特開 2025-25571 メモリシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2025025571

(43)【公開日】2025-02-21

(54)【発明の名称】メモリシステム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20250214BHJP

   G06F 21/64 20130101ALI20250214BHJP

   H04L 9/32 20060101ALI20250214BHJP

【ＦＩ】

G06F21/62

G06F21/64

H04L9/32 200B

H04L9/32 200E

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2023130441

(22)【出願日】2023-08-09

(71)【出願人】

【識別番号】318010018

【氏名又は名称】キオクシア株式会社

(74)【代理人】

【識別番号】100120031

【弁理士】

【氏名又は名称】宮嶋 学

(74)【代理人】

【識別番号】100107582

【弁理士】

【氏名又は名称】関根 毅

(74)【代理人】

【識別番号】100118843

【弁理士】

【氏名又は名称】赤岡 明

(72)【発明者】

【氏名】日下 雅博

(57)【要約】

【課題】不正な侵入を検知することができるメモリシステムを提供すること。
【解決手段】本実施形態に係るメモリシステムは、第１記憶部を備える。第２記憶部は、外部から第１記憶部へのアクセスの履歴を示すログ情報を記憶する。第３記憶部は、第１秘密鍵および第１公開鍵を記憶する。演算部は、ログ情報をハッシュ関数に入力することによって、第１ハッシュ値に変換し、第１秘密鍵を用いて第１ハッシュ値に署名し、第１署名を生成する。演算部は、第２記憶部から読み出したログ情報をハッシュ関数に入力することによって第２ハッシュ値に変換し、第1秘密鍵とペアを成す第１公開鍵および第２ハッシュ値を用いて署名検証を行う。
【選択図】図１

【特許請求の範囲】

【請求項1】

第１記憶部と、
外部から前記第１記憶部へのアクセスの履歴を示すログ情報を記憶する第２記憶部と、
第１秘密鍵および第１公開鍵を記憶する第３記憶部と、
前記ログ情報をハッシュ関数に入力することによって、第１ハッシュ値に変換し、第１秘密鍵を用いて前記第１ハッシュ値に署名し、第１署名を生成する演算部とを備え、
前記演算部は、
前記第２記憶部から読み出した前記ログ情報を前記ハッシュ関数に入力することによって第２ハッシュ値に変換し、
前記第1秘密鍵とペアを成す第１公開鍵および前記第２ハッシュ値を用いて署名検証を行う、
メモリシステム。

【請求項2】

前記演算部は、
前記署名検証に成功した場合に、外部から前記第１記憶部へアクセスすることを制限せず、
前記署名検証に失敗した場合に、外部から前記第１記憶部へアクセスすることを制限する、
請求項１に記載のメモリシステム。

【請求項3】

前記演算部は、
前記署名検証に成功した場合に、外部から前記第１記憶部へデータを書き込むことを可能とし、
前記署名検証に失敗した場合に、外部から前記第１記憶部へデータを書き込むことを禁止する、
請求項１に記載のメモリシステム。

【請求項4】

前記演算部は、
複数の前記ログ情報を連続させることによって、１つの第１値を生成し、
生成した前記第１値をハッシュ関数に入力することによって、前記第１ハッシュ値に変換し、
前記第２記憶部から読み出した複数の前記ログ情報を連続させることによって、１つの第２値を生成し、
前記第２値を前記ハッシュ関数に入力することによって前記第２ハッシュ値に変換する、
請求項１に記載のメモリシステム。

【請求項5】

前記演算部は、
前記ログ情報ごとに前記第１署名を生成し、
前記第２記憶部から読み出した前記ログ情報ごとに前記署名検証を行う、
請求項１に記載のメモリシステム。

【請求項6】

第１記憶部と、
外部から前記第１記憶部へのアクセスの履歴を示すログ情報を記憶する第２記憶部と、
第１秘密鍵および第１公開鍵を記憶する第３記憶部と、
前記ログ情報をハッシュ関数に入力することによって第１ハッシュ値に変換し、第１秘密鍵を用いて前記第１ハッシュ値に署名し、第１署名を生成し、複数の前記ログ情報に対応する複数の前記第１署名を足し算して集約署名を生成する演算部とを備え、
前記演算部は、
前記集約署名と楕円曲線上の第１点とをペアリングして第１写像を生成し、
複数の前記ログ情報を前記ハッシュ関数に入力することによって複数の第２ハッシュ値に変換し、
前記第１暗号キーおよび楕円曲線上の第１点を用いて得られる第２暗号キーと前記複数の第２ハッシュ値とをペアリングして第２写像を生成し、
複数の前記ログ情報に対応する複数の前記第２写像を掛け算して第３写像を生成し、
前記第１写像と前記第３写像とを比較する、
メモリシステム。

