(57)【特許請求の範囲】
【請求項１】
転送元装置から転送先装置へとデータを転送するためのデータ転送方法であって、
前記転送元装置は、
転送対象データを複数のピースに分割し、
各ピースごとに、そのピースのアップロード先とする中継領域を決定し、
各ピースとこのアップロード先とする中継領域との対応関係を示す対応関係情報を前記転送対象データの転送先装置に対して送信し、
各ピースを、決定したアップロード先の中継領域にアップロードし、
前記転送先装置は、
前記転送元装置から前記対応関係情報を受信し、
この対応関係情報に基づき、各ピースがアップロードされた中継領域から各ピースをダウンロードし、
それらダウンロードした各ピースを統合して元の転送対象データを復元する、
データ転送方法であって、
前記転送元装置は、
前記転送対象データを複数のピースに分割した後、それら各ピースからそれぞれ一部のデータを欠落させた上で、対応する中継領域にアップロードすると共に、前記転送先装置が前記転送対象データを構成するすべてのピースのダウンロードを完了したことを検知したことを条件として、これら各ピースのアップロードとは別の通信手段により、それら各ピースからの欠落分のデータを各転送先装置に対して送信し、
前記転送先装置は、
前記各ピースのダウンロードの完了に応じて前記転送元装置に完了の旨を通知し、
前記転送対象データを構成するすべてのピースのダウンロードが完了した後、各ピースからの欠落分のデータを受信し、
前記各中継領域からダウンロードした各ピースを、それら欠落分のデータを用いて欠落のない状態に復元した後で、統合する、
ことを特徴とするデータ転送方法。
【請求項２】
転送先装置にデータを転送するための方法であって、
転送対象データを複数のピースに分割し、
各ピースごとに、そのピースのアップロード先とする中継領域を決定し、
各ピースとこのアップロード先とする中継領域との対応関係を示す対応関係情報を前記転送先装置に対して送信し、
各ピースを、決定したアップロード先の中継領域にアップロードする、
ことを特徴とするデータ送信方法であって、
前記アップロードでは、前記転送対象データを複数のピースに分割した後、それら各ピースからそれぞれ一部のデータを欠落させた上で、対応する中継領域にアップロードし、
前記転送先装置が前記転送対象データを構成するすべてのピースのダウンロードを完了したことを検知したことを条件として、これら各ピースのアップロードとは別の通信手段により、それら各ピースからの欠落分のデータを各転送先装置に対して送信する、
ことを特徴とするデータ送信方法。
【請求項３】
転送元装置から転送される転送対象データを受信するための方法であって、
前記転送元装置から、転送対象データを構成する各ピースをアップロードした中継領域を示す対応関係情報を受信し、
この対応関係情報に基づき、各ピースがアップロードされた中継領域から各ピースをダウンロードし、
それらダウンロードした各ピースを統合して元の転送対象データを復元する、
データ受信方法であって、
前記各ピースのダウンロードの完了に応じて前記転送元装置に完了の旨を通知し、
前記転送対象データを構成するすべてのピースのダウンロードが完了した後、各ピースからの欠落分のデータを受信し、
前記元の転送対象データの復元に際しては、前記各中継領域からダウンロードした各ピースを、それら欠落分のデータを用いて欠落のない状態に復元した後で、統合する、
ことを特徴とするデータ受信方法。
【請求項４】
転送元装置から転送先装置へとデータを転送するためのデータ転送システムであって、
前記転送元装置は、
転送対象データを複数のピースに分割する分割手段と、
各ピースごとに、そのピースのアップロード先とする中継領域を決定するアップロード先決定手段と、
各ピースとこのアップロード先とする中継領域との対応関係を示す対応関係情報を前記転送対象データの転送先装置に対して送信する対応関係情報送信手段と、
各ピースを、決定したアップロード先の中継領域にアップロードするアップロード手段と、
を備え、
前記転送先装置は、
前記転送元装置から前記対応関係情報を受信する対応関係情報受信手段と、
受信した対応関係情報に基づき、各ピースがアップロードされた中継領域から各ピースをダウンロードするダウンロード手段と、
それらダウンロードした各ピースを統合して元の転送対象データを復元する復元手段と、
を備えるデータ転送システムであって、
前記データ送信装置の前記アップロード手段は、
前記転送対象データを複数のピースに分割した後、それら各ピースからそれぞれ一部のデータを欠落させた上で、対応する中継領域にアップロードする欠落処理手段と、
前記転送先装置が前記転送対象データを構成するすべてのピースのダウンロードを完了したことを検知したことを条件として、これら各ピースのアップロードとは別の通信手段で、それら各ピースからの欠落分のデータを転送先装置に対して送信する欠落分送信手段と、
を備え、
前記データ受信装置は、
前記各ピースのダウンロードの完了に応じて前記転送元装置に完了の旨を通知する手段と、
