JP7077872B2 - 情報処理装置、情報処理方法、およびプログラム - Google Patents

Description

本発明は、情報処理装置、情報処理方法、およびプログラムに関する。特に、本発明は、暗号化領域を含むファイルシステムを利用して情報を保護する情報処理装置、情報処理方法、およびプログラムに関する。

ＩｏＴ（Internet of Things）とは、様々なモノがインターネットに接続され、モノによるデータの収集や、モノに対するアクチエーションが可能となる仕組みである。ＩｏＴシステムにおいては、モノに対応するＩｏＴデバイスとクラウドとの間に、簡易的なデータ処理を行うエッジと呼ばれるコンピュータが配置される。

コンピュータの性能の向上に伴って、ＡＩ（Artificial Intelligence）に代表される高負荷なデータ処理をエッジでも実行できるようになった。その結果、エッジにおける即時のデータ処理と、ＩｏＴデバイスへの即時の反映とが可能になった。エッジが様々な処理を実行するようになると、その処理に使用されるデータや、処理されたデータ、処理プログラム自体が価値のある情報となってくる。そのため、エッジに対しても高度なセキュリティが求められる。特に、ＡＩのモデルは大きなコストをかけて学習されたものであるため、これらの情報の流出はＩｏＴシステムのユーザにとってリスクとなる。エッジは、工場や都市内に分散して配置されることから、全てのエッジに対して物理的な盗難防止コストをかけることは困難である。そのため、エッジが盗難された際に、エッジ内の情報を保護することが求められている。

パーソナルコンピュータ等の端末装置は、内部に保存された情報を盗難されないように、ハードディスク暗号化や暗号化ファイルシステム等の技術によって保護される。これらの技術によれば、オペレーティングシステム（ＯＳ：Operating System）の層で暗号化された情報へのアクセス方法を抽象化することにより、アプリケーションが個別に情報を復号しなくても当該情報にアクセスできる。そのため、これらの技術を用いれば、利便性とセキュリティとが両立する。しかしながら、これらの技術では、暗号化された情報を復号するための復号鍵を得るために、管理者による鍵やパスワードの入力や、管理サーバによる鍵の配布が必要である。

特許文献１には、フルディスク暗号化を利用して暗号化され、ＯＳを記憶する記憶媒体を有するコンピュータデバイスをブート処理する方法について開示されている。

特許文献２には、暗号鍵を事前に管理者（第三者機関）に教えることなく、かつ演算機能を有する記憶媒体を紛失した際にリカバリする暗号鍵を限定できる機密情報管理システムについて開示されている。

特許文献３には、コンテンツ保護機能を有する記憶装置と端末装置を含むシステムにおける暗号鍵および復号鍵を用いてコンテンツを保護する情報保護システムについて開示されている。特許文献３のシステムは、電子証明書に基づく相互機器認証を元に暗号セッションを行う機能を持つ端末装置と、情報を記憶する記憶装置とを有する。

特許第５７０３３９１号公報 特開２００９－２００９９０号公報 特開２００８－２５９０４２号公報

ＩｏＴシステムを構成するエッジは、何らかの要因によりシステムが停止した際に、管理者による介入を必要とせず、自律的に再起動を行って復旧することが求められる。そのため、ＩｏＴシステムを構成するエッジに対しては、管理者による入力を必要とする既存技術を適用することは難しい。また、ＩｏＴシステムは、エッジからクラウド等で動作する管理サーバへのネットワークが安定的に接続可能な環境でのみ利用されるわけではない。そのため、システムを復旧するために管理サーバとの接続を必要とする場合、ネットワークに接続できなければシステムを復旧できなくなってしまうという問題点があった。

特許文献１の方法では、ディスク暗号化を用いて暗号化された記憶媒体を有するコンピュータデバイスのブート処理時に、ユーザからの資格証明書を受け取る必要がある。そのため、特許文献１の手法には、コンピュータデバイスのブート処理時に、ユーザからの入力が必要になるという問題点があった。また、特許文献１の方法には、暗号化された記憶媒体に含まれるＯＳを起動することはできるが、暗号化された記憶媒体の一領域を通常のＯＳからアクセス可能なようにセットアップすることができないという問題点があった。

特許文献２のシステムでは、暗号化された記憶媒体を復号するための鍵を生成するために、暗号化されたセキュアな記憶媒体以外に、ユーザが利用するユーザ演算機が必要である。そのため、特許文献２の手法には、暗号化された記憶媒体を復号するための鍵を生成するために、セキュアとは限らないユーザ演算機を介した情報の入力が必要になるという問題点があった。

特許文献３のシステムは、デジタルコンテンツのライセンス管理を目的とし、一度に多くのコンテンツを処理する必要がないため、比較的複雑な処理を実行する時間を確保できる。しかしながら、実際のＩｏＴシステムのエッジは、センサから送信されてくる大量のデータを迅速に処理する必要があるため、処理を簡略化することが求められる。そのため、ＩｏＴシステムのエッジに特許文献３の手法を適用すると、高頻度で複雑な処理を行うことに伴って処理の遅延が発生し、ＩｏＴシステムを継続的に稼働できなくなる可能性があった。

本発明の目的は、上述した課題を解決するために、ネットワークに安定して接続されなくても、エッジの自律的な再起動と情報の暗号化とを両立し、セキュアかつ継続的なＩｏＴシステムの稼働を可能とする情報処理装置を提供することにある。

本発明の一態様の情報処理装置は、信頼済みソフトウェアのみがアクセスできるアクセス制限領域を含み、第一暗号鍵を保管する第一暗号鍵保管部がアクセス制限領域の内部に構成されるセキュアストレージと、第一暗号鍵によって暗号化された共通暗号鍵を第二暗号鍵として保管する第二暗号鍵保管部と、共通暗号鍵によって暗号化された処理対象データが記録される暗号化領域を含む暗号化ファイルシステムと、自装置の起動に応じて第二暗号鍵保管部から第二暗号鍵を取得し、取得した第二暗号鍵を出力するセットアップ処理起動部と、信頼済みソフトウェアとして実行され、セットアップ処理起動部から第二暗号鍵を取得し、第二暗号鍵の取得に合わせて第一暗号鍵保管部から第一暗号鍵を取得し、第一暗号鍵と第二暗号鍵とを用いて共通暗号鍵を構築し、構築した共通暗号鍵を用いて任意のソフトウェアからアクセス可能な状態に暗号化ファイルシステムをセットアップするソフトウェア実行部とを備える。

本発明の一態様の情報処理方法においては、情報処理装置が、自装置で実行される信頼済みソフトウェアのみがアクセスできるアクセス制限領域の内部の第一暗号鍵保管手段に第一暗号鍵を保管し、第一暗号鍵を用いて暗号化された共通暗号鍵を第二暗号鍵として第二暗号鍵保管手段に保管し、自装置の起動に応じて第二暗号鍵保管手段から第二暗号鍵を取得し、取得した第二暗号鍵を信頼済みソフトウェアに出力し、第二暗号鍵の取得に合わせて第一暗号鍵保管手段から第一暗号鍵を信頼済みソフトウェアによって取得させ、取得した第一暗号鍵と第二暗号鍵とを用いて共通暗号鍵を信頼済みソフトウェアによって構築させ、共通暗号鍵を用いて、共通暗号鍵によって暗号化された処理対象データが記録される暗号化領域を含む暗号化ファイルシステムを任意のソフトウェアからアクセス可能な状態に信頼済みソフトウェアによってセットアップさせる。

本発明の一態様のプログラムは、信頼済みソフトウェアのみがアクセスできるアクセス制限領域の内部の第一暗号鍵保管手段に第一暗号鍵を保管する処理と、第一暗号鍵を用いて暗号化された共通暗号鍵を第二暗号鍵として第二暗号鍵保管手段に保管する処理と、自装置の起動に応じて第二暗号鍵保管手段から第二暗号鍵を取得する処理と、取得した第二暗号鍵を信頼済みソフトウェアに出力する処理と、第二暗号鍵の取得に合わせて第一暗号鍵保管手段から第一暗号鍵を信頼済みソフトウェアによって取得させる処理と、取得した第一暗号鍵と第二暗号鍵とを用いて共通暗号鍵を信頼済みソフトウェアによって構築させる処理と、共通暗号鍵を用いて、共通暗号鍵によって暗号化された処理対象データが記録される暗号化領域を含む暗号化ファイルシステムを任意のソフトウェアからアクセス可能な状態に信頼済みソフトウェアによってセットアップさせる処理とをコンピュータに実行させる。

