JP2017103538A - 画像処理装置、プログラム及びシステム - Google Patents

Abstract

【課題】改ざんの検出に使用された暗号鍵の流出を防止すること。【解決手段】データの復号化に使用する鍵を分割させた複数の鍵パーツを生成する生成部と、前記生成部により生成された各鍵パーツに用いて作成された改ざん検出情報を、前記データに書込む書込部と、前記鍵パーツの結合順序を記憶する記憶部と、を有する画像処理装置が提供される。【選択図】図４

Description

本発明は、画像処理装置、プログラム及びシステムに関する。

データの復号化に使用する暗号鍵をデータに隠蔽し、データとともに暗号鍵を外部の装置に送信することでデータの改ざんを防止する技術がある。

例えば、符号化された画像データに暗号鍵の電子透かしを埋め込み、画像データとともに暗号鍵を外部の装置に送信する。電子透かしにより暗号鍵が不可視となるため、符号化された画像データに暗号鍵を隠蔽することができる。

画像データを受信した者は、符号化された画像データに埋め込まれた暗号鍵を取り出して自身が所有する暗号鍵と一致するかを判定する。画像データが改ざんされていた場合、画像データから取り出した暗号鍵が、所有する暗号鍵と一致しない。これにより、画像データを受信した者は、画像データに対する改ざんの有無を判別することができる。

例えば、印刷文書に暗号鍵の電子透かしを書き込むことで第三者によるデータ改ざん及び盗聴を検出する技術が開示されている（例えば、特許文献１）。

しかしながら、想定の技術では、仮に共通鍵が用いられていた場合、流出した画像データから暗号鍵が特定され、第三者により流出した画像データが復号化される場合があった。

図１は、暗号鍵をデータに隠蔽する技術を説明する図である。例えば、利用者Ｘによって、文書（１）、文書（２）及び文書（３）に係る画像データが端末１００'からＭＦＰ（Multifunction Printer）１'に送信されると、鍵ａ（共通鍵）を使って文書（１）、文書（２）及び文書（３）を符号化する。続いて、ＭＦＰ１'は、文書（１）、文書（２）及び文書（３）のそれぞれの画像データに鍵ａの電子透かしを書き込む。なお、カッコ内の数字は、文書データのページ数を示す。

利用者Ｘから文書（１）、文書（２）及び文書（３）の閲覧を許可された利用者は、符号化された画像データの各ページに書込まれた電子透かしから、鍵ａを抽出できるか否かを判定する。

図２は、第三者によるデータの改ざんについて説明するための図である。図１のように、画像データの各ページに鍵ａの電子透かしが書き込まれた状態で、第三者Ｚにより文書（２）が文書（２）'に改ざんされると、文書（２）'の電子透かしから元の鍵ａ（鍵ａ'）を復元できなくなる。このように、文書データの閲覧者は、文書（２）に改ざんがあった事実を知ることができるようになる。

図１に戻る。ところが、取得者Ｚが符号化された文書（２）に電子透かしが書き込まれていることを知っていた場合、ＭＦＰ１'で文書（２）を印刷した用紙をスキャナ２００'で読み込み、端末２１０'によって電子透かしを検出することで、鍵ａを取得することができるようになる。

このように、流出した画像データから暗号鍵が特定され、第三者により流出した画像データが復号化されるというセキュリティ上の問題があった。

そこで、本実施形態では、上記課題に鑑み、改ざんの検出に使用された暗号鍵の流出を防止することを目的とする。

一つの案では、データの復号化に使用する鍵を分割させた複数の鍵パーツを生成する生成部と、前記生成部により生成された各鍵パーツに用いて作成された改ざん検出情報を、前記データに書込む書込部と、前記鍵パーツの結合順序を記憶する記憶部と、を有する画像処理装置が提供される。

