JP4946834B2 - データ管理装置、データ管理方法、コンピュータプログラム、およびリムーバブルタイプの記憶装置 - Google Patents

Description

本発明は、データを管理する装置および方法などに関する。

従来、パーソナルコンピュータが盗難に遭ったりユーザによって置き忘れられたりすることにより、そのパーソナルコンピュータに記憶されているデータが漏洩してしまうことが、問題視されている。

また、近年、ＵＳＢメモリのような、大容量のリムーバブルメディアが普及している。このようなリムーバブルメディアが盗難に遭ったり置き忘れられたりすることによりデータが漏洩してしまうことも、問題視されている。

パーソナルコンピュータおよびリムーバブルメディアには、個人情報、顧客情報、および営業上の機密情報などがデータとして記憶されることがある。これらのデータが漏洩することは、その所有者であるユーザ本人が損害を被るだけでなく、そのユーザの雇用主および顧客にまで損害を与えてしまうおそれがある。

他人がパーソナルコンピュータを使用しようとしたときに、そのパーソナルコンピュータに記憶されているデータを削除することによってデータの漏洩を防ぐ方法が、開示されている。

例えば、特許文献１に開示される方法によると、パーソナルコンピュータが起動する際にユーザにパスワードを入力させ、入力されたパスワードが正しくない場合は、ハードディスクの内容を破壊する。

特許文献２に開示される方法によると、情報処理装置に対する取り付け及び取り外しを検出する手段と、取り外しが検出された場合に計時開始する計時手段とを、用意する。取り付けが検出された場合には、計時手段を一時停止させるとともに、予め情報処理装置に格納されている識別符号を読み出してこれが正しい識別符号と一致するか否かを判定する。識別符号が一致しないと判定された場合には、計時動作の続きを開始させる。計時手段による所定時間の計時動作が満了することをトリガとして消去指示を発して、消去手段によりメモリ部の記憶内容を消去させる。

そのほか、特許文献３には、ファイルの消去を優先順位に基づいて行う方法が開示されている。特許文献３に開示される方法によると、ファイル書込要求に対して、ファイル記憶装置に十分な空き容量がなかった場合、ファイル削除処理部は、ファイルランクが所定のランクより低いファイルであり、かつ、使用中でないファイルを自動的に消去することにより、空き容量を確保する。

また、特許文献４には、次回の電源オン時にパスワードの入力を要求するか否かを切り換える方法が開示されている。特許文献４に開示される方法によると、ＣＰＵは、電源をオフする際に、特殊キー操作が合わせて行われた場合には、その特殊キー情報をＲＡＭに記録保持しておく。ＣＰＵは、電源オン時において、特殊キー情報が記録されていない場合には、通常の電源オン処理を実行させ、特殊キー情報が記録されている場合には、パスワード入力を受け付けてユーザ認証処理を行った後、パスワードの一致を条件として、通常の電源オン処理を実行させる。
特開平１１−２５９３６９号公報 特開２００６−１９５７１９号公報 特開２００４−２４０７７９号公報 特開２００２−３２３９３９号公報

特許文献１に開示される方法によると、そのパーソナルコンピュータの本来のユーザが誤操作などによって正しくないパスワードを入力してしまった場合であっても、ハードディスクの内容が破壊されてしまう。

しかし、決められた操作を厳格に行わせることは、ユーザに過度のプレッシャを掛けしてしまう。

本発明は、このような点に鑑み、本来のユーザによる誤操作を考慮しつつ、パーソナルコンピュータまたはリムーバブルメディアに記憶されているデータの漏洩を防止することを、目的とする。

本発明の一実施形態に係るデータ管理装置は、データを記憶する不揮発性の記憶媒体と、前記データを一時的に退避させておくための退避データ記憶手段と、当該データ管理装置が起動中であることを示す画面を表示する画面表示手段と、前記画面が前記画面表示手段によって表示されている間に、当該データ管理装置のユーザによって行われる操作であるユーザ操作を認識するユーザ操作認識手段と、前記ユーザ操作認識手段によって認識された前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する一致判定手段と、前記ユーザ操作と前記所定操作とが一致することが前記一致判定手段によって判定できなかった場合に、前記記憶媒体から前記データを削除する、データ削除手段と、前記記憶媒体から削除される前記データを前記退避データ記憶手段に退避させるデータ退避処理手段と、を有する。

好ましくは、前記データが前記記憶媒体から削除され前記退避データ記憶手段に退避された後に、前記ユーザ操作認識手段によって前記ユーザ操作が認識され前記一致判定手段によって当該ユーザ操作と前記所定操作とが一致すると判定された場合に、当該データを前記退避データ記憶手段から前記記憶媒体に復元する、データ復元手段、を有する。

または、前記記憶媒体には、複数の前記データが記憶されており、前記データ退避処理手段は、予め決められた優先順位の順に前記データを前記退避データ記憶手段に退避させる。

または、前記退避データ記憶手段に退避されている前記データを所定の時間が経過した後に削除する、第二のデータ削除手段、を有する。

本発明の一実施形態に係るリムーバブルタイプの記憶装置は、データを記憶する不揮発性のデータ記憶媒体と、コンピュータプログラムを記憶する不揮発性のコンピュータプログラム記憶媒体と、前記データ記憶媒体を制御するデータ記憶媒体制御手段と、外部の装置に接続するためのインタフェースと、前記外部の装置との通信を制御する通信制御手段と、を備えたリムーバブルタイプの記憶装置であって、前記コンピュータプログラム記憶媒体には、前記外部の装置に、当該記憶装置が当該外部の装置に装着されたことを示す画面を表示する処理を実行させ、前記画面が表示されている間にユーザによって行われる操作であるユーザ操作を認識する処理を実行させ、認識した前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する処理を実行させ、前記ユーザ操作と前記所定操作とが一致すると判定できなかった場合に、前記データ記憶媒体から前記データを削除する指令を当該リムーバブルタイプの記憶装置に対して送信する処理を実行させ、前記データ記憶媒体から削除される前記データを当該リムーバブルタイプの記憶装置から受信する処理を実行させ、受信した前記データをＲＡＭに退避させる処理を実行させる、外部装置制御プログラムが記憶されており、前記通信制御手段は、前記指令に係る前記データを前記外部の装置に送信し、前記データ記憶媒体制御手段は、前記外部の装置からの前記指令に基づいて前記データを前記データ記憶媒体から削除させる。

