JP4898503B2

JP4898503B2 - データ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラム

Info

Publication number: JP4898503B2
Application number: JP2007069652A
Authority: JP
Inventors: 雄一寺尾
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2007-03-16
Filing date: 2007-03-16
Publication date: 2012-03-14
Anticipated expiration: 2027-03-16
Also published as: JP2008236092A

Description

本発明は、データ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムに係り、特に暗号鍵によって暗号化されたデータを復旧するデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムに関する。

近年では、プリンタ，スキャナ，ファックス，コピー又は複合機（ＭＦＰ）等の画像処理装置においてもセキュリティに関する要求が高くなってきている。画像処理装置は周辺機器の一例である。現在では、複合機等の画像処理装置におけるセキュリティ標準であるＩＥＥＥＰ２６００において、装置内部に保存されるデータを保護するという要求、要件がある。

具体的に、画像処理装置ではアドレス帳や画（画像）情報等のユーザデータ，セキュリティログ等のセキュリティデータを格納しているストレージデバイスの盗難及び解析を防いで、ユーザデータ，セキュリティデータを保護する必要がある。ストレージデバイスに格納しているユーザデータ，セキュリティデータを保護する方法としては、一定強度以上の暗号を施すことが考えられる（例えば特許文献１〜３参照）。

また、ストレージデバイスに格納しているユーザデータ，セキュリティデータを保護する別の方法としては、暗号鍵をＴＰＭ（Trusted Platform Module ）に格納し、暗号鍵の漏洩を防止することが考えられる。

ユーザデータ等を保護するパーソナルコンピュータ（ＰＣ）やワークステーション等では起動ごとにパスワードを入力させる方法が一般的である。一方、複合機等の画像処理装置は複数のユーザ（操作者）が利用し、且つ誰もが電源をＯＮ／ＯＦＦすることが一般的な利用形態である。このような利用形態の画像処理装置では、ユーザデータ等を保護するものであっても、起動ごとにパスワードの入力をユーザへ強制することが難しい。

そこで、従来の画像処理装置には、ユーザデータ等を格納しているストレージデバイスの暗号鍵を自動生成し、その暗号鍵をＴＰＭに格納した別の暗号鍵で暗号化して、コントローラボード上の不揮発性メモリ等の不揮発性デバイスに保存しているものがあった。
特開２００５−１５８０４３号公報特開２００４−２０１０３８号公報国際公開第９９／０３８０７８号パンフレット

ユーザデータ等を格納しているストレージデバイスの暗号鍵を自動生成し、その暗号鍵をＴＰＭに格納した別の暗号鍵で暗号化して、コントローラボード上の不揮発性メモリ等の不揮発性デバイスに保存する従来の画像処理装置では、ストレージデバイスが盗難されたとしてもストレージデバイスの解読が困難である。

しかしながら、従来の画像処理装置では何らかの部品不良や部品寿命切れ等によりコントローラボードの交換が必要となった場合、ストレージデバイスに暗号化されて格納されているユーザデータ等を復号できなくなる。

実際、複合機等の家電品ではコントローラボード上の一部の故障部品のみを交換することは稀であり、コントローラボードごと交換することが一般的である。従って、画像処理装置ではコントローラボードの交換が頻繁に起こることが予想される。複合機等の画像処理装置において、コントローラボードの交換毎にユーザデータ等を復号できなくなるのでは都合が悪い。

本発明は、上記の点に鑑みなされたもので、装置内部の暗号鍵が使用不可となっても装置内部の記憶装置に暗号化されて格納されているデータを復旧することができるデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムを提供することを目的とする。

上記課題を解決するため、本発明は、セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納しているプロッタを有する画像処理装置のデータ復旧方法であって、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵をバックアップ鍵として前記プロッタに印刷させるバックアップステップと、前記第１暗号鍵が使用できないとき、前記バックアップ鍵が印刷された印刷物を用いて操作者に前記バックアップ鍵をリストアさせるリストアステップと、リストアさせた前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号ステップとを有することを特徴とする。

また、本発明は、セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納しているプロッタを有する画像処理装置であって、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵をバックアップ鍵として前記プロッタに印刷させるバックアップ手段と、前記第１暗号鍵が使用できないとき、前記バックアップ鍵が印刷された印刷物を用いて操作者に前記バックアップ鍵をリストアさせるリストア手段と、リストアさせた前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段とを有することを特徴とする。

また、本発明は、セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納するように構成されており、前記第２暗号鍵で暗号化されたデータを格納している第２記憶装置，プロッタを有する画像処理装置に含まれるコントローラボードであって、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵をバックアップ鍵として前記プロッタに印刷させるバックアップ手段と、前記第１暗号鍵が使用できないとき、前記バックアップ鍵が印刷された印刷物を用いて操作者に前記バックアップ鍵をリストアさせるリストア手段と、リストアさせた前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段とを有することを特徴とする。

また、本発明は、セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納しているプロッタを有する画像処理装置に、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵をバックアップ鍵として前記プロッタに印刷させるバックアップ手順と、前記第１暗号鍵が使用できないとき、前記バックアップ鍵が印刷された印刷物を用いて操作者に前記バックアップ鍵をリストアさせるリストア手順と、リストアさせた前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手順とを実行させるためのデータ復旧プログラムであることを特徴とする。

なお、本発明の構成要素、表現または構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、データ構造などに適用したものも本発明の態様として有効である。

本発明によれば、装置内部の暗号鍵が使用不可となっても装置内部の記憶装置に暗号化されて格納されているデータを復旧することができるデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムを提供可能である。

次に、本発明を実施するための最良の形態を、以下の実施例に基づき図面を参照しつつ説明していく。なお、本実施例では画像処理装置の一例として図１に示す複合機を例に説明するが、他の装置又は機器等であってもよい。例えば本発明における画像処理装置はコンピュータ等の情報処理装置にプロッタやスキャナ等を接続した形態であってもよい。

図１は本発明による複合機の一例のハードウェア構成図である。複合機１００は、コントローラボード１０１，オペポート１０９，プロッタ１１０，スキャナ１１１，ＮＶＲＡＭ１１２及びＨＤＤ１１３を含む構成である。コントローラボード１０１は、ＣＰＵ１０２，ＲＯＭ１０３，ＲＡＭ１０４，ＬＡＮコントローラ１０５，ＤＣＲ１０６，ＴＰＭ１０７，ＵＳＢフラッシュメモリ１０８，ＯＣＲ５０１を含む構成である。

