JP2019159766A - データ保護装置、データ保護方法、およびデータ保護用プログラム - Google Patents

Abstract

【課題】オンライン状態にある記録されたデータが破壊されることを阻止できるデータ保護装置、データ保護方法及びデータ保護用プログラムを提供する。【解決手段】データ保護装置１００は、物理的な切り替えを行う物理的切替スイッチ１１０と、ランダムにアクセス可能な記憶装置１４０と、を有する。記憶装置は、データ領域１４４とインデックス１４２とを持つ。データ領域は、各々がデータを保持する複数のブロックに分かれている。インデックスは、データを保持する各ブロックの場所を指し示すアドレス情報と、各ブロックが「未使用」、「使用中」、および「使用済み」のいずれの状態であるかを示す状態情報とを保持する。データ保護装置は、記憶装置にあるインデックスを参照して、「未使用」のブロックへの追記のみを行うデータ書込制御装置を備える。【選択図】図１

Description

本発明は、データ保護装置、データ保護方法、およびデータ保護用プログラムに関する。

プログラムのバグ等により、データが意図せず破壊される可能性がある。また、ランサムウェア（Ransomware）によってデータが暗号化された場合、データの復旧手段はバックアップから行われる。ここで、「ランサムウェア」とは、マルウェア（クライムウェア）の一種であって、影響を受けたユーザから金銭を脅し取るために個人または犯罪組織が使用するソフトウェアプログラムをいう。攻撃者側からすると、バックアップデータの存在は目的を達成するために排除の対象となっている。したがって、安全にデータを保管することが求められる。

ランサムウェアの一種であるSAMASのようにAdmin権限を奪取して、VSS（Volume Shadow Copy） Adminで削除を指示する動きも確認されている。ここで、「Admin権限」とは、ユーザのプロファイルで権限フラグを設定することで特権的機能を実行できる権限をいう。攻撃者によってAdmin権限が取得されると、リモート操作によってオンラインのバックアップデータが削除あるいは暗号化等により破壊される可能性がある。

ランサムウェアから確実にデータを保護する方法として、オフライン保管が可能なテープメディアのようなリムーバブルメディアへ記録する方法が知られている。しかしながら、バックアップ対象のデータ量がTB（terabyte）を超えてくると、バックアップにかかる時間などの運用上の制約から、一次バックアップ先としてリムーバブルメディアが適さないことがある。

また、二次バックアップ先としてリムーバブルメディアに保存する方法も知られている。しかしながら、この方法は、コストが増加すること、目標復旧時点が古くなってしまうことが課題として残る。

さらに、重複排除の機能を用いて、バックアップ時間を短縮すると共に、バックアップデータを保管するための領域を効率的に使用することが可能となっている。重複排除の機能では、増分に相当するユニークなブロックのみを保持すればよいため、多数の世代保管も行うことができる。しかしながら、重複排除されたバックアップデータを参照できるようにオンラインの領域に保持することが、重複排除の機能の要件となっている。そのため、重複排除の機能を用いたいユーザは、ウイルス等によるデータ破壊リスクを零にすることができない。

上述したような先行技術では、記憶装置の機密保護の分野において、以下に述べるような３種類のデータ破壊の問題が知られている。

第１の問題は、ウイルスなどの論理的な侵入に起因するデータ破壊の問題である。第２の問題は、ソフトウェアのバグなどの論理的な不具合によるデータ破壊の問題である。第３の問題は、誤操作等による消去命令などによるデータ破壊の問題である。

また、同分野の別の先行技術（先行技術文献）として、以下が知られている。

まず、先行技術のファイル制御の仕組みとして、ファイルの暗号化・復号の際に使われるドングル（Dongle）が知られている。ここで、「ドングル」とは、コンピュータに接続する小さな装置を指す俗語である。

