(57)【要約】  データ消去装置であって、第１の記憶領域と、所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域とを有する記憶部と、前記所定の消去条件が満たされると認証情報を変更する変更部と、前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行する消去処理実行部と、前記データの消去処理を実行後にデータが消去されたことの通知を、ネットワークを介して送信する通信処理部と、を有し、前記データ消去装置を前記消去処理実行部及び前記通信処理部として機能させるプログラムは、前記第１の記憶領域に記憶され、前記第２の記憶領域が記憶するＯＳ上で動作しない、ことを特徴とするデータ消去装置が提供される。
2014167721.tif 000002
【特許請求の範囲】
【請求項１】
データ消去装置であって、
第１の記憶領域と、所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域とを有する記憶部と、
前記所定の消去条件が満たされると認証情報を変更する変更部と、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行する消去処理実行部と、
前記データの消去処理を実行後にデータが消去されたことの通知を、ネットワークを介して送信する通信処理部と、
を有し、
前記データ消去装置を前記消去処理実行部及び前記通信処理部として機能させるプログラムは、前記第１の記憶領域に記憶され、前記第２の記憶領域が記憶するＯＳ上で動作しない、
ことを特徴とするデータ消去装置。
【請求項２】
前記記憶部は、Ｏｐａｌ  ＳＳＣ（Ｏｐａｌ  Ｓｅｃｕｒｉｔｙ  Ｓｕｂｓｙｓｔｅｍ  Ｃｌａｓｓ）規格に準拠した記憶装置である、
ことを特徴とする請求項１に記載のデータ消去装置。
【請求項３】
所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域からデータを消去する方法であって、
前記所定の消去条件が満たされると認証情報を変更し、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行し、
前記データの消去処理を実行後に前記データが消去されたことの通知を、ネットワークを介して送信する、
処理をコンピュータが実行し、
前記データの消去処理及び前記送信処理を実行するためのプログラムは、前記第２の記憶領域と異なる第１の記憶領域に記憶され、前記第２の記憶領域のＯＳ上で動作しない、
ことを特徴とするデータ消去方法。
【請求項４】
前記第１の記憶領域及び前記第２の記憶領域は、Ｏｐａｌ  ＳＳＣ（Ｏｐａｌ  Ｓｅｃｕｒｉｔｙ  Ｓｕｂｓｙｓｔｅｍ  Ｃｌａｓｓ）規格に準拠した記憶装置で構成される、
ことを特徴とする請求項３に記載のデータ消去方法。
【請求項５】
所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域からデータを消去するためのプログラムであって、
前記所定の消去条件が満たされると認証情報を変更し、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行し、
前記データの消去処理を実行後に前記データが消去されたことの通知を、ネットワークを介して送信する、
処理をコンピュータに実行させ、
前記データの消去処理及び前記送信処理を実行するためのプログラムは、前記第２の記憶領域と異なる第１の記憶領域に記憶され、前記第２の記憶領域のＯＳ上で動作しない、
ことを特徴とするプログラム。
【請求項６】
前記第１の記憶領域及び前記第２の記憶領域は、Ｏｐａｌ  ＳＳＣ（Ｏｐａｌ  Ｓｅｃｕｒｉｔｙ  Ｓｕｂｓｙｓｔｅｍ  Ｃｌａｓｓ）規格に準拠した記憶装置で構成される、
ことを特徴とする請求項５に記載のプログラム。
【請求項７】
請求項５に記載のプログラムを格納したコンピュータ読み取り可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ消去装置、データ消去方法、プログラムに関する。
【背景技術】
【０００２】
情報機器の盗難や紛失による情報漏えい対策として、例えば、事故発生後、情報機器に記憶されているデータを遠隔的に消去する技術が提案されている（例えば、非特許文献１、２を参照）。また、データの漏えいを防止するための記憶装置が提案されている。（例えば、特許文献１を参照）。【０００３】
情報漏えい対策の観点からデータの消去を実行する場合は、すべてのデータが確実に消去される必要がある。特に、データの消去が遠隔的に実行される状況では、データが確実に消去されたことを目の前で確認することができない。このため、データの消去が実行された情報機器から通知される実行結果は非常に重要なものとなる。【０００４】
ところが、確実にデータを消去するために記憶装置全体のデータを消去すると、記憶装置内のＯＳ上で動作するアプリケーションまで消去されるため、情報機器は、データの消去後にデータが消去されたことの通知を送信できなくなる。これを考慮して、専用のハードウェアを用いてデータの消去後にその結果を通知することが提案されている。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】トラストデリート：ハードディスク内に保存されている個人情報や機密データを遠隔で消去できるソフトウェア  ワンビ社  http://www.onebe.co.jp/product/trustdelete_pc/index.html
【非特許文献２】ＣＬＥＡＲＳＵＲＥ  プレリリース  http://pr.fujitsu.com/jp/news/2009/08/24.html
【特許文献】
【０００６】
【特許文献１】特開２０１１−２１０１２９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、専用のハードウェアで実現されている機能を拡張や変更することは、その機能がソフトウェアにより実現されている場合に比べて容易ではない。また、情報機器に専用のハードウェアを内蔵するとコストが高くなる。【０００８】
一側面によれば、専用のハードウェアを使用せずにデータの消去後にデータが消去されたことの通知を送信することを目的とする。
【課題を解決するための手段】
【０００９】
一つの案では、
データ消去装置であって、
第１の記憶領域と、所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域とを有する記憶部と、
前記所定の消去条件が満たされると認証情報を変更する変更部と、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行する消去処理実行部と、
前記データの消去処理を実行後にデータが消去されたことの通知を、ネットワークを介して送信する通信処理部と、
を有し、
前記データ消去装置を前記消去処理実行部及び前記通信処理部として機能させるプログラムは、前記第１の記憶領域に記憶され、前記第２の記憶領域が記憶するＯＳ上で動作しない、
