JP2009026038A - 情報処理装置、プログラムおよび記録媒体 - Google Patents

Abstract

【課題】データ蓄積装置への暗号化書込み、および、書込まれたデータの安全な消去を可能とする情報処理装置、プログラムおよび記録媒体を提供すること。
【解決手段】本発明の情報処理装置１０は、データ蓄積装置２４を備え、データ蓄積装置２４へのデータ書込みを制御する制御手段１０６と、制御手段１０６に対して非暗号化によるデータ書込みを行なわせて、データ蓄積装置２４に蓄積されたデータの上書消去処理を実行するデータ消去手段１０４とを含み構成され、上書消去処理以外のデータ蓄積装置２４へのデータ書込みについては、暗号化により行なう。
【選択図】図３

Description

本発明は、情報漏洩に対するセキュリティ技術に関し、より詳細には、データ蓄積装置への暗号化書込み、および、書込まれたデータの安全な消去を可能とする情報処理装置、プログラムおよび記録媒体に関する。

近年、ますます、個人情報や顧客情報などの機密情報の漏洩リスクを回避することが求められている。オフィスに設置される複写機や複合機などの画像形成装置が備えるハードディスクには、読取り原稿の画像データやユーザデータなどの様々な情報がディジタルデータとして保存されている。しかしながら、このような情報は、例えば、ハードディスクの抜き取りにより、また装置の返却、譲渡または廃棄の際に、情報漏洩してしまう可能性があり、情報セキュリティ管理上、見過ごすことができない。

画像形成装置などの情報漏洩に対するセキュリティ技術に関しては、例えば、特開２００４−２８８０４９号公報（特許文献１）は、ジョブデータのセキュリティを高めることを目的として、ジョブデータに暗号化を施した上で、データの一部をＲＡＭ上に格納して残りをＨＤＤに格納し、ジョブが終了したときに、ＲＡＭ上のデータの一部を消去するジョブ処理装置を開示する。また特開２００６−５３８７５号公報（特許文献２）は、セキュリティを高めるために、暗号化した画像データを一定時間経過後に自動消去する画像形成装置を開示する。

またハードディスクなどの磁気記憶装置に格納された情報は、実データを消去したとしても、残留磁気から消去前のデータが復元される可能性を有しており、このような情報漏洩を防止するために、近年では、複数回の上書消去処理を実施してデータを安全に消去する機能を備えた画像形成装置も開発されている。安全なデータ消去としては、例えば、ＮＡＳ（米国国家安全保証局）方式、ＤｏＤ（米国国防省標準）方式などの上書消去方式が挙げられ、前者は、乱数の書込みを２回、固定値［０ｘ００］の書込みを１回行なう方式であり、後者は、固定値の書込みを１回、固定値の２の補数の書込みを１回、乱数の書込みを１回行なう方式である。これらの方式は、データ消去の際に固定値の書込みを行なうという点で共通している。
特開２００４−２８８０４９号公報 特開２００６−５３８７５号公報

しかしながら、データ蓄積装置への書込みデータが暗号化されるような場合、上述のような固定値の書込みを含むデータ消去方式を適用できないという問題点があった。これは、書込むべき固定値自体が暗号化されてしまい、方式に準拠したデータの上書消去が実現できなかったためである。

本発明は、上記問題点に鑑みてなされたものであり、暗号化によるデータ蓄積装置へのアクセスを可能とし、かつ、固定値の書込みを含む上書消去方式による安全なデータ消去を実施可能とし、もって、情報漏洩に対して高いセキュリティを有する情報処理装置、プログラムおよび記録媒体を提供することを目的とする。

本発明は、上記課題を解決するために、データ蓄積装置へのデータ書込みを制御する制御手段に対して、非暗号化によるデータ書込みを行なわせて、データ蓄積装置に蓄積されたデータの上書消去処理を実行するデータ消去手段を備え、上書消去処理以外のデータ蓄積装置へのデータ書込みについては、暗号化により行なうとの構成を採用する。

上書消去処理の際のデータ書込みが暗号化されずに行なわれるため、固定値の書込みを含む上書消去処理であっても、そのまま固定値がデータ蓄積装置に書込まれることとなり、所望の方式に準拠したデータ消去を実現することができる。一方、上書消去処理以外のデータ蓄積装置へのデータ書込みについては、例えば、上述の制御手段が暗号化によるデータ書込み機能を備えない場合には、別途、暗号化によるデータ書込みを制御する暗号化書込み制御手段を用いて実行する。また上述の制御手段が書込時のデータの暗号化の要否を切換え可能である場合には、暗号化を要に設定し、暗号化によるデータ書込みを実行する。これにより、固定値を含む上書消去処理を可能とするとともに、データ蓄積装置への暗号化によるアクセスが可能となる。

すなわち本発明によれば、データ蓄積装置を備える情報処理装置であって、前記情報処理装置は、
前記データ蓄積装置へのデータ書込みを制御する制御手段と、
前記制御手段に対して非暗号化によるデータ書込みを行なわせて、前記データ蓄積装置に蓄積されたデータの上書消去処理を実行するデータ消去手段と
を含み、前記情報処理装置は、前記上書消去処理以外の前記データ蓄積装置へのデータ書込みについては、暗号化により行なう、情報処理装置が提供される。

前記情報処理装置は、前記上書消去処理以外のデータ書込みのために、暗号化によるデータ書込みを制御する暗号化書込み制御手段をさらに含み、前記データ消去手段は、前記暗号化書込み制御手段とは別の非暗号化によるデータ書込みを制御する前記制御手段を用いて、前記上書消去処理を実行することができる。また前記情報処理装置は、前記データ消去手段による指定の記憶領域に対する上書消去処理が完了または中断したことに応答して、暗号化によるデータ書込みを制御する前記暗号化書込み制御手段を使用するよう設定する手段をさらに含むことができる。

