JP4905575B2 - 情報処理システム、情報処理方法、複製元情報処理装置、複製先情報処理装置、及び、プログラム - Google Patents

Description

本発明は、情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持する鍵生成モジュールを複数備える情報処理システムに関する。

情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持する鍵生成モジュールを備える情報処理装置が知られている。鍵生成モジュールは、新たに鍵を生成し、保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持するように構成される。例えば、鍵生成モジュールは、ＴＣＧ（Ｔｒｕｓｔｅｄ Ｃｏｍｐｕｔｉｎｇ Ｇｒｏｕｐ）により規定されたＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）である。

この種の情報処理装置の一つとして特許文献１に記載の情報処理装置は、１つの鍵生成モジュールのみを備える。この情報処理装置は、鍵生成モジュールが保持する鍵を用いて、記憶装置に記憶されている情報を暗号化する。これにより、情報の漏えいを防止することができる。

特開２００７−０２６４４２号公報

一方、複数の情報処理装置からなる情報処理システムが知られている。この種の情報処理システムが備える情報処理装置に、上述した鍵生成モジュールを備える情報処理装置を適用すると、情報処理システムは、複数の鍵生成モジュールを備える。

この場合、情報処理システムは、１つの鍵生成モジュールのみを有効化するとともに、他の鍵生成モジュールを無効化することにより、有効化されている１つの鍵生成モジュールのみを使用することが考えられる。この場合、各鍵生成モジュールは、自モジュールが生成した鍵のみを保持する。

しかしながら、この場合、有効化されていた鍵生成モジュールが故障した場合、又は、有効化されていた鍵生成モジュールを備える情報処理装置が交換された場合等においては、既に暗号化されている情報を復号化することができないという問題が生じる。

このため、本発明の目的は、上述した課題である「鍵生成モジュールが故障した場合、又は、鍵生成モジュールを備える情報処理装置が交換された場合等において、既に暗号化されている情報を復号化することができない場合が生じること」を解決することが可能な情報処理システムを提供することにある。

かかる目的を達成するため本発明の一形態である情報処理システムは、
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する鍵生成モジュールを複数備えるとともに、
上記複数の鍵生成モジュールのうちの１つである複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を、当該複数の鍵生成モジュールのうちの他の１つである複製先鍵生成モジュールが保持する鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先鍵生成モジュールに保持させる鍵複製処理を実行する鍵複製処理実行手段を備える。

また、本発明の他の形態である情報処理方法は、
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する鍵生成モジュールを複数備える情報処理システムに適用され、
上記複数の鍵生成モジュールのうちの１つである複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を、当該複数の鍵生成モジュールのうちの他の１つである複製先鍵生成モジュールが保持する鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先鍵生成モジュールに保持させる鍵複製処理を実行する方法である。

また、本発明の他の形態である複製元情報処理装置は、
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製元鍵生成モジュールを備える装置である。

更に、この複製元情報処理装置は、
上記複製元鍵生成モジュールが鍵を新たに生成した場合、複製先情報処理装置から鍵を受信し、当該生成された鍵を、当該受信した鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先情報処理装置へ送信する。

また、本発明の他の形態である複製先情報処理装置は、
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製先鍵生成モジュールを備える装置である。

更に、この複製先情報処理装置は、
複製元情報処理装置が備える複製元鍵生成モジュールが鍵を新たに生成した場合、当該複製元情報処理装置へ、上記複製先鍵生成モジュールが保持している鍵を送信するとともに、当該複製元情報処理装置から鍵を受信し、当該受信した鍵を当該複製先鍵生成モジュールに保持させる。

また、本発明の他の形態であるプログラムは、
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製元鍵生成モジュールを備える複製元情報処理装置に、
上記複製元鍵生成モジュールが鍵を新たに生成した場合、複製先情報処理装置から鍵を受信し、当該生成された鍵を、当該受信した鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先情報処理装置へ送信する、機能を実現させるためのプログラムである。

また、本発明の他の形態であるプログラムは、
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製先鍵生成モジュールを備える複製先情報処理装置に、
複製元情報処理装置が備える複製元鍵生成モジュールが鍵を新たに生成した場合、当該複製元情報処理装置へ、上記複製先鍵生成モジュールが保持している鍵を送信するとともに、当該複製元情報処理装置から鍵を受信し、当該受信した鍵を当該複製先鍵生成モジュールに保持させる、機能を実現させるためのプログラムである。

本発明は、以上のように構成されることにより、鍵生成モジュールが故障した場合、又は、鍵生成モジュールを備える情報処理装置が交換された場合等においても、既に暗号化されている情報を復号化することができる。

本発明の第１実施形態に係る情報処理システムの概略構成を表す図である。 本発明の第１実施形態に係る情報処理システムにおける各セルの状態を概念的に示した説明図である。 本発明の第１実施形態に係る各セルの内部、及び、セル間の接続を概念的に示した説明図である。 本発明の第１実施形態に係るＢＭＣの概略構成を表したブロック図である。 本発明の第１実施形態に係るＴＰＭの概略構成を表したブロック図である。 本発明の第１実施形態に係るＴＰＭが保持する鍵を概念的に示した説明図である。 本発明の第１実施形態に係るＴＰＭが保持している鍵間の親子関係により形成されるツリー構造の一例を概念的に示した説明図である。 本発明の第１実施形態に係るＢＭＣが保持している鍵ハンドルテーブルの一例を示した図である。 本発明の第１実施形態に係る情報処理システムを構築する際の情報処理システムの作動を示したフローチャートである。 本発明の第１実施形態に係る情報処理システムの構築後、最初に情報処理システムが起動される際の情報処理システムの作動を示したフローチャートである。 本発明の第１実施形態に係るＴＰＭが新たに鍵を生成する際の情報処理システムの作動を示したフローチャートである。 本発明の第１実施形態に係るモナークＢＭＣが鍵複製処理を実行する際の情報処理システムの作動を示したフローチャートである。 本発明の第１実施形態に係る複製元ＢＭＣから複製先ＢＭＣへ送信される鍵を概念的に示した説明図である。 本発明の第１実施形態に係るモナークＴＰＭから鍵を削除する際の情報処理システムの作動を示したフローチャートである。 本発明の第１実施形態に係る情報処理システムにセルが追加される際の情報処理システムの作動を示したフローチャートである。 本発明の第１実施形態に係るモナークセルが情報処理システムから取り外される際の情報処理システムの作動を示したフローチャートである。 本発明の第２実施形態に係る情報処理システムの機能の概略を表すブロック図である。

以下、本発明に係る、情報処理システム、情報処理方法、複製元情報処理装置、複製先情報処理装置、及び、プログラム、の各実施形態について図１〜図１７を参照しながら説明する。

＜第１実施形態＞
（構成）
図１に示したように、第１実施形態に係る情報処理システム１は、複数（本例では、ｎ個、ここで、ｎは正の整数）のセル（情報処理装置）１０−１〜１０−ｎを備える。

セル１０−ｉ（ここで、ｉは、１〜ｎの整数）は、中央処理装置（ＣＰＵ；Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１−ｉと、主記憶装置（メモリ）１２−ｉと、Ｉ／Ｏ制御部（コントローラ）１３−ｉと、鍵生成モジュール１４−ｉと、ＢＭＣ（Ｂａｓｅｂｏａｒｄ Ｍａｎａｇｅｍｅｎｔ Ｃｏｎｔｒｏｌｌｅｒ）１５−ｉと、を備える。なお、セル１０−ｉは、セル＃ｉとも表記される。また、各セル１０−ｉは、鍵複製処理実行手段、及び、対応親鍵特定手段を構成している。

