JP2008146514A - 情報処理装置、情報処理装置の制御方法、および情報処理装置の制御プログラム - Google Patents

Abstract

【課題】確実に外部記憶装置上でファイルが占めていたデータ全てに対して消去処理を行なうことができるようにする。
【解決手段】ＨＤＤ８に格納したファイルが不要となった時、ファイル管理記憶部８２の管理情報を削除する削除処理を行なうとともに、印刷データ記憶部８１上で当該ファイルが占めていた領域を示す消去管理情報を消去管理情報記憶部９１に記憶し（Ｓ１０８）、その後、別のファイルをＨＤＤ８に格納するため印刷データ記憶部８１でファイルが占めていた領域に上書きする場合、その領域を消去管理情報記憶部９１の消去管理情報から除外する処理を行い（Ｓ１１２、Ｓ１１３）、消去処理を行なうべき機会が到来した場合、消去管理情報記憶部９１の消去管理情報に対応する印刷データ記憶部８１上の領域を所定の無意味なデータを用いて消去する消去処理を行う（Ｓ１１４〜）。
【選択図】図５

Description

本発明は、入力データをファイルとして格納する不揮発記憶装置を有し、前記ファイルデータが前記不揮発記憶装置のデータ記憶部に記憶されるとともに、前記不揮発記憶装置のファイル管理記憶部の管理情報を介して管理され、前記不揮発記憶装置に格納した前記ファイルが不要となった後、前記データ記憶部上で当該ファイルが占めていた領域を消去する消去処理を行う情報処理装置、情報処理装置の制御方法、および情報処理装置の制御プログラムに関するものである。

近年のコンピュータ技術の進歩によるハードディスクの大容量化と低価格化は目覚ましく、これに伴い民生用の一般機器にも安価かつ大容量の不揮発記憶装置（外部記憶装置）としてハードディスクが用いられる場合が多くなってきた。その一例がプリンタであり、印刷ジョブをハードディスクに蓄積して記憶することにより、さまざまな利点が得られるようになった。

たとえば、機器が印刷処理中にプリンタサーバーを介さなくても印刷物を蓄積できることにより、印刷指示を発行したホストコンピュータ側が速く解放されることになる。また、同じ印刷物を複数部印刷する場合に１部分のデータを送信するだけで済むという利点もある。

また、上記のような利点が得られる一方で、プリンタにハードディスクを装備することで生じる問題もある。たとえば、ハードディスク上に記憶されたデータは、一般的にはファイルシステムを介して、ファイルとして操作（作成、消去など）される。

ハードディスクにファイルとして記憶されるデータには、ユーザの個人情報など、機密保持が必要な重要データが含まれていることがあり、この種の機器では、ファイルが盗まれたり、流出してしまわないよう充分な保安対策をとる必要がある。

従来より指摘されている問題としては、ファイルの削除処理に関するものがある。たとえば、一般的なファイルシステムにおけるファイルの削除処理では、管理テーブル（ＦＡＴなど）からの当該ファイルのエントリ削除のみが行われ、実際のデータはそのままハードディスク内に残ってしまう。このため、ユーザが削除したつもりのデータでも、それを悪意のある第三者に盗まれる危険性がある。

操作パネルや、ホストコンピュータから行う一般的な操作で、データが盗まれる可能性は低いが、故意にハードディスクを機器から取り外してそれをコンピュータなどに接続することによりその内容が参照可能になる可能性が残っている。上記の通常の削除処理では、たとえば印刷ジョブ終了後、削除済みになっているファイルでも、実際のファイルデータがディスク上に記録されたままになっており、セクタデータをダンプすればある（あるいはかなりの）程度、元データを復元できる可能性がある。

この問題点に対する一般的な対策方法としては、ハードディスク上で不要になったデータの領域を別の無意味な（「０」や「０ｘＦＦ」のような）データで埋め尽し、上書きすることで機密性のあるデータを参照できないように消去する処理が知られている。なお、この処理は、上の「通常の」削除処理と区別して、本明細書では以下、「消去処理」という。

また、この消去処理をいつ実施するかについては各種の方法がある。たとえば、従来では、該当データが不要になったら直ちに消去処理を行う構成、あるいは特定の操作を実施したタイミングで実施するような構成が知られている（たとえば、下記の特許文献１）。また、消去処理の未実施部分を記録しておき、機器の電源オンまたはオフ時に未実施部分の消去処理を行うようにした構成が知られている（たとえば、下記の特許文献２）。
特開２００５−９６０８２号公報 特開２００５−１１７３７７号公報

しかしながら、上述の従来技術のうち、該当データがプリントアウトされるなどして不要になったら直ちに消去処理を行う構成では、並行処理を行わない前提とすると、消去処理が完了するまで後続の処理を行うことができない。これにより、後続の処理が消去処理が完了するまで待たされてしまう問題が生じる。あるいは、並行処理により消去処理を行うにしても、後続の処理と相俟ってシステム全体の負荷が増大するなどの問題を生じる。消去する対象のデータ量が小さい場合はあまり問題ないが、大きなデータの消去処理にはそれなりの時間がかかってしまうため、ユーザが処理を急いでいる場合には大きな問題となる。

また、特定の操作を実施したタイミングで消去処理を行う構成の場合、ユーザが意識してその操作を行わねばならず、操作をうっかり忘れた場合には消去処理が実施されないことになる。また、機器の電源オンまたはオフに同期して未実施部分の消去処理を行う構成の場合、電源オンまたはオフの処理時間が増大する問題がある。

また、上記の特許文献１および特許文献２などに記載されている構成では、消去処理を行うタイミングが来た時点で、その時、未削除のファイルが占めているＨＤＤのブロックのみを消去している。たとえば特許文献１の段落００４７、図５のＳ１１７、特許文献２の図５、図６、段落０１１１、０１１９などの記載からこのような処理が読み取れる。

しかしながら、消去処理を行うタイミングまでの間に、作成された新規ファイルが既に削除済みになっているような状況が生じるのは普通である。したがって、特許文献１および特許文献２のような構成では、既に削除済みとなっているファイルの占めていた領域については、データ消去が行われない、という問題がある。