特許文献１は、不正にアクセスされたことを検知した場合に、データを削除する方法を開示している。

特許文献２は、入出力データの暗号化を行うパスと暗号化を行わないパスとを任意に切り替えることができるようにした、技術的思想を開示している。特許文献２では、パスの切り替えを論理的に制御している。

特許文献３は、ホストに依存することなく、パスの切り替えを実施できるようにしたストレージ装置を開示している。特許文献３において、ストレージシステムは、ストレージ装置を保守・管理するための管理端末装置を含む。ストレージ装置は、２つのコントローラユニットを備え、各コントローラユニットはホストインタフェースを備える。２つのホストインタフェースのそれぞれは、ネットワークスイッチを介して、ホストに接続されている。ホストは、ネットワークスイッチを介して、ストレージ装置上の２つのホストインタフェースの一方にアクセスする。なお、特許文献３でも、パスの切り替えを論理的に制御している。

特許文献４は、データの保存性に優れた半導体装置及びメモリシステムを開示している。特許文献４において、ＮＡＮＤ型フラッシュメモリのメモリ空間は、大まかに管理領域とユーザデータ領域とに分けられる。ユーザデータ領域は、管理領域以外の領域であり、特にユーザによって書き込まれる正味のデータを格納する領域である。ユーザデータ領域は、任意上書き許可領域と、制限付き上書き許可ディレクトリエントリと、未使用の領域とに分けられる。未使用の領域は、上書き・消去を禁止され、追記のみが許可される。このような領域を追記領域と呼ぶ。

特許文献５は、移行元ストレージサブシステムの物理ポートから移行先ストレージサブシステムの物理ポートへの移行の間に、ホストとストレージサブシステムとの無停止Ｉ／Ｏパス切替えを行う方法及び装置を開示している。特許文献５に開示されたシステムは、ホストコンピュータと、ＳＡＮ（storage area network）スイッチと、２つのストレージサブシステムとを含む。ホストは、ＳＡＮスイッチを介してストレージサブシステムによって提供される論理ボリュームを見る。

特許文献６は、データサーバの管理者によるデータの覗き見、漏洩、改ざん、消去を防止または発見できるデータ共有システムを開示している。特許文献６では、データサーバは、データ書込時、データ共有者やデータ保有者によるデータの改ざんを防止するため、データの追記のみを許可する構成となっている。具体的には、データＩＤが存在していなかった場合に、データを追記している。

特開２０００−１４８５９７号公報 特開２００７−１０２３８７号公報 特開２０１３−０６５２６８号公報 特開２０１１−１３８２２１号公報 特開２０１１−１３４２９６号公報 特開２００６−０９９５４８号公報

上述したように、先行技術(先行技術文献)には次に述べるような課題がある。

上記ドングルでは、上述したデータ破壊の問題を解決できない。

上記特許文献１は、単に、不正にアクセスされたことを検知した場合にデータを削除する方法を開示しているに過ぎない。すなわち、特許文献１は、不正にデータが上書きあるいや消去されることを防ぐものはない。その結果、特許文献１でも、上述したデータ破壊の問題を解決できない。

上記特許文献２は、入出力データの暗号化を行うパスと暗号化を行わないパスとを任意に切り替えることができるようにすることを目的としており、その切替えを論理的に制御している。その結果、特許文献２でも、上述したデータ破壊の問題を解決できない。

上記特許文献３は、ホストに依存することなく、パスの切り替えを実施できるようにしたストレージ装置であって、特許文献２と同様に、その切替えを論理的に制御している。すなわち、特許文献３に開示された構成は、可用性（availability）を考慮した構成であって、切替えもネットワークスイッチとコントローラユニットによって行っている。その結果、特許文献３でも、上述したデータ破壊の問題を解決できない。

上記特許文献４は、特定の記憶装置の構成として書き込みを制御することを開示しているに過ぎない。特許文献４は、切替スイッチも有しておらず、データを消去して再利用することも想定してない。その結果、特許文献４でも、上述したデータ破壊の問題を解決できない。

