JP2008059580A - 画像アーカイバ - Google Patents

Abstract

【課題】文書作成システムにおいて個人情報の交換を記録管理することを目的とする。
【解決手段】文書作成システムにおける個人情報の交換を記録管理する方法であって、文書処理のジョブを開始するステップと、文書のデジタル画像を準備するステップと、前記文書デジタル画像をセッション鍵で暗号化するステップと、前記暗号化された文書デジタル画像を記憶媒体上のデータベースのジョブレコードに保存するステップと、を含む。
【選択図】図２

Description

本発明は一般に、文書作成装置に関する。より詳しくは、本発明は文書作成装置の制御システムに関する。

情報セキュリティ分野において、アカウンタビリティは最重要目的である。アカウンタビリティは、ログファイル等の中で活動を記録管理することによって実現される。より最近の法令、たとえば１９９６年の「医療保険の携行性と責任に関する法律（ＨＩＰＰＡ）」やサーベンス・オクスリー法その他によって、組織は個人情報の交換を記録管理できなければならないことになっている。

米国特許第６９０７５２９号明細書 米国特許第６９９０４９０号明細書

そこで、文書作成システムの中にこうした情報を記録管理するための自動システムを設けることが望ましい。

本発明は、文書作成システムにおいて個人情報の交換を記録管理する方法であって、文書処理のジョブを開始するステップと、その文書のデジタル画像を準備するステップと、文書デジタル画像をセッション鍵で暗号化するステップと、暗号化された文書デジタル画像を記憶媒体上のデータベースのジョブレコードに保存するステップを含む方法を提供する。文書処理のジョブに関連するジョブデータもまた、ジョブレコードに保存される。

文書処理のジョブを開始するステップには、そのジョブを開始するユーザのデジタル画像をデジタルカメラで作成するステップと、ユーザのデジタル画像をジョブレコードの中に保存するステップも含まれる。

文書デジタル画像を準備するステップには、ハードコピーの文書を走査し、その文書のデジタル画像ファイルを作成するステップが含まれる。あるいは、文書デジタル画像を準備するステップには、デジタル文書ファイルをその文書のデジタル画像ファイルに変換するステップが含まれる。

暗号化された文書デジタル画像が記憶媒体に保存される前に、デジタル画像の大きさが計算される。デジタル画像ファイルのサイズが記憶媒体上の利用可能な空きスペースと比較され、記憶媒体上にそのデジタル画像ファイルを保存するのに十分なスペースがあるか否か判断される。十分な空きスペースがあれば、暗号化された文書デジタル画像は記憶媒体上に保存される。空きスペースが不十分であれば、媒体交換ルーチンが開始される。

記憶媒体はメディアライタにロックされる。したがって、媒体交換ルーチンはユーザに対し、メディアライタを物理鍵でロック解除するよう指示する。これに応えて、ユーザは物理鍵でメディアライタをロック解除し、メディアライタにブランクの記憶媒体を挿入し、物理鍵でメディアライタをロックする。

ユーザがメディアライタにブランクの記憶媒体を挿入した後、媒体変更ルーチンがセッション鍵を作り、物理鍵に記憶された公開鍵でセッション鍵を暗号化し、暗号化されたセッション鍵を記憶媒体上に書き込み、データベーステンプレートを記憶媒体に書き込む。

画像を見直すには、記憶媒体をメディアリーダに挿入し、メディアリーダと通信しているコンピュータの鍵ポータルに物理鍵を挿入する。記憶媒体上に保存されているセッション鍵は、コンピュータに保存されている秘密鍵で復号化され、記憶媒体上に保存されていた文書デジタル画像が復号化されたセッション鍵によって復号化される。

物理鍵を準備するために、物理鍵をコンピュータの鍵ポータル内に挿入する。公開鍵と秘密鍵のペアが生成され、公開鍵は物理鍵に保存され、秘密鍵はコンピュータに保存される。鍵が鍵ポータルに挿入されると、コンピュータはその物理鍵がブランクか否かを判断する。物理鍵がブランクでなければ、コンピュータはユーザに対し、その鍵を消去すべきか否か問い合わせる。ユーザがその鍵を消去すべきではないと応答した場合、コンピュータはユーザにその物理鍵を抜くよう指示する。ユーザがその鍵は消去すべきであると応答した場合、コンピュータはその鍵を消去する。