コントローラボード１０１は、複合機１００の全体制御を行うマザーボード（基盤）である。ＣＰＵ１０２は演算処理を行う。ＲＯＭ１０３はプログラムを格納する。ＲＡＭ１０４はプログラムを動作し、又は一時的にデータを格納する。ＬＡＮコントローラ１０５はイーサネット（登録商標）や無線ＬＡＮ等のネットワークと接続する。ＤＣＲ１０６は画情報（ビットマップ）を電子文書に変換する。

ＴＰＭ１０７はコントローラボード１０１に直付けされるチップで実現される。特開２００４−２８２３９１号公報には、ＴＣＰＡ（Trusted Computing Platform Alliance）の仕様に基づいたＰＣにおける、ＴＰＭ（Trusted Platform Module ）を用いた情報の暗号化について記載されている。ＴＰＭ１０７はセキュアメモリの一例である。ＵＳＢフラッシュメモリ１０８は不揮発性メモリの一例である。ＯＣＲ５０１は印刷された文字情報を読み取り、符号化するものである。

オペポート１０９は、ユーザ操作入出力を行う。プロッタ１１０は、紙に画情報を印刷する。スキャナ１１１は、紙から画情報を読み取る。ＮＶＲＡＭ１１２は、不揮発性メモリ及びストレージデバイスの一例である。ＮＶＲＡＭ１１２は、各種パラメータを保持する。ＨＤＤ（ハードディスクドライブ）１１３はアドレス帳や画情報などの大量のデータを保持する。ＨＤＤ１１３はストレージデバイスの一例である。

複合機１００は、ＴＰＭ１０７の内部に暗号鍵Ｂ及びＣを暗号化又は復号するための暗号鍵Ａを保存している。また、複合機１００はＵＳＢフラッシュメモリ１０８に、暗号鍵Ａで暗号化された状態の暗号鍵Ｂ及びＣを保存している。暗号鍵ＢはＮＶＲＡＭ１１２を暗号化又は復号するためのものである。暗号鍵ＣはＨＤＤ１１３を暗号化又は復号するためのものである。

図２は本発明による複合機の一例のソフトウェア構成図である。複合機１００は、ＯＳ１１４，全体制御ソフトウェア（ＣＴＬ）１１５，コピーソフトウェア，プリンタソフトウェア，ファックスソフトウェア，スキャナソフトウェア及びドキュメントボックスソフトウェアから成るアプリケーション制御ソフトウェア１１６を含む構成である。

ＯＳ１１４はソフトウェアを動作させるためのオペレーティングシステムである。ＣＴＬ１１５は各アプリケーション制御ソフトウェア１１６に対して、データの集計、受け渡しを行うソフトウェアである。アプリケーション制御ソフトウェア１１６は複合機１００の各アプリケーションを制御するソフトウェアである。

図１及び図２に示した複合機１００は例えば図３及び図４に示すように起動する。図３は本発明による複合機の起動手順を表したフローチャートである。図４は本発明による複合機の起動手順を表したシーケンス図である。

まず、図３のフローチャートでは、複合機１００の電源がＯＮされると、ステップＳ１に進み、ＣＴＬ１１５がＴＰＭ１０７から暗号鍵Ａを取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。暗号鍵が設定されていれば（Ｓ２においてＹＥＳ）、ＣＴＬ１１５はステップＳ３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得し、その暗号鍵Ｂを用いてＨＤＤ１１３を復号する。ステップＳ８に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵が設定されていなければ（Ｓ２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。ステップＳ６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを読み出す。また、ステップＳ７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを読み出す。ステップＳ８に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

図４のシーケンス図は、ＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されているときの起動手順を表している。まず、図４のシーケンス図では、複合機１００の電源がＯＮされると、ステップＳ１１及びＳ１２において、ＣＴＬ１１５がＴＰＭ１０７から暗号鍵Ａを取得する。ステップＳ１３に進み、ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ１４に進み、ＣＴＬ１１５は復号した暗号鍵Ｂ及びＣをＵＳＢフラッシュメモリ１０８から取得する。ステップＳ１５に進み、ＣＴＬ１１５は暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。ステップＳ１６に進み、ＣＴＬ１１５は暗号鍵Ｃを用いてＨＤＤ１１３を復号する。そして、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

ここでは、本発明の理解を容易とするため、複合機１００のコントローラボード１０１の交換時に生じる問題点について説明する。図５はコントローラボードを交換した複合機の一例のハードウェア構成図である。

図５に示すように、コントローラボード１０１を交換した複合機１００では、ＵＳＢフラッシュメモリ１０８が初期化された状態となっており、暗号鍵Ａで暗号化された状態の暗号鍵Ｂ及びＣが保存されていない。したがって、コントローラボード１０１を交換した複合機１００では、ＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号鍵Ｂ及びＣで暗号化されて格納されているパラメータやデータを復号できないため、ＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号化されて格納されているパラメータやデータを復旧することができないという問題があった。結果として、コントローラボード１０１を交換した複合機１００では、ＮＶＲＡＭ１１２及びＨＤＤ１１３が故障していなくても、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化しなければならなかった。

なお、ＴＰＭ１０７は暗号鍵Ｂ及びＣを暗号化又は復号するための暗号鍵Ａと異なる暗号鍵Ａ'を保存している。ＴＰＭ１０７が保存している暗号鍵Ａ'は例えばコントローラボード１０１毎に異なる。

図６は本発明によるデータ復旧方法を表した概念図である。図６の上段はコントローラボード１０１の交換前の複合機１００を表している。図６の下段はコントローラボード１０１の交換後の複合機１００を表している。

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣを、プロッタ１１０により紙２００へ印刷しておく。印刷時、暗号鍵Ｂ及びＣはＢＡＳＥ６４やＱｕａｔｅｄ−Ｐｒｉｎｔａｂｌｅ等の印刷可能なデータ形式に変換される。

そして、コントローラボード１０１の交換後、本発明による複合機１００は紙２００に印刷されている暗号鍵Ｂ及びＣを操作パネルから入力されると、ＢＡＳＥ６４等の印刷可能なデータ形式に変換されている暗号鍵Ｂ及びＣを復号することで、ＵＳＢフラッシュメモリ１０８へ暗号鍵Ｂ及びＣをリストアする。

