JP5041833B2 - Data recovery method, image processing apparatus, controller board, and data recovery program - Google Patents

Data recovery method, image processing apparatus, controller board, and data recovery program Download PDF

Info

Publication number
JP5041833B2
JP5041833B2 JP2007069651A JP2007069651A JP5041833B2 JP 5041833 B2 JP5041833 B2 JP 5041833B2 JP 2007069651 A JP2007069651 A JP 2007069651A JP 2007069651 A JP2007069651 A JP 2007069651A JP 5041833 B2 JP5041833 B2 JP 5041833B2
Authority
JP
Japan
Prior art keywords
encryption key
key
backup
processing apparatus
storage device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2007069651A
Other languages
Japanese (ja)
Other versions
JP2008236091A (en
Inventor
雄一 寺尾
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ricoh Co Ltd
Original Assignee
Ricoh Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ricoh Co Ltd filed Critical Ricoh Co Ltd
Priority to JP2007069651A priority Critical patent/JP5041833B2/en
Priority to US12/048,878 priority patent/US8290159B2/en
Publication of JP2008236091A publication Critical patent/JP2008236091A/en
Application granted granted Critical
Publication of JP5041833B2 publication Critical patent/JP5041833B2/en
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Record Information Processing For Printing (AREA)
  • Facsimile Transmission Control (AREA)

Description

本発明は、データ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムに係り、特に暗号鍵によって暗号化されたデータを復旧するデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムに関する。   The present invention relates to a data recovery method, an image processing apparatus, a controller board, and a data recovery program, and more particularly to a data recovery method, an image processing apparatus, a controller board, and a data recovery program for recovering data encrypted with an encryption key.

近年では、プリンタ，スキャナ，ファックス，コピー又は複合機（ＭＦＰ）等の画像処理装置においてもセキュリティに関する要求が高くなってきている。画像処理装置は周辺機器の一例である。現在では、複合機等の画像処理装置におけるセキュリティ標準であるＩＥＥＥ Ｐ２６００において、装置内部に保存されるデータを保護するという要求、要件がある。   In recent years, there has been an increasing demand for security in image processing apparatuses such as printers, scanners, fax machines, copiers, and multifunction peripherals (MFPs). An image processing apparatus is an example of a peripheral device. Currently, IEEE P2600, which is a security standard for image processing apparatuses such as multifunction peripherals, has a requirement and requirement to protect data stored in the apparatus.

具体的に、画像処理装置ではアドレス帳や画（画像）情報等のユーザデータ，セキュリティログ等のセキュリティデータを格納しているストレージデバイスの盗難及び解析を防いで、ユーザデータ，セキュリティデータを保護する必要がある。ストレージデバイスに格納しているユーザデータ，セキュリティデータを保護する方法としては、一定強度以上の暗号を施すことが考えられる（例えば特許文献１〜３参照）。   Specifically, the image processing apparatus protects user data and security data by preventing theft and analysis of storage devices storing user data such as address books and image (image) information, and security data such as security logs. There is a need. As a method of protecting user data and security data stored in the storage device, it is conceivable to apply encryption with a certain strength or higher (see, for example, Patent Documents 1 to 3).

また、ストレージデバイスに格納しているユーザデータ，セキュリティデータを保護する別の方法としては、暗号鍵をＴＰＭ（Trusted Platform Module ）に格納し、暗号鍵の漏洩を防止することが考えられる。   Another method for protecting user data and security data stored in the storage device is to store the encryption key in a TPM (Trusted Platform Module) to prevent leakage of the encryption key.

ユーザデータ等を保護するパーソナルコンピュータ（ＰＣ）やワークステーション等では起動ごとにパスワードを入力させる方法が一般的である。一方、複合機等の画像処理装置は複数のユーザ（操作者）が利用し、且つ誰もが電源をＯＮ／ＯＦＦすることが一般的な利用形態である。このような利用形態の画像処理装置では、ユーザデータ等を保護するものであっても、起動ごとにパスワードの入力をユーザへ強制することが難しい。   In a personal computer (PC), workstation, or the like that protects user data or the like, a method of inputting a password every time it is started is common. On the other hand, an image processing apparatus such as a multifunction peripheral is generally used by a plurality of users (operators) and everyone turns on / off the power. In an image processing apparatus of such a usage form, it is difficult to force a user to input a password every time it is activated even if it protects user data and the like.

そこで、従来の画像処理装置には、ユーザデータ等を格納しているストレージデバイスの暗号鍵を自動生成し、その暗号鍵をＴＰＭに格納した別の暗号鍵で暗号化して、コントローラボード上の不揮発性メモリ等の不揮発性デバイスに保存しているものがあった。
特開２００５−１５８０４３号公報 特開２００４−２０１０３８号公報 国際公開第９９／０３８０７８号パンフレット Therefore, a conventional image processing apparatus automatically generates an encryption key for a storage device that stores user data and the like, encrypts the encryption key with another encryption key stored in the TPM, and stores it on a non-volatile memory on the controller board. Some of them are stored in non-volatile devices such as memory.
JP 2005-158043 A JP 2004-201038 A International Publication No. 99/038078 Pamphlet

ユーザデータ等を格納しているストレージデバイスの暗号鍵を自動生成し、その暗号鍵をＴＰＭに格納した別の暗号鍵で暗号化して、コントローラボード上の不揮発性メモリ等の不揮発性デバイスに保存する従来の画像処理装置では、ストレージデバイスが盗難されたとしてもストレージデバイスの解読が困難である。   Automatically generates an encryption key for the storage device that stores user data, etc., encrypts the encryption key with another encryption key stored in the TPM, and stores it in a nonvolatile device such as a nonvolatile memory on the controller board In the conventional image processing apparatus, even if the storage device is stolen, it is difficult to decipher the storage device.

しかしながら、従来の画像処理装置では何らかの部品不良や部品寿命切れ等によりコントローラボードの交換が必要となった場合、ストレージデバイスに暗号化されて格納されているユーザデータ等を復号できなくなる。   However, in the conventional image processing apparatus, when the controller board needs to be replaced due to some component failure or component life expiration, user data encrypted and stored in the storage device cannot be decrypted.

実際、複合機等の家電品ではコントローラボード上の一部の故障部品のみを交換することは稀であり、コントローラボードごと交換することが一般的である。従って、画像処理装置ではコントローラボードの交換が頻繁に起こることが予想される。複合機等の画像処理装置において、コントローラボードの交換毎にユーザデータ等を復号できなくなるのでは都合が悪い。   In fact, in home appliances such as multifunction peripherals, it is rare to replace only some of the faulty parts on the controller board, and it is common to replace the entire controller board. Therefore, it is expected that the controller board is frequently replaced in the image processing apparatus. In an image processing apparatus such as a multifunction machine, it is inconvenient if the user data cannot be decoded every time the controller board is replaced.

本発明は、上記の点に鑑みなされたもので、装置内部の暗号鍵が使用不可となっても装置内部の記憶装置に暗号化されて格納されているデータを復旧することができるデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムを提供することを目的とする。   The present invention has been made in view of the above points, and is a data recovery method capable of recovering data that is encrypted and stored in a storage device inside the apparatus even if the encryption key inside the apparatus becomes unusable An object is to provide an image processing apparatus, a controller board, and a data recovery program.

上記課題を解決するため、本発明は、少なくともセキュアメモリ及び第１記憶装置を搭載するコントローラボードと、第２記憶装置とを含む構成であり、前記セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を前記第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを前記第２記憶装置に格納している情報処理装置のデータ復旧方法であって、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記情報処理装置の外部にバックアップ鍵としてバックアップするバックアップステップと、前記第１及び第２暗号鍵が使用できないとき、前記バックアップ鍵を前記情報処理装置の内部にリストアするリストアステップと、前記情報処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号ステップとを有することを特徴とする。 In order to solve the above-described problem, the present invention is a configuration including at least a controller board on which a secure memory and a first storage device are mounted, and a second storage device , storing a first encryption key in the secure memory, the second encryption key encrypted with the first encryption key stored in the first storage device, the data of the information processing apparatus the data encrypted with the second encryption key is stored in the second storage device A backup method that decrypts the second encryption key using the first encryption key and backs up the second encryption key as a backup key outside the information processing apparatus; and the first and first when two encryption key is not available, and restore step of restoring the backup key inside the information processing apparatus, said backup key restored inside the information processing apparatus Used, and having a decoding step of decoding data stored in the second storage device.

また、本発明は、少なくともセキュアメモリ及び第１記憶装置を搭載するコントローラボードと、第２記憶装置と、プロッタ及びスキャナの少なくとも一方とを含む構成であり、前記セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を前記第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを前記第２記憶装置に格納している画像処理装置であって、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を装置外部にバックアップ鍵としてバックアップするバックアップ手段と、前記第１及び第２暗号鍵が使用できないとき、前記バックアップ鍵を装置内部にリストアするリストア手段と、装置内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段とを有することを特徴とする。 The present invention also includes a configuration including at least a controller board on which the secure memory and the first storage device are mounted, a second storage device, and at least one of a plotter and a scanner, and the first encryption key is stored in the secure memory. and stores the second encryption key encrypted with the first encryption key to the first storage device, images data encrypted with the second encryption key that has been stored in the second storage device A processing device for decrypting the second encryption key using the first encryption key and backing up the second encryption key as a backup key outside the device; and the first and second encryption keys, When the data cannot be used, the restoration means for restoring the backup key to the inside of the device and the data stored in the second storage device using the backup key restored to the inside of the device. And having a decoding means for decoding the.

また、本発明は、セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納するように構成されており、前記第２暗号鍵で暗号化されたデータを格納している第２記憶装置，プロッタ及びスキャナの少なくとも一方を有する画像処理装置に含まれる少なくとも前記セキュアメモリ及び前記第１記憶装置を搭載するコントローラボードであって、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記画像処理装置の外部にバックアップ鍵としてバックアップするバックアップ手段と、前記第１及び第２暗号鍵が使用できないとき、前記バックアップ鍵を前記画像処理装置の内部にリストアするリストア手段と、前記画像処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段とを有することを特徴とする。 Further, the present invention is configured to store a first encryption key in a secure memory, and store a second encryption key encrypted with the first encryption key in a first storage device. A controller board including at least the secure memory and the first storage device included in an image processing apparatus having at least one of a second storage device, a plotter, and a scanner storing data encrypted with a key; Backup means for decrypting the second encryption key using the first encryption key and backing up the second encryption key as a backup key outside the image processing apparatus, and the first and second encryption keys cannot be used Using the restoration means for restoring the backup key to the inside of the image processing apparatus and the backup key restored to the inside of the image processing apparatus. , And having a decoding means for decoding the data stored in the second storage device.

また、本発明は、少なくともセキュアメモリ及び第１記憶装置を搭載するコントローラボードと、第２記憶装置とを含む構成であり、前記セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を前記第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを前記第２記憶装置に格納している情報処理装置に、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記情報処理装置の外部にバックアップ鍵としてバックアップするバックアップ手順と、前記第１及び第２暗号鍵が使用できないとき、前記バックアップ鍵を前記情報処理装置の内部にリストアするリストア手順と、前記情報処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手順とを実行させるためのデータ復旧プログラムであることを特徴とする。
The present invention also includes a controller board on which at least a secure memory and a first storage device are mounted, and a second storage device, wherein the first encryption key is stored in the secure memory, and the first encryption key is used. storing the second cryptographic key encrypted in the first storage device, the data encrypted with the second encryption key with which the information processing apparatus is stored in the second storage device, the first encryption key A backup procedure for decrypting the second encryption key using the server and backing up the second encryption key as a backup key outside the information processing apparatus, and when the first and second encryption keys cannot be used, the backup key The data stored in the second storage device is restored using the restore procedure for restoring the information into the information processing device and the backup key restored in the information processing device. Characterized in that it is a data recovery program for executing the Gosuru decoding procedure.

なお、本発明の構成要素、表現または構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、データ構造などに適用したものも本発明の態様として有効である。   In addition, what applied the component, expression, or arbitrary combination of the component of this invention to a method, an apparatus, a system, a computer program, a recording medium, a data structure, etc. is also effective as an aspect of this invention.

本発明によれば、装置内部の暗号鍵が使用不可となっても装置内部の記憶装置に暗号化されて格納されているデータを復旧することができるデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムを提供可能である。   According to the present invention, a data recovery method, an image processing apparatus, a controller board, and a data recovery method capable of recovering data encrypted and stored in a storage device inside the apparatus even when the encryption key inside the apparatus becomes unusable A data recovery program can be provided.

次に、本発明を実施するための最良の形態を、以下の実施例に基づき図面を参照しつつ説明していく。なお、本実施例では情報処理装置及び画像処理装置の一例として複合機を例に説明するが、他の装置又は機器等であってもよい。   Next, the best mode for carrying out the present invention will be described based on the following embodiments with reference to the drawings. In the present embodiment, a multifunction peripheral is described as an example of the information processing apparatus and the image processing apparatus. However, other apparatuses or devices may be used.