前記転送対象データを構成するすべてのピースのダウンロードが完了した後、各ピースからの欠落分のデータを受信する手段と、
を更に備え、
前記復元手段は、前記各中継領域からダウンロードした各ピースを、それら欠落分のデータを用いて欠落のない状態に復元した後で、統合する、
ことを特徴とするデータ転送システム。
【請求項５】
転送先装置へとデータを転送するデータ送信装置であって、
転送対象データを複数のピースに分割する分割手段と、
各ピースごとに、そのピースのアップロード先とする中継領域を決定するアップロード先決定手段と、
各ピースとこのアップロード先の中継領域との対応関係を示す対応関係情報を前記転送対象データの転送先装置に対して送信する対応関係通知手段と、
各ピースを、決定したアップロード先の中継領域にアップロードするアップロード手段と、
を備え、
前記アップロード手段は、
前記転送対象データを複数のピースに分割した後、それら各ピースからそれぞれ一部のデータを欠落させた上で、対応する中継領域にアップロードする欠落処理手段と、
前記転送先装置が前記転送対象データを構成するすべてのピースのダウンロードを完了したことを検知したことを条件として、これら各ピースのアップロードとは別の通信手段で、それら各ピースからの欠落分のデータを転送先装置に対して送信する欠落分送信手段と、
を備えることを特徴とするデータ送信装置。
【請求項６】
転送元装置から転送される転送対象データを受信するデータ受信装置であって、
前記転送元装置から、転送対象データを構成する各ピースをアップロードした中継領域を示す対応関係情報を受信する対応関係情報受信手段と、
この対応関係情報に基づき、各ピースがアップロードされた中継領域から各ピースをダウンロードするダウンロード手段と、
それらダウンロードした各ピースを統合して元の転送対象データを復元する復元手段と、
前記各ピースのダウンロードの完了に応じて前記転送元装置に完了の旨を通知する手段と、
前記転送対象データを構成するすべてのピースのダウンロードが完了した後、各ピースからの欠落分のデータを受信する手段と、
を備え、
前記復元手段は、前記各中継領域からダウンロードした各ピースを、それら欠落分のデータを用いて欠落のない状態に復元した後で、統合する、
ことを特徴とするデータ受信装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、データの転送方法及びシステムに関し、データを安全に転送するための技術に関する。
【０００２】
【従来の技術】
インターネット等の公衆ネットワークを介してデータを安全に転送する仕組みとして、ＶＰＮ（Virtual Private Network）が普及している。ＶＰＮでは、公衆ネットワークを挟んだ送り手側と受け手側とに暗号化装置と復号化装置をそれぞれ設置し、送り手側でデータを暗号化して公衆ネットワークに送信し、受け手側でその暗号化データを受信して復号することで元の送信データを復元する。ＶＰＮを用いた場合、公衆ネットワーク上を流れるデータを傍受されても、暗号が破られない限り秘密が保たれる。
【０００３】
また、単なる暗号化通信よりも更にセキュリティの向上を狙った方式も従来より提案されている。例えば特開平１１−１０３２９０号公報には、暗号化した情報を暗号鍵情報とデータ部分とに分割し、それらを異なる経路で送信するシステムが開示されている。また特開２０００−１１５１６２には、暗号化した情報を、暗号化鍵をパラメータとして２つのデータ部分に分割して異なる通信経路を介して送信し、受信側でその暗号鍵でそれら２つのデータ部分を合成して復号するシステムが開示されている。また特開２０００−２６１５００には、送信する元データをパターンデータに従って複数に分割し、それら各分割部分を異なる通信経路で送信するシステムが開示されている。
【０００４】
【発明が解決しようとする課題】
ＶＰＮでは、ユーザドメインから公衆ネットワークに出入りする出入り口にＶＰＮポートを常に開けておく必要があるため、ＶＰＮポートを経由した侵入の可能性がある。また、このようなこともあって、ＶＰＮは、一般に同一企業の本・支店間など緊密な信頼関係が確立されたドメイン同士の間で構築されるのが通常であり、もっと緩やかな関係の者同士の間でデータをやり取りするなどの目的で、気軽に構築するというわけにはいかない。
【０００５】
このような問題は、特開平１１−１０３２９０号公報、特開２０００−１１５１６２、特開２０００−２６１５００に開示されたシステムでも同様である。
【０００６】
【課題を解決するための手段】
本発明はこのような問題に鑑みなされたものであり、インターネット等の公衆通信網を介してデータを転送するシステムにおいて、各ユーザのドメインや装置に対する侵入を困難にすることを目的とする。また、本発明は、公衆通信網を介して安全にデータを転送できるようにすることを目的とする。
【０００７】
