情報保護方法，情報保護用のファームウェアおよびファームウェア書き換えプログラム
【課題】データ記憶装置に記憶された情報を保護する情報保護方法に関し，記憶された情報を破壊せず，また情報保護のために膨大な作業時間を必要とせずに，データ記憶装置に記憶された情報の流出を防止する技術を提供する。
【解決手段】データ記憶装置１０のＥＥＰＲＯＭ１３には，外部からの記憶媒体１４へのアクセスを可能とする機能を備えた通常のファームウェア１００がストアされている。記憶媒体１４へのアクセスを禁止したい場合には，情報処理装置２０にインストールされたファームウェア書き換えツール２００を用いて，ＥＥＰＲＯＭ１３の通常のファームウェア１００を，外部からの記憶媒体１４へのアクセスを可能とする機能を備えていないアクセス禁止ファームウェア１１０で書き換える。
【解決手段】データ記憶装置１０のＥＥＰＲＯＭ１３には，外部からの記憶媒体１４へのアクセスを可能とする機能を備えた通常のファームウェア１００がストアされている。記憶媒体１４へのアクセスを禁止したい場合には，情報処理装置２０にインストールされたファームウェア書き換えツール２００を用いて，ＥＥＰＲＯＭ１３の通常のファームウェア１００を，外部からの記憶媒体１４へのアクセスを可能とする機能を備えていないアクセス禁止ファームウェア１１０で書き換える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，データ記憶装置に記憶された情報を保護する技術に関するものであり，特に，データ記憶装置に記憶された情報を破壊せずに，また情報保護のために膨大な時間を必要とせずに，データ記憶装置に記憶された情報の流出を防止することが可能となる情報保護方法，情報保護用のファームウェアおよびファームウェア書き換えプログラムに関するものである。
【背景技術】
【０００２】
図１９は，一般的なデータ記憶装置の構成例を示す図である。データ記憶装置１０は，制御部（ＣＰＵ）１１，メモリ１２，ＥＥＰＲＯＭ１３，記憶媒体１４を備える。データ記憶装置１０は，例えばハードディスク，テープライブラリ装置，大容量のフラッシュメモリ等である。データ記憶装置１０には，コンピュータに内蔵されるもの，外付けで据え置きされるもの，可搬のものなど，様々なものがある。
【０００３】
制御部（ＣＰＵ）１１は，データ記憶装置１０を制御する。メモリ１２は，揮発性メモリである。ＥＥＰＲＯＭ１３は，電気的に内容を書き換えることが可能な不揮発性メモリである。記憶媒体１４は，実際にデータが記憶される媒体である。
【０００４】
データ記憶装置１０には，ファームウェアと呼ばれる制御プログラムが存在する。ファームウェアはデータ記憶装置１０へのアクセス制御を行っており，このファームウェアが正しく動作しない場合には，外部からのデータ記憶装置１０へのアクセスは不可能となる。このファームウェアには以下のような特徴がある。
・ハードウェアに直接書き込まれるソフトウェアであり，外部からのアクセスをコントロールする。
・ファームウェア自体を外部から書き換えることが可能である。
・開発ベンダの機密情報であり，ファームウェアの情報は通常公開されない。
【０００５】
図１９に示すように，ＥＥＰＲＯＭ１３に，外部からの記憶媒体１４へのアクセス（Ｒｅａｄ／Ｗｒｉｔｅなどのアクセス）を可能とする通常のファームウェア１００がストアされている。ＥＥＰＲＯＭ１３にストアされた通常のファームウェア１００は，データ記憶装置１０の動作開始とともにメモリ１２上にロードされ，実行される。メモリ１２上で実行される通常のファームウェア１００は，外部からの要求（Ｒｅａｄ要求／Ｗｒｉｔｅ要求，ファームウェア書き換え要求など）に対する処理を行う。なお，ここでは，外部からの記憶媒体１４へのアクセス（Ｒｅａｄ／Ｗｒｉｔｅなどのアクセス）を可能とするファームウェアを，後述の別のファームウェアと区別するために，通常のファームウェア１００と呼んでいる。
【０００６】
データ記憶装置１０を持って移動する場合などに，その運搬経路において，データ記憶装置１０を紛失したり，盗難されたりすることがある。このとき，データ記憶装置１０に記憶された情報が流出してしまうおそれがある。セキュリティの観点から情報流出に対してより厳しい管理を求められている今日では，安全にデータ記憶装置１０の運搬を行うための技術の確立が急務となっている。
【０００７】
なお，ここでのデータ記憶装置１０の移動には，可搬のデータ記憶装置１０を移動することに限らず，例えばデータ記憶装置１０内蔵のノートパソコンを持って移動することや，データ記憶装置１０内蔵のデスクトップパソコンを修理のために運ぶことなども含んでいる。
【０００８】
盗難，紛失等により情報が流出することを防ぐ技術としては，例えば次のような技術がある。
（１）データ記憶装置１０の記憶媒体１４の全領域を無意味なデータで上書きする。
（２）データ記憶装置１０を物理的な外力によって破壊する。なお，この技術は，データ記憶装置１０の破棄が前提となっている。
（３）パスワード等の認証機能を追加してアクセスを制限する。
（４）データ記憶装置１０の記憶媒体１４上のデータを暗号化する。
【０００９】
なお，本発明に先行する技術が記載された文献としては，例えば特許文献１などがある。特許文献１には，第三者による不正アクセスを防止するために，記録媒体へのリード／ライトアクセスを行うために必要なファームウェアを備えず，使用時に上位装置から記録媒体へのアクセスを可能とするファームウェアを揮発性メモリにダウンロードすることにより，記録媒体へのリード／ライトアクセスを行うストレージに関する技術が記載されている。
【特許文献１】特開２００２−１４０１７２号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上記の（１）〜（４）に示した技術には，様々な問題がある。
【００１１】
上記の（１）に示す技術には，データが破壊され，以後データの内容を確認できなくなるという問題がある。また，データ記憶装置１０のデータ記憶容量が急激に増加するにともない，データを書き換える（無意味なデータで上書きする）作業に膨大な時間が必要となるという問題がある。
【００１２】
上記の（２）に示す技術には，データが破壊され（データ記憶装置１０自身が破壊される），以後データの内容を確認できなくなる（データ記憶装置１０が使用できなくなる）という問題がある。
【００１３】
上記の（３）に示す技術には，パスワードが漏洩したり，解読されるとデータが流出してしまうおそれがあるという問題がある。
【００１４】
上記の（４）に示す技術には，暗号キーが漏洩したり，解読されるとデータが流出してしまうおそれがあるという問題がある。また，データ記憶装置１０のデータ記憶容量が急激に増加するにともない，データを書き換える（暗号化する）作業に膨大な時間が必要となるという問題がある。
【００１５】
すなわち，上記の（１）〜（４）のどの技術を用いても，次の３つの問題点をすべて解決することはできない。
・データが破壊され，以後データの内容を確認できなくなる。
・データを書き換える作業に膨大な時間が必要となる。
・パスワードや暗号キーが漏洩したり，解読されるとデータが流出してしまうおそれがある。
【００１６】
上記の特許文献１の技術では，この３つの問題点をすべて解決できる。しかし，特許文献１の技術では，ストレージの電源をＯＮするたびに上位装置から揮発性メモリに記録媒体へのアクセスを可能とするファームウェアをダウンロードする必要があるため，そのようなファームウェアをダウンロードする機能を備えた上位装置でしかストレージを使用できないという問題や，記録媒体へのアクセス可／不可の制御をユーザ側でコントロールすることができないという問題が発生する。
【００１７】
また，上記の特許文献１の技術では，記録媒体へのアクセスを可能とするファームウェアをダウンロードする機能を備えた上位装置であれば，どの上位装置でもストレージを利用できてしまうという問題がある。パスワード認証によって上位装置を識別する技術も記載されているが，上記の問題点と同様にパスワードが漏洩してしまうおそれがある。
【００１８】
本発明は，上記の問題点の解決を図り，作業に手間や時間がかからず，またデータの復活が困難とならず，また漏洩や解読のおそれのある暗号化やパスワードを用いずに，データ記憶装置に記憶されたデータの流出を防止することが可能となる技術を提供することを目的とする。
【課題を解決するための手段】
【００１９】
本発明は，上記の課題を解決するため，通常の使用時にデータ記憶装置の不揮発性メモリに記憶されている記憶媒体へのアクセスが可能なファームウェアを，記憶媒体へのアクセスが不可能なファームウェアに書き換えることを特徴とする。この記憶媒体へのアクセスが不可能なファームウェアは，不揮発性メモリ上のファームウェアを書き換えることは許可するが，外部からの記憶媒体へのアクセスは禁止する。
【００２０】
具体的には，本発明は，データ記憶装置の記憶媒体に記憶された情報を保護するための情報保護方法であって，記憶媒体に記憶された情報を保護する場合に，上位装置からのファームウェア書き換え要求に応じて，データ記憶装置の不揮発性メモリに格納された記憶媒体へのアクセス処理機能を有する通常の運用に用いられる第１のファームウェアを，記憶媒体へのアクセスを禁止する第２のファームウェアに書き換え，不揮発性メモリに格納された第２のファームウェアがデータ記憶装置の揮発性メモリにロードされている状態では，上位装置からの要求がファームウェアの書き換え要求である場合にそのファームウェアの書き換え要求を受け付け，上位装置からの記憶媒体へのアクセス要求については拒否することを特徴とする。
【００２１】
また，データ記憶装置が備えるプロセッサに実行させる第２のファームウェアは，プロセッサを，上位装置からの要求がファームウェアの書き換え要求である場合に，そのファームウェア書き換え要求を受け付け，要求された不揮発性メモリに格納されている第２のファームウェアを，他のファームウェアに書き換える手段と，上位装置からの要求が，記憶媒体へのアクセス要求である場合に，そのアクセス要求を拒否する手段として機能させることを特徴とする。
【００２２】
このように，データ記憶装置の記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）がデータ記憶装置の不揮発性メモリに記憶された状態では，不揮発性メモリに記憶されたファームウェアの書き換えは許可されても，記憶媒体への外部からのアクセスが禁止される。
【００２３】
記憶媒体への外部からのアクセスを禁止するための作業は，不揮発性メモリに記憶された記憶媒体へのアクセスが可能なファームウェア（第１のファームウェア）を，記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）で書き換えるだけであるので，作業時間は短時間となる。また，記憶媒体へのアクセスは禁止されても，記憶媒体のデータは破壊されずにそのまま残るので，後のデータの復活が容易に可能となる。また，暗号化やパスワードを用いていないため，暗号キーやパスワードの漏洩による情報流出の心配もない。
【００２４】
また，不揮発性メモリに記憶された記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）を，記憶媒体へのアクセスが可能なファームウェア（第１のファームウェア）に書き換えるだけで，再び外部からの記憶媒体へのアクセスを可能な状態に戻すことができる。すなわち，記憶媒体への外部からのアクセスを可能な状態にする作業も，記憶媒体への外部からのアクセスを禁止する作業と同様に，短時間ですむ。
【００２５】
また，データ記憶装置を通常に使用しているときには，不揮発性メモリには記憶媒体へのアクセスが可能なファームウェア（第１のファームウェア）が記憶されているため，特許文献１に記載された技術のような特殊な機能を備えた上位装置でなくても，普通にデータ記憶装置を接続して使用することができる。また，上位装置との接続やデータ記憶装置の電源のＯＮ／ＯＦＦに関わらず，記憶媒体への外部からのアクセスを可能な状態にする作業を行うまで，記憶媒体への外部からのアクセス禁止状態が解除されないため，特許文献１に記載された技術とは異なり，記憶媒体へのアクセス可／不可の制御をユーザ側でコントロールすることができる。
【００２６】
また，本発明は，上記の情報保護方法において，不揮発性メモリに第２のファームウェアが格納されている場合に，上位装置において動作するファームウェア書き換えツールが，不揮発性メモリに格納されている第２のファームウェアを，他のファームウェアに書き換える要求を禁止することを特徴とする。
【００２７】
また，本発明は，データ記憶装置に接続されたコンピュータが実行するファームウェア書き換えプログラムは，コンピュータを，データ記憶装置の不揮発性メモリに新たに書き込むファームウェアを保持する手段と，不揮発性メモリに格納されたファームウェアの書き換え指示を受け付ける手段と，ファームウェアの書き換え指示を受け付けた場合に，不揮発性メモリに格納されたファームウェアが，記憶媒体へのアクセス処理機能を持たない情報保護用のアクセス禁止ファームウェアであるか否かを判定する手段と，不揮発性メモリに格納されたファームウェアがアクセス禁止ファームウェアである場合に，データ記憶装置に対するファームウェアの書き換え要求の発行を抑止し，アクセス禁止ファームウェアでない場合に，データ記憶装置に対するファームウェアの書き換え要求を発行する手段として機能させることを特徴とする。
【００２８】
一般に公開するファームウェア書き換えプログラム（ファームウェア書き換えツール）を，このような記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア，アクセス禁止ファームウェア）を書き換えることができないファームウェア書き換えプログラムだけとし，記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア，アクセス禁止ファームウェア）を書き換えることができるファームウェア書き換えプログラム（ファームウェア書き換えツール）を非公開とすれば，データ記憶装置の記憶媒体へのアクセスの禁止状態を，第三者が簡単に解除することができなくなる。
【００２９】
また，本発明は，上記の情報保護方法において，少なくとも不揮発性メモリに格納されている第２のファームウェアが揮発性メモリにロードされている場合に，ファームウェアの書き換えを許可または不許可とするモードを管理し，該モードの初期値は不許可とし，不許可のモードでは，不揮発性メモリにおけるファームウェアの書き換えを禁止し，モードの切り替え要求に対してモードを不許可から許可に切り替え，許可のモードでは，不揮発性メモリにおけるファームウェアの書き換えを許可することを特徴とする。
【００３０】
また，データ記憶装置が備えるプロセッサに実行させる第２のファームウェアは，プロセッサを，不揮発性メモリにおけるファームウェアの書き換えを許可または不許可とするモードを管理し，該モードの初期値を不許可とする手段と，不許可のモードでは，上位装置からのファームウェアの書き換え要求に対し，その要求を拒否する手段と，上位装置からのモードの切り替え要求に対して，モードを不許可から許可に切り替える手段と，許可のモードでは，上位装置からのファームウェアの書き換え要求に対し，その要求を許可し，ファームウェアの書き換えを実行する手段として機能させることを特徴とする。
【００３１】
このように，初期状態を常に不許可のモードとし，モードを許可のモードに切り替えた場合にのみファームウェア書き換えを行えるようにすれば，モードを切り替えるためのコマンドを知らない第三者が，データ記憶装置の記憶媒体へのアクセスの禁止状態を解除することができなくなる。
【００３２】
また，本発明は，上記の情報保護方法において，不揮発性メモリに格納されている第２のファームウェアが揮発性メモリにロードされている状態では，上位装置からの要求がファームウェアの書き換え要求であって，書き換え対象となる新たなファームウェアが，第２のファームウェアの書き換え禁止を解除するための第３のファームウェアである場合にのみ，書き換え要求を受け付け，不揮発性メモリに格納されている第２のファームウェアを第３のファームウェアに書き換えることを特徴とする。
【００３３】
また，データ記憶装置が備えるプロセッサに実行させる第２のファームウェアは，プロセッサを，上位装置からの要求がファームウェアの書き換え要求であり，かつ書き換え対象となる新たなファームウェアが，第２のファームウェアの書き換え禁止を解除するための第３のファームウェアである場合に，その書き換え要求を受け付け，不揮発性メモリに格納されている第２のファームウェアを，第３のファームウェアに書き換える手段と，上位装置からの要求がファームウェアの書き換え要求であっても，書き換え対象となる新たなファームウェアが第３のファームウェア以外である場合に，その書き換え要求を拒否する手段と，上位装置からの要求が記憶媒体へのアクセス要求である場合に，そのアクセス要求を拒否する手段として機能させることを特徴とする。
