JP2010224613A - 記憶媒体ユニット，及び、記憶媒体自動消去システム - Google Patents

Abstract

【課題】正規のコンピュータ以外のコンピュータに接続された場合には記憶媒体中の記憶情報を消去できるが、保守用ＰＣに接続された場合には記憶情報が消去されない記憶媒体ユニットを、提供する。
【解決手段】コンピュータ１のＲＯＭ１３には、固有の秘密鍵及び公開鍵１６が記憶されている。ＤＥＣ２１には、固有のＤＥ−ＩＤ２４が記憶されている。ＤＥＣ２１は、コンピュータ１のＣＰＵ１２に対して、公開鍵を要求し、受信した公開鍵をハードディスク２２の領域２５に格納する。以後、ＤＥＣ２１は、所定のタイミングにて、ＤＥ−ＩＤ２４を領域２５中の公開鍵によって暗号化し、コンピュータに対して復号化を要求し、復号化された情報を領域２５中の公開鍵と比較し、両者が不一致であればハードディスク２２の記憶内容を消去する。
【選択図】図１

Description

本発明は、コンピュータに外部記憶装置として装着されて使用されるとともに流用時に記憶内容を自律的に消去する機能を有する記憶媒体ユニット，及び、かかる記憶媒体ユニット及び該記憶媒体ユニットと協働して動作するコンピュータを含む記憶媒体自動消去システムに関する。

コンピュータに外部記憶装置として装着されるハードディスク等の記憶媒体には、様々な情報が蓄積されるので、正規のアクセス権限を有する者以外の不正取得者によって内部記憶情報が読み出されないように、漏洩防止の仕組みが必要とされる。特に、記憶媒体を収容した記憶媒体ユニットが紛失・盗難された場合にも、不正取得者によって内部記憶情報が読み出されないようにするために、記憶媒体ユニット単体で情報漏洩を防止できる仕組みが必要となる。

そのため、従来、記憶媒体ユニットが単体で紛失・盗難されたときに、不正取得者が当該記憶媒体にアクセスしようとすると、記憶媒体ユニット内のコントロール装置が自動的に当該記憶媒体ユニット内の記憶媒体の記憶情報を消去する技術が、種々提案されている（特許文献１）。

特開2008-129744号公報 特開2002-318727号公報 特開2006-243957号公報 特開2006-270281号公報

しかしながら、上述した従来技術によると、予め特定されたコンピュータ以外のコンピュータに記憶媒体ユニットが接続された場合には、常に、記憶媒体の記憶情報が消去されてしまう。そのため、例えば、記憶媒体ユニットに生じた障害を保守するために記憶媒体ユニットが単体で保守センター等に持ち込まれた場合であっても、当該記憶媒体ユニットが保守用ＰＣに接続されることに因って、当該記憶媒体ユニット内の記憶媒体の内部記憶情報が消去されてしまうという問題が生じる。

この場合、保守センタのサーバ内に当該記憶媒体ユニット用の認証情報をその識別情報に合わせて記憶しておき、保守センターのサーバに接続された記憶媒体ユニットの識別情報を認識して、これに対応した認証情報を記憶媒体ユニットに通知することにより、記憶媒体ユニットに認証を行わしめる構成が考えられるが、保守センタのサーバに、あらゆる記憶媒体ユニット用の認証情報を保持しておかなければならないので、現実的でないばかりか、却って、かかる認証情報を一括保持していることに因り、セキュリティ上の問題を生じてしまう。

そこで、本案の課題は、記憶媒体ユニットの識別情報を用いることなく、正規のコンピュータ以外のコンピュータに接続された場合には記憶媒体中の記憶情報を消去できるが、保守用ＰＣに接続された場合には記憶情報が消去されない記憶媒体ユニット，及び、かかる記憶媒体ユニットを含む記憶媒体自動消去システムを、提供することである。

本案では、記憶媒体を内蔵する記憶媒体ユニットに、当該記憶媒体上の記憶内容を消去するためのコントローラを内蔵させた。このコントローラは、インタフェースを通じてコンピュータと通信可能であり、固有の識別子を保持する識別子保持部，及び、記憶媒体上の記憶内容を消去するための記憶媒体消去部を備えている。記憶媒体消去部は、コンピュータに対して当該コンピュータ固有の暗号化用鍵を要求し、当該要求に応じて前記コンピュータが応答した暗号化用鍵を記憶し、その後、所定のタイミングにて、記憶している前記暗号化用鍵を用いて前記識別子保持部内に保持されている前記識別子を暗号化し、暗号化された識別子を前記コンピュータ固有の復号化用鍵を用いて復号化することによって得られた情報を応答することを前記コンピュータに要求し、当該要求に応じて、前記識別子保持部内に保持されている前記識別子と同一の情報が前記コンピュータから応答されなかった場合に、前記記憶媒体の記憶内容を消去する。

