JP5056546B2 - ファイル保護システム、方法及びプログラム - Google Patents

Description

本発明はファイル保護システム、方法及びプログラムに関し、特に、データの秘匿性を考慮したしファイル保護システム、方法及びプログラムに関する。

インターネットやＬＡＮの普及に伴い、データベース等において、個人情報等の秘匿性（機密性）を要するデータ（情報）を含むファイルが大量に記録されるようになってきている。したがって、これらのファイルの運用時及び破棄時における秘匿性を保持することが課題となってきている。

特許文献１及ぶ２において、従来のデータベース分散管理システムの一例が記載されている。このデータベース分散管理システムは、２つ以上のデータベースから構成される。データベースに記録される値を暗号化し、各データベースに分割して保存する「秘密分散法」又は「電子割符」と呼ばれる方法が採用されている。これによって、一方のデータベースの情報が漏洩したとしても、他方のデータベースで管理されている情報が漏洩しない限り、情報を完全に復号することが出来ないため、情報の秘匿性が確保される。

また、特許文献３において、安価なＰＣサーバによって冗長性及びセキュリティ機能を実現するデータ保管システムが記載されている。さらに、特許文献４において、対象データから個人情報と非個人情報を分離し、再び結合することを可能にする個人情報分離装置が記載されている。

特開２００７−１４０８６９号公報 特開２００７−１２２３３６号公報 特開２００６−１１３６６３号公報 特開２００６−１８９９２６号公報

以下の分析は、本発明者によってなされたものである。上記特許文献１及び２に記載されたデータベース分散管理システムにおいては、一方のデータベース上に格納されたデータ単体で、元のデータ全体の内容を把握することができない。したがって、これらのデータベース分散管理システムにおいては、指定した範囲の値を検索する範囲指定検索、又は、指定した文字列パターンに合致する文字列を検索するパターンマッチ検索が使えなくなるという問題がある。

また、特許文献３のデータ保管システムにおいては、ファイルを構成するデータは一定長に分割されて複数のサーバに保管されるため、単一のデータを検索する都度、複数のサーバにアクセスする必要が生じる。したがって、データベースの特定の列（属性）に含まれるデータのみを検索するような場合であっても、複数のサーバへのアクセスが必要となり、検索効率が低くなるという問題がある。

さらに、特許文献４に記載された個人情報分離装置においては、個人情報データを格納したディスクのデータが保護されておらず、秘匿性が確保されないという問題がある。なぜなら、個人情報データを格納したディスクにおいて、カラム（属性）間の関連が保持されたままとなっているからである。

そこで、ファイルの秘匿性を保持しつつ、ファイルに含まれるデータの検索を容易に行うことのできる、ファイル保護システム、方法及びプログラムを提供することが課題となる。また、データベースの特定の列（属性）に含まれるデータを検索する場合において、検索効率の高いファイル保護システム、方法及びプログラムを提供することが課題となる。

本発明の第１の視点に係るファイル保護装置は、
ファイルに含まれるデータの順序を並び替えるとともに、並び替え後のファイルを平文のまま第１の記憶装置に格納し、並び替えの手順を第２の記憶装置に格納するように構成されたことを特徴とする。

第１の展開形態のファイル保護装置は、
前記データが、関係データベースのテーブルに含まれるデータであって、
前記並び替え手順が、前記データの格納位置をレコード間で入れ替えるものであることが好ましい。

第２の展開形態のファイル復元装置は、
前記第１の記憶装置に格納された前記並び替え後のファイルと前記第２の記憶装置に格納された前記並び替え手順とを参照し、前記並び替え前のファイルを復元するように構成されることが好ましい。

第３の展開形態のファイル保護システムは、
上記ファイル保護装置と、
上記ファイル復元装置と、を備えることが好ましい。

第４の展開形態のファイル保護システムは、
上記第１及び第２の記憶装置を備えることが好ましい。

本発明の第２の視点に係るファイル保護方法は、
ファイルに含まれるデータの順序を並び替える工程と、
前記並び替え後のファイルを平文のまま第１の記憶装置に格納する工程と、
前記並び替えの手順を第２の記憶装置に格納する工程と、を含むことを特徴とする。

