JP2014116753A - データ処理装置及び制御プログラム並びにデータ処理装置の動作方法 - Google Patents

Abstract

【課題】記憶部に対するデータ消去回数を抑制しつつ、データの機密性を確保することが可能な技術を提供する。
【解決手段】暗号化部１０１は、第１記憶部に記憶されている鍵データを用いてデータを暗号化して暗号化データを生成する。メモリ制御部１００は、暗号化部１０１で生成された暗号化データを、第１記憶部よりもデータ消去可能回数が少ない第２記憶部に書き込む。復号化部１０３は、第２記憶部に記憶されている暗号化データの生成に用いられた、第１記憶部に記憶されている鍵データを用いて、当該暗号化データを復号化する。メモリ制御部１００は、復号化部１０３において暗号化データの復号化で用いられる鍵データを第１記憶部から消去することによって、当該暗号化データをデータ処理装置１から擬似的に消去する。
【選択図】図３

Description

本発明は、データ処理装置に関する。

従来からデータ処理装置に関して様々な技術が提案されている。例えば特許文献１には、データ処理装置の一種である複合機（ＭＦＰ：Multi-Function Peripheral）に関する技術が開示されている。

特開２０１０−１２４２１３号公報

データ処理装置に記憶されているデータの機密性を確保するために、記憶部からデータが消去されることが考えられる。

しかしながら、フラッシュメモリなどの、データ消去可能回数が少ない記憶部にデータが記憶されている場合には、データの機密性を確保するために当該記憶部からデータを消去すると、当該記憶部の寿命を縮めることとなり好ましくない。

そこで、本発明は上述の点に鑑みて成されたものであり、記憶部に対するデータ消去回数を抑制しつつ、データの機密性を確保することが可能な技術を提供することを目的とする。

上記課題を解決するため、本発明に係るデータ処理装置の一態様は、第１記憶部と、前記第１記憶部よりもデータ消去可能回数が少ない第２記憶部と、前記第１記憶部に記憶されている鍵データを用いてデータを暗号化して暗号化データを生成する暗号化部と、前記暗号化部で生成された前記暗号化データを前記第２記憶部に書き込む第１データ書き込み部と、前記第２記憶部に記憶されている前記暗号化データの生成に用いられた、前記第１記憶部に記憶されている鍵データを用いて、当該暗号化データを復号化する復号化部と、前記復号化部において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去するデータ消去部とを備える。

また、本発明に係るデータ処理装置の一態様は、第１記憶部と、前記第１記憶部よりもデータ消去可能回数が少ない第２記憶部と、鍵データを用いてデータを暗号化して暗号化データを生成する暗号化部と、前記暗号化部で生成された前記暗号化データを前記第２記憶部に書き込む第１データ書き込み部と、前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付けるリンク情報を前記第１記憶部に書き込む第２データ書き込み部と、前記第１記憶部が記憶する前記リンク情報を用いて、前記第２記憶部が記憶する前記暗号化データの生成に用いられた鍵データを特定し、特定した当該鍵データを用いて当該暗号化データを復号化する復号化部と、前記第２記憶部が記憶する前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付ける前記リンク情報を前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去するデータ消去部とを備える。

また、本発明に係るデータ処理装置の一態様は、第１記憶部と、前記第１記憶部よりもデータ消去可能回数が少ない第２記憶部と、前記第１記憶部に記憶されている鍵データを用いてデータを暗号化して暗号化データを生成する暗号化部と、前記暗号化部で生成された前記暗号化データを前記第２記憶部に書き込む第１データ書き込み部と、前記第２記憶部に記憶されている前記暗号化データの生成に用いられた、前記第１記憶部に記憶されている鍵データを用いて、当該暗号化データを復号化する復号化部と、前記復号化部において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去するデータ消去部と、前記データ消去部が前記第１記憶部から消去した鍵データを、前記データ処理装置に着脱可能な可搬性記憶装置に書き込む第２データ書き込み部と備え、前記第２データ書き込み部によって鍵データが書き込まれた前記可搬性記憶装置が前記データ処理装置に接続されていない場合には、当該鍵データが用いられて復号化される前記暗号化データが前記データ処理装置から擬似的に消去された状態となっている。

また、本発明に係るデータ処理装置の一態様では、前記暗号化部は、データごとに異なる鍵データを用いる。

また、本発明に係るデータ処理装置の一態様では、前記第１記憶部は揮発性メモリであって、前記第２記憶部は不揮発性メモリである。

また、本発明に係るデータ処理装置の一態様では、前記第２記憶部では、記憶素子としてフラッシュメモリが使用されている。

また、本発明に係るデータ処理装置の一態様では、前記暗号化データの生成に用いられる鍵データは前記第１記憶部に記憶されている。

また、本発明に係るデータ処理装置の一態様では、前記データ消去部において擬似的に消去された前記暗号化データを特定するための特定情報を前記第１及び第２記憶部のどちらか一方である第３記憶部に書き込む第３データ書き込み部がさらに設けられている。

また、本発明に係るデータ処理装置の一態様では、前記第２記憶部は不揮発性メモリであって、前記第３記憶部は前記第２記憶部である。

また、本発明に係るデータ処理装置の一態様では、前記第１記憶部はバックアップ電源に接続された揮発性メモリであって、前記第３記憶部は前記第１記憶部である。

また、本発明に係るデータ処理装置の一態様では、前記復号化部は、鍵データを記憶する前記可搬性記憶装置が前記データ処理装置に接続されている場合に、当該鍵データを用いて前記暗号化データを復号化する。

また、本発明に係るデータ処理装置の一態様では、前記データ処理装置に前記可搬性記憶装置が接続されていない場合に、前記データ消去部が、前記復号化部において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去すると、当該暗号化データは前記データ処理装置から擬似的に消去される。

また、本発明に係るデータ処理装置の一態様では、擬似的に消去された前記暗号化データを特定するための特定情報を、前記第１及び第２記憶部のどちらか一方である第３記憶部に書き込む第３データ書き込み部がさらに設けられ、前記第３データ書き込み部は、前記データ処理装置に前記可搬性記憶装置が接続されていない場合に、前記データ消去部が、前記復号化部において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去して当該暗号化データが擬似的に消去されると、当該暗号化データを特定するための特定情報を前記第３記憶部に書き込み、前記復号化部において前記暗号化データの復号化で用いられる鍵データが書き込まれた前記可搬性記憶装置が前記データ処理装置から取り外されて当該暗号化データが擬似的に消去されたとしても、当該暗号化データを特定するための特定情報を前記第３記憶部に書き込まない。

また、本発明に係る制御プログラムの一態様は、第１記憶部と、当該第１記憶部よりもデータ消去可能回数が少ない第２記憶部とを備えるデータ処理装置を制御するための制御プログラムであって、前記データ処理装置に、（ａ）前記第１記憶部に記憶されている鍵データを用いてデータを暗号化して暗号化データを生成する工程と、（ｂ）前記工程（ａ）で生成された前記暗号化データを前記第２記憶部に書き込む工程と、（ｃ）前記第２記憶部に記憶されている前記暗号化データの生成に用いられた、前記第１記憶部に記憶されている鍵データを用いて、当該暗号化データを復号化する工程と、（ｄ）前記工程（ｃ）において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去する工程とを実行させるためのものである。

また、本発明に係る制御プログラムの一態様は、第１記憶部と、当該第１記憶部よりもデータ消去可能回数が少ない第２記憶部とを備えるデータ処理装置を制御するための制御プログラムであって、前記データ処理装置に、（ａ）鍵データを用いてデータを暗号化して暗号化データを生成する工程と、（ｂ）前記工程（ａ）で生成された前記暗号化データを前記第２記憶部に書き込む工程と、（ｃ）前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付けるリンク情報を前記第１記憶部に書き込む工程と、（ｄ）前記第１記憶部が記憶する前記リンク情報を用いて、前記第２記憶部が記憶する前記暗号化データの生成に用いられた鍵データを特定し、特定した当該鍵データを用いて当該暗号化データを復号化する工程と、（ｅ）前記第２記憶部が記憶する前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付ける前記リンク情報を前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去する工程とを実行させるためのものである。

