(57)【要約】【課題】画像形成装置におけるジョブの実行への影響を抑制しつつ、情報漏えいに対するセキュリティを強化する。【解決手段】画像形成装置１００は、画像形成装置１００で用いるデータを記録する記録手段１０８と、記録手段１０８についてのデータ消去領域３０１を設定する設定手段Ｓ２０１，と２０９と、データ消去領域３０１を上書きしてデータを消去する消去手段と、実行待ちのジョブデータの有無を判断する判断手段Ｓ２０４と、を有する。消去手段Ｓ２０７は、実行待ちのジョブデータがある場合、ジョブデータによりデータ消去領域３０１を上書きする。【選択図】図２
2020108942.tif 000002
【特許請求の範囲】
【請求項１】
画像形成装置で用いるデータを記録する記録手段と、
前記記録手段についてのデータ消去領域を設定する設定手段と、
前記記録手段の前記データ消去領域を上書きしてデータを消去する消去手段と、
実行待ちのジョブデータの有無を判断する判断手段と、
を有し、
前記消去手段は、
実行待ちのジョブデータがある場合、前記ジョブデータにより前記データ消去領域を上書きする、
画像形成装置。
【請求項２】
前記消去手段は、
前記データ消去領域において、実行待ちの前記ジョブデータにより上書きされない残領域がある場合、前記残領域を、予め定められた方法による値により前記データ消去領域を上書きする、
請求項１記載の画像形成装置。
【請求項３】
前記消去手段は、
実行待ちのジョブデータがない場合、予め定められた方法による値により前記データ消去領域を上書きする、
請求項１または２記載の画像形成装置。
【請求項４】
予め定められた方法による値により上書きされた領域から読み出したデータと、元データとを比較するベリファイ手段、を有する、
請求項２または３記載の画像形成装置。
【請求項５】
前記設定手段は、前記記録手段についての前記ジョブデータにより上書きされた領域を、新たなデータ消去領域に設定し、
前記消去手段は、
前記ジョブデータに係るジョブの実行後に、新たなデータ消去領域を上書きしてデータを消去する、
請求項１から４のいずれか一項記載の画像形成装置。
【請求項６】
前記消去手段は、
前記データ消去領域に対して、所定の値を上書きし、さらに前記所定の値の補数を上書きした後に、前記ジョブデータまたは前記予め定められた方法による値により上書きする、
請求項１から５のいずれか一項記載の画像形成装置。
【請求項７】
前記判断手段は、
前記消去手段により前記データ消去領域に対して前記所定の値および前記所定の値の補数を上書きした後に、実行待ちのジョブデータの有無を判断する、
請求項６記載の画像形成装置。
【請求項８】
前記記録手段は、データを磁気的に記録するハードディスクドライブである、
請求項１から７のいずれか一項記載の画像形成装置。
【請求項９】
画像形成装置で用いるデータを記録する記録手段、を有する画像形成装置の制御方法であって、
前記記録手段についてのデータ消去領域を設定する設定工程と、
前記記録手段の前記データ消去領域を上書きしてデータを消去する消去工程と、
実行待ちのジョブデータの有無を判断する判断工程と、
を有し、
前記消去工程は、
実行待ちのジョブデータがある場合、前記ジョブデータにより前記データ消去領域を上書きする、
画像形成装置の制御方法。
【請求項１０】
画像形成装置で用いるデータを記録する記録手段、を有する画像形成装置の制御方法をコンピュータに実行させるプログラムであって、
前記画像形成装置の制御方法は、
前記記録手段についてのデータ消去領域を設定する設定工程と、
前記記録手段の前記データ消去領域を上書きしてデータを消去する消去工程と、
実行待ちのジョブデータの有無を判断する判断工程と、
を有し、
前記消去工程は、
実行待ちのジョブデータがある場合、前記ジョブデータにより前記データ消去領域を上書きする、
プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画像形成装置に関する。
【背景技術】
【０００２】
