JP2015090682A - 画像形成装置、その制御方法及びプログラム - Google Patents

Abstract

【課題】 第三者が画像形成装置の電源をオフにした状態でメモリをコネクタから抜いて、その内容を読み取ることにより、そこに記憶されている重要な情報が漏えいするおそれがある。【解決手段】 主記憶へのアクセスを制御する主制御部を備える画像形成装置とその制御方法であって、主記憶が不揮発性メモリか揮発性メモリかを判定し、その判定結果を不揮発に記憶する。主記憶が不揮発性メモリと判定されると、電源オフ或いはスリープモードに移行する際、その主記憶に記憶されているデータを消去する。【選択図】 図３

Description

本発明は、画像形成装置、その制御方法及びプログラムに関する。

一般的に、パーソナル・コンピュータ等のデータ処理装置では、主記憶として、ＤＲＡＭ（ダイナミック・ランダムアクセスメモリ）が使用されている。このＤＲＡＭは揮発性メモリであるため、記憶しているデータを保持するための電力供給構造が必須であり、電力供給構造を必ずしも必要としない不揮発性メモリよりも、製造時の微細化が困難である。このためＤＲＡＭをＭＲＡＭ（磁気抵抗メモリ）のような不揮発性メモリで代替して、製造時の微細化の限界を突破し、更なる大容量のメモリを搭載する方向性が模索されている。

揮発性メモリから不揮発性メモリへの変更に際して、同じ構成で揮発性メモリと不揮発性メモリの両方を装備できるような回路構成が求められる。例えば、ＤＲＡＭチップのパッケージ構成（チップのサイズ、チップに装備された端子の数、各端子の位置、各端子の役割）と全く同じ形のパッケージのＭＲＡＭを製造するのが望ましい。またＰＣ等のデータ処理装置では、ＤＲＡＭを装備する際に、端子配置を標準化したコネクタ、例えばＤＩＭＭ（Ｄｕａｌ Ｉｎｌｉｎｅ Ｍｅｍｏｒｙ Ｍｏｄｕｌｅ）のスロットを設けている。従って、このＤＩＭＭスロットにＭＲＡＭを搭載できるようにすれば、ユーザ環境でも、主記憶のメモリを容易にＤＲＡＭからＭＲＡＭに変更できるようになる。

画像形成装置の分野では、ＰＣ等のデータ処理装置の主記憶として用いられる標準規格化されたものと同じパッケージで、同じコネクタを採用した揮発性メモリがメインメモリとして搭載されることが多い。これは、画像形成装置のみに特化したパッケージやコネクタを採用するよりも、一般的なデータ処理装置と共通のパッケージやコネクタのメモリを使用する方が、よりコストダウンが図れるためである。特許文献１は、コネクタに接続されたメモリのエラーチェックを行うプリンタ装置を記載している。

特開２０１２−９８７８８号公報

このような画像形成装置において、メインメモリを上述のＤＩＭＭスロットに搭載可能な不揮発性メモリとした場合、以下の様な問題が生じる。例えば、第三者が画像形成装置の電源をオフにした状態でメモリをコネクタから抜いて、その内容を読み取ることにより、そこに記憶されている重要な情報が漏えいするおそれがある。また、第三者がそのメインメモリに記憶されているプログラムを悪意を持って他の実行可能なプログラムに入れ替えることで、その画像形成装置が実行する処理が変更されてしまうというおそれもある。

本発明の目的は、上記従来技術の問題点を解決することにある。

本発明の特徴は、主記憶が揮発性メモリか、不揮発性メモリかを判別し、不揮発性メモリであれば、装置の電源がオフされた状態、或いはスリープモードでのデータのセキュリティを維持する技術を提供することにある。

上記目的を達成するために本発明の一態様に係る画像形成装置は以下のような構成を備える。即ち、
主記憶へのアクセスを制御する主制御部を備える画像形成装置であって、
前記主記憶が不揮発性メモリか揮発性メモリかを判定する判定手段と、
前記判定手段による判定結果を不揮発に記憶する記憶手段と、
前記判定手段が前記主記憶が不揮発性メモリと判定すると、電源オフ或いはスリープモードに移行する際、前記主記憶に記憶されているデータを消去する消去手段と、を有することを特徴とする。

本発明によれば、主記憶が揮発性メモリか、不揮発性メモリかを判別し、不揮発性メモリであれば、装置の電源がオフされた状態、或いはスリープモードでのデータのセキュリティを維持できるという効果がある。

