JP6107610B2 - 情報処理装置、情報処理システム、情報処理方法、および情報処理プログラム - Google Patents

Description

本発明は、暗号化されたデータを収集する情報処理装置、情報処理システム、情報処理方法、および情報処理プログラムに関する。

さまざまな機器、センサ等から得られる大量のデータをセンタサーバに収集し、該データを分析及び加工した結果を利用したサービスが普及している。このようなサービスの具体例としては、ヘルスケア、ＨＥＭＳ（Home Energy Management System）、機器の状態
監視等がある。また、このようなサービスを提供するシステムの一つに、例えば、マシンツーマシン（Ｍ２Ｍ）システムがある。

上述のようなシステムにおいて収集されるデータには、個人情報や顧客企業の社内情報などの機密性の高いデータが含まれるため、データをセンタサーバに送信する際には、暗号化されることが多い。該システムで用いられるデータの暗号化処理には、例えば、２つの処理がある。一つは、セキュアネットワークを用いた暗号化通信において、データ送信処理の一部として行われるデータの暗号化処理である。もう一つは、データ送信処理の前に、アプリケーションによって行われるデータの暗号化処理である。以降、セキュアネットワークを用いた暗号化通信における、データ送信処理の一部としてのデータの暗号化処理を、暗号化通信を用いたデータの暗号化処理と称する。データ送信処理の前に、該データ送信処理を実行するプログラムとは異なるアプリケーションによるデータの暗号化処理を、アプリケーションによるデータの暗号化処理と称する。

図１は、暗号化通信を用いたデータの暗号化処理を採用するＭ２Ｍシステムの一例を示す図である。Ｍ２Ｍシステムには、例えば、データを取得する複数の機器、複数の機器を収容する複数のゲートウェイ装置Ｐ２、機器が取得したデータを複数のゲートウェイ装置Ｐ２を通じて収集するセンタサーバＰ１が含まれる。ただし、図１では、簡略化のため、ゲートウェイ装置Ｐ２は、１つ示される。

図１に示される例では、ゲートウェイ装置Ｐ２とセンタサーバＰ１との間では、セキュアネットワークを用いた暗号化通信が行われる。暗号化通信には、例えば、ＶＰＮ（Virtual Private Network）、ＳＳＬ（Secure Sockets Layer）等を用いた通信がある。これ
らの暗号化通信では、該暗号化通信のプロトコルに則って、データ送信処理の一部としてデータの暗号化処理が行われ、データ受信処理の一部としてデータの復号処理が行われる。したがって、受信側のセンタサーバＰ１は、暗号化通信を通じて受信したデータを暗号化されたままデータベースに格納することはせずに、該データの受信とともに復号し、アプリケーションによって使用可能な状態でデータベースに格納する。

図２は、アプリケーションによるデータの暗号化処理を採用するＭ２Ｍシステムの一例を示す図である。図２に示されるシステムは、例えば、データを取得する複数の機器、複数の機器を収容する複数のゲートウェイ装置Ｐ２、機器が取得したデータを複数のゲートウェイ装置Ｐ２を通じて収集するセンタサーバＰ１が含まれる。ただし、図２では、簡略化のため、ゲートウェイ装置Ｐ２は、１つ示される。

図２に示される例では、ゲートウェイ装置Ｐ２とセンタサーバＰ１の間の通信は、非セキュアネットワークを用いて行われる。ゲートウェイ装置Ｐ２においてデータは、データ送信処理の前に、データ送信処理のプログラムとは異なるアプリケーションによって暗号
化されてからセンタサーバＰ１に送信される。データの暗号化処理に用いられる暗号化アルゴリズムは、例えば、ＤＥＳ（Data Encryption Standard）、トリプルＤＥＳ、ＡＥＳ（Advanced Encryption Standard）、ＲＣ５（Rivest Cipher、又は、Ron's Code）、Ｒ
ＳＡ（Rivest Shamir Adleman）等である。受信側のセンタサーバ１は、受信データから
アプリケーションレイヤの暗号化データを取り出し、暗号化されたままのデータをデータベースに格納する。暗号化されたまま保持されるデータは、センタサーバ１において、アプリケーションによって利用される際に復号される。

なお、データ送信処理とは、データの送信側装置で行われる、例えば、送信対象のデータをフラグメント化、カプセル化して通信用のデータ形式であるパケットを生成し、該パケットをネットワークに送出するための一連の処理である。暗号化通信では、データ送信処理の一部として、データの暗号化処理が実行される。また、データ受信処理とは、データの受信側装置で行われる、ネットワークからの受信パケットの非カプセル化、フラグメントデータからのオリジナルデータの構築等の処理である。暗号化通信では、データ受信処理の一部として、データの復号処理が実行される。

特開２００６−２２１２８９号公報 特表２００８−５１２９７１号公報

しかしながら、暗号化通信を用いたデータの暗号化処理を採用するシステムと、アプリケーションによるデータの暗号化処理を採用するシステムと、には、以下のような問題があった。

図１に示される例のような、暗号化通信を用いたデータの暗号化処理を採用するシステムの場合には、センタサーバＰ１では、暗号化通信を通じたデータの受信処理の一部として、該データの復号処理が行われる。そのため、センタサーバＰ１では、暗号化通信を通じて受信されるデータ量が増えると、復号処理のための処理負荷が増大する。受信側のセンタサーバＰ１の処理負荷の増大に伴い、送信側のゲートウェイ装置Ｐ２で送信遅延が発生する。

一方、図２に示される例のような、アプリケーションによるデータの暗号化処理を採用するシステムの場合には、センタサーバＰ１において、暗号化データは暗号化されたまま保持され、アプリケーションからのアクセスに応じて復号される。そのため、センタサーバＰ１において、アプリケーションからアクセスされるデータが大量である場合には、センタサーバＰ１への暗号化データの復号処理の負荷が増大し、アプリケーションへの応答が遅くなる可能性がある。

したがって、暗号化通信を用いたデータの暗号化処理を採用するシステムの場合には、センタサーバＰ１のアプリケーションへの応答遅延を招く可能性は低い。一方で、センタサーバＰ１の暗号化通信を通じての受信データ量が多い場合には、センタサーバＰ１における暗号化通信を通じた受信データの復号処理の負荷の増大に伴ってゲートウェイ装置Ｐ２からセンタサーバＰ１への送信遅延が発生する可能性がある。

また、アプリケーションによるデータの暗号化処理を採用するシステムの場合には、暗号化データの復号処理はデータの受信処理とは切り離されて実行されるので、ゲートウェイ装置Ｐ２からセンタサーバＰ１への送信遅延が発生する可能性は低い。しかしながら、
センタサーバＰ１において、アプリケーションからアクセスされる暗号化データが多い場合には、センタサーバＰ１における該暗号化データの復号処理の増大に伴ってアプリケーションへの応答遅延を招く可能性が高い。すなわち、暗号化通信を用いたデータの暗号化を採用するシステムと、アプリケーションによるデータの暗号化を採用するシステムとでは、トレードオフの関係にある。

本発明の一態様は、暗号化されたデータが送受信されるシステムにおいて、送信遅延及びアプリケーションへの応答遅延を低減することが可能な情報処理装置、情報処理システム、情報処理方法、および情報処理プログラムを提供することを目的とする。

本発明の態様の一つは、
データ送信処理の前に実行される第１の暗号化処理、又は、データ送信処理の一部として実行される第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置のそれぞれから暗号化データを受信するサーバの、少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定する制御部と、
前記制御部によってデータの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信する送信部と、
を備える情報処理装置である。

本発明の他の態様の一つは、上述した情報処理装置と複数の通信装置とを含む情報処理システムである。また、本発明の他の態様の一つは、情報処理装置が上述の処理を実行する情報処理方法である。また、本発明の他の態様は、コンピュータを上述した情報処理装置として機能させるプログラム、及び当該プログラムを記録したコンピュータ読み取り可能な非一時的な記録媒体を含むことができる。コンピュータ等が読み取り可能な非一時的な記録媒体には、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。

開示の情報処理装置、情報処理システム、情報処理方法、および情報処理プログラムによれば、暗号化されたデータが送受信されるシステムにおいて、サーバの負荷を調整し、送信遅延及びアプリケーションへの応答遅延を低減することができる。

