(57)【要約】【課題】  機密情報が漏れる虞があり、セキュリティを保証する必要が生じた時に不揮発性記憶手段に格納した画像情報やユーザ関連情報を漏れなく消去できるようにする。【解決手段】  ユーザがオペパネからセキュリティの保証をする入力操作を行うと、特定モジュールがNV-RAMの初期化（データ消去）が必要であると認識し（Ｓ１０１）、各モジュールに割り当てられ管理するNV-RAMの記憶領域のマジックナンバ領域をゼロなどのデータで書きつぶす処理を行う（Ｓ１０２）。電源ＯＮなどのトリガにて各モジュールはリブート処理を起動し、NV-RAMのマジックナンバ領域をチェックする。その領域に異常（書きつぶし）があれば、初期化処理が実行され、機密を護る必要のあるデータを消去する。【選択図】          図３
2005236782.tif 000002
【特許請求の範囲】
【請求項１】
不揮発性記憶手段に処理対象画像情報及びユーザ関連情報を格納可能とした画像処理装置であって、前記不揮発性記憶手段に格納した処理対象画像情報及びユーザ関連情報を一括して上書き消去する手段と、該上書き消去手段を動作させるための指令入力を行う操作手段を備えたことを特徴とする画像処理装置。
【請求項２】
請求項１に記載された画像処理装置において、前記不揮発性記憶手段を複数の処理モジュールそれぞれの管理下で個別に記憶領域を割り当てる構成とし、前記複数の処理モジュール中の特定モジュールが、前記操作手段からの指令を受けて前記上書き消去手段を動作させる機能を備えたことを特徴とする画像処理装置。
【請求項３】
請求項２に記載された画像処理装置において、前記上書き消去手段は、複数の処理モジュールそれぞれが記憶領域を管理するために備える初期化手段であることを特徴とする画像処理装置。
【請求項４】
請求項３に記載された画像処理装置において、前記不揮発性記憶手段の各処理モジュールに割り当てた記憶領域の先頭アドレスにマジックナンバ部を置き、前記特定モジュールは、複数の処理モジュールの初期化手段を動作させるためのトリガとして使用するデータをマジックナンバ部に書き込む機能を備えたことを特徴とする画像処理装置。
【請求項５】
請求項３に記載された画像処理装置において、前記特定モジュールは、複数の処理モジュールの初期化手段を動作させるためのトリガとして使用するメッセージを通知する機能を備えたことを特徴とする画像処理装置。
【請求項６】
複数の処理モジュールに割り当てられた不揮発性記憶手段の各記憶領域に処理対象画像情報及びユーザ関連情報を格納可能とした画像処理装置の制御コンピュータに、複数の処理モジュール中の特定モジュールによって、各記憶領域に格納した処理対象画像情報及びユーザ関連情報を一括して上書き消去する手順と、指令入力を行う操作手段により入力された指令によって一括上書き消去を動作させる手順を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不揮発性記憶手段を備えた画像処理装置（例えば、デジタル複写機、プリンタ等）に関し、より特定すると、不揮発性記憶手段に格納された処理対象の画像情報やユーザ関連情報を必要なときに消去できるようにして、セキュリティを保証することを可能にする上記画像処理装置及び該画像処理装置に用いるプログラムに関する。
【背景技術】
【０００２】
近年、デジタル複写機、プリンタ等の画像処理装置では、多機能化にともなって処理プログラムの追加、入力画像や管理情報の蓄積、或いは処理過程における作業等、に用いるデータの記憶機能に求められる容量が増大を続けており、不揮発性のメモリとして従来から用いられているＮＶ−ＲＡＭに加え、記憶容量の確保にハードディスクやＳＤカード等の大容量を持つ不揮発性の記憶手段が搭載されているものが多い。
不揮発性であるという性質から、これらの記憶手段を用いる場合、処理の対象とした画像や管理情報として生成されるユーザ関連情報等が、記憶手段に記憶されたままに残ってしまうことがある。このようにして残る情報が機密データである場合には、そのままでマシンを破棄したり、他に譲り渡す等を行うような場合に、セキュリティー上の問題が生じる。