本発明の実施形態１に係る画像形成装置の構成を説明するブロック図。 実施形態１に係る画像形成装置における電源オンから電源オフまでの処理を説明するフローチャート。 本発明の実施形態２に係る画像形成装置がスリープモードから復帰し、またスリープモードに移行する場合の処理を説明するフローチャート。 本発明の実施形態３に係る画像形成装置の処理を説明するフローチャート。

以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る本発明を限定するものでなく、また本実施形態で説明されている特徴の組み合わせの全てが本発明の解決手段に必須のものとは限らない。

［実施形態１］
図１は、本発明の実施形態１に係る画像形成装置１０１の構成を説明するブロック図である。

画像形成装置１０１は、操作部１０２、スキャナ部１０３、ファクシミリ（ＦＡＸ）部１０５、コントローラ（主制御部）１０６、補助記憶部１０７、プリンタ部１０８、通信部１０９を有している。操作部１０２は、タッチパネル機能を備えた表示部やハードキー等を有し、ユーザの操作を受け付けたり、ユーザへのメッセージなどを表示する。スキャナ部１０３は、原稿の画像を光学的に画像を読み取ってデジタル画像データを出力するスキャナユニット１３２、原稿をスキャナユニット１３２に給紙する原稿給紙ユニット１３１を備える。ファクシミリ部１０５は、電話回線１０４との間でファクシミリ信号を送受信する。補助記憶部１０７は、デジタル画像データや制御プログラム等を記憶する。プリンタ部１０８は、デジタル画像データを基に用紙（シート）に画像を印刷するマーキングユニット１８１、マーキングユニット１８１にシートを給紙する給紙ユニット１８２、印刷済のシートを排出する排紙ユニット１８３を備える。通信部１０９は、ネットワーク１１０を介してパーソナルコンピュータ（ＰＣ）１１１等と通信し、例えばＰＣ１１１から印刷ジョブを受信する。主制御部１０６は、接続されるスキャナ部１０３、ファクシミリ部１０５、補助記憶部１０７、プリンタ部１０８のそれぞれを制御する。また主制御部１０６は、通信部１０９が受信した印刷ジョブに従ってプリント処理等を制御する。

主制御部１０６は、ＣＰＵ１６１、周辺回路とのインタフェース制御を司るチップセット１６２、起動プログラムや起動設定等の基本的なデータを保持する不揮発性フラッシュＲＯＭ１６３、メモリ制御部１６４を有している。また主記憶としてＤＩＭＭスロットにメモリモジュール１６５を搭載している。このメモリモジュール１６５には、主記憶であるメモリデバイス１６６と、メモリモジュール１６５に搭載されたメモリの種類を示す情報を保持した、ＳＰＤ（ＳｅｒｉａｌＰｒｅｓｅｎｃｅＤｅｔｅｃｔ）用フラッシュＲＯＭ１６７が搭載されている。ＣＰＵ１６１からメモリデバイス１６６へのアクセス、即ち、データの書込及び読出制御はメモリ制御部１６４を介して行われる。またＣＰＵ１６１は、メモリ制御部１６４とは別に、チップセット１６２経由で、ＳＰＤ用フラッシュＲＯＭ１６７からメモリの種類を示す情報を読み出すことができる。

尚、図１はあくまでも機能的なブロック図で、例えば主制御部１０６にはクロックジェネレータ等のハードウェアが多数含まれているが、これらは実施形態１の説明では重要でないため省略している。

図２は、実施形態１に係る画像形成装置１０１における電源オンから電源オフまでの処理を説明するフローチャートである。尚、この処理を実行するプログラムは、補助記憶部１０７に記憶されており、実行時に起動プログラムによりメモリデバイス１６６に展開され、ＣＰＵ１６１の制御の下に実行される。

この処理は、Ｓ２０１で画像形成装置１０１の電源が投入されることにより開始され、Ｓ２０２でＣＰＵ１６１は、ＳＰＤ用フラッシュＲＯＭ１６７からＳＰＤデータを読み込む。次にＳ２０３でＣＰＵ１６１は、その読み込んだＳＰＤデータを基に、搭載されたメモリデバイス１６６がＤＲＡＭか、それともＭＲＡＭのような不揮発性メモリかを判別する。次にＳ２０４に進みＣＰＵ１６１は、ＳＰＤデータを基にメモリ制御部１６４を初期化する。この初期化によって、メモリデバイス１６６を主記憶（メインメモリ）として用いることが可能となる。次にＳ２０５に進みＣＰＵ１６１は、搭載されたメモリデバイス１６６がＤＲＡＭか、それともＭＲＡＭのような不揮発性メモリかを示す情報を、主記憶の「搭載ＲＡＭ情報」のメモリエリアに保存する。