図１は本発明による複合機の一例のハードウェア構成図である。複合機１００は、コントローラボード１０１，オペポート１０９，プロッタ１１０，スキャナ１１１，ＮＶＲＡＭ１１２及びＨＤＤ１１３を含む構成である。コントローラボード１０１は、ＣＰＵ１０２，ＲＯＭ１０３，ＲＡＭ１０４，ＬＡＮコントローラ１０５，ＤＣＲ１０６，ＴＰＭ１０７，ＵＳＢフラッシュメモリ１０８，ＯＣＲ５０１を含む構成である。   FIG. 1 is a hardware configuration diagram of an example of a multifunction machine according to the present invention. The multi-function device 100 includes a controller board 101, an operation port 109, a plotter 110, a scanner 111, an NVRAM 112, and an HDD 113. The controller board 101 includes a CPU 102, a ROM 103, a RAM 104, a LAN controller 105, a DCR 106, a TPM 107, a USB flash memory 108, and an OCR 501.

コントローラボード１０１は、複合機１００の全体制御を行うマザーボード（基盤）である。ＣＰＵ１０２は演算処理を行う。ＲＯＭ１０３はプログラムを格納する。ＲＡＭ１０４はプログラムを動作し、又は一時的にデータを格納する。ＬＡＮコントローラ１０５はイーサネット（登録商標）や無線ＬＡＮ等のネットワークと接続する。ＤＣＲ１０６は画情報（ビットマップ）を電子文書に変換する。   The controller board 101 is a mother board (base) that performs overall control of the multifunction peripheral 100. The CPU 102 performs arithmetic processing. The ROM 103 stores a program. The RAM 104 operates a program or temporarily stores data. The LAN controller 105 is connected to a network such as Ethernet (registered trademark) or a wireless LAN. The DCR 106 converts image information (bitmap) into an electronic document.

ＴＰＭ１０７はコントローラボード１０１に直付けされるチップで実現される。特開２００４−２８２３９１号公報には、ＴＣＰＡ（Trusted Computing Platform Alliance）の仕様に基づいたＰＣにおける、ＴＰＭ（Trusted Platform Module ）を用いた情報の暗号化について記載されている。ＴＰＭ１０７はセキュアメモリの一例である。ＵＳＢフラッシュメモリ１０８は不揮発性メモリの一例である。ＯＣＲ５０１は印刷された文字情報を読み取り、符号化するものである。   The TPM 107 is realized by a chip directly attached to the controller board 101. Japanese Patent Application Laid-Open No. 2004-282391 describes information encryption using a TPM (Trusted Platform Module) in a PC based on TCPA (Trusted Computing Platform Alliance) specifications. The TPM 107 is an example of a secure memory. The USB flash memory 108 is an example of a nonvolatile memory. The OCR 501 reads and encodes printed character information.

オペポート１０９は、ユーザ操作入出力を行う。プロッタ１１０は、紙に画情報を印刷する。スキャナ１１１は、紙から画情報を読み取る。ＮＶＲＡＭ１１２は、不揮発性メモリ及びストレージデバイスの一例である。ＮＶＲＡＭ１１２は、各種パラメータを保持する。ＨＤＤ（ハードディスクドライブ）１１３はアドレス帳や画情報などの大量のデータを保持する。ＨＤＤ１１３はストレージデバイスの一例である。   The operation port 109 performs user operation input / output. The plotter 110 prints image information on paper. The scanner 111 reads image information from paper. The NVRAM 112 is an example of a nonvolatile memory and a storage device. The NVRAM 112 holds various parameters. A HDD (Hard Disk Drive) 113 holds a large amount of data such as an address book and image information. The HDD 113 is an example of a storage device.

複合機１００は、ＴＰＭ１０７の内部に暗号鍵Ｂ及びＣを暗号化又は復号するための暗号鍵Ａを保存している。また、複合機１００はＵＳＢフラッシュメモリ１０８に、暗号鍵Ａで暗号化された状態の暗号鍵Ｂ及びＣを保存している。暗号鍵ＢはＮＶＲＡＭ１１２を暗号化又は復号するためのものである。暗号鍵ＣはＨＤＤ１１３を暗号化又は復号するためのものである。   The multi-function device 100 stores an encryption key A for encrypting or decrypting the encryption keys B and C inside the TPM 107. In addition, the MFP 100 stores encryption keys B and C encrypted with the encryption key A in the USB flash memory 108. The encryption key B is for encrypting or decrypting the NVRAM 112. The encryption key C is for encrypting or decrypting the HDD 113.

図２は本発明による複合機の一例のソフトウェア構成図である。複合機１００は、ＯＳ１１４，全体制御ソフトウェア（ＣＴＬ）１１５，コピーソフトウェア，プリンタソフトウェア，ファックスソフトウェア，スキャナソフトウェア及びドキュメントボックスソフトウェアから成るアプリケーション制御ソフトウェア１１６を含む構成である。   FIG. 2 is a software configuration diagram of an example of a multifunction machine according to the present invention. The MFP 100 includes an OS 114, an overall control software (CTL) 115, application control software 116 including copy software, printer software, fax software, scanner software, and document box software.

ＯＳ１１４はソフトウェアを動作させるためのオペレーティングシステムである。ＣＴＬ１１５は各アプリケーション制御ソフトウェア１１６に対して、データの集計、受け渡しを行うソフトウェアである。アプリケーション制御ソフトウェア１１６は複合機１００の各アプリケーションを制御するソフトウェアである。   The OS 114 is an operating system for operating software. The CTL 115 is software that aggregates and delivers data to each application control software 116. The application control software 116 is software that controls each application of the multifunction peripheral 100.

図１及び図２に示した複合機１００は例えば図３及び図４に示すように起動する。図３は本発明による複合機の起動手順を表したフローチャートである。図４は本発明による複合機の起動手順を表したシーケンス図である。   The MFP 100 shown in FIGS. 1 and 2 is activated as shown in FIGS. 3 and 4, for example. FIG. 3 is a flowchart showing the start-up procedure of the multifunction machine according to the present invention. FIG. 4 is a sequence diagram showing the start-up procedure of the multifunction machine according to the present invention.

まず、図３のフローチャートでは、複合機１００の電源がＯＮされると、ステップＳ１に進み、ＣＴＬ１１５がＴＰＭ１０７から暗号鍵Ａを取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。暗号鍵が設定されていれば（Ｓ２においてＹＥＳ）、ＣＴＬ１１５はステップＳ３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。   First, in the flowchart of FIG. 3, when the MFP 100 is turned on, the process proceeds to step S <b> 1, and after the CTL 115 acquires the encryption key A from the TPM 107, it is determined whether the encryption key is set in the USB flash memory 108. . If the encryption key is set (YES in S2), the CTL 115 proceeds to step S3, and uses the encryption keys B and C encrypted by the encryption key A stored in the USB flash memory 108 as the encryption key. Decode using A.

ステップＳ４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得し、その暗号鍵Ｂを用いてＨＤＤ１１３を復号する。ステップＳ８に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   In step S4, the CTL 115 acquires the decrypted encryption key B from the USB flash memory 108, and decrypts the NVRAM 112 using the encryption key B. In step S5, the CTL 115 acquires the decrypted encryption key C from the USB flash memory 108, and decrypts the HDD 113 using the encryption key B. In step S 8, the multifunction peripheral 100 activates each application by the application control software 116.

暗号鍵が設定されていなければ（Ｓ２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。ステップＳ６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを読み出す。また、ステップＳ７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを読み出す。ステップＳ８に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   If the encryption key is not set (NO in S2), the CTL 115 determines that the NVRAM 112 and the HDD 113 are not encrypted. In step S 6, the CTL 115 reads various parameters from the NVRAM 112. In step S 7, the CTL 115 reads data from the HDD 113. In step S 8, the multifunction peripheral 100 activates each application by the application control software 116.

図４のシーケンス図は、ＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されているときの起動手順を表している。まず、図４のシーケンス図では、複合機１００の電源がＯＮされると、ステップＳ１１及びＳ１２において、ＣＴＬ１１５がＴＰＭ１０７から暗号鍵Ａを取得する。ステップＳ１３に進み、ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。   The sequence diagram of FIG. 4 represents a startup procedure when the NVRAM 112 and the HDD 113 are encrypted. First, in the sequence diagram of FIG. 4, when the multifunction device 100 is powered on, the CTL 115 acquires the encryption key A from the TPM 107 in steps S11 and S12. In step S13, the CTL 115 uses the encryption key A to decrypt the encryption keys B and C that are stored in the USB flash memory 108 and encrypted with the encryption key A.

ステップＳ１４に進み、ＣＴＬ１１５は復号した暗号鍵Ｂ及びＣをＵＳＢフラッシュメモリ１０８から取得する。ステップＳ１５に進み、ＣＴＬ１１５は暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。ステップＳ１６に進み、ＣＴＬ１１５は暗号鍵Ｃを用いてＨＤＤ１１３を復号する。そして、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   In step S 14, the CTL 115 acquires the decrypted encryption keys B and C from the USB flash memory 108. In step S15, the CTL 115 decrypts the NVRAM 112 using the encryption key B. In step S16, the CTL 115 decrypts the HDD 113 using the encryption key C. Then, the multifunction peripheral 100 activates each application by the application control software 116.

ここでは、本発明の理解を容易とするため、複合機１００のコントローラボード１０１の交換時に生じる問題点について説明する。図５はコントローラボードを交換した複合機の一例のハードウェア構成図である。   Here, in order to facilitate understanding of the present invention, a problem that occurs when the controller board 101 of the multifunction peripheral 100 is replaced will be described. FIG. 5 is a hardware configuration diagram of an example of a multifunction machine having a controller board replaced.

図５に示すように、コントローラボード１０１を交換した複合機１００では、ＵＳＢフラッシュメモリ１０８が初期化された状態となっており、暗号鍵Ａで暗号化された状態の暗号鍵Ｂ及びＣが保存されていない。したがって、コントローラボード１０１を交換した複合機１００では、ＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号鍵Ｂ及びＣで暗号化されて格納されているパラメータやデータを復号できないため、ＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号化されて格納されているパラメータやデータを復旧することができないという問題があった。結果として、コントローラボード１０１を交換した複合機１００では、ＮＶＲＡＭ１１２及びＨＤＤ１１３が故障していなくても、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化しなければならなかった。   As shown in FIG. 5, in the multi-function device 100 with the controller board 101 replaced, the USB flash memory 108 is in an initialized state, and the encryption keys B and C encrypted with the encryption key A are stored. It has not been. Therefore, in the MFP 100 with the controller board 101 replaced, parameters and data encrypted and stored with the encryption keys B and C in the NVRAM 112 and the HDD 113 cannot be decrypted, and therefore encrypted and stored in the NVRAM 112 and the HDD 113. There was a problem that it was not possible to recover the parameters and data. As a result, in the MFP 100 in which the controller board 101 has been replaced, the NVRAM 112 and the HDD 113 must be initialized even if the NVRAM 112 and the HDD 113 have not failed.

なお、ＴＰＭ１０７は暗号鍵Ｂ及びＣを暗号化又は復号するための暗号鍵Ａと異なる暗号鍵Ａ'を保存している。ＴＰＭ１０７が保存している暗号鍵Ａ'は例えばコントローラボード１０１毎に異なる。   The TPM 107 stores an encryption key A ′ that is different from the encryption key A for encrypting or decrypting the encryption keys B and C. The encryption key A ′ stored in the TPM 107 is different for each controller board 101, for example.

図６は本発明によるデータ復旧方法を表した概念図である。図６の上段はコントローラボード１０１の交換前の複合機１００を表している。図６の下段はコントローラボード１０１の交換後の複合機１００を表している。   FIG. 6 is a conceptual diagram showing a data recovery method according to the present invention. The upper part of FIG. 6 represents the multifunction peripheral 100 before the controller board 101 is replaced. The lower part of FIG. 6 represents the multifunction peripheral 100 after the controller board 101 has been replaced.

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣを、操作パネル等により外部出力しておく。そして、コントローラボード１０１の交換後、本発明による複合機１００は外部出力しておいた暗号鍵Ｂ及びＣを操作パネル等により内部入力することで、ＵＳＢフラッシュメモリ１０８へ暗号鍵Ｂ及びＣをリストアする。   The multifunction peripheral 100 according to the present invention outputs the encryption keys B and C stored in the USB flash memory 108 to the outside through the operation panel or the like while the controller board 101 is operating normally. After the controller board 101 is replaced, the MFP 100 according to the present invention restores the encryption keys B and C to the USB flash memory 108 by inputting the encryption keys B and C output from the outside through the operation panel or the like. To do.

従って、本発明による複合機１００では、コントローラボード１０１の交換後であってもＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号鍵Ｂ及びＣで暗号化されて格納されているパラメータやデータを復号できる。   Therefore, the MFP 100 according to the present invention can decrypt parameters and data that are encrypted and stored in the NVRAM 112 and the HDD 113 with the encryption keys B and C even after the controller board 101 is replaced.

図７は本発明による複合機の暗号鍵設定手順を表したフローチャートである。操作パネルやネットワーク経由で鍵変更指示（暗号鍵ｂ，ｃ→暗号鍵Ｂ，Ｃ）を受け取ると、ＣＴＬ１１５はステップＳ２１に進み、ＴＰＭ１０７から暗号鍵Ａを取得する。ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵ｂ及びｃを、暗号鍵Ａを用いて復号する。ＣＴＬ１１５は、復号した暗号鍵ｂ及びｃをＵＳＢフラッシュメモリ１０８から取得する。ＣＴＬ１１５は暗号鍵ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５は暗号鍵ｃを用いてＨＤＤ１１３を復号する。   FIG. 7 is a flowchart showing the encryption key setting procedure of the multifunction machine according to the present invention. Upon receiving a key change instruction (encryption key b, c → encryption key B, C) via the operation panel or the network, the CTL 115 proceeds to step S21 and acquires the encryption key A from the TPM 107. The CTL 115 uses the encryption key A to decrypt the encryption keys b and c stored in the USB flash memory 108 and encrypted with the encryption key A. The CTL 115 acquires the decrypted encryption keys b and c from the USB flash memory 108. The CTL 115 decrypts the NVRAM 112 using the encryption key b. The CTL 115 decrypts the HDD 113 using the encryption key c.

