JP6270377B2

JP6270377B2 - 画像形成装置

Info

Publication number: JP6270377B2
Application number: JP2013175574A
Authority: JP
Inventors: 秀憲東
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2013-08-27
Filing date: 2013-08-27
Publication date: 2018-01-31
Anticipated expiration: 2033-08-27
Also published as: CN104427178B; US20150062613A1; CN104427178A; JP2015044307A

Description

本発明は、画像形成装置及びその制御方法、並びにプログラムに関し、特に、正常なシャットダウン処理を行うことができなかった場合に、不揮発性主記憶メモリ上に保持された機密データの漏洩を防止するための制御技術に関する。

近年、不揮発性メモリの普及に伴い、不揮発性メモリを主記憶メモリとして備える画像形成装置が増加しつつある。このような画像形成装置では、電源が遮断された状態であってもデータを主記憶メモリに保持し続けることができる。そのため、電源投入時に補助記憶装置に格納されたプログラムやデータを、主記憶メモリ上に展開することが不要となり、より短時間で画像形成装置を起動することが可能となる。

従来の揮発性メモリを主記憶メモリとした場合、電源が遮断されればメモリの内容は消失するため、正常なシャットダウン処理を行うことができなかった場合における主記憶メモリ上のデータ保護について、考慮する必要がなかった。

しかしながら、不揮発性メモリの場合には、電源が遮断されても当該メモリの内容が消失しないため、電源遮断時における主記憶メモリ上のデータ保護について考慮することが要求されている。例えば、特許文献１では、残った機密データを再起動時に消去し、また、不正操作が行われた場合は機密データの消去を行い、データを不正に取り出すことができないよう制御することで、安全性を高める技術動向がある。

特開２００３−１５０３６０号公報

ところで、画像形成装置の電源ケーブルの断裂や、電源ケーブルに引っかかってコンセントを抜かれることによって、ソフトウェアの介在なしに突然と電源が断たれることが起きうる。また、停電時にもソフトウェアの介在なしに突然と電源が断たれてしまう。更には、ソフトウェアによってシャットダウン処理が行われるものの、処理の途中でソフトウェアがハングアップする可能性もあり、このような場合には所定時間の経過後、ハードウェアによって強制的に電源を断つのが一般的である。

不揮発性メモリを主記憶メモリとして備えた画像形成装置が、このようなケースで正常なシャットダウン処理を行うことができなかった場合、次回の起動時には主記憶メモリ上に電源が絶たれる前のデータが散在した状態で画像形成装置が起動する。起動後も、主記憶メモリ上には電源が絶たれる前のデータが散在しているため、悪意を持ったプログラムが実行されてしまうと、主記憶メモリ上のデータが漏洩する可能性がある。

特許文献１に開示された技術は、受信したデータを機密であるか否か判断し、機密データであると判断したものは再起動時に消去処理を行うものである。そのため、主記憶メモリ上のデータが機密データであるか否か判断しなければならず、処理が複雑になってしまう。また、例えば停電等によってシャットダウン処理を正常に行えなかった場合、主記憶メモリ上のデータは停電前の状態で保持されており、機密データが漏洩する可能性を残すこととなってしまう。

本発明は、上記問題に鑑みて成されたものであり、不揮発性メモリを主記憶メモリとして備えた画像形成装置が正常にシャットダウンなされなかった場合でも、悪意を持ったプログラム等によって、主記憶メモリに保持されたデータの漏洩を防ぐことを目的とする。

上記目的を達成するために、本発明の画像形成装置は、ユーザによる所定の設定を受け付けるユーザインターフェイスである操作部と、前記操作部によって所定のユーザ設定がなされたか否かを電源がＯＮの指示がなされたことに応じて判断する判断手段と、主記憶装置として半導体不揮発性メモリとを備える画像形成装置であって、前記主記憶装置を構成する前記半導体不揮発性メモリをアクセスできる状態にするための初期設定を含む起動処理が開始されることに応じて、前記所定のユーザ設定が、前記判断手段によって前記半導体不揮発性メモリをクリアしてから起動するモードに対応すると判断された場合、前記半導体不揮発性メモリの全領域もしくは一部領域をクリアした後で、前記半導体不揮発性メモリをアクセスできる状態にするための初期設定とは異なる処理であって、前記半導体不揮発性メモリに対してアクセス可能になった状態後の初期化処理を含む起動処理を実行する制御手段を備えることを特徴とする。