第５の展開形態のファイル保護方法は、
前記データが、関係データベースのテーブルに含まれるデータであって、
前記並び替え手順が、前記データの格納位置をレコード間で入れ替えるものであることが好ましい。

第６の展開形態のファイル保護方法は、
前記第１の記憶装置に格納された前記並び替え後のファイルと前記第２の記憶装置に格納された前記並び替え手順とを参照し、前記並び替え前のファイルを復元する工程を含むことが好ましい。

本発明の第３の視点に係るファイル保護プログラムは、
ファイルに含まれるデータの順序を並び替える処理と、
前記並び替え後のファイルを平文のまま第１の記憶装置に格納する処理と、
前記並び替えの手順を第２の記憶装置に格納する処理と、をコンピュータに実行させることを特徴とする。

第７の展開形態のファイル保護プログラムは、
前記データが、関係データベースのテーブルに含まれるデータであって、
前記並び替え手順が、前記データの格納位置をレコード間で入れ替えるものであることが好ましい。

第８の展開形態のファイル保護プログラムは、
前記第１の記憶装置に格納された前記並び替え後のファイルと前記第２の記憶装置に格納された前記並び替え手順とを参照し、前記並び替え前のファイルを復元する処理をコンピュータに実行させることが好ましい。
第４の視点に係るファイル保護システムは、
第１の記憶装置と、
第２の記憶装置と、
ファイルに含まれるデータの順序を並び替えるとともに、並び替え後のファイルを平文のまま前記第１の記憶装置に格納し、並び替えの手順を前記第２の記憶装置に格納するファイル保護装置と、
前記第１の記憶装置に格納された前記並び替え後のファイルと前記第２の記憶装置に格納された前記並び替え手順とを参照し、前記並び替え前のファイルを復元するファイル復元装置と、を備え、
前記データは、関係データベースに追加されるレコードに含まれる複数の属性値であり、
前記並び替え手順は、前記レコードを前記関係データベースに追加する際、前記レコードに含まれる複数の属性値を、それぞれ、カラムを保持しつつ、前記関係データベースの異なるレコード位置に挿入するものであり、
前記第２の記憶装置は、前記複数の属性値のそれぞれが挿入されたレコード番号を保持する。
第５の視点に係るファイル保護方法は、
コンピュータが、ファイルに含まれるデータの順序を並び替えるとともに、並び替え後のファイルを平文のまま第１の記憶装置に格納する工程と、
前記並び替えの手順を第２の記憶装置に格納する工程と、
前記第１の記憶装置に格納された前記並び替え後のファイルと前記第２の記憶装置に格納された前記並び替え手順とを参照し、前記並び替え前のファイルを復元する工程と、を含み、
前記データは、関係データベースに追加されるレコードに含まれる複数の属性値であり、
前記並び替え手順は、前記レコードを前記関係データベースに追加する際、前記レコードに含まれる複数の属性値を、それぞれ、カラムを保持しつつ、前記関係データベースの異なるレコード位置に挿入するものであり、
前記第２の記憶装置は、前記複数の属性値のそれぞれが挿入されたレコード番号を保持する。
第６の視点に係るプログラムは、
ファイルに含まれるデータの順序を並び替えるとともに、並び替え後のファイルを平文のまま第１の記憶装置に格納する処理と、
前記並び替えの手順を第２の記憶装置に格納する処理と、
前記第１の記憶装置に格納された前記並び替え後のファイルと前記第２の記憶装置に格納された前記並び替え手順とを参照し、前記並び替え前のファイルを復元する処理と、をコンピュータに実行させ、
前記データは、関係データベースに追加されるレコードに含まれる複数の属性値であり、
前記並び替え手順は、前記レコードを前記関係データベースに追加する際、前記レコードに含まれる複数の属性値を、それぞれ、カラムを保持しつつ、前記関係データベースの異なるレコード位置に挿入するものであり、
前記第２の記憶装置は、前記複数の属性値のそれぞれが挿入されたレコード番号を保持する。

本発明によって、ファイルの秘匿性を保持しつつ、ファイルに含まれるデータの検索を容易に行うことのできる、ファイル保護装置、方法及びプログラムが提供される。その理由は次のとおりである。