従って、固有の暗号化用鍵と復号化用鍵との組合せを格納しているとともに、記憶媒体ユニットからの暗号化用鍵の要求に応じて、保持している暗号化用鍵を応答する処理，及び、記憶媒体ユニットからの復号化の要求に応じて、保持している復号化用鍵を用いて、記憶媒体消去部によって暗号化された識別子を復号化して、記憶媒体ユニットに応答する処理を実行する機能を備えたコンピュータに、当該記憶媒体ユニットを接続させれば、当該コンピュータ固有の公開鍵が記憶媒体ユニットのコントローラ（記憶媒体消去部）によって記憶されるので、以後、当該コンピュータに当該記憶媒体ユニットが接続されている限り、記憶媒体ユニットのコントローラ（記憶媒体消去部）が記憶媒体の記憶内容を消去することはない。

その後、記憶媒体ユニットが、上記機能を有する別のコンピュータ（以下、「流用コンピュータ」という）に接続された場合、記憶媒体ユニットのコントローラ（記憶媒体消去部）が、暗号化した識別子の復号化を流用コンピュータに要求しても、流用コンピュータ固有の復号化要鍵は、当該識別子の暗号化に用いられた暗号化用鍵とは対応していないので、復号化によって得られた情報は、暗号化前の識別子とは不一致となる。よって、記憶媒体ユニットのコントローラ（記憶媒体消去部）は、記憶媒体の記憶内容を消去する。

他方、記憶媒体ユニットを、上記コンピュータ固有の復号化用鍵を書換自在に保持するとともに、上記機能を有する保守用コンピュータに接続した場合、当該保守用コンピュータのオペレータが事前に上記コンピュータ固有の復号化用鍵を当該保守用コンピュータに入力することにより、当該保守用コンピュータは、上記コンピュータと同様に振る舞うことができるので、記憶媒体ユニットのコントローラ（記憶媒体消去部）が記憶媒体の記憶内容を消去しまうことがない。

本案によると、記憶媒体ユニットの識別情報を用いる必要がないにも拘わらず、正規のコンピュータ以外のコンピュータに接続された場合には記憶媒体中の記憶情報を消去できるが、記憶媒体ユニットが保守用ＰＣに接続された場合には、記憶媒体上の記憶情報が消去されてしまうことを防止することができる。

コンピュータ及びＤＥの構成を示すブロック図 保守用ＰＣ，ＤＥ及び保守センターサーバの構成を示すブロック図 保守契約締結ＣＰＵ管理テーブルのデータ構造を示す表 ディスク正当性確認プログラムによる処理を示すフローチャート ＣＰＵ正当性確認部による処理を示すフローチャート 販売管理部による処理を示すフローチャート ＤＥ保守管理部による処理を示すフローチャート 応用例におけるディスク正当性確認プログラムによる処理を示すフローチャート

以下、図面に基づいて、本案の実施の形態を説明する。
＜販売形態＞
本実施形態において想定されるコンピュータの販売形態においては、コンピュータシステムの販売会社又は製造会社における例えば顧客管理部門の拠点に設置された一台のサーバ（図２に示す保守センターサーバ４）に、当該販売会社又は製造会社と保守契約を締結した顧客及び保守契約の対象となったコンピュータ１に関する販売管理情報（即ち、各販売されたコンピュータ毎に、コンピュータ自体の識別番号（ＣＰＵ号機番号），購入した顧客の住所，氏名，電子メールアドレス等を一覧した表）４７が記録される。かかる販売管理情報は、例えば、コンピュータを顧客に販売した営業担当者によって営業用の端末から入力されるか、コンピュータを購入した顧客によってネットワークを通じて直接入力されるか、顧客からの保守契約申込書に記載された情報に基づいて顧客サービス担当者によって端末を通じて入力される。なお、以後の説明では、コンピュータを顧客に「販売」するとの表現が用いられるが、本案は、コンピュータが売買される場合に適用が限定されるものではなく、コンピュータが無償譲渡される場合，貸借される場合にも、適用可能なものである。
＜販売されるコンピュータの構成＞
図１は、本実施形態において顧客に販売（無償譲渡又は貸借も含まれる）されるコンピュータ（記憶媒体自動消去システム）の構成を示すブロック図である。この図１に示すように、筐体内に固定されたマザーボード１０上に設けられたコネクタ１７に、記憶媒体ユニットとしての磁気ディスク装置（以下、「ＤＥ：Disk Enclosure」２という）を、着脱自在に接続できるように、構成されている。当該コンピュータの筐体には、ＤＥ２を収容できるスロットが設けられており、このスロットにＤＥ２を挿入することにより、当該ＤＥ２の背面に設けたれたコネクタが、上記マザーボード１０上のコネクタ１７に、接続されるようになっている。なお、ＤＥ２は、コンピュータ１に内蔵された状態でセット販売される場合もあるし、コンピュータ１とは別売される場合もある。また、ＤＥ２は、使用途中において新規のものと交換される場合もある。また、マザーボード１０上には、複数のコネクタ１７が設けられている場合もある。

マザーボード１０上には、ＣＰＵ１２，ＲＯＭ１３，ＲＡＭ１１等の回路部品が設置されており、これら回路部品は、上記コネクタ１７にも接続されたバスＢを通じて相互に接続されている。

