(57)【要約】【課題】セキュリティポリシーファイルを多数のサーバに搭載し運用する際、効率よく運用し、セキュリティポリシーファイルの完全性を保つ。【解決手段】あるノードが、セキュリティポリシーファイルをアクセスする際、他のノードからポリシーファイルを読み出し、該当する項目で多数決をとり、リソースのアクセス制御を行う。この多数決をとる際、個別アクセス制御データとして、ノード毎にユニークなアクセス制御を示す値、文字あるいは数字、記号などを含む文字列を設ける。同じ個別アクセス制御データが複数あれば（８５，８６）、侵入され、改ざんされたと判定し、多数決のメンバからはずす（８７）。残りのメンバで多数決を取ることにより、正常なアクセス制御を求める。【選択図】図１５
2008033793.tif 000002
【特許請求の範囲】
【請求項１】
主ノードと複数の副ノードから構成される複数のノードをネットワークにより接続した計算機システムにおいて、
各ノードは、ハードウェア構成部とソフトウェア構成部を備えており、
前記ハードウェア構成部は、
中央プロセッサと、メモリと、入出力プロセッサと、ネットワークプロセッサと、ディスクコントローラと、ディスク装置とを有し、
前記ソフトウェア構成部は、
複数のオペレーティングシステムと、アクセス制御のための複数のセキュリティポリシーファイルと、該セキュリティポリシーファイルの多数決処理を行う複数の多数決処理部と、複数の認証部と、複数のアプリケーションプログラムと、複数のオペレーティングシステムを同時に稼動する仮想化ソフトウェアとを有し、
前記セキュリティポリシーファイルには、全てのノード及びオペレーティングシステムに共通のアクセス制御を示す共通アクセス制御データと、少なくとも各ノード及び／又はオペレーティングシステム毎に唯一の情報になるようにアクセス種別を示す個別アクセス制御データが設けられ、
前記主ノードが自ノードのセキュリティポリシーファイルをアクセスする際に、前記副ノードのセキュリティポリシーファイルを読み出して、読み出された前記副ノードのセキュリティポリシーファイルの前記共通アクセス制御データ及び前記個別アクセス制御データを用いた多数決処理により正常値を決定し、該正常値をもとに前記自ノードのリソースのアクセス制御を行うことを特徴とする計算機システム。
【請求項２】
前記個別アクセス制御データは、前記共通アクセス制御データに少なくとも各ノード番号とオペレーティングシステム番号が追加されて構成されることを特徴とする請求項１に記載の計算機システム。
【請求項３】
前記個別アクセス制御データには、前記個別アクセス制御データに含まれる各要素毎に予め定められる有効な範囲が設定されており、前記各要素が前記有効な範囲の外にあるとき、前記多数決処理により前記セキュリティポリシーファイルは改ざんされていると判定されることを特徴とする請求項１に記載の計算機システム。
【請求項４】
前記個別アクセス制御データのうち、同一の個別アクセス制御データが複数あるとき、前記多数決処理により前記セキュリティポリシーファイルは改ざんされていると判定されることを特徴とする請求項１に記載の計算機システム。
【請求項５】
前記多数決処理の際、改ざんされていると判定されたセキュリティポリシーファイルを除き、残りのセキュリティポリシーファイルの共通アクセス制御データを用いて前記多数決処理が行われることを特徴とする請求項１に記載の計算機システム。
【請求項６】
前記多数決処理の際、
主ノードは、セキュリティポリシーファイルとして共通アクセス制御データ及び個別アクセス制御データを副ノードに送信し、
前記副ノードが前記共通アクセス制御データ及び前記個別アクセス制御データを自ノードのセキュリティポリシーファイルとして設定することを特徴とする請求項１に記載の計算機システム。
【請求項７】
前記多数決処理の際、
前記主ノードは、セキュリティポリシーファイルとして、前記共通アクセス制御データ及び前記個別アクセス制御データを生成するためのノード番号とオペレーティングシステム番号を副ノードに送信し、
前記副ノードは、前記ノード番号とオペレーティングシステム番号から個別アクセス制御データを生成し、前記共通アクセス制御データ及び前記個別アクセス制御データを自ノードのセキュリティポリシーファイルとして設定することを特徴とする請求項１に記載の計算機システム。
【請求項８】
前記多数決処理の際、
前記主ノードは、セキュリティポリシーファイルが改ざんされていると判定された副ノードに対して、正しい個別アクセス制御データを再設定し、セキュリティポリシーデータを回復させることを特徴とする請求項１に記載の計算機システム。
【請求項９】
複数のノードをネットワークにより接続した計算機システムにおけるセキュリティポリシーファイルの保証方法において、
主ノードは、セキュリティポリシーファイルとして全てのノード及びオペレーティングシステムに共通のアクセス制御を示す共通アクセス制御データ、及び少なくとも各ノード及び／又はオペレーティングシステム毎に唯一の情報になるようにアクセス種別を示す個別アクセス制御データを副ノードに送信し、
前記副ノードは、前記共通アクセス制御データ及び前記個別アクセス制御データを自ノードのセキュリティポリシーファイルとして設定し、
前記主ノードは、自ノードのセキュリティポリシーファイルをアクセスする際に、前記複数の副ノードのセキュリティポリシーファイルの前記共通アクセス制御データ及び前記個別アクセス制御データを読み出し、
読み出された前記個別アクセス制御データのうち、同一の個別アクセス制御データが複数あるとき、又は前記個別アクセス制御データに含まれる各要素毎に予め定められる有効な範囲に対して、前記各要素が前記有効な範囲の外にあるとき、前記セキュリティポリシーファイルは改ざんされていると判定し、
前記改ざんされていると判定されたセキュリティポリシーファイルを除き、残りのセキュリティポリシーファイルの共通アクセス制御データを用いて多数決処理を行い、
前記多数決処理によりセキュリティポリシーファイルの正常値を決定し、
前記決定された正常値に基づいて自ノードのリソースのアクセス制御を行うことを特徴とするセキュリティポリシーファイルの保証方法。
【請求項１０】
複数のノードをネットワークにより接続した計算機システムにおけるセキュリティポリシーファイルの保証方法において、
主ノードは、セキュリティポリシーファイルとして全てのノード及びオペレーティングシステムに共通のアクセス制御を示す共通アクセス制御データ、及び少なくとも各ノード及び／又はオペレーティングシステム毎に唯一の情報になるようにアクセス種別を示す個別アクセス制御データを生成するための各要素情報を副ノードに送信し、
前記副ノードは、前記各要素情報から個別アクセス制御データを生成し、前記共通アクセス制御データ及び前記生成された個別アクセス制御データを自ノードのセキュリティポリシーファイルとして設定し、
前記主ノードは、自ノードのセキュリティポリシーファイルをアクセスする際に、前記複数の副ノードのセキュリティポリシーファイルの前記共通アクセス制御データ及び前記個別アクセス制御データを読み出し、
読み出された前記個別アクセス制御データのうち、同一の個別アクセス制御データが複数あるとき、又は前記個別アクセス制御データに含まれる各要素毎に予め定められる有効な範囲に対して、前記各要素が前記有効な範囲の範囲外のとき、前記セキュリティポリシーファイルは改ざんされていると判定し、
改ざんされていると判定されたセキュリティポリシーファイルを除き、残りのセキュリティポリシーファイルの共通アクセス制御データを用いて多数決処理を行い、
前記多数決処理によりセキュリティポリシーファイルの正常値を決定し、
前記決定された正常値に基づいて自ノードのリソースのアクセス制御を行うことを特徴とするセキュリティポリシーファイルの保証方法。
【請求項１１】
複数のノードをネットワークにより接続した計算機システムにおけるセキュリティポリシーファイルの保証方法において、
主ノードは、副ノードの個別アクセス制御データを記憶しておき、
主ノードはそれぞれの副ノードのセキュリティポリシーファイルの個別アクセス制御データを記憶しておき、
主ノードはセキュリティポリシーデータを読み出した時に、それぞれが一致するかどうかをチェックし、
これらが一致すれば、セキュリティポリシーファイルは改ざんされていないと判定し、一致しなければ改ざんされたと判定することを特徴とするセキュリティポリシーファイルの保証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、本発明は、セキュアＯＳ（Operating System）を搭載したコンピュータシステムに関するものである。
【背景技術】
【０００２】
従来の高信頼化技術は、ハードウェア障害やソフトウェア障害が発生する際、いかにユーザに障害を隠すかという耐障害技術が中心であり、これによりコンピュータのハードウェアとソフトウェアの信頼性を向上させてきた。その後、不正アクセスや情報漏洩などの事件が増加しており、セキュリティの向上が強く求められている。例えば、セキュリティポリシーファイルが改ざんされると、第三者にサーバが乗っ取られ、データ漏洩などの不正行為が行われる。
【０００３】
また、オープンソースであるＸｅｎなどをはじめとする仮想化ソフトが出現し、１台の計算機であるマシン上に複数のＯＳをあたかも１つの計算機であるかのごとく稼動させることが容易になっている。
例えば、従来の耐障害システムに関する例では、多数のノードから構成されるクラスタ構成において、管理ノードが実行ノードの環境情報（プロセッサ使用状態、メモリ使用状態など）を取得し、これらの情報の多数決処理を行うことにより、あるいはデータとして発生しにくい統計的外れ値により、サーバの障害を検出しているものが知られている（特許文献１参照）。
【０００４】
また、計算機システムがセキュリティポリシーファイルを所有し、セキュリティポリシーファイル内のルール衝突を解決することにより、セキュリティを確保するものが知られている（特許文献２参照）。
