KR20050062369A

KR20050062369A - 스토리지 매체에 저장된 정보 패턴의 소거

Info

Publication number: KR20050062369A
Application number: KR1020040095307A
Authority: KR
Inventors: 코르테뇌벤요한네스; 되프예뢴제이; 뵈링얀티누스; 슈피케르보쉬요한네스이; 페테르스바스에이치
Original assignee: 오세-테크놀로지스 베파우
Priority date: 2003-12-19
Filing date: 2004-11-19
Publication date: 2005-06-23
Also published as: JP4738802B2; CN1641604A; JP2007328818A; DE602004008727D1; SG112987A1; JP2005182782A; CN100444129C; TWI343531B; DE602004008727T2; US20050154582A1; US8018617B2; TW200525378A; US20080030755A1; ATE372544T1; KR101096474B1

Abstract

본 방법은 문서 데이터 프로세싱 장치에서, 장치의 데이터 프로세싱 설비에 의해 액세스가능한 재기록 가능 데이터 캐리어상에 저장된 정보 패턴을 소거하는데 제공되며, 문서 데이터 프로세싱 장치는 데이터 캐리어상에 저장될 수도 있는 문서 데이터를 프로세싱하는 제 1 프로세스들, 및 캐리어의 선택된 스토리지 영역을 쉬레딩 패턴으로 오버라이팅하여 저장된 데이터를 소거하는 제 2 프로세스들을 가진다. 제안된 방법에 따라, 제 1 및 제 2 프로세스들은 비동기적으로 즉, 제 2 프로세스는 제 1 프로세스들을 방해하지 않도록 백그라운드로 실행된다. 특정 실시형태에서, 초기의 쉬레딩 실행은 파일이 더이상 사용되지 않게된 직후 이루어지고, 추가적인 쉬레딩 실행은 백그라운드로 이루어진다.

Description

스토리지 매체에 저장된 정보 패턴의 소거 {ERASING A STORED INFORMATION PATTERN ON A STORAGE MEDIUM}

본 발명은 문서 데이터 프로세싱 장치에서, 장치의 데이터 프로세싱 설비에 의해 액세스가능한 재기록 가능 데이터 캐리어상의 저장된 정보 패턴을 소거하는 방법에 관한 것으로서, 상기 문서 데이터 프로세싱 장치는 데이터 캐리어상에 저장될 수도 있는 문서 데이터를 프로세싱하는 제 1 프로세스들 (primary processes), 및 상기 캐리어의 선택된 스토리지 영역을 쉬레딩 패턴으로 오버라이팅(overwriting) 하여 저장된 데이터를 소거하는 제 2 프로세스들 (secondary processes) 을 가진다.

발명의 배경

종래의 기술에서, 자기 하드 디스크 및 약간 유사한 다른 스토리지 설비들 (storage facilities) 은 그에 저장된 비밀 데이터의 판독에 대하여 점차 더 취약해지고 있다. 제 1 유형의 공격은 데이터 네트워크를 통해 스토리지 설비에 침투하는 해커에 의해 발생할 수도 있다. 이러한 불법 방해는, 데이터를 내부의 하드 디스크에 저장하기 전에 데이터를 암호화하고 캐리어의 파일 관리(자) (file administration) 에 있는 특정 데이터 파일의 엔트리 (entry) 를 삭제하거나 (deleting), 또는 -바람직하게는- 상기 데이터를 오버라이팅하는 것과 같은, 비교적 간단한 조작들에 의해 해소시킬 수 있다.

보다 심각한 공격의 유형은 개인 컴퓨터로부터, 프린팅 설비에 관련된 디지털 액세스 제어기로부터, 또는 다른 것으로부터 이러한 디스크를 물리적으로 제거한 다음에 발생할 수도 있다. 그 후에, 상기 캐리어의 파일 관리(자)를 삭제하는 것은 아무런 소용이 없다.

캐리어를 재포맷팅하는 (reformatting) 것 또는 이른바 '쉬레딩 패턴 (shredding pattern)'에 의해 오버-라이팅하는 것은 개선된 보안을 제공해주지만, 오버라이트된 비트 패턴들을 검출하는 기술들이 존재하고 있다. 따라서, 어떤 데이터를 삭제하는 것이 정말로 중요한 것일 경우에는 단일 '데이터 쉬레딩' 실행으로는 충분하지 못하게 된다.

일반적으로, 상이한 멀티플 비트 패턴들 (이하, '쉬레딩 패턴'이라 함) 을 포함하는 복수의 쉬레딩 실행 (shredding runs) 에 의해 데이터를 오버라이팅하는 것이 효과적인 방책으로 여겨지며, 상기 쉬레딩 패턴들의 구조 (construction) 는 의도되는 보안 등급 (intended degree of security) 에 적합해야만 한다.

상기 데이터 캐리어는 재기록 가능 CD (rewritable CD) 등에서의 자석, 자기-광학 (magneto optical), 광학 등과 같은 여러가지 다른 기록/저장 기술들에 기초할 수 있다. 일반적으로, 기하학적 스토리지 조직 (geometrical storage organization) 은 실린더, 나선, 직선 등이 될 수도 있는 트랙의 종류에 기초한다. 스토리지의 물리적 성질은 스토리지 기판의 일종의 잔류 자기 특성에 기초한다.

