JP6460765B2 - 情報処理装置、情報処理装置の制御方法、プログラム - Google Patents

Description

本発明は、情報処理装置に格納される暗号鍵をバックアップおよびリストアする方法に関する。

従来から、ハードディスク（以下ＨＤＤ）等の記憶装置を利用してデータを蓄積可能な情報処理装置が知られている。このような情報処理装置は、ＨＤＤ等の盗難によりデータの解読を防止するため、暗号化を施してデータを保護する暗号化機能を備えていることが多い。暗号化機能を備えた情報処理装置において、例えば、データの暗号化に利用する暗号鍵は、装置内のコントローラボード上の暗号化チップにセキュアに格納される。

しかしながら、装置の故障や不良により、暗号化チップを含むコントローラボードを交換する場合がある。コントローラボードを交換する場合、暗号鍵を格納した暗号化チップも共に交換されてしまう。そのため、暗号鍵が消失してしまい、ＨＤＤ等に格納されているデータの復号ができなくなる。

特許文献１では、コントローラボードの交換によるデータ消失を防止するための、暗号鍵復旧方法が提案されている。特許文献１によれば、ＨＤＤに格納されているデータを復号化するための鍵の正当性が確認できない場合、リストアモードに移行し、ＳＤカードなどの外部記憶媒体にバックアップしたリストア用暗号鍵を用いて暗号鍵を復旧する。

特開２００８−２３６０８９号公報

しかしながら、従来の情報処理装置では、暗号鍵のバックアップ、リストアを実施するために、予め、ユーザの操作により、リストアするための暗号鍵を外部記憶媒体に格納しておかなければならない。そのため、ユーザが暗号鍵をバックアップし忘れると、ＨＤＤに格納されているデータの復号ができなくなってしまう。

本発明は、上記の課題に鑑みて、ユーザに手間をかけることなく、暗号鍵のバックアップおよびリストアを行うための手段を提供することを目的とする。

上記目的を達成するために、本発明における情報処理装置は、暗号鍵と、前記暗号鍵のバックアップであるバックアップ暗号鍵をそれぞれ異なる部品に格納し、前記暗号鍵で暗号化されたデータを記憶装置に書き込むことが可能な情報処理装置であって、前記暗号鍵を用いて、前記記憶装置に記憶されているデータが正しく復号できるか否かを確認することにより、前記暗号鍵が格納された第１部品が交換されたか否かを判定する第１判定手段と、前記第１判定手段において、前記暗号鍵が格納された第１部品が交換されていないと判定された場合、前記情報処理装置の識別情報とともに、前記暗号鍵をバックアップ暗号鍵として第２部品にバックアップするバックアップ手段と、前記第１判定手段において、前記暗号鍵が格納された第１部品が交換されていると判定された場合、前記情報処理装置の識別情報と前記第２部品から取得した識別情報とが一致するかを確認することにより、前記バックアップ暗号鍵が格納された第２部品が交換されたか否かを判定する第２判定手段と、前記第２判定手段において、前記バックアップ暗号鍵が格納された第２部品が交換されていないと判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記第１部品にリストアするリストア手段を有し、前記第２判定手段において、前記バックアップ暗号鍵が格納された第２部品が交換されていると判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記第１部品にリストアしないことを特徴とする。

また上記目的を達成するために、本発明における情報処理装置は、記憶装置と、 暗号鍵を格納し、前記記憶装置に書き込むデータに対して該暗号鍵を用いて暗号化処理を施す暗号化チップと、前記暗号鍵をバックアップするための不揮発メモリと、前記暗号鍵を用いて、前記記憶装置に記憶されているデータが正しく復号できるか否かを確認することにより、前記暗号化チップを含む第１部品が交換されたか否かを判定し、前記暗号化チップを含む第１部品が交換されていないと判定された場合、前記情報処理装置の識別情報とともに、前記暗号鍵をバックアップ暗号鍵として、前記不揮発メモリにバックアップをし、前記暗号化チップを含む第１部品が交換されていると判定された場合、前記情報処理装置の識別情報と前記第２部品から取得した識別情報とが一致するかを確認することにより、前記不揮発メモリを含む第２部品が交換されたか否かを判定し、前記不揮発メモリを含む第２部品が交換されていないと判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記暗号化チップにリストアし、前記不揮発メモリを含む第２部品が交換されていると判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記暗号化チップにリストアしないように制御する制御手段と、を備えたことを特徴とする。

