JP4405350B2 - 画像形成装置およびデータ漏洩防止プログラム - Google Patents

Description

本発明は、利用者の操作により入力されたデータを取り込んで加工する入力装置と、前記入力装置から出力されたデータを記憶する記憶装置とを有し、前記利用者の操作により入力されたデータを入力バッファに記憶する入力処理と、前記入力バッファが記憶するデータを前記記憶装置に転送する転送処理とを動作させることが可能な画像形成装置およびデータ漏洩防止プログラムに関し、特に、入力バッファからのデータ漏洩を効率的に防止することができる画像形成装置およびデータ漏洩防止プログラムに関するものである。

従来、プリンタ、コピーおよびスキャナなどの複数の機能を一つの筐体内に収納した複合機が知られている。かかる複合機では、ＵＮＩＸ（Ｒ）などの汎用ＯＳ上に、プリンタアプリ、コピーアプリおよびスキャナアプリと呼ばれる複数のアプリケーションを搭載し、これらのアプリケーションの実行処理を切替えながら複数の機能を実現している。

このような多機能化により、複合機はスキャナ装置などの入力装置や、プロッタ装置などの出力装置を複数備えることが可能となっている。そして、かかる入出力装置を備える複合機の処理速度を向上させるために、ＤＭＡ（Direct Memory Access）などのメモリ制御技術が用いられることが多い。なお、特許文献１には、ＤＭＡ転送方式およびＤＭＡコントローラの一例が開示されている。

かかる高速化の要請から、複合機に搭載される各入出力装置は、その内部にバッファメモリを実装することが通常となっている。各入出力装置がバッファメモリを内蔵することで、各入出力装置が取り扱うデータを並行して処理することが可能となるため、複合機全体として処理速度の向上をはかることができる。さらに、複合機が取り扱うデータの多様化にともない、かかるバッファメモリの容量は増加の傾向にある。

このような高速化の要請とともに、近年では、情報セキュリティに対する関心が高まってきており、特に、コピー機に残存したデータが取得されて機密情報が漏れるといった、情報機器のデータ漏洩問題は、大きな社会問題となっている。

このため、複合機内のハードディスク装置へのアクセスにパスワードを用いた制限を加えたり、ハードディスク装置や各種メモリに記憶されるデータを暗号化したりするなどの技術を用いて、かかるデータ漏洩を防止しようとする試みがなされている。

特開平０６−１０３２２５号公報

しかしながら、かかるバッファメモリなどのメモリにアクセス制限手段を設けることは一般的ではない。たとえ、アクセス制限手段を設けたとしても悪意の利用者により残存したデータを取得される可能性がある。また、高速化の要求に応えるために設けられたバッファメモリに処理負荷のかかる暗号化手段を組み合わせることは、処理速度の低下を招くため適当ではない。

特に、有料サービスの提供をおこない、提供したサービスの料金を課金する複合機においては、不正な課金装置の操作により機能提供が中止される場合もあるので、サービスが中止された場合であってもバッファメモリからのデータ漏洩を防止するようにする必要がある。

これらのことから、複合機に搭載される入出力装置にバッファメモリを用いながら、かかるバッファメモリからデータが漏洩することを、いかにして防止するかが大きな課題となっている。なお、かかる課題は複合機についてのみ生じるものではなく、たとえば、取り扱うデータを一時的に記憶するバッファメモリを備えた情報機器についても同様に生ずる課題である。

本発明は、上述した従来技術による問題点を解消するためになされたものであり、複合機に搭載される入出力装置にバッファメモリを用いながら、かかるバッファメモリからのデータ漏洩を効率的に防止することができる画像形成装置およびデータ漏洩防止プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、請求項１の発明にかかる画像形成装置は、利用者の操作により入力されたデータを入力バッファに記憶し、該入力バッファに記憶したデータに対してデータ変換処理を行ったうえで変換後のデータを出力する入力装置と、前記入力装置から出力された変換後のデータを記憶する記憶装置と、前記記憶装置に記憶されている変換後のデータに基づいて画像を形成し出力する出力装置と、前記利用者の操作により入力されたデータを前記入力バッファに記憶する入力処理、および、前記入力バッファが記憶するデータを変換して前記記憶装置に転送する転送処理を動作させることが可能な制御装置とを備え、前記制御装置は、前記転送処理を中止すべき事由を検出したならば、該転送処理に対し中止指示をおこなう入力管理手段と、前記入力管理手段からの中止指示により前記入力バッファのデータを消去したうえで、前記転送処理を中止させる転送中止手段とを備えたことを特徴とする。

また、請求項２の発明にかかる画像形成装置は、請求項１の発明において、前記転送中止手段は、前記中止指示を受けることなく前記転送処理が完了したならば、前記入力バッファに記憶されているデータを消去することを特徴とする。

また、請求項３の発明にかかる画像形成装置は、請求項１または２の発明において、前記入力管理手段は、利用者による入力中止指示を取得したならば、かかる入力中止指示の取得を、前記中止すべき事由として検出することを特徴とする。

また、請求項４の発明にかかる画像形成装置は、請求項１、２または３の発明において、前記入力管理手段は、前記入力処理に対し、前記入力バッファへのデータ書き込みの開始を指示することを特徴とする。

また、請求項５の発明にかかる画像形成装置は、請求項１〜４の発明において、前記入力管理手段は、有料データの提供に対する課金の実行をおこなう課金装置と通信して課金状態を取得し、該課金状態が課金実行不能状態に遷移したならば、該状態を前記中止すべき事由として検出することを特徴とする。