本発明は、転送元装置から転送先装置へとデータを転送する際に、前記転送元装置は、転送対象データを複数のピースに分割し、各ピースごとに、そのピースのアップロード先とする中継領域を決定し、各ピースとこのアップロード先とする中継領域との対応関係を示す対応関係情報を前記転送対象データの転送先装置に対して送信し、各ピースを、決定したアップロード先の中継領域にアップロードし、前記転送先装置は、前記転送元装置から前記対応関係情報を受信し、この対応関係情報に基づき、各ピースがアップロードされた中継領域から各ピースをダウンロードし、それらダウンロードした各ピースを統合して元の転送対象データを復元する、ことを特徴とする。
【０００８】
好適な態様では、前記対応関係情報は、前記ピースのアップロード及びダウンロードとは異なる通信手段を用いて送信する。ここで、異なる通信手段での送信は、異なる通信プロトコルを用いて実現することもできるし、異なる物理回線を用いて実現することもできる。同様に、各請求項における「通信手段」の区別は、通信プロトコルの相違によって実現しても良いし、物理回線の相違によって実現しても良い。
【０００９】
また、本発明は、転送先装置にデータを転送する際に、転送対象データを複数のピースに分割し、各ピースごとに、そのピースのアップロード先とする中継領域を決定し、各ピースとこのアップロード先とする中継領域との対応関係を示す対応関係情報を前記転送先装置に対して送信し、各ピースを、決定したアップロード先の中継領域にアップロードすることを特徴とする。
【００１０】
また本発明は、転送元装置から転送される転送対象データを受信する際に、前記転送元装置から、転送対象データを構成する各ピースをアップロードした中継領域を示す対応関係情報を受信し、この対応関係情報に基づき、各ピースがアップロードされた中継領域から各ピースをダウンロードし、それらダウンロードした各ピースを統合して元の転送対象データを復元する、ことを特徴とする。
【００１１】
また本発明は、転送元装置から転送先装置へとデータを転送する際に、前記転送元装置は、転送対象データを複数のピースに分割し、各ピースからそれぞれ一部のデータを欠落させ、欠落後の各ピースを転送先装置に送信し、各ピースからの欠落分のデータを各ピースのデータとは別の通信経路を介して転送先装置に送信し、前記転送先装置は、欠落後の各ピースを受信し、各ピースからの欠落分のデータを受信し、各ピースからの欠落分のデータにより、欠落後の各ピースを欠落前の状態に復元し、復元した各ピースを統合して元の転送対象データを復元する、ことを特徴とする。
【００１２】
【発明の実施の形態】
以下、本発明の実施の形態（以下実施形態という）について、図面に基づいて説明する。
【００１３】
図１は、本発明に係るデータ転送システムの全体構成を示す図である。このシステムは、データの転送元（送信側）ドメイン１０ａと転送先（受信側）ドメイン１０ｂにそれぞれ設置された転送制御装置１２から構成される。各転送制御装置１２はインターネット２０に接続されている。この転送制御装置１２は、同じドメイン１０ａ又は１０ｂ内の各クライアントＰＣ１４に対してデータの送受信のサービスを提供するサーバである。クライアントＰＣ１４は、他の装置に対するデータの送受信は、同じドメイン１０ａ又は１０ｂ内の転送制御装置１２を介して行う。転送制御装置１２は、クライアントＰＣ１４と同じＬＡＮ（ローカルエリアネットワーク）上に単なるサーバとして実現しても良いし、ＬＡＮをインターネット２０と接続するゲートウェイとして実現しても良い。
【００１４】
本実施形態では、データの転送元は、転送先に対してデータを直接送信するのではなく、インターネット２０上に存在する中継サーバ２２（Ｔ1，Ｔ2，・・・，Ｔn）のいずれかに対してデータをアップロードする。そして、中継サーバ２２にアップロードされたデータを転送先がダウンロードすることで、データの転送が実現される。このアップロード、ダウンロードの処理を実行するのが転送制御装置１２である。
【００１５】
中継サーバ２２としては、ftp(file transfer protocol)サーバやhttp(hyper text transfer server)など、データのアップロード、ダウンロードの要求を処理可能な各種のサーバを用いることができる。インターネット上には、ファイルのアップロード・ダウンロードサービスを行っているサーバが多数存在しており、中継サーバ２２としては、これら既存のサーバを利用することができる。
【００１６】
本実施形態のデータ転送システムを運営する運営者は、中継サーバ２２を保有する必要は必ずしもなく、既存のftpサーバやhttpサーバの一部のディスクスペースを借り、これを中継サーバ２２として利用することができる。
【００１７】