改ざんの検出に使用された暗号鍵の流出を防止することができる。

暗号鍵をデータに隠蔽する技術を説明する図である。 第三者によるデータの改ざんについて説明するための図である。 文書データに対してＭＦＰ１が行う処理を説明する図である。 ＭＦＰの機能構成を説明するための図である。 符号化処理を説明するための図である。 鍵パーツの書込み順序を決定する例を示す図である。 電子透かしを書込む処理の例を示す図である。 結合順序テーブルの例を示す図である。 文書データの復号化を要求するユーザに対する処理を説明する図である。 鍵パーツの抽出を説明するための図である。 鍵パーツから暗号鍵を合成する例を示す図である。 復号処理を説明するための図である。 実施形態１の処理シーケンスを示す図である。 実施形態１の利点を説明するための図である。 実施形態２の処理シーケンスを示す図である。 本発明によるＭＦＰの一実施例のプロセスの構成を示す図である。 本発明によるＭＦＰのハードウェア構成の例を示す図である。

以下、本発明の実施形態について添付の図面を参照しながら説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することによって重複した説明を省く。

［実施形態１］
＜ＭＦＰ１の機能構成＞
図３は、文書データに対してＭＦＰ１が行う処理を説明する図である。ＭＦＰ１は、ユーザＸから送信された３ページの文書で構成される文書データを受信する。文書データの各ページを文書（１）、文書（２）及び文書（３）とする。ＭＦＰ１は、受信した文書データを構成する文書（１）、文書（２）及び文書（３）を暗号鍵で符号化する。続いて、ＭＦＰ１は、暗号鍵を３つに分割し、分割した暗号鍵の電子透かしを文書（１）、文書（２）及び文書（３）にそれぞれ書き込む。

以下では、分割された暗号鍵を鍵パーツと呼ぶ。鍵パーツのカッコ内に付された数値は、鍵パーツが生成された順番を示す。例えば、鍵パーツ（２）は、２番目に暗号鍵から分割されて生成された鍵パーツである。

例えば、ＭＦＰ１は、文書（１）に鍵パーツ（１）を書込み、文書（２）に鍵パーツ（３）を書込み、文書（３）に鍵パーツ（２）を書込む。

ＭＦＰ１は、文書データのページ順に各ページに電子透かしが書き込まれた鍵パーツの番号（鍵パーツが生成された順番）をメモリに記録する。例えば、ページ順に鍵パーツ（１）、鍵パーツ（３）、鍵パーツ（２）の電子透かしが書き込まれた場合、鍵順序ファイルに鍵パーツの番号「１、３、２」を記録する。これにより、ＭＦＰ１は、各ページに書込まれた鍵パーツを特定することができる。

図４は、ＭＦＰ１の機能構成を説明するための図である。ＭＦＰ１は、処理部１０と、記憶部２０とを有する。処理部１０は、生成部１１と、符号化部１２と、書込部１３と、抽出部１４と、結合部１５と、認証部１６と、復号部１７と、を有する。記憶部２０は、鍵記憶領域２１と、結合順序テーブル２２と、を有する。

生成部１１は、外部から受信した文書の文書データを符号化するための暗号鍵を生成する。生成部１１は、鍵記憶領域２１に生成した暗号鍵を格納する。

符号化部１２は、生成部１１によって生成された暗号鍵を用いて文書データを符号化する。符号化部１２は、例えば、符号化及び復号化の際に同じ鍵を用いる共通鍵符号化方式で文書データを符号化する。符号化部１２は、符号化した文書データを記憶部２０に記憶する。なお、符号化部１２は、別の符号化方式を使用してもよい。

図５は、符号化処理を説明するための図である。符号化部１２は、暗号鍵αを用いて文書（１）、文書（２）及び文書（３）をそれぞれ符号化する。なお、以下の図面では、符号化済みのデータを網状の模様を付して表す。

図４に戻る。生成部１１は、例えば、文書のページ数分に暗号鍵を分割する。なお、暗号鍵の分割数は、文書のページ数に限定されず、ページ数以上に分割してもページ数よりも少ない数に分割してもよい。

生成部１１は、暗号鍵を基に生成された複数の鍵パーツを並び替え、各鍵パーツを文書データに書き込む順序を決定する。以下では、各鍵パーツを書き込む順序を鍵順序という。鍵順序は、文書データの符号化を要求するユーザが指定してもよく、ＭＦＰ１がランダムに設定したものであってもよい。

図６は、鍵パーツの書込み順序を決定する例を示す図である。例えば、生成部１１は、暗号鍵を鍵パーツ（１）、鍵パーツ（２）、鍵パーツ（３）に分割した場合、例えば鍵パーツの書込み順序を逆順「３、２、１」、ランダム「１、３、２」に並べ替える。なお、生成部１１は、鍵パーツの書込み順序をページ順（昇順）「１、２、３」としてもよい。

