CN101568929B - 变换信息的技术 - Google Patents

Abstract

本发明提供即使遗失或失窃也难以泄漏机密信息的外部记忆装置。一种存储用于外部的信息处理装置的信息的外部记忆装置，其具有：第2记忆部，其用于存储作为存储对象的信息即对象信息；取得部，其取得对对象信息进行基于秘密分散法的变换而生成的多个分割数据中的、预定的基准个数以上的第1个数的分割数据，在秘密分散法中基准个数的分割数据对于对象信息的恢复是必要的；第2存储部，其将取得的第1个数的分割数据分别存储到第2记忆部；以及数据破坏部，其以经过了基准时间的情况为条件，破坏存储的第1个数的分割数据中的比基准个数与第1个数之间的差值多的个数的分割数据，基准时间是以接受了预定操作的时刻为基准而预先设定的。

Description

变换信息的技术

技术领域

本发明涉及变换信息的技术。本发明尤其涉及在将从信息处理装置取得的信息存储到外部记忆装置时，对存储的信息进行数据变换的技术。

背景技术

近年来，广泛普及了可携带的记忆装置，例如USB存储器、CompactFlash(注册商标)存储器或SD存储卡等，其存储容量也变大。这些记忆装置即使在多个信息处理装置之间没有配备充分的通信环境，也能够高速地收发庞大的数据，从而便利性高。而且，这些记忆装置安装有闪速存储器等非易失性存储器设备，即使没有电源也能够长期间保存数据，从而可适用的用途广泛。

后面对下述的参考文献进行叙述。

专利文献1：日本特开昭63-301389号公报；

专利文献2：日本特开2006-195719号公报；

专利文献3：日本特开2002-73422号公报；

非专利文献1：Japanese News article on Secure USB Memory Serviceprovided by NTT communications，webpage URL“http://enterprise.watch.impress.co.jp/cda/security/2005/03/24/4901.html”，searched at December 20，2006；

非专利文献2：Idea CS provided by Mitani corporation，webpage URL“http://tkinfo.mitani-corp.co.jp/product/idea_cs.html”，searched atDecember 20，2006。

这样的记忆装置因其便利性以及便携性而被广泛普及，价格也相应地降低，因此可便于使用，但反过来存在如若遗失则泄漏机密信息的问题。例如，这些记忆装置因为体型小而存在携带的过程中遗失的情况，或安装在他人的信息处理装置上忘记卸下的情况。在这样的情况下，有恶意的使用者能够在瞬间完全地取得存储的庞大数据。即，在遗失时记忆装置的优点反而成为了缺点，有可能给合法使用者带来不利。

为此，对存储在记忆装置中的数据进行加密，仅合法的使用者能够解密。但是，存在即使进行了加密也不能充分地保护机密的情况。第1，在直接安装到信息处理装置上忘记卸下时，已经由合法使用者许可解密，恶意使用者可直接进行参照。第2，合法使用者有可能忘记用于解密的密码，即使记住密码也要不厌其烦地每次输入密码。第3，在信息处理装置侧需要有用于加密及解密的软件，如果没有安装特定的操作系统(例如Windows(注册商标))则有时无法利用。

具体地说，在非专利文献1及非专利文献2中提出了通过采用秘密分散法来令合法使用者以外的人难以读出的USB存储器设备。但是，这些文献所记载的设备，在其自身中不存储可恢复初始数据的全部数据片段，而是将一部分数据存储到用户的个人计算机(以下PC)等中。因此，在初始数据的恢复中必须有这样的用户PC。在这样的用户PC中需要有用于数据恢复的专用软件。另外，存储器设备自身在具有这样的专用软件的PC以外无法使用。

第4，可举出即使经过加密也不能完全防止恶意使用者进行参照。这是因为，加密不过是“在加密时进行逆变换的计算非常困难的变换”。例如，有若准备大量的高性能信息处理装置进行计算则可以解密的情况。另外，还有发现与构成加密基础的理论相反、用于解读加密的有效计算方法的情况。即使存在一点点这样的可能性，则关于机密性非常高的数据也能够产生问题。例如，在军事机密等的数据被盗窃的情况下，即使已进行了加密，但对其解读的一点点可能性都有可能被利用为不当交涉的材料。

这样，从机密保持的观点出发，关于因便利而广泛普及的小型记忆装置、利用该记忆装置的现有技术举出了不充分的方面。因此，需要在哪里都不会损害可轻松利用这样的记忆装置的优点，且强化了机密保持功能的记忆装置。

另外作为参考，关于以时间经过为条件破坏存储到记忆装置内的信息的技术，希望参照上述专利文献1和2。另外，关于将数据片段化后进行存储的技术希望参照上述专利文献3。

发明内容

因此，本发明的目的是提供可解决上述课题的系统、外部记忆装置、方法以及程序。通过组合权利要求范围中的独立权利要求所记载的特征来实现该目的。另外从属权利要求规定了对本发明更有利的具体例。

为了解决上述课题，在本发明的一个侧面中，提供了一种系统，其具备信息处理装置和存储从信息处理装置接收的信息的外部记忆装置，其中，信息处理装置具有：第1记忆部；第1生成部，其对作为存储于外部记忆装置的对象的对象信息，进行基于秘密分散法的变换，生成个数超过预定的基准个数的多个分割数据，在秘密分散法中基准个数的分割数据对于对象信息的恢复是必要的；输出部，其从生成的多个分割数据中选择基准个数以上的第1个数的分割数据，并向外部记忆装置输出；以及第1存储部，其将生成的多个分割数据中除了输出的分割数据之外的第2个数的分割数据存储到第1记忆部；外部记忆装置具有：第2记忆部；第2存储部，其将从信息处理装置输入的第1个数的分割数据分别存储到第2记忆部；以及数据破坏部，其以经过了基准时间的情况为条件，破坏存储的第1个数的分割数据中的、比基准个数与第1个数之间的差值多且为该差值与第2个数的和以下的个数的分割数据，基准时间是以接受了预定操作的时刻为基准而预先设定的。另外，还提供了通过该系统使外部记忆装置从信息处理装置取得信息后存储的方法。另外，还提供了使信息处理装置和外部记忆装置如该系统那样地发挥作用的程序。