本発明によれば、ネットワークに安定して接続されなくても、エッジの自律的な再起動と情報の暗号化とを両立し、セキュアかつ継続的なＩｏＴシステムの稼働を可能とする情報処理装置を提供することが可能になる。

本発明の第１の実施形態に係る情報処理装置の構成の一例を示すブロック図である。 本発明の第１の実施形態に係る情報処理装置の第一暗号鍵保管部に格納される第一暗号鍵の一例を示す概念図である。 本発明の第１の実施形態に係る情報処理装置の第二暗号鍵保管部に格納される第二暗号鍵の一例を示す概念図である。 本発明の第１の実施形態に係る情報処理装置の暗号化ファイルシステムに格納される暗号化情報の一例を示す概念図である。 本発明の第１の実施形態に係る情報処理装置の動作の概要について説明するためのフローチャートである。 本発明の第２の実施形態に係る情報処理装置の構成の一例を示すブロック図である。 本発明の第２の実施形態に係る情報処理装置の第一暗号鍵保管部に格納される暗号化情報の一例を示す概念図である。 本発明の第２の実施形態に係る情報処理装置の信頼済みソフトウェア署名格納部に格納される署名情報の一例を示す概念図である。 本発明の第２の実施形態に係る情報処理装置の動作について説明するためのフローチャートである。 本発明の第３の実施形態に係る情報処理装置の構成の一例を示すブロック図である。 本発明の第３の実施形態に係る情報処理装置のファイルシステム検証情報格納部に格納されるファイルシステム検証情報の一例を示す図である。 本発明の第３の実施形態に係る情報処理装置の動作について説明するためのフローチャートである。 本発明の第４の実施形態に係る情報処理装置の構成の一例を示すブロック図である。 本発明の第４の実施形態に係る情報処理装置の暗号化ファイルシステムに含まれる暗号化領域に格納される格納情報の一例を示す概念図である。 本発明の第４の実施形態に係る情報処理装置の第二暗号鍵保管部に格納される第二暗号鍵の一例を示す概念図である。 本発明の第５の実施形態に係る情報処理システムの構成の一例を示す概念図である。 本発明の第１～第４の実施形態に係る情報処理装置を実現するハードウェア構成の一例を示すブロック図である。

以下に、本発明を実施するための形態について図面を用いて説明する。ただし、以下に述べる実施形態には、本発明を実施するために技術的に好ましい限定がされているが、発明の範囲を以下に限定するものではない。以下の実施形態の説明に用いる全図においては、特に理由がない限り、同様箇所には同一符号を付す。また、以下の実施形態において、同様の構成・動作に関しては繰り返しの説明を省略する場合がある。

（第１の実施形態）
まず、本発明の第１の実施形態に係る情報処理装置について図面を参照しながら説明する。本実施形態の情報処理装置は、記憶領域の保護機能を有し、暗号化ファイルシステムを利用して記憶領域に記憶される情報を保護する。例えば、本実施形態の情報処理装置は、センサや測定器などのデータ取得装置の近傍に配置され、データ取得装置によって取得されるデータを解析する。本実施形態の情報処理装置は、データ取得装置によって取得されるデータのうち必要なデータを、遠隔地に配置されたサーバなどに構成されるデータ処理装置に送信する。

（構成）
図１は、本実施形態の情報処理装置１０の構成の一例を示すブロック図である。図１のように、情報処理装置１０は、セキュアストレージ１１、第二暗号鍵保管部１２、セットアップ処理起動部１３、暗号化ファイルシステム１４、および信頼済みソフトウェア実行部１５を備える。セキュアストレージ１１および信頼済みソフトウェア実行部１５の内部には、セキュアな隔離領域（アクセス制限領域とも呼ぶ）が構成される。

セキュアストレージ１１は、信頼済みソフトウェア実行部１５に接続される。セキュアストレージ１１の内部には、セキュアな隔離領域が構成される。セキュアストレージ１１は、信頼済みソフトウェア実行部１５からアクセスされるストレージである。本実施形態において、セキュアストレージ１１は、信頼済みソフトウェア実行部１５のみからアクセス可能である。セキュアストレージ１１は、第一暗号鍵保管部１１１を含む。

第一暗号鍵保管部１１１は、第一暗号鍵を保管する。図２は、第一暗号鍵保管部１１１が保管する第一暗号鍵の一例（Ｃｋ１_ｅｄｇｅＡ）である。なお、図２の第一暗号鍵は一例であって、第一暗号鍵保管部１１１が保管する第一暗号鍵を限定するものではない。

第二暗号鍵保管部１２は、第二暗号鍵を保管する。第二暗号鍵は、一時的に情報を暗復号するための鍵であるＥＦＳ暗号鍵（共通暗号鍵とも呼ぶ）を、第一暗号鍵を用いて暗号化したものである（ＥＦＳ：Encrypted File System）。言い換えると、第二暗号鍵は、ＥＦＳ暗号鍵を、第一暗号鍵がないと復元できない形にした暗号鍵である。図３は、第二暗号鍵保管部１２が保管する第二暗号鍵の一例（Ｅｎｃ（Ｃｋ_ｅｆｓ_ｅｄｇｅＡ、Ｃｋ１_ｅｄｇｅＡ））である。図３の第二暗号鍵Ｅｎｃ（Ｃｋ_ｅｆｓ_ｅｄｇｅＡ、Ｃｋ１_ｅｄｇｅＡ）は、第一暗号鍵Ｃｋ１_ｅｄｇｅＡを用いて暗号化されたＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡに関する暗号化情報である。なお、図３の第二暗号鍵は一例であって、第二暗号鍵保管部１２が保管する第二暗号鍵を限定するものではない。

セットアップ処理起動部１３は、装置の起動シーケンスの中に差し込まれ、装置が起動する際に呼び出される。セットアップ処理起動部１３は、装置が起動すると、第二暗号鍵保管部１２に保管された第二暗号鍵を信頼済みソフトウェア実行部１５に出力し、暗号化ファイルシステム１４のセットアップ処理を信頼済みソフトウェア実行部１５に開始させる。例えば、セットアップ処理起動部１３は、Ｌｉｎｕｘ（登録商標）におけるブートシーケンスに登録される。

暗号化ファイルシステム１４は、所定の単位で情報（データ）を暗号化して記憶する。例えば、暗号化ファイルシステム１４は、ファイル単位やセグメント単位、もしくは複数のファイルをまとめた単位等で情報を暗号化して記憶する。暗号化ファイルシステム１４は、装置に接続されるコンピュータメモリにＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡを保持する。暗号化ファイルシステム１４は、任意のソフトウェアからの情報の読み出しや書き込みを含むアクセス処理が行われる際に、ＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡを用いて情報の暗復号を行う。

図４は、暗号化ファイルシステム１４が格納する暗号化情報の一例である。図４の例では、暗号化ファイルシステム１４は、ＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡを用いてファイル単位で暗号化情報を格納する。図４において、Ｅｎｃ（Ａ、Ｂ）は、共通暗号鍵Ｂ（ＥＦＳ暗号鍵）を用いて暗号化された情報Ａの暗号化情報を表す。

信頼済みソフトウェア実行部１５（ソフトウェア実行部とも呼ぶ）は、第一暗号鍵Ｃｋ１_ｅｄｇｅＡと第二暗号鍵Ｅｎｃ（Ｃｋ_ｅｆｓ_ｅｄｇｅＡ、Ｃｋ１_ｅｄｇｅＡ）とを用いてＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡを構築する。信頼済みソフトウェア実行部１５は、構築されたＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡを暗号化ファイルシステム１４に出力する。信頼済みソフトウェア実行部１５は、任意のソフトウェアがアクセス可能な状態になるように暗号化ファイルシステム１４をセットアップする。信頼済みソフトウェア実行部１５は、内部で動作するソフトウェアが改ざんされていない信頼済みソフトウェアであることを保証する。