なお、以上ではプリンタにおける消去処理に関して考慮したが、同じ問題は上記従来技術をＨＤＤのような不揮発記憶装置を用いるプリンタ以外の情報処理装置に適用した場合でも同様に生じる。

本発明の課題は、上記問題を解決し、他の情報処理に影響を与えたり、他の情報処理を遅滞させたりすることなく、また、操作ミスなどによる消し忘れなどなく、確実に不揮発記憶装置上でファイルが占めていたデータ全てに対して消去処理を行うことができるようにすることにある。

課題を解決するため、本発明においては、入力データをファイルとして格納する不揮発記憶装置を有し、前記ファイルデータが前記不揮発記憶装置のデータ記憶部に記憶されるとともに、前記不揮発記憶装置のファイル管理記憶部の管理情報を介して管理され、前記不揮発記憶装置に格納した前記ファイルが不要となった後、前記データ記憶部上で当該ファイルが占めていた領域を消去する消去処理を行う情報処理装置、情報処理装置の制御方法、および情報処理装置の制御プログラムにおいて、前記不揮発記憶装置に格納した前記ファイルが不要となった時、前記ファイル管理記憶部の管理情報を削除する削除処理を行うとともに、前記データ記憶部上で当該ファイルが占めていた領域を示す消去管理情報を消去管理情報記憶部に記憶し、その後、別のファイルを前記不揮発記憶装置に格納するため前記データ記憶部でファイルが占めていた領域に上書きする場合、その領域を前記消去管理情報記憶部の消去管理情報から除外する処理を行い、前記消去処理を行うべき機会が到来した場合、前記消去管理情報記憶部の消去管理情報に対応する前記データ記憶部上の領域を所定の無意味なデータを用いて消去する消去処理を行う構成を採用した。

上記構成によれば、他の情報処理に影響を与えたり、他の情報処理を遅滞させたりすることなく、また、操作ミスなどによる消し忘れなどなく、確実に不揮発記憶装置上でファイルが占めていたデータ全てに対して消去処理を行うことができる。

以下、発明を実施するための最良の形態の一例として、プリンタに関する実施例を示す。

本実施例では主に、機器が省電力モードに移行するタイミングでハードディスク内のデータの消去処理を実施する構成について説明する。

図１は本発明を採用したプリンタの制御系の構成を示している。図１において符号１は印刷指示などの機器の各種の機能の実行指示を行うための操作部である。操作部１は複数個のキー、ボタン、スイッチなどから構成される。

符号２は、機器の状態や各種の操作結果をユーザに通知するための表示部である。表示部２は液晶パネル、ＬＥＤなどで構成される。

符号３は、外部の機器、たとえばホストコンピュータなどと通信を行う通信部である。通信部３はパラレルポート（ＩＥＥＥ１２８４など）、ネットワーク（ＣＳＭＡ／ＣＤ（イーサネット：登録商標））、ＵＳＢなど各種のインタフェースの一つまたは複数から構成される。通信部３は、外部の機器、たとえばホストコンピュータなどから印刷データを機器に入力する際、あるいは操作部１を使用しないで印刷に係わる各種操作を行う場合に使用される。

符号４は印刷を実行する印刷部である。印刷部４は紙送り機構や描画機構などから構成され制御部５から処理されたデータの印刷を実行する。各機構には各種の検知装置が備わっており、紙なし、紙づまり、インク切れやカバーオープン等のさまざまな動作エラーを検出することができる。

符号５は機器の各機能の実行を行う制御部である。制御部５は操作部１や通信部３からの各種の入力動作に対応して各種の出力動作の制御を行う。各種の制御の手順はＲＯＭ６内の制御プログラム記憶部６１に記憶されている。制御部５は、ＣＰＵおよびその周辺のチップセットなどから構成される。

符号６は記憶装置の一種であるＲＯＭであり、制御部５が実行するプログラムを記憶する制御プログラム記憶部６１を備えている。

符号７は記憶装置の一種であるＲＡＭである。ＲＡＭはランダムアクセスメモリの略語であり、揮発性の記憶装置である。ＲＡＭ７内には印刷データなどの大量のデータを扱う場合に使用されるバッファ７１、制御部５が各種制御を行う際に必要となる変数などを一時的に記憶するワークエリア７２などを備えている。

符号８は記憶装置の一種であるＨＤＤである。ＨＤＤとはハードディスクドライブの略語であり、不揮発性の記憶装置であるハードディスクとそれを駆動する機構から構成される。

ＨＤＤ８内には通信部３を介して入力された印刷データをファイルとして記憶する印刷データ記憶部８１、および印刷データ記憶部８１に記憶されたファイルの管理情報を記憶するファイル管理記憶部８２などが画成されている。さらにＨＤＤ８にはユーザの設定値なども記憶しており、その一項目として消去処理を実行すべき時刻を記憶する消去時刻設定記憶部８３などを備えている。

印刷データ記憶部８１は、通常のファイルシステムにおいてはＨＤＤのファイル格納エリア、ファイル管理記憶部８２は各種ＯＳのファイルシステムにおいて、ＦＡＴやｉｎｏｄｅなどと呼ばれるファイルデータの管理情報格納エリアに相当する。

前述のように、通常の削除処理では、対象ファイルのファイル管理記憶部８２中のエントリを削除するだけの処理を行う。これにより、対象ファイルにアクセスできなくなり、また、印刷データ記憶部８１上で対象ファイルが占めていた領域には重ね書きができるようになる。

したがって、一般のファイルアクセス方法では、削除処理されたファイルにはアクセスできない。しかし、前述のように、ファイル管理記憶部８２のエントリが失なわれていた場合でも、印刷データ記憶部８１上で対象ファイルが占めていた領域に別のデータが重ね書きされていない部分に関しては、元のデータを復元できる可能性がある。このような操作には、通常は特殊な方法、たとえばＨＤＤ８を取り外してコンピュータなどに接続し、印刷データ記憶部８１全体をダンプするなどの手法が用いられる。しかしながら、場合によっては、たとえば、通信部３のインターフェースプログラムなどに存在するバグなどを衝くことにより、通信部３を介して外部から印刷データ記憶部８１を直接ダンプするようなハッキングが可能になっている場合も考えられる。そして、このようなセキュリティホールが完全に除去されている、ということは、一般には保証できない。