【請求項7】

前記演算部は、
前記第１写像と前記第３写像とが等しい場合に、前記ログ情報が改ざんされていないことを示す第１信号を送信し、
前記第１写像と前記第３写像とが異なっている場合に、前記ログ情報が改ざんされていることを示す第２信号を送信する、
請求項６に記載のメモリシステム。

【請求項8】

前記第２記憶部は、前記第１記憶部内の設けられている、請求項１に記載のメモリシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本実施形態は、メモリシステムに関する。

【背景技術】

【0002】

外部からメモリシステムへアクセスされる毎にトレースログを記録し、トレースログからメモリシステムへの不正なアクセスを検知する方法が考えられている。しかし、トレースログが改ざんされると、不正なアクセスを検知することができなくなる。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特許第６２６６１８６号

【発明の概要】

【発明が解決しようとする課題】

【0004】

不正なアクセスを検知することができるメモリシステムを提供すること。

【課題を解決するための手段】

【0005】

本実施形態に係るメモリシステムは、第１記憶部を備える。第２記憶部は、外部から第１記憶部へのアクセスの履歴を示すログ情報を記憶する。第３記憶部は、第１秘密鍵および第１公開鍵を記憶する。演算部は、ログ情報をハッシュ関数に入力することによって、第１ハッシュ値に変換し、第１秘密鍵を用いて第１ハッシュ値に署名し、第１署名を生成する。演算部は、第２記憶部から読み出したログ情報をハッシュ関数に入力することによって第２ハッシュ値に変換し、第1秘密鍵とペアを成す第１公開鍵および第２ハッシュ値を用いて署名検証を行う。

【図面の簡単な説明】

【0006】

【図1】第１実施形態に係る情報処理システムの構成例を示すブロック図。

【図2】第１実施形態に係るトレースログの署名処理の一例を示すシーケンス図。

【図3】第１実施形態に係るトレースログの検証処理の一例を示すシーケンス図。

【図4】第２実施形態に係るトレースログの署名処理の一例を示すシーケンス図。

【図5】第２実施形態に係るトレースログの検証処理の一例を示すシーケンス図。

【図6】第３実施形態に係るトレースログの署名処理の一例を示すシーケンス図。

【図7】第３実施形態に係るトレースログの検証処理の一例を示すシーケンス図。

【図8】第４実施形態に係るトレースログの署名処理の一例を示すシーケンス図。

【図9】第４実施形態に係るトレースログの検証処理の一例を示すシーケンス図。

【発明を実施するための形態】

【0007】

以下、図面を参照して本発明に係る実施形態を説明する。明細書と図面において、同一の要素には同一の符号を付す。

【0008】

（第１実施形態）
図１は、第１実施形態に係る情報処理システム１の構成例を示すブロック図である。

【0009】

情報処理システム１は、メモリシステム２と、ホスト３とを備えている。メモリシステム２とホスト３は、互いに通信可能に接続されている。

【0010】

メモリシステム２は、記憶装置である。メモリシステム２は、例えば、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）やＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。メモリシステム２は、単一の半導体チップで構成される。あるいは、メモリシステム２は、複数の半導体チップを組み合わせたモジュールで構成される。

【0011】

ホスト３は、メモリシステム２の外部の情報処理装置である。ホスト３は、例えば、サーバまたはＰＣ（パーソナルコンピュータ）である。ホスト３は、メモリシステム２に接続されている。ホスト３は、データをメモリシステム２から読み出すときに読出しコマンドをメモリシステム２へ送信する。ホスト３は、データをメモリシステム２へ書き込むときに書込みコマンドを送信する。また、ホスト３は、情報処理システム１の起動時にメモリシステム２に起動コマンドを送信する。