信頼済みソフトウェア実行部１５は、ＥＦＳ暗号鍵構築部１５１と暗号化ファイルシステムセットアップ部１５２とを含む。例えば、ＥＦＳ暗号鍵構築部１５１および暗号化ファイルシステムセットアップ部１５２は、信頼済みソフトウェア実行部１５で動作するソフトウェアとして構成される。この場合、信頼済みソフトウェア実行部１５は、内部で動作するソフトウェア（ＥＦＳ暗号鍵構築部１５１および暗号化ファイルシステムセットアップ部１５２）が改ざんされていない信頼済みソフトウェアであることを保証する。

ＥＦＳ暗号鍵構築部１５１（共通暗号鍵構築部とも呼ぶ）は、読み出したセットアップ処理起動部１３が正当なプロセスであるかどうかを検証する。ＥＦＳ暗号鍵構築部１５１は、そのセットアップ処理起動部１３が正当なプロセスであると判断した場合、セキュアストレージ１１の第一暗号鍵保管部１１１から第一暗号鍵Ｃｋ１_ｅｄｇｅＡを読み出す。ＥＦＳ暗号鍵構築部１５１は、第一暗号鍵Ｃｋ１_ｅｄｇｅＡと、第二暗号鍵Ｅｎｃ（Ｃｋ_ｅｆｓ_ｅｄｇｅＡ、Ｃｋ１_ｅｄｇｅＡ）とを用いて、ＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡを構築する。ＥＦＳ暗号鍵構築部１５１は、構築したＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡを暗号化ファイルシステムセットアップ部１５２に出力する。

暗号化ファイルシステムセットアップ部１５２（セットアップ部とも呼ぶ）は、ＥＦＳ暗号鍵構築部１５１からＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡを取得する。暗号化ファイルシステムセットアップ部１５２は、ＥＦＳ暗号鍵Ｃｋ_ｅｆｓ_ｅｄｇｅＡを暗号化ファイルシステム１４に出力する。暗号化ファイルシステムセットアップ部１５２は、任意のソフトウェアから情報の読み出しおよび書き込みができるように暗号化ファイルシステム１４をセットアップする。

以上が、本実施形態の情報処理装置１０の構成についての説明である。なお、図１～図４に示す構成は一例であって、情報処理装置１０の構成をそのままの形態に限定するものではない。

（動作）
次に、図面を参照しながら、本実施形態の情報処理装置１０の動作の概要について説明する。図５は、情報処理装置１０の動作の概要について説明するためのフローチャートである。なお、以下の図５のフローチャートに沿った説明においては、情報処理装置１０の構成要素（図１）を動作の主体として説明するが、情報処理装置１０を動作の主体として捉えることもできる。

図５において、まず、情報処理装置１０が起動されると、セットアップ処理起動部１３が呼び出される（ステップＳ１１）。

次に、セットアップ処理起動部１３が、第二暗号鍵保管部１２から第二暗号鍵を取得する。セットアップ処理起動部１３は、取得した第二暗号鍵をＥＦＳ暗号鍵構築部１５１に出力し、ＥＦＳ暗号鍵構築部１５１を呼び出す（ステップＳ１２）。

次に、信頼済みソフトウェア実行部１５のＥＦＳ暗号鍵構築部１５１が、第一暗号鍵保管部１１１から第一暗号鍵を取得する（ステップＳ１３）。

次に、ＥＦＳ暗号鍵構築部１５１が、第一暗号鍵と、入力された第二暗号鍵とを用いて、ＥＦＳ暗号鍵を構築する（ステップＳ１４）。ＥＦＳ暗号鍵構築部１５１は、構築したＥＦＳ暗号鍵を暗号化ファイルシステムセットアップ部１５２に出力する。

そして、暗号化ファイルシステムセットアップ部１５２が、ＥＦＳ暗号鍵を用いて、暗号化ファイルシステム１４のセットアップを実行する（ステップＳ１５）。

以上の手順によって、／ｓｅｃｕｒｅというパスに暗号化ファイルシステムがマウントされると、ソフトウェアが／ｓｅｃｕｒｅにアクセスする際に、ＥＦＳ暗号鍵を用いた暗復号がファイル単位で実行される。図４のように暗号化ファイルシステム１４に情報が保持されている場合、ＥＦＳ暗号鍵を用いて、暗号化ファイルを復号することによって、ファイルを正しく読み出すことが可能となる。

以上が、本実施形態の情報処理装置１０の動作の概要についての説明である。なお、図５のフローチャートに沿った処理は一例であって、情報処理装置１０の動作をそのままの手順に限定するものではない。

以上のように、本実施形態の情報処理装置は、第一暗号鍵保管部を含むセキュアストレージ、第二暗号鍵保管部、暗号化ファイルシステム、セットアップ処理起動部、およびソフトウェア実行部を備える。セキュアストレージは、自装置で実行される信頼済みソフトウェアのみがアクセスできるアクセス制限領域を含み、第一暗号鍵を保管する第一暗号鍵保管部がアクセス制限領域の内部に構成される。第二暗号鍵保管部は、第一暗号鍵によって暗号化された共通暗号鍵を第二暗号鍵として保管する。暗号化ファイルシステムは、共通暗号鍵によって暗号化された処理対象データが記録される暗号化領域を含む。例えば、暗号化ファイルシステムは、共通暗号鍵によってファイルごとに暗号化された処理対象データを記録する。セットアップ処理起動部は、本実施形態の情報処理装置の起動に応じて、第二暗号鍵保管部から第二暗号鍵を取得し、取得した第二暗号鍵を出力する。ソフトウェア実行部は、信頼済みソフトウェアとして実行され、セットアップ処理起動部から第二暗号鍵を取得すると、第二暗号鍵の取得に合わせて第一暗号鍵保管部から第一暗号鍵を取得する。ソフトウェア実行部は、第一暗号鍵と第二暗号鍵とを用いて共通暗号鍵を構築し、構築した共通暗号鍵を用いて暗号化ファイルシステムを任意のソフトウェアからアクセス可能な状態にセットアップする。

ソフトウェア実行部は、共通暗号鍵構築部とセットアップ部とを有する。共通暗号鍵構築部は、セットアップ処理起動部と第一暗号鍵保管部とに接続される。共通暗号鍵構築部はセットアップ処理起動部から第二暗号鍵を取得し、第二暗号鍵の送信元のセットアップ処理起動部が正当なプロセスであるか否かを検証する。ソフトウェア実行部は、セットアップ処理起動部が正当なプロセスである場合に第一暗号鍵保管部から第一暗号鍵を取得し、取得した第一暗号鍵と第二暗号鍵とを用いて共通暗号鍵を構築する。セットアップ部は、共通暗号鍵構築部と暗号化ファイルシステムとに接続される。セットアップ部は、共通暗号鍵構築部から共通暗号鍵を取得し、取得した共通暗号鍵を用いて任意のソフトウェアからアクセス可能な状態に暗号化ファイルシステムをセットアップする。

本実施形態の情報処理装置の動作は、以下のように表現することもできる。本実施形態の情報処理装置の起動時に、セットアップ処理起動部が、第二暗号鍵保管部から第二暗号鍵を読み出し、共通暗号鍵構築部に第二暗号鍵を渡して呼び出す。共通暗号鍵構築部は、読み出したセットアップ処理起動部が正当なプロセスであるかどうかを検証する。共通暗号鍵構築部は、セットアップ処理起動部が正当なプロセスであると判断した場合には、セキュアストレージの第一暗号鍵保管部から第一暗号鍵を読み出し、第一暗号鍵と第二暗号鍵とを用いて共通暗号鍵を構築する。共通暗号鍵構築部は、構築した共通暗号鍵を暗号化ファイルシステムセットアップ部に渡して呼び出す。暗号化ファイルシステムセットアップ部は、暗号化ファイルシステムに共通暗号鍵を渡して暗号化ファイルシステムを任意のソフトウェアからアクセス可能な状態にセットアップする。

本実施形態の情報処理装置は、隔離領域内の信頼済みソフトウェアおよび暗号鍵を用いて、暗号化ファイルシステムをアクセスが可能な状態にセットアップする。そのため、本実施形態の情報処理装置によれば、当該情報処理装置単体で情報の保護とＩｏＴ（Internet of Things）システムの継続稼働との両立が可能となる。

本実施形態の情報処理装置は、装置の起動時に、自律的に暗号化ファイルシステムに格納された情報に任意のソフトウェアからアクセスできるようにセットアップされる。そのため、本実施形態の情報処理装置によれば、任意のソフトウェアが暗号化ファイルシステムに格納された情報を活用することが可能となる。