本発明によると、本来のユーザによる誤操作を考慮しつつ、パーソナルコンピュータまたはリムーバブルメディアに記憶されているデータの漏洩を防止することができる。

〔第一の実施形態〕
図１はパーソナルコンピュータ２およびＵＳＢメモリ３の全体的な構成の例を示す図、図２はパーソナルコンピュータ２のハードウェア構成の例を示す図、図３はパーソナルコンピュータ２の機能的構成の例を示す図、図４は優先順位テーブルＴＬ１の例を示す図である。

パーソナルコンピュータ２は、図１に示すような、モバイルタイプのパーソナルコンピュータ（いわゆるノートパソコン）である。

パーソナルコンピュータ２は、図２に示すように、ＣＰＵ２０ａ、ＲＡＭ２０ｂ、ＲＯＭ２０ｃ、ハードディスク２０ｄ、ＵＳＢ（Universal Serial Bus）インタフェース２０ｅ、液晶ディスプレイ２０ｆ、キーボード２０ｇ、およびポインティングデバイス２０ｈなどによって構成される。

このように、パーソナルコンピュータ２のハードウェア構成は、従来のパーソナルコンピュータのハードウェア構成と同様である。ただし、パーソナルコンピュータ２のＲＯＭ２０ｃまたはハードディスク２０ｄには、パーソナルコンピュータ２の盗難時または紛失時にハードディスク２０ｄに保存されているデータが漏洩しないようにするためのセキュリティプログラムＰＲがインストールされている。

セキュリティプログラムＰＲを実行することによって、パーソナルコンピュータ２には、図３に示すような操作認識部２０１、操作正当性判定部２０２、ファイル退避処理部２０３、第一のファイル削除部２０４、ファイル復元処理部２０５、第二のファイル削除部２０６、秘密操作データ記憶部２Ｋ１、および優先順位テーブル記憶部２Ｋ２などの機能が実現される。

セキュリティプログラムＰＲは、パーソナルコンピュータ２の電源がオンになりＯＳの起動が開始してからユーザによるデスクトップの操作が可能になるまでの間に、ＲＡＭ２０ｂにロードされ実行される。

セキュリティプログラムＰＲ以外のプログラムも、必要に応じてＲＡＭ２０ｂにロードされる。そして、ＣＰＵ２０ａによって実行される。そのほか、ハードディスク２０ｄには、種々のデータがファイルの形態で保存されてきる。なお、ＲＡＭ２０ｂは揮発性のメモリなので、パーソナルコンピュータ２電源がオフになると、保存されていたデータは消去されてしまう。

ＵＳＢインタフェース２０ｅは、プリンタ、デジタルカメラ、およびマウスなどのＵＳＢデバイスをパーソナルコンピュータ２に装着（接続）するためのインタフェースである。さらに、図１に示すように、ＵＳＢメモリ３を装着することもできる。

キーボード２０ｇおよびポインティングデバイス２０ｈは、ユーザがパーソナルコンピュータ２に対してコマンドおよびデータなどを入力するために用いられる。さらに、後述する、このパーソナルコンピュータ２の正規のユーザのみが知っている所定の秘密の操作（以下、「秘密操作」と記載する。）を行うためにも用いられる。

液晶ディスプレイ２０ｆは、デスクトップ画面、ウィンドウ、およびなどダイアログボックスなどを表示する。さらに、秘密操作を行うタイミングを知らせるための画面（以下、「秘密操作画面」と記載する。）を表示する。

ユーザは、パーソナルコンピュータ２の起動時に、秘密操作を行わなければならない。さもなければ、ハードディスク２０ｄに保存されているファイル（データ）が、図３に示す各部の機能によって自動的に削除されてしまう。以下、図３に示す各部について説明する。

図３において、秘密操作データ記憶部２Ｋ１は、上述の秘密操作の内容を示す秘密操作データＤＴ１を記憶する。

どのような操作を秘密操作とするのかは、正規のユーザが予め決めておく。そして、それを示すデータを秘密操作データＤＴ１として秘密操作データ記憶部２Ｋ１に記憶させておく。例えば、正規のユーザが「キーボード２０ｇの「Ａ」、「Ｂ」、「Ｃ」、および「Ｄ」の４つのキーを同時に押す」という操作を秘密操作に決めたとする。正規のユーザは、所定のコマンドを入力することによって秘密操作の設定用の画面を液晶ディスプレイ２０ｆに表示させる。ここで、正規のユーザは、決めた操作つまり「Ａ」、「Ｂ」、「Ｃ」、および「Ｄ」の４つのキーを同時に押す操作を行う。すると、秘密操作データ記憶部２Ｋ１は、この操作の内容を示す秘密操作データＤＴ１を生成し記憶する。

優先順位テーブル記憶部２Ｋ２は、ハードディスク２０ｄに記憶されているファイルを削除する優先順位を示す優先順位テーブルＴＬ１を記憶する。

優先順位テーブルＴＬ１には、図４のように、ハードディスク２０ｄに保存（記憶）されている一部または全部のファイルのパスが示されている。ファイル退避処理部２０３および第一のファイル削除部２０４は、この優先順位テーブルＴＬ１の上位に示されるファイルから順に、後述する退避および削除の処理を行う。

正規のユーザは、優先順位の登録用の画面を液晶ディスプレイ２０ｆに表示させ、ファイルの優先順位をそのファイルのパスとともに入力する。すると、優先順位テーブル記憶部２Ｋ２は、入力された内容に従って優先順位テーブルＴＬ１を更新する。

操作認識部２０１は、パーソナルコンピュータ２が起動する際（起動時）における所定の期間にユーザがキーボード２０ｇまたはポインティングデバイス２０ｈに対して行った操作を認識する。

操作正当性判定部２０２は、操作認識部２０１によって認識された操作が正当なものであるか否かを判定する。

第一のファイル削除部２０４は、ユーザが行った操作が正当でないと操作正当性判定部２０２によって判断された場合に、ハードディスク２０ｄに保存されているファイルを削除する処理を行う。

