(57)【要約】【課題】画像記録装置が移設された場合に、内部に記憶された機密情報が外部に漏洩するおそれを低減させることが可能な画像記録装置を提供する。【解決手段】画像記録装置は、記録媒体に画像を記録する画像記録装置であって、画像記録装置が移動したか否かを検知する移動検知部と、特定情報を記憶する記憶部と、記憶部を制御する制御部と、を備え、移動検知部により画像記録装置の移動を検知したことを第１条件とすると、制御部は、該第１条件が成立した場合に、記憶部に記憶された特定情報を消去する第１消去処理を実行する。【選択図】図４
2019059127.tif 000002
【特許請求の範囲】
【請求項１】
記録媒体に画像を記録する画像記録装置であって、
前記画像記録装置が移動したか否かを検知する移動検知部と、
特定情報を記憶する記憶部と、
前記記憶部を制御する制御部と、を備え、
前記移動検知部により前記画像記録装置の移動を検知したことを第１条件とすると、前記制御部は、該第１条件が成立した場合に、前記記憶部に記憶された前記特定情報を消去する第１消去処理を実行する、画像記録装置。
【請求項２】
前記第１消去処理は、前記記憶部に記憶されている前記特定情報を全て消去するものであり、
前記制御部は、前記第１条件が成立した場合に、前記移動の検知後のユーザの操作入力結果に応じて、前記第１消去処理と、前記特定情報の中の一部の情報を前記記憶部に残留させ、当該一部の情報以外の前記特定情報を消去する第２消去処理とのいずれかを選択して実行する、請求項１に記載の画像記録装置。
【請求項３】
前記第２消去処理では、前記特定情報のうち、少なくともユーザに関する情報を消去する、請求項２に記載の画像記録装置。
【請求項４】
前記制御部は、前記移動の検知後に、前記特定情報に含まれる所定の対象情報の更新があった場合は、前記第２消去処理において、前記移動の検知前に前記記憶部に記憶された前記対象情報を消去する、請求項２又は３に記載の画像記録装置。
【請求項５】
前記対象情報は、前記画像記録装置の管理者情報、前記画像記録装置のセキュリティ管理者情報、電話帳情報、Ｅメールアドレス情報、及びネットワーク設定情報のうち少なくともいずれかである、請求項４に記載の画像記録装置。
【請求項６】
前記制御部は、
前記移動の検知後にユーザの操作入力を受け付ける受付処理を更に実行し、
前記受付処理における前記操作入力が誤入力であったことを第２条件とし、前記受付処理における前記操作入力がなされなかったことを第３条件とすると、前記制御部は、前記第１条件に加えて少なくとも前記第２条件も成立した場合には前記第１消去処理を実行し、前記第１条件に加えて少なくとも前記第３条件も成立した場合には前記第１消去処理と前記第２消去処理とのいずれかを実行する、請求項２〜５のいずれか１項に記載の画像記録装置。
【請求項７】
前記特定情報にはジョブデータが含まれる、請求項１〜６のいずれか１項に記載の画像記録装置。
【請求項８】
前記特定情報にはジョブデータが含まれ、
前記制御部は、前記第２消去処理において、前記移動の検知前に前記記憶部が記憶した前記ジョブデータを前記一部の情報として前記記憶部に残留させる、請求項２〜７のいずれか１項に記載の画像記録装置。
【請求項９】
前記ジョブデータには該ジョブデータの送信元を特定するユーザＩＤが含まれ、
前記制御部は、前記画像記録装置が前記ジョブデータを受信した場合、該ジョブデータ中のユーザＩＤを含むユーザ使用履歴情報を前記記憶部に記憶させ、
更に、前記移動の検知後に、前記画像記録装置が受信した前記ジョブデータに含まれるユーザＩＤが、前記移動の検知前に前記記憶部に記憶された前記ユーザ使用履歴情報に含まれていないことを第４条件とすると、前記制御部は、前記第１条件に加えて少なくとも前記第４条件も成立した場合に前記第１消去処理を実行する、請求項７又は８に記載の画像記録装置。
【請求項１０】
前記記憶部には、パスワードとセキュアジョブに関するデータとを含むセキュアジョブデータが記憶され、
前記制御部は、前記記憶部に記憶されたセキュアジョブデータに含まれるパスワードが正しく入力されたことを条件として、セキュアジョブの実行を許可し、
前記移動の検知後の前記セキュアジョブの実行に際して、パスワードが正しく入力されなかったことを第５条件とすると、前記制御部は、前記第１条件に加えて少なくとも前記第５条件も成立した場合に前記第１消去処理を実行する、請求項７〜９のいずれか１項に記載の画像記録装置。
【請求項１１】
前記制御部は、前記セキュアジョブの実行に際して、パスワードが所定回数以内に正しく入力されたことを条件として、前記セキュアジョブの実行を許可すると共に、前記移動の検知後における前記所定回数を、前記移動の検知前における前記所定回数よりも少なくする、請求項１０に記載の画像記録装置。
【請求項１２】
前記移動の検知前における前記所定回数が無制限であり、前記移動の検知後における前記所定回数を１回とする、請求項１１に記載の画像記録装置。
【請求項１３】
外部電源から電力の供給を受けるための受電部と、内部電源とを更に備え、
前記制御部は、前記受電部を介して外部電源から電力を受けている場合には、前記移動検知部を検知不能状態とし、前記外部電源からの電力が遮断されて前記内部電源から電力を受けている場合には、前記移動検知部を検知可能状態とする、請求項１〜１２のいずれか１項に記載の画像記録装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画像記録装置に関し、特に移設後の画像記録装置から機密情報が外部に漏洩するのを防止する技術に関する。
【背景技術】
【０００２】