画像形成装置には、コピージョブ、スキャンジョブ、プリントジョブ、送信ジョブ、などの各種のジョブを実行するものがある。そして、画像形成装置は、これらのジョブの実行において、たとえば原稿を読み取った画像データ、受信した画像データ、これらを展開したプリント用の画像データを使用する。これらの画像データなどのジョブデータは、ジョブの実行の際に、ハードディスドライブなどの記録手段に記録される（特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−１９９６６８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、画像形成装置では、ハードディスクドライブなどの記録手段のデータを完全に消去することにより、情報漏えいに対するセキュリティを強化することが求められる。オペレーティングシステムを用いる一般的なコンピュータ装置では、ハードディスクドライブに格納したデータを削除する場合、通常、ハードディスクドライブのデータを管理するファイルシステムの管理からデータを削除している。この場合、ハードディスクドライブのデータそのものからはデータは消去されない。したがって、コンピュータ装置の管理からデータが削除されたとしても、データ復活ツールなどを用いてハードディスクドライブに残っているデータを復活することが可能になる。このため、コンピュータ装置におけるハードディスクドライブなどの記録手段からのデータ削除では、データを後から復元できないように、データを完全に消去することが求められる。データの完全消去方式には、たとえば「米国国防総省準拠方式ＤｏＤ５２２０．２２−Ｍ消去方式（以下、ＤｏＤ規格と略す）」がある。ＤｏＤ規格では、ステップ１として、何らかの値（たとえば００）で上書きする。次に、ステップ２として、ステップ１で用いた値の補数（上の場合はＦＦ）で上書きする。次に、ステップ３として、乱数を上書きし、書込んだ値を読み出して書込んだ乱数と比較して書き込み検証（ベリファイ）を行う。これにより、ハードディスクドライブなどの記録手段からデータを完全に削除することができる。ハードディスクドライブは、データを磁気的に記録するため、単に００やＦＦといった固定値を上書きしただけでは、上書き後の媒体面の残留磁気の痕跡により元データを推測することが可能となることがある。ＤｏＤ規格のように３ステップで上書きをすることにより、媒体面の残留磁気の痕跡から元データを推測することが難しくなる。したがって、画像形成装置においても、情報漏えい対策のために、一般的なコンピュータ装置と同様に、使用するハードディスクドライブなどの記録手段に対してＤｏＤ規格により消去を実行して、データを完全に消去することが望ましい。特に、画像形成装置は、通常は様々なユーザが共同で使用するものであるため、各ジョブの実行が終了した時点においてＤｏＤ規格により消去を実行し、各ジョブデータを即時的に完全に消去することが望ましい。
【０００５】
しかしながら、ジョブの実行が終了した時点においてＤｏＤ規格により消去を実行すると、画像形成装置は、基本的にその消去処理が完了するまで、ハードディスクドライブを用いるジョブを実行できなくなる。または、画像形成装置は、消去処理が並列的に実行されるために、ジョブの実行速度が低下する可能性がある。画像形成装置において、１つのコピージョブまたはプリントジョブで使用する画像データは、数十ＭＢ〜数ＧＢのデータ量となることがある。ＤｏＤ規格による完全消去では、消去対象の領域に対して上述したステップ１〜ステップ３による３回のライト動作と、１回のリード動作と、データの比較動作と、を行う必要がある。したがって、１つのコピージョブまたはプリントジョブで使用する大量のデータをハードディスクドライブから完全に消去するためには、データの完全消去処理には、数秒から数分程度の時間が必要になる。その間、画像形成装置は、次のジョブの実行を開始することができなくなる。ジョブの実行開始についての待ち時間が発生してしまう。画像形成装置のパフォーマンスが低下する。
【０００６】
このように画像形成装置では、ジョブの実行への影響を抑制しつつ、情報漏えいに対するセキュリティを強化することが求められる。
【課題を解決するための手段】
【０００７】
本発明に係る画像形成装置は、画像形成装置で用いるデータを記録する記録手段と、前記記録手段についてのデータ消去領域を設定する設定手段と、前記記録手段の前記データ消去領域を上書きしてデータを消去する消去手段と、実行待ちのジョブデータの有無を判断する判断手段と、を有し、前記消去手段は、実行待ちのジョブデータがある場合、前記ジョブデータにより前記データ消去領域を上書きする。
【発明の効果】
【０００８】
本発明では、画像形成装置におけるジョブの実行への影響を抑制しつつ、情報漏えいに対するセキュリティを強化することができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施形態に係る画像形成装置の概略的な構成図である。