另外，上述发明的概要并非列举了本发明的全部必要特征，这些特征群的子组合也能够构成发明。

附图说明

图1表示信息系统10的整体结构。

图2表示信息处理装置20的功能结构。

图3表示外部记忆装置30的功能结构。

图4表示利用信息处理装置20将对象信息存储到外部记忆装置30中的处理的流程图。

图5表示各个分割数据的存储位置的概括。

图6表示利用信息处理装置20根据存储到外部记忆装置30的分割数据来恢复对象信息的处理的流程图。

图7表示通过外部记忆装置30来存储分割数据并破坏已存储的分割数据的处理的流程图。

图8表示利用外部记忆装置30来设定基准时间的处理的流程图。

图9表示利用外部记忆装置30根据存储的分割数据来恢复对象信息的处理的流程图。

图10表示信息处理装置20的硬件结构的一例。

符号说明：

10：信息系统；20：信息处理装置；30：外部记忆装置；32：开关；35：帽；200：存储器设备；205：第1记忆部；208：对象信息；210：通信I/F；220：第1生成部；230：输出部；240：第1存储部；250：登记部；260：第1恢复部；300：第2记忆部；310：第2生成部；320：取得部；330：第2存储部；340：数据破坏部；350：设定部；360：设定控制部；365：测量部；370：帽判断部；375：关键字检索部；380：连接计数部；390：第2恢复部。

具体实施方式

以下，通过用于实施发明的优选方式(以下，称为实施方式)来说明本发明，不过以下的实施方式并没有限定权利要求范围所涉及的发明，另外，本发明的解决手段不限于必须是实施方式中所说明的特征组合的全部。

图1表示信息系统10的整体结构。信息系统10具有：信息处理装置20、外部记忆装置30和帽35-1～3。信息处理装置20是个人计算机或PDA等装置，其根据使用者的操作进行信息的加工/运算。外部记忆装置30例如是USB存储器设备、CompactFlash(注册商标)存储卡或SD存储卡等，外部记忆装置30被设置为可与信息处理装置20进行拆装，并存储从信息处理装置20接收的信息。本实施方式的信息系统10的目的是：即使在忘记删除临时存储到外部记忆装置30内的机密信息等数据时，也能够在经过一定期间后将该数据破坏成极难恢复的状态。而且，该破坏处理是通过外部记忆装置30自身的功能来实现的，所以当外部记忆装置30遗失或失窃时，即使未从外部提供指示或电源也能够降低信息泄漏的风险。

另外，在用于外部记忆装置30与信息处理装置20连接的连接端子上，当没有进行该连接时可分别安装帽35-1～3。安装这些帽35-1～3的目的是保护该连接端子。帽35-1～3还起到调节数据破坏的基准时间、数据的破坏速度的作用。即，帽35-1～3的种类互不相同，可设计成根据颜色的区别等从外部就能够识别出种类。然后，外部记忆装置30根据安装某个帽35来调节数据破坏的基准时间、破坏速度。在外部记忆装置30中还能够设置有从外部可操作的开关32。外部记忆装置30可按照对开关32的操作来调节数据破坏的基准时间、破坏速度。通过这样的设计，可按照其用途来相应地变更数据破坏的定时。

以下，对具体的结构进行说明。

图2表示信息处理装置20的功能结构。信息处理装置20具有：存储器设备200、通信I/F210、第1生成部220、输出部230、第1存储部240、登记部250和第1恢复部260。存储器设备200通过后述的RAM1020或硬盘驱动器1040来实现，其存储根据使用者的操作而生成的数据，或存储从外部输入的数据。例如，存储器设备200存储作为外部记忆装置30所存储的对象的对象信息208。另外，存储器设备200具有第1记忆部205。第1记忆部205起到作为用于存储后述分割数据的存储区域的作用。通信I/F210通过后述的通信接口1030来实现，其与外部的服务器装置等进行通信。

第1生成部220、输出部230、第1存储部240、登记部250以及第1恢复部260分别通过基于安装的程序指示进行动作的后述CPU1000等来实现。第1生成部220从存储器设备200读出作为外部记忆装置30所存储的对象的对象信息208。然后，第1生成部220对该对象信息208进行基于秘密分散法的变换，该秘密分散法在该对象信息208的恢复中需要预定的基准个数K个分割数据，该变换生成个数超过该基准个数K的多个分割数据。将此个数设为N个。

这里，秘密分散法的基本概念是例如将一次函数的y切片的大小设为明文(plaintext)，将该一次函数通过的多个点的各个坐标值设为变换后的数据。在没有取得两个以上的坐标值时，例如即使取得了一个坐标值，确定初始的y切片的值也是极困难的。这样，秘密分散法与现有的加密方法相比，以残片方式取得的数据难以成为不当数据恢复的线索，而且，就连不当恢复明文数据的一部分都是困难的。另外，关于秘密分散法，作为其变换基础的理论是极简单的，与其理论相反，该秘密分散法具有难以发现易于推测y切片的方法这样的特征。