ＲＯＭ１３は、図示せぬＢＩＯＳ（Basic Input/Output System）プログラム等のＣＰ
Ｕ１２の基本動作を制御するためのプログラムを格納するための記憶媒体であり、例えば、フラッシュメモリのような書換自在な不揮発性メモリから構成されている。本例においては、このＲＯＭ１３内に、本例によるＤＥ２に対応した専用ドライバプログラムであるディスク正当性確認プログラム１５及び当該コンピュータ１に固有の公開鍵／秘密鍵１６が、格納されている。なお、この公開鍵／秘密鍵１６は、当該コンピュータ１が製造会社又は販売会社によって販売された際に、一意のものとして付与された秘密鍵（復号化用鍵）と公開鍵（暗号化用鍵）との組合せであり、保守センターサーバ４内において、当該秘密鍵及び公開鍵のコピーが管理されている。

ＲＡＭ１１は、ＣＰＵ１２による作業領域が展開される主記憶装置である。

ＣＰＵ１２は、ＲＯＭ１３から図示せぬＢＩＯＳプログラムを、ＤＥ２内のハードディスク２２から図示せぬＯＳ（Operation system）プログラム及び各種アプリケーションプログラムを、夫々読み込んで、これらプログラムに従って本来の業務処理を実行する中央処理装置である。また、ＣＰＵ１２は、ＲＯＭ１３からディスク正当性確認プログラム１５を読み込むことによって、ディスク正当性確認部１４の機能を生じ、ＤＥ２内の後述するＤＥＣ２１と協働した正当性確認処理を実行する。

ＤＥ２は、記憶媒体としてのハードディスク２２及びコントローラ（以下、「ＤＥＣ：Disk Enclosure Controller」２１という）をパッケージ内に内蔵してなるユニットであ
る。ＤＥＣ１２の内部では、上述したコネクタ２６，ハードディスク２２及びＤＥＣ２１が、バスＢを通じて相互に接続されている。

ハードディスク６には、上述したＯＳプログラムやアプリケーションプログラム等の通常業務用のプログラムが格納されている他、コンピュータ１のＣＰＵ１２から送信されてくる公開鍵（ＣＰＵ−ＰＫ）１６を格納保持するための領域（以下、「ＣＰＵ−ＰＫエリア２５」という）が、確保されている。

ＤＥＣ２１は、ＣＰＵ及び当該ＣＰＵによって実行されるプログラムを格納したメモリ（識別子保持部）から構成されたＣＰＵ正当性確認部（記憶媒体消去部）２３，及びメモリから構成されるＤＥ−ＩＤ保持部２４を備える。ＤＥ−ＩＤ保持部２４には、当該ＤＥ４の製造会社によって生成された一意の識別番号であるＤＥ−ＩＤが、当該ＤＥ２の工場出荷時に書き込まれている。但し、当該ＤＥ−ＩＤ自体は、保守センターサーバ４によって管理されていない。
＜保守用ＰＣ及び保守センターサーバ４の構成＞
図２は、上記ＤＥ２の保守（例えば、ハードディスク２２に格納されているプログラムやデータの修正，更新，復旧答）を行うために、製造会社又は販売会社のサービスセンター等の拠点に設置された保守用ＰＣ３及び保守センターサーバ４の構成を示すブロック図である。

この図２に示すように、保守用ＰＣ３は、相互にバスＢを通じて接続されたＣＰＵ３１，ＲＡＭ３２，ハードディスク３３，コネクタ３７，入力装置３８及び通信アダプタ３６を有している。

通信アダプタ３６は、ネットワークＮを通じて保守センターサーバ４に接続されたネットワークインタフェースである。

ＣＰＵ３，ＲＡＭ３２，ハードディスク３３，コネクタ３７の基本的な機能は、上述したコンピュータ１のものと同じである。但し、ハードディスク３２には、ＤＥ２に対する保守を実行するためのＤＥ保守プログラム３５が格納されている。また、ＲＡＭ３２には、ＤＥ保守プログラム３５を実行しているＣＰＵ３１が、通信アダプタ３６を通じて保守センターサーバ４から受け取った、保守対象ＤＥ２に対応したコンピュータ１についての公開鍵及び秘密鍵３４が、一時記憶される。入力装置３８が、オペレータによって操作されることにより、ＣＰＵ３１に各種コマンド及びデータを入力するキーボード．ポインティングデバイス等である。

保守センターサーバ４は、相互にバスＢを通じて接続されたＣＰＵ４１，ハードディスク４３及び通信アダプタ４９を有している。

通信アダプタ４９は、ネットワークＮを通じて保守センターサーバ４に接続されたネットワークインタフェースである。

ハードディスク４３には、ＣＰＵ４１に読み出されて実行される各種プログラム４６及び上述した販売管理情報４７が格納されている。販売管理情報４７内には、更に、各コンピュータ１のＣＰＵ号機番号に夫々対応させて上記公開鍵及び秘密鍵の組合せを一覧したテーブル（保守契約締結ＣＰＵ管理テーブル４８，図３参照）が、含まれている。

