JP4101975B2 - 可搬型記憶媒体を用いたデータ記録／再生装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、例えば、光磁気デイスク（ＭＯ）等の可搬型記憶媒体にデータを暗号化して記録すると共に、暗号化して記録されたデータを再生するデータ記録／再生装置及びデータを暗号化して可搬型記憶媒体に記録する際に予め可搬型記憶媒体への不正なアタックに対する防御対策を伴って記録／再生するようにしたデータ記録／再生装置に関する。
【０００２】
【従来の技術】
周知のように、デジタル画像等のコンテンツに対し、その内容の秘匿性、真正性（改竄されていないこと）を確保するための技術は、従来から幾つか提案されている。
【０００３】
例えば、特公平７−１２２９６０号公報には、デジタルカメラ内に乱数発生装置を設け、デジタルカメラで撮影された画像に対し、デジタルカメラ内で前記乱数系を用いて画像データを暗号化することにより、画像内容の秘匿性や真正性を確保するという手法が開示されている。
【０００４】
また、特開平９−２００７３０号公報には、カメラ内で画像データの電子署名を作成することにより、画像データが改竄されているかどうかを検知することができる手法が開示されている。
【０００５】
また、光磁気デイスクを用いた医療画像の電子保存システムであるＩＳ＆Ｃ（Ｉｍａｇｅ Ｓａｖｅ ＆ Ｃａｒｒｙ）システム（参考資科「画像の電子保管とＩＳ＆Ｃシステム」、新医療１９９４年７月号Ｐ３６−４０）では、光磁気ディスクのファイルシステムやデバイスドライバを特殊化すると共に、専用のソフトウェア（データの改変が不可）以外ではアクセスできないようにすることにより、デジタル画像等のコンテンツの秘匿性、真正性を確保している。
【０００６】
【発明が解決しようとする課題】
しかしながら、前者の特公平７−１２２９６０号公報や特開平９−２００７３０号公報による手法では、画像内容の漏洩という脅威からコンテンツを保護することは可能であるが、悪意あるユーザーが汎用の計算機等を用いて画像ファイルにアクセスして画像ファイルを消去したり、データ内容を破壊する脅威、すなわち広い意味での画像内容の改竄から、コンテンツを守ることはできない。
【０００７】
また、デジタルカメラで撮影される画像は１００万面素を越える大きさであり、このような大きなサイズの画像データを暗号化したり、画像データから電子署名を求めたりする演算量は非常に大きくなり、処理時間も長くなってしまう。
【０００８】
特に、デジタルカメラの内部で暗号等の処理を行おうとすると、内部のＣＰＵの処理能力はそれほど大きなものが期待できないため、処理時間は無視できないほど長くなってしまう。
【０００９】
この問題は、デジタルカメラに連写機能を備える場合などに顕著になる。
【００１０】
また、デジタルビデオカメラ装置のように、動画のデータとなると、さらにデータサイズが大きくなるため、処理時間の問題はさらに深刻になる。
【００１１】
一方、後者のＩＳ＆Ｃシステムのような専用のファイルシステムでは、データ暗号化の処理を必要としないので処理時間は問題にならない。
【００１２】
しかし、ファイルシステムの構造が漏洩してしまった場合には、ある程度保存装置等の知識のあるユーザーなら、可搬型記憶媒体上のファイルにアクセスできてしまう。
【００１３】
また、暗号化の手法を使った場合のように、可搬型記憶媒体上のファイルの安全性を守るための情報が漏洩した場合に、暗号化の鍵だけを取りかえれば済むというようなことはできない。
【００１４】
さらには、データ内容の安全性確保のための装置としては、むしろ安全性確保のための機構を公開した上でも安全性を確保できることが望ましい。
【００１５】
本発明はこれらの点に着目し、画像等の大容量のデータを可搬型記憶媒体に格納する場合に、データ内容の秘匿性、真正性を確保し、且つデータの不正な消去・破壊を含めた改竄を防止でき、且つ高速な処理を実現できるデータ記録／再生装置を提供することを目的とする。
【００１６】
【課題を解決するための手段】
本発明によると、上記課題を解決するために、
（１） ユーザー用データが記録されるユーザー領域及び前記ユーザー用データを管理するためのシステム管理用データが記録されるシステム管理領域を有する可搬型記憶媒体に対して前記ユーザー用データ及び前記システム管理用データの記録／再生を行うデータ記録／再生装置において、
暗号化鍵信号又は暗号化鍵信号を生成するための暗号化鍵信号生成情報を含む暗号化秘密情報を保持する暗号化秘密情報保持手段と、
前記暗号化秘密情報保持手段に保持されている前記暗号化秘密情報を用いて暗号化処理を行う暗号化手段と、
前記暗号化手段により、前記可搬型記憶媒体のシステム管理領域に記録すべきシステム管理用データの少なくとも一部を暗号化処理して前記可搬型記憶媒体のシステム管理領域へ記録するシステム管理用データ記録手段と、
前記暗号化鍵信号又は暗号化鍵信号生成情報に対応する復号化鍵信号又は復号化鍵信号を生成するための復号化鍵信号生成情報を含む復号化秘密情報を保持する復号化秘密情報保持手段と、
前記復号化秘密情報保持手段に保持されている前記復号化秘密情報を用いて復号化処理を行う復号化手段と、
前記復号化手段により、前記可搬型記憶媒体のシステム管理領域に少なくとも一部が前記暗号化秘密情報を用いて暗号化して記録されている前記システム管理用データを読み出し、前記暗号化して記録されている部分のシステム管理用データを前記復号化手段を用いて復号化するシステム管理用データ再生手段と、
前記システム管理用データ再生手段により前記システム管理領域から読み出され、前記暗号化して記録されている部分を復号して得られるシステム管理用データに基づいて、前記ユーザー用データを前記可搬型記憶媒体のユーザー領域に暗号化することなく所定の形態で記録するユーザー用データ記録手段と、
前記ユーザー用データ記録手段により前記ユーザー領域に暗号化することなく所定の形態で記録されている前記ユーザー用データを、前記システム管理用データ再生手段により前記システム管理領域から読み出され、前記暗号化して記録されている部分を復号して得られるシステム管理用データに基づいて読み出すユーザー用データ再生手段と、
前記ユーザー用データ記録手段により前記可搬型記憶媒体のユーザー領域に暗号化することなく所定の形態で記録されている前記ユーザー用データの更新に伴って、前記暗号化手段により、前記可搬型記憶媒体のシステム管理領域に記録すべきシステム管理用データの少なくとも一部を暗号化処理して前記システム管理用データ記録手段により前記可搬型記憶媒体のシステム管理領域へ再記録するシステム管理用データ更新手段と、
前記ユーザー用データ記録手段が前記可搬型記録媒体のユーザー領域にユーザー用データを記録する際に、このユーザー用データを当該可搬型記録媒体のユーザー領域に論理的にアクセス可能な単位領域のサイズのデータ単位に分割するデータ分割手段と、
前記可搬型記録媒体のユーザー領域から未使用の単位記録領域を選択する記録領域選択手段とを有し、
前記ユーザー用データ記録手段は、
任意性のあるパラメータを用いてランダムなデータを生成するランダムデータ生成手段と、
前記可搬型記録媒体を初期化処理する際に、前記ランダムデータ生成手段によって得られたランダムデータを前記可搬型記録媒体のユーザー領域全体に書き込むランダムデータ書き込み手段とを有し、
前記システム管理用データ記録手段は、
前記データ生成手段に用いられる任意性のあるパラメータを前記可搬型記録媒体のシステム管理領域に記録するパラメータ記録手段を有し、
前記ユーザー用データ記録手段は、前記記録領域選択手段によって選択された未使用の単位記録領域に前記データ分割手段によって分割されたユーザー用データを所定の形態で記録することを特徴とするデータ記録／再生装置が提供される。
【００１９】
（作用効果）
上記（１）の発明では、予めデータ記録装置内に暗号化又は復号化を行うための暗号化鍵又は復号化鍵（秘密鍵方式の暗号アルゴリズムを用いる場合は、暗号化鍵と復号化鍵は同じ）、もしくは暗号化鍵や復号化鍵を生成するための秘密情報を格納しておき、可搬型記憶媒体にデータを記録する場合に、可搬型記憶媒体上のシステム管理領域に記録されているルートデイレクトリテーブルのエントリーデータや可搬型記憶媒体上の物理的アドレスと論理的アドレスを対応づける情報が格納されたデータを前記暗号化鍵で暗号化して記録する。
また、上記（１）の発明では、前記ユーザー用データ記録手段が前記可搬型記録媒体のユーザー領域にユーザー用データを記録する際に、このユーザー用データを当該可搬型記録媒体のユーザー領域に論理的にアクセス可能な単位領域のサイズのデータ単位に分割するデータ分割手段と、前記可搬型記録媒体のユーザー領域から未使用の単位記録領域を選択する記録領域選択手段とを有し、前記ユーザー用データ記録手段は、前記データ分割手段によって分割されたユーザー用データを前記記録領域選択手段によって選択された未使用の単位記録領域に所定の形態で記録する。
また、上記（１）の発明では、前記ユーザー用データ記録手段は、任意性のあるパラメータを用いてランダムなデータを生成するランダムデータ生成手段と、前記可搬型記録媒体を初期化処理する際に、前記ランダムデータ生成手段によって得られたランダムデータを前記可搬型記録媒体のユーザー領域全体に書き込むランダムデータ書き込み手段とを有し、前記システム管理用データ記録手段は、前記データ生成手段に用いられる任意性のあるパラメータを前記可搬型記録媒体のシステム管理領域に記録するパラメータ記録手段を有する。
このように、実質的に、ユーザー用データを可搬型記録媒体のユーザー領域に論理的にアクセス可能な単位領域のサイズのデータ単位に分割して所定の形態で記録するように管理することが可能となるので、データ内容の秘匿性、真正性の確保が容易になると共に、より高速な処理を実現することができる。
【００２０】
このようにすることにより、汎用のデータ記録／再生装置で前記可搬型記憶媒体にアクセスしようとしても、汎用の装置ではデータファイルにアクセスするための情報を読み出すことができないため、データにアクセスできない。
【００２１】
また、ユーザーがデータ保存装置に対する知識が深く、例えば、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）などの低レベルなコマンドを使って、上記データファイルにアクセスするための情報を読み出しても、暗号化の鍵を知らない限り、アクセスするための情報を解読することは極めて困難なため、データにアクセスすることは実際上できない。
【００２２】
さらに、本発明による手法では、暗号化するのは可搬型記憶媒体のシステム管理領域に記録されているデータであり、例えば、システム管理用域のデータ全体を暗号化するとしても、このデータのサイズは、画像データや動画像データに比べるとはるかに小さいため、暗号化の演算を施すための処理時間は少なくて済むことになる。
【００２３】
例えば、１３０万画素の画像データを圧縮せずにファイルに保存すると、約４メガバイトのデータサイズになるが、一方で１ギガバイトのディスクでも、システム管理領域のデータサイズは高々数百キロバイトである。
【００２４】
つまり、システム管理領域のデータを暗号化するのに比べ、画像データを暗号化しようとすると、上記の例では数百倍の演算量を必要とすることになる。
【００２５】
データサイズが数百メガバイト〜数ギガバイトにもなる動画データになると、この差はさらに顕著になる。