また、本発明に係るデータ処理装置の動作方法の一態様は、第１記憶部と、当該第１記憶部よりもデータ消去可能回数が少ない第２記憶部とを備えるデータ処理装置の動作方法であって、（ａ）前記第１記憶部に記憶されている鍵データを用いてデータを暗号化して暗号化データを生成する工程と、（ｂ）前記工程（ａ）で生成された前記暗号化データを前記第２記憶部に書き込む工程と、（ｃ）前記第２記憶部に記憶されている前記暗号化データの生成に用いられた、前記第１記憶部に記憶されている鍵データを用いて、当該暗号化データを復号化する工程と、（ｄ）前記工程（ｃ）において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去する工程とを備える。

また、本発明に係るデータ処理装置の動作方法の一態様は、第１記憶部と、当該第１記憶部よりもデータ消去可能回数が少ない第２記憶部とを備えるデータ処理装置の動作方法であって、（ａ）鍵データを用いてデータを暗号化して暗号化データを生成する工程と、（ｂ）前記工程（ａ）で生成された前記暗号化データを前記第２記憶部に書き込む工程と、（ｃ）前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付けるリンク情報を前記第１記憶部に書き込む工程と、（ｄ）前記第１記憶部が記憶する前記リンク情報を用いて、前記第２記憶部が記憶する前記暗号化データの生成に用いられた鍵データを特定し、特定した当該鍵データを用いて当該暗号化データを復号化する工程と、（ｅ）前記第２記憶部が記憶する前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付ける前記リンク情報を前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去する工程とを備える。

本発明によれば、記憶部に対するデータ消去回数を抑制しつつ、データの機密性を確保することができる。

データ処理装置の構成を示す図である。 データ処理装置にネットワークを通じて複数の通信装置が接続されている様子を示す図である。 制御部の構成を示す図である。 データ処理装置の動作を示すフローチャートである。 第２記憶装置が記憶する情報の一例を示す図である。 鍵データテーブルの一例を示す図である。 データ処理装置の動作を示すフローチャートである。 データ処理装置の変形例の構成を示す図である。

図１は実施の形態に係るデータ処理装置１の構成を示す図である。本実施の形態に係るデータ処理装置１は、例えばデジタル複合機（デジタルＭＦＰ）であって、コピー機能、ファックス機能、プリンター機能、スキャナー機能などを有している。以後、本実施の形態に係るデータ処理装置１を「複合機１」と呼ぶ。

図２に示されるように、複合機１には、ＬＡＮ（Local Area Network）等のネットワーク５を通じて、複数のパーソナルコンピュータ２が接続されている。また、複合機１には、ネットワーク５及び無線ＬＡＮのアクセスポイント３を通じて、携帯電話機（いわゆるスマートフォンも含む）、ＰＤＡ（Personal Digital Assistant）等の携帯型電子機器４が接続されている。パーソナルコンピュータ２と携帯型電子機器４は、複合機１との間でデータの送受信、より具体的にはファイルの送受信を行うことができる。パーソナルコンピュータ２等から複合機１に入力されたファイルは、複合機１から、例えば、プリントアウトされたり、ファックス送信されたりする。

本実施の形態に係る複合機１は、図１に示されるように、制御部１０と、第１記憶部１１と、第２記憶部１２と、第３記憶部１３と、操作部１４とを備えている。さらに複合機１は、読み取り部１５と、プリンター出力部１６と、ネットワーク通信部１７と、ファックス通信部１８とを備えている。

制御部１０は、ＣＰＵ（Central Processing Unit）等で構成されている。制御部１０は、複合機１の他の構成要素を制御することによって、複合機１全体の動作を統括的に管理する。

第１記憶部１１は、ワークメモリとして機能し、例えば揮発性メモリで構成されている。第１記憶部１１は、例えば、半導体メモリであるＲＡＭ（Random Access Memory）で構成されている。

第２記憶部１２は、データストレージとして機能し、例えば不揮発性メモリで構成されている。第２記憶部１２は、例えばＳＳＤ（Solid State Drive）で構成されている。ＳＳＤでは、記憶素子として、半導体メモリであるＮＡＮＤ型フラッシュメモリが使用されている。フラッシュメモリについては、データ消去回数に制限が設けられていることから、第２記憶部１２でのデータ消去可能回数は、第１記憶部１１でのデータ消去可能回数よりも少なくなっている。なお、第２記憶部１２での記憶素子はＮＯＲ型フラッシュメモリで構成されても良い。

第３記憶部１３は、複合機１を制御するための制御プログラム１３０を記憶しており、例えば不揮発性メモリで構成されている。第３記憶部１３は、例えばＲＯＭ（Read Only Memory）で構成されている。制御部１０の各種機能は、当該制御部１０が有するＣＰＵが第３記憶部１３内の制御プログラム１３０を実行することによって実現される。なお、制御プログラム１３０は、第２記憶部１２に記憶されても良い。

ネットワーク通信部１７は、ネットワーク５と接続されている。ネットワーク通信部１７は、パーソナルコンピュータ２及び携帯型電子機器４等、ネットワーク５に接続されている通信機器と双方向の通信を行う。ネットワーク通信部１７は、ネットワーク５から送られてきたファイルを制御部１０に出力し、制御部１０からのファイルをネットワーク５に出力する。制御部１０はネットワーク通信部１７から入力されたファイルを第２記憶部１２に書き込む。

操作部１４は、複数の操作ボタン及びタッチパネル等で構成されており、ユーザの操作を受け付けて、その操作内容を制御部１０に通知する。ユーザは操作部１４を操作することによって、複合機１に対してコピー実行指示等の各種指示を行ったり、複合機１に対してコピー枚数の設定等の各種設定を行ったりすることができる。

読み取り部１５は、コピー処理及びスキャン処理等の際に、原稿から画像情報を読み取って当該画像情報を示すファイル（画像ファイル）を生成して制御部１０に出力する。制御部１０は、読み取り部１５から入力されたファイルを第２記憶部１２に書き込んだり、ネットワーク通信部１７に出力したりする。

プリンター出力部１６は、制御部１０による制御によって、第２記憶部１２に記憶されているファイルをプリントアウトする。具体的には、プリンター出力部１６は、プリントアウト対象のファイルに含まれる文書あるいは画像等の情報を紙に印字し、印字後の紙をトレイに排出する。プリンター出力部１６が第２記憶部１２に記憶されているファイルをプリントアウトする際には、まず制御部１０が、第２記憶部１２に記憶されているファイルを読み出して第１記憶部１１に展開する。その後、プリンター出力部１６は、第１記憶部１１内に展開されたファイルをプリントアウトする。

ファックス通信部１８は電話回線に接続されている。ファックス通信部１８は、制御部１０による制御によって、第２記憶部１２に記憶されている画像データ（画像ファイル）をファックス送信する。またファックス通信部１８は、電話回線からファックス送信されてくる画像データを受信して制御部１０に出力する。制御部１０は、ファックス通信部１８から入力される画像データを所定のファイル形式に変換し、その後、暗号化してから第２記憶部１２に記憶する。なお、ファイルの暗号化については後で詳細に説明する。

図３は、制御部１０に形成される複数の機能ブロックの一部を示す図である。制御部１０が第３記憶部１３内の制御プログラム１３０を実行することによって、図３に示されるように、制御部１０には、メモリ制御部１００、暗号化部１０１、鍵生成部１０２及び復号化部１０３等の複数の機能ブロックが形成される。

メモリ制御部１００は、第１記憶部１１、第２記憶部１２及び第３記憶部１３を制御する。具体的には、メモリ制御部１００は、第１記憶部１１、第２記憶部１２及び第３記憶部１３に対してデータ読み出しを行う。さらに、メモリ制御部１００は、第１記憶部１１及び第２記憶部１２に対してデータ消去及びデータ書き込みを行う。したがって、メモリ制御部１００は、第１記憶部１１及び第２記憶部１２に対してデータ消去を行うデータ消去部として機能するとともに、第１記憶部１１及び第２記憶部１２に対してデータ書き込みを行うデータ書き込み部として機能する。

暗号化部１０１は、鍵生成部１０２で生成された鍵データを用いてデータを暗号化して暗号化データを生成する。具体的には、暗号化部１０１は、ネットワーク５から複合機１に入力されたファイルや、読み取り部１５で読み取られた画像情報を示すファイルを、鍵生成部１０２で生成された鍵データを用いて暗号化して暗号化ファイルを生成する。暗号化部１０１は、暗号アルゴリズムとして、例えば、共通鍵暗号アルゴリズムの一種であるＡＥＳ（Advanced Encryption Standard）を用いる。以後、あるファイルが暗号化されて暗号化ファイルが生成される際の当該あるファイルを「元ファイル」と呼ぶことがある。

