JP2006082431A - 画像形成装置およびデータ漏洩防止プログラム - Google Patents

Abstract

【課題】出力バッファからのデータ漏洩を効果的に防止すること。
【解決手段】出力処理の中止を検出する出力管理部と、出力管理部からの出力中止指示により出力データ記憶部（出力バッファ）のデータを消去する出力データ加工部とから出力バッファ消去処理を構成することにより出力バッファからのデータ漏洩を防止する。また、課金装置の状態を監視し、かかる課金装置の状態に基づいて出力処理の開始処理および出力処理の中止処理をおこなうことにより、有料データのデータ漏洩を防止する。
【選択図】 図４

Description

本発明は、出力用データを記憶する記憶装置と、記憶装置から取得したデータを加工して出力する出力装置とを有し、記憶装置が記憶する出力用データを出力バッファに転送する転送処理と、出力バッファからデータを読み出して出力する出力処理とを動作させることが可能な画像形成装置およびデータ漏洩防止プログラムに関し、特に、出力バッファからのデータ漏洩を効率的に防止することができる画像形成装置およびデータ漏洩防止プログラムに関するものである。

従来、プリンタ、コピーおよびスキャナなどの複数の機能を一つの筐体内に収納した複合機が知られている。かかる複合機では、ＵＮＩＸ（Ｒ）などの汎用ＯＳ上に、プリンタアプリ、コピーアプリおよびスキャナアプリと呼ばれる複数のアプリケーションを搭載し、これらのアプリケーションの実行処理を切替えながら複数の機能を実現している。

このような多機能化により、複合機はスキャナ装置などの入力装置や、プロッタ装置などの出力装置を複数備えることが可能となっている。そして、かかる入出力装置を備える複合機の処理速度を向上させるために、ＤＭＡ（Direct Memory Access）などのメモリ制御技術が用いられることが多い。なお、特許文献１には、ＤＭＡ転送方式およびＤＭＡコントローラの一例が開示されている。

かかる高速化の要請から、複合機に搭載される各入出力装置は、その内部にバッファメモリを実装することが通常となっている。各入出力装置がバッファメモリを内蔵することで、各入出力装置が取り扱うデータを並行して処理することが可能となるため、複合機全体として処理速度の向上をはかることができる。さらに、複合機が取り扱うデータの多様化にともない、かかるバッファメモリの容量は増加の傾向にある。

このような高速化の要請とともに、近年では、情報セキュリティに対する関心が高まってきており、特に、コピー機に残存したデータが取得されて機密情報が漏れるといった、情報機器のデータ漏洩問題は、大きな社会問題となっている。

このため、複合機内のハードディスク装置へのアクセスにパスワードを用いた制限を加えたり、ハードディスク装置や各種メモリに記憶されるデータを暗号化したりするなどの技術を用いて、かかるデータ漏洩を防止しようとする試みがなされている。

特開平０６−１０３２２５号公報

しかしながら、かかるバッファメモリなどのメモリにアクセス制限手段を設けることは一般的ではない。たとえ、アクセス制限手段を設けたとしても悪意の利用者により残存したデータを取得される可能性がある。また、高速化の要求に応えるために設けられたバッファメモリに処理負荷のかかる暗号化手段を組み合わせることは、処理速度の低下を招くため適当ではない。

特に、有料サービスの提供をおこない、提供したサービスの料金を課金する複合機においては、不正な課金装置の操作により機能提供が中止される場合もあるので、サービスが中止された場合であってもバッファメモリからのデータ漏洩を防止するようにする必要がある。

これらのことから、複合機に搭載される入出力装置にバッファメモリを用いながら、かかるバッファメモリからデータが漏洩することを、いかにして防止するかが大きな課題となっている。なお、かかる課題は複合機についてのみ生じるものではなく、たとえば、取り扱うデータを一時的に記憶するバッファメモリを備えた情報機器についても同様に生ずる課題である。

本発明は、上述した従来技術による問題点を解消するためになされたものであり、複合機に搭載される入出力装置にバッファメモリを用いながら、かかるバッファメモリからのデータ漏洩を効率的に防止することができる画像形成装置およびデータ漏洩防止プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、請求項１の発明にかかる画像形成装置は、出力用データを記憶する記憶装置と、前記記憶装置から取得したデータを加工して出力する出力装置とを有し、前記記憶装置が記憶する出力用データを出力バッファに転送する転送処理と、該出力バッファからデータを読み出して出力する出力処理とを動作させることが可能な画像形成装置であって、前記出力処理を中止すべき事由を検出したならば、該出力処理に対し中止指示をおこなう出力管理手段と、前記出力管理手段からの中止指示により前記出力バッファのデータを消去したうえで、前記出力処理を中止させる出力中止手段とを備えたことを特徴とする。

また、請求項２の発明にかかる画像形成装置は、請求項１の発明において、前記出力中止手段は、前記中止指示を受けることなく前記出力処理が完了したならば、前記出力バッファに記憶されているデータを消去することを特徴とする。

また、請求項３の発明にかかる画像形成装置は、請求項１または２の発明において、前記出力管理手段は、利用者による出力中止指示を取得したならば、かかる出力中止指示の取得を、前記中止すべき事由として検出することを特徴とする。

また、請求項４の発明にかかる画像形成装置は、請求項１、２または３の発明において、前記出力管理手段は、前記転送処理に対し、前記記憶装置から前記出力バッファへのデータ転送の開始を指示することを特徴とする。