次にＳ２０６に進みＣＰＵ１６１は、搭載されたメモリデバイス１６６がＤＲＡＭ等の揮発性メモリかどうかを判定し、そうでなければＳ２１７に進むが、ＤＲＡＭであればＳ２０７に進む。Ｓ２０７でＣＰＵ１６１は通常の起動処理を行い、Ｓ２０８でＣＰＵ１６１は通常動作に移行する。次にＳ２０９でＣＰＵ１６１は、ユーザからシャットダウンの指示があるとＳ２１０に進み、ＣＰＵ１６１は主記憶の「搭載ＲＡＭ情報」のメモリエリアに保存された情報を、フラッシュＲＯＭ１６３の「シャットダウン前メモリタイプ」のエリアにコピーする。

次にＳ２１１でＣＰＵ１６１は、搭載されたメモリデバイス１６６がＤＲＡＭかどうかを判定し、ＤＲＡＭであればＳ２１２に進みＣＰＵ１６１は、通常のシャットダウン処理を行い、Ｓ２１３で電源をオフして、この処理を終了する。このように主記憶がＤＲＡＭ等の揮発性メモリで構成されていれば、従来の装置と同様のシャットダウン処理を実行する。

一方、Ｓ２１１でＣＰＵ１６１が、搭載されたメモリデバイス１６６がＤＲＡＭでなくて不揮発性メモリであると判定するとＳ２１４に進みＣＰＵ１６１は、主記憶に記憶されている消去が必要なデータを消去する。次にＳ２１５に進みＣＰＵ１６１は、主記憶全体のデータのハッシュ値を求め、Ｓ２１６でＣＰＵ１６１は、その求めたハッシュ値をフラッシュＲＯＭ１６３の「シャットダウン前ハッシュ値」のエリアに保存する。そしてＳ２１２に進み、通常のシャットダウン処理を行って、この処理を終了する。尚、Ｓ２１４で消去が必要と判断するデータは、例えば個人情報データ、電話回線１０４経由でファクシミリ部１０５が受信したファクシミリデータ、またはネットワーク１１０経由でＰＣ１１１から受信したデータ等を含む。

このように主記憶が不揮発性のメモリの場合は、シャットダウンを実行する前に、主記憶の中の消去すべき、外部に漏れてはいけないデータを消去する。これにより、電源がオフの状態のときに主記憶の内容が読まれても、重要が情報が漏えいすることはない。

一方、Ｓ２０６でＣＰＵ１６１が、メモリデバイス１６６がＭＲＡＭのような不揮発性メモリであると判定するとＳ２１７に進みＣＰＵ１６１は、フラッシュＲＯＭ１６３の「シャットダウン前メモリタイプ」の情報を読み込む。そしてＳ２１８に進みＣＰＵ１６１が、シャットダウン前のメモリタイプがＤＲＡＭのような揮発性メモリであると判定するとＳ２１９に進みＣＰＵ１６１は、主記憶に記憶されているデータを全て消去してＳ２０７に進んで、通常の起動処理を行う。これはシャットダウン前の主記憶が揮発性メモリであれば、そのメモリに記憶している情報は全て消去しても問題ないためである。尚、Ｓ２１９で無条件に全てのデータを消去する代わりに、ユーザに消去するか否かの選択を促すよう表示し、ユーザが消去を選択した場合のみ、主記憶に記憶されているデータを全て消去するようにしても良い。また更に、全てのデータを消去するのではなく、消去する部分をユーザに選択させるようにしても構わない。

