JP5197860B2 - 画像処理装置及びその制御方法、並びにプログラム - Google Patents

Description

本発明は、文書データや該文書データを格納するボックスの設定情報等の画像処理装置に関する情報を容易にバックアップすることが可能な画像処理装置及びその制御方法、並びにプログラムに関する。

文書データを取り扱う文書処理装置の一つとして、スキャン機能、プリント機能、ＦＡＸ機能、ネットワーク通信機能、文書データ蓄積機能等を統合した複合機が知られている。一般的に、複合機では、元となる文書から生成された文書データを、文書データ蓄積機能を利用して記憶（蓄積）することが可能である（以下、この機能を「ボックス機能」と呼ぶ）。そして、ボックス機能によって記憶（蓄積）された文書データの中から所望の文書データを選択的に取り出して、これをプリント機能、ＦＡＸ機能またはネットワーク通信機能により出力するといった利用形態を実現できる。

このような複合機は複数のユーザに共用されることから、近年、個人情報の保護機能が必要となりつつある。これに対しては、文書データの記憶先を複数のボックスに分類し、それぞれのボックスをパスワードによって使用制限をかける方法（以下、「ボックスのパスワード保護」と呼ぶ）が提案されている（例えば、特許文献１参照）。

一方、複合機がリプレースされる場合、上記ボックス機能によって記憶（蓄積）された文書データを、新しく設置される複合機に移し変えることが望まれる。そのための手段として、例えば、可搬メディアやネットワークで接続されたＰＣ（パーソナルコンピュータ）を使用したデータのバックアップ／リストア方法がある。このバックアップ／リストア方法では、ユーザに対して使用制限をかけられる複合機に比べて、悪意のあるユーザが、例えばバックアップ先の記憶装置に記憶されたデータに不正にアクセスする可能性が高いことが問題として挙げられる。これに対しては、暗号鍵を用いて暗号化して、暗号鍵を所持しない第三者による不正アクセスから保護する方法が有効な手法として提案されている（例えば、特許文献２参照）。

特開平１１−１９６２４５号公報 特開２００６−１６３９０３号公報

複数のユーザに共用される複合機において、上述したボックスのパスワード保護を行うと、保護の必要なデータが複数のユーザ毎若しくはユーザグループ毎に存在することになる。そして、これら保護すべきデータの暗号化や復号化の際に、暗号鍵の入力といった操作や暗号鍵の管理を行う必要があることから、上記従来の方法でセキュリティを高めることはできるが、手間がかかり操作性が悪くなる。

一方、機器のリプレース時の状況を想定した場合、リプレースする新しい複合機は、データ保護機能が設定されていないまっさらな状態であると考えられる。よって、データ保護用のパスワードが登録されていないため、そのパスワードを利用して、バックアップデータを復号することができない。また、リストア作業をする前に、データ保護機能のパスワードの設定をするといった手間が発生し、操作性が低下する。

本発明は、上記問題に鑑み、バックアップ先の記憶装置に記憶されたデータへの不正アクセスを防止して、当該データを保護することができ、また、保護したいデータ毎にパスワードを設定及び記憶する手間を省くことができる画像処理装置を提供することを目的とする。また、画像処理装置の制御方法、並びにプログラムを提供することを目的とする。

上記目的を達成するために、本発明の画像処理装置は、データを記憶領域に記憶する記憶手段と、前記記憶領域をパスワードで保護する保護手段と、前記記憶領域から前記記憶領域に関する設定情報及び前記データを読み出して、記憶媒体に記憶させるバックアップ手段と、を有し、前記バックアップ手段は、前記記憶領域が前記保護手段により前記パスワードで保護されている旨を示す情報が、前記設定情報に含まれる場合は、前記パスワードに基づいて暗号鍵を生成し、前記生成された暗号鍵を用いて前記記憶領域から読み出されたデータを暗号化し、前記暗号化されたデータを前記記憶媒体に記憶させることを特徴とする。

上記目的を達成するために、本発明の画像処理装置の制御方法は、データを記憶領域に記憶する記憶手段、保護手段、及びバックアップ手段を有する画像処理装置の制御方法であって、前記保護手段により、前記記憶領域をパスワードで保護する保護工程と、前記バックアップ手段により、前記記憶領域から前記記憶領域に関する設定情報及び前記データを読み出して、記憶媒体に記憶するバックアップ工程と、を有し、前記バックアップ工程では、前記記憶領域が前記保護工程において前記パスワードで保護されている旨を示す情報が、前記設定情報に含まれる場合は、前記パスワードに基づいて暗号鍵を生成し、前記生成された暗号鍵を用いて前記記憶領域から読み出されたデータを暗号化し、前記暗号化されたデータを前記記憶媒体に記憶させることを特徴とする。