특히, Bunker 등의 미국 특허출원 제 2002/0,181,134는 사용자-선택 가능 쉬레딩 패턴들의 애플리케이션 (application) 을 개시한다. 이러한 종래의 기술은 침입자에 대하여 충분한 보호를 제공하지만, 전체 쉬레딩에 의해 요청되는 긴 시간은 빈번하게 많이 필요로 하는 시간 간격 (time interval) 동안 예를 들어, 프린팅과 같은 적절한 데이터 프로세싱이 멈추는 상태가 되도록 할 수도 있어, 시스템의 수행능력을 심각하게 떨어뜨릴 수도 있다는 것을 본 발명자들은 인식하여 왔다.

또한, http://www.usenix.org/publication/library/proceedings/sec96/gutma nn.html에서 다운가능한, 1996년 7월 22일-25일자 미국 캘리포니아 산호세에서의 제 6 차 유스닉스 보안 심포지엄 회보 (Sixth USENIX Security Symposium Proceedings) 에서 P.Gutmann 의 "Secure Deletion of Data from Magnetic and Solid-State Memory"라는 논문에서 쉬레딩 동작들과 다른 관련 항목들에 대하여 전체적인 논의가 이루어졌다.

따라서, 본 발명의 목적은, 적어도 부분적으로 데이터 프로세싱의 백그라운드에서 (in the background) 쉬레딩 동작을 수행함으로써 (by effecting), 한편의 진정한 데이터 프로세싱과 타편의 쉬레딩 동작 (shredding operation) 간에 데이터 스토리지 설비를 공유하는 것이다.

따라서, 본 발명의 양태에 따르면, 본 발명은 상기 제 1 및 제 2 프로세스들을 비동기로 실행시키는 것, 즉 임의의 미완인 제 2 프로세스들의 완료와 관계없이 제 1 프로세스들을 시작하는 것에 그 특징이 있다.

또한, 본 발명은, 본 발명의 방법을 구현하는데 구성되는 장치에 관한 것이다. 본 발명의 더 이상의 유리한 양태들은 종속항들에서 언급된다.

첨부된 도면과 본 발명의 바람직한 실시형태들을 참조하여 본 발명의 이러한 특징들, 양태들 및 이점들을 보다 상세하게 설명한다.

바람직한 실시형태들의 상세한 설명

이하에서, "쉬레딩 (shredding)"이란 용어는 하드 디스크 또는 다른 재기록 가능 스토리지 매체상에 저장된 데이터 패턴들의 소거 (erasure) 란 의미로 사용된다.

도 1 은 본 발명에 관련된 시스템 블록도를 나타낸다. 일반적으로, 상기 도면은 심벌적으로 구성되므로, 다양한 각각의 블록들은 식별력있는 하드웨어 모듈이라기 보다는 동작을 나타낸다. 구성 요소 10 은, 본 발명이 실시될 수 있는 프린터와 같은 장치의 제어기의 관련 소프트웨어 프로세스들을 나타낸다. 프로세스들 (10) 은 내장 디스크에 저장된 작업-관련 파일들 (12) 을 사용한다. 상기 프로세스들 (10) 의 진행중에, 작업 관련 파일들의 일부는 더이상 필요하지 않게될 수도 있는데, 본 발명의 맥락에서 그러한 파일들은 효과적으로 소거되어야만 한다. 이러한 목적을 위해, 도면 부호 14 로 지시되는 바와 같은 소거 파일 프로세스 (erase file process) 는, 이러한 파일을 위해 발생한다 (is issued). 소거는 상기 장치 디스크상의 관련 데이터의 스토리지 위치를 오버라이팅하는 형태로 일어나는데, 이후부터 이를 쉬레딩이라 한다. 쉬레딩 동안, 원래의 데이터는 모두 '0'들의 단순 시퀀스들에서부터 '0'과 '1'들의 복잡한 패턴들에 이르기까지 다양한 비트 패턴들로 오버라이트된다.

상기 소거 파일 프로세스 (14) 는 일련의 사용자-정의 또는 디폴트 파라미터들 (16; a set of user-defined or default parameters) 에 의해 제어된다. 예를 들어, 이러한 파라미터에는 동기/비동기/조합 쉬레딩, 쉬레딩 패턴들의 수와 선택, 쉬레딩 우선 순위가 있다. 이하에서, 본 명세서에서 사용된 상기 용어들을 상세하게 설명한다.

소거 파일 프로세스 (14) 의 발생에 응하여, 쉬레딩 프로세스 (18) 가 특정 파일에 대하여 활성화되고 상기 소거 파라미터들 (16) 에 따른다 (화살표 20 으로 부호화됨). 쉬레딩 프로세스를 위한 실질적 비트 패턴들은 프로세스 (18) 에 의해 액세스가능한 리스트 (22) 에 명시되어 있다.

쉬레딩 프로세스의 실질적 동작을 설명하기 전에, 먼저 도 2, 도 3, 도 4 및 도 5 를 참조하여, 본 명세서에서 사용된 수 개의 상이한 쉬레딩 기술들을 설명한다. 이 예는 프린팅 애플리캐이션에 직접 관련되는 것이지만, 또한, 필요한 변경을 가하여 (mutatis mutandis) 스캐닝 (scanning) 및 복사 (copying) 와 같은 다른 문서 프로세싱 동작에 적용될 수도 있다.

프린팅시에, 프린트 파일은 네트워크를 경유하여 수신되고 프린팅 설비 또는 프린터의 시스템 디스크에 저장된다. 상기 파일은 보안 데이터 전송의 경우에는 암호화될 수도 있고, 또는 수신후 직접 암호화될 수도 있다. 프린트 파일들은 그들이 처리될 때까지 프린트 대기 열에서 (in a print queue) 대기한다. 상기 프린터가 프린트 작업을 프로세스할 준비가 되면, 프린터는 디스크로부터 프린트 파일을 판독하고, 필요하다면 그것을 암호화하고 래스터함으로써 (by rasterizing) 프린트 파일을 프로세스하며, 이후 상기 래스터된 파일을 프린트한다. 표준상태에서, 그 후 상기 파일은 대기 상태가 되고 (be ready) 프린팅 설비에서 더 이상 사용될 필요가 없다.