本発明によれば、ユーザに手間をかけることなく、暗号鍵のバックアップおよびリストアを行うことができる。

情報処理装置のハードウェアブロック図 情報処理装置の模式図 情報処理装置の起動処理を示すフローチャート

以下、本発明を実施するための形態について図面を用いて説明する。

図１は、本実施形態における情報処理装置のハードウェアブロック図である。本実施形態の情報処理装置は、例えば、ＰＣやサーバなどに適用することができる。また本実施形態の情報処理装置は、プリンタや複合機などにも適用することができる。

図１の情報処理装置１０は、ＣＰＵ１１、ＲＡＭ１２、暗号化チップ１３、不揮発メモリ１４、操作部（以下ＵＩ）１５、ディスクコントローラ（ＤＩＳＫＣ）１８、ハードディスク（以下ＨＤＤ）１６から構成される。なお、図示していないが、情報処理装置１０は、ネットワーク機器との間の通信を可能にするために、ＬＡＮに接続するネットワークインタフェース等を有していても良い。

ＣＰＵ１１は、情報処理装置１０を制御するプロセッサであり、ＲＡＭ１２上に配置されたプログラムおよびデータを使用し、情報処理装置１０を制御する。ＲＡＭ１２は、読み書き可能な揮発性の記憶装置で、後述する図２の情報処理装置制御プログラム２０や、その他各種のデータを保持する。暗号化チップ１３は、ＨＤＤ１６へのデータの書込や読出を制御すると共に、データ書き込み時はデータを暗号化し、読出時はデータを復号化する。ＵＩ１５は、不図示の液晶表示部とタッチパネル、ハードキーとから構成され、ユーザからの操作指示を取得し、情報処理装置１０の状態などを表示する。

ＨＤＤ１６は、読み書き可能な不揮発性の大容量記憶装置で、各種データを格納する。ＨＤＤ１６には、文書ファイルや、ユーザファイルなどの様々なデータが格納される。本実施形態の情報処置装置ではＨＤＤ１６を使用しているが、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等のその他の不揮発性の記憶装置を利用してもよい。更に、複数の記憶装置を併用する形態でも良い。

ＤＩＳＫＣ１８は、暗号化チップ１３及びＨＤＤ１６を制御するディスクコントローラであり、ＨＤＤ１６へのデータの書込および読出を制御する。

本発明の実施形態では、ＣＰＵ１１、ＲＡＭ１２、暗号化チップ１３、ＤＩＳＫＣ１８は同一のコントローラボード１７上に実装されており、いずれかの部品の故障でコントローラボード１７を交換する場合は、それらが全て同時に交換される。

不揮発メモリ１４は、読み書き可能な不揮発性の記憶装置であり、プログラムや後述するバックアップ用の暗号鍵（バックアップ暗号鍵）等を保持する。不揮発メモリ１４は、例えばＦｌａｓｈメモリなどで構成される。なお本実施形態においては、少なくとも不揮発メモリ１４を含む部品は、コントローラボード１７とは別ボードに実装されている。

図２は、本実施形態における情報処理装置１０の論理構成及びデータ構成を示す模式図である。情報処理装置１０は、情報処理装置制御プログラム２０と暗号化チップ制御プログラム３０を有する。情報処理装置制御プログラム２０は、不揮発メモリ１４に記憶され、ＲＡＭ１２に読み出されて、ＣＰＵ１１によって実行される。暗号化チップ制御プログラム３０は暗号化チップ１３内に格納され、暗号化チップ１３上で動作する。情報処理装置制御プログラム２０は、ＵＩ制御部２１、暗号鍵復旧部２２、データ入出力部２３、部品交換判定部２４で構成される。暗号化チップ制御プログラム３０は、暗号鍵管理部３１、データ暗号部３２で構成される。尚、情報処理装置制御プログラム２０には情報処理装置１０の様々な機能を動作させる処理が含まれるが、本発明の実施形態に直接関連しないため記載を省略している。

ＵＩ制御部２１は、ＵＩ１５を制御し、ユーザからの指示をタッチパネルやハードキーから取得したり、情報処理装置１０の状態を液晶パネルに表示したりする。

暗号鍵復旧部２２は、暗号化チップ１３で管理される暗号鍵を、不揮発メモリにバックアップするための制御や、反対に、不揮発メモリ１４で管理されるバックアップ暗号鍵を暗号化チップにリストアするための制御を行う。

