JP7528720B2 - 記憶装置 - Google Patents

Description

本発明は、記憶装置に関する。

近年、ＵＳＢメモリ、ＳＤカードメモリ、ＵＳＢハードディスク等などの記憶媒体の大容量化が著しい。このような大容量の記憶媒体は、例えば、情報処理装置（例えば、パーソナルコンピュータ）からデータを取り出したり、ネットワークに接続されていない複数の情報処理装置の間でデータをやり取りしたりする際に用いられる。

ここで、ウイルスに感染した記憶媒体が情報処理装置に装着されると、情報処理装置がウイルスに感染する可能性が考えられる。以下の特許文献１には、情報処理装置と記憶媒体との間に、記憶媒体に記憶された内容を消去してから、情報処理装置から記憶媒体へのアクセスを可能にする消去装置を介在させることで、ウイルスの感染を防止する発明が開示されている。

国際公開第２０１７／１８８１３７号

ところで、上述した特許文献１に開示された消去装置は、記憶媒体に記憶された内容を消去してから、情報処理装置から記憶媒体へのアクセスを可能とするものである。このため、例えば、ある情報処理装置によって記憶媒体に書き込まれたデータを他の情報処理装置が読み取る場合には、記憶媒体を、直接（消去装置を介在させることなく）他の情報処理装置に接続しなければならず、安全性が確保できているとは言い難い。

本発明は、このような事情に鑑みてなされたもので、その目的は、記憶媒体からデータを読み取る際のデータの安全性を確保することができる記憶装置を提供することである。

（１）本発明の一態様は、情報機器に着脱可能なコネクタを備える記憶装置であって、記憶媒体と、前記記憶媒体内のデータの消去と、前記情報機器による前記記憶媒体に対するデータの書き込み及び読み出しとを制御する制御装置と、を備え、前記制御装置は、入力される認証情報と、前記記憶装置内に設定されている認証情報と、が一致した場合には前記読み出しを許可する読出許可部と、前記記憶媒体内のデータの消去又は書き込みが行われるごとに、前記記憶装置内において設定されている前記認証情報を変更する認証情報設定部と、を備える記憶装置である。

（２）上記（１）の記憶装置であって、前記制御装置は、ユーザの操作に応じて前記記憶媒体内のデータの消去を指示する消去指示部と、前記情報機器に前記記憶装置が接続された接続状態において前記消去指示部からの指示があった場合に、前記記憶媒体内のデータを消去するデータ消去部と、前記データ消去部により前記記憶媒体内のデータが消去され、且つ、前記接続状態が継続されている場合に前記書き込みを許可する書込許可指示部と、を更に備えてもよい。

（３）上記（１）又は上記（２）の記憶装置であって、前記記憶媒体及び前記制御装置は、前記記憶装置から取り外しが不可能な状態で前記記憶装置に内蔵されている。

（４）上記（１）から上記（３）のいずれかの記憶装置であって、前記認証情報設定部は、前記記憶装置内において設定されている前記認証情報を保存する認証情報保存部と、前記記憶媒体内のデータが消去されるごとに新たな認証情報を生成し、前記新たな認証情報を前記認証情報保存部に上書き保存する認証情報生成部と、を備えてもよい。

（５）上記（４）の記憶装置であって、前記制御装置は、前記新たな認証情報を表示する表示部を更に備えてもよい。

（６）上記（４）又は上記（５）の記憶装置であって、前記制御装置は、外部装置と通信することで前記新たな認証情報を前記外部装置に書き込んでもよい。

（７）上記（４）から上記（６）の記憶装置であって、前記制御装置は、外部装置と通信することで前記外部装置に書き込まれている認証情報を取得し、前記読出許可部は、前記外部装置から取得した認証情報と、前記認証情報保存部内に保存されている認証情報と、が一致した場合には前記読み出しを許可してもよい。

以上説明したように、本発明によれば、記憶媒体からデータを読み取る際のデータの安全性を確保することができる。

第１の実施形態に係る記憶装置の使用状態を示す図である。 第１の実施形態に係る記憶装置の要部構成を示すブロック図である。 第１の実施形態に係る初期動作のフロー図である。 第１の実施形態に係る書き込み時動作のフロー図である。 第１の実施形態に係る読み出し時動作のフロー図である。 従来の記憶媒体を用いる場合の課題を説明する図である。 第１の実施形態の作用効果を説明する図である。 第２の実施形態に係る記憶装置の使用状態を示す図である。 第３の実施形態に係る記憶装置の使用状態を示す図である。 第３の実施形態に係る記憶装置の要部構成を示すブロック図である。 第３の実施形態に係る初期動作のフロー図である。 第３の実施形態に係る書き込み時動作のフロー図である。

以下、図面を参照して本発明の実施形態による記憶装置について詳細に説明する。以下では、まず本発明の実施形態の概要について説明し、続いて本発明の各実施形態の詳細について説明する。

〔概要〕
本発明の実施形態は、記憶媒体からデータを読み取る際のデータの安全性を確保することを可能とするものである。具体的には、記憶媒体へのデータの書き込みが行われてから、その記憶媒体のデータが読み出されるまでの間においてデータの改ざんが行われた場合には、記憶媒体からデータを読み取る際に改ざんの有無の判別を行うことを可能とするものである。また、情報処理装置が記憶媒体からデータを読み取る際に、記憶媒体から情報処理装置へのウイルス感染を抑制するものである。

