特開 2018-139025 データ消去方法、データ消去プログラム、データ消去プログラムを備えたコンピュータおよびデータ消去管理サーバ

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】特開2018-139025(P2018-139025A)

(43)【公開日】2018年9月6日

(54)【発明の名称】データ消去方法、データ消去プログラム、データ消去プログラムを備えたコンピュータおよびデータ消去管理サーバ

(51)【国際特許分類】

   G06F 21/60 20130101AFI20180810BHJP

【ＦＩ】

   G06F21/60

【審査請求】未請求

【請求項の数】12

【出願形態】ＯＬ

【全頁数】15

(21)【出願番号】特願2017-32962(P2017-32962)

(22)【出願日】2017年2月24日

(71)【出願人】

【識別番号】506149162

【氏名又は名称】加藤 貴

(71)【出願人】

【識別番号】517062436

【氏名又は名称】板井 清司

(74)【代理人】

【識別番号】100100365

【弁理士】

【氏名又は名称】増子 尚道

(72)【発明者】

【氏名】加藤 貴

(72)【発明者】

【氏名】板井 清司

(57)【要約】

【課題】記憶装置のデータ消去が確実に行われたことを迅速に確認し保証する。
【解決手段】ＰＣの記憶装置内に格納されている情報を消去用データで上書きすることにより消去するデータ消去がＰＣで行われたことを管理サーバが判定するデータ消去方法である。消去用データは、管理サーバに予め記憶させてある識別データを一部に含むランダムなデータ列である。ＰＣが、記憶装置の記憶領域に消去用データを上書した後、記憶領域に書き込まれた消去用データに含まれる識別データを読み出す。管理サーバは、前記記憶装置から読み出された識別データを、管理サーバに予め記憶させてある識別データと比較し、両者が一致したときにＰＣでデータ消去が実行されたと判定する。識別データは、消去用データの先頭部に配置される第一識別データと、消去用データの最後部に配置される第二識別データを含むことが好ましい。
【選択図】図２

【特許請求の範囲】

【請求項1】

コンピュータの記憶装置内に格納されている情報を消去用データで上書きすることにより消去するデータ消去が前記コンピュータで行われたことを管理サーバが判定するデータ消去方法であって、
前記消去用データは、前記管理サーバに予め記憶させてある識別データを一部に含むランダムなデータ列であり、
前記データ消去方法は、
前記コンピュータが実行するステップとして、
前記記憶装置の記憶領域に前記消去用データを上書きすることにより、当該記憶領域内に格納されている情報を消去する消去ステップと、
前記消去ステップで前記記憶領域に書き込まれた消去用データに含まれる前記識別データを読み出す読出しステップと
を含むとともに、
前記管理サーバが実行するステップとして、
前記読出しステップで前記記憶装置から読み出された前記識別データを、前記管理サーバに予め記憶させてある識別データと比較する比較ステップと、
当該比較ステップで、前記記憶装置から読み出された識別データと、前記管理サーバに予め記憶させてある識別データとが一致したときに前記コンピュータでデータ消去が実行されたと判定する判定ステップと
を含む
ことを特徴とするデータ消去方法。

【請求項2】

前記識別データは、
前記消去用データの先頭部に配置される第一識別データと、
前記消去用データの最後部に配置される第二識別データと
を含む
請求項１に記載のデータ消去方法。

【請求項3】

前記判定ステップで、データ消去が実行されたと判定された場合に、データ消去が行われたことを示す消去証明書を前記管理サーバが発行する証明書発行ステップ
をさらに含む請求項１または２に記載のデータ消去方法。

【請求項4】

前記読出しステップで読み出した識別データを前記コンピュータがコンピュータネットワークを通じて前記管理サーバへ送信する識別データ送信ステップと、
前記証明書発行ステップで発行した消去証明書を前記管理サーバが前記コンピュータネットワークを通じて前記コンピュータへ送信する証明書送信ステップと
をさらに含む請求項３に記載のデータ消去方法。

【請求項5】

コンピュータの記憶装置内に格納されている情報を消去用データで上書きすることにより消去するデータ消去プログラムであって、
前記消去用データは、管理サーバに予め記憶させてある識別データを一部に含むランダムなデータ列であり、
前記データ消去プログラムは、
前記記憶装置の記憶領域に前記消去用データを上書きすることにより、当該記憶領域内に格納されている情報を消去する消去ステップと、
前記消去ステップで前記記憶領域に書き込まれた消去用データに含まれる前記識別データを読み出す読出しステップと
を前記コンピュータに行わせることを特徴とするデータ消去プログラム。

【請求項6】

前記識別データは、
前記消去用データの先頭部に配置される第一識別データと、
前記消去用データの最後部に配置される第二識別データと
を含む
請求項５に記載のデータ消去プログラム。

【請求項7】

前記読出しステップで読み出した識別データを前記管理サーバへコンピュータネットワークを通じて送信する識別データ送信ステップと、
前記読出しステップで読み出した識別データが前記管理サーバに予め記憶されている識別データと一致した場合に前記管理サーバにより発行される消去証明書を前記管理サーバから前記コンピュータネットワークを通じて受信する消去証明受信ステップと
を前記コンピュータにさらに行わせる請求項５または６に記載のデータ消去プログラム。

