(57)【要約】【課題】設定時間になると記憶された情報が消去される方式において、設定時間を再度設定可能な携帯型記憶装置を提供する。【解決手段】持ち出し用記憶媒体２００は、電力の供給源となる電源部２０４と、電源部２０４からの電力供給が途絶えると既に記憶している鍵Ｃと秘密情報とが揮発するＳＲＡＭ２０６と、電源部２０４から電力供給を受けることにより動作して時間を計測するとともに、予め設定された設定時間が格納され、設定時間になるとＳＲＡＭ２０６への電源部２０４からの電力供給を遮断するタイマ部２０２と、電源部２０４からの電力供給を受けることにより動作するとともに、鍵Ｃと照合される鍵を含み且つ設定時間へのアクセスを要求する設定時間アクセス要求を受け付け、ＳＲＡＭ２０６の情報が揮発していない場合には前記鍵を鍵Ｃと比較して前記鍵と鍵Ｃとが一致すると、設定時間へのアクセスを許可する認証／タイマ設定部２０１とを備えた。【選択図】図２
2009282797.tif 000002
【特許請求の範囲】
【請求項１】
持ち運び可能な携帯型記憶装置において、
電力の供給源となる電源部と、
前記電源部から電力供給を受けている場合には既に記憶している所定の第１鍵と所定のデータとを含む記憶情報の記憶状態を維持し、前記電源部からの電力供給が途絶えると前記記憶情報が揮発する揮発性記憶部と、
前記電源部から電力供給を受けることにより動作して時間を計測するとともに、予め設定された設定時間が格納され、前記設定時間になると前記揮発性記憶部への前記電源部からの電力供給を遮断するタイマ部と、
前記電源部からの電力供給を受けることにより動作するとともに、前記第１鍵と照合される第２鍵を含み且つ前記設定時間へのアクセスを要求する設定時間アクセス要求を受け付け、前記揮発性記憶部の前記記憶情報が揮発していない場合には前記揮発性記憶部に記憶されている前記第１鍵を前記第２鍵と比較し、比較の結果、前記第１鍵と前記第２鍵とが一致すると、前記設定時間へのアクセスを許可するアクセス許可部と
を備えたことを特徴とする携帯型記憶装置。
【請求項２】
前記携帯型記憶装置は、さらに、
自己である前記携帯型記憶装置への物理的な攻撃を検知可能であるとともに、前記物理的な攻撃を検知すると前記揮発性記憶部への前記電源部からの電力供給を遮断する検知回路を備えたことを特徴とする請求項１記載の携帯型記憶装置。
【請求項３】
前記揮発性記憶部は、
ＳＲＡＭ（Ｓｔａｔｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）であることを特徴とする請求項１または２のいずれかに記載の携帯型記憶装置。
【請求項４】
持ち運び可能であるとともに、電力の供給源となる電源部と、前記電源部から電力供給を受けている場合には既に記憶している所定の第１鍵と所定のデータとを含む記憶情報の記憶状態を維持し、前記電源部からの電力供給が途絶えると前記記憶情報が揮発する揮発性記憶部とを備えたコンピュータである携帯型記憶装置に、
（１）時間を計測するとともに予め設定された設定時間になると前記揮発性記憶部への前記電源部からの電力供給を遮断する処理、
（２）前記第１鍵と照合される第２鍵を含み且つ前記設定時間へのアクセスを要求する設定時間アクセス要求を受け付け、前記揮発性記憶部の前記記憶情報が揮発していない場合には前記第１鍵を前記第２鍵と比較し、比較の結果、前記第１鍵と前記第２鍵とが一致すると、前記設定時間へのアクセスを許可する処理
を実行させることを特徴とする設定時間アクセスプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、高度な機密の運搬システムにおける携帯型記憶装置に関するものである。
【背景技術】
【０００２】
国家機密など高度な機密を外部に持ち出す場合、運用の責任者（例えば、記憶媒体の払い出し責任者）、情報の管理責任者（記憶媒体への機密情報の書き込み者）、情報の運搬人（いわゆるクーリエ）など、安全のために責任を明確に区切った管理を行い、それぞれのレベルで独立したセキュリティ対策を行うのが一般的である。
【０００３】
