JP2005182782A - 記憶媒体上の格納済み情報の消去 - Google Patents

Abstract

【課題】記憶媒体上の格納済み情報を消去する方法を提供する。
【解決手段】ドキュメントデータ処理装置において、前記装置のデータ処理機構部によるアクセスが可能な書き換え可能なデータキャリア上の格納済み情報パターンを消去する方法が提示され、ドキュメントデータ処理装置は、データキャリア上に格納されることが可能な、ドキュメントデータを処理するための１次プロセスと、シュレッダリングパターンをキャリアの選択された記憶領域に上書きすることを介して、格納済みのデータを消去するための２次プロセスとを有する。提案される方法によれば、１次プロセスを妨げないように、１次プロセスと２次プロセスは、非同期で実行される、すなわち、２次プロセスが背景で実行される。特定の実施形態では、ファイルがもはや使用されなくなった直後に初回のシュレッダリング実行が行われ、追加のシュレッダリング実行が背景で行われる。
【選択図】 図１

Description

本発明は、ドキュメントデータ処理装置において、前記装置のデータ処理機構部によるアクセスが可能な書き換え可能なデータキャリア上の格納済み情報パターンを消去する方法に関し、ドキュメントデータ処理装置は、
前記データキャリア上に格納されることが可能なドキュメントデータを処理するための１次プロセスと、
シュレッダリングパターンを前記キャリアの選択された記憶領域に上書きすることを介して、格納済みのデータを消去するための２次プロセスとを有する。

従来の技術は、磁気ハードディスク、およびその他のほぼ同様の記憶機構部が、それらの上に格納された機密データの読み取りに対してますます脆弱になっていることを認識している。第１のタイプの攻撃は、ハッカが、データ網を介して機構部に「入り込む」ことを介して行われる可能性がある。そのような侵害には、データを内部ハードディスク上に格納する前に暗号化すること、キャリアのファイル管理の中で特定のデータファイルのエントリを削除すること、または、好ましくは、データに上書きすることなどの、比較的単純な動作によって対抗することができる。

より深刻なタイプの攻撃は、パーソナルコンピュータから、印刷機構部に関連するデジタルアクセスコントローラから、またはその他から、そのようなディスクを物理的に取り外した後に行われる可能性がある。その場合、キャリアのファイル管理を削除することは、何の役にも立たない。

キャリアを再フォーマットすること、またはいわゆるシュレッダリングパターンを上書きすることは、より高いセキュリティを提供するが、上書きが行われているビットパターンを検出するための技術が存在する。したがって、単一回の「データシュレッダリング」の実行は、あるデータの削除が本当に重要である場合、不十分である。

以降、シュレッダリングパターンと呼ぶ複数の異なるビットパターンが関わる複数回のシュレッダリングの実行でデータに上書きを行うことが、一般に、有効なポリシーであると考えられ、シュレッダリングパターンの構成は、意図するセキュリティの度合いに適切でなければならない。

データキャリアは、書き換え可能なＣＤ、その他におけるように、磁気、光磁気、光学などの様々な異なる書き込み／記憶技術に基づくことが可能である。通常、幾何学的な記憶編成は、シリンダ、らせん、直線、またはその他であることが可能な、ある種のトラックに基づく。記憶物理学は、記憶基板の何らかの種類の残留特性に基づく。

詳細には、Ｂｕｎｋｅｒ等に発行された米国公開特許出願第２００２／０１８１１３４号が、ユーザが選択可能なシュレッダリングパターンの適用を開示している。本発明者らは、この従来の技術が、侵害者からの十分な保護を提供する可能性があるが、全体的なシュレッダリングが要する長い時間により、本来のデータ処理、例えば、印刷が、しばしば、極めて必要とされている期間中にストールさせられたままになり、したがって、システム性能がひどく低下させられる可能性があることを認識している。