画像記録装置の一例として、特許文献１又は２に開示されるように、画像記録装置の移設を検知して、画像記録装置の印刷機能をロックすることにより、画像記録装置が転売や盗難等によって不正使用されるのを防止する技術が提案されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開平８−１９４４１３号公報
【特許文献２】特開２００９−１３１９８４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
画像記録装置には、例えば、ユーザの個人情報等を含む機密情報が記憶部に記憶される。特許文献１又は２では、移設を検知して印刷機能をロックしているが、画像記録装置の内部には機密情報が記憶されたままである可能性があるため、移設された画像記録装置から機密情報が外部に漏洩するおそれがある。
【０００５】
本発明は、上記課題に鑑みてなされたものであって、その目的は、画像記録装置が移設された場合に、内部に記憶された機密情報が外部に漏洩するおそれを低減させることが可能な画像記録装置を提供することにある。
【課題を解決するための手段】
【０００６】
本発明の一態様に係る画像記録装置は、記録媒体に画像を記録する画像記録装置であって、前記画像記録装置が移動したか否かを検知する移動検知部と、特定情報を記憶する記憶部と、前記記憶部を制御する制御部と、を備え、前記移動検知部により前記画像記録装置の移動を検知したことを第１条件とすると、前記制御部は、該第１条件が成立した場合に、前記記憶部に記憶された前記特定情報を消去する第１消去処理を実行する。
【０００７】
このような構成によれば、第１条件が成立した後、制御部が第１消去処理を実行することで、記憶部に記憶された特定情報を消去できる。このため、画像記録装置に記憶された特定情報が外部に漏洩するおそれを低減できる。
【発明の効果】
【０００８】
本発明によれば、画像記録装置が移設された場合に、内部に記憶された機密情報が外部に漏洩するおそれを低減させることが可能な画像記録装置を提供できる。
【図面の簡単な説明】
【０００９】
【図１】第１実施形態に係る複合機の外観図である。
【図２】図１の複合機の機能ブロック図である。
【図３】図１の複合機の本体電源がＯＦＦ状態のときの動作を示すフローチャートである。
【図４】図１の複合機の本体電源がＯＮ状態のときの動作を示すフローチャートである。
【図５】図１の複合機の警戒動作モード時の動作を示すフローチャートである。
【図６】第２実施形態に係る複合機の警戒動作モード時の動作を示すフローチャートである。
【図７】第３実施形態に係る複合機の警戒動作モード時の動作を示すフローチャートである。
【図８】第４実施形態に係る複合機の本体電源がＯＦＦ状態のときの動作を示すフローチャートである。
【図９】第４実施形態に係る複合機の本体電源がＯＮ状態のときの動作を示すフローチャートである。
【図１０】第５実施形態に係る複合機の本体電源がＯＦＦ状態のときの動作を示すフローチャートである。
【図１１】第５実施形態に係る複合機の本体電源がＯＮ状態のときの動作を示すフローチャートである。
【発明を実施するための形態】
【００１０】
以下、本発明の各実施形態について、図を参照しながら説明する。
【００１１】
［複合機の外観構成］
図１は、第１実施形態に係る複合機１の外観図である。複合機１は、記録媒体に画像を記録する画像記録装置の一例であり、Ｘ方向を幅方向、Ｙ方向を前後（奥行）方向、Ｚ方向を上下方向とする直方体形状の外観を有する。複合機１は、プリンタユニット（記録部）２、スキャナーユニット３、操作キー４、表示部５、内部電源１５、受電部１７、及び制御ユニット６（図２参照）を備える。
【００１２】
このうちスキャナーユニット３は、画像を撮像素子により読み取って画像データを生成する。生成された画像データは、プリンタユニット２において、複合機１の内部に貯留され又は複合機１の外部から供給される記録シートに印刷される。
【００１３】
このようなスキャナーユニット３は、プリンタユニット２上に重ねて配置され、且つ、プリンタユニット２の後側部分に設けられた連結部２ａによりプリンタユニット２と連結されている。従って、スキャナーユニット３はその前部を持ち上げると、連結部２ａを支点としてプリンタユニット２に対して上方へ回動し、プリンタユニット２の内部が露出する。
【００１４】
また、スキャナーユニット３は原稿台７と蓋８とを有し、蓋８は原稿台７の上部を覆うように配置される。スキャナーユニット３は、原稿台７と蓋８との間に原稿シートが配置された状態で、原稿シートに記録された画像を読み取る。
【００１５】
操作キー４と表示部５とは、複合機１の外側部分（ここでは前側部分）に配置されている。操作キー４は、ユーザによる操作入力を受け付ける。表示部５は、ユーザに所定情報を表示する。表示部５の一部は、所定のタイミングで操作キーとしても機能する。制御ユニット６は、操作キー４からの入力、或いは、図示しない通信インタフェースを介する外部入力に基づき、プリンタユニット２、スキャナーユニット３、及び表示部５を制御する。
【００１６】
プリンタユニット２は、タンク１２から供給されるインクにより記録シートに画像を記録する。プリンタユニット２は、複合機１の筐体の一部を成すケース１０を備えている。このケース１０には、該ケース１０内に設けられた内部空間１３に通じる開口部分を開閉するカバー１１が取り付けられている。ケース１０の内部には、記録シートを貯留するトレイ１４が配置されており、該トレイ１４はケース１０の前方へ引き出して記録シートを補充可能となっている。
【００１７】