一方、Ｓ２１８でＣＰＵ１６１が、シャットダウン前に搭載されていたメモリデバイス６６が不揮発性メモリであると判定した場合はＳ２２０に進みＣＰＵ１６１は、主記憶に記憶しているデータのハッシュ値を求める。次にＳ２２１に進みＣＰＵ１６１は、フラッシュＲＯＭ１６３の「シャットダウン前ハッシュ値」の情報を読み込む。そしてＳ２２２に進みＣＰＵ１６１は、Ｓ２２０で求めたハッシュ値と、Ｓ２２１で読み込んだシャットダウン前ハッシュ値とを比較し、それらが同じかどうか、即ち、データの改竄の有無を判定する。ここでハッシュ値が同一であると判定するとＳ２０７に進んで通常の起動処理を行うが、同一でないと判定するとＳ２２３に進む。Ｓ２２３でＣＰＵ１６１は、主記憶のデータがシャットダウン前の状態から改竄されていることをユーザに通知して警告し、Ｓ２２４に進んでＣＰＵ１６１は、起動処理を中断する。

以上説明した処理を行うことにより、悪意のある第三者が、画像形成装置の電源がオフの間に主記憶のプログラムなどを書き換えて動作を変更したり、主記憶に記憶されているデータを読み取るのを防止できる。

尚、本実施形態１ではＤＩＭＭを例に説明したが、基板に直接実装されたメモリモジュールや、基板に直接実装されたメモリデバイス及びＳＰＤに対しても適用可能である。

またＳ２２３におけるユーザへの通知は、操作部１０２に画像やメッセージなどを表示して行っても良く、或いは操作部１０２のＬＥＤ等を明滅させたり、スピーカにより音声や警告音等で知らせるようにしても良い。

また本実施形態１では、搭載されたメモリデバイス１６６が揮発性メモリか否かの判別に基づいて処理を変えることにより、画像形成装置１０１のセキュリティ仕様を適切なレベルに維持している。画像形成装置１０１で不適切なプログラムが実行できない仕組みが提供できれば、Ｓ２１９で消去するデータを主記憶のデータの全部ではなく一部にして、起動に要する時間を短縮してもよい。

また画像形成装置１０１のセキュリティ仕様を適切なレベルに維持し、画像形成装置１０１で不適切な処理が実行できない仕組みが提供できれば、Ｓ２１５及びＳ２２０で求めＳ２２２で比較するハッシュ値は、主記憶のデータの一部のみに対して求めても良い。また、Ｓ２２２でて比較した結果、ハッシュ値が同一であった場合は、Ｓ２０７の起動処理で、メモリデバイス１６６に記憶しているデータをそのまま利用することで、起動処理に要する時間を短縮するようにしても良い。

［実施形態２］
上述の実施形態１では、電源オン時の画像形成装置１０１の起動から電源オフ時のシャットダウンまでの基本的な処理の場合を説明した。しかし画像形成装置１０１が省電力機能を有する場合は、省電力モードに移行する前と省電力モードから復帰した後とで、同様の処理を行う必要がある。以下、画像形成装置１０１が省電力機能を有する場合を実施形態２で説明する。尚、実施形態２に係る画像形成装置１０１の構成は、前述の実施形態１に係る画像形成装置１０１と基本的に同じであるため、その説明を省略する。

図３は、本発明の実施形態２に係る画像形成装置１０１がスリープモードからの復帰時、またはスリープモードに移行する場合の処理を説明するフローチャートである。尚、省電力モードでは、画像形成装置１０１の一部の回路に対して電力もしくはクロックの供給を止めるスリープモードとなる。

まずＳ３０１でＣＰＵ１６１は、ユーザがスリープモードからの復帰を指示するとＳ３０２に進んで、ＣＰＵ１６１はＳＰＤ用フラッシュＲＯＭ１６７からＳＰＤデータを読み込む。そしてＳ３０３に進みＣＰＵ１６１は、Ｓ３０２で読み込んだＳＰＤデータを基に、搭載されたメモリデバイス１６６がＤＲＡＭか、ＭＲＡＭのような不揮発性メモリかを判定する。次にＳ３０４に進みＣＰＵ１６１は、Ｓ３０３の判定結果を、主記憶の「搭載ＲＡＭ情報」のメモリエリアに保存する。次にＳ３０５に進みＣＰＵ１６１は、搭載されたメモリデバイス１６６がＤＲＡＭかどうかを判定し、そうであればＳ３０６に進みＣＰＵ１６１は、スリープモードからの復帰処理を行って、Ｓ３０７でＣＰＵ１６１は通常動作に移行する。