ことを特徴とするデータ消去装置が提供される。
【発明の効果】
【００１０】
一の態様によれば、専用のハードウェアを使用せずにデータの消去後にデータが消去されたことの通知を送信することができる。
【図面の簡単な説明】
【００１１】
【図１】データ消去装置の一例を示す図。
【図２】一実施形態に係るデータ消去装置の構成図。
【図３】一実施形態に係るデータ消去装置の動作を説明するための図。
【図４】一実施形態に係るデータ消去装置の各部の動作の流れを示した図。
【図５】実施例１のデータ消去装置の動作を説明するための図。
【図６】実施例１のデータ消去装置の各部の動作の流れを示した図。
【図７】実施例１のデータ消去装置の実行判定部の動作を示したフローチャート。
【図８】実施例１のデータ消去装置の消去処理部及び通信処理部の動作を示したフローチャート。
【図９】実施例２のデータ消去装置の動作を説明するための図。
【図１０】一実施形態の変形例に係るデータ消去装置の構成を説明するための図。
【図１１】一実施形態の変形例に係るデータ消去装置の消去処理部及び通信処理部の動作を示したフローチャート。
【発明を実施するための形態】
【００１２】
以下に添付図面を参照しながら、本発明の実施形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００１３】
情報機器の盗難や紛失による情報漏えい対策として、例えば、事故発生後、情報機器に記憶されているデータを遠隔的に消去する技術がある。情報漏えい対策の観点からは、ＰＣシステムにおいてデータの消去を実行する場合は、すべてのデータが確実に消去される必要がある。このため、データの消去が実行された情報機器からデータの消去後に送信される、データが確実に消去されたことを伝える通知は、非常に重要なものとなる。
【００１４】
無線通信を前提として動作している携帯電話・スマートフォンではユーザのデータ格納領域とシステム領域が区別されているため、特定のデータ格納領域の消去が実行された後でも通信機能を正常に動作させることは可能であり実行結果を外部に通知できる。
【００１５】
これに対して、ＰＣシステムでは、確実にデータを消去するためにストレージ全体のデータを消去すると、ストレージ内のＯＳ上で動作するアプリケーションまで消去される。ＯＳ上で動作する通信アプリケーションが消去されると、データが消去されたことの通知ができなくなる。そこで、ストレージ全体のデータ消去を行う直前に通信アプリケーションがデータ消去の実行開始を外部に通知し、その直後にデータの消去処理を行う方法が提案されている。しかし、この場合の通知は「データ消去を開始することの通知」であって「データが消去されたことの通知」ではない。
【００１６】
例えば、ストレージ全体のデータ消去には時間がかかる。このため、盗難者がデータの消去処理の動作に気付いてその直後に電源を切断する等した場合にはデータの消去処理は中断されてしまう。その状態で別のＰＣシステムにストレージを接続した場合はストレージ内の情報が読み取られる可能性がある。このように、「データ消去の実行開始の通知」では、本当にデータが完全に消去されたかどうかが分からない場合がある。
【００１７】
ＯＳ上の通信アプリケーションが消去されなければ、消去実行後に外部に実行結果を通知することができる。そのためには、システムフォルダを残し、データ消去対象を特定のフォルダまたはファイルに限定する必要がある。しかし、ＰＣシステムの利用者（ユーザ）が特定の消去対象のフォルダに確実に情報を格納しているとは限らず、また、ＯＳ上で動作するアプリケーションによっては消去対象以外のフォルダに自動で一時ファイルを作成する場合もある。よって、特定のフォルダまたはファイルを消去対象としてデータ消去を行い、データが消去されたことの通知を送信しても、自動で作成された一時ファイルが記憶領域に残っている可能性もあり、送信されたデータ消去結果の通知は信頼性のあるものとは言えない場合がある。すなわち、通知されたデータ消去の実行結果は、あくまで特定した消去対象範囲の実行結果であり、その通知では、それ以外のフォルダに消去すべき情報がないことを完全には証明できない。
【００１８】
ＰＣシステムにおいて「データが消去されたことの通知」を確実に外部へ送信する方法も提案されている。この方法について、図１を参照しながら説明する。図１には、データ消去装置の一例としてＰＣ５が示されている。ＰＣ５は、有線または無線のネットワーク４を介して管理サーバ３と接続されている。ＰＣ５は、データの消去処理を実行するファームウェアを組み込んだ専用のＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ／ＯｕｔＰｕｔ  Ｓｙｓｔｅｍ）５１と、最小限の設定で「データが消去されたことの通知」を送信できる専用の通信モジュール（ＰＨＳ）５２とを組み合わせて動作させることで、ＨＤＤで構成されたストレージ５３内のデータを完全に消去し、その結果を確実に管理サーバ３へ通知することができる。
【００１９】
ＰＣ５が行うデータ消去の動作について説明する。最初に、ステップＳ１にて、管理サーバ３は、データ消去を指示するコマンド（消去コマンド）を、ネットワーク４を介して通信モジュール５２に送信する。次に、ステップＳ２にて、通信モジュール５２は、消去コマンドを受信すると、ＢＩＯＳ５１を再起動させる。
【００２０】
次に、ステップＳ３にて、ＢＩＯＳ５１が起動されると、ステップＳ４にて、ＢＩＯＳ５１は、通信モジュール５２に保持されたフラグ５２ａの状態をチェックする。例えば、フラグ５２ａが「１」のときデータ消去を示し、フラグ５２ａが「２」のときＰＣのロックを示しているとする。ＢＩＯＳ５１は、フラグ５２ａが「１」であると判定すると、ステップＳ５にて、データを消去する処理を実行する。データ消去方法の一例としては、例えば、ステップＳ６に示したように、ＢＩＯＳ５１は、ストレージ５３内のデータを暗号化した際の暗号鍵を書き替える方法が挙げられる。次に、ステップＳ７にて、ＢＩＯＳ５１は、通信モジュール５２にデータ消去の結果を通知する。次に、ステップＳ８にて、通信モジュール５２は、データが消去されたことの通知を管理サーバ３に送信する。
【００２１】
通信モジュール５２は、ＰＣ５内のバッテリ５４と直接接続されている。よって、通信モジュール５２は、バッテリ５４から直接電力を供給され、ＰＣ５の電源がオフの場合にも管理サーバ３との通信が可能となっている。また、通信モジュール５２は、ＭＰＵ（Ｍｉｃｒｏ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）５２ｃ及びモデム５２ｂを有し、ＭＰＵ５２ｃの制御によりモデム５２ｂを使用してデータ消去の結果を通知することができる。
【００２２】
このように、図１に示したＰＣ５では、データ消去の処理を実行する場合、ＢＩＯＳ５１が起動し、ストレージ５３内の暗号化されたデータの暗号鍵の書替によるデータ消去を実行する。ＢＩＯＳ５１は、データ消去を実行後、その実行結果を専用の通信モジュール５２に設定する。通信モジュール５２は、前述の通りデータ通信に関わる設定が保持されており送受信が可能である。このため、ＢＩＯＳ５１が通信モジュール５２にデータ消去の実行結果の設定を行うのみで、通信モジュール５２から管理サーバ３へ「データが消去されたことの通知」が送信される。以上から、ＰＣ５を使用することでストレージ５３内の全データの消去を実行後に、信頼性のあるデータ消去の実行結果の通知を行うことが可能となる。
