JP4654988B2 - 画像処理装置及びプログラム - Google Patents

Description

本発明は、画像処理装置においてデータを消去する技術に関する。

例えば複写機、プリンタ又はファクシミリ等の画像形成装置は、画像読取装置によって読み取られた原稿を表す画像データや、ＬＡＮ（Local Area Network）等の通信線を介して送られてくる画像データを、ハードディスク（ＨＤＤ）等の大容量の不揮発性記憶装置に一時的に記憶しておき、その記憶装置から画像データを適宜読み出して所定の画像処理を行ってからその画像データが表す画像を記録紙に形成する。このような画像形成動作が終了した後であっても、上記の画像データは記憶装置に記憶されたままの状態となっていることが多い。即ち、記憶装置に記憶されていた画像データに消去処理が施された場合であっても、一般には、そのデータに付随する管理情報が消去されるだけであって、画像データそのものは記憶装置内に残されているのである。最近では、この画像データが悪意のある第３者によって不正に読み出される危険性が指摘されている。

そこで、記憶装置に記憶されたデータを適切に消去するための技術が従来から提案されている（例えば特許文献１〜４）。例えば特許文献１では、装置がスタンバイ状態などの他の処理に対する影響が比較的小さくなるタイミングでデータを消去する技術が提案されている。また、特許文献２に開示された技術によれば、データに応じて消去回数、符号化、データの保持のような消去方法を選択することができる。また、特許文献３では、データに応じて消去回数の回数を変更する技術が提案されている。そして、特許文献４では、画像データのセキュリティレベル順に消去処理を行う技術が提案されている。
特開平９−２８４５７２号公報 特開２００３−３２４８４号公報 特開２００４−１５３５１６号公報 特開２００５−１５９５５０号公報

本発明はこのような事情に鑑みてなされたものであり、その目的は、記憶手段に記憶されたデータを適切に消去する仕組みを提供することにある。

上記課題を解決するため、本発明の第１の構成は、画像データが記憶された記憶領域に対して当該画像データとは異なるデータを書き込むことで当該画像データを当該記憶領域から消去するデータ消去処理を複数回繰り返す場合に、これら複数回のデータ消去処理の各々に対して優先度を割り当てる割当手段と、第１の画像データに対する前記複数回のデータ消去処理を、前記割当手段により各データ消去処理に割り当てられた優先度に従って順番に実行する第１の消去手段と、前記第１の画像データとは異なる第２の画像データに対する前記複数回のデータ消去処理を、前記割当手段により各データ消去処理に割り当てられた優先度に従って順番に実行する第２の消去手段と、前記第１の消去手段によって前記第１の画像データに対する前記複数回のデータ消去処理のうちのいずれかが実行されているときに、前記第２の画像データに対するデータ消去処理が要求されると、前記第１の消去手段によって実行されているデータ消去処理に対する優先度と、前記第１の消去手段によって未だ実行されていないデータ消去処理に対する優先度と、前記第２の画像データに対する複数のデータ消去処理の各々に割り当てられた優先度とを比較し、それぞれのデータ消去処理に対する優先度に従って、実行する順番を決定し、決定した順番に従って前記第１の消去手段又は前記第２の消去手段にデータ消去処理を実行させるよう制御する制御手段とを備える画像処理装置である。

また、第２の構成は、画像データが記憶された記憶領域に対して当該画像データとは異なるデータを書き込むことで当該画像データを当該記憶領域から消去するデータ消去処理を複数回繰り返す場合に、これら複数回のデータ消去処理の各々に対して優先度を割り当てるとともに、前記画像データに対するデータ消去処理以外の処理に対して優先度を割り当てる割当手段と、画像データに対する前記複数回のデータ消去処理を、前記割当手段により各データ消去処理に割り当てられた優先度に従って順番に実行する消去手段と、前記画像データに対するデータ消去処理以外の処理を、前記割当手段により割り当てられた優先度に従って順番に実行する実行手段と、前記消去手段によって前記複数回のデータ消去処理のうちのいずれかが実行されているときに、前記画像データに対するデータ消去処理以外の処理が要求されると、前記消去手段によって実行されているデータ消去処理に対する優先度と、前記消去手段によって未だ実行されていないデータ消去処理に対する優先度と、前記画像データに対するデータ消去処理以外の処理の各々に割り当てられた優先度とを比較し、それぞれの処理に対する優先度に従って、実行する順番を決定し、決定した順番に従って前記消去手段又は前記処理手段に処理を実行させるよう制御する制御手段とを備える画像処理装置である。

第３の構成では、前記第１の構成及び前記第２の構成において、予め決められた機密度と、前記複数回のデータ消去処理の各々に対する優先度とを対応付けて記憶した機密度記憶手段と、前記機密度を指定する機密度指定手段を備え、前記割当手段は、前記機密度指定手段によって指定された機密度に対応付けて前記機密度記憶手段に記憶されている優先度を割り当てる。

また、第４の構成では、前記第１の構成及び前記第２の構成において、キーワードと、前記複数回のデータ消去処理の各々に対する優先度とを対応付けて記憶したキーワード記憶手段を備え、前記割当手段は、前記画像データが表す画像に含まれる文字画像からキーワードを抽出し、抽出したキーワードに対応付けて前記キーワード記憶手段に記憶されている優先度を割り当てる。

また、第５の構成では、前記第１の構成及び前記第２の構成において、予め決められた画像データを擬似画像データとして記憶する擬似画像記憶手段を備え、画像データに対する前記複数回のデータ消去処理のうち最後に実行されるデータ消去処理は、前記擬似画像記憶手段によって記憶されている擬似画像データを前記記憶領域に書き込む処理である。

また、第６の構成では、前記第５の構成において、前記画像データが暗号化されているか否かを判断する判断手段を備え、前記第１及び第２の制御手段は、前記判断手段によって前記画像データが暗号化されていると判断された場合には、前記画像データに対する前記複数回のデータ消去処理のうち最後に実行されるデータ消去処理は、前記擬似画像記憶手段によって記憶されている擬似画像データ又は乱数を前記記憶領域に書き込み、且つ、暗号化する処理である。

