JP2006239928A

JP2006239928A - 画像形成装置

Info

Publication number: JP2006239928A
Application number: JP2005055827A
Authority: JP
Inventors: Hironobu Nakai; 宏暢中井
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2005-03-01
Filing date: 2005-03-01
Publication date: 2006-09-14

Abstract

【課題】利便性を損なうことなく第三者の意図的な不正操作に対して、単に操作を禁止するだけにとどまらず、画像形成装置に格納される文書データ自体に対し暗号化によるセキュリティ確保を行う。
【解決手段】画像形成装置の不揮発性メモリに対して文書データを格納する際に、セキュリティレベルを選択して格納処理を開始することにより、文書データに対して選択されたセキュリティレベルに対応した暗号化処理を施した後で、文書データを格納する。
【選択図】図１

Description

本発明は、画像形成装置内に不揮発性メモリを有し、文書データを格納し印字出力することが可能な装置において、格納される文書データのセキュリティ対応を行う方法に関するものである。

画像形成装置は、市場ニーズの高まりから、年を重ねるごとに付加機能が向上し、例えば、近年のディジタル複写機においては、ユーザー毎にＩＤとパスワード等によって管理される不揮発性のメモリ領域（例えば画像形成装置内のハードディスク装置）を設け、スキャナで読み取った原稿を格納し、再出力の際の利便性を向上させたり、コンピュータシステム上のアプリケーションソフトウェアで作成した文書等をプリンタドライバ経由で画像形成装置内のメモリ領域に格納しておき、定型フォーマット出力などのように再出力の利便性を向上させたり、また、これらの格納された複数の文書データを結合させ、一つの文書として、画像形成装置の持つステイプル機能や製本機能などのさまざまなフィニッシング機能を活用した印字出力を行ったりするなどの各種機能の充実が図られている。

このような、画像形成装置内に文書データを格納する装置においては、ＩＤとパスワードの組み合わせによって、ユーザー毎に設けられた格納領域の管理を行い、他のユーザーに対しては文書データの操作を禁止するなどのセキュリティ上の対策を施していた。

又、別の従来例としては、特許文献１及び特許文献２をあげることが出来る。
特開２００３−０２２２１８号公報特開２００２−２３２９７０号公報

しかしながら、近年の情報セキュリティ確保に対するユーザーのニーズは非常に高くなってきており、今までの利便性を損なうことなく第三者の意図的な不正操作に対して、単に操作を禁止するだけにとどまらず、画像形成装置に格納される文書データ自体に対し暗号化を行うなどの対処が求められている。

前記、従来の問題点を解決するために、不揮発性のメモリに、画像ファイル等の文書データを保管可能な画像形成装置において、
・不揮発性メモリのデータ格納領域を複数（最低２以上の領域）の領域に分割する、分割手段。

・複数のセキュリティレベルに対応し暗号強度が異なる、複数の暗号化／復号化手段。

・複数に分割された各々の領域に対して、前記の複数の暗号化／復号化手段を対応づけ、複数に分割された領域を管理することが可能な、管理手段。

・前記の複数の暗号化／復号化のために、複数の暗号化／復号化キー情報を生成する、キー情報生成手段。
を有し、画像形成装置の不揮発性メモリに対して文書データを格納する際に、セキュリティレベルを選択して格納処理を開始することにより、文書データに対して選択されたセキュリティレベルに対応した暗号化処理を施した後で、文書データを格納することにより、現在の画像形成装置の持つ利便性を低下させることなく、文書データ自体の暗号化によるセキュリティ確保が可能となる。

以上詳述したように本発明によれば、不揮発性のメモリに、画像ファイル等の文書データを保管可能な画像形成装置において、不揮発性メモリのデータ格納領域を複数（最低２以上の領域）の領域に分割する、分割手段。複数のセキュリティレベルに対応し暗号強度が異なる、複数の暗号化／復号化手段。複数に分割された各々の領域に対して、前記の複数の暗号化／復号化手段を対応づけ、複数に分割された領域を管理することが可能な、管理手段。前記の複数の暗号化／復号化のために、複数の暗号化／復号化キー情報を生成する、キー情報生成手段を有し、画像形成装置の不揮発性メモリに対して文書データを格納する際に、セキュリティレベルを選択して格納処理を開始することにより、文書データに対して選択されたセキュリティレベルに対応した暗号化処理を施した後で、文書データを格納することにより、現在の画像形成装置の持つ利便性を低下させることなく、文書データ自体の暗号化によるセキュリティ確保が可能となる。

