(57)【要約】【課題】記憶領域を有効に使用しつつも、記憶領域内の実データを読み取り不能に削除することのできるジョブ実行装置、プログラム、データ削除方法を提供する。【解決手段】ファイルシステムによって分割領域管理情報が未使用から使用中に変更された分割領域に対応する削除管理情報を上書き削除不要に変更し、ファイルシステムによって分割領域管理情報が使用中から未使用に変更された分割領域に対応する削除管理情報を上書き削除要に変更する。そして、解放要求が指示する全ての分割領域の削除管理情報が、上書き削除の実行によって上書き削除不要に変更されるよりも前に、該解放要求が指示する分割領域に対応する分割領域管理情報を未使用に変更する。【選択図】図５
2016001438.tif 000002
【特許請求の範囲】
【請求項１】
記憶部と、
前記記憶部の記憶領域を複数の分割領域に分割し、該分割領域毎に、その使用中、未使用を示す分割領域管理情報が登録されたＦＡＴを用いて前記記憶部の記憶領域を管理するファイルシステムと、
前記分割領域毎に、上書き削除が必要か否かを示す削除管理情報が登録された管理テーブルと、
上書き削除要を示す削除管理情報に対応する前記分割領域を、順次、上書き削除し、上書き削除が完了した前記分割領域に対応する削除管理情報を上書き削除不要に変更する削除処理部と、
前記ファイルシステムに前記記憶部の使用を要求し、前記ファイルシステムから割り当てられた前記分割領域を使用してジョブを実行するジョブ実行部と、
前記ファイルシステムによって前記分割領域管理情報が使用中に変更された前記分割領域に対応する前記削除管理情報を上書き削除不要に変更し、前記分割領域を使用中から未使用にする解放要求を前記ファイルシステムが受けた場合に、該解放要求の指示する前記分割領域に対応する前記削除管理情報を上書き削除要に変更する管理テーブル更新部と、
を有し、
前記ファイルシステムは、前記解放要求を受けた場合に、前記解放要求が指示する全ての前記分割領域の前記削除管理情報が上書き削除不要に変更される前に、前記解放要求が指示する前記分割領域に対応する前記分割領域管理情報を未使用に変更する
ことを特徴とするジョブ実行装置。
【請求項２】
前記ジョブ実行部によりジョブが実行されているときは前記削除処理部による上書き削除を中断させる中断制御部をさらに有する
ことを特徴とする請求項１に記載のジョブ実行装置。
【請求項３】
前記管理テーブル更新部は、前記ファイルシステムが前記分割領域管理情報を変更した場合に、その変更内容を記憶しておき、中断中の前記上書き削除を再開する時に、該変更内容に基づいて、前記ファイルシステムによって前記分割領域管理情報が使用中に変更された前記分割領域に対応する前記削除管理情報を上書き削除不要に変更するとともに、前記ファイルシステムによって前記分割領域管理情報が使用中から未使用に変更された前記分割領域に対応する前記削除管理情報を上書き削除要に変更する
ことを特徴とする請求項２に記載のジョブ実行装置。
【請求項４】
前記中断制御部は、前記分割領域単位での前記上書き削除が完了する度に、前記ジョブ実行部によりジョブが実行されているか否かを判断し、
前記削除処理部は、一の分割領域を上書き削除する間、その分割領域に対応する分割領域管理情報を使用中にする
ことを特徴とする請求項２または２を引用する３に記載のジョブ実行装置。
【請求項５】
前記記憶部は、複数のパーティションに区切られており、
前記パーティションはそれぞれ優先順位が付与されており、
前記削除処理部は、前記優先順位の高いパーティション内の前記分割領域を優先して前記上書き削除を行う
ことを特徴とする請求項１乃至４のいずれか１つに記載のジョブ実行装置。
【請求項６】
前記パーティション毎に、自装置が利用可能な機能を対応付けしておき、前記機能を利用する場合には前記機能に対応付けされた前記パーティションを使用するとともに、該パーティションの利用頻度を記録しておき、
前記優先順位は、前記利用頻度に応じて決定される
ことを特徴とする請求項５に記載のジョブ実行装置。
【請求項７】
自装置を使用中のユーザを判別するユーザ判断部をさらに備え、
削除要を示す前記削除管理情報は、該削除管理情報に対応する分割領域に対してデータが書き込まれた際に自装置を使用していたユーザに対応する優先順位を含み、
前記削除処理部は、前記優先順位の高い前記削除管理情報に対応する分割領域を優先して前記上書き削除を行う
ことを特徴とする請求項１乃至４のいずれか１つに記載のジョブ実行装置。
【請求項８】
自装置の動作モードとして、通常モードと、前記通常モードよりセキュリティの高いセキュリティモードを有し、
前記削除処理部は、前記セキュリティモードの時に前記上書き削除を実行する
ことを特徴とする請求項１乃至７のいずれか１つに記載のジョブ実行装置。
【請求項９】
情報処理装置を、請求項１乃至８のいずれか１つに記載のジョブ実行装置として機能させるプログラム。
【請求項１０】
記憶部の記憶領域を複数の分割領域に分割し、該分割領域毎に、その使用中、未使用を示す分割領域管理情報が登録されたＦＡＴを用いてファイルシステムが前記記憶部の記憶領域を管理すると共に、前記ファイルシステムに前記記憶部の使用を要求し、前記ファイルシステムから割り当てられた前記分割領域を使用してジョブを実行するジョブ実行装置において、解放された前記分割領域に上書き削除を行うデータ削除方法であって、
前記分割領域毎に、上書き削除が必要か否かを示す削除管理情報が登録される管理テーブルを作成するステップと、
上書き削除要を示す前記削除管理情報に対応する前記分割領域を、順次、上書き削除し、上書き削除が完了した前記分割領域に対応する前記削除管理情報を上書き削除不要に変更する削除処理ステップと、
前記分割領域管理情報が使用中に変更された前記分割領域に対応する前記削除管理情報を上書き削除不要に変更し、前記分割領域を使用中から未使用にする解放要求を前記ファイルシステムが受けた場合に、該解放要求の指示する前記分割領域に対応する前記削除管理情報を上書き削除要に変更する管理テーブル更新ステップと、
前記ファイルシステムが、前記解放要求を受けた場合に、前記解放要求が指示する全ての前記分割領域の前記削除管理情報が上書き削除不要に変更される前に、前記解放要求が指示する前記分割領域に対応する前記分割領域管理情報を未使用に変更するステップと、
を有する
ことを特徴とするデータ削除方法。
【請求項１１】
ジョブが実行されているときは、前記削除処理ステップを中断させる
ことを特徴とする請求項１０に記載のデータ削除方法。
【請求項１２】
前記管理テーブル更新ステップでは、前記ファイルシステムが前記分割領域管理情報を変更した場合に、その変更内容を記憶しておき、中断中の前記上書き削除を再開する時に、該変更内容に基づいて、前記ファイルシステムによって前記分割領域管理情報が使用中に変更された前記分割領域に対応する前記削除管理情報を上書き削除不要に変更するとともに、前記ファイルシステムによって前記分割領域管理情報が使用中から未使用に変更された前記分割領域に対応する前記削除管理情報を上書き削除要に変更する
ことを特徴とする請求項１１に記載のデータ削除方法。
【請求項１３】
前記分割領域単位での前記上書き削除が完了する度に、ジョブが実行されているか否かを判断し、
前記削除処理ステップでは、一の分割領域を上書き削除する間、その分割領域に対応する分割領域管理情報を使用中にする
ことを特徴とする請求項１１または１１を引用する１２に記載のデータ削除方法。
【請求項１４】
前記記憶部の記憶領域に対して複数のパーティションを設定するパーティション設定ステップと、
前記パーティションごとに優先順位を付与する順位付けステップと、をさらに有し、
前記削除処理ステップでは、前記優先順位の高いパーティション内の前記分割領域を優先して前記上書き削除を行う
ことを特徴とする請求項１０乃至１３のいずれか１つに記載のデータ削除方法。
【請求項１５】
前記パーティション設定ステップでは、前記パーティション毎に、前記ジョブ実行装置が利用可能な機能を対応付けし、
前記ジョブ実行装置が任意の前記機能を実行する場合に、その機能に対応付けされた前記パーティションから前記分割領域を割り当てるステップと、
前記パーティションの利用頻度を記録する利用頻度記録ステップと、
をさらに有し、
前記順位付けステップでは、前記利用頻度に応じて前記優先順位を決定する
ことを特徴とする請求項１４に記載のデータ削除方法。
【請求項１６】
前記ジョブ実行装置を使用中のユーザを判別するユーザ判断ステップと、
分割領域に対してデータが書き込まれた際に前記ジョブ実行装置を使用していたユーザに対応する優先順位を、前記分割領域に対応する前記削除管理情報に登録するステップと、
をさらに有し、
前記削除処理ステップでは、前記優先順位の高い前記削除管理情報に対応する分割領域を優先して前記上書き削除を行う
ことを特徴とする請求項１０乃至１３のいずれか１つに記載のデータ削除方法。
【請求項１７】
前記ジョブ実行装置は動作モードとして、通常モードと、前記通常モード時よりセキュリティの高いセキュリティモードを有し、
前記削除処理ステップでは、前記セキュリティモードの時に前記上書き削除を実行する
ことを特徴とする請求項１０乃至１６のいずれか１つに記載のデータ削除方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、記憶領域内のデータを読み取り不能に削除することのできるジョブ実行装置、プログラム、データ削除方法に関する。
