(57)【要約】【課題】情報処理装置上でデータ利用後も物理的装置内に散在した使用後データは、情報保護のため完全に消去する必要があるが、消去のために複雑な処理が必要となる。【解決手段】複数領域に分割された揮発性メモリで構成された記憶装置、領域ごとに揮発性メモリのリフレッシュ動作や電源供給を停止させる機能を持ち、この機能を実行することで各領域のメモリデータを高速かつ確実に消滅させる。【選択図】  図1
2006099157.tif 000002
【特許請求の範囲】
【請求項１】
複数領域に分割された揮発性メモリで構成された記憶装置、領域ごとに構成揮発性メモリのリフレッシュ動作や電源供給を停止させる機能を持つ記憶制御装置、リフレッシュ動作や電源供給を停止させる命令を解読実行指示する命令処理装置、装置外部からリフレッシュ動作や電源供給を停止させる外部入力装置を持ち、命令処理装置または外部制御装置からの指示で、特定の揮発性メモリ領域のリフレッシュ信号や電源供給を停止することで各領域のメモリデータを高速に消滅させる機能をもった情報処理装置。
【請求項２】
揮発性メモリ構成された取り外し可能な小記憶装置とこの小記憶装置と接続可能な大規模なメモリから構成される記憶装置で、小記憶装置は、大記憶装置内の暗号データを復号する鍵を保持しており、外部からの指示で小記憶装置のリフレッシュ動作または電源供給を停止させ、データを消滅させることで、大規模メモリの情報を保護する情報記憶装置。
【請求項３】
揮発性メモリで構成され、外部からの操作でリフレッシュ動作または電源供給を停止させ、データを消滅させる携帯可能な小記憶装置。
【発明の詳細な説明】
【技術分野】
【０００１】
DRAMなどの揮発性メモリで構成される情報処理装置のデータ保護消去方式に関する。
【背景技術】
【０００２】
情報処理システムの高性能大規模化に伴って、個人や企業国家の機密情報も含めた社会のあらゆる情報がデータベースとして情報処理システムに取り込まれるようになった。その一方で、携帯端末やインターネットといった技術の進展により、どこでも誰でも情報を容易に参照することが可能になってきている。このような機密情報のデータベース化と情報システムの接続性の向上により、情報保護が近年極めて重要な課題となっている。
【０００３】
情報を保護する方法としては、データそのものを他人が読めないようにする暗号化技術や、パスワードや生体情報を用いて本人認証行う技術などがある。暗号方式には、共通鍵を使用する方式(特許1269899他)や公開鍵を使用する方式(特開2001-66987他)など、多数の方式技術が開発されている。生体情報を利用した認証方式には指紋を利用した認識方式(特公平03−20790)、手指の形状を利用したもの(特公平02- 39822)など多数の方式がある。パスワードによる認証方式も、利用者のパスワードと被利用者の情報を利用した認証方式(特開平06-332374)や、複数階層パスワードを利用した認証方式(特公平04- 14396)など多数の特許がある。
【０００４】
また、データを保護する技術のひとつとして、データを完全に消去する技術がある。磁気記憶装置上のデータは、磁気で情報を蓄えるため、その完全な消去が難しい。磁気記憶装置上のデータを完全に消去する方法として、２種類の固定データと０を書きこむ米国国家安全保障局方式(NSA)、乱数データ１種と２種類の固定データを書き込む 米国陸軍方式 (AR380-19) 、 ３種類の固定データを書き込む米国コンピュータセキュリティセンタ方式(NCSC-TG-025)など多くの規格がある。ただしこれらの処理を大容量磁気ディスクに適用すると多大な時間がかかることから、この消去処理の高速化をはかった特許として、特開2003-345526などがある。DRAMなどの揮発性メモリデータを保護目的で消去することに関する特許は見当たらないが、揮発性メモリの消去方法として、短時間に電源供給を停止する方法を述べた特開2003-256401がある。
【０００５】
【特許文献１】特許1269899
【特許文献２】特開2001-66987
【特許文献３】特公平03-20790
