JP2024024444A - 印刷装置、印刷装置の制御方法、プログラム - Google Patents

Abstract

【課題】簡易な手法によって、メモリに残留しているデータの復元を困難にする技術を提供することを目的とする。【解決手段】印刷装置は、外部装置から送信されたファイルを受信する受信手段と、外部装置が所定のサーバである場合、ファイルに含まれているデータを保存する揮発性メモリと、データを保存している揮発性メモリのセクタが無効になっている場合、揮発性メモリにおける容量の限界までセクタに保存されているデータをダミーデータに書き換える上書き手段と、を備えることを特徴とする。【選択図】図５

Description

本開示は、印刷装置、印刷装置の制御方法、プログラムに関する。

特許文献１には、ファイルを管理する際に、ＲＡＭをＲＡＭＤＩＳＫとして使用する技術が開示されている。一般的に、ファイルを管理する際には、ファイルシステムが使用される。ファイルシステムでは、ファイルに含まれているデータの保存領域が、「セクタ」と呼ばれる単位ごとに分割され、ファイルは、セクタ群により管理されている。

ところで、近年、ユーザの端末装置から送信された画像データを印刷装置によってすぐに印刷出力せず、ユーザが印刷装置の前でログイン認証をしてから印刷指示を入力することで、初めて印刷出力が行われるサービスが提供されている。この様なサービスは、データセキュリティの観点から、「セキュア印刷サービス」と呼ばれている。「セキュア印刷サービス」では、機密性を有するデータ（「機密データ」ともいう。）を含むファイルが、サーバから印刷装置に転送されることがある。

また、「セキュア印刷サービス」では、印刷装置から、ファイルを消去する際に、そのファイルに含まれていたデータを復元することができないように完全に消去することが望まれている。

特開２０１８－１２４７１７号公報

ところが、ファイルを消去する際に、ファイルシステムの管理上、ファイルが消去されたように見えたとしても、実際には、そのファイルに含まれているデータが、揮発性メモリに残留していることがあった。

また、ＲＡＭをＲＡＭＤＩＳＫとして使用している際に、そのＲＡＭに残留しているデータを完全に消去するには、ファイルシステムドライバに手を加えなければならず、煩雑である。

そこで、本開示は、従来より簡易な手法によって、揮発性メモリに残留しているデータの復元を困難にする技術を提供することを目的とする。

上記目的を達成するため、本開示の印刷装置は、外部装置から送信されたファイルを受信する受信手段と、前記外部装置が所定のサーバである場合、前記ファイルに含まれているデータを保存する揮発性メモリと、前記データを保存している前記揮発性メモリのセクタが無効になっている場合、前記揮発性メモリにおける容量の限界まで前記セクタに保存されている前記データをダミーデータに書き換える上書き手段と、を備える、ことを特徴とする。

本開示の技術によれば、従来より簡易な手法によって、揮発性メモリに残留しているデータの復元を困難にすることができる。

一実施形態における印刷システムの構成の一例を示す図である。 一実施形態におけるデータのフローを示す図である。 一実施形態における第１の保存領域の模式図である。 一実施形態におけるフローチャートを示す図である。 一実施形態におけるフローチャートを示す図である。 一実施形態におけるフローチャートを示す図である。 一実施形態における第１の保存領域の模式図である。 一実施形態におけるフローチャートを示す図である。

以下、本発明の実施の形態について図面を参照して説明する。尚、以下の実施形態は特許請求の範囲に係る本発明を限定するものでなく、また本実施形態で説明されている特徴の組み合わせの全てが本発明の解決手段に必須のものとは限らない。尚、同一の構成要素には同一の参照番号を付して、説明を省略する。

［第１の実施形態］
＜システムの全体構成＞
図１は、本実施形態における印刷システムの構成の一例を示す図である。

図１に示す様に、本実施形態における印刷システムは、印刷装置１００と、第１のサーバ１０１と、第２のサーバ１０２と、を備える。印刷装置１００、第１のサーバ１０１、及び、第２のサーバ１０２は、ネットワークを介して接続されており、互いに所定のデータ含むファイルを送受信することが可能である。第１のサーバ１０１及び第２のサーバ１０２は、端末装置（不図示）からのリクエストに応じて、所定のサービスを提供することができる外部装置である。

第１のサーバ１０１が提供するサービスの一例として、「セキュア印刷サービス」が挙げられる。つまり、第１のサーバ１０１は、画像データ、及び、機密データを含む印刷ジョブを送受信することが可能である。機密データの例として、「セキュア印刷サービス」を利用するユーザのＩＤ、パスワード、「セキュア印刷サービス」の構成、及び、第１のサーバ１０１のＩＰアドレス等が挙げられる。「セキュア印刷サービス」では、ユーザの端末装置が送信した印刷ジョブは、まず、第１のサーバ１０１に送信される。続いて、当該印刷ジョブが、第１のサーバ１０１から印刷装置１００に転送される。そして、ユーザが印刷装置１００の前でログイン認証をしてから印刷指示を入力することで、初めて印刷出力が行われる。

一方、第２のサーバ１０２は、印刷装置１００に印刷ジョブを送信することが可能であるが、「セキュア印刷サービス」を提供していない。つまり、第２のサーバ１０２から印刷装置１００に送信されるファイルに機密データが含まれている可能性は、第１のサーバ１０１よりも低い。従って、第１のサーバ１０１から印刷装置１００に送信されるファイルは、第２のサーバ１０２から印刷装置１００送信されるファイルよりも機密データを含んでいる可能性が高いと言える。

