CN100472474C - 任务处理装置及该装置中的数据管理方法 - Google Patents

Abstract

本发明涉及提高任务数据的安全性的任务处理装置及该装置中的数据管理方法。其中，CPU(10)在保存任务执行所需要的任务数据时，对该任务数据进行加密，在此基础上，把其一部分(42)存储到RAM(14)中，把其余的存储文件(40)存储到HDD(16)中。当任务结束时，删除RAM(14)内的该任务的任务数据的一部分(42)。通过该删除，任务数据(42)的一部分完全消失，因此，即使拔出HDD(16)进行分析，也不会知道完整的任务数据。

Description

任务处理装置及该装置中的数据管理方法

技术领域

本发明涉及复印机、打印机、传真机、组合机等根据用户的要求来执行预定任务的任务处理装置，特别是涉及用于任务处理装置中所存储的数据的秘密(安全)保存的技术。

背景技术

近年来的数字复印机和组合机大多装载了硬盘等大容量存储装置。这样的大容量存储装置用于这样的用途：在多份数复印原稿的情况下和进行双面复印的情况下，暂时保存原稿图像，或者，用户将根据扫描(スキャン)要求由原稿读取部读取的原稿图像经过网络下载加以保存等。

近年来，以网络化和随之而来的信息犯罪的增加为背景，企业的信息安全管理强化的趋势增强，ISMS(Information SecurityManagement System信息安全管理系统)等的认证制度开始实行。当考虑到由于硬盘抽出等所引起的信息泄露危险时，在企业的综合信息安全管理中，存在遗留在数字复印机和组合机的大容量存储装置内的数据也不能忽视的问题。

与此问题相对，在专利文献1所示的技术中，在复印机中设置机密文件模式，当该模式被设定时，在图像数据的处理完成的时刻，删除硬盘上的该图像数据。

而且，在专利文献2所示的技术中，在复印机的空闲时间内删除硬盘中保存的图像数据。

在专利文献3所示的技术中，根据其图像数据的数据量，来决定：在插入任务结束并返回到插入前的处理之前，删除插入任务的图像数据，还是在插入的任务结束后，删除插入任务的图像数据。而且，在该技术中，当用户不使用复印机的闲置时间超过预定时间时，删除硬盘上的图像数据，或者，当用户指示复印中止时，从硬盘上删除与该复印处理相关的图像数据。

然而，硬盘上的图像数据的删除仅通过在文件系统上简单地删除其图像数据文件，由于在硬盘上仍残留有实际数据，所以是不充分的。因此，在现有技术中，在进行删除硬盘上的实际数据时，在该实际数据的区域中进行多次重写随机的数据。

而且，通过对图像数据进行加密后存储到硬盘中，能够进一步提高安全性。

【专利文献1】

日本专利公开公报特开平9-223061号公报

【专利文献2】

日本专利公开公报特开平9-284572号公报

【专利文献3】

日本专利公开公报特开2003-37719号公报

在上述现有技术中，在从硬盘删除图像数据期间，任一个都不能进行对硬盘的图像数据的读写，因此，在此期间不能开始后续的印刷处理和图像读取处理。例如，在以彩色进行页数多的原稿等数据量大的原稿处理之后，为了删除该原稿的图像数据而需要花费较长时间，因此，处理等待变长。在专利文献3的技术中，虽通过根据插入的其他条件来控制进行删除处理的定时，来降低删除处理的影响，但是，一旦开始删除到删除结束期间不能开始后续处理这点上没有被改善。而且，在专利文献3的技术中，在执行删除处理的定时到来之前的期间，存在实际数据以完整形态残留在硬盘中的问题。