【００２６】
なお、面像等のデータを可搬型記憶媒体中に書き込んでいる時間に並行してシステム管理用データの暗号化処理を行うようにすれば、暗号化の処理時間によるストレスを解消することがてきる。
【００２７】
通常、可搬型記憶媒体へデータを書き込む処理には専用のプロセッサが用いられ、そのため暗号化の処理を行うためのプロセッサ（例えば、ＣＰＵ）とは異なる。
【００２８】
また、画像データ等の可搬型記憶媒体への書き込みとシステム管理領域のデータを暗号化する処理を並列に行ってもデータ的な問題は起こらない。
【００２９】
画像や動画像のデータは数メガバイト〜数百メガバイトに達し、データ書き込みにある程度時間を必要とする。
【００３０】
したがって、データ書き込み時にシステム管理領域のデータを暗号化する処理を並行に行うことにより、暗号化による処理時間のストレスをなくすことが可能となる。
【００３１】
なお、上記（１）の発明は後述する第１及び第２の実施の形態が対応し、関連する図は図１乃至図１０及び図１２、図１５乃至図１７、図２０乃至図２２、図２９である。
【００３４】
そして、（１）の発明中の論理的にアクセス可能な単位領域とは、ＦＡＴファイルシステムなどで言うところのクラスタ領域に対応する。
【００３５】
図１５は、データが記録されるときに、ＩＤ＝３，１２，１４，１９に対応するハッチングされた領域で示すデータをクラスタのサイズで分解し、それを連続しないクラスタに記録する概念図を示している。
【００３６】
従って、この場合、ＩＤ＝２，４，１３，１８に対応する白抜き領域で示すデータはクラスタのサイズで分解されないものとしている。
【００３７】
（作用効果）
通常のファイルシステムでは、データを記録する場合、ユーザー領域内で物理的にほぼ連続した領域へ記録する。
【００４８】
また、本発明によると、上記課題を解決するために、
（２） 前記ランダムデータ書き込み手段は、
前記可搬型記録媒体のユーザー領域からデータを削除した際に、前記可搬型記録媒体のユーザー領域のデータを削除した領域に前記ランダムデータを再度書き込むものであることを特徴とする（１）記載のデータ記録／再生装置が提供される。
【００４９】
この（２）の発明は後述する第２の実施の形態が対応し、関連する図は図２０乃至図２２である。
【００５０】
（作用効果）
通常、可搬型記録媒体の初期化（出荷）時には、ユーザー領域は均一の値（各ビツトがが全てＯＮ、あるいはすべてＯＦＦ）となっている。
【００５１】
したがって、可搬型記録媒体上に少数のデータしか記録されていない場合には、総当たり的アタックに対して組み合わせの数が少なくなるためデータの安全性の度合いが低くなる。
【００５２】
しかるに、上記（１）及び（２）の発明によると、可搬型記録媒体のユーザー領域は、可搬型記録媒体の初期化時にランダムな値が記録されているため、媒体上に少数のデータしか記録されていない場合でも、記録されていない領域のビットのＯＮ／ＯＦＦが一様でないため、アタックするためには総当たり的な手法が必要になり、データの安全性が向上する。
【００７７】
また、本発明によると、上記課題を解決するために、
（１２） 前記ユーザー用データ記録手段は、
前記単位領域内シヤッフル、単位記録領域単位シヤッフル、及び前記ユーザー用データの全体に対するシャッフルの内から少なくとも二つの処理を組み合わせて行うことを特徴とする（８）記載のデータ記録／再生装置が提供される。
【０１０６】
また、本発明によると、上記課題を解決するために、
（３） 前記システム管理用データ再生手段は、
前記可搬型記録媒体のシステム管理領域から前記パラメータを読み出すパラメータ読み出し手段と、
前記可搬型記録媒体のシステム管理領域から読み出したパラメータを用いて生成したランダムデータと、前記可搬型記録媒体のユーザー領域の未使用領域のクラスタに記載されているランダムデータとを照合する手段と、
を有することを特徴とする（２）記載のデータ記録／再生装置が提供される。
【０１０７】
この（３）の発明は後述する第２の実施の形態が対応し、関連する図は図２０乃至図２２である。
【０１０８】
（作用効果）
この（３）の発明は、上記（１），（２）の発明のデータ記録／再生装置で記録されたデータを読み出すためのデータ記録／再生装置である。
【０１０９】
この（３）の発明によれば、悪意あるユーザーが他の記録装置を用いてデータを不正に消去した場合でも、消去されたユーザー領域のビットパターンが上記（１），（２）の発明によつて記録されたパターンと異なることから、不正にデータを消去したという痕跡を残すことができるという効果が得られる。
【０１１０】
【発明の実施の形態】
以下図面を参照して本発明の実施の形態について説明する。
【０１１１】
（第１の実施形態）
まず、図１、図３、図４、図６乃至図１０を用いて、本発明によるデータ記録／再生装置の第１の実施形態について説明する。
【０１１２】
なお、これらの各図中で同じ番号が割り当てられた部分は、同じ機能を持つものとする。
【０１１３】
図１は、第１の実施形態におけるデータ記憶／再生装置の構成を示すブロック図である。
【０１１４】
すなわち、このデータ記憶／再生装置１０１は、外部のＰＣ１１０と通信を行う通信部１０２と、この通信部１０２にそれぞれ内部バスを介して接続されている作業用メモリ部１０３、鍵データ記憶用メモリ部１０４、制御部１０５、復号化部１０６、暗号化部１０７、可搬型記憶媒体駆動部１０８、媒体判定部１０９から構成される。
【０１１５】
通信部１０２は、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）やイーサネット、シリアルケーブル等の通信ケーブル、あるいは赤外線などの無線を用いて、データ記録／再生装置外部のＰＣ１１０やワークステーションなどのデータ作成・編集装置とデータやコマンドのやり取りをする機能を持つ。
【０１１６】
作業用メモリ１０３は、通信部１０２などから送られてきたデータや、各種処理の途中段階のデータをバッファリングすると共に、プログラムをロードするためのメモリである。
【０１１７】
また、鍵データ格納用メモリ部１０４は、秘密情報、例えば、ＤＥＳ等の暗号鍵を格納するためのメモリである。
【０１１８】
制御部１０５は、データ記憶／再生装置１０１の処理全体を制御する部分である。
【０１１９】
復号化部１０６は、鍵データ格納用メモリ部１０４からデータを復号化するための情報を読み出し、データを復号化する。
【０１２０】
同様に暗号化部１０７は、鍵データ格納用メモリ部１０４からデータを暗号化するための情報を読み出し、データを暗号化する。
【０１２１】
また、可搬型記憶媒体駆動部１０８は、制御部１０５からの処理要求に応じ、当該データ記憶／再生装置１０１に装填される可搬型記憶媒体１００上の領域のデータの読み出し／書き込み（消去を含む）を行う。
【０１２２】
媒体判定部１０９は、当該データ記憶／再生装置１０１に装填される記憶媒体が、本発明による手法で記録されている可搬型記憶媒体１００であるか、それ以外の記憶媒体であるかを判定する。
【０１２３】
図３は、一般的なファイルシステムを説明するための図であり、ここではＷｉｎｄｏｗｓやＭＳ−ＤＯＳで用いられているＦＡＴファイルシステムの記憶媒体１上の構成を示している。
【０１２４】
一般に、ＦＡＴファイルシステムの記憶媒体１では、システム管理領域７として、ブートセクタ（０ＥＭ ＩＤやローダールーチン、デバイスに関する情報が記録されているＢＰＢ、及び予約領域からなる）２、ＦＡＴ３、ＦＡＴのコピー４、及びルートディレクトリのエントリテーブル５で構成されていると共に、ユーザー領域８としてファイル領域６で構成されている（詳細は次の文献を参照：“ＭＳ−ＤＯＳエンサイクロペデイアＶｏｌｕｍｅ１”、アスキー出版局（１９８９）ｐ１１２−１１８）。
【０１２５】
一方、図４は、本発明による第１の実施形態で用いられる可搬型記憶媒体１００上の構成を示している。
【０１２６】
図４では、システム管理領域７のデータは、図１の鍵データ格納用メモリ部１０４に格納されている暗号化鍵データと同じ鍵データで、且つ暗号化部１０７の暗号化法と同じ方法で暗号化されて記録されている。
【０１２７】
図６は、本発明による第１の実施形態におけるデータ読み出し時の処理の流れを示すフローチャートである。
【０１２８】
可搬型記憶媒体１００からデータを読み出すときには、外部のＰＣ１１０等からの可搬型記憶媒体１００上のデータ読み出し要求（ステップＳ１）に応じて、まず、可搬型記憶媒体１００のシステム管理領域に暗号化されて記録されているシステム管理用データを、可搬型記憶媒体駆動部１０８を用いて作業用メモリ１０３へ読み出す（ステップＳ２）。
【０１２９】
その後、読み出した暗号化されているシステム管理用データを、復号化部１０６を用いて復号化し（ステップＳ３）、システム管理用のデータを得る。
【０１３０】
システム管理用のデータが得られたならば、その情報を用いて指定のデータを読み出し（ステップＳ４）、通信部１０１を介して外部のＰＣ１１０へ読み出したデータを送信して終了する（ステップＳ５）。
【０１３１】
図７は、第１の実施形態で可搬型記憶媒体１００へ初めてアクセスしてデータを読み出すときの処理の流れを示すフローチャートである。
【０１３２】
可搬型記憶媒体１００へ初めてアクセスしてデータを読み出すときには、外部のＰＣ１１０等からの可搬型記憶媒体１００上のデータ読み出し要求（ステップＳ２１）に応じて、まず、アクセスが初めてであるか否かを判定（ステップＳ２２）する。
【０１３３】
そして、アクセスが初めてあるときには、可搬型記憶媒体１００のシステム管理領域に暗号化されて記録されているシステム管理用データを、可搬型記憶媒体駆動部１０８を用いて作業用メモリ１０３へ読み出す（ステップＳ２３）。
【０１３４】
その後、読み出した暗号化されているシステム管理用データを、復号化部１０６を用いて復号化し（ステップＳ２４）、システム管理用のデータを得る。
【０１３５】
システム管理用のデータが得られたならば、その情報を用いて指定のデータを読み出し（ステップＳ２５）、通信部１０２を介して外部のＰＣ１１０へ読み出したデータを送信して終了する（ステップＳ２６）。
【０１３６】
しかるに、ステップＳ２２において、アクセスが初めてではないときには、上記のステップＳ２３，Ｓ２４の処理をスルーして、前に得られているシステム管理用のデータの情報を用いて指定のデータを読み出し（ステップＳ２５）、通信部１０２を介して外部のＰＣ１１０へ読み出したデータを送信して終了する（ステップＳ２６）。
【０１３７】
図８は、第１の実施形態でデータを書き込むときの処理の流れを示すフローチャートである。
【０１３８】
通信部１０２を介して外部のＰＣ１００から受け取ったデータを可搬型記憶媒体１００へ書き込む場合には、まず、読み出し時と同様の手順で、システム管理用のデータを作業用メモリ１０３へ読み出す（ステップＳ４０、Ｓ４１）。
【０１３９】
その後、復号化されたシステム管理用のデータを用いて、外部のＰＣ１００から受け取ったデータを可搬型記憶媒体１００へ書き込む（ステップＳ４２、Ｓ４３）。
【０１４０】
このとき、可搬型記憶媒体１００上のデータの構成が更新されているので、当然、作業用メモリ１０３上のシステム管理用のデータも更新する（ステップＳ４４）。
【０１４１】