도 2 는 쉬레딩이 적용되지 않는 동작선도를 나타낸다. 일예로서, 프린트 작업들은 3 개 프린트 시트들의 연속으로 부호화되지만, 실제 프린트 작업은 임의 개수의 시트들로 이루어질 수도 있다. 도시된 바와 같이, 제 1 프린트 작업 '작업 1' 이 처음에 처리되고, 이후 제 2 프린트 작업 '작업 2' 가 처리된다.

도 3 은 당해 기술분야에서 공지된 바와 같은 이른바 "동기 (synchronous)" 쉬레딩을 가지는 동작선도를 나타낸다. 단순화를 위해, 도 2 에서와 같은 작업들의 동일 구성이 가정된다. 작업 1 의 수행 말미에, 관련 파일은 사용되지 않는 것으로 간주된다. 그 결과, 작업 1 의 쉬레딩이 즉시 (immediately) 수행된다. 뒤이어, 작업 2 의 수행이 행해진다. 물론, 작업 2 도 또한 쉬레딩 예정일 수도 있다. 쉬레딩에 대한 요건은, 상기 작업들 전체에 걸쳐 균등하지 않은 의도된 보안 레벨에 기초하여 결정될 수도 있다. 일실시형태에서, PIN-코드에 의해 보호되는 파일들만이 쉬레드될 것이다 (이후, 설명됨). 쉬레드된 정보는 원래의 정보 (original information) 일 수 있으며, 바람직하게는 의도된 보안 레벨과 관련하여 적절한 것으로 일반적으로 간주되는, 프로세스 중에 생성된 임의의 중간 (intermediate) 또는 임시 데이터, 업데이트를 통해 낡은 것이 되는 데이터를 포함한다. 당해 애플리캐이션 (application in question) 이 서드 파티 소프트웨어 (third party software) 를 실행하는 것에 기초한다고 하더라도, 일반적으로, 실질적 운영 시스템 (operating systems) 은 이러한 중간 데이터들을 어디서 발견할 수 있는지를 알고 있다. 작업 1 에 대하여 즉시의 또는 동기 쉬레딩쪽을 선택한 것에 기인하여, 명백하게 작업 2 의 프로세싱에서 원하지 않는 지연이 발생할 수도 있다.

이와 대조적으로, 도 4 는 본 발명에 따른 이른바 "비동기 (asynchronous)" 쉬레딩을 가지는 동작선도를 나타낸다. 작업 2 의 수행이 스토리지 액세스없이 (without storage access) 일부 시간 간격 동안 처리될 수 있다면, 작업 1 이 종료되고 연관 파일들이 쉬레딩 대상에 올라오는 즉시, 작업 1 의 쉬레딩이 실제로 시작된다. 만약, 이러한 액세스가 필요하다면, 액세스는 약간의 선호 크리테리엄 (some preference criterium) 에 기초하여, 쉬레딩 동작보다 우위를 점하게 된다. 이것은 "쉬레드 될 예정" 결정에 대하여 쉬레딩이 '비동기'가 되도록 한다. 상기 쉬레딩은 어떤 기준에 기초하여 자동적으로 트리거된다 (triggered). 상기 인터럽팅 (interrupting) 에 뒤이어, 쉬레딩이 다시 진행된다. 상기 절차는 작업 3 의 수행동안에 작업 2 의 쉬레딩에도 똑같이 수행된다. 따라서, 상기 쉬레딩은 시간 분배 방식으로 (in a time-distributed manner) 일어난다.

본 발명의 관련 및 특정 이점을 가지는, 도 5 에 도시된 실시형태에서, 상기 쉬레딩은 혼합 방식으로 일어난다. 예를 들어, 초기의 몇몇 (바람직하게는 맨 처음만) 쉬레딩 실행은 다음 작업이 시작되기 전에 즉각적이고 자동적이며 동기적이다. 그 후의 추가적 쉬레딩 (further shredding) 은 비동기적이다. 본 실시형태에서, (비록 물리적 디스크에 적용되는 정교한 분석을 사용하여 저장된 데이터 패턴을 재구성하는 것이 여전히 가능하더라도) 상기 파일은 더이상 시스템에 의해 판독될 수 없다. 여전히, 가장 많은 시간을 소모하는 쉬레딩 부분 즉, 멀티플 오버라이팅 (multiple overwriting)은 백그라운드로 행해지고, 연속적인 작업들의 프로세싱을 방해하지 않는다.

도 1 로 다시 돌아가서, 상술한 혼합 쉬레딩 모드와 관련하여, 쉬레딩 프로세스 (18) 는 먼저 쉬레딩용 파일들 (files-for-shredding) 에 새이름을 붙임으로써 파일 관리(자) (12) 로부터 제거하고, 동기 쉬레딩을 전담하는 다른 스토리지 위치 (24; other storage location) (화살표 26으로 부호화된 동작) 로 포인터들을 이동시킨다. 상기 파일들의 데이터 위치들은 즉각적으로 하나 또는 한정된 수의 쉬레딩 패턴들을 사용하여 오버라이트된다.

