(57)【特許請求の範囲】
【請求項１】
情報を記憶するメモリと、
外部の装置から繰り返し発信される暗号データを受信するとともに、前記外部の装置から前記暗号データの発信が中断されることを通知する通知データを受信する通信部と、
前記通信部による前記暗号データの受信状況を監視するとともに、前記通信部により前記暗号データが受信される度に前記暗号データを復号して検証し、前記暗号データの受信が途絶えたと判定した場合、及び、前記暗号データの検証が失敗した場合に、前記メモリに記憶された情報を消去し、前記通信部により前記通知データが受信された場合、所定の期間内は、前記通信部により前記暗号データが受信されなくても、前記メモリに記憶された情報を消去しない情報消去部と
を有することを特徴とする情報管理装置。
【請求項２】
前記通信部は、前記通知データとして、前記暗号データの発信が中断される期間を通知する通知データを受信し、
前記情報消去部は、前記通信部により前記通知データが受信された場合、前記所定の期間として、前記通知データによって通知された期間内は、前記通信部により前記暗号データが受信されなくても、前記メモリに記憶された情報を消去しないことを特徴とする請求項１の情報管理装置。
【請求項３】
前記通信部は、前記暗号データの１つとして、前記通知データを暗号化したデータを受信することを特徴とする請求項１又は２の情報管理装置。
【請求項４】
前記情報管理装置は、前記外部の装置と電力線により接続され、
前記メモリは、前記外部の装置から前記電力線を介して供給される電力により動作する揮発性メモリであることを特徴とする請求項１から３のいずれかの情報管理装置。
【請求項５】
外部の装置と電力線により接続された情報管理装置であって、
前記外部の装置から前記電力線を介して供給される電力により動作する揮発性メモリと、
前記外部の装置から繰り返し発信される暗号データを受信する通信部と、
前記通信部による前記暗号データの受信状況を監視するとともに、前記通信部により前記暗号データが受信される度に前記暗号データを復号して検証し、前記暗号データの受信が途絶えたと判定した場合、及び、前記暗号データの検証が失敗した場合に、前記揮発性メモリに記憶された情報を消去する情報消去部と
を有することを特徴とする情報管理装置。
【請求項６】
前記通信部は、前記外部の装置から前記電力線を介して前記暗号データを受信することを特徴とする請求項４又は５の情報管理装置。
【請求項７】
請求項１から６のいずれかの情報管理装置と、
前記外部の装置と
を備えることを特徴とする情報管理システム。
【請求項８】
情報を記憶するメモリを有する情報管理装置を用いた情報管理方法において、
前記情報管理装置の通信部が、外部の装置から繰り返し発信される暗号データを受信するとともに、前記外部の装置から前記暗号データの発信が中断されることを通知する通知データを受信し、
前記情報管理装置の情報消去部が、前記通信部による前記暗号データの受信状況を監視するとともに、前記通信部により前記暗号データが受信される度に前記暗号データを復号して検証し、前記暗号データの受信が途絶えたと判定した場合、及び、前記暗号データの検証が失敗した場合に、前記メモリに記憶された情報を消去し、前記通信部により前記通知データが受信された場合、所定の期間内は、前記通信部により前記暗号データが受信されなくても、前記メモリに記憶された情報を消去しないことを特徴とする情報管理方法。
【請求項９】
外部の装置から電力線を介して供給される電力により動作する揮発性メモリを有し、前記外部の装置と前記電力線により接続された情報管理装置を用いた情報管理方法において、
前記情報管理装置の通信部が、前記外部の装置から繰り返し発信される暗号データを受信し、
前記情報管理装置の情報消去部が、前記通信部による前記暗号データの受信状況を監視するとともに、前記通信部により前記暗号データが受信される度に前記暗号データを復号して検証し、前記暗号データの受信が途絶えたと判定した場合、及び、前記暗号データの検証が失敗した場合に、前記揮発性メモリに記憶された情報を消去することを特徴とする情報管理方法。
【請求項１０】
情報を記憶するメモリを有するコンピュータを、
外部の装置から繰り返し発信される暗号データを受信するとともに、前記外部の装置から前記暗号データの発信が中断されることを通知する通知データを受信する通信部と、
前記通信部による前記暗号データの受信状況を監視するとともに、前記通信部により前記暗号データが受信される度に前記暗号データを復号して検証し、前記暗号データの受信
が途絶えたと判定した場合、及び、前記暗号データの検証が失敗した場合に、前記メモリに記憶された情報を消去し、前記通信部により前記通知データが受信された場合、所定の期間内は、前記通信部により前記暗号データが受信されなくても、前記メモリに記憶された情報を消去しない情報消去部