【0012】

メモリシステム２は、インタフェース回路２０、メインストレージ２１、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２２、ＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐｒｏｇｒａｍｍａｂｌｅ）メモリ２３、バス２４およびシステム管理領域２５を備えている。

【0013】

インタフェース回路２０は、物理インタフェースである。インタフェース回路２０は、外部からデータを受信する。また、インタフェース回路２０は、データを外部へ送信する。

【0014】

メインストレージ２１は、不揮発性のメモリである。メインストレージ２１は、例えば、ＮＡＮＤ型フラッシュメモリである。メインストレージ２１は、インタフェース回路２０で受信したデータを記憶する。メインストレージ２１内には、システム管理領域２５が設けられている。システム管理領域２５は、トレースログ、ハッシュ関数およびＫＤＦ（Key Derive Function）を記憶する領域である。システム管理領域２５は、トレースログ、ハッシュ関数およびＫＤＦを記憶する。ハッシュ関数は、トレースログをハッシュ化してハッシュ値に変換する関数である。尚、システム管理領域２５は、メインストレージ２１内の一部として設けられていてもよく、メインストレージ２１とは別に設けられた不揮発性記憶装置（図示せず）としてバス２４に接続されていてもよい。

【0015】

ＣＰＵ２２は、演算処理装置である。ＣＰＵ２２は、トレースログをハッシュ関数に入力することによって、トレースログをハッシュ値に変換する。ＣＰＵ２２は、変換したハッシュ値に対し、ＯＴＰメモリ２３に記憶された暗号キーの秘密鍵を使って署名する。暗号キーの秘密鍵は、ＯＴＰメモリ２３に保存した値か、あるいは、ＯＴＰメモリ２３に保存した値をＫＤＦに入力して得られた値である。また、ＣＰＵ２２は、情報処理システム１の起動時に、生成された署名を暗号キーの公開鍵で検証する。トレースログは、ホスト３からメインストレージ２１へのアクセスの履歴を示すログ情報である。トレースログは、例えば、ホスト３から受信したコマンドおよびホスト３からアクセスされた時刻を含む情報である。署名は、例えば、ＲＳＡ（Ｒｉｖｅｓｔ－Ｓｈａｍｉｒ－Ａｄｌｅｍａｎ）方式またはＥＣＤＳＡ（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）方式の電子署名である。

【0016】

ＯＴＰメモリ２３は、１度だけ書き込んだ後、書き換え不能なメモリである。ＯＴＰメモリ２３は、例えば、フューズ等のＲＯＭ（Read Only Memory）である。ＯＴＰメモリ２３は、暗号キーを記憶する。

【0017】

暗号キーは、ハッシュ値を暗号化して署名に変換する。

【0018】

バス２４は、インタフェース回路２０、メインストレージ２１、ＣＰＵ２２およびＯＴＰメモリ２３を互いに通信可能に接続する配線である。

【0019】

図２は、第１実施形態に係るトレースログの署名処理の一例を示すシーケンス図である。

【0020】

ホスト３がメモリシステム２へデータを書き込む場合（［書込み］）、ホスト３は、書込みコマンドおよびデータをメモリシステム２へ送信する（Ｓ１００）。

【0021】

メモリシステム２のＣＰＵ２２は、受信した書込みコマンドに基づいて、メインストレージ２１に、受信したデータを記憶させる（Ｓ１０２）。

【0022】

ホスト３がメモリシステム２からデータを読み出す場合（［読出し］）、ホスト３は、読出しコマンドをメモリシステム２へ送信する（Ｓ１０４）。

【0023】

メモリシステム２のＣＰＵ２２は、受信した読出しコマンドに基づいて、メインストレージ２１からデータを読み出す（Ｓ１０５）。

【0024】

メモリシステム２のＣＰＵ２２は、読み出したデータをホスト３へ送信する（Ｓ１０６）。

【0025】

メモリシステム２のＣＰＵ２２は、受信した書込みコマンドおよび読出しコマンドについて、トレースログｍｉ（ｉは正整数）を生成する（Ｓ１０８）。

【0026】

ＣＰＵ２２は、生成したトレースログｍｉをシステム管理領域２５に記憶させる（Ｓ１１０）。

【0027】

ＣＰＵ２２は、システム管理領域２５に記憶されている複数のトレースログｍ０～ｍｉを読み出させる（Ｓ１１２）。複数のトレースログｍ０～ｍｉは、例えば、メインストレージ２１に対する過去のアクセス履歴である。