ファイル退避処理部２０３は、第一のファイル削除部２０４による削除の対象となるファイルを、優先順位テーブルＴＬ１（図４参照）に示される優先順位の高い順に、ＲＡＭ２０ｂに退避させる処理を行う。

ファイル復元処理部２０５は、ＲＡＭ２０ｂに退避されているファイルをハードディスク２０ｄに復元する処理を行う。

第二のファイル削除部２０６は、ＲＡＭ２０ｂに退避されているファイルをＲＡＭ２０ｂから削除する処理を行う。

図５はパーソナルコンピュータ２の全体的な処理の流れの例を説明するフローチャート、図６はファイル退避削除処理の流れの例を説明するフローチャート、図７は起動画面ＨＧ１および秘密操作画面ＨＧ２、ＨＧ３の例を示す図である。

次に、図５および図６のフローチャートを参照しながら、図３の各部の処理内容をさらに詳細に説明する。

パーソナルコンピュータ２の電源がオンになりＯＳが起動し始めてしばらくすると（図５の＃１１、＃１２）、セキュリティプログラムＰＲが起動する（＃１３）。

すると、操作認識部２０１は、所定のタイミング、例えば、ＯＳを起動中であることを示す図７（ａ）のような起動画面ＨＧ１が液晶ディスプレイ２０ｆに表示されてから所定の時間が経過したタイミングで、図７（ｂ）のような秘密操作画面ＨＧ２を液晶ディスプレイ２０ｆに所定の時間Ｔｍだけ表示させる（＃１４）。以下、液晶ディスプレイ２０ｆに秘密操作画面ＨＧ２を表示している期間を「第一の期間Ｔａ」と記載する。

操作認識部２０１は、第一の期間Ｔａにキーボード２０ｇまたはポインティングデバイス２０ｈに対して行われた操作つまりどのキーまたはボタンが押されたのかを認識する（＃１５、＃１６）。

なお、秘密操作画面ＨＧ２は、誰が見ても秘密操作を行うべきタイミングであることに気付くようなものではなく、正規のユーザのみがそれに気付くようなものが好ましい。例えば、図７（ｂ）の秘密操作画面ＨＧ２は、起動画面ＨＧ１と同一ではないが類似しており、かつ、ＯＳの起動の処理がもう少しだけ継続する旨のメッセージが含まれる。よって、予め両画面の違いを正規のユーザだけに知らせておけば、正規のユーザだけに対して秘密操作のタイミングに気付かせ、それ以外の者に対しては気付かせないようにすることができる。または、秘密操作画面ＨＧ２として、起動画面ＨＧ１の背景色だけを変更した画面または起動画面ＨＧ１にロゴマークを１つ追加しただけの画面などを用いてもよい。

同様に秘密操作画面ＨＧ３も、データの削除が行われていることを正規のユーザのみが気付くものであることが望ましい。

第一の期間Ｔａが終了するまでに操作認識部２０１によって操作が認識された場合は（＃１５でＮｏ、＃１６でＹｅｓ）、操作正当性判定部２０２は、この認識された操作が正当であるか否かを、この認識された操作と秘密操作データ記憶部２Ｋ１に記憶されている秘密操作データＤＴ１に示される秘密操作とを照合することによって判定する（＃１７）。すなわち、両者が一致すれば正当であると判定し、一致しなければ正当でないと判定する。

第一の期間Ｔａが終了するまでに、正当であると操作正当性判定部２０２によって判定された場合、つまり、登録されている（秘密操作データＤＴ１に示される）通りに正しく秘密操作が行われた場合は（＃１８でＹｅｓ）、パーソナルコンピュータ２は、秘密操作画面ＨＧ２をクリアし（＃１９）、次に説明するファイルの削除および退避の処理を行うことなく、従来通り、ログインのための画面またはデスクトップを表示する（＃２０）。

一方、第一の期間Ｔａが終了するまでに、正当であると操作正当性判定部２０２によって判定されなかった場合、つまり、登録されている通りの秘密操作が行われなかった場合は（＃１５でＹｅｓ）、ファイル退避処理部２０３および第一のファイル削除部２０４は、秘密操作画面ＨＧ２をクリアして別の秘密操作画面ＨＧ３を表示させ（＃２１）、ハードディスク２０ｄに保存されているファイルを、ハードディスク２０ｄからＲＡＭ２０ｂに退避させる処理、または、退避させることなくハードディスク２０ｄから削除する処理を行う（＃２３）。秘密操作画面ＨＧ３の表示は、データの削除が完了するまで継続する。

また、第一の期間Ｔａが終了した後、ファイル退避処理部２０３および第一のファイル削除部２０４によるファイルの退避および削除の処理と並行して、操作認識部２０１は所定の時間Ｔｎが経過するまでの間にキーボード２０ｇまたはポインティングデバイス２０ｈに対して行われた操作を認識し、操作正当性判定部２０２は上述の方法と同様の方法でその操作の正当性を判定する（＃２２）。以下、第一の期間Ｔａが終了した時点から所定の時間Ｔｎが経過するまでの期間を「第二の期間Ｔｂ」と記載する。

第二の期間Ｔｂが経過するまでに、キーボード２０ｇなどに対してなされた操作が正当であることが操作正当性判定部２０２によって判定された場合は、後述するように、ファイルの退避および削除の処理がその時点で中止されるとともに、その時点までに既にＲＡＭ２０ｂに退避されたファイルをハードディスク２０ｄに戻す（復元する、回復する）処理がファイル復元処理部２０５によって行われる。ハードディスク２０ｄに戻されたファイルは、第二のファイル削除部２０６によってＲＡＭ２０ｂから削除される。

ここで、ファイルの削除および退避の処理の手順を、図６のフローチャートを参照しながら詳細に説明する。

ファイル退避処理部２０３は、優先順位テーブルＴＬ１に示される優先順位が１番目のファイルのサイズＳ１およびＲＡＭ２０ｂの未使用の領域のサイズＳ２（いわゆる空き容量）を確認する（＃１０２）。

