WO2022255396A1 - 電子装置、システム、及び電子装置の記憶装置に格納されたデータを消去する方法 - Google Patents

電子装置、システム、及び電子装置の記憶装置に格納されたデータを消去する方法 Download PDF

Info

Publication number
WO2022255396A1
WO2022255396A1 PCT/JP2022/022259 JP2022022259W WO2022255396A1 WO 2022255396 A1 WO2022255396 A1 WO 2022255396A1 JP 2022022259 W JP2022022259 W JP 2022022259W WO 2022255396 A1 WO2022255396 A1 WO 2022255396A1
Authority
WO
WIPO (PCT)
Prior art keywords
storage device
erasure
data stored
signal
server
Prior art date
Application number
PCT/JP2022/022259
Other languages
English (en)
French (fr)
Inventor
克直 高橋
健吾 都築
昌紀 北御門
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to CN202280038813.2A priority Critical patent/CN117716362A/zh
Priority to JP2023525882A priority patent/JPWO2022255396A1/ja
Publication of WO2022255396A1 publication Critical patent/WO2022255396A1/ja
Priority to US18/519,007 priority patent/US20240094938A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0628—Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0646—Horizontal data movement in storage systems, i.e. moving data in between storage devices or systems
    • G06F3/0652—Erasing, e.g. deleting, data cleaning, moving of data to a wastebasket
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/0608—Saving storage space on storage systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/062—Securing storage systems
    • G06F3/0623—Securing storage systems in relation to content
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0668—Interfaces specially adapted for storage systems adopting a particular infrastructure
    • G06F3/067—Distributed or networked storage systems, e.g. storage area networks [SAN], network attached storage [NAS]