内部空間１３には、内部にインクが貯留されたタンク１２が収容されている。タンク１２は、カバー１１が開けられることで外部に露出する。タンク１２は、記録ヘッド３６にインクを供給可能に、インク流路を介して記録ヘッド３６に接続されている。
【００１８】
内部電源１５は、ケース１０の内部に設けられている。内部電源１５は、複合機１の本体電源がＯＦＦ状態にあるときに、後述する制御ユニット６及び加速度センサ１６を動作可能にする。内部電源１５は、一例として二次電池である。受電部１７は、ケース１０から外部に露出するように設けられ、外部電源からの電力の供給を受ける。複合機１は、本体電源がＯＮ状態にあるときに、受電部１７を介して複合機１の外部からの電力を複合機１内の各部へ供給する。内部電源１５は、本体電源の状態に関係なく、受電部１７を介して複合機１の外部からの電力が供給され、この電力により充電される。
【００１９】
［複合機の機能的構成］
図２は、図１の複合機１の機能ブロック図である。図２では、スキャナーユニット３に関する構成の図示は省略している。図２に示すように、複合機１は、上記した操作キー４、表示部５、及び制御ユニット６等の他、プリンタユニット２を構成する種々の要素を備えている。
【００２０】
具体的にプリンタユニット２は、加速度センサ１６、モータドライバＩＣ３０，３１、ヘッドドライバＩＣ３２、搬送モータ３３、キャリッジモータ３４、キャリッジ３５、及び記録ヘッド３６を更に有している。
【００２１】
加速度センサ１６は、複合機１に作用する加速度を検知する。加速度センサ１６の検出信号は、後述する制御ユニット６のＣＰＵ２０に送信され、複合機１が移動したか否か（複合機１が移設されたか否か）が制御ユニット６にて検知される。即ち複合機１は、複合機１が移動したか否かを検知する移動検知部を備えており、この移動検知部が、加速度センサ１６と制御ユニット６とにより構成されている。加速度センサ１６の形式は、一例として振動式であるが、これに限定されない。
【００２２】
制御ユニット６は、一例としてＣＰＵ２０、記憶部（ＲＯＭ２１、ＲＡＭ２２、及びＥＥＰＲＯＭ２３、ＨＤＤ２４）、及びＡＳＩＣ２５を有する。ＣＰＵ２０は、複合機１の制御部であり、記憶部、各ドライバＩＣ３０〜３２、及び表示部５を制御する。
【００２３】
またＣＰＵ２０は、ＲＯＭ２１に記憶された所定のプログラムを実行することにより、種々の機能を実行する。例えば、ＣＰＵ２０は、複合機１の本体電源がＯＦＦ状態のときに、加速度センサ１６の検出値を監視すると共に、加速度センサ１６が基準値以上の検出値を出力する時間を計測するタイマとしても機能する。
【００２４】
またＣＰＵ２０は、複合機１の本体電源がＯＮ状態のときに、加速度センサ１６の検出値等に基づいて所定の処理を実行する。このようなＣＰＵ２０は、制御ユニット６に１つのプロセッサとして実装されていてもよいし、互いに協働する複数のプロセッサとして実装されていてもよい。
【００２５】
ＲＯＭ２１には、ＣＰＵ２０がスキャナーユニット３に原稿シートの画像の読取処理を実行させるための読取制御プログラムと、ＣＰＵ２０がプリンタユニット２に印刷処理を実行させるための印刷制御プログラムとが格納されている。
【００２６】
ＲＡＭ２２には、ＣＰＵ２０の演算結果が記憶される。ＥＥＰＲＯＭ２３には、ユーザが入力した各種の初期設定情報が格納されている。ＨＤＤ２４には、特定情報と、加速度センサ１６の検出値と、該検出値が検出された時刻のデータと、該検出値について所定の判定を行うための基準値とが記憶される。
【００２７】
特定情報は、外部に漏洩すると問題のある機密性の高い情報であり、例えば、ユーザに関する情報、複合機１が外部から受信し且つ送信元を特定するユーザＩＤを含むジョブデータ、ジョブデータ中のユーザＩＤを含むユーザ使用履歴情報、パスワードとセキュアジョブに関するデータとを含むセキュアジョブデータ、ＦＡＸ送信履歴、印刷履歴、ＦＡＸデータ、及びクラウド設定データ等が含まれる。
【００２８】
ユーザに関する情報には、例えば、電話帳情報、Ｅメールアドレス情報、複合機１の管理者（セキュリティ管理者）情報、及びネットワーク設定情報等が含まれる。ＣＰＵ２０は、複合機１がジョブデータを受信した場合、該ジョブデータ中のユーザＩＤを含むユーザ使用履歴情報をＨＤＤ２４に記憶させる。なお、ＨＤＤ２４は記憶部の構成例に過ぎず、例えば、ＳＳＤでもよい。また、ＨＤＤ２４の記憶機能をＲＡＭ２２に兼用させてもよい。
【００２９】
なお、特定情報やユーザ情報は、上述した各種情報の全てを含んでいる必要はなく、ユーザが選択的に設定可能である。
【００３０】
ＡＳＩＣ２５には、モータドライバＩＣ３０，３１と、ヘッドドライバＩＣ３２とが接続されている。ＣＰＵ２０は、ユーザから印刷ジョブを受け付けると、印刷制御プログラムに基づいて、印刷指令をＡＳＩＣ２５へ出力する。ＡＳＩＣ２５は、印刷指令に基づいて各ドライバＩＣ３０〜３２を駆動する。
【００３１】
例えばＣＰＵ２０は、モータドライバＩＣ３０により搬送モータ３３を駆動させて記録シートを搬送する。またＣＰＵ２０は、モータドライバＩＣ３１によりキャリッジモータ３４を駆動させて、キャリッジ３５を移動させる。
【００３２】
またＣＰＵ２０は、ヘッドドライバＩＣ３２により、移動するキャリッジ３５に取り付けられた記録ヘッド３６からインクを吐出させ、搬送される記録シートに画像データを印刷する。これにより印刷処理が行われる。
【００３３】
［複合機の全体動作］
以下、本実施形態に係る複合機１の全体動作を説明する。複合機１では、ＣＰＵ２０は、受電部１７を介して外部電源から電力を受けている場合には、加速度センサ１６への電力の供給を遮断することにより移動検知部を検知不能状態とし、外部電源からの電力が遮断されて内部電源１５から電力を受けている場合には、加速度センサ１６へ電力を供給することにより移動検知部を検知可能状態とする。