記憶媒体から情報処理装置へのウイルス感染を防止する方法として、記憶媒体を情報処理装置に接続する前に、記憶媒体の内容を消去する消去装置が提案されている。この消去装置は、情報処理装置から記憶媒体へデータを書き込む際に、記憶媒体と情報処理装置との間に電気的に接続される。具体的には、消去装置は、第１インターフェース、第２インターフェース、消去確認ランプ及び消去確認スイッチを有している。

第１インターフェースには情報処理装置が接続され、第２インターフェースには記憶媒体が接続される。消去装置は、第１インターフェースを介して情報処理装置から給電されることで動作を開始し、第２インターフェースに記憶媒体が接続されていることを確認する。そして、第２インターフェースに記憶媒体が接続されている場合には、消去装置は、消去確認ランプを点灯させて、ユーザに対して消去確認スイッチの操作を促す。ユーザが消去確認スイッチを操作すると、消去装置は、記憶媒体内のデータを消去して第２インターフェースと第１インターフェースとを電気的に接続する。これにより、情報処理装置から記憶媒体へデータの書き込みが可能になる。このように、上記消去装置は、記憶媒体のデータを消去してから記憶媒体と情報処理装置とを電気的に接続することで、記憶媒体に対して情報処理装置からデータを書き込む際のウイルス感染を防止する。

しかしながら、上記消去装置は記憶媒体へのデータ書き込み時に使用される装置であって、記憶媒体に書き込まれたデータを読み出す際には消去装置を使用することはできない。したがって、記憶媒体からデータを読み出す際には、情報処理装置に対して記憶媒体を直接的に接続することになる。ただし、記憶媒体内のデータが消去装置で消去されてから書き込まれたものであるかを確認する手段がない。そのため、データの読み出し時において、消去装置で消去されずにデータが書き込まれた記憶媒体が情報処理装置に接続されて読み出されることがあり、ウイルス感染した記憶媒体内のデータによって情報処理装置がウイルス感染するおそれがある。また、データの書き込みが行われてからそのデータが読み出されるまでの間において、記憶媒体内のデータが改ざんされるおそれがあるが、データの改ざんが行われたとしても、現状ではその改ざんの有無を判断することができない。

本発明の実施形態では、記憶媒体が記憶装置からユーザによって取り外しができないように記憶装置に対して内蔵されている。そして、記憶装置は、記憶媒体への書き込みを許可する前に記憶媒体のデータを消去する機能を有している。これにより、本発明の実施形態の記憶装置では、記憶媒体へのデータの書き込みが行われる前にデータの消去が必ず行われる。これにより、本実施形態の記憶装置を用いることで、データの読み出し時における情報処理装置のウイルス感染を抑制することができる。また、本発明の実施形態の記憶装置は、記憶媒体のデータを読み出す際の認証に必要な認証情報をデータの消去を行なうたびに変化させる。これにより、記録媒体からデータを読み出す際に、そのデータが改ざんされていないものであるかを識別できることができる。

〔第１の実施形態〕
図１は、第１の実施形態の記憶装置１の使用状態を示す図である。図２は、第１の実施形態による記憶装置１の要部構成を示すブロック図である。記憶装置１は、コンピュータなどの情報機器の一例である情報処理装置２に対して着脱可能なコネクタを備える。

一例として、記憶装置１は、記憶媒体１００及び制御装置２００を備える。

記憶媒体１００は、例えば、ＵＳＢメモリ、ｅＭＭＣメモリ、ＳＤカード、フラッシュメモリチップなどのデータを保存するメモリモジュールである。記憶媒体１００は、記憶装置１内において、ユーザによって記憶装置１から取り外しや交換ができない状態で内蔵されている。すなわち、記憶媒体１００は、記憶装置１から不可分な状態で記憶装置１に内蔵されている。

制御装置２００は、記憶媒体１００内のデータの消去と、情報機器による記憶媒体１００に対するデータの書き込み及び読み出しとを制御する。制御装置２００は、記憶装置１内において、ユーザによって記憶装置１から取り外しや交換ができない状態で内蔵されている。すなわち、制御装置２００は、記憶装置１から不可分な状態で記憶装置１に内蔵されている。

制御装置２００は、第１インターフェース２１０、第２インターフェース２２０、表示部２３０、操作部２４０、消去指示部２５０、報知部２６０、書込制御インターフェース２７０、インターフェース継断部２８０、及び制御部２９０を備える。

第１インターフェース２１０は、情報処理装置２と接続するためのインターフェースである。例えば、第１インターフェース２１０は、ＵＳＢインターフェースやＵＳＢコネクタなどである。第１インターフェース２１０は、情報処理装置２に対して着脱可能なコネクタの一例である。

第２インターフェース２２０は、記憶媒体１００と制御部２９０とを電気的に接続するためのインターフェースである。例えば、第２インターフェース２２０は、ＵＳＢインターフェース、ｅＭＭＣインターフェース、ＳＤインターフェース、フラッシュメモリインターフェースなどである。

表示部２３０は、例えば、ＣＲＴ（Cathode Ray Tube）ディスプレイ、液晶ディスプレイ、又は有機ＥＬ（Electro Luminescence）ディスプレイである。

操作部２４０は、ユーザによって操作されるものであり、例えばタッチパネルやキーボード等に代表されるハードウェアキーである。

消去指示部２５０は、ユーザの操作に応じて記憶媒体１００内のデータの消去を指示する。例えば、消去指示部２５０は、ユーザにより操作された場合には、記憶媒体１００内のデータの消去を制御部２９０に指示する。例えば、消去指示部２５０は、押下スイッチなどの物理スイッチであってもよいし、他の通信機器と通信する通信インターフェースであってもよい。

