JP5263574B2 - データ処理装置及びデータ消去方法 - Google Patents

Description

本発明は、記憶媒体に暗号化されて記憶されているデータを復元不能に消去することのできるデータ処理装置及びデータ消去方法に関する。

近年のセキュリティ意識の高まりとともに、オフィス等では、情報のセキュリティ管理が重要になってきている。例えば、パーソナルコンピュータ（以下、ＰＣと言う）で扱う情報のセキュリティ管理は一般的である。また、複合機（ＭＦＰ：Multi Function Printer）にもＰＣと同様、ハードディスク装置（以下、ＨＤＤと言う）等の記憶装置が搭載されるようになってきているため、必要に応じてセキュリティ管理が実行されている。

従来、複合機のＨＤＤのセキュリティ対策としては、記憶するデータを暗号キーに基づいて暗号化する方法がある（特許文献１参照）。しかし、この方法では、暗号キーが盗まれた場合、記憶されたデータも盗まれてしまう。そこで、文献に記載されたものではないが、不要となったデータを逐次消去することにより、セキュリティ上問題となるデータのＨＤＤ上の残量を低減する方法がある。消去方法としては、ＮＡＳ準拠方式、ＤｏＤ準拠方式等のように、記憶媒体全体に固定値（“００”、“ＦＦ”等）やランダムパターンを所定回（例．３回、５回）上書きする方法が採用されている。

しかしながら、このような固定値やランダムパターンを所定回上書きする方法には、処理時間が長い、ＣＰＵ（Central Processing Unit）の負荷が大きい、及び消費電力が多い、という問題がある。
特開２００３−２５５８３２号公報

本発明は、このような問題を解決するためになされたもので、その目的は、暗号化されて記憶されたデータを短時間かつ低消費電力で消去できるようにすることである。

本発明は、用途に応じて複数の領域に設定される記憶媒体と、前記複数の領域に対応させて複数の暗号キーを生成する暗号キー生成手段と、前記生成された複数の暗号キーで、前記複数の領域のうちの対応する領域に書き込まれるデータを暗号化し、前記対応する領域から読み出されたデータを復号化する暗号復号化手段と、前記暗号復号化手段に対し、前記対応する領域に書き込まれる又は読み出されたデータの暗号化又は復号化のオン／オフを制御し、前記複数の暗号キーに対して暗号キーの変更を指示する暗号キー変更手段と、を有するデータ処理装置であって、前記暗号復号化手段は、前記複数の暗号キーに対応する領域のうち、前記暗号キー変更手段によりデータの暗号化又は復号化がオンに制御され前記複数の暗号キーのうち暗号キーが変更された領域のみに対して、該変更された暗号キーに基づいて初期化を行うことを特徴とするデータ処理装置である。
また、本発明は、用途に応じて複数の領域に設定される記憶媒体の前記複数の領域に対応させて複数の暗号キーを生成する暗号キー生成工程と、前記生成された複数の暗号キーで、前記複数の領域のうちの対応する領域に書き込まれるデータを暗号化し、前記対応する領域から読み出されたデータを復号化する暗号復号化工程と、前記暗号復号化工程において、前記対応する領域に書き込まれる又は読み出されたデータの暗号化又は復号化のオン／オフを制御し、前記複数の暗号キーに対して暗号キーの変更を指示する暗号キー変更工程と、を有する記憶媒体のデータ消去方法であって、前記暗号復号化工程では、前記複数の暗号キーに対応する領域のうち、前記暗号キー変更工程においてデータの暗号化又は復号化がオンに制御され前記複数の暗号キーのうち暗号キーが変更された領域のみに対して、該変更された暗号キーに基づいて初期化を行うことを特徴とする記憶媒体のデータ消去方法である。

［作用］
暗号キーを変更すると、記憶媒体に書き込み済みのデータは復号化することができなくなるため、データを消去したことと同じになる。

本発明によれば、暗号化されて記憶されたデータを短時間かつ低消費電力で消去することができる。

以下、本発明の実施形態について、図面を参照しながら詳細に説明する。
［第１の実施形態］
図１は、本発明の第１の実施形態のデータ処理装置のブロック図である。このデータ処理装置は複合機に内蔵されており、ＣＰＵ１０１、ＲＯＭ（Read Only Memory）１０８、ＲＡＭ（Random Access Memory）１０７、ＡＳＩＣ（Application Specific Integrated Circuit）１０２、及びＨＤＤ１０７を備えている。