従って、本発明による複合機１００では、コントローラボード１０１の交換後であってもＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号鍵Ｂ及びＣで暗号化されて格納されているパラメータやデータを復号できる。また、本発明による複合機１００では、紙２００を利用して暗号鍵Ｂ及びＣのバックアップを行うため、暗号鍵のバックアップ用のデバイスを準備しなくてもよい。

図７は本発明による複合機の暗号鍵設定手順を表したフローチャートである。操作パネルやネットワーク経由で鍵変更指示（暗号鍵ｂ，ｃ→暗号鍵Ｂ，Ｃ）を受け取ると、ＣＴＬ１１５はステップＳ２１に進み、ＴＰＭ１０７から暗号鍵Ａを取得する。ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵ｂ及びｃを、暗号鍵Ａを用いて復号する。ＣＴＬ１１５は、復号した暗号鍵ｂ及びｃをＵＳＢフラッシュメモリ１０８から取得する。ＣＴＬ１１５は暗号鍵ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５は暗号鍵ｃを用いてＨＤＤ１１３を復号する。

ステップＳ２２に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣをＢＡＳＥ６４等の印刷可能なデータ形式に変換する。ステップＳ２３に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣを、プロッタ１１０により紙２００へ印刷する。ＣＴＬ１１５はプロッタ１１０による印刷が成功すれば（Ｓ２４においてＹＥＳ）、ステップＳ２５に進み、新しい暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３を再び暗号化する。そして、ステップＳ２５からステップＳ２６に進み、ＣＴＬ１１５は操作パネルに操作画面を表示させて暗号鍵の設定を終了する。

一方、ＣＴＬ１１５は用紙切れ等、何らかの原因でプロッタ１１０による暗号鍵Ｂ及びＣの印刷が成功しなければ（Ｓ２４においてＮＯ）、ステップＳ２７に進み、操作パネルにエラー画面を表示する。ステップＳ２８に進み、ＣＴＬ１１５はエラー状況が回復したか否かを判定する。プロッタ１１０による印刷が完了すれば、ＣＴＬ１１５はエラー状況が回復したと判定する。

例えば所定時間が過ぎてもエラー状況が回復しなければ（Ｓ２８においてＮＯ）、ＣＴＬ１１５はステップＳ２９に進み、操作パネルに暗号鍵の設定失敗画面を表示する。ＣＴＬ１１５は所定時間が過ぎるまでにエラー状況が回復すれば（Ｓ２８においてＹＥＳ）、ステップＳ２５に進む。

このように、複合機１００では暗号鍵設定手順の中で暗号鍵Ｂ及びＣを印刷した紙２００の出力を行うため、暗号鍵Ｂ及びＣのバックアップを忘れることが無くなり、より確実に復旧を行うことができる。

図８のシーケンス図は、新しい暗号鍵Ｂ及びＣの印刷が成功したときの暗号鍵設定手順を表している。ステップＳ３１では、ＣＴＬ１１５が、操作パネルやネットワーク経由で鍵変更指示（暗号鍵ｂ，ｃ→暗号鍵Ｂ，Ｃ）を受け取る。ＣＴＬ１１５はステップＳ３２及びＳ３３に進み、ＴＰＭ１０７から暗号鍵Ａを取得する。

ステップＳ３４及びＳ３５に進み、ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵ｂ及びｃを、暗号鍵Ａを用いて復号し、復号した暗号鍵ｂ及びｃをＵＳＢフラッシュメモリ１０８から取得する。ＣＴＬ１１５はステップＳ３６及びＳ３７に進み、暗号鍵ｂ及びｃを用いてＮＶＲＡＭ１１２及びＨＤＤ１１３を復号する。

ステップＳ３８及びＳ３９に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣをプロッタ１１０により紙２００へ印刷する。暗号鍵Ｂ及びＣの印刷が成功したため、ＣＴＬ１１５はステップＳ４０及びＳ４１に進み、暗号鍵Ｂ及びＣを暗号鍵Ａで暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。

そして、ステップＳ４２及びＳ４３に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３を再び暗号化する。そして、ＣＴＬ１１５はステップＳ４４に進み、新しい暗号鍵Ｂ及びＣの設定が成功したため、操作パネルへ操作画面を表示させて暗号鍵の設定を終了する。

図９は複合機における起動手順を表したフローチャートである。図１０はコントローラボード交換後の複合機における起動手順を表したシーケンス図である。

複合機１００の電源がＯＮされると、ステップＳ５１及びＳ５２に進み、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ又はＡ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。

暗号鍵が設定されていれば（Ｓ５２においてＹＥＳ）、ＣＴＬ１１５はステップＳ５３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ５４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ５５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得してＨＤＤ１１３を復号する。ステップＳ６６に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵が設定されていなければ（Ｓ５２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。例えばコントローラボード１０１の交換後、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。

ステップＳ５６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを平文として読み出す。また、ステップＳ５７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを平文として読み出す。

ステップＳ５８に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からの各種パラメータの読み出し、及びＨＤＤ１１３からのデータの読み出しに読み込みエラーが発生したか否かを判定する。例えばコントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータが暗号化されていれば、平文として読み出すと読み出しエラーが発生する。読み出しエラーが発生しなければ（Ｓ５８においてＮＯ）、ＣＴＬ１１５はステップＳ６６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

読み出しエラーが発生すれば（Ｓ５８においてＹＥＳ）、ＣＴＬ１１５はステップＳ５９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネルに表示する。

図１１は暗号鍵のリストア又はストレージデバイスの初期化を選択させる画面の一例のイメージ図である。画面１０００には、暗号鍵のリストアを選択するボタン１００１及びストレージデバイスの初期化を選択するボタン１００２が含まれている。ボタン１００１がユーザにより押下されると、ＣＴＬ１１５は図１２に示すような画面１１００を操作パネルに表示する。

図１２は暗号鍵をリストアする為の画面の一例のイメージ図である。図１２の画面１１００には、ＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を入力する為の入力欄が含まれている。ユーザは画面１１００が操作パネルに表示されている間に、紙２００に印刷されているＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵Ｂ及びＣを操作パネルから手入力で入力する。

操作パネルからＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵が入力されると、ＣＴＬ１１５はステップＳ６０に進み、ＢＡＳＥ６４等の印刷可能なデータ形式に変換されている暗号鍵Ｂ及びＣを復号する。ステップＳ６１及びＳ６２に進み、ＣＴＬ１１５は復号した暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。

