(57)【要約】      （修正有）【課題】安全性および利便性に優れた初期化用の個人識別情報を取扱い可能とするデータ蓄積装置を提供する。【解決手段】データ蓄積装置は、コントローラを具備する。コントローラは、個人識別情報管理部と個人識別情報アクセス制御部とを具備する。個人識別情報管理部は、データを無効化してデータ保護機能を不活性化させることを要求する権限のみを有する第１個人識別情報を、第１個人識別情報を設定する権限が与えられた第２個人識別情報とともに管理する。個人識別情報アクセス制御部は、第２個人識別情報によって認証が成功している場合であって、第１個人識別情報が初期値である場合、または、データ保護機能が不活性状態である場合、第１個人識別情報の設定を許可し、いずれの個人識別情報によって認証が成功している場合であっても、第１個人識別情報の取得を禁止する。【選択図】図２
2019133345.tif 000002
【特許請求の範囲】
【請求項１】
不揮発性メモリと、
前記不揮発性メモリ上のユーザエリアとして割り当てられた領域へのデータの書き込みおよびデータの読み出しを禁止し、前記不揮発性メモリ上のデータの漏えいを防止するために前記不揮発性メモリ上のデータを無効化するデータ保護機能を有し、ホスト装置からのコマンドに応じて前記不揮発性メモリへのデータの書き込みおよび前記不揮発性メモリからのデータの読み出しを制御するコントローラと、
を具備し、
前記コントローラは、前記不揮発性メモリ上のデータを無効化して稼働状態の前記データ保護機能を非稼働状態に移行させる前記データ保護機能の不活性化を要求する権限のみを有する第１個人識別情報を、前記データ保護機能の不活性化を要求する権限と、非稼働状態の前記データ保護機能を稼働状態に移行させる前記データ保護機能の活性化を要求する権限とを有する第２個人識別情報、または、前記不揮発性メモリ上の前記ユーザエリアとして割り当てられた前記領域に対して、データの書き込みおよび読み出しを禁止する設定と、その前記設定を解除する権限を有する第３個人識別情報とともに管理する個人識別情報管理部と、
前記ホスト装置による個人識別情報の設定および取得を制御する個人識別情報アクセス制御部と、
前記データ保護機能の不活性化が要求された場合、前記個人識別情報管理部によって管理される、前記第１個人識別情報を除き、少なくとも前記第３個人識別情報を初期化し、前記不揮発性メモリ上のデータを無効化し、前記データ保護機能を不活性化状態とする初期化処理を実行する初期化処理部と、
前記ホスト装置から送信される個人識別情報が前記個人識別情報管理部によって管理される個人識別情報と一致するか否かを判定する認証処理部と、
いずれの個人識別情報によって認証が成功しているかに基づき、前記ホスト装置から発行されるコマンドの受け付け可否を判定する認可処理部と、
を具備し、
前記認可処理部は、
前記第１個人識別情報によって認証が成功している場合、前記データ保護機能の不活性化を要求するコマンドを受け付け可能と判定し、
前記第２個人識別情報によって認証が成功している場合、前記第１個人識別情報の設定を要求するコマンドを受け付け可能と判定し、
前記個人識別情報アクセス制御部は、
前記第２個人識別情報によって認証が成功している場合であって、前記第１個人識別情報が初期値である場合、または、前記前記データ保護機能が不活性状態である場合、前記第１個人識別情報の設定を許可し、
いずれの個人識別情報によって認証が成功している場合であっても、前記第１個人識別情報の取得を禁止する、
データ蓄積装置。
【請求項２】
前記ホスト装置の電源オンまたはリセットを検知する検知部と、
前記第１個人識別情報の設定を許可する第１モードと、前記第１個人識別情報の設定を禁止する第２モードとを排他選択的に管理するモード管理部と、
を具備し、
前記モード管理部は、
前記検知部が前記データ蓄積装置の電源オンまたはリセットを検知した場合、前記第１モードを設定し、
前記第１モードから前記第２モードへの切り換えを要求するコマンドが前記ホスト装置から発行された場合、前記第２モードを設定する、
請求項１に記載のデータ蓄積装置。
【請求項３】
前記個人識別情報アクセス制御部は、初期値以外の値からの更新となる前記第１個人識別情報の設定を１回のみ許可する請求項１に記載のデータ蓄積装置。
【請求項４】
前記第１個人識別情報の更新値を生成する第１個人識別情報生成部を具備し、
前記認可処理部は、前記第２個人識別情報によって認証が成功している場合、前記第１個人識別情報の取得を要求するコマンドを受け付け可能と判定し、
前記個人識別情報アクセス制御部は、
前記第１個人識別情報を、前記第１個人識別情報生成部によって生成された更新値に更新し、
前記第１個人識別情報を更新した場合に限り、前記第１個人識別情報の取得を１回のみ許可する、
請求項１に記載のデータ蓄積装置。
【請求項５】
前記個人識別情報アクセス制御部は、前記データ保護機能の活性化を要求するコマンドに付加されるパラメータに基づき、前記第１個人識別情報を設定する請求項１に記載のデータ蓄積装置。
【請求項６】
前記コントローラは、前記データ保護機能を活性化した場合、前記不揮発性メモリ上の前記ユーザエリアとして割り当てられた領域に対するデータの書き込みおよびデータの読み出しの禁止の設定を解除する権限を有する前記第３個人識別情報から、当該禁止の設定を解除する権限をはく奪する権限変更処理部をさらに具備する請求項１に記載のデータ蓄積装置。
【請求項７】
ホスト装置と、前記ホスト装置からのコマンドに応じて動作する、不揮発性メモリ上のユーザエリアとして割り当てられた領域へのデータの書き込みおよびのデータの読み出しを禁止し、前記不揮発性メモリ上のデータの漏えいを防止するために前記不揮発性メモリ上のデータを無効化するデータ保護機能を有するデータ蓄積装置とからなるデータ処理システムであって、
前記データ蓄積装置は、
前記不揮発性メモリ上のデータを無効化して稼働状態の前記データ保護機能を非稼働状態に移行させる前記データ保護機能の不活性化を要求する権限のみを有する第１個人識別情報を、前記データ保護機能の不活性化を要求する権限と、非稼働状態の前記データ保護機能を稼働状態に移行させる前記データ保護機能の活性化を要求する権限とを有する第２個人識別情報、または、前記不揮発性メモリ上の前記ユーザエリアとして割り当てられた前記領域に対して、データの書き込みおよび読み出しを禁止する設定と、その設定を解除する権限を有する第３個人識別情報とともに管理し、
前記第２個人識別情報によって認証が成功している場合であって、前記第１個人識別情報が初期値の場合、または、前記データ保護機能が不活性状態である場合、前記第１個人識別情報を設定する要求を受け付け、
前記ホスト装置は、
前記第１個人識別情報が初期値以外の状況下において前記第１個人識別情報を設定する場合、前記第２個人識別情報を用いて前記データ蓄積装置に対して認証を要求し、前記認証が成功した後、前記データ保護機能の不活性化を前記データ蓄積装置に対して要求し、前記データ保護機能が不活性化した後、前記第１個人識別情報の設定を前記データ蓄積装置に対して要求する、
データ処理システム。
【請求項８】
前記データ蓄積装置は、電源オンまたはリセット時、前記第１個人識別情報の設定を許可する第１モードを設定し、前記第１個人識別情報の設定を禁止する第２モードへの切り換えが前記ホスト装置から要求された場合、前記第２モードを設定し、
前記ホスト装置は、前記データ蓄積装置を前記第２モードに設定する場合、電源オンまたはリセット時に起動されるＢＩＯＳから前記第２モードへの切り換えを要求する、
請求項７に記載のデータ処理システム。
【請求項９】
不揮発性メモリ上のユーザエリアとして割り当てられた領域へのデータの書き込みおよびデータの読み出しを禁止し、前記不揮発性メモリ上のデータの漏えいを防止するために前記不揮発性メモリ上のデータを無効化するデータ保護機能を有し、前記不揮発性メモリ上のデータを無効化して稼働状態の前記データ保護機能を非稼働状態に移行させる前記データ保護機能の不活性化を要求する権限のみを有する第１個人識別情報が、前記データ保護機能の不活性化を要求する権限と、非稼働状態の前記データ保護機能を稼働状態に移行させる前記データ保護機能の活性化を要求する権限とを有する第２個人識別情報、または、前記不揮発性メモリ上の前記ユーザエリアとして割り当てられた前記領域に対して、データの書き込みおよび読み出しを禁止する設定と、その設定を解除する権限を有する第３個人識別情報とともに管理され得るデータ蓄積装置の運用システムであって、
前記データ蓄積装置に対して前記第１個人識別情報を設定する第１個人識別情報設定処理部と、
前記第１個人識別情報設定処理部によって設定された前記第１個人識別情報によって前記データ蓄積装置の認証を成功させて、前記データ蓄積装置の前記データ保護機能を不活性化させる不活性化処理部と、
を具備する運用システム。
【請求項１０】
前記第１個人識別情報設定処理部と前記不活性化処理部とが同一の装置上に設けられる請求項９に記載の運用システム。
【請求項１１】
不揮発性メモリ上のユーザエリアとして割り当てられた領域へのデータの書き込みおよびデータの読み出しを禁止し、前記不揮発性メモリ上のデータの漏えいを防止するために前記不揮発性メモリ上のデータを無効化するデータ保護機能を有し、前記不揮発性メモリ上のデータを無効化して稼働状態の前記データ保護機能を非稼働状態に移行させる前記データ保護機能の不活性化を要求する権限のみを有する第１個人識別情報が、前記データ保護機能の不活性化を要求する権限と、非稼働状態の前記データ保護機能を稼働状態に移行させる前記データ保護機能の活性化を要求する権限とを有する第２個人識別情報、または、前記不揮発性メモリ上の前記ユーザエリアとして割り当てられた前記領域に対して、データの書き込みおよび読み出しを禁止する設定と、その設定を解除する権限を有する第３個人識別情報とともに管理され得るデータ蓄積装置の運用システムであって、
前記データ蓄積装置に対して前記第１個人識別情報および前記第２個人識別情報を設定し、前記設定した前記第２個人識別情報によって前記データ蓄積装置の認証を成功させて、前記データ蓄積装置の前記データ保護機能を活性化させる第１活性化処理部と、
前記第１活性化処理部によって設定された前記第１個人識別情報によって前記データ蓄積装置の認証を成功させて、前記データ蓄積装置の前記データ保護機能を不活性化させ、前記データ蓄積装置に対して前記第２個人識別情報を再設定し、前記再設定した前記第２個人識別情報によって前記データ蓄積装置の認証を成功させて、前記データ蓄積装置の前記データ保護機能を活性化させる第２活性化処理部と、
を具備する運用システム。
【請求項１２】
前記第１活性化処理部と前記第２活性化処理部とが同一の装置上に設けられる請求項１１に記載の運用システム。
【請求項１３】
不揮発性メモリ上のユーザエリアとして割り当てられた領域へのデータの書き込みおよびデータの読み出しを禁止し、前記不揮発性メモリ上のデータの漏えいを防止するために前記不揮発性メモリ上のデータを無効化するデータ保護機能を有し、前記不揮発性メモリ上のデータを無効化して稼働状態の前記データ保護機能を非稼働状態に移行させる前記データ保護機能の不活性化を要求する権限のみを有する第１個人識別情報が、前記データ保護機能の不活性化を要求する権限と、非稼働状態の前記データ保護機能を稼働状態に移行させる前記データ保護機能の活性化を要求する権限とを有する第２個人識別情報、または、前記不揮発性メモリ上の前記ユーザエリアとして割り当てられた前記領域に対して、データの書き込みおよび読み出しを禁止する設定と、その設定を解除する権限を有する第３個人識別情報とともに管理され得るデータ蓄積装置の運用システムであって、
前記データ蓄積装置に対して前記第１個人識別情報を設定する第１個人識別情報設定処理部と、
前記第１個人識別情報設定処理部によって設定された前記第１個人識別情報を、前記データ蓄積装置を組み込んだホスト装置の筐体に貼付されるラベルに印字し、または、前記ホスト装置の説明書と同封される紙媒体に印字する第１個人識別情報印字処理部と、
を具備する運用システム。
【請求項１４】
ホスト装置からのコマンドに応じて動作する、不揮発性メモリ上のユーザエリアとして割り当てられた領域へのデータの書き込みおよびのデータの読み出しを禁止し、前記不揮発性メモリ上のデータの漏えいを防止するために前記不揮発性メモリ上のデータを無効化するデータ保護機能を有するデータ蓄積装置によって実行されるデータ処理方法であって、
前記不揮発性メモリ上のデータを無効化して稼働状態の前記データ保護機能を非稼働状態に移行させる前記データ保護機能の不活性化を要求する権限のみを有する第１個人識別情報を、前記第１個人識別情報を設定する権限と、前記データ保護機能の不活性化を要求する権限と、非稼働状態の前記データ保護機能を稼働状態に移行させる前記データ保護機能の活性化を要求する権限とを有する第２個人識別情報、または、前記不揮発性メモリ上の前記ユーザエリアとして割り当てられた前記領域に対して、データの書き込みおよび読み出しを禁止する設定と、その設定を解除する権限を有する第３個人識別情報とともに管理することと、
前記第２個人識別情報によって認証が成功している場合であって、前記第１個人識別情報が初期値の場合、または、前記データ保護機能が不活性状態である場合、前記第１個人識別情報を設定する要求を受け付けることと、
を具備するデータ処理方法。
【請求項１５】
ホスト装置と、前記ホスト装置からのコマンドに応じて動作する、不揮発性メモリ上のユーザエリアとして割り当てられた領域へのデータの書き込みおよびのデータの読み出しを禁止し、前記不揮発性メモリ上のデータの漏えいを防止するために前記不揮発性メモリ上のデータを無効化するデータ保護機能を有するデータ蓄積装置とからなるデータ処理システムによって実行されるデータ処理方法であって、
