置のために情報を記憶する外部記憶装置であって、
記憶する対象となる情報である対象情報を記憶するための第２記憶部と、
前記対象情報に対し当該対象情報の復元には予め定められた基準個数の分割データが必要な秘密分散法に基づく変換を行って生成した、複数の分割データのうち、前記基準個数以上の第１個数の分割データを取得する取得部と、
取得した前記第１個数の分割データのそれぞれを前記第２記憶部に格納する第２格納部と、
予め定められた操作を受けた時点を基準として予め設定した基準時間が経過したことを条件に、格納した前記第１個数の分割データのうち前記基準個数と前記第１個数との差分より多い個数の分割データを破壊するデータ破壊部と
を備える外部記憶装置。
【請求項６】
前記対象情報に対し、当該対象情報の復元には前記基準個数の分割データが必要な秘密分散法に基づく変換を行って、前記基準個数以上の複数の分割データを生成する第２生成部を更に備え、
前記取得部は前記第２生成部から前記第１個数の分割データを取得する
請求項５に記載の外部記憶装置。
【請求項７】
前記第２生成部は、前記対象情報を秘密分散法に基づき変換して複数の中間データを生成し、生成したそれぞれの前記中間データを誤り訂正符号により符号化することにより、複数の分割データを生成し、
前記データ破壊部は、前記第２記憶部に格納した前記第１個数の分割データのうち一部の分割データの中の、誤り訂正符号の訂正限界を超える数のビットを変更することにより、当該一部の分割データを破壊する
請求項６に記載の外部記憶装置。
【請求項８】
前記第２記憶部から複数の分割データを読み出し、読み出した前記複数の分割データを秘密分散法により前記対象情報に復元して、外部の情報処理装置に出力する第２復元部を更に備える請求項６に記載の外部記憶装置。
【請求項９】
分割データを変更する条件となる前記基準時間を前記データ破壊部に対し設定する設定部を更に備える請求項５に記載の外部記憶装置。
【請求項１０】
当該外部記憶装置が外部の情報処理装置に接続される頻度を計測する計測部を更に備え、
前記設定部は、計測された前記頻度がより高いことを条件に、計測された頻度がより低い場合と比較して、前記基準時間を短く設定する請求項９に記載の外部記憶装置。
【請求項１１】
当該外部記憶装置が外部の情報処理装置と接続をするための接続端子に、当該接続をしていない場合に装着可能な複数種類のキャップのうち、何れの種類のキャップが装着されているかを判断するキャップ判断部を更に備え、
前記設定部は、装着されているキャップの種類に応じて予め定められた長さの時間を前記基準時間として設定する
請求項９に記載の外部記憶装置。
【請求項１２】
前記第２記憶部に分割データとして格納されているファイルのうち、予め定められたキーワードを含むファイルを検索するキーワード検索部を更に備え、
前記設定部は、当該ファイルが検索されたことを条件に、当該ファイルが検索されなかった場合と比較して前記基準時間を短く設定する
請求項９に記載の外部記憶装置。
【請求項１３】
当該外部記憶装置が予め定められた情報処理装置との接続を終了してから、他の情報処理装置と接続した回数をカウントする接続カウント部を更に備え、
前記設定部は、カウントした当該接続した回数がより多いことを条件に、当該接続した回数がより少ない場合と比較して前記基準時間を短く設定する
請求項９に記載の外部記憶装置。
【請求項１４】
情報処理装置と外部記憶装置とを備えたシステムにおいて、外部記憶装置が情報処理装置から受け取った情報を記憶する方法であって、
前記情報処理装置が第１記憶部を有し、
前記情報処理装置において、
前記外部記憶装置に記憶する対象となる対象情報に対し、当該対象情報の復元には予め定められた基準個数の分割データが必要となる秘密分散法に基づく変換を行って、前記基準個数を超える個数の複数の分割データを生成することと、
生成した前記複数の分割データの中から前記基準個数以上の第１個数の分割データを選択して、前記外部記憶装置に対し出力することと、
生成した前記複数の分割データのうち出力した前記分割データを除外した第２個数の分割データを前記第１記憶部に格納することと
を有し、
前記外部記憶装置が第２記憶部を有し、
前記外部記憶装置において、
前記情報処理装置から入力された前記第１個数の分割データのそれぞれを前記第２記憶部に格納することと、
予め定められた操作を受けた時点を基準として予め設定した基準時間が経過したことを条件に、格納した前記第１個数の分割データのうち、前記基準個数と前記第１個数との差分より多くかつ当該差分と前記第２個数との合計以下の個数の分割データを破壊することと
を有する方法。
【請求項１５】
情報処理装置と、前記情報処理装置から受け取った情報を記憶する外部記憶装置とを備えたシステムにおいて動作するプログラムであって、
前記情報処理装置を、
第１記憶部と、
前記外部記憶装置に記憶する対象となる対象情報に対し、当該対象情報の復元には予め定められた基準個数の分割データが必要となる秘密分散法に基づく変換を行って、前記基準個数を超える個数の複数の分割データを生成する第１生成部と、
生成した前記複数の分割データの中から前記基準個数以上の第１個数の分割データを選択して、前記外部記憶装置に対し出力する出力部と、
生成した前記複数の分割データのうち出力した前記分割データを除外した第２個数の分割データを前記第１記憶部に格納する第１格納部と
して機能させ、
前記外部記憶装置を、
第２記憶部と、
前記情報処理装置から入力された前記第１個数の分割データのそれぞれを前記第２記憶部に格納する第２格納部と、
予め定められた操作を受けた時点を基準として予め設定した基準時間が経過したことを条件に、格納した前記第１個数の分割データのうち、前記基準個数と前記第１個数との差分より多くかつ当該差分と前記第２個数との合計以下の個数の分割データを破壊するデータ破壊部と
して機能させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報を変換する技術に関する。特に、本発明は、情報処理装置から取得した情報を外部記憶装置に記憶する場合に、記憶する情報をデータ変換する技術に関する。
【背景技術】
【０００２】
近年、携帯可能な記憶装置、たとえば、ＵＳＢメモリ、コンパクトフラッシュ（登録商標）メモリまたはＳＤメモリカードなどが広く普及しており、その記憶容量も大きくなってきている。これらの記憶装置は、複数の情報処理装置の間に充分な通信環境が整備されていなくても、膨大なデータを高速に授受することができ、利便性が高い。さらには、これらの記憶装置は、フラッシュメモリなどの不揮発性のメモリデバイスを搭載しており、電源が無くてもデータを長期間保存でき、適用可能な用途が広い。【０００３】