ステップＳ６３に進み、復号エラーが発生しなければ（Ｓ６３においてＮＯ）、ＣＴＬ１１５はステップＳ６４に進み、画面１１００に入力されたＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ６６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ６３においてＹＥＳ）、ＣＴＬ１１５はステップＳ５９に戻り、再び画面１０００を操作パネルに表示する。画面１０００のボタン１００２がユーザにより押下されると、ＣＴＬ１１５はステップＳ６５に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５はステップＳ６６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵Ｂ及びＣを印刷した紙２００の紛失や暗号鍵Ｂ及びＣをバックアップしていない場合は、ＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号化されて格納されているパラメータやデータを復旧することができない為、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化するかをユーザに選択させるボタン１００２を画面１０００に設けている。

なお、画面１１００ではＮＶＲＡＭ１１２及びＨＤＤ１１３の双方が暗号化されている例を示しているが、どちらか一方が暗号化されるようにしてもよい。この場合、暗号化されていないストレージデバイスは画面１１００に含まれていなくてもよい。また、暗号化されていないストレージデバイスの復号をスキップするようにしてもよい。

図１０のシーケンス図は、コントローラボード交換後の複合機において、新しい暗号鍵をリストアするときの起動手順を表している。複合機１００の電源がＯＮされると、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。

コントローラボード１０１の交換後であるため、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。したがって、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。

ステップＳ７１に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３から各種パラメータ及びデータを平文として読み出す。コントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータは暗号化されているため、平文として読み出すと読み出しエラーが発生する。

読み出しエラーが発生した為、ＣＴＬ１１５はステップＳ７３及びＳ７４に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネル１１８に表示する。ボタン１００１がユーザにより押下されると、ＣＴＬ１１５は図１２に示すような画面１１００を操作パネル１１８に表示してＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を入力させる。

ユーザは紙２００に印刷されているＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵Ｂ及びＣを操作パネル１１８から手入力で入力する。ＣＴＬ１１５は操作パネル１１８からＢＡＳＥ６４等の印刷可能なデータ形式に変換されている暗号鍵Ｂ及びＣを取得する。ＣＴＬ１１５は、ユーザによって入力された、ＢＡＳＥ６４等の印刷可能なデータ形式に変換されている暗号鍵Ｂ及びＣを復号する。

ステップＳ７５及びＳ７６に進み、復号した暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。復号エラーが発生しない為、ＣＴＬ１１５はステップＳ７７及びＳ７８に進み、復号した暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。ステップＳ７８の後、ＣＴＬ１１５はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

上記説明では、ＵＳＢフラッシュメモリ１０８に、暗号鍵Ａで暗号化された状態の暗号鍵Ｂ及びＣを保存しているが、例えば図１３のような構成も考えられる。図１３は暗号鍵の格納場所を示した概念図である。図１３では、ＮＶＲＡＭ１１２に、暗号鍵Ｂで暗号化された状態のＨＤＤ１１３の暗号鍵Ｃを保存している。

このように、本発明による複合機１００は、複数のストレージデバイスの中で最も信頼できるセキュアなストレージデバイスに他のストレージデバイスの暗号鍵を暗号化された状態で保存することもできる。ＮＶＲＡＭ１１２に、暗号鍵Ｂで暗号化された状態のＨＤＤ１１３の暗号鍵Ｃを保存することで、複合機１００は暗号鍵Ｃをバックアップしておく必要がなくなる。

図１３の複合機１００はコントローラボード１０１上のＵＳＢフラッシュメモリ１０８内にもＨＤＤ１１３の暗号鍵Ｃを格納しているが、ＵＳＢフラッシュメモリ１０８内に暗号鍵Ｃを格納していなくても正常時およびコントローラボード１０１の交換時にＨＤＤ１１３を復旧できる。ただし、ＵＳＢフラッシュメモリ１０８内に暗号鍵Ｃを格納しておくことで、複合機１００はコントローラボード１０１に異常が無く、ＮＶＲＡＭ１１２に異常があった場合においてもＨＤＤ１１３を復旧できるというメリットがある。

図１４は暗号鍵の格納場所を示した他の例の概念図である。図１４では、ＨＤＤ１１３の記憶領域が複数のパーティションに分かれており、そのバーティション毎に、それぞれ別の暗号鍵Ｃ１〜Ｃｎで暗号化されている。なお、ＨＤＤ１１３は複数のユーザ毎に暗号鍵Ｃ１〜Ｃｎを分けて、その暗号鍵Ｃ１〜Ｃｎで暗号化されてもよい。複合機１００はＮＶＲＡＭ１１２に、暗号鍵Ｂで暗号化された状態のＨＤＤ１１３の暗号鍵Ｃ１〜Ｃｎを保存している。

図１３のように暗号鍵Ｃを保存している複合機１００は、図１５のフローチャートのように起動する。図１５は、複合機における起動手順を表したフローチャートである。

複合機１００の電源がＯＮされると、ステップＳ８１及びＳ８２に進み、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ又はＡ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。

暗号鍵が設定されていれば（Ｓ８２においてＹＥＳ）、ＣＴＬ１１５はステップＳ８３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ８４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ８５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得してＨＤＤ１１３を復号する。ステップＳ９６に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵が設定されていなければ（Ｓ８２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。例えばコントローラボード１０１の交換後、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。

ステップＳ８６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを平文として読み出す。また、ステップＳ８７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを平文として読み出す。

ステップＳ８８に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からの各種パラメータの読み出し、及びＨＤＤ１１３からのデータの読み出しに読み込みエラーが発生したか否かを判定する。例えばコントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータが暗号化されていれば、平文として読み出すと読み出しエラーが発生する。読み出しエラーが発生しなければ（Ｓ８８においてＮＯ）、ＣＴＬ１１５はステップＳ９６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

読み出しエラーが発生すれば（Ｓ８８においてＹＥＳ）、ＣＴＬ１１５はステップＳ８９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネルに表示する。暗号鍵のリストアが選択されると、ＣＴＬ１１５は図１２に示すような画面１１００を操作パネルに表示する。ユーザは画面１１００が操作パネルに表示されている間に、紙２００に印刷されているＮＶＲＡＭ１１２の暗号鍵Ｂを操作パネルから手入力で入力する。

操作パネルからＮＶＲＡＭ１１２の暗号鍵が入力されると、ＣＴＬ１１５は、ステップＳ９０に進み、ＢＡＳＥ６４等の印刷可能なデータ形式に変換されている暗号鍵Ｂを復号する。ＣＴＬ１１５は、復号した暗号鍵ＢでＮＶＲＡＭ１１２の復号を試みる。

