JP5482059B2 - 記憶装置、および記憶装置へのアクセスを制御するためのプログラム - Google Patents

Description

本発明は、記憶装置に関し、特に、例えばＵＳＢメモリ（ＵＳＢフラッシュ・ドライブ）のようなインタフェースを介してアクセス可能な記憶装置に関する。

ＵＳＢ（Universal Serial Bus）メモリを紛失することがある。既知のＵＳＢメモリにおいて、ＵＳＢメモリの紛失による情報の漏洩を防止するために、例えば、ＵＳＢメモリにパスワードを用いてロックをかける機能、データ・ファイルを暗号化する機能、パスワード・エラーに応じてデータ・ファイルを消去する機能が、利用可能である。

データの不正な利用を抑制できるコンピュータ端末用記憶媒体が知られている。そのような記憶媒体は、コンピュータ端末に着脱可能とされ、そのコンピュータ端末において利用可能なデータを読み出し並びに書換え可能に記憶するための記憶部と、その記憶部にデータが記憶された後における経過期間を特定するための経過期間特定手段と、その経過時間特定手段を少なくとも動作させるための電力を供給するための電源手段と、その経過時間特定手段により特定される経過期間が、予め設定された所定の利用可能期間を経過しているか否かを判定する期間経過判定手段と、その判定において経過していると判定されたことを条件として記憶部に記憶されているデータを利用不能とする不能化手段と、を備えている。

特開２００６−３３８５８３号公報

発明者は、既知のＵＳＢメモリでは、不正アクセスの発生時にデータ消去を行うが、その消去まではＵＳＢメモリにデータ・ファイルが存在するので、そのデータが漏洩するリスクがある、と認識した。また、発明者は、そのデータ・ファイルが暗号化されていても、ファイル自体が消去されない限り暗号鍵が解析されてそのデータが漏洩するリスクがある、と認識した。

また、発明者は、既知の記憶媒体では、指定された時間になったときにデータ・ファイルを上書き消去するので、その消去中は正規のユーザであってもその記憶媒体を利用することができないので不便である、と認識した。

発明者は、記憶装置において、記憶装置へのアクセスを不能化する複数レベルの保護と、それぞれの保護を与える複数の時間の設定を可能にすれば、ユーザの利便性を損なうことなくデータの漏洩を効果的に防止することができる、と認識した。

本発明の目的は、記憶装置へのアクセスを不能化する複数レベルの保護を与えることができるようにすることである。

本発明の別の目的は、記憶装置へのアクセスを不能化するそれぞれの異なる時間に異なる保護を与えることができるようにすることである。

本発明の特徴によれば、インタフェース部を介してホスト装置から受け付けたデータを記憶可能な記憶装置は、ホスト装置から受け付けたデータを記憶する複数の記憶部と、そのインタフェース部を介した記憶部に記憶されているデータへのアクセスを異なるレベルで不能化する複数の不能化処理を実行する不能化実行部と；その不能化処理を特定する不能化識別情報と、その不能化処理を実行する条件と、を有する設定情報を格納可能な設定情報記憶部と；その設定情報記憶部に格納されているその設定情報を参照し、その設定情報に示されるその条件とその記憶装置の動作状態とを比較し、その設定情報に示されるその条件が充足されるかどうかを判定する判定部と；その判定部によりその条件が充足されると判定された場合、その設定情報に示されるその不能化識別情報により特定されるその不能化処理の実行を指示する不能化制御部と、不能化実行部が一の記憶部に対する前記不能化処理を実行している間に、他の記憶部へのホスト装置からのアクセスを可能にするスイッチ部と、を具えている。

本発明の特徴によれば、記憶装置へのアクセスを不能化する複数レベルの保護を与えることができ、記憶装置へのアクセスを不能化するそれぞれの異なる時間に異なる保護を与えることができる。

発明の目的および利点は、請求の範囲に具体的に記載された構成要素および組み合わせによって実現され達成される。
前述の一般的な説明および以下の詳細な説明は、典型例および説明のためのものであって、本発明を限定するためのものではない、と理解すべきである。

図１は、本発明の実施形態に用いられる、例えばパーソナル・コンピュータのような情報処理装置または端末と、リムーバブル・メディアまたは可搬記憶媒体としてのＵＳＢメモリとを示している。 図２は、本発明の実施形態によるＵＳＢメモリの概略的な機器構成または配置を示している。 図３は、本発明の別の実施形態によるＵＳＢメモリの別の概略的な機器構成または配置を示している。 図４は、ＵＳＢメモリにおけるフラッシュ・メモリに格納されるログのフォーマットの例を示している。 図５は、図２および３のマイクロコンピュータの内部の主要な機能部の機能構成または配置を示している。 図６Ａおよび６Ｂは、認証処理部２２においていずれかの認証に失敗したときに、ＵＳＢメモリのマイクロコンピュータによって実行される、データ保護のためのポリシー評価のためのフローチャートの例を示している。 （図６Ａで説明） 図７Ａは、アクセス不能化ポリシーのフォーマットの例を示している。図７Ｂは、図７Ａのフォーマットにおけるアクセス不能化を生じさせる要因の値の定義の例を示している。図７Ｃは、図７Ａのフォーマットにおけるアクセス不能化方法の値の定義の例を示している。 図８Ａは、要因としての経過時間に対するアクセス不能化方法および閾値のテーブルの例を示している。図８Ｂは、設定されたアクセス不能化方法および閾値の例を示している。 図９は、ＵＳＢメモリのマイクロコンピュータによって使用される状態遷移図を示している。 図１０は、情報処理装置と、ＵＳＢメモリの間の処理手順を示している。 図１１は、情報処理装置と、ＵＳＢメモリの間の別の処理手順を示している。 図１２は、情報処理装置と、ＵＳＢメモリの間におけるＵＳＢメモリの復旧の処理手順を示している。 図１３は、ユーザ用ＵＳＢメモリ・ユティリティ・プログラムに従って情報処理装置のプロセッサによって実行される、ユーザ認証およびファイル・システム構築のためのフローチャートを示している。 図１４Ａおよび１４Ｂは、管理者用のＵＳＢメモリ・ユティリティ・プログラムに従って情報処理装置のプロセッサによって実行される、アクセスを許容する情報処理装置の識別情報の設定および追加、およびアクセス不能化ポリシーの設定および追加のためのフローチャートを示している。 （図１４Ａで説明） 図１５Ａは、図１４Ａのステップ７６４において情報処理装置の表示装置に表示される、ＵＳＢメモリへのアクセスを許容する情報処理装置の識別情報の設定、追加または変更のための管理者用の画面を示している。図１５Ｂは、図１４Ａのステップ７６４において情報処理装置の表示装置に表示される、ＵＳＢメモリにアクセス不能化ポリシーを設定、追加または変更するための管理者用の表示画面を示している。 図１６は、第２の実施形態に係るマイクロコンピュータの内部の主要な機能部の機能構成または配置を示す図である。 図１７は、第２の実施形態において、図６Ａのステップ４０２の代わりに実行される処理を示すフローチャートである。 図１８は、第３の実施形態に係るマイクロコンピュータの内部の主要な機能部の機能構成または配置を示す図である。 図１９は、第３の実施形態において、図６Ｂのステップ４２４の判断が肯定されたときに、ステップ４２６の代わりに実行される処理を示すフローチャートである。 図２０は、第４の実施形態に係るマイクロコンピュータの内部の主要な機能部の機能構成または配置を示す図である。 図２１は、第５の実施形態に係るマイクロコンピュータの内部の主要な機能部の機能構成または配置を示す図である。 図２２は、第５の実施形態に係るＵＳＢメモリの使用に好適なオフィスを示す図である。 図２３は、第５の実施形態において、図６Ａ，図６Ｂの処理と並行して行われる処理を示すフローチャートである。 図２４は、第６の実施形態に係るマイクロコンピュータの内部の主要な機能部の機能構成または配置を示す図である。 図２５は、第６の実施形態におけるＲＦＩＤゲートの配置の一例を示す図である。 図２６Ａは、ＲＦＩＤゲートＣ→Ｂ→Ａの順に通って、オフィス内にＵＳＢメモリが搬入されたときに、読み込みＩＤ履歴記憶部に記憶されるＩＤを示す図であり、図２６Ｂは、ＲＦＩＤゲートＡ→Ｂ→Ｃ→Ｃの順にＵＳＢメモリが搬送されたときに、読み込みＩＤ履歴記憶部に記憶されるＩＤを示す図である。 図２７は、第６の実施形態において、図６Ａ，図６Ｂの処理と並行して行われる処理を示すフローチャートである。

≪第１の実施形態≫
本発明の第１の実施形態を、図面を参照して説明する。図面において、同様のコンポーネントには同じ参照番号が付されている。

図１は、本発明の第１の実施形態に用いられる、例えばパーソナル・コンピュータのようなホスト装置としての情報処理装置または端末４０と、リムーバブル・メディアまたは可搬記憶媒体としてのＵＳＢメモリ（ＵＳＢフラッシュ・ドライブ）１００とを示している。ＵＳＢメモリ１００は、情報処理装置４０のＵＳＢポート４９に結合または接続される。情報処理装置４０は、ローカルエリア・ネットワーク（ＬＡＮ）等を介してサーバ２０に接続されてもよい。情報処理装置４０は、管理者および／またはユーザによって使用することができるものとする。

情報処理装置４０は、プロセッサ４２、記憶装置４４（例えばハードディスク）、入力装置４６、表示装置４８およびＵＳＢポート（端子）４９を含んでいる。

図２は、本発明の第１の実施形態によるＵＳＢメモリ１００の概略的な機器構成（configuration）または配置（arrangement）を示している。

ＵＳＢメモリ１００は、ＵＳＢインタフェース（Ｉ／Ｆ）１１０、ＵＳＢハブ１１２、ＲＯＭ１１８、マイクロコンピュータ（μＣ）１２０、ハブ・スイッチ１３０、主要なフラッシュ・メモリ１３４、開閉センサ１４２、および例えばＬＥＤ等の表示器（インジケータ）１４４を含んでいる。ＵＳＢメモリ１００は、さらに、主要電源回路１５０、バッテリおよび充電回路１６０、補助電源回路１６２、時間表示または時間監視用のリアルタイム・クロック（ＲＴＣ）１６４、およびスイッチ１６６を含んでいる。フラッシュ・メモリ１３４は、情報処理装置４０から受け取ったユーザのデータ・ファイルを格納する。バッテリおよび充電回路１６０は、再充電可能なバッテリ（二次電池）とそのバッテリを充電する充電回路とを含んでいる。

ＵＳＢインタフェース１１０は、電源ラインまたはピンＰＬ（破線矢印）と、データ・ラインまたはピンＤＬ（双頭の実線矢印）とを含んでいる。ＵＳＢハブ１１２は、ＵＳＢインタフェース１１０に結合されていて、分岐電源ラインＰＬ（破線矢印）と、分岐データ・ラインＤＬ（双頭の実線矢印）とを含んでいる。

開閉センサ１４２は、本体１００ｂとキャップ１０２またはストラップ１０４との結合部または係合部付近に設けられた磁気検出器、電流検出器、または近接スイッチ、等（図示せず）を含んでいる。キャップ１０２またはストラップ１０４には、その磁気検出器によって検出される永久磁石、その電流検出器に結合可能な抵抗体、またはその近接スイッチによって検出可能な近接部材（図示せず）が設けられていてもよい。開閉センサ１４２は、ＵＳＢメモリ１００からキャップ１０２またはストラップ１０４が外されたことを検出し、ＵＳＢメモリ１００にキャップ１０２またはストラップ１０４が結合または係合されたことを検出する。マイクロコンピュータ１２０（ＣＰＵ１２２）は、開閉センサ１４２の検出出力を監視制御してもよい。開閉センサ１４２の検出によって、マイクロコンピュータ１２０（ＣＰＵ１２２）を介してまたは直接的にスイッチ１６６がターンオン／ターンオフされる。

表示器１４４は、マイクロコンピュータ１２０（ＣＰＵ１２２）によって制御され駆動されて、ＵＳＢメモリ１００の動作状態、およびマイクロコンピュータ１２０による最初または次のアクセス不能化または保護護処理までの残り時間を表示してもよい。

マイクロコンピュータ１２０は、ＣＰＵ１２２、ＲＡＭ１２６、内部のフラッシュ・メモリ１２４、および電源制御回路１２８を含んでいる。内部のフラッシュ・メモリ１２４は、ＣＰＵ１２２によって用いられるファームウェア・プログラム（ＦＷ）、およびデータ（認証用の識別情報、データ・ファイル等の暗号鍵、アクセス不能化（無効化）ポリシー、ログ、状態情報）を格納することができる。

情報処理装置１００（プロセッサ４２）によって用いられるユーザ用のＵＳＢメモリ・ユティリティ・プログラム（ＰＲＧ＿Ｕ）が、ＲＯＭ１１８に格納されている。マイクロコンピュータ１２０のＣＰＵ１２２によって用いられるＵＳＢメモリ・ユティリティ（管理、認証、ポリシー評価、等用）プログラム（ＰＲＧ＿Ｆ）が、フラッシュ・メモリ１２４に格納されている。