ステップＳ２２に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣを、操作パネルやネットワーク経由で外部出力しておく。ステップＳ２３に進み、ＣＴＬ１１５は暗号鍵Ｂ及びＣの外部出力が成功した場合（Ｓ２３においてＹＥＳ）、ステップＳ２４に進み、新しい暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３を再び暗号化する。そして、ステップＳ２４からステップＳ２５に進み、ＣＴＬ１１５は操作パネルに操作画面を表示させて暗号鍵の設定を終了する。   In step S22, the CTL 115 outputs new encryption keys B and C to the outside via the operation panel or the network. In step S23, if the external output of the encryption keys B and C is successful (YES in S23), the CTL 115 proceeds to step S24 and encrypts the NVRAM 112 and the HDD 113 again with the new encryption keys B and C. Then, the process proceeds from step S24 to step S25, and the CTL 115 displays an operation screen on the operation panel and ends the encryption key setting.

一方、ＣＴＬ１１５はユーザキャンセル等、何らかの原因で暗号鍵Ｂ及びＣの外部出力が失敗した場合（Ｓ２３においてＮＯ）、ステップＳ２６に進み、操作パネルにエラー画面を表示する。ステップＳ２６からステップＳ２７に進み、ＣＴＬ１１５は操作パネルに暗号鍵の設定失敗画面を表示する。   On the other hand, if the external output of the encryption keys B and C fails for some reason, such as user cancellation (NO in S23), the CTL 115 proceeds to step S26 and displays an error screen on the operation panel. Proceeding from step S26 to step S27, the CTL 115 displays an encryption key setting failure screen on the operation panel.

図８のシーケンス図は、新しい暗号鍵Ｂ及びＣの外部出力が成功したときの暗号鍵設定手順を表している。ステップＳ３１では、ＣＴＬ１１５が、操作パネルやネットワーク経由で鍵変更指示（暗号鍵ｂ，ｃ→暗号鍵Ｂ，Ｃ）を受け取る。ＣＴＬ１１５はステップＳ３２及びＳ３３に進み、ＴＰＭ１０７から暗号鍵Ａを取得する。   The sequence diagram of FIG. 8 represents the encryption key setting procedure when the external output of the new encryption keys B and C is successful. In step S31, the CTL 115 receives a key change instruction (encryption keys b, c → encryption keys B, C) via the operation panel or the network. The CTL 115 proceeds to steps S32 and S33, and acquires the encryption key A from the TPM 107.

ステップＳ３４及びＳ３５に進み、ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵ｂ及びｃを、暗号鍵Ａを用いて復号し、復号した暗号鍵ｂ及びｃをＵＳＢフラッシュメモリ１０８から取得する。ＣＴＬ１１５はステップＳ３６及びＳ３７に進み、暗号鍵ｂ及びｃを用いてＮＶＲＡＭ１１２及びＨＤＤ１１３を復号する。   Proceeding to steps S34 and S35, the CTL 115 decrypts the encryption keys b and c encrypted by the encryption key A, stored in the USB flash memory 108, using the encryption key A, and decrypted the encryption key b. And c are obtained from the USB flash memory 108. The CTL 115 proceeds to steps S36 and S37, and decrypts the NVRAM 112 and the HDD 113 using the encryption keys b and c.

ステップＳ３８及びＳ３９に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣを外部デバイス１１７に外部出力する。暗号鍵Ｂ及びＣの外部出力が成功したため、ＣＴＬ１１５はステップＳ４０及びＳ４１に進み、暗号鍵Ｂ及びＣを暗号鍵Ａで暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。   Proceeding to steps S38 and S39, the CTL 115 outputs the new encryption keys B and C to the external device 117. Since the external output of the encryption keys B and C has succeeded, the CTL 115 proceeds to steps S40 and S41, encrypts the encryption keys B and C with the encryption key A, and stores them in the USB flash memory 108.

そして、ステップＳ４２及びＳ４３に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３を再び暗号化する。そして、ＣＴＬ１１５はステップＳ４４に進み、新しい暗号鍵Ｂ及びＣの設定が成功したため、操作パネルへ操作画面を表示させて暗号鍵の設定を終了する。   Then, the process proceeds to steps S42 and S43, and the CTL 115 encrypts the NVRAM 112 and the HDD 113 again with the new encryption keys B and C. Then, the CTL 115 proceeds to step S44, and since the new encryption keys B and C have been successfully set, the operation screen is displayed on the operation panel and the encryption key setting is completed.

図９は複合機における起動手順を表したフローチャートである。図１０はコントローラボード交換後の複合機における起動手順を表したシーケンス図である。   FIG. 9 is a flowchart showing a startup procedure in the multifunction machine. FIG. 10 is a sequence diagram showing a start-up procedure in the multi-function peripheral after replacing the controller board.

複合機１００の電源がＯＮされると、ステップＳ５１及びＳ５２に進み、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ又はＡ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。   When the MFP 100 is turned on, the process advances to steps S51 and S52, and the CTL 115 acquires the encryption key A or A ′ from the TPM 107, and then determines whether the encryption key is set in the USB flash memory 108.

暗号鍵が設定されていれば（Ｓ５２においてＹＥＳ）、ＣＴＬ１１５はステップＳ５３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。   If the encryption key is set (YES in S52), the CTL 115 proceeds to step S53, and uses the encryption keys B and C encrypted by the encryption key A stored in the USB flash memory 108 as the encryption key. Decode using A.

ステップＳ５４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ５５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得してＨＤＤ１１３を復号する。ステップＳ６５に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   In step S54, the CTL 115 acquires the decrypted encryption key B from the USB flash memory 108, and decrypts the NVRAM 112 using the encryption key B. In step S55, the CTL 115 acquires the decrypted encryption key C from the USB flash memory 108 and decrypts the HDD 113. In step S 65, the multifunction peripheral 100 activates each application by the application control software 116.

暗号鍵が設定されていなければ（Ｓ５２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。例えばコントローラボード１０１の交換後、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。   If the encryption key is not set (NO in S52), the CTL 115 determines that the NVRAM 112 and the HDD 113 are not encrypted. For example, after the controller board 101 is exchanged, the encryption key is not set in the USB flash memory 108.

ステップＳ５６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを平文として読み出す。また、ステップＳ５７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを平文として読み出す。   In step S56, the CTL 115 reads various parameters from the NVRAM 112 as plain text. In step S57, the CTL 115 reads data from the HDD 113 as plain text.

ステップＳ５８に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からの各種パラメータの読み出し、及びＨＤＤ１１３からのデータの読み出しに読み込みエラーが発生したか否かを判定する。例えばコントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータが暗号化されていれば、平文として読み出すと読み出しエラーが発生する。読み出しエラーが発生しなければ（Ｓ５８においてＮＯ）、ＣＴＬ１１５はステップＳ６５に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   In step S58, the CTL 115 determines whether or not a reading error has occurred in reading various parameters from the NVRAM 112 and reading data from the HDD 113. For example, if the parameters and data stored in the NVRAM 112 and the HDD 113 are encrypted after the controller board 101 is exchanged, a read error occurs when read as plain text. If a read error does not occur (NO in S58), the CTL 115 proceeds to step S65 and activates each application by the application control software 116.

読み出しエラーが発生すれば（Ｓ５８においてＹＥＳ）、ＣＴＬ１１５はステップＳ５９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネルに表示する。   If a read error occurs (YES in S58), the CTL 115 proceeds to step S59 and displays on the operation panel a screen 1000 as shown in FIG. 11 for selecting restoration of the encryption key or initialization of the storage device.

図１１は暗号鍵のリストア又はストレージデバイスの初期化を選択させる画面の一例のイメージ図である。画面１０００には、暗号鍵のリストアを選択するボタン１００１及びストレージデバイスの初期化を選択するボタン１００２が含まれている。ボタン１００１がユーザにより押下されると、ＣＴＬ１１５は図１２に示すような画面１１００を操作パネルに表示する。   FIG. 11 is an image diagram of an example of a screen for selecting encryption key restoration or storage device initialization. The screen 1000 includes a button 1001 for selecting restoration of the encryption key and a button 1002 for selecting initialization of the storage device. When the button 1001 is pressed by the user, the CTL 115 displays a screen 1100 as shown in FIG. 12 on the operation panel.

図１２は暗号鍵をリストアする為の画面の一例のイメージ図である。図１２の画面１１００には、ＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を入力する為の入力欄が含まれている。ユーザは画面１１００が操作パネルに表示されている間に、手入力や外部デバイス１１７等を利用して外部からＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を入力する。   FIG. 12 is an image diagram of an example of a screen for restoring the encryption key. A screen 1100 in FIG. 12 includes an input field for inputting the encryption keys of the NVRAM 112 and the HDD 113. While the screen 1100 is displayed on the operation panel, the user inputs the encryption keys of the NVRAM 112 and the HDD 113 from the outside using manual input or the external device 117 or the like.

外部からＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵が入力されると、ＣＴＬ１１５はステップＳ６０及びＳ６１に進み、入力された暗号鍵でＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。   When the encryption keys of the NVRAM 112 and the HDD 113 are input from the outside, the CTL 115 proceeds to steps S60 and S61, and tries to decrypt the NVRAM 112 and the HDD 113 with the input encryption key.

ステップＳ６２に進み、復号エラーが発生しなければ（Ｓ６２においてＮＯ）、ＣＴＬ１１５はステップＳ６３に進み、画面１１００に入力されたＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ６５に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   In step S62, if no decryption error occurs (NO in S62), the CTL 115 proceeds to step S63 and encrypts with the encryption key A ′ using the encryption key of the NVRAM 112 and HDD 113 input to the screen 1100 as a new encryption key. After that, it is stored in the USB flash memory 108. Then, the CTL 115 proceeds to step S65 and activates each application by the application control software 116.

なお、復号エラーが発生すれば（Ｓ６２においてＹＥＳ）、ＣＴＬ１１５はステップＳ５９に戻り、再び画面１０００を操作パネルに表示する。画面１０００のボタン１００２がユーザにより押下されると、ＣＴＬ１１５はステップＳ６４に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５はステップＳ６５に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   If a decoding error occurs (YES in S62), the CTL 115 returns to step S59 and displays the screen 1000 on the operation panel again. When the button 1002 on the screen 1000 is pressed by the user, the CTL 115 proceeds to step S64 and initializes the NVRAM 112 and the HDD 113. In step S65, the CTL 115 activates each application by the application control software 116.

バックアップしておいた暗号鍵の紛失や暗号鍵をバックアップしていない場合は、ＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号化されて格納されているパラメータやデータを復旧することができない為、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化するかをユーザに選択させるボタン１００２を画面１０００に設けている。   When the encryption key that has been backed up is lost or the encryption key is not backed up, the parameters and data encrypted and stored in the NVRAM 112 and HDD 113 cannot be restored, so the NVRAM 112 and HDD 113 are initialized. The screen 1000 is provided with a button 1002 that allows the user to select whether or not.

なお、画面１１００ではＮＶＲＡＭ１１２及びＨＤＤ１１３の双方が暗号化されている例を示しているが、どちらか一方が暗号化されるようにしてもよい。この場合、暗号化されていないストレージデバイスは画面１１００に含まれていなくてもよい。また、暗号化されていないストレージデバイスの復号をスキップするようにしてもよい。   Although the screen 1100 shows an example in which both the NVRAM 112 and the HDD 113 are encrypted, one of them may be encrypted. In this case, the unencrypted storage device may not be included in the screen 1100. In addition, decryption of an unencrypted storage device may be skipped.

図１０のシーケンス図は、コントローラボード交換後の複合機において、新しい暗号鍵をリストアするときの起動手順を表している。複合機１００の電源がＯＮされると、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。   The sequence diagram of FIG. 10 represents the startup procedure when restoring a new encryption key in the multifunction peripheral after the controller board is replaced. When the MFP 100 is turned on, the CTL 115 acquires the encryption key A ′ from the TPM 107 and then determines whether the encryption key is set in the USB flash memory 108.

コントローラボード１０１の交換後であるため、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。したがって、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。   Since the controller board 101 has been replaced, no encryption key is set in the USB flash memory 108. Therefore, the CTL 115 determines that the NVRAM 112 and the HDD 113 are not encrypted.

ステップＳ７１に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３から各種パラメータ及びデータを平文として読み出す。コントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータは暗号化されているため、平文として読み出すと読み出しエラーが発生する。   In step S71, the CTL 115 reads various parameters and data from the NVRAM 112 and the HDD 113 as plain text. After the controller board 101 is replaced, the parameters and data stored in the NVRAM 112 and the HDD 113 are encrypted, so a read error occurs when read as plain text.