ステップＳ９１に進み、復号エラーが発生しなければ（Ｓ９１においてＮＯ）、ＣＴＬ１１５はステップＳ９２に進み、画面１１００に入力されたＮＶＲＡＭ１１２の暗号鍵を新しい暗号鍵として、暗号鍵Ａ'で暗号化したあと、ＵＳＢフラッシュメモリ１０８に保存する。

ステップＳ９３に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からＨＤＤ１１３の暗号鍵Ｃを取り出す。ステップＳ９４に進み、ＣＴＬ１１５は暗号鍵ＣでＨＤＤ１１３の復号を行う。ＣＴＬ１１５は、ＨＤＤ１１３の暗号鍵Ｃを新しい暗号鍵として、暗号鍵Ａ'で暗号化したあと、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ９６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ９１においてＹＥＳ）、ＣＴＬ１１５はステップＳ８９に戻り、再び画面１０００を操作パネルに表示する。ストレージデバイスの初期化が選択されると、ＣＴＬ１１５はステップＳ９５に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。そして、ＣＴＬ１１５はステップＳ９６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵Ｂ及びＣは、例えば図１６のような構成としてもよい。図１６は暗号鍵の構成を示した概念図である。図１６では、ＮＶＲＡＭ１１２の暗号化に、例えば機種共通の固定鍵と、暗号鍵Ｂとを利用する。

機種共通の固定鍵は製造工程でコントローラボード１０１に格納される。固定鍵を利用すると、暗号鍵Ｂは鍵長が短くなる。例えば鍵長が１２８ｂｉｔの場合、機種共通の固定値を６４ｂｉｔとすることで、暗号鍵Ｂは６４ｂｉｔとなり、リストア時に８バイト（１１文字）を入力すればよい。このように、機種共通の固定鍵を利用すると、暗号鍵Ｂが漏洩しても復号には同じ機種のコントローラボード１０１が必要となるため、攻撃コストが高くなり、より安全となる。

図１７は本発明によるデータ復旧方法を表した概念図である。図１７の上段は、コントローラボード１０１の交換前の複合機１００を表している。図１７の下段はコントローラボード１０１の交換後の複合機１００を表している。

そして、コントローラボード１０１の交換後、本発明による複合機１００は紙２００に印刷されている暗号鍵Ｂ及びＣをスキャナ１１１で読み取り、紙２００に印字されている文字をＯＣＲ５０１により符号化する。そして、複合機１００はＢＡＳＥ６４等の印刷可能なデータ形式に変換されている暗号鍵Ｂ及びＣを復号することで、ＵＳＢフラッシュメモリ１０８へ暗号鍵Ｂ及びＣをリストアする。

従って、本発明による複合機１００では、コントローラボード１０１の交換後であってもＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号鍵Ｂ及びＣで暗号化されて格納されているパラメータやデータを復号できる。さらに、本発明による複合機１００では、紙２００をスキャナ１１１で読み取るため、入力の手間を省くことができる。

図１８はコントローラボード交換後の複合機における起動手順を表したフローチャートである。複合機１００の電源がＯＮされると、ステップＳ１０１及びＳ１０２に進み、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ又はＡ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。

暗号鍵が設定されていれば（Ｓ１０２においてＹＥＳ）、ＣＴＬ１１５はステップＳ１０３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ１０４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ１０５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得してＨＤＤ１１３を復号する。ステップＳ１１５に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵が設定されていなければ（Ｓ１０２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。例えばコントローラボード１０１の交換後、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。

ステップＳ１０６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを平文として読み出す。ステップＳ１０７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを平文として読み出す。

ステップＳ１０８に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からの各種パラメータの読み出し、及びＨＤＤ１１３からのデータの読み出しに読み込みエラーが発生したか否かを判定する。例えばコントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータが暗号化されていれば、平文として読み出すと読み出しエラーが発生する。読み出しエラーが発生しなければ（Ｓ１０８においてＮＯ）、ＣＴＬ１１５はステップＳ１１５に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

読み出しエラーが発生すれば（Ｓ１０８においてＹＥＳ）、ＣＴＬ１１５はステップＳ１０９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１９に示すような画面１２００を操作パネルに表示する。

図１９は暗号鍵のリストア又はストレージデバイスの初期化を選択させる画面の一例のイメージ図である。画面１２００には、暗号鍵のリストアを選択するボタン１２０１及びストレージデバイスの初期化を選択するボタン１２０２が含まれている。ボタン１２０１がユーザにより押下されると、ＣＴＬ１１５は図２０に示すような画面１３００を操作パネルに表示する。

図２０は暗号鍵をリストアする為の画面の一例のイメージ図である。図２０の画面１３００には、暗号鍵Ｂ及びＣが印刷された紙２００をユーザにスキャナ１１１にセットさせる為のメッセージが含まれている。ユーザは紙２００をスキャナ１１１にセットし、ＯＫボタン１３０１を押下する。

ＯＫボタン１３０１が押下されると、ＣＴＬ１１５はステップＳ１１０に進み、セットされた紙２００をスキャナ１１１にスキャンさせる。ＣＴＬ１１５はスキャナ１１１が紙２００から読み取った文字をＯＣＲ５０１により符号化したあと、ＢＡＳＥ６４等の印刷可能なデータ形式に変換されている暗号鍵Ｂ及びＣを復号する。ステップＳ１１１及びＳ１１２に進み、ＣＴＬ１１５は復号した暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。

ステップＳ１１３に進み、復号エラーが発生しなければ（Ｓ１１３においてＮＯ）、ＣＴＬ１１５は紙２００から読み取ったＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ１１５に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ１１３においてＹＥＳ）、ＣＴＬ１１５はステップＳ１０９に戻り、再び画面１２００を操作パネルに表示する。画面１２００のボタン１２０２がユーザにより押下されると、ＣＴＬ１１５はステップＳ１１４に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５は、ステップＳ１１５に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

また、複合機１００は紙２００に文字でなくバーコードやＱＲコード等を印刷するようにしてもよい。なお、複合機１００は、復号が困難となるようにオリジナルのコード等であってもよい。紙２００に文字でなくＱＲコード等を印刷しておくことで、複合機１００のセキュリティは更に高まる。

図２１はコントローラボード交換後の複合機における起動手順を表したフローチャートである。なお、図２１のフローチャートは図１８のフローチャートと一部を除き同様であるため、適宜説明を省略する。

