JP4537423B2 - ユーザ操作端末の記憶装置情報制御方式 - Google Patents

Description

本発明は、PDA、モバイルPC等のユーザ操作端末の情報漏えい防止に関するものである。

個人情報保護法の施行によりユーザ操作端末の盗難、紛失による情報漏えいが企業に与える影響が大きくなっている。このユーザ操作端末が紛失した際などに対処する技術として、管理サーバを利用してユーザ操作端末の情報を遠隔から消去する手法がある（特許文献１）。

特開2004−32073

しかしながら、従来技術は、管理サーバと通信可能な状態にあるユーザ操作端末の情報をユーザ操作端末のアプリケーションが消去するもので、（１）ユーザ操作端末が管理サーバと通信できない状況を考慮した情報の制御、（２）ユーザ操作端末の情報を削除した後のユーザへの影響を考慮した情報保存、等について言及されていない。

ユーザ操作端末に、ユーザが作業を行うユーザ作業OSと、情報の制御を行う管理OSとを具備させ、管理OSは、ユーザ作業OSの入出力管理により、ユーザ作業OSバックアップ情報の管理、及び、他ストレージ装置へのバックアップと、設定した保存情報制御条件の判定により、保存情報の制御を行う。

本発明によれば、ユーザ操作端末の情報を制御することが可能となる。

以下では、本発明の一実施形態を添付図面に基づいて説明する。

図１において、本実施形態における基本となる機器構成および機能を示す。

ユーザ操作端末１００と、管理サーバ１５０と、ストレージ装置１８０と、ネットワーク１９０と、から構成される。

ユーザ操作端末１００は、記憶装置１４１と、メモリ１４２と、通信インタフェース１４３と、CPU１４４と、入力装置１４５と、出力装置１４６と、を有する。

記憶装置１４１はディスクを備えている。前記ディスクは、例えばSATA（Serial Advanced Technology Attachment）ディスクドライブなどのストレージデバイスである。前記ディスク上に1つ以上の論理ボリュームを設定し、OS、アプリケーションプログラムやユーザデータなどに各種情報を格納する。

あるいは、記憶装置１４１は、不揮発性半導体メモリを備えていてもよい。不揮発性半導体メモリは、例えば、フラッシュメモリである。その場合においても同様の効果が得られる。

CPU１４４は、記憶装置１４１に保存されているプログラムである管理OS１１１をメモリ１４２に読み込み、実行する。また、記憶装置１４１に保存されているプログラムであるユーザ作業OS１０１についてもメモリ１４２に読み込み実行する。ユーザは通常、キーボード、マウス等の入力装置１４５を用いて、ユーザ作業OS１０１上で記憶装置１４１の前記ユーザ作業OS１０１に割り当てられている領域において、保存されているプログラムの実行、データの保存、等の作業を行う。前記作業における入出力情報は管理OS１１１に管理される。管理内容については、前記管理OS１１１の機能において記述する。

前記管理OS１１１はIO管理機能１１２と、条件判定及び制御機能１１３と、制御条件登録機能１１４と、バックアップ機能１１５と、制御条件テーブル１３１と、差分管理ボリューム１３２と、を有する。

IO管理機能１１２は、ユーザ作業OS１０１における入力・出力情報を管理する機能である。記憶装置１４１に格納されるユーザ作業OSに関連する全情報について管理をする。ユーザ作業OSにおいてユーザが作業を行った場合、ユーザ作業OSのシステム情報が更新された場合、を含め、ユーザ作業OSに関連する情報の変更が行われた場合は、差分管理ボリューム１３２に前記更新に関する情報を保有する。

条件判定及び制御機能１１３は、制御条件を判定し、記憶装置１４１の制御を行う機能である。前記条件判定及び制御機能１１３において、例えば、管理OS１１１は、前記制御条件が指令受信であるときに、前記管理サーバから制御指令を受信した場合、前記制御指令の内容に従い前記記憶装置１４１に格納されている前記ユーザ作業OSに関連する全ての情報の削除を行う、等の制御を実施する。前記制御条件の詳細は、図４に記す。前記制御の詳細は、図５に記す。

前記制御条件登録機能１１４は、前記管理OS１１１の制御条件テーブル１３１に制御条件を登録する機能である。前記制御条件は、管理サーバ１５０から設定される。ユーザ操作端末１００利用ユーザ、もしくは管理者が管理サーバ１５０にアクセスし、設定を行い、ネットワーク１９０を介して接続されている管理サーバ１５０からユーザ操作端末１００の管理OS１１１が設定条件を受信し、前記制御条件テーブル１３１に登録する。前記制御条件テーブル１３１の詳細は図７に記す。前記管理サーバ１５０と前記ユーザ端末１００とが前記ネットワーク１９０を介して接続されていない場合は、前記ユーザ操作端末１００利用ユーザが管理者権限を許可された場合に限り、前記制御条件の設定を行うことができる。

バックアップ機能１１５は、前記差分ボリューム１３２に保存されている前記ユーザ作業OS１０１に関連する情報をストレージ装置１８０に送信し、前記ユーザ作業OS１０１の情報のバックアップを行う機能である。バックアップする範囲は、前記ユーザ作業OS１０１の全体または一部ファイル、記憶装置１４１の全体または一部、または、メモリ１４２の全体または一部である。

