(57)【特許請求の範囲】
【請求項１】
ユーザ管理情報を管理するための、前記ユーザ管理情報のハッシュ値及びオンである場合に更新中であることを示す更新フラグを少なくとも含んでいるデータ管理情報と、前記ユーザ管理情報と、を記憶する記憶手段と、
前記記憶手段に記憶されている前記データ管理情報を複写して、前記記憶手段に複数の前記データ管理情報を記憶させる制御を行う制御手段と、
前記記憶手段に記憶されている複数の前記データ管理情報のダイジェスト値を前記データ管理情報毎に演算し、演算したダイジェスト値の全てが一致しているか否かに基づいて、前記データ管理情報の破壊の有無を検知するデータ管理情報破壊検知手段と、
前記記憶手段に記憶されている前記ユーザ管理情報のハッシュ値を演算するハッシュ値演算手段と、
前記データ管理情報に含まれるハッシュ値と、前記ハッシュ値演算手段により演算されたハッシュ値と、が一致しているか否かに基づいて、前記ユーザ管理情報の破壊の有無を検知するユーザ管理情報破壊検知手段と、
複数の前記データ管理情報の更新処理中に、当該更新処理が中断した場合、前記更新フラグがオフである前記データ管理情報の数が前記更新フラグがオンである前記データ管理情報の数よりも多い場合は、前記更新フラグがオフである前記データ管理情報の前記ハッシュ値を、前記更新フラグがオンである前記データ管理情報の前記ハッシュ値に上書きし、かつ、前記更新フラグがオフである前記データ管理情報の数が前記更新フラグがオンである前記データ管理情報の数よりも少ない場合は、前記更新フラグがオンである前記データ管理情報を前記ユーザ管理情報破壊検知手段の検知対象から除外するデータ管理情報更新手段と、
を備えたデータ破壊検知装置。
【請求項２】
ユーザ管理情報を管理するための、前記ユーザ管理情報のハッシュ値及びオンである場合に更新中であることを示す更新フラグを少なくとも含んでいるデータ管理情報と、前記ユーザ管理情報と、を記憶する記憶部から、前記データ管理情報を複写して、前記記憶部に複数のデータ管理情報を記憶させる制御を行う制御工程と、
前記記憶部に記憶されている複数の前記データ管理情報のダイジェスト値を前記データ管理情報毎に演算し、演算したダイジェスト値の全てが一致しているか否かに基づいて、前記データ管理情報の破壊の有無を検知するデータ管理情報破壊検知工程と、
前記記憶部から前記ユーザ管理情報を読み出して、前記ユーザ管理情報のハッシュ値を演算するハッシュ値演算工程と、
前記記憶部に記憶している前記データ管理情報に含まれるハッシュ値と、前記ハッシュ値演算工程により演算されたハッシュ値と、が一致しているか否かに基づいて、前記ユーザ管理情報の破壊の有無を検知するユーザ管理情報破壊検知工程と、
複数の前記データ管理情報の更新処理中に、当該更新処理が中断した場合、前記更新フラグがオフである前記データ管理情報の数が前記更新フラグがオンである前記データ管理情報の数よりも多い場合は、前記更新フラグがオフである前記データ管理情報の前記ハッシュ値を、前記更新フラグがオンである前記データ管理情報の前記ハッシュ値に上書きし、かつ、前記更新フラグがオフである前記データ管理情報の数が前記更新フラグがオンである前記データ管理情報の数よりも少ない場合は、前記更新フラグがオンである前記データ管理情報を前記ユーザ管理情報破壊検知手段の検知対象から除外するデータ管理情報更新工程と、
を備えたデータ破壊検知方法。
【請求項３】
請求項１に記載のデータ破壊検知装置と、
前記データ破壊検知装置によって前記データ管理情報が破壊されていると検知されたときに、複数のデータ管理情報のうち一致している数が最も多いデータ管理情報に基づいて、他のデータ管理情報を復旧するデータ管理情報データ復旧手段と、
前記データ破壊検知装置によって前記ユーザ管理情報が破壊されていると検知されたときに、ユーザ管理情報を予め記憶している情報記憶装置から当該ユーザ管理情報を読み出して、前記記憶手段において破壊されているユーザ管理情報を復旧するユーザ管理情報データ復旧手段と、
を備えたデータ復旧装置。
【請求項４】
請求項２に記載のデータ破壊検知方法と、
前記データ破壊検知方法によって前記データ管理情報が破壊されていると検知されたときに、複数のデータ管理情報のうち一致している数が最も多いデータ管理情報に基づいて、他のデータ管理情報を復旧するデータ管理情報復旧工程と、
前記データ破壊検知方法によって前記ユーザ管理情報が破壊されていると検知されたときに、ユーザ管理情報を予め記憶している情報記憶装置から当該ユーザ管理情報を読み出して、前記記憶部において破壊されているユーザ管理情報を復旧するユーザ管理情報復旧工程と、