【００３４】
このように，不揮発性メモリに記憶された記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）を上書きできるファームウェアを，あらかじめ決められた特定のファームウェア（第３のファームウェア）に限定することにより，その特定のファームウェア（第３のファームウェア）を持たない第三者が，データ記憶装置の記憶媒体へのアクセスの禁止状態を解除することができなくなる。
【００３５】
また，本発明は，上記の情報保護方法において，不揮発性メモリに格納されている第ｉ（ｉは３以上の整数）のファームウェアが揮発性メモリにロードされている状態では，上位装置からの要求がファームウェアの書き換え要求であって，書き換え対象となる新たなファームウェアが第ｉのファームウェアの書き換え禁止を解除するための第（ｉ＋１）のファームウェアである場合にのみ，書き換え要求を受け付け，不揮発性メモリに格納されている第ｉのファームウェアを第（ｉ＋１）のファームウェアに書き換え，不揮発性メモリに格納されている第ｎ（ｎは４以上の所定の整数）のファームウェアが揮発性メモリにロードされている状態では，記憶媒体へのアクセス処理機能を有する第１のファームウェアへの書き換えを許可することを特徴とする。
【００３６】
このように，不揮発性メモリに記憶されたファームウェアをあらかじめ決められた特定のファームウェアのみで上書きできるという関係を，多段階に組み合わせることにより，よりセキュリティ効果を高めることが可能となる。例えば，記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）は特定のファームウェア１のみで書き換え可能，特定のファームウェア１は特定のファームウェア２のみで書き換え可能，... ，特定のファームウェアｉ−１は特定のファームウェアｉのみで書き換え可能といったように，多段階に不揮発性メモリのファームウェアを書き換えるようにし，その最後に記憶媒体へのアクセスが可能なファームウェア（第１のファームウェア）で書き換えるようにすれば，たとえ特定のファームウェアの１つが流出しても，第３者がその流出した１つの特定のファームウェアだけでデータ記憶装置の記憶媒体へのアクセスの禁止状態を解除することはできない。
【発明の効果】
【００３７】
本発明により，不揮発性メモリのファームウェアを書き換えるだけで，データ記憶装置の記憶媒体の容量に関係なく，短時間の作業で，データ記憶装置の記憶媒体のデータを保護することができる。同様に，データ記憶装置の記憶媒体のデータ保護状態を回復する作業も，短時間ですむ。
【００３８】
また，データ記憶装置の記憶媒体のデータが保護された状態になっても，記憶媒体のデータは破壊されない。そのため，データ記憶装置の記憶媒体のデータ保護状態を回復すれば，記憶媒体のデータを再度確認することができる。
【００３９】
また，データ記憶装置の記憶媒体のデータを保護するために暗号化やパスワードを用いていないため，暗号キーやパスワードの漏洩による情報流出の心配もない。
【発明を実施するための最良の形態】
【００４０】
以下，本発明の実施の形態について，図を用いて説明する。
【００４１】
図１は，本発明の実施の形態によるデータ記憶装置の例を示す図である。ここでは，情報処理装置２０（コンピュータ）に接続される可搬のデータ記憶装置１０の例を説明する。図１のデータ記憶装置１０は，図１９に示すデータ記憶装置１０と同じものであり，制御部（ＣＰＵ）１１，メモリ１２，ＥＥＰＲＯＭ１３，記憶媒体１４を備える。
【００４２】
データ記憶装置１０のＥＥＰＲＯＭ１３には，当初，通常のファームウェア１００がストアされている。データ記憶装置１０を起動すると，ＥＥＰＲＯＭ１３の通常のファームウェア１００がメモリ１２にロードされ，情報処理装置２０からのデータ記憶装置１０の記憶媒体１４へのＲｅａｄ／Ｗｒｉｔｅなどのアクセスが可能な状態となる。
【００４３】
図２は，通常のファームウェアの機能構成例を示す図である。通常のファームウェア１００は，要求受付処理部１０１，ファームウェア書き換え処理部１０２，記憶媒体アクセス処理部１０３を備える。要求受付処理部１０１は，外部からの要求を受け付ける。ファームウェア書き換え処理部１０２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。記憶媒体アクセス処理部１０３は，外部からのＲｅａｄ要求／Ｗｒｉｔｅ要求などの要求にしたがって，記憶媒体１４へのアクセス処理を行う。
【００４４】
図３は，通常のファームウェアの処理フローチャートである。メモリ１２上で動作中の通常のファームウェア１００は，外部からの要求を受け付けると（ステップＳ１０），その外部からの要求がどのような要求であるかを判別する（ステップＳ１１）。外部からの要求がＲｅａｄ要求であれば，記憶媒体１４からのデータの読み込み処理を行う（ステップＳ１２）。外部からの要求がＷｒｉｔｅ要求であれば，記憶媒体１４へのデータの書き込み処理を行う（ステップＳ１３）。外部からの要求がファームウェア書き換え要求であれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う（ステップＳ１４）。
【００４５】
図１に示すように，情報処理装置２０には，ファームウェア書き換えツール２００がインストールされている。ファームウェア書き換えツール２００は，データ記憶装置１０のＥＥＰＲＯＭ１３のファームウェアを書き換えるためのプログラムである。ファームウェア書き換えツール２００を用いて，例えば，通常のファームウェア１００がバージョンアップされた場合などに，そのバージョンアップされた通常のファームウェア１００で，ＥＥＰＲＯＭ１３の通常のファームウェア１００を更新することができる。
【００４６】
また，ファームウェア書き換えツール２００を用いてＥＥＰＲＯＭ１３のファームウェアを書き換えることにより，データ記憶装置１０の記憶媒体１４へのＲｅａｄ／Ｗｒｉｔｅなどのアクセスを禁止することができる。すなわち，ファームウェア書き換えツール２００を用いて，ＥＥＰＲＯＭ１３に記憶された通常のファームウェア１００を，データ記憶装置１０への記憶媒体１４へのアクセスができないファームウェアに書き換えることにより，データ記憶装置１０の記憶媒体１４へのアクセスを禁止する。ここでは，記憶媒体１４へのアクセスができないファームウェアを，アクセス禁止ファームウェア１１０と呼ぶものとする。
【００４７】
図４は，記憶媒体へのアクセスを禁止する場合のファームウェア書き換えの例を説明する図である。なお，図４では，図１のデータ記憶装置１０において，特にメモリ１２とＥＥＰＲＯＭ１３の部分にのみ着目している。
【００４８】
図４（Ａ）は，記憶媒体１４へのアクセスが可能な状態の例を示す。ＥＥＰＲＯＭ１３には通常のファームウェア１００がストアされており，データ記憶装置１０の起動と同時にＥＥＰＲＯＭ１３の通常のファームウェア１００がメモリ１２上にロードされ，実行される。これにより，外部からの記憶媒体１４へのアクセスが可能な状態となる。
【００４９】
図４（Ｂ）は，ＥＥＰＲＯＭ１３の通常のファームウェア１００がアクセス禁止ファームウェア１１０に書き換えられた状態の例を示す。データ記憶装置１０の記憶媒体１４へのアクセスを禁止したい場合には，ファームウェア書き換えツール２００によって，ＥＥＰＲＯＭ１３の通常のファームウェア１００を，アクセス禁止ファームウェア１１０に書き換えればよい。
【００５０】
メモリ１２上で動作している通常のファームウェア１００は，情報処理装置２０からのファームウェア書き換え要求を受け，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。情報処理装置２０からはアクセス禁止ファームウェア１１０が送られてくる。メモリ１２上で動作している通常のファームウェア１００は，ＥＥＰＲＯＭ１３にストアされた通常のファームウェア１００を，情報処理装置２０から受け取ったアクセス禁止ファームウェア１１０で書き換える。
【００５１】
図４（Ｃ）は，記憶媒体１４へのアクセスが禁止された状態の例を示す。ファームウェア書き換え後，データ記憶装置１０はリセットされる。データ記憶装置１０のリセットは，自動で実行されてもよいし，ユーザが手動で行ってもよい。データ記憶装置１０がリセットされると，ＥＥＰＲＯＭ１３にストアされたアクセス禁止ファームウェア１１０がメモリ１２上にロードされ，実行される。これにより，外部からの記憶媒体１４へのアクセスが禁止された状態となる。
【００５２】
アクセス禁止ファームウェア１１０は，外部からのＲｅａｄ要求／Ｗｒｉｔｅ要求などの記憶媒体１４へのアクセス要求を受付けない。ただし，外部からのファームウェア書き換え要求は受け付ける。データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除したい場合には，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０を通常のファームウェア１００で書き換えればよい。
【００５３】
図５は，アクセス禁止ファームウェアの機能構成例（１）を示す図である。アクセス禁止ファームウェア１１０は，要求受付判定処理部１１１，ファームウェア書き換え処理部１１２を備える。要求受付判定処理部１１１は，外部からの要求を受け付けるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けることができないので，エラー応答する。ファームウェア書き換え処理部１１２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。
【００５４】
図６は，アクセス禁止ファームウェアの処理フローチャート（１）である。メモリ１２上で動作中のアクセス禁止ファームウェア１１０は，外部からの要求を受けると（ステップＳ２０），その外部からの要求がファームウェア書き換え要求であるか否かを判定する（ステップＳ２１）。外部からの要求がファームウェア書き換え要求であれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う（ステップＳ２２）。外部からの要求がファームウェア書き換え要求以外の要求であれば，エラー応答する（ステップＳ２３）。
【００５５】
このように，ＥＥＰＲＯＭ１３に記憶された通常のファームウェア１００をアクセス禁止ファームウェア１１０で書き換えるだけで，データ記憶装置１０に記憶されたデータの流出を防止することができる。また，ＥＥＰＲＯＭ１３上のファームウェアを書き換えるだけであるので，記憶媒体１４のデータが破壊されず，また短時間でのデータ保護が可能となる。また，パスワードや暗号化を用いていないので，パスワードや暗号キーの漏洩や解読によりデータが流出するおそれもない。
【００５６】
データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除するためには，ファームウェア書き換えツール２００によって，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０を，通常のファームウェア１００で書き換えればよい。
【００５７】
ファームウェア書き換えツール２００が一般に公開されたプログラムである場合には，ファームウェア書き換えツール２００によって，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０をさらに通常のファームウェア１００に書き換えることにより，記憶媒体１４へのアクセスが可能となってしまうことも考えられる。これでは，暗号化やパスワードロックを行った場合に暗号キーやパスワードが解読されてしまうケースと同じになってしまう可能性がある。
【００５８】
したがって，より安全なデータ保護を実現するためには，アクセス禁止ファームウェア１１０の書き換えを，原則禁止にしなければならない。以下，アクセス禁止ファームウェア１１０の書き換えを原則禁止にする技術について説明する。
【００５９】
〔ファームウェア書き換えツールによるファームウェア書き換え制御〕
ファームウェア書き換えツール２００の処理で，ＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０の書き換え可否の判断を行う技術を説明する。ファームウェア書き換えツール２００では，ＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０以外のファームウェアである場合にのみ，ＥＥＰＲＯＭ１３のファームウェア書き換え要求を発行する。ＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０である場合には，ファームウェア書き換えを行わないように制御する。
【００６０】
図７は，ファームウェア書き換えツールの機能構成例を示す図である。ファームウェア書き換えツール２００は，指示受付部２０１，ファームウェア書き換え可否判定部２０２，ファームウェア書き換え処理部２０３，書き換え用ファームウェア保持部２０４を備える。
【００６１】
指示受付部２０１は，ユーザからのファームウェア書き換えの指示を受け付ける。ファームウェア書き換え可否判定部２０２は，データ記憶装置１０のＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０である場合には，ファームウェア書き換えが不可能であると判定し，エラー応答する。ファームウェア書き換え処理部２０３は，ファームウェア書き換えが可能である場合に，データ記憶装置１０にファームウェア書き換え要求を発行し，ファームウェア書き換えに用いるファームウェアをデータ記憶装置１０に送るなど，データ記憶装置１０のＥＥＰＲＯＭ１３に記憶されたファームウェアの書き換え処理を行う。書き換え用ファームウェア保持部２０４は，ファームウェア書き換えに用いるファームウェアを保持する。
【００６２】
図８は，ファームウェア書き換えツールの処理フローチャートである。ファームウェア書き換えツール２００は，ファームウェア書き換えの指示を受け付けると（ステップＳ３０），データ記憶装置１０のＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０であるか否かを判定する（ステップＳ３１）。ＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０でなければ，ファームウェア書き換え処理を行う（ステップＳ３２）。ＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０であれば，エラー応答する（ステップＳ３３）。
【００６３】
このように，ファームウェア書き換えツール２００ではＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０を書き換えることができないように制御することにより，データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を簡単には解除できなくすることができる。
【００６４】
データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除する場合には，アクセス禁止ファームウェア１１０を書き換えることができる特別なファームウェア書き換えツール２００が必要となる。この特別なファームウェア書き換えツール２００を非公開とすれば，第三者がデータ記憶装置１０の記憶媒体１４へのアクセス禁止状態を簡単に解除することはできなくなる。
【００６５】
〔モード切り替えによるファームウェア書き換え制御〕
アクセス禁止ファームウェア１１０の処理で，モード切り替えにより，ＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０の書き換え可否の切り替えを行う技術を説明する。ここでは，ファームウェア書き換えの可否は，モードで設定される。モードにはファームウェア書き換えが許可される“許可状態”と，ファームウェア書き換えが禁止される“不許可状態”の２つがあり，メモリ１２上のフラグで設定される。なお，モードのデフォルトは，“不許可状態”である。
【００６６】
図９は，アクセス禁止ファームウェアの機能構成例（２）を示す図である。アクセス禁止ファームウェア１１０’は，要求受付判定処理部１１１，ファームウェア書き換え処理部１１２，モード切り替え処理部１１３，モード情報１１４を備える。
【００６７】
