JP6056567B2 - 情報処理装置、画像形成装置、データ消去方法、および、データ消去プログラム - Google Patents

Description

本発明は、情報処理装置、この情報処理装置を備えた画像形成装置、データ消去方法、および、データ消去プログラムに関する。

近年のセキュリティ意識の高まりにより、オフィス等では、情報のセキュリティ管理が求められるようになった。例えばパーソナルコンピュータ（ＰＣ）で扱う情報のセキュリティ管理は一般的である。さらに、オフィス等では、複写機、プリンタ、ファクシミリ、プロッタ、および、これらの複合機（（ＭＦＰ：Multi Function Peripherals）等の画像処理装置（画像形成装置）で扱う情報のセキュリティ管理が求められるようになっている。

例えば、ＭＦＰでは内蔵しているハードディスク装置（以下、「ＨＤＤ」という）に画像データの他、システム情報やユーザ情報が記録されている。このＨＤＤは電源を切断してもデータを保持する不揮発性の記憶装置であるため、セキュリティ上の脅威の対象となり得る。したがって、ＭＦＰでは、このセキュリティ上の脅威からＨＤＤに記録された画像データの他、システム情報やユーザ情報（以下、「データ等」という）を保護するために、以下のような方法を取ることが既に知られている。

（１）ＨＤＤに記録するデータ等を暗号化する。
（２）ＨＤＤを破棄またはシステムを初期化する際に、ＨＤＤの全内容を破棄する。
（３）システムの動作において不要となったデータ等を完全消去する。

特に、ＭＦＰのＨＤＤを交換する場合や、ＭＦＰ自体を交換する場合等は、上記（２）または（３）のように、データを破棄、消去することが、セキュリティ上、重要かつ有効な手段である。

しかしながら、従来は、一括消去によりデータ等を完全に消去するため、システムが通常行っているフォーマット等の動作によりデータの消去処理を行っているが、データ等がＨＤＤ上に残存することがあり、十分とは言えなかった。この残存したデータ等を完全に消去するには、データ等を複数回、上書きする必要がある。そのため、従来のＭＦＰでは、一括消去又は逐次消去によりデータ等を完全に消すために、データ等を複数回上書きする必要があり消去に時間がかかるという問題があった。

これに対して、ＨＤＤのデータ消去を高速に行う目的で、ブロック単位で上書き消去処理して細かく領域を解放していくことにより、ＨＤＤの記憶領域を効率よく利用できるようにする手法が開示されている（たとえば、特許文献１参照）。

また、データ消去を高速に行う方式として，“Secure Erase”コマンドがＡＴＡ規格で定められている。この“Secure Erase”コマンドを実行することで、一回の上書きで、データの消去を高速に行うことができる。この”Secure Erase”コマンドによるデータ消去の手順としては、まず、“Security Set Password”コマンドによってＨＤＤにユーザ・パスワードを設定し、ＨＤＤへのアクセスを許可しないロック状態とする。このようにロック状態としたうえで、“Secure Erase”コマンドを発行することによりデータ消去が実行される。

しかしながら、いずれの場合でも、データ消去の実行途中に停電等で電源が切られてしまうと、その後再起動した場合に、データ消去が未完状態で、データが残ったままとなることがある。特に“Secure Erase”コマンドの実行途中に停電などで電源が切られてしまうと、再起動した場合にＨＤＤがロック状態のまま立ち上がる。その結果、当該ＨＤＤに対して、限定されたコマンドしか利用できない状態になってしまう。

本発明は、上記の事情に鑑みて為されたもので、ハードディスク装置等の記憶装置のデータ消去を、処理途中の電源断等に影響されることなく、より高速に行うことが可能な情報処理装置、この情報処理装置を備えた画像形成装置、データ消去方法、および、データ消去プログラムを提供することを目的とする。

上記の目的を達成するため、本願に係る情報処理装置は、記憶装置にアクセスして、記憶装置のデータを消去する情報処理装置であって、記憶装置のデータ消去の実行状況を記憶する第１の識別情報およびデータ消去手段で実行するデータ消去方式を記憶する第２の識別情報を有する識別情報記憶手段と、第２の識別情報に基づいて、“Secure Erase”コマンドを含む少なくとも１以上のデータ消去方式を用いて、記憶装置のデータ消去を行うとともに、該データの消去実行中は第１の識別情報にデータ消去中を示す情報を設定するデータ消去手段と、を備え、データ消去の実行時に、第２の識別情報のデータ消去方式が“Secure Erase”である場合、データ消去手段は、第１の識別情報を参照し、データ消去実行中でない場合には、記憶装置へのアクセスを制限するパスワード設定を行った後、“Secure Erase”コマンドを発行してデータ消去を行い、データ消去実行中である場合には、記憶装置へのパスワード設定を行うことなく、“Secure Erase”コマンドを発行してデータ消去を行うよう構成されたことを特徴とする。

本発明によれば、ハードディスク等の記憶装置のデータを高速に消去することができ、停電等によりデータ消去実行中に電源が切られた場合であっても、次回起動時にデータ消去途中であったことを検知し、再度データ消去を実行することができる。そのため、ハードディスク装置等の記憶装置のデータ消去を、処理途中の電源断等に影響されることなく、より高速に行うことが可能な情報処理装置、この情報処理装置を備えた画像形成装置、データ消去方法、および、データ消去プログラムを提供することができる。特に、“Secure Erase”コマンドを用いることで、記憶装置のデータ消去を、より高速に行うことができる。また、コマンド実行中に、ロック状態のまま電源が切られた場合であっても、再起動時にロック状態であるかを検出し、ロック状態であった場合は再度“Secure Erase”を実行することで、電源断等に影響されることなく、データ消去を高速かつ良好に行うことができる。

本願の実施例１に係る画像形成装置のハードウェア構成例を示すブロック図である。 図１に示す画像形成装置における、コントローラ上で実行されるソフトウェア構成例を示すブロック図である。 識別情報テーブルを説明するための説明図であり、（ａ）はＮＶＲＡＭ上の識別情報テーブルの構成例を示す図であり、（ｂ）はデータの消去方式とその種別との対応を示す表である。 データ消去手段の機能構成例を示すブロック図である。 通常モードでのデータ消去処理工程を表すフローチャートである。 再起動モードでのデータ消去処理工程を表すフローチャートである。 “Secure Erase”コマンドでのデータ消去処理工程を表すフローチャートである。 データ消去中に操作部に表示されるメッセージの一例を示す概略図である。 データ消去中に電源断となり、再起動時に処理が停止してしまった場合に操作部に表示されるメッセージの一例を示す概略図である。

以下、本願の実施の形態を説明する。本願に係る情報処理装置は、ハードディスク等の記憶装置からデータを消去（初期化）するものであり、記憶装置のデータ消去の実行状況を記憶する第１の識別情報およびデータ消去手段で実行するデータ消去方式を記憶する第２の識別情報を有する識別情報記憶手段と、第２の識別情報に基づいて、“Secure Erase”コマンドを含む少なくとも１以上のデータ消去方式を用いて、記憶装置のデータ消去を行うとともに、該データの消去実行中は第１の識別情報にデータ消去中を示す情報を設定するデータ消去手段と、を備えて構成されている。本願に係る画像形成装置は、このような情報処理装置を備え、複写機、プリンタ、ファクシミリ、プロッタ装置、またはこれらの複合機等の画像形成装置である。また、本願のデータ消去方法は、ハードディスク等の記憶装置からデータを消去する方法であり、情報処理装置によって実行される。

ここで、高速にデータ消去を行う方式として、“Secure Erase”コマンドがＡＴＡ規格で定められている。この“Secure Erase”は一回の上書きではあるものの消去の安全性は高いとして、トレードオフの関係にある安全性のレベルと速度を両立させるものである。この処理は、まず、対応したディスクに“Security Set Password”コマンドによってユーザ・パスワードを設定し、ハードディスクへのアクセスを許可しないロック状態にする。このようにロック状態としたところで、“Secure Erase”コマンドを発行することにより実行される。そのため、“Secure Erase”実行途中に停電などで電源が切られてしまうと，再起動した場合にハードディスクがロック状態のまま立ち上がってしまい、限定されたコマンドしか利用できない状態になる。また、“Secure Erase”以外のデータ消去方式の場合でも、データ消去の実行途中で電源断や再起動がされてしまうと、ＨＤＤにデータが残留してしまうことがある。