本例では、鍵生成モジュール１４−ｉは、ＴＣＧ（Ｔｒｕｓｔｅｄ Ｃｏｍｐｕｔｉｎｇ Ｇｒｏｕｐ）により規定されたＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）である。

セル１０−ｉは、情報処理システム１に対して、着脱可能に構成されている。即ち、情報処理システム１のユーザが、情報処理システム１の計算資源を増やすことを希望する場合にはセル１０−ｉを情報処理システム１に新たに装着し、一方、情報処理システム１の計算資源を減らすことを希望する場合には既に装着されているセル１０−ｉを情報処理システム１から取り外す。

これにより、ユーザは、情報処理システム１の計算資源を調整することができる。また、ユーザは、情報処理システム１に装着されているセル１０−ｉが故障した場合、故障したセル１０−ｉを新たなセルと交換することもできる。

情報処理システム１は、情報処理システム１が備える種々のハードウェアを制御するための最も低レベルのインタフェースを提供するファームウェアとしてのＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）を実行する。更に、情報処理システム１は、ＢＩＯＳにより提供されるインタフェースを用いることにより、上記種々のハードウェアを抽象化したインタフェースをアプリケーションソフトウェアに提供する基本ソフトウェアであるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を実行する。

加えて、情報処理システム１は、ＯＳにより提供されるインタフェースを用いることにより、種々の処理を実行するアプリケーションソフトウェアを実行する。情報処理システム１は、アプリケーションソフトウェアの１つとして鍵管理マネージャ（鍵管理プログラム）を実行する。なお、鍵管理マネージャは、ＯＳの一部を構成していてもよい。

図２は、情報処理システム１における各セル１０−ｉの状態を概念的に示した説明図である。情報処理システム１は、後述するように、複数のセル１０−１〜１０−ｎのうちの１つをモナークセル（管理セル）として設定し、モナークセル以外のすべてのセルを非モナークセル（被管理セル）として設定する。図２においては、セル１０−１がモナークセルとして設定され、セル１０−２〜１０−ｎが非モナークセルとして設定されている。

モナークセルとして設定されたセル１０−１は、非モナークセルとして設定されたセル１０−２〜１０−ｎを管理（統括）する。

また、情報処理システム１は、モナークセルとして設定されたセル１０−１が備えるＴＰＭ１４−１を有効化（有効（Ｅｎａｂｌｅ）状態に設定）し、非モナークセルとして設定されたセル１０−２〜１０−ｎが備えるＴＰＭ１４−２〜１４−ｎを無効化（無効（Ｄｉｓａｂｌｅ）状態に設定）する。

また、以降において、モナークセルとして設定されたセル１０−１が備えるＴＰＭ１４−１は、モナークＴＰＭとも表記され、非モナークセルとして設定されたセル１０−２〜１０−ｎが備えるＴＰＭ１４−２〜１４−ｎは、非モナークＴＰＭとも表記される。同様に、モナークセルとして設定されたセル１０−１が備えるＢＭＣ１５−１は、モナークＢＭＣとも表記され、非モナークセルとして設定されたセル１０−２〜１０−ｎが備えるＢＭＣ１５−２〜１５−ｎは、非モナークＢＭＣとも表記される。

図３は、各セル１０−１，１０−２の内部、及び、セル１０−１，１０−２間の接続を概念的に示した説明図である。
セル１０−１とセル１０−２との間は、セル間リンク２１を介して接続されている。本例では、セル間リンク２１は、ＣＰＵ１１−１とＣＰＵ１１−２との間を接続している。本例では、セル間リンク２１による接続は、ピアツーピア（Ｐｅｅｒ−ｔｏ−Ｐｅｅｒ）接続である。なお、セル間リンク２１による接続は、バス接続であってもよい。

また、ＢＭＣ１５−１とＢＭＣ１５−２との間は、通信網（ネットワーク）２２を介して接続されている。本例では、通信網２２は、イーサネット（登録商標）規格に従った通信網である。

なお、セル１０−１，１０−２間の接続以外の、任意のセル１０−１〜１０−ｎ間の接続も、セル１０−１，１０−２間の接続と同様である。即ち、各セル１０−１〜１０−ｎは、他の任意のセル１０−１〜１０−ｎと通信可能に構成されている。また、各ＢＭＣ１５−１〜１５−ｎは、他の任意のＢＭＣ１５−１〜１５−ｎと通信可能に構成されている。

また、Ｉ／Ｏ制御部１３−ｉと、ＴＰＭ１４−ｉと、ＢＭＣ１５−ｉと、の間は、バス１６−ｉを介して接続されている。本例では、バス１６−ｉは、ＬＰＣ（Ｌｏｗ Ｐｉｎ Ｃｏｕｎｔ）バスである。

図４は、ＢＭＣ１５−１の概略構成を表したブロック図である。ＢＭＣ１５−１は、ＣＰＵ１１−１からの指示とは独立にＴＰＭ１４−１を制御する。即ち、ＢＭＣ１５−１は、所謂、アウトオブバンド（Ｏｕｔ−ｏｆ−ｂａｎｄ）制御を行う。換言すると、ＢＭＣ１５−１は、ＯＳが起動していない状態においても、ＴＰＭ１４−１を制御可能に構成される。

図４に示したように、ＢＭＣ１５−１は、入出力（Ｉ／Ｏ；Ｉｎｐｕｔ Ｏｕｔｐｕｔ）部１５ａ−１と、プロセッサ１５ｂ−１と、揮発性メモリ（本例では、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））１５ｃ−１と、通信インタフェース（Ｉ／Ｆ；Ｉｎｔｅｒｆａｃｅ）部１５ｄ−１と、不揮発性メモリ１５ｅ−１と、を備える。

Ｉ／Ｏ部１５ａ−１は、図３に示したＩ／Ｏ制御部１３−１と接続される。通信Ｉ／Ｆ部１５ｄ−１は、図３に示した通信網２２と接続される。不揮発性メモリ１５ｅ−１は、後述する鍵ハンドルテーブルＫＴ−１を記憶している。
また、他のＢＭＣ１５−２〜１５−ｎも、ＢＭＣ１５−１と同様の構成を有する。

図５は、ＴＰＭ１４−１の概略構成を表したブロック図である。ＴＰＭ１４−１は、Ｉ／Ｏ部１４ａ−１と、暗号化コプロセッサ（Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｃｏ−Ｐｒｏｃｅｓｓｏｒ）１４ｂ−１と、ＨＭＡＣ（Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ ｆｏｒ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ）エンジン１４ｃ−１と、ＳＨＡ−１（Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ １）エンジン１４ｄ−１と、不揮発性メモリ１４ｅ−１と、Ｏｐｔ−Ｉｎ部１４ｆ−１と、鍵生成部１４ｇ−１と、乱数発生器１４ｈ−１と、実行エンジン１４ｉ−１と、揮発性メモリ１４ｊ−１と、を備える。

ＴＰＭ１４−１が備える各部の詳細は、非特許文献１に記載されている。従って、各部の詳細な説明を省略する。
「TCG Architecture Overview」、[online]、2007年8月、Trusted Computing Group、[2010年3月19日検索]、インターネット<URL：http://www.trustedcomputinggroup.org>

