JP2008129744A - 外部記憶装置 - Google Patents

Abstract

【課題】情報を格納した外部記憶装置が盗難，紛失に遭遇した場合は，暗号化してあったとしても解読され情報漏えいする危険性は残るため，事前に設定した条件を満足しない場合は，格納した情報を消去し，情報漏えいを防止する仕組みを提供する。
【解決手段】外部記憶装置は，格納する情報に対する使用許可条件を設定し，条件の満足状況に従いユーザアクセスの許可/禁止を制御できる施錠管理機能を有する。使用許可条件を満足した場合にユーザアクセスを許可し、満足しない場合は記憶している情報を消去する。
【選択図】 図１

Description

本発明は、メモリカード等の外部記憶媒体に記憶した情報を安全に持ち運ぶための技術に関する。特に外部記憶媒体に記憶した情報が特定の条件下で利用できるように管理することで情報漏えいを防止する技術に関する。

近年パーソナルコンピュータ（以下，ＰＣという）やネットワーク機器の低価格化が進み、従業員にＰＣのような業務で利用する端末を配布し、業務を行わせる企業が多数を占めるようになっている。ＰＣが低価格化し、利用が増えると、企業内の秘密性の高い情報などが漏えいする機会も増えていくことになる。これを避けるために情報を記憶する仕組みを持たない専用端末などが考案されている。この端末を使い、通信回線を介して社内に設置したサーバを遠隔操作し画面情報を受信して業務処理を行うことで，端末紛失による情報漏えいを防ぐことが可能になる。しかし、この方法は，通信路の確保が前提となるため，通信路を確保できない場合には，安全に情報を持ち運ぶことができ情報漏えいの心配がない仕組みが望まれる。

一方、近年、内部にＩＣチップと呼ばれるプロセッサ（中央演算処理装置，ＣＰＵ）をカード内に内蔵したＩＣカード（スマートカードということもある）が、認証機能をもつデバイスとして注目されている。ＩＣカードは、カード自身が演算機能を持つため、ホストからの読み書き指示の際、そのアクセスの正当性をＩＣカード自身で判断することができる。また，ＩＣカードは内部にＥＥＰＲＯＭやＲＡＭなどの書き換え可能なメモリを持ち、ユーザやカード発行者のアプリケーションや情報を格納することができる。

ＩＣカードは、外部から入力される情報に対し、その正当なカード内にしか存在し得ない情報（秘密鍵等）を用いた演算をすることにより、利用者を認証したり、否認防止のための情報を出力したりすることが可能であるので、ユーザの入力した個人識別情報とカード内部に保持された識別情報とを照合して、ＩＣカード内の情報をリーダライタ、もしくはホストに出力するか、しないかの制御を行うことが可能である。

また、ＣＰＵ自体の偽造が困難であるため、耐タンパデバイスであるＩＣカードモジュール（ＩＣカードチップ）の発する情報の改ざんや、不正にＩＣカードモジュール内部の情報にアクセスすることが難しい。このため、高いセキュリティレベルを持つシステムを構築可能である。

一方、大容量で，不揮発性のメモリモジュールを内蔵し，情報の書き換え可能なメモリカードとして，フラッシュメモリカードがある。フラッシュメモリカードの多くは「第３者からの攻撃に対するハードウェア的な耐性」（耐タンパ性）を持っていない。耐タンパ性を持たないフラッシュメモリカードは、盗難、紛失時にカードが分解され、カード内のメモリもしくはコントローラを解析されることにより保持している情報が第３者に洩えいする可能性が少なくない。

フラッシュメモリカードとして，特許文献１に記載されるようにフラッシュメモリインターフェースとＩＣカード機能を持つフラッシュメモリカードが知られている。このフラッシュメモイリンターフェースとＩＣカード機能を持つフラッシュメモリカードは、その記憶容量の大きさから、パソコンやワークステーションに保管されたユーザの文書やシステムの設定ファイル等をカード内に保存して持ち歩くために都合がよい。

特開2001-209773号公報

前述した，情報をＰＣに記憶できないようにした専用端末では、通信路の確保が必須であり、通信路を確保できない場合には業務を実行できない。このような事態が想定されるときは、何らかの外部記憶装置に必要な情報を格納して持ち運び、その中の情報を使い業務を処理しなければならない。このような状況が発生した場合には当該外部記憶装置を紛失しないように十分な注意が必要となり，そのために、その外部記憶媒体に情報を格納するときはその情報を暗号化しておくのが常識である。しかしながら、たとえ暗号化してあったとしても解読され，情報が漏えいすることが考えられ，情報の漏えいをより高い確率で防ぐ仕組みが望まれている。

本発明は、外部記憶媒体に格納した情報が，事前に設定した利用可能条件を満足しなくなったときに，消去され、アクセスできなくする仕組みを提供する。

本発明の上記並びにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

本発明のうち代表的なものの概要を説明すれば、下記の通りである。

すなわち、本発明に係る外部記憶装置は情報（格納情報という）を記憶する媒体である不揮発記憶素子と媒体を端末やＰＣに接続する制御部とを具備し、不揮発記憶素子にはユーザからのアクセスを禁止できる施錠管理機能を有し、その不揮発記憶素子に格納する情報に対して使用許可条件を設定できるようにしておく。

さらに、その使用条件を満足したときにユーザからのアクセスを許可し、利用条件を満足しないときは記憶している情報を消去することを特徴とする。アクセス対象となる「情報」は，デジタル化されているものであれば，その内容は問わず，プログラムでも良いし，ＰＣによる処理対象となるデータであっても良い。

