記憶装置、制御方法、およびコンピュータプログラム
【課題】セキュリティをより一層向上させた記憶装置を提供すること。
【解決手段】情報処理装置２に接続可能な記憶装置１に、暗号化されたデータを記憶する不揮発性メモリ１２と、データを削除する時期を示す削除予定時刻を記憶する制御部１１の記憶部と、情報処理装置２に接続されているか否かに関わらず、現在時刻が削除予定時刻に達したときに、復号化に必要な暗号鍵を削除することによりデータへのアクセスを不可能とするキー／データ削除部１０７と、を設ける。
【解決手段】情報処理装置２に接続可能な記憶装置１に、暗号化されたデータを記憶する不揮発性メモリ１２と、データを削除する時期を示す削除予定時刻を記憶する制御部１１の記憶部と、情報処理装置２に接続されているか否かに関わらず、現在時刻が削除予定時刻に達したときに、復号化に必要な暗号鍵を削除することによりデータへのアクセスを不可能とするキー／データ削除部１０７と、を設ける。
【発明の詳細な説明】
【技術分野】
【０００１】
情報処理装置に接続可能な記憶装置などに関する。
【背景技術】
【０００２】
近年、ＵＳＢメモリをはじめとする可搬型の記憶装置が広く普及している。
【０００３】
ユーザは、そのような記憶装置をパーソナルコンピュータなどの情報処理装置に接続し、記憶装置にデータを書き込んだり、記憶装置からデータを読み出したりすることができる。
【０００４】
可搬型の記憶装置は、一般に、操作方法が単純で扱いやすく、コンパクトで持ち運びに適しているので、ある情報処理装置に記憶されたデータを持ち出して他の情報処理装置で使用したい場合などに便利である。
【０００５】
しかしながら、その扱いやすさおよびコンパクトさゆえ、ユーザは、しばしば、それを情報処理装置に差し込んだまま抜き忘れてしまったり、持ち運んでいる間に紛失してしまったりすることがある。また、盗難にあってしまうこともある。
【０００６】
そのような場合に、記憶装置に保存されたデータに含まれる機密性の高い情報などが、第三者に漏えいしてしまうおそれがある。すなわち、可搬型の記憶装置は、便利な反面、セキュリティ上の問題を有している。
【０００７】
そこで、記憶装置のセキュリティの向上を図るため、ＵＳＢメモリ等の携帯型記憶媒体に対して、通信機能を持たせることにより、遠隔から内部に記憶された情報の操作を可能とし、且つ通信が確立しない状態においても、時限的に内部情報を消去する、携帯型記憶媒体の管理システムが提案されている（特許文献１）。
【０００８】
また、記憶装置に記憶されたデータを削除する削除時期を特定し、削除時期が経過したか否かを判定し、外部装置が接続されていないことが検知され、かつ、削除時期を経過したと判定された場合に、データを記憶手段から削除する記憶装置が提案されている（特許文献２）。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００８−２６９２８５
【特許文献２】特開２００９−１９９２１６
【発明の概要】
【発明が解決しようとする課題】
【００１０】
特許文献１で提案されている記憶媒体の管理システム、および特許文献２で提案されている記憶装置では、ある程度セキュリティが確保されるもののいまだ不十分である。
【００１１】
すなわち、それらでは、ユーザが記憶装置を情報処理装置に差し込んだまま席を離れてしまった後に、第三者がその場で記憶装置に記憶されたデータを参照したり、記憶装置を抜き取って持ち去ったりした場合などには、セキュリティを確保できない。
【００１２】
本発明は、このような事情に鑑みてなされたものであり、セキュリティをより一層向上させた記憶装置を提供することを目的とする。
【課題を解決するための手段】
【００１３】
以下に述べる記憶装置は、情報処理装置に接続可能な記憶装置であって、データを記憶する第一の記憶手段と、前記データを削除する時期を示す削除予定時刻を記憶する第二の記憶手段と、前記情報処理装置に接続されているか否かに関わらず、現在時刻が前記削除予定時刻に達したときに、前記データへのアクセスを不可能とする第一のアクセス無効化手段と、を有する。
【発明の効果】
【００１４】
本発明によれば、セキュリティをより一層向上させた記憶装置を提供することができる。
【図面の簡単な説明】
【００１５】
【図１】記憶装置のハードウェア構成の例を示す図である。
【図２】記憶装置の機能的な構成の例を示す図である。
【図３】記憶装置の初期化の際に行われる処理の流れの例を示すシーケンス図である。
【図４】初期設定テーブルの例を示す図である。
【図５】削除タイミングリストの例を示す図である。
【図６】記憶装置にデータが保存される際の処理の流れの例を示すフローチャートである。
【図７】記憶装置が取り外された際に行われる処理の流れの例を示すフローチャートである。
【図８】図７のアラーム時刻決定処理の流れの例を示すフローチャートである。
【図９】記憶装置が取り外された後に行われる処理の流れの例を示すフローチャートである。
【図１０】記憶装置が再び接続された際に行われる処理の流れの例を示すフローチャートである。
【図１１】記憶装置が再び接続された際に行われる処理の流れの例を示すフローチャートである。
【図１２】記憶装置が再び接続された際に行われる処理の流れの例を示すフローチャートである。
【発明を実施するための形態】
【００１６】
まず、図１に示されるような、本実施形態に係る記憶装置１が有する機能を説明する。
【００１７】
記憶装置１は、持ち運びに適した可搬型（リムーバブル型）の記憶装置であり、内部に不揮発性メモリ１２を備えている。
【００１８】
利用者は、記憶装置１を自己が使用するパソコンなどの情報処理装置２に接続し、認証を受けた後、持ち出したいデータを記憶装置１に記憶させることができる。
【００１９】
記憶装置１に記憶されたデータは、情報漏えいを防止する観点から、様々なタイミングで読出しが不可能となる。具体的には、下記（１）〜（９）のタイミングで読出しが不可能となる。ただし、利用者またはその管理者は、下記（１）〜（９）のタイミングのうち有効にすべきタイミングを、記憶装置１の使用目的に応じて選択することができる。
（１）設定された日時に達した時
（２）記憶装置１が情報処理装置２から取り外されてから所定の時間が経過した時
（３）接続が許可されていない情報処理装置２に記憶装置１が接続された回数が所定の回数に達した時
（４）記憶装置１が情報処理装置２に接続された後、利用者の認証が成功しないまま記憶装置１が情報処理装置２から取り外された回数が所定の回数に達した時
（５）記憶装置１が情報処理装置２に接続された後、利用者の認証が成功しないまま所定の時間が経過した時
（６）記憶装置１が情報処理装置２に接続された後、利用者の認証に失敗した回数が所定の回数に達した時
（７）記憶装置１が情報処理装置２に接続され利用者の認証が成功した後、利用者による操作が行われないまま所定の時間が経過した時
（８）利用者より記憶装置１を情報処理装置２から取り外す意思が示された後、取り外されないまま所定の時間が経過した時
（９）二次電池の残量が所定の値を下回った時
記憶装置１に記憶されたデータは、上記（１）のタイミングで読出しが不可能となるので、記憶装置１の使用状況などに関わらず、設定された日時に達すれば確実に読出しが不可能となる。
【００２０】
記憶装置１に記憶されたデータは、上記（２）のタイミングで読出しが不可能となるので、所定の時間、記憶装置１が使用されなければ確実に読出しが不可能となる。
【００２１】
なお、上記（１）、（２）のタイミングは、原則として記憶装置１が情報処理装置２に単に接続されることによっては延長されないことが、従来の記憶装置と異なる点の１つである。
【００２２】
記憶装置１に記憶されたデータは、上記（３）〜（６）のタイミングで読出しが不可能となるので、第三者による不正な使用が疑われる場合などに読出しが不可能となる。
【００２３】
記憶装置１に記憶されたデータは、上記（７）、（８）のタイミングで読出しが不可能となるので、利用者が記憶装置１を情報処理装置２から抜き忘れたと考えられる場合などに読出しが不可能となる。
【００２４】
記憶装置１に記憶されたデータは、上記（９）のタイミングで読出しが不可能となるので、二次電池の残量が足りないために読出しを不可能とする動作を実行できなくなってしまうということがない。
【００２５】
このように、記憶装置１では、記憶されたデータは様々なタイミングで読出しが不可能となるので、情報漏えいを防止することができる。
【００２６】
以下、このような機能を有する記憶装置１の実施形態について、図面を用いて説明する。
〔記憶装置１の構成〕
図１は記憶装置１のハードウェア構成の例を示す図であり、図２は記憶装置１の機能的な構成の例を示す図である。
【００２７】
図１に示すように、記憶装置１は、コネクタ部１０、制御部１１、不揮発性メモリ１２、ハブ１３、切換えスイッチ１４ａ、１４ｂ、充電回路１５、二次電池１６、ＤＣ／ＤＣコンバータ１７、および計時部１８などを有している。
【００２８】
コネクタ部１０は、信号端子１０ａおよび電源端子１０ｂなどを有しており、記憶装置１と情報処理装置２とを物理的に接続する際の接点となる。コネクタ部１０の形状は、記憶装置１と情報処理装置２との接続に用いられるインタフェースに対応した形状となっている。インタフェースとして、例えば、ＵＳＢ（Universal Serial Bus）規格に準拠したシリアルインタフェースが用いられる。
【００２９】
コネクタ部１０が、情報処理装置２の側に設けられた対応するコネクタ部に差し込まれることで、記憶装置１と情報処理装置２とが電気的に接続される。そして、信号端子１０ａを介して、記憶装置１と情報処理装置２との間で各種のデータがやり取りされる。また、電源端子１０ｂを介して、情報処理装置２から記憶装置１へ電力が供給される。例えば、＋５Ｖの直流電圧の電力が供給される。電源端子１０ｂを介して供給された電力は、ＤＣ／ＤＣコンバータ１７を介して記憶装置１の各部に供給される。
【００３０】
制御部１１は、不揮発性のメモリからなる記憶部を内蔵したＣＰＵ（Central Processing Unit）であり、記憶部に格納されているプログラムおよびデータならびに情報処理装置２から入力される各種のデータなどに基づいて、記憶装置１の全体的な制御を行う。
【００３１】
制御部１１の記憶部には、図２に示すような各機能部を実現するためのプログラムが格納されている。
【００３２】
図２をも参照して、接続／非接続検知部１０１は、記憶装置１が情報処理装置２に接続されたこと、および記憶装置１が情報処理装置２から取り外されたことを検知する。検知は、電源端子１０ｂに電圧が加わっているか否か、または電源端子１０ｂに電流が流れているか否かなどを検出することにより行われる。
【００３３】
電力供給指示部１０２は、電源オン／オフ信号Ｓ０２をＤＣ／ＤＣコンバータ１７に出力する。電源オン／オフ信号Ｓ０２は、電源のオンまたはオフを指示するレベル信号である。
【００３４】
初期設定部１０３は、情報処理装置２から入力された情報などに基づいて記憶装置１の初期設定を行う。
【００３５】
機器／ユーザ認証部１０４は、記憶装置１が接続された情報処理装置２、および記憶装置１を使用する利用者を認証する。
【００３６】
アラーム設定部１０５は、アラーム時刻Ｓ０５を計時部１８に設定する。
【００３７】
削除判別部１０６は、不揮発性メモリ１２に記憶されたデータへのアクセスを不可能にするか否かを判別する。
【００３８】
キー／データ削除部１０７は、制御部１１の記憶部などに記憶された暗号鍵、または不揮発性メモリ１２に記憶されたデータを消去する。
【００３９】
制御部１１の記憶部には、そのほか、所定のインタフェースに則って情報処理装置２と通信を行うためのプログラムが格納されている。
【００４０】
これらのプログラムが制御部１１のＣＰＵによって適宜実行されることで、制御部１１による各種の制御が実現される。
【００４１】
不揮発性メモリ１２は、データの記憶領域、およびデータの書込みおよび読出しを制御するためのコントローラなどを有している。不揮発性メモリ１２の記憶領域に記憶されたデータは、不揮発性メモリ１２に電力が供給されていない状態でも保持される。不揮発性メモリ１２として、例えば、フラッシュメモリなどの半導体メモリが用いられる。
【００４２】
信号端子１０ａと制御部１１および不揮発性メモリ１２との間には、制御部１１および不揮発性メモリ１２の側に２つのポートを有するハブ１３が設けられている。また、ハブ１３と制御部１１および不揮発性メモリ１２との間、つまりハブ１３の後段には、切換えスイッチ１４ａ、１４ｂが設けられている。このような構成により、制御部１１および不揮発性メモリ１２をそれぞれ情報処理装置２に接続することも、制御部１１および不揮発性メモリ１２を互いに接続することも可能となっている。
【００４３】
充電回路１５は、記憶装置１が情報処理装置２に接続されているときに、電源端子１０ｂを介して供給される電力を二次電池１６に充電するための回路である。
【００４４】
二次電池１６は、記憶装置１が情報処理装置２に接続されている間、時間の経過とともに充電され、記憶装置１が情報処理装置２に接続されていないときに、記憶装置１の各部に電力を供給するための電源となる。二次電池１６として、例えば、大容量キャパシタが用いられる。
【００４５】