書込部１３は、各鍵パーツの電子透かしを生成し、鍵パーツの電子透かしを、鍵順序にしたがって文書の各ページにそれぞれ書込む。

図７は、電子透かしを書込む処理の例を示す図である。例えば、３つの鍵パーツ（１）、鍵パーツ（２）及び鍵パーツ（３）に分割され、鍵パーツの書込み順序が「１、３、２」であった場合、書込部１３は、文書（１）に鍵パーツ（１）、文書（２）に鍵パーツ（３）、文書（３）に鍵パーツ（２）の電子透かしを書き込む。

続いて、生成部１１は、鍵順序を文書データに対応付けて結合順序テーブル２２に記録する。さらに、生成部１１は、ユーザＸにより参照を許可されたユーザ、符号化された文書データの識別番号などを、文書に対応付けて結合順序テーブルに記録する。

図８は、結合順序テーブル２２の例を示す図である。結合順序テーブル２２は、文書ＩＤと、文書名と、ユーザと、鍵順序とを対応付ける。「文書ＩＤ」は、各文書の識別番号を示す。「文書名」は、文書の名称を示す。「ユーザ」は、文書を閲覧する権限を有するユーザ名を示す。「鍵順序」は、ページ順に各ページに書込んだ鍵パーツを示す情報である。例えば、結合順序テーブル２２の第１レコードは、文書データＡの１ページに鍵パーツ（１）、２ページに鍵パーツ（３）、３ページに鍵パーツ（２）の電子透かしが書き込まれていることを示す。また、第２レコードは、文書データＢの１ページに鍵パーツ（２）、２ページに鍵パーツ（３）、３ページに鍵パーツ（１）の電子透かしが書き込まれていることを示す。また、第３レコードは、文書データＣの１ページに鍵パーツ（１）、２ページに鍵パーツ（２）、３ページに鍵パーツ（３）の電子透かしが書き込まれていることを示す。

図３に戻る。抽出部１４は、ユーザ認証を行ったユーザＺから、文書データを復号化する要求があった場合に、文書データの各ページから電子透かしを検出し、各ページから鍵パーツを抽出する。

図９は、文書データの復号化を要求するユーザに対する処理を説明する図である。ＭＦＰ１は、ユーザＸによって符号化された文書データの復号化を求める要求を、ユーザＺの端末３００から受信すると、ＭＦＰ１は、ユーザＺに対して認証情報を要求する。ユーザＺは、ユーザＸによって符号化された文書データと、ユーザＺの認証情報とをＭＦＰ１に送信する。

また、ユーザＺは、ＭＦＰ１の記憶部２０に記録されている文書データの復号化を要求することも可能である。かかる場合は、ユーザＺは、自身の認証情報をＭＦＰ１に送信する。

抽出部１４は、文書データの各ページに書込まれた電子透かしを検出し、ページ順に鍵パーツを抽出する。

図１０は、鍵パーツの抽出を説明するための図である。例えば、抽出部１４は、文書（１）、文書（２）、文書（３）の順に、電子透かしから鍵パーツ（１）、鍵パーツ（３）、鍵パーツ（２）をそれぞれ抽出する。これにより、文書（１）、文書（２）、文書（３）に書込まれた電子透かしが取り除かれる。

結合部１５は、抽出部１４から暗号鍵を合成するための結合要求を受信する。結合部１５は、結合要求を受信すると、認証部１６に認証情報を送信する。認証部１６は、受信した認証情報に基づいてユーザＺをユーザ認証する。続いて、認証部１６は、ユーザ認証の結果を結合部１５に通知する。

結合部１５は、ユーザＺが正常に認証された場合、結合順序テーブル２２の鍵順序に応じた順番で、各鍵パーツを結合することで暗号鍵を合成する。

図１１は、鍵パーツから暗号鍵を合成する例を示す図である。例えば、抽出部１４により、文書（１）、文書（２）、文書（３）の順に鍵パーツ（１）、鍵パーツ（３）、鍵パーツ（２）が抽出されたものとする。図１１の最上段には、抽出順に鍵パーツ（１）、鍵パーツ（３）、鍵パーツ（２）が配列されているが、第三者には、各鍵パーツの番号が分からないようになっている。