前記管理サーバ１５０は、制御条件設定機能１５１を有する。

前記制御条件設定機能１５１は、前記ユーザ操作端末１００に、制御条件を設定する機能である。前記管理OS１１１の前記制御条件登録機能１１４と連携し、設定された制御条件を前記管理OS１１１に送信、設定を行う。

前記ストレージ装置１８０は、バックアップ情報保存機能１８１を有する。

前記バックアップ情報保存機能１８１は、前記管理OS１１１の前記バックアップ機能１１５から送信されるバックアップ情報を受信し、前記ストレージ装置１８０の記憶装置に保存する機能である。

図１３を用いて前記ストレージ装置１８０の構成を説明する。

ストレージ装置１８０は、主に、コントローラ１３０２と記憶装置１３１１備える。

コントローラ１３０２は、CPU１３０３、メモリ１３０６、通信インタフェース１３０４、記憶装置側インタフェース１３０５を備え、記憶装置１３１１は複数のディスク１３１２を備える。

ディスク１３１２は、FC（Fiber Channel）ディスクドライブ、SATA（Serial Advanced Technology Attachment）ディスクドライブ、PATA（Parallel Advanced Technology Attachment）ディスクドライブ、FATA（Fiber Attached Technology Adapted）ディスクドライブ、SAS（Serial Attached SCSI）ディスクドライブ、あるいは、SCSI（Small Computer System Interface）ディスクドライブなどのストレージデバイスである。なお、記憶装置111は、不揮発性半導体メモリで、あるいは、上記したディスクドライブと不揮発性半導体メモリとの混載で構成されてもよい。不揮発性半導体メモリは、例えば、フラッシュメモリである。

コントローラ１３０２は、記憶装置１３１１内の複数のディスク１３１２を、いわゆるRAID方式で規定されるRAIDレベル（例えば、0、1、5）で制御することができる。RAID方式では、複数のディスク１３１２を一つのRAIDグループとして管理し、RAIDグループ上に、ユーザ操作端末１００からのアクセス単位である論理ボリューム１３１３を、複数、定義する。それぞれの論理ボリューム１３１３には、LUN（Logical UnitNumber）を割り当てる。

CPU１３１３は、ユーザ操作端末１００からのデータ入出力要求に応答して、複数のディスク１３１２へのI/O処理（データ読み込みやデータ書き込み）を制御するプロセッサである。

メモリ１３０６は、例えば高速アクセスが可能な揮発性メモリであり、各種マイクロプログラム、および論理ボリューム１３１３の管理テーブルなどを記憶する。

通信インタフェース１３０４は、ネットワーク１９０を介してユーザ操作端末１００と接続することが可能であり、接続状態のときには、TCP/IPに基づきユーザ操作端末１００との間でのデータや制御信号の送受信を行う。

記憶装置１３１１側インタフェース１３０５は、ディスク１３１２との接続を制御するコントローラであり、ディスク１３１２を制御するプロトコルに基づくディスク１３１２へのデータ入出力要求を制御する。

内部信号線１３０７は、例えばバスである。内部信号線１３０７は、CPU１３０３、メモリ１３０６、記憶装置側インタフェース１３０５、通信インタフェース１３０４を相互に接続する。

次に、図２を用いて、本実施形態における追加機能を示す。

前記管理OS１１１は、復元機能２１２、ストレージ装置問合せ機能２１３、遠隔起動機能２１４、修正制限機能２１５、状態管理通信機能２１６、時刻管理機能２１７、バッテリー管理機能２１８、ハードウェア管理機能２１９、ネットワーク状態管理機能２２０、削除機能２２１、アクセス制御機能２２２、ロック機能２２３、起動制御機能２２４、のいずれか、または全ての機能を有する場合がある。

ストレージ装置１８０は、対応ユーザ端末管理機能２８２を有する場合がある。

復元機能２１２は、前記ストレージ装置１８０にバックアップされた前記ユーザ操作端末１００の情報を取得し、バックアップした時点に復元する機能である。前記バックアップ情報が前記ユーザ作業OS１０１全体に関する情報である場合は、前記ストレージ装置１８０から情報を取得することにより、前記ユーザ作業OS１０１をバックアップした時点に復元することが可能となる。

ストレージ装置問合せ機能２１３は、前記ユーザ操作端末１００の情報をバックアップする前記ストレージ装置１８０に関する情報を管理サーバ１５０に問い合わせる機能である。前記ストレージ装置１８０のアドレス情報等に変更があり前記ユーザ操作端末１００の情報のバックアップができない場合、初めて前記ユーザ操作端末１００の情報を前記ストレージ装置１８０にバックアップする場合、前記ユーザ操作端末１００の情報を前記ストレージ装置１８０から復元する場合、等に前記管理サーバ１５０に問い合わせを行い、前記ストレージ装置１８０に関する情報を収集する。前記ストレージ装置問合せ機能２１３を有しない場合は、前記ユーザ操作端末１００に予め前記ストレージ装置１８０に関する情報が設定されている。