ＴＰＭ１４−１は、情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持する。本例では、鍵は、公開鍵暗号方式に従った鍵である。従って、図６に示したように、鍵６００は、一対の、公開鍵６０１、及び、秘密鍵６０２を含む。

ＴＰＭ１４−１は、外部からの要求に応じて、新たに鍵を生成する。ＴＰＭ１４−１は、新たに鍵を生成した場合、既に保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化する。本例では、ＴＰＭ１４−１は、生成した鍵のうちの秘密鍵のみを暗号化する。そして、ＴＰＭ１４−１は、暗号化された鍵を更に保持する。

ところで、ＴＰＭ１４−１は、保持している公開鍵を外部からの要求に応じて、ＴＰＭ１４−１の外部へ出力する。一方、ＴＰＭ１４−１は、基本的には、保持している秘密鍵を、ＴＰＭ１４−１の外部へ出力しない。但し、後述するように、ＴＰＭ１４−１は、保持している鍵を他のＴＰＭへ複製する場合には、保持している秘密鍵をラップ処理し、ラップ処理された秘密鍵をＴＰＭ１４−１の外部へ出力する。なお、ラップ処理については後述する。
なお、他のＴＰＭ１４−２〜１４−ｎも、ＴＰＭ１４−１と同様の構成を有する。

図７は、ＴＰＭ１４−ｉが保持している鍵間の親子関係により形成されるツリー構造の一例を概念的に示した説明図である。図７において、下位（図における下方）側に位置する鍵は、実線により結ばれている上位（図における上方）側の鍵を親鍵として用いて暗号化された鍵である。

ＥＫ（Ｅｎｄｏｒｓｅｍｅｎｔ Ｋｅｙ）７０１は、ＴＣＧによって、すべてのＴＰＭに必ず設定されるように規定されている。ＥＫ７０１は、そのＴＰＭのユニーク性及び信頼性を保証するための鍵である。ＴＰＭ１４−ｉは、ＥＫ７０１を、ＴＰＭ１４−ｉの外部へ出力しない。

ＳＲＫ（Ｓｔｏｒａｇｅ Ｒｏｏｔ Ｋｅｙ）７０２は、鍵管理マネージャからの要求に応じて生成される。ＴＰＭ１４−ｉは、ＳＲＫ７０２を、ＴＰＭ１４−ｉの外部へ出力しない。プラットフォーム鍵７０３以下の鍵７０３〜７０８も、鍵管理マネージャからの要求に応じて生成される。これらの鍵７０３〜７０８は、他のＴＰＭへ複製することが可能な鍵である。

ＴＰＭ１４−ｉにおいては、ＥＫが信頼の基点（Ｒｏｏｔ Ｏｆ Ｔｒｕｓｔ）となり、上位側の鍵を用いて、下位側の鍵が階層（再帰）的に暗号化される。即ち、ＥＫ７０１がＳＲＫ７０２の信頼性を保証し、ＳＲＫ７０２がプラットフォーム鍵７０３の信頼性を保証し、プラットフォーム鍵７０３が、鍵Ａ（７０４）、鍵Ｂ（７０５）、及び、鍵Ｃ（７０６）の信頼を保証し、鍵Ｃ（７０６）が鍵Ｄ（７０７）、及び、鍵Ｅ（７０８）の信頼を保証している。このように、信頼の保証の連鎖によって、すべての鍵の信頼性が保証される。

従って、鍵を他のＴＰＭへ複製する場合には、暗号化されている鍵を復号化する必要がある。このため、情報処理システム１は、鍵間の親子関係を表す情報を記憶している。

図８は、鍵ハンドルテーブルの一例を示した図である。鍵ハンドルテーブルは、ＴＰＭ１４−ｉが保持している鍵をＴＰＭ１４−ｉにおいて識別するための子鍵ハンドル（子鍵識別情報）と、当該鍵を暗号化するために親鍵として用いられ且つＴＰＭ１４−ｉが保持している鍵をＴＰＭ１４−ｉにおいて識別するための親鍵ハンドル（親鍵識別情報）と、当該子鍵ハンドルにより識別される鍵と当該親鍵ハンドルにより識別される鍵との間の親子関係を情報処理システム１において識別するためのＩＤ（親子関係識別情報）と、を対応付けたテーブルである。

ＢＭＣ１５−ｉは、ＴＰＭ１４−ｉに対する鍵ハンドルテーブルを保持（記憶）している。また、子鍵ハンドル、及び、親鍵ハンドルのそれぞれは、本例では、３バイトのバイナリデータである。また、鍵ハンドルテーブルに含まれるＩＤは、鍵管理マネージャにより付加される。

ところで、鍵ハンドル（子鍵ハンドル、又は、親鍵ハンドル）は、ＴＰＭ１４−ｉが保持している鍵をＴＰＭ１４−ｉにおいて識別するための情報である。従って、互いに対応する鍵を識別するための鍵ハンドルは、異なるＴＰＭ間で互いに異なる。従って、情報処理システム１は、ＩＤ（親子関係識別情報）を用いることにより、互いに対応する鍵を、異なるＴＰＭ間で特定する。

（作動）
次に、上述した情報処理システム１の作動について説明する。
図９は、情報処理システム１を構築する際の情報処理システム１の作動を示したフローチャートである。

先ず、情報処理システム１を新規に構築することを希望するユーザは、情報処理システム１に組み込む（即ち、有効化する）セルを選択する（図９のステップＳ１０１）。本例では、情報処理システム１は、セルを有効化するか否かを切り替えるスイッチを備える。ユーザは、このスイッチを操作することにより、有効化するセル１０−１〜１０−ｎを選択する。

情報処理システム１は、選択された（有効化された）セル１０−ｉの中から、１つのセルをモナークセルとして決定する（図９のステップＳ１０２）。本例では、有効化されたセル１０−ｉが備えるＢＭＣ１５−ｉが、ネゴシエーションを行うことにより決定する。例えば、情報処理システム１は、選択された（有効化された）セル１０−ｉのうちの、セルを識別するための番号が最も小さいセルを、モナークセルとして決定する。

本例では、各ＢＭＣ１５−ｉは、自セルがモナークセルであるか否かを表す情報を記憶する。そして、各ＢＭＣ１５−ｉは、記憶している鍵ハンドルテーブルを初期化（内容を消去（クリア））する（図９のステップＳ１０３）。

図１０は、情報処理システム１の構築後、最初に情報処理システム１が起動される際の情報処理システム１の作動を示したフローチャートである。

先ず、ユーザは、情報処理システム１を起動する（図１０のステップＳ２０１）。本例では、情報処理システム１は、情報処理システム１を起動するためのスイッチを備える。ユーザは、このスイッチを操作することにより、情報処理システム１を起動する。

情報処理システム１が起動されると、ＢＭＣ１５−ｉは、自セルがモナークセルであるか否かを判定する。そして、ＢＭＣ１５−ｉは、自セルがモナークセルであると判定した場合、ＴＰＭ１４−ｉを有効化する（図１０のステップＳ２０２）。一方、ＢＭＣ１５−ｉは、自セルがモナークセルでないと判定した場合、ＴＰＭ１４−ｉを無効化する（図１０のステップＳ２０３）。

