專利名稱：變換信息的技術的制作方法
技術領域：
本發(fā)明涉及變換信息的技術。本發(fā)明尤其涉及在將從信息處理裝置取 得的信息存儲到外部記憶裝置時，對存儲的信息進行數據變換的技術。
背景技術：
近年來，廣泛普及了可攜帶的記憶裝置，例如USB存儲器、 CompactFlash (注冊商標)存儲器或SD存儲卡等，其存儲容量也變大。這 些記憶裝置即使在多個信息處理裝置之間沒有配備充分的通信環(huán)境，也能 夠高速地收發(fā)龐大的數據，從而便利性高。而且，這些記憶裝置安裝有閃 速存儲器等非易失性存儲器設備，即使沒有電源也能夠長期間保存數據， 從而可適用的用途廣泛。
后面對下述的參考文獻進行敘述。
專利文獻l:日本特開昭63-301389號公報；
專利文獻2:日本特開2006-195719號^^報；
專利文獻3:日本特開2002-73422號公報；
非專利文獻l: Japanese News article on Secure USB Memory Service provided by NTT communications, webpage URL "http:〃enterp rise.watch.impress.co.jp/cda/security/2005/03/24/4901.html", searched at December 20， 2006;
非專利文獻2: Idea CS provided by Mitani corporation, webpage URL "http:〃tkinfo,mitani-corp.co.jp/product/idea—cs.html"， searched at December 20， 2006。
這樣的記憶裝置因其便利性以及便攜性而被廣泛普及，價格也相應地降低，因此可便于使用，但反過來存在如若遺失則泄漏機密信息的問題。 例如，這些記憶裝置因為體型小而存在攜帶的過程中遺失的情況，或安裝 在他人的信息處理裝置上忘記卸下的情況。在這樣的情況下，有惡意的使 用者能夠在瞬間完全地取得存儲的龐大數據。即，在遺失時記憶裝置的優(yōu) 點反而成為了缺點，有可能給合法使用者帶來不利。
為此，對存儲在記憶裝置中的數據進行加密，僅合法的使用者能夠解 密。但是，存在即使進行了加密也不能充分地保護機密的情況。第l，在直 接安裝到信息處理裝置上忘記卸下時，已經由合法使用者許可解密，惡意
使用者可直接進行參照。第2，合法使用者有可能忘記用于解密的密碼，即 使記住密碼也要不厭其煩地每次輸入密碼。第3,在信息處理裝置側需要有 用于加密及解密的軟件，如果沒有安裝特定的操作系統(tǒng)(例如Windows(注 冊商標))則有時無法利用。
具體地說，在非專利文獻1及非專利文獻2中提出了通過采用秘密^t 法來令合法使用者以外的人難以讀出的USB存儲器設備。但是，這些文獻 所記載的設備，在其自身中不存儲可恢復初始數據的全部數據片段，而是 將一部分數據存儲到用戶的個人計算機(以下PC)等中。因此，在初始數 據的恢復中必須有這樣的用戶PC。在這樣的用戶PC中需要有用于數據恢 復的專用軟件。另外，存儲器設備自身在具有這樣的專用軟件的PC以外無 法使用。
第4，可舉出即使經過加密也不能完全防止惡意使用者進行參照。這是 因為，加密不過是"在加密時進行逆變換的計算非常困難的變換，，。例如， 有若準備大量的高性能信息處理裝置進行計算則可以解密的情況。另外， 還有發(fā)現(xiàn)與構成加密基礎的理論相反、用于解讀加密的有效計算方法的情 況。即使存在一點點這樣的可能性，則關于機密性非常高的數據也能夠產 生問題。例如，在軍事機密等的數據被盜竊的情況下，即使已進行了加密， 但對其解讀的 一點點可能性都有可能被利用為不當交涉的材料。
這樣，從機密保持的觀點出發(fā)，關于因便利而廣泛普及的小型記憶裝 置、利用該記憶裝置的現(xiàn)有技術舉出了不充分的方面。因此，需要在哪里
8都不會損害可輕松利用這樣的記憶裝置的優(yōu)點，且強化了機密保持功能的 記憶裝置。
另外作為參考，關于以時間經過為條件破壞存儲到記憶裝置內的信息
的技術，希望參照上述專利文獻1和2。另外，關于將數據片段化后進行存 儲的技術希望參照上述專利文獻3。

發(fā)明內容
因此，本發(fā)明的目的是提供可解決上述課題的系統(tǒng)、外部記憶裝置、 方法以及程序。通過組合權利要求范圍中的獨立權利要求所記載的特征來 實現(xiàn)該目的。另外從屬權利要求規(guī)定了對本發(fā)明更有利的具體例。
為了解決上述課題，在本發(fā)明的一個側面中，提供了一種系統(tǒng)，其具 備信息處理裝置和存儲從信息處理裝置接收的信息的外部記憶裝置，其中， 信息處理裝置具有第l記憶部；第1生成部，其對作為存儲于外部記憶裝 置的對象的對象信息，進行基于秘密分散法的變換，生成個數超過預定的 基準個數的多個分割數據，在秘密分散法中基準個數的分割數據對于對象 信息的恢復是必要的；輸出部，其從生成的多個分割數據中選擇基準個數 以上的第l個數的分割數據，并向外部記憶裝置輸出；以及第l存儲部，其 將生成的多個分割數據中除了輸出的分割數據之外的第2個數的分割數據 存儲到第l記憶部；外部記憶裝置具有第2記憶部；第2存儲部，其將從信 息處理裝置輸入的第1個數的分割數據分別存儲到第2記憶部；以及數據破 壞部，其以經過了基準時間的情況為條件，破壞存儲的第l個數的分割數據 中的、比基準個數與第1個數之間的差值多且為該差值與第2個數的和以下 的個數的分割數據，基準時間是以接受了預定操作的時刻為基準而預先設 定的。另外，還提供了通過該系統(tǒng)使外部記憶裝置從信息處理裝置取得信 息后存儲的方法。另外，還提供了使信息處理裝置和外部記憶裝置如該系 統(tǒng)那樣地發(fā)揮作用的程序。