【００３４】
なお一例として、複合機１では、ＣＰＵ２０は、受電部１７を介して外部電源から電力を受けている場合においても、外部電源からの電力が遮断されて内部電源１５から電力を受けている場合においても、加速度センサ１６へ電力を供給している。ＣＰＵ２０は、受電部１７を介して外部電源から電力を受けている場合は、加速度センサ１６からの出力信号を受信せず、外部電源からの電力が遮断されて内部電源１５から電力を受けている場合は、加速度センサ１６からの出力信号を受信するように切替えることで、移動検知部を検知可能状態又は検知不可能状態に切替えるようにしてもよい。
【００３５】
本実施形態では、複合機１の本体電源がＯＦＦ状態である場合、複合機１の少なくとも加速度センサ１６と制御ユニット６とは、内部電源１５によって作動する。これにより複合機１は、本体電源がＯＦＦ状態であっても、複合機１が移設されたか否かを検出できる。
【００３６】
図３は、図１の複合機１の本体電源がＯＦＦ状態のときの動作を示すフローチャートである。図３に示すように、具体的には、複合機１の本体電源がＯＦＦ状態である場合において、ＣＰＵ２０は、加速度センサ１６の検出値が基準値以上か否かを判定する（ステップＳ１：以下、単にＳ１と称する。他のステップも同様とする）。ここで基準値は、複合機１が移動される際に複合機１に加速度が作用することにより加速度センサ１６から出力される検出値である。従って、加速度センサ１６の検出値が基準値以上であるということは、複合機１が移動されていることを示している。
【００３７】
ＣＰＵ２０は、Ｓ１において、検出値が基準値以上であると判定した場合（Ｓ１：Ｙ）、検出値と該検出値を検出した時刻のデータを記憶部（一例としてＨＤＤ２４）に記憶する（Ｓ２）。時刻の計測手段としては、例えば、複合機１が内蔵するリアルタイムクロック（ＲＴＣ）が用いられる。
【００３８】
次にＣＰＵ２０は、検出値が所定時間にわたって基準値未満であったか否かを判定する（Ｓ３）。ＣＰＵ２０は、Ｓ３において、検出値が所定時間にわたって基準値未満ではなかったと判定した場合（Ｓ３：Ｎ）、ステップをＳ２に戻す。加速度センサ１６の検出値が所定時間にわたって基準値未満であるということは、複合機１は移設されていない可能性が高いため、ＣＰＵ２０は、Ｓ３において、検出値が所定時間にわたって基準値未満であったと判定した場合（Ｓ３：Ｙ）、ステップをＳ１に戻す。ここで所定時間は、適宜設定可能であるが、例えば数十分以上数十時間以内の範囲の時間に設定できる。
【００３９】
複合機１の本体電源ＯＦＦ時には、このような処理が行われることで、加速度センサ１６の基準値以上の検出値が検出されると、そのときの基準値と時刻とのデータが記憶部に記憶される。これにより、本体電源ＯＦＦ時に複合機１が移設されるに伴って、加速度センサ１６の基準値以上の検出値が検出されると、移設時の基準値と時刻とのデータが記憶部に記憶される。以下に示す複合機１の各モードへの移行は、本体電源ＯＦＦ時に実行される上記処理に基づいて実現されるものである。
【００４０】
図４は、図１の複合機１の本体電源がＯＮ状態のときの動作を示すフローチャートである。図４に示すように、複合機１の本体電源がＯＮ状態にある場合において、ＣＰＵ２０は、検出値と該検出値を検出した時刻のデータを記憶部から読み込む（Ｓ１０）。次にＣＰＵ２０は、記憶部から読み込んだデータの検出値が、所定時間にわたって基準値以上であったか否かを判定する（Ｓ１１）。
【００４１】
ＣＰＵ２０は、Ｓ１１において、Ｓ１０で読み込んだデータの検出値が、所定時間にわたって基準値以上ではなかったと判定した場合（Ｓ１１：Ｎ）、複合機１は移設されていない可能性が高いため、該読み込んだデータを記憶部から消去して（Ｓ１２）、複合機１を通常動作モードに移行させる。ここで通常動作モードとは、複合機１が有する全機能を正常に利用できるモードである。
【００４２】
ＣＰＵ２０は、Ｓ１１において、Ｓ１０で読み込んだデータの検出値が、所定時間にわたって基準値以上であったと判定した場合（Ｓ１１：Ｙ）、複合機１は移設されている可能性が高いため、複合機１を警戒動作モードに移行させて表示部５にその旨を表示すると共に、「警戒動作モード解除画面を選択してください」等のメッセージを表示する（Ｓ１３）。これによりＣＰＵ２０は、複合機１の移動の検知後にユーザの操作入力を受け付ける受付処理を実行する。ここで警戒動作モードとは、複合機１が移設されたことに伴って、複合機１の内部に記憶された機密情報の漏洩を防止しつつ所定の動作を行わせるモードである。警戒動作モードについては、後述する。
【００４３】
次にＣＰＵ２０は、ユーザにより、表示部５に表示した警戒動作モード解除画面が選択されたか否かを判定する（Ｓ１４）。ＣＰＵ２０は、Ｓ１４において、警戒動作モード解除画面が選択されなかったと判定した場合（Ｓ１４：Ｎ）、警戒動作モードを継続する。ＣＰＵ２０は、Ｓ１４において、警戒動作モード解除画面が選択されたと判定した場合（Ｓ１４：Ｙ）、警戒動作モードを解除するためのパスワード入力画面を表示部５に表示する（Ｓ１５）。
【００４４】
次にＣＰＵ２０は、ユーザにより、表示部５に表示したパスワード入力画面に正しいパスワードが入力されたか否かを判定する（Ｓ１６）。ＣＰＵ２０は、Ｓ１６において、パスワード入力画面に正しいパスワードが入力されなかったと判定した場合（Ｓ１６：Ｎ）、警戒動作モードを継続する。ＣＰＵ２０は、Ｓ１６において、パスワード入力画面に正しいパスワードが入力されたと判定した場合（Ｓ１６：Ｙ）、複合機１を通常動作モードに移行させる。なお、パスワードは、例えば複合機１の管理者として登録されているユーザによって予め設定されている。