を備えたデータ復旧方法。
【請求項５】
請求項２に記載のデータ破壊検知方法によって前記データ管理情報が破壊されていると検知されたとき及び前記ユーザ管理情報が破壊されていると検知されたときの少なくとも一方のときに接続している画像形成装置の使用を禁止する画像形成装置使用禁止手段を備えた画像形成装置管理装置。
【請求項６】
請求項４に記載のデータ復旧方法によって前記データ管理情報を復旧している期間及び前記データ管理情報を復旧している期間の少なくとも一方の期間は、接続している画像形成装置の使用を禁止する画像形成装置使用禁止手段を備えた画像形成装置管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ破壊検知装置及び方法、データ復旧装置及び方法、並びに画像形成装置管理装置に係り、例えば、プリンタ、ファクシミリ、コピー機、及びこれらの機能を備えた複合機などの画像形成装置の利用状況や利用制限などに関するデータの破壊を検知するデータ破壊検知装置及び方法、これを用いたデータ復旧装置及び方法、並びにデータ破壊検知方法またはデータ復旧装置を利用した画像形成装置管理装置に関する。
【背景技術】
【０００２】
プリンタ、ファクシミリ、コピー機、及びこれらの機能を備えた複合機などの画像形成装置は、ユーザ管理情報を蓄積する管理装置を内蔵していたり、その管理装置と外部接続することが多い。このような管理装置は、ハードウェア要因やソフトウェア要因（例えばバグ）によってメモリ上のユーザ管理情報が破壊された場合、次のように、主に３つの問題が発生する。
【０００３】
第１に、管理装置がユーザを正しく管理できなくなる問題が発生する。管理装置は、画像形成装置を使用しようとするユーザを認証して、当該画像形成装置に対する使用許可を与える機能を有している。このため、ユーザ管理情報が破壊された場合、管理装置はユーザを正しく管理できなくなってしまい、本来、画像形成装置を使用できるユーザが画像形成装置を使用できなくなることがある。
【０００４】
第２に、管理装置が画像形成装置の利用実績を集計できなくなる問題が発生する。管理装置は、画像形成装置の利用実績を集計する機能を有していることが多い。このため、上記問題が発生すると、画像形成装置を使用していたユーザが分からなくなったり、使用していないユーザが画像形成装置を使用していたことになったり、利用実績値が正常な情報にならない（異常値になる）問題も発生してしまう。
【０００５】
第３に、管理装置が利用実績情報に基づいて複数の画像形成装置の認証を行うシステムにおいては、ユーザの利用実績に誤りが生じ、ユーザの業務に支障が出る問題が発生する。例えば、ユーザの利用可能な上限枚数が管理されている場合、ユーザ管理情報の破壊によって、利用実績枚数が誤って大きな値になってしまうと、ユーザがシステムを利用できなくなってしまうことがある。
【０００６】
このようなメモリ上のデータ破壊を回避するため、以下のような技術が提案されている。
【０００７】
特許文献１では、ランダムアクセスメモリの任意な領域を書き込み禁止するプロテクト領域に指定して、プログラム等重要な特定記憶データを保護する複写装置のＲＡＭ保護装置が提案されている。上記複写装置のＲＡＭ保護装置は、ＲＡＭの特定領域への書き込み動作を禁止するプロテクト手段と、前記プロテクト領域を設定するプロテクト領域設定手段と、前記プロテクト領域への書き込みを許可する書き込み許可手段と、書き込み禁止中の前記プロテクト領域へ書き込もうとする異常動作を検出する異常動作検出手段とを備え、前記異常動作検出手段により異常動作を検出したとき異常信号を出力することを特徴としたものである。
【０００８】
また、特許文献２では、ソフトカウンタの信頼性を向上させるカウント装置が提案されている。上記カウント装置は、所定動作が実行されたことを検出する実行検出手段と、上記実行が検出される毎にその実行回数に関する情報をそれぞれ共通に記憶する複数の記憶手段と、上記情報の記憶を行う際、各記憶手段に記憶された情報が破壊されているか否かを検出する破壊検出手段と、一つの記憶手段の情報が破壊されたことが検出されたとき、この破壊された情報を他の記憶手段の情報を用いて修正する修正手段を設けたことを特徴としたものである。
【特許文献１】特開平５−０２０２０２号公報