要求受付判定処理部１１１は，外部からの要求を受け付けられるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けられないので，エラー応答する。また，外部からの要求がファームウェア書き換え要求である場合に，モードが“不許可状態”であれば，その要求を受け付けられないので，エラー応答する。ファームウェア書き換え処理部１１２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。モード切り替え処理部１１３は，外部からの状態切り替え要求にしたがって，モード切り替えを行う。モード情報１１４は，モードが設定されるメモリ１２上のフラグである。
【００６８】
図１０は，アクセス禁止ファームウェアの処理フローチャート（２）である。メモリ１２上で動作中のアクセス禁止ファームウェア１１０’は，外部からの要求を受けると（ステップＳ４０），その外部からの要求が状態切り替え要求であるか否かを判定する（ステップＳ４１）。外部からの要求が状態切り替え要求であれば，モード情報１１４を切り替える（ステップＳ４２）。モード情報１１４が“不許可状態”である場合には，状態切り替え要求により，モード情報１１４が“許可状態”に切り替わる。
【００６９】
外部からの要求が状態切り替え要求でなければ，その外部からの要求がファームウェア書き換え要求であるかを判定する（ステップＳ４３）。外部からの要求がファームウェア書き換え要求でなければ，エラー応答する（ステップＳ４４）。
【００７０】
外部からの要求がファームウェア書き換え要求であれば，モード情報１１４を確認する（ステップＳ４５）。モード情報１１４が“許可状態”であれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う（ステップＳ４６）。モード情報１１４が“不許可状態”であれば，エラー応答する（ステップＳ４４）。
【００７１】
このように，初期状態では常にファームウェア書き換え禁止状態（モードを“不許可状態”）としておき，ファームウェア書き換え要求に対する通常の手順でのファームウェア書き換えを禁止する。ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０’を書き換えたい場合には，モード切り替えのコマンドにより禁止状態を解除（モードを“許可状態”）してから，ファームウェア書き換えを行う。
【００７２】
モードを“許可状態”に切り替える機能を持つファームウェア書き換えツール２００を非公開とすれば，またはモードを“許可状態”に切り替えるためのコマンドを非公開とすれば，第三者がデータ記憶装置１０の記憶媒体１４へのアクセス禁止状態を簡単に解除することはできなくなる。
【００７３】
これにより，一般公開されたファームウェア書き換えの手順によって，ＥＥＰＲＯＭ１３上のアクセス禁止ファームウェア１１０’が簡単に書き換えられることにより，記憶媒体１４のデータが流出してしまうことを防ぐことができる。
【００７４】
〔解除用ファームウェアによるファームウェア書き換え制御〕
前述のファームウェア書き換えツールによるファームウェア書き換え制御の技術や，モード切り替えによるファームウェア書き換え制御の技術では，ファームウェア書き換えを行う側の処理に抑止メカニズムが存在するため，その抑止メカニズムが解読されると，データが流出してしまうおそれがある。
【００７５】
そこで，ＥＥＰＲＯＭ１３上のアクセス禁止ファームウェア１１０を，特定のファームウェア以外では上書きできないようにする。以下では，ＥＥＰＲＯＭ１３上のアクセス禁止ファームウェア１１０を上書きすることができる特定のファームウェアを，ファームウェア書き換えの禁止状態を解除することが可能なファームウェアという意味で，解除用ファームウェア１２０と呼ぶ。
【００７６】
図１１は，アクセス禁止ファームウェアの機能構成例（３）を示す図である。図１１に示すアクセス禁止ファームウェア１１０”は，特定の解除用ファームウェア１２０以外では上書きすることができないファームウェアである。アクセス禁止ファームウェア１１０”は，要求受付判定処理部１１１，ファームウェア書き換え処理部１１２，ファームウェア識別判定部１１５を備える。
【００７７】
要求受付判定処理部１１１は，外部からの要求を受け付けられるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けられないので，エラー応答する。また，外部からの要求がファームウェア書き換え要求である場合に，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが解除用ファームウェア１２０以外のファームウェアであれば，エラー応答する。ファームウェア書き換え処理部１１２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。ファームウェア識別判定部１１５は，外部からの要求がファームウェア書き換え要求である場合に，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが解除用ファームウェア１２０であるか否かを判定する。
【００７８】
図１２は，解除用ファームウェアの機能構成例（１）を示す図である。図１２に示す解除用ファームウェア１２０の機能構成は，図５に示すアクセス禁止ファームウェア１１０の機能構成と同じである。すなわち，ここで説明する解除用ファームウェア１２０は，記憶媒体１４へのアクセスを禁止するが，ファームウェア書き換えを禁止しないファームウェアである。
【００７９】
解除用ファームウェア１２０は，要求受付判定処理部１２１，ファームウェア書き換え処理部１２２を備える。要求受付判定処理部１２１は，外部からの要求を受け付けるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けられないので，エラー応答する。ファームウェア書き換え処理部１２２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。
【００８０】
図１３は，解除用ファームウェアによってファームウェア書き換え禁止の状態を解除する例を説明する図である。なお，図１３では，データ記憶装置１０において，特にメモリ１２とＥＥＰＲＯＭ１３の部分にのみ着目している。
【００８１】
図１３（Ａ）は，記憶媒体１４へのアクセスが禁止された状態の例を示す。ＥＥＰＲＯＭ１３にはアクセス禁止ファームウェア１１０”がストアされており，データ記憶装置１０の起動と同時にＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０”がメモリ１２上にロードされる。解除用ファームウェア１２０でのファームウェア書き換え要求以外の外部からの要求は，受け付けられない状態となる。
【００８２】
図１３（Ｂ）は，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０”が解除用ファームウェア１２０に書き換えられた状態の例を示す。データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除したい場合には，解除用ファームウェア１２０でのファームウェア書き換え要求を行えばよい。
【００８３】
メモリ１２上で動作しているアクセス禁止ファームウェア１１０”は，外部からのファームウェア書き換え要求を受けたときに，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが解除用ファームウェア１２０であるかを判定し，解除用ファームウェア１２０である場合には，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。解除用ファームウェア１２０以外のファームウェアであれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行わない。なお，解除用ファームウェア１２０の識別は，例えば，ファームウェア版数や，そのチェックサムデータ，シリアル番号等を確認することにより行うことができる。
【００８４】
図１３（Ｂ）では，外部から解除用ファームウェア１２０が送られてくる。メモリ１２上で動作しているアクセス禁止ファームウェア１１０”は，ＥＥＰＲＯＭ１３にストアされたアクセス禁止ファームウェア１１０”を，外部から受け取った解除用ファームウェア１２０で書き換える。
【００８５】
図１３（Ｃ）は，ファームウェア書き換えが可能な状態の例を示す。ファームウェア書き換え後，データ記憶装置１０はリセットされる。データ記憶装置１０のリセットは，自動で実行されてもよいし，ユーザが手動で行ってもよい。データ記憶装置１０がリセットされると，ＥＥＰＲＯＭ１３にストアされた解除用ファームウェア１２０がメモリ１２上にロードされ，ＥＥＰＲＯＭ１３上のファームウェアを特定のファームウェア以外のファームウェアでも書き換えることができるようになる。これは，ファームウェア書き換えが禁止されない図５に示すようなアクセス禁止ファームウェア１１０がメモリ１２上で動作する状態と同じである。
【００８６】
図１３（Ｄ）は，ＥＥＰＲＯＭ１３の解除用ファームウェア１２０が通常のファームウェア１００に書き換えられた状態の例を示す。解除用ファームウェア１２０は，ファームウェア書き換えが禁止されていないので，外部からのファームウェア書き換え要求で簡単に通常のファームウェア１００に書き換えることができる。この後データ記憶装置１０をリセットすれば，ＥＥＰＲＯＭ１３の通常のファームウェア１００がメモリ１２にロードされ，通常に記憶媒体１４へのアクセスが可能な状態となる。
【００８７】
図１４は，アクセス禁止ファームウェアの処理フローチャート（３）である。メモリ１２上で動作中のアクセス禁止ファームウェア１１０”は，外部からの要求を受けると（ステップＳ５０），その外部からの要求がファームウェア書き換え要求であるか否かを判定する（ステップＳ５１）。外部からの要求がファームウェア書き換え要求でなければ，エラー応答する（ステップＳ５２）。
【００８８】
外部からの要求がファームウェア書き換え要求であれば，新たにＥＥＰＲＯＭ１３に上書きするファームウェアが解除用ファームウェア１２０であるか否かを判定する（ステップＳ５３）。新たにＥＥＰＲＯＭ１３に上書きするファームウェアが解除用ファームウェア１２０であれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う（ステップＳ５４）。新たにＥＥＰＲＯＭ１３に上書きするファームウェアが解除用ファームウェア１２０でなければ，エラー応答する（ステップＳ５２）。
【００８９】
これにより，一般公開されたファームウェアでＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０”を書き換えようとしてもエラーで終了してしまい，ファームウェア書き換えが失敗した原因も外部からは推測不能となる。解除用ファームウェア１２０は公開されないため，解除用ファームウェア１２０の存在を知らない第三者が，ＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０”を書き換えることはできない。
【００９０】
データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除するためには，解除用ファームウェア１２０を保持するファームウェア書き換えツール２００によって，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０”を解除用ファームウェア１２０で書き換え，さらにその解除用ファームウェア１２０を通常のファームウェア１００で書き換えればよい。
【００９１】
なお，ここでは，アクセス禁止ファームウェア１１０”を解除用ファームウェア１２０で書き換えてから通常のファームウェア１００に書き換える例を説明したが，特定の通常のファームウェア１００を解除用ファームウェア１２０として，直接アクセス禁止ファームウェア１１０”を書き換えるようにしてもよい。ただし，この場合には，特定の通常のファームウェア１００を公開してしまうと，第三者によってデータ記憶装置１０の記憶媒体１４へのアクセス禁止状態が解除されてしまうおそれがある。
【００９２】
〔多段階の解除用ファームウェアによるファームウェア書き換え制御〕
さらに，解除用ファームウェア１２０によるファームウェア書き換え制御の技術を多段階に組み合わせることにより，セキュリティをより強固にすることが可能である。
【００９３】
図１５は，多段階の解除用ファームウェアによるファームウェア書き換え制御を説明する図である。ここでは，解除用ファームウェア１２０を３段階に組み合わせた場合の例を説明する。
【００９４】
図１５において，記憶媒体１４へのアクセスが禁止されたアクセス禁止ファームウェア１１０”は，解除用ファームウェア１２０ａでのみ書き換えることが可能である。その解除用ファームウェア１２０ａは，記憶媒体１４へのアクセスが禁止されたファームウェアである。また，解除用ファームウェア１２０ａは，特定のファームウェア以外では書き換えることができない。すなわち，解除用ファームウェア１２０ａは，アクセス禁止ファームウェア１１０”と同じ動作を行う。
【００９５】
記憶媒体１４へのアクセスが禁止された解除用ファームウェア１２０ａは，解除用ファームウェア１２０ｂでのみ書き換えることが可能である。その解除用ファームウェア１２０ｂは，記憶媒体１４へのアクセスが禁止されたファームウェアである。また，解除用ファームウェア１２０ｂは，特定のファームウェア以外では書き換えることができない。すなわち，解除用ファームウェア１２０ｂは，アクセス禁止ファームウェア１１０”，解除用ファームウェア１２０ａと同じ動作を行う。
【００９６】
記憶媒体１４へのアクセスが禁止された解除用ファームウェア１２０ｂは，解除用ファームウェア１２０ｃでのみ書き換えることが可能である。その解除用ファームウェア１２０ｃは，記憶媒体１４へのアクセスが禁止されたファームウェアである。ただし，解除用ファームウェア１２０ｃは，どのファームウェアでも書き換えることができる。すなわち，解除用ファームウェア１２０ｃは，図５に示すアクセス禁止ファームウェア１１０と同じ動作を行う。
【００９７】
この解除用ファームウェア１２０ｃを通常のファームウェア１００で書き換えると，データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除することができる。なお，解除用ファームウェア１２０ｃが特定の通常のファームウェア１００であってもよい。
【００９８】
図１６は，解除用ファームウェアの機能構成例（２）を示す図である。図１６に示す解除用ファームウェア１２０’の機能構成は，図１１に示すアクセス禁止ファームウェア１１０”の機能構成と同じである。すなわち，ここで説明する解除用ファームウェア１２０’は，特定の解除用ファームウェア１２０（または１２０’）以外では上書きすることができないファームウェアである。図１５における解除用ファームウェア１２０ａ，１２０ｂは，この解除用ファームウェア１２０’に相当する。解除用ファームウェア１２０’は，要求受付判定処理部１２１，ファームウェア書き換え処理部１２２，ファームウェア識別判定部１２３を備える。
【００９９】
要求受付判定処理部１２１は，外部からの要求を受け付けるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けられないので，エラー応答する。また，外部からの要求がファームウェア書き換え要求である場合に，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが特定の解除用ファームウェア１２０（または１２０’）以外のファームウェアであれば，エラー応答する。ファームウェア書き換え処理部１２２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。ファームウェア識別判定部１２３は，外部からの要求がファームウェア書き換え要求である場合に，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが特定の解除用ファームウェア１２０（または１２０’）であるか否かを判定する。
【０１００】
このように，解除用ファームウェア１２０によるファームウェア書き換え制御の技術を多段階に組み合わせることにより，たとえ解除用ファームウェア１２０（または１２０’）の一つが流出してしまったとしても，データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除することはできなくなる。段階数が多ければ多いほど，セキュリティ効果は高くなる。
【０１０１】
データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除するためには，複数の解除用ファームウェア１２０（または１２０’）を保持するファームウェア書き換えツール２００によって，多段階にＥＥＰＲＯＭ１３のファームウェア書き換えを行う必要がある。この多段階のファームウェア書き換えの作業は，非常に時間がかかるように見えるが，実際にはあまり時間がかからない。
【０１０２】
ＥＥＰＲＯＭ１３などの不揮発性半導体メモリは他の磁気記憶媒体などに比べてアクセス速度が速く，また書き換えに使用するファームウェアは非常に小さいプログラムであるため，１回のファームウェア書き換えの作業にそれほどの時間を必要としない。ｎ個（ｎは正の整数）の解除用ファームウェア１２０（または１２０’）による多段階のファームウェア書き換え作業によって，データ記憶装置１０のデータ保護解除を行う場合であっても，データ記憶装置１０の記憶媒体１４の容量に関係なく，（ｎ＋１）×（１回のファームウェア書き換え作業時間）で作業が終了する。
【０１０３】
また，解除用ファームウェア１２０（または１２０’）の適用順序通りに自動的に解除を行うようにバッチ処理化することにより，１つずつファームウェア書き換えの作業を指示する必要がなくなるため，データ記憶装置１０のデータ保護解除を行う作業者の手間もかからない。
【０１０４】
また，多段階の解除用ファームウェア１２０によるファームウェア書き換え制御を行う場合であっても，データ記憶装置１０の記憶媒体１４へのアクセスを禁止するときには，通常のファームウェア１００をアクセス禁止ファームウェア１１０”に書き換えるという１回のファームウェア書き換えを行えばよいため，データ記憶装置１０のデータ保護を行う作業の時間も，作業者の手間もかからない。
【０１０５】
以上，本発明の実施の形態について説明したが，本発明はこれに限られるものではない。例えば，本実施の形態ではアクセス禁止ファームウェア１１０の書き換えを原則禁止にする技術を別々に説明したが，それらの技術を複数組み合わせて実施することも可能である。複数の技術を組み合わせることにより，より高いセキュリティ効果が得られる。
【実施例】
【０１０６】
以下，本発明のより具体的な実施例について説明する。
【０１０７】
図１７は，本発明の実施例の状況を説明する図である。ここでは，ユーザがベンダに可搬のハードディスク５００（データ記憶装置１０に相当）の修理依頼を行う場合の例を説明する。ユーザは，ハードディスク５００の性能（処理速度）が悪くなったため，性能劣化の原因を調査し，修理することをベンダに依頼する。
【０１０８】
まず，ユーザは，ユーザパソコン６００にハードディスク５００を接続する。ハードディスク５００の不揮発性メモリには，そのハードディスク５００の記憶媒体へのアクセスが可能な製品版ファームウェア５１０（通常のファームウェア１００に相当）が書き込まれている。
【０１０９】
ユーザパソコン６００には，ベンダが一般に公開しているファームウェア書き換えツール６１０がインストールされている。ファームウェア書き換えツール６１０には，ハードディスク５００の記憶媒体への外部からのアクセスを禁止するためのアクセス禁止ファームウェア５２０が保持されている。このファームウェア書き換えツール６１０は，ハードディスク５００の不揮発性メモリに書き込まれている製品版ファームウェア５１０を他のファームウェアで書き換える機能を備えているが，ハードディスク５００の不揮発性メモリに書き込まれているアクセス禁止ファームウェア５２０を他のファームウェアで書き換える機能を備えていない。
【０１１０】
ユーザは，ユーザパソコン６００にインストールされたファームウェア書き換えツール６１０を操作し，ハードディスク５００の不揮発性メモリ上の製品版ファームウェア５１０を，ファームウェア書き換えツール６１０が保持するアクセス禁止ファームウェア５２０で書き換える。これで，ハードディスク５００の記憶媒体への外部からのアクセスが禁止され，ハードディスク５００のデータが保護された状態となる。
【０１１１】
このように，記憶媒体への外部からのアクセスが禁止された状態のハードディスク５００を，ベンダの工場に送付する。ハードディスク５００の記憶媒体への外部からのアクセスは禁止されているため，運搬途中にハードディスク５００の盗難，紛失等があっても，第三者がハードディスク５００に記憶されたデータにアクセスすることはできない。一般に公開されたファームウェア書き換えツール６１０では，ハードディスク５００の不揮発性メモリに書き込まれたアクセス禁止ファームウェア５２０を書き換えることができないため，ベンダ関係者以外ではハードディスク５００の記憶媒体へのアクセス禁止状態を解除することもできない。
【０１１２】
ベンダの工場にハードディスク５００が届くと，ベンダ側の作業者は，ベンダパソコン７００に送られてきたハードディスク５００を接続する。ベンダパソコン７００には，一般に公開されていない特別なファームウェア書き換えツール７１０がインストールされている。このファームウェア書き換えツール７１０は，ハードディスク５００の不揮発性メモリに書き込まれているアクセス禁止ファームウェア５２０を他のファームウェアで書き換える機能を備えている。また，ファームウェア書き換えツール７１０には，多段階の解除用ファームウェアによるファームウェア書き換え制御に対応するための複数の解除用ファームウェア５３０と，ハードディスク５００の記憶媒体へのアクセスを可能とする製品版ファームウェア５１０とが保持されている。
【０１１３】
作業者は，ベンダパソコン７００にインストールされたファームウェア書き換えツール７１０を操作し，バッチ処理により，ハードディスク５００の不揮発性メモリ上のアクセス禁止ファームウェア５２０を，多段階に解除用ファームウェア５３０で書き換え，最後に製品版ファームウェア５１０で書き換える。これで，ハードディスク５００の記憶媒体への外部からのアクセスが可能な状態となる。作業者は，ハードディスク５００の記憶媒体への外部からのアクセスが可能な状態で，ハードディスク５００の調査を行うことができる。
【０１１４】
図１８は，本実施例のハードディスクのファームウェア適用状態の変遷を示す図である。送付元（ユーザ側）において，当初，ハードディスク５００には製品版ファームウェア５１０が適用されている。ユーザは，ベンダ側に送付する前に製品版ファームウェア５１０をアクセス禁止ファームウェア５２０に書き換え，ハードディスク５００はアクセス禁止ファームウェア５２０が適用された状態となる。
【０１１５】
運搬中はハードディスク５００にアクセス禁止ファームウェア５２０が適用された状態なので，データ保護状態での安全な運搬が可能となる。
【０１１６】
送付先（ベンダ側）には，アクセス禁止ファームウェア５２０が適用された状態で，ハードディスク５００が届く。送付先（ベンダ側）では，作業者は，ハードディスク５００に適用されているアクセス禁止ファームウェア５２０を，解除用ファームウェア５３０（１段階目），解除用ファームウェア５３０（２段階目），... ，解除用ファームウェア５３０（ｎ段階目）と，多段階に書き換えていき，最後に製品版ファームウェア５１０に書き換える。作業者は，製品版ファームウェア５１０が適用された状態で，ハードディスク５００の検査，修復などを行う。なお，ベンダ側での一連の作業は，バッチ処理化することが可能である。
【０１１７】
以上説明した実施例以外でも，本発明の様々な利用例がある。例えば，各支社の重要な機密情報を本社に集めるときに，電子メールでは安全性に問題があるため，データ記憶装置を用いて本社に情報を送るといった状況を想定する。このとき，各支社ではデータ記憶装置の通常のファームウェアを記憶媒体へのアクセスが禁止されたファームウェアに書き換えて本社に送付する。記憶媒体へのアクセスが禁止されたファームウェアを通常のファームウェアに書き換えることができるツールを本社のみで使用できる環境とすれば，漏洩することなく，安全に各支社の重要な機密情報を本社に集めることができる。
【図面の簡単な説明】
【０１１８】
【図１】本発明の実施の形態によるデータ記憶装置の例を示す図である。
【図２】通常のファームウェアの機能構成例を示す図である。
【図３】通常のファームウェアの処理フローチャートである。
【図４】記憶媒体へのアクセスを禁止する場合のファームウェア書き換えの例を説明する図である。
【図５】アクセス禁止ファームウェアの機能構成例（１）を示す図である。
【図６】アクセス禁止ファームウェアの処理フローチャート（１）である。
【図７】ファームウェア書き換えツールの機能構成例を示す図である。
【図８】ファームウェア書き換えツールの処理フローチャートである。
【図９】アクセス禁止ファームウェアの機能構成例（２）を示す図である。
【図１０】アクセス禁止ファームウェアの処理フローチャート（２）である。
【図１１】アクセス禁止ファームウェアの機能構成例（３）を示す図である。
【図１２】解除用ファームウェアの機能構成例（１）を示す図である。
【図１３】解除用ファームウェアによってファームウェア書き換え禁止の状態を解除する例を説明する図である。
【図１４】アクセス禁止ファームウェアの処理フローチャート（３）である。
【図１５】多段階の解除用ファームウェアによるファームウェア書き換え制御を説明する図である。
【図１６】解除用ファームウェアの機能構成例（２）を示す図である。
【図１７】本発明の実施例の状況を説明する図である。
【図１８】本実施例のハードディスクのファームウェア適用状態の変遷を示す図である。
【図１９】一般的なデータ記憶装置の構成例を示す図である。
【符号の説明】
【０１１９】
１０ データ記憶装置
１１ 制御部（ＣＰＵ）
１２ メモリ
１３ ＥＥＰＲＯＭ
１４ 記憶媒体
２０ 情報処理装置
１００ 通常のファームウェア
１０１ 要求受付処理部
１０２ ファームウェア書き換え処理部
１０３ 記憶媒体アクセス処理部
１１０，１１０’，１１０” アクセス禁止ファームウェア
１１１ 要求受付判定処理部
１１２ ファームウェア書き換え処理部
１１３ モード切り替え処理部
１１４ モード情報
１１５ ファームウェア識別判定部
１２０ 解除用ファームウェア
１２１ 要求受付判定処理部
１２２ ファームウェア書き換え処理部
１２３ ファームウェア識別判定部
２００ ファームウェア書き換えツール
２０１ 指示受付部
２０２ ファームウェア書き換え可否判定部
２０３ ファームウェア書き換え処理部
２０４ 書き換え用ファームウェア保持部
【技術分野】
【０００１】
本発明は，データ記憶装置に記憶された情報を保護する技術に関するものであり，特に，データ記憶装置に記憶された情報を破壊せずに，また情報保護のために膨大な時間を必要とせずに，データ記憶装置に記憶された情報の流出を防止することが可能となる情報保護方法，情報保護用のファームウェアおよびファームウェア書き換えプログラムに関するものである。
【背景技術】
【０００２】
図１９は，一般的なデータ記憶装置の構成例を示す図である。データ記憶装置１０は，制御部（ＣＰＵ）１１，メモリ１２，ＥＥＰＲＯＭ１３，記憶媒体１４を備える。データ記憶装置１０は，例えばハードディスク，テープライブラリ装置，大容量のフラッシュメモリ等である。データ記憶装置１０には，コンピュータに内蔵されるもの，外付けで据え置きされるもの，可搬のものなど，様々なものがある。
【０００３】
制御部（ＣＰＵ）１１は，データ記憶装置１０を制御する。メモリ１２は，揮発性メモリである。ＥＥＰＲＯＭ１３は，電気的に内容を書き換えることが可能な不揮発性メモリである。記憶媒体１４は，実際にデータが記憶される媒体である。
【０００４】
データ記憶装置１０には，ファームウェアと呼ばれる制御プログラムが存在する。ファームウェアはデータ記憶装置１０へのアクセス制御を行っており，このファームウェアが正しく動作しない場合には，外部からのデータ記憶装置１０へのアクセスは不可能となる。このファームウェアには以下のような特徴がある。
・ハードウェアに直接書き込まれるソフトウェアであり，外部からのアクセスをコントロールする。
・ファームウェア自体を外部から書き換えることが可能である。
・開発ベンダの機密情報であり，ファームウェアの情報は通常公開されない。
【０００５】
図１９に示すように，ＥＥＰＲＯＭ１３に，外部からの記憶媒体１４へのアクセス（Ｒｅａｄ／Ｗｒｉｔｅなどのアクセス）を可能とする通常のファームウェア１００がストアされている。ＥＥＰＲＯＭ１３にストアされた通常のファームウェア１００は，データ記憶装置１０の動作開始とともにメモリ１２上にロードされ，実行される。メモリ１２上で実行される通常のファームウェア１００は，外部からの要求（Ｒｅａｄ要求／Ｗｒｉｔｅ要求，ファームウェア書き換え要求など）に対する処理を行う。なお，ここでは，外部からの記憶媒体１４へのアクセス（Ｒｅａｄ／Ｗｒｉｔｅなどのアクセス）を可能とするファームウェアを，後述の別のファームウェアと区別するために，通常のファームウェア１００と呼んでいる。
【０００６】
データ記憶装置１０を持って移動する場合などに，その運搬経路において，データ記憶装置１０を紛失したり，盗難されたりすることがある。このとき，データ記憶装置１０に記憶された情報が流出してしまうおそれがある。セキュリティの観点から情報流出に対してより厳しい管理を求められている今日では，安全にデータ記憶装置１０の運搬を行うための技術の確立が急務となっている。
【０００７】
なお，ここでのデータ記憶装置１０の移動には，可搬のデータ記憶装置１０を移動することに限らず，例えばデータ記憶装置１０内蔵のノートパソコンを持って移動することや，データ記憶装置１０内蔵のデスクトップパソコンを修理のために運ぶことなども含んでいる。
【０００８】
盗難，紛失等により情報が流出することを防ぐ技術としては，例えば次のような技術がある。
（１）データ記憶装置１０の記憶媒体１４の全領域を無意味なデータで上書きする。
（２）データ記憶装置１０を物理的な外力によって破壊する。なお，この技術は，データ記憶装置１０の破棄が前提となっている。
（３）パスワード等の認証機能を追加してアクセスを制限する。
（４）データ記憶装置１０の記憶媒体１４上のデータを暗号化する。
【０００９】
なお，本発明に先行する技術が記載された文献としては，例えば特許文献１などがある。特許文献１には，第三者による不正アクセスを防止するために，記録媒体へのリード／ライトアクセスを行うために必要なファームウェアを備えず，使用時に上位装置から記録媒体へのアクセスを可能とするファームウェアを揮発性メモリにダウンロードすることにより，記録媒体へのリード／ライトアクセスを行うストレージに関する技術が記載されている。
【特許文献１】特開２００２−１４０１７２号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上記の（１）〜（４）に示した技術には，様々な問題がある。
【００１１】
上記の（１）に示す技術には，データが破壊され，以後データの内容を確認できなくなるという問題がある。また，データ記憶装置１０のデータ記憶容量が急激に増加するにともない，データを書き換える（無意味なデータで上書きする）作業に膨大な時間が必要となるという問題がある。
【００１２】
上記の（２）に示す技術には，データが破壊され（データ記憶装置１０自身が破壊される），以後データの内容を確認できなくなる（データ記憶装置１０が使用できなくなる）という問題がある。
【００１３】
上記の（３）に示す技術には，パスワードが漏洩したり，解読されるとデータが流出してしまうおそれがあるという問題がある。
【００１４】
上記の（４）に示す技術には，暗号キーが漏洩したり，解読されるとデータが流出してしまうおそれがあるという問題がある。また，データ記憶装置１０のデータ記憶容量が急激に増加するにともない，データを書き換える（暗号化する）作業に膨大な時間が必要となるという問題がある。
【００１５】
すなわち，上記の（１）〜（４）のどの技術を用いても，次の３つの問題点をすべて解決することはできない。
・データが破壊され，以後データの内容を確認できなくなる。
・データを書き換える作業に膨大な時間が必要となる。
・パスワードや暗号キーが漏洩したり，解読されるとデータが流出してしまうおそれがある。
【００１６】
上記の特許文献１の技術では，この３つの問題点をすべて解決できる。しかし，特許文献１の技術では，ストレージの電源をＯＮするたびに上位装置から揮発性メモリに記録媒体へのアクセスを可能とするファームウェアをダウンロードする必要があるため，そのようなファームウェアをダウンロードする機能を備えた上位装置でしかストレージを使用できないという問題や，記録媒体へのアクセス可／不可の制御をユーザ側でコントロールすることができないという問題が発生する。
【００１７】
また，上記の特許文献１の技術では，記録媒体へのアクセスを可能とするファームウェアをダウンロードする機能を備えた上位装置であれば，どの上位装置でもストレージを利用できてしまうという問題がある。パスワード認証によって上位装置を識別する技術も記載されているが，上記の問題点と同様にパスワードが漏洩してしまうおそれがある。