本発明によれば、記憶領域から読み出したデータの記憶媒体へのバックアップ時には、上記記憶領域がパスワードで保護されている場合は、そのパスワードに基づいて暗号鍵を生成し、この暗号鍵を用いて上記データに暗号化を施した後に上記記憶媒体に転送して記憶させる。これにより、バックアップ先の上記記憶媒体に記憶されたデータへの不正アクセスを防止して、当該データを保護することができ、また、保護したいデータ毎にパスワードを設定及び記憶する手間を省くことができる。

以下、本発明の実施の形態を図面を参照して詳細に説明する。

図１は、本発明の実施形態に係る画像処理装置で実行されるバックアップ／リストア方法を説明するための概念図である。

本発明の実施形態に係る画像処理装置は、スキャン機能、プリント機能、ＦＡＸ機能、ネットワーク通信機能、文書データ蓄積機能等を有する複合機から成る。複合機１０１はリプレースの対象となる古い複合機であり、複合機１０２は新たに設置される複合機であり、複合機１０１から複合機１０２にデータがバックアップ及びリストア（復元）される。

複合機１０１，１０２は、ＵＳＢ（Universal Serial Bus）接続が可能であり、外部記憶媒体接続用のＵＳＢアダプタ１０３，１０４が接続される。リプレース作業者１０６は、複合機１０１のＵＳＢアダプタ１０３にリムーバブルＨＤＤといった外部記憶媒体１０５をつなげ、複合機１０１に格納されているデータをバックアップデータとして外部記憶媒体１０５に格納する作業を行う。そして、新しい複合機１０２を設置した後、外部記憶媒体１０５を複合機１０２に接続されたＵＳＢアダプタ１０４につなげ、外部記憶媒体１０５に格納されているバックアップデータを複合機１０２にリストアする。

以下、本実施の形態では、図１に示すように複合機１０１からバックアップしたデータを複合機１０２にリストアする場合を想定して説明をするが、複合機１０１にリストアしても構わないし、複合機１０１，１０２とは異なる他の複合機にリストアしてもよい。

図２は、図１の複合機１０１，１０２の電気的な概略構成を示す図である。なお、本実施の形態では、複合機１０１，１０２は、同一の構成要素を備えることから、代表して複合機１０１について説明する。

コントローラユニット２００は、画像入力デバイスであるスキャナ２７０や画像出力デバイスであるプリンタ２９５と接続すると共に、ＬＡＮ２１１や公衆回線(ＷＡＮ)２５１と接続することで、画像情報やデバイス情報の入出力を行う。

ＣＰＵ２０１は複合機全体を制御するコントローラである。ＲＡＭ２０２は、ＣＰＵ２０１が動作するためのシステムワークメモリであり、画像データを一時記憶するための画像メモリでもある。ＲＯＭ２０３は、ブートＲＯＭであり、システムのブートプログラムが格納されている。ＨＤＤ２０４は、ハードディスクドライブ（ＨＤＤ）等の大容量記憶装置であり、システムソフトウェア、画像データを格納する。

操作部Ｉ／Ｆ２０６は、タッチパネル等を有する操作部(ＵＩ)２１２とのインターフェース部であり、表示する画像データを操作部２１２に出力する。また、操作部Ｉ／Ｆ２０６は、操作部２１２から本複合機の使用者が入力した情報を、ＣＰＵ２０１に伝える役割をする。

Ｎｅｔｗｏｒｋ Ｉ／Ｆ２１０はＬＡＮ２１１に接続し、情報の入出力を行う。ＭＯＤＥＭ２５０は公衆回線２５１に接続し、情報の入出力を行う。以上説明したデバイスは、システムバス２０７上に配置される。

Ｉｍａｇｅ Ｂｕｓ Ｉ／Ｆ２０５は、システムバス２０７と、画像データを高速で転送する画像バス２０８とを接続し、データ構造を変換するバスブリッジである。画像バス２０８は、ＰＣＩバスまたはＩＥＥＥ１３９４で構成される。

画像バス２０８上には以下のデバイスが配置される。ラスターイメージプロセッサ（ＲＩＰ)２６０はＰＤＬコードをビットマップイメージに展開する。デバイスＩ／Ｆ２２０
は、スキャナ２７０やプリンタ２９５とコントローラユニット２００とを接続する。

スキャナ画像処理部２８０は、入力画像データに対して、補正、加工、及び編集を行う。プリンタ画像処理部２９０は、プリント出力画像データに対して、プリンタの補正、解像度変換等を行う。画像回転部２３０は画像データの回転を行う。画像圧縮部２４０は、多値画像データに対してＪＰＥＧ、２値画像データに対してＪＢＩＧ、ＭＭＲ、ＭＨの圧縮伸張処理を行う。

ＵＳＢ Ｉ／Ｆ部には、ＵＳＢアダプタ１０３，１０４が接続される。ＵＳＢ Ｉ／Ｆ部２９８は、ＨＤＤ２０４とＵＳＢアダプタ１０３，１０４を介して接続された外部記憶媒体１０５とを接続し、データの伝送を行う。