发明的内容

本发明提供一种任务处理装置，其是根据任务数据来执行任务的，其特征在于包括：

第一存储装置；

第二存储装置，其能够比上述第一存储装置更高速地删除存储的数据；

存储控制部，其向上述第一存储装置和上述第二存储装置分配并存储供任务执行的任务数据；

删除控制部，其在预定的删除条件被满足的情况下，删除被上述存储控制部分配并存储到上述第二存储装置中的任务数据；

任务数据统合部，其读出并统合被上述存储控制部分配并存储到上述第一和第二存储装置中的任务数据；以及

任务处理部，其根据由上述任务数据统合部所统合的任务数据，执行任务。

所述的任务处理装置，其特征在于，把通过上述任务处理部的任务执行的结束作为上述删除控制部中的上述预定删除条件。

所述的任务处理装置，其特征在于，上述第二存储装置是易失性存储器。

所述的任务处理装置，其特征在于，上述第二存储装置是上述任务处理装置所具有的主存储装置的一部分区域

所述的任务处理装置，其特征在于，上述存储控制部对上述任务数据进行加密，并把该加密后的数据分配存储到上述第一存储装置和上述第二存储装置中。

所述的任务处理装置，其特征在于，上述存储控制部根据预定的规则把任务数据分配存储到上述第一存储装置和上述第二存储装置中，

上述任务处理装置进一步包括规则管理部，其用于变更上述预定的规则。

所述的任务处理装置，其特征在于，上述规则管理部根据上述任务处理装置自身的状态来变更上述预定的规则。

所述的任务处理装置，其特征在于，上述规则管理部根据上述任务的属性来变更上述预定的规则。

所述的任务处理装置，其特征在于，设有残留数据删除控制部，其在由上述删除控制部删除了被分配存储在上述第二存储装置中的任务数据之后，删除被分配存储在上述第一存储装置中的任务数据。

所述的任务处理装置，其特征在于，上述删除控制部中的上述预定删除条件是从用户接受任务数据的删除指示。

所述的任务处理装置，其特征在于，上述删除控制部中的上述预定删除条件是从用户接受任务执行的中止指示。

所述的任务处理装置，其特征在于，进一步包括任务控制部，其是控制任务的执行的任务控制部，在由上述删除控制部所进行的数据删除处理完成的时刻，许可其他的任务的执行。

所述的任务处理装置，其特征在于，上述存储控制部根据上述第二存储装置的空闲容量来决定分配存储到该第二存储装置中的任务数据的容量。

本发明提供一种任务处理装置，其是根据任务数据来执行任务的，其特征在于包括：

存储控制部，其把供任务执行的任务数据存储到存储装置中；

删除控制部，其在预定的删除条件被满足的情况下，删除被上述存储控制部存储到上述存储装置中的任务数据的一部分；以及

任务处理部，从上述存储装置读出任务数据，并使用读出的任务数据来执行上述任务。

所述的任务处理装置，其特征在于，把通过上述任务处理部所进行的任务执行的结束作为上述删除控制部中的预定删除条件。

所述的任务处理装置，其特征在于，上述删除控制部中的上述预定删除条件是从用户接受任务数据的删除指示。

所述的任务处理装置，其特征在于，上述删除控制部中的上述预定删除条件是从用户接受任务执行的中止指示。

所述的任务处理装置，其特征在于，进一步包括任务控制部，作为控制任务的执行的任务控制部，其在由上述删除控制部所进行的数据删除处理完成的时刻，许可其他任务的执行。

本发明提供一种任务处理装置的数据管理方法，其特征在于，

把供任务执行的任务数据分配存储到第一存储装置和与其相比数据删除速度高的第二存储装置中，

在预定的删除条件被满足的情况下，删除所存储的上述任务数据中存储在上述第二存储装置中的数据部分。

本发明提供一种任务处理装置，其具备：第一存储装置；第二存储装置，其能够比上述第一存储装置更高速地删除存储的数据；存储控制部，其向上述第一存储装置和上述第二存储装置分配并存储供任务执行的任务数据；删除控制部，在预定的删除条件被满足的情况下，删除由上述存储控制部分配并存储到上述第二存储装置中的任务数据。

在本发明的优选形态中，使用易失性存储器作为上述第二存储装置。

在另一个优选形态中，利用上述任务处理装置具有的主存储装置的一部分的区域作为上述第二存储装置。

在另一个优选形态中，上述存储控制部对上述任务数据进行加密，把该加密后的数据分配并存储到上述第一存储装置和上述第二存储装置中。

在另一个优选形态中，任务处理装置进一步包括规则管理部，根据预定的规则把任务数据分配并存储到上述第一存储装置和上述第二存储装置中，并且，变更上述规则。

规则的变更能够根据例如该任务处理装置的状态来进行。其中，所谓任务处理装置的“状态”例如有第二存储装置的空闲容量、写入·读出速度、任务处理装置的处理负荷、待机中的有无任务等。

在另一个优选形态中，任务处理装置进一步包括规则管理部，其根据上述任务的属性来变更上述规则。其中，所谓任务的“属性”有赋予任务的机密度、成为任务对象的文件的种类等。