暗号化通信を用いたデータの暗号化を採用するＭ２Ｍシステムの一例を示す図である。 アプリケーションによるデータの暗号化を採用するＭ２Ｍシステムの一例を示す図である。 センタサーバのハードウェア構成の一例を示す図である。 第１実施形態に係る情報処理システムのセンタサーバとゲートウェイ装置との機能構成の一例を示す図である。 センタサーバのタイミング判定部の処理のフローチャートの一例である。 ゲートウェイ装置のデータ送信処理のフローチャートの一例を示す図である。 センタサーバのデータ受信処理のフローチャートの一例である。 センタサーバのアプリケーションからのデータ取得要求に対する処理のフローチャートの一例である。 センタサーバの復号部の復号処理の一つのフローチャートの一例である。 第２実施形態に係るタイミング判定部によって集計されるデータ種別ごとのデータの受信量と、使用頻度との一例を示す図である。 第３実施形態に係る情報処理システムの構成と、センタサーバ、ゲートウェイ装置のそれぞれの機能構成の一例である。 データ暗号化処理の切り替えのポリシの一例を示す図である。 センタサーバとは異なるサーバがタイミング判定部の処理を実行する場合の情報処理システムの構成例を示す図である。

以下、図面に基づいて、本発明の実施の形態を説明する。以下の実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。

＜第１実施形態＞
第１実施形態に係る暗号化されたデータを送受信する情報処理システムは、例えば、図１、図２に示されるシステムのように、データを取得する複数の機器と、複数の機器を収容する複数のゲートウェイ装置と、各ゲートウェイ装置からデータを収集するセンタサーバとを含む。第１実施形態に係る情報処理システムでは、少なくともゲートウェイ装置からセンタサーバへ送信される、機器によって取得されたデータは、該データの漏えい防止のため、暗号化される。

第１実施形態に係るゲートウェイ装置は、データ送信処理の前のアプリケーションによるデータの暗号化処理、又は、暗号化通信を用いたデータ送信処理の一部としてのデータの暗号化処理、のいずれかのデータ暗号化処理を選択してデータの暗号化処理を行う。第１実施形態に係るセンタサーバは、暗号化通信を通じて受信するデータの復号処理に係る負荷を含む処理状況に応じて、各ゲートウェイ装置のアプリケーションによるデータの暗号化処理と暗号化通信を用いたデータの暗号化処理との切り替えを制御する。第１実施形態に係るゲートウェイ装置は、センタサーバからの指示に従って、アプリケーションによるデータの暗号化処理と暗号化通信を用いることによるデータの暗号化処理との間でデータの暗号化処理の切り替えを行う。

これによって、センタサーバにおいて暗号化通信を通じて受信されるデータ量が制御され、センタサーバにおける該受信データの復号処理も制御されるので、ゲートウェイ装置からセンタサーバへの送信遅延を低減することができる。また、ゲートウェイ装置においてアプリケーションによって暗号化され、センタサーバにおいて暗号化されたままデータベースに格納されるデータ量も低減される。そのため、センタサーバにおいてアプリケーションからのアクセスに応じて実行される、暗号化されたまま格納されているデータの復号処理も低減され、アプリケーションへの応答遅延を抑えることができる。

ゲートウェイ装置における、データ送信処理の前のアプリケーションによるデータの暗号化処理は、「第１の暗号化処理」の一例である。また、ゲートウェイ装置における、暗号化通信を用いた、データ送信処理の一部としてのデータの暗号化処理は、「第２の暗号化処理」の一例である。

また、第１実施形態に係るセンタサーバは、センタサーバにおけるアプリケーションによるデータの利用状況に応じて、ゲートウェイ装置においてアプリケーションによって暗号化されたデータの復号処理の実行タイミングを制御する。例えば、第１実施形態では、センタサーバにおける暗号化されたまま保持されているデータの復号処理の実行タイミングは、データの利用状況に応じて、データの受信後且つデータベースへの格納前の実行、又は、保留のいずれかに決定される。復号処理の実行タイミングが保留に決定された場合
には、ゲートウェイ装置においてアプリケーションによって暗号化されたデータはセンタサーバにおいて、暗号化されたままデータベースに格納される。

暗号化されたデータの復号処理の実行タイミングを制御することによって、センタサーバにおけるアプリケーションからのデータ取得要求までに、ゲートウェイ装置においてアプリケーションによって暗号化されたデータの一部は復号される。そのため、センタサーバにおいて暗号化されたまま保持されるデータを減らすことができ、センタサーバにおいてアプリケーションからのアクセス時の該暗号化データの復号処理によるアプリケーションへの応答遅延を低減することができる。

＜センタサーバ、ゲートウェイ装置の構成＞
図３は、センタサーバ１のハードウェア構成の一例を示す図である。センタサーバ１は、例えば、専用のコンピュータ、または、汎用のコンピュータである。センタサーバ１は、プロセッサ１０１，主記憶装置１０２，補助記憶装置１０５，可搬記録媒体駆動装置１０６，ネットワークインタフェース１０７を備える。また、これらはバス１０９により互いに接続されている。

補助記憶装置１０５は、様々なプログラムや、各プログラムの実行に際してプロセッサ１０１が使用するデータを格納する。補助記憶装置１０５は、例えば、ＥＰＲＯＭ（Erasable Programmable ROM）、又はハードディスクドライブ（Hard Disk Drive）等の不揮発性のメモリである。補助記憶装置１０５は、例えば、オペレーティングシステム（ＯＳ），復号制御プログラム，その他様々なアプリケーションプログラムを保持する。復号制御プログラムは、ゲートウェイ装置に対して、アプリケーションによるデータの暗号化処理と暗号化通信を用いたデータの暗号化処理との切り替えの制御と、暗号化データの復号処理の実行タイミングの制御と、のためのプログラムである。

主記憶装置１０２は、プロセッサ１０１に、補助記憶装置１０５に格納されているプログラムをロードする記憶領域および作業領域を提供したり、バッファとして用いられたりする。主記憶装置１０２は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）のような半導体メモリを含む。

プロセッサ１０１は、例えば、ＣＰＵ（Central Processing Unit）である。プロセッ
サ１０１は、補助記憶装置１０５又は可搬記録媒体１１０に保持されたＯＳや様々なアプリケーションプログラムを主記憶装置１０２にロードして実行することによって、様々な処理を実行する。プロセッサ１０１は、１つに限られず、複数備えられてもよい。

可搬記録媒体駆動装置１０６は、可搬記録媒体１１０に記録されるプログラムや各種データを読出し、プロセッサ１０１に出力する。可搬記録媒体１１０は、例えば、ＳＤカード，ｍｉｎｉＳＤカード，ｍｉｃｒｏＳＤカード，ＵＳＢ（Universal Serial Bus）フラッシュメモリ，ＣＤ（Compact Disc），ＤＶＤ(Digital Versatile Disc)，Ｂｌｕ−ｒａｙ（登録商標） Ｄｉｓｃ，又はフラッシュメモリカードのような記録媒体である。

ネットワークインタフェース１０７は、ネットワークとの情報の入出力を行うインタフェースである。ネットワークインタフェース１０７は、有線のネットワークと接続するインタフェース、無線のネットワークと接続するインタフェースを含む。ネットワークインタフェース１０７は、例えば、ＮＩＣ（Network Interface Card）、無線ＬＡＮ（Local Area Network）カード等である。ネットワークインタフェース１０７で受信されたデータ等は、プロセッサ１０１に出力される。

例えば、センタサーバ１では、プロセッサ１０１が補助記憶装置１０５に保持される復
号制御プログラムを主記憶装置１０２にロードして実行する。センタサーバ１は、復号制御プログラムの実行を通じて、ゲートウェイ装置のアプリケーションによるデータの暗号化処理又は暗号化通信を用いたデータの暗号化処理の間のデータの暗号化処理の切り替えの制御、暗号化データの復号処理の実行タイミングの制御を行う。

なお、図３に示されるセンタサーバ１のハードウェア構成は、一例であり、上記に限られず、実施の形態に応じて適宜構成要素の省略や置換、追加が可能である。例えば、復号制御プログラムは、可搬記録媒体１１０に記録されていてもよい。例えば、センタサーバ１は、入力装置、出力装置を備えてもよい。

また、ゲートウェイ装置は、専用または汎用のコンピュータであって、ハードウェア構成も、図３に示される構成と同様である。ゲートウェイ装置は、例えば、補助記憶装置１０５に暗号化制御プログラム、処理の一部に暗号化処理を含むアプリケーション、暗号化通信を行うプログラム、ＯＳ等を保持する。暗号化制御プログラムは、センタサーバ１からの指示に従って、アプリケーションによるデータの暗号化処理、暗号化通信を用いたデータの暗号化処理のいずれかのデータ暗号化処理を選択してデータの暗号化処理を行うためのプログラムである。

図４は、第１実施形態に係る情報処理システム１００のセンタサーバ１とゲートウェイ装置２との機能構成の一例を示す図である。なお、情報処理システム１００は、複数のゲートウェイ装置２を含むが、図４では、簡略化のため、ゲートウェイ装置２は、一台示される。

ゲートウェイ装置２は、送信制御部２１，暗号化部２２，物理網送信部２３，セキュアネットワーク送信部２４を含む。これらは、ゲートウェイ装置２のプロセッサが所定のプログラムを実行することによって実現される機能である。