以上を鑑みて、本願に係る情報処理装置では、記憶装置のデータ全体を消去する際に、データ消去を実行中であることを示すため、第１の識別情報としてのフラグ（以下、「実行フラグ」と呼ぶ）をＯＮにして不揮発性メモリに保持しておく。そして、データ消去が正常に完了した場合に、実行フラグを落とす（クリアする）ことで、データ消去が完了したか否かを容易に判断できるような構成としている。さらに、データ消去に“Secure Erase”を用いたか、または他の消去方式を用いたかを識別するために、第２の識別情報としてフラグ（以下、「種別フラグ」と呼ぶ）に種別を設定し、不揮発メモリに保存している。

これらのフラグにより、データ消去実行中に電源が切られた場合は、次回起動時に不揮発性メモリから実行フラグを読み出し、実行フラグが立っていた場合にデータ消去が正常に完了しなかったとして、再度データ消去を実行する。その際、種別フラグを読み出して、電源断前のデータ消去の種類を取得し、“Secure Erase”コマンドを用いていた場合には、パスワード設定をスキップして、“Secure Erase”コマンドを実行する。これにより、ハードディスクがロック状態となったままとなることがなく、記憶装置のデータ消去を効率的かつ良好に行うことができる。また、他の消去方式の場合でも、種別フラグに記憶された消去方式を用いることで、データ消去を良好に行うことができる。以上のように、データ消去途中の電源断等に影響されることなく、データ消去を完了して、セキュリティの脅威からＨＤＤを保護することができる。

［画像形成装置］
以下に、本願に係る、情報処理装置を備えた画像形成装置の一実施例について、図面を参照しながら説明する。図１は、実施例１に係る情報処理装置を備えた画像形成装置のシステム構成図である。図１に示すように、実施例１の画像形成装置（画像形成装置本体）１００は、画像形成手段１１１と、この画像形成手段１１１を制御するコントローラボード（以下、「コントローラ」と呼ぶ）１０１と、を備えて構成されている。

画像形成手段１１１は、プロッタ部１１２、および、スキャナ部１１３を備えている。プロッタ部１１２は、コントローラ１０１から送信される画像処理結果の画像データに基づいて、画像を印刷出力する。スキャナ部１１３は、画像読取装置であり、紙等の媒体に記録された画像をスキャンし、画像データをコントローラ１０１に転送する。

コントローラ１０１は、ＣＰＵ（Central Processing Unit）１０２、不揮発性メモリとしてのＮＶＲＡＭ（Non-volatile RAM）１０３、ＲＯＭ（Read Only Memory）１０４、データの一時記憶のためのＲＡＭ（Random Access Memory）１０５、画像処理手段１０６、ファクシミリ装置（不図示）を備えるＦＣＵ（Facsimile Control Unit）１０７、操作部１０８、ＨＤＤ（Hard Disk Drive）１０９、および、ネットワーク制御手段１１０を備えている。

ＣＰＵ１０２は、ＯＳ（Operating System)２２１（図２参照）や、画像形成手段１１１等を制御するための制御プログラムを実行することで、画像形成装置１００の動作を制御する。また、ＣＰＵ１０２上では、ＨＤＤ１０９のデータ消去を行うデータ消去手段１２０が動作する。

データ消去手段１２０の機能構成例を、図４に示す。この図４に示すように、データ消去手段１２０は、ユーザから入力されたデータ消去の指定を取得するデータ消去指定取得部１２１と、データ消去方式を取得するデータ消去方式取得部１２２と、ＨＤＤ１０９の詳細情報を取得する詳細情報取得部１２３と、データ消去種別に対応してデータ消去を実行するデータ消去実行部１２４と、識別情報であるフラグの設定やクリアを行うフラグ設定部１２５と、操作部１０８にメッセージを表示するメッセージ表示部１２６と、等を有している。

ＮＶＲＡＭ１０３は、識別情報記憶手段であり、データ消去処理を行う際に、データ消去手段１２０がアクセスして設定または参照する識別情報が、テーブル形式で記憶されている。図３は、識別情報記憶手段としての識別情報テーブル１０の構成を示す図である。図３（ａ）に示すように、識別情報テーブル１０には、第一識別情報としての実行フラグ１１と、第二識別情報としての種別フラグ１２とが記憶される。なお、本実施例では、識別情報として、フラグを用いているが、本願がこれに限定されることはなく、フラグ以外で識別情報を保持するようにしてもよい。また、本実施例では、識別情報記憶手段として、ＮＶＲＡＭ１０３を用いている。しかし、本願がこれに限定されることはなく、電源の供給がなくとも記憶した情報を保持することが可能であればよく、ＨＤＤ、フロッピィディスク、光ディスク、フラッシュメモリ等、他の記憶手段を用いてもよい。

実行フラグ１１は、データ消去の実行中であるか否かを識別するフラグである。この実行フラグ１１は、データ消去手段１２０によって設定および参照される。データ消去手段１２０は、データ消去処理を実行する際に、実行フラグ１１をＯＮ（１）に設定し、データ消去処理が正常に終了した時に、実行フラグ１１をＯＦＦ（０）に設定する。また、データ消去手段１２０は、起動時または再起動時に、実行フラグ１１を参照して、データ消去処理が正常に完了しているか否かを判断する。起動時または再起動時に実行フラグ１１がＯＮとなっている場合は、データ消去処理が実行中または実行途中で処理が中断されたことを示す。実行フラグ１１がＯＦＦとなっている場合は、データ消去処理が行われていないか、または、正常に終了したことを示す。

種別フラグ１２は、データ消去方式の種別を識別するフラグである。図３（ｂ）に、データ消去方式と、その種別を表す識別子とを対応付けた表を示す。図３（ｂ）に示すように、本実施例で使用するデータ消去方式には、１：ＮＳＡ方式、２：ＤｏＤ方式、３：乱数方式、４：フォーマット、５：ＢＳＩ／ＶＳＩＴＲ方式、６：“Secure Erase”コマンドがある。種別フラグ１２には、各消去方式に対応する種別として、１〜６から選択される数値を設定しているが、本願がこれに限定されることはなく、文字等、数値以外のものを設定してもよいし、ビットのＯＮ、ＯＦＦ等で識別するようにしてもよい。

また、この種別フラグ１２も、データ消去手段１２０によって設定および参照される。データ消去手段１２０は、ユーザより操作部１０８からデータ消去指定があった時に、ユーザにより指定されたデータ消去の方式に対応した種別を、種別フラグ１２に設定する。また、再起動時に、データ消去手段１２０が再度消去処理を実行する際に、この種別フラグ１２を参照し、前回実行された消去方式の種別を取得し、この種別に対応した消去方式で、データ消去処理を再度実行する。

ＲＡＭ１０５は、ＣＰＵ１０２の作業用領域として使用される揮発性メモリである。ＲＯＭ１０４は、ＣＰＵ１０２が実行する画像形成、画像処理、データ消去、その他のアプリケーション・プログラムが格納される不揮発性メモリである。これらのアプリケーション・プログラムは、ＲＡＭ１０５上に展開されて、ＣＰＵ１０２によって実行される。

操作部１０８は、ユーザの操作情報の入力受け付けを行う。また、ユーザへの情報表示を行う表示手段としての機能をも有している。ＨＤＤ１０９は、画像形成手段１１１のスキャナ部１１３等から送信される画像データ、文書データを保存する。ＨＤＤ１０９は、さらに、本実施例の画像形成装置１００に係るアプリケーション・プログラムを含む、画像形成装置（複合機）１００上で動作させる各種のアプリケーション・プログラム、フォントデータ、システム情報、ユーザ情報等を含む各種のデータを蓄積する大容量の記憶装置である。なお、本実施例では、このような記憶装置として、ＨＤＤ１０９を有しているが、本願がこれに限定されることはなく、例えば、ＳＤＤ（Solid State Drive）などであってもよい。

ネットワーク制御手段１１０は、ＬＡＮ等のネットワーク１１５経由で、画像形成装置１００と外部装置１１４等とのデータ通信を制御する。ネットワーク制御手段１１０は、さらに、ＵＳＢインタフェースを備え、外部機器であるＵＳＢ機器（不図示）との通信を行なうよう構成してもよい。外部装置１１４は、例えばパーソナルコンピュータ（ＰＣ：Personal Computer）等であり、画像形成装置１００に印刷指示（印刷要求）等を送信して、画像形成装置１００の動作を制御する。