サイズＳ１がサイズＳ２以下である場合は（＃１０３でＹｅｓ）、ファイル退避処理部２０３は、そのファイルをＲＡＭ２０ｂに退避（移動）させ、第一のファイル削除部２０４は、そのファイルをハードディスク２０ｄから削除する（＃１０４）。

なお、「ＲＡＭ２０ｂの未使用の領域のサイズ」には、ＯＳが今後行わなければならない最低限の処理（例えば、ユーザ認証の処理またはパーソナルコンピュータ２のシャットダウンの処理など）のために必要な分を含めないようにするのが望ましい。

一方、サイズＳ１がサイズＳ２を上回る場合は（＃１０３でＮｏ）、そのファイルのＲＡＭ２０ｂへの退避を行うことなく、第一のファイル削除部２０４は、そのファイルをハードディスク２０ｄから削除する（＃１０５）。

優先順位テーブルＴＬ１に示される優先順位が２番目以降のファイルについても、ファイル退避処理部２０３および第一のファイル削除部２０４は、順次、１番目のファイルに対する処理と同様の処理を行う。すなわち、ファイルのサイズが未使用の領域のサイズ以下であれば（＃１０３でＹｅｓ）、ファイル退避処理部２０３はそれをＲＡＭ２０ｂに退避し第一のファイル削除部２０４はそれをハードディスク２０ｄから削除する（＃１０４）。ファイルのサイズが未使用の領域のサイズを上回っていれば（＃１０３でＮｏ）、退避することなくそのファイルをハードディスク２０ｄから削除する（＃１０５）。

優先順位テーブルＴＬ１に示されるファイルの退避および削除の処理を行っている間に、操作正当性判定部２０２によって正しい秘密操作が行われたことが判定された場合は（＃１０８でＹｅｓ）、ファイル退避処理部２０３および第一のファイル削除部２０４は退避および削除の処理を中止し、ファイル復元処理部２０５は、ＲＡＭ２０ｂに退避しているファイルをすべて、ハードディスク２０ｄの元のフォルダに戻す（＃１１１）。

優先順位テーブルＴＬ１に示されるファイルに対する処理が終わると（＃１０６でＹｅｓ）、第一のファイル削除部２０４は、ハードディスク２０ｄに保存されているが優先順位テーブルＴＬ１には示されていないファイルを、ＲＡＭ２０ｂに退避することなく削除する（＃１０９）。

なお、ハードディスク２０ｄに保存されているすべてのファイルを削除する必要はない。例えば、ＯＳ、セキュリティプログラムＰＲ、およびその他のプログラムのファイルは、削除せずにハードディスク２０ｄに残しておいてもよい。または、削除する対象のファイルを予めユーザに指定させておき、それらのファイルについてのみ、削除してもよい。

優先順位テーブルＴＬ１に示されていないファイルを次々に削除している途中にも、操作正当性判定部２０２によって正しい秘密操作が行われたことが判定されることがある。この場合は（＃１１０でＹｅｓ）、第一のファイル削除部２０４は削除の処理を中止し、ファイル復元処理部２０５は、ＲＡＭ２０ｂに退避しているファイルをすべて、ハードディスク２０ｄの元のフォルダに戻す（＃１１１）。

図５に戻って、ステップ＃２３の処理が終了しまたはこの処理を途中で中止したら、ログインのための画面またはデスクトップがＯＳによって液晶ディスプレイ２０ｆに表示される（＃２４）。

ステップ＃２３の処理の際に退避のファイルの復元が行われなかった場合は（＃２５でＮｏ）、その後も、第二の期間Ｔｂが経過するまで、操作認識部２０１はユーザによる操作を待つ。そして、操作認識部２０１によって操作が認識され、それが正当であると操作正当性判定部２０２によって判定されたら（＃２７でＹｅｓ）、ファイル復元処理部２０５は、ＲＡＭ２０ｂに退避されているファイルをハードディスク２０ｄに戻す（＃２８）。

正しい秘密操作が行われることなく第二の期間Ｔｂが終了したら（＃２６でＹｅｓ）、第二のファイル削除部２０６は、ＲＡＭ２０ｂに退避されているファイルを、ハードディスク２０ｄに戻すことなくＲＡＭ２０ｂから削除する（＃２９）。

なお、図６には示していないが、ファイル退避処理部２０３によるファイルの退避の処理が続いている間に第二の期間Ｔｂが終了した場合は、ファイル退避処理部２０３は退避の処理を中止し、第二のファイル削除部２０６は既にＲＡＭ２０ｂに退避されたファイルを削除する。

第一の実施形態によると、他人がパーソナルコンピュータ２を起動させたときに、ハードディスク２０ｄに保存（記憶）されているファイルを削除することができる。また、パーソナルコンピュータ２の本来のユーザが起動させたときは、秘密操作によって、ファイルを削除するのを回避することができる。また、万が一、秘密操作を忘れたり誤ったとしても、所定の期間内であれば、一部または全部のファイルを回復することができる。

〔第二の実施形態〕
図８はＵＳＢメモリ３の構成の例を示す図、図９は第二の実施形態におけるパーソナルコンピュータ２の機能的構成の例を示す図である。

第一の実施形態では、ハードディスク２０ｄに保存されているファイルの削除、退避、および復元の処理を行った。第二の実施形態は、ＵＳＢメモリ３に保存されているファイルの削除、退避、および復元の処理を行う。

第二の実施形態におけるパーソナルコンピュータ２のハードウェア構成は、第一の実施形態の場合と同様であり、図２に示した通りである。

ＵＳＢメモリ３は、図８に示すように、ＵＳＢコネクタ３１、ＵＳＢコントローラ３３、およびフラッシュメモリチップ３２などによって構成される。

ＵＳＢコネクタ３１は、パーソナルコンピュータ２のＵＳＢインタフェース２０ｅのＵＳＢポートとの連結部となるコネクタである。

フラッシュメモリチップ３２は、電気的に内容の書換えが可能な不揮発性のメモリデバイスである。

ＵＳＢコントローラ３３は、マイクロプロセッサ、ＲＡＭ、およびＥＥＰＲＯＭ（Electrically Erasable and Programmable ROM）などによって構成される。