その後、作業用メモリ１０３上のシステム管理用のデータを暗号化部１０７を用いて暗号化し（ステップＳ４５）、可搬型記憶媒体駆動部１０８を用いて上記暗号化したシステム管理用のデータを可搬型記憶媒体１００のシステム管理領域に書き込み（ステップＳ４６）、終了する（ステップＳ４７）。
【０１４２】
図９は、第１の実施形態で可搬型記憶媒体１００へ初めてアクセスしてデータを書き込むときの処理の流れを示すフローチャートである。
【０１４３】
可搬型記憶媒体１００へ初めてアクセスしてデータを書き込むときには、外部のＰＣ１１０等からの可搬型記憶媒体１００上のデータ書き込み要求（ステップＳ６０）に応じて、まず、アクセスが初めてであるか否かを判定（ステップＳ６１）する。
【０１４４】
そして、アクセスが初めてあるときには、可搬型記憶媒体１００のシステム管理領域に暗号化されて記録されているシステム管理用データを、可搬型記憶媒体駆動部１０８を用いて作業用メモリ１０３へ読み出す（ステップＳ６２）。
【０１４５】
その後、復号化されたシステム管理用のデータを用いて、外部のＰＣ１００から受け取ったデータを可搬型記憶媒体１００へ書き込む（ステップＳ６３、Ｓ６４）。
【０１４６】
このとき、可搬型記憶媒体１００上のデータの構成が更新されているので、当然、作業用メモリ１０３上のシステム管理用のデータも更新する（ステップＳ６５）。
【０１４７】
その後、作業用メモリ１０３上のシステム管理用のデータを暗号化部１０７を用いて暗号化し（ステップＳ６６）、可搬型記憶媒体駆動部１０８を用いて上記暗号化したシステム管理用のデータを可搬型記憶媒体１００のシステム管理領域に書き込み（ステップＳ６７）、終了する（ステップＳ６８）。
【０１４８】
しかるに、ステップＳ６１において、アクセスが初めてではないときには、上記のステップＳ６２，Ｓ６３の処理をスルーして、前に得られているシステム管理用のデータの情報を用いて、外部のＰＣ１００から受け取ったデータを可搬型記憶媒体１００へ書き込む（ステップＳ６３、Ｓ６４）。
【０１４９】
このとき、可搬型記憶媒体１００上のデータの構成が更新されているので、当然、作業用メモリ１０３上のシステム管理用のデータも更新する（ステップＳ６５）。
【０１５０】
その後、作業用メモリ１０３上のシステム管理用のデータを暗号化部１０７を用いて暗号化し（ステップＳ６６）、可搬型記憶媒体駆動部１０８を用いて上記暗号化したシステム管理用のデータを可搬型記憶媒体１００のシステム管理領域に書き込み（ステップＳ６７）、終了する（ステップＳ６８）。
【０１５１】
すなわち、システム管理用のデータは、毎回暗号化して可搬型記憶媒体１００のシステム管理領域に書き込まれることになる。
【０１５２】
図１０の（ａ）は、第１の実施形態で可搬型記憶媒体１００へ初めてアクセスしてデータを書き込むときの処理の流れを示す他のフローチャートである。
【０１５３】
可搬型記憶媒体１００へ初めてアクセスしてデータを書き込むときには、外部のＰＣ１１０等からの可搬型記憶媒体１００上のデータ書き込み要求（ステップＳ８０）に応じて、まず、アクセスが初めてであるか否かを判定（ステップＳ８１）する。
【０１５４】
そして、アクセスが初めてあるときには、可搬型記憶媒体１００のシステム管理領域に暗号化されて記録されているシステム管理用データを、可搬型記憶媒体駆動部１０８を用いて作業用メモリ１０３へ読み出す（ステップＳ８２）。
【０１５５】
その後、復号化されたシステム管理用のデータを用いて、外部のＰＣ１００から受け取ったデータを可搬型記憶媒体１００へ書き込む（ステップＳ８３、Ｓ８４）。
【０１５６】
このとき、可搬型記憶媒体１００上のデータの構成が更新されているので、当然、作業用メモリ１０３上のシステム管理用のデータも更新して（ステップＳ８５）、終了する（ステップＳ８６）。
【０１５７】
しかるに、ステップＳ８１において、アクセスが初めてではないときには、上記のステップＳ８２，Ｓ８３の処理をスルーして、前に得られているシステム管理用のデータの情報を用いて、外部のＰＣ１００から受け取ったデータを可搬型記憶媒体１００へ書き込む（ステップＳ８４）。
【０１５８】
このとき、可搬型記憶媒体１００上のデータの構成が更新されているので、当然、作業用メモリ１０３上のシステム管理用のデータも更新して（ステップＳ８５）、終了する（ステップＳ８６）。
【０１５９】
図１０の（ｂ）は、第１の実施形態で可搬型記憶媒体１００の排出要求があったときの処理の流れを示すフローチャートである。
【０１６０】
すなわち、可搬型記憶媒体１００の排出要求があったときには、システム管理用データを暗号化（ステップＳ９１）し、この暗号化されたシステム管理用のデータを可搬型記憶媒体１００上のシステム管理領域に記録（ステップＳ９２）した後、可搬型記憶媒体１００を排出する（ステップＳ９３）。
【０１６１】
すなわち、可搬型記憶媒体１００を本発明によるデータ記録／再生装置１０１から排出するときだけ、システム管理用データを暗号化して可搬型記憶媒体１００上のシステム管理領域に記録するものである。
【０１６２】
なお、以上の説明では、システム管理領域のデータを全て暗号化しているが、図５に示すように、ＦＡＴ、ＦＡＴのコピー、及びルートディレクトリのエントリテーブルのみを暗号化するようにしてもよい。
【０１６３】
また、ここまでの説明ではデータ記録装置の外部装置としてＰＣを例に説明したが、外部の装置としては、これに限定されない。
【０１６４】
例えば、ＰＣの代わりにワークステーション、ＰＤＡ等の情報編集機器であってもよいし、あるいはスキャナーやデジタルカメラ、デジタルビデオカメラのような映像撮像装置であっても構わない。
【０１６５】
なお、この発明の実施の形態の各構成は、当然、各種の変形、変更が可能である。
【０１６６】
図２に示すように、映像撮像装置１３０としては、光学系１２０、撮像部１２１、Ａ／Ｄ変換部１２２、画像処理部１２３、フォーマット変換部１２４、ユーザーインタフエイス部１２５から構成されるとともに、データ記録／再生装置１０１としての構成要素である作業用メモリ部１０３、鍵データ記憶用メモリ部１０４、制御部１０５、復号化部１０６、暗号化部１０７、可搬型記憶媒体駆動部１０８、媒体判定部１０９から構成される。
【０１６７】
光学系１２０は、レンズ、鏡筒駆動系などから構成され、映像を撮像部１２１に結像する。
【０１６８】
また、撮像部１２１は光信号を電気信号に変換し、Ａ／Ｄ変換部１２２では、前記電気信号をＡ／Ｄ変換してデジタル化したデータを作業用メモリ部１０３へ格納する。
【０１６９】
画像処理部１２３では、前記の作業用メモリ１０３に格納されたデジタルデータから、画像を生成するための各種処理（例えば、ホワイトバランスの調整、ガンマ変換、エッヂ強調処理など）を施す。
【０１７０】
フォーマット変換部１２４は、前記の画像のデータをＪＰＥＧ等の保存形式に変換する部分である。
【０１７１】
また、ユーザーインタフェイス部１２５は、シャッター、液晶ファインダー、各種撮影モード設定用のボタンなどのユーザーインタフェイスからなる。
【０１７２】
ファイルの消去などの要求もユーザーインタフェイス部１２５を介して入力される。
【０１７３】
図２から分かるように、上記のような構成でも、図２の点線内は第１の実施形態のデータ記録／再生装置と同じである。
【０１７４】
また、第１の実施形態の場合に、通信部１０２を通して外部のＰＣ１１０等とデータのやり取りをしていた部分が、図２では映像撮像装置内の点線外部との間でデータをやり取りすることに置き換わっただけである。
【０１７５】
したがって、図２のような構成においても、第１の実施形態の機能を備えることが可能である。
【０１７６】
上記のような構成によって、画像のような大容量のデータを、データ内容の秘匿性、真正性を確保し、且つ高速にデータを記録できるデータ記録装置を提供することが可能になる。
【０１８０】
（第２の実施形態）
ところで、上述したような第１の実施形態による手法においては、可搬型記録媒体上のデータをダンプして、順次読み出し位置を変えるという不正なアタック方法でデータ内容を読み出される可能性を有しているという危険がある。
【０１８１】
特に、デジタルカメラで撮影した画像を格納するような記録媒体の場合、撮影するデータの種類（“ＷＯＲＤ”，“ｅｘｃｅｌ”，“ｔｅｘｔ”，“ｊｐｅｇ”“ｔｉｆｆ”，“ｍｐｅｇ”等のフォーマットのこと）も決まっており（ＪＰＥＧ，ＴＩＦＦ，ＦｌａｓｈＰｉｘ等）、さらにデータサイズもＣＣＤの画素数が固定であることによってほぼ一定であるので、第１の実施形態による手法においては、上述のような不正なアタックに対して弱いという難点がある。
【０１８２】
そこで、この第２の実施形態では、このような不正なアタックに対する防御対策を伴ったデータ記録／再生装置を提供することを意図している。
【０１８３】
まず、この第２の実施形態で用いる用語について説明する。
【０１８４】
（１）論理的にアクセス可能な単位領域＝クラスタ
（２）物理的にアクセス可能な単位領域＝セクタ
（３）ＦＡＴ ：Ｆｉｌｅ Ａｌｌｏｃａｔｉｏｎ Ｔａｂｌｅの略語であり、ＭＳ−ＤＯＳのフアイルシステム名である。以下の説明の中では、ＦＡＴをファイルシステムが用いる管理テーブルの総称のように用いているが、“ＦＡＴ”というのは飽くまでＭＳ−ＤＯＳやＷｉｎｄｏｗｓで用いられているファイルシステムで用いている管理テーブルの名称である。
（４）疑似欠陥クラスタ：実際に物理的に壊れているわけではなく、正常か欠陥かを示す管理テーブルの内容を操作することで欠陥としたクラスタ（本明細書内での定義）。
（５）疑似ランダム ：疑似乱数系列を用いて乱数を生成するため、“疑似”という言葉が付く。
【０１８５】
次に、第２の実施形態の概要について説明する。
【０１８６】
この第２の実施形態では、システム管理領域（ＦＡＴを含む）を暗号化することをベースに、大きく分けて以下の５つの手法が含まれている。
【０１８７】
（１）データに対するクラスタの物理的な配置を疑似ランダム化する（連続性をなくす）。
【０１８８】
（２）疑似欠陥クラスタを作り、データの読み出しを困難にする。
【０１８９】
なお、上記（１），（２）に従属して以下のケースがある。
【０１９０】
ａ）データ初期化時に、ユーザー領域を疑似ランダムデータで初期化する。
【０１９１】
ｂ）データ削除のときは、その領域を元のランダムデータに置き換える。
【０１９２】
これは、未使用かつ初期化時と異なるデータが記録されたクラスタがあるときに改竄の疑いありとするためである。
【０１９３】
（３）データ書き込み時にＭＯディスク等の記録媒体の未使用領域（上記疑似欠陥クラスタ領域も含む）に偽のデータも同時に書き込む。
【０１９４】
なお、この（３）はについては、上記（１）、（２）と併用可能である。
【０１９５】
（４）データに対する追記がない、データのサイズがほぼ一定であることを利用し、ＦＡＴの小規模化（ＦＡＴ暗号化の演算量を削減）を実現する。
【０１９６】
なお、この（４）に従属して以下のケースがある。
【０１９７】
ａ）データ記録時にシャッフルするなどの各種処理を行う。
【０１９８】
ｂ）処理のパラメータをシステム管理額域に記録する。
【０１９９】
（５）データ記録時に、データのハッシュ値（ＯＲ Ｅｒｒｏｒ Ｃｏｒｒｅｃｔｉｎｇ Ｃｏｄｅ／Ｅｒｒｏｒ Ｄｅｔｅｃｔｉｎｇ Ｃｏｄｅ）を求め、システム管理領域に記録する。
【０２００】
図１１は、以上のような概要に基づく第２の実施形態の上記の５つの手法に対応するＭＳ−ＤＯＳ ＦＡＴ１６ファイルシステムのファイル管理手法を説明するための図である。
