(57)【要約】【課題】削除されたオリジナルデータに対応するバックアップデータ中のデータを利用不能とする。【解決手段】  バックアップ対象の第１のデータを格納する第１の格納手段と、前記第１のデータを、暗号鍵を用いて暗号化し第２のデータを生成する暗号化手段と、前記第２のデータを前記第１のデータの識別子と共に格納する第２の格納手段と、前記第１のデータの暗号化に使用された前記暗号鍵を、該第１のデータの前記識別子と関連づけて格納する第３の格納手段とを備える。【選択図】  図１
2007034487.tif 000002
【特許請求の範囲】
【請求項１】
バックアップ対象の第１のデータを格納する第１の格納手段と、
前記第１のデータを、暗号鍵を用いて暗号化し第２のデータを生成する暗号化手段と、
前記第２のデータを前記第１のデータの識別子と共に格納する第２の格納手段と、
前記第１のデータの暗号化に使用された前記暗号鍵を、該第１のデータの前記識別子と関連づけて格納する第３の格納手段と
を備えることを特徴とする情報処理装置。
【請求項２】
前記第１の格納手段に格納された第１のデータの削除指示を受け付ける指示受付手段と、
前記削除指示を受け付けた第１のデータの前記識別子と関連づけられた前記暗号鍵を、前記第３の格納手段から削除する削除処理手段を更に備えることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記指示受付手段は、前記削除指示を受け付けた第１のデータの前記識別子と関連づけられた前記暗号鍵を、前記第３の格納手段から削除するか否かに関する設定を受け付ける設定受付手段を備え、
前記削除処理手段は、前記設定が、前記暗号鍵を前記第３の格納手段から削除する設定である場合に、前記削除を行うことを特徴とする請求項２に記載の情報処理装置。
【請求項４】
前記設定が、前記暗号鍵を前記第３の格納手段から削除しない設定である場合には、前記第１の格納手段から前記第１のデータのみが削除されることを特徴とする請求項２又は３に記載の情報処理装置。
【請求項５】
前記削除処理手段は更に、前記第３の格納手段に格納された前記暗号鍵を、前記第１のデータの削除から所定期間経過後に削除することを特徴とする請求項４に記載の情報処理装置。
【請求項６】
前記指示受付手段は更に、前記第１の格納手段に格納された第１のデータの変更指示を受け付け、
前記削除処理手段は更に、前記変更指示を受け付けた第１のデータの前記識別子と関連づけられた前記暗号鍵を、前記第３の格納手段から削除することを特徴とする請求項２乃至５のいずれかに記載の情報処理装置。
【請求項７】
前記削除処理手段は、前記変更指示を受け付けた第１のデータについて、前記第２の格納手段に前記第２のデータが格納され、かつ、前記第３の格納手段に前記暗号鍵が格納された後に、前記第３の格納手段からの前記暗号鍵の削除を行うことを特徴とする請求項６に記載の情報処理装置。
【請求項８】
前記第１の格納手段は更に、前記第１のデータの暗号化に使用された前記暗号鍵を、該第１のデータの前記識別子と関連づけて格納することを特徴とする請求項１乃至７のいずれかに記載の情報処理装置。
【請求項９】
前記第１のデータの識別子と関連づけられた前記暗号鍵は、暗号化されて前記第１の格納手段又は前記第３の格納手段に格納されることを特徴とする請求項１乃至８のいずれかに記載の情報処理装置。
【請求項１０】
前記暗号鍵は、前記第１のデータのそれぞれに固有に与えられるか、或いは、前記第１のデータの所定の集合に共通に与えられることを特徴とする請求項１乃至９のいずれかに記載の情報処理装置。
【請求項１１】
前記第１乃至第３の格納手段は、物理的に異なる情報記憶手段であることを特徴とする請求項１乃至１０のいずれかに記載の情報処理装置。
【請求項１２】
前記第２の格納手段に格納された第２のデータに基づいて、前記第１のデータを第４の格納手段に復元するリストア手段であって、
前記第２の格納手段に格納された前記識別子に基づいて対応する第２のデータを復号するための暗号鍵を前記第３の格納手段において検索する検索手段と、
検索された前記暗号鍵を用いて前記第２のデータを復号する復号手段と、
復号された前記第２のデータを前記第４の格納手段に書き込む書込手段と
を備えるリストア手段を備えることを特徴とする請求項１乃至１１のいずれかに記載の情報処理装置。
【請求項１３】
コンピュータを、請求項１乃至１２のいずれかに記載の情報処理装置として機能させるためのコンピュータプログラム。
【請求項１４】
バックアップ対象の第１のデータを第１の格納部に格納する第１の格納工程と、
前記第１のデータを、暗号鍵を用いて暗号化し第２のデータを生成する暗号化工程と、
前記第２のデータを前記第１のデータの識別子と共に第２の格納部に格納する第２の格納工程と、
前記第１のデータの暗号化に使用された前記暗号鍵を、該第１のデータの前記識別子と関連づけて第３の格納部に格納する第３の格納工程と
を備えることを特徴とする情報処理装置の制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置及びその制御方法、コンピュータプログラムに関する。
【背景技術】
【０００２】
従来、各種装置に電子的に保持されているデータをバックアップする場合、オリジナルデータが保持されている装置とは異なる外部記憶装置にバックアップすることが一般的であった。中でも、定期的にバックアップを取るような場合は、磁気テープ、ＣＤ−Ｒ、ＤＶＤ−Ｒなどのオフラインメディアへの書き込み装置を用いて、オフラインメディアにバックアップを取ることが多い。
【０００３】
例えば、汎用計算機の記憶手段であるハードディスクドライブに保持されているファイルの全部または一部をバックアップする場合、汎用計算機に接続されたテープドライブを用いて磁気テープにバックアップデータを記録することができる。また、ＤＶＤ−Ｒドライブを用いてＤＶＤ−Ｒディスクにバックアップデータを記録することもできる。
【０００４】