【背景技術】
【０００２】
オペレーティングシステムにおける、標準の削除コマンドによるデータの削除は、管理情報上で対象となるデータの情報を削除するのみであり、記憶媒体上のデータの実体（実データ）は消去していない。そのため、管理情報上では該データの情報が存在しなくなっても、記憶媒体にはその実データが残存しており、情報の機密性に問題が生じる。
【０００３】
そこで、前述の問題およびＩＳＯ（International Organization for Standardization）規格のデータ削除に対応すべく、管理情報上では存在しなくなったが、記憶媒体に残っている実データに対して、無意味なデータを上書きし、その実データを読み取り不能にすることが求められている。以後、この無意味なデータを上書きする処理を上書き削除と呼ぶ。
【０００４】
上書き削除を行う具体例としては、たとえば、特許文献１では、記憶部のクラスタごとに上書き削除が必要か否かを示す削除管理情報が登録された管理テーブルをＦＡＴ（File Allocation Table）と別に設け、上書き削除処理が、該管理テーブルを参照して、上書き削除の必要なクラスタに、順次、上書き削除を実行している（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−４２８０５号公報
【特許文献２】特開２００７−２４９０７１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、アプリケーションから標準の削除コマンドや削除オペレーションなどによる領域の解放要求を受けたときに、管理テーブル上で該解放要求の対象となるクラスタの削除管理情報を上書き削除要に更新するとともに、ＦＡＴ上でそのクラスタを未使用に更新する。そして、その後、管理テーブルを参照して上書き削除を実行すると以下の不具合が生じる。すなわち、ＦＡＴ上は未使用であって管理テーブル上は上書き削除要となっているクラスタに対して、上書き削除が実行される前にアプリケーションから新たなデータが書き込まれると、後に、その新たに書き込まれたデータに対して上書き削除が行われてしまうという問題がある。
【０００７】
この問題に対応する方法として、たとえば、解放要求を受けたとき、該解放要求に対応するすべてのクラスタの上書き削除が完了するまでアプリケーションの実行を禁止する方法が考えられる。しかし、この方法では、アプリケーションの円滑な実行を確保できない。
【０００８】
特許文献１では、アプリケーションの実行を確保し、かつ前述の問題は生じない。すなわち、特許文献１では、解放要求を受けたすべてのクラスタに対して、上書き削除処理による上書き削除が完了してからＦＡＴを未使用に更新している。これにより、上書き削除処理を中断させてアプリケーションが優先的に実行されるように構成しても、上書き削除対象のクラスタに対して、上書き削除が実行される前にアプリケーションから新たなデータが書き込まれることを防ぐことができ、前述の問題を解消している。
【０００９】
しかし、特許文献１では、上書き削除対象のクラスタは上書き削除が完了するまでの間、ＦＡＴ上は使用中になっているので、上書き削除が完了するまで、該上書き削除対象のクラスタに新たなデータを書き込むことができず、記憶媒体を保存リソースとして有効活用できない。
【００１０】
たとえば、利用頻度の高いＭＦＰ（Multifunction Peripheral）においては、ファイルの書き込みとその削除を行うコピージョブのようなジョブが頻繁に入ることがある。このとき、ジョブが上書き削除処理より優先的に実行されるので、上書き削除対象であって上書き削除が未実行のクラスタ（ＦＡＴ上は使用中になっているクラスタ）が次々と増えてしまい、これが保存リソースを圧迫し、新たなデータを書き込み可能な記憶領域（ＦＡＴ上で未使用のクラスタ）が不足する可能性がある。
【００１１】
図１６は、新たなデータを書き込み可能な記憶領域が不足する例を示している。初期設定の状態では使用可能な記憶領域が確保されている（Ｔ１）。次に、新たなデータの書き込みが行われ、記憶領域が使用されていく（Ｔ２）。その後、解放要求を受け、解放要求の対象となるクラスタが管理テーブルにて上書き削除要に変更される（Ｔ３）。Ｔ３では、解放要求の対象となるクラスタは、ＦＡＴ上では使用中のままである。
【００１２】
その後、上書き削除が開始されることなくＴ２とＴ３が繰り返し行われる。これにより、上書き削除対象であって上書き削除が未実行のクラスタ（ＦＡＴ上は使用中になっているクラスタ）が次々と増えていく。そして、新たなデータを書き込み可能な記憶領域（ＦＡＴが未使用のクラスタ）が無くなったら（Ｔ４）、該新たなデータの書き込みに係るジョブの実行が停止される（Ｔ５）。
【００１３】
なお、その後、上書き削除が開始され（Ｔ６）、前述のジョブの実行に必要な量だけ、使用可能な記憶領域が確保されたら（Ｔ７）、停止したジョブを再開する。このように、上書き削除対象であって上書き削除が未実行のクラスタが増え、ジョブの実行が不可能になると、上書き削除の実行が完了するまで、ジョブを停止しなければならない。
【００１４】
本発明は、上記の問題を解決しようとするものであり、記憶領域を有効に使用しつつも、記憶領域内の実データを読み取り不能に削除することのできるジョブ実行装置、プログラム、データ削除方法を提供することを目的としている。
【課題を解決するための手段】
【００１５】
かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
【００１６】
［１］記憶部と、
前記記憶部の記憶領域を複数の分割領域に分割し、該分割領域毎に、その使用中、未使用を示す分割領域管理情報が登録されたＦＡＴを用いて前記記憶部の記憶領域を管理するファイルシステムと、
前記分割領域毎に、上書き削除が必要か否かを示す削除管理情報が登録された管理テーブルと、
上書き削除要を示す削除管理情報に対応する前記分割領域を、順次、上書き削除し、上書き削除が完了した前記分割領域に対応する削除管理情報を上書き削除不要に変更する削除処理部と、
前記ファイルシステムに前記記憶部の使用を要求し、前記ファイルシステムから割り当てられた前記分割領域を使用してジョブを実行するジョブ実行部と、
前記ファイルシステムによって前記分割領域管理情報が使用中に変更された前記分割領域に対応する前記削除管理情報を上書き削除不要に変更し、前記分割領域を使用中から未使用にする解放要求を前記ファイルシステムが受けた場合に、該解放要求の指示する前記分割領域に対応する前記削除管理情報を上書き削除要に変更する管理テーブル更新部と、
を有し、
前記ファイルシステムは、前記解放要求を受けた場合に、前記解放要求が指示する全ての前記分割領域の前記削除管理情報が上書き削除不要に変更される前に、前記解放要求が指示する前記分割領域に対応する前記分割領域管理情報を未使用に変更する
ことを特徴とするジョブ実行装置。
【００１７】
上記［１］および下記［９］、［１０］に係る発明では、ファイルシステムによって分割領域管理情報が未使用から使用中に変更された分割領域に対応する削除管理情報を上書き削除不要に変更し、分割領域を使用中から未使用にする解放要求をファイルシステムが受けた場合に、該解放要求の指示する分割領域に対応する削除管理情報を上書き削除要に変更する。そして、解放要求が指示する全ての分割領域の削除管理情報が、上書き削除の実行によって上書き削除不要に変更されるよりも前に、該解放要求が指示する分割領域に対応する分割領域管理情報を未使用に更新する。これにより、解放要求が指示する全ての分割領域の上書き削除が完了する前に、それらの分割領域に対して新たなデータを書き込むことが可能になる。
【００１８】
また、ある分割領域の分割領域管理情報が使用中に変更されたら、その分割領域に対応する削除管理情報を上書き削除不要に変更するので、新たなデータが書き込まれた分割領域に対して上書き削除が行われることを防ぐことができる。なお、ジョブの実行中は上書き削除を中断してもよいし、ジョブと上書き削除を並行して実行してもよい。
【００１９】
［２］前記ジョブ実行部によりジョブが実行されているときは前記削除処理部による上書き削除を中断させる中断制御部をさらに有する
ことを特徴とする［１］に記載のジョブ実行装置。
【００２０】
上記［２］および下記［９］、［１１］に係る発明では、ジョブの実行中は上書き削除を中断する。これにより、ジョブの実行が、上書き削除によって阻害されない。
【００２１】
［３］前記管理テーブル更新部は、前記ファイルシステムが前記分割領域管理情報を変更した場合に、その変更内容を記憶しておき、中断中の前記上書き削除を再開する時に、該変更内容に基づいて、前記ファイルシステムによって前記分割領域管理情報が使用中に変更された前記分割領域に対応する前記削除管理情報を上書き削除不要に変更するとともに、前記ファイルシステムによって前記分割領域管理情報が使用中から未使用に変更された前記分割領域に対応する前記削除管理情報を上書き削除要に変更する
ことを特徴とする［２］に記載のジョブ実行装置。
【００２２】
