JP5344588B2 - 情報処理装置、情報処理装置の制御方法、及び制御プログラム - Google Patents

Description

本発明は、データファイルを記憶、管理する情報処理装置、情報処理装置の制御方法、及び制御プログラムに関する。

情報処理装置では、画像データや動画データなど扱うデータの大容量化が進み、一時的にデータを記憶する記憶装置として、ＲＡＭでは容量が足りなくなっている。このため、データをハードディスクやメモリカード等の不揮発性記憶媒体に一時的に記憶する必要がある。

不揮発性記憶媒体にデータを記憶した場合、データはファイルシステムが管理するファイルとして記録される。このため、データが不要となったら、データファイルを消去する必要がある。

データファイルは、通常、データ部分のインデックス情報等のデータ構成情報等を含むファイル管理情報と実データとから構成され、ファイルシステムを通してＯＳ（オペレーティングシステム）から操作される。

実データを消去する処理は完全消去と呼ばれ、実データ部分に意味のないデータを上書きすることにより、実データ部分に残ったデータを消去する方法が一般的に行なわれている。

また、セキュリティレベルを規定し、セキュリティレベルに応じて実データ部分に意味のないデータを繰返し上書きすることにより安全性を高める技術が提案されている（特許文献１）。更に、完全消去処理の高速化のため、ハードディスクコントローラやメモリカードコントローラ自身に、実データ部分に意味のないデータを繰返し上書きする機能をもたせる技術が提案されている（特許文献２及び特許文献３）。

特開２００４−１５３５１６号公報 特開２００６−０２３８５４号公報 特開２００６−０３９９６６号公報

完全なデータ消去を行なうためには、データ部分にランダムな値を複数回書き込む必要があり、ハードディスクコントローラやメモリカードコントローラ自身にデータの完全消去機能を持たせるには、ＳＯＣ等の特殊なハードウェアが必要となる。

また、画像ファイル等の大容量データに対して消去要求時に即時に完全なデータ消去処理を行うと、処理に対する負荷が大きくなることで時間がかかってしまい、レスポンスが悪くなる。

さらに、完全消去の途中に電源断があった場合、消去処理が途中で中断され、その後、装置が起動しても、完全消去は継続されない。

そこで、本発明は、特殊なハードウェアを用いることなく、データの完全消去処理を低負荷で行うことができる情報処理装置、情報処理装置の制御方法及び制御プログラムを提供することを目的とする。

上記目的を達成するために、本発明の情報処理装置は、不揮発性記憶媒体に記憶されたデータファイルの消去要求を発行する発行手段と、該発行手段による前記消去要求の発行に基づいて、該消去要求されたデータファイルのファイル管理情報からデータ構成情報を取得する取得手段と、該取得手段により取得した前記データ構成情報を完全消去用データファイルに移動させる移動手段と、前記消去要求されたデータファイルのファイル管理情報を上書きにより完全消去する第１の消去手段と、該第１の消去手段により前記ファイル管理情報を完全消去した後、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより完全消去する第２の消去手段と、該第２の消去手段により前記データ部分を消去した後、前記完全消去用データファイルに移動した前記データ構成情報を消去する第３の消去手段と、を備え、前記第２の消去手段は、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより消去するごとに、該完全消去用データファイルから別の完全消去用データファイルに前記データ構成情報を移動させることを特徴とする。

本発明の情報処理装置の制御方法は、不揮発性記憶媒体に記憶されたデータファイルの消去要求を発行する発行ステップと、該発行ステップでの前記消去要求の発行に基づいて、該消去要求されたデータファイルのファイル管理情報からデータ構成情報を取得する取得ステップと、該取得ステップで取得した前記データ構成情報を完全消去用データファイルに移動させる移動ステップと、前記消去要求されたデータファイルのファイル管理情報を上書きにより完全消去する第１の消去ステップと、該第１の消去ステップで前記ファイル管理情報を完全消去した後、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより完全消去する第２の消去ステップと、該第２の消去ステップで前記データ部分を消去した後、前記完全消去用データファイルに移動した前記データ構成情報を消去する第３の消去ステップと、を備え、前記第２の消去ステップは、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより消去するごとに、該完全消去用データファイルから別の完全消去用データファイルに前記データ構成情報を移動させることを特徴とする。

