JP6547306B2

JP6547306B2 - 情報処理装置、データ退避方法およびプログラム

Info

Publication number: JP6547306B2
Application number: JP2015013762A
Authority: JP
Inventors: 篤竹下
Original assignee: Fuji Xerox Co Ltd; Fujifilm Business Innovation Corp
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2015-01-27
Filing date: 2015-01-27
Publication date: 2019-07-24
Anticipated expiration: 2035-01-27
Also published as: CN105825150B; JP2016139275A; US20160216901A1; US10216457B2; CN105825150A

Description

本発明は、情報処理装置、データ退避方法およびプログラムに関する。

情報処理装置には、ハイバネーションと呼ばれる機能を有するものがある。ハイバネーションは、情報処理装置の電源を切る際に、メイン・メモリに記憶されているメモリ・イメージ等、情報処理装置の動作状態を示す情報を不揮発性記憶装置に保存し、次の起動時に、不揮発性記憶装置に保存されている情報に基づいて、電源を切る前の情報処理装置の動作状態を復元する機能である（例えば、特許文献１参照）。ハイバネーションの機能を用いて情報処理装置の電源が切られた状態（電源を切る前の情報処理装置の動作状態の情報が保存されており、次の起動時に電源を切る前の動作状態を復元可能な状態）を休止状態と呼ぶ。

特開２０１０−２６７２４６号公報

休止状態へ移行した情報処理装置においては、電源を切る前の情報処理装置の動作状態の情報（以下、復元情報と呼ぶ）が不揮発性記憶装置に保存されている。そのため、この不揮発性記憶装置に保存されている復元情報の中から、電源を切る前の情報処理装置により扱われていた情報を取得可能な場合がある。
本発明は、休止状態へ移行した不揮発性記憶装置に保存された情報の安全性の向上を図ることを目的とする。

請求項１に記載の発明は、
メモリに保持されている情報を不揮発性の記憶装置に記憶させ、起動時に、当該不揮発性の記憶装置に記憶されている情報に基づいて電源を切断する前の状態に復帰させる制御部と、
前記不揮発性の記憶装置であって、前記メモリに保持されていた情報のうち、少なくとも一部の情報を記憶する第１記憶部と、
前記不揮発性の記憶装置であって、前記メモリに保持されていた情報のうち、前記第１記憶部に記憶される情報とは異なる情報を記憶する第２記憶部と、
前記メモリに保持されている情報を、予め定められた条件に基づいて機密情報とその他の一般情報とに仕分ける仕分け部と、を備え、
前記制御部は、前記仕分け部による仕分けにしたがって、前記一般情報を前記第１記憶部に記憶させ、前記機密情報を前記第２記憶部に記憶させ、
前記仕分け部は、前記メモリに読み込まれたファイルが当該メモリに読み込まれる前に格納されていた場所に基づいて、当該ファイルが保護措置の取られたファイルと判別した場合に、当該ファイルを読み込んで得られた情報を機密情報と判別し、
前記第２記憶部は、記憶した情報に対する保護措置が取られた記憶装置であることを特徴とする、情報処理装置である。
請求項２に記載の発明は、
前記仕分け部は、前記メモリに保持されている情報を、当該情報を扱う実行プログラムに対して与えられた条件に基づいて、機密情報と一般情報とに仕分けることを特徴とする、請求項１に記載の情報処理装置である。
請求項３に記載の発明は、
前記制御部は、前記機密情報を、さらに複数の部分に分割し、当該機密情報の一部と前記一般情報とを前記第１記憶部に記憶させ、当該機密情報の他の部分を前記第２記憶部に記憶させること、
を特徴とする、請求項１または２に記載の情報処理装置である。
請求項４に記載の発明は、
コンピュータが、
電源を切断する際に、メモリに読み込まれたファイルが当該メモリに読み込まれる前に格納されていた場所に基づいて、当該ファイルが保護措置の取られたファイルと判別した場合に、当該ファイルを読み込んで得られた情報を機密情報と判別することで、当該メモリに保持されている情報を機密情報とその他の一般情報とに仕分け、
前記情報の仕分けにしたがって、前記一般情報を、第１不揮発性記憶装置に保存し、
前記情報の仕分けにしたがって、前記機密情報を、記憶した情報に対する保護措置が取られた記憶装置である第２不揮発性記憶装置に保存すること、
を特徴とする、データ退避方法である。
請求項５に記載の発明は、
電源を切断する際に、メモリに保持されている情報を不揮発性の記憶装置に退避させる機能を備えたコンピュータに、
前記メモリに読み込まれたファイルが当該メモリに読み込まれる前に格納されていた場所に基づいて、当該ファイルが保護措置の取られたファイルと判別した場合に、当該ファイルを読み込んで得られた情報を機密情報と判別することで、当該メモリに保持されている情報を機密情報とその他の一般情報とに仕分ける処理と、
前記情報の仕分けにしたがって、前記一般情報を、第１不揮発性記憶装置に保存する処理と、
前記情報の仕分けにしたがって、前記機密情報を、記憶した情報に対する保護措置が取られた記憶装置である第２不揮発性記憶装置に保存する処理と、
を含むことを特徴とする、プログラムである。