ＤＣ／ＤＣコンバータ１７は、制御部１１または計時部１８からの指示に応じて、制御部１１、不揮発性メモリ１２、およびハブ１３などの記憶装置１の各部に電力を分配する。その際、記憶装置１の各部の動作に適した電圧に変換する。例えば、＋３．３Ｖの直流電圧に変換する。記憶装置１が情報処理装置２に接続されているときは、電源端子１０ｂを介して供給される電力を分配する。記憶装置１が情報処理装置２に接続されていないときは、制御部１１から出力される電源オン／オフ信号Ｓ０２において電源のオンが指示されている間、二次電池１６から供給される電力を分配する。
【００４６】
計時部１８は、常時、電力の供給を受けて現在時刻（現在日時）を計時し続けるためのＩＣ（Integrated Circuit）であり、ＲＴＣ（Real Time Clock）と呼ばれることもある。計時部１８は、記憶装置１が情報処理装置２に接続されていないときは、二次電池１６から電力の供給を受ける。計時部１８で計時されている現在時刻は、記憶装置１が情報処理装置２に接続されたときに、情報処理装置２において計時されている現在時刻に適宜補正される。
【００４７】
計時部１８には、アラーム時刻Ｓ０５を設定することが可能となっており、計時部１８は、現在時刻がアラーム時刻Ｓ０５に達すると、図２に示すように、電源オン信号Ｓ１８をＤＣ／ＤＣコンバータ１７に出力するようになっている。
〔初期化の際に行われる処理〕
次に、記憶装置１の初期化について説明する。
【００４８】
記憶装置１の初期化は、初期化を行う作業者が情報処理装置２を用いて行う。作業者は、記憶装置１の利用者自身またはその管理者である。
【００４９】
具体的には、作業者には、記憶装置１を初期化するための、情報処理装置２のＯＳ（Operating System）に対応の初期化用プログラムが格納されたＣＤ−ＲＯＭが配布される。初期化用プログラムには、ドライバ、初期設定用アプリケーション、および操作用アプリケーションなどが含まれている。初期設定用アプリケーションは、記憶装置１の初期化の際に必要となるプログラムである。操作用アプリケーションは、初期化済みの記憶装置１を使用する際に必要となるプログラムである。
【００５０】
作業者は、初期化用プログラムを情報処理装置２にインストールする。そして、記憶装置１を情報処理装置２に接続し、初期設定用アプリケーションを情報処理装置２において起動する。
【００５１】
記憶装置１が情報処理装置２に接続されると、ＤＣ／ＤＣコンバータ１７を介して記憶装置１の各部に電源端子１０ｂからの電力が供給される。
【００５２】
一方、初期設定用アプリケーションは、作業者を誘導するための画面を情報処理装置２の表示装置に表示する。作業者はその画面の内容に従って必要な事項を入力して記憶装置１の初期化を行う。
【００５３】
図３は記憶装置１の初期化の際に行われる処理の流れの例を示すシーケンス図であり、図４は初期設定テーブルＦＴの例を示す図である。
【００５４】
以下、記憶装置１の初期化の際に行われる処理について、図３を用いて説明する。ただし、以下に説明する処理が実行される順序は、必ずしも図３に示される順序の通りでなくてもよい。
【００５５】
初期設定用アプリケーションは、制御部１１に対して記憶内容をリセットするよう要求する（＃３０１）。そして、制御部１１における記憶内容は、工場出荷時の状態に戻される。
【００５６】
次に、初期設定用アプリケーションは、記憶装置１を使用する際の運用上の設定（ポリシー設定）を行う上で必要な事項を入力するよう作業者に促し、入力された内容を制御部１１に送信する（＃３０２〜＃３０４）。制御部１１の初期設定部１０３は、受信した内容を図４に示すような初期設定テーブルＦＴに設定する。初期設定テーブルＦＴは、制御部１１の記憶部に保存される。
【００５７】
具体的には、初期設定用アプリケーションは、管理者パスワードおよび利用者パスワードを入力するよう作業者に促し、入力された両パスワードを制御部１１に送信する（＃３０２）。制御部１１の初期設定部１０３は、受信した両パスワードを初期設定テーブルＦＴの管理者パスワードＦＴ１および利用者パスワードＦＴ２にそれぞれ設定する。
【００５８】
また、初期設定用アプリケーションは、記憶装置１の接続を許可する情報処理装置２を特定するための情報である固有ＩＤを入力するよう促し、入力された固有ＩＤを制御部１１に送信する（＃３０３）。ここで、作業者は、記憶装置１を接続して使用することを予定している情報処理装置２の固有ＩＤを入力する。なお、初期化に用いた情報処理装置２の固有ＩＤは、自動的に送信されるようにしてもよい。固有ＩＤとして、例えば、ＭＡＣアドレス（Media Access Control address）が用いられる。制御部１１の初期設定部１０３は、受信した固有ＩＤを初期設定テーブルＦＴの接続許可機器リストＦＴ３に登録する。
【００５９】
また、初期設定用アプリケーションは、記憶装置１に記憶されたデータを読出し不可能とするタイミングを示す削除設定情報を、指定または選択するなどの方法により入力するよう作業者に促し、入力された削除設定情報を制御部１１に送信する（＃３０４）。制御部１１の初期設定部１０３は、受信した削除設定情報を初期設定テーブルＦＴの削除タイミングリストＦＴ４の各削除タイミング情報ＤＴに設定する。削除タイミングリストＦＴ４の詳細については後述する。
【００６０】
また、初期設定用アプリケーションは、初期化用プログラムの一部としてインストールされた操作用アプリケーションをＣＤ−ＲＯＭのフォーマットに変換したファイルであるＣＤ−ＲＯＭイメージを作成し、作成したＣＤ−ＲＯＭイメージを不揮発性メモリ１２の所定の記憶領域に格納する（＃３０５）。ＣＤ−ＲＯＭイメージが格納された記憶領域は、情報処理装置２のＯＳにおいて仮想的にＣＤ−ＲＯＭドライブとして認識される。利用者は、ＣＤ−ＲＯＭに格納されたプログラムを利用する要領で操作用アプリケーションを利用することができる。
【００６１】
また、初期設定用アプリケーションは、情報処理装置２のＯＳに対応したファイルシステムに則って、不揮発性メモリ１２の所定の記憶領域をリムーバブルディスクとしてフォーマットする（＃３０６）。さらに、暗号化されたデータを格納するための暗号化領域をフォーマット済みの記憶領域に作成する（＃３０７）。暗号化領域は、対応する暗号鍵が適用されることにより、情報処理装置２のＯＳにおいてディスクドライブとして認識される。利用者は、認証を受ければ、通常のファイル操作の要領で、暗号化領域にファイルを保存したり保存したファイルを開いたりすることができる。
【００６２】
また、初期設定用アプリケーションは、暗号化領域へのアクセスに用いられる暗号鍵を生成し、生成した暗号鍵を制御部１１に送信する（＃３０８）。制御部１１の初期設定部１０３は、受信した暗号鍵を初期設定テーブルＦＴの暗号鍵ＦＴ５に設定する。
【００６３】
また、初期設定用アプリケーションは、情報処理装置２において計時されている現在時刻を取得し、取得した現在時刻を制御部１１に送信する（＃３０９）。制御部１１の初期設定部１０３は、受信した現在時刻を計時部１８に設定する。
【００６４】
以上のようにして、記憶装置１が初期化され、初期化済みの制御部１１の記憶部には、図４に示すような初期設定テーブルＦＴが保存される。
【００６５】
以下、初期設定テーブルＦＴの削除タイミングリストＦＴ４の詳細について説明する。
【００６６】
図５は削除タイミングリストＦＴ４の例を示す図である。
【００６７】
削除タイミングリストＦＴ４には、不揮発性メモリ１２に記憶されたデータの読出しを不可能とするタイミングを示す各種の削除タイミング情報ＤＴが登録される。各削除タイミング情報ＤＴの値は、あらかじめ定められた値が設定されることもあるし、作業者によって入力された削除設定情報に基づいて設定されることもある。作業者によって入力される削除設定情報に示される値は、初期設定用アプリケーションから提供されるデフォルトの値であってもよい。
【００６８】
データ保持期限ＤＴ１は、データを保持しておく絶対的な期限を示す情報であり、本例では「２０１０年７月４日２４時００分００秒」に設定されている。
【００６９】
データ保持期間ＤＴ２は、記憶装置１が情報処理装置２から取り外された時を起点としてデータを保持しておく期間を示す情報であり、本例では「２４時間」に設定されている。
【００７０】
未登録機器接続回数ＤＴ３は、接続が許可されていない情報処理装置２に記憶装置１が接続された回数が累積して何回目に達した時にデータを削除するかを示す情報であり、本例では「３回」に設定されている。
【００７１】
未認証取外し回数ＤＴ４は、利用者の認証が成功しない状態において記憶装置１が情報処理装置２から取り外された回数が累積して何回目に達した時にデータを削除するかを示す情報であり、本例では「３回」に設定されている。
【００７２】
未認証時間ＤＴ５は、記憶装置１が情報処理装置２に接続されてから利用者の認証が成功しない状態が続いた場合に、データを保持しておく時間を示す情報であり、本例では「１０分」に設定されている。
【００７３】
認証失敗回数ＤＴ６は、利用者の認証に失敗した回数が累積して何回目に達した時にデータを削除するかを示す情報であり、本例では「５回」に設定されている。
【００７４】
未操作時間ＤＴ７は、利用者の認証が成功してから利用者による操作が行われない状態が続いた場合に、データを保持しておく時間を示す情報であり、本例では「１５分」に設定されている。
【００７５】
取外し時間ＤＴ８は、記憶装置１と情報処理装置２との論理的な接続が解除されてから物理的な接続が切断されない状態が続いた場合に、データを保持しておく時間を示す情報であり、本例では「５分」に設定されている。
【００７６】
電池下限電圧ＤＴ９は、二次電池１６に充電された電圧がどれだけ低下するまでデータを保持しておくかの下限電圧を示す情報であり、本例では「３Ｖ」に設定されている。
【００７７】
電池下限電圧ＤＴ９には、あらかじめ定められた値が設定され、作業者はその設定内容を変更できないようになっていることが好ましい。なお、電池下限電圧ＤＴ９は、ＤＣ／ＤＣコンバータ１７が動作可能な下限電圧、記憶装置１の各部における消費電力、および後述する電力監視周期などに基づいて設定される。
【００７８】
データの読出しを不可能とするタイミングとして各削除タイミング情報ＤＴ（ＤＴ１〜ＤＴ９）を適用するか否かは、あらかじめ設定されているか、作業者が選択できるようになっている。図５の例において、適用する削除タイミング情報ＤＴには「有効」が設定され、適用しない削除タイミング情報ＤＴには「無効」が設定されている。ここで、複数の削除タイミング情報ＤＴの適用の有無が互いに連動するようになっていてもよい。例えば、データ保持期限ＤＴ１が適用される場合は、データ保持期間ＤＴ２が適用されないようになっていてもよい。なお、電池下限電圧ＤＴ９は、常に適用されることが好ましい。
【００７９】
また、利用者またはその管理者は、記憶装置１の初期化の後も、利用者パスワード、管理者パスワード、またはその両方による認証を受ければ、データ保持期限ＤＴ１、データ保持期間ＤＴ２をはじめとする各削除タイミング情報ＤＴの設定内容を適宜変更することができるようになっている。
【００８０】
以下、データ保持期限ＤＴ１およびデータ保持期間ＤＴ２についてはいずれか一方のみが適用され、そのほかの各削除タイミング情報ＤＴについてはすべてが適用されることを前提に説明する。そのため、以下の説明において、各削除タイミング情報ＤＴが関係する処理にあっては、その削除タイミング情報ＤＴを適用しない場合は行う必要がない。
〔データの保存の際に行われる処理〕
図６は、記憶装置１にデータが保存される際に行われる処理の流れの例を示すフローチャートである。
【００８１】
以下、記憶装置１にデータが保存される際に行われる処理について、図６を用いて説明する。
【００８２】
利用者は、初期化済みの記憶装置１を情報処理装置２に接続し、記憶装置１の不揮発性メモリ１２に格納されている操作用アプリケーションを情報処理装置２において起動する。なお、操作用アプリケーションは、情報処理装置２のＯＳの機能によって記憶装置１を接続すれば自動的に起動されるようになっていてもよい。
【００８３】
記憶装置１が情報処理装置２に接続されると、記憶装置１の各部に電源端子１０ｂからの電力が供給され、制御部１１が起動する（＃４０１）。これより先、制御部１１の電力供給指示部１０２は、記憶装置１を待機状態に移行させる（図７の＃５０８）までの間、ＤＣ／ＤＣコンバータ１７に出力する電源オン／オフ信号Ｓ０２において電源のオンを指示する。
【００８４】
制御部１１の機器／ユーザ認証部１０４は、記憶装置１が接続された情報処理装置２からその固有ＩＤを取得し、取得した固有ＩＤと初期設定テーブルＦＴの接続許可機器リストＦＴ３に登録されている固有ＩＤとを照合する（＃４０２）。照合の結果、取得した固有ＩＤが接続許可機器リストＦＴ３に登録されている固有ＩＤでないことが判明した場合は（＃４０２でＮｏ）、機器認証が失敗した旨を操作用アプリケーションに通知する（＃４０３）。他方、登録されている固有ＩＤであることが判明した場合は（＃４０２でＹｅｓ）、機器認証が成功した旨を操作用アプリケーションに通知する（＃４０４）。
【００８５】
操作用アプリケーションは、機器認証が成功した旨の通知を受け取ると、利用者に利用者パスワードを入力するよう促すためのダイアログボックスなどの画面を情報処理装置２の表示装置に表示し、入力された利用者パスワードを制御部１１に送信する。
【００８６】
他方、操作用アプリケーションは、機器認証が失敗した旨の通知を受け取ると、利用者に情報処理装置２は記憶装置１を接続することが認められていない装置であることを知らせるための画面を情報処理装置２の表示装置に表示する。
【００８７】