【特許文献４】特公平02-39822
【特許文献５】特開平06-332374
【特許文献６】特公平04-14396
【特許文献７】特開2003-345526
【特許文献８】特開2003-256401
【発明の開示】
【発明が解決しようとする課題】
【０００６】
情報処理装置上の機密データ漏洩を防ぐために、暗号化方式やパスワード方式などがある。しかし、これらの方式だけではデータの利用後も装置内にデータが存在しており、さまざまな記憶装置上にデータの断片が残される可能性がある。再利用不要なデータであれば、利用後明示的に消去を行うことが望ましいが、ディスク内に残された磁気情報の完全消去には、複数の手順が必要とされている。本発明による情報処理装置は、機密処理データを揮発性メモリ上に確保し、揮発性メモリ上で存在するデータを簡便かつ高速に消去する一方法を提供する。
【課題を解決するための手段】
【０００７】
DRAMなどの揮発性メモリは、半導体素子上で情報を、電気容量として保持しており、リフレッシュと呼ばれる定期的書き戻し動作がなければ、時間の経過とともに電荷が失われ、データが消滅する。揮発性メモリのこの性質を利用し、プロセッサ又は外部からの指示により、消去しようとするメモリ領域のリフレッシュ動作や電源供給を停止することでデータ消去を行う。メモリは消去対象とする領域を明確にするため、複数の領域に分割して構成される。このメモリを制御する記憶制御装置は、領域毎に独立したリフレッシュ制御回路を備える。命令処理装置では、対象メモリ領域を特定できるリフレッシュ停止命令を備える。外部入力装置は、対象メモリ領域毎にリフレッシュ停止を指示する入力手段を備える。外部入力装置は、対象領域の消去を即時実行、または一定時間後実行を指定するためタイマを備えている。
【発明の効果】
【０００８】
本発明による情報処理装置では、メモリ上のデータを命令プログラムによる指定、人手入力による即時指定、タイマを利用した時間指定、装置内蔵の電源寿命による指定などさまざまな方法で、データ消去を明確に実行することができる。また、本方式では、揮発性メモリの電荷の放電という物理現象を利用するため、データの破壊パタンを特定することが困難であり、データ消去特性にすぐれている。
【発明を実施するための最良の形態】
【０００９】
命令実行を行うDRAMなどの揮発性メモリで構成されたメモリ、記憶制御装置、命令処理装置、外部入力装置から構成される。DRAMで構成されたメモリは、適当なメモリ容量単位毎に独立した制御信号で記憶制御装置に接続されている。記憶制御装置では、この独立した制御信号毎に、独立した制御回路が用意されている。各々の制御回路はリフレッシュ動作を制御する制御回路を独立して持っている。リフレッシュ動作の制御回路は、リフレッシュ停止回路および、その間隔を制御する回路が含まれている。また、記憶制御装置内には、それぞれのメモリ領域毎に状態に応じて、使用中、消去中、使用可の３状態を保持している。
【００１０】
命令処理装置は、記憶制御装置と接続されており、メモリのリフレッシュを停止するリフレッシュ停止命令機能を持っている。リフレッシュ停止命令は、記憶制御装置が用意する独立した制御回路を明示的に指示することができる。これにより、メモリ上の適当なメモリ容量単位毎に独立した領域に明示的に消去実行指示を行うことができる。命令処理装置は、機密情報処理エリアを制御するための命令も用意している。これらの命令としては、利用可能な機密情報処理エリアを検索するため各メモリ領域の状態（使用中、消去中、使用可）を調べる命令、データの回復を試みるための消去中エリアのデータを読み出す命令、データ消失時間を制御するためにリフレッシュ停止条件を指示する命令などを備えている。
【００１１】
外部入力装置は、命令処理装置によることなく装置外部から直接メモリデータ消去を実行するために用意される。外部入力装置は、記憶制御装置が用意する独立した制御回路毎に、消去指示するスイッチが用意され、各スイッチの信号が、それぞれの制御回路に伝えられるような信号インタフェースで接続される。外部入力装置と記憶制御装置間に、タイマを介入させれば、メモリ消去開始時間を設定することもできる。この構成により、機密データの消去タイミングは、命令プログラムによる指定、外部から人手による即時指定、タイマを介した時間指定を用いることができる。
