JP2022157951A - 画像形成装置 - Google Patents

Abstract

【課題】不揮発性メモリに記憶されるデータを安全に消去すること。【解決手段】ＭＦＰ１の第２不揮発性メモリ２２にはＡドライブ７３とＢドライブ７５とが設けられている。鍵管理アプリ４６は、セキュリティが施されており、鍵情報にアクセス可能である。Ｂドライブ７５には、鍵管理アプリ４６を用いて暗号化されたシステムデータファイルが記憶され、Ａドライブ７３には、暗号化されていないユーザデータファイルが記憶されている。ＭＦＰ１は、第１消去指示を受け付けた場合、Ａドライブ７３を完全消去してユーザデータを全て使用不能にする。一方、ＭＦＰ１は、第２消去指示を受け付けた場合、システムデータファイルをファイルシステムによって消去する。【選択図】図２

Description

本発明は、不揮発性メモリを備える画像形成装置に関する。さらに詳細には、不揮発性メモリに記憶されるデータを消去する技術に関するものである。

従来、不揮発性メモリを備える画像形成装置において、その不揮発性メモリに記憶されたデータを消去する技術が知られている。例えば特許文献１には、画像形成装置が備える不揮発性メモリの初期化方法が開示されている。

特開２０１７－０２７２４４号公報

近年、不揮発性メモリへのデータの読み書きを簡便にするため、ファイルシステムが構築されている画像形成装置がある。ファイルシステムを利用することで、画像形成装置に組み込まれたアプリケーションプログラムは、不揮発性メモリにおけるデータの記憶場所となる物理的なアドレスを特定することなく、不揮発性メモリへのデータの読み書きを行うことができる。

このファイルシステムにおいてデータの削除を行った場合、その削除対象のデータはファイルシステムの管理から外れてファイルシステムを介して読み出すことができなくなるものの、データは不揮発性メモリに残ることがある。そのため、不揮発性メモリに記憶されるデータを消去する場合、安全性を重視すると、不揮発性メモリの記憶領域全体をダミーデータで上書きする等、データを復元困難にすることが望まれる。一方で、不揮発性メモリには、消去したくないデータが混在することもある。そこで、特許文献１に開示されているように、そのようなデータを一時的に別のメモリに退避する方法が採用されることもあるが、別のメモリに一時的に退避する方法の場合、退避するデータを記憶可能な別のメモリが必要になる。

本明細書は、ファイルシステムが構築された画像形成装置において、不揮発性メモリに記憶されるデータを安全に消去することが可能な技術を開示する。

上述した課題の解決を目的としてなされた画像形成装置は、不揮発性メモリと、画像形成ユニットと、を備える画像形成装置であって、前記画像形成装置は、前記不揮発性メモリへのアクセスに用いるファイルシステムを有し、前記画像形成装置に組み込まれているアプリケーションプログラムは、前記ファイルシステムを介して前記不揮発性メモリへのデータの読み書きが可能であり、前記アプリケーションプログラムには、前記不揮発性メモリに記憶されるデータを用いて、前記画像形成ユニットを動作させるジョブを処理するアプリケーションプログラムが含まれ、前記不揮発性メモリには、前記ファイルシステムによって、パーティションで仕切られた複数の領域が設けられ、前記複数の領域には、第１のデータを記憶可能な第１の領域と、第２のデータを記憶可能な第２の領域と、が含まれ、さらに前記画像形成装置は、セキュリティが施された特定のモジュールを備え、前記特定のモジュールは鍵情報にアクセスしてデータの暗号化が可能であり、さらに前記画像形成装置は、前記第２の領域に前記第２のデータを書き込む指示を受け付けた場合、前記特定のモジュールを用いて前記第２のデータを暗号化し、暗号化した前記第２のデータを、前記第２の領域に書き込むデータ書込み処理を実行し、さらに前記画像形成装置は、前記第１の領域の消去指示を受け付けた場合、前記不揮発性メモリのうち前記第１の領域の記憶領域を完全消去して前記第１の領域に記憶される前記第１のデータ全てを使用不能にする第１の消去処理を実行し、前記第２の領域に記憶される前記第２のデータの消去指示を受け付けた場合、前記第２のデータを前記ファイルシステムによって削除する第２の消去処理を実行する、ことを特徴とする。

上記画像形成装置は、１つの不揮発性メモリをファイルシステムによって複数の領域に分け、第１のデータと第２のデータとを別々の領域に記憶し、領域ごとに異なる消去方法によってデータを消去することで、一方の領域に記憶されたデータを残しつつ、別の領域に記憶されたデータを消去することができる。そして、第１の領域に記憶された第１のデータを完全消去するため、第１のデータの安全性が担保される。第２の領域に記憶された第２のデータを消去する場合は、ファイルシステム上で第２のデータを削除するため、第２のデータが第２の領域に残ることがある。しかし、第２のデータ自体が暗号化されており、さらに、セキュリティが施された特定のモジュールを用いて鍵情報にアクセス可能であることから、第２のデータを復号化して入手することが極めて困難であり、第２のデータそのものを消去した場合と同等に安全性が担保される。

上記装置の機能を実現するための制御方法、コンピュータプログラム、および当該コンピュータプログラムを格納するコンピュータにて読取可能な記憶媒体も、新規で有用である。

本明細書に開示される技術によれば、ファイルシステムが構築された画像形成装置において、不揮発性メモリに記憶されるデータを安全に消去することが可能な技術が実現される。

本発明の一実施形態に係るＭＦＰの構成を示すブロック図である。 ファイルシステムを説明する図である。 通常画面とカスタム画面の一例を示す図である。 画面の表示例を示す図である。 データ書込み処理の制御手順の一例を示すフローチャートである。 認証処理の制御手順の一例を示すフローチャートである。 画面の表示例を示す図である。 データ読み出し処理の制御手順の一例を示すフローチャートである。 表示処理の制御手順の一例を示すフローチャートである。 データ消去処理の制御手順の一例を示すフローチャートである。 ユーザデータの消去の一例を示す概念図である。 システムデータの消去の一例を示す概念図である。

以下、本実施形態にかかる装置について、添付図面を参照しつつ詳細に説明する。本形態では、ファイルシステムを用いてデータを管理する画像形成装置を開示する。

図１は、本発明の一実施形態に係るＭＦＰ１の構成を示すブロック図である。ＭＦＰ（Multifunction Printerの略）１は、印刷機能、コピー機能、ＦＡＸ機能、スキャナ機能を備える装置である。ＭＦＰ１は「画像形成装置」の一例である。ＭＦＰ１は、操作表示部１１と、印刷部１２と、読取部１３と、ＦＡＸモデム１４と、通信インタフェース（以下「通信ＩＦ」とする）１５と、ＡＳＩＣ（application specific integrated circuitの略）１６と、メモリ２０とを備え、これらがバス１９を介して接続されている。

操作表示部１１は、ユーザによる操作を受け付けるハードウェアと、ユーザに情報を報知するための画面を表示するハードウェアと、を含む。操作表示部１１は、例えば、キーボードやマウス等と、情報を表示可能なディスプレイとの組であってもよいし、表示機能と入力受付機能とを備えるタッチパネルであってもよい。操作表示部１１は「ユーザインタフェース」の一例である。印刷部１２は、印刷媒体に画像を印刷する。印刷部１２の印刷方式は、電子写真方式でもインクジェット方式でもよい。画像はカラーでもモノクロでもよい。印刷部１２は「画像形成ユニット」の一例である。