【図２】図１のＣＰＵによる、ハードディスクドライブからジョブデータを完全に消去する処理の流れを示すフローチャートである。
【図３】完全消去の際に実行待ちのジョブデータがない場合での、ハードディスクドライブに対する消去処理の説明図である。
【図４】完全消去の際に実行待ちのジョブデータがある場合での、ハードディスクドライブに対する消去処理の説明図である。
【図５】完全消去の際に、データ消去領域よりデータ量が小さい実行待ちのジョブデータがある場合での、ハードディスクドライブに対する消去処理の説明図である。
【発明を実施するための形態】
【００１０】
以下、本発明の実施形態について図面を参照しながら詳細に説明する。しかしながら、以下の実施形態に記載されている構成はあくまで例示に過ぎず、本発明の範囲は実施形態に記載されている構成によって限定されることはない。
【００１１】
図１は、本発明の実施形態に係る画像形成装置１００の概略的な構成図である。図１の画像形成装置１００は、ＭＦＰであり、コピージョブ、スキャンジョブ、プリントジョブ、送信ジョブ、などの各種のジョブを実行する。画像形成装置１００は、ＣＰＵ１０１、ＲＡＭ１０２、ＲＯＭ１０３、ユーザインターフェース（ＵＩ）１０５、ネットワーク（ＮＷ）Ｉ／Ｆ１０６、を有する。また、画像形成装置１００は、ハードディスクドライブ（ＨＤＤ）１０８、ＡＤＦＩ／Ｆ１１１、プリンタＩ／Ｆ１１３、および、これらが接続されるシステムバス１１５、を有する。
【００１２】
ＡＤＦＩ／Ｆ１１１は、ＡＤＦリーダ１１２に接続される。ＡＤＦリーダ１１２は、原稿を自動用紙送りしながらスキャンする。ＡＤＦＩ／Ｆ１１１は、スキャンした原稿の画像データを、システムバス１１５へ出力する。プリンタＩ／Ｆ１１３は、プリンタＥｎｇｉｎｅ１１４に接続される。プリンタＩ／Ｆ１１３は、印刷用に展開された画像データを、プリンタＥｎｇｉｎｅ１１４へ出力する。プリンタＥｎｇｉｎｅ１１４は、印刷用に展開された画像データを用いて、用紙に画像を印刷する。ネットワークＩ／Ｆ１０６は、ローカルエリアネットワーク（ＬＡＮ）１０７に接続される。ＬＡＮ１０７には、この他にもホスト用のコンピュータ装置などの外部装置が接続される。ネットワークＩ／Ｆ１０６は、画像データを、ＬＡＮ１０７を通じて外部装置へ送信する。ネットワークＩ／Ｆ１０６は、外部装置からＬＡＮ１０７を通じて画像データを受信する。ユーザインターフェース１０５は、操作部および表示部を有する。操作部は、ユーザがジョブの設定および実行を指示するためのタッチパネル、テンキーボタンなどを有する。表示部は、タッチパネルにより操作可能な操作画面を表示する。表示部は、画像形成装置１００のステータス情報の表示画面を表示してよい。
【００１３】
記録手段としてのＨＤＤ１０８は、複数の磁気ディスクを有し、磁気ディスクにデータを記録する。ＨＤＤ１０８は、画像形成装置１００の制御に関するプログラムおよび各種の設定データ、保存された画像や文章のデータ、ＣＰＵ１０１がジョブの実行中に生成する展開した画像データ、などをスプールして記録する。ＨＤＤ１０８は、たとえば、ネットワークＩ／Ｆ１０６が受信した画像データを、プリンタＥｎｇｉｎｅ１１４によるプリントジョブが実行されるまで、一時的にスプールして記録する。この他にもたとえば、ＨＤＤ１０８は、ＡＤＦリーダ１１２により読み取られた画像データを、一時的にスプールして記録する。ＡＤＦリーダ１１２により読み取られた画像データは、プリンタＥｎｇｉｎｅ１１４によるプリントジョブが実行されるまで、またはネットワークＩ／Ｆ１０６により送信されるまで、一時的にスプールして記録する。このように、ＨＤＤ１０８は、画像形成装置１００で用いるデータを磁気的に記録する記録手段として機能する。
【００１４】
ＲＯＭ１０３は、画像形成装置１００の起動に用いるプログラムを記録する。ＲＯＭ１０３のプログラムは、画像形成装置１００を起動する場合に用いられる。ＲＡＭ１０２は、画像形成装置１００の各種のジョブを実行するためのプログラムを記録する。ＲＡＭ１０２は、ＣＰＵ１０１が演算処理に用いるデータを一時的に格納するワークメモリとして使用されてよい。ＣＰＵ１０１は、マイクロコンピュータである。ＣＰＵ１０１は、ＨＤＤ１０８およびＲＯＭ１０３に記録されているプログラムを読み込み、ＲＡＭ１０２に展開し、実行する。これにより、ＣＰＵ１０１は、画像形成装置１００の全体を制御する制御部として機能する。制御部としてのＣＰＵ１０１は、ＨＤＤ１０８に記録されている各種のデータを用いて、ユーザにより要求された各種のジョブを実行する。ＣＰＵ１０１は、ジョブの実行中に、画像データなどのジョブデータを生成し、ＨＤＤ１０８およびＲＡＭ１０２に一時的に記録する。