鍵生成部１０２は、暗号化部１０１で使用される鍵データを生成する。鍵生成部１０２は、疑似乱数発生器を備えており、当該疑似乱数発生器で生成された疑似乱数を用いて鍵データを生成する。本実施の形態では、例えば、暗号化されるファイルごとに個別に鍵データが生成される。したがって、本実施の形態では、原則、ファイルごとに当該ファイルの暗号化で使用される鍵データが異なることになる。

復号化部１０３は、暗号化部１０１での暗号化ファイルの生成に用いられた鍵データを用いて当該暗号化ファイルを復号化し、元ファイルを復元する。

なお、メモリ制御部１００、暗号化部１０１、鍵生成部１０２及び復号化部１０３については、制御プログラム１３０が実行されることによって実現される機能ブロックではなく、ハードウェア回路で実現しても良い。この場合には、制御部１０は、メモリ制御部１００、暗号化部１０１、鍵生成部１０２及び復号化部１０３を実現するハードウェア回路と、当該ハードウェア回路を制御するＣＰＵ等で構成されることになる。

＜ファイル保存処理について＞
次に複合機１に入力されたファイル（文書ファイル、画像ファイルなど）が当該複合機１において保存される際の当該複合機１の動作について説明する。図４は当該動作を示すフローチャートである。本実施の形態では、複合機１に入力されたファイルは暗号化された状態で第２記憶部１２（データストレージ）に保存される。

図４に示されるように、ステップｓ１において、ネットワーク通信部１７が、パーソナルコンピュータ２等からの文書ファイル等のファイルをネットワーク５から受信すると、当該ファイルは制御部１０に入力される。

次にステップｓ２において、メモリ制御部１００は、制御部１０に入力されたファイルを第１記憶部１１（ワークメモリ）に書き込んで、当該ファイルを第１記憶部１１にいったん記憶する。

次にステップｓ３において、鍵生成部１０２は、疑似乱数を使用して鍵データを生成する。

次にステップｓ４において、メモリ制御部１００は、ステップｓ２において第１記憶部１１にいったん記憶したファイルを読み出す。

次にステップｓ５において、暗号化部１０１は、ステップｓ４においてメモリ制御部１００が第１記憶部１１から読み出したファイルを、ステップｓ３において鍵生成部１０２で生成された鍵データを用いて暗号化して、暗号化ファイルを生成する。

次にステップｓ６において、メモリ制御部１００は、ステップｓ５において暗号化部１０１が生成した暗号化ファイルを第２記憶部１２（データストレージ）に書き込む。これにより、複合機１に入力されたファイルが暗号化された状態で第２記憶部１２に保存される。

次にステップｓ７において、メモリ制御部１００は、ステップｓ６で第２記憶部１２に記憶された暗号化ファイルに関する情報を示すファイル情報を、第２記憶部１２に記憶されているファイル管理情報に登録する。

図５は第２記憶部１２に記憶されている情報の一例を示す図である。図５に示されるように、第２記憶部１２の記憶領域２００には、ファイル管理領域２０１とファイル保存領域２０２とが設けられている。ファイル管理領域２０１にはファイル管理情報３００と後述する消去リスト３５０が記憶される。また、ファイル保存領域２０２には、暗号化部１０１で生成された暗号化ファイルが記憶される。

ファイル管理情報３００には、第２記憶部１２のファイル保存領域２０２に記憶されている各暗号化ファイルについてのファイル情報３１０が登録されている。ファイル情報３１０には、対応する暗号化ファイルについてのファイル番号３１０ａ（本例では１から始まる整数）、ファイル名３１０ｂ、保存アドレス情報３１０ｃ及びデータ量３１０ｄが含まれている。暗号化ファイルについての保存アドレス情報３１０ｃは、ファイル保存領域２０２において、当該暗号化ファイルが記憶されている領域に割り当てられたアドレスを特定するための情報である。暗号化ファイルについての保存アドレス情報３１０ｃには、例えば、ファイル保存領域２０２において、当該暗号化ファイルが記憶されている領域の先頭のアドレス及び当該領域の末尾のアドレスが含まれている。

また、暗号化ファイルについてのファイル情報３１０には、当該暗号化ファイルがプリンター出力部１６からプリントアウトされると、そのプリントアウトを複合機１に指示したユーザに関するユーザ情報３１０ｅも含められる。ユーザ情報３１０ｅには、例えば、ユーザ名などが含まれる。

図５の例では、ファイル保存領域２０２には、ファイル番号１の暗号化ファイル４００ａと、ファイル番号２の暗号化ファイル４００ｂと、ファイル番号３の暗号化ファイル４００ｃと、ファイル番号４の暗号化ファイル４００ｄと、ファイル番号５の暗号化ファイル４００ｅとが記憶されている。したがって、ファイル管理情報３００には、ファイル番号１〜５の暗号化ファイル４００ａ〜４００ｅについてのファイル情報３１０が登録されている。

ステップｓ７において、メモリ制御部１００は、ステップｓ６で第２記憶部１２のファイル保存領域２０２に記憶された暗号化ファイルについてのファイル情報３１０を、第２記憶部１２のファイル管理領域２０１に記憶されているファイル管理情報３００に登録する。

なお、本実施の形態では、第２記憶部１２の記憶素子はＮＡＮＤ型フラッシュメモリで構成されていることから、第２記憶部１２の記憶領域２００に対するデータ書き込みはページ単位で行われる。そして、第２記憶部１２の記憶領域２００に対するデータ消去はブロック単位で行われる。一つのブロックは複数のページで構成されている。また、記憶領域２００のうち、すでにデータが書き込まれているページに対して別のデータが書き込まれる際には、当該ページが属するブロックに書き込まれているデータがすべて消去された上で、当該ページに対して別のデータが書き込まれる。ファイル管理領域２０１は例えば１つのブロックで構成されている。

次にステップｓ８において、メモリ制御部１００は、ステップｓ６で第２記憶部１２に記憶された暗号化ファイルの生成で使用された鍵データ（ステップｓ３で生成された鍵データ）を、第１記憶部１１に記憶されている鍵データテーブル５００に登録する。図６は鍵データテーブル５００の一例を示す図である。

図６に示されるように、鍵データテーブル５００では、鍵データが、当該鍵データが用いられて生成された暗号化ファイルのファイル番号に対応付けられて登録されている。図６の例では、鍵データＣが、それが用いられて生成された暗号化ファイルのファイル番号３に対応付けられている。また、鍵データＥが、それが用いられて生成された暗号化ファイルのファイル番号５に対応付けられている。

ステップｓ８において、メモリ制御部１００は、ステップｓ６で第２記憶部１２に記憶された暗号化ファイルの生成で使用された鍵データを、当該暗号化ファイルのファイル番号に対応付けて、第１記憶部１１内の鍵データテーブル５００に登録する。

以上のようなステップｓ１〜ｓ８の処理を、複合機１は、ネットワーク５からファイルを受信するたびに行う。

なお、読み取り部１５で読み取られた画像情報を示すファイルが第２記憶部１２に保存される場合も複合機１は同様に動作する。つまり、複合機１では、上述のステップｓ２〜ｓ８が実行されて、読み取り部１５で読み取られた画像情報を示すファイルは暗号化された状態で第２記憶部１２に記憶される。

このように、本実施の形態に係る複合機１では、データが暗号化された状態で第２記憶部１２に記憶される。したがって、悪意の第三者が、第２記憶部１２を複合機１から取り外したとしても、第２記憶部１２内のデータの内容が悪意の第三者に漏れることを抑制することができる。よって、データの機密性が確保される。

また、本実施の形態では、鍵データが、暗号化データが保存される第２記憶部１２とは別の第１記憶部１１に保存される。したがって、悪意の第三者が、第２記憶部１２を複合機１から取り外したとしても、第２記憶部１２内の暗号化データが復号化されて当該暗号化データの内容が悪意の第三者に漏れることを抑制することができる。