次にＳ３０８に進みＣＰＵ１６１は、ユーザからスリープモードへの移行の指示があるとＳ３０９に進む。Ｓ３０９でＣＰＵ１６１は、主記憶の「搭載ＲＡＭ情報」のメモリエリアに保存された情報を、フラッシュＲＯＭ１６３の「スリープ前メモリタイプ」のエリアにコピーして保存する。次にＳ３１０でＣＰＵ１６１は、搭載されたメモリデバイス１６６がＤＲＡＭかどうかを判定し、そうであればＳ３１１に進んでＣＰＵ１６１は、スリープモードへの移行処理を行い、Ｓ３１２でスリープモードへ移行する。

一方、Ｓ３１０でＣＰＵ１６１は、搭載されたメモリデバイス１６６がＭＲＡＭのような不揮発性メモリであると判定したときはＳ３１３に進みＣＰＵ１６１は、主記憶に記憶されている消去が必要なデータを消去する。ここで例えば、消去が必要と判断するデータは、個人情報データ、電話回線１０４経由でファクシミリ部１０５が受信した受信データ、ネットワーク１１０経由でＰＣ１１１から受信したデータでも構わない。次にＳ３１４に進みＣＰＵ１６１は、主記憶全体のデータのハッシュ値を求めてＳ３１５に進み、ＣＰＵ１６１は、そのハッシュ値をフラッシュＲＯＭ１６３の「スリープ前ハッシュ値」のエリアに保存する。そしてＳ３１１に進みＣＰＵ１６１は、スリープモードへの移行処理を行う。

またＳ３０５でＣＰＵ１６１が、搭載されたメモリデバイス１６６が不揮発性メモリであると判定したときはＳ３１６に進みＣＰＵ１６１は、フラッシュＲＯＭ１６３の「スリープ前メモリタイプ」の情報を読み込む。次にＳ３１７に進みＣＰＵ１６１は、前回スリープモードに移行する前のメモリタイプがＤＲＡＭかどうかを判定し、そうであればＳ３１８に進みＣＰＵ１６１は、ＳＰＤデータを基にメモリ制御部１６４を初期化する。この初期化によって、メモリデバイス１６６は主記憶として用いることが可能となる。しかしながら、不適切なデータが残っているおそれがあるため、Ｓ３１９でＣＰＵ１６１は主記憶に記憶しているデータを全て消去してから、Ｓ３０６のスリープモードからの復帰処理を行う。

尚、本実施形態２では、例えば、Ｓ３１９で、主記憶のデータを無条件に消去する代わりに、ユーザに消去するか否かの選択を促すよう表示を行い、ユーザが消去を選択した場合のみ、主記憶のデータを全て消去するようにしても良い。また更に、主記憶の全てのデータを消去するのではなく、消去する部分をユーザに選択させるようにしても良い。

またＳ３１７でＣＰＵ１６１が、前回スリープモードに移行する前に搭載されていたメモリデバイス１６６が不揮発性メモリであると判定した場合はＳ３２０に進みＣＰＵ１６１は、主記憶全体のデータのハッシュ値を求める。そしてＳ３２１に進みＣＰＵ１６１は、フラッシュＲＯＭ１６３の「スリープ前ハッシュ値」の情報を読み込む。次にＳ３２２に進みＣＰＵ１６１は、Ｓ３２０で求めたハッシュ値とＳ３２１で読み込んだスリープ前ハッシュ値とを比較し、それらが同じかどうかを判定する。ここでハッシュ値が同一であると判定するとＳ３０６に進みＣＰＵ１６１は、スリープモードからの復帰処理を行う。一方、Ｓ３２２でＣＰＵ１６１がハッシュ値が同一でないと判定したときはＳ３２３に進みＣＰＵ１６１は、主記憶のデータがスリープモードへの移行前からスリープモードからの復帰後の間で改竄されていることをユーザに通知して警告を行う。そしてＳ３２４に進みＣＰＵ１６１は、スリープモードからの復帰処理を中断する。

以上説明したように本実施形態２によれば、悪意のある第三者が画像形成装置１０１がスリープモードの間に、ユーザの意図に反して、画像形成装置１０１の動作を変更する危険を防止できる。

尚、本実施形態２は、ＤＩＭＭを例に説明しているが、基板に直接実装されたメモリモジュールや、基板に直接実装されたメモリデバイスやＳＰＤに対しても適用可能である。

またＳ３２３におけるユーザへの通知は、操作部１０２に画像やメッセージを表示して行っても良く、或いは操作部１０２のＬＥＤ等を明滅させても良い。また或いはスピーカによる音声や警告音で通知する動作でも構わない。