【００１５】
ところで、画像形成装置１００では、ＨＤＤ１０８などの記録手段のデータを完全に消去することにより、情報漏えいに対するセキュリティを強化することが求められる。ＲＡＭ１０２に記録されているデータは、画像形成装置１００の電源をオフにすることで自動的に消去し得る。このため、画像形成装置１００においても、オペレーティングシステムを用いる一般的なコンピュータ装置と同様に、ＤｏＤ規格による消去処理によりＨＤＤ１０８からデータを完全に消去することが考えられる。ＤｏＤ規格による消去処理により、データを後から復元できないように、画像形成装置１００のＨＤＤ１０８からデータを完全に消去することができる。特に、画像形成装置１００では、各ジョブの実行が終了した時点においてＤｏＤ規格による消去を実行することにより、その後に他のユーザが使用する場合において以前のジョブデータをＨＤＤ１０８から消去できるので望ましい。しかしながら、ジョブの実行が終了した時点においてＤｏＤ規格により消去を実行すると、画像形成装置１００は、基本的にその消去処理が完了するまで、ＨＤＤ１０８を用いるジョブを実行できなくなる。または、画像形成装置１００は、消去処理が並列的に実行されるために、ジョブの実行速度が低下する可能性がある。画像形成装置１００において、１つのコピージョブまたはプリントジョブで使用する画像データは、数十ＭＢ〜数ＧＢのデータ量となることがある。ＤｏＤ規格による完全消去では、消去対象の領域に対して上述したステップＳ１〜ステップＳ３による３回のライト動作と、１回のリード動作と、データの比較動作と、を行う必要がある。したがって、１つのコピージョブまたはプリントジョブで使用する大量のデータをＨＤＤ１０８から完全に消去するためには、データの完全消去処理には、数秒から数分程度の時間が必要になる。その間、画像形成装置１００は、次のジョブの実行を開始することができなくなる。ジョブの実行開始についての待ち時間が発生してしまう。画像形成装置１００のパフォーマンスが低下する。このように画像形成装置１００では、単に情報漏えいに対するセキュリティを強化すればよいのではなく、さらにジョブの実行への影響を抑制することも求められる。
【００１６】
図２は、図１のＨＤＤ１０８からジョブデータを完全に消去する処理の流れを示すフローチャートである。ＣＰＵ１０１は、画像形成装置１００でのコピーや印刷などのジョブの実行においてＨＤＤ１０８が使用されると、ジョブの実行終了後に図２のジョブデータの完全消去処理を開始する。消去手段としてのＣＰＵ１０１は、図２のジョブデータの完全消去処理により、ＨＤＤ１０８についての、終了したジョブデータの格納領域を上書きしてデータを消去する。ＣＰＵ１０１は、ジョブデータに係るジョブの実行後に、新たなデータ消去領域を上書きしてデータを消去する。ここで、完全消去処理とは、消去後に記録されていたデータを再生したり推定したりし難くなるように消去する処理を意味する。
【００１７】
図２のステップＳ２０１において、ＣＰＵ１０１は、ＨＤＤ１０８についての、終了したジョブデータの格納領域を、完全消去領域に設定する。設定手段としてのＣＰＵ１０１は、ＨＤＤ１０８についてのジョブデータを書き込んだ領域を、データ完全消去領域として設定する。ステップＳ２０２において、ＣＰＵ１０１は、設定した完全消去領域を、たとえば所定の固定値で上書きする。ステップＳ２０２は、ＤｏＤ規格におけるステップＳ１の「何らかの値で上書きする」処理と同じである。上書きする固定値が８ビットの値である場合、一般的には００、ＦＦ、５５、ＡＡなどの値が使用される。ステップＳ２０３において、ＣＰＵ１０１は、設定した完全消去領域を、上書きした固定値の補数で上書きする。ステップＳ２０３は、ＤｏＤ規格におけるステップＳ２の「ステップＳ１で用いた値の補数で上書きする」処理と同じである。補数とは、たとえば８ビットで表現される値に対して１と０を逆にした値のことをいう。たとえば００の補数はＦＦである。ＦＦの補数は００である。５５の補数はＡＡである。ＡＡの補数は５５である。
【００１８】