高度な機密情報の運搬における最大の脅威は、運搬中の機密情報を入れた媒体の強奪（同時に運搬人の誘拐も考慮する必要がある）、運搬人の裏切りなどである。一般的な機密情報の運搬の場合は、紛失、盗難などが最大の脅威となるが、高度な機密情報の場合は、物理的に人体に繋げておいたりするため、紛失、盗難などは、強奪／裏切りに含むことができる。
【０００４】
このような運搬システムの要件を満たすためには、
（１）運搬先においてのみ記憶媒体の内容にアクセス可能とする。
（２）運搬中など一定期間が過ぎた場合、記憶媒体内部の情報を消去する。
（３）記憶媒体内部の情報を暗号化する。
（４）記憶媒体に関する秘密情報（（１）に対するアクセス許可情報、（３）に対する解読情報など）をシステム的に運搬人や強奪者が知りえない仕組みとする（安全のための責任範囲の明確化）。
などが必要となる。
【０００５】
情報を運搬するための持ち出し媒体として、例えば、特開２００７−１０９１４８号公報にあるような外部記憶装置が提案されているが、
（ａ）安全のための責任範囲を明確化するためのシステムとの連動が記述されていない。
（ｂ）上述した（４）について、パスワードを用いることは記述されているが、「外部記憶装置自体のパスワード保護機能（いわゆる耐タンパ性）についての記述がない」などの理由から高度な機密情報の外部への持ち出しに使用することは困難である。
【０００６】
また、前記特開２００７−１０９１４８号公報では、記憶素子としてＤＲＡＭ（Ｄｙｎａｍｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）を選択し、記憶消去手段として、コントローラからのリフレッシュを利用する手法を選択しているが、現実問題として、
（ｃ）市販ＤＲＡＭコントローラにリフレッシュを任意のタイミングで実施する機能を求めることは困難で、専用のコントローラが必要となり、コスト面から実現性が乏しい。
【特許文献１】特開２００７−１０９１４８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明は、
（ａ）安全のための責任範囲を明確化したシステム下で使用され、
（ｂ）耐タンパ性を備え、
（ｃ）リフレッシュのためのコントローラを不要とし、
（ｄ）さらに、設定時間になると記憶された情報が消去される方式において、設定時間を再度設定可能な携帯型記憶装置の提供を目的とする。
【課題を解決するための手段】
【０００８】
この発明の携帯型記憶装置は、
持ち運び可能な携帯型記憶装置において、
電力の供給源となる電源部と、
前記電源部から電力供給を受けている場合には既に記憶している所定の第１鍵と所定のデータとを含む記憶情報の記憶状態を維持し、前記電源部からの電力供給が途絶えると前記記憶情報が揮発する揮発性記憶部と、
前記電源部から電力供給を受けることにより動作して時間を計測するとともに、予め設定された設定時間が格納され、前記設定時間になると前記揮発性記憶部への前記電源部からの電力供給を遮断するタイマ部と、
前記電源部からの電力供給を受けることにより動作するとともに、前記第１鍵と照合される第２鍵を含み且つ前記設定時間へのアクセスを要求する設定時間アクセス要求を受け付け、前記揮発性記憶部の前記記憶情報が揮発していない場合には前記揮発性記憶部に記憶されている前記第１鍵を前記第２鍵と比較し、比較の結果、前記第１鍵と前記第２鍵とが一致すると、前記設定時間へのアクセスを許可するアクセス許可部と
を備えたことを特徴とする。
【発明の効果】
【０００９】
この発明により、設定時間になると記憶された情報が消去される方式において、設定時間を再度設定可能な携帯型記憶装置の提供できるため、使い勝手を向上することができる。
【発明を実施するための最良の形態】
【００１０】
実施の形態１．
図１は、コンピュータで実現される実施の形態１の持ち出し用記憶媒体２００（携帯型記憶装置の一例）のハードウェア資源の一例を示す図である。図１において、持ち出し用記憶媒体２００は、プログラムを実行するＣＰＵ８１０（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ：中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ８１０は、バス８２５を介してタンパ検知回路２０３、電源部２０４、スイッチ回路２０５、ＳＲＡＭ（Ｓｔａｔｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）２０６、フラッシュメモリ８２０と接続され、これらのハードウェアデバイスを制御する。