また、請求項５の発明にかかる画像形成装置は、請求項１〜４の発明において、前記出力管理手段は、有料データの提供に対する課金の実行をおこなう課金装置と通信して課金状態を取得し、該課金状態が課金実行不能状態に遷移したならば、該状態を前記中止すべき事由として検出することを特徴とする。

また、請求項６の発明にかかる画像形成装置は、請求項５の発明において、前記出力管理手段は、前記課金状態が課金実行可能状態である場合に、前記転送処理に対し、前記記憶装置から前記出力バッファへのデータ転送の開始を指示することを特徴とする。

また、請求項７の発明にかかる画像形成装置は、請求項５または６の発明において、前記出力管理手段は、前記中止指示をおこなうことなく前記出力処理が完了したならば、前記課金装置に対して課金の実行を指示することを特徴とする。

また、請求項８の発明にかかるデータ漏洩防止プログラムは、出力用データを記憶する記憶装置と、前記記憶装置から取得したデータを加工して出力する出力装置とを有し、前記記憶装置が記憶する出力用データを出力バッファに転送する転送処理と、該出力バッファからデータを読み出して出力する出力処理とを動作させることが可能な画像形成装置画像形成装置に搭載されるデータ漏洩防止プログラムであって、前記データ漏洩防止プログラムは、前記出力処理を中止すべき事由を検出したならば、該出力処理に対し中止指示をおこなう出力管理手段と、前記出力管理手段からの中止指示により前記出力バッファのデータを消去したうえで、前記出力処理を中止させる出力中止手段とをコンピュータに実行させることを特徴とする。

請求項１にかかる画像形成装置によれば、出力処理を中止すべき事由を検出したならば、出力処理に対し中止指示をおこなう出力管理手段と、出力管理手段からの中止指示により出力バッファのデータを消去したうえで、出力処理を中止させる出力中止手段とを備えるよう構成したので、出力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

また、請求項２にかかる画像形成装置によれば、出力中止手段は、中止指示を受けることなく出力処理が完了したならば、出力バッファに記憶されているデータを消去するよう構成したので、出力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

また、請求項３にかかる画像形成装置によれば、出力管理手段は、利用者による出力中止指示を取得したならば、かかる出力中止指示の取得を、中止すべき事由として検出するよう構成したので、利用者の指示により出力処理が中止された場合であっても、出力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

また、請求項４にかかる画像形成装置によれば、出力管理手段は、転送処理に対し、記憶装置から出力バッファへのデータ転送の開始を指示するよう構成したので、出力バッファへのデータ書込みを管理することにより、出力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

また、請求項５にかかる画像形成装置によれば、出力管理手段は、有料データの提供に対する課金の実行をおこなう課金装置と通信して課金状態を取得し、課金状態が課金実行不能状態に遷移したならば、かかる状態を中止すべき事由として検出するよう構成したので、課金装置に対する利用者の不正行為があった場合であっても、出力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

また、請求項６にかかる画像形成装置によれば、出力管理手段は、課金状態が課金実行可能状態である場合に、転送処理に対し、記憶装置から出力バッファへのデータ転送の開始を指示するよう構成したので、課金が不可能である場合に、出力バッファへのデータ転送がおこなわれ、出力バッファからデータ漏洩が引き起こされることを効率的に防止することができるという効果を奏する。

また、請求項７にかかる画像形成装置によれば、出力管理手段は、中止指示をおこなうことなく出力処理が完了したならば、課金装置に対して課金の実行を指示するよう構成したので、課金対象となる有料サービスの出力処理が完了する前に、出力バッファのデータが消去されることを防止することができるという効果を奏する。

また、請求項８にかかるデータ漏洩防止プログラムによれば、出力処理を中止すべき事由を検出したならば、出力処理に対し中止指示をおこなう出力管理手段と、出力管理手段からの中止指示により出力バッファのデータを消去したうえで、出力処理を中止させる出力中止手段とを備えるよう構成したので、出力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

以下に添付図面を参照して、この発明にかかる画像形成装置およびデータ漏洩防止プログラムの最良な実施の形態を詳細に説明する。ここでは、まず、本実施の形態に係る画像形成装置の概要および特徴について説明し、その後に、本実施の形態の特徴部分である出力バッファ消去処理の実施の形態について説明することとする。なお、本実施の形態では、この発明を画像形成装置に適用した場合について説明するが、本発明はこれに限らず、出力バッファ消去処理をおこなう各種装置に適用することができる。

（概要および特徴）
まず、本実施の形態に係る画像形成装置（以下「複合機」と言う）１の概要について図１、図２および図３−１〜図３−３を用いて説明する。図１は、本実施の形態に係る複合機１を取り巻くネットワーク環境を説明するためのネットワーク図である。

図１に示すように、近年のネットワーク化の進展により、オフィスなどに設けられたパーソナルコンピュータ（ＰＣ）などの機器は、ＬＡＮ（Local Area Network）などのネットワークに接続され、相互に通信することが通常となった。たとえば、同図に示したように、かかるネットワークには、クライアントＰＣ、ＳＭＴＰ（Simple Mail Transfer Protocol）サーバ、ＦＴＰ（File Transfer Protocol）サーバ、サーバＰＣなどが接続され、電子メールの送受信やファイル転送をすることができ、モデム接続された配信サーバは、オフィス外のファックス装置と通信することができる。

このようなネットワーク化の進展に伴い、複合機１もかかるネットワークに接続され、ＰＣ等の機器と相互に通信することが可能となり、ハードディスク等の記憶装置を内蔵することで、いわゆるネットワーク複合機へと進化し、ユーザの様々なニーズに応えることができるようになった。