Definitions

  • the present disclosure relates to electronic devices, systems, and methods of erasing data stored in storage devices of electronic devices.
  • Patent Document 1 discloses a data erasure management method in which data erasure processing is performed in a storage device in a terminal to be managed, and the execution result is recorded in a management database for each terminal to be managed and managed.
  • the present disclosure provides an electronic device that can identify and easily erase data stored in a storage device without error.
  • the present disclosure also provides systems including such electronic devices and server devices.
  • the present disclosure also provides a method of erasing data stored in a storage device of an electronic device.
  • An electronic device includes a first storage device, a communication device, and a processor.
  • the processor causes the electronic device to register with the server device by using the communication device to transmit a first signal including identification information that uniquely identifies the first storage device to the server device.
  • the processor using the communication device, receives a second signal including identification information of the first storage device registered with the server device that data stored in the first storage device should be erased.
  • a second signal is sent to the server device to inquire whether or not there is.
  • the processor erases the data stored in the first storage device when receiving a third signal instructing to erase the data stored in the first storage device from the server device. do.
  • the third signal is determined by the server device that the identification information of the first storage device included in the second signal matches the identification information of the first storage device included in the first signal, and , is transmitted from the server device to the electronic device if it is registered in the server device that the data stored in the first storage device should be erased.
  • data stored in a storage device can be identified without error and easily deleted.
  • FIG. 1 is a schematic diagram showing the configuration of a system 100 according to a first embodiment
  • FIG. 2 is a block diagram showing the configuration of the client device 1 of FIG. 1
  • FIG. 2 is a block diagram showing the configuration of a server device 2 of FIG. 1
  • FIG. 2 is a block diagram showing the configuration of administrator device 3 in FIG. 1.
  • FIG. 2 is a block diagram showing the configuration of a user terminal device 4 of FIG. 1
  • FIG. 3 is a schematic diagram showing functional blocks of a firmware program 50 and an erase application program 70 executed by processor 11 of FIG. 2
  • FIG. 3 is a flow chart showing registration processing by an erasure application program 70 executed by the processor 11 of FIG. 2
  • FIG. 4 is a flowchart showing registration processing of the server device 2 executed by the processor 21 of FIG.
  • FIG. 4 is a diagram showing exemplary contents of a management table 22a stored in the memory 22 of FIG. 3;
  • FIG. 3 is a flow chart showing erasing processing by the erasing application program 70 executed by the processor 11 of FIG. 2;
  • FIG. 3 is a flow chart showing erasure processing by a firmware program 50 executed by a processor 11 of FIG. 2;
  • FIG. FIG. 4 is a flowchart showing erasing processing of the server device 2 executed by the processor 21 of FIG. 3;
  • FIG. 12 is a diagram showing the contents displayed on the display device 16 of the client device 1 in step S39 of FIG. 11;
  • FIG. 3 is a sequence diagram showing the operation of the system 100 in FIG. 1 when erasure result information has been successfully transmitted via the communication line 6.
  • FIG. 3 is a sequence diagram showing the operation of the system 100 in FIG. 1 when erasure result information has been successfully transmitted via the communication line 6.
  • FIG. 2 is a sequence diagram showing the operation of system 100 in FIG. 1 when transmission of erasure result information via communication line 6 fails;
  • FIG. FIG. 10 is a flow chart showing the operation of the system according to the second embodiment, which is deletion and verification processing by the firmware program 50 executed by the processor 11 of the client device 1.
  • FIG. FIG. 17 is a flowchart showing a subroutine of step S70 (verification processing) of FIG. 16;
  • FIG. FIG. 10 is a flow chart showing the operation of the system according to the second embodiment, which is the deletion and verification process of the server device 2 executed by the processor 21.
  • FIG. 4 is a schematic diagram for explaining a first verification method for the storage device 13;
  • FIG. FIG. 11 is a schematic diagram for explaining a second verification method for the storage device 13;
  • FIG. 11 is a sequence diagram showing the operation of the system according to the second embodiment, and showing the operation of the system 100 when transmission of erasure result information and verification result information via the communication line 6 is successful;
  • FIG. 10 is a sequence diagram showing the operation of the system according to the second embodiment, and showing the operation of the system 100 when transmission of erasure result information and verification result information via the communication line 6 fails;
  • FIG. 11 is a flow chart showing a subroutine of step S70A (verification processing) executed by the processor 11 of the client device 1, which is the operation of the system according to the modification of the second embodiment;
  • FIG. FIG. 10 is a flow chart showing the operation of the system according to the modification of the second embodiment, which is the deletion and verification process of the server device 2 executed by the processor 21.
  • FIG. 1 is a schematic diagram showing the configuration of a system 100 according to the first embodiment.
  • the system 100 of FIG. 1 includes a plurality of client devices 1-1 to 1-3, server device 2, administrator device 3, user terminal device 4, base station device 5, and communication line 6.
  • client devices 1-1 to 1-3 server device 2, administrator device 3, user terminal device 4, base station device 5, and communication line 6.
  • server device 2 administrator device 3
  • user terminal device 4 user terminal device 4
  • base station device 5 base station device 5
  • communication line 6 communication line 6.
  • the client devices 1-1 to 1-3 are communicatively connected to the server device 2 via a communication line 6.
  • the client devices 1-1 to 1-3 are electronic devices, such as personal computers, mobile phones, etc., having storage devices (described later).
  • client devices 1-1 to 1-3 are also collectively referred to as “client device 1".
  • the server device 2 manages erasure of data stored in the storage device of each client device 1 .
  • the administrator device 3 is communicably connected to the server device 2 via the communication line 6 .
  • An administrator of each client device 1 accesses the server device 2 using the administrator device 3 and designates a storage device from which stored data should be erased.
  • the user terminal device 4 is an electronic device, such as a mobile phone, equipped with a camera 48 and a communication device.
  • the user terminal device 4 is communicably connected to the server device 2 via the base station device 5 .
  • the communication line 6 is, for example, a local area network (LAN), the Internet, or a combination thereof.
  • LAN local area network
  • the Internet the Internet
  • each client device 1 and administrator device 3 may be owned by an organization such as a company, while the server device 2 may be operated by a third party different from this organization.
  • the organization that owns each client device 1 and administrator device 3 concludes a contract with the business operator of the server device 2 to manage the erasure of data stored in the storage device of each client device 1. Become a customer.
  • erase means to make the original stored data unreadable, and to overwrite it with other data, such as "0", “1", random values, etc.
  • the original data can be rendered unreadable by executing the command erase function (for example, secure erase command) built into the firmware program of the storage device.
  • FIG. 2 is a block diagram showing the configuration of the client device 1 in FIG.
  • the client device 1 comprises a bus 10 , a processor 11 , a memory 12 , a storage device 13 , a storage device 14 , a communication device 15 , a display device 16 and an input device 17 .
  • the processor 11 controls the overall operation of the client device 1 and erases data stored in the storage device 13, for example.
  • the memory 12 temporarily stores programs and data necessary for the operation of the client device 1 .
  • the storage device 13 stores data including an operating system (OS), multiple application programs (APP), and user data.
  • the storage device 13 is, for example, a nonvolatile storage medium such as a hard disk drive (HDD) or solid state drive (SSD).
  • HDD hard disk drive
  • SSD solid state drive
  • the storage device 14 stores a firmware program for the client device 1, such as a UEFI (Unified Extensible Firmware Interface) or BIOS (Basic Input/Output System) program.
  • the storage device 14 is, for example, a non-volatile storage medium such as flash memory.
  • the communication device 15 is communicably connected to the server device 2 via the communication line 6 .
  • the display device 16 displays information related to the state of the client device 1 , for example, displays an image containing information related to erasure of data stored in the storage device 13 .
  • the input device 17 receives user input that controls the operation of the client device 1 , for example user input related to erasing data stored in the storage device 13 .
  • the input device 17 includes, for example, a keyboard and pointing device.
  • Processor 11 , memory 12 , storage device 13 , storage device 14 , communication device 15 , display device 16 and input device 17 are connected to each other via bus 10 .
  • FIG. 3 is a block diagram showing the configuration of the server device 2 in FIG.
  • the server device 2 includes a bus 20 , processor 21 , memory 22 , storage device 23 and communication device 25 .
  • the processor 21 controls the overall operation of the server device 2 and manages erasure of data stored in the storage device 13 of each client device 1 .
  • the memory 22 temporarily stores programs and data necessary for the operation of the server device 2 .
  • the memory 22 stores a management table 22a for managing erasure of data stored in the storage device 13 of each client device 1.
  • the storage device 23 is a non-volatile storage medium that stores programs necessary for the operation of the server device 2 .
  • the communication device 25 is communicably connected to each client device 1 and the administrator device 3 via the communication line 6 .
  • Processor 21 , memory 22 , storage device 23 and communication device 25 are interconnected via bus 20 .
  • FIG. 4 is a block diagram showing the configuration of the administrator device 3 in FIG.
  • the administrator device 3 comprises a bus 30 , a processor 31 , a memory 32 , a storage device 33 , a communication device 35 , a display device 36 and an input device 37 .
  • Processor 31 controls the overall operation of administrator device 3 .
  • the memory 32 temporarily stores programs and data necessary for the operation of the administrator device 3 .
  • the storage device 33 is a non-volatile storage medium that stores programs necessary for the operation of the administrator device 3 .
  • the communication device 35 is communicably connected to the server device 2 via the communication line 6 .
  • the display device 36 displays information related to the status of the administrator device 3 .
  • Input device 37 receives user input for controlling the operation of administrator device 3 .
  • the input device 37 includes, for example, a keyboard and pointing device.
  • Processor 31 , memory 32 , storage device 33 , communication device 35 , display device 36 and input device 37 are interconnected via bus 30 .
  • the server device 2 provides an interface, for example a web page-based interface, accessible by the administrator device 3 in order to manage the erasure of data stored in the storage device of each client device 1 .
  • server device 2 executes a web server application program
  • administrator device 3 executes a web browser application program to access the web server of server device 2 .
  • FIG. 5 is a block diagram showing the configuration of the user terminal device 4 in FIG.
  • the user terminal device 4 comprises a bus 40 , a processor 41 , a memory 42 , a storage device 43 , a communication device 45 , a display device 46 , an input device 47 and a camera 48 .
  • the processor 41 controls the operation of the user terminal device 4 as a whole.
  • the memory 42 temporarily stores programs and data necessary for the operation of the user terminal device 4 .
  • the storage device 43 is a non-volatile storage medium that stores programs necessary for the operation of the user terminal device 4 .
  • the communication device 45 is communicably connected to the server device 2 via the base station device 5 .
  • the display device 46 displays information related to the state of the user terminal device 4 .
  • the input device 47 receives user input that controls the operation of the user terminal device 4 .
  • the input device 47 includes, for example, switches and a touch panel.
  • the camera 48 captures an image displayed on the display device 16 of the client device 1, for example.
  • the display device 16 of the client device 1 may display an image (for example, a two-dimensional barcode) containing information related to erasure of data stored in the storage device 13 of the client device 1. be.
  • the user terminal device 4 transmits the contents of the captured image to the server device 2 via the base station device 5 .
  • Processor 41 , memory 42 , storage device 43 , communication device 45 , display device 46 , input device 47 and camera 48 are interconnected via bus 40 .
  • the storage device 13 stores an operating system and a plurality of application programs
  • the storage device 14 stores firmware programs.
  • An operating system, application programs, and firmware programs are executed by the processor 11 .
  • the firmware program is first executed, and then the operating system is called from the firmware program.
  • Application programs run on the operating system.
  • the application program accesses each hardware device (storage device 13, storage device 14, communication device 15, display device 16, and input device 17) of the client device 1 via the operating system.
  • the firmware program directly accesses each hardware device of the client device 1 without going through the operating system.
  • One of the application programs is an erasure application program for erasing data stored in storage device 13 .
  • the client device 1 is configured to erase data stored in the storage device 13 by executing an erasure application program and a firmware program.
  • FIG. 6 is a schematic diagram showing functional blocks of the firmware program 50 and the erase application program 70 executed by the processor 11 of FIG.
  • the firmware program 50 includes, for example, a core control unit 51, an erasure control unit 52, a data encoding unit 53, and a two-dimensional barcode generation unit 54 as its functional blocks.
  • the core control unit 51 controls other functional blocks of the firmware program 50 , controls input/output of data between functional blocks, and controls input/output of data from the firmware program 50 to the outside.
  • the erasure control unit 52 controls erasure of data stored in the storage device 13 .
  • the data encoding unit 53 encodes erasure result information indicating whether or not erasure of all data stored in the storage device 13 has succeeded using a predetermined encoding method.
  • the two-dimensional barcode generation unit 54 generates a two-dimensional bar code including erasure result information (including erasure completion information if erasure of data is successful) indicating whether or not erasure of all data stored in the storage device 13 has succeeded. Generate a dimensional barcode.
  • the operating system 60 provides an interface for each hardware device (storage device 13, storage device 14, communication device 15, display device 16, and input device 17) of the client device 1, an erasure application program 70 and other application programs. (not shown).
  • the operating system 60 includes, for example, a device information monitor 61 and a power management unit 62 as its functional blocks.
  • the device information monitor 61 obtains information about the client device 1 from the client device 1, and obtains information about various components of the client device 1 from the components.
  • the example of FIG. 6 shows a case where the device information monitor 61 acquires information on the storage device 13 of the client device 1 .
  • the information on the client device 1 includes, for example, the manufacturer, model, serial number, and UUID (Universally Unique Identifier) of the client device 1 .
  • the information on the storage device 13 includes, for example, the manufacturer, model, serial number, UUID, and capacity of the storage device 13 .
  • the power management unit 62 controls stopping, suspending, pausing, and restarting of the client device 1
  • the storage devices 13 of the client devices 1 under the control of a certain server device 2 can be identified from each other. Therefore, the manufacturer of the client device 1, the model of the client device 1, the serial number of the client device 1, the UUID of the client device 1, the manufacturer of the storage device 13, the model of the storage device 13, the serial number of the storage device 13, and the storage device 13 UUIDs and at least part of the capacity of the storage device 13 can be used as identification information that uniquely identifies the storage device 13 .
  • the erase application program 70 includes, for example, a core controller 71 as its functional block.
  • the core control unit 71 controls other functional blocks (not shown) of the erasure application program 70, controls input/output of data between functional blocks, and controls input/output of data to/from the outside of the erasure application program 70. .
  • the storage device 13 of the client device 1 executes a firmware program including the functional blocks shown in FIG.
  • the storage device 13 includes, for example, a core control unit 81, a reading unit 82, a writing unit 83, and an erasing unit 84 as its functional blocks.
  • the core control unit 81 controls other functional blocks of the storage device 13 and controls input/output of data between the functional blocks.
  • the reading unit 82 reads data from a storage medium (not shown) of the storage device 13 .
  • the writing unit 83 writes data to the storage medium of the storage device 13 (including erasing the original data by overwriting with "0", "1", random values, etc.).
  • the erasing unit 84 erases data in the storage medium of the storage device 13 (including erasing data by executing a secure erase command incorporated in the firmware program).
  • FIG. 7 is a flow chart showing registration processing of the client device 1 by the deletion application program 70 executed by the processor 11 of FIG.
  • FIG. 8 is a flow chart showing registration processing of the server device 2 executed by the processor 21 of FIG.
  • ⁇ Account information of the server device 2 (customer ID and password)
  • URL Uniform Resource Locator
  • Customer number (serial number associated with account information and assigned to each customer) The customer number is generated for each customer, that is, for each contract that manages erasure of data stored in the storage device of each client device 1 , so it is not identification information for each client device 1 or storage device 13 .
  • Each client device 1 accesses the URL of the erasure application program 70, downloads the erasure application program 70, and installs it. After installation, the erasure application program 70 is launched automatically or manually. After starting the deletion application program 70, the processor 11 executes the registration process of FIG. 7 in order to register the storage device 13 of the client device 1 with the server device 2.
  • step S1 of FIG. 7 the core control unit 71 of the client device 1 displays on the display device 16 a dialog box prompting the user to enter the customer number assigned to the organization that owns the client device 1.
  • the user of the client device 1 inputs the customer number using the input device 17 according to the dialog box.
  • the core control unit 71 acquires the customer number from the user via the input device 17 .
  • step S ⁇ b>2 the core control unit 71 of the client device 1 acquires information on the client device 1 and information on the storage device 13 from the device information monitor 61 of the operating system 60 .
  • step S3 the core control unit 71 of the client device 1 uses the communication device 15 to transmit the customer number, information on the client device 1, and information on the storage device 13 to the server device 2.
  • step S11 of FIG. 8 the server device 2 receives the customer number, the information on the client device 1, and the information on the storage device 13.
  • step S12 the server device 2 registers the client device 1 and its storage device 13 in the management table 22a as new management targets.
  • the server device 2 sends an acknowledgment signal to the client device 1 in step S13.
  • step S4 of FIG. 7 the core control unit 71 of the client device 1 determines whether or not an acknowledgment signal from the server device 2 has been received. back to
  • the storage device 13 of the client device 1 is registered in the management table 22a of the server device 2 as a new management target.
  • the user of the client device 1 only needs to input the customer number using the input device 17, and the information of the client device 1 and the information of the storage device 13 are stored in the client device 1. to the server device 2 automatically.
  • the user of the client device 1 does not need to be aware of the organization to which the client device 1 belongs (or the organization that owns the client device 1).
  • the stored storage devices 13 are automatically sorted for each customer.
  • the administrator of the organization that owns each client device 1 should delete the data stored in the storage device 13 as necessary. are registered in the server apparatus 2. Therefore, the administrator first accesses the server device 2 using the administrator device 3 and logs in to the server device 2 using the account information. Next, while browsing the list of storage devices 13 registered in the management table 22a, the administrator sets an erasure flag indicating that the stored data should be erased for one or a plurality of storage devices 13. set.
  • FIG. 9 is a diagram showing exemplary contents of the management table 22a stored in the memory 22 of FIG.
  • the management table 22a includes, for example, a customer number, a group number, information on the client device 1, information on the storage device 13, an erasure flag, a process number, erasure start time, and Contains erasure end time.
  • a customer number is assigned to each customer as described above.
  • a group number is assigned to any sub-organization (group) that is part of the customer's organization. For example, if the customer is a company, the group may be a department or division of that company.
  • the information on the client device 1 includes, for example, the manufacturer, model, serial number, and UUID of the client device 1, as described above.
  • the information of the storage device 13 includes, for example, the manufacturer, model, serial number, UUID, and capacity of the storage device 13, as described above.
  • the erase flag indicates that the data stored in the storage device 13 should be erased, as described above.
  • a processing number is issued for each storage device 13 whose erasure flag is set to indicate that the data stored in the storage device 13 should be erased.
  • the erasure start time and erasure end time indicate the time when the erasure of the data stored in the storage device 13 actually started and ended.
  • the customer number is provided by the server device 2.
  • the group number, client device 1 information, and storage device 13 information are provided by the client device 1 .
  • the deletion flag is set by the administrator of the organization that owns each client device 1 using the administrator device 3 .
  • the transaction number is provided by the server device when an erasure flag is set indicating that the stored data should be erased.
  • the erasure start time and erasure end time are acquired when the data stored in the storage device 13 is actually erased.
  • the server device 2 may generate a status report indicating the status of each client device 1 and each storage device 13 based on the management table 22a.
  • the status report indicates, for example, which of the following states each storage device 13 is in. ⁇ Erasure flag set ⁇ Erasure in progress ⁇ Erasure completed ⁇ Erasure completed and erasure certificate issued ⁇ Erasure failed The erasure certificate will be described later.
  • the status report may also contain the following information: ⁇ Erasure flag setting date ⁇ Erasure approver ⁇ Erasure start date ⁇ Erasure completion date ⁇ Erasure method ⁇ Manufacturer, model, and serial number of client device 1 ⁇ Manufacturer, model, serial number, and capacity of storage device 13
  • the administrator can view the status report by accessing the server device 2 using the administrator device 3 .
  • FIG. 10 is a flowchart showing erasing processing by the erasing application program 70 executed by the processor 11 of FIG.
  • FIG. 11 is a flow chart showing erasure processing by the firmware program 50 executed by the processor 11 of FIG.
  • FIG. 12 is a flow chart showing the erasing process of the server device 2 executed by the processor 21 of FIG.
  • step S51 of FIG. 12 the server device 2 determines whether or not the storage device 13 to be erased has been specified by the administrator device 3. If YES, the process proceeds to step S52, and if NO, step S51. repeat.
  • step S52 the server apparatus 2 sets an erasure flag to the storage device 13 designated as an erasure target in the management table 22a, and updates the status report of this storage device 13.
  • the erasure application program 70 is automatically or manually started.
  • step S21 of FIG. 10 the core control unit 71 of the client device 1 registers an erasure flag for the storage device 13 of the client device 1 executing the erasure process of FIG. Using the communication device 15, the server device 2 is inquired as to whether or not there is.
  • step S53 of FIG. 12 the server apparatus 2 determines whether or not it has received an inquiry about the deletion flag from the client apparatus 1. If YES, the process proceeds to step S54, and if NO, the process returns to step S51. In step S54, the server device 2 returns to the client device 1 whether or not there is an erasure flag.
  • step S22 of FIG. 10 the core control unit 71 of the client device 1 confirms that the deletion flag is registered in the management table 22a of the server device 2 for the storage device 13 of the client device 1 executing the deletion process of FIG. If YES, the process proceeds to step S23, and if NO, the process returns to step S21.
  • step S ⁇ b>23 the core control unit 71 of the client device 1 uses the communication device 15 to transmit the information of the client device 1 and the information of the storage device 13 to the server device 2 .
  • step S55 of FIG. 12 the server device 2 determines whether or not the information of the client device 1 and the storage device 13 has been received. If YES, the process proceeds to step S56, and if NO, the process returns to step S51.
  • step S56 the server device 2 generates a processing number for the storage device 13 of the client device 1 executing the erasure processing of FIG. If the server device 2 cannot identify the storage device 13 based on the received information about the client device 1 and the information about the storage device 13, or if the deletion flag is not set, the server device 2 returns an error as a response.
  • the storage device 13 can be specified based on the received information of the client device 1 and the information of the storage device 13, if the deletion flag is not set or if the identification information of the storage device 13 is different, it is different. may be returned as a response. In this case, since the processing number is not returned, the client device 1 cannot erase the data stored in the storage device.
  • step S24 of FIG. 10 the core control unit 71 of the client device 1 determines whether or not a processing number for erasing has been received in response to the information transmitted in step S23, and if YES, step S25. , and if NO, return to step S23.
  • step S25 the core control unit 71 of the client device 1 displays on the display device 16 a dialog box for confirming whether or not the data stored in the storage device 13 can be erased.
  • the user of the client device 1 uses the input device 17 to enter whether or not to erase the data stored in the storage device 13 according to the dialog box.
  • the core control unit 71 acquires whether or not data stored in the storage device 13 can be erased via the input device 17 .
  • step S26 the core control unit 71 of the client device 1 determines whether or not the user has consented to erasure of the data stored in the storage device 13. If YES, the process proceeds to step S27. exit.
  • step S27 the core control unit 71 of the client device 1 sends the UUID of the storage device 13, the process number, the address of the server device 2, and information on the erasure method to the firmware program 50.
  • the erase method information is, for example, secure erase (an example of command erase), overwrite three times erase (overwrite content: "0", “1", or random value), overwrite one time erase (overwrite content: “0") ", "1", any random value), failure, etc.
  • the core control unit 51 of the firmware program 50 stores the UUID of the storage device 13, the process number, the address of the server device 2, and the information of the erasure method obtained from the erasure application program 70 in the storage device 14 (step 11 in FIG. 11). S31).
  • the core control unit 51 acquires and stores the UUID of the storage device 13, the process number, the address of the server device 2, and the erasure method information, it sends an acknowledgment signal to the erasure application program 70 (see step S32 in FIG. 11). ).
  • step S28 in FIG. 10 the core control unit 71 of the client device 1 determines whether or not an acknowledgment signal has been received from the firmware program 50. If YES, the process proceeds to step S29, and if NO, the process proceeds to step S27. return.
  • step S ⁇ b>29 the core control unit 71 of the client device 1 restarts the client device 1 by sending a control signal to the power management unit 62 of the operating system 60 .
  • Steps S31 to S33 in FIG. 11 correspond to steps S27 to S29 in FIG.
  • the core control unit 51 of the client device 1 transmits the UUID of the storage device 13, the processing number, the address of the server device 2, and the information of the deletion method obtained from the deletion application program 70 to the storage device 14. Store.
  • step S32 the core control unit 51 of the client device 1 sends an acknowledgment signal to the deletion application program 70 when the UUID of the storage device 13, the process number, the address of the server device 2, and the information of the deletion method are acquired and stored. .
  • step S33 the erasure application program 70 restarts the client device 1.
  • firmware program 50 continues the erasing process of FIG. 11 without calling the operating system 60.
  • step S34 the core control unit 51 of the client device 1 uses the deletion control unit 52 to delete all the data stored in the storage device 13 using the designated deletion method.
  • the erase control unit 52 may erase data (command erase) using a secure erase command of the storage device.
  • the core control unit 51 stores data indicating the erasure result including erasure start time, erasure end time, and erasure method in the storage device 14 .
  • step S35 the core control unit 51 of the client device 1 reads data indicating the erasure result from the storage device 14, and uses the data encoding unit 53 to encode the data indicating the erasure result in a predetermined encoding method. Encode. Core control unit 51 stores the encoded data in storage device 14 .
  • Encoding of the data indicating the encoded erasure results is performed, for example, in the following steps.
  • UUID, transaction number, erasure start time, erasure end time, and erasure method are serially arranged These parameters may be arranged in CSV format, for example.
  • (2) Convert the character string related to the parameter in step (1) to a half-width character string such as BCD. You can add a string here.
  • (3) Calculate the hash value of the string in step (2).
  • (4) Convert the character string in step (2) and the hash value in step (3) into a format that can be transmitted via the communication line 6; For example, URL encoding is performed if necessary.
  • step S ⁇ b>36 the core control unit 51 of the client device 1 reads the encoded data indicating the erasure result from the storage device 14 , and transmits the encoded data indicating the erasure result to the server device 2 using the communication device 15 . Send to
  • step S57 of FIG. 12 the server device 2 determines whether or not the deletion result has been received from the client device 1. If YES, the process proceeds to step S58, and if NO, the process returns to step S51.
  • step S58 the server device 2 transmits to the client device 1 an acknowledgment signal for the erasure result.
  • step S37 of FIG. 11 the core control unit 51 of the client device 1 determines whether or not an acknowledgment signal has been received from the server device 2. If YES, the process proceeds to step S41, and if NO, the process proceeds to step S38. move on.
  • step S38 the core control unit 51 of the client device 1 reads data indicating the erasure result from the storage device 14, and uses the two-dimensional barcode generation unit 54 to generate a two-dimensional barcode from the data indicating the erasure result. do.
  • the core controller 51 stores the generated two-dimensional barcode in the storage device 14 .
  • step S ⁇ b>39 the core control unit 51 of the client device 1 reads the two-dimensional barcode from the storage device 14 and displays the two-dimensional barcode on the display device 16 .
  • FIG. 13 is a diagram showing the contents displayed on the display device 16 of the client device 1 in step S39 of FIG.
  • a display screen 200 displayed on the display device 16 includes, for example, a two-dimensional barcode 201, a keyword 202, and an input field 203.
  • FIG. The user takes an image of the two-dimensional barcode 201 using the camera 48 of the user terminal device 4, and the processor 41 of the user terminal device 4 decodes the two-dimensional barcode 201 to extract data indicating the erasure result.
  • the user terminal device 4 can be operated to send data to the server device 2 .
  • the core control unit 51 of the client device 1 determines whether or not the keyword displayed on the display device 16 has been input from the input device 17. If YES, the process proceeds to step S41; repeats step S40.
  • the image of the two-dimensional bar code 201 may not be erased by simple processing such as turning off the power.
  • the core control unit 51 may display on the display device 16 a message prompting the input of a predetermined keyword 202 (“End 1207” in the example of FIG. 13) along with the two-dimensional barcode 201 .
  • the process proceeds to step S41.
  • a different keyword is entered or the power switch is operated, the same screen is displayed again.
  • the erasure result is first transmitted from the client device 1 to the server device 2 via the communication line 6 in step S36. If a failure or the like occurs in the communication line 6, that is, if an acknowledgment signal for the erasure result is not received in step S37, the erasure result is returned to the user terminal device 4 by executing steps S38 and S39. is sent to the server device 2 via the Therefore, in step S57 of FIG. 12, the server device 2 may receive the deletion result from the client device 1 via the communication line 6, or may receive the deletion result via the user terminal device 4.
  • step S59 the server device 2 saves the erasure result in the management table 22a and updates the status report.
  • step S60 the server device 2 issues an erasure certificate based on the erasure result.
  • step S41 of FIG. 11 the core control unit 51 of the client device 1 performs post-processing and shuts down the client device 1.
  • FIG. 14 is a sequence diagram showing the operation of the system 100 in FIG. 1 when the erasure result information has been successfully transmitted via the communication line 6.
  • FIG. 15 is a sequence diagram showing the operation of system 100 in FIG. 1 when transmission of erasure result information via communication line 6 fails.
  • FIGS. 14 and 15 for simplification of illustration, only major steps among the steps described with reference to FIGS. 7, 8, and 10 to 12 are shown, and others are omitted.
  • the client device 1 acquires a customer number from the user in step S1. Next, the client device 1 transmits the customer number, the information of the client device 1 and the information of the storage device 13 to the server device 2 .
  • the server device 2 registers the storage device 13 of the client device 1 as a new management target based on the customer number, information on the client device 1, and information on the storage device 13.
  • the administrator device 3 transmits the account information to the server device 2, logs in to the server device 2, and in step S101 selects the storage device 13 to be erased, that is, the storage device 13 whose stored data is to be erased. specify.
  • step S52 the server device 2 stores the deletion flag in the management table 22a so as to correspond to the storage device 13 specified in step S101.
  • the client device 1 periodically inquires of the server device 2 whether or not an erasure flag is set in the management table 22a corresponding to the storage device 13 of the client device 1.
  • the client device 1 stores the information of the client device 1 and the information of the storage device 13.
  • Send to the server device 2 If the information of the client device 1 and the information of the storage device 13 received by the server device 2 match the information of the client device 1 and the information of the storage device 13 registered in the management table 22a, the server device 2 A transaction number for the storage device 13 of the device 1 is generated and sent to the client device 1 .
  • step S25 the client device 1 displays a dialog box on the display device 16 for confirming whether or not the data stored in the storage device 13 can be erased. If the user approves the erasure of the data stored in the storage device 13, the client device 1 is restarted in step S29. After that, in step S34, the client device 1 erases all the data stored in the storage device 13. FIG.
  • the client device 1 After the erasure is completed, the client device 1 transmits the erasure result information to the server device 2. If a response signal to the erasure result information is received from the server device 2 within a predetermined time-out period, the client device 1 ends the process.
  • the server device 2 stores the erasure result included in the erasure result signal in the management table 22a in step S59. In step S60, the server device 2 issues an erasure certificate based on the erasure result included in the erasure result signal.