画像処理手段１０６は、スキャナ部１１３から入力された画像やＨＤＤ１０９から取得した画像に対して、色補正等の画像処理を行い、処理後の画像データをプロッタ部１１２等へ出力する。

また、画像形成装置１００は、コントローラ１０１内に、データ消去手段１２０を有している。前述のように、ＣＰＵ１０２は、ＲＯＭ１０４等に格納されたアプリケーション・プログラムをＲＡＭ１０５に展開して実行することで各種機能が実現される。すなわち、データ消去プログラムの実行により、ＣＰＵ１０２がデータ消去の処理手順を実行するデータ消去手段１２０として機能する。

なお、上記構成の画像形成装置１００において、図１に示す点線で囲った部分が、本実施例における情報処理装置１１６を構成する。図１に示すように、情報処理装置１１６は、データ消去プログラムを実行するＣＰＵ１０２、識別手段を記憶するＮＶＲＡＭ１０３、データ消去プログラムが展開されるＲＡＭ１０５、および、データ消去処理の対象となるＨＤＤ１０９を備え、さらに、データ消去プログラムを格納するＲＯＭ１０４、データ消去指示等を与える操作部１０８等を備えて構成されている。

次に、コントローラ１０１上で実行されるソフトウェアについて、図２を用いて説明する。図２は、コントローラ１０１上で実行されるソフトウェア群２００の構成を示すブロック図である。このソフトウェア群２００は、アプリケーション群２０１と、プラットホーム２１０とを備えている

プラットホーム２１０は、アプリケーションプログラムインタフェース（ＡＰＩ）２３０を利用して、アプリケーション群２０１からの処理要求を受信し、各種情報処理を実行する。プラットホーム２１０は、アプリケーション群２０１からの処理要求を解釈して、ハードウェア資源の獲得要求を発生させるコントロールサービス２１１と、ハードウェアを直接的に制御するＢＩＯＳ（Basic Input / Output System）２２０（またはモニタプログラム）と、ＢＩＯＳ２２０上で動作するＯＳ２２１と、一または複数のハードウェア資源の管理を行い、コントロールサービス２１１からの獲得要求を調停するシステムリソースマネージャ（ＳＲＭ）２２２と、を備えている。

ＯＳ２２１は、例えば、ＵＮＩＸ（登録商標）などの汎用オペレーティングシステムであり、プラットホーム２１０およびアプリケーション群２０１の各ソフトウェアを並列的に実行する。ＯＳ２２１は、画像形成装置１００の各種デバイスを動作させるためのデバイスドライバと、起動時に実行される起動処理プログラムを備え、これらのアプリケーション・プログラムがＣＰＵ１０２により実行されることにより、図１に示すデータ消去手段１２０等の各機能の実現手段が実現される。

アプリケーション群２０１は、コピー用のアプリケーション・プログラム（以下、単に「アプリケーション」または「アプリ」という）であるコピーアプリ２０２、プリンタ用のアプリケーションであるプリンタアプリ２０３、スキャナ用のアプリケーションであるスキャナアプリ２０４、ファクシミリ用のアプリケーションであるＦＡＸ（ファクシミリ）アプリ２０５等の、各種のアプリケーションを有している。

コントロールサービス２１１は、以下の複数のサービスモジュールから形成される。サービスモジュールは、ＳＣＳ（システムコントロールサービス）２１７と、ＥＣＳ（エンジンコントロールサービス）２１２と、ＭＣＳ（メモリコントロールサービス）２１３と、ＯＣＳ（オペレーションパネルコントロールサービス）２１４と、ＦＣＳ（ファックスコントロールサービス）２１５と、ＮＣＳ（ネットワークコントロールサービス）２１６と、から構成されている。

ＳＣＳ２１７のプロセスは、アプリケーション管理、操作部制御、システム画面表示、ＬＥＤ表示、リソース管理、割り込みアプリケーション制御などを行う。また、ＳＣＳ２１７のプロセスは、データ消去手段１２０からの要求に従って、ＨＤＤ１０９のデータを消去するための各種コマンドの発行を行う等、データ消去の処理を実行する。

ＥＣＳ２１２のプロセスは、スキャナ部１１３等のハードウェアリソースのエンジンの制御を行う。ＭＣＳ２１３のプロセスは、システムメモリの領域の取得および解放、ＲＡＭ１０５やＨＤＤ１０９等の記憶装置の利用などの制御を行う。ＯＣＳ２１４のプロセスは、利用者と本体制御との間の情報伝達手段となる操作部１０８の制御を行う。

ＦＣＳ２１５のプロセスは、ＩＳＤＮ（Integrated Services Digital Network）網などを利用したファクシミリの送受信、各種ファクシミリデータの登録や読み取り、あるいは、ファクシミリ受信印刷などを、ＦＡＸアプリ２０５等から行うためのソフトウェア・インタフェースを提供する。

ＮＣＳ２１６のプロセスは、ネットワークＩ／Ｏ（インプット／アウトプット）を必要とするアプリケーションに対して共通に利用できるサービスを提供する。ＮＣＳ２１６のプロセスは、ネットワーク側から各プロトコルによって受信したデータを各アプリケーションに振り分け、また、各アプリケーションからのデータをネットワーク側に送信する際の仲介を行う。

ＳＲＭ２２２のプロセスは、ＳＣＳ２１７とともにシステムの制御およびリソースの管理を行うものである。ＳＲＭ２２２のプロセスは、スキャナ部１１３やプロッタ部１１２等のエンジン、メモリ（ＮＶＲＡＭ１０３，ＲＯＭ１０４，ＲＡＭ１０５）、ＨＤＤ１０９等のハードウェア資源を利用する上位層からの要求にしたがって調停を行い、実行制御する。

具体的には、このＳＲＭ２２２は、要求されたハードウェア資源が利用可能であるか（他の要求により利用されていないかどうか）を判断し、利用可能であれば要求されたハードウェア資源が利用可能である旨を上位層に伝える。また、ＳＲＭ２２２は、上位層からの要求に対してハードウェア資源の利用スケジューリングを行い、要求内容（例えば、プロッタエンジンにより紙搬送と作像動作、メモリ確保、ファイル生成、データ消去など）を直接実施している。

以上のソフトウェア構成により、コントローラ１０１上でＢＩＯＳ２２０がＯＳ２２１を起動する。ＯＳ２２１上では、コピーアプリ２０２、プリンタアプリ２０３、スキャナアプリ２０４、ＦＡＸアプリ２０５等のアプリケーションからの処理要求を解釈してハードウェア資源の獲得要求を発生させるコントロールサービス２１１と、一または複数のハードウェア資源の管理を行い、コントロールサービス２１１を構成する各コントロールサービスからの獲得要求を調停するＳＲＭ２２２が動作する。

［データ消去方法］
上述のような構成の画像形成装置１００において、データ消去手段１２０で実現されるデータ消去方法について説明する。データ消去処理は、本実施例では以下の２つのタイミングで行われる。このデータ消去処理の後述の“Secure Erase”コマンド、その他のコマンド発行等は、ＳＣＳ２１７で実行される。

（１）画像形成装置１００を起動しているときに、ユーザによりデータ消去の指示が与えられた時。
（２）画像形成装置１００を起動または再起動した時であって、前回の起動時にデータ消去処理を実行している途中で、電源断等によりデータ消去処理が中断され、データ消去が完了していなかった時。

（１）の状態を、「通常モード」と呼び、（２）の状態を「再起動モード」と呼ぶ。システム上では、「通常モード」とは、データ消去処理の実行中を示す実行フラグ１１がＯＦＦであり、データ消去方式を示す種別フラグ１２もクリアされている状態である。「再起動モード」とは、実行フラグ１１がＯＮであり、種別フラグ１２にも、１〜６のいずれかの種別設定されている状態である。

以下、「通常モード」および「再起動モード」でのそれぞれのデータ消去処理の詳細を、図５〜図７のフローチャートを用いて説明する。図５は、「通常モード」でのデータ消去処理工程を表すフローチャートである。図６は、「再起動モード」でのデータ消去処理工程を表すフローチャートである。図７は、“Secure Erase”コマンドでのデータ消去処理工程を表すフローチャートである。