ＵＳＢメモリ１００はそのＵＳＢインタフェース１１０（ＤＬ）を介して情報処理装置４０のＵＳＢポート４９に結合される。ＲＯＭ１１８およびマイクロコンピュータ１２０は、ＵＳＢハブ１１２（ＤＬ）を介してＵＳＢインタフェース１１０に結合されている。マイクロコンピュータ１２０は、ハブ・スイッチ１３０（ＤＬ）を介してフラッシュ・メモリ１３４に結合され、バッテリおよび充電回路１６０、リアルタイム・クロック１６４、開閉センサ１４２および表示器１４４に結合されている。フラッシュ・メモリ１３４は、ハブ・スイッチ１３０およびＵＳＢハブ１１２（ＤＬ）を介してＵＳＢインタフェース１１０またはマイクロコンピュータ１２０に結合される。

バッテリおよび充電回路１６０は、ＵＳＢハブ１１２およびＵＳＢインタフェース１１０（ＰＬ）を介して、情報処理装置４０のＵＳＢポート４９から給電を受けて再充電可能なバッテリに充電し、補助電源回路１６２に給電し、スイッチ１６６を介して主要電源回路１５０に給電する。バッテリおよび充電回路１６０は補助電源回路１６２に結合されている。主要電源回路１５０は、ＵＳＢハブ１１２およびＵＳＢインタフェース１１０（ＰＬ）を介して情報処理装置４０のＵＳＢポート４９からも給電を受ける。また、主要電源回路１５０は、ＵＳＢメモリ１００が情報処理装置４０に結合されていない場合には、スイッチ１６６によってオン／オフ制御され、バッテリおよび充電回路１６０から給電を受ける。

スイッチ１６６は、マイクロコンピュータ１２０、リアルタイム・クロック１６４、および／または開閉センサ１４２によって制御される。

主要電源回路１５０は、ＵＳＢインタフェース１１０が情報処理装置４０のＵＳＢポートに結合されたときまたはスイッチ１６６によってターンオンされてバッテリおよび充電回路１６０から給電されたとき、ＲＯＭ１１８、マイクロコンピュータ１２０、フラッシュ・メモリ１３４、および表示器１４４に電力を供給する。補助電源回路１６２は、開閉センサ１４２、リアルタイム・クロック１６４、およびスイッチ１６６に電力を供給する。表示器１４４は、主要電源回路１５０によってではなく、補助電源回路１６２によって電力を供給されてもよい。

情報処理装置４０のプロセッサ４２は、記憶装置４４またはＵＳＢメモリ１００（ＲＯＭ１１８）に格納されているプログラム（ＰＲＧ＿Ｍ、ＰＲＧ＿Ｕ）に従って動作することができる。記憶装置４４には、管理者用のユティリティ・プログラム（ＰＲＧ＿Ｍ）、および／またはユーザ用のユティリティ・プログラム（ＰＲＧ＿Ｕ）が格納される。

ユーザ用のユティリティ・プログラム（ＰＲＧ＿Ｕ）は、ＵＳＢメモリ１００が情報処理装置４０に結合されたときに、ＵＳＢメモリ１００のＲＯＭ１１８から読み込まれて記憶装置４４に格納される。ユーザ用のユティリティ・プログラムは、例えば、ユーザ認証、情報処理装置認証、ＵＳＢメモリ１００（フラッシュ・メモリ１３４）のファイル・システム構築用の管理プログラムを含んでいる。

管理者用のユティリティ・プログラム（ＰＲＧ＿Ｍ）は、例えば、管理者認証、情報処理装置認証、アクセスを許容する情報処理装置の設定（追加、変更、削除）、アクセス不能化ポリシーの設定（追加、変更、削除）、ＵＳＢメモリ１００（フラッシュ・メモリ１３４）のファイル・システム構築用の管理プログラムを含んでいる。そのアクセス不能化ポリシーは、ルールまたは条件および不能化処理法の識別情報および／またはパラメータを含んでいてもよい。入力装置４６には、例えばキーボード、ポインティング・デバイス等が含まれる。

認証処理部２２は、認証情報の保存、ユーザ認証、管理者（特権ユーザ）認証、または情報処理装置または端末の認証を行う。それによって、ＵＳＢメモリ１００の正規の情報処理装置との接続、およびＵＳＢメモリ１００の正規のユーザまたは管理者による使用が検出（検知）される。ＣＰＵ１２２は、ログまたは状態情報として、現在の日時、認証等のイベント発生日時、情報処理装置を介してサーバ２０に接続された日時、ＵＳＢメモリ１００（フラッシュ・メモリ１３４）が開かれおよび閉じられた（キャップの開閉またはストラップ着脱）日時、連続的なユーザ認証失敗回数、連続的な管理者（特権ユーザ）認証失敗回数、情報処理装置４０の連続的な認証失敗回数、バッテリ電力残量、状態情報、等を、状態情報およびログ保存部（３６）に記録する。

図４は、ＵＳＢメモリ１００におけるフラッシュ・メモリ１２４に格納されるログのフォーマットの例を示している。ログは、例えば、イベント発生日時、アクセス不能化の発生の要因、アクセス不能化方法、および適用された閾値を含んでいる。ＵＳＢメモリ１００へのアクセス不能化の要因は、例えば、最後の許可されたアクセスの時点からの経過時間、パスワード認証の失敗の回数、バッテリ電力残量の低下、等がある。アクセス不能化方法には、暗号鍵の消去、データの部分的消去、フラッシュ・メモリ１３４の上書き消去、フラッシュ・メモリ１３４のロック、機能制限（例、認証機能の制限）、等がある。図４において、２月２８日１１：００においてバッテリが２２００ｍＶに低下しそれによって暗号鍵が消去され、その後でバッテリ電力が切れてＵＳＢメモリ１００の設定が初期化されリアルタイム・クロック１６４が初期状態の２００８年に設定されている。

図３は、本発明の別の実施形態によるＵＳＢメモリ１００の別の概略的な機器構成または配置を示している。

図３において、図２のハブ・スイッチ１３０の代わりに、マイクロコンピュータ１２０内に設けられたハブ・スイッチ１３２の機能が用いられる。図３に示すＵＳＢメモリ１００のその他の機器構成または配置やその動作は図２のものと同様である。

図５は、図２および３のマイクロコンピュータ１２０の内部の主要な機能部の機能構成または配置を示している。

マイクロコンピュータ１２０は、機能部分または回路部分として、ポリシー評価部または判定部２０、認証処理部２２、コマンド処理部２４、アクセス不能化ポリシー保存部（設定情報記憶部）２６、時間管理部２８、状態出力部３０を含んでいる。また、マイクロコンピュータ１２０は、他の機能部分または回路部分として、アクセス不能化を選択または制御する選択部または制御部３２、アクセス不能化処理部（実行部）またはデータ保護処理部３４、および状態情報およびログ（記録）保存部（状態情報保持部）３６を含んでいる。これらの機能は、フラッシュ・メモリ１２４内のファームウェアＦＷまたはプログラムＰＲＧ＿Ｆによって実現（実装）される。認証処理部２２は認証情報保存部を有する。認証処理部２２の認証情報保存部、アクセス不能化ポリシー保存部２６、および状態情報およびログ保存部３６は、マイクロコンピュータ１２０内のフラッシュ・メモリ１２４の領域である。フラッシュ・メモリ１２４内のファームウェアＦＷ、プログラムＰＲＧ＿Ｆおよびデータは、バッテリおよび充電回路１６０のバッテリの電力残量がなくなっても消失しない。

アクセス不能化処理部３４の保護処理１の暗号鍵消去は、フラッシュ・メモリ１２４または１３４内に保存された複数の暗号鍵を消去する処理である。それら複数の暗号鍵は、暗号化されたデータ・ファイルがフラッシュ・メモリ１３４に格納されるときに生成されてフラッシュ・メモリ１２４または１３４に保存される。

ポリシー評価部２０は、アクセス不能化ポリシー保存部（ルールまたは条件および不能化処理法の記憶部）２６に保存されているそれぞれのアクセス不能化ポリシー（そのルールまたは条件および不能化処理法）に従って、現在の日時、ログおよび状態情報に基づいて、ＵＳＢメモリ１００を保護すべきかどうか、即ちＵＳＢメモリ１００のフラッシュ・メモリ１３４内のデータ・ファイルへのアクセスをそれぞれの保護レベルで不能化すべきかどうかを判定する。ＵＳＢメモリ１００を保護すべきと判定された場合には、ポリシー評価部２０は選択部３２を制御してアクセス不能化方法または保護方法を選択して、暗号鍵消去、データ消去、機能制限、等の、フラッシュ・メモリ１３４内データへのアクセス不能化を行う。

認証処理部２２は、認証用の識別情報を設定し、管理者によって設定された認証用の識別情報に基づいて、アクセスを許容された情報処理装置の認証、管理者の認証、ユーザの認証、等を行う。

コマンド処理部２４は情報処理装置４０から受け取ったコマンドを実行する。コマンド処理部２４は、コマンドに従って、管理者によって設定されたアクセス不能化ポリシー（そのルールまたは条件および不能化処理法を表す識別情報および／またはパラメータ）をアクセス不能化ポリシー保存部２６に格納する。コマンド処理部２４は、コマンドに従って、ハブ・スイッチ１３０または１３２を制御する。コマンド処理部２４は、コマンドに従って、状態出力部または状態転送部３０に、状態情報またはログをＵＳＢインタフェース１１０およびＵＳＢハブ１１２を介して情報処理装置４０へと転送し出力させる。

時間管理部２８は、ポリシー評価部２０の要求または評価結果に従って、リアルタイム・クロック１６４を管理し設定し制御する。

図６Ａおよび６Ｂは、認証処理部２２においていずれかの認証に失敗したときに、ＵＳＢメモリ１００のマイクロコンピュータ１２０（ＣＰＵ１２２）によって実行される、データ保護のためのポリシー評価のためのフローチャートの例を示している。図６Ｂは、図６Ａにおけるステップ４２２、４２３の詳細なフローチャートを示している。

ステップ４０２において、ＵＳＢインタフェース１１０が情報処理装置４０のＵＳＢポート４９に結合されてＵＳＢポート４９から主要電源回路１５０に給電されたとき、主要電源回路１５０は、ターンオン状態になって、マイクロコンピュータ１２０、主要フラッシュ・メモリ１３４および表示器１４４に電力を供給する。スイッチ１６６がオン状態になってバッテリおよび充電回路１６０から主要電源回路１５０に給電されたときも、主要電源回路１５０は同様に動作する。従って、マイクロコンピュータ１２０が起動して、ポリシー評価部２０が動作する。

ＵＳＢメモリ１００のＵＳＢインタフェース１１０が情報処理装置４０のＵＳＢポート４９に動作上結合されたとき、ＲＯＭ１１８に格納されていたユーザ用のＵＳＢメモリ・ユティリティ（管理、認証、ファイル・システム構築、等）プログラム（ＰＲＧ＿Ｕ）が情報処理装置４０のプロセッサ４２によって自動的に読み込まれて実行される。それによって、ＵＳＢメモリ１００へのアクセスのためのユーザ用の認証画面が表示装置４８に表示される。

管理者用ＵＳＢメモリ・ユティリティ・プログラム（ＰＲＧ＿Ｍ）が、記憶装置４４に格納されていて、管理者（特権ユーザ）の操作に従って情報処理装置４０のプロセッサ４２によって実行される。それによって、ＵＳＢメモリ１００へのアクセスのための管理者用の認証画面が表示装置４８に表示される。

情報処理装置４０のプロセッサ４２は、ユーザまたは管理者によって入力されプロセッサ４２によって供給された識別情報（ＩＤ、パスワード、等）、または記憶装置４４に格納された情報処理装置４０の認証用の識別情報をＵＳＢメモリ１００に供給する。ＵＳＢメモリ１００のマイクロコンピュータ１２０の認証処理部２２は、受け取った識別情報と、フラッシュ・メモリ１２４またはフラッシュ・メモリ１３４に予め格納された識別情報とを比較して、情報処理装置４０の装置認証、ユーザ認証または管理者認証を行う。

認証が成功したと判定された場合は、コマンド処理部２４は、情報処理装置４０からコマンドを受け取って、そのコマンドに従ってハブ・スイッチ１３０または１３２をＵＳＢハブ１１２側に切り換えてフラッシュ・メモリ１３４をＵＳＢハブ１１２に接続し情報処理装置４０のＵＳＢポート４９に接続する。それによって、情報処理装置４０のプロセッサ４２は、フラッシュ・メモリ１３４中のデータ・ファイルにアクセス可能となる。プロセッサ４２は、ユーザまたは管理者（特権ユーザ）の操作またはコマンドに従ってフラッシュ・メモリ１３４内のデータ・ファイルを処理し、またはフラッシュ・メモリ１３４に新しいデータ・ファイルを追加する。