バックアップ方法には、大きく分けてフルバックアップとインクリメンタルバックアップがある。フルバックアップは、バックアップ時点でのバックアップ対象となるファイル全てをバックアップする方法である。フルバックアップには、まず、バックアップ対象となるファイルを、ＵＮＩＸ（登録商標）オペレーティングシステムのｔａｒコマンドなどのアーカイブ手段を用いてアーカイブしてバックアップデータとする場合がある。また、バックアップ対象と同じ構成のバックアップデータとする場合がある。一方、インクリメンタルバックアップは、前回のバックアップから追加、更新があったファイルだけをバックアップする方法である。従って、データをリストアする場合は、以前のフルバックアップと組み合わせて行なうことになる。
【０００５】
フルバックアップデータとインクリメンタルバックアップデータとを組み合わせてリストアすることもできる。この場合、フルバックアップ時点からインクリメンタルバックアップ時点までの間に削除されたファイルまでリストアされてしまう、という問題がある。これに対し、フルバックアップ時点からインクリメンタルバックアップ時点までの間に削除されたファイルの識別データを記録し、リストア時には削除されたデータをリストアしないという方法が提案されている（例えば特許文献１を参照）。
【特許文献１】特開平１０−２１４２１４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来のバックアップ方法では、バックアップ対象の各種装置で保持されているオリジナルデータを完全に削除したい時でも、バックアップデータから当該データだけを削除することが困難である。このため、バックアップデータには当該データが残り続けるという問題があった。例えば、フルバックアップをアーカイブしてバックアップデータとする場合、アーカイブ中から特定のファイルだけを削除することは難しい。
【０００７】
オリジナルと同じ構成でバックアップデータとしている場合でも、バックアップデータが、例えばＤＶＤ−Ｒディスクなど書き換え不能なオフラインメディアに記録されている場合には、特定ファイルだけを削除することはできない。よって、バックアップデータを削除するには、メディア全体を物理的に破壊するしか他に方法はない。但し、ＤＶＤ−ＲＷのような書き換え可能なメディアであれば、特定のファイルだけを削除することも可能である。
【０００８】
しかし、定期的にフルバックアップを取っていれば、バックアップデータを保持するオフラインメディアが多数存在する場合もある。このような場合に、特定ファイルのみを削除しようとすると、多数のオフラインメディアの全てから該ファイルのみを削除しなければならない。そのためには、記録装置にオフラインメディアを装填して、特定ファイルの削除処理を繰り返す必要があり、処理が煩雑であり、かつ、コストの観点からも現実的ではない。インクリメンタルバックアップでも同様の問題がある。
【０００９】
また、近年は個人情報保護法の制定などに伴い、不要となったデータを完全に利用不能とすることが求められるケースが増えている。よって、バックアップデータを削除できないという上記のような問題は、個人情報の保護・管理の観点から重大な影響を与えかねない。
【００１０】
そこで、本発明は、オリジナルデータから削除されたデータに対応するバックアップデータ中のデータを利用不能とすることを目的とする。
【課題を解決するための手段】
【００１１】
上記課題を解決するための本発明は、バックアップ対象の第１のデータを格納する第１の格納手段と、前記第１のデータを、暗号鍵を用いて暗号化し第２のデータを生成する暗号化手段と、前記第２のデータを前記第１のデータの識別子と共に格納する第２の格納手段と、前記第１のデータの暗号化に使用された前記暗号鍵を、該第１のデータの前記識別子と関連づけて格納する第３の格納手段とを備える。
【発明の効果】
【００１２】
本発明によれば、オリジナルデータから削除されたデータに対応するバックアップデータ中のデータを利用不能とすることができる。
【発明を実施するための最良の形態】
【００１３】
以下、添付する図面を参照して本発明の実施形態を説明する。
【００１４】
［第１の実施形態］
図１は、本発明の第１の実施形態に対応するバックアップ管理処理を実行可能な情報処理装置の構成と各部に保持される主要なデータを説明する図である。当該情報処理装置は、例えば汎用のパーソナルコンピュータで実現することができる。
【００１５】
図１において、ＣＰＵ１０１は情報処理装置全体を制御するCentral Processing Unitである。ＲＯＭ１０２は変更を必要としない制御プログラムやパラメータを格納するRead Only Memoryである。ＲＡＭ１０３は、外部装置などから供給されるプログラムやデータを一時記憶するRandom Access Memoryである。ハードディスクドライブ１０４は、情報処理装置に固定して設置されており、本実施形態に対応する処理プログラムの他、バックアップ管理処理でのパックアップ対象となるオリジナルデータ１５１を保持する。
【００１６】
ハードディスク装置１０５は、外付けのハードディスク装置であり、ファイル暗号鍵データ保持部１５２に、バックアップ対象のファイルごとに異なる暗号鍵データに関する情報を登録している。テープ装置１０６は、磁気テープ１３１に対するデータの入出力を行なう。磁気テープ１３１には、オリジナルデータ１５１のバックアップデータ１５３が記録される。キーボード１０７は、ユーザからのデータ入力、操作を受け付ける。モニタ１０８は、ユーザに対しデータ表示を行う。システムバス１０９は、１０１から１０８の各ユニットを通信可能に接続する。
【００１７】