上記［３］および下記［９］、［１２］に係る発明では、上書き削除の中断中における分割領域管理情報の変更内容を記憶しておき、上書き削除を再開する時に、中断中の変更内容を管理テーブルに反映する。具体的には、ファイルシステムによって分割領域管理情報が使用中に変更された分割領域に対応する削除管理情報を上書き削除不要に変更するとともに、ファイルシステムによって分割領域管理情報が使用中から未使用に変更された分割領域に対応する削除管理情報を上書き削除要に変更する。これにより、再開後は、中断中の変化が反映された管理テーブルに基づいて上書き削除が実行される。たとえば、上書き削除の中断中に新たなデータが書き込まれた分割領域に対する上書き削除の実行を防ぐことができる。
【００２３】
［４］前記中断制御部は、前記分割領域単位での前記上書き削除が完了する度に、前記ジョブ実行部によりジョブが実行されているか否かを判断し、
前記削除処理部は、一の分割領域を上書き削除する間、その分割領域に対応する分割領域管理情報を使用中にする
ことを特徴とする［２］または［２］を引用する［３］に記載のジョブ実行装置。
【００２４】
上記［４］および下記［９］、［１３］に係る発明では、分割領域単位での上書き削除が完了する度に、ジョブが実行されているか否かを判断するので、ある分割領域の上書き削除の途中でジョブの動作を開始することがある。このとき、上書き削除中の分割領域にジョブが新たなデータを書き込むと、このデータが上書き削除されるおそれがある。そこで、ある分割領域を上書き削除する間、その分割領域に対応する分割領域管理情報を一時的に使用中に変更し、ジョブがその分割領域に新たなデータを書き込むことを防ぐ。
【００２５】
［５］前記記憶部は、複数のパーティションに区切られており、
前記パーティションはそれぞれ優先順位が付与されており、
前記削除処理部は、前記優先順位の高いパーティション内の前記分割領域を優先して前記上書き削除を行う
ことを特徴とする［１］乃至［４］のいずれか１つに記載のジョブ実行装置。
【００２６】
上記［５］および下記［９］、［１４］に係る発明では、記憶部は、複数のパーティションに区切られており、付与された優先順位の高いパーティション内の分割領域を優先して上書き削除を行う。優先順位の高いパーティションに残った実データは、他のパーティションに残った実データに比べて、外部から読み取られる可能性が低くなる。
【００２７】
［６］前記パーティション毎に、自装置が利用可能な機能を対応付けしておき、前記機能を利用する場合には前記機能に対応付けされた前記パーティションを使用するとともに、該パーティションの利用頻度を記録しておき、
前記優先順位は、前記利用頻度に応じて決定される
ことを特徴とする［５］に記載のジョブ実行装置。
【００２８】
上記［６］および下記［９］、［１５］に係る発明では、各パーティションの利用頻度に応じて、優先順位を決定する。たとえば、頻繁に使用される機能に対応するパーティションは、データの上書きが頻繁に行われるので、他のパーティションより優先順位を低くしてもよい。
【００２９】
［７］自装置を使用中のユーザを判別するユーザ判断部をさらに備え、
削除要を示す前記削除管理情報は、該削除管理情報に対応する分割領域に対してデータが書き込まれた際に自装置を使用していたユーザに対応する優先順位を含み、
前記削除処理部は、前記優先順位の高い前記削除管理情報に対応する分割領域を優先して前記上書き削除を行う
ことを特徴とする［１］乃至［４］のいずれか１つに記載のジョブ実行装置。
【００３０】
上記［７］および下記［９］、［１６］に係る発明では、自装置を使用中のユーザを判別し、データが書き込まれた際に自装置を使用していたユーザに応じて、該データの削除管理情報に優先順位を付与する。そして、優先順位の高い削除管理情報の分割領域を優先して上書き削除を行う。よって、重要なデータを扱うユーザに対応する優先順位を、他のユーザより高くしておけば、そのユーザの操作で書き込まれたデータは、実データとして残った場合に、他の実データに比べて外部から読み取られる可能性が低くなる。
【００３１】
［８］自装置の動作モードとして、通常モードと、前記通常モードよりセキュリティの高いセキュリティモードを有し、
前記削除処理部は、前記セキュリティモードの時に前記上書き削除を実行する
ことを特徴とする［１］乃至［７］のいずれか１つに記載のジョブ実行装置。
【００３２】
上記［８］および下記［９］、［１７］に係る発明では、上書き削除を行うか否かを切り替えることができる。たとえば、セキュリティモード時のみ管理テーブルを作成し、通常モード時は管理テーブルを削除するようにすれば、通常モード時は上書き削除が実行できなくなる。
【００３３】
［９］情報処理装置を、［１］乃至［８］のいずれか１つに記載のジョブ実行装置として機能させるプログラム。
【００３４】
［１０］記憶部の記憶領域を複数の分割領域に分割し、該分割領域毎に、その使用中、未使用を示す分割領域管理情報が登録されたＦＡＴを用いてファイルシステムが前記記憶部の記憶領域を管理すると共に、前記ファイルシステムに前記記憶部の使用を要求し、前記ファイルシステムから割り当てられた前記分割領域を使用してジョブを実行するジョブ実行装置において、解放された前記分割領域に上書き削除を行うデータ削除方法であって、
前記分割領域毎に、上書き削除が必要か否かを示す削除管理情報が登録される管理テーブルを作成するステップと、
上書き削除要を示す前記削除管理情報に対応する前記分割領域を、順次、上書き削除し、上書き削除が完了した前記分割領域に対応する前記削除管理情報を上書き削除不要に変更する削除処理ステップと、
前記分割領域管理情報が使用中に変更された前記分割領域に対応する前記削除管理情報を上書き削除不要に変更し、前記分割領域を使用中から未使用にする解放要求を前記ファイルシステムが受けた場合に、該解放要求の指示する前記分割領域に対応する前記削除管理情報を上書き削除要に変更する管理テーブル更新ステップと、
前記ファイルシステムが、前記解放要求を受けた場合に、前記解放要求が指示する全ての前記分割領域の前記削除管理情報が上書き削除不要に変更される前に、前記解放要求が指示する前記分割領域に対応する前記分割領域管理情報を未使用に変更するステップと、
を有する
ことを特徴とするデータ削除方法。
【００３５】
［１１］ジョブが実行されているときは、前記削除処理ステップを中断させる
ことを特徴とする［１０］に記載のデータ削除方法。
【００３６】
［１２］前記管理テーブル更新ステップでは、前記ファイルシステムが前記分割領域管理情報を変更した場合に、その変更内容を記憶しておき、中断中の前記上書き削除を再開する時に、該変更内容に基づいて、前記ファイルシステムによって前記分割領域管理情報が使用中に変更された前記分割領域に対応する前記削除管理情報を上書き削除不要に変更するとともに、前記ファイルシステムによって前記分割領域管理情報が使用中から未使用に変更された前記分割領域に対応する前記削除管理情報を上書き削除要に変更する
ことを特徴とする［１１］に記載のデータ削除方法。
【００３７】
［１３］前記分割領域単位での前記上書き削除が完了する度に、ジョブが実行されているか否かを判断し、
前記削除処理ステップでは、一の分割領域を上書き削除する間、その分割領域に対応する分割領域管理情報を使用中にする
ことを特徴とする［１１］または［１１］を引用する［１２］に記載のデータ削除方法。
【００３８】
［１４］前記記憶部の記憶領域に対して複数のパーティションを設定するパーティション設定ステップと、
前記パーティションごとに優先順位を付与する順位付けステップと、をさらに有し、
前記削除処理ステップでは、前記優先順位の高いパーティション内の前記分割領域を優先して前記上書き削除を行う
ことを特徴とする［１０］乃至［１３］のいずれか１つに記載のデータ削除方法。
【００３９】
［１５］前記パーティション設定ステップでは、前記パーティション毎に、前記ジョブ実行装置が利用可能な機能を対応付けし、
前記ジョブ実行装置が任意の前記機能を実行する場合に、その機能に対応付けされた前記パーティションから前記分割領域を割り当てるステップと、
前記パーティションの利用頻度を記録する利用頻度記録ステップと、
をさらに有し、
前記順位付けステップでは、前記利用頻度に応じて前記優先順位を決定する
ことを特徴とする［１４］に記載のデータ削除方法。
【００４０】
［１６］前記ジョブ実行装置を使用中のユーザを判別するユーザ判断ステップと、
分割領域に対してデータが書き込まれた際に前記ジョブ実行装置を使用していたユーザに対応する優先順位を、前記分割領域に対応する前記削除管理情報に登録するステップと、
をさらに有し、
前記削除処理ステップでは、前記優先順位の高い前記削除管理情報に対応する分割領域を優先して前記上書き削除を行う
ことを特徴とする［１０］乃至［１３］のいずれか１つに記載のデータ削除方法。
【００４１】
［１７］前記ジョブ実行装置は動作モードとして、通常モードと、前記通常モード時よりセキュリティの高いセキュリティモードを有し、
前記削除処理ステップでは、前記セキュリティモードの時に前記上書き削除を実行する
ことを特徴とする［１０］乃至［１６］のいずれか１つに記載のデータ削除方法。
【発明の効果】
【００４２】
本発明に係るジョブ実行装置、およびそのプログラム、データ削除方法によれば、記憶領域を有効に使用しつつも、記憶領域内の実データを読み取り不能にすることができる。
【図面の簡単な説明】