【特許文献１】特開２００４−３５５２３３号公報
【特許文献２】特開２００４−３０３２４３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、上述した特許文献２に記載のセキュリティポリシーファイルは、不正アクセスなどにより改ざんされる可能性があり、このポリシーファイルが改ざんされると、第三者にサーバが乗っ取られ、データ漏洩などの不正行為が行われる。このため、現用サーバと待機サーバからなるホットスタンバイ方式によりデータのバックアップをとる方法があった。
【０００６】
また、現用サーバと待機サーバは同一構成なので、同時に不正侵入されやすく、両方のサーバで不正侵入された場合には、セキュリティポリシーファイルが改ざんされると、セキュリティポリシーファイルは回復できないという不都合があった。
【０００７】
このように、セキュアＯＳでは、計算機システムのリソースのアクセス権をチェックするために、セキュリティポリシーファイルを使用していたが、セキュリティポリシーファイルが改ざんされると、不正アクセスや情報漏えいが発生するため、セキュリティポリシーファイルの完全性（データが正しい状態に保たれること）の向上が要求されている。
また、セキュリティポリシーファイルの改ざんの防止だけでなく、他の重要なファイルの改ざん防止のためにもセキュリティの向上が求められている。
【０００８】
そこで、本発明は、セキュアＯＳがリソースのアクセス制御を行う際に使用するセキュリティポリシーファイルの完全性を保つことを目的とする。
【課題を解決するための手段】
【０００９】
上記課題を解決し、本発明の目的を達成するため、本発明の計算機システムは、主ノードと複数の副ノードから構成される複数のノードをネットワークにより接続した計算機システムにおいて、各ノードは、ハードウェア構成部とソフトウェア構成部を備えており、ハードウェア構成部は、中央プロセッサと、メモリと、入出力プロセッサと、ネットワークプロセッサと、ディスクコントローラと、ディスク装置とを有し、ソフトウェア構成部は、複数のオペレーティングシステムと、アクセス制御のための複数のセキュリティポリシーファイルと、該セキュリティポリシーファイルの多数決処理を行う複数の多数決処理部と、複数の認証部と、複数のアプリケーションプログラムと、複数のオペレーティングシステムを同時に稼動する仮想化ソフトウェアとを有している。そして、このセキュリティポリシーファイルには、全てのノード及びオペレーティングシステムに共通のアクセス制御を示す共通アクセス制御データと、少なくとも各ノード及び／又はオペレーティングシステム毎に唯一の情報になるようにアクセス種別を示す個別アクセス制御データが設けられ、主ノードが自ノードのセキュリティポリシーファイルをアクセスする際に、副ノードのセキュリティポリシーファイルを読み出して、読み出された前記副ノードのセキュリティポリシーファイルの前記共通アクセス制御データ及び前記個別アクセス制御データを用いた多数決処理により正常値を決定し、該正常値をもとに前記自ノードのリソースのアクセス制御を行うことを特徴としている。
【００１０】
このように、本発明は、多数のノード（コンピュータ）から構成される計算機システムにおいて、主ノードがセキュリティポリシーファイルを更新する際、複数の副ノードにもこのセキュリティポリシーファイルを転送している。主ノードが、セキュリティポリシーファイルをアクセスする際、複数の副ノードからポリシーファイルを読み出し、該当する項目で多数決をとり、リソースのアクセス制御を行うようにしている。
【００１１】
そして、この多数決をとる際、リソースへのアクセス制御からノード毎にユニークなアクセス制御を示す値、例えば文字あるいは数字、記号などを含む文字列を設けるようにしている。このため、ユニークなアクセス制御を示す同一の値が複数あれば、セキュリティポリシーファイルが侵入され、改ざんされたと判定して、このアクセス制御を示す値を多数決処理の対象から外す。そして、残りの対象で多数決処理を行うことにより、正常なアクセス制御を実行するようにしている。
【発明の効果】
【００１２】
本発明によれば、上述したユニークなアクセス制御が複数あった場合に、セキュリティポリシーファイルが侵入され、改ざんされたと判定するので、多数決処理の際、これらの改ざんされたものを多数決処理のメンバからはずし、残りのメンバで多数決を取ることができる。これにより、正常なアクセス制御を実行し、セキュリティポリシーファイルの完全性を向上させることが可能となる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の実施の形態例を図面に基づいて説明する。
図１は本発明におけるシステム構成図である。図１において、本発明が対象とするシステムは、コンピュータであるノード（１０−１、１１−１、１２−１、１３−１、１４−１、１５−１）、ネットワーク（２０）及びシステムを管理するコンソール（２１）から構成される。ノード１（１０−１）、ノード２（１１−１）、ノード３（１２−１）、ノード４（１３−１）、ノード５（１４−１）、及びノード６（１５−１）とコンソール（２１）は、ネットワーク（２０）により接続される。コンソール（２１）では、各ノードの改ざん情報の蓄積、及び改ざんの原因となるソフトウェアの脆弱性を防ぐためのパッチ管理を行う。
【００１４】
図２はノードの構成図である。この図２に基づいてノード１（１０−１）のハードウェア構成とソフトウェア構成を説明する。
図２において、ノード１（１０−１）のハードウェア構成は、ＣＰＵ（Central Processing Unit）（１０−２）、メモリ（１０−３）、ＩＯＰ（input/output Processor）（１０−４）、ＮＩＣ（Network Interface Controller）（１０−５）、ディスクコントローラ（１０−６）及びディスク装置（１０−７）から構成される。
【００１５】
ノード１（１０−１）のソフトウェア構成は、複数のＯＳをあたかも１つの計算機であるかのごとく同時に稼動する仮想化ソフト（１０−１０）、ＯＳ（Operating System）（１０−１１−１、１０−１１−２、１０−１１−３）、セキュリティポリシーファイル（１０−１２−１、１０−１２−２、１０−１２−３）、多数決処理部（１０−１３−１、１０−１３−２、１０−１３−３）、認証部（１０−１４−１、１０−１４−２、１０−１４−３）、改ざん管理テーブル（１０−３０−１、１０−３０−２、１０−３０−３）及びアプリケーションプログラム（ＡＰ）（１０−１５−１、１０−１５−２、１０−１５−３）から構成される。アプリケーションプログラム（ＡＰ）（１０−１５−１、１０−１５−２、１０−１５−３）は、ＡＰ１（１０−１５−１）、ＡＰ２（１０−１５−２）、ＡＰ３（１０−１５−３）から構成される。
【００１６】
他のノード２（１１−１）、ノード３（１２−１）、ノード４（１３−１）、ノード５（１４−１）、及びノード６（１５−１）のハードウェア構成とソフトウェア構成は、ノード１（１０−１）と同一の構成であるので、その説明を省略する。改ざん管理テーブル（１０−３０−１、１０−３０−２、１０−３０−３）は、後述する図１９で詳細に説明する。
【００１７】
以下、ノード１（１０−１）を主ノードとして、ノード２（１１−１）、ノード３（１２−１）、ノード４（１３−１）、ノード５（１４−１）、及びノード６（１５−１）を副ノードとする例について説明する。主ノード１（１０−１）は、アクセス制御のためのセキュリティポリシーファイル（１０−１２−１）を所有し、副ノード２（１１−１）、３（１２−１）、４（１３−１）、５（１４−１）、及び６（１５−１）からセキュリティポリシーファイル（１１−１２−１、・・・１５−１２−１）を受信して多数決処理を行う。
【００１８】
副ノード２（１１−１）、３（１２−１）、ノード４（１３−１）、ノード５（１４−１）、及びノード６（１５−１）は主ノード１（１０−１）のセキュリティポリシーファイル（１０−１２−１）と同じセキュリティポリシーファイル（１１−１２−１、・・・１５−１２−１）を所有し、主ノード１（１０−１）から要求されるとセキュリティポリシーファイル（１１−１２−１、・・・１５−１２−１）を主ノード１（１０−１）に送信する。
【００１９】
図３から図１３はセキュリティポリシーファイルを示す図である。セキュリティポリシーファイルは、あるアプリケーションプログラム（ＡＰ）が各リソースに対して、アクセス（リードとライト）を許可するかどうかを示すファイルである。本実施の形態例では、リソースとしてのファイルを例にしたセキュリティポリシーファイル（１０−１２−１）をノード１（１０−１）のＡＰ１（１０−１５−１）を用いてアクセス制御する例について説明する。
【００２０】
図３は共通アクセス個別データと個別アクセス制御データを示す図である。セキュリティポリシーファイル（１０−１２−１）は、後述する図４に示すように共通アクセス制御データ（１０−１６−１）と、ノードとＯＳ毎にユニークにアクセス種別を示す個別アクセス制御データ（１０−１７−１）から構成される。
【００２１】
共通アクセス制御データ（１０−１６−１）は、アクセス制御を示すアクセス種別に関して、全てのノードとＯＳ間で共通な値である。ノード１（１０−１）は、この値の多数決をとることにより、正常なアクセス制御を実行することができる。
共通アクセス制御データ（１０−１６−１）は、各ＡＰ（１０−１５）がファイルのアクセスを許可しているか、そうでないかのアクセス可否状態を示す。
【００２２】
各ファイルのアクセス可否状態におけるアクセス制御は以下の通りである。ｒｗはリード／ライト可能とし、ｒはリードのみ可能とし、ｒｗｄはリード／ライト／削除可能とし、ｎはアクセス不可である。これらのアクセス制御を示す共通アクセス制御データとして、ｒｗの値は０１、ｒの値は０２及びｎの値は０３とする。このように、共通アクセス制御データ（１０−１６−１）は、ノードあるいはＯＳ毎に共通なデータである。