図１は本発明の実施例の画像処理装置内の不揮発性メモリの概略構成を示している。

図１において１０１は不揮発性メモリが使用用途別に分割されて管理されている例を示しており、１０２はフォントデータが格納されるフォント・パーティション、１０３は文書データを格納するＢＯＸ・パーティション、１０４は画像形成装置を動作させるためのプログラムや、その他の画像形成装置がシステム動作を行うに当たって必要なプログラム、データ、もしくは一時的な記憶領域として使用されるシステム。パーティションから構成されている。

１０３のＢＯＸ・パーティションはさらにセキュリティのレベル毎に領域が分割されており、本実施系では、１０５は文書データの暗号化処理を行わずに文書の格納を行う「非セキュリティ・エリア」、１０６は文書データの暗号化は行うが、例えば１６ｂｉｔ暗号化などの暗号強度が低く、暗号化のアルゴリズムも単純である反面、データの暗号化処理と復号化処理にかかる処理時間が短時間で完了できる「低セキュリティ・エリア」、１０７は文書データの暗号強度が、先述の「低セキュリティ・エリア」に比べ高く、例えば２５６ｂｉｔ暗号化などの暗号強度が高く、また暗号化のアルゴリズムも複雑でデータの安全性が高い反面、データの暗号化処理と復号化処理にかかる処理時間が「非セキュリティ・エリア」に比べて長くかる「高セキュリティ・エリア」の３つのエリアに分割されている。

ＢＯＸ・パーティションは、セキュリティレベルによるエリア分割以外にも、１０８に示すように画像形成装置に登録されたユーザー毎にも使用出来る領域が分割されている。

１０９は、本実施系を適用した場合の、あるユーザー（ｕｓｅｒ１）から見た場合のＢＯＸ格納領域とセキュリティレベルの関係をもう少し詳細に記述した物である。１１０はＢＯＸに格納を行う文書データを示しており、文書格納の際に、ユーザーがセキュリティレベルを設定することによって、１１１と１１２に示している文書１および文書２のように、非セキュリティ・エリアに格納が実行されたり、１１３に示している文書３の様に低セキュリティ・エリアに格納が実行されたり、１１４に示している文書４のように高セキュリティ・エリアに格納が実行される事となる。

次に、ＢＯＸパーティションに、セキュリティ・レベル毎の領域を分割して生成するフローについて説明する。図２では画像形成装置内（全ユーザー）で共通、つまりユーザ毎に個別の暗号化／復号化のキー情報を持たずに、単一の機器内で共通のキー情報を元に、セキュリティエリアを生成する場合について説明している。まず、画像形成装置内（全ユーザー）で共通のキー情報を用いて暗号化／復号化の処理を行うため、２０１で処理が開始された後で、２０２でＢＯＸ・パーティションの初期化を行う。本実施系で初期化が必要なのは、装置の運用が開始された後で、暗号化／復号化キーの変更を行った場合には、変更前までに保存されていた文書データ全てに対して、古いキー情報で復号化処理を行い、新しいキー情報で再暗号化を行う必要があるからであるが、別途文書のコンバート手段を用いることによって解決は可能である。２０３で画像形成装置内（全ユーザー）で共通の暗号化／復号化キーの生成を行う。キーを生成するために必要な情報は、例えば画像形成装置のシリアル番号、ネットワークカードの物理的なアドレス情報、画像形成装置内の時計の時刻情報などを元にしても良いし、画像形成装置の機器管理者が直接キー情報を与えても良い。２０３では、複数の暗号化レベルに対応した数分の、暗号化／復号化キーを生成する。図１を例にとると、「低セキュリティ・エリア」用に１６ｂｉｔ長の暗号化／復号化のキー上情報のペア、「高セキュリティ・エリア」用の２５６ｂｉｔ長の暗号化／復号化のキー上情報のペアの都合最大４種類のキー情報が必要となる（暗号化のアルゴリズムによっては暗号化のためのキー情報と復号化のためのキー情報を同一のキー情報で行うことも可能である）。