また、本実施形態の情報処理装置では、本装置が盗難された場合であっても、第二暗号鍵、暗号化ファイルシステムに格納された暗号化情報、およびセキュアストレージにより保護された情報しか取得できない。そのため、暗号化情報を復号するための共通暗号鍵が構築されないため、暗号化ファイルシステムに格納された暗号化情報が保護される。

以上のように、本実施形態によれば、情報処理装置が盗難されたとしても、暗号化ファイルシステムに暗号化されて格納される情報の漏洩リスクを低減できる。また、本実施形態によれば、ネットワークが不通であったり、管理者が不在の場合であったりしても、情報の保護を原因とするシステム停止を解消できる。すなわち、本実施形態によれば、ＩｏＴシステムにおける情報保護と継続稼働とを両立できる。

さらに、本実施形態によれば、セキュアでない記憶領域に第二暗号鍵を配置するように構成することによって、セキュアな隔離領域にアクセスすることなく、複数の暗号化ファイルシステムを容易に利用することが可能になる。

すなわち、本実施形態によれば、ネットワークに安定して接続されなくても、エッジの自律的な再起動と情報の暗号化とを両立し、セキュアかつ継続的なＩｏＴシステムの稼働を可能とする情報処理装置を提供できる。

（第２の実施形態）
次に、本発明の第２の実施形態に係る情報処理装置について図面を参照しながら説明する。本実施形態の情報処理装置は、信頼済みのＯＳ（Operating System）がソフトウェア署名を検証する点において第１の実施形態とは異なる。

図６は、本実施形態の情報処理装置２０の構成の一例を示すブロック図である。図６のように、情報処理装置２０は、セキュアストレージ２１、第二暗号鍵保管部２２、セットアップ処理起動部２３、暗号化ファイルシステム２４、および信頼済みソフトウェア実行部２５を備える。セキュアストレージ２１および信頼済みソフトウェア実行部２５の内部には、セキュアな隔離領域が構成される。

本実施形態の情報処理装置２０（図６）は、セキュアストレージ２１および信頼済みソフトウェア実行部２５の構成が第１の実施形態の情報処理装置１０（図１）とは異なる。情報処理装置２０（図６）のセキュアストレージ２１および信頼済みソフトウェア実行部２５以外の構成は、一部の機能を除いて、情報処理装置１０（図１）と同様である。そのため、以下においては、主に、情報処理装置１０（図１）との相違点について説明する。

図６のように、セキュアストレージ２１は、第一暗号鍵保管部２１１に加えて、信頼済みソフトウェア署名格納部２１２を含む。セキュアストレージ２１は、後述する第三暗号鍵によって一定のルールで構成され、セキュアストレージの内部に暗号化されているデータを暗号化・復号するための暗号鍵である第四暗号鍵によって暗号化されている。すなわち、第一暗号鍵保管部２１１およびソフトウェア署名格納部２１２も第四暗号鍵によって暗号化されている。

第一暗号鍵保管部２１１は、第四暗号鍵を用いて暗号化された第一暗号鍵に関する暗号化情報を保管する。図７は、第一暗号鍵保管部２１１が保管する暗号化情報Ｅｎｃ（Ｃｋ１_ｅｄｇｅＡ、Ｃｋ４_ｅｄｇｅＡ）の一例である。暗号化情報Ｅｎｃ（Ｃｋ１_ｅｄｇｅＡ、Ｃｋ４_ｅｄｇｅＡ）は、第四暗号鍵（Ｃｋ４_ｅｄｇｅＡ）を用いて暗号化された第一暗号鍵（Ｃｋ１_ｅｄｇｅＡ）に関する暗号化情報である。なお、図７の暗号化情報は一例であって、第一暗号鍵保管部２１１が保管する暗号化情報を限定するものではない。

信頼済みソフトウェア署名格納部２１２（署名情報格納部とも呼ぶ）には、信頼済みソフトウェアに対する電子署名である信頼済みソフトウェア署名（署名情報とも呼ぶ）が格納される。信頼済みソフトウェア署名格納部２１２に格納される信頼済みソフトウェア署名も、第四暗号鍵によって暗号化されている。

図８は、信頼済みソフトウェア署名格納部２１２に格納される署名情報の一例である。図８において、Ｓｉｇ（Ａ、Ｂ）は、Ａに対して署名鍵Ｂを使用して作成された署名を表す。信頼済みソフトウェア署名格納部２１２には、信頼済みソフトウェアごとに署名情報が格納される。図８の例では、信頼済みソフトウェアに対してハッシュ値をとったものに対して、署名鍵Ｐｋ_ｓｉｇ_ｅｄｇｅＡを用いて作成された署名情報が信頼済みソフトウェア署名格納部２１２に格納される。署名鍵Ｐｋ_ｓｉｇ_ｅｄｇｅＡは、第三暗号鍵Ｋ３_ｅｄｇｅＡを種として生成される公開鍵暗号の鍵ペア（Ｐｋ_ｓｉｇ_ｅｄｇｅＡ、Ｐｋ_ｖａｒ_ｅｄｇｅＡ）のうち署名用の鍵である。

また、図６のように、信頼済みソフトウェア実行部２５は、ＥＦＳ暗号鍵構築部２５１および暗号化ファイルシステムセットアップ部２５２に加えて、耐タンパ性情報格納部２５３、信頼済みＯＳ２５４、およびインタフェース部２５５を含む。

耐タンパ性情報格納部２５３には、信頼済みソフトウェア署名の検証鍵や、セキュアストレージ２１に格納された情報の復号に必要な暗号鍵の生成元となる第三暗号鍵が格納される。耐タンパ性情報格納部２５３は、耐タンパ性が高められており、信頼済みソフトウェア実行部２５の外部からは上書きおよび読み出しができないことが保証される。

信頼済みＯＳ２５４は、信頼済みソフトウェア署名と第三暗号鍵とを用いて信頼済みソフトウェアを検証する。信頼済みＯＳ２５４は、正当であると判断された信頼済みソフトウェアのみを動作させ、信頼済みソフトウェアとセキュアストレージ２１との読み書きを可能とする。

インタフェース部２５５は、ソフトウェアと信頼済みソフトウェアとの間における通信機能を提供する。インタフェース部２５５は、通常のソフトウェア領域の任意のソフトウェアと、信頼済みソフトウェアとの通信を可能とする。

なお、信頼済みソフトウェア実行部２５は、図６の構成に限定されず、以下の二つの特徴を持てばよい。一つ目の特徴は、信頼済みソフトウェア実行部２５の内部で動作する信頼済みソフトウェアを検証でき、当該信頼済みソフトウェアに対して特定のインタフェースを通してのみ通常のソフトウェア領域からアクセス可能であるという特徴である。二つ目の特徴は、セキュアストレージ２１に格納されている情報を内部の信頼済みソフトウェアから呼び出し可能であるという特徴である。これらの特徴を持つ信頼済みソフトウェア実行部２５としては、Arm Trust ZoneやIntel SGXなどのように、プロセッサの拡張機能として提供されているものが想定される。ただし、上記の特徴を持つ信頼済みソフトウェア実行部２５は、上記のものに限定されない。

以上が、本実施形態の情報処理装置２０の構成についての説明である。なお、図６～図８に示す構成は一例であって、情報処理装置２０の構成をそのままの形態に限定するものではない。また、図６に示す構成要素間の接続関係は一例であって、構成要素間の接続関係を限定するものではない。

（動作）
次に、本実施形態の情報処理装置の動作について図面を参照しながら説明する。図９は、本実施形態の情報処理装置の信頼済みソフトウェア実行部２５の動作について説明するためのフローチャートである。図９のフローチャートに沿った処理は、図５のフローチャートのステップＳ１３の処理に関する。より具体的には、図９のフローチャートに沿った処理は、信頼済みソフトウェア実行部２５が信頼済みソフトウェアであるＥＦＳ暗号鍵構築部２５１を検証し、ＥＦＳ暗号鍵構築部２５１が第一暗号鍵保管部２１１から第一暗号鍵を読み出す動作に関する。