ＵＳＢコントローラ３３のＥＥＰＲＯＭには、通信制御部３０１およびメモリ制御部３０２の機能を実現するためのプログラムが記憶されている。さらに、パーソナルコンピュータ２に提供するためのセキュリティプログラムＰＳ、秘密操作データＤＴ２、および優先順位テーブルＴＬ２が記憶されている。

優先順位テーブルＴＬ２のフォーマットは、図４に示した第一の実施形態の優先順位テーブルＴＬ１のフォーマットと同様である。

ただし、優先順位テーブルＴＬ２には、ＵＳＢメモリ３に保存されているファイルの優先順位が示されている。また、ＯＳがＷｉｎｄｏｗｓ（登録商標）である場合は、ＵＳＢメモリ３に保存されているファイルのパスの先頭に記されるドライブ名が、装着先のコンピュータによって変化し得る。そこで、この場合は、便宜的なドライブ名を付けておけばよい。このドライブ名は、後述するように、ＵＳＢメモリ３に割り当てたドライブ名に読み替えられる。

秘密操作データＤＴ２は、ＵＳＢメモリ３の所有者のみが知っている秘密操作が示されている。優先順位テーブルＴＬ２および秘密操作データＤＴ２の内容も、優先順位テーブルＴＬ１および秘密操作データＤＴ１の場合と同様に、ＵＳＢメモリ３の所有者が予め決めておき、ＵＳＢメモリ３に登録させておく。セキュリティプログラムＰＳについては、後に説明する。

通信制御部３０１は、ＵＳＢメモリ３自身が装着されているパーソナルコンピュータ２との通信を制御する。

メモリ制御部３０２は、フラッシュメモリチップ３２にファイルを書き込んだり、フラッシュメモリチップ３２に保存されているファイルを読み出し、更新し、または削除したりするなど、フラッシュメモリチップ３２の制御を行う。

例えば、パーソナルコンピュータ２から特定のファイルの要求の信号を通信制御部３０１が受信すると、メモリ制御部３０２は、そのファイルをフラッシュメモリチップ３２から読み出す。そして、通信制御部３０１は、そのファイルをパーソナルコンピュータ２に送信する。または、新たな保存対象のファイルを通信制御部３０１がパーソナルコンピュータ２から受信すると、メモリ制御部３０２は、そのファイルをフラッシュメモリチップ３２に書き込む。

ただし、メモリ制御部３０２は、ユーザが正しく秘密操作を行った際にパーソナルコンピュータ２から発信される許可信号ＳＧが受信された後でなければ、フラッシュメモリチップ３２へのファイルの書込みおよびフラッシュメモリチップ３２に保存されているファイルへのアクセスは、セキュリティプログラムＰＳによるファイルの退避および削除を目的とする場合を除き、行わない。これについては、後に詳細に説明する。

さらに、通信制御部３０１は、そのＵＳＢメモリ３自身がパーソナルコンピュータ２に装着された際に、セキュリティプログラムＰＳをパーソナルコンピュータ２に送信する。

パーソナルコンピュータ２は、ＵＳＢメモリ３からセキュリティプログラムＰＳを受信すると、これをＲＡＭ２０ｂに格納し実行する。これにより、パーソナルコンピュータ２には、図９に示すような操作認識部２１１、操作正当性判定部２１２、ファイル退避処理部２１３、第一のファイル削除部２１４、ファイル復元処理部２１５、第二のファイル削除部２１６、許可信号送信部２１７、およびテーブル等受信部２１８などの機能が実現される。

第一の実施形態では、優先順位テーブルＴＬ１および秘密操作データＤＴ１をそれぞれ予め秘密操作データ記憶部２Ｋ１および優先順位テーブル記憶部２Ｋ２に記憶させておいたが、第二の実施形態では、そのパーソナルコンピュータ２にＵＳＢメモリ３が装着されるごとに、テーブル等受信部２１８がそのＵＳＢメモリ３から優先順位テーブルＴＬ２および秘密操作データＤＴ２を受信（取得）する。

操作認識部２１１ないし第二のファイル削除部２１６は、第一の実施形態の操作認識部２０１ないし第二のファイル削除部２１６（図３参照）と基本的に同様の処理を行う。ただし、表示する画面、制御対象のハードウェア、および処理のタイミングなどに相違点がある。

以下、これらの相違点を中心に、パーソナルコンピュータ２の各部およびＵＳＢメモリ３の各部の処理の内容などを、フローチャートを参照しながら説明する。第一の実施形態と共通する点は、説明を省略する。

図１０は第二の実施形態におけるパーソナルコンピュータ２の全体的な処理の流れの例を説明するフローチャート、図１１は装着通知画面ＨＧ４および秘密操作画面ＨＧ５、ＨＧ６の例を示す図である。

パーソナルコンピュータ２は、既にＯＳの起動を完了している。パーソナルコンピュータ２は、ＵＳＢメモリ３が装着されると（図１０の＃６１）、ＵＳＢメモリ３からセキュリティプログラムＰＳ、優先順位テーブルＴＬ２、および秘密操作データＤＴ２を取得し（＃６２）、これらをＲＡＭ２０ｂに保存させるとともにセキュリティプログラムＰＳを実行する（＃６３）。

すると、操作認識部２１１は、所定のタイミング、例えば、ＵＳＢメモリ３が装着されたことを示す図１１（ａ）のような装着通知画面ＨＧ４が液晶ディスプレイ２０ｆに表示されてから所定の時間が経過したタイミングで、図１１（ｂ）のような秘密操作画面ＨＧ５を液晶ディスプレイ２０ｆに所定の時間Ｔｍ’だけ表示させる（＃６４）。以下、液晶ディスプレイ２０ｆに秘密操作画面ＨＧ５を表示している期間を「第一の期間Ｔａ’」と記載する。

なお、秘密操作画面ＨＧ５も、第一の実施形態の秘密操作画面ＨＧ２（図７（ｂ）参照）と同様に、誰が見ても秘密操作を行うべきタイミングであることに気付くようなものではなく、そのＵＳＢメモリ３の所有者のみがそれに気付くようなものが好ましい。