結合部１５は、結合順序テーブル２２に格納されている鍵順序「鍵パーツ（１）、鍵パーツ（３）、鍵パーツ（２）」に基づいて抽出された鍵パーツの番号を特定する。続いて、結合部１５は、鍵パーツの番号が昇順となるように「鍵パーツ（１）、鍵パーツ（２）、鍵パーツ（３）」のように鍵パーツを並び替える。

続いて、結合部１５は、鍵パーツの番号の若い順に鍵パーツを結合していく。例えば、鍵パーツ（１）と鍵パーツ（２）とを結合（結合１）し、その後、さらに鍵パーツ（３）を結合（結合２）することで、暗号鍵を合成する。

復号部１７は、符号化されている文書データに対して、結合部１５によって合成された暗号鍵を適用し、文書データを復号化する。

図１２は、復号処理を説明するための図である。復号部１７は、符号化された文書（１）、文書（２）及び文書（３）のそれぞれに、結合部１５によって合成された暗号鍵を適用し、文書（１）、文書（２）及び文書（３）を復号化する。これにより、文書（１）、文書（２）及び文書（３）が正常に復号化された場合、文書データに改ざんがなかったと判定でき、正常に復元できなかった場合、文書データに改ざんがあったと判定できる。

また、鍵パーツから合成された暗号鍵により文書データが復元できたか否かにより、文書データに対する改ざんの有無を判定する方法について説明したが、これに限定されない。例えば、ＭＦＰ１の記憶部２０にオリジナルの暗号鍵を保持させておき、鍵パーツから合成された暗号鍵とオリジナルの暗号鍵との比較に基づいて文書データに対する改ざんの有無を判定してもよい。

図１３は、実施形態１の処理シーケンスを示す図である。ユーザＸが自己の所有する文書データの符号化を要求し、ユーザＺが当該文書データの復号化を要求するものとする。符号化要求（ステップＳ１０）から鍵順序保存（ステップＳ１６）までがユーザＸの要求に対する処理であり、復号要求（ステップＳ１７）から復号済み文書データの受信（ステップＳ２９）までがユーザＺの要求に対する処理である。

ユーザＸによる文書データの符号化の要求に対する処理について説明する。ユーザＸは、文書データを送信して符号化部１２に文書データの符号化を要求する（ステップＳ１０）。かかる場合に、ユーザＸは、自身が所有する暗号鍵を抽出部１４に提供してもよい。また、ユーザＸは、参照を許可するユーザを指定（参照可能ユーザ情報）してもよい。

符号化部１２は、生成部１１によって生成された暗号鍵、又はユーザＸから提供された暗号鍵に基づいて文書ファイルの符号化を行う（ステップＳ１１）。生成部１１は、文書ファイルの符号化が完了した後、文書ファイルの符号化に使用した暗号鍵を分割し、複数の鍵パーツを生成する（ステップＳ１２）。

続いて、生成部１１は、暗号鍵を基に生成された複数の鍵パーツを並び替え、各鍵パーツの電子透かしを書き込む順序（鍵順序）を決定する（ステップＳ１３）。例えば、生成部１１は、暗号鍵を鍵パーツ（１）、鍵パーツ（２）、鍵パーツ（３）に分割した場合、例えば、ランダム「３、１、２」に並べ替え、鍵順序を決定する。続いて、生成部１１は、符号化済みの文書データと鍵パーツとともに電子透かし書込要求を書込部１３に送信する（ステップＳ１４）。書込部１３は、電子透かし書込要求を受信すると、決定された書込み順序で各鍵パーツの電子透かしを文書の各ページにそれぞれ書込む（ステップＳ１５）。例えば、鍵順序が「３、１、２」である場合、書込部１３は、文書（１）に鍵パーツ（３）、文書（２）に鍵パーツ（１）、文書（３）に鍵パーツ（２）の電子透かしを書き込む。

続いて、生成部１１は、文書データに鍵順序を対応付けて記憶部２０の結合順序テーブル２２に保存する（ステップＳ１６）。また、生成部１１は、ユーザＸにより参照を許可されたユーザを、文書データに対応付けて結合順序テーブルに記録する。また、生成部１１は、符号化された文書データを記憶部２０に記録する。