【０２０１】
すなわち、図１１は、ファイル名ｆｉｌｅ．ｔｅｘｔのファイルに対するアクセスを例にとったものである。
【０２０２】
この場合、ルートディレクトリのエントリ（又は、サブディレクトリのエントリ）を検索することにより、図１１中にメニュー形式で示すようなｆｉｌｅ．ｔｅｘｔのディレクトリエントリ（ＦＡＴ１６）を探す。
【０２０３】
ここでは、開始クラスタ（ＩＤ）としてＦＡＴエントリ（ＩＤ）が１４である場合を示している。
【０２０４】
なお、図１１中にメニュー形式で示すようなファイルの大きさは、４８００ｂｙｔｅｓであって、例えば、１クラスタ＝１０２４ｂｙｔｅｓであれば、５クラスタが必要となる場合を示している。
【０２０５】
また、ここでは、１クラスタ＝２セクタ＝１０２４ｂｙｔｅｓである場合を示している。
【０２０６】
図１１中の“Ｈ”は、１６進数を意味するものとする。
【０２０７】
そして、ＦＡＴエントリ（ＩＤ）が１１，１２，１３，１４，１５，１６，１７，１８，１９，２０に対して、各クラスタＣＨ，ＤＨ，ＦＦＦＦＨ，ＦＨ，１０Ｈ，１２Ｈ，ＦＦＦ７Ｈ，１３Ｈ，ＦＦＦＦＨ，０Ｈがそれぞれ上記疑似ランダムによるランダム化されて割り当てられている例である。
【０２０８】
この例では、１つのデータのＦＡＴリンク以下のようになる。
【０２０９】
まず、開始クラスタ（ＩＤ）としてＦＡＴエントリ（ＩＤ）が１４からアクセスが開始され、ＦＨ＝１５でＦＡＴエントリ（ＩＤ）が１５に移行し、１０Ｈ＝１６でＦＡＴエントリ（ＩＤ）が１６に移行し、１２Ｈ＝１８でＦＡＴエントリ（ＩＤ）が１８に移行し、１３Ｈ＝１９でＦＡＴエントリ（ＩＤ）が１９に移行する。
【０２１０】
なお、ＦＡＴエントリ（ＩＤ）が１７のＦＦＦ７Ｈは、上記疑似欠陥クラスタ領域としての不良クラスタであるため、ＦＡＴエントリ（ＩＤ）が１６からＦＡＴエントリ（ＩＤ）が１８に移行している。
【０２１１】
また、ＦＡＴエントリ（ＩＤ）が１９のＦＦＦ８〜ＦＦＦＦＨは、ファイルの最後のクラスタである。
【０２１２】
そして、ＦＡＴエントリ（ＩＤ）が２０の０Ｈは、未使用クラスタである。
【０２１３】
次に、以上のような概要に基づく第２の実施形態の上記の５つの手法に対応する各具体例について図１２乃至図３７を参照して説明する。
【０２１４】
なお、これらの各図中で上述した第１の実施形態と同じ番号が割り当てられた部分は、同じ機能を持つものとする。
【０２１５】
（第１の具体例）
まず、図１２乃至図１７を用いて、本発明によるデータ記録／再生装置の第２の実施形態の第１の具体例について説明する。
【０２１６】
図１２は、第２の実施形態における第１の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【０２１７】
すなわち、このデータ記憶／再生装置１０１は、外部のＰＣ１１０と通信を行う通信部１０２と、この通信部１０２にそれぞれ内部バスを介して接続されている作業用メモリ部１０３、鍵データ記憶用メモリ部１０４、制御部１０５、復号化部１０６、暗号化部１０７、可搬型記憶媒体駆動部１０８、媒体判定部１０９（図示せず、第１の実施形態参照）、データ分割部２０１、クラスタ選択部２０２から構成される。
【０２１８】
通信部１０２は、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）やイーサネット、シリアルケーブル等の通信ケーブル、あるいは赤外線などの無線を用いて、データ記録／再生装置外部のＰＣ１１０やワークステーションなどのデータ作成・編集装置とデータやコマンドのやり取りをする機能を持つ。
【０２１９】
作業用メモリ１０３は、通信部１０２などから送られてきたデータや、各種処理の途中段階のデータをバッファリングすると共に、プログラムをロードするためのメモリである。
【０２２０】
また、鍵データ格納用メモリ部１０４は、秘密情報、例えば、ＤＥＳ等の暗号鍵を格納するためのメモリである。
【０２２１】
制御部１０５は、データ記憶／再生装置１０１の処理全体を制御する部分である。
【０２２２】
復号化部１０６は、鍵データ格納用メモリ部１０４からデータを復号化するための情報を読み出し、データを復号化する。
【０２２３】
同様に暗号化部１０７は、鍵データ格納用メモリ部１０４からデータを暗号化するための情報を読み出し、データを暗号化する。
【０２２４】
また、可搬型記憶媒体駆動部１０８は、制御部１０５からの処理要求に応じ、当該データ記憶／再生装置１０１に装填される可搬型記憶媒体１００上の領域のデータの読み出し／書き込み（消去を含む）を行う。
【０２２５】
なお、図示しない媒体判定部１０９では、当該データ記憶／再生装置１０１に装填される記憶媒体が、本発明による手法で記録されている可搬型記憶媒体１００であるか、それ以外の記憶媒体であるかを判定する。
【０２２６】
データ分割部２０１は、データを可搬型記録媒体１００上で論理的にアクセス可能な単位領域のサイズに分割する。
【０２２７】
クラスタ選択部２０２は、所定の規則に従って可搬型記録媒体１００から使用されていないクラスタを論理的にアクセス可能な単位領域のクラスタとして選択する。
【０２２８】
すなわち、この第１の具体例によるデータ記録／再生装置は、上述したような第１の実施形態によるデータ記録／再生装置において、データを可搬型記録媒体１００に記録する処理において、データ分割部２０１によりデータを可搬型記録媒体１００上で論理的にアクセス可能な単位領域のサイズに分割すると共に、クラスタ選択部２０２により所定の規則に従って可搬型記録媒体１００から使用されていないクラスタを論理的にアクセス可能な単位領域のクラスタとして選択することにより、制御部１０５からの処理要求に応じて前記分割されたデータを前記選択された論理的にアクセス可能な単位領域のクラスタに逐次記録することを特徴としている。
【０２２９】
すなわち、通常、データを可搬型記録媒体としての例えばＭＯ等のディスクに記録するときには、クラスタが連続的につながっている領域にデータを記録するようにしているが、この方法だと、ディスクのユーザー領域を順次ダンプしていくことで、ディスクに書き込まれたデータが読み出されるという脅威がある。
【０２３０】
そこで、この第１の具体例によるデータ記録／再生装置では、データを書き込むときに、あえて連続性のないクラスタを選んでデータを書き込むことで、上記脅威を回避する手法を採用するものとしている。
【０２３１】
例えば、ディスクサイズ１Ｇ、画像サイズ６Ｍ（２００万画素非圧縮）の場合、クラスタのサイズが１６Ｋのケースでも、ディスク全体のクラスタ数は６２５００個あり、画像データ１つを記録するためのクラスタ数は３７５個ある。
【０２３２】
このようなディスクに対して第１の具体例による手法を採用すれば、システム管理領域が暗号化されてクラスタ間のリンクが分からない場合には、手探りで画像データを復元しようにも、６２５００個のクラスタから（初期化時にディス．クの全領域にランダムなデータを書き込んでいるので）正しい順番で３７５個のクラスタに記録されたデータを読みださなければならず、解読は相当困難になる（単純計算で約６２５００³⁷⁵ 通りの組み合わせがある）。
【０２３３】
仮に、データを書き込む前と後の記録媒体全領域がダンプされ、前記２つのダンプされたデータ比較することにより、データが記録されている領域があばかれたとしても、データを読み出すためのデータの順番がわからないので、３７５！通りの組み合わせから本当のデータを解読する必要がある。
【０２３４】
実際には、画像データの場合、周波数や色相関などの情報から、３７５！通りよりもう少し探索範囲を狭めることは可能ではあるが、解読自体は不可能に近いと言える。
【０２３５】
そして、この第１の具体例による手法では、クラスタの物理的な連続性がなくなるため、読み出し速度は低下するが、基本的に通常のファイルステムと同じで、システム管理領域のデータサイズは変わらない。
【０２３６】
図１３は、この第１の具体例による手法に基づいたＦＡＴ１６ファイルシステムにおけるデータ管理形態を示している。
【０２３７】
すなわち、図１３は、先に第２の実施形態の概要について説明した図１１からクラスタ部分を取り出して示したものであって、疑似欠陥クラスタ領域を設けていない以外は図１１に準じている。
【０２３８】
この例では、１つのデータのＦＡＴリンク以下のようになる。
【０２３９】
まず、開始クラスタ（ＩＤ）としてＦＡＴエントリ（ＩＤ）が１４からアクセスが開始され、ＦＨ＝１５でＦＡＴエントリ（ＩＤ）が１５に移行し、１０Ｈ＝１６でＦＡＴエントリ（ＩＤ）が１６に移行し、１１Ｈ＝１７でＦＡＴエントリ（ＩＤ）が１７に移行し、１２Ｈ＝１８でＦＡＴエントリ（ＩＤ）が１８に移行する。
【０２４０】
なお、ＦＡＴエントリ（ＩＤ）が１８のＦＦＦＦＨは、ファイルの最後のクラスタである。
【０２４１】
図１４は、通常のファイルシステムを用いた場合に、システム管理領域とユーザー領域とを有する可搬型記録媒体のユーザー領域にデータが記録されるときの例を参考的に示している。
【０２４２】
この場合、可搬型記録媒体では、データの物理的配置として、例えば、ＩＤ（アドレス）＝２〜３７のクラスタ領域をできるだけ物理的な連続性を確保するように配置されている。
【０２４３】
そして、この図１４においては、ハッチングを有するＩＤ（アドレス）＝１４〜１８のクラスタ領域にデータが書き込まれる例を示している。
【０２４４】
図１５は、この第１の具体例による手法に基づいたデータの記録形態を示している。
【０２４５】
すなわち、この図１５においては、記録するデータは、まず、クラスタのサイズに分割され、各々、ランダムに選択されたクラスタＩＤ（アドレス）＝２，３，４…１２，１３，１４…１７，１８，１９…３３のクラスタ領域に記録されることを示している。
【０２４６】
図１６は、この第１の具体例による場合の１つのデータのＦＡＴリンクを図１４の一部と対応付けて示している。
【０２４７】
この図１６から分かるように、基本的にＦＡＴシステムで扱うことが可能な手法である。
【０２４８】
図１７は、この第１の具体例によるファイルシステムを用いた場合に、システム管理領域とユーザー領域とを有する可搬型記録媒体のユーザー領域にデータが記録されるときの例を示している。
【０２４９】
この場合、可搬型記録媒体では、データの物理的配置として、例えば、ＩＤ（アドレス）＝２〜３７のクラスタ領域をできるだけ物理的な連続性をなくすようにランダム化して配置されている。
【０２５０】
そして、この図１７においては、ハッチングを有するＩＤ（アドレス）＝３，１２，１４，１７，１９，３３クラスタ領域にデータが書き込まれる例を示している。
【０２５１】
（第２の具体例）
次に、図１８及び図１９を用いて、本発明によるデータ記録／再生装置の第２の実施形態の第２の具体例について説明する。
【０２５２】
図１８は、第２の実施形態における第２の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【０２５３】
すなわち、このデータ記憶／再生装置１０１は、外部のＰＣ１１０と通信を行う通信部１０２と、この通信部１０２にそれぞれ内部バスを介して接続されている作業用メモリ部１０３、鍵データ記憶用メモリ部１０４、制御部１０５、復号化部１０６、暗号化部１０７、可搬型記憶媒体駆動部１０８、媒体判定部１０９（図示せず、第１の実施形態参照）、クラスタ選択部３０１、乱数発生部３０２から構成される。