機密性の保持を目的とする提案がされた従来技術を例示するものとして、下記特許文献１を挙げることができる。特許文献１記載の情報処理装置は、複写装置を実施例として、出力の対象となる画像を一旦ハードディスクに格納し、そこから出力処理を行うようにしたものであり、機密文書モードが設定されている場合には、出力終了後にハードディスクに格納した画像データを消去するとし、次の複写画像の処理によって、画像データが上書きされるまでの間ハードディスク上に残存する画像データに対する機密保持ができなかったという問題が解消できる、としている。
【特許文献１】特開平８‐５０７９５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、上記特許文献１に示す従来例は、次の画像データによりハードディスクが上書きされ、前の画像データが消去されるまでの間にハードディスク上に残存する画像データに対する機密保持という限定された状況における画像データに対する保護手段である。
従って、この従来技術によっては、機密性を護る必要があるデータであっても、内部で使用する場合には利用可能なデータとして格納しておく必要があり、消去できないデータを、装置を破棄したり、他に譲り渡す等を行うような場合に、セキュリティ上の問題から消去したいという要望に応えることができない。
また、上記特許文献１に示す従来例には、処理の対象とした画像と同様に機密性が護られるべき、処理に係わる管理情報として生成されるユーザ関連情報等のセキュリティ保証の観点を欠いており、また、他に従来技術として機密性が護られるべきデータを漏れなく保護するという目的の手段が講じられた例も見ないので、この点は未解決の課題として残されたままとなっている。
本発明は、上記した従来技術における問題に鑑み、これを解決するためになされたもので、その解決課題は、装置の破棄或いは他への譲渡といった場合のように、外部に機密情報が漏れる虞があり、セキュリティを保証する必要が生じたときに、不揮発性記憶手段に格納した処理対象の画像情報やユーザ関連情報を漏れなく消去できるようにすることにある。また、上記した消去を実行する際に、同じ不揮発性記憶手段に格納した情報の中で、機器の設定など消去の不要な情報を消去しないような手段を用いるようにして、装置の再利用時のインストールや再設定などを極力しなくても済むようにすることをさらなる課題とする。
【課題を解決するための手段】
【０００４】
請求項１の発明は、不揮発性記憶手段に処理対象画像情報及びユーザ関連情報を格納可能とした画像処理装置であって、前記不揮発性記憶手段に格納した処理対象画像情報及びユーザ関連情報を一括して上書き消去する手段と、該上書き消去手段を動作させるための指令入力を行う操作手段を備えたことを特徴とする画像処理装置である。
請求項２の発明は、請求項１に記載された画像処理装置において、前記不揮発性記憶手段を複数の処理モジュールそれぞれの管理下で個別に記憶領域を割り当てる構成とし、前記複数の処理モジュール中の特定モジュールが、前記操作手段からの指令を受けて前記上書き消去手段を動作させる機能を備えたことを特徴とするものである。
【０００５】
請求項３の発明は、請求項２に記載された画像処理装置において、前記上書き消去手段は、複数の処理モジュールそれぞれが記憶領域を管理するために備える初期化手段であることを特徴とするものである。
請求項４の発明は、請求項３に記載された画像処理装置において、前記不揮発性記憶手段の各処理モジュールに割り当てた記憶領域の先頭アドレスにマジックナンバ部を置き、前記特定モジュールは、複数の処理モジュールの初期化手段を動作させるためのトリガとして使用するデータをマジックナンバ部に書き込む機能を備えたことを特徴とするものである。
請求項５の発明は、請求項３に記載された画像処理装置において、前記特定モジュールは、複数の処理モジュールの初期化手段を動作させるためのトリガとして使用するメッセージを通知する機能を備えたことを特徴とするものである。
【０００６】