遠隔起動機能２１４は、ユーザ操作端末１００が手元にない場合に遠隔から前記ユーザ操作端末を起動する機能である。遠隔から前記ユーザ操作端末を起動することにより、管理OSの機能を実行することができる。ユーザがログインすることは必要とせずに、管理OSの機能を実行することができる。

修正制限機能２１５は、管理者以外のユーザが管理OSに関する設定を修正することを制限する機能である。例えば、制御条件テーブル１３１の修正や、条件判定及び制御機能１１３の停止については、前記管理者以外のユーザが行うことはできない。

状態管理通信機能２１６は、管理OS１１１が管理サーバ１５０にメッセージ送信を行う機能である。前記通信を行うことにより、前記管理サーバ１５０は、前記管理OS１１１の動作状況を確認する。前記通信の応答として、前記管理サーバ１５０は、前記管理OS１１１に対して制御メッセージを送信することもできる。

時刻管理機能２１７は、管理OS１１１が時刻の同期をとる機能である。管理サーバ１５０が時刻同期機能２５２を有する場合、管理OS１１１は管理サーバ１５０と時刻同期を行い、管理者の許可なく管理OS１１１の時刻設定変更を行うことを制限する。

バッテリー管理機能２１８は、管理OS１１１がユーザ操作端末１００のバッテリー残量を検査する機能である。前記条件判定及び制御機能１１３の制御条件としてバッテリー残量を選択した場合に活用される。前記条件判定及び制御機能１１３の制御条件は図４において述べる。

ハードウェア管理機能２１９は、管理OS１１１がユーザ操作端末１００のハードウェア環境が変更されているか否かを検査する機能である。前記条件判定及び制御機能１１３の制御条件として機器入替を選択した場合に活用される。前記条件判定及び制御機能１１３の制御条件は図４において述べる。

ネットワーク状態管理機能２２０は、管理OS１１１がネットワーク接続状態を管理する機能である。ユーザ操作端末１００と管理サーバ１５０との接続状態の変化、及び、ユーザ操作端末１００とストレージ装置１８０との接続状態の変化を検出する。前記状態の変化の検出を契機として、バックアップ機能１１４・条件判定及び制御機能１１３が動作する場合もある。

削除機能２２１は、条件判定及び制御機能１１３の制御方法の一つであり、記憶装置１４１の情報を削除する機能である。前記削除機能２２１の利用法については、図５において詳述する。

アクセス制御機能２２２は、条件判定及び制御機能１１３の制御方法の一つであり、前記ユーザ作業OS１０１から記憶装置１４１の情報へのアクセスを一部または全てに対して制限する機能である。前記アクセス制御機能２２２の利用法については、図５において詳述する。

ロック機能２２３は、条件判定及び制御機能１１３の制御方法の一つであり、ユーザが前記ユーザ作業OS１０１を用いて作業する際に、記憶装置１４１の情報へのアクセスを一部または全てに対してパスワード等によるロックをかける機能である。前記ロック機能２２３の利用法については、図５において詳述する。

起動制御機能２２４は、条件判定及び制御機能１１３の制御方法の一つであり、ユーザが前記ユーザ操作端末１００を起動する際に、起動をさせない、もしくは、管理OSのみ起動する機能である。前記ロック機能２２４の利用法については、図５において詳述する。

対応ユーザ端末管理機能２８２は、ストレージ装置１８０のデータ領域と、前記領域に情報を保存する、もしくは、前記領域から情報を復元するユーザ操作端末１００の記憶装置１４１、メモリ１４２の対応関係を管理する機能である。

次に図３において、前記ユーザ操作端末１００の管理OS１１１における条件判定及び制御機能１１３の一形態を記す。

ステップ３０２において、管理OS１１１は、前記管理サーバ１５０に対してメッセージを送信する。前記メッセージ送信の契機は、起動直後・シャットダウン実行直前でもよいし、定期的でもよいし、前記ネットワーク状態管理機能２２０による状態変更検知時点でもよいし、バックアップ機能１１５終了時点でもよい。

ステップ３０３において、前記メッセージを受信した管理サーバ１５０は、ステップ３０４において、管理OS１１１への制御要求があるか否かを確認する。

ステップ３０５において、前記管理サーバ１５０は、管理OS１１１に対して返信メッセージを送信する。

ステップ３０６において、前記返信メッセージを受信した前記管理OS１１１は、ステップ３０７において前期返信メッセージ中に制御指令が含まれているか否かを確認し、含まれている場合は、ステップ３０８において、前記メッセージに従い、制御条件テーブル１３１の内容を確認し、制御を実行する。制御条件テーブル１３１の概要については図７において記す。

管理サーバにおいて、制御状況の確認を行う場合は、状態管理通信機能２１６を用いて、ステップ３０９からステップ３１３の処理を行う。制御実施時に管理サーバ１５０とネットワーク１９０を介して接続されていない場合は、制御後に管理サーバ１５０とネットワークを介して接続されたことを検知した時点で以降の処理を行う。

ステップ３０９において、実施した制御内容と、前記制御を実施した時刻に関する情報を通知し、管理サーバ１５０において、前記情報を受信し制御条件管理テーブルにおいて管理を行う。制御条件管理テーブルについては図１１において記す。ステップ３０９における送信内容に、制御を実施したファイル/ディレクトリが最終バックアップ時点から更新されていたか否かの情報を含んでいてもよい。