として機能させるためのプログラム。
【請求項１１】
外部の装置から電力線を介して供給される電力により動作する揮発性メモリを有し、前記外部の装置と前記電力線により接続されたコンピュータを、
前記外部の装置から繰り返し発信される暗号データを受信する通信部と、
前記通信部による前記暗号データの受信状況を監視するとともに、前記通信部により前記暗号データが受信される度に前記暗号データを復号して検証し、前記暗号データの受信
が途絶えたと判定した場合、及び、前記暗号データの検証が失敗した場合に、前記揮発性メモリに記憶された情報を消去する情報消去部
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報管理装置及び情報管理システム及び情報管理方法及びプログラムに関するものである。本発明は、特に、電子マネーシステム、ＩＣ（集積回路）カード応用システム、プリペイドカードシステム等、外部に漏洩してはならない機密情報を扱うシステムで使用されるセキュリティ装置の盗難防止機構に関するものである。
【背景技術】
【０００２】
近年、電子マネーシステム、ＩＣカード応用システム、プリペイドカードシステム等、その内部で機密情報を扱うシステムが多数開発されている。そのようなシステムにおいては、システムを制御する装置の内部に機密情報を保管している。また、その保管している機密情報に対するアクセスを制御するための制御情報として、当該装置と他の装置との間での相互認証や、装置間の通信を秘匿するための情報も装置内部に保持している。この制御情報も外部に漏洩してはならないものであるため、機密情報の一部であるといえる。
【０００３】
従来、機密情報への不正なアクセスを抑止する方法として、装置への外部給電が絶たれたことを装置の盗難とみなして、装置内部の機密情報を消去する方法が考案されている（例えば、特許文献１参照）。しかし、この方法では、停電により外部給電が絶たれる場合と盗難により外部給電が絶たれる場合とを区別できないため、停電時にも機密情報が消去され、装置が使用不可となるという課題があった。対策として、外部給電が絶たれたときに、装置に振動が加わったことを装置の盗難とみなして、装置内部の機密情報を消去する方法が考えられている（例えば、特許文献２参照）。
【０００４】
また、機密情報への不正なアクセスを抑止する別の方法として、ＧＰＳ（全地球測位システム）を用いて定期的に装置の現在の位置情報を取得し、予め登録された設置時の位置情報と比較して装置の盗難を判定し、盗難時は装置内部の機密情報を消去する方法が考案されている（例えば、特許文献３参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００４−２８７９８４号公報
【特許文献２】特開２００６−３０１８７９号公報
【特許文献３】特開２００２−２３６６１９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上記のように、従来技術においては、外部電源の切断、又は、外部電源の切断時の振動検知を契機として、装置内部の機密情報を消去することで、外部への機密情報の漏洩を抑止している。しかしながら、従来技術においては、装置を、停電時にも装置に振動が加わるような環境で使用した場合、やはり停電と盗難との区別ができないという課題があった。また、装置への攻撃者（機密情報を盗もうとする者）が、装置に振動を与えないように慎重に装置を持ち去った場合には、機密情報が消去されず、漏洩してしまう危険性があった。
【０００７】
また、別の従来技術においては、ＧＰＳの位置情報の変化を検知して、装置内部の機密情報を消去することで、外部への機密情報の漏洩を抑止している。しかしながら、この従来技術は、装置がＧＰＳの衛星からの搬送波（位置情報）を受信できない環境においては、使用することができないという課題があった。また、装置への攻撃者が、装置の外部からＧＰＳの搬送波を模擬した電波を放射しながら装置を持ち去った場合には、装置側で盗難を検知することができず、機密情報が漏洩してしまう危険性があった。
【０００８】
本発明は、例えば、機密情報を保持する装置において、装置の盗難を確実に検知し、盗難時の機密情報の漏洩を抑止することを目的とする。
【課題を解決するための手段】
【０００９】
本発明の一の態様に係る情報管理装置は、
情報を記憶するメモリと、
外部の装置から繰り返し発信される暗号データを受信する通信部と、
前記通信部による前記暗号データの受信状況を監視するとともに、前記通信部により前記暗号データが受信される度に前記暗号データを復号して検証し、前記暗号データの受信が途絶えたと判定した場合、及び、前記暗号データの検証が失敗した場合に、前記メモリに記憶された情報を消去する情報消去部とを有する。
【発明の効果】
【００１０】