文書作成システムにおいて、個人情報の交換を記録管理することができる。

図面において、複数の図面を通じて同様の参照番号が同様の部品を示しており、本発明によるアーカイバシステムは一般に参照番号１０で示される。

アーカイバシステム１０は文書作成装置１２を備えている。本明細書において、文書作成装置とは文書を印刷、コピー、走査、ファックスあるいは再生することが可能な装置と定義する。メモリセクション１６を有するコントローラ１４は、文書作成装置１２の動作を制御する。文書作成装置１２によって処理される文書の画像を保存するのに十分な容量を有する記憶媒体２０のためのメディアライタ１８は、コントローラ１４と通信している。「処理(AProcessed@)」とは、本明細書において、文書を印刷、コピー、走査、ファックスまたはその他の方法で再生する行為を含むものと定義される。アーカイバシステム１０の別の例において、記憶媒体２０はＤＶＤ等のリムーバブル媒体であり、これによって記憶容量は無限となる。別の例では、メディアライタ１８は読み書きヘッドを内蔵させたハードドライブである。コントローラ１４、メディアライタ１８および文書作成装置１２は、単独の一体化された装置、個別の装置あるいはこのような装置の組み合わせのいずれとすることもできる。アーカイバシステム１０はまた、文書作成装置１２のオペレータの画像を記録するよう配置されたデジタルカメラ２２を備えていてもよい。アーカイバシステム１０はさらにコンピュータ２４を備えていてもよく、これについて詳しく後述する。

ジョブは、さまざまな方法で開始される（２６）。文書作成装置１２が印刷装置または多機能装置である場合、ユーザは文書作成装置１２をアクティベートして印刷ジョブを行わせることによってジョブを開始することができる（２６）（図２）。システム１０がデジタルカメラ２２を備えていれば、コントローラ１４は、ジョブが開始されたとき（２６）にカメラ２２にユーザの画像を記録させる。アーカイバシステム１０はまず、文書のデジタル画像を準備する（２８）。たとえば、文書作成装置１２が多機能装置、コピー装置、走査装置またはファクシミリ装置であれば、ユーザは文書作成装置１２をアクティベートして文書をコピー、走査または送信させることによってジョブを開始し（２６）、文書を準備する（２９）。文書がデジタルファイルである第一のケースにおいて、文書は、必要に応じて、システム１０で用いるのに適したファイルフォーマットに変換される（３０）。文書がハードコピー文書である第二のケースにおいて、文書の全ページが走査され、その文書のデジタル画像ファイルが作成される。次にデジタル画像ファイルのサイズが計算され（３２）、メディアライタ１８の中に挿入された記憶媒体２０の上の利用可能な空きスペースと比較され（３４）、記憶媒体上にデジタル画像ファイルを保存するのに十分なスペースがあるか否か判断される（３６）。記憶媒体２０上にデジタル画像ファイルを保存するのに十分なスペースがない場合（３８）、コントローラ１４は媒体交換ルーチンを開始する（４０）。記憶媒体２０にデジタル画像ファイルを記憶するのに十分なスペースがあれば（４２）、デジタル画像ファイルは媒体交換ルーチン（４０）によってその記憶媒体２０のために特に作成されたセッション鍵で暗号化される（４４）。

記憶媒体に新しいジョブを記録するのに十分な容量があるか判断するのに加え、コントローラはまた、設置された記憶媒体の残りの記憶容量を示すこともできる。たとえば、Ａｇａｓ ｇａｕｇｅ＠等の視覚的指標を使用して、残り容量を表すことができる。文書作成装置が電子メールをサポートしている場合、電子メールアラートを指定されたシステム管理者に送信することが可能である。最後に、記憶媒体が満杯に近づくと、ＳＮＭＰトラップを生成できる。

コントローラ１４は、記憶媒体２０の上に書き込まれたテータベース構造４８の中にジョブレコード（４６）を作成し、暗号化されたデジタル画像ファイルを記録し（５０）、ジョブレコードの中にジョブデータを記録する（５２）。図６において、データベース４８は文書作成装置１２のマシンシリアルナンバー５４、装置所有者情報５６、暗号化されたデジタル画像ファイル５８およびジョブデータ６０のためのフィールドを有する。ジョブデータフィールド６０には、ジョブの日付６２と時刻６４、ユーザの特定情報６６、ジョブの種類６８、ジョブのアカウンティング情報７０、ジョブの送信先７２と受信者７４（走査、ファックス、電子メールジョブの場合）および入手可能であればユーザのデジタル写真７６が含まれる。