第一の期間Ｔａ’にキーボード２０ｇなどに対して行われた操作を操作認識部２１１が認識すると（＃６５でＮｏ、＃６６でＹｅｓ）、操作正当性判定部２１２は、認識された操作が正当であるか否かを、この認識された操作とＵＳＢメモリ３から取得された秘密操作データＤＴ２に示される秘密操作とを照合することによって判定する（＃６７）。すなわち、両者が一致すれば正当であると判定し、一致しなければ正当でないと判定する。

第一の期間Ｔａ’が終了するまでに、正当であると判定できた場合、つまり、正しく秘密操作が行われた場合は（＃６８でＹｅｓ）、許可信号送信部２１７は、ＵＳＢメモリ３に対して許可信号ＳＧを送信する（＃６９）。これにより、ＵＳＢメモリ３のフラッシュメモリチップ３２へのアクセスが可能になる。秘密操作画面ＨＧ５はクリアしておく（＃７０）。

一方、第一の期間Ｔａ’が終了するまでに、正当であると操作正当性判定部２１２によって判定されなかった場合、つまり、登録されている通りの秘密操作が行われなかった場合は（＃６５でＹｅｓ）、ファイル退避処理部２１３および第一のファイル削除部２１４は、秘密操作画面ＨＧ５をクリアし秘密操作画面ＨＧ６を表示させ（＃７１）、ＵＳＢメモリ３のフラッシュメモリチップ３２に保存されているファイルを、フラッシュメモリチップ３２からＲＡＭ２０ｂに退避させる処理、または、退避させることなくフラッシュメモリチップ３２から削除する処理を行う（＃７３）。

また、第一の期間Ｔａ’が終了した後、ファイル退避処理部２１３および第一のファイル削除部２１４によるファイルの退避および削除の処理と並行して、操作認識部２１１は所定の時間Ｔｎ’が経過するまでの間にキーボード２０ｇまたはポインティングデバイス２０ｈに対して行われた操作を認識し、操作正当性判定部２１２は上述の方法と同様の方法でその操作の正当性を判定する（＃７２）。以下、第一の期間Ｔａ’が終了した時点から所定の時間Ｔｎ’が経過するまでの期間を「第二の期間Ｔｂ’」と記載する。

ここで、ＵＳＢメモリ３のフラッシュメモリチップ３２に保存されているファイルの削除および退避の処理の手順は、第一の実施形態におけるハードディスク２０ｄに保存されているファイルの削除および退避の処理の手順と基本的に同様であり、図６のフローチャートの通りである。

ただし、ファイル退避処理部２１３および第一のファイル削除部２１４は、それぞれ、ファイルの退避の指令およびファイルの削除の指令を、ＵＳＢメモリ３に対して行う。メモリ制御部３０２は、それらの指令に従って、退避の対象のファイルをフラッシュメモリチップ３２から読み出してパーソナルコンピュータ２に転送しそれをフラッシュメモリチップ３２から削除し、または、退避させることなくフラッシュメモリチップ３２から削除する。ファイル退避処理部２１３は、ＵＳＢメモリ３から送信されてきたファイルをＲＡＭ２０ｂに退避させる。優先順位テーブルＴＬ２に示されるファイルのパスに含まれるドライブ名は、ＯＳがＵＳＢメモリ３に割り当てたドライブ名に読み替えられる。

また、ファイル復元処理部２１５は、ＲＡＭ２０ｂに退避されているファイルを復元の指令とともにＵＳＢメモリ３に送信する。メモリ制御部３０２は、そのファイルをフラッシュメモリチップ３２の中の元のフォルダに保存する。

図１０に戻って、ファイル退避処理部２１３および第一のファイル削除部２１４によるファイルの退避および削除の処理が終了しまたは中止されたら、許可信号送信部２１７は、許可信号ＳＧをＵＳＢメモリ３に送信する（＃７４）。これにより、ＵＳＢメモリ３のフラッシュメモリチップ３２へのアクセスが可能になる。ただし、ステップ＃７３の処理によってフラッシュメモリチップ３２に保存されていたファイルは削除されているので、フラッシュメモリチップ３２から重要なファイルが盗まれるおそれはない。

ステップ＃７３の処理の際に退避のファイルの復元が行われなかった場合は（＃７５でＮｏ）、その後も、第二の期間Ｔｂ’が経過するまで、操作認識部２１１はユーザによる操作を待つ。そして、操作認識部２１１によって操作が認識され、それが正当であると操作正当性判定部２１２によって判定されたら（＃７７でＹｅｓ）、ファイル復元処理部２１５は、ＲＡＭ２０ｂに退避されているファイルをＵＳＢメモリ３のフラッシュメモリチップ３２に戻す（＃７８）。

正しい秘密操作が行われることなく第二の期間Ｔｂ’が終了したら（＃７６でＹｅｓ）、第二のファイル削除部２１６は、ＲＡＭ２０ｂに退避されているファイルを、ＵＳＢメモリ３に戻すことなくＲＡＭ２０ｂから削除する（＃７９）。

第二の実施形態によると、他人がＵＳＢメモリ３をパーソナルコンピュータ２に装着して使用しようとしたときに、ＵＳＢメモリ３に保存（記憶）されているファイルを削除することができる。また、ＵＳＢメモリ３の本来の所有者が使用しようとしたときは、秘密操作によって、ファイルを削除するのを回避することができる。また、万が一、秘密操作を忘れたり誤ったとしても、所定の期間内であれば、一部または全部のファイルを回復することができる。

第一の実施形態では、ハードディスク２０ｄに保存されているデータを対象に退避および削除の処理を行ったが、他の方式の記憶媒体（例えば、フラッシュメモリ）がパーソナルコンピュータ２に内蔵されている場合は、当該他の方式の記憶媒体に保存されているデータも、退避および削除の処理の対象にすることができる。

第二の実施形態では、ＵＳＢメモリ３に保存されているデータを対象に退避および削除の処理を行ったが、他の種類のリムーバブルメディアに保存されているデータも、退避および削除の処理の対象にすることができる。