前記データ蓄積装置が、前記不揮発性メモリ上のデータを無効化して稼働状態の前記データ保護機能を非稼働状態に移行させる前記データ保護機能の不活性化を要求する権限のみを有する第１個人識別情報を、前記第１個人識別情報を設定する権限と、前記データ保護機能の不活性化を要求する権限と、非稼働状態の前記データ保護機能を稼働状態に移行させる前記データ保護機能の活性化を要求する権限とを有する第２個人識別情報、または、前記不揮発性メモリ上の前記ユーザエリアとして割り当てられた前記領域に対して、データの書き込みおよび読み出しを禁止する設定と、その設定を解除する権限を有する第３個人識別情報とともに管理することと、
前記データ蓄積装置が、前記第２個人識別情報によって認証が成功している場合であって、前記第１個人識別情報が初期値の場合、または、前記データ保護機能が不活性状態である場合、前記第１個人識別情報を設定する要求を受け付けることと、
前記ホスト装置が、前記第１個人識別情報が初期値以外の状況下において前記第１個人識別情報を設定する場合、前記第２個人識別情報を用いて前記データ蓄積装置に対して認証を要求し、前記認証が成功した後、前記データ保護機能の不活性化を前記データ蓄積装置に対して要求し、前記データ保護機能が不活性化した後、前記第１個人識別情報の設定を前記データ蓄積装置に対して要求することと、
を具備するデータ処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、データ蓄積装置、データ処理システムおよびデータ処理方法に関する。
【背景技術】
【０００２】
近年、データの漏洩防止に対する関心が高まっている。このようなことから、不正者によってデータが読み出されることなどを防止するデータ保護機能を搭載するデータ蓄積装置が普及し始めている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】米国特許第９６２６５３１号明細書
【特許文献２】特許第５３８０６０４号公報
【非特許文献】
【０００４】
【非特許文献１】Trusted Computing Group, Storage Work Group Storage Security Subsystem Class: Opal <URL: https://trustedcomputinggroup.org/storage-work-group-storage-security-subsystem-class-opal/>
【非特許文献２】Trusted Computing Group, TCG Storage Security Subsystem Class: Pyrite <URL: https://trustedcomputinggroup.org/tcg-storage-security-subsystem-class-pyrite/>
【発明の概要】
【発明が解決しようとする課題】
【０００５】
一般的に、データ保護機能を搭載するデータ蓄積装置は、たとえばＰＩＮ（Personal Identification Number）などと称される個人識別情報を管理し、この個人識別情報を用いて個人を認証する。そして、認証が成功した者にのみ、たとえばその者のデータを読み出すことなどを許可する。
【０００６】
また、たとえば正規者が個人識別情報を失念した場合などを想定して、たとえば、データを読み出すことなどはできないが、データを無効化した上でデータ保護機能を不活性化させる初期化を行う権限を有する個人識別情報を用意しておくといったことが行われることがある。ここで、データ保護機能の不活性化とは、稼働状態のデータ保護機能を非稼働状態に移行させることである。非稼働状態のデータ保護機能を稼働状態に移行させることは、データ保護機能の活性化と称する。この種の初期化用の個人識別情報についても、不正者に知られないようにしたり、不正者によって悪意を持った設定が行われないようにしたり、などのための対策が強く求められる。
【０００７】
本発明が解決しようとする課題は、安全性および利便性に優れた初期化用の個人識別情報を取扱い可能とするデータ蓄積装置、データ処理システムおよびデータ処理方法を提供することである。
【課題を解決するための手段】
【０００８】
実施形態によれば、データ蓄積装置は、不揮発性メモリと、コントローラと、を具備する。前記コントローラは、前記不揮発性メモリ上のユーザエリアとして割り当てられた領域へのデータの書き込みおよびデータの読み出しを禁止し、前記不揮発性メモリ上のデータの漏えいを防止するために前記不揮発性メモリ上のデータを無効化するデータ保護機能を有し、ホスト装置からのコマンドに応じて前記不揮発性メモリへのデータの書き込みおよび前記不揮発性メモリからのデータの読み出しを制御する。前記コントローラは、個人識別情報管理部と、個人識別情報アクセス制御部と、初期化処理部と、認証処理部と、認可処理部と、を具備する。前記個人識別情報管理部は、前記不揮発性メモリ上のデータを無効化して稼働状態の前記データ保護機能を非稼働状態に移行させる前記データ保護機能の不活性化を要求する権限のみを有する第１個人識別情報を、前記データ保護機能の不活性化を要求する権限と、非稼働状態の前記データ保護機能を稼働状態に移行させる前記データ保護機能の活性化を要求する権限とを有する第２個人識別情報、または、前記不揮発性メモリ上の前記ユーザエリアとして割り当てられた前記領域に対して、データの書き込みおよび読み出しを禁止する設定と、その設定を解除する権限を有する第３個人識別情報とともに管理する。前記個人識別情報アクセス制御部は、前記ホスト装置による前記個人識別情報の設定および取得を制御する。前記初期化処理部は、前記データ保護機能の不活性化が要求された場合、前記個人識別情報管理部によって管理される、前記第１個人識別情報を除き、少なくとも前記第３個人識別情報を初期化し、前記不揮発性メモリ上のデータを無効化し、前記データ保護機能を不活性化状態とする初期化処理を実行する。前記認証処理部は、前記ホスト装置から送信される個人識別情報が前記個人識別情報管理部によって管理される個人識別情報と一致するか否かを判定する。前記認可処理部は、いずれの個人識別情報によって認証が成功しているかに基づき、前記ホスト装置から発行されるコマンドの受け付け可否を判定し、前記第２個人識別情報によって認証が成功している場合、前記第１個人識別情報の設定を要求するコマンドを受け付け可能と判定する。前記認可処理部は、前記第１個人識別情報によって認証が成功している場合、前記データ保護機能の不活性化を要求するコマンドを受け付け可能と判定する。前記個人識別情報アクセス制御部は、前記第２個人識別情報によって認証が成功している場合であって、前記第１個人識別情報が初期値である場合、または、前記データ保護機能が不活性状態である場合、前記第１個人識別情報の設定を許可し、いずれの個人識別情報によって認証が成功している場合であっても、前記第１個人識別情報の取得を禁止する。
【図面の簡単な説明】
【０００９】
【図１】第１実施形態のデータ蓄積装置の構成の一例を示す図。
【図２】第１実施形態のデータ蓄積装置が具備するコントローラの機能ブロックの一例を示す図。
【図３】第１実施形態のデータ蓄積装置で管理され得るＰＩＮの種類の一例を示す図。
【図４】第１実施形態のデータ蓄積装置におけるＬＳＩＤ（ＰＩＮ）に関連するコマンドおよびその発行権限の一例を示す図。
【図５】第１実施形態のデータ蓄積装置におけるＰＩＮの設定または取得のためのコマンドの発行権限の一付与例を示す図。
【図６】第１実施形態のデータ蓄積装置の状態遷移の概要を説明するための図。
【図７】第１実施形態のデータ蓄積装置の第１ユースケースを説明するための図。
【図８】第１実施形態のデータ蓄積装置のＬＳＩＤ  ＰＩＮが初期値の状態でＬＳＩＤ  ＰＩＮを設定（更新）する場合におけるホスト装置−データ蓄積装置間のやりとりを説明するためのシーケンス図。
【図９】第１実施形態のデータ蓄積装置のＬＳＩＤ  ＰＩＮが初期値以外の状態でＬＳＩＤ  ＰＩＮを設定（更新）する場合におけるホスト装置−データ蓄積装置間のやりとりを説明するためのシーケンス図。
【図１０】第１実施形態のデータ蓄積装置のＬＳＩＤ  ＰＩＮによって初期化を行う場合におけるホスト装置−データ蓄積装置間のやりとりを説明するためのシーケンス図。
【図１１】第１実施形態のデータ蓄積装置のＬＳＩＤ  ＰＩＮのSetコマンドを受けた場合におけるデータ蓄積装置の動作手順を示すフローチャート。
【図１２】第１実施形態のデータ蓄積装置のRevertコマンドを受けた場合におけるデータ蓄積装置の動作手順を示すフローチャート。
【図１３】第１実施形態のデータ蓄積装置の第２ユースケースを説明するための図。
【図１４】第１実施形態のデータ蓄積装置の第３ユースケースを説明するための図。
【図１５】第２実施形態のデータ蓄積装置が具備するコントローラの機能ブロックの一例を示す図。
【図１６】第２実施形態のデータ蓄積装置におけるＬＳＩＤに関連するコマンドおよびその発行権限の一例を示す図。
【図１７】第２実施形態のデータ蓄積装置におけるＰＩＮの設定または取得のためのコマンドの発行権限の一付与例を示す図。
【図１８】第２実施形態のデータ蓄積装置のＬＳＩＤ  ＰＩＮを設定（更新）する場合におけるホスト装置−データ蓄積装置間のやりとりを説明するためのシーケンス図。
【図１９】第２実施形態のデータ蓄積装置のGen_LSIDコマンドを受けた場合におけるデータ蓄積装置の動作手順を示すフローチャート。
【図２０】第２実施形態のデータ蓄積装置のＬＳＩＤ  ＰＩＮのGetコマンドを受けた場合におけるデータ蓄積装置の動作手順を示すフローチャート。
【図２１】第３実施形態のデータ蓄積装置が具備するコントローラの機能ブロックの一例を示す図。
【図２２】第３実施形態のデータ蓄積装置におけるＬＳＩＤに関連するコマンドおよびその発行権限の一例を示す図。
【図２３】第３実施形態のデータ蓄積装置のＬＳＩＤ  ＰＩＮを設定（更新）する場合におけるホスト装置−データ蓄積装置間のやりとりを説明するためのシーケンス図。
【図２４】第３実施形態のデータ蓄積装置のActivate(w/param)コマンドを受けた場合におけるデータ蓄積装置の動作手順を示すフローチャート。
【図２５】第４実施形態のデータ蓄積装置が具備するコントローラの機能ブロックの一例を示す図。
【図２６】第４実施形態のデータ蓄積装置のＬＳＩＤ更新不可モードを設定する場合におけるホスト装置−データ蓄積装置間の第１パターンでのやりとりを説明するためのシーケンス図。
【図２７】第４実施形態のデータ蓄積装置のＬＳＩＤ更新不可モードを設定する場合におけるホスト装置−データ蓄積装置間の第２パターンでのやりとりを説明するためのシーケンス図。
【図２８】第４実施形態のデータ蓄積装置のＬＳＩＤの更新可否に関するモードの設定についてのデータ蓄積装置の動作手順を示すフローチャート。
【図２９】第５実施形態のデータ蓄積装置が具備するコントローラの機能ブロックの一例を示す図。
【図３０】第５実施形態のデータ蓄積装置のユースケース（第６ユースケース）を説明するための図。
【図３１】第５実施形態のデータ蓄積装置のActivateコマンドを受けた場合におけるデータ蓄積装置の動作手順を示すフローチャート。
【発明を実施するための形態】
【００１０】
以下、実施の形態について図面を参照して説明する。
（第１実施形態）
まず、第１実施形態について説明する。
図１は、本実施形態に係るデータ蓄積装置１の構成の一例を示す図である。このデータ蓄積装置１は、データ保護機能を搭載するストレージであり、たとえばＳＳＤ（Solid State Drive）やＨＤＤ（Hard Disk Drive）などとして実現され得る。データ保護機能は、たとえば、データを暗号化して蓄積する暗号化によるもの、ある個人に割り当てられた領域についてその個人以外からのアクセスを禁止するロックによるもの、暗号化およびロックの双方によるもの、などの様々な種類が存在する。データ蓄積装置１は、それら様々な種類のいずれをも適用することができる。つまり、データ蓄積装置１は、その種類を問わない。データ保護機能の規格としては、たとえば、ＴＣＧ（Trusted Computing Group）などが存在する。図１に示されるように、データ蓄積装置１は、コントローラ１１と、揮発性メモリ１２と、不揮発性メモリ１３とを有している。
【００１１】
コントローラ１１は、ホスト装置２からReadまたはWriteのコマンドを受け付け、揮発性メモリ１２をキャッシュとして使用しながら、ホスト装置２から要求されたデータの不揮発性メモリ１３からの読み出し、または、ホスト装置２から転送されるデータの不揮発性メモリ１３への書き込みを行う処理回路である。なお、揮発性メモリ１２は、コントローラ１１内に設けられてもよい。つまり、揮発性メモリ１２は必須ではない。なお、揮発性メモリ１２は、キャッシュとして以外にも、たとえば不揮発性メモリ１３からのプログラムのロード先や当該プログラムの作業領域などとして使用され得る。
【００１２】
コントローラ１１は、データ保護機能が暗号化によるものである場合（暗号化およびロックの双方によるものである場合を含む）、データを不揮発性メモリ１３へ書き込む際、そのデータを暗号鍵によって暗号化し、一方、データを不揮発性メモリ１３から読み出す際には、暗号化されているデータを、暗号化に用いた同じ暗号鍵によって復号する。コントローラ１１は、この暗号鍵を更新することによって、不揮発性メモリ１３上のデータを一括的に無効化することができる。暗号鍵の更新は、たとえば、乱数を発生させ、暗号鍵の値を当該発生させた乱数の値に置き換えることによって実行される。