２０３で画像形成装置内（全ユーザー）で共通の暗号化／復号化キーの生成完了後に、２０４でＢＯＸ・パーティション内で、セキュリティレベル毎にエリア分割を行い、２０５で各セキュリティエリアに対応して暗号化／復号化キーの割り当てを行う。この割り当てに基づいて以後のＢＯＸへの文書格納および参照や印字出力の際には、セキュリティレベルに応じた暗号化／復号化の処理が施されることとなる。以上の処理が完了した時点で２０６に移行し、ＢＯＸ・パーティションの初期化が完了する。

図３は、図２に対して、各ユーザに個別に、暗号化／復号化キーを与える場合の処理フローの例を説明している。３０１にて処理が開始され、３０２で画像形成装置に対してユーザーの新規登録か変更かの選択を行う。ユーザーの新規登録の場合には３０３に処理が移行し、ＩＤ情報とパスワード情報の登録を行う。次に３０４では３０３の登録情報を用いて、ユーザー個別の暗号化と復号化の処理に必要なキー情報の生成を行う。生成されるキー情報としては図２の２０３で説明したものと同様の物であり、そのキー情報がユーザー個別で生成／管理されていると考えて差し支えない。その後、３０５では後述の図４で示す管理テーブルに、ＩＤ、パスワード、暗号化および復号化処理に必要なキー情報の組み合わせの登録を画像形成装置内部で行う。次に、３０６で、新規登録したユーザー専用に割り当てられたＢＯＸの新規生成を行う。これは、図１の１０８で説明した例えば「ｕｓｅｒ１ＢＯＸ」に該当する。その後、３０７では新規に作成／割り当てがなされたＢＯＸに対して、セキュリティ・エリア毎にアリア分割が行われ、３１７で処理が完了となる。

３０２において変更が選択された場合には、さらに３０８で現在有効なＩＤとパスワードか否かをユーザーに入力を行わせ、ＩＤとパスワードが一致した場合には３０９に処理が進み、一致しない場合には、入力されたＩＤとパスワードの組が有効でないと判断し３１２でエラー表示を行って３１７で処理終了となる。３０９に処理が進んだ場合、さらに、パスワードの変更なのか、ＩＤの削除であるかをユーザーに選択させ、パスワードの変更／もしくは更新の場合には３１０でパスワード変更を行い、その後３１１で前述の管理テーブルの内容を更新し（図４の４０２のテーブルの情報のみを更新する）、３１７で処理完了となる。

３０９でＩＤの削除が選択された場合には３１３でＩＤ削除が処理され、次に、３１４で削除されるＩＤに割り当てられているＢＯＸ自体の削除を行う。つまり、文書データが格納されている場合には、文書のオーナーが存在しない事になるため文書データも削除されることを意味している。ただし、ＩＤの削除の前に、文書データを他のユーザーに移管処理を行ったり、クライアントＰＣに書き戻したりする処理を行っても良い。３１４でＢＯＸの削除が完了した後に３１６では管理テーブル上からもＩＤ情報等の管理情報の削除を行い３１７に処理が移行し完了となる。

図４は、図３で説明した管理テーブルの内容をわかりやすく記述した例である。４０１のテーブルにはＩＤ情報が格納され、４０２のテーブルにはＩＤと対になるパスワード情報が格納されている。４０３のテーブルには低セキュリティ・エリア用の暗号キーと復号キー情報が格納されており、４０４のテーブルには高セキュリティ・エリア用の暗号キーと復号キー情報が格納されている。