本発明によれば、不揮発性メモリを主記憶メモリとして備えた画像形成装置が正常にシャットダウンなされなかった場合でも、主記憶メモリに保持された機密データの漏洩を防止することができる。

本発明の第１の実施形態に係る画像形成装置の概略構成を示すブロック図である。図１におけるコントローラの概略構成を示すブロック図である。図１の画像形成装置における起動および終了処理の流れを示すフローチャートである。本発明の第２の実施形態における起動処理および終了処理の流れを示すフローチャートである。

以下、本発明の実施の形態を図面を参照して詳細に説明する。

［第１の実施形態］
図１は、本発明の第１の実施形態に係る画像形成装置の概略構成を示すブロック図である。

画像形成装置１は以下から構成される。

スキャナ装置２は、原稿から光学的に画像を読み取ってデジタル画像に変換する。プリンタ装置４は、デジタル画像を紙デバイスに出力する。操作部５は、画像形成装置１の操作をするための操作部である。なお、操作部５には表示部も含まれる。補助記憶装置６は、ハードディスクドライブ（ＨＤＤ）等で構成され、デジタル画像や制御プログラム等を記憶する。電源部７は、スキャナ装置２とプリンタ装置４とコントローラ３への電源供給を制御する。電源スイッチ８は、画像形成装置１をＯＮ／ＯＦＦするためのスイッチである。

コントローラ３は、上述した各部と接続され、これらに指示を出すことにより、画像形成装置上でジョブを実行することができる。

画像形成装置１は、ＬＡＮ１０経由でコンピュータ９からデジタル画像の入出力、ジョブの発行や機器の指示等も実施することが可能である。ＬＡＮ１０とコントローラ３は、ＬＡＮＩ／Ｆ２０８によって接続される。

スキャナ装置２は、原稿束を自動的に逐次入れ替えることが可能な原稿給紙ユニット２１と、原稿を光学スキャンしてデジタル画像に変換することが可能なスキャナユニット２２から成り、変換された画像データはコントローラ３に送信される。

プリンタ装置４は、給紙した紙に画像データを印刷するためのマーキングユニット４１と、紙束から一枚ずつ逐次給紙可能な給紙ユニット４２と、印刷後の紙を排紙するための排紙ユニット４３から成る。

図２は、図１におけるコントローラ３の概略構成を示すブロック図である。

コントローラ３は、メインボード２００とサブボード２２０から構成される。

メインボード２００は、いわゆる汎用的なＣＰＵシステムであり、以下から構成される。ＣＰＵ２０１は、ボード全体を制御する。ブートＲＯＭ２０２は、ブートプログラムを記憶する。メモリ２０３は、ＣＰＵ２０１がワークメモリとして使用するメモリである。メモリ２０３は、不揮発性メモリであり、ＭＲＡＭなどで構成される。

バスコントローラ２０４は、外部バスとのブリッジ機能を持つ。不揮発性メモリ２０５は、電源が遮断された場合でも、保持しているデータが消えないメモリである。ディスクコントローラ２０６は、フラッシュディスク２０７と補助記憶装置６を制御する。フラッシュディスク２０７は、ＳＳＤ等の半導体デバイスで構成された比較的小容量なストレージ装置である。ＬＡＮＩ／Ｆ２０８は、外部とネットワーク接続するためのインターフェイスである。

メインボード２００には、外部に操作部５と補助記憶装置６等が接続される。

サブボード２２０は、比較的小さな汎用ＣＰＵシステムと画像処理ハードウェアを備え、以下から構成される。ＣＰＵ２２１は、ボード全体を制御する。メモリ２２３は、ＣＰＵ２２１がワークメモリとして使用するメモリである。メモリ２２３は、不揮発性メモリであり、ＭＲＡＭなどで構成される。

バスコントローラ２２４は、外部バスとのブリッジ機能を持つ。不揮発性メモリ２２５は、電源が遮断された場合でも、保持しているデータが消えないメモリである。画像処理プロセッサ２２７は、リアルタイムデジタル画像処理を実施する。デバイスコントローラ２２６は、プリンタ装置４とスキャナ装置２に接続され、これらを制御する。

なお、ＣＰＵ２０１、ＣＰＵ２２１等にはチップセット、バスブリッジ、クロックジェネレータ等のＣＰＵ周辺ハードウェアが多数含まれているが、それらの記載については省略する。また、図示例の構成に限定されるものではない。