そこで、この種の機器では、印刷データ記憶部８１上のファイルデータまで完全に使用不可能にする前述の「消去処理」を行えることが求められている。本実施例における消去処理の制御については以下でより詳細に後述する。

再び図１において、符号９は記憶装置の一種であるＥＥＰＲＯＭである。ＥＥＰＲＯＭ９は不揮発性の記憶装置で、機器の状態やユーザの設定値などを記憶する。本実施例では、ＥＥＰＲＯＭ９内には消去管理情報記憶部９１が設けられており、消去管理情報記憶部９１には記憶すべき機器の状態の一項目として消去処理すべき領域の情報を記憶する。

また、ＥＥＰＲＯＭ９に記憶すべきユーザの設定値の一項目としては、機器が省電力状態へ移行すべき時間の間隔を記憶する省電力設定記憶部９２がある。ユーザの設定値の記憶部はＨＤＤ８とＥＥＰＲＯＭ９の両方に存在しているが、どの設定値をどちらの方に配置するかは状況に応じて適当に決めることができる。

符号１０は計時部で、時間の経過などを計測管理する。計時部１０はタイマー機構やリアルタイムクロック機構から構成される。通常、タイマー機構では相対的な時間の経過を計測し、リアルタイムクロック機構では絶対的な時刻の経過をカウントする。

図２は図１の印刷データ記憶部８１の内部構成の一例を示している。

印刷データ記憶部８１には通信部３を介して受信した印刷データが記憶される。一般に、一回の通信処理で受信した印刷データを一単位とし、これを印刷ジョブと呼ぶ。ハードディスク内では各ジョブはファイルとして保存される。各ファイルには特有の名前が付けられ、その名前で管理される。図２の例では、符号２１が”Ａ１．ＴＩＦ”、２２が”Ｂ２．ＪＰＧ”、２３が”Ｃ３．ＴＩＦ”というファイル名のファイルとしてそれぞれ記憶されている。これらファイル名の情報自体は印刷データ記憶部８１に記憶されておらず、ファイル管理記憶部８２内に記憶される。各ファイルの内容については、受信したデータをそのまま記憶してもよいし、また、それを適当に加工した結果を記憶するものであってもよい。

図３は、図１のファイル管理記憶部８２の内部構成の一例を示している。ファイル管理記憶部８２には印刷データ記憶部８１に格納された印刷データファイルに関する管理情報が記憶される。

この管理情報は、１ファイルにつき３１〜３４に示す４つの項目から構成され、その４つの項目をまとめてレコードと呼ぶ。符号３１は各印刷ジョブの識別子であるファイル名を記憶しているファイル名項目である。図３では、図２の例に対応して”Ａ１．ＴＩＦ”、”Ｂ２．ＪＰＧ”、”Ｃ３．ＴＩＦ”の３つのファイル名がファイル名項目３１として記憶されている。

符号３２は各ファイルのデータサイズを記憶しているデータサイズ情報項目である。データサイズ情報項目３２に格納すべき数値の単位は一定の基準で決められている。この単位には、たとえばバイト単位、あるいはＨＤＤ上のセクタやシリンダなどのサイズの単位が用いられる。

符号３３は、印刷データ記憶部８１において各ファイルが記憶されている場所を示すアドレス情報を記憶している開始アドレス情報項目である。アドレス情報を表す数値の単位も一定の基準で決められている（たとえばＨＤＤのセクタアドレスなど）。

また、符号３４は印刷ジョブの属性を示すジョブ属性情報項目である。本実施例では、このジョブ属性情報項目３４により、各ジョブの属性を定義できるようにしてある。

本実施例では、あるファイルに対して、「削除指定されたが消去処理が実行されていない」というファイル属性をジョブ属性情報項目３４に格納することができる。以下、「削除指定されたが消去処理が実行されていない」というファイル属性がジョブ属性情報項目３４に格納されたファイルを「消去待ちジョブ」と呼ぶ。例えば、ジョブ属性情報項目３４の（あるビットの）値が「１」であるものが消去待ちジョブ、値が「０」であるものが通常ジョブであるとする。３１〜３４に示す４つの管理情報から特定の印刷データの記憶場所とその記憶容量及び属性が判別できる。

なお、ジョブ属性情報項目３４には、適当にビット位置との対応を決めておく、あるいは格納フォーマットを決めておくことにより、上記の消去待ちジョブ／通常ジョブ以外の任意の属性を格納することができる。

図３の例では、管理情報は１つのファイルにつき１レコードが記憶されているが、場合によっては１つの（大きな）ファイルが複数のデータ領域（クラスタ、ブロックなど）に分割して記憶されている場合もある。また、この複数のデータ領域は、ＨＤＤ上で連続しないブロック上に記録されることもある。このような場合は１つのファイルが、ファイル管理記憶部８２において複数個のレコードに分割されて記憶される。いずれにしても、全てのファイルデータについてファイル管理記憶部８２にレコードを記憶することが必要で、複数のデータ領域にファイルデータが格納される場合は、各レコードが次のレコードをリンク参照できるようなチェーン構造が用いられる。

図３では、図２の例に対応して、レコード３５はファイル”Ａ１．ＴＩＦ”（２１）について、レコード３６はファイル”Ｂ２．ＪＰＧ”（２２）について、またレコード３７はファイル”Ｃ３．ＴＩＦ”（２３）について管理情報を記憶している。また、全レコードの最後には最後であることを示す空白レコードを格納することにする。本実施例では、空白レコードは、符号３８に示すように全ての項目の内容を０にしておくものとする（ただし、空白レコードのデータフォーマットは任意）。この空白レコードを検出することにより、最終ジョブまで読み出したかどうかなどを検知したり、格納されているジョブファイルの総数をカウントするような処理が可能である。

図４は、上述の消去管理情報記憶部９１の内部構成の一例を示している。図示のように、消去管理情報記憶部９１には印刷データ記憶部８１において消去処理を実施すべき領域を示す管理情報を記憶している。管理情報は１レコードにつき符号４１〜４２に示す２つの項目から構成され、これら２つの項目をまとめてレコードと呼ぶ。