また、請求項６の発明にかかる画像形成装置は、請求項５の発明において、前記入力管理手段は、前記課金状態が課金実行可能状態である場合に、前記入力処理に対し、前記入力バッファへのデータ書き込みの開始を指示することを特徴とする。

また、請求項７の発明にかかる画像形成装置は、請求項５または６の発明において、前記入力管理手段は、前記中止指示をおこなうことなく前記転送処理が完了したならば、前記課金装置に対して課金の実行の開始を指示することを特徴とする。

また、請求項８の発明にかかるデータ漏洩防止プログラムは、利用者の操作により入力されたデータを入力バッファに記憶し、該入力バッファに記憶したデータに対してデータ変換処理を行ったうえで変換後のデータを出力する入力装置と、前記入力装置から出力された変換後のデータを記憶する記憶装置と、前記記憶装置に記憶されている変換後のデータに基づいて画像を形成し出力する出力装置と、前記利用者の操作により入力されたデータを前記入力バッファに記憶する入力処理、および、前記入力バッファが記憶するデータを変換して前記記憶装置に転送する転送処理を動作させることが可能な制御装置とを備える画像形成装置に搭載されるデータ漏洩防止プログラムであって、前記データ漏洩防止プログラムは、前記転送処理を中止すべき事由を検出したならば、該転送処理に対し中止指示をおこなう入力管理手順と、前記入力管理手順からの中止指示により前記入力バッファのデータを消去したうえで、前記転送処理を中止させる転送中止手順とを前記制御装置に実行させることを特徴とする。

請求項１にかかる画像形成装置によれば、利用者の操作により入力されたデータを入力バッファに記憶する入力処理、および、入力バッファが記憶するデータを変換して記憶装置に転送する転送処理を動作させることが可能な制御装置が、転送処理を中止すべき事由を検出したならば、転送処理に対し中止指示をおこなう入力管理手段と、入力管理手段からの中止指示により入力バッファのデータを消去したうえで、転送処理を中止させる転送中止手段とを備えるよう構成したので、入力処理により入力バッファに記憶された変換前のデータの漏洩を効率的に防止することができるという効果を奏する。

また、請求項２にかかる画像形成装置によれば、転送中止手段は、中止指示を受けることなく前記転送処理が完了したならば、前記入力バッファに記憶されているデータを消去するよう構成したので、入力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

また、請求項３にかかる画像形成装置によれば、入力管理手段は、利用者による入力中止指示を取得したならば、かかる入力中止指示の取得を、中止すべき事由として検出するよう構成したので、利用者の指示により入力処理が中止された場合であっても、入力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

また、請求項４にかかる画像形成装置によれば、入力管理手段は、入力処理に対し、入力バッファへのデータ書き込みの開始を指示するよう構成したので、入力バッファへのデータ書込みを管理することにより、入力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

また、請求項５にかかる画像形成装置によれば、入力管理手段は、有料データの提供に対する課金の実行をおこなう課金装置と通信して課金状態を取得し、課金状態が課金実行不能状態に遷移したならば、かかる状態を中止すべき事由として検出するよう構成したので、課金装置に対する利用者の不正行為があった場合であっても、入力バッファからのデータ漏洩を効率的に防止することができるという効果を奏する。

また、請求項６にかかる画像形成装置によれば、入力管理手段は、課金状態が課金実行可能状態である場合に、入力処理に対し、入力バッファへのデータ書き込みの開始を指示するよう構成したので、課金が不可能である場合に、入力バッファへのデータ書き込みがおこなわれ、入力バッファからデータ漏洩が引き起こされることを効率的に防止することができるという効果を奏する。

また、請求項７にかかる画像形成装置によれば、入力管理手段は、中止指示をおこなうことなく転送処理が完了したならば、課金装置に対して課金の実行の開始を指示するよう構成したので、課金対象となる有料サービスの入力処理が完了する前に、入力バッファのデータが消去されることを防止することができるという効果を奏する。

また、請求項８にかかるデータ漏洩防止プログラムによれば、利用者の操作により入力されたデータを入力バッファに記憶する入力処理、および、入力バッファが記憶するデータを変換して記憶装置に転送する転送処理を動作させることが可能な制御装置に、転送処理を中止すべき事由を検出したならば、転送処理に対し中止指示をおこなう入力管理手順と、入力管理手順からの中止指示により入力バッファのデータを消去したうえで、転送処理を中止させる転送中止手順とを実行させるように構成したので、入力処理により入力バッファに記憶された変換前のデータの漏洩を効率的に防止することができるという効果を奏する。

以下に添付図面を参照して、この発明にかかる画像形成装置およびデータ漏洩防止プログラムの最良な実施の形態を詳細に説明する。ここでは、まず、本実施の形態に係る画像形成装置の概要および特徴について説明し、その後に、本実施の形態の特徴部分である入力バッファ消去処理の実施の形態について説明することとする。なお、本実施の形態では、この発明を画像形成装置に適用した場合について説明するが、本発明はこれに限らず、入力バッファ消去処理をおこなう各種装置に適用することができる。

（概要および特徴）
まず、本実施の形態に係る画像形成装置（以下「複合機」と言う）１の概要について図１、図２および図３−１〜図３−３を用いて説明する。図１は、本実施の形態に係る複合機１を取り巻くネットワーク環境を説明するためのネットワーク図である。

図１に示すように、近年のネットワーク化の進展により、オフィスなどに設けられたパーソナルコンピュータ（ＰＣ）などの機器は、ＬＡＮ（Local Area Network）などのネットワークに接続され、相互に通信することが通常となった。たとえば、同図に示したように、かかるネットワークには、クライアントＰＣ、ＳＭＴＰ（Simple Mail Transfer Protocol）サーバ、ＦＴＰ（File Transfer Protocol）サーバ、サーバＰＣなどが接続され、電子メールの送受信やファイル転送をすることができ、モデム接続された配信サーバは、オフィス外のファックス装置と通信することができる。