本実施形態において、オリジナルデータ１５１とは、情報処理装置のオペレーティングシステム（ＯＳ）により階層構造で管理されるファイル群のうち、特定のディレクトリ以下にある全てのファイルを意味する。また、各ファイルが一つのデータアイテムとなる。例えば、ディレクトリ“/target/”をオリジナルデータのトップディレクトリとすると、“/target/”以下にあるファイル群がバックアップ対象となる。本実施形態において、バックアップとは、ハードディスクドライブ１０４が破損して、そこに保持されているデータが失われた場合に、データを復元することを目的として行われるものとする。そして、バックアップデータ１５３とは、バックアップ対象のオリジナルデータ１５１を、該データが格納されている格納部（図１ではハードディスクドライブ１０４）以外の格納部（図１では磁気テープ）にバックアップの目的で格納したものをいう。本実施形態において、“/target/”以下に存在するファイル以外のファイルは、オペレーティングシステムを構成するファイルなどのように、別の手段で復元が可能なファイルとする。即ち、バックアップが必要なファイルは全て、“/target/”の下に作成される。オリジナルデータを、編集またはデータの格納場所変更などの目的でユーザが複製したデータは、バックアップデータに含まれない。
【００１８】
オリジナルデータ１５１を構成する各ファイルは、オリジナルデータのトップディレクトリからの相対パスにより識別可能である。例えば、“/target/sub1/file1”というファイルは、相対パス“sub1/file1”により識別することができる。このようなファイルを識別するための相対パスのデータを、本実施形態では特に識別データという。なお、ＯＳによっては、ＯＳが各ファイルを識別するためのＩＤを付与している場合もある。そこで、このようなＩＤが利用可能な場合には、該ＩＤを識別データとして利用しても良い。
【００１９】
各ファイルには、ＯＳの機能により、最後に更新された日時が保持されている。よって、本実施形態に対応するバックアップ管理処理においては、ＯＳを通してファイルの更新日時を読み出すことができる。
【００２０】
以下、本実施形態に対応するバックアップ管理処理の具体的内容について説明する。特に説明がない限り、以下に説明する各ステップの処理は、ハードディスクドライブ１０４に格納された該バックアップ管理処理用のプログラムが、ＲＡＭ１０３に読み出されてＣＰＵ１０１の制御のもとに実行されることで実現される。
【００２１】
まず、図２を参照して、本実施形態に対応するバックアップ管理処理のうち、フルバックアップ処理の一例を説明する。ここで、フルバックアップ処理は、予め設定された日時になるとＯＳにより起動されるか、または、キーボード１０７を介してユーザから所定の操作を受け付けた場合に起動される。
【００２２】
まず、ステップＳ２０１では、現在の日時を、バックアップ処理日時としてバックアップ処理日時記録部に記録する。なお、バックアップ処理日時記録部は、本実施形態ではハードディスクドライブ１０４内に確保されることが好ましい。次に、ステップＳ２０２では、ＯＳの機能を用いてオリジナルデータ１５１を構成する全てのファイルをリストアップし、ファイルリストを生成する。
【００２３】
更に、ステップＳ２０３では、ステップＳ２０２で生成されたファイルリスト中に、後述するステップＳ２０４におけるバックアップ追加処理の対象となっていない未処理ファイルがあるかどうかを判定する。ここで、バックアップ追加処理が行われたファイルは、該ファイルリストから削除されるので、ファイルリストが空である場合には未処理のファイルがないと判定できる。ファイルリストからの削除を行う代わりにファイルリストに処理済フラグを設けることもでき、その場合には、処理済みフラグが“ＯＦＦ”であるファイルが残っているかにより、該判定を行うことができる。もし、未処理のファイルがある場合（ステップＳ２０３において「ＹＥＳ」）には、ステップＳ２０４に移行する。一方、未処理のファイルがない場合（ステップＳ２０３において「ＮＯ」）には、フルバックアップ処理を終了する。
【００２４】
ステップＳ２０４では、未処理のファイルを一つ選択し、このファイルの識別データに基づいてバックアップ追加処理を行なう。バックアップ追加処理の詳細は、図４を参照して後述する。ここでは併せて処理を行ったファイルをファイルリストから削除する。処理済フラグを利用する場合には、処理を行ったファイルについて処理済みフラグを“ＯＮ”にする。その後、ステップＳ２０３に戻る。
【００２５】
次に、図３を参照して、本実施形態に対応するバックアップ管理処理のうち、インクリメンタルバックアップ処理の一例を説明する。ここで、インクリメンタルバックアップ処理は、予め設定された日時になるとＯＳにより起動されるか、または、キーボード１０７を介してユーザから所定の操作を受け付けた場合に起動される。また、インクリメンタルバックアップ処理は、フルバックアップ処理を行なった後、再度フルバックアップ処理を行うまでの間隔よりも短い間隔で実行されることが望ましい。
【００２６】
図３において、まずステップＳ３０１では、現在の日時をバックアップ処理日時として、ハードディスクドライブ１０４内のバックアップ処理日時記録部に記録する。次に、ステップＳ３０２では、ＯＳの機能を用いてオリジナルデータ１５１を構成する全てのファイルをリストアップし、ファイルリストを生成する。
【００２７】
更に、ステップＳ３０３では、ステップＳ３０２で生成されたファイルリスト中に、バックアップ追加処理の対象となっていない未処理ファイルがあるかどうかを判定する。ここで行われる処理は、図２のステップＳ２０３と同様である。もし、未処理のファイルがある場合（ステップＳ３０３において「ＹＥＳ」）には、ステップＳ３０４に移行する。一方、未処理のファイルがない場合（ステップＳ３０３において「ＮＯ」）には、インクリメンタルバックアップ処理を終了する。
【００２８】
ステップＳ３０４では、未処理のファイルを一つ選択し、ＯＳの機能により選択したファイルの更新日時を取得する。そして、バックアップ処理日時記録部に記録されている前回のバックアップ日時とファイルの更新日時とを比較する。もし、ファイルの更新日時が、前回のバックアップ日時以降であれば（ステップＳ３０４において「ＹＥＳ」）、ステップＳ３０５に移行する。一方、ファイルの更新日時が、前回のバックアップ日時以前であれば（ステップＳ３０４において「ＮＯ」）、ステップＳ３０３に戻る。