また、本発明の第７の構成は、コンピュータに、画像データが記憶された記憶領域に対して当該画像データとは異なるデータを書き込むことで当該画像データを当該記憶領域から消去するデータ消去処理を複数回繰り返す場合に、これら複数回のデータ消去処理の各々に対して優先度を割り当てる割当機能と、第１の画像データに対する前記複数回のデータ消去処理を、前記割当機能により各データ消去処理に割り当てられた優先度に従って順番に実行する第１の消去機能と、前記第１の画像データとは異なる第２の画像データに対する前記複数回のデータ消去処理を、前記割当機能により各データ消去処理に割り当てられた優先度に従って順番に実行する第２の消去機能と、前記第１の消去機能によって前記第１の画像データに対する前記複数回のデータ消去処理のうちのいずれかが実行されているときに、前記第２の画像データに対するデータ消去処理が要求されると、前記第１の消去機能によって実行されているデータ消去処理に対する優先度と、前記第１の消去機能によって未だ実行されていないデータ消去処理に対する優先度と、前記第２の画像データに対する複数のデータ消去処理の各々に割り当てられた優先度とを比較し、それぞれのデータ消去処理に対する優先度に従って、実行する順番を決定し、決定した順番に従って前記第１の消去機能又は前記第２の消去機能にデータ消去処理を実行させるよう制御する制御機能とを実現させるプログラムである。

さらに、第８の構成は、コンピュータに、画像データが記憶された記憶領域に対して当該画像データとは異なるデータを書き込むことで当該画像データを当該記憶領域から消去するデータ消去処理を複数回繰り返す場合に、これら複数回のデータ消去処理の各々に対して優先度を割り当てるとともに、前記画像データに対するデータ消去処理以外の処理に対して優先度を割り当てる割当機能と、画像データに対する前記複数回のデータ消去処理を、前記割当機能により各データ消去処理に割り当てられた優先度に従って順番に実行する消去機能と、前記画像データに対するデータ消去処理以外の処理を、前記割当機能により割り当てられた優先度に従って順番に実行する実行機能と、前記消去機能によって前記複数回のデータ消去処理のうちのいずれかが実行されているときに、前記画像データに対するデータ消去処理以外の処理が要求されると、前記消去機能によって実行されているデータ消去処理に対する優先度と、前記消去機能によって未だ実行されていないデータ消去処理に対する優先度と、前記画像データに対するデータ消去処理以外の処理の各々に割り当てられた優先度とを比較し、それぞれの処理に対する優先度に従って、実行する順番を決定し、決定した順番に従って前記消去機能又は前記処理機能に処理を実行させるよう制御する制御機能とを実現させるプログラムである。

本発明の第１及び第７の構成によれば、第１及び第２の画像データに対する複数のデータ消去処理を優先度に従って実行することができる。
また、本発明の第２及び第８の構成によれば、画像データに対する複数のデータ消去処理と、それらのデータ消去処理以外の処理を優先度に従って実行することができる。
第３の構成によれば、セキュリティレベルを指定することで優先度を設定することができる。
第４の構成によれば、画像データ中のキーワードに応じてセキュリティレベルを設定し、優先度を設定することができる。
第５の構成によれば、擬似画像データが書き込まれた状態でデータ消去処理が完了するから、例えば第３者がその記憶領域を参照したとしても、どのデータが重要なデータかということを判別しづらくなる。
第６の構成によれば、擬似画像も暗号化されるから、情報の漏洩の危険性を低減させることができる。

（１）装置の構成
図１は、本実施形態に係る画像処理装置１の構成を示すブロック図である。この画像処理装置１は、例えばプリントアウト機能、スキャン（画像読取）機能、コピー（複写）機能及びファクシミリ機能を備えた装置によって実現される。図１に示すように、画像処理装置１は、装置全体を制御するＣＰＵ（Central Processing Unit）や作業用のワークエリアを提供するＲＡＭ（Random Access Memory）、各種制御プログラムを記憶するＲＯＭ（Read Only Memory）などを備える制御部１１と、各種のボタンやタッチパネル式の液晶ディスプレイのような操作部１２と、イントラネットやＬＡＮ（Local Area Network）のような通信手段を介して通信を行うためのインターフェース装置である通信部１３と、原稿などから画像を読み取る画像読取部１４と、画像を記録シート（媒体）に形成する画像形成部１５と、制御部１１が行う動作手順が記述されたプログラムや各種データを記憶する記憶部１６と、各種情報を表示する液晶ディスプレイのような表示部１７とを備えている。なお、記憶部１６は不揮発性記憶媒体であり、例えば磁気記憶方式でデータを記憶するＨＤＤである。

ユーザが操作部１２を操作して例えば原稿の複写（コピー）を指示すると、制御部１１は画像読取部１４に画像の読み取りを指示する。この指示に応じて、画像読取部１４は、図示せぬプラテンガラス上に置かれた原稿に光を照射し、その原稿の画像を光学的に読み取って画像データを生成し、制御部１１に供給する。制御部１１はこの画像データを記憶部１６に記憶させる。また、通信部１３が画像データを受信すると、制御部１１はこの画像データを記憶部１６に記憶させる。制御部１１は、このようにして記憶部１６に記憶された画像データを適宜読み出して画像形成部１５に供給して、記録シートに画像を形成させる。

（２）データの消去方法
このような画像形成処理が終了すると、制御部１１は、画像データを記憶部１６から消去する消去処理を実行するように構成されている。以降、制御部１１によって消去処理が実行される記憶領域を「消去領域」と呼ぶ。この消去処理は具体的には、画像データとは異なるデータを上記消去領域に書き込む、という上書き形式の消去処理である。具体的には、制御部１１は、消去領域の開始アドレスから終了アドレスへとそのアドレスに従って、「０」（ゼロ）を上書きしたり（ゼロ方式という）、例えば、“０ｘ００”や“０ｘｆｆ”のような乱数を上書きする（乱数方式という）。

ただし、データの消去時には、ハードディスクの回転などによって振動が発生し、さらにその振動で磁気ヘッドの位置がずれることによって残留磁気が生じてしまい、消去領域の中に、画像データが消去されない領域が発生する場合がある。そこで、制御部１１は、消去領域に対して、上記のような上書き消去処理を複数回（本実施形態では３回）行うようにする。上書き消去処理の回数が増加すれば、データの消去が成功する確率も大きくなるからである。