図４において符号４１は、各領域のデータサイズを記憶しているデータサイズ情報項目である。データサイズ情報項目４１の内容は図３のファイル管理記憶部８２内のデータサイズ情報項目３２の複製であり、同等の意味を持つ。

符号４２は、印刷データ記憶部８１における各領域のアドレス情報を記憶している開始アドレス情報項目である。開始アドレス情報項目４２の内容は図３のファイル管理記憶部８２内の開始アドレス情報項目３３の複製であり、同等の意味を持つ。

そして、レコード４３、４４は上記構成をそれぞれ有し、このうち、レコード４３は図２の例に示す２１の領域”Ａ１．ＴＩＦ”について記憶し、レコード４４は図２の例に示す２２の領域”Ｂ２．ＪＰＧ”について記憶している。また、全レコードの最後には最後であることを示す空白レコードが存在する。空白レコードの内容は４５に示すようにデータサイズ情報項目４１の内容が０である。この空白レコードを検出することにより全てのデータ領域の数を検知することができる。当然ながら、図４における１レコードは図３での１レコードにそれぞれ対応して記憶される。

図５は、本実施例における電源投入後の制御手順を示すフローチャートである。図５の処理は、ユーザがプリンタの電源スイッチをオンにした場合に開始される。図５の制御手順は、たとえば制御プログラム記憶部６１内に格納しておく。

ステップＳ１０１では、機器の初期化処理を実施する。この初期化処理は制御プログラムなどのソフトウェア的な処理や、機器内の各種の装置のハードウェア的な処理からなり、通信部３や印刷部４などの機構を使用可能になるように処理するものである。

ステップＳ１０２では、処理すべきイベントが発生するのを待つ。このイベントとは、機器の状態の変化を引き起こす事象であり、ユーザによる機器の操作、機器の動作による機器の状態の変化などを意味する。具体的にはユーザによるものでは操作部１の操作を行った場合や、通信部３を介して機器へ指示を送った場合などにイベントが発生する。また、機器の状態の変化、たとえばプリンタのインク切れを検知した、搬送機構に紙が詰まってしまった、などの事象についてもイベントが発生する。本装置では、これら発生したイベントに対応した各種の処理を実施する（ただし、停電などの予測できない電源遮断イベントには対応することはできない）。

ステップＳ１０３ではステップＳ１０２で発生したイベントが省電力モードへの移行時間が経過したものであるかを調べ、そうであればステップＳ１１４へ進み、そうでなければステップＳ１０４へ進む。

また、イベントを待っている間には計時部１０に存在するカウンタ機構により経過時間がカウントアップされているが、ステップＳ１０２ではその一つであるスリープカウンタの値がある設定値に達しているかどうかを判定する。ここで比較する設定値は省電力設定記憶部９２に記憶されている省電力モードへの移行時間の設定値である。スリープカウンタの値がこの設定値に達した場合にイベントが発生し、ステップＳ１０３へ遷移する。

省電力設定記憶部９２には、省電力モードへの移行時間と省電力モードへの移行を実施するか否かを示す省電力実行フラグなどの複数種類のユーザ設定項目が記憶されている。なお、この省電力設定記憶はＥＥＰＲＯＭ９が存在しない場合には別の不揮発性記憶装置、例えばＨＤＤ８内に記憶する構成にすることも可能である。

ステップＳ１０４では、省電力モードへの移行時間経過以外のイベントの処理を実行する。このようなイベントの一例としては、通信部３を介して印刷データを受信し、そのデータの内容により印刷や状態表示などのそれぞれの指示に応じた処理がある。この場合、受信した印刷データを記録すべきファイルを印刷データ記憶部８１内でオープンしたり、さらにそのファイルに印刷データを追加したり、また、処理終了により不要となったファイルを削除する処理が含まれる（下記のステップＳ１０９〜、Ｓ１０５〜を参照）。

また、ステップＳ１０４で処理すべき他のイベントの例としてはプリンタのインク切れや紙詰まりなどの現象が挙げられ、これらの事象に対しては印刷を中断や中止を行い、ユーザに対して表示部２で警告を発生するなどの処理を実施する。

ステップＳ１０５では、ステップＳ１０４でのイベントの処理を実施した結果、ＨＤＤ８内の印刷データのファイルを削除する必要が生じたかどうかを調べる。ファイルを削除する必要が生じた場合はステップＳ１０６へ進み、そうでなければステップＳ１０９へ進む。

ステップＳ１０６では、ステップＳ１０４で削除すべきと判定されたファイルの情報をファイル管理記憶部８２上で検索する。各データファイルの識別は通常はファイル名で管理されるため、ファイル管理記憶部８２でのファイル名３１の項目を調べて、ステップＳ１０４で発生した削除すべきファイルの名前と同じ名前のファイル名を持つレコードを検索する。また、前述のようにファイルが大きく、データが複数のデータ領域（クラスタ、ブロックなど）に格納されている場合などにおいては、該当するレコードは複数個ある場合もある。

ステップＳ１０７では、ステップＳ１０６で検索したレコードの情報を消去管理情報記憶部９１に複写保存する。具体的にはまず消去管理情報記憶部９１に新規のレコードを追加する。次に新規に追加したレコードのデータサイズ情報項目４１に、ファイル管理記憶部８２の該当するレコードのデータサイズ情報項目３２の内容を複写して記憶する。次に新規に追加したレコードの開始アドレス情報項目４２に、ファイル管理記憶部８２の開始アドレス情報項目３３の内容を複写して記憶する。

たとえば図３の例で、削除すべきレコードとしてレコード３５が検出されたとする。その場合消去管理情報記憶部９１には新規のレコードが追加され、そのデータサイズ情報項目４１にはレコード３５のデータサイズ情報項目３２の内容「３００」が記憶される。また、新規のレコードの開始アドレス情報項目４２にはレコード３５の開始アドレス情報項目３３の内容「０」が記憶される。その結果、図４のレコード４３のように記憶される。もし削除すべきレコードが複数個検出された時はその全てのレコードについて同様の処理を実施する。