図３は、複合機１０１，１０２における機能構成の一例を示す図である。図３の３０１乃至３０６に示す各手段は、ソフトウェアモジュール、或はソフトウェアとハードウェアとが協働して機能を実現するものである。ソフトウェアモジュールはＨＤＤ２０４に記憶されており、ＲＡＭ２０２にロードされＣＰＵ２０１によって実行される。

複合機１０１，１０２は、ボックス手段３０１（ボックス手段）と、ボックスバックアップ手段３０２（バックアップ手段）とを備える。また、複合機１０１，１０２は、ボックスリストア手段３０３（リストア手段）と、パスワード付きボックスリストア手段３０４（リストア手段）と、暗号化手段３０５と、復号化手段３０６とを備える。

ボックス手段３０１は、複合機自体にファイルサーバ機能を与えるもので、スキャナ画像処理部２８０により補正、加工、又は編集がなされた画像データを文書データとしてＨＤＤ２０４に記憶（蓄積）する。文書データは文書を特定するためのデータであり、その文書の画像内容を特定する画像データの他に、その画像データの属性を特定する属性情報が含まれる。属性情報としては、後述する図５に示すように、文書データの文書名、ページ数、文書作成ユーザ名等が挙げられる。また、属性情報には、画像データに対する処理内容を特定する情報が含まれる。具体的には、各ページを出力する際の指示情報（例えば、白黒／カラー指示、両面／片面指示等）がこれに該当する。

また、ボックス手段３０１は、ボックス機能として、ＨＤＤ２０４に設けられた複数のフォルダに文書データを分類して記憶（蓄積）することができる。フォルダは、階層化ディレクトリにおけるディレクトリ（記憶領域）に相当するもので、それぞれがボックスとして複数の文書データを格納し得るものである。更に、ボックス手段３０１は、複合機が複数の利用者に共用されることから、アクセス制限機能により各ボックスに対してパスワード情報で保護したり、使用されるパスワード情報を設定することができる（保護手段、保護設定手段）。パスワード情報の設定や入力は操作部２１２から行われる。操作部２１２からパスワードを入力しなければ、パスワード情報で保護されたボックス内のデータを参照することもできない。

ボックスバックアップ手段３０２は、ボックス手段３０１によって記憶（蓄積）された文書データすなわちボックス内の文書データを、ＵＳＢアダプタ１０３等に接続された外部記憶媒体１０５に転送して記憶（バックアップ）させるものである。また、ボックスバックアップ手段３０２は、文書データに付随して、ボックスの設定情報も転送して外部記憶媒体１０５に記憶（格納）する。文書データ及びボックス設定情報等の画像情報の転送については、ボックスバックアップ手段３０２が、操作部２１２からの指示に応じて行う。この操作部２１２からの指示は、システム管理者によるパスワード認証後に実行可能となる。ここで、複合機１０１，１０２上で機能するボックスの設定情報の一例を図４に示す。

図４において、ボックスの設定情報４００は、ボックス番号４０１〜未リストアフラグ４０７等の各種情報により構成される。ボックス番号４０１には、それぞれのボックスに一意に割り当てられたボックス番号（例えば、「０１」等）が格納される。ボックス名称４０２には、例えば、「営業一課」等のボックス名称が格納される。パスワード管理４０３には、そのボックスがパスワード保護されているか否かを示すパスワード管理情報が格納される。パスワード管理４０３が「ＯＮ」の場合は、当該ボックスがパスワード保護されていることを示し、「ＯＦＦ」の場合は、当該ボックスがパスワード保護されていないことを示す。パスワード４０４には、パスワード情報（例えば、「１２３４５」等）が格納される。

ボックス番号４０１〜パスワード管理４０３に格納される各情報はバックアップ対象となっているが（「バックアップ対象」が「○」）、パスワード情報４０４に格納されるパスワード情報はバックアップ対象となっていない（「バックアップ対象」が「×」）。パスワード情報そのものを外部記憶媒体１０５にバックアップしてしまうと、外部記憶媒体１０５に対して不正にアクセスすることによってパスワード情報を第三者に知られてしまう可能性がある。そこで、本実施の形態では、パスワード情報自体をバックアップせずに、そのハッシュ値をバックアップする。

パスワードハッシュ４０５には、パスワード情報から一方向性関数により求めたハッシュ値（例えば、「ａ２ｆｊ２ｄ９３ｋｅｉ」等）が格納される。パスワードハッシュ４０５は、パスワード付きボックスリストア手段３０３で必要となる情報であるため、バックアップ対象となっている。

文書自動消去時間４０６には、ボックス内の文書データの自動消去時間情報（例えば、「３日」等）が格納される。未リストアフラグ４０７には、そのボックスに未リストアデータが存在しているか否かを示すフラグ情報が格納される。未リストアフラグ４０７のフラグが「ＯＮ」の場合はそのボックス内にリストア処理が完了していないデータ（未リストアデータ）が存在することを示す。「ＯＦＦ」の場合は未リストアデータが存在しないことを示す。未リストアフラグ４０７は、バックアップ対象となっていない。