另外，上述發(fā)明的概要并非列舉了本發(fā)明的全部必要特征，這些特征 群的子組合也能夠構成發(fā)明。


圖l表示信息系統(tǒng)10的整體結構。
圖2表示信息處理裝置20的功能結構。
圖3表示外部記憶裝置30的功能結構。
圖4表示利用信息處理裝置20將對象信息存儲到外部記憶裝置30中的 處理的流程圖。
圖5表示各個分割數據的存儲位置的概括。
圖6表示利用信息處理裝置20根據存儲到外部記憶裝置30的分割數據 來恢復對象4言息的處理的流程圖。
圖7表示通過外部記憶裝置30來存儲分割數據并破壞已存儲的分割數 據的處理的流程圖。
圖8表示利用外部記憶裝置30來設定基準時間的處理的流程圖。
圖9表示利用外部記憶裝置30根據存儲的分割數據來恢復對象信息的 處理的流程圖。
圖10表示信息處理裝置20的硬件結構的一例。
符號說明
10:信息系統(tǒng)；20:信息處理裝置；30:外部記憶裝置；32:開關； 35:帽；200:存儲器設備；205:第l記憶部；208:對象信息；210:通信 I/F; 220:第l生成部；230:輸出部；240:第l存儲部；250:登記部；260: 第l恢復部；300:第2記憶部；310:第2生成部；320:取得部；330:第2 存儲部；340:數據破壞部；350:設定部；360:設定控制部；365:測量 部；370:帽判斷部；375:關鍵字檢索部；380:連接計數部；3卯第2 恢復部。
具體實施例方式
以下，通過用于實施發(fā)明的優(yōu)選方式(以下，稱為實施方式)來說明 本發(fā)明，不過以下的實施方式并沒有限定權利要求范圍所涉及的發(fā)明，另
10外，本發(fā)明的解決手段不限于必須是實施方式中所說明的特征組合的全部。
圖1表示信息系統(tǒng)10的整體結構。信息系統(tǒng)10具有信息處理裝置20、 外部記憶裝置30和帽35-l ~3。信息處理裝置20是個人計算機或PDA等裝 置，其根據使用者的操作進行信息的加工/運算。外部記憶裝置30例如是 USB存儲器設備、CompactFlash (注冊商標)存儲卡或SD存儲卡等，外部 記憶裝置30被設置為可與信息處理裝置20進行拆裝，并存儲從信息處理裝 置20接收的信息。本實施方式的信息系統(tǒng)10的目的是即使在忘記刪除臨 時存儲到外部記憶裝置30內的機密信息等數據時，也能夠在經過一定期間 后將該數據破壞成極難恢復的狀態(tài)。而且，該破壞處理是通過外部記憶裝 置30自身的功能來實現(xiàn)的，所以當外部記憶裝置30遺失或失竊時，即使未 從外部提供指示或電源也能夠降低信息泄漏的風險。
另外，在用于外部記憶裝置30與信息處理裝置20連接的連接端子上， 當沒有進行該連接時可分別安裝帽35-l ~3。安裝這些帽35-l ~3的目的是 保護該連接端子。帽35-1~3還起到調節(jié)數據破壞的基準時間、數據的破壞 速度的作用。即，帽35-1~3的種類互不相同，可設計成根據顏色的區(qū)別等 從外部就能夠識別出種類。然后，外部記憶裝置30根據安裝某個帽35來調 節(jié)數據破壞的基準時間、破壞速度。在外部記憶裝置30中還能夠設置有從 外部可操作的開關32。外部記憶裝置30可按照對開關32的操作來調節(jié)數據 破壞的基準時間、破壞速度。通過這樣的設計，可按照其用途來相應地變 更數據破壞的定時。
以下，對具體的結構進行說明。
圖2表示信息處理裝置20的功能結構。信息處理裝置20具有存儲器設 備200、通信I/F210、第1生成部220、輸出部230、第1存儲部240、登記部 250和第1恢復部260。存儲器設備200通過后述的RAM1020或硬盤驅動器 1040來實現(xiàn)，其存儲根據使用者的操作而生成的數據，或存儲從外部輸入 的數據。例如，存儲器設備200存儲作為外部記憶裝置30所存儲的對象的對 象信息208。另外，存儲器設備200具有第1記憶部205。第1記憶部205起到 作為用于存儲后述分割數據的存儲區(qū)域的作用。通信I/F210通過后述的通信接口1030來實現(xiàn)，其與外部的服務器裝置等進^f亍通信。
第1生成部220、輸出部230、第1存儲部240、登記部250以及第l恢復部 260分別通過基于安裝的程序指示進行動作的后述CPU1000等來實現(xiàn)。第l 生成部220從存儲器設備200讀出作為外部記憶裝置30所存儲的對象的對象 信息208。然后，第1生成部220對該對象信息208進行基于秘密介軟法的變 換，該秘密分散法在該對象信息208的恢復中需要預定的基準個數K個分割 數據，該變換生成個數超過該基準個數K的多個分割數據。將此個數設為N 個。
這里，秘密分散法的基本概念是例如將一次函數的y切片的大小設為明 文(plaintext),將該一次函數通過的多個點的各個坐標值設為變換后的 數據。在沒有取得兩個以上的坐標值時，例如即使取得了一個坐標值，確 定初始的y切片的值也是極困難的。這樣，秘密分散法與現(xiàn)有的加密方法相 比，以殘片方式取得的數據難以成為不當數據恢復的線索，而且，就連不 當恢復明文數據的一部分都是困難的。另外，關于秘密分散法，作為其變 換基礎的理論是極簡單的，與其理論相反，該秘密分散法具有難以發(fā)現(xiàn)易 于推測y切片的方法這樣的特征。
輸出部230從已生成的這些N個分割數據中選擇基準個數K以上的第1 個數M個分割數據，向外部記憶裝置30輸出，在外部記憶裝置30中存儲到 后述的第2記憶部300。第1存儲部240將已生成的N個分割數據中除了已輸 出的該M個分割數據以外的第2個數的分割數據存儲到第1記憶部205內。將 該第2個數設為L個。存儲的分割數據可以是從已生成的分割數據輸出的分 割數據之外的全部分割數據(即，L=M-N),也可以是其中的一部分(即， L<M-N)。除了以上處理之外，登記部250還可以將已生成的N個分割數據 中除了已輸出的M個分割數據和已存儲的L個分割數據之外的P個分割數 據登記到外部的服務器裝置。外部的服務器裝置優(yōu)選由政府或政府間機關、 地方公共團體等可靠性高的團體來運營，或者由技術能力更高的通信穩(wěn)定 的企業(yè)等來運營。