下記の参考文献については後述する。
【特許文献１】特開昭６３−３０１３８９号公報
【特許文献２】特開２００６−１９５７１９号公報
【特許文献３】特開２００２−７３４２２号公報
【非特許文献１】Japanese News article on Secure USB Memory Service provided by NTT communications, webpage URL "http://enterprise.watch.impress.co.jp/cda/security/2005/03/24/4901.html", searched at December 20, 2006
【非特許文献２】Idea CS provided by Mitani corporation, webpage URL "http://tkinfo.mitani-corp.co.jp/product/idea_cs.html", searched at December 20, 2006
【発明の開示】
【発明が解決しようとする課題】
【０００４】
このような記憶装置は、その利便性および携帯性ゆえ広く普及し、価格も低下したため、手軽に利用される反面、紛失による機密情報の漏洩が問題となっている。たとえば、これらの記憶装置は小型なため持ち運ぶ過程で紛失する場合や、他人の情報処理装置に装着したまま外し忘れる場合がある。このような場合には、悪意ある利用者が、記憶された膨大なデータを完全な形で瞬時に取得できる。即ち、紛失時には記憶装置の利点は欠点となって正当利用者に不利益を与えるおそれがある。【０００５】
これに対し、記憶装置に記憶するデータを、正当な利用者にのみ復号可能なように暗号化することが行われている。しかしながら、暗号化によっても機密保護には不十分な場合がある。第１に、情報処理装置に装着したまま外し忘れた場合には、既に正当な利用者によって復号化が許可され、悪意ある利用者もそれをそのまま参照できてしまう。第２に、復号化のためのパスワードを正当な利用者が忘れてしまうおそれがあり、憶えていても参照の毎にパスワードを入力するのは煩雑である。第３に、暗号化や復号化のためのソフトウェアが情報処理装置側に必要となり、特定のオペレーティング・システム（たとえばWindows（登録商標））を搭載していないと利用不能となってしまう場合がある。【０００６】
具体的には、非特許文献１および非特許文献２には、秘密分散法を用いることで、正当利用者以外には読み出しが困難なＵＳＢメモリデバイスが提案されている。しかしながら、これらの文献に記載のデバイスは、デバイス自体の中には、元のデータを復元可能な全てのデータ断片は記憶せず、一部のデータをユーザのパーソナル・コンピュータ（以下ＰＣ）などに記憶する。このため、元のデータの復元には、このようなユーザのＰＣが必須となる。このようなユーザのＰＣには、データ復元のための専用のソフトウェアが必要となる。また、メモリデバイス自体は、このような専用のソフトウェアを備えたＰＣ以外からは使用できない。【０００７】
第４に、暗号化によっても、悪意ある利用者による参照を完全に防止することはできないことが挙げられる。これは、暗号化が、「暗号化時点では逆変換の計算が非常に困難な変換」に過ぎないからである。たとえば、高性能な情報処理装置を大量に準備して計算すれば復号可能となってしまう場合がある。また、暗号化の基礎となる理論に反し、暗号解読のための効率的な計算手法が発見されてしまう場合もある。このような可能性が僅かでも存在すると、非常に機密性の高いデータに関しては問題が生じ得る。たとえば、軍事機密などのデータが盗難された場合には、それがたとえ暗号化されていても、その解読の僅かな可能性を不当な交渉の材料として利用されるおそれがある。【０００８】
このように、便利で広く普及している小型の記憶装置や、これを利用した従来の技術にも、機密保持の観点からは不十分な点が挙げられる。したがって、どこでも気軽に利用できるという記憶装置の利点を損なうことなく、機密保持の機能を強化した記憶装置が求められる。
なお、参考として、記憶装置に記憶した情報を時間の経過を条件に破壊する技術については、上記特許文献１および２を参照されたい。また、データを断片化して記憶する技術は上記特許文献３を参照されたい。【０００９】
そこで本発明は、上記の課題を解決することのできるシステム、外部記憶装置、方法およびプログラムを提供することを目的とする。この目的は特許請求の範囲における独立項に記載の特徴の組み合わせにより達成される。また従属項は本発明の更なる有利な具体例を規定する。
【課題を解決するための手段】
【００１０】
上記課題を解決するために、本発明の一側面においては、情報処理装置と、情報処理装置から受け取った情報を記憶する外部記憶装置とを備えたシステムであって、情報処理装置が、第１記憶部と、外部記憶装置に記憶する対象となる対象情報に対し、当該対象情報の復元には予め定められた基準個数の分割データが必要となる秘密分散法に基づく変換を行って、基準個数を超える個数の複数の分割データを生成する第１生成部と、生成した複数の分割データの中から基準個数以上の第１個数の分割データを選択して、外部記憶装置に対し出力する出力部と、生成した複数の分割データのうち出力した分割データを除外した第２個数の分割データを第１記憶部に格納する第１格納部とを有し、外部記憶装置が、第２記憶部と、情報処理装置から入力された第１個数の分割データのそれぞれを第２記憶部に格納する第２格納部と、予め定められた操作を受けた時点を基準として予め設定した基準時間が経過したことを条件に、格納した第１個数の分割データのうち、基準個数と第１個数との差分より多くかつ当該差分と第２個数との合計以下の個数の分割データを破壊するデータ破壊部とを有するシステムを提供する。また、このシステムによって外部記憶装置が情報処理装置から情報を取得して記憶する方法を提供する。また、情報処理装置および外部記憶装置をこのシステムのように機能させるプログラムを提供する。
なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションもまた、発明となりうる。
【発明を実施するための最良の形態】
【００１１】
以下、発明を実施するための最良の形態（以下、実施形態と称す）を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。【００１２】