【特許文献２】特開２０００−０８９６２２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかし、特許文献１及び２に記載された技術は、コストや設計上の理由により、画像形成システムに採用できないことがあった。
【００１０】
また、管理装置は、画像形成装置の状態（例えば、用紙送り、用紙排出）の変化に対して高い応答性が求められる。しかし、特許文献１及び２に記載された技術は、応答性があまりよくなく、上記要請に応えられないことがあった。
【００１１】
本発明は、上述した課題を解決するために提案されたものであり、応答性を低下させることなくユーザに関するデータの破壊を検知したり、そのデータを保護するデータ破壊検知装置及び方法並びにデータ復旧装置及び方法を提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明に係るデータ破壊検知装置は、ユーザ管理情報を管理するための、前記ユーザ管理情報のハッシュ値及びオンである場合に更新中であることを示す更新フラグを少なくとも含んでいるデータ管理情報と、前記ユーザ管理情報と、を記憶する記憶手段と、前記記憶手段に記憶されている前記データ管理情報を複写して、前記記憶手段に複数の前記データ管理情報を記憶させる制御を行う制御手段と、前記記憶手段に記憶されている複数の前記データ管理情報のダイジェスト値を前記データ管理情報毎に演算し、演算したダイジェスト値の全てが一致しているか否かに基づいて、前記データ管理情報の破壊の有無を検知するデータ管理情報破壊検知手段と、前記記憶手段に記憶されている前記ユーザ管理情報のハッシュ値を演算するハッシュ値演算手段と、前記データ管理情報に含まれるハッシュ値と、前記ハッシュ値演算手段により演算されたハッシュ値と、が一致しているか否かに基づいて、前記ユーザ管理情報の破壊の有無を検知するユーザ管理情報破壊検知手段と、複数の前記データ管理情報の更新処理中に、当該更新処理が中断した場合、前記更新フラグがオフである前記データ管理情報の数が前記更新フラグがオンである前記データ管理情報の数よりも多い場合は、前記更新フラグがオフである前記データ管理情報の前記ハッシュ値を、前記更新フラグがオンである前記データ管理情報の前記ハッシュ値に上書きし、かつ、前記更新フラグがオフである前記データ管理情報の数が前記更新フラグがオンである前記データ管理情報の数よりも少ない場合は、前記更新フラグがオンである前記データ管理情報を前記ユーザ管理情報破壊検知手段の検知対象から除外するデータ管理情報更新手段と、を備えている。
【００１３】
本発明に係るデータ破壊検知方法は、ユーザ管理情報を管理するための、前記ユーザ管理情報のハッシュ値及びオンである場合に更新中であることを示す更新フラグを少なくとも含んでいるデータ管理情報と、前記ユーザ管理情報と、を記憶する記憶部から、前記データ管理情報を複写して、前記記憶部に複数のデータ管理情報を記憶させる制御を行う制御工程と、前記記憶部に記憶されている複数の前記データ管理情報のダイジェスト値を前記データ管理情報毎に演算し、演算したダイジェスト値の全てが一致しているか否かに基づいて、前記データ管理情報の破壊の有無を検知するデータ管理情報破壊検知工程と、前記記憶部から前記ユーザ管理情報を読み出して、前記ユーザ管理情報のハッシュ値を演算するハッシュ値演算工程と、前記記憶部に記憶している前記データ管理情報に含まれるハッシュ値と、前記ハッシュ値演算工程により演算されたハッシュ値と、が一致しているか否かに基づいて、前記ユーザ管理情報の破壊の有無を検知するユーザ管理情報破壊検知工程と、複数の前記データ管理情報の更新処理中に、当該更新処理が中断した場合、前記更新フラグがオフである前記データ管理情報の数が前記更新フラグがオンである前記データ管理情報の数よりも多い場合は、前記更新フラグがオフである前記データ管理情報の前記ハッシュ値を、前記更新フラグがオンである前記データ管理情報の前記ハッシュ値に上書きし、かつ、前記更新フラグがオフである前記データ管理情報の数が前記更新フラグがオンである前記データ管理情報の数よりも少ない場合は、前記更新フラグがオンである前記データ管理情報を前記ユーザ管理情報破壊検知手段の検知対象から除外するデータ管理情報更新工程と、を備えている。
【００１４】
