(57)【要約】【課題】  画像処理システムをＰＯＤ印刷システムとして利用したときに問題となる大サイズのＲＩＰデータの保持を容易ならしめ、ファイルサーバの処理パフォーマンスやネットワークのデータ転送パフォーマンスの劣化を回避する。【解決手段】  画像情報処理システムは、少なくとも大容量記憶装置を制御するディスクコントローラ手段と、暗復号処理手段と、ユーザ認証手段と、不揮発性メモリ手段とを有する可般型のリムーバブル大容量記憶装置と、当該大容量リムーバブル大容量記憶装置が装着可能な画像情報処理装置とを備える。【選択図】  図１
2008093903.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも大容量記憶装置を制御するディスクコントローラ手段と、暗復号処理手段と、ユーザ認証手段と、不揮発性メモリ手段とを有することを特徴とする可般型のリムーバブル大容量記憶装置、並びに当該大容量リムーバブル大容量記憶装置が装着可能な画像情報処理装置から構成される画像情報処理システム。
【請求項２】
前記画像処理装置は、前記リムーバブル大容量記憶装置の装着を検出し、印刷データ、スキャンデータ、並びにユーザ個人情報を前記リムーバブル大容量記憶装置に格納し、あるいは前記リムーバブル大容量記憶装置から読み出すことを特徴とする前記請求項1に記載の画像処理システム。
【請求項３】
前記画像処理装置は、前記リムーバブル大容量記憶装置の装着が検出されない間は、当該画像処理装置の機能が限定されることを特徴とする前記請求項1に記載の画像処理システム。
【請求項４】
前記画像処理装置は、前記リムーバブル大容量記憶装置の装着が検出されない間の当該画像処理装置の機能制限に付いて、当該画像処理装置の管理者が予め設定できることを特徴とする前記請求項1に記載の画像処理システム。
【請求項５】
前記リムーバブル大容量記憶装置は、暗号処理手段、並びにユーザ認証手段でそれぞれ使用される暗号鍵及びユーザパスワードは不揮発性メモリ手段に格納し、通常の使用環境において、それぞれの値をリムーバブル大容量記憶装置の外部に出力するインターフェースが存在しないことを特徴とする前記請求項1に記載の画像処理システム。
【請求項６】
画像情報処理装置において、リムーバブル大容量記憶装置が当該画像情報処理装置に装着されたことを検出する工程と、
前記リムーバブル大容量記憶装置のユーザ認証手段によるユーザパスワード認証を行う工程と、
前記画像情報処理装置において、ユーザ認証に成功したときに前記リムーバブル大容量記憶装置へのデータの書き込みと読み出しを行う工程と、
前記画像情報処理装置において、前記リムーバブル大容量記憶装置の取り外し信号を検知して、当該リムーバブル大容量記憶装置の取り外しを安全に行う工程をそれぞれ有し、
前記リムーバブル大容量記憶装置へのデータの書き込みと読み出し工程においては、リムーバブル大容量記憶装置は、暗復号処理手段によってデータを書き込む時にこれを暗号化し、データを読み出すときにこれを復号化することを特徴とする画像情報処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、可般型の記憶装置を備えた画像情報処理システムに関するもので、特に当該記憶装置を用いた画像情報処理システムにおける画像情報処理方法に関するものである。
【背景技術】
【０００２】
プリンタ機能及びスキャナ機能がデバイス機能として一体となったいわゆる複合機（ＭＦＰ：Ｍｕｌｔｉ−ｆｕｎｃｔｉｏｎ  ｐｅｒｉｐｈｅｒａｌ）は、従来、オフィスにおける書類の複写目的、電子ファイルのネットワーク印刷目的、あるいは紙文書のスキャン目的といった利用が中心的に行われてきた。しかし、近年の電子写真エンジンの技術蓄積により、画質向上、印刷速度（スループット）向上が実現してきている。これに伴って、ＭＦＰは、従来のオフィス業務を目的とした利用を超え、いわゆる商業印刷（ＰＯＤ：Ｐｒｉｎｔ  ｏｎ  ｄｅｍａｎｄ）の領域での利用が考えられるようになってきている。