ステップ４０４においてポリシー評価部２０は認証処理部２２による現在の認証状態または認証結果を確認する。ポリシー評価部２０は、表示器１４４に、最初のまたは次のアクセス不能化処理の開始までの残り時間を表す情報、および現在のバッテリ電力残量を表す情報を表示する。その表示の形態は、その情報に対応する色のＬＥＤの発光および／または発光の形態またはパターン（例えば、点灯するＬＥＤの色、連続点灯、長い周期の点滅、短い周期の点滅、等）であってもよい。それによって、アクセス不能化に関してユーザに注意を促すことができる。ステップ４０６において、ポリシー評価部２０は、現時点で認証が成功したかどうかを判定する。認証が成功したと判定された場合は、手順はステップ４１０に進む。

ステップ４１０において、ポリシー評価部２０または認証処理部２２（ＣＰＵ１２２）は、フラッシュ・メモリ１３４がユーザ、管理者（特権ユーザ）または情報処理装置４０によってアクセスされた日時（結合の日時、開閉センサ１４２が検出した開いた日時、開閉センサ１４２が検出した閉じた日時）をログとして記録してもよい。ポリシー評価部２０または認証処理部２２（ＣＰＵ１２２）は、状態情報およびログ保存部３６のログにおける認証失敗の記録を消去しリセットする。

ステップ４０６において認証がなされずまたは認証に失敗したと判定された場合は、ステップ４０８において、ポリシー評価部２０または認証処理部２２（ＣＰＵ１２２）は、現在の日時（日付と時刻）および認証失敗回数をログとして記録する。その後、手順はステップ４７４に進む。

ステップ４２０において、ポリシー評価部２０は、アクセス不能化ポリシー保存部２６、状態情報およびログ保存部３６、およびリアルタイム・クロック１６４または状態情報およびログ保存部３６にアクセスして、管理者（特権ユーザ）またはユーザによってその設定された各アクセス不能化ポリシー（そのルールまたは条件（要因、閾値））に従って現在の日時に基づいてＵＳＢメモリ１００の状態またはログ（記録）を判定し評価する。

ステップ４２２において、ポリシー評価部２０は、評価の結果に従って、フラッシュ・メモリ１３４中のデータ・ファイルを保護すべきかどうかを判定する。保護すべきと判定された場合は、手順はステップ４２３に進む。保護する必要がないと判定された場合は、手順はステップ４７４に進む。

ステップ４２３において、ポリシー評価部２０は、選択器３２を制御して所要の保護処理を実行する。その後、手順はステップ４０４に戻る。

ステップ４７４において、ポリシー評価部２０は、現在、ＵＳＢメモリ１００が情報処理装置４０に結合されているかどうかを判定する。それが結合されていると判定された場合は、ステップ４７６において、コマンド処理部２４は、情報処理装置１００からのコマンドを受け付け、バッテリおよび充電回路１６０への充電を継続する。その後、手順はステップ４０４に戻る。

ステップ４７４においてＵＳＢメモリ１００が情報処理装置４０に結合されていないと判定された場合は、ステップ４７８において、ポリシー評価部２０は、アクセス不能化ポリシー保存部２６を参照して各アクセス不能化ポリシー（そのルールまたは条件）の要因および閾値の時間に基づいて次のおよびその後のポリシー評価の開始時間を決定して時間管理部２８に供給する。例えば、最も先に到来する時間閾値が時間計測開始時点から３×２４時間であれば、ポリシー評価の開始時間を、２４時間、４８時間、６０時間、６６時間、６９時間、７２時間の経過点としてもよい。ポリシー評価部２０のポリシー評価の開始時間に基づいて、時間管理部２８は、次の主要電源１５０の起動時間（日時）を決定して、その時間をリアルタイム・クロック１６４に設定する。

また、ポリシー評価部２０は、ＵＳＢメモリ１００が情報処理装置４０に結合されたときまたは常に、最初のまたは次のアクセス不能化処理の実行開始までの残り時間を表す情報およびバッテリ電力残量を表す情報を、表示器１４４に表示してもよい。ステップ４８０において、ポリシー評価部２０は、時間管理部２８を介して主要電源１５０をターンオフする。その後、手順は図６Ａのルーチンを出る。

図６Ｂを参照すると、ステップ４２０の後のステップ４２４において、ポリシー評価部２０は、ポリシー１（その不能化識別情報）のルールによる保護処理が未だ実行されておらず、かつ現在のＵＳＢメモリ１００の状態がアクセス不能化ポリシー保存部２６内のポリシー１のルールまたは条件を満たすまたは充足するかどうかを判定する。そのルールは、例えば、認証により許可された最後のアクセスの時間またはＵＳＢメモリ１００を閉じた時間からの経過時間（要因）が閾値（パラメータ）２４時間を超えている場合に、フラッシュ・メモリ１３４中のデータ・ファイルに用いられるフラッシュ・メモリ１２４または１３４に格納された暗号鍵を消去することである。ステップ４２４においてポリシー１のルールによる保護処理が実行済みであるかまたはその状態がポリシー１のルールまたは条件を満たさないと判定された場合は、手順はステップ４３４に進む。

ステップ４２４においてポリシー１のルールまたは条件を満たすと判定された場合は、ステップ４２６において、ポリシー評価部２０は、ＵＳＢメモリ１００へのアクセスを防止するためにＵＳＢインタフェース１１２を一時的にロックする。即ち、ポリシー評価部２０は、ハブ・スイッチ１３０または１３２により、フラッシュ・メモリ１３４をＵＳＢインタフェース１１２側からマイクロコンピュータ１２０側へ切り換える。ポリシー評価部２０は、保護処理として、選択器３２によりアクセス不能化処理部３４中の保護処理１（暗号鍵の消去）を選択して、データ・ファイル用のフラッシュ・メモリ１２４または１３４中の全ての暗号鍵を消去する。その後、手順はステップ４７０に進む。

ステップ４３４において、ポリシー評価部２０は、ポリシー２のルールによる保護処理が未だ実行されておらず、かつ現在のＵＳＢメモリ１００の状態がポリシー２のルールまたは条件を満たすかどうかを判定する。そのルールは、例えば、許可された最後のアクセスの時間またはＵＳＢメモリ１００を閉じた時間からの経過時間（要因）が閾値（パラメータ）４８時間を超えている場合に、フラッシュ・メモリ１３４内のデータ・ファイル中のファイル・テーブルまたは一部のファイルを消去することである。その一部のファイルとは、例えば、暗号化されているファイル、または作成日または更新日が現在より１カ月未満前の新しいファイルである。ステップ４３４においてポリシー２のルールによる保護処理が実行済みであるかまたはその状態がポリシー２のルールまたは条件を満たさないと判定された場合は、手順はステップ４４４に進む。

フラッシュ・メモリ１３４内の一部のファイルが消去されると、その一部のファイルへのアクセスが困難になる。

ステップ４３４においてポリシー２のルールまたは条件を満たすと判定された場合は、ステップ４３６において、ポリシー評価部２０は、ＵＳＢインタフェース１１２を一時的にロックする。次いで、ポリシー評価部２０は、保護処理として、選択器３２によりアクセス不能化処理部３４中の保護処理２を選択して、フラッシュ・メモリ１３４内のファイル・テーブルまたは一部のファイルを消去する。その後、手順はステップ４７０に進む。

フラッシュ・メモリ１３４内のファイル・テーブルまたは一部のファイルが消去されると、そのファイル・テーブルまたは一部のファイルへのアクセスは困難になる。

ステップ４４４において、ポリシー評価部２０は、ポリシー３のルールによる保護処理が未だ実行されておらず、かつ現在のＵＳＢメモリ１００の状態がポリシー３のルールまたは条件を満たすかどうかを判定する。そのルールは、例えば、許可された最後のアクセスの時間またはＵＳＢメモリ１００を閉じた時間からの経過時間（要因）が閾値（パラメータ）５日（５×２４時間）を超えている場合に、フラッシュ・メモリ１３４内の全てのデータを上書き消去することである。ステップ４４４においてポリシー３のルールによる保護処理が実行済みであるかまたはその状態がポリシー３のルールまたは条件を満たさないと判定された場合は、手順はステップ４５４に進む。

ステップ４４４においてポリシー３のルールまたは条件を満たすと判定された場合は、ステップ４４６において、ポリシー評価部２０は、ＵＳＢインタフェース１１２を一時的にロックする。次いで、ポリシー評価部２０は、保護処理として、選択器３２によりアクセス不能化処理部３４中の保護処理３を選択して、フラッシュ・メモリ１３４内の全てのデータ（ログ以外のデータ）を上書き消去する。その後、手順はステップ４７０に進む。

フラッシュ・メモリ１３４内の全データが上書き消去されると、その全てのデータは技術的に分析しても復活させることができない。従って、ＵＳＢメモリ１００（フラッシュ・メモリ１３４）内のデータへのアクセスは不可能になる。

ステップ４５４において、ポリシー評価部２０は、ポリシー４のルールによる保護処理が未だ実行されておらず、かつ現在のＵＳＢメモリ１００の状態がポリシー４のルールまたは条件を満たすかどうかを判定する。そのルールは、例えば、許可された最後のアクセスの時間またはＵＳＢメモリ１００を閉じた時間からの経過時間（要因）が閾値（パラメータ）６日（６×２４時間）を超えている場合に、ＵＳＢインタフェース１１２を固定的にロックすることである。ステップ４５４においてポリシー４のルールによる保護処理が実行済みであるかまたはその状態がポリシー４のルールまたは条件を満たさないと判定された場合は、手順はステップ４６４に進む。

ステップ４５４においてポリシー４のルールまたは条件を満たすと判定された場合は、ステップ４４６において、ポリシー評価部２０は、保護処理として、ＵＳＢインタフェース１１２を固定的にロックする。即ち、ポリシー評価部２０は、ハブ・スイッチ１３０または１３２により、フラッシュ・メモリ１３４をＵＳＢインタフェース１１２側からマイクロコンピュータ１２０側へ切り換える。その後、手順はステップ４７０に進む。

ＵＳＢインタフェース１１２が固定的にロックされると、権限ある管理者以外の者は、フラッシュ・メモリ１３４にアクセスできなくなる。

ステップ４６４において、ポリシー評価部２０は、ポリシー５のルールによる保護処理が未だ実行されておらず、かつ現在のＵＳＢメモリ１００の状態がポリシー５のルールまたは条件を満たすかどうかを判定する。そのルールは、例えば、許可された最後のアクセスの時間またはＵＳＢメモリ１００を閉じた時間からの経過時間（要因）が閾値（パラメータ）７日（７×２４時間）を超えている場合に、フラッシュ・メモリ１３４内の全データを上書き消去し、フラッシュ・メモリ１２４の一部の機能、例えば認証機能を停止させることである。ステップ４６４においてポリシー５のルールによる保護処理が実行済みであるかまたはその状態がポリシー５のルールまたは条件を満たさないと判定された場合は、手順は図６Ａのステップ４７４に進む。

ステップ４６４においてポリシー５のルールまたは条件を満たすと判定された場合は、ステップ４６６において、ポリシー評価部２０は、ＵＳＢインタフェース１１２がロックされていない場合は、ＵＳＢインタフェース１１２を一時的にロックする。ＵＳＢインタフェース１１２が既にロックされている場合は、そのロック状態を一時的ロックとして維持する。次いで、ポリシー評価部２０は、保護処理として、選択器３２によりアクセス不能化処理部３４中の保護処理５を選択して、フラッシュ・メモリ１３４内の全てのデータ（ログ以外のデータ）を上書き消去する。ポリシー評価部２０は、さらに、フラッシュ・メモリ１２４の一部の機能、例えば認証機能のファームウェアＦＭまたはプログラムＰＲＧ＿Ｆを部分的に消去または書き換えてその機能を停止させる。その後、ステップ４４８において保護処理が完了したと判定された場合は、手順はステップ４７０に進む。

認証処理部２２の認証機能が停止すると、コマンド処理部２４は情報処理装置４０からのコマンドを受け付けなくなる。従って、ＵＳＢメモリ１００（フラッシュ・メモリ１３４）内のデータへのアクセスは不可能になり、ＵＳＢメモリ１００を使用することもできなくなる。

ポリシー評価部２０は、さらにアクセス不能化ポリシー保存部２６内の他のアクセス不能化ポリシー（そのルールまたは条件）についても同様に判定し、対応する保護処理を実行してもよい。そのルールは、例えば、ＵＳＢメモリ１００の情報処理装置４０への接続後から正当なユーザ認証までの経過時間（要因）が閾値（パラメータ）１２時間を超え、かつ連続的なユーザ認証失敗回数が５回を超えた場合に、フラッシュ・メモリ１３４内のデータ・ファイル中のファイル・テーブル、一部のファイルまたは全てのデータを上書き消去するものであってもよい。そのルールは、例えば、バッテリおよび充電回路１６０中のバッテリ電力残量を表す電圧が２２００ｍＶ以下に低下し、かつ連続的なユーザ認証失敗回数が５回を超えた場合に、フラッシュ・メモリ１３４内のデータ・ファイル中のファイル・テーブル、一部のファイルまたは全てのデータを上書き消去するものであってもよい。