【００２３】
しかしながら、ＢＩＯＳ５１及び通信モジュール５２は、データ消去処理及び結果通知処理を実行するための専用のハードウェア（専用品）である。このため、専用のハードウェアで実現されているＢＩＯＳ５１及び通信モジュール５２の機能を拡張や変更することは、その機能がソフトウェアにより実現されている場合に比べて容易ではない。また、ＰＣ５が、専用のハードウェアを内蔵するとコストが高くなる。
【００２４】
そこで、以下では、消去処理及び処理結果の通知を行うための専用のハードウェアを機器内に備えることなく、確実に消去処理の実行結果を管理サーバへ通知可能なデータ消去装置及びデータ消去方法の一実施形態について説明する。
【００２５】
［データ消去装置の構成］
一実施形態に係るデータ消去装置の構成について、図２を参照しながら説明する。図２は、本実施形態に係るデータ消去装置の構成を示した図である。本実施形態では、データ消去装置２０は、ＰＣ２に接続されている。ただし、データ消去装置２０が接続される装置は、ＰＣ２に限られず、どんな情報処理装置であってもよい。ＰＣ２には、通信回線１０、ＢＩＯＳ１１、ＣＰＵ１３、メインメモリ１４及びキーボードやカメラやマイク１５を有する。以下では、ＰＣ２にデータ消去装置２０が接続された状態のシステムを、ＰＣシステムともいう。
【００２６】
通信回路１０は、ネットワーク４を介して管理サーバ３とデータを送受信するためのインターフェースである。ＢＩＯＳ１１は、フラッシュメモリ等の不揮発性記憶媒体で構成され、認証情報１２を保持する。ＢＩＯＳ１１は、ＰＣ２の起動時にＰＯＳＴ（Ｐｏｗｅｒ  Ｏｎ  Ｓｅｌｆ  Ｔｅｓｔ）を実行する。
【００２７】
ＣＰＵ１３は、認証領域２１及びデータ記憶領域２５から構成される記憶部から、消去処理実行アプリケーションやネットワーク通信ライブラリを読み出し、データ記憶領域２５に記憶されているデータの消去処理やデータ消去後の結果を通知する処理を実行する演算装置である。メインメモリ１４は記憶装置の一例であり、データ等が一時記憶されてもよい。キーボードやカメラやマイク１５は、入力情報、画像情報、音声情報を取得する取得部の一例である。
【００２８】
ストレージ領域（記憶部）は、認識領域２１とデータ記憶領域２５とに完全に分離されている。つまり、ストレージ内のデータのうち、データ記憶領域２５は、認識領域２１から分離され、盗難時等が推測される所定の消去条件を満たす場合に消去すべきデータを記憶する。認証領域２１は、ＰＣ２の電源がオンされたとき、最初に起動される。認識領域２１とデータ記憶領域２５とは、例えば、ＨＤＤにより構成されてもよい。
【００２９】
データ記憶領域２５には、ＯＳ２６が格納されている。認証領域２１へのＯＳ２６からの読み書きは禁止されている。認証領域２１では、認証処理が行われ、認証が成功した後、ユーザによるデータ記憶領域２５へのアクセスが許可される。ユーザは、データ記憶領域２５へのデータの書き込みは許可されるが、認証領域２１のデのータ書込みは禁止されている。
【００３０】
なお、認証領域２１は、保護の必要のあるデータが記憶された第１の記憶領域の一例である。データ記憶領域２５は、保護の必要のないデータが記憶された第２の記憶領域の一例である。データ記憶領域２５には、所定の消去条件を満たす場合に消去すべきデータが記憶されている。
【００３１】
本実施形態の認証領域２１には、消去処理実行アプリケーションとネットワーク通信ライブラリとが記憶されている。消去処理実行アプリケーションは、消去処理実行部２２として機能させるプログラムであり、認証情報１２が変更されている場合、データ記憶領域２５に記憶されているデータの消去処理を実行するためのプログラムである。ネットワーク通信ライブラリは、通知処理部２３として機能させるプログラムであり、データ消去の処理が実行された後にデータが消去されたことの通知を外部に送信するためのプログラムである。消去処理実行アプリケーション及びネットワーク通信ライブラリは、いずれもＯＳ上で動作しないプログラムである。よって、本実施形態に係るデータ消去装置２０によれば、データの消去処理の実行においてＯＳ上で動作するアプリケーションによって自動で一時ファイルを作成することはない。
【００３２】
本実施形態のデータ記憶領域２５は、ＯＳ２６、データ２７及び実行判定アプリケーションが記憶されている。実行判定アプリケーションは、実行判定部２８として機能させるプログラムであり、所定の消去条件を満たすかを判定し、該所定の消去条件を満たすと判定した場合、認証情報１２を変更するためのプログラムである。本実施形態の実行判定部２８は、所定の消去条件が満たされると認証情報１２を変更する変更部の一例である。実行判定アプリケーションは、ＯＳ２６上で動作するプログラムである。
【００３３】
消去処理実行部２２、通知処理部２３及び実行判定部２８の各部は、認証領域２１又はデータ記憶領域２５に格納された上記各プログラムがＣＰＵ１３に実行させる処理により実現される。
【００３４】
［データ消去装置の動作］
次に、本実施形態に係るデータ消去装置の動作について、図３を参照しながら説明する。図３は、本実施形態に係るデータ消去装置２０の動作を説明するための図である。ＰＣ２が起動されると、実行判定部２８は、遠隔からのデータ消去指示のコマンドや、正規利用者以外の不正操作が検出される等の所定の消去条件を満たすかどうかを判定する。ここでは、管理サーバ３からのデータ消去指示があった場合について説明する。
【００３５】
ＰＣ２が起動されると、実行判定部２８は、実行判定アプリケーションケーションを動作させる。実際には、ＰＣ２が起動したとき、データ記憶領域２５の実行判定アプリケーションケーションは管理サーバ３から要求されているコマンドを取得（ポーリング）する（ステップＳ１１）。
【００３６】
次に、実行判定部２８は、取得したデータ消去指示に応じて、ＢＩＯＳ１１に保持された認証情報１２を削除し（ステップＳ１２）、ＰＣシステムを強制的に再起動する（ステップＳ１３）。認証情報１２を削除する替わりに、認証情報１２を書き替えてもよい。認証情報１２を削除する具体例としては、実行判定部２８は、認証情報１２が「ＡＢＣ」のとき、認証情報１２を「０００」又はＮＵＬＬにする例が挙げられる。また、認証情報１２を書き替える具体例としては、実行判定部２８は、認証情報１２が「ＡＢＣ」のとき、認証情報１２を「ＸＹＺ」にする例が挙げられる。
【００３７】
認証情報１２は、ＰＣシステムを特定するＩＤであっても構わないし、消去実行可否のフラグでもよいし、単なる乱数であっても構わない。また、認証情報１２の保存場所は、データ記憶領域２５のＯＳ２６上の実行判定アプリケーションと認証領域２１の消去処理実行アプリケーションの両方からアクセスできる場所であればどこでも構わない。例えば、ＢＩＯＳ１１のフラッシュ領域やチップセットのレジスタ等が考えられる。
【００３８】