データ入出力部２３は、ＨＤＤ１６からのデータ読み出し及びＨＤＤ１６へのデータ書き込みを制御する。ただし、ＨＤＤ１６へのデータ読み書きは暗号化チップ１３を介して行われるため、実際にはデータ入出力部２３は、暗号化チップに対してデータ読み書きの制御を指示する。また暗号化チップ１３の各種設定もデータ入出力部２３が指示する。

部品交換判定部２４は、情報処理装置１０の各部品の交換が行われたかどうかを判定する。つまり、部品交換判定部２４は、コントローラボード１７、ＨＤＤ１６、不揮発メモリ１４などがそれぞれ交換されたかどうかを判定する。判定に関する詳細な処理は後述する。暗号鍵管理部３１は、データ暗号部３２でのデータ暗号化と復号に利用する暗号鍵の管理を行う。データ暗号部３２は、データ入出力部２３からＨＤＤ１６にデータを格納する指示を受けると、データを格納する前にデータの暗号化処理を行う。またデータ入出力部２３からＨＤＤ１６からデータの読み込み指示を受けると、ＨＤＤ１６からデータを読み込み、データを復号したのちデータ入出力部２３にデータを受け渡す。

次に、図２を参照して、情報処理装置１０のデータ配置に関して説明する。図２において、暗号化チップ１３はコントローラボード１７上に搭載されており、コントローラボード１７の交換によって、暗号化チップ１３も共に交換される。データ暗号化のための暗号鍵は暗号化チップ１３に格納されているため、コントローラボード１７の交換により暗号鍵が消失してしまう。

そこで本実施形態では、バックアップ用の暗号鍵（バックアップ暗号鍵）をコントローラボード１７上とは異なる不揮発メモリ１４に格納することで、コントローラボード交換時に暗号鍵を復旧できる手段を提供する。尚、不揮発メモリ１４にバックアップ用の暗号鍵を格納する際は、暗号鍵が暴露しないようセキュアな方法で格納するのが望ましい。セキュアな格納方法については一般的に様々な方法が存在するため、ここでは記載を省略する。また、バックアップのためのバックアップ暗号鍵は暗号鍵そのものではなく、暗号鍵を生成、構築するために必要となるデータでもよい。

図３を用いて情報処理装置１０における起動時の処理について説明する。電源投入により情報処理装置１０が起動すると、図３の処理が開始される。本フローチャートで示す手順は情報処理装置１０のＣＰＵ１１及び、暗号化チップ１３により実行される。

まず、ステップ１０１において、部品交換判定部２４は、コントローラボード１７が交換されたかどうかを確認するために、暗号化チップ１３内の暗号鍵とＨＤＤ１６内の暗号化データの整合性が取れるかどうかを確認する。

ステップ１０１で、部品交換判定部２４は、データ入出力部２３に、ＨＤＤ１６の特定の領域のデータ読み込みを指示する。更にデータ入出力部２３は、暗号化チップ１３に該当のデータ読込を要求する。データ暗号部３２はＨＤＤ１６から指定された領域のデータを読み込み、暗号鍵管理部３１の管理する暗号鍵を用いて復号したのちデータ入出力部２３へデータを渡す。データ入出力部２３は、データを部品交換判定部２４に受け渡す。部品交換判定部２４は、予め決められた既知のデータとデータ入出力部２３から受信したデータとを比較する（Ｓ１０２）。一致すれば、正しく復号できており暗号鍵と暗号化データの整合性が取れているためコントローラボードは交換されていないと判定する。一致しなければ、正しく復号できておらず暗号鍵と暗号化データの整合性が取れないため、暗号鍵が変更された、すなわちコントローラボードが交換されたと判定する。尚、前述のデータ比較を行うために、部品交換判定部２４は予めＨＤＤ１６フォーマット時などにＨＤＤ１６の特定領域に決められた既知のデータを書き込んでおくこととする。その際にも既知のデータは暗号化チップ１３のデータ暗号部３２によって暗号化された状態でＨＤＤ１６に格納される。ここでは、暗号鍵と暗号化データの整合性が取れるか否かでコントローラボード１７が交換されたかどうかを判定したが、部品交換を判定するその他の方法でもよい。

ステップ１０２において、データが一致するため部品交換判定部２４がコントローラボード１７は交換されていないと判断した場合、情報処理装置１０はステップ１０７に進み暗号化チップ１３に格納されている暗号鍵のバックアップ処理を実施する。