このようなネットワーク化の進展に伴い、複合機１もかかるネットワークに接続され、ＰＣ等の機器と相互に通信することが可能となり、ハードディスク等の記憶装置を内蔵することで、いわゆるネットワーク複合機へと進化し、ユーザの様々なニーズに応えることができるようになった。

たとえば、複合機１は、通常のコピー機能に加えて、クライアントＰＣからの印刷要求により文書データ等を印刷するプリンタ機能、クライアントＰＣからのファックス要求により文書データ等をサーバＰＣに接続されたモデムを経由して他のオフィスのファックス機器に送信するファックス機能、受信したファックス文書やコピー文書を内蔵したハードディスクに蓄積する蓄積機能などを有するようになった。

このような複合化とネットワーク化の進展により、複合機１は多くの機能を提供することが可能となっている。そして、かかる機能の提供は、スキャナ装置などの入力装置、プロッタ装置などの出力装置、ハードディスク装置等の入力装置としても出力装置としても動作可能な装置の組合せによりおこなわれる。たとえば、コピー機能は、スキャナ装置とプロッタ装置との組合せにより提供され、文書蓄積機能は、スキャナ装置とハードディスク装置との組合せにより提供される。

そして、各入出力装置が取り扱うデータ形式やデータ単位はそれぞれ異なることが通常であるので、入力装置により取り込まれたデータは、画像変換処理などの加工処理を経たうえで、複合機１内に取り込まれ、加工処理を経たうえで出力装置に渡されることになる。また、各出力装置の処理速度はそれぞれ異なることが通常であり、かかる処理速度差異を吸収する必要がある。さらに、複合機１全体としての処理速度は高速であることが求められる。これらのことから、各入出力装置は、その内部にＤＲＡＭ（Dynamic Random Access Memory）などのバッファメモリを実装することが多い。

したがって、このバッファメモリには、短時間ではあるが画像データなどのデータが記憶されることになる。バッファメモリの容量が小さい場合には、記憶されるデータの内容から画像データなどのデータの内容を識別することはほぼ不可能であったが、処理の高速化や取扱うデータの多様化が求められる近年の複合機１においては、たとえば、原稿１枚分程度の容量をもつバッファメモリが実装される場合もある。

かかるバッファメモリに記憶されたデータが、悪意をもった利用者により読み出されると機密情報の漏洩を引き起こすことにもなるため、かかるデータ漏洩の防止をおこなう必要がある。近年では、情報セキュリティに関連する規格も制定されつつあるなど、データ漏洩の防止に対する関心は高まっているため、データ漏洩の防止は重要な課題となっている。

特に、画像データを保存し、画像データの読出しや画像データの維持に対して課金をおこなう場合には、課金対象となる画像データの漏洩防止は非常に重要である。このような場合に、画像データを保存する記憶装置へのアクセスをパスワードを用いて制限したとしても、上述したバッファメモリに残存するデータによりデータ漏洩が引き起こされる場合がある。

なお、かかるバッファメモリに記憶されるデータに暗号処理を施すことによりデータ漏洩を防止することも考えられるが、データ処理を高速化するために設けられたバッファメモリに、処理負荷のかかる暗号処理を施すことは、処理速度の低下につながるため適当ではない。そこで、本実施の形態に係る複合機１では、入力装置が用いるバッファメモリを適宜消去することにより、かかるデータ漏洩を防止することとしている。

図２は、かかる複合機１のハードウェア構成を示すブロック図である。同図に示すように、この複合機１は、コントローラ１０とエンジン部（Engine）６０とをＰＣＩ（Peripheral Component Interconnect）バスで接続した構成となる。コントローラ１０は、複合機１全体の制御と描画、通信、図示しない操作部からの入力を制御するコントローラである。エンジン部６０は、ＰＣＩバスに接続可能なプリンタエンジンなどであり、たとえば白黒プロッタ、１ドラムカラープロッタ、４ドラムカラープロッタ、スキャナまたはファックスユニットなどである。なお、このエンジン部６０には、プロッタなどのいわゆるエンジン部分に加えて、誤差拡散やガンマ変換などの画像処理部分が含まれる。

コントローラ１０は、ＣＰＵ１１と、ノースブリッジ（ＮＢ）１３と、システムメモリ（ＭＥＭ−Ｐ）１２と、サウスブリッジ（ＳＢ）１４と、ローカルメモリ（ＭＥＭ−Ｃ）１７と、ＡＳＩＣ（Application Specific Integrated Circuit）１６と、ハードディスクドライブ（ＨＤＤ）１８とを有し、ノースブリッジ（ＮＢ）１３とＡＳＩＣ１６との間をＡＧＰ（Accelerated Graphics Port）バス１５で接続した構成となる。また、ＭＥＭ−Ｐ１２は、ＲＯＭ（Read Only Memory）１２ａと、ＲＡＭ(Random Access Memory)１２ｂとをさらに有する。

ＣＰＵ１１は、複合機１の全体制御をおこなうものであり、ＮＢ１３、ＭＥＭ−Ｐ１２およびＳＢ１４からなるチップセットを有し、このチップセットを介して他の機器と接続される。

ＮＢ１３は、ＣＰＵ１１とＭＥＭ−Ｐ１２、ＳＢ１４、ＡＧＰ１５とを接続するためのブリッジであり、ＭＥＭ−Ｐ１２に対する読み書きなどを制御するメモリコントローラと、ＰＣＩマスタおよびＡＧＰターゲットとを有する。