データ管理情報は、ユーザ管理情報を管理するための、前記ユーザ管理情報のハッシュ値及びオンである場合に更新中であることを示す更新フラグを少なくとも含んでいる情報であり、予め記憶手段に記憶されている。データ管理情報は、例えばユーザ管理情報を読み出すときや、ユーザ管理情報をチェックするときに使用される。記憶手段には、ユーザ管理情報と、データ管理情報と、が記憶されている。ここで、ユーザ管理情報が使用されているうちに、ハードウェア要因又はソフトウェア要因によって、ユーザ管理情報が破壊されることがある。
【００１５】
制御手段は、記憶手段に記憶されているデータ管理情報をそのまま複写して、複数の同一のデータ管理情報を記憶手段に記憶させる制御を行う。その後、データ管理情報は、ユーザ管理情報が使用される毎に、読み出される。ただし、ハードウェア要因やソフトウェア要因により、データ管理情報が破壊されることがある。
【００１６】
そこで、データ管理情報破壊検知手段は、記憶手段に記憶されている複数のデータ管理情報のダイジェスト値を前記データ管理情報毎に演算し、演算したダイジェスト値の全てが一致しているか否かを判定し、その結果に基づいて、データ管理情報の破壊の有無を検知する。ここでは、全て一致しているときは前記データ管理情報は破壊されてなく、一致していない部分があるときはデータ管理情報は破壊されている。ハッシュ値演算手段は、記憶手段に記憶されているユーザ管理情報について、ハッシュ値を演算する。そして、ユーザ管理情報破壊検知手段は、データ管理情報に含まれるハッシュ値と、演算されたハッシュ値と、に基づいて、ユーザ管理情報の破壊の有無を検知する。つまり、これらのハッシュ値が一致していないときは、ユーザ管理情報が破壊されたと考えられ、これにより、データ管理情報の破壊が検知される。
【００２０】
本発明に係るデータ復旧装置は、前記データ破壊検知装置と、前記データ破壊検知装置によって前記データ管理情報が破壊されていると検知されたときに、複数のデータ管理情報のうち一致している数が最も多いデータ管理情報に基づいて、他のデータ管理情報を復旧するデータ管理情報データ復旧手段と、前記データ破壊検知装置によって前記ユーザ管理情報が破壊されていると検知されたときに、ユーザ管理情報を予め記憶している情報記憶装置から当該ユーザ管理情報を読み出して、前記記憶手段において破壊されているユーザ管理情報を復旧するユーザ管理情報データ復旧手段と、を備えている。
【００２１】
本発明に係るデータ復旧方法は、前記データ破壊検知方法と、前記データ破壊検知方法によって前記データ管理情報が破壊されていると検知されたときに、複数のデータ管理情報のうち一致している数が最も多いデータ管理情報に基づいて、他のデータ管理情報を復旧するデータ管理情報復旧工程と、前記データ破壊検知方法によって前記ユーザ管理情報が破壊されていると検知されたときに、ユーザ管理情報を予め記憶している情報記憶装置から当該ユーザ管理情報を読み出して、前記記憶部において破壊されているユーザ管理情報を復旧するユーザ管理情報復旧工程と、を備えている。
【００２２】
前記データ管理情報が破壊されていると検知されたときは、通常は、複数のデータ管理情報の全部でなく、そのうち少数のデータ管理情報が破壊されたと考えられる。
【００２３】
そこで、データ管理情報復旧手段は、前記データ管理情報が破壊されていると検知されたときに、複数のデータ管理情報のうち一致している数が最も多いデータ管理情報に基づいて、他のデータ管理情報を復旧する。これにより、特別なデータ保護用のハードウェアを設けることなく、データを復旧することができる。
【００３０】
ユーザ管理情報復旧手段は、ユーザ管理情報を予め記憶している情報記憶装置からユーザ管理情報を読み出す。すなわち、データ破壊のあった箇所と異なる箇所からユーザ管理情報を読み出すので、そのデータ破壊の影響を受けることなく、確実にユーザ管理情報を復旧することができる。
【００３１】
また、本発明に係る画像形成装置管理装置は、上記のデータ破壊検知方法によって前記データ管理情報が破壊されていると検知されたとき及び前記ユーザ管理情報が破壊されていると検知されたときの少なくとも一方のときに、接続している画像形成装置の使用を禁止する画像形成装置使用禁止手段、または上記のデータ復旧方法によって前記データ管理情報を復旧している期間及び前記データ管理情報を復旧している期間の少なくとも一方の期間は、接続している画像形成装置の使用を禁止する画像形成装置使用禁止手段を設けて構成することができる。
【発明の効果】
【００３２】
本発明に係るデータ破壊検知装置及び方法は、予期せぬデータ破壊を確実に検知することができる。また、本発明に係るデータ復旧装置及び方法は、データ保護のためのハードウェアを設けることなく、破壊されたデータを復旧することができる。