図１は、情報システム１０の全体構成を示す。情報システム１０は、情報処理装置２０と、外部記憶装置３０と、キャップ３５−１〜３とを備える。情報処理装置２０は、パーソナルコンピュータまたはＰＤＡなどの装置であり、利用者の操作に応じて情報の加工・演算を行う。外部記憶装置３０は、たとえばＵＳＢメモリデバイス、コンパクトフラッシュ（登録商標）メモリカード、または、ＳＤメモリカードなどであり、情報処理装置２０と着脱可能に設けられて、情報処理装置２０から受け取った情報を記憶する。本実施形態に係る情報システム１０は、一時的に外部記憶装置３０に記憶した機密情報などのデータを消し忘れた場合であっても、一定期間経過後には復元が極めて困難な状態に破壊することを目的とする。さらに、この破壊の処理は外部記憶装置３０自体の機能により実現されるので、外部記憶装置３０が紛失・盗難にあって外部から指示や電源が供給されない場合でも情報漏洩のリスクを低減することができる。【００１３】
なお、キャップ３５−１〜３のそれぞれは、外部記憶装置３０が情報処理装置２０と接続をするための接続端子に、当該接続をしていない場合に装着可能である。これらのキャップ３５−１〜３の本来の目的は、当該接続端子を保護することである。キャップ３５−１〜３は、さらに、データ破壊の基準時間やデータの破壊速度を調節する役割を果たす。即ち、キャップ３５−１〜３は互いに種類が異なり、着色の違いなどによって外部から種類を識別可能に設計されている。そして、外部記憶装置３０は、何れのキャップ３５が装着されているかに応じて、データ破壊の基準時間や破壊速度を調節する。外部記憶装置３０には、外部から操作可能なスイッチ３２がさらに設けられてよい。外部記憶装置３０は、スイッチ３２に対し受けた操作に応じて、データ破壊の基準時間や破壊速度を調節してもよい。このような設計とすることで、データ破壊のタイミングを、その用途に応じて柔軟に変更することができる。【００１４】
以下、具体的構成について説明する。
図２は、情報処理装置２０の機能構成を示す。情報処理装置２０は、メモリデバイス２００と、通信Ｉ／Ｆ２１０と、第１生成部２２０と、出力部２３０と、第１格納部２４０と、登録部２５０と、第１復元部２６０とを有する。メモリデバイス２００は、後述のＲＡＭ１０２０またはハードディスクドライブ１０４０によって実現され、利用者から受けた操作に応じて生成したデータを記憶し、または、外部から入力されたデータを記憶する。たとえば、メモリデバイス２００は、外部記憶装置３０に記憶する対象となる対象情報２０８を記憶する。また、メモリデバイス２００は第１記憶部２０５を有する。第１記憶部２０５は、後述の分割データを記憶するための記憶領域としての役割を果たす。通信Ｉ／Ｆ２１０は、後述の通信インターフェイス１０３０によって実現され、外部のサーバ装置等と通信する。【００１５】
第１生成部２２０、出力部２３０、第１格納部２４０、登録部２５０および第１復元部２６０のそれぞれは、インストールされたプログラムの指示に基づき動作する後述のＣＰＵ１０００等により実現される。第１生成部２２０は、外部記憶装置３０に記憶する対象となる対象情報２０８をメモリデバイス２００から読み出す。そして、第１生成部２２０は、その対象情報２０８に対し、その対象情報２０８の復元には予め定められた基準個数Ｋの分割データが必要となる秘密分散法に基づく変換を行って、その基準個数Ｋを超える個数の複数の分割データを生成する。この個数をＮ個とする。【００１６】
ここで、秘密分散法の基本アイデアは、例えば一次関数のｙ切片の大きさを平文とし、その一次関数が通過する複数の点の各座標値を変換後のデータとすることにある。座標値が２以上得られない場合には、たとえ１つの座標値が得られたとしても、元のｙ切片の値の特定は極めて困難である。このように、秘密分散法では既存の暗号化手法と比較して、断片的に得られたデータが不当なデータ復元の手がかりとなりにくく、かつ、平文データの一部でさえも不当に復元することが困難である。また、秘密分散法は、変換の基礎となる理論が極めて単純であり、この理論に反してｙ切片を容易に推測する手法が発見されることは考えにくいという特徴を有する。【００１７】
出力部２３０は、生成したこれらＮ個の分割データの中から基準個数Ｋ以上の第１個数Ｍの分割データを選択して、外部記憶装置３０に対し出力し、外部記憶装置３０において後述の第２記憶部３００に記憶させる。第１格納部２４０は、生成したＮ個の分割データのうち出力したこのＭ個の分割データを除外した第２個数の分割データを、第１記憶部２０５に格納する。この第２個数をＬ個とする。格納する分割データは、生成した分割データから出力した分割データを除いた全てであってもよいし（即ち、Ｌ＝Ｍ−Ｎ）、その一部であってもよい（即ち、Ｌ＜Ｍ−Ｎ）。以上の処理に加えて、登録部２５０は、さらに、生成したＮ個の分割データのうち、出力したＭ個の分割データおよび格納したＬ個の分割データを除外したＰ個の分割データを、外部のサーバ装置に登録してもよい。外部のサーバ装置は、政府や政府間機関、地方公共団体などの信頼性の高い団体により運営され、又は、更に技術力が高く通信の安定した企業等により運営されることが望ましい。【００１８】
登録する分割データは、除外した残りの全ての分割データであってもよいし（即ち、Ｐ＝Ｍ−Ｎ−Ｌ）、その一部であってもよい（即ち、Ｐ＜Ｍ−Ｎ−Ｌ）。また、登録を可能とするためには、第１生成部２２０が、第１個数Ｍよりも２以上多いＮ個の分割データを生成することが前提となる。第１復元部２６０は、外部記憶装置３０の第２記憶部３００に格納されて外部記憶装置３０のデータ破壊部３４０により破壊されていない分割データを外部記憶装置３０から読み出して、読み出した分割データを、第１記憶部２０５から読み出した分割データに基づいて対象情報２０８に復元する。登録部２５０が分割データを外部のサーバ装置に登録している場合には、第１復元部２６０は、外部のサーバ装置に登録した当該分割データにさらに基づいて、分割データを対象情報２０８に復元してもよい。【００１９】
図３は、外部記憶装置３０の機能構成を示す。外部記憶装置３０は、第２記憶部３００と、第２生成部３１０と、取得部３２０と、第２格納部３３０と、データ破壊部３４０と、設定部３５０と、設定制御部３６０と、第２復元部３９０とを有する。外部記憶装置３０は、図２を参照して説明した情報処理装置２０のほか、データ分割についての機能を特に有していない情報処理装置とも接続可能である。以下、両者の場合についてあわせて説明してゆく。第２記憶部３００は、情報処理装置２０から受け取った対象情報２０８を記憶するために設けられている。第２生成部３１０は、情報処理装置２０と接続している場合には、対象情報２０８を変換して生成した複数の分割データを情報処理装置２０から取得する。この分割データの個数はＭ個である。【００２０】