読取部１３は、原稿の画像を読み取り、画像データを生成する。ＦＡＸモデム１４は、電話回線を介して、外部装置との間でＦＡＸデータの送受信を行う。通信ＩＦ１５は、ユーザが使用する通信端末（以下「ユーザ端末」とする）２や、ＭＦＰ１に関するサービスを提供するシステムベンダのサービスマンなど特別なアクセス権限を有する者（以下「システムベンダ等」とする）が使用する通信端末（以下「管理端末」とする）３などの外部装置と通信を行うためのハードウェアを含む。通信ＩＦ１５の通信規格は、例えば、イーサネット（登録商標）、Ｗｉ－Ｆｉ（登録商標）、ＵＳＢなどである。通信ＩＦ１５は「通信インタフェース」の一例である。

なお、システムベンダ等には、ＭＦＰ１のメーカのサービスマンや、ＭＦＰ１を含む業務機材システムを販売するシステムベンダのサービスマン、ＭＦＰ１を販売する販売会社のサービスマン、ＭＦＰ１、または、ＭＦＰ１を含む業務機材を搬入した会社のシステム管理者、なども該当する。サービスマンは、例えば、サービスマン、サービスやシステムの管理者、なども該当する。

ＡＳＩＣ１６は、ＣＰＵ３１を備えている。ＣＰＵ３１は、メモリから読み出したプログラムに従って各種処理を実行する。メモリ２０は、例えば、ＨＤＤ、Ｅ２ＰＲＯＭ、フラッシュメモリであり、各種のプログラム、画像データや文書データ等のデータ、各種設定を記憶する領域として利用される。

メモリ２０の一例は、コンピュータが読み取り可能なストレージ媒体であってもよい。コンピュータが読み取り可能なストレージ媒体とは、ｎｏｎ－ｔｒａｎｓｉｔｏｒｙな媒体である。ｎｏｎ－ｔｒａｎｓｉｔｏｒｙな媒体には、上記の例の他に、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ等の記録媒体も含まれる。また、ｎｏｎ－ｔｒａｎｓｉｔｏｒｙな媒体は、ｔａｎｇｉｂｌｅな媒体でもある。一方、インターネット上のサーバなどからダウンロードされるプログラムを搬送する電気信号は、コンピュータが読み取り可能な媒体の一種であるコンピュータが読み取り可能な信号媒体であるが、ｎｏｎ－ｔｒａｎｓｉｔｏｒｙなコンピュータが読み取り可能なストレージ媒体には含まれない。

本形態のメモリ２０は、第１不揮発性メモリ２１と、第２不揮発性メモリ２２と、揮発性メモリ２４と、を備えている。揮発性メモリ２４は、各種処理が実行される際の作業領域としても使用される。

第１不揮発性メモリ２１には、オペレーティングシステム（以下「ＯＳ」とする）４１や、各種のアプリケーションプログラム（以下「アプリ」とする）４５が記憶されている。アプリ４５は、ＭＦＰ１の機能を実行するためのプログラムである。アプリ４５には、例えば保存されている画像データに基づく印刷を所定の認証後に行わせるプログラムが該当する。また例えば、アプリ４５には、図３，４，６，８などを参照して説明する画面や、印刷指示や印刷指示やスキャン指示などを受け付ける画面（以下「操作画面」とする）などの各種画面を操作表示部１１に表示するプログラム（以下「表示アプリ」とする）や、操作画面を設定するプログラムや、表示画面に基づく操作に対する各処理を行うプログラムが、該当する。ＭＦＰ１には、ファイルシステムが構築されており、アプリ４５は使用するデータのファイル名を指定することによって、データにアクセスする。アプリ４５は、「アプリケーションプログラム」の一例である。

また例えば、第１不揮発性メモリ２１には、鍵管理アプリ４６が記憶されている。鍵管理アプリ４６は、セキュリティが施され、鍵情報にアクセス可能である。鍵情報へのアクセスは、鍵管理アプリ４６のみ可能であるよう、セキュリティが施されている。そのため鍵情報にアプリ４５等からアクセスすることはできない。鍵情報は、後述するように第２不揮発性メモリ２２に記憶されるデータの暗号化に用いられる暗号鍵に基づく情報である。鍵管理アプリ４６は、鍵情報に基づく暗号鍵を用いてデータの暗号化あるいは復号化を行うプログラムである。

鍵情報は、暗号化するデータごと或いはデータの種別ごとに設けられた複数種類の鍵情報で構成されてもよいし、一種類の鍵情報で構成されてもよい。鍵情報は、暗号鍵そのものであってもよいし、暗号鍵を生成するための情報（例えば暗号鍵の一部）であってもよい。鍵情報が暗号鍵の一部である場合、暗号鍵の残部は、対応する暗号鍵の一部と異なる別の不揮発性の記憶領域に記憶されてもよい。鍵情報は、暗号鍵で暗号化したデータを復号化するための鍵として作成された復号鍵であってもよい。

図２は、ファイルシステムを説明する図である。鍵管理アプリ４６は、起動したＭＦＰ１でなければ使用できないよう、暗号化されていることで、セキュリティが施されている。ＭＦＰ１は、鍵管理アプリ４６に変わるモジュールとして、ＴＰＭ（trusted platform moduleの略）を備えていてもよい。ＴＰＭはセキュアコーティングされている。鍵管理アプリ４６またはＴＰＭは「特定のモジュール」の一例である。

なお、第１不揮発性メモリ２１は、ＯＳ４１やアプリ４５や鍵管理アプリ４６を記憶するための記憶領域を簡易的に示しているものであり、ＯＳ４１とアプリ４５と鍵管理アプリ４６は、物理的に別の不揮発性メモリに記憶されてもよい。ＯＳ４１が、図示しないＲＯＭに記憶されていてもよい。鍵管理アプリ４６は、第２不揮発性メモリ２２のＡドライブ７３ともＢドライブ７５とも異なる不揮発性の記憶領域に記憶されてもよい。

第２不揮発性メモリ２２は、データないしプログラムの読み書きが可能なメモリである。第２不揮発性メモリ２２は、アプリ４５等がファイルシステムを介して用いるデータが記憶されている。第２不揮発性メモリ２２は「不揮発性メモリ」の一例である。

ファイルシステム管理部９１は、第２不揮発性メモリ２２を複数の領域に分けている。ファイルシステム管理部９１は、アプリ４５等からの指示に応じて、各領域のデータを読み書きする。ファイルシステム管理部９１は、指示部と、管理部と、を備えている。

指示部は、第２不揮発性メモリ２２へデータを書き込んだり、読み出したり、消去したりするための処理（例えば、後述する図５（Ａ）（Ｂ）、図６、図８、図１０（Ａ）（Ｂ）に示す処理）を実行するプログラムにより構成される。指示部は、例えば、後述する図５（Ａ）（Ｂ）、図８、図１０（Ａ）（Ｂ）に示す処理を開始するトリガとなる、各種の指示を受け付ける。指示部は、ファイル名によって、アプリ４５等からファイルの指定を受け付ける。指示部は、アプリ４５等からの指示に応じて、第２不揮発性メモリ２２にデータを書き込む書込み指示や、第２不揮発性メモリ２２からデータを読み出す読み出し指示を、管理部に渡す。指示部は、書込み指示や読み出し指示を管理部に渡す際に、「パーティション名」や「ファイル名」でパーティションやファイルを指定する。指示部は、アプリ４５等と管理部との間を受け持つ、ミドルウェアだととらえることもできる。指示部は、アプリの一つであってもよい。