【００３３】
本発明のに係る画像形成装置管理装置は、データ破壊が検知されたときまたはデータ管理情報を復旧している期間は画像形成装置の使用を禁止するように管理することができる。
【発明を実施するための最良の形態】
【００３４】
以下、本発明の好ましい実施の形態について図面を参照しながら詳細に説明する。
【００３５】
［システム構成］
図１は、本発明の実施の形態に係る画像形成システムの全体構成を示す図である。画像形成システム１は、複数の複合機１０と、複合機１０に各々対応して設けられた複数の管理装置２０と、システム全体を管理する管理サーバ３０と、を備えている。
【００３６】
複合機１０は、コピー、ファクシミリ送受信、プリントの各機能を有し、管理装置２０にユーザＩＤが入力された後、上記各機能を実行できるようになっている。
【００３７】
管理装置２０は、管理対象となる複合機１０に接続している。なお、管理装置２０は、複合機１０に外部接続してもよいし、複合機１０の内部に設けられてもよい。
【００３８】
管理装置２０は、複合機１０を利用するユーザを管理するためのユーザ管理情報と、ユーザ管理情報を管理するためのデータ管理情報と、を記憶している。
【００３９】
管理装置２０は、複合機１０にユーザＩＤが入力されると、ユーザ管理情報に基づいて、複合機１０の使用許可又は使用禁止を判定し、判定結果に応じて複合機１０の状態を切り換える。また、複合機１０は、ユーザに対して複合機１０の使用許可を与えた場合であっても、カラーコピーを禁止したり、使用可能な紙の上限枚数を設定したりして、ユーザの利用制限を行うこともできる。
【００４０】
管理サーバ３０は、通信回線（例えば、ＬＡＮや電話回線など）を介して各管理装置２０に接続されている。管理サーバ３０は、すべての管理装置２０からユーザ管理情報を読み出して、システム全体のユーザ管理情報を一元的に管理する。管理サーバ３０は、ユーザ毎に複合機１０の機能の利用制限を設定したり、複合機１０毎に使用制限を設定することもできる。
【００４１】
また、管理サーバ３０は、必要に応じて、管理装置２０からユーザ管理情報を読み出して、自身のユーザ管理情報の一部を更新したり、自身のユーザ管理情報を用いて所定の管理装置２０のユーザ管理情報を更新したりする。さらに、管理サーバ３０は、ユーザの複合機１０の利用実績値を蓄積し、集計することもできる。
【００４２】
図２は、管理装置２０の構成を示すブロック図である。
【００４３】
管理装置２０は、ユーザが所定の操作を行う操作部２１と、ユーザ管理情報の内容や所定の情報を表示する表示部２２と、ユーザＩＤなどの情報を受け付けるユーザ受付部２３と、複合機１０を制御するための複合機制御部２４と、管理サーバ３０と通信するための管理サーバ通信部２５と、データ管理情報、ユーザ管理情報、管理装置設定情報などを記憶する記憶部２６と、例えばＣＰUで構成され、装置全体を制御する制御部２７と、を有している。
【００４４】
図３は、管理装置２０に記憶されているデータ管理情報及びユーザ管理情報の構成を示す図である。データ管理情報は、それぞれ所定のデータ管理情報と対応付けられている。
【００４５】
ユーザ管理情報は、ユーザの複合機１０の利用状況や利用制限を表している。具体的には、ユーザ管理情報は、「ユーザＩＤ」、「現在の総利用枚数」、「総利用条件枚数」、「白黒印刷の利用枚数」、「白黒印刷の上限枚数」、「カラー印刷の利用枚数」、「カラー印刷の上限枚数」、次のユーザ管理情報へのポインタを表す「次情報ポインタ」、を有している。
【００４６】
「次情報ポインタ」は、当該ユーザ管理情報の次に続くユーザ管理情報の先頭位置を表している。ユーザ管理情報は、「次情報ポインタ」によって他のユーザ管理情報と連続している。以下、「次情報ポインタ」によって連続するユーザ管理情報を「線形リスト」という。なお、線形リストには、２つ以上の連続するユーザ管理情報だけでなく、１つだけのユーザ管理情報も含まれるものとする。また、「次情報ポインタ」が空欄又は所定の情報（ＮＵＬＬ）になっている場合、そのユーザ管理情報は線形リストの終点となる。
【００４７】
なお、ここで示したユーザ管理情報は、一例に過ぎず、他の構成であってもよいのは勿論である。
【００４８】
データ管理情報は、それぞれ対応する線形リスト（１つ以上のユーザ管理情報）を管理するための情報であり、「線形リスト先頭ポインタ」、「更新フラグ」、「ハッシュ値」、を有している。
【００４９】
