JP2010211145A

JP2010211145A - 交換部品内データ修復システム

Info

Publication number: JP2010211145A
Application number: JP2009059826A
Authority: JP
Inventors: Takeyuki Suzuki; 健之鈴木
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2009-03-12
Filing date: 2009-03-12
Publication date: 2010-09-24
Anticipated expiration: 2029-03-12
Also published as: JP5067390B2

Abstract

【課題】画像形成装置の交換部品内の記憶媒体に記憶された固有情報が何らかの理由で読み出せなくなった場合でも、その固有情報に基づき暗号化されその記憶媒体内に記憶されたデータを復号できる可能性を高める。
【解決手段】生産・データ回収ツール３００の予備鍵情報生成部３０２が、生産した交換部品のＣＲＵＭ２００内の固有情報（シリアルＩＤ２０２及び生産情報２０４）を、固有の鍵又はアルゴリズムを用いて暗号化し、暗号化結果の暗号化予備鍵情報２０８をＣＲＵＭ２００内に書き込む。不良と判定されたＣＲＵＭ２００を調査する場合、暗号鍵リカバリ部３０４が暗号化予備鍵情報２０８を読み出し、これを復号して鍵を生成し、復号部３０６がその鍵を用いて暗号化データ２０６ａを復号する。復号結果に誤りがなければ、ＣＲＵＭ２００の不良は固有情報の破壊等によるものと判断される。
【選択図】図１

Description

本発明は、画像形成装置の交換部品内のデータの修復システムに関する。

プリンタやデジタル複写機、デジタル複合機（プリンタ、スキャナ、複写機等の機能を併せ持つ装置）などの画像形成装置には、トナーカートリッジや感光体ドラムカートリッジなどの交換部品が着脱自在に装着されるものがある。また交換部品の使用量（何枚の印刷に使ったかなど）を示すカウント値やユーザ情報などの管理データを記憶する不揮発性記憶媒体（例えばＲＦＩＤタグ）をその交換部品に設け、画像形成装置本体からこの不揮発性記憶媒体内の管理データを読み出したり、書き込んだりすることが行われている。また、このような管理データの不正利用や改ざんを抑止するために、画像形成装置の本体で管理データを暗号化してから交換部品内の不揮発性記憶媒体に書き込むことも行われている。また、暗号強度を高めるために、個々の不揮発性記憶媒体が記憶している固有の管理情報（例えば製造シリアル番号、製造年月日など）を用いて暗号／復号のための鍵を生成することも行われている（特許文献１参照）。

ところで、不揮発性記憶媒体に記憶された固有の管理情報が何らかの理由で読み出せなくなると、その管理情報に基づく鍵を用いて暗号化され不揮発性記憶媒体に書き込まれたデータは復号できなくなってしまう。例えば交換部品の媒体に書き込まれたライフカウント値が正常に復号できなくなると、例えばドラムの膜減り量が異常になり、プロセスコントロールが正常動作せず、画質異常（黒筋等）が発生するなどの事態が生じる可能性がある。

特許文献２には、ＩＣカード内の秘密鍵が破損した場合にそれを復元できるようにするために、秘密鍵のデータを分割して暗号化したデータを複数のＩＣカードに分散して格納する仕組みが開示されている。

特開２００５−１４９４１６号公報特開２００４−０２３１３８号公報

本発明は、画像形成装置の交換部品内の記憶媒体に記憶された固有情報が何らかの理由で読み出せなくなった場合でも、その固有情報に基づき暗号化されその記憶媒体内に記憶されたデータを復号できる可能性を高めるためのシステムを提供することを目的とする。

請求項１に係る発明は、画像形成装置の交換部品に設けられた記憶媒体内の記憶場所のうち、前記画像形成装置が前記記憶媒体に書き込むデータの暗号化及び復号に用いる鍵のもとになる固有情報を記憶した記憶場所から当該固有情報を読み出す手段と、読み出された固有情報又はこれに基づき生成された鍵を暗号化することで暗号化鍵情報を生成し、当該暗号化鍵情報を前記記憶媒体内のあらかじめ定められた記憶場所に書き込む手段と、を備える第１の装置と、前記交換部品に設けられた前記記憶媒体内の前記あらかじめ定められた記憶場所から前記暗号化鍵情報を読み出す手段と、読み出された前記暗号化鍵情報に基づき前記鍵を生成する手段と、生成された前記鍵を用いて、前記記憶媒体に書き込まれた暗号化されたデータを復号する手段と、を備える第２の装置と、を含む交換部品内データ修復システムである。