図２１のステップＳ１２１〜Ｓ１２８は、図１８のステップＳ１０１〜Ｓ１０８と同様である。ステップＳ１２９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１９に示すような画面１２００を操作パネルに表示する。ボタン１２０１がユーザにより押下されると、ＣＴＬ１１５は図２０に示す画面１３００を操作パネルに表示する。

ユーザは図２２に示す紙３００をスキャナ１１１にセットし、ＯＫボタン１３０１を押下する。ＯＫボタン１３０１が押下されると、ステップＳ１３０に進み、ＣＴＬ１１５はセットされた紙３００をスキャナ１１１にスキャンさせる。紙３００には、暗号鍵Ｂ及びＣを表すＱＲコード３０１が印刷されている。

ＣＴＬ１１５はスキャナ１１１が紙３００からＱＲコード３０１を読み取る。ＣＴＬ１１５はＱＲコード３０１から暗号鍵Ｂ及びＣを復号する。ステップＳ１３１及びＳ１３２に進み、ＣＴＬ１１５は復号した暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。

ステップＳ１３３に進み、復号エラーが発生しなければ（Ｓ１３３においてＮＯ）、ＣＴＬ１１５はステップＳ１３４に進み、紙３００から読み取ったＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ１３６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ１３３においてＹＥＳ）、ＣＴＬ１１５はステップＳ１２９に戻り、再び画面１２００を操作パネルに表示する。画面１２００のボタン１２０２がユーザにより押下されると、ＣＴＬ１１５はステップＳ１３５に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５は、ステップＳ１３６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

また、複合機１００は紙２００にＱＲコード等と共に、地紋パターンを印刷するようにしてもよい。紙２００にＱＲコード等と共に地紋パターンを印刷しておくことで、紙２００がオリジナルであるか判定できるので複合機１００のセキュリティは更に高まる。

図２３はコントローラボード交換後の複合機における起動手順を表したフローチャートである。なお、図２３のフローチャートは図２１のフローチャートと一部を除き同様であるため、適宜説明を省略する。

図２３のステップＳ１４１〜Ｓ１４８は、図２１のステップＳ１２１〜Ｓ１２８と同様である。ステップＳ１４９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１９に示すような画面１２００を操作パネルに表示する。ボタン１２０１がユーザにより押下されると、ＣＴＬ１１５は図２０に示す画面１３００を操作パネルに表示する。

ユーザはＱＲコード３０１と共に、地紋パターンが印刷された紙３００をスキャナ１１１にセットし、ＯＫボタン１３０１を押下する。ＯＫボタン１３０１が押下されると、ＣＴＬ１１５はステップＳ１５０に進み、セットされた紙３００をスキャナ１１１にスキャンさせる。

ＣＴＬ１１５は紙３００から読み取った地紋パターンのチェックを行い、紙３００がオリジナルであるかコピーであるかを判定する。コピーであれば、ＣＴＬ１１５はステップＳ１５６に進み、エラー終了する。

オリジナルであれば、ＣＴＬ１１５はステップＳ１５１に進み、紙３００から読み取ったＱＲコード３０１から暗号鍵Ｂ及びＣを復号する。ステップＳ１５２及びＳ１５３に進み、ＣＴＬ１１５は復号した暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。

ステップＳ１５４に進み、復号エラーが発生しなければ（Ｓ１５４においてＮＯ）、ＣＴＬ１１５はステップＳ１５５に進み、紙３００から読み取ったＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ１５８に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ１５４においてＹＥＳ）、ＣＴＬ１１５はステップＳ１４９に戻り、再び画面１２００を操作パネルに表示する。画面１２００のボタン１２０２がユーザにより押下されると、ＣＴＬ１１５はステップＳ１５７に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５は、ステップＳ１５８に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

また、複合機１００は地紋パターンのチェックの他、パスワードによるチェックを設けてもよい。パスワードによるチェックを設けることで、複合機１００のセキュリティは更に高まる。

図２４はコントローラボード交換後の複合機における起動手順を表したフローチャートである。なお、図２４のフローチャートは図２３のフローチャートと一部を除き同様であるため、適宜説明を省略する。

図２４のステップＳ１６１〜Ｓ１６８は、図２３のステップＳ１４１〜Ｓ１４８と同様である。ステップＳ１６９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図２５に示すような画面１４００を操作パネルに表示する。ボタン１４０１がユーザにより押下されると、ＣＴＬ１１５は図２５に示す画面１５００を操作パネルに表示する。

ユーザはＱＲコード３０１と共に、地紋パターンが印刷された紙３００をスキャナ１１１にセットし、ＯＫボタン１５０１を押下する。ＯＫボタン１５０１が押下されると、ＣＴＬ１１５はステップＳ１７０に進み、セットされた紙３００をスキャナ１１１にスキャンさせる。

オリジナルであれば、ＣＴＬ１１５はステップＳ１７１に進み、パスワードを入力させる図２５に示す画面１６００を操作パネルに表示する。ユーザは操作パネルを操作して画面１６００にパスワードを入力したあと、ボタン１６０１を押下する。すると、ＣＴＬ１１５は画面１６００に入力されたパスワードのチェックを行い、パスワードが一致するか否かを判定する。パスワードが一致しなければ（Ｓ１７１においてＮＯ）、ＣＴＬ１１５はステップＳ１６９に戻り、再び画面１４００を操作パネルに表示する。

パスワードが一致すれば（Ｓ１７１においてＹＥＳ）、ＣＴＬ１１５はステップＳ１７２に進み、紙３００から読み取ったＱＲコード３０１から暗号鍵Ｂ及びＣを復号する。ステップＳ１７３及びＳ１７４に進み、ＣＴＬ１１５は復号した暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。

ステップＳ１７５に進み、復号エラーが発生しなければ（Ｓ１７５においてＮＯ）、ＣＴＬ１１５はステップＳ１７６に進み、紙３００から読み取ったＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ１７９に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ１７５においてＹＥＳ）、ＣＴＬ１１５はステップＳ１６９に戻り、再び画面１４００を操作パネルに表示する。画面１４００のボタン１４０２がユーザにより押下されると、ＣＴＬ１１５はステップＳ１７８に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５は、ステップＳ１７９に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

また、複合機１００は複数のＱＲコードを一度に読み取るようにしてもよい。図２６及び図２７はコントローラボード交換後の複合機における起動手順を表したフローチャートである。なお、図２６及び図２７のフローチャートは図２４のフローチャートと一部を除き同様であるため、適宜説明を省略する。