たとえば、複合機１は、通常のコピー機能に加えて、クライアントＰＣからの印刷要求により文書データ等を印刷するプリンタ機能、クライアントＰＣからのファックス要求により文書データ等をサーバＰＣに接続されたモデムを経由して他のオフィスのファックス機器に送信するファックス機能、受信したファックス文書やコピー文書を内蔵したハードディスクに蓄積する蓄積機能などを有するようになった。

このような複合化とネットワーク化の進展により、複合機１は多くの機能を提供することが可能となっている。そして、かかる機能の提供は、スキャナ装置などの入力装置、プロッタ装置などの出力装置、ハードディスク装置等の入力装置としても出力装置としても動作可能な装置の組合せによりおこなわれる。たとえば、コピー機能は、スキャナ装置とプロッタ装置との組合せにより提供され、文書蓄積機能は、スキャナ装置とハードディスク装置との組合せにより提供される。

そして、各入出力装置が取り扱うデータ形式やデータ単位はそれぞれ異なることが通常であるので、入力装置により取り込まれたデータは、画像変換処理などの加工処理を経たうえで、複合機１内に取り込まれ、加工処理を経たうえで出力装置に渡されることになる。また、各出力装置の処理速度はそれぞれ異なることが通常であり、かかる処理速度差異を吸収する必要がある。さらに、複合機１全体としての処理速度は高速であることが求められる。これらのことから、各入出力装置は、その内部にＤＲＡＭ（Dynamic Random Access Memory）などのバッファメモリを実装することが多い。

したがって、このバッファメモリには、短時間ではあるが画像データなどのデータが記憶されることになる。バッファメモリの容量が小さい場合には、記憶されるデータの内容から画像データなどのデータの内容を識別することはほぼ不可能であったが、処理の高速化や取扱うデータの多様化が求められる近年の複合機１においては、たとえば、原稿１枚分程度の容量をもつバッファメモリが実装される場合もある。

かかるバッファメモリに記憶されたデータが、悪意をもった利用者により読み出されると機密情報の漏洩を引き起こすことにもなるため、かかるデータ漏洩の防止をおこなう必要がある。近年では、情報セキュリティに関連する規格も制定されつつあるなど、データ漏洩の防止に対する関心は高まっているため、データ漏洩の防止は重要な課題となっている。

特に、画像データを保存し、画像データの読出しや画像データの維持に対して課金をおこなう場合には、課金対象となる画像データの漏洩防止は非常に重要である。このような場合に、画像データを保存する記憶装置へのアクセスをパスワードを用いて制限したとしても、上述したバッファメモリに残存するデータによりデータ漏洩が引き起こされる場合がある。

なお、かかるバッファメモリに記憶されるデータに暗号処理を施すことによりデータ漏洩を防止することも考えられるが、データ処理を高速化するために設けられたバッファメモリに、処理負荷のかかる暗号処理を施すことは、処理速度の低下につながるため適当ではない。そこで、本実施の形態に係る複合機１では、出力装置が用いるバッファメモリを適宜消去することにより、かかるデータ漏洩を防止することとしている。

図２は、かかる複合機１のハードウェア構成を示すブロック図である。同図に示すように、この複合機１は、コントローラ１０とエンジン部（Engine）６０とをＰＣＩ（Peripheral Component Interconnect）バスで接続した構成となる。コントローラ１０は、複合機１全体の制御と描画、通信、図示しない操作部からの入力を制御するコントローラである。エンジン部６０は、ＰＣＩバスに接続可能なプリンタエンジンなどであり、たとえば白黒プロッタ、１ドラムカラープロッタ、４ドラムカラープロッタ、スキャナまたはファックスユニットなどである。なお、このエンジン部６０には、プロッタなどのいわゆるエンジン部分に加えて、誤差拡散やガンマ変換などの画像処理部分が含まれる。

コントローラ１０は、ＣＰＵ１１と、ノースブリッジ（ＮＢ）１３と、システムメモリ（ＭＥＭ−Ｐ）１２と、サウスブリッジ（ＳＢ）１４と、ローカルメモリ（ＭＥＭ−Ｃ）１７と、ＡＳＩＣ（Application Specific Integrated Circuit）１６と、ハードディスクドライブ（ＨＤＤ）１８とを有し、ノースブリッジ（ＮＢ）１３とＡＳＩＣ１６との間をＡＧＰ（Accelerated Graphics Port）バス１５で接続した構成となる。また、ＭＥＭ−Ｐ１２は、ＲＯＭ（Read Only Memory）１２ａと、ＲＡＭ(Random Access Memory)１２ｂとをさらに有する。

ＣＰＵ１１は、複合機１の全体制御をおこなうものであり、ＮＢ１３、ＭＥＭ−Ｐ１２およびＳＢ１４からなるチップセットを有し、このチップセットを介して他の機器と接続される。

ＮＢ１３は、ＣＰＵ１１とＭＥＭ−Ｐ１２、ＳＢ１４、ＡＧＰ１５とを接続するためのブリッジであり、ＭＥＭ−Ｐ１２に対する読み書きなどを制御するメモリコントローラと、ＰＣＩマスタおよびＡＧＰターゲットとを有する。