ステップＳ２０４において、ＣＰＵ１０１は、ＲＡＭ１０２に実行待ちのジョブがあるかどうかを判断する。判断手段としてのＣＰＵ１０１は、データ消去領域に対して固定値および固定値の補数を上書きした後に、新たな実行待ちのジョブデータの有無を判断する。ＣＰＵ１０１は、Ｓ２０１を実行する前に受け付けたジョブのみを、実行待ちのジョブとしてよい。または、ＣＰＵ１０１は、Ｓ２０１〜Ｓ２０３を実行している間に受け付けたジョブについても、実行待ちのジョブとしてよい。実行待ちのジョブがない場合、ＣＰＵ１０１は、処理をステップＳ２０５へ進める。実行待ちのジョブがある場合、ＣＰＵ１０１は、処理をステップＳ２０７へ進める。
【００１９】
ステップＳ２０５において、ＣＰＵ１０１は、乱数を取得し、補数を上書きした完全消去領域に、取得した乱数を書き込む。ステップＳ２０５では、完全消去領域の複数の記録素子には、ステップＳ２０２およびステップＳ２０３の場合と異なり、乱数による互いに異なる値が書き込まれる。ステップＳ２０６において、ＣＰＵ１０１は、書き込んだ完全消去領域のそれぞれの記録素子から値を読み出し、それぞれに書き込んだ乱数と比較して書き込み検証を行う。ベリファイ手段としてのＣＰＵ１０１は、乱数を上書きすると予め定められた方法により、上書きされた領域から読み出したデータと、元データとを比較する。ＣＰＵ１０１は、完全消去領域のそれぞれの記録素子に対して、取得した乱数が書き込まれていることを確認する。ステップＳ２１３において、ＣＰＵ１０１は、ステップＳ２０１または後述するステップＳ２０９において設定した完全消去領域の設定を解除する。その後、ＣＰＵ１０１は、図２の完全消去処理を終了する。ここで、ステップＳ２０５およびステップＳ２０６は、ＤｏＤ規格におけるステップＳ３「乱数を上書きし、書込んだ領域を読み出して書込んだ乱数と比較して書き込み検証（ベリファイ）を行う」処理と同じである。すなわち、ステップＳ２０４において実行待ちのジョブがない場合、ＣＰＵ１０１は完全消去領域に対してステップＳ２０２、Ｓ２０３、Ｓ２０５およびＳ２０６の処理を行う。消去手段としてのＣＰＵ１０１は、データ消去領域に対して、所定の固定値を上書きし、さらに固定値の補数を上書きし、その後に予め定められた方法である乱数により上書きする。これは、完全消去領域に対して、ＤｏＤ規格による完全消去動作を行うことになる。
【００２０】
ステップＳ２０７において、ＣＰＵ１０１は、ステップＳ２０１で設定した完全消去領域に対して、実行待ちのジョブの画像データなどを展開して上書きする。展開するデータに対して完全消去領域が不足する場合、ＣＰＵ１０１は、ＨＤＤ１０８の他の領域へ残りのデータを展開して記録する。ステップＳ２０８において、ＣＰＵ１０１は、ステップＳ２０７において展開したジョブデータにより、ステップＳ２０１で設定した完全消去領域のすべての記録素子に対する書き込みが行われたか否かを判断する。ステップＳ２０７で展開したジョブデータ量がステップＳ２０１で設定した完全消去領域のデータ量よりも大きい場合、完全消去領域は、展開したジョブデータによりすべて上書きされる。たとえば、ジョブデータにより、完全消去領域のすべての記録素子のみへの書き込みが実行された場合、ＣＰＵ１０１は、書き込みが行われたと判断し、処理をステップＳ２０９へ進める。また、ジョブデータが、完全消去領域とは別の領域の記録素子へ書き込まれている場合、ＣＰＵ１０１は、書き込みが行われたと判断し、処理をステップＳ２０９へ進める。ステップＳ２０９において、ＣＰＵ１０１は、ジョブデータを展開した領域のすべてを、新たな完全消去領域に設定する。設定手段としてのＣＰＵ１０１は、ＨＤＤ１０８についてのジョブデータにより上書きされた領域を、新たなデータ消去領域に設定する。ステップＳ２１０において、ＣＰＵ１０１は、ジョブの実行が終了するのを待つ。ジョブの実行が終了すると、ＣＰＵ１０１は、処理をステップＳ２０２へ戻す。ＣＰＵ１０１は、新たな完全消去領域について図２の処理を繰り返す。
【００２１】