印刷装置１００は、ＣＰＵ１０３と、ＲＯＭ１０４と、ＲＡＭ１０５と、第１の不揮発性メモリ１０６と、プリンタユニット１０７と、を備える。更に、印刷装置１００は、第２の不揮発性メモリ１０８と、コントローラ１０９と、表示操作部１１０と、ネットワークドライバ１１１と、ネットワークＩ／Ｆ１１２と、を備える。

ＣＰＵ１０３は、印刷装置１００を制御する機能を有する。そして、プリンタユニット１０７は、印刷出力を行う機能を有する。ＲＯＭ１０４には、印刷装置１００の制御実行コード（プログラム）が、保存されている。更に、ＲＯＭ１０４には、第１のサーバ１０１から送信されたデータを印刷する際に動作するアプリケーションと、ファイルの管理に用いるプログラムであるファイルシステムとが保存されている。本実施形態では、ＲＯＭ１０４には、ＲＡＭ１０５をＲＡＭＤＩＳＫとして使用するためのアプリケーションが保存されている。ＲＡＭ１０５は、印刷に用いられる画像データを一時的に保存したり印刷装置１００の制御に関するデータを一時的に保存したりする保存部として機能する。本実施形態におけるＲＡＭ１０５は、ＲＡＭＤＩＳＫとして使用することができる。第１の不揮発性メモリ１０６は、印刷装置１００の保守に必要な各種情報を保存する。第１の不揮発性メモリ１０６の例として、ＮＶＲＡＭが挙げられる。

第２の不揮発性メモリ１０８は、プリンタユニット１０７の印刷に用いられる画像データを保存する。本実施形態における第２の不揮発性メモリ１０８は、画像データ以外にも、第１のサーバ１０１及び第２のサーバ１０２から送信された、第１のサーバ１０１及び第２のサーバ１０２が提供するサービスに関する、各種のデータを保存する。第２の不揮発性メモリ１０８の例として、ＮＡＮＤ型フラッシュメモリが挙げられる。

印刷装置１００は、ＬＣＤ、ＬＥＤ、キー、又はタッチパネル等のユーザインターフェースとしての機能を有する表示操作部１１０を備える。表示操作部１１０を用いて、ユーザによる印刷装置１００の各機能の実行操作又は設定操作等が行われる。コントローラ１０９は、表示操作部１１０とＣＰＵ１０３との間で、これらの操作指示の伝達および表示内容の制御を行う。印刷装置１００は、外部接続機器と接続するためのネットワークＩ／Ｆ１１２を有する。ＣＰＵ１０３は、ネットワークドライバ１１１を介して、ネットワークＩ／Ｆ１１２と接続される。ネットワークＩ／Ｆ１１２によって、第１のサーバ１０１又は第２のサーバ１０２等の外部装置と印刷装置１００との間で印刷の実行指示及び印刷ジョブを含むファイルの送受信等が行われる。

図２は、本実施形態におけるデータのフローを示す図である。

図２に示す様に、ＲＯＭ１０４には、セキュア印刷アプリケーション２００が保存されている。セキュア印刷アプリケーション２００は、ネットワークＩ／Ｆ１１２を介して、第１のサーバ１０１又は第２のサーバ１０２と、所定のデータを含むファイルの送受信を行う機能を有する。

また、セキュア印刷アプリケーション２００は、第１のサーバ１０１とデータの送受信を行うことで、「セキュア印刷サービス」の提供時における、ログイン認証、印刷ジョブの取得、及び、印刷リクエストの取得等を行う機能を有する。「セキュア印刷サービス」を利用するユーザは、表示操作部１１０に一時的に表示されたユーザインターフェースを利用して、ログイン認証、及び、印刷ジョブの選択等の操作をすることができる。

また、ＲＡＭ１０５は、第１のサーバ１０１から送信されたデータを一時的に保存する第１の保存領域２０１と、第２のサーバ１０２から送信されたデータを一時的に保存する第２の保存領域２０２と、を備える。第１の保存領域２０１及び第２の保存領域２０２は、ＲＡＭＤＩＳＫとして使用することが可能である。

また、本実施形態では、印刷装置１００が、第１のサーバ１０１又は第２のサーバ１０２から所定のデータを含むファイルを受信したことをトリガとして、セキュア印刷アプリケーション２００が動作する。セキュア印刷アプリケーション２００が動作している場合、ＣＰＵ１０３は、印刷装置１００にデータを送信したサーバの種類に応じて、処理を振り分ける。サーバの種類の種類を判定する手法は、公知技術を用いることができる。例えば、ＣＰＵ１０３は、受信したファイルに含まれているＩＰアドレスが、予め第２の不揮発性メモリ１０８に保存されている第１のサーバ１０１のＩＰアドレスと一致する場合、第１のサーバ１０１からデータが送信されたと判定する。印刷装置１００にファイルを送信したサーバが第１のサーバ１０１である場合、ＣＰＵ１０３は、当該ファイルに含まれているデータを第１の保存領域２０１に一時的に保存する。この際、ファイルが第１の保存領域２０１に一時的に保存されたことを示すデータが、当該ファイルに付加される。

他方、印刷装置１００にファイルを送信したサーバが第２のサーバ１０２である場合、ＣＰＵ１０３は、当該ファイルに含まれているデータを第２の保存領域２０２に一時的に保存する。この際、ファイルが第２の保存領域２０２に一時的に保存されたことを示すデータが、当該ファイルに付加される。以下、ＲＡＭ１０５に一時的にデータを保存する際に選択された領域を示すデータを「保存領域データ」と呼ぶ。