  • the client device 1 when the erasure result information transmitted by the client device 1 does not reach the server device 2, or when a response signal to the erasure result information is desired to be received, the client device 1 performs step At S39, the two-dimensional barcode is displayed on the display device 16.
  • the user of the client device 1 uses the user terminal device 4 to photograph the two-dimensional barcode displayed on the display device 16 of the client device 1 in step S111.
  • the processor 41 of the user terminal device 4 decodes the two-dimensional barcode, extracts data indicating the erasure result, and transmits this data to the server device 2 .
  • steps S59-S60 in FIG. 15 are the same as the corresponding steps in FIG.
  • Erasure certificate For example, when data stored on a storage device is erased using erasure software or an erasure process certified by a third-party certification body, such as the Association of Data Erase Certification (ADEC). , can issue a certificate indicating that proper erasure of data has been performed.
  • the certificate contains, for example, the following information.
  • the erasure execution date and erasure result are sent from the client device 1 to the server device 2 by the firmware program 50 .
  • the information necessary for issuing the erasure certificate can be automatically sent from the client device 1 to the server device 2, so that the erasure certificate can be easily issued.
  • the administrator accesses the server device 2 and instructs that the data stored in the storage device 13 of each client device 1 should be erased.
  • the client device inquires of the server device 2 about the presence or absence of the erasure flag. This makes it possible to specify and easily set the storage device 13 to be erased without error. No signal is sent from the server device 2 to the client device 1 when erasing is started, and the user of the client device 1 only needs to connect the client device 1 to the communication line 6 when erasing is started. Therefore, data can be erased according to the convenience of the user. As a result, the data stored in the storage device 13 can be identified without error and easily erased.
  • the following advantages are provided by performing the erasing process using not only the erasing application program 70 but also the erasing application program 70 and the firmware program 50 in combination.
  • An erasure application program 70 running on operating system 60 resides in storage device 13 .
  • a UEFI application program running on firmware program 50 resides on storage device 13 . Therefore, when data stored in the storage device 13 is erased by the erasure application program 70 or the UEFI application program, the area of the storage device 13 where the program resides cannot be deleted. Also, the erasure application program 70 or the UEFI application program cannot communicate with the server device 2 via the communication line after the erasure of data is completed.
  • the erasure application program 70 or the UEFI application program cannot operate after the erasure of data is completed, the information indicating the erasure result (eg erasure start time, erasure end time, erasure method) cannot be acquired.
  • the firmware program 50 by executing the firmware program 50, all data stored in the storage device 13 can be erased. can communicate with the server device 2 via the device, and can acquire information indicating the erasure result after the erasure of the data is completed.
  • the deletion of data stored in the storage device 13 it is conceivable to entrust the deletion of data stored in the storage device 13 to a company.
  • transporting a client device with a storage device whose stored data is to be erased to the merchant's premises presents a security risk.
  • Using a form of delivery with high security increases costs.
  • erasing data takes a long time, for example, half a day.
  • the data stored in the storage device 13 can be deleted without moving the client device 1. Therefore, the security is high, the cost is low, and the data can be easily stored. can be erased.
  • the erasure is certifiable, while if the confirmation is not possible, the user is prompted to erase the data.
  • the person in charge requests the issuance of an ADEC erasure certificate.
  • the administrator obtains an ADEC erasure certificate.
  • the data stored in the storage device 13 can be identified without error and easily deleted.
  • a client device 1 (an example of an electronic device) comprises a storage device 13 (an example of a first storage device), a communication device 15 and a processor 11 .
  • the processor 11 causes the client device 1 to be registered with the server device 2 by using the communication device 15 to send a first signal including identification information for uniquely identifying the storage device 13 to the server device 2 .
  • the processor 11 uses the communication device 15 to confirm whether the second signal containing the identification information of the storage device 13 is registered in the server device 2 so that the data stored in the storage device 13 should be erased. A second signal inquiring whether or not is transmitted to the server device 2 .
  • the processor 11 uses the communication device 15 to erase the data stored in the storage device 13 when receiving the third signal instructing to erase the data stored in the storage device 13 from the server device 2. .
  • the third signal is determined by the server device 2 that the identification information of the storage device 13 included in the second signal matches the identification information of the storage device 13 included in the first signal, and 13 is registered in the server device 2, it is transmitted from the server device 2 to the client device 1.
  • the data stored in the storage device can be identified without error and easily deleted.
  • storage device 13 may store data including an operating system, application programs, and user data.
  • the client device 1 may further include a storage device 14 (an example of a second storage device) that stores a firmware program.
  • Processor 11 may erase all data stored in storage device 13 by executing the firmware program.
  • processor 11 uses communication device 15 to store data in storage device 13 by executing a firmware program.
  • a fourth signal including erasure completion information indicating that erasure of all the data that has been deleted may be transmitted to the server device 2 .
  • the client device 1 may further include a display device 16. If the processor 11 does not receive an acknowledgment signal for the fourth signal from the server device 2, the processor 11 executes the firmware program to indicate that all the data stored in the storage device 13 has been erased.
  • a two-dimensional barcode 201 (an example of a first two-dimensional barcode) including completion information may be displayed on the display device 16 .
  • the second signal asks the server device 2 whether it is registered with the server device 2 that the data stored in the storage device 13 should be erased. and a seventh signal containing the identification of storage device 13 .
  • the processor 11 uses the communication device 15 to transmit a sixth signal to the server device 2, and uses the communication device 15 to register in the server device 2 that the data stored in the storage device 13 should be erased.
  • the eighth signal indicating that the server device 2 has received the seventh signal from the server device 2
  • the communication device 15 may be used to transmit the seventh signal to the server device 2 .
  • the identification information of the storage device 13 includes the manufacturer of the client device 1, the model of the client device 1, the serial number of the client device 1, the UUID of the client device 1, the manufacturer of the storage device 13, At least part of the model of the storage device 13, the serial number of the storage device 13, the UUID of the storage device 13, and the capacity of the storage device 13 may be included.
  • the storage device 13 of the client device 1 can be identified.
  • a system including a plurality of client devices 1 and a server device 2 described above.
  • the data stored in the storage device can be identified without error and easily deleted.
  • the server device 2 acquires from the client device 1 erasure completion information indicating that erasure of all data stored in the storage device 13 has been completed, and based on the erasure completion information, An erasure certificate certifying that erasure of all data stored in the storage device 13 has been completed may be issued.
  • the third signal instructs the storage device 13 of each of the plurality of client devices 1 registered with the server device 2 that the data stored in the storage device 13 should be erased. It may also include the issued transaction number.
  • the erasure completion information may include the process number, the UUID of the storage device 13, the erasure start time, the erasure completion time, and the erasure method.
  • a method for erasing data stored in a storage device 13 of a client device 1 includes transmitting a first signal including identification information that uniquely identifies the storage device 13 from the client device 1 to a server device. 2 to register the client device 1 with the server device 2 .
  • the method includes a second signal that includes identification information of the storage device 13 to inquire whether the server device 2 has registered that the data stored in the storage device 13 should be erased. signal from the client device 1 to the server device 2.
  • a step of erasing the data stored in the storage device 13 is included when a third signal instructing erasure of the data stored in the storage device 13 is received from the server device 2 .
  • the third signal is determined by the server device 2 that the identification information of the storage device 13 included in the second signal matches the identification information of the storage device 13 included in the first signal, and 13 is registered in the server device 2, it is transmitted from the server device 2 to the client device 1.
  • the data stored in the storage device can be identified without error and easily deleted.
  • erasing data stored in a storage device of an electronic device After erasing data stored in a storage device of an electronic device, it may be desired to verify that the data has been erased.
  • verifying erasure generally involves: It is necessary to read bit values in all storage areas of the storage device. For example, when overwriting and erasing a 1 TB SSD three times and verifying the erasure result, erasure takes about 2 hours (40 minutes ⁇ 3), and erasure verification takes another 40 minutes. As a result, it takes a very long time before the erase and verify results are known, making users and administrators of electronic devices wait.
  • the second embodiment provides an electronic device and system that does not make users and administrators wait much even if erasure verification is performed, and that is less likely to deteriorate usability than when erasure verification is not performed.
  • the system according to the second embodiment is a system including the client device 1, the server device 2, the administrator device 3, the user terminal device 4, etc. according to the first embodiment described with reference to FIGS. 100 is configured in the same manner.
  • the erasure control unit 52, the data encoding unit 53, and the two-dimensional barcode generation unit 54 of the firmware program 50 operate as described above. In addition, it is configured to perform the following operations.
  • the erasure control unit 52 further controls verification that the data stored in the storage device 13 has been erased.
  • the data encoding unit 53 further encodes verification result information indicating whether or not the verification that the data stored in the storage device 13 has been erased has been successful, using a predetermined encoding method.
  • the two-dimensional barcode generation unit 54 further includes verification result information indicating whether or not the verification that the data stored in the storage device 13 has been erased has succeeded (including verification completion information if the verification succeeds). ) to generate a 2D barcode.
  • client device 1 The operations of the client device 1, server device 2, administrator device 3, and user terminal device 4 will be described below.
  • FIG. 16 is the operation of the system according to the second embodiment, which is a flowchart showing erasure and verification processing by the firmware program 50 executed by the processor 11 of the client device 1 .
  • FIG. 17 is a flow chart showing a subroutine of step S70 (verification processing) in FIG.
  • FIG. 18 is a flowchart showing the operation of the system according to the second embodiment, which is the deletion and verification process of the server device 2 executed by the processor 21 .
  • the processing in FIG. 16 includes verification processing in step S70 in addition to each step in FIG. 11, where it is verified that the data stored in the storage device 13 has been erased.
  • 18 further includes steps S91 to S93 in addition to the steps in FIG.
  • step S37 in FIG. 16 is YES or step S40 is YES, the core control unit 51 of the client device 1 proceeds to verification processing in step S70.
  • step S71 of FIG. 17 the core control unit 51 of the client device 1 uses the erasure control unit 52 to verify that the data stored in the storage device 13 has been erased by the specified verification method. For example, when erasing data by writing a zero value to a storage area of the storage device 13, verification of erasure involves reading the bit values of the storage area of the storage device 13 and confirming that each bit is a zero value. may be performed by After the verification is completed, core control unit 51 stores data indicating the verification result in storage device 14 .
  • FIG. 19 is a schematic diagram for explaining the first verification method for the storage device 13.
  • FIG. Erasure verification may be performed by reading and confirming bit values in all storage areas of the storage device 13 .
  • FIG. 20 is a schematic diagram for explaining the second verification method for the storage device 13.
  • FIG. Erasure verification may be performed by reading and confirming bit values of a predetermined number of partial areas randomly extracted from a plurality of partial areas obtained by dividing the entire storage area of the storage device 13 .
  • the total storage area of the storage device 13 includes a plurality of (eg, 1000) medium areas 301 , each of which includes a plurality of (eg, 20) small areas 302 .
  • Erasure verification may be performed by reading and confirming the bit values of at least some (for example, two randomly selected) small areas 302 in each of the middle areas 301 .
  • step S72 of FIG. 17 the core control unit 51 of the client device 1 reads data indicating the verification result from the storage device 14, and uses the data encoding unit 53 to convert the data indicating the verification result into a predetermined code. encoding method. Core control unit 51 stores the encoded data in storage device 14 .
  • step S ⁇ b>73 the core control unit 51 of the client device 1 reads the encoded verification result data from the storage device 14 and transmits the encoded verification result data to the server device 2 using the communication device 15 . Send to
  • step S91 of FIG. 18 the server device 2 determines whether or not the verification result has been received from the client device 1. If YES, the process proceeds to step S92, and if NO, the process returns to step S51.
  • step S92 the server device 2 transmits an acknowledgment signal for the verification result to the client device 1.
  • step S74 of FIG. 17 the core control unit 51 of the client device 1 determines whether or not an acknowledgment signal has been received from the server device 2. If YES, the process proceeds to step S41 of FIG. The process proceeds to step S75 in FIG.
  • step S75 the core control unit 51 of the client device 1 reads data indicating the verification result from the storage device 14, and uses the two-dimensional barcode generation unit 54 to generate a two-dimensional barcode from the data indicating the verification result. do.
  • the core controller 51 stores the generated two-dimensional barcode in the storage device 14 .
  • the core control unit 51 of the client device 1 reads out the two-dimensional barcode from the storage device 14 and displays the two-dimensional barcode on the display device 16 together with the keyword and input fields.
  • the two-dimensional barcode, keyword, and input field displayed in step S76 are the same as the two-dimensional barcode 201, keyword 202, and input field 203 shown in FIG. 13, for example.
  • step S77 the core control unit 51 of the client device 1 determines whether or not the keyword displayed on the display device 16 has been input from the input device 17. If YES, the process proceeds to step S41 of FIG. repeats step S77.
  • step S93 the server device 2 saves the verification result in the management table 22a and updates the status report.
  • the status report indicates, for example, which of the following states each storage device 13 is in.
  • ⁇ Erasure flag set ⁇ Erasure in progress
  • ⁇ Erasure completed ⁇ Erasure completed and erasure certificate cannot be issued (provisional)
  • ⁇ Erasure completed and erasure certificate issuable
  • ⁇ Erasure completed and erasure certificate issued ⁇ Erasure failed and erasure certificate cannot be issued Issue a certificate of erasure based on
  • the core control unit 51 of the client device 1 performs post-processing and shuts down the client device 1 in step S41.
  • FIG. 21 is a sequence diagram showing the operation of the system according to the second embodiment, which is the operation of the system 100 when the transmission of the erasure result information and the verification result information via the communication line 6 is successful.
  • FIG. 22 is a sequence diagram showing the operation of the system according to the second embodiment, which is the operation of the system 100 when transmission of erasure result information and verification result information via the communication line 6 fails.
  • steps S1 to 59 in FIG. 21 are the same as those described with reference to FIG.
  • step S34 When all the data stored in the storage device 13 is erased in step S34, and then the erasure result information is transmitted to the server device 2 and a response signal is received from the server device 2, the client device 1, in step S71, It verifies that the data stored in the storage device 13 has been erased.
  • the client device 1 After completing the verification, the client device 1 transmits verification result information to the server device 2 . If a response signal to the verification result information is received from the server device 2 within a predetermined timeout period, the client device 1 ends the process.
  • step S93 the server device 2 stores the verification result included in the verification result signal in the management table 22a.
  • step S60A the server device 2 issues an erasure certificate based on the erasure result included in the erasure result signal and the verification result included in the verification result signal.
  • the client device 1 when the verification result information transmitted by the client device 1 does not reach the server device 2, or when a response signal to the verification result information is desired to be received, the client device 1 performs step At S76, the two-dimensional barcode is displayed on the display device 16.
  • the user of the client device 1 uses the user terminal device 4 to photograph the two-dimensional barcode displayed on the display device 16 of the client device 1 in step S112.
  • the processor 41 of the user terminal device 4 decodes the two-dimensional barcode, extracts data indicating the verification result, and transmits this data to the server device 2 .
  • steps S93 and S60A in FIG. 22 are the same as the corresponding steps in FIG.
  • data stored in the storage device 13 can be identified without error and easily erased, as in the system according to the first embodiment. Further, according to the system according to the second embodiment, by notifying the server device 2 of the erasure result when erasure of the data stored in the storage device 13 is completed, the administrator can check the state of the storage device 13. It can be recognized early. As a result, even if erasure verification is performed, the user and the administrator do not have to wait much, and usability is less likely to be lowered than in the case where erasure verification is not performed.
  • the system when the data stored in the storage device 13 is successfully erased and the verification result indicates that the erasure was successful, the system operates as follows. First, after the erasure is completed, the client device 1 transmits the erasure result to the server device 2 using the communication device 15 without displaying the erasure result on the display device 16 . The client device 1 does not display anything on the display device 16 when the transmission of the erasure result is successful, and the client device 1 displays the two-dimensional barcode on the display device 16 when the transmission of the erasure result is unsuccessful. At this point, the status report becomes "Erasure completed and erasure certificate cannot be issued (temporary)".
  • the client device 1 does not display the verification result on the display device 16 and transmits the verification result to the server device 2 using the communication device 15 .
  • the client device 1 does not display anything on the display device 16 when the transmission of the verification result is successful, and the client device 1 displays the two-dimensional barcode on the display device 16 when the transmission of the verification result fails.
  • the status report becomes "erase completed and erasure certificate issuable".
  • the system operates as follows. First, after the erasure is completed, the client device 1 transmits the erasure result to the server device 2 using the communication device 15 without displaying the erasure result on the display device 16 . The client device 1 does not display anything on the display device 16 when the transmission of the erasure result is successful, and the client device 1 displays the two-dimensional barcode on the display device 16 when the transmission of the erasure result is unsuccessful. At this point, the status report becomes "Erasure completed and erasure certificate cannot be issued (temporary)".
  • the client device 1 displays the verification result on the display device 16 and transmits the verification result to the server device 2 using the communication device 15 .
  • the client device 1 does not display anything on the display device 16 when the transmission of the verification result is successful, and the client device 1 displays the two-dimensional barcode on the display device 16 when the transmission of the verification result fails.
  • the status report becomes "erase failed and erasure certificate cannot be issued".
  • the system operates as follows. First, after the erasure is completed, the client device 1 displays the erasure result on the display device 16 and transmits the erasure result to the server device 2 using the communication device 15 . The client device 1 does not display anything on the display device 16 when the transmission of the erasure result is successful, and the client device 1 displays the two-dimensional barcode on the display device 16 when the transmission of the erasure result is unsuccessful. At this point, the status report becomes "erase failed and erasure certificate cannot be issued". No erasure verification is performed.
  • the client device 1 may display “deleting” on the display device 16. In addition, the client device 1 may display "verifying” on the display device 16 when verifying erasure.
  • the system when erasing the data stored in the storage device 13 is required, such as when the client device 1 is discarded or when the client device 1 is stolen.
  • the administrator can erase the data stored in the storage device 13 and quickly ascertain the state of the storage device 13 while verifying the erasure.
  • erasure verification takes a long time. Therefore, in the system according to the second embodiment, erasure verification may be performed in stages. This allows the user or administrator to recognize the progress of the erasure verification.
  • FIG. 23 is a flowchart showing the operation of the system according to the modification of the second embodiment, which is a subroutine of step S70A (verification processing) executed by the processor 11 of the client device 1.
  • FIG. FIG. 24 is a flow chart showing the operation of the system according to the modification of the second embodiment, which is the deletion and verification process of the server device 2 executed by the processor 21 .
  • step S70 of FIG. 24 includes steps S91A to S93A and S94 instead of steps S91 to S93 in FIG.
  • multiple checkpoints are set in advance to indicate the progress of erasure verification.
  • step S81 of FIG. 23 the core control unit 51 of the client device 1 uses the erasure control unit 52 to verify that the data stored in the storage device 13 has been erased using the designated verification method.
  • step S82 the core control unit 51 of the client device 1 determines whether or not the verification of erasure has reached a predetermined checkpoint. repeat.
  • step S83 the core control unit 51 of the client device 1 uses the data encoding unit 53 to encode the verification result and the data indicating the degree of progress thereof using a predetermined encoding method.
  • step S ⁇ b>84 the core control unit 51 of the client device 1 uses the communication device 15 to transmit the encoded verification result and data indicating the degree of progress thereof to the server device 2 .
  • step S91A of FIG. 24 the server device 2 determines whether or not the verification result and its progress have been received from the client device 1. If YES, the process proceeds to step S92A, and if NO, the process returns to step S51.
  • step S92A the server device 2 transmits to the client device 1 an acknowledgment signal for the verification result and its progress.
  • step S85 of FIG. 23 the core control unit 51 of the client device 1 determines whether or not all areas to be processed have been verified among all storage areas of the storage device 13. If YES, step S85 of FIG. Proceed to S41, and if NO, proceed to step S86 in FIG.
  • step S86 the core control unit 51 of the client device 1 sets the next checkpoint, and then repeats steps S82 to S86.
  • step S93A the server device 2 saves the verification result and its progress in the management table 22a, and updates the status report.
  • step S94 the server apparatus 2 determines whether or not the last verification result has been received. If YES, the process proceeds to step S60A, and if NO, the process returns to step S51.
  • the client device 1 transmits a plurality of signals to the server device 2, each indicating that the erasure verification has been completed up to one of a plurality of different degrees of progress.
  • the client device 1 When the erasure verification is performed as shown in FIG. 19, the client device 1 outputs a plurality of signals respectively indicating that the erasure verification has been completed to a plurality of predetermined percentages of the total storage area of the storage device 13. It may be transmitted to the server device 2 .
  • the plurality of checkpoints indicating the degree of progress of erasure verification are the ratios of areas for which erasure verification has been completed among all the storage areas of the storage device 13, for example, 10%, 20%, 30%, . , 90% and 100%.
  • a plurality of signals may be sent to the server device 2, each indicating that the area has been completed.
  • the plurality of checkpoints indicating the progress of erasure verification are determined by the number of small areas 302 extracted from each medium area 301, for example, 1, 2, 3, . . . There are ten.
  • a two-dimensional bar code containing power information may be displayed on the display device 16 .
  • the user of the client device 1 can send data indicating the verification result and its progress to the server device 2 by photographing the displayed two-dimensional barcode using the user terminal device 4 .
  • the erasure verification is performed step by step, so that the administrator can recognize the state of the storage device 13 at an early stage, and as time passes, more accurate verification results can be obtained. can recognize.
  • client device 1 comprises storage device 13 , communication device 15 and processor 11 .
  • the processor 11 causes the client device 1 to be registered with the server device 2 by using the communication device 15 to send a first signal including identification information for uniquely identifying the storage device 13 to the server device 2 .
  • the processor 11 uses the communication device 15 to confirm whether the second signal containing the identification information of the storage device 13 is registered in the server device 2 so that the data stored in the storage device 13 should be erased.
  • a second signal inquiring whether or not is transmitted to the server device 2 .
  • the processor 11 uses the communication device 15 to erase the data stored in the storage device 13 when receiving the third signal instructing to erase the data stored in the storage device 13 from the server device 2. .
  • the processor 11 uses the communication device 15 to transmit erasure completion information indicating that all the data stored in the storage device 13 has been erased.
  • a fourth signal including the above is transmitted to the server device 2 .
  • Processor 11 verifies that the data stored in storage device 13 has been erased.
  • the processor 11 uses the communication device 15 to send a fifth signal indicating that the verification that the data stored in the storage device 13 has been erased is at least partially completed.
  • the third signal is determined by the server device 2 that the identification information of the storage device 13 included in the second signal matches the identification information of the storage device 13 included in the first signal, and 13 is registered in the server device 2, it is transmitted from the server device 2 to the client device 1.
  • processor 11 may send a plurality of fifth signals to server device 2, each indicating that erasure verification has been completed to one of a plurality of different degrees of progress. good.
  • processor 11 sends a plurality of fifth signals to server device 2 , each indicating that erasure verification has been completed to a plurality of predetermined percentages of the total storage area of storage device 13 . may be sent to
  • the processor 11 confirms that erasure verification has been completed up to a predetermined number of partial areas randomly extracted from a plurality of partial areas obtained by dividing the entire storage area of the storage device 13.
  • a plurality of fifth signals, respectively shown, may be transmitted to the server device 2 .
  • storage device 13 may store data including an operating system, application programs, and user data.
  • the client device 1 further comprises a storage device 14 storing the firmware program.
  • Processor 11 erases all data stored in storage device 13 by executing the firmware program and verifies that the data stored in storage device 13 has been erased.
  • the client device 1 may further include a display device 16.
  • the processor 11 if the processor 11 does not receive an acknowledgment signal for the fourth signal from the server device 2, the processor 11 executes the firmware program to indicate that all the data stored in the storage device 13 has been erased. is displayed on the display device 16.
  • the two-dimensional bar code 201 includes erasure completion information indicating
  • the processor 11 if the processor 11 does not receive an acknowledgment signal for the fifth signal from the server device 2, the processor 11 executes the firmware program to verify that the erasure verification is complete.
  • a second two-dimensional barcode containing completion information may be displayed on the display device 16 .
  • a system including a plurality of client devices 1 and a server device 2 described above.
  • the server device 2 acquires from the client device 1 erasure completion information indicating that erasure of all data stored in the storage device 13 has been completed, and deletes the data stored in the storage device 13. Verification completion information indicating completion of verification that data has been erased may be obtained from the client device 1 . In this case, the server device 2 issues an erasure certificate certifying that erasure of all data stored in the storage device 13 has been completed based on the erasure completion information and the verification completion information.
  • a method for erasing data stored in a storage device of client device 1 includes registering the client device 1 with the server device 2 by sending a first signal from the client device 1 to the server device 2 that includes identification information that uniquely identifies the storage device.
  • the method includes a second signal containing identification information of the storage device, the second signal inquiring whether the server device 2 has registered that the data stored in the storage device should be erased. from the client device 1 to the server device 2.
  • the method includes erasing the data stored in the storage device when a third signal is received from the server device 2 instructing erasure of the data stored in the storage device.
  • a fourth signal indicating completion of erasure of all data stored in the storage device is sent from the client device 1 to the server device 2. including the step of sending.
  • the method includes verifying that data stored on the storage device has been erased. During or after erasure verification, the method sends a fifth signal from the client device 1 to the server device 2 indicating that the verification that the data stored on the storage device has been erased is at least partially completed. and the step of The third signal is stored in the storage device when the server device 2 determines that the identification information of the storage device included in the second signal matches the identification information of the storage device included in the first signal. If it is registered in the server device 2 that the stored data should be erased, it is transmitted from the server device 2 to the client device 1 .
  • the model When issuing erasure permission, it may be possible to issue it by specifying the model. In addition to the model, it is also possible to write user information in the remarks so that if the user owns a model different from the specified model, permission to delete the specified model may be issued. A list of designated models may be displayed, and the administrator may be allowed to issue erasure permission. As a result, models with predetermined characteristics are discarded, and models without predetermined characteristics are discarded (for example, both notebook computers and tablet computers (so-called There is an effect that the client device 1 can be managed by reflecting the user's intention. As a result, for example, there is an effect that the older models can be discarded.
  • the erasure permission may be issued by specifying the manufacturer of the storage device 13.
  • the client device 1 supplied by the manufacturer which tends to easily break down, can be eliminated.
  • the management table 22a may have a remarks column in which arbitrary character strings can be entered.
  • a remarks column By writing user information in the remarks column, it is possible to make a list of users who use a plurality of client devices 1 and issue permission for erasure. Accordingly, there is an effect that the total number of client devices 1 can be reduced. Also, by writing user information in the remarks column, it becomes easy to handle a plurality of client devices 1 in units of departments or sections.
  • the client device 1 By transmitting information (Self-Monitoring Analysis and Reporting Technology) to the server device 2, the client device 1 in a bad state may be discovered and an erasure permission may be issued based on the information.
  • S. M. A. R. T. In order to evaluate the state of the storage device 13 based on the information, for example, the number of sectors that have undergone substitution processing, the number of times the power is turned on, the error rate caused by the impact, the usage time length, the temperature, and the above parameters as viewed from the server device 2. Increments, combinations thereof, and the like may also be used.
  • the state of the client device 1 may be calculated based on the information and transmitted to the server device 2 as remark information.
  • a registered client device 1 periodically accesses S.E.C. M. A. R. T. By sending information to the server device 2, the server device 2 may be able to grasp the status of all the client devices 1.
  • FIG. The registered client device 1 periodically requests the client device 1's S. M. A. R. T.
  • the server device 2 may be able to grasp the state of all the client devices 1 . As a result, there is an effect that the client devices 1 in the worst condition can be discarded.
  • the client device 1 in a bad state may be found, and erasure permission may be issued based on the information.
  • the usage time of the client device 1 may be transmitted to the server device 2 as remark information.
  • the stress information of the client device 1 may be sent to the server device 2 to discover the client device 1 in a bad condition and issue the erasure permission based on the information.
  • the stress of the client device 1 may be transmitted to the server device 2 as remark information.
  • the inquiry of the erasure flag from the client device 1 to the server device 2 and the transmission of information on the client device 1 and the storage device 13 are performed separately. These communications may occur simultaneously.
  • the server device 2 receives the information of the client device 1 and the storage device 13 from the client device 1, it may be regarded as having received an inquiry about the erasure flag.
  • the client device 1 is restarted, and the erasing process by the combination of the erasing application program 70 and the firmware program 50 is shifted to the erasing process by the firmware program 50 only.
  • the client device 1 may be configured to shift from the erasing process by the combination of the erasing application program 70 and the firmware program 50 to the erasing process by the firmware program 50 alone without restarting.
  • the client device 1 has only one storage device 13 from which stored data should be erased. 13 may be provided.
  • the plurality of storage devices 13 may be configured as RAID (Redundant Arrays of Inexpensive Disks) devices, for example.
  • RAID Redundant Arrays of Inexpensive Disks
  • the plurality of storage devices 13 are treated as an integral device, the data stored therein are erased integrally, and the erase result is verified integrally.
  • the plurality of storage devices 13 may be treated individually, the data stored therein may be individually erased, and the erasure results may be individually verified.
  • the user or administrator may be allowed to select whether or not to verify erasure. If erasure verification is not performed, the processing can be completed in the same amount of time as in the first embodiment.
  • the firmware program 50 presets an alternative process when erasure fails. For example, each time the erasure fails, the erasure method may be changed in the order of secure erase, overwrite 3 erasure, and overwrite once erasure.
  • the electronic device is useful for erasing data stored in a storage device.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