【０２５４】
通信部１０２は、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）やイーサネット、シリアルケーブル等の通信ケーブル、あるいは赤外線などの無線を用いて、データ記録／再生装置外部のＰＣ１１０やワークステーションなどのデータ作成・編集装置とデータやコマンドのやり取りをする機能を持つ。
【０２５５】
作業用メモリ１０３は、通信部１０２などから送られてきたデータや、各種処理の途中段階のデータをバッファリングすると共に、プログラムをロードするためのメモリである。
【０２５６】
また、鍵データ格納用メモリ部１０４は、秘密情報、例えば、ＤＥＳ等の暗号鍵を格納するためのメモリである。
【０２５７】
制御部１０５は、データ記憶／再生装置１０１の処理全体を制御する部分であり、後述する欠陥クラスタ情報の書き込み制御はこの制御部１０５で行われることになる。
【０２５８】
復号化部１０６は、鍵データ格納用メモリ部１０４からデータを復号化するための情報を読み出し、データを復号化する。
【０２５９】
同様に暗号化部１０７は、鍵データ格納用メモリ部１０４からデータを暗号化するための情報を読み出し、データを暗号化する。
【０２６０】
また、可搬型記憶媒体駆動部１０８は、制御部１０５からの処理要求に応じ、当該データ記憶／再生装置１０１に装填される可搬型記憶媒体１００上の領域のデータの読み出し／書き込み（消去を含む）を行う。
【０２６１】
なお、図示しない媒体判定部１０９では、当該データ記憶／再生装置１０１に装填される記憶媒体が、本発明による手法で記録されている可搬型記憶媒体１００であるか、それ以外の記憶媒体であるかを判定する。
【０２６２】
クラスタ選択部３０１は、所定の規則に従って可搬型記録媒体１００から論理的にアクセス可能な単位領域のクラスタとして選択する。
【０２６３】
乱数発生部３０２は、後述する欠陥クラスタ情報の書き込み制御に用いられるランダムなデータとして任意性のあるパラメータを用いたランダムデータを生成するための乱数を発生する。
【０２６４】
すなわち、この第２の具体例によるデータ記録／再生装置は、上述したような第１の実施形態によるデータ記録／再生装置において、データを可搬型記録媒体１００に記録する処理において、クラスタ選択部３０１及び乱数発生部３０２とにより前記可搬型記録媒体１００から論理的にアクセス可能な単位領域をランダムに複数選ぶと共に、制御部１０５により前記可搬型記録媒体１００上で論理的にアクセス可能な単位領域を欠陥領域として前記システム管理用データに登録することを特徴としている。
【０２６５】
そして、この第２の具体例では、初期化時に、可搬型記録媒体１００上にランダムに疑似欠陥クラスタを作ることを特徴としている。
【０２６６】
ここでいう疑似欠陥クラスタとは、実際にユーザー領域のクラスタを破壊するのではなく、単に、ＦＡＴエントリに対応するクラスタが壊れているという情報を記録するだけである（システム管理用データを暗号化しているので、この情報は誰にも分からない）。
【０２６７】
記録媒体に書き込まれるデータは、真のデータの所々に疑似欠陥セクタが入り込んでいる。
【０２６８】
例えば、全クラスタの１０％が疑似欠陥セクタの場合、前例の条件では（３７５＋３８）個のクラスタに３８個の疑似欠陥クラスタ（偽データ）が含まれていることになる。
【０２６９】
従って、データを読み出すためには６２５００個のクラスタ全体から、データが記録されている領域を探し出し、その後、さらに疑似欠陥クラスタの部分を取り除く必要がある。
【０２７０】
仮に、データを書き込む前と後の記録媒体全領域がダンプされ、前記２つのダンプされたデータ比較することにより、データが記録されている領域があばかれたとしても、後述する第６乃至第１１の具体例による手法と併用することにより、データ内容を強靭に保護することが可能である。
【０２７１】
なお、ＪＰＥＧ等の圧縮画像の場合には、各クラスタに記録されているデータそのものが直接画像を表現しないため、第６乃至第１１の具体例による手法と併用することは特に必要なく、この第２の具体例による手法のみでデータ内容を強靭に保護することが可能である。
【０２７２】
この第２の具体例による手法では、疑似欠陥クラスタの分だけディスク領域に無駄が生じることになる。
【０２７３】
しかし、この第２の具体例の場合、欠陥クラスタ情報は通常の方法で図１１に示したようにＦＡＴエントリ内に記録されるため、わざわざ欠陥クラスタ情報（位置）をＦＡＴ以外のところに別途記録しておく必要はない。
【０２７４】
そして、この第２の具体例による手法では、基本的に通常のファイルステムと同じであるため実装が簡単であると共に、データを書き込むクラスタに連続性があるためデータの書き込み速度が速いという利点がある。
【０２７５】
図１９の（ａ），（ｂ）は、通常の場合のＦＡＴリンクの初期化状態と、この第２の具体例による手法に基づいたＦＡＴリンクの初期化状態とを対比させて示している。
【０２７６】
すなわち、図１９の（ａ）に示すように、通常の場合のＦＡＴリンクの初期化状態では、通常の場合と何等変わりがない。
【０２７７】
これに対し、図１９の（ｂ）に示すように、この第２の具体例による手法では、ＦＡＴエントリ（ＩＤ）＝１２，１７のところに、ＦＦＦ７Ｈなる疑似欠陥クラスタ領域であることを示すコードが付されている。
【０２７８】
（第３の具体例）
次に、図２０乃至図２２を用いて、本発明によるデータ記録／再生装置の第２の実施形態の第３の具体例について説明する。
【０２７９】
図２０は、第２の実施形態における第３の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【０２８０】
すなわち、このデータ記憶／再生装置１０１は、外部のＰＣ１１０と通信を行う通信部１０２と、この通信部１０２にそれぞれ内部バスを介して接続されている作業用メモリ部１０３、鍵データ記憶用メモリ部１０４、制御部１０５、復号化部１０６、暗号化部１０７、可搬型記憶媒体駆動部１０８、媒体判定部１０９（図示せず、第１の実施形態参照）、クラスタ照合部４０１、乱数発生部４０２から構成される。
【０２８１】
通信部１０２は、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）やイーサネット、シリアルケーブル等の通信ケーブル、あるいは赤外線などの無線を用いて、データ記録／再生装置外部のＰＣ１１０やワークステーションなどのデータ作成・編集装置とデータやコマンドのやり取りをする機能を持つ。
【０２８２】
作業用メモリ１０３は、通信部１０２などから送られてきたデータや、各種処理の途中段階のデータをバッファリングすると共に、プログラムをロードするためのメモリである。
【０２８３】
また、鍵データ格納用メモリ部１０４は、秘密情報、例えば、ＤＥＳ等の暗号鍵を格納するためのメモリである。
【０２８４】
制御部１０５は、データ記憶／再生装置１０１の処理全体を制御する部分である。
【０２８５】
復号化部１０６は、鍵データ格納用メモリ部１０４からデータを復号化するための情報を読み出し、データを復号化する。
【０２８６】
同様に暗号化部１０７は、鍵データ格納用メモリ部１０４からデータを暗号化するための情報を読み出し、データを暗号化する。
【０２８７】
また、可搬型記憶媒体駆動部１０８は、制御部１０５からの処理要求に応じ、当該データ記憶／再生装置１０１に装填される可搬型記憶媒体１００上の領域のデータの読み出し／書き込み（消去を含む）を行う。
【０２８８】
なお、図示しない媒体判定部１０９では、当該データ記憶／再生装置１０１に装填される記憶媒体が、本発明による手法で記録されている可搬型記憶媒体１００であるか、それ以外の記憶媒体であるかを判定する。
【０２８９】
クラスタ照合部４０１は、後述するように、システム管理領域から読み出したパラメータを用いて生成したランダムデータと、前記可搬型記録媒体の未使用領域のクラスタに記録されているデータとが初期化時と同じであるか否かを照合する。
【０２９０】
乱数発生部４０２は、後述するユーザー領域全体に前記ランダムデータの書き込み制御に用いられるランダムなデータとして任意性のあるパラメータを用いたランダムデータを生成するための乱数を発生する。
【０２９１】
すなわち、この第３の具体例によるデータ記録／再生装置は、上述したような第１の実施形態によるデータ記録／再生装置において、データを可搬型記録媒体１００に記録する処理において、前記可搬型記録媒体を初期化するために、乱数発生部４０２により任意性のあるパラメータを用いてランダムなデータを生成して、制御部１０５からの処理要求に応じてユーザー領域全体に前記ランダムデータを書き込むと共に、前記システム管理領域に予め記録しておいた前記パラメータを読み出し、クラスタ照合部４０１により前記システム管理領域から読み出したパラメータを用いて生成したランダムデータと、前記可搬型記録媒体の未使用領域のクラスタに記録されているデータとが初期化時と同じであるか否かを照合し、制御部１０５からの処理要求に応じて前記可搬型記録媒体からデータを削除するときに、前記可搬型記録媒体の未使用の領域に疑似ランダムデータを書き込むことを特徴としている。
【０２９２】
そして、この第３の具体例による手法は、前述した第１及び第２の具体例による手法を補うものである。
【０２９３】
すなわち、通常、データを可搬型記録媒体としての例えばＭＯ等のディスクに記録するときに、データが記録されていないディスクはディスク領域全体が例えば０（ＯＦＦ）で初期化されている場合が考えられる。
【０２９４】
そのような場合、前述した第１及び第２の具体例による手法だけではデータが記録されている領域とされていない領域は、ディスク全体をダンプすることですぐに分かってしまうという脅威がある。
【０２９５】
そこで、この第３の具体例による手法では、予めデイスク全体をランダムな値で初期化してしまうことにより、上記脅威を低減させる手法である。
【０２９６】
この手法は、データを記録した後でデータ内容を改窺するアタックに対しては効果がある。
【０２９７】
しかるに、この第３の具体例による手法では、データ記録前と記録後の差分をとるというアタックには何ら効果がないが、このアタックに対する対策は次に述べる第４の具体例による手法で対策することができる。
【０２９８】
また、ファイルシステムに関する知識を有し、かつ悪意あるユーザーによって上記の初期化されたディスクのユーザー領域が他のデータ記録装置で低レベルの手段を用いて０などに一様に初期化される恐れがある。
【０２９９】
そこで、この第３の具体例による手法では、未使用の領域には場所に依存する特定のデータ（疑似ランダムデータ）を書き込み、ユーザー領域に不正にデータが書き込まれていないかをチェックすることができる機能を備える。
【０３００】
このため、第３の具体例による手法では、具体的には、疑似乱数生成系列とその種（ここでは、パラメータと呼び、シスァム管理領域に暗号化して記録されるもの）を用いる。
【０３０１】
すなわち、乱数生成の種が分かっていれば、どのクラスタにどんな乱数列が記録されたか分かるため、上記のようにユーザー領域に不正にデータが書き込まれていないかをチェックすることができるからである。
【０３０２】
また、通常、データファイルを消去する場合には、単に、ＦＡＴエントリから対応するＦＡＴリンク部分を未使用（０Ｈ）にするだけであるが、このようにすると上記の手法を採用することができない。