ところで、前述した「ゼロ方式」や「乱数方式」のような、画像データとは異なるデータを上書きすることで画像データを消去する方式では、画像データが消去されていない記憶領域を第３者によって特定される虞がある。その理由を説明する。
図２（ａ）は、「ゼロ方式」で消去処理を行った場合の記憶領域Ｍのデータ構造の一例を表している。なお、図２（ａ）においては、「０」ゼロ以外の値が書き込まれる記憶領域を斜線部で示している（図２（ｂ），（ｃ）においても同じ）。この方式の場合、データ「０」が書き込まれている記憶領域は、消去領域１６ｂのほか、データが一度も書き込まれたことのない未使用領域１６ｄである。一方、「０」ゼロ以外の値が書き込まれる記憶領域は、ファイル形式の画像データの管理情報が記憶された管理情報領域１６ａと、消去された画像データ以外の画像データが記憶された画像データ領域１６ｃに限定される。よって、悪意のある第３者が「０」以外のデータが書き込まれた領域を特定しさえすれば、その領域には何らかの情報が書き込まれているわけであるから、仮にその情報が暗号化されるなどのセキュリティ対策が採られていたとしても、その情報が閲覧される危険性が高くなる。一方、消去領域１６ｂであっても前述した残留磁気によってデータが残っている可能性もあるから、このような消去領域１６ｂにおいて「０」以外のデータが書き込まれた領域を調べられて、不正にデータが読み出される虞がある。

次に、図２（ｂ）は、「乱数方式」で消去処理を行った場合の記憶領域のデータ構造の一例を表している。この方式の場合、「０」が書き込まれる記憶領域は、未使用領域１６ｄに限定される。よって、「０」以外の値が書き込まれている記憶領域は、図中斜線が施された管理情報領域１６ａ、消去領域１６ｂ及び画像データ領域１６ｃとなり、どこに画像データが記憶されているか或いはどこに画像データが記憶されていたかといったことは特定されにくくなる。よって、図２（ａ）の「ゼロ方式」の場合よりも、情報が漏洩する危険性は低減すると言える。ところが、管理情報領域１６ａには、画像データの管理情報が記憶されており、この管理情報には画像データに特徴的な値が含まれていることがある。よって、この管理情報を読み取られてしまうと、画像データの記憶領域が特定されたり、画像データに関連する情報が漏洩する虞がある。このように、「乱数方式」であっても、情報が閲覧されるという危険性を完全には否定できない。

そこで、本実施形態では、複数回の上書き消去処理のうち、最後に行う上書き消去処理においては、画像データとは異なる画像データであって、且つ、特に機密性を有さない画像データを上書きする。この場合、最後に行う上書き消去処理以外の上書き消去処理については、前述した「ゼロ方式」や「乱数方式」のどちらを適用してもよいが、ここでは「乱数方式」を用いるものとする。以下、このように機密性を有さない画像を疑似画像と呼び、この疑似画像を用いる方式を「擬似画像方式」と呼ぶ。この「擬似画像」は、ユーザの保有する画像でなく、画像処理装置１の製造者等によって予め用意された、例えば風景や模様、図形のような画像であり、製造段階で様々な疑似画像データが記憶部１６の所定の領域に複数格納されている。

さらに、消去領域だけでなく、記憶領域全体の初期化処理が実行される際にも、その疑似画像データが記憶領域に擬似画像データを上書きする。この場合、「擬似画像方式」による初期化処理が実行された後の記憶領域のデータ構造は図２（ｃ）のようになる。つまり、消去領域１６ａにおいても未使用領域１６ｄにおいても擬似画像データが書き込まれるから、「０」が書き込まれている記憶領域は存在しなくなる。よって、悪意の第３者によって記憶領域が解析された場合であっても、あらゆる記憶領域に画像データが記憶されていることになるから、それぞれの画像データが表す画像の内容を閲覧し、その内容を参照しないと、それが意味のある内容か否か（つまりユーザが保有する画像データか或いは装置製造者が用意した意味のない疑似画像か）を判断することができない、ということになる。

（３）セキュリティレベルと優先度
画像処理装置１は、或る画像データを消去する際には、上述したような上書き消去処理を３回実行する。ところが、画像処理装置１が実行する消去処理の回数が多くなるほど、消去処理の最中に別の処理を受け付ける機会も多くなる。例えば、画像処理装置１が消去処理の最中に受け付けた処理が極めて重要度が高い場合、実行中の消去処理を優先して行ってしまうと、ユーザに不都合が生じたり、装置の動作に重大な障害が起こることがあり得る。このような事態を防止するために、画像処理装置１は、各処理の重要度に応じてその処理に「優先度」を割り当て、その優先度に従って順番に処理を実行する。例えば、画像処理装置１は、或る処理を実行中であっても、更に優先度の高い処理を受け付けると、前者の処理を停止して後者の処理を実行する。すなわち、画像処理装置１は、常に優先度が最高となる処理を実行するのである。

このため、制御部１１が実行する各処理の優先度がテーブル形式で記憶されている。ここで、図３は、記憶部１６に記憶された管理テーブルの記述例を示す図である。なお、図において、優先度においては数値が小さいほど優先的に処理が行われるものとし、以降「優先度が高い」という表現を用いる。図３では、ＯＳ（Operating System）に関する処理（「ＯＳ処理」と表す）の優先度は“１０”である。ＯＳに関する処理とは、例えば、装置が計時する時刻の管理や、実行待ちの処理を定期的に確認する場合のように、装置の中枢的な処理を含むことがしばしばあるので、優先度が最も高く設定されている。

次に、通信に関する処理（「通信処理」と表す）の優先度は“３０”である。通信に関する処理とは、例えば通信部１３を介して通信手段で接続された装置とのデータのやり取りなどのことである。例えば、制御部１１が外部装置から通信要求を受信した場合に、その応答を直ちに実行しないと、画像処理装置１が故障や動作不能の状態であると当該外部装置に誤って判断されかねないので、「ＯＳ処理」よりは優先度が低いが、比較的高い優先度が設定されている。

次に、画像形成に関する処理（「画像形成処理」と表す）の優先度は“５０”である。画像形成処理は、その処理が本来よりも遅滞した場合でもユーザに不都合が生じるが、装置の動作において重大な問題が生じることはごく稀であるから、優先度は比較的低く設定されている。