【0028】

ＣＰＵ２２は、読み出した複数のトレースログｍ０～ｍｉを連続させることによって、１つの数値（第１値）を生成する（Ｓ１１３）。ＣＰＵ２２は、生成した第１値を第１ハッシュ関数に入力することによって、第１値を第１ハッシュ値Ｈ１（ｍ０：ｍｉ）に変換する（Ｓ１１４）。

【0029】

ＣＰＵ２２は、ＯＴＰメモリ２３からの第１秘密鍵を用いて、第１ハッシュ値Ｈ１（ｍ０：ｍｉ）に署名し、第１署名σ１（ｍ０：ｍｉ）を生成する（Ｓ１１６）。ＣＰＵ２２は、第１署名σ１（ｍ０：ｍｉ）をシステム管理領域２５に記憶させ（Ｓ１１８）、図２の一連の処理を終了する。尚、第１暗号キーは、ペアを成す第１秘密鍵と第１公開鍵とを含む。第１秘密鍵は、署名を生成するときに使用される鍵である。第１公開鍵は、第１秘密鍵で署名され生成された署名を検証するときに使用される鍵である。

【0030】

図３は、第１実施形態に係るトレースログの検証処理の一例を示すシーケンス図である。

【0031】

情報処理システム１の起動時のブート処理において、ホスト３が起動コマンドをメモリシステム２へ送信する（Ｓ１２０）。

【0032】

メモリシステム２のＣＰＵ２２は、起動コマンドを受信すると、システム管理領域２５に記憶されている複数のトレースログｍ０～ｍｉを読み出す（Ｓ１２２）。

【0033】

ＣＰＵ２２は、読み出した複数のトレースログｍ０～ｍｉを連続させることによって、１つの数値（第２値）を生成する（Ｓ１２３）。

【0034】

ＣＰＵ２２は、生成した第２値を第１ハッシュ関数に入力することによって、第２値を第２ハッシュ値Ｈ２（ｍ０：ｍｉ）に変換する（Ｓ１２４）。

【0035】

ＣＰＵ２２は、第１署名σ1（ｍ０：ｍｉ）をシステム管理領域２５から読出し（Ｓ１２５）、第２ハッシュ値Ｈ２（ｍ０：ｍｉ）および第１公開鍵を使って署名検証を行う（Ｓ１２６）。

【0036】

署名検証に成功した場合（Ｓ１３０）、ＣＰＵ２２は、トレースログｍ０～ｍｉが改ざんされていないことを示す有効通知をホスト３へ送信し（Ｓ１３２）、図３の一連の処理を終了する。署名検証に成功した場合、ＣＰＵ２２は、外部からメインストレージ２１へアクセスすることを制限しない。つまり、署名検証に成功した場合、ＣＰＵ２２は、外部からメインストレージ２１へデータを書き込むことを可能とする。

【0037】

署名検証に失敗した場合（Ｓ１３４）、ＣＰＵ２２は、トレースログｍ０～ｍｉが改ざんされていることを示す無効通知をホスト３へ送信し（Ｓ１３６）、図３の一連の処理を終了する。署名検証に失敗した場合、ＣＰＵ２２は、外部からメインストレージ２１へアクセスすることを制限する。つまり、署名検証に失敗した場合、ＣＰＵ２２は、外部からメインストレージ２１へデータを書き込むことを禁止する。

【0038】

第１実施形態によれば、トレースログが改ざんされているか否を検知することができる。第１実施形態によれば、トレースログが改ざんされている場合に、外部へトレースログが無効であることを通知することができる。また、第１実施形態によれば、メインストレージに記憶されたデータを保護することができる。