制御部１１の機器／ユーザ認証部１０４は、利用者パスワードを受信すると、受信した利用者パスワードと初期設定テーブルＦＴの利用者パスワードＦＴ２に設定されているパスワードとを照合する（＃４０５）。照合の結果、両者が一致しなかった場合は（＃４０５でＮｏ）、ユーザ認証が失敗した旨を操作用アプリケーションに通知し（＃４０６）、利用者パスワードを再び受信するまで待機する。他方、両者が一致した場合は（＃４０５でＹｅｓ）、操作用アプリケーションに、ユーザ認証が成功した旨を通知する（＃４０７）。また、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵を送信する（＃４０８）。
【００８８】
操作用アプリケーションは、暗号鍵を受信すると、受信した暗号鍵を不揮発性メモリ１２の暗号化領域を管理する暗号化ファイルシステムに引き渡す。これにより、不揮発性メモリ１２の暗号化領域が情報処理装置２のＯＳにおいてディスクドライブとして認識されるようになる。利用者は、通常のファイル操作の要領で、情報処理装置２の記憶装置などに記憶されているファイルのうち持ち出したいファイルを暗号化領域にコピーする選択を行えばよい。利用者によって選択されたファイルは、暗号鍵によって暗号化された状態で暗号化領域に保存される。
【００８９】
他方、操作用アプリケーションは、ユーザ認証が失敗した旨の通知を受け取ると、利用者に、入力されたパスワードが誤りであることを知らせるための画面、および正しいパスワードを再入力するよう促すための画面を情報処理装置２の表示装置に表示する。
【００９０】
なお、制御部１１の機器／ユーザ認証部１０４は、機器認証（＃４０２）またはユーザ認証（＃４０５）のいずれか一方のみしか行わなくてもよい。
〔取外しの際に行われる処理〕
図７は記憶装置１が情報処理装置２から取り外された際に行われる処理の流れの例を示すフローチャート、図８は図７のアラーム時刻決定処理（＃５０５）の例を示すフローチャートである。
【００９１】
以下、記憶装置１が情報処理装置２から取り外された際に行われる処理について、図７および図８を用いて説明する。
【００９２】
利用者は、データを記憶装置１に保存し終えると、操作用アプリケーションなどを介して、記憶装置１を情報処理装置２から取り外す旨の選択を行う。すなわち、記憶装置１を情報処理装置２のＯＳから論理的に取り外す選択を行う。利用者は、その後に、記憶装置１を情報処理装置２から物理的に取り外す。
【００９３】
操作用アプリケーションは、利用者によって取外しが選択されると、取外しが選択された旨を制御部１１に送信する。この時点で、記憶装置１は、情報処理装置２に物理的には接続されているが、論理的には接続が解除された状態である。すなわち、通信が切断された状態であり、獲得した認証も解除された状態である。
【００９４】
制御部１１の削除判別部１０６は、取外しが選択された旨を受信すると（＃５０１）、その時点から削除タイミングリストＦＴ４の取外し時間ＤＴ８に設定されている時間が経過するまでに記憶装置１が情報処理装置２から物理的に取り外されるか否かを監視する（＃５０２）。時間内に接続／非接続検知部１０１によって取外しが検知されなかった場合は（＃５０２でＮｏ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃５０３）。なお、暗号鍵が消去された後は、不揮発性メモリ１２の暗号化領域に記憶されたデータにアクセスすることは不可能となる。他方、時間内に取外しが検知された場合は（＃５０２でＹｅｓ）、以降のステップ（＃５０４〜＃５０８）に進む。なお、以降のステップに係る処理は、二次電池１６から供給される電力によって制御部１１のＣＰＵが動作することにより行われる。
【００９５】
アラーム設定部１０５は、計時部１８で計時されている現在時刻を取得する（＃５０４）。そして、次のようにしてアラーム時刻Ｓ０５を決定する（＃５０５）。
【００９６】
すなわち、図８に示すように、アラーム設定部１０５は、初期設定テーブルＦＴを参照し、削除タイミングリストＦＴ４のデータ保持期限ＤＴ１が有効（データ保持期間ＤＴ２が無効）に設定されている場合は（＃６０１でＹｅｓ）、削除タイミングリストＦＴ４のデータ保持期限ＤＴ１に設定されている期限をデータ削除予定時刻として取得する（＃６０２）。そして、データ削除予定時刻から現時時刻を引いた値をデータ保持予定時間として算出する（＃６０３）。
【００９７】
他方、データ保持期限ＤＴ１が無効（データ保持期間ＤＴ２が有効）に設定されている場合は（＃６０１でＮｏ）、削除タイミングリストＦＴ４のデータ保持期間ＤＴ２に設定されている期間をデータ保持予定時間として取得する（＃６０４）。そして、現在時刻にデータ保持予定時間を足した値をデータ削除予定時刻として算出する（＃６０５）。
【００９８】
次に、＃６０３で算出しまたは＃６０４で取得したデータ保持予定時間と電力監視周期とを比較する（＃６０６）。ここで、電力監視周期とは、記憶装置１の各部に二次電池１６からの電力が供給されている場合に、二次電池１６の充電における残りの電圧を監視する周期（時間間隔）である。電力監視周期は、制御部１１の記憶部にあらかじめ登録されている。
【００９９】
データ保持予定時間が電力監視周期以下であれば（＃６０６でＹｅｓ）、＃６０２で取得しまたは＃６０５で算出したデータ削除予定時刻をアラーム時刻Ｓ０５に決定する（＃６０７）。他方、データ保持予定時間が電力監視周期よりも大きければ（＃６０６でＮｏ）、現在時刻に電力監視周期を足した値をアラーム時刻Ｓ０５に決定する（＃６０８）。
【０１００】
アラーム設定部１０５は、このようにして決定したアラーム時刻Ｓ０５を計時部１８に設定する（＃５０６）。また、＃６０２で取得しまたは＃６０５で算出したデータ削除予定時刻を制御部１１の記憶部に登録する（＃５０７）。
【０１０１】
なお、＃５０７において、データ削除予定時刻を登録するのではなく、＃５０４で取得した現在時刻を、データを保持する期間の起点となる起点時刻として登録してもよい。または、データ削除予定時刻を登録するとともに、起点時刻も登録してもよい。この場合に、削除タイミングリストＦＴ４のデータ保持期限ＤＴ１が有効に設定されている場合は、＃６０３で算出したデータ保持予定時間もあわせて登録しておく。また、利用者またはその管理者によって所定の操作が行われた際に、起点時刻の値を変更するようにしてもよい。例えば、記憶装置１が情報処理装置２に接続され、所定の認証が成功した後に、利用者またはその管理者によって起点時刻の変更を指示する操作がなされた際に、起点時刻の値を指定された時刻に変更してもよいし、利用者またはその管理者によって削除タイミングリストＦＴ４のデータ保持期間ＤＴ２の設定の変更を指示する操作がなされた際に、起点時刻の値を自動的にその時点の現在時刻に変更してもよい。これらの点は、後述する図９の＃７０９においても同様である。
【０１０２】
アラーム設定部１０５によってアラーム時刻Ｓ０５の設定およびデータ削除予定時刻の登録がなされると、電力供給指示部１０２は、ＤＣ／ＤＣコンバータ１７に出力する電源オン／オフ信号Ｓ０２において電源のオフを指示する。その結果、記憶装置１の計時部１８を除く各部には電力が供給されなくなり、記憶装置１は待機状態に移行する（＃５０８）。ただし、計時部１８は、その後も、二次電池１６から供給される電力によって現在時刻の計時を継続する。
〔取外しの後に行われる処理〕
図９は、記憶装置１が情報処理装置２から取り外された後に行われる処理の流れの例を示すフローチャートである。
【０１０３】
以下、記憶装置１が情報処理装置２から取り外された後に行われる処理について、図９を用いて説明する。
【０１０４】
計時部１８は、計時している現在時刻が、設定されたアラーム時刻Ｓ０５に達すると、ＤＣ／ＤＣコンバータ１７に電源オン信号Ｓ１８を出力する。その結果、ＤＣ／ＤＣコンバータ１７を介して記憶装置１の各部に二次電池１６からの電力が供給され、制御部１１が起動する（＃７０１）。これより先、制御部１１の電力供給指示部１０２は、記憶装置１を再び待機状態に移行させる（＃７１０）までの間、ＤＣ／ＤＣコンバータ１７に電源のオンを指示する。その間、次のような処理が行われる。
【０１０５】
制御部１１の削除判別部１０６は、計時部１８で計時されている現在時刻を取得する（＃７０２）。また、二次電池１６の充電における残りの電圧を示す充電電圧Ｓ１６を二次電池１６から取得する（＃７０３）。
【０１０６】
次に、削除判別部１０６は、取得した現在時刻と記憶装置１の取外しの際に登録しておいたデータ削除予定時刻とを比較する（＃７０４）。現在時刻がデータ削除予定時刻に達している場合は（＃７０４でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃７０５）。
【０１０７】
なお、記憶装置１の取外しの際に起点時刻を登録しておいた場合は、＃７０４において、削除タイミングリストＦＴ４のデータ保持期間ＤＴ２に設定されている時間または登録しておいたデータ保持予定時間を起点時刻に足すことにより、データ削除予定時刻をその都度算出してもよい。後述する図１２の＃９０６においても同様である。
【０１０８】
他方、現在時刻がデータ削除予定時刻に達していない場合は（＃７０４でＮｏ）、取得した充電電圧Ｓ１６と削除タイミングリストＦＴ４の電池下限電圧ＤＴ９に設定されている下限電圧とを比較する（＃７０６）。充電電圧Ｓ１６が下限電圧より小さい場合は（＃７０６でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃７０５）。ここで、暗号鍵を消去する理由は、データ削除予定時刻を迎える頃には二次電池１６が制御部１１のＣＰＵを動作させるのに必要な電力を供給できなくなることにより、暗号鍵を消去できなくなることを回避するためである。
【０１０９】
他方、充電電圧Ｓ１６が下限電圧以上である場合は（＃７０６でＮｏ）、図７に示した＃５０５〜＃５０８と同様の処理を行う。すなわち、アラーム時刻Ｓ０５を決定し（＃７０７）、決定したアラーム時刻Ｓ０５を計時部１８に設定する（＃７０８）。また、データ削除予定時刻を制御部１１の記憶部に登録する（＃７０９）。そして、電力供給指示部１０２によってＤＣ／ＤＣコンバータ１７に電源のオフが指示されることにより、記憶装置１は、再び待機状態に移行し（＃７１０）、次のアラーム時刻Ｓ０５に達するまで待機する。
〔再接続の際に行われる処理〕
図１０〜１２は、データが保存された記憶装置１が再び情報処理装置２に接続された際に行われる処理の流れの例を示すフローチャートである。
【０１１０】
以下、データが保存された記憶装置１が再び情報処理装置２に接続された際に行われる処理について、図１０〜１２を用いて説明する。
【０１１１】
利用者は、データを保存した記憶装置１を情報処理装置２に接続し、記憶装置１の不揮発性メモリ１２に格納されている操作用アプリケーションを情報処理装置２において起動する。
【０１１２】
記憶装置１が情報処理装置２に接続されると、記憶装置１の各部に電源端子１０ｂからの電力が供給され、制御部１１が起動する（＃８０１）
制御部１１の機器／ユーザ認証部１０４は、機器認証が失敗した回数を計数するための機器認証失敗カウンタ、およびユーザ認証が失敗した回数を計数するためのユーザ認証失敗カウンタを用意する。また、制御部１１の削除判別部１０６は、ユーザ認証を受けずに記憶装置１が取り外された回数を計数するための未認証取外しカウンタを用意する。
【０１１３】
これらのカウンタは、制御部１１の記憶部に保存される。よって、記憶装置１の取外しを挟んでも、それらのカウンタに示される回数はリセットされない。
【０１１４】
機器／ユーザ認証部１０４は、図６に示した＃４０２と同様の方法により機器認証を行う（＃８０２）。機器認証が失敗した場合は（＃８０２でＮｏ）、機器認証が失敗した旨を操作用アプリケーションに通知するとともに（＃８０３）、機器認証失敗カウンタをカウントアップする（＃８０４）。そして、削除判別部１０６は、カウントアップ後の機器認証失敗カウンタに示される回数が削除タイミングリストＦＴ４の未登録機器接続回数ＤＴ３に設定されている回数に達している場合は（＃８０５でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８０６）。他方、未登録機器接続回数ＤＴ３に設定されている回数に達していない場合は（＃８０５でＮｏ）、暗号鍵を消去しない。
【０１１５】
機器／ユーザ認証部１０４は、機器認証が成功した場合は（＃８０２でＹｅｓ）、機器認証が成功した旨を操作用アプリケーションに通知するとともに（＃８０７）、機器認証失敗カウンタをクリアする（＃８０８）。
【０１１６】
また、削除判別部１０６は、ユーザ認証が成功（＃８１５でＹｅｓ）していない状態で記憶装置１が情報処理装置２から物理的に取り外されたことが接続／非接続検知部１０１によって検知された場合は（＃８０９でＹｅｓ）、未認証取外しカウンタをカウントアップする（＃８１０）。そして、カウントアップ後の未認証取外しカウンタに示される回数が削除タイミングリストＦＴ４の未認証取外し回数ＤＴ４に設定されている回数に達している場合は（＃８１１でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８１２）。他方、未認証取外し回数ＤＴ４に設定されている回数に達していない場合は（＃８１１でＮｏ）、暗号鍵を消去しない。なお、＃８１０〜＃８１２のステップに係る処理は、二次電池１６から供給される電力によって制御部１１のＣＰＵが動作することにより行われる。
【０１１７】