本発明の一態様における外部記憶装置アクセスシステムは，より具体的には，外部記憶装置と，端末装置と，を備え，外部記憶装置は，認証情報によりアクセス制御されるアクセス被制御領域を設定した記憶素子と，アクセス制御を行う制御部とを備え，端末装置は，上記外部記憶装置へのアクセスを行う入出力インタフェースとアクセス管理部とを備える。

上記外部記憶装置が，上記入出力インタフェースに接続されると，上記制御部は，上記アクセス被制御領域へのアクセスを拒否する状態で起動し，上記端末装置の上記アクセス管理部は，上記外部記憶装置が，上記入出力インタフェースに接続されたことを検知したことをきっかけとして，上記制御部に対して，上記端末装置の利用者の認証情報を含む，上記アクセス被制御領域への利用者アクセス許可要求を送信し，上記外部記憶装置の上記制御部は，上記端末装置から受信した上記利用者認証情報を検証し，上記検証に成功した場合は，上記アクセス被制御領域に格納された格納情報への利用者アクセス許可を上記端末装置に送信し，上記認証に失敗した場合は，上記アクセス被制御領域に格納された上記格納情報を消去することを特徴とする。

また，上記制御部は，上記認証の失敗を上記端末装置のアクセス管理部に送信し，上記アクセス管理部は，上記認証の失敗を受信したら，上記アクセス被制御領域に格納された上記格納情報の消去指示を送信し，上記制御部は，上記格納情報の消去指示を受信したら，上記アクセス被制御領域に格納された当該格納情報を消去する，ように構成してもよい。

また，上記アクセス被制御領域は，それぞれに利用条件が設定された利用条件付き領域を一つ以上備え，上記利用条件付き領域は，上記利用条件を格納する管理情報領域と，上記格納情報を格納するデータエリアとを含み，上記制御部は，上記利用者認証情報の検証に成功した場合に，上記管理情報領域に格納されている上記利用条件の読み出しと，上記データエリアに格納されている上記格納情報へのアクセスを許可する状態に遷移し，上記端末装置の上記アクセス管理部は，上記利用者アクセス許可要求に対する上記利用者アクセス許可を上記制御部から受信した場合に，上記制御部に対して，一つ以上の上記利用条件付き領域の，上記管理情報領域に格納されている上記利用条件の読み出し指示を送信し，上記制御部から受信した，読み出された上記利用条件に基づき，各々の上記利用条件付き領域への利用者アクセスが許可されるか否かを調べ，利用者アクセスが拒否された上記利用条件付き領域の上記データエリアに格納されている上記格納情報の消去を，上記制御部に対して指示し，上記消去の後，利用者アクセスが許可された上記利用条件付き領域の上記データエリアへの上記利用者に格納されている上記格納情報へのアクセスの許可を，上記利用者に通知し，上記外部記憶装置の上記制御部は，上記端末装置の上記アクセス管理部から，上記利用条件の読み出し指示を受信すると，上記管理情報格納領域に格納されている利用条件を読み出して，上記端末装置に送信し，上記端末装置の上記アクセス管理部から，いずれかの上記利用条件付き領域のデータエリアに格納されている上記格納情報の消去指示を受信した場合には，当該格納情報を消去する，ように構成してもよい。

また，上記外部記憶装置は，さらに，上記利用者を認証する利用者認証処理部を備え，上記外部記憶装置が上記端末装置の上記入出力インタフェースに接続され，起動した場合に，上記端末装置の上記アクセス管理部は，入力された上記利用者認証情報を，記憶すると共に上記外部記憶装置の上記利用者認証処理部へ送信し，上記利用者認証処理部は，受信した上記利用者認証情報を用いて上記利用者の認証処理を行い，上記認証処理結果を上記アクセス管理部へ送信し，上記アクセス管理部は，上記利用者認証処理部による上記認証結果が，上記利用者が正当であることを示している場合に，記憶している上記利用者認証情報を，上記アクセス被制御領域へ送信する上記利用者アクセス許可要求に含める上記端末装置の利用者認証情報として用い，上記利用者が正当ではない，と判断した場合は，当該端末装置の停止処理を行う，ように構成してもよい。

上記態様によれば、使用条件を事前設定しておくことにより、その条件を満足している間は，内部の情報にアクセスできる外部記憶装置として使用できるが、条件を満足しなくなると、その外部記憶装置に格納された情報は消去され、アクセスすることができなくなる。このような仕組みにより、この外部記憶装置を紛失したとしても中に書き込まれた情報が漏えいする心配が非常に小さい外部記憶装置を提供できる。

本発明によれば，情報漏えいのおそれが非常に少ない外部記憶装置を提供できる。

本発明の実施の形態について、添付図面を参照しながら以下詳細に説明する。なお、図面中にて同一の参照番号を付したものは、同一の機能を有する構成要素を示すため、重複した説明は省略する。

＜実施形態１＞
図１から図１０を用いて、本発明に係る外部記憶装置の第１の実施形態を説明する。

図１は、本発明の第１の実施形態を示すシステム構成を示す図である。図１（Ａ）に示す外部記憶装置１００５は，制御部１００３と不揮発記憶素子１００４から構成され，汎用入出力バス１００２を介して端末装置（以下，端末という）１００１に接続される。また、図１（Ｂ）に示すように，外部記憶装置１００５は，不揮発メモリカード（以下，メモリカードという）１００７と，メモリカード１００７を汎用入出力バス１００２に接続するリーダライタ１００６とからなる構成であっても良い。この場合，制御部１００３の機能は，後述するように，メモリカード１００７とリーダライタ１００６の機能に分けられる。