次に図４において、前記ユーザ操作端末１００の管理OS１１１における条件判定及び制御機能１１３の制御条件の具体例を記す。

制御条件に指令受信４０１が設定されている場合、管理OS１１１は管理サーバ１５０から制御指令を受信するとユーザ操作端末１００の情報の制御を行う。図３のシーケンスは、制御条件に指令受信４０１が設定されている場合の例である。

制御条件に設定時刻４０２が設定されている場合、管理OS１１１は現在時刻と設定時刻の比較を行い、現在時刻が前記設定時刻を過ぎていることを検知するとユーザ操作端末１００の情報の制御を行う。前記設定条件の検査は、常時定期的に行う、もしくは、管理OS１１１が管理サーバ１５０と通信を行うことができない場合に限り定期的に行う。管理OS１１１の時刻については、時刻管理機能２１７を用い、時刻同期機能を有する機器と同期をとる場合もある。

制御条件にオフライン時間４０３が設定されている場合、管理OS１１１は管理サーバ１５０と通信ができない期間と前記設定オフライン時間との比較を行い、前記設定オフライン時間の超過を検知すると、ユーザ操作端末１００の情報の制御を行う。管理サーバ１５０との通信可否は、状態管理通信機能２１６、もしくは、ネットワーク状態管理機能２２０によって検出する。

制御条件にバッテリー残量４０４が設定されている場合、管理OS１１１は、バッテリー管理機能２１８により、ユーザ操作端末１００のバッテリー残量をチェックし、前記設定残量を下回っていることを検知すると、ユーザ操作端末１００の情報の制御を行う。

制御条件に機器入替４０５が設定されている場合、管理OS１１１は、ハードウェア管理機構２１９により、起動時にデバイス情報の収集を行い、デバイス情報の変更を検知すると、ユーザ操作端末１００の情報の制御を行う。また、制御条件として、管理OS１１１の時刻管理機能２１７による時刻改変検知を契機としてもよい。

次に図５において、前記ユーザ操作端末１００の管理OS１１１における条件判定及び制御機能１１３の制御内容の具体例を記す。

制御内容がデータボリューム削除５０１の場合、管理OS１１１は、削除機能２２１を用いて、記憶装置５０１のボリューム全体の削除を行う。これによりユーザ作業OS１０１全体を削除することもできる。アクセス制御機能２２２を用いることにより、ユーザ作業OS１０１から記憶装置５０１の特定のボリュームへのアクセスを禁止してもよい。

前記ボリューム特定には例えば次に述べる手段を用いる。

ユーザ作業OS１０１が管理OS１１１上の１アプリケーションプログラム、もしくは、1アプリケーションプログラムによって読み込まれるプログラムとして動作し、ユーザ作業OS１０１に関連する領域が管理OS１１１において１つまたは複数のファイル/ディレクトリとして管理されている場合は、管理OS１１１における条件判定及び制御機能１１３の条件設定時に、制御対象ファイル/ディレクトリとしてユーザ作業OS１０１の関連するファイル/ディレクトリを指定する。制御として削除する場合は、指定されたファイル/ディレクトリの削除を行い、ユーザ作業OS１０１に関連する情報を全て削除する。制御としてアクセスを禁止する場合は、ユーザ作業OS１０１を起動することができないように、ユーザ作業OS１０１を読み込む管理OS１１１上の前記アプリケーションプログラムの設定情報を変更し、ユーザ作業OSの起動に関する設定を削除する。

ユーザ作業OS１０１、及び、管理OS１１１が共にユーザ操作端末１００における管理機構の上で動作している場合は、管理OS１１１における条件判定及び制御機能１１３の条件設定時に、前記管理機構に問合せを行い、制御対象とするユーザ作業OS１０１領域のボリュームを指定する。制御として削除する場合は、管理OS１１１が、前記管理機構に対して、前記ボリュームの削除を指令し、削除する。制御としてアクセス制御をする場合は、前記管理機構に対して、前記ユーザ作業OS１０１を起動しないように設定変更指令を行う。

制御内容がファイル単位削除５０２の場合、管理OS１１１は、削除機能２２１を用いて、記憶装置５０１の一部のファイルの削除を行い、ユーザ作業OS１０１における設定されたファイルまたはディレクトリの削除を行う。アクセス制御機能２２２を用いることにより、ユーザ作業OS１０１から記憶装置５０１の設定されたファイルまたはディレクトリへのアクセスを禁止してもよい。

前記ファイルシステムの制御には例えば次に述べる手段を用いる。

ユーザ作業OS１０１に制御用アプリケーションプログラムを組み込む。前記制御用アプリケーションプログラムは、前記ユーザ作業OS１０１のファイルシステムを前記管理OS、もしくは、前記管理機構に通知する。前記通知情報に基づき、管理OS１１１における条件判定及び制御機能１１３は制御対象ファイルを設定する。制御として削除する場合は、前記管理OS１１１が前記ユーザ作業OS１０１の前記制御用アプリケーションプログラムに制御対象ファイル情報を通知し、前記ユーザ作業OS１０１においてファイルの削除が実施される。制御としてアクセス制御をする場合は、制御対象ファイルに関連するアクセスがあったときに、管理OS１１１において応答を制御し、該ファイルが存在しないとして応答を返す。