さらに前記情報処理装置は、データ書込みでの暗号化要否の設定値を記憶する記憶手段と、前記設定値を暗号化不要に書換えるとともに、前記データ消去手段に対して前記上書消去処理の開始要求を発行する消去処理制御手段とを含み、前記制御手段は、前記設定値を参照して、書込むべきデータを暗号化するか否かを判定することができる。前記消去処理制御手段は、前記データ消去手段による指定の記憶領域に対する上書消去処理が完了または中断したことに応答して、前記設定値を暗号化要に書換えることができる。

前記中断は、外部指令または書込みエラーの発生によることができる。前記情報処理装置は、起動時に前記データ蓄積装置の上書消去処理を開始させる起動様式か、通常の起動様式かを判定する起動様式判定手段と、指令に応答して、前記起動時に上書消去処理を開始させる起動様式に設定し、再起動を開始させるための設定手段をさらに含むことができる。また、前記上書消去処理は、固定値の書込みを含むことができる。

また本発明によれば、情報処理装置を、上記の各手段として機能させるための装置実行可能なプログラムが提供される。さらに本発明によれば、上記の各手段として、情報処理装置を機能させるための装置実行可能なプログラムを記録した装置可読な記録媒体が提供される。

以下、本発明の実施形態を説明するが、本発明の実施形態は、以下の実施形態に限定されるものではない。なお本実施形態では、情報処理装置の一例として、コピー、ファクシミリ、スキャナ、プリント等の画像を扱う複合機能を有する複合機１０を用いた例を説明する。

図１は、複合機１０のハードウェア構成の実施形態を示す。複合機１０は、コントローラ１２と、オペレーション・パネル４２と、ＦＣＵ（ファクシミリ・コントロール・ユニット）４４と、エンジン部４６とを含み構成される。コントローラ１２は、ＣＰＵ（中央演算処理装置）１４と、ＮＢ（ノース・ブリッジ）１８と、ＮＢ１８を介してＣＰＵ１４と接続するＡＳＩＣ２０と、システムメモリ１６とを含み構成される。ＡＳＩＣ２０は、各種画像処理を実行し、ＡＧＰ（Accelerated Graphic Port）４８を介してＮＢ１８と接続される。システムメモリ１６は、描画用メモリなどとして用いられる。

ＡＳＩＣ２０は、ローカルメモリ２２と、ハードディスクドライブ（以下、ＨＤＤとして参照する。）２４と、フラッシュメモリなどの不揮発性メモリ（以下、ＮＶ−ＲＡＭとして参照する。）２６と接続する。ＨＤＤ２４は、画像データなどを蓄積するストレージであり、本実施形態では、後述するデータ消去処理の対象となる。ＮＶ−ＲＡＭ２６は、複合機１０を制御するためのプログラムや各種システム情報や各種設定情報を格納する。

コントローラ１２は、さらにＳＢ（サウス・ブリッジ）２８と、ＮＩＣ（ネットワーク・インタフェース・カード）３０と、ＳＤカード・スロット３２と、ＵＳＢインタフェース３４と、ＩＥＥＥ１３９４インタフェース３６と、セントロニクス・インタフェース３８とを含み構成され、これらはＰＣＩバス５０を介してＮＢ１８と接続される。ＮＩＣ３０は、複合機１０をインターネットやＬＡＮなどのネットワークに接続するインタフェース機器であり、ネットワークを介した指令を受付けている。ＵＳＢインタフェース３４、ＩＥＥＥ１３９４インタフェース３６およびセントロニクス・インタフェース３８は、それぞれの規格に準じたインタフェースであり、印刷ジョブなどを受付けている。

オペレーション・パネル４２は、コントローラ１２のＡＳＩＣ２０と接続され、オペレータからの各種指示の入力を受付けや、画面表示を行なうためのユーザ・インタフェースを提供する。ＦＣＵ４４およびエンジン部４６は、ＰＣＩバス５０を介してＡＳＩＣ２０と接続する。エンジン部４６は、アプリケーションが発行したプリント指令やスキャン指令を受け、画像形成処理や画像読取処理を実行する。

図２は、本実施形態の複合機１０のソフトウェアおよびハードウェア構成を示す。図２に示した複合機１０は、各種機能を提供するための各種アプリケーション６２〜７０からなるアプリケーション層６０と、ＡＰＩ７２に含まれる予め定義された関数により、各種アプリケーション６２〜７０からの処理要求を受付けているプラットフォーム層１００と、エンジン・インタフェース（Ｉ／Ｆ）９８を介してプラットフォーム層１００と接続するハードウェア・リソース１０２とを含んで構成される。

アプリケーション層６０は、図２に示した実施形態では、コピー・アプリケーション６２と、ファックス・アプリケーション６４と、スキャナ・アプリケーション６６と、ネットファイル・アプリケーション６８と、プリンタ・アプリケーション７０とを含み構成され、画像に関連するユーザ・サービスに固有の処理を行なう。

プラットフォーム層１００は、ＯＳ９４とともにアプリケーション６２〜７０からの処理要求を解釈して、ハードウェア資源の獲得要求を発生する各制御部７４〜８８と、１つまたは複数のハードウェア資源の管理を行ない、制御部７４〜８８からの獲得要求を調停するシステム資源管理部（ＳＲＭ）９０と、ＯＳ９４を通してエンジン部４６とコントローラ間のイメージデータの転送を制御するイメージメモリハンドラ（ＩＭＨ）９２とを含み構成される。ＯＳ９４としては例えば、ＵＮＩＸ（登録商標）を採用することができるが、ＷＩＮＤＯＷＳ（登録商標）やその他いかなるＯＳを採用することができる。ＯＳ９４のカーネルは、ＨＤＤ２４などのデバイス・ドライバ群９６を管理する。