報知部２６０は、ユーザに対して、消去指示部２５０に対する操作または認証情報を操作部２４０に入力させる操作を促す通知を行う。この認証情報とは、情報処理装置２が、記憶媒体１００に書き込まれたデータを読み出す際に使用される情報である。認証情報とは、例えばパスワードやパスコードである。

また、報知部２６０は、制御装置２００にて実行される情報処理に異常があった場合に、その異常があったことをユーザに通知してもよい。例えば、報知部２６０は、ＬＥＤランプであってもよいし、ＬＣＤ表示器であってもよいし、他の通信機器に対して通知する通信手段であってもよいし、音声出力であってもよい。

書込制御インターフェース２７０は、記憶媒体１００への書き込みの許可及び禁止を制御するためのインターフェースである。書き込みの許可及び禁止は、記憶媒体１００や第２インターフェース２２０に合った方法を用いてもよいが、その方法には特に限定されない。

インターフェース継断部２８０は、第２インターフェース２２０の信号線Ｌ２を制御部２９０又は第１インターフェース２１０の信号線Ｌ１に電気的に接続することで、制御部２９０又は情報処理装置２から記憶媒体１００へのアクセスを可能にする。例えば、インターフェース継断部２８０は、電気的スイッチやスイッチＩＣ（Integrated Circuit）などである。

制御部２９０は、起動部３１０、モード判定部３２０、データ消去部３３０、データ消去確認部３４０、認証情報設定部３５０、認証情報表示終了指示部３６０、書込許可指示部３７０、インターフェース接続指示部３８０、認証情報判定部３９０、及び書込禁止指示部４００を備える。

制御部２９０は、ＣＰＵ（Central Processing Unit)又はＭＰＵ（Micro Processing Unit）などのプロセッサ及び不揮発性又は揮発性の半導体メモリ（例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory））を備えてもよい。例えば、制御部２９０は、ＭＣＵなどのマイクロコントローラであってもよい。

起動部３１０は、記憶装置１に対して電源が投入された場合において、初期設定として以下の（ａ）、（ｂ）及び（ｃ）の処理を行う。

（ａ）起動部３１０は、インターフェース継断部２８０を操作して、記憶媒体１００を制御部２９０に接続する。
（ｂ）起動部３１０は、書込制御インターフェース２７０を操作して、制御部２９０から記憶媒体１００への書き込みを許可する。
（ｃ）起動部３１０は、表示部２３０に対して、記憶装置１の起動が完了したことを通知することで、ユーザに消去指示部２５０の操作又は認証情報の入力の操作を促す。

モード判定部３２０は、ユーザによる消去指示部２５０への操作（以下、「消去操作」という。）、又は操作部２４０による認証情報の入力操作を受け付ける。モード判定部３２０は、消去操作を受け付けた場合には、記憶媒体１００に対してデータを書き込むための書き込み時処理を呼び出す。モード判定部３２０は、認証情報の入力操作を受け付けた場合には、記憶媒体１００内のデータを読み出すための呼び出し時処理を呼び出す。

データ消去部３３０は、消去指示部２５０からの指示があった場合に、記憶媒体１００内のデータを消去する。例えば、データ消去部３３０は、モード判定部３２０によって書き込み時処理が呼び出された場合には、記憶媒体１００内のデータを消去する。例えば、データ消去部３３０は、制御部２９０が消去操作を受け付けた場合には、記憶媒体１００内のデータを消去する。例えば、記憶媒体１００内のデータを消去することは、記憶媒体１００の特定領域を任意の値で上書きし、情報処理装置２から未フォーマットデバイスと判定される状態にすることである。特定領域とは、パーティションテーブル領域やファイル管理領域などである。

データ消去確認部３４０は、データ消去部３３０によって記憶媒体１００のデータが正常に消去されたかを判定する。例えば、データ消去確認部３４０は、記憶媒体１００の特定領域からデータを読み出して、読み出したデータと上記任意の値とを照合する。データ消去確認部３４０は、照合の結果、一致した場合には消去が正常に行われたかを判定する。一方、データ消去確認部３４０は、照合の結果、一致しなかった場合には、消去に異常があったと判定して、消去に異常があったことを報知部２６０から通知させる。

認証情報設定部３５０は、記憶媒体１００内のデータの消去又は書き込みが行われるごとに認証情報を変更する。例えば、認証情報設定部３５０は、認証情報生成部３５１及び認証情報保存部３５２を備える。ここで、認証情報設定部３５０によって認証情報が変更されるタイミングは、データ消去部３３０によって記憶媒体１００内のデータが消去される前であってもよいし、消去された後であってもよいし、消去操作を受け付けた場合であってもよい。また、認証情報設定部３５０によって認証情報が変更されるタイミングは、情報処理装置２によって記憶媒体１００内にデータが書き込まれる前であってもよいし、書き込まれた後であってもよいし、記憶媒体１００内へのデータの書き込みが許可された場合であってもよい。

本実施形態の認証情報生成部３５１は、一例として、記憶媒体１００内のデータの消去が行われるごとに認証情報を生成する。例えば、認証情報生成部３５１は、記憶装置１に対して電源が投入されてからの経過時間、消去操作が行われたタイミングや記憶媒体１００に格納されている情報などを組み合わせた値と、ハッシュ関数による演算値とを用いて、序列等を持たない予測困難な認証情報を生成する。認証情報生成部３５１は、生成した認証情報を認証情報保存部３５２に保存する。なお、認証情報保存部３５２には、前回に生成した古い認証情報が保存されているため、認証情報生成部３５１は、生成した認証情報を認証情報保存部３５２に上書き保存する。