ステップＳ１０８では、ステップＳ１０６で検索したレコードをファイル管理記憶部８２から削除する。具体的には該当レコードの全項目の内容を無意味な値、例えば全て「０」（あるいは０ｘＦＦなど）で上書きする。そして該当レコードのジョブ属性情報項目３４の内容を「無効」の状態に変更する。

ステップＳ１０８の処理により、今後、この属性のレコード（に対応するファイル）に対する全てのファイル操作を無視するように制御される。また、新規レコードの追加要求時には、この属性のレコードの記憶領域への上書き使用が許可される。ステップＳ１０８の後、処理はステップＳ１０２へ戻り、次のイベントの発生を待つ。

ステップＳ１０９ではステップＳ１０４でのイベントの処理を実施した結果、ＨＤＤ８内に印刷データのファイルの追加処理が行われたかどうかを調べる。なお、ステップＳ１０９〜Ｓ１１３における「追加処理」は、ステップＳ１０４で発生したイベントに応じてオープンされたファイルへのデータ追加の処理を意味する。ファイルの追加処理が必要である場合はステップＳ１１０へ進み、そうでなければステップＳ１０２へ戻り、次のイベントの発生を待つ。

ステップＳ１１０では、ステップＳ１０４で追加されたファイルの情報をファイル管理記憶部８２上で検索する。各データファイルの識別は通常はファイル名で管理されるため、ファイル管理記憶部８２でのファイル名３１の項目を調べて、ステップＳ１０４で追加されたファイルの名前と同じ名前のファイル名を持つレコードを検索する。場合によっては該当するレコードは複数個ある場合もある。

ステップＳ１１１では、ステップＳ１１０で検索したレコードが示すデータ領域と、消去管理情報記憶部９１の各レコードが示す領域とを比較する。そしてステップＳ１１２でこれらの領域が重複していないかを調べる。この時、それぞれの領域は、各レコードの示すデータサイズ情報項目３２と開始アドレス情報項目３３から、またはデータサイズ情報項目４１と開始アドレス情報項目４２から算出することができる。この調査は消去管理情報記憶部９１の全てのレコードに対して行い、重複箇所が複数個存在する場合でも、すべて抽出してその結果をワークエリア７２に一時的に保存する。

ステップＳ１１２での重複検査の結果、重複している領域が検出された場合、ステップＳ１１３へ進み、また、重複している領域が検出されなかった場合はステップＳ１０２へ戻り、次のイベントの発生を待つ。

ステップＳ１１３では、ステップＳ１１１で検出された結果を基に消去管理情報記憶部９１の記憶内容を更新する。具体的には消去管理情報記憶部９１の各レコードから新たに追加されたファイルで使用された領域と重複する領域を除外する処理を行う。領域全てが使用されたレコードは消去管理情報記憶部９１から削除し、領域の一部が使用されたレコードは使用されていない領域だけを示すように登録内容を調整する。新たに追加されたファイルで使用された領域に対しては当然、消去処理を実施すべきではないので、この処理を行う。

一方、ステップＳ１０３でステップＳ１０２で発生したイベントが省電力モードへの移行時間が経過したことを示すイベントであった場合はステップＳ１１４へ進み、ステップＳ１１４〜ステップＳ１１６での消去処理が実施される。

ステップＳ１１４では、消去管理情報記憶部９１にレコードが登録されているかを調べ、消去管理情報記憶部９１にレコードが存在するならばステップＳ１１５へ進み、そうでなければステップＳ１１９へ進む。レコードが登録されているかどうかは、消去管理情報記憶部９１の先頭レコードのデータサイズ情報項目４１の内容が０でないかどうかで判定できる。

ステップＳ１１５では、消去管理情報記憶部９１の先頭レコードの示すデータ領域の消去処理を行う。たとえば、図４の例ではレコード４３のデータサイズ情報項目４１と開始アドレス情報項目４２の情報からそれに該当する印刷データ記憶部８１上で領域を検出する。

レコード４３の例では、開始アドレス「０」から始まるデータサイズ「３００」分の領域がそれに該当すると検出される。この領域は図２の例では領域２１に該当する。次に印刷データ記憶部８１上で検出された領域に対し、消去処理を行う。上述の通り、消去処理では、全てのデータに対して無意味なデータ（「０」や「０ｘＦＦ」など）を書き込む方法がある。また、ランダムに生成したデータを書き込んだり、書きこみ処理を複数回実施したりする方法をとってもよい。

ステップＳ１１６ではステップＳ１１５で消去処理を実施した領域に対応するレコードを消去管理情報記憶部９１から削除する。具体的には例えば有効レコードを示すポインタの値を次のレコードを示すように設定する。あるいは、２番目以降のレコードをそれぞれ１つずつ前にシフトするように消去管理情報記憶部９１を再構成する。ステップＳ１１７では機器にイベントが発生しているかどうかを調べ、発生していればステップＳ１１８へ進み、そうでなければステップＳ１１４へ戻り、次のレコードを処理する。機器にイベントが発生していた場合は省電力モードへの移行及び消去待ち領域の継続処理を中止する。

ステップＳ１１８ではスリープカウンタの値を初期化する。これはステップＳ１１７でイベントが検出されて省電力モードへの移行が中止されたために、スリープのカウントを新たに開始するために処理される。ステップＳ１１７で検出したイベントはステップＳ１０３以降で解析され実行される。

ステップＳ１１９では省電力モードに移行するかどうかを調べ、省電力モードに移行するならばステップＳ１２０へ進み、移行しない場合はステップＳ１１８へ進む。

省電力機能を使用するかどうかのユーザ設定は、たとえば省電力設定記憶部９２内に省電力実行フラグとして記憶させておけばよく、省電力モードに移行するかどうかの判定はその設定内容を参照することにより行われる。もし設定が移行しないようになっていたらステップＳ１１８へ進み、スリープカウンタの値を初期化してステップＳ１０２へ戻り、処理を続ける。

ステップＳ１２０では、機器の状態を通常電力モードから省電力モードへ移行するように制御する。この結果、制御部５もスリープ状態となるため、ＣＰＵによる制御は停止する。その後通常電力モードへの復帰が必要な要件、例えば通信部３を介してのホスト機器側からのデータの受信や、ユーザによる操作部１の操作などのイベントが発生すると、割り込み信号が発生してステップＳ１２１の処理へ遷移する。