所定の時間Ｔｍ、Ｔｎ、Ｔｍ’、およびＴｎ’は、ユーザが任意に設定することができる。

また、第一の期間Ｔａ、Ｔａ’、および第二の期間Ｔｂ、Ｔｂ’も、ユーザが任意に設定することができる。例えば、パーソナルコンピュータ２を顧客先から会社に持って移動する際には、第一の期間Ｔａの始期を顧客先の出発時刻に設定し、第一の期間Ｔａの長さを移動に要する時間プラスアルファに設定し、第二の期間Ｔｂの長さをゼロに設定してもよい。このように設定しておけば、第一の期間Ｔａを出発時から進行させることができるので、万が一、移動中にパーソナルコンピュータ２を紛失しまたは盗まれてしまっても、ハードディスク２０ｄに保存されているファイルを第一の実施形態の場合よりも即座にかつ退避することなく削除することができる。もちろん、無事に会社に着けば、パーソナルコンピュータ２の電源を入れる際に秘密操作を行うことによって、データの削除を回避することができる。

ＲＡＭ２０ｂにファイルを退避する際に、秘密操作の内容を秘密鍵にしてファイルを暗号化してもよい。

その他、パーソナルコンピュータ２、ＵＳＢメモリ３の全体または各部の構成、処理内容、処理順序、テーブルの構成などは、本発明の趣旨に沿って適宜変更することができる。

上に述べた実施例には、以下に述べるような付記も開示されている。
（付記１）
記憶媒体に記憶されているデータを管理するデータ管理装置であって、
前記データを一時的に退避させておくための退避データ記憶手段と、
当該データ管理装置のユーザによって行われる操作であるユーザ操作を認識するユーザ操作認識手段と、
前記ユーザ操作認識手段によって認識された前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する一致判定手段と、
前記ユーザ操作と前記所定操作とが一致することが前記一致判定手段によって判定できなかった場合に、前記記憶媒体から前記データを削除する、データ削除手段と、
前記記憶媒体から削除される前記データを前記退避データ記憶手段に退避させるデータ退避処理手段と、
を有することを特徴とするデータ管理装置。
（付記２）
前記データが前記記憶媒体から削除され前記退避データ記憶手段に退避された後に、前記ユーザ操作認識手段によって前記ユーザ操作が認識され前記一致判定手段によって当該ユーザ操作と前記所定操作とが一致すると判定された場合に、当該データを前記退避データ記憶手段から前記記憶媒体に復元する、データ復元手段、を有する、
付記１記載のデータ管理装置。
（付記３）
前記記憶媒体には、複数の前記データが記憶されており、
前記データ退避処理手段は、予め決められた優先順位の順に前記データを前記退避データ記憶手段に退避させる、
付記１または付記２記載のデータ管理装置。
（付記４）
前記退避データ記憶手段に退避されている前記データを所定の時間が経過した後に削除する、第二のデータ削除手段、を有する、
付記１ないし付記３のいずれかに記載のデータ管理装置。
（付記５）
前記記憶媒体は、当該データ管理装置を構成するハードディスクであって、
前記ユーザ操作認識手段は、当該データ管理装置の起動時に前記ユーザ操作を認識する、
付記１ないし付記４のいずれかに記載のデータ管理装置。
（付記６）
当該データ管理装置が起動中であることを示す画面を表示する画面表示手段を、有し、
前記ユーザ操作認識手段は、前記画面が前記画面表示手段によって表示されている間に、前記ユーザ操作を認識する、
付記５記載のデータ管理装置。
（付記７）
前記記憶媒体は、当該データ管理装置に着脱可能なリムーバブルメディアであって、
前記ユーザ操作認識手段は、当該データ管理装置に前記記憶媒体が装着されたときに前記ユーザ操作を認識する、
付記１ないし付記４のいずれかに記載のデータ管理装置。
（付記８）
当該データ管理装置に前記記憶媒体が装着されたことを示す画面を表示する画面表示手段を、有し、
前記ユーザ操作認識手段は、前記画面が前記画面表示手段によって表示されている間に、前記ユーザ操作を認識する、
付記７記載のデータ管理装置。
（付記９）
記憶媒体に記憶されているデータを管理するデータ管理方法であって、
コンピュータに、
ユーザによって行われる操作であるユーザ操作を認識する処理を実行させ、
認識した前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する処理を実行させ、
前記ユーザ操作と前記所定操作とが一致すると判定できなかった場合に、前記記憶媒体から前記データを削除する処理を実行させ、
前記記憶媒体から削除される前記データを当該コンピュータのＲＡＭに退避させる処理を実行させる、
ことを特徴とするデータ管理方法。
（付記１０）
記憶媒体に記憶されているデータを管理するコンピュータに用いられるコンピュータプログラムであって、
前記コンピュータに、
ユーザによって行われる操作であるユーザ操作を認識する処理を実行させ、
認識した前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する処理を実行させ、
前記ユーザ操作と前記所定操作とが一致すると判定できなかった場合に、前記記憶媒体から前記データを削除する処理を実行させ、
前記記憶媒体から削除される前記データを当該コンピュータのＲＡＭに退避させる処理を実行させる、
ことを特徴とするコンピュータプログラム。
（付記１１）
データを記憶するデータ記憶媒体と、コンピュータプログラムを記憶するコンピュータプログラム記憶媒体と、前記データ記憶媒体を制御するデータ記憶媒体制御手段と、外部の装置に接続するためのインタフェースと、前記外部の装置との通信を制御する通信制御手段と、を備えたリムーバブルタイプの記憶装置であって、
前記コンピュータプログラム記憶媒体には、前記外部の装置に、ユーザによって行われる操作であるユーザ操作を認識する処理を実行させ、認識した前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する処理を実行させ、前記ユーザ操作と前記所定操作とが一致すると判定できなかった場合に、前記データ記憶媒体から前記データを削除する指令を当該リムーバブルタイプの記憶装置に対して送信する処理を実行させ、前記データ記憶媒体から削除される前記データを当該リムーバブルタイプの記憶装置から受信する処理を実行させ、受信した前記データをＲＡＭに退避させる処理を実行させる、外部装置制御プログラムが記憶されており、
前記通信制御手段は、前記指令に係る前記データを前記外部の装置に送信し、
前記データ記憶媒体制御手段は、前記外部の装置からの前記指令に基づいて前記データを前記データ記憶媒体から削除させる、
ことを特徴とするリムーバブルタイプの記憶装置。