さらに、シュレッダリング動作、およびその他の関連項目の全体的な説明が、ｈｔｔｐ：／／ｗｗｗ．ｕｓｅｎｉｘ．ｏｒｇ／ｐｕｂｌｉｃａｔｉｏｎｓ／ｌｉｂｒａｒｙ／ｐｒｏｃｅｅｄｉｎｇｓ／ｓｅｃ９６／ｇｕｔｍａｎｎ．ｈｔｍｌでダウンロード可能な、Ｐ．Ｇｕｔｍａｎｎ、「Ｓｅｃｕｒｅ Ｄｅｌｅｔｉｏｎ ｏｆ Ｄａｔａ ｆｒｏｍ Ｍａｇｎｅｔｉｃ ａｎｄ Ｓｏｌｉｄ−Ｓｔａｔｅ Ｍｅｍｏｒｙ」、Ｓｉｘｔｈ ＵＳＥＮＩＸ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ Ｐｒｏｃｅｅｄｉｎｇｓ、Ｓａｎ Ｊｏｓｅ、ＣＡ ＵＳＡ、Ｊｕｌｙ ２２−２５、１９９６で与えられている。
米国特許出願公開第２００２／０１８１１３４号明細書 Ｐ．Ｇｕｔｍａｎｎ、「Ｓｅｃｕｒｅ Ｄｅｌｅｔｉｏｎ ｏｆ Ｄａｔａ ｆｒｏｍ Ｍａｇｎｅｔｉｃ ａｎｄ Ｓｏｌｉｄ−Ｓｔａｔｅ Ｍｅｍｏｒｙ」、Ｓｉｘｔｈ ＵＳＥＮＩＸ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ Ｐｒｏｃｅｅｄｉｎｇｓ、Ｓａｎ Ｊｏｓｅ、ＣＡ ＵＳＡ、Ｊｕｌｙ ２２−２５、１９９６

したがって、とりわけ、本発明の目的は、シュレッダリング動作を少なくとも部分的に本来のデータ処理動作の背景で実行することにより、本来のデータ処理とシュレッダリング動作のと間でデータ記憶機構部を共用することである。

したがって、態様の１つによれば、本発明は、前記１次プロセスと前記２次プロセスとを非同期で実行して、すなわち、保留中の２次プロセスの完了にかかわらず、１次プロセスを開始することで特徴付けられる。

また、本発明は、本発明の方法を実施するように構成された装置にも関する。本発明のさらなる有利な態様は、従属請求項に記載する。

本発明の以上の特徴、態様、および利点、ならびにさらなる特徴、態様、および利点を、本発明の好ましい実施形態の開示を参照して、特に添付の図を参照してより詳細に説明する。

以下では、ハードディスク上、またはその他の書き換え可能な記憶媒体上の格納済みデータパターンの消去について、「シュレッダリング」という用語を使用する。

図１は、本発明に関連するシステムブロック図を示している。この図は、全体的に象徴的に編成され、したがって、様々なそれぞれのブロックは、同一のハードウェアモジュールではなく、動作を表している。要素１０は、プリンタなどの本発明が実施される装置のコントローラの関連するソフトウェアプロセスを表す。プロセス１０は、装置の内部ディスクの中に格納されたジョブ関連ファイル１２を使用する。プロセス１０の途中で、ジョブ関連ファイルのいくつかは、もはや必要とされず、本発明の文脈では、そのようなファイルは、効果的に消去されなければならない。その目的で、そのようなファイルに関して、符号１４で示すとおり、ファイル消去プロセスが発行される。消去は、以降、シュレッダリングと呼ぶ、装置ディスク上の関連するデータ記憶場所に上書きを行う形態で行われる。シュレッダリング中、元のデータには、すべてが０の単純なシーケンスから、０と１の複雑なパターンまでの様々なビットパターンが上書きされる。

ファイル消去プロセス１４は、１組のユーザが定義したパラメータ、またはデフォルトパラメータ１６で制御される。そのようなパラメータは、例えば、以下のとおりである。すなわち、
同期／非同期／組合せのシュレッダリング
シュレッダリングパターンの数および選択
シュレッダリング優先順位である。

以上に使用した用語を以下に説明する。

ファイル消去プロセス１４の発行に反応して、シュレッダリングプロセス１８が、指定されたファイルに関して、消去パラメータ１６に従ってアクティブ化される（矢印２０で表される）。シュレッダリングプロセスのための実際のビットパターンは、プロセス１８がアクセスできるリスト２２の中で指定されている。

シュレッダリングプロセスの実際の動作をさらに説明する前に、図２、図３、図４、および図５を参照して、本明細書で使用されるいくつかの異なるシュレッダリング技術をまず説明する。この例は、印刷アプリケーションを対象としているが、必要な変更を加えて、スキャンやコピーなどの他のドキュメント処理動作にも適用することができる。