またＳ３１９で消去するデータを、主記憶のデータの全部ではなく一部にして、スリープモードからの復帰に要する時間を短縮してもよい。また画像形成装置のセキュリティ仕様を適切なレベルに維持し、画像形成装置において不適切な処理が実行できない仕組みが提供できれば、Ｓ３１３及びＳ３２０で求めＳ３２２で比較するハッシュ値は、主記憶の一部のエリアのみに対して行っても構わない。また、Ｓ３２２で比較した結果、ハッシュ値が同一であった場合に、Ｓ３０６のスリープモードからの復帰処理で、メモリデバイス１６６のデータをそのまま利用することで、スリープモードからの復帰処理の高速化を実現しても構わない。

また本実施形態２の説明では、スリープモードへの移行やスリープモードからの復帰を、ユーザからの指示によるものとして説明しているが、スリープモードへの移行やスリープモードからの復帰がユーザからの指示であることに限定されるものではない。例えば、ユーザからの指示の代わりにタイマ回路による計時に基づくものであっても構わない。

［実施形態３］
上述の実施形態１及び２では、画像形成装置１０１の動作状態の遷移を基に説明したが、更に悪意のある第三者が、画像形成装置１０１の動作状態のそれぞれの遷移に際して行うであろう処理を回避することも考えられる。例えば、画像形成装置１０１の電源をオフにして装置を分解し、画像形成装置１０１の主記憶を不揮発性メモリに入れ替える。そして画像形成装置１０１の電源をオンにしてしばらく動作させた後に、通常行われるシャットダウン処理が実行されないように、画像形成装置の電源供給を根元から断つ場合が考えられる。

上述の実施形態１，２では、動作状態が遷移する場合に、搭載されたメモリデバイスが揮発性メモリか否かを判定して処理を変更していた。このため、上記のような操作が行われると、主記憶に記憶されたデータがそのまま残ってしまい、第三者がそのデータを入手可能になってしまう。このような危険性を回避するために、通常の動作状態においても、搭載されたメモリデバイスが揮発性メモリか否かの判別に基づいて処理を変更する実施形態３について説明する。尚、実施形態３に係る画像形成装置１０１の構成は、前述の実施形態１に係る画像形成装置１０１と基本的に同じであるため、その説明を省略する。

図４は、本発明の実施形態３に係る画像形成装置１０１の処理を説明するフローチャートである。これは図２のＳ２０８及び図３のＳ３０７の通常動作処理の一部である。ここでは、画像形成装置１０１の電源供給を根元から断った場合であっても主記憶にデータが残らないように、搭載されたメモリデバイス１６６が揮発性メモリか否かの判別に基づいて、通常動作状態の処理を変えている。

この処理は、図２のＳ２０８或いは図３のＳ３０７の通常動作処理が開始されることにより開始される。

まずＳ４０１でＣＰＵ１６１は、プリントジョブの受信スレッドを開始する。図２のＳ２０８及び図３のＳ３０７の通常動作が終了する際には、Ｓ４０２でプリントジョブの受信スレッドの停止要求によってＳ４１２に進み、ＣＰＵ１６１は、プリントジョブの受信スレッドを停止する。一方Ｓ４０２で、プリントジョブの受信スレッドの停止要求が無い場合はＳ４０３に進み、ＣＰＵ１６１上で動作するプリントジョブ受信スレッドは、ＰＣ１１１からネットワーク１１０経由で送信されるプリントジョブを待ち受けて、Ｓ４０４に進む。Ｓ４０４でプリントジョブを受信するとＳ４０５に進む。Ｓ４０５でプリントジョブ受信スレッドは、受信したプリントジョブが、ユーザが画像形成装置１０１の操作部１０２でプリントアウトを指示するまでシートへ印刷せずにジョブを保持するセキュアプリントジョブかどうかを判定する。セキュアプリントジョブでないときはＳ４１１に進み、印刷を実行してＳ４０３に進む。

