CN100444129C - 对存储介质上的已存储信息图案的擦除 - Google Patents

Abstract

提出了一种在文档数据处理设备中擦除可重写数据载体上的存储信息图案的方法，所述可重写数据载体可通过所述设备的数据处理装置进行存取，所述文档数据处理装置具有用于处理文档数据的初级进程，其中数据可存储在所述数据载体上，和用于通过借助一粉碎图案重写所述载体的一选定存储区域而擦除存储的数据的次级进程。根据所提议的方法，所述初级和次级进程被异步运行，即在后台运行所述次级进程，以便不会妨碍所述初级进程。在一特定实施例中，在一个文件不再被使用之后直接产生初始粉碎操作，而附加的粉碎操作在后台进行。

Description

对存储介质上的已存储信息图案的擦除

技术领域

本发明涉及一种在文档数据处理设备中擦除可重写数据载体上的已存储信息图案的方法，所述可重写数据载体可通过所述设备的数据处理装置进行存取，所述文档数据处理设备具有：

-用于处理文档数据的初级进程，其中可将数据存储在所述数据载体上，和

-用于通过借助粉碎图案(shredding pattern)重写所述载体的选定存储区域而擦除已存储的数据的次级进程。

背景技术

现有技术已经意识到磁硬盘和其它或多或少类似的存储装置越来越易于受到攻击，存储在其上的保密数据遭到窃取。第一种类型的攻击是电脑黑客借助数据网络“进入”所述装置。这种干扰通过相对简单的操作就能抵御，例如在将数据存储在内部硬盘之前对它们进行加密、在载体的文件管理中删除特定数据文件的条目，或优选地重写数据。

更加严重类型的攻击，可能来自与印刷装置或其它装置相关的数字存取控制器，发生在从个人计算机中物理地取出该盘之后。删除载体的文件管理将于事无补。

重新格式化载体或通过所谓的粉碎图案进行重写提供了改良的安全性，已存在一种技术用于检测已经被重写的位图案。因此，当删除某一数据确实很重要时，仅仅执行“数据粉碎”过程是不够的。

通过涉及多种不同的位图案的多次粉碎执行过程(也被称作多粉碎图案)来数据重写，这通常被看作是有效的策略，其中多粉碎图案的构造适应于安全性的期望程度。

所述数据载体可基于各种不同的写入/存储技术，例如磁技术、磁光技术、诸如可重写CD中使用的光技术、以及其它技术。通常，几何存储结构是以一类轨迹为基础的，所述轨迹可以是柱形、螺旋形、直线或其它形式。存储物理过程取决于存储基片的某种剩磁特性。

特别的，Bunker等人提出的美国公开专利申请2002/0181134披露了用户可选择的粉碎图案的应用。本发明者已经意识到现有技术可对非法侵害提供足够的保护，但整个粉碎过程所需的较长时间通常非常需要例如打印的正常数据处理被停顿一个时间间隔，因此这将严重降低系统性能。

此外，关于粉碎操作和其它相关项目的前面讨论在P.Gutmann的《Secure Deletion of Data from Magnetic and Solid-StateMemory》(Sixth USENIX Security Symposium  Proceedings，SanJosé，CA USA 1996年7月22-25日，可在网址http://www.usenix.org/publications/library/proceedings/sec96/gutmann.html(可下载))中给出。