請求項６の発明は、複数の処理モジュールに割り当てられた不揮発性記憶手段の各記憶領域に処理対象画像情報及びユーザ関連情報を格納可能とした画像処理装置の制御コンピュータに、複数の処理モジュール中の特定モジュールによって、各記憶領域に格納した処理対象画像情報及びユーザ関連情報を一括して上書き消去する手順と、指令入力を行う操作手段により入力された指令によって一括上書き消去を動作させる手順を実行させるためのプログラムである。
【発明の効果】
【０００７】
請求項１，２，６の発明によると、操作入力の指令によって不揮発性記憶手段に格納された情報を一括して上書きし、画像情報、宛先、認証データを含むユーザ関連情報を漏れなく消去できるようにしたので、装置の破棄或いは他への譲渡といった場合のように、外部に機密情報が漏れる虞があり、セキュリティを保証する必要が生じたときに、完全な形でその目的を遂行することが可能になる。
また、請求項３〜５の発明によると、特定のモジュールからの操作に従って、複数の処理モジュールそれぞれの初期化処理により記憶領域を上書き消去するようにしたので、既存の初期化シーケンスが利用可能であり、しかも初期化シーケンスによって、処理対象画像情報及びユーザ関連情報以外の情報を記載した機器設定ファイル等に関しては消去しないようにすることで、装置の再利用時のインストールや再設定などを極力しなくても済み、処理の効率化を図ることが可能になる。
【発明を実施するための最良の形態】
【０００８】
本発明を添付する図面とともに示す以下の実施形態に基づき説明する。ここに示す実施例は、本発明の画像処理装置をプリンタ、コピー、スキャナ及びＦＡＸ等のアプリケーションによって多機能の処理を行う画像処理装置に適用した例を示す。
図１は、本発明の実施形態に係わる画像処理装置のブロック構成を示す概略図で、プリンタコントローラ１００を中心にした全体構成を示す。図１を参照し、本装置の構成及び動作の概略を以下に説明する。
装置全体を制御するCPU１０１には、CPUバスを介してROM１０２、RAM１０３、NV-RAM１０５、ハードディスク１０６、ビデオDMAC（Direct Memory Access Controller）１０７、スキャナI/F１１１、ホストI/F１１３、オペパネ（操作部の操作パネル）１１５が接続されている。なお、上記以外に、外部と画像（FAX等）データを交信する場合には、NIC（Network Interface Controller）等の通信I/Fを接続する。また、ビデオDMAC１０７には伸長器１０８が接続されている。
プリンタエンジン１１９は、印刷出力に用いるビデオ画像をプリンタコントローラ１００からエンジンI/F１１８を介して受信する。エンジンI/F１１８に送るビデオ画像は、セレクタ１０９によって、ビデオDMAC１０７又は伸長器１０８からの出力が選択される。
スキャナ３００は、本画像処理装置に一体に組み込んでも良い（この場合には、一般的に“複写機”として概念される装置を構成する）し、外部の単独器であっても良く、プリンタコントローラ１００にはスキャナI/F１１１を介して接続される。
ホストコンピュータ２００は、外部機としてホストI/F１１３を介して接続され、この場合には、本画像処理装置は、一般的に“プリンタ”として概念される装置を構成する。
【０００９】
上記の構成で、NV-RAM１０５及びハードディスク１０６はいずれも不揮発性の記憶手段であり、その性質からデータの保存（蓄積）に使用される。保存されるデータは、具体的には、装置各部の動作条件を設定する機器設定ファイル、アプリの処理プログラムファイル、処理対象画像データ、管理情報として保存されるユーザ関連情報等のデータがその対象となる。図１に示した装置構成のようにNV-RAM１０５、ハードディスク１０６を両方装備する場合には、システムの設計によって、様々な使い分けで上記したデータを保存することが可能であるが、この実施形態では、説明の便宜上、NV-RAM１０５を保存が必要な情報を格納する不揮発性の記憶手段として特定した形態の例で説明する。下記に例示する実施形態を基本として、実際にはハードディスク１０６と組み合わせて使用する場合やハードディスク１０６単独の場合へも、同様の手法で実施することが可能である。