＜通常モードでのデータ消去処理＞
「通常モード」でのデータ消去処理は、前述のように、画像形成装置１００が起動し、コピー、プリント等の通常の画像処理を行えるよう待機状態の時に、操作部１０８においてユーザがデータ消去の指定を行うことで実行される。なお、このような起動の他にも、例えば、画像形成装置１００が再起動され、「再起動モード」で処理が実行された後に、図６に示すステップＳ５５で、画像形成装置１００が通常起動シーケンスで起動する。この起動後においても、ユーザが操作部１０８からＨＤＤ１０９のデータ消去の要求を入力することで「通常モード」のデータ消去が開始される。このデータ消去の指定は、ＯＣＳ２１４を介してデータ消去手段１２０に伝達される

以下、通常モードでのデータ消去処理について、図５のフローチャートを用いて詳細に説明する。画像形成装置１００のデータ消去手段１２０では、ステップＳ１０に示すように、データ消去指定取得部１２１が、ユーザよりデータ消去の指定の有無を常時、監視している。データ消去の指示があった場合、次のステップＳ１１で、データ消去方式取得部１２２が、ユーザにより操作部１０８から入力されたデータの消去方式を取得する。本実施例では、図３（ｂ）に示したようなデータ消去方式のいずれかが指定される。

次に、ステップＳ１２で、データ消去手段１２０は、指定された消去方式が“Secure Erase”コマンドであるか否かを判定する。ＹＥＳの場合は、ステップＳ３０に進み、“Secure Erase”コマンドでのデータ消去を実行する。“Secure Erase”コマンドでのデータ消去の詳細は後述する。

これに対して、消去方式が“Secure Erase”コマンド以外（ＮＯ）の場合は、ユーザにより指定されたそれぞれの消去方式でデータ消去を実行するため、ステップＳ１３に進む。

このステップＳ１３では、フラグ設定部１２５が、データ消去処理の実行中であることを示す実行フラグ１１をＯＮにし、種別フラグ１２に、指定された消去方式の種別：１〜５（６：“Secure Erase”以外）を設定し、ＮＶＲＡＭ１０３を更新する。次に、ステップＳ１４では、メッセージ表示部１２６が、操作部１０８にデータ消去中である旨のメッセージ（例えば、図８に示すように、「メモリー消去中です。」）を表示する。また、この時に、他のアプリケーションによってＨＤＤ１０９がアクセスされないように、画像形成装置１００では、データ消去手段１２０によるデータ消去処理を優先して実行し、他の操作ができないよう制御する。なお、このステップＳ１４のメッセージ表示処理は、ステップＳ１３の前に行ってもよいし、同時に行ってもよい。また、ステップＳ１３、Ｓ１４を、次のステップＳ１５のデータ消去実行時に同時に行ってもよい。また、特にメッセージ表示が必要なければ、同ステップを行わなくてもよい。

次に、ステップＳ１５で、データ消去手段１２０のデータ消去実行部１２４により、指定された消去方式に従って、以下のようにＨＤＤ１０９のデータ消去を実行する。

種別フラグ１２が「１」の場合、ＮＳＡ方式を用いてデータ消去を実行する。ＮＳＡ方式は、ＮＳＡ（米国国家安全保償局）の勧告に準拠した消去方式であり、図３（ｂ）に記載のように、「乱数１（所定の乱数）→乱数２（乱数１とは異なる所定の乱数）→ゼロ」の順でデータを書き込むことで、ＨＤＤ１０９内に記憶されていたデータを消去する。

種別フラグ１２が「２」の場合、ＤｏＤ方式を用いてデータ消去を実行する。ＤｏＤ方式は、例えば、ＤｏＤ ５２２０．２２−Ｍ等、米国国防総省規格に準拠した消去方式で、乱数１→乱数１の１の補数→乱数２の順でデータを書き込むことで、ＨＤＤ１０９内に記憶されていたデータを消去する。

種別フラグ１２が「３」の場合、乱数方式を用いてデータ消去を実行する。単数方式では、ユーザによって指定された回数、または、ＮＶＲＡＭ１０３等に予め設定されている回数で、異なる乱数を上書きすることで、ＨＤＤ１０９内に記憶されていたデータを消去する。

種別フラグ１２が「４」の場合、ＨＤＤ１０９のフォーマットを実行して、データ消去を実行する。この場合、ファイルシステムの初期化のみ実施を行い、セクタ単位での消去は実施しない。このような条件でフォーマットすることにより、データ消去を迅速に行うことができる。

種別フラグ１２が「５」であれば、ＢＳＩ／ＶＳＩＴＲ方式を用いてデータ消去を実行する。ＢＳＩ／ＶＳＩＴＲ方式は、ドイツ標準方式の消去方式で、「“００”，“ＦＦ”，“００”，“ＦＦ”，“００”，“ＦＦ”，“ＡＡ”」の順で、合計７回の書き込みを行うことで、ＨＤＤ１０９内に記憶されていたデータを消去する。

以上、データ消去処理が完了すると、ステップＳ１６で、フラグ設定部１２５は、実行フラグ１１をＯＦＦに設定し、種別フラグ１２をクリア（たとえば、「０」を設定する等）し、ＮＶＲＡＭ１０３を更新する（フラグクリア）。また、ステップＳ１７で、メッセージ表示部１２６が、データ消去中である旨の操作部１０８へのメッセージ表示を解除する。この時、データ消去が完了した旨のメッセージをさらに表示してもよい。

以上により、ＨＤＤ１０９の通常モードでのデータ消去処理が完了する。ユーザは、データ消去が完了したＨＤＤ１０９を、新たなＨＤＤ１０９と交換することができる。または、データが消去された画像形成装置１００全体を新機種等と交換することもできる。また、データが消去された古いＨＤＤ１０９やこれを備えた画像形成装置１００を、再利用することもできる。いずれの場合でも、本実施例のデータ消去処理により、古いＨＤＤ１０９のデータの消去が完了しているため、セキュリティ上の脅威からＨＤＤ１０９を保護するとことができる。

（“Secure Erase”コマンドを用いた「通常モード」でのデータ消去方法）
以下、図７のフローチャートを用いて、「通常モード」でのステップＳ３０の“Secure Erase”コマンドによるデータ消去実行処理の詳細について説明する。なお、図７のフローチャートは、「通常モード」および「再起動モード」の双方のモードでの処理が組み込まれているため、ここでは、「通常モード」の場合に実行されるステップを中心に説明する。

“Secure Erase”コマンドは、ＡＴＡ、ＳＡＴＡのＨＤＤ１０９に実装されているコマンドであり、米国国立標準技術研究所により承認されているものである。前述したように、“Secure Erase”コマンドは、上記の他の消去方式と比較して、一回の上書きで、データの消去を高速に行うことができるため、本実施例の画像形成装置１００におけるデータ消去方式として好ましい。なお、本実施例では、データ消去対象の記憶装置として、ＨＤＤ１０９を例としているが、“Secure Erase”コマンドに対応していれば、ＳＳＤ等、他の記憶装置でも同様の処理フローでデータ消去を行うことができる。また、ＳＳＤでパーティションがある場合等は、“Secure Erase”コマンドでのデータ消去ができないことがあるため、パーティションを削除しておくなどの対応を行っておくことが望ましい。

「通常モード」でのデータ消去の際には、まず、ステップＳ３１で、データ消去手段１２０の詳細情報取得部１２３が、ＡＴＡの“Identify”コマンドを発行して、ＨＤＤ１０９の詳細情報を取得する。これは、次のステップＳ３２で行うＨＤＤ１０９が“Secure Erase”に対応しているか否かの判定と、ステップＳ３３で行う“Secure Erase”動作モードの確認と、ステップＳ３４で行うＨＤＤ１０９がロックモードか否かを判定するために行うものである。また、「再起動モード」の場合には、ＨＤＤ１０９の交換があったか否かの判定にも用いられる。