各転送制御装置１２は、利用可能な中継サーバ２２のリストを保持しており、クライアントＰＣ１４からデータ送信指示を受けた場合は、そのリストの中から利用する中継サーバ２２を選択する。このリストは、各中継サーバ２２のURL(Uniform Resouce Locator)など、中継サーバ２２にアクセスするのに必要な情報が含まれている。中継サーバ２２の新設・破棄などにより、各転送制御装置１２が利用可能な中継サーバ２２群の構成が変化する場合もある。そのような場合は、データ転送システムの構成を管理する管理サーバ２４から各転送制御装置１２に対して新たなリストの情報を配布することで、各転送制御装置１２は常に最新の利用可能な中継サーバ２２の情報を持つことができる。なお、このリスト配布は、例えばSSL(Secure Socket Layer)などのセキュアな通信プロトコルを利用して行う。
【００１８】
このシステムを用いたデータ転送では、まず送信側のクライアントＰＣ１４が送信するデータは、当該ＰＣ１４の属するドメイン１０に設けられた転送制御装置１２を介して中継サーバ２２にアップロードされる。このとき、転送制御装置１２は、宛先のクライアントＰＣ１４が属するドメイン１０の転送制御装置１２に対し、データをアップロードする中継サーバ２２を示す情報を送る。これを受け取った宛先（受信側）の転送制御装置１２は、その情報に示された中継サーバ２２にアクセスし、そこにアップロードされたデータをダウンロードする。そして、宛先のクライアントＰＣ１４は、自ドメインの転送制御装置１２にダウンロードされたデータを受け取る。
【００１９】
また、本実施形態では、転送するデータを複数のピースに分割し、それら各ピースを複数の中継サーバ２２を利用して転送する。この転送手順では、まず送信側の転送制御装置１２は、転送対象のデータを分割した各ピースをそれぞれどの中継サーバ２２にアップロードするかを計画する。そして、図２に示すように、送信側の転送制御装置１２は、その計画内容を示すアップロード計画情報１００を、SSL等のセキュアな通信プロトコルを利用して転送先（受信側）の各転送制御装置１２に送信する。そして、送信側の転送制御装置１２は、図３に示すように、そのアップロード計画に従って、各ピース１１０を順に、対応する中継サーバ２２にアップロードしていく。受信側の転送制御装置１２は、受け取ったアップロード計画情報１００に従って各中継サーバ２２にアクセスし、そこに保持されているピースをダウンロードし、ダウンロードしたすべてのピースを組み合わせることで、元の転送対象のデータを復元する。
【００２０】
また本実施形態では、転送対象のデータを複数ピースに分割するだけでなく、それら各ピースから、それぞれ一部のデータを欠落させた上で中継サーバ２２にアップロードするようにしている。したがって、仮に第三者が転送対象データのあるピースを入手したとしても、それだけではそのピースの本来の情報が得られない。各ピースから欠落させた欠落分のデータは、すべてのピース（欠落処理済み）が受信側の転送制御装置１２にダウンロードされた後で、送信側の転送制御装置１２から受信側の転送制御装置１２に提供される。受信側の転送制御装置１２は、受け取った欠落分の情報により、ダウンロードした各ピースのデータを欠落前の状態に復元することができる。
【００２１】
次に図４及び図５を参照して、本実施形態でのデータ転送の処理の流れを説明する。なお、図４は送信側の転送制御装置１２の処理手順を示し、図５は受信側の転送制御装置１２の処理手順を示す。
【００２２】
まず、送信側の転送制御装置１２は、自ドメイン内のクライアントＰＣ１４から、データの転送指示を受け付ける（Ｓ１０）。この転送指示は、転送すべきデータ（又はそのデータを取得するためのアドレス情報）と、そのデータの転送先のアドレス情報（URL又はIPアドレスなど）が含まれる。これを受けた送信側の転送制御装置１２は、指定された各転送先が属するドメインの転送制御装置１２（受信側）に対し、転送対象のデータが受け入れ可能かどうかを問い合わせる（Ｓ１２）。この問い合わせには、転送対象データのサイズの情報が含まれる。
【００２３】
この問い合わせを受けた受信側の転送制御装置１２は、この受信側の転送制御装置１２の空きディスク容量を調べ、その転送対象データをダウンロードできるかどうかを判断する（Ｓ４０）。本実施形態では、ピースに分割され、一部欠落され、暗号化されたデータを元の転送対象データに復元する処理が必要となるため、この処理のための作業スペースも考慮した上で、十分な空きディスク容量があるかどうかを判定する。
【００２４】
ステップＳ４０の判定の結果、十分な空きディスク容量がないと判定した場合は、受信側の転送制御装置１２は、送信側の転送制御装置１２に対してダウンロードできない旨の応答を行う（Ｓ６０）。一方、十分な空きディスク容量があると判定した場合は、ダウンロード可能である旨の応答を送信側の転送制御装置１２に対して行う（Ｓ４２）。
【００２５】
送信側の転送制御装置１２は、問い合わせを行ったすべての転送制御装置１２からステップＳ１２の問い合わせに対する応答を受け取ると、それら応答がすべてダウンロード可能であるか否かを判定する（Ｓ１４）。この判定で、一つでもダウンロード不可の応答があったと判定した場合は、転送指示元のクライアントＰＣ１４に対してその旨を通知して（Ｓ３０）、処理を終了する。この場合、転送指示元のクライアントＰＣ１４では、例えば、ユーザがその通知を見て、ダウンロード不可の転送先への転送を取り止めたり、ダウンロード不可の転送先のシステム管理者に対してディスク容量を開けるように依頼したりするなどの対処を行った上で、再度データ転送指示を行う。