また、削除判別部１０６は、＃８０１で接続が検知された時点からユーザ認証が成功（＃８１５でＹｅｓ）していない状態で削除タイミングリストＦＴ４の未認証時間ＤＴ５に設定されている時間が経過した場合は（＃８１３でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８１４）。
【０１１８】
機器／ユーザ認証部１０４は、操作用アプリケーションから利用者パスワードを受信し、図６に示した＃４０５と同様の方法によりユーザ認証を行う（＃８１５）。ユーザ認証が失敗した場合は（＃８１５でＮｏ）、ユーザ認証が失敗した旨を操作用アプリケーションに通知するとともに（＃８１６）、ユーザ認証失敗カウンタをカウントアップする（＃８１７）。そして、削除判別部１０６は、カウントアップ後のユーザ認証失敗カウンタに示される回数が削除タイミングリストＦＴ４の認証失敗回数ＤＴ６に設定されている回数に達している場合は（＃８１８でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８１９）。他方、認証失敗回数ＤＴ６に設定されている回数に達していない場合は（＃８１８でＮｏ）、暗号鍵を消去せずに、利用者パスワードを再び受信するまで待機する。
【０１１９】
機器／ユーザ認証部１０４は、ユーザ認証が成功した場合は（＃８１５でＹｅｓ）、ユーザ認証が成功した旨を操作用アプリケーションに通知するとともに（＃８２０）、ユーザ認証失敗カウンタおよび未認証取外しカウンタをクリアする（＃８２１、＃８２２）。また、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵を送信する（＃８２３）。
【０１２０】
操作用アプリケーションが暗号鍵を受信すると、不揮発性メモリ１２の暗号化領域が情報処理装置２のＯＳにおいてディスクドライブとして認識されるようになる。利用者は、通常のファイル操作の要領で、不揮発性メモリ１２に保存したファイルを読み出したり、削除したり、新たなファイルを保存したりすることができる。
【０１２１】
また、削除判別部１０６は、操作用アプリケーションにおいてユーザによる操作が行われるたびにそれを検知し、ユーザによる操作が前回行われた時点から削除タイミングリストＦＴ４の未操作時間ＤＴ７に設定されている時間が経過するまでにユーザによる操作が行われるか否かを監視する（＃８２４）。時間内にユーザによる操作が行われなかった場合は（＃８２４でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８２５）。
【０１２２】
また、削除判別部１０６は、図７に示した＃５０１〜５０３と同様の処理を行う。すなわち、操作用アプリケーションから記憶装置１の取外しが選択された旨を受信すると（＃８２６）、その時点から削除タイミングリストＦＴ４の取外し時間ＤＴ８に設定されている時間が経過するまでに記憶装置１が情報処理装置２から物理的に取り外されるか否かを監視する（＃８２７）。時間内に取外しが検知されなかった場合は（＃８２７でＮｏ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８２８）。
【０１２３】
記憶装置１が情報処理装置２に再接続されている間、以上のような処理が行われるが、制御部１１の削除判別部１０６は、それと並行して図１２に示すような処理を行う。
【０１２４】
すなわち、削除判別部１０６は、計時部１８で計時されている現在時刻を取得する（＃９０１）。そして、登録されているデータ削除予定時刻から現在時刻を引いた値を残り時間として算出し（＃９０２）、算出した残り時間を操作用アプリケーションに送信する（＃９０３）。また、残り時間が初めて所定の時間を切った場合に（＃９０４でＹｅｓ）、データの削除時期が近づいている旨を操作用アプリケーションに通知する（＃９０５）。
【０１２５】
操作用アプリケーションは、利用者に残り時間を知らせるための画面を情報処理装置２の表示装置に表示し、残り時間を受信するたびに表示している残り時間を更新する。また、データの削除時期が近づいている旨の通知を受け取ると、利用者にその旨を知らせるためのポップアップなどの画面を情報処理装置２の表示装置に表示する。このような画面を表示する理由は、利用者が記憶装置１を使用している最中に不揮発性メモリ１２に保存したデータが不意に消去されてしまうことがないようにするためである。
【０１２６】
なお、残り時間の送信は、図１１の＃８１５でユーザ認証が成功した際に一度だけ行われるようにしてもよい。
【０１２７】
また、記憶装置１の側で残り時間を算出して送信するのではなく、操作用アプリケーションの側で残り時間を算出してもよい。例えば、起点時刻が登録されている場合に、削除判別部１０６は、削除タイミングリストＦＴ４のデータ保持期間ＤＴ２などに設定されている、データの保持時間と、現在時刻から起点時刻を引いた値である経過時間とを操作用アプリケーションに送信する。そして、操作用アプリケーションは、データの保持時間から経過時間を引いた値を残り時間として算出するとよい。
【０１２８】
削除判別部１０６は、残り時間がなくなるまで、つまり、現在時刻がデータ削除予定時刻に達するまでの間（＃９０６でＮｏ）、一定時間ごとに＃９０１〜＃９０５のステップに係る処理を行う。現在時刻がデータ削除予定時刻に達すると（＃９０６でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃９０７）。
【０１２９】
このように、記憶装置１が情報処理装置２に接続されている状態であっても、現在時刻がデータ削除予定時刻に達すれば暗号鍵が消去され、その後は不揮発性メモリ１２に記憶されたデータを復号化することは不可能となる。
【０１３０】
ただし、記憶装置１が接続された情報処理装置２が特別な情報処理装置２である場合には、登録されているデータ削除予定時刻をいったん無効にするなどして、接続中は暗号鍵の消去が行われないようにしてもよい。
【０１３１】
具体的には、機器／ユーザ認証部１０４は、機器認証（＃８０２）において、取得した固有ＩＤがユーザによって特別に指定された情報処理装置２の固有ＩＤであるか否かをも判別する。そして、そのような固有ＩＤである場合は、ユーザ認証が成功（＃８１５でＹｅｓ）した時点などにおいて、アラーム設定部１０５は、登録されているデータ削除予定時刻を消去する。また、計時部１８に設定したアラーム時刻Ｓ０５も解除する。削除判別部１０６は、データ削除予定時刻が消去されているので、図１２に示した処理を行わない。つまり、データ削除予定時刻の到達に基づく暗号鍵の消去が抑止される。
【０１３２】
特に、削除タイミングリストＦＴ４のデータ保持期間ＤＴ２が有効（データ保持期限ＤＴ１が無効）に設定されている場合に、そのようにすると効果的である。
【０１３３】
例えば、利用者またはその管理者は、記憶装置１の初期化の際に、記憶装置１の接続を許可する情報処理装置２の中でも、日常使用する情報処理装置２の固有ＩＤなどを特別な固有ＩＤとして指定しておく。また、日常使用する情報処理装置２を使用しない可能性のある最大時間をデータ保持期間ＤＴ２に設定する。そうすることで、データ保持期間ＤＴ２に設定した最大時間を空けずに、日常使用する情報処理装置２に記憶装置１を接続して使用している限り、記憶装置１に保存したデータへアクセスすることができる。
【０１３４】
以上に説明したように、記憶装置１では、記憶されたデータが様々なタイミングで読出しが不可能となるので、情報漏えいを防止することができる。
【０１３５】
特に、図９の＃７０５および図１２の＃９０７に示したように、記憶装置１が情報処理装置２に接続されていようがいまいが、データ保持期限ＤＴ１またはデータ保持期間ＤＴ２の設定に基づいて算出されるデータ削除予定時刻に現在時刻が達すれば、暗号鍵が消去され、その後に記憶装置１に記憶されたデータにアクセスすることはできなくなる。つまり、記憶装置１が情報処理装置２に単に差し込まれていることによっては、データを保持する期限は延長されない。よって、記憶装置１は、従来の記憶装置と較べてセキュリティがより一層向上している。
【０１３６】
前述の実施形態において、初期設定テーブルＦＴは、制御部１１に内蔵された記憶部に格納されるようになっていたが、それとは別に用意された不揮発性メモリからなる記憶部に格納されるようにしてもよい。または、不揮発性メモリ１２の一部の領域をそのために利用してもよい。また、初期設定テーブルＦＴに登録された個々の情報をまとめて１つのテーブルで管理する必要はなく、各情報を個別に、また異なる記憶部において管理してもよい。例えば、暗号鍵について、初期設定テーブルＦＴに登録されたその他の情報とは別に管理し、また不揮発性メモリ１２の一部の領域に格納してもよい。
【０１３７】
また、前述の実施形態において、記憶装置１にデータが保存されていない場合には、暗号鍵の消去を行わなかったが、図１０〜図１２に示した、データが保存されている場合の処理と同様に、暗号鍵の消去を行ってもよい。その場合には、初期化済みの記憶装置１が初めて情報処理装置２に接続されたときに、機器認証失敗カウンタ、ユーザ認証失敗カウンタ、および未認証失敗カウンタを用意するとよい。
【０１３８】
また、前述の実施形態において、機器認証失敗カウンタは、機器認証が成功した時点でクリアされ、ユーザ認証失敗カウンタおよび未認証取外しカウンタは、ユーザ認証が成功した時点でクリアされていた。これらのカウンタは、それぞれそれらの時点でクリアされないようにしてもよい。つまり、認証の成功を挟んでそれらのカウンタに示される回数が累積されるようにしてもよい。
【０１３９】
また、前述の実施形態において、記憶装置１の接続の時点からユーザ認証が成功していない状態で所定の時間が経過した場合に暗号鍵を消去したが、そのような状態にある時間の累積時間を算出し、算出した累積時間があらかじめ設定された時間に達したときに暗号鍵を消去するようにしてもよい。
【０１４０】
また、前述の実施形態において、キー／データ削除部１０７は、所定のタイミングで不揮発性メモリ１２の暗号化領域に保存されたデータの読出しを不可能とするために暗号鍵を消去したが、データの実体そのものを消去するようにしてもよい。その場合に、制御部１１は、切換えスイッチ１４ａ、１４ｂを作動して制御部１１と不揮発性メモリ１２とを接続することにより、不揮発性メモリ１２に直接アクセスすることができる。
【０１４１】
前述の実施形態において、記憶装置１のハードウェア構成および機能的構成などは、本発明の主旨に沿って適宜変更することができる。また、記憶装置１において行われる処理内容および処理順序なども、本発明の主旨に沿って適宜変更することができる。
【符号の説明】
【０１４２】
１ 記憶装置
２ 情報処理装置
１１ 制御部（第二の記憶手段）
１２ 不揮発性メモリ（第一の記憶手段）
１６ 二次電池（電力供給手段）
１０７ キー／データ削除部（第一のアクセス無効化手段、第二のアクセス無効化手段）
【技術分野】
【０００１】
情報処理装置に接続可能な記憶装置などに関する。
【背景技術】
【０００２】
近年、ＵＳＢメモリをはじめとする可搬型の記憶装置が広く普及している。
【０００３】
ユーザは、そのような記憶装置をパーソナルコンピュータなどの情報処理装置に接続し、記憶装置にデータを書き込んだり、記憶装置からデータを読み出したりすることができる。
【０００４】
可搬型の記憶装置は、一般に、操作方法が単純で扱いやすく、コンパクトで持ち運びに適しているので、ある情報処理装置に記憶されたデータを持ち出して他の情報処理装置で使用したい場合などに便利である。
【０００５】
しかしながら、その扱いやすさおよびコンパクトさゆえ、ユーザは、しばしば、それを情報処理装置に差し込んだまま抜き忘れてしまったり、持ち運んでいる間に紛失してしまったりすることがある。また、盗難にあってしまうこともある。
【０００６】
そのような場合に、記憶装置に保存されたデータに含まれる機密性の高い情報などが、第三者に漏えいしてしまうおそれがある。すなわち、可搬型の記憶装置は、便利な反面、セキュリティ上の問題を有している。
【０００７】
そこで、記憶装置のセキュリティの向上を図るため、ＵＳＢメモリ等の携帯型記憶媒体に対して、通信機能を持たせることにより、遠隔から内部に記憶された情報の操作を可能とし、且つ通信が確立しない状態においても、時限的に内部情報を消去する、携帯型記憶媒体の管理システムが提案されている（特許文献１）。
【０００８】
また、記憶装置に記憶されたデータを削除する削除時期を特定し、削除時期が経過したか否かを判定し、外部装置が接続されていないことが検知され、かつ、削除時期を経過したと判定された場合に、データを記憶手段から削除する記憶装置が提案されている（特許文献２）。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００８−２６９２８５
【特許文献２】特開２００９−１９９２１６
【発明の概要】
【発明が解決しようとする課題】
【００１０】
特許文献１で提案されている記憶媒体の管理システム、および特許文献２で提案されている記憶装置では、ある程度セキュリティが確保されるもののいまだ不十分である。
【００１１】
すなわち、それらでは、ユーザが記憶装置を情報処理装置に差し込んだまま席を離れてしまった後に、第三者がその場で記憶装置に記憶されたデータを参照したり、記憶装置を抜き取って持ち去ったりした場合などには、セキュリティを確保できない。
【００１２】
本発明は、このような事情に鑑みてなされたものであり、セキュリティをより一層向上させた記憶装置を提供することを目的とする。
【課題を解決するための手段】