図５は、ボックス内の文書データの属性情報の一例を示す図である。文書データの属性情報は文書データと共にバックアップされる。

文書データ属性情報５００は、蓄積先のボックス番号５０１〜カラー５０８等の各種情報により構成される。蓄積先のボックス番号５０１には、文書データの蓄積先のボックス番号（例えば、「０１」等）が格納される。文書名５０２には、例えば、「企画書」等の文書データの文書名が格納される。文書作成ユーザ名５０３には、その文書データを作成したユーザ情報（例えば、「ｓｕｚｕｋｉ」等）が格納される。ページ数５０４には、その文書データのページ数（例えば、「２」等）が格納される。部数５０５には、上述した指示情報として、その文書データの出力部数（例えば、「３」等）が格納される。解像度５０６には、その文書データの解像度（例えば、「６００×６００ｄｐｉ」等）が格納される。サイズ５０７には、その文書のサイズ（例えば、「Ａ４」等）が格納される。カラー５０８には、その文書データの出力時のカラー情報（例えば、「白黒」等）が格納される。

図６は、外部記憶媒体１０５上に構築されたディレクトリ（フォルダ）の一例を示す図である。

ボックス設定情報６０１は、ボックス設定情報のバックアップデータが記憶されるディレクトリである。ボックスｎ（ｎ：０１〜９９）文書データ６０２は、文書データのバックアップデータが記憶されるディレクトリであり、各ディレクトリは複合機内に存在するボックスにそれぞれ対応する。文書データには上述した図５の文書データ属性情報も含まれる。これらディレクトリ内に記憶されるデータは上述の通り暗号化が施される。

図３に戻り、ボックスリストア手段３０３は、外部記憶媒体１０５内のバックアップデータを複合機内のボックスへ再登録するものである。バックアップデータのボックスへの再登録処理については、システム管理者によるパスワード認証後に実行可能となる操作部２１２からの指示に応じて、ボックスリストア手段３０３が行う。暗号化された文書データを、システム管理者が認証に用いたパスワードを用いて、復号化手段３０６により復号化を施す。まず、復号化されたボックスの設定情報の再登録処理を行う。続いて、文書データの再登録処理を行う。一方、バックアップ時にボックスのパスワード４０４により暗号化が施されている文書データに対しては、ボックスへの再登録処理は行わず、ＨＤＤ２０４に保存する。

パスワード付ボックスリストア手段３０４は、外部記憶媒体１０５内のバックアップデータのうち、パスワード付きボックス内に格納されていた文書データに関するバックアップデータを複合機内のボックスへ再登録するものである。ボックス設定情報の未リストアフラグ４０７が「ＯＮ」のボックスにアクセスすると、パスワード付ボックスボックスリストア手段３０４は、パスワードの入力画面を操作部２１２上に表示する。ユーザがパスワードを入力すると、そのパスワードのハッシュ値を生成する。そして、該ボックスのパスワードハッシュ４０５との比較を行い、同一の場合は、入力されたパスワードを用いて復号化手段３０６により、ＨＤＤ２０４に保存されている該ボックスの未リストア文書データの復号化を行う。そして、ボックスへ再登録処理を行う。更に、このときに入力したパスワード情報を該ボックスのパスワード４０４としてボックス設定情報に設定（格納）する。なお、ボックスリストア手段３０３と、パスワード付きボックスリストア手段３０４は、１つの手段として統合されていてもよい。

暗号化手段３０５は、ボックスバックアップ手段３０２が、外部記憶媒体１０５へ文書データ及びボックス設定情報を転送する際に、これらバックアップするデータの全て、或はその一部を暗号化するものである。暗号化は、パスワードの文字列情報を基に生成された暗号鍵を用いて行われる。暗号化の処理自体については、公知技術を利用することから、ここではその説明を省略する。

データのバックアップ時には、まず、パスワード付きボックス内の文書データは、該ボックスのパスワードを用いて暗号化手段３０５により暗号が施される。パスワードが設定されていないボックス内の文書データは、この時点では平文のままである。更に、システム管理者により入力されるパスワードを元に、バックアップ対象となる全てのデータに対して暗号化手段３０５により暗号が施される。よって、パスワード付きボックス内の文書データは、暗号化処理が２回施されることになる。

復号化手段３０６は、暗号化手段３０５に対応して設けられたもので、外部記憶媒体１０５から受け取った文書データ及びボックスの設定情報について、その復号化を行うものである。復号化は、パスワードの文字列情報を基に生成された復号鍵を用いて行われる。復号化の処理自体についても、公知技術を利用することから、ここではその説明を省略する。

次に、複合機１０１，１０２におけるバックアップ時の動作について説明する。本実施の形態では、複合機１０１から外部記憶媒体１０５にバックアップする場合の動作について説明する。