【００２９】
ステップＳ３０５では、ステップＳ３０４で選択されたファイルの識別データに基づいてバックアップ追加処理を行なう。バックアップ追加処理の詳細は、図４を参照して後述する。このとき併せて、処理を行ったファイルをファイルリストから削除する。処理済フラグを利用する場合には、処理を行ったファイルについて処理済みフラグを“ＯＮ”にする。その後、ステップＳ３０３に戻る。
【００３０】
以上、本実施形態に対応するフルバックアップ処理及びインクリメンタルバックアップ処理の、全体の流れについて説明した。但し、本発明は、以上に説明した形態にのみ依存するものではない。例えば、インクリメンタルバックアップ処理では、更新日時に基づいてバックアップ追加処理を行うファイルを選定した。しかしながら、バックアップ処理を行なうか否かを示すフラグをファイル毎に用意し、これに基づいて処理対象のファイルを選定しても構わない。
【００３１】
また、ＯＳによっては、このようなフラグが予め用意されており、ファイルが更新された時にＯＮとなり、バックアップを行なった時にＯＦＦとなる。これを利用すれば、フラグがＯＮであるファイルだけをバックアップするとインクリメンタルバックアップとなる。また、インクリメンタルバックアップでは、前回のインクリメンタルバックアップ以降に更新されたファイルのみをバックアップしていたが、前回のフルバックアップ以降に更新されたファイルをバックアップしてもよい。これは、インクリメンタルバックアップ処理のステップＳ３０１を実行しないことで実現される。
【００３２】
以下、図２のフルバックアップ処理におけるステップＳ２０４及び図３のインクリメンタルバックアップ処理におけるステップＳ３０５において実行されるバックアップ追加処理について説明する。図４は、バックアップ追加処理の一例に対応するフローチャートである。
【００３３】
ステップＳ４０１では、ファイルの識別データに基づいて、ファイル暗号鍵データ保持部１５２内に該ファイルに割り当てられた個別暗号鍵データが登録されているかどうかを調べる。ファイル暗号鍵データ保持部１５２に登録されるデータのデータ構造の一例は、図５ａに示すとおりである。
【００３４】
図５ａにおいて、個別暗号鍵データ保持部５０１は、各ファイルに割り当てられた個別暗号鍵データを保持する。個別暗号鍵データは固定長であり、個別暗号鍵データ保持部５０１は、この長さのブロックが連続して構成される。各ブロックには、一つのファイルに割り当てられた一つの個別暗号鍵が保持される。個別暗号鍵インデックス保持部５０２は、個別暗号鍵データのインデックスを保持する。個別暗号鍵インデックス保持部５０２には、各ファイルの識別データをキーとして、対応するファイルの個別暗号鍵データが保持されるブロックのアドレス（Block Address:BA）を値とするインデックスデータが保持される。図５ａは論理的な説明図であり、実際には例えばB-treeのようなデータ構造でインデックスデータを保持することができる。
【００３５】
このように、ファイル暗号鍵データ保持部１５２には、識別データとファイルの暗号化用の個別暗号鍵データとが関連づけて登録される。そして、このような構造により、識別データをキーとして個別暗号鍵インデックス保持部５０２を検索し、インデックスデータが検出されればファイル暗号鍵が存在すると判定することができる。この結果、個別暗号鍵データがあると判定された場合（ステップＳ４０１において「ＹＥＳ」）は、検索された個別暗号鍵データを、以後の処理に使用する暗号鍵データに設定して、ステップＳ４０４に移る。個別暗号鍵データがないと判定された場合（ステップＳ４０１において「ＮＯ」）は、ステップＳ４０２に移行する。
【００３６】
ステップＳ４０２では、識別データに対応するファイルのための個別暗号鍵データを新たに生成する。続くステップＳ４０３では、ステップＳ４０２で生成された個別暗号鍵データを、ファイル暗号鍵データ保持部１５２に追加する。具体的には、まず個別暗号鍵データ保持部５０１の空いているブロックに、ステップＳ４０２で生成された個別暗号鍵データを保持する。次に、対応する識別データをキーとし、先に個別暗号鍵データを保持したブロックのアドレスを値とするインデックスを個別暗号鍵インデックス保持部５０２に追加する。この際、ステップＳ４０２で生成された個別暗号鍵データが、以後の処理に使用される暗号鍵データに設定される。
【００３７】
続くステップＳ４０４では、ファイルの識別データで識別されるファイルの本体データをＯＳの機能を利用して読み出す。更に、暗号鍵データとして設定された個別暗号鍵データを秘密鍵として、ＤＥＳなどの秘密鍵暗号方式により読み出したデータを暗号化する。その後ステップＳ４０５では、ステップＳ４０４で暗号化されたデータを、アーカイブに追加して磁気テープ１３１に記録する。このようにしてアーカイブには、暗号化されたファイルデータとその識別データが保持される。アーカイブのデータ構造の一例を図５ｂに示す。以上により、一つのファイルに対するバックアップ追加処理が終了する。
【００３８】
次に、オリジナルデータ１５１からファイルの削除を行う場合の処理について説明する。ファイル削除時処理はバックアップ処理とは独立して行なわれるもので、ユーザからのファイル削除の指示を受け付けファイルが削除される場合に、ＯＳからのイベントを受けて起動される。図６は、ファイル削除時処理の一例に対応するフローチャートである。
【００３９】
図６においてステップＳ６０１では、削除されるファイルの識別データに基づいて、ファイル暗号鍵データ保持部１５２に当該ファイルの個別暗号鍵データが存在するか否かを判定する。ここでの処理は、バックアップ追加処理のステップＳ４０１における処理と同様にして行うことができる。判定の結果、個別暗号鍵データが存在する場合（ステップＳ６０１において「ＹＥＳ」）は、ステップＳ６０２に移る。個別暗号鍵データが存在しない場合（ステップＳ６０１において「ＮＯ」）は、該ファイルはバックアップデータ１５３には含まれていないので、ファイル削除時処理を終了する。