請求項１の発明によれば、メモリに保持されていた情報が、メモリに読み込まれる前にメモリとは異なる場所に格納されていたファイルに係る情報である場合であっても、メモリに保持されていた情報を、機密情報と一般情報とに機械的に仕分けることができる。
請求項２の発明によれば、メモリに保持されていた情報を、機密情報と一般情報とに機械的に仕分けることができる。
請求項３の発明によれば、メモリに保持されていた情報を機密情報と一般情報とに仕分け、さらに機密情報を分割して第１記憶部と第２記憶部とに分けて保存することにより、一般情報が保存された記憶部からは機密情報の全部を取得することができない。これにより、情報の保護を向上させることができる。
請求項４の発明によれば、メモリに保持されていた情報が、メモリに読み込まれる前にメモリとは異なる場所に格納されていたファイルに係る情報である場合であっても、メモリに保持されていた情報を、機密情報と一般情報とに機械的に仕分けることができる。
請求項５の発明によれば、メモリに保持されていた情報が、メモリに読み込まれる前にメモリとは異なる場所に格納されていたファイルに係る情報である場合であっても、メモリに保持されていた情報を、機密情報と一般情報とに機械的に仕分けることができる。

本実施形態が適用される情報処理装置の全体構成例を示す図である。仕分け部および保存制御部の動作を説明するフローチャートである。

以下、添付図面を参照して、本発明の実施形態について詳細に説明する。
＜システム構成＞
図１は、本実施形態が適用される情報処理装置の全体構成例を示す図である。
本実施形態による情報処理装置は、長時間使用されない場合に、ハイバネーション機能（休止状態へ移行する機能）を有する。本実施形態は、例えば、パーソナル・コンピュータ、プリンタやコピー機等の画像形成装置、その他の様々な情報処理装置に対して適用可能である。

図１に示すように、本実施形態が適用される情報処理装置１００は、記憶手段として、メイン・メモリ１１０と、第１不揮発性記憶装置１２０と、第２不揮発性記憶装置１３０とを備える。また、制御手段として、処理装置１４０とを備える。処理装置１４０は、例えばＣＰＵ（Central Processing Unit）で実現され、メイン・メモリ１１０に読み込まれたプログラムを実行することにより、種々の機能を実現する。本実施形態において、処理装置１４０は、仕分け部１４１、保存制御部１４２および復帰制御部１４３として機能する。本実施形態において、情報処理装置１００が休止状態に移行する際に、メイン・メモリ１１０に保持されている情報は、一の種類の情報と他の種類の情報に仕分けられ、第１不揮発性記憶装置１２０と第２不揮発性記憶装置１３０とに分けて保存される。

なお、図１には、情報処理装置１００の構成のうち、本実施形態を実現する構成のみを記載している。実際には、情報処理装置１００の種類に応じて図１に示す以外に種々の構成が存在する。例えば、情報処理装置１００がパーソナル・コンピュータである場合は、ディスプレイ装置にテキストや画像等の情報を表示させるための画像表示制御手段や、キーボード、マウス等の入力装置を用いた入力を受け付けるための受け付け手段等を備える。また、情報処理装置１００が画像形成装置である場合は、用紙等の媒体に画像を形成するための画像形成エンジンや、装置内部で媒体を搬送するための搬送機構等を備える。

メイン・メモリ１１０は、電源が切断されると記憶内容が消失する揮発性のメモリである。メイン・メモリ１１０には、例えばＲＡＭ（Random Access Memory）が用いられる。このメイン・メモリ１１０には、処理装置１４０が実行するプログラム（プロセス）が保持される。プログラムは、磁気ディスク装置等の外部記憶装置に格納されており、この外部記憶装置からメイン・メモリ１１０にコピーされた後に、処理装置１４０により実行される。また、メイン・メモリ１１０は、処理装置１４０が演算処理を行う場合に、処理の過程で一時的に生成されるデータを保持する作業用メモリとしても用いられる。メイン・メモリ１１０に保持されているプログラム・コードやデータ等の情報は、情報処理装置１００が休止状態へ移行する際に、復元情報（ハイバネーション・イメージ）として不揮発性記憶装置に退避される対象となる。