一方、第２生成部３１０は、他の情報処理装置と接続している場合には、対象情報２０８を変換前の状態のまま取得する。この場合には、第２生成部３１０は、その対象情報２０８に対し、その対象情報２０８の復元には基準個数Ｋの分割データが必要となる秘密分散法に基づく変換を行って、基準個数Ｋ以上の第１個数の複数の分割データを生成する。この第１個数をＭ個とする。なお、対象情報２０８のデータサイズが大きい場合には、第２生成部３１０は、対象情報２０８を示すデータを予め複数に分割したうえで、そのそれぞれをさらにＭ個の分割データに分割してもよい。以降、生成される分割データの数をＭ個とし、Ｍ個の分割データを情報処理装置２０から取得する場合と外部記憶装置３０において生成する場合とのそれぞれについて併せて説明する。まず、取得部３２０は、第２生成部３１０による変換が行われた場合にはその変換による分割データを、変換が行われない場合には外部の情報処理装置から取得した分割データを、第２生成部３１０から取得する。【００２１】
第２格納部３３０は、取得したこのＭ個の分割データのそれぞれを第２記憶部３００に格納する。これらＭ個の分割データは、後の読み出しに備えて、互いに対応付けられて格納されることが望ましい。一例として、第２記憶部３００が予めＭ個の領域に分割されている場合には、第２格納部３３０は、それらＭ個の領域のそれぞれに、取得したＭ個の分割データのそれぞれを格納する。例えばＭ＝２の場合、第２記憶部３００を予め２つの領域に分割しておき、第２格納部３３０は、ミラーリング（ＲＡＩＤ−１）の技術を応用して、それぞれの領域に対し、共に同一の対象情報から変換されて生成されたそれぞれの分割データを格納してもよい。これらには同一のファイル名が付されてもよいし、互いに対応関係を把握可能なファイル名が付されてもよい。たとえば、第２格納部３３０は、相互に対応する分割データに、共通する文字列を含むファイル名を付すことにより、これらの分割データを対応付けて格納してもよい。一例として、第２格納部３３０は、対象情報を示すデータのファイル名（たとえばＸＸＸ．ｔｘｔ）を用いて、ある分割データにはＸＸＸ．ｔｘｔ０１という名前を付し、他の分割データにはＸＸＸ．ｔｘｔ０２というファイル名を付してもよい。【００２２】
データ破壊部３４０は、予め定められた操作を受けた時点を基準として予め設定した基準時間が経過したことを条件に、格納したＭ個の分割データのうち基準個数Ｋと第１個数Ｍとの差分より多い個数の分割データを破壊する。破壊する、とは、たとえば、データを構成するビットからランダムに選択したビットを変更することをいう。この変更は僅か１ビットでもよいが、たとえば分割データが誤り訂正符号により符号化されている場合には、その訂正限界を超えた個数のビットを変更することを要する。【００２３】
また、メモリデバイス２００に記憶された分割データに基づく復元を可能とするためには、破壊する分割データの個数が、基準個数Ｋと第１個数Ｍとの差分に、第２個数Ｌを加えた合計以下であることがさらに条件となる。さらには、メモリデバイス２００および外部のサーバ装置における分割データに基づく復元を可能とするためには、破壊する分割データの個数が、当該差分に第２個数Ｌおよび第３個数Ｐを加えた合計以下であることがさらに条件となる。データ破壊部３４０の他の動作例として、データ破壊部３４０は、時間の経過に応じて分割データを徐々に変更してもよい。【００２４】
設定部３５０は、分割データを変更する条件となるこの基準時間をデータ破壊部３４０に対し設定する。たとえば、設定部３５０は、スイッチ３２に対し利用者等から受けた操作に基づいて、設定するべき基準時間を変更してもよい。さらに、設定部３５０は、後述の設定制御部３６０からの指示に応じて設定するべき基準時間を変更してもよい。また、他の例として、設定部３５０は、データを破壊する速度を変更して、データ破壊部３４０に対し設定してもよい。速度とは、たとえば、単位時間あたりに変更するビットの数である。これにより、より昔に記憶したデータほど、その復元をより困難とすることができる。【００２５】
設定制御部３６０は、設定部３５０により設定される上記基準時間を決定するための制御を行う。具体的には、設定制御部３６０は、計測部３６５と、キャップ判断部３７０と、キーワード検索部３７５と、接続カウント部３８０とを有する。計測部３６５は、外部記憶装置３０が情報処理装置２０等の外部の情報処理装置に接続される頻度を計測する。頻度とは、たとえば、１週間に何回、１ヶ月に何回という単位期間あたりの回数である。また、接続とは、電気的な通信処理であってもよいし、物理的に接続端子が装着されることであってもよい。そして、計測部３６５は、計測した頻度を設定部３５０に通知する。これを受けて、設定部３５０は、計測された頻度がより高いことを条件に、計測された頻度がより低い場合と比較して、基準時間を短く設定する。これにより、これまでの履歴に基づきデータを保存するべき充分な期間を予測して、その期間経過後には自動的にデータを破壊できる。【００２６】
キャップ判断部３７０は、複数のキャップ、たとえば上述のキャップ３５−１〜３のうち、何れの種類のキャップが装着されているかを判断する。種類の判断は、たとえば、キャップにおける外部記憶装置３０との接合部をそのキャップの種類を識別する形状としておき、キャップ判断部３７０は、その形状に基づきキャップの種類を識別することで実現される。判断結果は設定部３５０に通知される。これを受けて、設定部３５０は、装着されているキャップの種類に応じて予め定められた長さの時間を基準時間として設定する。これにより、利用者はその目的に応じてキャップを付け替えることが可能となる。たとえば、キャップ３５−１には１ヶ月、キャップ３５−２には３ヶ月、キャップ３５−３には６ヶ月などの期間が予め定められている場合に、利用者は、それぞれのキャップをその用途に応じて使い分ければ、データ破壊までの期間を柔軟に設定することができる。【００２７】
キーワード検索部３７５は、第２記憶部３００に分割データとして格納されているファイルのうち、予め定められたキーワードを含むファイルを検索する。検索のキーとなるキーワードは、たとえば、機密性の高いデータであることを示唆するものであることが望ましい。具体的には、パスワード、ＰＡＳＳＷＯＲＤ、機密、ＣＯＮＦＩＤＥＮＴＩＡＬまたは重要などである。検索結果は設定部３５０に通知される。これを受けて、設定部３５０は、そのようなファイルが検索されたことを条件に、そのようなファイルが検索されなかった場合と比較して、短い基準時間を設定する。【００２８】