【０３０３】
そこで、この第３の具体例による手法では、消去した場合には、そのファイルが使用していたクラスタの値を、上記乱数の種を用いて、初期化時と同じ値にするようにしている。
【０３０４】
図２１は、この第３の具体例による手法を説明するための概念図である。
【０３０５】
図２２は、この第３の具体例による手法を説明するためのフローチャートである。
【０３０６】
すなわち、ＦＡＴエントリのＩＤをｎとし、システム管理領域に予め記録しておく前記パラメータをｘとするとき、これらのｎ，ｘをランダムデータ生成装置に入力して１クラスタ分のランダムデータを生成する（ステップＳ１１，Ｓ１２，Ｓ１３）。
【０３０７】
そして、この１クラスタ分のランダムデータを可搬型記録媒体のユーザー領域におけるｎ番目のクラスタに記録するようにすることにより、ユーザー領域をランダムな値で全面的に初期化すると共に、システム管理用データを暗号化して可搬型記録媒体のシステム管理領域に記録した後、終了する（ステップＳ１４，Ｓ１５，Ｓ１６，Ｓ１７）。
【０３０８】
（第４の具体例）
次に、図２３を用いて、本発明によるデータ記録／再生装置の第２の実施形態の第４の具体例について説明する。
【０３０９】
図２３は、第２の実施形態における第４の具体例によるデータ記録／再生装置の機能を説明するためのフローチャートである。
【０３１０】
なお、この第４の具体例によるデータ記録／再生装置の構成については、前述した第３の具体例によるデータ記録／再生装置の構成と同じであるため、その説明を省略するものとする。
【０３１１】
すなわち、この第４の具体例によるデータ記録／再生装置は、上述したような第１の実施形態によるデータ記録／再生装置において、データを可搬型記録媒体１００に記録する処理において、乱数発生部４０２により任意性のあるパラメータを用いてランダムなデータを生成して、制御部１０５からの処理要求に応じてユーザー領域から複数選択した未使用の領域に前記ランダムなデータを書き込むことを特徴としている。
【０３１２】
そして、この第４の具体例は、図２３に示すように、ディスクにデータを記録するとき（ステップＳ５１，Ｓ５２）に、ダミーデータを同時に記録する（ステップＳ５３〜Ｓ５７）という手法である。
【０３１３】
すなわち、ダミーデータの同時記録については、ＦＡＴエントリのＩＤをｎとするとき、このｎをランダムデータ生成装置に入力してランダムデータを生成する（ステップＳ５３，Ｓ５４）。
【０３１４】
そして、未使用のクラスタ領域をランダムに選択し、この選択したクラスタ領域にランダムデータをＮ≦ｎ（但し、Ｎは、ランダムデータを書き込むクラスタ領域数）となるまで記録するようにすると共に、システム管理用データを暗号化して可搬型記録媒体のシステム管理領域に記録した後、終了する（ステップＳ５５，Ｓ５６，Ｓ５７，Ｓ５８，Ｓ５９）。
【０３１５】
この第４の具体例による手法では、システム管理データが第１の実施形態に示したように暗号化されているので、ダミーデータが真のデータと一緒に記録されていることについては、ユーザーからは見分けがつかない。
【０３１６】
また、ダミーデータは未使用領域（疑似欠陥クラスタを含む）を未使用のステータスのままで使うので、ディスク等の可搬型記録媒体領域をまったく無駄にしない（ＦＡＴには一切記録しないので、ファイルにならない）。
【０３１７】
（第５の具体例）
次に、図２４及び図２５を用いて、本発明によるデータ記録／再生装置の第２の実施形態の第５の具体例について説明する。
【０３１８】
図２４は、第２の実施形態における第５の具体例によるデータ記録／再生装置の機能を説明するためにＦＡＴエントリ構成を示している図である。
【０３１９】
このＦＡＴエントリ（ＩＤ）構成は、図２４に示すように、開始クラスタＩＤ、最後のクラスタＩＤ、欠陥クラスタの個数、欠陥クラスタ１のＩＤ、欠陥クラスタ２のＩＤ等を有している。
【０３２０】
図２５の（ａ），（ｂ）は、第１の具体例に準じた場合のＦＡＴファイルシステムと、この第５の具体例による手法に基づいたファイルシステムとを対比させて示している図である。
【０３２１】
すなわち、図２５の（ａ）に示すように、第１の具体例に準じた場合のＦＡＴファイルシステムでは、第１の具体例の場合とほぼ変わりがない。
【０３２２】
これに対し、図２５の（ｂ）に示すように、この第２の具体例による手法では、ＦＡＴエントリ（ＩＤ）＝Ｋ−１，Ｋ，Ｋ＋１，Ｋ＋２，Ｋ＋３，Ｋ＋４，Ｋ＋５において、開始クラスタ（ＩＤ）としてＦＡＴエントリ（ＩＤ）がＫ（１４）からアクセスが開始され、Ｋ＋１（１５），Ｋ＋２（１），Ｋ＋３（１７）に移行する。
【０３２３】
なお、この第５の具体例によるデータ記録／再生装置の構成については、前述した第２の具体例によるデータ記録／再生装置の構成と同じであるため、その説明を省略するものとする。
【０３２４】
すなわち、この第５の具体例によるデータ記録／再生装置は、上述したような第１の実施形態によるデータ記録／再生装置において、データを可搬型記録媒体１００に記録する処理において、前記システム管理領域に、データを記録する領域の、論理的にアクセス可能な先頭及び最後尾の単位領域のＩＤと、前記データを記録する連続領域内の欠陥領域の情報をファイル管理用テーブルに記録すると共に、前記可搬型記録媒体上のデータに対する読み出し、書き込み等のアクセスを行う場合に、前記フアイル管理用テーブルからデータの可搬型記録媒体上の物理的なアドレスを求めることを特徴としている。
【０３２５】
そして、この第５の具体例による手法は、以下に示すような観点に基づいている。
【０３２６】
例えば、デジタルカメラのデータ記録装置の場合、２００万画素の非圧縮データならば、そのデータのサイズは６Ｍバイトであり、ＦＡＴ１６のシステムでは必要なクラスタ数は、クラスタサイズを１６Ｋバイトとしても３６７個となり、１つの画像フアイルを管理するのに必要な管理データは３６７×２＝７３４バイト必要になる。
【０３２７】
ところで、デジタルカメラでは、通常データに対して後から追記するような処理は行われないと共に、１つのデータは通常連続するクラスタに連続して記録される。
【０３２８】
従って、通常のＦＡＴシステムの場合のようにＦＡＴの全てをリンクする必要はなく、クラスタの開始ＩＤ（アドレス）と最後のＩＤ及び、途中に欠陥クラスタがある場合にはその情報が記録されていれば、データにアクセスすることが可能である。
【０３２９】
最近のＭＯ等のディスクでは、欠陥クラスタがほとんど存在しないのが普通であるため、上記の手法でデータファイルを管理するのに必要な領域は、上記の例の場合、ＦＡＴ１６システムの数百分の１になる。
【０３３０】
本システムでは、システム管理領域を暗号化することを考えると、システム管理領域のデータ量の削減は処理時間の短縮には極めて有効な手段であると考えられる。
【０３３１】
この第５の具体例による手法は、連続するクラスタを用いることが条件であるため、上述した第１、第３及び第４の具体例による手法に対しては適用することができない。
【０３３２】
（第６乃至第１１の具体例）
次に、図２６乃至及び図３２を用いて、本発明によるデータ記録／再生装置の第２の実施形態の第６乃至第１１の具体例について説明する。
【０３３３】
なお、この第６乃至第１１の具体例は、いずれも前述した第５の具体例による手法に従属的に適用されるものである。
【０３３４】
すなわち、この第６乃至第１１の具体例は、前述した第５の具体例による手法が、データフアイルを管理するのに必要なフアイルシステムのデータ量を少なくできることを利用し、フアイルシステムのデータに書き込むデータをフアイルに異なるでシャッフルしたり、暗号化したりできるようにする手法である。
【０３３５】
図２６は、第２の実施形態における第６乃至第１１の具体例によるデータ記録／再生装置の機能を共通に説明するためにＦＡＴエントリ構成を示している図である。
【０３３６】
このＦＡＴエントリ（ＩＤ）構成は、図２６に示すように、開始クラスタＩＤ、最後のクラスタＩＤ、処理情報、欠陥クラスタの個数、欠陥クラスタ１のＩＤ、欠陥クラスタ２のＩＤ等を有している。
【０３３７】
図２７は、第２の実施形態における第６乃至第１１の具体例によるデータ記録／再生装置の機能を共通に説明するためのフローチャートである。
【０３３８】
この処理フローは、図２７に示すように、まず、データが入力されると、データ処理情報を作成してＦＡＴ中に記録する（ステップＳ７１，Ｓ７２）。
【０３３９】
次に、データ処理情報に従って入力データを処理すると共に、可搬型記憶媒体上にデータを記録する（ステップＳ７３，Ｓ７４）。
【０３４０】
次に、ＦＡＴ及びディレクトリエントリの情報を更新すると共に、システム管理用データを暗号化して可搬型記憶媒体上にデータを記録した後、終了する（ステップＳ７５，Ｓ７６，Ｓ７７）。
【０３４１】
そして、第６の具体例によるデータ記録／再生装置は、上述したような第５の具体例によるデータ記録／再生装置において、データを前記可搬型記憶媒体のユーザー領域へ書き込む処理を行うときに、データ全体、もしくはデータの一部に対して所定の処理を施すと共に、前記処理を施した領域のデータ上のアドレス、またはアドレスに関連する情報、及び前記処理に必要なパラメータをシステム管理用データに記録することを特徴としている。
【０３４２】
図２８は、第２の実施形態における第７の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【０３４３】
すなわち、このデータ記憶／再生装置１０１は、外部のＰＣ１１０と通信を行う通信部１０２と、この通信部１０２にそれぞれ内部バスを介して接続されている作業用メモリ部１０３、鍵データ記憶用メモリ部１０４、制御部１０５、復号化部１０６、暗号化部１０７、可搬型記憶媒体駆動部１０８、媒体判定部１０９（図示せず、第１の実施形態参照）、シャッフル処理部５０１から構成されている。
【０３４４】
通信部１０２は、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）やイーサネット、シリアルケーブル等の通信ケーブル、あるいは赤外線などの無線を用いて、データ記録／再生装置外部のＰＣ１１０やワークステーションなどのデータ作成・編集装置とデータやコマンドのやり取りをする機能を持つ。
【０３４５】
作業用メモリ１０３は、通信部１０２などから送られてきたデータや、各種処理の途中段階のデータをバッファリングすると共に、プログラムをロードするためのメモリである。
【０３４６】
また、鍵データ格納用メモリ部１０４は、秘密情報、例えば、ＤＥＳ等の暗号鍵を格納するためのメモリである。
【０３４７】
制御部１０５は、データ記憶／再生装置１０１の処理全体を制御する部分である。
【０３４８】
復号化部１０６は、鍵データ格納用メモリ部１０４からデータを復号化するための情報を読み出し、データを復号化する。
【０３４９】
同様に暗号化部１０７は、鍵データ格納用メモリ部１０４からデータを暗号化するための情報を読み出し、データを暗号化する。
【０３５０】
また、可搬型記憶媒体駆動部１０８は、制御部１０５からの処理要求に応じ、当該データ記憶／再生装置１０１に装填される可搬型記憶媒体１００上の領域のデータの読み出し／書き込み（消去を含む）を行う。
【０３５１】
なお、図示しない媒体判定部１０９では、当該データ記憶／再生装置１０１に装填される記憶媒体が、本発明による手法で記録されている可搬型記憶媒体１００であるか、それ以外の記憶媒体であるかを判定する。