電子装置は、第１の記憶装置と、通信装置と、プロセッサとを備える。プロセッサは、通信装置を用いて、第１の記憶装置を一意に識別する識別情報を含む第１の信号をサーバ装置に送信することにより、電子装置をサーバ装置に登録させ、第１の記憶装置の識別情報を含み、第１の記憶装置に格納されたデータを消去すべきであるとサーバ装置に登録されているか否かを問いあわせる第２の信号をサーバ装置に送信し、第１の記憶装置に格納されたデータを消去することを指示する第３の信号をサーバ装置から受信した場合、第１の記憶装置に格納されたデータを消去する。第３の信号は、第２の信号に含まれる第１の記憶装置の識別情報が第１の信号に含まれる第１の記憶装置の識別情報に一致しているとサーバ装置が判断し、かつ、第１の記憶装置に格納されたデータを消去すべきであるとサーバ装置に登録されている場合、サーバ装置から電子装置に送信される。

Description

電子装置、システム、及び電子装置の記憶装置に格納されたデータを消去する方法
　本開示は、電子装置、システム、及び電子装置の記憶装置に格納されたデータを消去する方法に関する。
　会社などの組織がパーソナルコンピュータなどの電子装置を廃棄するとき、業務上の機密情報の流出をさけるために、その記憶装置に格納されたデータを消去することが求められる。
　特許文献１は、管理対象となる端末における記憶装置内のデータ消去処理を実施させ、その実施結果を管理対象端末毎に管理用データベースに記録して管理するデータ消去管理方法を開示している。
特許第４４９３６７７号公報
　ある組織が多数の電子装置を管理している場合、誤って、消去対象ではない電子装置の記憶装置に格納されたデータを消去してしまうおそれがある。また、多数の電子装置の記憶装置に格納されたデータを消去するには、時間及び手間がかかる。従って、記憶装置に格納されたデータを誤りなく特定して容易に消去することが求められる。
　本開示は、記憶装置に格納されたデータを誤りなく特定して容易に消去することができる電子装置を提供する。また、本開示は、そのような電子装置及びサーバ装置を含むシステムを提供する。また、本開示は、電子装置の記憶装置に格納されたデータを消去する方法を提供する。
　本開示の一態様に係る電子装置は、第１の記憶装置と、通信装置と、プロセッサとを備える。プロセッサは、通信装置を用いて、第１の記憶装置を一意に識別する識別情報を含む第１の信号をサーバ装置に送信することにより、電子装置をサーバ装置に登録させる。プロセッサは、通信装置を用いて、第１の記憶装置の識別情報を含む第２の信号であって、第１の記憶装置に格納されたデータを消去すべきであるとサーバ装置に登録されているか否かを問いあわせる第２の信号をサーバ装置に送信する。プロセッサは、通信装置を用いて、第１の記憶装置に格納されたデータを消去することを指示する第３の信号をサーバ装置から受信した場合、第１の記憶装置に格納されたデータを消去する。第３の信号は、第２の信号に含まれる第１の記憶装置の識別情報が第１の信号に含まれる第１の記憶装置の識別情報に一致しているとサーバ装置が判断し、かつ、第１の記憶装置に格納されたデータを消去すべきであるとサーバ装置に登録されている場合、サーバ装置から電子装置に送信される。
　本開示の一態様に係る電子装置によれば、記憶装置に格納されたデータを誤りなく特定して容易に消去することができる。
第１の実施形態に係るシステム１００の構成を示す概略図である。 図１のクライアント装置１の構成を示すブロック図である。 図１のサーバ装置２の構成を示すブロック図である。 図１の管理者装置３の構成を示すブロック図である。 図１のユーザ端末装置４の構成を示すブロック図である。 図２のプロセッサ１１によって実行されるファームウェアプログラム５０及び消去アプリケーションプログラム７０の機能ブロックを示す概略図である。 図２のプロセッサ１１によって実行される消去アプリケーションプログラム７０による登録処理を示すフローチャートである。 図３のプロセッサ２１によって実行されるサーバ装置２の登録処理を示すフローチャートである。 図３のメモリ２２に格納される管理テーブル２２ａの例示的な内容を示す図である。 図２のプロセッサ１１によって実行される消去アプリケーションプログラム７０による消去処理を示すフローチャートである。 図２のプロセッサ１１によって実行されるファームウェアプログラム５０による消去処理を示すフローチャートである。 図３のプロセッサ２１によって実行されるサーバ装置２の消去処理を示すフローチャートである。 図１１のステップＳ３９において、クライアント装置１の表示装置１６に表示される内容を示す図である。 図１のシステム１００において通信回線６を介する消去結果情報の送信に成功した場合におけるシステム１００の動作を示すシーケンス図である。 図１のシステム１００において通信回線６を介する消去結果情報の送信に失敗した場合におけるシステム１００の動作を示すシーケンス図である。 第２の実施形態に係るシステムの動作であって、クライアント装置１のプロセッサ１１によって実行されるファームウェアプログラム５０による消去及び検証処理を示すフローチャートである。 図１６のステップＳ７０（検証処理）のサブルーチンを示すフローチャートである。 第２の実施形態に係るシステムの動作であって、プロセッサ２１によって実行されるサーバ装置２の消去及び検証処理を示すフローチャートである。 記憶装置１３の第１の検証方法を説明するための概略図である。 記憶装置１３の第２の検証方法を説明するための概略図である。 第２の実施形態に係るシステムの動作であって、通信回線６を介する消去結果情報及び検証結果情報の送信に成功した場合におけるシステム１００の動作を示すシーケンス図である。 第２の実施形態に係るシステムの動作であって、通信回線６を介する消去結果情報及び検証結果情報の送信に失敗した場合におけるシステム１００の動作を示すシーケンス図である。 第２の実施形態の変形例に係るシステムの動作であって、クライアント装置１のプロセッサ１１によって実行されるステップＳ７０Ａ（検証処理）のサブルーチンを示すフローチャートである。 第２の実施形態の変形例に係るシステムの動作であって、プロセッサ２１によって実行されるサーバ装置２の消去及び検証処理を示すフローチャートである。
　以下、適宜図面を参照しながら、実施形態を詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明や実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が不必要に冗長になるのを避け、当業者の理解を容易にするためである。
　なお、発明者らは、当業者が本開示を十分に理解するために添付図面および以下の説明を提供するのであって、これらによって請求の範囲に記載の主題を限定することを意図するものではない。
　［第１の実施形態］
　［第１の実施形態の構成］
　図１は、第１の実施形態に係るシステム１００の構成を示す概略図である。図１のシステム１００は、複数のクライアント装置１－１～１－３、サーバ装置２、管理者装置３、ユーザ端末装置４、基地局装置５、及び通信回線６を含む。
　クライアント装置１－１～１－３は、通信回線６を介してサーバ装置２と通信可能に接続される。クライアント装置１－１～１－３は、例えば、パーソナルコンピュータ、携帯電話機など、記憶装置（後述）を備えた電子装置である。
　本明細書では、クライアント装置１－１～１－３を総称して「クライアント装置１」とも呼ぶ。
　サーバ装置２は、各クライアント装置１の記憶装置に格納されたデータの消去を管理する。
　管理者装置３は、通信回線６を介してサーバ装置２と通信可能に接続される。各クライアント装置１の管理者は、管理者装置３を用いてサーバ装置２にアクセスし、格納されたデータを消去すべき記憶装置を指定する。
　ユーザ端末装置４は、カメラ４８及び通信装置を備えた電子機器、例えば携帯電話機である。ユーザ端末装置４は、基地局装置５を介してサーバ装置２と通信可能に接続される。
　通信回線６は、例えば、ローカルエリアネットワーク（ＬＡＮ）、インターネット、又はそれらの組み合わせである。
　例えば、各クライアント装置１及び管理者装置３は、会社などの組織によって所有されてもよく、一方、サーバ装置２は、この組織とは異なるサードパーティによって運用されてもよい。この場合、各クライアント装置１及び管理者装置３を所有する組織は、各クライアント装置１の記憶装置に格納されたデータの消去を管理する契約をサーバ装置２の事業者と結び、この事業者の顧客となる。
　本明細書において、「消去」は、格納されていた元のデータが読み出せなくなるようにすることを意味し、他のデータ、例えば、「０」、「１」、ランダム値などで上書きすることことにより元のデータを読みだせなくなるようにしてもよいし、記憶装置のファームウェアプログラムに組み込まれているコマンド消去機能（例えば、セキュアイレースコマンド）を実行することにより元のデータを読みだせなくなるようにしてもよい。
　図２は、図１のクライアント装置１の構成を示すブロック図である。クライアント装置１は、バス１０、プロセッサ１１、メモリ１２、記憶装置１３、記憶装置１４、通信装置１５、表示装置１６、及び入力装置１７を備える。プロセッサ１１は、クライアント装置１全体の動作を制御し、例えば、記憶装置１３に格納されたデータを消去する。メモリ１２は、クライアント装置１の動作に必要なプログラム及びデータを一時的に記憶する。記憶装置１３は、オペレーティングシステム（ＯＳ）、複数のアプリケーションプログラム（ＡＰＰ）、及びユーザデータを含むデータを格納する。記憶装置１３は、例えば、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）などの不揮発性記憶媒体である。記憶装置１４は、クライアント装置１のファームウェアプログラム、例えばＵＥＦＩ（Unified Extensible Firmware Interface）又はＢＩＯＳ（Basic Input/Output System）プログラムを格納する。記憶装置１４は、例えば、フラッシュメモリなどの不揮発性記憶媒体である。通信装置１５は、通信回線６を介してサーバ装置２と通信可能に接続される。表示装置１６は、クライアント装置１の状態に関連する情報を表示し、例えば、記憶装置１３に格納されたデータの消去に関連する情報を含む画像を表示する。入力装置１７は、クライアント装置１の動作を制御するユーザ入力、例えば、記憶装置１３に格納されたデータの消去に関連するユーザ入力を受ける。入力装置１７は、例えば、キーボード及びポインティングデバイスを含む。プロセッサ１１、メモリ１２、記憶装置１３、記憶装置１４、通信装置１５、表示装置１６、及び入力装置１７は、バス１０を介して互いに接続される。
　図３は、図１のサーバ装置２の構成を示すブロック図である。サーバ装置２は、バス２０、プロセッサ２１、メモリ２２、記憶装置２３、及び通信装置２５を備える。プロセッサ２１は、サーバ装置２全体の動作を制御し、また、各クライアント装置１の記憶装置１３に格納されたデータの消去を管理する。メモリ２２は、サーバ装置２の動作に必要なプログラム及びデータを一時的に記憶する。例えば、メモリ２２は、各クライアント装置１の記憶装置１３に格納されたデータの消去を管理するための管理テーブル２２ａを格納する。記憶装置２３は、サーバ装置２の動作に必要なプログラムを格納する不揮発性記憶媒体である。通信装置２５は、通信回線６を介して各クライアント装置１及び管理者装置３と通信可能に接続される。プロセッサ２１、メモリ２２、記憶装置２３、及び通信装置２５は、バス２０を介して互いに接続される。
　図４は、図１の管理者装置３の構成を示すブロック図である。管理者装置３は、バス３０、プロセッサ３１、メモリ３２、記憶装置３３、通信装置３５、表示装置３６、及び入力装置３７を備える。プロセッサ３１は、管理者装置３全体の動作を制御する。メモリ３２は、管理者装置３の動作に必要なプログラム及びデータを一時的に記憶する。記憶装置３３は、管理者装置３の動作に必要なプログラムを格納する不揮発性記憶媒体である。通信装置３５は、通信回線６を介してサーバ装置２と通信可能に接続される。表示装置３６は、管理者装置３の状態に関連する情報を表示する。入力装置３７は、管理者装置３の動作を制御するユーザ入力を受ける。入力装置３７は、例えば、キーボード及びポインティングデバイスを含む。プロセッサ３１、メモリ３２、記憶装置３３、通信装置３５、表示装置３６、及び入力装置３７は、バス３０を介して互いに接続される。
　サーバ装置２は、各クライアント装置１の記憶装置に格納されたデータの消去を管理するために、管理者装置３によってアクセス可能なインターフェース、例えばウェブページに基づくインターフェースを提供する。この場合、サーバ装置２は、ウェブサーバのアプリケーションプログラムを実行し、管理者装置３は、ウェブブラウザのアプリケーションプログラムを実行してサーバ装置２のウェブサーバにアクセスする。
　図５は、図１のユーザ端末装置４の構成を示すブロック図である。ユーザ端末装置４は、バス４０、プロセッサ４１、メモリ４２、記憶装置４３、通信装置４５、表示装置４６、入力装置４７、及びカメラ４８を備える。プロセッサ４１は、ユーザ端末装置４全体の動作を制御する。メモリ４２は、ユーザ端末装置４の動作に必要なプログラム及びデータを一時的に記憶する。記憶装置４３は、ユーザ端末装置４の動作に必要なプログラムを格納する不揮発性記憶媒体である。通信装置４５は、基地局装置５を介してサーバ装置２と通信可能に接続される。表示装置４６は、ユーザ端末装置４の状態に関連する情報を表示する。入力装置４７は、ユーザ端末装置４の動作を制御するユーザ入力を受ける。入力装置４７は、例えば、スイッチ及びタッチパネルを含む。カメラ４８は、例えば、クライアント装置１の表示装置１６に表示された画像を撮影する。後述するように、クライアント装置１の表示装置１６には、クライアント装置１の記憶装置１３に格納されたデータの消去に関連する情報を含む画像（例えば、二次元バーコード）が表示されることがある。この場合、ユーザ端末装置４は、撮影された画像の内容を、基地局装置５を介してサーバ装置２に送信する。プロセッサ４１、メモリ４２、記憶装置４３、通信装置４５、表示装置４６、入力装置４７、及びカメラ４８は、バス４０を介して互いに接続されている。
　［第１の実施形態の動作］
　前述したように、クライアント装置１において、記憶装置１３はオペレーティングシステム及び複数のアプリケーションプログラムを格納し、記憶装置１４はファームウェアプログラムを格納する。オペレーティングシステム、各アプリケーションプログラム、及びファームウェアプログラムは、プロセッサ１１によって実行される。一般に、クライアント装置１の起動時において、最初にファームウェアプログラムが実行され、次いで、ファームウェアプログラムからオペレーティングシステムが呼び出される。アプリケーションプログラムは、オペレーティングシステム上で実行される。アプリケーションプログラムは、オペレーティングシステムを介してクライアント装置１の各ハードウェア装置（記憶装置１３、記憶装置１４、通信装置１５、表示装置１６、及び入力装置１７）にアクセスする。一方、ファームウェアプログラムは、オペレーティングシステムを介することなく直接にクライアント装置１の各ハードウェア装置にアクセスする。アプリケーションプログラムのうちの１つは、記憶装置１３に格納されたデータを消去するための消去アプリケーションプログラムである。クライアント装置１は、消去アプリケーションプログラム及びファームウェアプログラムを実行することにより、記憶装置１３に格納されたデータを消去するように構成される。
　図６は、図２のプロセッサ１１によって実行されるファームウェアプログラム５０及び消去アプリケーションプログラム７０の機能ブロックを示す概略図である。
　ファームウェアプログラム５０は、その機能ブロックとして、例えば、コア制御部５１、消去制御部５２、データ符号化部５３、及び二次元バーコード生成部５４を含む。コア制御部５１は、ファームウェアプログラム５０の他の機能ブロックを制御し、機能ブロック間のデータの入出力を制御し、ファームウェアプログラム５０の外部に対するデータの入出力を制御する。消去制御部５２は、記憶装置１３に格納されたデータの消去を制御する。データ符号化部５３は、記憶装置１３に格納されたすべてのデータの消去に成功したか否かを示す消去結果情報を、予め決められた符号化方式で符号化する。二次元バーコード生成部５４は、記憶装置１３に格納されたすべてのデータの消去に成功したか否かを示す消去結果情報（データの消去に成功した場合は消去完了情報を含む）を含む二次元バーコードを生成する。
　オペレーティングシステム６０は、クライアント装置１の各ハードウェア装置（記憶装置１３、記憶装置１４、通信装置１５、表示装置１６、及び入力装置１７）のためのインターフェースを、消去アプリケーションプログラム７０及び他のアプリケーションプログラム（図示せず）に提供する。オペレーティングシステム６０は、その機能ブロックとして、例えば、装置情報モニタ６１及び電源管理部６２を備える。装置情報モニタ６１は、クライアント装置１の情報をクライアント装置１から取得し、また、クライアント装置１のさまざまな構成要素の情報を当該構成要素から取得する。図６の例では、装置情報モニタ６１がクライアント装置１の記憶装置１３の情報を取得する場合を示す。クライアント装置１の情報は、例えば、クライアント装置１の製造業者、機種、シリアル番号、及びＵＵＩＤ（Universally Unique Identifier）を含む。記憶装置１３の情報は、例えば、記憶装置１３の製造業者、機種、シリアル番号、ＵＵＩＤ、及び容量を含む。電源管理部６２は、クライアント装置１の停止、サスペンド、休止、及び再起動を制御する。
　クライアント装置１の製造業者、クライアント装置１の機種、クライアント装置１のシリアル番号、クライアント装置１のＵＵＩＤ、記憶装置１３の製造業者、記憶装置１３の機種、記憶装置１３のシリアル番号、記憶装置１３のＵＵＩＤ、及び記憶装置１３の容量のうちの少なくとも一部を用いて、あるサーバ装置２の管理下にある各クライアント装置１の記憶装置１３を互いに識別することができる。従って、クライアント装置１の製造業者、クライアント装置１の機種、クライアント装置１のシリアル番号、クライアント装置１のＵＵＩＤ、記憶装置１３の製造業者、記憶装置１３の機種、記憶装置１３のシリアル番号、記憶装置１３のＵＵＩＤ、及び記憶装置１３の容量のうちの少なくとも一部は、記憶装置１３を一意に識別する識別情報として使用可能である。
　消去アプリケーションプログラム７０は、その機能ブロックとして、例えば、コア制御部７１を含む。コア制御部７１は、消去アプリケーションプログラム７０の他の機能ブロック（図示せず）を制御し、機能ブロック間のデータの入出力を制御し、消去アプリケーションプログラム７０の外部に対するデータの入出力を制御する。
　また、クライアント装置１の記憶装置１３は、図６に示す機能ブロックを含むファームウェアプログラムを実行する。記憶装置１３は、その機能ブロックとして、例えば、コア制御部８１、読み出し部８２、書き込み部８３、及び消去部８４を含む。コア制御部８１は、記憶装置１３の他の機能ブロックを制御し、機能ブロック間のデータの入出力を制御する。読み出し部８２は、記憶装置１３の記憶媒体（図示せず）からデータを読み出す。書き込み部８３は、記憶装置１３の記憶媒体に対してデータを書き込む（「０」、「１」、ランダム値などで上書きすることにより元のデータを消去する場合を含む）。消去部８４は、記憶装置１３の記憶媒体のデータを消去する（ファームウェアプログラムに組み込まれているセキュアイレースコマンドを実行することによりデータを消去する場合を含む）。
　以下、図６の各機能ブロックを参照してクライアント装置１の動作について説明し、また、サーバ装置２の動作について説明する。
　図７は、図２のプロセッサ１１によって実行される消去アプリケーションプログラム７０によるクライアント装置１の登録処理を示すフローチャートである。図８は、図３のプロセッサ２１によって実行されるサーバ装置２の登録処理を示すフローチャートである。
　各クライアント装置１を所有する組織がサーバ装置２に登録されていない場合、図７の登録処理を実行する前に、各クライアント装置１を所有する組織の管理者又は他の担当者は、サーバ装置２から以下の情報を取得する。
・サーバ装置２のアカウント情報（顧客ＩＤ及びパスワード）
・消去アプリケーションプログラム７０のＵＲＬ（Uniform Resource Locator）
・顧客番号（アカウント情報に関連付けられ、顧客ごとに割り当てられるシリアル番号）
　顧客番号は、顧客ごと、すなわち、各クライアント装置１の記憶装置に格納されたデータの消去を管理する契約ごとに生成されるので、各クライアント装置１又は記憶装置１３の識別情報ではない。
　各クライアント装置１は、消去アプリケーションプログラム７０のＵＲＬにアクセスし、消去アプリケーションプログラム７０をダウンロードしてインストールする。インストール後、消去アプリケーションプログラム７０は自動的に又は手動で起動する。消去アプリケーションプログラム７０の起動後、クライアント装置１の記憶装置１３をサーバ装置２に登録するために、プロセッサ１１は図７の登録処理を実行する。
　図７のステップＳ１において、クライアント装置１のコア制御部７１は、クライアント装置１を所有する組織に割り当てられた顧客番号の入力を促すダイアログボックスを表示装置１６に表示する。クライアント装置１のユーザは、ダイアログボックスに従って、入力装置１７を用いて顧客番号を入力する。コア制御部７１は、入力装置１７を介して、顧客番号をユーザから取得する。
　ステップＳ２において、クライアント装置１のコア制御部７１は、クライアント装置１の情報及び記憶装置１３の情報をオペレーティングシステム６０の装置情報モニタ６１から取得する。
　ステップＳ３において、クライアント装置１のコア制御部７１は、通信装置１５を用いて、顧客番号、クライアント装置１の情報、及び記憶装置１３の情報をサーバ装置２に送信する。