输出部230从已生成的这些N个分割数据中选择基准个数K以上的第1个数M个分割数据，向外部记忆装置30输出，在外部记忆装置30中存储到后述的第2记忆部300。第1存储部240将已生成的N个分割数据中除了已输出的该M个分割数据以外的第2个数的分割数据存储到第1记忆部205内。将该第2个数设为L个。存储的分割数据可以是从已生成的分割数据输出的分割数据之外的全部分割数据(即，L＝M-N)，也可以是其中的一部分(即，L＜M-N)。除了以上处理之外，登记部250还可以将已生成的N个分割数据中除了已输出的M个分割数据和已存储的L个分割数据之外的P个分割数据登记到外部的服务器装置。外部的服务器装置优选由政府或政府间机关、地方公共团体等可靠性高的团体来运营，或者由技术能力更高的通信稳定的企业等来运营。

登记的分割数据可以是除外剩余的全部的分割数据(即，P＝M-N-L)，也可以是其中的一部分(即，P＜M-N-L)。另外，为了能够进行登记，前提是第1生成部220生成比第1个数M多2个以上的N个分割数据。第1恢复部260从外部记忆装置30读出存储在外部记忆装置30的第2记忆部300内且没有被外部记忆装置30的数据破坏部340破坏的分割数据，将读出的分割数据根据从第1记忆部205读出的分割数据来恢复成对象信息208。在登记部250将分割数据登记到外部的服务器装置时，第1恢复部260可还根据登记到外部服务器装置的该分割数据，将分割数据恢复成对象信息208。

图3表示外部记忆装置30的功能结构。外部记忆装置30具有：第2记忆部300、第2生成部310、取得部320、第2存储部330、数据破坏部340、设定部350、设定控制部360和第2恢复部390。外部记忆装置30除了参照图2所说明的信息处理装置20之外还能够与未特别具有数据分割功能的信息处理装置连接。以下，对两者的情况一并进行说明。为了存储从信息处理装置20接收的对象信息208，而设置有第2记忆部300。第2生成部310在与信息处理装置20进行连接的情况下，从信息处理装置20中取得变换对象信息208而生成的多个分割数据。该分割数据的个数是M个。

另一方面，第2生成部310在与其他信息处理装置连接的情况下，取得对象信息208变换前的状态。在此情况下，第2生成部310对该对象信息208进行基于秘密分散法的变换，生成基准个数K以上的第1个数的多个分割数据，在该秘密分散法中基准个数K的分割数据对于该对象信息208的恢复是必要的。将该第1个数设为M个。另外，当对象信息208的数据尺寸大时，第2生成部310在将表示对象信息208的数据预先分割为多个后，可将他们进一步分割为M个分割数据。此后，将生成的分割数据的数设为M个，对从信息处理装置20取得M个分割数据的情况和在外部记忆装置30中生成M个分割数据的情况的各个情况一并进行说明。首先，取得部320在进行第2生成部310的变换时从第2生成部310取得基于该变换的分割数据，在没有进行变换时从第2生成部310取得从外部的信息处理装置取得的分割数据。

第2存储部330将已取得的该M个分割数据分别存储到第2记忆部300中。这些M个分割数据准备在以后读出，且优选相互对应着进行存储。作为一例，当第2记忆部300预先分割为M个区域时，第2存储部330将已取得的M个分割数据分别存储到这些M个区域的各个区域中。例如在M＝2时，将第2记忆部300预先分割为两个区域，第2存储部330可应用镜像(RAID-1)技术，针对各个区域共同存储由同一对象信息变换而生成的各个分割数据。这些可赋予同一文件名，或者可赋予能够掌握相互对应关系的文件名。例如，第2存储部330可通过对相互对应的分割数据赋予共用的包含字符串的文件名，来对应地存储这些分割数据。作为一例，第2存储部330可采用表示对象信息的数据的文件名(例如，XXX.txt)，对某个分割数据赋予XXX.txt01这样的名字，对其他分割数据赋予XXX.txt02这样的文件名。

数据破坏部340以经过基准时间为条件，破坏已存储的M个分割数据中的比基准个数K和第1个数M之间的差值多的个数的分割数据，该基准时间是以接受了预定操作的时刻为基准而预先设定的。所谓破坏例如就是从构成数据的比特中变更随机选择的比特。该变更可以仅仅是1比特，不过例如在通过错误订正代码来编码分割数据时，需要变更超过其订正界限的个数的比特。

另外，为了能够进行基于存储器设备200所存储的分割数据的恢复，而进一步将被破坏的分割数据的个数是基准个数K和第1个数M的差值与第2个数L相加的和以下的情况，作为条件。而且为了能够进行基于存储器设备200及外部服务器装置中的分割数据的恢复，而进一步将被破坏的分割数据的个数是该差值与第2个数L以及第3个数P相加的和以下的情况，作为条件。作为数据破坏部340的其他动作例，数据破坏部340可根据时间的经过来缓缓地变更分割数据。

设定部350对数据破坏部340设定作为变更分割数据的条件的基准时间。例如，设定部350可根据使用者等对开关32的操作，来变更应该设定的基准时间。而且，设定部350根据来自后述的设定控制部360的指示来变更应该设定的基准时间。另外，作为其他例，设定部350可变更破坏数据的速度，对数据破坏部340进行设定。所谓速度例如是每一单位时间内变更的比特数。由此，越是以前存储的数据，恢复起来越困难。