また、上記した画像処理装置は、複数のアプリケーションによる処理が可能な多機能機であるとしたが、多機能の動作には、各機能のアプリケーションに適応した形態でNV-RAM１０５を管理するという方法をとる。具体的には、プリンタ、コピー、スキャナ及びＦＡＸ等の機能を動作させるモジュールそれぞれでNV-RAMのメモリ管理を行うようにする。この場合、NV-RAMの記憶領域をモジュール別に割り当て、モジュール独自のフォーマットでデータが管理される。
図２は、NV-RAMの記憶領域をモジュール別に割り当てて管理する方法の概念を説明するための図である。図２に示す例では、Ａ〜Ｚのモジュールがあり、モジュール別に記憶領域を割り当て、それぞれの先頭部分には管理領域として用いる「マジックナンバ領域」を設けその領域に続けて、モジュール独自のフォーマットでデータを管理する「データ記憶領域」を設ける。
【００１０】
次に、上記したNV-RAM１０５に格納した保存情報のセキュリティを保証するための処理について説明する。
NV-RAM１０５には、上記のように、処理対象の画像情報や処理に係わる管理情報として生成されるユーザ関連情報等の機密性を保つことが求められる情報が格納される。こうした機密情報が、例えば、装置の破棄或いは他への譲渡といった場合のように、外部に漏れる虞があるといった状況になったときに、ユーザの操作で格納したこれらの情報を不揮発性記憶手段から漏れなく消去できるようにすることが必要になる。ここでは、このような必要性に応じた処理を行うことにより、セキュリティを保証することを可能にするものである。
以下に示す実施形態では、記憶領域をモジュール別に割り当てて管理する方法をとっているNV-RAMにおける消去の対象となる情報を漏れなく消去するために、NV-RAMメモリを初期化する方式によって、その実現を可能とする。
【００１１】
メモリの初期化そのものは、公知の方式を適用することにより実施することが可能であり、例えば、NV-RAM１０５の全メモリ領域にわたり、オールゼロや乱数データなどのデータを上書きすることにより実施し得る。この方式は、漏れなくデータを上書き消去するという点でメリットがあるが、反面、工程出荷時に設定した設定値やマシンが動作するために必要なデータも区別無く消去してしまうため、消去後マシンを再利用しようとする場合には、設定をし直す必要がある。
なお、工程出荷時に設定した設定値等の特定のデータを消去しないようにする初期化方式が選択可能な方式として用意されている場合には、その方式による処理を設定できるようにすることにより実現が可能であるし、ない場合にはセキュリティを保証するための機能を実現するための要素として新たに用意しても良い。
また、セキュリティを保証するという目的で行うこの初期化処理の実行の指令は、必要が生じたときにユーザが発行するので、通常の初期化を実行するタイミングとは別に行われる。従って、この指令を発行するための入力を行う操作手段を操作部のオペパネ１１５に機能キーとして用意する必要がある。この機能キーは、特定のモジュールに付属させて設けても、独立して設けても良い。
【００１２】
特定のデータ（例えば、工程出荷時に設定した設定値等）を消去しないようにする初期化方式の採用は、その前提として、NV-RAM１０５を管理する各モジュールへの初期化処理の委譲が必須である。
メモリの初期化によってセキュリティの保証機能を実現する形態として、以下に２つの実施形態を示す。いずれも特定のモジュールに対するユーザの入力操作によって発行される指令に従って、各モジュールが自身の管理するNV-RAM１０５のメモリ領域の初期化を行う。これは、上述のようにNV-RAM１０５の記憶領域をモジュール別に割り当て（図２参照）、各モジュールがメモリ管理を行う方式によっているためである。各モジュールが自身の管理するメモリ領域の初期化を行う場合には、特定のデータ（例えば、工程出荷時に設定した設定値等）を消去しないようにするセキュリティの保証機能の実現も可能になる。