【００１８】
本発明は，上記の問題点の解決を図り，作業に手間や時間がかからず，またデータの復活が困難とならず，また漏洩や解読のおそれのある暗号化やパスワードを用いずに，データ記憶装置に記憶されたデータの流出を防止することが可能となる技術を提供することを目的とする。
【課題を解決するための手段】
【００１９】
本発明は，上記の課題を解決するため，通常の使用時にデータ記憶装置の不揮発性メモリに記憶されている記憶媒体へのアクセスが可能なファームウェアを，記憶媒体へのアクセスが不可能なファームウェアに書き換えることを特徴とする。この記憶媒体へのアクセスが不可能なファームウェアは，不揮発性メモリ上のファームウェアを書き換えることは許可するが，外部からの記憶媒体へのアクセスは禁止する。
【００２０】
具体的には，本発明は，データ記憶装置の記憶媒体に記憶された情報を保護するための情報保護方法であって，記憶媒体に記憶された情報を保護する場合に，上位装置からのファームウェア書き換え要求に応じて，データ記憶装置の不揮発性メモリに格納された記憶媒体へのアクセス処理機能を有する通常の運用に用いられる第１のファームウェアを，記憶媒体へのアクセスを禁止する第２のファームウェアに書き換え，不揮発性メモリに格納された第２のファームウェアがデータ記憶装置の揮発性メモリにロードされている状態では，上位装置からの要求がファームウェアの書き換え要求である場合にそのファームウェアの書き換え要求を受け付け，上位装置からの記憶媒体へのアクセス要求については拒否することを特徴とする。
【００２１】
また，データ記憶装置が備えるプロセッサに実行させる第２のファームウェアは，プロセッサを，上位装置からの要求がファームウェアの書き換え要求である場合に，そのファームウェア書き換え要求を受け付け，要求された不揮発性メモリに格納されている第２のファームウェアを，他のファームウェアに書き換える手段と，上位装置からの要求が，記憶媒体へのアクセス要求である場合に，そのアクセス要求を拒否する手段として機能させることを特徴とする。
【００２２】
このように，データ記憶装置の記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）がデータ記憶装置の不揮発性メモリに記憶された状態では，不揮発性メモリに記憶されたファームウェアの書き換えは許可されても，記憶媒体への外部からのアクセスが禁止される。
【００２３】
記憶媒体への外部からのアクセスを禁止するための作業は，不揮発性メモリに記憶された記憶媒体へのアクセスが可能なファームウェア（第１のファームウェア）を，記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）で書き換えるだけであるので，作業時間は短時間となる。また，記憶媒体へのアクセスは禁止されても，記憶媒体のデータは破壊されずにそのまま残るので，後のデータの復活が容易に可能となる。また，暗号化やパスワードを用いていないため，暗号キーやパスワードの漏洩による情報流出の心配もない。
【００２４】
また，不揮発性メモリに記憶された記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）を，記憶媒体へのアクセスが可能なファームウェア（第１のファームウェア）に書き換えるだけで，再び外部からの記憶媒体へのアクセスを可能な状態に戻すことができる。すなわち，記憶媒体への外部からのアクセスを可能な状態にする作業も，記憶媒体への外部からのアクセスを禁止する作業と同様に，短時間ですむ。
【００２５】
また，データ記憶装置を通常に使用しているときには，不揮発性メモリには記憶媒体へのアクセスが可能なファームウェア（第１のファームウェア）が記憶されているため，特許文献１に記載された技術のような特殊な機能を備えた上位装置でなくても，普通にデータ記憶装置を接続して使用することができる。また，上位装置との接続やデータ記憶装置の電源のＯＮ／ＯＦＦに関わらず，記憶媒体への外部からのアクセスを可能な状態にする作業を行うまで，記憶媒体への外部からのアクセス禁止状態が解除されないため，特許文献１に記載された技術とは異なり，記憶媒体へのアクセス可／不可の制御をユーザ側でコントロールすることができる。
【００２６】
また，本発明は，上記の情報保護方法において，不揮発性メモリに第２のファームウェアが格納されている場合に，上位装置において動作するファームウェア書き換えツールが，不揮発性メモリに格納されている第２のファームウェアを，他のファームウェアに書き換える要求を禁止することを特徴とする。
【００２７】
また，本発明は，データ記憶装置に接続されたコンピュータが実行するファームウェア書き換えプログラムは，コンピュータを，データ記憶装置の不揮発性メモリに新たに書き込むファームウェアを保持する手段と，不揮発性メモリに格納されたファームウェアの書き換え指示を受け付ける手段と，ファームウェアの書き換え指示を受け付けた場合に，不揮発性メモリに格納されたファームウェアが，記憶媒体へのアクセス処理機能を持たない情報保護用のアクセス禁止ファームウェアであるか否かを判定する手段と，不揮発性メモリに格納されたファームウェアがアクセス禁止ファームウェアである場合に，データ記憶装置に対するファームウェアの書き換え要求の発行を抑止し，アクセス禁止ファームウェアでない場合に，データ記憶装置に対するファームウェアの書き換え要求を発行する手段として機能させることを特徴とする。
【００２８】
一般に公開するファームウェア書き換えプログラム（ファームウェア書き換えツール）を，このような記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア，アクセス禁止ファームウェア）を書き換えることができないファームウェア書き換えプログラムだけとし，記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア，アクセス禁止ファームウェア）を書き換えることができるファームウェア書き換えプログラム（ファームウェア書き換えツール）を非公開とすれば，データ記憶装置の記憶媒体へのアクセスの禁止状態を，第三者が簡単に解除することができなくなる。
【００２９】
また，本発明は，上記の情報保護方法において，少なくとも不揮発性メモリに格納されている第２のファームウェアが揮発性メモリにロードされている場合に，ファームウェアの書き換えを許可または不許可とするモードを管理し，該モードの初期値は不許可とし，不許可のモードでは，不揮発性メモリにおけるファームウェアの書き換えを禁止し，モードの切り替え要求に対してモードを不許可から許可に切り替え，許可のモードでは，不揮発性メモリにおけるファームウェアの書き換えを許可することを特徴とする。
【００３０】
また，データ記憶装置が備えるプロセッサに実行させる第２のファームウェアは，プロセッサを，不揮発性メモリにおけるファームウェアの書き換えを許可または不許可とするモードを管理し，該モードの初期値を不許可とする手段と，不許可のモードでは，上位装置からのファームウェアの書き換え要求に対し，その要求を拒否する手段と，上位装置からのモードの切り替え要求に対して，モードを不許可から許可に切り替える手段と，許可のモードでは，上位装置からのファームウェアの書き換え要求に対し，その要求を許可し，ファームウェアの書き換えを実行する手段として機能させることを特徴とする。
【００３１】
このように，初期状態を常に不許可のモードとし，モードを許可のモードに切り替えた場合にのみファームウェア書き換えを行えるようにすれば，モードを切り替えるためのコマンドを知らない第三者が，データ記憶装置の記憶媒体へのアクセスの禁止状態を解除することができなくなる。
【００３２】
また，本発明は，上記の情報保護方法において，不揮発性メモリに格納されている第２のファームウェアが揮発性メモリにロードされている状態では，上位装置からの要求がファームウェアの書き換え要求であって，書き換え対象となる新たなファームウェアが，第２のファームウェアの書き換え禁止を解除するための第３のファームウェアである場合にのみ，書き換え要求を受け付け，不揮発性メモリに格納されている第２のファームウェアを第３のファームウェアに書き換えることを特徴とする。
【００３３】
また，データ記憶装置が備えるプロセッサに実行させる第２のファームウェアは，プロセッサを，上位装置からの要求がファームウェアの書き換え要求であり，かつ書き換え対象となる新たなファームウェアが，第２のファームウェアの書き換え禁止を解除するための第３のファームウェアである場合に，その書き換え要求を受け付け，不揮発性メモリに格納されている第２のファームウェアを，第３のファームウェアに書き換える手段と，上位装置からの要求がファームウェアの書き換え要求であっても，書き換え対象となる新たなファームウェアが第３のファームウェア以外である場合に，その書き換え要求を拒否する手段と，上位装置からの要求が記憶媒体へのアクセス要求である場合に，そのアクセス要求を拒否する手段として機能させることを特徴とする。
【００３４】
このように，不揮発性メモリに記憶された記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）を上書きできるファームウェアを，あらかじめ決められた特定のファームウェア（第３のファームウェア）に限定することにより，その特定のファームウェア（第３のファームウェア）を持たない第三者が，データ記憶装置の記憶媒体へのアクセスの禁止状態を解除することができなくなる。
【００３５】
また，本発明は，上記の情報保護方法において，不揮発性メモリに格納されている第ｉ（ｉは３以上の整数）のファームウェアが揮発性メモリにロードされている状態では，上位装置からの要求がファームウェアの書き換え要求であって，書き換え対象となる新たなファームウェアが第ｉのファームウェアの書き換え禁止を解除するための第（ｉ＋１）のファームウェアである場合にのみ，書き換え要求を受け付け，不揮発性メモリに格納されている第ｉのファームウェアを第（ｉ＋１）のファームウェアに書き換え，不揮発性メモリに格納されている第ｎ（ｎは４以上の所定の整数）のファームウェアが揮発性メモリにロードされている状態では，記憶媒体へのアクセス処理機能を有する第１のファームウェアへの書き換えを許可することを特徴とする。
【００３６】
このように，不揮発性メモリに記憶されたファームウェアをあらかじめ決められた特定のファームウェアのみで上書きできるという関係を，多段階に組み合わせることにより，よりセキュリティ効果を高めることが可能となる。例えば，記憶媒体へのアクセスが不可能なファームウェア（第２のファームウェア）は特定のファームウェア１のみで書き換え可能，特定のファームウェア１は特定のファームウェア２のみで書き換え可能，... ，特定のファームウェアｉ−１は特定のファームウェアｉのみで書き換え可能といったように，多段階に不揮発性メモリのファームウェアを書き換えるようにし，その最後に記憶媒体へのアクセスが可能なファームウェア（第１のファームウェア）で書き換えるようにすれば，たとえ特定のファームウェアの１つが流出しても，第３者がその流出した１つの特定のファームウェアだけでデータ記憶装置の記憶媒体へのアクセスの禁止状態を解除することはできない。
【発明の効果】
【００３７】
本発明により，不揮発性メモリのファームウェアを書き換えるだけで，データ記憶装置の記憶媒体の容量に関係なく，短時間の作業で，データ記憶装置の記憶媒体のデータを保護することができる。同様に，データ記憶装置の記憶媒体のデータ保護状態を回復する作業も，短時間ですむ。
【００３８】
また，データ記憶装置の記憶媒体のデータが保護された状態になっても，記憶媒体のデータは破壊されない。そのため，データ記憶装置の記憶媒体のデータ保護状態を回復すれば，記憶媒体のデータを再度確認することができる。
【００３９】
また，データ記憶装置の記憶媒体のデータを保護するために暗号化やパスワードを用いていないため，暗号キーやパスワードの漏洩による情報流出の心配もない。
【発明を実施するための最良の形態】
【００４０】
以下，本発明の実施の形態について，図を用いて説明する。
【００４１】
図１は，本発明の実施の形態によるデータ記憶装置の例を示す図である。ここでは，情報処理装置２０（コンピュータ）に接続される可搬のデータ記憶装置１０の例を説明する。図１のデータ記憶装置１０は，図１９に示すデータ記憶装置１０と同じものであり，制御部（ＣＰＵ）１１，メモリ１２，ＥＥＰＲＯＭ１３，記憶媒体１４を備える。
【００４２】
データ記憶装置１０のＥＥＰＲＯＭ１３には，当初，通常のファームウェア１００がストアされている。データ記憶装置１０を起動すると，ＥＥＰＲＯＭ１３の通常のファームウェア１００がメモリ１２にロードされ，情報処理装置２０からのデータ記憶装置１０の記憶媒体１４へのＲｅａｄ／Ｗｒｉｔｅなどのアクセスが可能な状態となる。
【００４３】
図２は，通常のファームウェアの機能構成例を示す図である。通常のファームウェア１００は，要求受付処理部１０１，ファームウェア書き換え処理部１０２，記憶媒体アクセス処理部１０３を備える。要求受付処理部１０１は，外部からの要求を受け付ける。ファームウェア書き換え処理部１０２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。記憶媒体アクセス処理部１０３は，外部からのＲｅａｄ要求／Ｗｒｉｔｅ要求などの要求にしたがって，記憶媒体１４へのアクセス処理を行う。
【００４４】
図３は，通常のファームウェアの処理フローチャートである。メモリ１２上で動作中の通常のファームウェア１００は，外部からの要求を受け付けると（ステップＳ１０），その外部からの要求がどのような要求であるかを判別する（ステップＳ１１）。外部からの要求がＲｅａｄ要求であれば，記憶媒体１４からのデータの読み込み処理を行う（ステップＳ１２）。外部からの要求がＷｒｉｔｅ要求であれば，記憶媒体１４へのデータの書き込み処理を行う（ステップＳ１３）。外部からの要求がファームウェア書き換え要求であれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う（ステップＳ１４）。
【００４５】
図１に示すように，情報処理装置２０には，ファームウェア書き換えツール２００がインストールされている。ファームウェア書き換えツール２００は，データ記憶装置１０のＥＥＰＲＯＭ１３のファームウェアを書き換えるためのプログラムである。ファームウェア書き換えツール２００を用いて，例えば，通常のファームウェア１００がバージョンアップされた場合などに，そのバージョンアップされた通常のファームウェア１００で，ＥＥＰＲＯＭ１３の通常のファームウェア１００を更新することができる。
【００４６】
また，ファームウェア書き換えツール２００を用いてＥＥＰＲＯＭ１３のファームウェアを書き換えることにより，データ記憶装置１０の記憶媒体１４へのＲｅａｄ／Ｗｒｉｔｅなどのアクセスを禁止することができる。すなわち，ファームウェア書き換えツール２００を用いて，ＥＥＰＲＯＭ１３に記憶された通常のファームウェア１００を，データ記憶装置１０への記憶媒体１４へのアクセスができないファームウェアに書き換えることにより，データ記憶装置１０の記憶媒体１４へのアクセスを禁止する。ここでは，記憶媒体１４へのアクセスができないファームウェアを，アクセス禁止ファームウェア１１０と呼ぶものとする。
【００４７】
図４は，記憶媒体へのアクセスを禁止する場合のファームウェア書き換えの例を説明する図である。なお，図４では，図１のデータ記憶装置１０において，特にメモリ１２とＥＥＰＲＯＭ１３の部分にのみ着目している。
【００４８】
図４（Ａ）は，記憶媒体１４へのアクセスが可能な状態の例を示す。ＥＥＰＲＯＭ１３には通常のファームウェア１００がストアされており，データ記憶装置１０の起動と同時にＥＥＰＲＯＭ１３の通常のファームウェア１００がメモリ１２上にロードされ，実行される。これにより，外部からの記憶媒体１４へのアクセスが可能な状態となる。
【００４９】
図４（Ｂ）は，ＥＥＰＲＯＭ１３の通常のファームウェア１００がアクセス禁止ファームウェア１１０に書き換えられた状態の例を示す。データ記憶装置１０の記憶媒体１４へのアクセスを禁止したい場合には，ファームウェア書き換えツール２００によって，ＥＥＰＲＯＭ１３の通常のファームウェア１００を，アクセス禁止ファームウェア１１０に書き換えればよい。
【００５０】
メモリ１２上で動作している通常のファームウェア１００は，情報処理装置２０からのファームウェア書き換え要求を受け，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。情報処理装置２０からはアクセス禁止ファームウェア１１０が送られてくる。メモリ１２上で動作している通常のファームウェア１００は，ＥＥＰＲＯＭ１３にストアされた通常のファームウェア１００を，情報処理装置２０から受け取ったアクセス禁止ファームウェア１１０で書き換える。