プラットフォーム層１００の上記各制御部としては、図２に示した実施形態では、エンジン制御部（ＥＣＳ）７４と、メモリ制御部（ＭＣＳ）７６と、オペレーション制御部（ＯＣＳ）７８と、ファクシミリ制御部（ＦＣＳ）８０と、ネットワーク制御部（ＮＣＳ）８２と、ユーザ情報制御部（ＵＣＳ）８４と、ハードディスク消去制御部（ＨＤＤＥＲＡＳＥ：以下ＨＤＤ消去制御部として参照する。）８６と、システム制御部（ＳＣＳ）８８とを含んで構成されている。

ＳＣＳ８８は、複合機１０上で動作しているアプリケーションを管理し、設定情報についても管理する。またＳＣＳ８８は、オペレータからの要求に応じて、ＨＤＤ消去制御部８６のＨＤＤ一括消去機能を起動する。ＯＣＳ７８は、オペレーション・パネル４２を制御する。ＵＣＳ８４は、ユーザ情報を管理する。ＨＤＤ消去制御部８６は、米国国家安全保障局（ＮＳＡ）方式や、米国国防省（ＤｏＤ）方式や、乱数書込方式などの所定の方式に準拠したＨＤＤ２４に対するデータ消去処理の実行を制御する。

複合機起動部５８は、複合機１０の電源投入時に最初に起動され、上述までのプラットフォーム層１００およびアプリケーション層６０のソフトウェア群（プロセス）に対応する制御プログラムを、図示しないＲＯＭやＨＤＤ２４や図示しないＳＤカードなどから読出して、ＣＰＵ１４の作業メモリ領域を提供するシステムメモリ１６上に展開して、各プロセスを起動する。これにより、上記したソフトウェア手段および後述の各機能手段が実現される。また、複合機起動部５８は、ＮＶ−ＲＡＭ２６に格納されるフラグを参照して起動様式を判断し、ＨＤＤ一括消去フラグが［ｔｒｕｅ］に設定されている場合には、起動処理の際にＨＤＤ消去制御部８６およびＯＳ９４を起動して、データ消去処理に関わる機能手段に対してのみ排他的にＨＤＤ２４へのアクセスを行なわせ、一括消去処理を実行させる。

以下、本実施形態の複合機１０が実行するデータ消去処理の詳細を説明する。図３は、本実施形態の複合機１０が備えるデータ消去処理に関する主要構成の機能ブロック図を示す。複合機１０は、データ消去処理の対象となるＨＤＤ２４と、データ消去処理の実行を制御するＨＤＤ消去制御部８６と、各方式による実際のＨＤＤ２４への上書消去処理を行なうハードディスク消去ライブラリ（以下、ＨＤＤ消去ライブラリとして参照する。）１０４と、ＨＤＤ２４へのデータアクセスを制御するハードディスクドライバ（以下、ＨＤＤドライバとして参照する。）１０６とを含み構成される。

本実施形態のＨＤＤドライバ１０６は、常に非暗号化によりデータ書込みを行ない、所定方式による上書消去の際に、固定値による上書処理を実現する。以下、非暗号化によるデータ書込みを行なうドライバを非暗号化ＨＤＤドライバ１０６として参照する。また本実施形態の複合機１０は、暗号化によりＨＤＤ２４へのデータアクセスを制御する他のＨＤＤドライバ１０８を含み構成され、アプリケーション６２〜７０などからの通常のデータアクセスは、このＨＤＤドライバ（以下、暗号化ドライバとして参照する。）１０８を用いて行なう。これらのＨＤＤドライバ１０６，１０８は、起動様式に応じてカーネルに組込まれるドライバを変更したり、使用中のＨＤＤドライバの機能を停止させ、必要とされるＨＤＤドライバを動的に組み込むことによって、適宜切換えることができる。

ＨＤＤ一括消去処理の実行時は、ＨＤＤ消去ライブラリ１０４あるいはＨＤＤ消去制御部８６によって排他的にＨＤＤ２４にアクセスすることが好ましい。本実施形態の複合機１０は、ＨＤＤ２４にアクセスする可能性のある他の制御部のプロセスやアプリケーション・プロセスを起動させない起動様式を用意し、ＨＤＤ一括消去を行なう場合は、その起動様式を設定して再起動することにより、上記排他的なアクセスを実現する。以下、ＨＤＤ一括消去を実行するための起動様式を一括消去様式として参照し、通常の起動様式を通常様式として参照する。

図４は、本実施形態の複合機１０が実行するＨＤＤ一括消去処理のフローチャートを示す。図４に示した処理は、ステップＳ１００から開始し、ステップＳ１０１でオペレーション・パネル４２などを介した一括消去処理実行の指令およびその設定を受領する。ステップＳ１０１では、データ消去処理の方式指定や、消去完了後に再起動を行なうかまたはそのまま電源を切断するかの動作指定などが設定され、設定値がメモリなどの記憶手段に格納される。なお、ステップＳ１０１で用いるユーザ・インタフェースについては後述する。指令を受けてステップＳ１０２では、一括消去処理実行の指令に応答して、ＮＶ−ＲＡＭ２６のＨＤＤ一括消去フラグを［ｔｒｕｅ］に設定して、一括消去様式に起動様式を設定し、ステップＳ１０３で再起動を開始する。

一括消去様式での再起動を開始すると複合機起動部５８は、ステップＳ１０４でＯＳ９４を起動し、ステップＳ１０５でＨＤＤ一括消去フラグを参照して、ステップＳ１０６でＨＤＤ一括消去フラグが［ｔｒｕｅ］であるか否かを判定する。ステップＳ１０６でＨＤＤ一括消去フラグが［ｆａｌｓｅ］であると判定された場合（ＮＯ）には、処理をステップＳ１０９へ分岐させ、通常様式による起動処理を実行し、ステップＳ１０８で処理を終了させる。通常様式による起動処理では、図２に示した制御部のプロセスやアプリケーションのプロセスがＨＤＤ２４へアクセス可能に起動されることとなる。