登記的分割數據可以是除外剩佘的全部的分割數據(即，P=M-N-L)，也可以是其中的一部分(即，P<M-N-L)。另外，為了能夠進行登記，前 提是第1生成部220生成比笫1個數M多2個以上的N個分割數據。第l恢復部 260從外部記憶裝置30讀出存儲在外部記憶裝置30的第2記憶部300內且沒 有被外部記憶裝置30的數據破壞部340破壞的分割數據，將讀出的分割數據 根據從第1記憶部205讀出的分割數據來恢復成對象信息208。在登記部250 將分割數據登記到外部的服務器裝置時，第1恢復部260可還根據登記到外 部服務器裝置的該分割數據，將分割數據恢復成對象信息208。
圖3表示外部記憶裝置30的功能結構。外部記憶裝置30具有笫2記憶 部300、第2生成部310、取得部320、第2存儲部330、數據破壞部340、設定 部350、設定控制部360和第2恢復部390。外部記憶裝置30除了參照圖2所說 明的信息處理裝置20之外還能夠與未特別具有數據分割功能的信息處理裝 置連接。以下，對兩者的情況一并進行說明。為了存儲從信息處理裝置20 接收的對象信息208，而設置有第2記憶部300。第2生成部310在與信息處理 裝置20進行連接的情況下，從信息處理裝置20中取得變換對象信息208而生 成的多個分割數據。該分割數據的個數是M個。
另一方面，第2生成部310在與其他信息處理裝置連接的情況下，取得 對象信息208變換前的狀態(tài)。在此情況下，第2生成部310對該對象信息208 進行基于秘密分散法的變換，生成基準個數K以上的第1個數的多個分割數 據，在該秘密分散法中基準個數K的分割數據對于該對象信息208的恢復是 必要的。將該第1個數設為M個。另外，當對象信息208的數據尺寸大時， 第2生成部310在將表示對象信息208的數據預先分割為多個后，可將他們進 一步分割為M個分割數據。此后，將生成的分割數椐的數設為M個，對從 信息處理裝置20取得M個分割數據的情況和在外部記憶裝置30中生成M個 分割數據的情況的各個情況一并進行說明。首先，取得部320在進行第2生 成部310的變換時從第2生成部310取得基于該變換的分割數據，在沒有進行 變換時從笫2生成部310取得從外部的信息處理裝置取得的分割數據。
第2存儲部330將已取得的該M個分割數據分別存儲到第2記憶部300 中。這些M個分割數據準備在以后讀出，且優(yōu)選相互對應著進行存儲。作為一例，當第2記憶部300預先分割為M個區(qū)域時，第2存儲部330將已取得 的M個分割數據分別存儲到這些M個區(qū)域的各個區(qū)域中。例如在1\1=2時， 將第2記憶部300預先分割為兩個區(qū)域，第2存儲部330可應用鏡像(RAID-1 ) 技術，針對各個區(qū)域共同存儲由同 一對象信息變換而生成的各個分割數據。 這些可賦予同一文件名，或者可賦予能夠掌握相互對應關系的文件名。例 如，第2存儲部330可通過對相互對應的分割數據賦予共用的包含字符串的 文件名，來對應地存儲這些分割數據。作為一例，第2存儲部330可采用表 示對象信息的數據的文件名(例如，XXX.txt),對某個分割數據賦予 XXX.txtOl這樣的名字，對其他分割數據賦予XXX.txt02這樣的文件名。
數據破壞部340以經過基準時間為條件，破壞已存儲的M個分割數據中 的比基準個數K和第1個數M之間的差值多的個數的分割數據，該基準時間 是以接受了預定操作的時刻為基準而預先設定的。所謂破壞例如就是從構 成數據的比特中變更隨機選擇的比特。該變更可以僅僅是l比特，不過例如 在通過錯誤訂正代碼來編碼分割數據時，需要變更超過其訂正界限的個數 的比特。
另外，為了能夠進行基于存儲器設備200所存儲的分割數據的恢復，而 進一 步將被破壞的分割數據的個數是基準個數K和第1個數M的差值與第2 個數L相加的和以下的情況，作為條件。而且為了能夠進行基于存儲器設 備200及外部服務器裝置中的分割數據的恢復，而進一步將被破壞的分割數 椐的個數是該差值與第2個數L以及第3個數P相加的和以下的情況，作為條 件。作為數據破壞部340的其他動作例，數據破壞部340可根據時間的經過 來緩緩地變更分割數據。
設定部350對數據破壞部340設定作為變更分割數據的條件的基準時 間。例如，設定部350可根據使用者等對開關32的操作，來變更應該設定的 基準時間。而且，設定部350根據來自后述的設定控制部360的指示來變更 應該設定的基準時間。另夕卜，作為其他例，設定部350可變更破壞數據的速 度，對數據破壞部340進行設定。所謂速度例如是每一單位時間內變更的比 特數。由此，越是以前存儲的數據，恢復起來越困難。
14設定控制部360進行設定部350所設定的用于決定上述基準時間的控 制。具體地說，設定控制部360具有測量部365、帽判斷部370、關鍵字檢 索部375和連接計數部380。測量部365對外部記憶裝置30與信息處理裝置20 等外部的信息處理裝置連接的頻率進行測量。所謂頻率例如是l周幾次、1 個月幾次這樣的每一單位期間內的次數。另外，所謂連接可以是電氣通信 處理，也可以是物理安裝連接端子的處理。然后，測量部365將測量到的頻 率通知給設定部350。接收該通知內容后，設定部350以在測量到的頻率相 對高的情況下的基準時間比在測量到的頻率相對低的情況下的基準時間短 的方式，設定基準時間。由此，根據目前為止的履歷來預測應該保存數據
的充分期間，在經過該期間后可自動^:壞數據。