【００４３】
【図１】本発明の実施の形態に係る画像形成装置を示す説明図である。
【図２】本発明の実施の形態に係る画像形成装置の概略構成を示すブロック図である。
【図３】ＦＡＴと管理テーブルの例を示す図である。
【図４】画像形成装置が動作する場合において、あるクラスタの分割領域管理情報および削除管理情報が更新される様子を示す図である。
【図５】画像形成装置１０が行う処理を示す流れ図である。
【図６】上書き削除の中断時と再開時におけるＦＡＴの例を示す図である。
【図７】上書き削除の再開時における分割領域管理情報に対応する削除管理情報を示す図である。
【図８】上書き削除の再開時に、変更後のＦＡＴに応じて管理テーブルを更新する様子を示す図である。
【図９】管理テーブルの更新処理を示す流れ図である。
【図１０】上書き削除を再開する場合の、開始箇所をマーキングする例を示す図である。
【図１１】第２の実施の形態において画像形成装置１０が行う処理を示す流れ図である。
【図１２】第２の実施の形態において画像形成装置１０が行う処理の他の例を示す流れ図である。
【図１３】ファイル内の画像部分と文書部分の上書き削除が行われる場合の順番を示す図である。
【図１４】クラスタごとに優先削除マークを付与した場合の管理テーブルの例を示す図である。
【図１５】管理テーブルの作成を行うか否かを決定する処理を示す流れ図である。
【図１６】上書き削除を行う予定のデータが増えていくことで保存リソースを圧迫する様子を示す図である。
【発明を実施するための形態】
【００４４】
以下、図面に基づき本発明の実施の形態を説明する。
【００４５】
＜第１の実施の形態＞
図１は、本発明に係るジョブ実行装置としての機能を果たす画像形成装置１０を示す。
【００４６】
画像形成装置１０は、原稿を光学的に読み取ってその複製画像を記録紙に印刷するコピージョブ、読み取った原稿の画像データをファイルにして保存したり外部の装置へ送信したりするスキャンジョブ、ＰＣから送出されたデータに係る画像を記録紙に印刷して出力するプリントジョブ（印刷ジョブ）などのジョブを実行する機能を備えた、所謂、複合機である。
【００４７】
画像形成装置１０は、後述するハードディスク装置１５（図２参照）にて、不要になったデータが格納されている記憶領域に「０」などの無意味なデータを上書きする上書き削除を実行する。
【００４８】
ハードディスク装置１５の記憶領域は、多数の小さな分割領域（以後、クラスタとする）に分けて管理される。各分割領域が使用中か否かはＦＡＴを用いて管理される。ＦＡＴには、各分割領域が使用中であるか未使用であるかを示す分割領域管理情報が登録される。ファイルシステムは、このＦＡＴを使って、ジョブを実行するタスクに対して未使用の分割領域を割り当てたり、割り当てた分割領域を解放したりする。
【００４９】
図２は、本発明の実施の形態に係る画像形成装置１０の概略構成を示すブロック図である。画像形成装置１０は、当該画像形成装置１０の動作を統括的に制御するＣＰＵ(Central Processing Unit)１１を有している。ＣＰＵ１１にはバスを通じてＲＯＭ(Read Only Memory)１２と、ＲＡＭ(Random Access Memory)１３と、不揮発メモリ１４と、ハードディスク装置１５と、画像処理部１６と、スキャナ部１７と、プリンタ部１８と、ファクシミリ通信部１９と、ネットワーク通信部２０と、ＡＤＦ（Auto Document Feeder）２１と、認証部２２と、操作パネル３０とを備えている。
【００５０】
ＣＰＵ１１は、ＯＳ（Operating System）プログラムをベースとし、その上で、ミドルウェアやアプリケーションプログラムなどを実行する。また、ＣＰＵ１１は、操作パネル３０の表示内容の制御を行う制御部としての機能を果たす。
【００５１】
ＲＯＭ１２には、各種のプログラムが格納されており、これらのプログラムに従ってＣＰＵ１１が各種処理を実行することで画像形成装置１０の各機能が実現される。また、ＲＯＭ１２には、画像形成装置１０の一連の制御をＣＰＵ１１が実行するためのプログラムが格納されている。
【００５２】
ＲＡＭ１３は、ＣＰＵ１１がプログラムに基づいて処理を実行する際に各種のデータを一時的に格納するワークメモリや画像データを格納する画像メモリなどとして使用される。
【００５３】
不揮発メモリ１４は、電源をオフにしても記憶内容が破壊されないメモリ（フラッシュメモリ）であり、各種設定情報の保存などに使用される。
【００５４】
ハードディスク装置１５は、大容量の不揮発の記憶装置であり、ＯＳプログラムや各種アプリケーションプログラム、ユーザ情報、印刷データや画像データ、ジョブ履歴などが保存される。
【００５５】
本発明の実施の形態では、ハードディスク装置１５には、ＦＡＴの更新を行うファイルシステム３５と、上書き削除を行う場合に参照されるテーブルである管理テーブル３６と、管理テーブル３６を更新するためのプログラムである管理テーブル制御プログラム３７と、上書き削除を実行する為のプログラムである上書き削除実行プログラム３８が格納されている。
【００５６】
画像処理部１６は、画像の拡大縮小、回転などの処理のほか、印刷データをイメージデータに変換するラスタライズ処理、画像データの圧縮、伸張処理などを行う。
【００５７】
スキャナ部１７は、原稿を光学的に読み取って画像データを取得する機能を果たす。スキャナ部１７は、例えば、原稿に光を照射する光源と、その反射光を受けて原稿を幅方向に１ライン分読み取るラインイメージセンサと、ライン単位の読取位置を原稿の長さ方向に順次移動させる移動ユニットと、原稿からの反射光をラインイメージセンサに導いて結像させるレンズやミラーなどからなる光学経路と、ラインイメージセンサの出力するアナログ画像信号をデジタルの画像データに変換する変換部などを備えて構成される。
【００５８】
プリンタ部１８は、画像データに応じた画像を記録紙上に画像形成する機能を果たす。ここでは、記録紙の搬送装置と、感光体ドラムと、帯電装置と、レーザーユニットと、現像装置と、転写分離装置と、クリーニング装置と、定着装置とを有し、電子写真プロセスによって画像形成を行う、所謂、レーザープリンタとして構成されている。画像形成は他の方式でもかまわない。
【００５９】
ファクシミリ通信部１９は、ファクシミリ機能を備えた外部の装置と公衆回線を通じて画像データを送受信する機能を果たす。
【００６０】
ネットワーク通信部２０は、ＬＡＮなどのネットワークを通じて外部の装置との間でデータを通信する機能を果たす。
【００６１】
ＡＤＦ２１は、画像を読み取る際に、複数枚の原稿を連続してスキャナ部１７の原稿台に送る自動原稿搬送装置としての機能を果たす。一度に３０枚程度の原稿をセットすることが可能で、原稿を読み取るごとに原稿台にセットし直す手間を省略することができる。
【００６２】
認証部２２は、ユーザ認証を行う機能を果たす。具体的には、ユーザのログイン時にユーザ認証を行い、ログインユーザを特定する。本実施の形態では、画像形成装置１０を利用するにはログインを必要とし、利用前にユーザ認証が必ず行われるものとする。なお、ユーザ認証の方法は、ユーザＩＤ（Identification）とパスワードによる認証や指紋認証等、適当な方法であればよい。
【００６３】
操作パネル３０は、表示部３１と、操作部３２とを備えている。操作部３２は、スタートボタンや戻る釦などのスイッチ部３３とタッチパネル部３４とを備えている。表示部３１は、液晶ディスプレイ（ＬＣＤ…Liquid Crystal Display）などで構成され、各種の操作画面、設定画面などを表示する機能を果たす。本実施の形態では、操作パネル３０が表示する表示内容の制御、操作パネル３０による操作の受け付けに関する制御はＣＰＵ１１が行う。
【００６４】
タッチパネル部３４は、表示部３１上に設けられている。タッチパネル部３４は、タッチペンや指などで押下された表示部３１上のタッチ位置（座標位置）を検出する。ＣＰＵ１１は、継続的に検出されるタッチ位置の変化（操作情報）から、フリック操作やドラッグ操作などを認識する。
【００６５】
画像形成装置１０は、あるジョブが入力された場合、そのジョブを複数のタスクに分解し、それらを実行する。タスクには、たとえば、ファイルシステム３５を使用してハードディスク装置１５へのデータの読み書きを行うタスクや、印刷を実行するタスク、スキャンを実行するタスク、保存期限が決められているデータに対して保存期限が経過したか否かを監視し、経過した場合に該データを解放するようファイルシステム３５に指示するタスクなどがある。
【００６６】
本発明の第１の実施の形態では、上書き削除は、他のタスクに比べて優先度が低いものとする。上書き削除の実行中に、他のタスクが発生した場合は、上書き削除を中断し、該タスクの完了後に、上書き削除を再開する。
【００６７】
図３は、ＦＡＴと上書き削除時に参照される管理テーブル３６を示す。図３の表１００はＦＡＴの例を、表１０１は管理テーブル３６の例を示す。表１００と表１０１における各マスは１つのクラスタに対応しており、表１００と表１０１において同位置のマスは同じクラスタに対応している。表１００の各マスには、対応するクラスタが使用中か未使用かを示す分割領域管理情報が登録されている。図では、使用中は「１」、未使用は「０」で示す。表１０１の各マスには、上書き削除の要・不要を示す削除管理情報が表示されている。図では、削除要は「Ｍ」、削除不要は「Ｎ」で示す。