次に、ステップＳ３２では、ＨＤＤ１０９が“Secure Erase”に対応しているか否か判定する。この判定は、具体的には、ＨＤＤ１０９が“Identify”コマンドを受け付けたか否かで行う。当該コマンドを受け付けた場合（詳細情報の取得成功）は、“Secure Erase”に対応しているとして、次のステップＳ３３に進む。当該コマンドを受け付けない場合（コマンドエラー：詳細情報取得エラー）は、非対応であり、“Secure Erase”によるデータ消去ができない。そのため、ステップＳ４７に進み、メッセージ表示部１２６によりデータ消去ができない旨の警告メッセージを操作部１０８に表示して、処理を終了する。

ステップＳ３３では、データ消去対象のＨＤＤ１０９が“Enhanced”モードが利用可能であるかチェックする。具体的にはステップＳ３１で発行した“Identify”コマンドの結果において、１２８ワードのｂｉｔ６を参照して判定する。この情報は、後述のステップＳ３８で使用する。

次に、ステップＳ３４で、データ消去実行部１２４は、データ消去対象のＨＤＤ１０９がロックモードであるか否かを判定する。この判定は、具体的には、ステップＳ３１で取得したＨＤＤ１０９の詳細情報の１２８ワードの中の、ｂｉｔ２を参照して行なうことができる。このｂｉｔ２がＯＮ（１）であれば、ロックモードであり、ＯＦＦ（０）であれば、ロックモードでないと判定する。ロックモードとは、ＨＤＤ１０９にパスワードがかかった状態をいう。“Secure Erase”でのデータ消去中に、他のアプリケーションからＨＤＤ１０９がアクセスされるのを防止するために行われる。

しかし「通常モード」では、データ消去処理が初めて行われるか、または、「再起動モード」でのデータ消去処理が正常に終了した後に、改めて「通常モード」が指定されてデータ消去が実行されるものである。そのため、「通常モード」にて当該処理に進んだ場合は、ＨＤＤ１０９はロックモードにはなってはおらず、ステップＳ３４では、ＮＯと判定される。この場合、次のステップＳ３５に進む。ロックモードの詳細については、後述の「再起動モード」でのデータ消去処理にて詳細に説明する。

ステップＳ３５では、ＮＶＲＡＭ１０３のデータ消去の実行フラグ１１がＯＮであるか否かを判定する。「通常モード」では、当該処理前に、データ消去は行われていないか、または、正常に完了しているため、実行フラグ１１はＯＦＦと判定されるため、次のステップＳ３６に進む。なお、ロックモードでないにも関わらず、実行フラグ１１がＯＮである場合がある。これは、データ消去処理中に、停電または処理が完了したと認識したユーザによって、電源が切断され、データ消去処理が中断されたにも関わらず、ＨＤＤ１０９が交換されてしまった場合である。その詳細は、後述の「再起動モード」でのデータ消去処理にて詳細に説明する。

ステップＳ３６では、データ消去実行部１２４が、ＨＤＤ１０９に対してパスワード設定を行う。具体的には、他のアプリケーション等からのアクセスを制限するために任意のパスワードをパラメータに設定し、“SET SECURITY PASSWORD”コマンドをＨＤＤ１０９に対して発行することにより行う。

次に、ステップＳ３７では、“Secure Erase”の前準備を行う。これはデータ消去実行部１２４が、ＡＴＡの“SECURITY ERASE PREPARE”コマンドをＨＤＤ１０９に対して発行することにより行う。

次に、ステップＳ３８で、当該ＨＤＤ１０９が“Normal”モードか（または“Enhanced”モードか）の判定を行う。“Normal”モードの場合は、次のステップＳ３９で、“Enhanced”モードの場合は、ステップＳ４０で、モードごとのパラメータ設定を行う。この判定および設定も、ステップＳ３１で発行した“Identify”コマンドで取得したＨＤＤ１０９の詳細情報を、ステップＳ３３でチェックした結果（１２８ワードのｂｉｔ６）で判定する。ここで、“Normal”モードは、ドライブ全体を“０”消去するモードであり、“Enhanced”モードは、代替領域を含めたドライブ全体を“０”消去するモードである。“Normal”モードでは不良セクタの消去は行われないが“Enhanced”モードでは、不良セクタも含めた消去が行われる。

以上のように“Secure Erase”の準備が終了したら、まず、ステップＳ４１で、フラグ設定部１２５により実行フラグ１１をＯＮにし、種別フラグ１２に、消去方式“Secure Erase”の種別：６を設定し、ＮＶＲＡＭ１０３を更新する。次に、ステップＳ４２では、メッセージ表示部１２６により、図８に示すように、操作部１０８に「メモリー消去中」である旨のメッセージを表示する。また、画像形成装置１００を制御して、データ消去処理を優先的に行うか、または、他の操作ができないようにする。その後、ステップＳ４３で、データ消去実行部１２４が“Secure Erase”コマンドを発行することで、ＨＤＤ１０９のデータ消去を開始する。このステップＳ４１〜Ｓ４３は、順番を入れ替えて行ってもよいし、並列に行ってもよい。

次に、ステップＳ４４で、データ消去実行部１２４は、データ消去処理が完了したか否かを監視する。データ消去処理が完了したら（ＹＥＳ）、ステップＳ４５で、フラグ設定部１２５により実行フラグ１１をＯＦＦに設定し、種別フラグ１２をクリアし、ＮＶＲＡＭ１０３を更新する（フラグクリア）。最後に、ステップＳ４６で、メッセージ表示部１２６により、データ消去中である旨の操作部１０８へのメッセージ表示を解除する。この際に、データ消去が終了した旨のメッセージを表示してもよい。以上で、「通常モード」における“Secure Erase”コマンドを使用したデータ消去処理が完了する。

＜再起動モードでのデータ消去処理＞
「再起動モード」でのデータ消去処理は、前述のように、画像形成装置１００を起動または再起動した時であって、前回の起動時にデータ消去処理を実行している途中で、停電等により電源が切断され、データ消去処理が中断され、ＨＤＤ１０９のデータ消去が完了していなかった時に実行される。

以下、画像形成装置１００が起動または再起動された後、前回データ消去処理が中断されていた場合に、データ消去処理を再実行する際の動作について、図６のフローチャートを用いて説明する。

まず、ステップＳ５０で、ユーザが画像形成装置１００の電源をＯＮにすることで、画像形成装置１００が起動する。この起動により、ＣＰＵ１０２や各種メモリ（ＲＯＭ１０４、ＲＡＭ１０５，ＨＤＤ１０９等）等の初期設定が行われ、各種アプリケーションの展開等が実行される。

再起動時には、本実施例では、最初にデータ消去プログラムが起動するよう制御されている。データ消去プログラムが起動すると、ステップＳ５１で、前回、データ消去処理中であったかを判定する。この判定は、データ消去手段１２０のフラグ設定部１２５が、ＮＶＲＡＭ１０３にアクセスして、識別情報テーブル１０に設定された実行フラグ１１を参照することにより行う。

前述の通り、前回“Secure Erase”コマンドでのデータ消去の実行が完了する前に電源が切られた場合、今回の起動に当たり、ＨＤＤ１０９がロックモードで起動してしまうため、ＨＤＤ１０９へのアクセスができなくなってしまう。また、“Secure Erase”以外でデータ消去の実行中に、電源が切られた場合でも、データ消去が完了していないため、ＨＤＤ１０９には、データが残留している場合がある。そのため、画像形成装置１００の起動前に、データ消去処理を再実行してＨＤＤ１０９のデータを完全に消去するとともに、ＨＤＤ１０９のアクセス等が正常に行えるようにする。

ここで、データ消去処理の途中であった場合は、前回のデータ消去で設定した実行フラグ１１（図５の「通常モード」におけるステップＳ１３参照）のクリア（ＯＦＦ）が行われない。そのため、実行フラグ１１がＯＮのままであることで、データ消去の実行途中であったことが判断できる。この場合、ＨＤＤ１０９のデータ消去処理を実行するため、ステップＳ５３に進む。

これに対して、実行フラグ１１がＯＦＦであった場合は、ＨＤＤ１０９のデータ消去処理は行われていなかったか、または、データ消去処理が正常に完了した後に、画像形成装置１００が起動されたと判断できる。この場合、ステップＳ５３、Ｓ５４のデータ消去処理をスキップして、ステップＳ５９に進み、画像形成装置１００の通常の起動シーケンスを実行する。