ＭＥＭ−Ｐ１２は、プログラムやデータの格納用メモリ、プログラムやデータの展開用メモリ、プリンタの描画用メモリなどとして用いるシステムメモリであり、ＲＯＭ１２ａとＲＡＭ１２ｂとからなる。ＲＯＭ１２ａは、プログラムやデータの格納用メモリとして用いる読み出し専用のメモリであり、ＲＡＭ１２ｂは、プログラムやデータの展開用メモリ、プリンタの描画用メモリなどとして用いる書き込みおよび読み出し可能なメモリである。

ＳＢ１４は、ＮＢ１３とＰＣＩデバイス、周辺デバイスとを接続するためのブリッジである。このＳＢ１４は、ＰＣＩバスを介してＮＢ１３と接続されており、このＰＣＩバスには、ネットワークインターフェース（Ｉ／Ｆ）部なども接続される。

ＡＳＩＣ１６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ（Integrated Circuit）であり、ＡＧＰ１５、ＰＣＩバス、ＨＤＤ１８およびＭＥＭ−Ｃ１７をそれぞれ接続するブリッジの役割を有する。このＡＳＩＣ１６は、ＰＣＩターゲットおよびＡＧＰマスタと、ＡＳＩＣ１６の中核をなすアービタ（ＡＲＢ）と、ＭＥＭ−Ｃ１７を制御するメモリコントローラと、ハードウェアロジックなどにより画像データの回転などをおこなう複数のＤＭＡＣ（Direct Memory Access Controller）と、エンジン部６０との間でＰＣＩバスを介したデータ転送をおこなうＰＣＩユニットとからなる。このＡＳＩＣ１６には、ＰＣＩバスを介してＦＣＵ（Fax Control Unit）３０、ＵＳＢ（Universal Serial Bus）４０、ＩＥＥＥ１３９４（the Institute of Electrical and Electronics Engineers 1394）インターフェース５０が接続される。

ＭＥＭ−Ｃ１７は、コピー用画像バッファ、符号バッファとして用いるローカルメモリであり、ＨＤＤ（Hard Disk Drive）１８は、画像データの蓄積、プログラムの蓄積、フォントデータの蓄積、フォームの蓄積を行うためのストレージである。

オペレーションパネル２０は、利用者からの入力操作を受け付けるとともに、利用者向けの情報表示をおこなう操作部である。また、課金装置１ａは、専用の課金装置インターフェースを介して接続され、入金された金額情報、プリペイドカードの残度数、暗証番号などの情報がＣＰＵ１１に伝えられる。そして、この課金装置１ａは、ＣＰＵ１１からの命令によりプリペイドカードの残高の減額といった課金実行処理をおこなう。なお、課金装置１ａに該当する装置としては、コインラック装置、プリペイドカード装置、プリセットキーカード装置などがある。

ＡＧＰ１５は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレーターカード用のバスインターフェースであり、ＭＥＭ−Ｐ１２に高スループットで直接アクセスすることにより、グラフィックスアクセラレーターカードを高速にするものである。

次に、本実施の形態に係る複合機１の特徴について、図３−１〜図３−３を用いて説明する。本実施の形態に係る複合機１の特徴は、出力装置が用いるバッファメモリを適宜消去することにより、バッファメモリからのデータ漏洩を防止する点にある。図３−１は、複合機１の出力処理の概要を説明するための説明図である。

同図に示すように、複合機１の出力処理においては、ＭＥＭ−Ｃ１７などの記憶装置に記憶されている画像データなどのデータを、プロッタ装置などの出力装置が用いる出力バッファに転送する処理がおこなわれる。そして、画像データを受取った出力装置は、かかる画像データの変換処理をおこなうなどして、記録紙への印刷処理をおこなうことになる。このようにして、複合機１は、印刷処理が施された記録紙を成果物として出力する。

この場合、かかる転送処理において、記憶装置から出力装置へのデータ転送が完了した時点で記憶装置上のデータを消去することとすれば、記憶装置にはデータが残存することはないので、記憶装置からデータが漏洩することを防止することは可能である。しかしながら、出力装置が用いる出力バッファには、転送されたデータが残るため出力バッファからデータの漏洩を起こす可能性がある。

図３−２は、出力処理が完了した場合における出力バッファの消去処理の例を説明するための説明図である。同図に示すように、かかるデータ漏洩を防止するためには、複合機１が成果物の出力を完了した際に、かかる出力バッファのデータを消去する必要がある。このように、成果物の出力が完了した際にデータ消去をおこなうこととすれば、複合機１がコピー機能などの機能提供をおこなった後に、出力装置が用いる出力バッファにデータが残存してデータ漏洩を引き起こすことを防止することができる。

しかしながら、成果物の出力完了の際のみに、かかる出力バッファのデータ消去をおこなっても、出力バッファからデータ漏洩が起こる可能性がある。すなわち、利用者の指示により出力処理が中止された場合や、利用者によりコインラック装置などの課金装置１ａに入金された料金の返却が指示された場合には、成果物の出力は中止されるので、機能提供の完了をもって出力バッファの消去をおこなうことができない。

図３−３は、出力処理が中止された場合における出力バッファの消去処理の例を説明するための説明図である。同図に示すように、利用者の指示あるいは複合機１のハードウェアエラーなどにより出力処理が中止された場合や、課金装置１ａに入金された料金が返却されたり、プリペイドカードが取出されたりすることにより出力処理が中止された場合にも、出力バッファにデータが残存することになる。かかる残存データによりデータ漏洩の可能性があるので、出力処理が中止された場合にも残存データを消去してデータ漏洩を防止する必要がある。