ステップＳ２０７で展開したジョブデータ量がステップＳ２０１で設定した完全消去領域に格納可能なデータ量よりも小さい場合、完全消去領域の一部は、展開したジョブデータにより上書きされない。完全消去領域には、ジョブテータの展開により上書きされていない残領域が存在する。この場合、ＣＰＵ１０１は、ステップＳ２１１において、乱数を取得して残領域に書き込む。ステップＳ２１２において、ＣＰＵ１０１は、書き込んだ残領域のそれぞれの記録素子から値を読み出し、それぞれに書き込んだ乱数と比較して書き込み検証を行う。ベリファイ手段としてのＣＰＵ１０１は、乱数を上書きすると予め定められた方法により、上書きされた領域から読み出したデータと、元データとを比較する。ＣＰＵ１０１は、完全消去領域のそれぞれの記録素子に対して、取得した乱数が書き込まれていることを確認する。その後、ＣＰＵ１０１は、処理をステップＳ２０９へ進める。ステップＳ２０９において、ＣＰＵ１０１は、ジョブデータを展開した領域のすべてを、新たな完全消去領域に設定する。新たな完全消去領域は、元の完全消去領域より小さくなる。設定手段としてのＣＰＵ１０１は、ＨＤＤ１０８についてのジョブデータを書き込んだ領域を、データ完全消去領域として設定する。ステップＳ２１０において、ＣＰＵ１０１は、ジョブの実行が終了するのを待つ。ジョブの実行が終了すると、ＣＰＵ１０１は、処理をステップＳ２０２へ戻す。ＣＰＵ１０１は、新たな完全消去領域について図２の処理を繰り返す。なお、ステップＳ２１１およびステップＳ２１２は、ＤｏＤ規格におけるステップＳ３「乱数を上書きし、書込んだ領域を読み出して書込んだ乱数と比較して書き込み検証（ベリファイ）を行う」処理と同じである。消去手段としてのＣＰＵ１０１は、残領域に対して、所定の固定値を上書きし、さらに固定値の補数を上書きし、その後に予め定められた方法である乱数により上書きする。すなわち、ＣＰＵ１０１は、残領域に対してＤｏＤ規格による完全消去動作を行うことになる。
【００２２】
次に、ＨＤＤ１０８の完全消去領域のデータ量とジョブデータのデータ量との大小関係に応じた具体的な完全消去処理の内容について説明する。図３は、完全消去の際に実行待ちのジョブデータがない場合での、ＨＤＤ１０８の状態変化の説明図である。図３（ａ）は、ステップＳ２０１またはステップＳ２０９において設定された、完全消去処理前のＨＤＤ１０８の完全消去領域３０１である。図３（ａ）の完全消去領域３０１には、実行が完了したジョブについてのジョブデータが格納されている。ＣＰＵ１０１は、ステップＳ２０２において、完全消去領域３０１の全体に対して、所定の固定値を上書きする。これにより、完全消去領域３０２には、その全体に、図３（ｂ）に示すように固定値（００）が記録される。次に、ＣＰＵ１０１は、ステップＳ２０３において、完全消去領域３０２の全体に対して、所定の固定値の補数を上書きする。これにより、完全消去領域３０３には、その全体に、図３（ｃ）に示すように固定値の補数（ＦＦ）が記録される。次に、ＣＰＵ１０１は、ステップＳ２０４において、実行待ちのジョブがないと判断し、ステップＳ２０５において、完全消去領域３０３の全体に対して、乱数を上書きする。ＣＰＵ１０１は、予め定められた方法による乱数により、完全消去領域３０３の全体を上書きする。これにより、完全消去領域３０４には、図３（ｄ）に示すように乱数が記録される。その後、ＣＰＵ１０１は、ステップＳ２０６において完全消去領域３０４について乱数のリード／ベリファイを実行し、ステップＳ２１３において、完全消去領域の設定を解除する。これにより、完全消去領域３０５は、図３（ｅ）に示すように、実行が完了したジョブデータが記録されていない状態になる。なお、図３（ｅ）の完全消去領域３０５には、図３（ｄ）の完全消去領域３０４と同じ乱数が書き込まれている。また、完全消去領域３０５は、その設定が解除された状態であるため、破線枠により図示されている。これにより、ＣＰＵ１０１は、各ジョブの実行が終了した時点においてＤｏＤ規格による完全消去を実行し、各ジョブデータを即時的に完全に消去することができる。また、連続するジョブが発生ないため、１つのコピージョブまたはプリントジョブで使用する画像データをＤｏＤ規格により完全に消去するために必要とされる時間が数秒から数分程度となっても、それが待ち時間となることはない。
【００２３】