本発明の一の態様によれば、機密情報を保持する装置（情報管理装置）において、装置の盗難を確実に検知し、盗難時の機密情報の漏洩を抑止することが可能となる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係る情報管理システムの構成を示すブロック図。
【図２】実施の形態１に係る監視装置の構成例を示す図。
【図３】実施の形態１に係るセキュリティ装置の固有信号検証モジュールの構成例を示す図。
【図４】実施の形態１に係るセキュリティ装置のハードウェア構成例を示す図。
【図５】実施の形態２に係る情報管理システムの構成を示すブロック図。
【図６】実施の形態３に係る情報管理システムの構成を示すブロック図。
【図７】実施の形態４に係る情報管理システムの構成を示すブロック図。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について、図を用いて説明する。
【００１３】
実施の形態１．
図１は、本実施の形態に係る情報管理システム１０の構成を示すブロック図である。
【００１４】
図１において、情報管理システム１０は、セキュリティ装置１１（情報管理装置の一例）、監視装置２０（外部の装置の一例）、外部電源３０を備える。
【００１５】
セキュリティ装置１１は、電子マネーシステム、ＩＣカード応用システム、プリペイドカードシステム等、外部に漏洩してはならない機密情報を扱うシステムを制御する装置である。セキュリティ装置１１は、バッテリ１２、電源スイッチ１３、通信部１４、固有信号検証モジュール１５（情報消去部の一例）、揮発性メモリ１６（メモリの一例）を有する。また、図示していないが、セキュリティ装置１１は、電子マネーシステム、ＩＣカード応用システム、プリペイドカードシステム等のシステムを制御するための機能部を有する。
【００１６】
バッテリ１２は、外部電源３０と電力線３１により接続されている。バッテリ１２は、電力線３１を介して外部電源３０から電力供給信号を受信し（電力の供給を受け）、電力を蓄積する。外部電源３０は、セキュリティ装置１１の設置場所から離れた建造物等の遠隔場所に配備される。なお、外部電源３０は、セキュリティ装置１１の設置場所に配備される給電設備（例えば、商用電源）であってもよい。
【００１７】
電源スイッチ１３は、バッテリ１２と同様に、外部電源３０と電力線３１により接続されている。電源スイッチ１３は、電力線３１を介して外部電源３０から電力供給信号を受信する（電力の供給を受ける）。つまり、電源スイッチ１３は、電力線３１を介して外部給電を受ける。また、電源スイッチ１３は、バッテリ１２とも接続されている。電源スイッチ１３は、外部電源３０の停電時にはバッテリ１２に蓄積された電力の供給を受ける。
【００１８】
電源スイッチ１３は、例えば手動により操作され、ＯＮ（オン）であれば外部給電の電力を固有信号検証モジュール１５へ供給し、ＯＦＦ（オフ）であれば固有信号検証モジュール１５への給電を停止する。停電発生時には、外部給電が絶たれるため、電源スイッチ１３は、ＯＮであればバッテリ１２からの電力を固有信号検証モジュール１５へ供給し、ＯＦＦであれば固有信号検証モジュール１５への給電を停止する。
【００１９】
なお、停電発生時に、電源スイッチ１３が固有信号検証モジュール１５への電力供給源をバッテリ１２に切り替えるのではなく、電源スイッチ１３とは別にセキュリティ装置１１に設けられた電源制御部（図示していない）が電力供給源を切り替えるようにしてもよい。この場合、電源スイッチ１３はバッテリ１２と接続されている必要はなく、電源制御部がバッテリ１２及び電源スイッチ１３と接続されていればよい。電源スイッチ１３がＯＮで電源スイッチ１３からの給電がある場合、電源制御部は、外部給電の電力（電源スイッチ１３から供給された電力）を固有信号検証モジュール１５へ供給する。また、この場合、電源制御部は、外部給電の電力によりバッテリ１２を充電する。電源スイッチ１３がＯＮで電源スイッチ１３からの給電が絶たれた場合、電源制御部は、停電が発生したと判断し、固有信号検証モジュール１５への電力供給源をバッテリ１２に切り換える。つまり、この場合、電源制御部は、バッテリ１２により固有信号検証モジュール１５に電力を供給する。電源スイッチ１３がＯＦＦの場合、電源制御部は、バッテリ１２が充電されていたとしても、固有信号検証モジュール１５への給電を停止する。
【００２０】