附图的简要说明

图1是表示本发明所涉及的图像形成装置的硬盘构造的主要部分的图；

图2是表示本发明所涉及的图像形成装置中的用于任务数据文件的存储、读出、删除的机构的功能方框图；

图3是表示由存储、删除控制部所进行的任务数据文件的存储处理步骤的一例的流程图；

图4是表示HDD内的存储文件的数据构造的例子的图；

图5是表示存储文件内的分散管理信息的数据构造的例子的图；

图6是表示分散存储的任务数据文件的读出步骤的一例的流程图；

图7是表示任务数据文件的删除处理步骤的一例的流程图；

图8是表示决定向RAM存储的数据量的步骤的例子的流程图；

图9是表示用于任务数据的存储、删除的装置的变形例的图；

图10是表示变形例中的任务数据文件的删除处理步骤的一例的流程图。

发明的具体实施形式

下面根据附图来对本发明的实施例进行说明。以下，说明适用于数字组合机等图像形成装置时的例子。即，下面说明用于以下数据的安全保护的结构，该数据是通过复制处理和扫描处理用的原稿读取所生成的图像数据的文件、由远程主机所要求的打印指示及将其展开的图像数据的文件、接收的传真数据等，为了执行图像形成装置所要求的各种任务而接收、生成的数据(翻译注释：上述两个文件、传真数据是该「数据」的例子)。

首先，参照图1，来说明本实施例的图像形成装置的硬件构成。图1为了说明本实施例的控制而表示了必要的构成部分，对于其他的构成部分，省略了图示。

该图像形成装置是数字复印机和数字组合机等把原稿光学读取而得到的图像作为数字数据进行处理这样一类的装置。

在该装置中，在ROM(只读存储器)12中存储用于该图像形成装置的动作控制的控制程序等数字信息。通过CPU(中央处理单元)10执行该ROM12内的控制程序，来实现图像形成装置各部分的控制。记述后述的文件的存储、读出以及删除的各个过程的程序也存储在该ROM12中。

RAM(随机存取存储器)14是该图像形成装置的主存储装置，在控制程序执行时，作为工作存储器来使用。RAM14能够例如作为存储提供给打印引擎24的1页部分的图像数据的页缓冲器来使用。

HDD(硬盘驱动器)16是用于保存各种数据的辅助存储装置。例如，在HDD16中，为了图形形成装置被要求的各种任务而保存所接收、生成的任务数据。作为这样的任务数据，例如，具有：为了复印而由扫描引擎22读取的原稿图像数据、依赖于远程主机的亲启打印处理(用户认证成功而开始进行打印的处理)的打印指示数据、展开该打印指示数据而得到的图像数据、按照扫描指示而由扫描引擎22读取的图像数据等。这样的任务数据的文件在任务结束的同时从文件系统中被删除。但是，在文件系统上仅简单地删除了文件，该文件的实际数据仍残留在HDD上，现有技术存在这样的问题，在本实施例中提供了对于该问题的新的解决措施。

操作面板18是用于该图像形成装置的用户界面的显示和用于来自用户的各种指示的输入受理等的用户界面装置。操作面板18典型地设有复印开始按钮等机械性操作按钮和液晶触摸屏。液晶触摸屏显示由CPU10所执行的控制程序而生成的GUI(图形用户界面)画面，检测出与该显示相对应的用户触摸位置，传送给控制程序。控制程序从该触摸位置的信息来解释用户的输入内容。

通信接口20是进行与局域网等的网络的数据通信用的控制的装置。来自远程主机的打印指示等经过该通信接口20而被输入到图像形成装置内。

扫描引擎22是提供光学读取原稿并生成电子的图像数据的扫描功能的装置。放置在自动原稿输送装置(ADF)(省略图示)中的原稿利用ADF的功能而一张一张地送入扫描引擎中，进行光学读取。