【００１１】
ＳＲＡＭ２０６は、リフレッシュを不要とする揮発性メモリである。フラッシュメモリ８２０は、不揮発性メモリである。これらは、記憶部、格納部、バッファの一例である。
【００１２】
フラッシュメモリ８２０には、オペレーティングシステム８２１（ＯＳ）、プログラム群８２２、ファイル群８２３が記憶されている。プログラム群８２２のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１により実行される。
【００１３】
上記プログラム群８２２には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。
【００１４】
ファイル群８２３には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の算出結果」、「〜の抽出結果」、「〜の生成結果」、「〜の処理結果」として説明する情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、メモリなどの記録媒体に記憶される。メモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
【００１５】
また、以下に述べる実施の形態の説明において、「〜部」として説明するものは、「手段」、「〜回路」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、フラッシュメモリ８２０に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、フラッシュメモリ８２０に記憶される。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。
【００１６】
図２は、実施の形態１における機密情報運搬システムの構成ブロック図である。図２の機密情報運搬システムは、遠隔地にある情報機器（以降、わかりやすい例として暗号装置３００とする）に、秘密情報を入力するためのシステムである。図２のシステムは、持ち出し管理ソフトウェア実行装置１００、持ち出し用記憶媒体２００、暗号装置３００を備えている。持ち出し管理ソフトウェア実行装置１００は、認証／タイマデータ作成部１１０、持ち出し情報管理部１２０を備える。
【００１７】
（持ち出し用記憶媒体２００の構成）
持ち出し用記憶媒体２００は、秘密情報、鍵などを記憶する電源Ｂａｃｋｕｐ揮発メモリ（電源Ｂａｃｋｕｐ揮発メモリとしてＳＲＡＭを想定しており、以下、電源Ｂａｃｋｕｐ揮発メモリについてはＳＲＡＭ２０６という）、ＳＲＡＭ２０６に電源（電力）を供給する電源部２０４、ＳＲＡＭ２０６への電源供給をコントロールするスイッチ回路２０５、持ち出し用記憶媒体２００への不正アクセス（破壊、穴あけなど）を検知し、スイッチ回路２０５へ指示（電源カット）を出すタンパ検知回路２０３、設定された時間経過後、スイッチ回路２０５へ指示（電源カット）を出すタイマ部２０２、およびタイマ部２０２とＳＲＡＭ２０６へのアクセスをコントロールする認証／タイマ設定部２０１を備える。
【００１８】
図３は、実施の形態１に登場する鍵をまとめた表である。以下の説明では図３に示す鍵が登場する。以下、図２、図３を参照して説明する。
【００１９】
暗号装置３００には、秘密情報にアクセスするための「鍵Ａ」と、読み出した秘密情報を解読（復号）するための「鍵Ｂ」があらかじめ安全な方法で設定されているものとする。また、暗号装置３００内の鍵Ａと鍵Ｂは、適切な方法で保護されているものとする。鍵Ａは、運搬管理責任者１２が暗号装置３００にあらかじめ設定（運搬管理責任者１２以外は知りえない情報）し、鍵Ｂは、秘密情報運用者１１が暗号装置３００にあらかじめ設定（運用管理責任者以外は知りえない情報）するものとする。なお、これらの暗号装置３００内の鍵情報の保護方法については、本発明の目的ではないので詳細は割愛する。
【００２０】