または、ユーザ作業OS１０１の制御用アプリケーションプログラムが直接管理サーバ１５０と通信を行って制御を実施してもよい。前記制御用アプリケーションプログラムについては、管理OS１１１の条件判定および制御機能１１３から起動をすることもできるし、パラメータを設定し制御することもできる。

制御内容がパスワードロック５０３の場合、管理OS１１１は、ロック機能２２３を用いて、ユーザ作業OS１０１における設定されたファイルまたはディレクトリへのアクセスにパスワードの要求を行う。

制御内容が起動停止５０４の場合、管理OS１１１は、起動制御機能２２４を用いて、ユーザ操作端末の起動を抑制する。電源が投入された場合も、起動しない、もしくは、管理OS１１１のみが起動する。

制御内容がバックアップ情報以外削除５０５の場合、管理OS１１１は、削除機能２２１を用いて、差分管理ボリューム１３２を参照して、起動装置１４１に格納された情報のうち、ストレージ装置１８０にバックアップされている情報については全て削除する。

本機能については、例えば以下の手順により実施する。

本機能をユーザ作業OS１０１の領域全体に適応する場合、バックアップが必要か否かの判断は、管理OS１１１が記憶装置１４１内で前回バックアップ時点から保存情報に変更のあったビットを管理することによって行う。バックアップを実施する際は、変更のあったビットの情報のみをストレージ装置１８０に送信しバックアップを行う。バックアップ情報以外削除５０５を実施する場合、バックアップをする必要がないビット、即ち前回バックアップ時点から変更のなかったビットについて削除を行う。前記削除はユーザ作業OS１０１の領域に対して行う。前記制御を行った後に、管理サーバ１５０、及び、ストレージ装置１８０に接続できた場合は、バックアップ機能１１５により未バックアップ情報のバックアップを行い、バックアップが完了したビットについては、バックアップ情報以外削除５０５の機能により削除を行う。

本機能をファイル/ディレクトリ単位に適応する場合、ユーザ作業OS１０１の制御用アプリケーションと連携して制御を行う。管理サーバで管理しているバックアップ状況におけるファイル名とタイムスタンプを取得し、ユーザ作業OS内のファイルと比較をし、バックアップされていることが確認できたファイルの削除を行う。前記比較に関しては、ユーザ作業OS１０１の制御用アプリケーションが実施してもよいし、前記制御用アプリケーションから通知を受けた管理OS１１１の条件判定及び制御機能１１３が実施してもよい。前記制御を行った後に、管理サーバ１５０、及び、ストレージ装置１８０に接続できた場合は、バックアップ機能１１５により未バックアップ情報のバックアップを行い、バックアップが完了したファイルについては、バックアップ情報以外削除５０５の機能により削除を行う。

次に図６を用いて、前記ユーザ操作端末１００の管理OS１１１における条件判定及び制御機能１１３の制御以外の動作について記す。

記憶装置１４１の情報を制御した後に、前記制御内容を管理サーバ１５０に送信する通知機能を有する場合もある。

次に図７を用いて、前記ユーザ操作端末１００の管理OS１１１における制御条件テーブル１３１の概要を記す。

前記テーブル１３１は、制御条件７０１、制御内容７０２、対象７０３、期限/閾値７０４に関する情報を有し、条件設定時刻７０５、条件合致７０６、制御実施時刻７０７、通知７０８、ID７０９に関する情報のいずれかまたは全てを有してもよい。

前記制御条件７０１は、図４において記した前記条件判定及び制御機能１１３の条件内容に関する情報である。指令受信４０１、設定時刻４０２、オフライン時間４０３、バッテリー残量４０４、機器入替４０５、等に相当する。

前記期限/閾値７０４は、前記制御条件７０１の条件を判定するための設定された基準値である。例えば前記制御条件７０１に設定時刻４０２が設定されている場合、前記期限/閾値７０４には、制御を行う時刻が記述される。前記制御条件７０１にオフライン時間４０３が設定されている場合、前記期限/閾値７０４には、許容されるオフライン時間の閾値が記述される。前記制御条件７０１にバッテリー残量４０４が設定されている場合、前記期限/閾値７０４には、制御を行うか否かの閾値となるバッテリー残量が記述される。

制御内容７０２は、図５において記した前記条件判定及び制御機能１１３の制御内容に関する情報である。データボリューム削除５０１、ファイル単位削除５０２、パスワードロック５０３、起動停止５０４、バックアップ情報以外削除５０５に相当する。

対象７０３は、前記制御内容７０２の手法で制御を行う対象に関する情報が記述される。例えば、前記制御内容７０２に、ファイル単位削除５０２が設定されている場合、対象７０３には、削除対象となるファイル、またはディレクトリが記述される。前記制御内容７０２に、パスワードロック５０３が設定されている場合、対象７０３には、パスワードロック対象となるファイル、またはディレクトリが記述される。