ＣＰＵ１０１、ＲＯＭ１０８、ＲＡＭ１０７、及びＡＳＩＣ１０２は、所定のバスを介して接続され、ＡＳＩＣ１０２とＨＤＤ１０７とは、ＰＡＴＡ（Parallel ＡＴＡ）、ＳＡＴＡ（Serial ＡＴＡ）、ＳＣＳＩ（Small Computer System Interface）などのＩ／Ｆ（インタフェース）により接続されている。

ここで、ＨＤＤ１０７はＳＳＤ（Solid State Disk）やナンド・フラッシュ・メモリとＨＤＤの両方を搭載したハイブリッドＨＤＤでもよい。また、ＨＤＤ１０７に代えて又は加えて、ＵＳＢ（Universal Serial Bus）2.0或いは3.0を介してＵＳＢメモリを接続してもよい。さらに、ＵＳＢ ＳＤ（Secure Digital）カードＩ／Ｆを介してＳＤカードを接続してもよい。

ＡＳＩＣ１０２はＤＭＡ(Direct Memory Access)コントローラ１０３、ＧＩＯ（General Input Output）コントローラ１０４、乱数発生モジュール１０５、及び暗号／復号化モジュール１０６を内蔵している。ＧＩＯコントローラ１０４は、ＣＰＵ１０１から送出された「暗号キー変更信号」、「暗号／復号 オン／オフ信号」を、それぞれ乱数発生モジュール１０５、暗号／復号化モジュール１０６へ送出する。

以上の構成を有するデータ処理装置において、ＨＤＤ１０７に対してＤＭＡコントローラ１０３の制御によりデータの書き込み（ライトＤＭＡ）、読み出し（リードＤＭＡ）を行うときの動作を説明する。

リードＤＭＡを行うときは、ＣＰＵ１０１はＤＭＡコントローラ１０３にＤＭＡに必要なパラメータをセットし、ＤＭＡのスタートを掛ける。ＤＭＡコントローラ１０３は暗号／復号化モジュール１０６経由でＨＤＤ１０７にリードＤＭＡコマンドを送出する。

リードＤＭＡコマンドを受け取ったＨＤＤ１０７は、記憶媒体からデータを読み出し、そのリードデータを暗号／復号化モジュール１０６へ送出する。暗号／復号化モジュール１０６は、リードデータを復号化する。ＤＭＡコントローラ１０３は復号化されたリードデータを受け取り、ＣＰＵ１０１を介さずにＲＡＭ１０９に転送する。

ライトＤＭＡを行うときも、ＣＰＵ１０１はＤＭＡコントローラ１０３にＤＭＡに必要なパラメータをセットし、ＤＭＡのスタートを掛ける。ＤＭＡコントローラ１０３は暗号／復号化モジュール１０６経由でＨＤＤ１０７にライトＤＭＡコマンドを送出し、次いでＣＰＵ１０１を介さずにＲＡＭ１０９から読み出したライトデータ（書き込み用データ）を暗号／復号化モジュール１０６経由でＨＤＤ１０７に送り始める。ライトＤＭＡコマンドを受け取ったＨＤＤ１０７は、暗号化されたライトデータを受け取り、記憶媒体に書き込む。

暗号／復号化モジュール１０６は、「暗号／復号 オン／オフ信号」がオンのとき、セットされている暗号キーに基づいて、ライトデータの暗号化、リードデータの復号化を行うが、ＤＭＡコントローラ１０６から送出されるＨＤＤ１０７に対するコマンドやステータスの内容については、平文でやりとりし、暗号化／復号化は行わない。

次にＨＤＤ１０７に記憶されたデータを消去する手順を説明する。
ＣＰＵ１０１はＧＩＯコントローラ１０４経由で乱数発生モジュール１０５に対して、新しい乱数を発生させるように指示を出す。乱数発生モジュール１０５は、その指示に応じて新しい乱数を発生し、その乱数データを暗号／復号モジュール１０６の暗号キー設定レジスタ（図示省略）にセットする。