秘密情報運用者１１は、暗号装置３００へ設定したい秘密情報を鍵Ｂで暗号化し、暗号装置３００への設定期日とともに、持ち出し管理ソフトウェア実行装置１００へインプットする。当然のことながら、持ち出し管理ソフトウェア実行装置１００へのアクセスについては、適切なアクセス制御が実施されているものとする。
【００２１】
（持ち出し用記憶媒体２００への書き込み）
図４は、持ち出し管理ソフトウェア実行装置１００の動作概要を示すフローチャートである。図４を参照して説明する。
（１）Ｓ１において、運搬管理責任者１２は、秘密情報運用者１１から通知された設定期日（暗号装置３００に秘密情報を設定する設定期日）から、認証／タイマデータ作成部１１０を用いて情報保持時間（設定時間）を算出し、認証／タイマ設定部２０１を介して持ち出し用記憶媒体２００のタイマ部２０２に情報保持時間をセット（設定）する。
（２）Ｓ２において、運搬管理責任者１２は、認証／タイマデータ作成部１１０を用いて、タイマ部２０２をロックするための「鍵Ｃ」をＳＲＡＭ２０６に書き込む。タイマロック用の鍵ＣがＳＲＡＭ２０６に書き込まれた以降は、タイマ部２０２へのアクセスは、鍵Ｃが必須となる。すなわち、情報保持時間が経過する前には「鍵Ｃ」が無ければ、設定されている情報保持時間にアクセスし、修正することはできない。一方、情報保持時間が経過する前には「鍵Ｃ」があれば、設定されている情報保持時間にアクセスし、修正することができる。
（３）Ｓ３において、タイマ部２０２への情報保持時間の設定後、運搬管理責任者１２は、持ち出し情報管理部１２０を用いて、暗号装置３００が情報を読み出すための鍵Ａと秘密情報運用者１１によりインプットされた秘密情報とを持ち出し用記憶媒体２００のＳＲＡＭ２０６へ書き込む。
【００２２】
必要な情報を書き込まれた持ち出し用記憶媒体２００は、運搬人１３に託され、暗号装置３００まで運搬される。参考までに、秘密情報の運搬にネットワークを使用しない理由は、ネットワーク上を流れるデータがコピー（第３者が保存）可能だからである。一般にネットワークを介してデータのやり取りをする場合は、データの秘匿を行うが、その安全性は、「最良の解読方法」を「最良の支援機材」で実施した場合でも、非常に時間がかかる（数万年とか数百万年）というものである。逆に言うと、革新的な解読方法あるいは革新的な支援機材が開発された場合、充分な安全性が保証できないケースが考えられると言うことである。このため、第３者がコピーした後に上述した革新的な解読方法、機材が出てくるリスクを想定し、機密情報の運搬には、ネットワークを使用しない。
【００２３】
なお、図中で秘密情報運用者１１や運搬管理責任者１２が設定する鍵Ａ，鍵Ｂと、暗号装置３００に設定される鍵Ａ，鍵Ｂについては、同じもの（共通鍵系の暗号技術）を用いても、違うもの（公開鍵系の暗号技術）を用いても、本システムの効果は大きく変わらないが、鍵Ｂについては、公開鍵系の暗号技術を採用するのが一般的である。
【００２４】
本システムでは、共通鍵系、公開鍵系双方の暗号化技術も安全に採用可能とするために、持ち出し用記憶媒体２００内での鍵の保存場所を、タンパ検知回路２０３の配下にあるＳＲＡＭ２０６としている。
【００２５】
以下では、図５〜図１２を用いて、本実施の形態１のシステムの具体的な動作を説明する。
【００２６】
（秘密情報運用者１１の作業）
図５は秘密情報運用者１１の作業を説明する図である。秘密情報運用者１１は、暗号装置３００へ設定する秘密情報（平文）を鍵ｂで暗号化する（Ｓ０１）。次に、秘密情報を暗号化した鍵ｂを設定先の暗号装置３００のみが解読できる鍵Ｂで暗号化する（Ｓ０２）。一般的に秘密情報の暗号化は、データ量が多い可能性がある秘密情報そのものを処理速度の速い共通鍵暗号で暗号化（鍵ｂでの暗号化）し、その暗号に使用した鍵（この場合、鍵ｂ）を公開鍵系の鍵Ｂで暗号化する手法が多く用いられる。このため、この設例でもこれに倣った処理を行っているが、本発明の秘密情報の暗号化手法をこの方法に限定するものではない。
【００２７】
秘密情報運用者１１は、上記のように暗号化された秘密情報２１（暗号化された平文、暗号化された鍵ｂ）と、その秘密情報の暗号装置３００への設定期日２２および設定先の暗号装置３００を識別するためのＩＤ（暗号装置ＩＤ２３）を運搬管理責任者１２へ通知（持ち出し管理ソフトウェア実行装置１００へインプット）する。