　図８のステップＳ１１において、サーバ装置２は、顧客番号、クライアント装置１の情報、及び記憶装置１３の情報を受信する。ステップＳ１２において、サーバ装置２は、クライアント装置１及びその記憶装置１３を新たな管理対象として管理テーブル２２ａに登録する。クライアント装置１及びその記憶装置１３を登録したとき、ステップＳ１３において、サーバ装置２は、クライアント装置１に肯定応答信号を送信する。
　図７のステップＳ４において、クライアント装置１のコア制御部７１は、サーバ装置２からの肯定応答信号を受信したか否かを判断し、ＹＥＳのときは処理を終了し、ＮＯのときはステップＳ３に戻る。
　図７及び図８の登録処理を実行することにより、クライアント装置１の記憶装置１３は、新たな管理対象として、サーバ装置２の管理テーブル２２ａに登録される。図７及び図８の登録処理によれば、クライアント装置１のユーザは、入力装置１７を用いて顧客番号を入力するだけでよく、クライアント装置１の情報及び記憶装置１３の情報は、クライアント装置１からサーバ装置２に自動的に送信される。図７及び図８の登録処理によれば、クライアント装置１のユーザは、所属する組織（又はクライアント装置１を所有する組織）を意識する必要なく、サーバ装置２は、顧客番号に基づいて、登録された記憶装置１３を顧客ごとに自動的に分類する。
　各クライアント装置１の記憶装置１３がサーバ装置２に登録された後、各クライアント装置１を所有する組織の管理者は、必要に応じて、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録する。このため、管理者は、まず、管理者装置３を用いてサーバ装置２にアクセスし、アカウント情報を用いてサーバ装置２にログインする。次いで、管理者は、管理テーブル２２ａに登録された記憶装置１３のリストを閲覧しながら、１つ又は複数の記憶装置１３に対して、格納されたデータを消去すべきであることを示す消去フラグを設定する。
　図９は、図３のメモリ２２に格納される管理テーブル２２ａの例示的な内容を示す図である。管理テーブル２２ａは、管理対象となるクライアント装置１又は記憶装置１３ごとに、例えば、顧客番号、グループ番号、クライアント装置１の情報、記憶装置１３の情報、消去フラグ、処理番号、消去開始時刻、及び消去終了時刻を含む。
　顧客番号は、前述したように、顧客ごとに割り当てられる。グループ番号は、顧客の組織の一部である任意のサブ組織（グループ）に対して割り当てられる。例えば、顧客が会社である場合、グループは、その会社の部又は課であってもよい。クライアント装置１の情報は、前述したように、例えば、クライアント装置１の製造業者、機種、シリアル番号、及びＵＵＩＤを含む。記憶装置１３の情報は、前述したように、例えば、記憶装置１３の製造業者、機種、シリアル番号、ＵＵＩＤ、及び容量を含む。消去フラグは、前述したように、記憶装置１３に格納されたデータを消去すべきであることを示す。処理番号は、記憶装置１３に格納されたデータを消去すべきであると消去フラグにより設定されている記憶装置１３ごとに発行される。消去開始時刻及び消去終了時刻は、記憶装置１３に格納されたデータの消去を実際に開始した時刻及び終了した時刻を示す。
　顧客番号は、サーバ装置２によって提供される。グループ番号、クライアント装置１の情報、及び記憶装置１３の情報は、クライアント装置１によって提供される。消去フラグは、各クライアント装置１を所有する組織の管理者によって管理者装置３を用いて設定される。処理番号は、格納されたデータを消去すべきであることを示す消去フラグが設定されたとき、サーバ装置によって提供される。消去開始時刻及び消去終了時刻は、記憶装置１３に格納されたデータを実際に消去したときに取得される。
　サーバ装置２は、管理テーブル２２ａに基づいて、各クライアント装置１及び各記憶装置１３の状態を示すステータスレポートを生成してもよい。ステータスレポートは、例えば、各記憶装置１３が以下のいずれの状態にあるのかを示す。
・消去フラグ設定済み
・消去中
・消去完了
・消去完了かつ消去証明書発行済み
・消去失敗
　消去証明書については後述する。
　ステータスレポートは、さらに以下の情報を含んでもよい。
・消去フラグの設定日時
・消去の承認者
・消去開始日時
・消去完了日時
・消去方式
・クライアント装置１の製造業者、機種、及びシリアル番号
・記憶装置１３の製造業者、機種、シリアル番号、及び容量
　管理者は、管理者装置３を用いてサーバ装置２にアクセスすることによりステータスレポートを見ることができる。
　図１０は、図２のプロセッサ１１によって実行される消去アプリケーションプログラム７０による消去処理を示すフローチャートである。図１１は、図２のプロセッサ１１によって実行されるファームウェアプログラム５０による消去処理を示すフローチャートである。図１２は、図３のプロセッサ２１によって実行されるサーバ装置２の消去処理を示すフローチャートである。
　まず、図１２のステップＳ５１において、サーバ装置２は、管理者装置３により消去対象の記憶装置１３が指定されたか否かを判断し、ＹＥＳのときはステップＳ５２に進み、ＮＯのときはステップＳ５１を繰り返す。ステップＳ５２において、サーバ装置２は、管理テーブル２２ａにおいて、消去対象として指定された記憶装置１３に消去フラグを設定し、この記憶装置１３のステータスレポートを更新する。
　また、クライアント装置１の起動後、消去アプリケーションプログラム７０は自動的に、又は手動で起動する。
　図１０のステップＳ２１において、クライアント装置１のコア制御部７１は、サーバ装置２の管理テーブル２２ａにおいて、図１０の消去処理を実行しているクライアント装置１の記憶装置１３について消去フラグが登録されているかを、通信装置１５を用いてサーバ装置２に問いあわせる。
　図１２のステップＳ５３において、サーバ装置２は、クライアント装置１から消去フラグの問いあわせを受けたか否かを判断し、ＹＥＳのときはステップＳ５４に進み、ＮＯのときはステップＳ５１に戻る。ステップＳ５４において、サーバ装置２は、消去フラグの有無をクライアント装置１に返信する。
　図１０のステップＳ２２において、クライアント装置１のコア制御部７１は、サーバ装置２の管理テーブル２２ａにおいて、図１０の消去処理を実行しているクライアント装置１の記憶装置１３について消去フラグが登録されているか否かを判断し、ＹＥＳのときはステップＳ２３に進み、ＮＯのときはステップＳ２１に戻る。
　ステップＳ２３において、クライアント装置１のコア制御部７１は、通信装置１５を用いて、クライアント装置１の情報及び記憶装置１３の情報をサーバ装置２に送信する。
　図１２のステップＳ５５において、サーバ装置２は、クライアント装置１及び記憶装置１３の情報を受信したか否かを判断し、ＹＥＳのときはステップＳ５６に進み、ＮＯのときはステップＳ５１に戻る。
　サーバ装置２が受信したクライアント装置１の情報及び記憶装置１３の情報が、図７の登録処理によって管理テーブル２２ａに登録されたクライアント装置１の情報及び記憶装置１３の情報に一致している場合、ステップＳ５６において、サーバ装置２は、図１０の消去処理を実行しているクライアント装置１の記憶装置１３のための処理番号を生成してクライアント装置１に送信する。サーバ装置２は、受信したクライアント装置１の情報及び記憶装置１３の情報に基づいて記憶装置１３を特定できない場合、又は、消去フラグが設定されていない場合には、エラーを応答として返す。受信したクライアント装置１の情報及び記憶装置１３の情報に基づいて記憶装置１３を特定できても、消去フラグが設定されていないか、記憶装置１３の識別情報が異なる場合には、異なっていることを応答として返してもよい。この場合、処理番号を返さないので、クライアント装置１は記憶装置に格納されたデータを消去することができない。
　図１０のステップＳ２４において、クライアント装置１のコア制御部７１は、ステップＳ２３において送信した情報に応答して、消去のための処理番号を受信したか否かを判断し、ＹＥＳのときはステップＳ２５に進み、ＮＯのときはステップＳ２３に戻る。
　ステップＳ２５において、クライアント装置１のコア制御部７１は、記憶装置１３に格納されたデータの消去の可否を確認するダイアログボックスを表示装置１６に表示する。クライアント装置１のユーザは、ダイアログボックスに従って、入力装置１７を用いて、記憶装置１３に格納されたデータの消去の可否を入力する。コア制御部７１は、入力装置１７を介して、記憶装置１３に格納されたデータの消去の可否を取得する。
　ステップＳ２６において、クライアント装置１のコア制御部７１は、記憶装置１３に格納されたデータの消去がユーザによって承諾されたか否かを判断し、ＹＥＳのときはステップＳ２７に進み、ＮＯのときは処理を終了する。
　ステップＳ２７において、クライアント装置１のコア制御部７１は、記憶装置１３のＵＵＩＤ、処理番号、サーバ装置２のアドレス、及び消去方式の情報をファームウェアプログラム５０に送る。消去方式の情報は、例えば、セキュアイレース（コマンド消去の一例）、上書き３回消去（上書き内容：「０」、「１」、ランダム値のいずれか）、上書き１回消去（上書き内容：「０」、「１」、ランダム値のいずれか）、失敗、などを含む。
　ファームウェアプログラム５０のコア制御部５１は、消去アプリケーションプログラム７０から取得された記憶装置１３のＵＵＩＤ、処理番号、サーバ装置２のアドレス、及び消去方式の情報を記憶装置１４に格納する（図１１のステップＳ３１を参照）。コア制御部５１は、記憶装置１３のＵＵＩＤ、処理番号、サーバ装置２のアドレス、消去方式の情報を取得及び格納したとき、消去アプリケーションプログラム７０に肯定応答信号を送る（図１１のステップＳ３２を参照）。
　図１０のステップＳ２８において、クライアント装置１のコア制御部７１は、ファームウェアプログラム５０から肯定応答信号を受信したか否かを判断し、ＹＥＳのときはステップＳ２９に進み、ＮＯのときはステップＳ２７に戻る。
　ステップＳ２９において、クライアント装置１のコア制御部７１は、オペレーティングシステム６０の電源管理部６２に制御信号を送ることで、クライアント装置１を再起動する。
　図１１のステップＳ３１～Ｓ３３は、図１０のステップＳ２７～Ｓ２９に対応する。
　図１１のステップＳ３１において、クライアント装置１のコア制御部５１は、消去アプリケーションプログラム７０から取得された記憶装置１３のＵＵＩＤ、処理番号、サーバ装置２のアドレス、及び消去方式の情報を記憶装置１４に格納する。
　ステップＳ３２において、クライアント装置１のコア制御部５１は、記憶装置１３のＵＵＩＤ、処理番号、サーバ装置２のアドレス、消去方式の情報を取得及び格納したとき、消去アプリケーションプログラム７０に肯定応答信号を送る。
　ステップＳ３３において、消去アプリケーションプログラム７０によって、クライアント装置１は再起動される。
　再起動後、ファームウェアプログラム５０は、オペレーティングシステム６０を呼び出すことなく、図１１の消去処理を継続する。
　ステップＳ３４において、クライアント装置１のコア制御部５１は、消去制御部５２を用いて、指定された消去方式で、記憶装置１３に格納されたすべてのデータを消去する。消去制御部５２は、記憶装置のセキュアイレースコマンドを使用してデータの消去（コマンド消去）を行ってもよい。消去の完了後、コア制御部５１は、消去開始時刻、消去終了時刻、及び消去方式を含む消去結果を示すデータを記憶装置１４に格納する。
　ステップＳ３５において、クライアント装置１のコア制御部５１は、記憶装置１４から消去結果を示すデータを読み出して、データ符号化部５３を用いて、消去結果を示すデータを予め決められた符号化方式で符号化する。コア制御部５１は、符号化されたデータを記憶装置１４に格納する。
　符号化された消去結果を示すデータの符号化は、例えば、以下のステップで実行される。
（１）ＵＵＩＤ、処理番号、消去開始時刻、消去終了時刻、及び消去方式をシリアルに配列するこれらのパラメータは、例えば、ＣＳＶ形式で配列されてもよい。
（２）ステップ（１）のパラメータに係る文字列を、ＢＣＤなどの半角文字列に変換する。ここで、文字列を付加してもよい。
（３）ステップ（２）の文字列のハッシュ値を計算する。
（４）ステップ（２）の文字列及びステップ（３）のハッシュ値を、通信回線６を介して伝送可能な形式に変換する。必要ならば、例えばＵＲＬエンコードを実施する。
（５）サーバ装置２のアドレスを宛先として、ステップ（４）のデータを送信する。
　ステップＳ３６において、クライアント装置１のコア制御部５１は、記憶装置１４から符号化された消去結果を示すデータを読み出し、通信装置１５を用いて、符号化された消去結果を示すデータをサーバ装置２に送信する。
　図１２のステップＳ５７において、サーバ装置２は、クライアント装置１から消去結果を受信したか否かを判断し、ＹＥＳのときはステップＳ５８に進み、ＮＯのときはステップＳ５１に戻る。
　ステップＳ５８において、サーバ装置２は、消去結果に対する肯定応答信号をクライアント装置１に送信する。
　図１１のステップＳ３７において、クライアント装置１のコア制御部５１は、サーバ装置２から肯定応答信号を受信したか否かを判断し、ＹＥＳのときはステップＳ４１に進み、ＮＯのときはステップＳ３８に進む。
　ステップＳ３８において、クライアント装置１のコア制御部５１は、記憶装置１４から消去結果を示すデータを読み出して、二次元バーコード生成部５４を用いて、消去結果を示すデータから二次元バーコードを生成する。コア制御部５１は、生成された二次元バーコードを記憶装置１４に格納する。
　ステップＳ３９において、クライアント装置１のコア制御部５１は、記憶装置１４から二次元バーコードを読み出し、二次元バーコードを表示装置１６に表示する。
　図１３は、図１１のステップＳ３９において、クライアント装置１の表示装置１６に表示される内容を示す図である。表示装置１６に表示される表示画面２００は、例えば、二次元バーコード２０１、キーワード２０２、及び入力欄２０３を含む。ユーザは、ユーザ端末装置４のカメラ４８を用いて二次元バーコード２０１を撮影し、ユーザ端末装置４のプロセッサ４１が、二次元バーコード２０１を復号して消去結果を示すデータを抽出し、このデータをサーバ装置２に送信するように、ユーザ端末装置４を操作することができる。
　図１１のステップＳ４０において、クライアント装置１のコア制御部５１は、表示装置１６に表示したキーワードが入力装置１７から入力されたか否かを判断し、ＹＥＳのときはステップＳ４１に進み、ＮＯのときはステップＳ４０を繰り返す。ここで、二次元バーコード２０１の画像を電源オフの様な単純な処理で消去しないようにしてもよい。例えば、コア制御部５１は、二次元バーコード２０１とともに、予め決められたキーワード２０２（図１３の例では、「Ｅｎｄ１２０７」）を入力するように促すメッセージを表示装置１６に表示してもよい。キーワード２０２を入力欄２０３に入力してＥｎｔｅｒキーを押下したとき、処理はステップＳ４１に進む。異なるキーワードが入力された場合又は電源スイッチを操作した場合には、同じ画面を再表示する。
　図１１の処理によれば、消去結果は、まずステップＳ３６において、クライアント装置１から通信回線６を介してサーバ装置２に送信される。通信回線６に障害などが発生している場合、すなわち、ステップＳ３７において消去結果に対する肯定応答信号が受信されなかった場合、消去結果は、ステップＳ３８～Ｓ３９を実行することにより、ユーザ端末装置４を介してサーバ装置２に送信される。従って、図１２のステップＳ５７では、サーバ装置２は、クライアント装置１から通信回線６を介して消去結果を受信してもよく、ユーザ端末装置４を介して消去結果を受信してもよい。
　図１２を参照すると、ステップ５８の実行後、ステップＳ５９において、サーバ装置２は、消去結果を管理テーブル２２ａに保存し、ステータスレポートを更新する。
　ステップＳ６０において、サーバ装置２は、消去結果に基づいて消去証明書を発行する。
　図１１のステップＳ４１において、クライアント装置１のコア制御部５１は、後処理を行ってクライアント装置１をシャットダウンする。
　図１４は、図１のシステム１００において通信回線６を介する消去結果情報の送信に成功した場合におけるシステム１００の動作を示すシーケンス図である。図１５は、図１のシステム１００において通信回線６を介する消去結果情報の送信に失敗した場合におけるシステム１００の動作を示すシーケンス図である。
　図１４及び図１５では、図示の簡単化のため、図７、図８、図１０～図１２を参照して説明したステップのうちで主要なもののみを示し、他は省略している。
　図１４を参照すると、クライアント装置１は、ステップＳ１において、顧客番号をユーザから取得する。次いで、クライアント装置１は、顧客番号、クライアント装置１の情報、及び記憶装置１３の情報をサーバ装置２に送信する。
　サーバ装置２は、ステップＳ１２において、顧客番号、クライアント装置１の情報、及び記憶装置１３の情報に基づいて、クライアント装置１の記憶装置１３を新たな管理対象として登録する。
　その後、管理者装置３は、アカウント情報をサーバ装置２に送信してサーバ装置２にログインし、ステップＳ１０１において、消去対象の記憶装置１３、すなわち、格納されたデータを消去すべき記憶装置１３を指定する。
　サーバ装置２は、ステップＳ１０１において指定された記憶装置１３に対応するように、ステップＳ５２において、消去フラグを管理テーブル２２ａに保存する。
　その後、クライアント装置１は、当該クライアント装置１の記憶装置１３に対応して管理テーブル２２ａに消去フラグが設定されているか否かについて、サーバ装置２に定期的に問いあわせる。消去フラグの問いあわせに対して、管理テーブル２２ａに消去フラグが設定されていることを示す応答信号をサーバ装置２から受信した場合、クライアント装置１は、クライアント装置１の情報及び記憶装置１３の情報をサーバ装置２に送信する。サーバ装置２は、サーバ装置２が受信したクライアント装置１の情報及び記憶装置１３の情報が、管理テーブル２２ａに登録されたクライアント装置１の情報及び記憶装置１３の情報に一致している場合、クライアント装置１の記憶装置１３のための処理番号を生成してクライアント装置１に送信する。
　その後、クライアント装置１は、ステップＳ２５において、記憶装置１３に格納されたデータの消去の可否を確認するダイアログボックスを表示装置１６に表示する。記憶装置１３に格納されたデータの消去がユーザによって承諾された場合、ステップＳ２９において、クライアント装置１は再起動する。その後、ステップＳ３４において、クライアント装置１は、記憶装置１３に格納されたすべてのデータを消去する。
　消去の完了後、クライアント装置１は、消去結果情報をサーバ装置２に送信する。予め決められたタイムアウト期間内に消去結果情報に対する応答信号をサーバ装置２から受信した場合、クライアント装置１は処理を終了する。
　サーバ装置２は、ステップＳ５９において、消去結果信号に含まれる消去結果を管理テーブル２２ａに格納する。サーバ装置２は、ステップＳ６０において、消去結果信号に含まれる消去結果に基づいて、消去証明書を発行する。
　一方、図１５に示すように、クライアント装置１が送信した消去結果情報がサーバ装置２に到達しなかった場合、又は、消去結果情報に対する応答信号が受信されたかったとき、クライアント装置１は、ステップＳ３９において、二次元バーコードを表示装置１６に表示する。
　クライアント装置１のユーザは、ステップＳ１１１において、ユーザ端末装置４を用いてクライアント装置１の表示装置１６に表示された二次元バーコードを撮影する。ユーザ端末装置４のプロセッサ４１は、二次元バーコードを復号して消去結果を示すデータを抽出し、このデータをサーバ装置２に送信する。以後、図１５のステップＳ５９～Ｓ６０は、図１４の対応するステップと同様である。
　［消去証明書］
　例えば、データ適正消去実行証明評議会（Association of Data Erase Certification：ＡＤＥＣ）のような第三者の認証機関によって認証された消去ソフトウェア又は消去プロセスを用いて記憶装置に格納されたデータを消去した場合、データの適正な消去が実行されたことを示す証明書を発行することができる。証明書は、例えば、以下の情報を含む。
（１）クライアント装置１の情報
・製造業者
・機種
・シリアル番号
（２）記憶装置１３の情報
・製造業者
・機種
・シリアル番号
・容量
（３）消去情報
・消去事業者情報（事業者ＩＤ、事業者名、レーティング）
・消去ソフトウェア情報（ベンダー名、ソフトウェア名、認証番号、消去方法）
・消去実行日時（消去開始時刻、消去終了時刻）
・消去結果
　クライアント装置１の情報及び記憶装置１３の情報は、前述したように、消去アプリケーションプログラム７０によってクライアント装置１からサーバ装置２に送られる。また、消去情報のうち、事業者ＩＤ、事業者名、ベンダー名、及びソフトウェア名は、事前に認証機関に申請して認証を受ける必要がある。消去ソフトウェアが認証されると、認証番号が発行される。また、消去実行日時及び消去結果は、ファームウェアプログラム５０によってクライアント装置１からサーバ装置２に送られる。このように、消去証明書を発行するために必要な情報を自動的にクライアント装置１からサーバ装置２に送ることができるので、消去証明書を容易に発行することができる。
　［まとめ］
　以上説明したように、第１の実施形態に係るシステムによれば、管理者がサーバ装置２にアクセスして、各クライアント装置１の記憶装置１３に記憶されたデータを消去すべきであることを示す消去フラグを設定し、その後、サーバ装置２からクライアント装置１に消去コマンドなどを送信することなく、クライアント装置が消去フラグの有無についてサーバ装置２に問いあわせる。これにより、消去対象の記憶装置１３を誤りなく特定して容易に設定できるようになる。消去を開始するときにサーバ装置２からクライアント装置１に信号が送信されることはなく、クライアント装置１のユーザは、消去を開始するときにクライアント装置１を通信回線６に接続すればよい。従って、ユーザの都合に合わせてデータを消去することができる。これにより、記憶装置１３に格納されたデータを誤りなく特定して容易に消去することができる。