条件設定時刻７０５は、制御条件が設定された時刻に関する情報である。

条件合致７０６は、制御条件が満たされたか否かに関する情報である。制御条件が満たされている場合、設定された制御を行う。

制御実施時刻７０７は、制御を行った時刻に関する情報である。

通知７０８は、実施した制御に関する情報を管理サーバ１５０に通知したか否かを表す情報である。

ID７０９は、設定した各制御条件について与えられる固有の識別子である。

次に図８、図９を用いて、ユーザ操作端末１００の管理OS１１１におけるバックアップ機能１１５の概要を記述する。

ステップ８０１において、バックアップ機構のシーケンスを開始する。管理OS１１１がバックアップを行うストレージ装置１８０に関する情報を保有しない場合、もしくは、保有している前記ストレージ装置１８０に対してバックアップ情報を送信することができない場合、ステップ８０１からステップ８０７の手順を行う。管理OS１１１がストレージ装置１８０の情報を有し、バックアップを行うことができる場合は、ステップ９０１からの手順を行う。

ステップ８０２において、ストレージ装置問合せ機能２１３により、前記管理OS１１１は、管理サーバ１５０に対してバックアップ先のストレージ装置に関する情報の問合せを行う。

ステップ８０３において、前記管理OS１１１から前記問合せを受信した前記管理サーバ１５０は、ステップ８０４において、ストレージ対応管理テーブル２６２の情報を検索し、ステップ８０５において、応答として検索結果のストレージ装置１８０に関する情報を返信する。ストレージ対応管理テーブル２６２の概要については、図１２において記す。

ステップ８０６において、前記ストレージ装置１８０の情報を受信した管理OS１１１は、ステップ８０７において、前記ストレージ装置１８０の情報を格納する。

次に図９の手順を踏み、管理OS１１１はバックアップを行う。

バックアップ先のストレージ装置１８０の情報を有している場合は、ステップ９０１において、バックアップ処理を開始する。バックアップ開始タイミングは定期的でもよいし、ネットワーク状態管理機能２２０において、ネットワーク状態の変化を検知したことを契機にしてもよい。

ステップ９０２において、保有するバックアップ先である前記ストレージ装置１８０に関する情報を検索する。

ステップ９０４において、管理OS１１１は前記ストレージ装置１８０に対して、バックアップ情報を送信する。ユーザ操作端末１００における前記ユーザ作業OS１０１の全体または一部ファイル、記憶装置１４１の全体または一部、または、メモリ１４２の全体または一部がバックアップされ、バックアップ情報として送信される情報は、前回バックアップ時からの差分情報でもよい。

ストレージ装置と接続可能な場合は、ステップ９０５、９０６において、ストレージ装置１８０に前記管理OSが送信したバックアップ情報が格納され、ステップ９０７において、格納完了の内容が応答として管理OS１１１に送信される。ステップ９０５において、ストレージ装置１８０は、保存する情報が正しいユーザ操作端末から受信した情報であるか否かを判断する場合もある。前記判断は、予めストレージ装置１８０にストレージ装置１８０内のボリュームと、ユーザ操作端末１００内のボリュームの対応関係が登録されていてもよいし、前記対応関係が管理サーバ１５０において登録されており、前記対応関係登録情報をストレージ装置１８０が問合せによって確認してもよい。

ステップ９０８において、管理OS１１１は前記ストレージ装置から応答を受信し、一通りのバックアップ処理は終了する。

以降ステップ９０９からステップ９１４は、管理OS１１１が状態管理通信機能２１６を有する場合の追加シーケンスである。

ステップ９１０において、管理OS１１１は、バックアップの状況を管理サーバに送信する。バックアップした時刻、バックアップ成功/失敗に関する情報が送信される。

ステップ９１１において、バックアップ状況を受信した管理サーバ１５０は、ステップ９１２において、受信情報を保存し、ステップ９１３において応答を返す。

ステップ９１４において、管理OS１１１は、管理サーバ１５０から応答を受信し、前記通知機能の処理を終了する。

次に図１０をおいて、ユーザ操作端末１００の管理OS１１１の復元機能２１２について記す。

前記復元機能２１２は、ユーザがユーザ操作端末１００の記憶装置１４１の情報に対して制御が実施されたことを意識して、実施してもよい。あるいは、ユーザ操作端末起動のタイミングで管理サーバ１５０からユーザに対して、ファイル制御実施完了情報と、制御実施済みファイルの復元方法を通知することにより、ステップ１００１を開始してもよい。

ステップ１００２からステップ１００７において、管理OS１１１は復元する情報を保有するストレージ装置１８０に関する情報を取得する。管理サーバ１５０のストレージ対応管理機能２５３に対して問い合わせを行う。前記管理サーバ１５０ストレージ対応管理テーブル２６２の情報を参照するために、ユーザ名１２０２と、機器ID１２１２と、対象１２１３と、に関する情報を指定し、バックアップを行っていたストレージ装置１８０に関する情報であるストレージ情報１２２２を取得する。ユーザ名ストレージ管理テーブル２６２の概要については図１２において述べる。前記ストレージ情報１２２２については、復元機能を実施するユーザ操作端末１００の管理OS１１１に予め管理者により設定されていてもよい。ステップ１００２からステップ１００７については、ステップ８０２からステップ８０７と同様の処理を行う。