【００２３】
一方、個別アクセス制御データ（１０−１７−１）は、あるアクセス種別を、ノードとＯＳ毎にユニークに示すデータであり、他のノード／ＯＳと重ならないことを保証したデータである。ノード１（１０−１）は、この値をチェックすることにより、改ざんされたかどうかをチェックすることができる。
【００２４】
個別アクセス制御データ（１０−１７−１）により、４つのタイプがある。
タイプ１（２５）の個別アクセス制御データ（１０−１７−１）は、ノードデータ（１０−１８−１）とＯＳデータ（１０−１９−１）から構成され、ノードとＯＳ毎にユニークに設定される。
タイプ２（２６）の個別アクセス制御データ（１０−１７−１）は、ノード情報とＯＳ情報からシリアル番号（１，２，３・・・と順に設定する）を設定し、シリアルデータ（１０−２０−１）を格納したデータである。
【００２５】
タイプ３（２７）の個別アクセス制御データ（１０−１７−１）は、ノードデータ（１０−１８−１）、ＯＳデータ（１０−１９−１）及びチェックデータ（１０−２１−１）から構成される。ノードデータ（１０−１８−１）とＯＳデータ（１０−１９−１）は、タイプ１（２５）と同一である。チェックデータ（１０−２１−１）は、ノードデータ（１０−１８−１）とＯＳデータ（１０−１９−１）が改ざんされていないか否かをチェックするためのデータである。例えば、ノードデータ（１０−１８−１）とＯＳデータ（１０−１９−１）を加算し、３で割った時の余りを格納したデータである。
【００２６】
タイプ１（２５）からタイプ３（２７）の個別アクセス制御データ（１０−１７−１）としては、数字が使用される。これ以外にも、タイプ４（２８）として、文字を使用する場合がある。タイプ４（２８）の個別アクセス制御データ（１０−１７−１）は、タイプ１（２５）の形式でノードデータ（１０−１８−１）としてノード名を、ＯＳデータ（１０−１９−１）としてＯＳ名を格納したものである。
【００２７】
図４から図１３は、共通アクセス制御データとタイプ１（２５）からタイプ４（２８）  の個別アクセス制御データから構成されるセキュリティポリシーファイルを示す図である。
まず、タイプ１（２５）に関して、図４から図９を用いて説明する。ノードデータ（１０−１８−１）、及びＯＳデータ（１０−１９−１）として、シリアルデータ、素数の倍数、又は割り算の余りをそれぞれ使用する場合などが考えられる。
【００２８】
図４と図５は、ノードデータ（１０−１８−１）及びＯＳデータ（１０−１９−１）として、シリアルデータを使う場合であり、図６と図７は、ノードデータ（１０−１８−１）及びＯＳデータ（１０−１９−１）として、素数の倍数を使用する場合である。また、図８と図９は、ノードデータ（１０−１８−１）及びＯＳデータ（１０−１９−１）として、割り算の余りを使用する場合である。
【００２９】
まず、図４と図５は、ノードデータとＯＳデータとして、シリアル番号を設定する場合である。
ノード１（１０−１）のノードデータは（０１）、ＯＳ１（１０−１１−１）のＯＳデータは（０１）、ＯＳ２（１０−１１−２）のＯＳデータは（０２）、ＯＳ３（１０−１１−３）のＯＳデータは（０３）とされる。共通アクセス制御データとして、ｒを（０２）とする。この場合、ノード１（１０−１）、ＯＳ１（１０−１１−１）において、ＡＰ１（１０−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２０１０１）となる。
【００３０】
ノード２（１１−１）とノード３（１２−１）のセキュリティポリシーファイルも同様に説明でき、これを図４に示す。この場合、ノード２（１１−１）、ＯＳ１（１１−１１−１）において、ＡＰ１（１１−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２０２０１）となる。ノード３（１２−１）、ＯＳ１（１２−１１−１）において、ＡＰ１（１２−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２０３０１）となる。
【００３１】
また、ノード４（１３−１）からノード６（１５−１）のセキュリティポリシーファイルも同様に説明でき、これを図５に示す。この場合、ノード４（１３−１）、ＯＳ１（１３−１１−１）において、ＡＰ１（１３−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２０４０１）となる。ノード５（１４−１）、ＯＳ１（１４−１１−１）において、ＡＰ１（１４−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２０５０１）となる。ノード６（１５−１）、ＯＳ１（１５−１１−１）において、ＡＰ１（１５−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２０６０１）となる。
【００３２】
図６と図７は、ノードデータとＯＳデータとして、素数とその倍数を使用する場合である。ここでは、素数として、ノード１（１０−１）には３を、ノード２（１１−１）には５を，以下順にノード３（１２−１）には７を，ノード４（１３−１）には１１を、ノード５（１４−１）には１３を、ノード６（１５−１）には１７をそれぞれ使用する。
【００３３】
ノード１（１０−１）のファイルＡ１１（３０）のノードデータは（０３）、ファイルＢ１１（３１）のノードデータは（０６）、ファイルＣ１１（３２）のノードデータは（０９）とする。ＯＳ１（１０−１１−１）のＯＳデータは（０３）、ＯＳ２（１０−１１−２）のＯＳデータは（０６）、ＯＳ３（１０−１１−３）のＯＳデータは（０９）とする。共通アクセス制御データとして、ｒを（０２）とする。この場合、ノード１とＯＳ１において、ＡＰ１（１０−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２０６０３）となる。以下、ノードデータとＯＳデータとして、３の倍数である、６、９を使用する。
【００３４】
ノード２（１１−１）とノード３（１２−１）のセキュリティポリシーファイルも同様に説明でき、これを図６に示す。ノード２（１１−１）のファイルＡ１１（３０）のノードデータは（０５）、ファイルＢ１１（３１）のノードデータは（１０）、ファイルＣ１１（３２）のノードデータは（１５）とする。ＯＳ１（１１−１１−１）のＯＳデータは（０５）、ＯＳ２（１１−１１−２）のＯＳデータは（１０）、ＯＳ３（１１−１１−３）のＯＳデータは（１５）とする。この場合、ノード２（１１−１）、ＯＳ１（１１−１１−１）において、ＡＰ１（１１−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２１００５）となる。以下、ノードデータとＯＳデータとして、５の倍数である、１０、１５を使用する。
【００３５】
ノード３（１２−１）のファイルＡ１１（３０）のノードデータは（０７）、ファイルＢ１１（３１）のノードデータは（１４）、ファイルＣ１１（３２）のノードデータは（２１）とする。ＯＳ１（１２−１１−１）のＯＳデータは（０７）、ＯＳ２（１２−１１−２）のＯＳデータは（１４）、ＯＳ３（１２−１１−３）のＯＳデータは（２１）とする。この場合、ノード３（１２−１）、ＯＳ１（１２−１１−１）において、ＡＰ１（１２−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２１４０７）となる。以下、ノードデータとＯＳデータとして、７の倍数である、１４、２１を使用する。
【００３６】
また、ノード４（１３−１）からノード６（１５−１）のセキュリティポリシーファイルも同様に説明でき、これを図７に示す。
ノード４（１３−１）のファイルＡ１１（３０）のノードデータは（１１）、ファイルＢ１１（３１）のノードデータは（２２）、ファイルＣ１１（３２）のノードデータは（３３）とする。ＯＳ１（１３−１１−１）のＯＳデータは（１１）、ＯＳ２（１３−１１−２）のＯＳデータは（２２）、ＯＳ３（１３−１１−３）のＯＳデータは（３３）とする。この場合、ノード４（１３−１）、ＯＳ１（１３−１１−１）において、ＡＰ１（１３−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２２２１１）となる。以下、ノードデータとＯＳデータとして、１１の倍数である、２２、３３を使用する。
【００３７】
ノード５（１４−１）のファイルＡ１１（３０）のノードデータは（１３）、ファイルＢ１１（３１）のノードデータは（２６）、ファイルＣ１１（３２）のノードデータは（３９）とする。ＯＳ１（１４−１１−１）のＯＳデータは（１３）、ＯＳ２（１４−１１−２）のＯＳデータは（２６）、ＯＳ３（１４−１１−３）のＯＳデータは（３９）とする。この場合、ノード５（１４−１）、ＯＳ１（１４−１１−１）において、ＡＰ１（１４−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２２６１３）となる。以下、ノードデータとＯＳデータとして、１３の倍数である、２６、３９を使用する。
【００３８】
ノード６（１５−１）のファイルＡ１１（３０）のノードデータは（１７）、ファイルＢ１１（３１）のノードデータは（３４）、ファイルＣ１１（３２）のノードデータは（５１）とする。ＯＳ１（１５−１１−１）のＯＳデータは（１７）、ＯＳ２（１５−１１−２）のＯＳデータは（３４）、ＯＳ３（１５−１１−３）のＯＳデータは（５１）とする。この場合、ノード６（１５−１）、ＯＳ１（１５−１１−１）において、ＡＰ１（１５−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２３４１７）となる。以下、ノードデータとＯＳデータとして、１７の倍数である、３４、５１を使用する。