【００２８】
暗号装置ＩＤ２３は、設定先の暗号装置３００が複数ある場合に用いるもので、暗号装置３００が複数ある場合、秘密情報運用者１１は、図６に示すような、各暗号装置３００に対応した秘密鍵Ｂの対応表も同時に安全な方法で管理する必要がある。
【００２９】
なお、運搬管理責任者１２への通知方法については、オンラインでもオフラインでも安全な方法であれば良く、ここでは、その手法の限定はしない。
【００３０】
（運搬管理責任者１２の作業）
運搬管理責任者１２の作業は、図４に示したように、以下の４つがある。
（１）持ち出し用記憶媒体２００のタイマ部２０２への情報保持時間の設定である。
（２）タイマ部２０２のロック（同時にＳＲＡＭ２０６へのアクセスのロック）、すなわちＳＲＡＭ２０６への鍵Ｃの設定である。
（３）秘密情報へのアクセス制限用の鍵Ａの設定である。
（４）持ち出し用記憶媒体２００への秘密情報の設定である。以下、図を用いて運搬管理責任者１２の作業を説明する。
【００３１】
（１．情報保持時間の設定）
運搬管理責任者１２は、図７に示すように持ち出し用記憶媒体２００のタイマ部２０２に情報保持時間を設定する。情報保持時間は、秘密情報運用者１１から通知された暗号装置３００への設定期日を元に運搬管理責任者１２が算出する。
【００３２】
（２．タイマへのアクセスロック）
運搬管理責任者１２は、タイマ部２０２のロックを行う。図８に示すように運搬管理責任者１２は、持ち出し用記憶媒体２００のＳＲＡＭ２０６にタイマロック用の鍵Ｃを設定するとともに、認証／タイマ設定部２０１内のロック用のフラグをセットする（ロック用のフラグをＯＮにする）。認証／タイマ設定部２０１内のロック用のフラグの設定は、持ち出し用記憶媒体２００の特徴的な機能であり、その解除は、タイマ部２０２のタイムアウト以外では実施されない。本機能により、タイマタイムアウト以前のＳＲＡＭ２０６およびタイマ部２０２へのアクセスは、鍵Ａおよび鍵Ｃがない限り実施不可能であるが、一端、タイムアウトすれば、ＳＲＡＭ２０６、タイマ部２０２へのアクセスが容易に実施可能（タイムアウトによりＳＲＡＭ２０６上の全ての情報が消去されているため、特に問題はない）となり、運用性が向上している。逆に、運搬管理責任者１２が実施する後述する持ち出し用記憶媒体２００への様々な情報の設定は、タイマ部２０２のタイムアウト後に実施する必要がある。本フラグがセットされた時の認証／タイマ設定部２０１の動作については、後述する。なお、タイマロック用の鍵Ｃを秘密情報へのアクセス制限に用いている鍵Ａに代用させることも可能であるが、本例では、情報の分散という意味で分けて記述している。鍵Ｃを鍵Ａで代用した場合は、鍵Ａの設定後に認証／タイマ設定部２０１内のロック用フラグをセットすることになり、鍵Ａを知っていれば、秘密情報へのアクセスとタイマ値の再設定が可能となる。
【００３３】
（３．鍵Ａの設定）
また、運搬管理責任者１２は、図９に示すように鍵ＡをＳＲＡＭ２０６に設定する。鍵Ａは、設定先の暗号装置ごとに異なるため、運搬管理責任者１２は、図１０に示すように暗号装置ごとの鍵Ａを管理する必要がある。また、ＳＲＡＭ２０６に設定する鍵Ａは、秘密情報運用者１１から通知された設定先暗号装置ＩＤと図１０の表より、運搬管理責任者１２が適切な鍵Ａを選択する。なお、鍵Ａによる秘密情報へのアクセス制限が有効となるのは、タイマロックの実施後となる。
【００３４】
（４．秘密情報の設定）
図１１は、秘密情報運用者１１から通知された秘密情報（鍵Ｂおよび鍵ｂで暗号化済み）を持ち出し用記憶媒体２００に設定する手順である。図に示した通り、運搬管理責任者１２は、持ち出し用記憶媒体２００のＳＲＡＭ２０６に秘密情報を設定（書き込み）する。なお以上の「１．情報保持時間の設定」〜「４．秘密情報の設定」の順序は一例であり、限定するものではない。
【００３５】