第１の記憶装置に格納されたファイルは、データの順序が並び替えられていることから、第２の記憶装置に格納された並び替えの手順を参照することなく、データ間の関連を把握することが困難となる。すなわち、ファイルの秘匿性が確保される。

また、第１の記憶装置には、データの順序は並び替えられているものの、並び替え前のデータが平文のまますべて格納されている。したがって、第１の記憶装置のみを参照することで、範囲指定検索やパターンマッチ検索を行うことができる。

さらに、本発明を関係データベースに適用した場合には、各列（属性）のデータは、レコード間で順序が入れ替わっているものの、すべて第１の記憶装置に格納されている。したがって、データベースの特定の列（属性）に含まれるデータのみを検索するような場合には、第１の記憶装置にアクセスするだけで、データを検出することができ、従来技術と比較して、検索効率を向上させることができる。

（実施形態１）
本発明の第１の実施形態に係るファイル保護システムについて、図面を参照して説明する。図１は、本発明の第１の実施形態に係るファイル保護装置の構成を示すブロック図である。ファイル保護システム２０は、ファイル保護装置２１、ファイル復元装置２２、並びに、第１及び第２の記憶装置２３、２４を備える。

ファイル保護装置２１は、図１を参照すると、ファイルに含まれるデータの順序を並び替えるとともに、並び替え後のファイルを平文のまま第１の記憶装置２３に格納し、並び替えの手順を第２の記憶装置２４に格納する。

ここで、複数のデータは、関係データベースのテーブルに含まれるデータであってもよい。また、上記並び替え手順は、前記データの格納位置をレコード間で入れ替えるものであってもよい。

ファイル復元装置２２は、図１を参照すると、第１の記憶装置２３に格納された並び替え後のファイルと第２の記憶装置２４に格納された並び替え手順とを参照し、並び替え前のファイルを復元する。

（実施形態２）
次に、本発明の第２の実施形態について図面を参照して説明する。図２は、本発明の第２の実施形態に係るファイル保護システムの構成を示すブロック図である。図２を参照すると、ファイル保護システムは、ファイル挿入クライアント１１、ファイル保護装置１２、ファイル保護プログラム１３、主データベース装置１４、副データベース装置１５、ファイル復元装置１６、ファイル復元プログラム１７及びファイル参照クライアント１８を備える。これらの装置はそれぞれ次のように動作する。

ファイル挿入クライアント１１は、データベースに格納すべきデータを、ファイル保護装置１２に出力する。ファイル保護装置１２は、一例として、ファイル保護プログラム１３によって制御される装置であってもよい。ファイル保護装置１２は、ファイル挿入クライアント１１から入力したデータを分割し、主データベース装置１４と副データベース装置１５に出力する。主データベース装置１４と副データベース装置１５は、それぞれ入力したデータを自身が格納するデータベースに記録する。

ファイル参照クライアント１８は、ファイル復元装置１６に参照したいデータの検索条件を出力する。ファイル復元装置１６は、一例として、ファイル復元プログラム１７によって制御される装置であってもよい。ファイル復元装置１６は、ファイル参照クライアント１８から入力した検索条件に基づいて、主データベース装置１４と副データベース装置１５から該当するデータを抽出し、ファイル参照クライアント１８に出力する。

次に、フローチャート及びデータベーステーブルの例を参照して本実施の形態の全体の動作について説明する。図３又は図４は本実施形態に係るファイル保護装置１２又はファイル復元装置１６の動作を示すフローチャートである。図５〜１０は、本実施形態におけるデータベーステーブルの例を示す図である。

ファイル保護装置１２は、あらかじめ主データベース装置１４において一定量の空レコードを持つテーブルを作成し、副データベース装置１５において主データベース装置１４と同じカラム要素を持つテーブルを生成しておくものとする。このときのデータベーステーブルの一例を図５に示す。

次に、ファイル保護装置１２によるファイル挿入時の動作を、図３のフローチャートを参照して説明する。ファイル保護装置１２は、ファイル挿入クライアント１１から１レコード（行）分のファイルを入力する（ステップＳ２１）。ファイル保護装置１２は、主データベース装置１４のテーブルに対して、カラム（列）を保持しつつ、各属性値を異なるレコード位置に挿入する（ステップＳ２２）。このとき、挿入先のレコード位置は、空いているレコードの中からランダムに選択してもよい。次に、ステップＳ２２において、各属性値を挿入した各レコード番号を副データベース装置１５のテーブルに記録する（ステップＳ２３）。