ステップ４７０において、ポリシー評価部２０は、保護処理の結果として生じたＵＳＢメモリ１００の状態をログとして状態情報およびログ保存部３６に保存する。保護処理におけるロックが一時的ロックであった場合は、ポリシー評価部２０は、さらに、選択部３２を介して、ＵＳＢインタフェース１１２のロックを解除し、即ちハブ・スイッチ１３０または１３２により、フラッシュ・メモリ１３４をマイクロコンピュータ１２０側への強制的接続状態を解除してもよい。フラッシュ・メモリ１３４は、ハブ・スイッチ１３０または１３２によってＵＳＢインタフェース１１０に接続可能となる。但し、保護処理におけるロックが固定的ロックである場合（ポリシー４）は、ポリシー評価部２０はロック解除を行わない。

図７Ａは、アクセス不能化ポリシーのフォーマットの例を示している。図７Ｂは、図７Ａのフォーマットにおけるアクセス不能化を生じさせる要因の値の定義の例を示している。図７Ｃは、図７Ａのフォーマットにおけるアクセス不能化方法の値の定義の例を示している。

図７Ａにおいて、アクセス不能化ポリシーのフォーマットは、例えば、アクセス不能化を生じさせる要因（１バイト）、アクセス不能化方法（１バイト）、アクセス不能化を生じさせるための閾値（４バイト）を含んでいる。閾値は、アクセス不能化を生じさせる要因に関する閾値である。

図７Ｂにおいて、アクセス不能化を生じさせる要因として、例えば、正当な最後のアクセスからの経過時間、バッテリの電力残量、情報処理装置の認証の失敗回数、ユーザ認証の失敗回数、管理者（特権ユーザ）認証の失敗回数、ＵＳＢメモリ１００の情報処理装置への結合開始から情報処理装置の認証完了（成功）までの時間、ユーザによるアクセス不能化コマンド、開閉センサ１４２が検出したキャップ１０２またはストラップ１０４が開いた後の経過時間、等の項目を含んでいる。アクセス不能化を生じさせる要因として、開閉センサ１４２が検出したキャップ１０２またはストラップ１０４が閉じた後の経過時間を用いてもよい。開閉センサ１４２によって検出された物理的開閉からの経過時間を用いることによって、ユーザが最後にＵＳＢメモリ１００のキャップ１０２またはストラップ１０４を開いたまたは閉じた時点からの経過時間をアクセス不能化を生じさせる要因とすることができる。

上述のように経過時間に応じてＵＳＢメモリ１００のデータへのアクセスを異なるレベルで不能化することによって、権限のない者がＵＳＢメモリ１００に時間をかけて様々な手法でアクセスしようとした場合にもＵＳＢメモリ１００内のユーザのデータへの不正なアクセスの可能性をより低くしまたはなくすことができる。経過時間が或る閾値以下であれば、正規のユーザは正当な認証によってＵＳＢメモリ１００を使用できる。それによって、ＵＳＢメモリ１００の利用における正規のユーザの利便性を確保することができる。

上述のように、経過時間が増加するにしたがって、ＵＳＢメモリ１００におけるデータの消去の範囲を段階的に拡大することによって、不正なデータ流出を防止すると共に、当該消去処理から復帰するまで正規のユーザであってもその記憶媒体を利用することができないという不都合を最小限にすることが期待される。即ち、経過時間が比較的短い段階では、ＵＳＢメモリ１００からデータを消去する範囲も少なくすることによって、当該消去処理から復帰するまでの所要時間を少なく済ませることができる。

上述のように認証の失敗回数に応じてＵＳＢメモリ１００のデータへのアクセスを異なるレベルで不能化することによって、権限のない者がＵＳＢメモリ１００にアクセスしようと多数回認証を試みた場合にもＵＳＢメモリ１００内のユーザのデータへの不正なアクセスの可能性をより低くしまたはなくすことができる。認証の連続的失敗回数が或る閾値以下であれば、正規のユーザは正当な認証によってＵＳＢメモリ１００を使用できるようになる。それによって、ＵＳＢメモリ１００の利用における正規のユーザの利便性を確保することができる。

図７Ｃにおいて、アクセス不能化方法として、例えば、データの上書き消去、データの部分的消去、ファイルのリストの消去、フラッシュ・メモリ１３４（ハブ・スイッチ１３０、１３２）のロック、暗号鍵の消去、機能制限、等を含んでいる。

図８Ａは、要因としての経過時間に対するアクセス不能化方法および閾値のテーブルの例を示している。図８Ｂは、設定されたアクセス不能化方法および閾値の例を示している。この場合、要因は全て経過時間である。

図８Ａ中のいくつかの項目（行）の内容（条件（要因、閾値）および不能化処理法）が適用されるのもとして選択されて、ＵＳＢメモリ１００（フラッシュ・メモリ１２４、アクセス不能化ポリシー保存部２６）に設定される。図８Ｂの例において、図８Ａの複数の項目の内容の中の幾つかの項目が選択されて設定されている。
例えば、図８Ｂの項目１の内容（条件および不能化処理法）が設定された場合、閾値１２０時間が経過したときフラッシュ・メモリ１３４のデータの上書き消去が生じる。例えば、図８Ｂの項目２の内容（条件および不能化処理法）が設定された場合、閾値１４４時間が経過したとき、フラッシュ・メモリ１３４のデータの上書き消去と、ハブ・スイッチ１３０または１３２によるフラッシュ・メモリ１３４のロックとが発生する。例えば、図８Ｂの項目３の内容（条件および不能化処理法）が設定された場合、閾値１６８時間が経過したとき、フラッシュ・メモリ１３４のデータの上書き消去と、暗号鍵の消去と、機能制限とが発生する。機能制限は、フラッシュ・メモリ１２４のファームウェア（ＦＷ）またはユティリティ・プログラム（ＰＲＧ＿Ｆ）の対応する機能部分の部分的な消去または書き換えであってもよい。

上述のように異なる複数のアクセス不能化形態を用意することによって、それぞれの要因に応じて異なるレベルでＵＳＢメモリ１００またはそのデータを保護することができる。それによって、正規のユーザがＵＳＢメモリ１００のデータにアクセスしようとする可能性が高い状況においては、そのデータへのアクセスの可能性を高くすることができる。また、権限のない者がＵＳＢメモリ１００のデータに不正にアクセスしようとする可能性が高い状況においては、そのデータの保護の度合いを高くすることができる。データの種類に応じてデータを異なるレベルで保護することによって、秘密性の高いデータにはより高い保護を与え、秘密性の低いデータはより低い保護を与えることができる。それによって、ＵＳＢメモリ１００の利用における正規のユーザの利便性を確保することができる。

図９は、ＵＳＢメモリ１００のマイクロコンピュータ１２０によって使用される状態遷移図を示している。

ＵＳＢメモリ１００は、工場から出荷した時には初期モード５０２で動作する。管理者または特権ユーザが、そのＵＳＢメモリ１００を情報処理装置４０のＵＳＢポート４９に結合して、管理者の所要の識別情報（ＩＤ）またはパスワードを入力してＵＳＢメモリ１００に設定すると、ＵＳＢメモリ１００は管理者モード５０４に移行する。

管理者モード５０４において、管理者は、情報処理装置４０を操作して、アクセスを許容する情報処理装置４０の装置識別情報、アクセスを許容するユーザの識別情報、およびアクセス不能化ポリシーを、ＵＳＢメモリ１００に設定し、追加または変更することができる。アクセス不能化ポリシーは、そのルールまたは条件（要因、閾値）および不能化処理法を表す識別情報および／またはパラメータによって表される。管理者モード５０４において、管理者が装置識別情報およびアクセス不能化ポリシー等の設定、追加または変更を完了させると、ＵＳＢメモリ１００は正常モード５０６に移行する。正常モード５０６において、ＵＳＢメモリ１００においてアクセス不能化ポリシーが有効化される。

正常モード５０６において、ユーザは、ＵＳＢメモリ１００を情報処理装置４０に結合してＵＳＢメモリ１００のフラッシュ・メモリ１３４にアクセスすることができ、フラッシュ・メモリ１３４中の有効なデータ・ファイルを開くことができ、フラッシュ・メモリ１３４に新しいデータ・ファイルを追加し、ＵＳＢメモリ１００を削除することができる。

正常モード５０６においてアクセス不能化ポリシー（そのルールまたは条件および不能化処理法）が適用される状態が発生すると、ＵＳＢメモリ１００は、アクセス不能化のための保護処理を実行してアクセス不能化モード５０８に移行する。アクセス不能化の結果として、ＵＳＢメモリ１００の機能制限が発生した場合は、機能制限モード５１２に移行する。

アクセス不能化モード５０８において、他の複数のアクセス不能化ポリシーが継続的に有効である。アクセス不能化モード５０８において、別のアクセス不能化ポリシー（そのルールまたは条件および不能化処理法）が適用される状態が発生すると、ＵＳＢメモリ１００は、アクセス不能化のための別の保護処理を実行してアクセス不能化モード５０８を維持する。アクセス不能化モード５０８には、例えば、暗号鍵の消去状態、データ・ファイルの消去状態、データの消去状態、ロック状態、等が存在する。アクセス不能化の結果として、ＵＳＢメモリ１００の機能制限が発生した場合は、機能制限モード５１２に移行する。

アクセス不能化モード５０８において、管理者がＵＳＢメモリ１００を情報処理装置４０のＵＳＢポート４９に結合して正常に認証すると、アクセス不能化モード５０８が解除される。保護処理の結果としてＵＳＢメモリ１００がロック状態にある場合は、管理者による認証によってそのロック状態が解除される。それによって、ＵＳＢメモリ１００は、自己の状態情報およびログを更新して管理者モード５０４に移行する。管理者モード５０４において、管理者が解除または復旧処理を完了させると、ＵＳＢメモリ１００は正常モード５０６に移行する。

但し、保護処理の結果として、少なくともデータの一部が消去され、暗号鍵が消去されて少なくとも一部のデータ・ファイルへのセクセスができず、または少なくとも一部のデータ・ファイルが消去されていることがある。フラッシュ・メモリ１３４の全てのデータが上書き消去されている場合は、管理者は、管理者用のユティリティ・プログラム（ＰＲＧ＿Ｍ）を用いて、ファイル・システムを再構築することができる。

アクセス不能化モード５０８において、ユーザがＵＳＢメモリ１００を情報処理装置４０のＵＳＢポート４９に結合して正常に認証してアクセス不能化モード５０８を解除すると、ＵＳＢメモリ１００は、自己の状態情報およびログを更新して正常モード５０６に移行する。

但し、保護処理の結果として、ＵＳＢメモリ１００がロック状態にあることがあり、または、少なくともデータの一部が消去され、少なくとも一部のデータ・ファイルへのセクセスができず、少なくとも一部のデータ・ファイルが消去されていることがある。保護処理の結果としてＵＳＢメモリ１００がロック状態にある場合は、管理者のみによってそのロック状態が解除され、ユーザによってはそのロック状態が解除できないようにしてもよい。フラッシュ・メモリ１３４の全てのデータが上書き消去されている場合は、ユーザは、フラッシュ・メモリ１２４のファームウェア（ユティリティ・プログラム）を用いて、ファイル・システムを再構築することができる。

正常モード５０６において管理者がＵＳＢメモリ１００を情報処理装置４０のＵＳＢポート４９に結合して正常に認証を行うと、ＵＳＢメモリ１００は管理者モード５０４に移行する。それによって、ＵＳＢメモリ１００への装置識別情報およびアクセス不能化ポリシー等の設定、追加または更新が可能になる。ＵＳＢメモリ１００のログは更新される。

アクセス不能化モード５０８または正常モード５０６において機能制限が発生すると、ＵＳＢメモリ１００は機能制限モードに移行する。機能制限モード５１２において、ユーザまたは管理者がＵＳＢメモリ１００を情報処理装置４０のＵＳＢポート４９に結合して認証を行おうとしても、ＵＳＢメモリ１００はいかなる認証をも受け付けず、新しいコマンドを受け付けない。

機能制限モード５１２において、製造業者の権限でオペレータがＵＳＢメモリ１００の機能制限を解除して復旧処理すると、ＵＳＢメモリ１００は初期モード５０２で動作する。その復旧処理は、例えばフラッシュ・メモリ１２４のファームウェア（ＦＷ）またはユティリティ・プログラム（ＰＲＧ＿Ｆ）の修復による復旧処理であってもよい。

図１０は、情報処理装置４０とＵＳＢメモリ１００の間の処理手順を示している。

ステップ６０２においてユーザがＵＳＢメモリ１００を情報処理装置４０に結合すると、ステップ４３２において、ユーザ用のユティリティ・プログラム（ＰＲＧ＿Ｕ）を実行する。ユーザ用のユティリティ・プログラムが情報処理装置４０にインストールされていない場合は、情報処理装置４０（プロセッサ４２）はＵＳＢメモリ１００（ＲＯＭ１１８）から自動的にプログラム（ＰＲＧ＿Ｕ）を読み込んでまたは呼び出して実行してもよい。ステップ６０４において、情報処理装置４０（プロセッサ４２）はＵＳＢメモリ１００から状態情報を取得する。