ＭＥＭ−Ｐ１２は、プログラムやデータの格納用メモリ、プログラムやデータの展開用メモリ、プリンタの描画用メモリなどとして用いるシステムメモリであり、ＲＯＭ１２ａとＲＡＭ１２ｂとからなる。ＲＯＭ１２ａは、プログラムやデータの格納用メモリとして用いる読み出し専用のメモリであり、ＲＡＭ１２ｂは、プログラムやデータの展開用メモリ、プリンタの描画用メモリなどとして用いる書き込みおよび読み出し可能なメモリである。

ＳＢ１４は、ＮＢ１３とＰＣＩデバイス、周辺デバイスとを接続するためのブリッジである。このＳＢ１４は、ＰＣＩバスを介してＮＢ１３と接続されており、このＰＣＩバスには、ネットワークインターフェース（Ｉ／Ｆ）部なども接続される。

ＡＳＩＣ１６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ（Integrated Circuit）であり、ＡＧＰ１５、ＰＣＩバス、ＨＤＤ１８およびＭＥＭ−Ｃ１７をそれぞれ接続するブリッジの役割を有する。このＡＳＩＣ１６は、ＰＣＩターゲットおよびＡＧＰマスタと、ＡＳＩＣ１６の中核をなすアービタ（ＡＲＢ）と、ＭＥＭ−Ｃ１７を制御するメモリコントローラと、ハードウェアロジックなどにより画像データの回転などをおこなう複数のＤＭＡＣ（Direct Memory Access Controller）と、エンジン部６０との間でＰＣＩバスを介したデータ転送をおこなうＰＣＩユニットとからなる。このＡＳＩＣ１６には、ＰＣＩバスを介してＦＣＵ（Fax Control Unit）３０、ＵＳＢ（Universal Serial Bus）４０、ＩＥＥＥ１３９４（the Institute of Electrical and Electronics Engineers 1394）インターフェース５０が接続される。

ＭＥＭ−Ｃ１７は、コピー用画像バッファ、符号バッファとして用いるローカルメモリであり、ＨＤＤ（Hard Disk Drive）１８は、画像データの蓄積、プログラムの蓄積、フォントデータの蓄積、フォームの蓄積を行うためのストレージである。

オペレーションパネル２０は、利用者からの入力操作を受け付けるとともに、利用者向けの情報表示をおこなう操作部である。また、課金装置１ａは、専用の課金装置インターフェースを介して接続され、入金された金額情報、プリペイドカードの残度数、暗証番号などの情報がＣＰＵ１１に伝えられる。そして、この課金装置１ａは、ＣＰＵ１１からの命令によりプリペイドカードの残高の減額といった課金実行処理をおこなう。なお、課金装置１ａに該当する装置としては、コインラック装置、プリペイドカード装置、プリセットキーカード装置などがある。

ＡＧＰ１５は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレーターカード用のバスインターフェースであり、ＭＥＭ−Ｐ１２に高スループットで直接アクセスすることにより、グラフィックスアクセラレーターカードを高速にするものである。

次に、本実施の形態に係る複合機１の特徴について、図３−１〜図３−３を用いて説明する。本実施の形態に係る複合機１の特徴は、入力装置が用いるバッファメモリを適宜消去することにより、バッファメモリからのデータ漏洩を防止する点にある。図３−１は、複合機１の入力処理の概要を説明するための説明図である。

同図に示すように、複合機１の入力処理においては、スキャナ装置などの入力装置が読み込んだデータは、入力装置が用いる入力バッファにいったん記憶され、入力バッファからＭＥＭ−Ｃ１７などの記憶装置に転送される。ここで、入力装置は、入力バッファにいったん記憶された画像データなどのデータの変換処理をおこなったうえで、変換後のデータを記憶装置に転送（出力）する。このようにして、複合機1は、入力装置により取り込まれたデータを、内部の記憶装置に格納することになる。なお、かかる記憶装置に格納されたデータは、出力装置に渡され、複合機１は印刷処理が施された記録紙などを成果物として出力することになる。

この場合、入力装置が用いる入力バッファには、記憶装置へのデータ転送後もデータが残るため、かかる入力バッファからデータの漏洩を起こす可能性がある。

図３−２は、入力処理が完了した場合における入力バッファの消去処理の例を説明するための説明図である。同図に示すように、かかるデータ漏洩を防止するためには、入力バッファから記憶装置への転送処理が完了した際に、入力バッファに残存するデータを消去する必要がある。このように、記憶装置への転送処理が完了した際にデータ消去をおこなうこととすれば、入力装置が用いる入力バッファにデータが残存してデータ漏洩を引き起こすことを防止することができる。

しかしながら、記憶装置への転送処理が完了した場合のみに、かかる入力バッファのデータ消去をおこなっても、入力バッファからデータ漏洩が起こる可能性がある。すなわち、利用者の指示により入力処理が中止された場合や、利用者によりコインラック装置などの課金装置１ａに入金された料金の返却が指示された場合には、入力処理は中止されるので、かかる転送処理の完了をもって入力バッファの消去をおこなうことができない。

図３−３は、入力処理が中止された場合における入力バッファの消去処理の例を説明するための説明図である。同図に示すように、利用者の指示あるいは複合機１のハードウェアエラーなどにより入力処理が中止された場合や、課金装置１ａに入金された料金が返却されたり、プリペイドカードが取出されたりすることにより入力処理が中止された場合にも、入力バッファにデータが残存することになる。かかる残存データによりデータ漏洩の可能性があるので、入力処理が中止された場合にも残存データを消去してデータ漏洩を防止する必要がある。