請求項１に係る発明によれば、画像形成装置の交換部品内の記憶媒体に記憶された固有情報が何らかの理由で読み出せなくなった場合でも、その固有情報に基づき暗号化されその記憶媒体内に記憶されたデータを復号できる可能性を高めることができる。

実施形態のシステムの一例を概略的に示す図である。ＣＲＵＭへの通常のデータ暗号化・書き込みの流れを説明するための図である。ＣＲＵＭ内の固有情報の破壊により書き込まれたデータの復号できなくなることを説明するための図である。固有情報が破壊された場合に、予備鍵によりＣＲＵＭ内のデータを復号する流れを説明するための図である。

図１に例示するシステムにおいて、プリンタ、複写機、複合機等の画像形成装置本体の制御部１００は、トナーカートリッジやドラムカートリッジなどの交換部品に関する管理データ１０２を用いて、各種の制御を行う。管理データには、例えば交換部品の使用量を示すカウント値やユーザ情報などがある。制御部１００は、電源が切られた時や所定枚数印刷するごとなどのあらかじめ定められたタイミングでその管理データを交換部品内のメモリ（ＣＲＵＭ(Customer Replaceable Unit Monitor)２００）に書き込む。例えば、トナーカートリッジの使用量カウント値はトナーカートリッジのＣＲＵＭに書き込む。なお、制御部１００は、例えば、画像形成装置内に設けられたリード・オンリー・メモリー等の不揮発性記憶媒体に記憶された制御プログラムを、画像形成装置内のプロセッサが実行することにより実現される。

ＣＲＵＭ２００は、画像形成装置の交換部品に取り付けられたメモリである。ＣＲＵＭ２００は、例えばＲＦＩＤタグなど、画像形成装置本体の制御部１００と無線通信を行う通信インタフェースを備えるメモリユニットである。もちろんこれは一例であり、ＣＲＵＭ２００は、画像形成装置本体と有線通信を行うものであってもよい。ＣＲＵＭ２００は、ＥＥＰＲＯＭ(Electrically Erasable and Programmable Read Only Memory)などの不揮発性記憶媒体を備えており、この媒体に制御部１００から書き込まれたデータを記憶する。また、ＣＲＵＭ２００は、それぞれ他のＣＲＵＭと異なる固有情報を記憶している。図１の例では、シリアルＩＤ２０２が固有情報の一例である。シリアルＩＤ２０２は、ＣＲＵＭ２００を生産したメーカー（例えばＲＦＩＤタグのメーカー）がＣＲＵＭの個体識別のためにＣＲＵＭ内に書き込んだ識別情報である。また、ＣＲＵＭのメーカーは、ＣＲＵＭの品質管理などの観点で、製造年月日や製造場所、ロット番号などの生産情報２０４をＣＲＵＭ２００に書き込む場合もある。これらシリアルＩＤ２０２及び生産情報２０４は、ＣＲＵＭ２００を交換部品に組み込む交換部品メーカー側には一般には書き換えできない領域に書き込まれている。

再び制御部１００の説明に戻ると、画像形成装置本体の制御部１００は、管理データ１０２をＣＲＵＭ２００に書き込む際、ＣＲＣ(Cyclic Redundancy Check)１０４等の誤り検出又は誤り訂正のためのコードを管理データ１０２に付加する。そして、制御部１００内の暗号化・復号化部１０６が、ＣＲＣ１０４付きの管理データ１０２を暗号化する。この暗号化のために、制御部１００内の暗号鍵生成部１０８が、ＣＲＵＭ２００から固有情報を読み出し、この固有情報にあらかじめ定められた演算を適用することで暗号鍵を生成する。そして、この暗号鍵を用いて暗号化・復号化部１０６がＣＲＣ１０４付きの管理データ１０２を暗号化する。この例では、シリアルＩＤ２０２と生産情報２０４（製造年月日、ロット番号など各生産情報項目のうちの１以上）との組合せを固有情報としてＣＲＵＭ２００から読み出している。暗号鍵の元となるシリアルＩＤ２０２及び生産情報２０４は、ＣＲＵＭ２００のメモリ空間のあらかじめ定められたアドレスに書き込まれているので、暗号鍵生成部１０８はそれらあらかじめ定められたアドレスから値を読み出す。

なお、暗号鍵の種となる情報として、シリアルＩＤ２０２と生産情報２０４を用いるのは一例に過ぎない。暗号鍵の種としては、その例に限らず、ＣＲＵＭ２００内に記憶された当該ＣＲＵＭ２００に固有の情報ならどのような情報を用いてもよい。