ＢＩＯＳ１１は、認証領域２１（消去処理実行部２２）を起動する（ステップＳ１４）。消去処理実行部２２は、認証情報１２をチェックする（ステップＳ１５）。認証情報１２が削除又は書き換えられている場合（以下、認証情報１２が変更されている場合とする）、消去処理実行部２２は、データ消去を実行する（ステップＳ１６）。データの消去方法は、データ領域２５のデータ２７を暗号化した際の暗号鍵を書き換える、データ領域２５に保存されているデータそのものを消去又は書き換える、複数回書込みによる方法等どのような消去方法でもよく、方式は問わない。
【００３９】
ＰＣシステムの再起動時（ステップＳ１３）であってＰＯＳＴの実行時にデータ消去処理が設定されている場合、認証情報１２は変更されている。このため、消去処理実行部２２は、消去処理実行アプリケーションを実行させてデータ記憶領域２５の全データを消去する。データ消去後、通信処理部２３は、ネットワーク通信ライブラリを用いてデータが消去されたことの通知を管理サーバ３に送信する（ステップＳ１７）。これにより、データ記憶領域２５の全データが確実に消去されたことを管理サーバ３に通知することができる。次に、ＢＩＯＳ１１に格納された認証情報１２の値を元に戻す（ステップＳ１８：リセット）。これにより、認証情報を元に戻し、次回のＰＣ２の起動時にデータ消去が実行されないようにする。このようにして、データ消去を実行後、認証情報１２がリセットされることで次回以降のＰＣ２の起動は、通常の起動となる。ただし、データ等本来起動すべきものがすべて削除されているのでＯＳリカバリ処理が行えるのみとなる。
【００４０】
なお、認証情報１２を削除したとき（例えば「ＡＢＣ」→「０００」にしたとき）には、ステップＳ１８のリセット処理は必要である。一方、認証情報１２を書き換えたとき（例えば「ＡＢＣ」→「ＸＹＺ」にしたとき）には、ＰＣシステムを再起動するたびに消去処理が実行されてしまうことはなく、書き換えられた認証情報１２「ＸＹＺ」をそのままデータの暗号化に使用することができるため、ステップＳ１８のリセット処理は不要である。
（各部の動作の流れ）
各部の動作の流れについて、図４を参照して説明する。図４は、一実施形態に係るデータ消去装置の各部の動作の流れを示した図である。実行判定部２８が、遠隔データ消去指示を受信したり、不正操作を検出したりすると（ステップＳ１１）、ＢＩＯＳ１１に保持された認証情報１２を削除し（ステップＳ１２）、強制的に再起動を行う（ステップＳ１３）。
【００４１】
ＢＩＯＳ１１は、ＰＯＳＴの実行時、認証領域２１を起動し（ステップＳ１４）、消去処理実行部２２は、認証情報１２をチェックする（ステップＳ１５）。認証情報１２が変更されている場合、消去処理実行部２２は、データ記憶領域２５の全データを消去する（ステップＳ１６）。データ記憶領域２５の全データが完全に消去された後、通信処理部２３は、データが消去されたことの通知を管理サーバ３に送信する（ステップＳ１７）。また、消去処理実行部２２は、認証情報１２をリセットする（ステップＳ１８）。
【００４２】
以上に説明したように、本実施形態に係るデータ消去装置２０によれば、ストレージ内の保護の必要のないデータの消去及びデータが消去された後にその実行結果を通知する機能を、ＰＣに汎用のハードウェアと新規なアプリケーションのみで実現する。これにより、本実施形態に係るデータ消去装置２０によれば、専用のハードウェアを使用せずにデータの消去後にデータが消去されたことの通知を送信することができる。
【００４３】
また、認証情報１２が変更されている場合にデータ消去を実行するので、他のＰＣシステムに接続した場合も同様にデータの消去が実行され、データ消去の処理結果を外部に通知することができる。これらの処理は、認証領域２１に保持された消去処理実行アプリケーションやネットワーク通信ライブラリを読み出して実行される。これらの処理は、データ記憶領域２５に記憶されたＯＳ２６を動作させることなく実行可能である。これにより、データ記憶領域２５内の保護する必要のないデータのすべてを確実に消去することができるとともに、全データが消去された後に消去処理結果を管理サーバ３に通知することができる。
【００４４】
なお、認証情報１２に変更がない場合、データ記憶領域２５にアクセスすることができるようになる。
【００４５】
［実施例１］
次に、上記実施形態に係るデータ消去装置２０について、実施例１及び実施例２の順にその動作例を説明する。まず、実施例１のデータ消去装置２０の動作について、図５を参照しながら説明する。次に、実施例１のデータ消去装置の各部の動作の流れについて、図５を参照しながら説明する。
【００４６】
前述の通り、実施例１のデータ消去装置２０では、通常のＯＳ２６がインストールされたデータ記憶領域２５とは別に、ストレージ電源がオンの際に最初に起動される認証領域２１が設けられている。ＯＳ２６から認証領域２１への読み書きは禁止されている。また、認証領域２１で認証を行った後、データ記憶領域２５へのアクセスが許可される。また、データ記憶領域２５では、記憶されているデータ全体が暗号化されており、その暗号鍵は、認証領域２１に保持されている。データ消去を実行する際はこの暗号鍵を削除または書き換えることでデータ記憶領域２５全体に対してデータの消去処理が行われる。認証領域２１には、消去処理実行部２２（消去処理実行アプリケーション）、通信処理部２３（ネットワーク通信ライブラリ）、及び認証情報１２と比較するためにデータ格納領域に記憶された認証情報２４が備えられている。認証情報１２、２４は、文字列やバイナリ等の情報である。
【００４７】
データ記憶領域２５の実行判定部２８（実行判定アプリケーション）は、ＯＳ２６上で動作し、ＯＳ２６の起動中は常に管理サーバ３と通信を行い、各種コマンドを送受信する。なお、実行判定部２８は、管理サーバ３から送信されたコマンドを受信する以外にも、ＰＣシステム起動時等に実行判定部２８自身がネットワーク４の接続状況を判断し、管理サーバ３から情報を取得する運用も考えられる。
【００４８】
ＢＩＯＳ１１で管理するフラッシュメモリ内には、認証情報１２のデータ格納領域が設けられている。データ格納領域は実行判定部２８および消去処理実行部２２からの読み込み、及び書込みが可能である。
【００４９】
実行判定部２８は、主に次の所定の消去条件に基づき、データ消去処理を実行するかの判定を行う。ただし、明確な消去指示のほか不正操作と考えられる場合等も含めデータ消去処理を実行するかの消去条件は、以下に限定されない。
（１）図５のステップＳ２１の場合、つまり、ＰＣシステム起動時に管理サーバ３からコマンド情報を取得した際、管理サーバ３がデータ消去指示のコマンドを設定している場合、データ消去処理を実行すると判定することができる。
（２）ＰＣシステム起動時、スタンバイ復帰時、画面ロックからの復帰時のログイン認証（パスワード、生体情報、ＩＣカードなど）において、任意の回数以上のログイン認証の失敗が発生した場合に、データ消去処理を実行すると判定することができる。
（３）前回のログインまたはログアウトから事前に定義した一定の時間が経過している状況において、ＰＣシステム使用中に管理サーバ３からデータ消去コマンドを受信した場合、データ消去処理を実行すると判定することができる。
【００５０】