図５は、本実施系の応用例の一つを示している。あるセキュリティ・エリアのデータ格納領域に文書データが格納されてから、あらかじめ設定された時間が経過、もしくはあらかじめ設定された日時（時刻）、もしくはあらかじめ設定された画像形成装置のアイドル時間が経過した場合、よりセキュリティレベルが高いセキュリティエリアのデータ格納領域に文書データの移動処理を行う。図５の例では５０１で示す文書Ａのデータが「非セキュリティ・エリア」に格納された後、一定時間経過すると、一段階セキュリティレベルが高い「低セキュリティ・エリア」に文書が移動され５０２に示す文書Ａ’に、同じく、５０３で示す文書Ｂのデータが「低セキュリティ・エリア」に格納された後、一定時間経過すると、一段階セキュリティレベルが高い「高セキュリティ・エリア」に文書が移動され５０４に示す文書Ｂ’となる。なお、不図示ではあるが、セキュリティ・エリアをまたいで文書データ移動させるにために、移動前のセキュリティエリアで使用している復号キーで復号後に、移動となるセキュリティエリアで使用している暗号キーを用いて再暗号化を行うなどの処理が必要となる。

図６は、本実施系の応用例の一つを示している。あるセキュリティ・エリアのデータ格納領域に保存されている文書データを、他のセキュリティ・エリアのデータ格納領域に移動もしくは複製させる際、セキュリティレベルの高いデータ格納領域からセキュリティレベルの低いデータ格納領域に対しての操作を禁止する。具体的には、６０２で示す文書データＤをよりセキュリティレベルの高いエリアに移動させ６３０で示す文書データＤ’とすることは許可するが、６０１で示す文書データＣを、セキュリティレベルの低いエリアへ、移動／複製を行う処理を禁止する。

図７は、本実施系の応用例の一つを示している。セキュリティレベルの異なったエリアに格納されている複数の文書データを結合し、新たに文書データを作成する場合に、結合によって新たに作成された結合文書データは結合元の複数の文書データのうち一番高いセキュリティエリアのデータ格納領域に作成する。具体的には、７０１で示す文書Ｅと７０２で示す文書Ｆを結合して、一つの文書データとして新たに作成する場合、この２つの文書はセキュリティレベルが異なっているので、セキュリティレベルが高い７０２で示す文書Ｆが格納されているデータ格納領域に、７０３で示す、文書Ｅ＋Ｆという形で生成を行う。逆に、７０４で示す文書Ｇと７０５で示す文書Ｈを結合させる場合、双方の文書のうちセキュリティレベルの低い７０４で示す文書Ｇが格納されているデータ格納領域に、７０６で示す、文書Ｇ＋Ｈという形での生成は禁止する。

図８は、本実施系の応用例の一つを示している。クライアントＰＣなどでアプリケーションソフトウェアを用いて作成した文書を、専用のデータ暗号化処理が可能なプリンタドライバ等を用いて、画像形成装置のＢＯＸにデータ格納を行った場合、格納されるデータには既にセキュリティのための暗号化処理が施されているため、冗長な暗号化を機器内部で処理する必要は内ので、８０１で示す暗号化文書Ｊは、非セキュリティエリアに格納する。また、一方、物理的な鍵付きの給紙機構、物理的な鍵付きの排紙機構をもつ画像形成装置の場合、格納された文書データの印字を行う場合、セキュリティレベルがもっとも高いデータ格納領域からの印字（図８では８０２で示す文書Ｋ）の際には、鍵付きの給紙機構からの給紙、鍵付きの排紙機構への排紙出力に限定して印字指示を可能とし、紙に印字された画像が元でセキュリティホールとならないようにする。

図９は、画像形成装置単体で、本実施系による一連の運用の流れを説明した図である。９０１で処理を開始し、９０２で画像形成装置に設けられたオペレーションパネル等からＩＤとパスワードの入力を行う。ＩＤとパスワードの組み合わせが正しくない場合には９１０に移行し処理完了となり、組み合わせが正しい場合には９０４に処理が移行する。９０４ではユーザが使用可能なＢＯＸのうち、実際に使用するＢＯＸを選択し９０５で、ＢＯＸに文書データの格納を行うか、既にＢＯＸ内に格納されている文書データの表示もしくは印刷を行うかの選択を行う。格納を選択した場合には９０６に移行し、格納を行う文書データのセキュリティレベルを選択する。全ての文書データを画像形成装置が提供する一番セキュリティレベルにすることも可能ではあるが、前述の通り、セキュリティレベルを確保するための暗号化／復号化のための処理時間との兼ね合いになるため、９０６でユーザーに選択を行わせる。その後、９０７で原稿のスキャン動作を開始し、その後９０８で９０６で選択したセキュリティレベルに基づいて暗号化の処理を行い、９０９で文書の格納を行う。処理が完了すると９１０に移行し終了となる。