本発明の情報処理装置の制御プログラムは、不揮発性記憶媒体に記憶されたデータファイルの消去要求を発行する発行ステップと、該発行ステップでの前記消去要求の発行に基づいて、該消去要求されたデータファイルのファイル管理情報からデータ構成情報を取得する取得ステップと、該取得ステップで取得した前記データ構成情報を完全消去用データファイルに移動させる移動ステップと、前記消去要求されたデータファイルのファイル管理情報を上書きにより完全消去する第１の消去ステップと、該第１の消去ステップで前記ファイル管理情報を完全消去した後、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより完全消去する第２の消去ステップと、該第２の消去ステップで前記データ部分を消去した後、前記完全消去用データファイルに移動した前記データ構成情報を消去する第３の消去ステップと、をコンピュータに実行させ、前記第２の消去ステップは、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより消去するごとに、該完全消去用データファイルから別の完全消去用データファイルに前記データ構成情報を移動させることを特徴とする。

本発明によれば、特殊なハードウェアを用いることなく、データの完全消去処理を低負荷で行うことができる。

本発明の第１の実施形態である情報処理装置のシステム構成例を説明するためのブロック図である。 一般的なファイル構成を説明するための説明図である。 ｅｘｔ３ファイルシステムでの通常のファイル消去処理を説明するための概念図である。 情報処理装置の制御ブロック図である。 情報処理装置におけるファイル消去要求時の処理について説明するためのフローチャート図である。 ファイル消去要求時の処理内容を概念的に示す図である。 図５のステップＳ５０４でのデータ部分の完全消去処理について説明するためのフローチャート図である。 情報処理装置の電源投入時における処理について説明するためのフローチャート図である。 本発明の第２の実施形態である情報処理装置におけるデータ部分の完全消去処理を説明するためのフローチャート図である。 データ部分の消去を行うごとに、データ構成情報を別の完全消去用データファイルに移動させる処理を説明するための説明図である。 完全消去用データファイルにデータ構成情報を移動させる際に、データの並び順をランダムに変更する例を説明するための説明図である。

以下、本発明の実施形態を図面を参照して説明する。

（第１の実施形態）
図１は、本発明の第１の実施形態である情報処理装置のシステム構成例を説明するためのブロック図である。

図１に示すように、本実施形態の情報処理装置は、ＣＰＵ３０１、ＲＡＭ３０２、及びＩＯコントローラ３０３を備え、ＩＯコントローラ３０３には、ハードディスクコントローラ３０４及びメモリカードコントローラ３０５が設けられている。

ＲＡＭ３０２に格納するにはサイズが大きすぎる画像データや動画データ等は、ＩＯコントローラ３０３を経由して不揮発性記憶媒体としてのハードディスク３０６又はメモリカード３０７にデータファイルとして一時的に保存される。この場合、ハードディスク３０６を利用する際には、ハードディスクコントローラ３０４が用いられ、メモリカード３０７を利用する際には、メモリカードコントローラ３０５が用いられる。

また、ＣＰＵ３０１上で動作するＯＳがファイルやファイルシステムを管理し、ファイルの生成、書き込み、変更、消去などのファイル操作は、ＯＳからＩＯコントローラ３０３へのセクタの読み出し要求、書き込み要求として発行される。

図２は、一般的なファイル構成を説明するための説明図である。

図２に示すように、ファイル１０１は、ファイル管理情報１０２、データ構成情報１０３、及びデータ部分１０４で構成される。ＯＳ上からファイル削除を行なった場合は、ファイルＩ／Ｏなどの負荷を削減し、システムを効率的に運用するため、ファイル管理情報１０２の一部が未使用状態に変更されるだけである。

図３は、Ｌｉｎｕｘで多く用いられるｅｘｔ３ファイルシステムでの通常のファイル消去処理を説明するための概念図である。

図３に示すように、ｉノード＝１で表されるファイルデータ（ファイル管理情報１０２）は、ファイルを構成するデータブロックの番号を示すリストデータ（データ構成情報１０３）を持つ。

ファイルシステム管理データは、データブロックの使用状態を示すデータブロックビットマップと、ファイル１つ１つを表すｉノードの使用状態を示すｉノードビットマップを持つ。

ファイル消去が実行されると、該当するｉノードビットマップのビットが、使用状態（１）から未使用状態（０）に変更される。

また、ファイルデータの前記リストデータを用いて、削除するファイルのデータブロックの使用状態を示すデータブロックビットマップのビットが、使用状態（１）から未使用状態（０）に変更される。ファイルデータとデータ部分は、変更されない。

図４は、本実施形態の情報処理装置の制御ブロック図である。

図４において、データ入力手段４０１、データ記憶手段４０２、データ消去手段４０３、及び消去データ管理手段４０４は、ＣＰＵ３０１の制御により、それぞれの処理を実行する。