【００４０】
ステップＳ６０２では、当該ファイルの個別暗号鍵データをファイル暗号鍵データ保持部１５２から削除する。具体的には、まずステップＳ６０１で検索された識別データに基づき、個別暗号鍵インデックス保持部５０２に保持されている対応するインデックスデータを読み出す。このインデックスデータは、ファイルの暗号化に使用された個別暗号鍵データが保持されたブロックを示しているので、該インデックスに基づき、個別暗号鍵データが保持されているブロックの全ビットを０とするデータを書き込む。これにより、対応する個別暗号鍵データの削除が行える。このとき、個別暗号鍵インデックス保持部５０２内に保持されているインデックスデータ及び識別データは不要となるので、これらを併せて削除する。以上により、ファイル削除時処理が終了する。
【００４１】
以上が、本実施形態に対応するバックアップ管理処理である。ハードディスクドライブ１０４の破損などによりオリジナルデータ１５１が失われた場合、磁気テープ１３１内のバックアップデータ１５３と、外付けハードディスク装置１０５内のファイル暗号鍵データ保持部１５２とを利用してリストアができる。
【００４２】
具体的には、フルバックアップのアーカイブに含まれている各ファイルのバックアップを順次ハードディスクドライブに復元していく。なお、インクリメンタルバックアップからのリストアについても、フルバックアップの場合と同様にして行うことができる。
【００４３】
リストアに際し、ファイルの識別データは、オリジナルデータ１５１における各ファイルの格納位置及びファイル名を示しているので、オリジナルデータ１５１におけるディレクトリ構造を復元することができる。但し、ファイル本体のデータは暗号化されているので、ファイル暗号鍵データ保持部１５２から識別データをキーとして各ファイルの暗号化に使用された個別暗号鍵データを取得し、この鍵を用いて復号して復元する。その際、バックアップ後にオリジナルデータ１５１から削除されたファイルについては、対応する個別暗号鍵データがファイル鍵暗号化データ保持部１５２に保持されていないことになる。この場合は、当該ファイルを復号することができないので、復元は行なわない。
【００４４】
即ち、削除されたファイルがリストアにより復活することを防止することができる。また、バックアップデータを解析して削除されたファイルデータを取得しようとしても、データは暗号化されており、その暗号鍵も存在しないので、元のファイルデータとして取得することはできない。
【００４５】
以上のように、本実施形態では、複数のファイルをまとめて一つのアーカイブにバックアップする際に、各ファイルのデータを暗号化してアーカイブに含めることができる。また、暗号化に利用したデータは別途まとめてファイル暗号鍵データとして管理し、オリジナルデータが削除された場合には、併せて対応する暗号鍵データを削除することができる。これにより、バックアップ後に削除されたファイルについては、たとえバックアップデータが残っていても利用不能とすることができる。
【００４６】
また、定期的なフルバックアップなど、複数のテープにバックアップデータが残っていても、バックアップ後に削除されたファイルについては復号するための暗号鍵が存在しないので、いずれも利用不能になる。よって、削除されたはずのファイルのデータがバックアップデータに残っていたため不正に利用される、といった問題を事前に回避することが可能となる。
【００４７】
また、本実施形態によれば、オリジナルデータから削除されたデータについて、バックアップデータに対し独自の処理を施す必要がない。即ち、単にオリジナルデータから所望のデータを削除するだけで、バックアップデータにおける対応データのアクセスを不能とすることができる。よって、ユーザは、複数のバックアップデータ毎にデータを削除すると言った煩わしい手間から開放される。
【００４８】
［第２の実施形態］
以上に説明した第１の実施形態は、テープ装置１０６を用いてバックアップデータを磁気テープ１３１にアーカイブとして保持していたが、これとは異なるバックアップデータの保持方法にも本発明は適用できる。そこで、本実施形態では、バックアップデータをオリジナルデータと同じ形式で保持する場合について説明する。
【００４９】
図７は、本実施形態に対応するバックアップ管理処理を実行可能な情報処理装置の構成と各部に保持される主要なデータを説明する図である。図７において、７０１から７０５、７０７から７０９、７５１、７５２は、第１の実施形態で説明した図１の１０１から１０５、１０７から１０９、１５１、１５２にそれぞれ対応するので、ここでの詳細な説明は省略する。
【００５０】
７０６は、ＤＶＤ−Ｒ装置であり、ＤＶＤ−Ｒディスク７３１に対するデータの入出力を行なう。ＤＶＤ−Ｒディスク７３１はバックアップデータの書き込むための記憶媒体であるが、データを一度書き込むと変更できない点で磁気テープ１３１とは異なる。その一方で、オリジナルデータ７５１と同じ階層構造でバックアップデータ７５３を保持することができる。そのため、バックアップデータ７５３のデータ構造は、第１の実施形態におけるバックアップデータ１５３のデータ構造とは異なるが、それ以外は第１の実施形態と同様である。各処理においても、第１の実施形態におけるステップＳ４０５における磁気テープ１３１のアーカイブへの追加処理が、ＤＶＤ−Ｒディスクへのファイルの書き込み処理に替わる以外は第１の実施形態と同じである。
【００５１】
バックアップデータ７５３は、オリジナルデータ７５１のディレクトリ構造のまま各ファイルをコピーしたものである。すなわち、バックアップ対象となるファイルの識別データが、ＤＶＤ−Ｒからの相対パスとなるようなディレクトリ構造で、各ファイルが保持される。バックアップ処理においては、暗号化された各ファイルを、この構造に従ったディレクトリに保持する処理を行なう。
【００５２】