第１不揮発性記憶装置１２０は、情報処理装置１００が休止状態へ移行する際に、メイン・メモリ１１０から取得された復元情報が保存される、第１記憶部としての記憶装置である。第１不揮発性記憶装置１２０には、例えば、磁気ディスク装置（ＨＤＤ：Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュ・メモリ等の不揮発性記憶装置が用いられる。第１不揮発性記憶装置１２０としては、上記のプログラムを格納した外部記憶装置を用いても良い。後述するように、第１不揮発性記憶装置１２０に保存される復元情報は、本実施形態で機密性が高くないと判断される情報（以下、一般情報とも呼ぶ）である。

第２不揮発性記憶装置１３０は、情報処理装置１００が休止状態へ移行する際に、メイン・メモリ１１０から取得された復元情報が保存される、第２記憶部としての記憶装置である。第２不揮発性記憶装置１３０には、例えば、磁気ディスク装置（ＨＤＤ：Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュ・メモリ等の不揮発性記憶装置が用いられる。ただし、第１不揮発性記憶装置１２０と異なり、第２不揮発性記憶装置１３０には、記憶している情報の機密性に関する保護手段が設けられている。具体的には、第２不揮発性記憶装置１３０として、例えば、暗号化機能やパスワード・ロック機能を有する記憶装置、オン・ボード・メモリ（基板に直付けされたメモリ）等、不正な読み出しに対する安全性を高める措置が施された不揮発性記憶装置が用いられる。このような安全性の高い不揮発性記憶装置を第２不揮発性記憶装置１３０として用いることにより、第２不揮発性記憶装置１３０が不正に取り外された場合であっても、取り外された第２不揮発性記憶装置１３０に格納されている情報を不正に読み出されることはない。また、第２不揮発性記憶装置１３０がオン・ボード・メモリであれば、そのオン・ボード・メモリを取り外すこと自体が困難である。当然ながら、第２不揮発性記憶装置１３０を実現する記憶装置に対して複数の安全性を高める措置を組み合わせて適用しても良い。後述するように、第２不揮発性記憶装置１３０に保存される復元情報は、本実施形態で機密性が高いと判断される情報（以下、機密情報とも呼ぶ）である。

仕分け部１４１は、情報処理装置１００が休止状態へ移行する際に、メイン・メモリ１１０から復元情報となるプログラム・コードやデータを取得する。そして、仕分け部１４１は、取得した個々の復元情報（プログラム・コードやデータ）を、第１不揮発性記憶装置１２０に保存する復元情報と第２不揮発性記憶装置１３０に保存する復元情報とに仕分ける。ここで、仕分け部１４１は、取得した復元情報のうち、機密性の高いデータを含む復元情報（機密情報）の保存先を第２不揮発性記憶装置１３０とし、その他の復元情報（一般情報）の保存先を第１不揮発性記憶装置１２０とする。言い換えれば、仕分け部１４１は、メイン・メモリ１１０から取得した復元情報が、機密情報か、一般情報かを判別する。

仕分け部１４１は、メイン・メモリ１１０から取得した復元情報に含まれるデータが機密性の高いデータか否かの判別を、例えば、各々のデータを扱うプロセス（実行プログラム）が、下記に例示するような特定の条件に該当するか否かを判定することにより行う。
（１）プロセスが、メモリにロックされている。
（２）プロセスが、保護措置が取られたファイルを読み込んでいる。
（３）プロセスが、データの保護に関する特定の権限を持つ。

（１）の「プロセスが、メモリにロックされている」とは、プロセスに割り当てられた仮想アドレス空間のページを物理メモリ（メイン・メモリ１１０）上にロックすることを言う。この機能は、例えば、Linux（登録商標）等の種々のＯＳ（Operating System）で用意される「mlock」等のシステムコールを用いて実現される。物理メモリにロックされたページに書き込まれているデータは、物理メモリから退避されることはない。そのため、これらのデータを重要度の高いデータであると仮定して、本実施形態において仕分け部１４１は、機密性の高いデータと判別する。これは、プロセスに与えられた条件に基づく判別である。プロセスがメモリにロックされているか否かは、例えば、プロセスの管理構造体またはページ管理構造体のフラグを参照することで判別することができる。

