JP6819535B2 - 画像形成装置、画像形成方法及びデータ消去プログラム - Google Patents

Description

本発明は、画像形成装置及び画像形成方法におけるデータ消去に関する。

多機能プリンタや複合機（Ｍｕｌｔｉｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ：ＭＦＰ）といった画像形成装置には、画像データやユーザー情報を格納する記憶部を備えるものがある。画像データやユーザー情報は機密データを含むので、たとえば画像形成装置を古い機種から新しい機種に交換する際には、古い機種の記憶領域に格納されているデータの消去が行われる。このような状況において、ユーザーからデータの消去が確実に行われたことを証明することが求められていた。このような観点から、特許文献１は、データに対して施した無効化処理の履歴を記憶し、データを無効化した旨の情報の提示及び証明を可能とする技術を提案している。この技術では、証明書の発行は、データを消去した日時、データを消去したことを証明する旨の文面、複合機の名称及び製造番号、並びに予め定められたマークを用紙上に印刷することによって行なわれる。特許文献２は、削除実行後のデータ領域が工場出荷時と同等の状態になっていることを、ユーザーに視覚的にわかりやすく提示する技術を提案している。

特開２００５−３１１７１９号公報 特開２０１２−１５５４８８号公報

しかし、上述の技術は、いずれも記憶領域の全てのデータを消去することができないという本質的な問題を有している。すなわち、特許文献１は、データの消去後において無効化処理の履歴を記憶する領域を消去せずに確保する必要があり、特許文献２は、工場出荷時の状態をデータ消去の対象から外す必要がある。

本発明は、このような状況に鑑みてなされたものであり、不揮発性の記憶領域の全ての領域のデータを消去しつつデータ消去の証明を可能とする技術を提供することを目的とする。

本発明の画像形成装置は、画像形成媒体上に画像を形成する画像形成部と、前記画像の形成のために使用されるデータを記憶する不揮発性の記憶部と、第１のデータで第１の上書き処理を実行し、前記第１のデータと相違する第２のデータで第１の残存セクタを残して第２の上書き処理を実行し、前記第１のデータ及び前記第２のデータのいずれとも相違する第３のデータで前記第１の残存セクタに隣接する少なくとも１つのセクタである第２の残存セクタを残して第３の上書き処理を実行するデータ消去部と、前記第１の残存セクタと、前記第２の残存セクタと、前記第３の上書き処理が実行されたセクタであって、前記第２の残存セクタに隣接する少なくとも１つのセクタである第３の残存セクタとから読み出したデータを使用して前記記憶部のデータ消去が完了した旨を証明する画像を出力するデータ消去証明部とを備える。

本発明の画像形成方法は、画像形成媒体上に画像を形成する画像形成工程と、前記画像の形成のために使用されるデータを不揮発性の記憶部に記憶する記憶工程と、第１のデータで第１の上書き処理を実行し、前記第１のデータと相違する第２のデータで第１の残存セクタを残して第２の上書き処理を実行し、前記第１のデータ及び前記第２のデータのいずれとも相違する第３のデータで前記第１の残存セクタに隣接する少なくとも１つのセクタである第２の残存セクタを残して第３の上書き処理を実行するデータ消去工程と、前記第１の残存セクタと、前記第２の残存セクタと、前記第３の上書き処理が実行されたセクタであって、前記第２の残存セクタに隣接する少なくとも１つのセクタである第３の残存セクタとから読み出したデータを使用して前記記憶部のデータ消去が完了した旨を証明する画像を生成するデータ消去証明工程とを備える。