ステップ１００８において、管理OS１１１は、前記ストレージ装置１８０に対してバックアップされているバックアップ情報を要求する。ユーザ作業OS１０１全体をバックアップしていた場合は、ユーザ作業OS１０１のイメージデータが保存されており、前記イメージデータを管理OS１１１の復元機能２１２が受信することで、ユーザ作業OS１１１を復元することができる。また、バックアップ情報であるユーザ作業OS全体のファイルシステムを閲覧することにより、ユーザ作業OS１０１の一部ファイル/ディレクトリのみを復元することもできる。前記ファイルシステムについては、予めバックアップしていてもよいし、一時的な端末にストレージ装置１８０におけるバックアップ情報をマウントし、ユーザ作業OS１０１の環境を復元し、必要なファイルのみ選択してユーザ操作端末１００に復元してもよい。管理OS１１１に関する情報をバックアップしていた場合は、起動する機能及び復元機能を備えたプログラムを格納したCD−ROM等のデバイスを用いて、ユーザ操作端末１００を起動し、前記バックアップ情報を取得し環境を復元してもよい。

ステップ１００９において、前記要求を受信した前記ストレージ装置１８０は、ステップ１０１０において、要求を処理し、ステップ１０１１において、格納されているバックアップ情報を管理OS１１１に対して送信する。ステップ１００９において、前記バックアップ情報を要求してきたユーザ操作端末１００が正しい端末であるか否かを判断する場合もある。前記判断は、予めストレージ装置１８０にストレージ装置１８０内のボリュームと、ユーザ操作端末１００内のボリュームの対応関係が登録されていてもよいし、前記対応関係が管理サーバ１５０において登録されており、前記対応関係登録情報をストレージ装置１８０が問合せによって確認してもよい。

ステップ１０１２において、応答を受信した管理OS１１１は、受信した情報を元に、バックアップした時点の状態に復元する。

以降ステップ１０１３はステップ９１０以降と同様の処理を行う。管理OS１１１が状態管理通信機能２１６を有する場合の追加シーケンスである。

本実施例によれば、ユーザ操作端末の情報をストレージ装置にバックアップしているため、バックアップした時点の状況にユーザ操作端末を復旧することが可能となる。

次に図１１において、管理サーバ１５０における制御条件管理テーブル２６１の概要を記す。管理サーバが前記テーブルを有する場合、以下の項目の一部、または全てに関する情報を格納する。

項目は、ユーザ関連１１０１と、機器関連１１１１と、データ関連１１２１と、から構成される。

ユーザ関連１１０１は、ユーザ名１１０２に関する情報からなる。

ユーザ名１１０２は、ユーザ操作端末１００を所有するユーザ名情報を格納する。

機器関連１１１１は、機器ID１１１２と、最終更新時間１１１３と、に関する情報からなる。

機器ID１１１２は、機器固有の識別子である。

最終更新時刻１１１３は、前記機器ID１１１２を有する前記ユーザ操作端末１００と管理サーバ１５０とが最後に通信を行った時刻に関する情報を格納する。

データ関連１１２１は、制御条件１１２２と、制御内容１１２３と、対象１１２４と、期限/閾値１１２５と、条件設定時刻１１２６と、条件合致１１２７と、通知（時刻）１１２８と、ID１１２９に関する情報からなる。

データ関連１１２１に関する情報は、図７で記した制御条件テーブル１３１の内容と同様である。

次に図１２を用いて、管理サーバ１５０におけるストレージ対応管理テーブル２６２の概要を記す。管理サーバが前記テーブルを有する場合、以下の項目の一部、または全てに関する情報を格納する。

項目は、ユーザ関連１２０１と、機器関連１２１１と、データ関連１２２１と、から構成される。

ユーザ関連１２０１は、ユーザ名１２０２に関する情報からなる。

ユーザ名１２０２は、ユーザ名１１０２と同様である。

機器関連１２１１は、機器ID１２１２と、最終更新時間１２１３と、対象１２１４と、に関する情報からなる。

機器ID１２１２は、機器ID１２１２と同様である。

最終更新時刻１２１３は、最終更新時刻１１１３と同様である。

対象１２１４は、バックアップ情報に関してユーザ操作端末１００における位置づけを表す。

データ関連１２２１は、ストレージ関連１２２２と、受信メッセージ１２２３とからなる。

ストレージ関連１２２２は、バックアップ先のストレージ装置１８０に関する情報を保有する。

受信メッセージ１２２３は、機器ID１２１２の状況に関する情報を保有する。

本実施形態において、機器構成とその機能を示す図である。 本実施形態において、機器構成とその機能を示す図である。 本実施形態において、条件判定及び制御機能の一形態を示す図である。 本実施形態において、条件判定及び制御機能で判定する条件内容を示す図である。 本実施形態において、条件判定及び制御機能の制御内容を示す図である。 本実施形態において、条件判定及び制御機能の制御後に行う動作を示す図である。 本実施形態において、条件判定及び制御機能の状況を登録するユーザ操作端末における制御条件テーブルの内容を示す図である。 本実施形態において、ユーザ操作端末のデータをストレージ装置にバックアップする際の動作を示す図である。 本実施形態において、ユーザ操作端末のデータをストレージ装置にバックアップする際の動作を示す図である。 本実施形態において、ストレージ装置にバックアップしたデータからユーザ操作端末にデータを復元する際の動作を示す図である。 本実施形態において、制御条件を管理する管理サーバにおける制御条件管理テーブルの概要を示す図である。 本実施形態において、ストレージ装置とユーザ操作端末の関係を管理する管理サーバにおけるストレージ対応管理テーブルの概要を示す図である。 本実施形態におけるストレージ装置の構成図