本実施の形態に係る複合機１では、入力バッファから記憶装置への転送処理の完了および入力処理の中止事由を検出し、このような場合に入力装置が用いる入力バッファのデータを消去することでデータ漏洩を防止する点に特徴がある。

（入力バッファ消去処理の実施の形態）
次に、上述した入力バッファ消去処理の実施の形態について詳細に説明する。図４は、本実施の形態に係る複合機１の構成を示す機能ブロック図である。同図に示すように、複合機１は、入力データ加工部１００、入力管理部２００、入力装置１２０、記憶装置１３０およびオペレーションパネル２０を有している。

ここで、各処理部および各装置間の関係の概要について説明しておく。入力データ加工部１００は、入力装置１２０から画像データなどのデータを入力し、記憶装置１３０に転送するとともに、入力管理部２００からの指示メッセージの受信および入力管理部２００への通知メッセージの送信をおこなう。また、入力管理部２００は、課金装置１ａとのデータ送受信をおこなうとともに、利用者に対する情報をオペレーションパネル２０に出力する処理をおこなう。

次に、各処理部がおこなう処理について説明する。入力データ加工部１００は、書込部１０１、転送処理部１０２、消去部１０３および入力データ記憶部（入力バッファ）１１０をさらに有する。この入力データ記憶部１１０は、入力装置１２０の内部に実装されることが通常であるが、説明の都合上、入力データ加工部１００に含まれるものとして図示している。なお、この入力データ加工部１００は、入力装置１２０の内部に実装される必要はなく、入力装置１２０と複合機１の接続部分などの複合機１側に実装することとしてもよい。また、同図においては、本実施の形態の特徴部分である入力バッファ消去処理の説明に必要な処理部のみを図示している。

入力データ加工部１００は、スキャナ装置などの入力装置１２０から入力されたデータを入力データ記憶部１１０に書き込み、書込んだデータを取出して記憶装置１３０に転送するとともに、入力データ記憶部１１０に残存するデータの消去処理をおこなう処理部である。

書込部１０１は、入力装置１２０から送信されたデータを受信して入力データ記憶部１１０に書込む処理をおこなう。また、入力データ記憶部１１０へのデータ書き込みは、入力管理部２００の指示により開始する。たとえば、利用者が複合機１に紙原稿をセットしてコピー機能の提供を指示した場合には、紙原稿の内容は、スキャナ装置などの入力装置により読込まれ、入力管理部２００から「入力開始指示」を受信すると、書込部１０１は、かかる紙原稿の内容を入力データ記憶部１１０に書込む処理をおこなう。

転送処理部１０２は、入力管理部２００の「入力開始指示」により、入力データ記憶部１１０から画像データなどのデータを読み出して記憶装置１３０に転送するとともに、入力管理部２００の「入力中止指示」により、入力データ記憶部１１０が記憶するデータの消去を消去部１０３に指示する処理部である。また、この転送処理部１０２は、かかる転送処理が完了すると「入力完了通知」を、転送を中止すると「入力中止通知」を、それぞれ入力管理部２００に送信する。

具体的には、この転送処理部１０２は、入力管理部２００から「入力開始指示」を受信すると、入力データ記憶部１１０が記憶するデータを読み出して記憶装置１３０に送信する。記憶装置１３０は、受信したデータを記憶してプロッタ装置などの出力装置に提供する。

この転送処理部１０２は、入力管理部２００から「入力中止指示」を受信したならば、消去部１０３に対して、入力データ記憶部１１０が記憶するデータの消去を指示する。また、転送処理部１０２は、入力データ記憶部１１０が記憶するデータを記憶装置１３０に転送する処理が完了した場合にも、消去部１０３に対して、かかるデータの消去を指示する。

このように、記憶装置１３０へのデータ転送が完了した後に入力データ記憶部１１０に記憶されたデータの消去をおこなうこととしたので、転送完了後に入力データ記憶部１１０に入力データが残存することを防止することができるとともに、転送が完了していないデータを誤って消去することを防止することができる。また、入力管理部２００の「入力中止指示」を随時受け付けてデータ消去処理をおこなうこととしたので、入力中止事由が発生した場合に、入力データ記憶部１１０に入力データが残存することを防止することができる。

消去部１０３は、転送処理部１０２の指示により、入力データ記憶部１１０に記憶されたデータの消去をおこなう処理部である。また、入力装置１２０は、スキャナ装置などの装置であり、記憶装置１３０は、ＭＥＭ−Ｃ１７などのメモリである。なお、かかる入力装置１２０は、複合機１のオプション構成により追加や取外しが可能である。

入力管理部２００は、課金装置１ａなどの課金状態や、複合機１内のハードウェア状態などを取得し、これらの状態に基づいて、入力データ加工部１００に「入力開始指示」および「入力中止指示」を送信するとともに、入力データ加工部１００から「入力完了通知」を受信した際に、課金装置１ａに課金開始を指示する処理部である。

具体的には、この入力管理部２００は、課金装置１ａが複合機１に接続されている場合には、コピー機能などの機能提供に係るサービス料金の課金が可能か否かを判定し、残額が十分であれば、入力データ加工部１００に対し、「入力開始指示」を送信する。一方、残額が不十分である場合には、オペレーションパネル２０に、機能提供をおこなうことができない旨の表示を指示して処理を終了する。

また、入力管理部２００は、課金装置１ａおよび複合機１のハードウェア状態を監視して、入力処理の中止事由の検出をおこなうとともに、入力データ加工部１００からの通知メッセージの受信を待ち合わせる。そして、入力処理の中止事由を検出したならば、入力データ加工部１００に「入力中止指示」を送信する。