図９において、まず、信頼済みＯＳ２５４が、第三暗号鍵Ｋ３_ｅｄｇｅＡを耐タンパ性情報格納部２５３から読み出す（ステップＳ２１）。

次に、信頼済みＯＳ２５４が、第三暗号鍵Ｋ３_ｅｄｇｅＡを種として、鍵ペア（Ｐｋ_ｓｉｇ_ｅｄｇｅＡ、Ｐｋ_ｖａｒ_ｅｄｇｅＡ）および第四暗号鍵Ｃｋ４_ｅｄｇｅＡを生成する（ステップＳ２２）。

次に、信頼済みＯＳ２５４が、セキュアストレージ２１の信頼済みソフトウェア署名格納部２１２から、ＥＦＳ暗号鍵構築部２５１の署名Ｓｉｇ（Ｈａｓｈ（ＥＦＳ暗号鍵構築部）、Ｐｋ_ｓｉｇ_ｅｄｇｅＡ）を取得する（ステップＳ２３）。

次に、信頼済みＯＳ２５４が、ＥＦＳ暗号鍵構築部１５１のハッシュ値Ｈａｓｈ（ＥＦＳ暗号鍵構築部）を計算する。信頼済みＯＳ２５４は、当該ハッシュ値と検証鍵Ｐｋ_ｖａｒ_ｅｄｇｅＡとを用いて、取得した署名Ｓｉｇ（Ｈａｓｈ（ＥＦＳ暗号鍵構築部）、Ｐｋ_ｓｉｇ_ｅｄｇｅＡ）を検証する（ステップＳ２４）。このとき、ＥＦＳ暗号鍵構築部１５１が改ざんされていなければ、署名検証が通る。

ここで、信頼済みソフトウェア実行部２５が、署名検証が通ったか否かを判定する（ステップＳ２５）。ステップＳ２５において署名検証が通った場合（ステップＳ２５でＹｅｓ）、信頼済みソフトウェア実行部２５は、ＥＦＳ暗号鍵構築部２５１の処理を実行する（ステップＳ２６）。

そして、ＥＦＳ暗号鍵構築部２５１は、信頼済みＯＳ２５４によって生成された第四暗号鍵Ｃｋ４_ｅｄｇｅＡを用いて、第一暗号鍵保管部２１１に格納されている暗号化情報Ｅｎｃ（Ｃｋ１_ｅｄｇｅＡ、Ｃｋ４_ｅｄｇｅＡ）を復号する（ステップＳ２７）。

一方、ステップＳ２５において署名検証が通らなかった場合（ステップＳ２５でＮｏ）、処理を終了する（ステップＳ２８）。

以上が、信頼済みソフトウェア実行部２５が信頼済みソフトウェアであるＥＦＳ暗号鍵構築部２５１を検証し、ＥＦＳ暗号鍵構築部２５１が第一暗号鍵保管部２１１から第一暗号鍵を読み出す動作に関する説明である。ＥＦＳ暗号鍵構築部２５１は、図９のフローチャートに沿った手順で読み出された第一暗号鍵と、第二暗号鍵とを用いて、ＥＦＳ暗号鍵を構築する。この処理は、図５のフローチャートのステップＳ１４の処理に相当する。なお、図９のフローチャートに沿った処理は一例であって、信頼済みソフトウェア実行部２５の動作をそのままの手順に限定するものではない。

以上のように、本実施形態の情報処理装置のセキュアストレージのアクセス制限領域の内部には、第一暗号鍵保管部に加えて、署名情報格納部が含まれる。署名情報格納部には、第三暗号鍵を基に一定のルールによって生成される署名鍵を用いて生成される信頼済みソフトウェアに対する署名情報が格納される。セキュアストレージは、第三暗号鍵によって一定のルールで構成され、セキュアストレージに暗号化されているデータを暗号化・復号するための第四暗号鍵によって暗号化されている。ソフトウェア実行部は、信頼済みオペレーティングシステム、耐タンパ性情報格納部、およびインタフェース部を有する。信頼済みオペレーティングシステムは、署名情報格納部にアクセス可能である。耐タンパ性情報格納部は、ソフトウェア実行部の外部からの上書きおよび読み出しが制限され、第三暗号鍵が格納される。インタフェース部は、ソフトウェア実行部に含まれる信頼済みソフトウェアと任意のソフトウェアとの間における通信機能を提供する。

ソフトウェア実行部は、セットアップ処理起動部から第二暗号鍵を取得し、第二暗号鍵の取得に合わせて耐タンパ性情報格納部から第三暗号鍵を取得し、取得した第三暗号鍵を用いて署名情報格納部に格納された暗号化された署名情報を復号する。ソフトウェア実行部は、復号された署名情報を用いて自身の内部のソフトウェアの信頼性について検証し、検証結果に基づいて信頼済みソフトウェアを動作させる。

本実施形態の情報処理装置は、信頼済みソフトウェア実行部が、信頼済みソフトウェアであるＥＦＳ暗号鍵構築部が改ざんされているか否かを確認する。そして、信頼済みソフトウェア実行部は、改ざんされていないと判定された信頼済みソフトウェアであるＥＦＳ暗号鍵構築部によって、装置の起動時に第一暗号鍵と第二暗号鍵とを用いてＥＦＳ暗号鍵を構築させる。本実施形態の情報処理装置においては、当該ＥＦＳ暗号鍵を用いて暗号化ファイルシステムがセットアップされる。そのため、本実施形態の情報処理装置によれば、情報処理装置単体で暗号化ファイルシステムをセットアップできる。その結果、本実施形態の情報処理装置においては、記憶領域上では重要な情報が常に暗号化されている状態であり、情報処理装置単体で起動した場合でも情報へのアクセスを必要とするソフトウェアが適切にアクセスできる状態となる。

すなわち、本実施形態の情報処理装置をエッジとしてＩｏＴシステムに組み込めば、暗号化によって重要な情報を保護しつつ、ネットワークが不通であり、かつ管理者が不在の場合であっても継続的に稼働するＩｏＴシステムを実現できる。

本実施形態の情報処理装置に含まれる暗号化ファイルシステムにおいては、該システム内部の揮発性記憶領域等にＥＦＳ暗号鍵を保持する必要がある。基本的に、ファイルシステムは、オペレーティングシステムの特権モードで実行される。そのため、通常の利用者が作成するプロセスからは、暗号化ファイルシステムに保持されるＥＦＳ暗号鍵にアクセスできない。

（第３の実施形態）
次に、本発明の第３の実施形態に係る情報処理装置について図面を参照しながら説明する。本実施形態の情報処理装置は、暗号化ファイルシステムにおける改ざんの有無を検証する点において、第１の実施形態の情報処理装置とは異なる。なお、本実施形態の情報処理装置の機能を第２の実施形態情報処理装置に追加してもよい。

（構成）
図１０は、本実施形態の情報処理装置３０の構成の一例を示すブロック図である。図１０のように、情報処理装置３０は、セキュアストレージ３１、第二暗号鍵保管部３２、セットアップ処理起動部３３、暗号化ファイルシステム３４、および信頼済みソフトウェア実行部３５を備える。セキュアストレージ２１および信頼済みソフトウェア実行部２５の内部には、セキュアな隔離領域が構成される。

本実施形態の情報処理装置３０（図１０）は、セキュアストレージ３１および信頼済みソフトウェア実行部３５の構成が第１の実施形態の情報処理装置１０（図１）とは異なる。情報処理装置３０（図１０）のセキュアストレージ３１および信頼済みソフトウェア実行部３５以外の構成は、一部の機能を除いて、情報処理装置１０（図１）と同様である。そのため、以下においては、情報処理装置１０（図１）との相違点について説明する。

図１０のように、セキュアストレージ３１は、第一暗号鍵保管部３１１に加えて、ファイルシステム検証情報格納部３１２を含む。

ファイルシステム検証情報格納部３１２（検証情報格納部とも呼ぶ）には、暗号化ファイルシステム３４のプログラムに対する署名情報等のファイルシステム検証情報が格納される。図１１は、ファイルシステム検証情報格納部３１２に格納されるファイルシステム検証情報の一例である。図１１は、署名鍵Ｐｋ_ｓｉｇ_ｅｄｇｅＡを用いて、暗号化ファイルシステム３４に対して作成された署名がファイルシステム検証情報として格納される例を示す。なお、図１１の署名鍵Ｐｋ_ｓｉｇ_ｅｄｇｅＡは一例であってファイルシステム検証情報格納部３１２に格納されるファイルシステム検証情報を限定するものではない。