以後、ＨＤＤ１０７に対するデータの書き込み、読み出しを行う際、暗号／復号モジュール１０６は、それまでとは異なる暗号キーで暗号化／復号化するので、それまでにＨＤＤ１０７に書き込み済みのデータは復号化することができなくなり、データを消去したことと同じになる。

暗号キーを変更するとＨＤＤ１０７の記憶媒体上の論理フォーマットデータも壊れてしまうので、アクセスするには論理フォーマットが必要となる。ここではＲＯＭ１０８に記憶されているファイルシステムの論理フォーマット情報をＨＤＤ１０７に書き込む。論理フォーマットとは、物理フォーマットが成された記憶媒体上に、パーティションやファイルシステムのために必要なデータ（後述するＦＡＴやディレクトリ情報）を書き込むことである。暗号キーを変更すると、パーティション内のデータは、データ領域のみならずＦＡＴやディレクトリ情報も全て、変更前と違う値が読めてしまう、要するにパーティション内のデータは全てめちゃくちゃな値となってしまうため、再フォーマットを行う。

例えばWindows（登録商標）の場合、論理フォーマットにより３つの領域が作成される。１つはディレクトリ部である。ここはファイル名とその格納日付、及び先頭セクタＩＤを管理するための領域である。２つ目はＦＡＴ（File Allocation Table）部である。ここはファイルがどのセクタ（クラスタ）に格納されているかを管理するための領域である。３つ目はデータ部である。ここには実際のファイルが、等分割の領域（セクタ）に格納される。

このように本発明の第１の実施形態のデータ処理装置によれば、暗号キーを変更し、論理フォーマットを行うことで、データを消去したのと同じ効果が得られるようにするので、ＮＡＳ準拠方式、ＤｏＤ準拠方式等のようにデータを複数回上書きする場合と比べ、ＣＰＵの負荷を低減するとともに、短時間かつ低消費電力で完了させることができる。また、ナンド・フラッシュ・メモリを使用した記憶媒体の場合は、書き換え回数が少なくなるため、寿命の短縮を防止することができる。

［第２の実施形態］
図２は、本発明の第２の実施形態のデータ処理装置のブロック図である。この図において、第１の実施形態（図１）と対応するブロックには、図１と同じ参照符号を付した。また、図３は本実施形態のＨＤＤ１０７のアドレスマップである。

図３に示されているように、ＨＤＤ１０７のＬＢＡ（Logical Block Address：論理ブロックアドレス）＝0〜20,971,519を管理領域、20,971,520〜41,943,039を画像一時蓄積領域、41,943,040〜83,886,079を画像蓄積領域した。つまり３つのパーティションを設定した。

管理領域は主にＯＳ（Operating System）が使用する。画像一時蓄積領域は、プリンタ印刷時の描画後の印刷データを一時的に格納するためのエリアであり、印刷が終了したら、その印刷データは消去される。画像一時蓄積領域は、スキャナ配信時のスキャンデータを一時的に格納するためにも使用する。スキャンデータのＰＣへの送信が終了したら、そのデータは消去される。画像蓄積領域は画像データを保存しておくための領域であり、ユーザの指示により蓄積や消去を行う。

図２に示すように、ＨＤＤ１０７の３つの領域に対応して、ＡＳＩＣ１０２内に第１〜第３の暗号／復号化モジュール２０１〜２０３を設けた。また、暗号キー、「暗号／復号 オン／オフ信号」、「暗号キー変更信号」を３つの暗号／復号化モジュール２０１〜２０３に対し、１対１で３つずつ設けた。即ち、第１〜第３の暗号／復号化モジュール２０１〜２０３に対応させて、第１〜第３の暗号キー、第１〜第３の「暗号／復号 オン／オフ信号」、第１〜第３の「暗号キー変更信号」を設けた。

ここで、一時蓄積領域用の暗号キーである第２の暗号キーのみ変更し、第１の暗号キー及び第３の暗号キーについてはユーザが指示しない限り、変更しない。

暗号キーを変更すると、論理フォーマットが終わるまでＨＤＤ１０７にアクセスできない。本実施形態では、暗号キーを変更するエリアを一部に限定することで、論理フォーマットを早く終了させ、アクセス可能になるまでの時間を短縮している。

［第３の実施形態］
図４は、本発明の第３の実施形態のデータ処理装置のブロック図である。この図において、第２の実施形態（図２）と対応するブロックには、図１と同じ参照符号を付した。