図２６のステップＳ１８１〜Ｓ１８８は、図２４のステップＳ１６１〜Ｓ１６８と同様である。ステップＳ１８９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図２５に示すような画面１４００を操作パネルに表示する。ボタン１４０１がユーザにより押下されると、ＣＴＬ１１５は図２５に示す画面１５００を操作パネルに表示する。

ユーザは複数のＱＲコード４０１，４０２と共に、地紋パターンが印刷された図２８に示すような紙４００をスキャナ１１１にセットし、ＯＫボタン１５０１を押下する。ＯＫボタン１５０１が押下されると、ＣＴＬ１１５はステップＳ１９０に進み、セットされた紙４００をスキャナ１１１にスキャンさせる。

ＣＴＬ１１５は紙４００から読み取った地紋パターンのチェックを行い、紙４００がオリジナルであるかコピーであるかを判定する。コピーであれば、ＣＴＬ１１５はステップＳ１９９に進み、エラー終了する。

オリジナルであれば、ＣＴＬ１１５はステップＳ１９１に進み、パスワードを入力させる図２５に示す画面１６００を操作パネルに表示する。パスワードの入力は、ＱＲコード４０１，４０２毎に行う。ユーザは操作パネルを操作して画面１６００にパスワードを入力したあと、ボタン１６０１を押下する。

ＣＴＬ１１５はステップＳ１９２に進み、パスワードのチェックを行い、パスワードが一致するか否かを判定する。パスワードが一致しなければ（Ｓ１９２においてＮＯ）、ＣＴＬ１１５はステップＳ１８９に戻り、再び画面１４００を操作パネルに表示する。

パスワードが一致すれば（Ｓ１９２においてＹＥＳ）、ＣＴＬ１１５はステップＳ１９３に進み、紙４００から読み取ったＱＲコード４０１から暗号鍵Ｂを復号する。ステップＳ１９４に進み、ＣＴＬ１１５は紙４００に印刷されている全てのＱＲコードの復号が完了したか否かを判定する。

ＱＲコードの復号が完了していなければ（Ｓ１９４においてＮＯ）、ＣＴＬ１１５はステップＳ１９１に戻り、再び画面１６００を操作パネルに表示する。図２８の紙４００の場合はステップＳ１９１〜Ｓ１９４の処理を２回行うことで、ＱＲコード４０１及び４０２を復号する。

ＱＲコードの復号が完了すれば（Ｓ１９４においてＹＥＳ）、ステップＳ１９５及びＳ１９６に進み、ＣＴＬ１１５は復号した暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。

ステップＳ１９７に進み、復号エラーが発生しなければ（Ｓ１９７においてＮＯ）、ＣＴＬ１１５はステップＳ１９８に進み、紙４００から読み取ったＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ２０１に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ１９７においてＹＥＳ）、ＣＴＬ１１５はステップＳ１８９に戻り、再び画面１４００を操作パネルに表示する。画面１４００のボタン１４０２がユーザにより押下されると、ＣＴＬ１１５はステップＳ２００に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５は、ステップＳ２０１に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

図２８の紙４００は、複数のストレージデバイスであるＮＶＲＡＭ１１２，ＨＤＤ１３３の暗号鍵ごとにＱＲコード４０１，４０２を印刷した例である。その他、図２９の紙５００のように、複合機１００は、セキュリティ情報，非セキュリティ情報などの情報の種類に応じてステップＳ１９１，１９２のパスワードのチェックを行ったり、スキップしたりしてもよい。さらに、図３０の紙６００のように、複合機１００はユーザの情報毎に暗号鍵を設け、ユーザの暗号鍵を表すＱＲコードを印刷した紙６００をユーザ毎に用意してもよい。図２６及び図２７のフローチャートは、ＡＤＦ（自動原稿送り装置）を利用する場合にも適用できる。

本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

本発明による複合機の一例のハードウェア構成図である。本発明による複合機の一例のソフトウェア構成図である。本発明による複合機の起動手順を表したフローチャートである。本発明による複合機の起動手順を表したシーケンス図である。コントローラボードを交換した複合機の一例のハードウェア構成図である。本発明によるデータ復旧方法を表した概念図である。本発明による複合機の暗号鍵設定手順を表したフローチャートである。新しい暗号鍵の外部出力が成功したときの暗号鍵設定手順を表したシーケンス図である。複合機における起動手順を表したフローチャートである。コントローラボード交換後の複合機における起動手順を表したシーケンス図である。暗号鍵のリストア又はストレージデバイスの初期化を選択させる画面の一例のイメージ図である。暗号鍵をリストアする為の画面の一例のイメージ図である。暗号鍵の格納場所を示した概念図である。暗号鍵の格納場所を示した他の例の概念図である。複合機における起動手順を表したフローチャートである。暗号鍵の構成を示した概念図である。本発明によるデータ復旧方法を表した概念図である。コントローラボード交換後の複合機における起動手順を表したフローチャートである。暗号鍵のリストア又はストレージデバイスの初期化を選択させる画面の一例のイメージ図である。暗号鍵をリストアする為の画面の一例のイメージ図である。コントローラボード交換後の複合機における起動手順を表したフローチャートである。ＱＲコードが印刷された紙のイメージ図である。コントローラボード交換後の複合機における起動手順を表したフローチャートである。コントローラボード交換後の複合機における起動手順を表したフローチャートである。暗号鍵をリストアする為の画面の一例の遷移図である。コントローラボード交換後の複合機における起動手順を表したフローチャート（１／２）である。コントローラボード交換後の複合機における起動手順を表したフローチャート（２／２）である。ＱＲコードが印刷された紙のイメージ図である。ＱＲコードが印刷された紙のイメージ図である。ＱＲコードが印刷された紙のイメージ図である。

符号の説明

１００複合機
１０１コントローラボード
１０２ＣＰＵ
１０３ＲＯＭ
１０４ＲＡＭ
１０５ＬＡＮコントローラ
１０６ＤＣＲ
１０７ＴＰＭ
１０８ＵＳＢフラッシュメモリ
１０９オペポート
１１０プロッタ
１１１スキャナ
１１２ＮＶＲＡＭ
１１３ＨＤＤ
１１４ＯＳ
１１５全体制御ソフトウェア（ＣＴＬ）
１１６アプリケーション制御ソフトウェア１１６
１１８操作パネル
２００，３００，４００，５００，６００紙
５０１ＯＣＲ