また、図１０のように、信頼済みソフトウェア実行部３５は、ＥＦＳ暗号鍵構築部３５１および暗号化ファイルシステムセットアップ部３５２に加えて、ファイルシステム検証部３５３を含む。

ファイルシステム検証部３５３は、ファイルシステム検証情報格納部３１２に格納されるファイルシステム検証情報を用いて、暗号化ファイルシステム３４を検証する。

以上が、本実施形態の情報処理装置３０の構成についての説明である。

（動作）
次に、本実施形態の情報処理装置の動作について図面を参照しながら説明する。図１２は、本実施形態の情報処理装置の信頼済みソフトウェア実行部３５の動作について説明するためのフローチャートである。図１２のフローチャートに沿った処理は、図５のフローチャートのステップＳ１５の処理に関する。

図１２において、まず、暗号化ファイルシステムセットアップ部３５２が、ファイルシステム検証部３５３を呼び出す（ステップＳ３１）。

次に、ファイルシステム検証部３５３が、ファイルシステム検証情報格納部３１２からファイルシステム検証情報を取得する（ステップＳ３２）。

次に、ファイルシステム検証部３５３が、ファイルシステム検証情報を用いて暗号化ファイルシステム３４が改ざんされているか否かの検証を行う（ステップＳ３３）。ここでは、ファイルシステム検証部３５３は、暗号化ファイルシステム３４のプログラムのハッシュ値に対して署名検証を行うことによって改ざんの有無を検証する。

検証が通った場合（ステップＳ３４でＹｅｓ）、ファイルシステム検証部３５３は、暗号化ファイルシステム３４のセットアップを行う（ステップＳ３５）。一方、検証が通らなかった場合（ステップＳ３４でＮｏ）、ファイルシステム検証部３５３は、暗号化ファイルシステム３４のセットアップを行わない。

以上が、本実施形態の情報処理装置の信頼済みソフトウェア実行部３５の動作についての説明である。なお、図１２のフローチャートに沿った処理は一例であって、信頼済みソフトウェア実行部３５の動作をそのままの手順に限定するものではない。

以上のように、本実施形態の情報処理装置のセキュアストレージは、アクセス制限領域の内部に、暗号化ファイルシステムの改ざんの有無を検証するためのファイルシステム検証情報が格納される検証情報格納部を有する。ソフトウェア実行部は、検証情報格納部に接続され、検証情報格納部に格納されたファイルシステム検証情報を用いて暗号化ファイルシステムの改ざんの有無を検証するファイルシステム検証部を有する。

本実施形態の情報処理装置においては、暗号化ファイルシステムにおける改ざんの有無を検証し、改ざんされていないことが確認されてから暗号化ファイルシステムのセットアップを実行する。そのため、本実施形態の情報処理装置によれば、暗号化ファイルシステムが改ざんされていた場合であっても、暗号化ファイルシステムのセットアップ時にＥＦＳ暗号鍵が漏洩することを防止できる。

（第４の実施形態）
次に、本発明の第４の実施形態に係る情報処理装置について図面を参照しながら説明する。本実施形態の情報処理装置は、暗号化ファイルシステムが複数の暗号化領域を有する点において、第１の実施形態の情報処理装置とは異なる。

図１３は、本実施形態の情報処理装置４０の構成の一例を示すブロック図である。図１３のように、情報処理装置４０は、セキュアストレージ４１、第二暗号鍵保管部４２、セットアップ処理起動部４３、暗号化ファイルシステム４４、および信頼済みソフトウェア実行部４５を備える。セキュアストレージ４１および信頼済みソフトウェア実行部４５の内部には、セキュアな隔離領域が構成される。

本実施形態の情報処理装置４０（図１３）は、暗号化ファイルシステム４４の構成が第１の実施形態の情報処理装置１０（図１）とは異なる。情報処理装置４０（図１３）の暗号化ファイルシステム４４以外の構成は、一部の機能を除いて、情報処理装置１０（図１）と同様である。そのため、以下においては、情報処理装置１０（図１）との相違点について説明する。

図１３のように、暗号化ファイルシステム４４は、複数の暗号化領域４４０－１～Ｎを含む（Ｎは２以上の整数）。複数の暗号化領域４４０－１～Ｎは、それぞれ異なるＥＦＳ暗号鍵によって暗号化される。図１４は、暗号化領域４１０－１に格納される格納情報の一例である。例えば、暗号化領域４１０－１には、少なくとも一つのファイルのそれぞれに対応する格納情報が格納される。図１４において、Ｅｎｃ（Ａ、Ｂ）は、Ｂという共通暗号鍵（ＥＦＳ暗号鍵）を用いて暗号化された元ファイルＡの暗号化情報を表す。以下において、複数の暗号化領域４４０－１～Ｎのそれぞれを区別しない場合は、末尾のハイフンおよび数字を除いて、暗号化領域４４０と記載する。

第二暗号鍵保管部４２は、複数の暗号化領域４４０－１～Ｎのそれぞれに対応する複数の第二暗号鍵を保管する。第二暗号鍵保管部４２には、図１５のように、複数の暗号化領域４４０－１～Ｎのそれぞれに対応する複数の第二暗号鍵が保管される。図１５において、Ｅｎｃ（Ａ、Ｂ）は、第一暗号鍵Ｂを用いて暗号化されたＥＦＳ暗号鍵Ａに関する暗号化情報を示す。なお、図１５の複数の第二暗号鍵は一例であって、第二暗号鍵保管部１２が保管する第二暗号鍵を限定するものではない。

セットアップ処理起動部４３は、指定された暗号化領域４４０に対応する第二暗号鍵を第二暗号鍵保管部４２から取得する。セットアップ処理起動部４３は、取得した第二暗号鍵をＥＦＳ暗号鍵構築部４５１に出力する。

ＥＦＳ暗号鍵構築部４５１は、セットアップ処理起動部４３から第二暗号鍵を取得する。ＥＦＳ暗号鍵構築部４５１は、セキュアストレージ４１の第一暗号鍵保管部４１１に保管された第一暗号鍵を取得し、第一暗号鍵と第二暗号鍵とを用いてＥＦＳ暗号鍵を構築する。ＥＦＳ暗号鍵構築部４５１は、構築したＥＦＳ暗号鍵を暗号化ファイルシステムセットアップ部４５２に出力する。

暗号化ファイルシステムセットアップ部４５２は、ＥＦＳ暗号鍵構築部４５１によって構築されたＥＦＳ暗号鍵を用いて、指定された暗号化領域４４０にアクセスできるように暗号化ファイルシステム４４をセットアップする。

以上が、本実施形態の情報処理装置４０の構成の一例についての説明である。なお、図１３に示す構成は一例であって、情報処理装置４０の構成をそのままの形態に限定するものではない。

以上のように、本実施形態の情報処理装置の暗号化ファイルシステムは、異なる共通暗号鍵によって暗号化された複数の暗号化領域を含む。第二暗号鍵保管部は、複数の暗号化領域のそれぞれに対応する複数の第二暗号鍵を保管する。共通暗号鍵構築部は、指定された暗号化領域に対応する第二暗号鍵と第一暗号鍵とを用いて暗号化領域に対応した共通暗号鍵を構築する。共通暗号鍵構築部は、構築した共通暗号鍵を用いて、指定された暗号化領域にソフトウェアからできるように暗号化ファイルシステムをセットアップする。

本実施形態の情報処理装置は、複数のＥＦＳ暗号鍵によって暗号化された暗号化領域を暗号化ファイルシステムに構成し、それらの暗号化領域に対応する複数の第二暗号鍵を第二暗号鍵保管部に保管する。本実施形態の情報処理装置によれば、複数の暗号化領域に対応する複数の第二暗号鍵を保管するため、信頼済みソフトウェア実行部やセキュアストレージの内容を変更せずに、複数の暗号化ファイルシステムを利用できる。

（第５の実施形態）
次に、本発明の第５の実施形態の情報処理システムについて図面を参照しながら説明する。本実施形態の情報処理システムは、第１～第４の実施形態の情報処理装置のうち少なくともいずれかをエッジとして備えるＩｏＴシステムである。本実施形態の情報処理システムは、第１～第４の実施形態の情報処理装置のうちいずれか１種類によって構成されてもよいし、第１～第４の実施形態の情報処理装置のうち何種類かを任意に組み合わせることによって構成してもよい。