送信制御部２１は、プロセッサが暗号化制御プログラムを実行することによって実現される機能である。送信制御部２１は、センタサーバ１からの指示を受信し、該指示に従って、データの暗号化処理を、アプリケーションを用いたデータの暗号化処理と暗号化通信を用いたデータの暗号化処理との間で切り替える。送信制御部２１は、収容する機器から受信したデータを、有効になっている暗号化処理に応じて、暗号化部２２又はセキュアネットワーク送信部２４のいずれかに出力する。なお、ゲートウェイ装置２からセンタサーバ１へのデータの送信は、収容する機器からのデータの受信の度に行われてもよいし、収容する機器からのデータをゲートウェイ装置２で一旦蓄積し、該蓄積されたデータについて、所定の周期で行われてもよい。

ゲートウェイ装置２の暗号化部２２は、例えば、ゲートウェイ装置２のプロセッサが、処理の一部に暗号化処理を含むアプリケーションを実行することによって実現される機能である。暗号化部２２は、データを所定の暗号化アルゴリズムに従って暗号化する。暗号化アルゴリズムは、例えば、ＤＥＳやトリプルＤＥＳである。ただし、暗号化部２２のデータの暗号化アルゴリズムは、所定のアルゴリズムに限定されない。暗号化部２２は、暗号化データを物理網送信部２３に送信する。

ゲートウェイ装置２の物理網送信部２３は、例えば、ゲートウェイ装置２のＯＳ、又は、ゲートウェイ装置２上で動作するプログラムの機能の一つであって、暗号化部２２によって暗号化された暗号化データに対して、物理網レベルでの終端処理を行い、センタサーバ１に送信する。より具体的には、物理網送信部２３は、暗号化データをパケットに収まるサイズに分割（フラグメント化）し、分割された各データについて、各レイヤのヘッダを付与してカプセル化してパケットを生成して、該パケットを送信する。なお、物理網送
信部２３では、センタサーバ１へ送信するための暗号化は行われない。

ゲートウェイ装置２のセキュアネットワーク送信部２４は、例えば、該ゲートウェイ装置２のプロセッサが暗号化通信のプログラムを実行することによって実現される機能である。セキュアネットワーク送信部２４は、所定の暗号化通信のアルゴリズムに則って、センタサーバ１と暗号化通信のセッションを確立し、データを暗号化してセンタサーバ１に送信する。より具体的には、セキュアネットワーク送信部２４は、データを分割（フラグメント化）し、分割された各データにネットワークレイヤ以上のレイヤのヘッダを付与し、ネットワークレイヤのヘッダを付与してパケットを生成し、該パケットを送信する。ただし、セキュアネットワーク送信部２４は、これらの処理に加えて、データの暗号化処理を行う。データの暗号化処理は、例えば、ＶＰＮの場合には、フラグメントされたデータに対して行われる。また、データの暗号化処理は、例えば、ＳＳＬの場合には、フラグメント前のオリジナルのデータに対して行われる。

セキュアネットワーク送信部２４が行う暗号化通信は、例えば、ＶＰＮ、ＳＳＬである。ただし、セキュアネットワーク送信部２４が行う暗号化通信は、所定の暗号化通信に限定されない。

次に、センタサーバ１は、物理網受信部１１，セキュアネットワーク受信部１２，復号部１３，データ管理部１４，データ取得部１５，を備える。物理網受信部１１は、例えば、ＯＳ、又は、センタサーバ１上で動作するプログラムの機能の一つであって、ゲートウェイ装置２から非セキュアネットワークを通じて暗号化データを受信し、該暗号化データに対して終端処理を行う。より具体的には、物理網受信部１１は、受信したパケットについて、各レイヤのヘッダを外してデータを取り出す非カプセル化処理を行い、複数のパケットから抽出したデータ（フラグメント）からオリジナルのデータを組み立てる。このオリジナルのデータは、ゲートウェイ装置２においてアプリケーションによる暗号化処理によって暗号化されたデータである。なお、センタサーバ１では、ネットワークインタフェース１０７によって、受信パケットのヘッダやデータ形式等から、物理網受信部１１又はセキュアネットワーク受信部１２に、受信パケットが振り分けられる。

センタサーバ１の物理網受信部１１は、受信した暗号化データを復号部１３に出力する。また、物理網受信部１１は、例えば、データを受信する度に、単位時間当たりのデータの受信量をタイミング判定部１６に通知する。

センタサーバ１の復号部１３は、暗号化データの復号処理を行う。復号部１３は、後述のタイミング判定部１６によって復号処理の実行が判定されている間は、物理網受信部１１から入力される暗号化データの復号処理を順次行う。タイミング判定部１６によって復号処理の保留が判定されている間は、復号部１３は、物理網受信部１１から入力される暗号化データの暗号化処理を行わずに該暗号化データをデータ管理部１４に格納する。

また、復号部１３は、センタサーバ１の処理負荷が軽い場合には、データ管理部１４に保持される暗号化されたままのデータの復号処理を行う。また、復号部１３は、アプリケーションからのデータ取得要求を受けたデータ取得部１５からの依頼に応じて、該アプリケーションが要求する暗号化されたままのデータを復号する。

復号部１３は、復号処理の完了の度に、例えば、単位時間当たりの復号したデータの処理量をタイミング判定部１６に通知する。

センタサーバ１のセキュアネットワーク受信部１２は、例えば、プロセッサ１０１が暗号化通信のプログラムを実行することによって実現される機能である。この暗号化通信は
、例えば、ＶＰＮ、ＳＳＬ等に限定されることなく、いずれであってもよいが、ゲートウェイ装置２と同じ暗号化通信のアルゴリズムが用いられる。セキュアネットワーク受信部１２は、暗号化通信を通じて受信したデータに対する受信処理の一部として該受信データを復号し、データ管理部１４に出力する。より具体的には、セキュアネットワーク受信部１２は、各受信パケットを非カプセル化してデータ（フラグメント）を抽出し、複数のパケットから抽出されたデータからオリジナルのデータを組み立てる。これに加えて、暗号化通信のアルゴリズムに応じて、セキュアネットワーク受信部１２は、復号処理を行う。例えば、ＶＰＮの場合には、セキュアネットワーク受信部１２は、受信パケットに対して復号処理を行う。例えば、ＳＳＬの場合には、セキュアネットワーク受信部１２は、複数のパケットから組み立てられたオリジナルデータに対して復号処理を行う。セキュアネットワーク受信部１２は、このオリジナルのデータをデータ管理部１４に格納する。また、セキュアネットワーク受信部１２は、例えば、暗号化通信を通じてデータを受信する度に、単位時間当たりのデータの受信量をタイミング判定部１６に通知する。

センタサーバ１のデータ管理部１４は、例えば、補助記憶装置１０５の記憶領域に作成され、情報処理システム１００内の機器から収集されたデータを保持するデータベースである。データ管理部１４には、物理網受信部１１によって受信され、復号部１３によって復号されたデータ、物理網受信部１１によって受信された暗号化されたままのデータ、セキュアネットワーク受信部１２によって受信された復号済みのデータが格納される。

センタサーバ１のデータ取得部１５は、アプリケーションからのデータ取得要求に応じて、データ管理部１４からデータを読み出し、アプリケーションに渡す。その際に、暗号化されたままのデータがある場合には、復号部１３に復号処理の依頼を行い、復号されたデータをアプリケーションに渡す。また、データ取得部１５は、アプリケーションからのデータ取得要求を処理するたびに、データの利用状況をタイミング判定部１６に通知する。データの利用状況は、例えば、データ種別ごとのアプリケーションからアクセス回数である。なお、第１実施形態では、データの生成元（例えば、機器）によって、アプリケーションレイヤのデータにデータ種別を示すタイプ情報が付与されている。このタイプ情報によって、センタサーバ１では、データ種別ごとのアクセス回数を計数することができる。タイプ情報によって示されるデータ種別には、例えば、体重、体温、脈拍、等がある。

センタサーバ１のタイミング判定部１６は、例えば、プロセッサ１０１が復号制御プログラムを実行することによって実現される機能である。タイミング判定部１６は、物理網受信部１１を通じて受信された暗号化データの復号処理の実行タイミングを制御する。タイミング処理部１６は、物理網受信部１１からデータの受信量、セキュアネットワーク受信部１２からデータの受信量、復号部１３から復号処理量、データ取得部１５からアプリケーションによるデータの利用状況を受信し、これらの情報に基づいて、物理網受信部１１を通じて受信した暗号化データの復号処理の実行タイミングの制御を行う。復号処理の実行タイミングの制御の詳細は、後述される。