図７は、複合機１０１におけるバックアップ時の動作フローの一例を示すフローチャートである。本フローチャートに示す処理は複合機１０１のＣＰＵ２０１が実行する。

図７において、複合機１０１は、システム管理者等により入力されたシステム管理者パスワードに基づいて認証を行った後に（ステップＳ１００１）、操作部２１２にバックアップ実行ボタンを表示し、バックアップ実行が可能な状態に移行する。次に、バックアップ実行指示が行われると（ステップＳ１００２でＹＥＳ）、ボックスバックアップ手段３０２は、ＵＳＢ Ｉ／Ｆ部２９８にＵＳＢアダプタ１０３等を介して外部記憶媒体１０５が接続されているかを確認する（ステップＳ１００３）。

次に、ステップＳ１００４において、ＵＳＢアダプタ１０３に外部記憶媒体１０５が接続されているか否かを判別し、外部記憶媒体１０５が接続されていない場合は（ステップＳ１００４でＮＯ）、本処理を終了する。ＵＳＢアダプタ１０３に外部記憶媒体１０５が接続されていない場合、フローチャートを終了せずに、操作部２１２に外部記憶媒体を接続することを促すメッセージを表示して、再びステップＳ１００３に戻るようにしてもよい。一方、外部記憶媒体１０５が接続されている場合は、外部記憶媒体１０５の初期化処理を行って、外部記憶媒体１０５上に図６に示したようなディレクトリを構築する（ステップＳ１００５）。

次に、ボックス１つ分のボックス設定情報をＨＤＤ２０４内のボックスから取得する（ステップＳ１００６）。次に、取得したボックス設定情報のパスワード管理４０３が「ＯＦＦ」の場合（ステップＳ１００７でＮＯ）、ステップＳ１００９へ進む。

一方、パスワード管理４０３が「ＯＮ」の場合（ステップＳ１００７でＹＥＳ）、取得したボックス設定情報におけるパスワード４０４のパスワード情報から一方向性関数によりハッシュ値を求める（ステップＳ１００８）。算出されたハッシュ値は、該ボックス設定情報のパスワードハッシュ４０５に格納される。

ステップＳ１００９では、ボックス設定情報を外部記憶媒体１０５上の該当するディレクトリ６０１に転送して記憶させる。このとき、ディレクトリに転送されるボックス設定情報の内容は、バックアップ対象が除かれた、ボックス番号４０１、ボックス名称４０２、パスワード管理４０３、パスワードハッシュ４０５、及び文書自動消去時間４０６となる。

次に、該ボックス設定情報に対応する文書データをボックスから取得する（ステップＳ１０１０）。つづいて、該ボックス設定情報のパスワード管理４０３が「ＯＮ」の場合（ステップＳ１０１１でＹＥＳ）、パスワード４０４のパスワード情報に基づいて生成された暗号鍵を用いて、暗号化手段３０５により文書データに暗号化を施す（ステップＳ１０１２）。そして、外部記憶媒体１０５上の該当するディレクトリ６０１に暗号化された文書データを転送して記憶させる（ステップＳ１０１３）。

一方、ステップＳ１０１１でボックス設定情報のパスワード管理４０３が「ＯＦＦ」に設定されている場合、取得した文書データに暗号化を施さず、外部記憶媒体１０５上の該当するディレクトリ６０１に文書データを転送して記憶させる（ステップＳ１０１３）。

ステップＳ１０１４では、全てのボックスに対して上記一連の処理が行われた否かを判別し、全てのボックスに対して処理が終了していない場合は（ステップＳ１０１４でＮＯ）、ステップＳ１００６に戻る。そして、残りのボックスに対して、ステップＳ１００６以降の処理を行う。

一方、全てのボックスに対して処理が終了した場合（ステップＳ１０１４でＹＥＳ）、外部記憶媒体１０５上の各ディレクトリに格納されているデータを、ステップＳ１００１で入力されたシステム管理者パスワードで暗号化する（ステップＳ１０１５）。ステップＳ１０１５で暗号化のために用いるパスワードは、ステップＳ１００１で入力されたパスワード以外のパスワードでもよい。

次に、複合機１０１，１０２におけるリストア時の動作について説明する。本実施の形態では、外部記憶媒体１０５から複合機１０２にリストアする場合の動作について説明する。

図８は、複合機１０１におけるリストア時の動作フローの一例を示す説明図である。本フローチャートに示す処理は複合機１０１のＣＰＵ２０１が実行する。

図８において、複合機１０２は、システム管理者等により入力されたシステム管理者パスワードに基づいて認証を行った後に（ステップＳ２００１）、操作部２１２にリストア実行ボタンを表示し、リストア実行指示が可能な状態に移行する。次に、ユーザが操作部２１２に対して行ったリストア実行指示を受け付けると（ステップＳ２００２でＹＥＳ）、ステップＳ２００３へ進む。ステップＳ２００３において、ボックスリストア手段３０３は、ＵＳＢ Ｉ／Ｆ部２９８にＵＳＢアダプタ１０３等を介して外部記憶媒体１０５が接続されているかを確認する。