【００３９】
図８と図９は、ノードデータとＯＳデータは、７で割った場合の余りの数を使用する場合である。
ノード１（１０−１）では７で割った余りが１になる数（８，１５，２２…）を、ノード２（１１−１）では７で割った余りが２（９，１６，２３…）になる数を、ノード３（１２−１）では７で割った余りが３（１０，１７，２４…）になる数を、ノードデータおよびＯＳデータとしてそれぞれ使用する。
以下順に、ノード４（１３−１）では７で割った余りが４（１１，１８，２５…）になる数を、ノード５（１４−１）では７で割った余りが５（１２，１９，２６…）になる数を、ノード６（１５−１）では７で割った余りが６になる数（１３，２０，２７…）を、ノードデータおよびＯＳデータとしてそれぞれ使用する。
【００４０】
まず、ノード１（１０−１）のファイルＡ１１（３０）のノードデータは（０８）、ファイルＢ１１（３１）のノードデータは（１５）、ファイルＣ１１（３２）のノードデータは（２２）とする。ＯＳ１（１０−１１−１）のＯＳデータは（０８）、ＯＳ２（１０−１１−２）のＯＳデータは（１５）、ＯＳ３（１０−１１−３）のＯＳデータは（２２）とする。この場合、ノード１（１０−１）、ＯＳ１（１０−１１−１）において、ＡＰ１（１０−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２１５０８）となる。
【００４１】
ノード２（１１−１）とノード３（１２−１）のセキュリティポリシーファイルも同様に説明でき、これを図８に示す。
ノード２（１１−１）のファイルＡ１１（３０）のノードデータは（０９）、ファイルＢ１１（３１）のノードデータは（１６）、ファイルＣ１１（３２）のノードデータは（２３）とする。ＯＳ１（１１−１１−１）のＯＳデータは（０９）、ＯＳ２（１１−１１−２）のＯＳデータは（１６）、ＯＳ３（１１−１１−３）のＯＳデータは（２３）とする。この場合、ノード２（１１−１）、ＯＳ１（１１−１１−１）において、ＡＰ１（１１−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２１６０９）となる。
【００４２】
ノード３（１２−１）のファイルＡ１１（３０）のノードデータは（１０）、ファイルＢ１１（３１）のノードデータは（１７）、ファイルＣ１１（３２）のノードデータは（２４）とする。ＯＳ１（１２−１１−１）のＯＳデータは（１０）、ＯＳ２（１２−１１−２）のＯＳデータは（１７）、ＯＳ３（１２−１１−３）のＯＳデータは（２４）とする。この場合、ノード３（１２−１）、ＯＳ１（１２−１１−１）において、ＡＰ１（１２−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２１７１０）となる。
【００４３】
また、ノード４（１３−１）からノード６（１５−１）のセキュリティポリシーファイルも同様に説明でき、これを図９に示す。
ノード４（１３−１）のファイルＡ１１（３０）のノードデータは（１１）、ファイルＢ１１（３１）のノードデータは（１８）、ファイルＣ１１（３２）のノードデータは（２５）とする。ＯＳ１（１３−１１−１）のＯＳデータは（１１）、ＯＳ２（１３−１１−２）のＯＳデータは（１８）、ＯＳ３（１３−１１−３）のＯＳデータは（２５）とする。この場合、ノード４（１３−１）、ＯＳ１（１３−１１−１）において、ＡＰ１（１３−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２１８１１）となる。
【００４４】
ノード５（１４−１）のファイルＡ１１（３０）のノードデータは（１２）、ファイルＢ１１（３１）のノードデータは（１９）、ファイルＣ１１（３２）のノードデータは（２６）とする。ＯＳ１（１４−１１−１）のＯＳデータは（１２）、ＯＳ２（１４−１１−２）のＯＳデータは（１９）、ＯＳ３（１４−１１−３）のＯＳデータは（２６）とする。この場合、ノード５（１４−１）、ＯＳ１（１４−１１−１）において、ＡＰ１（１４−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２１９１２）となる。
【００４５】
ノード６（１５−１）のファイルＡ１１（３０）のノードデータは（１３）、ファイルＢ１１（３１）のノードデータは（２０）、ファイルＣ１１（３２）のノードデータは（２７）とする。ＯＳ１（１５−１１−１）のＯＳデータは（１３）、ＯＳ２（１５−１１−２）のＯＳデータは（２０）、ＯＳ３（１５−１１−３）のＯＳデータは（２７）とする。この場合、ノード６（１５−１）、ＯＳ１（１５−１１−１）において、ＡＰ１（１５−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２２０１３）となる。
【００４６】
これ以降、タイプ２（２６）からタイプ４（２８）の個別アクセス制御データ（１０−１７−１）について説明する。ここでは、ノード１（１０−１）からノード３（１２−１）の個別アクセス制御データ（１０−１７−１）の説明のみするが、同様にノード４（１３−１）からノード６（１５−１）の個別アクセス制御データ（１０−１７−１）も、同様に説明できるので、その説明を省略する。
【００４７】
図１０はタイプ２の個別アクセス制御データ（１０−１７−１）を説明する図である。図４から図９に示したタイプ１（２５）では、個別アクセス制御データを、ノードデータとＯＳデータに分割する場合を説明した。図１０に示すタイプ２（２６）の個別アクセス制御データ（１０−１７−１）では、個別アクセス制御データを１つにして、個別アクセス制御データにシリアル番号（０１，０２、・・・）を設定する方式である。
【００４８】
ノード１（１０−１）、ＡＰ１（１０−１５−１）、ファイルＡ１１（３０）のシリアルデータは（０１）、共通アクセス制御データはｒｗが（０１）なので、セキュリティポリシーファイルは（０１０１）となる。以下順に、共通アクセス制御データはｒが（０２）、ファイルＢ１１（３１）のシリアルデータは（０２）なので、セキュリティポリシーファイルは（０２０２）となる。共通アクセス制御データはｎが（０３）、ファイルＣ１１（３２）のシリアルデータは（０３）なので、セキュリティポリシーファイルは（０３０３）となる。
【００４９】
ノード１（１０−１）、ＡＰ２（１１−１５−２）、ファイルＡ１１（３０）のシリアルデータは（０４）、共通アクセス制御データはｎが（０３）なので、セキュリティポリシーファイルは（０３０４）となる。以下順に、共通アクセス制御データはｒｗが（０１）、ファイルＢ１１（３１）のシリアルデータは（０５）なので、セキュリティポリシーファイルは（０１０５）となる。共通アクセス制御データはｒが（０２）、ファイルＣ１１（３２）のシリアルデータは（０６）なので、セキュリティポリシーファイルは（０２０６）となる。
【００５０】
ノード１（１０−１）、ＡＰ３（１１−１５−３）、ファイルＡ１１（３０）のシリアルデータは（０７）、共通アクセス制御データはｒが（０２）なので、セキュリティポリシーファイルは（０２０７）となる。以下順に、共通アクセス制御データはｎが（０３）、ファイルＢ１１（３１）のシリアルデータは（０８）なので、セキュリティポリシーファイルは（０３０８）となる。共通アクセス制御データはｒｗが（０１）、ファイルＣ１１（３２）のシリアルデータは（０９）なので、セキュリティポリシーファイルは（０１０９）となる。
【００５１】
ノード２（１１−１）ではシリアル番号は（１１）から開始する。ノード２（１１−１）、ＡＰ１（１１−１５−１）、ファイルＡ１１（３０）のシリアルデータは（１１）、セキュリティポリシーファイルは（０１１１）となる。以下順に、ファイルＢ１１（３１）のシリアルデータは（１２）なので、セキュリティポリシーファイルは（０２１２）となる。ファイルＣ１１（３２）のシリアルデータは（１３）なので、セキュリティポリシーファイルは（０３１３）となる。
【００５２】
ノード２（１１−１）、ＡＰ２（１１−１５−２）、ファイルＡ１１（３０）のシリアルデータは（１４）、セキュリティポリシーファイルは（０３１４）となる。以下順に、ファイルＢ１１（３１）のシリアルデータは（１５）なので、セキュリティポリシーファイルは（０１１５）となる。ファイルＣ１１（３２）のシリアルデータは（１６）なので、セキュリティポリシーファイルは（０２１６）となる。
【００５３】
ノード２（１１−１）、ＡＰ３（１１−１５−３）、ファイルＡ１１（３０）のシリアルデータは（１７）、セキュリティポリシーファイルは（０２１７）となる。以下順に、ファイルＢ１１（３１）のシリアルデータは（１８）なので、セキュリティポリシーファイルは（０３１８）となる。ファイルＣ１１（３２）のシリアルデータは（１９）なので、セキュリティポリシーファイルは（０１１９）となる。
【００５４】
ノード３（１２−１）ではシリアル番号は（２１）から開始する。ノード３（１２−１）、ＡＰ１（１１−１５−１）、ファイルＡ１１（３０）のシリアルデータは（２１）となり、セキュリティポリシーファイルは（０１２１）となる。以下順に、ファイルＢ１１（３１）のシリアルデータは（２２）なので、セキュリティポリシーファイルは（０２２２）となる。ファイルＣ１１（３２）のシリアルデータは（２３）なので、セキュリティポリシーファイルは（０３２３）となる。
【００５５】
ノード３（１２−１）、ＡＰ２（１１−１５−２）、ファイルＡ１１（３０）のシリアルデータは（２４）、セキュリティポリシーファイルは（０３２４）となる。以下順に、ファイルＢ１１（３１）のシリアルデータは（２５）なので、セキュリティポリシーファイルは（０１２５）となる。ファイルＣ１１（３２）のシリアルデータは（２６）なので、セキュリティポリシーファイルは（０２２６）となる。
【００５６】