また、本実施の形態では、鍵データが保存される第１記憶部１１が揮発性メモリである。したがって、悪意の第三者が、鍵データを取得するために第１記憶部１１を複合機１から取り外すと、第１記憶部１１に電源が供給されなくなって、第１記憶部１１内の鍵データが消去する。よって、鍵データが悪意の第三者に取得されることを抑制できる。

＜第２記憶部のコスト及び耐久性について＞
ＨＤＤ（Hard Disk Drive）については高容量の装置しか存在しないことから、一時的に使用される記憶部(テンポラリの記憶部）として、上記の特許文献１に記載の複合機のようにＨＤＤを使用すると、必要以上のメモリ容量を有するＨＤＤを採用せざるを得ず、その結果、コストが高くなるといった問題がある。

そこで、本実施の形態では、第２記憶部１２として、フラッシュメモリが用いられたＳＳＤを採用している。これにより、適切なメモリ容量を有するＳＳＤを第２記憶部１２として採用することができる。よって、第２記憶部１２のコストを抑えることができる。

また、フラッシュメモリについてはデータ消去回数に制限があるため、その耐久性を考慮すると、データの機密性を確保するためにフラッシュメモリに記憶されたデータを消去することは好ましくない。

そこで、本実施の形態では、ＳＳＤで構成された第２記憶部１２に記憶されているデータを複合機１から実際に消去するのではなく擬似的に消去することによって、第２記憶部１２に対するデータ消去の実行回数を抑制しつつデータの機密性を確保している。以下に、この点について、複合機１が第２記憶部１２に保存されている暗号化ファイルを用いて処理を行う際の当該複合機１の動作を説明しながら詳細に説明する。

＜保存ファイルを用いた処理について＞
図７は、複合機１が第２記憶部１２に保存されている暗号化ファイルをプリンター出力部１６からプリントアウトする際の当該複合機１の動作を示すフローチャートである。

図７に示されるように、ステップｓ１１において、制御部１０は、処理対象の暗号化ファイル、具体的にはプリントアウトを行う対象の暗号化ファイルを特定する。ユーザは操作部１４を操作することによって処理対象の暗号化ファイルを選択することができる。制御部１０は、操作部１４から通知される操作内容に基づいて、ユーザによって選択された処理対象の暗号化ファイルを特定する。また、パーソナルコンピュータ２等からファイルが送信されるのと同時に当該ファイルをプリントアウトする指示が送信される場合には、制御部１０は、上述のステップｓ８に続けてステップｓ１１を実行する。このステップｓ１１では、制御部１０は、上述のステップｓ６で第２記憶部１２に記憶した暗号化ファイルを処理対象の暗号化ファイルとして特定する。

次にステップｓ１２において、メモリ制御部１００は、ステップｓ１１で特定された処理対象の暗号化ファイルについてのファイル情報３１０を、第２記憶部１２のファイル管理領域２０１に記憶されているファイル管理情報３００から取得する。そしてメモリ制御部１００は、取得したファイル情報３１０に含まれる保存アドレス情報３１０ｃから、第２記憶部１２のファイル保存領域２０２において処理対象の暗号化ファイルが記憶されている領域を特定し、当該領域から処理対象の暗号化ファイルを読み出す。

次にステップｓ１３において、メモリ制御部１００は、ステップｓ１２で取得されたファイル情報３１０に含まれるファイル番号に対応する鍵データを、第１記憶部１１に記憶されている鍵データテーブル５００から取得する。これにより、メモリ制御部１００では、処理対象の暗号化ファイルの生成で用いられた鍵データが取得される。

次にステップｓ１４において、復号化部１０３は、メモリ制御部１００で取得された、処理対象の暗号化ファイルの生成で用いられた鍵データを用いて当該暗号化ファイルを復号化し、元ファイルを復元する。

次にステップｓ１５において、プリンター出力部１６は、制御部１０による制御によって、ステップｓ１４で復元された元ファイルをプリントアウトする。具体的には、プリンター出力部１６は、元ファイルに含まれる文書等の情報を紙に印字し、印字後の紙をトレイに排出する。

次にステップｓ１６において、メモリ制御部１００は、ステップｓ１４で処理対象の暗号化ファイルの復号化で使用された鍵データを、それに対応付けられているファイル番号とともに、第１記憶部１１に記憶されている鍵データテーブル５００から消去することによって、処理対象の暗号化ファイルを複合機１から擬似的に消去する。第１記憶部１１から消去された鍵データ及びファイル番号は複合機１から完全に消去される。暗号化ファイルの復号化に必要な鍵データが複合機１から消去されると、複合機１では処理対象の暗号化ファイルが復号化されないことから、処理対象の暗号化ファイルが複合機１から消去された場合と同様に、複合機１では処理対象の暗号化ファイルに含まれる文書情報等の情報は取得されない。したがって、処理対象の暗号化ファイルの復号化で使用される鍵データが複合機１から消去されることによって、処理対象の暗号化ファイルが複合機１から擬似的に消去されると言える。

次にステップｓ１７において、メモリ制御部１００は、ステップｓ１６において擬似的に消去された暗号化ファイルを特定するための特定情報を、第２記憶部１２のファイル管理領域２０１に記憶されている消去リスト３５０に登録する。本例では、上述の図５に示されるように、擬似的に消去された暗号化ファイルを特定するための特定情報として、当該暗号化ファイルのファイル番号が消去リスト３５０に登録される。図５の例では、ファイル番号１，２，４の暗号化ファイルが擬似的に消去されて、消去リスト３５０には、ファイル番号１，２，４が登録されている。また図５の例では、消去リスト３５０において左側から記載されているファイル番号の順番で暗号化ファイルが擬似的に消去されている。つまり、ファイル番号１，４，２の順番で暗号化ファイルが擬似的に消去されている。また図５では、ファイル保存領域２０２に記憶されている暗号化ファイルのうち、擬似的に消去された暗号化ファイルが斜線で示されている。

複合機１は、暗号化ファイルを擬似的に消去すると、ユーザが操作部１４を操作して当該暗号化ファイルを選択することができないようにする。したがって、ユーザは、擬似的に消去された暗号化ファイルについて、プリントアウト及びファックス送信等の処理を複合機１に実行させることができなくなる。

なお、本実施の形態に係る複合機１は、プリントアウト等の処理を行った暗号化ファイルだけではなく、ユーザによって暗号化ファイルの消去が指示された場合であっても、同様にして当該暗号化データを擬似的に消去する。ユーザは、操作部１４を操作することによって、第２記憶部１２内の暗号化ファイルを選択して当該暗号化ファイルを消去する指示を複合機１に入力することができる。複合機１は、暗号化ファイルを消去する指示がユーザから入力されると、当該暗号化ファイルの復号化で用いられる鍵データを第１記憶部１１から消去して、当該暗号化ファイルを複合機１から擬似的に消去する。複合機１は、暗号化ファイルを擬似的に消去すると、当該暗号化ファイルは消去されたものとして、ユーザが操作部１４を操作して当該暗号化ファイルを選択することができないようにする。

＜暗号化ファイルの第２記憶部からの消去について＞
上述のように、本実施の形態では、メモリ制御部１００は、暗号化ファイルを第２記憶部１２にいったん記憶すると、当該暗号化ファイルを第２記憶部１２から原則消去しない。

しかしながら、メモリ制御部１００は、第２記憶部１２の記憶領域２００において空き領域（空き容量）が不足する際には、必要な空き領域を確保するために、例外的に、擬似的に消去された暗号化ファイルを第２記憶部１２から実際に消去する。このとき、メモリ制御部１００は、消去リスト３５０を用いて、記憶領域２００においてデータ消去を行うブロックを決定する。具体的には、メモリ制御部１００は、消去リスト３５０を参照して、擬似的に消去された暗号化ファイルを特定する。そして、メモリ制御部１００は、特定した暗号化ファイルについてのファイル情報３１０に含まれる保存アドレス情報３１０ｃを参照して、記憶領域２００において、擬似的に消去された暗号化ファイルだけが記憶されているブロックを消去対象ブロックとして特定する。メモリ制御部１００は、消去対象ブロックとして特定したブロックに対してデータ消去を行って、当該ブロックに記憶されている暗号化ファイルを消去する。

メモリ制御部１００は、擬似的に消去された暗号化ファイルを第２記憶部１２から実際に消去すると、当該暗号化ファイルについてのファイル情報３１０をファイル管理情報３００から消去する。さらにメモリ制御部１００は、当該暗号化ファイルについての特定情報（本例ではファイル番号）を消去リスト３５０から消去する。