データ入力手段４０１は、画像データや動画データ等の入力処理を実行する。データ記憶手段４０２は、入力された画像データや動画データをハードディスク３０６やメモリカード３０７にデータファイルとして記憶させる記憶処理を実行する。データ消去手段４０３は、ハードディスク３０６やメモリカード３０７に記憶されたデータファイルの消去要求を発行する処理を実行する。

消去データ管理手段４０４は、データ消去手段４０３により発行されたデータの消去要求を受け付け、消去要求されたデータファイル１０１のファイル管理情報１０２からデータ構成情報１０３を取得する。

また、消去データ管理手段４０４は、あらかじめ作成した完全消去用データファイルのデータ管理情報に消去するデータファイル１０１のデータ構成情報１０３を移動させる。そして、消去データ管理手段４０４は、消去要求されたデータファイル１０１のファイル管理情報１０２に対して、即時にデータの上書きを複数回行うことで完全消去する。

更に、消去データ管理手段４０４は、完全消去用データファイルに移動させたデータ部分１０４については、後からデータを上書して消去し、該消去完了後にデータ構成情報１０３を削除する。

次に、図５を参照して、本実施形態の情報処理装置におけるファイル消去要求時の処理について説明する。図５での各処理は、ＲＯＭやハードディスク３０６等に記憶された制御プログラムがＲＡＭ３０２にロードされて、ＣＰＵ３０１により実行される。

ステップＳ５０１では、ＣＰＵ３０１は、ファイル消去要求があると、完全消去が必要なデータファイルか否かを判断し、完全消去が必要なデータファイルの場合は、ステップＳ５０２に進み、完全消去が不要なデータファイルの場合は、ステップＳ５０５に進む。

ここで、完全消去が必要か否かの判断は、例えば、明示的に完全消去を要求されたか否かで判断してもよいし、装置の動作モードとして完全消去を行うか否かを設定可能とし、その設定に従ってもよい。あるいは、元のデータの種類やその情報源、そのファイルが記憶された処理の種類などに応じて完全消去が必要か否か判断するようにしてもよい。

ステップＳ５０５では、ＣＰＵ３０１は、通常のファイル消去処理（図３参照）を実行し、待機状態へ入る。

ステップＳ５０２では、ＣＰＵ３０１は、消去要求のあったデータファイルのファイル管理情報１０２からデータ構成情報１０３を取得する。そして、ＣＰＵ３０１は、取得したデータ構成情報１０３をあらかじめ作成してある完全消去用データファイルのファイル管理情報に移動させ、ステップＳ５０３に進む。

ステップＳ５０３では、ＣＰＵ３０１（第１の消去手段）は、消去要求のあったデータファイルのファイル管理情報１０２に対してランダムな値をあらかじめ規定された回数分上書きして完全消去する。そして、ＣＰＵ３０１は、該当するファイルの使用状態を示すｉノードビットマップをクリアする。

次に、ステップＳ５０４では、ＣＰＵ３０１は、データ部分１０４の完全消去処理を開始し、待機状態へと遷移する。なお、データ部分１０４の完全消去処理については、図７を用いて後述する。

図６は、ファイル消去要求時の処理内容を概念的に示す図である。

図６に示すように、消去されるデータファイルのファイル管理情報１０２のデータ構成情報１０３が完全消去用データファイルのファイル管理情報に移動し、消去されるデータファイルに対応したｉノードビットマップのビットが０にクリアされる。

この処理では、データブロックの消去は実施されていないため、データブロックのビットマップはクリアされず、使用状態のままとなる。

次に、図７を参照して、図５のステップＳ５０４でのデータ部分１０４の完全消去処理について説明する。

ここで、データ部分１０４の完全消去処理は、ファイルの消去要求があったときに即時実行しなくてもよく、他の処理に比べて低優先度で、かつバックグランドで実行してもよい。

ステップＳ７０１及びステップＳ７０２では、ＣＰＵ３０１は、完全消去用データファイルのファイル管理情報のデータ構成情報に消去すべきデータブロックが登録されているか確認する。そして、ＣＰＵ３０１は、消去すべきデータブロックが登録されている場合は、ステップＳ７０３に進み、登録されていない場合は、待機状態へ入る。

ステップＳ７０３では、ＣＰＵ３０１（第２の消去手段）は、消去すべきデータブロックにランダムな値をあらかじめ規定された回数分上書きして、データ部分１０４を消去し、ステップＳ７０４に進む。

ステップＳ７０４では、ＣＰＵ３０１（第３の消去手段）は、完全消去用データファイルのファイル管理情報から、データ部分が消去されたデータブロックのデータ構成情報を削除し、ステップＳ７０５に進む。