本実施の形態に係る複合機１では、出力処理の成果物の出力完了および出力処理の中止事由を検出し、このような場合に出力装置が用いる出力バッファのデータを消去することでデータ漏洩を防止する点に特徴がある。

（出力バッファ消去処理の実施の形態）
次に、上述した出力バッファ消去処理の実施の形態について詳細に説明する。図４は、本実施の形態に係る複合機１の構成を示す機能ブロック図である。同図に示すように、複合機１は、出力データ加工部１００、出力管理部２００、記憶装置１２０、出力装置１３０およびオペレーションパネル２０を有している。

ここで、各処理部および各装置間の関係の概要について説明しておく。出力データ加工部１００は、記憶装置１２０から画像データなどのデータを入力し、出力装置１３０に出力するとともに、出力管理部２００からの指示メッセージの受信および出力管理部２００への通知メッセージの送信をおこなう。また、出力管理部２００は、課金装置１ａとのデータ送受信をおこなうとともに、利用者に対する情報をオペレーションパネル２０に出力する処理をおこなう。

次に、各処理部がおこなう処理について説明する。出力データ加工部１００は、書込部１０１、出力処理部１０２、消去部１０３および出力データ記憶部（出力バッファ）１１０をさらに有する。この出力データ記憶部１１０は、出力装置１３０の内部に実装されることが通常であるが、説明の都合上、出力データ加工部１００に含まれるものとして図示している。なお、この出力データ加工部１００は、出力装置１３０の内部に実装される必要はなく、出力装置１３０と複合機１の接続部分などの複合機１側に実装することとしてもよい。また、同図においては、本実施の形態の特徴部分である出力バッファ消去処理の説明に必要な処理部のみを図示している。

出力データ加工部１００は、ＭＥＭ−Ｃ１７などの記憶装置１２０などから入力されたデータを出力データ記憶部１１０に書き込み、書き込んだデータを取出してプロッタ装置などの出力装置１３０に出力するとともに、出力データ記憶部１１０に残存するデータの消去処理をおこなう処理部である。

書込部１０１は、記憶装置１２０から送信されたデータを受信して出力データ記憶部１１０に書き込む処理をおこなう。また、出力データ記憶部１１０へのデータ書き込みは、出力管理部２００の指示により開始する。たとえば、利用者が複合機１に紙原稿をセットしてコピー機能の提供を指示した場合には、紙原稿の内容は、スキャナ装置などの入力装置により読込まれ、画像データに変換されたうえで記憶装置１２０にいったん格納される。そして、出力管理部２００から「出力開始指示」を受信すると、書込部１０１は、かかる画像データを出力データ記憶部１１０に書き込む処理をおこなう。

出力処理部１０２は、出力管理部２００の「出力開始指示」により、出力データ記憶部１１０から画像データなどのデータを読み出して出力装置１３０に出力するとともに、出力管理部２００の「出力中止指示」により、出力データ記憶部１１０が記憶するデータの消去を消去部１０３に指示する処理部である。また、この出力処理部１０２は、出力処理が完了すると「出力完了通知」を、出力を中止すると「出力中止通知」を、それぞれ出力管理部２００に送信する。

具体的には、この出力処理部１０２は、出力管理部２００から「出力開始指示」を受信すると、出力データ記憶部１１０が記憶する出力データを読み出して出力装置１３０に送信する。出力装置１３０は、受信した出力データをＧＡＶＤ（Gate Array of Video Data）により画像データとして結合するなどして出力処理をおこなうことになる。

この出力処理部１０２は、出力管理部２００から「出力中止指示」を受信したならば、消去部１０３に対して、出力データ記憶部１１０が記憶するデータの消去を指示する。また、出力処理部１０２は、出力データ記憶部１１０が記憶するデータを出力装置１３０に送信する処理が完了した場合にも、消去部１０３に対して、かかるデータの消去を指示する。

このように、出力装置１３０への送信が完了した後に出力データ記憶部１１０に記憶されたデータの消去をおこなうこととしたので、出力完了後に出力データ記憶部１１０に出力データが残存することを防止することができるとともに、出力が完了していないデータを誤って消去することを防止することができる。また、出力管理部２００の「出力中止指示」を随時受け付けてデータ消去処理をおこなうこととしたので、出力中止事由が発生した場合に、出力データ記憶部１１０に出力データが残存することを防止することができる。

消去部１０３は、出力処理部１０２の指示により、出力データ記憶部１１０に記憶されたデータの消去をおこなう処理部である。また、記憶装置１２０は、ＭＥＭ−Ｃ１７などのメモリであり、出力装置１３０は、プロッタ装置などの装置である。なお、かかる出力装置１３０は、複合機１のオプション構成により追加や取外しが可能である。

出力管理部２００は、課金装置１ａなどの課金状態や、複合機１内のハードウェア状態などを取得し、これらの状態に基づいて、出力データ加工部１００に「出力開始指示」および「出力中止指示」を送信するとともに、出力データ加工部１００から「出力完了通知」を受信した際に、課金装置１ａに課金を指示する処理部である。

具体的には、この出力管理部２００は、課金装置１ａが複合機１に接続されている場合には、コピー機能などの機能提供に係るサービス料金の課金が可能か否かを判定し、残額が十分であれば、出力データ加工部１００に対し、「出力開始指示」を送信する。一方、残額が不十分である場合には、オペレーションパネル２０に、機能提供をおこなうことができない旨の表示を指示して処理を終了する。