【００５１】
図４（Ｃ）は，記憶媒体１４へのアクセスが禁止された状態の例を示す。ファームウェア書き換え後，データ記憶装置１０はリセットされる。データ記憶装置１０のリセットは，自動で実行されてもよいし，ユーザが手動で行ってもよい。データ記憶装置１０がリセットされると，ＥＥＰＲＯＭ１３にストアされたアクセス禁止ファームウェア１１０がメモリ１２上にロードされ，実行される。これにより，外部からの記憶媒体１４へのアクセスが禁止された状態となる。
【００５２】
アクセス禁止ファームウェア１１０は，外部からのＲｅａｄ要求／Ｗｒｉｔｅ要求などの記憶媒体１４へのアクセス要求を受付けない。ただし，外部からのファームウェア書き換え要求は受け付ける。データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除したい場合には，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０を通常のファームウェア１００で書き換えればよい。
【００５３】
図５は，アクセス禁止ファームウェアの機能構成例（１）を示す図である。アクセス禁止ファームウェア１１０は，要求受付判定処理部１１１，ファームウェア書き換え処理部１１２を備える。要求受付判定処理部１１１は，外部からの要求を受け付けるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けることができないので，エラー応答する。ファームウェア書き換え処理部１１２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。
【００５４】
図６は，アクセス禁止ファームウェアの処理フローチャート（１）である。メモリ１２上で動作中のアクセス禁止ファームウェア１１０は，外部からの要求を受けると（ステップＳ２０），その外部からの要求がファームウェア書き換え要求であるか否かを判定する（ステップＳ２１）。外部からの要求がファームウェア書き換え要求であれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う（ステップＳ２２）。外部からの要求がファームウェア書き換え要求以外の要求であれば，エラー応答する（ステップＳ２３）。
【００５５】
このように，ＥＥＰＲＯＭ１３に記憶された通常のファームウェア１００をアクセス禁止ファームウェア１１０で書き換えるだけで，データ記憶装置１０に記憶されたデータの流出を防止することができる。また，ＥＥＰＲＯＭ１３上のファームウェアを書き換えるだけであるので，記憶媒体１４のデータが破壊されず，また短時間でのデータ保護が可能となる。また，パスワードや暗号化を用いていないので，パスワードや暗号キーの漏洩や解読によりデータが流出するおそれもない。
【００５６】
データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除するためには，ファームウェア書き換えツール２００によって，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０を，通常のファームウェア１００で書き換えればよい。
【００５７】
ファームウェア書き換えツール２００が一般に公開されたプログラムである場合には，ファームウェア書き換えツール２００によって，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０をさらに通常のファームウェア１００に書き換えることにより，記憶媒体１４へのアクセスが可能となってしまうことも考えられる。これでは，暗号化やパスワードロックを行った場合に暗号キーやパスワードが解読されてしまうケースと同じになってしまう可能性がある。
【００５８】
したがって，より安全なデータ保護を実現するためには，アクセス禁止ファームウェア１１０の書き換えを，原則禁止にしなければならない。以下，アクセス禁止ファームウェア１１０の書き換えを原則禁止にする技術について説明する。
【００５９】
〔ファームウェア書き換えツールによるファームウェア書き換え制御〕
ファームウェア書き換えツール２００の処理で，ＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０の書き換え可否の判断を行う技術を説明する。ファームウェア書き換えツール２００では，ＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０以外のファームウェアである場合にのみ，ＥＥＰＲＯＭ１３のファームウェア書き換え要求を発行する。ＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０である場合には，ファームウェア書き換えを行わないように制御する。
【００６０】
図７は，ファームウェア書き換えツールの機能構成例を示す図である。ファームウェア書き換えツール２００は，指示受付部２０１，ファームウェア書き換え可否判定部２０２，ファームウェア書き換え処理部２０３，書き換え用ファームウェア保持部２０４を備える。
【００６１】
指示受付部２０１は，ユーザからのファームウェア書き換えの指示を受け付ける。ファームウェア書き換え可否判定部２０２は，データ記憶装置１０のＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０である場合には，ファームウェア書き換えが不可能であると判定し，エラー応答する。ファームウェア書き換え処理部２０３は，ファームウェア書き換えが可能である場合に，データ記憶装置１０にファームウェア書き換え要求を発行し，ファームウェア書き換えに用いるファームウェアをデータ記憶装置１０に送るなど，データ記憶装置１０のＥＥＰＲＯＭ１３に記憶されたファームウェアの書き換え処理を行う。書き換え用ファームウェア保持部２０４は，ファームウェア書き換えに用いるファームウェアを保持する。
【００６２】
図８は，ファームウェア書き換えツールの処理フローチャートである。ファームウェア書き換えツール２００は，ファームウェア書き換えの指示を受け付けると（ステップＳ３０），データ記憶装置１０のＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０であるか否かを判定する（ステップＳ３１）。ＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０でなければ，ファームウェア書き換え処理を行う（ステップＳ３２）。ＥＥＰＲＯＭ１３に記憶されたファームウェアがアクセス禁止ファームウェア１１０であれば，エラー応答する（ステップＳ３３）。
【００６３】
このように，ファームウェア書き換えツール２００ではＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０を書き換えることができないように制御することにより，データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を簡単には解除できなくすることができる。
【００６４】
データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除する場合には，アクセス禁止ファームウェア１１０を書き換えることができる特別なファームウェア書き換えツール２００が必要となる。この特別なファームウェア書き換えツール２００を非公開とすれば，第三者がデータ記憶装置１０の記憶媒体１４へのアクセス禁止状態を簡単に解除することはできなくなる。
【００６５】
〔モード切り替えによるファームウェア書き換え制御〕
アクセス禁止ファームウェア１１０の処理で，モード切り替えにより，ＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０の書き換え可否の切り替えを行う技術を説明する。ここでは，ファームウェア書き換えの可否は，モードで設定される。モードにはファームウェア書き換えが許可される“許可状態”と，ファームウェア書き換えが禁止される“不許可状態”の２つがあり，メモリ１２上のフラグで設定される。なお，モードのデフォルトは，“不許可状態”である。
【００６６】
図９は，アクセス禁止ファームウェアの機能構成例（２）を示す図である。アクセス禁止ファームウェア１１０’は，要求受付判定処理部１１１，ファームウェア書き換え処理部１１２，モード切り替え処理部１１３，モード情報１１４を備える。
【００６７】
要求受付判定処理部１１１は，外部からの要求を受け付けられるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けられないので，エラー応答する。また，外部からの要求がファームウェア書き換え要求である場合に，モードが“不許可状態”であれば，その要求を受け付けられないので，エラー応答する。ファームウェア書き換え処理部１１２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。モード切り替え処理部１１３は，外部からの状態切り替え要求にしたがって，モード切り替えを行う。モード情報１１４は，モードが設定されるメモリ１２上のフラグである。
【００６８】
図１０は，アクセス禁止ファームウェアの処理フローチャート（２）である。メモリ１２上で動作中のアクセス禁止ファームウェア１１０’は，外部からの要求を受けると（ステップＳ４０），その外部からの要求が状態切り替え要求であるか否かを判定する（ステップＳ４１）。外部からの要求が状態切り替え要求であれば，モード情報１１４を切り替える（ステップＳ４２）。モード情報１１４が“不許可状態”である場合には，状態切り替え要求により，モード情報１１４が“許可状態”に切り替わる。
【００６９】
外部からの要求が状態切り替え要求でなければ，その外部からの要求がファームウェア書き換え要求であるかを判定する（ステップＳ４３）。外部からの要求がファームウェア書き換え要求でなければ，エラー応答する（ステップＳ４４）。
【００７０】
外部からの要求がファームウェア書き換え要求であれば，モード情報１１４を確認する（ステップＳ４５）。モード情報１１４が“許可状態”であれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う（ステップＳ４６）。モード情報１１４が“不許可状態”であれば，エラー応答する（ステップＳ４４）。
【００７１】
このように，初期状態では常にファームウェア書き換え禁止状態（モードを“不許可状態”）としておき，ファームウェア書き換え要求に対する通常の手順でのファームウェア書き換えを禁止する。ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０’を書き換えたい場合には，モード切り替えのコマンドにより禁止状態を解除（モードを“許可状態”）してから，ファームウェア書き換えを行う。
【００７２】
モードを“許可状態”に切り替える機能を持つファームウェア書き換えツール２００を非公開とすれば，またはモードを“許可状態”に切り替えるためのコマンドを非公開とすれば，第三者がデータ記憶装置１０の記憶媒体１４へのアクセス禁止状態を簡単に解除することはできなくなる。
【００７３】
これにより，一般公開されたファームウェア書き換えの手順によって，ＥＥＰＲＯＭ１３上のアクセス禁止ファームウェア１１０’が簡単に書き換えられることにより，記憶媒体１４のデータが流出してしまうことを防ぐことができる。
【００７４】
〔解除用ファームウェアによるファームウェア書き換え制御〕
前述のファームウェア書き換えツールによるファームウェア書き換え制御の技術や，モード切り替えによるファームウェア書き換え制御の技術では，ファームウェア書き換えを行う側の処理に抑止メカニズムが存在するため，その抑止メカニズムが解読されると，データが流出してしまうおそれがある。
【００７５】
そこで，ＥＥＰＲＯＭ１３上のアクセス禁止ファームウェア１１０を，特定のファームウェア以外では上書きできないようにする。以下では，ＥＥＰＲＯＭ１３上のアクセス禁止ファームウェア１１０を上書きすることができる特定のファームウェアを，ファームウェア書き換えの禁止状態を解除することが可能なファームウェアという意味で，解除用ファームウェア１２０と呼ぶ。
【００７６】
図１１は，アクセス禁止ファームウェアの機能構成例（３）を示す図である。図１１に示すアクセス禁止ファームウェア１１０”は，特定の解除用ファームウェア１２０以外では上書きすることができないファームウェアである。アクセス禁止ファームウェア１１０”は，要求受付判定処理部１１１，ファームウェア書き換え処理部１１２，ファームウェア識別判定部１１５を備える。
【００７７】
要求受付判定処理部１１１は，外部からの要求を受け付けられるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けられないので，エラー応答する。また，外部からの要求がファームウェア書き換え要求である場合に，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが解除用ファームウェア１２０以外のファームウェアであれば，エラー応答する。ファームウェア書き換え処理部１１２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。ファームウェア識別判定部１１５は，外部からの要求がファームウェア書き換え要求である場合に，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが解除用ファームウェア１２０であるか否かを判定する。
【００７８】
図１２は，解除用ファームウェアの機能構成例（１）を示す図である。図１２に示す解除用ファームウェア１２０の機能構成は，図５に示すアクセス禁止ファームウェア１１０の機能構成と同じである。すなわち，ここで説明する解除用ファームウェア１２０は，記憶媒体１４へのアクセスを禁止するが，ファームウェア書き換えを禁止しないファームウェアである。
【００７９】
解除用ファームウェア１２０は，要求受付判定処理部１２１，ファームウェア書き換え処理部１２２を備える。要求受付判定処理部１２１は，外部からの要求を受け付けるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けられないので，エラー応答する。ファームウェア書き換え処理部１２２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。
【００８０】
図１３は，解除用ファームウェアによってファームウェア書き換え禁止の状態を解除する例を説明する図である。なお，図１３では，データ記憶装置１０において，特にメモリ１２とＥＥＰＲＯＭ１３の部分にのみ着目している。
【００８１】
図１３（Ａ）は，記憶媒体１４へのアクセスが禁止された状態の例を示す。ＥＥＰＲＯＭ１３にはアクセス禁止ファームウェア１１０”がストアされており，データ記憶装置１０の起動と同時にＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０”がメモリ１２上にロードされる。解除用ファームウェア１２０でのファームウェア書き換え要求以外の外部からの要求は，受け付けられない状態となる。
【００８２】
図１３（Ｂ）は，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０”が解除用ファームウェア１２０に書き換えられた状態の例を示す。データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除したい場合には，解除用ファームウェア１２０でのファームウェア書き換え要求を行えばよい。
【００８３】
メモリ１２上で動作しているアクセス禁止ファームウェア１１０”は，外部からのファームウェア書き換え要求を受けたときに，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが解除用ファームウェア１２０であるかを判定し，解除用ファームウェア１２０である場合には，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。解除用ファームウェア１２０以外のファームウェアであれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行わない。なお，解除用ファームウェア１２０の識別は，例えば，ファームウェア版数や，そのチェックサムデータ，シリアル番号等を確認することにより行うことができる。
【００８４】
図１３（Ｂ）では，外部から解除用ファームウェア１２０が送られてくる。メモリ１２上で動作しているアクセス禁止ファームウェア１１０”は，ＥＥＰＲＯＭ１３にストアされたアクセス禁止ファームウェア１１０”を，外部から受け取った解除用ファームウェア１２０で書き換える。