Claims

セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納しているプロッタを有する画像処理装置のデータ復旧方法であって、
前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵をバックアップ鍵として前記プロッタに印刷させるバックアップステップと、
前記第１暗号鍵が使用できないとき、前記バックアップ鍵が印刷された印刷物を用いて操作者に前記バックアップ鍵をリストアさせるリストアステップと、
リストアさせた前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号ステップと
を有することを特徴とするデータ復旧方法。
前記バックアップステップは、前記第２暗号鍵を印刷可能なデータ形式に変換した後で前記プロッタに印刷させることを特徴とする請求項１記載のデータ復旧方法。
前記第２暗号鍵が複数あるとき、１つの前記第２暗号鍵を前記バックアップ鍵とし、１つの前記第２暗号鍵で残りの前記第２暗号鍵を暗号化して前記第２記憶装置に格納しておくことを特徴とする請求項１記載のデータ復旧方法。
前記バックアップステップは、前記バックアップ鍵をユーザ毎又は前記第２記憶装置の領域毎にバックアップすることを特徴とする請求項１記載のデータ復旧方法。
前記第２暗号鍵は固定部分と可変部分とで構成され、前記バックアップステップは前記第２暗号鍵の可変部分をバックアップし、前記リストアステップは前記第２暗号鍵の固定部分と、操作者からリストアされた前記第２暗号鍵の可変部分とに基づき、前記バックアップ鍵を生成し、そのバックアップ鍵を前記画像処理装置の内部にリストアすることを特徴とする請求項１記載のデータ復旧方法。
前記画像処理装置は更にスキャナを有し、前記リストアステップは、前記スキャナに前記印刷物を読み取らせて前記バックアップ鍵をリストアさせることを特徴とする請求項１記載のデータ復旧方法。
前記バックアップステップは、前記第２暗号鍵を印刷可能なコードに変換した後で前記プロッタに印刷させ、前記前記リストアステップは、前記スキャナに前記印刷物を読み取らせて前記コードからバックアップ鍵をリストアさせることを特徴とする請求項６記載のデータ復旧方法。
前記バックアップステップは、前記第２暗号鍵と共に地紋パターンを前記プロッタに印刷させ、前記前記リストアステップは、前記スキャナに前記印刷物を読み取らせて前記地紋パターンをチェックしたあと、前記印刷物から前記バックアップ鍵をリストアさせることを特徴とする請求項７記載のデータ復旧方法。
前記バックアップステップは、操作者によって入力されたパスワードをチェックしたあとで前記印刷物から前記バックアップ鍵をリストアさせることを特徴とする請求項８記載のデータ復旧方法。
前記セキュアメモリは全体制御を行うコントローラボードに搭載されており、前記第１暗号鍵を読み出し専用不揮発領域に格納していることを特徴とする請求項１記載のデータ復旧方法。
セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納しているプロッタを有する画像処理装置であって、
前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵をバックアップ鍵として前記プロッタに印刷させるバックアップ手段と、
前記第１暗号鍵が使用できないとき、前記バックアップ鍵が印刷された印刷物を用いて操作者に前記バックアップ鍵をリストアさせるリストア手段と、
リストアさせた前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段と
を有することを特徴とする画像処理装置。
前記バックアップ手段は、前記第２暗号鍵を印刷可能なデータ形式に変換した後で前記プロッタに印刷させることを特徴とする請求項１１記載の画像処理装置。
前記第２暗号鍵が複数あるとき、１つの前記第２暗号鍵を前記バックアップ鍵とし、１つの前記第２暗号鍵で残りの前記第２暗号鍵を暗号化して前記第２記憶装置に格納しておくことを特徴とする請求項１１記載の画像処理装置。
前記バックアップ手段は、前記バックアップ鍵をユーザ毎又は前記第２記憶装置の領域毎にバックアップすることを特徴とする請求項１１記載の画像処理装置。
前記第２暗号鍵は固定部分と可変部分とで構成され、前記バックアップ手段は前記第２暗号鍵の可変部分をバックアップし、前記リストア手段は前記第２暗号鍵の固定部分と、操作者からリストアされた前記第２暗号鍵の可変部分とに基づき、前記バックアップ鍵を生成し、そのバックアップ鍵を前記画像処理装置の内部にリストアすることを特徴とする請求項１１記載の画像処理装置。
更にスキャナを有し、前記リストア手段は、前記スキャナに前記印刷物を読み取らせて前記バックアップ鍵をリストアさせることを特徴とする請求項１１記載の画像処理装置。
前記バックアップ手段は、前記第２暗号鍵を印刷可能なコードに変換した後で前記プロッタに印刷させ、前記前記リストア手段は、前記スキャナに前記印刷物を読み取らせて前記コードからバックアップ鍵をリストアさせることを特徴とする請求項１６記載の画像処理装置。
前記バックアップ手段は、前記第２暗号鍵と共に地紋パターンを前記プロッタに印刷させ、前記前記リストア手段は、前記スキャナに前記印刷物を読み取らせて前記地紋パターンをチェックしたあと、前記印刷物から前記バックアップ鍵をリストアさせることを特徴とする請求項１７記載の画像処理装置。
前記バックアップ手段は、操作者によって入力されたパスワードをチェックしたあとで前記印刷物から前記バックアップ鍵をリストアさせることを特徴とする請求項１８記載の画像処理装置。
前記セキュアメモリは全体制御を行うコントローラボードに搭載されており、前記第１暗号鍵を読み出し専用不揮発領域に格納していることを特徴とする請求項１１記載の画像処理装置。
セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納するように構成されており、前記第２暗号鍵で暗号化されたデータを格納している第２記憶装置，プロッタを有する画像処理装置に含まれるコントローラボードであって、
前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵をバックアップ鍵として前記プロッタに印刷させるバックアップ手段と、
前記第１暗号鍵が使用できないとき、前記バックアップ鍵が印刷された印刷物を用いて操作者に前記バックアップ鍵をリストアさせるリストア手段と、
リストアさせた前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段と
を有することを特徴とするコントローラボード。
セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納しているプロッタを有する画像処理装置に、
前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵をバックアップ鍵として前記プロッタに印刷させるバックアップ手順と、
前記第１暗号鍵が使用できないとき、前記バックアップ鍵が印刷された印刷物を用いて操作者に前記バックアップ鍵をリストアさせるリストア手順と、
リストアさせた前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手順と
を実行させるためのデータ復旧プログラム。