次に、コントローラ３の動作について、紙媒体に画像複写（コピー）する場合を例に説明する。

ユーザが操作部５から画像複写を指示すると、ＣＰＵ２０１がＣＰＵ２２１を介してスキャナ装置２に画像読み取り命令を送る。スキャナ装置２は、紙原稿を光学スキャンしてデジタル画像データに変換してデバイスコントローラ２２６を介して画像処理プロセッサ２２７に入力する。画像処理プロセッサ２２７は、ＣＰＵ２２１を介してメモリ２２３にＤＭＡ転送を行い、メモリ２２３にデジタル画像データを一時保存する。

ＣＰＵ２０１は、デジタル画像データがメモリ２２３に一定量もしくは全て入ったことを確認すると、ＣＰＵ２２１を介してプリンタ装置４に画像出力指示を出す。ＣＰＵ２２１は、画像処理プロセッサ２２７にメモリ２２３の画像データの位置を教える。そして、プリンタ装置４からの同期信号に従ってメモリ２２３上の画像データは画像処理プロセッサ２２７とデバイスコントローラ２２６を介してプリンタ装置４に送信され、プリンタ装置４にて紙媒体にデジタル画像データが印刷される。

複数部を印刷する場合、ＣＰＵ２０１がメモリ２２３内の画像データを補助記憶装置６に対して保存を行い、２部目以降は、スキャナ装置２から画像が転送されることなくプリンタ装置４に画像を送ることが可能である。

ＣＰＵ２０１，２２１がワークメモリとして使用するメモリ２０３，２２３について説明する。

画像形成装置を含む情報処理装置では、メモリ２０３，２２３には、アクセス速度、容量、信頼性といった観点で、長らくＤＲＡＭ（ダイナミックＲＡＭ）が主流で用いられてきた。

しかしながら、画像形成装置の電源を切ると、ワークメモリであるＤＲＡＭに残っていたデータはすべて消えてしまう。一方、アクセス速度と信頼性（書き換え回数の制限）とメモリセル面積の観点で、不揮発メモリであるフラッシュメモリを、ワークメモリとして用いることはこれまで盛んに行われていなかった。近年、アクセス速度と信頼性（書き換え回数の制限）とメモリセル面積を克服するメモリＬＳＩとしてＭＲＡＭが挙げられる。ワークメモリがＤＲＡＭからＭＲＡＭに替わった場合、電源を切ってもメインメモリにデータが残っているため、電源投入時に補助記憶装置６等からプログラムやデータをロードする処理が不要となり、起動時間を短縮することが可能となる。

図３は、図１の画像形成装置１における起動および終了処理の流れを示すフローチャートである。本処理は、特に記載がない場合は原則としてコントローラ３により実行される処理である。

画像形成装置１の電源スイッチ８がＯＮされると（ステップＳ３０１）、ブートＲＯＭ２０２に格納された起動プログラムによって第１の起動処理がなされる（ステップＳ３０２）。第１の起動処理では、主記憶メモリであるメモリ２０３，２２３にアクセスできる状態までの初期設定が行われる。その後、正常終了フラグの有無を確認し（ステップＳ３０３）、前回のシャットダウンが正常に行われたかどうか判定が行われる（ステップＳ３０４）。なお、前回のシャットダウンが正常に行われたか否かの判断は、例えば正常終了フラグ等を利用して行うようにしてもよいが、どんな構成であってもよい。

前回シャットダウンが正常に行われなかったと判断した場合（ステップＳ３０４でＮＯ）、ＣＰＵ２０１，２２１は、ＭＲＡＭであるメモリ２０３，２２３の内容をリフレッシュし（ステップＳ３０５）、第２の起動処理が実行される（ステップＳ３０６）。リフレッシュするＭＲＡＭの領域については、ヒープ領域のみを想定しているが、ＭＲＡＭの全領域であってもよい。ヒープ領域のみの場合、補助記憶装置６等からプログラムをロードする処理が不要となり、ＭＲＡＭの全領域をリフレッシュした場合と比較して、起動に要する時間が短縮される。

ステップＳ３０４で前回シャットダウンが正常に行われたと判断した場合には（ステップＳ３０４でＹＥＳ）、ＭＲＡＭをリフレッシュすることなく、第２の起動処理が行われる（ステップＳ３０６）。第２の起動処理は、メモリ２０３，２２３にアクセス可能になった状態後の初期化設定である。