図１６は、本実施形態の情報処理システム５の構成について説明するための概念図である。情報処理システム５は、情報処理装置５０、少なくとも一つのデータ取得装置５１、およびサーバ５５を備える。情報処理装置５０とサーバ５５とは、インターネットやイントラネットなどのネットワーク５７を介して接続される。なお、ネットワーク５７をローカルネットワークとして構成する場合は、ネットワーク５７を情報処理システム５に加えてもよい。

情報処理装置５０は、無線通信または有線通信によってデータ通信可能な複数のデータ取得装置５１に接続される。また、情報処理装置５０は、ネットワーク５７を介してサーバ５５に接続される。情報処理装置５０は、第１～第４の実施形態の情報処理装置の少なくともいずれかである。情報処理装置５０は、複数のデータ取得装置５１によって取得されるデータを受信する。情報処理装置５０は、複数のデータ取得装置５１からのデータに処理を加え、処理後のデータをネットワーク５７経由でサーバ５５に送信する。情報処理装置５０は、複数のデータ取得装置５１からのデータを束ねてからサーバ５５に送信することが好ましい。

情報処理システム５を構成する情報処理装置５０は、単一であってもよいし、複数であってもよい。情報処理システム５を構成する情報処理装置５０が複数ある場合は、それらの情報処理装置５０が互いにデータ通信可能に接続されていてもよい。

データ取得装置５１は、無線通信または有線通信によってデータ通信可能な情報処理装置５０に接続される。データ取得装置５１は、設置環境において計測される種々の情報を取得するデバイスである。データ取得装置５１は、取得した情報を電気信号（データ）に変換して情報処理装置５０に送信する。例えば、データ取得装置５１は、温度センサや湿度センサ、圧力センサ、光センサ、地磁気センサ、ＧＰＳ（Global Positioning System）、加速度センサ、ジャイロセンサ、イメージセンサ、音センサ、距離センサなどといったセンサによって実現される。なお、データ取得装置５１は、これらのセンサに関わらず、何らかの情報を取得し、それらの情報を電気信号（データ）に変換して情報処理装置５０に送信するデバイスであればよい。

サーバ５５は、ネットワーク５７を介して情報処理装置５０に接続される。サーバ５５は、情報処理装置５０から送信されたデータを受信し、受信したデータを記憶したり、処理したりする。サーバ５５は、データセンタやサーバルームなどに設置されたコンピュータやアプリケーションである。

以上が、本実施形態の情報処理システム５の構成についての説明である。なお、情報処理システム５は、ＩｏＴシステムを実現しさえすれば、図１６に示す構成に限定されない。特に、情報処理システム５は、エッジコンピューティングを可能とするＩｏＴシステムを実現するように構成されることが望ましい。

以上のように、本実施形態の情報処理システムは、第１～第４の実施形態の情報処理装置のいずれかと、情報処理装置とデータ通信可能に接続される少なくとも一つのデータ取得装置と、ネットワークを介して情報処理装置と接続されるサーバとを備える。データ取得装置は、設置環境において計測されるデータを情報処理装置に送信する。サーバは、情報処理装置から送信されるデータを受信し、受信したデータを用いた処理を実行する。

本実施形態の情報処理システムをＩｏＴシステムに適用すれば、情報処理装置（エッジとも呼ぶ）がネットワークに安定して接続されなくても、エッジの自律的な再起動と情報の暗号化とが両立される。そのため、本実施形態によれば、セキュアかつ継続的なＩｏＴシステムの稼働を提供できる。

（ハードウェア）
ここで、本発明の各実施形態に係る情報処理装置の処理を実行するハードウェア構成について、図１７の情報処理装置９０を一例として挙げて説明する。なお、図１７の情報処理装置９０は、各実施形態の情報処理装置の処理を実行するための構成例であって、本発明の範囲を限定するものではない。

図１７のように、情報処理装置９０は、プロセッサ９１、主記憶装置９２、補助記憶装置９３、入出力インタフェース９５および通信インタフェース９６を備える。図１７においては、インタフェースをＩ／Ｆ（Interface）と略して表記する。プロセッサ９１、主記憶装置９２、補助記憶装置９３、入出力インタフェース９５および通信インタフェース９６は、バス９９を介して互いにデータ通信可能に接続される。また、プロセッサ９１、主記憶装置９２、補助記憶装置９３および入出力インタフェース９５は、通信インタフェース９６を介して、インターネットやイントラネットなどのネットワークに接続される。

プロセッサ９１は、補助記憶装置９３等に格納されたプログラムを主記憶装置９２に展開し、展開されたプログラムを実行する。本実施形態においては、情報処理装置９０にインストールされたソフトウェアプログラムを用いる構成とすればよい。プロセッサ９１は、本実施形態に係る情報処理装置による処理を実行する。

主記憶装置９２は、プログラムが展開される領域を有する。主記憶装置９２は、例えばＤＲＡＭ（Dynamic Random Access Memory）などの揮発性メモリとすればよい。また、ＭＲＡＭ（Magnetoresistive Random Access Memory）などの不揮発性メモリを主記憶装置９２として構成・追加してもよい。

補助記憶装置９３は、種々のデータを記憶する。補助記憶装置９３は、ハードディスクやフラッシュメモリなどのローカルディスクによって構成される。なお、種々のデータを主記憶装置９２に記憶させる構成とし、補助記憶装置９３を省略することも可能である。

入出力インタフェース９５は、情報処理装置９０と周辺機器とを接続するためのインタフェースである。通信インタフェース９６は、規格や仕様に基づいて、インターネットやイントラネットなどのネットワークを通じて、外部のシステムや装置に接続するためのインタフェースである。入出力インタフェース９５および通信インタフェース９６は、外部機器と接続するインタフェースとして共通化してもよい。

また、情報処理装置９０には、情報を表示するための表示機器を備え付けてもよい。表示機器を備え付ける場合、情報処理装置９０には、表示機器の表示を制御するための表示制御装置（図示しない）が備えられていることが好ましい。表示機器は、入出力インタフェース９５を介して情報処理装置９０に接続すればよい。

また、情報処理装置９０には、必要に応じて、ディスクドライブを備え付けてもよい。ディスクドライブは、バス９９に接続される。ディスクドライブは、プロセッサ９１と図示しない記録媒体（プログラム記録媒体）との間で、記録媒体からのデータ・プログラムの読み出し、情報処理装置９０の処理結果の記録媒体への書き込みなどを仲介する。記録媒体は、例えば、ＣＤ（Compact Disc）やＤＶＤ（Digital Versatile Disc）などの光学記録媒体で実現できる。また、記録媒体は、ＵＳＢ（Universal Serial Bus）メモリやＳＤ（Secure Digital）カードなどの半導体記録媒体や、フレキシブルディスクなどの磁気記録媒体、その他の記録媒体によって実現してもよい。

以上が、本発明の各実施形態に係る情報処理装置を可能とするためのハードウェア構成の一例である。なお、図１７のハードウェア構成は、各実施形態に係る情報処理装置の演算処理を実行するためのハードウェア構成の一例であって、本発明の範囲を限定するものではない。また、各実施形態に係る情報処理装置に関する処理をコンピュータに実行させるプログラムも本発明の範囲に含まれる。さらに、各実施形態に係るプログラムを記録したプログラム記録媒体も本発明の範囲に含まれる。

各実施形態の情報処理装置の構成要素は、任意に組み合わせることができる。また、各実施形態の情報処理装置の構成要素は、ソフトウェアによって実現してもよいし、回路によって実現してもよい。

以上、実施形態を参照して本発明を説明してきたが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

５ 情報処理システム
１０、２０、３０、４０、５０ 情報処理装置
１１、２１、３１、４１ セキュアストレージ
１２、２２、３２、４２ 第二暗号鍵保管部
１３、２３、３３、４３ セットアップ処理起動部
１４、２４、３４、４４ 暗号化ファイルシステム
１５、２５、３５、４５ 信頼済みソフトウェア実行部
５１ データ取得装置
５５ サーバ
５７ ネットワーク
１１１、２１１、３１１、４１１ 第一暗号鍵保管部
１５１、２５１、３５１、４５１ ＥＦＳ暗号鍵構築部
１５２、２５２、３５２、４５２ 暗号化ファイルシステムセットアップ部
２１２ 信頼済みソフトウェア署名格納部
２５３ 耐タンパ性情報格納部
２５４ 信頼済みＯＳ
２５５ インタフェース部
３１２ ファイルシステム検証情報格納部
３５３ ファイルシステム検証部
４４０ 暗号化領域