打印机引擎24是提供把由CPU10的控制所提供的图像数据图像形成(打印)到打印用纸上的打印功能的装置。

在这样的图像形成装置中，在本实施例中，作为用于提高保存的任务数据文件的安全性的措施，采用这样的构成：把在现有的HDD16中所存储的任务数据的文件分开存储到HDD16和RAM14中。即，一个任务数据文件被分成HDD16内的存储文件40和RAM14内的存储文件的一部分42来进行存储。根据该构成，当删除任务数据文件时，删除RAM14上的存储文件的一部分42就可以。RAM14内的数据的删除能够高速进行。在删除了RAM14内的数据42的情况下，仅用残留在HDD16内的存储文件40是不能复原出原来的任务数据文件，因此，能够保守任务数据的秘密。特别是，如果采用在对任务数据文件进行加密后分散存储到HDD16和RAM14中的构成，由于残留在HDD16内的存储文件40是从加密后的任务数据文件中欠缺了一部分的文件，则解码处理变得非常困难，能够实现高的安全性。

图2是表示用于该图像形成装置中的任务数据文件的存储、读出、删除的机构的功能方框图。该机构可以通过由CPU10执行存储在ROM12或HDD16中的程序来实现。

在该构成中，任务控制部100接受从操作面板18或通信接口20所输入的任务要求，控制与这些要求相对应的任务处理的执行。作为任务的执行，可以列举出图像形成处理和各种图像处理、文字识别处理、向其他装置的发送处理等。与执行中的任务相对应的插入任务的受理和伴随着该插入的任务退让和恢复的控制也通过任务控制部100来进行。而且，任务控制部100在执行的任务需要暂时保存任务数据的情况下，向存储、删除控制部110要求该保存。而且，需要暂时保存的任务数据的任务，例如有：多份复印原稿的任务、亲启打印的任务或者把读取的图像暂时保管在HDD16内所确保的亲启盒(親展ボックス)区域中的任务等。在多份复印的情况下，在其份数部分的打印输出结束的时刻，任务完成，在亲启打印的情况下，在图像形成装置中的用户认证成功而打印输出结束的时刻，任务完成。而且，向亲启盒的扫描图像的保存处理，在远程主机下载了该亲启盒内的数据的时刻，任务完成。

而且，任务控制部100在为了任务执行而使用所保存的任务数据的时刻到来的情况下，向存储、删除控制部110要求该任务数据的读出。

存储、删除控制部110是进行任务数据文件的存储及读出的处理的模块。当从任务控制部100发出任务数据文件的存储要求时，存储、删除控制部110按照预定的分配规则(或者顺序)把它们分散存储到RAM14和HDD16中。而且，当从任务控制部100发出任务数据文件的读出要求时，存储、删除控制部110读出分散存储在RAM14和HDD16中的数据，根据分配规则进行统合，由此，恢复原来的任务数据文件，提供给任务控制部100。

加密处理部112按照预定的加密算法对通过存储、删除控制部110而存储到RAM14和HDD16中的数据进行加密，或者，对从RAM14和HDD16读出的数据进行解码。

随机数产生部114是为了由存储、删除控制部110所进行的向RAM14和HDD16的分散存储处理而产生随机数的模块。

存储器监视部116是监视RAM14的空闲容量的模块。通过监视而求出的空闲容量的信息被用于存储、删除控制部110求出任务数据向RAM14和HDD16的分配量。

下面参照图3来说明由存储、删除控制部110所进行的任务数据文件的存储时的处理。

当从任务控制部100接受任务数据文件的存储要求时，存储、删除控制部110首先使加密处理部112对该文件进行加密(S10)。

接着，存储、删除控制部110在加密后的任务数据中，计算存储到RAM14中的数据的容量(S12)。该计算使用由存储器监视部116而求出的RAM14的空闲容量和由随机数产生部114所产生的随机数来计算存储容量。基本的考虑方法是：RAM14的空闲容量越大，存储容量越大，同时，使用随机数进行调整，以使空闲容量与存储容量的关系不是一定的。例如，把RAM14的空闲容量的预定比例决定为存储容量的基准值，并根据由随机数产生部114所产生的正态分布的随机数，对该基准值加以调整，由此，求出存储容量。在存储容量决定时，考虑RAM14的空闲容量，由此，能够避免存储处理时的工作存储器不足的问题。而且，通过使存储容量根据随机数而变化，而难于知道分散存储的规则，从而提高安全性。

当向RAM14的存储容量的计算结束时，存储、删除控制部110从所加密的任务数据(以下，在不会混淆的情况下，简单地称为「任务数据」)的开头，把该存储容量部分的数据存储到RAM14中(S14)。此时的RAM14中的数据的存储位置(开头地址)可以随机地决定，也可以根据预定的规则(存储到空闲容量的开头等)来决定。