【0039】

（第２実施形態）
第２実施形態に係る情報処理システム１の構成は、図１に示す構成と同じである。

【0040】

図４は、第２実施形態に係るトレースログの署名処理の一例を示すシーケンス図である。

【0041】

図４のＳ１００～Ｓ１１０の処理は、図２のＳ１００～Ｓ１１０の処理と同じである。

【0042】

ＣＰＵ２２は、トレースログｍｉを第１ハッシュ関数に入力することによって、トレースログｍｉごとに、トレースログｍｉを第１ハッシュ値Ｈ１（ｍｉ）に変換する（Ｓ２１４）。ＣＰＵ２２は、トレースログｍｉごとに、第１秘密鍵を用いて、第１ハッシュ値Ｈ１（ｍｉ）に署名し、第１署名σ１（ｍｉ）を生成する（Ｓ２１６）。ＣＰＵ２２は、暗号化した第１署名σ１（ｍｉ）をシステム管理領域２５に記憶させ（Ｓ２１８）、図４の一連の処理を終了する。

【0043】

尚、ＣＰＵ２２は、トレースログが生成されるごとに第１署名をシステム管理領域２５へ記憶させる。従って、システム管理領域２５は、トレースログごとに第１署名を記憶する。即ち、システム管理領域２５は、トレースログｍ０～ｍｉのそれぞれに対応する第１署名σ１（ｍ０）～σ１（ｍｉ）を記憶する。

【0044】

図５は、第２実施形態に係るトレースログの検証処理の一例を示すシーケンス図である。

【0045】

図５のＳ１２０およびＳ１２２の処理は、図３のＳ１２０およびＳ１２２の処理と同じである。

【0046】

ＣＰＵ２２は、読み出したトレースログｍ０～ｍｉのそれぞれを第１ハッシュ関数に入力することによって、トレースログｍ０～ｍｉのそれぞれを複数の第２ハッシュ値Ｈ２（ｍ０）～Ｈ２（ｍｉ）に変換する（Ｓ２２４）。ＣＰＵ２２は、第１署名σ１（ｍ０）～σ１（ｍｉ）を読出し（Ｓ２２５）、第２ハッシュ値Ｈ２（ｍ０）～Ｈ２（ｍｉ）および第１公開鍵を使ってそれぞれの署名検証を行う（Ｓ２２６）。即ち、ＣＰＵ２２は、トレースログごとに署名検証を実行する。

【0047】

署名検証に成功した場合（Ｓ２３０）、ＣＰＵ２２は、トレースログｍ０～ｍｉが改ざんされていないことを示す有効通知をホスト３へ送信し（Ｓ２３２）、図５の一連の処理を終了する。

【0048】

署名検証に失敗した場合（Ｓ２３４）、ＣＰＵ２２は、トレースログｍ０～ｍｉが改ざんされていることを示す無効通知をホスト３へ送信する（Ｓ２３６）。

【0049】

ＣＰＵ２２は、トレースログｍ０～ｍｉのうち署名検証に失敗した、即ち、改ざんされたトレースログｍｊ（ｊ＝０～ｉ）を特定する（Ｓ２４０）。

【0050】

ＣＰＵ２４０は、トレースログｍｊをシステム管理領域２５に記憶させ（Ｓ２４２）、図５の一連の処理を終了する。

【0051】

第２実施形態によれば、トレースログが改ざんされている場合に、外部へトレースログが無効であることを通知することができる。また、第２実施形態によれば、メインストレージに格納されているデータを保護することができる。

【0052】

また、第２実施形態によれば、システム管理領域２５に記憶されたデータを参照することによって、改ざんされたトレースログを知ることができる。

【0053】

（第３実施形態）
第３実施形態に係る情報処理システム１の構成は、図１に示す構成と同じである。

【0054】

図６は、第３実施形態に係るトレースログの署名処理の一例を示すシーケンス図である。第３実施形態は、第１実施形態および第２実施形態を組み合わせた実施形態である。

【0055】

図６のＳ１００～Ｓ１１０の処理は、図２のＳ１００～Ｓ１１０の処理と同じである。

【0056】

ＣＰＵ２２は、システム管理領域２５に記憶されている複数のトレースログｍ０～ｍｉを読み出す（Ｓ１１２）。

【0057】

ＣＰＵ２２は、読み出した複数のトレースログｍ０～ｍｉを連続させることによって、１つの数値（第１値）を生成する（Ｓ１１３）。ＣＰＵ２２は、生成した第１値を第１ハッシュ関数に入力することによって、第１値を第１ハッシュ値Ｈ１（ｍ０：ｍｉ）に変換する（Ｓ１１４）。