そして、ユーザインターフェース（ＵＩ）に関する処理（「ＵＩ処理」と表す）の優先度は“７０”である。ＵＩに関する処理とは、例えば表示部１７への各種情報の表示や、ユーザの操作部１２の操作による指示を制御部１１に供給する処理である。例えば、画像形成処理のような処理の最中に、各種情報の表示ができなかったり、ユーザの操作を受け付けなかったりしても大きな問題は生じにくい。よって、優先度は画像形成処理よりも更に低く設定されている。

以上のような「ＯＳ処理」、「通信処理」、「画像形成処理」及び「ＵＩ処理」に対し、データ消去処理に対してはセキュリティレベル（機密度）が設定されており、このセキュリティレベル単位で優先度が設定されている。図４は、セキュリティレベルに応じた優先度を示した図である。セキュリティレベルは「最高機密」、「高機密」、「中間機密」、「低機密」などの複数段階に分類される。前者ほどセキュリティレベルが高く、セキュリティレベルが高いほど、各々の消去処理の優先度が高く設定される。また、消去処理の回数が増加するほど優先度が低く設定される。例えば、セキュリティレベル「最高機密」が割り当てられた画像データに対する第２回目の消去処理と、セキュリティレベル「高機密」が割り当てられた画像データに対する第１回目の消去処理とが競合した場合、前者の優先度は“４５”であるのに対し、後者の優先度が“４４”であるから、後者の処理（セキュリティレベル「高機密」が割り当てられた画像データに対する第１回目の消去処理）が先に実行され、前者の処理（セキュリティレベル「最高機密」が割り当てられた画像データに対する第２回目の消去処理）が後に実行されることになる。

（４）動作例
次に、本実施形態の動作例について図を参照しながら説明する。
以下の説明においては、受け付けた要求に応じて、画像処理装置が実行する一連の処理を「処理群」と呼ぶ。例えば、画像形成処理が実行されると、その後に３回の消去処理が実行されることになるが、これらの画像形成処理及び複数回の消去処理を総称して、処理群と呼ぶ。なお、「ＯＳ処理」や「通信処理」、「ＵＩ操作」については、受け付けた「処理」が「処理群」そのものである。また、「消去処理」とは３回の消去処理を総称したものを言い、各回の消去処理を「１回目の消去処理」という具合に表したり、また、異なる画像形成処理を区別するために「画像形成処理ａ」や「画像形成処理ｂ」と称し、さらにそれらに対応する２回目の消去処理を「消去処理ａ２」や「消去処理ｂ２」という具合に表したりする。

図５は、画像処理装置１の制御部１１が実行する処理の手順を説明するフローチャートである。以下の説明では、最初に要求が受け付けられて開始される処理を「第１の処理」としており、この第１の処理を含む一連の処理群を「第１の処理群」と呼ぶ。例えば、画像形成処理の要求が受け付けられた場合、第１の処理は画像形成処理であり、第１の処理群にはこの画像形成処理のほか、画像データに対する３回の消去処理が含まれる。そして、この「第１の処理」に続いて受け付けられた処理を「第２の処理」とし、この第２の処理を含む一連の処理群を「第２の処理群」と呼ぶ。

さらに、図６〜８は、制御部１１が「第１の処理」を実行してから、「第２の処理」を受け付けたときに、各処理が時系列的にどのような順番で実行されるかを表している。各図において、（ａ）は本実施形態における処理の順番を表し、（ｂ）は本実施形態の構成を有しない場合の処理の順番を表している。なお、図６〜８においては、画像データのセキュリティレベルや優先度として、図３及び４に示したテーブルの内容を用いている。

（４−１）動作例１
まず、動作例１では、「高機密」の画像データに対する第１の処理の開始後に、「中間機密」の画像データに対する第２の処理を受け付けた場合の動作について説明している。すなわち、第１の処理群を実行している最中に、さらに優先度の低い第２の処理が指示された場合である。

この場合、制御部１１は、図５において第１の処理を受け付けると（ステップＳ１）、まず第１の処理群に含まれる画像形成処理ａ（優先度“５０”）を実行する（ステップＳ２）。次に、制御部１１は画像形成処理ａを実行しつつ、第２の処理を受け付けたか否かを判断する（ステップＳ３）。制御部１１は、第２の処理を受け付けるまでは（ステップＳ３；ＮＯ）、第１の処理群に含まれる処理が全て終了するまで（ステップＳ４；ＮＯ）、この処理を継続する。つまり、制御部１１は、第２の処理を受け付けるまでは、画像形成処理ａ、消去処理ａ１（優先度“４４”）、消去処理ａ２（優先度“５４”）、消去処理ａ３（優先度“６４”）という、優先度に従った処理を実行していく。即ち、制御部１１は、画像データに対する複数回のデータ消去処理を、その優先度に従って順番に実行する。

ここで、制御部１１が画像形成処理ａの実行した後に消去処理ａ１を実行している最中に、第２の処理を受け付けたと仮定する（ステップＳ３；ＹＥＳ）。この場合、制御部１１は、消去処理ａ１と第２の処理のどちらを実行するかを判断すべく、消去処理ａ１の優先度と、第２の処理群の最優先の処理、つまり画像形成処理ｂとの優先度を比較する（ステップＳ５）。ここでは、実行中の消去処理ａ１の優先度（優先度“４４”）の方が、画像形成処理ｂ（優先度“５０”）よりも優先度が高いので（ステップＳ６；ＹＥＳ）、制御部１１は実行中の処理（消去処理ａ１）を継続する（ステップＳ７）。

以降、制御部１１は優先度に従った処理を実行する（ステップＳ１０）。具体的には、消去処理ａ２，ａ３、画像形成処理ｂ、消去処理ｂ１，ｂ２，ｂ３のうち、それぞれに割り当てられた優先度に従って処理を実行する。そして、これらの処理の最中に、さらに別の処理を受け付けた場合には（ステップＳ１１；ＹＥＳ）、制御部１１は、ステップＳ５に戻り、上記処理ステップＳ５〜Ｓ１１を繰り返すことになる。