【００４５】
複合機１の本体電源ＯＮ時には、このような処理が行われることで、記憶部に記憶されたデータに基づいて、複合機１の本体電源ＯＦＦ時に加速度センサ１６が検出した検出値が所定時間にわたって基準値以上であった場合、複合機１が警戒動作モードに移行され、ユーザによりパスワードが正しく入力されるまで警戒動作モードが継続される。これにより、後述するように、複合機１の移設前に記憶部に記憶されたデータが、複合機１の移設後に外部に漏洩するのが防止される。
【００４６】
図５は、図１の複合機１の警戒動作モード時の動作を示すフローチャートである。警戒動作モード時には、ＣＰＵ２０は、移動検知部により複合機１の移動を検知したことを第１条件とすると、該第１条件が成立した場合に、記憶部に記憶された特定情報を消去する第１消去処理を実行する。
【００４７】
本実施形態の第１消去処理は、一例として、記憶部に記憶されている特定情報を全て消去するものである。ＣＰＵ２０は、第１条件が成立した場合に、複合機１の移動の検知後のユーザの操作入力結果に応じて、第１消去処理と、特定情報の中の一部の情報を記憶部に残留させ、当該一部の情報以外の特定情報を消去する第２消去処理とのいずれかを選択して実行する。
【００４８】
図５に示すように、具体的にＣＰＵ２０は、まず記憶部に記憶されている所定データをユーザに対して不可視（アクセス不能）にする（Ｓ２０）。Ｓ２０において不可視化されるデータは、Ｓ３において検出値が所定時間にわたって基準値以上であると判定される前に記憶部に記憶された特定情報のうち、特に機密性の高い情報であり、例えば、電話帳情報、Ｅメールアドレス情報、及びＦＡＸデータ等の情報である。具体的には、ＣＰＵ２０は、ユーザが操作キー４を操作しても、これらの所定データを表示部５に表示不可とすると共に、印刷等により出力するのを不可とする。複合機１が警戒動作モードに移行するケースには、複合機１が盗難や不正転売などによって移設される場合に加えて、例えば社内での移設やオフィスの移転に伴う移設、正規転売といった正規な移設の場合も考えられる。そのためＣＰＵ２０は、Ｓ２０において特に機密性の高い情報を表示不可とすることで、不正な移設である場合に複合機１に記憶された機密情報が不用意に外部に漏洩するのを防止しつつ、正規の移設である場合には移設先において複合機１の利便性をある程度確保することができる。
【００４９】
次にＣＰＵ２０は、警戒動作モードを解除するためのパスワード入力画面への入力が所定回数不正であったか否かを判定する（Ｓ２１）。ＣＰＵ２０は、Ｓ２１において、パスワード入力画面への入力が所定回数不正であった場合（Ｓ２１：Ｙ）、複合機１の移設が盗難や不正転売といった、不正な移設である可能性が高いと判断し、記憶部に記憶されたストレージデータを全て消去することで第１消去処理を行い（Ｓ２２）、ステップをＳ２１に戻す。
【００５０】
このように本実施形態では、ＣＰＵ２０は、受付処理における操作入力が誤入力であったことを第２条件とすると、第１条件に加えて少なくとも第２条件も成立した場合に第１消去処理を実行する。この第１消去処理で消去対象となるストレージデータは、少なくとも、Ｓ３において検出値が所定時間にわたって基準値以上であると判定される前に記憶部に記憶された特定情報を含む。
【００５１】
ＣＰＵ２０は、Ｓ２１において、パスワード入力画面への入力が所定回数不正ではなかったと判定した場合（Ｓ２１：Ｎ）、次に、セキュアジョブプリント機能でのパスワード入力が、所定回数不正であったか否かを判定する（Ｓ２３）。ＣＰＵ２０は、Ｓ２３において、セキュアジョブプリント機能におけるパスワード入力画面への入力が所定回数不正であった場合（Ｓ２３：Ｙ）、Ｓ２２と同様に、複合機１の移設が不正な移設である可能性が高いと判断し、ストレージデータを全て消去することで第１消去処理を行い（Ｓ２４）、ステップをＳ２１に戻す。
【００５２】
ここで本実施形態では、ＣＰＵ２０は、記憶部に記憶されたセキュアジョブデータに含まれるパスワードが正しく入力されたことを条件として、セキュアジョブの実行を許可する。しかしながら、上記のように、移動の検知後のセキュアジョブの実行に際して、パスワードが正しく入力されなかったことを第５条件とすると、ＣＰＵ２０は、第１条件に加えて少なくとも第５条件も成立した場合に（Ｓ２３：Ｙ）、第１消去処理を実行する（Ｓ２４）。
【００５３】
ＣＰＵ２０は、Ｓ２３において、パスワード入力画面への入力が所定回数不正ではなかったと判定した場合（Ｓ２３：Ｎ）、次に移設前（即ち、Ｓ３において検出値が所定時間にわたって基準値以上であると判定される前）のユーザからのジョブ送信が、移設後の基準時間内にあったか否かを判定する（Ｓ２５）。ここで、ＣＰＵ２０は、複合機１が受信したジョブデータに含まれるユーザＩＤが、移動の検知前に記憶部に記憶されたユーザ使用履歴情報に含まれているか否かを判断することによって、複合機１が受信したジョブデータが移設前のユーザによるものか否かを判断する。ＣＰＵ２０は、Ｓ２５において、移設前のユーザからのジョブ送信が、移設後の基準時間内になかった場合（Ｓ２５：Ｙ）、Ｓ２２と同様に、複合機１の移設が不正な移設である可能性が高いと判断し、ストレージデータを全て消去することで第１消去処理を行い（Ｓ２６）、ステップをＳ２１に戻す。
【００５４】
ここで、基準時間は適宜設定可能であるが、例えば、Ｓ２において記憶部に記憶されたデータのうち、Ｓ１３において複合機１を警戒動作モードに移行させる際にＳ１２において参照した加速度センサ１６の検出値の検出完了時刻から数日以上数十日以内の範囲の時間に設定できる。