「線形リスト先頭ポインタ」は、対応する線形リストの先頭記憶位置を表している。「更新フラグ」は、ユーザ管理情報の更新中であるか否かを示すフラグであり、更新中であるときはオン、更新中でないときはオフになっている。「ハッシュ値」は、対応する線形リスト全体のハッシュ値を示している。なお、ハッシュ値は、エラーチェック符号として用いることができれば特に限定されるものではなく、ダイジェスト値（例えば、ＣＲＣ値、ＭＤ５値など）であってもよい。
【００５０】
図２に示す管理装置２０の制御部２７は、上記データ管理情報を複写して、１つの線形リストに対して、例えば３つの同一のデータ管理情報を記憶部２６上に展開する。
【００５１】
以上のように構成された画像形成システムにおいて、上記管理装置２０は、ユーザＩＤが入力されると、次のようにして、複合機１０を利用許可すると共に、複合機１０の利用制限を行ったり、複合機１０の利用状況を管理する。
【００５２】
［複合機１０の利用許可］
管理装置２０の制御部２７は、ユーザＩＤ受付部２３を介して、あるユーザのユーザＩＤが入力されたことを検出すると、図３に示すように、ハッシュ関数を用いてハッシュ値を演算する。制御部２７は、このハッシュ値に対応する組（１つ以上のデータ管理情報）を選択し、この中からユーザＩＤに対応するデータ管理情報を選択する。制御部２７は、ユーザＩＤに対応するユーザ管理情報がない場合、新たにユーザ管理情報を生成し、これを記憶部２６に登録する。
【００５３】
次に、制御部２７は、選択したデータ管理情報の線形リスト先頭ポインタに記述された記憶位置から、線形リストの最初のユーザ管理情報を読み出す。なお、制御部２７は、読み出したユーザ管理情報が所望のユーザのものでなかった場合は、「次情報ポインタ」に記述された記憶位置から別のユーザ管理情報を読み出す。
【００５４】
制御部２７は、所望のユーザ管理情報を読み出した後、このユーザ管理情報に基づいて、上記ユーザの利用許可又は利用不可を判定する。例えば、ユーザ管理情報の「現在の総利用枚数」が「総利用条件枚数」に達していたときや、「白黒印刷の上限枚数」及び「カラー印刷の上限枚数」が共にゼロに設定されている場合、利用不可となる。いずれにも該当しない場合は、利用許可となる。
【００５５】
制御部２７は、上記ユーザについて利用許可と判定したとき、複合機制御部２４を介して、複合機１０に利用許可通知信号を送信する。これにより、複合機１０は、上記ユーザの利用を受け付けるようになる。
【００５６】
［ユーザ管理情報の更新］
管理装置２０の制御部２７は、複合機１０がユーザに利用されると、その利用状況を反映するように、ユーザ管理情報を更新する。例えば、制御部２７は、ユーザが複合機１０に白黒印刷を実行させたときは、ユーザ管理情報の「現在の総利用枚数」及び「白黒印刷の利用枚数」を更新する。
【００５７】
また、制御部２７は、操作部２１やユーザ受付部２３を介して、新規ユーザの登録があったときは、記憶部２６に新たなユーザ管理情報を追加することもできる。
【００５８】
［データ管理情報の更新］
管理装置２０の制御部２７は、ユーザ管理情報を更新するとき、または、ユーザ管理情報を追加するとき（例えば新規ユーザを登録するとき）は、データ管理情報を更新する。以下では、ユーザ管理情報が更新され、これに伴ってデータ管理情報も更新する場合を例に挙げて説明する。
【００５９】
最初に、制御部２７は、更新されたユーザ管理情報を含む線形リストに対応するデータ管理情報の「更新フラグ」をオンにして、データ管理情報が更新中であることを宣言する。
【００６０】
次に、制御部２７は、更新されたユーザ管理情報を含む線形リストについて、新たなハッシュ値を演算する。最後に、制御部２７は、データ管理情報の「ハッシュ値」に新たなハッシュ値を上書きして、その後、「更新フラグ」をオフにして、処理を終了する。
【００６１】
これにより、「更新フラグ」は、データ管理情報が更新処理中のときはオンになっているが、更新処理済みのときはオフになっている。
【００６２】
なお、本実施形態では、同一構成のデータ管理情報が３つ存在する。したがって、制御部２７は、各データ管理情報に対してそれぞれ上述のような更新処理を実行する。
【００６３】
［更新処理の中断後の処理］
管理装置２０の制御部２７は、電源遮断等によって、（１）ユーザ管理情報の追加処理が中断した場合や、（２）データ管理情報の更新処理（ハッシュ値の更新処理）が中断した場合、次の処理を実行する。
【００６４】
（１）ユーザ管理情報の追加時