向RAM14的存储之后，存储、删除控制部110计算向HDD16的存储容量(S16)。该存储容量的计算可以与向RAM14的存储容量的计算同样地进行。

当向HDD的存储容量能够计算时，存储、删除控制部110制作成分散管理信息，来写入HDD16(S18)，同时，从任务数据的未存储部分的开头，把该存储容量部分的数据写入HDD16(S20)。而且，在HDD16中，通过图像形成装置的操作系统，确保用于存储该任务数据的文件区域，在该区域中写入这些分散管理信息和任务数据。

反复进行以上步骤S12～S20的处理，直到任务数据的未存储部分变无为止(S22)。由此，任务数据被分散存储到RAM14和HDD16中。这样，在图3的处理中，使任务数据少量地交替存储到RAM14和HDD16中。

在图4中表示了通过图3的处理而生成在HDD16内的存储文件40的数据构造的例子。如该图所示的那样，存储文件40通过分散管理信息410和存储文件的部分数据450的重复而构成。分散管理信息410是用于对存储在RAM14中的数据的存取的信息，部分数据450是任务数据的一部分。该部分数据450以按照例如ASN.1的BER编码规则的数据构造所记述。在此情况下，部分数据450为依次排列表示该数据的类型的对象类型452的信息、该数据的容量454、该数据的值456。每当执行一次从图3的步骤S12到S20的处理，就能够形成分散管理信息410和后续的部分数据450。

在图5中表示了分散管理信息410的数据构造的一例。在该例中，分散管理信息410首先从该管理信息本身的识别符412开始，在其后记述该管理信息本身的容量414，接着，记述用于对存储在任务数据的分散目的地设备(在本实施例中为RAM14)中的数据进行存取用的信息420。信息420包括：分散目的地设备识别符422、分散存储在该分散目的地设备中的数据在该设备内的存储位置424、该数据的数据容量426。在分散目的地设备是RAM14的情况下，能够使用例如RAM14中的该数据的存储区域的开头地址作为存储位置424。

在图1的例子中，任务数据被分散在HDD16和RAM14中。但是，也存在图像形成装置设有除HDD16和RAM14之外的存储装置的情况。例如，也有图像形成装置设有多个HDD，或者，设有EEPROM和非易失性RAM的情况。在此情况下，可以把任务数据分散存储到这些多个存储装置中。分散目的地设备的识别符422是用于识别这些存储装置的。而且，在把任务数据分散存储到除HDD16之外的多个存储装置中时，在分散管理信息410中对每个存储装置记述信息420。在此情况下，分散管理信息410中的信息420的顺序与分散存储的任务数据的顺序相对应。

下面，参照图6来说明读出分散存储的任务数据时的存储、删除控制部110的处理。

存储、删除控制部110，在被任务控制部100要求任务数据文件的读出的情况下，首先，对HDD16内的该文件的开头进行存取(S30)，读出分散管理信息410，按照在该分散管理信息410中所表示的存储装置识别符422、存储位置424及数据容量426的信息，读出分散存储在RAM14中的数据(S32)。而且，当存在多个分散存储目的地存储装置时，按照分散管理信息410中的信息420的顺序，从这些存储装置中读出数据来进行合并。当这样进行的来自所有的分散存储目的地存储装置的数据读出结束时，读出存储在该分散管理信息410之后的部分数据450，把其合并到从分散目的地读出的数据之后(S34)。重复进行这样的处理，直到到达存储文件40的末尾为止(S36)，由此，任务数据的读出完成。而且，由于读出的任务数据被加密，存储、删除控制部110在加密处理部112中对其进行解码，然后，提供给任务控制部100。

接着，参照图7来说明分散存储在HDD16和RAM14中的任务数据文件的删除处理。

该删除处理在与任务数据文件相关而满足预定的删除条件时执行。作为代表性的删除条件，可以列举出：使用该任务数据文件的任务的执行结束。而且，由用户输入使用任务数据文件的任务的中止指示也是删除条件的一例。而且，用户指定任务数据文件并明确指示该文件的删除也是删除条件的一例。