本実施形態は、第２の実施形態に対し、ＮＶＲＡＭ（Non Volatile ＲＡＭ：不揮発性ＲＡＭ）３０１、省エネタイマー３０２、電力管理（パワー・マネージメント）モジュール３０３、及びＰＳＵ（電力供給ユニット）３０４を追加したものである。

このデータ処理装置が実装されているＭＦＰでは、スキャンやプリント、コピー動作が無い状態（アイドル状態）が一定時間継続すると省エネルギーモードへ移行する。ＮＶＲＡＭ３０１には、アイドル状態がどれだけ連続したら省エネルギーモードになるかの設定値がＣＰＵ１０１により書き込まれる。

省エネタイマー３０２でアイドル時間をカウントし、設定値をカウントしたらＣＰＵ１０１はＧＩＯコントローラ１０４経由で乱数発生モジュール１０５に指示を出し、第２の暗号キー、若しくは第１〜第３の暗号キーを変更させる。その後、暗号キーが変更された領域の論理フォーマットを行う。次に、電力管理モジュール３０３経由でＰＳＵ３０４に対し、省エネルギーモード時にオフになるように設定されている部分に対する電力供給をオフにするための電源制御信号を送出する。

省エネルギーモードに入るのはアイドル状態が続いた時なので、記憶媒体にアクセスする確率は小さい。このため、本実施形態では、論理フォーマットの実行中に記憶媒体に対するアクセス要求が発生し、論理フォーマットの終了まで待たされるケースは少ない。

［第４の実施形態］
図５は、本発明の第４の実施形態のデータ処理装置におけるＨＤＤ１０７のアドレスマップであり、図６は、本発明の第４の実施形態のデータ処理装置のＨＤＤに対するアクセス処理のフローチャートである。本実施形態のデータ処理装置のブロック構成は、第２の実施形態（図２）のＨＤＤ１０７に４つの領域を設け、それに応じて、ＡＳＩＣ１０２内に第１〜第４の暗号／復号化モジュールを設けるとともに、暗号キー、「暗号／復号 オン／オフ信号」、「暗号キー変更信号」を４つの暗号／復号化モジュールに対し、１対１で４つずつ設けたものである。

図５に示すように、ＨＤＤ１０７のＬＢＡ＝0〜20,971,519を管理領域、20,971,520〜41,943,039を第１の画像一時蓄積領域、41,943,040〜62,914,559を第２の画像一時蓄積領域、62,914,560〜104,857,599を画像蓄積領域とした。なお、最大２５５個のパーティションを作成できるツールが市販されており、パーテションサイズを小さくすればするほど論理フォーマットに要する時間は短くなる。

第１の画像一時蓄積領域又は第２の画像一時蓄積領域に対して、画像データの書き込み又は読み出しを行いたい場合、ＣＰＵ１０１は、まず第１の画像一時蓄積領域が論理フォーマット中か否かをチェックする（図６のステップＳ１）。論理フォーマット中でない場合（Ｓ１：NO）、第１の画像一時蓄積領域にアクセス（ステップＳ２）した後に処理を終了する。

第１の画像一時蓄積領域が論理フォーマット中の場合（Ｓ１：YES）、第２の画像一時蓄積領域が論理フォーマット中か否かをチェックする（ステップＳ３）。論理フォーマット中でない場合（Ｓ３：NO）、第２の画像一時蓄積領域にアクセス（ステップＳ４）した後に処理を終了する。

第２の画像一時蓄積領域が論理フォーマット中の場合（Ｓ３：YES）、第１の画像一時蓄積領域又は第２の画像一時蓄積領域の論理フォーマットが終了するまで待ち（Ｓ５：YES→Ｓ６：YES）、終了したらその領域にアクセスし（Ｓ５：NO→Ｓ２、Ｓ６：NO→Ｓ４）、その後に処理を終了する。

本実施形態によれば、一つの一時蓄積領域が論理フォーマット中でも、他の使用可能な一時蓄積領域にアクセスができるので、論理フォーマットの実行によるアクセス不能な時間を短縮することができる。