以上がブートＲＯＭ２０２に格納された起動プログラムによってなされる処理であり、ここからはＯＳやアプリケーションによってなされる処理であることを想定している。

画像形成装置１の起動が完了し（ステップＳ３０７）、各種入力を受け付けることが可能な状態となる。その後、例えば突然コンセントが抜かれたり、停電により電源切断が起きなかった場合は（ステップＳ３０８でＮＯ）、ＣＰＵ２０１がユーザによる電源オフ操作を監視する（ステップＳ３０９）。そして、電源オフ操作がなされたと判断した場合には、各種終了処理が行われる（ステップＳ３１０）。各種終了処理の中には、ＭＲＡＭであるメモリ２０３，２２３の終了処理が含まれており、例えば漏洩を防ぎたい重要なデータのクリアなどを想定している。そして、シャットダウン処理の終了後、次回起動時に確認可能な正常にシャットダウン処理が行われたことを意味するフラグ（正常終了フラグ）を立てて（ステップＳ３１１）、画像形成装置１は電源オフ状態となる（ステップＳ３１２）。

一方、各種入力を受け付けることが可能な状態となったものの、突然コンセントが抜かれたり、停電による電源切断が起こった場合、後続の正常なシャットダウン処理を行うことは不可能であり、電源オフ状態（ステップＳ３１２）となってしまう。

上記第１の実施形態によれば、画像形成装置１の起動時に、シャットダウンが正常になされなかったと判断された場合（ステップＳ３０４でＮＯ）、主記憶装置であるメモリ２０３，２２３の全領域もしくは一部領域をリフレッシュして起動する。これにより、不揮発性メモリを主記憶メモリとして備えた画像形成装置が正常にシャットダウンなされなかった場合でも、主記憶メモリに保持された機密データの漏洩を防止することができる。

［第２の実施形態］
本発明の第２の実施の形態では、図１、図２に示す構成が上記第１の実施の形態と同じであり、第１の実施の形態と同様の部分については、同一の符号を用いてその説明を省略する。以下に、上記第１の実施の形態と異なる点のみを説明する。

図４は、本発明の第２の実施形態における起動処理および終了処理の流れを示すフローチャートである。本処理は、特に記載がない場合は原則としてコントローラ３にて実行される処理である。

画像形成装置１の電源スイッチ８がＯＮされると（ステップＳ４０１）、ブートＲＯＭ２０２に格納された起動プログラムによって第１の起動処理がなされる（ステップＳ４０２）。第１の起動処理では、主記憶メモリであるメモリ２０３，２２３にアクセスできる状態までの初期設定が行わる。その後、ユーザによる設定の確認が行われる（ステップＳ４０３）。強制的にリフレッシュするモードが設定されていると判断した場合（ステップＳ４０４でＹＥＳ）、ＣＰＵ２０１，２２１は、ＭＲＡＭであるメモリ２０３，２２３の内容をリフレッシュし（ステップＳ４０５）、第２の起動処理が実行される（ステップＳ４０６）。ここでは、ＭＲＡＭの全領域をリフレッシュすることを想定しているが、ＭＲＡＭの一部領域であってもよい。ＭＲＡＭの一部領域のみの場合、補助記憶装置６等から一部のプログラムや一部のデータをロードする処理が不要となり、ＭＲＡＭの全領域をリフレッシュした場合と比較して、起動に要する時間が短縮される。また、ユーザによるユーザ設定を受け付けるユーザインターフェイスは操作部５であり、ユーザが操作部５に対して所定のユーザ設定を行うことで強制的にリフレッシュするモードを設定することが可能である。

ステップＳ４０４で強制的にリフレッシュするモードが設定されていないと判断した場合（ステップＳ４０４でＮＯ）、ＭＲＡＭをリフレッシュすることなく、第２の起動処理が行われる（ステップＳ４０６）。第２の起動処理は、メモリ２０３，２２３にアクセス可能になった状態後の初期化設定である。

図には記載されていないが、第２の起動処理が実行される前に、図３のステップＳ３０３の正常終了フラグの確認を行い、前回シャットダウンが正常に行われてなかった場合は、ＭＲＡＭのリフレッシュ（ステップＳ３０５）を行なってもよい。