管理部は、パーティション情報や、ファイル情報を管理するプログラムにより構成されている。パーティション情報は、領域に関する情報であり、例えば、領域の名称（パーティション名）やアドレスを含む。ファイル情報は、領域に記憶されたデータに関する情報であり、例えば、ファイル名やアドレスを含む。つまり、管理部は、パーティション名およびファイル名と、第２不揮発性メモリ２２のメモリアドレスと、の関係を示す関係情報を管理している。管理部は、指示部から「パーティション名」や「ファイル名」で領域やファイルを指定した指示を受け取る。管理部は、指示部から受け取った指示に従って、第２不揮発性メモリ２２へデータの書き込み、読みだし、消去を行う。管理部は、ＯＳの一部に含まれていてもよい。パーティション情報およびファイル情報のうち、アドレスは、アプリ４５に対してブラックボックス化されている。

なお、以下の説明では、指示部および管理部が行う各種の処理を、ファイルシステム管理部９１が行う処理として説明する。また、ファイルシステム管理部９１が一つのプログラムで構成されていてもよい。

本形態では、ファイルシステム管理部９１は、第２不揮発性メモリ２２を第１の領域（以下「Ａドライブ」とする）７３と第２の領域（以下「Ｂドライブ」とする）７５とに分け、Ａドライブ７３とＢドライブ７５のパーティション情報を管理している。Ａドライブ７３には、暗号化されておらず、一般ユーザの操作によって消去できるユーザデータが、記憶されている。また、Ｂドライブ７５には、一般ユーザの操作によって消去できない暗号化されたシステムデータが、記憶されている。ファイルシステム管理部９１は、ユーザデータとシステムデータのファイル情報を管理している。Ａドライブ７３は「第１の領域」の一例であり、ユーザデータは「第１のデータ」の一例である。Ｂドライブ７５は「第２の領域」の一例であり、システムデータは「第２のデータ」の一例である。

ユーザデータには、アドレス帳に登録されるアドレス帳情報（名前、名称、グループ名、電話番号、ＦＡＸ番号など）が該当する。アドレス帳情報は、例えば、第２ユーザデータファイル８４ｂとしてＡドライブ７３に記憶されている。ユーザデータは、アドレス帳情報に限定されず、ＦＡＸモデム１４を介して受信したＦＡＸデータなどであってもよい。

システムデータには、例えば図３（Ｂ）に示すように、背景やアイコンの表示がカスタマイズされたカスタム画面Ｄ２２を表示するためのカスタムデータが該当する。カスタム画面Ｄ２２は、例えば背景Ｂ２２が図３（Ａ）に示す通常画面Ｄ２１の背景Ｂ２１から変更されている。例えば、カスタムデータは、暗号化され、第１システムデータファイル８６ａとしてＢドライブ７５に書き込まれている。なお、システムデータは、カスタムデータに限定されない。例えば、システムデータは、カスタムデータにアクセスするためのカスタムプログラムであってもよい。カスタムプログラムは、Ｂドライブ７５に第２システムデータファイル８６ｂとして記憶されている。カスタムプログラムは、カスタムデータの有効あるいは無効を示すカスタムデータフラグを含む。

続いて、ＭＦＰ１の動作について図面を参照して説明する。以下の説明において、ＣＰＵ３１による、情報Ａは事柄Ｂであることを示しているか否かを判断する処理を、「情報Ａから、事柄Ｂであるか否かを判断する」のように概念的に記載することがある。ＣＰＵ３１による、情報Ａが事柄Ｂであることを示しているか、事柄Ｃであるかを示しているかを判断する処理を、「情報Ａから、事柄Ｂであるか事柄Ｃであるかを判断する」のように概念的に記載することがある。また、以下の説明において説明するＣＰＵ３１の処理は、ＡＳＩＣ１６が行ってもよい。また、処理を実行する主体を、アプリやファイルシステム管理部９１とすることがある。この場合、アプリやファイルシステム管理部９１が行う処理は、実質的に、ＣＰＵ３１あるいはＡＳＩＣ１６が行う。

まず、ユーザデータをＡドライブ７３に書き込む制御手順について説明する。例えば、ＭＦＰ１は、図４（Ａ）の各種設定画面Ｄ１１にて、操作表示部１１を介してアドレス帳ボタンＡ１１が操作されると、アドレス情報を管理するアドレス帳アプリを起動させる。アドレス帳アプリは、アドレス帳情報の入力操作を受け付けると、ファイルシステム管理部９１にアドレス帳情報を第２不揮発性メモリ２２に書き込むことを指示する。

当該指示を受け付けたファイルシステム管理部９１は、第１データ書込み指示を受け付けたと判断し、図５（Ａ）に示す第１データ書込み処理を実行する。すなわち、ファイルシステム管理部９１は、アドレス帳情報を暗号化せずに、第２ユーザデータファイル８４ｂとして第２不揮発性メモリ２２のＡドライブ７３に書き込み（Ｓ１）、処理を終了する。このとき、ファイルシステム管理部９１は、第２ユーザデータファイル８４ｂのファイル情報を、所定の領域に記憶する。これにより、第２ユーザデータファイル８４ｂがファイルシステムの管理対象となり、アプリ４５等がファイルシステムを介して第２ユーザデータファイル８４ｂにアクセスできるようになる。

本形態では、第１データ書込み指示が一般公開されている。そのため、一般ユーザでもシステムベンダ等でも、第１データ書込み指示をＭＦＰ１に入力し、ユーザデータを第２不揮発性メモリ２２に書き込むことができる。なお、後述する第１消去指示の入力方法も第１データ書込み指示と同様、一般公開されている。第１データ書込み指示と第１消去指示を操作表示部１１を介して入力する操作は、「第１のユーザ操作」の一例である。

次に、システムデータをＢドライブ７５に書き込む手順について説明する。本形態では、第２データ書込み指示の入力方法が一般公開されず、システムベンダ等だけに公開されている。そのため、システムベンダ等だけが、システムデータを第２不揮発性メモリ２２に書き込むことができる。よって、第２データ書込み指示は、第１データ書込み指示と異なる方法でＭＦＰ１に入力される。なお、後述する第２消去指示の入力方法も第２データ書込み指示と同様、一般公開されず、システムベンダ等のみに公開されている。

例えば、管理端末３には、一般公開されておらず、システムベンダ等だけに公開されているＰＣアプリが組み込まれている。ＰＣアプリは、例えば、システムデータを作成するプログラムである。ＰＣアプリがＭＦＰ１にシステムデータを送信するコマンドは、公開されていない。そのため、システムデータをＭＦＰ１に書き込めるのは、システムベンダ等に限られる。

例えば、管理端末３は、自端末に組み込まれたＰＣアプリでカスタム画面Ｄ２２のカスタムデータを生成し、そのカスタムデータをＭＦＰ１に入力する指示を受け付けると、第２不揮発性メモリ２２にカスタムデータを書き込むことを指示するコマンドをＭＦＰ１に送信する。管理端末３は「外部デバイス」の一例である。コマンドの受信は「特定の入力方法」の一例である。