読み出しエラーが発生した為、ＣＴＬ１１５はステップＳ７３及びＳ７４に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネル１１８に表示する。ボタン１００１がユーザにより押下されると、ＣＴＬ１１５はステップＳ７５及びＳ７６に進み、暗号鍵Ｂ及びＣがバックアップされている外部デバイス１１７から暗号鍵Ｂ及びＣを読み出す。なお、ＣＴＬ１１５は図１２に示すような画面１１００を操作パネル１１８に表示してＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を入力させてもよい。   Since a read error has occurred, the CTL 115 proceeds to steps S73 and S74, and displays a screen 1000 as shown in FIG. 11 on the operation panel 118 for selecting restoration of the encryption key or initialization of the storage device. When the button 1001 is pressed by the user, the CTL 115 proceeds to steps S75 and S76, and reads the encryption keys B and C from the external device 117 where the encryption keys B and C are backed up. Note that the CTL 115 may display a screen 1100 as shown in FIG. 12 on the operation panel 118 to input the encryption keys of the NVRAM 112 and the HDD 113.

ステップＳ７７及びＳ７８に進み、外部デバイス１１７から読み出した暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。復号エラーが発生しない為、ＣＴＬ１１５はステップＳ７９及びＳ８０に進み、外部デバイス１１７から読み出した暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５は、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   Proceeding to steps S 77 and S 78, the NVRAM 112 and the HDD 113 are decrypted with the encryption keys B and C read from the external device 117. Since no decryption error occurs, the CTL 115 proceeds to steps S79 and S80, encrypts the encryption keys B and C read from the external device 117 with the encryption key A ′ as a new encryption key, and then stores them in the USB flash memory 108. . Then, the CTL 115 activates each application by the application control software 116.

上記説明では、ＵＳＢフラッシュメモリ１０８に、暗号鍵Ａで暗号化された状態の暗号鍵Ｂ及びＣを保存しているが、例えば図１３のような構成も考えられる。図１３は暗号鍵の格納場所を示した概念図である。図１３では、ＮＶＲＡＭ１１２に、暗号鍵Ｂで暗号化された状態のＨＤＤ１１３の暗号鍵Ｃを保存している。   In the above description, the encryption keys B and C encrypted with the encryption key A are stored in the USB flash memory 108. For example, a configuration as shown in FIG. 13 is also conceivable. FIG. 13 is a conceptual diagram showing the storage location of the encryption key. In FIG. 13, the encryption key C of the HDD 113 encrypted with the encryption key B is stored in the NVRAM 112.

このように、本発明による複合機１００は、複数のストレージデバイスの中で最も信頼できるセキュアなストレージデバイスに他のストレージデバイスの暗号鍵を暗号化された状態で保存することもできる。ＮＶＲＡＭ１１２に、暗号鍵Ｂで暗号化された状態のＨＤＤ１１３の暗号鍵Ｃを保存することで、複合機１００は暗号鍵Ｃをバックアップしておく必要がなくなる。   As described above, the MFP 100 according to the present invention can also store the encryption key of another storage device in an encrypted state in the most reliable secure storage device among the plurality of storage devices. By storing the encryption key C of the HDD 113 encrypted with the encryption key B in the NVRAM 112, the multifunction peripheral 100 does not need to back up the encryption key C.

図１３の複合機１００はコントローラボード１０１上のＵＳＢフラッシュメモリ１０８内にもＨＤＤ１１３の暗号鍵Ｃを格納しているが、ＵＳＢフラッシュメモリ１０８内に暗号鍵Ｃを格納していなくても正常時およびコントローラボード１０１の交換時にＨＤＤ１１３を復旧できる。ただし、ＵＳＢフラッシュメモリ１０８内に暗号鍵Ｃを格納しておくことで、複合機１００はコントローラボード１０１に異常が無く、ＮＶＲＡＭ１１２に異常があった場合においてもＨＤＤ１１３を復旧できるというメリットがある。   The MFP 100 in FIG. 13 also stores the encryption key C of the HDD 113 in the USB flash memory 108 on the controller board 101. However, even if the encryption key C is not stored in the USB flash memory 108, The HDD 113 can be restored when the controller board 101 is replaced. However, storing the encryption key C in the USB flash memory 108 has an advantage that the MFP 100 can restore the HDD 113 even when the controller board 101 has no abnormality and the NVRAM 112 has an abnormality.

図１４は暗号鍵の格納場所を示した他の例の概念図である。図１４では、ＨＤＤ１１３の記憶領域が複数のパーティションに分かれており、そのバーティション毎に、それぞれ別の暗号鍵Ｃ１〜Ｃｎで暗号化されている。なお、ＨＤＤ１１３は複数のユーザ毎に暗号鍵Ｃ１〜Ｃｎを分けて、その暗号鍵Ｃ１〜Ｃｎで暗号化されてもよい。複合機１００はＮＶＲＡＭ１１２に、暗号鍵Ｂで暗号化された状態のＨＤＤ１１３の暗号鍵Ｃ１〜Ｃｎを保存している。   FIG. 14 is a conceptual diagram of another example showing the storage location of the encryption key. In FIG. 14, the storage area of the HDD 113 is divided into a plurality of partitions, and each partition is encrypted with different encryption keys C1 to Cn. The HDD 113 may be encrypted with the encryption keys C1 to Cn by dividing the encryption keys C1 to Cn for each of a plurality of users. The MFP 100 stores the encryption keys C1 to Cn of the HDD 113 in the state encrypted with the encryption key B in the NVRAM 112.

図１３のように暗号鍵Ｃを保存している複合機１００は、図１５のフローチャートのように起動する。図１５は、複合機における起動手順を表したフローチャートである。   The MFP 100 storing the encryption key C as shown in FIG. 13 is activated as shown in the flowchart of FIG. FIG. 15 is a flowchart showing a startup procedure in the multifunction machine.

複合機１００の電源がＯＮされると、ステップＳ８１及びＳ８２に進み、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ又はＡ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。   When the MFP 100 is turned on, the process advances to steps S81 and S82, and the CTL 115 obtains the encryption key A or A ′ from the TPM 107, and then determines whether the encryption key is set in the USB flash memory 108.

暗号鍵が設定されていれば（Ｓ８２においてＹＥＳ）、ＣＴＬ１１５はステップＳ８３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。   If the encryption key is set (YES in S82), the CTL 115 proceeds to step S83, and uses the encryption keys B and C encrypted by the encryption key A stored in the USB flash memory 108 as the encryption key. Decode using A.

ステップＳ８４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ８５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得してＨＤＤ１１３を復号する。ステップＳ９６に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   In step S84, the CTL 115 acquires the decrypted encryption key B from the USB flash memory 108, and decrypts the NVRAM 112 using the encryption key B. In step S85, the CTL 115 acquires the decrypted encryption key C from the USB flash memory 108 and decrypts the HDD 113. In step S 96, the multifunction peripheral 100 activates each application by the application control software 116.

暗号鍵が設定されていなければ（Ｓ８２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。例えばコントローラボード１０１の交換後、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。   If the encryption key is not set (NO in S82), the CTL 115 determines that the NVRAM 112 and the HDD 113 are not encrypted. For example, after the controller board 101 is exchanged, the encryption key is not set in the USB flash memory 108.

ステップＳ８６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを平文として読み出す。また、ステップＳ８７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを平文として読み出す。   In step S86, the CTL 115 reads various parameters from the NVRAM 112 as plain text. In step S87, the CTL 115 reads data from the HDD 113 as plain text.

ステップＳ８８に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からの各種パラメータの読み出し、及びＨＤＤ１１３からのデータの読み出しに読み込みエラーが発生したか否かを判定する。例えばコントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータが暗号化されていれば、平文として読み出すと読み出しエラーが発生する。読み出しエラーが発生しなければ（Ｓ８８においてＮＯ）、ＣＴＬ１１５はステップＳ９６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   In step S88, the CTL 115 determines whether or not a reading error has occurred in reading various parameters from the NVRAM 112 and reading data from the HDD 113. For example, if the parameters and data stored in the NVRAM 112 and the HDD 113 are encrypted after the controller board 101 is exchanged, a read error occurs when read as plain text. If a read error does not occur (NO in S88), the CTL 115 proceeds to step S96 and activates each application by the application control software 116.

読み出しエラーが発生すれば（Ｓ８８においてＹＥＳ）、ＣＴＬ１１５はステップＳ８９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネルに表示する。暗号鍵のリストアが選択されると、ＣＴＬ１１５はステップＳ９０に進み、外部から入力されたＮＶＲＡＭ１１２の暗号鍵でＮＶＲＡＭ１１２の復号を試みる。   If a read error occurs (YES in S88), the CTL 115 proceeds to step S89, and displays a screen 1000 as shown in FIG. 11 on the operation panel for selecting encryption key restoration or storage device initialization. When the encryption key restoration is selected, the CTL 115 proceeds to step S90 and attempts to decrypt the NVRAM 112 with the encryption key of the NVRAM 112 input from the outside.

ステップＳ９１に進み、復号エラーが発生しなければ（Ｓ９１においてＮＯ）、ＣＴＬ１１５はステップＳ９２に進み、画面１１００に入力されたＮＶＲＡＭ１１２の暗号鍵を新しい暗号鍵として、暗号鍵Ａ'で暗号化したあと、ＵＳＢフラッシュメモリ１０８に保存する。   In step S91, if no decryption error occurs (NO in S91), the CTL 115 proceeds to step S92, and after encrypting with the encryption key A ′ using the encryption key of the NVRAM 112 input to the screen 1100 as a new encryption key. And stored in the USB flash memory 108.

ステップＳ９３に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からＨＤＤ１１３の暗号鍵Ｃを取り出す。ステップＳ９４に進み、ＣＴＬ１１５は暗号鍵ＣでＨＤＤ１１３の復号を行う。ＣＴＬ１１５は、ＨＤＤ１１３の暗号鍵Ｃを新しい暗号鍵として、暗号鍵Ａ'で暗号化したあと、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ９６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   In step S93, the CTL 115 extracts the encryption key C of the HDD 113 from the NVRAM 112. In step S94, the CTL 115 decrypts the HDD 113 with the encryption key C. The CTL 115 uses the encryption key C of the HDD 113 as a new encryption key, encrypts it with the encryption key A ′, and stores it in the USB flash memory 108. Then, the CTL 115 proceeds to step S96 and activates each application by the application control software 116.

なお、復号エラーが発生すれば（Ｓ９１においてＹＥＳ）、ＣＴＬ１１５はステップＳ８９に戻り、再び画面１０００を操作パネルに表示する。ストレージデバイスの初期化が選択されると、ＣＴＬ１１５はステップＳ９５に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。そして、ＣＴＬ１１５はステップＳ９６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   If a decoding error occurs (YES in S91), CTL 115 returns to step S89 and displays screen 1000 on the operation panel again. When the initialization of the storage device is selected, the CTL 115 proceeds to step S95 and initializes the NVRAM 112 and the HDD 113. Then, the CTL 115 proceeds to step S96 and activates each application by the application control software 116.

暗号鍵Ｂ及びＣは、例えば図１６のような構成としてもよい。図１６は暗号鍵の構成を示した概念図である。図１６では、ＮＶＲＡＭ１１２の暗号化に、例えば機種共通の固定鍵と、暗号鍵Ｂとを利用する。   The encryption keys B and C may be configured as shown in FIG. 16, for example. FIG. 16 is a conceptual diagram showing the configuration of the encryption key. In FIG. 16, for example, a fixed key common to models and an encryption key B are used for encryption of the NVRAM 112.

機種共通の固定鍵は製造工程でコントローラボード１０１に格納される。固定鍵を利用すると、暗号鍵Ｂは鍵長が短くなる。例えば鍵長が１２８ｂｉｔの場合、機種共通の固定値を６４ｂｉｔとすることで、暗号鍵Ｂは６４ｂｉｔとなり、リストア時に８バイト（１１文字）を入力すればよい。   A fixed key common to all models is stored in the controller board 101 in the manufacturing process. When a fixed key is used, the encryption key B has a shorter key length. For example, when the key length is 128 bits, the encryption key B is 64 bits by setting the fixed value common to the models to 64 bits, and 8 bytes (11 characters) may be input at the time of restoration.

図１７は、本発明によるデータ復旧方法を表した概念図である。図１７の上段はコントローラボード１０１の交換前の複合機１００を表している。図１７の下段はコントローラボード１０１の交換後の複合機１００を表している。   FIG. 17 is a conceptual diagram showing a data recovery method according to the present invention. The upper part of FIG. 17 represents the multifunction peripheral 100 before the controller board 101 is replaced. The lower part of FIG. 17 represents the multifunction peripheral 100 after the controller board 101 has been replaced.

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣを、ＳＤカードやＵＳＢメモリ等の外部メディア１１９へ格納しておく。暗号鍵Ｂ及びＣを格納する際、複合機１００はユーザに暗号鍵Ｂ及びＣのリストア用のパスワードを入力してもらい、パスワードを利用して暗号鍵Ｂ及びＣを暗号化する。   The MFP 100 according to the present invention stores the encryption keys B and C stored in the USB flash memory 108 in the external medium 119 such as an SD card or a USB memory while the controller board 101 is operating normally. deep. When storing the encryption keys B and C, the MFP 100 asks the user to input a password for restoring the encryption keys B and C, and encrypts the encryption keys B and C using the password.

コントローラボード１０１の交換後、本発明による複合機１００は外部メディア１１９へ格納しておいた暗号鍵Ｂ及びＣをリストアする際、ユーザによって入力された暗号鍵Ｂ及びＣのリストア用のパスワードを利用して暗号鍵Ｂ及びＣを復号する。図１７の複合機１００は外部メディア１１９に暗号鍵Ｂ及びＣを格納しているが、外部メディア１１９に代えて外部サーバを利用するようにしてもよい。   After the controller board 101 is replaced, the MFP 100 according to the present invention uses the password for restoring the encryption keys B and C input by the user when restoring the encryption keys B and C stored in the external medium 119. Thus, the encryption keys B and C are decrypted. Although the MFP 100 of FIG. 17 stores the encryption keys B and C in the external medium 119, an external server may be used instead of the external medium 119.