ここで、第２の保存領域２０２の容量は、第１の保存領域２０１の容量より大きい方が好ましい。つまり、第１の保存領域２０１の容量は、第２の保存領域２０２の容量より小さい方が好ましい。本実施形態では、第１のサーバ１０１から送信されたファイルに含まれているデータを当該データに関連しないダミーデータに書き換える処理（以下、「上書き処理」と呼ぶ）が、第１の保存領域２０１にて、実行される。「上書き処理」を実行するために必要となる時間は、保存領域の残容量に比例する。

従って、第１の保存領域２０１の容量は、「上書き処理」を実行することができる大きさを限度として、必要最小限の大きさであることが望ましい。このような構成によれば、第１の保存領域２０１の容量と第２の保存領域２０２の容量とが、等しい場合に比べると、「上書き処理」にかかる掛かる負荷を小さくすることができる。

最後に、ＣＰＵ１０３は、ファイルを送信したサーバの種類に関わらず、当該ファイルに含まれているデータを、ＲＡＭ１０５に電力が供給されなくなる時点よりも前の時点で、第２の不揮発性メモリ１０８に保存する。つまり、ファイルに含まれているデータが、第１の保存領域２０１又は第２の保存領域２０２の何れに一時的に保存されたかに関わらず、当該データは、第２の不揮発性メモリ１０８に保存される。例えば、印刷装置１００の電源がシャットダウンする時点よりも前の時点で、ファイルに含まれているデータは、第２の不揮発性メモリ１０８に保存される。尚、印刷装置１００が受信したファイルに含まれるデータは、第１の不揮発性メモリ１０６に保存されてもよい。

また、印刷装置１００が起動する際には、第２の不揮発性メモリ１０８に保存されているデータが、ＲＡＭ１０５にコピーされ、一時的に保存される。この際、第１の保存領域２０１又は第２の保存領域２０２の何れにデータが一時的に保存されるかは、印刷装置１００が受信したファイルに付加された「保存領域データ」に基づいて決まる。「保存領域データ」が、第１の保存領域２０１に一時的に保存されたことを示している場合、第２の不揮発性メモリ１０８に保存されているデータは、第１の保存領域２０１にコピーされ、一時的に保存される。他方、「保存領域データ」が、第２の保存領域２０２に一時的に保存されたことを示している場合、第２の不揮発性メモリ１０８に保存されているデータは、第２の保存領域２０２にコピーされ、一時的に保存される。

＜上書き処理＞
一般的には、揮発性メモリに一時的に保存されているデータは、その揮発性メモリに電力が供給されなくなることで、完全に消去される。これに鑑みると、一般的な印刷装置が、揮発性メモリに一時的に保存されているデータを完全に消去（「セキュア消去」ともいう。）する機能を備えていることは、極めて稀であるといえる。加えて、揮発性メモリに一時的に保存されているデータを完全に消去するには、ファイルシステムに手を加えなければならず、煩雑である。

そこで、本実施形態における印刷装置１００は、ファイルを消去する際、ＲＡＭ１０５に設けられた第１の保存領域２０１のセクタに残留しているデータを、そのデータに関連しないダミーデータに書き換える。これにより、セクタに残留しているデータを完全に消去することが困難な場合であっても、データセキュリティは確保される。

尚、セクタとは、ファイルシステムが記憶媒体（例えば、ＲＡＭ１０５）を分割して管理する際の単位である。セクタは、一般的には、５１２バイト等の固定値に設定されている。ファイルシステムは、複数のセクタからなるセクタ群を使用してファイル及びディレクトリを構成する。各セクタには、ヘッダデータが付加されている。セクタに付加されているヘッダデータには、そのセクタ群では、どのファイルを管理しているか、又は、そのセクタ群に含まれているセクタが使用されているか否か等を判定するためのデータが含まれる。

ファイルに含まれているデータ保存しているセクタを示すデータは、ファイルシステムによって管理されている。ファイルシステムは、ファイルを物理ディスク上における何れの領域に保存するかを定める際、ファイルを保存する領域を定めた後、当該ディスク上のセクタを決めて、そのセクタから連続して、そのファイルに含まれているデータを保存する。尚、連続したセクタの途中に、既に使用されているセクタがある場合は、そのセクタを飛ばして、不連続となる別のセクタにデータが保存されることもある。本実施形態では、ファイルがＲＡＭ１０５に一時的に保存される場合、メモリにおいて、そのファイルを管理するセクタ群が決まり、そのファイルに含まれているデータは、そのセクタ群の最初のセクタから連続して一時的に保存される。尚、これらのファイルは、当該ファイルを管理するセクタの場所を示すアドレスに一時的に保存されてもよい。

図３は、本実施形態における第１の保存領域２０１の模式図である。図３（ａ）～図３（ｅ）では、有効（つまり、活性状態）となっているセクタをホワイトで示している。他方、無効（つまり、非活性状態）となっているセクタをグレーで示している。

図３（ａ）は、ファイルが消去される際に、ファイルが第１の保存領域２０１に一時的に保存されている状態を示す図である。図３（ａ）に示す様に、第１の保存領域２０１は、第１のセクタ群３０１と、第２のセクタ群３０２と、第３のセクタ群３０３と、第４のセクタ群３０４と、第５のセクタ群３０５と、を備える。図示した例では、消去対象のデータ含むファイルが、第２のセクタ群３０２にコピーされている。他方、消去対象ではないデータ含むファイルは、第４のセクタ群３０４にコピーされている。