ＭＦＰ１は、通信ＩＦ１５を介してそのコマンドを受信すると、第２データ書込み指示を受け付けたと判断し、図５（Ｂ）に示す第２データ書込み処理を実行する。

ファイルシステム管理部９１は、カスタムデータの暗号化を鍵管理アプリ４６に依頼する（Ｓ１２）。鍵管理アプリ４６は、カスタムデータに対応する鍵情報にアクセスし、その鍵情報に基づく暗号鍵を用いて、管理端末３からＰＣ１に入力されたカスタムデータを暗号化する。鍵情報が暗号鍵そのものであれば、鍵管理アプリ４６は、その鍵情報を暗号鍵として使用する。鍵情報が暗号鍵の一部であれば、鍵管理アプリ４６は、その暗号鍵の一部に基づいて暗号鍵の残部を取得し、暗号鍵を再現する。鍵情報は、暗号鍵を作成するためのデータであって、鍵管理アプリ４６は、このデータを元に暗号鍵を作成してもよい。

ファイルシステム管理部９１は、鍵管理アプリ４６によって暗号化されたカスタムデータを、第１システムデータファイル８６ａとしてＢドライブ７５に書き込む（Ｓ１３）。これに対応して、ファイルシステム管理部９１は、第１システムデータファイル８６ａのファイル情報を所定の領域に書き込む。これにより、第１システムデータファイル８６ａがファイルシステムの管理対象となる。Ｓ１２、Ｓ１３の処理は「データ書込み処理」の一例である。さらに、ファイルシステム管理部９１は、カスタムプログラムのカスタムデータフラグを無効から有効に切り替えて更新する。カスタムデータフラグは、システムベンダ等のみに公開された操作により、カスタムデータ書き込み後に有効と無効を任意に切り替えられてもよい。なお、カスタムデータフラグは、システムデータとしてＢドライブ７５に記憶してもよい。その後、ファイルシステム管理部９１は処理を終了する。

なお、システムデータをＢドライブ７５に書き込むコマンドは、例えば、ＰＪＬコマンドであってもよい。ＭＦＰ１は、ＰＪＬコマンドを受信した場合、あるいは、装着された外部メモリ（例えばＵＳＢメモリ）にＰＪＬコマンドが記憶されている場合に、ＰＪＬコマンドを解析し、システムデータをＢドライブ７５へ書き込むコマンドであれば、図５（Ｂ）に示す第２データ書込み処理を実行し、そのシステムデータをＢドライブ７５に書き込む。

ＭＦＰ１は、管理端末３からコマンドを受信することでＢドライブ７５にシステムデータを書き込むのではなく、システムベンダ等が操作表示部１１を介して入力した第２データ書込み指示を受け付けて、Ｂドライブ７５にシステムデータを書き込んでもよい。

例えば、システムベンダ等は、作成済みのカスタムデータを記憶したＵＳＢメモリをＭＦＰ１に装着する。そして、システムベンダ等は、図４（Ａ）に示す各種設定画面Ｄ１１に表示されるシステム管理ボタンＡ１４を操作する。すると、ＣＰＵ３１は、認証指示を受け付け、図６に示す認証処理を実行する。システム管理ボタンＡ１４の操作は「特定のユーザ操作」の一例である。

ＣＰＵ３１は、図７（Ａ）に示す認証情報入力画面Ｄ３を操作表示部１１に表示させ（Ｓ２０）、認証情報を受け付けたか否かを判断する（Ｓ２１）。システムベンダ等が認証情報入力画面Ｄ３の入力欄ＳＡに認証情報を入力し、ＯＫボタンＡ３を操作すると、ＣＰＵ３１は、認証情報を受け付けたと判断し（Ｓ２１：ＹＥＳ）、入力された認証情報に基づいて特定のアクセス権限を有するか否かを判断するユーザ認証を行う（Ｓ２２）。Ｓ２１、Ｓ２２の処理は「認証処理」の一例である。

ＣＰＵ３１は、認証に成功した場合（Ｓ２３：ＹＥＳ）、図７（Ｂ）に示すようなシステム管理画面Ｄ５を操作表示部１１に表示させる（Ｓ２４）。つまり、システム管理画面Ｄ５は、認証に成功した特定のユーザのみが操作可能な画面であり、一般ユーザが操作できない画面である。システム管理画面Ｄ５は、システムデータの入力を指示するデータ入力ボタンＡ５と、システムデータの削除を指示するリセットボタンＡ６と、その他の処理を指示するその他ボタンＡ７と、を含む。ボタンＡ５、Ａ６の操作は、「第２のユーザ操作」の一例である。

ＣＰＵ３１は、データ入力ボタンＡ５又はリセットボタンＡ６の操作を受け付けたか否かを判断する（Ｓ２５）。ＣＰＵ３１は、データ入力ボタンＡ５の操作を受け付けた場合（Ｓ２５：データ入力ボタン）、第２データ書込み指示をファイルシステム管理部９１に渡し（Ｓ２９）、処理を終了する。ファイルシステム管理部９１は、第２データ書込み指示を受け付けると、上述した図５（Ｂ）に示す第２データ書込み処理を実行する。これにより、ＭＦＰ１に装着されたＵＳＢメモリに記憶されているカスタムデータは、ＰＣ１に入力された後、鍵管理アプリ４６を用いて暗号化され、ファイル管理システム９１によってＢドライブ７５に書き込まれる。

次に、システムデータをＢドライブ７５から読み出す際の制御手順について説明する。ファイルシステム管理部９１は、例えば、アプリ４５等から第１システムデータファイル８６ａのファイル名を指定した読み出し指示を受け付けると、図８に示すデータ読み出し処理を実行する。

ファイルシステム管理部９１は、読み出し指示で指定されたファイル名に基づいて、第１システムデータファイル８６ａを第２不揮発性メモリ２２のＢドライブ７５から取得する（Ｓ５１）。

そして、ファイルシステム管理部９１は、Ｓ５１にて取得した第１システムデータファイル８６ａの復号化を鍵管理アプリ４６に依頼する（Ｓ５３）。Ｓ５３の処理は、「第２のデータを復号化する処理」の一例である。

例えば、鍵管理アプリ４６は、第１システムデータファイル８６ａに対応する鍵情報にアクセスする。アクセス先の鍵情報が暗号鍵そのものであれば、鍵管理アプリ４６は、その鍵情報を暗号鍵として用い、第１システムデータファイルを復号化する。また例えば、アクセス先の鍵情報が暗号鍵の一部である場合、鍵管理アプリ４６は、その暗号鍵の残部にアクセスして、暗号鍵そのものを再現し、再現した暗号鍵を用いて第１システムデータファイル８６ａを復号化する。また、アクセス先の鍵情報が、第１システムデータファイル８６ａを暗号化した暗号鍵に対応する復号鍵である場合、鍵管理アプリ４６は、その鍵情報を用いて第１システムデータファイル８６ａを復号化する。

ファイルシステム管理部９１は、鍵管理アプリ４６によって復号化された第１システムデータファイル８６ａをアプリ４５等に渡し（Ｓ５４）、処理を終了する。

鍵管理アプリ４６にはセキュリティが施されており、鍵情報には鍵管理アプリ４６のみがアクセス可能である。そのため、鍵情報が漏洩しにくく、システムデータは安全に使用される。また、鍵管理アプリ４６がシステムデータの復号化を一括管理するので、アプリ４５等は、各自でデータを復号化する場合と比較して、システムデータの読み出しが容易になる。

このデータ読み出し処理は、例えば、表示アプリを用いて操作表示部１１に画面表示する場合に実行される。例えば、ＭＦＰ１は、ＯＳ４１が起動されると、ＣＰＵ３１が表示アプリを第１不揮発性メモリ２１から読み出し、図９に示す表示処理を実行する。