ステップＳ１２１では、機器の状態を省電力モードから通常電力モードへ移行するように制御する。その後はステップＳ１１８へ進み、スリープカウンタの値を初期化してステップＳ１０２へ戻る。ステップＳ１２０からステップＳ１２１の間に発生したイベントはステップＳ１０３以降で解析され実行される。

以上のように本実施例によれば、ＨＤＤ８に格納したファイルが不要となった時、ファイル管理記憶部８２の管理情報を削除する削除処理を行なうとともに、印刷データ記憶部８１上で当該ファイルが占めていた領域を示す消去管理情報を消去管理情報記憶部９１に記憶する。その後、別のファイルをＨＤＤ８に格納するため印刷データ記憶部８１でファイルが占めていた領域に上書きする場合、その領域を消去管理情報記憶部９１の消去管理情報から除外する処理を行う。そして、消去処理を行なうべき機会が到来した場合、消去管理情報記憶部９１の消去管理情報に対応する印刷データ記憶部８１上の領域を所定の無意味なデータを用いて消去する消去処理を行うようになっている。

このような構成により、過去にＨＤＤ８上でファイルが占めていた領域は、必ず消去管理情報記憶部９１に記憶され、確実に全て消去処理することができ、また、操作ミスなどによる消し忘れも生じない。

また、機器が未使用である状態が一定時間継続し、通常電力状態から低消費電力状態（省電力モード）へ遷移するタイミングにおいて、消去処理を行なうようになっているので、他の情報処理、たとえば後続の印刷処理を遅滞させたり、パワーオン／オフ時の処理を長びかせる問題を生じない。

さらに、ＨＤＤ８に格納したファイルが不要となった時、ファイル管理記憶部８２の管理情報を削除し、該当のファイルが占めていたデータ領域に他のファイルを上書きする場合には、その領域を消去管理情報記憶部９１の消去管理情報から除外する処理を行うようになっている。このため、処理（使用）中のファイルを破損する問題を生じることがない。

なお、上記では機器が未使用である状態が一定時間継続し、通常電力状態から低消費電力状態（省電力モード）へ遷移するタイミングにおいて消去処理を実行するものとしたが、もちろん、下記の実施例２におけるようにユーザ指定タイミングにおいて、ステップＳ１１４〜Ｓ１１７の消去処理を行なうようにしてもよい。

本実施例では、機器が指定された時刻になると消去処理を行う場合について述べる。また、本実施例では削除処理の要求時の処理が実際の削除動作と異なり、擬似的な削除処理（不可視化処理）を行うだけなので、実施例１に比べてデータの機密性の保持という点では多少、効果が低減する。しかし、実施例１でのＥＥＰＲＯＭ９のようなＨＤＤとは別の記憶装置を必要とせずに実現が可能なことから機器の製造コストを低く抑えることができる利点がある。

なお、本実施例でも、図１に示した装置のハードウェア構成は共通であるものとする。ただし、本実施例ではＥＥＰＲＯＭ９の部分は必要ないので、実装する必要はない。

また、図２の印刷データ記憶部８１、および図３のファイル管理記憶部８２の内部構成は、本実施例でも共通であるものとする。

図６は、本実施例における電源投入後の制御手順を示すフローチャートである。図６の処理は、ユーザがプリンタの電源スイッチをオンにした場合に開始される。図６の制御手順は、たとえば制御プログラム記憶部６１内に格納しておく。

ステップＳ２０１では機器の初期化処理を実施する。この初期化処理は制御プログラムなどのソフトウェア的な処理や、機器内の各種の装置のハードウェア的な処理からなり、通信部３や印刷部４などの機構を使用可能になるように処理するものである。

ステップＳ２０２ではイベントが発生するのを待つ。このイベントとは、前述の図５のステップＳ１０２に関して説明したものと同様、ユーザによる機器の操作、通信部３を介しての機器への指示、インク切れ検知、紙詰まり、などに応じて発生される（ただし停電などの予測できない電源遮断イベントには対応できない）。本装置ではこれらのイベントに応じて各種の処理を実施する。

ステップＳ２０３では、ステップＳ２０２で発生したイベントが時刻がある指定した時刻に到達したものであるかを調べ、そうであればステップＳ２０８へ進み、そうでなければステップＳ２０４へ進む。ある指定した時刻とは消去時刻設定記憶部８３に記憶されている設定内容のことで、ユーザより消去処理を実行すべき時刻を設定されたものである。ユーザはこの設定値を機器が使用されていないと予想される時刻、たとえば深夜などに設定しておくことにより効果的な処理が実現できる。時刻は計時部１０内に存在するリアルタイムクロック機構により取得可能である。この機構には特定の時刻になったらイベントを発行するようなアラーム機能を有しており、これが設定した時刻と同じになった場合にイベントが発生し、ステップＳ２０３へ遷移する。

ステップＳ２０４では指定時刻に到達した以外のイベントの処理を実行する。このようなイベントの一例としては通信部３を介してデータを受信した場合で、受信したデータの内容により印刷や状態表示などのそれぞれの指示に応じた処理を実行する。また他の例としてはプリンタのインク切れや紙詰まりなどの現象発生が挙げられ、これらの場合には印刷の中断や中止を行い、ユーザに対して表示部２で警告を発生するなどの処理を実施する。

ステップＳ２０５ではステップＳ２０４でのイベントの処理を実施した結果、ＨＤＤ８内の印刷データのファイルを削除する必要が生じたかどうかを調べる。ファイルを削除する必要が生じた場合はステップＳ２０６へ進み、そうでなければステップＳ２０２へ戻り、次のイベントの発生を待つ。

ステップＳ２０６では、ステップＳ２０４で削除すべきと判定されたファイルの情報をファイル管理記憶部８２上で検索する。各データファイルの識別は通常はファイル名で管理されるため、ファイル管理記憶部８２でのファイル名３１の項目を調べて、ステップＳ２０４で発生した削除すべきファイルの名前と同じ名前のファイル名を持つレコードを検索する。場合によっては（前述のようにファイルが大きい場合など）該当するレコードは複数個ある場合もある。