上記特許文献５に開示された構成は、無停止でＩ／Ｏパスを切り替えることを考慮した構成をであって、切替えもコマンドによる要求によって行われる。特許文献５でも、上述したデータ破壊の問題への言及がなく、課題として認識していない。

上記特許文献６に開示された構成は、追記のみ可能とする構成としているが、追記を制御する手段はデータＩＤによるものである。特許文献６は、切替スイッチを有していない。特許文献６でも、上述したデータ破壊の問題への言及がなく、課題として認識していない。

換言すれば、特許文献１乃至６のいずれも、上述したデータ破壊の問題への言及がなく、課題として認識していない。

本発明の目的は、上述した課題を解決できるデータ保護装置、データ保護方法、およびデータ保護用プログラムを提供することにある。

本発明の１つの態様として、データ保護装置は、物理的な切り替えを行う物理的切替スイッチと、 ランダムにアクセス可能な記憶装置と、を有するデータ保護装置である。前記記憶装置は、データ領域とインデックスとを持つ。前記データ領域は、各々がデータを保持する複数のブロックに分かれている。前記インデックスは、データを保持する各ブロックの場所を指し示すアドレス情報と、各ブロックが「未使用」、「使用中」、および「使用済み」のいずれの状態であるかを示す状態情報とを保持する。前記データ保護装置は、前記記憶装置にある前記インデックスを参照して、前記「未使用」のブロックへの追記のみを行うデータ書込制御装置を備える。

本発明の他の態様として、データ保護方法は、物理的な切り替えを行う物理的切替スイッチと、ランダムにアクセス可能な記憶装置と、を備えた情報処理装置におけるデータ保護方法である。前記記憶装置は、データ領域とインデックスとを持つ。前記データ領域は、各々がデータを保持する複数のブロックに分かれている。前記インデックスは、データを保持する各ブロックの場所を指し示すアドレス情報と、各ブロックが「未使用」、「使用中」、および「使用済み」のいずれの状態であるかを示す状態情報とを保持する。前記データ保護方法は、前記記憶装置にある前記インデックスを参照して、前記「未使用」のブロックへの追記のみを行う。

本発明の他の態様として、データ保護用プログラムは、物理的な切り替えを行う物理的切替スイッチと、ランダムにアクセス可能な記憶装置と、を備えたコンピュータにデータ保護を実行させるデータ保護用プログラムである。前記記憶装置は、データ領域とインデックスとを持つ。前記データ領域は、各々がデータを保持する複数のブロックに分かれている。前記インデックスは、データを保持する各ブロックの場所を指し示すアドレス情報と、各ブロックが「未使用」、「使用中」、および「使用済み」のいずれの状態であるかを示す状態情報とを保持する。前記データ保護用プログラムは、前記コンピュータに、前記記憶装置にある前記インデックスを参照して、前記「未使用」のブロックへの追記のみを行う手順を実行させる。

さらに、係るプログラムを記録するコンピュータが読み取り可能な記録媒体によっても実現される。

本発明によれば、オンライン状態にある記録されたデータが破壊されることを阻止することができる。

本発明の一実施形態に係るデータ保護装置の構成を示すブロック図である。 図１に示したデータ保護装置を用いたデータ書き込み処理を説明するためのフローチャートである。 図１に示したデータ保護装置を用いた「使用中」から「使用済み」への第１の状態変更処理を説明するためのフローチャートである。 図１に示したデータ保護装置を用いた「使用済み」から「未使用」への第２の状態変更処理を説明するためのフローチャートである。