次に、ユーザＺによる文書データの復号化について説明する。ユーザＺは、ユーザＸにより符号化された文書データの復号化を要求する復号要求を抽出部１４に送信する（ステップＳ１７）。また、ユーザＺは、ユーザ認証に使用する自己のユーザ情報と、ユーザＸによって符号化された文書データを抽出部１４に送信する。なお、ユーザＺは、ＭＦＰ１によって記録された文書データの符号化を要求する場合、抽出部１４に符号化された文書データを送信しなくてもよい。

抽出部１４は、復号要求を受信した場合、符号化された文書データの１ページから電子透かしを検出する（ステップＳ１８）。続いて、抽出部１４は、検出した電子透かしから鍵パーツを取得する（ステップＳ１９）。続いて、抽出部１４は、電子透かしを検出する処理（ステップＳ１８）及び電子透かしから鍵パーツを取得する処理（ステップＳ１９）を文書データの次のページで行う。抽出部１４は、電子透かしを検出する処理（ステップＳ１８）及び電子透かしから鍵パーツを取得する処理（ステップＳ１９）を文書データの各ページで繰り返し実行する。

続いて、抽出部１４は、取得した鍵パーツとともに、鍵パーツを結合して暗号鍵を復元するための結合要求を、結合部１５に送信する（ステップＳ２１）。

結合部１５は、結合要求を受信すると、認証部１６に認証情報を送信する（ステップＳ２２）。認証部１６は、受信した認証情報に基づいてユーザＺをユーザ認証する。続いて、認証部１６は、ユーザ認証の結果を結合部１５に通知する（ステップＳ２３）。

結合部１５は、ユーザＺが正常に認証された場合、結合順序テーブル２２から文書データに対応する鍵順序を取得する（ステップＳ２４、Ｓ２５）。続いて、結合部１５は、取得した鍵順序に従って、各鍵パーツを結合することで暗号鍵を合成する（ステップＳ２６）。

結合部１５は、結合済みの暗号鍵を抽出部１４に送信する（ステップＳ２７）。続いて、抽出部１４は、暗号鍵と符号化された文書データともに、復号要求を復号部１７に送信する（ステップＳ２８）。復号部１７は、暗号鍵を使用して文書データを復号化し、復号済み文書データを生成する。続いて、復号部１７は、復号済み文書データをユーザＺに送信する（ステップＳ２９）。

＜利点＞
このように、鍵パーツの電子透かしを、ランダムな鍵順序で文書データの各ページに書込むことにより、第三者が文書データの全ページを入手したとしても、第三者は暗号鍵を結合する順序が分からないため、暗号鍵を復元できない。これにより、改ざんの検出に使用された暗号鍵の流出を防止することができる。

図１４は、実施形態１の利点を説明するための図である。例えば、ユーザＸは、文書（１）、文書（２）及び文書（３）で構成される文書データをＭＦＰ１で符号化する。ＭＦＰ１は、暗号鍵を鍵パーツ（１）、鍵パーツ（２）及び鍵パーツ（３）に分割する。ＭＦＰ１は、文書（１）に鍵パーツ（１）、文書（２）に鍵パーツ（３）、文書（３）に鍵パーツ（２）の電子透かしを書き込む。また、ＭＦＰ１は、鍵順序「１、３、２」を記憶部２０に記憶する。

かかる場合に、第三者Ｙが符号化された文書（１）、文書（２）及び文書（３）を不正に入手したものとする。第三者Ｙは、符号化された文書（１）、文書（２）及び文書（３）からそれぞれ鍵パーツを取得しても、鍵順序が分からないため、暗号鍵を復元することができない。

［実施形態２］
また、ＭＦＰ１は、文書データの復号化を要求するユーザに対して行ったユーザ認証が失敗した場合に、ユーザ認証の履歴をエラーログに記録してもよい。これにより、文書データを不正に利用しようとした第三者の追跡が可能となる。

図１５は、実施形態２の処理シーケンスを示す図である。ユーザＸは、文書データを送信して符号化部１２に文書データの符号化を要求する（ステップＳ３０）。続いて、符号化部１２は、生成部１１によって生成された暗号鍵に基づいて文書ファイルの符号化を行う（ステップＳ３１）。生成部１１は、文書ファイルの符号化が完了した後、文書ファイルの符号化に使用した暗号鍵を分割し、複数の鍵パーツを生成する（ステップＳ３２）。