发明内容

因此，本发明的目的是使共享数据存储装置既能够进行适当的数据处理又能够进行粉碎操作，这是通过在前者的操作时在后台至少部分地施行后者的操作来实现的。

因此，根据本发明的各个方面，本发明的特征在于异步地运行所述初级和次级进程，也就是与任何待解决的次级进程的完成无关地开始初级进程。

本发明还涉及一种用于实现本发明的方法的装置。此外本发明的有利方面在从属权利要求中列出。

附图说明

此后将参照本发明的优选实施例的公开内容，尤其是参照附图来更加详细的说明本发明的这些和另外的特征、方面和优点，其中：

图1表示根据本发明的系统方框图；

图2表示在没有施加粉碎的情况下的操作视图；

图3表示通过同步粉碎的操作示图；

图4表示通过异步粉碎的操作示图；

图5表示通过混合图案粉碎的操作示图；

图6表示一混合同步粉碎操作的流程图；

图7表示粉碎图案表；

图8表示根据本发明的用于控制数据擦除的用户界面窗口；

图9表示用于粉碎进程管理的用户界面窗口。

具体实施方式

下面，术语“粉碎”将被用于擦除硬盘或其它可重写存储介质上的存储数据图案。

图1表示根据本发明的系统方框图。该图是从一般意义上象征性地组成的，从而各个不同的独立方框将表示操作，而非可鉴别的硬件模块。单元10表示其中实施了本发明的设备(例如打印机)的控制器的相关软件进程。进程10使用在所述设备的内部盘上存储的作业相关文件12。在进程10的过程中，作业相关文件中的一些可能不再需要，并且在本发明的上下文中，这种文件应被有效擦除。为此目的，针对这样的文件发出擦除文件进程，如参考符号14所示的。以重写设备盘上的相关数据存储位置的形式来进行擦除，称作粉碎。在粉碎过程中，用各种位图案对原始数据进行重写，所述各种位图案从全都是零的简单序列到由零和一的复杂图案组成的序列的范围内变化。

通过一组用户定义的或缺省的参数16来控制所述擦除文件进程14。这样的参数例如是：

-同步/异步/组合粉碎

-粉碎图案的数量和选择

-粉碎优先级。

此处所使用的术语将在下面进行解释。

对擦除文件进程14的发出做出反应，按照所述擦除参数16，对该特定的文件启动(由箭头20表示)一粉碎进程18。用于所述粉碎进程的实际位图案在列表22中指定，所述列表对于进程18是可访问的。

在进一步描述粉碎进程的实际操作之前，我们现在将首先参照图2、3、4和5解释此处所使用的几个不同的粉碎技术。该实施例涉及一种打印应用，但经过必要的修正也可以适用于其它文档处理操作，例如扫描和复印。

在打印过程中，一打印文件通过网络被接收并被存储在打印器材或打印机的系统盘中。该文件可在保密数据传输的情况下进行加密，或者它也可以在接收之后直接进行加密。打印文件在一打印队列中等待，直到它们能被处理。当打印机准备处理一项作业时，它从盘上读取所述打印文件，如果需要，对它解密和通过线栅化(rasterizing)对所述的打印文件进行处理，随后打印该线栅化的文件。在标准情形下，所述文件是准备好的，并且在打印器材中不再需要使用。

图2表示在没有应用粉碎的情况下的操作示图。作为例子，打印作业由三个打印页的序列表示，但应该清楚，实际上打印作业可以包括任何数量的页面。如图所示，第一打印作业Job1首先被处理，接着是第二打印作业Job2。

图3表示通过现有技术中所示的所谓“同步”粉碎进行的操作示图。为了简化的目的，采取与图2中相同的作业配置。现在，在执行Job1的末尾，相关的文件被认为是不再使用了。于是，Job1的粉碎被立即施行。随后，进行Job2的执行过程。当然，Job2也应当进行粉碎。粉碎的要求可在期望的安全等级的基础上确定，所述预期的安全等级对于多个作业不是一成不变的。在一典型实施例中，只有通过PIN码保护的文件才被粉碎(将在后面进行说明)。粉碎的信息可以是原始信息，并且最好还包括所述进程中产生的任何中间或临时数据文件、通过更新被表现为过期的数据，通常，这些数据在例如期望的安全等级方面被认为是合适的。一般来说，实际的操作系统将知道去那里找这种中间体，即使正被考虑的应用是基于运行第三方软件进行的。显然，在Job2的处理过程中，可能出现不想要的延迟，因为Job1的中间或同步粉碎是优选的。