本発明のデータ消去プログラムは、画像形成媒体上に画像を形成する画像形成部、前記画像の形成のために使用されるデータを記憶する不揮発性の記憶部、第１のデータで第１の上書き処理を実行し、前記第１のデータと相違する第２のデータで第１の残存セクタを残して第２の上書き処理を実行し、前記第１のデータ及び前記第２のデータのいずれとも相違する第３のデータで前記第１の残存セクタに隣接する少なくとも１つのセクタである第２の残存セクタを残して第３の上書き処理を実行するデータ消去部、及び前記第１の残存セクタと、前記第２の残存セクタと、前記第３の上書き処理が実行されたセクタであって、前記第２の残存セクタに隣接する少なくとも１つのセクタである第３の残存セクタとから読み出したデータを使用して前記記憶部のデータ消去が完了した旨を証明する画像を出力するデータ消去証明部として画像形成装置を機能させる。

本発明によれば、不揮発性の記憶領域の全ての領域のデータを消去しつつデータ消去の証明を可能とする技術を提供することができる。

本発明の一実施形態に係る画像形成装置１００の機能構成を示すブロックダイアグラムである。 一実施形態に係るデータ消去処理の内容を示すフローチャートである。 一実施形態に係るデータ上書き処理の内容を示すフローチャートである。 一実施形態に係るデータ上書き処理の内容を示す説明図である。 一実施形態に係るデータ消去証明書を示す説明図である。

以下、本発明を実施するための形態（以下、「実施形態」という）を、図面を参照して説明する。

図１は、本発明の一実施形態に係る画像形成装置１００の機能構成を示すブロックダイアグラムである。画像形成装置１００は、制御部１１０と、画像形成部１２０と、操作表示部１３０と、記憶部１４０と、外部インターフェース部（外部Ｉ／Ｆ部とも呼ばれる。）１５０とを備えている。外部Ｉ／Ｆ部１５０は、通信インターフェース機能を有するとともに、外部記憶装置（たとえばＵＳＢメモリ（図示略））にも接続可能である。

制御部１１０は、データ消去部１１１と、データ消去証明部１１２とを備えている。データ消去部１１１及びデータ消去証明部１１２の機能については後述する。制御部１０は、ＲＡＭやＲＯＭ等の主記憶手段、及びＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等の制御手段を備えている。また、制御部１０は、各種Ｉ／Ｏ、ＵＳＢ（ユニバーサル・シリアル・バス）、バス、その他ハードウェア等のインターフェースに関連するコントローラ機能を備え、画像形成装置１００全体を制御する。

画像形成部１２０は、画像読取部１２１と、画像処理部１２２と、画像出力部１２３とを備えている。画像読取部１２１は、原稿から画像を読み取ってスキャンデータを生成する。画像処理部１２２は、印刷設定に従ってスキャンデータを処理して印刷データを生成する。画像出力部１２３は、印刷データに基づいて印刷媒体（画像形成媒体とも呼ばれる。）上に画像を形成する。

操作表示部１３０は、ディスプレイ１３１と、操作処理部１３８とを備えている。ディスプレイ１３１は、タッチパネルとして機能し、様々なメニューを入力画面として表示する。操作処理部１３８は、タッチパネルとして機能するディスプレイ１３１や各種ボタンやスイッチ（図示せず）からユーザーの操作入力を受け付ける。

記憶部１４０は、非一時的な記録媒体であるハードディスクドライブやフラッシュメモリー等からなる記憶装置で、制御部１１０が実行する処理の制御プログラムやデータを記憶する。記憶部１４０は、ロジカルブロックアドレッシング（Ｌｏｇｉｃａｌ Ｂｌｏｃｋ Ａｄｄｒｅｓｓｉｎｇ：ＬＢＡ）でデータ位置が管理されている。ＬＢＡは、第１セクタから最終セクタの全セクタに割り当てられた一意の通し番号である。

データ位置の管理は、必ずしもロジカルブロックアドレッシングの使用に限定されるものではない。ただし、記憶部１４０は、始端のセクタと終端のセクタとの間で連続しているアドレスで管理される複数のセクタを有する不揮発性の記憶部であることが好ましい。