帽判斷部370判斷安裝的多個帽例如上述帽35-l ~3中的哪種帽。例如， 將帽中的與外部記憶裝置30接合的接合部制成可識別該帽的種類的形狀， 帽判斷部370通過根據其形狀識別帽的種類來實現(xiàn)種類的判斷。將判斷結果 通知給設定部350。設定部350接收該判斷結果后，根據安裝的帽的種類來 將預定長度的時間設定為基準時間。由此，使用者可按照其目的來替換帽。 例如，對帽35-l預定l個月、對帽35-2預定3個月、對帽35-3預定6個月等期 間時，使用者如果按照其用途來分開使用各個帽，則能夠相應地設定破壞 數據的期間。
關鍵字檢索部375檢索在第2記憶部300中作為分割數據存儲的文件中 的包含預定關鍵字的文件。成為檢索關鍵的關鍵字例如優(yōu)選是能啟發(fā)其為 機密性高的數據的內容。具體地說，是密碼、PASSWORD、機密、 CONFIDENTIAL或重要等。將檢索結果通知給設定部350。設定部350接 收該檢索結果，以在檢索到這樣的文件的情況下的基準時間比在沒有檢索 到這樣的文件的情況下的基準時間短的方式，設定基準時間。
連接計數部380對外部記憶裝置30結束與預定的信息處理裝置的連接 后與其他信息處理裝置連接的次數進行計數。所謂該預定的信息處理裝置 例如是由外部記憶裝置30的使用者管理的信息處理裝置，在本實施方式中 為信息處理裝置20。此外，所謂其他信息處理裝置例如是他人的信息處理裝置。連接計數部380例如以與本人的信息處理裝置連接的時刻為起點，對 與其他信息處理裝置連接的次數進行計數。將計數結果通知給設定部350。 設定部350接收該計數結果，以在計數的該連接次數相對多的情況下的基準 時間比在連接次數相對少的情況下的基準時間短的方式，設定基準時間。 由此，在不經由與自己的信息處理裝置連接而頻繁與他人信息處理裝置連 接的情況下，可作為不太正常的使用形態(tài)視為某種非法的可能性高而迅速 地破壞數據。
第2恢復部3卯從第2記憶部300中讀出多個分割數據，利用秘密分散法 將讀出的這些多個分割數據恢復成對象信息，并輸出到外部的信息處理裝 置20。例如，第2恢復部390以外部記憶裝置30的連接端子一皮安裝到信息處 理裝置20上為條件，可自動地進行其恢復處理。作為處理的具體例，例如 在第2記憶部300預先分割為M個區(qū)域時，第2恢復部390從各個區(qū)域讀出同 一文件名或對應文件名的文件，并將讀出的各個文件作為分割數據進行秘 密分散法的恢復處理。
另外，秘密分散法的恢復處理為在安裝了用于恢復的算法的程序中輸 入多個分割數據的處理，其結果不知道對象信息是否正確恢復。因此，將 不知是否正確恢復的該對象信息輸出到信息處理裝置20,結果，信息處理 裝置20的使用者作為已恢復失敗的人，有時對外部記憶裝置30指示基于第1 記憶部205所存儲的分割數據的恢復。在這樣的情況下，第2恢復部3卯可讀 出存儲在第2記憶部300內而沒有被數據破壞部340所破壞的分割數據，將讀 出的該分割數據，基于從信息處理裝置20的第l記憶部205讀出的分割數據， 恢復成對象信息。這樣，存儲到第1記憶部205內的分割數據可以在信息處 理裝置20中進行恢復，也可以在外部記憶裝置30中進行恢復。
圖4表示利用信息處理裝置20將對象信息存儲到外部記憶裝置30的處 理的流程圖。第1生成部220對作為外部記憶裝置30所存儲的對象的對象信 息208進行基于秘密分散法以及錯誤訂正代碼的編碼的變換(S400 )。具體 地說，首先，第1生成部220進行基于在該對象信息208的恢復中需要預定的 基準個數K個分割數據的秘密分散法的變換，生成超過該基準個數K的個數的多個中間數據。然后，第1生成部220利用錯誤訂正代碼來編碼已生成的 各個中間數據，由此生成多個分割數據。該分割數據的個數也仍是N個。 作為錯誤訂正代碼例如可以采用BCH代碼。
輸出部230從已生成的這些N個分割數據中選擇基準個數K以上的第1 個數M的分割數據，并向外部記憶裝置30輸出，在外部記憶裝置30中將其 存儲到后述的第2記憶部300 (S410)。第1存儲部240將已生成的N個分割 數據中除了輸出的M個分割數據之外的第2個數L的分割數據存儲到第1記 憶部205 (S420)。存儲的分割數據的個數L可以是從已生成的分割數據中 除去已輸出的分割數據的全部數據(即，L-M-N)，也可以是其中的一 部分(即，L<M-N)。
除了以上的處理之外，登記部250還可以向外部的服務器裝置登記已生 成的N個分割數據中除了輸出的M個分割數據以及存儲的L個分割數據之 外的P個分割數據(S430)。登記的分割數據的個數P可以是除此之外剩余 的全部分割數據(即，P-M-N-L)，也可以使其中的一部分(即，P〈M-N-L)。
圖5表示各個分割數據的存儲位置的概括。對象信息全部被分割為N個 分割數據。其中，M個分割數據存儲到外部記憶裝置30的第2記憶部300。 另外，剩余的分割數據中的L個分割數據被存儲到第1記憶部205中。另夕卜， 剩余的分割數據中的P個分割數據通過登記部250來登記到外部的服務器 裝置。而且，被數據破壞部340所破壞的分割數據的個數D大于第1個數M 及基準個數K的差值，為該差值、第2個數L與第3個數P的總和以下。
圖6表示利 用信息處理裝置20根據外部記憶裝置30所存儲的分割數據 來恢復對象信息的處理的流程圖。信息處理裝置20例如根據外部記憶裝置 30安裝到信息處理裝置20上的情況，來進行以下的處理。第1恢復部260從 外部記憶裝置30中讀出存儲在外部記憶裝置30的第2記憶部300內并沒有被 數據破壞部340所破壞的分割數據(S600)。讀出的分割數據在形式上為M 個，不過其中的幾個有可能被破壞。因此，將讀出的分割數據中的沒有被 破壞的分割數據設為與M不同的M'個。