具体的には、まず、部品交換判定部２４は不揮発メモリ１４を含む部品が交換されたかどうかを確認するため、不揮発メモリ１４に格納されたバックアップ暗号鍵と暗号化チップ１３の暗号鍵との整合が取れるかどうかを確認する。ステップ１０７において部品交換判定部２４はデータ入出力部２３に暗号化チップ１３からの暗号鍵取得を要求し、バックアップ用の暗号鍵を取得する。また、部品交換判定部２４は、暗号鍵復旧部２２から不揮発メモリ１４に格納されたバックアップ暗号鍵の取得を要求し、格納済バックアップ暗号鍵を取得する。部品交換判定部２４は暗号化チップ１３から取得したバックアップ用の暗号鍵と格納済バックアップ暗号鍵の比較を行う（Ｓ１０８）。両者が一致すれば不揮発メモリ１４を含む部品の交換は行われておらず、バックアップ処理は不要としてバックアップ処理を行わず、情報処理装置１０は起動処理を継続する（Ｓ１１４）。

Ｓ１０８の判定の結果、両者が一致しなければ、不揮発メモリ１４を含む部品が交換されたと判定し、暗号化チップに格納されている鍵を交換後の部品に含まれる不揮発メモリにバックアップすべく、ステップＳ１０９〜Ｓ１１１の処理を行う。

具体的には、まず、部品交換判定部２４は、ステップＳ１０７で暗号化チップ１３から取得したバックアップ用の暗号鍵を交換後の部品に含まれる不揮発メモリにバックアップするよう、暗号鍵復旧部２２に指示する。ステップ１０９において、暗号鍵復旧部２２は、情報処理装置１０の識別情報（例えばシリアル番号）を取得する。次にステップ１１０において、暗号鍵復旧部２２はデータ入出力部２３に接続されているＨＤＤ１６の識別情報の取得を要求し、ＨＤＤ１６の識別情報を取得する。

ステップＳ１１１において、暗号鍵復旧部２２は、ステップ１０７で取得したバックアップ用の暗号鍵に情報処理装置１０の識別情報及びＨＤＤ１６の識別情報を紐づけて不揮発メモリ１４に格納する。その後、情報処理装置１０は起動処理を継続する（Ｓ１１４）。ここで、識別情報はそのままバックアップ用の暗号鍵と共に保存してもよいが、識別情報を基に算出したハッシュ等の値をバックアップ用の鍵と共に保存してもよい。

尚、ステップ１０７において、格納済バックアップ暗号鍵が存在しない場合は、部品交換判定部２４は不揮発メモリ１４が交換されたと判断し、暗号鍵をバックアップするためステップ１０９に進む。ここでは、暗号化チップ１３内の暗号鍵と格納済バックアップ暗号鍵が一致するか否かで不揮発メモリ１４が交換されたかどうかを判定したが、部品交換を判定するその他の方法でもよい。

ステップ１０２において、データが一致せず部品交換判定部２４がコントローラボード１７は交換されたと判断した場合、情報処理装置１０はステップ１０３に進み暗号鍵のリストア処理を実施する。ステップ１０３において、まず暗号鍵復旧部２２が、不揮発メモリ１４に格納されているバックアップ暗号鍵を取得し、バックアップ暗号鍵の正当性を確認する。暗号鍵復旧部２２は情報処理装置１０の識別情報及び、データ入出力部２３に接続されているＨＤＤ１６の識別情報を取得し、バックアップ暗号鍵と共に不揮発メモリ１４に保存された識別情報と比較を行う（Ｓ１０４）。識別情報が全て一致すれば暗号鍵復旧部２２はバックアップ暗号鍵が正当であると判断し、バックアップ暗号鍵を、交換後の部品に含まれる暗号化チップにリストアするよう、データ入出力部２３に要求する（Ｓ１０６）。

具体的には、まず、ステップＳ１０６において、データ入出力部２３は、不揮発メモリ１４から取得したバックアップ暗号鍵を暗号化チップ１３に設定する。これを受けて、暗号化チップ１３の暗号鍵管理部３１は、データ入出力部２３により設定されたバックアップ暗号鍵を新たな暗号鍵として格納する。

ステップ１１２において、情報処理装置１０は、再度ステップ１０１と同様に、ＨＤＤ１６の特定の領域のデータ読み込みを行い、予め決められた既知のデータと比較する（Ｓ１１３）。

データが一致しなければ、ＵＩ１５にＨＤＤ１６のデータ読込エラーを表示し、本フローチャートの処理を終了する（Ｓ１０５）。ステップ１１３の比較の結果、既知のデータに一致した場合、以降では、情報処理装置１０はデータ暗号化や復号には置き換えられた暗号鍵（リストアされた暗号鍵）を利用し、起動処理を継続する（Ｓ１１４）。