【請求項8】

前記請求項５から７のいずれか一項に記載のデータ消去プログラムを備えた
ことを特徴とするコンピュータ。

【請求項9】

コンピュータの記憶装置内に格納されている情報を、識別データを一部に含むランダムなデータ列である消去用データで上書きすることにより消去するデータ消去が、当該コンピュータで行われたことを判定する管理サーバであって、
前記識別データを記憶する検証データ記憶部と、
前記コンピュータで前記データ消去が行われた後に前記記憶装置から読み出された識別データを格納する読出しデータ記憶部と、
前記読出しデータ記憶部に格納された識別データを、前記検証データ記憶部に記憶されている識別データと比較し、前記読出しデータ記憶部に格納された識別データが前記検証データ記憶部に記憶されている識別データと一致したときに前記データ消去が行われたと判定するデータ消去判定部と
を備えたことを特徴とするデータ消去管理サーバ。

【請求項10】

前記識別データは、
前記消去用データの先頭部に配置される第一識別データと、
前記消去用データの最後部に配置される第二識別データと
を含む
請求項９に記載のデータ消去管理サーバ。

【請求項11】

前記データ消去判定部によりデータ消去が行われたと判定された場合に、データ消去が行われたことを示す消去証明書を発行する消去証明発行部
をさらに備えた請求項９または１０に記載のデータ消去管理サーバ。

【請求項12】

コンピュータネットワークを通じて前記コンピュータから送信される前記識別データを受信するとともに、前記消去証明発行部によって発行された前記消去証明書を前記コンピュータへ前記コンピュータネットワークを通じて送信する証明要求受付部
をさらに備えた請求項１１に記載のデータ消去管理サーバ。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データ消去方法、データ消去プログラム、データ消去プログラムを備えたコンピュータおよびデータ消去管理サーバに係り、特に、コンピュータの記憶装置に特有のデータを上書きすることによりデータを消去し、消去が完了したことを管理サーバが確認し保証する技術に関する。

【背景技術】

【0002】

官公庁や公的機関、民間企業から個人に至るまでパーソナルコンピュータ（以下「ＰＣ」と言う）が広く普及した今日、記憶装置内に格納された情報の流出が問題となっている。記憶装置内には、個人情報や業務上必要な機密情報など各種の秘匿すべき情報が格納されていることが少なくないからである。このため、ＰＣを処分（廃棄や売却等）するにあたっては、記憶装置内のデータを完全に消去することが望まれる。

【0003】

データ消去の方式としては、ファイルの管理情報を単に削除するだけでなく、データ本体を消去するために記憶装置のすべての記憶領域に２進数の「０」や「１」を上書きしたり、媒体面の残留磁気の痕跡も消去するためにランダムなデータを複数回上書きするなどソフトウェア的な様々な方法が提案されている。

【0004】

また、記憶装置内のデータ消去を行う技術に関連し、本発明者の提案に係る下記特許文献がある。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２００７−３１６７８９号公報

【特許文献2】特開２０１４−１１５７２４号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

ところで、完全なデータ消去を行うには、消去の方式（消去した情報が復元されない処理自体の信頼性）も重要であるが、所定の消去処理が確実かつ完全に実行されたこと、すなわち、情報が格納されている記憶領域の全域に亘って処理が途中で中止されることなく最後まで行われることが必要である。

【0007】

しかしながら、例えば業務で使用されていたＰＣを処分するにあたって専門業者にデータ消去が依頼されることもあるものの、消去処理をＰＣの使用者や社内管理者任せになされているケースも少なくない。このため、不注意から消去処理が実施されずに、あるいは、何らかのアクシデントから処理が完全に行われずに記憶装置内にデータが残留したままＰＣが処分され、情報が外部に漏洩する事故が現実に生じている。

【0008】

したがって、ＰＣを所有・使用していた者ではなく、客観的な第三者の立場からデータ消去を確認し、消去が確実に行われたことを保証するサービスを提供することは情報漏洩を防ぎ、ＰＣ資源の再利用を図る観点からも有意義であると考えられる。しかも、そのような消去の確認作業は、短時間で効率良く実施できる必要がある。なぜなら、記憶装置の容量は今後益々増大すると予想され、社会全体として膨大な数量になる記憶装置に対応できることが望ましいからである。

【0009】

一方、本発明者の提案に係る前記特許文献に記載の発明は、いずれもノートＰＣを置き忘れたり盗難に遭ったときに離れた場所からＰＣ内のデータを遠隔消去できるようにしたもので、上記のような第三者的な立場からデータ消去を効率良く確認・保証しようするものではない。

【0010】

したがって、本発明の目的は、記憶装置のデータ消去が確実に行われたことを迅速に効率良く確認し保証できるようにする点にある。

【課題を解決するための手段】

【0011】

前記課題を解決し目的を達成するため、本発明に係るデータ消去方法は、コンピュータの記憶装置内に格納されている情報を消去用データで上書きすることにより消去するとともに、このデータ消去が当該コンピュータで行われたことを管理サーバが判定するものである。なお、本発明において「記憶装置」とは、主記憶装置（メインメモリ）を指すものではなく、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）のような補助記憶装置（記録装置）を意味する。