【００２６】
なお、ステップＳ１４に示した、すべての転送先がデータダウンロード可能でないとデータの転送を行わないという手順はあくまで一例である。この代わりに、どれか１つの転送先がダウンロード可能であれば、データ転送を開始するという手順を採用することもできる。
【００２７】
さて、ステップＳ１４で、すべての転送先がダウンロード可能と判定された場合、送信側の転送制御装置１２は、転送対象データを複数のピースへと分割し（Ｓ１６）、各ピースに対して一部欠落及び暗号化を施す（Ｓ１８）。
【００２８】
このステップＳ１６及びＳ１８の詳細な処理内容の一例を図６を参照して説明する。この処理では、まず送信側の転送制御装置１２は、転送対象データ２００を所定のデータ圧縮アルゴリズムに従って圧縮する（Ｓ１００）。データ転送処理を行う都度、この圧縮の際の圧縮方式や圧縮パラメータを動的に切り替えることも可能である。この場合、圧縮方式や圧縮パラメータを特定するための情報を受信側の転送制御装置１２に通知する。
【００２９】
また、転送対象データ２００のＭＤ５(Message Digest 5:RFC1321)値２０２も生成する。このＭＤ５値２０２は、受信側で転送対象データ２００を復元した際の、正当性の検証に用いる。
【００３０】
そして、その圧縮によって生成された圧縮データ２０５をｍ個（ｍは２以上の整数）のピース２１０（Ｐ1，Ｐ2，・・・，Ｐm）に分割する（Ｓ１０２）。分割するピースの個数ｍは、送信側の転送制御装置１２がその時アップロード作業に利用できる回線容量などをもとに、所定のアルゴリズムに従って決定する。
【００３１】
例えば、各転送制御装置１２とインターネット２０との接続回線がADSL(Asymmetric Digital Subscriber Line)のようにアップロードとダウンロードで回線速度が非対称なものである場合、できるだけ細かいサイズのピースに分割することが好適である。ADSLの場合アップロードの速度が遅いので、細かいピースに分割することで、受信側でのダウンロードの開始を早めることができるので、全体のダウンロードの終了を早くすることができる。
【００３２】
次に、分割した各ピース２１０（Ｐ1，Ｐ2，・・・，Ｐm）から、それぞれその一部のデータ部分２１２を欠落させる（Ｓ１０４）。各ピース２１０から欠落させたデータ部分２１２は、欠落元のピースの番号に応じた順序で配列され、欠落分データ２３０として一つにまとめられる。
【００３３】
次に、送信側の転送制御装置１２は、欠落処理（Ｓ１０４）によってできた欠落済みの各ピース２１５（Ｐ1’，Ｐ2’，・・・，Ｐm’）に対し、データ圧縮及び暗号化処理を施す（Ｓ１０６）。この結果生成された暗号化ピース２２０（Ｐ1”，Ｐ2”，・・・，Ｐm”）が、各中継サーバ２２へアップロードされることとなる。また、転送制御装置１２は、これら各暗号化ピース２２０のＭＤ５値２２５も生成する。また、欠落分データ２３０も圧縮・暗号化処理を施す。この結果できた暗号化データ２３５（Ｐx）は、ｍ個の暗号化ピース２２０がすべて転送先の転送制御装置１２にダウンロードされたことを確認した後、その転送先に対して送信される。
【００３４】
ここで、ピースの一部欠落処理（Ｓ１０４）は、欠落させる場所やサイズを固定としておけば、受信側は容易に各ピースの欠落部分を復元できるが、その代わりにセキュリティは弱くなる。そこで、データ転送処理の都度、欠落処理の方式（欠落場所や欠落サイズなど）を変更することも好適である。この場合、転送するピースがどの欠落処理方式を用いているかを何らかの方式で受信側の転送制御装置１２に知らせる必要がある。これには、最も単純には、今回の欠落処理に利用する欠落処理方式を示す情報を送信側の転送制御装置１２から受信側の転送制御装置１２に送信すればよいが、本実施形態ではよりセキュリティの強い方法として次のような方法を用いる。すなわち、この方法では、送信側、受信側の各転送制御装置１２に対し、同じ欠落処理方式決定アルゴリズムを持たせておく。そして、送信時刻や転送対象データなどの属性値（あるいはそれらから決まるパラメータ値）をその欠落処理方式決定アルゴリズムに適用することで、その時々に応じた欠落処理方式を決定する。それら属性値は受信側の転送制御装置１２でも知ることができるので、送信側から欠落処理方式を示す情報を送信しなくても、受信側でその欠落処理方式を特定することができ、特定した方式を逆に用いることで、欠落したピースを復元することができる。
【００３５】