また、出力管理部２００は、課金装置１ａおよび複合機１のハードウェア状態を監視して、出力処理の中止事由の検出をおこなうとともに、出力データ加工部１００からの通知メッセージの受信を待ち合わせる。そして、出力処理の中止事由を検出したならば、出力データ加工部１００に「出力中止指示」を送信する。

そして、出力データ加工部１００から、「出力中止通知」を受信したならば、この出力中止通知の内容を、オペレーションパネル２０に表示して処理を終了する。また、「出力中止指示」を送信することなく「出力完了通知」を受信したならば、課金装置１ａに課金実行を指示する。

このように、出力データ記憶部１１０からのデータの読出しおよびデータの消去を担当する出力データ加工部１００と、課金装置１ａや複合機１内のハードウェア状態を監視し、取得した状態に基づいて出力データ加工部１００に処理の実行を指示する出力管理部２００とにより、出力データ記憶部１１０のデータを適宜消去することができるので、出力バッファからのデータ漏洩を効果的に防止することができる。

次に、本実施の形態の特徴部分である出力データ消去処理の処理手順について図５〜図７を用いて説明する。図５は、上述した出力管理部２００の処理手順を示すフローチャートである。

まず、出力管理部２００は、複合機１に課金装置１ａが接続されているか否かの判定をおこない（ステップＳ１０１）、課金装置１ａが接続されている場合には（ステップＳ１０１肯定）、コピー機能などの機能提供の動作実行条件が成立しているか否かを判定する（ステップＳ１０２）。ここで「動作実行条件」とは、課金装置１ａが、キーカード装置であれば、キーカードがセットされており、かつ、暗証コードが正しいことを指し、プリペイドカード装置であれば、残高が要求された機能の提供料金以上であることを指す。

そして、かかる動作実行条件が成立していない場合には（ステップＳ１０２否定）、オペレーションパネル２０に、機能提供にともなう出力処理ができない旨とその理由を表示して（ステップＳ１１１）処理を終了する。一方、動作実行条件が成立している場合（ステップＳ１０２肯定）および課金装置１ａが接続されていない場合（ステップＳ１０１否定）には、出力データ加工部１００に対し「出力開始指示」を送信する（ステップＳ１０３）。

つづいて、出力管理部２００は、出力データ加工部１００から「出力完了通知」を受信済みか否かを判定し（ステップＳ１０４）、「出力完了通知」を受信していない場合には（ステップＳ１０４否定）、出力処理の中止条件を検出したか否かを判定する（ステップＳ１０５）。ここで、出力処理の中止条件とは上述した出力処理の中止事由と同意であり、課金装置１ａに入金された料金が返却されたり、プリペイドカードが取出されたりすることにより課金不可能な状態になり出力処理を中止する必要がある場合や、複合機１のハードウェア障害などにより出力処理を中止する必要がある場合を指す。

そして、出力処理の中止条件を検出しなかった場合には（ステップＳ１０５否定）、再び、「出力完了通知」を受信済みか否かを判定する処理（ステップＳ１０４）にもどり、ステップＳ１０４〜ステップＳ１０５の処理を繰り返す。

一方、出力処理の中止条件を検出した場合には（ステップＳ１０５肯定）、出力データ加工部１００に対し「出力中止指示」を送信し（ステップＳ１０６）、出力データ加工部１００からの「出力中止通知」の受信を待ち合わせる（ステップＳ１０７否定）。そして、出力データ加工部１００から「出力中止通知」を受信したならば（ステップＳ１０７肯定）、オペレーションパネル２０に、機能提供にともなう出力処理ができない旨とその理由を表示して（ステップＳ１１１）処理を終了する。

また、出力データ加工部１００から「出力完了通知」を受信した場合には（ステップＳ１０４肯定）、複合機１に課金装置１ａが接続されているか否かの判定をおこない（ステップＳ１０８）、課金装置１ａが接続されている場合には（ステップＳ１０８肯定）、課金処理をおこなって（ステップＳ１０９）、次の機能提供要求がない場合には（ステップＳ１１０否定）処理を終了する。そして、課金装置１ａが接続されていない場合には（ステップＳ１０８否定）、課金処理をおこなうことなくステップＳ１１０の処理をおこなう。なお、次の機能提供要求がある場合には（ステップＳ１１０肯定）、ステップＳ１０１以降の処理を繰り返す。

次に、出力データ加工部１００の処理手順について説明する。ここでは、まず、出力データ加工部１００が、出力装置１３０へのデータ出力を開始する前に、出力管理部２００から「出力中止指示」を受信した場合について、図６を用いて説明する。図６は、データ出力を開始する前に、出力中止指示を受信した場合における出力データ加工部１００の処理手順を示すフローチャートである。

同図に示すように、出力データ加工部１００は、書込部１０１に相当する処理と、出力処理部１０２に相当する処理を並行して動作させるために、書込部１０１に相当しステップＳ２０１〜ステップＳ２０２の処理をおこなう「データ転送プロセス」と、出力処理部１０２に相当しステップＳ２０３〜ステップＳ２０７の処理をおこなう「出力プロセス」とを生成して、これらのプロセスの処理完了を待ち合わせたうえでステップＳ２０８の処理をおこなう。

まず、出力データ加工部１００は、上述した「データ転送プロセス」および「出力プロセス」を生成して処理を開始する。「データ転送プロセス」に相当する書込部１０１は、ＭＥＭ−Ｃ１７などの記憶装置１２０から出力データ記憶部１１０へのデータ転送を開始して（ステップＳ２０１）、かかるデータ転送が完了するまで待ち合わせる（ステップＳ２０２否定）。また、データ転送が完了したならば（ステップＳ２０２肯定）、処理を終了する。ここで、「データ転送が完了」するとは、出力データ記憶部１１０に記憶されたデータが所定の量に達することを指す。