また、タイミング判定部１６は、センタサーバ１の処理負荷やセキュアネットワーク受信部１２のデータの受信量等に基づいて、ゲートウェイ装置２におけるアプリケーションによる暗号化処理と暗号化通信を用いる暗号化処理との間の切り替えを判定する。データの暗号化処理の切替を判定したゲートウェイ装置２に対して、タイミング判定部１６は、切替の指示を送信する。この判定処理についても、後述される。タイミング判定部１６は、「制御部」、「送信部」の一例である。

＜処理の流れ＞
図５は、センタサーバ１のタイミング判定部１６の処理のフローチャートの一例である。図５に示されるフローチャートは、センタサーバ１の起動とともに開始され、センタサ
ーバ１の起動中繰り返し実行される。

ＯＰ１では、タイミング判定部１６は、セキュアネットワーク受信部１２の単位時間当たりのデータの受信量を取得する。なお、タイミング判定部１６は、セキュアネットワーク受信部１２が各ゲートウェイ装置２と確立している暗号化通信のすべてのセッションについてデータの受信量を取得する。データの受信量は、例えば、受信パケットのパケット長の総量に基づくものであってもよいし、受信パケットの数であってもよい。次に処理がＯＰ２に進む。

ＯＰ２では、タイミング判定部１６は、センタサーバ１の処理負荷が閾値以上であるか否かを判定する。この判定では、センタサーバ１の処理負荷として、例えば、ロードアベレージ、暗号化通信のプロセスによるメモリの占有使用率等が用いられる。また、ＯＰ２の判定で用いられる閾値は、センタサーバ１の性能に応じて、実験値から設定される。

セキュアネットワーク受信部１２では、データ受信処理の一部として復号処理も行われる。したがって、セキュアネットワーク受信部１２のデータの受信量とセンタサーバ１の処理負荷とには、セキュアネットワーク受信部１２のデータの受信量が増えるとセンタサーバの処理負荷が大きくなるという相関がある。ただし、センタサーバ１の処理負荷には、例えば、復号部１３による復号処理の処理負荷等の、セキュアネットワーク受信部１２の復号処理以外の処理負荷も含まれている。

ＯＰ２では、センタサーバ１の処理負荷が閾値以上であるか否かが判定されることによって、センタサーバ１の処理負荷の調整のために、セキュアネットワーク受信部１２の復号処理に掛かる負荷の軽減又は増加が判定される。

センタサーバ１の処理負荷が閾値以上である場合には（ＯＰ２：ＹＥＳ）、センタサーバ１の処理負荷を下げるために、以降、セキュアネットワーク受信部１２に掛かる負荷を軽くするための処理が行われる。次に処理がＯＰ３に進む。

センタサーバ１の処理負荷が閾値未満である場合には（ＯＰ２：ＮＯ）、センタサーバ１の処理能力に余裕があるため、以降、セキュアネットワーク受信部１２の復号処理の処理量を増加させる処理が行われる。次に処理がＯＰ９に進む。

ＯＰ３〜ＯＰ８は、セキュアネットワーク受信部１２の復号処理に掛かる負荷の軽減のために行われる処理である。まず、ＯＰ３、ＯＰ４では、アプリケーションによるデータの暗号化処理へのデータの暗号化処理の切替対象となるゲートウェイ装置２が決定され、データの暗号化処理の切替指示が送信される。

ＯＰ３では、タイミング判定部１６は、セキュアネットワーク受信部１２と暗号化通信のセッションを確立しているゲートウェイ装置２の中から、アプリケーションによる暗号化処理へとデータの暗号化処理を切り替えさせるゲートウェイ装置２を決定する。セキュアネットワーク受信部１２と暗号化通信のセッションを確立しているゲートウェイ装置２の情報は、例えば、該確立中の暗号化通信のセッションの情報から取得することができる。

上述の通り、セキュアネットワーク受信部１２とセンタサーバ１との処理負荷の間には相関がある。したがって、例えば、タイミング判定部１６は、処理負荷が該閾値を下回るように、データの受信量の多いセッションを確立するゲートウェイ装置２を、アプリケーションによる暗号化処理へとデータの暗号化処理を切り替えさせるゲートウェイ装置２に決定する。なお、データの暗号化処理の切替が判定されるゲートウェイ装置２は、複数で
あってもよく、数は限定されない。次に処理がＯＰ４に進む。

ＯＰ４では、タイミング判定部１６は、ＯＰ３で決定したゲートウェイ装置２に、アプリケーションによる暗号化処理へのデータ暗号化処理の切替を指示する。次に処理がＯＰ５に進む。

ＯＰ５〜ＯＰ８の処理は、アプリケーションによる暗号化処理へのデータ暗号化処理の切り替えによる物理網受信部１１のデータの受信量の増加に伴い、復号部１３の復号処理の実行タイミングを決定する処理である。

ＯＰ５では、タイミング判定部１６は、アプリケーションによる暗号化処理へデータ暗号化処理を切り替えるゲートウェイ装置２が取り扱うデータのデータ種別について、データ利用状況を取得する。例えば、タイミング判定部１６は、各データ種別の利用状況を、データ取得部１５から通知される度に更新する。各データ種別の利用状況は、データ取得部１５から通知される利用状況の直近の所定期間での平均値として更新される。平均値を算出する所定の期間は、データ種別ごとに異なり、例えば、直近の数時間、直近の１日、直近の一週間等である。ＯＰ５において取得されるデータ利用状況は、例えば、直近の所定期間の平均値が取得される。次に処理がＯＰ６に進む。

ＯＰ６では、タイミング判定部１６は、該当データ種別のデータ利用状況が示す使用頻度が閾値以上であるか否かを判定する。使用頻度は、例えば、単位時間当たりのアプリケーションからのアクセス数である。また、使用頻度に用いられる単位時間及び閾値は、データ種別に応じて変わる。

データの使用頻度が閾値以上である場合には（ＯＰ６：ＹＥＳ）、処理がＯＰ７に進む。ＯＰ７では、タイミング判定部１６は、該当データ種別のデータの復号処理の実行タイミングを「実行」に設定する。実行タイミングが「実行」である場合には、物理網受信部１１によって受信される暗号化データは、復号部１３によって受信後に復号されてから、データ管理部１４に格納される。タイミング判定部１６は、該当データ種別のデータの復号処理の実行タイミングを復号部１３に通知する。次に処理がＯＰ１２に進む。

データの使用頻度が閾値未満である場合には（ＯＰ６：ＮＯ）、処理がＯＰ８に進む。ＯＰ８では、タイミング判定部１６は、該当データ種別のデータの復号処理の実行タイミングを「保留」に設定する。実行タイミングが「保留」である場合には、物理網受信部１１を通じて受信される暗号化データは、暗号化されたままデータ管理部１４に格納される。復号処理の実行タイミングの初期値は、例えば、「保留」である。タイミング判定部１６は、該当のデータ種別のデータの復号処理の実行タイミングを復号部１３に通知する。次に処理がＯＰ１２に進む。

ＯＰ５〜ＯＰ８の処理によって、データの使用頻度が閾値以上の場合には、送信元のゲートウェイ装置２がアプリケーションによる暗号化処理に切り替えられても、ＯＰ７において、復号処理の実行タイミングが「実行」に決定される。そのため、データは、センタサーバ１での受信とともに復号されて保持されるようになる。したがって、データの使用頻度が高い場合には、送信元のゲートウェイ装置２がアプリケーションによる暗号化処理に切り替えられても、アプリケーションの該データの利用時の復号処理の発生頻度と、該アプリケーションへの応答遅延と、を抑えることができる。

一方、データの使用頻度が閾値未満の場合には、送信元のゲートウェイ装置２がアプリケーションによる暗号化に切り替えられると、ＯＰ８において、復号処理の実行タイミングが「保留」に決定されるため、データは暗号化されたまま保持される。

ＯＰ４において、アプリケーションによる暗号化処理へのデータの暗号化処理の切替が指示されるゲートウェイ装置２の取り扱うデータのデータ種別が複数である場合には、各データ種別について、ＯＰ５〜ＯＰ８の処理が実行される。

ＯＰ９〜ＯＰ１１は、セキュアネットワーク受信部１２の処理を増加させるための処理である。ＯＰ９では、タイミング判定部１６は、物理網受信部１１がいずれかのゲートウェイ装置２からデータを受信しているか否かを判定する。この判定は、例えば、タイミング判定部１６が物理網受信部１２からデータ受信量の通知を受けているか否かによって判定される。

物理網受信部１１がいずれかのゲートウェイ装置２からデータを受信している場合には（ＯＰ９：ＹＥＳ）、処理がＯＰ１０に進む。ＯＰ１０では、タイミング判定部１６は、例えば、センタサーバ１の処理負荷がＯＰ２の閾値を超えないように、暗号化通信を用いた暗号化処理へデータの暗号化処理を切り替えさせるゲートウェイ装置２を決定する。なお、暗号化通信を用いた暗号化処理へデータの暗号化処理を切り替えさせるゲートウェイ装置２は、複数であってもよく、数は限定されない。また、アプリケーションによる暗号化処理を用いるゲートウェイ装置２が複数ある場合には、データの受信量の少ないゲートウェイ装置２から順に、暗号化通信を用いた暗号化処理へデータの暗号化処理を切り替えさせてもよい。次に処理がＯＰ１１に進む。