データ消去の実行方法としては、実行判定部２８は、ＢＩＯＳ１１のデータ格納領域にある認証情報１２を、乱数器等によりランダムに生成される任意の情報で書き換える方法が挙げられる（ステップＳ２２）。具体例としては、認証情報１２の初期値が「ＡＢＣ」のとき、「ＸＹＺ」に書き換えるような場合である。また、実行判定部２８は、必要に応じて後述する管理サーバ３に通知すべき詳細情報をＢＩＯＳ１１のデータ格納領域に合わせて格納してもよい（ステップＳ２３）。詳細情報の一例としては、データ消去実行の条件（理由）が挙げられる。さらに、実行判定部２８は、このタイミングでデータ消去の実行開始を管理サーバ３に通知してもよい（ステップＳ２４）。
【００５１】
無線の場合、無線通信状態が悪いと送信元の機器から送信されたデータが送信先の機器まで届かない場合がある。例えば、管理サーバ３から送信されたデータ消去のコマンドがＰＣ２にて受信されると、ＰＣ２は、ＡＣＫを管理サーバ３に返信する。ＡＣＫの受信により、管理サーバ３は、データ消去のコマンドがＰＣ２で受信されたことを知る。これに加えて、管理サーバ３にデータ消去の実行開始が通知されると、管理サーバ３は、ＡＣＫとデータ消去の実行開始の通知との両方を受信する。これにより、管理サーバ３は、データ消去のコマンドがＰＣ２に届いていないのか、コマンドは届いているがデータ消去の実行が開始されていないのかを知ることができる。このため、管理サーバ３は、無線通信状態が悪い場合であってもデータ消去処理をより容易に管理することができる。
【００５２】
次に、実行判定部２８は、ＰＣシステムを強制的に再起動する（ステップＳ２５）。このとき、ＰＣシステムの再起動を優先し、動作中の他のアプリケーションの正常な停止処理は無視しても構わない。以上の実行判定部２８が、実行判定アプリケーションを実行させたときの動作フロー（図７）については後述する。
【００５３】
ＰＣシステムの再起動時には、認証領域が起動され（ステップＳ２６）、認証領域２１にある消去処理実行部２２が、消去処理実行アプリケーションを動作させて認証情報を比較する（ステップＳ２７）。具体的には、消去処理実行部２２は、ＢＩＯＳ１１のデータ格納領域にある認証情報１２と、認証領域２１内の認証情報２４と比較する。ステップＳ２２に示されるように、所定の消去条件を満たすと判定された場合、認証情報１２は変更されている。例えば、認証情報１２は「ＡＢＣ」→「ＸＹＺ」になっている。このとき、認証領域２１内のデータ格納領域に保持している認証情報２４は、「ＡＢＣ」であるため、認証情報１２と認証情報２４とは一致しない。この場合、消去処理実行部２２は、データ記憶領域２５に保持している暗号鍵を書き換える（ステップＳ２８）。これにより、データ記憶領域２５の全データの消去を瞬時に行うことができる。
【００５４】
データ消去実行後、ＢＩＯＳ１１のデータ格納領域にあるストレージ内の認証情報２４を認証情報１２の内容で上書きする（ステップＳ２９）。つまり、認証領域２１の認証情報２４が「ＡＢＣ」から「ＸＹＺ」に書き換えられる。これにより、次回以降のＰＣ起動時には、ＢＩＯＳ１１の認証情報１２と認証領域２１の認証情報２４とは一致するため、データ消去は実行されない。認証情報を上書きしない場合は、ＰＣシステムを再起動するたびに消去処理が実行されてしまうため、これを防止するために認証情報の上書きを行うものである。
【００５５】
次に、通信処理部２３は、認証領域２１内の通信ライブラリを使用して、データが消去されたことの通知、及び、ＢＩＯＳ１１のデータ格納領域にある詳細情報を結果通知として管理サーバ３に送信する（ステップＳ３０）。ＰＣシステムから管理サーバ３に送信する詳細情報としては、結果通知としてＰＣシステムを特定するＩＤまたはシリアルＮｏ．、消去したストレージを特定するＩＤまたはシリアルＮｏ．、正常にログインまたはログアウトした時間、データ消去を実行した時間などが考えられる。
【００５６】
また、これ以外の情報であっても、実行判定部２８がデータ格納領域に任意の情報を格納しておき、通信処理部２３が管理サーバ３に任意の情報を通知することで、管理サーバ３は、紛失状況の詳細解明や捜索に任意の情報を使用することもできる。任意の情報の例としては、消去直前に取得したＩＰアドレス、ＷＬＡＮアクセスポイント情報や内蔵カメラ、内蔵マイクで取得した情報、キー操作ログ、ＧＰＳや通信基地局の位置情報、個別のソフトウェアの操作情報などが挙げられる。しかし、管理サーバ３が取得する任意の情報の種類は限定されない。以上の消去処理実行部２２が消去処理実行アプリケーションを実行させたときの動作フロー及び通信処理部２３の動作フロー（図８）については後述する。
（各部の動作の流れ）
図６は、実施例１のデータ消去装置の各部の動作の流れを示した図である。実行判定部２８が、遠隔データ消去指示のコマンドを受信したり、不正操作を検出したりすると（ステップＳ２１）、実行判定部２８は、ＢＩＯＳ１１に保持された認証情報１２をランダムに生成される任意の情報で書き換える（ステップＳ２２）。実行判定部２８は、このタイミングで、管理サーバ３に通知すべき詳細情報をＢＩＯＳ１１のデータ格納領域に格納してもよい（ステップＳ２３）。また、実行判定部２８は、データ消去実行の開始を管理サーバ３に対して通知してもよい（ステップＳ２４）。実行判定部２８は、強制的にＰＣシステムの再起動を行う（ステップＳ２５）。
【００５７】
ＢＩＯＳ１１は、再起動後、ＰＯＳＴを実行し、認証領域２１を起動すると（ステップＳ２６）、消去処理実行２２は、部認証情報１２と認証情報２４とを比較する（ステップＳ２７）。データ消去処理が設定されている場合には、認証情報１２が書き換えられている。このため、消去処理実行部２２は、認証情報１２と認証情報２４とが一致しないと判定し、データ記憶領域２５のデータを暗号化したときの暗号鍵を書き換えることでデータ消去を実行する（ステップＳ２８）。また、消去処理実行部２２は、認証情報２４を認証情報１２の内容で上書きする（ステップＳ２９）。データの消去処理が完了した後、通信処理部２３は、データが消去されたことの通知を管理サーバ３に送信する（ステップＳ３０）。
（実行判定部の動作）
次に、実行判定部２８が、実行判定アプリケーションを実行させたときの動作について、図７を参照しながら説明する。図７は、実施例１のデータ消去装置の実行判定部の動作を示したフローチャートである。
【００５８】
例えばＰＣ２が起動されると、実行判定部２８は、消去処理実行のための所定の消去条件をチェックし（ステップＳ１００）、チェックの結果に基づきデータ消去処理を実行するかの判定を行う（ステップＳ１０２）。
【００５９】
主に次に示す消去処理実行のための所定の消去条件を満たすか否かにより、消去処理実行が判定される。
・ＰＣシステム起動時に管理サーバ３から取得したコマンドがデータ消去を指示しているか
・ログイン認証を任意の回数以上失敗しているか
・前回のログイン又はログアウトから一定の時間が経過しているか
・管理サーバ３からデータ消去を指示するコマンドを受信しているか