【００１３】
また、コントローラ１１は、データ保護機能が暗号化によらない場合、たとえば、不揮発性メモリ１３の（ホスト装置１が認識する）論理アドレスと物理アドレスとの対応を管理するテーブルを初期化したり、特定の値あるいはランダムな値を不揮発性メモリ１３の指定された領域あるいは全体に渡って書き込んだりすることによって、不揮発性メモリ１３上のデータを無効化する。
【００１４】
なお、ＴＣＧにおいては、暗号化によってデータを保護する規格として、たとえばＯｐａｌが策定されており、また、暗号化によらずにデータを保護する規格として、たとえばＰｙｒｉｔｅが策定されている。
揮発性メモリ１２は、たとえばＤＲＡＭ（Dynamic RAM）である。また、不揮発性メモリ１３は、たとえばＮＡＮＤフラッシュメモリやハードディスクである。
【００１５】
データ蓄積装置１とホスト装置２とは、たとえば、ＴＣＧ ＳＩＩＳ（Storage Interface Interactions Specification）仕様に規定される、ＳＣＳＩインタフェース、ＡＴＡインタフェース、ＮＶＭ Express（ＮＶＭｅ（登録商標））、ｅ・ＭＭＣインタフェースなどによって接続される。図１には、データ蓄積装置１とホスト装置２とが、ＮＶＭｅ（登録商標）インタフェースによって接続されている例を示している。
【００１６】
ホスト装置２は、たとえばデータ蓄積装置１をストレージとして利用するサーバやパーソナルコンピュータ（ＰＣ）本体などである。つまり、データ蓄積装置１は、ホスト装置２とともに１つのデータ処理システムを構成する。また、ホスト装置２は、たとえばデータ蓄積装置１の販売元であるドライブベンダが、データ蓄積装置１について各種設定を行うための装置であり得るし、ドライブベンダから購入したデータ蓄積装置１をサーバやＰＣに組み込んで販売するＰＣベンダが、データ蓄積装置１について各種設定を行うための装置である得るし、ＰＣベンダからサーバやＰＣを購入して使用するエンドユーザが、データ蓄積装置１について各種設定を行うための装置であり得る。ホスト装置２の操作者は、ドライブベンダのオペレータ、ＰＣベンダのオペレータ、エンドユーザ、などであり得る。さらに、たとえばエンドユーザが企業である場合、ホスト装置２の操作者は、特権ユーザ（ＩＴ管理者）と一般ユーザとに大別され得る。
【００１７】
図２は、コントローラ１１の機能ブロックの一例を示す図である。
図２に示すように、コントローラ１１は、インタフェース処理部１１１、認証処理部１１２、ＰＩＮ管理部１１３、認可処理部１１４、ＰＩＮアクセス制御部１１５、初期化処理部１１６、read／writeアクセス制御部１１７、read／write処理部１１８などを有している。
【００１８】
図１に示される不揮発性メモリ１３（データ蓄積部）の所定の領域には、ホスト装置２から受信したユーザデータと、コントローラ１１に様々な手順を実行させるためのプログラムが格納されている。このプログラムは、たとえばデータ蓄積装置１の起動時などに、コントローラ１１が具備するプロセッサによって、その一部または全部が、図１に示される揮発性メモリ１２（コントローラ１１内に設けられる、キャッシュとしても用いられる揮発性メモリであってもよい）にロードされる。コントローラ１１のプロセッサは、当該ロードした揮発性メモリ１２上のプログラムを実行する。すなわち、このプログラムの記述によって、図２に示される各処理部を含む様々な処理部をコントローラ１１内に構築することができる。
【００１９】
インタフェース処理部１１１は、ホスト装置２との間でたとえばＮＶＭｅ（登録商標）規格に準拠したプロトコルによって通信する。より詳しくは、インタフェース処理部１１１は、ホスト装置２から発行されるコマンドを受信するとともに、そのコマンドに対応する処理の結果をホスト装置２へ送信する。
【００２０】
認証処理部１１２は、ホスト装置２の操作者を認証する。より詳しくは、認証処理部１１２は、認証を要求するコマンドがホスト装置２から発行されてインタフェース処理部１１１によって受信された場合、たとえばホスト装置２側にＰＩＮの入力を要求し、入力されたＰＩＮがＰＩＮ管理部１１３によって管理されるＰＩＮ群のいずれかと一致するか否かによって、認証の成否を判定する。なお、ＰＩＮは、認証を要求するコマンドにパラメータなどとして添付されていてもよい。また、認証を要求するコマンドには、ＰＩＮに対応するユーザ情報が添付されていてもよい。認証処理部１１２による認証の成否は、インタフェース処理部１１１経由でホスト装置２へ通知される。
【００２１】
ＰＩＮ管理部１１３は、この認証に用いられるＰＩＮ群を管理する。図３に、ＰＩＮ管理部１１３によって管理され得るＰＩＮの種類の一例を示す。
図３に示されるように、ＰＩＮ管理部１１３は、符号ａ１で示される、データ蓄積装置１独自のＰＩＮであるＬＳＩＤ（Logical SID：第１個人識別情報）を含む、ＳＩＤ、Ａｄｍｉｎ、Ｕｓｅｒ、ＰＳＩＤ、ＬＳＩＤ、ＭＳＩＤの６種類のＰＩＮを管理することができる。つまり、データ蓄積装置１におけるＰＩＮ管理部１１３は、ＬＳＩＤをさらに管理し得るように機能追加されている。
【００２２】
ＳＩＤは、所有者ＰＩＮなどと称されるＰＩＮであり、データ保護機能を活性化したり、データを無効化した上でデータ保護機能を不活性化させる初期化を行ったり、ＳＩＤ  ＰＩＮや後述するＬＳＩＤ  ＰＩＮの設定などの権限を有する。
Ａｄｍｉｎは、管理者（Ａｄｍｉｎ）ＰＩＮなどと称されるＰＩＮであり、Ｕｓｅｒ  ＰＩＮを設定したり、あるＵｓｅｒに領域の設定権限を割り当てたり、Ｕｓｅｒが自身に割り当てられた領域に対してかけた他者からのアクセスを禁止するロックを解除したり、などの権限を有するＰＩＮである。
【００２３】
Ｕｓｅｒは、ユーザＰＩＮなどと称されるＰＩＮであり、自身に割り当てられた領域に対するアクセスを行う権限を有する。また、Ｕｓｅｒは、自身に割り当てられた領域に対する他者からのアクセスを禁止するロックをかける権限および当該ロックを解除する権限を有する。前述したように、Ａｄｍｉｎは、このロックを解除する権限を有している。Ｕｓｅｒは、複数存在し得るし、不在もあり得る。
【００２４】
ＰＳＩＤは、ラベルＰＩＮなどと称されるＰＩＮであり、初期化を行う権限のみを有する。ＰＳＩＤは、たとえば、退職した社員Ａに貸与していた当該社員Ａによってデータ蓄積装置１へのロックがかけられた状態のＰＣを、データ蓄積装置１を初期化して、改めて社員Ｂに貸与しようとしたところ、社員Ａは既に不在であり、かつ、ＩＴ管理者がＳＩＤ  ＰＩＮを失念しており初期化が行えないといった状況を想定して用意されるＰＩＮであり、通常、（ＰＣのケースが開封されない限りは露出されない）データ蓄積装置１のケースに貼付されるラベルなどに印刷される。このような状況に陥った場合、ＩＴ管理者は、ＰＣのケースを開封してデータ蓄積装置１のラベルを参照し、ＰＳＩＤ  ＰＩＮを取得することによって、より詳しくは、ＰＳＩＤで認証を成功させることによって、データ蓄積装置１を初期化することができる。また、業務用ＰＣの場合、ＰＣのケースを開封すると、ＰＣベンダによる保証の対象外となることが一般的であるので、ＰＣベンダのカスタマセンタなどに初期化を依頼することも多く行われている。なお、このような用途が想定されるＰＳＩＤは、更新不可のＰＩＮとして定義されている。ＰＳＩＤ  ＰＩＮは、たとえばデータ蓄積装置１の製造時にドライブベンダ独自の特殊コマンドなどによって設定される。または、不揮発性メモリ１３の所定の領域に前述したプログラムを格納（インストール）する際に設定してもよい。また、ＰＳＩＤ  ＰＩＮを設けることは任意（オプション）であり、ＰＳＩＤ  ＰＩＮが存在しない場合も考えられ得る。
【００２５】
ところで、近時、データ蓄積装置１の小型化が進んでおり、ラベルを貼付するスペースを確保することが困難になりつつある。また、そもそも、大量のデータ蓄積装置１に貼付されるラベルにＰＳＩＤ  ＰＩＮを誤りなく印字する作業は、ドライブベンダにとっては負担が大きい。また、初期化を行う権限を有するＰＳＩＤは、その値がたとえば不正者に盗まれた場合、ユーザの意図しないデータの消去が行われてしまうなどのおそれがある。そこで、データ蓄積装置１は、ＰＳＩＤの代替ＰＩＮとして、安全性および利便性に優れたＬＳＩＤを導入するようにしたものである。なお、データ蓄積装置１は、ＰＳＩＤを排除するものではない。つまり、データ蓄積装置１は、ＰＳＩＤに関する機能は維持しながら、ＬＳＩＤに関する機能を追加したものである。ここでは、データ蓄積装置１は、ＰＳＩＤ  ＰＩＮが設定されないもの、つまり、ＰＩＮ管理部１１３においてＰＳＩＤ  ＰＩＮが管理されていないものとする。
【００２６】
前述したように、ＬＳＩＤは、ＰＳＩＤの代替ＰＩＮである。つまり、ＬＳＩＤは、ＰＳＩＤと同様、データ蓄積装置１の初期化を行う権限を有する。また、ＬＳＩＤは、一定の条件下で設定が可能なＰＩＮとして定義される。この点については後述する。
ＭＳＩＤは、何らの権限も有していないＰＩＮであって、ＳＩＤの初期値を保持するために定義されるＰＩＮである。換言すれば、ＳＩＤ  ＰＩＮは、データ蓄積装置１が初期状態にある場合、ＭＳＩＤ  ＰＩＮと同値である。ＭＳＩＤも、ＰＳＩＤと同様、更新不可のＰＩＮとして定義されており、その値は、たとえばデータ蓄積装置１の製造時にドライブベンダ独自の特殊コマンドなどによって設定される。または、不揮発性メモリ１３の所定の領域に前述したプログラムを格納（インストール）する際に設定してもよい。ＳＩＤ  ＰＩＮも、その初期値は、ＭＳＩＤ  ＰＩＮと同様に設定される。また、ＭＳＩＤは、認証なしで読み出すことが可能なＰＩＮとして定義されている。詳細については後述するが、たとえばＰＣを購入したエンドユーザなどは、まず、このＭＳＩＤ  ＰＩＮを読み出して、その値を用いてＳＩＤとして認証を成功させることによって、ＳＩＤ  ＰＩＮの設定（更新）や、データ保護機能の活性化などを行うことができる。また、ＳＩＤの権限でデータ保護機能を活性化すると、Ａｄｍｉｎ  ＰＩＮの設定や、Ｕｓｅｒ  ＰＩＮの設定などを行うことができる。
【００２７】
図２に戻り、コントローラ１１の各処理部の説明を続ける。
認可処理部１１４は、何らかのコマンドがホスト装置２から発行されてインタフェース処理部１１１によって受信された場合、そのコマンドの受け付け可否を、そのコマンドを発行する権限が与えられたＰＩＮで認証が成功しているかによって判定する。より詳しくは、認可処理部１１４は、たとえば発行権限がＳＩＤのみに与えられているコマンドをインタフェース処理部１１１から受け取った場合、認証処理部１１２がＳＩＤ  ＰＩＮで認証を成功させているか否かによって、その受け付け可否を判定する。
【００２８】
図４に、本実施形態のデータ蓄積装置１におけるＬＳＩＤ（ＰＩＮ）に関連するコマンドおよびその発行権限の一例を示す。
図４中、Activateは、データ保護機能を活性化するためのコマンドである。データ保護機能が活性化されている状態は、たとえばActiveなどと称される。Activateの発行権限は、ＳＩＤに与えられている。一方、Revertは、データ保護機能を不活性化させるためのコマンドである。データ保護機能が不活性の状態は、たとえばinactiveなどと称される。データ保護機能の不活性化時には、データが無効化される。前述したように、データの無効化は、データ保護機能が暗号化によるものである場合、暗号鍵を更新することによって行われ、データ保護機能が暗号化によらない場合、論理アドレスと物理アドレスとの対応を管理するテーブルを初期化したり、特定の値あるいはランダムな値を不揮発性メモリ１３全体に渡って書き込んだりすることによって行われる。つまり、Revertは、実質的に、初期化を行うためのコマンドである。また、初期化の際、ＰＩＮ管理部１１３によって管理されるＳＩＤ  ＰＩＮは、初期値であるＭＳＩＤ  ＰＩＮと同値に戻る。Ｕｓｅｒが設定されている場合、そのＰＩＮの値は消去される。更新不可のＰＩＮとして定義されるＰＳＩＤには、初期化という概念が存在し得ない。また、ＬＳＩＤ  ＰＩＮは、その時の値が維持される。Inactive状態は、ＯＦＳ（Original Factory State)などとも称される。Revertの発行権限は、符号ｂ１で示される（データ蓄積装置１独自の）ＬＳＩＤを含む、ＳＩＤ、ＰＳＩＤ、ＬＳＩＤに与えられている。つまり、データ蓄積装置１における認可処理部１１４は、ＬＳＩＤ権限でRevertコマンドが発行できるように機能追加されている。
【００２９】
Setは、ＰＩＮを含む各種設定値を書き込む（設定する）ためのコマンドであり、Getは、ＰＩＮを含む各種設定値を読み出す（取得する）ためのコマンドである。SetおよびGetの発行権限は、それらの対象（Object）に応じて定義されている。図５に、SetまたはGetの対象(Object)がＰＩＮである場合の発行権限の一付与例を示す。
【００３０】
ＳＩＤ  ＰＩＮについては、その値を設定するためのSetコマンドの発行権限がＳＩＤのみに与えられており、その値を取得するためのGetコマンドは存在しない。Ａｄｍｉｎ  ＰＩＮについては、その値を設定するためのSetコマンドの発行権限がＡｄｍｉｎのみに与えられており、その値を取得するためのGetコマンドは存在しない。Ｕｓｅｒ  ＰＩＮについては、その値を設定するためのSetコマンドの発行権限がＡｄｍｉｎまたはそのＵｓｅｒのみに与えられ、その値を取得するためのGetコマンドは存在しない。
【００３１】