印刷の際、印刷ファイルが、ネットワークを介して受信され、印刷機構部、つまりプリンタのシステムディスクの中に格納される。ファイルは、セキュリティで保護されたデータトランスポートの場合、暗号化されることが可能であり、あるいは受信直後に暗号化されることも可能である。印刷ファイルは、処理されることが可能になるまで、印刷待ち行列の中で待つ。プリンタは、印刷ジョブを処理する準備ができた時点で、ディスクから印刷ファイルを読み取り、必要な場合、そのファイルを解読し、その印刷ファイルをラスタ化することによって処理し、次に、ラスタ化されたファイルを印刷する。標準的な状況では、ファイルは、その時点で、準備ができており、印刷機構部においてもはや使用される必要がない。

図２は、シュレッダリングが適用されていない動作図を示している。例として、印刷ジョブが、３つの印刷シートのシーケンスで表されているが、実際には、印刷ジョブが任意の数のシートを含むことが可能であることが明白であろう。図示するとおり、第１の印刷ジョブ、ジョブ１がまず処理され、続いて、第２の印刷ジョブ、ジョブ２が処理される。

図３は、従来の技術で知られている、いわゆる「同期」シュレッダリングを伴う動作図を示している。簡単にするため、図２の場合と同一のジョブ構成が想定されている。ジョブ１を実行した終了時に、関連するファイルは、用済みであると見なされる。その時点で、ジョブ１のシュレッダリングが即時に実行される。続いて、ジョブ２の実行が行われる。もちろん、ジョブ２にも、シュレッダリングの時期が来ることが可能である。シュレッダリングの必要性は、ジョブ全体で一様でないことがある意図されるセキュリティレベルに基づいて判定されることが可能である。典型的な実施形態では、ＰＩＮコードで保護されたファイルだけが、シュレッダリングされる（以下に説明する）。シュレッダリングされる情報は、最初の情報であることが可能であり、好ましくは、意図されるセキュリティレベルに対して適切であると一般に考えられるような、プロセス中に作成されたあらゆる中間データファイルまたは一時データファイル、更新を介して古くなったデータも含まれる。一般に、実際のオペレーティングシステムには、問題のアプリケーションが、サードパーティのソフトウェアを実行することに基づいている場合でも、そのような中間ファイルをどこで探し出すべきかが分かる。明らかに、ジョブ１の即時のシュレッダリング、または同期のシュレッダリングが優先されることにより、ジョブ２の処理の不要な遅延が生じる可能性がある。

これとは対照的に、図４は、本発明によるいわゆる「非同期」シュレッダリングを伴う動作図を示している。ジョブ１が終わり、関連するファイルがシュレッダリングの対象として上がると、ジョブ２の実行が、いくらかの期間にわたってストレージアクセスなしに行われることが可能であるという条件付きで、ジョブ１のシュレッダリングが実際に開始される。そのようなアクセスが必要になる場合、そのようなアクセスは、何らかの優先規準に基づき、シュレッダリング動作より優先されることが可能である。これにより、シュレッダリングが、「シュレッダリングされるべき」という判定に関して「非同期」になる。シュレッダリングは、一定の基準に基づき自動的にトリガされる。中断の後、シュレッダリングが、再び行われることが可能である。この手続きは、ジョブ３の実行中のジョブ２のシュレッダリングに関して同様に実行される。このため、シュレッダリングは、時間的に分散された形で行われることが可能である。

図５に示した本発明の関連する、特に有利な実施形態では、シュレッダリングは、混合した形で行われる。例えば、最初の数回の（好ましくは、初回だけの）シュレッダリングの実行が、即時で、自動的で、同期である。すなわち、次のジョブが開始される前である。さらなるシュレッダリングの実行は、非同期である。この実施形態では、ファイルは、システムによってもはや読み取られることが可能でない（ただし、物理的ディスクに適用された高度な分析を使用して、格納済みデータパターンを再構成することが、依然として可能である）。まだ、シュレッダリングの最も時間のかかる部分、複数回の上書きは、背景で行われ、後続のジョブの処理を妨げない。