存储、删除控制部110监视来自任务控制部100的任务执行结束通知和来自操作面板12的用户的输入，等待这些删除条件的任一个被满足(S40、S42、S44)。而且，当任一个删除条件满足时，删除满足该条件的任务的任务数据文件中的在RAM14中所存储的部分42(S46)。删除部分的确定可以通过例如读出存储文件中的分散管理信息410来进行。由于是RAM14上的数据，所以能够高速并且完全地删除。接着，删除HDD16内的该任务数据的存储文件40，释放该存储文件的区域(S48)。该删除处理可以是象MS-DOS(商标)的DEL命令和UNIX(注册商标)的rm命令所进行的文件删除那样，在文件系统上进行删除该文件的管理信息的处理。在此情况下，在HDD16中，在删除后(重写之前)仍残留有存储文件40的实际数据，但是，仅用残留的实际数据不能完全复原原来的任务数据文件。而且，在本实施例中，由于是在对任务数据文件进行加密之后，分散存储到HDD和RAM中，因此，仅用残留在HDD中的实际数据，进行解码是非常困难的。

当存储文件的删除(S48)结束时，存储、删除控制部110向任务控制部100通知所要求的数据删除处理完成的意思(S50)。接受该通知的任务控制部100许可下一个任务的执行。由此，例如，如果在删除的时刻存在待机中的任务(新的任务和插入到其他任务中的任务等)，该任务的执行被开始或者被重新开始。

这样，根据本实施例，通过删除分散存储在RAM14中的数据，能够使保存在HDD16中的任务数据成为接近于无效的状态，因此，与在HDD中保存的任务数据整体上重写随机数据的现有技术相比，能够高速进行数据删除。因此，即使在从插入任务的返回时和后续任务的待机的情况下，能够几乎不使待机中的任务等待地进行数据删除。因此，不需要在下一个任务结束之前先执行任务数据的删除。

而且，在本实施例中，作为任务数据的分散存储目的地，使用作为易失性存储器的RAM14，因此，如果切断图像形成装置的电源，分散存储的数据也就消失了，因此，能够得到与上述删除处理相同的效果。

而且，作为一个例子，上述RAM14内的数据删除后，最好以适当的定时对残留在HDD16上的存储文件的实际数据进行由随机数据的反复重写所进行的数据删除。由该随机数据重写所进行的删除处理最好在例如图像形成装置的未使用状态持续了预定时间时和转换到省电模式之前、电源开关被断开时等对任务影响较少时来进行。在本实施例中，从任务结束后到由随机数据重写所进行的数据删除之间，能够按照上述各个专利文献所示的现有技术来安全地保存任务数据。

在以上说明的实施例中，虽然根据RAM的空闲容量和随机数来决定分散存储在RAM14中的数据的容量，但是，其仅是一例。也可以把向RAM14的存储容量作为固定值，也可以不考虑空闲容量而完全地随机决定。

而且，最好也考虑RAM空闲容量的其他状况来决定存储容量。在图8中表示了该例。在该例中，除了RAM空闲容量(S60)之外，取得待机中的任务的有无(S62)、图像形成装置整体的处理负荷(S64)、任务数据的机密度(S66)等信息，把这些信息作为参数，来决定向RAM14的存储容量(S68)。该计算的基本考虑方法如以下说明。

首先，在存在待机中的任务的情况下和图像处理装置的处理负荷高的情况下，由于向HDD16的随机数据重写所进行的数据删除滞后相应时间，为了提高该删除之前的期间的任务数据的安全性，增加了向RAM14的分配量。由此，通过任务完成后的RAM内数据删除，更多的数据消失，因此，能够进一步降低任务数据的复原的可能性。

而且，待机中的任务的有无的信息能够从任务控制部100取得，图像处理装置整体的处理负荷能够从任务控制部100和操作系统而分别取得。

而且，在任务数据的机密度高的情况下，在该数据变为不需要的时刻，在该数据中删除尽可能多的部分对安全性是有效的。因此，机密度越高，向RAM14的数据的分配量越多。

任务数据的机密度可以作为任务的属性之一由用户指定，也可以根据任务的内容进行判定。作为后者的例子，例如，在以亲启打印等以秘密为前提的任务的情况下，提高了任务数据的机密度。可以把每种任务的机密度预先登录到图像形成装置中。

而且，在除了HDD16之外存在多个分配任务数据的存储装置的情况下，最好根据向这些存储装置的写入、读出速度来决定向这些多个存储装置的分配量。向各个存储装置的写入、读出速度影响任务数据整体的写入、读出速度，因此，最好相对地减小向写入、读出速度慢的存储装置的分配量。例如，在除了RAM14之外还向EEPROM分配数据的情况下，EEPROM的写入、读出速度不用说比RAM14，比HDD16都慢，因此，使向EEPROM的分配量少于向RAM的分配量。