このように、メモリ制御部１００は、消去リスト３５０を使用して、擬似的に消去された暗号化ファイルを第２記憶部１２から実際に消去することができることから、メモリ制御部１００は、不要なデータを消去して必要な空き領域を確保することができる。言い換えれば、メモリ制御部１００が、必要な空き領域を確保する際に、擬似的に消去されていない必要な暗号化データを消去することを抑制することができる。

また、本実施の形態では、擬似的に消去された暗号化ファイルが消去される際には、ブロック単位でデータ消去が行われることから、擬似的に消去された暗号化ファイルが効率よく消去される。

なお、上記の例においては、ファイル管理情報３００は第２記憶部１２に記憶されていたが、第１記憶部１１に記憶されても良い。また、第１記憶部１１は、電池等で構成されたバックアップ電源に接続された揮発性メモリで構成されても良い。

ファイル管理情報３００が、不揮発性メモリで構成された第２記憶部１２に記憶されたり、バックアップ電源に接続された揮発性メモリで構成された第１記憶部１１に記憶されたりする場合には、複合機１の電源（主電源）がオフとなった場合であっても、ファイル管理情報３００が複合機１から消えることが無い。したがって、この場合には、複合機１は、電源がオフになったとしても、その後電源がオンとなれば、第２記憶部１２に記憶されている暗号化ファイルを使用してプリントアウト等の処理を行うことができる。

また、上記の例では、消去リスト３５０は第２記憶部１２に記憶されていたが、第１記憶部１１に記憶されても良い。消去リスト３５０が、不揮発性メモリで構成された第２記憶部１２に記憶されたり、バックアップ電源に接続された揮発性メモリで構成された第１記憶部１１に記憶されたりする場合には、複合機１の電源（主電源）がオフとなった場合であっても、消去リスト３５０が複合機１から消えることが無い。したがって、この場合には、複合機１は、電源がオフになったとしても、その後電源がオンとなれば、第２記憶部１２に記憶されている暗号化ファイルのうち、擬似的に消去された暗号化ファイルを特定することができる。よって、メモリ制御部１００は、必要な場合には、擬似的に消去された暗号化ファイルを第２記憶部１２から実際に消去することができる。

また、上記の例では、鍵データテーブル５００から、鍵データとともにそれに対応付けられたファイル番号が消去されたが、鍵データのみが消去されても良い。

また、上記の例では、鍵データテーブル５００には、鍵データと、当該鍵データが用いられて復号化される暗号化ファイルのファイル番号とが互いに対応付けられて記憶されたが、鍵データと、当該鍵データが用いられて復号化される暗号化ファイルのファイル名とが互いに対応付けられて記憶されても良い。また、鍵データテーブル５００には、鍵データと、当該鍵データが用いられて復号化される暗号化ファイルについてのファイル情報３１０に含まれる保存アドレス情報３１０ｃとが互いに対応付けられて記憶されても良い。これらの場合であっても、上述のステップｓ１３において、メモリ制御部１００では、処理対象の暗号化ファイルの生成で用いられた鍵データを取得することができる。

以上のように、本実施の形態に係る複合機１では、第２記憶部１２内のデータの機密性を確保するために、第２記憶部１２内のデータ（暗号化データ）が消去されるのではなく、第１記憶部１１内の鍵データが消去されるため、データ消去可能回数が少ない第２記憶部１２に対するデータ消去の実行回数を抑えつつ、データの機密性を確保することができる。よって、データ消去可能回数が少ない第２記憶部１２の寿命が縮まることを抑制しつつ、データの機密性を確保することができる。

＜各種変形例＞
以下に、本実施の形態に係る複合機１の各種変形例について説明する。

＜第１変形例＞
第２記憶部１２に記憶される暗号化ファイルについては、パーソナルコンピュータ等で使用されるＦＡＴ（File Allocation Table）ファイルシステムを用いて管理しても良い。

複合機１においてＦＡＴファイルシステムが使用される場合には、第２記憶部１２のファイル保存領域２０２に対しては、クラスタと呼ばれる単位でデータの書き込みが行われる。暗号化ファイルがファイル保存領域２０２に対して書き込まれる際には、複数のクラスタにまたがって書き込まれることがある。

また、複合機１においてＦＡＴファイルシステムが使用される場合には、第２記憶部１２のファイル管理領域２０１に記憶されるファイル管理情報３００には、上述の図５に示されるようなファイル情報３１０ではなく、ディレクトリエントリ及びＦＡＴで構成されたファイル情報３１０がファイルごとに登録される。

あるファイルについてのディレクトリエントリには、当該ファイルのファイル名、当該ファイルが作成された日付、当該ファイルのデータサイズ、当該ファイルが書き込まれている複数のクラスタのうちの先頭クラスタの番号などが含まれている。また、あるファイルについてのＦＡＴには、当該ファイルが書き込まれている複数のクラスタのうちの先頭クラスタ以外の各クラスタの番号が含まれている。

このように、ファイルが書き込まれている複数のクラスタのうち、先頭クラスタの番号についてはディレクトリエントリに含まれ、残りの各クラスタの番号についてはＦＡＴに含まれていることから、メモリ制御部１００は、ファイルについてのディレクトリエントリ及びＦＡＴを参照することによって、ファイル保存領域２０２において当該ファイルが記憶されている領域を特定することができる。

なお、ファイルが一つのクラスタのみに書き込まれている場合には、当該ファイルについてのＦＡＴにはクラスタの番号が含まれていない。

複合機１においてＦＡＴファイルシステムが採用される際には、ファイル管理情報３００に登録されるファイル情報３１０にはファイル番号が含まれていないことから、消去リスト３５０には、例えば、擬似的に消去されたファイルのファイル名が登録される。また、鍵データテーブル５００には、例えば、鍵データとともに、当該鍵データが用いられて生成された暗号化ファイルのファイル名が登録される。

このように、複合機１においてＦＡＴファイルシステムが採用される場合であっても、複合機１は上記と同様に動作することによって、データ消去可能回数が少ない第２記憶部１２に対するデータ消去の実行回数を抑えつつ、データの機密性を確保することができる。

＜第２変形例＞
図８は本変形例に係る複合機１の構成を示す図である。本変形例に係る複合機１には、可搬性記憶装置１９が着脱可能となっている。可搬性記憶装置１９は、例えば、ＵＳＢ（Universal Serial Bus）メモリあるいはＳＤメモリカードなどである。可搬性記憶装置１９は、制御部１０のメモリ制御部１００によって制御される。本変形例に係る複合機１は、第１記憶部１１から消去した鍵データを可搬性記憶装置１９に書き込むことによって、擬似的に消去された暗号化ファイルを、後から復号化できるようになっている。以下にこの点について詳細に説明する。

本変形例に係る複合機１では、上述のステップｓ１５が実行されると、メモリ制御部１００は、ステップｓ１４で処理対象の暗号化ファイルの復号化で使用された鍵データを、それに対応付けられているファイル番号とともに、第１記憶部１１に記憶されている鍵データテーブル５００から消去する。このとき、メモリ制御部１００は、可搬性記憶装置１９が複合機１に装着されている場合には、第１記憶部１１から当該鍵データ及び当該ファイル番号を読み出した後に、当該鍵データ及び当該ファイル番号を第１記憶部１１から消去する。一方で、可搬性記憶装置１９が複合機１に装着されていない場合には、メモリ制御部１００は、第１記憶部１１から当該鍵データ及び当該ファイル番号を読み出すことなく、当該鍵データ及び当該ファイル番号を第１記憶部１１から消去する。メモリ制御部１００は、可搬性記憶装置１９が複合機１に装着されている場合に、処理対象の暗号化ファイルの復号化で使用された鍵データと、それに対応付けられているファイル番号とを第１記憶部１１から読み出した後に消去すると、当該鍵データ及び当該ファイル番号を互いに対応付けて可搬性記憶装置１９に書き込む。これにより、可搬性記憶装置１９には、第１記憶部１１から消去された鍵データと、当該鍵データが用いられて復号化される暗号化ファイルを特定するためのファイル番号とが記憶される。