【0012】

上記消去用データは、管理サーバに予め記憶させてある識別データを一部に含むランダムなデータ列である。また当該データ消去方法は、上記コンピュータが実行するステップとして、記憶装置の記憶領域に消去用データを上書きすることにより、当該記憶領域内に格納されている情報を消去する消去ステップと、この消去ステップで記憶領域に書き込まれた消去用データに含まれる前記識別データを読み出す読出しステップを含む。

【0013】

また管理サーバが実行するステップとして、前記読出しステップで記憶装置から読み出された識別データを、管理サーバに予め記憶させてある識別データと比較する比較ステップと、この比較ステップで、記憶装置から読み出された識別データと、管理サーバに予め記憶させてある識別データとが一致したときに上記コンピュータでデータ消去が実行されたと判定する判定ステップを含む。

【0014】

ランダムなデータで上書きすることにより消去を行えば、消去されたデータの復元可能性を低下させ安全性を向上させることが出来ることが知られている一方で、そのような処理を行い、上書き処理が記憶装置の全域に亘って完全に行われたか確認しようとした場合には、非常に時間がかかることが予想される。しかも、記憶容量が大きくなればなるほど作業に要する時間は長くなる。また特に、第三者的な立場から（例えば業界団体や公的機関等が）消去の認定を行う（客観的な立場から証明書を発行する）ようなサービスを考えた場合、膨大な数量の記憶装置に対して確認作業を行う必要性が予想される。

【0015】

そこで、本発明のデータ消去方法では、ランダムなデータ列である消去用データを上書きすることによりデータ消去を行うが、この消去用データには特有のデータ列である識別データを含ませてあり、処理対象であるコンピュータで消去処理を行った後に、当該識別データを読み出してこれを管理サーバに提供する。管理サーバには予め当該識別データを記憶させてあり、消去処理が終了したコンピュータから読み出された識別データと、管理サーバが予め記憶している識別データとを管理サーバが比較し、両識別データが一致することを確認することでデータ消去が完了したと判定する。

【0016】

なお、記憶装置への消去用データの書込み時や、記憶装置からの識別データの読出し時には一部にエラーが生じる可能性もあることから、本発明において上記識別データの「一致」とは、完全な一致に限定されるものではなく、識別データ同士の比較において予め定めた一定値以上（例えば９０％以上や９５％以上など）一致すれば管理サーバは両識別データが一致したと判定する。この一定値（どの程度一致すれば一致と判定するか）は、予め管理サーバに設定しておけば良い。

【0017】

上記のような比較・確認作業では、記憶装置に上書きしたデータのすべてを扱う必要はなく識別データだけを比較するだけ良いから、記憶装置が大容量となっても迅速に作業を行うことができ、膨大な数量の記憶装置に対しても効率良く対応することが出来る。

【0018】

消去用データ内における識別データの数および配置する位置は特に限定されず、消去用データに幾つの（何組の）識別データを含ませても、また識別データを消去用データのどの位置に配置しても良い。ただし、好ましい態様としては、消去用データの先頭部と最後部にそれぞれ識別データを配置する。消去用データの先頭部に第一の識別データ（第一識別データ）が、最後部に第二の識別データ（第二識別データ）が正常に書き込まれていることを管理サーバが確認することにより、当該消去用データのすべてが当該記憶装置に上書きされ、データ消去が全域に亘り（最初から最後まで）行われていると推定できるからである。

【0019】

また、かかる推定（管理サーバによる判断）の信頼性をより一層高めるため、上記第一識別データと第二識別データに加えて消去用データの中間部にも１以上の同様の識別データをさらに含ませ、管理サーバに予め保存しておくこととし、消去処理完了後、これら中間部の識別データも当該記憶装置から読み出して管理サーバで同様の比較確認作業を行うようにしても良い。

【0020】

消去用データのうち識別データ以外の部分については、それがどのようなものであるかは特に問わない。典型的には後述の実施形態のように乱数データとするが、それ以外のデータであって良い。

【0021】

また、消去用データは規則性のないデータ列であり、したがって記憶装置への上書き回数は１回で十分に信頼性を確保できる（要求されるセキュリティレベルによるが、一般的な業務用ＰＣや個人使用のＰＣの場合等）と考えられるが、特に高度なセキュリティレベルが要求される場合には、安全性（消去の確実性）をさらに向上させるために複数回上書きするようにしても良い。複数回上書きする場合には、例えば、それぞれの書き込み操作で異なるデータ列（例えばランダムなデータ列）を書き込み、最後の書き込み操作で上記識別データを含む消去用データを上書きすれば良い。

【0022】

消去用データを書き込む領域は、当該記憶装置についてデータ消去を望む記憶領域、例えば後述する実施形態のようにデータ領域全域とすることができ、この場合、例えばデータ領域の先頭セクタ（又は先頭から数セクタ／以下同様）に第一識別データを、最終セクタ（又は最後尾の数セクタ／以下同様）に第二識別データを、また先頭セクタと最終セクタの間の全セクタにランダムなデータをそれぞれ上書きする（データ領域全域を消去用データで埋めるように上書きする）。消去の確認作業にあたっては、先頭セクタと最終セクタから識別データをそれぞれ読み出して管理サーバに提供し、管理サーバはこれらの識別データを管理サーバに保存してある識別データと比較すれば良い。これにより、当該データ領域の全セクタについてデータ消去が行われたことを確認することが出来る。