記憶部１４０は、さらに、アドレス帳１４１と、ボックス用記憶領域１４２と、ユーザー情報記憶領域１４３とを備えている。本実施形態では、ユーザー情報記憶領域１４３には、各ユーザーの認証用ユーザー情報（ユーザー名とパスワード）が記録されている。ボックス用記憶領域１４２には、各ユーザーが利用可能な記憶領域が割り当てられている。ユーザー情報記憶領域１４３には、各ユーザーの認証用パスワードその他の個人情報が記憶され、アドレス帳１４１に記録されているユーザー記録と紐付けられている。このように、記憶部１４０には、複写時の画像データやボックス用記憶領域１４２の画像データ、ユーザー情報といった機密情報を含むデータが画像の形成のために使用されるデータとして記憶されていることが通例である。

図２は、一実施形態に係るデータ消去処理の内容を示すフローチャートである。ステップＳ１００では、ユーザーは、データ消去モードで再起動を実行する。データ消去モードは、予め設定されている手順でシステム管理者等によって起動される。データ消去モードは、ＲＯＭ起動モードとも呼ばれ、記憶部１４０を使用することなく、ワークエリアとしてのＲＡＭを使用して、読み出し専用の記憶部であるＲＯＭ１１３に格納されている制御プログラムで作動するモードである。

ステップＳ２００では、データ消去部１１１は、データ上書き処理を実行する。データ上書き処理では、データ消去部１１１は、０値、１値及びランダム値で順に上書きすることによってデータを完全に消去する。

図３は、一実施形態に係るデータ上書き処理の内容を示すフローチャートである。ステップＳ２１０では、データ消去部１１１は、ＬＢＡの最大値Ｘｍａｘを取得する。最大値Ｘｍａｘは、ＬＢＡの最大値、すなわち最終セクタを特定する番地（番号）である。この例では、最大値Ｘｍａｘは、説明の便宜上１００００番地とする。ＬＢＡの最大値Ｘｍａｘは、たとえばＲＥＡＤ ＭＡＸ ＮＡＴＩＶＥ ＡＤＤＲＥＳＳコマンドを使用することによって取得可能である。最終セクタは、データ上書き処理の始端のセクタとしてもよいし、データ上書き処理の終端のセクタとしてもよい。

図４は、一実施形態に係るデータ上書き処理の内容を示す説明図である。図４（ａ）は、オール０、すなわち全てのデータを０値として上書き処理が実行された記憶部１４０を示している。ステップＳ２２０では、データ消去部１１１は、第１セクタ（１番地）から最終セクタ（１００００番地）まで全てのセクタのビットに０値を上書きする（第１の上書き処理）。すなわち、データ消去部１１１は、始端のセクタから終端のセクタの方向に連続しているアドレスの順に複数のセクタに上書き処理を実行するデータ消去作動モードで作動する。

記憶部１４０は、相違する２つの物理的状態（磁気的状態）を利用し、各ビットに０値又は１値を記憶する。データ消去部１１１は、２つの物理的状態に対応する固定値であるデータ０及びデータ１（１６進数表記でＦ）を使用して上書き処理することによって効果的なデータ消去を実現している。データ０は、第１のデータとも呼ばれる。データ１は、第２のデータとも呼ばれる。

ステップＳ２３０では、データ消去部１１１は、第１セクタから最終セクタよりも１つ前の番地（Ｘｍａｘ−１）のセクタ（９９９９番地）まで全てのセクタのビットに１値を上書きする（第２の上書き処理）。図４（ｂ）は、オール１として上書き処理が実行された記憶部１４０を示している。図４（ｂ）には、１６進数の「Ｆ」として表記されている。これにより、最終セクタ（１００００番地）には、データ０での上書き処理（ステップＳ２２０）の履歴が残される。最終セクタ（１００００番地）は、第１の残存セクタとも呼ばれる。

ステップＳ２４０では、データ消去部１１１は、第１セクタから最終セクタよりも２つ前の番地（Ｘｍａｘ−２）のセクタ（９９９８番地）まで全てのセクタのビットにランダム値を上書きする（第３の上書き処理）。図４（ｃ）は、ランダム値として上書き処理が実行された記憶部１４０を１６進数で示している。ランダム値は、第３のデータとも呼ばれる。