然后，第1恢復部260將讀出的分割數據恢復成對象信息208 (S610)。具體地說，首先，第1恢復部260利用錯誤訂正代碼來分別解密(解碼)已 讀出的M'個分割數據，生成M'個中間數據。然后，第1恢復部260根據已生 成的M'個中間數據，通過秘密分散法來嘗試對象信息208的恢復。如果M' 個是基準個數K以上則恢復成功。另外，在此時刻因為不知道讀出的M個 中的哪M'個未破壞，所以第l恢復部260能夠采用可假定為未破壞的數據的 分割數據的幾個組合來恢復幾個對象信息。
在恢復已成功時(S620: YES (是))，第1恢復部260結束本圖的處 理。另一方面，以恢復不成功的情況為條件(S620: NO (否))，笫l恢 復部260從第l記憶部205讀出L個分割數據，并且取得在外部的服務器裝置 上登記的P個分割數據(S630)?？筛鶕欠駨氖褂谜咛幗邮盏交謴鸵咽?敗的內容輸入，來判斷恢復是否成功。即，使用者嘗試利用在S610中恢復 的對象信息。然后，使用者在沒有正確地恢復該對象信息時，將恢復已失 敗的內容指示給信息處理裝置20。第1恢復部260根據該指示進行S630中的 處理。具體地說，第1恢復部260根據這些L+P個分割數據的各個數據，將 M '個分割數據恢復成對象信息208 。
圖7表示利用外部記憶裝置30來存儲分割數據并破壞已存儲的分割數 據的處理的流程圖。外部記憶裝置30例如定期地或者每當從外部取得數據 時進行以下的處理。第2生成部310從外部取得對象信息208，并針對該對象 信息208，進行基于在該對象信息208的恢復中需要基準個數K個分割數據 的秘密分散法的變換，生成基準個數K以上的第1個數的多個分割數據 (S700)。
具體地說，第2生成部310利用秘密分散法來變換對象信息，生成多個 中間數據，并通過錯誤訂正代碼來編碼已生成的各個中間數據，由此生成 多個分割數據。但是，在取得已經變換后的分割數據而不是變換前的對象 信息208時，不需要上述S700的處理。取得部320從信息處理裝置20直接、 或者經由第2記憶部300的變換取得變換對象信息208而生成的多個分割數 據(S710)。取得的分割數據是M個。第2存儲部330將取得的該M個分割 數據分別存儲到第2記憶部300中(S720)。另外，當未輸入對象信息208、分割數據時，第2生成部310除了以上處 理之外，還可以進行向信息處理裝置20通知第2記憶部300的剩余容量的處 理。通知的剩余容量可以是第2記憶部300自身的剩余容量，不過優(yōu)選是可 以在進行基于秘密分散法的變換后存儲的變換前的數據尺寸。例如，剩余 容量是X兆字節(jié)，在通過秘密分散法及錯誤訂正代碼而增加的數據的比例 為150%(即，增加至2.5倍)時，第2生成部310將X除以2.5而取得的X/2，5 兆字節(jié)作為剩余容量通知給信息處理裝置20。由此，在信息處理裝置20側 可適當掌握能追加存儲的容量，而未意識基于秘密*法的數據尺寸的變 化。
接著，數據破壞部340判斷是否接受了預定的操作(S730)。所謂預定 的操作例如是與外部記憶裝置30的信息處理裝置20的拆裝動作。拆裝雙方 的操作可以是預定的操作，也可以僅僅從信息處理裝置20卸下外部記憶裝 置30的操作是預定的操作，安裝的操作不是預定的操作。作為其他例，數 據破壞部340可以將在外部記憶裝置30中設置的規(guī)定的開關操作判斷為預 定的操作，或者將通過信息處理裝置20來訪問外部記憶裝置30的處理判斷 為預定的操作。另外，該判斷能夠與從S700到S720的處理獨立地進行。
以接受預定操作的情況為條件(S730: YES)，數據破壞部340啟動用 于測定作為數據破壞基準的時間的定時器(S740)。另外，數據破壞部340 判斷在接受預定操作之后是否經過了預先設定的基準時間(S750)。以經 過了基準時間的情況為條件(S750: YES)，數據破壞部340破壞在第2記 憶部300內存儲的M個分割數據中的、比基準個數K與第1個數M的差值多 且為該差值與第2個數L及第3個數P的和以下的個數的分割數據(S760)。 例如，通過隨機選擇了超過錯誤訂正代碼的訂正界限的數比特之后使這些 比特值反轉，來實現(xiàn)破壞。
取而代之，數據破壞部340能以經過時間到達基準時間的情況為條件， 緩緩地破壞分割數據，使錯誤比特數超過訂正界限。即，例如，數據破壞 部340每次經過比基準時間充分短的間隔時間，都對應該破壞的各個分割數 據，變更從該分割數據所包含的多個比特中隨機選擇的l比特的邏輯值。根據這樣的處理，越以前存儲的數據其錯誤比特數越多，因此能夠使對象信 息的不當恢復變得困難。而且，錯誤比特數取決于經過時間而增大，所以 在不當的使用者要恢復對象信息時難以分析有幾比特的比特錯誤。
以上，通過參照圖1至圖7來說明的信息系統(tǒng)10，可帶來以下所示的良 好效果。首先，在對象信息的變換中采用秘密分散法而不是現(xiàn)有的加密方
法，因此根據一旦^皮^:壞的數據，連初始數據的一部分都難以恢復。另夕卜， 被破壞的數據難以成為用于不當恢復其他數據的線索。而且，與現(xiàn)有的加 密方法相比，作為根據的理論極簡單，通過將來的研究可恢復不當數據的 風險極小。另外，因為基于秘密分歉法的變換與加密為獨立的處理，所以 還可以與現(xiàn)有的加密方法組合，從而進一步提高數據的機密性。
另外，通過變更利用錯誤訂正代碼進行編碼的一部分數據來實現(xiàn)數據 破壞，從而可降低數據破壞所需的處理量。即，在將編碼前的數據直接存
儲到外部記憶裝置30時，為了使該數據的一部分都不會不當地讀出，而需 要變更該數據的大部分。另一方面，在變更由錯誤訂正代碼進行了編碼的 數據時，只要變更的比特數超過訂正界限，則不當恢復變換前數據的一部 分是極困難的。這樣，除了秘密分散法之外還可以通過組合^l晉誤訂正代碼， 來使數據破壞所需的比特數極小。