동기 스캐닝 동작을 종료한 후, 상기 소거 파일 프로세스 (14) 가 관련 제 1 프로세스 (10) 에게 그것이 동작을 재개할 수 있다는 신호를 보낼 수 있도록, 쉬레딩 프로세스 (18) 는 상기 소거 파일 프로세스 (14) (화살표 32로 부호화됨) 로 "처리됨 (done)" 이라는 메시지를 린턴하고, 쉬레드된 파일상의 포인트들을 비동기 쉬레딩을 전담하는 다음 스토리지 위치 (28) (화살표 30으로 부호화되는 동작) 로 이동시킨다. 이제 상기 파일들의 데이터 위치들은 백그라운드 프로세스에서 추가적으로 오버라이트되고 실제 문서 데이터 프로세싱 (10) 을 위한 상기 제 1 프로세스들을 추가적으로 방해하지 않는다.

상기 쉬레딩 프로세스 동안, 쉬레딩 프로세스 (18) 에 의해 프로세스의 상태 정보는 시스템의 보안 상태의 운전자 (operator) 에게 통지하기 위한 디스플레이 프로세스 (36) 로 전달되며, 이는 추후 도 9 를 참조하여 상세하게 설명한다.

상술한 혼합모드 쉬레딩에 대한 다른 방법으로, 또한 보다 덜 중요한 정보에 대해 전적으로 비동기 스캐닝이 수행될 수도 있다. 이 모드는 쉬레딩용 파일들이 비동기 쉬레딩을 전담하는 스토리지 위치 (28) 로 직접 이동되는 것을 제외하고, 도 1 에 도시된 바와 같는 동일 구성의 프로세스들 및 구조로 용이하게 수행될 수 있다. 이것은 도 1 에 해칭된 화살표 34로 표시된다.

공유 프린터가 여러 상이한 사람들과 그룹들 사이에 공유되기 때문에, 비동기 쉬레딩의 특정 관련 애플리캐이션이 공유 프린터 설비에서 발생한다. 이 경우, 보안이 한층 더 중요하다. 특히, 예를 들어, 오세 (Oce) 에 의해 시판되는 것과 같은 몇 개의 프린터들 및 디지털 복사기들에 의해 특징화되는 메일 박스 개념, 즉 이 점에서 아직 프린트되지 않은 모든 파일들이 메일 박스에 남아 있고 게다가 (moreover) 프린트 된 파일들은 그들이 활성적으로 (또는 소정의 시간 간격, 즉 24 시간 후에, 자동적으로) 제거될 때 까지 약간의 시간동안 메일 박스에 남아 있는 메일 박스 개념을 이용하는 프린터들에 본 발명의 유익한 구성이 적용될 수 있다. 상기 메일 박스는 하드 디스크와 같은 비-휘발성 메모리로 구현된다. 따라서, 만약 사용자가 상기 메일 박스에서 파일을 삭제하면, 파일 관리(자)에서 소거될 뿐만 아니라 또한 쉬레드된다. 또한 이 경우, 제 1 쉬레딩 동작을 동기식으로 수행하는 것 즉, 삭제 명령 (delete command) 후 즉각적으로 수행하는 것이 바람직하다. 물론 최적의 보안을 위해, 모든 작업 파일들은 암호화된 형태로 저장되어야 하고 단지 그 데이터가 프린팅될 필요가 있을 때 복호화되며, 그 복호화된 데이터는 휘발성 메모리에만 유지된다.

또한, 본 발명은 디지털 복사 및 스캐닝 환경에서 적용될 수 있다. 디지털 복사 및 디지털 스캐닝은 데이터 집약적인 것으로 잘 알려져 있다. 이것은 효과적인 쉬레딩에 대한 필요성을 증가시킨다.

도 4 또는 도 5 와 같은 상황에서, 작업 1 의 효과적 쉬레딩 동작은 작업 3 의 시작 이후 까지 연장될 수도 있어, 쉬레드되어지는 과정에서 다양한 작업들이 동시에 존재할 수 있다. 이것은 이하에서 설명되는 바와 같이, 다양한 쉬레딩 동작들 사이에서 일부 우선 순위를 결정하는 것을 요구한다.

상기 쉬레딩 절차는 개인적 파일 (individual file) 의 레벨에서부터 또는 처음부터 (bottom up) 시작한다. 다른 방법은 시스템 레벨상에서 시작하는 즉, 전체 동작들을 동결하고 (freeze), 지워진 파일들이 쉬레드 되어야 하는지를 파일 시스템 동작들에 기초하여 결정하는 것이다. 이 절차는 섹터 분석에 기초하는 접근법 (approach) 을 필요로 한다. 일반적으로, 운영 시스템은 섹터 레벨상의 조직을 충분히 알 것이다.

도 6 은 혼합 (비)-동기 쉬레딩 동작의 흐름도를 나타낸다. 블록 40 에서, 동작이 시작되고, 필요한 하드웨어 및 소프트웨어 설비들이 요청된다. 이 동작은 예를 들어, 전력 상승으로 일어난다. 블록 42 에서, 시스템은 특정 파일 또는 스토리지 영역이 더이상 필요하지 않는지를 결정한다. 관련 대기 루프의 구성은 도시되지 않는다. 블록 43 에서, 시스템은 쉬레딩이 필요한지를 결정한다. 만약 필요하지 않다면, 시스템은 블록 52 로 진행한다. 만약 쉬레딩이 필요하면, 시스템은 동기 쉬레딩이 필요한지를 결정하기 위해, 블록 44 로 진행한다. 만약 필요하지 않다면, 시스템은 블록 48 로 진행한다. 만약 동기 쉬레딩이 필요하면, 시스템은 상기 동기 쉬레딩을 수행하기 위해 블록 46 으로 진행한다. 그 후, 블록 48 에서 비동기 쉬레딩은 수행된다.