次に、発明を実施するための形態について図面を参照して詳細に説明する。

[実施形態]
本発明の実施形態に係るデータ保護装置は、物理的な切り替え機能とランダムにアクセス可能な記憶装置とを有する。本実施形態に係るデータ保護装置では、記憶装置のブロックの状況を参照して、未使用ブロックへの追記のみを行っている。これにより、未使用ブロック以外への上書き、あるいは消去を防止している。この結果、ランダムアクセス可能な記憶装置の特性であるランダムなブロックへの書き込みを可能とし、外部から侵入したウイルスやソフトウェアバグ等によってオンライン状態にある記録されたデータが破壊されることを阻止して、前記問題を解決している。

[構成の説明]
図１を参照すると、本発明の一実施形態に係るデータ保護装置１００は、物理的切替スイッチ１１０と、消去不可装置１２０と、消去可能装置１３０と、記憶装置１４０とを備えている装置である。データ保護装置１００は、入力装置２００に接続されている。物理的切替スイッチ１１０は、物理的な切り替えを行うスイッチである。記憶装置１４０は、ランダムにアクセス可能な記憶装置である。

本発明の実施形態として、図１に示す構成に従い、各部の機能を以下に説明する。

上述したように、データ保護装置１００とは、物理的切替スイッチ１１０、消去不可装置１２０、消去可能装置１３０、および記憶装置１４０で構成される装置である。

消去不可装置１２０とは、記憶装置１４０の管理領域（後述する）を参照し、未使用ブロックへの追記のみが可能な装置である。

消去可能装置１３０とは、記憶装置１４０の管理領域を参照し、未使用ブロックへの追記、使用済みブロックへの上書あるいは消去が可能な装置である。

記憶装置１４０とは、上記管理領域としてのインデックス１４２とデータ領域１４４とを持ち、インデックス１４２に紐づけてデータをデータ領域１４４に記録する装置である。

上記構成から、背景技術において説明した、３種類のデータ破壊がされない機能を生み出すことが可能である。前述したように、３種類のデータ破壊とは、ウイルスなどの論理的な侵入に起因するデータ破壊、ソフトウェアのバグなどの論理的な不具合によるデータ破壊、および誤操作等による消去命令などによるデータ破壊である。

次に、本発明の実施形態の動作について、フローチャート等の図面に基づいて、発明の実施例の動作を、１つずつ順を追って説明する。

本実施形態の構成に記載した装置の動作についてそれぞれ説明する。

最初に、データ保護装置１００について説明する。

データ保護装置１００は、物理的切替スイッチ１１０、消去不可装置１２０、消去可能装置１３０、および記憶装置１４０から成る。

記憶装置１４０は、データ領域１４４とインデックス１４２とを持つ。データ領域１４４は、複数・小容量のデータブロックに分かれており、各データブロックは入力装置２００から受け取ったデータを保持する。インデックス１４２は、データを構成するブロックの情報と、各ブロックの状態の情報とを保持する。すなわち、インデックス１４２は、データを保持する各ブロックの場所を指し示すアドレス情報を記録している。

また、インデックス１４２は、各ブロックが、「未使用」、「使用中」、および「使用済み」のいずれの状態であるかを示す情報も記録している。換言すれば、インデックス１４２は、１度使用してブロックへの書き込みはあるが、「未使用」状態への変更を可能とする状態を記録している。なお、各状態は、「未使用」、「使用中」、「使用済み」の順に遷移する。「使用済み」の状態からは「未使用」の状態に遷移することができる。

消去不可装置１２０は、記憶装置１４０にあるインデックス１４２を参照し、「未使用」のブロックにデータを書き込むことができる機能を持つ。消去不可装置１２０は、「未使用」のブロックへデータの書き込みを行うと、インデックス１４２を「使用中」に更新する。消去不可装置１２０は、「使用中」、「使用済み」のブロックへデータを書き込むことはできない。消去不可装置１２０は、「使用中」の状態を「使用済み」の状態に変更することはできる。消去不可装置１２０は、「使用済み」の状態を「未使用」の状態に変更することはできない。