次に、図１に戻り、前述した混合のシュレッダリングモードに関連して、シュレッダリングプロセス１８は、シュレッダリングのためのファイルを、そのファイルの名前を変更し、かつ同期シュレッダリングに専用である別の記憶場所２４にポインタを移すこと（矢印２６で表される動作）によって、ファイル管理１２からまず取り除く。ファイルのデータ場所には、１つ、または限られた数のシュレッダリングパターンが即時に上書きされる。

同期スキャン動作が終了した後、シュレッダリングプロセス１８は、ファイル消去プロセス１４に「終了」メッセージを戻し（矢印３２で表される）、ファイル消去プロセス１４が、関連する１次プロセス１０に、動作を再開してもよいと合図することができるようにし、（シュレッダリングされた）ファイルに対するポインタを、非同期シュレッダリングに専用である次の記憶場所２８（矢印３０で表される動作）に移す。次に、実際のドキュメントデータ処理１０に関する１次処理をさらに妨げることなく、背景プロセスにおいて、ファイルのデータ場所にさらに上書きが行われる。

シュレッダリングプロセス中、図９を参照してさらに説明するとおり、システムのセキュリティ状況を操作者に知らせるため、プロセスのステータス情報が、シュレッダリングプロセス１８によって表示プロセス３６に通信される。

前述した混合モードのシュレッダリングの代替として、やはり完全に非同期のスキャンが、それほど重要でない情報に関して実行されることが可能である。このモードは、図１に示したプロセスと構造の同一の構成で容易に行われることが可能であり、シュレッダリングのためのファイルが、非同期シュレッダリングに専用の記憶場所２８に直接に移されることだけが異なっている。これが、図１の線影付き矢印３４で表されている。

非同期シュレッダリングの特に関連性のある応用例が、共有プリンタ機構部で実施される。というのは、そのようなプリンタは、様々な異なる個人およびグループの間で共用される可能性があるからである。そのようなケースでは、セキュリティは、いっそう重要である。詳細には、本発明の有利な編成が、いくつかのプリンタおよびデジタル複写機、例えば、Ｏｃｅによって市販されるものが特徴とするようなメールボックスの概念を使用して、プリンタに適用される。この概念では、すべてのまだ印刷されていないファイルが、メールボックスの中に存在し、さらに、印刷済みのファイルが、積極的に（または、例えば、２４時間という所定の期間後に自動的に）除去されるまで、しばらくそこに留まる。メールボックスは、ハードディスクなどの不揮発性メモリとして実装される。したがって、ユーザが、メールボックスからファイルを削除した場合、ファイルは、ファイル管理から削除されるだけでなく、シュレッダリングもされる。やはりこのケースで、初回のシュレッダリングの実行を同期で、すなわち、削除コマンドの直後に実行することが得策である。もちろん、最適なセキュリティのため、すべてのジョブファイルは、暗号化された形態で格納され、データが印刷のために必要とされる場合にだけ解読されるべきであり、解読されたデータは、揮発性メモリの中だけに保持される。

さらに、本発明は、デジタルコピー環境、およびデジタルスキャン環境においても適用することができる。デジタルコピーおよびデジタルスキャンは、データ量が多いことでよく知られている。これにより、効果的なシュレッダリングの必要性が生じる。

図４または図５のような状況では、ジョブ１の効果的なシュレッダリング動作は、ジョブ３の開始を超過して続く可能性があり、したがって、様々なジョブが、同時にシュレッダリングされる途中であることが可能であることに留意されたい。これは、以下に説明するとおり、様々なシュレッダリングの実行の間で何らかの優先順位付けを決めることを要求する。

前述のシュレッダリング手続きは、個別ファイルのレベルから、つまりボトムアップで開始した。別のやり方は、システムレベルで開始すること、すなわち、全体的な動作を凍結し、ファイルシステム動作に基づいて、削除されたファイルがシュレッダリングされるべきかどうかを判定することである。この手続きは、セクタ分析に基づくアプローチを必要とする。普通、オペレーティングシステムには、セクタレベルの編成が十分に分かる。