図３（ｂ）は、図３（ａ）の状態から、ファイルを消去したことを示すフラグが、第２のセクタ群３０２の各セクタに対して設定された状態を示す図である。例えば、セキュア印刷アプリケーション２００を使用してファイルを消去した場合、ファイルシステムは、そのファイルがコピーされているセクタ群のセクタに、ファイルを消去したことを示すフラグを設定する。そうすると、そのフラグを設定されたセクタを含むセクタ群が、無効（つまり、非活性状態）になる。図示した例では、第２のセクタ群３０２の各セクタが、活性状態から非活性状態に変わっている。但し、ここでは、第２のセクタ群３０２の各セクタは無効になっているが、第２のセクタ群３０２の各セクタには、まだ、消去対象のデータが残留している。つまり、この時点では、ファイルシステムの管理上、第２のセクタ群３０２の各セクタからデータが消去されているように見えるが、実際には、消去対象のデータが残留している。そこで、本実施形態では、セクタに残留しているデータを、当該データに関連しないダミーデータに書き換える「上書き処理」が実行される。

図３（ｃ）は、図３（ｂ）に示した状態から、非活性状態のセクタが活性状態に変わった様子を示す図である。図示する様に、この時点では、第１の保存領域２０１における全てのセクタが有効となる。

図３（ｄ）は、ダミーファイルが作成され、保護されていないセクタ群にダミーファイルがコピーされ、そのダミーファイルにダミーデータが書き込まれた状態を示す図である。図示した例では、第４のセクタ群３０４以外のセクタ群にダミーファイルがコピーされ、第４のセクタ群３０４以外の各セクタに、ダミーデータが書き込まれている。ダミーデータの一例として、数字の「０」が挙げられる。図示する様に、第４のセクタ群３０４の各セクタは保護されており、第４のセクタ群３０４の各セクタに対して、「上書き処理」は、実行されない。尚、消去対象ではないデータを保存しているセクタを保護する手法は、公知技術を用いればよい。「上書き処理」に使用されるダミーデータは、第１の保存領域２０１の容量の限界となるまで書き込まれる。第１の保存領域２０１の容量の限界まで、ダミーファイルにダミーデータが書き込まれた後、当該ダミーファイルは、ファイルシステムにより、クローズされる。その後、当該ダミーファイルは、ファイルシステムにより、消去される。そして、ダミーファイルを消去したことを示すフラグが、ファイルシステムにより、ダミーファイルを管理しているセクタ群のセクタに付加される。

図３（ｅ）は、図３（ｄ）の状態から、ダミーファイルを消去したことを示すフラグが、ダミーファイルを管理しているセクタ群のセクタに付加された状態を示す図である。図示する様に、この時点では、第４のセクタ群３０４以外におけるセクタ群の各セクタが、無効となっている。つまり、この時点では、ファイルシステムの管理上、ダミーファイルは削除されたように見えるが、実際には、第４のセクタ群３０４以外のセクタ群の各セクタには、ダミーデータが残留している状態となる。

この様な構成によれば、仮に、ＲＡＭ１０５が解析されたとしても、消去対象のデータは、ダミーデータに上書きされている。このため、元の消去対象のデータを復元することは、困難となる。即ち、本実施形態の構成によれば、消去対象のデータを消去する代わりに、ダミーデータに上書きすることで、データセキュリティが確保される。

＜新規ファイルを保存する場合＞
図４は、印刷装置１００が、新規のデータを含む新規ファイルを受信してから当該データを第２の不揮発性メモリ１０８に保存するまでの処理を示すフローチャートである。尚、図４のフローチャートに示される一連の処理は、ＣＰＵ１０３がＲＯＭ１０４等に保存されているセキュア印刷アプリケーション２００をＲＡＭ１０５に展開し、実行することにより行われる。各処理の説明における記号「Ｓ」は、当該フローチャートにおけるステップを意味する。尚、図４以外のその他のフローチャートについても同様である。

Ｓ４０１において、ＣＰＵ１０３は、サーバから新規のデータ含む新規ファイルを受信する。Ｓ４０２において、ＣＰＵ１０３は、印刷装置１００に新規ファイルを送信したサーバの種類に応じて処理を振り分ける。印刷装置１００に新規ファイルを送信したサーバが第１のサーバ１０１である場合、ＣＰＵ１０３は、Ｓ４０３の処理を実行する。一方、印刷装置１００に新規ファイルを送信したサーバが第１のサーバ１０１ではない場合、ＣＰＵ１０３は、Ｓ４０５の処理を実行する。

Ｓ４０３において、ＣＰＵ１０３は、新規ファイルに含まれているデータを第１の保存領域２０１に一時的に保存する。ＣＰＵ１０３は、新規ファイルに含まれているデータを第１の保存領域２０１に一時的に保存すると、Ｓ４０４の処理を実行する。Ｓ４０４において、ＣＰＵ１０３は、新規ファイルに含まれているデータが第１の保存領域２０１に一時的に保存されたことを示す保存領域データを新規ファイルに付加する。ＣＰＵ１０３は、新規ファイルに上記の保存領域データを付加すると、Ｓ４０７の処理を実行する。

Ｓ４０５において、ＣＰＵ１０３は、新規ファイルに含まれているデータを第２の保存領域２０２に一時的に保存する。この場合、新規ファイルは、第１のサーバ１０１以外のサーバから送信されており、本実施形態における上書き処理が必要ないためである。ＣＰＵ１０３は、新規ファイルに含まれているデータを第２の保存領域２０２に一時的に保存すると、Ｓ４０６の処理を実行する。Ｓ４０６において、ＣＰＵ１０３は、新規ファイルに含まれているデータが第２の保存領域２０２に一時的に保存されたことを示す保存領域データを新規ファイルに付加する。ＣＰＵ１０３は、新規ファイルに上記の保存領域データを付加すると、Ｓ４０７の処理を実行する。