ステップ６３４において、情報処理装置４０（プロセッサ４２）は取得した状態情報に基づいてＵＳＢメモリ１００の動作状態を判定し、正常モードまたはアクセス不能化モードかどうかを判定する。その動作状態が正常モードまたはアクセス不能化モードであれば、ステップ６０６において、情報処理装置４０（プロセッサ４２）は自己の装置識別情報（例、ＢＩＯＳ／ＴＰＭ（Trusted Platform Module）のＩＤ）をＵＳＢメモリ１００に供給する。

ステップ６１２において、ＵＳＢメモリ１００（ＣＰＵ１２２）は情報処理装置１００の装置識別情報を検証して、情報処理装置１００の認証を行う。ステップ６０８において、ＵＳＢメモリ１００（ＣＰＵ１２２）はその認証結果（成功または失敗）を情報処理装置４０に供給する。認証結果が失敗の場合は、ＵＳＢメモリ１００および情報処理装置１００は処理を終了する。

認証結果が成功の場合は、ステップ６３６において、情報処理装置４０（プロセッサ４２）はユーザ認証画面を表示装置４８に表示し認証情報の入力を要求する。ユーザは入力装置４６を操作してユーザ認証情報（例、ＩＤ、パスワード）を入力する。ステップ６４４において、認証情報は情報処理装置４０からＵＳＢメモリ１００へ供給される。

ステップ６１４において、ＵＳＢメモリ１００（ＣＰＵ１２２）は認証情報を検証して、ユーザの認証を行う。ステップ６１０において、ＵＳＢメモリ１００はその認証結果（成功または失敗）を情報処理装置４０に供給する。認証結果が成功の場合は、ステップ６３８において、情報処理装置４０はＵＳＢメモリ１００のフラッシュ・メモリ１３４にアクセスすることが許容される。認証結果が失敗の場合は、ＵＳＢメモリ１００および情報処理装置１００は処理を終了する。

図１１は、情報処理装置４０とＵＳＢメモリ１００の間の別の処理手順を示している。

ステップ６６２において、管理者は情報処理装置４０を操作して情報処理装置４０上で管理者用のユティリティ・プログラム（ＰＲＧ＿Ｍ）を起動する。ステップ６７２において、情報処理装置４０（プロセッサ４２）は管理者用のユティリティ・プログラム（ＰＲＧ＿Ｍ）を実行する。

ステップ６８２において管理者がＵＳＢメモリ１００を情報処理装置４０に結合すると、ステップ６６４において、情報処理装置４０（プロセッサ４２）は管理者認証画面を表示装置４８に表示し認証情報の入力を要求する。管理者は入力装置４６を操作して管理者認証情報（例、ＩＤ、パスワード）を入力する。管理者認証画面を表示する前に、ＵＳＢメモリ１００は、情報処理装置４０から装置識別情報を受け取って情報処理装置４０の認証を行い、その認証結果（成功または失敗）を情報処理装置４０に供給してもよい。ステップ６６６において、認証情報は情報処理装置４０からＵＳＢメモリ１００へ供給される。

ステップ６９２において、ＵＳＢメモリ１００（ＣＰＵ１２２）は認証情報を検証して、ユーザの認証を行う。ステップ６８４において、ＵＳＢメモリ１００（ＣＰＵ１２２）はその認証結果（成功または失敗）を情報処理装置４０に供給する。認証結果が成功した後、ＵＳＢメモリ１００の状態が管理者モードになれば、ステップ６７４において、情報処理装置４０（プロセッサ４２）は表示装置４８にアクセス不能化ポリシー（そのルールまたは条件（要因、閾値）および不能化処理法）設定、追加または変更の画面を表示する。認証結果が失敗の場合は、ＵＳＢメモリ１００および情報処理装置１００は処理を終了する。

ステップ６６８において、管理者は、情報処理装置４０を操作して、情報処理装置４０の表示装置４８の画面上で、アクセスを許容すべき情報処理装置の装置識別情報およびアクセス不能化ポリシー（そのルールまたは条件（要因、閾値））を入力する。

ステップ６８６において、情報処理装置４０（プロセッサ４２）は、装置識別情報およびアクセス不能化ポリシー（そのルールまたは条件および不能化処理法を表す識別情報および／またはパラメータ）をＵＳＢメモリ１００に書き込む。ＵＳＢメモリ１００（ＣＰＵ１２２）は、受け取った装置識別情報およびアクセス不能化ポリシー（その識別情報および／またはパラメータ）を設定する。ステップ６８８において、ＵＳＢメモリ１００は、その設定の結果（成功または失敗）を情報処理装置４０に送る。情報処理装置４０はその設定結果を表示装置４６に表示する。

このようにして、アクセス不能化ポリシー（そのルールまたは条件および不能化処理法を表す識別情報および／またはパラメータ）がＵＳＢメモリ１００に設定され、追加され、またはそれが変更される。

図１２は、情報処理装置４０とＵＳＢメモリ１００の間におけるＵＳＢメモリ１００の復旧の処理手順を示している。

ステップ６０２、６３２および６０４は図１０のものと同様である。

ステップ６３５において情報処理装置４０（プロセッサ４２）によってＵＳＢメモリ１００がアクセス不能化モードでありフラッシュ・メモリ１３４が全て消去されていると判定された場合、ステップ６０９において、情報処理装置４０はＵＳＢメモリ１００（状態出力部３０）からログを取得する。

ステップ６４６において、情報処理装置４０（プロセッサ４２）は表示装置４８に現在のモードおよび状態とその取得したログを表示する。ステップ６１２において、ユーザは、情報処理装置４０を操作して情報処理装置４０上でファイル・システムの再構築コマンドを入力する。情報処理装置４０（プロセッサ４２）はＵＳＢメモリ１００にファイル・システムの再構築コマンドを供給する。

ステップ６１６において、ＵＳＢメモリ１００（ＣＰＵ１２２）は、情報処理装置１００の装置識別情報およびコマンドの正当性を検証する。コマンドが正当であれば、ＵＳＢメモリ１００（ＣＰＵ１２２）は、フラッシュ・メモリ１３４のファイル・システムを再構築する。ステップ６１４において、ＵＳＢメモリ１００（ＣＰＵ１２２）はその現在の状態（正常）を情報処理装置４０に供給する。ステップ６４８において、情報処理装置４０は、現在の状態（正常）およびフラッシュ・メモリ１３４のファイルのリスト（即ち、ファイル識別情報の存在しないファイル・リスト）を表示装置４８に表示する。

このようにして、フラッシュ・メモリ１３４のファイル・システムが再構築され、ＵＳＢメモリ１００へのアクセスが可能になる。

図１３は、ユーザ用ＵＳＢメモリ・ユティリティ・プログラム（ＰＲＧ＿Ｕ）に従って情報処理装置４０のプロセッサ４２によって実行される、ユーザ認証およびファイル・システム構築のためのフローチャートを示している。ＵＳＢメモリ１００がＵＳＢインタフェース１１０を介して情報処理装置４０のＵＳＢポート４９に結合されると、プロセッサ４２は、ＲＯＭ１１８内のユーザ用のＵＳＢメモリ・ユティリティ・プログラムＰＲＧ＿Ｕを呼び出して実行する。

ステップ７０２において、情報処理装置４０のプロセッサ４２は、ＵＳＢメモリ１００からＵＳＢメモリ１００の現在の状態情報（図９）を取得する。

ステップ７０４において、プロセッサ４２は、その取得した状態情報が“正常モード”かどうかを判定する。それが正常モードであると判定された場合は、ステップ７２６において、プロセッサ４２は、情報処理装置４０の記憶装置４４に格納された情報処理装置４０の装置識別情報を取得する。

ステップ７２８において、プロセッサ４２は、ＵＳＢメモリ１００に認証用の装置識別情報を供給し、ＵＳＢメモリ１００における装置認証の結果を受け取る。

ステップ７３０において、プロセッサ４２は、受け取った認証結果に基づいて装置認証が成功したかどうかを判定する。失敗したと判定された場合は、手順はステップ７０２に戻る。

ステップ７３０において認証に成功したと判定された場合は、ステップ７３２において、プロセッサ４２は、ユーザ認証用の表示画面を表示して、ユーザにＩＤおよびパスワードを入力するよう指示する。

ステップ７３４において、プロセッサ４２は、入力されたＩＤおよびパスワードをＵＳＢメモリ１００に供給し、ＵＳＢメモリ１００におけるユーザ認証の結果を受け取る。

ステップ７３６において、プロセッサ４２は、プロセッサ４２は、受け取った認証結果に基づいてユーザ認証が成功したかどうかを判定する。失敗したと判定された場合は、手順はステップ７０２に戻る。

ステップ７３６において認証に成功したと判定された場合は、ステップ７３８において、プロセッサ４２は、ＵＳＢメモリ１００へのアクセスを許容し、例えばＵＳＢメモリ１００内のフォルダおよびファイルのリストを表示する。

ステップ７０４において正常モードでないと判定された場合は、ステップ７８２において、プロセッサ４２は、取得した状態情報が“アクセス不能化モード”かどうかを判定する。それがアクセス不能化モードであると判定された場合は、ステップ７８４において、プロセッサ４２は、状態情報が“ロック状態”かどうかを判定する。

ステップ７８４において状態情報がロック状態でないと判定された場合は、ステップ７８６において、プロセッサ４２は、ＵＳＢメモリ１００にログ要求コマンドを供給して、ＵＳＢメモリ１００からログを読み込む。

ステップ７８８において、プロセッサ４２は、受け取ったログを表示装置４８に表示するか、またはそれをサーバ２０に供給する。それによって、サーバ２０はＵＳＢメモリ１００の完全性および安全性を管理することができる。そのログ表示において、ファイル・システムを再構築するようＵＳＢメモリ１００に対して要求することができるようにしてもよい。

ステップ７９０において、プロセッサ４２は、ユーザの指示、サーバ２０またはサーバ２０のコマンドに従って、ＵＳＢメモリ１００にファイル・システムの再構築を要求するコマンドをＵＳＢメモリ１００に与える。ＵＳＢメモリ１００は、フラッシュ・メモリ１３４にファイル・システムを再構築する。その後、手順はステップ７０２に戻る。

ステップ７８２において状態情報がアクセス不能化モードでないまたはステップ７８４において状態情報がロック状態であると判定された場合は、ステップ７９２において、プロセッサ４２は、復旧処理を指示するメッセージを表示する。復旧処理において、ＵＳＢメモリ１００がアクセス不能化モードのロック状態である場合は、管理者の認証処理によってＵＳＢメモリ１００は管理者モードに移行する。復旧処理において、ＵＳＢメモリ１００が機能制限モードにある場合は、製造業者または管理者の操作によってＵＳＢメモリ１００は初期モードに戻される。

図１４Ａおよび１４Ｂは、管理者用のＵＳＢメモリ・ユティリティ・プログラム（ＰＲＧ＿Ｍ）に従って情報処理装置４０のプロセッサ４２によって実行される、アクセスを許容する情報処理装置の識別情報の設定、追加または変更、およびアクセス不能化ポリシー（そのルールまたは条件および不能化処理法を表す識別情報および／またはパラメータ）の設定、追加または変更のためのフローチャートを示している。

図１４Ａを参照すると、ステップ７５２において、プロセッサ４２は、ＵＳＢメモリを情報処理装置４０に結合するよう指示するメッセージを表示装置４８に表示する。その指示に従って、管理者はＵＳＢメモリ１００を情報処理装置４０に結合させる。

ステップ７５４において、プロセッサ４２は、ＵＳＢメモリを検出したかどうかを判定する。ＵＳＢメモリが検出された場合には、手順はステップ７５６へ進む。ＵＳＢメモリが検出されるまで、ステップ７５２および７５４は繰り返される。

ステップ７５６において、プロセッサ４２は、状態情報を要求するコマンドをＵＳＢメモリ１００に供給し、ＵＳＢメモリ１００から現在の状態情報を取得する。そのコマンドに応答して、ＵＳＢメモリ１００のＣＰＵ１２２上に実装されたコマンド処理部２４は状態出力部３０を介して現在の状態情報を情報処理装置１００に送る。

ステップ７５８において、プロセッサ４２は、ＵＳＢメモリ１００の現在の状態が“初期モード”（出荷時の状態）かどうかを判定する。初期モードであると判定された場合は、ステップ７６０において、プロセッサ４２は、表示装置４８に管理者のＩＤおよびパスワードを入力するよう指示し、入力されたＩＤおよびパスワードをＵＳＢメモリ１００に供給する。ＵＳＢメモリ１００の認証処理部２２は、管理者認証のためにその管理者のＩＤおよびパスワードを設定する。それによって、ＵＳＢメモリ１００は管理者モードに移行する。その後、手順はステップ７５６に戻る。

ステップ７６２において、プロセッサ４２は、ＵＳＢメモリ１００の現在の状態が“管理者モード”かどうかを判定する。管理者モードであると判定された場合は、ステップ７６４において、プロセッサ４２は、アクセスを許容する情報処理装置の装置識別情報とアクセス不能化ポリシー（そのルールまたは条件および不能化処理法）とを設定、追加および変更するための画面を表示する。プロセッサ４２は、ＵＳＢメモリ１００のフラッシュ・メモリ１２４から現在のアクセス不能化ポリシー（そのルールまたは条件および不能化処理法）を取得して表示してもよい。管理者は、その画面において、アクセス不能化ポリシー（そのルールまたは条件および不能化処理法）、および装置識別情報を設定、追加または変更する。