続いて、生成部１１は、暗号鍵を基に生成された複数の鍵パーツを並び替え、各鍵パーツの電子透かしを書き込む順序を決定する（ステップＳ３３）。続いて、生成部１１は、符号化済みの文書ファイルと鍵パーツとともに電子透かし書込要求を書込部１３に送信する（ステップＳ３４）。書込部１３は、決定された書込み順序で各鍵パーツの電子透かしを文書の各ページにそれぞれ書込む（ステップＳ３５）。

続いて、生成部１１は、鍵順序を文書データに対応付けて記憶部２０の結合順序テーブル２２に保存する（ステップＳ３６）。

一方、ユーザＺは、ユーザＸにより符号化された文書データの復号化を要求する復号要求を抽出部１４に送信する（ステップＳ３７）。

抽出部１４は、復号要求を受信した場合、符号化された文書データの１ページから電子透かしを検出する（ステップＳ３８）。続いて、抽出部１４は、検出した電子透かしから鍵パーツを抽出する（ステップＳ３９）。続いて、抽出部１４は、電子透かしを検出する処理（ステップＳ３８）及び電子透かしから鍵パーツを抽出する処理（ステップＳ３９）を文書データの次のページで行う（ステップＳ４０）。抽出部１４は、電子透かしを検出する処理（ステップＳ１８）及び電子透かしから鍵パーツを抽出する処理（ステップＳ１９）を文書データの各ページで繰り返し実行する。

続いて、抽出部１４は、抽出した鍵パーツとともに、鍵パーツを結合する結合要求を結合部１５に送信する（ステップＳ４１）。

結合部１５は、結合要求を受信すると、認証部１６に認証情報を送信する（ステップＳ４２）。認証部１６は、受信した認証情報に基づいてユーザＺをユーザ認証する。続いて、認証部１６は、ユーザ認証の結果（認証ＮＧ）を結合部１５に通知する（ステップＳ４３）。

結合部１５は、ユーザＺが正常に認証されなかった場合、エラーログにユーザ情報を記録する（ステップＳ４４）。

このように、ユーザ認証に失敗した履歴を残すことにより、不正に文書データを復号化しようとした第三者を追跡することができ、セキュリティ機能が向上する。

［共通構成］
＜プロセスの構成＞
図１６は、本発明によるＭＦＰ１の一実施例のプロセスの構成を示す図である。ＭＦＰ１は、ソフトウェア群２と、エンジン部８３と、ハードウェア資源８４とを含むように構成される。

ＭＦＰ１は、アプリケーション層およびプラットフォームを起動する。例えばＭＦＰ１は、アプリケーション層およびプラットフォームのプログラムを、不揮発メモリや外部記憶手段に対応する外部記憶装置などから読み出し、読み出した各プログラムをメモリ領域に転送して起動する。エンジン３は、スキャン機能とプリンタ機能を備えており、ハードウェア資源８４は、エンジン３とデータのやり取りや各種機能を持ったＡＳＣＩ（Application Specific Integrated Circuit）である。

また、ソフトウェア群２は、ＵＮＩＸ（登録商標）などのオペレーティングシステム（以下、ＯＳという）上に起動されているアプリケーション層とプラットフォームとを含む。アプリケーション層は、プリンタ３１、コピー３２、ファックス３３およびスキャナ３４などの画像形成にかかるユーザサービスにそれぞれ固有の処理を行うプログラムを含む。

また、プラットフォームは、アプリケーション層からの処理要求を解釈してハードウェア資源８４の獲得要求を発生するコントロールサービス層と、１つ以上のハードウェア資源８４の管理を行ってコントロールサービス層からの獲得要求を調停するシステムリソースマネージャ（以下、ＳＲＭという）１３１と、ＳＲＭ１３１からの獲得要求に応じてハードウェア資源８４の管理を行うハンドラ層とを含む。