従って、本発明による複合機１００では、バックアップされた暗号鍵Ｂ及びＣが暗号化されているので、万一盗難にあっても暗号鍵Ｂ及びＣが漏洩しにくくなる。   Therefore, in the multi-function device 100 according to the present invention, the backed up encryption keys B and C are encrypted, so that the encryption keys B and C are not easily leaked even if they are stolen.

図１８は、本発明によるデータ復旧方法を表した概念図である。図１８の上段はコントローラボード１０１の交換前の複合機１００を表している。図１８の下段はコントローラボード１０１の交換後の複合機１００を表している。   FIG. 18 is a conceptual diagram showing a data recovery method according to the present invention. The upper part of FIG. 18 represents the multifunction peripheral 100 before the controller board 101 is replaced. The lower part of FIG. 18 represents the multifunction peripheral 100 after the controller board 101 has been replaced.

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣを、外部サーバ１２１へ格納しておく。暗号鍵Ｂ及びＣを格納する際、複合機１００はユーザに暗号鍵Ｂ及びＣのリストア用のパスワードを入力してもらい、パスワードを利用して暗号鍵Ｂ及びＣを暗号化する。また、複合機１００はコントローラボード１０１のシリアル番号を外部サーバ１２１に送信する。   The MFP 100 according to the present invention stores the encryption keys B and C stored in the USB flash memory 108 in the external server 121 while the controller board 101 is operating normally. When storing the encryption keys B and C, the MFP 100 asks the user to input a password for restoring the encryption keys B and C, and encrypts the encryption keys B and C using the password. In addition, the multifunction peripheral 100 transmits the serial number of the controller board 101 to the external server 121.

コントローラボード１０１のシリアル番号は、工場出荷時にコントローラボード１０１上の不揮発性メモリ内に格納されると共に、コントローラボード１０１上に印刷されているものとする。   It is assumed that the serial number of the controller board 101 is stored in the non-volatile memory on the controller board 101 at the time of factory shipment and printed on the controller board 101.

なお、コントローラボード１０１のシリアル番号は、コントローラボード１０１上に印刷しておく他、ＲＦＩＤタグやＩＣカードチップに格納しておいてもよい。コントローラボード１０１の交換時、コントローラボード１０１が壊れていることが全体である為、コントローラボード１０１のシリアル番号はコントローラボード１０１が壊れていても読み取ることができるようにする。なお、ＩＣカードチップにコントローラボード１０１のシリアル番号を格納しておく場合は改竄も防止できる。   Note that the serial number of the controller board 101 may be stored on an RFID tag or an IC card chip in addition to printing on the controller board 101. When the controller board 101 is replaced, since the entire controller board 101 is broken, the serial number of the controller board 101 can be read even if the controller board 101 is broken. Note that tampering can be prevented when the serial number of the controller board 101 is stored in the IC card chip.

外部サーバ１２１は、図１９のようなサーバテーブルにより、コントローラボード１０１のシリアル番号と、パスワードにより暗号化された暗号鍵Ｂ及びＣとを対応付けて管理する。図１９はサーバテーブルの一例の構成図である。   The external server 121 associates and manages the serial number of the controller board 101 and the encryption keys B and C encrypted with the password by using a server table as shown in FIG. FIG. 19 is a configuration diagram of an example of a server table.

コントローラボード１０１の交換後、本発明による複合機１００は外部サーバ１２１へ格納しておいた暗号鍵Ｂ及びＣをリストアする際、交換前のコントローラボード１０１に印刷されているシリアル番号及び外部サーバ１２１のアドレスを管理者等によって入力される。   After the controller board 101 is replaced, when the MFP 100 according to the present invention restores the encryption keys B and C stored in the external server 121, the serial number printed on the controller board 101 before the replacement and the external server 121 are restored. The address is entered by an administrator or the like.

交換前のコントローラボード１０１に印刷されているシリアル番号及び外部サーバ１２１のアドレスを入力されると、複合機１００は管理者等によって入力されたシリアル番号に対応する、暗号化された暗号鍵Ｂ及びＣを取得する。複合機１００は、ユーザによって入力された暗号鍵Ｂ及びＣのリストア用のパスワードを利用して、暗号鍵Ｂ及びＣを復号する。   When the serial number printed on the controller board 101 before the replacement and the address of the external server 121 are input, the multi-function device 100 and the encrypted encryption key B corresponding to the serial number input by the administrator or the like Get C. The multifunction device 100 decrypts the encryption keys B and C using the password for restoring the encryption keys B and C input by the user.

図１８の複合機１００は、外部サーバ１２１に暗号鍵Ｂ及びＣを格納しているが、外部サーバ１２１に代えて外部メディア１１９を利用するようにしてもよい。外部メディア１１９は図１９のサーバテーブルと同様なテーブルを利用することで、複数の複合機１００の暗号化された暗号鍵Ｂ及びＣを格納できる。   In the MFP 100 of FIG. 18, the encryption keys B and C are stored in the external server 121, but an external medium 119 may be used instead of the external server 121. The external medium 119 can store encrypted encryption keys B and C of a plurality of multifunction peripherals 100 by using a table similar to the server table of FIG.

なお、外部サーバ１２１はメーカが用意したメンテナンスサービス用のサーバであってもよい。外部サーバ１２１のアドレスは、製造工程でコントローラボード１０１上の不揮発性メモリに格納しておいてもよい。   The external server 121 may be a maintenance service server prepared by a manufacturer. The address of the external server 121 may be stored in a nonvolatile memory on the controller board 101 in the manufacturing process.

従って、本発明による複合機１００では、バックアップされた暗号鍵Ｂ及びＣが、外部サーバ１２１に集約されるので、複数の複合機１００を導入した場合のメンテナンスや暗号鍵Ｂ及びＣの管理が容易となる。   Therefore, in the MFP 100 according to the present invention, the backed up encryption keys B and C are collected in the external server 121, so that maintenance when a plurality of MFPs 100 are introduced and encryption keys B and C are easily managed. It becomes.

図２０は、複合機における起動手順を表したフローチャートである。複合機１００の電源がＯＮされると、ステップＳ１０１及びＳ１０２に進み、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ又はＡ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。   FIG. 20 is a flowchart showing a startup procedure in the multifunction machine. When the MFP 100 is turned on, the process advances to steps S101 and S102, and the CTL 115 obtains the encryption key A or A ′ from the TPM 107, and then determines whether the encryption key is set in the USB flash memory 108.

暗号鍵が設定されていれば（Ｓ１０２においてＹＥＳ）、ＣＴＬ１１５はステップＳ１０３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。   If the encryption key is set (YES in S102), the CTL 115 proceeds to step S103, and uses the encryption keys B and C encrypted by the encryption key A, stored in the USB flash memory 108, as the encryption key. Decode using A.

ステップＳ１０４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。ＣＴＬ１１５はステップＳ１０５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得してＨＤＤ１１３を復号する。ステップＳ１１８に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   In step S104, the CTL 115 acquires the decrypted encryption key B from the USB flash memory 108, and decrypts the NVRAM 112 using the encryption key B. In step S105, the CTL 115 acquires the decrypted encryption key C from the USB flash memory 108 and decrypts the HDD 113. In step S 118, the multifunction peripheral 100 activates each application by the application control software 116.

暗号鍵が設定されていなければ（Ｓ１０２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。例えばコントローラボード１０１の交換後、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。   If the encryption key is not set (NO in S102), the CTL 115 determines that the NVRAM 112 and the HDD 113 are not encrypted. For example, after the controller board 101 is exchanged, the encryption key is not set in the USB flash memory 108.

ステップＳ１０６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを平文として読み出す。ステップＳ１０７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを平文として読み出す。   In step S106, the CTL 115 reads various parameters from the NVRAM 112 as plain text. In step S107, the CTL 115 reads data from the HDD 113 as plain text.

ステップＳ１０８に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からの各種パラメータの読み出し、及びＨＤＤ１１３からのデータの読み出しに読み込みエラーが発生したか否かを判定する。例えばコントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータが暗号化されていれば、平文として読み出すと読み出しエラーが発生する。   In step S108, the CTL 115 determines whether or not a reading error has occurred in reading various parameters from the NVRAM 112 and reading data from the HDD 113. For example, if the parameters and data stored in the NVRAM 112 and the HDD 113 are encrypted after the controller board 101 is exchanged, a read error occurs when read as plain text.

読み出しエラーが発生しなければ（Ｓ１０８においてＮＯ）、ＣＴＬ１１５はステップＳ１１８に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   If a read error does not occur (NO in S108), the CTL 115 proceeds to step S118 and activates each application by the application control software 116.

読み出しエラーが発生すれば（Ｓ１０８においてＹＥＳ）、ＣＴＬ１１５はステップＳ１０９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネルに表示する。暗号鍵のリストアが選択されると、ＣＴＬ１１５は例えば交換前のコントローラボード１０１に印刷されているシリアル番号及び外部サーバ１２１のアドレスを入力させる画面を操作パネル１１８等に表示し、管理者等にシリアル番号及び外部サーバ１２１のアドレスを入力させる。   If a read error occurs (YES in S108), the CTL 115 proceeds to step S109, and displays a screen 1000 as shown in FIG. 11 on the operation panel for selecting encryption key restoration or storage device initialization. When restoration of the encryption key is selected, the CTL 115 displays a screen for inputting the serial number printed on the controller board 101 before replacement and the address of the external server 121 on the operation panel 118, etc. The number and the address of the external server 121 are input.

ステップＳ１１０に進み、ＣＴＬ１１５は管理者等によって入力されたシリアル番号に対応する、暗号化された暗号鍵Ｂ及びＣを外部サーバ１２１から取得できたか否かを判定する。暗号化された暗号鍵Ｂ及びＣを外部サーバ１２１から取得できれば（Ｓ１１０においてＹＥＳ）、ＣＴＬ１１５はステップＳ１１１に進み、ユーザに、暗号鍵Ｂ及びＣのリストア用のパスワードを入力させる。ＣＴＬ１１５はユーザによって入力された暗号鍵Ｂ及びＣのリストア用のパスワードを利用して、暗号鍵Ｂ及びＣを復号する。   In step S110, the CTL 115 determines whether or not the encrypted encryption keys B and C corresponding to the serial number input by the administrator or the like have been acquired from the external server 121. If the encrypted encryption keys B and C can be acquired from the external server 121 (YES in S110), the CTL 115 proceeds to step S111 and causes the user to input a password for restoring the encryption keys B and C. The CTL 115 decrypts the encryption keys B and C using the password for restoring the encryption keys B and C input by the user.

ステップＳ１１２に進み、ＣＴＬ１１５は復号された暗号鍵ＢでＮＶＲＡＭ１１２の復号を試みる。また、ステップＳ１１３に進み、ＣＴＬ１１５は復号された暗号鍵ＣでＨＤＤ１１３の復号を試みる。   In step S112, the CTL 115 attempts to decrypt the NVRAM 112 with the decrypted encryption key B. In step S113, the CTL 115 attempts to decrypt the HDD 113 with the decrypted encryption key C.

ステップＳ１１４に進み、復号エラーが発生しなければ（Ｓ１１４においてＮＯ）、ＣＴＬ１１５はステップＳ１１５に進み、ステップＳ１１１で復号された暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化したあと、ＵＳＢフラッシュメモリ１０８に保存する。ＣＴＬ１１５はステップＳ１１８に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。   The process proceeds to step S114, and if no decryption error occurs (NO in S114), the CTL 115 proceeds to step S115 and encrypts with the encryption key A ′ using the encryption keys B and C decrypted in step S111 as new encryption keys. After that, it is stored in the USB flash memory 108. In step S118, the CTL 115 activates each application by the application control software 116.

なお、復号エラーが発生すれば（Ｓ１１４においてＹＥＳ）、ＣＴＬ１１５はステップＳ１０９に戻り、再び画面１０００を操作パネルに表示する。ストレージデバイスの初期化が選択されると、ＣＴＬ１１５はステップＳ１１７に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５はステップＳ１１８に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。もし、暗号化された暗号鍵Ｂ及びＣを外部サーバ１２１から取得できなければ（Ｓ１１０においてＮＯ）、ＣＴＬ１１５はステップＳ１１６に進み、エラー終了する。   If a decoding error occurs (YES in S114), CTL 115 returns to step S109 and displays screen 1000 on the operation panel again. When the initialization of the storage device is selected, the CTL 115 proceeds to step S117 and initializes the NVRAM 112 and the HDD 113. In step S118, the CTL 115 activates each application by the application control software 116. If the encrypted encryption keys B and C cannot be acquired from the external server 121 (NO in S110), the CTL 115 proceeds to step S116 and ends with an error.

図２１は、本発明によるデータ復旧方法を表した概念図である。図２１の上段はコントローラボード１０１の交換前の複合機１００を表している。図２１の下段はコントローラボード１０１の交換後の複合機１００を表している。   FIG. 21 is a conceptual diagram showing a data recovery method according to the present invention. The upper part of FIG. 21 represents the multifunction peripheral 100 before the controller board 101 is replaced. The lower part of FIG. 21 represents the multifunction peripheral 100 after the controller board 101 has been replaced.