ステップ７６６において、プロセッサ４２は、管理者によって設定、追加または変更された装置識別情報およびアクセス不能化ポリシー（そのルールまたは条件および不能化処理法を表す識別情報および／またはパラメータ）をＵＳＢメモリ１００に送る。ＵＳＢメモリ１００において、コマンド処理部２４は、認証処理部２２にその受け取った装置識別情報を保存させ、アクセス不能化ポリシー保存部２６にその受け取ったアクセス不能化ポリシー（識別情報および／またはパラメータ）を保存する。

ステップ７６８において、プロセッサ４２は、表示装置４８に管理者モードを終了させるよう指示する画面を表示する。管理者が管理者モードを終了させると、ＵＳＢメモリ１００は通常モードに移行する。

ステップ７６２において状態が管理者モードでないと判定された場合は、図１４Ｂのステップ７７２において、プロセッサ４２は、ＵＳＢメモリ１００の現在の状態が“正常モード”または“ロック状態”かどうかを判定する。そのいずれの状態でもないと判定された場合は、手順はステップ７８２に進む。

ステップ７７２において状態が正常モードまたはロック状態であると判定された場合は、ステップ７７４において、プロセッサ４２は、表示装置４８に管理者認証用の画面を表示する。管理者はその画面上でＩＤおよびパスワードを入力する。

ステップ７７６において、プロセッサ４２は、ＵＳＢメモリ１００にその入力された管理者ＩＤおよびパスワードを送る。それによってＵＳＢメモリ１００は管理者モードへ移行する。但し、暗号鍵および／またはデータが消去されている場合は、ＵＳＢメモリ１００は、ロック解除状態でアクセス不能化モードへ移行する。その後、手順はステップ７５６に戻る。

ステップ７８２、および７８６〜７９２は図１３のものと同様である。ステップ７８２においてロック状態以外のアクセス不能化モードであると判定された場合は、手順はステップ７８６に進む。ステップ７９０の後、手順はステップ７５６へ戻る。

ステップ７８２において状態情報がアクセス不能化モードでないと判定された場合は、ステップ７９２において、プロセッサ４２は、復旧処理を指示するメッセージを表示する。復旧処理において、ＵＳＢメモリ１００が機能制限モードにある場合は、製造業者または管理者の操作によってＵＳＢメモリ１００は初期モードに戻される。

図１５Ａは、図１４Ａのステップ７６４において情報処理装置４０の表示装置４８に表示される、ＵＳＢメモリ１００へのアクセスを許容する情報処理装置の識別情報の設定、追加および変更のための管理者用の画面を示している。図１５Ａの画面において、ＵＳＢメモリ１００へのアクセスを許容する情報処理装置の種類および識別情報のリストが表示され、管理者によって新たにアクセスを許容すべき情報処理装置にチェック記号（O）が付される。

図１５Ｂは、図１４Ａのステップ７６４において情報処理装置４０の表示装置４８に表示される、ＵＳＢメモリ１００にアクセス不能化ポリシー（そのルールまたは条件および不能化処理法）を設定、追加および変更するための管理者用の表示画面を示している。図１５Ｂの表示画面において、ＵＳＢメモリ１００におけるアクセス不能化ポリシー（そのルールまたは条件および不能化処理法）のリストが表示され、管理者によって新たに設定および追加すべきアクセス不能化ポリシーにチェック記号（O）が付される。

≪第２の実施形態≫
次に、第２の実施形態について、図１６、図１７に基づいて説明する。図１６には、本第２の実施形態におけるマイクロコンピュータ１２０の内部の主要な機能部の機能構成または配置が示されている。この図１６と、図５（第１の実施形態）とを比較すると分かるように、本第２の実施形態では、ポリシー評価部２０に、給電開始検知部としての給電チェックモジュール３５が接続されている。この給電チェックモジュール３５は、情報処理装置４０側からの給電が開始されたか否かをチェックするモジュールである。なお、給電チェックモジュール３５は、給電の開始を、情報処理装置４０との接続がされたか否か、及び情報処理装置４０からの供給電力量が所定の閾値を超えたか否かにより判断する。

図１７は、本第２の実施形態において、図６Ａのステップ４０２の代わりに実行される処理を示すフローチャートである。この図１７の処理では、まず、ステップ８００において、給電チェックモジュール３５が、情報処理装置４０から給電が開始されたか否かを判断する。ここでの判断が肯定されると、ステップ８０２に移行し、給電チェックモジュール３５が、ポリシー評価部２０に給電が開始された旨を通知する。

次いで、ステップ８０４では、ポリシー評価部２０が、リアルタイム・クロック１６４において測定された現在の日時を、リアルタイム・クロック１６４を管理する時間管理部２８から取得する。次いで、ステップ８０６では、ポリシー評価部２０が、アクセス不能化ポリシー保存部２６に保存されているアクセス不能化ポリシーと、現在の日時と、に基づいて、ＵＳＢメモリ１００を保護すべきかどうか、すなわち、フラッシュ・メモリ１３４内のデータ・ファイルへのアクセスを不能化すべきかどうかを判定する。なお、本第２の実施形態では、アクセス不能化ポリシー保存部２６に、図８Ｂのようなアクセス不能化ポリシーが保存されているものとする。

ここでの判断が肯定された場合には、ステップ８０８において、アクセス不能化処理部３４に、アクション（不能化処理)実施を指示する。アクセス不能化処理部３４は、当該指示に基づいて、アクション（不能化処理)を実施する。その後は、図６Ａのステップ４０４に移行する。ここで、ステップ８０６の判断が肯定される場合とは、情報処理装置４０にＵＳＢメモリを接続していない間に、アクセス不能化ポリシーに設定されている時間（図８Ｂの閾値）を超過した場合である。すなわち、本第２の実施形態では、情報処理装置４０にＵＳＢメモリ１００を接続する以前に、ＵＳＢメモリ１００が既に不能化処理をすべき状態になっているのであれば、情報処理装置４０にＵＳＢメモリ１００が接続された直後に、不能化処理を実施することとしている。

これに対し、ステップ８０６の判断が否定された場合には、不能化処理を行うことなく、そのままステップ４０４へ移行する。これ以降は、上記第１の実施形態と同様の処理を実行する。

以上説明したように、本第２の実施形態によると、給電チェックモジュール３５が、情報処理装置４０からの給電開始を検知して、ポリシー評価部２０に通知し、ポリシー評価部２０は、給電が開始された際に、情報処理装置４０からの給電が行われるまでの間にアクセス不能化ポリシーに設定されている時間を超えていたか否かを判定する。そして、当該時間を超えていた場合には、ポリシー評価部２０は、アクセス不能化処理部３４に対して、アクセス不能化処理の実行を指示する。すなわち、本第２の実施形態では、情報処理装置４０からＵＳＢメモリ１００に対して給電が行われていないときには、内蔵のバッテリ１６０を用いたアクセス不能化処理を一切行わない。このため、本第２の実施形態では、バッテリ１６０の容量を小さくすることができ、ひいてはバッテリ１６０やＵＳＢメモリ１００全体を小型化することができる。これに対し、リアルタイム・クロック１６４は、上記第１の実施形態と同様、バッテリ１６０の電力を用いているので、外部からの給電が無くとも時間測定を行うことができる。これにより、リアルタイム・クロック１６４の時間測定を、情報処理装置４０との接続とは無関係に行うことができるので、リアルタイム・クロック１６４の測定時間が情報処理装置４０により改ざん等されるのを防止することができる。

なお、上記実施形態では、ポリシー評価部２０は、情報処理装置４０からの給電が行われるまでの間に所定時間経過したことを条件として、アクセス不能化処理を実行する場合について、説明したが、これに限られるものではない。ポリシー評価部２０は、その他の条件（例えば、バッテリ残量の低下など）に基づいて、アクセス不能化処理を実行することとしても良い。

≪第３の実施形態≫
次に、第３の実施形態について、図１８、図１９に基づいて説明する。図１８には、本第３の実施形態におけるマイクロコンピュータ１２０の内部の主要な機能部の機能構成または配置が示されている。この図１８と、図５（第１の実施形態）とを比較すると分かるように、本第３の実施形態では、記憶部としての２つのフラッシュ・メモリ１３４ａ，１３４ｂが設けられているとともに、これら２つのフラッシュ・メモリ１３４ａ，１３４ｂを切り替えて使用するためのスイッチ部としてのハブ・スイッチ１３１が設けられている。ハブ・スイッチ１３１は、２つのスイッチＡ，Ｂを有している。これら２つのスイッチＡ，Ｂでは、図１８に示すように、スイッチＡの端子Ａ１が有効となり、スイッチＢの端子Ｂ２が有効となった状態で、フラッシュ・メモリ１３４ａを不能化する処理ができるようになる。また、この状態では、フラッシュ・メモリ１３４ｂへのデータの書き込み（保存）や閲覧ができるようになる。一方、スイッチＡの端子Ａ２が有効となり、スイッチＢの端子Ｂ１が有効となった状態では、フラッシュ・メモリ１３４ｂを不能化する処理ができるようになる。また、この状態では、フラッシュ・メモリ１３４ａへのデータの書き込み（保存）や閲覧ができるようになる。なお、ハブ・スイッチ１３１が上述した状態以外の状態となった場合には、エラーとなる。

図１９は、本第３の実施形態において、図６Ｂのステップ４２４の判断が肯定されたときに、ステップ４２６の代わりに実行される処理を示すフローチャートである。この図１９の処理においては、まず、ステップ８２０において、ハブ・スイッチ１３１のスイッチＡの端子Ａ１が有効となっており、かつスイッチＢの端子Ｂ２が有効となっているか否かを、ポリシー評価部２０が判断する。ここでの判断が肯定される場合とは、これまで、フラッシュ・メモリ１３４ｂへのデータの書き込み（保存）や閲覧ができる状態であったことを意味する。このステップ８２０の判断が肯定されるとステップ８２２に移行し、ポリシー評価部２０は、ハブ・スイッチ１３１のスイッチＡにおいて端子Ａ２を有効にし、スイッチＢにおいて、端子Ｂ１を有効にする。すなわち、スイッチＡ，Ｂのそれぞれを切り替える。次いで、ステップ８２４では、ハブ・スイッチ１３１の端子Ａ２、Ｂ１を有効に維持したまま、アクセス不能化処理部３４に対して、アクション（不能化処理）実行を指示する。アクセス不能化処理部３４では、当該指示に基づいて、不能化処理を実行する。ここでは、ハブ・スイッチ１３１の端子Ａ２、Ｂ１が有効となっているため、アクセス不能化処理部３４は、これまでデータの書き込みや閲覧ができる状態になっていたフラッシュ・メモリ１３４ｂに対する不能化処理を実行する。この場合、一方のフラッシュ・メモリ１３４ｂに対する不能化処理を行っている間でも、他方のフラッシュ・メモリ１３４ａへのデータの書き込みや閲覧は可能となっている。その後は、図６Ｂのステップ４７０へ移行する。

一方、ステップ８２０の判断が否定された場合には、ステップ８２６に移行する。このステップ８２６では、ハブ・スイッチ１３１のスイッチＡの端子Ａ２が有効となっており、かつスイッチＢの端子Ｂ１が有効となっているか否かを、ポリシー評価部２０が判断する。ここでの判断が肯定される場合とは、これまで、フラッシュ・メモリ１３４ａへのデータの書き込み（保存）や閲覧ができる状態であったことを意味する。このステップ８２６の判断が肯定されるとステップ８２８に移行し、ポリシー評価部２０は、ハブ・スイッチ１３１のスイッチＡにおいて端子Ａ１を有効にし、スイッチＢにおいて、端子Ｂ２を有効にする。そして、ステップ８２４において、ハブ・スイッチ１３１の端子Ａ１、Ｂ２を有効に維持したまま、アクセス不能化処理部３４に対して、アクション（不能化処理）実行を指示する。アクセス不能化処理部３４では、当該指示に基づいて、不能化処理を実行する。ここでは、ハブ・スイッチ１３１の端子Ａ２、Ｂ１が有効となっているため、アクセス不能化処理部３４は、これまでデータの書き込みや閲覧ができる状態になっていたフラッシュ・メモリ１３４ａに対する不能化処理を実行する。この場合、一方のフラッシュ・メモリ１３４ａに対する不能化処理を行っている間でも、他方のフラッシュ・メモリ１３４ｂへのデータの書き込みや閲覧は可能となっている。その後は、図６Ｂのステップ４７０へ移行する。

なお、ステップ８２６の判断が否定された場合には、ステップ８３０において、ポリシー評価部２０が、エラー処理を実行し、図１９の処理を終了する。ステップ８３０のエラー処理としては、例えば、表示器１４４へのエラー表示などが挙げられる。

なお、上記第３の実施形態では、図１９の処理をステップ４２４の判断が肯定された場合に行うこととしたが、これに限られるものではない。例えば、図６Ｂのその他の判断、例えば、ステップ４３４の判断などが肯定された場合にも図１９の処理を行うこととしても良い。