コントロールサービス層は、ネットワークコントロールサービス（以下、ＮＣＳという）４１、オペレーションパネルコントロールサービス（以下、ＯＣＳという）４２、ファックスコントロールサービス（以下、ＦＣＳという）４３、メモリコントロールサービス（以下、ＭＣＳという）４４、エンジンコントロールサービス（以下、ＥＣＳという）４５、デリバリーコントロールサービス（以下、ＤＣＳという）４６、サーティフィケイションアンドチャージコントロールサービス（以下、ＣＣＳという）４７、ログコントロールサービス（以下、ＬＣＳという）４８、ユーザインフォメーションコントロールサービス（以下、ＵＣＳという）４９、システムコントロールサービス（以下、ＳＣＳという）５０など、一つ以上のサービスモジュールを含むように構成されている。

なお、プラットフォームは予め定義されている関数により、アプリケーション層からの処理要求を受信可能とするＡＰＩ８１を有するように構成されている。ＯＳは、アプリケーション層およびプラットフォームの各ソフトウェアをプロセスとして並列実行する。

ＮＣＳ４１のプロセスは、ネットワークＩ／Ｏを必要とするアプリケーションに対して共通に利用できるサービスを提供するものであり、ネットワーク側から各プロトコルによって受信したデータを各アプリケーションに振り分けたり、各アプリケーションからのデータをネットワーク側に送信したりする際の仲介を行う。ＯＣＳ４２のプロセスは、オペレータと本体制御との間の情報伝達手段となるオペレーションパネルの制御を行う。

ＦＣＳ４３のプロセスは、アプリケーション層からＰＳＴＮまたはＩＳＤＮ網を利用したファックス送受信、バックアップ用のメモリで管理されている各種ファックスデータの登録／引用、ファックス読み取り、ファックス受信印刷などを行うためのＡＰＩを提供する。

ＭＣＳ４４のプロセスは、メモリの取得および開放、ＨＤＤの利用などのメモリ制御を行う。

ＥＣＳ４５のプロセスは、エンジン３、ハードウェア資源８４などのエンジン部の制御を行う。

ＤＣＳ４６のプロセスは、蓄積文書の配信などの制御を行う。ＣＣＳ４７は、認証と課金に関する制御を行う。ＬＣＳ４８は、ログ情報の管理と保持を行う。
ＵＣＳ４９は、ユーザ情報の管理を行うものである。

ＳＣＳ１３０のプロセスは、アプリケーション管理、操作部制御、システム画面表示、ＬＥＤ表示、ハードウェア資源管理、割り込みアプリケーション制御などの処理を行う。

ＳＲＭ１３１のプロセスは、ＳＣＳ１３０と共にシステムの制御およびハードウェア資源８４の管理を行うものである。例えばＳＲＭ１３１のプロセスは、エンジン３に含まれるPlotterやハードウェア資源８４などを利用する上位層からの獲得要求に従って調停を行い、実行制御する。

具体的に、ＳＲＭ１３１のプロセスは獲得要求されたハードウェア資源８４が利用可能であるか（他の獲得要求により利用されていないかどうか）を判定し、利用可能であれば獲得要求されたハードウェア資源８４が利用可能である旨を上位層に通知する。また、ＳＲＭ１３１のプロセスは上位層からの獲得要求に対してハードウェア資源８４を利用するためのスケジューリングを行い、要求内容（例えば、プリンタエンジンによる紙搬送と作像動作、メモリ確保、ファイル生成など）を直接実施している。

また、ハンドラ層は、ハードウェア資源８４に含まれるファックスコントロールユニットの管理を行うファックスコントロールユニットハンドラ（以下、ＦＣＵＨという）１４１と、プロセスに対するメモリの割り振り及びプロセスに割り振ったメモリの管理を行うイメージメモリハンドラ（以下、ＩＭＨ１４２）とを含む。ＭＥＵ１４３は画像変換関連の制御をおこなう。ＳＲＭ１３１およびＦＣＵＨ１４１は、予め定義されている関数によりハードウェア資源８４に対する処理要求を送信可能とするエンジンＩ／Ｆ７２を利用して、ハードウェア資源８４に対する処理要求を行う。

＜ハードウェア構成＞
図１７は、本発明によるＭＦＰ１のハードウェア構成の例を示す図である。ＭＦＰ１は、コントローラ６０と、オペレーションパネル７０と、ＦＣＵ（Fan Coil Unit）８０と、エンジン部８３と、ＵＳＢ（Universal Serial Bus）デバイス９０と、ＭＬＢ１００と、を含む。また、コントローラ６０は、ＣＰＵ６１と、システムメモリ６２と、ＨＤＤ（Hard Disc）６３、ＡＳＩＣ６４と、ＴＰＭ（Trusted Platform Module）(暗号化)チップ６６と、を含む。