与此相反，图4表示通过根据本发明的所谓“异步”粉碎的操作示图。当Job1被完成且相关的文件准备进行粉碎时，则Job1的粉碎过程开始，其前提是在没有存储存取的情况下Job2能够在某一时间段内进行。如果这样的存取是必须的，如根据某些优先标准，则存取优先于粉碎操作。这就给出了关于“将被粉碎”决定的“异步”粉碎。该粉碎过程在某一标准的基础上被自动触发。在中断之后，所述粉碎又能再次进行。在执行Job3的过程中，关于Job2的粉碎操作被同样执行。因此，能够以在时间上分布的方式进行粉碎操作。

在本发明的相关和特别有利的实施例中，如图5所示，以混合的方式进行粉碎：例如最前面一些(最好只有第一个)粉碎操作将是立即的、自动的和同步的，也就是在开始下一项作业之前进行。那么另外的粉碎运行将是异步的。在该实施例中，所述文件可不再由系统进行读取(尽管使用施加给物理盘的复杂分析仍然能够重构所述存储的数据图案)。另外，最消耗时间部分的粉碎操作、多样重写操作在后台已经进行处理，所以将不会妨碍处理随后的作业。

现在，转回图1，关于上述的混合粉碎模式，粉碎进程18首先通过对用于粉碎的文件进行重命名并将指针转移到另一个专用于同步粉碎的存储位置24(由箭头26表示的操作)而从文件管理12中除去用于粉碎的文件。用一个或有限数量的粉碎图案对所述文件的数据位置立即进行重写。

在完成同步扫描之后，所述粉碎进程18返回一个“已完成”消息至所述擦除文件进程14(由箭头32表示)，从而所述擦除文件处理14可以用信号通知所述有关初级进程10：可以继续进行操作，并将指针移到下一个专用于异步粉碎的存储位置28上的(粉碎的)文件(由箭头30表示的操作)。文件的数据位置目前在后台处理中被进一步重写，而不会另外妨碍实际文档数据处理10的初级进程。

在粉碎处理过程中，通过粉碎进程18将所述进程的状态信息传送给用于通知操作者所述系统的安全情形的显示进程36，这将参照图9进一步说明。

作为上述的混合图案的一个替代方案，也可以对不重要的信息进行完全的异步扫描。该模式可通过与图1中所示的进程和结构相同的组成来实现，只不过用于粉碎的文件被直接转移到专用于异步粉碎的存储位置28。这一过程由图1中的阴影线箭头34示出。

异步粉碎的一个特定相关的应用可通过共享的打印机装置进行，因为这样一个打印机可在各种不同的人和人群中共享。在这样一种情况下，安全是最重要的。尤其是，本发明的优选构造将适用于使用邮箱概念的打印机，上述邮箱概念的特征在于：若干个打印机和数字复印机，例如由Océ在市场上出售的那些，其中所有还未打印的文件保存在所述邮箱中，此外打印的文件将保留在那里一段时间，直到它们被主动地(或自动地，在预定的时间间隔，比方说24小时之后)消除。所述邮箱被实现为非易失性存储器，例如硬盘。因此，如果用户从邮箱删除一个文件，则它不但从所述文件管理中删除，而且还被粉碎。另外在该情况下，建议以同步方式(即在删除命令之后立即)执行所述第一粉碎操作。当然，为了最佳的安全性，所有作业文件都应该是以加密的形式存储，并且只有当需要打印数据时才进行解密，同时解密的数据只被保存在易失性存储器中。

另外，本发明可应用在数字复印和扫描环境中。数字复印和数字扫描是众所周知的密集型数据操作。这增加了有效粉碎的需要。

注意在类似图4或5的情形下，Job1的有效粉碎操作可延伸超越Job3的开始处，使得在粉碎操作过程中各种作业能被同时粉碎。这将需要在各种粉碎操作中确定某一优先级，将在下文中对其进行说明。

上面的粉碎过程是从个别文件的层面上开始的，或者反之。另外一种方式是在系统层面上开始：冻结全部操作，并且在文件系统操作的基础上确定删除的文件是否应该被粉碎。该过程将需要一个基于扇区分析的处理。通常，操作系统将足以知道扇区层面上的组成。