以上、説明したように、本第３の実施形態によると、ハブ・スイッチ１３１は、２つのフラッシュ・メモリ１３４ａ、１３４ｂのうちの一方に対してアクセス不能化処理が実行されている間に、他方のフラッシュ・メモリへの情報処理装置４０からのアクセスを可能にする。このため、一方のフラッシュ・メモリに対する不能化処理が行われている間（例えば、数分間）であっても、他方のフラッシュ・メモリに対するアクセスが可能となる。これにより、ＵＳＢメモリ１００のユーザは、不能化処理が完了するまで待つ必要がなくなるので、ＵＳＢメモリ１００の使い勝手を向上することができる。

なお、上記実施形態では、ＵＳＢメモリ１００が２つのフラッシュ・メモリを備える場合について説明したが、これに限らず、ＵＳＢメモリ１００は、３つ以上のフラッシュ・メモリを備えていてもよい。この場合、ハブ・スイッチ１３１は、それまで情報処理装置４０からのアクセスが可能であったフラッシュ・メモリに対してアクセス不能化処理を行う際に、情報処理装置４０から別のフラッシュ・メモリへのアクセスが可能となるように切り替える機能を有していれば良い。

≪第４の実施形態≫
次に、第４の実施形態について、図２０に基づいて説明する。図２０には、本第４の実施形態におけるマイクロコンピュータ１２０の内部の主要な機能部の機能構成または配置が示されている。この図２０と、図５（第１の実施形態）とを比較すると分かるように、本第４の実施形態では、ハブ・スイッチ１３０（又は１３２）とフラッシュ・メモリ１３４との間に、暗号化部としての暗号化モジュール１３３が設けられているとともに、当該暗号化モジュール１３３に揮発性の暗号鍵記憶部としての揮発性メモリ１３５が接続されている。揮発性メモリ１３５には、バッテリ及び充電回路１６０から給電が行われる。

暗号化モジュール１３３は、フラッシュ・メモリ１３４に書き込むデータを暗号化するとともに、暗号鍵を生成する。また、暗号化モジュール１３３は、生成した暗号鍵を用いて、暗号化したデータを復号する。揮発性メモリ１３５は、暗号化モジュール１３３において生成された暗号鍵を保存する。この揮発性メモリ１３５には、バッテリ及び充電回路１６０から給電が行われているため、バッテリがＵＳＢメモリ１００から取り外されると、揮発性メモリ１３５に保存されている暗号鍵も消去されることになる。

このように、本第４の実施形態によると、暗号化モジュール１３３が、情報処理装置４０から受け付けたデータを暗号化するとともに、暗号鍵を生成し、その暗号鍵を揮発性メモリ１３５が記憶する。したがって、ＵＳＢメモリ１００から不正にバッテリ１６０が外され、不能化処理を行えないような場合であっても、揮発性メモリ１３５に対する給電が行われないことにより、暗号鍵が揮発性メモリ１３５から消去される。このように、暗号鍵が揮発性メモリ１３５から消去されることで、上記各実施形態で説明したようなアクセス不能化処理を行う場合と同等の効果を得ることができる。これにより、ＵＳＢメモリ１００のセキュリティを向上することが可能である。

≪第５の実施形態≫
次に、第５の実施形態について、図２１〜図２３に基づいて説明する。図２１には、本第５の実施形態におけるマイクロコンピュータ１２０の内部の主要な機能部の機能構成または配置が示されている。この図２１と、図５（第１の実施形態）とを比較すると分かるように、本第５の実施形態では、マイクロコンピュータ１２０の内部に、受信部としてのＲＦＩＤリーダ１３７を備えている。このＲＦＩＤリーダ１３７は、ポリシー評価部２０に接続されている。

ＲＦＩＤリーダ１３７は、図２２に示すようなオフィスにおいて、情報発信装置としてのＲＦＩＤゲートＡを通過した場合に、ＲＦＩＤゲートＡからＩＤ：１０００を読み込み、取得する。また、ＲＦＩＤリーダ１３７は、情報発信装置としてのＲＦＩＤゲートＢを通過した時点で、ＲＦＩＤゲートＢからＩＤ：２０００を読み込み、取得する。すなわち、図２２のようなＲＦＩＤゲートの配置を採用すれば、オフィス内にＵＳＢメモリ１００が存在している場合には、ＲＦＩＤリーダ１３７は、必ず、ＩＤ：１０００を取得していることになる。また、オフィス内からオフィス外に搬出されたＵＳＢメモリ１００では、ＲＦＩＤリーダ１３７は、必ず、ＩＤ：２０００を取得していることになる。なお、アクセス不能化ポリシー保存部２６に保存されているアクセス不能化ポリシーには、ＩＤ：１０００の場合には、アクション（アクセス不能化処理）を許可する旨規定され、ＩＤ：２０００の場合には、アクション（アクセス不能化処理）を禁止する旨規定されているものとする。

図２３には、本第５の実施形態において、図６Ａ，図６Ｂの処理と並行して行われる処理のフローチャートが示されている。この図２３に示すように、まず、ステップ８４０では、ＲＦＩＤリーダ１３７が、ＲＦＩＤゲートを通過したか否かを判断する。ここでの判断が否定された場合には、再度ステップ８４０の処理を行うが、ここでの判断が肯定された場合には、ステップ８４２に移行する。ステップ８４２では、ＲＦＩＤリーダ１３７がＲＦＩＤ（ＩＤ）を読み込み、取得する。例えば、ＲＦＩＤゲートＢを通過した場合には、ＲＦＩＤリーダ１３７は、ＩＤ：２０００を取得する。ここで取得されたＩＤは、ポリシー評価部２０に送信される。

次いで、ステップ８４４では、ポリシー評価部２０が、ＲＦＩＤのＩＤが１０００であるか否かを判断する。ここでの判断が肯定された場合には、ポリシー評価部２０は、アクション（アクセス不能化処理）を禁止する（ステップ８４６）。一方、ステップ８４４の判断が否定された場合には、ポリシー評価部２０は、アクション（アクセス不能化処理）を許可する（ステップ８４８）。

上記図２３の処理において、アクションが許可された場合には、図６Ａ，図６Ｂにおいて行われるアクセス不能化処理は、実行される。一方、図２３の処理においてアクションが禁止された場合には、図６Ａ，図６Ｂの処理において、アクセス不能化処理のステップに至った場合にも、アクセス不能化処理は実行されない。このようにすることで、本実施形態では、ＵＳＢを紛失しても、データの悪用される可能性が低いオフィス内では、アクセス不能化処理を行わないようにすることができる。また、これとは逆に、データの悪用の可能性が高いオフィス外ではアクセス不能化処理を行うようにすることができる。

なお、上記実施形態においては、アクセス不能化処理の許可・禁止にかかわらず、アクセス不能化処理を行うまでの時間をカウントする場合を想定しているが、これに限られるものではない。例えば、アクセス不能化処理が禁止されている間は、アクセス不能化処理を行うまでの時間のカウントを中止しても良い。このようにすることで、ＵＳＢメモリ１００がオフィス外に持ち出されてから一定時間経過後に、アクセス不能化処理を行うことができるようになる。

以上、説明したように、本第５の実施形態によると、ＵＳＢメモリ１００は、ＲＦＩＤゲートＡ又はＢから、ＩＤを受信するＲＦＩＤリーダ１３７を有しており、ポリシー評価部２０は、ＲＦＩＤリーダ１３７において受信されたＩＤに基づいて、アクセス不能化処理の実行を許可又は禁止する。このため、本第５の実施形態では、ＵＳＢメモリ１００に対する操作を行わなくても、アクセス不能化処理の実行の許可・禁止を切り替えることができる。これにより、アクセス不能化処理を実行すべき場所にＵＳＢメモリ１００が存在するときと、アクセス不能化処理を実行する必要の無い場所にＵＳＢメモリ１００が存在するときとで、アクセス不能化処理の実行・非実行を自動で切り替えることができる。

なお、上記第５の実施形態では、取得したＩＤに応じて、アクセス不能化処理の許可・禁止を切り替える場合について説明したが、これに限らず、その他のアクションの許可・禁止を切り替えることとしても良い。例えば、データの読み出しの許可・禁止を切り替えても良いし、データの書き込み及び読み出しの許可・禁止を切り替えても良い。

なお、上記第５の実施形態では、図６Ａ，図６Ｂと、図２３とを並行して実行する場合について説明したが、これに限られるものではなく、図６Ａ，図６Ｂに、図２３の処理の内容を組み込んでも良い。

なお、上記第５の実施形態では、ＵＳＢメモリのアクセス不能化処理の許可・禁止を切り替える手段として、ＲＦＩＤ、ＲＦＩＤリーダを用いることとしたが、これに限られるものではない。例えば、オフィス内に無線の発信機を設置するとともに、ＵＳＢメモリに受信機を設置することとし、発信機から発信される電波を受信機が受信できているか否かに応じて、アクセス不能化処理の許可・禁止を切り替えても良い。この場合、受信機の感度や発信機から発信される電波の強度は、オフィス内又はオフィス近傍にＵＳＢメモリが存在している場合に、受信機が電波を受信できる程度に設定すれば良い。

≪第６の実施形態≫
次に、第６の実施形態について、図２４〜図２７に基づいて説明する。図２４には、本第６の実施形態におけるマイクロコンピュータ１２０の内部の主要な機能部の機能構成または配置が示されている。この図２６と、図２１（第５の実施形態）とを比較すると分かるように、本第６の実施形態のマイクロコンピュータ１２０においては、ＲＦＩＤリーダ１３７とポリシー評価部２０との間に、読み込みＩＤ履歴記憶部１３９が設けられている。

読み込みＩＤ履歴記憶部１３９は、ＲＦＩＤリーダ１３７において取得したＩＤを、取得時期が新しい順に、Ｎ個（ここでは３個とする）だけ記憶する。例えば、オフィスに、図２５に示すように、３つのＲＦＩＤゲートＡ，Ｂ，Ｃが設けられている場合において、ゲートＣ→Ｂ→Ａの順に通って、オフィス内にＵＳＢメモリ１００が搬入されたとする。この場合、読み込みＩＤ履歴記憶部１３９には、図２６Ａに示すように、３つのＩＤ：３０００，２０００，１０００が下側から記憶される。また、例えば、オフィス内から一旦オフィス外に出て、再度ゲートＣを通った場合には、ＵＳＢメモリ１００は、ゲートＡ→Ｂ→Ｃ→Ｃの順に通過することになる。このため、読み込みＩＤ履歴記憶部１３９には、図２６Ａに示すように、新しい順に３つのＩＤ：３０００，３０００，２０００が記憶されることとなる。

なお、本第５の実施形態のアクセス不能化ポリシーには、読み込みＩＤ履歴記憶部１３９が記憶している３つのＩＤが、新しい順に１０００，２０００，３０００である場合にアクションを禁止する、旨規定されているものとする。また、その他の場合には、アクション（アクセス不能化処理）を許可する旨規定されているものとする。

図２７には、本第６の実施形態において、図６Ａ，図６Ｂの処理と並行して行われる処理のフローチャートが示されている。この図２７に示すように、まず、ステップ８６０では、ＲＦＩＤリーダ１３７が、ＲＦＩＤゲートを通過したか否かを判断する。ここでの判断が否定された場合には、再度ステップ８６０を実行し、判断が肯定された場合には、ステップ８６２に移行する。ステップ８６２では、ＲＦＩＤリーダ１３７が、ＲＦＩＤゲートからＩＤを読み込み、当該読み込んだＩＤを、読み込みＩＤ履歴記憶部１３９に記憶する。

次いで、ステップ８６４では、ポリシー評価部２０が、読み込みＩＤ履歴記憶部１３９にＩＤがＮ個（ここでは、Ｎ＝３とする）記憶されているか否かを判断する。ここでの判断が否定された場合には、ステップ８６８に移行し、読み込みＩＤ履歴記憶部１３９が、今回取得したＩＤを記憶した後、ステップ８７０に移行する。

次いで、ステップ８７０では、ポリシー評価部２０が、読み込みＩＤ履歴記憶部１３９にＩＤがＮ個（ここでは、Ｎ＝３とする）記憶されているか否かを判断する。ここでの判断が否定された場合には、ステップ８６０に戻る。そして、ＩＤがＮ（＝３）個記憶されるまで、上記処理を繰り返す。その後、読み込みＩＤ履歴記憶部１３９にＩＤがＮ（＝３）個記憶された段階で、ステップ８７０が肯定され、ステップ８７２に移行する。

一方、ステップ８６４における判断が肯定された場合、すなわち、読み込みＩＤ履歴記憶部１３９にＩＤがＮ（＝３）個記憶された場合には、ステップ８６６に移行する。ステップ８６６では、読み込みＩＤ履歴記憶部１３９は、最も古いＩＤを削除して、今回のＩＤを記憶する。そして、ステップ８７２に移行する。