ノード３（１２−１）、ＡＰ３（１１−１５−３）、ファイルＡ１１（３０）のシリアルデータは（２７）となるので、セキュリティポリシーファイルは（０２２７）となる。以下順に、ファイルＢ１１（３１）のシリアルデータは（２８）なので、セキュリティポリシーファイルは（０３２８）となる。ファイルＣ１１（３２）のシリアルデータは（２９）なので、セキュリティポリシーファイルは（０１２９）となる。
これにより、シリアルデータはユニークに設定できる。
【００５７】
図１１はタイプ３の個別アクセス制御データ（１０−１７−１）を説明する。ここでは、図３に示したようにノードデータ（１０−１８−１）とＯＳデータ（１０−１９−１）の他に、新たにチェックデータ（１０−２１−１）を設ける。このチェックデータ（１０−２１−１）には、ノードデータとＯＳデータが正しいということを保証するために、３で割った時の余りの数字を格納する。従って、図１１の個別アクセス制御データ（１０−１７−１）は図４の個別アクセス制御データ（１０−１７−１）にチェックデータ（１０−２１−１）を付加したものとなる。
【００５８】
ノード１（１０−１）のノードデータは（０１）、ＯＳ１（１０−１１−１）のＯＳデータは（０１）とする。共通アクセス制御データ（１０−１６−１）として、ｒｗを（０１）とする。この場合のチェックデータ（１０−２１−１）は、共通アクセス制御データ（０１）、ノードデータは（０１）とＯＳデータ（０１）の和を３で割った余りとするため、（００）となる。この場合、ノード１（１０−１）、ＯＳ１（１０−１１−１）において、ＡＰ１（１０−１５−１）のファイルＡ１１（３０）に対するセキュリティポリシーファイル（０１０１０１００）となる。
【００５９】
以下、同様に、ファイルＢ１１（３１）の共通アクセス制御データ（０２）、ノードデータ（０１）とＯＳデータ（０１）の和を３で割った余りは（０１）なので、セキュリティポリシーファイルは（０２０１０１０１）と算出される。ファイルＣ１１（３２）の共通アクセス制御データ（０３）、ノードデータ（０１）とＯＳデータ（０１）の和を３で割った余りは（０２）なので、セキュリティポリシーファイルは（０３０１０１０２）となる。
【００６０】
ノード１（１０−１）、ＯＳ２（１０−１１−２）において、ＡＰ２（１０−１５−２）のファイルＡ１１（３０）の共通アクセス制御データ（０３）、ノードデータ（０１）とＯＳデータ（０２）の和を３で割った余りは（００）なので、に対するセキュリティポリシーファイル（０３０１０２００）となる。以下、同様に、ファイルＢ１１（３１）の共通アクセス制御データ（０１）、ノードデータ（０１）とＯＳデータ（０２）の和を３で割った余りは（０１）なので、セキュリティポリシーファイルは（０１０１０２０１）と算出される。ファイルＣ１１（３２）の共通アクセス制御データ（０２）、ノードデータ（０１）とＯＳデータ（０２）の和を３で割った余りは（０２）なので、セキュリティポリシーファイルは（０２０１０２０２）となる。
【００６１】
ノード１（１０−１）、ＯＳ３（１０−１１−３）において、ＡＰ３（１０−１５−３）のファイルＡ１１（３０）  の共通アクセス制御データ（０２）、ノードデータ（０１）とＯＳデータ（０３）の和を３で割った余りは（００）なので、に対するセキュリティポリシーファイル（０２０１０３００）となる。ファイルＢ１１（３１）の共通アクセス制御データ（０３）、ノードデータ（０１）とＯＳデータ（０３）の和を３で割った余りは（０１）なので、セキュリティポリシーファイルは（０３０１０３０１）となる。ファイルＣ１１（３２）の共通アクセス制御データ（０１）、ノードデータ（０１）とＯＳデータ（０３）の和を３で割った余りは（０２）なので、セキュリティポリシーファイルは（０１０１０３０２）となる。
【００６２】
同様に、ノード２（１１−１）、ＯＳ１（１１−１１−１）において、ＡＰ１（１１−１５−１）のファイルＡ１１（３０）に対するセキュリティポリシーファイル（０１０２０１０１）と算出される。ファイルＢ１１（３１）のセキュリティポリシーファイルは（０２０２０１０２）となる。ファイルＣ１１（３２）のセキュリティポリシーファイルは（０３０２０１００）となる。
【００６３】
ノード２（１１−１）、ＯＳ２（１１−１１−２）において、ＡＰ２（１１−１５−２）のファイルＡ１１（３０）のセキュリティポリシーファイルは（０３０２０２０１）となる。ファイルＢ１１（３１）のセキュリティポリシーファイルは（０１０２０２０２）となる。ファイルＣ１１（３２）のセキュリティポリシーファイルは（０２０２０２００）となる。
【００６４】
ノード２（１１−１）、ＯＳ３（１１−１１−３）において、ＡＰ３（１１−１５−３）のファイルＡ１１（３０）のセキュリティポリシーファイルは（０２０２０３０１）となる。ファイルＢ１１（３１）のセキュリティポリシーファイルは（０３０２０３０２）となる。ファイルＣ１１（３２）のセキュリティポリシーファイルは（０１０２０３００）となる。
【００６５】
ノード３（１２−１）、ＯＳ１（１２−１１−１）において、ＡＰ１（１２−１５−１）のファイルＡ１１（３０）に対するセキュリティポリシーファイル（０１０３０１０２）となる。ファイルＢ１１（３１）のセキュリティポリシーファイルは（０２０３０１００）となる。ファイルＣ１１（３２）のセキュリティポリシーファイルは（０３０３０１０１）となる。
【００６６】
ノード３（１２−１）、ＯＳ２（１２−１１−２）において、ＡＰ２（１２−１５−２）のファイルＡ１１（３０）  のセキュリティポリシーファイルは（０３０３０２０２）となる。ファイルＢ１１（３１）のセキュリティポリシーファイルは（０１０３０２００）となる。ファイルＣ１１（３２）のセキュリティポリシーファイルは（０２０３０２０１）となる。
【００６７】
ノード３（１２−１）、ＯＳ３（１２−１１−３）において、ＡＰ３（１２−１５−３）のファイルＡ１１（３０）のセキュリティポリシーファイルは（０２０３０３０２）となる。ファイルＢ１１（３１）のセキュリティポリシーファイルは（０３０３０３００）となる。ファイルＣ１１（３２）のセキュリティポリシーファイルは（０１０３０３０１）となる。
これにより、個別アクセス制御データ（１０−１７−１）はユニークに設定できる。
【００６８】
図１２は、タイプ４の個別アクセス制御データ（１０−１７−１）を説明するための図である。ここでは、ノードデータとＯＳデータに文字を使用する。図３に示したノードデータ（１０−１８−１）はコンピュータのマシン名を、ＯＳデータはＯＳ名を使用する場合である。ここでは、ノードデータ（１０−１８−１）について、ノード１（１０−１）はＮＯＤＥ−Ａ、ノード２（１１−１）はＮＯＤＥ−Ｂ、ノード３（１２−１）はＮＯＤＥ−Ｃと順に設定する。ＯＳデータ（１０−１９−１）は、ＯＳ１はＯＳ−Ａ、ＯＳ２はＯＳ−Ｂ、ＯＳ３はＯＳ−Ｃと順に設定する。
【００６９】
このノードデータとＯＳデータの文字と共通アクセス制御データ（１０−１６−１）の数字（０１，０２，０３）を組み合わせて使用することにより、個別アクセス制御データをユニークな値にすることを保証することができる。
【００７０】
ノード１（１０−１）のノードデータは（ＮＯＤＥ−Ａ）、ＯＳ１（１０−１１−１）のＯＳデータは（ＯＳ−Ａ）とする。共通アクセス制御データとして、ｒを（０２）とする。この場合、ノード１（１０−１）、ＯＳ１（１０−１１−１）において、ＡＰ１（１０−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２−ＮＯＤＥ−Ａ−ＯＳ−Ａ２）となる。ノード１（１０−１）、ＯＳ２（１０−１１−２）において、ＡＰ２（１０−１５−２）のファイルＣ１１（３２）に対するセキュリティポリシーファイルは（０２−ＮＯＤＥ−Ａ−ＯＳ−Ｂ３）となる。ノード１（１０−１）、ＯＳ３（１０−１１−３）において、ＡＰ３（１０−１５−３）のファイルＡ  １１（３０）に対するセキュリティポリシーファイルは（０２−ＮＯＤＥ−Ａ−ＯＳ−Ｃ１）となる。
【００７１】
ノード２（１１−１）とノード３（１２−１）のセキュリティポリシーファイルも同様に説明できる。
ノード２（１１−１）のノードデータは（ＮＯＤＥ−Ｂ）、ＯＳ１（１１−１１−１）のＯＳデータは（ＯＳ−Ａ）とする。共通アクセス制御データとして、ｒを（０２）とする。この場合、ノード２（１１−１）、ＯＳ１（１１−１１−１）において、ＡＰ１（１１−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２−ＮＯＤＥ−Ｂ−ＯＳ−Ａ２）となる。ノード２（１１−１）、ＯＳ２（１１−１１−２）において、ＡＰ２（１１−１５−２）のファイルＣ１１（３２）に対するセキュリティポリシーファイルは（０２−ＮＯＤＥ−Ｂ−ＯＳ−Ｂ３）となる。ノード２（１１−１）、ＯＳ３（１１−１１−３）において、ＡＰ３（１１−１５−３）のファイルＡ１１（３０）に対するセキュリティポリシーファイルは（０２−ＮＯＤＥ−Ｂ−ＯＳ−Ｃ１）となる。
【００７２】
ノード３（１２−１）のノードデータは（ＮＯＤＥ−Ｃ）、ＯＳ１（１２−１１−１）のＯＳデータは（ＯＳ−Ａ）とする。共通アクセス制御データとして、ｒを（０２）とする。この場合、ノード２（１１−１）、ＯＳ１（１２−１１−１）において、ＡＰ１（１２−１５−１）のファイルＢ１１（３１）に対するセキュリティポリシーファイルは（０２−ＮＯＤＥ−Ｃ−ＯＳ−Ａ２）となる。ノード３（１２−１）、ＯＳ２（１２−１１−２）において、ＡＰ２（１２−１５−２）のファイルＣ１１（３２）に対するセキュリティポリシーファイルは（０２−ＮＯＤＥ−Ｃ−ＯＳ−Ｂ３）となる。ノード３（１２−１）、ＯＳ３（１２−１１−３）において、ＡＰ３（１２−１５−３）のファイルＡ  １１（３０）に対するセキュリティポリシーファイルは（０２−ＮＯＤＥ−Ｃ−ＯＳ−Ｃ１）となる。
【００７３】
図１３は多数決処理の処理概要を示す図である。