ＣＰＵ４１は、ハードディスク４３からプログラム４６を選択的に読み出して実行することにより、ＤＥ保守管理部４４の機能，及び、販売管理部４５の機能を生じる。販売管理部４５の機能は、上述したように、販売されたコンピュータ１についての販売管理情報４７をハードディスク４３内に保存する機能である。また、ＤＥ保守管理部４４の機能とは、保守用ＰＣ３からの要求に応じて、指定されたＣＰＵ号機番号に対応した公開鍵及び秘密鍵の組合せを応答する機能である。
＜処理内容＞
以下、ディスク正当性確認プログラム１５に応じてコンピュータ１のＣＰＵ１２（ディスク正当性確認部）が実行する処理，ＤＥＣ２１のＣＰＵ正当性確認部２３が実行する処理，ＤＥ保守プログラム３５に従って保守用ＰＣ３が実行する処理，及び、保守センターサーバ４のＣＰＵ４１（ＤＥ保守管理部４４，販売管理部４５）が実行する処理を、説明する。
［ディスク正当性確認プログラムによる処理］
図４は、ディスク正当性確認プログラム１５に応じてコンピュータ１のＣＰＵ１２が実行する処理を概略的に示すフローチャートである。当該処理は、図示せぬＯＳによる制御下で、ＣＰＵ１２の起動時に自動的にスタートする。

スタート後最初のＳ００１では、ＣＰＵ１２は、コネクタ１７の先に接続されたＤＥ２に電源を投入する。

次のＳ００２では、ＣＰＵ１２は、ＤＥ２からの要求（Ｓ１０２）を待ち、要求があると、ＲＯＭ１３に格納している当該コンピュータ１に固有の公開鍵（ＣＰＵ−ＰＫ）を、ＤＥ２に応答する。

ＣＰＵ１２は、次のＳ００３において、ＤＥ２からの暗号化ＤＥ−ＩＤの通知（Ｓ１０７）を待ち、暗号化ＤＥ−ＩＤを受信すると、次の００４において、受信した暗号化ＤＥ−ＩＤを、ＲＯＭ１３に格納している当該コンピュータ１に固有の秘密鍵により復号化する。

次のＳ００５では、ＣＰＵ１２は、Ｓ００５にて復号化したＤＥ−ＩＤを、ＤＥ２に応答する。
［ＤＥ保守プログラムによる処理］
図５は、ＤＥＣ２１のＣＰＵ正当性確認部２３が実行する処理を示すフローチャートである。当該処理は、コネクタ２６及びバスＢを通じてコンピュータ１側から主電源が供給されることにより、スタートする。そして、スタート後最初のＳ１０１において、ＣＰＵ正当性確認部２３がハードディスク４３に主電源を投入する。

次のＳ１０２では、ＤＥＣ２１は、コネクタ２６の先に接続されているコンピュータに対して、固有の公開鍵（ＣＰＵ−ＰＫ）を要求する。

次のＳ１０３では、ＤＥＣ２１は、コネクタ２６の先に接続されているコンピュータから固有の公開鍵（ＣＰＵ−ＰＫ）の応答が一定時間内にあったか否かをチェックする。そして、応答がなければ、コネクタ２６の先に接続されているコンピュータにはディスク正当性確認プログラム１５が備えられていない為に、ハードディスク４３の自動消去機能に
対応していないと判断して、処理をＳ１１１へ進める。

これに対して、固有の公開鍵（ＣＰＵ−ＰＫ）の応答があれば、コネクタ２６の先に接続されているコンピュータは、ディスク正当性確認プログラム１５が備えられているハードディスク４３の自動消去機能に対応したコンピュータ１であると判断して、処理をＳ１０４へ進める。

Ｓ１０４では、ＤＥＣ２１は、ハードディスク２２内のＣＰＵ−ＰＫエリア２５に既に何れかの公開鍵が格納されているか否かをチェックする。そして、ＤＥＣ２１は、ＣＰＵ−ＰＫエリア２５が空であれば、当該ＤＥを新規購入後最初に使用する状況であると判断して、Ｓ１０５においてコンピュータ１００から受信した固有の公開鍵（ＣＰＵ−ＰＫ）をＣＰＵ−ＰＫエリア２５に書き込んだ後に、処理をＳ１０６へ進める。

これに対して、ＤＥＣ２１は、ハードディスク２２内のＣＰＵ−ＰＫエリア２５に既に何れかの公開鍵が格納されているのであれば、当該ＤＥ２を最初に使用する状況ではないと判断して、処理をそのままＳ１０６へ進める。

Ｓ１０６では、ＤＥＣ２１は、ＣＰＵ−ＰＫエリア２５内の公開鍵（ＣＰＵ−ＰＫ）によりＤＥ−ＩＤ２４を暗号化する。

次のＳ１０７では、ＤＥＣ２１は、Ｓ１０６にて暗号化したＤＥ−ＩＤ２４を、コンピュータ１のＣＰＵ１２へ送信する。

次のＳ１０８では、ＤＥＣ２１は、コンピュータ１のＣＰＵ１２が固有の秘密鍵により復号化（Ｓ００４）することによって得られるＤＥ−ＩＤ相当のデータを送信（Ｓ００５）してくるのを待つ。そして、復号化したＤＥ−ＩＤ相当のデータを受信すると、ＤＥＣ２１は、処理をＳ１０９へ進める。