このように、本変形例では、可搬性記憶装置１９が複合機１に接続されていない場合に、処理対象の暗号化ファイルの復号化で使用された鍵データが第１記憶部１１から消去されると、当該鍵データは可搬性記憶装置１９に記憶されず、複合機１は、当該鍵データを用いて処理対象の暗号化ファイルを復号化できなくなる。したがって、可搬性記憶装置１９が複合機１に装着されていない場合に、処理対象の暗号化ファイルの復号化で使用された鍵データが第１記憶部１１から消去されると、処理対象の暗号化ファイルは複合機１から擬似的に消去される。

一方で、可搬性記憶装置１９が複合機１に接続されている場合に、処理対象の暗号化ファイルの復号化で使用された鍵データが第１記憶部１１から消去されると、当該鍵データは可搬性記憶装置１９に記憶される。したがって、この場合には、可搬性記憶装置１９が複合機１に接続されている限り、複合機１は、可搬性記憶装置１９が記憶する鍵データを用いて処理対象の暗号化ファイルを復号化することができる。そして、鍵データが書き込まれた可搬性記憶装置１９が複合機１から接続されなくなると、複合機１は、処理対象の暗号化ファイルを復号化できなくなることから、処理対象の暗号化ファイルが擬似的に消去された状態となる。つまり、鍵データが書き込まれた可搬性記憶装置１９が複合機１に接続されている場合には、当該鍵データが用いられて復号化される暗号ファイルは擬似的に消去されていない状態であって、鍵データが書き込まれた可搬性記憶装置１９が複合機１に接続されていない場合には、当該鍵データが用いられて復号化される暗号ファイルが擬似的に消去された状態となる。

メモリ制御部１００は、可搬性記憶装置１９が複合機１に接続されていない場合に、処理対象の暗号化ファイルの復号化で使用された鍵データを第１記憶部１１から消去して処理対象の暗号化ファイルを擬似的に消去すると、上述のステップｓ１７と同様に、擬似的に消去した処理対象の暗号化ファイルを特定するための特定情報を、第２記憶部１２のファイル管理領域２０１に記憶されている消去リスト３５０に登録する。

一方で、メモリ制御部１００は、可搬性記憶装置１９が複合機１に接続されている場合に、処理対象の暗号化ファイルの復号化で使用された鍵データを第１記憶部１１から消去したとしても、処理対象の暗号化ファイルを特定するための特定情報を消去リスト３５０に登録しない。また、メモリ制御部１００は、鍵データが書き込まれた可搬性記憶装置１９が複合機１に接続されず、当該鍵データが用いられて復号化される暗号化データが擬似的に消去される際には、当該暗号化データを特定するための特定情報を消去リスト３５０に登録しない。

また、本変形例に係る複合機１は、暗号化ファイルの復号化で用いられる鍵データを記憶する可搬性記憶装置１９が当該複合機１に接続されている場合には、ユーザが操作部１４を操作して当該暗号化ファイルを選択できるようになっている。したがって、ユーザは、暗号化ファイルの復号化で用いられる鍵データを記憶する可搬性記憶装置１９を複合機１から取り外して、当該暗号化ファイルがいったん擬似的に消去された場合であっても、当該可搬性記憶装置１９を複合機１に接続することによって、操作部１４を操作して当該暗号化ファイルを選択することができる。よって、ユーザは、暗号化ファイルがいったん擬似的に消去された場合であっても、当該暗号化ファイルの復号化で用いられる鍵データが記憶された可搬性記憶装置１９を複合機１に接続することによって、当該暗号化ファイルについてプリントアウト等の処理を複合機１に実行させることができる。

また、本変形例に係る複合機１では、上述のステップｓ１３において、メモリ制御部１００は、ステップｓ１２で取得されたファイル情報３１０に含まれるファイル番号に対応する鍵データが、第１記憶部１１に記憶されている鍵データテーブル５００に登録されていない場合であって、可搬性記憶装置１９が複合機１に接続されている場合には、可搬性記憶装置１９において、当該鍵データが記憶されていないかを確認する。可搬性記憶装置１９には、鍵データに対応付けてファイル番号が記憶されていることから、メモリ制御部１００は、ステップｓ１２で取得されたファイル情報３１０に含まれるファイル番号に対応する鍵データが可搬性記憶装置１９に記憶されているかを確認することができる。

メモリ制御部１００は、ステップｓ１２で取得されたファイル情報３１０に含まれるファイル番号に対応する鍵データが可搬性記憶装置１９に記憶されている場合には、当該鍵データを可搬性記憶装置１９から読み出す。その後、ステップｓ１４において、復号化部１０３は、ステップｓ１３で取得された鍵データを用いて処理対象の暗号化ファイルを復号化する。以後、複合機１は同様に動作する。

なお、上述のステップｓ１３において、ステップｓ１２で取得されたファイル情報３１０に含まれるファイル番号に対応する鍵データが鍵データテーブル５００に登録されていない場合であって、可搬性記憶装置１９が複合機１に接続されていない場合には、複合機１はプリントアウト処理を終了して、複合機１に設けられた表示部（図示せず）等を利用して処理エラーをユーザに通知する。また、上述のステップｓ１３において、ステップｓ１２で取得されたファイル情報３１０に含まれるファイル番号に対応する鍵データが鍵データテーブル５００に登録されていない場合であって、複合機１に接続された可搬性記憶装置１９に当該鍵データが記憶されていない場合には、同様にして、複合機１はプリントアウト処理を終了して、処理エラーをユーザに通知する。

このように、本変形例では、第１記憶部１１から消去された鍵データが可搬性記憶装置１９に書き込まれるため、鍵データが書き込まれた可搬性記憶装置１９が複合機１から取り外されることによって、当該鍵データが用いられて生成された暗号化データが複合機１から擬似的に消去され、当該暗号化データが複合機１で復号化できなくなる。よって、鍵データが書き込まれた可搬性記憶装置１９を複合機１から取り外すことによって、当該鍵データが用いられて生成された暗号化データの機密性を確保することができる。

また、鍵データが書き込まれた可搬性記憶装置１９が複合機１に接続されることによって、複合機１は、当該鍵データを用いて暗号化データを復号化することができる。なお、複合機１は、自身に接続されている可搬性記憶装置１９に鍵データを書き込んだときに、可搬性記憶装置１９を複合機１から取り外す旨をユーザに通知するための表示を、自身が有する表示部に行っても良い。

また、上記の例では、可搬性記憶装置１９に記憶されている鍵データが使用されて生成された暗号化ファイルを特定するための特定情報（ファイル番号）が消去リスト３５０には登録されないため、当該暗号化ファイルはいつまでも第２記憶部１２に記憶されることになる。したがって、上記の例では、第２記憶部１２の空き領域が不足し易くなる。

そこで、メモリ制御部１００は、可搬性記憶装置１９が複合機１に接続されている場合には、暗号化ファイルの生成で使用された鍵データが第１記憶部１１から消去されてから所定期間（例えば１週間）が経過すると、当該暗号化ファイルを特定するための特定情報（ファイル番号）を消去リスト３５０に登録しても良い。あるいは、暗号化ファイルの生成で使用された鍵データが複合機１に接続された可搬性記憶装置１９に記憶されてから所定期間が経過すると、当該暗号化ファイルを特定するための特定情報を消去リスト３５０に登録しても良い。これにより、暗号化ファイルの生成で使用された鍵データが可搬性記憶装置１９に書き込まれてからある程度時間が経過すれば、メモリ制御部１００は、当該暗号化ファイルを第２記憶部１２から実際に消去することが可能となる。よって、第２記憶部１２の空き領域が不足しにくくなる。

また、このように、それが生成される際に用いられた鍵データが可搬性記憶装置１９に記憶されている暗号化ファイルを特定するための特定情報が消去リスト３５０に登録される場合には、当該特定情報が消去リスト３５０に登録された後に、可搬性記憶装置１９に記憶されている当該鍵データについては使用できないようにしても良い。具体的には、暗号化ファイルを特定するための特定情報が消去リスト３５０に登録された後においては、復号化部１０３は、当該暗号化ファイルの生成で使用された鍵データを記憶する可搬性記憶装置１９が複合機１に接続され、かつ当該暗号化ファイルが第２記憶部１２に記憶されている場合であっても、当該鍵データを使用して当該暗号化ファイルを復号化しない。これにより、可搬性記憶装置１９に記憶されている鍵データについては、当該鍵データが可搬性記憶装置１９に記憶されてから、当該暗号化ファイルを特定するための特定情報が消去リスト３５０に登録されるまでの間だけ（例えば１週間だけ）有効となり、当該暗号化ファイルの復号化に使用されることができる。