媒体交換ルーチン４０は、メディアライタ１８内に記憶媒体２０を設置するために開始される。セキュリティ対策として、記憶媒体２０はメディアライタ１８に、またはその内部に物理的にロックされ、許可を得たシステム管理者または鍵を操作する者だけにアクセスを限定する。したがって、媒体交換ルーチン４０はまず、ユーザに対して物理鍵８０でメディアライタ１８をロック解除する（７８）ように指示する。鍵は、内蔵メモリチップ８２または、スマートカードプロセッサと同様の一体構造のアクティブプロセッサ８４を備える。物理鍵８０がプロセッサ８４を備える場合は、メディアライタ１８または文書作成装置１２の対応するコンタクトと接続するための電気コンタクトも備えて、鍵プロセッサ８４とコントローラ１４との間の通信を実現する。物理鍵８０の物理パッケージは、ロックソケット８６の中にはめ込まれると、適当な電気接触が行われるように設計されている。物理鍵８０に設けられたメモリチップ８２／プロセッサ８４には暗号公開鍵８８が含まれる。秘密鍵９０は、下記のように、コンピュータ２４に保存されている。

記憶媒体２０をロック解除する場合、ユーザは鍵を挿入し、ロッキング機構を「ロック解除」の位置まで物理的に回す。記憶媒体２０が満杯であれば、取り出す（９２）。次に、新しいブランクの記憶媒体２０をメディアライタ１８に挿入する（９４）。コントローラ１４は鍵プロセッサ８４または鍵メモリチップ８２と通信し、鍵交換アルゴリズム（Ｄｅｆｆｉｅ−Ｈｅｌｌｍａｎ等）を使って対称のセッション鍵を作成する（９６）。すると、物理鍵８０に保存されていた公開鍵８８を使ってセッション鍵が暗号化される（９８）。セッション鍵は、もし可能であれば鍵プロセッサ８４、またはコントローラ１４によって作成、暗号化することもできる。鍵プロセッサ８４を使ってセッション鍵を作成し（９６）、暗号化する（９８）場合、暗号化されたセッション鍵は鍵プロセッサ８４からコントローラ１４に送信される（１００）。コントローラ１４は、記憶媒体２０に暗号化されたセッション鍵を書き込む（１０２）。コントローラ１４はまた、記憶媒体２０にデータベーステンプレートを書き込む（１０４）。次に、ユーザは鍵でロッキング機構を「ロック」の位置に回し戻し（１０６）、ロッキング機構から鍵を抜き、記憶媒体２０をメディライタ１８にロックする。

上述のように、記憶媒体２０に保存された画像５８は、その記憶媒体２０のために特に作られたセッション鍵で暗号化される（４４）。各記憶媒体２０は異なる暗号鍵を有する。画像を回復あるいは閲覧するためには、対応する秘密鍵９０、鍵ポータル１０８、メディアリーダ１１０を備えるコンピュータ２４を使用しなければならない。コンピュータ２４には、メディアライタ１８に搭載されたものと同様のロッキング機構を備え付けることができる。暗号化された画像５８を読み出したい者は、まず記憶媒体２０をメディアリーダ１１０に挿入し（１１２）、その後、物理鍵８０を鍵ポータル１０８に挿入する（１１４）。物理鍵８０を挿入しなければ（１１４）、コンピュータ２４上のソフトウェア１１６は保存されている秘密鍵９０へのアクセスを許可しない。物理鍵８０を必要とすることによって、物理鍵８０を物理的に有するのは許可を受けたユーザだけであると想定されている点で、ユーザの認証をさらに確実にすることができる。別のシステム１０において、コンピュータ２４は、物理鍵８０を所有することに加え、ＰＩＮ、パスワードあるいはその他の身分証明手段を要求してもよい。次に、記憶媒体２０またはコンピュータ２４に記憶されたソフトウェア１１６は、秘密鍵９０を使って記憶媒体２０に保存されているセッション鍵を復号化し（１１８）、その後、セッション鍵を使って画像５８を復号化する（１２０）。