図１３において、まず、ノード１（１０−１）が、ノード２（１１−１）からノード６（１５−１）に対して、セキュリティポリシーファイル（１０−１２−１）を書き込む処理について説明する。ノード１（１０−１）は、ノード２（１１−１）と認証処理（処理４０−０）を行い、ノード２（１１−１）にセキュリティポリシーファイル（１０−１２−１）を送信し、ノード２（１１−１）にセキュリティポリシーファイル（１１−１２−１）を書き込む（処理４１−０）。
【００７４】
同様に、ノード１（１０−１）は、ノード６（１５−１）と認証処理（処理４０−１）を行い、ノード６（１５−１）にセキュリティポリシーファイル（１０−１２−１）を送信し、ノード６（１５−１）にセキュリティポリシーファイル（１２−１２−１）を書き込む（処理４１−１）。
【００７５】
次に、ノード１（１０−１）が、セキュリティポリシーファイル（１０−１２−１）を読み出す場合について説明する。ノード１（１０−１）は、自身のセキュリティポリシーファイル（１０−１２−１）を読み出す。これと並行して、ノード１（１０−１）は、ノード２（１１−１）からノード６（１５−１）  に対して、セキュリティポリシーファイルを要求する。
【００７６】
ノード１（１０−１）は、ノード２（１１−１）からセキュリティポリシーファイル（１１−１２−１）を受信する（処理４２−０）。同様に、ノード１（１０−１）は、ノード６（１５−１）からセキュリティポリシーファイル（１５−１２−１）を受信する（処理４２−１）。
【００７７】
そして、ノード１（１０−１）は、セキュリティポリシーファイル（１１−１２−１）・・・（１５−１２−１）を用いて、項目毎に多数決処理を実行する（処理４３）。ノード１（１０−１）は、多数決の結果を正常な値として、アクセス制御を行う（処理４４）。ノード１（１０−１）は、セキュリティポリシーファイルの値が異なっていれば、正しい値に修正する。
【００７８】
図１４はセキュリティポリシーファイルの改ざん状況を示す例である。これまでに、いくつかの個別アクセス制御データを説明した。これ以降、図４、図５に示したように、タイプ１（２５）で、ノードデータとＯＳデータにシリアル番号を設定する場合を前提にして説明する。
【００７９】
図１４において、ノード５０としてノード１（１０−１）からノード６（１５−１）、ＯＳ５１としてＯＳ  １（１０−１１−１）、正常な値５２の共通アクセス制御データ５３がｒｅａｄの場合、個別アクセス制御データ５４は（０２０１０１）、（０２０２０１）、（０２０３０１）、（０２０４０１）、（０２０５０１）、（０２０６０１）である。実際の値５５の共通アクセス制御データ５６がｒｅａｄの場合、個別アクセス制御データ５７は（０２０１０１）、（０２０２０１）、（０３０４０１）、（０３０４１０）、（ＦＦＦＦＦＦ）、（ＦＦＦＦＦＦ）である。
【００８０】
このとき、ノード１（１０−１）は、改ざん状況５８に示すように、ノード１（１０−１）とノード２（１１−１）の個別アクセス制御データ５７は改ざんされていないと判定する。また、ノード１（１０−１）は、改ざん状況５８に示すように、ノード３（１２−１）の個別アクセス制御データ５７は（０３０４０１）に改ざんされているが、改ざん検出５９に示すように、正常値の範囲内であることから改ざんが検出できないため、後述するように多数決処理により改ざんされていると判定する。
【００８１】
また、ノード１（１０−１）は、改ざん状況５８に示すように、ノード４（１３−１）  の個別アクセス制御データ５７は（０３０４１０）に改ざんされており、ノード５（１４−１）とノード６（１５−１）は（ＦＦＦＦＦＦ）に改ざんされているため、改ざん検出５９に示すように、正常値の範囲外であるから改ざんが検出できるため、後述するように多数決処理から外して改ざんされていると判定する。
【００８２】
図１５は改ざん状況に応じた多数決処理を示す図である。
図１５において、まず、ノード１（１０−１）は、ノード５（１４−１）とノード６（１５−１）の個別アクセス制御データは共に（ＦＦＦＦＦＦ）に改ざんされていることを検出する。すなわち、ノード５（１４−１）とノード６（１５−１）の個別アクセス制御データは、共に（ＦＦＦＦＦＦ）であるが、個別アクセス制御データとして同一の値が２つ存在することは禁止されている。この個別アクセス制御データに同一の値が２つ以上存在しないことが第１の判定基準となる。ここでは、ノード１（１０−１）は、ノード５（１４−１）とノード６（１５−１）の個別アクセス制御データは同一の値であるため、判定基準を満たさないことから、ノード５（１４−１）とノード６（１５−１）は、改ざんされていると判定する（処理８５と８６）。
【００８３】
次に、ノード１（１０−１）は、ノード４（１３−１）の個別アクセス制御データが（０２０４０１）から（０３０４１０）に改ざんされていることを検出する。具体的には、ノード１（１０−１）は、ノードデータ（１０−１８−１）とＯＳデータ（１０−１９−１）が正常値の範囲内にあるかどうかをチェックする。このノードデータとＯＳデータが正常値の範囲内にあることが第２の判定基準となる。この場合、ノードデータ（１０−１８−１）は０４と正常値の範囲内であるが、ＯＳデータ（１０−１９−１）は１０と正常値の範囲外なので、ノード１（１０−１）は、ノード４（１３−１）の個別アクセス制御データが改ざんされていると判定する（処理８４）。
【００８４】
この結果、ノード４からノード６の個別アクセス制御データが改ざんされていることが検出されたので、ノード１（１０−１）はこの改ざんされた個別アクセス制御データを多数決の対象からはずす（処理８７）。
次に、ノード１（１０−１）は、ノード３（１２−１）  の個別アクセス制御データが（０２０３０１）から（０３０４０１）に改ざんされていることを検出する。そして、ノード１（１０−１）は、ノードデータ（１０−１８−１）とＯＳデータ（１０−１９−１）が正常値の範囲内にあるかどうかをチェックする。しかし、この場合、ノード１（１０−１）は、ノードデータは（０３）と正常値の範囲内であり、ＯＳデータも（０１）と正常値の範囲内なので、ノード３（１２−１）  の個別アクセス制御データは改ざんされているが未検出であると判定する（処理８２）。
【００８５】
また、ノード１（１０−１）は、ノード１（１０−１）とノード２（１１−１）のノードデータとＯＳデータは正常値の範囲内にあり、改ざんされていないと判定する（処理８０と８１）。
そこで、ノード１（１０−１）は、ノード１（１０−１）、ノード２（１１−１）及びノード３（１２−１）の個別アクセス制御データ、及び共通アクセス制御データを用いて多数決をとる（処理８３）。ここで、ノード１（１０−１）とノード２（１１−１）の共通アクセス制御データはｒ（０２）であり、ノード３（１２−１）の共通アクセス制御データはｎｏｎｅ（０３）であるので、ノード１（１０−１）は、ノード１（１０−１）、ノード２（１１−１）及びノード３（１２−１）による多数決の結果、ｒ（０２）が正常値であると判定する。
ここまで、改ざんの検出方法として、ノード１がノード２からノード６を一括してチェックするために正常値の範囲内ならば、改ざんされていないと判定していた。更に、改ざん検出の精度を向上するために、ノード１はノード２からノード６の個別アクセス制御データを記憶しておき、ノード１はノード２からノード６に対して、セキュリティポリシーファイルの個別アクセス制御データを記憶しておき、セキュリティポリシーデータを読み出した時に、それぞれが一致するかどうかをチェックする。そして、これらが一致すれば、セキュリティポリシーファイルは改ざんされていないと判定し、一致しなければ改ざんされたと判定する。
【００８６】
以下、図１６以降に詳細な処理手順を示す。
図１６から図１８を用いて、ノード１が、ノード２からノード６に対して、セキュリティポリシーファイルを送信する処理について説明する。
図１６と図１７は、ノード１（１０−１）がノードデータとＯＳデータから個別アクセス制御データを算出し、共通アクセス制御データとともに、ノード２（１１−１）からノード６（１５−１）に送信し、これらのノード２〜６がそのままセキュリティポリシーファイルとして設定する場合である。
【００８７】
図１６は、ノード１がノードデータとＯＳデータと共通アクセス制御データを送信し、ノード２からノード６がノードデータとＯＳデータから個別アクセス制御データを算出し、ノード１から送信された共通アクセス制御データとともに、セキュリティポリシーファイルを設定する場合を示した図である。
言い換えると、図１６は、セキュリティポリシーファイルとして、共通アクセス制御データと個別アクセス制御データの送信処理を示す図である。
【００８８】
図１６において、ノード１（１０−１）は、セキュリティポリシーファイルの更新が発生すると、あるいはセキュリティポリシーファイルの有効時間切れになると（処理Ｔ１００）、多数決処理を実行禁止とする（処理Ｔ１０１）。そして、ノード１（１０−１）は、ノード２（１１−１）からノード６（１５−１）にセキュリティポリシーファイルとして送信するための個別アクセス制御データを計算する（処理Ｔ１０２）。更に、ノード１（１０−１）は、ノード２（１１−１）からノード６（１５−１）に共通アクセス制御データ（１０−１６−１）と個別アクセス制御データ（１０−１７−１）を送信する（処理Ｔ１０３）。これらの制御データによりセキュリティポリシーファイルが構成される。
【００８９】
ノード２（１１−１）からノード６（１５−１）は、それぞれ、ノード１（１０−１）から共通アクセス制御データ（１０−１６−１）と個別アクセス制御データ（１０−１７−１）を受信する（処理Ｔ１１０、Ｔ１１１）。ノード２（１１−１）からノード６（１５−１）は、受信した共通アクセス制御データ（１０−１６−１）と個別アクセス制御データ（１０−１７−１）をチェックする。チェック処理の結果が正常ならば、ノード２（１１−１）からノード６（１５−１）は、セキュリティポリシーファイルの自ノードへの書き込みを行う（処理Ｔ１２０、Ｔ１２１）。この内容の詳細については、図１７に基づいて後述する。最後に、ノード２（１１−１）からノード６（１５−１）は、書き込み完了を、ノード１（１０−１）に通知する。