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣを、外部サーバ１２１へ格納しておく。暗号鍵Ｂ及びＣを格納する際、複合機１００はユーザに暗号鍵Ｂ及びＣのリストア用のパスワードを入力してもらい、パスワードを利用して暗号鍵Ｂ及びＣを暗号化する。また、複合機１００はコントローラボード１０１のシリアル番号を外部サーバ１２１に送信する。例えば外部サーバ１２１は、メーカの用意したメンテナンスサービス用のサーバである。   The MFP 100 according to the present invention stores the encryption keys B and C stored in the USB flash memory 108 in the external server 121 while the controller board 101 is operating normally. When storing the encryption keys B and C, the MFP 100 asks the user to input a password for restoring the encryption keys B and C, and encrypts the encryption keys B and C using the password. In addition, the multifunction peripheral 100 transmits the serial number of the controller board 101 to the external server 121. For example, the external server 121 is a maintenance service server prepared by a manufacturer.

外部サーバ１２１は複合機１００から暗号鍵のリストア要求があると、そのリストア要求を認証する。外部サーバ１２１はリストア要求の認証の為の情報を図２２に示すようなサーバテーブルにより保持している。図２２はサーバテーブルの一例の構成図である。図２２のサーバテーブルは、コントローラボード１０１のシリアル番号と、暗号鍵Ｂ及びＣを暗号化したパスワードと、パスワードにより暗号化された暗号鍵Ｂ及びＣとを対応付けて管理する。   When there is a request for restoring the encryption key from the multi-function device 100, the external server 121 authenticates the restore request. The external server 121 holds information for authentication of a restore request in a server table as shown in FIG. FIG. 22 is a configuration diagram of an example of a server table. The server table of FIG. 22 manages the serial number of the controller board 101, the password obtained by encrypting the encryption keys B and C, and the encryption keys B and C encrypted by the password in association with each other.

例えば図２１の外部サーバ１２１ではリストア要求の認証に、暗号鍵Ｂ及びＣを暗号化したパスワードを利用している。リストア要求の認証には、暗号鍵Ｂ及びＣを暗号化したパスワードではない独立した認証パスワードを利用するようにしてもよい。リストア要求の認証には、ＴＰＭ１０７内の暗号鍵によるチャレンジ−レスポンス認証や、ハッシュ認証等を利用するようにしてもよい。なお、外部サーバ１２１は、リストア要求の認証が失敗した複合機１００に、暗号化された暗号鍵Ｂ及びＣを渡さない。   For example, the external server 121 in FIG. 21 uses a password obtained by encrypting the encryption keys B and C for authentication of the restore request. For authentication of the restore request, an independent authentication password that is not a password obtained by encrypting the encryption keys B and C may be used. For restoration request authentication, challenge-response authentication using an encryption key in the TPM 107, hash authentication, or the like may be used. Note that the external server 121 does not pass the encrypted encryption keys B and C to the multifunction peripheral 100 for which the restoration request authentication has failed.

リストア要求の認証が成功すると、外部サーバ１２１は、複合機１００から受信したコントローラボード１０１のシリアル番号に対応する、暗号化された暗号鍵Ｂ及びＣを取得する。複合機１００はユーザにより入力された暗号鍵Ｂ及びＣのリストア用のパスワードを利用して、暗号鍵Ｂ及びＣを復号する。   When the authentication of the restore request is successful, the external server 121 acquires encrypted encryption keys B and C corresponding to the serial number of the controller board 101 received from the multifunction device 100. The multi-function device 100 decrypts the encryption keys B and C using the password for restoring the encryption keys B and C input by the user.

従って、本発明による複合機１００では、リストア時に認証を行うため、総当たり攻撃や辞書攻撃など、暗号鍵解読の為の攻撃を検出できる。   Therefore, since the multifunction peripheral 100 according to the present invention performs authentication at the time of restoration, it can detect attacks for decryption of encryption keys such as brute force attacks and dictionary attacks.

図２３は、本発明によるデータ復旧方法を表した概念図である。図２３はコントローラボード１０１の交換前の複合機１００を表している。図２３では、ＨＤＤ１１３の記憶領域が複数のパーティションに分かれており、そのバーティション毎に、それぞれ別の暗号鍵Ｃ１〜Ｃｎで暗号化されている。ＨＤＤ１１３は複数のユーザ毎に暗号鍵Ｃ１〜Ｃｎを分けて、その暗号鍵Ｃ１〜Ｃｎで暗号化されてもよい。   FIG. 23 is a conceptual diagram showing a data recovery method according to the present invention. FIG. 23 shows the multifunction peripheral 100 before the controller board 101 is replaced. In FIG. 23, the storage area of the HDD 113 is divided into a plurality of partitions, and each partition is encrypted with different encryption keys C1 to Cn. The HDD 113 may divide the encryption keys C1 to Cn for each of a plurality of users, and may be encrypted with the encryption keys C1 to Cn.

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣ１〜Ｃｎを、異なる複数の外部メディア１１９へ格納しておく。暗号鍵Ｂ及びＣ１〜Ｃｎを格納する際、複合機１００はユーザに暗号鍵Ｂ及びＣ１〜Ｃｎのリストア用のパスワード０〜ｎを入力してもらうことで、パスワードを利用して暗号鍵Ｂ及びＣ１〜Ｃｎを暗号化する。   The multifunction peripheral 100 according to the present invention stores the encryption keys B and C1 to Cn stored in the USB flash memory 108 in a plurality of different external media 119 while the controller board 101 is operating normally. When storing the encryption keys B and C1 to Cn, the multi-function device 100 allows the user to input the passwords 0 to n for restoring the encryption keys B and C1 to Cn, so that the encryption key B and the passwords are used. C1 to Cn are encrypted.

コントローラボード１０１の交換後、本発明による複合機１００は外部メディア１１９へ格納しておいた暗号鍵Ｂ及びＣ１〜Ｃｎをリストアする際、ユーザによって入力されたリストア用のパスワード０〜ｎを利用して暗号鍵Ｂ及びＣ１〜Ｃｎを復号する。図２３では複数の外部メディア１１９を利用する例を示したが、例えば１つの外部メディア１１９の異なるディレクトリを利用してもよい。   After the controller board 101 is replaced, when the MFP 100 according to the present invention restores the encryption keys B and C1 to Cn stored in the external medium 119, it uses the restore passwords 0 to n input by the user. To decrypt the encryption keys B and C1 to Cn. Although FIG. 23 shows an example in which a plurality of external media 119 are used, for example, different directories on one external media 119 may be used.

従って、本発明による複合機１００では、ユーザ毎に暗号鍵Ｃ１〜Ｃｎをバックアップすることができるので、管理者であってもユーザの暗号鍵Ｃ１〜Ｃｎを解析できない。   Therefore, since the MFP 100 according to the present invention can back up the encryption keys C1 to Cn for each user, even the administrator cannot analyze the encryption keys C1 to Cn of the user.

図２４は、本発明によるデータ復旧方法を表した概念図である。図２４はコントローラボード１０１の交換前の複合機１００を表している。図２４では、ＨＤＤ１１３の記憶領域が複数のパーティションに分かれており、そのバーティション毎に、それぞれ別の暗号鍵Ｃ１〜Ｃｎで暗号化されている。ＨＤＤ１１３は複数のユーザ毎に暗号鍵Ｃ１〜Ｃｎを分けて、その暗号鍵Ｃ１〜Ｃｎで暗号化されている。   FIG. 24 is a conceptual diagram showing a data recovery method according to the present invention. FIG. 24 shows the multifunction peripheral 100 before the controller board 101 is replaced. In FIG. 24, the storage area of the HDD 113 is divided into a plurality of partitions, and each partition is encrypted with different encryption keys C1 to Cn. The HDD 113 divides the encryption keys C1 to Cn for each of a plurality of users and is encrypted with the encryption keys C1 to Cn.

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂを１つの外部メディア１１９に格納すると共に、暗号鍵Ｃ１〜Ｃｎを異なる複数のメールサーバ１２２に送信する。暗号鍵Ｂを格納する際、複合機１００はユーザに暗号鍵Ｂのリストア用のパスワード０を入力してもらうことで、パスワード０を利用して暗号鍵Ｂを暗号化する。   The multifunction peripheral 100 according to the present invention stores the encryption key B stored in the USB flash memory 108 in one external medium 119 and the encryption keys C1 to Cn are different while the controller board 101 is operating normally. It is transmitted to a plurality of mail servers 122. When storing the encryption key B, the MFP 100 encrypts the encryption key B using the password 0 by having the user input the password 0 for restoring the encryption key B.

また、暗号鍵Ｃ１〜Ｃｎを送信する際、複合機１００はユーザに暗号鍵Ｃ１〜Ｃｎのリストア用のパスワード１〜ｎを入力してもらうことで、パスワード１〜ｎを利用して暗号鍵Ｃ１〜Ｃｎを暗号化する。メールサーバ１２２は、暗号化された暗号鍵Ｃ１〜Ｃｎを各ユーザ宛にメール転送する。   Further, when transmitting the encryption keys C1 to Cn, the multi-function device 100 allows the user to input the passwords 1 to n for restoring the encryption keys C1 to Cn, so that the encryption key C1 is used using the passwords 1 to n. ~ Cn is encrypted. The mail server 122 transfers the encrypted encryption keys C1 to Cn to each user by mail.

図２５は、ユーザ宛に転送したメールのイメージ図である。なお、暗号化された暗号鍵Ｃ１〜Ｃｎは例えばメールの本文に記載したり、添付ファイルとしてメールに添付したりすることが考えられる。   FIG. 25 is an image diagram of mail transferred to the user. Note that the encrypted encryption keys C1 to Cn may be described in the body of an email, for example, or attached to an email as an attached file.

コントローラボード１０１の交換後、本発明による複合機１００は外部メディア１１９へ格納しておいた暗号鍵Ｂをリストアする際、ユーザによって入力されたリストア用のパスワード０を利用して暗号鍵Ｂを復号する。また、本発明による複合機１００はユーザ宛にメール転送しておいた暗号鍵Ｃ１〜Ｃｎをリストアする際、ユーザからの受信メールから暗号鍵Ｃ１〜Ｃｎを取得し、リストア用のパスワード１〜ｎを利用して暗号鍵Ｃ１〜Ｃｎを復号する。   After the controller board 101 is replaced, when the MFP 100 according to the present invention restores the encryption key B stored in the external medium 119, the MFP 100 decrypts the encryption key B using the restore password 0 input by the user. To do. In addition, when the MFP 100 according to the present invention restores the encryption keys C1 to Cn transferred to the user by mail, the MFP 100 acquires the encryption keys C1 to Cn from the received mail from the user and restores the passwords 1 to n. Is used to decrypt the encryption keys C1 to Cn.

従って、本発明による複合機１００では、ユーザ毎に暗号鍵Ｃ１〜Ｃｎをメール転送できるので、ユーザが暗号鍵Ｃ１〜Ｃｎのバックアップを保存できる。   Therefore, in the multifunction peripheral 100 according to the present invention, the encryption keys C1 to Cn can be transferred by mail for each user, so that the user can save a backup of the encryption keys C1 to Cn.

図２６は本発明による複合機の暗号鍵設定手順を表したフローチャートである。ＣＴＬ１１５はステップＳ１２１において、操作パネルやネットワーク経由で鍵変更指示（暗号鍵ｂ，ｃ→暗号鍵Ｂ，Ｃ）を受け取る。ＣＴＬ１１５はステップＳ１２２に進み、ＴＰＭ１０７から暗号鍵Ａを取得する。ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵ｂ及びｃを、暗号鍵Ａを用いて復号する。ＣＴＬ１１５は、復号した暗号鍵ｂ及びｃをＵＳＢフラッシュメモリ１０８から取得する。ＣＴＬ１１５は暗号鍵ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５は暗号鍵ｃを用いてＨＤＤ１１３を復号する。   FIG. 26 is a flowchart showing the encryption key setting procedure of the multifunction machine according to the present invention. In step S121, the CTL 115 receives a key change instruction (encryption keys b, c → encryption keys B, C) via the operation panel or the network. In step S122, the CTL 115 acquires the encryption key A from the TPM 107. The CTL 115 uses the encryption key A to decrypt the encryption keys b and c stored in the USB flash memory 108 and encrypted with the encryption key A. The CTL 115 acquires the decrypted encryption keys b and c from the USB flash memory 108. The CTL 115 decrypts the NVRAM 112 using the encryption key b. The CTL 115 decrypts the HDD 113 using the encryption key c.

ステップＳ１２３に進み、ＣＴＬ１１５は暗号鍵Ｂ，ＣをＢＡＳＥ６４で変換する。ステップＳ１２４に進み、ＣＴＬ１１５は新しい暗号鍵Ｂを、操作パネルやネットワーク経由で外部出力しておく。   In step S123, the CTL 115 converts the encryption keys B and C with BASE64. In step S124, the CTL 115 outputs the new encryption key B to the outside via the operation panel or the network.