図３にメモリカード１００７の構成例を示す。メモリカード１００７はリーダライタ１００６に接続する端子１２０１，制御部１２０２，情報（格納情報という）を記憶する不揮発記憶素子１２０３からなる。不揮発記憶素子１２０３は，図１の不揮発記憶素子１００４と同じ特性のものでよい。なお，端子１２０１は，非接触型のメモリカードを実現する送受信アンテナであっても良い。

図４はメモリカード１００７の他の構成例を示す。図３の構成との違いは，信号線１３０１を介して制御部１２０２に接続されるＩＣカードチップ１３０３を，さらに備える点にある。この構成により，図４に示すメモリカード１００７は，ＩＣカードチップ１３０３が提供するユーザ認証機能を併せ持つ。なお，上述の通り，図１の制御部１００３の一部の機能が図３の制御部１２０２に備えられ，図１の制御部１００３のその他の機能が図１のリーダライタ１００６に備えられる。

各図における制御部は，バスなどの内部信号線で相互に接続されるＣＰＵ、不揮発性メモリ、入出力回路により構成され，不揮発性メモリには，以下で説明する制御部の各処理を実現するプログラムが格納されている。制御部による処理は，ＣＰＵがこれらのプログラムを実行することにより具現化されるプロセスによって実現するが，以下の説明においては，制御部を各処理の実行主体として説明する。

外部記憶装置１００５の不揮発記憶素子１００４やメモリカード１００７の不揮発記憶素子１２０３は，図５に示す，Ａ番地からＢ番地までのプライベート領域１４０１と呼ぶ，コマンドを与えられた制御部１００３や１２０２によりアクセス制御される領域（アクセス被制御領域に相当する）を含む。コマンド群を図６に例示する。

たとえば，制御部１００３や１２０２は，端末１００１やリーダライタ１００６への接続時などの電源供給開始時や，外部記憶装置１００５やメモリカード１００７の外部から，認証情報などを伴う施錠コマンド１４０２（アクセス不許可要求に相当する）を与えられた場合には，以降，外部からこのプライベート領域１４０１に格納された情報へのアクセスを禁止する。制御部１００３や１２０２が，正しい認証情報を伴う開錠コマンド１４０３（アクセス許可要求に相当する）を，外部から受け付け，実行し，検証によりこの認証情報が正当なもの，と判断した場合に，アクセスを可能にする。検証に必要な情報は，制御部１００３や１２０２内に格納しておけばよい。

また，プライベート領域１４０１には，ユーザが自分の認証情報を忘れたときや，ユーザの退職などで認証情報がわからなくなったときであっても，格納情報を扱えるように，管理者用施錠コマンド１４０４と、管理者用開錠コマンド１４０５を設定しておくことが望ましい。さらに，これらのコマンドにも認証情報が必要となるように構成すれば，不当な管理者による不正アクセスを防止することが可能になる。

上記構成により，外部記憶装置１００５やメモリカード１００７は、開錠コマンド１４０３を実施してアクセス可能状態になっていても，施錠コマンド１４０２を与えられた場合のみならず，そのあと汎用入出力バス１００２またはリーダライタ１００６からはずされたり、電源が供給されなくなったりすると、再び汎用入出力バス１００２またはリーダライタ１００６に接続したり，電源供給を再開したりしても，アクセス可能状態にはならず，施錠状態（アクセス不許可状態）に戻ることになり，より安全になる。

また，プライベート領域１４０１は，図６に示すように，一つ以上の情報コンテナ１５０１を含む。情報コンテナ１５０１とは，上述の利用条件付き領域に相当し，以下の各実施形態においては，同一の利用可能条件で管理される情報を格納しておく領域であり、それぞれが利用可能条件を設定した管理情報格納領域（以下，管理情報という）１５０２と，該格納情報を格納するデータエリア１５０３とを有する。また，その領域の区切り方は任意である。また，管理情報１５０２の中には，有効期限領域１５０４や利用可能回数領域１５０４などを定義しておく。

図２に端末１００１の構成を例示する。端末１００１は，ＣＰＵ１１０１、主記憶メモリ１１０２、読み出し専用メモリ１１０３、表示機能回路１１０４，入出力回路１１０５が，バスなどの内部信号線で相互に接続されている。入出力回路１１０５にはキーボードインタフェース（インタフェースをＩＦと記す）１１０６、マウスＩＦ１１０７、プリンタＩＦ１１０８，汎用入出力ＩＦ１１０９などがある。汎用入出力ＩＦ１１０９は，外部記憶装置１００５やリーダライタ１００６を接続する汎用入出力バス１００２を利用可能とする。

読み出し専用メモリ１１０３には，施錠管理１１１０や，図示していないオペレーティングシステム（以下，ＯＳと記す）などのプログラムが格納されている。ＣＰＵ１１０１がこれらのプログラムを実行することにより，以下の実施例において説明する端末１００１の処理を実現するプロセスが端末１００１上に構築されるが，以下の説明においては，その便宜上，これらのプログラムを各処理の実行主体として説明する。

なお，施錠管理１１１０とオペレーティングシステムが協働することにより，上述のアクセス管理部が実現される。また，施錠管理１１１０を，読み出し専用メモリ１１０３に格納しておくことにより，ユーザによる不正な改変を困難にする。このように構成することで，外部記憶装置に格納している管理情報への不正アクセスを困難にし，安全性を高めることが可能になる。