＜第３変形例＞
複合機１は、暗号化ファイルを擬似的に消去する際に、当該暗号化ファイルの復号化で用いられる鍵データを消去するのではなく、第１記憶部１１に記憶されている、当該鍵データと当該暗号化ファイルとを関連付けるリンク情報を当該第１記憶部１１から消去しても良い。つまり、複合機１は、暗号化ファイルを復号化するための鍵データを消去するのではなく、第１記憶部１１に記憶されている、当該鍵データと当該暗号化ファイルとを関連付けるリンク情報を当該第１記憶部１１から消去することによって、当該暗号化ファイルを複合機１から擬似的に消去しても良い。この場合には、複合機１に鍵データが記憶されているものの、暗号化ファイルを復号化するための鍵データが特定されにくくなることから、当該暗号化ファイルは復号化されにくくなる。よって、鍵データが第１記憶部１１から消去されるのと同様に、データ消去可能回数が少ない第２記憶部１２に対するデータ消去の実行回数を抑えつつ、データの機密性を確保することができる。

上記の例では、鍵データテーブル５００において、鍵データとファイル番号とが対応付けられていることから、ファイル番号がリンク情報となる。したがって、複合機１は、暗号化ファイルを擬似的に消去する際には、当該暗号化ファイルについてのファイル番号を鍵データテーブル５００から消去する。これにより、ファイル番号が消去された暗号化ファイルの復号化で用いられる鍵データが特定されにくくなることから、当該暗号化ファイルが復号化されにくくなる。

また、鍵データテーブル５００において、鍵データと、当該鍵データが用いられて復号化される暗号化ファイルのファイル名とが対応付けられている場合には、ファイル名がリンク情報となる。したがって、この場合には、複合機１は、暗号化データについてのファイル名を鍵データテーブル５００から消去することによって、当該暗号化データを擬似的に消去しても良い。

また、鍵データテーブル５００において、鍵データと、当該鍵データが用いられて復号化される暗号化ファイルのファイル情報３１０に含まれる保存アドレス情報３１０ｃとが対応付けられている場合には、保存アドレス情報３１０ｃがリンク情報となる。したがって、この場合には、複合機１は、暗号化データについての保存アドレス情報３１０ｃを鍵データテーブル５００から消去することによって、当該暗号化データを擬似的に消去しても良い。

また、上記のように、ファイル番号がリンク情報となる場合であって、ファイル管理情報３００が第１記憶部１１に記憶されている場合には、複合機１は、暗号化ファイルについてのファイル番号を、第１記憶部１１内のファイル管理情報３００に登録されている当該暗号化ファイルのファイル情報３１０から消去することによって、当該暗号化ファイルを擬似的に消去しても良い。暗号化ファイルのファイル番号が、ファイル管理情報３００に登録されている当該暗号化ファイルのファイル情報３１０から消去された場合には、鍵データテーブル５００において当該ファイル番号が登録されていたとしても、当該暗号化ファイルに対応する鍵データが特定されにくくなる。したがって、当該暗号化ファイルが復号化されにくくなる。なお、この場合には、消去リスト３５０には、疑似的に消去された暗号化ファイルのファイル名あるいは保存アドレス情報が登録される。また、複合機１は、暗号化ファイルのファイル番号を、第１記憶部１１内のファイル管理情報３００に登録されている当該暗号化ファイルのファイル情報３１０から消去する代わりに、暗号化ファイルのファイル情報３１０に含まれている情報のすべてを第１記憶部１１内のファイル管理情報３００から消去しても良い。この場合には、消去リスト３５０には、第２記憶部１２において、擬似的に消去された暗号化ファイルが記憶されている領域を特定するための情報、例えば保存アドレス情報が登録される。また、暗号化ファイルのファイル情報３１０が第１記憶部１１内のファイル管理情報３００から消去される場合には、鍵データテーブル５００は、データ消去可能回数が少ない第２記憶部１２に記憶されても良い。

また、上記のように、ファイル名がリンク情報となる場合であって、ファイル管理情報３００が第１記憶部１１に記憶されている場合には、複合機１は、暗号化ファイルについてのファイル名を、第１記憶部１１内のファイル管理情報３００に登録されている当該暗号化ファイルのファイル情報３１０から消去することによって、当該暗号化ファイルを擬似的に消去しても良い。なお、この場合には、複合機１は、暗号化ファイルのファイル名を、第１記憶部１１内のファイル管理情報３００に登録されている当該暗号化ファイルのファイル情報３１０から消去する代わりに、暗号化ファイルのファイル情報３１０に含まれている情報のすべてを第１記憶部１１内のファイル管理情報３００から消去しても良い。このとき、消去リスト３５０には、第２記憶部１２において、擬似的に消去された暗号化ファイルが記憶されている領域を特定するための情報、例えば保存アドレス情報が登録される。また、暗号化ファイルのファイル情報３１０が第１記憶部１１内のファイル管理情報３００から消去される場合には、鍵データテーブル５００は、データ消去可能回数が少ない第２記憶部１２に記憶しても良い。

また、上記のように、保存アドレス情報がリンク情報となる場合であって、ファイル管理情報３００が第１記憶部１１に記憶されている場合には、複合機１は、暗号化ファイルについての保存アドレス情報を、第１記憶部１１内のファイル管理情報３００に登録されている当該暗号化ファイルのファイル情報３１０から消去することによって、当該暗号化ファイルを擬似的に消去しても良い。なお、この場合には、複合機１は、暗号化ファイルの保存アドレス情報を、第１記憶部１１内のファイル管理情報３００に登録されている当該暗号化ファイルのファイル情報３１０から消去する代わりに、暗号化ファイルのファイル情報３１０に含まれている情報のすべてを第１記憶部１１内のファイル管理情報３００から消去しても良い。このとき、消去リスト３５０には、第２記憶部１２において、擬似的に消去された暗号化ファイルが記憶されている領域を特定するための情報、例えば保存アドレス情報が登録される。また、暗号化ファイルのファイル情報３１０が第１記憶部１１内のファイル管理情報３００から消去される場合には、鍵データテーブル５００は、データ消去可能回数が少ない第２記憶部１２に記憶しても良い。

なお、上記の第１変形例のように、複合機１においてＦＡＴファイルシステムが使用される場合であって、ディレクトリエントリ及びＦＡＴで構成されたファイル情報３１０がファイルごとに登録されたファイル管理情報３００が第１記憶部１１に記憶される場合には、複合機１は、暗号化ファイルについてのディレクトリエントリ及びＦＡＴ（ファイル情報３１０）を第１記憶部１１内のファイル管理情報３００から消去することによって、当該暗号化ファイルを擬似的に消去しても良い。これにより、当該暗号化ファイルと、当該暗号化ファイルの復号化で用いられる鍵データとを関連付けるリンク情報が消去されることから、データの機密性を確保することができる。

このように、複合機１が、第１記憶部１１に記憶されている、鍵データと暗号化ファイルとを関連付けるリンク情報を当該第１記憶部１１から消去して当該暗号化ファイルを擬似的に消去することによって、データ消去可能回数が少ない第２記憶部１２に対するデータ消去の実行回数を抑えつつ、データの機密性を確保することができる。

＜その他の変形例＞
上記の例では、一例として、本願発明を複合機に適用する場合について説明したが、複合機以外の他のデータ処理装置に対しても本願発明を適用することができる。

また、上記の説明は、すべての局面において、例示であって、本発明がそれに限定されるものではない。例示されていない無数の変形例が、本発明の範囲から外れることなく想定され得る。

１ データ処理装置
１０ 制御部
１１ 第１記憶部
１２ 第２記憶部
１９ 可搬性記憶装置
１００ メモリ制御部
１０１ 暗号化部
１０３ 復号化部
１３０ 制御プログラム

Claims (17)