図６は、混合の（非）同期シュレッダリング動作の流れ図を示している。ブロック４０で、動作が開始し、必要なハードウェア機構部およびソフトウェア機構部が占有される。この動作は、例えば、電源投入時に行われる。ブロック４２で、システムは、特定のファイルまたは記憶領域がもはや必要とされていないと判定する。関連する待ちループの編成は、示されていない。ブロック４３で、システムは、シュレッダリングが必要であるかどうかを判定する。必要ない場合、システムは、ブロック５２に進む。シュレッダリングが必要な場合、システムはブロック４４に進み、同期シュレッダリングが必要であるかどうかを判定する。必要ない場合、システムは、ブロック４８に戻る。同期シュレッダリングが必要な場合、システムは、同期シュレッダリングを実行するためにブロック４６に進む。その後すぐに、ブロック４８で非同期シュレッダリングが実行される。

非同期シュレッダリングの開始は、通常のデータ処理動作の間で間隔が生じた場合にトリガされる。そのような間隔は、間隔の開始だけにより、または特定の間隔が少なくともある長さを有すると予測されることを見出すことによって、検出されることが可能である。特定の間隔が少なくともある長さを有すると予測されることを見出すことによって間隔が検出される場合、シュレッダリング動作は、このより低いレベルで、通常のデータ処理に一時的に優先することが可能である。ある量のシュレッダリングの後、システムは、標準のデータ処理に、ストレージアクセス要求について問い合わせることができる。ただし、そのような背景処理は、特定のオペレーティングシステムの基本的な機構部であり、その正確な実施形態は、本発明の一部ではない。

シュレッダリング動作が、複数のファイルに対して進行中である場合、何らかの優先順位編成が保持される。そのための第１の解決方法は、先着順であり、したがって、ファイルは、通常、シュレッダリング動作の同期部分は、別として、ファイルがシュレッダリング可能であると判明した順序に従って扱われる。第２のアプローチは、シュレッダリングパターンのランク付け番号（図７参照）に優先順位を決めさせることによる。さらに別のアプローチは、特定のファイルに関連するすべての非同期シュレッダリング動作に優先順位レベルを割り当てることによる。プリンタの応用例では、印刷ファイルが、ログ記録ファイルに優先する。

シュレッダリングが行われなければならない限り、ブロック４８およびブロック５０のループ（「準備ができているか」）は、循環する。シュレッダリングの準備ができている場合、システムは、ブロック５２に進み、問題の記憶領域が、新たなシステム使用のために解放される。その後すぐに、システムは、ブロック４２に戻る。

簡単にするため、シュレッダリングとその他のデータ処理動作の間の対話は、詳細に提供していないが、様々な優先順位で制御された動作が実行されることが可能である。そのような詳細も、当業者の知識に完全に含まれるものと考えられる。

さらに、ドキュメントデータ処理ジョブの終了直後、シュレッダリングプロセスが開始することが許される前に、短い遅延が導入される可能性がある。さもなければ、新たなドキュメントデータ処理ジョブは、開始した場合、シュレッダリングプロセスに優先するが、シュレッダリングプロセスがディスクを占有している場合、優先ジョブが、ディスク上の要求される記憶場所にアクセスするまでにしばらく時間がかかる。

シュレッダリング、より詳細には、同期の初回シュレッダリング実行後のさらなるシュレッダリングの実行は、オフラインで、例えば、システムのシャットダウン直前に、または夜間に、または沈黙時間中に一括プロセスとして行われることも可能である。実際、印刷処理において使用された記憶セクションが、そのケースでは、初回シュレッダリング実行後に再び使用されることが可能であり、そのセクションの使用だけがログ記録される。次に、夜間の一括シュレッダリングにおいて、日中に印刷プロセスにおいて使用されたとログ記録されたすべてのファイルが、シュレッダリングによって適切に消去され、終わりに「クリーンな」システムが残される。

データシュレッダリングの有効性のレベルは、使用されるシュレッダリングパターンの数および内容に応じる。シュレッダリングの実行が追加されるたびに、記憶媒体上の元のビットパターンの検索がより困難になり、使用されるシュレッダリングパターンが、実行ごとに異なる場合、いっそう困難になる。したがって、設定可能なセキュリティレベルをユーザに提供することは、本発明の範囲内である。