【００１２】
また、機密情報処理エリアの一部は本体情報装置から物理的に取り外し可能とすることもできる。取り外されたメモリは、携帯可能であり、外部からの入力でリフレッシュや電源供給の停止させる機能を持ち、データ消去を行うことができる。消去するタイミングとして、即座指定方法、タイマ設定による時間指定、内蔵電源の寿命による消去指定を用いることができる。取り外したメモリに、本体情報装置内の情報の複合鍵などを格納することで、本体情報装置内の情報を保護することができる。
【実施例１】
【００１３】
図１に、本発明に基づく機密データ消去装置の構成例を示す。本装置は、DRAM10が搭載された複数のDIMM9で記憶装置が構成されている。記憶装置は、複数の領域に分割されており、それぞれが、機密データの処理を行う単位メモリ領域となる。分割された、機密データ処理単位メモリ7は、記憶制御装置5にそれぞれ独立したメモリ制御信号線8で接続されている。記憶制御装置5は、機密データ処理を制御する命令処理装置1や外部入力装置2と接続されており、命令処理装置1や外部入力装置2から制御コマンドを受け取る。命令処理装置1はマイクロプロセッサのような、連続した命令語プログラムを解読し処理を行う装置であり、外部入力装置2は、オペレータから入力された指示を電気信号として、出力する装置である。記憶制御装置5内には、機密データ処理単位メモリ7毎のメモリ制御信号生成回路6と、命令処理装置1や外部入力装置2から受け取った制御コマンドを解読し、機密データ処理単位メモリ領域毎のメモリ制御信号生成回路6を選択起動するリクエストスイッチ4が用意されている。
【００１４】
データ保護が必要な機密データを処理する場合、まず、処理を行う単位メモリ領域を確保する。次に、この領域に必要なデータを転送し、このエリア内でデータ処理を行う。処理完了後は必要なデータだけ、他のメモリエリアに転送し、機密データを扱ったエリアはデータ消去処理に入る。データ消去処理は、命令処理装置1が、データ消去命令を解読実行するか、データ処理者が、外部入力装置2から消去指示をだすことによって行われる。
【００１５】
消去指示が出されると、記憶制御装置5にこの指示が伝えられ、指定されたメモリ領域のリフレッシュ動作または電源供給が停止する。リフレッシュ動作または電源供給が停止したメモリは、電荷の放電で次第にデータが消去されていく。データ消去が開始と同時に、記憶制御装置5は、このメモリ領域が消去中であることを示すフラグを立てる。電荷放電が十分行われた一定時間後、記憶制御装置5はメモリ領域が再び使用可能であることを示すフラグを立てる。命令処理装置1や外部入力装置2は記憶制御装置5内のフラグを参照することで、メモリ領域の状態をチェックすることができる。例えばメモリ領域消去中は、データが消えつつあり、読み出されたデータは、正しいかどうか保証されない。通常はこのようなデータを扱うことはないが、データ復元を試みる場合は、この消去中データを読み出して分析することで、元の情報の一部を回復できることがある。
【００１６】
図２は、メモリ制御信号生成回路6を示す。メモリ制御信号生成回路6は、カウンタタイマ12、リフレッシュ間隔時間レジスタ、リフレッシュ停止フラグなどのリフレッシュ制御情報13を持つ。メモリ動作中は、カウンタタイマはカウントアップを続け、リフレッシュ間隔時間レジスタの値に等しくなるたびに、リフレッシュ要求を生成する。リフレッシュ停止フラグは、リフレッシュ要求の発行を完全に抑止する。生成されたリクエストは、メモリへのその他の要求と調停された後、DRAMメモリ群への制御として出力される。
【００１７】