應該變更的比特數的降低引起以下派生的效果。首先，是變更所需的 處理量降低。本實施方式的外部記憶裝置30通過外部記憶裝置30自身的功 能來破壞存儲的數據。另外，外部記憶裝置30即使是與信息處理裝置20未 連接的狀態(tài)也根據時間的經過來進行動作。因此，外部記憶裝置30無法僅 通過外部電源來進行動作，而需要安裝電池等來單獨動作。在外部記憶裝 置30中作為第2記憶部300安裝的閃速存儲器需要與應該變更的數據尺寸相 應的電力，應該變更的比特數的降低可顯著削減電池消耗量。例如，根據 發(fā)明者的試算，當將某通用的電池作為電源時，完全刪除整個數據僅僅能 進行四次，與此相對當每3小時變更由錯誤訂正代碼所編碼的數據的數比特 時，可使該電池持續(xù)200年。另外，閃速存儲器在數據的改寫次數達到規(guī)定 次數時就接近壽命而不能再使用，比特數的降低可延長外部記憶裝置30的
20壽命。
另外，在外部記憶裝置30中可將破壞了一部分的分割數據在信息處理 裝置20中恢復，由此帶來以下的效果。首先近年來，安全對策的重要度增 加，有時需要將機密性高的數據存儲在集中管理的服務器內，而不存儲到 信息處理裝置20等終端裝置中。與此相應，還采用幾乎不具有局部存儲區(qū) 域的痩客戶端等。在這樣的要求下，信息處理裝置20有時即使能夠臨時存 儲機密性高的數據也無法持續(xù)存儲。在這樣的情況下，根據本實施方式的 外部記憶裝置30，信息處理裝置20自身不存儲機密性高的數據，其單獨存 儲無法恢復對象信息的分割數據，由此在外部記憶裝置30中可根據需要自 由地恢復被破壞的數據。另外，通過將部分分割數據存儲到外部服務器裝 置，使信息處理裝置20自身連部分分割數據都不需要存儲。而且，使用者 利用移動目的地來訪問該服務器，因此即使在外部記憶裝置30中> 皮壞了數 據的情況下，也能夠根據需要自由地恢復數據。
圖8表示利用外部記憶裝置30來設定基準時間的處理的流程圖。測量部 365測量外部記憶裝置30與信息處理裝置20等外部信息處理裝置連接的頻 率(S800)。然后，測量部365將測量到的頻率通知給設定部350。設定部 350接收該通知內容，以測量到的頻率相對高的情況為條件，與測量到的頻 率相對低的情況相比，將基準時間設定得短(S810)。由此，根據目前為 止的履歷來預測應該保存數據的充分期間，在經過該期間后可自動地破壞 數據。
帽判斷部370判斷安裝的多個帽例如上述帽35-l ~ 3中的哪種帽 (S820)。將判斷結果通知給設定部350。設定部350接收該判斷結果，根 據安裝的帽的種類而將預定的長度時間設定為基準時間(S830)。由此， 使用者根據其目地來更換帽，從而可相應地設定數據的保存期間。
關鍵字檢索部375檢索作為分割數據存儲到第2記憶部300內的文件中 的、包含預定的關鍵字的文件(S840)。作為檢索關鍵的關鍵字例如優(yōu)選 是能啟發(fā)其為機密性高的數據的內容。將檢索結果通知給設定部350。設定 部350接收該檢索結果，以檢索到這樣的文件的情況為條件，與沒有檢索到這樣的文件的情況相比，將基準時間設定得短(S850)。
連接計數部380對外部記憶裝置30結束與預定的信息處理裝置的連接 后與其他信息處理裝置連接的次數進行計數(S860)。所謂該預定的信息 處理裝置例如是由外部記憶裝置30的使用者管理的信息處理裝置，在本實 施方式中為信息處理裝置20。然后，所謂其他信息處理裝置例如是他人的 信息處理裝置。連接計數部380例如以與本人的信息處理裝置連接的時刻為 起點，對與其他信息處理裝置連接的次數進行計數。將計數結果通知給設
定部350。
設定部350接收該計數結果，以計數的該連接次數相對多的情況為條 件，與該連接次數相對少的情況相比，將基準時間設定得短(S870)。另 夕卜，設定部350以接受了對開關32的規(guī)定操作的情況為條件(S880: YES )， 設定與其操作內容相應的基準時間(S8卯)。取代這樣的物理操作，設定 部350可根據從信息處理裝置20輸入用于基準時間設定的信號，來設定與該 信號相應的基準時間。
圖9表示根據存儲的分割數據利用外部記憶裝置30來恢復對象信息的 處理的流程圖。外部記憶裝置30例如以該外部記憶裝置30被安裝到信息處 理裝置20上的情況為條件，進行以下的處理。第2恢復部3卯從第2記憶部300 讀出多個分割數據(S900)。然后，第2恢復部390利用秘密分散法將已讀 出的這些多個分割數據恢復成對象信息，并輸出到外部的信息處理裝置20 (S910)。
接著，第2恢復部3卯判斷其恢復處理是否已成功(S920)。例如，以 接收到來自使用者的再次采用存儲到信息處理裝置20的分割數據來嘗試恢 復的指示的情況為條件，第2恢復部390判斷為其恢復處理已失敗。以恢復 處理已失敗的情況為條件(S920: NO)，第2恢復部3卯從信息處理裝置20 取得在信息處理裝置20的第1記憶部205中存儲的分割數據(L個)以及利 用信息處理裝置20登記到外部服務器裝置的分割數據(P個)(S930)。 然后，第2恢復部3卯根據已取得的分割數據，來恢復存儲在第2記憶部300 內且沒有被數據破壞部340所破壞的分割數據，并向信息處理裝置20輸出(S940)。
圖10表示信息處理裝置20的硬件結構的一例。信息處理裝置20具備 具有利用主控制器1082相互連接的CPU1000、 RAM1020和圖形控制器1075 的CPU周邊部；具有利用輸入輸出控制器1084與主控制器1082連接的通信 接口1030、硬盤驅動器1040和CD-ROM驅動器1060的輸入輸出部；以及具 有與輸入輸出控制器1084連接的ROM1010、軟盤驅動器1050和輸入輸出芯 片1070的其他輸入輸出部。
主控制器1082連接RAM1020和以高轉送速率訪問RAM1020的 CPU1000以及圖形控制器1075。 CPU1000根據在ROM1010以及RAM1020 中存儲的程序來進行動作，以控制各部。圖形控制器1075取得CPU1000等 在設置于RAM1020內的幀緩沖器上生成的圖像數據，并顯示到顯示裝置 1080上。取而代之，圖形控制器1075可以在內部包含存儲CPU1000等生成 的圖像數據的幀緩沖器。
