CN101004769B - 文件安全删除系统和方法 - Google Patents

Abstract

本发明涉及一种从忽略操作系统的文件系统从数据存储器安全地并且正确地删除数据文件的系统和方法。安全删除服务器从系统拦截部件接收安全删除请求，所述系统拦截部件拦截来自应用程序的系统调用。系统调用拦截部件与安全删除服务器通过进程间通信模块通信。安全删除服务器从进程间通信模块接收安全删除请求并且发送安全删除请求到安全删除库。利用包含在安全删除请求内的文件信息，安全删除库查询数据存储设备的文件系统以确定包含将要被删掉的数据的数据区的位置。一旦数据区的位置被确定，则安全删除库通过虚拟文件系统指示设备驱动器重写存储电子文件的数据区预设的次数。

Description

文件安全删除系统和方法

技术领域

本申请是出于审查过程中的美国专利申请的部分延续，该美国专利申请序列号为11/000,018，题目为文件安全删除系统，提交于2004年11月30日，该美国专利申请的内容在此被作为参考并入。

背景技术

本发明提出了一种安全删除硬盘驱动器上的文件的系统和方法。更尤其，本发明面向一种当忽略(bypass)操作系统的文件系统时用于安全删除数据文件的系统和方法。

数据安全和保护是当今社会经济环境的主要议题。商家和个人都需要在不断增加的信息社会中维护他们的秘密。这些秘密一般延伸到存储在例如计算机硬盘驱动器的非易失性的存储媒介上的个人的和私有的文件。当被应用程序或者用户指示时，大多数操作系统不是从硬盘驱动器删除文件。而是，电子数据文件的内容保留在非易失性存储媒介上的区内，操作系统移除文件的链接，或地址。数据保留在存储媒介上直到媒介的区域被要求用于存储一些其它的文件。然后所述区域被用新数据被重写。在重写以前，熟练的计算机专家可以从非易失性存储媒介上恢复删掉的数据。过去做过先前的尝试以重写或者安全地删除数据区。

在一些操作系统中，例如微软的Windows，重写的任务比在其它操作系统中容易，例如Linux，一种免费使用并且广泛被使用的源码开放的操作系统。第三方商家(third-party vendor)提出了多种Windows操作系统的安全删除应用程序。相反，Linux具有较少的这些可用的效用。这些有用的效用具有几个问题。例如，效用一般依赖于基本的文件系统以写非易失性存储媒介，导致原始数据区的重写错误。此外，效用需要明确的用户相互作用，也就是，其不能自动被应用程序启动。此外，操作系统例如Linux操作系统一般为重写操作分配时间段。因此，当其它任务被执行时重写操作可能被延期。在极端的情况下，应用程序的结束或者硬件的故障可以导致重写过程的异常中止，导致数据仍然可以重获。

因此，需要一种安全地并且正确地从忽略文件系统的数据存储器删除数据文件的系统和方法。

发明内容

根据本发明，提供了一种安全删除电子文件的系统和方法。

而且，根据本发明，提供了一种从数据存储设备安全地删除电子文件的系统和方法。

而且，根据本发明，提供了一种当忽略操作系统的文件系统时安全地从数据存储器删除数据文件的系统和方法。

更进一步，根据本发明，提供了一种当忽略操作系统的文件系统时，安全的删除数据文件的系统。该系统包括适用于接收代表存储在非易失性存储器内的被选择的电子文件的期望的删除的安全删除信号的装置和适用于发送数据到相关数据存储器的装置。该数据存储器包括适用于在选择的多个数据存储部分中存储数据的装置、适用于接收在数据存储部分中存储的数据的装置、文件系统装置、适用于接收代表与选择的电子文件相关的追踪数据的追踪数据查询的装置，和适用于根据接收到的追踪数据查询输出与被选择的电子文件有关的追踪数据的装置。该文件系统装置包括用于存储代表至少一个数据存储部分的追踪数据的装置，所述数据存储部分用于存储与多个数据记录中的每个相关的数据。该系统还包括适用于根据接收到的安全删除信号发送追踪数据查询到数据存储器的装置、适用于从文件系统装置接收代表每个数据部分的追踪数据的装置，和安全删除启动装置，其适用于启动将选择的重写数据的高优先级的数据写到与选择的电子文件相关的每个数据存储部分的操作。