【００９０】
ノード１（１０−１）は、セキュリティポリシーファイルの書き込み完了を受信すると（処理１３０）、多数決処理の禁止を解除し（処理１３１）、多数決処理の開始を可能とする。
【００９１】
図１７は、セキュリティポリシーファイルのチェックと書き込み処理の詳細な処理内容を示すフロー図である。すなわち、図１７は、図１６に示した処理Ｔ１２０、Ｔ１２１の詳細処理を示すものである。
図１７において、ノード２（１１−１）からノード６（１５−１）は、ノード１（１０−１）からのセキュリティポリシーデータであるか否かを判断する（処理Ｓ１５０）。具体的には、ノード２（１１−１）からノード６（１５−１）は、それぞれの認証部（１１−１４−１、１２−１４−１）が、ノード１（１０−１）からセキュリティポリシーデータを受信したかどうかチェックする。
【００９２】
判断処理Ｓ１５０でノード１（１０−１）からのセキュリティポリシーデータでなければ、ノード２（１１−１）からノード６（１５−１）は、ノード１（１０−１）にセキュリティポリシーデータの再送を要求する（処理Ｓ１５１）。
【００９３】
判断処理Ｓ１５０でノード１（１０−１）からのセキュリティポリシーデータであると判断された場合、ノード２（１１−１）からノード６（１５−１）は、セキュリティポリシーデータに更新発生があるか否かを判断する（処理Ｓ１６０）。具体的には、ノード２（１１−１）からノード６（１５−１）は、セキュリティポリシーデータに更新発生があるか、あるいはセキュリティポリシーデータの有効時間切れかを判定する。
【００９４】
判断処理Ｓ１６０でセキュリティポリシーデータの更新発生の場合（処理１６１）、ノード２（１１−１）からノード６（１５−１）は、セキュリティポリシーファイルの共通アクセス制御データを自ノードに書き込み（処理Ｓ１８０）、更に、セキュリティポリシーファイルの個別アクセス制御データを自ノードに書き込む処理をする（処理Ｓ１８１）。
【００９５】
判断処理Ｓ１６０でセキュリティポリシーデータが有効時間切れの場合（処理１６２）、ノード２（１１−１）からノード６（１５−１）は、有効時間切れのセキュリティポリシーデータを前回のものと比較し（処理Ｓ１７０）、比較処理Ｓ１７０で有効時間切れのセキュリティポリシーデータが前回のものと一致していれば（処理１７２）、改ざんは発生していないと判定し、セキュリティポリシーファイルの共通アクセス制御データを自ノードに書き込み（処理Ｓ１８０）、更に、セキュリティポリシーファイルの個別アクセス制御データを自ノードに書き込む（処理Ｓ１８１）。
【００９６】
しかし、比較処理Ｓ１７０で有効時間切れのセキュリティポリシーデータが前回のものと一致していなければ（処理１７１）、ノード２（１１−１）からノード６（１５−１）は、改ざんありを改ざん管理テーブルに設定し（処理Ｓ１７３）、改ざん発生をコンソールに通知する（処理Ｓ１７４）。
【００９７】
図１８は、セキュリティポリシーファイルとして、共通アクセス制御データとノードデータとＯＳデータを送信し、受信側ノードが個別アクセス制御データの生成処理を示す図である。
【００９８】
図１８において、ノード１（１０−１）は、セキュリティポリシーファイルの更新が発生するか、あるいはセキュリティポリシーファイルの有効時間切れになると（処理Ｔ２００）、多数決処理を実行禁止とする（処理Ｔ２０１）。そして、ノード１（１０−１）は、ノード２（１１−１）からノード６（１５−１）にセキュリティポリシーファイルとして送信するための共通アクセス制御データとノードデータとＯＳデータを計算する。そして、ノード１（１０−１）は、ノード２（１１−１）からノード６（１５−１）に対してノードデータとＯＳデータを送信する（処理Ｔ２０２）。これらのデータから、ノード２（１１−１）からノード６（１５−１）のセキュリティポリシーファイルとして必要とされる共通アクセス制御データと個別アクセス制御データが計算される。
【００９９】
ノード２（１１−１）からノード６（１５−１）は、それぞれ、ノード１（１０−１）から共通アクセス制御データとノードデータとＯＳデータを受信する（処理Ｔ２１０、Ｔ２１１）。ノード２（１１−１）からノード６（１５−１）は、受信したノードデータとＯＳデータから個別アクセス制御データを算出する。ノード２（１１−１）からノード６（１５−１）は、それぞれセキュリティポリシーファイルをチェックする。ノード２（１１−１）からノード６（１５−１）は、チェック処理の結果が正常ならば、セキュリティポリシーファイルの自ノードへの書き込みを行う（処理Ｔ２２０、Ｔ２２１）。最後に、ノード２（１１−１）からノード６（１５−１）は、書き込み完了を、ノード１（１０−１）に通知する。
【０１００】
ノード１（１０−１）は、セキュリティポリシーファイルの書き込み完了を受信すると（処理Ｔ２３０）、多数決処理の禁止を解除し（処理Ｔ２３１）、多数決処理を開始可能とする。
【０１０１】
図１９は、改ざん管理テーブルである。この改ざん管理テーブル９０は、各ノード９１のＯＳ９２毎に、改ざんが発生したかどうかを示す改ざん状況９３を管理するためのテーブルである。
次に、図２０から図２２を用いてセキュリティポリシーファイルの多数決処理について詳細に説明する。
【０１０２】
図２０は、セキュリティポリシーファイルの多数決処理を示す図である。
図２０において、ノード１（１０−１）は、ファイルのアクセス要求があると、多数決処理を起動する（処理Ｔ３００）。ノード１（１０−１）は、セキュリティポリシーファイルの読み出しを要求する（処理Ｔ３０１）。
【０１０３】
ノード２（１１−１）からノード６（１５−１）は、それぞれセキュリティポリシーファイルをノード１（１０−１）に送信する（処理Ｔ３１０）。ノード１（１０−１）は、セキュリティポリシーファイルを受信する（処理Ｔ３２０）。ノード１（１０−１）は、受信したセキュリティポリシーファイルの異常検出を行い（処理Ｔ３２１）、異常検出されたセキュリティポリシーファイルを除いた正常のセキュリティポリシーファイルの多数決処理をする（処理Ｔ３２２）。最後に、ノード１（１０−１）は、ファイルのアクセスを行う（処理Ｔ３２３）。
【０１０４】
次に、図２１と図２２を用いて、アクセス制御の全体の処理手順について説明する。まず、図２１において、ノード１（１０−１）は、ファイルへのアクセスを要求する（処理  Ｓ３００）。ノード１（１０−１）は、ノード２（１１−１）からノード６（１５−１）に対してセキュリティポリシーファイルの読み出しを要求する（処理Ｓ３０１）。これと並行して、ノード１（１０−１）は、ノード１（１０−１）のセキュリティポリシーファイル（１０−１２−１）を読み出す（処理Ｓ３１０）。
【０１０５】
ノード１（１０−１）は、自ノードのセキュリティポリシーファイル（１０−１２−１）の中で該当するファイルにアクセス権が許可されているか否かを判断する（処理Ｓ３１１）。判断処理Ｓ３１１でアクセス権が許可されている場合、ノード１（１０−１）はファイルをバッファに読み出し（処理Ｓ３１２）、ノード２（１１−１）からノード６（１５−１）からのセキュリティポリシーファイルの読み出しの応答を待つ（処理Ｓ３１３）。
【０１０６】
そしてノード１（１０−１）は、ノード２（１１−１）〜ノード６（１５−１）からのセキュリティポリシーファイルを受信すると、受信したセキュリティポリシーファイルの全項目の多数決処理を行う（処理Ｓ３２０）。
【０１０７】
ノード１（１０−１）は、多数決処理の結果、該当するファイルのアクセス権が許可されているか否かを判断する（処理Ｓ３２１）。つまり、該当するファイルの読み出しが可能であるかどうかを判断する。判断処理Ｓ３２１でアクセス権が許可されているならば、ファイルを読み出す（処理Ｓ３２２）。この場合、ノード１（１０−１）は、既にバッファにファイルがあればバッファから読み出し、バッファにファイルがなければ、ディスク（１０−７）から読み出す。判断処理Ｓ３２１で該当するファイルのアクセス権が許可されていない場合、ファイルの読み出し不可をコンソール２１に通知する（処理Ｓ３２３）。
【０１０８】
図２２は、多数決処理の処理手順を示すフロー図である。図２２は、図２１に示した処理Ｓ３２０の詳細処理を示すものである。
図２２において、まず、ノード１（１０−１）は、セキュリティポリシーファイルの共通アクセス制御データを読み出す（処理Ｓ４００）。次に、ノード１（１０−１）は、ファイルの個別アクセス制御データを読み出す（処理Ｓ４０１）。更に、ノード１（１０−１）は、改ざん管理テーブルの参照し、セキュリティポリシーファイルが改ざんされているか否かを判断する（処理Ｓ４０５）。
【０１０９】
判断処理Ｓ４０５でセキュリティポリシーファイルが改ざんされていないと判断されたとき、ノード１（１０−１）は、個別アクセス制御データに関して、同一の値が複数あるか否かを判断する（処理Ｓ４１０）。そしてこの判断処理Ｓ４１０で個別アクセス制御データに関して同一の値が複数あれば、セキュリティポリシーファイルが改ざんされていると判定する（処理Ｓ４２５）。このとき、ノード１（１０−１）は、セキュリティポリシーファイルの改ざん状況を改ざん管理テーブルに設定する。
【０１１０】
更に、判断処理Ｓ４１０で個別アクセス制御データに関して同一の値が複数ないとき、続いて、ノード１（１０−１）は、個別アクセス制御データが正常値の範囲内にあるか否かを判断する（処理Ｓ４２０）。判断処理Ｓ４２０で個別アクセス制御データが正常値の範囲外にあれば、ノード１（１０−１）は、セキュリティポリシーファイルが改ざんされていると判定し、セキュリティポリシーファイルの改ざん状況を改ざん管理テーブルに設定する（処理Ｓ４２５）。
【０１１１】
具体的には、ノードデータが０１〜０６、かつＯＳデータが０１〜０３ならば、セキュリティポリシーファイルの改ざんなしと判定し、それ以外ならば、セキュリティポリシーファイルの改ざんありと判定する。他のタイプの判定方法は、図２３に示す。