一方、ステップＳ１０６の判定で、ＨＤＤ一括消去フラグが［ｔｒｕｅ］であると判定された場合（ＹＥＳ）には、処理をステップＳ１０７へ分岐させ、一括消去様式による起動処理を実行し、ステップＳ１０８で処理を終了させる。以下、一括消去様式による起動処理の詳細を説明する。

図５は、本実施形態の複合機１０が実行する一括消去様式による起動処理のフローチャートを示す。図５に示した処理は、ステップＳ２００で、図４に示したステップＳ１０７の処理により開始される。ステップＳ２０１では、複合機起動部５８が複合機１０のシステムを管理するＳＣＳ８８を起動し、ステップＳ２０２では、ＳＣＳ８８がＨＤＤ消去制御部８６を起動する。起動後にＨＤＤ消去制御部８６は、ステップＳ２０３で、ＨＤＤ消去ライブラリ１０４を用いて、ＨＤＤ２４のすべての記憶領域に対するデータ消去処理を実行する。

ＨＤＤ２４のすべての記憶領域に対するデータ消去処理が完了すると、ステップＳ２０４では、ＨＤＤ一括消去フラグを［Ｆａｌｓｅ］に設定し、起動様式を通常様式に設定する。ステップＳ２０５では、図４のステップＳ１０１において、消去完了後に再起動を行なう動作指定がなされているか否かの判定を行なう。ステップＳ２０５で消去完了後に再起動を行なう旨の動作指定がなされていた場合（ＹＥＳ）には、ステップＳ２０６で再起動処理を開始し、ステップＳ２０７で処理を終了させる。そして、以降の再起動処理では、通常様式による起動処理が行なわれることとなる。一方、ステップＳ２０５で、消去完了後に電源を切断する旨の動作指定がなされていた場合（ＮＯ）には、ステップＳ２０８へ処理を分岐させ、ステップＳ２０８で複合機１０の電源の切断処理を実行し、ステップＳ２０７で処理を終了させる。

以下、上書消去処理の詳細を説明する。図６は、本実施形態の複合機１０が実行する上書消去処理のフローチャートを示す。図６に示した処理は、ステップＳ３００で、図５におけるステップＳ２０３の処理により開始される。ステップＳ３０１でＨＤＤ消去制御部８６は、通常使用され暗号化によるデータ書込みを制御する暗号化ＨＤＤドライバ１０８の機能を停止させ、非暗号化ＨＤＤドライバ１０６を用いるドライバとして機能させる。そして、ステップＳ３０２でＨＤＤ消去制御部８６は、図４のステップＳ１０１で指定された方式によるデータ消去処理の実行の開始要求をＨＤＤ消去ライブラリ１０４へ発行し、データ消去処理を開始させる。

データ消去処理の実行の開始要求を受けてＨＤＤ消去ライブラリ１０４は、ステップＳ３０３で、指定の方式に従い、非暗号化ＨＤＤドライバ１０６を介して、ＨＤＤ２４の記憶領域の先頭位置から順に上書処理を施す。ステップＳ３０４では、書込エラーなどのエラーが発生したか否かを判定し、エラーが発生していないと判定した場合（ＮＯ）には、処理をステップＳ３０５へ分岐させる。ステップＳ３０５では、オペレータからの中止指令を受領したか否かを判定し、中止指令を受領していないと判定した場合（ＮＯ）には、処理をステップＳ３０６へ分岐させる。

ステップＳ３０６では、ＨＤＤ２４のすべての記憶領域に対して、所定方式に従った上書消去処理が完了したか否かを判定し、データ消去処理が未だ完了していないと判定された場合（ＮＯ）には、処理をステップＳ３０３へ再びループさせ、すべての上書消去処理が完了するまで処理を繰返させる。一方、ステップＳ３０６で、すべての上書消去処理が完了したと判定された場合（ＹＥＳ）には、ステップＳ３０７へ処理を分岐させ、ステップＳ３０７で本処理ルーチンを終了させる。

ステップＳ３０４でエラーが発生したと判定された場合（ＹＥＳ）またはステップＳ３０５で中止指令を受領したと判定された場合（ＹＥＳ）には、一括消去処理が未完了であっても、ステップＳ３０７へ処理を分岐させ、データ消去処理を中断し、ステップＳ３０７で処理ルーチンを終了させる。本処理ルーチンが終了した以降は、図５に示した処理フローに従って、電源が切断されるか、または通常様式により再起動されることとなる。通常様式による再起動が設定される場合には、暗号化ＨＤＤドライバ１０８が組込まれ、暗号化によるデータ書込みが可能となる。なお、データ消去処理を中断した際には、他の実施形態では、オペレーション・パネル４２を介してＨＤＤ一括データ消去が中断した旨のエラー通知を行なう制御とすることもできる。

以下、図７に示すシーケンス図を参照して、ＨＤＤ一括消去の処理フローをより具体的に説明する。図７は、本実施形態の複合機１０が実行するＨＤＤ一括消去のシーケンス図を示す。図７に示した処理は、ステップＳ４００で、ＨＤＤ一括消去フラグが［ｔｒｕｅ］に設定され一括消去様式により再起動されたところから開始する。ステップＳ４０１でＨＤＤ消去制御部８６は、ＨＤＤ消去ライブラリ１０４に対して、方式指定を含むデータ消去処理の開始要求を発行し、開始要求を受けてＨＤＤ消去ライブラリ１０４は、ステップＳ４０２で指定された方式によるデータ消去処理を開始する。