【0023】

なお、上記データ消去を望む記憶領域としては、例えばデータ領域に加えて保護領域（ＨＰＡ）などの隠し領域も含める（隠し領域もデータ消去の対象とする）ことが出来るが、この場合、消去用データを書き込んでデータ消去を実行する消去実行プログラム（後述の実施形態では消去ＯＳ）は、消去対象とならない別の隠し領域に格納しておけば良い。また、当該コンピュータの記憶装置が「Secure Erase」機能が搭載されたＳＳＤの場合には、「Secure Erase」機能によるデータ消去の後に当該コンピュータ（後述の実施形態では消去ＯＳ）が識別データを含む上記消去用データによってさらに上書き処理を行うようにしておけば良い。

【0024】

消去処理に係るコンピュータ（記憶装置）から読み出した識別データを管理サーバが入手するには、典型的には後述の実施形態のように、コンピュータ（消去ＯＳ）が通信回線（コンピュータネットワーク）を通じて管理サーバへ送信することにより行うが、他の方法によることも可能である。例えば、コンピュータ（消去ＯＳ）が、コンピュータに装填されたＣＤやＤＶＤ、フラッシュメモリなどの記憶媒体に識別データを格納するようにしても良く、この場合、管理サーバへの識別データの提供は、ユーザが当該記憶媒体を送付し、あるいは、他のコンピュータを使用して当該記憶媒体から識別データを読出し、当該他のコンピュータから管理サーバへ送信しても良い。

【0025】

また、本発明に係るデータ消去プログラム、コンピュータおよびデータ消去管理サーバは、上記データ消去方法と同様の特徴を備える。

【0026】

具体的には、本発明に係るデータ消去プログラムは、コンピュータの記憶装置内に格納されている情報を消去用データで上書きすることにより消去するデータ消去プログラムであって、前記消去用データは、管理サーバに予め記憶させてある識別データを一部に含むランダムなデータ列であり、前記データ消去プログラムは、前記記憶装置の記憶領域に前記消去用データを上書きすることにより、当該記憶領域内に格納されている情報を消去する消去ステップと、前記消去ステップで前記記憶領域に書き込まれた消去用データに含まれる識別データを読み出す読出しステップを前記コンピュータに行わせる。

【0027】

また、上記データ消去プログラムは、読出しステップで読み出した識別データを管理サーバへ送信する識別データ送信ステップと、読出しステップで読み出した識別データが管理サーバに予め記憶されている識別データと一致した場合に管理サーバにより発行される消去証明書を管理サーバからコンピュータネットワークを通じて受信する消去証明受信ステップを前記コンピュータにさらに行わせることがある。

【0028】

また、本発明に係るコンピュータは、上記本発明に係るデータ消去プログラムを備えたものである。

【0029】

さらに、本発明に係るデータ消去管理サーバは、コンピュータの記憶装置内に格納されている情報を、識別データを一部に含むランダムなデータ列である消去用データで上書きすることにより消去するデータ消去が、当該コンピュータで行われたことを判定する管理サーバであって、前記識別データを記憶する検証データ記憶部と、前記コンピュータでデータ消去が行われた後に前記記憶装置から読み出された識別データを格納する読出しデータ記憶部と、当該読出しデータ記憶部に格納された識別データを、前記検証データ記憶部に記憶されている識別データと比較し、読出しデータ記憶部に格納された識別データが検証データ記憶部に記憶されている識別データと一致したときにデータ消去が行われたと判定するデータ消去判定部とを備えている。

【0030】

また、上記データ消去プログラムならびにデータ消去管理サーバにおいても前記データ消去方法と同様に、好ましくは識別データが、消去用データの先頭部に配置される第一識別データと、消去用データの最後部に配置される第二識別データとを含む。

【0031】

さらに、上記データ消去管理サーバならびに前記データ消去方法では、データ消去が実行されたと管理サーバが判定した場合に、データ消去が行われたことを示す消去証明書を管理サーバが発行するようにしても良い。客観的な第三者の立場からデータ消去が完了していることを示すためである。

【0032】

具体的には、当該消去証明書を管理サーバが発行する証明書発行ステップを前記本発明に係るデータ消去方法に含める。また本発明に係るデータ消去管理サーバでは、データ消去判定部によりデータ消去が行われたと判定された場合に上記消去証明書を発行する消去証明発行部をさらに備える。

【0033】

消去証明書には、例えばコンピュータを特定する情報（型名、型番、製造番号等）や、記憶装置を特定する情報（型名、型番、製造番号等）、記憶装置の容量、消去の方式を示す情報、上書き回数、データ消去を行った日付（年月日・時刻等）などの情報を含めることが出来る。

【0034】

また、このような消去証明書を発行する態様では、データ消去完了後、前記コンピュータが識別データを管理サーバ（データ消去管理サーバ）へ送信し、管理サーバは消去証明書を当該コンピュータへ送信するようにしても良い。

【0035】

すなわち、当該態様に係るデータ消去方法では、前記読出しステップで読み出した識別データを前記コンピュータがコンピュータネットワークを通じて管理サーバへ送信する識別データ送信ステップと、前記証明書発行ステップで発行した消去証明書を前記管理サーバがコンピュータネットワークを通じて前記コンピュータへ送信する証明書送信ステップとをさらに含む。