このような欠落処理方式の決定方法の一例を図７に示す。この方法では、可変共有キー３００とグループ固定キー３０２の組合せに対応する欠落処理方式３１５を、欠落処理方式決定アルゴリズム３１０により求めている。ここで、可変共有キー３００は、インターネット２０上に存在するすべての転送制御装置１２で共有される鍵情報であり、時間によって値が変化する。この可変共有キー３００は、管理サーバ２４からセキュアな通信プロトコルを利用して各転送制御装置１２に配信される。管理サーバ２４は、例えば定期的に可変共有キーの値を変更し、各転送制御装置１２に配信する。グループ固定キー３０２は、本実施形態のシステムを用いてデータの転送を行うグループ内で共有する固定の鍵情報である。本実施形態では、転送制御装置１２を設置している複数のユーザのなかで、データ転送を行うグループを設定することができる。このグループ内での共有鍵情報がグループ固定キー３０２である。グループ固定キー３００は、グループを開設したユーザが決定し、セキュアな通信プロトコルを利用してグループ内の他のユーザの転送制御装置１２に送信される。可変共有キー３００とグループ固定キー３０２を組み合わせることで、グループ内でしか分からず、しかも時間によって異なる情報を得ることができる。したがって、この情報を欠落処理方式決定アルゴリズムに与えることで、送信側でも受信側でも同じ欠落処理方式を決定することができる。このようにして決定される欠落処理方式は、グループ外の者には推測しづらいものとなる。以上、可変共有キー３００とグループ固定キー３０２から欠落処理方式を決定する処理を例示したが、更に転送対象データ２００から求めた特徴値（例えばＭＤ５値２０５）を考慮して欠落処理方式を決定するようにすれば、転送対象データ２００毎に欠落処理方式を変えることもできる。
【００３６】
以上、１つの転送対象データ２００を転送するジョブ毎に欠落処理方式を変える方法の例を説明したが、同様の考え方で、１つのデータ転送ジョブにおける各ピース毎に、欠落処理方式を変更することももちろん可能である。
【００３７】
以上、欠落処理方式を動的に変更する方法を説明したが、本実施形態では、同様の方法で、圧縮・暗号化処理の暗号方式や暗号キー等を動的に変更する。すなわち図７に示したように、送信側と受信側の転送制御装置１２に対し、共通の暗号化パラメータ決定アルゴリズム３２０を持たせ、可変共有キー３００、グループ固定キー３０２をもとに、そのアルゴリズム３２０により今回の各ピースの暗号化に用いる暗号方式や暗号キーなどの暗号化パラメータ３２５を決定する。暗号化パラメータ３２５の決定の際に、転送対象データ２００の特徴値（ＭＤ５値２０２など）を考慮すれば、転送対象データ２００毎に暗号化パラメータを変えることもできる。以上、１つの転送対象データ２００を転送するジョブ毎に暗号化パラメータを変える方法の例を説明したが、同様の考え方で１つのデータ転送ジョブにおける各ピース毎に、暗号化パラメータを変更することも可能である。
【００３８】
再び図４及び図５の説明に戻って説明する。以上のようにしてデータの分割（Ｓ１６）及び欠落・暗号化（Ｓ１８）が終わると、送信側の転送制御装置１２は、各暗号化ピース２２０をそれぞれどの中継サーバ２２にアップロードするかを計画し、その計画内容を示すアップロード計画情報１００を、データ転送先の各転送制御装置１２にセキュアなプロトコルを用いて送信する（Ｓ２０）。
【００３９】
このアップロード計画では、利用可能な中継サーバ２２のリストの中から、各暗号化ピース２２０ごとにそのアップロード先とするものを選択する。このとき、同じ中継サーバ２２を複数のピース２２０のアップロード先に選択してもよいが、すべてのピース２２０のアップロード先が同じになることがないようにする。この時選択する中継サーバ２２の数は、転送対象データ２００のサイズ等を考慮して決めることも可能である。
【００４０】
アップロード計画情報１００には、図８に示すように、今回のデータ転送ジョブを示すジョブ識別情報４００と、各ピース毎のピース情報４１０が含まれる。ピース情報４１０には、ピース番号４１２、中継サーバ識別子４１４、ＭＤ５値４１６が含まれる。ピース番号４１２は、１つの転送対象データ２００の転送処理ジョブの中でのそのピースの通し番号である。中継サーバ識別子４１４は、このピースのアップロード先として選んだ中継サーバ２２の識別子である。ＭＤ５値４１６は、当該暗号化ピース２２０のＭＤ５値２２５である。
【００４１】
このようなアップロード計画情報１００の送信の後、送信側の転送制御装置１２は、アップロード計画情報１００に従って、各暗号化ピース２２０を順に、対応する中継サーバ２２にアップロードしていく（Ｓ２２）。そして、１つのピースのアップロードが完了する毎に、転送先（受信側）の各転送制御装置１２にアップロード完了通知を送信する（Ｓ２４）。この完了通知は、アップロードが完了したピースのピース番号を含む。
【００４２】