【００５５】
ＣＰＵ２０は、Ｓ２５において、移設前のユーザからのジョブ送信が、移設後の基準時間内にあったと判定した場合（Ｓ２５：Ｎ）、次に、移設後に電話帳に送信先が新規登録されたか否かを判定する（Ｓ２７）。ＣＰＵ２０は、Ｓ２７において、移設後に電話帳に送信先が新規登録されたと判定した場合（Ｓ２７：Ｙ）、移設前に記憶された電話帳情報を消去することで第２消去処理を行い（Ｓ２８）、ステップをＳ２１に戻す。
【００５６】
ＣＰＵ２０は、Ｓ２７において、移設後に電話帳に送信先が新規登録されていないと判定した場合（Ｓ２７：Ｎ）、次に、移設後にＥメールアドレスが新規登録されたか否かを判定する（Ｓ２９）。ＣＰＵ２０は、Ｓ２９において、移設後にＥメールアドレスが新規登録されたと判定した場合（Ｓ２９：Ｙ）、移設前に記憶されたＥメールアドレス情報を消去することで第２消去処理を行い（Ｓ３０）、ステップをＳ２１に戻す。
【００５７】
ＣＰＵ２０は、Ｓ２９において、移設後にＥメールアドレスが新規登録されなかったと判定した場合（Ｓ２９：Ｎ）、次に、複合機１のセキュリティ管理者が、移設後に新規登録されたか否かを判定する（Ｓ３１）。ＣＰＵ２０は、Ｓ３１において、セキュリティ管理者が、移設後に新規登録されたと判定した場合（Ｓ３１：Ｙ）、移設前に記憶されたセキュリティ管理者データを消去することで第２消去処理を行い（Ｓ３２）、ステップをＳ２１に戻す。
【００５８】
ＣＰＵ２０は、Ｓ３１において、セキュリティ管理者が、移設後に新規登録されなかったと判定した場合（Ｓ３１：Ｎ）、次に、移設後にネットワーク設定情報が新規設定されたか否かを判定する（Ｓ３３）。ＣＰＵ２０は、Ｓ３３において、移設後にネットワーク設定情報が新規設定されたと判定した場合（Ｓ３３：Ｙ）、移設前に記憶されたネットワーク設定データを消去することで第２消去処理を行い（Ｓ３４）、ステップをＳ２１に戻す。ＣＰＵ２０は、Ｓ３３において、移設後にネットワーク設定情報が新規設定されたと判定しなかった場合（Ｓ３３：Ｎ）、ステップをＳ２１に戻す。
【００５９】
以上のように、警戒動作モードでは、複合機１の移設後、移設が不正な移設である可能性が高い場合に、特定情報を含むストレージデータが全て消去される（Ｓ２２、Ｓ２４、Ｓ２６）ため、移設前に記憶された機密情報が外部に漏洩するのが防止される。また、複合機１の移設後、電話帳情報やＥメールアドレス情報、セキュリティ管理者情報、ネットワーク設定情報などの所定の情報が新規に複合機１に登録された場合には、移設前の該情報を消去することで、移設前に記憶された機密情報が外部に漏洩するのが防止される。
【００６０】
また本実施形態のＣＰＵ２０は、一例として、Ｓ２８、Ｓ３０、Ｓ３２、Ｓ３４で実行される第２消去処理においては、複合機１の移動の検知前に記憶部が記憶したジョブデータを記憶部に残留させる。これにより、例えば、複合機１の移設が正規の移設である場合に、記憶部からジョブデータが消去されることでユーザに不便さを感じさせるのが防止される。
【００６１】
なお、第２消去処理においてジョブデータを記憶部に残留させることは必須ではなく、第２消去処理においてジョブデータを消去することで、ジョブデータの機密情報が外部に漏洩するのを防止してもよい。
【００６２】
以上説明したように、複合機１によれば、第１条件が成立した後、ＣＰＵ２０が第１消去処理を実行することで、記憶部に記憶された特定情報を消去できるため、複合機１に記憶された特定情報が外部に漏洩するおそれを低減できる。
【００６３】
また第１消去処理は、記憶部に記憶されている特定情報を全て消去するものであり、ＣＰＵ２０は、第１条件が成立した場合に、複合機１の移動の検知後のユーザの操作入力結果に応じて、第１消去処理と第２消去処理とのいずれかを選択して実行する（Ｓ２２，Ｓ２４，Ｓ２６，Ｓ２８，Ｓ３０，Ｓ３２，Ｓ３４）。よって、第１条件が成立した後、例えば、警戒動作モード解除パスワード入力画面へのパスワード入力やセキュアジョブプリント機能でのパスワード入力等の操作入力が適切になされない場合には、ＣＰＵ２０が該操作入力結果に応じて第１消去処理を実行することで、記憶部に記憶された特定情報を消去できる。このため、複合機１に記憶された特定情報が外部に漏洩して不正使用されるのを適切に防止できる。
【００６４】
また、第１条件が成立した後、第１消去処理が実行されなかった場合でも、ＣＰＵ２０が該操作入力結果に応じて第２消去処理（Ｓ２８，Ｓ３０，Ｓ３２，Ｓ３４）を実行し、該第２消去処理において、特定情報の中の一部の情報（本実施形態ではジョブデータ）を記憶部に残留させ、当該一部の情報以外の特定情報を消去する。
【００６５】
このため、第２消去処理において消去する特定情報を、例えば、機密性が高い情報に設定しておくことで、移設がユーザによる正規の移動によるものの場合に、移設先において、複合機１の利便性をある程度確保しながら、移設が不正な移動によるものの場合に、複合機１に記憶された機密情報が不用意に外部に漏洩するのを適切に防止できる。
【００６６】
またＣＰＵ２０は、移動の検知後に、特定情報に含まれる所定の対象情報の更新があった場合は、第２消去処理において、移動の検知前に記憶部に記憶された対象情報を消去する（Ｓ２８，Ｓ３０，Ｓ３２，Ｓ３４）。これにより、例えば、複合機１の移設がユーザによる正規な移動によるものと不正な移動によるもののどちらの可能性も考えられる場合でも、記憶部から対象情報が消去されることで、更新前の対象情報が外部に漏洩するのを防止できる。
【００６７】
また第２消去処理では、特定情報のうち、少なくともユーザに関する情報を消去するので（Ｓ２８，Ｓ３０，Ｓ３２，Ｓ３４）、移設先においてユーザに関する情報が外部に漏洩するのを適切に防止できる。