オペレーションパネル７０は、コントローラ６０のＡＳＩＣ６４に接続されている。また、ＭＬＢ１００、ＦＣＵ８０、ＵＳＢデバイス９０、エンジン部（スキャナ/プロッタエンジンを含む）８３は、コントローラ６０のＡＳＩＣ６４にデータ転送バス６５で接続されている。

ＣＰＵ６１は、ＭＦＰ１の全体制御を行うものである。ＣＰＵ６１は、ＮＣＳ４１、ＯＣＳ４２、ＦＣＳ４３、ＭＣＳ４４、ＥＣＳ４５、ＤＣＳ４６、ＣＣＳ４７、ＬＣＳ４８、ＵＣＳ４９、ＳＣＳ１３０、ＳＲＭ１３１、ＦＣＵＨ１４１、ＩＭＨ１４２及びＭＥＵ１４３をＯＳ上にそれぞれプロセスとして起動して実行させると共に、アプリケーション層を形成するプリンタアプリ３１、コピーアプリ３２、ファックスアプリ３３、スキャナアプリ３４を起動して実行させる。

一例として、画像の読み取りは、コピーアプリ１１２及びファックスアプリ１１３、スキャナアプリ１１４にて要求が発生し、プラットフォームを通じて、ハードウェア資源８４を使用して画像の読み取りを行う。読み取った画像は、システムメモリ６２に入力され、アプリからの設定もしくは機器設定によりＴＰＭチップ６６を通じて、暗号化されＨＤＤ６３に記録される。ＴＭＰチップの暗号キーはＴＭＰチップ自身で管理されており、外部からの攻撃にも強いという特徴を持つ。そのため、ＨＤＤ６３の盗難やデータの解析による情報流出のリスクが低い。

なお、ＭＦＰ１は、画像処理装置の一例である。電子透かしは、改ざん検出情報の一例である。

１ ＭＦＰ
１０ 処理部
１１ 生成部
１２ 符号化部
１３ 書込部
１４ 抽出部
１５ 結合部
１６ 認証部
１７ 復号部
２０ 記憶部
２１ 鍵記憶領域
２２ 結合順序テーブル
２３ 認証テーブル

特開２００６−０７４５７０号公報

Claims (7)

1. データの復号化に使用する鍵を分割させた複数の鍵パーツを生成する生成部と、
   前記生成部により生成された各鍵パーツに基づいて作成された改ざん検出情報を、前記データに書込む書込部と、
   前記鍵パーツの結合順序を記憶する記憶部と、を有する画像処理装置。
2. 前記データの復号化の要求を受信した場合に、前記データに書込まれた改ざん検出情報から鍵パーツを抽出する抽出部と、
   前記結合順序にしたがい前記鍵パーツを結合して前記鍵を合成する結合部と、
   合成された前記鍵を用いて前記データを復号する復号部と、をさらに有する請求項１に記載の画像処理装置。
3. 前記データの復号化の要求を送信したユーザに対し、認証を行う認証部をさらに有し、
   前記認証部は、認証に失敗した履歴を前記記憶部に記憶する請求項２に記載の画像処理装置。
4. 前記書込部は、前記データのページ毎に、各鍵パーツをそれぞれ書き込む請求項１〜３のいずれか一項に記載の画像処理装置。
5. 前記書込部は、各鍵パーツの電子透かしを前記データに書込む請求項１〜４のいずれか一項に記載の画像処理装置。
6. コンピュータに、
   データの復号化に使用する鍵を分割させた複数の鍵パーツを生成するステップと、
   前記生成するステップで生成された各鍵パーツに用いて作成された改ざん検出情報を、前記データに書込むステップと、
   前記鍵パーツの結合順序を記憶部に記憶するステップと、を実行させるプログラム。
7. データの復号化に使用する鍵を分割させた複数の鍵パーツを生成するステップと、
   前記生成するステップで生成された各鍵パーツに用いて作成された改ざん検出情報を、前記データに書込むステップと、
   前記鍵パーツの結合順序を記憶部に記憶するステップと、をコンピュータが実行する方法。

Images