Ｓ４０７において、ＣＰＵ１０３は、保存領域データが付加された新規ファイルを第２の不揮発性メモリ１０８に保存する。つまり、新規ファイルが、第２の不揮発性メモリ１０８に新しく追加される。ＣＰＵ１０３は、新規ファイルを第２の不揮発性メモリ１０８に保存すると、本フローチャートにおける一連の処理を終了する。尚、新規ファイルは、第１の不揮発性メモリ１０６に保存されてもよい。

以上が、印刷装置１００が、サーバから新規ファイルを受信して、不揮発性メモリに保存するまでの全体的な制御の内容である。尚、印刷装置１００に、新規ファイルが追加される場合には、「上書き処理」は実行されない。

＜保存されているデータを消去する場合＞
図５は、本実施形態におけるファイルを受信してから上書き処理が実行されるまでの処理を示すフローチャートである。ここでは、印刷装置１００が印刷ジョブを受信した例を挙げて説明するが、印刷装置１００が受信するファイルの種類は、ファイルシステムを使用した削除の対象となり得る限りにおいて印刷ジョブに限られない。

Ｓ５０１において、ＣＰＵ１０３は、サーバから所定のデータ含む印刷ジョブを受信する。Ｓ５０２において、ＣＰＵ１０３は、印刷ジョブを第２の不揮発性メモリ１０８に保存する。尚、印刷ジョブの保存場所は、第１の不揮発性メモリ１０６でもよい。

Ｓ５０３において、ＣＰＵ１０３は、ユーザによる印刷指示の入力があったか否かによって処理を振り分ける。ユーザによる印刷指示の入力があった場合、ＣＰＵ１０３は、Ｓ５０４の処理を実行する。一方、ユーザによる印刷指示の入力が無い場合、ＣＰＵ１０３は、ユーザによる印刷指示を待つ。Ｓ５０４において、ＣＰＵ１０３は、ユーザにより印刷指示が入力された印刷ジョブの印刷出力を実行する。

Ｓ５０５において、ＣＰＵ１０３は、印刷装置１００に印刷ジョブを送信したサーバの種類に応じて処理を振り分ける。印刷装置１００に印刷ジョブを送信したサーバが第１のサーバ１０１である場合、ＣＰＵ１０３は、Ｓ５０６の処理を実行する。一方、印刷装置１００に印刷ジョブを送信したサーバが第１のサーバ１０１ではない場合、ＣＰＵ１０３は、Ｓ５０８の処理を実行する。

Ｓ５０６において、ＣＰＵ１０３は、第２の不揮発性メモリ１０８に保存されている印刷ジョブを第１の保存領域２０１に一時的に保存する。つまり、本ステップでは、ユーザにより印刷指示が入力された印刷ジョブが、ＲＡＭ１０５の第１の保存領域２０１にコピーされる。尚、印刷ジョブを第１の保存領域２０１にコピーする際には、当該印刷ジョブに含まれる保存領域データが参照される。ＣＰＵ１０３は、保存領域データが、第１の保存領域２０１に一時的に保存されたことがあることを示している場合、印刷ジョブを第１の保存領域２０１にコピーする。ＣＰＵ１０３は、印刷ジョブを第１の保存領域２０１に一時的に保存すると、Ｓ５０７の処理を実行する。

Ｓ５０７において、ＣＰＵ１０３は、第１の保存領域２０１における印刷出力が完了した印刷ジョブを管理しているセクタ群の各セクタを無効にする。本ステップの処理の終了後、ＣＰＵ１０３は、Ｓ５１０の処理を実行する。

Ｓ５０８において、ＣＰＵ１０３は、印刷ジョブを第２の保存領域２０２に保存する。Ｓ５０９において、ＣＰＵ１０３は、第２の保存領域２０２における印刷ジョブを管理しているセクタ群を無効にする。本ステップの処理の終了後、ＣＰＵ１０３は、Ｓ５１０の処理を実行する。

Ｓ５１０において、ＣＰＵ１０３は、「上書き処理」を実行する。本ステップの詳細については、図６を用いて後述する。ＣＰＵ１０３は、「上書き処理」を実行し終えると、本フローチャートにおける一連の処理を終了する。

以上が、印刷装置１００が、印刷ジョブを受信してから「上書き処理」を実行するまでの全体的な制御の内容である。

＜上書き処理の詳細＞
続いて、図５のフローチャートの過程で実行されるサブルーチンについて説明する。Ｓ５１０で実行される「上書き処理」の詳細について、図６のフローチャートに沿って説明する。

図６は、本実施形態における「上書き処理」の処理を示すフローチャートである。

Ｓ６０１において、ＣＰＵ１０３は、ダミーファイルを作成し、第１の保存領域２０１における保護されていないセクタ群にダミーファイルを一時的に保存する。Ｓ６０２において、ＣＰＵ１０３は、消去パターンとして定義したダミーデータをダミーファイルに書き込む。つまり、本ステップでは、保護されていない全てのセクタ群の各セクタにダミーデータが書き込まれる。

Ｓ６０３において、ＣＰＵ１０３は、第１の保存領域２０１における容量の限界まで、ダミーファイルにダミーデータを書き込んだか否かを判定する。例えば、標準Ｃライブラリにて、「ＥＮＯＳＰＣ」というエラーが発生した場合、ダミーデータが、第１の保存領域２０１の容量の限界まで、ダミーファイルに書き込まれたと判定される。ＣＰＵ１０３が、第１の保存領域２０１の容量の限界まで、ダミーファイルにダミーデータを書き込んだと判定した場合、ＣＰＵ１０３は、Ｓ６０４の処理を実行する。一方、ＣＰＵ１０３が、第１の保存領域２０１の容量の限界まで、ダミーファイルにダミーデータを書き込んでいないと判定した場合、ＣＰＵ１０３は、再びＳ６０２の処理を実行する。