ステップ８７２では、読み込みＩＤ履歴記憶部１３９が、ポリシー評価部２０に対して、Ｎ（＝３）個のＩＤを送信する。次いで、ステップ８７４では、ポリシー評価部２０が、Ｎ（＝３）個のＩＤが所定の配列か否かを判断する。この場合の所定の配列とは、アクセス不能化ポリシーに規定されているＩＤの配列「１０００，２０００，３０００」を意味する。ここでの判断が肯定された場合には、ＵＳＢメモリ１００がオフィス内に存在している可能性が高いので、アクション（アクセス不能化処理）を禁止する（ステップ８７６）。一方、ステップ８７４の判断が否定された場合には、ＵＳＢメモリ１００がオフィス内には存在していない可能性が高いので、アクション（アクセス不能化処理）を許可する（ステップ８７６）。

その他の処理は、第５の実施形態と同様である。

このように、本第６の実施形態では、ポリシー評価部２０が、ＲＦＩＤリーダ１３７で受信した情報の受信順に基づいて、不能化処理の実行を許可又は禁止するので、上記第５の実施形態のようにオフィス内外の別により、アクセス不能化処理を行うことができるという効果に加え、正当なルートでオフィス内に入ってきた場合にのみ、アクセス不能化処理を禁止するなどの効果を得ることができる。

なお、上記実施形態では、読み込みＩＤ履歴記憶部１３９に、Ｎ個以上ＩＤが記憶されているときには、最も古いＩＤを消去して、新しいＩＤを記憶することとしたがこれに限られるものではない。例えば、特定のゲートを通過した場合に、読み込みＩＤ履歴記憶部１３９に記憶されているＩＤの全てを消去することとしても良い。また、特定のゲートをある順番で通過した場合に、読み込みＩＤ履歴記憶部１３９に記憶されているＩＤの全てを消去することとしても良い。

なお、上記実施形態では、ＩＤが記憶された順序に従って、アクセス不能化処理の許可・禁止を切り替えることとしたが、これに限らず、ＩＤに代えて、カウンタを用いることとしても良い。

なお、上記第２〜第６の実施形態のうちの、２以上の実施形態を適宜組み合わせることとしても良い。これらの組み合わせにより、組み合わせた各実施形態の効果を奏することが可能となる。

ここで挙げた全ての例および条件的表現は、発明者が技術促進に貢献した発明および概念を読者が理解するのを助けるためのものであり、ここで具体的に挙げたそのような例および条件に限定することなく解釈すべきであり、また、明細書におけるそのような例の編成は本発明の優劣を示すこととは関係ない。本発明の実施形態を詳細に説明したが、本発明の精神および範囲から逸脱することなく、それに対して種々の変更、置換および変形を施すことができると理解すべきである。

以上の実施例を含む実施形態に関して、さらに以下の付記を開示する。
（付記１）
インタフェース部を介してホスト装置から受け付けたデータを記憶可能な記憶装置であって、
前記インタフェース部を介したデータへのアクセスを異なるレベルで不能化する複数の不能化処理を実行する不能化実行部と、
前記不能化処理を特定する不能化識別情報と、前記不能化処理を実行する条件と、を有する設定情報を格納可能な設定情報記憶部と、
前記設定情報記憶部に格納されている前記設定情報を参照し、当該設定情報に示される前記条件と前記記憶装置の動作状態とを比較し、当該設定情報に示される前記条件が充足されるかどうかを判定する判定部と、
前記判定部により前記条件が充足されると判定された場合、当該設定情報に示される前記不能化識別情報により特定される前記不能化処理の実行を指示する不能化制御部と、
を具える記憶装置。
（付記２）
前記設定情報は、前記インタフェース部を介して設定または変更可能であることを特徴とする、付記１に記載の記憶装置。
（付記３）
前記不能化処理を実行する条件は、経時的に変化する要素について所定の閾値を設定したものであり、
前記設定情報記憶部は、
時間の経過が小さい閾値を示す第一の条件と、データの消去範囲が小さい第一の不能化処理を示す第一の不能化識別情報と、を有する第一の設定情報と、
前記第一の条件よりも時間の経過が大きい閾値を示す第二の条件と、前記第一の不能化処理よりもデータの消去範囲が大きい第二の不能化処理を示す第二の不能化識別情報と、を有する第二の設定情報と、
を格納し、
前記判定部は、前記記憶装置の動作において経時的に変化する要素を、前記設定情報に示される前記条件と比較し、当該条件が充足されるかどうかを判定すること
を特徴とする、付記１または２に記載の記憶装置。
（付記４）
前記ホスト装置の存在を前記インタフェース部を介して検知可能な検知部と、
前記検知部により前記ホスト装置の存在を検知した場合、前記判定部における判定処理を休止させる判定制御部と、
を有することを特徴とする、付記１乃至３のいずれかに記載の記憶装置。
（付記５）
前記不能化制御部が前記不能化処理の実行を指示した場合、当該指示された不能化処理を示す情報を、前記不能化処理によりアクセスが不能とされるデータとは別の格納領域へ格納するログ部と、
前記ログ部に格納された情報を、前記ホスト装置へ前記インタフェース部を介して転送可能なログ転送部と、
を有することを特徴とする、付記１乃至４のいずれかに記載の記憶装置。
（付記６）
さらに、前記条件が充足されると推定される時間、または前記記憶装置の状態を表示する表示器を具えることを特徴とする、付記１乃至５のいずれかに記載の記憶装置。
（付記７）
さらに、前記判定部を動作させる時間を指示する時間管理部を含む、付記１乃至６のいずれかに記載の記憶装置。
（付記８）
前記ホスト装置からの給電開始を検知して前記不能化制御部に通知する、給電開始検知部を有し、
前記ホスト装置からの給電が行われていない間に、前記判定部により前記条件が充足されたと判定された場合には、前記不能化制御部は、前記ホスト装置からの給電が開始された際に、前記不能化処理の実行を指示することを特徴とする付記１乃至７のいずれかに記載の記憶装置。
（付記９）
前記ホスト装置から受け付けたデータを記憶する複数の記憶部と、
前記不能化実行部が前記一の記憶部に対する前記不能化処理を実行している間に、前記他の記憶部への前記ホスト装置からのアクセスを可能にするスイッチ部、を有することを特徴とする付記１乃至８のいずれかに記載の記憶装置。
（付記１０）
前記ホスト装置から受け付けたデータを暗号化するとともに、暗号鍵を生成する暗号化部と、
前記暗号鍵を記憶する揮発性の暗号鍵記憶部と、を有することを特徴とする付記１乃至９のいずれかに記載の記憶装置。
（付記１１）
外部に設置された情報発信装置から、情報を受信する受信部を有し、
前記不能化制御部は、前記受信部の受信した情報に基づいて、前記不能化処理の実行を許可又は禁止することを特徴とする付記１乃至１０のいずれかに記載の記憶装置。
（付記１２）
前記受信部は、複数の前記情報発信装置から情報を受信し、
前記不能化制御部は、前記受信部で受信した情報の受信順に基づいて、前記不能化処理の実行を許可又は禁止することを特徴とする付記１１に記載の記憶装置。
（付記１３）
インタフェース部を介してホスト装置から受け付けたデータを記憶可能な記憶装置において用いられるプログラムであって、
前記記憶装置を、
前記インタフェース部を介したデータへのアクセスを異なるレベルで不能化する複数の不能化処理を実行する不能化実行部と、
前記不能化処理を特定する不能化識別情報と、前記不能化処理を実行する条件と、を有する設定情報を格納可能な設定情報記憶部と、
前記設定情報記憶部に格納されている前記設定情報を参照し、当該設定情報に示される前記条件と前記記憶装置の動作状態とを比較し、当該設定情報に示される前記条件が充足されるかどうかを判定する判定部と、
前記判定部により前記条件が充足されると判定された場合、当該設定情報に示される前記不能化識別情報により特定される前記不能化処理の実行を指示する不能化制御部、
として機能させるプログラム。

１００ ＵＳＢメモリ
１１０ ＵＳＢインタフェース
１２０ マイクロコンピュータ
１２４ 内部フラッシュ・メモリ
１３０、１３２ ハブ・スイッチ
１３４ 主要フラッシュ・メモリ
１４２ 開閉センサ
１４４ 表示器
１６０ バッテリおよび充電回路
１６４ リアルタイム・クロック
２０ ポリシー評価部
２２ 認証処理部
２４ コマンド処理部
２８ 時間管理部
３０ 状態出力部
３２ 選択部
３４ アクセス不能化処理部
３６ 状態情報およびログ保存部

Claims (10)

1. インタフェース部を介してホスト装置から受け付けたデータを記憶可能な記憶装置であって、
   前記ホスト装置から受け付けたデータを記憶する複数の記憶部と、
   前記インタフェース部を介した前記記憶部に記憶されているデータへのアクセスを異なるレベルで不能化する複数の不能化処理を実行する不能化実行部と、
   前記不能化処理を特定する不能化識別情報と、前記不能化処理を実行する条件と、を有する設定情報を格納可能な設定情報記憶部と、
   前記設定情報記憶部に格納されている前記設定情報を参照し、当該設定情報に示される前記条件と前記記憶装置の動作状態とを比較し、当該設定情報に示される前記条件が充足されるかどうかを判定する判定部と、
   前記判定部により前記条件が充足されると判定された場合、当該設定情報に示される前記不能化識別情報により特定される前記不能化処理の実行を指示する不能化制御部と、
   前記不能化実行部が一の記憶部に対する前記不能化処理を実行している間に、他の記憶部への前記ホスト装置からのアクセスを可能にするスイッチ部と、を具える記憶装置。
2. 前記設定情報は、前記インタフェース部を介して設定または変更可能であることを特徴とする、請求項１に記載の記憶装置。
3. 前記不能化処理を実行する条件は、経時的に変化する要素について所定の閾値を設定したものであり、
   前記設定情報記憶部は、
   時間の経過が小さい閾値を示す第一の条件と、データの消去範囲が小さい第一の不能化処理を示す第一の不能化識別情報と、を有する第一の設定情報と、
   前記第一の条件よりも時間の経過が大きい閾値を示す第二の条件と、前記第一の不能化処理よりもデータの消去範囲が大きい第二の不能化処理を示す第二の不能化識別情報と、を有する第二の設定情報と、
   を格納し、
   前記判定部は、前記記憶装置の動作において経時的に変化する要素を、前記設定情報に示される前記条件と比較し、当該条件が充足されるかどうかを判定すること
   を特徴とする、請求項１または２に記載の記憶装置。
4. 前記ホスト装置の存在を前記インタフェース部を介して検知可能な検知部と、
   前記検知部により前記ホスト装置の存在を検知した場合、前記判定部における判定処理を休止させる判定制御部と、
   を有することを特徴とする、請求項３に記載の記憶装置。
5. 前記不能化制御部が前記不能化処理の実行を指示した場合、当該指示された不能化処理を示す情報を、前記不能化処理によりアクセスが不能とされるデータとは別の格納領域へ格納するログ部と、
   前記ログ部に格納された情報を、前記ホスト装置へ前記インタフェース部を介して転送可能なログ転送部と、
   を有することを特徴とする、請求項１乃至４のいずれかに記載の記憶装置。
6. 前記ホスト装置からの給電開始を検知して前記不能化制御部に通知する、給電開始検知部を有し、
   前記ホスト装置からの給電が行われていない間に、前記判定部により前記条件が充足されたと判定された場合には、前記不能化制御部は、前記ホスト装置からの給電が開始された際に、前記不能化処理の実行を指示することを特徴とする請求項１乃至５のいずれかに記載の記憶装置。
7. 前記ホスト装置から受け付けたデータを暗号化するとともに、暗号鍵を生成する暗号化部と、
   前記暗号鍵を記憶する揮発性の暗号鍵記憶部と、を有することを特徴とする請求項１乃至６のいずれかに記載の記憶装置。
8. 外部に設置された情報発信装置から、情報を受信する受信部を有し、
   前記不能化制御部は、前記受信部の受信した情報に基づいて、前記不能化処理の実行を許可又は禁止することを特徴とする請求項１乃至７のいずれかに記載の記憶装置。
9. 前記受信部は、複数の前記情報発信装置から情報を受信し、
   前記不能化制御部は、前記受信部で受信した情報の受信順に基づいて、前記不能化処理の実行を許可又は禁止することを特徴とする請求項８に記載の記憶装置。
10. インタフェース部を介してホスト装置から受け付けたデータを記憶可能な複数の記憶部を有する記憶装置において用いられるプログラムであって、
    前記記憶装置を、
    前記インタフェース部を介した前記記憶部に記憶されているデータへのアクセスを異なるレベルで不能化する複数の不能化処理を実行する不能化実行部と、
    前記不能化処理を特定する不能化識別情報と、前記不能化処理を実行する条件と、を有する設定情報を格納可能な設定情報記憶部と、
    前記設定情報記憶部に格納されている前記設定情報を参照し、当該設定情報に示される前記条件と前記記憶装置の動作状態とを比較し、当該設定情報に示される前記条件が充足されるかどうかを判定する判定部と、
    前記判定部により前記条件が充足されると判定された場合、当該設定情報に示される前記不能化識別情報により特定される前記不能化処理の実行を指示する不能化制御部と、
    前記不能化実行部が一の記憶部に対する前記不能化処理を実行している間に、他の記憶部への前記ホスト装置からのアクセスを可能にするスイッチ部、
    として機能させるプログラム。

Images