通信部１４は、監視装置２０と信号線２１により接続されており、監視装置２０とＬＡＮ（Ｌｏｃａｌ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）等の通信を行う。通信部１４は、信号線２１を介して監視装置２０から暗号データを含む固有信号を受信する。監視装置２０は、所定のタイミングで（例えば、１０秒、３０秒、１分といった一定時間ごとに）信号線２１を介して固有信号を繰り返し発信する。監視装置２０は、ＰＣ（パーソナルコンピュータ）やサーバコンピュータ等であり、外部電源３０と同様に、遠隔場所に設置される。なお、監視装置２０は、外部電源３０と異なる場所に設置されてもよいが、セキュリティ装置１１とともに盗み出すことが困難な場所に設置されることが望ましい。例えば、監視装置２０は、セキュリティ装置１１を収納する筐体やラック等に内蔵されてもよく、この場合、筐体やラック等は建物の外に持ち出せないように床等に固定されることが望ましい。セキュリティ装置１１は、信号線２１を切断しない限り、外部に持ち出せないようになっている。
【００２１】
揮発性メモリ１６は、例えばＳＲＡＭ（Ｓｔａｔｉｃ・Ｒａｎｄｏｍ・Ａｃｃｅｓｓ・Ｍｅｍｏｒｙ）であり、機密情報（情報の一例）を記憶する。揮発性メモリ１６は、通常時には外部給電により、停電時にはバッテリ１２により電力を供給されて動作する。給電が絶たれると、揮発性メモリ１６から機密情報が消失する。なお、揮発性メモリ１６が記憶する情報は、機密情報に限らず、他の任意の情報であってよい。
【００２２】
固有信号検証モジュール１５は、通信部１４による固有信号の受信状況を監視する。具体的には、固有信号検証モジュール１５は、通信部１４が前述した所定のタイミングで固有信号を繰り返し受信しているかどうか監視し、通信部１４が固有信号を受信すべきタイミングで受信していなければ（例えば、前回の受信から一定時間が経過したら）、固有信号の受信が途絶えたと判定する。固有信号検証モジュール１５は、固有信号の受信が途絶えたと判定した場合、揮発性メモリ１６に記憶された機密情報を消去する。
【００２３】
また、固有信号検証モジュール１５は、通信部１４により固有信号が受信される度に、固有信号に含まれる暗号データを復号して検証する。暗号データを復号して得られたデータが正規のデータであれば、検証は成功したことになり、正規のデータでなければ、検証は失敗したことになる。固有信号検証モジュール１５は、暗号データの検証が失敗した場合、固有信号の受信が途絶えたと判定した場合と同様に、揮発性メモリ１６に記憶された機密情報を消去する。
【００２４】
本実施の形態では、バッテリ１２が、停電時のみに、固有信号検証モジュール１５に電力を供給するが、通常時も、固有信号検証モジュール１５に電力を供給するようにしてもよい。この場合、電源スイッチ１３がＯＮであれば、外部給電の有無に関わらず、バッテリ１２から固有信号検証モジュール１５に電力が供給される。これにより、停電時に、固有信号検証モジュール１５への電力供給源をバッテリ１２に切り換える動作が不要となるため、この動作中に揮発性メモリ１６から機密情報が消失するという事態を確実に回避できる。
【００２５】
図２は、監視装置２０の構成例を示す図である。
【００２６】
図２において、監視装置２０は、メッセージ生成部２２、ハッシュ関数処理部２３、秘密鍵保持部２４、暗号処理部２５、固有信号発信部２６を有する。
【００２７】
メッセージ生成部２２は、任意のデジタルデータであるメッセージを生成する。このメッセージは、固有信号が盗聴されてもなりすましができないように、毎回（固有信号の発信ごとに）異なるものであることが望ましく、セキュリティ装置１１の固有信号検証モジュール１５との間で同期されたカウンタ値や時刻情報等を含むものであることがより望ましい。
【００２８】
ハッシュ関数処理部２３は、所定のハッシュ関数を用いて、メッセージ生成部２２により生成されたメッセージのハッシュ値を算出する。
【００２９】
秘密鍵保持部２４は、監視装置２０の秘密鍵をＲＯＭ（Ｒｅａｄ・Ｏｎｌｙ・Ｍｅｍｏｒｙ）等の記録媒体に予め保持する。
【００３０】
暗号処理部２５は、ハッシュ関数処理部２３により算出されたハッシュ値を、秘密鍵保持部２４により保持されている秘密鍵で暗号化することにより、メッセージ生成部２２により生成されたメッセージのデジタル署名を生成する。
【００３１】
固有信号発信部２６は、メッセージ生成部２２により生成されたメッセージに、暗号処理部２５により生成されたデジタル署名を付加した固有信号を、信号線２１を介してセキュリティ装置１１に発信する。
【００３２】
なお、本例におけるデジタル署名は、固有信号に含まれる暗号データの一例であり、上記以外の方法により生成されるデジタル署名あるいはその他の暗号データに置き換えても構わない。
【００３３】
図３は、セキュリティ装置１１の固有信号検証モジュール１５の構成例を示す図である。
【００３４】
図３において、固有信号検証モジュール１５は、メッセージ保持部４１、ハッシュ関数処理部４２、デジタル署名保持部４３、公開鍵保持部４４、復号処理部４５、メッセージ比較部４６、電子スイッチ４７を有する。
【００３５】
メッセージ保持部４１は、通信部１４により受信された固有信号に含まれるメッセージをＲＡＭ（Ｒａｎｄｏｍ・Ａｃｃｅｓｓ・Ｍｅｍｏｒｙ）等の記録媒体に一時的に保持する。