【００１３】
以下に述べる記憶装置は、情報処理装置に接続可能な記憶装置であって、データを記憶する第一の記憶手段と、前記データを削除する時期を示す削除予定時刻を記憶する第二の記憶手段と、前記情報処理装置に接続されているか否かに関わらず、現在時刻が前記削除予定時刻に達したときに、前記データへのアクセスを不可能とする第一のアクセス無効化手段と、を有する。
【発明の効果】
【００１４】
本発明によれば、セキュリティをより一層向上させた記憶装置を提供することができる。
【図面の簡単な説明】
【００１５】
【図１】記憶装置のハードウェア構成の例を示す図である。
【図２】記憶装置の機能的な構成の例を示す図である。
【図３】記憶装置の初期化の際に行われる処理の流れの例を示すシーケンス図である。
【図４】初期設定テーブルの例を示す図である。
【図５】削除タイミングリストの例を示す図である。
【図６】記憶装置にデータが保存される際の処理の流れの例を示すフローチャートである。
【図７】記憶装置が取り外された際に行われる処理の流れの例を示すフローチャートである。
【図８】図７のアラーム時刻決定処理の流れの例を示すフローチャートである。
【図９】記憶装置が取り外された後に行われる処理の流れの例を示すフローチャートである。
【図１０】記憶装置が再び接続された際に行われる処理の流れの例を示すフローチャートである。
【図１１】記憶装置が再び接続された際に行われる処理の流れの例を示すフローチャートである。
【図１２】記憶装置が再び接続された際に行われる処理の流れの例を示すフローチャートである。
【発明を実施するための形態】
【００１６】
まず、図１に示されるような、本実施形態に係る記憶装置１が有する機能を説明する。
【００１７】
記憶装置１は、持ち運びに適した可搬型（リムーバブル型）の記憶装置であり、内部に不揮発性メモリ１２を備えている。
【００１８】
利用者は、記憶装置１を自己が使用するパソコンなどの情報処理装置２に接続し、認証を受けた後、持ち出したいデータを記憶装置１に記憶させることができる。
【００１９】
記憶装置１に記憶されたデータは、情報漏えいを防止する観点から、様々なタイミングで読出しが不可能となる。具体的には、下記（１）〜（９）のタイミングで読出しが不可能となる。ただし、利用者またはその管理者は、下記（１）〜（９）のタイミングのうち有効にすべきタイミングを、記憶装置１の使用目的に応じて選択することができる。
（１）設定された日時に達した時
（２）記憶装置１が情報処理装置２から取り外されてから所定の時間が経過した時
（３）接続が許可されていない情報処理装置２に記憶装置１が接続された回数が所定の回数に達した時
（４）記憶装置１が情報処理装置２に接続された後、利用者の認証が成功しないまま記憶装置１が情報処理装置２から取り外された回数が所定の回数に達した時
（５）記憶装置１が情報処理装置２に接続された後、利用者の認証が成功しないまま所定の時間が経過した時
（６）記憶装置１が情報処理装置２に接続された後、利用者の認証に失敗した回数が所定の回数に達した時
（７）記憶装置１が情報処理装置２に接続され利用者の認証が成功した後、利用者による操作が行われないまま所定の時間が経過した時
（８）利用者より記憶装置１を情報処理装置２から取り外す意思が示された後、取り外されないまま所定の時間が経過した時
（９）二次電池の残量が所定の値を下回った時
記憶装置１に記憶されたデータは、上記（１）のタイミングで読出しが不可能となるので、記憶装置１の使用状況などに関わらず、設定された日時に達すれば確実に読出しが不可能となる。
【００２０】
記憶装置１に記憶されたデータは、上記（２）のタイミングで読出しが不可能となるので、所定の時間、記憶装置１が使用されなければ確実に読出しが不可能となる。
【００２１】
なお、上記（１）、（２）のタイミングは、原則として記憶装置１が情報処理装置２に単に接続されることによっては延長されないことが、従来の記憶装置と異なる点の１つである。
【００２２】
記憶装置１に記憶されたデータは、上記（３）〜（６）のタイミングで読出しが不可能となるので、第三者による不正な使用が疑われる場合などに読出しが不可能となる。
【００２３】
記憶装置１に記憶されたデータは、上記（７）、（８）のタイミングで読出しが不可能となるので、利用者が記憶装置１を情報処理装置２から抜き忘れたと考えられる場合などに読出しが不可能となる。
【００２４】
記憶装置１に記憶されたデータは、上記（９）のタイミングで読出しが不可能となるので、二次電池の残量が足りないために読出しを不可能とする動作を実行できなくなってしまうということがない。
【００２５】
このように、記憶装置１では、記憶されたデータは様々なタイミングで読出しが不可能となるので、情報漏えいを防止することができる。
【００２６】
以下、このような機能を有する記憶装置１の実施形態について、図面を用いて説明する。
〔記憶装置１の構成〕
図１は記憶装置１のハードウェア構成の例を示す図であり、図２は記憶装置１の機能的な構成の例を示す図である。
【００２７】
図１に示すように、記憶装置１は、コネクタ部１０、制御部１１、不揮発性メモリ１２、ハブ１３、切換えスイッチ１４ａ、１４ｂ、充電回路１５、二次電池１６、ＤＣ／ＤＣコンバータ１７、および計時部１８などを有している。
【００２８】
コネクタ部１０は、信号端子１０ａおよび電源端子１０ｂなどを有しており、記憶装置１と情報処理装置２とを物理的に接続する際の接点となる。コネクタ部１０の形状は、記憶装置１と情報処理装置２との接続に用いられるインタフェースに対応した形状となっている。インタフェースとして、例えば、ＵＳＢ（Universal Serial Bus）規格に準拠したシリアルインタフェースが用いられる。
【００２９】
コネクタ部１０が、情報処理装置２の側に設けられた対応するコネクタ部に差し込まれることで、記憶装置１と情報処理装置２とが電気的に接続される。そして、信号端子１０ａを介して、記憶装置１と情報処理装置２との間で各種のデータがやり取りされる。また、電源端子１０ｂを介して、情報処理装置２から記憶装置１へ電力が供給される。例えば、＋５Ｖの直流電圧の電力が供給される。電源端子１０ｂを介して供給された電力は、ＤＣ／ＤＣコンバータ１７を介して記憶装置１の各部に供給される。
【００３０】
制御部１１は、不揮発性のメモリからなる記憶部を内蔵したＣＰＵ（Central Processing Unit）であり、記憶部に格納されているプログラムおよびデータならびに情報処理装置２から入力される各種のデータなどに基づいて、記憶装置１の全体的な制御を行う。
【００３１】
制御部１１の記憶部には、図２に示すような各機能部を実現するためのプログラムが格納されている。
【００３２】
図２をも参照して、接続／非接続検知部１０１は、記憶装置１が情報処理装置２に接続されたこと、および記憶装置１が情報処理装置２から取り外されたことを検知する。検知は、電源端子１０ｂに電圧が加わっているか否か、または電源端子１０ｂに電流が流れているか否かなどを検出することにより行われる。
【００３３】
電力供給指示部１０２は、電源オン／オフ信号Ｓ０２をＤＣ／ＤＣコンバータ１７に出力する。電源オン／オフ信号Ｓ０２は、電源のオンまたはオフを指示するレベル信号である。
【００３４】
初期設定部１０３は、情報処理装置２から入力された情報などに基づいて記憶装置１の初期設定を行う。
【００３５】
機器／ユーザ認証部１０４は、記憶装置１が接続された情報処理装置２、および記憶装置１を使用する利用者を認証する。
【００３６】
アラーム設定部１０５は、アラーム時刻Ｓ０５を計時部１８に設定する。
【００３７】
削除判別部１０６は、不揮発性メモリ１２に記憶されたデータへのアクセスを不可能にするか否かを判別する。
【００３８】
キー／データ削除部１０７は、制御部１１の記憶部などに記憶された暗号鍵、または不揮発性メモリ１２に記憶されたデータを消去する。
【００３９】
制御部１１の記憶部には、そのほか、所定のインタフェースに則って情報処理装置２と通信を行うためのプログラムが格納されている。
【００４０】
これらのプログラムが制御部１１のＣＰＵによって適宜実行されることで、制御部１１による各種の制御が実現される。
【００４１】
不揮発性メモリ１２は、データの記憶領域、およびデータの書込みおよび読出しを制御するためのコントローラなどを有している。不揮発性メモリ１２の記憶領域に記憶されたデータは、不揮発性メモリ１２に電力が供給されていない状態でも保持される。不揮発性メモリ１２として、例えば、フラッシュメモリなどの半導体メモリが用いられる。
【００４２】
信号端子１０ａと制御部１１および不揮発性メモリ１２との間には、制御部１１および不揮発性メモリ１２の側に２つのポートを有するハブ１３が設けられている。また、ハブ１３と制御部１１および不揮発性メモリ１２との間、つまりハブ１３の後段には、切換えスイッチ１４ａ、１４ｂが設けられている。このような構成により、制御部１１および不揮発性メモリ１２をそれぞれ情報処理装置２に接続することも、制御部１１および不揮発性メモリ１２を互いに接続することも可能となっている。
【００４３】
充電回路１５は、記憶装置１が情報処理装置２に接続されているときに、電源端子１０ｂを介して供給される電力を二次電池１６に充電するための回路である。
【００４４】
二次電池１６は、記憶装置１が情報処理装置２に接続されている間、時間の経過とともに充電され、記憶装置１が情報処理装置２に接続されていないときに、記憶装置１の各部に電力を供給するための電源となる。二次電池１６として、例えば、大容量キャパシタが用いられる。
【００４５】
ＤＣ／ＤＣコンバータ１７は、制御部１１または計時部１８からの指示に応じて、制御部１１、不揮発性メモリ１２、およびハブ１３などの記憶装置１の各部に電力を分配する。その際、記憶装置１の各部の動作に適した電圧に変換する。例えば、＋３．３Ｖの直流電圧に変換する。記憶装置１が情報処理装置２に接続されているときは、電源端子１０ｂを介して供給される電力を分配する。記憶装置１が情報処理装置２に接続されていないときは、制御部１１から出力される電源オン／オフ信号Ｓ０２において電源のオンが指示されている間、二次電池１６から供給される電力を分配する。
【００４６】
計時部１８は、常時、電力の供給を受けて現在時刻（現在日時）を計時し続けるためのＩＣ（Integrated Circuit）であり、ＲＴＣ（Real Time Clock）と呼ばれることもある。計時部１８は、記憶装置１が情報処理装置２に接続されていないときは、二次電池１６から電力の供給を受ける。計時部１８で計時されている現在時刻は、記憶装置１が情報処理装置２に接続されたときに、情報処理装置２において計時されている現在時刻に適宜補正される。
【００４７】
計時部１８には、アラーム時刻Ｓ０５を設定することが可能となっており、計時部１８は、現在時刻がアラーム時刻Ｓ０５に達すると、図２に示すように、電源オン信号Ｓ１８をＤＣ／ＤＣコンバータ１７に出力するようになっている。
〔初期化の際に行われる処理〕
次に、記憶装置１の初期化について説明する。
【００４８】
記憶装置１の初期化は、初期化を行う作業者が情報処理装置２を用いて行う。作業者は、記憶装置１の利用者自身またはその管理者である。
【００４９】
具体的には、作業者には、記憶装置１を初期化するための、情報処理装置２のＯＳ（Operating System）に対応の初期化用プログラムが格納されたＣＤ−ＲＯＭが配布される。初期化用プログラムには、ドライバ、初期設定用アプリケーション、および操作用アプリケーションなどが含まれている。初期設定用アプリケーションは、記憶装置１の初期化の際に必要となるプログラムである。操作用アプリケーションは、初期化済みの記憶装置１を使用する際に必要となるプログラムである。
【００５０】
作業者は、初期化用プログラムを情報処理装置２にインストールする。そして、記憶装置１を情報処理装置２に接続し、初期設定用アプリケーションを情報処理装置２において起動する。
【００５１】
記憶装置１が情報処理装置２に接続されると、ＤＣ／ＤＣコンバータ１７を介して記憶装置１の各部に電源端子１０ｂからの電力が供給される。
【００５２】
一方、初期設定用アプリケーションは、作業者を誘導するための画面を情報処理装置２の表示装置に表示する。作業者はその画面の内容に従って必要な事項を入力して記憶装置１の初期化を行う。
【００５３】
図３は記憶装置１の初期化の際に行われる処理の流れの例を示すシーケンス図であり、図４は初期設定テーブルＦＴの例を示す図である。
【００５４】
以下、記憶装置１の初期化の際に行われる処理について、図３を用いて説明する。ただし、以下に説明する処理が実行される順序は、必ずしも図３に示される順序の通りでなくてもよい。
【００５５】
初期設定用アプリケーションは、制御部１１に対して記憶内容をリセットするよう要求する（＃３０１）。そして、制御部１１における記憶内容は、工場出荷時の状態に戻される。
【００５６】
次に、初期設定用アプリケーションは、記憶装置１を使用する際の運用上の設定（ポリシー設定）を行う上で必要な事項を入力するよう作業者に促し、入力された内容を制御部１１に送信する（＃３０２〜＃３０４）。制御部１１の初期設定部１０３は、受信した内容を図４に示すような初期設定テーブルＦＴに設定する。初期設定テーブルＦＴは、制御部１１の記憶部に保存される。
【００５７】
具体的には、初期設定用アプリケーションは、管理者パスワードおよび利用者パスワードを入力するよう作業者に促し、入力された両パスワードを制御部１１に送信する（＃３０２）。制御部１１の初期設定部１０３は、受信した両パスワードを初期設定テーブルＦＴの管理者パスワードＦＴ１および利用者パスワードＦＴ２にそれぞれ設定する。