９０５において、表示もしくは印刷を選択した場合、９１１に移行し、表示もしくは印刷を行う文書の選択を行う。その後、選択された文書に対して９１２で文書データの復号化処理を行い、復号が完了すると９１３で文書データの表示を、画像形成装置のオペレーションパネル等で行う。９１４では表示の確認だけで終了するか印字まで行うかを選択し、終了を選択した場合には９１０に移行し、処理完了となり、印字を選択した場合には９１５で表示されている文書の印字処理を実行後に９１０に移行し処理終了となる。

本発明の実施形態に関わる不揮発性メモリの構成概略図。本発明の実施形態に関わる文書データ格納領域の初期化フロー（１）。本発明の実施形態に関わる文書データ格納領域の初期化フロー（２）。本発明の実施形態に関わるユーザ管理テーブルの構成。本発明の実施形態に関わる応用形態（１）。本発明の実施形態に関わる応用形態（２）。本発明の実施形態に関わる応用形態（３）。本発明の実施形態に関わる応用形態（４）。本発明の実施形態に関わる運用形態例の処理フロー。

Claims

不揮発性のメモリに、画像ファイル等の文書データを保管可能な画像形成装置において、
不揮発性メモリのデータ格納領域を複数（最低２以上の領域）の領域に分割する、分割手段と、
複数のセキュリティレベルに対応し暗号強度が異なる、複数の暗号化／復号化手段と、
複数に分割された各々の領域に対して、前記の複数の暗号化／復号化手段を対応づけ、複数に分割された領域を管理することが可能な、管理手段と、
前記の複数の暗号化／復号化のために、複数の暗号化／復号化キー情報を生成する、キー情報生成手段と、
を有し、
画像形成装置の不揮発性メモリに対して文書データを格納する際に、セキュリティレベルを選択して格納処理を開始することにより、文書データに対して選択されたセキュリティレベルに対応した暗号化処理を施した後で、文書データを格納すること特徴とする画像形成装置。
文書データの暗号化の検知手段を有し、不揮発性メモリに保管される文書データ自体に既に暗号化処理が施されている場合、非暗号化領域に文書データを格納する事を特徴とする請求項１に記載の画像形成装置。
セキュリティレベルの異なった複数の文書データを結合して、新たに文書データを作成する場合で、複数の文書データのセキュリティレベルが異なる場合には、結合によって作成された文書データは複数の文書データのうち一番高いデータ格納領域に作成されることを特徴とする請求項１に記載の画像形成装置。
データ格納領域に保存されている文書データを、他のデータ格納領域に移動もしくは複製させる際、セキュリティレベルの高いデータ格納領域からセキュリティレベルの低いデータ格納領域に対しての操作を禁止する手段を有する事を特徴とする請求項１に記載の画像形成装置。
物理的な鍵付きの給紙機構、物理的な鍵付きの排紙機構を有する画像形成装置において、格納された文書データの印字を行う場合、セキュリティレベルがもっとも高いデータ格納領域からの印字の際には、鍵付きの給紙機構からの給紙、鍵付きの排紙機構への排紙出力に限定して印字指示を可能とする事を特徴とする請求項１に記載の画像形成装置。
データ格納領域に文書データが格納されてから、あらかじめ設定された時間が経過、もしくはあらかじめ設定された日時（時刻）、もしくはあらかじめ設定された画像形成装置のアイドル時間が経過、した場合、よりセキュリティレベルが高いデータ格納領域に文書データの移動処理を行うことを特徴とする請求項１に記載の画像形成装置。
認証機構（ユーザー認証、部門管理など）を有し、認証機構で使用するＩＤとパスワード情報を元に、複数のセキュリティレベルに対応した、複数の暗号化／復号化キー情報の生成を、ＩＤごとに行い、管理することを特徴とする請求項１の画像形成装置。