　消去アプリケーションプログラム７０だけでなく、消去アプリケーションプログラム７０及びファームウェアプログラム５０の組み合わせによって消去処理を行うことには、以下の利点がある。オペレーティングシステム６０上で実行される消去アプリケーションプログラム７０は、記憶装置１３に存在する。同様に、ファームウェアプログラム５０上で実行されるＵＥＦＩアプリケーションプログラムは、記憶装置１３に存在する。従って、消去アプリケーションプログラム７０又はＵＥＦＩアプリケーションプログラムによって記憶装置１３に格納されたデータを消去すると、プログラムが存在する記憶装置１３の領域を削除することができない。また、消去アプリケーションプログラム７０又はＵＥＦＩアプリケーションプログラムは、データの消去の完了後に、通信回線を介してサーバ装置２と通信することができない。また、消去アプリケーションプログラム７０又はＵＥＦＩアプリケーションプログラムは、データの消去の完了後に動作できないので、消去結果を示す情報（例えば、消去開始時刻、消去終了時刻、消去方式）を取得することができない。第１の実施形態に係るシステム１００によれば、ファームウェアプログラム５０を実行することにより、記憶装置１３に格納されたすべてのデータを消去することができ、データの消去の完了後に、通信回線を介してサーバ装置２と通信することができ、データの消去の完了後に、消去結果を示す情報を取得することができる。
　例えば、記憶装置１３に格納されたデータの消去を業者に委託することが考えられる。しかしながら、格納されたデータを消去すべき記憶装置を備えたクライアント装置を業者の事業所まで移送するには、セキュリティ上のリスクがある。高いセキュリティを有する送付形態を用いると、コストが増大する。また、消去及びその後のチェックのために多くの作業を行う必要がある。また、データの消去には長い時間、例えば半日かかる。第１の実施形態に係るシステム１００によれば、クライアント装置１を移動することなく、その記憶装置１３に格納されたデータを消去することができるので、セキュリティが高く、低コストで、簡単にデータを消去することができる。
　ここで、第１の実施形態に係るシステムのいくつかの使用例について説明する。
　［使用例１］
　まず、あるユーザのグループ（例えば、会社の１つの課）に対応するすべてのクライアント装置１を廃棄するが、ただし、これらのクライアント装置１をグループとしては管理しない場合を考える。各ユーザは、その対応するクライアント装置１をサーバ装置２にそれぞれ登録する。システムの管理者は、廃棄すべきクライアント装置１のすべて（グループの全員分）を確認し、サーバ装置２の管理テーブル２２ａに消去フラグを設定する。その後、各ユーザが、記憶装置１３に格納されたデータを消去する。管理者は、消去が完了したことを確認する、確認できたものは消去証明可能であり、一方、確認できなければデータを消去するようユーザに催促する。管理者は、必要に応じて、ＡＤＥＣ消去証明書を取得する。
　［使用例２］
　次に、あるユーザのグループ（例えば、会社の１つの課）に対応するすべてのクライアント装置１を廃棄し、これらのクライアント装置１をグループとして管理する場合を考える。管理者のタスクの大部分は、グループの責任者（例えば、課長）に引き受けられる。管理者は、グループを設定する。各ユーザは、その対応するクライアント装置１をサーバ装置２にそれぞれグループ設定して登録する。責任者は、廃棄すべきクライアント装置１のすべて（グループの全員分）を確認し、サーバ装置２の管理テーブル２２ａに消去フラグを設定する。その後、各ユーザが、記憶装置１３に格納されたデータを消去する。責任者は、消去が完了したことを確認する、確認できたものは消去証明可能であり、一方、確認できなければデータを消去するようユーザに催促する。責任者は、ＡＤＥＣ消去証明書の発行を依頼する。管理者は、ＡＤＥＣ消去証明書を取得する。
　［使用例３］
　また、あるユーザのグループ（例えば、会社の１つの課）に対応するすべてのクライアント装置１を廃棄し、これらのクライアント装置１をグループとして管理する場合を考える。管理者は、グループを設定する。各ユーザは、その対応するクライアント装置１をサーバ装置２にそれぞれグループ設定して登録する。責任者は、廃棄すべきクライアント装置１のすべて（グループの全員分）を確認し、管理者に連絡する。管理者は、サーバ装置２の管理テーブル２２ａに消去フラグを設定する。その後、各ユーザが、記憶装置１３に格納されたデータを消去する。責任者は、消去が完了したことを確認する、確認できたものは消去証明可能であり、一方、確認できなければデータを消去するようユーザに催促する。責任者は、ＡＤＥＣ消去証明書の発行を依頼する。管理者は、ＡＤＥＣ消去証明書を取得する。
　使用例１～３のいずれにおいても、記憶装置１３に格納されたデータを誤りなく特定して容易に消去することができる。
　［第１の実施形態の効果等］
　本開示の一態様によれば、クライアント装置１（電子装置の一例）は、記憶装置１３（第１の記憶装置の一例）と、通信装置１５と、プロセッサ１１とを備える。プロセッサ１１は、通信装置１５を用いて、記憶装置１３を一意に識別する識別情報を含む第１の信号をサーバ装置２に送信することにより、クライアント装置１をサーバ装置２に登録させる。プロセッサ１１は、通信装置１５を用いて、記憶装置１３の識別情報を含む第２の信号であって、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録されているか否かを問いあわせる第２の信号をサーバ装置２に送信する。プロセッサ１１は、通信装置１５を用いて、記憶装置１３に格納されたデータを消去することを指示する第３の信号をサーバ装置２から受信した場合、記憶装置１３に格納されたデータを消去する。第３の信号は、第２の信号に含まれる記憶装置１３の識別情報が第１の信号に含まれる記憶装置１３の識別情報に一致しているとサーバ装置２が判断し、かつ、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録されている場合、サーバ装置２からクライアント装置１に送信される。
　これにより、記憶装置に格納されたデータを誤りなく特定して容易に消去することができる。
　本開示の一態様によれば、記憶装置１３は、オペレーティングシステム、アプリケーションプログラム、及びユーザデータを含むデータを格納してもよい。クライアント装置１は、ファームウェアプログラムを格納した記憶装置１４（第２の記憶装置の一例）をさらに備えてもよい。プロセッサ１１は、ファームウェアプログラムを実行することにより、記憶装置１３に格納されたすべてのデータを消去してもよい。
　これにより、オペレーティングシステムを含む記憶装置に格納されたすべてのデータを消去することができる。
　本開示の一態様によれば、プロセッサ１１は、記憶装置１３に格納されたすべてのデータの消去が完了した後、ファームウェアプログラムを実行することにより、通信装置１５を用いて、記憶装置１３に格納されたすべてのデータの消去が完了したことを示す消去完了情報を含む第４の信号をサーバ装置２に送信してもよい。
　これにより、オペレーティングシステムを含む記憶装置に格納されたすべてのデータを消去した後で、消去証明書の作成に必要な情報をサーバ装置に送信することができる。
　本開示の一態様によれば、クライアント装置１は表示装置１６をさらに備えてもよい。プロセッサ１１は、第４の信号に対する肯定応答信号をサーバ装置２から受信しなかった場合、ファームウェアプログラムを実行することにより、記憶装置１３に格納されたすべてのデータの消去が完了したことを示す消去完了情報を含む二次元バーコード２０１（第１の二次元バーコードの一例）を表示装置１６に表示してもよい。
　これにより、サーバ装置と通信できない場合であっても、消去証明書の作成に必要な情報を取得することができる。
　本開示の一態様によれば、第２の信号は、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録されているか否かをサーバ装置２に問いあわせる第６の信号と、記憶装置１３の識別情報を含む第７の信号とを含んでもよい。プロセッサ１１は、通信装置１５を用いて第６の信号をサーバ装置２に送信し、通信装置１５を用いて、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録されていることを示す第８の信号をサーバ装置２から受信した場合、通信装置１５を用いて第７の信号をサーバ装置２に送信してもよい。
　これにより、記憶装置１３の識別情報を含む余分な通信を回避し、通信データ量を削減することができる。
　本開示の一態様によれば、記憶装置１３の識別情報は、クライアント装置１の製造業者、クライアント装置１の機種、クライアント装置１のシリアル番号、クライアント装置１のＵＵＩＤ、記憶装置１３の製造業者、記憶装置１３の機種、記憶装置１３のシリアル番号、記憶装置１３のＵＵＩＤ、及び記憶装置１３の容量のうちの少なくとも一部を含んでもよい。
　これにより、クライアント装置１の記憶装置１３を識別することができる。
　本開示の一態様によれば、上述した複数のクライアント装置１と、サーバ装置２とを含むシステムが提供される。
　これにより、記憶装置に格納されたデータを誤りなく特定して容易に消去することができる。
　本開示の一態様によれば、サーバ装置２は、記憶装置１３に格納されたすべてのデータの消去が完了したことを示す消去完了情報をクライアント装置１から取得し、消去完了情報に基づいて、記憶装置１３に格納されたすべてのデータの消去が完了したことを証明する消去証明書を発行してもよい。
　これにより、記憶装置に格納されたすべてのデータの消去が完了したことを証明する消去証明書を発行することができる。
　本開示の一態様によれば、第３の信号は、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録されている複数のクライアント装置１の各々の記憶装置１３に発行された処理番号を含んでもよい。消去完了情報は、処理番号、記憶装置１３のＵＵＩＤ、消去開始時刻、消去完了時刻、及び消去方式を含んでもよい。
　これにより、記憶装置に格納されたすべてのデータの消去が完了したことを証明する消去証明書を発行することができる。
　本開示の一態様によれば、クライアント装置１の記憶装置１３に格納されたデータを消去する方法は、記憶装置１３を一意に識別する識別情報を含む第１の信号をクライアント装置１からサーバ装置２に送信することにより、クライアント装置１をサーバ装置２に登録させるステップを含む。本方法は、記憶装置１３の識別情報を含む第２の信号であって、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録されているか否かを問いあわせる第２の信号をクライアント装置１からサーバ装置２に送信するステップを含む。記憶装置１３に格納されたデータを消去することを指示する第３の信号をサーバ装置２から受信した場合、記憶装置１３に格納されたデータを消去するステップを含む。第３の信号は、第２の信号に含まれる記憶装置１３の識別情報が第１の信号に含まれる記憶装置１３の識別情報に一致しているとサーバ装置２が判断し、かつ、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録されている場合、サーバ装置２からクライアント装置１に送信される。
　これにより、記憶装置に格納されたデータを誤りなく特定して容易に消去することができる。
　［第２の実施形態］
　電子装置の記憶装置に格納されたデータを消去した後で、データが消去されたことを検証することが求められる場合がある。ここで、データを消去するためには、記憶装置の全記憶領域に対して固定ビット値（ゼロ値など）又はランダムビット値を書き込む必要があるのと同様に、消去の検証には、概して、記憶装置の全記憶領域のビット値を読み出す必要がある。例えば、１ＴＢのＳＳＤに対して上書き３回消去を行って消去結果を検証する場合、消去には約２時間（４０分×３）かかり、消去の検証にはさらに４０分かかる。このため、消去及び検証の結果がわかるまでに非常に長い時間がかかり、電子装置のユーザ及び管理者を待たせることになる。
　第２の実施形態では、消去の検証を行ってもユーザ及び管理者をあまり待たせず、消去の検証を行わない場合よりも使い勝手が低下しにくい電子装置及びシステムを提供する。
　［第２の実施形態の構成］
　第２の実施形態に係るシステムは、図１～図６を参照して説明した第１の実施形態に係るクライアント装置１、サーバ装置２、管理者装置３、及びユーザ端末装置４等を含むシステム１００と同様に構成される。
　図６の機能ブロック図を参照すると、第２の実施形態に係るシステムでは、ファームウェアプログラム５０の消去制御部５２、データ符号化部５３、及び二次元バーコード生成部５４は、先に説明した動作に加えて、以下の動作を行うように構成される。消去制御部５２はさらに、記憶装置１３に格納されたデータが消去されたことの検証を制御する。また、データ符号化部５３はさらに、記憶装置１３に格納されたデータが消去されたことの検証に成功したか否かを示す検証結果情報を、予め決められた符号化方式で符号化する。また、二次元バーコード生成部５４はさらに、記憶装置１３に格納されたデータが消去されたことの検証に成功したか否かを示す検証結果情報（検証に成功した場合は検証完了情報を含む）を含む二次元バーコードを生成する。
　以下、クライアント装置１、サーバ装置２、管理者装置３、及びユーザ端末装置４の動作について説明する。
　［第２の実施形態の動作］
　図１６は、第２の実施形態に係るシステムの動作であって、クライアント装置１のプロセッサ１１によって実行されるファームウェアプログラム５０による消去及び検証処理を示すフローチャートである。図１７は、図１６のステップＳ７０（検証処理）のサブルーチンを示すフローチャートである。図１８は、第２の実施形態に係るシステムの動作であって、プロセッサ２１によって実行されるサーバ装置２の消去及び検証処理を示すフローチャートである。
　図１６の処理は、図１１の各ステップに加えてステップＳ７０の検証処理を含み、ここで、記憶装置１３に格納されたデータが消去されたことを検証する。また、図１８の処理は、図１２の各ステップに加えて、ステップＳ９１～Ｓ９３をさらに含む。
　図１６のステップＳ３７がＹＥＳの場合又はステップＳ４０がＹＥＳの場合、クライアント装置１のコア制御部５１は、ステップＳ７０の検証処理に進む。
　図１７のステップＳ７１において、クライアント装置１のコア制御部５１は、消去制御部５２を用いて、指定された検証方式で、記憶装置１３に格納されたデータが消去されたことを検証する。例えば、記憶装置１３の記憶領域にゼロ値を書き込むことによりデータを消去する場合、消去の検証は、記憶装置１３の記憶領域のビット値を読み出して各ビットがゼロ値であることを確認することにより行われてもよい。検証の完了後、コア制御部５１は、検証結果を示すデータを記憶装置１４に格納する。
　図１９は、記憶装置１３の第１の検証方法を説明するための概略図である。消去の検証は、記憶装置１３の全記憶領域のビット値を読み出して確認することにより行われてもよい。
　図２０は、記憶装置１３の第２の検証方法を説明するための概略図である。消去の検証は、記憶装置１３の全記憶領域を分割した複数の部分領域からランダムに抽出された所定個数の部分領域のビット値を読み出して確認することにより行われてもよい。図２０の例では、記憶装置１３の全記憶領域は、複数（例えば１０００個）の中領域３０１を含み、中領域３０１のそれぞれは、複数（例えば２０個）の小領域３０２を含む。消去の検証は、中領域３０１のそれぞれにおいて、少なくとも一部（例えば、ランダムに抽出された２個）の小領域３０２のビット値を読み出して確認することにより行われてもよい。
　図１７のステップＳ７２において、クライアント装置１のコア制御部５１は、記憶装置１４から検証結果を示すデータを読み出して、データ符号化部５３を用いて、検証結果を示すデータを予め決められた符号化方式で符号化する。コア制御部５１は、符号化されたデータを記憶装置１４に格納する。
　ステップＳ７３において、クライアント装置１のコア制御部５１は、記憶装置１４から符号化された検証結果を示すデータを読み出し、通信装置１５を用いて、符号化された検証結果を示すデータをサーバ装置２に送信する。
　図１８のステップＳ９１において、サーバ装置２は、クライアント装置１から検証結果を受信したか否かを判断し、ＹＥＳのときはステップＳ９２に進み、ＮＯのときはステップＳ５１に戻る。
　ステップＳ９２において、サーバ装置２は、検証結果に対する肯定応答信号をクライアント装置１に送信する。
　図１７のステップＳ７４において、クライアント装置１のコア制御部５１は、サーバ装置２から肯定応答信号を受信したか否かを判断し、ＹＥＳのときは図１６のステップＳ４１に進み、ＮＯのときは図１７のステップＳ７５に進む。
　ステップＳ７５において、クライアント装置１のコア制御部５１は、記憶装置１４から検証結果を示すデータを読み出して、二次元バーコード生成部５４を用いて、検証結果を示すデータから二次元バーコードを生成する。コア制御部５１は、生成された二次元バーコードを記憶装置１４に格納する。
　ステップＳ７６において、クライアント装置１のコア制御部５１は、記憶装置１４から二次元バーコードを読み出し、二次元バーコードをキーワード及び入力欄とともに表示装置１６に表示する。ステップＳ７６において表示される二次元バーコード、キーワード、及び入力欄は、例えば、図１３に示す二次元バーコード２０１、キーワード２０２、及び入力欄２０３と同様である。
　ステップＳ７７において、クライアント装置１のコア制御部５１は、表示装置１６に表示したキーワードが入力装置１７から入力されたか否かを判断し、ＹＥＳのときは図１６のステップＳ４１に進み、ＮＯのときはステップＳ７７を繰り返す。
　図１８を参照すると、ステップ９２の実行後、ステップＳ９３において、サーバ装置２は、検証結果を管理テーブル２２ａに保存し、ステータスレポートを更新する。
　第２の実施形態では、ステータスレポートは、例えば、各記憶装置１３が以下のいずれの状態にあるのかを示す。
・消去フラグ設定済み
・消去中
・消去完了
・消去完了かつ消去証明書発行不可（暫定）
・消去完了かつ消去証明書発行可
・消去完了かつ消去証明書発行済み
・消去失敗かつ消去証明書発行不可
　ステップＳ５９及びＳ９３の実行後、ステップＳ６０Ａにおいて、サーバ装置２は、消去結果及び検証結果に基づいて消去証明書を発行する。
　図１６を参照すると、ステップＳ７０の実行後、ステップＳ４１において、クライアント装置１のコア制御部５１は、後処理を行ってクライアント装置１をシャットダウンする。
　図２１は、第２の実施形態に係るシステムの動作であって、通信回線６を介する消去結果情報及び検証結果情報の送信に成功した場合におけるシステム１００の動作を示すシーケンス図である。図２２は、第２の実施形態に係るシステムの動作であって、通信回線６を介する消去結果情報及び検証結果情報の送信に失敗した場合におけるシステム１００の動作を示すシーケンス図である。
　図２１のステップＳ１～５９の動作は、図１４を参照して説明した場合と同様である。
　ステップＳ３４において記憶装置１３に格納されたすべてのデータを消去し、その後、消去結果情報をサーバ装置２に送信し、サーバ装置２から応答信号を受信した場合、クライアント装置１は、ステップＳ７１において、記憶装置１３に格納されたデータが消去されたことを検証する。
　検証の完了後、クライアント装置１は、検証結果情報をサーバ装置２に送信する。予め決められたタイムアウト期間内に検証結果情報に対する応答信号をサーバ装置２から受信した場合、クライアント装置１は処理を終了する。
　サーバ装置２は、ステップＳ９３において、検証結果信号に含まれる検証結果を管理テーブル２２ａに格納する。サーバ装置２は、ステップＳ６０Ａにおいて、消去結果信号に含まれる消去結果と、検証結果信号に含まれる検証結果とに基づいて、消去証明書を発行する。
　一方、図２２に示すように、クライアント装置１が送信した検証結果情報がサーバ装置２に到達しなかった場合、又は、検証結果情報に対する応答信号が受信されたかったとき、クライアント装置１は、ステップＳ７６において、二次元バーコードを表示装置１６に表示する。
　クライアント装置１のユーザは、ステップＳ１１２において、ユーザ端末装置４を用いてクライアント装置１の表示装置１６に表示された二次元バーコードを撮影する。ユーザ端末装置４のプロセッサ４１は、二次元バーコードを復号して検証結果を示すデータを抽出し、このデータをサーバ装置２に送信する。以後、図２２のステップＳ９３及びＳ６０Ａは、図２１の対応するステップと同様である。
　［まとめ］
　第２の実施形態に係るシステムによれば、第１の実施形態に係るシステムと同様に、記憶装置１３に格納されたデータを誤りなく特定して容易に消去することができる。また、第２の実施形態に係るシステムによれば、記憶装置１３に格納されたデータの消去が完了した時点で消去結果をサーバ装置２に通知することにより、管理者は記憶装置１３の状態を早期に認識することができる。これにより、消去の検証を行ってもユーザ及び管理者をあまり待たせず、消去の検証を行わない場合よりも使い勝手を低下させにくくすることができる。
　例えば、記憶装置１３に格納されたデータの消去に成功し、検証結果が消去の成功を示す場合、本システムは、以下のように動作する。まず、消去の完了後、クライアント装置１は、表示装置１６には消去結果を表示せず、通信装置１５を用いて消去結果をサーバ装置２に送信する。消去結果の送信に成功した場合、クライアント装置１は表示装置１６に何も表示せず、消去結果の送信に失敗した場合、クライアント装置１は二次元バーコードを表示装置１６に表示する。この時点で、ステータスレポートは、「消去完了かつ消去証明書発行不可（暫定）」になる。その後、検証の完了後、クライアント装置１は、表示装置１６には検証結果を表示せず、通信装置１５を用いて検証結果をサーバ装置２に送信する。検証結果の送信に成功した場合、クライアント装置１は表示装置１６に何も表示せず、検証結果の送信に失敗した場合、クライアント装置１は二次元バーコードを表示装置１６に表示する。この時点で、ステータスレポートは、「消去完了かつ消去証明書発行可」になる。