その後、情報処理システム１は、ＯＳの実行を開始し、その後、鍵管理マネージャの実行を開始する（図１０のステップＳ２０４）。鍵管理マネージャは、ＯＳからの要求に応じて、ＴＰＭ１４−ｉに新たに鍵を生成させる。例えば、ＯＳは、情報処理システム１が備える記憶装置に記憶されている情報を暗号化する場合に、新たに鍵を生成する旨を鍵管理マネージャに要求する。

図１１は、ＴＰＭが新たに鍵を生成する際の情報処理システム１の作動を示したフローチャートである。

先ず、鍵管理マネージャは、新たに鍵を生成する旨を表す要求をＯＳから受け付けると、モナークＢＭＣ１５−ｉが保持している鍵ハンドルテーブルに基づいて、保持している鍵の中から１つの鍵を親鍵として選択する。鍵管理マネージャは、選択した親鍵を識別するための鍵ハンドルを含む情報であり、且つ、鍵の生成を指示する旨を表す情報である鍵生成指示を、モナークＴＰＭ１４−ｉへ出力する。

これにより、モナークＴＰＭ１４−ｉは、新たに鍵を生成し、その鍵を識別するための鍵ハンドルを鍵管理マネージャへ返却（出力）する（図１１のステップＳ３０１）。一方、鍵管理マネージャは、モナークＴＰＭ１４−ｉから受け付けた鍵ハンドルをＯＳへ返却する。

更に、モナークＴＰＭ１４−ｉは、鍵生成指示に含まれる鍵ハンドルにより識別される鍵を親鍵として用いて、上記生成した鍵を暗号化し、当該暗号化された鍵を更に保持する。

鍵管理マネージャは、モナークＴＰＭ１４−ｉから鍵ハンドルを受け付けると、親子関係識別情報としてのＩＤを生成する。そして、鍵管理マネージャは、モナークＴＰＭ１４−ｉから受け付けた鍵ハンドル（子鍵ハンドル）と、上記選択した親鍵を識別するための鍵ハンドル（親鍵ハンドル）と、生成したＩＤと、を対応付けて、モナークＢＭＣ１５−ｉに新たに記憶させる（鍵ハンドルテーブルにデータを追加する）（図１１のステップＳ３０２）。

そして、モナークＢＭＣ１５−ｉは、新たに生成された鍵を、すべての非モナークＴＰＭのそれぞれに複製する鍵複製処理を実行する（図１１のステップＳ３０３）。鍵複製処理の詳細については、後述する。なお、鍵複製処理は、バックグラウンド処理として実行される。

図１２は、モナークＢＭＣ１５−ｉが鍵複製処理を実行する際の情報処理システム１の作動を示したフローチャートである。なお、モナークＢＭＣ１５−ｉは、モナークＴＰＭ（後述する複製元ＴＰＭ）以外のすべてのＴＰＭ（即ち、すべての非モナークＴＰＭ）のそれぞれに対して、鍵複製処理を実行する。

ここでは、モナークＴＰＭ１４−ｉを複製元ＴＰＭと表記し、鍵の複製先となるＴＰＭを複製先ＴＰＭと表記する。また、複製元ＴＰＭ（本例では、モナークＴＰＭ）を備えるセルを複製元セル（複製元情報処理装置）と表記し、複製先ＴＰＭを備えるセルを複製先セル（複製先情報処理装置）と表記する。また、複製元セルが備えるＢＭＣ（本例では、モナークＢＭＣ）を複製元ＢＭＣと表記し、複製先セルが備えるＢＭＣを複製先ＢＭＣと表記する。

更に、鍵複製処理によって複製される鍵（即ち、図１１のステップＳ３０１にて、モナークＴＰＭにより新たに生成された鍵）を複製対象鍵と表記する。

先ず、複製元ＢＭＣは、記憶している鍵ハンドルテーブルに基づいて、複製対象鍵を識別するための鍵ハンドルと同一の子鍵ハンドルと対応付けられた親鍵ハンドルを特定する。そして、複製元ＢＭＣは、特定した親鍵ハンドルと同一の子鍵ハンドルと対応付けられたＩＤを特定する。

次いで、複製元ＢＭＣは、特定したＩＤを含む情報であり、且つ、公開鍵を要求する旨を表す情報である公開鍵要求を、複製先ＢＭＣへ送信する（図１２のステップＳ４０１）。
複製先ＢＭＣは、公開鍵要求を受信すると、記憶している鍵ハンドルテーブルに基づいて、公開鍵要求に含まれるＩＤと対応付けられた子鍵ハンドルにより識別される鍵を対応親鍵として特定する。

ここで、対応親鍵は、複製対象鍵を暗号化するために複製元ＴＰＭが用いる鍵であり且つ複製元ＴＰＭが保持している鍵である親鍵の、複製元ＴＰＭが保持している鍵間の親子関係により形成されるツリー構造における位置と、複製先ＴＰＭが保持している鍵間の親子関係により形成されるツリー構造において同じ位置に配置され且つ複製先ＴＰＭが保持している鍵である。

例えば、複製元ＴＰＭが、図７に示したように鍵を保持している場合において、複製対象鍵が鍵Ａ（７０４）である場合、親鍵は、プラットフォーム鍵７０３である。従って、対応親鍵は、複製先ＴＰＭが保持しているプラットフォーム鍵である。

複製先ＢＭＣは、特定した対応親鍵に含まれる公開鍵を複製先ＴＰＭから取得し、取得した公開鍵を複製元ＢＭＣへ送信する。これにより、複製元ＢＭＣは、対応親鍵の公開鍵を受信（取得）する（図１２のステップＳ４０２）。

そして、複製元ＢＭＣは、複製元ＴＰＭに、複製対象鍵に含まれる秘密鍵を、複製対象鍵に含まれる公開鍵により復号化させる。その後、複製元ＢＭＣは、複製元ＴＰＭに、復号化された秘密鍵を、対応親鍵の公開鍵を用いて暗号化させる（図１２のステップＳ４０３）。なお、複製元ＴＰＭが、複製対象鍵に含まれる秘密鍵を、複製対象鍵に含まれる公開鍵により復号化し、復号化された秘密鍵を、対応親鍵の公開鍵を用いて暗号化する処理は、ラップ処理とも表記される。

そして、複製元ＢＭＣは、対応親鍵の公開鍵を用いて暗号化した秘密鍵を複製元ＴＰＭから取得し、取得した秘密鍵と、対応親鍵の公開鍵と、を含む鍵と、複製対象鍵を識別するための子鍵ハンドルと対応付けられたＩＤと、を複製先ＢＭＣへ送信する（図１２のステップＳ４０４）。図１３は、複製元ＢＭＣから複製先ＢＭＣへ送信される鍵を概念的に示した説明図である。

これにより、複製先ＢＭＣは、複製元ＢＭＣから鍵を受信する。そして、複製先ＢＭＣは、受信した鍵を複製先ＴＰＭに保持させる（図１２のステップＳ４０５）。次いで、複製先ＴＰＭは、新たに保持した鍵を識別するための鍵ハンドルを複製先ＢＭＣへ返却する。

複製先ＢＭＣは、複製先ＴＰＭから鍵ハンドルを受け付け、受け付けた鍵ハンドル（子鍵ハンドル）と、対応親鍵を識別するための鍵ハンドル（親鍵ハンドル）と、複製元ＢＭＣから受信したＩＤと、を対応付けて新たに記憶する（鍵ハンドルテーブルにデータを追加する）（図１２のステップＳ４０６）。