一方、Ｓ４０５でセキュアプリントジョブと判定するとＳ４０６に進み、プリントジョブ受信スレッドは、搭載されたメモリデバイス１６６がＤＲＡＭか、ＭＲＡＭのような不揮発性メモリかを判定する。ここで搭載されたメモリデバイス１６６が不揮発性メモリであると判定するとＳ４０７に進む。Ｓ４０７でＣＰＵ１６１は、プリントジョブ発行元のＰＣ１１１に対してセキュアプリントジョブ警告、即ち、搭載されている主記憶が不揮発性メモリであるためセキュアプリントジョブを受信することが危険である旨の警告を通知する。これにより、この警告を受信したＰＣ１１１は、「画像形成装置１０１に搭載された主記憶が不揮発性メモリであるため、セキュアプリントジョブ投入にリスクがある」旨を表示して、ユーザに注意を喚起する。次にＳ４０８に進みＣＰＵ１６１は、それでもＰＣ１１１のユーザがセキュアプリントジョブの実行を指示したことがＰＣ１１１から通知されるとＳ４０８からＳ４０９に進む。Ｓ４０８でＰＣ１１１からユーザがセキュアプリントジョブの実行を指示したことが通知されないとＳ４０３に戻る。

Ｓ４０９でＣＰＵ１６１は、ＰＣ１１１から受信したプリントジョブを主記憶に保持してＳ４１０に進む。Ｓ４１０でＣＰＵ１６１は、ユーザが画像形成装置１０１の操作部１０２を介して印刷指示が入力されるのを待つ。印刷指示が入力されるとＳ４１１に進みＣＰＵ１６１は、主記憶に記憶しているプリントジョブに従ってシート上に画像を印刷する。そしてＳ４０３に進み、プリントジョブ受信スレッドは、ネットワーク１１０経由でＰＣ１１１からのプリントジョブを待ち受ける。

本実施形態３は、搭載されたメモリデバイス１６６が揮発性メモリか否かの判別に基づいて処理を変えることに特徴があり、プリントジョブを送信したＰＣ１１１が、セキュアプリントジョブの警告通知を受信したことにより処理する場合に限らず有効である。例えば、ＰＣ１１１では、プリンタドライバが「画像形成装置１０１に搭載された主記憶が不揮発性メモリであるため、セキュアプリントジョブを中断する」旨のエラーメッセージを表示してプリントジョブを破棄するようにしてもい。また或いは、プリンタドライバがそのプリントジョブを、ネットワーク１１０に接続された別の画像形成装置へ送信しても良い。

またＳ４０６で搭載している主記憶のメモリがＤＲＡＭであると判定するとＳ４０９に進み、その受信したプリントジョブを主記憶に記憶してＳ４１０に進む。

尚、Ｓ４０５で、セキュアプリントジョブでないと判定するとＳ４１１に進み、その受信したプリントジョブに従って印刷処理を実行してＳ４０３に進み、プリントジョブ受信スレッドは、ＰＣ１１１から送信されるプリントジョブを待ち受ける。

以上説明したように実施形態３によれば、悪意のある第三者が画像形成装置の主記憶を不揮発性のメモリに入れ替えて、セキュアプリントジョブを受信してからその印刷が実行されるまでの間にそのジョブデータが抜き取られる危険性を防止できる。

本実施形態３は、搭載されたメモリデバイス１６６が揮発性メモリか否かの判別に基づいて処理を変えることに特徴がある。画像形成装置１０１のセキュリティ仕様を適切なレベルに維持し、画像形成装置１０１で不適切な処理が実行できない仕組みが提供できれば、通常動作の他の処理にも適用可能である。例えば、搭載されたメモリデバイス１６６がＭＲＡＭのような不揮発性メモリの場合、ファクシミリ受信スレッドにおいて電話回線１０４経由でファクシミリ部１０５が受信した場合、その着信を拒否できるようにしても良い。またファクシミリを送信しようと操作部１０２から電話番号を入力しようとした場合に「現在搭載されているメモリが不揮発性メモリに入替えられているため、電話番号の入力画面への移行を禁止します」と操作部１０２に表示して、入力を拒否しても構わない。また、搭載されたメモリデバイス１６６が不揮発性メモリの場合は、スキャナ部１０３で読み取った画像データも、電源がオフされても保持されたままとなる。従って、このような場合には、「現在搭載されているメモリが不揮発性メモリに入れ替えられているため、スキャナ機能をご利用いただけません」と操作部１０２にエラー表示しても良い。また画像形成装置１０１がＵＳＢ端子を備え、ＵＳＢメモリからの印刷機能を有する場合にも、主記憶が不揮発性メモリであることを理由に、その印刷を禁止できるようにしても良い。