【００６８】
ファイルシステム３５は、ジョブを実行するタスク等から新たなデータの書き込み要求を受けた場合に、表１００をサーチし、分割領域管理情報が未使用を示すクラスタをデータの書き込み先に割り当て、そのクラスタの分割領域管理情報を未使用「０」から使用中「１」に変更する。
【００６９】
また、ファイルシステム３５は、ジョブを実行するタスク等から、割り当て済みのクラスタの解放要求を受けたとき、該解放要求が示すクラスタに対応する分割領域管理情報を使用中「１」から未使用「０」に変更する。なお、ここでは、ファイル単位に解放要求を受けるものとし、解放要求が示すファイルの格納に使用されたすべてのクラスタを一度に解放するものとする。
【００７０】
管理テーブル３６（図３では表１０１）の更新は、管理テーブル制御プログラム３７（図２参照）によって行われる。表１０１では、ファイルシステム３５によって分割領域管理情報が未使用「０」から使用中「１」に変更されたクラスタに対応する削除管理情報を、管理テーブル制御プログラム３７が上書き削除不要「Ｎ」に変更する。また、ファイルシステム３５が一のファイルに対する解放要求を受けた場合、該ファイルの格納に使用されたクラスタに対応する削除管理情報を、管理テーブル制御プログラム３７が、上書き削除要「Ｍ」に変更する。
【００７１】
上書き削除は、上書き削除実行プログラム３８（図２参照）が実行する。上書き削除実行プログラム３８は、管理テーブル３６（図３では表１０１）をサーチし、値が削除要（図中ではＭ）の削除管理情報に対応するクラスタに対して順次上書き処理を行い、該上書き処理が完了したクラスタに対応する削除管理情報を上書き削除不要「Ｎ」に変更する。
【００７２】
したがって、図３に示すように、あるクラスタの分割領域管理情報が未使用「０」であっても、そのクラスタに対応する削除管理情報は削除要「Ｍ」の場合と、削除不要「Ｎ」の場合がある。
【００７３】
このように、本発明の画像形成装置１０は、ＦＡＴと管理テーブル３６の２つの表を使用して、各クラスタが使用中か否か、および上書き削除が必要か否かを管理している。
【００７４】
仮に、ＦＡＴのみを参照し、分割領域管理情報が未使用のクラスタに上書き削除を行う構成の場合、上書き削除が完了した後であっても、上書き削除が不要になったことをＦＡＴから認識できないので、さらに上書き削除を繰り返すような動作になってしまう。
【００７５】
画像形成装置１０では、ＦＡＴのみではなく、管理テーブル３６を併用するので、各クラスタへの上書き削除が完了しているか否かを認識して、必要以上に上書き削除を繰り返すことが防止される。
【００７６】
ところで、管理テーブル３６を使用しても、ファイルの解放要求を受けた場合に、該解放要求で指示された全てのクラスタに対する上書き削除が完了してから、ＦＡＴの分割領域管理情報を使用中から未使用に変更する構成では、優先度の低い上書き削除処理の実行が滞ると、利用可能なクラスタが次第に少なくなってしまう。
【００７７】
そこで、画像形成装置１０では、ジョブを実行するタスク等から一のファイルの解放要求をファイルシステム３５が受けたとき、そのファイルの格納に使用されていたクラスタを、上書き削除が必要なクラスタとして管理テーブル３６に登録すると共に、該クラスタに対応する分割領域管理情報をＦＡＴ上で使用中から未使用に変更する。これにより、上書き削除が滞った場合でも、ジョブを実行するタスク等が利用可能なクラスタを確保することができる。
【００７８】
ただし、上記の上書き削除の完了前にＦＡＴを未使用に書き換えると、値が削除要（図中ではＭ）の削除管理情報に対応するクラスタに対して、上書き削除が行われるよりも先に、ジョブを実行するタスク等によって新たなデータが書き込まれることがある。この場合に、このクラスタに係る削除管理情報が「削除要」のまま放置されると、該クラスタに対して上書き削除が実行されてしまう問題が生じる。
【００７９】
よって、削除要のクラスタに対して、上書き削除が行われる前に新たなデータが書き込まれた場合は、そのクラスタに対する上書き削除が行われる前に、そのクラスタに係る削除管理情報を「削除不要」に更新する必要がある。
【００８０】
第１の実施の形態では、ジョブを実行するタスクのように記憶領域にデータを書き込むタスク（以後、他のタスクとする）が稼働している間は、上書き削除を中断し、該他のタスクが完了してから上書き削除を再開する。そして、上書き削除の再開時に、上書き削除の中断中にＦＡＴに生じた変化を管理テーブル３６に反映させることで前述の問題に対応している。
【００８１】
ジョブ（他のタスク）の実行中に上書き削除が中断・再開する場合の一例を図４に示す。図４は、第１の実施の形態にて画像形成装置１０が動作する場合において、ある特定のクラスタ（クラスタＡとする）の分割領域管理情報および削除管理情報が更新される様子の一例を示す。まず、初期設定時は、クラスタＡに何もデータが格納されていない状態なので、ＦＡＴ上の分割領域管理情報は未使用（０）を、管理テーブル３６上の削除管理情報は上書き削除不要（Ｎ）を示す（Ｓ１）。
【００８２】
次に、たとえば、コピージョブを実行することによって、ハードディスク装置１５に、スキャナ部１７が読み取って得た画像データ（新たなデータ）の書き込みが行われる。ここで、クラスタＡにその画像データが書き込まれた場合、分割領域管理情報は未使用（０）から使用中（１）に変更される。削除管理情報は上書き削除不要（Ｎ）のままである（Ｓ２）。
【００８３】
コピージョブのタスクから、不要になった前述の画像データをハードディスク装置１５から削除する解放要求を、ファイルシステム３５が受けたら、該画像データが格納されているクラスタ（クラスタＡを含む）に対応する分割領域管理情報は使用中（１）から未使用（０）に変更される。第１の実施の形態では、上書き削除の開始時、および再開時に管理テーブル３６を更新するので、削除管理情報は上書き削除不要（Ｎ）のままである。
【００８４】
コピージョブが終了して他のタスクが無くなったら、上書き削除を開始する（Ｓ４）。上書き削除を開始する前には、管理テーブル３６が更新され、削除管理情報は上書き削除要（Ｍ）に変更される。図４では、クラスタＡへの上書き削除が実行されるよりも前に、次のコピージョブが投入されている。コピージョブが投入されたら、コピージョブの実行が優先され、上書き削除を中断する（Ｓ５）。
【００８５】
Ｓ２と同じように、コピージョブの実行により、クラスタＡに新たなデータが上書きされ、クラスタＡに対応する分割領域管理情報は使用中（１）に再び変更される（Ｓ５）。上書き削除は中断中なので、管理テーブル３６は更新されず、削除管理情報は上書き削除不要（Ｍ）のままである。
【００８６】
Ｓ３と同じように、コピージョブのタスクから、不要になった前述の画像データをハードディスク装置１５から削除する解放要求を、ファイルシステム３５が受けたら、該画像データが格納されているクラスタ（クラスタＡを含む）に対応する分割領域管理情報は使用中（１）から未使用（０）に変更される（Ｓ６）。
【００８７】
その後、コピージョブが全て完了したら、上書き削除を再開する（Ｓ７）。画像形成装置１０は、上書き削除を再開する前に、管理テーブル３６を更新する。図４では、不要になった画像データが格納されているので、クラスタＡに対応する削除管理情報を削除要（Ｍ）に更新する（Ｓ４にて削除要（Ｍ）に変更されているので、実際はそのままとなる）。
【００８８】
その後、クラスタＡに対する上書き削除が完了したら、クラスタＡに対応する削除管理情報を削除不要（Ｎ）に変更している（Ｓ８）。
【００８９】
図５は、画像形成装置１０が上書き削除を行う場合の処理を示す。まず、上書き削除を行う前に、管理テーブル３６の更新処理を行う（ステップＳ１０１）。
【００９０】
その後、更新後の管理テーブル３６において、値が削除要の削除管理情報が登録されている一のクラスタに対して上書き削除を実行する（ステップＳ１０２）。該一のクラスタに対する上書き削除が完了したら、そのクラスタに対応する削除管理情報を削除不要（Ｎ）に変更する（ステップＳ１０３）。
【００９１】
管理テーブル３６から、値が削除要（Ｍ）を示す削除管理情報が無くなるまでは（ステップＳ１０４；Ｎｏ）、実行中の他のタスクがあるか否か（ジョブが実行中か否か）を調べ（ステップＳ１０５）、実行中の他のタスクがある場合（ジョブが実行中の場合）は（ステップＳ１０５；Ｙｅｓ）、上書き削除を中断する（ステップＳ１０６）。その後、他のタスクの実行が終了したら（ステップＳ１０７）、中断から復帰し、ステップＳ１０１に戻って処理を継続する。すなわち、中断から復帰して処理を再開する際に、管理テーブル３６の更新を行い、更新後の管理テーブル３６に従って上書き削除処理を実行する。
【００９２】
他のタスクが無ければ（ステップＳ１０５；Ｎｏ）、ステップＳ１０２に戻って、次のクラスタに対して上書き削除処理を実行する。管理テーブル３６から値が削除要の削除管理情報が無くなったら（ステップＳ１０４；Ｙｅｓ）、本処理を終了する。
【００９３】
第１の実施の形態では、上書き削除の開始時、および上書き削除の再開時に、管理テーブル３６の更新処理（ステップＳ１０１）を行う。具体的には、上書き削除を中断している間にファイルシステム３５がＦＡＴ上の分割領域管理情報を変更した箇所を記憶しておき、更新処理ではその変更箇所の分割領域管理情報に応じて管理テーブル３６を更新する。該更新処理を行う場合のＦＡＴと管理テーブル３６の変化を図６〜図８を参照しつつ説明する。なお、図６〜８では、上書き削除を中断、再開する場合を例に説明する。