【０１１２】
判断処理Ｓ４０５でセキュリティポリシーファイルが改ざんされているとき、処理Ｓ４２５でセキュリティポリシーファイルが改ざんされていると判定されたとき、及び判断処理Ｓ４２０で個別アクセス制御データが正常値の範囲内にあると判断されたとき、ノード１（１０−１）は改ざんされているセキュリティポリシーファイルを多数決の対象メンバからはずす（処理Ｓ４３０）。そして、ノード１（１０−１）は多数決処理のため、多数決の対象メンバであるセキュリティポリシーファイルをカウントアップする（処理Ｓ４３１）。
【０１１３】
次に、カウントアップされたセキュリティポリシーファイルが過半数以上かどうか否かを判断する（処理Ｓ４４０）。判断処理Ｓ４４０でカウントアップされたセキュリティポリシーファイルが過半数に達していなければ、処理Ｓ４０１へ戻って、ノード１（１０−１）は再度セキュリティポリシーファイルの個別アクセス制御データを読み出す（処理Ｓ４０１）。判断処理Ｓ４４０でカウントアップされたセキュリティポリシーファイルが過半数に達していれば、ノード１（１０−１）は過半数に達したセキュリティポリシーファイルを正常値と決定し、リソースのアクセス制御を行う（処理Ｓ４５０）。
【０１１４】
図２３は改ざんのチェック内容を示す図である。
タイプ１（２５）に関して、図４と図５を用いて説明したノードデータ（１０−１８−１）、及びＯＳデータ（１０−１９−１）として、シリアルデータ１０２を用いた場合のチェック内容１０３は、ノードデータ（１０−１８−１）が０１〜０６ならば改ざんなし、それ以外ならば改ざんありとする。ＯＳデータ（１０−１９−１）が０１〜０３ならば改ざんなし、それ以外ならば改ざんありとする。
【０１１５】
また、タイプ１（２５）に関して、図６と図７を用いて説明した素数とその倍数１０２を用いた場合のチェック内容１０３は、ノードデータ（１０−１８−１）ではノード１は３の倍数ならば改ざんなし、ノード２は５の倍数ならば改ざんなし、ノード３は７の倍数ならば改ざんなし、ノード４は１１の倍数ならば改ざんなし、ノード５は１３の倍数ならば改ざんなし、ノード６は１７の倍数ならば改ざんなし、それ以外ならば改ざんありとする。ＯＳデータ（１０−１９−１）はノードデータ（１０−１８−１）と同一とする。
【０１１６】
更に、タイプ１（２５）に関して、図８と図９を用いて説明した割り算の余り１０２を用いた場合のチェック内容１０３は、ノードデータ（１０−１８−１）ではノード１は７で割り１余る数字ならば改ざんなし、ノード２は７で割り２余る数字ならば改ざんなし、ノード３は７で割り３余る数字ならば改ざんなし、ノード４は７で割り４余る数字ならば改ざんなし、ノード５は７で割り５余る数字ならば改ざんなし、ノード６は７で割り６余る数字ならば改ざんなし、それ以外ならば改ざんありとする。ＯＳデータ（１０−１９−１）はノードデータ（１０−１８−１）と同一とする。
【０１１７】
タイプ２（２６）  に関して、図１０を用いて説明した個別アクセス制御データにシリアルデータ（０１，０２、・・・）１０２を用いた場合のチェック内容１０３は、シリアルデータが０１〜０９、１１〜１９、２１〜２９ならば改ざんなし、それ以外ならば改ざんありとする。
【０１１８】
タイプ３（２７）に関して、図１１を用いて説明したノードデータ（１０−１８−１）とＯＳデータ（１０−１９−１）の他に、新たにチェックデータ（１０−２１−１）１０２を用いた場合のチェック内容１０３は、ノードデータ（１０−１８−１）とＯＳデータ（１０−１９−１）は、ＮＯ１．のタイプ１と同一である。
チェックデータ（１０−２１−１）では、共通アクセス制御データとノードデータとＯＳデータを加算して３で割った数字と一致すれば、改ざんなし、それ以外ならば改ざんありとする。
【０１１９】
タイプ４（２８）に関して、図１２を用いて説明したノードデータとＯＳデータに文字列１０２を用いた場合のチェック内容１０３は、ノードデータ（１０−１８−１）は、文字列が一致すれば、改ざんなし、文字列が一致しなければ改ざんありとする。ＯＳデータ（１０−１９−１）は、文字列が一致すれば、改ざんなし、文字列が一致しなければ改ざんありとする。
【０１２０】
図２４は、セキュリティポリシーファイルの回復処理を示す図である。
図２４において、ノード１（１０−１）は多数決処理の際に、改ざんを検出したとする（処理Ｔ５００）。全てのノード（１０−１〜１５−１）は、改ざんに対するソフトウェアの脆弱性をなくすために、ソフトウェアに対する不具合を修正するためのパッチ処理を適用する必要がある。ノード１（１０−１）はコンソール（２１）に対して、ソフトウェアに対するパッチの適用を要求する（処理Ｔ５１０）。コンソール（２１）はすべてのノード（１０−１〜１５−１）に対して、ソフトウェアに対する不具合を修正するためのパッチを送信する（処理Ｔ５１１）。
【０１２１】
このパッチを受信したノード（１０−１〜１５−１）は、ソフトウェアに対するパッチを適用し、２度と同一の不正ソフトウェアにより改ざんされないようにする（処理Ｔ５１２とＴ５１３）。
その後、ノード１（１０−１）は、個別アクセス制御データを再計算する（処理Ｔ５２０）。その際、ノード１（１０−１）は、改ざんされたノードデータとＯＳデータは異なる値を使用する。更に、ノード１（１０−１）は、セキュリティポリシーファイルとして、共通アクセス制御データと個別アクセス制御データを改ざんありのノードに送信する（処理Ｔ５２１）。
【０１２２】
改ざんのありのノード（ノード３〜６）は、共通アクセス制御データと個別アクセス制御データを受信し（処理Ｔ５３０）、セキュリティポリシーファイルを書き込む（処理Ｔ５３１）。
最後に、ノード１（１０−１）は、ノード３〜６からセキュリティポリシーファイルの書き込み完了を受信し（処理Ｔ５４０）、改ざん管理テーブルをクリアする（処理Ｔ５４１）。
【産業上の利用可能性】
【０１２３】
セキュアＯＳでは、不正アクセスやデータ漏洩を防止するために、セキュリティポリシーファイルは改ざんされていないという完全性が要求されている。本発明では、セキュリティポリシーファイルを複数のノードに分散させて、アクセス時には多数決処理を行うため、セキュアＯＳの必須機能となる。
【図面の簡単な説明】
【０１２４】
【図１】本発明におけるシステム構成図である。
【図２】ノードの構成図である。
【図３】共通アクセス個別データと個別アクセス制御データを示す図である。
【図４】タイプ１のシリアル番号を用いたノード１〜ノード３のセキュリティポリシーファイルを示す図である。
【図５】タイプ１のシリアル番号を用いたノード４〜ノード６のセキュリティポリシーファイルを示す図である。
【図６】タイプ１の素数を用いたノード１〜ノード３のセキュリティポリシーファイルを示す図である。
【図７】タイプ１の素数を用いたノード４〜ノード６のセキュリティポリシーファイルを示す図である。
【図８】タイプ１の余りを用いたノード１〜ノード３のセキュリティポリシーファイルを示す図である。
【図９】タイプ１の余りを用いたノード４〜ノード６のセキュリティポリシーファイルを示す図である。
【図１０】タイプ２のノード１からノード３のセキュリティポリシーファイルを示す図である。
【図１１】タイプ３のノード１からノード３のセキュリティポリシーファイルを示す図である。
【図１２】タイプ４のノード１からノード３のセキュリティポリシーファイルを示す図である。
【図１３】多数決処理の処理概要を示す図である。
【図１４】セキュリティポリシーファイルの改ざん状況を示す例である。
【図１５】改ざん状況に応じた多数決処理を示す図である。
【図１６】セキュリティポリシーファイルの送信処理を示す図である。
【図１７】セキュリティポリシーファイルのチェックと送信処理の詳細な処理内容を示すフローチャートである。
【図１８】共通アクセス制御データとノードデータとＯＳデータを送信し、受信側ノードが個別アクセス制御データを生成する処理を示す図である。
【図１９】改ざん管理テーブルを示す図である。
【図２０】セキュリティポリシーファイルの多数決処理を示す図である。
【図２１】アクセス制御の全体の処理を示すフローチャートである。
【図２２】多数決処理を示すフローチャートである。
【図２３】改ざんのチェック内容を示す図である。
【図２４】改ざんされたファイルの回復手順を示す図である。
【符号の説明】
【０１２５】
１０〜１５・・・ノード
２０・・・ネットワーク
２１・・・コンソール
【図１】
2008033793.tif 000003
【図２】
2008033793.tif 000004
【図３】
2008033793.tif 000005
【図４】
2008033793.tif 000006
【図５】
2008033793.tif 000007
【図６】
2008033793.tif 000008
【図７】
2008033793.tif 000009
【図８】
2008033793.tif 000010
【図９】
2008033793.tif 000011
【図１０】
2008033793.tif 000012
【図１１】
2008033793.tif 000013
【図１２】
2008033793.tif 000014
【図１３】
2008033793.tif 000015
【図１４】
2008033793.tif 000016
【図１５】
2008033793.tif 000017
【図１６】
2008033793.tif 000018
【図１７】
2008033793.tif 000019
【図１８】
2008033793.tif 000020
【図１９】
2008033793.tif 000021
【図２０】
2008033793.tif 000022
【図２１】
2008033793.tif 000023
【図２２】
2008033793.tif 000024
【図２３】
2008033793.tif 000025
【図２４】
2008033793.tif 000026