更进一步，根据本发明，提供了一种当忽略文件系统时安全删除数据文件的方法。安全删除信号被接收，所述安全删除信号代表存储在非易失性存储器上的被选择的电子文件的期望的删除。然后所述方法发送数据到相关的数据存储器，其由数据存储器接收并且在选择的多个数据存储部分存储数据。利用文件系统，代表至少一个数据存储部分的追踪数据被存储，其存储与被选择的电子数据文件相关的数据。然后根据接收到的追踪数据查询输出与被选择的电子数据文件相关的追踪数据。根据接收到的安全删除信号发送追踪数据查询到数据存储区。来自文件系统的代表每个数据部分的追踪数据被接收并且对于与被选择的电子文件相关的每个数据存储部分的被选择的重写数据的高优先权数据写操作被启动。

本发明的其它目的和方面通过下面的描述将变得更明显对于本领域技术人员，其中，示出了并且描述了本发明的优先实施例，简单地通过示出适于执行本发明的最好实施例中的一个。可以实现，本发明具有其它不同的实施例并且其几个细节能够在不同的方面修改而不脱离本发明。因此，所述附图和说明书将被视为在本质上是示意性的并且不具有限制性。

附图说明

本发明参考特定部分和部分设置被描述，其与相关的附图协同被证明，其形成在此的部分并且不是为了相同的限制目的，其中：

图1是本发明的系统的示意性框图；

图2是本发明的应用程序直接安全删除过程的流程图；和

图3是本发明的利用系统集成器部件的安全删除过程的流程图。

具体实施方式

本发明涉及一种从数据存储设备中安全地删除电子文件的系统和方法。更尤其，本发明提供了一种当忽略(bypass)一种操作系统的文件系统时安全地从数据存储器删除数据文件的系统和方法。当忽略文件系统时所述系统和方法能够直接从应用程序和从系统拦截部件安全地从相关的数据存储器删除电子文件。

图1示出了整体指示为100的本发明的优选实施例的框图。如图1所示，系统100包括基于Linux的设备102，例如个人计算机、服务器、打印机控制器、图像生成设备、多功能外围设备和类似设备。本领域技术人员可以理解，Linux指得是这样一种操作系统，该操作系统是一种不包含私有代码的Unix内核的执行程序。尽管优选的实施例是面向Linux操作系统环境，本领域普通技术人员可以理解，公开的内容(suject teachings)适用于具有上述缺点的任何操作系统。位于基于Linux设备102的是应用程序104或者其它直接为用户执行特定功能的完全的、独立的程序。在优选的实施例中，应用程序104位于基于Linux设备102上。本领域技术人员可以理解，应用程序104为，例如并且不局限于文字处理程序、电子表格编辑器和文件格式程序。在优选的实施例中，应用程序104通过图形用户界面接收用户输入。

系统100还包括安全删除服务器(secure erase service)106，该安全删除服务器106能够与应用程序104直接或者间接通过系统调用拦截部件108通信。安全删除服务器106与位于相关数据存储设备112上的安全删除库110进行数据通信。安全删除库在存储电子数据文件的数据区位置上保持追踪数据。本领域技术人员可以理解，数据存储设备112能够通过基于Linux的设备102的硬件驱动器部件或者其它与基于Linux设备102相关的磁的、光的或者其它非易失性存储器实现。当应用程序104能够直接与安全删除服务器106通信时，也就是，应用程序具有基于Linux设备102的管理权限时，不需要使用系统调用114。

应用程序104直接发送安全删除请求到安全删除服务器106。安全删除服务器106处理请求并且发送该请求到安全删除库110以在包含将要被删除的数据的数据存储设备112上确定数据区。安全删除库110查询数据存储设备112的文件系统118以确定包含被选择的数据的数据区的位置。一旦数据区的位置被确定，则安全删除库110指示数据存储设备的设备驱动器120重写包含将要被删除的数据的那些数据区预设的次数。

在优选的实施例中，系统还包括随机数字生成器122，该随机数字生成器122用于生成用于重写包含将要被删除的数据的数据区的随机数。随机数字生成器适宜地为外部或者内部耦合到安全删除服务器106。本领域普通技术人员可以理解，传统的随机生成器典型地需要输入起始值或者种子。种子值允许随机数字串的生成。如果特定的生成器被使用，每次运行开始于特定的种子值时，相同的随机数字串被生成。随机数字串被发送到设备驱动器120其中随机数字串被用于重写包含将要被删掉的数据的数据区。在该事件中，数据区要被重写多次，随机数字生成器将适宜地生成对应数据区被重写的次数的随机数字串。