図１４は、モナークＴＰＭから鍵を削除する際の情報処理システム１の作動を示したフローチャートである。本例では、情報処理システム１は、ＴＰＭから鍵を削除（消去）すると同時に、鍵ハンドルテーブルからも、当該鍵に係る情報を削除する。

先ず、鍵管理マネージャは、ＯＳからの要求に応じて、鍵をモナークＴＰＭ１４−ｉから削除する。鍵管理マネージャは、モナークＢＭＣ１５−ｉが保持している鍵ハンドルテーブルに基づいて、削除した鍵を識別するための子鍵ハンドルと対応付けられたＩＤを取得する。

そして、鍵管理マネージャは、非モナークＢＭＣ１５−ｉのそれぞれへ、取得したＩＤを含む情報であり、且つ、鍵を削除する旨を指示する情報である鍵削除指示を出力する。これにより、非モナークＢＭＣ１５−ｉのそれぞれは、鍵削除指示に含まれるＩＤと対応付けられた子鍵ハンドルにより識別される鍵を、ＴＰＭ１４−ｉに削除させる（図１４のステップＳ５０１）。

更に、非モナークＢＭＣ１５−ｉのそれぞれは、鍵削除指示に含まれるＩＤ、当該と対応付けられた子鍵ハンドル、及び、当該と対応付けられた親鍵ハンドルを、保持している鍵ハンドルテーブルから削除する。加えて、鍵管理マネージャは、モナークＢＭＣ１５−ｉが保持している鍵ハンドルテーブルから、削除した鍵を識別するための子鍵ハンドル、当該子鍵ハンドルと対応付けられた親鍵ハンドル、及び、当該ＩＤを削除する（図１４のステップＳ５０２）。

図１５は、情報処理システム１にセルが追加される際の情報処理システム１の作動を示したフローチャートである。この作動は、非モナークセルが交換される場合と同様の作動である。

先ず、ユーザがセルを情報処理システム１に追加する。これにより、モナークＢＭＣ１５−ｉは、セルの追加を検出する（図１５のステップＳ６０１）。
次いで、モナークＢＭＣ１５−ｉは、鍵ハンドルテーブルに含まれるすべての子鍵ハンドルにより識別される鍵を、新たに追加されたセルが備えるＴＰＭへ複製する。

具体的には、複製の対象となる鍵は、プラットフォーム鍵と、プラットフォーム鍵よりもツリー構造における下位側に位置するすべての鍵と、からなる（即ち、プラットフォーム鍵以下の鍵）。各鍵に対する鍵複製処理は、図１２に示した場合と同様である。

なお、鍵複製処理は、ツリー構造における上位側から下位側へ向かって順に再帰的に行われる。例えば、モナークＴＰＭ１４−ｉが図７に示したように鍵を保持している場合、鍵複製処理は、プラットフォーム鍵７０３、鍵Ａ（７０４）、鍵Ｂ（７０５）、鍵Ｃ（７０６）、鍵Ｄ（７０７）、及び、鍵Ｅ（７０８）の順に、実行される。ここで、鍵Ａ（７０４）、鍵Ｂ（７０５）、及び、鍵Ｃ（７０６）の順序は任意でよい。同様に、鍵Ｄ（７０７）、及び、鍵Ｅ（７０８）の順序は任意でよい。

従って、モナークＢＭＣ１５−ｉは、先ず、プラットフォーム鍵の親鍵としてのＳＲＫ（Ｓｔｏｒａｇｅ Ｒｏｏｔ Ｋｅｙ）の公開鍵を、複製先ＢＭＣ（新たに追加されたセルが備えるＢＭＣ）から取得する（図１５のステップＳ６０２（図１２のステップＳ４０１に対応））。

そして、モナークＢＭＣ１５−ｉは、プラットフォーム鍵以下のすべての鍵を再帰的に、複製先ＴＰＭ（新たに追加されたセルが備えるＴＰＭ）へ複製する（図１５のステップＳ６０３）。

次いで、複製先ＢＭＣは、複製された鍵のそれぞれに対して、当該鍵を識別するための鍵ハンドル（子鍵ハンドル）と、対応親鍵を識別するための鍵ハンドル（親鍵ハンドル）と、複製元ＢＭＣから受信したＩＤと、を対応付けて新たに記憶する（鍵ハンドルテーブルにデータを追加する）（図１５のステップＳ６０４（図１２のステップＳ４０６に対応））。

図１６は、モナークセルが情報処理システム１から取り外される際の情報処理システム１の作動を示したフローチャートである。
先ず、ユーザがモナークセルを情報処理システム１から取り外す。これにより、情報処理システム１に残存しているすべてのセルが備えるＢＭＣ１５−ｉは、ネゴシエーションを行うことにより、有効化されたセルの中から１つのセルをモナークセルとして決定する（図１６のステップＳ７０１）。

この時点では、新たにモナークセル１０−ｉとして決定されたセルが備えるＴＰＭ１４−ｉには、取り外されたセルが備えるＴＰＭが保持していた鍵が既に複製されている。従って、以降において、鍵管理マネージャは、新たにモナークセルとして決定されたセル１０−ｉが備えるＢＭＣ１５−ｉが記憶している鍵ハンドルテーブルを参照することにより、セルが削除される前と同様に、情報を暗号化、及び、復号化することができる。

以上、説明したように、本発明の第１実施形態に係る情報処理システム１によれば、ＴＰＭが故障した場合、又は、ＴＰＭを備えるセル（情報処理装置）が交換された場合等において、他のＴＰＭが保持している鍵を用いることにより、既に暗号化されている情報を復号化することができる。更に、複製元ＴＰＭから複製先ＴＰＭへ伝達される鍵が暗号化されているので、鍵の信頼性が低下することを防止することもできる。

更に、第１実施形態に係る情報処理システム１は、複数のＴＰＭのうちの、複製元ＴＰＭ以外のすべてのＴＰＭのそれぞれに対して、鍵複製処理を実行する。
これによれば、複製元ＴＰＭが故障した場合等において、他のいずれのセルがモナークセルとして設定された場合であっても（即ち、他のいずれのＴＰＭを用いても）、既に暗号化されている情報を復号化することができる。

加えて、第１実施形態に係る情報処理システム１によれば、複製元ＴＰＭが保持している鍵間の親子関係により形成されるツリー構造と、複製先ＴＰＭが保持している鍵間の親子関係により形成されるツリー構造と、を一致させることができる。この結果、ＴＰＭが故障した場合等において、既に暗号化されている情報をより一層確実に復号化することができる。

なお、第１実施形態に係る情報処理システム１においては、複製元ＢＭＣが、複製元ＴＰＭに対して記憶されている鍵ハンドルテーブルにおいて、複製対象鍵を識別するための鍵ハンドルと同一の子鍵ハンドルと対応付けられた親鍵ハンドルを特定し、更に、当該特定した親鍵ハンドルと同一の子鍵ハンドルと対応付けられたＩＤを特定していた。更に、複製先ＢＭＣが、複製先ＴＰＭに対して記憶されている鍵ハンドルテーブルにおいて、特定されたＩＤと対応付けられた子鍵ハンドルにより識別される鍵を、対応親鍵として特定していた。