【0058】

ＣＰＵ２２は、第１秘密鍵を用いて、第１ハッシュ値Ｈ１（ｍ０：ｍｉ）に署名し、第１署名σ１（ｍ０：ｍｉ）を生成する（Ｓ１１６）。

【0059】

ＣＰＵ２２は、第１署名σ１（ｍ０：ｍｉ）をシステム管理領域２５に記憶させる（Ｓ１１８）。

【0060】

また、ＣＰＵ２２は、読み出したトレースログｍｉを第１ハッシュ関数に入力することによって、トレースログｍｉを第１ハッシュ値Ｈ１（ｍｉ）に変換する（Ｓ２１４）。

【0061】

ＣＰＵ２２は、第１秘密鍵を用いて、第１ハッシュ値Ｈ１（ｍｉ）に署名し、第１署名σ１（ｍｉ）を生成する（Ｓ２１６）。

【0062】

ＣＰＵ２２は、第１署名σ１（ｍｉ）をシステム管理領域２５に記憶させ（Ｓ２１８）、図６の一連の処理を終了する。

【0063】

尚、ＣＰＵ２２は、トレースログが生成されるごとに第1署名をシステム管理領域２５へ記憶させる。従って、システム管理領域２５は、第１署名σ１（ｍ０：ｍｉ）、および、トレースログｍ０～ｍｉのそれぞれに対応する第１署名σ１（ｍ０）～σ１（ｍｉ）を記憶する。

【0064】

図７は、第３実施形態に係るトレースログの検証処理の一例を示すシーケンス図である。

【0065】

図７のＳ１２０～Ｓ１３６の処理は、図３のＳ１２０～Ｓ１３６の処理と同じである。

【0066】

Ｓ１３４において、署名検証に失敗した場合、ＣＰＵ２２は、Ｓ２２４～Ｓ２２６、Ｓ２４０およびＳ２４２の処理をさらに実行して、図７の一連の処理が終了する。

【0067】

第３実施形態によれば第１署名σ１（ｍ０）～σ１（ｍｉ）と第２署名σ２（ｍ０）～σ２（ｍｉ）とをそれぞれ比較するよりも短時間でトレースログｍ０～ｍｉの改ざんを検知することができる。

【0068】

第３実施形態によれば、ＣＰＵ２２は、第１署名σ１（ｍｊ）に対応する改ざんされたトレースログｍｊを特定することができる。

【0069】

（第４実施形態）
第４実施形態に係る情報処理システム１の構成は、図１に示す構成と同じである。

【0070】

図８は、第４実施形態に係るトレースログの署名処理の一例を示すシーケンス図である。

【0071】

図８のＳ１００～Ｓ１１０およびＳ２１４～Ｓ２１８の処理は、図４のＳ１００～Ｓ１１０およびＳ２１４～Ｓ２１８の処理と同じである。

【0072】

ＣＰＵ２２は、システム管理領域２５から第１署名σ１（ｍ０）～σ１（ｍｉ）を読み出す（Ｓ４００）。

【0073】

ＣＰＵ２２は、例えば、ＢＧＬＳ（Dan Boneh, Craig Gentry, Ben Lynn, Hovav Shacham）署名を用いて第１署名σ１（ｍ０）～σ１（ｍｉ）を足し算することによって、集約署名σａを生成する（Ｓ４０２）。