一方、「出力プロセス」に相当する出力処理部１０２は、出力開始条件を満たすまで待ち合わせる（ステップＳ２０３否定）。ここで、出力開始条件は、「データ転送プロセス」が転送処理を開始したことや、出力データ記憶部１１０に転送されたデータが所定の量に達したことを指し、あらかじめ、ＲＯＭ１２ａなどに静的データとして記憶されている設定データを出力データ加工部１００が読み出すことにより利用する。

なお、かかる出力開始条件が、「データ転送プロセス」が転送処理を開始したことである場合には、書込部１０１が出力データ記憶部１１０にデータを書き込みつつ、出力処理部１０２が出力データ記憶部１１０のデータを読み出して出力装置１３０に出力する。また、出力開始条件が、出力データ記憶部１１０に転送されたデータが所定の量に達したことである場合には、書込部１０１が出力データ記憶部１１０に所定量のデータを書き込んだ後に、タイミングをずらして出力処理部１０２が出力データ記憶部１１０のデータを読み出して出力装置１３０に出力することになる。

つづいて、出力開始条件を満たしたならば（ステップＳ２０３肯定）、出力管理部２００から「出力中止指示」を受信済みか否かを判定する（ステップＳ２０４）。そして、「出力中止指示」を受信済みの場合には（ステップＳ２０４肯定）、出力データ記憶部１１０のデータを消去する（ステップＳ２０７）。

一方、「出力中止指示」を受信していない場合には（ステップＳ２０４否定）、出力データ記憶部１１０に記憶されているデータを読出して、出力装置１３０への出力を開始する（ステップＳ２０５）。つづいて、出力処理部１０２は、出力終了条件を満たすまで待ち合わせる（ステップＳ２０６否定）。ここで、出力終了条件とは、出力装置１３０へ出力したデータが所定量に達することを指す。そして、出力終了条件を満たしたならば（ステップＳ２０６肯定）、出力データ記憶部１１０のデータを消去する（ステップＳ２０７）。

出力データ加工部１００は、書込部１０１および出力処理部１０２のいずれもが処理を終了したならば（ステップＳ２０２肯定およびステップＳ２０７完了）、出力管理部２００に対して「出力完了通知」または「出力中止通知」を送信したうえで（ステップＳ２０８）、処理を終了する。なお、出力データ加工部は１００、「出力中止指示」を受信した場合（ステップＳ２０４肯定）には「出力中止通知」を、受信していない場合（ステップＳ２０４否定）には「出力完了通知」を入力管理部２００に対して送信する。

次に、出力データ加工部１００が、出力装置１３０へのデータ出力を開始した後に、出力管理部２００から「出力中止指示」を受信した場合について説明する。図７は、データ出力を開始した後に出力中止指示を受信した場合における出力データ加工部１００の処理手順を示すフローチャートである。なお、書込部１０１に相当する処理と、出力処理部１０２に相当する処理を並行して動作させるために、書込部１０１に相当する「データ転送プロセス」と、出力処理部１０２に相当する「出力プロセス」とを生成して、これらのプロセスの処理完了を待ち合わせたうえでステップＳ３０８の処理をおこなう点は図６の場合と同様である。

「データ転送プロセス」に相当する書込部１０１は、ＭＥＭ−Ｃ１７などの記憶装置１２０から出力データ記憶部１１０へのデータ転送を開始して（ステップＳ３０１）、かかるデータ転送が完了するまで待ち合わせる（ステップＳ３０２否定）。また、データ転送が完了したならば（ステップＳ３０２肯定）、処理を終了する。

一方、「出力プロセス」に相当する出力処理部１０２は、上述した出力開始条件を満たすまで待ち合わせる（ステップＳ３０３否定）。そして、出力開始条件を満たしたならば（ステップＳ３０３肯定）、出力データ記憶部１１０に記憶されているデータを読出して、出力装置１３０への出力を開始する（ステップＳ３０４）。

つづいて、出力処理部１０２は、出力管理部２００から「出力中止指示」を受信済みか否かを判定する（ステップＳ３０５）。そして、「出力中止指示」を受信済みの場合には（ステップＳ３０５肯定）、出力データ記憶部１１０のデータを消去する（ステップＳ３０７）。

一方、「出力中止指示」を受信していない場合には（ステップＳ３０５否定）、出力終了条件を満たしたか否かを判定し（ステップＳ３０６）、出力終了条件を満たしていない場合には（ステップＳ３０６否定）、ステップＳ３０５以降の処理を繰り返す。

出力データ加工部１００は、書込部１０１および出力処理部１０２のいずれもが処理を終了したならば（ステップＳ３０２肯定およびステップＳ３０７完了）、出力管理部２００に対して「出力完了通知」または「出力中止通知」を送信したうえで（ステップＳ２０８）、処理を終了する。なお、出力データ加工部は１００、「出力中止指示」を受信した場合（ステップＳ３０４肯定）には「出力中止通知」を、受信していない場合（ステップＳ３０４否定）には「出力完了通知」を出力管理部２００に対して送信する。