간격 (interval) 이 정상적 데이터 프로세싱 동작들 사이에서 일어날 때, 상기 비동기 쉬레딩의 시작이 트리거된다. 이 간격은 단지 간격 시작을 통해 또는 특정 간격이 적어도 일정 길이를 가지는 것으로 예상된다는 것을 아는 것을 통해 검사될 수 있다. 후자의 경우, 상기 쉬레딩 동작은 낮은 레벨상으로, 정상적 데이터 프로세싱보다 일시적 우위를 가질 수 있다. 일정 분량의 쉬레딩 이후, 시스템은 스토리지 액세스 요건들에 대한 표준 데이터 프로세싱을 질의할 수도 있다. 그러나, 이러한 백그라운드 프로세싱은 특정 운영 시스템의 기본 메카니즘이며, 정확한 구현은 본 발명의 부분은 아니다.

만약, 쉬레딩 동작이 2 이상의 파일상에서 진행되고 있으면, 일부 우선 순위 구조가 유지된다. 이를 위해, 제 1 해결책은 선착순에 기초 (first-come-first- take basis) 하는 것으로, 상기 파일들은 그들이 쉬레드가능한 것으로 확인되는 시퀀스에 따라 처리되며, 일반적으로 쉬레딩 동작의 동기 부분으로부터 독립적이다 (apart from). 제 2 접근법은 쉬레딩 패턴 (도 7 참조) 의 랭킹 순위가 우선 순위를 결정하도록 하는 것을 통해 이루어진다. 특정 파일에 관련된 모든 비동기 쉬레딩 동작들에 우선 순위 레벨 (priority level) 을 할당하는 것을 통해 여전히 다른 접근법이 이루어진다. 프린터 애플리캐이션에서, 프린트 파일들은 로깅 파일들 (logging files) 보다 우위를 가진다.

쉬레딩이 진행되는한, 블록 48 과 블록 50 ("준비") 의 루프는 순환한다. 만약 쉬레딩이 준비되면, 시스템은 블록 52 로 진행하고, 당해 스토리지 영역은 새로운 시스템 사용을 위해 해제된다. 그 후 시스템은 블록 42 로 복귀한다.

단순화를 위해, 상기 쉬레딩과 다른 데이터 프로세싱 동작들 사이의 상호 작용을 상세하게 설명하지 않았지만, 그러나 다양한 우선 순위-제어 동작들이 수행될 수도 있다. 이러한 상세 사항은 당업자에게 자명하다.

또한, 쉬레딩 프로세스가 시작가능하기 전, 문서 데이터 프로세싱 작업의 종결 후 즉각적으로 잠시의 지연이 도입될 수 있다. 그렇지 않고 만약, 새로운 문서 데이터 프로세싱 작업이 시작된다면, 비록 그것이 쉬레딩 프로세스들보다 우선 순위를 가진다고 해도, 만일 쉬레딩 프로세스가 디스크를 요구한다면, 상기 디스크의 요구된 스토리지 위치들에 액세하기 위해 우선 작업에 약간의 시간이 걸리게 된다.

쉬레딩, 보다 특히 동기식의 초기 쉬레딩 실행 (run) 후의 추가 쉬레딩 실행들은 오프-라인, 예를 들어, 시스템의 셧-다운 전에 또는 밤에 또는 조용한 시간동안에 일괄처리로서 (as a batch process) 행해질 수도 있다. 사실, 프린트 프로세싱에서 사용되는 스토리지 섹션들은 이 경우 초기의 쉬레딩 실행후에 다시 사용될 수도 있고, 단지 그들의 사용은 로그될 (logged) 것이다. 그 후, 밤중에 진행되는 일괄 쉬레딩에서, 낮동안의 프린트 프로세스들에서 이용되는 것으로 로그된 모든 파일들은 쉬레딩에 의해 적절하게 소거되고 종국에는 "클린" 시스템의 상태로 남는다.

데이터 쉬레딩의 효과 레벨은 사용되는 쉬레딩 패턴들의 수와 내용에 의존한다. 모든 추가적 쉬레딩 실행은 스토리지 매체상의 원래의 비트 패턴들의 복구를 보다 어렵게 하며, 매 실행마다 사용되는 쉬레딩 패턴들이 상이할 때 더욱 그러하다. 따라서, 사용자들에게 설정가능한 보안 레벨을 제공하는 것은 본 발명의 범위내에 있다.

제 1 실시형태에서, 사용자의 PC상에 나타난 프린터 드라이버 윈도우 (70) 는 슬라이드 스위치, 일련의 라디오 버튼들 또는 임의의 다른 적절한 수단들의 형태인 보안 레벨 세터 (security level setter) 를 포함한다. 도 8a 에 도시된 바와 같이, 프린터 드라이버 윈도우는 일련의 탭들과 이들 중 "소거 데이터"로 지정된 하나의 탭을 가지며, 적당한 버튼을 클릭함으로써 보안 레벨이 선택될 수 있다. 모든 보안 레벨은 도 7 과 관련하여 아래에서 추가적으로 설명될 쉬레딩 절차들과 비트 패턴들의 소정 조합과 연관된다.