ステップＳ１０２にて上記条件を満たさないと判定された場合、ステップＳ１００に戻る。ステップＳ１０２にて上記条件を満たすと判定された場合、実行判定部２８は、ＢＩＯＳ１１のデータ格納領域にある認証情報１２を、乱数等の任意の情報で書き換える（ステップＳ１０４）。実行判定部２８は、管理サーバ３に通知する情報を認証領域２１のデータ格納領域に格納する（ステップＳ１０６）。次に、実行判定部２８は、管理サーバに消去実行理由と実行開始を通知する（ステップＳ１０８）。消去実行理由の一例としては、上記所定の消去条件のチェックの結果が挙げられる。次に、実行判定部２８は、ＰＣシステムを強制的に再起動し（ステップＳ１１０）、本処理を終了する。
（消去処理実行部／通信処理部の動作）
次に、消去処理実行部２２が消去処理実行アプリケーションを実行させたときの動作及び通信処理部２３の動作について、図８を参照しながら説明する。図８は、実施例１の消去処理実行部及び通信処理部の動作を示したフローチャートである。
【００６０】
図７のステップＳ１１０にて、ＰＣシステムが強制的に再起動されると、消去処理実行部２２は、ＢＩＯＳ１１に格納された認証情報１２と認証領域２１内の認証情報２４とが一致するかを判定する（ステップＳ２００）。一致すると判定された場合、消去処理実行部２２は、データ記憶領域２５を有効化してアクセス可能とし（ステップＳ２０２）、本処理を終了する。
【００６１】
一方、ステップＳ２００にて認証情報１２と認証情報２４とが一致しないと判定された場合、消去処理実行部２２は、データ記憶領域２５内のデータを暗号化した暗号鍵を書き換えることで、データ記憶領域２５の全データの消去を行う（ステップＳ２０４）。次に、消去処理実行部２２は、ＢＩＯＳ１１の認証情報１２を認証領域２１の認証情報２４に上書きする（ステップＳ２０６）。次に、通知処理部２３は、管理サーバ３にデータが消去されたことの通知を送信し（ステップＳ２０８）、本処理を終了する。
【００６２】
以上に説明したように、実施例１のデータ消去装置２０によれば、保護する必要がないデータを消去する機能及びデータが消去されたことを通知する機能を、汎用のハードウェアと新規なアプリケーションのみで実現する。このため、専用ハードウェアを使用する必要がなく、機能拡張がより容易であり、かつコストアップを防止できる。
【００６３】
なお、実施例１のデータ消去装置２０では、ＰＣシステムが起動中または不正利用者がＰＣシステムを起動し又は操作したタイミングでデータ消去が実行される。しかし、通信処理部２３を常時通電し、管理サーバ３からのコマンドでＰＣシステムを起動できるようにしておけば、不正利用者の操作に関わらず任意のタイミングでデータ消去を実行することもできる。
【００６４】
［実施例２］
次に、実施例２のデータ消去装置の構成及び動作について、図９を参照しながら説明する。図９は、実施例２のデータ消去装置の動作を説明するための図である。
【００６５】
実施例２のデータ消去装置３０は、ストレージ部分、つまり、認証領域とデータ記憶領域を有する記憶部（ストレージ）にＯｐａｌ  ＳＳＣ（Ｏｐａｌ  Ｓｅｃｕｒｉｔｙ  Ｓｕｂｓｙｓｔｅｍ  Ｃｌａｓｓ）規格に準拠した記憶装置３０を使用する。
【００６６】
本実施の形態に係るデータ消去装置３０の記憶部は、ＴＣＧ（Ｔｒｕｓｔｅｄ  Ｃｏｍｐｕｔｉｎｇ  Ｇｒｏｕｐ）が規格化した、ＴＣＧ  Ｏｐａｌ  ＳＳＣ規格（ＴＣＧ  Ｏｐａｌ  Ｓｅｃｕｒｉｔｙ  Ｓｕｂｓｙｓｔｅｍ  Ｃｌａｓｓ）に準拠する記憶装置である。本実施の形態に係るデータ消去装置３０は、具体的には、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の記憶装置で構成可能である。
【００６７】
ＴＣＧ  Ｏｐａｌ  ＳＳＣ規格に準拠していないＨＤＤでは、起動可能なイメージは記憶領域に１つしか持てない。一方、ＴＣＧ  Ｏｐａｌ  ＳＳＣ規格に準拠した記憶装置３０では、２つ持つことが可能である。１つはユーザのデータが記憶されるデータ記憶領域３５であり、もう１つは、認証機能を実装し、データ記憶領域３５へのアクセス許可前に認証処理を行うことを目的として作成された認証領域（ＰＢＡ領域：ＰｒｅＢｏｏｔ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ領域）３１である。認証領域３１は、保護の必要のあるデータが記憶された第１の記憶領域の一例である。データ記憶領域３５は、保護の必要のないデータが記憶された第２の記憶領域の一例である。データ記憶領域３５には、所定の消去条件が満たされた場合に消去されるデータが記憶されている。
【００６８】
データ記憶領域３５には、接続先のＰＣ２がブートするＯＳやＰＣ２のユーザが作成したデータ等が記憶される。データ消去装置３０は、認証情報１２が一致しないと判定した場合、データ記憶領域３５内に記憶するデータを消去する。データの消去は、例えば、データそのものをゼロで上書きすることにより実現することが可能である。また、データ消去装置３０は、ＴＣＧ  Ｏｐａｌ  ＳＳＣ規格に準拠したＨＤＤであり、ハードウェアによる暗号化機能を有するため、データそのものの上書き消去ではなく、暗号鍵を再生成することにより、データの消去を実現することも可能である。具体的には、ＴＣＧコマンドの「ＧｅｎＫｅｙ」コマンドを使用する。つまり、Ｏｐａｌ  ＳＳＣ（Ｏｐａｌ  Ｓｅｃｕｒｉｔｙ  Ｓｕｂｓｙｓｔｅｍ  Ｃｌａｓｓ）規格に準拠した記憶装置３０のデータ記憶領域３５では、格納されたデータ全体が暗号化されており、認証領域３１にデータ記憶領域３５の暗号鍵が格納されている。データ消去を実行する際には、消去処理実行３２が、この暗号鍵を削除又は書き換えすることでデータ記憶領域３５全体に対してデータの消去処理が行われる。
【００６９】
実施例２のデータ消去装置３０の動作は、実施例１のデータ消去装置２０の動作（図５を参照）と同様であるため、ここでは説明を省略する。なお、Ｏｐａｌ  ＳＳＣ（Ｏｐａｌ  Ｓｅｃｕｒｉｔｙ  Ｓｕｂｓｙｓｔｅｍ  Ｃｌａｓｓ）規格に準拠した記憶装置についての詳細は、特開２０１１−２１０１２９号公報に開示されている。
【００７０】
実施例２に係るデータ消去装置３０によれば、専用のハードウェアを使用せずにデータ記憶領域３５のデータを完全に消去した後、データが消去されたことの通知を管理サーバ３に送信することができる。これにより、データ記憶領域３５からの情報漏えいが防止されたことを確実に管理サーバ３に通知することができる。
【００７１】
［変形例］
次に、一実施形態の変形例に係るデータ消去装置の構成及び動作について、図１０及び図１１を参照しながら説明する。図１０は、一実施形態の変形例に係るデータ消去装置の構成を説明するための図である。図１１は、一実施形態の変形例に係るデータ消去装置の消去処理部及び通信処理部の動作を示したフローチャートである。本変形例においても、データ消去装置２０は、ＰＣに接続されているものとする。
【００７２】
本変形例に係るデータ消去装置２０においても、上記実施形態に係るデータ消去装置２０と同様に、消去対象となる記憶領域について、ＯＳ２６をインストールするデータ記憶領域２５とは別に、ＰＣの電源がオンされた際に最初に起動する認証領域２１が完全に分離した状態で設けられている。
【００７３】