そして、入力データ加工部１００から、「入力中止通知」を受信したならば、この読取り中止通知の内容を、オペレーションパネル２０に表示して処理を終了する。また、「入力中止指示」を送信することなく「入力完了通知」を受信したならば、課金装置１ａに課金実行の開始を指示する。

このように、入力データ記憶部１１０からのデータの読出しおよびデータの消去を担当する入力データ加工部１００と、課金装置１ａや複合機１内のハードウェア状態を監視し、取得した状態に基づいて入力データ加工部１００に処理の実行を指示する入力管理部２００とにより、入力データ記憶部１１０のデータを適宜消去することができるので、入力バッファからのデータ漏洩を効果的に防止することができる。

次に、本実施の形態の特徴部分である入力データ消去処理の処理手順について図５〜図７を用いて説明する。図５は、上述した入力管理部２００の処理手順を示すフローチャートである。

まず、入力管理部２００は、複合機１に課金装置１ａが接続されているか否かの判定をおこない（ステップＳ１０１）、課金装置１ａが接続されている場合には（ステップＳ１０１肯定）、コピー機能などの機能提供の動作実行条件が成立しているか否かを判定する（ステップＳ１０２）。ここで「動作実行条件」とは、課金装置１ａが、キーカード装置であれば、キーカードがセットされており、かつ、暗証コードが正しいことを指し、プリペイドカード装置であれば、残高が要求された機能の提供料金以上であることを指す。

そして、かかる動作実行条件が成立していない場合には（ステップＳ１０２否定）、オペレーションパネル２０に、機能提供にともなう入力処理ができない旨とその理由を表示して（ステップＳ１１１）処理を終了する。一方、動作実行条件が成立している場合（ステップＳ１０２肯定）および課金装置１ａが接続されていない場合（ステップＳ１０１否定）には、入力データ加工部１００に対し「入力開始指示」を送信する（ステップＳ１０３）。

つづいて、入力管理部２００は、入力データ加工部１００から「入力完了通知」を受信済みか否かを判定し（ステップＳ１０４）、「入力完了通知」を受信していない場合には（ステップＳ１０４否定）、入力処理の中止条件を検出したか否かを判定する（ステップＳ１０５）。ここで、入力処理の中止条件とは上述した出力処理の中止事由と同意であり、課金装置１ａに入金された料金が返却されたり、プリペイドカードが取出されたりすることにより課金不可能な状態になり入力処理を中止する必要がある場合や、複合機１のハードウェア障害などにより入力処理を中止する必要がある場合を指す。

そして、入力処理の中止条件を検出しなかった場合には（ステップＳ１０５否定）、再び、「入力完了通知」を受信済みか否かを判定する処理（ステップＳ１０４）にもどり、ステップＳ１０４〜ステップＳ１０５の処理を繰り返す。

一方、入力処理の中止条件を検出した場合には（ステップＳ１０５肯定）、入力データ加工部１００に対し「入力中止指示」を送信し（ステップＳ１０６）、入力データ加工部１００からの「入力中止通知」の受信を待ち合わせる（ステップＳ１０７否定）。そして、入力データ加工部１００から「入力中止通知」を受信したならば（ステップＳ１０７肯定）、オペレーションパネル２０に、機能提供にともなう入力処理ができない旨とその理由を表示して（ステップＳ１１１）処理を終了する。

また、入力データ加工部１００から「入力完了通知」を受信した場合には（ステップＳ１０４肯定）、複合機１に課金装置１ａが接続されているか否かの判定をおこない（ステップＳ１０８）、課金装置１ａが接続されている場合には（ステップＳ１０８肯定）、課金処理をおこなって（ステップＳ１０９）、次の機能提供要求がない場合には（ステップＳ１１０否定）処理を終了する。そして、課金装置１ａが接続されていない場合には（ステップＳ１０８否定）、課金処理をおこなうことなくステップＳ１１０の処理をおこなう。なお、次の機能提供要求がある場合には（ステップＳ１１０肯定）、ステップＳ１０１以降の処理を繰り返す。

次に、入力データ加工部１００の処理手順について説明する。ここでは、まず、入力データ加工部１００が、記憶装置１３０へのデータ転送を開始する前に、入力管理部２００から「入力中止指示」を受信した場合について、図６を用いて説明する。図６は、データ転送を開始する前に、読取り中止指示を受信した場合における入力データ加工部１００の処理手順を示すフローチャートである。

同図に示すように、入力データ加工部１００は、書込部１０１に相当する処理と、転送処理部１０２に相当する処理を並行して動作させるために、書込部１０１に相当しステップＳ２０１〜ステップＳ２０２の処理をおこなう「原稿読取りプロセス」と、転送処理部１０２に相当しステップＳ２０３〜ステップＳ２０７の処理をおこなう「データ転送プロセス」とを生成して、これらのプロセスの処理完了を待ち合わせたうえでステップＳ２０８の処理をおこなう。

まず、入力データ加工部１００は、上述した「原稿読取りプロセス」および「データ転送プロセス」を生成して処理を開始する。「原稿読取りプロセス」に相当する書込部１０１は、スキャナ装置などの入力装置１２０から原稿データなどのデータを読込んで、入力データ記憶部１１０へのデータ書込みを開始する（ステップＳ２０１）。そして、かかる原稿データの読込みの完了および入力データ記憶部１１０へのデータ書込みが完了するまで待ち合わせる（ステップＳ２０２否定）。また、入力データ記憶部１１０へのデータ書込みが完了したならば（ステップＳ２０２肯定）、処理を終了する。ここで、「データ書込みが完了」するとは、入力データ記憶部１１０に記憶されたデータが所定の量に達することを指す。