輸入輸出控制器1084連接主控制器1082、作為比較高速的輸入輸出裝 置的通信接口1030、 USB接口1035、硬盤驅動器1040以及CD-ROM驅動器 1060。通信接口1030經由網絡與外部裝置進行通信。USB接口1035與外部 記憶裝置30等外部裝置連接。硬盤驅動器1040存儲信息處理裝置20使用的 程序以及數據。CD-ROM驅動器1060從CD-ROM1095讀取程序或數據，并 提供給RAM1020或硬盤驅動器1040。
另外，輸入輸出控制器1084連接ROM1010和軟盤驅動器1050及輸入輸 出芯片1070等比較低速的輸入輸出裝置。ROM1010存儲在信息處理裝置20 啟動時CPU1000所執(zhí)行的引導程序以及取決于信息處理裝置20的硬件的程 序等。軟盤驅動器1050從軟盤10卯讀取程序或數據，并經由輸入輸出芯片 1070提供給RAM1020或硬盤驅動器1040。輸入輸出芯片1070經由軟盤 IO卯、例如并行端口、串行端口、鍵盤端口、鼠標端口等連接各種輸入輸 出裝置。
提供給信息處理裝置20的程序存儲在軟盤1090、 CD-ROM1095或IC卡 等記錄媒介中，由使用者來提供。程序經由輸入輸出芯片1070和/或輸入輸出控制器1084從記錄媒介讀出，并安裝到信息處理裝置20上來執(zhí)行。在信 息處理裝置20、外部記憶裝置30中運行程序來執(zhí)行的動作與圖1至圖9所說 明的信息處理裝置20、外部記憶裝置30中的動作相同，所以省略說明。
以上所示的程序可以存儲在外部存儲媒介中。作為存儲媒介除了軟盤 IO卯、CD-ROM1095之外，還可以采用DVD及PD等光學記錄媒介、MD等 光磁記錄j!某介、磁帶媒介、IC卡等半導體存儲器等。另外，可以將與專用 通信網絡、因特網連接的設置在服務器系統(tǒng)中的硬盤或RAM等記憶裝置作 為記錄媒介使用，并經由網絡將程序提供給信息處理裝置20。
而且，以上所示的程序可經由USB接口1035等的輸入輸出接口，提供 給外部記憶裝置30等裝置。外部記憶裝置30利用CPU等來使輸入的程序動 作，由此來實現(xiàn)參照圖1至圖9對外部記憶裝置30進行了說明的各種功能。 取而代之，可以在設置于外部記憶裝置30的ROM等中預先存儲程序，并根 據該程序使外部記憶裝置30進行動作。另外，外部記憶裝置30的各個功能 不是通過軟件而是通過邏輯電路來實現(xiàn)的。作為一例，進行基于秘密M 法的變換來存儲數據的電路，讀出數據進行基于秘密分散法的恢復的電路， 用于破壞數據的電路，可通過驅動這些電路的電池來實現(xiàn)。該電池在外部 記憶裝置30與信息處理裝置20連接的情況下可利用由信息處理裝置20提供 的電源來充電。
以上，采用實施方式來說明了本發(fā)明，不過本發(fā)明的技術范圍不限于 上述實施方式所記載的范圍。從業(yè)人員可知在上述實施方式中可施加多種 變更或改良。從權利要求的范圍記載可知在本發(fā)明的技術范圍內還能夠包 含施加了這種變更或改良的形態(tài)。
權利要求
1.一種系統(tǒng)，其具備信息處理裝置和存儲從上述信息處理裝置接收的信息的外部記憶裝置，其中，上述信息處理裝置具有第1記憶部；第1生成部，其對作為存儲于上述外部記憶裝置的對象的對象信息，進行基于秘密分散法的變換，生成個數超過預定的基準個數的多個分割數據，在上述秘密分散法中上述基準個數的分割數據對于上述對象信息的恢復是必要的；輸出部，其從生成的上述多個分割數據中選擇上述基準個數以上的第1個數的分割數據，并向上述外部記憶裝置輸出；以及第1存儲部，其將生成的上述多個分割數據中除了輸出的上述分割數據之外的第2個數的分割數據存儲到上述第1記憶部；上述外部記憶裝置具有第2記憶部；第2存儲部，其將從上述信息處理裝置輸入的上述第1個數的分割數據分別存儲到上述第2記憶部；以及數據破壞部，其以經過了基準時間的情況為條件，破壞存儲的上述第1個數的分割數據中的、比上述基準個數與上述第1個數之間的差值多且為該差值與上述第2個數的和以下的個數的分割數據，上述基準時間是以接受了預定操作的時刻為基準而預先設定的。
2. 根據權利要求l所述的系統(tǒng)，其中，上述信息處理裝置具有第l恢復部，該笫l恢復部從上述外部記憶裝置 讀出存儲于上述第2記憶部且沒有被上述數據破壞部破壞的分割數據，并將 讀出的上述分割數據根據從上述第l存儲部讀出的分割數據來恢復成上述 對象信息。
3. 根據權利要求l所述的系統(tǒng)，其中，上述外部記憶裝置具有第2恢復部，該第2恢復部讀出存儲于上述笫2 記憶部且沒有被上述數據破壞部破壞的分割數據，并將讀出的上述分割數 據根據從上述信息處理裝置的上述第l記憶部讀出的分割數據來恢復成上 述對象信息。
4. 根椐權利要求l所述的系統(tǒng)，其中， 上述信息處理裝置還具有登記部，其將生成的上述多個分割數據中除了輸出的上述分割數據以 及存儲于上述第l記憶部的分割數據之外的分割數據登記到外部的服務器 裝置；以及第1恢復部，其從上述外部記憶裝置中讀出存儲于上述第2記憶部且沒 有被上述數據破壞部破壞的分割數據，并將讀出的上述分割數據根據登記 于上述服務器裝置的上述分割數據以及存儲于上述第l記憶部的分割數據 的任意一個來恢復成上述對象信息。
5. —種外部記憶裝置，其存儲用于外部的信息處理裝置的信息，其具備第2記憶部，其用于存儲作為存儲對象的信息即對象信息； 取得部，其取得對上述對象信息進行基于秘密分散法的變換而生成的 多個分割數據中的、預定的基準個數以上的第l個數的分割數據，在上述秘 密M法中上述基準個數的分割數據對于上述對象信息的恢復是必要的；第2存儲部，其將取得的上述第1個數的分割數據分別存儲到上述第2 記憶部；以及數據破壞部，其以經過了基準時間的情況為條件，破壞存儲的上述第l 個數的分割數據中的比上述基準個數與上述第1個數之間的差值多的個數 的分割數據，上述基準時間是以接受了預定操作的時刻為基準而預先設定 的。