Ｓ６０４において、ＣＰＵ１０３は、ダミーファイルに対するダミーデータの書き込みを止め、ダミーファイルをクローズする。ＣＰＵ１０３は、ダミーファイルをクローズすると、Ｓ６０５の処理を実行する。Ｓ６０５において、ＣＰＵ１０３は、ダミーファイルを管理しているセクタ群の各セクタを無効にする。ＣＰＵ１０３は、ダミーファイルを管理しているセクタ群の各セクタを無効にすると、本フローチャートにおける一連の処理を終了する。

以上が、本実施形態における上書き処理の内容である。上述した通り、本実施形態では、ＲＡＭＤＩＳＫとして使用されるＲＡＭ１０５に対し、一般的なファイル操作（オープン、書き込み、クローズ、消去）を実行することによって、ダミーデータを上書きしている。

本実施形態のような構成であれば、セキュア消去の代替処理として、揮発性メモリに残留している消去対象のデータを、そのデータに関連しないダミーデータに上書きすることができる。従って、揮発性メモリに残留している消去対象のデータを正しく読み出すことが困難となり、データセキュリティを確保することができる。よって、本開示の技術によれば、従来より簡易な手法によって、揮発性メモリに残留しているデータの復元を困難にすることができる。

尚、データがＲＡＭ１０５に残留することがあり得る場合として想定されるのは、ファイルシステムによるファイル消去が実行される場合である。つまり、第２の不揮発性メモリ１０８に保存されているデータが消去又は更新される場合、データがＲＡＭ１０５に残留し得る。このため、本実施形態では、第２の不揮発性メモリ１０８に、新規ファイルが追加される場合は、上書き処理が実行されないようにしている。つまり、本実施形態では、第１のサーバ１０１から新規ファイルを受信することが、「上書き処理」のトリガとならないように制御されている。

［第２の実施形態］
本実施形態では、データを更新する場合であっても、従来より簡易な手法によって、機密データの復元を困難にすることを目的とする。

以下の説明において、第１の実施形態と同様の又は対応する構成については、同一の符号を付すとともに説明を省略し、異なる点を中心に説明する。以下、第１のサーバ１０１から印刷装置１００に、第２の不揮発性メモリ１０８に保存されているデータの更新指示が送信された場合を想定して説明する。ここでは、ユーザが新規にパスワードを設定し直し、古いパスワードが新しいパスワードに更新される場合を想定して説明する。

＜データを更新する場合＞
図７は、本実施形態における第１の保存領域２０１の模式図である。

図７（ａ）は、第２の不揮発性メモリ１０８に保存されているファイルが、第１の保存領域２０１にコピーされた状態を示す模式図である。ここでは、印刷装置１００が更新指示を受信した時点で、既に第２の不揮発性メモリ１０８に保存されているデータを「旧データ」と呼ぶ。図示した例では、コピーされた「旧データ」を含むファイルが、第１の保存領域２０１における第２のセクタ群３０２にて、管理されている。「旧データ」の例として、ユーザが、以前から使用していた古いパスワードが挙げられる。

図７（ｂ）は、図７（ａ）の状態から、旧データを含むファイルを管理しているセクタ群が無効になった状態を示す図である。図示した例では、旧データを含むファイルを管理している第２のセクタ群３０２が無効になっている。

図７（ｃ）は、図７（ｂ）に示した状態から、更新指示と共に送信されたデータを含むファイルを管理するセクタ群が有効になった状態を示す図である。ここでは、更新指示と共に送信されたデータを「新データ」と呼ぶ。「新データ」の例として、ユーザが、新規に設定した新しいパスワードが挙げられる。

図７（ｄ）は、図７（ｃ）に示した状態から、第１の保存領域２０１における全てセクタが有効になった状態を示す図である。

図７（ｅ）は、図７（ｄ）に示した時点で、保護されていないセクタ群において管理されているダミーファイルに「ダミーデータ」が書き込まれた状態を示す図である。尚、「新データ」を含むファイルを管理する第４のセクタ群３０４は、保護されている。このため、第４のセクタ群３０４では、「上書き処理」は実行されない。

図７（ｆ）は、図７（ｅ）の状態から、ダミーファイルを消去したことを示すフラグが、ダミーファイルを管理しているセクタ群に対して設定された状態を示す図である
従って、本実施形態のような構成によれば、セキュア消去の代替処理として、更新される旧データを保存している各セクタに対して、ダミーデータを上書きすることができる。例えば、ユーザが以前から使用していた古いパスワードをダミーデータに上書きすることができる。よって、セクタに残留している旧データが、ダミーデータに書き換えられることにより、旧データを正しく読み出すことが困難となる。これにより、セクタに残留しているデータのデータセキュリティを確保することができる。

図８は、印刷装置１００が、データの更新指示を受信してから上書き処理を実行するまでの処理を示すフローチャートである。

Ｓ８０１において、ＣＰＵ１０３は、サーバから第２の不揮発性メモリ１０８に保存されている旧データの更新指示と、更新内容を含む新データを含む更新用ファイルと、を受信する。Ｓ８０２において、ＣＰＵ１０３は、印刷装置１００に更新指示と更新用ファイルとを送信したサーバの種類に応じて処理を振り分ける。印刷装置１００に更新指示と更新用ファイルとを送信したサーバが第１のサーバ１０１である場合、ＣＰＵ１０３は、Ｓ８０３の処理を実行する。一方、印刷装置１００に更新指示と更新用ファイルとを送信したサーバが第１のサーバ１０１ではない場合、ＣＰＵ１０３は、Ｓ８０８の処理を実行する。