【0036】

また、当該態様に係るデータ消去管理サーバは、コンピュータネットワークを通じて前記コンピュータから送信される前記識別データを受信するとともに、前記消去証明発行部によって発行された前記消去証明書を前記コンピュータへコンピュータネットワークを通じて送信する証明要求受付部をさらに備える。

【発明の効果】

【0037】

本発明によれば、記憶装置のデータ消去が確実に行われたことを迅速に効率良く確認し保証することが出来る。

【0038】

本発明の他の目的、特徴および利点は、図面に基づいて述べる以下の本発明の実施の形態の説明により明らかにする。なお、各図中、同一の符号は、同一又は相当部分を示す。

【図面の簡単な説明】

【0039】

【図1】図１は、本発明の一実施形態に係るデータ消去システム（特にユーザＰＣの構成）を示すブロック図である。

【図2】図２は、前記実施形態におけるユーザＰＣおよび管理サーバを機能面から把握して示すブロック図である。

【図3】図３は、前記実施形態における消去用データ（１０進数で表示）の一例を示す図である。

【図4】図４は、前記実施形態におけるユーザＰＣのデータ消去処理を示すフローチャートである。

【図5】図５は、前記実施形態における管理サーバの処理を示すフローチャートである。

【発明を実施するための形態】

【0040】

図１に示すように本発明の一実施形態に係るデータ消去システムは、本発明に係るデータ消去機能を備えたコンピュータ（ユーザＰＣ／以下単に「ＰＣ」と言うことがある）１１と、管理サーバ３１とを含み、ＰＣ１１でデータ消去を実行した後に、管理サーバ３１がこれを確認し、データ消去が確実に行われたことを証明する消去証明書を管理サーバ３１が発行するものである。なお、管理サーバ３１は、複数のユーザがそれぞれ所有する複数のＰＣについてデータ消去の確認や消去証明書の発行を行うことが出来るが、図では１台のＰＣ１１のみを示している。

【0041】

ユーザＰＣ１１は、バス６で互いに接続された、演算処理装置（ＣＰＵ）１と、主記憶装置（ＲＡＭ（Random Access Memory）からなるメインメモリ）２と、ＢＩＯＳプログラムを格納した不揮発性メモリ（ＢＩＯＳ ＲＯＭ）１６と、ハードディスクドライブ（ＨＤＤ）からなる補助記憶装置（本発明に言う記憶装置）３と、インターネット１０との接続を可能とするネットワーク通信制御部（ネットワークインターフェース）２５と、キーボードおよびマウスを含む入力装置４と、表示装置であるディスプレイ５を有する。

【0042】

ＨＤＤ３は起動ディスクであり、ＰＣ１１の起動時に最初に読み込まれる先頭セクタであるＭＢＲ（Master Boot Record／マスターブートレコード）と、既定ＯＳ（デフォルトで起動するＯＳ）やアプリケーションプログラム、データ等を格納可能なデータ領域と、既定ＯＳから隠匿され既定ＯＳからアクセス不能な保護領域とを有する。なお、この例ではＨＤＤ３のデータ領域は単一の領域として示しているが、複数のパーティションに区分されていても良く、前述したように全パーティションをデータ消去の対象とすることも或いは一部のみのパーティションをデータ消去の対象とすることも可能である。

【0043】

ＭＢＲには、ＯＳを起動するブートローダ（起動プログラム）を格納してある。データ領域には、例えばＷｉｎｄｏｗｓ（登録商標）、Ｍａｃ ＯＳまたはＬｉｎｕｘ（登録商標）等の既定ＯＳや、当該既定ＯＳ上で動作する各種のアプリケーションプログラム、ユーザが作成したデータを含む様々なデータが格納される。保護領域は、ＨＰＡ（Host Protected Area／ホスト保護領域）などと称され、ＢＩＯＳレベルで保護される領域で、この保護領域にはデータ消去を実行する消去実行プログラム（以下「消去ＯＳ」と言う）が格納される。

【0044】

消去ＯＳは、データ領域に格納される消去管理プログラムとともに、本発明に係るデータ消去プログラムを構成するもので、消去ＯＳは、データ消去の実行（消去用データの書き込み）や、管理サーバ３１に対する消去証明書の要求などを行う。一方、消去管理プログラムは、管理サーバ３１に対するユーザ登録や、入力装置４を通じてのデータ消去の受け付け、ＯＳの切り替え（既定ＯＳから消去ＯＳへの切り替え）などを行う。なお、これらのプログラムによる動作・処理については、後に詳しく説明する。

【0045】

図２はＰＣ１１を機能面から把握したブロック図である。この図に示すように本実施形態におけるＰＣ１１は、管理サーバ３１に対してユーザ登録を行う登録設定部１２と、ユーザを識別するユーザＩＤや当該ＰＣ１１を特定する情報（型名・型番・製造番号）、ＨＤＤに関する情報（型名・型番・製造番号・記憶容量）を記憶するＩＤ記憶部１３と、入力装置４を通じて入力されるデータ消去の指示を検出する消去命令検出部１４と、ＰＣ１１の電源を制御する電源制御部１５と、ＢＩＯＳ１６と、ＯＳ起動部１７と、起動ＯＳ記憶部１８と、既定ＯＳ１９と、データ消去部２０と、消去用データを生成する消去用データ生成部２１と、識別データを記憶する識別データ記憶部２２と、乱数を発生する乱数発生部２３と、管理サーバ３１に対して消去証明を要求する消去証明要求部２４と、インターネット１０の通信インターフェースであるネットワーク通信制御部２５とを備えている。