接続カウント部３８０は、外部記憶装置３０が予め定められた情報処理装置との接続を終了してから、他の情報処理装置と接続した回数をカウントする。この予め定められた情報処理装置とは、たとえば、外部記憶装置３０の利用者により管理されている情報処理装置であり、本実施形態では情報処理装置２０とする。そして、他の情報処理装置とは、たとえば他人の情報処理装置である。接続カウント部３８０は、このように、たとえば本人の情報処理装置に接続された時点を起点として他の情報処理装置に接続した回数をカウントする。カウント結果は設定部３５０に通知される。これを受けて、設定部３５０は、カウントしたこの接続の回数がより多いことを条件に、この接続の回数がより少ない場合と比較して、基準時間を短く設定する。これにより、自己の情報処理装置との接続を介さずに他人の情報処理装置に頻繁に接続する場合には、あまり一般的でない使用形態として、何らかの不正の可能性が高いとみなしてデータを早く破壊することができる。【００２９】
第２復元部３９０は、第２記憶部３００から複数の分割データを読み出し、読み出したこれらの複数の分割データを秘密分散法により対象情報に復元して、外部の情報処理装置２０に出力する。たとえば、第２復元部３９０は、外部記憶装置３０の接続端子が情報処理装置２０に装着されたことを条件に、自動的に、この復元の処理を行ってもよい。処理の具体例として、例えば第２記憶部３００が予めＭ個の領域に分割されている場合には、第２復元部３９０は、それぞれの領域から同一のファイル名又は対応するファイル名のファイルを読み出して、読み出した各ファイルを分割データとして秘密分散法の復元処理を行う。【００３０】
また、秘密分散法による復元処理は、復元のためのアルゴリズムを実装したプログラムに複数の分割データを入力する処理をいい、この結果対象情報が正しく復元されたかどうかは分からない。したがって、復元の成否不明なこの対象情報を情報処理装置２０に出力した結果、情報処理装置２０の利用者が復元が失敗したものとして、第１記憶部２０５に記憶された分割データに基づく復元を外部記憶装置３０に指示する場合がある。このような場合、第２復元部３９０は、第２記憶部３００に格納されてデータ破壊部３４０により破壊されていない分割データを読み出して、読み出したこの分割データを、情報処理装置２０の第１記憶部２０５から読み出した分割データに基づいて対象情報に復元してもよい。このように、第１記憶部２０５に記憶した分割データの復元は、情報処理装置２０において行われてもよいが、外部記憶装置３０において行われてもよい。【００３１】
図４は、情報処理装置２０によって対象情報が外部記憶装置３０に格納される処理のフローチャートを示す。第１生成部２２０は、外部記憶装置３０に記憶する対象となる対象情報２０８に対し秘密分散法および誤り訂正符号の符号化に基づく変換を行う（Ｓ４００）。具体的には、まず、第１生成部２２０は、その対象情報２０８の復元には予め定められた基準個数Ｋの分割データが必要となる秘密分散法による変換を行って、その基準個数Ｋを超える個数の複数の中間データを生成する。そして、第１生成部２２０は、生成したそれぞれの中間データを誤り訂正符号により符号化することにより、複数の分割データを生成する。この分割データの個数もやはりＮ個である。誤り訂正符号としては、たとえばＢＣＨ符号を用いてもよい。【００３２】
出力部２３０は、生成したこれらＮ個の分割データの中から基準個数Ｋ以上の第１個数Ｍの分割データを選択して、外部記憶装置３０に対し出力し、外部記憶装置３０において後述の第２記憶部３００に記憶させる（Ｓ４１０）。第１格納部２４０は、生成したＮ個の分割データのうち出力したこのＭ個の分割データを除外した第２個数Ｌの分割データを、第１記憶部２０５に格納する（Ｓ４２０）。格納する分割データの個数Ｌは、生成した分割データから出力した分割データを除いた全てであってもよいし（即ち、Ｌ＝Ｍ−Ｎ）、その一部であってもよい（即ち、Ｌ＜Ｍ−Ｎ）。【００３３】
以上の処理に加えて、登録部２５０は、さらに、生成したＮ個の分割データのうち、出力したＭ個の分割データおよび格納したＬ個の分割データを除外したＰ個の分割データを、外部のサーバ装置に登録してもよい（Ｓ４３０）。登録する分割データの個数Ｐは、除外した残りの全ての分割データであってもよいし（即ち、Ｐ＝Ｍ−Ｎ−Ｌ）、その一部であってもよい（即ち、Ｐ＜Ｍ−Ｎ−Ｌ）。【００３４】
図５は、それぞれの分割データの格納箇所の概略を示す。対象情報は、全部でＮ個の分割データに分割される。そのうちＭ個の分割データは外部記憶装置３０の第２記憶部３００に格納される。また、残りの分割データのうちＬ個の分割データは第１記憶部２０５に格納される。また、残りの分割データのうちＰ個の分割データは登録部２５０によって外部のサーバ装置に登録される。さらに、データ破壊部３４０によって破壊される分割データの個数Ｄは、第１個数Ｍおよび基準個数Ｋの差分よりも大きく、その差分と第２個数Ｌと第３個数Ｐの合計以下である。【００３５】
図６は、外部記憶装置３０に格納された分割データから情報処理装置２０によって対象情報を復元する処理のフローチャートを示す。情報処理装置２０は、たとえば情報処理装置２０に外部記憶装置３０が装着されたことに応じ、以下の処理を行う。第１復元部２６０は、外部記憶装置３０の第２記憶部３００に格納されデータ破壊部３４０により破壊されていない分割データを外部記憶装置３０から読み出す（Ｓ６００）。読み出される分割データは、形式的にはＭ個であるが、そのうちの幾つかは破壊されている可能性がある。したがって、読み出した分割データのうち破壊されていない分割データをＭとは異なるＭ´個とする。【００３６】
そして、第１復元部２６０は、読み出した分割データを対象情報２０８に復元する（Ｓ６１０）。具体的には、まず、第１復元部２６０は、読み出したＭ´個の分割データのそれぞれを、誤り訂正符号により復号化してＭ´個の中間データを生成する。そして、第１復元部２６０は、生成したＭ´個の中間データに基づいて、秘密分散法により対象情報２０８の復元を試みる。Ｍ´個が基準個数Ｋ以上であれば復元が成功する。なお、この時点では読み出したＭ個のうち何れのＭ´個が未破壊か分からないので、第１復元部２６０は、未破壊のデータとして想定しうる分割データのいくつかの組合せを用いて幾つかの対象情報を復元してもよい。【００３７】
復元が成功した場合には（Ｓ６２０：ＹＥＳ）、第１復元部２６０は本図の処理を終了する。一方、復元が成功しないことを条件に（Ｓ６２０：ＮＯ）、第１復元部２６０は、第１記憶部２０５からＬ個の分割データを読み出し、また、外部のサーバ装置に登録されたＰ個の分割データを取得する（Ｓ６３０）。復元が成功したかどうかは、利用者から復元に失敗した旨の入力を受けるかどうかに基づき判断されてもよい。即ち、利用者はＳ６１０において復元された対象情報の利用を試みる。そして、利用者はその対象情報が正しく復元されていない場合には、復元に失敗した旨を情報処理装置２０に指示する。第１復元部２６０は、この指示に応じてＳ６３０における処理を行う。具体的には、第１復元部２６０は、これらＬ＋Ｐ個の分割データのそれぞれに基づいて、Ｍ´個の分割データを対象情報２０８に復元する。【００３８】