第１の実施形態では、ユーザのＰＣ上に示したプリンタドライバウインドウ７０が、スライドスイッチ、一連のラジオボタン、または他の任意の適切な手段の形態でセキュリティレベルセッタを含む。プリンタドライバウインドウは、一連のタブを有し、ここで「データ消去」と呼ばれるタブの１つ（６９）では、図８ａに示すとおり、適切なボタンをクリックすることにより、セキュリティレベルを選択することができる。すべてのセキュリティレベルが、図７に関連して以下にさらに説明するシュレッダリング手続きとビットパターンとの事前規定された組合せに関連する。

図８ａにおけるオプションのリストには、以下が含まれる。すなわち、
最大数のシュレッダリングパターン（図７参照）が、同期方法で使用される「最高」、 初回の同期シュレッダリングの実行後に、例えば、１５個のシュレッダリングパターンを選択して使用する非同期プロセスが行われる「高」、
限られた数のシュレッダリングパターンを使用して非同期シュレッダリングプロセスだけが適用される「中」、
シュレッダリング実行を同期実行または非同期実行として適用することを含め、ユーザが自ら選択した回数および種類のシュレッダリング実行を選択することができる「カスタム」である。

もちろん、その他のオプションも、本発明の範囲に含まれる。

図８ｂに示したプリンタドライバの基本的なスクリーンには、特定の印刷ジョブをセキュリティジョブとして規定するためのチェックボックス７１が存在する。ユーザがそのように規定した場合、ジョブを印刷する際にユーザが求められる、ＰＩＮコードをユーザが入力する強制ダイアログが現れる（図示せず）。セキュリティジョブの他の可能な形態には、指紋スキャン、虹彩スキャン、またはコードカードなどの、ユーザを識別する、またはそれ以外の形で許可するのに適切な、他のセキュリティトークンが関与する。印刷ジョブをセキュリティジョブとして規定することにより、ジョブを終了した後、プリンタ内の印刷データをシュレッダリングすることによる消去が自動的に実施される。

代替の実施形態では、セキュリティレベルの選択は、図８ａに示したものと同様の選択ウインドウを使用して、すべてのユーザに関してセキュリティレベルを実施することができるスーパーユーザ（「キー操作者」としても知られる）またはシステム管理者のために取っておかれる。

図７は、序論で言及したＧｕｔｍａｎｎの論文で、Ｇｕｔｍａｎｎによって提案されるシュレッダリングパターンのテーブルを示しており、このテーブルを本発明で使用することができる。左側の列は、各回のデータパス、つまりシュレッダリング実行を示している。第２の列は、様々なシュレッダリングパターンを示している。パターンの一部は、図示していないランダムパターンジェネレータによって生成されることにより、ランダムである。他のパターンは、１６進の「略記法」（「０×」が１６進表記を知らせている）で、列に示されている適切な形で繰り返すビットパターンによってもたらされた、より基本的なパターンのシーケンスによってもたらされる。例えば、第７の行は、ビットパターン０×９２、０×４９、０×２４、つまり「１００１００１０ ０１００１００１ ００１００１００」の繰り返しをもたらす。図示するとおり、最大で３５回のシュレッダリング実行が必要とされる可能性がある。図示する様々な異なるパターンを使用して、３５回の連続的な実行を実行することを介して、最適なケースが実現される。可能なパフォーマンスの低下と必要とされるセキュリティとの間でバランスを実現するため、消去パターンの数は、０から３５までの範囲で選択されることが可能である。３５回の実行で、スキームは、図示するとおり使用される。より少ない回数の実行が適用される場合は、所定の選択が行われる。

図９は、操作パネル（図示せず）上のキーを操作した際に、ローカル装置ディスプレイ上に投影されることが可能な情報ウインドウ１００を示している。ウインドウ１００は、装置の内部ハードディスクの実際のセキュリティ関連状況を、「使用中のデータ」（ドキュメントデータに関連しないシステムファイルを除く）に関するエントリ、「消去プロセス中のデータ」に関するエントリ、およびバイト単位の空き（「クリーンな」）ディスク空間に関するエントリとして示している。「燃料計」タイプの表示項目１１０が、状況の手短な印象を与えるように追加されている。代替の実施形態では、シュレッダリングがスケジュールされているが、まだ完全に消去されていないデータを含む、「使用中のデータ」に関するエントリだけが示される。もちろん、ファイルの番号で指定された情報を示すことも可能である。装置ディスプレイ上のこの指示で、ユーザは、除去されるべきデータが実際に消えていることを即時に見ることができる。この表示を行うのに必要な情報は、装置コントローラ内部に存在するオペレーティングシステムによって容易に提供されることが可能であり、定期的にリフレッシュされて、動的な状況表示を与えることが可能である。この表示ウインドウは、システム管理者のワークステーション上にも示されることが可能である。