図７〜図９を用いて、施錠状態にある外部記憶装置１００５やメモリカード１００７を端末１００１に挿入した後の動作の流れを示す。

ユーザが外部記憶装置１００５またはメモリカード１００７を端末１００１の汎用入出力バス１００２に接続する（処理１６０１）。

ＯＳは，外部記憶装置１００５またはメモリカード１００７が汎用入出力バス１００２に接続されたことを汎用入出力ＩＦ１１０９経由で検知する（処理１６０２）。

これを受けてＯＳは施錠管理１１１０に起動処理開始を指示する（処理１６０３）。

施錠管理１１１０は，ユーザに対してプライベート領域１４０１の開錠処理を行うための認証情報入力を求める（処理１６０４）。

ユーザがこれに応えて認証情報を入力する（処理１６０５）。認証情報としては，例えば，ユーザがキーボードから入力するパスワードがあるが，これに限定されることはなく，図示していない読み取り装置を介した，指静脈などの生体情報であっても良い。

施錠管理１１１０は入力された認証情報を伴う開錠コマンド（１４０３）を送信する（処理１６０６）。ただし，送信前に，施錠管理１１１０が認証情報の処理の一部分を行っても良い。

外部記憶装置１００５またはメモリカード１００７の制御部１００３や１２０２は，上記解錠コマンドを受けて認証情報を検証し、正当なものと判断すれば、プライベート領域１４０１を開錠状態にし，正当でない，と判断すれば施錠状態のままにしておき，上記検証結果を応答として返送する（処理１６０７）。

判定１６０８では開錠処理が行われたかどうかを判定する。

開錠処理が実施されず，施錠状態のままであればエラー処理（処理１６０９）を実施する。

開錠処理が実施されたならば、外部記憶装置１００５またはメモリカード１００７が利用可能になったので，施錠管理１１１０はプライベート領域１４０１に記憶されている一つの情報コンテナ１５０１の管理情報の読み出しを指示し（図８，処理１６１０）、管理情報１５０２を受信する（処理１６１１）。

施錠管理１１１０は，管理情報１５０２に格納された利用条件を調べ，該ユーザによる，この情報コンテナ１５０１のデータエリア１５０３に格納されている格納情報の利用が，正当か不当かを判断する（図８，処理１６１２）。

利用条件を満足していなければ（処理１６１２でＮｏ），その情報コンテナ１５０１の格納情報を消去する指示を行い（処理１７０１）、外部記憶装置１００５またはメモリカード１００７の制御部１００３または１２０２はその処理報告を行う（処理１７０２）。

また，利用条件を満足している場合（処理１６１２でＹｅｓ）に，その利用条件に利用回数制限が含まれている場合は，残りの利用可能回数を更新した内容で書き直す（処理１７０３）。

施錠管理１１１０は，全ての情報コンテナ１５０１について処理を終えたかどうかを判定する（処理１７０４）。終えていなければ処理１６１０に戻り、他の情報コンテナ１５０１についての処理を行う。

上記利用条件としては，管理者により，さまざまなものを設定できる。例えば，有効期限、利用可能回数などであり，これらのいずれか一つであっても良いし，これらの複数を任意に組み合わせても良い。

たとえば、西暦２００６年１２月３１日の１８時３０分までは有効である、といった設定が可能である。さらには，それに加えて，利用可能回数は５回，などの条件を付加することも可能である。複数の利用条件を設定する場合は，複数の条件を全て満す場合に利用可能になるように，処理を行う。

管理者は，事前に，これらの利用条件を管理情報１５０２として，情報コンテナ１５０１単位に書き込んでおく。

管理者が情報コンテナ１５０１単位に設定する管理情報１５０２の設定方法の一例を図１４を用いて説明する。管理者が外部記憶装置１００５またはメモリカード１００７を端末１００１の汎用入出力バス１００２に接続する（処理２００１）。

全ての判定が終了し，総ての情報コンテナ１５０１が利用条件を満たしている場合、あるいは，利用条件を満たさない情報コンテナに対する上記消去処理が終了した場合に，施錠管理１１１０はＯＳに対して，利用条件を満たしている情報コンテナ１５０１が利用可能になったことを報告する（処理１６１４）。

また，併せて，処理１６１２において利用可能回数など利用状況もチェックしている場合は，変更した最新値を管理情報１５０２に書き戻す。

上記報告を受けて初めて，ＯＳはユーザに対して外部記憶装置１００５またはメモリカード１００７が使用可能になり，次の操作を受け付け可能となったことを知らせる（処理１６１５）。

すなわち，ユーザが外部記憶装置１００５またはメモリカード１００７を挿入してから（処理１６０１）、ＯＳの通知（処理１６１５）までのあいだは、ユーザは待たせられ，外部記憶装置１００５またはメモリカード１００７を使用することができない。なお、最後のＯＳやユーザへの通知処理は必須ではない。

なお，消去した情報コンテナ１５０１がある場合は，処理１６１５において，その情報コンテナ１５０１を特定する情報を提供してもよいし，ユーザに消去した情報コンテナ１５０１があるという事実を知らせなくても良い。