图6表示混合同步(异步)粉碎操作的流程图。在框40中，操作开始，并且声明必需的硬件和软件装置。该操作将例如在加电的情况下进行。在框42，所述系统确定特定的文件或存储区域不再需要。有关的等待环路的组成未被示出。在框43，系统确定是否需要粉碎。如果不必须，则所述系统进入到方框52。如果必须要粉碎，则所述系统进入到框44，以确定是否需要同步粉碎。如果不必须，则所述系统进入到框48。如果需要同步粉碎，则所述系统进入到框46，用于执行同步粉碎。于是，在框48，异步粉碎被执行。

当在正常数据处理操作中间出现间隔时触发所述异步粉碎的启动。仅通过其开始或通过发现一特定的间隔被预测具有至少一确定的长度就能删除这种间隔。在后者的情况下，对于通常的数据处理，粉碎操作在该较低层面上可能具有暂时的优先顺序。在确定量的粉碎操作之后，所述系统可向所述标准数据处理询问有关它的存储存取需求。然而，这种后台处理是特定操作系统的基本机构，且精确的实现过程并不是本发明的组成部分。

如果正在一个以上的文件上进行粉碎操作，则某一优先级构成被维持。因此第一个解决方案是先来先处理的基本原理，使得文件按照它们被发现可粉碎的顺序进行处理，一般是远离粉碎操作的同步部分。第二个方法是通过用粉碎图案的等级数量(参看图7)确定优先级。另一个处理方案是通过将一优先级分配给所有与一特定文件相关的异步粉碎操作。在打印机应用中，打印文件将优先于存入文件。

现在，只要粉碎必须进行，则框48和50(“准备好？”)的环路就会循环出现。如果粉碎操作准备好了，则系统进入到框52，其中所考虑的存储区域被释放用于新系统应用。于是，所述系统返回到框42。

为了简化的目的，粉碎和其它数据处理操作之间的相互作用未详细给出，但各种优先控制的操作可被执行。这样的细节被认为是本领域技术人员的常识。

此外，在允许开始粉碎处理之前，可能在完成文档数据处理作业之后立即引入短暂延迟。否则，当一项新的文档数据处理作业开始时，虽然它优先于粉碎处理，但如果已经有一项粉碎处理声明了所述盘，则在优先作业对它在盘上所需的存储位置进行存取前需要花费一段时间。

粉碎，更具体地说在同步初始粉碎操作之后的进一步的粉碎也可以脱机的方式进行，例如在关闭系统前，或在晚上，或者在作为批量处理的闲适时间过程中。实际上，在打印处理中所使用的存储部分在该情况下在初始粉碎操作之后可被再次使用，并且只有它们的使用将被记录。那么，在晚上进行批量处理过程中，日间在打印处理中所使用的已经被记录的所有文件通过粉碎被适当地擦除，最终将保持一个“干净”的系统。

数据粉碎的效力等级取决于所使用的粉碎图案的数量和内容。每个附加的粉碎操作都使存储介质上的原始位图案的恢复变得更加困难，当所使用的粉碎图案在每个操作过程中分别不同的时候，所述恢复将更加困难。因此在本发明的范围内将为用户提供可设定的安全等级。

在第一实施例中，在用户的PC上所示出的打印机驱动器窗口70包含以滑动开关形式的安全等级调节器，一系列的无线电按钮或任何其他适当的装置。所述打印机驱动器窗口具有一系列的制表键，其它们中的一个(69)被指定为“擦除数据”，其中通过单击适当的按钮能够选择一安全等级，如图8a所示。每个安全等级涉及一种粉碎过程与位图案的预定组合，如下面参照图7所进一步说明的。

图8a中的选项列表包括：

-“最高”，其中以同步方式使用了最大数量的粉碎图案(参照图7)，

-“高”，其中在初始同步粉碎操作之后使用例如15个粉碎图案进行选定的异步处理，

-“中等”，其中只使用了具有有限数量的粉碎图案的异步粉碎处理，

-“自定义”，其中用户可进行他自己的数量选择和粉碎操作选择，包括将它们应用作为同步或异步操作。当然其它的选项也在本发明的范围内。

在打印机驱动器的基本屏幕上，如图8b所示，有用于将特定的打印作业定义为安全作业的记号框71。当用户如此做的时候，将向用户呈现(未示出)一个强制对话框以输入PIN码，询问他何时停止打印作业。其它可能形式的安全作业包含其它适于识别或另外授权一个用户的安全记号，例如指纹，虹膜扫描或密码卡。将一项打印作业定义为安全作业，将在完成作业之后通过在打印机中对打印数据进行粉碎而自动强制擦除。