【００５８】
また、初期設定用アプリケーションは、記憶装置１の接続を許可する情報処理装置２を特定するための情報である固有ＩＤを入力するよう促し、入力された固有ＩＤを制御部１１に送信する（＃３０３）。ここで、作業者は、記憶装置１を接続して使用することを予定している情報処理装置２の固有ＩＤを入力する。なお、初期化に用いた情報処理装置２の固有ＩＤは、自動的に送信されるようにしてもよい。固有ＩＤとして、例えば、ＭＡＣアドレス（Media Access Control address）が用いられる。制御部１１の初期設定部１０３は、受信した固有ＩＤを初期設定テーブルＦＴの接続許可機器リストＦＴ３に登録する。
【００５９】
また、初期設定用アプリケーションは、記憶装置１に記憶されたデータを読出し不可能とするタイミングを示す削除設定情報を、指定または選択するなどの方法により入力するよう作業者に促し、入力された削除設定情報を制御部１１に送信する（＃３０４）。制御部１１の初期設定部１０３は、受信した削除設定情報を初期設定テーブルＦＴの削除タイミングリストＦＴ４の各削除タイミング情報ＤＴに設定する。削除タイミングリストＦＴ４の詳細については後述する。
【００６０】
また、初期設定用アプリケーションは、初期化用プログラムの一部としてインストールされた操作用アプリケーションをＣＤ−ＲＯＭのフォーマットに変換したファイルであるＣＤ−ＲＯＭイメージを作成し、作成したＣＤ−ＲＯＭイメージを不揮発性メモリ１２の所定の記憶領域に格納する（＃３０５）。ＣＤ−ＲＯＭイメージが格納された記憶領域は、情報処理装置２のＯＳにおいて仮想的にＣＤ−ＲＯＭドライブとして認識される。利用者は、ＣＤ−ＲＯＭに格納されたプログラムを利用する要領で操作用アプリケーションを利用することができる。
【００６１】
また、初期設定用アプリケーションは、情報処理装置２のＯＳに対応したファイルシステムに則って、不揮発性メモリ１２の所定の記憶領域をリムーバブルディスクとしてフォーマットする（＃３０６）。さらに、暗号化されたデータを格納するための暗号化領域をフォーマット済みの記憶領域に作成する（＃３０７）。暗号化領域は、対応する暗号鍵が適用されることにより、情報処理装置２のＯＳにおいてディスクドライブとして認識される。利用者は、認証を受ければ、通常のファイル操作の要領で、暗号化領域にファイルを保存したり保存したファイルを開いたりすることができる。
【００６２】
また、初期設定用アプリケーションは、暗号化領域へのアクセスに用いられる暗号鍵を生成し、生成した暗号鍵を制御部１１に送信する（＃３０８）。制御部１１の初期設定部１０３は、受信した暗号鍵を初期設定テーブルＦＴの暗号鍵ＦＴ５に設定する。
【００６３】
また、初期設定用アプリケーションは、情報処理装置２において計時されている現在時刻を取得し、取得した現在時刻を制御部１１に送信する（＃３０９）。制御部１１の初期設定部１０３は、受信した現在時刻を計時部１８に設定する。
【００６４】
以上のようにして、記憶装置１が初期化され、初期化済みの制御部１１の記憶部には、図４に示すような初期設定テーブルＦＴが保存される。
【００６５】
以下、初期設定テーブルＦＴの削除タイミングリストＦＴ４の詳細について説明する。
【００６６】
図５は削除タイミングリストＦＴ４の例を示す図である。
【００６７】
削除タイミングリストＦＴ４には、不揮発性メモリ１２に記憶されたデータの読出しを不可能とするタイミングを示す各種の削除タイミング情報ＤＴが登録される。各削除タイミング情報ＤＴの値は、あらかじめ定められた値が設定されることもあるし、作業者によって入力された削除設定情報に基づいて設定されることもある。作業者によって入力される削除設定情報に示される値は、初期設定用アプリケーションから提供されるデフォルトの値であってもよい。
【００６８】
データ保持期限ＤＴ１は、データを保持しておく絶対的な期限を示す情報であり、本例では「２０１０年７月４日２４時００分００秒」に設定されている。
【００６９】
データ保持期間ＤＴ２は、記憶装置１が情報処理装置２から取り外された時を起点としてデータを保持しておく期間を示す情報であり、本例では「２４時間」に設定されている。
【００７０】
未登録機器接続回数ＤＴ３は、接続が許可されていない情報処理装置２に記憶装置１が接続された回数が累積して何回目に達した時にデータを削除するかを示す情報であり、本例では「３回」に設定されている。
【００７１】
未認証取外し回数ＤＴ４は、利用者の認証が成功しない状態において記憶装置１が情報処理装置２から取り外された回数が累積して何回目に達した時にデータを削除するかを示す情報であり、本例では「３回」に設定されている。
【００７２】
未認証時間ＤＴ５は、記憶装置１が情報処理装置２に接続されてから利用者の認証が成功しない状態が続いた場合に、データを保持しておく時間を示す情報であり、本例では「１０分」に設定されている。
【００７３】
認証失敗回数ＤＴ６は、利用者の認証に失敗した回数が累積して何回目に達した時にデータを削除するかを示す情報であり、本例では「５回」に設定されている。
【００７４】
未操作時間ＤＴ７は、利用者の認証が成功してから利用者による操作が行われない状態が続いた場合に、データを保持しておく時間を示す情報であり、本例では「１５分」に設定されている。
【００７５】
取外し時間ＤＴ８は、記憶装置１と情報処理装置２との論理的な接続が解除されてから物理的な接続が切断されない状態が続いた場合に、データを保持しておく時間を示す情報であり、本例では「５分」に設定されている。
【００７６】
電池下限電圧ＤＴ９は、二次電池１６に充電された電圧がどれだけ低下するまでデータを保持しておくかの下限電圧を示す情報であり、本例では「３Ｖ」に設定されている。
【００７７】
電池下限電圧ＤＴ９には、あらかじめ定められた値が設定され、作業者はその設定内容を変更できないようになっていることが好ましい。なお、電池下限電圧ＤＴ９は、ＤＣ／ＤＣコンバータ１７が動作可能な下限電圧、記憶装置１の各部における消費電力、および後述する電力監視周期などに基づいて設定される。
【００７８】
データの読出しを不可能とするタイミングとして各削除タイミング情報ＤＴ（ＤＴ１〜ＤＴ９）を適用するか否かは、あらかじめ設定されているか、作業者が選択できるようになっている。図５の例において、適用する削除タイミング情報ＤＴには「有効」が設定され、適用しない削除タイミング情報ＤＴには「無効」が設定されている。ここで、複数の削除タイミング情報ＤＴの適用の有無が互いに連動するようになっていてもよい。例えば、データ保持期限ＤＴ１が適用される場合は、データ保持期間ＤＴ２が適用されないようになっていてもよい。なお、電池下限電圧ＤＴ９は、常に適用されることが好ましい。
【００７９】
また、利用者またはその管理者は、記憶装置１の初期化の後も、利用者パスワード、管理者パスワード、またはその両方による認証を受ければ、データ保持期限ＤＴ１、データ保持期間ＤＴ２をはじめとする各削除タイミング情報ＤＴの設定内容を適宜変更することができるようになっている。
【００８０】
以下、データ保持期限ＤＴ１およびデータ保持期間ＤＴ２についてはいずれか一方のみが適用され、そのほかの各削除タイミング情報ＤＴについてはすべてが適用されることを前提に説明する。そのため、以下の説明において、各削除タイミング情報ＤＴが関係する処理にあっては、その削除タイミング情報ＤＴを適用しない場合は行う必要がない。
〔データの保存の際に行われる処理〕
図６は、記憶装置１にデータが保存される際に行われる処理の流れの例を示すフローチャートである。
【００８１】
以下、記憶装置１にデータが保存される際に行われる処理について、図６を用いて説明する。
【００８２】
利用者は、初期化済みの記憶装置１を情報処理装置２に接続し、記憶装置１の不揮発性メモリ１２に格納されている操作用アプリケーションを情報処理装置２において起動する。なお、操作用アプリケーションは、情報処理装置２のＯＳの機能によって記憶装置１を接続すれば自動的に起動されるようになっていてもよい。
【００８３】
記憶装置１が情報処理装置２に接続されると、記憶装置１の各部に電源端子１０ｂからの電力が供給され、制御部１１が起動する（＃４０１）。これより先、制御部１１の電力供給指示部１０２は、記憶装置１を待機状態に移行させる（図７の＃５０８）までの間、ＤＣ／ＤＣコンバータ１７に出力する電源オン／オフ信号Ｓ０２において電源のオンを指示する。
【００８４】
制御部１１の機器／ユーザ認証部１０４は、記憶装置１が接続された情報処理装置２からその固有ＩＤを取得し、取得した固有ＩＤと初期設定テーブルＦＴの接続許可機器リストＦＴ３に登録されている固有ＩＤとを照合する（＃４０２）。照合の結果、取得した固有ＩＤが接続許可機器リストＦＴ３に登録されている固有ＩＤでないことが判明した場合は（＃４０２でＮｏ）、機器認証が失敗した旨を操作用アプリケーションに通知する（＃４０３）。他方、登録されている固有ＩＤであることが判明した場合は（＃４０２でＹｅｓ）、機器認証が成功した旨を操作用アプリケーションに通知する（＃４０４）。
【００８５】
操作用アプリケーションは、機器認証が成功した旨の通知を受け取ると、利用者に利用者パスワードを入力するよう促すためのダイアログボックスなどの画面を情報処理装置２の表示装置に表示し、入力された利用者パスワードを制御部１１に送信する。
【００８６】
他方、操作用アプリケーションは、機器認証が失敗した旨の通知を受け取ると、利用者に情報処理装置２は記憶装置１を接続することが認められていない装置であることを知らせるための画面を情報処理装置２の表示装置に表示する。
【００８７】
制御部１１の機器／ユーザ認証部１０４は、利用者パスワードを受信すると、受信した利用者パスワードと初期設定テーブルＦＴの利用者パスワードＦＴ２に設定されているパスワードとを照合する（＃４０５）。照合の結果、両者が一致しなかった場合は（＃４０５でＮｏ）、ユーザ認証が失敗した旨を操作用アプリケーションに通知し（＃４０６）、利用者パスワードを再び受信するまで待機する。他方、両者が一致した場合は（＃４０５でＹｅｓ）、操作用アプリケーションに、ユーザ認証が成功した旨を通知する（＃４０７）。また、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵を送信する（＃４０８）。
【００８８】
操作用アプリケーションは、暗号鍵を受信すると、受信した暗号鍵を不揮発性メモリ１２の暗号化領域を管理する暗号化ファイルシステムに引き渡す。これにより、不揮発性メモリ１２の暗号化領域が情報処理装置２のＯＳにおいてディスクドライブとして認識されるようになる。利用者は、通常のファイル操作の要領で、情報処理装置２の記憶装置などに記憶されているファイルのうち持ち出したいファイルを暗号化領域にコピーする選択を行えばよい。利用者によって選択されたファイルは、暗号鍵によって暗号化された状態で暗号化領域に保存される。
【００８９】
他方、操作用アプリケーションは、ユーザ認証が失敗した旨の通知を受け取ると、利用者に、入力されたパスワードが誤りであることを知らせるための画面、および正しいパスワードを再入力するよう促すための画面を情報処理装置２の表示装置に表示する。
【００９０】
なお、制御部１１の機器／ユーザ認証部１０４は、機器認証（＃４０２）またはユーザ認証（＃４０５）のいずれか一方のみしか行わなくてもよい。
〔取外しの際に行われる処理〕
図７は記憶装置１が情報処理装置２から取り外された際に行われる処理の流れの例を示すフローチャート、図８は図７のアラーム時刻決定処理（＃５０５）の例を示すフローチャートである。
【００９１】
以下、記憶装置１が情報処理装置２から取り外された際に行われる処理について、図７および図８を用いて説明する。
【００９２】
利用者は、データを記憶装置１に保存し終えると、操作用アプリケーションなどを介して、記憶装置１を情報処理装置２から取り外す旨の選択を行う。すなわち、記憶装置１を情報処理装置２のＯＳから論理的に取り外す選択を行う。利用者は、その後に、記憶装置１を情報処理装置２から物理的に取り外す。
【００９３】
操作用アプリケーションは、利用者によって取外しが選択されると、取外しが選択された旨を制御部１１に送信する。この時点で、記憶装置１は、情報処理装置２に物理的には接続されているが、論理的には接続が解除された状態である。すなわち、通信が切断された状態であり、獲得した認証も解除された状態である。
【００９４】
制御部１１の削除判別部１０６は、取外しが選択された旨を受信すると（＃５０１）、その時点から削除タイミングリストＦＴ４の取外し時間ＤＴ８に設定されている時間が経過するまでに記憶装置１が情報処理装置２から物理的に取り外されるか否かを監視する（＃５０２）。時間内に接続／非接続検知部１０１によって取外しが検知されなかった場合は（＃５０２でＮｏ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃５０３）。なお、暗号鍵が消去された後は、不揮発性メモリ１２の暗号化領域に記憶されたデータにアクセスすることは不可能となる。他方、時間内に取外しが検知された場合は（＃５０２でＹｅｓ）、以降のステップ（＃５０４〜＃５０８）に進む。なお、以降のステップに係る処理は、二次電池１６から供給される電力によって制御部１１のＣＰＵが動作することにより行われる。
【００９５】