次に、ステップＳ２００４において、外部記憶媒体１０５が接続されているか否かを判別し、外部記憶媒体１０５が接続されていない場合は（ステップＳ２００４でＮＯ）、本処理を終了する。なお、ＵＳＢアダプタ１０３に外部記憶媒体１０５が接続されていない場合、本処理を終了せずに、操作部２１２に外部記憶媒体を接続することを促すメッセージを表示して、再びステップＳ２００３に戻るようにしてもよい。一方、ステップＳ２００４の判別の結果、外部記憶媒体１０５が接続されている場合は、外部記憶媒体１０５上のディレクトリ６０１から全ボックスの設定情報を取得する（ステップＳ２００５）。

次に、ステップＳ２００６では、取得した全ボックスの設定情報をステップＳ２００１で入力されたシステム管理者パスワードを復号鍵として、復号化手段３０６により復号化を施す。なお、バックアップ時にシステム管理者パスワードと異なるパスワードを用いて暗号化した場合には、操作部２１２にパスワード入力を促す画面を表示し、管理者によるパスワードの入力を受け付けるようにしてもよい。

次に、ステップＳ２００６で復号化した全ボックスの設定情報を複合機１０２内のＨＤＤ２０４に記憶（登録）する（ステップＳ２００７）。ここでリストアされるボックス設定情報は、ボックス番号４０１、ボックス名称４０２、パスワード管理４０３、パスワードハッシュ４０５、及び文書自動消去時間４０５である。

次に、文書データのリストア処理を開始するが、まずボックス１つ分の設定情報を参照する（ステップＳ２００８）。参照したボックス設定情報のパスワード管理４０３が「ＯＦＦ」の場合（ステップＳ２００９でＮＯ）、ステップＳ２０１０へ進む。一方、ボックス設定情報のパスワード管理４０３が「ＯＮ」の場合（ステップＳ２００９でＹＥＳ）、ステップＳ２０１２へ進む。

ステップＳ２０１０では、パスワード管理４０３が「ＯＦＦ」のボックス設定情報に対応する、外部記憶媒体１０５上のディレクトリ６０２に格納されている文書データは暗号化されていないため、そのまま該文書データを取得する。そして、複合機１０２内のボックスに記憶（登録）する（ステップＳ２０１１）。

ステップＳ２０１２では、パスワード管理４０３が「ＯＮ」のボックス設定情報に対応する、外部記憶媒体１０５上のディレクトリ６０２に格納されている文書データ（ボックスのパスワードを暗号鍵として暗号化されている）を取得する。そして、暗号化された文書データをＨＤＤ２０４に格納する（ステップＳ２０１３）。暗号化された文書データの格納先ディレクトリを、当該ボックスに対応したディレクトリとしてもよい。そして、該ボックスの設定情報の未リストアフラグ４０７を「ＯＮ」にする（ステップＳ２０１４）。ステップＳ２０１３の処理を実行しただけでは当該ボックスの文書データのリストアは完了したことにはならない。なぜなら、文書データはまだ暗号化されたままの状態であり、ユーザが文書データを利用可能になっていないからである。詳細は後で後述するが、この未リストアフラグ４０７を「ＯＮ」にすることにより、コントローラユニット２００は当該ボックスのリストアが完了していないことを識別することができる。後に当該ボックスのパスワードを知っているユーザがそのボックスにアクセスした際に、該ボックスに格納されている文書データのリストア処理を完了させることができる。

バックアップ前のボックスに対してパスワードが設定されていたとしても、リストア先のボックス（リプレース後の新しい複合機）にはパスワードが設定されていない。パスワードが設定されていたボックス内の文書を暗号化せずに通常の手法でバックアップ−リストアしてしまうと、リストア後にはパスワードが設定されていないボックスに文書がリストアされてしまう。従って、文書に対するセキュリティを保つことが出来なくなる。そこで、ステップＳ２０１３の時点では、文書データはボックスのパスワードを鍵として暗号化された状態のままでＨＤＤ２０４に記憶しておくことで文書に対するセキュリティを保つことが可能になる。

ステップＳ２０１５では、全てのボックスに対して上記一連の処理が行われた否かを判別し、全てのボックスに対して処理が終了していない場合（ステップＳ２０１５でＮＯ）、ステップＳ２００８へ戻る。そして、残りのボックスに対して、ステップＳ２００８以降の処理を行う。一方、全てのボックスに対して処理が終了した場合（ステップＳ２０１５でＹＥＳ）、本処理を終了する。

図７及び図８のフローチャートによれば、フォルダに対してパスワードを設定することによって機密を保っていた文書データの機密性を保ったままでバックアップ、リストアを行うことができる。

図８のリストア処理により、全ボックスのボックス設定情報と、バックアップ時にパスワード管理されていないボックスに格納されている文書データ情報がリストアされるが、バックアップ時にパスワード管理されているボックスの文書データはリストアされない。そこで、このリストアされなかった文書データのリストア時の動作について図９を参照して説明する。

図９は、暗号化された文書データのリストア時の複合機１０１の動作フローの一例を示すフローチャートである。本フローチャートに示す処理は複合機１０１のＣＰＵ２０１が実行し、図８のフローチャートの処理が完了した後に実行することが可能になる。