而且，也考虑与任务数据的内容相对应的分配控制。例如，任务数据为由首部和数据部(本体部)所构成的形式，当在首部中包含了大量的数据特征的情况下，考虑如下等的控制：首部的数据较多地分配给RAM14，本体部的数据较多地分配给HDD16。

而且，以上，在加密处理部112中对任务数据进行加密后，进行分散存储，但是，即使在不进行这样的加密的情况下，本发明的分散存储方式具有某种程度的有效性。即使不进行加密，通过RAM14内的数据删除，任务数据的一部分消失，因此，即使HDD16万一被取下，也不会泄漏完全的任务数据。

而且，在图像形成装置不进行任务数据的加密的情况下，在任务数据本身被加密的情况下(例如，在来自主机的打印数据本身被加密的情况下)和不加密的情况下，最好改变RAM14和HDD16之间的数据分配比例。即，在任务数据被加密的情况下，提高向RAM的数据分配比例，以便于通过RAM内的数据删除来删除任务数据中的尽可能多的信息。

而且，作为不对任务数据进行加密而进行分散存储的情况下的RAM、HDD之间的数据分配方法，考虑这样的方法：当任务数据带有标签的构造化文档的情况下，把标签信息(开始标签、结束标签中的一方或双方)优先分配给RAM。在该方法中，能够通过RAM内的数据删除来消灭文档构造的信息。而且，在任务数据是商务文档的情况下，把文档内的数字信息优先分配给RAM，当是花名册数据的情况下，把相当于人命汉字的文字优先分配给RAM，等等，最好把与任务数据的种类相对应的特征部分分配给RAM。文档的种类能够根据任务数据文件的属性信息等求出。

而且，在以上的例子中，把任务数据交替地分配给RAM14和HDD16，但是，也可以代之而随机地改变它们两者间的分配顺序。在此情况下，在分散管理信息410中包含存储在各个分散存储目的地中的数据顺序的信息。

在以上的例子中，把分散管理信息410存储在HDD16中，但是，并不一定如此。分散管理信息410这样的记述任务数据向各个存储装置的分散状况的管理信息也可以存储在RAM14和其他图像形成装置内的存储装置中。

而且，作为本实施例的变形例，也考虑不使用RAM14的装置构成。在图9中表示了该例。在图9中，对于与图2所示的构成要素相同或类似的构成要素使用相同标号，而省略其说明。

在该例中，存储、删除控制部110a，在由加密处理部112对任务数据进行加密之后，与现有技术相同，仅存储到HDD16中。

该变形的特征在任务数据的删除处理中。即，如图10所示的那样，当任务数据的删除条件被满足时(S40～S44)，存储、删除控制部110a使用由随机数产生部114所产生的随机数，来决定HDD16内的任务数据中的删除位置(S52)。在此，使用所产生的一个或多个随机数，对于多个删除位置来决定其位置和删除的数据容量。而且，存储、删除控制部110a对于这些决定的删除位置，将随机的数据重写预定次数(S54)。当该重写删除完成时，存储、删除控制部110a从文件系统中删除该任务数据的文件，向任务控制部100通知数据删除完成的意思(S50)。由此，后续的任务成为能够执行的状态，如果是待机中的任务和因插入等而中断的任务，从而能够执行其。而且，在该删除后，对于残留在HDD16内的任务数据的部分，在图像形成装置的空闲时间等中，进行由随机数据的反复重写所进行的删除处理，能够进一步提高安全性。

根据本实施例，在删除存储在HDD16中的任务数据中的多个删除位置的时刻，残留在HDD16内的任务数据不是完全的数据，假使该残留数据被取出，秘密泄漏的风险也变小。

在该例中，由于删除了加密的任务数据的多个部分，因此对残留的数据进行解码是非常困难的。

而且，如果减小这些删除位置的容量相对于任务数据整体的比例，则该删除处理所需要的时间缩短也可以，因此，几乎不必使待机中的任务等待，就能够执行删除处理。

以上说明了在数字组合机等的图像形成装置中适用本发明时的实施例。但是，如从上述说明所明确的那样，本实施例中的存储数据的安全保存方式由于不依赖于处理的种类和存储对象数据的种类，因此，能够适用于图像形成装置之外的各种任务处理装置。