【００９４】
図６は、上書き削除の中断時、および再開時における表１００を示す。ファイルシステム３５は、上書き削除の中断中にＦＡＴ上にて変更があったクラスタを記憶する。具体的には、ＦＡＴ上にて分割領域管理情報が使用中（１）から未使用（０）になったクラスタ、および未使用（０）から使用中（１）になったクラスタ（図中斜線を施したマス）を記憶しておく。
【００９５】
なお、上書き削除の中断開始時と再開時にて、分割領域管理情報が同一のものであっても、その期間中に分割領域管理情報に変更があった場合は、その変更があったクラスタを記憶する。たとえば、上書き削除の中断中に、分割領域管理情報が未使用（０）から使用中（１）に更新された後、再び未使用（０）に更新された場合、そのクラスタを記憶する。
【００９６】
上書き削除の再開時は、管理テーブル３６にて、前述の変更があったクラスタに対応する削除管理情報を更新する。変更があったクラスタに対応する削除管理情報のみを更新するので、管理テーブル３６の全体を更新する場合に比べて少ない時間で更新処理を終了することができる。
【００９７】
図７は、上書き削除の中断中に分割領域管理情報に変更があったクラスタに対応する削除管理情報をどのように更新するかを示す表１０２である。更新後の削除管理情報の値は、再開時（更新時）における分割領域管理情報の値と削除管理情報の値の組み合わせに応じて定まる。表１０２によると、中断中に分割領域管理情報に変更があったクラスタのうち、管理テーブル３６の更新時に分割領域管理情報が使用中（１）で削除管理情報が削除不要（Ｎ）ならば、そのまま削除不要とする。分割領域管理情報が使用中（１）で削除管理情報が削除要（Ｍ）ならば、削除不要に更新する。管理テーブル３６の更新時に、分割領域管理情報が未使用（０）で削除管理情報が削除不要（Ｎ）ならば、削除要（Ｍ）に更新し、分割領域管理情報が未使用（０）で削除管理情報が削除要（Ｍ）ならば、そのまま削除要（Ｍ）とする。
【００９８】
図８は、上書き削除の再開時に図７の表１０２に従って、管理テーブル３６（表１０１）を更新する様子の一例を示す。図８では、表１００と表１０１において、上書き削除の中断中に分割領域管理情報に変更があったクラスタを示すマスは斜線で塗りつぶしてある。
【００９９】
まず、前述の変更があったクラスタ（斜線で塗りつぶされたマス）の分割管理情報が未使用（０）の場合は、該クラスタに対応する削除管理情報が削除要（Ｍ）になるように、削除管理情報を更新する。
【０１００】
前述の変更があったクラスタ（斜線で塗りつぶされたマス）の分割管理情報が使用中（１）の場合は、該クラスタに対応する削除管理情報が削除不要（Ｎ）になるように、削除管理情報を更新する。
【０１０１】
図９は、管理テーブル３６の更新処理（図５のステップＳ１０１）の詳細を示す。まず、上書き削除処理の中断中に（前回の更新処理の後に）、ＦＡＴ上の分割領域管理情報が変更されたクラスタがあるか否かを調べる（ステップＳ２０１）。分割領域管理情報が変更されたクラスタが無ければ（ステップＳ２０１；Ｎｏ）、本処理を終了する。
【０１０２】
分割領域管理情報が変更されたクラスタがある場合は（ステップＳ２０１；Ｙｅｓ）、変更のあるクラスタの中の１つを選択し、該クラスタの分割領域管理情報を参照する（ステップＳ２０２）。
【０１０３】
選択されたクラスタの分割領域管理情報が未使用（０）を示す場合は（ステップＳ２０３；Ｙｅｓ）、管理テーブル３６にて該クラスタに対応する削除管理情報を削除要（Ｍ）に更新し（ステップＳ２０４）、ステップＳ２０６に進む。該クラスタの分割領域管理情報が使用中（１）を示す場合は（ステップＳ２０３；Ｎｏ）、該クラスタに対応する削除管理情報を削除不要（Ｎ）に更新し（ステップＳ２０５）、ステップＳ２０６に進む。
【０１０４】
変更があった全てのクラスタの削除管理情報が更新されるまでは（ステップＳ２０６；Ｎｏ）、ステップＳ２０２に戻って処理を継続する。変更があった全てのクラスタの削除管理情報が更新されたら（ステップＳ２０６；Ｙｅｓ）、本処理を終了する。
【０１０５】
なお、第１の実施の形態では、図５のステップＳ１０２〜ステップＳ１０５のように、上書き削除を中断するか否かを、クラスタ単位の上書き処理が完了するごとに判断する。そのため、他のタスクがあることを認識して上書き削除を中断したときには、既に他のタスクが稼働を開始しており、他のタスクと上書き削除処理が並列に動く期間が生じる。この並列動作する期間に、同一のクラスタに対して上書き削除と、新たなデータの書き込みが行われる場合があり、新たなデータが上書き削除にて削除されるおそれがある。そこで、画像形成装置１０は、上書き削除を実行中のクラスタはＦＡＴ上にて分割領域管理情報を使用中（１）にしておくことでこれを防ぐ。
【０１０６】
具体的には、図５のステップＳ１０２において、上書き削除対象の一のクラスタに対応する分割領域管理情報を使用中に変更し、そのクラスタに対する上書き削除処理を実行する。そして、該クラスタに対する上書き削除処理が完了したら、該クラスタに対応する分割領域管理情報を未使用に戻す。
【０１０７】
このように、一のクラスタに対する上書き削除の実行中は、そのクラスタに対応する分割領域管理情報を一時的に使用中に設定するので、該クラスタを上書き削除している間に他のタスクがこのクラスタに新たなデータを書き込むことが防止される。
【０１０８】
次に、上書き削除の再開時に、初めに上書き削除を行うクラスタについて図１０を参照して説明する。図１０は、上書き削除の中断時と再開時の管理テーブル３６の一例（表１０１）を示す。
【０１０９】
通常、クラスタには番号が付してあり、画像形成装置１０は、その番号に従って順番に上書き削除を行う。図中では、表１０１の左上から右方向へ進み、右端に達すると１マス下方に下がって左端から右方向へ進む、という順序で上書き削除を行う。
【０１１０】
画像形成装置１０は、上書き削除を中断する場合に、中断する直前に上書き削除が完了したクラスタの番号を記憶しておく。図中では、番号を記憶するクラスタ（マス）にマークＣを付している。
【０１１１】
そして、上書き削除を再開する場合は、前述の順番（順序）において、番号を記憶したクラスタの後方であってかつ、該クラスタに最も近い削除要（Ｍ）のクラスタから上書き削除処理を再開する。図中では、上書き削除の再開時に、マークＣが付与されたクラスタの後方のクラスタであって点線で囲まれた部分は削除不要（Ｎ）に更新されているので、その部分を飛ばして、上書き削除を再開している。
【０１１２】
このように、第１の実施の形態に係る画像形成装置１０では、ファイルシステム３５が、あるファイルの解放要求を受けたら、直ぐに該ファイルが格納されているクラスタの分割領域管理情報を未使用（０）に変更するので、ジョブの実行が優先されて上書き削除の実行が滞っても、使用可能な保存領域が確保される。また、新たなデータの書き込まれたクラスタに対して上書き削除を行ってしまうといった事態の発生を防ぐことができる。すなわち、第１の実施の形態に係る画像形成装置１０では、上書き削除処理よりもジョブの実行を優先して円滑なジョブの実行を確保しつつ、解放されたクラスタを、上書き削除の完了を待たずに使用可能にして、記憶領域を有効活用することができる。
【０１１３】
＜第２の実施の形態＞
第１の実施の形態では、ハードディスク装置１５に対してＦＡＴが一つであったが、第２の実施の形態では、ハードディスク装置１５内の記憶領域は複数のパーティションに区切られており、パーティションごとにＦＡＴと管理テーブル３６を持つ場合について説明する。
【０１１４】
なお、第２の実施の形態においても画像形成装置１０のハードウェア構成は第１の実施の形態と同じである。また、第２の実施の形態では、第１の実施の形態との相違点を説明し、同一部分の説明は適宜省略する。
【０１１５】
第２の実施の形態では、各パーティションに優先順位が付与されており、その優先順位の高いパーティションから上書き削除を行う。優先順位を付与する方法については後述する。
【０１１６】
図１１は、第２の実施の形態において、画像形成装置１０が上書き削除を行う場合の処理を示す。まず、上書き削除を行う前に、管理テーブル３６の更新処理を行う（ステップＳ３０１）。このステップＳ３０１の処理は、図９の処理と同じ処理である。ここでは、全てのパーティションの管理テーブル３６を更新する。
【０１１７】
その後、各パーティションの優先順位をチェックし（ステップＳ３０２）、対応する管理テーブル３６に削除要（Ｍ）の削除管理情報があるパーティションのうち、最も優先順位の高いパーティションを、上書き削除の対象パーティションに決定する（ステップＳ３０３）。
【０１１８】
その後、対象パ−ティションに対応する管理テーブル３６において値が削除要（Ｍ）の削除管理情報が登録されているクラスタのうちの一つに対して上書き削除を実行する（ステップＳ３０４）。該クラスタへの上書き削除が完了したら、該クラスタの削除管理情報を削除不要（Ｎ）に変更する（ステップＳ３０５）。
【０１１９】