ＯＰ１１では、タイミング判定部１６は、ＯＰ１０でデータの暗号化処理の切替を決定したゲートウェイ装置２に、アプリケーションによる暗号化処理から暗号化通信を用いた暗号化処理への切替の指示を送信する。次に処理がＯＰ１２に進む。

物理網受信部１１がいずれのゲートウェイ装置２からもデータを受信していない場合には（ＯＰ９：ＮＯ）、暗号化通信を用いた暗号化処理へのデータの暗号化処理の切替を指示するゲートウェイ装置２が存在しないので、処理がＯＰ１２に進む。

ＯＰ９〜ＯＰ１１では、センタサーバ１の処理能力に余裕がある場合には、ゲートウェイ装置２にアプリケーションによる暗号化処理から暗号化通信を用いた暗号化処理へとデータの暗号化処理を切り替えさせる。これによって、暗号化されたままデータ管理部１４に保持されるデータを低減することができ、アプリケーションへの応答遅延を抑えることができる。

ＯＰ１２では、タイミング判定部１６は、所定時間待機し、所定時間経過後、図５に示される処理が終了する。その後、図５に示される処理は繰り返し実行される。

なお、図５に示されるフローチャートは、一例であり、タイミング判定部１６の処理は図５に示されるフローチャートに限定されない。例えば、ＯＰ５〜ＯＰ８では、データ種別ごとのデータ利用状況に応じて、該データ種別のデータの復号処理の実行タイミングが決定されるが、これに限られない。例えば、データが所定のアプリケーション専用のデータである場合には、該アプリケーションに応じて復号タイミングが予め設定されおり、この設定にしたがって復号タイミングが決定されてもよい。また、ＯＰ２では、センタサーバ１の処理負荷について判定処理が行われたが、これに限られず、例えば、セキュアネットワーク受信部１２のデータの受信量について判定処理が行われてもよい。

図６は、ゲートウェイ装置２のデータ送信処理のフローチャートの一例を示す図である。図６に示される処理は、ゲートウェイ装置２の起動とともに開始され、ゲートウェイ装置２の起動中繰り返し実行される。

ＯＰ２１では、送信制御部２１は、収容する機器からデータを受信する。次に処理がＯＰ２２に進む。

ＯＰ２２では、送信制御部２１は、センタサーバ１から指示されたデータ暗号化処理を参照する。データ暗号化処理は、例えば、フラグで管理されている。例えば、暗号化通信を用いた暗号化処理と、アプリケーションによる暗号化処理との、それぞれについて、フラグが用意され、該フラグが「１」である方が有効となる。また、両フラグは、ともに「１」になることはなく、一方が「１」である場合には、もう一方は「０」となる。または、例えば、データ暗号化処理のフラグが一つ用意され、該フラグが「０」の場合には、暗号化通信を用いた暗号化処理が有効であることが示され、該フラグが「１」の場合には、アプリケーションによる暗号化処理が有効であることが示されるようにしてもよい。また、例えば、アプリケーションによる暗号化処理では、強度の異なる暗号化アルゴリズムを複数用意し、アプリケーションによる暗号化処理が有効になる度に暗号化アルゴリズムを切り替えるようにしてもよい。次に処理がＯＰ２３に進む。

アプリケーションによる暗号化処理が有効になっている場合には（ＯＰ２３：ＹＥＳ）、送信制御部２１は、暗号化部２２にデータを出力し、処理がＯＰ２４に進む。ＯＰ２４では、暗号化部２２は、所定の暗号化アルゴリズムに従って、データを暗号化し、物理網送信部２３に暗号化データを出力する。次に処理がＯＰ２５に進む。

ＯＰ２５では、物理網送信部２３は、非セキュアネットワークを通じて、暗号化データをセンタサーバ１に送信する。その後図６に示される処理が終了する。

暗号化通信を用いた暗号化処理が有効になっている場合には（ＯＰ２３：ＮＯ）、送信制御部２１は、セキュアネットワーク送信部２４にデータを出力し、処理がＯＰ２６に進む。

ＯＰ２６では、セキュアネットワーク送信部２４は、暗号化通信のセッション（セキュアネットワーク）を通じてセンタサーバ１にデータを送信する。暗号化通信のセッションを通じた送信処理において、データは、暗号化される。その後、図６に示される処理が終了する。

図７は、センタサーバ１のデータ受信処理のフローチャートの一例である。図７に示されるフローチャートは、センタサーバ１の起動とともに開始され、センタサーバ１の起動中繰り返し実行される。

非セキュアネットワークを通じてデータが受信された場合には（ＯＰ３１：ＹＥＳ）、処理がＯＰ３２に進む。セキュアネットワーク（暗号化通信のセッション）を通じてデータが受信された場合には（ＯＰ３１：ＮＯ）、処理がＯＰ４０に進む。

ＯＰ３２〜ＯＰ３８は、物理網受信部１１によってデータが受信された場合の受信処理である。ＯＰ３２では、物理網受信部１１は、受信処理を行う。物理網受信部１１は、受信したデータ（暗号化データ）を復号部１３に出力する。次に処理がＯＰ３３に進む。

ＯＰ３３では、物理網受信部１１は、データの受信量をタイミング判定部１６に通知する。通知されるデータの受信量は、例えば、単位時間当たりの受信量である。次に処理がＯＰ３４に進む。

ＯＰ３４では、復号部１３は、暗号化データのデータ種別に対する復号処理の実行タイ
ミングを参照する。該データ種別に対する復号処理の実行タイミングが「実行」である場合には（ＯＰ３５：ＹＥＳ）、処理がＯＰ３６に進む。該データ種別に対する復号処理の実行タイミングが「保留」である場合には（ＯＰ３５：ＮＯ）、処理がＯＰ３８に進む。

ＯＰ３６では、データ種別に対する復号処理の実行タイミングが「実行」であるので、復号部１３は、物理網受信部１１から入力された暗号化データを復号してデータ管理部１４に格納する。次に処理がＯＰ３７に進む。

ＯＰ３７では、復号部１３は、復号処理量をタイミング判定部１６に通知する。復号処理量は、例えば、単位時間当たりの復号処理が行われた回数である。その後、図７に示される処理が終了し、ＯＰ３１から繰り返し実行される。

ＯＰ３８では、データ種別に対する復号処理の実行タイミングが「保留」であるので、復号部１３は、物理網受信部１１から入力された暗号化データを復号せずに、暗号化されたまま、データ管理部１４に格納する。その後、図７に示される処理が終了し、ＯＰ３１から繰り返し実行される。

ＯＰ４０〜ＯＰ４２は、暗号化通信を通じてデータが受信された場合の処理である。ＯＰ４０では、セキュアネットワーク受信部１２は、暗号化通信のセッション（セキュアネットワーク）を通じてデータを受信する。セキュアネットワーク受信部１２のデータの受信処理の一部として、データの復号処理も含まれる。次に、処理がＯＰ４１に進む。

ＯＰ４１では、セキュアネットワーク受信部１２は、データの受信量をタイミング判定部１６に通知する。通知されるデータの受信量は、例えば、単位時間当たりの受信量である。次に、処理がＯＰ４２に進む。

ＯＰ４２では、セキュアネットワーク受信部１２は、受信したデータを、データ管理部１４に格納する。その後、図７に示される処理が終了し、ＯＰ３１から繰り返し実行される。

図８は、センタサーバ１のアプリケーションからのデータ取得要求に対する処理のフローチャートの一例である。図８に示されるフローチャートは、センタサーバ１の起動とともに開始され、センタサーバ１の起動中繰り返し実行される。

ＯＰ５１では、データ取得部１５は、アプリケーションからのデータ取得要求を受信する。次に、処理がＯＰ５２に進む。

ＯＰ５２では、データ取得部１５は、該アプリケーションのデータ取得要求の対象となるデータ種別に対するデータ利用状況をタイミング判定部１６に通知する。通知されるデータ利用状況は、例えば、該データ種別に対するアプリケーションからのアクセスの発生である。例えば、データ利用状況を受信することによって、タイミング判定部１６は、単位時間当たりの該当のデータ種別のアプリケーションからのアクセス数を更新する。次に処理が、ＯＰ５３に進む。

ＯＰ５３は、データ取得部１５は、データ管理部１４に保持されている暗号化されたままのデータから、アプリケーションからのデータ取得要求の条件に合致するデータを取得する。なお、データ管理部１４に保持される暗号化されたままのデータは、例えば、該データ種別等を示す情報とともに保持されており、データ種別等が判別可能な状態となっている。またアプリケーションからのデータ取得要求には、例えば、要求するデータのデータ種別が格納されている。そのため、データ取得部１５は、アプリケーションからのデー
タ取得要求に合致する暗号化されたままのデータを取得することができる。次に、処理がＯＰ５４に進む。