消去可能装置１３０は、記憶装置１４０にあるインデックス１４２を参照し、「未使用」のブロックにデータを書き込むことができる機能を持つ。消去可能装置１３０は、「未使用」のブロックへデータの書き込みを行うと、インデックス１４２を「使用中」に更新する。消去可能装置１３０は、「使用中」、「使用済み」のブロックへデータを書き込むことはできない。消去可能装置１３０は、「使用中」の状態を「使用済み」の状態に変更することはできる。消去可能装置１３０は、「使用済み」の状態を「未使用」の状態に変更することはできる。

消去不可装置１２０と消去可能装置１３０との組み合わせは、記憶装置１４０にあるインデックス１４２を参照して、「未使用」のブロックへの追記のみを行うデータ書込制御装置として働く。

入力装置２００から入力された要求は、物理的切替スイッチ１１０により予め物理的に接続された、消去不可装置１２０もしくは消去可能装置１３０に引き渡される。

引き渡された要求に対して、消去不可装置１２０もしくは消去可能装置１３０は、記憶装置１４０のインデックス１４２を参照し、後述するような実行可能な処理を行う。実行不可の場合は、データ保護装置１００は要求を拒絶する。

[動作の説明]
次に、図２を参照して、データ保護装置１００を用いたデータ書き込み処理について説明する。

まず、データ保護装置１００は、入力装置２００からの書き込み要求を受け付ける（ステップＳ１０１）。

次に、データ保護装置１００は、物理的切替スイッチ１１０によって接続された、消去不可装置１２０もしくは消去可能装置１３０にデータ書き込み要求を引き渡す（ステップＳ１０２）。

ここで、消去不可装置１２０へデータ書き込み要求が引き渡されたとする（ステップＳ１０２の「消去不可装置」）。この場合、消去不可装置１２０は、記憶装置１４０のインデックス１４２を参照し、「未使用」のブロックを探す（ステップＳ１０３）。引き続いて、消去不可装置１２０は、データの書き込みに必要な「未使用」のブロックを、確保可能か否かを判断する（ステップ１０４）。確保できなければ（ステップＳ１０４のＮｏ）、消去不可装置１２０は、処理を拒絶する（ステップＳ１０５）。

一方、「未使用」のブロックを確保したら（ステップＳ１０４のＹｅｓ）、消去不可装置１２０は、「未使用」に該当する記憶装置１４０のデータ領域１４４へデータを書き込む（ステップＳ１０６）。データ領域１４４へのデータの書き込みが完了したら、消去不可装置１２０は、該当ブロックのインデックス１４２を「使用中」に更新する（ステップＳ１０７）。その後、消去不可装置１２０は、物理的切替スイッチ１１０を経由して入力装置２００へ書き込み完了を応答して（ステップＳ１０７）、処理を終了する。

一方、消去可能装置１３０へ要求が引き渡されたとする（ステップＳ１０２の「消去可能装置」）。この場合、消去可能装置１３０は、記憶装置１４０のインデックス１４２を参照し、「未使用」のブロックを探す（ステップＳ１０９）。引き続いて、消去可能装置１３０は、データの書き込みに必要な「未使用」のブロックを、確保可能か否かを判断する（ステップ１１０）。確保できなければ（ステップＳ１１０のＮｏ）、消去可能装置１３０は、処理を拒絶する（ステップＳ１１１）。

一方、「未使用」のブロックを確保したら（ステップＳ１１０のＹｅｓ）、消去可能装置１３０は、「未使用」に該当する記憶装置１４０のデータ領域１４４へデータを書き込む（ステップＳ１１２）。データ領域１４４へのデータの書き込みが完了したら、消去可能装置１３０は、該当ブロックのインデックス１４２を「使用中」に更新する（ステップＳ１１３）。その後、消去可能装置１３０は、物理的切替スイッチ１１０を経由して入力装置２００へ書き込み完了を応答して（ステップＳ１１４）、処理を終了する。