设定控制部360进行设定部350所设定的用于决定上述基准时间的控制。具体地说，设定控制部360具有：测量部365、帽判断部370、关键字检索部375和连接计数部380。测量部365对外部记忆装置30与信息处理装置20等外部的信息处理装置连接的频率进行测量。所谓频率例如是1周几次、1个月几次这样的每一单位期间内的次数。另外，所谓连接可以是电气通信处理，也可以是物理安装连接端子的处理。然后，测量部365将测量到的频率通知给设定部350。接收该通知内容后，设定部350以在测量到的频率相对高的情况下的基准时间比在测量到的频率相对低的情况下的基准时间短的方式，设定基准时间。由此，根据目前为止的履历来预测应该保存数据的充分期间，在经过该期间后可自动破坏数据。

帽判断部370判断安装的多个帽例如上述帽35-1～3中的哪种帽。例如，将帽中的与外部记忆装置30接合的接合部制成可识别该帽的种类的形状，帽判断部370通过根据其形状识别帽的种类来实现种类的判断。将判断结果通知给设定部350。设定部350接收该判断结果后，根据安装的帽的种类来将预定长度的时间设定为基准时间。由此，使用者可按照其目的来替换帽。例如，对帽35-1预定1个月、对帽35-2预定3个月、对帽35-3预定6个月等期间时，使用者如果按照其用途来分开使用各个帽，则能够相应地设定破坏数据的期间。

关键字检索部375检索在第2记忆部300中作为分割数据存储的文件中的包含预定关键字的文件。成为检索关键的关键字例如优选是能启发其为机密性高的数据的内容。具体地说，是密码、PASSWORD、机密、CONFIDENTIAL或重要等。将检索结果通知给设定部350。设定部350接收该检索结果，以在检索到这样的文件的情况下的基准时间比在没有检索到这样的文件的情况下的基准时间短的方式，设定基准时间。

连接计数部380对外部记忆装置30结束与预定的信息处理装置的连接后与其他信息处理装置连接的次数进行计数。所谓该预定的信息处理装置例如是由外部记忆装置30的使用者管理的信息处理装置，在本实施方式中为信息处理装置20。此外，所谓其他信息处理装置例如是他人的信息处理装置。连接计数部380例如以与本人的信息处理装置连接的时刻为起点，对与其他信息处理装置连接的次数进行计数。将计数结果通知给设定部350。设定部350接收该计数结果，以在计数的该连接次数相对多的情况下的基准时间比在连接次数相对少的情况下的基准时间短的方式，设定基准时间。由此，在不经由与自己的信息处理装置连接而频繁与他人信息处理装置连接的情况下，可作为不太正常的使用形态视为某种非法的可能性高而迅速地破坏数据。

第2恢复部390从第2记忆部300中读出多个分割数据，利用秘密分散法将读出的这些多个分割数据恢复成对象信息，并输出到外部的信息处理装置20。例如，第2恢复部390以外部记忆装置30的连接端子被安装到信息处理装置20上为条件，可自动地进行其恢复处理。作为处理的具体例，例如在第2记忆部300预先分割为M个区域时，第2恢复部390从各个区域读出同一文件名或对应文件名的文件，并将读出的各个文件作为分割数据进行秘密分散法的恢复处理。

另外，秘密分散法的恢复处理为在安装了用于恢复的算法的程序中输入多个分割数据的处理，其结果不知道对象信息是否正确恢复。因此，将不知是否正确恢复的该对象信息输出到信息处理装置20，结果，信息处理装置20的使用者作为已恢复失败的人，有时对外部记忆装置30指示基于第1记忆部205所存储的分割数据的恢复。在这样的情况下，第2恢复部390可读出存储在第2记忆部300内而没有被数据破坏部340所破坏的分割数据，将读出的该分割数据，基于从信息处理装置20的第1记忆部205读出的分割数据，恢复成对象信息。这样，存储到第1记忆部205内的分割数据可以在信息处理装置20中进行恢复，也可以在外部记忆装置30中进行恢复。

图4表示利用信息处理装置20将对象信息存储到外部记忆装置30的处理的流程图。第1生成部220对作为外部记忆装置30所存储的对象的对象信息208进行基于秘密分散法以及错误订正代码的编码的变换(S400)。具体地说，首先，第1生成部220进行基于在该对象信息208的恢复中需要预定的基准个数K个分割数据的秘密分散法的变换，生成超过该基准个数K的个数的多个中间数据。然后，第1生成部220利用错误订正代码来编码已生成的各个中间数据，由此生成多个分割数据。该分割数据的个数也仍是N个。作为错误订正代码例如可以采用BCH代码。

输出部230从已生成的这些N个分割数据中选择基准个数K以上的第1个数M的分割数据，并向外部记忆装置30输出，在外部记忆装置30中将其存储到后述的第2记忆部300(S410)。第1存储部240将已生成的N个分割数据中除了输出的M个分割数据之外的第2个数L的分割数据存储到第1记忆部205(S420)。存储的分割数据的个数L可以是从已生成的分割数据中除去已输出的分割数据的全部数据(即，L＝M-N)，也可以是其中的一部分(即，L＜M-N)。

除了以上的处理之外，登记部250还可以向外部的服务器装置登记已生成的N个分割数据中除了输出的M个分割数据以及存储的L个分割数据之外的P个分割数据(S430)。登记的分割数据的个数P可以是除此之外剩余的全部分割数据(即，P＝M-N-L)，也可以使其中的一部分(即，P＜M-N-L)。

图5表示各个分割数据的存储位置的概括。对象信息全部被分割为N个分割数据。其中，M个分割数据存储到外部记忆装置30的第2记忆部300。另外，剩余的分割数据中的L个分割数据被存储到第1记忆部205中。另外，剩余的分割数据中的P个分割数据通过登记部250来登记到外部的服务器装置。而且，被数据破坏部340所破坏的分割数据的个数D大于第1个数M及基准个数K的差值，为该差值、第2个数L与第3个数P的总和以下。