虽然对本发明的优选实施例已经进行了表示和说明，但是，应当知道，本领域的技术人员可以在不背离本发明的精神的条件下进行变化和变形，本发明的范围由权利要求书限定。

Claims (20)

1.一种任务处理装置，其是根据仕务数据来执行仕务的，其特征在于包括：

第一存储装置；

第二存储装置，其能够比上述第一存储装置更高速地删除存储的数据；

存储控制部，其向上述第一存储装置和上述第二存储装置分配并存储供任务执行的任务数据；

删除控制部，其在预定的删除条件被满足的情况下，删除被上述存储控制部分配并存储到上述第二存储装置中的任务数据；

任务数据统合部，其读出并统合被上述存储控制部分配并存储到上述第一和第二存储装置中的任务数据；以及

任务处理部，其根据由上述任务数据统合部所统合的任务数据，执行任务。

2.根据权利要求1所述的任务处理装置，其特征在于，把通过上述任务处理部的任务执行的结束作为上述删除控制部中的上述预定删除条件。

3.根据权利要求1所述的任务处理装置，其特征在于，上述第二存储装置是易失性存储器。

4.根据权利要求1所述的任务处理装置，其特征在于，上述第二存储装置是上述任务处理装置所具有的主存储装置的一部分区域

5.根据权利要求1所述的任务处理装置，其特征在于，上述存储控制部对上述任务数据进行加密，并把该加密后的数据分配存储到上述第一存储装置和上述第二存储装置中。

6.根据权利要求1所述的任务处理装置，其特征在于，上述存储控制部根据预定的规则把任务数据分配存储到上述第一存储装置和上述第二存储装置中，

上述任务处理装置进一步包括规则管理部，其用于变更上述预定的规则。

7.根据权利要求6所述的任务处理装置，其特征在于，上述规则管理部根据上述任务处理装置自身的状态来变更上述预定的规则。

8.根据权利要求6所述的任务处理装置，其特征在于，上述规则管理部根据上述任务的属性来变更上述预定的规则。

9.根据权利要求1所述的任务处理装置，其特征在于，设有残留数据删除控制部，其在由上述删除控制部删除了被分配存储在上述第二存储装置中的任务数据之后，删除被分配存储在上述第一存储装置中的任务数据。

10.根据权利要求1所述的任务处理装置，其特征在于，上述删除控制部中的上述预定删除条件是从用户接受任务数据的删除指示。

11.根据权利要求1所述的任务处理装置，其特征在于，上述删除控制部中的上述预定删除条件是从用户接受任务执行的中止指示。

12.根据权利要求1所述的任务处理装置，其特征在于，进一步包括任务控制部，其是控制任务的执行的任务控制部，在由上述删除控制部所进行的数据删除处理完成的时刻，许可其他的任务的执行。

13.根据权利要求1所述的任务处理装置，其特征在于，上述存储控制部根据上述第二存储装置的空闲容量来决定分配存储到该第二存储装置中的任务数据的容量。

14.一种任务处理装置，其是根据任务数据来执行任务的，其特征在于，包括：

存储控制部，其把供任务执行的任务数据存储到存储装置中；

删除控制部，其在预定的删除条件被满足的情况下，删除被上述存储控制部存储到上述存储装置中的任务数据的一部分；以及

任务处理部，从上述存储装置读出任务数据，并使用读出的任务数据来执行上述任务。

15.根据权利要求14所述的任务处理装置，其特征在于，把通过上述任务处理部所进行的任务执行的结束作为上述删除控制部中的预定删除条件。

16.根据权利要求14所述的任务处理装置，其特征在于，上述删除控制部中的上述预定删除条件是从用户接受任务数据的删除指示。

17.根据权利要求14所述的任务处理装置，其特征在于，上述删除控制部中的上述预定删除条件是从用户接受任务执行的中止指示。

18.根据权利要求14所述的任务处理装置，其特征在于，进一步包括任务控制部，作为控制任务的执行的任务控制部，其在由上述删除控制部所进行的数据删除处理完成的时刻，许可其他任务的执行。

19.一种任务处理装置的数据管理方法，其特征在于，

把供任务执行的任务数据分配存储到第一存储装置和与其相比数据删除速度高的第二存储装置中，

在预定的删除条件被满足的情况下，删除所存储的上述任务数据中存储在上述第二存储装置中的数据部分。

Images