【００８５】
図１３（Ｃ）は，ファームウェア書き換えが可能な状態の例を示す。ファームウェア書き換え後，データ記憶装置１０はリセットされる。データ記憶装置１０のリセットは，自動で実行されてもよいし，ユーザが手動で行ってもよい。データ記憶装置１０がリセットされると，ＥＥＰＲＯＭ１３にストアされた解除用ファームウェア１２０がメモリ１２上にロードされ，ＥＥＰＲＯＭ１３上のファームウェアを特定のファームウェア以外のファームウェアでも書き換えることができるようになる。これは，ファームウェア書き換えが禁止されない図５に示すようなアクセス禁止ファームウェア１１０がメモリ１２上で動作する状態と同じである。
【００８６】
図１３（Ｄ）は，ＥＥＰＲＯＭ１３の解除用ファームウェア１２０が通常のファームウェア１００に書き換えられた状態の例を示す。解除用ファームウェア１２０は，ファームウェア書き換えが禁止されていないので，外部からのファームウェア書き換え要求で簡単に通常のファームウェア１００に書き換えることができる。この後データ記憶装置１０をリセットすれば，ＥＥＰＲＯＭ１３の通常のファームウェア１００がメモリ１２にロードされ，通常に記憶媒体１４へのアクセスが可能な状態となる。
【００８７】
図１４は，アクセス禁止ファームウェアの処理フローチャート（３）である。メモリ１２上で動作中のアクセス禁止ファームウェア１１０”は，外部からの要求を受けると（ステップＳ５０），その外部からの要求がファームウェア書き換え要求であるか否かを判定する（ステップＳ５１）。外部からの要求がファームウェア書き換え要求でなければ，エラー応答する（ステップＳ５２）。
【００８８】
外部からの要求がファームウェア書き換え要求であれば，新たにＥＥＰＲＯＭ１３に上書きするファームウェアが解除用ファームウェア１２０であるか否かを判定する（ステップＳ５３）。新たにＥＥＰＲＯＭ１３に上書きするファームウェアが解除用ファームウェア１２０であれば，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う（ステップＳ５４）。新たにＥＥＰＲＯＭ１３に上書きするファームウェアが解除用ファームウェア１２０でなければ，エラー応答する（ステップＳ５２）。
【００８９】
これにより，一般公開されたファームウェアでＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０”を書き換えようとしてもエラーで終了してしまい，ファームウェア書き換えが失敗した原因も外部からは推測不能となる。解除用ファームウェア１２０は公開されないため，解除用ファームウェア１２０の存在を知らない第三者が，ＥＥＰＲＯＭ１３に記憶されたアクセス禁止ファームウェア１１０”を書き換えることはできない。
【００９０】
データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除するためには，解除用ファームウェア１２０を保持するファームウェア書き換えツール２００によって，ＥＥＰＲＯＭ１３のアクセス禁止ファームウェア１１０”を解除用ファームウェア１２０で書き換え，さらにその解除用ファームウェア１２０を通常のファームウェア１００で書き換えればよい。
【００９１】
なお，ここでは，アクセス禁止ファームウェア１１０”を解除用ファームウェア１２０で書き換えてから通常のファームウェア１００に書き換える例を説明したが，特定の通常のファームウェア１００を解除用ファームウェア１２０として，直接アクセス禁止ファームウェア１１０”を書き換えるようにしてもよい。ただし，この場合には，特定の通常のファームウェア１００を公開してしまうと，第三者によってデータ記憶装置１０の記憶媒体１４へのアクセス禁止状態が解除されてしまうおそれがある。
【００９２】
〔多段階の解除用ファームウェアによるファームウェア書き換え制御〕
さらに，解除用ファームウェア１２０によるファームウェア書き換え制御の技術を多段階に組み合わせることにより，セキュリティをより強固にすることが可能である。
【００９３】
図１５は，多段階の解除用ファームウェアによるファームウェア書き換え制御を説明する図である。ここでは，解除用ファームウェア１２０を３段階に組み合わせた場合の例を説明する。
【００９４】
図１５において，記憶媒体１４へのアクセスが禁止されたアクセス禁止ファームウェア１１０”は，解除用ファームウェア１２０ａでのみ書き換えることが可能である。その解除用ファームウェア１２０ａは，記憶媒体１４へのアクセスが禁止されたファームウェアである。また，解除用ファームウェア１２０ａは，特定のファームウェア以外では書き換えることができない。すなわち，解除用ファームウェア１２０ａは，アクセス禁止ファームウェア１１０”と同じ動作を行う。
【００９５】
記憶媒体１４へのアクセスが禁止された解除用ファームウェア１２０ａは，解除用ファームウェア１２０ｂでのみ書き換えることが可能である。その解除用ファームウェア１２０ｂは，記憶媒体１４へのアクセスが禁止されたファームウェアである。また，解除用ファームウェア１２０ｂは，特定のファームウェア以外では書き換えることができない。すなわち，解除用ファームウェア１２０ｂは，アクセス禁止ファームウェア１１０”，解除用ファームウェア１２０ａと同じ動作を行う。
【００９６】
記憶媒体１４へのアクセスが禁止された解除用ファームウェア１２０ｂは，解除用ファームウェア１２０ｃでのみ書き換えることが可能である。その解除用ファームウェア１２０ｃは，記憶媒体１４へのアクセスが禁止されたファームウェアである。ただし，解除用ファームウェア１２０ｃは，どのファームウェアでも書き換えることができる。すなわち，解除用ファームウェア１２０ｃは，図５に示すアクセス禁止ファームウェア１１０と同じ動作を行う。
【００９７】
この解除用ファームウェア１２０ｃを通常のファームウェア１００で書き換えると，データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除することができる。なお，解除用ファームウェア１２０ｃが特定の通常のファームウェア１００であってもよい。
【００９８】
図１６は，解除用ファームウェアの機能構成例（２）を示す図である。図１６に示す解除用ファームウェア１２０’の機能構成は，図１１に示すアクセス禁止ファームウェア１１０”の機能構成と同じである。すなわち，ここで説明する解除用ファームウェア１２０’は，特定の解除用ファームウェア１２０（または１２０’）以外では上書きすることができないファームウェアである。図１５における解除用ファームウェア１２０ａ，１２０ｂは，この解除用ファームウェア１２０’に相当する。解除用ファームウェア１２０’は，要求受付判定処理部１２１，ファームウェア書き換え処理部１２２，ファームウェア識別判定部１２３を備える。
【００９９】
要求受付判定処理部１２１は，外部からの要求を受け付けるか否かを判定する。例えば，外部からの要求が記憶媒体１４へのアクセス要求である場合には，その要求を受け付けられないので，エラー応答する。また，外部からの要求がファームウェア書き換え要求である場合に，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが特定の解除用ファームウェア１２０（または１２０’）以外のファームウェアであれば，エラー応答する。ファームウェア書き換え処理部１２２は，外部からのファームウェア書き換え要求にしたがって，ＥＥＰＲＯＭ１３のファームウェア書き換え処理を行う。ファームウェア識別判定部１２３は，外部からの要求がファームウェア書き換え要求である場合に，ＥＥＰＲＯＭ１３上に新たに書き込まれるファームウェアが特定の解除用ファームウェア１２０（または１２０’）であるか否かを判定する。
【０１００】
このように，解除用ファームウェア１２０によるファームウェア書き換え制御の技術を多段階に組み合わせることにより，たとえ解除用ファームウェア１２０（または１２０’）の一つが流出してしまったとしても，データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除することはできなくなる。段階数が多ければ多いほど，セキュリティ効果は高くなる。
【０１０１】
データ記憶装置１０の記憶媒体１４へのアクセス禁止状態を解除するためには，複数の解除用ファームウェア１２０（または１２０’）を保持するファームウェア書き換えツール２００によって，多段階にＥＥＰＲＯＭ１３のファームウェア書き換えを行う必要がある。この多段階のファームウェア書き換えの作業は，非常に時間がかかるように見えるが，実際にはあまり時間がかからない。
【０１０２】
ＥＥＰＲＯＭ１３などの不揮発性半導体メモリは他の磁気記憶媒体などに比べてアクセス速度が速く，また書き換えに使用するファームウェアは非常に小さいプログラムであるため，１回のファームウェア書き換えの作業にそれほどの時間を必要としない。ｎ個（ｎは正の整数）の解除用ファームウェア１２０（または１２０’）による多段階のファームウェア書き換え作業によって，データ記憶装置１０のデータ保護解除を行う場合であっても，データ記憶装置１０の記憶媒体１４の容量に関係なく，（ｎ＋１）×（１回のファームウェア書き換え作業時間）で作業が終了する。
【０１０３】
また，解除用ファームウェア１２０（または１２０’）の適用順序通りに自動的に解除を行うようにバッチ処理化することにより，１つずつファームウェア書き換えの作業を指示する必要がなくなるため，データ記憶装置１０のデータ保護解除を行う作業者の手間もかからない。
【０１０４】
また，多段階の解除用ファームウェア１２０によるファームウェア書き換え制御を行う場合であっても，データ記憶装置１０の記憶媒体１４へのアクセスを禁止するときには，通常のファームウェア１００をアクセス禁止ファームウェア１１０”に書き換えるという１回のファームウェア書き換えを行えばよいため，データ記憶装置１０のデータ保護を行う作業の時間も，作業者の手間もかからない。
【０１０５】
以上，本発明の実施の形態について説明したが，本発明はこれに限られるものではない。例えば，本実施の形態ではアクセス禁止ファームウェア１１０の書き換えを原則禁止にする技術を別々に説明したが，それらの技術を複数組み合わせて実施することも可能である。複数の技術を組み合わせることにより，より高いセキュリティ効果が得られる。
【実施例】
【０１０６】
以下，本発明のより具体的な実施例について説明する。
【０１０７】
図１７は，本発明の実施例の状況を説明する図である。ここでは，ユーザがベンダに可搬のハードディスク５００（データ記憶装置１０に相当）の修理依頼を行う場合の例を説明する。ユーザは，ハードディスク５００の性能（処理速度）が悪くなったため，性能劣化の原因を調査し，修理することをベンダに依頼する。
【０１０８】
まず，ユーザは，ユーザパソコン６００にハードディスク５００を接続する。ハードディスク５００の不揮発性メモリには，そのハードディスク５００の記憶媒体へのアクセスが可能な製品版ファームウェア５１０（通常のファームウェア１００に相当）が書き込まれている。
【０１０９】
ユーザパソコン６００には，ベンダが一般に公開しているファームウェア書き換えツール６１０がインストールされている。ファームウェア書き換えツール６１０には，ハードディスク５００の記憶媒体への外部からのアクセスを禁止するためのアクセス禁止ファームウェア５２０が保持されている。このファームウェア書き換えツール６１０は，ハードディスク５００の不揮発性メモリに書き込まれている製品版ファームウェア５１０を他のファームウェアで書き換える機能を備えているが，ハードディスク５００の不揮発性メモリに書き込まれているアクセス禁止ファームウェア５２０を他のファームウェアで書き換える機能を備えていない。
【０１１０】
ユーザは，ユーザパソコン６００にインストールされたファームウェア書き換えツール６１０を操作し，ハードディスク５００の不揮発性メモリ上の製品版ファームウェア５１０を，ファームウェア書き換えツール６１０が保持するアクセス禁止ファームウェア５２０で書き換える。これで，ハードディスク５００の記憶媒体への外部からのアクセスが禁止され，ハードディスク５００のデータが保護された状態となる。
【０１１１】
このように，記憶媒体への外部からのアクセスが禁止された状態のハードディスク５００を，ベンダの工場に送付する。ハードディスク５００の記憶媒体への外部からのアクセスは禁止されているため，運搬途中にハードディスク５００の盗難，紛失等があっても，第三者がハードディスク５００に記憶されたデータにアクセスすることはできない。一般に公開されたファームウェア書き換えツール６１０では，ハードディスク５００の不揮発性メモリに書き込まれたアクセス禁止ファームウェア５２０を書き換えることができないため，ベンダ関係者以外ではハードディスク５００の記憶媒体へのアクセス禁止状態を解除することもできない。
【０１１２】
ベンダの工場にハードディスク５００が届くと，ベンダ側の作業者は，ベンダパソコン７００に送られてきたハードディスク５００を接続する。ベンダパソコン７００には，一般に公開されていない特別なファームウェア書き換えツール７１０がインストールされている。このファームウェア書き換えツール７１０は，ハードディスク５００の不揮発性メモリに書き込まれているアクセス禁止ファームウェア５２０を他のファームウェアで書き換える機能を備えている。また，ファームウェア書き換えツール７１０には，多段階の解除用ファームウェアによるファームウェア書き換え制御に対応するための複数の解除用ファームウェア５３０と，ハードディスク５００の記憶媒体へのアクセスを可能とする製品版ファームウェア５１０とが保持されている。
【０１１３】
作業者は，ベンダパソコン７００にインストールされたファームウェア書き換えツール７１０を操作し，バッチ処理により，ハードディスク５００の不揮発性メモリ上のアクセス禁止ファームウェア５２０を，多段階に解除用ファームウェア５３０で書き換え，最後に製品版ファームウェア５１０で書き換える。これで，ハードディスク５００の記憶媒体への外部からのアクセスが可能な状態となる。作業者は，ハードディスク５００の記憶媒体への外部からのアクセスが可能な状態で，ハードディスク５００の調査を行うことができる。
【０１１４】
図１８は，本実施例のハードディスクのファームウェア適用状態の変遷を示す図である。送付元（ユーザ側）において，当初，ハードディスク５００には製品版ファームウェア５１０が適用されている。ユーザは，ベンダ側に送付する前に製品版ファームウェア５１０をアクセス禁止ファームウェア５２０に書き換え，ハードディスク５００はアクセス禁止ファームウェア５２０が適用された状態となる。
【０１１５】
運搬中はハードディスク５００にアクセス禁止ファームウェア５２０が適用された状態なので，データ保護状態での安全な運搬が可能となる。
【０１１６】
送付先（ベンダ側）には，アクセス禁止ファームウェア５２０が適用された状態で，ハードディスク５００が届く。送付先（ベンダ側）では，作業者は，ハードディスク５００に適用されているアクセス禁止ファームウェア５２０を，解除用ファームウェア５３０（１段階目），解除用ファームウェア５３０（２段階目），... ，解除用ファームウェア５３０（ｎ段階目）と，多段階に書き換えていき，最後に製品版ファームウェア５１０に書き換える。作業者は，製品版ファームウェア５１０が適用された状態で，ハードディスク５００の検査，修復などを行う。なお，ベンダ側での一連の作業は，バッチ処理化することが可能である。
【０１１７】
以上説明した実施例以外でも，本発明の様々な利用例がある。例えば，各支社の重要な機密情報を本社に集めるときに，電子メールでは安全性に問題があるため，データ記憶装置を用いて本社に情報を送るといった状況を想定する。このとき，各支社ではデータ記憶装置の通常のファームウェアを記憶媒体へのアクセスが禁止されたファームウェアに書き換えて本社に送付する。記憶媒体へのアクセスが禁止されたファームウェアを通常のファームウェアに書き換えることができるツールを本社のみで使用できる環境とすれば，漏洩することなく，安全に各支社の重要な機密情報を本社に集めることができる。
【図面の簡単な説明】
【０１１８】
【図１】本発明の実施の形態によるデータ記憶装置の例を示す図である。
【図２】通常のファームウェアの機能構成例を示す図である。
【図３】通常のファームウェアの処理フローチャートである。
【図４】記憶媒体へのアクセスを禁止する場合のファームウェア書き換えの例を説明する図である。
【図５】アクセス禁止ファームウェアの機能構成例（１）を示す図である。
【図６】アクセス禁止ファームウェアの処理フローチャート（１）である。
【図７】ファームウェア書き換えツールの機能構成例を示す図である。