【００３６】
ハッシュ関数処理部４２は、前述した所定のハッシュ関数を用いて、メッセージ保持部４１により保持されたメッセージのハッシュ値を算出する。
【００３７】
デジタル署名保持部４３は、通信部１４により受信された固有信号に含まれるデジタル署名をＲＡＭ等の記録媒体に一時的に保持する。
【００３８】
公開鍵保持部４４は、監視装置２０の公開鍵をＲＯＭ等の記録媒体に予め保持する。
【００３９】
復号処理部４５は、デジタル署名保持部４３により保持されたデジタル署名を、公開鍵保持部４４により保持されている公開鍵で復号することにより、元のハッシュ値（平文データ）を取得する。
【００４０】
メッセージ比較部４６は、ハッシュ関数処理部４２により算出されたハッシュ値と復号処理部４５により取得されたハッシュ値とを比較し、両方のハッシュ値が一致すれば、電子スイッチ４７をＯＮ（導通）のまま保持し、一致しなければ、電子スイッチ４７をＯＦＦ（非導通）にする。
【００４１】
電子スイッチ４７は、メッセージ比較部４６によりＯＮ／ＯＦＦを制御されて、電源スイッチ１３からの電源入力と、揮発性メモリ１６への電源出力との間の導通／非導通を切り換える。電子スイッチ４７がＯＮ（導通）であれば、通常時は外部給電の電力、停電時はバッテリ１２の電力が揮発性メモリ１６に供給される。電子スイッチ４７がＯＦＦ（非導通）であれば、揮発性メモリ１６への給電が停止する。その結果、揮発性メモリ１６に記憶された機密情報が消失する。なお、電子スイッチ４７の初期値はＯＮであり、メッセージ比較部４６が不一致になった場合にＯＦＦになる。
【００４２】
図示していないが、固有信号検証モジュール１５は、さらに、時間を計測するタイマを有する。このタイマは、通信部１４が固有信号を受信する度にリセットされる。固有信号のメッセージ部分に、メッセージの先頭を識別するデータ（ビット列）を配置することで、固有信号検証モジュール１５は通信部１４が固有信号を検知したタイミングを検知できる。固有信号検証モジュール１５は、タイマにより計測された時間が一定時間に達した場合にも、電子スイッチ４７をＯＦＦ（非導通）にする。
【００４３】
上記のように、本実施の形態では、通常時だけでなく、停電時においても、確実にセキュリティ装置１１の盗難を検知し、盗難時の機密情報の漏洩を抑止することが可能となる。
【００４４】
なお、本実施の形態では、揮発性メモリ１６が機密情報を記憶するが、揮発性メモリ１６の代わりに、不揮発性メモリを用いてもよい。この場合、固有信号検証モジュール１５は、固有信号の受信が途絶えたと判定した場合、及び、暗号データの検証が失敗した場合に、不揮発性メモリに記憶された機密情報を別の情報（例えば、機密情報を暗号化した情報でもよいし、機密情報と何ら関連性のないダミー情報でもよい）で上書きする。あるいは、不揮発性メモリを物理的に破壊する。これにより、不揮発性メモリから機密情報が実質的に消去されるため、機密情報の漏洩を防止できる。
【００４５】
以上説明したように、本実施の形態において、セキュリティ装置１１は、外部に漏洩してはならない機密情報を扱うシステムで使用され、かつ、外部からの電源供給を受けて動作する装置である。セキュリティ装置１１は、停電時は、バッテリ１２により、装置内部の揮発性メモリ１６に保管された機密情報をバックアップする機構を備える。セキュリティ装置１１は、装置の外部にある監視装置２０から定期的に発信される固有信号を受けて、当該固有信号が監視装置２０から発信された信号であることを検証できる手段を備える。セキュリティ装置１１は、固有信号の検証が失敗することで装置の盗難を検知し、機密情報を保管した揮発性メモリ１６への給電を遮断して、機密情報を消去する。
【００４６】
具体的には、セキュリティ装置１１は、監視装置２０からの固有信号を検証する固有信号検証モジュール１５を備える。固有信号検証モジュール１５は、固有信号を検証した結果、それが不正な信号だと判断した場合、機密情報を保管した揮発性メモリ１６への給電を遮断して、機密情報を消去する機能をもつ。
【００４７】
停電が発生し、外部電源３０からの給電が途絶えた場合、電源スイッチ１３により、バッテリ１２からの電力が、固有信号検証モジュール１５を経由して、機密情報を保持する揮発性メモリ１６に供給されるため、機密情報が消えるのを防止することができる。
【００４８】
セキュリティ装置１１の盗難に際しては、電力供給信号が伝送される電力線３１、固有信号が伝送される信号線２１が切断され、揮発性メモリ１６への給電がなくなるため、機密情報が消去される。
【００４９】
セキュリティ装置１１の盗難に先立ち、信号線２１が別の信号線につなぎ換えられたとしても、固有信号の受信が一旦途絶えることで、固有信号検証モジュール１５により揮発性メモリ１６への給電が遮断されるため、機密情報が消去される。仮に、信号線２１が別の信号線に素早くつなぎ換えられたとしても、その（別の）信号線上で固有信号を模擬することは極めて困難であるため、機密情報が消去されるのを回避することはできない。