一方、「データ転送プロセス」に相当する転送処理部１０２は、転送開始条件を満たすまで待ち合わせる（ステップＳ２０３否定）。ここで、転送開始条件とは、「原稿読取りプロセス」が書き込み処理を開始したことや、入力データ記憶部１１０に書込まれたデータが所定の量に達したことを指し、あらかじめ、ＲＯＭ１２ａなどに静的データとして記憶されている設定データを入力データ加工部１００が読み出すことにより利用する。

なお、かかる転送開始条件が、「原稿読取りプロセス」が書き込み処理を開始したことである場合には、書込部１０１が入力データ記憶部１１０にデータを書込みつつ、転送処理部１０２が入力データ記憶部１１０のデータを読み出して記憶装置１３０に転送する。また、転送開始条件が、入力データ記憶部１１０に書込まれたデータが所定の量に達したことである場合には、書込部１０１が入力データ記憶部１１０に所定量のデータを書込んだ後に、タイミングをずらして転送処理部１０２が入力データ記憶部１１０のデータを読み出して記憶装置１３０に転送することになる。

つづいて、転送開始条件を満たしたならば（ステップＳ２０３肯定）、入力管理部２００から「入力中止指示」を受信済みか否かを判定する（ステップＳ２０４）。そして、「入力中止指示」を受信済みの場合には（ステップＳ２０４肯定）、入力データ記憶部１１０のデータを消去する（ステップＳ２０７）。

一方、「入力中止指示」を受信していない場合には（ステップＳ２０４否定）、入力データ記憶部１１０に記憶されているデータを読出して、記憶装置１３０への転送を開始する（ステップＳ２０５）。つづいて、転送処理部１０２は、転送終了条件を満たすまで待ち合わせる（ステップＳ２０６否定）。ここで、転送終了条件とは、記憶装置１３０へ転送したデータが所定量に達することを指す。そして、転送終了条件を満たしたならば（ステップＳ２０６肯定）、入力データ記憶部１１０のデータを消去する（ステップＳ２０７）。

入力データ加工部１００は、書込部１０１および転送処理部１０２のいずれもが処理を終了したならば（ステップＳ２０２肯定およびステップＳ２０７完了）、入力管理部２００に対して「入力完了通知」または「入力中止通知」を送信したうえで（ステップＳ２０８）、処理を終了する。なお、入力データ加工部は１００、「入力中止指示」を受信した場合（ステップＳ２０４肯定）には「入力中止通知」を、受信していない場合（ステップＳ２０４否定）には「入力完了通知」を入力管理部２００に対して送信する。

次に、入力データ加工部１００が、記憶装置１３０へのデータ転送を開始した後に、入力管理部２００から「入力中止指示」を受信した場合について説明する。図７は、データ転送を開始した後に読取り中止指示を受信した場合における入力データ加工部１００の処理手順を示すフローチャートである。なお、書込部１０１に相当する処理と、転送処理部１０２に相当する処理を並行して動作させるために、書込部１０１に相当する「原稿読取りプロセス」と、転送処理部１０２に相当する「データ転送プロセス」とを生成して、これらのプロセスの処理完了を待ち合わせたうえでステップＳ３０８の処理をおこなう点は図６の場合と同様である。

「原稿読取りプロセス」に相当する書込部１０１は、スキャナ装置などの入力装置１２０から原稿データなどのデータを読込んで、入力データ記憶部１１０へのデータ書込みを開始する（ステップＳ３０１）。そして、かかる原稿データの読込みの完了および入力データ記憶部１１０へのデータ書込みが完了するまで待ち合わせる（ステップＳ３０２否定）。また、入力データ記憶部１１０へのデータ書込みが完了したならば（ステップＳ３０２肯定）、処理を終了する。

一方、「データ転送プロセス」に相当する転送処理部１０２は、上述した転送開始条件を満たすまで待ち合わせる（ステップＳ３０３否定）。そして、転送開始条件を満たしたならば（ステップＳ３０３肯定）、入力データ記憶部１１０に記憶されているデータを読出して、記憶装置１３０への転送を開始する（ステップＳ３０４）。

つづいて、転送処理部１０２は、入力管理部２００から「入力中止指示」を受信済みか否かを判定する（ステップＳ３０５）。そして、「入力中止指示」を受信済みの場合には（ステップＳ３０５肯定）、入力データ記憶部１１０のデータを消去する（ステップＳ３０７）。

一方、「入力中止指示」を受信していない場合には（ステップＳ３０５否定）、上述した転送終了条件を満たしたか否かを判定し（ステップＳ３０６）、転送終了条件を満たしていない場合には（ステップＳ３０６否定）、ステップＳ３０５以降の処理を繰り返す。

入力データ加工部１００は、書込部１０１および転送処理部１０２のいずれもが処理を終了したならば（ステップＳ３０２肯定およびステップＳ３０７完了）、入力管理部２００に対して「入力完了通知」または「入力中止通知」を送信したうえで（ステップＳ２０８）、処理を終了する。なお、入力データ加工部は１００、「入力中止指示」を受信した場合（ステップＳ３０４肯定）には「入力中止通知」を、受信していない場合（ステップＳ３０４否定）には「入力完了通知」を入力管理部２００に対して送信する。

上述してきたように、本実施の形態では、入力処理の中止事由を検出する入力管理部と、入力管理部からの入力中止指示により、入力データ記憶部（入力バッファ）のデータを消去する入力データ加工部とから入力バッファ消去処理を構成したので、記憶装置への丹データ転送が完了した場合のみならず、入力処理を中止した場合であっても入力バッファの消去処理をおこなうことにより、入力バッファに残存したデータからデータ漏洩が引き起こされることを効果的に防止することができる。