【００６８】
また、特定情報にはジョブデータが含まれるので、ジョブデータに機密性の高い情報が含まれていても、少なくとも第１消去処理（Ｓ２２，Ｓ２４）を実行することで、ジョブデータに含まれる機密情報が外部に漏出するのを適切に防止できる。
【００６９】
また記憶部には、パスワードとセキュアジョブに関するデータとを含むセキュアジョブデータが記憶され、ＣＰＵ２０は、記憶部に記憶されたセキュアジョブデータに含まれるパスワードが正しく入力されたことを条件として、セキュアジョブの実行を許可し、移動の検知後のセキュアジョブの実行に際して、パスワードが正しく入力されなかったことを第５条件とすると（Ｓ２３：Ｙ）、ＣＰＵ２０は、第１条件に加えて少なくとも第５条件も成立した場合に第１消去処理を実行する（Ｓ２４）。
【００７０】
このように第１消去処理を実行するタイミングを制限することで、パスワードを知っているユーザには負担を強いることなく、機密性の高いセキュアジョブに含まれる機密情報が外部に漏洩するのを適切に防止できる。
【００７１】
また対象情報は、複合機１の管理者情報、複合機１のセキュリティ管理者情報、電話帳情報、Ｅメールアドレス情報、及びネットワーク設定情報のうち少なくともいずれかであるため、ユーザに関する重要な個人情報等の機密情報が外部に漏洩するのを防止できる。
【００７２】
またＣＰＵ２０は、受付処理における操作入力が誤入力であったことを第２条件とし、受付処理における操作入力がなされなかったことを第３条件とすると、第１条件に加えて少なくとも第２条件も成立した場合には第１消去処理を実行し（Ｓ２２）、第１条件に加えて少なくとも第３条件も成立した場合には第１消去処理と第２消去処理とのいずれかを実行する（Ｓ２４，Ｓ２６，Ｓ２８，Ｓ３０，Ｓ３２，Ｓ３４）。
【００７３】
これにより、例えば、複合機１の移設が正規でない可能性が高い場合には第１消去処理を実行でき、該移設が正規である可能性が高い場合には第２消去処理を実行できるので、複合機１の内部の特定情報が外部に漏洩するのを適切に防止できる。以下、その他の実施形態について、第１実施形態との差異を中心に説明する。
【００７４】
（第２実施形態）
図６は、第２実施形態に係る複合機の警戒動作モード時の動作を示すフローチャートである。第２実施形態では、図５におけるＳ２１とＳ２３との間において、ＣＰＵ２０は、セキュアジョブプリント機能でのパスワード入力回数を、複合機の移設前よりも減らす処理を実行する（Ｓ３５）。
【００７５】
即ちＣＰＵ２０は、セキュアジョブの実行に際して、パスワードが所定回数以内に正しく入力されたことを条件として（Ｓ２３）、セキュアジョブの実行を許可すると共に、移動の検知後における所定回数を、移動の検知前における所定回数よりも少なくする（Ｓ３５）。よって、機密性の高いセキュアジョブに含まれる情報が外部に漏洩するのをより適切に防止できる。
【００７６】
また第２実施形態では、移動の検知前における前記所定回数は無制限であり、移動の検知後における前記所定回数は一回に設定される。言い換えると、移動の検知後は、セキュアジョブの実行に際してパスワードを一度でも誤入力すると、第２消去処理が実行される（Ｓ２３，Ｓ２４）。
【００７７】
これにより、セキュアジョブに含まれる情報が外部に漏洩するのを防止するために正規のユーザに不便さを感じさせるのを防止できると共に、不正なユーザによって複合機の機密情報が外部に漏洩するおそれをより確実に低減できる。
【００７８】
（第３実施形態）
図７は、第３実施形態に係る複合機の警戒動作モード時の動作を示すフローチャートである。第３実施形態では、ＣＰＵ２０は、複合機１がジョブデータを受信した場合、該ジョブデータ中のユーザＩＤを含むユーザ使用履歴情報を記憶部に記憶させる。
【００７９】
その後ＣＰＵ２０は、移動の検知後（Ｓ１）に、複合機１が受信したジョブデータに含まれるユーザＩＤが、移動の検知前に記憶部に記憶されたユーザ使用履歴情報に含まれていないことを第４条件とすると、第１条件に加えて少なくとも第４条件も成立した場合に第１消去処理を実行する。
【００８０】
具体的にＣＰＵ２０は、図５におけるＳ２３の実行後、Ｓ２５の処理に替わって、図７に示すように、複合機１が受信したジョブデータに含まれるユーザＩＤが移動の検知前に記憶部に記憶されたユーザ使用履歴情報に含まれていないか否かを判定する（Ｓ３６）。
【００８１】
ＣＰＵ２０は、Ｓ３６において、ジョブデータに含まれるユーザＩＤが移動の検知前に記憶部に記憶されたユーザ使用履歴情報に含まれていないと判定した場合（Ｓ３６：Ｙ）、Ｓ２６の処理に替わって、ストレージデータを消去することで第１消去処理を実行し（Ｓ３７）、ステップをＳ２１へ戻す。ＣＰＵ２０は、Ｓ３６において、ジョブデータに含まれるユーザＩＤが移動の検知前に記憶部に記憶されたユーザ使用履歴情報に含まれていると判定した場合（Ｓ３６：Ｎ）、ステップをＳ２１へ戻す。
【００８２】
このように、ＣＰＵ２０が第１消去処理を実行するタイミングを制限することで、例えば、ユーザが正規に複合機１を移設したにも関わらず、ジョブデータが消去されてしまうのを適切に防止できると共に、移設前と異なるユーザに使用されるおそれがある場合には、ジョブデータが含む情報が複合機１から外部へ漏洩するのを防止できる。
【００８３】
なお、ＣＰＵ２０は、Ｓ３６において、ジョブデータに含まれるユーザＩＤが移動の検知前に記憶部に記憶されたユーザ使用履歴情報に含まれていると判定した場合（Ｓ３６：Ｎ）、ステップを図５のＳ２７に進めてもよい。
【００８４】
（第４実施形態）