【００５０】
以上から、本実施の形態によれば、セキュリティ装置１１の盗難時において、固有信号が伝送される信号線２１の切断を検知することで、装置が盗難されたことを確実に検知し、機密情報の漏洩を防止することができる。また、セキュリティ装置１１の盗難時において、固有信号が伝送される信号線２１が別の信号線に素早くつなぎ換えられても、その（別の）信号線上では固有信号を模擬することができないため、装置が盗難されたことを確実に検知し、機密情報の漏洩を防止することができる。
【００５１】
図４は、セキュリティ装置１１のハードウェア構成例を示す図である。なお、監視装置２０にも、同様のハードウェア構成を採用することができる。
【００５２】
図４において、セキュリティ装置１１は、コンピュータであり、ＬＣＤ７１（Ｌｉｑｕｉｄ・Ｃｒｙｓｔａｌ・Ｄｉｓｐｌａｙ）、キーボード７２（Ｋ／Ｂ）、マウス７３、ＦＤＤ７４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、ＣＤＤ７５（Ｃｏｍｐａｃｔ・Ｄｉｓｃ・Ｄｒｉｖｅ）、プリンタ７６といったハードウェアデバイスを備えている。これらのハードウェアデバイスはケーブルや信号線で接続されている。ＬＣＤ７１の代わりに、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）、あるいは、その他の表示装置が用いられてもよい。マウス７３の代わりに、タッチパネル、タッチパッド、トラックボール、ペンタブレット、あるいは、その他のポインティングデバイスが用いられてもよい。
【００５３】
セキュリティ装置１１は、プログラムを実行するＣＰＵ８１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ）を備えている。ＣＰＵ８１は、処理装置の一例である。ＣＰＵ８１は、バス８２を介してＲＯＭ８３、ＲＡＭ８４、通信ボード８５、ＬＣＤ７１、キーボード７２、マウス７３、ＦＤＤ７４、ＣＤＤ７５、プリンタ７６、ＨＤＤ９０（Ｈａｒｄ・Ｄｉｓｋ・Ｄｒｉｖｅ）と接続され、これらのハードウェアデバイスを制御する。ＨＤＤ９０の代わりに、フラッシュメモリ、光ディスク装置、メモリカードリーダライタ、あるいは、その他の記録媒体が用いられてもよい。
【００５４】
ＲＡＭ８４は、揮発性メモリ１６の一例である。ＲＯＭ８３、ＦＤＤ７４、ＣＤＤ７５、ＨＤＤ９０は、不揮発性メモリの一例である。これらは、記憶装置の一例である。通信ボード８５、キーボード７２、マウス７３、ＦＤＤ７４、ＣＤＤ７５は、入力装置の一例である。また、通信ボード８５、ＬＣＤ７１、プリンタ７６は、出力装置の一例である。
【００５５】
通信ボード８５は、ＬＡＮ等に接続されている。通信ボード８５は、ＬＡＮに限らず、ＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ・Ｐｒｏｔｏｃｏｌ・Ｖｉｒｔｕａｌ・Ｐｒｉｖａｔｅ・Ｎｅｔｗｏｒｋ）、広域ＬＡＮ、ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ・Ｔｒａｎｓｆｅｒ・Ｍｏｄｅ）ネットワークといったＷＡＮ（Ｗｉｄｅ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）、あるいは、インターネットに接続されていても構わない。ＬＡＮ、ＷＡＮ、インターネットは、ネットワークの一例である。
【００５６】
ＨＤＤ９０には、オペレーティングシステム９１（ＯＳ）、ウィンドウシステム９２、プログラム群９３、ファイル群９４が記憶されている。プログラム群９３のプログラムは、ＣＰＵ８１、オペレーティングシステム９１、ウィンドウシステム９２により実行される。プログラム群９３には、本実施の形態の説明において「〜部」として説明する機能を実行するプログラムが含まれている。プログラムは、ＣＰＵ８１により読み出され実行される。ファイル群９４には、本実施の形態の説明において、「〜データ」、「〜情報」、「〜ＩＤ（識別子）」、「〜フラグ」、「〜結果」として説明するデータや情報や信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」や「〜テーブル」の各項目として含まれている。「〜ファイル」や「〜データベース」や「〜テーブル」は、ＲＡＭ８４やＨＤＤ９０等の記録媒体に記憶される。ＲＡＭ８４やＨＤＤ９０等の記録媒体に記憶されたデータや情報や信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１によりメインメモリやキャッシュメモリに読み出され、抽出、検索、参照、比較、演算、計算、制御、出力、印刷、表示といったＣＰＵ８１の処理（動作）に用いられる。抽出、検索、参照、比較、演算、計算、制御、出力、印刷、表示といったＣＰＵ８１の処理中、データや情報や信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００５７】