【0074】

ＣＰＵ２２は、集約署名σａをシステム管理領域２５へ記憶させて（Ｓ４０４）、図８の一連の処理が終了する。

【0075】

図９は、第４実施形態に係るトレースログの検証処理の一例を示すシーケンス図である。

【0076】

図９のＳ１２０の処理は、図３のＳ１２０の処理と同じである。

【0077】

ＣＰＵ２２は、集約署名σａをシステム管理領域２５から読み出す（Ｓ４０６）。

【0078】

ＣＰＵ２２は、集約署名σａと楕円曲線上の点Ｑとをペアリングすることによって、第１写像ｅ（σａ，Ｑ）を生成する（Ｓ４０８）。

【0079】

ＣＰＵ２２は、生成した第１写像ｅ（σａ，Ｑ）をシステム管理領域２５に記憶させる（Ｓ４１０）。

【0080】

図９のＳ１２２およびＳ２２４の処理は、図５のＳ１２２およびＳ２２４の処理と同じである。

【0081】

ＣＰＵ２２は、第１暗号キーｓ０～ｓｉのそれぞれと点Ｑとを掛け算することによって、第２暗号キーｓ０Ｑ～ｓｉＱを生成する（Ｓ４１２）。第２暗号キーは、第１暗号キーｓ０～ｓｉのそれぞれの第１秘密鍵および第１公開鍵のペアと点Ｑとを掛け算した結果である。

【0082】

ＣＰＵ２２は、第２ハッシュ値Ｈ２（ｍ０）～Ｈ２（ｍｉ）と第２暗号キーｓ０Ｑ～ｓｉＱとをそれぞれペアリングすることによって、複数の第２写像ｅ（Ｈ２（ｍ０），ｓ０Ｑ）～ｅ（Ｈ２（ｍｉ），ｓｉＱ）を生成する（Ｓ４１４）。

【0083】

ＣＰＵ２２は、生成した複数の第２写像ｅ（Ｈ２（ｍ０），ｓ０Ｑ）～ｅ（Ｈ２（ｍｉ），ｓｉＱ）を掛け算することによって、第３写像Πｅ（Ｈ（ｍ），ｓＱ）を生成する（Ｓ４１６）。

【0084】

ＣＰＵ２２は、システム管理領域２５から第１写像ｅ（σａ，Ｑ）を読み出す（Ｓ４１８）。ＣＰＵ２２は、読み出した第１写像ｅ（σａ，Ｑ）と生成した第３写像Πｅ（Ｈ（ｍ），ｓＱ）とを比較する（Ｓ４２０）。

【0085】

第１写像ｅ（σａ，Ｑ）と第３写像Πｅ（Ｈ（ｍ），ｓＱ）とが一致する場合（［一致］）、ＣＰＵ２２は、Ｓ２３２を実行し、図９の一連の処理を終了する。

【0086】

第１写像ｅ（σａ，Ｑ）と第３写像Πｅ（Ｈ（ｍ），ｓＱ）とが一致しない場合（［不一致］）、ＣＰＵ２２は、Ｓ２３６を実行する。

【0087】

Ｓ２３６を実行すると、ＣＰＵ２２は、第１秘密鍵を用いて、Ｓ２２４で生成された第２ハッシュ値Ｈ２（ｍ０）～Ｈ２（ｍｉ）に署名し、第２署名σ２（ｍ０）～σ２（ｍｉ）を生成する（Ｓ２５０）。

【0088】

ＣＰＵ２２は、第１署名σ１（ｍ０）～σ１（ｍｉ）をシステム管理領域２５から読み出す（Ｓ２５２）。

【0089】

ＣＰＵ２２は、読み出した第１署名σ１（ｍ０）～σ１（ｍｉ）と第２署名σ２（ｍ０）～σ２（ｍｉ）とをそれぞれ比較し、トレースログｍ０～ｍｉのうち、第１署名と第２署名とが一致しないトレースログｍｊを特定する（Ｓ２５４）。

【0090】

ＣＰＵ２４０は、特定したトレースログｍｊをシステム管理領域２５に記憶させ（Ｓ２５６）、図９の一連の処理を終了する。

【0091】

第４実施形態によれば、第１署名σ１（ｍｊ）に対応する改ざんされたトレースログｍｊを特定することができる。

【0092】

実施形態は例示であり、発明の範囲はそれらに限定されない。

【符号の説明】

【0093】

１ 情報処理システム
２ メモリシステム
３ ホスト
２０ インタフェース回路
２１ メインストレージ
２２ ＣＰＵ
２３ ＯＴＰメモリ
２４ バス
２５ システム管理領域

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】