ところで、第１実施形態の変形例に係る情報処理システム１は、複製元ＢＭＣが、複製元ＴＰＭに対して記憶されている鍵ハンドルテーブルにおいて、複製対象鍵を識別するための鍵ハンドルと同一の子鍵ハンドルと対応付けられたＩＤを特定するように構成されていてもよい。この場合、更に、情報処理システム１は、複製先ＢＭＣが、複製先ＴＰＭに対して記憶されている鍵ハンドルテーブルにおいて、特定されたＩＤと対応付けられた親鍵ハンドルにより識別される鍵を、対応親鍵として特定するように構成される。

この変形例に係る情報処理システム１によっても、第１実施形態に係る情報処理システム１と同様の作用及び効果を奏することができる。

＜第２実施形態＞
次に、本発明の第２実施形態に係る情報処理システムについて図１７を参照しながら説明する。
第２実施形態に係る情報処理システム１７００は、
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する鍵生成モジュール１７１１，１７１２，…を複数備える。

更に、情報処理システム１７００は、
複数の鍵生成モジュール１７１１，１７１２，…のうちの１つである複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を、当該複数の鍵生成モジュールのうちの他の１つである複製先鍵生成モジュールが保持する鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先鍵生成モジュールに保持させる鍵複製処理を実行する鍵複製処理実行部（鍵複製処理実行手段）１７２０を備える。

これによれば、複製元鍵生成モジュールが故障した場合等において、複製先鍵生成モジュールが保持している鍵を用いることにより、既に暗号化されている情報を復号化することができる。更に、複製元鍵生成モジュールから複製先鍵生成モジュールへ伝達される鍵が暗号化されているので、鍵の信頼性が低下することを防止することもできる。

以上、上記実施形態を参照して本願発明を説明したが、本願発明は、上述した実施形態に限定されるものではない。本願発明の構成及び詳細に、本願発明の範囲内において当業者が理解し得る様々な変更をすることができる。

例えば、情報処理システム１は、情報処理システム１により実行される鍵管理マネージャが、モナークＢＭＣが保持する鍵ハンドルテーブルと同一の鍵ハンドルテーブルを保持するように構成されていてもよい。この場合、情報処理システム１は、情報処理システム１からセルが削除されたとき、鍵管理マネージャが、新たに選択されたモナークセルが備えるモナークＢＭＣから鍵ハンドルテーブルを複製し直すように構成されることが好適である。

また、上記実施形態においては、情報処理システム１は、複数のセルを備えていたが、セルに代えて、モジュラーを備えていてもよい。この場合、情報処理システム１は、モジュラーサーバとも呼ばれる。また、情報処理システム１は、セルに代えて、ブレードを備えていてもよい。この場合、情報処理システム１は、ブレードサーバとも呼ばれる。更にこの場合、情報処理システム１は、ＳＭＰブレード（Ｓｙｍｍｅｔｒｉｃ Ｍｕｌｔｉ Ｐｒｏｃｅｓｓｏｒ Ｂｌａｄｅ）サーバであってもよい。

なお、上記実施形態において情報処理システム１の各機能は、ＣＰＵ及びプロセッサ等がプログラム（ソフトウェア）を実行することにより実現されていたが、回路等のハードウェアにより実現されていてもよい。

また、上記実施形態においてプログラムは、記憶装置に記憶されていたが、コンピュータが読み取り可能な記録媒体に記憶されていてもよい。例えば、記録媒体は、フレキシブルディスク、光ディスク、光磁気ディスク、及び、半導体メモリ等の可搬性を有する媒体である。

また、上記実施形態の他の変形例として、上述した実施形態及び変形例の任意の組み合わせが採用されてもよい。

＜付記＞
上記実施形態の一部又は全部は、以下の付記のように記載され得るが、以下には限られない。

（付記１）
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する鍵生成モジュールを複数備えるとともに、
前記複数の鍵生成モジュールのうちの１つである複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を、当該複数の鍵生成モジュールのうちの他の１つである複製先鍵生成モジュールが保持する鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先鍵生成モジュールに保持させる鍵複製処理を実行する鍵複製処理実行手段を備える情報処理システム。

これによれば、複製元鍵生成モジュールが故障した場合等において、複製先鍵生成モジュールが保持している鍵を用いることにより、既に暗号化されている情報を復号化することができる。更に、複製元鍵生成モジュールから複製先鍵生成モジュールへ伝達される鍵が暗号化されているので、鍵の信頼性が低下することを防止することもできる。

（付記２）
付記１に記載の情報処理システムであって、
前記鍵複製処理実行手段は、前記複数の鍵生成モジュールのうちの、前記複製元鍵生成モジュール以外のすべての鍵生成モジュールのそれぞれに対して、前記鍵複製処理を実行するように構成された情報処理システム。

これによれば、複製元鍵生成モジュールが故障した場合等において、他のいずれの鍵生成モジュールを用いても、既に暗号化されている情報を復号化することができる。

（付記３）
付記１又は付記２に記載の情報処理システムであって、
前記複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を暗号化するために当該複製元鍵生成モジュールが用いる鍵であり且つ当該複製元鍵生成モジュールが保持している鍵である前記親鍵の、当該複製元鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造における位置と、前記複製先鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造において同じ位置に配置され且つ当該複製先鍵生成モジュールが保持している鍵である対応親鍵を特定する対応親鍵特定手段を備え、
前記鍵複製処理実行手段は、前記生成された鍵を、前記特定された対応親鍵を用いて、当該複製元鍵生成モジュールに暗号化させるように構成された情報処理システム。

これによれば、複製元鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造と、複製先鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造と、を一致させることができる。この結果、鍵生成モジュールが故障した場合等において、既に暗号化されている情報をより一層確実に復号化することができる。

（付記４）
付記３に記載の情報処理システムであって、
前記対応親鍵特定手段は、
前記複数の鍵生成モジュールのそれぞれに対して、当該鍵生成モジュールが保持している鍵を当該鍵生成モジュールにおいて識別するための子鍵識別情報と、当該鍵を暗号化するために前記親鍵として用いられ且つ当該鍵生成モジュールが保持している鍵を当該鍵生成モジュールにおいて識別するための親鍵識別情報と、当該子鍵識別情報により識別される鍵と当該親鍵識別情報により識別される鍵との間の親子関係を前記情報処理システムにおいて識別するための親子関係識別情報と、を対応付けたテーブルを記憶するとともに、
前記複製元鍵生成モジュールに対して記憶されている前記テーブルと、前記複製先鍵生成モジュールに対して記憶されている前記テーブルと、に基づいて前記対応親鍵を特定するように構成された情報処理システム。

（付記５）
付記４に記載の情報処理システムであって、
前記対応親鍵特定手段は、
前記複製元鍵生成モジュールに対して記憶されている前記テーブルにおいて、前記生成された鍵を識別するための鍵識別情報と同一の子鍵識別情報と対応付けられた親鍵識別情報を特定し、更に、当該特定した親鍵識別情報と同一の子鍵識別情報と対応付けられた親子関係識別情報を特定するように構成され、且つ、
前記複製先鍵生成モジュールに対して記憶されている前記テーブルにおいて、前記特定された親子関係識別情報と対応付けられた子鍵識別情報により識別される鍵を、前記対応親鍵として特定するように構成された情報処理システム。