以下、データ消去を再実行する場合について説明する。まず、ステップＳ５２では、前回のデータ消去の方式に対応したデータ処理プログラムを起動するため、フラグ設定部１２５がＮＶＲＡＭ１０３にアクセスして、種別フラグ１２を参照し、データ消去方式を取得する。データ消去実行部１２４では、このデータ消去方式に対応して、ＨＤＤ１０９のデータ消去を行うが、その前に、ステップＳ５３でデータ処理方式が“Secure Erase”であるか否かを判定する。ＹＥＳの場合は、ステップＳ３０に進み、“Secure Erase”コマンドでのデータ消去を実行する。“Secure Erase”コマンドでのデータ消去の詳細は後述する。これに対して、消去方式が“Secure Erase”コマンド以外（ＮＯ）の場合は、前回と同様の消去方式でデータ消去を実行する。

なお、いずれの場合でも、データ消去処理アプリケーションが起動する前に、別のアプリケーションがＨＤＤ１０９へアクセスしてしまうと、その段階でアクセス完了待ちが発生して動作が止まってしまう場合がある。そのため、実行フラグ１１がＯＮの場合は、データ消去以外の処理が実行されないよう、データ消去処理アプリケーションを最優先で起動するよう制御する。または、実行フラグ１１がＯＮの場合は、データ消去処理のみを起動するよう制御する。これらの制御により、データ消去処理が途中で停止するのを防止することができる。なお、この場合は，他のプログラムを実行するために、データ消去実行後に、画像形成装置１００の再起動を行う必要がある。この場合は、後述のステップＳ６０の通常起動シーケンス実行の前等に、画像形成装置１００の再起動ステップを組み込んでもよい。

次に、消去方式が“Secure Erase”コマンド以外（ＮＯ）の場合のデータ消去処理について説明する。この場合は、前回と同様の消去方式でデータ消去を実行する。この実行の前に、まず、ステップＳ５４で、詳細情報取得部１２３が、ＨＤＤ１０９のデバイス情報に基づいて、パーティション情報を取得する。次に、ステップＳ５５で、取得した情報に基づいて、当該ＨＤＤ１０９にパーティション情報が設定されているか否かを判定する。パーティション情報が設定されている場合（ＹＥＳ）は、次のステップＳ５６に進み、データ消去を続行するが、パーティション情報が設定されていない場合（ＮＯ）は、データ消去を行わないため、処理ステップＳ６１に進む。

処理ステップＳ６１での処理の説明にあたり、ステップＳ５５で詳細情報が取得できない場合について説明する。「再起動モード」（実行フラグがＯＮ）で起動した場合であって、ＨＤＤ１０９のパーティション情報が設定されていない原因として、前回のデータ消去の実行途中に、処理が完了したとしてユーザが電源を切り、その後でＨＤＤ１０９を交換したこと等が考えられる。このように交換された直後のＨＤＤ１０９は、未フォーマット状態であり、パーティション情報が設定されていないため、このような齟齬が生じる。

したがって、この場合は、データ消去を再実行する必要はない。つまり、交換されたＨＤＤ１０９に対してデータ消去を実行すると、当該データ消去アプリケーションを優先的に起動するか、または、当該アプリケーションのみを起動することとなり、無用のデータ消去が発生する。また、データ消去の完了待ちが発生するため、画像形成装置１００の起動までに時間がかかってしまうことになる。

よって、画像形成装置１００の起動を迅速に行うためにも、その後のデータ消去処理ステップをスキップする。ただし、交換前のＨＤＤ１０９のデータ消去が未完であることをユーザに知らせるため、ステップＳ６１では、メッセージ表示部１２６により、操作部１０８に対して、ＨＤＤ１０９が交換されたため、データ消去を実行しなかった旨の警告メッセージを表示する。さらに、交換前の元のＨＤＤ１０９は、データ消去処理が未完で終了しているため、データ消去を再実行すべき旨のメッセージを表示してもよい。このメッセージにより、交換前のＨＤＤ１０９のデータ等をセキュリティの脅威から保護することも可能となる。

また、交換後の新規のＨＤＤ１０９については、データ消去実行部１２４は、ステップＳ６２で、ＨＤＤ１０９にパーティションを作成し、各パーティションをフォーマットすることで、パーティション情報を設定する。この処理により、画像形成装置１００で、この交換後のＨＤＤ１０９を使用することができる。その後、ステップＳ５８に進んで、実行フラグ１１をＯＦＦに設定し、種別フラグ１２をクリアし、ＮＶＲＡＭ１０３を更新する（フラグクリア）。その後、ステップＳ５９でメッセージ表示を終了した後、ステップＳ６０で通常起動シーケンスを実行する。

次に、ステップＳ５５で詳細情報を取得でき、ステップＳ５６に進んで“Secure Erase”コマンド以外の処理方式で、データ消去処理を実行する場合の処理について説明する。ステップＳ５６では、まず、メッセージ表示部１２６が、図８に示すように、操作部１０８に「メモリー消去中」である旨のメッセージを表示する。次に、ステップＳ５７で、データ消去実行部１２４が、種別フラグ１２に記憶された前回のデータ消去方式に従って、データ消去を実行する。各方式でのデータ消去の詳細は、図３（ｂ）の表の記載および「通常モード」でのデータ消去の説明で述べたとおりである。

上記ステップＳ５７のデータ消去処理が完了したら、データ消去手段１２０は、ステップＳ５８で、実行フラグ１１をＯＦＦに設定し、種別フラグ１２をクリアし、ＮＶＲＡＭ１０３を更新する（フラグクリア）。なお、データ消去途中で電源断等により処理が中断されると、このステップＳ５８の各種フラグの初期化が行われない。そのため、次の再起動の際に実行フラグ１１のＯＮ状態が検出され、再度データ消去処理が実行される。

フラグクリアが終了したら、ステップＳ５９で、メッセージ表示部１２６は、データ消去中である旨の操作部１０８へのメッセージ表示を解除する。この場合も、データ消去が終了した旨のメッセージを表示してもよい。また、データ消去処理が完了したら、他のアプリケーションの実行待ち状態等を解除するよう制御することで、これらのアプリケーションの実行が可能となる。以上により、データ消去処理が正常に完了する。この完了後は、ステップＳ６０で、通常の起動シーケンスを実行することで、画像形成装置１００が起動する。

このステップＳ６０での画像形成装置１００の起動後は、操作部１０８や外部装置１１４等からの指示により、各種アプリケーションが実行される。また、ユーザにより操作部１０８からデータ消去の指定があった場合には、前述の「通常モード」でのデータ消去処理が実行される。

（“Secure Erase”コマンドを用いた「再起動モード」でのデータ消去方法）
以下、図７のフローチャートを用いて、「再起動モード」でのステップＳ３０の“Secure Erase”コマンドによるデータ消去実行処理の詳細について説明する。なお、「通常モード」と同様の処理については、詳細な説明は省略する。

まず、ステップＳ３１で、データ消去手段１２０の詳細情報取得部１２３が、ＡＴＡの“Identify”コマンドを発行して、ＨＤＤ１０９の詳細情報を取得する。次に、ステップＳ３２では、ＨＤＤ１０９が“Identify”コマンドを受け付けたか否かで、“Secure Erase”に対応しているか否かを判定する。ＹＥＳ（詳細情報取得成功）の場合は、“Secure Erase”に対応しているとして、次のステップＳ３３に進む。ＮＯ（取得エラー）の場合は、“Secure Erase”に非対応であるとして、ステップＳ４７に進み、メッセージ表示部１２６によりデータ消去ができない旨の警告メッセージを操作部１０８に表示して、処理を終了する。

ステップＳ３３では、データ消去実行部１２４が、“Identify”コマンドで取得した詳細情報の１２８ワードのｂｉｔ６を参照し、ＨＤＤ１０９が“Enhanced”モードが利用可能であるかチェックする。

次に、ステップＳ３４で、データ消去実行部１２４は、詳細情報の１２８ワードの中の、ｂｉｔ２を参照して、ＨＤＤ１０９がロックモードであるか否かを判定する。「再起動モード」で、当該処理フローが実行されるのは、データ消去が完了せずに途中で終了した場合である。そのため、実行フラグ１１はＯＮとなっており、ステップＳ３４では、ロックモードであると判定される。