ステップＳ２０７では、ステップＳ２０６で検索したレコードのジョブ属性情報項目３４の内容を消去待ちジョブの状態に変更する。図３の例ではその値は「１」になる。該当レコードが複数個ある場合は全てのレコードに対し同様の処理を行う。また、本実施例では、このようにジョブ属性情報項目３４の内容を消去待ちジョブの状態に変更すると同時に、今後はこのファイルはユーザには見せないように処理（不可視化処理）する。この後、ステップＳ２０２へ戻り、次のイベントの発生を待つ。

上記の不可視化処理により、ユーザにとってはこのファイルは削除されたように見える。なお、このような処理は、特定のＯＳのファイルシステムで用いられている不可視ビットを利用することにより可能となる。通常、このような不可視化処理を行なうと、ディレクトリのリスト取得のような特定の処理に対しては、ファイル管理記憶部８２のレコードの内容が報告されないようになる。

しかし、この不可視化を行なっただけの状態では、実際にはファイル管理記憶部８２と対応するデータ部分である印刷データ記憶部８１の内容はそのまま残っており、完全な「削除」状態にはなっていない。例えば、多くのＯＳのファイルシステムの「不可視」状態では、ファイル名さえ判ればそのファイルへのアクセスは可能である場合が多い。このため、実施例１のように「通常の」削除処理を行なう場合に比して、下記の消去処理が実行される前の段階では、ディスクの記憶内容が参照可能になってしまう危険性は多少大きくなる。また、不可視化の状態では不要となったファイルのデータ領域は確保されたままになっているため、ディスクの利用効率の点でも多少の不利がある。

一方、ステップＳ２０３でステップＳ２０２で発生したイベントが時刻がある指定した時刻に到達したものであった場合はステップＳ２０８へ進み、ステップＳ２０８〜ステップＳ２１１での消去処理が実施される。ステップＳ２０８ではファイル管理記憶部８２を調べ、消去待ちジョブがあるかどうかを調べる。具体的には、各レコードのジョブ属性情報項目３４を調べ、それが「１」（消去待ち）であるものがあるかどうかで判定する。

ステップＳ２０９では、ステップＳ２０８で調べた結果、消去待ちジョブがあったならばステップＳ２１０へ進み、一方、消去待ちジョブがなければステップＳ２０２へ戻り、次のイベントの発生を待つ。

ステップＳ２１０では、ステップＳ２０８で検出されたレコードの示すデータ領域の消去処理を行う。具体的には図３の例ではレコード３５を検出し、そのデータサイズ情報項目３２と開始アドレス情報項目３３の情報から該当する印刷データ記憶部８１上での領域を検出する。レコード３５の例では開始アドレス「０」から始まり、データサイズ「３００」を占める領域がそれに該当すると検出される。この領域は図２の例では領域２１に該当する。次に、印刷データ記憶部８１上での検出された領域に対し、消去処理を行う。消去処理の一例としては領域内の全てのデータに対して無意味なデータ（「０」や「０ｘＦＦ」など）を書き込む方法がある。また、ランダムに生成したデータを書き込んだり、書きこみ処理を複数回実施したりする方法をとってもよい。

ステップＳ２１１では、ステップＳ２０８で検出したレコードをファイル管理記憶部８２から（完全に）削除する。具体的には該当レコードの全項目の内容を無意味な値、例えば全て「０」に上書きする。そして該当レコードのジョブ属性情報項目３４の内容を「無効」の状態に変更する。これにより、今後、この属性のレコード（に対応するファイル）に対する全てのファイル操作を無視するように制御される。また、新規レコードの追加要求時には、この属性のレコードの記憶領域への上書き使用が許可される。その後、処理はステップＳ２０８へ戻り、次の消去待ちジョブに対しての処理を続行する。

以上のようにして、本実施例では、ファイルが不要となった時、ファイルに対して消去処理待ちの属性を付与するよう、かつ、ファイルが特定のファイル操作では不可視となるようファイル管理記憶部８２の管理情報を変更するようにしている。すなわち、ファイル管理記憶部８２の消去待ち属性と、不可視化処理を利用して、消去処理を実行すべきファイルを管理するようにしている。

このため、実施例１の消去管理情報記憶部９１およびこれを格納するためのＥＥＰＲＯＭ９のようなＨＤＤとは別の記憶装置を必要とせずに実現が可能であり、機器の製造コストを低く抑えることができる。

もちろん、本実施例においても、過去にＨＤＤ８上でファイルが占めていた領域は、ファイル管理記憶部８２に記録されており、確実に全て消去処理することができ、また、操作ミスなどによる消し忘れも生じない。

また、本実施例では、ユーザ指定の時刻になった時に消去処理を行うことができる。このため、夜間や休憩時間など、機器があまり使用されないような時間帯をユーザが指定して消去処理を行わせることができ、重要な他の情報処理、後続の印刷処理を遅滞させるような問題を生じない。

なお、本実施例ではユーザ指定タイミングにおいて、消去処理を行うものとしたが、もちろん、上記実施例１におけるように、機器が未使用である状態が一定時間継続し、通常電力状態から低消費電力状態（省電力モード）へ遷移するタイミングにおいて消去処理を実行するようにしてもよい。

本発明は、上記のプリンタに限定されることなく、パーソナルコンピュータや複合画像処理装置など、不揮発性記憶装置を有する情報処理装置において実施することができる。本発明を実施するために必要な制御プログラムは、あらかじめこれら情報処理装置のＲＯＭやＨＤＤなどの記憶媒体に格納しておくことができる。また、ＭＯやＣＤ−ＲＯＭなどの記憶メディアからインストール／アップデートすることができる。また、情報処理装置がネットワークインターフェースを有している場合は、任意のサーバからネットワーク経由で供給することもできる。

本発明を採用したプリンタの構成を示したブロック図である。 図１のプリンタの印刷データ記憶部の内部構成の一例を示した説明図である。 図１のプリンタのファイル管理記憶部の内部構成の一例を示した説明図である。 図１のプリンタの消去管理情報記憶部の内部構成の一例を示した説明図である。 図１のプリンタにおける消去処理の制御手順の概要を示したフローチャート図である。 図１のプリンタにおける異なる消去処理制御手順の概要を示したフローチャート図である。