図示例では、制御部１００は、管理データ１０２の暗号化結果である暗号化データ２０６ａをＣＲＵＭ２００上の当該管理データ用にあらかじめ定められたアドレスに書き込むと共に、暗号化データ２０６ａのコピーである暗号化データ２０６ｂ及び２０６ｃを、ＣＲＵＭ２００内のそれらコピー用にあらかじめ定められたアドレスに書き込む。

図２に示す例では、暗号鍵生成部１０８は、シリアルＩＤ「0001」と生産情報「1010」とをマージ（併合）した値「00011010」に対し、鍵生成のための関数又はアルゴリズムを適用することで、暗号鍵を生成する。そして、暗号化・復号化部１０６が、ＣＲＵＭ２００への書き込み対象の管理データ１０２である（ＣＲＵＭ２００が設けられた交換部品の）使用量のカウント値「001234」に対してＣＲＣ１０４を付加したデータを、その暗号鍵で暗号化する。制御部１００は、暗号化された値を、予備も含めて３つの暗号化データ２０６ａ，２０６ｂ，２０６ｃとして、ＣＲＵＭ２００内の、使用量カウント値及びその予備データの書き込み場所としてあらかじめ定められたアドレスに書き込む。

また、制御部１００は、電源投入時などのあらかじめ定められたタイミングで、ＣＲＵＭ２００から暗号化データ２０６ａを読み出す。そして、読み出した暗号化データ２０６ａを暗号化・復号化部１０６により復号化する。この復号化処理のために、暗号鍵生成部１０８がＣＲＵＭ２００内からシリアルＩＤ２０２及び生産情報２０４を読み出し、これらの情報に基づき復号化用の鍵を生成し、暗号化・復号化部１０６はその鍵を用いて暗号化データ２０６ａの復号を行う。ここで、復号化用の鍵は、暗号化用の鍵と同じ値のものであってもよいし、異なる値（ただし、暗号化用の鍵と対応した値である）のものでもよい。暗号データ２０６ａの復号結果は、管理データ１０２とＣＲＣ１０４に分けられる。制御部１００は、管理データ１０２に対し、ＣＲＣ１０４による誤り検査を行い、この誤り検査により管理データ１０２に誤りがないと判定された場合、管理データ１０２を用いて制御処理を実行する。例えば、管理データ１０２が交換部品の使用量カウント値である場合、制御部１００は、復号されたカウント値を起点とし、その後印刷処理を実行するごとにそのカウント値をカウントアップし、電源断などの所定の条件が満たされたときにそのカウント値を前述の処理により暗号化してＣＲＵＭ２００に書き戻す。

ＣＲＣ１０４による誤り検査で誤りがあると判定された場合、制御部１００は予備の暗号化データ２０６ｂを読み出し、上述と同様これを復号し、誤り検査を行う。この検査で誤りなしと判明すれば、制御部１００はその復号結果の管理データを用いて制御処理を行えばよい。

暗号化データ２０６ｂの復号結果にも誤りが検出された場合、制御部１００は最後の予備の暗号化データ２０６ｃを読み出して復号し、誤り検査を行う。この検査で誤りなしと判明すれば、制御部１００はその復号結果の管理データを用いて制御処理を行えばよい。

一方、誤り検出により、最後の予備の暗号化データ２０６ｃも誤りであると判定された場合、当該ＣＲＵＭ２００が装着された交換部品が不正使用されたものである可能性がある。そこで、制御部１００は、例えば、画像形成装置本体が動作（例えば印刷）を一時停止し、当該交換部品が使用不可なので交換すべきことを促すメッセージを画像形成装置本体の表示部に表示する。使用不可とされた交換部品は、例えば当該交換部品の生産者側に引き取られ、使用不可となった原因が調査される。

ここで、このようにすべての暗号化データ２０６ａ〜２０６ｃが正しく復号できない場合、その原因としては、暗号化データ２０６ａ，２０６ｂ，２０６ｃが何らかの理由ですべて壊れてしまった又は改竄されたという可能性の他に、暗号及び復号のための鍵の種となるデータ（図示例ではシリアルＩＤ２０２及び生産情報２０４）のいずれかが壊れてしまったという可能性もある。後者の可能性を、図３を参照して説明する。