コンピュータ２４は、物理鍵８０のセットアップに使用される。物理鍵８０がコンピュータ２４に取り付けられたポータル１０８に挿入され（１２２）、コンピュータ２４は物理鍵８０がブランクであることを確認する（１２４）。コンピュータが鍵はブランクでないと判断すると（１２６）、鍵準備ルーチンがユーザに対し、鍵を消去すべきか否かをたずねる（１２８）。ユーザがその鍵は消去すべきでないと応答すると（１３０）、鍵準備ルーチンはユーザに対し、物理鍵８０を抜くよう指示する（１３２）。ユーザがその鍵は消去すべきであると応答すると（１３４）、鍵準備ルーチンは鍵を消去し、ブランクの鍵を作る。コンピュータが鍵はブランクであると判断した場合（１３６）、あるいは使用済みの鍵が消去された後（１３４）、鍵準備ルーチンは公開鍵と秘密鍵のペアを生成する。公開鍵８８は物理鍵８０に保存され（１４０）、秘密鍵９０はコンピュータの暗号鍵記憶手段内に保存される（１４２）。これ以降、秘密鍵９０には、取り付けられたポータル１０８に物理キー８０が挿入されないかぎりアクセスできなくなる。

本発明による画像アーカイバシステム１０は、文書作成装置１２によって処理された画像５８を保存するための便利で使いやすい装置と方法を提供する。これは、暗号化と物理的ロックの両方を使ってデータの機密を保持する。セッション鍵を記憶媒体２０に保存することにより、別のオフラインでの鍵管理が不要となる。秘密鍵９０でセッション鍵を暗号化することは、画像５８にアクセスするには、データそのものを強引に攻撃しなければならないことを意味する。各記憶媒体２０には固有のセッション鍵が付与されるため、ひとつの記憶媒体２０の暗号が解読されても、さらに防衛が可能である。

本発明による画像アーカイバシステムの概略図である。 本発明による画像アーカイバルーチンのフロー図である。 本発明による媒体交換ルーチンのフロー図である。 本発明による画像レビュールーチンのフロー図である。 本発明による鍵作成ルーチンのフロー図である。 図１のコントローラのメモリセクションに保存されたデータベースの概略図である。

符号の説明

１０ アーカイバシステム、１２ 文書作成装置、１４ コントローラ、１６ メモリセクション、１８ メディアライタ、２０ 記憶媒体、２２ カメラ、２４ コンピュータ、８０ 物理鍵、８２ 鍵メモリチップ、８４ 鍵プロセッサ、８８ 公開鍵、９０ 秘密鍵、１０８ 鍵ポータル、１１０ メディアリーダ、１１６ ソフトウェア。

Claims (4)

1. 文書作成システムにおける個人情報の交換を記録管理する方法であって、
   文書処理のジョブを開始するステップと、
   文書のデジタル画像を準備するステップと、
   前記文書デジタル画像をセッション鍵で暗号化するステップと、
   前記暗号化された文書デジタル画像を記憶媒体上のデータベースのジョブレコードに保存するステップと、
   を含むことを特徴とする方法。
2. 請求項１に記載の方法であって、
   前記記憶媒体はメディアライタにロックされ、
   前記媒体交換ルーチンがユーザに物理鍵を使って前記メディアライタをロック解除するよう指示するステップと、
   前記メディアライタを物理鍵でロック解除するステップと、
   前記メディアライタ内にブランクの記憶媒体を挿入するステップと、
   前記メディアライタを物理鍵でロックするステップと、
   を含むことを特徴とする方法。
3. 請求項２に記載の方法であって、
   ユーザが前記ブランクの記憶媒体を前記メディライタに挿入した後に、前記メディア交換ルーチンが、
   セッション鍵を作成するステップと、
   前記物理鍵に保存されていた公開鍵で前記セッション鍵を暗号化するステップと、
   前記暗号化されたセッション鍵を前記記憶媒体に書き込むステップと、
   データベーステンプレートを前記記憶媒体に書き込むステップと、
   を含むことを特徴とする方法。
4. 請求項２に記載の方法であって、物理鍵準備ルーチンは、
   前記物理鍵をコンピュータの鍵ポータルに挿入するステップと、
   公開鍵と秘密鍵のペアを生成するステップと、
   前記物理鍵に前記公開鍵を保存するステップと、
   前記コンピュータに前記物理鍵を保存するステップと、
   前記物理鍵を前記鍵ポータルから抜き取るステップと、
   を含むことを特徴とする方法。

Images