［第５の実施形態］
図７は、本発明の第５の実施形態のデータ処理装置のＨＤＤに対するアクセス処理のフローチャートである。本実施形態にデータ処理装置のブロック構成は、第４の実施形態と同じであり、ＨＤＤ１０７のパーティションも第４の実施形態と同じである。

本実施形態では、論理フォーマット動作の実行優先順位を画像一時蓄積領域に対するアクセス動作より下げることで、画像一時蓄積領域に対するアクセスを妨害しないようにした。

第１の画像一時蓄積領域又は第２の画像一時蓄積領域に対して、画像データの書き込み又は読み出しを行いたい場合、ＣＰＵ１０１は、第１の画像一時蓄積領域が論理フォーマット中か否かをチェックする（ステップＳ１１）。論理フォーマット中でない場合（Ｓ１１：NO）、第２の画像一時蓄積領域が論理フォーマット中か否かをチェックする（ステップＳ１２）。

第２の画像一時蓄積領域が論理フォーマット中の場合（Ｓ１２：YES）、その領域の論理フォーマットを一時停止した後に、第１の画像一時蓄積領域にアクセスする（ステップＳ１３→Ｓ１４）。次いで第２の画像一時蓄積領域の論理フォーマットを再開し（ステップＳ１５）、その後に処理を終了する。第２の画像一時蓄積領域が論理フォーマット中でない場合（Ｓ１２：NO）、第１の画像一時蓄積領域にアクセスし（ステップＳ１６）、その後に処理を終了する。

第１の画像一時蓄積領域が論理フォーマット中の場合（Ｓ１１：YES）、第２の画像一時蓄積領域が論理フォーマット中か否かをチェックする（ステップＳ１７）。論理フォーマット中の場合（Ｓ１７：YES）、ステップＳ１１に戻る。論理フォーマット中でない場合（Ｓ１７：NO）、第１の画像一時蓄積領域の論理フォーマットを一時停止した後に、第２の画像一時蓄積領域にアクセスし（ステップＳ１８→Ｓ１９）、次に第１の画像一時蓄積領域の論理フォーマットを再開して（ステップＳ２０）、その後に処理を終了する。

このように本実施形態によれば、一時蓄領域に対する書き込み又は読み出しのためのアクセスと、論理フォーマットのためのアクセスとが競合した場合は、論理フォーマットのためのアクセスを中断し、書き込み又は読み出しのためのアクセスが終了したら、論理フォーマットのためのアクセスを再開するので、論理フォーマットの実行による書き込み又は読み出しの遅れを防止することができる。

［第６の実施形態］
本発明の第６の実施形態のデータ処理装置のブロック図は、第２の実施形態（図２）又は第４の実施形態に対し、ＮＶＲＡＭ３０１（第３の実施形態）を追加したものである。そして、NVRAM３０１上に画像一時蓄積領域のアクセス可否フラグ３０１ａと画像データ有無フラグ３０１ｂとを画像一時蓄積領域毎に設けた。

図８は、本実施形態のデータ処理装置のＨＤＤ１０７に対するアクセス及び論理フォーマットに伴って、画像一時蓄積領域のアクセス可否フラグ３０１ａ及び画像データ有無フラグ３０１ｂが変化する様子を示す状態遷移図である。

ここで、プリンタ動作、スキャナ動作、及びコピー動作の全てにおいて、画像一時蓄積領域に蓄積されている画像データの印刷やＰＣへの送出が終了した状態を画像一時蓄積領域の使用の終了と定義する。

暗号キーを変更したら、アクセス可否フラグ３０１ａを「否」に変更する（状態ＳＴ４→ＳＴ５）。論理フォーマットを実行したら、アクセス可否フラグ３０１ａを「可」に変更する（状態ＳＴ６→ＳＴ１）。

一時蓄積を実行したら、画像データ有無フラグ３０１ｂを「有り」に変更し（状態ＳＴ２→ＳＴ３）、暗号キーを変更したら、画像データ有無フラグを「無し（アクセス不可）」に変更する（状態ＳＴ４→ＳＴ５）。

画像データ有無フラグ３０１ｂの「有り」を検知したら、直ちに暗号キーを変更する（状態ＳＴ３→ＳＴ４）。

一時蓄積領域にアクセスしたい場合、アクセス可否フラグ３０１ａ「否」であったら、論理フォーマットを実行する（状態ＳＴ５→ＳＴ６）。その後、論理フォーマットが終了したら、アクセスを行う。