表示アプリは、例えばファイルシステムを介して、カスタムデータフラグが有効か否かを判断する（Ｓ６１）。具体的に、表示アプリは、第２システムデータファイル８６ｂのファイル名を指定した読み出し指示を、ファイルシステム管理部９１に渡す。ファイルシステム管理部９１は、上述したデータ読み出し処理を実行し、鍵管理アプリ４６によって復号化された第２システムデータファイル８６ｂを表示アプリに渡す。表示アプリは、復号化された第２システムデータファイル８６ｂに基づいて、カスタムプログラムのカスタムデータフラグが有効か否かを判断する（Ｓ６１）。表示アプリは、カスタムデータフラグが無効である場合（Ｓ６１：ＮＯ）、図３（Ａ）に示す通常画面Ｄ２１を表示し（Ｓ６５）、処理を終了する。

一方、表示アプリは、カスタムデータフラグが有効である場合（Ｓ６１：ＹＥＳ）、カスタムデータが検出されたか否かを判断する（Ｓ６２）。具体的に、表示アプリには、カスタムデータファイルとしてのファイル名が予め規則化されている。表示アプリは、その規則に則ったファイル名の検索をファイルシステム管理部９１に指示する。表示アプリは、例えば第１システムデータファイル８６ａのファイル名をファイルシステム管理部９１に渡し、ファイルシステム管理部９１がそのファイルを検出しなかった場合（Ｓ６２：ＮＯ）、通常画面Ｄ２１を表示して（Ｓ６５）、処理を終了する。

これに対して、表示アプリは、ファイルシステム管理部９１が第１システムデータファイル８６ａのファイル名を検出した場合（Ｓ６２：ＹＥＳ）、ファイルシステム管理部９１を介してカスタムデータを取得する（Ｓ６３）。すなわち、ファイルシステム管理部９１は、上述したデータ読み出し処理を実行し、鍵管理アプリ４６によって復号化された第１システムデータファイル８６ａを表示アプリに渡す。表示アプリは、復号化された第１システムデータファイル８６ａに格納されたカスタムデータを用いて、例えば図３（Ｂ）に示すカスタム画面Ｄ２２を表示し（Ｓ６４）、処理を終了する。

次に、ＭＦＰ１が第２不揮発性メモリ２２からユーザデータを消去する制御手順について説明する。ユーザデータは、工場出荷後にユーザの操作により入力されているので、ユーザが任意に消去できることが好ましい。ＭＦＰ１は、例えば、ファイルシステム管理部９１が管理しているファイル情報を削除することにより、ユーザデータをファイルシステム上で削除できる。しかし、この方法では、Ａドライブ７３に第１ユーザデータファイル８４ａや第２ユーザデータファイル８４ｂが残る。そのため、第２不揮発性メモリ２２を廃棄したり、リサイクルしたりする場合、暗号化されていない第１ユーザデータファイル８４ａと第２ユーザデータファイル８４ｂがファイル復元ツール（サルベージツール、リカバリーツールとも呼ばれる）を用いて読み出され、流出する可能性がある。そこで、本形態では、Ａドライブ７３に記憶されるユーザデータを、完全消去する。

例えば、ＭＦＰ１は、図４（Ａ）に示す各種設定画面Ｄ１１において、リセットボタンＡ１３が操作された場合、図４（Ｂ）に示すリセット画面Ｄ１を操作表示部１１に表示する。リセット画面Ｄ１は、認証を行わずに表示可能な画面であり、一般ユーザでも、システムベンダ等の特定のユーザでも操作可能な画面である。

ファイルシステム管理部９１は、リセット画面Ｄ１の全データボタンＡ１が操作表示部１１を介して操作された場合、第１消去指示を受け付けたと判断し、図１０（Ａ）に示す第１データ消去処理を実行する。第１消去指示では、Ａドライブ７３のパーティション名が指定されている。第１消去指示は「第１の領域の消去指示」の一例である。

なお、ボタンＡ１の表示は、「ファクトリーリセット」としてもよい。ファクトリーリセットを表示するボタンＡ１が操作された場合、後述するＡドライブ７３の完全消去以外に、工場出荷時に戻す必要があるデータを、工場出荷状態に戻してもよい。ユーザデータ全てを消去することを指示する全データボタンと、データを工場出荷状態に戻すことを指示するファクトリーリセットボタンは、別個に設けてもよい。

図１０（Ａ）に示す第１データ消去処理において、ファイルシステム管理部９１が第２不揮発性メモリ２２に順番に処理を実行するために、ファイルシステム管理部９１は、アプリ４５等からファイルシステムへのアクセスを停止させる（Ｓ４１）。これにより、ファイルシステム管理部９１が順番通りに第２不揮発性メモリ２２に対して処理を行う最中に、アプリ４５等からファイルシステム管理部９１に余計な指示が入力されることを排他する。

ファイルシステム管理部９１は、第２不揮発性メモリ２２に対して順番に処理を行うことで、図１１（Ａ）に示すように、第２不揮発性メモリ２２からＡドライブ７３を完全消去する（Ｓ４２）。Ｓ４２の処理は「完全消去処理」の一例である。また、ファイルシステム管理部９１は、第１ユーザデータファイル８４ａと第２ユーザデータファイル８４ｂのファイル情報を所定の領域から削除する。さらに、ファイルシステム管理部９１は、所定の領域に記憶されているＡドライブ７３のパーティション情報を削除する。これにより、Ａドライブ７３がファイルシステムとして使えなくなる。つまり、アプリ４５等がファイルシステム管理部９１を介してユーザデータを利用できなくなる。

ここで、本明細書では、「削除」と、「消去」と、「完全消去」とを以下の意味で使用する。「削除」は、ファイルシステム上、ファイルを存在させなくすることを意味する。つまり、アプリ４５等がファイル名を用いて第２不揮発性メモリ２２にデータを読み書きできないようにすることを意味する。例えば、Ａドライブ７３に記憶されている第１ユーザデータファイル８４ａについて、第１ユーザデータファイル８４ａがＡドライブ７３に記憶されている状態で、ファイルシステム管理部９１から第１ユーザデータファイル８４ａのファイル情報を削除することは、「削除」に該当する。この場合、アプリ４５等は、ファイルシステム管理部９１を介して第１ユーザデータファイル８４ａにアクセスできないが、第１ユーザデータファイル８４ａはＡドライブ７３に残っている。

「消去」は、消去対象となるデータそのものを第２不揮発性メモリ２２から読み出せないようにすることを意味する。例えば、第１ユーザデータファイル８４ａがＡドライブ７３を占める領域、および、第１ユーザデータファイル８４ａのファイル情報を記憶している領域に、０ｘｆｆなどの別のデータを書き込むことは、「消去」に該当する。この場合、第１ユーザデータファイル８４ａは、ファイルシステムにもＡドライブ７３にも残らない。なお、第２ユーザデータファイル８４ｂは、ファイルシステム上にもＡドライブ７３にも残っているため、アプリ４５等は第２ユーザデータファイル８４ｂにはアクセスできる。

「完全消去」は、消去対象となるデータが記憶されている領域を消去し、消去対象となるデータを含め、当該領域に記憶されているデータ全てを第２不揮発性メモリ２２から読み出せないようにすることを意味する。例えば、Ａドライブ７３の領域全体、Ａドライブ７３のパーティション情報が記憶されている領域全体、さらに、第１ユーザデータファイル８４ａおよび第２ユーザデータファイル８４ｂのファイル情報が記憶されている領域全体に、０ｘｆｆなどの別のデータを書き込むことは、「完全消去」に該当する。この場合、Ａドライブ７３に記憶されていた全データが、ファイルシステム上にも第２不揮発性メモリ２２にも残らず、アプリ４５等は、第１ユーザデータファイル８４ａにも第２ユーザデータファイル８４ｂにもアクセスできなくなる。