アラーム設定部１０５は、計時部１８で計時されている現在時刻を取得する（＃５０４）。そして、次のようにしてアラーム時刻Ｓ０５を決定する（＃５０５）。
【００９６】
すなわち、図８に示すように、アラーム設定部１０５は、初期設定テーブルＦＴを参照し、削除タイミングリストＦＴ４のデータ保持期限ＤＴ１が有効（データ保持期間ＤＴ２が無効）に設定されている場合は（＃６０１でＹｅｓ）、削除タイミングリストＦＴ４のデータ保持期限ＤＴ１に設定されている期限をデータ削除予定時刻として取得する（＃６０２）。そして、データ削除予定時刻から現時時刻を引いた値をデータ保持予定時間として算出する（＃６０３）。
【００９７】
他方、データ保持期限ＤＴ１が無効（データ保持期間ＤＴ２が有効）に設定されている場合は（＃６０１でＮｏ）、削除タイミングリストＦＴ４のデータ保持期間ＤＴ２に設定されている期間をデータ保持予定時間として取得する（＃６０４）。そして、現在時刻にデータ保持予定時間を足した値をデータ削除予定時刻として算出する（＃６０５）。
【００９８】
次に、＃６０３で算出しまたは＃６０４で取得したデータ保持予定時間と電力監視周期とを比較する（＃６０６）。ここで、電力監視周期とは、記憶装置１の各部に二次電池１６からの電力が供給されている場合に、二次電池１６の充電における残りの電圧を監視する周期（時間間隔）である。電力監視周期は、制御部１１の記憶部にあらかじめ登録されている。
【００９９】
データ保持予定時間が電力監視周期以下であれば（＃６０６でＹｅｓ）、＃６０２で取得しまたは＃６０５で算出したデータ削除予定時刻をアラーム時刻Ｓ０５に決定する（＃６０７）。他方、データ保持予定時間が電力監視周期よりも大きければ（＃６０６でＮｏ）、現在時刻に電力監視周期を足した値をアラーム時刻Ｓ０５に決定する（＃６０８）。
【０１００】
アラーム設定部１０５は、このようにして決定したアラーム時刻Ｓ０５を計時部１８に設定する（＃５０６）。また、＃６０２で取得しまたは＃６０５で算出したデータ削除予定時刻を制御部１１の記憶部に登録する（＃５０７）。
【０１０１】
なお、＃５０７において、データ削除予定時刻を登録するのではなく、＃５０４で取得した現在時刻を、データを保持する期間の起点となる起点時刻として登録してもよい。または、データ削除予定時刻を登録するとともに、起点時刻も登録してもよい。この場合に、削除タイミングリストＦＴ４のデータ保持期限ＤＴ１が有効に設定されている場合は、＃６０３で算出したデータ保持予定時間もあわせて登録しておく。また、利用者またはその管理者によって所定の操作が行われた際に、起点時刻の値を変更するようにしてもよい。例えば、記憶装置１が情報処理装置２に接続され、所定の認証が成功した後に、利用者またはその管理者によって起点時刻の変更を指示する操作がなされた際に、起点時刻の値を指定された時刻に変更してもよいし、利用者またはその管理者によって削除タイミングリストＦＴ４のデータ保持期間ＤＴ２の設定の変更を指示する操作がなされた際に、起点時刻の値を自動的にその時点の現在時刻に変更してもよい。これらの点は、後述する図９の＃７０９においても同様である。
【０１０２】
アラーム設定部１０５によってアラーム時刻Ｓ０５の設定およびデータ削除予定時刻の登録がなされると、電力供給指示部１０２は、ＤＣ／ＤＣコンバータ１７に出力する電源オン／オフ信号Ｓ０２において電源のオフを指示する。その結果、記憶装置１の計時部１８を除く各部には電力が供給されなくなり、記憶装置１は待機状態に移行する（＃５０８）。ただし、計時部１８は、その後も、二次電池１６から供給される電力によって現在時刻の計時を継続する。
〔取外しの後に行われる処理〕
図９は、記憶装置１が情報処理装置２から取り外された後に行われる処理の流れの例を示すフローチャートである。
【０１０３】
以下、記憶装置１が情報処理装置２から取り外された後に行われる処理について、図９を用いて説明する。
【０１０４】
計時部１８は、計時している現在時刻が、設定されたアラーム時刻Ｓ０５に達すると、ＤＣ／ＤＣコンバータ１７に電源オン信号Ｓ１８を出力する。その結果、ＤＣ／ＤＣコンバータ１７を介して記憶装置１の各部に二次電池１６からの電力が供給され、制御部１１が起動する（＃７０１）。これより先、制御部１１の電力供給指示部１０２は、記憶装置１を再び待機状態に移行させる（＃７１０）までの間、ＤＣ／ＤＣコンバータ１７に電源のオンを指示する。その間、次のような処理が行われる。
【０１０５】
制御部１１の削除判別部１０６は、計時部１８で計時されている現在時刻を取得する（＃７０２）。また、二次電池１６の充電における残りの電圧を示す充電電圧Ｓ１６を二次電池１６から取得する（＃７０３）。
【０１０６】
次に、削除判別部１０６は、取得した現在時刻と記憶装置１の取外しの際に登録しておいたデータ削除予定時刻とを比較する（＃７０４）。現在時刻がデータ削除予定時刻に達している場合は（＃７０４でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃７０５）。
【０１０７】
なお、記憶装置１の取外しの際に起点時刻を登録しておいた場合は、＃７０４において、削除タイミングリストＦＴ４のデータ保持期間ＤＴ２に設定されている時間または登録しておいたデータ保持予定時間を起点時刻に足すことにより、データ削除予定時刻をその都度算出してもよい。後述する図１２の＃９０６においても同様である。
【０１０８】
他方、現在時刻がデータ削除予定時刻に達していない場合は（＃７０４でＮｏ）、取得した充電電圧Ｓ１６と削除タイミングリストＦＴ４の電池下限電圧ＤＴ９に設定されている下限電圧とを比較する（＃７０６）。充電電圧Ｓ１６が下限電圧より小さい場合は（＃７０６でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃７０５）。ここで、暗号鍵を消去する理由は、データ削除予定時刻を迎える頃には二次電池１６が制御部１１のＣＰＵを動作させるのに必要な電力を供給できなくなることにより、暗号鍵を消去できなくなることを回避するためである。
【０１０９】
他方、充電電圧Ｓ１６が下限電圧以上である場合は（＃７０６でＮｏ）、図７に示した＃５０５〜＃５０８と同様の処理を行う。すなわち、アラーム時刻Ｓ０５を決定し（＃７０７）、決定したアラーム時刻Ｓ０５を計時部１８に設定する（＃７０８）。また、データ削除予定時刻を制御部１１の記憶部に登録する（＃７０９）。そして、電力供給指示部１０２によってＤＣ／ＤＣコンバータ１７に電源のオフが指示されることにより、記憶装置１は、再び待機状態に移行し（＃７１０）、次のアラーム時刻Ｓ０５に達するまで待機する。
〔再接続の際に行われる処理〕
図１０〜１２は、データが保存された記憶装置１が再び情報処理装置２に接続された際に行われる処理の流れの例を示すフローチャートである。
【０１１０】
以下、データが保存された記憶装置１が再び情報処理装置２に接続された際に行われる処理について、図１０〜１２を用いて説明する。
【０１１１】
利用者は、データを保存した記憶装置１を情報処理装置２に接続し、記憶装置１の不揮発性メモリ１２に格納されている操作用アプリケーションを情報処理装置２において起動する。
【０１１２】
記憶装置１が情報処理装置２に接続されると、記憶装置１の各部に電源端子１０ｂからの電力が供給され、制御部１１が起動する（＃８０１）
制御部１１の機器／ユーザ認証部１０４は、機器認証が失敗した回数を計数するための機器認証失敗カウンタ、およびユーザ認証が失敗した回数を計数するためのユーザ認証失敗カウンタを用意する。また、制御部１１の削除判別部１０６は、ユーザ認証を受けずに記憶装置１が取り外された回数を計数するための未認証取外しカウンタを用意する。
【０１１３】
これらのカウンタは、制御部１１の記憶部に保存される。よって、記憶装置１の取外しを挟んでも、それらのカウンタに示される回数はリセットされない。
【０１１４】
機器／ユーザ認証部１０４は、図６に示した＃４０２と同様の方法により機器認証を行う（＃８０２）。機器認証が失敗した場合は（＃８０２でＮｏ）、機器認証が失敗した旨を操作用アプリケーションに通知するとともに（＃８０３）、機器認証失敗カウンタをカウントアップする（＃８０４）。そして、削除判別部１０６は、カウントアップ後の機器認証失敗カウンタに示される回数が削除タイミングリストＦＴ４の未登録機器接続回数ＤＴ３に設定されている回数に達している場合は（＃８０５でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８０６）。他方、未登録機器接続回数ＤＴ３に設定されている回数に達していない場合は（＃８０５でＮｏ）、暗号鍵を消去しない。
【０１１５】
機器／ユーザ認証部１０４は、機器認証が成功した場合は（＃８０２でＹｅｓ）、機器認証が成功した旨を操作用アプリケーションに通知するとともに（＃８０７）、機器認証失敗カウンタをクリアする（＃８０８）。
【０１１６】
また、削除判別部１０６は、ユーザ認証が成功（＃８１５でＹｅｓ）していない状態で記憶装置１が情報処理装置２から物理的に取り外されたことが接続／非接続検知部１０１によって検知された場合は（＃８０９でＹｅｓ）、未認証取外しカウンタをカウントアップする（＃８１０）。そして、カウントアップ後の未認証取外しカウンタに示される回数が削除タイミングリストＦＴ４の未認証取外し回数ＤＴ４に設定されている回数に達している場合は（＃８１１でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８１２）。他方、未認証取外し回数ＤＴ４に設定されている回数に達していない場合は（＃８１１でＮｏ）、暗号鍵を消去しない。なお、＃８１０〜＃８１２のステップに係る処理は、二次電池１６から供給される電力によって制御部１１のＣＰＵが動作することにより行われる。
【０１１７】
また、削除判別部１０６は、＃８０１で接続が検知された時点からユーザ認証が成功（＃８１５でＹｅｓ）していない状態で削除タイミングリストＦＴ４の未認証時間ＤＴ５に設定されている時間が経過した場合は（＃８１３でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８１４）。
【０１１８】
機器／ユーザ認証部１０４は、操作用アプリケーションから利用者パスワードを受信し、図６に示した＃４０５と同様の方法によりユーザ認証を行う（＃８１５）。ユーザ認証が失敗した場合は（＃８１５でＮｏ）、ユーザ認証が失敗した旨を操作用アプリケーションに通知するとともに（＃８１６）、ユーザ認証失敗カウンタをカウントアップする（＃８１７）。そして、削除判別部１０６は、カウントアップ後のユーザ認証失敗カウンタに示される回数が削除タイミングリストＦＴ４の認証失敗回数ＤＴ６に設定されている回数に達している場合は（＃８１８でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８１９）。他方、認証失敗回数ＤＴ６に設定されている回数に達していない場合は（＃８１８でＮｏ）、暗号鍵を消去せずに、利用者パスワードを再び受信するまで待機する。
【０１１９】
機器／ユーザ認証部１０４は、ユーザ認証が成功した場合は（＃８１５でＹｅｓ）、ユーザ認証が成功した旨を操作用アプリケーションに通知するとともに（＃８２０）、ユーザ認証失敗カウンタおよび未認証取外しカウンタをクリアする（＃８２１、＃８２２）。また、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵を送信する（＃８２３）。
【０１２０】
操作用アプリケーションが暗号鍵を受信すると、不揮発性メモリ１２の暗号化領域が情報処理装置２のＯＳにおいてディスクドライブとして認識されるようになる。利用者は、通常のファイル操作の要領で、不揮発性メモリ１２に保存したファイルを読み出したり、削除したり、新たなファイルを保存したりすることができる。
【０１２１】
また、削除判別部１０６は、操作用アプリケーションにおいてユーザによる操作が行われるたびにそれを検知し、ユーザによる操作が前回行われた時点から削除タイミングリストＦＴ４の未操作時間ＤＴ７に設定されている時間が経過するまでにユーザによる操作が行われるか否かを監視する（＃８２４）。時間内にユーザによる操作が行われなかった場合は（＃８２４でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８２５）。
【０１２２】
また、削除判別部１０６は、図７に示した＃５０１〜５０３と同様の処理を行う。すなわち、操作用アプリケーションから記憶装置１の取外しが選択された旨を受信すると（＃８２６）、その時点から削除タイミングリストＦＴ４の取外し時間ＤＴ８に設定されている時間が経過するまでに記憶装置１が情報処理装置２から物理的に取り外されるか否かを監視する（＃８２７）。時間内に取外しが検知されなかった場合は（＃８２７でＮｏ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃８２８）。
【０１２３】
記憶装置１が情報処理装置２に再接続されている間、以上のような処理が行われるが、制御部１１の削除判別部１０６は、それと並行して図１２に示すような処理を行う。
【０１２４】
すなわち、削除判別部１０６は、計時部１８で計時されている現在時刻を取得する（＃９０１）。そして、登録されているデータ削除予定時刻から現在時刻を引いた値を残り時間として算出し（＃９０２）、算出した残り時間を操作用アプリケーションに送信する（＃９０３）。また、残り時間が初めて所定の時間を切った場合に（＃９０４でＹｅｓ）、データの削除時期が近づいている旨を操作用アプリケーションに通知する（＃９０５）。