画像形成装置１の起動が完了し（ステップＳ４０７）、各種入力を受け付けることが可能な状態となる。その後、例えば、突然コンセントが抜かれたり、停電により電源切断が起きなかった場合は（ステップＳ４０８でＮＯ）、ＣＰＵ２０１がユーザによる電源オフ操作を監視する（ステップＳ４０９）。そして、電源オフ操作がなされたと判断した場合には、各種終了処理が行われる（ステップＳ４１０）。各種終了処理の中には、ＭＲＡＭであるメモリ２０３，２２３の終了処理が含まれており、例えば漏洩を防ぎたい重要なデータのクリアなどを想定している。そして、シャットダウン処理の終了後、画像形成装置１は電源オフ状態となる（ステップＳ４１１）。

一方、各種入力を受け付けることが可能な状態となったものの、突然コンセントが抜かれたり、停電による電源切断が起こった場合、後続の正常なシャットダウン処理を行うことは不可能であり、電源オフ状態（ステップＳ４１１）となってしまう。

上記第２の実施形態によれば、画像形成装置１の起動時、主記憶装置をリフレッシュしてから起動するモードであると判断された場合、主記憶装置であるメモリ２０３，２２３の全領域もしくは一部領域をリフレッシュして起動する。これにより、不揮発性メモリを主記憶メモリとして備えた画像形成装置が正常にシャットダウンなされなかった場合でも、主記憶メモリに保持された機密データの漏洩を防止することができる。また、前回のシャットダウンの正常終了／異常終了に関係なく、主記憶メモリの全内容をクリアして起動するようなモードを設けることで高いセキュリティを要する環境に画像形成装置を適用することが可能となる。

上記第１及び第２の実施形態では、図４のステップＳ４０９でユーザによる電源オフ操作の有無を判定した（ステップＳ３０９，Ｓ４０９）。ユーザによる操作以外としては、タイマーやネットワーク経由によっても電源オフのリクエストを受けた場合であってもよい。

また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。

１画像形成装置
３コントローラ
５操作部
６補助記憶装置
８電源スイッチ
２００メインボード
２２０サブボード
２０１，２２１ＣＰＵ
２０２ブートＲＯＭ
２０３，２２３メモリ（ＭＲＡＭ）

Claims

ユーザによる所定の設定を受け付けるユーザインターフェイスである操作部と、前記操作部によって所定のユーザ設定がなされたか否かを電源がＯＮの指示がなされたことに応じて判断する判断手段と、主記憶装置として半導体不揮発性メモリとを備える画像形成装置であって、
前記主記憶装置を構成する前記半導体不揮発性メモリをアクセスできる状態にするための初期設定を含む起動処理が開始されることに応じて、前記所定のユーザ設定が、前記判断手段によって前記半導体不揮発性メモリをクリアしてから起動するモードに対応すると判断された場合、前記半導体不揮発性メモリの全領域もしくは一部領域をクリアした後で、前記半導体不揮発性メモリをアクセスできる状態にするための初期設定とは異なる処理であって、前記半導体不揮発性メモリに対してアクセス可能になった状態後の初期化処理を含む起動処理を実行する制御手段を備えることを特徴とする画像形成装置。
前記制御手段は、前記主記憶装置を構成する前記半導体不揮発性メモリの一部領域であるヒープ領域のみをクリアすることを特徴とする請求項１に記載の画像形成装置。
前記主記憶装置にはＭＲＡＭが含まれることを特徴とする請求項１または２に記載の画像形成装置。
ユーザによる所定の設定を受け付けるユーザインターフェイスである操作部と、前記操作部によって所定のユーザ設定がなされたか否かを電源がＯＮの指示がなされたことに応じて判断する判断手段と、主記憶装置として半導体不揮発性メモリとを備える画像形成装置の制御方法であって、
前記主記憶装置を構成する前記半導体不揮発性メモリをアクセスできる状態にするための初期設定を含む起動処理が開始されることに応じて、前記所定のユーザ設定が、前記判断手段によって前記半導体不揮発性メモリをクリアしてから起動するモードに対応すると判断された場合、前記半導体不揮発性メモリの全領域もしくは一部領域をクリアした後で、前記半導体不揮発性メモリをアクセスできる状態にするための初期設定とは異なる処理であって、前記半導体不揮発性メモリに対してアクセス可能になった状態後の初期化処理を含む起動処理を実行する制御工程を備えることを特徴とする制御方法。
請求項４に記載の制御方法を画像形成装置に実行させるためのコンピュータに読み取り可能なプログラム。