도 8a 에서 리스트 옵션은,

-최대 수의 쉬레딩 패턴들이 (도 7 참조) 동기식으로 사용되는 "highest",

-예를 들어 15 개의 쉬레딩 패턴들을 선택사용하여, 초기의 동기 쉬레딩에 뒤이어 비동기 프로세스가 이어지는 "high",

-한정된 수의 쉬레딩 패턴들로 오직 비동기 쉬레딩 프로세스가 적용되는 "medium"

-사용자가 쉬레딩 실행들을 동기 또는 비동기 실행으로 적용할 것인지를 포함하여 쉬레딩 실행들의 선택과 수에 대한 그 자신의 선택권을 선택할 수도 있는 "custom" 을 포함한다. 물론, 발명의 범위내에서 다른 옵션이 있을 수 있다.

도 8b 에 도시된 바와 같이, 상기 프린터 드라이버의 기본 스크린에서, 특정 프린트 작업을 보안 작업으로 규정하기 위한 점검 박스 (71; tick box) 가 있다. 사용자가 그렇게 하는 경우, 사용자가 PIN 코드를 입력하도록 강제 대화창 (forced dialogue) 이 나타나고 (미 도시), 사용자는 프린팅 작업에 대한 질문을 받게 된다. 보안 작업의 다른 가능한 형태는 지문, 홍채 스캔 (iris scan) 또는 코드 카드와 같이, 사용자를 식별하는 것 또는 달리 사용자를 인정하는 것 (authorizing) 에 적당한 다른 보안 토큰들 (tokens) 을 포함한다. 프린트 작업을 보안 작업으로 규정하는 것은, 그 작업을 종료한 후에 프린터의 프린트 데이터를 쉬레딩하여 소거하는 것을 자동적으로 강요한다 (enforce).

또 다른 실시형태에서, 도 8a 에서 도시된 것과 유사한 선택 윈도우를 사용하여, 모든 사용자에게 보안 레벨을 실시할 수도 있는 슈퍼 사용자 (super user) (또한 "키 오프레이터"로 알려짐) 또는 시스템 관리자 (system administrator) 에게 상기 보안 레벨의 선택이 보유된다.

도 7 은 본 발명에서 사용될 수 있는, 서두에서 언급한 Gutmann 의 논문에서 제안된 바와 같은 쉬레딩 패턴들의 표를 나타낸다. 좌측 열은 각각의 데이터 패스들 (data passes) 또는 쉬레딩 실행들을 나타낸다. 2 번째 열은 다양한 쉬레딩 패턴들을 나타낸다. 그것들 중 어떤 것은 도시되지 않은 랜덤 패턴 발생기에 의해 생성되어 랜덤하다. 다른 것들은 보다 기본적인 패턴들의 연속으로 생성되는, 즉 16진수 "속기 (short hand)" 표기법 (notation) ("0x" 는 16진법을 가리킴) 의 열에서 도시된 바와 같은 비트 패턴들을 적절하게 반복함으로써 생성된다. 예를 들어, 7 번째 행은 0x92, 0x49, 0x24, 또는 "10010010 01001001 00100100" 의 비트 패턴의 반복을 생성한다. 도시된 바와 같이, 35 까지의 쉬레딩 실행이 필요할 수 있다. 도시된 바와 같은 여러 가지 상이한 패턴들을 가지고 35 연속 실행을 수행하는 것을 통해 최적의 경우가 얻어진다. 발생할 수 있는 수행 능력 저하와 필요한 보안 사이에서 균형을 얻기 위해, 소거 패턴들의 수는 0 과 35 사이에서 선택될 수 있다. 도시된 바와 같이 본 방법은 35 동작으로 사용된다. 보다 적은 동작이 적용되는 경우, 소정의 선택이 이루어진다.

도 9 는 오프레이팅 패널 (미도시) 상의 키를 활성화시키자 마자, 로컬 장치 디스플레이상에 프로젝트될 수 있는 정보 윈도우 (100; information window) 를 나타낸다. 바이트 상태로 "사용중인 데이터" (문서 데이터와 관련되지 않는 시프템 파일들 배제), "소거 프로세스중인 데이터", 및 여유 ("클린") 디스크 공간에 대한 엔트리들 (entries) 로서, 장치의 내부 하드 디스크의 실제 보안-관련 상태를 나타낸다. 상기 상태에 대해 빠른 느낌을 제공하도록 "연료 계기" 유형의 디스플레이 항목 (110) 이 추가된다. 또 다른 실시형태에서, 쉬레딩을 위해 스캐줄링되지만 아직 완전하게 소거되지 않은 데이터를 포함하는 "사용중인 데이터" 에 대한 엔트리들만이 나타난다. 또한 물론, 파일들의 개수를 구체화하는 정보를 나타내는 것도 가능하다. 상기 장치의 디스플레이상의 이러한 표시를 통해, 사용자는 제거되어야만 하는 데이터가 정말로 소거되었는지를 즉각적으로 알 수 있다. 상기 디스플레이를 생성하기 위해 필요한 정보는 장치 제어기에 상주하고 있는 운영 시스템에 의해 용이하게 전달될 수 있고, 동적 상태의 디스플레이를 제공하기 위해 정기적으로 리프레쉬될 (refreshed) 수 있다. 또한, 상기 디스플레이 윈도우는 시스템 관리자의 워크 스테이션상에 나타내질 수 있다.