在一可选择实施例中，使用类似于在图8a中示出的选择窗口，安全等级的选择被预定用于超级用户(还已知为“密钥操作员”)或系统管理员，其可为所有用户强加一安全等级。

图7表示为由Gutmann在他的于上面的介绍中提到的文章中所提出的粉碎图案表，其可用在本发明中。左手列表示各个数据途径或粉碎操作。第二列表示各种粉碎图案。它们中的某些是随机的，如通过未示出的随机图案产生器产生的。其它的粉碎图案是由多个基本图案的序列产生的，所述多个基本图案是通过以十六进制“速记”符号(“0x”预示着十六进制)适当的重复在所述列中示出的位图案产生的。例如，第七行将产生位图案0x92、0x49、0x24或“100100100100100100100100”的重复。如图所示，最多需要35个粉碎操作。通过执行如图所示的具有各种不同图案的35个连续操作可获得最佳情况。为了在可能的性能降低和所需的安全性之间达到平衡，擦除图案的数量可在0和35之间进行选择。在35个操作图案的情况下，所述方案是如图所示那样使用的。当应用了较少的操作时，将产生一预定的选择。

图9表示当在操作屏(未显示)上通过密钥进行激励时能够投影在本地设备显示器上的信息窗口100。它表示所述设备的内部硬盘的实际安全相关情形，如以字节表示的条目：“使用中的数据”(不包括与文档数据不相关的系统文件)、“擦除处理中的数据”、和空闲(“干净”)的盘空间。“油位表(fuel gauge)”型显示项110被加入以给出所述情形的快速印象。在一可选择实施例中示出，只有“使用中的数据”条目才包括被调度用于粉碎但还未被完全擦除的数据。当然还可以示出以文件数量指定的信息。通过在设备显示器上进行这种表示，用户能够立即看到应该被除去的数据是否确实不存在了。产生所述显示的必要信息能够容易地通过驻留在所述设备控制器中的操作系统提供，并且能够定期地刷新，以给出动态情形显示。所述显示窗也能够表示在所述系统管理员的工作站上。

本发明可有利地用于以非常类似的方式进行扫描和复印。在扫描中，在专用扫描仪设备上或在多功能设备上，用户必须首先输入他的名字或其它识别码，然后就可以扫描文档了。扫描数据连同用户的标识符一起存储在所述设备的系统盘上。然后用户可以返回他的工作站，连接扫描仪并提取他的扫描文件。根据本发明，可以从所述盘除去扫描数据，通过粉碎来擦除所使用的盘扇区。

在复印操作中，扫描仪扫描原始文档，将扫描数据存储在复印机的内部盘上，然后所述打印机打印来自所述盘的副本。所使用的盘空间的粉碎可自动进行，或者在设置复印作业参数时根据操作者的设置来进行。

在上面提到的所有情况中，根据本发明的、被整体或至少部分地实现为后台处理的粉碎过程将只会轻微的干扰新的打印、复印或扫描作业。

现在，在上面已经参照其优选实施例对本发明进行了披露。本领域技术人员将会意识到在不超出所附权利要求的范围的情况下，可对本发明产生多个修改和变化。因此，所述实施例应被看作是示意性的，并且这些实施例不应构成限制，除非已经在权利要求中进行了指出。

Claims (20)