ここでは、制御部１１が、別の処理を受け付けないまま消去処理ａ１を終了したと仮定する。この場合、制御部１１は、消去処理ａ１に続いて優先度の高い画像形成処理ｂ（優先度“５０”）を実行する。以降、制御部１１は、上記処理ステップＳ１０〜Ｓ１２を、第１及び第２の処理群が終了するまで繰り返す。つまり、制御部１１は、第１の処理群において実行されているデータ消去処理に対する優先度と、第１の処理群において未だ実行されていないデータ消去処理に対する優先度と、第２の処理群において複数のデータ消去処理の各々に割り当てられた優先度とを比較し、それぞれのデータ消去処理に対する優先度に従ってデータ消去処理の順番を決定し、決定した順番に従ってデータ消去処理を実行する。具体的には、制御部１１は、画像形成処理ｂ１が終了すれば、次に優先度の高い消去処理ｂ１（優先度“５３”）を実行する。そして、制御部１１は、消去処理ｂ１が終了すれば、優先度の高い消去処理ａ２（優先度“５４”）を実行し、続いて、消去処理ｂ２（優先度“６３”）、消去処理ａ３の（優先度“６４”）、消去処理ｂ３（優先度“７３”）という順序で実行する。

そして、制御部１１は消去処理ｂ３を終了すると、受け付けた第１及び第２の処理の全ての処理群が終了したと判断する。すなわち、各処理が行なわれる順序は、図６（ａ）に示すように、画像形成処理ａ、消去処理ａ１、画像形成処理ｂ、消去処理ｂ１、消去処理ａ２、消去処理ｂ２、消去処理ａ３、消去処理ｂ３となり、重要度の高い順で処理を実行することができる。

なお、図５のステップＳ４において、制御部１１が第１の処理群を終了したと判断すれば（ステップＳ４；ＹＥＳ）、受け付けた処理は全て終了することになる。
また、ステップＳ６において、制御部１１は、実行中の処理の方が優先度が低いと判断した場合には（ステップＳ６；ＮＯ）、実行中の処理を一旦停止させて（ステップＳ８）、優先度の高い方の処理を実行する（ステップＳ９）。このときステップＳ８で処理が停止されたときに、処理を実行中の記憶領域のアドレスを「停止アドレス」と呼ぶ。
また、ステップＳ１１にて、制御部１１は、別の処理を受け付けていないと判断すれば（ステップＳ１１；ＮＯ）、受け付けた処理の処理群が全て終了したか否かを判断する（ステップＳ１２）。この場合、制御部１１は、受け付けた処理が含まれる処理群が全て終了したと判断すれば（ステップＳ１２；ＹＥＳ）、ここで全処理を終了したことになる。一方、制御部１１は、受け付けた処理の処理群が全て終了していないと判断すれば（ステップＳ１２；ＮＯ）、ステップＳ１０に戻り、処理ステップＳ１０〜Ｓ１２を繰り返すことになる。

これに対し、処理のセキュリティレベルのみを考慮する場合は、図６（ｂ）に示すように、まずは画像形成処理ａを実行し、その次の消去処理ａ１を実行している最中に第２の処理を受け付けたとしても、「高機密」である第１の処理群を全て終えるまでは、「中間機密」である第２の処理を実行することはない。よって、制御部１１は、消去処理ａ１に続いて消去処理ａ２、消去処理ａ３を実行する。そして、第１の処理群が全て終了してから、第２の処理群の画像形成処理ｂ、消去処理ｂ１、消去処理ｂ２、消去処理ｂ３を実行する。すなわち、各処理が行なわれる順序は、画像形成処理ａ、消去処理ａ１、消去処理ａ２、消去処理ａ３、画像形成処理ｂ、消去処理ｂ１、消去処理ｂ２、消去処理ｂ３という具合になる。

（４−２）動作例２
次に動作例２を説明する。この動作例２は、「中間機密」の画像データに対する第１の処理の開始後に、「高機密」の画像データに対する第２の処理を受け付けた場合の動作である。すなわち、第１の処理群を実行している最中に、さらに優先度の高い第２の処理が指示される場合である。

まず、図７（ａ）に示した本実施形態の動作について説明する。本動作例２においても、制御部１１が第２の処理を受け付ける過程までは、上述した動作例１と処理ステップは共通であるから、その説明を割愛する。そして、制御部１１が消去処理ａ１を実行している最中に、第２の処理を受け付けたと判断すれば（ステップＳ３；ＹＥＳ）、実行中の消去処理ａ１と、第２の処理とのどちらを実行するかを判断すべく、消去処理ａ１の優先度と、第２の処理群の最優先の処理、つまり画像形成処理ｂとの優先度を比較する（ステップＳ５）。そして、制御部１１は実行中の消去処理ａ１の優先度が（優先度“５３”）の方が、画像形成処理ｂ（優先度“５０”）に対して優先度が高いか否かを判断する（ステップＳ６）。すると、制御部１１は、第２の処理である画像形成処理ｂの方が優先度が高いと判断するから（ステップＳ６；ＮＯ）、実行中である消去処理ａ１を一旦停止する（ステップＳ８）。そして、制御部１１は画像形成処理ｂを実行する（ステップＳ９）。

そして、制御部１１は、更に別の処理を受け付けたか否かを判断しつつ、優先度が最高の処理を実行することになるから、処理ステップＳ５〜Ｓ１２を繰り返すことになる。つまり、制御部１１が実行する処理に着目すれば、画像形成処理ｂが終了すれば、次に優先度の高い消去処理ｂ１（優先度“４４”）を実行する。そして、制御部１１は、次に優先度の高い処理をステップＳ８で一旦停止した消去処理ａ１と判断するから、消去処理ａ１の残りの処理を実行することになる。そして、制御部１１は、消去処理ａ１が終了すれば、続いて、消去処理ｂ２（優先度“５４”）、消去処理ａ２の（優先度“６３”）、消去処理ｂ３（優先度“６４”）、消去処理ａ３（優先度“７３”）という順序で実行する。

そして、制御部１１は消去処理ｂ３を終了すれば、受け付けた第１及び第２の処理の全ての処理群が終了したと判断する。すなわち、各処理が行なわれる順序は、画像形成処理ａ、消去処理ａ１（停止アドレスまで）、画像形成処理ｂ、消去処理ｂ１、消去処理ａ１（終了アドレスまで）、消去処理ａ２、消去処理ｂ２、消去処理ａ３、消去処理ｂ３という具合になる。