ステップＳ１２５に進み、ＣＴＬ１１５は暗号鍵Ｂの外部出力が成功した場合（Ｓ１２５においてＹＥＳ）、ステップＳ１２６に進み、暗号鍵Ｃ１〜Ｃｎを各ユーザ宛にメール転送する。ステップＳ１２７に進み、ＣＴＬ１１５は暗号鍵Ｃ１〜Ｃｎのメール送信が成功した場合（Ｓ１２７においてＹＥＳ）、ステップＳ１２８に進み、新しい暗号鍵Ｂ及び暗号鍵Ｃ１〜ＣｎでＮＶＲＡＭ１１２及びＨＤＤ１１３を再び暗号化する。そして、ステップＳ１２８からステップＳ１２９に進み、ＣＴＬ１１５は操作パネルに操作画面を表示させて暗号鍵の設定を終了する。   In step S125, if the external output of the encryption key B is successful (YES in S125), the CTL 115 proceeds to step S126 and transfers the encryption keys C1 to Cn to each user by mail. Proceeding to step S127, if the CTL 115 has successfully sent the encryption keys C1 to Cn (YES in S127), the CTL 115 proceeds to step S128 and re-encrypts the NVRAM 112 and the HDD 113 with the new encryption key B and encryption keys C1 to Cn. Then, the process proceeds from step S128 to step S129, and the CTL 115 displays an operation screen on the operation panel and ends the setting of the encryption key.

一方、ＣＴＬ１１５はユーザキャンセル等、何らかの原因で暗号鍵Ｂの外部出力が失敗した場合（Ｓ１２５においてＮＯ）、ステップＳ１３０に進み、操作パネルにエラー画面を表示する。ステップＳ１３１に進み、ＣＴＬ１１５はエラー状況が回復したか否かを判定する。エラー状況が回復しなければ（Ｓ１３１においてＮＯ）、ＣＴＬ１１５はステップＳ１３２に進み、操作パネルに暗号鍵の設定失敗画面を表示する。なお、エラー状況が回復すれば（Ｓ１３１においてＹＥＳ）、ＣＴＬ１１５はステップＳ１２６に進む。   On the other hand, if the external output of the encryption key B fails for some reason, such as user cancellation (NO in S125), the CTL 115 proceeds to step S130 and displays an error screen on the operation panel. In step S131, the CTL 115 determines whether or not the error situation has been recovered. If the error situation does not recover (NO in S131), the CTL 115 proceeds to step S132 and displays an encryption key setting failure screen on the operation panel. If the error situation is recovered (YES in S131), the CTL 115 proceeds to step S126.

また、ＣＴＬ１１５は暗号鍵Ｃ１〜Ｃｎのメール送信が失敗した場合（Ｓ１２７においてＮＯ）、ステップＳ１３３に進み、操作パネルにエラー画面を表示する。ステップＳ１３４に進み、ＣＴＬ１１５はエラー状況が回復したか否かを判定する。エラー状況が回復しなければ（Ｓ１３４においてＮＯ）、ＣＴＬ１１５はステップＳ１３５に進み、操作パネルに暗号鍵の設定失敗画面を表示する。なお、エラー状況が回復すれば（Ｓ１３４においてＹＥＳ）、ＣＴＬ１１５はステップＳ１２８に進む。   If the CTL 115 fails to transmit the encryption keys C1 to Cn (NO in S127), the CTL 115 proceeds to step S133 and displays an error screen on the operation panel. In step S134, the CTL 115 determines whether or not the error situation has been recovered. If the error condition does not recover (NO in S134), the CTL 115 proceeds to step S135 and displays an encryption key setting failure screen on the operation panel. If the error situation is recovered (YES in S134), the CTL 115 proceeds to step S128.

図２７は複合機における起動手順を表したフローチャートである。ステップＳ１４１ではユーザから復旧メールを受信する。ステップＳ１４２に進み、ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８のチェックを行う。暗号鍵の復旧が必要であれば（Ｓ１４３においてＹＥＳ）、ＣＴＬ１１５はステップＳ１４４に進み、復旧メールから取得した暗号鍵でＨＤＤ１１３を復号する。復号エラーが発生しなければ（Ｓ１４５においてＮＯ）、ＣＴＬ１５は新しい鍵をＵＳＢフラッシュメモリ１０８に保存する。   FIG. 27 is a flowchart showing a startup procedure in the multifunction machine. In step S141, a recovery mail is received from the user. In step S142, the CTL 115 checks the USB flash memory 108. If recovery of the encryption key is necessary (YES in S143), the CTL 115 proceeds to step S144 and decrypts the HDD 113 with the encryption key acquired from the recovery mail. If no decryption error occurs (NO in S145), the CTL 15 stores the new key in the USB flash memory 108.

なお、暗号鍵の復旧が必要でなく（Ｓ１４３においてＮＯ）、又は復号エラーが発生すれば（Ｓ１４５においてＹＥＳ）、ＣＴＬ１１５はステップＳ１４７に進み、エラーメールをユーザに返信する。   If recovery of the encryption key is not required (NO in S143) or a decryption error occurs (YES in S145), the CTL 115 proceeds to step S147 and returns an error mail to the user.

従って、本発明による複合機１００では、コントローラボード１０１の交換後であってもＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号鍵Ｂ及びＣ１〜Ｃｎで暗号化されて格納されているパラメータやデータを復号できる。   Therefore, the MFP 100 according to the present invention can decrypt parameters and data that are encrypted and stored in the NVRAM 112 and the HDD 113 with the encryption keys B and C1 to Cn even after the controller board 101 is replaced.

本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。   The present invention is not limited to the specifically disclosed embodiments, and various modifications and changes can be made without departing from the scope of the claims.

本発明による複合機の一例のハードウェア構成図である。FIG. 2 is a hardware configuration diagram of an example of a multifunction machine according to the present invention. 本発明による複合機の一例のソフトウェア構成図である。FIG. 3 is a software configuration diagram of an example of a multifunction peripheral according to the present invention. 本発明による複合機の起動手順を表したフローチャートである。4 is a flowchart showing a start-up procedure of the multifunction machine according to the present invention. 本発明による複合機の起動手順を表したシーケンス図である。It is a sequence diagram showing the starting procedure of the multifunctional machine by this invention. コントローラボードを交換した複合機の一例のハードウェア構成図である。FIG. 3 is a hardware configuration diagram of an example of a multifunction machine with a controller board replaced. 本発明によるデータ復旧方法を表した概念図である。It is a conceptual diagram showing the data recovery method by this invention. 本発明による複合機の暗号鍵設定手順を表したフローチャートである。6 is a flowchart showing a cryptographic key setting procedure of the multifunction machine according to the present invention. 新しい暗号鍵の外部出力が成功したときの暗号鍵設定手順を表したシーケンス図である。It is a sequence diagram showing the encryption key setting procedure when the external output of a new encryption key is successful. 複合機における起動手順を表したフローチャートである。6 is a flowchart showing a start-up procedure in the multifunction machine. コントローラボード交換後の複合機における起動手順を表したシーケンス図である。It is a sequence diagram showing the starting procedure in the multifunctional machine after controller board replacement | exchange. 暗号鍵のリストア又はストレージデバイスの初期化を選択させる画面の一例のイメージ図である。It is an image figure of an example of the screen which selects restoration of an encryption key, or initialization of a storage device. 暗号鍵をリストアする為の画面の一例のイメージ図である。It is an image figure of an example of the screen for restoring an encryption key. 暗号鍵の格納場所を示した概念図である。It is the conceptual diagram which showed the storage place of an encryption key. 暗号鍵の格納場所を示した他の例の概念図である。It is the conceptual diagram of the other example which showed the storage location of the encryption key. 複合機における起動手順を表したフローチャートである。6 is a flowchart showing a start-up procedure in the multifunction machine. 暗号鍵の構成を示した概念図である。It is the conceptual diagram which showed the structure of the encryption key. 本発明によるデータ復旧方法を表した概念図である。It is a conceptual diagram showing the data recovery method by this invention. 本発明によるデータ復旧方法を表した概念図である。It is a conceptual diagram showing the data recovery method by this invention. サーバテーブルの一例の構成図である。It is a block diagram of an example of a server table. 複合機における起動手順を表したフローチャートである。6 is a flowchart showing a start-up procedure in the multifunction machine. 本発明によるデータ復旧方法を表した概念図である。It is a conceptual diagram showing the data recovery method by this invention. サーバテーブルの一例の構成図である。It is a block diagram of an example of a server table. 本発明によるデータ復旧方法を表した概念図である。It is a conceptual diagram showing the data recovery method by this invention. 本発明によるデータ復旧方法を表した概念図である。It is a conceptual diagram showing the data recovery method by this invention. ユーザ宛に転送したメールのイメージ図である。It is an image figure of the mail forwarded to the user. 本発明による複合機の暗号鍵設定手順を表したフローチャートである。6 is a flowchart showing a cryptographic key setting procedure of the multifunction machine according to the present invention. 複合機における起動手順を表したフローチャートである。6 is a flowchart showing a start-up procedure in the multifunction machine.

符号の説明Explanation of symbols

１００ 複合機
１０１ コントローラボード
１０２ ＣＰＵ
１０３ ＲＯＭ
１０４ ＲＡＭ
１０５ ＬＡＮコントローラ
１０６ ＤＣＲ
１０７ ＴＰＭ
１０８ ＵＳＢフラッシュメモリ
１０９ オペポート
１１０ プロッタ
１１１ スキャナ
１１２ ＮＶＲＡＭ
１１３ ＨＤＤ
１１４ ＯＳ
１１５ 全体制御ソフトウェア（ＣＴＬ）
１１６ アプリケーション制御ソフトウェア１１６
１１７ 外部デバイス
１１８ 操作パネル
１１９ 外部メディア
１２０ メディアＩＯ
１２１ 外部サーバ
１２２ メールサーバ
５０１ ＯＣＲ 100 MFP 101 Controller board 102 CPU
103 ROM
104 RAM
105 LAN controller 106 DCR
107 TPM
108 USB Flash Memory 109 Operation Port 110 Plotter 111 Scanner 112 NVRAM
113 HDD
114 OS
115 Overall control software (CTL)
116 Application control software 116
117 External device 118 Operation panel 119 External media 120 Media IO
121 External server 122 Mail server 501 OCR

Claims (22)