【図８】ファームウェア書き換えツールの処理フローチャートである。
【図９】アクセス禁止ファームウェアの機能構成例（２）を示す図である。
【図１０】アクセス禁止ファームウェアの処理フローチャート（２）である。
【図１１】アクセス禁止ファームウェアの機能構成例（３）を示す図である。
【図１２】解除用ファームウェアの機能構成例（１）を示す図である。
【図１３】解除用ファームウェアによってファームウェア書き換え禁止の状態を解除する例を説明する図である。
【図１４】アクセス禁止ファームウェアの処理フローチャート（３）である。
【図１５】多段階の解除用ファームウェアによるファームウェア書き換え制御を説明する図である。
【図１６】解除用ファームウェアの機能構成例（２）を示す図である。
【図１７】本発明の実施例の状況を説明する図である。
【図１８】本実施例のハードディスクのファームウェア適用状態の変遷を示す図である。
【図１９】一般的なデータ記憶装置の構成例を示す図である。
【符号の説明】
【０１１９】
１０ データ記憶装置
１１ 制御部（ＣＰＵ）
１２ メモリ
１３ ＥＥＰＲＯＭ
１４ 記憶媒体
２０ 情報処理装置
１００ 通常のファームウェア
１０１ 要求受付処理部
１０２ ファームウェア書き換え処理部
１０３ 記憶媒体アクセス処理部
１１０，１１０’，１１０” アクセス禁止ファームウェア
１１１ 要求受付判定処理部
１１２ ファームウェア書き換え処理部
１１３ モード切り替え処理部
１１４ モード情報
１１５ ファームウェア識別判定部
１２０ 解除用ファームウェア
１２１ 要求受付判定処理部
１２２ ファームウェア書き換え処理部
１２３ ファームウェア識別判定部
２００ ファームウェア書き換えツール
２０１ 指示受付部
２０２ ファームウェア書き換え可否判定部
２０３ ファームウェア書き換え処理部
２０４ 書き換え用ファームウェア保持部
【特許請求の範囲】
【請求項１】
情報を記憶する記憶媒体と，前記記憶媒体へのアクセス処理機能を有する通常の運用に用いられる第１のファームウェアが格納された書き換えが可能な不揮発性メモリと，揮発性メモリとを備え，前記不揮発性メモリに格納された第１のファームウェアを前記揮発性メモリ上で動作させることにより，上位装置からの要求に対応するデータ記憶装置における，前記記憶媒体に記憶された情報を保護するための情報保護方法であって，
前記記憶媒体に記憶された情報を保護する場合に，前記上位装置からのファームウェア書き換え要求に応じて，前記不揮発性メモリに格納された第１のファームウェアを，前記記憶媒体へのアクセスを禁止する第２のファームウェアに書き換える過程と，
前記不揮発性メモリに格納された前記第２のファームウェアが前記揮発性メモリにロードされている状態では，前記上位装置からの要求がファームウェアの書き換え要求である場合にそのファームウェアの書き換え要求を受け付け，前記上位装置からの前記記憶媒体へのアクセス要求については拒否する過程とを有する
ことを特徴とする情報保護方法。
【請求項２】
請求項１に記載された情報保護方法において，
前記不揮発性メモリに前記第２のファームウェアが格納されている場合に，前記上位装置において動作するファームウェア書き換えツールが，前記不揮発性メモリに格納されている前記第２のファームウェアを，他のファームウェアに書き換える要求を禁止する
ことを特徴とする情報保護方法。
【請求項３】
請求項１に記載された情報保護方法において，
少なくとも前記不揮発性メモリに格納されている前記第２のファームウェアが前記揮発性メモリにロードされている場合に，ファームウェアの書き換えを許可または不許可とするモードを管理し，該モードの初期値は不許可とし，不許可のモードでは，前記不揮発性メモリにおけるファームウェアの書き換えを禁止し，
前記モードの切り替え要求に対して，前記モードを不許可から許可に切り替え，許可のモードでは，前記不揮発性メモリにおけるファームウェアの書き換えを許可する
ことを特徴とする情報保護方法。
【請求項４】
請求項１に記載された情報保護方法において，
前記不揮発性メモリに格納されている前記第２のファームウェアが前記揮発性メモリにロードされている状態では，前記上位装置からの要求がファームウェアの書き換え要求であって，書き換え対象となる新たなファームウェアが，前記第２のファームウェアの書き換え禁止を解除するための第３のファームウェアである場合にのみ，書き換え要求を受け付け，前記不揮発性メモリに格納されている前記第２のファームウェアを，前記第３のファームウェアに書き換える
ことを特徴とする情報保護方法。
【請求項５】
請求項４に記載された情報保護方法において，
前記不揮発性メモリに格納されている第ｉ（ｉは３以上の整数）のファームウェアが前記揮発性メモリにロードされている状態では，前記上位装置からの要求がファームウェアの書き換え要求であって，書き換え対象となる新たなファームウェアが，前記第ｉのファームウェアの書き換え禁止を解除するための第（ｉ＋１）のファームウェアである場合にのみ，書き換え要求を受け付け，前記不揮発性メモリに格納されている前記第ｉのファームウェアを，前記第（ｉ＋１）のファームウェアに書き換え，
前記不揮発性メモリに格納されている第ｎ（ｎは４以上の所定の整数）のファームウェアが前記揮発性メモリにロードされている状態では，前記記憶媒体へのアクセス処理機能を有する第１のファームウェアへの書き換えを許可する
ことを特徴とする情報保護方法。
【請求項６】
請求項１に記載された情報保護方法を実現するための前記データ記憶装置が備えるプロセッサに実行させる前記第２のファームウェアであって，
前記プロセッサを，
前記上位装置からの要求がファームウェアの書き換え要求である場合に，そのファームウェア書き換え要求を受け付け，要求された前記不揮発性メモリに格納されている第２のファームウェアを，他のファームウェアに書き換える手段と，
前記上位装置からの要求が，前記記憶媒体へのアクセス要求である場合に，そのアクセス要求を拒否する手段として
機能させるための情報保護用のファームウェア。
【請求項７】
請求項３に記載された情報保護方法を実現するための前記データ記憶装置が備えるプロセッサに実行させる前記第２のファームウェアであって，
前記プロセッサを，
前記不揮発性メモリにおけるファームウェアの書き換えを許可または不許可とするモードを管理し，該モードの初期値を不許可とする手段と，
不許可のモードでは，前記上位装置からのファームウェアの書き換え要求に対し，その要求を拒否する手段と，
前記上位装置からの前記モードの切り替え要求に対して，前記モードを不許可から許可に切り替える手段と，
許可のモードでは，前記上位装置からのファームウェアの書き換え要求に対し，その要求を許可し，ファームウェアの書き換えを実行する手段として
機能させるための情報保護用のファームウェア。
【請求項８】
請求項４に記載された情報保護方法を実現するための前記データ記憶装置が備えるプロセッサに実行させる前記第２のファームウェアであって，
前記プロセッサを，
前記上位装置からの要求がファームウェアの書き換え要求であり，かつ書き換え対象となる新たなファームウェアが，前記第２のファームウェアの書き換え禁止を解除するための第３のファームウェアである場合に，その書き換え要求を受け付け，前記不揮発性メモリに格納されている前記第２のファームウェアを，前記第３のファームウェアに書き換える手段と，
前記上位装置からの要求がファームウェアの書き換え要求であっても，書き換え対象となる新たなファームウェアが前記第３のファームウェア以外である場合に，その書き換え要求を拒否する手段と，
前記上位装置からの要求が前記記憶媒体へのアクセス要求である場合に，そのアクセス要求を拒否する手段として
機能させるための情報保護用のファームウェア。
【請求項９】
情報を記憶する記憶媒体と，書き換えが可能な不揮発性メモリと，揮発性メモリとを備え，不揮発性メモリに格納されたファームウェアを揮発性メモリ上で動作させることにより外部からの要求に対応するデータ記憶装置に接続されたコンピュータが実行するファームウェア書き換えプログラムであって，
前記コンピュータを，
前記データ記憶装置の前記不揮発性メモリに新たに書き込むファームウェアを保持する書き換え用ファームウェア保持手段と，
前記不揮発性メモリに格納されたファームウェアの書き換え指示を受け付ける指示受付手段と，
前記指示受付手段によりファームウェアの書き換え指示を受け付けた場合に，前記不揮発性メモリに格納されたファームウェアが，前記記憶媒体へのアクセス処理機能を持たない情報保護用のアクセス禁止ファームウェアであるか否かを判定するファームウェア種別判定手段と，
前記不揮発性メモリに格納されたファームウェアが，前記アクセス禁止ファームウェアである場合に，前記データ記憶装置に対するファームウェアの書き換え要求の発行を抑止し，前記アクセス禁止ファームウェアでない場合に，前記データ記憶装置に対するファームウェアの書き換え要求を発行するファームウェア書き換え処理手段として
機能させるためのファームウェア書き換えプログラム。
【請求項１】
情報を記憶する記憶媒体と，前記記憶媒体へのアクセス処理機能を有する通常の運用に用いられる第１のファームウェアが格納された書き換えが可能な不揮発性メモリと，揮発性メモリとを備え，前記不揮発性メモリに格納された第１のファームウェアを前記揮発性メモリ上で動作させることにより，上位装置からの要求に対応するデータ記憶装置における，前記記憶媒体に記憶された情報を保護するための情報保護方法であって，
前記記憶媒体に記憶された情報を保護する場合に，前記上位装置からのファームウェア書き換え要求に応じて，前記不揮発性メモリに格納された第１のファームウェアを，前記記憶媒体へのアクセスを禁止する第２のファームウェアに書き換える過程と，
前記不揮発性メモリに格納された前記第２のファームウェアが前記揮発性メモリにロードされている状態では，前記上位装置からの要求がファームウェアの書き換え要求である場合にそのファームウェアの書き換え要求を受け付け，前記上位装置からの前記記憶媒体へのアクセス要求については拒否する過程とを有する
ことを特徴とする情報保護方法。
【請求項２】
請求項１に記載された情報保護方法において，
前記不揮発性メモリに前記第２のファームウェアが格納されている場合に，前記上位装置において動作するファームウェア書き換えツールが，前記不揮発性メモリに格納されている前記第２のファームウェアを，他のファームウェアに書き換える要求を禁止する
ことを特徴とする情報保護方法。
【請求項３】
請求項１に記載された情報保護方法において，
少なくとも前記不揮発性メモリに格納されている前記第２のファームウェアが前記揮発性メモリにロードされている場合に，ファームウェアの書き換えを許可または不許可とするモードを管理し，該モードの初期値は不許可とし，不許可のモードでは，前記不揮発性メモリにおけるファームウェアの書き換えを禁止し，
前記モードの切り替え要求に対して，前記モードを不許可から許可に切り替え，許可のモードでは，前記不揮発性メモリにおけるファームウェアの書き換えを許可する
ことを特徴とする情報保護方法。
【請求項４】
請求項１に記載された情報保護方法において，
前記不揮発性メモリに格納されている前記第２のファームウェアが前記揮発性メモリにロードされている状態では，前記上位装置からの要求がファームウェアの書き換え要求であって，書き換え対象となる新たなファームウェアが，前記第２のファームウェアの書き換え禁止を解除するための第３のファームウェアである場合にのみ，書き換え要求を受け付け，前記不揮発性メモリに格納されている前記第２のファームウェアを，前記第３のファームウェアに書き換える
ことを特徴とする情報保護方法。
【請求項５】
請求項４に記載された情報保護方法において，
前記不揮発性メモリに格納されている第ｉ（ｉは３以上の整数）のファームウェアが前記揮発性メモリにロードされている状態では，前記上位装置からの要求がファームウェアの書き換え要求であって，書き換え対象となる新たなファームウェアが，前記第ｉのファームウェアの書き換え禁止を解除するための第（ｉ＋１）のファームウェアである場合にのみ，書き換え要求を受け付け，前記不揮発性メモリに格納されている前記第ｉのファームウェアを，前記第（ｉ＋１）のファームウェアに書き換え，
前記不揮発性メモリに格納されている第ｎ（ｎは４以上の所定の整数）のファームウェアが前記揮発性メモリにロードされている状態では，前記記憶媒体へのアクセス処理機能を有する第１のファームウェアへの書き換えを許可する
ことを特徴とする情報保護方法。
【請求項６】
請求項１に記載された情報保護方法を実現するための前記データ記憶装置が備えるプロセッサに実行させる前記第２のファームウェアであって，
前記プロセッサを，
前記上位装置からの要求がファームウェアの書き換え要求である場合に，そのファームウェア書き換え要求を受け付け，要求された前記不揮発性メモリに格納されている第２のファームウェアを，他のファームウェアに書き換える手段と，
前記上位装置からの要求が，前記記憶媒体へのアクセス要求である場合に，そのアクセス要求を拒否する手段として
機能させるための情報保護用のファームウェア。
【請求項７】
請求項３に記載された情報保護方法を実現するための前記データ記憶装置が備えるプロセッサに実行させる前記第２のファームウェアであって，
前記プロセッサを，
前記不揮発性メモリにおけるファームウェアの書き換えを許可または不許可とするモードを管理し，該モードの初期値を不許可とする手段と，
不許可のモードでは，前記上位装置からのファームウェアの書き換え要求に対し，その要求を拒否する手段と，
前記上位装置からの前記モードの切り替え要求に対して，前記モードを不許可から許可に切り替える手段と，
許可のモードでは，前記上位装置からのファームウェアの書き換え要求に対し，その要求を許可し，ファームウェアの書き換えを実行する手段として
機能させるための情報保護用のファームウェア。
【請求項８】
請求項４に記載された情報保護方法を実現するための前記データ記憶装置が備えるプロセッサに実行させる前記第２のファームウェアであって，
前記プロセッサを，
前記上位装置からの要求がファームウェアの書き換え要求であり，かつ書き換え対象となる新たなファームウェアが，前記第２のファームウェアの書き換え禁止を解除するための第３のファームウェアである場合に，その書き換え要求を受け付け，前記不揮発性メモリに格納されている前記第２のファームウェアを，前記第３のファームウェアに書き換える手段と，
前記上位装置からの要求がファームウェアの書き換え要求であっても，書き換え対象となる新たなファームウェアが前記第３のファームウェア以外である場合に，その書き換え要求を拒否する手段と，
前記上位装置からの要求が前記記憶媒体へのアクセス要求である場合に，そのアクセス要求を拒否する手段として
機能させるための情報保護用のファームウェア。
【請求項９】
情報を記憶する記憶媒体と，書き換えが可能な不揮発性メモリと，揮発性メモリとを備え，不揮発性メモリに格納されたファームウェアを揮発性メモリ上で動作させることにより外部からの要求に対応するデータ記憶装置に接続されたコンピュータが実行するファームウェア書き換えプログラムであって，
前記コンピュータを，
前記データ記憶装置の前記不揮発性メモリに新たに書き込むファームウェアを保持する書き換え用ファームウェア保持手段と，
前記不揮発性メモリに格納されたファームウェアの書き換え指示を受け付ける指示受付手段と，
前記指示受付手段によりファームウェアの書き換え指示を受け付けた場合に，前記不揮発性メモリに格納されたファームウェアが，前記記憶媒体へのアクセス処理機能を持たない情報保護用のアクセス禁止ファームウェアであるか否かを判定するファームウェア種別判定手段と，
前記不揮発性メモリに格納されたファームウェアが，前記アクセス禁止ファームウェアである場合に，前記データ記憶装置に対するファームウェアの書き換え要求の発行を抑止し，前記アクセス禁止ファームウェアでない場合に，前記データ記憶装置に対するファームウェアの書き換え要求を発行するファームウェア書き換え処理手段として
機能させるためのファームウェア書き換えプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【公開番号】特開２００８−１４６３５２（Ｐ２００８−１４６３５２Ａ）
【公開日】平成２０年６月２６日（２００８．６．２６）
【国際特許分類】
【出願番号】特願２００６−３３２７７２（Ｐ２００６−３３２７７２）
【出願日】平成１８年１２月１１日（２００６．１２．１１）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２０年６月２６日（２００８．６．２６）
【国際特許分類】
【出願日】平成１８年１２月１１日（２００６．１２．１１）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]