应用程序104和安全删除服务器106之间的间接数据通信是利用系统调用114来完成的。本领域技术人员可以理解，系统调用114为本领域公知的任何机制，该机制被应用程序使用以从操作系统请求服务。本领域技术人员可以理解，本发明中的系统调用114的使用使得没有管理权限或者监控权限的用户引起处理器改变运行模式到监控模式，因此允许操作系统执行受限制的动作，也就是，访问硬件设备或者存储器管理单元。

当应用程序104开始系统调用114以删除存储在相关的数据存储设备112上的电子数据文件，系统调用114被系统调用拦截部件108拦截。然后系统调用拦截部件108通过进程间通信模块116与安全删除服务器106通信。本发明的进程间通信模块116为本领域公知的进程间通信机制，该机制能够便利一个进程与另一个进程间的数据交换，或者在相同计算机内，如图1所示，或者网络上，例如基于Linux的设备102和外部基于Linux的外围设备(未示出)之间的数据交换。

安全删除服务器106从进程间通信模块116接收安全删除请求并且发送安全删除请求到安全删除库110。利用包含在安全删除请求内的文件信息，安全删除库110查询数据存储设备112的文件系统118以确定包含将要被删除的数据的数据区的位置。一旦数据区的位置被确定，则安全删除库110指示数据存储设备112的设备驱动器120重写存储电子文件的数据区预定的次数。

现在参考图2，图2示出了由具有监控权限的应用程序104直接启动安全删除操作的流程图。从步骤202开始，通过使用调用应用程序，用户选择存储在数据存储设备上的用于安全删除的文件。在步骤204，应用程序发送文件删除请求到安全删除服务器以删除在步骤202从数据存储设备选择的文件。在步骤206文件删除请求促使安全删除服务器调用安全删除库。安全删除库保留指示将要被删除的电子文件的位置的数据。在步骤208，安全删除库从文件系统查询对应被选择的文件的每个数据部分或者数据区的位置数据。高优先权的数据写操作在步骤210被启动以重写每个数据部分，所述数据部分因为包含对应被选择的文件的数据而被安全删除库识别。

然后在步骤212利用存储设备的设备驱动器重写被选择的文件。在优选的实施例中，利用随机数字串数据重写操作被执行，所述随机数字串由随机数字生成器生成并且被发送到用于重写的设备驱动器。本发明通过利用虚拟文件系统与设备驱动器通信能够忽略文件系统。因此，系统提供可控制的并且优先的机制以完成数据的重写。本领域技术人员可以理解，虚拟文件系统允许通过以例如dev/hdx为文件名进行打开/读取/写，从而直接访问设备驱动器。此外，通过设备驱动器的文件系统的忽视能够使得选择的文件立即重写，而不是等待文件系统由缓冲器优化并且安排读取/写操作。而且，本领域技术人员可以理解，文件系统典型地被优化因此仅仅最近的预设数量的重写发生。根据本发明，设备驱动器的使用允许预设数量的重写的完成而没有文件系统的干涉。

在步骤214，确定重写没有完成，也就是预设数量的重写没有发生，在这种情况下，系统返回步骤212利用设备驱动器重写被选择的文件。在步骤214当被选择的文件的重写被确定完成时，在步骤216系统继续进行确定，安全删除服务器已从调用应用程序接收到另外的安全删除请求。当安全删除服务器接收到附加的删除请求时，系统返回到步骤206，其中安全删除库被调用。当在步骤216没有附加的安全删除请求时，在步骤218系统将控制返回到调用应用程序。

参考图3，图3示出了被选择的电子文件的自动的或者程序化的安全删除的流程图。从步骤302开始，用户通过调用程序选择要删除的文件。本领域技术人员可以理解，用户仅仅选择要删除的文件，而不必需要文件的安全删除。本发明使得系统管理员能够指定自动地安全地删除文件的确定的应用程序，而其它程序使用普通的文件删除步骤。然后在步骤304应用程序提交系统调用以删除被选择的文件。本领域技术人员可以理解，在Linux操作系统中系统调用的删除请求如同作为被从内核模块发送的解除链接(unlink)的请求。解除连接是一种用在Linux操作系统中的API用以请求移除文件的任何符号链接。解除连接保证被文件占用的空间不能被释放直到所有的硬链接例如在相同文件系统中的相同文件的路径名被移除。