エラー処理（処理１６０９，１９１７，２００９）では，図９に示す以下の処理を行う。

認証情報入力エラーが事前に決めてある規定回数に達したかどうかを判定する（処理１７２０）。

既定回数未満であれば、図７の処理１６０４に戻り，ユーザに対して、正しい認証情報の再入力を促し（処理１７２０で「既定回数未満」）、
既定回数に達した場合（処理１７２０で「既定回数に到達」）は，施錠管理１１１０は今利用しようとしているユーザが正当なユーザではないと判断し、以下の処理により，プライベート領域１４０１に格納されているすべての情報コンテナ１５０１の消去を実施する。

施錠管理１１１０はまず管理者開錠コマンド（図６の１４０５）を送付してプライベート領域１４０１の開錠指令を行う（処理１７２３）。ただし，処理１７２３における管理者開錠コマンドには，認証情報は必須ではない。

開錠報告を受け取った（処理１７２４）後に、施錠管理１１１０はプライベート領域１４０１のすべての情報コンテナ１５０１を消去する指令を出す（処理１７２５）。

制御部１２０２は，外部記憶装置１００５またはメモリカード１００７は指定されたすべての情報コンテナ１５０１の内容を消去し、その報告を行う（処理１７２６）。

施錠管理１１１０は，この結果をＯＳへ通知する（処理１７２７）。また，情報コンテナ１５０１は消去されているため，処理１７２３に対応する管理者施錠コマンドは，発行しても，しなくても良い。

ＯＳは，処理１７２８において，消去した事実をユーザに知らせてもよい。

上記処理に示すように、正しくないユーザの使用を検知して、情報コンテナ１５０１の内容を消去することにより，より確実に情報漏えいを防止することが可能になる。

＜実施形態２＞
図１０から図１２を用いて、本発明に係る外部記憶装置の第２実施形態を説明する。

図１０はメモリカード１００７や外部記憶装置１００５の不揮発記憶素子１００４または１２０３の記憶領域を少なくとも２つの領域に分けて管理する方法を示す。たとえば，不揮発記憶素子１００４または１２０３のＡ番地からＢ番地までの記憶領域を，その途中のＣ番地で管理する領域を分け，前半（Ａ番地からＣ番地まで）をアクセス制御しない，だれでも，いつでも使用できるパブリック領域１４５１とし，後半（Ｃ番地からＢ番地まで）を第一実施形態と同様のプライベート領域１４５２とする。

パブリック領域１４５１には，第１実施形態で示した施錠管理１１１０と同等のプログラムである施錠管理１４５３が格納しておく。施錠管理１４５３がパブリック領域１４５１に記憶してあるため、端末１００１の読み出し専用メモリ１１０３に，施錠管理１００１を事前に格納しておく必要はない（ＯＳは第１実施形態と同様に格納されている）。

この様子を図１１に示す。第１実施形態では読み出し専用メモリ１１０３に記憶していたプログラム施錠管理１１００が不要となる。その代わりに，外部記憶装置１００５またはメモリカード１００７が端末１００１に装着されたとき施錠管理１４５３がパブリック領域１４５１から読み出されて、主記憶メモリ１１０２に格納される。その後、自動実行により起動されるか、ユーザが明示的に起動することで第一実施形態と同様の処理が可能になる。

ここで上記の自動実行の様子を図１２に示す。

ユーザが外部記憶装置１００５またはメモリカード１００７を端末１００１に接続する（処理１８０１）。
その挿入情報をＯＳが検知する。このとき、ＯＳに自動実行機能が有効であれば，パブリック領域１４５１に記憶されている施錠管理１４５３の読み出し指示を出す（処理１８０３）。

ＯＳは施錠管理１４５３を主記憶メモリ１１０２に格納する（処理１８０４）。格納されると，処理１６０３と同様に，ＯＳの機能により，または，ユーザの明示的な指示により，施錠管理１４５３が起動する（処理１８０５）。以降の処理は第１実施形態と同様である。

なお，本実施例では，処理１８０１に先だって，ＯＳによるユーザの認証処理を行い，不正なユーザによる管理情報の書き換えなどの不正アクセスを排除することが望ましい。

＜実施形態３＞
第３実施形態として、図６の施錠コマンドの使い方を簡略化した場合を説明する。

本実施形態は、端末１００１の起動を行うとき、正当なユーザであることを外部記憶装置１００５またはメモリカード１００７を利用して確認できる場合に適用できる。たとえば、メモリカード１００７が図４に例示する構成をしており、端末１００１の起動を行うとき、メモリカード１００７内部のＩＣカードチップ１３０３により正当なユーザであるかどうかを，公開鍵基盤技術を使って認証できる場合などに適用できる。

本実施形態の処理の流れを図１３を用いて説明する。

ＯＳが端末起動処理を開始し（処理１９０１）、
ユーザに対してログイン入力を求める（処理１９０２）。

ユーザは認証のためにメモリカード１００７を挿入する（処理１９０３）。

そのあとで、ＯＳはユーザに，ユーザ認証のための認証情報入力を求める（処理１９０５）。

ＯＳは，ユーザが入力した認証情報（処理１９０６）を記憶すると共に、メモリカード１００７に送出する（処理１９０７）。

メモリカード１００７のＩＣカードチップ１３０３は，ユーザが入力した認証情報に基づき，ユーザが，登録された正当なユーザか否かを判断しその応答をＯＳに返送する（処理１９０８）。