ＰＳＩＤ  ＰＩＮについては、前述したように、更新不可のＰＩＮとして定義されているため、その値を設定するためのSetコマンドは存在しない。また、ＰＳＩＤ  ＰＩＮの値を取得するためのGetコマンドも存在しない。なお、ここでは、ＰＩＮ管理部１１３がＰＳＩＤ  ＰＩＮを管理していないことを想定しているが、後述するＰＩＮアクセス制御部１１５は、ＰＳＩＤ  ＰＩＮを対象とするSetコマンドまたはGetコマンドの受け付けを不可と判定する機能は維持している。
【００３２】
本実施形態のデータ蓄積装置１において新設される、符号ｃ１で示されるＬＳＩＤ  ＰＩＮについては、第１の条件下または第２の条件下において、その値を設定するためのSetコマンドの発行権限がＳＩＤのみに与えられている。ＬＳＩＤ  ＰＩＮの値を取得するためのGetコマンドは存在しない。第１の条件とは、ＬＳＩＤ  ＰＩＮが初期値であることである。ＬＳＩＤ  ＰＩＮの初期値は、たとえばHigh value (All F)などのSetコマンドで設定され得ない所定の値とすればよい。このＬＳＩＤ  ＰＩＮの初期値も、ＰＳＩＤ  ＰＩＮやＭＳＩＤ  ＰＩＮと同様、たとえばデータ蓄積装置１の製造時にドライブベンダ独自の特殊コマンドなどによって設定される。または、不揮発性メモリ１３の所定の領域に前述したプログラムを格納（インストール）する際に設定してもよい。また、第２の条件とは、データ保護機能が不活性の状態、つまりinactive状態であることである。
【００３３】
ＭＳＩＤ  ＰＩＮについては、前述したように、更新不可のＰＩＮとして定義されているため、その値を設定するためのSetコマンドは存在しない。一方、ＭＳＩＤ  ＰＩＮの値を取得するためのGetコマンドは、認証なし（Anybody）で発行することができる。
【００３４】
ＰＩＮを対象とするSetコマンドまたはGetコマンドの受け付け可否は、後述するＰＩＮアクセス制御部１１３によって判定される。認可処理部１１４は、ＰＩＮを対象とするSetコマンドおよびGetコマンドについては、ＰＩＮアクセス制御部１１５へ転送し、その受け付け可否の判定を委ねる。
【００３５】
図２に戻り、コントローラ１１の各処理部の説明をさらに続ける。
ＰＩＮアクセス制御部１１５は、ＰＩＮ管理部１１３へのＰＩＮの書き込み（設定）やＰＩＮ管理部１１３からのＰＩＮの読み出し（取得）を制御する。より詳しくは、ＰＩＮアクセス制御部１１５は、ＰＩＮに関するSetコマンドを認可処理部１１４から受け取った場合、そのＰＩＮを設定する権限を有するＰＩＮで認証が成功しているか否かを調べ、当該コマンドの受け付け可否を判定する。受け付け可能と判定した場合、ＰＩＮアクセス制御部１１５は、そのＰＩＮをＰＩＮ管理部１１３へ設定する、ＰＩＮを設定すると、その旨が、インタフェース処理部１１１経由でホスト装置２へ通知される。同様に、ＰＩＮに関するGetコマンドを認可処理部１１４から受け取った場合、ＰＩＮアクセス制御部１１５は、そのＰＩＮを取得する権限を有するＰＩＮで認証が成功しているか否かを調べ、受け付け可能と判定した場合、そのＰＩＮをＰＩＮ管理部１１３から取得する。取得したＰＩＮは、インタフェース処理部１１１経由でホスト装置２へ送信される。
【００３６】
また、ＰＩＮアクセス制御部１１５は、ＬＳＩＤ  ＰＩＮに関するGetコマンドについては、いずれのＰＩＮで認証が成功しているかに関わらず、受け付け不可と判定する。一方、ＬＳＩＤ  ＰＩＮに関するSetコマンドについては、ＰＩＮアクセス制御部１１５は、第１に、認証処理部１１２がＳＩＤ  ＰＩＮによって認証を成功させているか否かと、ＰＩＮ管理部１１３によって管理されているＬＳＩＤが初期値か否かを調べ、ＳＩＤ  ＰＩＮによって認証が成功しており、かつ、ＬＳＩＤ  ＰＩＮが初期値であるならば、当該ＬＳＩＤ  ＰＩＮに関するSetコマンドは受け付け可能と判定する。ＰＩＮアクセス制御部１１５は、ＰＩＮ管理部１１３によって管理されているＬＳＩＤ  ＰＩＮを、Setコマンドで指定される値に更新し、当該ＬＳＩＤ  ＰＩＮの更新完了を、インタフェース処理部１１１経由でホスト装置２へ通知する。
【００３７】
また、ＰＩＮアクセス制御部１１５は、第２に、認証処理部１１２がＳＩＤ  ＰＩＮによって認証を成功させているか否かと、Revertコマンドによって（後述する初期化処理部１１６による）初期化が行われたInactive状態か否かとを調べる。ＰＩＮアクセス制御部１１５は、ＳＩＤ  ＰＩＮ以外によって認証が成功している場合、または、Revertコマンドによる初期化後のInactive状態でない場合、当該ＬＳＩＤ  ＰＩＮに関するSetコマンドは受け付け不可と判定し、その旨をインタフェース処理部１１１経由でホスト装置２へ通知する。一方、ＰＩＮアクセス制御部１１５は、ＳＩＤ  ＰＩＮによって認証が成功している場合であり、かつ、Revertコマンドによる初期化後のInactive状態である場合、当該ＬＳＩＤ  ＰＩＮに関するSetコマンドを受け付け可能と判定する。ＰＩＮアクセス制御部１１５は、ＰＩＮ管理部１１３によって管理されているＬＳＩＤ  ＰＩＮを、Setコマンドで指定される値に更新し、当該ＬＳＩＤ  ＰＩＮの更新完了を、インタフェース処理部１１１経由でホスト装置２へ通知する。
【００３８】
つまり、データ蓄積装置１では、ＬＳＩＤ  ＰＩＮについてのSetコマンドは、以下の２つのタイミングのみに制限される。
（１）ＳＩＤ  ＰＩＮで認証が成功しており、かつ、ＬＳＩＤ  ＰＩＮが初期値の場合。
（２）ＳＩＤ  ＰＩＮで認証が成功しており、かつ、Revertコマンドによって初期化された状態である場合。
【００３９】
つまり、データ蓄積装置１におけるＰＩＮアクセス制御部１１５は、ＰＩＮ管理部１１３によって管理されるＰＩＮに対するアクセスとして、さらに、ＬＳＩＤ  ＰＩＮを対象としてアクセスを行えるように機能追加されている。より詳しくは、ＰＩＮ管理部１１３に対するＬＳＩＤ  ＰＩＮに関するアクセスを、上記（１），（２）のタイミングのみに制限することができるように機能追加されている。ＰＳＩＤの代替ＰＩＮであり、このようにアクセスが制御されるＬＳＩＤ  ＰＩＮが、ＰＳＩＤ  ＰＩＮと比較して備えている優位性については後述する。
【００４０】
また、ＰＩＮアクセス制御部１１５は、ＬＳＩＤ  ＰＩＮの変更、より詳しくは、初期値以外の状態のＬＳＩＤ  ＰＩＮの更新を１回のみ許可するように制御を行ってもよい。たとえば、初期値以外の状態におけるＬＳＩＤ  ＰＩＮの更新回数を記録することなどによって当該制御を行うことができる。
【００４１】
初期化処理部１１６は、Revertコマンドが発行された場合であって、そのRevertコマンドが認可処理部１１４によって受け付け可能と判定された場合、データを無効化した上でデータ保護機能を不活性化させる初期化を行う。前述したように、Revertコマンドは、ＳＩＤ  ＰＩＮ、ＰＳＩＤ  ＰＩＮまたはＬＳＩＤ  ＰＩＮで認証が成功している場合、認可処理部１１４によって受け付け可能と判定される（図４参照）。
【００４２】
read/writeアクセス制御部１１７は、ReadコマンドまたはWriteコマンドが発行された場合、それらのコマンドで指定される論理アドレスを物理アドレスへ変換し、その物理アドレスからのデータの読み出しまたは物理アドレスへのデータの書き込み、つまり不揮発性メモリ１３からのデータの読み出しまたは不揮発性メモリ１３へのデータの書き込みをread/write処理部１１８に指示する。read/writeアクセス制御部１１７は、Ｕｓｅｒの領域について、当該領域が割り当てられたＵｓｅｒからのロックをかけるコマンドまたはロックを解除するコマンドに応じて、ロックをかける処理またはロックを解除する処理を行うことができる。read/writeアクセス制御部１１７は、あるＵｓｅｒのロックがかけられた領域に対するReadコマンドまたはWriteコマンドを受け取った場合、当該ReadコマンドまたはWriteコマンドは受け付け不可と判定し、その旨をインタフェース処理部１１１経由でホスト装置２へ通知する。なお、ロックを解除するコマンドが発行された場合、認可処理部１１４によって、その受け付け可否が判定される。より詳しくは、認可処理部１１４は、そのＵｓｅｒのＰＩＮに加えて、Ａｄｍｉｎ  ＰＩＮで認証が成功している場合においても、受け付け可能と判定する。
【００４３】
read/write処理部１１８は、read/writeアクセス制御部１１７から指示される物理アドレスからのデータの読み出しまたは物理アドレスへのデータの書き込み、つまり不揮発性メモリ１３からのデータの読み出しまたは不揮発性メモリ１３へのデータの書き込みを実行する。不揮発性メモリ１３に対するアクセスの結果は、インタフェース処理部１１１経由でホスト装置２へ通知される。たとえば、readコマンドの発行時には、不揮発性メモリ１３から読み出されたデータがインタフェース処理部１１１経由でホスト装置２へ送信され、writeコマンドの発行時には、不揮発性メモリ１３へのデータの書き込み完了がインタフェース処理部１１１経由でホスト装置２へ通知される。
【００４４】
ここで、図６を参照して、データ保護機能を搭載するデータ蓄積装置１の状態遷移の概要について説明する。
たとえば、ドライブベンダによる出荷時、データ蓄積装置１は、データ保護機能が不活性の状態のInactive状態にある。また、この時、ＳＩＤ  ＰＩＮの値は、ＭＳＩＤ  ＰＩＮと同値となっている。この状態が、図６において符号Ｓ１で示される状態である。
【００４５】
次に、たとえば、符号Ｓ１で示される状態にあるデータ蓄積装置１をＰＣに組み込んで出荷するＰＣベンダが、認証なしで取得可能なＭＳＩＤ  ＰＩＮをGetコマンドによって読み出して（図６の（１））、そのＭＳＩＤ  ＰＩＮを用いてＳＩＤ権限で認証を成功させて（図６の（２））、SetコマンドによってＳＩＤ  ＰＩＮの値を設定したとする（図６の（３））。この状態が、図６において符号Ｓ２で示される状態である。ここで、ＰＣ本体が、図１に示されるホスト装置２である。なお、ＳＩＤ  ＰＩＮの値は、Inactive状態の場合に限らず、Activeの状態において設定することができる。
【００４６】
続いて、たとえば、符号Ｓ２で示される状態にあるデータ蓄積装置１が組み込まれたＰＣを購入するエンドユーザ（企業）のＩＴ管理者が、ＰＣベンダから通知されるＳＩＤを用いてＳＩＤ権限で認証を成功させ（図６の（４））、ActivateコマンドによってActiveデータ保護機能を活性化させたとする（図６の（５））。この状態が、図６において符号Ｓ３で示される状態である。データ保護機能を活性化させると、つまりActivate状態とすると、ＩＴ管理者は、たとえば、Ａｄｍｉｎ  ＰＩＮの設定（更新）、Ｕｓｅｒ  ＰＩＮの設定、どのＵｓｅｒに領域の設定権限を割り当てるかの設定、領域に対するロック機能を有効化する設定、などを行い（図６の（６））、これらの設定が行われ、ロック機能が有効となったデータ蓄積装置１が組み込まれたＰＣを社員に貸与する。社員は、たとえばＩＴ管理者から通知されたＵｓｅｒ  ＰＩＮを用いてＵｓｅｒ権限で認証を成功させることで、データ保護機能がActiveのデータ蓄積装置１が組み込まれたＰＣの使用を開始することができる。
【００４７】
また、ＳＩＤ  ＰＩＮ、ＰＳＩＤ  ＰＩＮ（ここでは、ＰＳＩＤ  ＰＩＮは設けられていないものとしている）、ＬＩＳＤ  ＰＩＮを用いて認証を成功させれば、Revertコマンドによって、符号Ｓ３で示される状態にある、ある社員に貸与していたＰＣを、符号Ｓ１で示される状態へ戻すことができる。
【００４８】
以上のようなデータ蓄積装置１の状態遷移を踏まえて、次に、図７を参照して、ＬＳＩＤに着目したデータ蓄積装置１の第１ユースケースについて説明する。
図７に示されるように、ここでは、ドライブベンダ５１から出荷されるデータ蓄積装置１を、ＰＣベンダ５２がＰＣ３へ組み込んで、企業などのエンドユーザ５３に（データ蓄積装置１が組み込まれたＰＣ３を）出荷するケースを想定する。このケースの場合、データ蓄積装置１が組み込まれたＰＣ３におけるＰＣ本体が、図１に示されるホスト装置２に相当する。また、以下、ＰＣ３に組み込まれたデータ蓄積装置１の初期化を、単に、ＰＣ３の初期化と称することがある。
【００４９】
ここで、ドライブベンダ５１は、データ蓄積装置１をデータ保護機能がInactiveの状態で出荷するものとし、かつ、ＬＳＩＤ  ＰＩＮを初期値で出荷するものとする。つまり、ドライブベンダ５１は、ＰＳＩＤの代替ＰＩＮであるＬＳＩＤ  ＰＩＮの管理を行わない。よって、ドライブベンダ５１は、ＰＳＩＤ  ＰＩＮをラベルに誤りなく印字するためのＰＳＩＤ  ＰＩＮを管理する工程を削減することができる。
【００５０】
一方、ＰＣベンダ５２は、データ蓄積装置１ごとにＬＳＩＤの値をドライブベンダ５１から受け取る必要はなく、ＬＳＩＤ  ＰＩＮが初期値であるので、たとえば、ＰＣベンダ５２独自のルールでたとえばデータ蓄積装置１を組み込むＰＣ３ごとにＬＳＩＤの値を決定して設定することができる（図７の（１））。たとえば、各ＰＣ３に異なる値を割り当てても良いし、同一のモデルには同一の値を割り当てても良い。また、ＰＣベンダのみが知り得る鍵あるいはアルゴリズムと、ＰＣ３のシリアル番号とから導出した値にしてもよい。ＬＳＩＤ  ＰＩＮが初期値の状態のデータ蓄積装置１に接する機会は、ドライブベンダ５１またはＰＣベンダ５２のオペレータなどに限定されるので、ＬＳＩＤ  ＰＩＮが初期値の状態である時に不正者によって悪意を持った設定（更新）が行われることを防止できる。なお、図７の（１）の処理は、データ蓄積装置１を組み込んだＰＣ３内のホスト装置２が行っても良いし、ＰＣ３内のホスト装置２とは別のホスト装置が行っても良い。