以上のファイル挿入動作によって記録されたデータの状態を図６に示す。上記のステップＳ２１〜Ｓ２３までの動作を繰り返すことによって、複数のレコードを順次挿入することができる。図１０のファイル９１は、複数のレコードからなるファイルの例を示す。ここで各レコードの値は、主データベース装置１４と副データベース装置１５とに格納されたときの対応関係が分かるように、上のレコードから太実線、破線、二重線、細実線によって区別できるようにしている。

図６は最初のレコードをデータベースに挿入した際のデータベーステーブルの状態を示す。同様に、図７は２行目のレコードを挿入した際のデータベーステーブルの状態、図８は３行目のレコードを挿入した際のデータベーステーブルの状態、図９は４行目のレコードを挿入した際のデータベーステーブルの状態を示す。

以上の動作において、主データベース装置１４のテーブルの値に対して暗号化等の処理は施されていない。したがって、主データベース装置１４に格納された個々のデータは認識可能である。しかしながら、データ相互の関連は副データベース装置１５のテーブルを参照することなく認識することは不可能である。したがって、主データベース装置１４のテーブル上の情報の秘匿性が確保される。

次に、ファイル参照時における、ファイル復元装置１６の動作を説明する。ファイル参照クライアント１８からファイル復元装置１６に検索条件を指定しないファイル参照リクエストが入力された場合には、ファイル復元装置１６は、次のように振舞うことが好ましい。すなわち、ファイル復元装置１６は、副データベース装置１５のテーブルに格納された、主データベース装置１４上のテーブルの値の対応関係の情報に基づいて、主データベース装置１４のテーブルの値を組み合わせることによって元のデータの形に戻し（復元し）、ファイル参照クライアント１８に返却する。

次に、ファイル参照クライアント１８からファイル保護装置１６に検索条件が指定されたファイル参照リクエストが入力された時の動作を、図４のフローチャートを参照して説明する。ファイル復元装置１６は、主データベース装置１４のテーブルの検索条件において指定されたカラムごとに、検索条件に適合（マッチ）する、主データベース装置１４のレコード番号の組を抽出する（ステップＳ３１）。次に、ファイル復元装置１６は、副データベース装置１５のテーブルにおいて、実レコードを単位として検索し、検索条件において指定された各カラムにおいて、上記の主データベース装置１４におけるレコード番号の組と一致する、実レコードを抽出する（ステップＳ３２）。さらに、ファイル復元装置１６は、抽出された実レコードの情報と、主データベース装置１４のテーブルの値と、を組み合わせてレコードを復元する（ステップＳ３３）。ファイル復元装置１６は、復元したレコードを、ファイル参照クライアント１８に送信する（ステップＳ３４）。

図９のデータベーステーブルに対して、以上の操作を適用した場合について説明する。検索条件は、「生年月日」が「１９８０／０１／０１」以降、かつ、「年収」が「５、０００、０００」以上とする。主データベース装置１４のデータベース８１において、「生年月日」カラムにおいて検索条件に該当するレコード番号は｛Ａ、Ｃ｝となる。一方、「年収」カラムにおいて検索条件に該当するレコード番号は｛Ａ、Ｂ、Ｅ｝となる（ステップＳ３１）。副データベース装置１５のテーブル８２を参照すると、実レコード３のみが主データベース装置１４における検索結果と対応する（ステップＳ３２）。このとき、ファイル復元装置１６は、副データベース装置８２における実レコード３の情報に基づいて、主データベース装置１４のテーブル８１の情報を抽出し、検索結果としてのデータを生成する（ステップＳ３３）。ファイル復元装置１６は、結果をファイル参照クライアント１８に送信する（ステップＳ３４）。

ここで、副データベース装置１５のテーブルのレコードを１つ削除すると、主データベース装置１４のテーブル上の情報で元データの形に戻せなくなるレコードが１つ発生する。例えば、図９において副データベース装置１５のテーブル８２の実レコード「１」を削除した場合には、主データベース装置１４のテーブルにおいて実レコード「１」の値の関連が不明となり、参照できなくなる。この性質を利用すると、副データベース１５の情報を削除するだけで主データベース装置１４のテーブルの情報を無効化することができる。