［実施形態４］
上述の実施形態１〜３では、画像形成装置１０１に主記憶として揮発性メモリもしくは不揮発性メモリのどちらかしか搭載しないものとして説明している。しかし本実施形態は、搭載されたメモリデバイス１６６が揮発性メモリか否かの判別に基づいて処理を変更することに特徴があり、画像形成装置１０１に主記憶として揮発性メモリと不揮発性メモリの両方を搭載する場合でも有効である。例えば、実施形態４に係る画像形成装置１０１のメモリ制御部１６４がメモリモジュール１６５を複数接続できる場合を考える。このとき、一部のメモリモジュールに搭載されたメモリデバイス１６６がＤＲＡＭで、残りのメモリモジュールに搭載されたメモリデバイス１６６が不揮発性メモリの場合も有効である。この場合、例えばＳ４０７において、プリントジョブ発行元のＰＣ１１１に対してセキュアプリントジョブの拒否を通知する代わりに、そのセキュアプリントジョブのデータを揮発性メモリのエリアに限って記憶するように処理を変更することも可能である。

（その他の実施形態）
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（又はＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。

本発明は上記実施形態に限定されるものではなく、本発明の趣旨に基づき種々の変形（各実施形態の有機的な組み合わせを含む）が可能であり、それらを本発明の範囲から除外するものではない。本発明の例として様々な実施形態を示して説明したが、当業者であれば、本発明の趣旨と範囲は、本明細書内の特定の説明に限定されるものではない。

Claims (10)

1. 主記憶へのアクセスを制御する主制御部を備える画像形成装置であって、
   前記主記憶が不揮発性メモリか揮発性メモリかを判定する判定手段と、
   前記判定手段による判定結果を不揮発に記憶する記憶手段と、
   前記判定手段が前記主記憶が不揮発性メモリと判定すると、電源オフ或いはスリープモードに移行する際、前記主記憶に記憶されているデータを消去する消去手段と、
   を有することを特徴とする画像形成装置。
2. 電源オン時あるいはスリープモードからの復帰時、前記記憶手段に記憶された前記判定結果が不揮発性メモリである場合、前記主記憶のデータの改竄の有無を判別する判別手段と、
   前記判別手段が前記データの改竄が有ると判別すると、前記画像形成装置の起動を中断する中断手段と、を更に有することを特徴とする請求項１に記載の画像形成装置。
3. 前記判別手段が前記データの改竄が有ると判別するとユーザに警告する警告手段を更に有することを特徴とする請求項２に記載の画像形成装置。
4. 前記判別手段は、不揮発に記憶されている電源オフ時の前記主記憶のデータのハッシュ値と、電源オン時あるいはスリープモードからの復帰時の前記主記憶のデータのハッシュ値とが同じでないときに前記主記憶のデータが改竄されたと判別することを特徴とする請求項２又は３に記載の画像形成装置。
5. 電源オン時あるいはスリープモードからの復帰時、前記記憶手段に記憶された前記判定結果が揮発性メモリである場合、前記主記憶のデータを消去する手段を更に有することを特徴とする請求項１乃至４のいずれか１項に記載の画像形成装置。
6. 印刷ジョブを受信する受信手段と、
   前記受信手段により受信した前記印刷ジョブがセキュアプリントの場合、前記記憶手段に記憶された前記判定結果が不揮発性メモリであると前記印刷ジョブの発行元に警告を通知する通知手段を更に有することを特徴とする請求項１乃至５のいずれか１項に記載の画像形成装置。
7. 前記消去手段は、前記主記憶に記憶された個人情報或いは受信データを消去することを特徴とする請求項１乃至６のいずれか１項に記載の画像形成装置。
8. 電源オン時、前記判別手段が前記データの改竄がないと判別すると、前記主記憶へのプログラムの展開を省略して前記画像形成装置を起動させる起動手段を更に有することを特徴とする請求項１に記載の画像形成装置。
9. 主記憶へのアクセスを制御する主制御部を備える画像形成装置を制御する制御方法であって、
   判定手段が、前記主記憶が不揮発性メモリか揮発性メモリかを判定する判定工程と、
   記憶手段が、前記判定工程による判定結果を不揮発メモリに記憶する記憶工程と、
   消去手段が、前記判定工程が前記主記憶が不揮発性メモリと判定すると、電源オフ或いはスリープモードに移行する際、前記主記憶に記憶されているデータを消去する消去工程と、
   を有することを特徴とする画像形成装置の制御方法。
10. コンピュータを、請求項１乃至８のいずれか１項に記載の画像形成装置として機能させるためのプログラム。

Images