認証領域２１へのＯＳ２６からの読み書きが禁止されている点や、認証領域２１で認証に成功した後にデータ記憶領域２５へのアクセスを許可する点は、上記実施形態に係るデータ消去装置２０と同様である。認証領域２１には、消去処理実行アプリケーションとネットワーク通信ライブラリを備える。消去処理実行部２２は、消去処理実行アプリケーションを動作することで、データの消去処理を実行する。通信処理部２３は、ネットワーク通信ライブラリを使用してデータが消去されたことの通知を管理サーバ３に送信する。
【００７４】
本変形例においては、認証領域２１において消去処理実行部２２が、所定の消去条件を満たすかの判定と、所定の消去条件を満たすと判定された場合のデータの消去処理とを行う。つまり、上記実施形態において実行判定部２８が実行した判定処理は、本変形例においては消去処理実行部２２が、所定の消去条件をチェックすることによって実行される。本変形例の消去処理実行部２２は、所定の消去条件が満たされると認証情報１２を変更する変更部の一例である。
【００７５】
消去処理実行部２２は、主に次の所定の消去条件でデータ消去処理を実行するかを判定する。
・ＰＣシステム起動時に管理サーバから情報を取得し、管理サーバにデータ消去が設定されている。
・前回ログインから事前に定義した一定の時間が経過している。
ただし、消去条件は、明確なデータ消去指示コマンドに限定されず、不正操作と考えられる場合等も含めて様々な条件を、消去処理を実行するか否かの判定に使用可能である。
【００７６】
これにより、本変形例においても、データ記憶領域２５には特別なアプリケーションを実装することなくデータの消去処理を実行するシステムを作ることができる。ただし、本変形例では、認証領域２１はＰＣシステムの起動時に実行されるものなので、管理サーバ３の状態のチェックはＰＣシステム起動時に限定され、ＰＣシステム起動中は管理サーバ３の状態を確認できない。
【００７７】
図１０に示したとおり、遠隔データ消去が可能なＰＣシステムでは、有線または無線のネットワーク４を介してデータの送受信が行われる。また、システム全体としてはＰＣシステムが通常使用か、又はデータの消去指示が設定されているかを保持又は管理する管理サーバ３が存在する。
【００７８】
ＰＣシステム起動時、ストレージの認証領域にある消去処理実行部２２が実行される。消去処理実行部２２は、ＰＣシステムの通信機能を用いて管理サーバ３に保持又は管理されている情報を参照する。
【００７９】
消去処理実行部２２は、管理サーバ３に記録されている設定情報をチェックし（ステップＳ３１）、データ消去が設定されていると判定した場合は（ステップＳ３２）、データ記憶領域２５の全領域のデータ消去を行う（ステップＳ３３）。次に、通信処理部２３は、ＰＣシステムの通信機能を用いてデータ消去の処理結果を管理サーバ３に通知する（ステップＳ３４）。
【００８０】
次に、変形例に係るデータ消去装置の動作について、図１１を参照しながら説明する。図１１の処理が開始されると、消去処理実行部２２は、前回ログインした時間をチェックする（ステップＳ３００）。次に、消去処理実行部２２は、前回ログインした時間から一定時間が経過しているかを判定する（ステップＳ３０２）。一定時間が経過していると判定された場合、消去処理実行部２２は、データ記憶領域２５に格納された全データの消去を行う（Ｓ３０４）。データ消去後、通信処理部２３は、管理サーバ３にデータが消去されたことの通知を送信する（ステップＳ３０６）。
【００８１】
一方、ステップＳ３０２にて一定時間が経過していないと判定された場合、消去処理実行部２２は、管理サーバ３から情報を取得し（ステップＳ３０８）、管理サーバ３でデータ消去の設定がされているかを判定する（ステップＳ３１０）。データ消去の設定がされていると判定された場合、消去処理実行部２２は、データ記憶領域２５に格納された全データの消去を行う（Ｓ３０４）。データ消去後、通信処理部２３は、管理サーバ３に結果を通知する（ステップＳ３０６）。
【００８２】
一方、ステップＳ３１０にてデータ消去の設定がされていないと判定された場合、消去処理実行部２２は、ログイン時間を記録し（ステップＳ３１２）、データ記憶領域２５を有効化する。これにより、データ記憶領域２５のアクセスが許可される。
【００８３】
以上に説明した変形例にかかるデータ消去装置２０によれば、認証領域２１でデータ消去を実行するかの判定とデータの消去処理とデータが消去されたことの通知とを単独で行うことができる。よって、変形例にかかるデータ消去装置２０によっても専用ハードウェアを用いる必要がないため、機能拡張が容易でありコストアップを防止できる。また、本変形例にかかるデータ消去装置２０では、データ記憶領域２５に特別なアプリケーションを実装することなく消去処理を実行するシステムを提案できる。
【００８４】
以上、本実施形態及びその変形例に係るデータ消去装置２０によれば、消去に使用するハードウェアはＰＣに汎用のハードウェアであり専用ハードウェアを必要としない。これにより機能拡張が容易であり、かつ低コストの遠隔消去のシステムを構成することができる。
【００８５】
また、本実施形態及びその変形例に係るデータ消去方法を採用することにより、ＰＣシステムにおいてＯＳ上にあるアプリケーションを使用した場合でも、データ消去対象を特定のフォルダ／ファイルに限定することなく、ＰＣシステムの利用者が使用するデータ記憶領域の全領域のデータを確実に消去することが可能となる。また、ＯＳ上で動作しない通信プログラムによって、データ消去実行後に「データが消去されたことの通知」が管理サーバ３へ送信される。このため、「データが消去されたことの通知」は、信頼性のあるものとなる。つまり、本実施形態及びその変形例に係るデータ消去装置によれば、悪意ある使用者にＨＤＤを抜き取られた場合等は結果を通知する事ができず、その場合に事故発生の可能性ありと判断することになるが、結果が通知された場合は確実に処理が実行できたことを証明することができる。
【００８６】
以上、データ消去装置、データ消去方法、プログラムを実施例により説明したが、本発明は上記実施例に限定されるものではなく、本発明の範囲内で種々の変形及び改良が可能である。
【符号の説明】
【００８７】
２：ＰＣ、３：管理サーバ、４：ネットワーク、１０：通信回路、１１：ＢＩＯＳ、１２：認証情報、１３：ＣＰＵ、２０：データ消去装置、２１：認証領域、２２：消去処理実行部、２３：通信処理部、２４：認証情報、２５：データ記憶領域、２６：ＯＳ、２７：データ、２８：実行判定部、３０：データ消去装置、３１：認証領域、３２：消去処理実行部、３３：通信処理部、３５：データ記憶領域、３６：ＯＳ、３７：データ、３８：実行判定部
【図１】
2014167721.tif 000003
【図２】
2014167721.tif 000004
【図３】
2014167721.tif 000005
【図４】
2014167721.tif 000006
【図５】
2014167721.tif 000007
【図６】
2014167721.tif 000008
【図７】
2014167721.tif 000009
【図８】
2014167721.tif 000010
【図９】
2014167721.tif 000011
【図１０】