本発明は、非常に似通った形でスキャンを行うため、およびコピーを行うためにも有利に使用することができる。スキャンを行う際、専用スキャン装置、または多機能装置で、ユーザがまず、自分の名前、またはその他のＩＤコードを入力しなければならず、次に、ドキュメントをスキャンすることができる。次に、スキャンデータが、ユーザのＩＤに関連する装置のシステムディスク上に格納される。次に、ユーザは、自分のワークステーションに戻り、スキャナにコンタクトし、自分のスキャンファイルを取り出すことができる。本発明によれば、次に、スキャンデータがディスクから除去され、使用されたディスクセクタが、シュレッダリングによって消去される。

コピー動作では、スキャナが、元のドキュメントをスキャンし、スキャンデータを複写機の内部ディスク上に格納し、その後、プリンタが、そのディスクからコピーを印刷する。使用されたディスク空間のシュレッダリングは、自動的に行われてもよく、コピージョブパラメータの設定中に操作者によって行われた設定に反応して行われてもよい。

前述したすべてのケースで、本発明による、完全に、または少なくとも部分的に背景プロセスとして行われるシュレッダリング手続きは、新たな印刷ジョブ、コピージョブ、またはスキャンジョブをわずかにしか妨げない。

本発明を、本発明の好ましい実施形態に関連して以上に開示した。特許請求の範囲を超えることなく、多数の変更および改変を好ましい実施形態に行うことができることが当業者には認識されよう。したがって、諸実施形態は、例示的であると見なされるべきであり、特許請求の範囲に記載する以外は、それらの実施形態からいずれの限定も解釈されるべきではない。

本発明に関係するシステムブロック図である。 シュレッダリングが適用されない動作図である。 同期シュレッダリングを伴う動作図である。 非同期シュレッダリングを伴う動作図である。 混合モードシュレッダリングを伴う動作図である。 混合（非）同期シュレッダリング動作の流れ図である。 シュレッダリングパターンのテーブルである。 本発明によるデータ消去を制御するためのユーザインターフェースウインドウを示す図である。 本発明によるデータ消去を制御するためのユーザインターフェースウインドウを示す図である。 シュレッダリングプロセス管理のためのユーザインターフェースウインドウを示す図である。

符号の説明

１０、１４、１８、３６ プロセス
１２ ファイル
１６ パラメータ
２２ ビットパターンリスト
２４、２８ 記憶場所

Claims (25)