ここで、ロックモードについて説明する。ロックモードへは、前述の「通常モード」での“Secure Erase”コマンドでのデータ消去処理等で、本フローのステップＳ３６で、ＨＤＤ１０９に対してアクセスを制限するパスワードが設定された際に移行する。このようにロックモードとなると、ＨＤＤ１０９は“Identify”コマンドなどの特定のＡＴＡコマンド以外のデータ転送要求などは実行できなくなる。そのため、例えば、後述のステップＳ４１で“Secure Erase”コマンドを実際に実行している途中で、画像形成装置１００の電源が切られてしまうと、次回起動時にＨＤＤ１０９は、ロックモードのまま起動してしまう。このロックモード状態で、アプリケーションがＨＤＤ１０９へアクセスすると、そこでアクセス完了待ちとなってしまい、アプリケーションを正常に起動することができなくなる。この場合、再起動時の操作部１０８は、例えば、図９に示すようなメッセージを表示した状態で停止し、画像形成装置１００が起動中のまま停止してしまう。

また、ロックモードの状態で、ステップＳ３６でパスワード設定コマンド（“SET SECURITY PASSWORD”）を実行しても、コマンドエラーとなってしまう。この場合、データ消去を続行するために、ステップＳ３６のパスワード設定処理はスキップし、次のステップＳ３７の“Secure Erase”の前処理に進んで、その後、データ消去を強制的に実行するように制御している。このように、ステップＳ３４でロックモードであると（ロックモードのまま起動した）判定された場合は、“Secure Erase”実行中に、停電などの電源断でデータ消去処理が中断され、その後再起動されてデータ消去が再開された（「再起動モード」）ことが判断できる。

以上より、「再起動モード」で当該処理フローが実行された場合は、ＨＤＤ１０９がロックモードとなっているため、ステップＳ３６のパスワード設定をスキップして、次のステップＳ３７の処理に進み、データ消去の準備段階に進む。

しかしながら、「再起動モード」（実行フラグがＯＮ）であっても、ステップＳ３４で、ロックモードではないと判定される場合がある。これは、前回のデータ消去実行中に、まだ処理が完了していないにも関わらず、処理が完了したとして、ユーザが電源を切り、ＨＤＤ１０９を交換したこと等が原因である。この場合、実行フラグ１１が有効のまま（ＯＮ）になってしまう。その結果、実行フラグがＯＮにもかかわらず、ロックモードではないと判断されるという不一致が生じる。

この場合、ＨＤＤ１０９の交換がされているので、前述したように、データ消去を行う必要はない。しかし、上記のようにデータ消去中を示す実行フラグ１１がＯＮのままでは、データ消去アプリケーションが実行されてしまう。すると、データ消去アプリケーションを優先的に起動するか、または、当該アプリケーションのみを起動することとなり、無用のデータ消去が発生する。また、データ消去の完了待ちが発生するため、画像形成装置１００の起動までに時間がかかってしまうことになる。

そのため、ステップＳ３５では、実行フラグ１１が有効のまま（ＯＮ）であるか否かを判定する。この判定がＹＥＳ、すなわち、ロックモードではないにもかかわらず、実行フラグ１１がＯＮであると判定された場合は、新規のＨＤＤ１０９が接続されたものとして、ステップＳ３６以降のデータ消去の再実行は行わず、ステップＳ４８に進む。このステップＳ４８では、操作部１０８に対して、ＨＤＤ１０９が交換されたため、データ消去を実行しなかった旨の警告メッセージを表示する。さらに、交換前の元のＨＤＤ１０９は、データ消去処理が未完状態であるため、データ消去を再実行すべき旨のメッセージを表示してもよい。このメッセージにより、交換元のＨＤＤ１０９のデータ等をセキュリティの脅威から保護することも可能となる。

次に、ステップＳ４９に進み、交換後の新規のＨＤＤ１０９について、データ消去実行部１２４にて、フォーマット処理を行う。この処理により、画像形成装置１００で、交換後のＨＤＤ１０９を使用することができる。その後、ステップＳ４５に進み、前回のデータ消去で設定された実行フラグ１１をＯＦＦに設定し、種別フラグ１２をクリアしてＮＶＲＡＭ１０３を更新し、フラグを初期化する。その後、“Secure Erase”によるデータ消去処理を終了する。以上により、新規のＨＤＤ１０９が接続された場合に、不必要なデータ消去が発生するのを防止することができ、画像形成装置１００の起動を効率的に行うことができる。以上、「再起動モード」でのイレギュラーな場合の処理、すなわち、ＨＤＤ１０９が交換されたときの処理が終了する。

以下、「再起動モード」での通常の処理について説明する。「再起動モード」では、ＨＤＤ１０９がロックモードとなってパスワード設定されているため、前述したように、ステップＳ３５、ステップＳ３６のパスワード設定をスキップして、ステップＳ３７以降の処理を実行する。このステップＳ３７以降の処理は、前述の「通常モード」でのデータ消去処理とほぼ同一であるため、詳細な説明は省略する。

「再起動モード」の場合、まず、ステップＳ３７で、データ消去実行部１２４がＡＴＡの“SECURITY ERASE PREPARE”コマンドをＨＤＤ１０９に対して発行し、“Secure Erase”の前準備を行う。次に、ステップＳ３８で、ステップＳ３１の“Identify”コマンドで取得したＨＤＤ１０９の詳細情報（１２８ワードのｂｉｔ６）に基づいて、“Normal”モードか“Enhanced”モードかの判定を行う。“Normal”モードの場合は、次のステップＳ３９で、“Enhanced”モードの場合は、ステップＳ４０で、モードごとのパラメータ設定を行う。

次に、ステップＳ４１で、フラグ設定部１２５により実行フラグ１１をＯＮにし、種別フラグ１２に、消去方式“Secure Erase”の種別：６を設定し、ＮＶＲＡＭ１０３を更新する。そして、ステップＳ４２では、メッセージ表示部１２６により、図８に示すように、操作部１０８に「メモリー消去中」である旨のメッセージを表示する。この処理とともに、画像形成装置１００において、データ消去処理を優先的に行うか、または、他の操作ができないように制御する。その後、または同時に、ステップＳ４３で、データ消去実行部１２４が“Secure Erase”コマンドを発行し、データ消去を開始する。

そして、ステップＳ４４で、データ消去処理の完了を監視する。データ消去処理が完了したら（ＹＥＳ）、ステップＳ４５で、フラグ設定部１２５により実行フラグ１１をＯＦＦに設定し、種別フラグ１２をクリアし、ＮＶＲＡＭ１０３を更新する（フラグ初期化）。最後に、ステップＳ４６で、メッセージ表示部１２６により、データ消去中である旨の操作部１０８へのメッセージ表示を解除する。この際に、データ消去が終了した旨のメッセージを表示してもよい。以上で、「再起動モード」における“Secure Erase”コマンドを使用したデータ消去処理が完了する。

なお、上記 “Secure Erase”コマンドでのデータ消去実行途中であって、実行フラグ１１をＯＦＦする前、すなわち、ステップＳ４３〜ステップＳ４４の間に、停電等の不測の事態で電源断となった場合、または、データ消去処理が完了したとしてユーザが電源断を実行した場合、前述したように、データ消去処理が未完のままで終了する。そのため、再起動時に、ＨＤＤ１０９がロックモードで、かつ、実行フラグ１１がＯＮのままとなり、他のアプリケーションがＨＤＤ１０９をアクセスできなくなる。そのため、データ消去を再実行する必要があるが、ＨＤＤ１０９がロックモードであるため、“Secure Erase”コマンド以外の方式では、データ消去を実行することができなくなる。そのため、次回の画像形成装置１００の起動時でも、「再起動モード」でのデータ消去処理が起動され、“Secure Erase”コマンドでのデータ消去が実行される。この処理が正常に完了することにより、ＨＤＤ１０９のデータ消去を迅速かつ良好に実施することができる。

以上、本願の情報処理装置を備えた画像形成装置、および、情報処理装置で実施されるデータ消去方法の一実施例について説明した。しかし、この実施例は一例であって、本願がこの実施例に限定されるものではない。データ消去を迅速に行って、かつ、データ消去処理中に電源断等で処理が中断されても、再起動時にデータ消去を実施して、ハードウェアをセキュリティの脅威から保護することが可能な構成であれば、本願の課題を解決できるものである。また、上記実施例では、データ消去の際に、ＨＤＤをロックモードとする方式として、“Secure Erase”コマンドによるデータ消去方式を説明した。しかしながら、本願が“Secure Erase”に限定されることはなく、ＨＤＤをロックモードとするコマンドやアプリケーションであり、再起動時に良好にデータ消去を完了することができるものであれば、いずれのものを用いてもよい。