受信側の転送制御装置１２は、送信側の転送制御装置１２からアップロード計画情報１００を受信（Ｓ４４）すると、送信側の転送制御装置１２からピース毎のアップロード完了通知が到来するのを待つ（Ｓ４６）。そして、ピース毎のアップロード完了通知を受信すると、アップロード計画情報１００を参照することで、その通知に含まれるピース番号に対応する中継サーバ２２を特定し、その中継サーバ２２からそのピース（暗号化ピース２２０）をダウンロードする（Ｓ４８）。このとき、受信側の転送制御装置１２は、ダウンロードした暗号化ピース２２０のＭＤ５値を計算し、それがアップロード計画情報１００に示される当該ピースのＭＤ５値４１６に一致するか否かを検査することで、ダウンロードしたデータが真正なものか否かを判定することができる。そのピースのダウンロードが完了すると、ダウンロード完了通知を送信側の転送制御装置１２に対して送信する。このダウンロード完了通知には、自己（受信側の転送制御装置１２）の識別情報と、ダウンロードが完了したピースのピース番号とが含まれる（Ｓ５０）。
【００４３】
送信側の転送制御装置１２は、転送先の各転送制御装置１２がどのピースをダウンロードしたかを記録するダウンロード管理テーブルを保持しており、ダウンロード完了通知を受信するごとに、その完了通知に示される転送制御装置１２とピースの組合せについてダウンロードが完了した旨をその管理テーブルに記録する。
【００４４】
このアップロード作業において、送信側の転送制御装置１２は、ある暗号化ピース２２０が転送先のすべての転送制御装置１２にダウンロードされたことを確認すると、そのピース２２０をアップロードした中継サーバ２２に対し、そのピース２２０の削除要求を送信する。これにより、中継サーバ２２上にデータが不必要に長い時間滞留することを防止することができる。また、中継サーバ２２上でのデータの長期滞留を防ぐ目的で、転送先のすべての転送制御装置１２がピース２２０のダウンロードを完了しなくても、アップロードから所定時間が経過した段階でそのピースを中継サーバ２２から削除するようにすることも好適である。また、中継サーバ２２には、アップロード後所定時間経過すると、アップロードされたデータを自動的に削除するものも多いので、この中継サーバ２２の機能によりアップロードされたピース２２０が削除されることもある。
【００４５】
送信側の転送制御装置１２は、このようにして、受信側の転送制御装置１２が転送対象データ２００のすべての暗号化ピース２２０をダウンロードし終えるまで、ステップＳ２２及びＳ２４を繰り返す（Ｓ２６）。
【００４６】
受信側の転送制御装置１２がすべての暗号化ピース２２０をダウンロードしたことを確認すると、送信側の転送制御装置１２は、受信側の転送制御装置１２に対し、復元用データを送信する（Ｓ２８）。この時送信する復元用データには、図９に示すように、今回のデータ転送ジョブを示すジョブ識別情報４００、欠落分データ２３０を圧縮・暗号化した暗号化データ２３５（Ｐx）、及びもとの転送対象データ２００のＭＤ５値２０２が含まれる（図６も参照）。この復元用データの送信は、SSL等の既存のセキュアな通信プロトコルを用いて行ってもよいし、暗号化ピース２２０の転送と同様、中継サーバ２２を介する方式で行ってもよい。
【００４７】
なお、受信側の転送制御装置１２が複数ある場合、それらすべての転送制御装置１２がすべてのピースをダウンロードするのを待って復元用データを送信するようにしてもよいし、それら各転送制御装置１２が全ピースのダウンロードを完了するごとに、その装置１２に個別に復元用データを送信するようにしてもよい。
【００４８】
受信側の転送制御装置１２は、すべてのピースのダウンロードが完了すると（Ｓ５２）、送信側の転送制御装置１２から送られてくる復元用データを受信する（Ｓ５４）。そして、ダウンロードした各暗号化ピース２２０と、この復元用データをもとに、欠落処理（Ｓ１０４）及び圧縮・暗号化処理（Ｓ１０６）の逆過程の処理を施すことで、各ピースを復元する（Ｓ５６）。すなわち、この復元処理では、まず暗号化ピース２２０を復号し、その復号結果に対してそれぞれ欠落分を補うことで、もとのピース２１０を復元する。前述のように、送信側が選択した欠落処理方式及び暗号化パラメータを受信側で特定することができるので、復元処理を行うことができる。そして、全ピースの復元が完了すると、データ分割（Ｓ１０２）の逆過程の処理により圧縮データ２０５を復元し、データ圧縮（Ｓ１００）の逆の処理により元の転送対象データ２００を復元する（Ｓ５８）。そして、受信側の転送制御装置１２は、復元した転送対象データ２００のＭＤ５値を計算し、この値が復元用データに含まれるＭＤ５値２０２と比較し、これら両者が一致した場合、その転送対象データ２００が正当なデータであると判断することができる。
【００４９】
ここで、データ圧縮（Ｓ１００）の圧縮方式や、圧縮アルゴリズムのパラメータを動的に変更することもできる。この場合、圧縮に用いた圧縮方式やパラメータを受信側の転送制御装置１２が特定できるようにする必要がある。これには、送信側の転送制御装置１２から受信側の転送制御装置１２に対し、圧縮方式やパラメータを示す情報を送信するようにすればよい。またこの代わりに、上述の欠落処理方式や暗号化パラメータの場合と同様の方式を用いて、受信側で送信側と同じ圧縮方式、パラメータを特定できるようにしてもよい。
【００５０】