Ｓ８０３において、ＣＰＵ１０３は、第２の不揮発性メモリ１０８に保存されているファイルを第１の保存領域２０１に一時的に保存する。具体的には、第２の不揮発性メモリ１０８に保存されている旧データが、第１の保存領域２０１における旧データを含むファイルを管理するセクタ群の各セクタに、コピーされる。Ｓ８０４において、ＣＰＵ１０３は、旧データを含むファイルを管理している第１の保存領域２０１のセクタ群の各セクタを無効にする。Ｓ８０５において、ＣＰＵ１０３は、更新用ファイルを管理する第１の保存領域２０１のセクタ群の各セクタを有効にする。Ｓ８０６において、ＣＰＵ１０３は、第１の保存領域２０１の全てのセクタを有効にする。Ｓ８０７において、ＣＰＵ１０３は、「上書き処理」を実行する。尚、本ステップの内容は、図６に示した例と同様である。ＣＰＵ１０３は、「上書き処理」を実行し終えると、Ｓ８１１の処理を実行する。

Ｓ８０８において、ＣＰＵ１０３は、第２の不揮発性メモリ１０８に保存されているファイルを第２の保存領域２０２に一時的に保存する。具体的には、第２の不揮発性メモリ１０８に保存されている旧データが、第２の保存領域２０２における旧データを含むファイルを管理するセクタ群の各セクタに、コピーされる。Ｓ８０９において、ＣＰＵ１０３は、旧データを含むファイルを管理している第２の保存領域２０２のセクタ群の各セクタを無効にする。Ｓ８１０において、ＣＰＵ１０３は、更新用ファイルを管理する第２の保存領域２０２のセクタ群の各セクタを有効にして、新データを当該各セクタ一時的に保存する。

Ｓ８１１において、ＣＰＵ１０３は、第２の不揮発性メモリ１０８に、新データを含む更新用ファイル保存する。

以上が、印刷装置１００が、データの更新指示を受信してから更新用ファイルを保存するまでの全体的な制御の内容である。本実施形態における印刷装置１００によれば、データを更新する場合であっても、従来より簡易な手法によって、機密データの復元を困難にすることができる。

［その他の実施形態］
本実施形態の開示は、以下の構成を含む。

［構成１］
外部装置から送信されたファイルを受信する受信手段と、
前記外部装置が所定のサーバである場合、前記ファイルに含まれているデータを保存する揮発性メモリと、
前記データを保存している前記揮発性メモリのセクタが無効になっている場合、前記揮発性メモリにおける容量の限界まで前記セクタに保存されている前記データをダミーデータに書き換える上書き手段と、を備える、
ことを特徴とする印刷装置。

［構成２］
所定のサーバは、セキュア印刷サービスを提供するサーバである、
構成１に記載の印刷装置。

［構成３］
前記揮発性メモリは、ＲＡＭであり、ＲＡＭＤＩＳＫとして使用することができる、
構成１又は２に記載の印刷装置。

［構成４］
第１の保存領域と、前記第１の保存領域よりも容量が大きい第２の保存領域と、を備える前記ＲＡＭと、
前記第１の保存領域に残留している前記データを前記ダミーデータに書き換える前記上書き手段と、
構成３に記載の印刷装置。

［構成５］
前記受信手段が所定の回数よりも多い回数、前記ファイルを受信した場合、前記データを前記ダミーデータに書き換える前記上書き手段を備える、
構成１乃至４の何れか１項に記載の印刷装置。

［構成６］
前記揮発性メモリに電力が供給されなくなることが予定されている場合、前記揮発性メモリに保存されている前記データを前記ダミーデータに書き換えない前記上書き手段を備える、
構成１乃至５の何れか１項に記載の印刷装置。

［構成７］
前記データがランレングスアルゴリズムにより圧縮されている場合、前記データをランダムデータに書き換える前記上書き手段を備える、
構成１乃至６の何れか１項に記載の印刷装置。

［構成８］
不揮発性の保存手段に保存されている前記データを更新するための、新データと、更新指示と、
を受信する前記受信手段と、
前記データと、前記更新用データと、を同時に一時的に保存する前記揮発性メモリと、
前記データを前記更新用データに更新する際、前記データを前記ダミーデータに書き換える前記上書き手段と、を備える、
構成１乃至７の何れか１項に記載の印刷装置。

［構成９］
外部装置から送信されたファイルを受信する受信ステップと、
前記外部装置が所定のサーバである場合、前記ファイルに含まれているデータを揮発性メモリに保存する保存ステップと、
前記データを保存している前記揮発性メモリのセクタが無効になっている場合、前記セクタに保存されている前記データをダミーデータに書き換える上書きステップと、を含む、
ことを特徴とする印刷装置の制御方法。

［構成１０］
コンピュータを構成１乃至８の何れか１項に記載の印刷装置として機能させるためのプログラム。

図５では、印刷ジョブが送信される例を挙げて説明したが、サーバから送信されるファイルは、印刷ジョブに限られない。サーバから送信されるファイルは、機密データを含む可能性があるのであれば、一般的な文書ファイルであってもよい。