【０３５２】
シャッフル処理部５０１は、上述したような第６の具体例によるデータ記録／再生装置において、前記所定の処理として、ブロック内のシャッフル処理を行うものである。
【０３５３】
そして、この第７の具体例によるデータ記録／再生装置は、上述したような第６の具体例によるデータ記録／再生装置において、前記所定の処理として、を行うことを特徴としている。
【０３５４】
図２９は、第２の実施形態における第７の具体例によるデータ記録／再生装置の機能を説明するために示している図である。
【０３５５】
すなわち、この第７の具体例による手法では、可搬型記憶媒体１００上のユーザー領域のファイルｆｉｌｅ．ｔｅｘｔのデータが記録されている領域で、クラスタ単位でシャッフル処理を行うと共に、その処理情報をシャッフル処理の情報（パラメータ等）を可搬型記憶媒体１００上のシステム管理領域に記録するようにしている。
【０３５６】
図３０は、第２の実施形態における第８の具体例によるデータ記録／再生装置の機能を説明するために示している図である。
【０３５７】
すなわち、この第８の具体例による手法では、前述した第７の具体例による手法と同様にシャッフル処理を行うものであるが、その際可搬型記憶媒体１００上のユーザー領域のファイルｆｉｌｅ．ｔｅｘｔのデータが記録されている領域で、クラスタ内でブロック単位でシャッフル処理を行うと共に、その処理情報をシャッフル処理の情報（パラメータ等）を可搬型記憶媒体１００上のシステム管理領域に記録するようにしている。
【０３５８】
そして、この第８の具体例によるデータ記録／再生装置は、上述したような第６の具体例によるデータ記録／再生装置において、前記所定の処理として、ブロック単位でシャッフル処理を行うことを特徴としている。
【０３５９】
図３１は、第２の実施形態における第９の具体例によるデータ記録／再生装置の機能を説明するために示している図である。
【０３６０】
すなわち、この第９の具体例による手法では、前述した第７の具体例による手法と同様にシャッフル処理を行うものであるが、その際可搬型記憶媒体１００上のユーザー領域のファイルｆｉｌｅ．ｔｅｘｔのデータが記録されている領域で、データ全体に対してシャッフル処理を行うと共に、その処理情報をシャッフル処理の情報（パラメータ等）を可搬型記憶媒体１００上のシステム管理領域に記録するようにしている。
【０３６１】
そして、この第９の具体例によるデータ記録／再生装置は、上述したような第６の具体例によるデータ記録／再生装置において、前記所定の処理として、データ全体に対するシャッフル処理を行うことを特徴としている。
【０３６２】
図３２は、第２の実施形態における第１０の具体例によるデータ記録／再生装置の機能を説明するために示している図である。
【０３６３】
すなわち、この第１０の具体例による手法では、前述した第７の具体例による手法のようにシャッフル処理を行うのでなく、可搬型記憶媒体１００上のユーザー領域のファイルｆｉｌｅ．ｔｅｘｔのデータが記録されている領域で、データ全体に対して暗号化処理を行うと共に、その処理情報をアルゴリズムに関する情報（暗号鍵の情報等）として可搬型記憶媒体１００上のシステム管理領域に記録するようにしている。
【０３６４】
そして、この第１０の具体例によるデータ記録／再生装置は、上述したような第６の具体例によるデータ記録／再生装置において、前記所定の処理として、データ全体に対する暗号化処理を行うことを特徴としている。
【０３６５】
そして、第１１の具体例によるデータ記録／再生装置は、上述したような第７乃至第１０の具体例によるデータ記録／再生装置において、前記所定の処理として、前記ブロック内のシャッフル処理、ブロック単位でシャッフル処理、データ全体に対するシャッフル処理及びデータ全体に対する暗号化処理のうちの少なくとも２つ以上の処理を組み合わせたことを特徴としている。
【０３６６】
（第１２の具体例）
次に、図３３乃至図３８を用いて、本発明によるデータ記録／再生装置の第２の実施形態の第１２の具体例について説明する。
【０３６７】
図３３は、第２の実施形態における第１２の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【０３６８】
すなわち、このデータ記憶／再生装置１０１は、外部のＰＣ１１０と通信を行う通信部１０２と、この通信部１０２にそれぞれ内部バスを介して接続されている作業用メモリ部１０３、鍵データ記憶用メモリ部１０４、制御部１０５、復号化部１０６、暗号化部１０７、可搬型記憶媒体駆動部１０８、媒体判定部１０９（図示せず、第１の実施形態参照）、ハッシュ演算部６０１から構成される。
【０３６９】
通信部１０２は、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）やイーサネット、シリアルケーブル等の通信ケーブル、あるいは赤外線などの無線を用いて、データ記録／再生装置外部のＰＣ１１０やワークステーションなどのデータ作成・編集装置とデータやコマンドのやり取りをする機能を持つ。
【０３７０】
作業用メモリ１０３は、通信部１０２などから送られてきたデータや、各種処理の途中段階のデータをバッファリングすると共に、プログラムをロードするためのメモリである。
【０３７１】
また、鍵データ格納用メモリ部１０４は、秘密情報、例えば、ＤＥＳ等の暗号鍵を格納するためのメモリである。
【０３７２】
制御部１０５は、データ記憶／再生装置１０１の処理全体を制御する部分である。
【０３７３】
復号化部１０６は、鍵データ格納用メモリ部１０４からデータを復号化するための情報を読み出し、データを復号化する。
【０３７４】
同様に暗号化部１０７は、鍵データ格納用メモリ部１０４からデータを暗号化するための情報を読み出し、データを暗号化する。
【０３７５】
また、可搬型記憶媒体駆動部１０８は、制御部１０５からの処理要求に応じ、当該データ記憶／再生装置１０１に装填される可搬型記憶媒体１００上の領域のデータの読み出し／書き込み（消去を含む）を行う。
【０３７６】
なお、図示しない媒体判定部１０９では、当該データ記憶／再生装置１０１に装填される記憶媒体が、本発明による手法で記録されている可搬型記憶媒体１００であるか、それ以外の記憶媒体であるかを判定する。
【０３７７】
ハッシュ演算部６０１は、データからハッシュ関数を用いてハッシュ値を演算する。
【０３７８】
すなわち、この第１２の具体例によるデータ記録／再生装置は、上述したような第１の実施形態によるデータ記録／再生装置において、データを前記可搬型記録媒体１００に記録する処理において、データに所定のコード抽出処理を施して得られたコードをシステム管理領域に記録すると共に、前記可搬型記録媒体１００からデータを読み出すときに、前記所定のコード抽出処理を施して得られたコードを前記システム管理領域に記録されている前記コードと照合することを特徴としている。
【０３７９】
そして、この第１２の具体例によるデータ記録／再生装置は、前述した第１乃至第１１の具体例によるデータ記録／再生装置とは独立しているが、それらと適宜に併用することも可能である。
【０３８０】
通常、通信等で改竄検知に用いられている電子書名の方式は以下のようになっている。
【０３８１】

【０３８２】
しかるに、この第１２の具体例によるデータ記録／再生装置の場合は、このような電子書名の方式によるよりも簡単な手法でデータの改竄を検知することができる。
【０３８３】
すなわち、この第１２の具体例による手法では、データからハッシュ関数を用いてハッシュ値を求め、それをシステム管理領域にデータファイルと対応づけて記録するようにしている。
【０３８４】
なぜなら、データ管理領域は暗号化するため、ユーザーはシステム管理領域のハッシュ値を変更することはできないからである。
【０３８５】
よって、この第１２の具体例による手法では、ユーザーがデータを書き換えても、システム管理領域に記録されているデータのハッシュ値と矛盾するので改竄を検知することができる。
【０３８６】
図３４は、上記改竄検知法を用いたこの第１２の具体例による手法によるファイルシステムのＦＡＴ１６の場合のエントリ構成を示している図である。
【０３８７】
この例では、１つのデータのＦＡＴリンク以下のようになる。
【０３８８】
まず、開始クラスタ（ＩＤ）としてＦＡＴエントリ（ＩＤ）が１４からアクセスが開始され、ＦＨ＝１５でＦＡＴエントリ（ＩＤ）が１５に移行し、１０Ｈ＝１６でＦＡＴエントリ（ＩＤ）が１６に移行し、１１Ｈ＝１７でＦＡＴエントリ（ＩＤ）が１７に移行し、１２Ｈ＝１８でＦＡＴエントリ（ＩＤ）が１８に移行する。
【０３８９】
なお、ＦＡＴエントリ（ＩＤ）が１８のＦＦＦＦＨは、ファイルの最後のクラスタである。
【０３９０】
そして、ＦＡＴエントリ（ＩＤ）が１９と２０のところにハッシュ値が記録されている。
【０３９１】
図３５は、上記改竄検知法を用いたこの第１２の具体例による手法を前述した第６の具体例による手法に適用したファイルシステムの場合のエントリ構成を示している図である。
【０３９２】
このＦＡＴエントリ（ＩＤ）構成は、図３５に示すように、開始クラスタＩＤ、最後のクラスタＩＤ、ハッシュ値、欠陥クラスタの個数、欠陥クラスタ１のＩＤ、欠陥クラスタ２のＩＤ等を有している。
【０３９３】
図３６は、上記改竄検知法をを用いたこの第１２の具体例による手法を説明するディスク等の可搬型記録媒体上での概念図である。
【０３９４】
すなわち、この第１２の具体例による手法では、可搬型記憶媒体１００上のユーザー領域のファイルｆｉｌｅ．ｔｅｘｔのデータが記録されている領域で、データからハッシュ関数を用いてハッシュ値を求め、そのハッシュ値をシステム管理領域にデータファイルと対応づけて記録するようにしている。
【０３９５】
図３７は、この第１２の具体例によるデータ書き込み時のフローチャートである。
【０３９６】
この処理フローは、図３７に示すように、まず、データが入力されると、データからハッシュ関数を用いてハッシュ値を求め、そのハッシュ値をＦＡＴ中に記録する（ステップＳ１０１，Ｓ１０２）。
【０３９７】
次に、可搬型記憶媒体上にデータを記録する（ステップＳ１０３）。
【０３９８】
次に、ＦＡＴ及びディレクトリエントリの情報を更新すると共に、システム管理用データを暗号化して可搬型記憶媒体上にデータを記録した後、終了する（ステップＳ１０４，Ｓ１０５，Ｓ１０６）。
【０３９９】
図３８は、この第１２の具体例によるデータ続み出し時のフローチャートである。
【０４００】
この処理フローは、図３８に示すように、まず、ファイル名が入力されると、システム管理用データを読み出して復号化する（ステップＳ３１，Ｓ３２）。
【０４０１】
次に、ＦＡＴ及びディレクトリエントリの情報を取得すると共に、可搬型記憶媒体からデータを読み出す（ステップＳ３３，Ｓ３４）。
【０４０２】
次に、データからハッシュ関数を用いてハッシュ値を求め、システム管理用データ中に記録されているハッシュ値と照合する（ステップＳ３５）。
【０４０３】
次に、ハッシュ値が一致しているか否かを判定し、ハッシュ値が一致していればそのままする終了するが、ハッシュ値が一致していなければデータが改竄されていることを通知した後、終了する（ステップＳ３６，Ｓ３７，Ｓ３８）。
【０４０４】
【発明の効果】