次に、図３を参照して、データ保護装置１００を用いた「使用中」から「使用済み」への第１の状態変更処理について説明する。

まず、データ保護装置１００は、入力装置２００から、データの「使用中」から「使用済み」への第１の状態変更要求を受け付ける（ステップＳ２０１）。

次に、データ保護装置１００は、物理的切替スイッチ１１０によって接続された、消去不可装置１２０もしくは消去可能装置１３０に第１の状態変更要求を引き渡す（ステップＳ２０２）。

ここで、消去不可装置１２０へ第１の状態変更要求が引き渡されたとする（ステップＳ２０２の「消去不可装置」）。この場合、消去不可装置１２０は、記憶装置１４０の該当データの該当ブロックのインデックス１４２を「使用済み」に更新する（ステップＳ２０３）。その後、消去不可装置１２０は、物理的切替スイッチ１１０を経由して入力装置２００へ状態変更完了を応答して（ステップＳ２０４）、処理を終了する。

一方、消去可能装置１３０へ第１の状態変更要求が引き渡されたとする（ステップＳ１０２の「消去可能装置」）。この場合、消去可能装置１３０は、記憶装置１４０の該当データの該当ブロックのインデックス１４２を「使用済み」に更新する（ステップＳ２０５）。その後、消去可能装置１３０は、物理的切替スイッチ１１０を経由して入力装置２００へ状態変更完了を応答して（ステップＳ２０６）、処理を終了する。

次に、図４を参照して、データ保護装置１００を用いた「使用済み」から「未使用」への第２の状態変更処理について説明する。

まず、データ保護装置１００は、入力装置２００から、データの「使用済み」から「未使用」への第２の状態変更要求を受け付ける（ステップＳ３０１）。

次に、データ保護装置１００は、物理的切替スイッチ１１０によって接続された、消去不可装置１２０もしくは消去可能装置１３０に第２の状態変更要求を引き渡す（ステップＳ２０２）。

ここで、消去不可装置１２０へ第２の状態変更要求が引き渡されたとする（ステップＳ３０２の「消去不可装置」）。この場合、消去不可装置１２０は、 物理的切替スイッチ１１０を経由して「入力装置」へ処理の拒絶を応答して（ステップＳ３０２）、処理を終了する。

一方、消去可能装置１３０へ第２の状態変更要求が引き渡されたとする（ステップＳ１０２の「消去可能装置」）。この場合、消去可能装置１３０は、記憶装置１４０の該当データの該当ブロックのインデックス１４２を「未使用」に更新する（ステップＳ３０４）。その後、消去可能装置１３０は、物理的切替スイッチ１１０を経由して入力装置２００へ状態変更完了を応答して（ステップＳ３０５）、処理を終了する。

[効果の説明]
次に、本実施形態の効果について説明する。

前述したように、先行技術において、記憶装置の機密保護の分野では、以下の３種類のデータ破壊の問題が知られている。第１の問題は、ウイルスなどの論理的な侵入に起因するデータ破壊の問題である。第２の問題は、ソフトウェアのバグなどの論理的な不具合によるデータ破壊の問題である。第３の問題は、誤操作等による消去命令などによるデータ破壊の問題である。

これに対して、本発明の実施形態により、上記の問題を解消することができる。その理由は、次の通りである。本データ保護装置１００が、物理的な切り替え機能とランダムにアクセス可能な記憶装置１４０を有し、記憶装置１４０のブロックの状況をインデックス１４２により参照して、未使用ブロックへの追記のみを行っている。このことで未使用ブロック以外へのデータの上書き、あるいは消去を防止している。このことにより、本データ保護装置１００は、ランダムアクセス可能な記憶装置１４０の特性であるランダムなブロックへの書き込みを可能としつつ、外部から侵入したウイルスやソフトウェアバグ等によってオンライン状態にある記録されたデータが破壊されることを阻止しているからである。