ステップＳ４０３では、ＨＤＤ消去ライブラリ１０４は、非暗号化ＨＤＤドライバ１０６に対して、指定の方式に従って、順次、固定値またはランダム値のデータ上書き要求する。上書き要求を受けて非暗号化ＨＤＤドライバ１０６は、ステップＳ４０４で、ＨＤＤ２４に対して平文によるデータ上書きを実行する。以降、ＨＤＤ消去ライブラリ１０４は、ＨＤＤ２４の先頭位置から末尾位置までの記憶領域に対する上書き要求を発行し、すべての記憶領域への上書処理を実行する。ステップＳ４０５でＨＤＤ消去ライブラリ１０４は、すべての記憶領域に対する上書処理が完了したことを検知し、ステップＳ４０６でデータ書込完了応答をＨＤＤ消去制御部８６に通知する。

本実施形態の複合機１０は、非暗号化ＨＤＤドライバ１０６を使用してデータ消去処理を行なうことにより、固定値によるデータ書込みが要求されるデータ消去方式であっても、当該方式に準拠したデータ消去が可能となる。また、データ消去処理以外の通常のデータ読書きは、暗号化および復号して実行されるため、データ消去される前にＨＤＤ２４が抜取られた場合を想定しても、その際の情報漏洩のリスクを低減することが可能となる。さらにデータ消去処理が完了すると、データ復元が極めて困難となるため、所定の方式に準拠した高いセキュリティを提供することが可能となる。

なお上述までは、通常使用される暗号化ＨＤＤドライバ１０８の機能を停止させ、非暗号化ＨＤＤドライバ１０６を機能させて切換える制御として説明したが、他の実施形態では、起動様式に応じて使用するＨＤＤドライバの設定変更した後に再起動させることにより、ＯＳの起動時に、通常様式では暗号化ドライバ１０８が組込まれ、一括消去様式では非暗号化ドライバ１０６が組込まれるように制御することもできる。

以下、データ消去処理の他の実施形態について説明する。以下に説明する実施形態では、暗号化または非暗号化によるデータ書込みの切換が可能なＨＤＤドライバを使用する。図８は、他の実施形態におけるデータ消去処理に関する主要構成の機能ブロック図を示す。なお、図３に示した機能手段と同様の機能を有するものには、同一符号を割り当てている。図８に示した実施形態では、複合機１０は、ＨＤＤ２４と、ＨＤＤ消去制御部８６と、ＨＤＤ消去ライブラリ１０４と、書き込むべきデータの暗号化の要否の設定値を格納する暗号化要否設定格納部１１２と、暗号化の要否の設定値に応じたＨＤＤ２４へのデータアクセスを制御するＨＤＤドライバ１１０とを含み構成される。

本実施形態のＨＤＤドライバ１１０は、暗号化要否設定格納部１１２の設定値を参照して、書込むべきデータに暗号化処理を施すか否かを判定する。ＨＤＤ消去制御部８６は、データ消去処理の開始前に、暗号化要否設定格納部１１２の設定値を［暗号化不要］に変更する。よって、ＨＤＤドライバ１１０は、所定の方式による上書消去の際には、暗号化せずにデータ書込みを行なう。またＨＤＤ消去制御部８６は、データ消去処理が完了または中断した場合には、暗号化要否設定格納部１１２の設定値を［暗号化要］に設定し、暗号化による通常のデータアクセスを行なう。なお、暗号化要否設定格納部１１２は、例えばＮＶ−ＲＡＭ２６の記憶領域によって提供される。また、他の実施形態では、暗号化要否設定格納部１１２は、ＳＤメモリカード、フラッシュメモリ、コンパクトフラッシュ（登録商標）などのリムーバルメディアの記憶領域を使用してもよい。なお、データアクセスにおける暗号化の要否の判定や暗号化および復号の処理は、特に処理上の制限がない限り、フィルタドライバまたは中間ドライバとしとして実装することもでき、またいかなる他の機能モジュールとして実装してもよい。

図９は、他の実施形態における上書消去処理のフローチャートを示す。図９に示した処理は、ステップＳ５００で、図５のステップＳ２０３の処理により開始される。ステップＳ５０１でＨＤＤ消去制御部８６は、暗号化要否設定格納部１１２が格納する設定値を［暗号化不要］に設定する。そして、ステップＳ５０２でＨＤＤ消去制御部８６は、図４のステップＳ１０１で指定された方式によるデータ消去処理実行の開始要求をＨＤＤ消去ライブラリ１０４へ発行し、データ消去処理を開始させる。

開始要求を受けてＨＤＤ消去ライブラリ１０４は、ステップＳ５０３で、指定の方式に従い、ＨＤＤドライバ１１０を介してＨＤＤ２４の記憶領域の先頭位置から順に上書処理を施す。ステップＳ５０４では、書込エラーなどのエラーが発生したか否かを判定し、エラーが発生していないと判定した場合（ＮＯ）には、処理をステップＳ５０５へ分岐させる。ステップＳ５０５では、中止指令を受領したか否かを判定し、中止指令を受領していないと判定した場合（ＮＯ）には、処理をステップＳ５０６へ分岐させる。

ステップＳ５０６では、ＨＤＤ２４のすべての記憶領域に対して、所定方式に従った上書消去処理が完了したか否かを判定し、データ消去処理が未だ完了していないと判定された場合（ＮＯ）には、処理をステップＳ５０３へ再びループさせる。一方、ステップＳ５０６で、すべての上書消去処理が完了したと判定された場合（ＹＥＳ）には、ステップＳ５０７へ処理を分岐させ、暗号化要否設定格納部１１２の設定値を、データ消去処理開始前の元の値に設定し直し、ステップＳ５０８で本処理ルーチンを終了させる。