图6表示利用信息处理装置20根据外部记忆装置30所存储的分割数据来恢复对象信息的处理的流程图。信息处理装置20例如根据外部记忆装置30安装到信息处理装置20上的情况，来进行以下的处理。第1恢复部260从外部记忆装置30中读出存储在外部记忆装置30的第2记忆部300内并没有被数据破坏部340所破坏的分割数据(S600)。读出的分割数据在形式上为M个，不过其中的几个有可能被破坏。因此，将读出的分割数据中的没有被破坏的分割数据设为与M不同的M′个。

然后，第1恢复部260将读出的分割数据恢复成对象信息208(S610)。具体地说，首先，第1恢复部260利用错误订正代码来分别解密(解码)已读出的M′个分割数据，生成M′个中间数据。然后，第1恢复部260根据已生成的M′个中间数据，通过秘密分散法来尝试对象信息208的恢复。如果M′个是基准个数K以上则恢复成功。另外，在此时刻因为不知道读出的M个中的哪M′个未破坏，所以第1恢复部260能够采用可假定为未破坏的数据的分割数据的几个组合来恢复几个对象信息。

在恢复已成功时(S620：YES(是))，第1恢复部260结束本图的处理。另一方面，以恢复不成功的情况为条件(S620：NO(否))，第1恢复部260从第1记忆部205读出L个分割数据，并且取得在外部的服务器装置上登记的P个分割数据(S630)。可根据是否从使用者处接收到恢复已失败的内容输入，来判断恢复是否成功。即，使用者尝试利用在S610中恢复的对象信息。然后，使用者在没有正确地恢复该对象信息时，将恢复已失败的内容指示给信息处理装置20。第1恢复部260根据该指示进行S630中的处理。具体地说，第1恢复部260根据这些L+P个分割数据的各个数据，将M′个分割数据恢复成对象信息208。

图7表示利用外部记忆装置30来存储分割数据并破坏已存储的分割数据的处理的流程图。外部记忆装置30例如定期地或者每当从外部取得数据时进行以下的处理。第2生成部310从外部取得对象信息208，并针对该对象信息208，进行基于在该对象信息208的恢复中需要基准个数K个分割数据的秘密分散法的变换，生成基准个数K以上的第1个数的多个分割数据(S700)。

具体地说，第2生成部310利用秘密分散法来变换对象信息，生成多个中间数据，并通过错误订正代码来编码已生成的各个中间数据，由此生成多个分割数据。但是，在取得已经变换后的分割数据而不是变换前的对象信息208时，不需要上述S700的处理。取得部320从信息处理装置20直接、或者经由第2记忆部300的变换取得变换对象信息208而生成的多个分割数据(S710)。取得的分割数据是M个。第2存储部330将取得的该M个分割数据分别存储到第2记忆部300中(S720)。

另外，当未输入对象信息208、分割数据时，第2生成部310除了以上处理之外，还可以进行向信息处理装置20通知第2记忆部300的剩余容量的处理。通知的剩余容量可以是第2记忆部300自身的剩余容量，不过优选是可以在进行基于秘密分散法的变换后存储的变换前的数据尺寸。例如，剩余容量是X兆字节，在通过秘密分散法及错误订正代码而增加的数据的比例为150％(即，增加至2.5倍)时，第2生成部310将X除以2.5而取得的X/2.5兆字节作为剩余容量通知给信息处理装置20。由此，在信息处理装置20侧可适当掌握能追加存储的容量，而未意识基于秘密分散法的数据尺寸的变化。

接着，数据破坏部340判断是否接受了预定的操作(S730)。所谓预定的操作例如是与外部记忆装置30的信息处理装置20的拆装动作。拆装双方的操作可以是预定的操作，也可以仅仅从信息处理装置20卸下外部记忆装置30的操作是预定的操作，安装的操作不是预定的操作。作为其他例，数据破坏部340可以将在外部记忆装置30中设置的规定的开关操作判断为预定的操作，或者将通过信息处理装置20来访问外部记忆装置30的处理判断为预定的操作。另外，该判断能够与从S700到S720的处理独立地进行。

以接受预定操作的情况为条件(S730：YES)，数据破坏部340启动用于测定作为数据破坏基准的时间的定时器(S740)。另外，数据破坏部340判断在接受预定操作之后是否经过了预先设定的基准时间(S750)。以经过了基准时间的情况为条件(S750：YES)，数据破坏部340破坏在第2记忆部300内存储的M个分割数据中的、比基准个数K与第1个数M的差值多且为该差值与第2个数L及第3个数P的和以下的个数的分割数据(S760)。例如，通过随机选择了超过错误订正代码的订正界限的数比特之后使这些比特值反转，来实现破坏。

取而代之，数据破坏部340能以经过时间到达基准时间的情况为条件，缓缓地破坏分割数据，使错误比特数超过订正界限。即，例如，数据破坏部340每次经过比基准时间充分短的间隔时间，都对应该破坏的各个分割数据，变更从该分割数据所包含的多个比特中随机选择的1比特的逻辑值。根据这样的处理，越以前存储的数据其错误比特数越多，因此能够使对象信息的不当恢复变得困难。而且，错误比特数取决于经过时间而增大，所以在不当的使用者要恢复对象信息时难以分析有几比特的比特错误。