このようにしてバックアップデータ７５３を保持する記憶媒体としてＤＶＤ−Ｒを選択した場合、オリジナルデータ７５１から何らかのファイルを削除しても、バックアップデータ７５３から当該ファイルだけを削除することはできない。よって、当該ファイルを利用できないようにするためには、従来はＤＶＤ−Ｒディスクを物理的に破壊するしかなかった。この場合、バックアップデータ中の他のファイルも失われてしまう。
【００５３】
これに対して本実施形態では、オリジナルデータから削除されたファイルについては、その個別暗号鍵データがファイル暗号鍵データ保持部７５２から消去されるので、バックアップデータがＤＶＤ−Ｒに残っていても利用不能になる。従って、削除されたはずのファイルのデータがバックアップデータに残っていたため不正に利用されるといった問題を事前に回避することができる。
【００５４】
［第３の実施形態］
以上に説明した第１の実施形態及び第２の実施形態では、オリジナルデータ１５１、７５１からファイルを削除する際に、当該ファイルのバックアップデータを使用不能にするものであった。しかしながら、削除に限らず、オリジナルデータに対する他の処理についても、バックアップデータを利用不能にした方がよい場合もある。例えば、オリジナルデータのファイルが変更、より具体的に更新された時は、更新前のデータを利用不能にした方がよい場合や、ファイルが移動された時は、移動前のデータを利用不能にした方がよい場合がある。
【００５５】
そこで、本実施形態では、ファイルの更新時あるいは移動時あるいはその両方において、変更（更新や移動）前のファイルに対する個別暗号鍵データを削除する処理を実行する。
【００５６】
図９は、本実施形態に対応する処理の一例を示すフローチャートである。図９において、ステップＳ９０１において、オリジナルデータ１５１中に含まれるファイルの更新が行われたか否かを判定する。もしファイルの更新が行われた場合（ステップＳ９０１において「ＹＥＳ」）には、ステップＳ９０２に移行する。ステップＳ９０２では、更新前のファイルに対応する個別暗号鍵データをファイル暗号鍵データ保持部１５２内の個別暗号鍵データ保持部５０１から削除する。削除処理の具体例は、図６のステップＳ６０２において説明したものと同様である。なお、このとき個別暗号鍵インデックス保持部５０２内に保持されているインデックスデータ及び識別データも併せて削除する。
【００５７】
次に、ステップＳ９０３において、更新後のファイルに対応する個別暗号鍵データを生成し、個別暗号鍵データ保持部５０１に登録する。併せて、新たに生成した個別暗号鍵データに対応するインデックスデータ及び識別データを個別暗号鍵インデックス保持部５０２に登録する。
【００５８】
ステップＳ９０１に戻り、ファイルの更新が行われなかった場合（ステップＳ９０１において「ＮＯ」）には、ステップＳ９０４に移行する。ステップＳ９０４では、ファイルの移動が行われたか否かを判定する。もし、ファイルの移動が行われなかった場合（ステップＳ９０４において「ＮＯ」）には、ステップＳ９０１に戻って処理を継続する。一方、ファイルの移動が行われた場合（ステップＳ９０４において「ＹＥＳ」）には、ステップＳ９０５に移行する。ステップＳ９０５では、移動前のファイルに対応する個別暗号鍵データをファイル暗号鍵データ保持部１５２内の個別暗号鍵データ保持部５０１から削除する。削除処理の具体例は、図６のステップＳ６０２において説明したものと同様である。なお、このとき個別暗号鍵インデックス保持部５０２内に保持されているインデックスデータ及び識別データも併せて削除する。
【００５９】
次に、ステップＳ９０６において、移動後のファイルに対応する個別暗号鍵データを生成し、個別暗号鍵データ保持部５０１に登録する。併せて、新たに生成した個別暗号鍵データに対応するインデックスデータ及び識別データを個別暗号鍵インデックス保持部５０２に登録する。
【００６０】
その後、新たに生成された個別暗号鍵データは、更新後或いは移動後のファイルを暗号化するために利用され、暗号化後のデータがバックアップデータ１５３に追加される。
【００６１】
以上により、本実施形態では、ファイルの更新や移動といった変更が行われる以前のファイルのバックアップデータを利用不能にすることができる。また、本実施形態においては、最新に変更されたファイルについてのバックアップデータのみが利用可能となるので、リストアする際には、当該最新のファイルのみを用いてリストアすることが可能となる。即ち、本実施形態では、途中で変更された以前のファイルまでリストアされてしまうことがない。
【００６２】
なお、ファイルの内容を更新した場合、ファイル名を変更した場合を除いて、識別データは変更されない。また、更新前の個別暗号鍵データを削除し、更新後のファイルは新たな個別暗号化データを用いて暗号化すれば、更新前のファイルを復号することはできない。よって、ファイル名の変更を除き、ファイルの内容のみが変更された場合、個別暗号鍵データのみを削除して新たに作成し直す一方、インデックスデータや識別データは以前のものを転用してもよい。
【００６３】
また、ファイル移動後は移動前のファイルについてのバックアップデータを利用不能としたが、移動前のバックアップデータも継続して利用できた方がよい場合もある。そこで、移動前の個別暗号鍵データ及び識別データ、インデックスデータを保持しておいても良い。
【００６４】
また、ステップＳ９０２やステップＳ９０５では、更新後や移動後のファイルについてバックアップデータが作成されるよりも前に、以前のファイルについての個別暗号鍵データ等を削除することとしている。しかし、更新や移動に際してファイルが破壊される場合もある。そこで、更新後や移動後にファイルのバックアップが作成されるまでは、以前のバックアップデータを復元可能な状態に置き、更新後や移動後のファイルのバックアップの作成が完了した場合に、以前のバックアップデータを利用不能にしてもよい。これによれば、更新や移動の際にファイルが破壊されても、確実にファイルを復旧することができる。
【００６５】
［第４の実施形態］