認証情報生成部３５１は、生成した新しい認証情報と、認証情報保存部３５２に保存されている古い認証情報とを比較し、同値であったり、類似していたりした場合には、新しい認証情報と古い認証情報との相関が低い認証情報が得られるまで認証情報の再生成を繰り返す。認証情報生成部３５１は、生成した認証情報を表示部２３０に表示させる。

認証情報保存部３５２には、認証情報生成部３５１によって生成された最新の認証情報が保存される。例えば、認証情報保存部３５２は、不揮発性メモリである。

認証情報表示終了指示部３６０は、表示部２３０に認証情報が表示されている間において、ユーザが操作部２４０に対して認証情報を確認したことを示す操作（以下、「確認操作」という。）を行った場合には、表示部２３０に対して認証情報の表示を終了させる。

書込許可指示部３７０は、データ消去部３３０によって記憶媒体１００内のデータが消去された場合には、書込制御インターフェース２７０を操作して、記憶媒体１００への書き込みを許可する。

インターフェース接続指示部３８０は、インターフェース継断部２８０を操作して、第２インターフェース２２０を第１インターフェース２１０に電気的に接続する。これにより、情報処理装置２から記憶媒体１００へのアクセスが可能となる。すなわち、情報処理装置２から記憶媒体１００への読み出しが許可された状態となる。インターフェース接続指示部３８０は、「読出許可部」の一例である。

認証情報判定部３９０は、操作部２４０によってユーザから入力された認証情報と、認証情報保存部３５２に保存されている認証情報を照合して、一致しているか否かを判定する。認証情報判定部３９０は、ユーザから入力された認証情報と認証情報保存部３５２に保存されている認証情報とが一致しない場合には、報知部２６０によってユーザに通知する。

書込禁止指示部４００は、書込制御インターフェース２７０を操作して、記憶媒体１００への書き込みを禁止する。

以下に、本実施形態の記憶装置１の動作について説明する。記憶装置１が情報処理装置２に対して接続されている状態での記憶装置１の動作は、大別して初期動作、書き込み時動作、及び読み出し時動作の３つの動作状態を持つ。

まず、第１の実施形態の初期動作について説明する。図３は、第１の実施形態の初期動作のフロー図である。

ユーザは、記憶装置１を情報処理装置２に取り付ける。記憶装置１が情報処理装置２に取り付けられると、第１インターフェース２１０が情報処理装置２と電気的に接続される。

第１インターフェース２１０が情報処理装置２と電気的に接続されると、情報処理装置２から第１インターフェース２１０の電源線Ｌ３を介して制御部２９０に電源が供給される。制御部２９０は、電源線Ｌ３から電源が供給されると初期動作を開始する。また、第２インターフェース２２０の電源線Ｌ４は、電源線Ｌ３に接続されている。そのため、第２インターフェース２２０に対して電源が供給される。

制御部２９０が初期動作を開始すると、起動部３１０は、インターフェース継断部２８０を操作することで、制御部２９０と第２インターフェース２２０が電気的に接続された状態に制御する。この状態においては、第２インターフェース２２０と第１インターフェース２１０とは、電気的に切断された状態となる。すなわち、情報処理装置２から記憶媒体１００に対してアクセスができない状態となる（ステップＳ１０１）。ステップＳ１０１の処理の後において、起動部３１０は、表示部２３０に対して、ユーザに消去指示部２５０の操作又は認証情報の入力の操作を促す表示を行う（ステップＳ１０２）。

モード判定部３２０は、ステップＳ１０２の処理の後において、ユーザからの操作を受け付け待ちの状態で待機する。そして、モード判定部３２０は、ユーザからの操作を受け付けた場合には、その操作が消去操作と認証情報の入力操作とのいずれかであるかを判別する（ステップＳ１０３）。例えば、ユーザが表示部２３０に表示された内容を確認して消去指示部２５０を操作する消去操作を実行すると、消去指示部２５０は、ユーザによって操作されたことを示す信号を制御部２９０に送信する。したがって、モード判定部３２０は、消去指示部２５０からの信号を受信した場合には、消去操作が実行されたと判定して書き込み時処理を呼び出す（ステップＳ１０４）。一方、ユーザが表示部２３０に表示された内容を確認して操作部２４０で認証情報を入力した場合には、制御部２９０は、操作部２４０から認証情報の情報を受信する。したがって、モード判定部３２０は、操作部２４０から認証情報の情報を受信した場合には、認証情報の入力操作が行われたと判定する。

認証情報の入力操作が行われたと判定された場合には、認証情報判定部３９０は、操作部２４０によってユーザから入力された認証情報と、認証情報保存部３５２に保存されている認証情報とが一致するか否か判定する（ステップＳ１０５）。そして、操作部２４０によってユーザから入力された認証情報と、認証情報保存部３５２に保存されている認証情報とが一致すると判定された場合には、モード判定部３２０は、読み出し時処理を呼び出す（ステップＳ１０６）。一方、操作部２４０によってユーザから入力された認証情報と、認証情報保存部３５２に保存されている認証情報とが一致しない場合には、ステップＳ１０３に移行する。なお、報知部２６０は、操作部２４０によってユーザから入力された認証情報と、認証情報保存部３５２に保存されている認証情報とが一致しない場合には、その旨を通知してもよい。