【００５１】
ＰＣベンダ５２からＰＣ３を購入するエンドユーザ５３側においては、ＩＴ管理者が、ＭＳＩＤ  ＰＩＮを用いてＳＩＤ権限で認証をさせ、ＳＩＤ  ＰＩＮを更新するとともに、データ蓄積装置１のデータ保護機能を活性化させ、Ａｄｍｉｎ  ＰＩＮを設定して、Ａｄｍｉｎ権限で、Ｕｓｅｒ  ＰＩＮの設定、どのＵｓｅｒに領域の設定権限を割り当てるかの設定、領域に対するロック機能を有効化する設定、などを行い、これらの設定が行われ、ロック機能が有効となったデータ蓄積装置１が組み込まれたＰＣ３を社員に貸与する（図７の（２））。
【００５２】
ここで、たとえば、ある社員に貸与していた、当該社員によってロックがかけられた状態のＰＣ３を初期化する必要が生じたが、その社員が既に不在でＵｓｅｒ  ＰＩＮを知り得ず、かつ、ＩＴ管理者がＡｍｉｎ  ＰＩＮに加えてＳＩＤ  ＰＩＮを失念した場合を想定する（図７の（３））。この場合、エンドユーザ（ＩＴ管理者）５３は、そのＰＣ３をＰＣベンダ５２へ送り、当該ＰＣ３の初期化を依頼する。
【００５３】
この依頼を受けたＰＣベンダ５２では、そのＰＣ３用に設定したＬＳＩＤ  ＰＩＮを用いて認証を成功させることで、データを無効化した上でデータ保護機能を不活性化させる初期化を当該ＰＣ３に対して行うことができ（図７の（４））、初期化したＰＣ３をエンドユーザへ返却することができる（図７の（５））。ここで重要なポイントはＰＣベンダ５２がＬＳＩＤ  ＰＩＮを管理できる点にある。ＰＳＩＤ  ＰＩＮはドライブベンダ５１が生成し、且つＰＳＩＤ  ＰＩＮの値は変更不可であったため、ＰＣベンダ５２がＰＣ３を初期化するためのＰＩＮを任意の値に設定することはできなかった。しかし、本実施形態で示した手順に依れば、ＰＣベンダ５２がＬＳＩＤ  ＰＩＮ、すなわちＰＣ３を初期化するためのＰＩＮを図７の（１）にて設定するため、当然、その値を知っており、管理する事ができる。よって、ＰＣベンダ５２はドライブベンダ５１にその値を問い合わせる事なく、図７の（５）にてＰＣ３を初期化する事ができる。また、前述したように、ロックを解除する権限は、Ａｄｍｉｎおよび当該Ｕｓｅｒのみが有し、ＬＳＩＤでは、ロックがかけられた領域のデータの読み出しを行うことができないので、エンドユーザ５３は、ＰＣベンダ５２によって自社のデータが読み出されるおそれがないため、安心して初期化を依頼することができる。なお、図７の（４）の処理は、データ蓄積装置１を組み込んだＰＣ３内のホスト装置２が行っても良いし、ＰＣ３内のホスト装置２とは別のホスト装置が行っても良い。
【００５４】
なお、ＩＴ管理者がＳＩＤ  ＰＩＮを失念していない場合には、ＳＩＤ  ＰＩＮを用いて認証を成功させ、Revertコマンドを発行することによって、当該ＰＣ３を初期化することができる。また、この初期化された状態においては、ＳＩＤ権限によって、ＬＳＩＤ  ＰＩＮを設定（更新）することが可能となる。しかし、ＳＩＤ  ＰＩＮは、ＩＴ管理者によって管理され、ＳＩＤ権限でのＬＳＩＤ  ＰＩＮの設定（更新）は、初期化された状態に限定されるので、不正者によって悪意を持った設定（更新）が行われることを防止できる。また、後述する他の実施形態において説明する、ＬＳＩＤ  ＰＩＮの更新を不許可とするモードを定義することによって、たとえば、ＬＳＩＤ  ＰＩＮを不正に設定（更新）して、そのＬＳＩＤでデータをいつでも消去し得ると脅し、金品などを要求するといった行為を、より確実に防止できる。
【００５５】
図８は、ＬＳＩＤ  ＰＩＮが初期値の状態でＬＳＩＤ  ＰＩＮを設定（更新）する場合におけるホスト装置２−データ蓄積装置１間のやりとりを説明するためのシーケンス図である。
ホスト装置２は、まず、ＳＩＤ  ＰＩＮを用いてＳＩＤ権限での認証をデータ蓄積装置１へ要求する（図８の（１））。そのＳＩＤ  ＰＩＮの値が正しければ、データ蓄積装置１は、この認証を成功させる（図８の（２））。
【００５６】
ＳＩＤ権限での認証を成功させたら、ホスト装置２は、続いて、ＬＳＩＤ  ＰＩＮのSetコマンドを発行する（図８の（３））。このコマンドを受けたデータ蓄積装置１は、ＬＳＩＤ  ＰＩＮが初期値か否かを調べ、初期値であれば、ホスト装置２から指定された値にＬＳＩＤ  ＰＩＮを設定（更新）する（図８の（４））。
【００５７】
一方、図９は、ＬＳＩＤ  ＰＩＮが初期値以外の状態でＬＳＩＤ  ＰＩＮを設定（更新）する場合におけるホスト装置２−データ蓄積装置１間のやりとりを説明するためのシーケンス図である。
ホスト装置２は、まず、ＳＩＤ  ＰＩＮを用いてＳＩＤ権限での認証をデータ蓄積装置１へ要求する（図９の（１））。そのＳＩＤ  ＰＩＮの値が正しければ、データ蓄積装置１は、この認証を成功させる（図９の（２））。
【００５８】
ＳＩＤ権限での認証を成功させたら、ホスト装置２は、続いて、Revertコマンドを発行する（図９の（３））。このコマンドを受けたデータ蓄積装置１は、Revertコマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べ、成功していれば、データ保護機能を不活性状態（inactive）に移行させる。つまり、データの無効化を伴う初期化を実行する（図９の（４））。
【００５９】
データ保護機能をinactiveにしたら、ホスト装置２は、ＬＳＩＤ  ＰＩＮのSetコマンドを発行する（図９の（５））。なお、データ蓄積装置１、より詳しくは、ＰＩＮアクセス制御部１１５は、Revertコマンドが発行された場合に、ＬＳＩＤ  ＰＩＮのSetコマンドを受け付け可能とするか否かを、オプションとして設定することができることが好ましい。または、ＰＩＮアクセス制御部１１５は、ＬＳＩＤ  ＰＩＮが初期値の場合にのみ、ＬＳＩＤ  ＰＩＮのSetコマンドを受け付け可能とするようにしてもよい。つまり、Revertコマンドが発行された場合に、ＬＳＩＤ  ＰＩＮのSetコマンドを受け付け可能とすることは必須ではない。ここでは、Revertコマンドが発行された場合に、ＬＳＩＤ  ＰＩＮのSetコマンドを受け付け可能として設定が行われているものとする。つまり、Revert後にＬＳＩＤを設定できる状態に落とすかどうかはオプション機能として、設定可否が切り替え可能であってもよい。このコマンドを受けたデータ蓄積装置１は、ＬＳＩＤ  ＰＩＮのSetコマンドの発行権限を有するＰＩＮで認証が成功しているか否かと、データ保護機能がinactiveの状態か否かとを調べ、ＬＳＩＤ  ＰＩＮのSetコマンドの発行権限を有するＰＩＮで認証が成功しており、かつ、データ保護機能がinactiveの状態である場合、ホスト装置２から指定された値にＬＳＩＤ  ＰＩＮを設定（更新）する（図９の（６））。
【００６０】
また、図１０は、ＬＳＩＤ  ＰＩＮによって初期化を行う場合におけるホスト装置２−データ蓄積装置１間のやりとりを説明するためのシーケンス図である。
ホスト装置２は、まず、ＬＳＩＤ  ＰＩＮを用いてＬＳＩＤ権限での認証をデータ蓄積装置１へ要求する（図１０の（１））。そのＬＳＩＤ  ＰＩＮが正しければ、データ蓄積装置１は、この認証を成功させる（図１０の（２））。
【００６１】
ＬＳＩＤ権限での認証を成功させたら、ホスト装置２は、Revertコマンドを発行する（図１０の（３））。このコマンドを受けたデータ蓄積装置１は、Revertコマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べ、成功していれば、データ保護機能を不活性状態（inactive）に移行させる。つまり、データの無効化を伴う初期化を実行する（図１０の（４））。
【００６２】
図１１は、ＬＳＩＤ  ＰＩＮのSetコマンドを受けた場合におけるデータ蓄積装置１の動作手順を示すフローチャートである。
ＬＳＩＤ  ＰＩＮのSetコマンドを受けると、データ蓄積装置１は、ＬＳＩＤＰＩＮ  のSetコマンドの発行権限を調べる（ステップＡ１）。より詳しくは、ＬＳＩＤ  ＰＩＮのSetコマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べる。当該コマンドの発行権限を有しないＰＩＮで認証が成功している場合（ステップＡ２のＮＯ）、データ蓄積装置１は、当該コマンドの発行元へエラーを返却する（ステップＡ３）。
【００６３】
ＬＳＩＤ  ＰＩＮのSetコマンドの発行権限を有するＰＩＮで認証が成功している場合（ステップＡ２のＹＥＳ）、データ蓄積装置１は、続いて、当該コマンドの発行条件を満たしているかを調べる（ステップＡ４）。より詳しくは、まず、ＬＳＩＤ  ＰＩＮが初期値か否かを調べる（ステップＡ５）。初期値の場合（ステップＡ５のＹＥＳ）、データ蓄積装置１は、そのSetコマンドで受け取った値にＬＳＩＤ  ＰＩＮを設定する（ステップＡ７）。ＬＳＩＤ  ＰＩＮが初期値以外の場合（ステップＡ５のＮＯ）、データ蓄積装置１は、続いて、データ保護機能がInactive状態か否かを調べる（ステップＡ６）。データ保護機能がInactive状態でない場合（ステップＡ６のＮＯ）、データ蓄積装置１は、当該コマンドの発行元へエラーを返信する（ステップＡ３）。データ保護機能がInactive状態の場合には（ステップＡ６のＹＥＳ）、データ蓄積装置１は、そのSetコマンドで受け取った値にＬＳＩＤ  ＰＩＮを設定する（ステップＡ７）。
【００６４】
図１２は、Revertコマンドを受けた場合におけるデータ蓄積装置１の動作手順を示すフローチャートである。
Revertコマンドを受けると、データ蓄積装置１は、Revertコマンドの発行権限を調べる（ステップＢ１）。より詳しくは、Revertコマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べる。当該コマンドの発行権限を有しないＰＩＮで認証が成功している場合（ステップＢ２のＮＯ）、データ蓄積装置１は、当該コマンドの発行元へエラーを返信する（ステップＢ３）。
【００６５】
一方、ＬＳＩＤを含むRevertコマンドの発行権限を有するＰＩＮで認証が成功している場合（ステップＢ３のＹＥＳ）、データ蓄積装置１は、データを無効化し（ステップＢ４）、データ保護機能をInactive状態へ移行させる（ステップＢ５）。
【００６６】
図１３は、ＬＳＩＤに着目したデータ蓄積装置１の第２ユースケースを説明するための図である。
前述した第１ユースケースと同様、第２ユースケースも、ドライブベンダ５１から出荷されるデータ蓄積装置１を、ＰＣベンダ５２がＰＣ３へ組み込んで企業などのエンドユーザ５３に（データ蓄積装置１が組み込まれたＰＣ３を）出荷するケースを想定する。この場合、データ蓄積装置１が組み込まれたＰＣ３におけるＰＣ本体が、図１に示されるホスト装置２に相当する。
【００６７】
また、第２ユースケースにおいても、ドライブベンダ５１は、データ蓄積装置１をデータ保護機能がInactiveの状態で出荷するものとし、かつ、ＬＳＩＤ  ＰＩＮを初期値で出荷するものとする。つまり、ドライブベンダ５１は、ＰＳＩＤの代替ＰＩＮであるＬＳＩＤ  ＰＩＮの管理を行わない。よって、第２ユースケースにおいても、ドライブベンダ５１は、ＰＳＩＤ  ＰＩＮをラベルに誤りなく印字するためのＰＳＩＤ  ＰＩＮを管理する工程を削減することができる。
【００６８】
第２ユースケースにおいては、ＰＣベンダ５２が、ＳＩＤ  ＰＩＮを管理するものとする。より詳しくは、第１ユースケースにおけるＬＳＩＤ  ＰＩＮの設定に加えて、たとえばＰＣベンダ５２のオペレータなどが、ＭＳＩＤ  ＰＩＮを用いてＳＩＤ権限で認証を成功させ、ＳＩＤ  ＰＩＮを更新するとともに、データ蓄積装置１のデータ保護機能を活性化させる（図１３の（１））。この第２ユースケースでは、エンドユーザ５３がＳＩＤ  ＰＩＮを管理する事が表になるため、ＰＣベンダ５２がＳＩＤ  ＰＩＮを適切に管理しておけば、エンドユーザ５３側においてＳＩＤ  ＰＩＮが盗まれることが防止される。なお、図１３の（１）の処理は、データ蓄積装置１を組み込んだＰＣ３内のホスト装置２が行っても良いし、ＰＣ３内のホスト装置２とは別のホスト装置が行っても良い。
【００６９】
一方、ＰＣベンダ５２からＰＣ３を購入するエンドユーザ５３側では、ＩＴ管理者が、Ａｄｍｉｎ  ＰＩＮの設定や、Ｕｓｅｒ  ＰＩＮの設定、どのＵｓｅｒに領域の設定権限を割り当てるかの設定、領域に対するロック機能を有効化する設定、などを行い、これらの設定が行われ、ロック機能が有効となったデータ蓄積装置１が組み込まれたＰＣを社員に貸与する（図１３の（２））。
【００７０】
ここで、ＰＣベンダ５２からＰＣ３を購入するエンドユーザ５３側において、たとえば、あるユーザが、自身に割り当てられた領域にロックをかけた状態で、ＰＩＮ（Ｕｓｅｒ）を失念し、また、ＩＴ管理者はＡｄｍｉｎ＿ＰＩＮを失念した場合を想定する（図１３の（３））。この場合、エンドユーザ５３は、そのＰＣ３をＰＣベンダ５２へ送り、（データについては断念して）当該ＰＣ３の初期化を依頼する。
【００７１】
この依頼を受けたＰＣベンダ５２では、そのＰＣ３用に設定したＳＩＤ  ＰＩＮを用いて認証を成功させることで、当該ＰＣ３を初期化することができるし、そのＰＣ３用に設定したＬＳＩＤ  ＰＩＮを用いて認証を成功させることで、当該ＰＣ３を初期化することができる（図１３の（４））。この初期化後、ＰＣベンダ５２は、ＬＳＩＤ  ＰＩＮの設定を除く、ＳＩＤ  ＰＩＮの設定、データ保護機能の活性化を再度行い（図１３の（１））、エンドユーザ５３へ返却する（図１３の（５））。
【００７２】