【0046】

ＢＩＯＳ１６は前述した不揮発性メモリに格納されたＢＩＯＳプログラムからなり、ＯＳ起動部１７は前記ブートローダにより構成する。起動ＯＳ記憶部１８は前記ＭＢＲ内のパーティションテーブルにより構成し、登録設定部１２および消去命令検出部１４は消去管理プログラムにより実現する。また、データ消去部２０、消去用データ生成部２１、識別データ記憶部２２、乱数発生部２３および消去証明要求部２４は、消去ＯＳにより構成する。

【0047】

なお、前記図１に示したように既定ＯＳと消去管理プログラム（消去命令検出部１４等）は共にＨＤＤ３のデータ領域に格納し、消去ＯＳ（データ消去部２０等）はＨＤＤ３の保護領域に格納するが、図２では、ＨＤＤ３のデータ領域を消去する消去ＯＳの機能を示すため、これら各部とは別にＨＤＤ３を一つのブロックとして図に示した。

【0048】

一方、管理サーバ３１は、ユーザ登録を受け付ける登録受付部３２と、ユーザやデータ消去の対象となるＰＣ・記憶装置に関する情報など記憶するユーザ情報記憶部３３と、ユーザＰＣ１１から送信される消去証明要求を受け付ける証明要求受付部３４と、データ消去完了後にＨＤＤ３から読み出されて消去証明要求とともにユーザＰＣ１１から送信される識別データを格納する読出しデータ記憶部３５と、識別データ（第一識別データおよび第二識別データ）を予め格納しておく検証データ記憶部３６と、読出しデータ記憶部３５に格納された識別データと検証データ記憶部３６に格納された識別データとを比較するデータ消去判定部３７と、消去証明書を発行する消去証明発行部３８と、インターネット通信のインターフェースであるネットワーク通信制御部３９とを備えている。

【0049】

〔導入とユーザ登録〕
本実施形態のシステムによるサービスを利用するにあたっては、データ消去の対象となるＰＣ１１に、前記データ消去プログラム（消去管理プログラムおよび消去実行プログラム）を予めインストールしておく。なお、このインストールは、ＰＣ１１の購入後ユーザ自身が行っても良いし、メーカーがＰＣ１１の販売前に行っておいても（プリインストールしても）構わない。

【0050】

ユーザは管理サーバ３１にユーザ登録を行う。具体的には、ユーザは入力装置４および登録設定部１２を介しコンピュータネットワーク１０を通じて管理サーバ３１へユーザ情報を送信する。このユーザ情報には、ユーザ名や、ＰＣ１１に関する情報（型名・型番・製造番号）、ＨＤＤ３に関する情報（型名・型番・製造番号・記憶容量）が含まれる。登録設定部１２は、ユーザ登録にあたってＩＤ記憶部１３からＰＣ１１とＨＤＤ３に関する各情報を読み出し、管理サーバ３１へ提供する。

【0051】

管理サーバ３１では、登録受付部３２が上記ユーザ登録を受け付け、ユーザＩＤを発行してこれをユーザＰＣ１１へ送信するとともに、ユーザ情報をユーザＩＤと関連付けてユーザ情報記憶部３３に格納する。ユーザＰＣ１１へ送信されたユーザＩＤは、登録設定部１２によりＩＣ記憶部１３に格納される。

【0052】

〔データ消去の実行〕
ユーザＰＣ１１におけるデータ消去は、当該ＰＣ１１を再起動させ、この再起動時に既定ＯＳ１９に代えて消去ＯＳを起動させることにより行う。図４はＰＣ１１の起動シーケンスを示し、図５はユーザＰＣ１１から消去証明要求を受信した管理サーバ３１が消去証明書を発行する手順を示すものであるが、これらの図も参照して本実施形態のシステムによる消去処理について説明する。

【0053】

まず、ＰＣ１１の電源が入れられると（ステップＳ１０１）、通常のブートシーケンスに従って、ＢＩＯＳプログラムがＰＯＳＴ（Power On Self Test／初期化処理）を実行し、起動ドライブ（本実施形態の場合ＨＤＤ３）を検索した後、ＭＢＲ内のブートローダ（起動プログラム／ＯＳ起動部）を主記憶装置（ＲＡＭ）２にロードする（ステップＳ１０２）。ＢＩＯＳ１６はブートローダに制御を移し、ブートローダ（ＯＳ起動部１７）がＭＢＲ内のパーティションテーブル（起動ＯＳ記憶部１８）を参照して起動すべきＯＳを決定する（ステップＳ１０３）。このとき、当該パーティションテーブルでは既定ＯＳ１９がアクティブにされているから、ブートローダ（ＯＳ起動部１７）は既定ＯＳ（例えばＷｉｎｄｏｗｓ（登録商標））１９を起動する（ステップＳ１０４）。