図８は、第４実施形態に係る複合機の本体電源がＯＦＦ状態のときの動作を示すフローチャートである。図９は、第４実施形態に係る複合機の本体電源がＯＮ状態のときの動作を示すフローチャートである。図９のＳ４０は、図４のＳ１０に相当するステップであり、図９のＳ４１は、図４のＳ１１に相当するステップである。
【００８５】
第４実施形態に係る複合機は、加速度センサ１６の代りにＧＰＳセンサを備えている。第４実施形態では、複合機１の本体電源がＯＦＦ状態である場合、複合機１の少なくともＧＰＳセンサとＣＰＵ２０とは、内部電源１５によって作動する。ユーザは、複合機１を設置した後、現在の複合機１の位置情報を記憶部に記憶させる。
【００８６】
図８に示すように、ＣＰＵ２０は、複合機１の本体電源がＯＦＦ状態である場合、ＧＰＳセンサの検出値の位置情報が示す位置が、基準エリア外か否かを判定する（Ｓ３８）。ここで基準エリアとは、例えば、ユーザが複合機の設置時に記憶部に記憶させた位置情報が示す位置から所定範囲内のエリアを指す。
【００８７】
ＣＰＵ２０は、Ｓ３８において、ＧＰＳセンサの検出値の位置情報が示す位置が、基準エリア外であると判定した場合（Ｓ３８：Ｙ）、位置情報と該位置情報を示す検出値が検出された時刻とのデータを記憶部に記憶する（Ｓ３９）。ＣＰＵ２０は、Ｓ３８において、ＧＰＳセンサの検出値の位置情報が示す位置が、基準エリア外ではないと判定した場合（Ｓ３８：Ｎ）、ステップをＳ３８に戻す。
【００８８】
また図９に示すように、ＣＰＵ２０は、複合機１の本体電源がＯＮ状態である場合、直近時刻の位置情報を記憶部から読み出し（Ｓ４０）、データの位置情報が示す位置が基準エリア外か否かを判定する（Ｓ４１）。
【００８９】
ＣＰＵ２０は、Ｓ４１において、データの位置情報が示す位置が基準エリア外ではないと判定した場合（Ｓ４１：Ｎ）、ステップをＳ１２へ進め、データの位置情報が示す位置が基準エリア外であると判定した場合（Ｓ４１：Ｙ）、ステップをＳ１３へ進める。以上の処理によっても、第１実施形態と同様の効果を得ることができる。
【００９０】
このように、移動検知部は、加速度センサ１６とＣＰＵ２０との組み合わせにより実現される構成に限定されず、例えば、ＧＰＳセンサとＣＰＵ２０との組み合わせにより実現される構成でもよい。
【００９１】
（第５実施形態）
図１０は、第５実施形態に係る複合機の本体電源がＯＦＦ状態のときの動作を示すフローチャートである。図１１は、第５実施形態に係る複合機の本体電源がＯＮ状態のときの動作を示すフローチャートである。図１１のＳ４４は、図４のＳ１０に相当するステップであり、図１１のＳ４５は、図４のＳ１１に相当するステップである。
【００９２】
図１０に示すように、ＣＰＵ２０は、複合機１の本体電源がＯＦＦ状態である場合、複合機１に接続されたネットワークの接続状態が変化したか否かを判定する（Ｓ４２）。ＣＰＵ２０は、Ｓ４２において、ネットワークの接続状態が変化したと判定した場合（Ｓ４２：Ｙ）、ネットワークの接続状態が変化したことを示す情報と、ネットワークの接続状態が変化した時刻データとを記憶部に記憶する（Ｓ４３）。
【００９３】
ここで、ネットワークの接続状態としては、例えば、ＤＮＳサーバやゲートウェイ等とのネットワークの接続状態や、電話回線との接続状態が挙げられる。ネットワークの接続状態の変化とは、例えば、ネットワークの接続が切断されたことが挙げられる。
【００９４】
また図１１に示すように、ＣＰＵ２０は、複合機１の本体電源がＯＮ状態である場合、直近時刻のネットワークの接続状態が変化したことを示す情報と時刻データとを記憶部から読み出し（Ｓ４４）、ネットワークの接続状態が基準状態か否かを判定する（Ｓ４５）。ここで基準状態とは、例えば、ネットワークの接続状態の変化が継続した時間が、所定の判定時間内であることが挙げられる。
【００９５】
ＣＰＵ２０は、Ｓ４５において、記憶部から読み出したネットワークの接続状態が基準状態ではないと判定した場合（Ｓ４５：Ｎ）、ステップをＳ１２へ進め、記憶部から読み出したネットワークの接続状態が基準状態であると判定した場合（Ｓ４５：Ｙ）、ステップをＳ１３へ進める。以上の処理によっても、第１実施形態と同様の効果を得ることができる。
【００９６】
本発明は、各実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で、本発明の構成及び方法を変更、追加、又は削除できる。加速度センサ１６は、複合機１の加速度に限らず、複合機１の傾きを検出してもよい。この場合、基準値は、複合機１の予め定められた角度に設定でき、複合機１が基準値以上の角度で傾斜されることにより、複合機１が移動したことを推測できる。
【産業上の利用可能性】
【００９７】
本発明の画像記録装置は、複合機に限定されず、画像を記録する機能を有する各種装置に適用できる。
【符号の説明】
【００９８】
１    複合機（画像記録装置）
１５    内部電源
１７    受電部
２０    ＣＰＵ（制御部）
２２    ＲＡＭ（記憶部）
２４    ＨＤＤ（記憶部）
【図１】
2019059127.tif 000003
【図２】
2019059127.tif 000004
【図３】
2019059127.tif 000005
【図４】
2019059127.tif 000006
【図５】
2019059127.tif 000007
【図６】
2019059127.tif 000008
【図７】
2019059127.tif 000009
【図８】
2019059127.tif 000010
【図９】
2019059127.tif 000011
【図１０】
2019059127.tif 000012
【図１１】
2019059127.tif 000013