図３はリクエストスイッチ4である。リクエストスイッチ4に入力された命令は、対象とする機密データ処理単位メモリ領域の状態を示すメモリ領域状態フラグ15を読み出す。対象メモリ領域のフラグが使用可であるとき、この領域に対応したメモリ制御信号生成回路6に命令を送る。発行された命令がメモリ消去命令である場合は、メモリ制御信号生成回路6のリフレッシュ停止フラグをセットする。これにより、対象メモリ領域のリフレッシュ動作は抑止され、時間の経過とともにデータは消失動作を開始する。リフレッシュ間隔レジスタに大きな値を設定し、リフレッシュ間隔を延ばすことにより、データ消失時間を延ばすことも可能である。
【００１８】
図４は、本機密データ消去装置を用いたデータ消去手順を示している。まず各機密データ処理エリアの状態フラグをチェックし、利用可能な領域を確保する。次に機密データ処理エリアに機密データを転送する。機密データ処理エリア内で必要なデータ処理を行った後、必要な出力データを他のメモリ領域に移動する。必要なデータ転送後、機密データ処理エリアにデータ消去命令を発行する。このときこのエリアの状態は、消去が完了したと判断されるまで使用不可状態になる。
【実施例２】
【００１９】
図５は、ひとつまたは複数の機密データ処理メモリ領域を本体の情報処理装置から物理的に取り外し可能とした構成を示す。この構成では、機密データ処理を行うメモリ領域を本体から取り外して携帯保管できる。この取り外し可能記憶消去機能付メモリ19は、ICカードやスティックメモリなど持ち運びに便利な形で構成できる。取り外し可能記憶消去機能付メモリ19は、機密データのすべてを格納する場合もあるが、本体のメモリエリアを暗号化し、その複合鍵だけを格納する場合もある。
【００２０】
取り外し可能記憶消去機能付メモリ19は、データ消去を指示する外部入力装置2を持ち、データの消去が指示できる。外部入力装置2にタイマ3を介することで、情報消去開始時間を指定することもできる。情報消去が開始されると、内部のメモリリフレッシュ動作や電源供給が停止され、情報が消去される。また、取り外し可能な小記憶装置は、外部入力装置を内蔵せず、内蔵された電源の寿命のみで情報消去開始時間を決める構成もありうる。この形態の小記憶装置は、一定時間内に繰り返し充電を行うことで、機密情報の保全を行うことができ、充電を怠った場合、機密データは消失する。これにより、小記憶装置を持ち運び途中に紛失した場合でも、一定時間経過後にはデータの消滅を保障することができる。
【００２１】
図６は、取り外し可能記憶消去機能付小メモリの外観例を示す。外観は、表示ディスプレイ20、入力スイッチ21、コネクタ17から構成される。表示ディスプレイ20は、メモリの状態や、メモリ消去開始までの時間などを表示する。入力スイッチ21は、メモリ消去開始時間の指定やメモリ領域の指定などの消去指示を入力する。コネクタ17は、パーソナルコンピュータなどで使用されている標準バスなどを使用し、パーソナルコンピュータなどの大容量記憶情報処理装置と接続することができる。
【産業上の利用可能性】
【００２２】
情報処理システムにとって、情報の機密性保持は益々大きな課題となっている。本特許で述べられた処理装置は、計算機システムに容易に組み込むことができ、システムの情報保護に利用することができる。
【図面の簡単な説明】
【００２３】
【図１】本発明に係る機密データ消去処理装置の構成例を示す図である。
【図２】本発明に係るメモリ制御信号生成回路を示す図である。
【図３】本発明に係るリクエストスイッチ回路を示す図である。
【図４】本発明に係る機密データ消去処理装置を用いたデータ消去の処理フローである。
【図５】本発明に係る取り外し可能記憶消去機能付小メモリシステムの構成例を示す図である。
【図６】取り外し可能記憶消去機能付小メモリの外観例を示す図である。
【符号の説明】
【００２４】
１  命令処理装置
２  外部入力装置
３  タイマ
４  リクエストスイッチ
７  機密情報処理単位メモリ
１０  ＤＲＡＭ
１９  取り外し可能記憶消去機能付メモリ
【図１】
2006099157.tif 000003
【図２】
2006099157.tif 000004
【図３】
2006099157.tif 000005
【図４】
2006099157.tif 000006
【図５】
2006099157.tif 000007
【図６】
2006099157.tif 000008