ＯＰ５４では、データ取得部１５は、アプリケーションからのデータ取得要求の条件に合致する暗号化されたままのデータが１件以上取得できたか否かを判定する。アプリケーションからのデータ取得要求の条件に合致する暗号化されたままのデータが１件以上取得された場合には（ＯＰ５４：ＹＥＳ）、処理がＯＰ５５に進む。アプリケーションからのデータ取得要求の条件に合致する暗号化されたままのデータが取得されない場合には（ＯＰ５４：ＮＯ）、処理がＯＰ５７に進む。

ＯＰ５５では、データ取得部１５は、取得した暗号化されたままのデータの復号処理を復号部１３に依頼する。復号部１３は、依頼された暗号化データの復号処理を実行する。次に処理がＯＰ５６に進む。

ＯＰ５６では、復号部１３は、復号処理量をタイミング判定部１６に通知する。通知される復号処理量は、例えば、単位時間当たりの復号されたデータ量である。復号部１３は、復号したデータを、データ取得部１５に返す。次に、処理がＯＰ５７に進む。

ＯＰ５７では、データ取得部１５は、データ管理部１４に保持されている復号済みのデータから、アプリケーションからのデータ取得要求の条件に合致するデータを取得する。次に処理がＯＰ５８に進む。

ＯＰ５８では、データ取得部１５は、ＯＰ５５で復号されたデータがある場合には、ＯＰ５５で復号されたデータと、ＯＰ５７で取得したデータとをマージして、アプリケーションに出力する。その後、図８に示される処理が終了する。

なお、図８に示されるフローチャートは、一例であって、処理の実行順序は、図８に示されるフローチャートに限定されない。例えば、ＯＰ５３の処理よりも前に、ＯＰ５７の処理が実行されてもよい。

図９は、センタサーバ１の復号部１３の復号処理の一つのフローチャートの一例である。図９に示される処理は、センタサーバ１の起動とともに開始され、センタサーバ１の起動中繰り返し実行される。

ＯＰ６１では、復号部１３は、センタサーバ１の単位時間当たりの処理量を取得する。処理量は、例えば、復号部１３及びセキュアネットワーク受信部１２による復号処理を含むロードアベレージである。次に処理がＯＰ６２に進む。

ＯＰ６２では、復号部１３は、取得した単位時間当たりの処理量が閾値以上であるか否かを判定する。閾値の値は、センタサーバ１の性能に応じて予め設定される。この判定によって、センタサーバ１の処理能力に余裕があるか否かが判定される。なお、ＯＰ６２で用いられる閾値と、図５のＯＰ２で用いられる閾値とは、同じであってもよいし、異なっていてもよい。

単位時間当たりの処理量が閾値以上である場合には（ＯＰ６２：ＹＥＳ）、センタサーバ１の処理能力に余裕がないことが示される。次に処理がＯＰ６５に進む。

ＯＰ６５では、センタサーバ１の処理能力に余裕がないので、復号部１３は、所定時間待機する。所定時間経過後、図９に示される処理が終了し、ＯＰ６１から繰り返し処理が実行される。

単位時間当たりの処理量が閾値未満である場合には（ＯＰ６２：ＮＯ）、センタサーバ１の処理能力に余裕があり、暗号化されたまま保持されているデータの復号処理が実行可能であることが示される。次に処理がＯＰ６３に進む。

ＯＰ６３では、復号部１３は、データ管理部１４に暗号化されたままのデータが保持されているか否かを判定する。データ管理部１４に暗号化されたままのデータが保持されている場合には（ＯＰ６３：ＹＥＳ）、処理がＯＰ６４に進む。

ＯＰ６４では、復号部１３は、データ管理部１４に暗号化されたままのデータを所定量読み出し、復号し、再度データ管理部１４に格納する。復号されるデータの量は、センタサーバ１の性能に応じて実験値から設定される。その後、図９に示される処理が終了し、再度ＯＰ６１から繰り返し実行される。

復号部１３は、図９に示される処理のように、センタサーバ１の処理能力に余裕があるときに、データ管理部１４に保持される暗号化されたままのデータを所定量復号する。これによって、アプリケーションからデータ取得要求が入力された場合に、アプリケーションへの応答速度を、該当データの復号処理によって低下させることを抑えることができる。また、センタサーバ１の処理能力に余裕があるときに該復号処理が実行されるため、他のセンタサーバ１内の他のプロセスへの影響を抑えることができる。

＜第１実施形態の作用効果＞
第１実施形態では、センタサーバ１が、自身の処理負荷に応じて、データの送信元であるゲートウェイ装置２に、データの暗号化処理の切替を指示する。ゲートウェイ装置２のデータの暗号化処理を切り替えることによって、センタサーバ１の暗号化通信を通じて受信するデータ量を制御することができる。センタサーバ１において、暗号化通信を通じてデータが受信された場合には、データの受信処理の一部として復号処理が行われ、該復号処理に負荷がかかるので、暗号化通信を通じ受信するデータ量を制御することによって、センタサーバ１の処理負荷を調整することができる。

また、ゲートウェイ装置２のデータの暗号化処理の切替を制御することによって、専らアプリケーションによる暗号化処理が用いられるシステムに比べて、暗号化されたまま保持されるデータが減少するため、アプリケーションへの応答速度を向上させることができる。

また、第１実施形態では、センタサーバ１は、ゲートウェイ装置２においてアプリケーションによる暗号化処理によって暗号化されたデータの復号処理の実行タイミングを、該当のデータの利用状況に応じて決定する。これによって、例えば、使用頻度の高いデータは、受信後復号されてからデータ管理部１４に保持され、使用頻度の低いデータは、復号されずにデータ管理部１４に保持される。これによって、例えば、使用頻度の高いデータを利用するアプリケーションへの応答速度の低下を抑えることができ、使用頻度の低いデータの復号処理によるセンタサーバ１への処理負荷を低減させることができる。すなわち、第１実施形態によれば、センタサーバ１にとって、効率よく復号処理を行うことができる。

また、第１実施形態によれば、データ管理部１４に保持される暗号化されたままのデータの一部は、センタサーバ１の処理能力に余裕があるときに復号される。これによって、例えば、使用頻度の低いデータが受信後復号されずに暗号化されたままデータ管理部１４に保持される場合でも、アプリケーションがデータを利用しない間に暗号化されたままのデータは復号される。そのため、該アプリケーションによって該データにアクセスされた
際の応答速度の低下を抑えることができる。また、センタサーバ１の処理効率を上げることができる。

＜第２実施形態＞
第２実施形態では、センタサーバ１は、データの暗号化処理を切り替えるゲートウェイ装置２を決定する際に、データ種別ごとのデータ利用状況と単位時間当たりの受信量とを考慮して、より柔軟な制御を行う。第２実施形態では、第１実施形態と共通する説明は省略される。

第２実施形態では、情報処理システム１００、センタサーバ１、ゲートウェイ装置２の構成は、いずれも第１実施形態と同様である。

第２実施形態では、タイミング判定部１６は、データ種別ごとに、データの受信量と、使用頻度とを集計し、該集計値に基づいて、ゲートウェイ装置２のデータの暗号化処理の切替、データ種別ごとの復号処理の実行タイミングの決定を行う。

図１０は、第２実施形態に係るタイミング判定部１６によって集計されるデータ種別ごとのデータの受信量と、使用頻度との一例を示す図である。図１０に示される情報は、例えば、主記憶装置１０２のＲＡＭ又は補助記憶装置１０５に保持される。データの受信量は、例えば、物理網受信部１１及びセキュアネットワーク受信部１２から通知されるそれぞれのデータの受信量を集計して算出された単位時間当たりのデータの受信量である。データの使用頻度は、例えば、データ取得部１５から通知される、アプリケーションからの各データ種別のデータに対する単位時間当たりのアクセス回数である。

タイミング判定部１６は、例えば、図５のＯＰ３におけるアプリケーションによる暗号化処理へ切り替えさせるゲートウェイ装置２の決定を、データ種別ごとのデータの受信量を用いて、以下のルールに則って行う。

（１）単位時間当たりのデータの受信量の多い上位所定数のデータ種別のデータを取り扱うゲートウェイ装置２は、暗号化通信を用いた暗号化処理に切り替える。
（２）（１）に合致するデータ種別以外のデータを取り扱うゲートウェイ装置２は、アプリケーションによる暗号化処理に切り替える。

また、タイミング判定部１６は、図５のＯＰ５〜ＯＰ８の、アプリケーションによる暗号化処理に切り替えられるゲートウェイ装置２が取り扱うデータ種別の復号タイミングの決定においては、データ種別ごとの使用頻度を用いて、以下のように行う。