次に図１２を用いて、持ち出し用記憶媒体２００の認証／タイマ設定部２０１の動作を説明する。認証／タイマ設定部２０１は、運搬管理責任者１２がセットするロック用フラグを持つ。図１２に示すように、認証／タイマ設定部２０１は、アクセス要求があると（Ｓ１１）、ロック用フラグのＯＮ／ＯＦＦをチェックし（Ｓ１２）、ＯＦＦであればアクセスを許可し（Ｓ１３）、ＯＮであればアクセス要求の種類を判定する（Ｓ１４）。Ｓ１４において、ＳＲＡＭ２０６（秘密情報）へのアクセス要求と判定するとＳＲＡＭ２０６上の鍵Ａを参照し（Ｓ１５）、タイマ部２０２（情報保持時間）へのアクセス要求と判定するとＳＲＡＭ２０６上の鍵Ｃ（所定の第１鍵）を参照し（Ｓ１８）、アクセス要求の正当性をチェック（認証）した後、正当と判定すればＳＲＡＭ２０６（秘密情報）あるいはタイマ部２０２（情報保持時間）へのアクセスを許可する。すなわち、認証／タイマ設定部２０１は、ＳＲＡＭ２０６（秘密情報）へのアクセス要求であれば、このアクセス要求に含まれる鍵をＳＲＡＭ２０６に設定されている鍵Ａと比較し（Ｓ１５）、一致した場合にのみ秘密情報へのアクセスを認める（Ｓ１６）。また、認証／タイマ設定部２０１は、タイマ部２０２（情報保持時間）へのアクセス要求（設定時間アクセス要求）であれば、このアクセス要求に含まれる鍵（第２鍵）をＳＲＡＭ２０６に設定されている鍵Ｃ（第１鍵）と比較し（Ｓ１８）、一致した場合にのみタイマ部２０２（情報保持時間）へのアクセスを認める（Ｓ１９）。タイマ部２０２（情報保持時間）へのアクセスを認められると、情報保持時間の修正が可能となる。一方、ロック用フラグがセットされていない場合はＳＲＡＭ２０６（秘密情報）へのアクセス、タイマ部２０２（情報保持時間）へのアクセスは可能であるが（Ｓ１３）、この場合、タイマ部２０２がタイムアウトしているため、後述するようにＳＲＡＭ２０６の情報は消去されている。
【００３６】
タイマ部２０２は、設定された情報保持時間が経過した時点で、スイッチ回路２０５に対して、ＳＲＡＭ２０６に対する電源供給をＯＦＦする指示を発行する。
【００３７】
タンパ検知回路２０３は、持ち出し用記憶媒体２００に対する物理的な不正アクセス（破壊、穴あけなどの物理的な攻撃）を検知し、スイッチ回路２０５に対して、ＳＲＡＭ２０６に対する電源供給をＯＦＦする指示を発行する。物理的な不正アクセス（攻撃）の検知方法については、光センサによるものなど、様々な手法が提案されているが、本実施の形態では、その方法の特定は行わない。
【００３８】
電源部２０４は、持ち出し用記憶媒体２００のＳＲＡＭ２０６をはじめとする内部構成要素に対して、電源（電力）を供給する。一般的には、電池などが用いられる。
【００３９】
スイッチ回路２０５は、ＳＲＡＭ２０６への電源供給を制御する回路であり、タイマ部２０２、タンパ検知回路２０３からの指示により、その供給を停止する。ＳＲＡＭ２０６への電源の再供給については、ＳＲＡＭ情報が消去される一定時間後、自動的に再供給する方法、外部スイッチによる再供給方法などが考えられるが、本実施の形態では、その方法の特定は行わない。
【００４０】
電源Ｂａｃｋｕｐ揮発メモリは、秘密情報、鍵Ａ、鍵Ｃを保持するためのメモリであり、電源供給を断たれると内容が消去されるＳＲＡＭ２０６を使用する。なお、本実施の形態１は、本発明の機能を説明する最低限の情報として、秘密情報、鍵Ａ、鍵ＣをＳＲＡＭ２０６に記憶しているが、それ以外の情報を記憶することも可能である。
【００４１】
運搬人は、運搬管理責任者１２から持ち出し用記憶媒体２００を受け取り、設定期日を通知された後、その運搬経路を独自に設定し、暗号装置３００まで持ち出し用記憶媒体２００を運搬する。
【００４２】
暗号装置３００は、持ち出し用記憶媒体２００から、図１２のフローに従って鍵Ａを用いて暗号化された秘密情報を読み出し、鍵Ｂを用いて、それを復号することにより、秘密情報を得る。
【００４３】
以上のような、システムを用いて秘密情報を運搬することにより、運搬中の秘密情報を得るためには、運搬経路（運搬人の責任）、鍵Ａ（運搬管理責任者１２の責任）の特定が必要となり、責任者の異なる２つの情報が必要となる。
【００４４】
また、運搬経路を特定し、持ち出し用記憶媒体２００を奪ったとしても、鍵Ａの特定が必要となり、これを特定するためには、タンパ検知回路２０３の迂回が必要となる（鍵Ａに公開鍵が用いられていた場合は、仮にタンパ検知回路２０３を迂回しても、アクセスは出来ない）。タンパ検知回路２０３の迂回のためには、その解析時間が必要となるが、その時間を得るためには、鍵Ｃ（運搬管理責任者１２の責任）が必要となる。
【００４５】