図７は、外部記憶装置３０により分割データを格納し、格納した分割データを破壊する処理のフローチャートを示す。外部記憶装置３０は、例えば定期的に、又は、外部からデータを取得する毎に、以下の処理を行う。第２生成部３１０は、外部から対象情報２０８を取得して、その対象情報２０８に対し、その対象情報２０８の復元には基準個数Ｋの分割データが必要となる秘密分散法に基づく変換を行って、基準個数Ｋ以上の第１個数の複数の分割データを生成する（Ｓ７００）。【００３９】
具体的には、第２生成部３１０は、対象情報を秘密分散法により変換して複数の中間データを生成し、生成したそれぞれの中間データを誤り訂正符号により符号化することにより、複数の分割データを生成する。ただし、変換前の対象情報２０８ではなく既に変換された分割データを取得するときには、このＳ７００の処理は不要である。取得部３２０は、対象情報２０８を変換して生成した複数の分割データを情報処理装置２０から直接に、または、第２記憶部３００による変換を介して取得する（Ｓ７１０）。取得する分割データはＭ個である。第２格納部３３０は、取得したこのＭ個の分割データのそれぞれを第２記憶部３００に格納する（Ｓ７２０）。【００４０】
なお、対象情報２０８や分割データが入力されない場合には、第２生成部３１０は、以上の処理に代えて、第２記憶部３００の残容量を情報処理装置２０に通知する処理を行ってもよい。通知する残容量は、第２記憶部３００の残容量それ自体であってもよいが、秘密分散法に基づく変換を行って記憶することのできる変換前のデータのサイズであることが望ましい。例えば、残容量がＸメガバイトであって、秘密分散法および誤り訂正符号により増加するデータの割合が１５０％（つまり２．５倍に増加）である場合には、第２生成部３１０は、Ｘを２．５で除したＸ／２．５メガバイトを、残容量として情報処理装置２０に通知する。これにより、情報処理装置２０側では、秘密分散法によるデータサイズの変化を意識せずに、追加して記憶可能な容量を適切に把握できる。【００４１】
次に、データ破壊部３４０は、予め定められた操作を受けたかどうかを判断する（Ｓ７３０）。予め定められた操作とは、たとえば、外部記憶装置３０の情報処理装置２０との着脱動作である。着脱の双方の操作が予め定められた操作であってもよいし、外部記憶装置３０を情報処理装置２０から取り外す操作のみが予め定められた操作であって装着する操作は予め定められた操作でなくてもよい。他の例として、データ破壊部３４０は、外部記憶装置３０に設けられた所定のスイッチ操作を予め定められた操作と判断してもよいし、情報処理装置２０により外部記憶装置３０をアクセスする処理を予め定められた操作と判断してもよい。なお、この判断はＳ７００からＳ７２０までの処理とは独立に行われてもよい。【００４２】
予め定められた操作を受けたことを条件に（Ｓ７３０：ＹＥＳ）、データ破壊部３４０は、データ破壊の基準となる時間を測定するためのタイマーをスタートさせる（Ｓ７４０）。また、データ破壊部３４０は、予め定められた操作を受けてから予め設定した基準時間が経過したかどうかを判断する（Ｓ７５０）。経過したことを条件に（Ｓ７５０：ＹＥＳ）、データ破壊部３４０は、第２記憶部３００に格納したＭ個の分割データのうち、基準個数Ｋと第１個数Ｍとの差分より多く、かつ、当該差分と第２個数Ｌおよび第３個数Ｐの合計以下の個数の分割データを破壊する（Ｓ７６０）。破壊は、例えば、誤り訂正符号の訂正限界を超える数のビットをランダムに選択したうえで、それらのビット値を反転させることにより実現される。【００４３】
これに代えて、データ破壊部３４０は、経過時間が基準時間に達したことを条件に誤りビット数が訂正限界を超えるように、分割データを徐々に破壊してもよい。即ち例えば、データ破壊部３４０は、基準時間よりも充分に短いインターバル時間が経過する毎に、破壊するべき各分割データについて、当該分割データに含まれる複数のビットの中からランダムに選択した１ビットの論理値を変更する。このような処理によれば、より昔に記憶されたデータほど誤りビット数が多くなるので、対象情報の不当な復元を困難にすることができる。さらに、誤りビット数は経過時間に依存して増大するため、不当な利用者が対象情報を復元しようとする場合に何ビットのビット誤りがあるかを解析しにくくすることができる。【００４４】
以上、図１から図７を参照して説明した情報システム１０によれば、以下に示す優れた効果がもたらされる。まず、対象情報の変換には既存の暗号化手法でなく秘密分散法を用いることで、一旦破壊されたデータからは、元のデータの一部でさえも復元することを困難にすることができる。また、破壊されたデータを、他のデータを不当に復元するための手がかりとすることを困難とすることができる。さらには、既存の暗号化手法と比較して根拠とする理論が極めて単純であり、将来の研究により不当なデータ復元が可能となるリスクは極めて小さい。また、秘密分散法に基づく変換は暗号化とは独立な処理なので、既存の暗号化手法と組み合わせて、データの機密性を更に高めることもできる。【００４５】
また、データ破壊を、誤り訂正符号により符号化されたデータの一部を変更することにより実現することで、データ破壊に必要な処理量を低減することができる。即ち、符号化前のデータをそのまま外部記憶装置３０に記憶した場合、そのデータの一部でさえも不当に読み出させないようにするためには、そのデータの大部分を変更する必要がある。一方で、誤り訂正符号で符号化したデータを変更する場合には、変更するビット数が訂正限界を僅かでも超えると、変換前のデータの一部でさえも不当に復元することは極めて困難である。このように、秘密分散法に加えて誤り訂正符号を組み合わせることで、データ破壊に要するビット数を極めて小さくすることができる。【００４６】
変更するべきビット数の低減は、以下の派生的な効果をもたらす。まず、変更に要する処理量の低減である。本実施形態に係る外部記憶装置３０は、外部記憶装置３０自体の機能によって、記憶しているデータを破壊する。また、外部記憶装置３０は、情報処理装置２０と接続していない状態であっても、時間の経過に応じて動作する。このため、外部記憶装置３０は、外部の電源のみによって動作することはできず、電池等を搭載して単独動作する必要がある。外部記憶装置３０に第２記憶部３００として搭載するフラッシュメモリは、変更するべきデータサイズに応じて電力を必要とすることから、変更するべきビット数の低減は、電池消費量を大幅に削減することができる。たとえば、発明者の試算によれば、ある汎用の電池を電源とすると、全データの完全消去は僅か４回しか行えないのに対し、誤り訂正符号で符号化されたデータの数ビットを３時間毎に変更する場合には、その電池を２００年間持続させることができる。また、フラッシュメモリはデータの書き換え回数が所定の回数に達すると寿命を迎えて使用不能となることから、ビット数の低減は外部記憶装置３０の寿命を長くすることができる。【００４７】