この第２ユースケースでは、ＳＩＤ  ＰＩＮがＰＣベンダ５２側で管理されるので、ＬＳＩＤ  ＰＩＮが不正に更新されることを、より確実に防止できる。なお、図１３の（４）の処理は、データ蓄積装置１を組み込んだＰＣ３内のホスト装置２が行っても良いし、ＰＣ３内のホスト装置２とは別のホスト装置が行っても良い。
【００７３】
次に、第１ユースケースの説明に用いた図７を援用して、データ蓄積装置１の第３ユースケースについて説明する。
第１ユースケースにおいては、たとえば、ある社員に貸与していた、当該社員によってロックがかけられた状態のＰＣを初期化する必要が生じたが、その社員が既に不在でＵｓｅｒ  ＰＩＮを知り得ず、かつ、ＩＴ管理者がＡｄｍｉｎ  ＰＩＮに加えてＳＩＤ  ＰＩＮを失念した場合（図７の（３））、そのＰＣ３をＰＣベンダ５２へ送り、当該ＰＣ３の初期化を依頼することとしていた。
【００７４】
これに対して、第３ユースケースでは、本実施形態のデータ蓄積装置１においては、ＰＣベンダ５２が、独自のルールでＬＳＩＤ  ＰＩＮを決定・管理できることに着目し、ＩＴ管理者がＰＣベンダ５２のコールセンタに電話して、ＬＳＩＤ  ＰＩＮを問い合わせることとする。換言すれば、ＰＣベンダ５２は、エンドユーザ５３からのＬＳＩＤ  ＰＩＮの問い合わせを受け付けるサービスを提供することを想定する。
【００７５】
もし、従来手法（ＰＳＩＤ  ＰＩＮ）でＰＣベンダ５２がこのような問い合わせに対応しようとすると、ＰＣベンダ５２は、データ蓄積装置１のＰＳＩＤ  ＰＩＮを目視あるいはバーコードなどで読み取り、ＰＣ３のシリアル番号と一緒に管理するデータベースなどを作成（入力）するなどが必要となる。
【００７６】
一方、本実施形態のデータ蓄積装置１では、ＰＣベンダ５２が独自にデータ蓄積装置１のＬＳＩＤ  ＰＩＮとＰＣ３のシリアル番号とを決定することができるため、管理の手間を大幅に削減することができる。
また、この第３ユースケースでは、ＰＣベンダ５２にＰＣ３を預けることがないので、エンドユーザ５３は、ＰＣベンダ５２によって自社のデータが読み出されるおそれがない。
【００７７】
次に、第２ユースケースの説明に用いた図１３を援用して、データ蓄積装置１の第４ユースケースについて説明する。
第２ユースケースにおいては、たとえば、あるユーザが、自身に割り当てられた領域にロックをかけた状態で、ＰＩＮ（Ｕｓｅｒ）を失念し、また、ＩＴ管理者はＡｄｍｉｎ＿ＰＩＮを失念した場合（図１３の（３））、そのＰＣ３をＰＣベンダ５２へ送り、当該ＰＣ３の初期化を依頼することとしていた。
【００７８】
これに対して、第４ユースケースでは、そのＰＣ３をＰＣベンダ５２へ送らずに、エンドユーザ５３が、ＰＣ３のケースを開封して、データ蓄積装置１のケースに貼付されるデータ蓄積装置１のラベルを参照し、ＬＳＩＤ  ＰＩＮを取得する。そして、そのＬＳＩＤ  ＰＩＮで認証を成功させ、Revertコマンドを発行し、当該ＰＣ３を初期化する。
【００７９】
つまり、本実施形態のＬＳＩＤ＿ＰＩＮは、ＰＳＩＤ＿ＰＩＮと同じように利用することができる。なお、ＰＣ３のケースを開封すると、ＰＣベンダ５２による保証の対象外となることが一般的であるため、エンドユーザ５３側でＰＣ３のケースを開封してＬＳＩＤ  ＰＩＮを取得し、ＰＣ３を初期化した場合、データ保護機能を活性化するためには、たとえば、エンドユーザ５３側において、ＳＩＤ＿ＰＩＮを設定し、Activateコマンドを発行することとなる。もちろん、データ保護機能を活性化させることなく、ＰＣ３を使用することも可能である。
【００８０】
図１４は、ＬＳＩＤに着目したデータ蓄積装置１の第５ユースケースを説明するための図である。
前述した第１乃至第３ユースケースと同様、第３ユースケースも、ドライブベンダ５１から出荷されるデータ蓄積装置１を、ＰＣベンダ５２がＰＣ３へ組み込んで企業などのエンドユーザ５３に（データ蓄積装置１が組み込まれたＰＣ３を）出荷するケースを想定する。この場合、データ蓄積装置１が組み込まれたＰＣ３におけるＰＣ本体が、図１に示されるホスト装置２に相当する。
【００８１】
また、第４ユースケースにおいても、ドライブベンダ５１は、データ蓄積装置１をデータ保護機能がInactiveの状態で出荷するものとし、かつ、ＬＳＩＤ  ＰＩＮを初期値で出荷するものとする。つまり、ドライブベンダ５１は、ＰＳＩＤの代替ＰＩＮであるＬＳＩＤの管理を行わない。よって、第３ユースケースにおいても、ドライブベンダ５１は、ＰＳＩＤ  ＰＩＮをラベルに誤りなく印字するためのＰＳＩＤ  ＰＩＮを管理する工程を削減することができる。
【００８２】
第４ユースケースにおいては、ＰＣベンダ５２が、ラベルを貼付するスペースを確保することが困難な程度に小型化が進んだデータ蓄積装置１にラベルを貼付することに代えて、そのラベルを、データ蓄積装置１を組み込むＰＣ本体側に貼付することを想定する。
【００８３】
仮に、従来手法（ＰＳＩＤ  ＰＩＮ）でＰＣベンダ５２がデータ蓄積装置１を組み込むＰＣ本体側に貼付されるラベルに当該データ蓄積装置１のＰＳＩＤ  ＰＩＮを印字するとしたならば、ドライブベンダ５１から取得するＰＳＩＤ  ＰＩＮをラベルに誤りなく印字するＰＣベンダ５２の作業は非常に煩雑な作業となる。これに対して、ＰＳＩＤの代替ＰＩＮであるＬＳＩＤを適用するデータ蓄積装置１においては、ＰＣベンダ５２独自のルールでたとえばデータ蓄積装置１を組み込むＰＣ３ごとにＬＳＩＤ  ＰＩＮを決定して設定することができるので（図１４の（１））、ＰＣ本体側に貼付されるラベルにデータ蓄積装置１のＬＳＩＤ  ＰＩＮを印字する作業を大幅に簡便化することができる（図１４の（２））。
【００８４】
より詳しくは、従来手法（ＰＳＩＤ）では、ＰＣベンダ５２は、データ蓄積装置１のＰＳＩＤ  ＰＩＮを目視あるいはバーコードなどで読み取り、それをＰＣ本体に貼付されるラベルに印字して、ＰＣ本体に貼り付けるという作業が必要となる。一方、本実施形態のデータ蓄積装置１では、ＰＣベンダ５２が自らデータ蓄積装置１のＬＳＩＤ  ＰＩＮを決定し、それをデータ蓄積装置１に設定するとともに、ラベルに印字することになる。これと同等の作業として、ＰＣベンダ５２においては、既に、ＰＣ３のシリアル番号を決定し、それをＰＣ３に設定するとともに、ＰＣ本体に貼付されるラベルに印字することが行われており、これをデータ蓄積装置１のＰＳＩＤについても適用すればよいので、大幅なコストダウン増などを招くこともない。
【００８５】
ＰＣベンダ５２によるＰＣ３の出荷後は、たとえば、第１ユースケースと同様、エンドユーザ５３側のＩＴ管理者が、ＭＳＩＤを用いてＳＩＤ権限で認証をさせ、ＳＩＤを更新するとともに、データ蓄積装置１のデータ保護機能を活性化させ、Ａｄｍｉｎ＿ＰＩＮを設定して、Ａｄｍｉｎ権限で、Ｕｓｅｒ＿ＰＩＮの設定、どのＵｓｅｒに領域の設定権限を割り当てるかの設定、領域に対するロック機能を有効化する設定、などを行い、これらの設定が行われ、ロック機能が有効となったデータ蓄積装置１が組み込まれたＰＣ３を社員に貸与する（図１４の（３））。また、ここでも、たとえば、ある社員に貸与していた、当該社員によってロックがかけられた状態のＰＣ３を初期化する必要が生じたが、その社員が既に不在でＵｓｅｒ  ＰＩＮを知り得ず、かつ、ＩＴ管理者がＡｄｍｉｎ  ＰＩＮに加えてＳＩＤ  ＰＩＮを失念した場合を想定する（図１４の（４））。
【００８６】
第５ユースケースにおいては、このような場合、エンドユーザ（ＩＴ管理者）５３は、ＰＣ３の本体に貼付されたラベルを参照し、ＬＳＩＤ  ＰＩＮを取得して、そのＬＳＩＤ  ＰＩＮを用いて認証を成功させることで、当該ＰＣ３を初期化する（図１４の（５））。従来、ＰＳＩＤ  ＰＩＮが印字されたラベルがデータ蓄積装置１に貼付されるため、ＰＳＩＤ  ＰＩＮを取得するために、ＰＣ３のケースを開封する必要があったが、ＬＳＩＤ  ＰＩＮをＰＣ３の本体側に貼付するラベルに印字する本第５ユースケースでは、ＰＣ３のケースを開封する必要を無くすことができる。
【００８７】
なお、エンドユーザ（ＩＴ管理者）５３は、ＰＣ３の納入時、ＬＳＩＤ  ＰＩＮが印字されたラベルを、他者から参照されてＬＳＩＤ＿ＰＩＮを取得されないように、ＬＳＩＤ＿ＰＩＮを控えたら、ＰＣ３から剥しておくことが好ましい。
また、ＬＳＩＤ＿ＰＩＮの印字は、必ずしもＰＣ３に貼付されるラベルでなくてもよい。たとえば、ＰＣベンダ５２は、ＬＳＩＤ＿ＰＩＮが印字された紙またはシールなどのプリント物（紙媒体）を説明書と同封してエンドユーザ５３に送付してもよい。そして、エンドユーザ５３側では、ＩＴ管理者が、そのプリント物を抜き取って、説明書のみを社員に配布するようにしてもよい。
【００８８】
あるいは、ＰＣベンダ５２は、ＬＳＩＤ＿ＰＩＮとＰＣ３のシリアル番号との対応が示されるリストが記録されたＣＤ−ＲＯＭや当該リストが記載された書面などをエンドユーザ（ＩＴ管理者）５３に送付するなどといったことも可能である。
この初期化後、エンドユーザ（ＩＴ管理者）５３は、ＳＩＤの設定、データ保護機能の活性化、Ａｄｍｉｎ  ＰＩＮの設定、ＵｓｅｒＰＩＮの設定などを再度行い（図１４の（３））、当該ＰＣ３を改めて社員へ貸与する。
【００８９】
このように、データ蓄積装置１は、安全性および利便性に優れた初期化用の個人識別情報を取扱い可能とする。
（第２実施形態）
次に、第２実施形態について説明する。
図１５は、第２実施形態におけるコントローラ１１の機能ブロックの一例を示す図である。なお、第１実施形態と同一の構成要素については、同一の符号を使用し、重複する説明は省略する。
【００９０】
前述した第１実施形態では、ＬＳＩＤ  ＰＩＮを取得するためのGetコマンドは存在せず、一方、ＬＳＩＤ  ＰＩＮを設定するためのSetコマンドについては、ＬＳＩＤ  ＰＩＮが初期値であるならば、ＳＩＤ権限で発行でき、また、ＬＳＩＤ  ＰＩＮが初期値以外であるならば、データ保護機能がInactive状態である場合に限り、ＳＩＤ権限で発行できることとしていた。つまり、第１実施形態では、Setコマンドの発行者が指定する値にＬＳＩＤ  ＰＩＮを設定することが可能であった。
【００９１】
これに対して、第２実施形態では、ＬＳＩＤ  ＰＩＮを設定するコマンドではなく、ＬＳＩＤ  ＰＩＮを更新するコマンドをＳＩＤ権限において受け付け、当該コマンドを受け付けたら、データ蓄積装置１内でＬＳＩＤ  ＰＩＮの値を生成して設定（更新）する。また、このコマンドによってＬＳＩＤ  ＰＩＮを更新した場合、データ蓄積装置１は、（更新後の）ＬＳＩＤ  ＰＩＮを取得するためのGetコマンドを、ＳＩＤ権限において１回に限り受け付ける。
【００９２】
図１５に示されるように、本実施形態のデータ蓄積装置１は、ＬＳＩＤ生成部１１９をさらに有する。ＬＳＩＤ生成部１１９は、たとえば乱数を生成する機能を有し、当該機能を使ってＬＳＩＤの値を生成する。
図１６に、本実施形態のデータ蓄積装置１におけるＬＳＩＤに関連するコマンドおよびその発行権限の一例を示す。
【００９３】
図１６に示されるように、本実施形態のデータ蓄積装置１においては、Revertコマンドの発行権限がＬＳＩＤに与えられる（符号ｂ１）ことに加えて、ＬＳＩＤに関連するコマンドとして、符号ｂ２で示されるGen_LSIDが定義される。Gen_LSIDは、ＬＳＩＤ  ＰＩＮを更新するためのコマンドであり、その発行権限は、ＳＩＤに与えられている。
【００９４】
また、図１７は、本実施形態のデータ蓄積装置１におけるSetまたはGetの対象(Object)がＰＩＮである場合の発行権限の一付与例を示す図である。
本実施形態のデータ蓄積装置１においては、Gen_LSIDコマンドの新設に伴い、ＬＳＩＤ  ＰＩＮ（符号ｃ１）について、符号ｃ２で示されるように、その値を取得するためのGetコマンドの発行権限が、一定の条件下において、ＳＩＤに与えられている。一定の条件とは、Gen_LSIDコマンドによってＬＳＩＤ  ＰＩＮが更新された後の１回目のGetコマンドであることである。また、ＬＳＩＤ  ＰＩＮを設定するためのSetコマンドは存在しない。
【００９５】
本実施形態のデータ蓄積装置１における認可処理部１１４は、Gen_LSIDコマンドがホスト装置２から発行されてインタフェース処理部１１１によって受信された場合、認証処理部１１２がＳＩＤで認証を成功させているか否かによって、その受け付け可否を判定する。ＳＩＤで認証を成功させており、当該コマンドを受け付け可能と判定した認可処理部１１４は、Gen_LSIDコマンドに対応する処理の実行を、ＰＩＮアクセス制御部１１５およびＬＳＩＤ生成部１１９に指示する。この指示を受けたＬＳＩＤ生成部１１９は、前述した乱数を生成する機能を使ってＬＳＩＤ  ＰＩＮの値を生成する。また、本実施形態のデータ蓄積装置１におけるＰＩＮアクセス制御部１１５は、ＬＳＩＤ生成部１１９によって生成された値にＬＳＩＤ  ＰＩＮを更新する。
【００９６】
また、本実施形態のデータ蓄積装置１におけるＰＩＮアクセス制御部１１５は、ＬＳＩＤ  ＰＩＮを対象とするGetコマンドがホスト装置２から発行されてインタフェース処理部１１１によって受信された場合、その受け付け可否の判定を判定する。より詳しくは、ＰＩＮアクセス制御部１１５は、Gen_LSIDコマンドの発行によってＬＳＩＤ  ＰＩＮが更新された後の１回目のGetコマンドか否かによって、その受け付け可否を判定する。当該コマンドを受け付け可能と判定した場合、ＰＩＮアクセス制御部１１５は、ＬＳＩＤ  ＰＩＮをＰＩＮ管理部１１３から取得する。取得したＬＳＩＤ  ＰＩＮは、インタフェース処理部１１１経由でホスト装置２へ送信される。ＰＩＮアクセス制御部１１５は、たとえば、Gen_LSIDコマンドの発行によってＬＳＩＤ  ＰＩＮが更新された後、ＬＳＩＤ  ＰＩＮを対象とするGetコマンドがホスト装置２から発行されたか否かを示すフラグなどを管理する。