（実施形態３）
次に、本発明の第３の実施形態について図面を参照して説明する。
図１１を参照すると、本実施形態は、主データベース装置において複数のテーブルを用意する構成である。図１１においては、データは属性ごとに個別のテーブル１０１〜１０３に格納されている。このように、主データベース装置１４におけるテーブルを分割した場合であっても、上記の実施形態２と同様に、ファイルの秘匿性を保持しつつ、ファイルに含まれるデータの検索を容易に行うことのできる、ファイル保護システムを実現することができる。

（実施形態４）
次に、本発明の第４の実施形態について説明する。図１２を参照すると、本実施形態のファイル保護システムは、ｎ個のファイル挿入クライアント１１１−１〜１１１−ｎと、ｎ個のファイル保護装置１１２−１〜１１２−ｎと、ｎ個の主データベース装置１１４−１〜１１４−ｎと、ｎ個のファイル復元装置１１６−１〜１１６−ｎと、ｎ個のファイル参照クライアント１１８−１〜１１８−ｎと、副データベース装置１１５と、を備える。

本実施形態においては、複数のファイル保護装置１１２−１〜１１２−ｎと複数のファイル復元装置１１６−１〜１１６−ｎとによって、一つの副データベース装置１１５を共有する構成である。第３の発明の効果として、副データベース装置１１５を共有することによって、その数を抑えることができる点が挙げられる。

（実施形態５）
次に、本発明の第５の実施形態について説明する。図１３を参照すると、本実施形態のファイル保護システムは、ｎ個のファイル挿入クライアント１２１−１〜１２１−ｎと、ファイル保護装置１２２と、ｎ個の主データベース装置１２４−１〜１２４−ｎと、ファイル復元装置１２６と、ファイル参照クライアント１２８−１〜１２８−ｎと、副データベース装置１２５とを備える。本実施形態のファイル保護システムは、複数の主データベース装置１２４−１〜１２４−ｎによって、ファイル保護装置１２２、ファイル復元装置１２６及び副データベース装置１２５を共有する構成を採用している。本実施形態の効果として、ファイル保護装置１２２、ファイル復元装置１２６、副データベース装置１２５の数を抑えることができる点が挙げられる。

次に、本発明の実施例に係るファイル保護システムについて、具体的なデータを参照しつつ説明する。図１４に掲げた主データベース装置１４のテーブル１３１においては、単一のデータによって個人を特定しうる名前や番地等の情報は暗号化されている。本実施例においては、データベース上の個々のデータが単体で認識することが可能な状態で情報が秘匿化される。しかしながら、実際問題として、データベースにおいては、図１４に示す例のように単一のデータによって個人が特定されてしまうような情報も含まれうる。かかる場合には、本実施例のように、暗号化の手法と本発明の手法とを組み合わせることによってデータベースの検索性と秘匿性とを両立させることもできる。氏名や住所の詳細（番地等）に関する情報は、範囲検索やパターンマッチ検索の対象とされることは稀であるため、仮に暗号化したとしても、データベースの検索性が大きく損なわれることはない。

また、あらかじめ主データベース装置１４のテーブルに用意しておいた空レコードを使い切った場合には、空レコードを追加することになる。このとき、情報の秘匿性をさらに高めるために、新たな空レコードと既存のレコードとの間で、順序をランダムに変更してもよい。なお、レコード間への新しいレコードの挿入が容易なリンクリスト型実装のデータベースにおいては、かかる処理は不要となる。以上の記載は実施例に基づいて行ったが、本発明は、上記実施例に限定されるものではない。