一方、図７（ｂ）に示すように、処理のセキュリティレベルのみを考慮する場合は、セキュリティレベルが高い画像データに第１の処理を受け付けると、画像形成処理ａ、消去処理ａ１を実行する。そして、その間に第２の処理を受け付けると、第２の処理の画像データの方がセキュリティレベルが高いから、第２の処理を優先して実行する。よって、消去処理ａ１を一旦停止し、消去処理ｂ１を実行することになる。そして、消去処理ｂ２、消去処理ｂ３を実行する。第２の処理群が全て終了すれば、第１の処理群の残りの処理である消去処理ａ１、消去処理ａ２、消去処理ａ３を実行する。すなわち、各処理の順序は、画像形成処理ａ、消去処理ａ１（停止アドレスまで）、画像形成処理ｂ、消去処理ｂ１、消去処理ｂ２、消去処理ｂ３、消去処理ａ１（終了アドレスまで）、消去処理ａ２、消去処理ａ３という具合になる。

（４−３）動作例３
次に動作例３を説明する。この動作例３は、「中間機密」の画像データに対する第１の処理の開始後に、「中間機密」の画像データに対する第２の処理を受け付けた場合の動作について説明する。すなわち、第１の処理群を実行している最中に、優先度が一致する第２の処理が指示される場合である。さらに、本動作例３では、ここまで述べた画像形成処理以外の処理を受け付ける例についても説明する。

まず、図８（ａ）に示した本実施形態の動作について説明する。本動作例３においても、制御部１１が第１の処理群と第２の処理群の優先度を比較して、優先度が高い方の処理を実行するという点は、上述した動作例１及び２と等しいからその説明を割愛する。ただし、本動作例３では、各々の画像データのセキュリティレベルが等しいから、比較した各々の処理の優先度が一致するというケースがある。例えば、図の消去処理ｂ１が終了した時刻ｔ１に着目すれば、制御部１１は、次に優先度の高い処理を、消去処理ａ２及び消去処理ｂ２（共に優先度“５４”）の２つであると判断する。このような場合には、制御部１１はどちらの処理を実行しても良いが、例えば、先に実行した第１の処理を優先して、消去処理ａ２を行ってから消去処理ｂ２を実行するようにする。また、時刻ｔ２の消去処理ａ３及び消去処理ｂ３においても優先度が一致するから、やはり設定に応じてどちらか一方を優先する。もちろん逆順であっても良いから、予め製造段階で設定されていてもよいし、ユーザが設定するようにしてもよい。

本動作例３において、さらに制御部１１が消去処理ａ３の実行中に、通信手段で接続された装置との通信処理を受け付けた場合について説明する。
制御部１１は、通信処理を受け付けたと判断すれば（ステップＳ１１）、ステップＳ５に戻り、実行中の消去処理ａ３と、消去処理ｂ３と、通信処理との優先度を比較する。そして、制御部１１は実行中の消去処理ａ３の優先度（優先度“６４”）が、その他の処理群の最優先の処理である消去処理ｂ３（優先度“６４”）、通信処理（優先度“３０”）に対して優先度が高いか否かを判断する（ステップＳ６）。すると、制御部１１は、通信処理の方が優先度が高いと判断するから（ステップＳ６；ＮＯ）、実行中である消去処理ａ３を一旦停止して（ステップＳ８）、通信処理を実行する（ステップＳ９）。そして、制御部１１は通信処理を終了すれば、一旦停止していた消去処理ａ３を再開した後に、消去処理ｂ３を実行する。制御部１１が、更に多くの処理を受け付けた場合であっても優先度が最も高い処理を実行することには変わりない。

そして、制御部１１は消去処理ｂ３を終了すれば、受け付けた第１、第２及び第３の処理の全ての処理群が終了したと判断する。すなわち、各処理が行なわれる順序は、画像形成処理ａ、消去処理ａ１、画像形成処理ｂ、消去処理ｂ１、消去処理ａ２、消去処理ｂ２、消去処理ａ３（停止アドレスまで）、通信処理、消去処理ａ３（終了アドレスまで）、消去処理ｂ３という具合になる。

一方、図８（ｂ）に示すように、処理のセキュリティレベルのみを考慮する場合は、セキュリティレベルが高い画像データに第１の処理の実行中に第２の処理を受け付けても、各々のセキュリティレベル一致するであるから、第２の処理を優先して実行することはない。よって、動作例１に処理の順序と等しい。そして、消去処理ｂ２の実行中に通信処理を受け付けると、例えば通信処理を優先して行うと判断すれば、消去処理ｂ２を一旦停止して実行する。通信処理が終了すれば、消去処理ｂ２を再開して、第２の処理群を最後まで実行する。すなわち、各処理が行なわれる順序は、画像形成処理ａ、消去処理ａ１、消去処理ａ２、消去処理ａ３、画像形成処理ｂ、消去処理ｂ１、消去処理ｂ２（停止アドレスまで）、通信処理、消去処理ｂ２（終了アドレスまで）、消去処理ｂ３という具合になる。このように、画像形成処理及びデータ消去処理以外の処理、つまりＯＳ処理、通信処理、ＵＩ処理（以下、通常処理という）が要求された場合であっても、制御部１１は、上記と同様に優先度に従って処理を実行する。つまり、制御部１１は複数回のデータ消去処理の各々に対して優先度を割り当てるとともに、通常処理に対して優先度を割り当てる。そして、制御部１１は、実行されているデータ消去処理に対する優先度と、未だ実行されていないデータ消去処理に対する優先度と、通常処理に割り当てられた優先度とを比較し、それぞれの優先度に従って、実行する順番を決定し、決定した順番に従って処理を実行するのである。
（５）変形例
なお、本発明は上述した実施形態にのみ限定されるものではなく、種々の態様にて実施することが可能である。具体的には、例えば以下のような変形が挙げられる。なお、これらの変形は、各々を適宜に組み合わせることも可能である。