ステップＳ７０５では、ＣＰＵ３０１は、ステップＳ７０４で削除したデータ構成情報に該当するデータブロックビットマップをクリアし、待機状態に入る。

次に、図８を参照して、本実施形態の情報処理装置の電源投入時における処理について説明する。図８での各処理は、ＲＯＭやハードディスク３０６等に記憶された制御プログラムがＲＡＭ３０２にロードされて、ＣＰＵ３０１により実行される。

ステップＳ８０１及びステップＳ８０２では、ＣＰＵ３０１は、電源が投入されると、完全消去用データファイルのファイル管理情報のデータ構成情報に消去すべきデータブロックが登録されているか確認する。そして、ＣＰＵ３０１は、消去すべきデータブロックが登録されている場合は、ステップＳ８０３に進み、登録されていない場合は、待機状態へ入る。

ステップＳ８０３では、ＣＰＵ３０１は、図７のステップＳ７０３〜ステップＳ７０５と同様のデータ部分の完全消去処理を再開し、待機状態に入る。

以上説明したように、本実施形態では、ファイル消去要求時に、消去するデータファイルのファイル管理情報のデータ構成情報をあらかじめ作成した完全消去データファイルのファイル管理情報に移動させる。そして、消去要求されたデータファイルのファイル管理情報のみを即時に完全に消去し、完全消去データファイルに移動させたデータ部分は後から完全消去を行なう。これにより、特殊なハードウェアを用いることなく、データの完全消去処理を低負荷で行うことができる。

また、電源の投入時には完全消去用データファイルのファイル管理情報のデータ構成情報に消去すべきデータブロックが登録されているか確認し、消去すべきデータブロックが登録されている場合は、上記同様のデータ部分の完全消去処理を再開する。これにより、データの完全消去処理の途中に電源断があっても電源の再投入時にデータの完全消去処理を自動で継続することができる。

（第２の実施形態）
次に、図９及び図１０を参照して、本発明の第２の実施形態である情報処理装置について説明する。なお、上記第１の実施形態と重複する部分については、図及び符号を流用して説明する。

図９は、本実施形態の情報処理装置におけるデータ部分の完全消去処理（図５のステップＳ５０４に相当）を説明するためのフローチャート図である。図９での各処理は、ＲＯＭやハードディスク３０６等に記憶された制御プログラムがＲＡＭ３０２にロードされて、ＣＰＵ３０１により実行される。

ステップＳ１００１及びステップＳ１００２では、ＣＰＵ３０１は、データ部分の完全消去処理が開始されると、完全消去用データファイルのファイル管理情報のデータ構成情報に消去すべきデータブロックが登録されているか確認する。そして、ＣＰＵ３０１は、消去すべきデータブロックが登録されている場合は、ステップＳ１００３に進み、登録されていない場合は、待機状態へ入る。

ステップＳ１００３では、ＣＰＵ３０１は、データブロックにランダムな値を上書きし、データの消去処理を行い、ステップＳ１００４に進む。

ステップＳ１００４では、ＣＰＵ３０１は、ステップＳ１００３でのランダムな値の上書き回数が規定回数に達しているか否かを判断し、規定回数に達している場合は、ステップＳ１００６に進み、規定回数に達していない場合は、ステップＳ１００５に進む。

ステップＳ１００５では、ＣＰＵ３０１は、ステップＳ１００１での完全消去用データファイル（Ｎ回目の消去用）から別に作成した完全消去用データファイル（Ｎ＋１回目の消去用）にデータ構成情報を移動させ、ステップＳ１００６に進む。

すなわち、本実施形態では、図１０に示すように、データ部分の消去回数分の完全消去用データファイルが作成され、データ部分の消去を行うごとに、データ構成情報を別の完全消去用データファイルに移動させる。

ステップＳ１００６では、ＣＰＵ３０１は、Ｎ回目の完全消去用データファイルのファイル管理情報からデータ構成情報を削除し、消去されるファイルに対応したｉノードビットマップのビットを０にクリアして、ステップＳ１００２に戻る。その他の構成及び作用効果は、上記第１の実施形態と同様である。

なお、本発明は、上記各実施形態に例示したものに限定されるものではなく、本発明の要旨を逸脱しない範囲において適宜変更可能である。

例えば、上記各実施形態では、Ｌｉｎｕｘで多く用いられるｅｘｔ３ファイルシステムにおけるファイル消去処理を例示したが、ＦＡＴなど、他のファイルシステムでも本発明を適用可能である。