また、外部記憶装置３０において一部が破壊された分割データを情報処理装置２０において復元可能とすることは、以下の効果をもたらす。まず、近年、セキュリティ対策はその重要度を増してきており、機密性の高いデータは情報処理装置２０などの端末装置に記憶せず、集中管理されたサーバに記憶することが求められる場合がある。これに応じて、局所的な記憶領域を殆ど持たないシン・クライアントなども用いられている。このような要請の下、情報処理装置２０は、機密性の高いデータを一時的には記憶できても継続して記憶できない場合がある。このような場合であっても、本実施形態に係る外部記憶装置３０によれば、情報処理装置２０は、情報処理装置２０自体に機密性の高いデータを記憶せずとも、それ単独では対象情報の復元が不可能な分割データを記憶しておくことで、外部記憶装置３０において破壊されたデータを必要に応じて自由に復元することができる。また、一部の分割データを外部のサーバ装置に記憶することで、情報処理装置２０自体には一部の分割データでさえも記憶させる必要がない。さらには、利用者は移動先でそのサーバにアクセスすることで、外部記憶装置３０においてデータが破壊された場合であっても、必要に応じて自由にデータを復元できる。【００４８】
図８は、外部記憶装置３０により基準時間を設定する処理のフローチャートを示す。計測部３６５は、外部記憶装置３０が情報処理装置２０等の外部の情報処理装置に接続される頻度を計測する（Ｓ８００）。そして、計測部３６５は、計測した頻度を設定部３５０に通知する。これを受けて、設定部３５０は、計測された頻度がより高いことを条件に、計測された頻度がより低い場合と比較して、基準時間を短く設定する（Ｓ８１０）。これにより、これまでの履歴に基づきデータを保存するべき充分な期間を予測して、その期間経過後には自動的にデータを破壊できる。【００４９】
キャップ判断部３７０は、複数のキャップ、たとえば上述のキャップ３５−１〜３のうち、何れの種類のキャップが装着されているかを判断する（Ｓ８２０）。判断結果は設定部３５０に通知される。これを受けて、設定部３５０は、装着されているキャップの種類に応じて予め定められた長さの時間を基準時間として設定する（Ｓ８３０）。これにより、利用者はその目的に応じてキャップを付け替えることで、データの保存期間を柔軟に設定できる。【００５０】
キーワード検索部３７５は、第２記憶部３００に分割データとして格納されているファイルのうち、予め定められたキーワードを含むファイルを検索する（Ｓ８４０）。検索のキーとなるキーワードは、たとえば、機密性の高いデータであることを示唆するものであることが望ましい。検索結果は設定部３５０に通知される。これを受けて、設定部３５０は、そのようなファイルが検索されたことを条件に、そのようなファイルが検索されなかった場合と比較して、短い基準時間を設定する（Ｓ８５０）。【００５１】
接続カウント部３８０は、外部記憶装置３０が予め定められた情報処理装置との接続を終了してから、他の情報処理装置と接続した回数をカウントする（Ｓ８６０）。この予め定められた情報処理装置とは、たとえば、外部記憶装置３０の利用者により管理されている情報処理装置であり、本実施形態では情報処理装置２０である。そして、他の情報処理装置とは、たとえば他人の情報処理装置である。接続カウント部３８０は、このように、たとえば本人の情報処理装置に接続された時点を起点として他の情報処理装置に接続した回数をカウントする。カウント結果は設定部３５０に通知される。【００５２】
これを受けて、設定部３５０は、カウントしたこの接続の回数がより多いことを条件に、この接続の回数がより少ない場合と比較して、基準時間を短く設定する（Ｓ８７０）。また、設定部３５０は、スイッチ３２に対し所定の操作を受けたことを条件に（Ｓ８８０：ＹＥＳ）、その操作内容に応じた基準時間を設定する（Ｓ８９０）。このような物理的な操作に代えて、設定部３５０は、情報処理装置２０から基準時間設定のための信号を入力したことに応じて、その信号に応じた基準時間を設定してもよい。【００５３】
図９は、記憶している分割データに基づいて外部記憶装置３０により対象情報を復元する処理のフローチャートを示す。外部記憶装置３０は、例えば当該外部記憶装置３０が情報処理装置２０に装着されたことを条件に、以下の処理を行う。第２復元部３９０は、第２記憶部３００から複数の分割データを読み出す（Ｓ９００）。そして、第２復元部３９０は、読み出したこれらの複数の分割データを秘密分散法により対象情報に復元して、外部の情報処理装置２０に出力する（Ｓ９１０）。【００５４】
次に、第２復元部３９０は、この復元処理が成功したかどうかを判断する（Ｓ９２０）。たとえば、さらに情報処理装置２０に記憶した分割データを用いて復元を試みるべき指示を利用者から受けたことを条件に、第２復元部３９０は、この復元処理が失敗したと判断する。復元処理が失敗したことを条件に（Ｓ９２０：ＮＯ）、第２復元部３９０は、情報処理装置２０の第１記憶部２０５に格納された分割データ（Ｌ個）および、情報処理装置２０により外部のサーバ装置に登録した分割データ（Ｐ個）を情報処理装置２０から取得する（Ｓ９３０）。そして、第２復元部３９０は、取得した分割データに基づいて、第２記憶部３００に格納されてデータ破壊部３４０により破壊されていない分割データを復元し、情報処理装置２０に対し出力する（Ｓ９４０）。【００５５】
図１０は、情報処理装置２０のハードウェア構成の一例を示す。情報処理装置２０は、ホストコントローラ１０８２により相互に接続されるＣＰＵ１０００、ＲＡＭ１０２０、及びグラフィックコントローラ１０７５を有するＣＰＵ周辺部と、入出力コントローラ１０８４によりホストコントローラ１０８２に接続される通信インターフェイス１０３０、ハードディスクドライブ１０４０、及びＣＤ−ＲＯＭドライブ１０６０を有する入出力部と、入出力コントローラ１０８４に接続されるＲＯＭ１０１０、フレキシブルディスクドライブ１０５０、及び入出力チップ１０７０を有するレガシー入出力部とを備える。【００５６】