ステップＳ５０４でエラーが発生したと判定された場合（ＹＥＳ）またはステップＳ５０５で中止指令を受領したと判定された場合（ＹＥＳ）には、一括消去処理が未完了であっても、ステップＳ５０７へ処理を分岐させ、データ消去処理を中断し、設定値を元の値に戻して、ステップＳ５０８で処理ルーチンを終了させる。

以下、図１０に示すシーケンス図を参照して、ＨＤＤ一括消去が完了するまでの処理フローについて、より具体的に説明する。図１０に示した処理は、ステップＳ６００で、ＨＤＤ一括消去フラグが［ｔｒｕｅ］に設定され一括消去様式により再起動されたところから開始する。ステップＳ６０１でＨＤＤ消去制御部８６は、暗号要否設定格納部１１２に対して、設定値を［暗号化不要］とするよう要求を発行し、ステップＳ６０２で暗号化要否設定格納部１１２は、設定値を［暗号化不要］に書換える。ステップＳ６０３でＨＤＤ消去制御部８６は、ＨＤＤ消去ライブラリ１０４に対して、データ消去方式指定を含むデータ消去処理の開始要求を発行し、開始要求を受けてＨＤＤ消去ライブラリ１０４は、ステップＳ６０４で指定方式によるデータ消去処理を開始する。

ステップＳ６０５では、ＨＤＤ消去ライブラリ１０４は、指定の方式に従って、ＨＤＤドライバ１１０に対して、順次、固定値またはランダム値のデータ上書き要求を発行する。ＨＤＤドライバ１１０は、ステップＳ６０６で、暗号化要否設定格納部１１２の設定値を参照して暗号化を行なうか否かを判定し、ステップＳ６０７で、暗号化不要とされた設定値に応じて、ＨＤＤ２４に対して平文によるデータ上書を実行する。以降、ＨＤＤ消去ライブラリ１０４は、ＨＤＤ２４の先頭位置から末尾位置までの記憶領域に対するデータ上書きを繰り返す。ＨＤＤ消去ライブラリ１０４は、ステップＳ６０８ですべての記憶領域に対する上書処理の完了を検知し、ステップＳ６０９でＨＤＤ消去制御部８６にデータ書込完了応答を通知する。完了応答を受けてＨＤＤ消去制御部８６は、ステップＳ６１０で、暗号要否設定格納部１１２に対して元の値である［暗号化要］に設定要求を発行し、ステップＳ６１１で暗号化要否設定格納部１１２は、設定値を［暗号化要］に書換える。

以下、さらに図１１に示すシーケンス図を参照して、ＨＤＤ一括消去が書込エラーにより中断した場合の処理フローについて、より具体的に説明する。図１１に示したステップＳ７００〜ステップＳ７０７までの処理は、図１０に示したステップＳ６００〜Ｓ６０７までの処理に対応するため、ここでは説明を省略する。ステップＳ７０７以降、ステップＳ７０８では、ＨＤＤドライバ１１０がＨＤＤ２４の書込みの失敗を検知し、ステップＳ７０９で、ＨＤＤ消去ライブラリ１０４に書込エラー通知を行なう。書込エラー通知を受けてＨＤＤ消去ライブラリ１０４は、ステップＳ７１０でデータ消去処理を中断させ、ステップＳ７１１でＨＤＤ消去制御部８６に対して中断完了通知を行なう。中断完了通知を受けてＨＤＤ消去制御部８６は、ステップＳ７１２で、暗号化要否設定格納部１１２に対して、設定値を元の値である［暗号化要］とするよう要求を行ない、ステップＳ７１３で、暗号化要否設定格納部１１２は、設定値を［暗号化要］に書換える。

以下、さらに図１２に示すシーケンス図を参照して、ＨＤＤ一括消去がオペレータからの中止指令により中断した場合の処理フローについて、より具体的に説明する。図１２に示したステップＳ８００〜ステップＳ８０７までの処理は、図１０に示したステップＳ６００〜６０７までの処理に対応するため、ここでは説明を省略する。ステップＳ８０７以降、ステップＳ８０８では、オペレーション・パネル４２などを介したオペレータからデータ消去処理の中止指令を受領して、ＨＤＤ消去制御部８６は、中止イベントの発生を検知し、ステップＳ８０９で、ＨＤＤ消去ライブラリ１０４に対して中断要求を発行する。中断要求を受けてＨＤＤ消去ライブラリ１０４は、ステップＳ８１０で、データ消去処理を中断し、ステップＳ８１１でＨＤＤ消去制御部８６に対して中断完了通知を行なう。中断完了通知を受けてＨＤＤ消去制御部８６は、ステップＳ８１２で、暗号化要否設定格納部１１２に対して元の値である［暗号化要］とするよう要求を行ない、ステップＳ８１３で、暗号化要否設定格納部１１２は、設定値を［暗号化要］に書換える。

本実施形態の複合機１０は、暗号化要否の設定値に応じて動作が制御されるＨＤＤドライバ１１０を使用し、暗号化不要に設定してデータ消去処理を行なうことにより、固定値によるデータ書込みが要求されるデータ消去方式であっても、当該方式に準拠したデータ消去が可能となる。従って、所定の方式に準拠した高いセキュリティを提供することが可能となる。一方、通常のデータアクセスについては、暗号化要に設定して行なうことができるため、暗号化されたデータ蓄積が可能となり、もって、さらに高いセキュリティが提供される。また、オペレータによる中止指令を受付可能に構成されるため、オペレータが緊急に複合機１０を利用する必要性に迫られた場合であっても、迅速にＨＤＤ一括消去処理を中断して、画像読取りや画像形成などのサービスを提供することが可能となる。