然后在步骤304被提交的系统调用在步骤306被系统拦截部件拦截。本领域技术人员可以理解，由于用户不知道被选择的文件的安全删除，系统使用拦截器取得用户的安全删除的选择。然后在步骤308系统拦截器部件发送对应系统调用的安全删除请求到安全删除服务器。在步骤310，安全删除服务器生成涉及被选择的文件的硬链接。本领域技术人员可以理解，由安全删除服务器生成的硬链接参考(hard link reference)是目录项，该目录项涉及相同文件系统中的节点(inode)的路径名，该路径名包含关于文件的所有信息。

在步骤312代表安全删除请求的文件的硬链接进入到安全删除队列。然后在步骤314安全删除请求被一次一个地(one-at-a-time)从队列中取得。也就是，安全删除服务器取得被安全删除的文件的硬链接，或者路径名。然后在步骤316利用硬链接，被选择的文件的每个数据部分或者区的位置数据被从文件系统取得。有利地，通过利用硬件链接以定位数据部分和设备驱动器从而重写数据部分，安全删除库的应用程序接口被用于安全地删除被选择的文件。然后在步骤318一种立即或者高优先权的数据写操作被启动以重写每个数字部分预设的次数。本领域技术人员可以理解，利用虚拟文件系统，重写操作被适当地完成，使得设备驱动器重写数据区并且忽略在存储设备上使用的文件系统。在优选的实施例中，利用由随机数字生成器生成的并且被发送到用于重写的设备驱动器的随机数字串，数据重写操作被执行。

在步骤318高优先权数据写操作完成的基础上，在步骤320响应被发送到系统拦截部件以通知该部件重写已经发生。然后在步骤322系统拦截部件重新调用系统解除链接请求，也就是，来自用户的最初的删除请求，以移除原始文件。在步骤324确定没有附加的硬链接条目(item)保留在队列中。基于这样的确定，在步骤326控制被返回到调用程序(caller application)。当在步骤324所做的确定指示出其它硬链接保留在队列中，系统返回步骤314，其中下一个硬链接条目被从队列中取得并且通过余下的步骤继续进行。该过程为队列中的每个单个的条目重复，直到队列为空并且在步骤326控制被返回到调用程序。

本发明可以延伸到源代码、目标代码、代码中间源和目标代码(例如以部分编译的形式)形式的计算机程序，或者适用于本发明的实施的任意其它形式的计算机程序。计算机程序适宜为独立的(standalone)应用程序、软件部件、其它程序的脚本或插件。嵌入本发明的计算机程序可以有利地嵌入在载体上，可以为任何能够承载计算机程序的实体或者设备：例如，存储媒介例如ROM或RAM、光记录媒介例如CD-ROM或者磁记录媒介例如软盘。所述载波为任何可传送的载波例如通过电缆或者光缆，或者通过无线电或其它方式被发送的电信号或者光信号。计算机程序能够通过因特网从服务器下载。计算机程序还可以嵌入到集成电路中。任何并且所有包含引起计算机实质上执行上面所述的本发明的原理的代码的实施例都将落入本发明的范围之内。

出于说明和描述的目的，对本发明的优选的实施例进行了前面的描述。优选的实施例并不是穷尽的或者将本发明局限于所公开的精确的形式。根据上面的描述，明显的修改或者变化都是可能的。实施例被选择并且被描述以提供本发明的原理及其实际应用的最好的说明，并且因此使得本领域普通技术人员可以为适应预期的特定的用途而通过各种实施例和各种改动使用本发明。当根据公平地、合法地和公正地被授予的宽度解释时，所有的这些改动和变化均在由附加的权利要求所定义的本发明的范围之内。

Claims (15)