タイミング判定部１６は、（１）に合致するデータ種別以外のデータ種別のうち、使用頻度の高い上位所定数のデータ種別のデータは、復号処理の実行タイミングを「実行」に設定する。タイミング判定部１６は、それ以外のデータ種別のデータの復号処理の実行タイミングを「保留」に設定する。

例えば、図１０に示される例では、単位時間当たりの受信量が多い上位２位までのデータ種別である、「体温」と「脈拍」のデータを取り扱うゲートウェイ装置２は、暗号化通信を用いた暗号化処理に切り替えられる。また、単位時間当たりの受信量が３位以下のデータ種別「血圧」、「歩数」、「体重」のデータを取り扱うゲートウェイ装置２は、アプリケーションによる暗号化処理に切り替えられる。

また、単位時間当たりの受信量が３位以下のデータ種別「血圧」、「歩数」、「体重」のうち、使用頻度が高いデータ種別「血圧」と「歩数」の復号処理の実行タイミングは「
実行」に設定される。データ種別「体重」の復号処理の実行タイミングは「保留」に設定される。

データの受信量や使用頻度は、データ種別、時間帯等によって変化する。第２実施形態では、センタサーバ１の処理負荷が所定よりも多くなった場合に、その時点でのデータ種別ごとのデータの受信量及び使用頻度に基づいて、データ暗号化処理及び復号処理の実行タイミングが決定される。したがって、第２実施形態では、データ種別に応じて、より柔軟に、データの暗号化処理の切り替え、及び、復号処理の実行タイミングの制御を行うことができ、サービス品質が向上する。

＜第３実施形態＞
第３実施形態では、センタサーバ１は、データの暗号化処理の切り替えのポリシを作成し、各ゲートウェイ装置２に送信する。各ゲートウェイ装置２では、センタサーバ１からの指示に従ってデータ暗号化処理の切り替えを行うとともに、ポリシに従って、自律的にデータ暗号化処理の切り替えを行う。第３実施形態では、第１実施形態及び第２実施形態と共通する説明は、省略される。

図１１は、第３実施形態に係る情報処理システム１００Ｃの構成と、センタサーバ１Ｃ、ゲートウェイ装置２Ｃのそれぞれの機能構成の一例である。第３実施形態では、センタサーバ１Ｃは、ポリシ生成部１７をさらに備え、ゲートウェイ装置２Ｃは、ポリシ管理部２５をさらに備える。

センタサーバ１Ｃのポリシ生成部１７は、プロセッサ１０１が復号制御プログラムを実行することによって実現される機能の一つである。センタサーバ１Ｃのポリシ生成部１７は、データ暗号化処理の切替ポリシを各ゲートウェイ装置２に送信する。ポリシは、情報処理システム１００の管理者によって生成されてもよいし、ポリシ生成部１７が生成してもよい。ポリシ生成部１７がポリシを生成する場合には、例えば、データ種別ごとのデータの受信量や、データ利用状況に基づいて、各時間帯について、第２実施形態のタイミング判定部１６の処理（１）（２）を行って生成してもよい。時間帯は、例えば、１〜数時間に区切って設定される。データ種別ごとのデータの受信量や、データ利用状況は、物理網受信部１１、セキュアネットワーク受信部１２、データ取得部１５から取得される。

ゲートウェイ装置２のポリシ管理部２５は、ゲートウェイ装置２のプロセッサが暗号化制御プログラムを実行することによって実現される機能の一つである。ゲートウェイ装置２のポリシ管理部２５は、センタサーバ１のポリシ生成部１７から受信したポリシに従って、データ送信時のデータの暗号化処理を判定する。送信制御部２１は、ポリシ管理部２５によって判定されたデータの暗号化処理に従って、データを、暗号化部２２又はセキュアネットワーク送信部２４のいずれかに出力する。なお、データ送信中に、センタサーバ１からデータの暗号化処理の切替の指示を受けた場合には、送信制御部２１は、センタサーバ１からの指示に従う。

図１２は、データの暗号化処理の切替のポリシの一例を示す図である。図１２に示される例では、データ種別ごと、時間帯ごとに、データの暗号化処理が設定されている。例えば、データ種別「体温」、「脈拍」のデータが、８時〜から２０時までの間に送信される場合には、ポリシ管理部２５は、アプリケーションによる暗号化処理を判定し、送信制御部２１に指示する。データ種別「体温」、「脈拍」のデータが、２０時から８時までの間に送信される場合には、ポリシ管理部２５は、暗号化通信を用いた暗号化処理を判定し、送信制御部２１に指示する。

なお、ポリシは、図１２に示される例に限定されない。例えば、ポリシは、新規ゲート
ウェイ装置２の追加等のイベントに応じて、データの暗号化処理が切り替わるように設定されていてもよい。

第３実施形態では、ゲートウェイ装置２が、ポリシに従って、自律的に、データの暗号化処理を選択してデータを暗号化し、データ送信を行う。データ種別ごとのデータが集中する時間帯や、使用頻度等を考慮してポリシが設定されることによって、センタサーバ１の復号処理に掛かる負荷を分散することができる。また、センタサーバ１の負荷分散に伴い、センタサーバ１からのデータの暗号化処理の切替指示の送信回数も減少するため、ネットワーク内の通信量を低減することができる。

＜その他＞
第１実施形態から第３実施形態では、センタサーバ１が、ゲートウェイ装置２のデータの暗号化処理の切替の制御と、暗号化データの復号処理の実行タイミングの制御とを行うが、これに限られない。例えば、センタサーバ１のタイミング判定部１６は、センタサーバ１とは独立した別装置として実現されてもよい。また、センタサーバ１の機能は、例えば、各機能構成をそれぞれ別装置とする分散コンピューティングで実現されてもよい。

図１３は、センタサーバ１とは異なるサーバがタイミング判定部１６の処理を実行する場合の情報処理システム１００Ｄの構成例を示す図である。情報処理システム１００Ｄは、センタサーバ１Ｄと、ゲートウェイ装置２と、制御サーバ３とを備える。情報処理システム１００Ｄでは、タイミング判定部１６は、センタサーバ１Ｄには備えられておらず、制御サーバ３に備えられる。センタサーバ１Ｄの物理網受信部１１からデータの受信量、セキュアネットワーク受信部１２からデータの受信量、復号部１３からデータの処理量、データ取得部１５からデータの利用状況が、制御サーバ３のタイミング判定部１６に、送信される。制御サーバ３のタイミング判定部１６は、センタサーバ１Ｄから受信した各種情報に基づいて、ゲートウェイ装置２におけるアプリケーションによる暗号化処理と暗号化通信を用いる暗号化処理との間の切り替えを判定し、対象のゲートウェイ装置に２に対して切替の指示を送信する。また、制御サーバ３のタイミング判定部１６は、センタサーバ１Ｄから受信した各種情報に基づいて、センタサーバ１Ｄにおける、物理網受信部１１を通じて受信された暗号化データの復号処理の実行タイミングを制御する。

タイミング判定部１６の処理を行う制御サーバ３を備えることによって、例えば、タイミング判定部１６の処理及びタイミング判定部１６の処理に係る負荷を、分散することができる。また、制御サーバ３は、複数のセンタサーバ１Ｄについてゲートウェイ装置２のデータの暗号化処理の切替、及び、アプリケーションによる暗号化処理によって暗号化されたデータの復号処理の実行タイミングの制御を一元的に行ってもよい。