【0054】

既定ＯＳ１９が起動されると、本発明に係る消去管理プログラムを立ち上げることが可能となる。ユーザが消去管理プログラムを立ち上げ（ステップＳ１０５）、入力装置４を通じてデータ消去の実行を命令すると消去命令検出部１４がこの命令を検出する（ステップＳ１０６）。消去命令を受けた消去命令検出部１４は、既定ＯＳ１９に代えて消去ＯＳがアクティブになるように起動ＯＳ記憶部１８（ＭＢＲのパーティションテーブル）を書き換えた後（ステップＳ１０７）、電源制御部１５を通じて当該ＰＣ１１を強制終了させ再起動する（ステップＳ１０８）。

【0055】

ＰＣ１１が再起動されると、再び、ＢＩＯＳプログラム１６がＰＯＳＴを実行し、起動ドライブ（ＨＤＤ３）を検索した後、ＭＢＲ内のブートローダ（ＯＳ起動部１７）をロードする（ステップＳ１０２）。ＢＩＯＳ１６はブートローダ１７に制御を移し、ブートローダ（ＯＳ起動部１７）がＭＢＲ内のパーティションテーブル（起動ＯＳ記憶部１８）を参照して起動すべきＯＳを決定する（ステップＳ１０３）。このとき、当該パーティションテーブルでは、前記消去管理プログラム（消去命令検出部１４）による書き換えによって消去ＯＳがアクティブにされているから、ブートローダ１７は消去ＯＳを起動する（ステップＳ１０９）。

【0056】

そして、消去ＯＳが起動されるとデータ消去部２０は、データ消去が既に行われているか判定し（ステップＳ１１０）、データ消去が未だ行われていない場合には、データ領域全域（先頭セクタから最終セクタまで）に消去用データを上書きすることによりＨＤＤ３のデータ領域の全情報を消去する（ステップＳ１１１）。また、データ消去が既に行われている場合には、消去証明書をディスプレイ５に表示することにより、当該ＰＣ１１は既にデータ消去完了済であることを示す（ステップＳ１１５）。なお、データ消去が既に行われている場合には、後に述べるように消去証明書がデータ領域に格納されており（ステップＳ１１４）、データ消去部２０は当該消去証明書がＨＤＤ３に格納されているか否かによりデータ消去が完了済か否かを判定する。

【0057】

図３は消去用データの一例（１０進数で表示）を示すものである。この図に示すように消去用データは、先頭部分に第一識別データ（この例の場合「０４７８１５３４９３」）を、最後尾部分に第二識別データ（この例の場合「９６３６７５８１３８」）をそれぞれ含んでおり、中間部（第一識別データと第二識別データの間）は乱数データで構成されている。第一識別データと第二識別データは、ともに規則性のないランダムなデータであり、互いに異なるデータ列により構成してある。

【0058】

第一識別データと第二識別データは識別データ記憶部２２に予め格納してあり、乱数データは乱数発生部２３で生成する。消去用データ生成部２１は、識別データ記憶部２２から読み出した第一識別データと、乱数発生部２３で発生させた乱数データと、識別データ記憶部２２から読み出した第二識別データを順にデータ消去部２０に提供する。データ消去部２０は、消去用データ生成部２１から得たデータを、データ領域の先頭から順に上書きすることによりデータ領域の情報を消去していく。

【0059】

なお、消去用データの書き込み回数（上書き回数）は、本実施形態では１回とするが、セキュリティレベル（消去の確実性）を高めるために複数回の書き込みを行うようにしても良い。この場合には、例えば、乱数発生部２３で発生させた乱数データのみで構成した消去用データを１回以上書き込み、最後の書込み操作で上記識別データを含む消去用データを書き込むようにすれば良い。

【0060】

データ消去部２０は、データ領域の全域に消去用データを書き込むと（第二識別データまで書き込み終わると）、当該データ領域から第一識別データと第二識別データを読み出してこれらを消去証明要求部２４に提供する（ステップＳ１１２）。消去証明要求部２４は、ＩＤ記憶部１３からユーザＩＤとＰＣ１１に関する情報（型名・型番・製造番号）、ＨＤＤ３に関する情報（型名・型番・製造番号・記憶容量）を読み出し、これらを前記データ消去部２０から得た第一識別データおよび第二識別データと一緒に消去証明要求としてネットワーク通信制御部２５およびインターネット１０を介して管理サーバ３１へ送信する（ステップＳ１１３）。

【0061】

管理サーバ３１では、証明要求受付部３４がネットワーク通信制御部３９を介して上記消去証明要求を受信する。証明要求受付部３４は、消去証明要求に含まれるユーザＩＤを手掛かりとしてユーザ情報記憶部３３を検索し、当該ユーザ情報記憶部３３に格納されているＰＣ１１とＨＤＤ３に関する情報（型名・型番・製造番号・記憶容量）を読み出し、消去証明要求に含まれているＰＣ１１とＨＤＤ３に関する情報（型名・型番・製造番号・記憶容量）が、ユーザ情報記憶部３３に格納されているユーザ登録時のＰＣ１１とＨＤＤ３に関する情報と一致するか確認する（図５のステップＳ２０１）。