対象パ−ティションの管理テーブル３６に値が削除要（Ｍ）の削除管理情報が残っていれば（ステップＳ３０６；Ｎｏ）、実行中の他のタスクがあるか否か（ジョブが実行中か否か）を調べ（ステップＳ３０７）、実行中の他のタスクがある場合（ジョブが実行中の場合）は（ステップＳ３０７；Ｙｅｓ）、上書き削除を中断する（ステップＳ３０８）。その後、他のタスクの実行が終了したら（ステップＳ３０９）、中断から復帰し、ステップＳ３０１に戻って処理を継続する。すなわち、中断から復帰して処理を再開する際に、管理テーブル３６の更新を行う。
【０１２０】
他のタスクが無ければ（ステップＳ３０７；Ｎｏ）、ステップＳ３０４に戻って処理を継続する。そして、対象パ−ティションの管理テーブル３６から値が削除要（Ｍ）の削除管理情報が無くなったら（ステップＳ３０６；Ｙｅｓ）、全てのパーティションに対する上書き削除が完了したか否かを調べる（ステップＳ３１０）。未処理のパーティションがあれば（ステップＳ３１０；Ｎｏ）、ステップＳ３０２に戻って処理を継続し、全てのパーティションに対する上書き削除が完了したら（ステップＳ３１０；Ｙｅｓ）、本処理を終了する。
【０１２１】
なお、いずれのパーティションに対して上書き削除を行うかの決定を、管理テーブル３６の更新処理より先に行ってもよい。図１２は、いずれのパーティションに対して上書き削除を行うかの決定を、管理テーブル３６の更新処理より先に行う場合のフローを示す。
【０１２２】
まず、パーティションの優先順位をチェックし（ステップＳ４０１）、最も優先順位の高いパーティションを、上書き削除の対象パーティションとして決定する（ステップＳ４０２）。その後、上書き削除の対象となるパーティションにおいて、管理テーブル３６の更新処理を行う（ステップＳ４０３）。
【０１２３】
その後、対象パ−ティションの管理テーブル３６において値が削除要（Ｍ）の削除管理情報が登録されたクラスタのうちの一つに対して上書き削除を実行する（ステップＳ４０４）。該クラスタへの上書き削除が完了したら、該クラスタの削除管理情報を削除不要（Ｎ）に変更する（ステップＳ４０５）。
【０１２４】
対象パ−ティションの管理テーブル３６に値が削除要（Ｍ）の削除管理情報が残っていれば（ステップＳ４０６；Ｎｏ）、実行中の他のタスクがあるか否か（ジョブが実行中か否か）を調べ（ステップＳ４０７）、実行中の他のタスクがある場合（ジョブが実行中の場合）は（ステップＳ４０７；Ｙｅｓ）、上書き削除を中断する（ステップＳ４０８）。その後、他のタスクの実行が終了したら（ステップＳ４０９）、中断から復帰し、ステップＳ４０１に戻って処理を継続する。
【０１２５】
他のタスクが無ければ（ステップＳ４０７；Ｎｏ）、ステップＳ４０４に戻って処理を継続する。そして、対象パ−ティションの管理テーブル３６から値が削除要（Ｍ）の削除管理情報が無くなったら（ステップＳ４０６；Ｙｅｓ）、全てのパーティションに対する上書き削除が完了したか否かを調べる。未処理のパーティションがあれば（ステップＳ４１０；Ｎｏ）、ステップＳ４０１に戻って処理を継続し、全てのパーティションに対する上書き削除が完了したら（ステップＳ４１０；Ｙｅｓ）、本処理を終了する。
【０１２６】
次に、各パーティションに優先順位を付与する方法について説明する。画像形成装置１０は、スキャンやコピーなどの各機能に予めいずれかのパーティションを対応付けしておき、いずれかの機能を実行する場合は、該機能に対応付けされているパーティションを使用する。
【０１２７】
各パーティションの優先順位は、対応付けされている機能の使用頻度や、管理テーブル３６の更新頻度に応じて決定する。たとえば、コピー機能の使用頻度が高ければ、コピー機能に対応付けされているパーティションは、上書き削除が完了する前に新たなデータが上書きされる可能性が高いので、他の機能に対応付けされているパーティションに比べて優先順位を低くしてもよい。
【０１２８】
他にも、一時的に保存されるデータの書き込みが行われるパーティションなどのように管理テーブル３６の更新頻度が高いパーティションは優先順位を他のパーティションより高くし、一度書き込まれたらしばらく削除されないようなデータの保管場所（たとえば、個人やグループ別に割り当てた保存領域であるボックス）となるパーティションは他のパーティションより優先順位を低くしてもよい。また、ユーザがファイルの削除指示を出した場合に、その削除指示の対象のファイルの格納場所を含むパーティションの優先順位を上げて、速やかに上書き削除が行われるようにしてもよい。パーティションに優先順位を設定する方法は前述の方法に限らず、他の方法でもよい。
【０１２９】
このように、第２の実施の形態では、パーティションごとに設定された優先順位に従って、優先順位の高いパーティションから上書き削除を実行する。これにより、優先順位の高いパーティションに残った実データは、他のパーティションに残った実データに比べて、外部から読み取られる可能性が低くなる。たとえば、重要なファイルの実データが残ったパーティションに対して優先して上書き削除を行うことで、該ファイルに対するセキュリティが向上する。
【０１３０】
＜第３の実施の形態＞
第２の実施の形態では、パーティションの優先順位に従って上書き削除を実行する順番を変更していたが、第３の実施の形態では、他の基準に従って上書き削除を実行する順番を変更する場合について説明する。
【０１３１】
なお、第３の実施の形態においても画像形成装置１０のハードウェア構成は第１の実施の形態と同じである。また、第２の実施の形態では、第１の実施の形態との相違点を説明し、同一部分の説明は適宜省略する。
【０１３２】
第３の実施の形態では、パーティションではなく、各クラスタに格納されているデータの内容や、データが書き込まれた時に画像形成装置１０を使用していたユーザによって、優先して上書き削除を行うクラスタを決定する。
【０１３３】
まず、優先して上書き削除を行うクラスタをデータの内容に応じて決定する場合について説明する。たとえば、画像形成装置１０は、削除コマンドの対象となったファイルが画像と文書を含む場合、ＯＣＲ（Optical Character Recognition）などにより領域認識を行い、画像部分と文書部分を認識する。そして、画像部分のデータが格納されたクラスタは、そのクラスタが解放された場合に優先して上書き削除を行うようにする。図１３は、あるファイルにおいて、画像部分と文書部分を認識し、画像部分のデータが格納されたクラスタを優先して上書き削除を行う様子を示す。
【０１３４】
次に、優先して上書き削除を行うクラスタを、画像形成装置１０を使用していたユーザに応じて決定する場合について説明する。たとえば、画像形成装置１０は、ユーザＡに使用されている時に保存したデータや、ユーザＡから受けた削除コマンドの対象データは、他のユーザに使用されている時に保存したデータや、他のユーザから受けた削除コマンドの対象データよりも優先して上書き削除を行うようにする。
【０１３５】
次に、上書き削除を行う場合に、優先して上書き削除を行うクラスタの判別方法について説明する。画像形成装置１０は、ＦＡＴで管理された記憶領域にデータを格納する際に、そのデータの内容やそのときのログインユーザに基づいて上書き削除の優先度を判別する。そして、優先度に応じた削除優先マークを、そのデータが格納されたクラスタに対応する削除管理情報に付与する。
【０１３６】
図１４は、削除優先マークが付与された削除管理情報が登録されている管理テーブル３６の例である表１０１Ａを示す。図１４では、削除優先マークの例として、最重要削除案件先頭マーク、最重要削除案件マーク、重要削除案件先頭マーク、重要削除案件マークが削除管理情報に付与されている。図中では、最重要削除案件先頭マークはＦ、最重要削除案件マークはＴ、重要削除案件先頭マークはＳ、重要削除案件マークはＤと表記する。
【０１３７】
最重要削除案件先頭マーク（Ｆ）は、最優先で上書き削除を行うべきクラスタ群の先頭のクラスタに付与される。最重要削除案件マーク（Ｔ）は、最優先で上書き削除を行うべきクラスタ群の先頭以外のクラスタに付与される。
【０１３８】
重要削除案件先頭マーク（Ｓ）は、最優先ではないが優先して上書き削除を行うべきクラスタ群の先頭のクラスタに付与される。重要削除案件マーク（Ｄ）は、最優先ではないが優先して上書き削除を行うべきクラスタ群の先頭以外のクラスタに付与される。
【０１３９】
上書き削除を開始（もしくは再開）する場合、まず、管理テーブル３６上の値が削除要（Ｍ）の削除管理情報のうち、最重要削除案件先頭マーク（Ｆ）が付与された削除管理情報を検索し、最重要削除案件先頭マーク（Ｆ）が付与された削除管理情報が登録されているクラスタがあれば、そのクラスタに対して上書き削除を行った後、最重要削除案件マーク（Ｔ）が付与されている削除管理情報が登録されているクラスタに対して順番に上書き削除を行う。
【０１４０】
最重要削除案件マーク（Ｔ）が付与された削除管理情報が登録されたクラスタがなくなった場合、もしくは初めから最重要削除案件先頭マーク（Ｆ）が付与された削除管理情報が登録されているクラスタが無かった場合は、重要削除案件先頭マーク（Ｓ）が付与された削除管理情報を検索する。
【０１４１】
重要削除案件先頭マーク（Ｓ）が付与された削除管理情報が登録されているクラスタがある場合は、そのクラスタに対して上書き削除を行った後、重要削除案件マーク（Ｄ）が付与されている削除管理情報が登録されているクラスタに対して順番に上書き削除を行う。重要削除案件マーク（Ｄ）が付与された削除管理情報が登録されたクラスタがなくなった場合は、第１の実施の形態、第２の実施の形態と同様の順番で、値が削除要（Ｍ）の削除管理情報が登録されたクラスタに上書き削除を行う。