尚、上記実施形態において、データ保護装置１００の各部は、ハードウェアとソフトウェアとの組み合わせを用いて実現可能である。ハードウェアとソフトウェアとを組み合わせた形態では、ＲＯＭ（read only memory）にデータ保護用プログラムが展開され、該データ保護用プログラムに基づいて処理部（ＣＰＵ（central processing unit））等のハードウェアを動作させることによって、各部を各種手段として実現する。また、該データ保護用プログラムは、記録媒体に記録されて頒布されても良い。当該記録媒体に記録されたデータ保護用プログラムは、有線、無線、又は記録媒体そのものを介して、メモリに読込まれ、処理部等を動作させる。尚、記録媒体を例示すれば、オプティカルディスクや磁気ディスク、半導体メモリ装置、ハードディスクなどが挙げられる。

上記実施形態を別の表現で説明すれば、データ保護装置１００として動作させるコンピュータを、ＲＯＭに展開されたデータ保護用プログラムに基づき、消去不可装置１２０および消去可能装置１３０として動作させることで実現することが可能である。

尚、上述したように、本実施形態に係るデータ保護装置１００は、ソフトウェア関連発明であるとしても、オンライン状態にある記録されたデータが破壊されることを阻止できるという効果を奏するのであるから、コンピュータ関連技術を改善（向上）するものであり、抽象概念には該当しないのは明らかである。

以上、本発明の実施形態および実施例を、図面を参照しつつ説明してきたが、当業者であれば、他の類似する実施形態および実施例を使用することができること、また、本発明から逸脱することなく適宜形態の変更又は追加を行うことができることに留意すべきである。

本発明は、記憶装置の機密保護の分野や、バックアップデータ保護機能を利用する装置などに利用可能である。

１００ データ保護装置
１１０ 物理的切替スイッチ
１２０ 消去不可装置
１３０ 消去可能装置
１４０ 記憶装置
１４２ インデックス
１４４ データ領域
２００ 入力装置

Claims (10)