少なくともセキュアメモリ及び第１記憶装置を搭載するコントローラボードと、第２記憶装置とを含む構成であり、前記セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を前記第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを前記第２記憶装置に格納している情報処理装置のデータ復旧方法であって、
前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記情報処理装置の外部にバックアップ鍵としてバックアップするバックアップステップと、
前記第１及び第２暗号鍵が使用できないとき、前記バックアップ鍵を前記情報処理装置の内部にリストアするリストアステップと、
前記情報処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号ステップと
を有することを特徴とするデータ復旧方法。 A configuration includes at least a controller board on which a secure memory and a first storage device are mounted, and a second storage device, wherein a second encryption key is stored in the secure memory and encrypted with the first encryption key. storing the encryption key to the first storage device, a second data recovery method for an information processing apparatus the encrypted data with the encryption key is stored in the second storage device,
A backup step of decrypting the second encryption key using the first encryption key and backing up the second encryption key as a backup key outside the information processing apparatus;
A restore step for restoring the backup key to the inside of the information processing apparatus when the first and second encryption keys cannot be used;
And a decrypting step of decrypting the data stored in the second storage device using the backup key restored in the information processing apparatus. 前記バックアップステップは、操作者から入力されたパスワードによって前記第２暗号鍵を暗号化した後、脱着可能な第３記憶装置に前記バックアップ鍵としてバックアップすることを特徴とする請求項１記載のデータ復旧方法。   2. The data recovery according to claim 1, wherein, in the backup step, after the second encryption key is encrypted with a password input by an operator, the backup is backed up as the backup key in a removable third storage device. Method. 前記リストアステップは、前記パスワードによって前記バックアップ鍵を復号し、前記バックアップ鍵を前記情報処理装置の内部にリストアすることを特徴とする請求項２記載のデータ復旧方法。   3. The data recovery method according to claim 2, wherein the restoring step decrypts the backup key with the password and restores the backup key into the information processing apparatus. 前記バックアップステップは、操作者から入力されたパスワードによって前記第２暗号鍵を暗号化した後、ネットワーク経由で接続されたサーバに前記バックアップ鍵としてバックアップすることを特徴とする請求項１記載のデータ復旧方法。   2. The data recovery according to claim 1, wherein, in the backup step, the second encryption key is encrypted with a password inputted by an operator, and then backed up as a backup key to a server connected via a network. Method. 前記リストアステップは、前記情報処理装置の識別情報を前記サーバへ送信し、前記識別情報に応じた前記バックアップ鍵を前記サーバから受信し、前記パスワードによって前記バックアップ鍵を復号して、前記バックアップ鍵を前記情報処理装置の内部にリストアすることを特徴とする請求項４記載のデータ復旧方法。   The restore step transmits identification information of the information processing apparatus to the server, receives the backup key corresponding to the identification information from the server, decrypts the backup key with the password, and stores the backup key. 5. The data recovery method according to claim 4, wherein the restoration is performed inside the information processing apparatus. 前記バックアップステップは、前記バックアップ鍵をユーザ毎又は前記第２記憶装置の領域毎にバックアップすることを特徴とする請求項１乃至５何れか一項記載のデータ復旧方法。   6. The data recovery method according to claim 1, wherein the backup step backs up the backup key for each user or for each area of the second storage device. 前記バックアップステップは、前記バックアップ鍵をユーザ毎に転送することを特徴とする請求項６記載のデータ復旧方法。   The data recovery method according to claim 6, wherein the backup step transfers the backup key for each user. 前記第２暗号鍵が複数あるとき、１つの前記第２暗号鍵を、前記情報処理装置の外部にバックアップ鍵としてバックアップし、１つの前記第２暗号鍵で残りの前記第２暗号鍵を暗号化して前記第２記憶装置に格納しておくことを特徴とする請求項１記載のデータ復旧方法。   When there are a plurality of the second encryption keys, one of the second encryption keys is backed up as a backup key outside the information processing apparatus, and the remaining second encryption key is encrypted with the one second encryption key The data recovery method according to claim 1, wherein the data is stored in the second storage device. 前記第２暗号鍵は固定部分と可変部分とで構成され、前記リストアステップは前記第２暗号鍵の固定部分と、操作者から入力された前記第２暗号鍵の可変部分とに基づき、前記バックアップ鍵を生成し、そのバックアップ鍵を前記情報処理装置の内部にリストアすることを特徴とする請求項１記載のデータ復旧方法。   The second encryption key is composed of a fixed part and a variable part, and the restoring step is based on the fixed part of the second encryption key and the variable part of the second encryption key input by an operator. The data recovery method according to claim 1, wherein a key is generated and the backup key is restored in the information processing apparatus. 前記セキュアメモリは、前記第１暗号鍵を読み出し専用不揮発領域に格納していることを特徴とする請求項１記載のデータ復旧方法。 The data recovery method according to claim 1 , wherein the secure memory stores the first encryption key in a read-only nonvolatile area. 少なくともセキュアメモリ及び第１記憶装置を搭載するコントローラボードと、第２記憶装置と、プロッタ及びスキャナの少なくとも一方とを含む構成であり、前記セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を前記第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを前記第２記憶装置に格納している画像処理装置であって、
前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を装置外部にバックアップ鍵としてバックアップするバックアップ手段と、
前記第１及び第２暗号鍵が使用できないとき、前記バックアップ鍵を装置内部にリストアするリストア手段と、
装置内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段と
を有することを特徴とする画像処理装置。 A configuration including at least a controller board on which a secure memory and a first storage device are mounted; a second storage device; and at least one of a plotter and a scanner; and storing a first encryption key in the secure memory; storing the second cryptographic key encrypted with a key to the first storage device, the data encrypted with the second encryption key to a images processing device that are stored in the second storage device,
Backup means for decrypting the second encryption key using the first encryption key and backing up the second encryption key as a backup key outside the apparatus;
Restore means for restoring the backup key to the inside of the apparatus when the first and second encryption keys cannot be used;
An image processing apparatus comprising: decrypting means for decrypting data stored in the second storage device using the backup key restored in the apparatus. 前記バックアップ手段は、操作者から入力されたパスワードによって前記第２暗号鍵を暗号化した後、脱着可能な第３記憶装置に前記バックアップ鍵としてバックアップすることを特徴とする請求項１１記載の画像処理装置。   12. The image processing according to claim 11, wherein the backup unit encrypts the second encryption key with a password input by an operator and then backs up the backup key as a backup key in a removable third storage device. apparatus. 前記リストア手段は、前記パスワードによって前記バックアップ鍵を復号し、前記バックアップ鍵を前記画像処理装置の内部にリストアすることを特徴とする請求項１２記載の画像処理装置。   13. The image processing apparatus according to claim 12, wherein the restoration unit decrypts the backup key with the password and restores the backup key into the image processing apparatus. 前記バックアップ手段は、操作者から入力されたパスワードによって前記第２暗号鍵を暗号化した後、ネットワーク経由で接続されたサーバに前記バックアップ鍵としてバックアップすることを特徴とする請求項１１記載の画像処理装置。   12. The image processing according to claim 11, wherein the backup unit encrypts the second encryption key with a password input by an operator, and then backs up the image as a backup key to a server connected via a network. apparatus. 前記リストア手段は、自装置の識別情報を前記サーバへ送信し、前記識別情報に応じた前記バックアップ鍵を前記サーバから受信し、前記パスワードによって前記バックアップ鍵を復号して、前記バックアップ鍵を装置内部にリストアすることを特徴とする請求項１４記載の画像処理装置。   The restore means transmits identification information of the device itself to the server, receives the backup key corresponding to the identification information from the server, decrypts the backup key with the password, and stores the backup key in the device The image processing apparatus according to claim 14, wherein the image processing apparatus is restored. 前記バックアップ手段は、前記バックアップ鍵をユーザ毎又は前記第２記憶装置の領域毎にバックアップすることを特徴とする請求項１１乃至１５何れか一項記載の画像処理装置。   The image processing apparatus according to claim 11, wherein the backup unit backs up the backup key for each user or each area of the second storage device. 前記バックアップ手段は、前記バックアップ鍵をユーザ毎に転送することを特徴とする請求項１６記載の画像処理装置。   The image processing apparatus according to claim 16, wherein the backup unit transfers the backup key for each user. 前記第２暗号鍵が複数あるとき、１つの前記第２暗号鍵を、装置外部にバックアップ鍵としてバックアップし、１つの前記第２暗号鍵で残りの前記第２暗号鍵を暗号化して前記第２記憶装置に格納しておくことを特徴とする請求項１１記載の画像処理装置。   When there are a plurality of the second encryption keys, one second encryption key is backed up as a backup key outside the apparatus, and the remaining second encryption key is encrypted with one second encryption key. The image processing apparatus according to claim 11, wherein the image processing apparatus is stored in a storage device. 前記第２暗号鍵は固定部分と可変部分とで構成され、前記リストアステップは前記第２暗号鍵の固定部分と、操作者から入力された前記第２暗号鍵の可変部分とに基づき、前記バックアップ鍵を生成し、そのバックアップ鍵を前記画像処理装置の内部にリストアすることを特徴とする請求項１１記載の画像処理装置。   The second encryption key is composed of a fixed part and a variable part, and the restoring step is based on the fixed part of the second encryption key and the variable part of the second encryption key input by an operator. The image processing apparatus according to claim 11, wherein a key is generated, and the backup key is restored in the image processing apparatus. 前記セキュアメモリは、前記第１暗号鍵を読み出し専用不揮発領域に格納していることを特徴とする請求項１１記載の画像処理装置。 The image processing apparatus according to claim 11 , wherein the secure memory stores the first encryption key in a read-only nonvolatile area. セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納するように構成されており、前記第２暗号鍵で暗号化されたデータを格納している第２記憶装置，プロッタ及びスキャナの少なくとも一方を有する画像処理装置に含まれる少なくとも前記セキュアメモリ及び前記第１記憶装置を搭載するコントローラボードであって、
前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記画像処理装置の外部にバックアップ鍵としてバックアップするバックアップ手段と、
前記第１及び第２暗号鍵が使用できないとき、前記バックアップ鍵を前記画像処理装置の内部にリストアするリストア手段と、
前記画像処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段と
を有することを特徴とするコントローラボード。 A first encryption key is stored in a secure memory, and a second encryption key encrypted with the first encryption key is stored in a first storage device, and encrypted with the second encryption key A controller board having at least the secure memory and the first storage device included in an image processing apparatus having at least one of a second storage device storing data, a plotter, and a scanner,
Backup means for decrypting the second encryption key using the first encryption key and backing up the second encryption key as a backup key outside the image processing device;
Restore means for restoring the backup key to the inside of the image processing apparatus when the first and second encryption keys cannot be used;
A controller board comprising: decrypting means for decrypting data stored in the second storage device using the backup key restored in the image processing apparatus. 少なくともセキュアメモリ及び第１記憶装置を搭載するコントローラボードと、第２記憶装置とを含む構成であり、前記セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を前記第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを前記第２記憶装置に格納している情報処理装置に、
前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記情報処理装置の外部にバックアップ鍵としてバックアップするバックアップ手順と、
前記第１及び第２暗号鍵が使用できないとき、前記バックアップ鍵を前記情報処理装置の内部にリストアするリストア手順と、
前記情報処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手順と
を実行させるためのデータ復旧プログラム。 A configuration includes at least a controller board on which a secure memory and a first storage device are mounted, and a second storage device, wherein a second encryption key is stored in the secure memory and encrypted with the first encryption key. storing the encryption key to the first storage device, to be that the information processing apparatus stores the encrypted data in the second encryption key to said second storage device,
A backup procedure for decrypting the second encryption key using the first encryption key and backing up the second encryption key as a backup key outside the information processing apparatus;
A restore procedure for restoring the backup key into the information processing apparatus when the first and second encryption keys cannot be used;
A data recovery program for executing a decryption procedure for decrypting data stored in the second storage device using the backup key restored in the information processing apparatus.
JP2007069651A 2007-03-16 2007-03-16 Data recovery method, image processing apparatus, controller board, and data recovery program Expired - Fee Related JP5041833B2 (en)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2007069651A JP5041833B2 (en) 2007-03-16 2007-03-16 Data recovery method, image processing apparatus, controller board, and data recovery program
US12/048,878 US8290159B2 (en) 2007-03-16 2008-03-14 Data recovery method, image processing apparatus, controller board, and data recovery program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2007069651A JP5041833B2 (en) 2007-03-16 2007-03-16 Data recovery method, image processing apparatus, controller board, and data recovery program

Publications (2)

Publication Number Publication Date
JP2008236091A JP2008236091A (en) 2008-10-02
JP5041833B2 true JP5041833B2 (en) 2012-10-03

Family

ID=39908390

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2007069651A Expired - Fee Related JP5041833B2 (en) 2007-03-16 2007-03-16 Data recovery method, image processing apparatus, controller board, and data recovery program

Country Status (1)

Country Link
JP (1) JP5041833B2 (en)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5391756B2 (en) * 2009-03-17 2014-01-15 株式会社リコー Image forming apparatus, information management method, and program
JP6172053B2 (en) 2014-05-28 2017-08-02 信越半導体株式会社 Fixed abrasive wire, wire saw and workpiece cutting method
JP6060950B2 (en) 2014-09-10 2017-01-18 コニカミノルタ株式会社 Information processing system, license server, communication relay device, program, and data recovery method
JP2016181836A (en) * 2015-03-24 2016-10-13 キヤノン株式会社 Information processor, cryptographic device, control method of information processor and program
JP6740702B2 (en) 2016-05-11 2020-08-19 富士ゼロックス株式会社 Information processing device and program

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100397316B1 (en) * 1998-01-21 2003-09-06 비.유.지., 인크. Storage device, encrypting/decrypting device, and method for accessing nonvolatile memory
AU2000255731A1 (en) * 2000-07-04 2002-01-14 Hitachi Ltd. Ic card, method for backing up ic card, and restoring method
JP2002368735A (en) * 2001-06-11 2002-12-20 Sharp Corp Master ic device, backup ic device for the master ic device, dummy key storage device providing dummy key to the master ic device, auxiliary device or the master ic device and the backup ic device, and key backup system using two auxiliary devices or over
JP2003208355A (en) * 2002-01-11 2003-07-25 Hitachi Ltd Data storage device, data backup method, and data restoration method
JP2005327235A (en) * 2004-04-13 2005-11-24 Hitachi Ltd Method for encryption backup and method for decryption restoration
JP4498946B2 (en) * 2005-02-22 2010-07-07 京セラミタ株式会社 Data management apparatus and program thereof
JP2007013484A (en) * 2005-06-29 2007-01-18 Suri Kagaku Kenkyusho:Kk Emergency data restoration system and method, and computer program
JP4352054B2 (en) * 2006-01-23 2009-10-28 株式会社東芝 Information processing apparatus and key restoration method

Also Published As

Publication number Publication date
JP2008236091A (en) 2008-10-02

Similar Documents

Publication Publication Date Title
US8290159B2 (en) Data recovery method, image processing apparatus, controller board, and data recovery program
EP2741228B1 (en) System on chip to perform a secure boot, an image forming apparatus using the same, and method thereof
JP5014013B2 (en) Image processing device
JP5369502B2 (en) Device, management device, device management system, and program
JP4903071B2 (en) Information processing apparatus, software update method, and image processing apparatus
CN102063031A (en) Unit using operating system and image forming apparatus
US9985783B2 (en) Information processing apparatus and information processing method for restoring apparatus when encryption key is changed
JP4991592B2 (en) Software alteration detection method, software alteration detection program and device
US20080071938A1 (en) Multifunction machine and a control method of the multifunction machine
JP5041833B2 (en) Data recovery method, image processing apparatus, controller board, and data recovery program
JP4505004B2 (en) Image forming apparatus
JP2015052996A (en) Image forming device and control method of image forming device
JP5272602B2 (en) Authentication function linkage device, authentication function linkage system, and authentication function linkage program
JP4898503B2 (en) Data recovery method, image processing apparatus, controller board, and data recovery program
JP6732470B2 (en) Data processing device, control method of data processing device, program, and storage medium
JP2007328663A (en) Image forming apparatus and control method thereof
JP2012234439A (en) Image processing apparatus, data management method therefor, and program
JP2004355268A (en) Information processor
JP5000346B2 (en) Image processing apparatus, image processing method, program, and recording medium
JP2008236093A (en) Starting method, image processor, controller board, and starting program
JP5135239B2 (en) Image forming system and server device
JP2008093903A (en) Image information processing system and image information processing method
JP5575633B2 (en) Image forming system
JP5575090B2 (en) Image forming apparatus
JP2008003782A (en) Authentication device, program of terminal device, image forming apparatus, terminal device control method, and image forming apparatus control method

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20090710

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20120321

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20120518

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20120612

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20120710

R150 Certificate of patent or registration of utility model

Ref document number: 5041833

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20150720

Year of fee payment: 3

LAPS Cancellation because of no payment of annual fees