（２）の「プロセスが、保護措置が取られたファイルを読み込んでいる」とは、プロセスにおいてメイン・メモリ１１０へ読み込まれたデータが、何らかの保護措置が取られたファイルであったことを言う。具体的には、例えば、暗号化されたファイルシステム（暗号化ファイルシステム）上のファイル、暗号化されたメモリ・デバイスから読み込まれたファイル、Linuxで用いられるSELinux（Security-Enhanced Linux）の特定のポリシーによって保護されたファイル等が該当する。本実施形態において仕分け部１４１は、これらの保護措置が取られたファイルを機密性の高いデータと判別する。これは、メイン・メモリ１１０に読み込まれる前のファイルの格納場所に基づく判別である。なお、上記の各措置は、保護措置の例に過ぎず、本実施形態で機密性の高いデータとして判別されるファイルを、上記の具体的措置が取られたファイルのみに限定するものではない。保護措置が取られたファイルか否かは、例えば、情報処理装置のプロセス管理モジュールに問い合わせることで判別することができる。

（３）の「プロセスが、データの保護に関する特定の権限を持つ」において、「特定の権限」とは、例えば、Linuxカーネル・ケーパビリティ等のPOSIX Capabilityによる権限等が該当する。本実施形態において仕分け部１４１は、このような特定の権限を持ったプロセスにおいてメイン・メモリ１１０へ読み込まれたデータを、機密性の高いデータと判別する。これは、プロセスに与えられた条件に基づく判別である。特定の権限を持ったプロセスか否かは、例えば、プロセスの管理構造体やページ管理構造体のフラグ等を参照することで判別することができる。

本実施形態では、上記のように、特定の条件に該当するプロセスによりメイン・メモリ１１０へ読み込まれたデータを、機密性の高いデータと判別し、この機密性の高いデータを含む復元情報（機密情報）の保存先を第２不揮発性記憶装置１３０とする。そして、その他の復元情報（一般情報）の保存先を第１不揮発性記憶装置１２０とする。なお、上記に特定の条件の例を示したが、特定の条件として適用する具体的な条件は、上記の例に限定するものではない。

保存制御部１４２は、情報処理装置１００が休止状態へ移行する際に、メイン・メモリ１１０からプログラム・コードやデータを読み出し、復元情報として不揮発性記憶装置に記憶（退避）させる。本実施形態において、この制御部としての保存制御部１４２は、仕分け部１４１による仕分けにしたがって、メイン・メモリ１１０から取得した復元情報のうちの機密情報を、第２不揮発性記憶装置１３０に保存する。また、保存制御部１４２は、メイン・メモリ１１０から取得した復元情報のうち、機密情報以外の一般情報を、第１不揮発性記憶装置１２０に保存する。

復帰制御部１４３は、情報処理装置１００が休止状態から起動する際に、第１不揮発性記憶装置１２０および第２不揮発性記憶装置１３０に保存されている復元情報を読み出し、メイン・メモリ１１０に書き込む。この制御部としての復帰制御部１４３の機能により、情報処理装置１００は、休止状態へ移行する前の状態に復帰する。

＜仕分け部および保存制御部の動作＞
図２は、仕分け部１４１および保存制御部１４２の動作（データ退避方法）を説明するフローチャートである。
図２に示すように、情報処理装置１００の処理装置１４０は、休止状態への移行条件が成立すると（Ｓ２０１）、メイン・メモリ１１０に保持されている復元情報としてのプログラム・コードやデータを読み出す（Ｓ２０２）。なお、休止状態への移行条件は、予め設定された時間、情報処理装置１００に対して何らの操作も行われなかった場合等、既存のハイバネーション技術において移行条件として用いられる条件を適用して良い。

次に、処理装置１４０の仕分け部１４１が、Ｓ２０２で取得した復元情報に対して、機密情報か否かを判別する（Ｓ２０３）。そして、仕分け部１４１により機密情報であると判別された場合（Ｓ２０３でＹｅｓ）、処理装置１４０の保存制御部１４２が、その復元情報（機密情報）を第２不揮発性記憶装置１３０に保存する（Ｓ２０４）。一方、仕分け部１４１により一般情報であると判別された場合（Ｓ２０３でＮｏ）、保存制御部１４２が、その復元情報（一般情報）を第１不揮発性記憶装置１２０に保存する（Ｓ２０５）。

＜変形例＞
次に、本実施形態の変形例について説明する。
上記の実施形態において、保存制御部１４２は、仕分け部１４１により機密情報と判別された復元情報を、第２不揮発性記憶装置１３０に保存した。これに対し、保存制御部１４２は、機密情報を、第１不揮発性記憶装置１２０と第２不揮発性記憶装置１３０とに分けて保存するようにしても良い。