1. 物理的な切り替えを行う物理的切替スイッチと、
   ランダムにアクセス可能な記憶装置と、
   を有するデータ保護装置であり、
   前記記憶装置は、データ領域とインデックスとを持ち、
   前記データ領域は、各々がデータを保持する複数のブロックに分かれており、
   前記インデックスは、データを保持する各ブロックの場所を指し示すアドレス情報と、各ブロックが「未使用」、「使用中」、および「使用済み」のいずれの状態であるかを示す状態情報とを保持し、
   前記データ保護装置は、前記記憶装置にある前記インデックスを参照して、前記「未使用」のブロックへの追記のみを行うデータ書込制御装置を備える、
   データ保護装置。
2. 入力装置からデータの書き込み要求を受け付けた場合、
   前記データ書込制御装置は、
   前記記憶装置のインデックスを参照して、前記「未使用」のブロックを探し、
   前記データの書き込みに必要な「未使用」のブロックを確保したら、前記データを前記「未使用」に該当する前記記憶装置の前記データ領域へ書き込み、
   前記データ領域への前記データの書き込みが完了したら、該当ブロックのインデックスを「使用中」に更新し、
   前記物理的切替スイッチを経由して前記入力装置へ書き込み完了を応答する、
   ように構成されている、請求項１に記載のデータ保護装置。
3. 前記データ書込制御装置は、前記「未使用」のブロックを確保できなければ、処理を拒絶するように構成されている、請求項２に記載のデータ保護装置。
4. 前記データ書込制御装置は、
   前記インデックスに対して、前記「使用中」の状態を前記「使用済み」の状態に変更することができるが、前記「使用済み」の状態を前記「未使用」の状態に変更することができない、消去不可装置と、
   前記インデックスに対して、前記「使用中」の状態を前記「使用済み」の状態に変更することができ、かつ前記「使用済み」の状態を前記「未使用」の状態に変更することもできる、消去可能装置と、
   を備える、請求項２又は３に記載のデータ保護装置。
5. 前記入力装置から、データの「使用中」から「使用済み」への第１の状態変更要求を受け付けた場合、
   該第１の状態変更要求が引き渡された前記消去不可装置は、前記記憶装置の該当データの前記インデックスを「使用済み」に更新し、前記物理的切替スイッチを経由して前記入力装置へ状態変更慣用を応答し、
   前記第１の状態変更要求が引き渡された前記消去可能装置は、前記記憶装置の該当データの前記インデックスを「使用済み」に更新し、記物理的切替スイッチを経由して前記入力装置へ状態変更慣用を応答する、
   請求項４に記載のデータ保護装置。
6. 前記入力装置から、データの「使用中」から「使用済み」への第２の状態変更要求を受け付けた場合、
   該第２の状態変更要求が引き渡された前記消去不可装置は、前記物理的切替スイッチを経由して前記入力装置へ処理の拒絶を応答し、
   前記第２の状態変更要求が引き渡された前記消去可能装置は、前記記憶装置の該当データの前記インデックスを「未使用」に更新し、前記物理的切替スイッチを経由して前記入力装置へ状態変更完了を応答する、
   請求項４又は５に記載のデータ保護装置。
7. 物理的な切り替えを行う物理的切替スイッチと、ランダムにアクセス可能な記憶装置と、を備えた情報処理装置におけるデータ保護方法であって、
   前記記憶装置は、データ領域とインデックスとを持ち、
   前記データ領域は、各々がデータを保持する複数のブロックに分かれており、
   前記インデックスは、データを保持する各ブロックの場所を指し示すアドレス情報と、各ブロックが「未使用」、「使用中」、および「使用済み」のいずれの状態であるかを示す状態情報とを保持し、
   前記データ保護方法は、前記記憶装置にある前記インデックスを参照して、前記「未使用」のブロックへの追記のみを行う、
   データ保護方法。
8. 入力装置からデータの書き込み要求を受け付けた場合、
   前記情報処理装置によって、
   前記記憶装置のインデックスを参照して、前記「未使用」のブロックを探し、
   前記データの書き込みに必要な「未使用」のブロックを確保したら、前記データを前記「未使用」に該当する前記記憶装置の前記データ領域へ書き込み、
   前記データ領域への前記データの書き込みが完了したら、該当ブロックのインデックスを「使用中」に更新し、
   前記物理的切替スイッチを経由して前記入力装置へ書き込み完了を応答する、
   請求項７に記載のデータ保護方法。
9. 物理的な切り替えを行う物理的切替スイッチと、ランダムにアクセス可能な記憶装置と、を備えたコンピュータにデータ保護を実行させるデータ保護用プログラムであって、
   前記記憶装置は、データ領域とインデックスとを持ち、
   前記データ領域は、各々がデータを保持する複数のブロックに分かれており、
   前記インデックスは、データを保持する各ブロックの場所を指し示すアドレス情報と、各ブロックが「未使用」、「使用中」、および「使用済み」のいずれの状態であるかを示す状態情報とを保持し、
   前記データ保護用プログラムは、前記コンピュータに、前記記憶装置にある前記インデックスを参照して、前記「未使用」のブロックへの追記のみを行う手順を実行させる、データ保護用プログラム。
10. 入力装置からデータの書き込み要求を受け付けた場合、前記データ保護用プログラムは、前記コンピュータに、
    前記記憶装置のインデックスを参照して、前記「未使用」のブロックを探す手順と、
    前記データの書き込みに必要な「未使用」のブロックを確保したら、前記データを前記「未使用」に該当する前記記憶装置の前記データ領域へ書き込む手順と、
    前記データ領域への前記データの書き込みが完了したら、該当ブロックのインデックスを「使用中」に更新する手順と、
    前記物理的切替スイッチを経由して前記入力装置へ書き込み完了を応答する手順と、
    を実行させる、請求項９に記載のデータ保護用プログラム。

Images