本実施形態では、一時蓄積領域の使用が終了したら、直ぐに新しい乱数を暗号キーに設定し、論理フォーマットは後で行うようにしたので、逐次消去を確実に行える。

本発明の第１の実施形態のデータ処理装置のブロック図である。 本発明の第２の実施形態のデータ処理装置のブロック図である。 本発明の第２の実施形態のデータ処理装置におけるＨＤＤのアドレスマップである。 本発明の第３の実施形態のデータ処理装置のブロック図である。 本発明の第４の実施形態のデータ処理装置におけるＨＤＤのアドレスマップである。 本発明の第４の実施形態のデータ処理装置のＨＤＤに対するアクセス処理のフローチャートである。 本発明の第５の実施形態のデータ処理装置のＨＤＤに対するアクセス処理のフローチャートである。 本発明の第６の実施形態のデータ処理装置のＨＤＤに対するアクセス及び論理フォーマットに伴って、画像一時蓄積領域のアクセス可否フラグ及び画像データ有無フラグが変化する様子を示す状態遷移図である。

符号の説明

１０１・・・ＣＰＵ、１０２・・・ＡＳＩＣ、１０５・・・乱数発生モジュール、１０６，２０１，２０２，２０３・・・暗号／復号化モジュール、１０７・・・ＨＤＤ、３０２・・・省エネタイマー３０２、３０３・・・電力管理モジュール、３０４・・・ＰＳＵ。

Claims (5)

1. 用途に応じて複数の領域に設定される記憶媒体と、
   前記複数の領域に対応させて複数の暗号キーを生成する暗号キー生成手段と、
   前記生成された複数の暗号キーで、前記複数の領域のうちの対応する領域に書き込まれるデータを暗号化し、前記対応する領域から読み出されたデータを復号化する暗号復号化手段と、
   前記暗号復号化手段に対し、前記対応する領域に書き込まれる又は読み出されたデータの暗号化又は復号化のオン／オフを制御し、前記複数の暗号キーに対して暗号キーの変更を指示する暗号キー変更手段と、
   を有するデータ処理装置であって、
   前記暗号復号化手段は、前記複数の暗号キーに対応する領域のうち、前記暗号キー変更手段によりデータの暗号化又は復号化がオンに制御され前記複数の暗号キーのうち暗号キーが変更された領域のみに対して、該変更された暗号キーに基づいて初期化を行うことを特徴とするデータ処理装置。
2. 請求項１に記載されたデータ処理装置において、
   前記複数の領域は、ハードディスク装置の論理ブロックアドレス、画像データを一時的に格納する領域、及び画像データを保存する領域であることを特徴とするデータ処理装置。
3. 請求項１に記載されたデータ処理装置において、
   前記暗号キー変更手段は、ユーザの指示に基づいて前記複数の暗号キーのうち少なくとも一つを変更することを特徴とするデータ処理装置。
4. 請求項１に記載されたデータ処理装置において、
   前記暗号キー変更手段は、当該データ処理装置における所定の動作が一定時間行われない状態の後に移行する省エネルギーモードへの移行前に、前記複数の暗号キーのうち少なくとも一つを変更することを特徴とするデータ処理装置。
5. 用途に応じて複数の領域に設定される記憶媒体の前記複数の領域に対応させて複数の暗号キーを生成する暗号キー生成工程と、
   前記生成された複数の暗号キーで、前記複数の領域のうちの対応する領域に書き込まれるデータを暗号化し、前記対応する領域から読み出されたデータを復号化する暗号復号化工程と、
   前記暗号復号化工程において、前記対応する領域に書き込まれる又は読み出されたデータの暗号化又は復号化のオン／オフを制御し、前記複数の暗号キーに対して暗号キーの変更を指示する暗号キー変更工程と、
   を有する記憶媒体のデータ消去方法であって、
   前記暗号復号化工程では、前記複数の暗号キーに対応する領域のうち、前記暗号キー変更工程においてデータの暗号化又は復号化がオンに制御され前記複数の暗号キーのうち暗号キーが変更された領域のみに対して、該変更された暗号キーに基づいて初期化を行うことを特徴とする記憶媒体のデータ消去方法。
   

Images