ＯＳは上記結果を受けて、正当なユーザでないと判断したときは端末１００１の停止処理１９１０を行い、処理を終了する。

正当なユーザであれば、メモリカード１００７の開錠処理を行うために施錠管理１１１０に対して、起動処理１９１１を出す。このとき，ＯＳは記憶しているユーザの認証情報を施錠管理１１１０に渡し，施錠管理１１１０は認証情報を伴う開錠コマンド１４０３を送出する（処理１９１２）。送出する認証情報は，第１実施形態同様，一部分を処理済みであっても良い。

このとき、施錠管理１４５３は，ＯＳから認証情報を渡され，記憶しておくので，さらに認証情報をユーザに入力させる必要はない。なぜなら，端末１００１の起動時の処理１９０９において，正当なユーザかどうかを判断済みだからである。

以降の処理は第一実施形態と同様である。

なお、上記の３つの実施形態に共通して、施錠コマンド１４０２と開錠コマンド１４０３は一組だけでなくてもよい。図６に示すように、管理者用施錠コマンド１４０４、管理者用開錠コマンド１４０５も設けてもよい。このように通常のコマンドとは別に管理者専用のコマンドを設けることで、何らかの都合で通常のコマンドが使えなくなったときでも、たとえば，ユーザが自分の認証情報を忘れたときや，そのユーザが不在のためにユーザ認証情報がわからなくなった場合でも，管理者が，管理者用開錠コマンド１４０４を使用したメモリカード１００７の開錠、施錠を指示できるようになる。この場合も，このシステムを扱う全ての管理者による，無制限な開錠を防ぐために，認証情報を設定することが望ましい。

＜実施形態４＞
第４実施形態として、管理者が情報コンテナ１５０１単位に設定する管理情報１５０２の設定方法の一例を，図１４を用いて説明する。

管理者が外部記憶装置１００５またはメモリカード１００７を端末１００１の汎用入出力バス１００２に接続する（処理２００１）。

ＯＳは，外部記憶装置１００５またはメモリカード１００７が汎用入出力バス１００２に接続されたことを汎用入出力ＩＦ１１０９経由で検知する（処理２００２）と，施錠管理１１１０に起動処理開始を指示する（処理２００３）。

施錠管理１１１０は，管理者に対してプライベート領域１４０１の開錠処理を行うための認証情報入力を求める（処理２００４）。

管理者は施錠管理１１１０に対して管理者が管理情報１５０２の書き込みを行う処理であることの通知と管理者認証情報を入力する（処理２００５）。

施錠管理１１１０は入力された認証情報を伴う管理者開錠コマンド（１４０５）を送信する（処理２００６）。

外部記憶装置１００５またはメモリカード１００７の制御部１００３や１２０２は，上記解錠コマンドを受けて認証情報を検証し、正当な管理者と判断すれば、プライベート領域１４０１を開錠状態にし，かつ，情報コンテナ１５０１の管理情報１５０２の書きこみ，更新を許可する状態にし，正当でない，と判断すれば施錠状態のままにしておき，上記検証結果を応答として返送する（処理２００７）。

判定２００８では，正当な管理者と判断されたかどうかを判定する。

正当な管理者と判断されず，施錠状態のままであればエラー処理（処理２００９）を実施する。

正当な管理者と判断され，開錠処理が実施されたならば、管理情報１５０２への書き込みまたは更新が可能になったので，施錠管理１１１０は，管理者に対して情報コンテナ１５０１毎に管理情報１５０２の書き込みまたは更新を促す（処理２０１０）。

管理者は，設定対象とする情報コンテナ１５０１に対する管理情報１５０２を入力し（処理２０１１）、施錠管理１１１０が外部記憶１００５またはメモリカード１００７の，対象の情報コンテナ１５０１に管理情報１５０２を書き込むか，または更新する。（処理２０１２）。

施錠管理１１１０は，プライベート領域１４０１に記憶されている，対象の情報コンテナ１５０１内の管理情報１５０２に対する書き込みまたは更新が終了すると，管理者施錠コマンド１４０４を使用して施錠処理を行う（処理２０１３）。

また，制御部１００３または１２０２が，処理１６０７における利用者認証に用いる情報も，上記処理と同様，管理者認証を行った後に，制御部１００３または１２０２内に格納する。

なお，上記４つの実施形態は適宜組み合わせて実施することが可能である。

上記のように、本実施形態に示した外部記憶装置１００５またはメモリカード１００７は、施錠管理１１１０または１４５３がプライベート領域１４０１または１４５２を安全に管理することができるため、利用者に安全で、使い勝手良く利用できる外部記憶装置１００５またはメモリカード１００７を構成することが可能となる。

したがって、上記実施形態に依れば，通信路を確保できない環境であっても，利用者の使い勝手が向上し，さらに，外部記憶装置１００５またはメモリカード１００７が盗難にあったり，紛失したりしても、第三者による不正アクセス操作によりその時点で格納されていた内容が消去されるので，情報漏えいのおそれも非常に小さくなる。

本発明の各実施形態の外部記憶装置またはメモリカードと端末の接続形態を例示する。 第１実施形態の端末の機能構成を例示する。 各実施形態で利用するメモリカードの第１の構成を例示する。 各実施形態で利用するメモリカードの第２の構成を例示する。 第１実施形態における外部記憶装置またはメモリカードの，不揮発記憶領域の構成と管理情報に格納する情報を例示する。 各実施形態で利用するコマンド群を例示する 第１実施形態の処理フローを例示する（その１）。 第１実施形態の処理フローを例示する（その２） 第１実施形態のエラー処理フローを例示する。 第２実施形態における外部記憶装置またはメモリカードの不揮発記憶領域の構成を例示する。 第２実施形態の端末の機能構成を例示する。 第２実施形態の処理フローを例示する。 第３実施形態の処理フローを例示する。 管理者が管理情報を事前に設定する第4実施形態の処理フローを例示する。