1. データ処理装置であって、
   第１記憶部と、
   前記第１記憶部よりもデータ消去可能回数が少ない第２記憶部と、
   前記第１記憶部に記憶されている鍵データを用いてデータを暗号化して暗号化データを生成する暗号化部と、
   前記暗号化部で生成された前記暗号化データを前記第２記憶部に書き込む第１データ書き込み部と、
   前記第２記憶部に記憶されている前記暗号化データの生成に用いられた、前記第１記憶部に記憶されている鍵データを用いて、当該暗号化データを復号化する復号化部と、
   前記復号化部において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去するデータ消去部と
   を備える、データ処理装置。
2. データ処理装置であって、
   第１記憶部と、
   前記第１記憶部よりもデータ消去可能回数が少ない第２記憶部と、
   鍵データを用いてデータを暗号化して暗号化データを生成する暗号化部と、
   前記暗号化部で生成された前記暗号化データを前記第２記憶部に書き込む第１データ書き込み部と、
   前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付けるリンク情報を前記第１記憶部に書き込む第２データ書き込み部と、
   前記第１記憶部が記憶する前記リンク情報を用いて、前記第２記憶部が記憶する前記暗号化データの生成に用いられた鍵データを特定し、特定した当該鍵データを用いて当該暗号化データを復号化する復号化部と、
   前記第２記憶部が記憶する前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付ける前記リンク情報を前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去するデータ消去部と
   を備える、データ処理装置。
3. データ処理装置であって、
   第１記憶部と、
   前記第１記憶部よりもデータ消去可能回数が少ない第２記憶部と、
   前記第１記憶部に記憶されている鍵データを用いてデータを暗号化して暗号化データを生成する暗号化部と、
   前記暗号化部で生成された前記暗号化データを前記第２記憶部に書き込む第１データ書き込み部と、
   前記第２記憶部に記憶されている前記暗号化データの生成に用いられた、前記第１記憶部に記憶されている鍵データを用いて、当該暗号化データを復号化する復号化部と、
   前記復号化部において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去するデータ消去部と、
   前記データ処理装置に着脱可能な可搬性記憶装置が前記データ処理装置に接続されている場合に、前記データ消去部が前記第１記憶部から消去した鍵データを前記可搬性記憶装置に書き込む第２データ書き込み部と
   備え、
   前記第２データ書き込み部によって鍵データが書き込まれた前記可搬性記憶装置が前記データ処理装置に接続されていない場合には、当該鍵データが用いられて復号化される前記暗号化データが前記データ処理装置から擬似的に消去された状態となっている、データ処理装置。
4. 請求項１乃至請求項３のいずれか一つに記載のデータ処理装置であって、
   前記暗号化部は、データごとに異なる鍵データを用いる、データ処理装置。
5. 請求項１乃至請求項４のいずれか一つに記載のデータ処理装置であって、
   前記第１記憶部は揮発性メモリであって、
   前記第２記憶部は不揮発性メモリである、データ処理装置。
6. 請求項１乃至請求項５のいずれか一つに記載のデータ処理装置であって、
   前記第２記憶部では、記憶素子としてフラッシュメモリが使用されている、データ処理装置。
7. 請求項２に記載のデータ処理装置であって、
   前記暗号化データの生成に用いられる鍵データは前記第１記憶部に記憶されている、データ処理装置。
8. 請求項１及び請求項２のいずれか一つに記載のデータ処理装置であって、
   前記データ消去部において擬似的に消去された前記暗号化データを特定するための特定情報を、前記第１及び第２記憶部のどちらか一方である第３記憶部に書き込む第３データ書き込み部をさらに備える、データ処理装置。
9. 請求項８に記載のデータ処理装置であって、
   前記第２記憶部は不揮発性メモリであって、
   前記第３記憶部は前記第２記憶部である、データ処理装置。
10. 請求項８に記載のデータ処理装置であって、
    前記第１記憶部はバックアップ電源に接続された揮発性メモリであって、
    前記第３記憶部は前記第１記憶部である、データ処理装置。
11. 請求項３に記載のデータ処理装置であって、
    前記復号化部は、鍵データを記憶する前記可搬性記憶装置が前記データ処理装置に接続されている場合に、当該鍵データを用いて前記暗号化データを復号化する、データ処理装置。
12. 請求項３及び請求項１１のいずれか一つに記載のデータ処理装置であって、
    前記データ処理装置に前記可搬性記憶装置が接続されていない場合に、前記データ消去部が、前記復号化部において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去すると、当該暗号化データは前記データ処理装置から擬似的に消去される、データ処理装置。
13. 請求項１２に記載のデータ処理装置であって、
    擬似的に消去された前記暗号化データを特定するための特定情報を、前記第１及び第２記憶部のどちらか一方である第３記憶部に書き込む第３データ書き込み部をさらに備え、
    前記第３データ書き込み部は、
    前記データ処理装置に前記可搬性記憶装置が接続されていない場合に、前記データ消去部が、前記復号化部において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去して当該暗号化データが擬似的に消去されると、当該暗号化データを特定するための特定情報を前記第３記憶部に書き込み、
    前記復号化部において前記暗号化データの復号化で用いられる鍵データが書き込まれた前記可搬性記憶装置が前記データ処理装置から取り外されて当該暗号化データが擬似的に消去されたとしても、当該暗号化データを特定するための特定情報を前記第３記憶部に書き込まない、データ処理装置。
14. 第１記憶部と、当該第１記憶部よりもデータ消去可能回数が少ない第２記憶部とを備えるデータ処理装置を制御するための制御プログラムであって、
    前記データ処理装置に、
    （ａ）前記第１記憶部に記憶されている鍵データを用いてデータを暗号化して暗号化データを生成する工程と、
    （ｂ）前記工程（ａ）で生成された前記暗号化データを前記第２記憶部に書き込む工程と、
    （ｃ）前記第２記憶部に記憶されている前記暗号化データの生成に用いられた、前記第１記憶部に記憶されている鍵データを用いて、当該暗号化データを復号化する工程と、
    （ｄ）前記工程（ｃ）において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去する工程と
    を実行させるための制御プログラム。
15. 第１記憶部と、当該第１記憶部よりもデータ消去可能回数が少ない第２記憶部とを備えるデータ処理装置を制御するための制御プログラムであって、
    前記データ処理装置に、
    （ａ）鍵データを用いてデータを暗号化して暗号化データを生成する工程と、
    （ｂ）前記工程（ａ）で生成された前記暗号化データを前記第２記憶部に書き込む工程と、
    （ｃ）前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付けるリンク情報を前記第１記憶部に書き込む工程と、
    （ｄ）前記第１記憶部が記憶する前記リンク情報を用いて、前記第２記憶部が記憶する前記暗号化データの生成に用いられた鍵データを特定し、特定した当該鍵データを用いて当該暗号化データを復号化する工程と、
    （ｅ）前記第２記憶部が記憶する前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付ける前記リンク情報を前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去する工程と
    を実行させるための制御プログラム。
16. 第１記憶部と、当該第１記憶部よりもデータ消去可能回数が少ない第２記憶部とを備えるデータ処理装置の動作方法であって、
    （ａ）前記第１記憶部に記憶されている鍵データを用いてデータを暗号化して暗号化データを生成する工程と、
    （ｂ）前記工程（ａ）で生成された前記暗号化データを前記第２記憶部に書き込む工程と、
    （ｃ）前記第２記憶部に記憶されている前記暗号化データの生成に用いられた、前記第１記憶部に記憶されている鍵データを用いて、当該暗号化データを復号化する工程と、
    （ｄ）前記工程（ｃ）において前記暗号化データの復号化で用いられる鍵データを前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去する工程と
    を備える、データ処理装置の動作方法。
17. 第１記憶部と、当該第１記憶部よりもデータ消去可能回数が少ない第２記憶部とを備えるデータ処理装置の動作方法であって、
    （ａ）鍵データを用いてデータを暗号化して暗号化データを生成する工程と、
    （ｂ）前記工程（ａ）で生成された前記暗号化データを前記第２記憶部に書き込む工程と、
    （ｃ）前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付けるリンク情報を前記第１記憶部に書き込む工程と、
    （ｄ）前記第１記憶部が記憶する前記リンク情報を用いて、前記第２記憶部が記憶する前記暗号化データの生成に用いられた鍵データを特定し、特定した当該鍵データを用いて当該暗号化データを復号化する工程と、
    （ｅ）前記第２記憶部が記憶する前記暗号化データと、当該暗号化データの生成で用いられた鍵データとを関連付ける前記リンク情報を前記第１記憶部から消去することによって、当該暗号化データを前記データ処理装置から擬似的に消去する工程と
    を備える、データ処理装置の動作方法。

Images