【０００３】
POD分野での利用に伴って、ＭＦＰの扱う画像データの容量は増大し、必要な記憶領域の容量が増大する傾向が続いている。また、POD印刷における特有の技術的要件、例えば、再印刷時の色ずれを極力排除しなければならないといった要求も求められるようになっている。再印刷時の色ずれを排除するために、印刷データをＰＤＬ（Ｐｒｉｎｔｅｒ  Ｄｅｓｃｒｉｐｔｉｏｎ  Ｌａｎｇｕａｇｅ）データで保持するのではなく、ＲＩＰ（Ｒａｓｔｅｒ  ｉｍａｇｅ  ｐｒｏｃｅｓｓｉｎｇ）処理によりイメージ変換された後のデータで保存するといった対応がとられている。印刷デバイスを替えてＰＤＦデータからＲＩＰデータを再生成すると色ずれを起こす場合があるため、印刷デバイスを固定し、当該デバイスに対するＲＩＰデータの状態で印刷データを保存しておくのである。ＲＩＰデータの保管場所には、より大きなデータ記憶容量が必要である。ＭＦＰに内臓のＨＤＤにＲＩＰデータを保存すると、ＭＦＰのＨＤＤ容量が直ちに逼迫してしまうといった問題がある。
【０００４】
一方、ＭＦＰにおいてもデータセキュリティ確保の必要性が今日高まっており、この点から印刷データのみならずスキャンデータやユーザアドレス情報などに対する機密情報を適切に保持する必要性が増している。
【０００５】
権限を有する者しか印刷データへアクセスできないようにし、また、スキャンしてＨＤＤに格納したデータへは、アクセス権限を有する者しか読み出せないようにする必要がある。かつ、ＨＤＤが盗難にあった場合でも、ディスクを直接解析されて記録されたデータが読み出され、機密情報が漏洩しないようにすることが重要がある。
【０００６】
以上の要求を満たすべく、今日、セキュリティを確保しつつ、大サイズのイメージデータ（ＲＩＰデータなど）を保持するために、データの記憶場所をＭＦＰの内蔵ＨＤＤではなく、ネットワークでＭＦＰに接続されたファイルサーバなど、巨大な記憶容量を有する場所にデータ保存しておき、再印刷等の必要が起きた時にネットワーク経由でＭＦＰに再度転送し印刷するといった方法がとられている。
【０００７】
ところが、この場合ファイルサーバへのアクセス制御のために大掛かりな認証サーバシステムが必要になったり、ファイルサーバやネットワーク帯域に依存したデータ転送パフォーマンスの低下といった問題が発生する。また、データがネットワーク中を送信されるため、ネットワークの盗み見などにより、機密にかかるデータの情報漏洩や改ざんといった情報セキュリティに関する問題もある。
【０００８】
近年、ユーザ認証機能を備え、認証されたユーザに対してのみデータの利用を許可することによってデータセキュリティを実現する、ＰＣへの挿抜が可能なリムーバブル記憶装置が提案されている。（特許文献１）
本提案は、廉価に大量のデータを保存できるように記憶装置をＰＣから着脱可能な構成とし、かつＰＣから外した状態で記憶装置の紛失や盗難といったセキュリティ上の問題へ対処できるようになっている。この提案に記載のリムーバブル記憶装置を利用して、ＰＯＤ印刷のためにＲＩＰ済みの大サイズデータを保持すれば、前述のＨＤＤ容量が逼迫する問題やセキュリティに関する問題へも対処することが可能である。
【０００９】
しかしながら、本提案にかかるリムーバブル記憶装置は、指紋認証によるアクセス制限しか行われず、記憶領域に格納されるデータは生のままである。したがって、リムーバブル記憶装置を分解して直接記憶領域へアクセスした場合、データの内容が漏洩してしまう恐れがある。