また、データ消去の対象として、ＨＤＤ１０９やＳＤＤ等に適用できる旨説明したが、ＲＡＭ、ＲＯＭ、ＮＶＲＡＭ等のデータ消去に、本願の情報処理装置、画像形成装置、データ消去方法を用いてもよい。また、このような内部記憶装置のデータ消去に限定されることもなく、ＵＳＢメモリ、フロッピィ、その他の外部メモリに対して用いてもよいし、ＰＣ等の外部装置１１４に接続された所定の記憶部のデータ消去に用いることもできる。

また、上記実施例では、本願をカラー複合機に適用した例について述べたが、
本願の情報処理装置および情報処理方法が適用されるのは、画像形成装置に限定されることはない。ハードディスク等の記憶装置と、この記憶装置にアクセスして情報処理を行うアプリケーションを有する装置であれば、本願の情報処理装置を適用することができる。また、情報処理装置を備えることで、本願の情報処理方法を実行することができる。また、情報処理装置を画像形成装置等に組み込まずに、データ消去を行う単体の装置として機能するよう構成することもできる。

１０ 識別情報テーブル
１１ 実行フラグ（第１の識別情報）
１２ 種別フラグ（第２の識別情報）
１００ 画像形成装置（画像形成装置本体）
１０１ コントローラ（コントローラボード）
１０２ ＣＰＵ
１０３ ＮＶＲＡＭ（識別情報設定手段）
１０８ 操作部（表示手段）
１０９ ＨＤＤ（ハードディスク装置、記憶装置）
１１６ 情報処理装置
１２０ データ消去手段
１２１ データ消去指定取得部
１２２ データ消去方式取得部
１２３ 詳細情報取得部
１２４ データ消去実行部
１２５ フラグ設定部
１２６ メッセージ表示部

特許第４８９５９９０号公報

Claims (12)

1. 記憶装置にアクセスして、前記記憶装置のデータを消去する情報処理装置であって、
   前記記憶装置のデータ消去の実行状況を記憶する第１の識別情報および前記データ消去手段で実行するデータ消去方式を記憶する第２の識別情報を有する識別情報記憶手段と、
   前記第２の識別情報に基づいて、“Secure Erase”コマンドを含む少なくとも１以上の前記データ消去方式を用いて、前記記憶装置のデータ消去を行うとともに、該データの消去実行中は前記第１の識別情報にデータ消去中を示す情報を設定するデータ消去手段と、を備え、
   データ消去の実行時に、前記第２の識別情報のデータ消去方式が“Secure Erase”である場合、前記データ消去手段は、前記第１の識別情報を参照し、データ消去実行中でない場合には、前記記憶装置へのアクセスを制限するパスワード設定を行った後、“Secure Erase”コマンドを発行してデータ消去を行い、データ消去実行中である場合には、前記記憶装置へのパスワード設定を行うことなく、“Secure Erase”コマンドを発行してデータ消去を行うよう構成されたことを特徴とする情報処理装置。
2. メッセージを表示する表示手段を有し、データ消去手段は、データ消去の実行中に、データ消去中であることを示すメッセージを前記表示手段に表示することを特徴とする請求項１に記載の情報処理装置。
3. 前記データ消去手段によるデータ消去中は、データ消去以外の処理を実行しないよう制御されていることを特徴とする請求項１または２に記載の情報処理装置。
4. 前記データ消去手段は、前記“Secure Erase”コマンドを用いてデータ消去を実行する時に、前記第１の識別情報を参照し、データ消去実行中である場合に、前記記憶装置の詳細情報を取得し、取得エラーとなった場合は、データ消去を行うことなく、前記記憶装置のフォーマット処理を実行するとともに、前記第１の識別情報および前記第２の識別情報をクリアすることを特徴とする請求項１〜３のいずれか一項に記載の情報処理装置。
5. 前記データ消去手段は、前記記憶装置の詳細情報の取得エラーとなった場合に、メッセージを表示する表示手段に、取得エラーであるメッセージを表示することを特徴とする請求項４に記載の情報処理装置。
6. 前記識別情報設定手段は、不揮発性メモリであることを特徴とする請求項１〜５のいずれか一項に記載の情報処理装置。
7. 記憶装置にアクセスして、前記記憶装置のデータを消去する情報処理装置であって、
   前記記憶装置のデータ消去の実行状況を記憶する第１の識別情報および前記データ消去手段で実行するデータ消去方式を記憶する第２の識別情報を有する識別情報記憶手段と、
   前記第２の識別情報に基づいて、前記記憶装置へのアクセスを制限した状態でデータ消去を行う消去方式を含む少なくとも１つのデータ消去方式を用いて、データ消去を行うデータ消去手段と、を備え、
   前記第２の識別情報のデータ消去方式が、前記記憶装置へのアクセスを制限してデータ消去を行う消去方式である場合に、前記データ消去手段は、前記第１の識別情報を参照し、データ消去の実行中でない場合には、前記記憶装置へのアクセスを制限した後に、データ消去を行い、データ消去実行中である場合には、前記記憶装置へのアクセスの制限を行うことなく、データ消去を行うよう構成されたことを特徴とする情報処理装置。
8. 少なくとも１以上のデータ消去方式を用いて、記憶装置のデータ消去を行うデータ消去手段と、前記記憶装置のデータ消去の実行状況を記憶する第１の識別情報および前記データ消去手段で実行するデータ消去方式を記憶する第２の識別情報を有する識別情報記憶手段と、を備えた請求項１〜７のいずれか一項に記載の情報処理装置を備えたことを特徴とする画像形成装置。
9. 画像形成装置本体の起動時に、前記情報処理装置が、前記第１の識別情報を参照し、データ消去の実行中である場合には、前記データ消去手段により、前記記憶装置のデータ消去を優先して実行し、データ消去の完了後に前記第１の識別情報をクリアすることを特徴とする請求項８に記載の画像形成装置。
10. 画像形成装置本体の起動時に、前記情報処理装置が、前記第１の識別情報を参照し、データ消去の実行中であった時に、前記データ消去手段により、記憶装置のデータ消去のみを実行し、データ消去が完了した後に、前記第１の識別情報をクリアするとともに、前記画像形成装置本体を再起動することを特徴とする請求項８に記載の画像形成装置。
11. “Secure Erase”コマンドを含む少なくとも１以上のデータ消去方式を用いて、記憶装置のデータ消去を行うデータ消去手段と、前記記憶装置のデータ消去の実行状況を記憶する第１の識別情報および前記データ消去手段で実行するデータ消去方式を記憶する第２の識別情報を有する識別情報記憶手段と、を備えた請求項１〜７のいずれか一項に記載の情報処理装置を用いたデータ消去方法であって、
    前記データ消去手段により実行され、
    前記第１の識別情報を参照して、データ消去の実行中であるか否かの情報を取得するステップと、
    前記第２の識別情報を参照して、データ消去方式を取得するステップと、
    前記データ消去方式が“Secure Erase”以外である場合に、当該データ消去方式を用いて、前記記憶装置のデータ消去を行うとともに、前記第１の識別情報にデータ消去の実行中であることを記憶するステップと、
    前記データ消去方式が“Secure Erase”である場合であって、データ消去実行中でない場合に、前記記憶装置へのアクセスを制限するパスワード設定を行った後、“Secure Erase”コマンドを発行してデータ消去を行うとともに、前記第１の識別情報にデータ消去の実行中を記憶するステップと、
    前記データ消去方式が“Secure Erase”であった場合であって、データ消去実行中である場合には、前記記憶装置へのパスワード設定を行うことなく、“Secure Erase”コマンドを発行してデータ消去を行うステップと、
    データ消去が完了した後に、前記第１の識別情報にデータ消去の実行中でないことを記憶するステップと、
    を有することを特徴とするデータ消去方法。
12. 請求項１１に記載のデータ消去方法をコンピュータに実行させることを特徴とするデータ消去プログラム。