なお上述までの実施形態では、ＨＤＤ一括消去時の排他的アクセスを行なうために、他のＨＤＤ２４にアクセスする可能性のある制御部やアプリケーションを起動させない起動様式を用意し、その起動様式により再起動した後で、ＨＤＤ一括消去を行なっているが、特に限定されるものではない。他の実施形態では、例えば、ＨＤＤ２４にアクセスする可能性のある他の制御部やアプリケーションをＨＤＤ２４のアクセスを禁止した状態で起動する起動様式を用意し、プリントやスキャンなどのサービスのバックグラウンドにおいて、ＨＤＤ一括消去を行なう制御とすることもできる。

また上述までの実施形態では、ＨＤＤ２４全体の記憶領域を一括消去の対象としたが、特に限定されるものではなく、他の実施形態では、ＨＤＤ２４の所定範囲の記憶領域をデータ消去処理の対象としてもよい。この場合、一時的に他のプロセスによるＨＤＤ２４へのアクセスを禁止し、ＨＤＤドライバまたは暗号化要否の設定値を切換えて、例えば、スキャンやプリントのジョブ実行のために一時的に格納した画像データなどを、ジョブが終了した後に逐次消去させる制御とすることもできる。またＨＤＤ一括消去処理は、オペレーション・パネル４２を介した外部指令の他にも、ネットワークＩ／Ｆを介した外部指令や、実行日時の設定によるタイマイベントなどに応答して処理を開始させる制御とすることができる。

以下、図４のステップＳ１０１で用いられるユーザ・インタフェースについて詳細を説明する。図１３は、ＨＤＤ一括消去処理を指令するための複合機１０のオペレーション・パネル４２に表示されるＧＵＩ（グラフィカル・ユーザ・インタフェース）画面の実施形態を示す。以下、説明を容易にするために、オペレーション・パネル４２がタッチパネルなどにより構成された場合を一例として説明する。

図１３に示したＧＵＩ画面３００は、複合機１０のシステム設定画面に対応し、ＨＤＤ一括消去を行なうための設定画面を呼出す管理者用設定タブ３０２と、ＨＤＤ一括消去を指令するためのメモリー全消去ボタン３０４と、設定の終了を指令するための終了ボタン３０６とを含み構成される。なお、この管理者用設定タブ３０２は、管理者用パスワード等によりユーザ認証を行ない、認証され正当な権限を有するユーザに対してのみ選択可能とすることが好ましい。前画面において、管理者用設定タブ３０２が押下され、管理者用設定画面の表示が選択されると、図１３に示したメモリー全消去ボタン３０４を含むＧＵＩ画面３００が表示されることとなる。

図１４は、ＧＵＩ画面３００のメモリー全消去ボタン３０４の押下に応答して表示されるＧＵＩ画面３２０を示す。図１４に示したＧＵＩ画面３２０は、ＨＤＤの消去方式を指定するための方式指定ボタン３２２ａ〜ｃと、消去処理が完了した後の動作を指定するための動作指定ボタン３２４ａおよびｂと、ＨＤＤ一括消去を指令するための消去実行ボタン３２６と、元の図１３の画面に戻るための閉じるボタン３２８とを含み構成される。各方式指定ボタン３２２は、オペレータから指令を待受け、押下されたことに応答して、方式指定値をメモリ上に格納して、選択された旨の表示を行なう。図１４に示した例では、ＮＡＳ方式と、ＤｏＤ方式と、乱数方式とが選択可能に表示され、オペレータにより方式が指定され、消去実行ボタン３２６が押下されたことに応答して、ＨＤＤ一括消去が開始される。動作指定ボタン３２４ａは、処理終了後に再起動を行なう旨の動作指定を待受け、動作指定ボタン３２４ｂは、処理終了後に電源を切断する旨の動作指定を待受け、押下されたことに応答して、各動作指定の指定値をメモリ上に格納して、選択された旨の表示を行なう。

図１５は、ＧＵＩ画面３２０の消去実行ボタン３２６の押下に応答して表示されるＧＵＩ画面３４０を示す。ＧＵＩ画面３４０は、メッセージ３４２を含み構成され、再起動後にＨＤＤ一括消去の実行を開始する旨をオペレータに通知している。

図１３〜図１４に示すＧＵＩ画面をオペレーション・パネル４２上に表示させることにより、オペレータは、容易に、複合機１０のＨＤＤ一括消去処理を指令することが可能となり、高い利便性を備えた情報処理装置を提供することが可能となる。

以上説明したように本実施形態によれば、暗号化によるデータ蓄積装置へのアクセスを可能とし、かつ、固定値の書込みを含む上書消去方式による安全なデータ消去を実施可能とし、もって、情報漏洩に対して高いセキュリティを有する情報処理装置、プログラムおよび記録媒体を提供することが可能となる。

情報処理装置としては、上述した実施形態の複合機能を有した複合機に限られるものではなく、特定の用途に応じて、パーソナル・コンピュータやサーバ、複写機やプリンタや印刷機などの画像形成装置、スキャナなどの画像読取装置、ファクシミリなどの画像通信装置など、データ蓄積装置を備える装置として構成することができる。

またデータ蓄積装置としては、上述した実施形態では、ハードディスクドライブを例として説明してきたが、他の如何なる記憶装置または記憶媒体を採用することができ、蓄積情報が残留してしまうような記録原理を基礎とした不揮発性の記憶装置または記録媒体に対して特に有効である。

さらに本実施形態のデータ消去機能は、米国国防省（ＮＡＳ）方式、米国安全保障局（ＤｏＤ）方式の他、固定値書込み方式、米国陸軍方式、米国海軍方式、北大西洋条約機構方式またはＧｕｔｍａｎｎ方式など、固定値の書込処理を含む如何なるデータ消去方式に対しても有効である。

また、上記機能は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）、などのレガシープログラミング言語やオブジェクト指向プログラミング言語などで記述された装置実行可能なプログラムにより実現でき、ＲＯＭ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤ、ＳＤメモリ、ＭＯなど装置可読な記録媒体に格納して頒布することができる。