ステップ１０４において、識別情報が一致せず、暗号鍵復旧部２２が不揮発メモリ１４に格納されたバックアップ暗号鍵は正当でないと判断した場合、暗号鍵のリストア処理をスキップし、ステップＳ１０５に進む。ステップＳ１０５では、ＵＩ制御部２１は、ＵＩ１５にＨＤＤ１６のデータ読込エラーを表示し、処理を完了する（Ｓ１０５）。尚、情報処理装置１０がＨＤＤ１６に格納されたデータを読み出せなくとも動作可能な場合は、縮退モードで起動してもよい。

以上により、本実施形態の情報処理装置１０では、暗号鍵を含む部品が交換されたと判定された場合には、バックアップ暗号鍵を交換後の部品にリストアする。また本実施形態の情報処理装置は、バックアップ暗号鍵を含む部品が交換されたと判定された場合は、暗号鍵を交換後の部品にバックアップする。このようなバックアップおよびリストア処理を起動時に自動的に行うことで、ユーザに手間をかけることなく、暗号鍵のバックアップ及びリストアが可能となり、ユーザの利便性を向上することができる。

更に、情報処理装置１０の識別情報やＨＤＤ１６の識別情報を用いてバックアップ暗号鍵の正当性を確認することで、誤って暗号鍵をリストアすることを防止できる。

（他の実施形態）
なお、上記した実施形態では、１台の装置に適用する例について説明したが、複数の装置（例えばホストコンピュータ、インターフェース機器、リーダ、プリンタなど）から構成されるシステムに適用してもよい。

また、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記録媒体を、システムあるいは装置に供給するよう構成することによっても達成されることはいうまでもない。この場合、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムコードを読出し実行することにより、上記機能が実現されることとなる。なお、この場合、そのプログラムコードを記憶した記録媒体は本発明を構成することになる。

プログラムコードを供給するための記録媒体としては、例えば、フロッピ（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどを用いることができる。

また、コンピュータが読出したプログラムコードを実行することにより、前述した実施形態の機能が実現される場合に限られない。例えば、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）などが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記録媒体から読出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、前述した実施形態の機能が実現される場合も含まれる。つまり、プログラムコードがメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって実現される場合も含まれる。

１０ 情報処理装置
１１ ＣＰＵ
１２ ＲＡＭ
１３ 暗号化チップ
１４ 不揮発メモリ
１５ ＵＩ
１６ ＨＤＤ
１７ コントローラボード
２０ 情報処理制御プログラム
２１ ＵＩ制御部
２２ 暗号鍵復旧部
２３ データ入出力部
３１ 暗号鍵管理部
３２ データ暗号部

Claims (9)