次に、本実施形態の書き込み時動作について説明する。図４は、第１の実施形態の書き込み時動作のフロー図である。

書き込み時処理が呼び出されると、制御部２９０は、書き込み時動作を開始する。具体的には、まず、データ消去部３３０は、記憶媒体１００のデータを消去する（ステップＳ２０１）。データ消去部３３０によるデータの消去が完了すると、データ消去確認部３４０は、データ消去部３３０によるデータの消去が成功したか否かを判定する（ステップＳ２０２）。データ消去部３３０によるデータの消去が失敗したと判定された場合には、報知部２６０は、データの消去が失敗したことを通知する（ステップＳ２０３）。報知部２６０による通知が行われた後は、ステップＳ２０９の処理に移行する。

ステップＳ２０２において、データ消去部３３０によるデータの消去が成功した場合には、認証情報生成部３５１は、新しい認証情報を生成し、生成した新しい認証情報を表示部２３０に表示する（ステップＳ２０４）。

ユーザは、ステップＳ２０４にて表示部２３０で表示された認証情報を確認する。ユーザは、表示部２３０で表示された認証情報をメモに取るなどして、その認証情報を忘れずに保管する。そして、ユーザは、操作部２４０に対して確認操作を行う。したがって、認証情報表示終了指示部３６０は、確認操作が行われた否かを判定し（ステップＳ２０５）、確認操作が行われたと判定した場合には、表示部２３０に対する認証情報の表示を終了させる（ステップＳ２０６）。

書込許可指示部３７０は、表示部２３０での認証情報の表示が終了すると、書込制御インターフェース２７０を操作して、記憶媒体１００を読み書き可能な状態に制御する（ステップＳ２０７）。

インターフェース接続指示部３８０は、インターフェース継断部２８０を操作し、第１インターフェース２１０と第２インターフェース２２０とを電気的に接続する。これにより、第１インターフェース２１０に接続された情報処理装置２から記憶媒体１００へのアクセスが可能となる（ステップＳ２０８）。したがって、情報処理装置２は、記憶装置１に内蔵された記憶媒体１００へのデータの書き込みやデータの読み出しを行うことができる。

ステップＳ２０３の処理が終了した場合、又はステップＳ２０８の処理が終了した場合には、記憶装置１は、書き込み時動作を停止して、記憶装置１が情報処理装置から取り外されるのを待機する取り外し待ち状態に移行する（ステップＳ２０９）。なお、ステップＳ２０８の処理が行われてから記憶装置１が情報処理装置２から取り外されるまでの間においては、情報処理装置２から記憶媒体１００への読み書きが可能な状態が維持される。

次に、本実施形態の読み出し時動作について説明する。図５は、第１の実施形態の読み出し時動作のフロー図である。

書込禁止指示部４００は、書込制御インターフェース２７０を操作し、記憶媒体１００を書き込み禁止の状態にする（ステップＳ３０１）。この際、記憶媒体１００のデータの読み出しは、許可されている。そして、インターフェース接続指示部３８０は、インターフェース継断部２８０を操作し、第１インターフェース２１０と第２インターフェース２２０とを電気的に接続する。これにより、第１インターフェース２１０に接続された情報処理装置２から記憶媒体１００に対してアクセスできる状態になる（ステップＳ３０２）。したがって、情報処理装置２から記憶媒体１００に格納されているデータの読み出しが可能になる。ステップＳ３０２の処理が終了すると、記憶装置１は、読み出し時動作を停止し、情報処理装置２から取り外されるのを待つ取り外し待ち状態に移行する（ステップＳ３０３）。なお、記憶装置１が情報処理装置２から取り外されるまでの間、情報処理装置２から記憶媒体１００の読み出しが可能な状態が維持される。

次に、本実施形態の作用効果について説明する。図６は、従来の記憶媒体５００を用いる場合の課題を説明する図である。図７は、第１の実施形態の作用効果を説明する図である。以下に説明する例では、第１情報処理装置６００がデータを書き込み、その書き込んだデータを第２情報処理装置７００で読み出す場合を想定している。

図６に示す例では、開発者は、第１情報処理装置６００を操作して記憶媒体５００に対してデータを書き込み、且つ、記憶媒体５００へアクセスするための認証情報Ｐ１を設定する。この認証情報Ｐ１の情報は、メールなどによって顧客に送信される。データが書き込まれた記憶媒体５００は、サービスマンによって顧客の元に持ち込まれる。顧客は、サービスマンから受け取った記憶媒体５００を第２情報処理装置７００に接続し、開発者からメールなどによって送信された認証情報Ｐ１を記憶装置１に入力する。これにより、第２情報処理装置７００は、記憶媒体５００からデータを読み出すことができる。

ここで、サービスマンや任意の第三者である攻撃者が何らかの手段によって認証情報Ｐ１を入手し、情報機器を使用して記憶媒体５００のデータの改ざんや記憶媒体５００へのウイルスの混入を行ったとする。この場合において、記憶媒体５００に設定されている認証情報Ｐ１は、データの改ざんやウイルス混入が行われても変更されない。したがって、顧客がサービスマンから持ち込まれた記憶媒体５００を第２情報処理装置７００に接続して認証情報Ｐ１を記憶装置１に入力すると、第２情報処理装置７００は、記憶媒体５００に対してアクセスすることができるため、改ざんされたデータを読み出したり、ウイルスに感染したりしてしまう。