これにより、記憶部１４０には、１００００番地のセクタのデータ０での上書き処理（ステップＳ２２０）に加えて、１００００番地に隣接する９９９９番地のセクタ（第２の残存セクタとも呼ばれる。）のデータ１での上書き処理（ステップＳ２３０）の履歴が残される。さらに、記憶部１４０の第１セクタから最終セクタよりも２つ前の番地（Ｘｍａｘ−２）の９９９８番地のセクタ（第３の残存セクタとも呼ばれる。）まで全てのセクタのビットにランダム値が上書き処理された履歴が残される。制御部１１０は、ランダム値で上書き処理の完了に応じて処理をステップＳ３００に進める。

なお、制御部１１０は、画像形成装置１００の実運用において、記憶部１４０の９９９８番地から１００００番地のセクタを不使用領域としてアドレスを管理することが好ましい。具体的には、制御部１１０は、たとえばフォーマット直後に記憶部１４０の９９９８番地から１００００番地のセクタに予め設定されているデータ（たとえばランダム値）を書き込むことによって不使用領域とすることができる。また、第１乃至第３の残存セクタは、必ずしも１つのセクタである必要はなく、複数であってもよい。すなわち、第１乃至第３の残存セクタは、それぞれ少なくとも１つのセクタであればよい。

ステップＳ３００では、制御部１１０は、通常の再起動処理を実行する。制御部１１０は、通常の再起動を開始し、記憶部１４０のデータ読み込みを開始する。制御部１１０は、消去完了パターンの検知に応じて処理をステップＳ５００に進め、消去完了パターンの非検知に応じて通常の再起動を継続する（ステップＳ４００）。消去完了パターンは、上書き処理によるデータ消去が完了したことを示すパターンであり、たとえば９９９９番地のセクタのデータ（全て「Ｆ」）及び１００００番地のセクタのデータ（全て「０」）としてもよい。

ステップＳ５００では、データ消去証明部１１２は、ＲＯＭ起動モードでの起動を開始する。ＲＯＭ１１３には、ＲＯＭ起動モードで作動するための制御プログラムとともに記憶部１４０の仕様や制御方法に関するデータも記憶されている。

ステップＳ６００では、データ消去証明部１１２は、操作表示部１３０のディスプレイ１３１にデータ消去証明が必要か否かをシステム管理者等に問い合わせる画面（図示略）を表示させる。システム管理者等が操作処理部１３８を介してデータ消去証明が不要である旨を入力した場合には、処理が終了され、データ消去証明が必要である旨が入力された場合には、処理がステップＳ７００に進められる。

図５は、一実施形態に係るデータ消去証明書Ｐを示す説明図である。データ消去証明書Ｐは、画像形成装置１００の書き込み可能な不揮発性の記憶装置の全て（この例では、記憶部１４０）からオフィスで書き込まれたデータが消去された旨を示している。

ステップＳ７００では、データ消去証明部１１２は、記憶部１４０の９９９８番地から１００００番地までのセクタからデータを読み込む。９９９８番地から１００００番地までのセクタのデータは、データ消去証明書Ｐの生成に利用される。１００００番地のセクタのデータ（０値）は、１回目の上書き処理の内容を示している。９９９９番地のセクタのデータ（１０値）は、２回目の上書き処理の内容を示している。９９９８番地のセクタのデータ（ランダム値）は、３回目の上書き処理の内容を示している。

ステップＳ８００では、データ消去証明部１１２は、データ消去証明書Ｐの画像を生成し、その画像を操作表示部１３０のディスプレイ１３１に印刷アイコン（図示略）とともに表示（画像の出力の一態様）する。データ消去証明部１１２は、印刷アイコン（図示略）へのタッチに応じてデータ消去証明書Ｐの印刷出力（画像の出力の一態様）を実行することもできる。