1. 暗号鍵と、前記暗号鍵のバックアップであるバックアップ暗号鍵をそれぞれ異なる部品に格納し、前記暗号鍵で暗号化されたデータを記憶装置に書き込むことが可能な情報処理装置であって、
   前記暗号鍵を用いて、前記記憶装置に記憶されているデータが正しく復号できるか否かを確認することにより、前記暗号鍵が格納された第１部品が交換されたか否かを判定する第１判定手段と、
   前記第１判定手段において、前記暗号鍵が格納された第１部品が交換されていないと判定された場合、前記情報処理装置の識別情報とともに、前記暗号鍵をバックアップ暗号鍵として第２部品にバックアップするバックアップ手段と、
   前記第１判定手段において、前記暗号鍵が格納された第１部品が交換されていると判定された場合、前記情報処理装置の識別情報と前記第２部品から取得した識別情報とが一致するかを確認することにより、前記バックアップ暗号鍵が格納された第２部品が交換されたか否かを判定する第２判定手段と、
   前記第２判定手段において、前記バックアップ暗号鍵が格納された第２部品が交換されていないと判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記第１部品にリストアするリストア手段を有し、
   前記第２判定手段において、前記バックアップ暗号鍵が格納された第２部品が交換されていると判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記第１部品にリストアしないことを特徴とする情報処理装置。
2. 前記バックアップ暗号鍵は、前記暗号鍵、もしくは前記暗号鍵を生成するために必要な情報から構成されることを特徴とする請求項１に記載の情報処理装置。
3. 前記第１判定手段は、起動時に前記判定を行うことを特徴とする請求項１又は請求項２に記載の情報処理装置。
4. 前記第１判定手段において、前記暗号鍵が格納された第１部品が交換されていないと判定された場合、前記暗号鍵と、前記第２部品に格納されているバックアップ暗号鍵とが一致するかを確認することにより、前記第２部品が交換されたか否かを判定する第３判定手段を有し、
   前記第３の判定手段において、前記第２部品が交換されたと判定された場合に、前記バックアップ手段は、前記情報処理装置の識別情報とともに、前記暗号鍵をバックアップ暗号鍵として第２部品にバックアップし、
   前記第３の判定手段において、前記第２部品が交換されていないと判定された場合は、前記暗号鍵をバックアップ暗号鍵として第２部品にバックアップしないことを特徴とする請求項１乃至３の何れか１項に記載の情報処理装置。
5. 記憶装置と、
   暗号鍵を格納し、前記記憶装置に書き込むデータに対して該暗号鍵を用いて暗号化処理を施す暗号化チップと、
   前記暗号鍵をバックアップするための不揮発メモリと、
   前記暗号鍵を用いて、前記記憶装置に記憶されているデータが正しく復号できるか否かを確認することにより、前記暗号化チップを含む第１部品が交換されたか否かを判定し、
   前記暗号化チップを含む第１部品が交換されていないと判定された場合、前記情報処理装置の識別情報とともに、前記暗号鍵をバックアップ暗号鍵として、前記不揮発メモリにバックアップをし、
   前記暗号化チップを含む第１部品が交換されていると判定された場合、前記情報処理装置の識別情報と前記第２部品から取得した識別情報とが一致するかを確認することにより、前記不揮発メモリを含む第２部品が交換されたか否かを判定し、
   前記不揮発メモリを含む第２部品が交換されていないと判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記暗号化チップにリストアし、
   前記不揮発メモリを含む第２部品が交換されていると判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記暗号化チップにリストアしないように制御する制御手段と、
   を備えたことを特徴とする情報処理装置。
6. 前記不揮発メモリにバックアップされる暗号鍵は、前記暗号鍵、もしくは、前記暗号鍵の生成に関連する情報から構成されることを特徴とする請求項５に記載の情報処理装置。
7. 前記暗号化チップを含む第１部品が交換されたか否かの判定は、起動時に行うことを特徴とする請求項５又は請求項６に記載の情報処理装置。
8. 前記制御手段は、前記暗号化チップを含む第１部品が交換されていないと判定された場合、前記暗号鍵と、前記不揮発性メモリに格納されているバックアップ暗号鍵とが一致するかを確認することにより、前記不揮発性メモリを含む第２部品が交換されたか否かを判定し、
   前記不揮発性メモリを含む第２部品が交換されたと判定された場合に、前記情報処理装置の識別情報とともに、前記暗号鍵をバックアップ暗号鍵として前記不揮発性メモリにバックアップし、
   前記不揮発性メモリを含む第２部品が交換されていないと判定された場合は、前記暗号鍵をバックアップ暗号鍵として前記不揮発性メモリにバックアップしないことを特徴とする請求項５乃至７の何れか１項に記載の情報処理装置。
9. 暗号鍵と、前記暗号鍵のバックアップであるバックアップ暗号鍵をそれぞれ異なる部品に格納し、前記暗号鍵で暗号化されたデータを記憶装置に書き込むことが可能な情報処理装置の制御方法であって、
   前記暗号鍵を用いて、前記記憶装置に記憶されているデータが正しく復号できるか否かを確認することにより、前記暗号鍵が格納された第１部品が交換されたか否かを判定する第１判定ステップと、
   前記第１判定ステップで、前記暗号鍵が格納された第１部品が交換されていないと判定された場合、前記情報処理装置の識別情報とともに、前記暗号鍵をバックアップ暗号鍵として第２部品にバックアップするバックアップステップと、
   前記第１判定ステップで、前記暗号鍵が格納された第１部品が交換されていると判定された場合、前記情報処理装置の識別情報と前記第２部品から取得した識別情報とが一致するかを確認することにより、前記バックアップ暗号鍵が格納された第２部品が交換されたか否かを判定する第２判定ステップと、
   前記第２判定ステップで、前記バックアップ暗号鍵が格納された第２部品が交換されていないと判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記第１部品にリストアするリストアステップを有し、
   前記第２判定ステップで、前記バックアップ暗号鍵が格納された第２部品が交換されていると判定された場合、前記暗号鍵をバックアップ暗号鍵として、前記第１部品にリストアしないことを特徴とする制御方法。

Images