Claims (10)

1. 自装置で実行される信頼済みソフトウェアのみがアクセスできるアクセス制限領域を含み、第一暗号鍵を保管する第一暗号鍵保管手段が前記アクセス制限領域の内部に構成されるセキュアストレージと、
   前記第一暗号鍵によって暗号化された共通暗号鍵を第二暗号鍵として保管する第二暗号鍵保管手段と、
   前記共通暗号鍵によって暗号化された処理対象データが記録される暗号化領域を含む暗号化ファイルシステムと、
   自装置の起動に応じて前記第二暗号鍵保管手段から前記第二暗号鍵を取得し、取得した前記第二暗号鍵を出力するセットアップ処理起動手段と、
   前記信頼済みソフトウェアとして実行され、前記セットアップ処理起動手段から前記第二暗号鍵を取得し、前記第二暗号鍵の取得に合わせて前記第一暗号鍵保管手段から前記第一暗号鍵を取得し、前記第一暗号鍵と前記第二暗号鍵とを用いて前記共通暗号鍵を構築し、構築した前記共通暗号鍵を用いて任意のソフトウェアからアクセス可能な状態に前記暗号化ファイルシステムをセットアップするソフトウェア実行手段とを備える情報処理装置。
2. 前記ソフトウェア実行手段は、
   前記セットアップ処理起動手段と前記第一暗号鍵保管手段とに接続され、前記セットアップ処理起動手段から前記第二暗号鍵を取得し、前記第二暗号鍵の送信元の前記セットアップ処理起動手段が正当なプロセスであるか否かを検証し、前記セットアップ処理起動手段が正当なプロセスである場合に前記第一暗号鍵保管手段から前記第一暗号鍵を取得し、取得した前記第一暗号鍵と前記第二暗号鍵とを用いて前記共通暗号鍵を構築する共通暗号鍵構築手段と、
   前記共通暗号鍵構築手段と前記暗号化ファイルシステムとに接続され、前記共通暗号鍵構築手段から前記共通暗号鍵を取得し、取得した前記共通暗号鍵を用いて任意のソフトウェアからアクセス可能な状態に前記暗号化ファイルシステムをセットアップするセットアップ手段とを有する請求項１に記載の情報処理装置。
3. 前記暗号化ファイルシステムは、
   前記共通暗号鍵によってファイルごとに暗号化された前記処理対象データを記録する請求項２に記載の情報処理装置。
4. 前記セキュアストレージは、
   前記アクセス制限領域の内部に、第三暗号鍵を基に一定のルールによって生成される署名鍵を用いて生成される前記信頼済みソフトウェアに対する署名情報が格納される署名情報格納手段を含み、
   前記第三暗号鍵によって一定のルールで構成され、前記セキュアストレージの内部に暗号化されているデータを暗号化・復号するための第四暗号鍵によって暗号化され、
   前記ソフトウェア実行手段は、
   前記署名情報格納手段にアクセス可能な信頼済みオペレーティングシステムと、
   前記ソフトウェア実行手段の外部からの上書きおよび読み出しが制限され、前記第三暗号鍵が格納される耐タンパ性情報格納手段と、
   前記ソフトウェア実行手段に含まれる前記信頼済みソフトウェアと任意のソフトウェアとの間における通信機能を提供するインタフェースとを有する請求項２または３に記載の情報処理装置。
5. 前記ソフトウェア実行手段は、
   前記セットアップ処理起動手段から前記第二暗号鍵を取得し、前記第二暗号鍵の取得に合わせて前記耐タンパ性情報格納手段から前記第三暗号鍵を取得し、取得した前記第三暗号鍵を用いて前記署名情報格納手段に格納された暗号化された前記署名情報を復号し、復号された前記署名情報を用いて自身の内部のソフトウェアの信頼性について検証し、検証結果に基づいて前記信頼済みソフトウェアを動作させる請求項４に記載の情報処理装置。
6. 前記セキュアストレージは、
   前記アクセス制限領域の内部に、前記暗号化ファイルシステムの改ざんの有無を検証するためのファイルシステム検証情報が格納される検証情報格納手段を有し、
   前記ソフトウェア実行手段は、
   前記検証情報格納手段に接続され、前記検証情報格納手段に格納された前記ファイルシステム検証情報を用いて前記暗号化ファイルシステムの改ざんの有無を検証するファイルシステム検証手段を有する請求項２乃至５のいずれか一項に記載の情報処理装置。
7. 前記暗号化ファイルシステムは、
   異なる前記共通暗号鍵によって暗号化された複数の前記暗号化領域を含み、
   前記第二暗号鍵保管手段は、
   複数の前記暗号化領域のそれぞれに対応する複数の前記第二暗号鍵を保管し、
   前記共通暗号鍵構築手段は、
   指定された前記暗号化領域に対応する前記第二暗号鍵と前記第一暗号鍵とを用いて前記暗号化領域に対応した前記共通暗号鍵を構築し、構築した前記共通暗号鍵を用いて、指定された前記暗号化領域に任意のソフトウェアからできるように前記暗号化ファイルシステムをセットアップする請求項２乃至６のいずれか一項に記載の情報処理装置。
8. 請求項１乃至７のいずれか一項に記載の情報処理装置と、
   前記情報処理装置とデータ通信可能に接続され、設置環境において計測されるデータを前記情報処理装置に送信する少なくとも一つのデータ取得装置と、
   ネットワークを介して前記情報処理装置と接続され、前記情報処理装置から送信されるデータを受信し、受信したデータを用いた処理を実行するサーバとを備える情報処理システム。
9. 情報処理装置が、
   自装置で実行される信頼済みソフトウェアのみがアクセスできるアクセス制限領域の内部の第一暗号鍵保管手段に第一暗号鍵を保管し、
   前記第一暗号鍵を用いて暗号化された共通暗号鍵を第二暗号鍵として第二暗号鍵保管手段に保管し、
   自装置の起動に応じて前記第二暗号鍵保管手段から前記第二暗号鍵を取得し、
   取得した前記第二暗号鍵を前記信頼済みソフトウェアに出力し、
   前記第二暗号鍵の取得に合わせて前記第一暗号鍵保管手段から前記第一暗号鍵を前記信頼済みソフトウェアによって取得させ、
   取得した前記第一暗号鍵と前記第二暗号鍵とを用いて前記共通暗号鍵を前記信頼済みソフトウェアによって構築させ、
   前記共通暗号鍵を用いて、前記共通暗号鍵によって暗号化された処理対象データが記録される暗号化領域を含む暗号化ファイルシステムを任意のソフトウェアからアクセス可能な状態に前記信頼済みソフトウェアによってセットアップさせる情報処理方法。
10. 信頼済みソフトウェアのみがアクセスできるアクセス制限領域の内部の第一暗号鍵保管手段に第一暗号鍵を保管する処理と、
    前記第一暗号鍵を用いて暗号化された共通暗号鍵を第二暗号鍵として第二暗号鍵保管手段に保管する処理と、
    自装置の起動に応じて前記第二暗号鍵保管手段から前記第二暗号鍵を取得する処理と、
    取得した前記第二暗号鍵を前記信頼済みソフトウェアに出力する処理と、
    前記第二暗号鍵の取得に合わせて前記第一暗号鍵保管手段から前記第一暗号鍵を前記信頼済みソフトウェアによって取得させる処理と、
    取得した前記第一暗号鍵と前記第二暗号鍵とを用いて前記共通暗号鍵を前記信頼済みソフトウェアによって構築させる処理と、
    前記共通暗号鍵を用いて、前記共通暗号鍵によって暗号化された処理対象データが記録される暗号化領域を含む暗号化ファイルシステムを任意のソフトウェアからアクセス可能な状態に前記信頼済みソフトウェアによってセットアップさせる処理とをコンピュータに実行させるプログラム。

Images