一方、図７に示すように、本実施形態の記憶装置１では、記憶媒体５００に対してのデータの書き込みやデータの消去が行われる場合には、認証情報Ｐ１が別の認証情報Ｐ２に再設定される。したがって、サービスマンや攻撃者によって記憶媒体５００のデータが改ざんされたり、ウイルスが混入されたりした際には、認証情報Ｐ１が別の認証情報Ｐ２に再設定される。そのため、顧客は、サービスマンから受け取った記憶媒体５００を第２情報処理装置７００に接続し、開発者からメールなどによって送信された認証情報Ｐ１を第２情報処理装置７００に入力しても認証が失敗する。すなわち、第２情報処理装置７００から記憶媒体１００に対してアクセスすることができない。したがって、顧客は、開発者からメールなどによって送信された認証情報Ｐ１による認証が失敗した場合には、改ざんされていると判別することができる。また、認証情報Ｐ１による認証が失敗した場合には、第２情報処理装置７００は、記憶媒体５００にアクセスできないため、ウイルスの感染を抑制することができる。

上述したように、第１の実施形態の記憶装置１は、情報機器に着脱可能なコネクタを備える。記憶装置１は、記憶媒体１００と、記憶媒体１００内のデータの消去と、情報機器による記憶媒体に対するデータの書き込み及び読み出しとを制御する制御装置２００と、を備える。制御装置２００は、入力された情報と、記憶装置１内に設定されている認証情報と、が一致した場合には読み出しを許可するインターフェース接続指示部３８０と、記憶媒体１００内のデータの消去又は書き込みが行われるごとに認証情報を変更する認証情報設定部３５０と、を備える。

このような構成により、記憶媒体からデータを読み取る際には、データの改ざんの有無を判別することができ、データの安全性を確保することができる。

また、第１の実施形態の記憶装置１は、ユーザの操作に応じて記憶媒体１００内のデータの消去を指示する消去指示部２５０を更に備えてもよい。そして、制御装置２００は、情報機器に記憶装置１が接続された接続状態において消去指示部２５０からの指示があった場合に、前記記憶媒体内のデータを消去するデータ消去部３３０を備えてもよい。また、制御装置２００は、データ消去部３３０により記憶媒体１００内のデータが消去され、且つ、接続状態が継続されている場合にのみ記憶媒体１００への書き込みを許可する書込許可指示部３７０を更に備えてもよい。

これにより、情報処理装置２が記憶媒体１００に対してデータを書き込む場合において、記憶媒体１００から情報処理装置２へのウイルス感染を防止することができる。

また、第１の実施形態の記憶装置１では、記憶媒体１００と制御部２９０とがそれぞれ記憶装置１からの取り外しが不可能な状態で記憶装置１に内蔵されてもよい。

このような構成により、情報処理装置２は、記憶媒体１００内のデータが消去されないと記憶媒体１００に対してデータを書き込むことができない。そのため、記憶装置１を使用してデータのやり取りを行うことで、記憶媒体１００への書き込み前のデータの消去が強制され、セキュリティ管理が向上する。さらに、記憶媒体１００への書き込み前のデータの消去が強制されるため、記憶媒体１００からデータを読み出す際において記憶媒体１００から情報処理装置２へのウイルス感染を抑制できる。

また、セキュリティ管理を強化する目的で、情報処理装置２には、デバイス管理ソフトウェアがインストールされている場合がある。このデバイス管理ソフトウェアは、情報処理装置２に接続される記憶媒体を特定し、予め登録されている記憶媒体のみにだけアクセスを許可するものである。特許文献1に開示された消去装置の技術において、この情報処理装置２が記憶媒体にデータを書き込む場合には、記憶媒体と情報処理装置２との間に消去装置が電気的に接続される。そのため、上記デバイス管理ソフトウェアがインストールされている情報処理装置２は、消去装置の有無を特定することができない場合がある。そのため、デバイス管理ソフトウェアを用いて、消去装置の使用を管理することができない場合がある。

それに対して、第１の実施形態の記憶装置１は、記憶媒体１００を不可分な形で内蔵している。そのため、デバイス管理ソフトウェアは、記憶媒体１００の固有ＩＤを検出することで記憶装置１を特定でき、記憶装置１以外の記憶装置（記憶媒体を含む）の使用を禁止することができる。したがって、デバイス管理ソフトウェアを用いたセキュリティ管理を行うことができる。

〔第２の実施形態〕
第２の実施形態の記憶装置１Ａについて説明する。以下の説明において、第１の実施形態で説明した内容と同様の機能を有する部分については、同様の名称および符号を付するものとし、その機能に関する具体的な説明は省略する。

図８は、第２の実施形態の記憶装置１Ａの使用状態を示す図である。記憶装置１Ａは、図１に示した第１の実施形態の記憶装置１と比較すると、ユーザインターフェースである表示部２３０、操作部２４０、消去指示部２５０、及び報知部２６０のうち、表示部２３０及び操作部２４０が省略されている点が異なる。なお、上記表示部２３０及び操作部２４０は、図８に示す通り、通信端末８００上のアプリケーションとして実装されている。

また、記憶装置１Ａは、図１に示した第１の実施形態の記憶装置１と比較すると、制御部２９０が、通信端末８００と通信ネットワーク（近接通信を含む）を介して情報を送受する点が異なる。具体的には、制御部２９０は、通信端末８００と通信ネットワークを介して通信して、操作部２４０による認証情報の入力操作や確認操作を受け付ける。また、制御部２９０は、認証情報生成部３５１で生成された認証情報を、通信ネットワークを介して表示部２３０に表示させる。