以下に示す「実施形態１」と「実施形態２」には、ユーザの入力操作によって指令されるNV-RAMの初期化を異なる動作モードで行う例を示す。NV-RAMの初期化指令は、特定のモジュールに対して行われるので、特定のモジュールは各モジュールに初期化を行わせるための機能を備える必要があり、この機能を異なる形態で実施する例を示すものである。
【００１３】
「実施形態１」
本実施形態は、NV-RAMの初期化指令を受け取る特定のモジュールが各モジュールに初期化を行わせるために、NV-RAM１０５に管理領域として設けた「マジックナンバ領域」（図２参照）を利用して、そこを初期化条件の設定に用いるようにするものである。NV-RAM１０５において、モジュール別に割り当てた記憶領域それぞれの先頭に配置された「マジックナンバ領域」をゼロなどのデータで書きつぶすことにより、初期化条件を設定する、という方式による。
図３は、セキュリティを保証するための処理要求に応じて特定モジュールが実行する動作（実施形態１）の処理フローを示す。
図３に示す処理フローを参照すると、ユーザがセキュリティを保証するための処理を要求して、オペパネ１１５を介して特定モジュールに対し入力操作を行うと、特定モジュールは、その入力操作から、NV-RAM１０５の初期化（データ消去）が必要であることを検知し（ステップＳ１０１）、NV-RAM１０５の各モジュールが使用する記憶領域の先頭に配置されるマジックナンバ領域をゼロなどのデータで書きつぶす処理を行う（ステップＳ１０２）。この処理は自モジュールを始めとして、全てのモジュールに対して行い、全てのモジュールの処理が完了したことを確認して、この処理フローを終了する。
【００１４】
実際に、NV-RAM１０５の初期化（データ消去）を行うのは、各モジュールが自モジュールの管理するNV-RAM１０５を初期化するときで、特定モジュールが行う上記したセキュリティを保証するための処理要求に応じた処理と連動させていない。
本実施形態では、その後、例えば本マシン（装置）をリブートするタイミング、例えば電源ＯＮなどのトリガにて、各モジュールは自モジュールが管理するNV-RAM１０５を初期化する。
図４は、各モジュールが行うNV-RAMの初期化処理（実施形態１）のフロー図を示す。
図４に示す処理フローを参照すると、電源ＯＮなどのトリガにて各モジュールはリブート処理を起動し、処理の一環としてモジュールが管理するNV-RAM１０５もその対象とする。リブートの始めに、モジュールが管理する記憶領域の先頭に配置されるマジックナンバ領域をチェックし（ステップＳ２０１）、マジックナンバ領域のデータに異常があるか、否かを調べて、初期化の必要性を判断する（ステップＳ２０２）。マジックナンバ領域のデータの異常は、ゼロなどのデータで書きつぶされている場合は異常と判断されるので、上記した特定モジュールによる書きつぶし処理（図３のステップＳ１０２）の結果がこの判断に反映される。
【００１５】
マジックナンバ領域のデータに異常がある場合には（ステップＳ１０１-YES）、初期化が必要であると判断され、NV-RAMにおける自モジュール管理下のメモリ領域を初期化する（ステップＳ２０３）。初期化は、該当する領域をオールゼロや乱数データなどのデータにより上書きすることにより実施することができる。なお、この場合に全管理領域にわたり上書き消去する方法によっても良いし、機密性を保つ必要があるデータ部分だけを上書き消去するようにしても良い。機密性を保つ必要があるデータ部分だけを初期化する場合、消去後に特に設定のし直しなど行わなくてもマシンを再利用出来るメリットがある。
メモリ領域を初期化処理が完了した後、マジックナンバ領域のデータに正常な値を設定して（ステップＳ２０４）、次の電源ＯＮ時のリブート処理で異常と判断されないようにし、この処理フローを抜ける。
上記のように、既存の初期化シーケンスを利用することが可能であり、しかもNV-RAM１０５に管理領域として設けた「マジックナンバ領域」を利用して、そこを初期化の実行条件の設定に用いるようにしたことにより、容易に目的を遂行し得、また、後から新しいモジュールが追加になった場合にも、特別な付加的な手段やプログラム変更を必要としない。