符号の説明

１００１：端末、１００２：汎用入出力バス、１００３：制御部、１００４：不揮発記憶素子、１００５：外部記憶装置、１００６：リーダライタ、１００７：メモリカード、１１０１：ＣＰＵ、１１０２：主記憶メモリ、１１０３：読み出し専用メモリ、１１０４：表示機能回路、１１０５：入出力回路ＣＰＵ、１１０６：ＫＢ ＩＦ、１１０７：マウス ＩＦ、１１０８：プリンタ ＩＦ、１１０９：汎用入出力 ＩＦ、１１１０、１４５３：施錠管理、１２０１：端子、１２０２：制御部、１２０３：不揮発記憶素子、１３０１、１３０２：信号線、１３０３：ＩＣカードチップ、１４０１、１４５２：プライベート領域、１４０２：ユーザ施錠コマンド、１４０３：ユーザ開錠コマンド、１４０４：管理者施錠コマンド、１４０５：管理者開錠コマンド、１５０１：情報コンテナ、１５０２：管理情報、１５０３：データエリア、１４５１：パブリック領域。

Claims (12)

1. 外部記憶装置と，端末装置と，を備える外部記憶装置アクセスシステムであって，
   前記外部記憶装置は，認証情報によりアクセス制御されるアクセス被制御領域を設定した記憶素子と，前記アクセス制御を行う制御部とを備え，
   前記端末装置は，前記外部記憶装置へのアクセスを行う入出力インタフェースとアクセス管理部とを備え，
   前記外部記憶装置が，前記入出力インタフェースに接続されると，
   前記制御部は，前記アクセス被制御領域へのアクセスを拒否する状態で起動し，
   前記端末装置の前記アクセス管理部は，
   前記外部記憶装置が，前記入出力インタフェースに接続されたことを検知したことをきっかけとして，前記制御部に対して，前記端末装置の利用者の認証情報を含む，前記アクセス被制御領域への利用者アクセス許可要求を送信し，
   前記外部記憶装置の前記制御部は，
   前記端末装置から受信した前記利用者認証情報を検証し，
   前記検証に成功した場合は，前記アクセス被制御領域に格納された格納情報への利用者アクセス許可を前記端末装置に送信し，
   前記認証に失敗した場合は，前記アクセス被制御領域に格納された前記格納情報を消去する
   ことを特徴とする外部記憶装置アクセスシステム。
2. 請求項１に記載の外部記憶装置アクセスシステムであって，
   前記制御部は，前記認証の失敗を前記端末装置のアクセス管理部に送信し，
   前記アクセス管理部は，前記認証の失敗を受信したら，前記アクセス被制御領域に格納された前記格納情報の消去指示を送信し，
   前記制御部は，前記格納情報の消去指示を受信したら，前記アクセス被制御領域に格納された当該格納情報を消去する
   ことを特徴とする外部記憶装置アクセスシステム。
3. 請求項１に記載の外部記憶装置アクセスシステムであって，
   前記アクセス被制御領域は，それぞれに利用条件が設定された利用条件付き領域を一つ以上備え，
   前記利用条件付き領域は，前記利用条件を格納する管理情報領域と，前記格納情報を格納するデータエリアとを含み，
   前記制御部は，前記利用者認証情報の検証に成功した場合に，前記管理情報領域に格納されている前記利用条件の読み出しと，前記データエリアに格納されている前記格納情報へのアクセスを許可する状態に遷移し，
   前記端末装置の前記アクセス管理部は，
   前記利用者アクセス許可要求に対する前記利用者アクセス許可を前記制御部から受信した場合に，前記制御部に対して，一つ以上の前記利用条件付き領域の，前記管理情報領域に格納されている前記利用条件の読み出し指示を送信し，
   前記制御部から受信した，読み出された前記利用条件に基づき，各々の前記利用条件付き領域への利用者アクセスが許可されるか否かを調べ，
   利用者アクセスが拒否された前記利用条件付き領域の前記データエリアに格納されている前記格納情報の消去を，前記制御部に対して指示し，
   前記消去の後，利用者アクセスが許可された前記利用条件付き領域の前記データエリアへの前記利用者に格納されている前記格納情報へのアクセスの許可を，前記利用者に通知し，
   前記外部記憶装置の前記制御部は，
   前記端末装置の前記アクセス管理部から，前記利用条件の読み出し指示を受信すると，前記管理情報格納領域に格納されている利用条件を読み出して，前記端末装置に送信し，
   前記端末装置の前記アクセス管理部から，いずれかの前記利用条件付き領域のデータエリアに格納されている前記格納情報の消去指示を受信した場合には，当該格納情報を消去する
   ことを特徴とする外部記憶装置アクセスシステム。
4. 請求項３に記載の外部記憶装置アクセスシステムであって，
   前記利用条件は，有効期限および／または利用可能回数である
   ことを特徴とする外部記憶装置アクセスシステム。
5. 請求項４に記載の外部記憶装置アクセスシステムであって，
   前記アクセス管理部は，
   前記利用条件が前記利用可能回数を含み，前記利用条件付き領域の前記データエリアへの利用者アクセスが許可された場合は，前記格納情報へのアクセスの許可を前記利用者に通知する前に，当該利用可能回数を更新した前記利用条件を，前記利用条件付き領域の前記管理情報領域へ書き戻す
   ことを特徴とする外部記憶装置アクセスシステム。
6. 請求項３に記載の外部記憶装置アクセスシステムであって，