また、本実施の形態の画像形成装置で実行されるデータ漏洩防止プログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ（CD Recordable）、ＤＶＤ（Digital Versatile Disk）などのコンピュータで読み取り可能な記録媒体に記録して提供するよう構成してもよい。この場合、ＣＰＵ１１が上記記憶媒体から、データ漏洩防止プログラムを読み出してＭＥＭ−Ｐ１２上にロードすることで、画像形成装置に、上述した各ステップ、各手段または各部を実現させる。

また、データ漏洩防止プログラムを、インターネットなどのネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するよう構成してもよい。さらに、かかるデータ漏洩防止プログラムをインターネットなどのネットワーク経由で提供または配布するようにしてもよい。

以上のように、本発明にかかる画像形成装置およびデータ漏洩防止プログラムは、各種装置における入力バッファの消去処理に有用であり、特に、画像形成装置のデータ漏洩防止に適している。

複合機をとりまくネットワーク環境を示すネットワーク図である。 複合機のハードウェアを説明するための説明図である。 複合機の入力処理の概要を説明するための説明図である。 入力処理が完了した場合における入力バッファの消去処理の例を説明するための説明図である。 入力処理が中止された場合における入力バッファの消去処理の例を説明するための説明図である。 本実施の形態に係る複合機の構成を示す機能ブロック図である。 入力管理部の処理手順を示すフローチャートである。 データ転送を開始する前に読取り中止指示を受信した場合における入力データ加工部の処理手順を示すフローチャートである。 データ転送を開始した後に読取り中止指示を受信した場合における入力データ加工部の処理手順を示すフローチャートである。

符号の説明

１ 画像形成装置（複合機）
１ａ 課金装置
１０ コントローラ
１１ ＣＰＵ
１２ ＭＥＭ−Ｐ
１２ａ ＲＯＭ
１２ｂ ＲＡＭ
１３ ＮＢ
１４ ＳＢ
１５ ＡＧＰ
１６ ＡＳＩＣ
１７ ＭＥＭ−Ｃ
１８ ＨＤＤ
２０ オペレーションパネル
３０ ＦＣＵ
４０ ＵＳＢ
５０ ＩＥＥＥ１３９４
６０ エンジン部（Engine）
１００ 入力データ加工部
１０１ 書込部
１０２ 転送処理部
１０３ 消去部
１１０ 入力データ記憶部（入力バッファ）
１２０ 入力装置
１３０ 記憶装置
２００ 入力管理部

Claims (8)

1. 利用者の操作により入力されたデータを入力バッファに記憶し、該入力バッファに記憶したデータに対してデータ変換処理を行ったうえで変換後のデータを出力する入力装置と、前記入力装置から出力された変換後のデータを記憶する記憶装置と、前記記憶装置に記憶されている変換後のデータに基づいて画像を形成し出力する出力装置と、前記利用者の操作により入力されたデータを前記入力バッファに記憶する入力処理、および、前記入力バッファが記憶するデータを変換して前記記憶装置に転送する転送処理を動作させることが可能な制御装置とを備え、
   前記制御装置は、
   前記転送処理を中止すべき事由を検出したならば、該転送処理に対し中止指示をおこなう入力管理手段と、
   前記入力管理手段からの中止指示により前記入力バッファのデータを消去したうえで、前記転送処理を中止させる転送中止手段と
   を備えたことを特徴とする画像形成装置。
2. 前記転送中止手段は、前記中止指示を受けることなく前記転送処理が完了したならば、前記入力バッファに記憶されているデータを消去することを特徴とする請求項１に記載の画像形成装置。
3. 前記入力管理手段は、利用者による入力中止指示を取得したならば、かかる入力中止指示の取得を、前記中止すべき事由として検出することを特徴とする請求項１または２に記載の画像形成装置。
4. 前記入力管理手段は、前記入力処理に対し、前記入力バッファへのデータ書き込みの開始を指示することを特徴とする請求項１、２または３に記載の画像形成装置。
5. 前記入力管理手段は、有料データの提供に対する課金の実行をおこなう課金装置と通信して課金状態を取得し、該課金状態が課金実行不能状態に遷移したならば、該状態を前記中止すべき事由として検出することを特徴とする請求項１〜４のいずれか一つに記載の画像形成装置。
6. 前記入力管理手段は、前記課金状態が課金実行可能状態である場合に、前記入力処理に対し、前記入力バッファへのデータ書き込みの開始を指示することを特徴とする請求項５に記載の画像形成装置。
7. 前記入力管理手段は、前記中止指示をおこなうことなく前記転送処理が完了したならば、前記課金装置に対して課金の実行を指示することを特徴とする請求項５または６に記載の画像形成装置。
8. 利用者の操作により入力されたデータを入力バッファに記憶し、該入力バッファに記憶したデータに対してデータ変換処理を行ったうえで変換後のデータを出力する入力装置と、前記入力装置から出力された変換後のデータを記憶する記憶装置と、前記記憶装置に記憶されている変換後のデータに基づいて画像を形成し出力する出力装置と、前記利用者の操作により入力されたデータを前記入力バッファに記憶する入力処理、および、前記入力バッファが記憶するデータを変換して前記記憶装置に転送する転送処理を動作させることが可能な制御装置とを備える画像形成装置に搭載されるデータ漏洩防止プログラムであって、
   前記データ漏洩防止プログラムは、
   前記転送処理を中止すべき事由を検出したならば、該転送処理に対し中止指示をおこなう入力管理手順と、
   前記入力管理手順からの中止指示により前記入力バッファのデータを消去したうえで、前記転送処理を中止させる転送中止手順と
   を前記制御装置に実行させることを特徴とするデータ漏洩防止プログラム。

Images