1.一种当忽略操作系统的文件系统时安全地删除数据文件的系统，包括：

适用于接收代表存储在非易失性存储器内的选择的电子文件的期望删除的安全删除信号的装置；

适用于发送数据到数据存储器的装置，所述数据存储器包括：

适用于在选择的多个数据存储部分存储所述数据的装置，

适用于为数据存储部分内的存储接收所述数据的装置，

文件系统装置，所述文件系统装置包括适用于存储代表至少一个所述数据存储部分的追踪数据的装置，所述数据存储部分用于存储与多个数据记录中的每个相关的数据，

适用于接收代表与所述选择的电子文件相关的所述追踪数据的追踪数据查询的装置，和

适用于根据所述接收到的追踪数据查询输出与所述选择的电子文件相关的所述追踪数据的装置；

适用于根据所述接收到的安全删除信号发送所述追踪数据查询到所述数据存储器的装置；

适用于从所述文件系统装置接收代表每个数据部分的所述追踪数据的装置；

适用于接收随机地生成的重写数据的装置；

适用于启动将选择的重写数据写入到与所述选择的电子文件相关的每个数据存储部分的高优先权数据写操作的安全删除启动装置；和

适用于把代表重写操作的完成的信号发送到所述文件系统以开始关于每个重写数据存储部分的删除操作的装置。

2.根据权利要求1所述的当忽略操作系统的文件系统时安全删除数据文件的系统，还包括利用所述随机生成的重写数据完成对应与所述选择的电子文件相关的每个数据存储部分的选择次数的重写的装置。

3.根据权利要求1所述的当忽略操作系统的文件系统时安全删除数据文件的系统，其特征在于，所述数据存储器包括非易失性存储器。

4.根据权利要求3所述的当忽略操作系统的文件系统时安全删除数据文件的系统，其特征在于，所述数据存储器还包括磁数据存储媒介。

5.根据权利要求4所述的当忽略操作系统的文件系统时安全删除数据文件的系统，其特征在于，所述数据存储器还包括硬盘。

6.根据权利要求5所述当忽略操作系统的文件系统时安全删除数据文件的系统，还包括：

适用于接收所述安全删除信号作为相关操作系统的系统删除调用的拦截的装置；

适用于基于所述安全删除信号的接收从相关的调用进程获得程序控制的装置；和

适用于在完成由所述安全删除启动装置启动的高优先权数据写操作后释放所述程序控制的装置。

7.根据权利要求6所述的当忽略操作系统的文件系统时安全删除数据文件的系统，其特征在于，所述相关操作系统为Linux，并且所述追踪数据被包含在Linux虚拟文件系统中。

8.一种当忽略操作系统的文件系统时安全删除数据文件的方法，所述方法包括以下步骤：

接收代表存储在非易失性存储器内的选择的电子文件的期望删除的安全删除信号；

发送数据到相关数据存储器；

在所述数据存储器中把所述数据存储在选择的多个数据存储部分中；

通过所述数据存储器中的文件系统，存储代表至少一个所述数据存储部分的追踪数据，所述数据存储部分用于存储与多个数据记录中的每个有关的数据；

根据所述接收到的安全删除信号，把代表与所述选择的电子文件相关的追踪数据的追踪数据查询发送到所述数据存储器；

根据接收到的追踪数据查询，从所述文件系统输出与选择的电子文件有关的所述追踪数据；

接收随机产生的重写数据；

启动将选择的重写数据写入到与所述选择的电子文件有关的每个数据存储部分的高优先权数据写操作；和

把代表重写操作完成的信号发送到所述文件系统以开始关于每个重写数据存储部分的删除操作。

9.根据权利要求8所述的当忽略操作系统的文件系统时安全删除数据文件的方法，还包括利用所述随机产生的重写数据完成对应与所述选择的电子文件相关的每个数据存储部分的选择的次数的重写步骤。

10.根据权利要求8所述的当忽略操作系统的文件系统时安全删除数据文件的方法，其特征在于，所述数据存储器包括非易失性存储器。

11.根据权利要求10所述的当忽略操作系统的文件系统时安全删除数据文件的方法，其特征在于，所述数据存储器还包括磁数据存储媒介。

12.根据权利要求11所述的当忽略操作系统的文件系统时安全删除数据文件的方法，其特征在于，所述数据存储器还包括硬盘。

13.根据权利要求12所述的当忽略操作系统的文件系统时安全删除数据文件的方法，还包括以下步骤：

接收所述安全删除信号作为对相关操作系统的系统删除调用的拦截；

基于所述安全删除信号的接收，从相关的调用进程获得程序控制；和

在所述高优先权的数据写操作完成之后释放所述程序控制。

14.根据权利要求13所述的当忽略操作系统的文件系统时安全删除数据文件的方法，其特征在于，所述相关的操作系统为Linux，并且追踪数据包含在Linux虚拟文件系统中。

15.根据权利要求8所述的当忽略操作系统的文件系统时安全删除数据文件的方法，其特征在于，所述方法通过计算机执行。

Images