（付記６）
付記４に記載の情報処理システムであって、
前記対応親鍵特定手段は、
前記複製元鍵生成モジュールに対して記憶されている前記テーブルにおいて、前記生成された鍵を識別するための鍵識別情報と同一の子鍵識別情報と対応付けられた親子関係識別情報を特定するように構成され、且つ、
前記複製先鍵生成モジュールに対して記憶されている前記テーブルにおいて、前記特定された親子関係識別情報と対応付けられた親鍵識別情報により識別される鍵を、前記対応親鍵として特定するように構成された情報処理システム。

（付記７）
付記１乃至付記６のいずれか一項に記載の情報処理システムであって、
中央処理装置と、主記憶装置と、前記鍵生成モジュールと、を備える情報処理装置を複数備え、
前記複数の情報処理装置のうちの、前記複製先鍵生成モジュールを備える情報処理装置である複製先情報処理装置は、当該複数の情報処理装置のうちの、前記複製元鍵生成モジュールを備える情報処理装置である複製元情報処理装置へ、当該複製先鍵生成モジュールが保持する鍵を送信し、
前記複製元情報処理装置は、前記複製先情報処理装置から前記鍵を受信し、前記生成された鍵を、当該受信した鍵を用いて、前記複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先情報処理装置へ送信し、
前記複製先情報処理装置は、前記複製元情報処理装置から前記暗号化された鍵を受信し、当該受信した鍵を前記複製先鍵生成モジュールに保持させるように構成された情報処理システム。

これによれば、鍵生成モジュールが故障した場合、又は、鍵生成モジュールを備える情報処理装置が交換された場合等において、既に暗号化されている情報を復号化することができる。更に、複製元情報処理装置から複製先情報処理装置へ送信される鍵が暗号化されているので、鍵の信頼性が低下することを防止することもできる。

（付記８）
付記１乃至付記７のいずれか一項に記載の情報処理システムであって、
前記鍵生成モジュールは、ＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）である情報処理システム。

（付記９）
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する鍵生成モジュールを複数備える情報処理システムに適用され、
前記複数の鍵生成モジュールのうちの１つである複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を、当該複数の鍵生成モジュールのうちの他の１つである複製先鍵生成モジュールが保持する鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先鍵生成モジュールに保持させる鍵複製処理を実行する、情報処理方法。

（付記１０）
付記９に記載の情報処理方法であって、
前記複数の鍵生成モジュールのうちの、前記複製元鍵生成モジュール以外のすべての鍵生成モジュールのそれぞれに対して、前記鍵複製処理を実行するように構成された情報処理方法。

（付記１１）
付記９又は付記１０に記載の情報処理方法であって、
前記複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を暗号化するために当該複製元鍵生成モジュールが用いる鍵であり且つ当該複製元鍵生成モジュールが保持している鍵である前記親鍵の、当該複製元鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造における位置と、前記複製先鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造において同じ位置に配置され且つ当該複製先鍵生成モジュールが保持している鍵である対応親鍵を特定し、
前記生成された鍵を、前記特定された対応親鍵を用いて、当該複製元鍵生成モジュールに暗号化させる、情報処理方法。

（付記１２）
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製元鍵生成モジュールを備える複製元情報処理装置であって、
前記複製元鍵生成モジュールが鍵を新たに生成した場合、複製先情報処理装置から鍵を受信し、当該生成された鍵を、当該受信した鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先情報処理装置へ送信する複製元情報処理装置。

（付記１３）
付記１２に記載の複製元情報処理装置であって、
前記複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を暗号化するために当該複製元鍵生成モジュールが用いる鍵であり且つ当該複製元鍵生成モジュールが保持している鍵である前記親鍵の、当該複製元鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造における位置と、前記複製先情報処理装置が備える複製先鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造において同じ位置に配置され且つ当該複製先鍵生成モジュールが保持している鍵である対応親鍵を、前記複製先情報処理装置から受信し、当該生成された鍵を、当該受信した対応親鍵を用いて、当該複製元鍵生成モジュールに暗号化させるように構成された複製元情報処理装置。

（付記１４）
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製先鍵生成モジュールを備える複製先情報処理装置であって、
複製元情報処理装置が備える複製元鍵生成モジュールが鍵を新たに生成した場合、当該複製元情報処理装置へ、前記複製先鍵生成モジュールが保持している鍵を送信するとともに、当該複製元情報処理装置から鍵を受信し、当該受信した鍵を当該複製先鍵生成モジュールに保持させる複製先情報処理装置。

（付記１５）
付記１４に記載の複製先情報処理装置であって、
前記複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を暗号化するために当該複製元鍵生成モジュールが用いる鍵であり且つ当該複製元鍵生成モジュールが保持している鍵である前記親鍵の、当該複製元鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造における位置と、前記複製先鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造において同じ位置に配置され且つ当該複製先鍵生成モジュールが保持している鍵である対応親鍵を、前記複製元情報処理装置へ送信するように構成された複製先情報処理装置。

（付記１６）
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製元鍵生成モジュールを備える複製元情報処理装置に、
前記複製元鍵生成モジュールが鍵を新たに生成した場合、複製先情報処理装置から鍵を受信し、当該生成された鍵を、当該受信した鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先情報処理装置へ送信する、機能を実現させるためのプログラム。

（付記１７）
付記１６に記載のプログラムであって、
前記複製元情報処理装置に、
前記複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を暗号化するために当該複製元鍵生成モジュールが用いる鍵であり且つ当該複製元鍵生成モジュールが保持している鍵である前記親鍵の、当該複製元鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造における位置と、前記複製先情報処理装置が備える複製先鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造において同じ位置に配置され且つ当該複製先鍵生成モジュールが保持している鍵である対応親鍵を、前記複製先情報処理装置から受信し、当該生成された鍵を、当該受信した対応親鍵を用いて、当該複製元鍵生成モジュールに暗号化させる、機能を実現させるように構成されたプログラム。

（付記１８）
情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製先鍵生成モジュールを備える複製先情報処理装置に、
複製元情報処理装置が備える複製元鍵生成モジュールが鍵を新たに生成した場合、当該複製元情報処理装置へ、前記複製先鍵生成モジュールが保持している鍵を送信するとともに、当該複製元情報処理装置から鍵を受信し、当該受信した鍵を当該複製先鍵生成モジュールに保持させる、機能を実現させるためのプログラム。

（付記１９）
付記１８に記載のプログラムであって、
前記複製先情報処理装置に、
前記複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を暗号化するために当該複製元鍵生成モジュールが用いる鍵であり且つ当該複製元鍵生成モジュールが保持している鍵である前記親鍵の、当該複製元鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造における位置と、前記複製先鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造において同じ位置に配置され且つ当該複製先鍵生成モジュールが保持している鍵である対応親鍵を、前記複製元情報処理装置へ送信する、機能を実現させるように構成されたプログラム。

本発明は、情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持する鍵生成モジュールを複数備える情報処理システム等に適用可能である。