1.一种在文档数据处理设备中擦除可重写数据载体上的已存储信息图案的方法，所述可重写数据载体可由所述设备的数据处理装置进行存取，

所述文档数据处理设备具有

-用于处理文档数据的初级进程，其中数据可存储在所述数据载体上，和

-用于通过借助粉碎图案重写所述载体的选定存储区域而擦除存储的数据的次级进程，

所述方法的特征在于：

异步运行所述初级和次级进程，也就是与任何待解决的次级进程的完成无关地开始初级进程；

其中任意次级进程的至少一部分与初级进程相比被分配一个较低的优先级；并且

其中关于在第一初级进程中所使用的存储区域，次级进程的初始粉碎操作被同步地施行，即，通过在所述第一初级进程之后阻止启动下一个初级进程直到完成所述初始粉碎操作。

2.如权利要求1所述的方法，其特征在于：

安排初级进程和任何次级进程，使得至少异步运行任意次级进程的结束阶段，使之不与初级进程发生干扰。

3.如权利要求1所述的方法，其中在次级进程中进行的所述重写是通过利用粉碎图案的粉碎操作序列完成的，所述每个粉碎图案至少基本上覆盖整个所述选定的存储区域。

4.如权利要求1所述的方法，其中在完成初级进程之后，所述存储的数据被直接从系统管理表中除去，并且用于擦除所述存储的数据的次级进程被异步运行。

5.如权利要求1所述的方法，其中关于所述选定的存储区域，所述重写是基于期望的安全等级来施行的。

6.如权利要求5所述的方法，其中对于安全作业自动施行所述重写，所述安全作业为只有在输入安全记号之后才能在打印机位置进行打印的打印作业。

7.如权利要求1所述的方法，其中所述数据处理设备是打印机。

8.如权利要求1所述的方法，其中所述数据处理设备是数字复印机。

9.如权利要求1所述的方法，其中所述数据处理设备是扫描仪。

10.如权利要求1所述的方法，其中当对于一个存储区域存在不被使用的信息时，通过一粉碎图案将所述可重写数据载体上的所述存储区域自动指定用于所述重写。

11.如权利要求1所述的方法，其中基于对预定的充分尺寸的存储区域进行的预定的充分重写行为，终止所述重写。

12.如权利要求1所述的方法，其中通过各种可删除的文件中的各自的优先等级来安排所述重写，这种优先等级是通过先来先处理的原理以及特定文件的身份或性质中的任何一项来控制的。

13.如权利要求3所述的方法，其中通过各种可删除的文件之间的各自的优先等级来安排所述重写，这种优先等级是通过对可应用于特定文件的多个粉碎操作中的特定粉碎操作进行定级来控制的。

14.如权利要求13所述的方法，其中在对特定文件开始所述粉碎之前，在一初级进程之后引入短暂的延迟。

15.如权利要求1所述的方法，进一步包括显示该设备中的次级进程的整体进展，以给出内部数据安全情形的表示。

16.一种文档处理设备，包括：

数据处理装置，和

可由所述数据处理装置存取的可重写数据载体，

所述数据处理装置运行

-用于处理文档数据的初级进程，其中数据可存储在所述数据载体上，和

-用于通过借助粉碎图案重写所述载体的选定存储区域而擦除存储在所述数据载体中的数据的次级进程，

其特征在于：

所述数据处理装置适于异步运行所述初级和次级进程，也就是与任何待解决的次级进程的完成无关地开始初级进程，

其中次级进程包括施行利用粉碎图案的粉碎操作序列，所述每个粉碎图案至少基本上覆盖整个所述选定的存储区域，并且

其中次级进程包括同步施行初始粉碎操作，也就是通过阻止启动下一个初级进程直到完成所述初始粉碎操作，和进一步异步施行粉碎操作。

17.如权利要求16所述的设备，包括：

调度机，用于安排初级进程和任何次级进程，使得至少任意次级进程的结束状态不与初级进程发生干扰。

18.如权利要求16所述的设备，其中：

所述数据处理装置检查所述文档数据文件是否出现了预定的附加信息项，其中在已经对具有所述附加的信息项的文件应用了所述初级进程之后，所述数据处理装置自动对该文件应用所述次级进程。

19.如权利要求16所述的设备，包括：

用于监视所述设备中的次级进程的整体进展的装置，和

用于将所述进展显示给一个操作者以给出内部数据安全情形的表示的装置。

20.如权利要求16所述的设备，其中所述设备为打印机、复印机或扫描仪。

Images