図３の例は、図２の例に示した暗号化及び書き込みの後、何らかの理由でシリアルＩＤ２１２が壊れた場合を示している。すなわち、図２に例示した時点では、シリアルＩＤ２０２の値が「0001」であったところ、その後の図３の時点では何らかの理由シリアルＩＤ２１２が「1001」に変化している。この場合、暗号鍵生成部１０８はシリアルＩＤ２１２と生産情報２０４を併合した値「10011010」を種として暗号化及び復号化のための鍵を生成する。ここで、種の値が図２の場合の値「00011010」と異なるので、図２の場合とは異なる値の鍵が得られることとなる。したがって、例えば図２の時点の種「00011010」から生成した鍵により暗号化した暗号化データ２０６ａ〜２０６ｃを、図３の時点で種「10011010」から生成した鍵により復号しようとしても、正しく復号することはできない。すなわち、この場合、暗号化データ２０６ａ〜２０６ｃのいずれについても、復号結果の管理データ１１２とＣＲＣ１１４との組合せは誤り検査により誤りありと判定されることになる。

シリアルＩＤ２０２等の固有情報は書き換えられることがないので、他の書き換え可能な領域のデータのように書き換え回数の増大による劣化により破壊されるということはない。このために、固有情報が壊れた場合に対処するための仕組みは従来のＣＲＵＭには設けられていなかった。しかし、現実には、デバイス系のメモリディスターブ不良等の理由で固有情報が壊れてしまうことがある。このような場合、暗号化データ２０６ａ〜２０６ｃの復号失敗が、固有情報の破壊によることが分かれば、顧客に対して交換部品の無償交換や交換料金の軽減などといった補償を行うことも考えられる。

そこで、この実施形態では、そのように鍵の種のとなるＣＲＵＭ２００の固有情報が破壊された場合に対処すべく、ＣＲＵＭ２００内に暗号化予備鍵情報２０８を書き込んでおく。暗号化予備鍵情報２０８は、ＣＲＵＭ２００内の固有情報が壊れた場合でも、その固有情報に対応する暗号化及び復号化のための鍵を生成するための元となる情報（予備鍵情報と呼ぶ）を、交換部品の生産者が秘密にしている暗号化アルゴリズムにより暗号化したものである。すなわち、予備鍵情報は、例えばＣＲＵＭ２００の固有情報（例えばシリアルＩＤ２０２及び生産情報２０４）であってもよいし、その固有情報に基づき暗号鍵生成部１０８が生成する鍵であってもよい。いずれの場合も、暗号化予備鍵情報２０８は、交換部品生産者側の生産・データ回収ツール３００でしか復号できないように暗号化されている。制御部１００もまた第三者も、生産・データ回収ツール３００が持つ復号用の鍵や暗号アルゴリズムを知らない限り、暗号化予備鍵情報２０８を正しく復号することはできない。

この暗号化予備鍵情報２０８は、例えば、ＣＲＵＭ２００付きの交換部品を生産する工場に設けられた生産・データ回収ツール３００で生成される。図１に示すように、生産・データ回収ツール３００内に設けられた予備鍵情報生成部３０２は、ＣＲＵＭ２００からシリアルＩＤ２０２及び生産情報２０４等の固有情報を読み出し、これらの値を元に暗号化予備鍵情報２０８を生成する。このとき、予備鍵情報生成部３０２は、固有の鍵又は暗号アルゴリズムを用いて予備鍵情報を暗号化する。そして、暗号化により生成された暗号化予備鍵情報２０８を、ＣＲＵＭ２００内の、あらかじめ定められたアドレスに書き込む。

そして、上述のように復号時にＣＲＵＭ２００中のすべての暗号化データ２０６ａ〜２０６ｃが誤りありと判定された場合、その交換部品が生産者側に引き取られるか、生産者側のエンジニアが画像形成装置の設置された客先に出向くかなどして、交換部品の生産者により、生産・データ回収ツール３００を用いてそのＣＲＵＭ２００の調査が行われる。

すなわち、生産・データ回収ツール３００の暗号鍵リカバリ部３０４が、調査対象の交換部品のＣＲＵＭ２００のあらかじめ定められたアドレスから暗号化予備鍵情報２０８を読み出して復号し、その復号結果に基づき暗号化データ２０６ａ〜２０６ｃの復号のための鍵を生成する。このために、暗号鍵リカバリ部３０４は、予備鍵情報生成部３０２により暗号化されたデータを復号するための鍵や暗号アルゴリズムを有している。そして、暗号鍵リカバリ部３０４が生成した復号のための鍵を用いて、復号化部３０６が、暗号化データ２０６ａを復号し、復号結果に対してＣＲＣによる誤り検出を行う。これにより、復号結果に誤りがないと判定されれば、ＣＲＵＭ２００が使用不可と判定されたのは、ＣＲＵＭ２００の固有情報（シリアルＩＤ２０２及び生産情報２０４など）が破壊されたためであると判断できる。暗号化データ２０６ａの復号結果が誤りであっても、予備の暗号化データ２０６ｂ又は２０６ｃのいずれかの復号結果が誤りなしと判定されれば、同様に固有情報が破壊されたと判断できる。