ユーザ管理情報の追加処理が中断した場合、それを再び追加すればよいので、追加した新たなデータのみが失われるのは大きな問題ではない。
【００６５】
そこで、管理装置２０の制御部２７は、３つのデータ管理情報をそれぞれ参照し、ユーザ管理情報が追加されたことを示唆するデータ管理情報の個数を判定する。
【００６６】
ユーザ管理情報が追加されたことを示唆するデータ管理情報が２つ存在する場合、制御部２７は、ユーザ管理情報をそのまま登録すればよい。一方、ユーザ管理情報が追加されたことを示唆するデータ管理情報が１つだけ存在する場合、制御部２７は、ユーザ管理情報の登録を抹消（記憶部２６から消去）すればよい。ただし、この場合は、ユーザ管理情報の再登録が必要になる。
【００６７】
（２）データ管理情報の更新処理時
データ管理情報の更新処理（ハッシュ値の更新処理）が中断した場合、制御部２７は、３つのデータ管理情報の各々の「更新フラグ」を確認し、オン又はオフになっている「更新フラグ」の個数を判定する。その理由は、オン又はオフになっている「更新フラグ」の個数を確認することで、３つのデータ管理情報の更新がどの程度完了したか判別できるからである。
【００６８】
具体的には、オンの「更新フラグ」が１つ、オフの「更新フラグ」が２つ存在する場合、３つのうち２つのデータ管理情報の更新が完了している。そこで、制御部２７は、オフの「更新フラグ」を有するデータ管理情報の「ハッシュ値」を、他のデータ管理情報の「ハッシュ値」に上書きする。これにより、制御部２７は、各データ管理情報の「ハッシュ値」を同一の値に更新することができる。
【００６９】
一方、オンの「更新フラグ」が２つ、オフの「更新フラグ」が１つ存在する場合、「ハッシュ値」が異なってしまい、エラーが発生する。そのため、制御部２７は、「更新フラグ」を検査対象から外したり、化けた場所が特定できかつ補正可能なハッシュ関数を使用すればよい。
【００７０】
［データ管理情報の破壊検知・復旧］
管理装置２０の制御部２７は、次の処理を行うことによって、記憶部２６内のデータ管理情報の破壊検知を行う。
【００７１】
具体的には、制御部２７は、一定時間毎に、３つのデータ管理情報が一致しているか否かを判定する（一致試験）。一致試験は、データ管理情報の全領域比較や、データ管理情報のダイジェスト値（例えば、ＣＲＣ値、ＭＤ５値など）を算出して比較する方法がある。
【００７２】
制御部２７は、３つのデータ管理情報が一致している場合は「データ管理情報の破壊はない」と判定し、それらが一致していない場合は「データ管理情報の破壊」を検知する。なお、制御部２７は、運用上の支障がない範囲内で一致試験を行う時間間隔を十分小さくすれば、異常検知時のログ登録で取得できるデータの有用性を高めることができる。
【００７３】
制御部２７は、データ管理情報の破壊を検知した場合、各データ管理情報の多数決によって、破壊されたデータ管理情報を復旧する。
【００７４】
具体的には、制御部２７は、３つのデータ管理情報のうち、互いに一致するデータ管理情報を破壊されてないものとして取り扱い、一致していないデータ管理情報を破壊されているものと取り扱う。制御部２７は、破壊されているデータ管理情報に対して、破壊されていないデータ管理情報を上書きコピーすることで、上記破壊されているデータ管理情報を復旧する。
【００７５】
以上のように、本発明の実施の形態に係る管理装置２０は、データ管理情報を複写して３つのデータ管理情報を記憶しておき、３つのデータ管理情報が一致しているか否かに基づいて、データ管理情報の破壊を検知することにより、予期せぬデータ破壊を確実に検知することができる。
【００７６】
さらに、管理装置２０は、データ破壊を検知したときは、破壊されているデータ管理情報に対して、破壊されていないデータ管理情報を上書きコピーすることで、メモリ保護用のハードウェアを設ける必要がなく、高い応答性を維持したまま自動的にデータ復旧を行うことができる。これにより、管理装置２０は、データ管理情報を用いて、ユーザ管理情報にアクセスすることが可能になる。
【００７７】
［ユーザ管理情報のデータ破壊検知・復旧］
管理装置２０の制御部２７は、次の処理を行うことによって、記憶部２６内のユーザ管理情報の破壊検知を行う。制御部２７は、破壊検知に先立って、データ管理情報の「更新フラグ」がオンかオフかを判定し、この判定結果を用いて次の処理を行う。
【００７８】
（１）判定フラグがオフの時