本実施の形態の説明において用いるブロック図やフローチャートの矢印の部分は主としてデータや信号の入出力を示す。データや信号は、ＲＡＭ８４等のメモリ、ＦＤＤ７４のフレキシブルディスク（ＦＤ）、ＣＤＤ７５のコンパクトディスク（ＣＤ）、ＨＤＤ９０の磁気ディスク、光ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｃ）、あるいは、その他の記録媒体に記録される。また、データや信号は、バス８２、信号線、ケーブル、あるいは、その他の伝送媒体により伝送される。
【００５８】
本実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜工程」、「〜手順」、「〜処理」であってもよい。即ち、「〜部」として説明するものは、ＲＯＭ８３に記憶されたファームウェアで実現されていても構わない。あるいは、「〜部」として説明するものは、ソフトウェアのみ、あるいは、素子、デバイス、基板、配線といったハードウェアのみで実現されていても構わない。あるいは、「〜部」として説明するものは、ソフトウェアとハードウェアとの組み合わせ、あるいは、ソフトウェアとハードウェアとファームウェアとの組み合わせで実現されていても構わない。ファームウェアとソフトウェアは、プログラムとして、フレキシブルディスク、コンパクトディスク、磁気ディスク、光ディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ８１により読み出され、ＣＰＵ８１により実行される。即ち、プログラムは、本実施の形態の説明で述べる「〜部」としてコンピュータを機能させるものである。あるいは、プログラムは、本実施の形態の説明で述べる「〜部」の手順や方法をコンピュータに実行させるものである。
【００５９】
実施の形態２．
本実施の形態について、主に実施の形態１との差異を説明する。
【００６０】
図５は、本実施の形態に係る情報管理システム１０の構成を示すブロック図である。
【００６１】
図５において、バッテリ１２は、セキュリティ装置１１の内部に設けられる代わりに、バックアップ電源として、監視装置２０や外部電源３０と同じ遠隔場所に設けられている。なお、バッテリ１２は、監視装置２０や外部電源３０と異なる場所に設置されてもよい。
【００６２】
電源スイッチ１３は、バッテリ１２と電力線３２により接続されている。電源スイッチ１３は、外部電源３０の停電時には電力線３２を介してバッテリ１２から電力供給信号を受信する。つまり、電源スイッチ１３は、停電が発生すると、電力線３２を介して外部のバッテリ１２に蓄積された電力の供給を受ける。
【００６３】
なお、本実施の形態では、実施の形態１と同様に、セキュリティ装置１１の内部にバッテリ１２が設けられていてもよい。即ち、セキュリティ装置１１の内部と外部との両方にバッテリ１２が設けられていてもよい。
【００６４】
実施の形態３．
本実施の形態について、主に実施の形態１との差異を説明する。
【００６５】
図６は、本実施の形態に係る情報管理システム１０の構成を示すブロック図である。
【００６６】
図６において、情報管理システム１０は、さらに、信号重畳制御部３３を備える。セキュリティ装置１１は、さらに、信号分離制御部１７を有する。
【００６７】
バッテリ１２及び電源スイッチ１３は、外部電源３０とは直接接続されていない。また、通信部１４は、監視装置２０とは直接接続されていない。本実施の形態では、信号分離制御部１７が信号重畳制御部３３と電力線３１により接続されている。
【００６８】
信号重畳制御部３３は、電力線３１を介して電力供給信号を送信する。信号分離制御部１７は、信号重畳制御部３３から電力供給信号を受信する。監視装置２０から固有信号が発信されるタイミングにおいて、信号重畳制御部３３は、監視装置２０から発信された固有信号を、外部電源３０からの電力供給信号に重畳する。そして、信号重畳制御部３３は、電力線３１を介して、固有信号を重畳した電力供給信号を送信する。この場合、信号分離制御部１７は、信号重畳制御部３３から、固有信号が重畳された電力供給信号を受信する。
【００６９】
信号分離制御部１７は、固有信号が重畳されていない電力供給信号を受信した場合、受信した電力供給信号を電源スイッチ１３に入力する。電源スイッチ１３は、電力供給信号が入力されると、実施の形態１と同様に動作するとともに、バッテリ１２を充電する。
【００７０】