次のＳ１０９では、ＤＥＣ２１は、１０８にて受信したデータが、ＤＥＣ２１内に保管されているＤＥ−ＩＤ２４と一致しているかどうかをチェックする。そして、両者が一致している場合には、ＤＥＣ２１は、当該ＤＥ２が（新規購入後，ないし、一旦ハードディス２２が消去された後）最初に接続されたコンピュータ１に、現在も接続されているのであると判断して、処理をそのまま終了する。これに対して、両者が一致していない場合には、ＤＥＣ２１は、当該ＤＥ２が新規購入後最初に接続されたコンピュータ１とは別のコンピュータ１に現在接続されているのであると判断して、Ｓ１１０において、ＣＰＵ−ＰＫエリア２５を除くハードディスク２２内の全データを消去した後に、処理を終了する。

一方、コネクタ２６の先に接続されているコンピュータから固有の公開鍵（ＣＰＵ−ＰＫ）の応答が一定時間内になかったとＳ１０３にて判断した場合には、ＤＥＣ２１は、Ｓ１１にて、ハードディスク２２内のＣＰＵ−ＰＫエリア２５に既に何れかの公開鍵が格納されているか否かをチェックする。そして、ＤＥＣ２１は、ＣＰＵ−ＰＫエリア２５が空であれば、当該ＤＥ２を新規購入後最初に使用する状況であると判断して、処理をそのまま終了する。これに対して、ハードディスク２２内のＣＰＵ−ＰＫエリア２５に既に何れかの公開鍵が格納されているのであれば、当該ＤＥ２が新規購入後最初に接続されたディスク正当性確認プログラム１５を備えたハードディスク２２の自動消去機能対応のコンピュータ１とは別のコンピュータに、現在接続されているのであると判断して、Ｓ１１０において、ＣＰＵ−ＰＫエリア２５を除くハードディスク２２内の全データを消去した後に、処理を終了する。
［ＤＥ保守プログラムによる処理］
ＤＥ保守プログラム３５に従って保守用ＰＣ３のＣＰＵ３１が実行する処理は、当該保
守用ＰＣ３のＣＰＵ３１が、ディスク正当性確認プログラム１５を備えたハードディスク２２の自動消去機能対応のコンピュータ１として振る舞うための処理である。そのため、ＣＰＵ３１は、オペレータにより、入力装置３８を通じて、保守対象ＤＥ２に常時接続されているコンピュータ１のＣＰＵ号機番号が入力されると、このＣＰＵ号機番号を保守センターサーバ４へ送信する。そして、当該ＣＰＵ号機番号に対応して保守契約締結ＣＰＵ管理テーブル４８に登録されている秘密鍵及び公開鍵の組合せが、保守センターサーバ４から送られて来ると（Ｓ３０３）、当該公開鍵及び秘密鍵３４をＲＡＭ３２に一時記憶した上で、図４に示す処理を実行する。
［販売管理部による処理］
図６は、保守センターサーバ４のＣＰＵ４１が、プログラム４６に基づいて販売管理部４５として実行する処理である。図６に示されるように、販売管理部４５は、上述したようにして、当該製造会社又は販売会社と保守契約を締結したユーザが登録を求めたコンピュータ１のＣＰＵ号機番号，公開鍵（ＣＰＵ−ＰＫ），秘密鍵が入力されると（Ｓ２０１）、Ｓ２０２において、入力されたＣＰＵ号機番号，公開鍵（ＣＰＵ−ＰＫ），秘密鍵を相互に対応付けて、保守契約締結ＣＰＵ管理テーブル４８に登録する。
［ＤＥ保守管理部による処理］
図７は、保守センターサーバ４のＣＰＵ４１が、プログラム４６に基づいてＤＥ保守管理部４４として実行する処理である。図７に示されるように、ＤＥ保守管理部４４は、保守用ＰＣ３のＣＰＵ３１からＣＰＵ号機番号を指定した要求を受信すると（Ｓ３０１）、Ｓ３０２において、保守契約締結ＣＰＵ管理テーブル４８から、受信したＣＰＵ号機番号に対応した公開鍵（ＣＰＵ−ＰＫ）及び秘密鍵の組合せを取得する。そして、ＤＥ保守管理部４４は、次のＳ３０３において、取得した公開鍵（ＣＰＵ−ＰＫ）及び秘密鍵の組合せを、要求元の保守用ＰＣ３に応答する。
＜動作＞
以下、本例による記憶媒体自動消去システムの動作を、通常使用時，盗用時，及び保守時に分けて、夫々説明する。
［通常使用時］
先ず、コンピュータ１の保守契約が製造会社又は販売会社と顧客との間で締結されると、そのコンピュータ１のＣＰＵ号機番号，公開鍵（ＣＰＵ−ＰＫ）及び秘密鍵が、保守センターサーバ４の保守契約締結ＣＰＵ管理テーブル４８に登録される。