通信端末８００は、例えば、スマートフォンやタブレット端末などの携帯情報端末である。通信端末８００は、表示部２３０及び操作部２４０を備えている。通信端末８００は、情報処理装置２によって記憶装置１Ａに内蔵されたデータを読み取る際に操作される。図７を例にとると、通信端末８００は、顧客が所有する端末であり、開発者からメールなどにより認証情報を受信する。なお、通信端末８００は、「外部装置」の一例である。

なお、記憶装置１Ａの初期動作、書き込み時動作、及び読み出し時動作は、第１の実施形態の記憶装置１と同様であるため説明を省略する。

以上説明した第２の実施形態の記憶装置１Ａでは、第１の実施形態の記憶装置１と同様の効果を奏する他、認証情報を通信端末８００に記録させることにより、認証情報の入力の手間を省くことができる。

〔第３の実施形態〕
第３の実施形態の記憶装置１Ｂについて説明する。以下の説明において、第１の実施形態で説明した内容と同様の機能を有する部分については、同様の名称および符号を付するものとし、その機能に関する具体的な説明は省略する。

図９は、第３の実施形態の記憶装置１Ｂの使用状態を示す図である。また、図１０は、第３の実施形態の記憶装置１Ｂの要部構成を示すブロック図である。記憶装置１Ｂは、図１に示した第１の実施形態の記憶装置１と比較すると、ユーザインターフェースである表示部２３０、操作部２４０、消去指示部２５０、及び報知部２６０のうち、表示部２３０及び操作部２４０を有していない点が異なる。

記憶媒体９００は、例えば、ＩＣを有しており、ＲＦＩＤ（Radio Frequency Identifier）技術によって、後述するリーダライタ３００との間で情報を送受信する。例えば、記憶媒体９００は、ＩＣカードである。なお、記憶媒体９００は、「外部装置」の一例である。

記憶装置１Ｂは、記憶媒体１００及び制御装置２００Ｂを備える。

制御装置２００Ｂは、記憶媒体９００と通信することで記憶媒体９００に書き込まれている認証情報を取得する。制御装置２００Ｂは、記憶装置１Ｂ内において、ユーザによって記憶装置１Ｂから取り外しや交換ができない状態で内蔵されている。すなわち、制御装置２００Ｂは、記憶装置１Ｂから不可分な状態で記憶装置１Ｂに内蔵されている。

制御装置２００Ｂは、第１インターフェース２１０、第２インターフェース２２０、消去指示部２５０、報知部２６０、書込制御インターフェース２７０、インターフェース継断部２８０、制御部２９０Ｂ及びリーダライタ３００を備える。

制御部２９０Ｂは、起動部３１０、モード判定部３２０、データ消去部３３０、データ消去確認部３４０、認証情報設定部３５０、書込許可指示部３７０、インターフェース接続指示部３８０、認証情報判定部３９０、及び書込禁止指示部４００を備える。

リーダライタ３００は、記憶媒体９００と電波や赤外線などによって通信し、認証情報生成部３５１によって生成した認証情報を記憶媒体９００に書き込む。また、リーダライタ３００は、記憶媒体９００と電波や赤外線などによって通信し、記憶媒体９００に書き込まれている認証情報を読み取ることで取得する。リーダライタ３００に読み取られた認証情報は、モード判定部３２０及び認証情報判定部３９０に送信される。

以下において、第３の実施形態の初期動作について説明する。図１１は、第３の実施形態の初期動作のフロー図である。なお、ステップＳ４０４及びステップＳ４０５は、ステップＳ１０５及びステップＳ１０６と同様の処理であるため、説明を省略する。

制御部２９０Ｂが初期動作を開始すると、起動部３１０は、インターフェース継断部２８０を操作することで、制御部２９０Ｂと第２インターフェース２２０が電気的に接続された状態に制御する。この状態においては、第２インターフェース２２０と第１インターフェース２１０とは、電気的に切断された状態となる。すなわち、情報処理装置２から記憶媒体１００に対してアクセスができない状態となる（ステップＳ４０１）。

モード判定部３２０は、ステップＳ４０２の処理の後において、ユーザからの操作を受け付け待ちの状態で待機する。そして、モード判定部３２０は、ユーザからの操作を受け付けた場合には、その操作が消去操作と認証情報の入力操作とのいずれかであるかを判別する（ステップＳ４０３）。ここで、例えば、第３の実施形態における認証情報の入力操作とは、ユーザが記憶媒体９００をリーダライタ３００にかざす操作である。

例えば、ユーザが消去操作を実行すると、消去指示部２５０は、ユーザによって操作されたことを示す信号を制御部２９０Ｂに送信する。したがって、モード判定部３２０は、消去指示部２５０からの信号を受信した場合には、消去操作が実行されたと判定して書き込み時処理を呼び出す（ステップＳ４０３）。一方、ユーザが記憶媒体９００をリーダライタ３００にかざすと、リーダライタ３００は、記憶媒体９００から認証情報を読み取る。そして、リーダライタ３００は、読み取った認証情報をモード判定部３２０に送信する。したがって、モード判定部３２０は、リーダライタ３００から認証情報の情報を受信した場合には、認証情報の入力操作が行われたと判定する。