さらに、持ち出し用記憶媒体２００から秘密情報を読み取ったとしても、その情報を復号するためには、革新的な暗号解読方法や革新的な支援機材が開発されていない限り、鍵Ｂ（秘密情報運用者１１の責任）の特定が必要となる。
【００４６】
このように、独立した責任者（本実施の形態の場合は３名）が必ず介在するシステムと、定められた時間が経過すると記憶情報を消去する持ち出し用記憶媒体２００の連携によって、前述した高度な秘密情報運搬の要件を満たすことが可能となる。
【００４７】
以上に説明した持ち出し用記憶媒体２００は、装置として説明したが、以下のようなプログラムとしても把握可能である。すなわち、持ち運び可能であるとともに、電力の供給源となる電源部と、前記電源部から電力供給を受けている場合には既に記憶している所定の第１鍵と所定のデータとの記憶状態を維持し、前記電源部からの電力供給が途絶えると前記第１鍵と前記データとが揮発する揮発性記憶部とを備えたコンピュータである携帯型記憶装置に、
（１）時間を計測するとともに予め設定された設定時間になると前記揮発性記憶部への前記電源部からの電力供給を遮断する処理、
（２）前記第１鍵と照合される第２鍵を含み且つ前記設定時間へのアクセスを要求する設定時間アクセス要求を受け付け、前記揮発性記憶部の情報が揮発していない場合には前記第１鍵を前記第２鍵と比較し、比較の結果、前記第１鍵と前記第２鍵とが一致すると、前記設定時間へのアクセスを許可する処理
を実行させることを特徴とする設定時間アクセスプログラム
としても把握可能である。
【００４８】
以上説明した実施の形態１のシステムは、
（ａ）運搬管理責任者１２のみが利用可能な持ち出しシステムと連動して、情報保持時間を設定し、
（ｂ）持ち出し媒体の中の秘密情報に対して耐タンパ機能を持たせることにより、高度な機密情報の運搬を可能とするものである。
（ｃ）また、機密情報を記憶するメモリに、専用のコントローラを不要とするために、電源カットのみで情報の消去が可能なＳＲＡＭを採用することにより、実現性を高めたものである。
【図面の簡単な説明】
【００４９】
【図１】実施の形態１における持ち出し用記憶媒体２００のハードウェア構成の一例。
【図２】実施の形態１におけるシステム構成図。
【図３】実施の形態１における鍵の種類を説明する図。
【図４】実施の形態１における持ち出し管理ソフトウェア実行装置１００の動作概要。
【図５】実施の形態１における秘密情報運用者１１の作業。
【図６】実施の形態１における秘密鍵Ｂの管理対応表。
【図７】実施の形態１における情報保持時間の設定を示す図。
【図８】実施の形態１におけるタイマのロックを示す図。
【図９】実施の形態１における鍵Ａの設定を示す図。
【図１０】実施の形態１における秘密鍵Ａの管理対応表。
【図１１】実施の形態１における秘密情報の設定を示す図。
【図１２】実施の形態１における認証／タイマ設定部２０１のアクセス要求への応答フローを示す図。
【符号の説明】
【００５０】
１１  秘密情報運用者、１２  運搬管理責任者、１３  運搬人、２１  秘密情報、２２  設定期日、２３  暗号装置ＩＤ、１００  持ち出し管理ソフトウェア実行装置、１１０  認証／タイマデータ作成部、１２０  持ち出し情報管理部、２００  持ち出し用記憶媒体、２０１  認証／タイマ設定部、２０２  タイマ部、２０３  タンパ検知回路、２０４  電源部、２０５  スイッチ回路、２０６  ＳＲＡＭ、３００  暗号装置、８１０  ＣＰＵ、８２０  フラッシュメモリ、８２１  ＯＳ、８２２  プログラム群、８２３  ファイル群。
【図１】
2009282797.tif 000003
【図２】
2009282797.tif 000004
【図３】
2009282797.tif 000005
【図４】
2009282797.tif 000006
【図５】
2009282797.tif 000007
【図６】
2009282797.tif 000008
【図７】
2009282797.tif 000009
【図８】
2009282797.tif 000010
【図９】
2009282797.tif 000011
【図１０】
2009282797.tif 000012
【図１１】
2009282797.tif 000013
【図１２】
2009282797.tif 000014