以上の第１実施形態〜第３実施形態を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
データ送信処理の前に実行される第１の暗号化処理、又は、データ送信処理の一部として実行される第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置のそれぞれから暗号化データを受信するサーバの、少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定する制御部と、
前記制御部によってデータの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信する送信部と、
を備える情報処理装置。
（付記２）
前記制御部は、前記サーバにおけるデータの使用頻度に応じて、前記サーバの、前記第１の暗号化処理による暗号化データの復号処理の実行タイミングを制御する、
付記１に記載の情報処理装置。
（付記３）
前記制御部は、前記データの使用頻度が所定閾値よりも高い場合には、前記復号処理を前記第１の暗号化処理による暗号化データの受信後且つ該暗号化データの記憶部への格納前に実行させることを決定し、前記使用頻度が所定閾値未満の場合には、前記復号処理を保留させる、
付記２に記載の情報処理装置。
（付記４）
前記制御部は、前記サーバの前記処理状況として、前記サーバの処理負荷が所定閾値を超えた場合には、データ種別ごとに、前記複数の通信装置について前記暗号化処理の切替を決定する、
付記１から３のいずれか一つに記載の情報処理装置。
（付記５）
前記制御部は、単位時間当たりのデータの受信量が多い所定数のデータ種別について、前記第２の暗号化処理への切り替えを決定し、前記所定数のデータ種別以外のデータ種別について、前記第１の暗号化処理への切り替えを決定する、
付記４に記載の情報処理装置。
（付記６）
前記制御部は、前記所定数のデータ種別以外のデータ種別のうち、使用頻度が高い所定数のデータ種別について、前記第１の暗号化処理による暗号化データの復号処理の実行を決定し、前記使用頻度が高い所定数のデータ種別以外のデータ種別について、前記復号処理の保留を決定する、
付記５に記載の情報処理装置。
（付記７）
第１の暗号化処理、又は、第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置と、
前記複数の通信装置のそれぞれから暗号化データを受信するサーバと、
前記サーバの、少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定する制御部と、
前記制御部によってデータの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信する送信部と、
を備える情報処理システム。
（付記８）
前記制御部は、前記サーバにおけるデータの使用頻度が所定閾値よりも高い場合には、第１の暗号化処理によって暗号化された暗号化データの復号処理を前記暗号化データの受信後且つ該暗号化データの記憶部への格納前に実行させることを決定し、前記使用頻度が所定閾値未満の場合には、前記復号処理を保留させ、
前記サーバは、処理負荷が所定閾値未満の場合は、前記復号処理が保留された前記暗号化データの復号処理を行う、
付記７に記載の情報処理システム。
（付記９）
前記複数の通信装置のそれぞれは、
前記暗号化処理の切替ポリシを保持する記憶部と、
前記ポリシに従って、前記第１又は前記第２の暗号化処理のいずれかに暗号処理を決定する決定部と、
を備える付記８に記載の情報処理システム。
（付記１０）
コンピュータが、
データ送信処理の前に実行される第１の暗号化処理、又は、データ送信処理の一部として実行される第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置のそれぞれから暗号化データを受信するサーバの、少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定し、
データの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信する、
情報処理方法。
（付記１１）
コンピュータに、
データ送信処理の前に実行される第１の暗号化処理、又は、データ送信処理の一部として実行される第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置のそれぞれから暗号化データを受信するサーバの、少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定させ、
データの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信させる、
ための情報処理プログラム。
（付記１２）
データ送信処理の前に実行される第１の暗号化処理、又は、データ送信処理の一部として実行される第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置から、前記第１の暗号化処理による暗号化データを受信する第１の受信部と、
前記複数の通信装置から前記第２の暗号化処理による暗号化データを受信し、復号する第２の受信部と、
少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定する制御部と、
前記制御部によってデータの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信する送信部と、
を備える情報処理装置。
（付記１３）
前記第１の暗号化処理による暗号化データを復号する復号部をさらに備え、
前記制御部は、データの使用頻度に応じて、前記第１の暗号化処理による暗号化データの前記復号部による復号処理の実行タイミングを制御する、
付記１２に記載の情報処理装置。
（付記１４）
前記制御部は、前記データの使用頻度が所定閾値よりも高い場合には、前記復号処理を前記第１の暗号化処理による暗号化データの受信後且つ該暗号化データの記憶部への格納前に実行させることを決定し、前記使用頻度が所定閾値未満の場合には、前記復号処理を保留させる、
付記１３に記載の情報処理装置。
（付記１５）
前記復号部は、前記処理負荷が所定閾値未満の場合は、前記復号処理が保留された前記暗号化データの復号処理を行う、
付記１４に記載の情報処理装置。
（付記１６）
前記制御部は、前記処理状況として、前記処理負荷が所定閾値を超えた場合には、デー
タ種別ごとに、前記複数の通信装置について前記暗号化処理の切替を決定する、
付記１２に記載の情報処理装置。
（付記１７）
前記制御部は、単位時間当たりのデータの受信量が多い所定数のデータ種別について、前記第２の暗号化処理への切り替えを決定し、前記所定数のデータ種別以外のデータ種別について、前記第１の暗号化処理への切り替えを決定する、
付記１６に記載の情報処理装置。
（付記１８）
前記第１の受信部によって受信された前記暗号化されたデータを復号する復号部をさらに備え、
前記制御部は、前記所定数のデータ種別以外のデータ種別のうち、使用頻度が高い所定数のデータ種別について、前記第１の暗号化処理による暗号化データの復号処理の実行を決定し、前記使用頻度が高い所定数のデータ種別以外のデータ種別について、前記復号処理の保留を決定する、
付記１７に記載の情報処理装置。
（付記１９）
コンピュータが、
データ送信処理の前に実行される第１の暗号化処理、又は、データ送信処理の一部として実行される第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置から、前記第１の暗号化処理による暗号化データを受信し、
前記複数の通信装置から前記第２の暗号化処理による暗号化データを受信して復号し、
少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定し、
前記データの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信する、
情報処理方法。

１ センタサーバ
２ ゲートウェイ装置
１１ 物理網受信部
１２ セキュアネットワーク受信部
１３ 復号部
１４ データ管理部
１５ データ取得部
１６ タイミング判定部
１７ ポリシ生成部
２１ 送信制御部
２２ 暗号化部
２３ 物理網送信部
２４ セキュアネットワーク送信部
２５ ポリシ管理部

Claims (11)

1. データ送信処理の前に実行される第１の暗号化処理、又は、データ送信処理の一部として実行される第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置のそれぞれから暗号化データを受信するサーバにおける、少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定する制御部と、
   前記制御部によってデータの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信する送信部と、
   を備える情報処理装置。
2. 前記制御部は、前記サーバにおけるデータの使用頻度に応じて、前記サーバの、前記第１の暗号化処理による暗号化データの復号処理の実行タイミングを制御する、
   請求項１に記載の情報処理装置。
3. 前記制御部は、前記データの使用頻度が所定閾値よりも高い場合には、前記復号処理を前記第１の暗号化処理による暗号化データの受信後且つ該暗号化データの記憶部への格納前に実行させることを決定し、前記使用頻度が所定閾値未満の場合には、前記復号処理を保留させる、
   請求項２に記載の情報処理装置。
4. 前記制御部は、前記サーバの前記処理状況として、前記サーバの処理負荷が所定閾値を超えた場合には、データ種別ごとに、前記複数の通信装置について前記暗号化処理の切替を決定する、
   請求項１から３のいずれか一項に記載の情報処理装置。
5. 前記制御部は、単位時間当たりのデータの受信量が多い所定数のデータ種別について、前記第２の暗号化処理への切り替えを決定し、前記所定数のデータ種別以外のデータ種別について、前記第１の暗号化処理への切り替えを決定する、
   請求項４に記載の情報処理装置。
6. 前記制御部は、前記所定数のデータ種別以外のデータ種別のうち、使用頻度が高い所定数のデータ種別について、前記第１の暗号化処理による暗号化データの復号処理の実行を決定し、前記使用頻度が高い所定数のデータ種別以外のデータ種別について、前記復号処理の保留を決定する、
   請求項５に記載の情報処理装置。
7. 第１の暗号化処理、又は、第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置と、
   前記複数の通信装置のそれぞれから暗号化データを受信するサーバと、
   前記サーバの、少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定する制御部と、
   前記制御部によってデータの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信する送信部と、
   を備える情報処理システム。
8. 前記制御部は、前記サーバにおけるデータの使用頻度が所定閾値よりも高い場合には、第１の暗号化処理によって暗号化された暗号化データの復号処理を前記暗号化データの受
   信後且つ該暗号化データの記憶部への格納前に実行させることを決定し、前記使用頻度が所定閾値未満の場合には、前記復号処理を保留させ、
   前記サーバは、処理負荷が所定閾値未満の場合は、前記復号処理が保留された前記暗号化データの復号処理を行う、
   請求項７に記載の情報処理システム。
9. 前記複数の通信装置のそれぞれは、
   前記暗号化処理の切替ポリシを保持する記憶部と、
   前記ポリシに従って、前記第１又は前記第２の暗号化処理のいずれかに暗号処理を決定する決定部と、
   を備える請求項８に記載の情報処理システム。
10. コンピュータが、
    データ送信処理の前に実行される第１の暗号化処理、又は、データ送信処理の一部として実行される第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置のそれぞれから暗号化データを受信するサーバの、少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定し、
    データの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信する、
    情報処理方法。
11. コンピュータに、
    データ送信処理の前に実行される第１の暗号化処理、又は、データ送信処理の一部として実行される第２の暗号化処理のいずれかによる暗号化データを送信する複数の通信装置のそれぞれから暗号化データを受信するサーバの、少なくとも前記第２の暗号化処理によって暗号化された暗号化データの復号処理の負荷を含む処理状況に応じて、前記複数の通信装置について前記第１又は前記第２の暗号化処理の間でデータの暗号化処理の切替を決定させ、
    データの暗号化処理の切替が決定された通信装置に、前記暗号化処理の切替の指示を送信させる、
    ための情報処理プログラム。
    

Images