【００９７】
ここで、第１実施形態で説明した第４ユースケース（図１４参照）を援用して、ＬＳＩＤに着目した本実施形態のデータ蓄積装置１のユースケースについて説明する。
たとえばＰＣベンダ５２のオペレータは、ＰＣ本体側に貼付されるラベルにデータ蓄積装置１のＬＳＩＤ  ＰＩＮを印字するにあたり、まず、ＭＳＩＤ  ＰＩＮを用いてＳＩＤ権限で認証を成功させ（ドライブベンダ５１から出荷されたデータ蓄積装置１のＳＩＤ  ＰＩＮは初期値であること、つまりＭＳＩＤ  ＰＩＮと同値であることを前提とする）、Gen_LSIDコマンドを発行する。これにより、ＰＣ３に組み込まれているデータ蓄積装置１のＬＳＩＤ  ＰＩＮは、初期値から、ＬＳＩＤ生成部１１９によって生成された値に更新される。
【００９８】
続いて、たとえばＰＣベンダ５２のオペレータは、ＬＳＩＤ  ＰＩＮを対象とするGetコマンドを発行して、ＬＳＩＤ  ＰＩＮを取得する。つまり、ドライブベンダ５１からＬＳＩＤ  ＰＩＮを取得する必要がないので、本実施形態のデータ蓄積装置１においても、ＰＣ本体側に貼付されるラベルにデータ蓄積装置１のＬＳＩＤ  ＰＩＮを印字する作業を大幅に簡便化することができる。
【００９９】
より詳しくは、従来手法（ＰＳＩＤ）では、ＰＣベンダ５２は、データ蓄積装置１のＰＳＩＤ  ＰＩＮを目視あるいはバーコードなどで読み取り、それをＰＣ本体に貼付されるラベルに印字して、ＰＣ本体に貼り付けるという作業が必要となる。一方、本実施形態のデータ蓄積装置１では、ＰＣベンダ５２が自らデータ蓄積装置１のＬＳＩＤ  ＰＩＮを決定し、それをデータ蓄積装置１に設定するとともに、ラベルに印字することになる。これと同等の作業として、ＰＣベンダ５２においては、既に、ＰＣ３のシリアル番号を決定し、それをＰＣ３に設定するとともに、ＰＣ本体に貼付されるラベルに印字することが行われており、これをデータ蓄積装置１のＰＳＩＤについても適用すればよいので、大幅なコストダウン増などを招くこともない。
【０１００】
図１８は、本実施形態のデータ蓄積装置１のＬＳＩＤ  ＰＩＮを更新する場合におけるホスト装置−データ蓄積装置間のやりとりを説明するためのシーケンス図である。
ホスト装置２は、ＭＳＩＤ  ＰＩＮ（ＳＩＤ  ＰＩＮの未更新時）またはＳＩＤ  ＰＩＮを用いてＳＩＤ権限での認証をデータ蓄積装置１へ要求する（図１８の（１））。そのＰＩＮの値が正しければ、データ蓄積装置１は、この認証を成功させる（図１８の（２））。
【０１０１】
ＳＩＤ権限での認証を成功させたら、ホスト装置２は、Gen_LSIDコマンドを発行する（図１８の（３））。このコマンドを受けたデータ蓄積装置１は、Gen_LSIDコマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べ、成功していれば、ＬＳＩＤ値を生成し、その値をＬＳＩＤ  ＰＩＮに設定する（図１８の（４））。
【０１０２】
Gen_LSIDコマンドを発行したら、ホスト装置２は、今度は、ＬＳＩＤ  ＰＩＮのGetコマンドを発行する。このコマンドを受けたデータ蓄積装置１は、ＬＳＩＤ  ＰＩＮのGetコマンドの発行権限を有するＰＩＮで認証が成功しているか否かと、Gen_LSIDコマンドが発行された後の１回目のＬＳＩＤ  ＰＩＮのGetコマンドであるか否かとを調べ、ＬＳＩＤ  ＰＩＮのGetコマンドの発行権限を有するＰＩＮで認証が成功しており、かつ、Gen_LSIDコマンドが発行された後の１回目のＬＳＩＤ  ＰＩＮのGetコマンドである場合、（更新後の）ＬＳＩＤ  ＰＩＮを読み出し、ホスト装置２へ送信する（図１８の（６））。
【０１０３】
このように、データ蓄積装置１は、Gen_LSIDコマンドを受け付けて、ＬＳＩＤ  ＰＩＮを更新した場合において、ＬＳＩＤ  ＰＩＮを取得するためのGetコマンドを、ＳＩＤ権限において１回に限り受け付ける。
図１９は、Gen_LSIDコマンドを受けた場合におけるデータ蓄積装置１の動作手順を示すフローチャートである。
【０１０４】
Gen_LSIDコマンドを受けると、データ蓄積装置１は、Gen_LSIDコマンドの発行権限を調べる（ステップＣ１）。より詳しくは、Gen_LSIDコマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べる。当該コマンドの発行権限を有しないＰＩＮで認証が成功している場合（ステップＣ２のＮＯ）、データ蓄積装置１は、当該コマンドの発行元へエラーを返信する（ステップＣ３）。
【０１０５】
Gen_LSIDコマンドの発行権限を有するＰＩＮで認証が成功している場合には（ステップＣ２のＹＥＳ）、データ蓄積装置１は、ＬＳＩＤ  ＰＩＮの値を生成し、その値にＬＳＩＤ  ＰＩＮを設定する（ステップＣ４）。
図２０は、ＬＳＩＤ  ＰＩＮのGetコマンドを受けた場合におけるデータ蓄積装置１の動作手順を示すフローチャートである。
【０１０６】
ＬＳＩＤのGetコマンドを受けると、データ蓄積装置１は、ＬＳＩＤ  ＰＩＮのGetコマンドの発行権限を調べる（ステップＤ１）。より詳しくは、ＬＳＩＤ  ＰＩＮのGetコマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べる。当該コマンドの発行権限を有しないＰＩＮで認証が成功している場合（ステップＤ２のＮＯ）、データ蓄積装置１は、当該コマンドの発行元へエラーを返信する（ステップＤ３）。
【０１０７】
ＬＳＩＤ  ＰＩＮのGetコマンドの発行権限を有するＰＩＮで認証が成功している場合（ステップＤ２のＹＥＳ）、データ蓄積装置１は、続いて、当該コマンドの発行条件を満たしているかを調べる（ステップＤ４）。より詳しくは、Gen_LSIDコマンドが発行された後の１回目のＬＳＩＤ  ＰＩＮのGetコマンドであるか否かを調べる。Gen_LSIDコマンドが発行された後の１回目のＬＳＩＤ  ＰＩＮのGetコマンドでない場合（ステップＤ５のＮＯ）、データ蓄積装置１は、当該コマンドの発行元へエラーを返却する（ステップＤ３）。Gen_LSIDコマンドが発行された後の１回目のＬＳＩＤ  ＰＩＮのGetコマンドであった場合には（ステップＤ５のＹＥＳ）、データ蓄積装置１は、（更新後の）ＬＳＩＤ  ＰＩＮを読み出し、ホスト装置２へ返信する（ステップＤ６）。
【０１０８】
なお、ステップＤ１の発行権限チェックと、ステップＤ５のＬＳＩＤ  ＰＩＮのGetコマンドの発行回数チェックとは、必ずしもこの順番で行わなくともよい。
このように、本実施形態のデータ蓄積装置１においても、安全性および利便性に優れた初期化用の個人識別情報を取扱い可能とする。
【０１０９】
（第３実施形態）
次に、第３実施形態について説明する。
図２１は、第３実施形態におけるコントローラ１１の機能ブロックの一例を示す図である。なお、第１および第２実施形態と同一の構成要素については、同一の符号を使用し、重複する説明は省略する。
【０１１０】
本実施形態のデータ蓄積装置１では、Activateコマンドを発行する権限がＳＩＤにのみ与えられていることに着目し、ActivateコマンドのパラメータとしてＬＳＩＤ  ＰＩＮの値をデータ蓄積装置１に送信してＬＳＩＤ  ＰＩＮを設定する。たとえば、第１実施形態の第２ユースケース（図１３参照）のように、ＰＣベンダ５２が、ＳＩＤ  ＰＩＮを管理し、データ蓄積装置１のデータ保護機能を活性化させる場合、Activateコマンドを発行する機会はＰＣベンダ５２内に限定されるので、ＬＳＩＤ  ＰＩＮの更新も、ＰＣベンダ５２内に限定することができる。すなわち、ＬＳＩＤ  ＰＩＮが不正に更新されることを防止できる。
【０１１１】
図２１に示されるように、本実施形態のデータ蓄積装置１は、Activateパラメータ処理部１２０をさらに備える。Activateパラメータ処理部１２０は、ＰＩＮ管理部１１３によって管理されているＬＳＩＤ  ＰＩＮを、Activateコマンドのパラメータとして指定される値に更新する機能を有する。
【０１１２】
図２２に、本実施形態のデータ蓄積装置１におけるＬＳＩＤに関連するコマンドおよびその発行権限の一例を示す。
図２２に示されるように、本実施形態のデータ蓄積装置１においては、ＬＳＩＤに関連するコマンドとして、符号ｂ３で示されるActivate(w/param)が定義される。ここで、(w/param)は、パラメータが付されていることを示す。つまり、本実施形態のデータ蓄積装置１においては、パラメータ付きのActivateコマンドを受け付け可能に機能追加されている。
【０１１３】
より詳しくは、認可処理部１１４は、Activateコマンドがホスト装置２から発行された場合、そのコマンドの受け付け可否を、そのコマンドを発行する権限が与えられたＰＩＮで認証が成功しているかによって判定することに加えて、受け入れ可能と判定した場合であって、パラメータが付与されていた場合、当該パラメータとして指定される値をActivateパラメータ処理部１２０へ引き渡す。Activateパラメータ処理部１２０は、ＰＩＮ管理部１１３によって管理されているＬＳＩＤ  ＰＩＮを、認可処理部１１４から渡された値に更新する。
【０１１４】
図２３は、本実施形態のデータ蓄積装置１のＬＳＩＤ  ＰＩＮを更新する場合におけるホスト装置−データ蓄積装置間のやりとりを説明するためのシーケンス図である。なお、ここでは、データ蓄積装置１が、データ保護機能が不活性化の状態（inactive）であることを前提とする。
【０１１５】
ホスト装置２は、ＳＩＤ  ＰＩＮを用いてＳＩＤ権限での認証をデータ蓄積装置１へ要求する（図２３の（１））。そのＰＩＮの値が正しければ、データ蓄積装置１は、この認証を成功させる（図２３の（２））。
ＳＩＤ権限での認証を成功させたら、ホスト装置２は、ＬＳＩＤ  ＰＩＮに設定したい値をパラメータとして付したActivateコマンド（Activate(w/param)）を発行する（図２３の（３））。このコマンドを受けたデータ蓄積装置１は、Activate(w/param)コマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べ、成功していれば、データ保護機能を活性化させ（inactiveへ移行）、パラメータとして指定される値をＬＳＩＤ  ＰＩＮに設定する（図２３の（４））。
【０１１６】
図２４は、Activate(w/param)コマンドを受けた場合におけるデータ蓄積装置１の動作手順を示すフローチャートである。
Activate(w/param)コマンドを受けると、データ蓄積装置１は、Activate(w/param)コマンドの発行権限を調べる（ステップＦ１）。より詳しくは、Activate(w/param)コマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べる。当該コマンドの発行権限を有しないＰＩＮで認証が成功している場合（ステップＦ２のＮＯ）、データ蓄積装置１は、当該コマンドの発行元へエラーを返信する（ステップＦ３）。
【０１１７】
Activate(w/param)コマンドの発行権限を有するＰＩＮで認証が成功している場合には（ステップＦ２のＹＥＳ）、データ蓄積装置１は、データ保護機能を活性化させ（ステップＦ４）、パラメータとして指定される値をＬＳＩＤ  ＰＩＮに設定する（ステップＦ５）。
【０１１８】
このように、本実施形態のデータ蓄積装置１においても、安全性および利便性に優れた初期化用の個人識別情報を取扱い可能とする。  （第４実施形態）
次に、第４実施形態について説明する。
図２５は、第４実施形態におけるコントローラ１１の機能ブロックの一例を示す図である。なお、第１乃至第３実施形態と同一の構成要素については、同一の符号を使用し、重複する説明は省略する。
【０１１９】
本実施形態のデータ蓄積装置１では、ＬＳＩＤ  ＰＩＮの更新が許可されるモード（ＬＳＩＤ更新可能モード）と、ＬＳＩＤを更新が不許可のモード（ＬＳＩＤ更新不可モード）とを有する。また、これらのモードを切り換えるためのコマンドは、ホスト装置２上で動作するＢＩＯＳ（Basic Input/Output System）２００からのみ発行されることを想定する。ホスト装置２上で動作するＢＩＯＳ２００は、データ蓄積装置１について各種設定を行うモード設定部２０１を有しており、このモード設定部２０１が、ＬＳＩＤ更新可能モード−ＬＳＩＤ更新不可モード間の切り換えを行うためのコマンドを発行する機能を有する。また、モード設定部２０１は、ＬＳＩＤ  ＰＩＮのSetコマンドの発行可否を制御する機能を有する。
【０１２０】
図２５に示されるように、本実施形態のデータ蓄積装置１は、PowerCycle検出部１２１およびモード管理部１２２をさらに有する。PowerCycle検出部１２１は、データ蓄積装置１の電源オンまたはリセットを検知し、モード管理部１２２に通知する。モード管理部１２２は、PowerCycle検出部１２１からの通知を受けると、ＬＳＩＤ更新可能モードを設定する。また、ＬＳＩＤ更新不可モードへ切り換えるためのコマンドが発行された場合、モード管理部１２２は、ＬＳＩＤ更新不可モードを設定する。ＬＳＩＤ  ＰＩＮを設定する場合、ＢＩＯＳ２００のモード設定部２０１によって、ＬＳＩＤ更新不可モードへ切り換えるためのコマンドを発行する前に、ＬＳＩＤ  ＰＩＮのSetコマンドを発行する。
【０１２１】