（５−１）変形例１
上述した実施形態においては、「画像形成処理」の優先度は、画像データのセキュリティレベルによらず一定の“５０”としていたが、セキュリティレベルに応じて「画像形成処理」の優先度を異ならせてもよい。ここで、図９、１０は、記憶部１６に記憶された管理テーブルの記述例を示す図である。まず図９は、制御部１１が実行する各処理の優先度を示している。各処理は「ＯＳ処理」、「通信処理」、「ＵＩ処理」であり、優先度と共に実施形態に等しいから、その説明を割愛する。図１０は、画像データのセキュリティレベルに応じた優先度を、画像形成処理と各回の消去処理毎に示している。セキュリティレベルの分類方法は上述した実施形態と同じであるが、例えば、セキュリティレベルが「最高機密」である画像データの優先度について説明すると、画像形成処理の優先度を“３９”とし、１回目の消去処理の優先度を“３５”とし、２回目の消去処理の優先度を“４１”とし、３回目の消去処理の優先度を“４７”とする。セキュリティレベルが「高機密」の画像データについては、画像形成処理の優先度を“４４”とし、１回目の消去処理の優先度を“４０”とし、２回目の消去処理の優先度を“４６”とし、３回目の消去処理の優先度を“５２”とする。また、「中間機密」の画像データについては、画像形成処理の優先度を“４９”とし、１回目の消去処理の優先度を“５０”とし、２回目の消去処理の優先度を“５１”とし、３回目の消去処理の優先度を“５７”とする。「低機密」の画像データについては、画像形成処理の優先度を“５４”とし、１回目の消去処理の優先度を“５５”とし、２回目の消去処理の優先度を“５６”とし、３回目の消去処理の優先度を“６２”とする。画像形成処理の優先度も画像データのセキュリティレベルに応じて異なるから、セキュリティレベルの高い画像データほど処理群に含まれる一連の処理が、実施形態よりも迅速に行われることになる。

（５−２）変形例２
また、実施形態では、各々の画像データに設定されるセキュリティレベルは、ユーザが画像データの重要度を判断して設定するようにしていたが、画像処理装置１が設定するようにしてもよい。例えば、画像処理装置１は、ユーザ情報とセキュリティレベルを対応付けて記憶部１６に記憶しておき、画像データの入力を受け付けた際にログインしているユーザに対応したセキュリティレベルを割り当てるようにしても良い。例えば、会社においてユーザの役職が高くなるほどセキュリティレベルを高くしたり、機密性の高い情報を扱っている業務を行っている者のセキュリティレベルをそれ以外の者よりも高くするといった具合である。

（５−３）変形例３
また、画像処理装置１が、「丸秘」、「人事」、「重要」のような、画像に機密性を有する情報が含まれると推測できるキーワードと、セキュリティレベルを対応付けて記憶部１６に記憶しておく。そして、画像処理装置１は画像データが表す画像に含まれるキーワードを光学的に読み取って抽出し、その結果に基づいて画像データのセキュリティレベルを設定してもよい。また、画像処理装置１が隠し印刷を読み取る機能を備え、隠し印刷として埋め込まれたユーザ情報やキーワード、またセキュリティレベルなどを示す情報を読み取って、それらに応じたセキュリティレベルを設定するようにしてもよい。画像データのデータ量の大きいほど、消去処理に要する時間も大きくなるから、データ量の小さな画像データほどセキュリティレベルを高くしてもよい。

（５−４）変形例４
また、実施形態では、擬似画像データはそのまま消去領域や未使用領域に記憶されるようにしていたが、暗号化して記憶させても良い。ユーザが特に機密性の高い情報が含まれると判断した画像データについては、当該画像データを暗号化して記憶させることもある。よって、暗号化されたデータが発見されると、特に機密性を有するデータであると判断される虞が暗号化されていないデータに比べて高くなる。したがって、擬似画像データも暗号化して記憶されていれば、機密性を有する画像データがさらに発見されにくくなる。暗号化方式としては、例えば時刻情報が反映された暗号鍵を適用したりすれば、各々の擬似画像データの暗号化方式が異なることになるから、それらが復号される場合には、暗号化方式が変わらない場合よりも時間を要することになる。

（５−５）変形例５
なお、実施形態では、プリントアウト機能、スキャン（画像読取）機能、コピー（複写）機能及びファクシミリ機能を備えた装置によって画像処理装置１が実現される例を説明したが、これに限らず、これらの機能のうち少なくとも１つを備えた装置によって実現されてもよい。また、画像処理を行うコンピュータのような情報処理装置に画像処理装置１が内蔵されていても良い。

（５−６）変形例６
なお、画像処理装置１の制御部１１が実行するプログラムは、コンピュータによって読み取り可能な磁気記録媒体、光記録媒体あるいはＲＯＭなどの記録媒体に記録して画像処理装置１に提供することができる。また、インターネットのような通信手段で画像処理装置１にダウンロードさせることも可能である。

実施形態に係る画像処理装置のハードウェア構成を示したブロック図である。 記憶領域のデータ構造を説明する図である。 制御部が実行する処理の優先度を示した管理テーブルの一例を示した図である。 セキュリティレベルと優先度の関係を示す管理テーブルの一例を示した図である。 制御部が実行する処理の手順を示すフローチャートである。 動作例１における処理の過程を説明する図である。 動作例２における処理の過程を説明する図である。 動作例３における処理の過程を説明する図である。 変形例において制御部が実行する処理の優先度を示した管理テーブルの一例を示した図である。 変形例においてセキュリティレベルと優先度の関係を示す管理テーブルの一例を示した図である。

符号の説明

１…画像処理装置、１１…制御部（割当手段、第１の消去手段、第２の消去手段、消去手段、処理手段、制御手段）、１２…操作部、１３…通信部、１４…画像読取部、１５…画像形成部、１６…記憶部（割当手段）、１７…表示部。

Claims (8)