本発明は、情報の秘匿性と検索性とを両立させる必要があるデータベースシステムに適用することができる。

本発明の第１の実施形態に係るファイル保護システムの構成を示すブロック図である。 本発明の第２の実施形態に係るファイル保護システムの構成を示すブロック図である。 本発明の第２の実施形態に係るファイル保護装置の動作を示すフローチャートである。 本発明の第２の実施形態に係るファイル復元装置の動作を示すフローチャートである。 本発明の第２の実施形態におけるデータベーステーブルの例を示す図である。 本発明の第２の実施形態におけるデータベーステーブルの例を示す図である。 本発明の第２の実施形態におけるデータベーステーブルの例を示す図である。 本発明の第２の実施形態におけるデータベーステーブルの例を示す図である。 本発明の第２の実施形態におけるデータベーステーブルの例を示す図である。 本発明の第２の実施形態におけるデータベーステーブルの例を示す図である。 本発明の第３の実施形態に係るファイル保護システムの構成を示すブロック図である。 本発明の第４の実施形態に係るファイル保護システムの構成を示すブロック図である。 本発明の第５の実施形態に係るファイル保護システムの構成を示すブロック図である。 本発明の実施例におけるデータを示す図である。

符号の説明

１１、１１１−１〜１１１−ｎ、１２１−１〜１２１−ｎ ファイル挿入クライアント
１２、２１、１１２−１〜１１２−ｎ、１２２ ファイル保護装置
１３ ファイル保護プログラム
１４、１１４−１〜１１４−ｎ、１２４−１〜１２４−ｎ 主データベース装置
１５、１１５、１２５ 副データベース装置
１６、２２、１１６−１〜１１６−ｎ、１２６ ファイル復元装置
１７ ファイル復元プログラム
１８、１１８−１〜１１８−ｎ、１２８−１〜１２８−ｎ ファイル参照クライアント
２０ ファイル保護システム
２３、２４ 記憶装置
４１、５１、６１、７１、８１、１０１〜１０３、１３１ 主データベース装置のテーブル例
４２、５２、６２、７２、８２ 副データベース装置のテーブル例
９１ ファイル

Claims (3)

1. 第１の記憶装置と、
   第２の記憶装置と、
   ファイルに含まれるデータの順序を並び替えるとともに、並び替え後のファイルを平文のまま前記第１の記憶装置に格納し、並び替えの手順を前記第２の記憶装置に格納するファイル保護装置と、
   前記第１の記憶装置に格納された前記並び替え後のファイルと前記第２の記憶装置に格納された前記並び替え手順とを参照し、前記並び替え前のファイルを復元するファイル復元装置と、を備え、
   前記データは、関係データベースに追加されるレコードに含まれる複数の属性値であり、
   前記並び替え手順は、前記レコードを前記関係データベースに追加する際、前記レコードに含まれる複数の属性値を、それぞれ、カラムを保持しつつ、前記関係データベースの異なるレコード位置に挿入するものであり、
   前記第２の記憶装置は、前記複数の属性値のそれぞれが挿入されたレコード番号を保持する、ファイル保護システム。
2. コンピュータが、ファイルに含まれるデータの順序を並び替えるとともに、並び替え後のファイルを平文のまま第１の記憶装置に格納する工程と、
   前記並び替えの手順を第２の記憶装置に格納する工程と、
   前記第１の記憶装置に格納された前記並び替え後のファイルと前記第２の記憶装置に格納された前記並び替え手順とを参照し、前記並び替え前のファイルを復元する工程と、を含み、
   前記データは、関係データベースに追加されるレコードに含まれる複数の属性値であり、
   前記並び替え手順は、前記レコードを前記関係データベースに追加する際、前記レコードに含まれる複数の属性値を、それぞれ、カラムを保持しつつ、前記関係データベースの異なるレコード位置に挿入するものであり、
   前記第２の記憶装置は、前記複数の属性値のそれぞれが挿入されたレコード番号を保持する、ファイル保護方法。
3. ファイルに含まれるデータの順序を並び替えるとともに、並び替え後のファイルを平文のまま第１の記憶装置に格納する処理と、
   前記並び替えの手順を第２の記憶装置に格納する処理と、
   前記第１の記憶装置に格納された前記並び替え後のファイルと前記第２の記憶装置に格納された前記並び替え手順とを参照し、前記並び替え前のファイルを復元する処理と、をコンピュータに実行させ、
   前記データは、関係データベースに追加されるレコードに含まれる複数の属性値であり、
   前記並び替え手順は、前記レコードを前記関係データベースに追加する際、前記レコードに含まれる複数の属性値を、それぞれ、カラムを保持しつつ、前記関係データベースの異なるレコード位置に挿入するものであり、
   前記第２の記憶装置は、前記複数の属性値のそれぞれが挿入されたレコード番号を保持する、プログラム。

Images