図４は、完全消去の際に実行待ちのジョブデータがある場合での、ＨＤＤ１０８の状態変化の説明図である。図４において、実行待ちのジョブデータは、完全消去領域よりも大きいデータ量を有するものとする。図４（ａ）は、ステップＳ２０１またはステップＳ２０９において設定された、完全消去処理前のＨＤＤ１０８の完全消去領域３０１である。ＣＰＵ１０１は、ステップＳ２０２において、完全消去領域３０１の全体に対して、所定の固定値を上書きする。これにより、完全消去領域３０２には、その全体に、図４（ｂ）に示すように固定値（００）が記録される。次に、ＣＰＵ１０１は、ステップＳ２０３において、完全消去領域３０２の全体に対して、所定の固定値の補数を上書きする。これにより、完全消去領域３０３には、その全体に、図４（ｃ）に示すように固定値の補数（ＦＦ）が記録される。次に、ＣＰＵ１０１は、ステップＳ２０４において、実行待ちのジョブがあると判断し、ステップＳ２０７において、完全消去領域３０３の全体に対して、実行待ちのジョブデータを展開して上書きする。実行待ちのジョブデータのデータ量が完全消去領域の容量より大きい場合、図４（ｄ）に示すように完全消去領域４０１は、完全消去領域３０３より広がる。その後、ＣＰＵ１０１は、ステップＳ２０９において、図４（ｅ）に示すように、新たな完全消去領域４０２を設定する。新たな完全消去領域４０２は、実行待ちのジョブデータに対応するデータ量であり、処理開始前の完全消去領域３０１以上になる。ＣＰＵ１０１は、次回の完全消去処理において、新たな完全消去領域４０２について処理を実行する。
【００２４】
図４の場合、ＣＰＵ１０１は、実行待ちのジョブデータがある場合、そのジョブデータによりＨＤＤ１０８のデータ消去領域を上書きする。実行待ちのジョブは、ＨＤＤ１０８のデータ消去領域のデータを用いて、その処理を実行することができる。ＣＰＵ１０１は、前回のジョブデータについての消去処理によりジョブデータをＨＤＤ１０８に展開して、実行待ちのジョブを開示することができる。ＣＰＵ１０１は、前回のジョブデータについての消去処理の終了を待つことなく、その後に続く次のジョブの実行を開始することができる。ジョブの実行毎にジョブデータの消去処理を実行しているにもかかわらず、ＣＰＵ１０１は、複数のジョブを略連続的に実行することができる。たとえば、ＣＰＵ１０１は、１つのコピージョブまたはプリントジョブで使用する画像データが数十ＭＢ〜数ＧＢのデータ量となったとしても、その後のジョブを数秒から数分程度の時間にて待たせることなく、実行を開始することができる。
【００２５】
図５は、完全消去の際に、データ消去領域よりデータ量が小さい実行待ちのジョブデータがある場合での、ＨＤＤ１０８の状態変化の説明図である。図５（ａ）は、ステップＳ２０１またはステップＳ２０９において設定された、完全消去処理前のＨＤＤ１０８の完全消去領域３０１である。ＣＰＵ１０１は、ステップＳ２０２において、完全消去領域３０１の全体に対して、所定の固定値を上書きする。これにより、完全消去領域３０２には、その全体に、図５（ｂ）に示すように固定値（００）が記録される。次に、ＣＰＵ１０１は、ステップＳ２０３において、完全消去領域３０２の全体に対して、所定の固定値の補数を上書きする。これにより、完全消去領域３０３には、その全体に、図５（ｃ）に示すように固定値の補数（ＦＦ）が記録される。次に、ＣＰＵ１０１は、ステップＳ２０４において、実行待ちのジョブがあると判断し、ステップＳ２０７において、完全消去領域３０３の全体に対して、実行待ちのジョブデータを展開して上書きする。実行待ちのジョブデータのデータ量が完全消去領域の容量より小さい場合、図５（ｄ）に示すように完全消去領域５０１の一部は、実行待ちのジョブデータにより上書きされていない残領域５０２として残る。ＣＰＵ１０１は、ステップＳ２０８において、完全消去領域５０１のすべてに上書きがされていないと判断する。その後、ＣＰＵ１０１は、ステップＳ２１１において、残領域５０２の全体に対して、乱数を上書きする。ＣＰＵ１０１は、予め定められた方法による乱数により、残領域５０２の全体を上書きする。これにより、残領域５０２には、図５（ｄ）に示すように乱数が記録される。その後、ＣＰＵ１０１は、ステップＳ２１２において残領域５０２について乱数のリード／ベリファイを実行する。これにより、完全消去領域５０１の中のジョブデータが書き込まれていない残領域５０３は、図５（ｅ）に示すように、正しく乱数が記録される。ＣＰＵ１０１は、ステップＳ２０９において、図５（ｆ）に示すように、完全消去領域５０１の中のジョブデータが書き込まれた領域を、新たな完全消去領域５０４に設定する。新たな完全消去領域５０４は、実行待ちのジョブデータに対応するデータ量であり、処理開始前の完全消去領域５０１より小さくなる。ＣＰＵ１０１は、次回の完全消去処理において、新たな完全消去領域５０４について処理を実行する。
【００２６】