このように復元した転送対象データ２００は、受信側の転送制御装置１２から、その装置１２のドメイン内での転送宛先である各クライアントＰＣ１４に提供される。ここでは、例えばデータが転送されてきた旨を転送先のクライアントＰＣ１４に通知し、その通知に応じてクライアントＰＣ１４が転送制御装置１２からそのデータをダウンロードする等の手順を用いることができる。
【００５１】
以上のような処理手順により、セキュアなデータ転送を実現することができる。
【００５２】
なお、ステップＳ２２のアップロード作業において、アップロード計画情報１００に示した中継サーバ２２のいずれかが実際のアップロードの際に使えない場合も考えられる。そのような場合、送信側の転送制御装置１２は、別の中継サーバ２２を選択して暗号化ピース２２０のアップロードを行う。そして、この時選択したアップロード先の中継サーバ２２の識別情報を、アップロード完了通知（Ｓ２４）において受信側の転送制御装置１２に伝える。これにより、受信側の転送制御装置１２は、当初の計画と異なる中継サーバ２２が選択された場合も、その中継サーバ２２から暗号化ピース２２０をダウンロードすることができる。
【００５３】
また、上記のデータ転送処理において、転送先の転送制御装置１２が複数ある場合、いずれかの転送先が通信回線の不調や機器故障などにより、一部のピースをダウンロードできない場合も考えられる。このような場合、送信側の転送制御装置１２が、ダウンロードが完了していない暗号化ピース２２０を再アップロードし、そのピース２２０をダウンロードしていない各転送制御装置１２に対し、そのピース２２０をアップロードした旨の通知を送る。この再アップロードは、アップロード計画情報１００に従ってすべてのピースのアップロードがいったん完了した後で行うことが好適である。これにより、全ピースのダウンロードが完了した転送先については、ダウンロード未了の転送先とは無関係に復元用データを提供することができ、データ転送を早期に終了させることができる。
【００５４】
以上説明したように、本実施形態によれば、まず各転送制御装置１２は、データをアップロードする時及びダウンロードする時のみ、中継サーバ２２と接続すればよいので、常に通信用のポートを開けておく必要のある従来のＶＰＮよりも、外部からの侵入の可能性を大幅に減らすことができる。
【００５５】
また、本実施形態では、データ転送の中継に用いる中継サーバ２２を、データ転送の都度動的に選択するので、転送されるデータが意図的に傍受される可能性を減らすことができる。また、本実施形態では、転送対象データを複数のピースに分割し、各ピース毎に個別に中継サーバ２２を選択してアップロードするので、転送対象データ全体が傍受されてしまう危険性を低減することができる。
【００５６】
また、本実施形態では、各ピースのデータの一部を欠落させて転送するので、仮に転送中にピースのデータが傍受されたとしても、傍受者に元のピースのデータ内容が知れるのを防止できる。このデータ欠落と暗号化処理を組み合わせることで、単に転送中のピースのデータを傍受しただけでは、何らの意味もなさないようにすることができる。
【００５７】
なお、図６に示した転送対象データ２００の分割及び圧縮・暗号化処理はあくまで一例であり、この他にも様々な処理手順を用いることができる。例えば、転送対象データ２００を圧縮した後暗号化を行い、その暗号化データを複数のピースに分割し、各ピースの一部を欠落させた後転送する手順などが考えられる。
【００５８】
以上説明した実施の形態は、あくまで一例に過ぎず、特許請求の範囲に記載した発明の範囲内で様々な変形が可能である。
【図面の簡単な説明】
【図１】  本発明に係るデータ転送システムの概略構成を示す図である。
【図２】  アップロード計画情報の送信処理を説明するための図である。
【図３】  転送対象データの転送処理を説明するための図である。
【図４】  送信側の転送制御装置の処理手順の一例を示すフローチャートである。
【図５】  受信側の転送制御装置の処理手順の一例を示すフローチャートである。
【図６】  転送対象データの分割及び暗号化処理の手順の一例を示すフローチャートである。
【図７】  欠落処理方式及び暗号化パラメータの決定方法の一例を説明するための図である。
【図８】  アップロード計画情報のデータ内容の一例を示す図である。
【図９】  復元用情報のデータ内容の一例を示す図である。
【符号の説明】
１０ａ  転送元ドメイン、１０ｂ  転送先ドメイン、１２  転送制御装置、１４  クライアントＰＣ、２０  インターネット、２２  中継サーバ、２４  管理サーバ。
【図１】
0004218256.tif 000002
【図２】
0004218256.tif 000003
【図３】
0004218256.tif 000004
【図４】
0004218256.tif 000005
【図５】
0004218256.tif 000006
【図６】
0004218256.tif 000007
【図７】
0004218256.tif 000008
【図８】
0004218256.tif 000009
【図９】
0004218256.tif 000010