一般的に、メモリに対するデータの書き換えが繰り返されると、そのメモリにダメージが蓄積し、そのメモリの寿命が縮まることが知られている。そこで、印刷ジョブ又は更新指示を受信する度に、毎回、上書き処理が実行されないようにしてもよい。これにより、メモリの書き換え回数を抑制することができる。例えば、ＣＰＵ１０３は、所定の回数よりも多い回数、印刷ジョブを受信した場合に、上書き処理を実行することとしてもよい。このような構成によれば、印刷ジョブを受信する度に上書き処理を実行する場合に比べると、メモリの書き換え回数を減らすことができる。このため、例えば、ＲＡＭ１０５に掛かる処理負荷を低減することができる。つまり、印刷ジョブを受信する度に上書き処理を実行する場合に比べると、ＲＡＭ１０５の寿命を延ばすことができる。

また、ＲＡＭ１０５に電力が供給されなくなることが予定されている場合、ＲＡＭ１０５に一時的に保存されているデータがダミーデータに書き換えられないようにしてもよい。例えば、印刷装置１００がシャットダウンされる事が予定されている場合、上書き処理が実行されないようにしてもよい。印刷装置１００がシャットダウンする場合、ＲＡＭ１０５に一時的に保存されているデータは、上書き処理せずとも完全に消えるためである。これにより、印刷装置１００がシャットダウンする事が予定されているにも関わらず、ＲＡＭ１０５に対して上書き処理を実行する場合に比べると、ＲＡＭ１０５の寿命を延ばすことができる。

具体的には、印刷装置１００におけるファームウェアの更新をジョブとして受信するツールが、予め印刷装置１００にインストールされている場合がある。この場合におけるネットワーク接続環境では、当該ツールが最新のファームウェアを自動的に受信する。印刷装置１００が、ファームウェアの更新ジョブを受信すると、それまでキューに積まれたジョブが全て完了した後に、「ファームウェアの更新を実行し、再起動する」というアクションが確定する。この場合、印刷装置１００は、再起動するために自動的にシャットダウンする。このように、印刷装置１００がファームウェアの更新ジョブを受信した場合には、上書き処理が、実行されないようにしてもよい。

第１の実施形態では、ダミーデータとして、ゼロデータが使用されていた。ダミーデータの他の例として、第１の保存領域２０１に一時的に保存されているデータがランレングスアルゴリズムにより圧縮されている場合、ランダムデータが使用されてもよい。例えば、第１の保存領域２０１に一時的に保存されているデータが、ランレングスアルゴリズムにより圧縮された結果、ゼロデータとなってしまう場合がある。このような場合、保存されているデータが、上書き処理により、ゼロデータとなっているのか、ランレングスアルゴリズムにより圧縮された結果、ゼロデータとなっているのか、区別できなくなる虞がある。

しかし、第１の保存領域２０１に一時的に保存されているデータをランダムデータ上書きすることで、データの区別が困難になることを抑制することができる。更に、データをランレングスアルゴリズムにより圧縮する場合、圧縮後のデータは、比較的単純な数字等の配列となるところ、データが解析されてしまう虞がある。これに対して、ランダムデータを使用する場合は、ゼロデータを使用する場合に比べると、ゼロデータより複雑な数字等の配列となるため、データを解析することが困難となる。つまり、第１の保存領域２０１に一時的に保存されているデータをランダムデータ上書きすることで、データが解析されることを抑制することもできる。

本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

Claims (10)

1. 外部装置から送信されたファイルを受信する受信手段と、
   前記外部装置が所定のサーバである場合、前記ファイルに含まれているデータを保存する揮発性メモリと、
   前記データを保存している前記揮発性メモリのセクタが無効になっている場合、前記揮発性メモリにおける容量の限界まで前記セクタに保存されている前記データをダミーデータに書き換える上書き手段と、を備える、
   ことを特徴とする印刷装置。
2. 所定のサーバは、セキュア印刷サービスを提供するサーバである、
   請求項１に記載の印刷装置。
3. 前記揮発性メモリは、ＲＡＭであり、ＲＡＭＤＩＳＫとして使用することができる、
   請求項１又は２に記載の印刷装置。
4. 第１の保存領域と、前記第１の保存領域よりも容量が大きい第２の保存領域と、を備える前記ＲＡＭと、
   前記第１の保存領域に残留している前記データを前記ダミーデータに書き換える前記上書き手段と、
   請求項３に記載の印刷装置。
5. 前記受信手段が所定の回数よりも多い回数、前記ファイルを受信した場合、前記データを前記ダミーデータに書き換える前記上書き手段を備える、
   請求項１又は２に記載の印刷装置。
6. 前記揮発性メモリに電力が供給されなくなることが予定されている場合、前記揮発性メモリに保存されている前記データを前記ダミーデータに書き換えない前記上書き手段を備える、
   請求項１又は２に記載の印刷装置。
7. 前記データがランレングスアルゴリズムにより圧縮されている場合、前記データをランダムデータに書き換える前記上書き手段を備える、
   請求項１又は２に記載の印刷装置。
8. 不揮発性の保存手段に保存されている前記データを更新するための、新データと、更新指示と、を受信する前記受信手段と、
   前記データと、前記新データと、を同時に一時的に保存する前記揮発性メモリと、
   前記データを前記新データに更新する際、前記データを前記ダミーデータに書き換える前記上書き手段と、を備える、
   請求項１又は２に記載の印刷装置。
9. 外部装置から送信されたファイルを受信する受信ステップと、
   前記外部装置が所定のサーバである場合、前記ファイルに含まれているデータを揮発性メモリに保存する保存ステップと、
   前記データを保存している前記揮発性メモリのセクタが無効になっている場合、前記セクタに保存されている前記データをダミーデータに書き換える上書きステップと、を含む、
   ことを特徴とする印刷装置の制御方法。
10. コンピュータを請求項１又は２に記載の印刷装置として機能させるためのプログラム。

Images