符号の説明

１ 操作部
２ 表示部
３ 通信部
４ 印刷部
５ 制御部
６ ＲＯＭ
６１ 制御プログラム記憶部
７ ＲＡＭ
７１ バッファ
７２ ワークエリア
８ ＨＤＤ
８１ 印刷データ記憶部
８２ ファイル管理記憶部
８３ 消去時刻設定記憶部
９ ＥＥＰＲＯＭ
９１ 消去管理情報記憶部
９２ 省電力設定記憶部
１０ 計時部

Claims (11)

1. 入力データをファイルとして格納する不揮発記憶装置を有し、前記ファイルデータが前記不揮発記憶装置のデータ記憶部に記憶されるとともに、前記不揮発記憶装置のファイル管理記憶部の管理情報を介して管理され、前記不揮発記憶装置に格納した前記ファイルが不要となった後、前記データ記憶部上で当該ファイルが占めていた領域を消去する消去処理を行う情報処理装置において、
   前記不揮発記憶装置に格納した前記ファイルが不要となった時、前記ファイル管理記憶部の管理情報を削除する削除処理を行うとともに、前記データ記憶部上で当該ファイルが占めていた領域を示す消去管理情報を消去管理情報記憶部に記憶し、
   その後、別のファイルを前記不揮発記憶装置に格納するため前記データ記憶部でファイルが占めていた領域に上書きする場合、その領域を前記消去管理情報記憶部の消去管理情報から除外する処理を行い、
   前記消去処理を行うべき機会が到来した場合、前記消去管理情報記憶部の消去管理情報に対応する前記データ記憶部上の領域を所定の無意味なデータを用いて消去する消去処理を行う
   制御手段を有することを特徴とする情報処理装置。
2. 入力データをファイルとして格納する不揮発記憶装置を有し、前記ファイルデータが前記不揮発記憶装置のデータ記憶部に記憶されるとともに、前記不揮発記憶装置のファイル管理記憶部の管理情報を介して管理され、前記不揮発記憶装置に格納した前記ファイルが不要となった後、前記データ記憶部上で当該ファイルが占めていた領域を消去する消去処理を行う情報処理装置において、
   前記不揮発記憶装置に格納した前記ファイルが不要となった時、前記ファイルに対して消去処理待ちの属性を付与するよう、かつ、前記ファイルが特定のファイル操作では不可視となるよう前記ファイル管理記憶部の管理情報を変更し、
   前記消去処理を行うべき機会が到来した場合、前記ファイル管理記憶部において前記消去処理待ちとなっているファイルが占めている前記データ記憶部上の領域を所定の無意味なデータを用いて消去する消去処理を行う制御手段を有することを特徴とする情報処理装置。
3. 前記消去処理を行うべき機会が機器が未使用である状態が一定時間継続した場合であることを特徴とする請求項１または２に記載の情報処理装置。
4. 前記消去処理を行うべき機会が通常電力状態から低消費電力状態へ遷移するタイミングであることを特徴とする請求項１または２に記載の情報処理装置。
5. 前記消去処理を行うべき機会がユーザ指定の時刻になった時であることを特徴とする請求項１または２に記載の情報処理装置。
6. 入力データをファイルとして格納する不揮発記憶装置を有し、前記ファイルデータが前記不揮発記憶装置のデータ記憶部に記憶されるとともに、前記不揮発記憶装置のファイル管理記憶部の管理情報を介して管理され、前記不揮発記憶装置に格納した前記ファイルが不要となった後、前記データ記憶部上で当該ファイルが占めていた領域を消去する消去処理を行う情報処理装置の制御方法において、
   前記不揮発記憶装置に格納した前記ファイルが不要となった時、前記ファイル管理記憶部の管理情報を削除する削除処理を行うとともに、前記データ記憶部上で当該ファイルが占めていた領域を示す消去管理情報を消去管理情報記憶部に記憶し、
   その後、別のファイルを前記不揮発記憶装置に格納するため前記データ記憶部でファイルが占めていた領域に上書きする場合、その領域を前記消去管理情報記憶部の消去管理情報から除外する処理を行い、
   前記消去処理を行うべき機会が到来した場合、前記消去管理情報記憶部の消去管理情報に対応する前記データ記憶部上の領域を所定の無意味なデータを用いて消去する消去処理を行う
   ことを特徴とする情報処理装置の制御方法。
7. 入力データをファイルとして格納する不揮発記憶装置を有し、前記ファイルデータが前記不揮発記憶装置のデータ記憶部に記憶されるとともに、前記不揮発記憶装置のファイル管理記憶部の管理情報を介して管理され、前記不揮発記憶装置に格納した前記ファイルが不要となった後、前記データ記憶部上で当該ファイルが占めていた領域を消去する消去処理を行う情報処理装置の制御方法において、
   前記不揮発記憶装置に格納した前記ファイルが不要となった時、前記ファイルに対して消去処理待ちの属性を付与するよう、かつ、前記ファイルが特定のファイル操作では不可視となるよう前記ファイル管理記憶部の管理情報を変更し、
   前記消去処理を行うべき機会が到来した場合、前記ファイル管理記憶部において前記消去処理待ちとなっているファイルが占めている前記データ記憶部上の領域を所定の無意味なデータを用いて消去する消去処理を行うことを特徴とする情報処理装置の制御方法。
8. 前記消去処理を行うべき機会がユーザ指定の時刻になった時であることを特徴とする請求項６または７に記載の情報処理装置の制御方法。
9. 前記消去処理を行うべき機会が機器が未使用である状態が一定時間継続した場合であることを特徴とする請求項６または７に記載の情報処理装置の制御方法。
10. 前記消去処理を行うべき機会が通常電力状態から低消費電力状態へ遷移するタイミングであることを特徴とする請求項６または７に記載の情報処理装置の制御方法。
11. 請求項６〜請求項１０のいずれか１項に記載の情報処理装置の制御方法を実施すべく、情報処理装置の構成ハードウェアを制御することを特徴とする情報処理装置の制御プログラム。

Images