【０１２５】
操作用アプリケーションは、利用者に残り時間を知らせるための画面を情報処理装置２の表示装置に表示し、残り時間を受信するたびに表示している残り時間を更新する。また、データの削除時期が近づいている旨の通知を受け取ると、利用者にその旨を知らせるためのポップアップなどの画面を情報処理装置２の表示装置に表示する。このような画面を表示する理由は、利用者が記憶装置１を使用している最中に不揮発性メモリ１２に保存したデータが不意に消去されてしまうことがないようにするためである。
【０１２６】
なお、残り時間の送信は、図１１の＃８１５でユーザ認証が成功した際に一度だけ行われるようにしてもよい。
【０１２７】
また、記憶装置１の側で残り時間を算出して送信するのではなく、操作用アプリケーションの側で残り時間を算出してもよい。例えば、起点時刻が登録されている場合に、削除判別部１０６は、削除タイミングリストＦＴ４のデータ保持期間ＤＴ２などに設定されている、データの保持時間と、現在時刻から起点時刻を引いた値である経過時間とを操作用アプリケーションに送信する。そして、操作用アプリケーションは、データの保持時間から経過時間を引いた値を残り時間として算出するとよい。
【０１２８】
削除判別部１０６は、残り時間がなくなるまで、つまり、現在時刻がデータ削除予定時刻に達するまでの間（＃９０６でＮｏ）、一定時間ごとに＃９０１〜＃９０５のステップに係る処理を行う。現在時刻がデータ削除予定時刻に達すると（＃９０６でＹｅｓ）、初期設定テーブルＦＴの暗号鍵ＦＴ５に設定されている暗号鍵をキー／データ削除部１０７によって消去する（＃９０７）。
【０１２９】
このように、記憶装置１が情報処理装置２に接続されている状態であっても、現在時刻がデータ削除予定時刻に達すれば暗号鍵が消去され、その後は不揮発性メモリ１２に記憶されたデータを復号化することは不可能となる。
【０１３０】
ただし、記憶装置１が接続された情報処理装置２が特別な情報処理装置２である場合には、登録されているデータ削除予定時刻をいったん無効にするなどして、接続中は暗号鍵の消去が行われないようにしてもよい。
【０１３１】
具体的には、機器／ユーザ認証部１０４は、機器認証（＃８０２）において、取得した固有ＩＤがユーザによって特別に指定された情報処理装置２の固有ＩＤであるか否かをも判別する。そして、そのような固有ＩＤである場合は、ユーザ認証が成功（＃８１５でＹｅｓ）した時点などにおいて、アラーム設定部１０５は、登録されているデータ削除予定時刻を消去する。また、計時部１８に設定したアラーム時刻Ｓ０５も解除する。削除判別部１０６は、データ削除予定時刻が消去されているので、図１２に示した処理を行わない。つまり、データ削除予定時刻の到達に基づく暗号鍵の消去が抑止される。
【０１３２】
特に、削除タイミングリストＦＴ４のデータ保持期間ＤＴ２が有効（データ保持期限ＤＴ１が無効）に設定されている場合に、そのようにすると効果的である。
【０１３３】
例えば、利用者またはその管理者は、記憶装置１の初期化の際に、記憶装置１の接続を許可する情報処理装置２の中でも、日常使用する情報処理装置２の固有ＩＤなどを特別な固有ＩＤとして指定しておく。また、日常使用する情報処理装置２を使用しない可能性のある最大時間をデータ保持期間ＤＴ２に設定する。そうすることで、データ保持期間ＤＴ２に設定した最大時間を空けずに、日常使用する情報処理装置２に記憶装置１を接続して使用している限り、記憶装置１に保存したデータへアクセスすることができる。
【０１３４】
以上に説明したように、記憶装置１では、記憶されたデータが様々なタイミングで読出しが不可能となるので、情報漏えいを防止することができる。
【０１３５】
特に、図９の＃７０５および図１２の＃９０７に示したように、記憶装置１が情報処理装置２に接続されていようがいまいが、データ保持期限ＤＴ１またはデータ保持期間ＤＴ２の設定に基づいて算出されるデータ削除予定時刻に現在時刻が達すれば、暗号鍵が消去され、その後に記憶装置１に記憶されたデータにアクセスすることはできなくなる。つまり、記憶装置１が情報処理装置２に単に差し込まれていることによっては、データを保持する期限は延長されない。よって、記憶装置１は、従来の記憶装置と較べてセキュリティがより一層向上している。
【０１３６】
前述の実施形態において、初期設定テーブルＦＴは、制御部１１に内蔵された記憶部に格納されるようになっていたが、それとは別に用意された不揮発性メモリからなる記憶部に格納されるようにしてもよい。または、不揮発性メモリ１２の一部の領域をそのために利用してもよい。また、初期設定テーブルＦＴに登録された個々の情報をまとめて１つのテーブルで管理する必要はなく、各情報を個別に、また異なる記憶部において管理してもよい。例えば、暗号鍵について、初期設定テーブルＦＴに登録されたその他の情報とは別に管理し、また不揮発性メモリ１２の一部の領域に格納してもよい。
【０１３７】
また、前述の実施形態において、記憶装置１にデータが保存されていない場合には、暗号鍵の消去を行わなかったが、図１０〜図１２に示した、データが保存されている場合の処理と同様に、暗号鍵の消去を行ってもよい。その場合には、初期化済みの記憶装置１が初めて情報処理装置２に接続されたときに、機器認証失敗カウンタ、ユーザ認証失敗カウンタ、および未認証失敗カウンタを用意するとよい。
【０１３８】
また、前述の実施形態において、機器認証失敗カウンタは、機器認証が成功した時点でクリアされ、ユーザ認証失敗カウンタおよび未認証取外しカウンタは、ユーザ認証が成功した時点でクリアされていた。これらのカウンタは、それぞれそれらの時点でクリアされないようにしてもよい。つまり、認証の成功を挟んでそれらのカウンタに示される回数が累積されるようにしてもよい。
【０１３９】
また、前述の実施形態において、記憶装置１の接続の時点からユーザ認証が成功していない状態で所定の時間が経過した場合に暗号鍵を消去したが、そのような状態にある時間の累積時間を算出し、算出した累積時間があらかじめ設定された時間に達したときに暗号鍵を消去するようにしてもよい。
【０１４０】
また、前述の実施形態において、キー／データ削除部１０７は、所定のタイミングで不揮発性メモリ１２の暗号化領域に保存されたデータの読出しを不可能とするために暗号鍵を消去したが、データの実体そのものを消去するようにしてもよい。その場合に、制御部１１は、切換えスイッチ１４ａ、１４ｂを作動して制御部１１と不揮発性メモリ１２とを接続することにより、不揮発性メモリ１２に直接アクセスすることができる。
【０１４１】
前述の実施形態において、記憶装置１のハードウェア構成および機能的構成などは、本発明の主旨に沿って適宜変更することができる。また、記憶装置１において行われる処理内容および処理順序なども、本発明の主旨に沿って適宜変更することができる。
【符号の説明】
【０１４２】
１ 記憶装置
２ 情報処理装置
１１ 制御部（第二の記憶手段）
１２ 不揮発性メモリ（第一の記憶手段）
１６ 二次電池（電力供給手段）
１０７ キー／データ削除部（第一のアクセス無効化手段、第二のアクセス無効化手段）
【特許請求の範囲】
【請求項１】
情報処理装置に接続可能な記憶装置であって、
データを記憶する第一の記憶手段と、
前記データを削除する時期を示す削除予定時刻を記憶する第二の記憶手段と、
前記情報処理装置に接続されているか否かに関わらず、現在時刻が前記削除予定時刻に達したときに、前記データへのアクセスを不可能とする第一のアクセス無効化手段と、
を有する記憶装置。
【請求項２】
前記データは、暗号化されて前記第一の記憶手段に記憶され、
前記第一のアクセス無効化手段は、前記データの復号化に必要な暗号鍵を削除することにより前記アクセスを不可能とする、
請求項１記載の記憶装置。
【請求項３】
前記情報処理装置に接続されている場合に、前記削除予定時刻から現在時刻を引いた残り時間を算出し、当該残り時間をユーザに知らせるための画面を前記情報処理装置に表示させるための処理を行う第一の表示制御手段を有する、
請求項１または２記載の記憶装置。
【請求項４】
前記情報処理装置に接続されている場合であって前記残り時間が所定の時間以下となった場合に、前記削除予定時刻が近づいていることをユーザに知らせるための画面を前記情報処理装置に表示させるための処理を行う第二の表示制御手段を有する、
請求項３記載の記憶装置。
【請求項５】
ユーザによって特別に指定された前記情報処理装置に接続されている場合に、前記第一のアクセス無効化手段が前記アクセスを不可能とすることを抑止するアクセス無効化抑止手段を有する、
請求項１または２記載の記憶装置。
【請求項６】
前記情報処理装置に接続されていないときに自身の動作に必要な電力を供給する電力供給手段と、
前記情報処理装置に接続されていない場合であって前記電力供給手段が供給することができる電力が所定の値よりも低下した場合に、前記データへのアクセスを不可能とする第二のアクセス無効化手段と、
を有する請求項１ないし５のいずれかに記載の記憶装置。
【請求項７】
情報処理装置に接続可能な記憶装置の制御方法であって、
データを第一の記憶手段に記憶させる処理と、
前記データを削除する時期を示す削除予定時刻を第二の記憶手段に記憶させる処理と、
前記情報処理装置に接続されているか否かに関わらず、現在時刻が前記削除予定時刻に達したときに、前記データへのアクセスを不可能とする処理と、
を実行させる記憶装置の制御方法。
【請求項８】
情報処理装置に接続可能な記憶装置に用いられるコンピュータプログラムであって、
データを第一の記憶手段に記憶させる処理と、
前記データを削除する時期を示す削除予定時刻を第二の記憶手段に記憶させる処理と、
前記情報処理装置に接続されているか否かに関わらず、現在時刻が前記削除予定時刻に達したときに、前記データへのアクセスを不可能とする処理と、
を前記記憶装置に実行させるコンピュータプログラム。
【請求項１】
情報処理装置に接続可能な記憶装置であって、
データを記憶する第一の記憶手段と、
前記データを削除する時期を示す削除予定時刻を記憶する第二の記憶手段と、
前記情報処理装置に接続されているか否かに関わらず、現在時刻が前記削除予定時刻に達したときに、前記データへのアクセスを不可能とする第一のアクセス無効化手段と、
を有する記憶装置。
【請求項２】
前記データは、暗号化されて前記第一の記憶手段に記憶され、
前記第一のアクセス無効化手段は、前記データの復号化に必要な暗号鍵を削除することにより前記アクセスを不可能とする、
請求項１記載の記憶装置。
【請求項３】
前記情報処理装置に接続されている場合に、前記削除予定時刻から現在時刻を引いた残り時間を算出し、当該残り時間をユーザに知らせるための画面を前記情報処理装置に表示させるための処理を行う第一の表示制御手段を有する、
請求項１または２記載の記憶装置。
【請求項４】
前記情報処理装置に接続されている場合であって前記残り時間が所定の時間以下となった場合に、前記削除予定時刻が近づいていることをユーザに知らせるための画面を前記情報処理装置に表示させるための処理を行う第二の表示制御手段を有する、
請求項３記載の記憶装置。
【請求項５】
ユーザによって特別に指定された前記情報処理装置に接続されている場合に、前記第一のアクセス無効化手段が前記アクセスを不可能とすることを抑止するアクセス無効化抑止手段を有する、
請求項１または２記載の記憶装置。
【請求項６】
前記情報処理装置に接続されていないときに自身の動作に必要な電力を供給する電力供給手段と、
前記情報処理装置に接続されていない場合であって前記電力供給手段が供給することができる電力が所定の値よりも低下した場合に、前記データへのアクセスを不可能とする第二のアクセス無効化手段と、
を有する請求項１ないし５のいずれかに記載の記憶装置。
【請求項７】
情報処理装置に接続可能な記憶装置の制御方法であって、
データを第一の記憶手段に記憶させる処理と、
前記データを削除する時期を示す削除予定時刻を第二の記憶手段に記憶させる処理と、
前記情報処理装置に接続されているか否かに関わらず、現在時刻が前記削除予定時刻に達したときに、前記データへのアクセスを不可能とする処理と、
を実行させる記憶装置の制御方法。
【請求項８】
情報処理装置に接続可能な記憶装置に用いられるコンピュータプログラムであって、
データを第一の記憶手段に記憶させる処理と、
前記データを削除する時期を示す削除予定時刻を第二の記憶手段に記憶させる処理と、
前記情報処理装置に接続されているか否かに関わらず、現在時刻が前記削除予定時刻に達したときに、前記データへのアクセスを不可能とする処理と、
を前記記憶装置に実行させるコンピュータプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２０１１−２３３０８７（Ｐ２０１１−２３３０８７Ａ）
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願番号】特願２０１０−１０５３１９（Ｐ２０１０−１０５３１９）
【出願日】平成２２年４月３０日（２０１０．４．３０）
【出願人】（３９００２８９６７）富士通関西中部ネットテック株式会社 (1)
【Ｆターム（参考）】
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願日】平成２２年４月３０日（２０１０．４．３０）
【出願人】（３９００２８９６７）富士通関西中部ネットテック株式会社 (1)
【Ｆターム（参考）】
[ Back to top ]