新規購入したコンピュータ１を最初に起動した場合、若しくは、既に購入済みのコンピュータ１に新規購入のＤＥ２を装填して起動すると、当該コンピュータ１に固有の公開鍵（ＣＰＵ−ＰＫ）が、ＤＥ２のハードディスク２２上のＣＰＵ−ＰＫエリア２５に書き込まれる（Ｓ００２，Ｓ１０２，Ｓ１０５）。

そのため、以後、コンピュータ１を起動する毎に、ＣＰＵ−ＰＫエリア２５に書き込まれた当該コンピュータ１に固有の公開鍵（ＣＰＵ−ＰＫ）により、当該ＤＥ２中のＤＥＣ２１に格納されたＤＥ−ＩＤ２４が暗号化され（Ｓ１０６）、暗号化されたＤＥ−ＩＤ２４が当該コンピュータ１において固有の秘密鍵によって復号されて（Ｓ００４）、応答される（Ｓ００５）。よって、ＤＥ２が当該コンピュータ１に接続されているのであれば、暗号化前のＤＥ−ＩＤと復号化後のＤＥ−ＩＤとは一致するので、ＤＥＣ２１は、当該ＤＥ２が正規のコンピュータ１に接続されているのであるとして、ハードディスク２２の自動消去を行わない。

なお、新規購入されたＤＥ２が、ディスク正当性確認プログラム１５を備えていないコンピュータに接続された場合、コンピュータからＤＥＣ２１に対して公開鍵（ＣＰＵ−ＰＫ）が送信されてくることないので、ＤＥＣ２１は、ＣＰＵ−ＰＫエリア２５上に公開鍵（ＣＰＵ−ＰＫ）が格納されていないことを確認した上で、当該ＤＥ２が当該記憶媒体自動消去システムの対象外であるとして、ハードディスク２２の自動消去を行わない。
［盗用時］
ＤＥ２が最初に接続されたコンピュータ（以下、「正規コンピュータ」という）１から当該ＤＥ２のみが盗難紛失し、無権限の取得者によって、正規コンピュータ１以外のコンピュータ（以下、「流用コンピュータ」という）に接続された場合、当該ＤＥ２が接続された流用コンピュータが、ディスク正当性確認プログラム１５を備えたハードディスク２２の自動消去機能対応のコンピュータである場合と、それ以外のコンピュータである場合とで、処理が異なる。

前者の場合、当該ＤＥ２のハードディスク２２上のＣＰＵ−ＰＫエリア２５上には、既に正規コンピュータ１の公開鍵（ＣＰＵ−ＰＫ）が格納されているので、流用コンピュータの公開鍵（ＣＰＵ−ＰＫ）が上書きされることはない。

そして、ＤＥＣ２１は、通常使用時と同様に、ＣＰＵ−ＰＫエリア２５に書き込まれた正規コンピュータ１に固有の公開鍵（ＣＰＵ−ＰＫ）により、当該ＤＥ２中のＤＥＣ２１に格納されたＤＥ−ＩＤ２４が暗号化するが（Ｓ１０６）、暗号化されたＤＥ−ＩＤ２４は流用コンピュータ１において流用コンピュータ固有の秘密鍵によって復号されるので（Ｓ００４）、暗号化前のＤＥ−ＩＤと復号化後のＤＥ−ＩＤとは一致しない。よって、ＤＥＣ２１は、当該ＤＥ２が正規コンピュータ１以外のコンピュータに接続されていると判断して、ハードディスク２２の自動消去を行う（Ｓ１１０）。このとき、ＤＥＣ２１は、ＣＰＵ−ＰＫエリア２５の内容を残すので、当該ＤＥ２を使用することはできないままとなる。

他方、後者の場合、流用コンピュータからＤＥＣ２１に対して公開鍵（ＣＰＵ−ＰＫ）が送信されてくることないので、ＤＥＣは、ＣＰＵ−ＰＫエリア２５上に公開鍵（ＣＰＵ−ＰＫ）が格納されていることを確認して、当該ＤＥ２が正規コンピュータ１以外のコンピュータに接続されていると判断して、ハードディスク２２の自動消去を行う（Ｓ１１２）。このとき、ＤＥＣ２１は、ＣＰＵ−ＰＫエリア２５の内容を残すので、当該ＤＥ２を使用することはできないままとなる。
［保守時］
保守時には、正規コンピュータ１から取り外された保守対象ＤＥ２がサービスセンターに持ち込まれ、保守用ＰＣ３に接続される。このとき、保守用ＰＣ３のオペレータは、正規コンピュータ１のＣＰＵ号機番号を調べて、入力装置３８を通じて入力する。すると、保守用ＰＣ３のＣＰＵ３１は、入力されたＣＰＵ号機番号に対応する公開鍵（ＣＰＵ−ＰＫ）及び秘密鍵の組合せを保守センターサーバ４から取得し（Ｓ３０１〜Ｓ３０３）、ＲＡＭ３２に一時記憶させる。