上述してきたように、本実施の形態では、出力処理の中止を検出する出力管理部と、出力管理部からの出力中止指示により、出力データ記憶部（出力バッファ）のデータを消去する出力データ加工部とから出力バッファ消去処理を構成したので、出力処理の成果物の出力が完了した場合のみならず、出力処理を中止した場合であっても出力バッファの消去処理をおこなうことにより、出力バッファに残存したデータからデータ漏洩が引き起こされることを効果的に防止することができる。

また、本実施の形態の画像形成装置で実行されるデータ漏洩防止プログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ（CD Recordable）、ＤＶＤ（Digital Versatile Disk）などのコンピュータで読み取り可能な記録媒体に記録して提供するよう構成してもよい。この場合、ＣＰＵ１１が上記記憶媒体から、データ漏洩防止プログラムを読み出してＭＥＭ−Ｐ１２上にロードすることで、画像形成装置に、上述した各ステップ、各手段または各部を実現させる。

また、データ漏洩防止プログラムを、インターネットなどのネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するよう構成してもよい。さらに、かかるデータ漏洩防止プログラムをインターネットなどのネットワーク経由で提供または配布するようにしてもよい。

以上のように、本発明にかかる画像形成装置およびデータ漏洩防止プログラムは、各種装置における出力バッファの消去処理に有用であり、特に、画像形成装置のデータ漏洩防止に適している。

複合機をとりまくネットワーク環境を示すネットワーク図である。 複合機のハードウェアを説明するための説明図である。 複合機の出力処理の概要を説明するための説明図である。 出力処理が完了した場合における出力バッファの消去処理の例を説明するための説明図である。 出力処理が中止された場合における出力バッファの消去処理の例を説明するための説明図である。 本実施の形態に係る複合機の構成を示す機能ブロック図である。 出力管理部の処理手順を示すフローチャートである。 データ出力を開始する前に出力中止指示を受信した場合における出力データ加工部の処理手順を示すフローチャートである。 データ出力を開始した後に出力中止指示を受信した場合における出力データ加工部の処理手順を示すフローチャートである。

符号の説明

１ 画像形成装置（複合機）
１ａ 課金装置
１０ コントローラ
１１ ＣＰＵ
１２ ＭＥＭ−Ｐ
１２ａ ＲＯＭ
１２ｂ ＲＡＭ
１３ ＮＢ
１４ ＳＢ
１５ ＡＧＰ
１６ ＡＳＩＣ
１７ ＭＥＭ−Ｃ
１８ ＨＤＤ
２０ オペレーションパネル
３０ ＦＣＵ
４０ ＵＳＢ
５０ ＩＥＥＥ１３９４
６０ エンジン部（Engine）
１００ 出力データ加工部
１０１ 書込部
１０２ 出力処理部
１０３ 消去部
１１０ 出力データ記憶部（出力バッファ）
１２０ 記憶装置
１３０ 出力装置
２００ 出力管理部

Claims (8)

1. 出力用データを記憶する記憶装置と、前記記憶装置から取得したデータを加工して出力する出力装置とを有し、前記記憶装置が記憶する出力用データを出力バッファに転送する転送処理と、該出力バッファからデータを読み出して出力する出力処理とを動作させることが可能な画像形成装置であって、
   前記出力処理を中止すべき事由を検出したならば、該出力処理に対し中止指示をおこなう出力管理手段と、
   前記出力管理手段からの中止指示により前記出力バッファのデータを消去したうえで、前記出力処理を中止させる出力中止手段と
   を備えたことを特徴とする画像形成装置。
2. 前記出力中止手段は、前記中止指示を受けることなく前記出力処理が完了したならば、前記出力バッファに記憶されているデータを消去することを特徴とする請求項１に記載の画像形成装置。
3. 前記出力管理手段は、利用者による出力中止指示を取得したならば、かかる出力中止指示の取得を、前記中止すべき事由として検出することを特徴とする請求項１または２に記載の画像形成装置。
4. 前記出力管理手段は、前記転送処理に対し、前記記憶装置から前記出力バッファへのデータ転送の開始を指示することを特徴とする請求項１、２または３に記載の画像形成装置。
5. 前記出力管理手段は、有料データの提供に対する課金の実行をおこなう課金装置と通信して課金状態を取得し、該課金状態が課金実行不能状態に遷移したならば、該状態を前記中止すべき事由として検出することを特徴とする請求項１〜４のいずれか一つに記載の画像形成装置。
6. 前記出力管理手段は、前記課金状態が課金実行可能状態である場合に、前記転送処理に対し、前記記憶装置から前記出力バッファへのデータ転送の開始を指示することを特徴とする請求項５に記載の画像形成装置。
7. 前記出力管理手段は、前記中止指示をおこなうことなく前記出力処理が完了したならば、前記課金装置に対して課金の実行を指示することを特徴とする請求項５または６に記載の画像形成装置。
8. 出力用データを記憶する記憶装置と、前記記憶装置から取得したデータを加工して出力する出力装置とを有し、前記記憶装置が記憶する出力用データを出力バッファに転送する転送処理と、該出力バッファからデータを読み出して出力する出力処理とを動作させることが可能な画像形成装置画像形成装置に搭載されるデータ漏洩防止プログラムであって、
   前記データ漏洩防止プログラムは、
   前記出力処理を中止すべき事由を検出したならば、該出力処理に対し中止指示をおこなう出力管理手段と、
   前記出力管理手段からの中止指示により前記出力バッファのデータを消去したうえで、前記出力処理を中止させる出力中止手段と
   をコンピュータに実行させることを特徴とするデータ漏洩防止プログラム。

Images