図１０（Ａ）に示すように、ファイルシステム管理部９１は、Ａドライブ７３を完全消去した後、図１１（Ｂ）に示すように、初期化処理あるいはフォーマット処理などにより、第２不揮発性メモリ２２にＡドライブ７３ｘを再構築する（Ｓ４３）。例えば、ファイルシステム管理部９１は、ファイルシステム管理部９１が管理しているパーティション情報から、第２不揮発性メモリ２２の空き領域を把握する。そして、ファイルシステム管理部９１は、その空き領域の状態をチェックし、異常がない領域を再構築用の領域として確保する。そして、ファイルシステム管理部９１は、再構築用の領域を示すパーティション情報を所定の領域に記憶させる。よって、Ａドライブ７３ｘは、第２不揮発性メモリ２２の状態に応じて、完全消去前のＡドライブ７３と異なる場所に再構築され得る。Ａドライブ７３ｘを再構築したファイルシステム管理部９１は、図１０（Ａ）に示すようにリブートを行い（Ｓ４４）、処理を終了する。

このように、Ａドライブ７３を完全消去する処理と、再構築によりＡドライブ７３をメンテナンスする処理をまとめて行うことで、ユーザがＭＦＰ１の機能を利用する時間を圧迫せずに、Ａドライブ７３に記憶されていたユーザデータ全ての安全性を担保できる。

ＭＦＰ１は、例えば廃棄やリサイクルする場合、ユーザ認証を行わずに第１消去指示が入力されることで、ユーザデータ全てを完全消去し、ユーザデータの流出を防ぐことができる。また、システムデータがＢドライブ７５に残っているので、特定の機能は維持される。

なお、例えば、図４（Ｂ）のリセット画面Ｄ１にてアドレス帳ボタンＡ２が操作された場合、ファイルシステム管理部９１は、第２ユーザデータファイル８４ｂのファイル名を指定した削除指示を受け付ける。この場合、ファイルシステム管理部９１が、第２ユーザデータファイル８４ｂのファイル情報を所定の領域から削除することにより、第２ユーザデータファイル８４ｂがファイルシステム上で個別に削除され、アプリ４５等がアドレス帳情報を読み出せなくなる。

次に、ＭＦＰ１が第２不揮発性メモリ２２からシステムデータを消去する制御手順について説明する。例えば、システムベンダ等は、図４（Ａ）の各種設定画面Ｄ１１においてシステム管理ボタンＡ１４を操作する。すると、ＣＰＵ３１は、図６に示す認証処理を実行する。ＣＰＵ３１は、認証情報に基づく認証に成功した後、図７（Ｂ）のシステム管理画面Ｄ５に表示されるリセットボタンＡ６の操作を操作表示部１１を介して受け付けると（Ｓ２５：リセットボタン）、ファイルの指定を受け付けたか否かを判断する（Ｓ２６）。ＣＰＵ３１は、例えば、Ｂドライブ７５に記憶されているファイルのファイル名をファイルシステム管理部９１から取得し、一覧表示する。ＣＰＵ３１は、ファイル名が指定されるまで待機する（Ｓ２６：ＮＯ）。

ＣＰＵ３１は、一覧表示されるファイル名の中から、例えば第１システムデータファイル８６ａのファイル名が指定されると（Ｓ２６：ＹＥＳ）、指定された第１システムデータファイル８６ａのファイル名をファイルシステム管理部９１に渡す（Ｓ２７）。そして、ＣＰＵ３１は、第２消去指示をファイルシステム管理部９１に渡し（Ｓ２８）、処理を終了する。第２消去指示は「第２の領域に記憶される第２のデータの消去指示」の一例である。よって、第２消去指示は、第１消去処理と異なる方法でＭＦＰ１に入力される。なお、ＣＰＵ３１は、システム管理画面Ｄ５のその他ボタンＡ７が操作された場合（Ｓ２５：ＮＯ）、その他の処理を行い（Ｓ３０）、処理を終了する。

なお、システムベンダ等によるシステムデータの削除は、操作表示部１１からの操作だけでなく、削除用のＰＣアプリや削除用のＰＪＬコマンドを使って行ってもよい。すなわち、削除用のＰＣアプリや削除用のＰＪＬコマンドがシステムベンダ等だけに公開されており、ＭＦＰ１が、削除用のＰＣアプリからコマンドを受信した場合や、削除用のＰＪＬコマンドを受信した場合に、第２消去指示を受け付けたと判断し、第２データ消去処理を実行してもよい。

図１０（Ｂ）に示すように、ファイルシステム管理部９１は、第１システムデータファイル８６ａを指定した第２消去指示を受け付けると、第１システムデータファイル８６ａのファイル情報を所定の領域から削除することで、第１システムデータファイル８６ａを削除する（Ｓ３２）。Ｓ３２の処理は「第２の消去処理」の一例である。

この状態では、第１システムデータファイル８６ａがＢドライブ７５に残っている。もし、第１システムデータファイル８６ａが漏洩してしまうと、暗号化されているとはいえ、例えば、将来の超高性能なコンピュータで解読されるなど、何らかの手段で復号化される虞がある。

そこで、図１０（Ｂ）に示すように、ファイルシステム管理部９１は、Ｂドライブ７５にダミーデータを書き込む（Ｓ３３）。これにより、第１システムデータファイル８６ａがダミーデータＸで上書きされ、断片化される。Ｓ３３の処理は「ダミー書込み処理」の一例である。

具体的に、ファイルシステム管理部９１は、Ｂドライブ７５のパーティション情報と第２システムデータファイル８６ｂのファイル情報が所定の領域に残っているため、図１２に示すように、第２システムデータファイル８６ｂを避けてダミーデータＸをＢドライブ７５に書き込む。このとき、第１システムデータファイル８６ａのファイル情報が所定の領域から削除されているので、ファイルシステム管理部９１は、第１システムデータファイル８６ａをダミーデータＸで上書きできる。これにより、第１システムデータファイル８６ａは、断片化され、完全に再現することが困難になる。ファイルシステム管理部９１は、ダミーデータＸのファイル情報を所定の領域に書き込む。ファイルシステム管理部９１は、Ｂドライブ７５がメモリフルになるまでＢドライブ７５にダミーデータＸを書き込む。

図１０（Ｂ）に示すように、ファイルシステム管理部９１は、Ｂドライブ７５に書き込まれたダミーデータＸのファイル情報を所定の領域から削除することで、ダミーデータＸをファイルシステム上で削除し（Ｓ３４）、処理を終了する。Ｓ３４の処理は「ダミー削除処理」の一例である。これにより、第２不揮発性メモリ２２は、Ｂドライブ７５に書き込まれたダミーデータＸを別のデータで上書きできるようになり、Ｂドライブ７５を利用し易くなる。

なお、Ｓ３３の処理では、１つのダミーデータＸをメモリフルになるサイズまでＢドライブ７５に書き込んだが、ある程度のサイズのダミーデータを、メモリフルになるまでいくつもＢドライブ７５に書き込んでもよい。この場合、Ｓ３４の処理では、Ｂドライブ７５に書き込んだいくつものダミーデータについて、ファイル情報を所定の領域から削除する。