機密情報を第１不揮発性記憶装置１２０と第２不揮発性記憶装置１３０とに分けて保存する場合、保存制御部１４２は、少なくとも、第１不揮発性記憶装置１２０に保存する機密情報に対しては、不可逆な状態まで情報量を減らすように分割する。このようにすれば、第１不揮発性記憶装置１２０に保存された復元情報のみから機密情報を復元することはできない。したがって、機密情報の機密性は保たれる。なお、第１不揮発性記憶装置１２０に保存される機密情報の部分に関しては、暗号化やパスワードによるアクセス制御等の保護措置を行って第１不揮発性記憶装置１２０に記憶させるようにしても良い。

上記のような機密情報の分割は、例えば、機密情報のデータ量が大きく、第２不揮発性記憶装置１３０の記憶容量を超える場合や一定の閾値を超える場合に行う。また、機密情報のデータ量に関わらず、機密情報を、不可逆な状態となるまで情報量を減らすように分割し、不可逆となった機密情報の部分を第１不揮発性記憶装置１２０に保存し、他の機密情報の部分を第２不揮発性記憶装置１３０に保存するようにしても良い。

１００…情報処理装置、１１０…メイン・メモリ、１２０…第１不揮発性記憶装置、１３０…第２不揮発性記憶装置、１４０…処理装置、１４１…仕分け部、１４２…保存制御部、１４３…復帰制御部

Claims

メモリに保持されている情報を不揮発性の記憶装置に記憶させ、起動時に、当該不揮発性の記憶装置に記憶されている情報に基づいて電源を切断する前の状態に復帰させる制御部と、
前記不揮発性の記憶装置であって、前記メモリに保持されていた情報のうち、少なくとも一部の情報を記憶する第１記憶部と、
前記不揮発性の記憶装置であって、前記メモリに保持されていた情報のうち、前記第１記憶部に記憶される情報とは異なる情報を記憶する第２記憶部と、
前記メモリに保持されている情報を、予め定められた条件に基づいて機密情報とその他の一般情報とに仕分ける仕分け部と、を備え、
前記制御部は、前記仕分け部による仕分けにしたがって、前記一般情報を前記第１記憶部に記憶させ、前記機密情報を前記第２記憶部に記憶させ、
前記仕分け部は、前記メモリに読み込まれたファイルが当該メモリに読み込まれる前に格納されていた場所に基づいて、当該ファイルが保護措置の取られたファイルと判別した場合に、当該ファイルを読み込んで得られた情報を機密情報と判別し、
前記第２記憶部は、記憶した情報に対する保護措置が取られた記憶装置であることを特徴とする、情報処理装置。
前記仕分け部は、前記メモリに保持されている情報を、当該情報を扱う実行プログラムに対して与えられた条件に基づいて、機密情報と一般情報とに仕分けることを特徴とする、請求項１に記載の情報処理装置。
前記制御部は、前記機密情報を、さらに複数の部分に分割し、当該機密情報の一部と前記一般情報とを前記第１記憶部に記憶させ、当該機密情報の他の部分を前記第２記憶部に記憶させること、
を特徴とする、請求項１または２に記載の情報処理装置。
コンピュータが、
電源を切断する際に、メモリに読み込まれたファイルが当該メモリに読み込まれる前に格納されていた場所に基づいて、当該ファイルが保護措置の取られたファイルと判別した場合に、当該ファイルを読み込んで得られた情報を機密情報と判別することで、当該メモリに保持されている情報を機密情報とその他の一般情報とに仕分け、
前記情報の仕分けにしたがって、前記一般情報を、第１不揮発性記憶装置に保存し、
前記情報の仕分けにしたがって、前記機密情報を、記憶した情報に対する保護措置が取られた記憶装置である第２不揮発性記憶装置に保存すること、
を特徴とする、データ退避方法。
電源を切断する際に、メモリに保持されている情報を不揮発性の記憶装置に退避させる機能を備えたコンピュータに、
前記メモリに読み込まれたファイルが当該メモリに読み込まれる前に格納されていた場所に基づいて、当該ファイルが保護措置の取られたファイルと判別した場合に、当該ファイルを読み込んで得られた情報を機密情報と判別することで、当該メモリに保持されている情報を機密情報とその他の一般情報とに仕分ける処理と、
前記情報の仕分けにしたがって、前記一般情報を、第１不揮発性記憶装置に保存する処理と、
前記情報の仕分けにしたがって、前記機密情報を、記憶した情報に対する保護措置が取られた記憶装置である第２不揮発性記憶装置に保存する処理と、
を含むことを特徴とする、プログラム。