以上の第１の実施形態から第３の実施形態では、バックアップの目的はいずれも、オリジナルデータ１５１や７５１を保持しているハードディスクドライブ１０４や７０４が破損した際のオリジナルデータ全体の消失を防止することにあった。バックアップの目的には、これ以外にも、ユーザが誤って削除したデータを復活させることがある。そこで、本実施形態では、このような目的に対応するバックアップ処理について説明する。
【００６６】
本実施形態では、ファイルの削除時に個別暗号鍵データを必ず削除するのではなく、削除するかどうかを、予め保持されているデータや入力データより決定する。それ以外は、第１の実施形態等の先の実施形態におけるファイル削除時処理と同様に行うことができる。
【００６７】
図８は、本実施形態に対応するファイル削除時処理の一例を示すフローチャートである。このファイル削除時処理は、ファイルが削除される時に、ＯＳからのイベントを受けて起動される。
【００６８】
まず、ステップＳ８０１では、削除されるファイルのバックアップデータも削除する否かの入力をユーザに促すメッセージを、モニタ１０８（７０８）に表示する。このメッセージに対し、ユーザからキーボード１０７（７０７）からバックアップデータを削除するか否かを示すデータの入力を受け付けると、ステップＳ８０２に移行する。
【００６９】
ステップＳ８０２では、ユーザから入力を受け付けたデータを判別し、バックアップデータの削除を指示するデータであれば（ステップＳ８０２におて「ＹＥＳ」）、ステップＳ８０３に移行する。バックアップデータの削除を指示しないデータであれば（ステップＳ８０２において「ＮＯ」）、ファイル削除時処理をそのまま終了する。この場合、オリジナルデータ１５１（７５１）におけるファイルのみが削除され、バックアップデータ１５３（７５３）内のデータは復元可能となる。
【００７０】
ステップＳ８０３では、削除対象のファイルの識別データに基づいて、対応する個別暗号鍵データが個別暗号鍵データ保持部５０１に保持されているか否かを判定する。具体的には、バックアップ追加処理のステップＳ４０１における処理と同様に行うことができる。この判定の結果、削除対象ファイルに対応する個別暗号鍵データが保持されていると判定されれば（ステップＳ８０３において「ＹＥＳ」）、ステップＳ８０４に移行する。一方、個別暗号鍵データが保持されていないと判定されれば（ステップＳ８０３において「ＮＯ」）、ファイル削除時処理をそのまま終了する。
【００７１】
ステップＳ８０４では、該個別暗号鍵データを削除する。まず、ステップＳ８０３で検出された個別暗号鍵データが保持されているブロックに対し、全ビットを０とするデータを書き込む。次に、個別暗号鍵インデックス保持部５０２から、対応するインデックスデータ及び識別データを削除する。そして、ファイル削除時処理を終了する。
【００７２】
以上のように、本実施形態では、ファイルの削除時に、バックアップデータを利用不能にするか否かを選択できる。従って、利用不能とする種類のファイルでは、バックアップも含めて確実に利用不能にできる一方、将来的に復旧することを望む種類のファイルでは、バックアップを復元可能に残すという使い分けができる。
【００７３】
図８では、個別暗号鍵データを削除するか否かの選択を、毎回ユーザから受け付けることとしたが、本発明はこのような形態に限定されるものではない。例えば、ファイルの新規作成時に個別暗号鍵データを削除するか否かを設定可能とし、削除が指示された場合には、該設定内容に基づいて削除処理を実行しても良い。また、ファイル作成後にファイル毎に同様の設定を行うこともできるし、ファイルを格納するディレクトリ単位に同様の設定を行っても良い。ディレクトリ単位で設定が行われた場合、ディレクトリ内のファイルの削除が指示されれば、該ファイルを保持するディレクトリに対する設定を参照して、削除処理を行うことができる。
【００７４】
なお、ファイル自体の削除に限らず、ファイルの変更（更新や移動を含む）の際に個別暗号鍵データが削除される場合にも、同様にして個別暗号鍵データを削除するか否かを選択可能とすることができる。
【００７５】
このようにして、ファイル削除時等に個別暗号鍵データを削除しなかった場合、その後もバックアップデータ１５３（７５３）内に、削除等以前のファイルが残存する。これに対し、ファイル削除時以降に、個別暗号鍵データを削除する処理を実施してもよい。例えば、オリジナルデータ１５１（７５１）からファイルが削除された後に、該ファイルのバックアップデータを保持する期間（データ保持期間）を予め設定しておき、ファイルの削除後、該データ保持期間が経過したか否かを監視することができる。これにより、ファイル削除後、データ保持期間が経過した場合には、ファイル暗号鍵データ保持部１５２（７５２）から、該ファイルに対応する個別暗号鍵データを削除することができる。よって、ファイル削除時等に個別暗号鍵データを削除しなかった場合でも、一定期間が経過した以降は、該ファイルに対応するバックアップデータの復元を防止することができる。
【００７６】
［第５の実施形態］
上記の第１の実施形態から第４の実施形態のいずれにおいても、ファイル暗号鍵データ保持部１５２や７５２を保持している外付けハードディスク装置１０５や７０５が破損すれば、ファイル暗号鍵データ保持部１５２や７５２が失われることになる。その場合には、バックアップデータ１５３や７５３を復元することができなくなってしまう。そこで、本実施形態では、ファイル暗号鍵データ保持部１５２や７５２を二重に保持することを特徴とする。
【００７７】
例えば、オリジナルデータ１５１や７５１を保持しているハードディスクドライブ１０４や７０４にも、ファイル暗号鍵データ保持部１５２や７５２に対応するデータを格納しておく。従って、ファイルの個別暗号鍵データを生成する処理や、個別暗号鍵データを削除する処理においては、それぞれのファイル暗号鍵データへの書き込みや削除を行ない、両データの同一性を常に維持しておく。
【００７８】