2014167721.tif 000012
【図１１】
2014167721.tif 000013
【手続補正書】
【提出日】平成27年9月16日(2015.9.16)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
データ消去装置であって、
第１の記憶領域と、所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域とを有する記憶部と、
前記所定の消去条件が満たされると認証情報を変更する変更部と、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行する消去処理実行部と、
前記データの消去処理を実行後にデータが消去されたことの通知を、ネットワークを介して送信する通信処理部と、
を有し、
前記データ消去装置を前記消去処理実行部及び前記通信処理部として機能させるプログラムは、前記第１の記憶領域に記憶され、前記第２の記憶領域が記憶するＯＳ上で動作しない、
ことを特徴とするデータ消去装置。
【請求項２】
前記記憶部は、Ｏｐａｌ  ＳＳＣ（Ｏｐａｌ  Ｓｅｃｕｒｉｔｙ  Ｓｕｂｓｙｓｔｅｍ  Ｃｌａｓｓ）規格に準拠した記憶装置である、
ことを特徴とする請求項１に記載のデータ消去装置。
【請求項３】
所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域からデータを消去する方法であって、
前記所定の消去条件が満たされると認証情報を変更し、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行し、
前記データの消去処理を実行後に前記データが消去されたことの通知を、ネットワークを介して送信する、
処理をコンピュータが実行し、
前記データの消去処理及び前記送信処理を実行するためのプログラムは、前記第２の記憶領域と異なる第１の記憶領域に記憶され、前記第２の記憶領域のＯＳ上で動作しない、
ことを特徴とするデータ消去方法。
【請求項４】
所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域からデータを消去するためのプログラムであって、
前記所定の消去条件が満たされると認証情報を変更し、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行し、
前記データの消去処理を実行後に前記データが消去されたことの通知を、ネットワークを介して送信する、
処理をコンピュータに実行させ、
前記データの消去処理及び前記送信処理を実行するためのプログラムは、前記第２の記憶領域と異なる第１の記憶領域に記憶され、前記第２の記憶領域のＯＳ上で動作しない、
ことを特徴とするプログラム。
【請求項５】
請求項４に記載のプログラムを格納したコンピュータ読み取り可能な記憶媒体。
【手続補正書】
【提出日】平成28年9月12日(2016.9.12)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
データ消去装置であって、
第１の記憶領域と、所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域とを有する記憶部と、
認証情報を保持する認証情報保持部と、
前記所定の消去条件が満たされると、前記認証情報保持部に保持されている前記認証情報を変更する変更部と、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行する消去処理実行部と、
前記データの消去処理を実行後にデータが消去されたことの通知を、ネットワークを介して管理サーバに送信する通信処理部と、
を有し、
前記データ消去装置を前記消去処理実行部及び前記通信処理部として機能させるプログラムは、前記第１の記憶領域に記憶され、前記第２の記憶領域が記憶するＯＳ上で動作しない、
ことを特徴とするデータ消去装置。
【請求項２】
前記記憶部は、Ｏｐａｌ  ＳＳＣ（Ｏｐａｌ  Ｓｅｃｕｒｉｔｙ  Ｓｕｂｓｙｓｔｅｍ  Ｃｌａｓｓ）規格に準拠した記憶装置である、
ことを特徴とする請求項１に記載のデータ消去装置。
【請求項３】
所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域からデータを消去する方法であって、
認証情報保持部に認証情報を保持し、
前記所定の消去条件が満たされると、前記認証情報保持部に保持されている前記認証情報を変更し、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行し、
前記データの消去処理を実行後に前記データが消去されたことの通知を、ネットワークを介して管理サーバに送信する、
処理をコンピュータが実行し、
前記データの消去処理及び前記管理サーバに送信する処理を実行するためのプログラムは、前記第２の記憶領域と異なる第１の記憶領域に記憶され、前記第２の記憶領域のＯＳ上で動作しない、
ことを特徴とするデータ消去方法。
【請求項４】
所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域からデータを消去するためのプログラムであって、
認証情報保持部に認証情報を保持し、
前記所定の消去条件が満たされると、前記認証情報保持部に保持されている前記認証情報を変更し、
前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行し、
前記データの消去処理を実行後に前記データが消去されたことの通知を、ネットワークを介して管理サーバに送信する、
処理をコンピュータに実行させ、
前記データの消去処理及び前記管理サーバに送信する処理を実行するためのプログラムは、前記第２の記憶領域と異なる第１の記憶領域に記憶され、前記第２の記憶領域のＯＳ上で動作しない、
ことを特徴とするプログラム。
【請求項５】
請求項４に記載のプログラムを格納したコンピュータ読み取り可能な記憶媒体。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００９
【補正方法】変更
【補正の内容】
【０００９】
一つの案では、データ消去装置であって、第１の記憶領域と、所定の消去条件が満たされた場合に消去されるデータが記憶されている第２の記憶領域とを有する記憶部と、認証情報を保持する認証情報保持部と、前記所定の消去条件が満たされると、前記認証情報保持部に保持されている前記認証情報を変更する変更部と、前記認証情報が変更されている場合、前記第２の記憶領域に記憶されているデータの消去処理を実行する消去処理実行部と、前記データの消去処理を実行後にデータが消去されたことの通知を、ネットワークを介して管理サーバに送信する通信処理部と、を有し、前記データ消去装置を前記消去処理実行部及び前記通信処理部として機能させるプログラムは、前記第１の記憶領域に記憶され、前記第２の記憶領域が記憶するＯＳ上で動作しない、ことを特徴とするデータ消去装置が提供される。
【国際調査報告】
2014167721.tif 000014
2014167721.tif 000015