【００１６】
「実施形態２」
本実施形態は、NV-RAMの初期化指令を受け取る特定のモジュールが各モジュールに初期化を行わせるために、特定のモジュールからその他のモジュールそれぞれに初期化処理の実行を指示するメッセージを通知する方式によるものである。
図５は、セキュリティを保証するための処理要求に応じて特定モジュールが実行する、本実施形態の処理フローを示す。
図５に示す処理フローを参照すると、ユーザがセキュリティを保証するための処理を要求して、オペパネ１１５を介して特定モジュールに対し入力操作を行うと、特定モジュールは、その入力操作から、NV-RAM１０５の初期化（データ消去）が必要であることを検知し（ステップＳ３０１）、NV-RAM１０５を使用する各モジュールに対しNV-RAM１０５の初期化処理を行うように、その要求メッセージを送信する（ステップＳ３０２）。この場合、特定のモジュールが各モジュールにメッセージを送信する機能を備えていない場合には、この機能を新たに搭載する必要がある。
NV-RAM１０５の初期化を要求するこのメッセージの送信は、全てのモジュールに対して行い、全てのモジュールの送信が完了したことを確認して、この処理フローを終了する。
【００１７】
特定のモジュールからNV-RAM１０５の初期化を要求するメッセージを受け取る各モジュールの処理を説明する。
図６は、各モジュールが行うNV-RAMの初期化処理（実施形態２）のフロー図を示す。
図６に示す処理フローを参照すると、特定のモジュールから通知されてくる、NV-RAM１０５の初期化を要求するメッセージを受け取る各モジュールでは、受信したメッセージの要求に応えて、NV-RAM１０５の初期化（データ消去）を行う（ステップＳ４０１）。
NV-RAM１０５の初期化（データ消去）は、該当する領域をオールゼロや乱数データなどのデータにより上書きすることにより実施することができる。なお、この場合に全管理領域にわたり上書き消去する方法によっても良いし、機密性を保つ必要があるデータ部分だけを上書き消去するようにしても良い。機密性を保つ必要があるデータ部分だけを初期化する場合、消去後に特に設定のし直し等を行わなくてもマシンを再利用できるメリットがある。
メモリ領域を初期化処理が完了した後、この処理フローを抜ける。
上記のように、既存の初期化シーケンスを利用することにより、容易に目的を遂行し得、また、本実施形態では、上記実施形態１のように、初期化をリブートのタイミングで行わないので、即時に初期化が実行される。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施形態に係わる画像処理装置のブロック構成を示す概略図を示す。
【図２】NV-RAMの記憶領域をモジュール別に割り当てて管理する方法の概念を説明する図である。
【図３】セキュリティを保証するための処理要求に応じて特定モジュールが実行する処理（実施形態１）のフロー図を示す。
【図４】各モジュールが行うNV-RAMの初期化処理（実施形態１）のフロー図を示す。
【図５】セキュリティを保証するための処理要求に応じて特定モジュールが実行する処理（実施形態２）のフロー図を示す。
【図６】各モジュールが行うNV-RAMの初期化処理（実施形態２）のフロー図を示す。
【符号の説明】
【００１９】
１００・・プリンタコントローラ、      １０１・・CPU、
１０５・・NV-RAM、                  １０６・・ハードディスク、
２００・・ホストコンピュータ、        １１９・・プリンタエンジン、
３００・・スキャナ。
【図１】
2005236782.tif 000003
【図２】
2005236782.tif 000004
【図３】
2005236782.tif 000005
【図４】
2005236782.tif 000006
【図５】
2005236782.tif 000007
【図６】
2005236782.tif 000008