パーソナルコンピュータおよびＵＳＢメモリの全体的な構成の例を示す図である。 パーソナルコンピュータのハードウェア構成の例を示す図である。 パーソナルコンピュータの機能的構成の例を示す図である。 優先順位テーブルの例を示す図である。 パーソナルコンピュータの全体的な処理の流れの例を説明するフローチャートである。 ファイル退避削除処理の流れの例を説明するフローチャートである。 起動画面および秘密操作画面の例を示す図である。 ＵＳＢメモリの構成の例を示す図である。 第二の実施形態におけるパーソナルコンピュータの機能的構成の例を示す図である。 第二の実施形態におけるパーソナルコンピュータの全体的な処理の流れの例を説明するフローチャートである。 装着通知画面ＨＧ４および秘密操作画面の例を示す図である。

符号の説明

２ パーソナルコンピュータ（データ管理装置、外部の装置）
３ ＵＳＢメモリ（記憶媒体、リムーバブルタイプの記憶装置）
３１ ＵＳＢコネクタ（インタフェース）
３２ フラッシュメモリチップ（データ記憶媒体）
２０１ 操作認識部（ユーザ操作認識手段）
２０２ 操作正当性判定部（一致判定手段）
２０３ ファイル退避処理部（データ退避処理手段）
２０４ 第一のファイル削除部（データ削除手段）
２０５ ファイル復元処理部（データ復元手段）
２０６ 第二のファイル削除部（第二のデータ削除手段）
２０ｂ ＲＡＭ（退避データ記憶手段）
２０ｄ ハードディスク（記憶媒体）
２０ｆ 液晶ディスプレイ（画面表示手段）
３０１ 対パソコン通信制御部（通信制御手段）
３０２ メモリ制御部（データ記憶媒体制御手段）

Claims (7)

1. データを記憶する不揮発性の記憶媒体と、
   前記データを一時的に退避させておくための退避データ記憶手段と、
   当該データ管理装置が起動中であることを示す画面を表示する画面表示手段と、
   前記画面が前記画面表示手段によって表示されている間に、当該データ管理装置のユーザによって行われる操作であるユーザ操作を認識するユーザ操作認識手段と、
   前記ユーザ操作認識手段によって認識された前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する一致判定手段と、
   前記ユーザ操作と前記所定操作とが一致することが前記一致判定手段によって判定できなかった場合に、前記記憶媒体から前記データを削除する、データ削除手段と、
   前記記憶媒体から削除される前記データを前記退避データ記憶手段に退避させるデータ退避処理手段と、
   を有することを特徴とするデータ管理装置。
2. 前記データが前記記憶媒体から削除され前記退避データ記憶手段に退避された後に、前記ユーザ操作認識手段によって前記ユーザ操作が認識され前記一致判定手段によって当該ユーザ操作と前記所定操作とが一致すると判定された場合に、当該データを前記退避データ記憶手段から前記記憶媒体に復元する、データ復元手段、を有する、
   請求項１記載のデータ管理装置。
3. 前記記憶媒体には、複数の前記データが記憶されており、
   前記データ退避処理手段は、予め決められた優先順位の順に前記データを前記退避データ記憶手段に退避させる、
   請求項１または請求項２記載のデータ管理装置。
4. 前記退避データ記憶手段に退避されている前記データを所定の時間が経過した後に削除する、第二のデータ削除手段、を有する、
   請求項１ないし請求項３のいずれかに記載のデータ管理装置。
5. コンピュータに設けられている不揮発性の記憶媒体に記憶されているデータを管理するデータ管理方法であって、
   前記コンピュータに、
   当該コンピュータが起動中であることを示す画面を表示する処理を実行させ、
   前記画面が表示されている間にユーザによって行われる操作であるユーザ操作を認識する処理を実行させ、
   認識した前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する処理を実行させ、
   前記ユーザ操作と前記所定操作とが一致すると判定できなかった場合に、前記記憶媒体から前記データを削除する処理を実行させ、
   前記記憶媒体から削除される前記データを当該コンピュータのＲＡＭに退避させる処理を実行させる、
   ことを特徴とするデータ管理方法。
6. データを記憶する不揮発性の記憶媒体を有するコンピュータに用いられるコンピュータプログラムであって、
   前記コンピュータに、
   当該コンピュータが起動中であることを示す画面を表示する処理を実行させ、
   前記画面が表示されている間にユーザによって行われる操作であるユーザ操作を認識する処理を実行させ、
   認識した前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する処理を実行させ、
   前記ユーザ操作と前記所定操作とが一致すると判定できなかった場合に、前記記憶媒体から前記データを削除する処理を実行させ、
   前記記憶媒体から削除される前記データを当該コンピュータのＲＡＭに退避させる処理を実行させる、
   ことを特徴とするコンピュータプログラム。
7. データを記憶する不揮発性のデータ記憶媒体と、コンピュータプログラムを記憶する不揮発性のコンピュータプログラム記憶媒体と、前記データ記憶媒体を制御するデータ記憶媒体制御手段と、外部の装置に接続するためのインタフェースと、前記外部の装置との通信を制御する通信制御手段と、を備えたリムーバブルタイプの記憶装置であって、
   前記コンピュータプログラム記憶媒体には、前記外部の装置に、当該記憶装置が当該外部の装置に装着されたことを示す画面を表示する処理を実行させ、前記画面が表示されている間にユーザによって行われる操作であるユーザ操作を認識する処理を実行させ、認識した前記ユーザ操作と予め決められた操作である所定操作とが一致するか否かを判定する処理を実行させ、前記ユーザ操作と前記所定操作とが一致すると判定できなかった場合に、前記データ記憶媒体から前記データを削除する指令を当該リムーバブルタイプの記憶装置に対して送信する処理を実行させ、前記データ記憶媒体から削除される前記データを当該リムーバブルタイプの記憶装置から受信する処理を実行させ、受信した前記データをＲＡＭに退避させる処理を実行させる、外部装置制御プログラムが記憶されており、
   前記通信制御手段は、前記指令に係る前記データを前記外部の装置に送信し、
   前記データ記憶媒体制御手段は、前記外部の装置からの前記指令に基づいて前記データを前記データ記憶媒体から削除させる、
   ことを特徴とするリムーバブルタイプの記憶装置。

Images