本実施形態のデータ蓄積装置１においては、ＬＳＩＤに関連するコマンドとして、LSID_mode_changeが定義される。LSID_mode_changeは、ＬＳＩＤ更新可能モードからＬＳＩＤ更新不可モードへ切り換えるためのコマンドであり、ＢＩＯＳ２００からのみ発行可能なコマンドとして定義される。なお、データ蓄積装置１は、当該LSID_mode_changeの発行元がＢＩＯＳ２００か否かを判定することはない。よって、ＢＩＯＳ２００からのみ発行可能なコマンドとして定義されるとは、当該コマンドを発行する機能はＢＩＯＳ２００にのみ搭載可能であることが定義されることを意味する。換言すれば、データ蓄積装置１は、当該コマンドを、認証なし（Anybody）で受け付け可能と判定する。
【０１２２】
より詳しくは、LSID_mode_changeは、ActivateやSetなどの発行権限が問われるレイヤのコマンドよりも１段下の発行権限が問われないレイヤのコマンドであり、インタフェース処理部１１１は、LSID_mode_changeを受信すると、当該LSID_mode_changeの受信を直接的にモード管理部１２２に通知する。この通知を受けたモード管理部１２２は、ＬＳＩＤ更新可能モードからＬＳＩＤ更新不可モードへの切り換えを行う。また、モード管理部１２２は、認証処理部１１２に対し、以降、ＬＳＩＤ  ＰＩＮによる認証を、その値が合っていたとしても必ず失敗させるように要求する。つまり、本実施形態のデータ蓄積装置１においては、ＬＳＩＤ権限によるRevertの発行は、ＢＩＯＳ２００によって行われること、より詳しくは、LSID_mode_changeの発行前に行われることを想定している。
【０１２３】
本実施形態におけるＰＩＮアクセス制御部１１５は、たとえばＬＳＩＤ  ＰＩＮを対象とするSetコマンドが発行された場合、ＬＳＩＤ更新可能モードまたはＬＳＩＤ更新不可モードのいずれが設定されているのかをモード管理部１２１に問い合わせる。ＬＳＩＤ更新不可モードが設定されている場合には、たとえ、ＬＳＩＤを対象とするSetコマンドを発行する権限を有しているＰＩＮで認証が成功していたとしても、当該コマンドの受け入れを不可と判定する。
【０１２４】
図２６は、ＬＳＩＤ更新不可モードを設定する場合におけるホスト装置−データ蓄積装置間の第１パターンにおけるやりとりを説明するためのシーケンス図である。
電源オンまたはリセット時、ホスト装置２、より詳しくは、ＢＩＯＳ２００は、電源オンまたはリセット時の処理をデータ蓄積装置１に要求する（図２６の（１））。この要求によって、データ蓄積装置１は、ホスト装置２の電源オンまたはリセットを検知し、ＬＳＩＤ更新可能モードを設定する（図２６の（２））。
【０１２５】
ＬＳＩＤ  ＰＩＮを更新する場合、ホスト装置２（ＢＩＯＳ２００のモード設定部２０１）は、ＬＳＩＤ  ＰＩＮのSetコマンドを発行する（図２６の（３））。このコマンドを受けたデータ蓄積装置１は、ホスト装置２から指定された値にＬＳＩＤ  ＰＩＮを設定（更新）する（図２６の（４））。
【０１２６】
最後に、ホスト装置２（ＢＩＯＳ２００のモード設定部２０１）は、LSID_mode_changeコマンドを発行する（図２６の（５））。LSID_mode_changeコマンドを受けると、データ蓄積装置１は、ＬＳＩＤ更新可能モードからＬＳＩＤ更新不可モードへの切り換えを実行する（図２６の（６））。
【０１２７】
また、図２７は、ＬＳＩＤ更新不可モードを設定する場合におけるホスト装置−データ蓄積装置間の第２パターンにおけるやりとりを説明するためのシーケンス図である。
電源オンまたはリセット時、ホスト装置２、より詳しくは、ＢＩＯＳ２００は、電源オンまたはリセット時の処理をデータ蓄積装置１に要求する（図２７の（１））。この要求によって、データ蓄積装置１は、ホスト装置２の電源オンまたはリセットを検知し、ＬＳＩＤ更新可能モードを設定する（図２７の（２））。
【０１２８】
ＬＳＩＤ  ＰＩＮを更新する場合、ホスト装置２（ＢＩＯＳ２００のモード設定部２０１）は、ＬＳＩＤ  ＰＩＮのSetコマンドを発行する（図２７の（３））。このコマンドを受けたデータ蓄積装置１は、ホスト装置２から指定された値にＬＳＩＤ  ＰＩＮを設定（更新）する（図２７の（４））。
【０１２９】
本第２パターンにおいては、ＬＳＩＤ  ＰＩＮを更新したら、ＢＩＯＳ２００のモード設定部２０１は、リセット信号を発生させて、ホスト装置２をリセットさせる（図２７の（５））。これにより、ホスト装置２、より詳しくは、ＢＩＯＳ２００から、再度、リセット時の処理の要求がデータ蓄積装置１に通知されることになる（図２７の（１）´）。また、そうすると、データ蓄積装置１においては、ホスト装置２のリセットが検知され、ＬＳＩＤ更新可能モードが設定されることになる（図２７の（２）´）。
【０１３０】
そして、ホスト装置２（ＢＩＯＳ２００のモード設定部２０１）は、LSID_mode_changeコマンドを発行する（図２７の（５））。LSID_mode_changeコマンドを受けると、データ蓄積装置１は、ＬＳＩＤ更新可能モードからＬＳＩＤ更新不可モードへの切り換えを実行する（図２７の（６））。
【０１３１】
つまり、本第２パターンにおいては、ホスト装置２は、電源オンまたはリセット時の処理をデータ蓄積装置１に要求し（図２７の（１））、LSID_mode_changeコマンドを発行する（図２７の（５））という流れを基本的な手順とし、ＬＳＩＤ  ＰＩＮを更新する場合には、ＬＳＩＤ  ＰＩＮの更新後、リセットを発生させることにより、当該基本的な手順でデータ蓄積装置１をＬＳＩＤ更新不可モードに設定する。
【０１３２】
図２８は、ＬＳＩＤ  ＰＩＮの設定に関するデータ蓄積装置１の動作手順を示すフローチャートである。
データ蓄積装置１は、ホスト装置２の電源オンまたはリセットを検知すると（ステップＥ１）、まず、ＬＳＩＤ更新可能モードを設定する（ステップＥ２）。データ蓄積装置１は、ＬＳＩＤ更新可能モードにある間、ＬＳＩＤ  ＰＩＮのSetコマンドを受け取ったならば（ステップＥ３のＹＥＳ）、そのSetコマンドで受け取った値にＬＳＩＤ  ＰＩＮを設定する（ステップＥ４）。また、LSID_mode_changeコマンドを受けると（ステップＥ５のＹＥＳ）、データ蓄積装置１は、ＬＳＩＤ更新可能モードからＬＳＩＤ更新不可モードへの切り換えを実行する（ステップＥ６）。つまり、ＬＳＩＤ更新不可モードの設定を行う。
【０１３３】
本実施形態では、ＬＳＩＤ  ＰＩＮの値をSetコマンドによってホスト装置２から設定する事を想定している。これは、すなわちホスト装置２に不正なアプリケーションがインストールされてしまった場合、ユーザの許可なしにＬＳＩＤ  ＰＩＮの値が不正に設定されてしまう危険性がある事を意味する。ところで、一般的なコンピュータアーキテクチャでは、まずＢＩＯＳ２００が実行され、その後、OS、アプリケーションの順で実行される。本実施形態では、ＢＩＯＳ２００により、OSやアプリケーションが実行される前にLSID_mode_changeコマンドによりデータ蓄積装置１をＬＳＩＤ更新不可モードに設定させる。これにより、仮にホスト装置２に不正なアプリケーションがインストールされてしまったとしても、当該不正アプリケーションによってＬＳＩＤ  ＰＩＮの値が不正に設定されてしまう事を防止できる。
【０１３４】
このように、ＬＳＩＤを更新不可とすることができる本実施形態のデータ蓄積装置１においても、安全性および利便性に優れた初期化用の個人識別情報を取扱い可能とする。
（第５実施形態）
次に、第５実施形態について説明する。
図２９は、第５実施形態におけるコントローラ１１の機能ブロックの一例を示す図である。なお、第１乃至第４実施形態と同一の構成要素については、同一の符号を使用し、重複する説明は省略する。
【０１３５】
まず、図３０を参照して、本実施形態のデータ蓄積装置１のユースケース（第６ユースケース）について説明する。
たとえば、第１実施形態で説明した第２ユースケース（図１３参照）では、ＰＣベンダ５２が、ＳＩＤ  ＰＩＮを管理し、データ蓄積装置１のデータ保護機能を活性化させることとしている。これに対して、本第６ユースケースでは、ＰＣベンダ５２が、さらに、Ａｄｍｉｎ  ＰＩＮを設定・管理する（図３０の（１））。ＰＣベンダ５２によって設定されたＡｄｍｉｎ  ＰＩＮは、エンドユーザ５３のたとえばＩＴ管理者へ通知される。Ａｄｍｉｎ  ＰＩＮの通知を受けたＩＴ管理者は、たとえばＵｓｅｒ  ＰＩＮの設定などを行い、ＰＣ３を社員へ貸与する（図３０の（２））。
【０１３６】
本第６ユースケースの場合、エンドユーザ５３がＡｄｍｉｎ  ＰＩＮを失念するなどにより、ＰＣ３の初期化をＰＣベンダ５２に依頼したとすると（図３０の（３））、ＰＣベンダ５２はＡｄｍｉｎ  ＰＩＮの値を知っているため、ＰＣベンダ５２側において、エンドユーザ５３が初期化を依頼したＰＣ３の領域にかけられているロックが、初期化前にＡｄｍｉｎ権限で解除され、データが参照されてしまう可能性を否定できない。そこで、本実施形態のデータ蓄積装置１においては、データ保護機能の活性化時に、Ａｄｍｉｎに与えられているロックを解除する権限をはく奪する機能を備える（図３０の（１）：Adminのunlock権限はく奪）。
【０１３７】
図２９に戻って説明を続ける。
図２９に示されるように、本実施形態のデータ蓄積装置１は、ＰＩＮ権限変更処理部１２２をさらに有する。ＰＩＮ権限変更処理部１２２は、Activateコマンドが発行されてデータ保護機能が活性化された場合、ＰＩＮアクセス制御部１１５に対して、Ａｄｍｉｎのロック解除権限をはく奪するように指示する。ＰＩＮアクセス制御部１１５は、ＰＩＮ管理部１１３および認可処理部１１４に対して、Ａｄｍｉｎのロック解除権限がはく奪された旨を通知する。以降、認可処理部１１４は、Ａｄｍｉｎ権限でのロック解除のコマンドを受け付け不可と判定する。
【０１３８】
図３１は、Activateコマンドを受けた場合におけるデータ蓄積装置１の動作手順を示すフローチャートである。
Activateコマンドを受けると、データ蓄積装置１は、Activateコマンドの発行権限を調べる（ステップＧ１）。より詳しくは、Activateコマンドの発行権限を有するＰＩＮで認証が成功しているか否かを調べる。当該コマンドの発行権限を有しないＰＩＮで認証が成功している場合（ステップＧ２のＮＯ）、データ蓄積装置１は、当該コマンドの発行元へエラーを返信する（ステップＧ３）。
【０１３９】
Activateコマンドの発行権限を有するＰＩＮで認証が成功している場合（ステップＧ２のＹＥＳ）、データ蓄積装置１は、データ保護機能を活性化させ（ステップＧ４）、Ａｄｍｉｎのロック解除権限をはく奪する（ステップＧ５）。
本実施形態のデータ蓄積装置１においては、Ａｄｍｉｎ  ＰＩＮがＰＣベンダ５２によって設定・管理される場合であっても、エンドユーザ５３は、ＰＣベンダ５２によって自社のデータが読み出されるおそれがなくなるため、安心して初期化を依頼することができる。
【０１４０】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると共に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【０１４１】
１…データ蓄積装置、２…ホスト装置、３…ＰＣ、１１…コントローラ、１２…揮発性メモリ、１３…不揮発性メモリ、５１…ドライブベンダ、５２…ＰＣベンダ、５３…エンドユーザ、１１１…インタフェース処理部、１１２…認証処理部、１１３…ＰＩＮ管理部、１１４…認可処理部、１１５…ＰＩＮアクセス制御部、１１６…初期化処理部、１１７…read/writeアクセス制御部、１１８…read/write処理部、１１９…ＬＳＩＤ生成部、１２０…Activateパラメータ処理部、１２１…PowerCycle検出部、１２２…モード管理部、２００…ＢＩＯＳ、２０１…モード設定部、２０２…PIN権限変更処理部。
【図１】
2019133345.tif 000003
【図２】
2019133345.tif 000004
【図３】
2019133345.tif 000005
【図４】
2019133345.tif 000006
【図５】
2019133345.tif 000007
【図６】
2019133345.tif 000008
【図７】
2019133345.tif 000009
【図８】
2019133345.tif 000010
【図９】
2019133345.tif 000011
【図１０】
2019133345.tif 000012
【図１１】
2019133345.tif 000013
【図１２】
2019133345.tif 000014
【図１３】
2019133345.tif 000015
【図１４】
2019133345.tif 000016
【図１５】
2019133345.tif 000017
【図１６】
2019133345.tif 000018
【図１７】
2019133345.tif 000019
【図１８】
2019133345.tif 000020
【図１９】
2019133345.tif 000021
【図２０】
2019133345.tif 000022
【図２１】
2019133345.tif 000023
【図２２】
2019133345.tif 000024
【図２３】
2019133345.tif 000025
【図２４】
2019133345.tif 000026
【図２５】
2019133345.tif 000027
【図２６】
2019133345.tif 000028
【図２７】
2019133345.tif 000029
【図２８】
2019133345.tif 000030
【図２９】
2019133345.tif 000031
【図３０】
2019133345.tif 000032
【図３１】
2019133345.tif 000033