본 발명은 매우 유사한 방법으로 스캐닝과 복사에도 유익하게 사용될 수도 있다. 스캐닝에서, 전담 스캐너 장치상 (on a dedicated scanner device) 에 또는 멀티기능 장치상에, 사용자는 그의 이름 또는 다른 식별 코드를 먼저 입력해야만 하고, 그 후 문서를 스캔할 수도 있다. 그 후, 상기 스캔 데이터는 사용자의 id 와 관련된 장치의 시스템 디스크상에 저장된다. 그 후, 사용자는 그의 워크스테이션으로 되돌아와서, 스캐너에 접속할 수도 있고 그의 스캔 파일을 불러올 수 있다. 본 발명에 따르면, 그 후 상기 스캔된 데이터는 디스크로부터 제거되고 사용된 디스크의 섹터는 쉬레딩에 의해 소거된다.

복사 동작에서, 스캐너는 원본 문서를 스캔하고, 상기 복사기의 내부 디스크상에 스캔된 데이터를 저장한 후, 상기 프린터는 디스크로부터 복사본들을 프린트한다. 사용된 디스크 공간의 쉬레딩은 상기 복사 작업 파라미터들을 세팅함과 동시에 자동적으로 또는 운전자에 의해 이루어진 세팅에 반응하여 행해진다.

언급된 모든 경우에서, 본 발명에 따른 전체 또는 적어도 부분적으로 백그라운드 프로세스로서 행해지는 쉬레딩 절차는 단지 아주 약간만 새로운 프린트, 복사 또는 스캔 작업을 교란시킨다.

본 발명은 바람직한 실시형태를 참조하여 상술되었다. 첨부된 청구범위의 범위를 벗어나지 않고 다양한 변경과 변형들이 이루어질 수 있다. 따라서, 상기 실시형태들은 예시적이며, 청구항에서 인용된 것을 제외하고 상기 실시형태들로부터 어떠한 제한이 있는 것으로 해석되어서는 아니된다.

상기와 같이 구성된 본 발명에 의하면, 적어도 부분적으로 데이터 프로세싱의 백그라운드에서 쉬레딩 동작이 가능하므로, 데이터 프로세싱을 방해하지 않고서 데이터 프로세싱과 쉬레딩 동작간에 데이터 스토리지 설비를 공유할 수 있다.

또한 본 발명은 문서 데이터를 프로세싱하는 프로세스들과 쉬레딩 패턴으로 저장된 데이터를 소거하는 프로세스들을 비동기적으로도 실현할 수 있고, 사용자가 직접 보안 레벨을 설정할 수도 있다.

도 1 은 본 발명에 관련된 시스템 블록도.

도 2 는 쉬레딩이 적용되지 않은 동작선도.

도 3 은 동기 쉬레딩을 가지는 동작선도.

도 4 는 비동기 쉬레딩을 가지는 동작선도.

도 5 는 혼합 모드의 쉬레딩을 가지는 동작선도.

도 6 은 혼합 (비) 동기 쉬레딩 동작의 흐름도.

도 7 은 쉬레딩 패턴의 표.

도 8a 및 도 8b 는 본 발명에 따라 데이터 소거를 제어하기 위한 사용자 인터페이스 윈도우들.

도 9 는 쉬레딩 프로세스 관리를 위한 사용자 인터페이스 윈도우.

<도면의 주요부분에 대한 부호의 설명>

10 : 제어기의 소프트웨어 프로세스 12 : 작업관련 파일

14 : 소거 파일 프로세스 16 : 파라미터

18 : 쉬레딩 프로세스 22 : 쉬레딩 패턴

36 : 디스플레이 70 : 프린터 드라이버 윈도우

71 : 점검 박스 100 : 정보 윈도우

Claims

문서 데이터 프로세싱 장치에서, 장치의 데이터 프로세싱 설비에 의해 액세스가능한 재기록 가능 데이터 캐리어상에 저장된 정보 패턴을 소거하는 방법으로서,

상기 문서 데이터 프로세싱 장치는,

문서 데이터를 프로세싱하는 제 1 프로세스들로서, 상기 데이터는 상기 데이터 캐리어상에 저장될 수도 있는, 제 1 프로세스들, 및

상기 캐리어의 선택된 스토리지 영역을 쉬레딩 패턴으로 오버라이팅 하여 저장된 데이터를 소거하는 제 2 프로세스들을 가지며,

상기 방법은 제 1 및 제 2 프로세스들을 비동기로, 즉, 임의의 미완인 제 2 프로세스의 완료와 무관하게 제 1 프로세스들을 시작하는 것을 특징으로 하는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

임의의 제 2 프로세스의 적어도 끝 단계 (end phase) 가 제 1 프로세스들과 비동기로, 방해하지 않을 정도로 실행되는 방식으로, 제 1 프로세스들과 임의의 제 2 프로세스들을 스케줄링하는 것을 특징으로 하는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

임의의 제 2 프로세스의 적어도 일부분은 제 1 프로세스들보다 더 낮은 우선 순위를 할당받는 것을 특징으로 하는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

제 2 프로세스에서의 상기 오버라이팅 하는 것은 상기 선택된 스토리지 영역전체를 각각 적어도 실제적으로 커버하는 쉬레딩 패턴들에 의한 일련의 쉬레딩 실행들로 이루어지는 것을 특징으로 하는, 정보 패턴의 소거 방법.
제 3 항에 있어서,

제 1 프로세스에서 사용한 스토리지 영역에 대한 제 2 프로세스의 초기 쉬레딩 실행은, 동기적으로, 즉, 상기 초기의 제 1 프로세스에 뒤이어지는 다음의 제 1 프로세스의 시작을 상기 초기 쉬레딩 실행의 완료시까지 저지함으로써 수행되는 것을 특징으로 하는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