その上で、ＣＰＵ３１は、当該公開鍵（ＣＰＵ−ＰＫ）を保守対象ＤＥ２に送信するが（Ｓ００２）、保守対象ＤＥ２のハードディスク２２には、正規コンピュータ１固有の公開鍵（ＣＰＵ−ＰＫ）が既に格納されているので、上書きはなされない。続いて、ＤＥＣ２１は、ＣＰＵ−ＰＫエリア２５に書き込まれた正規コンピュータ１に固有の公開鍵（ＣＰＵ−ＰＫ）により、当該ＤＥ２中のＤＥＣ２１に格納されたＤＥ−ＩＤ２４を暗号化し（Ｓ１０６）、暗号化されたＤＥ−ＩＤ２４を保守用ＰＣのＣＰＵ３１に送信する（Ｓ１０７）。すると、ＣＰＵ３１は、受信した暗号化ＤＥ−ＩＤ２４を当該コンピュータ１固有の秘密鍵によって復号し（Ｓ００４）、応答する（Ｓ００５）。応答されたＤＥ−ＩＤは、暗号化前のＤＥ−ＩＤと当然に一致するので、ＤＥＣ２１は、ハードディスク２２の自動消去を行わない。そのため、保守用ＰＣ３を用いたＤＥ２に対する保守作業が、以後、可能となるのである。
＜利点＞
上述したことから明らかなように、本実施形態による記憶媒体自動消去システムによれば、一旦正規コンピュータ１に接続されたＤＥ２が、他の流用コンピュータに接続された
場合には、当該ＤＥ２内のハードディスク２２内の情報がＣＰＵ−ＰＫエリア２５を除いて全て自動消去されるので、情報漏洩の問題が生じない。それにも拘わらず、保守のためにＤＥ２を正規コンピュータ１から取り外して保守用コンピュータ３に接続する場合には、保守用ＰＣ３のＣＰＵ３１が、保守センターサーバ４から正規コンピュータの公開鍵（ＣＰＵ−ＰＫ）及び秘密鍵を取得して、あたかも正規コンピュータ１の如く振る舞うので、保守対象ＤＥ２内のハードディスク２２内の情報が自動消去されてしまうことが防止される。
＜応用１＞
上記例では、ＤＥ２内にはハードディスク２２が収容されているが、このハードディスク２２は複数個からなるディスクアレイ構造となっていても良い。また、大容量記憶媒体であれば、ハードディスク２２に替えることができる。例えば、フラッシュメモリが記憶媒体であっても良い。また、コンピュータ１のＣＰＵ１２とＤＥ２とのインタフェースは、コネクタの形態を持つものでなくても良く、例えば、電磁波を通じて無線通信するものであっても良い。また、保守用ＰＣ３は、正規コンピュータ１固有の秘密鍵を一時記憶する必要があるものの、保守対象ＤＥ２のハードディスク２２のＣＰＵ−ＰＫエリア２５には既に正規コンピュータ１の公開鍵（ＣＰＵ−ＰＫ）が格納されているので、正規コンピュータ１固有の公開鍵を有することは必ずしも必要ではなく、最小限、Ｓ１０３にて公開鍵であるとの判定がなされる形態を有するダミーの鍵を送信できれば良い。よって、保守契約締結ＣＰＵ管理テーブル４８においても、公開鍵を保持することは必須ではない。また、ＤＥＣ２１によるＳ１０６以降の処理の実行タイミングは、上述した起動時における公開鍵の受信後のタイミングに限らず、例えば、通常の使用中においても、所定時間毎に、上記処理を実行しても良い。要は、一旦コンピュータ１固有の公開鍵を記憶した後であれば良い。ＤＥＣ２１は、Ｓ１０７での送信後所定時間経過してもコンピュータ１が復号化されたＤＥ−ＩＤを送信して来ない場合には、Ｓ１０８をスキップして、Ｓ１０９において“ＮＯ”との判断を行うことにより、Ｓ１１０での消去を行っても良い。
＜応用２＞
一旦正規コンピュータに接続されたＤＥを、再度、流通市場に戻す、あるいは、社内で流用する場合がある。この場合、自動消去処理が動作した後にＣＰＵ−ＰＫエリア25に前の正規コンピュータのＣＰＵ−ＰＫが残っているため、そのままでは、流用できない。この問題を解決するために、ＣＰＵ側のプログラムに再利用モードを追加してもよい。この場合、正規コンピュータに接続中に再利用モードを起動してもよいし、上記再利用化処理を保守センターで集中して行うことをルール化するのであれば、保守センターの保守用ＣＰＵに再利用モードのプログラムを容易すればよい。すなわち、再利用させるために保守センターに持ち込まれたＤＥは、保守用ＣＰＵに接続される。該保守用ＣＰＵのＤＥ保守プログラム３５は再利用モードで起動され、前記、ＤＥ保守プログラムの動作ののち、ＣＰＵ−ＰＫエリアを含む全領域の消去を行う。この機能により、正規の手続を経た場合は、再度、市場に出したり、社内で再利用したりすることができるが、盗用あるいは非正規の流用については、ＣＰＵ−ＰＫが残っているために再利用できなくなり、ＤＥの盗難あるいは非正規の流用を抑止することができる。