ハードディスクドライブやハードディスク装置が一つしかない場合には、例えばＤＶＤ−ＲＡＭやメモリーカードなどの書き換え可能なオフラインメディアに、ファイル暗号鍵データ保持部１５２や７５２に対応するデータを保持しておくことができる。この場合、ファイル暗号鍵データを保持したオフラインメディアが、その読み書きを行なう装置にマウントされている時のみ、ファイル暗号鍵データ保持部１５２や７５２の変更を伴う処理（ファイルの削除処理等）を実行することができる。
【００７９】
一般的に、バックアップデータ１５３や７５３に比べて、ファイル暗号鍵データ保持部１５２や７５２のデータサイズは十分に小さいので、本実施形態のようにファイル暗号鍵データを複数有することは可能である。
【００８０】
また、ファイル暗号鍵データ１５３や７５３が不正にコピーされると、オリジナルデータ１５１や７５１から削除されたファイルの個別暗号鍵データを削除しても、当該ファイルのバックアップデータが利用されてしまう。そこで、このような問題を事前に回避するために、ファイル暗号鍵データ１５３や７５３自体を暗号化して保持しておくことが好ましい。
【００８１】
［第６の実施形態］
なお、上記の実施形態において、バックアップデータ１５３や７５３は、ファイルの実体データだけでなくファイルのメタデータを含んでいてもよい。
【００８２】
また、上記の実施形態においては、単一のファイルをデータアイテムとして扱う場合のみならず、複数のファイルをまとめて一つのデータアイテムとして扱ってもよい。例えば、ディレクトリを一つのデータアイテムとして扱い、あるディレクトリに配置されるファイルには全て同じ個別暗号鍵データを適用して暗号化を行なうことができる。
【００８３】
更に、ＯＳにより管理される個々のファイルをデータアイテムとするだけではなく、例えば、文書管理システムなどのデータ管理システムが管理するデータをデータアイテムとして扱うこともできる。同様に、データベース管理システムが管理するレコードをデータアイテムとして扱うこともできる。このような実施形態では、上記の実施形態においてＯＳが果たしていた役割をデータ管理システムやデータベース管理システムが果たすこととなる。また、データ管理システムやデータベース管理システムの中に、上記実施形態で説明したような処理が組み込まれてもよい。
【００８４】
更に、オリジナルデータ１５１や７５１、ファイル暗号鍵データ保持部１５２や７５２、及び、バックアップデータ１５３や７５３は、物理的に異なる装置に保持されることが好ましいので、それぞれ異なる装置やメディアに保持されてもよい。特に、同一の情報処理装置やパーソナルコンピュータに接続されていなくても、ネットワークを介して接続される複数の情報処理装置やパーソナルコンピュータ内、或いは、それらに接続された装置において保持されていてもよい。
【００８５】
［その他の実施形態］
本発明の目的は前述した実施形態の機能を実現するソフトウエアのプログラムコードを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵまたはＭＰＵ）が記録媒体に格納されたプログラムコードを読み出し実行することによっても、達成されることは言うまでもない。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することとなり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。
【００８６】
プログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤなどを用いることができる。
【００８７】
また、コンピュータが読み出したプログラムコードを実行することにより、前述した実施例の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているOperating System（ＯＳ）などが実際の処理の一部または全部を行い、その処理によって前述した実施例の機能が実現される場合も含まれることは言うまでもない。
【００８８】
さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書きこまれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００８９】
また、前述した実施形態の機能の全部または一部が、専用の電子回路によって実現される場合も含まれることは言うまでもない。
【図面の簡単な説明】
【００９０】
【図１】本発明の実施形態に対応する情報処理装置の構成の一例を示す図である。
【図２】本発明の実施形態に対応するフルバックアップ処理の一例を示すフローチャートである。
【図３】本発明の実施形態に対応するインクリメンタルバックアップ処理の一例を示すフローチャートである。
【図４】本発明の実施形態に対応するバックアップ追加処理の一例を示すフローチャートである。
【図５ａ】本発明の実施形態に対応するファイル暗号鍵データ保持部１５２におけるデータ構造の一例を示す図である。
【図５ｂ】本発明の実施形態に対応するアーカイブのデータ構造の一例を示す図である。
【図６】本発明の実施形態に対応するファイル削除時処理の一例を示すフローチャートである。
【図７】本発明の第２の実施形態に対応する情報処理装置の構成の一例を示す図である。
【図８】本発明の第４の実施形態に対応するファイル削除時処理の一例を示すフローチャートである。
【図９】本発明の第３の実施形態に対応するファイル変更時処理の一例を示すフローチャートである。
【図１】
2007034487.tif 000003
【図２】
2007034487.tif 000004
【図３】
2007034487.tif 000005
【図４】
2007034487.tif 000006
【図５ａ】
2007034487.tif 000007
【図５ｂ】
2007034487.tif 000008
【図６】
2007034487.tif 000009
【図７】
2007034487.tif 000010
【図８】
2007034487.tif 000011
【図９】
2007034487.tif 000012