1. 画像データが記憶された記憶領域に対して当該画像データとは異なるデータを書き込むことで当該画像データを当該記憶領域から消去するデータ消去処理を複数回繰り返す場合に、これら複数回のデータ消去処理の各々に対して優先度を割り当てる割当手段と、
   第１の画像データに対する前記複数回のデータ消去処理を、前記割当手段により各データ消去処理に割り当てられた優先度に従って順番に実行する第１の消去手段と、
   前記第１の画像データとは異なる第２の画像データに対する前記複数回のデータ消去処理を、前記割当手段により各データ消去処理に割り当てられた優先度に従って順番に実行する第２の消去手段と、
   前記第１の消去手段によって前記第１の画像データに対する前記複数回のデータ消去処理のうちのいずれかが実行されているときに、前記第２の画像データに対するデータ消去処理が要求されると、前記第１の消去手段によって実行されているデータ消去処理に対する優先度と、前記第１の消去手段によって未だ実行されていないデータ消去処理に対する優先度と、前記第２の画像データに対する複数のデータ消去処理の各々に割り当てられた優先度とを比較し、それぞれのデータ消去処理に対する優先度に従って、実行する順番を決定し、決定した順番に従って前記第１の消去手段又は前記第２の消去手段にデータ消去処理を実行させるよう制御する制御手段と
   を備えることを特徴とする画像処理装置。
2. 画像データが記憶された記憶領域に対して当該画像データとは異なるデータを書き込むことで当該画像データを当該記憶領域から消去するデータ消去処理を複数回繰り返す場合に、これら複数回のデータ消去処理の各々に対して優先度を割り当てるとともに、前記画像データに対するデータ消去処理以外の処理に対して優先度を割り当てる割当手段と、
   画像データに対する前記複数回のデータ消去処理を、前記割当手段により各データ消去処理に割り当てられた優先度に従って順番に実行する消去手段と、
   前記画像データに対するデータ消去処理以外の処理を、前記割当手段により割り当てられた優先度に従って順番に実行する実行手段と、
   前記消去手段によって前記複数回のデータ消去処理のうちのいずれかが実行されているときに、前記画像データに対するデータ消去処理以外の処理が要求されると、前記消去手段によって実行されているデータ消去処理に対する優先度と、前記消去手段によって未だ実行されていないデータ消去処理に対する優先度と、前記画像データに対するデータ消去処理以外の処理の各々に割り当てられた優先度とを比較し、それぞれの処理に対する優先度に従って、実行する順番を決定し、決定した順番に従って前記消去手段又は前記処理手段に処理を実行させるよう制御する制御手段と
   を備えることを特徴とする画像処理装置。
3. 予め決められた機密度と、前記複数回のデータ消去処理の各々に対する優先度とを対応付けて記憶した機密度記憶手段と、
   前記機密度を指定する機密度指定手段を備え、
   前記割当手段は、前記機密度指定手段によって指定された機密度に対応付けて前記機密度記憶手段に記憶されている優先度を割り当てる
   ことを特徴とする請求項１または２に記載の画像処理装置。
4. キーワードと、前記複数回のデータ消去処理の各々に対する優先度とを対応付けて記憶したキーワード記憶手段を備え、
   前記割当手段は、前記画像データが表す画像に含まれる文字画像からキーワードを抽出し、抽出したキーワードに対応付けて前記キーワード記憶手段に記憶されている優先度を割り当てる
   ことを特徴とする請求項１または２に記載の画像処理装置。
5. 予め決められた画像データを擬似画像データとして記憶する擬似画像記憶手段を備え、
   画像データに対する前記複数回のデータ消去処理のうち最後に実行されるデータ消去処理は、前記擬似画像記憶手段によって記憶されている擬似画像データを前記記憶領域に書き込む処理であることを特徴とする請求項１又は２に記載の画像処理装置。
6. 前記画像データが暗号化されているか否かを判断する判断手段を備え、
   前記第１及び第２の制御手段は、前記判断手段によって前記画像データが暗号化されていると判断された場合には、前記画像データに対する前記複数回のデータ消去処理のうち最後に実行されるデータ消去処理は、前記擬似画像記憶手段によって記憶されている擬似画像データ又は乱数を前記記憶領域に書き込み、且つ、暗号化する処理であることを特徴とする請求項５に記載の画像処理装置。
7. コンピュータに、
   画像データが記憶された記憶領域に対して当該画像データとは異なるデータを書き込むことで当該画像データを当該記憶領域から消去するデータ消去処理を複数回繰り返す場合に、これら複数回のデータ消去処理の各々に対して優先度を割り当てる割当機能と、
   第１の画像データに対する前記複数回のデータ消去処理を、前記割当機能により各データ消去処理に割り当てられた優先度に従って順番に実行する第１の消去機能と、
   前記第１の画像データとは異なる第２の画像データに対する前記複数回のデータ消去処理を、前記割当機能により各データ消去処理に割り当てられた優先度に従って順番に実行する第２の消去機能と、
   前記第１の消去機能によって前記第１の画像データに対する前記複数回のデータ消去処理のうちのいずれかが実行されているときに、前記第２の画像データに対するデータ消去処理が要求されると、前記第１の消去機能によって実行されているデータ消去処理に対する優先度と、前記第１の消去機能によって未だ実行されていないデータ消去処理に対する優先度と、前記第２の画像データに対する複数のデータ消去処理の各々に割り当てられた優先度とを比較し、それぞれのデータ消去処理に対する優先度に従って、実行する順番を決定し、決定した順番に従って前記第１の消去機能又は前記第２の消去機能にデータ消去処理を実行させるよう制御する制御機能と
   を実現させるプログラム。
8. コンピュータに、
   画像データが記憶された記憶領域に対して当該画像データとは異なるデータを書き込むことで当該画像データを当該記憶領域から消去するデータ消去処理を複数回繰り返す場合に、これら複数回のデータ消去処理の各々に対して優先度を割り当てるとともに、前記画像データに対するデータ消去処理以外の処理に対して優先度を割り当てる割当機能と、
   画像データに対する前記複数回のデータ消去処理を、前記割当機能により各データ消去処理に割り当てられた優先度に従って順番に実行する消去機能と、
   前記画像データに対するデータ消去処理以外の処理を、前記割当機能により割り当てられた優先度に従って順番に実行する実行機能と、
   前記消去機能によって前記複数回のデータ消去処理のうちのいずれかが実行されているときに、前記画像データに対するデータ消去処理以外の処理が要求されると、前記消去機能によって実行されているデータ消去処理に対する優先度と、前記消去機能によって未だ実行されていないデータ消去処理に対する優先度と、前記画像データに対するデータ消去処理以外の処理の各々に割り当てられた優先度とを比較し、それぞれの処理に対する優先度に従って、実行する順番を決定し、決定した順番に従って前記消去機能又は前記処理機能に処理を実行させるよう制御する制御機能と
   を実現させるプログラム。

Images