以上本発明の特定の実施形態について説明してきたが、本発明の実施形態は上述した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

複合機のハードウェア構成の実施形態を示す図。 本実施形態の複合機のソフトウェアおよびハードウェア構成を示す図。 本実施形態の複合機が備えるデータ消去処理に関する主要構成の機能ブロック図。 本実施形態の複合機が実行するＨＤＤ一括消去処理のフローチャート。 本実施形態の複合機が実行する一括消去様式による起動処理のフローチャート。 本実施形態の複合機が実行する上書消去処理のフローチャート。 ＨＤＤ一括消去が完了するまでの処理フローのシーケンス図。 他の実施形態におけるデータ消去処理に関する主要構成の機能ブロック図。 他の実施形態における上書消去処理のフローチャートを示す。 ＨＤＤ一括消去が完了するまでの処理フローを示すシーケンス図。 ＨＤＤ一括消去が書込エラーにより中断した場合の処理フローを示すシーケンス図。 ＨＤＤ一括消去がオペレータからの中止指令により中断した場合の処理フローを示すシーケンス図。 ＨＤＤ一括消去処理を指令するためのＧＵＩ画面の実施形態を示す図。 方式指定および完了後の動作指定を行なうためのＧＵＩ画面を示す図。 一括消去実行の指令の後に表示されるＧＵＩ画面を示す図。

符号の説明

１０…複合機、１２…コントローラ、１４…ＣＰＵ、１６…システムメモリ、１８…ＮＢ、２０…ＡＳＩＣ、２２…ローカルメモリ、２４…ＨＤＤ、２６…ＮＶ−ＲＡＭ、２８…ＳＢ、３０…ＮＩＣ、３２…ＳＤカード・スロット、３４…ＵＳＢインタフェース、３６…ＩＥＥＥ１３９４インタフェース、３８…セントロニクス・インタフェース、４２…オペレーション・パネル、４４…ＦＣＵ、４６…エンジン部、４８…ＡＧＰ、５０…ＰＣＩバス、５８…複合機起動部、６０…アプリケーション層、６２…コピー・アプリケーション、６４…ファックス・アプリケーション、６６…スキャナ・アプリケーション、６８…ネットファイル・アプリケーション、７０…プリンタ・アプリケーション、７２…ＡＰＩ、７４…ＥＣＳ、７６…ＭＣＳ、７８…ＯＣＳ、８０…ＦＣＳ、８２…ＮＣＳ、８４…ＵＣＳ、８６…ＨＤＤ消去制御部、８８…ＳＣＳ、９０…ＳＲＭ、９２…ＩＭＨ、９４…ＯＳ、９６…デバイス・ドライバ群、９８…エンジン・インタフェース（Ｉ／Ｆ）、１００…プラットフォーム層、１０２…ハードウェア・リソース、１０４…ＨＤＤ消去ライブラリ、１０６…非暗号化ＨＤＤドライバ、１０８…暗号化ＨＤＤドライバ、１１０…ＨＤＤドライバ、１１２…暗号化要否設定格納部、３００…ＧＵＩ画面、３２０…ＧＵＩ画面、３４０…ＧＵＩ画面

Claims (10)

1. データ蓄積装置を備える情報処理装置であって、前記情報処理装置は、
   前記データ蓄積装置へのデータ書込みを制御する制御手段と、
   前記制御手段に対して非暗号化によるデータ書込みを行なわせて、前記データ蓄積装置に蓄積されたデータの上書消去処理を実行するデータ消去手段と
   を含み、前記情報処理装置は、前記上書消去処理以外の前記データ蓄積装置へのデータ書込みについては、暗号化により行なう、情報処理装置。
2. 前記情報処理装置は、前記上書消去処理以外のデータ書込みのために、暗号化によるデータ書込みを制御する暗号化書込み制御手段をさらに含み、
   前記データ消去手段は、前記暗号化書込み制御手段とは別の非暗号化によるデータ書込みを制御する前記制御手段を用いて、前記上書消去処理を実行する、請求項１に記載の情報処理装置。
3. 前記情報処理装置は、前記データ消去手段による指定の記憶領域に対する上書消去処理が完了または中断したことに応答して、暗号化によるデータ書込みを制御する前記暗号化書込み制御手段を使用するよう設定する手段をさらに含む、請求項２に記載の情報処理装置。
4. 前記情報処理装置は、データ書込みでの暗号化要否の設定値を記憶する記憶手段と、前記設定値を暗号化不要に書換えるとともに、前記データ消去手段に対して前記上書消去処理の開始要求を発行する消去処理制御手段とを含み、
   前記制御手段は、前記設定値を参照して、書込むべきデータを暗号化するか否かを判定する、請求項１に記載の情報処理装置。
5. 前記消去処理制御手段は、前記データ消去手段による指定の記憶領域に対する上書消去処理が完了または中断したことに応答して、前記設定値を暗号化要に書換える、請求項４に記載の情報処理装置。
6. 前記中断は、外部指令または書込みエラーの発生による、請求項３または５に記載の情報処理装置。
7. 前記情報処理装置は、起動時に前記データ蓄積装置の上書消去処理を開始させる起動様式か、通常の起動様式かを判定する起動様式判定手段と、
   指令に応答して、前記起動時に上書消去処理を開始させる起動様式に設定し、再起動を開始させるための設定手段をさらに含む、請求項１〜６のいずれか１項に記載の情報処理装置。
8. 前記上書消去処理は、固定値の書込みを含む、請求項１〜７のいずれか１項に記載の情報処理装置。
9. 情報処理装置を、請求項１〜８のいずれか１項に記載の各手段として機能させるための装置実行可能なプログラム。
10. 請求項１〜８のいずれか１項に記載の各手段として、情報処理装置を機能させるための装置実行可能なプログラムを記録した装置可読な記録媒体。

Images