また、上記各実施形態において、完全消去用データファイルにデータ構成情報を移動させる際に、図１１に示すように、データの並び順をランダムに変更してデータ構成情報を移動させるようにしてもよい。

更に、本発明の目的は、上述した実施形態の機能を実現するソフトウェアのプログラムコードを、コンピュータ（またはＣＰＵやＭＰＵ等）が読み出して実行することでも達成できる。

この場合、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。

また、プログラムコードを供給するための記憶媒体としては、種々のものを用いることができる。また、プログラムコードをネットワークを介してダウンロードしてもよい。

また、コンピュータが読み出したプログラムコードの指示に基づき、ＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行うことで、前述した実施形態の機能が実現される場合も含まれる。

４０１ データ入力手段
４０２ データ記憶手段
４０３ データ消去手段
４０４ 消去データ管理手段

Claims (6)

1. 不揮発性記憶媒体に記憶されたデータファイルの消去要求を発行する発行手段と、
   該発行手段による前記消去要求の発行に基づいて、該消去要求されたデータファイルのファイル管理情報からデータ構成情報を取得する取得手段と、
   該取得手段により取得した前記データ構成情報を完全消去用データファイルに移動させる移動手段と、
   前記消去要求されたデータファイルのファイル管理情報を上書きにより完全消去する第１の消去手段と、
   該第１の消去手段により前記ファイル管理情報を完全消去した後、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより完全消去する第２の消去手段と、
   該第２の消去手段により前記データ部分を消去した後、前記完全消去用データファイルに移動した前記データ構成情報を消去する第３の消去手段と、を備え、
   前記第２の消去手段は、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより消去するごとに、該完全消去用データファイルから別の完全消去用データファイルに前記データ構成情報を移動させる
   ことを特徴とする情報処理装置。
2. 前記第２の消去手段は、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分に対してランダムな値をあらかじめ規定された回数分上書きすることで、前記データ部分を完全消去する、
   ことを特徴とする請求項１に記載の情報処理装置。
3. 前記移動手段は、前記完全消去用データファイルに前記データ構成情報を移動させる際に、データの並び順をランダムに変更して移動させる、
   ことを特徴とする請求項１又は２記載の情報処理装置。
4. 電源投入時に前記完全消去用データファイルに前記データ構成情報が含まれているか否かを確認する確認手段を備え、
   該確認手段により前記データ構成情報が含まれていることが確認された場合に、前記第１の消去手段、前記第２の消去手段、及び前記第３の消去手段の処理を再開する、
   ことを特徴とする請求項１〜３のいずれか一項に記載の情報処理装置。
5. 不揮発性記憶媒体に記憶されたデータファイルの消去要求を発行する発行ステップと、
   該発行ステップでの前記消去要求の発行に基づいて、該消去要求されたデータファイルのファイル管理情報からデータ構成情報を取得する取得ステップと、
   該取得ステップで取得した前記データ構成情報を完全消去用データファイルに移動させる移動ステップと、
   前記消去要求されたデータファイルのファイル管理情報を上書きにより完全消去する第１の消去ステップと、
   該第１の消去ステップで前記ファイル管理情報を完全消去した後、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより完全消去する第２の消去ステップと、
   該第２の消去ステップで前記データ部分を消去した後、前記完全消去用データファイルに移動した前記データ構成情報を消去する第３の消去ステップと、を備え、
   前記第２の消去ステップは、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより消去するごとに、該完全消去用データファイルから別の完全消去用データファイルに前記データ構成情報を移動させる
   ことを特徴とする情報処理装置の制御方法。
6. 不揮発性記憶媒体に記憶されたデータファイルの消去要求を発行する発行ステップと、
   該発行ステップでの前記消去要求の発行に基づいて、該消去要求されたデータファイルのファイル管理情報からデータ構成情報を取得する取得ステップと、
   該取得ステップで取得した前記データ構成情報を完全消去用データファイルに移動させる移動ステップと、
   前記消去要求されたデータファイルのファイル管理情報を上書きにより完全消去する第１の消去ステップと、
   該第１の消去ステップで前記ファイル管理情報を完全消去した後、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより完全消去する第２の消去ステップと、
   該第２の消去ステップで前記データ部分を消去した後、前記完全消去用データファイルに移動した前記データ構成情報を消去する第３の消去ステップと、をコンピュータに実行させ、
   前記第２の消去ステップは、前記完全消去用データファイルに移動したデータ構成情報に対応するデータ部分を上書きにより消去するごとに、該完全消去用データファイルから別の完全消去用データファイルに前記データ構成情報を移動させる
   ことを特徴とする情報処理装置の制御プログラム。