図９において、複合機１０２は、ユーザの操作により操作部２１２上で所定のボックスが選択されると、その選択指示を受け付ける（ステップＳ３００１）。そして、ボックス手段３０１は、選択されたボックスに対応するボックス設定情報の未リストアフラグ４０７を参照する（ステップＳ３００２）。

次に、参照した未リストアフラグ４０７が「ＯＮ」の場合（ステップＳ３００３でＹＥＳ）、操作部２１２上にパスワード入力を求める画面を表示する。パスワード入力がなされると（ステップＳ３００４）、パスワード付きボックスリストア手段３０３は、入力されたパスワード情報から一方向性関数によりハッシュ値を求める（ステップＳ３００５）。

次に、未リストアフラグ４０７が「ＯＮ」であるボックスの設定情報には、バックアップ時のハッシュ値が格納されているため、パスワードハッシュ４０５に格納されているハッシュ値を参照する（ステップＳ３００６）。そして、ステップＳ３００５で算出されたハッシュ値とパスワードハッシュ４０５に格納されているハッシュ値とを比較する（ステップＳ３００７）。この比較した結果、ハッシュ値が等しい場合は（ステップＳ３００８でＹＥＳ）、ステップＳ３００４で入力したパスワード情報を復号鍵として、図８のステップＳ２０１３でＨＤＤ２０４に格納された暗号化データに対して復号化を施す（ステップＳ３００９）。そして、復号化した文書データを該ボックス内に記憶（登録）する（ステップＳ３０１０）。

次に、ステップＳ３００４で入力したパスワード情報を、該ボックス設定情報の新しいパスワード４０４として設定して（ステップＳ３０１１）、本処理を終了する。これによって、パスワード付きボックスとしてリストアされることになる。

ステップＳ３００８で、ステップＳ３００５で算出されたハッシュ値とパスワードハッシュ４０５に格納されたハッシュ値が異なる場合には（ステップＳ３００８でＮＯ）、操作部２１２にエラーメッセージを表示してリストアを中止する（ステップＳ３０１２）。このように、ステップＳ３００４で入力したパスワードが不正な場合は、ボックスに対する操作ができないが、システム管理者権限で操作部２１２からボックスのパスワード４０４を新しく設定することにより、ボックスに対する操作が可能になる。

図１０は、システム管理者がボックス設定情報のパスワードを設定するときの複合機の動作フローの一例を示すフローチャートである。本フローチャートに示す処理は複合機１０１のＣＰＵ２０１が実行する。

図１０において、複合機は、システム管理者等により入力されたシステム管理者パスワードに基づいて認証を行う（ステップＳ４００１）。次に、ボックスの設定情報変更画面（不図示）を操作部２１２に表示する（ステップＳ４００２）。

次に、ボックスに対するパスワード保護の新規設定処理を行う（ステップＳ４００３）。システム管理者権限でなければ未ストアフラグが「ＯＮ」のボックスのパスワード情報は設定することができない。新しいパスワードを入力して変更指示を行うと、未リストアデータを消去しても良いか否かを確認するための画面を操作部２１２に表示し、未リストアデータの消去が指示されたか否かを判別する（ステップＳ４００４）。

ステップＳ４００４の判別の結果、未リストアデータの消去指示がなされなかった場合は（ステップＳ４００４でＮＯ）、ステップＳ４００７へ進む。一方、ステップＳ４００４の判別の結果、未リストアデータの消去指示がなされた場合は（ステップＳ４００４でＹＥＳ）、未リストアデータの消去を行う（ステップＳ４００５）。

次に、ボックス設定情報における未リストアフラグ４０７を「ＯＦＦ」にする（ステップＳ４００６）。そして、ステップＳ４００７では、ステップＳ４００３で設定されたパスワード情報を新しいパスワードとして、そのボックス設定情報に設定して、本処理を終了する。

上記のように、バックアップ時のボックスパスワードを忘れた場合は、システム管理者によって、未リストアデータを消去して、未リストアフラグを「ＯＦＦ」にすることにより、そのボックスは使用可能な状態になる。

上記実施形態によれば、バックアップ時に、取得した画像情報がパスワード保護されている場合は、該ボックス設定情報に設定されたパスワード情報に基づいて生成された暗号鍵を用いて、該画像情報に暗号化を施した後、外部記憶媒体１０５に記憶させる。これにより、バックアップ先の記憶装置に記憶されたデータへの不正アクセスを防止して、当該データを保護することができる。また、保護したいデータ毎にパスワードを設定及び記憶する手間を省くことができる。

また、上記実施形態によれば、リストア時に外部記憶媒体１０５に記憶された画像情報に暗号化が施されている場合は、ユーザにパスワードの入力を求め、入力されたパスワード情報に基づいて生成された復号鍵を用いて、暗号化されている画像情報を復号化する。そして、入力されたパスワード情報を新しいパスワードとして設定し、復号化した画像情報を新しいパスワードで保護する。これにより、リストア時に入力したパスワードを用いて、データ保護機能を再構築することができるため、例えば、リプレース後の複合機でデータ保護機能を再設定する手間が省ける。