ホストコントローラ１０８２は、ＲＡＭ１０２０と、高い転送レートでＲＡＭ１０２０をアクセスするＣＰＵ１０００及びグラフィックコントローラ１０７５とを接続する。ＣＰＵ１０００は、ＲＯＭ１０１０及びＲＡＭ１０２０に格納されたプログラムに基づいて動作し、各部の制御を行う。グラフィックコントローラ１０７５は、ＣＰＵ１０００等がＲＡＭ１０２０内に設けたフレームバッファ上に生成する画像データを取得し、表示装置１０８０上に表示させる。これに代えて、グラフィックコントローラ１０７５は、ＣＰＵ１０００等が生成する画像データを格納するフレームバッファを、内部に含んでもよい。【００５７】
入出力コントローラ１０８４は、ホストコントローラ１０８２と、比較的高速な入出力装置である通信インターフェイス１０３０、ＵＳＢインターフェイス１０３５、ハードディスクドライブ１０４０、及びＣＤ−ＲＯＭドライブ１０６０を接続する。通信インターフェイス１０３０は、ネットワークを介して外部の装置と通信する。ＵＳＢインターフェイス１０３５は、外部記憶装置３０などの外部の装置と接続する。ハードディスクドライブ１０４０は、情報処理装置２０が使用するプログラム及びデータを格納する。ＣＤ−ＲＯＭドライブ１０６０は、ＣＤ−ＲＯＭ１０９５からプログラム又はデータを読み取り、ＲＡＭ１０２０又はハードディスクドライブ１０４０に提供する。【００５８】
また、入出力コントローラ１０８４には、ＲＯＭ１０１０と、フレキシブルディスクドライブ１０５０や入出力チップ１０７０等の比較的低速な入出力装置とが接続される。ＲＯＭ１０１０は、情報処理装置２０の起動時にＣＰＵ１０００が実行するブートプログラムや、情報処理装置２０のハードウェアに依存するプログラム等を格納する。フレキシブルディスクドライブ１０５０は、フレキシブルディスク１０９０からプログラム又はデータを読み取り、入出力チップ１０７０を介してＲＡＭ１０２０またはハードディスクドライブ１０４０に提供する。入出力チップ１０７０は、フレキシブルディスク１０９０や、例えばパラレルポート、シリアルポート、キーボードポート、マウスポート等を介して各種の入出力装置を接続する。【００５９】
情報処理装置２０に提供されるプログラムは、フレキシブルディスク１０９０、ＣＤ−ＲＯＭ１０９５、又はＩＣカード等の記録媒体に格納されて利用者によって提供される。プログラムは、入出力チップ１０７０及び/又は入出力コントローラ１０８４を介して、
記録媒体から読み出され情報処理装置２０にインストールされて実行される。プログラムが情報処理装置２０や外部記憶装置３０に働きかけて行わせる動作は、図１から図９において説明した情報処理装置２０や外部記憶装置３０における動作と同一であるから、説明を省略する。【００６０】
以上に示したプログラムは、外部の記憶媒体に格納されてもよい。記憶媒体としては、フレキシブルディスク１０９０、ＣＤ−ＲＯＭ１０９５の他に、ＤＶＤやＰＤ等の光学記録媒体、ＭＤ等の光磁気記録媒体、テープ媒体、ＩＣカード等の半導体メモリ等を用いることができる。また、専用通信ネットワークやインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の記憶装置を記録媒体として使用し、ネットワークを介してプログラムを情報処理装置２０に提供してもよい。【００６１】
更に、以上に示したプログラムは、ＵＳＢインターフェイス１０３５などの入出力インターフェイスを介して、外部記憶装置３０などの装置に提供されてもよい。外部記憶装置３０は、入力されたプログラムをＣＰＵなどによって動作させることによって、外部記憶装置３０について図１から図９を参照して説明した各種の機能を果たす。これに代えて、外部記憶装置３０に設けられたＲＯＭなどに予めプログラムが記憶されており、そのプログラムに基づき外部記憶装置３０は動作してもよい。また、外部記憶装置３０の各機能はソフトウェアでなく論理回路により実現されてもよい。一例として、秘密分散法に基づく変換を行ってデータを格納する回路、データを読み出した秘密分散法に基づく復元を行う回路、データを破壊するための回路、これらの回路を駆動する電池により実現されてもよい。この電池は、外部記憶装置３０が情報処理装置２０に接続された場合には情報処理装置２０から供給される電源によって充電されてもよい。【００６２】
以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。
【図面の簡単な説明】
【００６３】
【図１】図１は、情報システム１０の全体構成を示す。
【図２】図２は、情報処理装置２０の機能構成を示す。
【図３】図３は、外部記憶装置３０の機能構成を示す。
【図４】図４は、情報処理装置２０によって対象情報が外部記憶装置３０に格納される処理のフローチャートを示す。
【図５】図５は、それぞれの分割データの格納箇所の概略を示す。
【図６】図６は、外部記憶装置３０に格納された分割データから情報処理装置２０によって対象情報を復元する処理のフローチャートを示す。
【図７】図７は、外部記憶装置３０により分割データを格納し、格納した分割データを破壊する処理のフローチャートを示す。
【図８】図８は、外部記憶装置３０により基準時間を設定する処理のフローチャートを示す。
【図９】図９は、記憶している分割データに基づいて外部記憶装置３０により対象情報を復元する処理のフローチャートを示す。
【図１０】図１０は、情報処理装置２０のハードウェア構成の一例を示す。
【符号の説明】
【００６４】
１０  情報システム
２０  情報処理装置
３０  外部記憶装置
３２  スイッチ
３５  キャップ
２００  メモリデバイス
２０５  第１記憶部
２０８  対象情報
２１０  通信Ｉ／Ｆ
２２０  第１生成部
２３０  出力部
２４０  第１格納部
２５０  登録部
２６０  第１復元部
３００  第２記憶部
３１０  第２生成部
３２０  取得部
３３０  第２格納部
３４０  データ破壊部
３５０  設定部
３６０  設定制御部
３６５  計測部
３７０  キャップ判断部
３７５  キーワード検索部
３８０  接続カウント部
３９０  第２復元部
【図１】
2008078689.tif 000003
【図２】
2008078689.tif 000004
【図３】
2008078689.tif 000005
【図４】
2008078689.tif 000006
【図５】
2008078689.tif 000007
【図６】
2008078689.tif 000008
【図７】
2008078689.tif 000009
【図８】
2008078689.tif 000010
【図９】
2008078689.tif 000011
【図１０】
2008078689.tif 000012
【国際調査報告】
2008078689.tif 000013
2008078689.tif 000014
2008078689.tif 000015