データ消去証明書Ｐは、さらに、印刷日時や記憶部１４０の仕様をテキスト領域Ｔ１に表示し、再利用のための手順をテキスト領域Ｔ２に表示している。制御部１１０は、再利用のための予め設定されている手順を実行するまでは、画像形成装置１００の利用を制限し、記憶部１４０を使用しない作動モードとすることができる。これにより、システム管理者等以外のユーザーが不用意に画像形成装置１００を使用し、データ消去後に記憶部１４０に不用意に機密データを書き込んでしまうという問題を抑制することができる。

なお、記憶部１４０の仕様は、ＲＯＭ１１３から読み出されたデータである。印刷日時は、たとえば画像形成装置１００のクロックからの日時情報を使用し、消去完了パターンが確認された日時を示すことになる。

このように、一実施形態に係る画像形成装置１００によれば、履歴情報や状況情報などを保存するための不揮発領域が不要なので、他の不揮発性メモリを使用することなく、記憶部１４０の全ての領域のデータを消去しつつ、記憶部１４０を使用してデータ消去の証明を可能とすることができる。これにより、画像形成装置１００は、不揮発性メモリの全領域をデータ消去対象としつつデータ消去の証明を実現することができる。

本発明は、上記各実施形態だけでなく、以下のような変形例でも実施することができる。

Ｃ．変形例
変形例１：上記実施形態では、データ消去用の制御プログラム（データ消去プログラムとも呼ばれる。）が画像形成装置１００の内部に備えられているＲＯＭに記憶されているが、必ずしも画像形成装置１００の内部に備えられている必要はない。具体的には、たとえばＵＳＢメモリ（図示略）に制御プログラムを記憶して外部Ｉ／Ｆ部１５０に装着して起動することによって、画像形成装置１００をデータ消去用の作動モードで作動させるようにしてもよい。

変形例２：上記実施形態では、第１乃至第３の残存セクタには、データ上書き処理で使用されたデータが履歴として残されているが、必ずしもデータ上書き処理で使用されたデータである必要はない。具体的には、たとえばデータ上書き処理で使用されたデータと関連する関連データでもよい。関連データには、たとえばデータ上書き処理で使用されたデータのハッシュ値やＡＮＤ値やＯＲ値でもよい。

変形例３：上記実施形態では、上書き回数は３回であり、上書きデータはデータ０，データ１及びランダム値の順序であるが、上書き回数及び上書きデータの順序・内容は、これに限定されない。

１００ 画像形成装置
１１０ ＣＰＵ
１１１ データ消去部
１１２ データ消去証明部
１２０ 画像形成部
１２１ 画像読取部
１２２ 画像処理部
１２３ 画像出力部
１３０ 操作表示部
１３１ ディスプレイ
１４０ 記憶部
１４１ アドレス帳
１４２ ボックス用記憶領域
１４３ ユーザー情報記憶領域
１５０ 外部Ｉ／Ｆ部

Claims (8)