1. データキャリア上に格納されることが可能なドキュメントデータを処理するための１次プロセスと、シュレッダリングパターンを前記キャリアの選択された記憶領域に上書きすることを介して、格納済みのデータを消去するための２次プロセスとを有する、ドキュメントデータ処理装置において、前記装置のデータ処理機構部によるアクセスが可能な書き換え可能なデータキャリア上の格納済み情報パターンを消去する方法であって、
   前記１次プロセスと前記２次プロセスを非同期で実行すること、すなわち、保留中の２次プロセスの完了にかかわらず、１次プロセスを開始することを特徴とする方法。
2. １次プロセスとあらゆる２次プロセスを、あらゆる２次プロセスの少なくとも終了段階が非同期で実行されるような形でスケジュールして、１次プロセスを妨げないようにすることを特徴とする、請求項１に記載の方法。
3. あらゆる２次プロセスの少なくとも一部分に、１次プロセスより低い優先順位が割り当てられることを特徴とする、請求項１に記載の方法。
4. ２次プロセスにおける前記上書きが、前記選択された記憶領域の全体をそれぞれが少なくとも実質的にカバーするシュレッダリングパターンを使用するシュレッダリング実行のシーケンスから成る、請求項１に記載の方法。
5. 第１の１次プロセスで使用された記憶領域に対する２次プロセスの初回シュレッダリング実行が、同期して、すなわち、前記初回シュレッダリング実行の完了まで前記第１の１次プロセスに続く次の１次プロセスの開始を阻止することによって行われる、請求項３に記載の方法。
6. １次プロセスの完了後、システム管理テーブルから関連のある格納済みデータファイルが直接に除去され、前記データファイルを消去するための２次プロセスが非同期で実行される、請求項１に記載の方法。
7. 前記上書きが、前記選択された記憶領域に対する意図されたセキュリティレベルに基づいて実施される、請求項１に記載の方法。
8. 前記上書きが、プリンタロケーションにおけるセキュリティジョブ、つまりパスワードなどのセキュリティトークンを入力した後に初めて印刷されることが可能な印刷ジョブに関して自動的に実行される、請求項７に記載の方法。
9. 前記データ処理装置が、プリンタである、請求項１に記載の方法。
10. 前記データ処理装置が、デジタル複写機である、請求項１に記載の方法。
11. 前記データ処理装置が、スキャナである、請求項１に記載の方法。
12. 前記選択された記憶領域が、特定の１次プロセス中に実際のオペレーティングシステムによって使用された一時データ、中間データ、および他のデータのストレージを含む、請求項１に記載の方法。
13. 前記書き換え可能なデータキャリア上の記憶領域が、前記記憶領域に関して用済みの情報が存在する時点で、シュレッダリングパターンによる前記上書きの対象に自動的に指定される、請求項１に記載の方法。
14. 前記上書きが、所定の十分なサイズの記憶領域に対する所定の十分な上書きアクティビティに基づいて終了される、請求項１に記載の方法。
15. 前記上書きが、様々な削除可能なファイル間でそれぞれの優先レベルによってスケジュールされ、そのような優先レベルが、先着順原理、または特定のファイルのＩＤまたは特性のいずれかによって制御される、請求項１２に記載の方法。
16. 前記上書きが、様々な削除可能なファイル間でそれぞれの優先レベルによってスケジュールされ、そのような優先レベルが、特定のファイルに適用可能な複数のシュレッダリング実行の間における特定のシュレッダリング実行のランク付けによって制御される、請求項４に記載の方法。
17. 特定のファイルに関するシュレッダリングを開始する前に、１次プロセス後に短い遅延を導入する、請求項１に記載の方法。
18. 装置において２次プロセスの全体的な進行を表示して、内部データセキュリティ状況の指示を与えることをさらに含む、請求項１に記載の方法。
19. データ処理機構部と、
    前記データ処理機構部によるアクセスが可能な書き換え可能なデータキャリアとを含むドキュメント処理装置であって、
    前記データ処理機構部が、
    前記データキャリア上に格納されることが可能なドキュメントデータを処理するための１次プロセスと、
    シュレッダリングパターンを前記キャリアの選択された記憶領域に上書きすることを介して、前記データキャリアの中に格納されたデータを消去するための２次プロセスとを実行し、
    前記１次プロセスと前記２次プロセスを非同期で実行するように、すなわち、あらゆる保留中の２次プロセスの完了にかかわらず１次プロセスを開始するように構成されていることを特徴とする装置。
20. １次プロセスとあらゆる２次プロセスを、あらゆる２次プロセスの少なくとも終了段階が１次プロセスを妨げないような形でスケジュールするためのスケジューラを含む、請求項１９に記載の装置。
21. ２次プロセスが、前記選択された記憶領域の全体をそれぞれ少なくとも実質的にカバーする複数のシュレッダリングパターンを使用してシュレッダリング実行のシーケンスを実行することを含む、請求項１９に記載の装置。
22. ２次プロセスは、初回シュレッダリング実行を同期して、すなわち、前記初回シュレッダリング実行の完了まで次の１次プロセスの開始を阻止することによって実行し、さらなるシュレッダリング実行を非同期で実行することを含む、請求項２１に記載の装置。
23. データ処理機構部が、事前規定された追加情報項目の存在についてドキュメントデータのファイルを調べ、データ処理機構部が、前記ファイルに第１のプロセスを適用した後、前記追加情報項目を有するファイルに第２のプロセスを自動的に適用する、請求項１９に記載の装置。
24. 装置における２次プロセスの全体的な進行を監視するための手段と、
    前記進行を操作者に表示して、内部データセキュリティ状況の指示を与えるための手段とを含む、請求項１９に記載の装置。
25. プリンタ、複写機、またはスキャナである、請求項１９に記載の装置。

Images