【００１０】
また、文献２によれば、外部記憶装置とコンピュータシステムの間に暗号化装置を入れて外部記憶装置へのデータを暗号化することが開示されている。
【００１１】
しかし、この場合、外部記憶装置が暗号化装置ごと一緒に盗まれた場合、外部記憶装置に格納されたデータを復号して読み出すことが可能である。暗号鍵情報が暗号化装置の記憶手段に内包されているからである。したがって、外部記憶装置に保持された情報の機密漏洩に対して十分とはではない。
【００１２】
一方、文献３は、複写機の画像データの流れがオプションボードの接続状態に応じて、適切に切り替わる構成を開示している。
【００１３】
しかし、本件は複写機の画像データの流れを適切に切り替えることのみを目的としており、複写機の大領量記憶装置に保持される画像データのデータセキュリティを意図した機能については一切言及がない。
【特許文献１】特開２００４−１１０３８２号公報
【特許文献２】特開平１１−８５６２１号公報
【特許文献３】特開平１０−２１０２４７号公報
【発明の開示】
【発明が解決しようとする課題】
【００１４】
本発明は、上記の従来技術を鑑みてなされたものである。
【００１５】
すなわち、ＭＦＰを始めとする画像処理システムをＰＯＤ印刷システムとして利用したときに問題となる大サイズのＲＩＰデータの保持を容易ならしめ、ファイルサーバの処理パフォーマンスやネットワークのデータ転送パフォーマンスの劣化を回避できる構成を提供することを目的とする。
【００１６】
加えて、ＭＦＰやＳＦＰ（Ｓｉｎｇｌｅ  Ｆｕｎｃｔｉｏｎ  Ｐｒｉｎｔｅｒ）を始めとする画像処理システムにおいて処理過程で扱う画像データ、及びその他のユーザデータの機密漏洩を防止することを目的とする。
【課題を解決するための手段】
【００１７】
以上述べた課題を解決するために本発明にかかる画像情報処理システムは、少なくとも大容量記憶装置を制御するディスクコントローラ手段と、暗復号処理手段と、ユーザ認証手段と、不揮発性メモリ手段とを有することを特徴とする可般型のリムーバブル大容量記憶装置、並びに当該大容量リムーバブル大容量記憶装置に対応した画像情報処理装置から構成される。
【００１８】
前記画像処理装置は、前記リムーバブル大容量記憶装置の装着を検出し、印刷データ、スキャンデータ、並びにユーザ個人情報を前記リムーバブル大容量記憶装置に格納し、あるいは前記リムーバブル大容量記憶装置から読み出すことを特徴とする。
【００１９】
前記画像処理装置は、前記リムーバブル大容量記憶装置の装着が検出されない間は、当該画像処理装置の機能が限定されることを特徴とする。
【００２０】
前記画像処理装置は、前記リムーバブル大容量記憶装置の装着が検出されない間の当該画像処理装置の機能制限に付いて、当該画像処理装置の管理者が予め設定できることを特徴とする。
【００２１】
前記リムーバブル大容量記憶装置は、暗号処理手段、並びにユーザ認証手段でそれぞれ使用される暗号鍵及びユーザパスワードは不揮発性メモリ手段に格納し、通常の使用環境において、それぞれの値をリムーバブル大容量記憶装置の外部に出力するインターフェースが存在しないことを特徴とする。
【００２２】
また、本発明にかかる画像情報処理方法は、
画像情報処理装置において、リムーバブル大容量記憶装置が当該画像情報処理装置に装着されたことを検出する工程と、
前記リムーバブル大容量記憶装置のユーザ認証手段によるユーザパスワード認証を行う工程と、
前記画像情報処理装置において、ユーザ認証に成功したときに前記リムーバブル大容量記憶装置へのデータの書き込みと読み出しを行う工程と、
前記画像情報処理装置において、前記リムーバブル大容量記憶装置の取り外し信号を検知して、当該リムーバブル大容量記憶装置の取り外しを安全に行う工程であって、
特に前記リムーバブル大容量記憶装置へのデータの書き込みと読み出し工程においては、リムーバブル大容量記憶装置は、暗復号処理手段によってデータを書き込む時にこれを暗号化し、データを読み出すときにこれを復号化することを特徴とする。
【００２３】
（作用）
上記のごとく構成された画像情報処理システムによれば、大容量量記憶装置が画像処理装置から着脱できる構成であるため、ＰＯＤ印刷など大サイズのＲＩＰデータを格納し保持する場合に容量が逼迫しても、別の大容量記憶装置に付け替えることが可能となる。ＰＯＤ印刷においてはネットワークやファイルサーバを利用しないため、これらのパフォーマンス上の問題も発生しない。
【００２４】
大容量記憶装置を画像処理装置に装着した時に、ユーザ認証を経ないと大容量記憶装置に保持されたＲＩＰデータやスキャンデータ、ユーザデータにアクセスできない。したがって、当該大容量記憶装置が盗まれてもデータを読み出すことは困難である。
【００２５】
一方、悪意のある攻撃者が当該大容量記憶装置を分解し、直接、ディスク上のデータを読み出して解析しようとしても、データは暗号化されているため情報を得ることは不可能である。
【００２６】
重ねて、暗号鍵やユーザパスワードは不揮発性メモリに格納され、かつ、これを外部に取り出すインターフェースが無い。このため、暗号鍵やユーザパスワードが読み出され、正規の利用者に成りすまされたり、暗号データを不正に解読されたりするといった恐れも無い。
【００２７】
ＲＩＰデータには画像情報処理装置を特定するための識別情報が付加されており、リムーバブル記憶装置からどのＲＩＰデータを読み出せばよいかは画像情報処理装置において判断することができる。
【００２８】
また、リムーバブル記憶装置は、記憶装置としてＨＤＤを利用することにより安価で大容量の記憶領域を確保することが可能なため、ＰＯＤ印刷システムで扱う大サイズのＲＩＰデータを容易に保持することが可能である。利用者はＰＯＤ印刷を実行するにあたって、ＲＩＰデータをリムーバブル記憶装置ごと持ち運びネットワークを一切利用しないため、ファイルサーバやネットワークのパフォーマンス劣化といった問題を回避できる。
【００２９】
また、当該リムーバブル記憶装置は暗号処理手段を有しており、かつ暗号鍵は当該リムーバブル記憶装置の外部に取り出せない構成となっている。このため、もしユーザがリムーバブル記憶装置を紛失し、悪意のある者が記憶装置のデータを解析した場合でも、データを解読することはできない。
【発明の効果】
【００３０】
以上説明したように、本発明にかかる画像情報処理システムによれば、上記のごとく構成された画像情報処理システムによれば、大容量量記憶装置が画像処理装置から着脱できる構成であるため、ＰＯＤ印刷など大サイズのＲＩＰデータを格納し保持する場合に容量が逼迫しても、別の大容量記憶装置に付け替えることが可能となる。更に、ユーザ毎に当該大容量記憶装置を所有することも可能である。ＰＯＤ印刷においてはネットワークやファイルサーバを利用しないため、これらのパフォーマンス上の問題も発生しない。
【００３１】
大容量記憶装置を画像処理装置に装着した時に、ユーザ認証を経ないと大容量記憶装置に保持されたＲＩＰデータやスキャンデータ、ユーザデータにアクセスできない。したがって、当該大容量記憶装置が盗まれてもデータを読み出すことは困難である。
【００３２】
一方、悪意のある攻撃者が当該大容量記憶装置を分解し、直接、ディスク上のデータを読み出して解析しようとしても、データは暗号化されているため情報を得ることは不可能である。
【００３３】
重ねて、暗号鍵やユーザパスワードは不揮発性メモリに格納され、かつ、これを外部に取り出すインターフェースが無い。このため、暗号鍵やユーザパスワードが読み出され、正規の利用者に成りすまされたり、暗号データを不正に解読されたりするといった恐れも無い。
【００３４】
加えて、セキュリティを維持するために必要な暗号処理手段並びにユーザ認証手段はそれぞれリムーバブル記憶装置側に実装されており、本発明にかかる画像情報処理システム側には暗号技術に関連する手段が含まれない。このため、当該画像情報処理装置のラインナップ展開を容易ならしめ、製品開発のコストを削減することが可能となる。
【発明を実施するための最良の形態】
【００３５】
以下、本発明の実施形態について図面を参照しながら説明する。
【００３６】
図１において、１−１はＭＦＰであり、本発明にかかる画像情報処理システムのひとつの実施形態である。
【００３７】
１−２はリムーバブル記憶装置着脱Ｉ／Ｆである。Ｉ／Ｆ仕様は標準化されており、例えば、シリアルＡＴＡ仕様、ＩＤＥ仕様などがある。本発明にかかる画像処理システムのリムーバブル記憶装置（１−３）は、当該着脱Ｉ／Ｆを通して着脱される。
【００３８】
通信装置１−４は、ＬＡＮや電話回線などの通信を行う。ＭＦＰはＦＡＸ送受信やネットワーク印刷、ドキュメントＳｅｎｄ機能などの機能も有しており、当該通信装置１−４を介してデータの送受信が行われる。
【００３９】
１−５は画像処理装置であり、スキャン画像や印刷処理に関連する画像解像度の変換処理や、色空間の変換処理など、スムージングなどの各種画像処理を行う。１−６は、スキャナユニットであり、紙原稿から画像データを取得するために利用される。１−７はプリンタユニットであり、画像データを紙に印刷するために利用される。１−８はＣＰＵであり、本ＭＦＰの各種処理や機能を制御する。１−９はメモリであり、ＣＰＵが処理に必要なワーク領域として利用される。
【００４０】
１−１０は内蔵記憶装置であり、リムーバブル記憶装置１−３が装着されていない場合に、当該内蔵記憶装置に画像データを格納するために利用される。本発明にかかる画像処理システムでは、管理者の設定により、当該内蔵記憶装置１−１０を利用する機能を制限することが可能である。
【００４１】
また、この機能制限の内容は、画像情報処理装置のシステム管理者が予め設定あるいは変更できるように構成することができる。例えば、本発明にかかるリムーバブル記憶装置１−３が装着されていない時は、ＦＡＸ受信機能のみ有効とし、ＦＡＸ送信機能、ＢＯＸ機能、コピー機能、並びにＳｅｎｄ機能は利用できないといった設定が可能である。システム管理者は、オフィスの情報管理を厳密に実施することができる。
【００４２】
図２は、本発明にかかる可般型のリムーバブル記憶装置の一実施形態である。当該リムーバブル記憶装置は、図１、１−３のリムーバブル記憶手段に該当し、本発明にかかる画像情報処理システムを構成する一つの要素である。
【００４３】
図２、２−１はリムーバブル記憶装置の全体である。リムーバブル記憶装置２−１の筐体の中に以下に説明する各機能要素が実装され、耐タンパー性を有する構造によって保護されている。
【００４４】
２−２は大容量内蔵記憶装置であり、通常、ハードディスクドライブ（ＨＤＤ）がこれに該当する。画像情報を始め、本発明にかかる画像情報処理システムで扱う情報は、当該ＨＤＤ２−２に保持される。２−３はＣＰＵであり、リムーバブル記憶装置２−１と画像情報処理装置１−１のコマンド通信を制御し、処理を実行するために利用される。
【００４５】
ＲＡＭ２−４は、ＣＰＵ２−３の処理に必要な作業メモリ領域として利用される。リムーバブル記憶装置２−１は、画像情報処理装置１−１に装着されている時に、当該画像情報処理装置１−１から電源供給を受けて動作する。画像情報処理装置１−１から外された時には電源供給が無くなり、当該ＲＡＭ２−４に保持されていたデータも消滅する。一方、本発明にかかるリムーバブル記憶装置２−１は、不揮発性メモリ２−５を内蔵している。不揮発性メモリ２−５には、データを暗復号化する時の暗号鍵、ユーザパスワードが格納される。また、本リムーバブル記憶装置２−１のコマンド処理を実行するためのファームウエアも、当該不揮発性メモリ２−５に格納されている。
【００４６】
図２、２−７は乱数生成器である。乱数生成器２−７は、暗号鍵の種（Ｓｅｅｄ）を生成するために利用される。ハッシュエンジン２−８は、ハッシュ値を計算し出力する。乱数生成器２−７及び、ハッシュエンジン２−８は、画像情報処理装置１−１にリムーバブル記憶装置２−１が装着した時、リムーバブル記憶装置２−１が固有の画像情報処理装置１−１を識別するための通信、例えばチャレンジ・レスポンス認証のために利用される。
【００４７】
図２、２−９は暗復号エンジンである。暗号処理及び復号処理のための専用のコプロセッサーであり、不揮発性メモリ２−５に格納された暗号鍵を当該暗復号エンジンにて適用して、ＨＤＤ２−２に書き込み・読み出しするデータの暗号処理と復号処理を行う。当該暗復号エンジン２−９は、全ての暗号鍵の鍵長において、図１画像情報処理装置１−１における各種画像処理の処理速度の低下を起こさない様、十分に早いパフォーマンスが得られるよう設計されている。
【００４８】
図２、２−８はユーザ認証エンジンである。リムーバブル記憶装置２−１を画像情報処理装置１−１に装着した時に、ユーザが当該リムーバブル記憶装置２−１のＨＤＤ２−２に格納されたデータにアクセスできるか否かを確認するために、当該ユーザ認証エンジン２−１０がユーザ認証処理を行う。ユーザ認証のためにユーザ固有のパスワードは、前出の不揮発性メモリ２−５に格納されており、ユーザ認証エンジン２−８は、前記不揮発性メモリ２−５からユーザのパスワードを読み出して、識別と確認を行う。
【００４９】
なお、ユーザ認証によってＨＤＤに格納されたデータへのアクセス制御を行う場合、前述したチャレンジ・レスポンス認証は不要とすることが可能である。ユーザ認証によってデータへのアクセスが制限できるので、必ずしも固有の画像情報処理装置１−１を識別する必要がないからである。この切り替えは、リムーバブル記憶装置２−１の初期化時のレジスタ設定で行うことが可能である。
【００５０】
ところで、暗復号エンジン２−９、及びユーザ認証エンジン２−８は、それぞれ暗号鍵、ユーザパスワードを不揮発性メモリ２−５から読み出して処理を実行するが、これらの秘密情報はリムーバブル記憶装置２−１の内部でしか扱うことができない構成となっている。暗号鍵やユーザパスワードをリムーバブル記憶装置２−１から明示的に取り出せないようにするために、本発明にかかるリムーバブル記憶装置２−１は、リムーバブル記憶装置２−１の外部に暗号鍵やユーザパスワードを取り出すためのコマンドインターフェースを一切設けていない。このため、開発時のデバッグ環境を除く通常の使用環境において、暗号鍵やユーザパスワードが漏洩して、ＨＤＤに格納した機密データが読み出されてしまうことは無いのである。
【００５１】
図２、２−１０はディスクコントローラである。ＨＤＤ２−２へのデータの書き込み、読み出し、状態制御、並びにエラー処理などの一連のディスク処理を行う。製品コストを下げるため、当該ディスクコントローラ２−１０は、例えば、Ｓｅｒｉａｌ−ＡＴＡ仕様などの汎用のディスク制御Ｉ／Ｆを採用している。
【００５２】
２−１１は、リムーバブル記憶装置Ｉ／Ｆである。リムーバブル記憶装置２−１は、リムーバブル記憶装置Ｉ／Ｆ２−１１を通して、画像情報処理装置１−１に接続し、画像データの読み書きが行われる。また、各種ステータスの読み出し、並びにディスク制御なども、当該リムーバブル記憶装置Ｉ／Ｆを通して行われる。
【００５３】
次に、本発明にかかる画像情報処理システムにおけるリムーバブル記憶装置２−１の画像処理装置１−１への装着から取り外しまでの処理の流れに付いて、図３を用いて説明する。
【００５４】
画像情報処理装置１−１には、リムーバブル記憶装置２−１の状態を管理しているプロセスが常駐している（以下、「リムーバブル記憶装置状態管理プロセス」と呼ぶ）。リムーバブル記憶装置２−１が画像情報処理装置１−１に装着されると、画像情報処理装置１−１内部で電気的な信号が発生する。（Ｓ３０１）
リムーバブル記憶装置状態管理プロセスは、リムーバブル記憶装置１−１の管理状態を初期化状態に移行し、初期化プロセスを起動する。（Ｓ３０２）  図４に初期化プロセスの処理工程を記載する。図４、ユーザパスワード認証工程（Ｓ４０１）は、画像情報処理装置１−１のユーザパネルにユーザパスワード入力インターフェースを表示し、ユーザパスワードの取得を行う。取得したユーザパスワードは、リムーバブル記憶装置２−１のユーザ認証エンジン２−８に送られる。一方、ユーザ認証エンジン２−８は、予め登録してあるユーザパスワードを不揮発性メモリ２−５より取得し、パスワードの一致・不一致を判断基準としてユーザ認証を行う。
【００５５】
ユーザ認証に失敗し、ユーザが確認できなかった場合はエラー処理を実行し（Ｓ４０２）以後の画像情報処理装置１−１への操作受け付けが遮断される。なお、ユーザ認証の失敗時の処理については、画像情報処理装置１−１の機能制限に留めるなど、変更することが可能である。また、ユーザ認証エンジン２−８によるユーザ認証の判断基準は、当該ユーザ認証エンジン２−８の仕様に依存し、前述したパスワードの一致・不一致以外の方式をとることも可能である。
【００５６】
ユーザ認証に成功すると、リムーバブル記憶装置２−１は不揮発性メモリ２−５に保持されているＳｅｅｄに基づいて暗号鍵を生成する。生成した暗号鍵は、ＲＡＭ２−４に格納される。暗号鍵の生成に際してはハッシュエンジン２−６も利用される。また、ユーザ認証から暗号鍵生成までの一連の処理内容は、リムーバブル記憶装置２−１の不揮発性メモリ２−５に内蔵されたファームウエアによって実装されており、ＣＰＵ２−３によって制御されている。（Ｓ４０３）
以上、図４で説明した初期化工程が正常に終了すると、前述のリムーバブル記憶装置状態管理プロセスは、リムーバブル記憶装置１−１の管理状態を図３に記載のデータの読み書き状態へ移行し、データの読み書きプロセスを起動する。
【００５７】
データの読み書きプロセスは、画像情報処理装置１−１においては、ＨＤＤに対する通常のデータの読み書きと同じ処理である。しかし、リムーバブル記憶装置２−１では、先に生成しＲＡＭ２−４にしてある暗号鍵を用いて、ＨＤＤ２−２に対するデータの読み書きに応じて、データの復号処理と暗号処理を実施する。データの暗復号処理はリムーバブル記憶装置１−１のファームウエアとＣＰＵ２−３によって制御され、演算処理自体は暗復号エンジン２−９によって行われる。
【００５８】
画像情報処理装置１−１のデータ読み書き状態は、いわゆる通常の運用状態であり、ユーザは画像情報処理装置１−１の各機能、例えば、コピー、スキャン、ＢＯＸ、ＦＡＸなどの機能を実行することが可能となる。
【００５９】
図３、Ｓ３０５はリムーバブル記憶装置２−１の取り出しプロセスである。画像情報処理装置１−１には、リムーバブル記憶装置２−１を取り出すためのスイッチ（あるいはボタン）が用意されている。ユーザが当該ボタンを押下すると、画像情報処理装置１−１は論理的なコマンド検知、あるいは電気的な処理要求を検出する。（Ｓ３０５）  続けて、画像情報処理装置１−１のリムーバブル記憶装置状態管理プロセスはリムーバブル記憶装置１−１の管理状態を、リムーバブル記憶装置の取り出し状態に移行し、取り出しプロセスを実行する。（Ｓ３０６）  ここで、リムーバブル記憶装置２−１の取り出しを検知しない場合は、画像処理装置１−１は、そのまま読み書きプロセス（Ｓ３０３）を継続して実行する。
【００６０】
図３、取り出しプロセス（Ｓ３０６）は、画像情報処理装置１−１のファームウエアがリムーバブル記憶装置２−１のＨＤＤ２−２に保存されているデータへのアクセス状態を安全に終了する。また、リムーバブル記憶装置２−１は、取り出し状態の通知を画像情報処理装置１−１から受け取り、ＲＡＭ２−４に格納されている暗号鍵を完全に消去する。
【００６１】
上述した取り出しプロセス（Ｓ３０６）の一連の処理が終了すると、画像情報処理装置１−１のユーザインターフェースにリムーバブル記憶装置２−１の取り出しを許可する表示を行う。ユーザはこの段階で、リムーバブル記憶装置２−１を画像情報処理装置１−１から物理的に取り外すことができる。
【００６２】
ところで、リムーバブル記憶装置２−１を始めて使用する時、ユーザはリムーバブル記憶装置２−１へアクセスするためのユーザパスワードを設定しなければならない。また、暗復号エンジン２−９で使用する暗号鍵のもととなるＳｅｅｄの生成も、リムーバブル記憶装置２−１の初回使用時に生成しなければならない。
【００６３】
これらパスワード設定、並びにＳｅｅｄ生成は、図３の初期化プロセス（不図示）において実行される。パスワード設定とＳｅｅｄ生成プロセスの実行の判断は、リムーバブル記憶装置２−１の不揮発性メモリ２−５の所定のアドレスに格納された初期化フラグを参照して行われる。リムーバブル記憶装置２−１は、図３の初期化プロセスの工程でフラグの状態を確認し、パスワード設定とＳｅｅｄが無いと判断した場合、図４で示した通常の初期化フローとは異なる、パスワード設定及びＳｅｅｄ生成処理を実施する。（不図示）
ユーザパスワード設定のために、画像情報処理装置１−１は、ユーザにパスワードの入力画面をパネルに表示する。ユーザが入力したパスワードはリムーバブル記憶装置２−１に伝えられ、不揮発性メモリ２−５に格納される。一方、Ｓｅｅｄはリムーバブル記憶装置２−１の乱数生成器２−７で生成され、同じく不揮発性メモリ２−５に格納されるのである。
【００６４】
なお、一旦生成し不揮発性メモリ２−５に保持したＳｅｅｄは、ＨＤＤ２−２に暗号化して格納したデータの可用性を維持するため、特別にＳｅｅｄ変更コマンドを発行しない限り変更できない構成となっている。これに対しユーザパスワードは、ユーザの要求に応じて随時変更することができる。ユーザパスワードの変更は、画像情報処理装置１−１のパネルからユーザインターフェースを通じて行えるような構成である。
【図面の簡単な説明】
【００６５】
【図１】本発明にかかる画像処理装置システムの画像処理装置の構成について説明した図である。
【図２】本発明にかかる画像処理装置システムのリムーバブル大容量記憶装置の構成について説明した図である。
【図３】本発明にかかる画像処理システムにおいて、リムーバブル大容量記憶装置脱着時の画像情報処理装置処理工程を説明したフローチャートである。
【図４】本発明にかかる画像処理システムにおいて、リムーバブル大容量記憶装置装の初期化工程を説明したフローチャートである。
【図１】
2008093903.tif 000003
【図２】
2008093903.tif 000004
【図３】
2008093903.tif 000005
【図４】
2008093903.tif 000006