以上説明したように、本形態のＭＦＰ１は、第２不揮発性メモリ２２をファイルシステムによってＡドライブ７３、Ｂドライブ７５に分け、ユーザデータとシステムデータとをＡドライブ７３とＢドライブ７５に別々に記憶し、Ａドライブ７３とＢドライブ７５ごとに異なる消去方法によってユーザデータとシステムデータを消去する。これにより、例えば、Ｂドライブ７５に記憶されたシステムデータを残しつつ、Ａドライブ７３に記憶されたユーザデータを消去することができる。そして、Ａドライブ７３に記憶されたユーザデータを完全消去するため、ユーザデータの安全性は担保される。

Ｂドライブ７５に記憶された第１システムデータファイル８６ａを消去する場合は、ファイルシステム上で第１システムデータファイル８６ａを削除するため、第１システムデータファイル８６ａがＢドライブ７５に残ることがある。しかし、第１システムデータファイル８６ａ自体が暗号化されており、さらに、鍵管理アプリ４６のみが鍵情報にアクセス可能である。すなわち、第１システムデータファイル８６ａが漏洩したとしても、第１システムデータファイル８６ａが復号化される可能性が低い。つまり、ＭＦＰ１は、第１システムデータファイル８６ａそのものを消去した場合と同様に、第１システムデータファイル８６ａの安全性が担保される。このように、本形態のＭＦＰ１によれば、第２不揮発性メモリ２２に記憶されるデータを安全に消去することが可能である。

また、ユーザデータは、システムデータに比べて、頻繁にアクセスされるデータ、漏洩しても危険性の少ないデータ、であることが多い。そのため、ユーザデータは、暗号化されることなくＡドライブ７３に書き込まれることで、アプリ４５等がファイルシステムを介して第２不揮発性メモリ２２にユーザデータを高速で読み書きできるようになる。一方、システムデータは、暗号化されてＢドライブ７５に書き込まれているため、暗号化されていないユーザデータと比べ、第２不揮発性メモリ２２に読み書きするのに時間がかかる。

しかし、本形態では、例えば、第１システムデータファイル８６ａを削除する第２消去指示を受け付けた場合、第１システムデータファイル８６ａのファイル情報をファイルシステム上で削除することで、第１システムデータファイル８６ａをアプリ４５等から使用不能に消去する。鍵管理アプリ４６のみが鍵情報にアクセス可能であるため、第１システムデータファイル８６ａが復号化される可能性が低い。このような第１システムデータファイル８６ａの削除方法は、例えば、消去対象でない第２システムデータファイル８６ｂをＢドライブ７５から退避させた後、Ｂドライブ７５を完全消去し、その後、第２システムデータファイル８６ｂをＢドライブ７５に戻すことで、第１システムデータファイル８６ａそのものを消去する場合と比べ、第１システムデータファイル８６ａの個別消去する処理時間を短縮できる。また、ＭＦＰ１は、第２不揮発性メモリ２２にシステムデータを読み書きする頻度を減らし、第２不揮発性メモリ２２の劣化を軽減できる。

なお、本実施の形態は単なる例示にすぎず、本発明を何ら限定するものではない。したがって本発明は当然に、その要旨を逸脱しない範囲内で種々の改良、変形が可能である。例えば、ＭＦＰ１は、印刷機能のみを備えるプリンタでもよい。

図１０（Ｂ）のＳ３３、Ｓ３４の処理は省略してもよい。但し、消去対象となるシステムデータをファイルシステム上で削除した後、メモリフルになるまでダミーデータＸをＢドライブ７５にメモリフルになるまで書き込むことで、システムデータの断片化が進み、システムデータを完全に再現することを困難にすることができる。また、ダミーデータをファイルシステムから削除することで、Ｂドライブ７５のファイルシステム上の空きメモリが確保され、その後にＢドライブ７５を利用し易くなる。

Ｂドライブ７５には、暗号化されていないデータも記憶してよい。ただし、Ｂドライブ７５に暗号化されたデータのみを記憶することで、消去対象となるデータのファイル情報を削除するだけで、Ｂドライブ７５に記憶される他のデータの安全性を確保できる。

図６のＳ２０～Ｓ２３の処理を省略し、第１データ書込み指示あるいは第１消去指示と同様、認証に成功しない場合でも、第２データ書込み指示あるいは第２消去指示を受け付けるようにしてもよい。ただし、認証成功後の入力操作によって、第２データ書込み指示と第２消去指示を受け付けることで、一般ユーザがＢドライブにデータを書き込んだり、システムベンダ等がＭＦＰ１に書き込んだシステムデータを、一般ユーザが消去したりすることを回避できる。

図１０（Ａ）のＳ４３の処理を省略してもよい。ただし、Ａドライブ７３を完全消去してユーザデータを消去した後、Ａドライブ７３ｘを再構築ないし初期化することで、Ａドライブ７３ｘを利用し易くなる。

リセット画面Ｄ１に全データボタンＡ１あるいはファクトリーリセットボタンがある場合には、ファクトリーリセットボタンが操作された場合、Ｂドライブ７５も完全消去する仕様にしてもよい。あるいは、図１０（Ｂ）に示す処理を、Ｂドライブ７５に記憶されているシステムデータ全てを対象に行ってもよい。また、全データボタンＡ１を操作された場合には、Ａドライブ７３のみを完全消去し、ファクトリーリセットボタンが操作された場合には、Ａドライブ７３とＢドライブ７５の両方を完全消去する仕様にしてもよい。

第２消去指示を受け付けた場合のみ、Ｂドライブ７５に記憶されているシステムデータを消去できる仕様において、データを工場出荷状態に戻すファクトリーリセットボタンが操作された場合、消去できないデータがあり、システムベンダ等に消去してもらう必要があることをユーザに知らせる報知を行ってもよい。そして、ＭＦＰ１は、その報知を確認したユーザにデータ消去を続行するか否かを問い合わせ、続行する指示を受け付けた場合には、図１０（Ａ）に示す第１データ消去処理を行い、Ａドライブ７３を消去し、続行する指示を受け付けない場合には、第１データ消去処理を行わないようにしてもよい。これによれば、報知を確認したユーザは、ＭＦＰ１が工場出荷状態に戻ったと誤認して、Ｂドライブ７５にデータを残したままＭＦＰ１を廃棄したり、リサイクルしたりすることを回避できる。

カスタムデータは、ユーザデータとしてＡドライブ７３に書き込んでもよい。この場合、カスタムデータは、カスタム材料データの配置などを示すデータである。カスタム材料データは、例えば、カスタム画面Ｄ２２に使用する背景やアイコンの画像データであり、システムデータとしてＢドライブ７５に記憶される。ＭＦＰ１は、Ｂドライブ７５からカスタム材料データを読み出し、操作表示部１１を介してカスタム材料データの選択を受け付け、カスタムデータを作成してもよい。この場合、カスタムデータは、ユーザデータとしてＡドライブ７３に書き込まれる。ＭＦＰ１は、カスタムデータとカスタム材料データをＡドライブ７３とＢドライブ７５からそれぞれ読み出し、カスタムデータに従ってカスタム材料データが示す画像データを配置した画面を操作表示部１１に表示してもよい。

ユーザデータを暗号化した場合、Ｂドライブ７５に記憶してもよい。この場合、暗号化されたユーザデータは「第２のデータ」の一例となる。

実施の形態に開示されている任意のフローチャートにおいて、任意の複数のステップにおける複数の処理は、処理内容に矛盾が生じない範囲で、任意に実行順序を変更できる、または並列に実行できる。

実施の形態に開示されている処理は、単一のＣＰＵ、複数のＣＰＵ、ＡＳＩＣなどのハードウェア、またはそれらの組み合わせで実行されてもよい。また、実施の形態に開示されている処理は、その処理を実行するためのプログラムを記録した記録媒体、または方法等の種々の態様で実現することができる。