制御部２７は、データ管理情報の「線形リスト先頭ポインタ」に基づいて、チェック対象となる線形リスト（「次情報ポインタ」によって連続する１つ以上のユーザ管理情報）を読み出し、この線形リストのハッシュ値を演算する。そして、制御部２７は、記憶部２６に記憶されていたデータ管理情報の「ハッシュ値」と上記演算したハッシュ値とが一致しているか否かを判定する。制御部２７は、上記２つのハッシュ値が一致しているときは「ユーザ管理情報の破壊はない」と判定し、一致していないときは「ユーザ管理情報の破壊」を検知する。
【００７９】
制御部２７は、ユーザ管理情報の破壊を検知したときは、管理サーバ通信部２５を介して、管理装置２０から上記チェック対象となるユーザ管理情報をダウンロードして、破壊が検知されたユーザ管理情報を上書きする。なお、制御部２７は、チェック対象となるユーザ管理情報だけでなく、すべてのユーザ管理情報をダウンロードして、すべてのユーザ管理情報を上書きしてもよい。
【００８０】
制御部２７は、ユーザ管理情報の破壊検知後、複合機制御部２４を介して、複合機１０に対して当該複合機１０の使用不可を通知する。このとき、制御部２７は、複合機１０のすべての機能を使用不可とするだけでなく、使用不可となる一部機能（例えば、管理装置２０によるユーザ認証、データ更新機能など）を通知してもよい。
【００８１】
さらに、制御部２７は、複合機１０の機能を停止するときに、複合機１０の機能停止を示す停止ログを残してもよい。停止ログの内容は、例えば停止時刻、タスクハンドラのアドレス等とし、ソフトウェアバグのトレースが容易にできるようにするとよい。これにより、破壊要因の分析が可能になる。
【００８２】
また、制御部２７は、管理サーバ通信部２５を介して、管理サーバ３０に異常発生を通知してもよい。
【００８３】
（２）判定フラグがオンの時
制御部２７は、上記と同様に、データ管理情報の「線形リスト先頭ポインタ」に基づいて、チェック対象となる線形リスト（「次情報ポインタ」によって連続する１つ以上のユーザ管理情報）を読み出し、この線形リストのハッシュ値を演算する。
【００８４】
制御部２７は、記憶部２６に記憶されていたデータ管理情報の「ハッシュ値」に、上記演算したハッシュ値を上書きし、最後に、データ管理情報の「更新フラグ」をオフにする。これにより、制御部２７は、データ管理情報の更新処理中の場合には、破壊検知よりもハッシュ値の更新処理を優先して実行する。
【００８５】
以上のように、本発明の実施の形態に係る管理装置２０は、チェック対象となる線形リスト（１つ以上の連続するユーザ管理情報）のハッシュ値を演算し、演算したハッシュ値と記憶部２６に記憶されていたデータ管理情報の「ハッシュ値」とが一致しているか否かに基づいて、予期せぬデータ破壊を確実に検知することができる。
【００８６】
また、管理装置２０は、ユーザ管理情報の破壊を検知したときは、管理サーバ３０からユーザ管理情報を読み出すことで、メモリ保護用のハードウェアを設けることないため、高い応答性を維持したまま、ユーザ管理情報を復旧することができる。
【００８７】
なお、本発明は、上述した実施の形態に限定されるものではなく、特許請求の範囲に記載された範囲内で設計上の変更をされたものにも適用可能であるのは勿論である。
【００８８】
上記実施形態では、管理装置２０の管理対象として、複合機１０を例に挙げて説明したが、本発明はこれに限定されるものではない。例えば、管理装置２０の管理対象として、所定のプログラムがインストールされた装置（コンピュータ）であってもよい。
【００８９】
また、管理装置２０の制御部２７は、１つのデータ管理情報を複写することによって、３つのデータ管理情報を生成していたが、３つに限らず４つ以上のデータ管理情報を生成してもよい。
【００９０】
また、上記実施形態では、管理装置２０は、データ破壊検知後さまざまな処理を実行することができるが、これらのいずれか１つの処理だけを実行してもよいし、複数の任意の処理だけを実行してもよい。
【図面の簡単な説明】
【００９１】
【図１】本発明の実施の形態に係る画像形成システムの全体構成を示す図である。
【図２】管理装置の構成を示すブロック図である。
【図３】管理装置内のデータ管理情報及びユーザ管理情報の構成を示す図である。
【符号の説明】
【００９２】
１０  複合機
２０  管理装置
２４  複合機制御部
２６  記憶部
２７  制御部
３０  管理サーバ
【図１】
0004608949.tif 000002
【図２】
0004608949.tif 000003
【図３】
0004608949.tif 000004