　記憶装置１３に格納されたデータの消去が完了したが、検証結果が消去の失敗を示す場合、本システムは、以下のように動作する。まず、消去の完了後、クライアント装置１は、表示装置１６には消去結果を表示せず、通信装置１５を用いて消去結果をサーバ装置２に送信する。消去結果の送信に成功した場合、クライアント装置１は表示装置１６に何も表示せず、消去結果の送信に失敗した場合、クライアント装置１は二次元バーコードを表示装置１６に表示する。この時点で、ステータスレポートは、「消去完了かつ消去証明書発行不可（暫定）」になる。その後、検証の完了後、クライアント装置１は、表示装置１６に検証結果を表示し、通信装置１５を用いて検証結果をサーバ装置２に送信する。検証結果の送信に成功した場合、クライアント装置１は表示装置１６に何も表示せず、検証結果の送信に失敗した場合、クライアント装置１は二次元バーコードを表示装置１６に表示する。この時点で、ステータスレポートは、「消去失敗かつ消去証明書発行不可」になる。
　記憶装置１３に格納されたデータの消去に失敗した場合、本システムは、以下のように動作する。まず、消去の完了後、クライアント装置１は、表示装置１６には消去結果を表示し、通信装置１５を用いて消去結果をサーバ装置２に送信する。消去結果の送信に成功した場合、クライアント装置１は表示装置１６に何も表示せず、消去結果の送信に失敗した場合、クライアント装置１は二次元バーコードを表示装置１６に表示する。この時点で、ステータスレポートは、「消去失敗かつ消去証明書発行不可」になる。消去の検証は実行されない。
　記憶装置１３に格納されたデータを消去しているとき、クライアント装置１は、表示装置１６に「消去中」であることを表示してもよい。また、消去の検証を行っているとき、クライアント装置１は、表示装置１６に「検証中」であることを表示してもよい。
　通信回線６に障害などに起因して消去結果又は検証結果の送信に失敗し、二次元バーコードを表示装置１６に表示した場合であっても、通信回線６が回復した場合には、消去結果及び検証結果は再送信され、二次元バーコードの表示は停止される。
　第２の実施形態に係るシステムによれば、クライアント装置１を廃棄する場合、又は、クライアント装置１が盗難にあった場合など、記憶装置１３に格納されたデータを消去することが求められる場合に有用である。特に、クライアント装置１が盗難にあった場合、管理者は、記憶装置１３に格納されたデータを消去し、消去の検証を行いながら、記憶装置１３の状態を早期に把握することができる。
　［第２の実施形態の変形例］
　前述したように、消去の検証には長い時間がかかる。従って、第２の実施形態に係るシステムでは、消去の検証を段階的に行ってもよい。これにより、ユーザ又は管理者は、消去の検証の進捗度を認識することができる。
　図２３は、第２の実施形態の変形例に係るシステムの動作であって、クライアント装置１のプロセッサ１１によって実行されるステップＳ７０Ａ（検証処理）のサブルーチンを示すフローチャートである。図２４は、第２の実施形態の変形例に係るシステムの動作であって、プロセッサ２１によって実行されるサーバ装置２の消去及び検証処理を示すフローチャートである。
　図２３の処理は、図１６のステップＳ７０に代えて実行される。また、図２４の処理は、図１８のステップＳ９１～Ｓ９３に代えて、ステップＳ９１Ａ～Ｓ９３Ａ，Ｓ９４を含む。
　この場合、消去の検証の進捗度をそれぞれ示す複数のチェックポイントが予め設定される。
　図２３のステップＳ８１において、クライアント装置１のコア制御部５１は、消去制御部５２を用いて、指定された検証方式で、記憶装置１３に格納されたデータが消去されたことを検証する。
　ステップＳ８２において、クライアント装置１のコア制御部５１は、消去の検証が、予め決められたチェックポイントに到達したか否かを判断し、ＹＥＳのときはステップＳ８３に進み、ＮＯのときはステップＳ８２を繰り返す。
　ステップＳ８３において、クライアント装置１のコア制御部５１は、データ符号化部５３を用いて、検証結果及びその進捗度を示すデータを予め決められた符号化方式で符号化する。
　ステップＳ８４において、クライアント装置１のコア制御部５１は、通信装置１５を用いて、符号化された検証結果及びその進捗度を示すデータをサーバ装置２に送信する。
　図２４のステップＳ９１Ａにおいて、サーバ装置２は、クライアント装置１から検証結果及びその進捗度を受信したか否かを判断し、ＹＥＳのときはステップＳ９２Ａに進み、ＮＯのときはステップＳ５１に戻る。
　ステップＳ９２Ａにおいて、サーバ装置２は、検証結果及びその進捗度に対する肯定応答信号をクライアント装置１に送信する。
　図２３のステップＳ８５において、クライアント装置１のコア制御部５１は、記憶装置１３の全記憶領域のうち、処理すべきすべての領域を検証したか否かを判断し、ＹＥＳのときは図１６ステップＳ４１に進み、ＮＯのときは図２３のステップＳ８６に進む。
　ステップＳ８６において、クライアント装置１のコア制御部５１は、次のチェックポイントを設定し、その後、ステップＳ８２～Ｓ８６を繰り返す。
　図２４を参照すると、ステップ９２Ａの実行後、ステップＳ９３Ａにおいて、サーバ装置２は、検証結果及びその進捗度を管理テーブル２２ａに保存し、ステータスレポートを更新する。
　ステップＳ９４において、サーバ装置２は、最後の検証結果を受信したか否かを判断し、ＹＥＳのときはステップＳ６０Ａに進み、ＮＯのときはステップＳ５１に戻る。
　これにより、クライアント装置１は、消去の検証が、互いに異なる複数の進捗度のいずれかまで完了したことをそれぞれ示す、複数の信号をサーバ装置２に送信する。
　消去の検証が図１９に示すように行われる場合、クライアント装置１は、消去の検証が、記憶装置１３の全記憶領域のうちの複数の所定割合まで完了したことをそれぞれ示す、複数の信号をサーバ装置２に送信してもよい。この場合、消去の検証の進捗度をそれぞれ示す複数のチェックポイントは、記憶装置１３の全記憶領域のうちで消去の検証が完了した領域の割合、例えば、１０％、２０％、３０％、…，９０％，１００％である。また、消去の検証が図２０に示すように行われる場合、クライアント装置１は、消去の検証が、記憶装置１３の全記憶領域を分割した複数の部分領域からランダムに抽出された所定個数の部分領域まで完了したことをそれぞれ示す、複数の信号をサーバ装置２に送信してもよい。この場合、消去の検証の進捗度をそれぞれ示す複数のチェックポイントは、中領域３０１のそれぞれにおいて、抽出される小領域３０２の個数、例えば、１個、２個、３個、…、９個、１０個である。
　クライアント装置１は、図２３のステップＳ８４において検証結果及びその進捗度の送信した後、サーバ装置２から肯定応答信号を受信しなかった場合、図１７の検証処理と同様に、検証結果及びその進捗度の情報を含む二次元バーコードを表示装置１６に表示してもよい。クライアント装置１のユーザは、ユーザ端末装置４を用いて表示された二次元バーコードを撮影することにより、検証結果及びその進捗度を示すデータをサーバ装置２に送信することができる。
　図２３及び図２４の処理によれば、消去の検証を段階的に行うことにより、管理者は、記憶装置１３の状態を早期に認識することができ、時間経過とともに、より正確な検証結果を認識することができる。
　［第２の実施形態の効果等］
　本開示の一態様によれば、クライアント装置１は、記憶装置１３と、通信装置１５と、プロセッサ１１とを備える。プロセッサ１１は、通信装置１５を用いて、記憶装置１３を一意に識別する識別情報を含む第１の信号をサーバ装置２に送信することにより、クライアント装置１をサーバ装置２に登録させる。プロセッサ１１は、通信装置１５を用いて、記憶装置１３の識別情報を含む第２の信号であって、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録されているか否かを問いあわせる第２の信号をサーバ装置２に送信する。プロセッサ１１は、通信装置１５を用いて、記憶装置１３に格納されたデータを消去することを指示する第３の信号をサーバ装置２から受信した場合、記憶装置１３に格納されたデータを消去する。プロセッサ１１は、記憶装置１３に格納されたすべてのデータの消去が完了した後、通信装置１５を用いて、記憶装置１３に格納されたすべてのデータの消去が完了したことを示す消去完了情報を含む第４の信号をサーバ装置２に送信する。プロセッサ１１は、記憶装置１３に格納されたデータが消去されたことを検証する。プロセッサ１１は、消去の検証中又は検証後に、通信装置１５を用いて、記憶装置１３に格納されたデータが消去されたことの検証が少なくとも部分的に完了したことを示す第５の信号をサーバ装置２に送信する。第３の信号は、第２の信号に含まれる記憶装置１３の識別情報が第１の信号に含まれる記憶装置１３の識別情報に一致しているとサーバ装置２が判断し、かつ、記憶装置１３に格納されたデータを消去すべきであるとサーバ装置２に登録されている場合、サーバ装置２からクライアント装置１に送信される。
　これにより、消去の検証を行ってもユーザ及び管理者をあまり待たせず、消去の検証を行わない場合よりも使い勝手を低下させにくくすることができる。
　本開示の一態様によれば、プロセッサ１１は、消去の検証が、互いに異なる複数の進捗度のいずれかまで完了したことをそれぞれ示す、複数の第５の信号をサーバ装置２に送信してもよい。
　これにより、管理者は、記憶装置の状態を早期に認識することができ、時間経過とともに、より正確な検証結果を認識することができる。
　本開示の一態様によれば、プロセッサ１１は、消去の検証が、記憶装置１３の全記憶領域のうちの複数の所定割合まで完了したことをそれぞれ示す、複数の第５の信号をサーバ装置２に送信してもよい。
　これにより、最終的に、記憶装置の全記憶領域に格納されたデータの消去を検証することができる。
　本開示の一態様によれば、プロセッサ１１は、消去の検証が、記憶装置１３の全記憶領域を分割した複数の部分領域からランダムに抽出された複数の所定個数の部分領域まで完了したことをそれぞれ示す、複数の第５の信号をサーバ装置２に送信してもよい。
　これにより、消去の検証を早期に完了することができる。
　本開示の一態様によれば、記憶装置１３は、オペレーティングシステム、アプリケーションプログラム、及びユーザデータを含むデータを格納してもよい。この場合、クライアント装置１は、ファームウェアプログラムを格納した記憶装置１４をさらに備える。プロセッサ１１は、ファームウェアプログラムを実行することにより、記憶装置１３に格納されたすべてのデータを消去し、記憶装置１３に格納されたデータが消去されたことを検証する。
　これにより、オペレーティングシステムを含む記憶装置に格納されたすべてのデータを消去することができる。
　本開示の一態様によれば、クライアント装置１は表示装置１６をさらに備えてもよい。この場合、プロセッサ１１は、第４の信号に対する肯定応答信号をサーバ装置２から受信しなかった場合、ファームウェアプログラムを実行することにより、記憶装置１３に格納されたすべてのデータの消去が完了したことを示す消去完了情報を含む二次元バーコード２０１を表示装置１６に表示する。
　これにより、サーバ装置と通信できない場合であっても、消去証明書の作成に必要な情報を取得することができる。
　本開示の一態様によれば、プロセッサ１１は、第５の信号に対する肯定応答信号をサーバ装置２から受信しなかった場合、ファームウェアプログラムを実行することにより、消去の検証が完了したことを示す検証完了情報を含む第２の二次元バーコードを表示装置１６に表示してもよい。
　これにより、サーバ装置と通信できない場合であっても、消去証明書の作成に必要な情報を取得することができる。
　本開示の一態様によれば、上述した複数のクライアント装置１と、サーバ装置２とを含むシステムが提供される。
　これにより、消去の検証を行ってもユーザ及び管理者をあまり待たせず、消去の検証を行わない場合よりも使い勝手を低下させにくくすることができる。
　本開示の一態様によれば、サーバ装置２は、記憶装置１３に格納されたすべてのデータの消去が完了したことを示す消去完了情報をクライアント装置１から取得し、記憶装置１３に格納されたデータが消去されたことの検証が完了したことを示す検証完了情報をクライアント装置１から取得してもよい。この場合、サーバ装置２は、消去完了情報及び検証完了情報に基づいて、記憶装置１３に格納されたすべてのデータの消去が完了したことを証明する消去証明書を発行する。
　これにより、記憶装置に格納されたすべてのデータの消去が完了したことを証明する消去証明書を発行することができる。
　本開示の一態様によれば、クライアント装置１の記憶装置に格納されたデータを消去する方法が提供される。本方法は、記憶装置を一意に識別する識別情報を含む第１の信号をクライアント装置１からサーバ装置２に送信することにより、クライアント装置１をサーバ装置２に登録させるステップを含む。本方法は、記憶装置の識別情報を含む第２の信号であって、記憶装置に格納されたデータを消去すべきであるとサーバ装置２に登録されているか否かを問いあわせる第２の信号をクライアント装置１からサーバ装置２に送信するステップを含む。本方法は、記憶装置に格納されたデータを消去することを指示する第３の信号をサーバ装置２から受信した場合、記憶装置に格納されたデータを消去するステップを含む。本方法は、記憶装置に格納されたすべてのデータの消去が完了した後、記憶装置に格納されたすべてのデータの消去が完了したことを示す第４の信号をクライアント装置１からサーバ装置２に送信するステップを含む。本方法は、記憶装置に格納されたデータが消去されたことを検証するステップを含む。本方法は、消去の検証中又は検証後に、記憶装置に格納されたデータが消去されたことの検証が少なくとも部分的に完了したことを示す第５の信号をクライアント装置１からサーバ装置２に送信するステップとを含む。第３の信号は、第２の信号に含まれる記憶装置の識別情報が第１の信号に含まれる記憶装置の識別情報に一致しているとサーバ装置２が判断し、かつ、記憶装置に格納されたデータを消去すべきであるとサーバ装置２に登録されている場合、サーバ装置２からクライアント装置１に送信される。
　これにより、消去の検証を行ってもユーザ及び管理者をあまり待たせず、消去の検証を行わない場合よりも使い勝手を低下させにくくすることができる。
　［他の実施形態］
　以上のように、本出願において開示する技術の例示として、実施形態を説明した。しかしながら、本開示における技術は、これに限定されず、適宜、変更、置き換え、付加、省略などを行った実施形態にも適用可能である。また、上記実施形態で説明した各構成要素を組み合わせて、新たな実施形態とすることも可能である。
　そこで、以下、他の実施形態を例示する。
　消去許可を発行する際には、機種を指定することで発行できるようにしてもよい。機種だけでなく、備考にユーザ情報を記載するようにして、指定の機種と別の機種を持っている場合に、指定の機種の消去許可を発行するようにしてもよい。指定の機種をリスト表示し、管理者が消去許可を発行させるようにしてもよい。これにより、予め決められた特徴を有する機種を廃棄したり、予め決められた特徴をもたない機種を廃棄したりするように（例えば、ノートブック型コンピュータ及びタブレット型コンピュータの両方の形態（いわゆる「２ｉｎ１」）をもたない機種を廃棄する）、ユーザの意図を反映してクライアント装置１を管理できるという効果がある。これにより、例えば、古い機種から廃棄することができるという効果がある。
　また、記憶装置１３の製造業者を指定することにより消去許可を発行してもよい。これにより、故障が発生し易い傾向の製造業者から供給されたクライアント装置１を排除できるという効果がある。
　また、管理テーブル２２ａは、任意の文字列を入力可能な備考欄を有してもよい。備考欄にユーザ情報を記載することにより、複数のクライアント装置１を用いているユーザをリスト化し、消去許可を発行することができる。これにより、クライアント装置１の総数を減らすことができるという効果がある。また、備考欄にユーザ情報を記載することにより、複数のクライアント装置１を部又は課などの単位で取り扱うことが容易になる。
　また、クライアント装置１のＳ．Ｍ．Ａ．Ｒ．Ｔ．情報（Self-Monitoring Analysis and Reporting Technology）をサーバ装置２に送信することにより、状態の悪いクライアント装置１を発見し、その情報に基づいて消去許可を発行してもよい。Ｓ．Ｍ．Ａ．Ｒ．Ｔ．情報に基づいて記憶装置１３の状態を評価するために、例えば、代替処理済のセクタの個数、電源投入回数、衝撃によって発生したエラーレート、使用時間長、温度、サーバ装置２からみた上記パラメータの増加量、これらの組み合わせ、などを用いてもよい。クライアント装置１においてＳ．Ｍ．Ａ．Ｒ．Ｔ．情報に基づいてクライアント装置１の状態を算出し、その状態を備考情報としてサーバ装置２に送信してもよい。登録されているクライアント装置１が定期的にＳ．Ｍ．Ａ．Ｒ．Ｔ．情報をサーバ装置２に送ることにより、サーバ装置２が全クライアント装置１の状態を把握できるようにしてもよい。登録されているクライアント装置１が定期的に、クライアント装置１のＳ．Ｍ．Ａ．Ｒ．Ｔ．情報に基づいてクライアント装置１の状態を算出し、その状態を備考情報としてサーバ装置２に送信することにより、サーバ装置２が全クライアント装置１の状態を把握できるようにしてもよい。これにより、状態の悪いクライアント装置１から廃棄対象とすることができるという効果がある。
　また、クライアント装置１の使用時間をサーバ装置２に送ることにより、状態の悪いクライアント装置１を発見し、その情報に基づいて消去許可を発行するようにしてもよい。クライアント装置１の使用時間を備考情報としてサーバ装置２に送信してもよい。これにより、使用時間の長いクライアント装置１から廃棄対象とすることができるという効果がある。
　また、クライアント装置１のストレス情報をサーバ装置２に送るようにして、状態の悪いクライアント装置１を発見し、その情報に基づいて消去許可を発行してもよい。クライアント装置１のストレスを備考情報としてサーバ装置２に送信してもよい。これにより、高負荷環境で用いられていたクライアント装置１から廃棄対象とすることができるという効果がある。
　図１０、図１２、図１４、及び図１５の例では、クライアント装置１からサーバ装置２に、消去フラグの問いあわせと、クライアント装置１及び記憶装置１３の情報の送信とを別々に行ったが、これらの通信は同時に行われてもよい。サーバ装置２は、クライアント装置１からクライアント装置１及び記憶装置１３の情報を受信したとき、消去フラグの問いあわせを受けたとみなしてもよい。
　図１０～図１２、図１４、及び図１５の例では、クライアント装置１を再起動して、消去アプリケーションプログラム７０及びファームウェアプログラム５０の組み合わせによる消去処理から、ファームウェアプログラム５０のみによる消去処理に移行する場合について説明した。しかしながら、クライアント装置１は、再起動することなく、消去アプリケーションプログラム７０及びファームウェアプログラム５０の組み合わせによる消去処理から、ファームウェアプログラム５０のみによる消去処理に移行するように構成されてもよい。
　図２の例では、クライアント装置１が、格納されたデータを消去すべき１つの記憶装置１３のみを備える場合について説明したが、クライアント装置１は、格納されたデータを消去すべき複数の記憶装置１３を備えてもよい。複数の記憶装置１３は、例えば、ＲＡＩＤ（Redundant Arrays of Inexpensive Disks）装置として構成されてもよい。この場合、複数の記憶装置１３は一体的な装置として取り扱われ、そこに格納されたデータが一体的に消去され、消去結果が一体的に検証される。また、複数の記憶装置１３は個別に取り扱われ、そこに格納されたデータが個別に消去され、消去結果が個別に検証されてもよい。
　また、第２の実施形態において、消去の検証の要否をユーザ又は管理者が選択できるようにしてもよい。消去の検証を行わない場合には、第１の実施形態の場合と同じ時間で処理を完了することができる。
　記憶装置１３に格納されたデータを消去するとき、消去方式としてセキュアイレースを指定したが失敗し、代替として上書き３回消去を実施して成功した場合には、消去結果情報として、上書き３回消去が記載される。ファームウェアプログラム５０は、消去の失敗時の代替処理を予め設定しておく。例えば、消去に失敗するごとに、セキュアイレース→上書き３消去→上書き１回消去の順に消去方法を変更してもよい。
　以上のように、本開示における技術の例示として、実施形態を説明した。そのために、添付図面および詳細な説明を提供した。
　したがって、添付図面および詳細な説明に記載された構成要素の中には、課題解決のために必須な構成要素だけでなく、上記技術を例示するために、課題解決のためには必須でない構成要素も含まれ得る。そのため、それらの必須ではない構成要素が添付図面や詳細な説明に記載されていることをもって、直ちに、それらの必須ではない構成要素が必須であるとの認定をするべきではない。
　また、上述の実施形態は、本開示における技術を例示するためのものであるから、請求の範囲またはその均等の範囲において種々の変更、置き換え、付加、省略などを行うことができる。
　本開示の一態様に係る電子装置によれば、記憶装置に格納されたデータを消去することに有用である。
１，１－１～１－３　クライアント装置
２　サーバ装置
３　管理者装置
４　ユーザ端末装置
５　基地局装置
６　通信回線
１０　バス
１１　プロセッサ
１２　メモリ
１３　記憶装置
１４　記憶装置
１５　通信装置
１６　表示装置
１７　入力装置
２０　バス
２１　プロセッサ
２２　メモリ
２３　記憶装置
２５　通信装置
３０　バス
３１　プロセッサ
３２　メモリ
３３　記憶装置
３５　通信装置
３６　表示装置
３７　入力装置
４０　バス
４１　プロセッサ
４２　メモリ
４３　記憶装置
４５　通信装置
４６　表示装置
４７　入力装置
４８　カメラ
５０　ファームウェアプログラム
５１　コア制御部
５２　消去制御部
５３　データ符号化部
５４　二次元バーコード生成部
６０　オペレーティングシステム
６１　装置情報モニタ
６２　電源管理部
７０　消去アプリケーションプログラム
７１　コア制御部
８１　コア制御部
８２　読み出し部
８３　書き込み部
８４　消去部
１００　システム
２００　表示画面
２０１　二次元バーコード
２０２　キーワード
２０３　入力欄
３０１　中領域
３０２　小領域