以上，通过参照图1至图7来说明的信息系统10，可带来以下所示的良好效果。首先，在对象信息的变换中采用秘密分散法而不是现有的加密方法，因此根据一旦被破坏的数据，连初始数据的一部分都难以恢复。另外，被破坏的数据难以成为用于不当恢复其他数据的线索。而且，与现有的加密方法相比，作为根据的理论极简单，通过将来的研究可恢复不当数据的风险极小。另外，因为基于秘密分散法的变换与加密为独立的处理，所以还可以与现有的加密方法组合，从而进一步提高数据的机密性。

另外，通过变更利用错误订正代码进行编码的一部分数据来实现数据破坏，从而可降低数据破坏所需的处理量。即，在将编码前的数据直接存储到外部记忆装置30时，为了使该数据的一部分都不会不当地读出，而需要变更该数据的大部分。另一方面，在变更由错误订正代码进行了编码的数据时，只要变更的比特数超过订正界限，则不当恢复变换前数据的一部分是极困难的。这样，除了秘密分散法之外还可以通过组合错误订正代码，来使数据破坏所需的比特数极小。

应该变更的比特数的降低引起以下派生的效果。首先，是变更所需的处理量降低。本实施方式的外部记忆装置30通过外部记忆装置30自身的功能来破坏存储的数据。另外，外部记忆装置30即使是与信息处理装置20未连接的状态也根据时间的经过来进行动作。因此，外部记忆装置30无法仅通过外部电源来进行动作，而需要安装电池等来单独动作。在外部记忆装置30中作为第2记忆部300安装的闪速存储器需要与应该变更的数据尺寸相应的电力，应该变更的比特数的降低可显著削减电池消耗量。例如，根据发明者的试算，当将某通用的电池作为电源时，完全删除整个数据仅仅能进行四次，与此相对当每3小时变更由错误订正代码所编码的数据的数比特时，可使该电池持续200年。另外，闪速存储器在数据的改写次数达到规定次数时就接近寿命而不能再使用，比特数的降低可延长外部记忆装置30的寿命。

另外，在外部记忆装置30中可将破坏了一部分的分割数据在信息处理装置20中恢复，由此带来以下的效果。首先近年来，安全对策的重要度增加，有时需要将机密性高的数据存储在集中管理的服务器内，而不存储到信息处理装置20等终端装置中。与此相应，还采用几乎不具有局部存储区域的瘦客户端等。在这样的要求下，信息处理装置20有时即使能够临时存储机密性高的数据也无法持续存储。在这样的情况下，根据本实施方式的外部记忆装置30，信息处理装置20自身不存储机密性高的数据，其单独存储无法恢复对象信息的分割数据，由此在外部记忆装置30中可根据需要自由地恢复被破坏的数据。另外，通过将部分分割数据存储到外部服务器装置，使信息处理装置20自身连部分分割数据都不需要存储。而且，使用者利用移动目的地来访问该服务器，因此即使在外部记忆装置30中破坏了数据的情况下，也能够根据需要自由地恢复数据。

图8表示利用外部记忆装置30来设定基准时间的处理的流程图。测量部365测量外部记忆装置30与信息处理装置20等外部信息处理装置连接的频率(S800)。然后，测量部365将测量到的频率通知给设定部350。设定部350接收该通知内容，以测量到的频率相对高的情况为条件，与测量到的频率相对低的情况相比，将基准时间设定得短(S810)。由此，根据目前为止的履历来预测应该保存数据的充分期间，在经过该期间后可自动地破坏数据。

帽判断部370判断安装的多个帽例如上述帽35-1～3中的哪种帽(S820)。将判断结果通知给设定部350。设定部350接收该判断结果，根据安装的帽的种类而将预定的长度时间设定为基准时间(S830)。由此，使用者根据其目地来更换帽，从而可相应地设定数据的保存期间。

关键字检索部375检索作为分割数据存储到第2记忆部300内的文件中的、包含预定的关键字的文件(S840)。作为检索关键的关键字例如优选是能启发其为机密性高的数据的内容。将检索结果通知给设定部350。设定部350接收该检索结果，以检索到这样的文件的情况为条件，与没有检索到这样的文件的情况相比，将基准时间设定得短(S850)。

连接计数部380对外部记忆装置30结束与预定的信息处理装置的连接后与其他信息处理装置连接的次数进行计数(S860)。所谓该预定的信息处理装置例如是由外部记忆装置30的使用者管理的信息处理装置，在本实施方式中为信息处理装置20。然后，所谓其他信息处理装置例如是他人的信息处理装置。连接计数部380例如以与本人的信息处理装置连接的时刻为起点，对与其他信息处理装置连接的次数进行计数。将计数结果通知给设定部350。

设定部350接收该计数结果，以计数的该连接次数相对多的情况为条件，与该连接次数相对少的情况相比，将基准时间设定得短(S870)。另外，设定部350以接受了对开关32的规定操作的情况为条件(S880：YES)，设定与其操作内容相应的基准时间(S890)。取代这样的物理操作，设定部350可根据从信息处理装置20输入用于基准时间设定的信号，来设定与该信号相应的基准时间。

图9表示根据存储的分割数据利用外部记忆装置30来恢复对象信息的处理的流程图。外部记忆装置30例如以该外部记忆装置30被安装到信息处理装置20上的情况为条件，进行以下的处理。第2恢复部390从第2记忆部300读出多个分割数据(S900)。然后，第2恢复部390利用秘密分散法将已读出的这些多个分割数据恢复成对象信息，并输出到外部的信息处理装置20(S910)。

接着，第2恢复部390判断其恢复处理是否已成功(S920)。例如，以接收到来自使用者的再次采用存储到信息处理装置20的分割数据来尝试恢复的指示的情况为条件，第2恢复部390判断为其恢复处理已失败。以恢复处理已失败的情况为条件(S920：NO)，第2恢复部390从信息处理装置20取得在信息处理装置20的第1记忆部205中存储的分割数据(L个)以及利用信息处理装置20登记到外部服务器装置的分割数据(P个)(S930)。然后，第2恢复部390根据已取得的分割数据，来恢复存储在第2记忆部300内且没有被数据破坏部340所破坏的分割数据，并向信息处理装置20输出(S940)。

图10表示信息处理装置20的硬件结构的一例。信息处理装置20具备：具有利用主控制器1082相互连接的CPU1000、RAM1020和图形控制器1075的CPU周边部；具有利用输入输出控制器1084与主控制器1082连接的通信接口1030、硬盘驱动器1040和CD-ROM驱动器1060的输入输出部；以及具有与输入输出控制器1084连接的ROM1010、软盘驱动器1050和输入输出芯片1070的其他输入输出部。

主控制器1082连接RAM1020和以高转送速率访问RAM1020的CPU1000以及图形控制器1075。CPU1000根据在ROM1010以及RAM1020中存储的程序来进行动作，以控制各部。图形控制器1075取得CPU1000等在设置于RAM1020内的帧缓冲器上生成的图像数据，并显示到显示装置1080上。取而代之，图形控制器1075可以在内部包含存储CPU1000等生成的图像数据的帧缓冲器。

输入输出控制器1084连接主控制器1082、作为比较高速的输入输出装置的通信接口1030、USB接口1035、硬盘驱动器1040以及CD-ROM驱动器1060。通信接口1030经由网络与外部装置进行通信。USB接口1035与外部记忆装置30等外部装置连接。硬盘驱动器1040存储信息处理装置20使用的程序以及数据。CD-ROM驱动器1060从CD-ROM1095读取程序或数据，并提供给RAM1020或硬盘驱动器1040。

另外，输入输出控制器1084连接ROM1010和软盘驱动器1050及输入输出芯片1070等比较低速的输入输出装置。ROM1010存储在信息处理装置20启动时CPU1000所执行的引导程序以及取决于信息处理装置20的硬件的程序等。软盘驱动器1050从软盘1090读取程序或数据，并经由输入输出芯片1070提供给RAM1020或硬盘驱动器1040。输入输出芯片1070经由软盘1090、例如并行端口、串行端口、键盘端口、鼠标端口等连接各种输入输出装置。

提供给信息处理装置20的程序存储在软盘1090、CD-ROM1095或IC卡等记录媒介中，由使用者来提供。程序经由输入输出芯片1070和/或输入输出控制器1084从记录媒介读出，并安装到信息处理装置20上来执行。在信息处理装置20、外部记忆装置30中运行程序来执行的动作与图1至图9所说明的信息处理装置20、外部记忆装置30中的动作相同，所以省略说明。

以上所示的程序可以存储在外部存储媒介中。作为存储媒介除了软盘1090、CD-ROM1095之外，还可以采用DVD及PD等光学记录媒介、MD等光磁记录媒介、磁带媒介、IC卡等半导体存储器等。另外，可以将与专用通信网络、因特网连接的设置在服务器系统中的硬盘或RAM等记忆装置作为记录媒介使用，并经由网络将程序提供给信息处理装置20。

而且，以上所示的程序可经由USB接口1035等的输入输出接口，提供给外部记忆装置30等装置。外部记忆装置30利用CPU等来使输入的程序动作，由此来实现参照图1至图9对外部记忆装置30进行了说明的各种功能。取而代之，可以在设置于外部记忆装置30的ROM等中预先存储程序，并根据该程序使外部记忆装置30进行动作。另外，外部记忆装置30的各个功能不是通过软件而是通过逻辑电路来实现的。作为一例，进行基于秘密分散法的变换来存储数据的电路，读出数据进行基于秘密分散法的恢复的电路，用于破坏数据的电路，可通过驱动这些电路的电池来实现。该电池在外部记忆装置30与信息处理装置20连接的情况下可利用由信息处理装置20提供的电源来充电。

以上，采用实施方式来说明了本发明，不过本发明的技术范围不限于上述实施方式所记载的范围。从业人员可知在上述实施方式中可施加多种变更或改良。从权利要求的范围记载可知在本发明的技术范围内还能够包含施加了这种变更或改良的形态。

Claims (14)

1.一种信息系统，其具备信息处理装置和存储从上述信息处理装置接收的信息的外部记忆装置，其中，

上述信息处理装置具有：

第1记忆部；

第1生成部，其对作为存储于上述外部记忆装置的对象的对象信息，进行基于秘密分散法的变换，生成个数超过预定的基准个数的多个分割数据，在上述秘密分散法中上述基准个数的分割数据对于上述对象信息的恢复是必要的；

输出部，其从生成的上述多个分割数据中选择上述基准个数以上的第1个数的分割数据，并向上述外部记忆装置输出；以及

第1存储部，其将生成的上述多个分割数据中除了输出的上述分割数据之外的第2个数的分割数据存储到上述第1记忆部；

上述外部记忆装置具有：

第2记忆部；

第2存储部，其将从上述信息处理装置输入的上述第1个数的分割数据分别存储到上述第2记忆部；以及

数据破坏部，其以经过了基准时间的情况为条件，破坏存储的上述第1个数的分割数据中的、比上述基准个数与上述第1个数之间的差值多且为该差值与上述第2个数的和以下的个数的分割数据，上述基准时间是以接受了预定操作的时刻为基准而预先设定的。

2.根据权利要求1所述的系统，其中，

上述信息处理装置具有第1恢复部，该第1恢复部从上述外部记忆装置读出存储于上述第2记忆部且没有被上述数据破坏部破坏的分割数据，并将读出的上述分割数据根据从上述第1记忆部读出的上述第2个数的分割数据来恢复成上述对象信息。

3.根据权利要求1所述的系统，其中，

上述外部记忆装置具有第2恢复部，该第2恢复部读出存储于上述第2记忆部且没有被上述数据破坏部破坏的分割数据，并将读出的上述分割数据根据从上述信息处理装置的上述第1记忆部读出的上述第2个数的分割数据来恢复成上述对象信息。

4.根据权利要求1所述的系统，其中，

上述信息处理装置还具有：

登记部，其将生成的上述多个分割数据中除了输出的上述分割数据以及存储于上述第1记忆部的分割数据之外的分割数据登记到外部的服务器装置；以及

第1恢复部，其从上述外部记忆装置中读出存储于上述第2记忆部且没有被上述数据破坏部破坏的分割数据，并将读出的上述分割数据根据登记于上述服务器装置的上述分割数据以及存储于上述第1记忆部的分割数据的任意一个来恢复成上述对象信息。

5.一种外部记忆装置，其存储用于外部的信息处理装置的信息，其具备：

第2记忆部，其用于存储作为存储对象的信息即对象信息；

取得部，其取得对上述对象信息进行基于秘密分散法的变换而生成的多个分割数据中的、预定的基准个数以上的第1个数的分割数据，在上述秘密分散法中上述基准个数的分割数据对于上述对象信息的恢复是必要的；

第2存储部，其将取得的上述第1个数的分割数据分别存储到上述第2记忆部；以及

数据破坏部，其以经过了基准时间的情况为条件，破坏存储的上述第1个数的分割数据中的比上述基准个数与上述第1个数之间的差值多的个数的分割数据，上述基准时间是以接受了预定操作的时刻为基准而预先设定的。

6.根据权利要求5所述的外部记忆装置，还具备：

第2生成部，其对上述对象信息，进行基于秘密分散法的变换，生成上述基准个数以上的多个分割数据，在上述秘密分散法中上述基准个数的分割数据对于上述对象信息的恢复是必要的；

其中，上述取得部从上述第2生成部取得上述第1个数的分割数据。

7.根据权利要求6所述的外部记忆装置，其中，

上述第2生成部基于秘密分散法来变换上述对象信息，生成多个中间数据，并利用错误订正代码来编码生成的各个上述中间数据，由此生成多个分割数据，

上述数据破坏部通过变更存储于上述第2记忆部的上述第1个数的分割数据中其一部分的分割数据中的数个比特，来破坏上述一部分的分割数据，其中上述数个比特超过错误订正代码的订正界限。

8.根据权利要求6所述的外部记忆装置，还具备：

第2恢复部，其从上述第2存储部读出多个分割数据，将读出的上述多个分割数据利用秘密分散法恢复成上述对象信息，并输出到外部的信息处理装置。

9.根据权利要求5所述的外部记忆装置，还具备：

设定部，其对上述数据破坏部设定作为变更分割数据的条件的上述基准时间。

10.根据权利要求9所述的外部记忆装置，还具备：

测量部，其测量上述外部记忆装置与外部的信息处理装置连接的频率；

其中，上述设定部以在测量到的上述频率相对高的情况下的上述基准时间比在测量到的上述频率相对低的情况下的上述基准时间短的方式，设定上述基准时间。

11.根据权利要求9所述的外部记忆装置，还具备：

帽判断部，其判断在用于连接上述外部记忆装置与外部的信息处理装置的连接端子上安装有在没有进行该连接时能安装的多种帽中的哪种帽；

其中，上述设定部根据安装的帽的种类将预定长度的时间设定为上述基准时间。

12.根据权利要求9所述的外部记忆装置，还具备：

关键字检索部，其检索在上述第2存储部作为分割数据存储的文件中的包含预定的关键字的文件；

其中，上述设定部以在检索到上述文件的情况下的上述基准时间比在没有检索到上述文件的情况下的上述基准时间短的方式，设定上述基准时间。

13.根据权利要求9所述的外部记忆装置，还具备：

连接计数部，其对在上述外部记忆装置与预定的信息处理装置的连接结束后与其他信息处理装置连接的次数进行计数；

其中，上述设定部以在计数的上述连接次数相对多的情况下的上述基准时间比在上述连接次数相对少的情况下的上述基准时间短的方式，设定上述基准时间。

14.一种信息处理方法，用于在具备信息处理装置和外部记忆装置的系统中使外部记忆装置存储从信息处理装置接收的信息，其中，

上述信息处理装置具有第1记忆部；

上述方法具有在上述信息处理装置中进行的以下步骤：

对作为存储于上述外部记忆装置的对象的对象信息，进行基于秘密分散法的变换，生成个数超过预定的基准个数的多个分割数据，在上述秘密分散法中上述基准个数的分割数据对于上述对象信息的恢复是必要的；

从生成的上述多个分割数据中选择上述基准个数以上的第1个数的分割数据，并向上述外部记忆装置输出；以及

将生成的上述多个分割数据中除了输出的上述分割数据之外的第2个数的分割数据存储到上述第1记忆部；

上述外部记忆装置具有第2记忆部；

上述方法具有在上述外部记忆装置中进行的以下步骤：

将从上述信息处理装置输入的上述第1个数的分割数据分别存储到上述第2记忆部；以及

以经过了基准时间的情况为条件，破坏存储的上述第1个数的分割数据中的、比上述基准个数与上述第1个数之间的差值多且为该差值与上述第2个数的和以下的个数的分割数据，上述基准时间是以接受了预定操作的时刻为基准而预先设定的。

Images