例えば、図４の例では、図３に例示したようにＣＲＵＭ２００内の固有情報が変化していた場合でも、暗号化予備鍵情報２０８が破壊又は変更されていなければ、生産・データ回収ツール３００の暗号鍵リカバリ部３０４により、正しい固有情報「00011010」に対応する復号用の鍵を得ることができる。したがって、暗号化データ２０６ａが破壊又は変更されていなければ、復号化部３０６がその鍵を用いてその暗号化データ２０６ａを正しく復号することができ、ＣＲＣによるチェックもパスする。

このように、暗号化予備鍵情報２０８を用いて暗号化データ２０６ａ〜２０６ｃを正しく復号することができた場合、その復号結果の管理データ１０２（例えばカウント値）に基づき、顧客に対してフォローアップを行うようにしてもよい。

以上に示した例では、生産・データ回収ツール３００を一体の装置として示したが、これは一例に過ぎない。例えばその代わりに、ツール３００のうちの暗号化予備鍵情報２０８の書き込みのための構成（予備鍵情報生成部３０２）と、ＣＲＵＭ２００内の暗号化予備鍵情報２０８を用いた復号のための構成（暗号鍵リカバリ部３０４と復号化部３０６）とを別体の装置として構成してももちろんよい。

また、制御部１００は、ＣＲＵＭ２００内の暗号化予備鍵情報２０８を復号できないので、暗号化予備鍵情報２０８を用いた処理を行うことはないが、第三者の解析を困難にするために、制御部１００が暗号化予備鍵情報２０８のアドレスにダミーのアクセスを行うようにしてもよい。

生産・データ回収ツール３００は、例えば、汎用のコンピュータに上述の処理を表すプログラムを実行させることにより実現される。ここで、コンピュータは、例えば、ハードウエアとして、ＣＰＵ等のマイクロプロセッサ、ランダムアクセスメモリ（ＲＡＭ）およびリード・オンリー・メモリー（ＲＯＭ）等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）コントローラを経由して接続されたＨＤＤ、各種Ｉ／Ｏ（入出力）インタフェース等が、バスを介して接続された回路構成を有する。バスには、ローカルエリアネットワーク等のネットワークに接続するためのネットワークインタフェースが接続されていてもよい。また、そのバスに対し、例えばＩ／Ｏインタフェース経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダライタなどが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。インストールされたプログラムがＲＡＭに読み出されＣＰＵ等のマイクロプロセッサにより実行されることにより、上に例示したツール３００の機能が実現される。

１００画像形成装置本体の制御部、１０２管理データ、１０４ＣＲＣ、１０６暗号化・復号化部、１０８暗号鍵生成部、２００ＣＲＵＭ、２０２シリアルＩＤ、２０４生産情報、２０６ａ〜２０６ｃ暗号化データ、２０８暗号化予備鍵情報、３００生産・データ回収ツール、３０２予備鍵情報生成部、３０４暗号鍵リカバリ部、３０６復号化部。

Claims

画像形成装置の交換部品に設けられた記憶媒体内の記憶場所のうち、前記画像形成装置が前記記憶媒体に書き込むデータの暗号化及び復号に用いる鍵のもとになる固有情報を記憶した記憶場所から当該固有情報を読み出す手段と、
読み出された固有情報又はこれに基づき生成された鍵を暗号化することで暗号化鍵情報を生成し、当該暗号化鍵情報を前記記憶媒体内のあらかじめ定められた記憶場所に書き込む手段と、
を備える第１の装置と、
前記交換部品に設けられた前記記憶媒体内の前記あらかじめ定められた記憶場所から前記暗号化鍵情報を読み出す手段と、
読み出された前記暗号化鍵情報に基づき前記鍵を生成する手段と、
生成された前記鍵を用いて、前記記憶媒体に書き込まれた暗号化されたデータを復号する手段と、
を備える第２の装置と、
を含む交換部品内データ修復システム。