信号分離制御部１７は、固有信号が重畳された電力供給信号を受信した場合、受信した電力供給信号から固有信号を分離した上で、その電力供給信号を電源スイッチ１３に入力する。電源スイッチ１３は、電力供給信号が入力されると、実施の形態１と同様に動作するとともに、バッテリ１２を充電する。信号分離制御部１７は、電力供給信号から分離した固有信号を通信部１４に入力する。通信部１４は、固有信号が入力されると、実施の形態１と同様に動作する。
【００７１】
上記のように、本実施の形態では、通信部１４が、監視装置２０から（間接的に）電力線３１を介して暗号データを含む固有信号を受信する。そのため、実施の形態１における信号線２１が不要となる。
【００７２】
以上説明したように、本実施の形態では、装置の外部にある監視装置２０から定期的に発信される固有信号が、外部からの電力供給信号に重畳されてセキュリティ装置１１に送信される。これにより、情報管理システム１０の敷設に必要なケーブル本数が減少し、設置・移設の手間が少なくなる。
【００７３】
実施の形態４．
本実施の形態について、主に実施の形態１との差異を説明する。
【００７４】
図７は、本実施の形態に係る情報管理システム１０の構成を示すブロック図である。
【００７５】
図７において、セキュリティ装置１１の通信部１４は、アンテナ１８を具備する。
【００７６】
通信部１４は、監視装置２０と有線により接続される代わりに、監視装置２０とアンテナ１８を介して無線通信を行う。監視装置２０は、所定のタイミングで（例えば、１０秒、３０秒、１分といった一定時間ごとに）固有信号を繰り返し無線で発信する。通信部１４は、監視装置２０から暗号データを含む固有信号を無線で受信する。そのため、実施の形態１における信号線２１が不要となる。
【００７７】
実施の形態５．
本実施の形態について、主に実施の形態１との差異を説明する。
【００７８】
本実施の形態に係る情報管理システム１０の構成は、図１に示した実施の形態１のものと同様である。
【００７９】
監視装置２０は、固有信号の発信が中断されることを通知する通知データを、任意のタイミングで発信する（例えば、セキュリティ装置１１の移設に先立って、管理者からの入力指示により通信データを発信する）。この通知データには、固有信号の発信が中断される期間（例えば、セキュリティ装置１１の移設にかかる期間）等を示す情報が含まれる。なお、監視装置２０は、通知データを固有信号の１つとして発信してもよい。即ち、監視装置２０は、固有信号のメッセージに通知データを含めてもよい。
【００８０】
監視装置２０から発信された通知データは、信号線２１を介してセキュリティ装置１１の通信部１４により受信される。固有信号検証モジュール１５は、通信部１４により通知データが受信された場合、所定の期間（予め定められていてもよいし、前述したように通知データにより通知される期間をそのまま適用してもよいし、その通知される期間に基づいて決定してもよい）内は、通信部１４により固有信号が受信されなくても、揮発性メモリ１６に記憶された機密情報を消去しない。ただし、その期間が経過した後も固有信号の受信が途絶えたままであれば、揮発性メモリ１６に記憶された機密情報を消去する。
【００８１】
本実施の形態によれば、揮発性メモリ１６に記憶された機密情報を保持した状態でセキュリティ装置１１の移設、点検等を行うことができる。
【００８２】
以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
【符号の説明】
【００８３】
１０  情報管理システム、１１  セキュリティ装置、１２  バッテリ、１３  電源スイッチ、１４  通信部、１５  固有信号検証モジュール、１６  揮発性メモリ、１７  信号分離制御部、１８  アンテナ、２０  監視装置、２１  信号線、２２  メッセージ生成部、２３  ハッシュ関数処理部、２４  秘密鍵保持部、２５  暗号処理部、２６  固有信号発信部、３０  外部電源、３１  電力線、３２  電力線、３３  信号重畳制御部、４１  メッセージ保持部、４２  ハッシュ関数処理部、４３  デジタル署名保持部、４４  公開鍵保持部、４５  復号処理部、４６  メッセージ比較部、４７  電子スイッチ、７１  ＬＣＤ、７２  キーボード、７３  マウス、７４  ＦＤＤ、７５  ＣＤＤ、７６  プリンタ、８１  ＣＰＵ、８２  バス、８３  ＲＯＭ、８４  ＲＡＭ、８５  通信ボード、９０  ＨＤＤ、９１  オペレーティングシステム、９２  ウィンドウシステム、９３  プログラム群、９４  ファイル群。
【図１】
0005398867.tif 000002
【図２】
0005398867.tif 000003
【図３】
0005398867.tif 000004
【図４】
0005398867.tif 000005
【図５】
0005398867.tif 000006
【図６】
0005398867.tif 000007
【図７】
0005398867.tif 000008