【０１４２】
このように、第３の実施の形態では、データの内容や、いずれのユーザが使用中に保存されたデータであるかなどに基づいて、優先して上書き削除を行うデータが格納されているクラスタを判別し、そのクラスタを優先して上書き削除を実行する。これにより、たとえば、重要なファイルの実データが残ったクラスタに対して優先して上書き削除を行うことで、該ファイル外部の装置等によって読み取られる可能性が低くなる。
【０１４３】
＜第４の実施の形態＞
第４の実施の形態では、上書き削除を行うか否かの切り替えを行う場合について説明する。
【０１４４】
なお、第４の実施の形態においても画像形成装置１０のハードウェア構成は第１の実施の形態と同じである。また、第４の実施の形態では、第１の実施の形態との相違点を説明し、同一部分の説明は適宜省略する。
【０１４５】
第４の実施の形態では、画像形成装置１０は、自装置の動作モードを、通常モードと、通常モードよりもセキュリティの高いセキュリティモードに切り替えることが可能とする。該切り替えは、ユーザからの指示に応じて行うものとする。
【０１４６】
画像形成装置１０は、セキュリティモードの時は上書き削除を実行するが、通常モードの時は上書き削除の実行を禁止する。具体的には、上書き削除は、管理テーブル３６が存在するときだけ実行するようにしておく。そして、通常モードからセキュリティモードに切り替わった場合に管理テーブル３６を作成し、セキュリティモードから通常モードに切り替わった場合は管理テーブル３６を削除することで、通常モード時の上書き削除の実行を禁止する。
【０１４７】
図１５は、第４の実施の形態において、画像形成装置１０が動作モードを変更する際に行う処理を示す。まず、通常モードからセキュリティモードに変更した場合は（ステップＳ５０１；Ｙｅｓ）、管理テーブル３６を作成して（ステップＳ５０２）本処理を終了する。セキュリティモードから通常モードに変更した場合は（ステップＳ５０１；Ｎｏ）、管理テーブル３６を削除して（ステップＳ５０３）本処理を終了する。
【０１４８】
このように、第４の実施の形態では、上書き削除を行うか否かを切り替えることができるので、上書き削除を行わない場合は、間違って消去してしまったデータを復元させることができる。
【０１４９】
＜第５の実施の形態＞
第１の実施の形態では、上書き削除の実行中に他のタスクが発生した場合は、上書き削除を中断したが、第５の実施の形態では、上書き削除の実行中に他のタスクが発生したら、上書き削除を中断せず、他のタスクの実行と並行して上書き削除を実行する場合について説明する。
【０１５０】
なお、第５の実施の形態においても画像形成装置１０のハードウェア構成は第１の実施の形態と同じである。また、第５の実施の形態では、第１の実施の形態との相違点を説明し、同一部分の説明は適宜省略する。
【０１５１】
第５の実施の形態での、管理テーブル３６の更新タイミングについて説明する。第１の実施の形態では、管理テーブル３６は、上書き削除の開始時、および中断後の再開時に更新したが、第５の実施の形態では、ＦＡＴ上にて分割領域管理情報が更新されたら、これに同期して管理テーブル３６を更新する。
【０１５２】
具体的には、ファイルシステム３５によって、一のクラスタに対応する分割領域管理情報が未使用（０）から使用中（１）に変更されたら、該クラスタに対応する削除管理情報を直ぐに上書き削除不要（Ｎ）に変更する。また、一のクラスタに対応する分割領域管理情報が使用中（１）から未使用（０）に変更されたら、該クラスタに対応する削除管理情報を直ぐに上書き削除要（Ｍ）に変更する。値が上書き削除要（Ｍ）の削除管理情報が登録されているクラスタに対して上書き削除が完了したら、その削除管理情報を削除不要（Ｎ）に変更する。
【０１５３】
なお、一のクラスタに対して上書き削除と新たなデータの書き込みが同時に行われることを防ぐため、一のクラスタへの上書き削除を行う前に、ＦＡＴ上にて該クラスタに対応する分割領域管理情報を使用中（１）に変更し、該クラスタへの上書き削除が完了したら、分割領域管理情報を未使用（０）に戻すようにする。
【０１５４】
より詳細には、一のクラスタに対して上書き削除を開始するとき、そのクラスタに対応する分割領域管理情報が未使用（０）か否かを確認し、使用中（１）ならば、上書き削除対象のクラスタを変更する。上書き削除対象のクラスタの分割領域管理情報が未使用（０）ならば、これを使用中（１）に変更し、そのクラスタに対する上書き削除処理を実行する。そして、該クラスタに対する上書き削除処理が完了したら、該クラスタに対応する分割領域管理情報を未使用（０）に戻す。
【０１５５】
このように第５の実施の形態では、上書き処理と他のタスクを並行して実行する。ＣＰＵの能力が高く、ジョブと上書き削除を同時に実行してのジョブの実行に影響がでないような場合に有効である。常に上書き削除処理が実行されるので、解放されたクラスタのデータを短時間のうちに読み取り不能にすることができる。
【０１５６】
なお、第５の実施の形態は、リアルタイムＯＳにてタスクが切り替え制御される場合に適用可能であり、上書き削除のタスクをジョブのタスクより低い優先度に設定すれば、ジョブの実行を優先しつつ、ジョブの実行中もＣＰＵの空き時間を利用して上書き削除処理を実行することができる。
【０１５７】
以上、本発明の実施の形態を図面によって説明してきたが、具体的な構成は実施の形態に示したものに限られるものではなく、本発明の要旨を逸脱しない範囲における変更や追加があっても本発明に含まれる。
【０１５８】
本発明の実施の形態では、上書き削除を行う場合に０データを上書きしたが、他のデータを上書きしてもよい。たとえばランダムデータ等を上書きしてもよい。また、上書き削除はＩＳＯ記憶に準拠するＩＳＯ削除の他、ＤｏＤ（United States Department of Defense）基準による削除などでもよい。
【０１５９】
本発明の実施の形態では、画像形成装置１０を例に説明したが、画像形成装置１０としての機能を果たすジョブ実行装置単体、情報処理装置を実施の形態での画像形成装置１０として機能させるプログラムや、データ削除方法も本発明に含まれる。
【０１６０】
本発明の実施の形態では、１つのクラスタを、１つの分割領域として説明したが、分割領域の単位がクラスタ以外であってもよい。
【０１６１】
本発明の第１〜第４の実施の形態では、上書き削除以外の他のタスクが開始されたか否かを、クラスタ単位での上書き削除が完了するたびにチェックしていたが、チェックの間隔はこれに限定されない。ただし、他の間隔（２以上のクラスタ単位）でチェックを行う場合は、その間隔の間に上書き削除が行われるすべてのクラスタについて、分割領域管理情報を使用中にすることで、新たに書き込んだデータが上書き削除により読取不能にされてしまうことを防ぐ。
【０１６２】
実施の形態では、ファイルシステム３５は、ジョブを実行するタスク等から記憶領域の解放要求を受けた場合に、直ちに、該解放要求が示すクラスタの分割領域管理情報を未使用（０）に変更したが、未使用（０）に変更するタイミングはこれに限定されない。少なくとも、解放要求が示すクラスタに対する上書き削除が完了する前であれば、解放要求が示すすべてのクラスタに対応する上書き削除が完了してからそれらのクラスタに対応する分割領域管理情報を未使用にする場合に比べて、記憶領域が有効活用され、使用可能な領域が不足する事態の回避に貢献する。
【符号の説明】
【０１６３】
０…未使用
１…使用中
１０…画像形成装置
１１…ＣＰＵ
１２…ＲＯＭ
１３…ＲＡＭ
１４…不揮発メモリ
１５…ハードディスク装置
１６…画像処理部
１７…スキャナ部
１８…プリンタ部
１９…ファクシミリ通信部
２０…ネットワーク通信部
２１…ＡＤＦ
２２…認証部
３０…操作パネル
３１…表示部
３２…操作部
３３…スイッチ部
３４…タッチパネル部
３５…ファイルシステム
３６…管理テーブル
３７…管理テーブル制御プログラム
３８…上書き削除実行プログラム
１００…表
１０１（１０１Ａ）…表
１０２…表
Ｍ…削除要
Ｎ…削除不要
Ｆ…最重要削除案件先頭マーク
Ｔ…最重要削除案件マーク
Ｓ…重要削除案件先頭マーク
Ｄ…重要削除案件マーク
【図２】
2016001438.tif 000003
【図３】
2016001438.tif 000004
【図４】
2016001438.tif 000005
【図５】
2016001438.tif 000006
【図６】
2016001438.tif 000007
【図７】
2016001438.tif 000008
【図８】
2016001438.tif 000009
【図９】
2016001438.tif 000010
【図１０】
2016001438.tif 000011
【図１１】
2016001438.tif 000012
【図１２】
2016001438.tif 000013
【図１３】
2016001438.tif 000014
【図１４】
2016001438.tif 000015
【図１５】
2016001438.tif 000016
【図１６】
2016001438.tif 000017
【図１】
2016001438.tif 000018