【0062】

そして上記ＰＣ１１とＨＤＤ３に関する情報が一致しない場合には、証明要求受付部３４は、当該証明要求は受け付けない旨ユーザＰＣ１１に通知する（ステップＳ２０７）。一方、上記ＰＣ１１とＨＤＤ３に関する情報が一致した場合には、証明要求受付部３４は、消去証明要求に含まれる第一識別データと第二識別データを、読出しデータ記憶部３５に格納するとともに（ステップＳ２０２）、データ消去判定部３７に対してデータ消去の判定を行うよう要求する。

【0063】

この要求を受けてデータ消去判定部３７は、読出しデータ記憶部３５と検証データ記憶部３６からそれぞれ第一識別データと第二識別データを読み出して、読出しデータ記憶部３５に格納されている第一識別データと、検証データ記憶部３６に格納されている第一識別データとを比較するとともに、読出しデータ記憶部３５に格納されている第二識別データと、検証データ記憶部３６に格納されている第二識別データとを比較する（ステップＳ２０３）。

【0064】

比較の結果、これら第一識別データと第二識別データが共に一致する場合には、データ消去が成功したものとして消去証明発行部３８に通知し、消去証明発行部３８は消去証明書を発行する（ステップＳ２０４〜Ｓ２０５）。なお、識別データの「一致」とは、データ消去時の書き込みエラーや、消去後の識別データの読み出しエラーを考慮し、完全な（１００％の）一致を言うものではなく、予め設定した一定値（例えば９０％）以上一致すれば「一致」とすることは既に述べたとおりである。

【0065】

消去証明発行部３８により発行された消去証明書は、証明要求受付部３４がユーザ情報記憶部３３に格納するとともに、ユーザＰＣ１１へ送信する（ステップＳ２０６）。消去証明書には、ＰＣ１１に関する情報（型名・型番・製造番号）、データ消去に係る記憶装置３に関する情報（型名・型番・製造番号・記憶容量）、実行された消去の方式を示す情報、上書き回数、消去証明書の発行日付（年月日・時刻）等の情報を含める。

【0066】

一方、両識別データが一致しない場合（ステップＳ２０４）には、消去証明発行部３８は消去証明書を発行せず、データ消去判定部３７は、データ消去は失敗であると証明要求受付部３４に通知し、証明要求受付部３４はその旨ユーザＰＣ１１に通知する（ステップＳ２０８）。

【0067】

消去証明書を受信したユーザＰＣ１１では、消去証明要求部２４がデータ消去部２０を介してＨＤＤ３のデータ領域に消去証明書を格納するとともに（図４のステップＳ１１４）、当該消去証明書をデータ消去部２０がディスプレイ５に表示し（ステップＳ１１５）、データ消去の確認が完了したことを示す。

【0068】

本実施形態のシステムによれば、例えば業界団体や公的機関のような第三者機関が管理サーバ３１を運営することで、客観的な第三者の立場からデータ消去を確認し、証明書を発行することによってデータ消去が完了していることを認定・保証することが出来る。ＰＣ１１の利用者・管理者は、このような証明書を入手しておくことで、安心して当該ＰＣ１１を廃棄し譲渡するなど処分することが出来る。

【0069】

しかも、管理サーバ３１での判定作業は、消去領域（記憶装置）の全容量に対応した消去用データのすべてをチェックする必要はなく、特定箇所に配置した識別データのみを比較するだけで良いから、短時間で効率良く判定を行うことができ、多数のユーザから大量のＰＣ１１について消去証明が要求されても迅速に対応することが可能である。したがって、情報漏洩を防ぎつつＰＣ１１のリサイクルの促進にも寄与できる。

【0070】

以上、本発明の実施形態について説明したが、これらは本発明の具体的な構成および処理手順の一例を示すものであって、本発明は上記実施形態に限定されるものではない。本発明は上記以外にも様々な態様を採ることができ、特許請求の範囲に記載の範囲内で種々の変更を行うことができることは当業者に明らかである。

【0071】

例えば、前記実施形態ではユーザＰＣ１１としてＢＩＯＳとＭＢＲを持つＰＣを例にとって説明したが、ＵＥＦＩ（Unified Extensible Firmware Interface）とＧＰＴ（ＧＵＩＤパーティションテーブル）を有するユーザＰＣについても本発明を同様に適用することが可能である。

【符号の説明】

【0072】

１ 演算処理装置（ＣＰＵ）
２ 主記憶装置（メインメモリ）
３ 補助記憶装置（ハードディスクドライブ）
４ 入力装置
５ ディスプレイ
６ バス
１０ コンピュータネットワーク（インターネット）
１１ ユーザＰＣ（コンピュータ）
１２ 登録設定部
１３ ＩＤ記憶部
１４ 消去命令検出部
１５ 電源制御部
１６ ＢＩＯＳ
１７ ＯＳ起動部
１８ 起動ＯＳ記憶部
１９ 既定ＯＳ
２０ データ消去部
２１ 消去用データ生成部
２２ 識別データ記憶部
２３ 乱数発生部
２４ 消去証明要求部
２５，３９ ネットワーク通信制御部
３１ 管理サーバ
３２ 登録受付部
３３ ユーザ情報記憶部
３４ 証明要求受付部
３５ 読出しデータ記憶部
３６ 検証データ記憶部
３７ データ消去判定部
３８ 消去証明発行部

【図1】

【図2】

【図3】

【図4】

【図5】