１ ＭＦＰ
１３ 印刷部
２２ 第２不揮発性メモリ
４５ アプリ
４６ 鍵管理アプリ
７３ Ａドライブ
７５ Ｂドライブ

Claims (12)

1. 不揮発性メモリと、
   画像形成ユニットと、
   を備える画像形成装置であって、
   前記画像形成装置は、
   前記不揮発性メモリへのアクセスに用いるファイルシステムを有し、前記画像形成装置に組み込まれているアプリケーションプログラムは、前記ファイルシステムを介して前記不揮発性メモリへのデータの読み書きが可能であり、前記アプリケーションプログラムには、前記不揮発性メモリに記憶されるデータを用いて、前記画像形成ユニットを動作させるジョブを処理するアプリケーションプログラムが含まれ、
   前記不揮発性メモリには、前記ファイルシステムによって、パーティションで仕切られた複数の領域が設けられ、前記複数の領域には、第１のデータを記憶可能な第１の領域と、第２のデータを記憶可能な第２の領域と、が含まれ、
   さらに前記画像形成装置は、
   セキュリティが施された特定のモジュールを備え、前記特定のモジュールは鍵情報にアクセスしてデータの暗号化が可能であり、
   さらに前記画像形成装置は、
   前記第２の領域に前記第２のデータを書き込む指示を受け付けた場合、前記特定のモジュールを用いて前記第２のデータを暗号化し、暗号化した前記第２のデータを、前記第２の領域に書き込むデータ書込み処理を実行し、
   さらに前記画像形成装置は、
   前記第１の領域の消去指示を受け付けた場合、前記不揮発性メモリのうち前記第１の領域の記憶領域を完全消去して前記第１の領域に記憶される前記第１のデータ全てを使用不能にする第１の消去処理を実行し、
   前記第２の領域に記憶される前記第２のデータの消去指示を受け付けた場合、前記第２のデータを前記ファイルシステムによって削除する第２の消去処理を実行する、
   ことを特徴とする画像形成装置。
2. 請求項１に記載する画像形成装置において、
   前記画像形成装置は、
   前記第２の領域に記憶される前記第２のデータの消去指示を受け付けた場合、前記第２の消去処理を実行した後、ダミーデータをメモリフルとなるまで前記ファイルシステムによって前記第２の領域に書き込むダミー書込み処理を実行する、
   ことを特徴とする画像形成装置。
3. 請求項２に記載する画像形成装置において、
   前記画像形成装置は、
   前記第２の領域に記憶される前記第２のデータの消去指示を受け付けた場合、前記第２の消去処理および前記ダミー書込み処理を実行した後、前記ダミー書込み処理にて前記第２の領域に書き込まれた前記ダミーデータを、前記ファイルシステムによって削除するダミー削除処理を実行する、
   ことを特徴とする画像形成装置。
4. 請求項１から請求項３のいずれか１つに記載する画像形成装置において、
   前記第２の領域には、暗号化された前記第２のデータが記憶され、暗号化されていないデータが記憶されていない、
   ことを特徴とする画像形成装置。
5. 請求項１から請求項３のいずれか１つに記載する画像形成装置において、
   前記特定のモジュールは、前記鍵情報にアクセスしてデータの復号化が可能であり、
   前記画像形成装置は、
   前記第２の領域から前記第２のデータを読み出す指示を受け付けた場合、前記特定のモジュールを用いて前記第２のデータを復号化する処理を実行する、
   ことを特徴とする画像形成装置。
6. 請求項１から請求項５のいずれか１つに記載する画像形成装置において、
   ユーザインタフェースを備え、
   前記画像形成装置は、
   前記ユーザインタフェースを介する第１のユーザ操作によって前記第１の領域の前記消去指示を受け付けた場合、前記第１の消去処理を実行し、
   前記第１のユーザ操作と異なる特定の入力方法によって前記第２のデータの前記消去指示を受け付けた場合、前記第２の消去処理を実行する、
   ことを特徴とする画像形成装置。
7. 請求項６に記載する画像形成装置において、
   通信インタフェースを備え、
   前記画像形成装置は、
   前記ユーザインタフェースを介する前記第１のユーザ操作によって前記第１の領域の前記消去指示を受け付けた場合、前記第１の消去処理を実行し、
   前記特定の入力方法として前記通信インタフェースを介して外部デバイスからコマンドを受信することによって前記第２のデータの前記消去指示を受け付けた場合、前記第２の消去処理を実行する、
   ことを特徴とする画像形成装置。
8. 請求項６に記載する画像形成装置において、
   前記画像形成装置は、
   前記ユーザインタフェースを介する特定のユーザ操作によって認証指示を受け付けた場合、認証情報の入力を要求し、入力された前記認証情報に基づくユーザ認証を行う認証処理を実行し、
   前記ユーザインタフェースを介する前記第１のユーザ操作によって前記第１の領域の前記消去指示を受け付けた場合、前記第１の消去処理を実行し、
   前記特定の入力方法として前記ユーザインタフェースを介する前記第１のユーザ操作とは異なる第２のユーザ操作を受け付けることによって前記第２のデータの前記消去指示を受け付けた場合、前記第２の消去処理を実行し、前記第２のユーザ操作は、前記認証処理によって認証が成功した後に入力可能な操作であり、前記第１のユーザ操作は、前記認証処理による認証が成功していなくても入力可能な操作である、
   ことを特徴とする画像形成装置。
9. 請求項１から請求項５のいずれか１つに記載する画像形成装置において、
   ユーザインタフェースと、
   を備え、
   前記画像形成装置は、
   前記ユーザインタフェースを介する第１のユーザ操作によって入力された前記第１のデータを、前記第１の領域に記憶し、
   前記第１のユーザ操作と異なる特定の入力方法によって入力された前記第２のデータを、前記第２の領域に記憶する、
   ことを特徴とする画像形成装置。
10. 請求項９に記載する画像形成装置において、
    通信インタフェースを備え、
    前記画像形成装置は、
    前記ユーザインタフェースを介する前記第１のユーザ操作によって入力された前記第１のデータを、前記第１の領域に記憶し、
    前記特定の入力方法として前記通信インタフェースを介して外部デバイスから受信することによって入力された前記第２のデータを、前記第２の領域に記憶する、
    ことを特徴とする画像形成装置。
11. 請求項９に記載する画像形成装置において、
    前記画像形成装置は、
    前記ユーザインタフェースを介する特定のユーザ操作によって認証指示を受け付けた場合、認証情報の入力を要求し、入力された前記認証情報に基づくユーザ認証を行う認証処理を実行し、
    前記ユーザインタフェースを介する前記第１のユーザ操作によって入力された前記第１のデータを、前記第１の領域に記憶し、
    前記特定の入力方法として前記ユーザインタフェースを介する前記第１のユーザ操作とは異なる第２のユーザ操作によって入力された前記第２のデータを、前記第２の領域に記憶し、前記第２のユーザ操作は、前記認証処理によって認証が成功した後に入力可能な操作であり、前記第１のユーザ操作は、前記認証処理による認証が成功していなくても入力可能な操作である、
    ことを特徴とする画像形成装置。
12. 請求項１から請求項１１のいずれか１つに記載する画像形成装置において、
    前記画像形成装置は、
    前記第１の領域の消去指示を受け付けた場合、前記第１の消去処理を実行した後、前記第１の領域を再構築する、
    ことを特徴とする画像形成装置。

Images