図８に、本応用例による再利用モードのＤＥ保守プログラムを示す。当該図８を図４と比較すれば明らかなように、当該再利用モードのＤＥ保守プログラムは、図４に示す処理を行った後に、Ｓ００６において、保守時のプログラムにＣＰＵ−ＰＫエリアを含む全領域の消去処理を実行するものである。

１ コンピュータ
２ ＤＥ
３ 保守用ＰＣ
４ 保守センターサーバ
１２ ＣＰＵ
１３ ＲＯＭ
１４ ディスク正当性確認部
１５ ディスク正当性確認プログラム
１６ 公開鍵／秘密鍵
１７ コネクタ
２１ ＤＥＣ
２２ ハードディスク
２３ ＣＰＵ正当性確認部
２４ ＤＥ−ＩＤ
２５ ＣＰＵ−ＰＫエリア
２６ コネクタ
３１ ＣＰＵ
３２ ＲＡＭ
３３ ハードディスク
３４ 保守対象ＣＰＵの公開鍵／秘密鍵
３５ ＤＥ保守プログラム
３８ 入力装置
４１ ＣＰＵ
４３ ハードディスク
４４ ＤＥ保守管理部
４８ 保守契約締結ＣＰＵ管理テーブル

Claims (5)

1. インタフェースを通じてコンピュータと接続され外部記憶装置として用いられる記憶媒体ユニットにおいて、
   前記インタフェースを通じて前記コンピュータからアクセスされる記憶媒体と、
   前記インタフェースを通じて前記コンピュータと通信可能なコントローラであって、固有の識別子を保持する識別子保持部，及び、前記コンピュータから取得した当該コンピュータ固有の暗号化用鍵を記憶し、その後、所定のタイミングにて、記憶している前記暗号化用鍵を用いて前記識別子保持部内に保持されている前記識別子を暗号化して前記コンピュータに送信し、当該送信に応じて、前記識別子保持部内に保持されている前記識別子と同一の情報が前記コンピュータから応答されなかった場合に、前記記憶媒体の記憶内容を消去する記憶媒体消去部とを有するコントローラとを
   備えたことを特徴とする記憶媒体ユニット。
2. 前記記憶媒体には、前記暗号化用鍵を保持する領域が確保されているとともに、
   前記記憶媒体消去部は、前記コンピュータが応答した暗号化用鍵を前記記憶媒体の前記領域に記憶し、前記記憶媒体の記憶内容を消去する際には、前記領域以外の領域を初期化する
   ことを特徴とする請求項１記載の記憶媒体ユニット。
3. 前記記憶媒体消去部は、何れのコンピュータ固有の暗号化用鍵も記憶していない場合に限り、前記コンピュータから受信した当該コンピュータ固有の暗号化用鍵を記憶する
   ことを特徴とする請求項１又は２記載の記憶媒体ユニット。
4. 前記記憶媒体消去部は、前記要求に応じて前記コンピュータが前記暗号化用鍵を送信してこない場合には、既に何れかのコンピュータの暗号化用鍵を記憶していれば前記記憶媒体の記憶内容を消去する
   ことを特徴とする請求項１又は２記載の記憶媒体ユニット。
5. 外部記憶装置を接続可能なインタフェースを備えたコンピュータと、インタフェースを通じて当該コンピュータと接続され外部記憶装置として用いられる記憶媒体ユニットとを有する記憶媒体自動消去システムにおいて、
   前記記憶媒体ユニットは、
   前記インタフェースを通じて前記コンピュータからアクセスされる記憶媒体と、
   前記インタフェースを通じて前記コンピュータと通信可能なコントローラであって、固有の識別子を保持する識別子保持部，及び、前記コンピュータから取得した当該コンピュータ固有の暗号化用鍵を記憶し、その後、所定のタイミングにて、記憶している前記暗号化用鍵を用いて前記識別子保持部内に保持されている前記識別子を暗号化して前記コンピュータに送信し、当該送信に応じて、前記識別子保持部内に保持されている前記識別子と同一の情報が前記コンピュータから応答されなかった場合に、前記記憶媒体の記憶内容を消去する記憶媒体消去部とを有するコントローラとを備え、
   前記コンピュータは、
   ＣＰＵと、
   固有の暗号化用鍵と復号化用鍵との組合せを格納している記憶部と、
   前記ＣＰＵに対して、前記暗号化用鍵を送信する処理，及び、前記記憶媒体ユニットからの前記暗号化された識別子の受信に応じて、当該復号化用鍵を用いて当該暗号化された識別子を復号化して、前記記憶媒体ユニットに応答する処理を実行させる制御部とを備えた
   ことを特徴とする記憶媒体自動消去システム。

Images