このようにして、バックアップ時に複合機で使用していたデータ保護用のパスワードを、そのままリストア時のパスワードに使うことができ、セキュリティが高く且つ利便性の高いバックアップ／リストア方法を実現することが可能となる。

また、本発明の目的は、以下の処理を実行することによって達成される。即ち、上述した実施形態の機能を実現するソフトウェアのプログラムコードを記憶した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）が記憶媒体に格納されたプログラムコードを読み出す処理である。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施の形態の機能を実現することになり、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。

また、プログラムコードを供給するための記憶媒体としては、次のものを用いることができる。例えば、フロッピー（登録商標）ディスク、ハードディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ＤＶＤ＋ＲＷ、磁気テープ、不揮発性のメモリカード、ＲＯＭ等である。または、プログラムコードをネットワークを介してダウンロードしてもよい。

また、コンピュータが読み出したプログラムコードを実行することにより、上記実施の形態の機能が実現される場合も本発明に含まれる。加えて、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれる。

更に、前述した実施形態の機能が以下の処理によって実現される場合も本発明に含まれる。即ち、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれる。その後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行う場合である。

本発明の実施形態に係る画像処理装置で実行されるバックアップ／リストア方法を説明するための概念図である。 図１の複合機の電気的な概略構成を示す図である。 複合機における機能構成の一例を示す図である。 複合機上で機能するボックスの設定情報の一例を示す図である。 ボックス内の文書データの属性情報の一例を示す図である。 外部記憶媒体上に構築されたディレクトリの一例を示す図である。 複合機におけるバックアップ時の動作フローの一例を示すフローチャートである。 複合機におけるリストア時の動作フローの一例を示す説明図である。 暗号化された文書データのリストア時の複合機の動作フローの一例を示すフローチャートである。 システム管理者がボックス設定情報のパスワードを設定するときの複合機の動作フローの一例を示すフローチャートである。

１０１，１０２ 複合機
１０３，１０４ ＵＳＢアダプタ
１０５ 外部記憶媒体
２１２ 操作部
３０１ ボックス手段
３０２ ボックスバックアップ手段
３０３ ボックスリストア手段
３０４ パスワード付きボックスリストア手段
３０５ 暗号化手段
３０６ 復号化手段

Claims (6)

1. データを記憶領域に記憶する記憶手段と、
   前記記憶領域をパスワードで保護する保護手段と、
   前記記憶領域から前記記憶領域に関する設定情報及び前記データを読み出して、記憶媒体に記憶させるバックアップ手段と、を有し、
   前記バックアップ手段は、前記記憶領域が前記保護手段により前記パスワードで保護されている旨を示す情報が、前記設定情報に含まれる場合は、前記パスワードに基づいて暗号鍵を生成し、前記生成された暗号鍵を用いて前記記憶領域から読み出されたデータを暗号化し、前記暗号化されたデータを前記記憶媒体に記憶させることを特徴とする画像処理装置。
2. 前記バックアップ手段は、前記パスワードに基づいて生成された暗号鍵を用いて暗号化したデータを、管理者に割り当てられた他のパスワードを基に生成した他の暗号鍵を用いて更に暗号化して前記記憶媒体に記憶させることを特徴とする請求項１記載の画像処理装置。
3. 前記記憶領域が前記保護手段により前記パスワードで保護されている場合には、当該記憶領域から読み出される当該記憶領域に関する設定情報は前記パスワードを含むことを特徴とする請求項１または２に記載の画像処理装置。
4. 前記バックアップ手段は、前記設定情報が前記パスワードを含む場合には、前記設定情報から前記パスワードを削除すると共に、前記記憶領域が前記保護手段により前記パスワードで保護されている旨を示す情報として、前記パスワードから得られるハッシュ値を含ませた後に、前記ハッシュ値を含んだ設定情報をバックアップすることを特徴とする請求項３記載の画像処理装置。
5. データを記憶領域に記憶する記憶手段、保護手段、及びバックアップ手段を有する画像処理装置の制御方法であって、
   前記保護手段により、前記記憶領域をパスワードで保護する保護工程と、
   前記バックアップ手段により、前記記憶領域から前記記憶領域に関する設定情報及び前記データを読み出して、記憶媒体に記憶するバックアップ工程と、を有し、
   前記バックアップ工程では、前記記憶領域が前記保護工程において前記パスワードで保護されている旨を示す情報が、前記設定情報に含まれる場合は、前記パスワードに基づいて暗号鍵を生成し、前記生成された暗号鍵を用いて前記記憶領域から読み出されたデータを暗号化し、前記暗号化されたデータを前記記憶媒体に記憶させることを特徴とする画像処理装置の制御方法。
6. 請求項５記載の制御方法をコンピュータに実行させるためのコンピュータに読み取り可能なプログラム。

Images