符号の説明

１００：ユーザ操作端末、１０１：ユーザ作業OS、１１１：管理OS、１１２：IO管理機能、１１３：条件判定及び制御機能、１１４：制御条件登録機能、１１５：バックアップ機能、１３１：制御条件テーブル、１３２：差分管理ボリューム、１４１：記憶装置、１４２：メモリ、１４３：通信インタフェース、１４４：CPU、１４５：入力装置、１４６：出力装置、１５０：管理サーバ、１５１：制御条件設定機能、１８０：ストレージ装置、１８１：バックアップ情報保存機能、１９０：ネットワーク

Claims (10)

1. ユーザ端末と、前記ユーザ端末に格納されるデータを管理する管理サーバと、前記ユーザ端末に格納されるデータのバックアップを格納するストレージ装置と、前記ユーザ端末と前記管理サーバと前記ストレージ装置とを接続するネットワークを有するストレージシステムであって、
   前記ユーザ端末は、ユーザが実行するアプリケーションおよび当該アプリケーションで用いられるユーザデータを管理するユーザ作業OSと当該ユーザ作業OSの入出力を管理する管理OSとを格納する記憶装置、前記記憶装置内の情報の削除またはアクセス制限を制御する制御条件を規定した制御条件テーブルを有し、
   前記管理サーバから、前記制御条件テーブルに設定される前記制御条件が登録され、
   前記管理OSは、前記制御条件を満たした場合に、前記記憶装置内の情報に対して、前記ユーザデータの一部または全体の削除、または、前記ユーザデータの一部または全体へのアクセス制限、のいずれかの制御を、前記ユーザデータのうちで前記ストレージ装置へのバックアップが完了していない情報以外に対して実行することを特徴とする、ストレージシステム。
2. 請求項１記載のストレージシステムにおいて、前記管理OSは、前記ストレージ装置にバックアップしたユーザデータを受信し、バックアップした時点のユーザ作業OSの状況を復元することを特徴とするストレージシステム。
3. 請求項１記載のストレージシステムにおいて、前記管理サーバと前記ユーザ端末とが前記ネットワークを介して接続されているときに、前記制御条件として前記管理OSが前記管理サーバから制御指令を受信することを登録した後に、前記管理OSが前記管理サーバから制御指令を受信した場合、前記管理OSが前記制御を行うことを特徴とするストレージシステム。
4. 請求項１記載のストレージシステムにおいて、前記管理サーバと前記ユーザ端末とが前記ネットワークを介して接続されているときに、前記制御条件として前記管理OSが特定の設定時刻に達したことを検知することを登録した後に、前記管理OSが現在時刻と前記設定時刻を比較し、前記設定時刻を過ぎていることを検知した場合、前記管理OSが前記制御を行うことを特徴とするストレージシステム。
5. 請求項４記載のストレージシステムにおいて、前記制御条件を登録した後に、前記管理サーバと前記ユーザ端末とが前記ネットワークを介して接続されていない場合に限り、前記管理OSが制御条件の条件判定を行うことを特徴とするストレージシステム。
6. 請求項１記載のストレージシステムにおいて、前記管理サーバと前記ユーザ端末とが前記ネットワークを介して接続されているときに、前記制御条件として前記管理OSが前記管理サーバとの通信途絶を検知することを登録した後に、前記管理OSが前記管理サーバと通信を行うことができず、通信途絶を検知した場合、前記管理OSが前記制御を行うことを特徴とする、ストレージシステム。
7. 請求項１記載のストレージシステムにおいて、前記管理サーバと前記ユーザ端末とが前記ネットワークを介して接続されているときに、前記制御条件として前記ユーザ端末のバッテリー残量を登録した後に、前記管理OSが前記ユーザ操作端末のバッテリー残量を調査し、前記登録残量を下回っていることを検知した場合、前記管理OSが前記制御を行うことを特徴とするストレージシステム。
8. 請求項７記載のストレージシステムにおいて、前記制御条件を登録した後に、前記管理サーバと前記ユーザ端末とが前記ネットワークを介して接続されていない場合に限り、前記管理OSが制御条件の条件判定を行うことを特徴とする、ストレージシステム。
9. 請求項１記載のストレージシステムにおいて、前記制御として、ユーザが前記ユーザ端末を起動する際に、起動をさせない、もしくは、前記管理OSのみ起動する起動制限を行うことを特徴とするストレージシステム。
10. 請求項１記載のストレージシステムにおいて、前記管理OSは、前記管理サーバからバックアップ状況におけるファイル名とタイムスタンプを取得し、前記ユーザ作業OS内のユーザデータと比較をし、バックアップされていることが確認できたファイルの削除を行うことを特徴とするストレージシステム。

Images