以下において、第３の実施形態の書き込み時動作について説明する。図１２は、第３の実施形態の書き込み時動作のフロー図である。なお、ステップＳ５０１、ステップＳ５０２、ステップＳ５０３は、ステップＳ２０１、ステップＳ２０１、ステップＳ２０１、と同様の処理であるため、説明を省略する。

ステップＳ５０２において、データ消去部３３０によるデータの消去が成功した場合には、認証情報生成部３５１は、新しい認証情報を生成する。そして、リーダライタ３００は、認証情報生成部３５１によって生成された新しい認証情報を記憶媒体９００に書き込む（ステップＳ５０４）。

書込許可指示部３７０は、記憶媒体９００に認証情報が書き込まれた後、書込制御インターフェース２７０を操作して、記憶媒体１００を読み書き可能な状態に制御する（ステップＳ５０５）。

インターフェース接続指示部３８０は、インターフェース継断部２８０を操作し、第１インターフェース２１０と第２インターフェース２２０とを電気的に接続する。これにより、第１インターフェース２１０に接続された情報処理装置２から記憶媒体１００へのアクセスが可能となる（ステップＳ５０６）。したがって、情報処理装置２は、記憶装置１に内蔵された記憶媒体１００へのデータの書き込みやデータの読み出しを行うことができる。

ステップＳ５０３の処理が終了した場合、又はステップＳ５０６の処理が終了した場合には、記憶装置１Ｂは、書き込み時動作を停止して、記憶装置１Ｂが情報処理装置２から取り外されるのを待機する取り外し待ち状態に移行する（ステップＳ５０７）。なお、ステップＳ５０６の処理が行われてから記憶装置１Ｂが情報処理装置２から取り外されるまでの間においては、情報処理装置２から記憶媒体１００への読み書きが可能な状態が維持される。

なお、記憶装置１Ｂの読み出し時動作は、第１の実施形態の記憶装置１と同様であるため説明を省略する。

以上説明した第３の実施形態の記憶装置１Ｂでは、第１の実施形態の記憶装置１と同様の効果を奏する他、認証情報を記憶媒体９００に記録させることにより、認証情報の入力の手間を省くことができる。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

明細書の全体において、ある部分がある構成要素を「含む」、「有する」や「備える」とする時、これは、特に反対の記載がない限り、他の構成要素を除くものではなく、他の構成要素をさらに含むことができるということを意味する。

また、明細書に記載の「…部」の用語は、少なくとも１つの機能や動作を処理する単位を意味し、これは、ハードウェアまたはソフトウェアとして具現されてもよいし、ハードウェアとソフトウェアとの組み合わせで具現されてもよい。

１ 記憶装置
１００ 記憶媒体
２００ 制御装置
２３０ 表示部
２５０ 消去指示部
２９０ 制御部
３３０ データ消去部
３５０ 認証情報設定部
３７０ 書込許可指示部
３８０ インターフェース接続指示部（読出許可部）

Claims (8)

1. 情報機器に着脱可能なコネクタを備える記憶装置であって、
   記憶媒体と、
   前記記憶媒体内のデータの消去と、前記情報機器による前記記憶媒体に対するデータの書き込み及び読み出しとを制御する制御装置と、
   を備え、
   前記制御装置は、
   入力される認証情報と、前記記憶装置内に設定されている認証情報と、が一致した場合には前記読み出しを許可する読出許可部と、
   前記記憶媒体内のデータの消去又は書き込みが行われるごとに、前記記憶装置内において設定されている前記認証情報を変更する認証情報設定部と、
   を備え、
   前記制御装置は、前記認証情報設定部が変更した新たな認証情報を外部に出力する、
   記憶装置。
2. 前記制御装置は、外部装置と通信することで前記新たな認証情報を前記外部装置に書き込む、
   請求項１に記載の記憶装置。
3. 前記制御装置は、
   ユーザの操作に応じて前記記憶媒体内のデータの消去を指示する消去指示部と、
   前記情報機器に前記記憶装置が接続された接続状態において前記消去指示部からの指示があった場合に、前記記憶媒体内のデータを消去するデータ消去部と、
   前記データ消去部により前記記憶媒体内のデータが消去され、且つ、前記接続状態が継続されている場合に前記書き込みを許可する書込許可指示部と、
   を更に備える、
   請求項１又は請求項２に記載の記憶装置。
4. 前記記憶媒体及び前記制御装置は、前記記憶装置から取り外しが不可能な状態で前記記憶装置に内蔵されている、
   請求項１から請求項３のいずれか一項に記載の記憶装置。
5. 前記認証情報設定部は、
   前記記憶装置内において設定されている前記認証情報を保存する認証情報保存部と、
   前記記憶媒体内のデータが消去されるごとに前記新たな認証情報を生成し、前記新たな認証情報を前記認証情報保存部に上書き保存する認証情報生成部と、
   を備える、請求項１から請求項４のいずれか一項に記載の記憶装置。
6. 前記制御装置は、
   前記新たな認証情報を表示する表示部を更に備える、
   請求項５に記載の記憶装置。
7. 前記制御装置は、外部装置と通信することで前記新たな認証情報を前記外部装置に書き込む、
   請求項５又は請求項６に記載の記憶装置。
8. 前記制御装置は、外部装置と通信することで前記外部装置に書き込まれている認証情報を取得し、
   前記読出許可部は、前記外部装置から取得した認証情報と、前記認証情報保存部内に保存されている認証情報と、が一致した場合には前記読み出しを許可する、
   請求項５から請求項７のいずれか一項に記載の記憶装置。

Images