図５の場合、ＣＰＵ１０１は、実行待ちのジョブデータがある場合、そのジョブデータによりＨＤＤ１０８のデータ消去領域を上書きする。実行待ちのジョブは、ＨＤＤ１０８のデータ消去領域のデータを用いて、その処理を実行することができる。ＣＰＵ１０１は、前回のジョブデータについての消去処理によりジョブデータをＨＤＤ１０８に展開して、実行待ちのジョブを開示することができる。ＣＰＵ１０１は、前回のジョブデータについての消去処理の終了を待つことなく、次のジョブの実行を開始することができる。ジョブの実行毎にジョブデータの消去処理を実行しているにもかかわらず、ＣＰＵ１０１は、複数のジョブを略連続的に実行することができる。たとえば、ＣＰＵ１０１は、１つのコピージョブまたはプリントジョブで使用する画像データが数十ＭＢ〜数ＧＢのデータ量となったとしても、その後に続くジョブを数秒から数分程度の時間にて待たせることなく、実行を開始することができる。しかも、ＨＤＤ１０８のデータ消去領域について、実行待ちのジョブデータが書き込まれない残領域については、ＤｏＤ規格による完全消去が実行される。残領域のジョブデータは、ジョブの実行の終了後に即時的に完全に消去することができる。また、この際のＤｏＤ規格による完全消去は、ＨＤＤ１０８のデータ消去領域の一部である残領域のみについて実施される。よって、次のジョブは、残領域のみについての短い処理時間を待つだけである。次のジョブの実行開始についての待ち時間は、ＨＤＤ１０８のデータ消去領域の全体に対してＤｏＤ規格による完全消去を実行する場合と比べて格段に短縮される。画像形成装置１００のパフォーマンスの低下は、格段に抑制され得る。
【００２７】
以上のように、本実施形態では、ＣＰＵ１０１は、完全消去動作を行う際に、実行待ちのジョブがある場合は乱数による上書きとリード／ベリファイ動作を行う代わりに完全消去領域に対してジョブデータを上書きする。消去手段としてのＣＰＵ１０１は、記録手段としてのＨＤＤ１０８への展開を必要とする実行待ちのジョブデータがある場合、ジョブデータによりデータ消去領域を上書きする。よって、実行待ちのジョブデータがある場合、データ消去領域への上書き処理は、ジョブデータの処理の一部として実行することができる。その結果、画像形成装置１００は、ジョブデータの処理を、データ消去領域への上書き処理の完了を待つことなく、開始することができる。なお、完全消去領域についての、ジョブデータにより上書きされなかった残領域については、ＣＰＵ１０１は、乱数の上書きとリード／ベリファイ動作を行って新たな完全消去領域から除外する。また、本実施形態では、ＣＰＵ１０１は、ジョブデータを上書きした領域を新たに完全消去領域に設定する。そして、ＣＰＵ１０１は、さらに実行待ちのジョブがある場合には、完全消去領域に対してジョブデータを上書きする。逆に、ＣＰＵ１０１は、実行待ちのジョブがなくなると、完全消去領域に対して乱数の上書きとリード／ベリファイ動作を行って完全消去動作を行う。これにより、実行待ちのジョブがなくなった後に、完全消去領域も最終的に完全消去動作される。これにより、本実施形態では、実行待ちのジョブがある場合は乱数の上書きとリード／ベリファイ動作のための時間を短縮して次のジョブの展開および実行を早めることがができる。画像形成装置１００のパフォーマンスの低下は、抑制される。本実施形態では、画像形成装置１００におけるジョブの実行への影響を抑制しつつ、情報漏えいに対するセキュリティを強化することができる。
【００２８】
以上、本発明をその好適な実施形態に基づいて詳述してきたが、本発明はこれら特定の実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の様々な形態も本発明に含まれる。
【００２９】
本発明は、上述の実施の形態の１以上の機能を実現するプログラムを、ネットワークや記憶媒体を介してシステムや装置に供給し、そのシステムまたは装置のコンピュータの１つ以上のプロセッサーがプログラムを読み出して実行する処理でも実現可能である。また、本発明は、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
【符号の説明】
【００３０】
１００  画像形成装置
１０１  ＣＰＵ
１０８  ＨＤＤ
３０１〜３０５，４０１，４０２，５０１，５０４  完全消去領域
５０２，５０３  残領域
【図１】
2020108942.tif 000003
【図２】
2020108942.tif 000004
【図３】
2020108942.tif 000005
【図４】
2020108942.tif 000006
【図５】
2020108942.tif 000007