１ 情報処理システム
１０−１〜１０−ｎ セル（情報処理装置）
１１−１〜１１−ｎ ＣＰＵ
１２−１〜１２−ｎ メモリ
１３−１〜１３−ｎ Ｉ／Ｏ制御部
１４−１〜１４−ｎ ＴＰＭ
１４ａ−１〜１４ａ−ｎ Ｉ／Ｏ部
１４ｂ−１〜１４ｂ−ｎ 暗号化コプロセッサ
１４ｃ−１〜１４ｃ−ｎ ＨＭＡＣエンジン
１４ｄ−１〜１４ｄ−ｎ ＳＨＡ−１エンジン
１４ｅ−１〜１４ｅ−ｎ 不揮発性メモリ
１４ｆ−１〜１４ｆ−ｎ Ｏｐｔ−Ｉｎ部
１４ｇ−１〜１４ｇ−ｎ 鍵生成部
１４ｈ−１〜１４ｈ−ｎ 乱数発生器
１４ｉ−１〜１４ｉ−ｎ 実行エンジン
１４ｊ−１〜１４ｊ−ｎ 揮発性メモリ
１５−１〜１５−ｎ ＢＭＣ
１５ａ−１〜１５ａ−ｎ Ｉ／Ｏ部
１５ｂ−１〜１５ｂ−ｎ プロセッサ
１５ｃ−１〜１５ｃ−ｎ 揮発性メモリ
１５ｄ−１〜１５ｄ−ｎ 通信Ｉ／Ｆ部
１５ｅ−１〜１５ｅ−ｎ 不揮発性メモリ
１６−１〜１６−ｎ バス
２１ セル間リンク
２２ 通信網
１７００ 情報処理システム
１７１１，１７１２，… 鍵生成モジュール
１７２０ 鍵複製処理実行部

Claims (10)

1. 情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する鍵生成モジュールを複数備えるとともに、
   前記複数の鍵生成モジュールのうちの１つである複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を、当該複数の鍵生成モジュールのうちの他の１つである複製先鍵生成モジュールが保持する鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先鍵生成モジュールに保持させる鍵複製処理を実行する鍵複製処理実行手段を備える情報処理システム。
2. 請求項１に記載の情報処理システムであって、
   前記鍵複製処理実行手段は、前記複数の鍵生成モジュールのうちの、前記複製元鍵生成モジュール以外のすべての鍵生成モジュールのそれぞれに対して、前記鍵複製処理を実行するように構成された情報処理システム。
3. 請求項１又は請求項２に記載の情報処理システムであって、
   前記複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を暗号化するために当該複製元鍵生成モジュールが用いる鍵であり且つ当該複製元鍵生成モジュールが保持している鍵である前記親鍵の、当該複製元鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造における位置と、前記複製先鍵生成モジュールが保持している鍵間の親子関係により形成されるツリー構造において同じ位置に配置され且つ当該複製先鍵生成モジュールが保持している鍵である対応親鍵を特定する対応親鍵特定手段を備え、
   前記鍵複製処理実行手段は、前記生成された鍵を、前記特定された対応親鍵を用いて、当該複製元鍵生成モジュールに暗号化させるように構成された情報処理システム。
4. 請求項３に記載の情報処理システムであって、
   前記対応親鍵特定手段は、
   前記複数の鍵生成モジュールのそれぞれに対して、当該鍵生成モジュールが保持している鍵を当該鍵生成モジュールにおいて識別するための子鍵識別情報と、当該鍵を暗号化するために前記親鍵として用いられ且つ当該鍵生成モジュールが保持している鍵を当該鍵生成モジュールにおいて識別するための親鍵識別情報と、当該子鍵識別情報により識別される鍵と当該親鍵識別情報により識別される鍵との間の親子関係を前記情報処理システムにおいて識別するための親子関係識別情報と、を対応付けたテーブルを記憶するとともに、
   前記複製元鍵生成モジュールに対して記憶されている前記テーブルと、前記複製先鍵生成モジュールに対して記憶されている前記テーブルと、に基づいて前記対応親鍵を特定するように構成された情報処理システム。
5. 請求項４に記載の情報処理システムであって、
   前記対応親鍵特定手段は、
   前記複製元鍵生成モジュールに対して記憶されている前記テーブルにおいて、前記生成された鍵を識別するための鍵識別情報と同一の子鍵識別情報と対応付けられた親鍵識別情報を特定し、更に、当該特定した親鍵識別情報と同一の子鍵識別情報と対応付けられた親子関係識別情報を特定するように構成され、且つ、
   前記複製先鍵生成モジュールに対して記憶されている前記テーブルにおいて、前記特定された親子関係識別情報と対応付けられた子鍵識別情報により識別される鍵を、前記対応親鍵として特定するように構成された情報処理システム。
6. 請求項４に記載の情報処理システムであって、
   前記対応親鍵特定手段は、
   前記複製元鍵生成モジュールに対して記憶されている前記テーブルにおいて、前記生成された鍵を識別するための鍵識別情報と同一の子鍵識別情報と対応付けられた親子関係識別情報を特定するように構成され、且つ、
   前記複製先鍵生成モジュールに対して記憶されている前記テーブルにおいて、前記特定された親子関係識別情報と対応付けられた親鍵識別情報により識別される鍵を、前記対応親鍵として特定するように構成された情報処理システム。
7. 請求項１乃至請求項６のいずれか一項に記載の情報処理システムであって、
   中央処理装置と、主記憶装置と、前記鍵生成モジュールと、を備える情報処理装置を複数備え、
   前記複数の情報処理装置のうちの、前記複製先鍵生成モジュールを備える情報処理装置である複製先情報処理装置は、当該複数の情報処理装置のうちの、前記複製元鍵生成モジュールを備える情報処理装置である複製元情報処理装置へ、当該複製先鍵生成モジュールが保持する鍵を送信し、
   前記複製元情報処理装置は、前記複製先情報処理装置から前記鍵を受信し、前記生成された鍵を、当該受信した鍵を用いて、前記複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先情報処理装置へ送信し、
   前記複製先情報処理装置は、前記複製元情報処理装置から前記暗号化された鍵を受信し、当該受信した鍵を前記複製先鍵生成モジュールに保持させるように構成された情報処理システム。
8. 情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する鍵生成モジュールを複数備える情報処理システムに適用され、
   前記複数の鍵生成モジュールのうちの１つである複製元鍵生成モジュールが鍵を新たに生成した場合、当該生成された鍵を、当該複数の鍵生成モジュールのうちの他の１つである複製先鍵生成モジュールが保持する鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先鍵生成モジュールに保持させる鍵複製処理を実行する、情報処理方法。
9. 情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製元鍵生成モジュールを備える複製元情報処理装置であって、
   前記複製元鍵生成モジュールが鍵を新たに生成した場合、複製先情報処理装置から鍵を受信し、当該生成された鍵を、当該受信した鍵を用いて、当該複製元鍵生成モジュールに暗号化させ、当該暗号化された鍵を当該複製先情報処理装置へ送信する複製元情報処理装置。
10. 情報を暗号化するとともに当該暗号化された情報を復号化するための鍵を保持し、且つ、新たに鍵を生成し、当該保持している鍵の１つを親鍵として用いて、当該生成した鍵を暗号化し、当該暗号化された鍵を更に保持する複製先鍵生成モジュールを備える複製先情報処理装置であって、
    複製元情報処理装置が備える複製元鍵生成モジュールが鍵を新たに生成した場合、当該複製元情報処理装置へ、前記複製先鍵生成モジュールが保持している鍵を送信するとともに、当該複製元情報処理装置から鍵を受信し、当該受信した鍵を当該複製先鍵生成モジュールに保持させる複製先情報処理装置。

Images