従って、以上説明したように、本発明によれば、画像等の大容量のデータを可搬型記憶媒体に格納する場合に、データ内容の秘匿性、真正性を確保し、且つデータの不正な消去・破壊を含めた改竄を防止でき、且つ高速な処理を実現できるデータ記録／再生装置を提供することができる。
【図面の簡単な説明】
【図１】図１は、第１の実施形態におけるデータ記憶／再生装置の構成を示すブロック図である。
【図２】図２は、本発明の変形例におけるデータ記憶／再生装置の構成を示すブロック図である。
【図３】図３は、一般的なファイルシステムを説明するための図である。
【図４】図４は、本発明による第１の実施形態を用いられる可搬型記憶媒体１００上の構成を示す図である。
【図５】第１の実施形態における記憶媒体上の構成（システム管理領域の一部を暗号化）を説明するための図である。
【図６】図６は、本発明による第１の実施形態におけるデータ読み出し時の処理の流れを示すフローチャートである。
【図７】図７は、第１の実施形態で可搬型記憶媒体１００へ初めてアクセスしてデータを読み出すときの処理の流れを示すフローチャートである。
【図８】図８は、第１の実施形態でデータを書き込むときの処理の流れを示すフローチャートである。
【図９】図９は、第１の実施形態で可搬型記憶媒体１００へ初めてアクセスしてデータを書き込むときの処理の流れを示すフローチャートである。
【図１０】図１０の（ａ）は、第１の実施形態で可搬型記憶媒体１００へ初めてアクセスしてデータを書き込むときの処理の流れを示す他のフローチャートであり、図１０の（ｂ）は、第１の実施形態で可搬型記憶媒体１００の排出要求があったときの処理の流れを示すフローチャートである。
【図１１】図１１は、本発明による第２の実施形態における５つの手法に対応するＭＳ−ＤＯＳ ＦＡＴ１６ファイルシステムのファイル管理手法を説明するための図である。
【図１２】図１２は、第２の実施形態における第１の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【図１３】図１３は、第２の実施形態における第１の具体例による手法に基づいたＦＡＴ１６ファイルシステムにおけるデータ管理形態を示す図である。
【図１４】図１４は、通常のファイルシステムを用いた場合に、システム管理領域とユーザー領域とを有する可搬型記録媒体のユーザー領域にデータが記録されるときの例を参考的に示す図である。
【図１５】図１５は、第２の実施形態における第１の具体例による手法に基づいたデータの記録形態を示す図である。
【図１６】図１６は、第２の実施形態における第１の具体例による場合の１つのデータのＦＡＴリンクをず１４の一部と対応付けて示す図である。
【図１７】図１７は、第２の実施形態における第１の具体例によるファイルシステムを用いた場合に、システム管理領域とユーザー領域とを有する可搬型記録媒体のユーザー領域にデータが記録されるときの例を示す図である。
【図１８】図１８は、第２の実施形態における第２の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【図１９】図１９の（ａ），（ｂ）は、通常の場合のＦＡＴリンクの初期化状態と、この第２の具体例による手法に基づいたＦＡＴリンクの初期化状態とを対比させて示す図である。
【図２０】図２０は、第２の実施形態における第３の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【図２１】図２１は、この第３の具体例による手法を説明するための概念図である。
【図２２】図２２は、この第３の具体例による手法を説明するためのフローチャートである。
【図２３】図２３は、第２の実施形態における第４の具体例によるデータ記録／再生装置の機能を説明するためのフローチャートである。
【図２４】図２４は、第２の実施形態における第５の具体例によるデータ記録／再生装置の機能を説明するためにＦＡＴエントリ構成を示している図である。
【図２５】図２５の（ａ），（ｂ）は、第２の実施形態における第１の具体例に準じた場合のＦＡＴファイルシステムと、第２の実施形態における第５の具体例による手法に基づいたファイルシステムとを対比させて示している図である。
【図２６】図２６は、第２の実施形態における第６乃至第１１の具体例によるデータ記録／再生装置の機能を共通に説明するためにＦＡＴエントリ構成を示している図である。
【図２７】図２７は、第２の実施形態における第６乃至第１１の具体例によるデータ記録／再生装置の機能を共通に説明するためのフローチャートである。
【図２８】図２８は、第２の実施形態における第７の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【図２９】図２９は、第２の実施形態における第７の具体例によるデータ記録／再生装置の機能を説明するために示している図である。
【図３０】図３０は、第２の実施形態における第８の具体例によるデータ記録／再生装置の機能を説明するために示している図である。
【図３１】図３１は、第２の実施形態における第９の具体例によるデータ記録／再生装置の機能を説明するために示している図である。
【図３２】図３２は、第２の実施形態における第１０の具体例によるデータ記録／再生装置の機能を説明するために示している図である。
【図３３】図３３は、第２の実施形態における第１２の具体例によるデータ記録／再生装置の構成を示すブロック図である。
【図３４】図３４は、第２の実施形態における第１２の具体例による手法によるファイルシステムのＦＡＴ１６の場合のエントリ構成を示している図である。
【図３５】図３５は、第２の実施形態における第１２の具体例による手法を前述した第６の具体例による手法に適用したファイルシステムの場合のエントリ構成を示している図である。
【図３６】図３６は、第２の実施形態における第１２の具体例による手法を説明するディスク等の可搬型記録媒体上での概念図である。
【図３７】図３７は、第２の実施形態における第１２の具体例によるデータ書き込み時のフローチャートである。
【図３８】図３８は、第２の実施形態における第１２の具体例によるデータ続み出し時のフローチャートである。
【符号の説明】
１００…可搬型記憶媒体、
１０１…データ記憶／再生装置、
１１０…ＰＣ、
１０２…通信部、
１０３…作業用メモリ部、
１０４…鍵データ記憶用メモリ部、
１０５…制御部、
１０６…復号化部、
１０７…暗号化部、
１０８…可搬型記憶媒体駆動部、
１０９…媒体判定部、
１３０…映像撮像装置、
１２０…光学系、
１２０…撮像部、
１２２…Ａ／Ｄ変換部、
１２３…画像処理部、
１２４…フォーマット変換部、
１２５…ユーザーインタフエイス部。
２０１…データ分割部、
２０２…クラスタ選択部
３０１…クラスタ選択部、
３０２…乱数発生部、
４０１…クラスタ照合部、
４０２…乱数発生部、
５０１…シャッフル処理部、
６０１…ハッシュ演算部。

Claims (3)

1. ユーザー用データが記録されるユーザー領域及び前記ユーザー用データを管理するためのシステム管理用データが記録されるシステム管理領域を有する可搬型記憶媒体に対して前記ユーザー用データ及び前記システム管理用データの記録／再生を行うデータ記録／再生装置において、
   暗号化鍵信号又は暗号化鍵信号を生成するための暗号化鍵信号生成情報を含む暗号化秘密情報を保持する暗号化秘密情報保持手段と、
   前記暗号化秘密情報保持手段に保持されている前記暗号化秘密情報を用いて暗号化処理を行う暗号化手段と、
   前記暗号化手段により、前記可搬型記憶媒体のシステム管理領域に記録すべきシステム管理用データの少なくとも一部を暗号化処理して前記可搬型記憶媒体のシステム管理領域へ記録するシステム管理用データ記録手段と、
   前記暗号化鍵信号又は暗号化鍵信号生成情報に対応する復号化鍵信号又は復号化鍵信号を生成するための復号化鍵信号生成情報を含む復号化秘密情報を保持する復号化秘密情報保持手段と、
   前記復号化秘密情報保持手段に保持されている前記復号化秘密情報を用いて復号化処理を行う復号化手段と、
   前記復号化手段により、前記可搬型記憶媒体のシステム管理領域に少なくとも一部が前記暗号化秘密情報を用いて暗号化して記録されている前記システム管理用データを読み出し、前記暗号化して記録されている部分のシステム管理用データを前記復号化手段を用いて復号化するシステム管理用データ再生手段と、
   前記システム管理用データ再生手段により前記システム管理領域から読み出され、前記暗号化して記録されている部分を復号して得られるシステム管理用データに基づいて、前記ユーザー用データを前記可搬型記憶媒体のユーザー領域に暗号化することなく所定の形態で記録するユーザー用データ記録手段と、
   前記ユーザー用データ記録手段により前記ユーザー領域に暗号化することなく所定の形態で記録されている前記ユーザー用データを、前記システム管理用データ再生手段により前記システム管理領域から読み出され、前記暗号化して記録されている部分を復号して得られるシステム管理用データに基づいて読み出すユーザー用データ再生手段と、
   前記ユーザー用データ記録手段により前記可搬型記憶媒体のユーザー領域に暗号化することなく所定の形態で記録されている前記ユーザー用データの更新に伴って、前記暗号化手段により、前記可搬型記憶媒体のシステム管理領域に記録すべきシステム管理用データの少なくとも一部を暗号化処理して前記システム管理用データ記録手段により前記可搬型記憶媒体のシステム管理領域へ再記録するシステム管理用データ更新手段と、
   前記ユーザー用データ記録手段が前記可搬型記録媒体のユーザー領域にユーザー用データを記録する際に、このユーザー用データを当該可搬型記録媒体のユーザー領域に論理的にアクセス可能な単位領域のサイズのデータ単位に分割するデータ分割手段と、
   前記可搬型記録媒体のユーザー領域から未使用の単位記録領域を選択する記録領域選択手段とを有し、
   前記ユーザー用データ記録手段は、
   任意性のあるパラメータを用いてランダムなデータを生成するランダムデータ生成手段と、
   前記可搬型記録媒体を初期化処理する際に、前記ランダムデータ生成手段によって得られたランダムデータを前記可搬型記録媒体のユーザー領域全体に書き込むランダムデータ書き込み手段とを有し、
   前記システム管理用データ記録手段は、
   前記データ生成手段に用いられる任意性のあるパラメータを前記可搬型記録媒体のシステム管理領域に記録するパラメータ記録手段を有し、
   前記ユーザー用データ記録手段は、前記記録領域選択手段によって選択された未使用の単位記録領域に前記データ分割手段によって分割されたユーザー用データを所定の形態で記録することを特徴とするデータ記録／再生装置。
2. 前記ランダムデータ書き込み手段は、
   前記可搬型記録媒体のユーザー領域からデータを削除した際に、前記可搬型記録媒体のユーザー領域のデータを削除した領域に前記ランダムデータを再度書き込むものであることを特徴とする請求項１記載のデータ記録／再生装置。
3. 前記システム管理用データ再生手段は、
   前記可搬型記録媒体のシステム管理領域から前記パラメータを読み出すパラメータ読み出し手段と、
   前記可搬型記録媒体のシステム管理領域から読み出したパラメータを用いて生成したランダムデータと、前記可搬型記録媒体のユーザー領域の未使用領域のクラスタに記載されているランダムデータとを照合する手段と、
   を有することを特徴とする請求項２記載のデータ記録／再生装置。

Images