제 1 프로세스의 완료후, 관련 저장 데이터 파일들은 시스템 관리표 (system administration table) 로부터 직접 제거되며, 상기 데이터 파일들을 소거하기 위한 제 2 프로세스가 비동기로 실행되는 것을 특징으로 하는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

상기 오버라이팅 하는 것은 상기 선택된 스토리지 영역에 대한 의도된 보안 레벨을 기초하여 구현되는, 정보 패턴의 소거 방법.
제 7 항에 있어서,

상기 오버라이팅 하는 것은 보안 작업, 즉, 프린터 위치에서 (at the printer location) 패스워드와 같은 보안 토큰 (token) 을 입력한 후에만 프린트될 수 있는 프린트 작업 동안에 자동적으로 수행되는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

상기 데이터 프로세싱 장치는 프린터인, 정보 패턴의 소거 방법.
제 1 항에 있어서,

상기 데이터 프로세싱 장치는 디지털 복사기인, 정보 패턴의 소거 방법.
제 1 항에 있어서,

상기 데이터 프로세싱 장치는 스캐너인, 정보 패턴의 소거 방법.
제 1 항에 있어서,

상기 선택된 스토리지 영역은 특정의 제 1 프로세스동안에 실제 운영 시스템에 의해 사용되는 임시, 중간 및 기타 데이터의 스토리지를 포함하는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

상기 재기록 가능 데이터 캐리어상의 스토리지 영역은, 오래되어 낡은 정보가 상기 스토리지 영역에 존재하는 즉시, 쉬레딩 패턴으로 상기 오버라이팅 하도록 자동지정되는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

상기 오버라이팅 하는 것은 소정의 충분한 크기의 스토리지 영역상에 대한 소정의 충분한 오버라이팅 활동 (overwriting activity) 에 기초하여 종료되는, 정보 패턴의 소거 방법.
제 12 항에 있어서,

상기 오버라이팅 하는 것은 삭제가능한 여러 파일들, 또는 특정 파일의 아이덴티티 또는 캐릭터간의 각각의 우선 순위 레벨들에 의해 스케줄링되며, 이 우선 순위 레벨은 임의의 선착순 원리에 의해 제어되는, 정보 패턴의 소거 방법.
제 4 항에 있어서,

상기 오버라이팅 하는 것은 삭제가능한 여러 파일들간의 우선 순위 레벨에 의해 스케줄링되며, 이 우선 순위 레벨은 특정 파일에 적용가능한 복수의 쉬레딩 실행들간의 특정 쉬레딩 실행 랭킹에 의해 제어되는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

특정 파일에 대한 쉬레딩을 시작하기 전에, 제 1 프로세스후 짧은 지연을 도입하는, 정보 패턴의 소거 방법.
제 1 항에 있어서,

내부 데이터의 보안 상태에 대한 표시를 제공하기 위해, 상기 장치에서의 제 2 프로세스들의 전체 진행을 디스플레이하는 것을 더 포함하는, 정보 패턴의 소거 방법.
데이터 프로세싱 설비 및 상기 데이터 프로세싱 설비에 의해 액세스가능한 재기록 가능 데이터 캐리어를 구비하는 문서 프로세싱 장치로서,

상기 데이터 프로세싱 설비는,

문서 데이터를 프로세싱하는 제 1 프로세스들로서, 상기 데이터는 상기 데이터 캐리어상에 저장될 수도 있는, 제 1 프로세스들, 및

상기 캐리어의 선택된 스토리지 영역을 쉬레딩 패턴으로 오버라이팅 하여 상기 데이터 캐리어에 저장된 데이터를 소거하는 제 2 프로세스들을 실행하며,

상기 데이터 프로세싱 설비는 상기 제 1 프로세스들과 제 2 프로세스들을 비동기로 실행하는데 적합하게 되는 것을 특징으로 하는, 문서 프로세싱 장치.
제 19 항에 있어서,

임의의 제 2 프로세스의 적어도 끝 단계 (end phase) 가 제 1 프로세스들과 방해하지 않는 방식으로, 제 1 프로세스들과 임의의 제 2 프로세스들을 스케줄링하는 스케줄러를 구비하는, 문서 프로세싱 장치.
제 19 항에 있어서,

제 2 프로세스는 상기 선택된 스토리지 영역 전체를 각각 적어도 실제적으로 커버하는 쉬레딩 패턴들에 의한 일련의 쉬레딩 실행들을 수행하는 것을 포함하는, 문서 프로세싱 장치.
제 21 항에 있어서,

제 2 프로세스는 초기 쉬레딩 실행을 동기적으로, 즉, 다음의 제 1 프로세스의 시작을 상기 초기 쉬레딩 실행의 완료시까지 저지함으로써 수행하고, 추가 쉬레딩 실행을 비동기적으로 수행하는, 문서 프로세싱 장치.
제 19 항에 있어서,

상기 데이터 프로세싱 설비는 문서 데이터의 파일에 소정의 부가된 정보 항목이 있는지를 검사하며,

상기 데이터 프로세싱 설비는 상기 파일에 제 1 프로세스를 적용한 후, 상기 부가된 정보 항목을 가지는 파일에 대해 제 2 프로세스를 자동적으로 적용하는, 문서 프로세싱 장치.
제 19 항에 있어서,

장치에서의 제 2 프로세스들의 전체 진행을 모니터링하는 수단, 및

내부 데이터의 보안 상태의 표시를 제공하기 위해, 운전자에게 상기 진행을 디스플레이하는 수단을 구비하는, 문서 프로세싱 장치.
제 19 항에 있어서,

상기 장치는 프린터, 복사기 또는 스캐너인, 문서 프로세싱 장치.