   前記外部記憶装置は，
   更に，前記制御部による前記利用者認証情報に基づくアクセス制御が行われない，アクセス被制御不要領域を備え，
   前記アクセス被制御不要領域に，前記端末装置の前記アクセス管理部を具現化するプログラムを格納し，
   前記端末装置は，前記外部記憶装置が前記入出力インタフェースに接続され，起動した場合に，前記アクセス被制御不要領域にアクセスして前記プログラムを読み出して実行し，当該端末装置上に，前記アクセス管理部を具現化する
   ことを特徴とする外部記憶装置アクセスシステム。
7. 請求項６に記載の外部記憶装置アクセスシステムであって，
   前記端末装置は，前記外部記憶装置が前記入出力インタフェースに接続され，起動すると，
   前記アクセス被制御不要領域にアクセスして前記プログラムを読み出する前に，当該端末装置の利用者認証を行い，
   前記利用者認証に成功した場合に，前記プログラムの読み出しを行う
   ことを特徴とする外部記憶装置アクセスシステム。
8. 請求項１に記載の外部記憶装置アクセスシステムであって，
   前記外部記憶装置は，さらに，前記利用者を認証する利用者認証処理部を備え，
   前記外部記憶装置が前記端末装置の前記入出力インタフェースに接続され，起動した場合に，前記端末装置の前記アクセス管理部は，入力された前記利用者認証情報を，記憶すると共に前記外部記憶装置の前記利用者認証処理部へ送信し，
   前記利用者認証処理部は，受信した前記利用者認証情報を用いて前記利用者の認証処理を行い，前記認証処理結果を前記アクセス管理部へ送信し，
   前記アクセス管理部は，前記利用者認証処理部による前記認証結果が，前記利用者が正当であることを示している場合に，記憶している前記利用者認証情報を，前記アクセス被制御領域へ送信する前記利用者アクセス許可要求に含める前記端末装置の利用者認証情報として用い，
   前記利用者が正当ではない，と判断した場合は，当該端末装置の停止処理を行う
   ことを特徴とする外部記憶装置アクセスシステム。
9. 請求項３に記載の外部記憶装置アクセスシステムであって，
   前記外部記憶装置が前記端末装置の前記入出力インタフェースに接続され，起動した場合に，
   前記アクセス管理部は，
   前記アクセス被制御領域へのアクセスを拒否する状態にある前記外部記憶装置が，前記入出力インタフェースに接続されたことを検知すると，
   前記制御部に対して，前記外部記憶装置の管理者の認証情報を含む，前記アクセス被制御領域への管理者アクセス許可要求を送信し，
   前記制御部は，
   前記端末装置から受信した前記管理者認証情報を検証し，
   前記検証に成功した場合は，前記利用条件付き領域の前記管理情報領域への前記管理者アクセスの許可を，前記アクセス管理部へ送信し，
   前記アクセス管理部は，前記管理情報領域へ，前記管理者アクセスとして，前記利用条件の書きこみ，または更新を行い，
   前記管理者アクセスが終了した後に，前記管理者アクセスの終了を前記制御部へ送信し，
   前記制御部は，前記管理者アクセス終了を受信したら，前記アクセス被制御領域へのアクセスを拒否する状態に遷移する。
   ことを特徴とする外部記憶装置アクセスシステム。
10. 端末装置に接続され，前記端末装置からアクセスされうる，外部記憶装置であって，
    認証情報によりアクセス制御されるアクセス被制御領域を設定した記憶素子と，前記アクセス制御を行う制御部と，を備え，
    当該外部記憶装置が，前記端末装置に接続されると，
    前記制御部は，前記アクセス被制御領域へのアクセスを拒否する状態で起動し，
    前記端末装置から受信した前記利用者認証情報を検証し，
    前記検証に成功した場合は，前記アクセス被制御領域に格納された格納情報への利用者アクセス許可を前記端末装置に送信し，
    前記認証に失敗した場合は，前記アクセス被制御領域に格納された前記格納情報を消去する
    ことを特徴とする外部記憶装置。
11. 請求項１０に記載の外部記憶装置であって，
    前記制御部は，前記認証の失敗を前記端末装置に送信し，
    前記制御部は，前記端末装置から前記格納情報の消去指示を受信したら，前記アクセス被制御領域に格納された当該格納情報を消去する
    ことを特徴とする外部記憶装置。
12. 請求項１０に記載の外部記憶装置であって，
    前記アクセス被制御領域は，それぞれに利用条件が設定された利用条件付き領域を一つ以上備え，
    前記利用条件付き領域は，前記利用条件を格納する管理情報領域と，前記格納情報を格納するデータエリアとを含み，
    前記制御部は，前記利用者認証情報の検証に成功した場合に，前記管理情報領域に格納されている前記利用条件の読み出しと，前記データエリアに格納されている前記格納情報へのアクセスを許可する状態に遷移し，
    前記端末装置から，前記いずれかの利用条件の読み出し指示を受信すると，前記管理情報格納領域に格納されている利用条件を読み出して，前記端末装置に送信し，
    前記端末装置から，いずれかの前記利用条件付き領域のデータエリアに格納されている前記格納情報の消去指示を受信した場合には，当該格納情報を消去する
    ことを特徴とする外部記憶装置。

Images