1. 画像形成媒体上に画像を形成する画像形成部と、
   前記画像の形成のために使用されるデータを記憶する不揮発性の記憶部と、
   第１のデータで第１の上書き処理を実行し、前記第１のデータと相違する第２のデータで第１の残存セクタを残して第２の上書き処理を実行し、前記第１のデータ及び前記第２のデータのいずれとも相違する第３のデータで前記第１の残存セクタに隣接する少なくとも１つのセクタである第２の残存セクタを残して第３の上書き処理を実行するデータ消去部と、
   前記第１の残存セクタと、前記第２の残存セクタと、前記第３の上書き処理が実行されたセクタであって、前記第２の残存セクタに隣接する少なくとも１つのセクタである第３の残存セクタとから読み出したデータを使用して前記記憶部のデータ消去が完了した旨を証明する画像を出力するデータ消去証明部と、
   を備える画像形成装置。
2. 請求項１記載の画像形成装置であって、
   前記記憶部は、始端のセクタと終端のセクタとの間で連続しているアドレスで管理される複数のセクタを有し、
   前記データ消去部は、前記始端のセクタから前記終端のセクタの方向に前記連続しているアドレスの順に前記複数のセクタに上書き処理を実行するデータ消去作動モードで、前記第１の上書き処理、前記第２の上書き処理及び前記第３の上書き処理を実行する画像形成装置。
3. 請求項２記載の画像形成装置であって、
   前記データ消去部は、前記始端のセクタから前記終端のセクタまで前記第１の上書き処理を実行し、前記始端のセクタから前記終端のセクタの方向に前記終端のセクタを含む少なくとも１つのセクタである前記第１の残存セクタを残して前記第２の上書き処理を実行し、前記始端のセクタから前記終端のセクタの方向に前記第１の残存セクタに隣接する少なくとも１つのセクタである前記第２の残存セクタを残して前記第３の上書き処理を実行する画像形成装置。
4. 請求項１乃至３項のいずれか１項に記載の画像形成装置であって、
   前記記憶部は、相違する２つの物理的状態でデータを記憶し、
   前記第１のデータ、前記第２のデータ及び前記第３のデータのうちの２つのデータは、それぞれ前記２つの物理的状態に対応する固定値である画像形成装置。
5. 請求項１乃至４項のいずれか１項に記載の画像形成装置であって、さらに、
   前記画像形成装置を前記画像形成部、前記記憶部、前記データ消去部及び前記データ消去証明部として機能させるためのデータ消去プログラムを記憶する読み出し専用の記憶部を備える画像形成装置。
6. 請求項１乃至４項のいずれか１項に記載の画像形成装置であって、さらに、
   前記画像形成装置を前記画像形成部、前記記憶部、前記データ消去部及び前記データ消去証明部として機能させるためのデータ消去プログラムを読み出す外部インターフェース部と、
   前記読み出されたデータ消去プログラムを実行することによって、前記画像形成装置を前記画像形成部、前記記憶部、前記データ消去部及び前記データ消去証明部として機能させる制御部と、
   を備える画像形成装置。
7. 画像形成媒体上に画像を形成する画像形成工程と、
   前記画像の形成のために使用されるデータを不揮発性の記憶部に記憶する記憶工程と、
   第１のデータで第１の上書き処理を実行し、前記第１のデータと相違する第２のデータで第１の残存セクタを残して第２の上書き処理を実行し、前記第１のデータ及び前記第２のデータのいずれとも相違する第３のデータで前記第１の残存セクタに隣接する少なくとも１つのセクタである第２の残存セクタを残して第３の上書き処理を実行するデータ消去工程と、
   前記第１の残存セクタと、前記第２の残存セクタと、前記第３の上書き処理が実行されたセクタであって、前記第２の残存セクタに隣接する少なくとも１つのセクタである第３の残存セクタとから読み出したデータを使用して前記記憶部のデータ消去が完了した旨を証明する画像を出力するデータ消去証明工程と、
   を備える画像形成方法。
8. 画像形成媒体上に画像を形成する画像形成部、
   前記画像の形成のために使用されるデータを記憶する不揮発性の記憶部、
   第１のデータで第１の上書き処理を実行し、前記第１のデータと相違する第２のデータで第１の残存セクタを残して第２の上書き処理を実行し、前記第１のデータ及び前記第２のデータのいずれとも相違する第３のデータで前記第１の残存セクタに隣接する少なくとも１つのセクタである第２の残存セクタを残して第３の上書き処理を実行するデータ消去部、及び
   前記第１の残存セクタと、前記第２の残存セクタと、前記第３の上書き処理が実行されたセクタであって、前記第２の残存セクタに隣接する少なくとも１つのセクタである第３の残存セクタとから読み出したデータを使用して前記記憶部のデータ消去が完了した旨を証明する画像を出力するデータ消去証明部として画像形成装置を機能させるデータ消去プログラム。
   
   

Images