6. 根據權利要求5所述的外部記憶裝置，還具備第2生成部，其對上述對象信息，進行基于秘密分軟法的變換，生成上 述基準個數以上的多個分割數據，在上述秘密分散法中上述基準個數的分割數據對于上述對象信息的恢復是必要的；其中，上述取得部從上述第2生成部取得上述第1個數的分割數據。
7. 根據權利要求6所述的外部記憶裝置，其中， 上述第2生成部基于秘密分散法來變換上述對象信息，生成多個中間數據，并利用錯誤訂正代碼來編碼生成的各個上述中間數據，由此生成多個 分割數據，上述數據破壞部通過變更存儲于上述笫2記憶部的上述第1個數的分割 數據中其一部分的分割數據中的超過錯誤訂正代碼的訂正界限的數個比 特，來破壞上述一部分的分割數據。
8. 根據權利要求6所述的外部記憶裝置，還具備第2恢復部，其從上述第2存儲部讀出多個分割數據，將讀出的上述多 個分割數據利用秘密分散法恢復成上述對象信息，并輸出到外部的信息處 理裝置。
9. 根據權利要求5所述的外部記憶裝置，還具備設定部，其對上述數據破壞部設定作為變更分割數據的條件的上述基 準時間。
10. 根據權利要求9所述的外部記憶裝置，還具備測量部，其測量上述外部記憶裝置與外部的信息處理裝置連接的頻率； 其中，上述設定部以在測量到的上述頻率相對高的情況下的上述基準時間比在測量到的上述頻率相對低的情況下的上述基準時間短的方式，設定上述基準時間。
11. 根據權利要求9所述的外部記憶裝置，還具備帽判斷部，其判斷在用于連接上述外部記憶裝置與外部的信息處理裝 置的連接端子上安裝有在沒有進行該連接時能安裝的多種帽中的哪種帽；其中，上述設定部根椐安裝的帽的種類將預定長度的時間設定為上述 基準時間。
12. 根據權利要求9所述的外部記憶裝置，還具備 關鍵字檢索部，其檢索在上述第2存儲部作為分割數據存儲的文件中的包含預定的關鍵字的文件；其中，上述設定部以在檢索到上述文件的情況下的上述基準時間比在 沒有檢索到上述文件的情況下的上述基準時間短的方式，設定上述基準時 間。
13. 根據權利要求9所述的外部記憶裝置，還具備連接計數部，其對在上述外部記憶裝置與預定的信息處理裝置的連接 結束后與其他信息處理裝置連接的次數進行計數；準時間比在上述連接次數相對少的情況下的上述基準時間短的方式，設定 上述基準時間。
14. 一種方法，用于在具備信息處理裝置和外部記憶裝置的系統(tǒng)中使 外部記憶裝置存儲從信息處理裝置接收的信息，其中，上述信息處理裝置具有第l記憶部；上述方法具有在上述信息處理裝置中進行的以下步驟對作為存儲于上述外部記憶裝置的對象的對象信息，進行基于秘密分 散法的變換，生成個數超過預定的基準個數的多個分割數據，在上述秘密 分散法中上述基準個數的分割數據對于上述對象信息的恢復是必要的；從生成的上述多個分割數據中選擇上述基準個數以上的第l個數的分 割數據，并向上述外部記憶裝置輸出；以及將生成的上述多個分割數據中除了輸出的上述分割數據之外的第2個 數的分割數據存儲到上述第l記憶部；上述外部記憶裝置具有第2記憶部；上述方法具有在上述外部記憶裝置中進行的以下步驟將從上述信息處理裝置輸入的上述第l個數的分割數據分別存儲到上 述第2記憶部；以及以經過了基準時間的情況為條件，破壞存儲的上述第1個數的分割數據 中的、比上述基準個數與上述第1個數之間的差值多且為該差值與上述第2 個數的和以下的個數的分割數據，上述基準時間是以接受了預定操作的時刻為基準而預先設定的。
15. —種程序，其在具^f言息處理裝置和存儲從上述信息處理裝置接 收的信息的外部記憶裝置的系統(tǒng)中運行，其中， 使上述信息處理裝置作為以下各部發(fā)揮作用 第l記憶部；第l生成部，其對作為存儲于上述外部記憶裝置的對象的對象信息，進 行基于秘密分散法的變換，生成個數超過預定的基準個數的多個分割數據， 在上述秘密分散法中上述基準個數的分割數據對于上述對象信息的恢復是 必要的；輸出部，其從生成的上述多個分割數據中選擇上述基準個數以上的第1 個數的分割數據，并向上述外部記憶裝置輸出；以及第l存儲部，其將生成的上述多個分割數據中除了輸出的上述分割數據 之外的第2個數的分割數據存儲到上述第l記憶部；使上述外部記憶裝置作為以下各部發(fā)揮作用第2記憶部；第2存儲部，其將從上述信息處理裝置輸入的上述第l個數的分割數據 分別存儲到上述第2記憶部；以及數據破壞部，其以經過了基準時間的情況為條件，破壞存儲的上述第l個數的分割數據中的、比上述基準個數與上述第1個數之間的差值多且為該 差值與上述第2個數的和以下的個數的分割數據，上述基準時間是以接受了 預定操作的時刻為基準而預先設定的。
全文摘要
本發(fā)明提供即使遺失或失竊也難以泄漏機密信息的外部記憶裝置。一種存儲用于外部的信息處理裝置的信息的外部記憶裝置，其具有第2記憶部，其用于存儲作為存儲對象的信息即對象信息；取得部，其取得對對象信息進行基于秘密分散法的變換而生成的多個分割數據中的、預定的基準個數以上的第1個數的分割數據，在秘密分散法中基準個數的分割數據對于對象信息的恢復是必要的；第2存儲部，其將取得的第1個數的分割數據分別存儲到第2記憶部；以及數據破壞部，其以經過了基準時間的情況為條件，破壞存儲的第1個數的分割數據中的比基準個數與第1個數之間的差值多的個數的分割數據，基準時間是以接受了預定操作的時刻為基準而預先設定的。
文檔編號G06K19/073GK101568929SQ20078004768
公開日2009年10月28日 申請日期2007年12月21日 優(yōu)先權日2006年12月26日
發(fā)明者中山清喬 申請人:國際商業(yè)機器公司