Claims (20)

  1. 　第１の記憶装置と、通信装置と、プロセッサとを備えた電子装置であって、
    　前記プロセッサは、
    　前記通信装置を用いて、前記第１の記憶装置を一意に識別する識別情報を含む第１の信号をサーバ装置に送信することにより、前記電子装置を前記サーバ装置に登録させ、
    　前記通信装置を用いて、前記第１の記憶装置の前記識別情報を含む第２の信号であって、前記第１の記憶装置に格納されたデータを消去すべきであると前記サーバ装置に登録されているか否かを問いあわせる前記第２の信号を前記サーバ装置に送信し、
    　前記通信装置を用いて、前記第１の記憶装置に格納された前記データを消去することを指示する第３の信号を前記サーバ装置から受信した場合、前記第１の記憶装置に格納された前記データを消去し、
    　前記第３の信号は、前記第２の信号に含まれる前記第１の記憶装置の前記識別情報が前記第１の信号に含まれる前記第１の記憶装置の前記識別情報に一致していると前記サーバ装置が判断し、かつ、前記第１の記憶装置に格納された前記データを消去すべきであると前記サーバ装置に登録されている場合、前記サーバ装置から前記電子装置に送信される、
    電子装置。
  2. 　前記電子装置は、ファームウェアプログラムを格納した第２の記憶装置をさらに備え、
    　前記第１の記憶装置に格納された前記データは、オペレーティングシステム、アプリケーションプログラム、及びユーザデータを含み、
    　前記プロセッサは、前記ファームウェアプログラムを実行することにより、前記第１の記憶装置に格納された前記データを消去する、
    請求項１記載の電子装置。
  3. 　前記プロセッサは、前記第１の記憶装置に格納された前記データの消去が完了した後、前記ファームウェアプログラムを実行することにより、前記通信装置を用いて、前記第１の記憶装置に格納された前記データの前記消去が完了したことを示す第４の信号を前記サーバ装置に送信する、
    請求項２記載の電子装置。
  4. 　前記電子装置は表示装置をさらに備え、
    　前記プロセッサは、前記第４の信号に対する肯定応答信号を前記サーバ装置から受信しなかった場合、前記ファームウェアプログラムを実行することにより、前記第１の記憶装置に格納された前記データの前記消去が完了したことを示す消去完了情報を含む第１の二次元バーコードを前記表示装置に表示する、
    請求項３記載の電子装置。
  5. 　前記プロセッサは、
    　前記第１の記憶装置に格納された前記データの消去が完了した後、前記通信装置を用いて、前記第１の記憶装置に格納された前記データの前記消去が完了したことを示す第４の信号を前記サーバ装置に送信し、
    　前記第１の記憶装置に格納された前記データの前記消去を検証し、
    　前記消去の検証中又は検証後に、前記通信装置を用いて、前記第１の記憶装置に格納された前記データの前記消去の検証が少なくとも部分的に完了したことを示す少なくとも１つの第５の信号を前記サーバ装置に送信する、
    請求項１記載の電子装置。
  6. 　前記少なくとも１つの第５の信号は、複数の第５の信号であり、
    　前記複数の第５の信号は、前記消去の検証が、互いに異なる複数の進捗度のいずれかまで完了したことをそれぞれ示す、
    請求項５記載の電子装置。
  7. 　前記少なくとも１つの第５の信号は、複数の第５の信号であり、
    　前記複数の第５の信号は、前記消去の検証が、前記第１の記憶装置の全記憶領域のうちの複数の所定割合まで完了したことをそれぞれ示す、
    請求項５記載の電子装置。
  8. 　前記少なくとも１つの第５の信号は、複数の第５の信号であり、
    　前記複数の第５の信号は、前記消去の検証が、前記第１の記憶装置の全記憶領域を分割した複数の部分領域からランダムに抽出された複数の所定個数の部分領域まで完了したことをそれぞれ示す、
    請求項５記載の電子装置。
  9. 　前記電子装置は、ファームウェアプログラムを格納した第２の記憶装置をさらに備え、
    　前記第１の記憶装置に格納された前記データは、オペレーティングシステム、アプリケーションプログラム、及びユーザデータを含み、
    　前記プロセッサは、前記ファームウェアプログラムを実行することにより、前記第１の記憶装置に格納された前記データを消去し、前記第１の記憶装置に格納された前記データが消去されたことを検証する、
    請求項５記載の電子装置。
  10. 　前記電子装置は表示装置をさらに備え、
    　前記プロセッサは、前記第４の信号に対する肯定応答信号を前記サーバ装置から受信しなかった場合、前記ファームウェアプログラムを実行することにより、前記第１の記憶装置に格納された前記データの前記消去が完了したことを示す消去完了情報を含む第１の二次元バーコードを前記表示装置に表示する、
    請求項９記載の電子装置。
  11. 　前記プロセッサは、前記少なくとも１つの第５の信号に対する肯定応答信号を前記サーバ装置から受信しなかった場合、前記ファームウェアプログラムを実行することにより、前記消去の検証が完了したことを示す検証完了情報を含む第２の二次元バーコードを前記表示装置に表示する、
    請求項１０記載の電子装置。
  12. 　前記第２の信号は、前記第１の記憶装置に格納された前記データを消去すべきであると前記サーバ装置に登録されているか否かを問いあわせる第６の信号と、前記第１の記憶装置の前記識別情報を含む第７の信号とを含み、
    　前記プロセッサは、
    　前記通信装置を用いて前記第６の信号を前記サーバ装置に送信し、
    　前記通信装置を用いて、前記第１の記憶装置に格納された前記データを消去すべきであると前記サーバ装置に登録されていることを示す第８の信号を前記サーバ装置から受信した場合、前記通信装置を用いて前記第７の信号を前記サーバ装置に送信する、
    請求項１記載の電子装置。
  13. 　前記第１の記憶装置の前記識別情報は、前記電子装置の製造業者、前記電子装置の機種、前記電子装置のシリアル番号、前記電子装置のＵＵＩＤ（Universally Unique Identifier）、前記第１の記憶装置の製造業者、前記第１の記憶装置の機種、前記第１の記憶装置のシリアル番号、前記第１の記憶装置のＵＵＩＤ、及び前記第１の記憶装置の容量のうちの少なくとも一部を含む、
    請求項１記載の電子装置。
  14. 　各々が請求項１～４、１２、１３のうちの１つに記載の電子装置である複数の電子装置と、
    　前記サーバ装置とを含む、
    システム。
  15. 　前記サーバ装置は、
    　前記第１の記憶装置に格納された前記データの消去が完了したことを示す消去完了情報を前記電子装置から取得し、
    　前記消去完了情報に基づいて、前記第１の記憶装置に格納された前記データの前記消去が完了したことを証明する消去証明書を発行する、
    請求項１４記載のシステム。
  16. 　前記第３の信号は、前記第１の記憶装置に格納された前記データを消去すべきであると前記サーバ装置に登録されている前記複数の電子装置の各々の前記第１の記憶装置に発行された処理番号を含み、
    　前記消去完了情報は、前記処理番号、前記第１の記憶装置のＵＵＩＤ（Universally Unique Identifier）、消去開始時刻、消去完了時刻、及び消去方式を含む、
    請求項１５記載のシステム。
  17. 　各々が請求項５～１１のうちの１つに記載の電子装置である複数の電子装置と、
    　前記サーバ装置とを含む、
    システム。
  18. 　前記サーバ装置は、
    　前記第１の記憶装置に格納された前記データの前記消去が完了したことを示す消去完了情報を前記電子装置から取得し、
    　前記第１の記憶装置に格納された前記データが消去されたことの検証が完了したことを示す検証完了情報を前記電子装置から取得し、
    　前記消去完了情報及び前記検証完了情報に基づいて、前記第１の記憶装置に格納された前記データの前記消去が完了したことを証明する消去証明書を発行する、
    請求項１７記載のシステム。
  19. 　電子装置の記憶装置に格納されたデータを消去する方法であって、
    　前記記憶装置を一意に識別する識別情報を含む第１の信号を前記電子装置からサーバ装置に送信することにより、前記電子装置を前記サーバ装置に登録させるステップと、
    　前記記憶装置の前記識別情報を含む第２の信号であって、前記記憶装置に格納されたデータを消去すべきであると前記サーバ装置に登録されているか否かを問いあわせる前記第２の信号を前記電子装置から前記サーバ装置に送信するステップと、
    　前記記憶装置に格納された前記データを消去することを指示する第３の信号を前記サーバ装置から受信した場合、前記記憶装置に格納された前記データを消去するステップとを含み、
    　前記第３の信号は、前記第２の信号に含まれる前記記憶装置の前記識別情報が前記第１の信号に含まれる前記記憶装置の前記識別情報に一致していると前記サーバ装置が判断し、かつ、前記記憶装置に格納された前記データを消去すべきであると前記サーバ装置に登録されている場合、前記サーバ装置から前記電子装置に送信される、
    方法。
  20. 　前記記憶装置に格納された前記データの消去が完了した後、前記記憶装置に格納された前記データの消去が完了したことを示す第４の信号を前記電子装置から前記サーバ装置に送信するステップと、
    　前記記憶装置に格納された前記データが消去されたことを検証するステップと、
    　前記消去の検証中又は検証後に、前記記憶装置に格納された前記データが消去されたことの検証が少なくとも部分的に完了したことを示す第５の信号を前記電子装置から前記サーバ装置に送信するステップと、をさらに含む、
    請求項１９記載の方法。
PCT/JP2022/022259 2021-06-02 2022-06-01 電子装置、システム、及び電子装置の記憶装置に格納されたデータを消去する方法 WO2022255396A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN202280038813.2A CN117716362A (zh) 2021-06-02 2022-06-01 电子装置、系统以及删除存放于电子装置的存储装置的数据的方法
JP2023525882A JPWO2022255396A1 (ja) 2021-06-02 2022-06-01
US18/519,007 US20240094938A1 (en) 2021-06-02 2023-11-26 Electronic apparatus, system, and method for erasing data stored in storage device of electronic apparatus

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2021-093007 2021-06-02
JP2021093007 2021-06-02
JP2021176705 2021-10-28
JP2021-176705 2021-10-28

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/519,007 Continuation US20240094938A1 (en) 2021-06-02 2023-11-26 Electronic apparatus, system, and method for erasing data stored in storage device of electronic apparatus

Publications (1)

Publication Number Publication Date
WO2022255396A1 true WO2022255396A1 (ja) 2022-12-08

Family

ID=84323425

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/022259 WO2022255396A1 (ja) 2021-06-02 2022-06-01 電子装置、システム、及び電子装置の記憶装置に格納されたデータを消去する方法

Country Status (3)

Country Link
US (1) US20240094938A1 (ja)
JP (1) JPWO2022255396A1 (ja)
WO (1) WO2022255396A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014115724A (ja) * 2012-12-06 2014-06-26 Onebe Inc データ消去プログラム、データ消去方法、データ消去機能を備えたコンピュータおよびデータ消去管理サーバ
WO2014167721A1 (ja) * 2013-04-12 2014-10-16 富士通株式会社 データ消去装置、データ消去方法、プログラム、記憶媒体
JP2018139025A (ja) * 2017-02-24 2018-09-06 貴 加藤 データ消去方法、データ消去プログラム、データ消去プログラムを備えたコンピュータおよびデータ消去管理サーバ
JP2020024600A (ja) * 2018-08-08 2020-02-13 シャープ株式会社 画像形成装置、情報処理システムおよび情報処理方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014115724A (ja) * 2012-12-06 2014-06-26 Onebe Inc データ消去プログラム、データ消去方法、データ消去機能を備えたコンピュータおよびデータ消去管理サーバ
WO2014167721A1 (ja) * 2013-04-12 2014-10-16 富士通株式会社 データ消去装置、データ消去方法、プログラム、記憶媒体
JP2018139025A (ja) * 2017-02-24 2018-09-06 貴 加藤 データ消去方法、データ消去プログラム、データ消去プログラムを備えたコンピュータおよびデータ消去管理サーバ
JP2020024600A (ja) * 2018-08-08 2020-02-13 シャープ株式会社 画像形成装置、情報処理システムおよび情報処理方法

Also Published As

Publication number Publication date
JPWO2022255396A1 (ja) 2022-12-08
US20240094938A1 (en) 2024-03-21

Similar Documents

Publication Publication Date Title
US9858066B2 (en) Updating firmware of a hardware component
KR100806477B1 (ko) 리모트 액세스 시스템, 게이트웨이, 클라이언트 기기,프로그램 및 기억 매체
JP4639676B2 (ja) レンタルサーバシステム
US20100332400A1 (en) Use of Fingerprint with an On-Line or Networked Payment Authorization System
US20180240130A1 (en) System, information management method, and information processing apparatus
US9075958B2 (en) Use of fingerprint with an on-line or networked auction
US20050235282A1 (en) System and method for downloading software and services
US7475203B1 (en) Methods and systems for enabling non-destructive erasure of data
KR20110006712A (ko) 네트워크 기반 배포를 위한 어플리케이션 프로그램들의 전자 제출
WO2022016409A1 (zh) 一种基于车联网的虚拟车辆钥匙管理方法和系统
EP2079023A2 (en) Electronic appliance service system
CN110325992A (zh) 对初始计算机操作系统设置选项的远程管理
US7346599B2 (en) Storage system and method of managing data stored in a storage system
JP2011150499A (ja) シンクライアントシステム、シンクライアント端末およびシンクライアントプログラム
US7478433B2 (en) Program execution system having authentication function
WO2022255396A1 (ja) 電子装置、システム、及び電子装置の記憶装置に格納されたデータを消去する方法
JP2014089680A (ja) 情報処理装置、システム及び情報登録方法
JP2023157292A (ja) 電子装置、システム、及び電子装置の記憶装置に格納されたデータを消去する方法
CN117716362A (zh) 电子装置、系统以及删除存放于电子装置的存储装置的数据的方法
JP2008176506A (ja) 情報処理装置、情報処理方法、および管理サーバ
JP2018139025A (ja) データ消去方法、データ消去プログラム、データ消去プログラムを備えたコンピュータおよびデータ消去管理サーバ
US20140365784A1 (en) Setting-data encrypting apparatus, information processing apparatus, and setting changing method
JP2003256283A (ja) データ消去システム、管理サーバ、データ消去方法およびプログラム
JP2017118411A (ja) 記憶装置の遠隔破壊システムおよび遠隔破壊方法
CN111526140A (zh) 一种基于虚拟化技术的网络安全系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22816142

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2023525882

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 202280038813.2

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE