JP5658574B2 - 画像形成装置及びその制御方法、並びにプログラム - Google Patents

Description

本発明は、設定値、画像データなどのユーザデータを処理するデータ処理装置及びその制御方法に関する。

デジタル複合機には記憶装置（ＨＤＤ、ＳＳＤ、ＳＲＡＭ等）が備え付けられており、機器の稼働に必要なプログラム、機器の調整値を初め、ユーザがデジタル複合機を利用した際に生成されるユーザデータが保存される。画像データやアドレス帳や設定値などの情報はユーザの機密情報であるので、レンタルしたデジタル複合機を回収（レンタルアウト）して再利用する場合やリプレイスする場合に、以前のユーザの機密情報が漏洩しないようにユーザデータの一括消去を行う。

ユーザデータの一括消去機能を持つ以前のデジタル複合機では、レンタルアウト等で返却する際にＨＤＤに保存されているデータの漏洩を防ぐために、顧客の要望があればＨＤＤを物理的に破壊し引き取ることも行っていた。しかし、この作業はサービスマンが行わなければならず、またデータが消去（破壊）されていることを確認する必要があるため、非常に手間がかかるという問題があった。そのため、現在のデジタル複合機では、ＨＤＤを含む機器内のユーザデータをユーザ操作により初期化するためのユーザデータの一括消去機能を実現したという背景がある。

ユーザデータの一括消去機能では、画像データやアドレス帳などのユーザに関わる情報のみを削除し、セキュリティ上漏洩しても問題が生じない機体固有の調整値やプログラムソフトの削除は行わない。これにより、デジタル複合機の再利用時に、再設定や再インストールを最小限に抑えることが可能になる。ユーザデータのみを削除し、ユーザデータ以外の機器設定ファイルなどは消去しないようにするという観点では、初期化シーケンスを走らせて実現する方法が提案されている（例えば、特許文献１参照）。

特開２００５−２３６７８２号公報

しかし、ユーザデータの一括消去実行時に、機体固有の調整値やプログラムソフトが機器に残ったままの状態で、ユーザデータが確実に消去されたことをユーザ自身が確認することができない。特に、情報セキュリティ意識の高いユーザは、ユーザデータが実際に一括して削除されたのか否か不安に感じる場面があるため、ユーザデータが確実に消去されていることを何らかの手段で示すことが求められている。また、ユーザデータが機密情報である場合には、なおさらこの要望が強いと考えられる。

ここで、ユーザデータが削除されたことを確認する方法として、機体の記憶部に対してファイルサイズ、チェックサムなど、データ領域の状態を集計した情報を工場出荷時と比較することが考えられる。しかし、デジタル複合機等の画像形成装置ではユーザの下で稼働している最中に機体の調整値が変更されることもあり、単純に適用することができない。

本発明は、上記課題に鑑みてなされたものであり、ユーザデータの削除機能の実行により実際にユーザデータが削除されたか否かをユーザがより容易に確認できる仕組みを提供する。

上記課題を解決するため、本発明に係る画像形成装置は、ユーザデータを記憶する複数のデータ領域を含む記憶部と、前記複数のデータ領域に格納されている前記ユーザデータの一括削除を実行する削除手段と、前記削除手段による前記ユーザデータの前記一括削除の実行が完了した後に、前記一括削除の実行後における前記複数のデータ領域の、データ領域単位の使用状況を示す画像を生成する生成手段と、前記生成手段によって生成された画像を出力する出力手段と、を有することを特徴とする。

本発明によれば、ユーザデータの削除機能の実行により実際にユーザデータが削除されたか否かをユーザがより容易に確認できる仕組みを提供する。

本発明の一実施形態における画像形成装置の全体構成を示す図である。 コントローラ部の詳細構成を示すブロック図である。 記憶部のパーティション構成を示す図である。 データ領域使用状況情報の生成処理を示すフローチャートである。 データ領域使用状況情報の一例を示す図である。 データ領域使用状況情報の表示処理を示すフローチャートである。 ユーザデータ一括削除のレポートプリントの一例を示す図である。

以下、本発明を実施するための最良の形態について図面を用いて説明する。ただし、この実施の形態に記載されている構成要素はあくまで例示であり、この発明の範囲をそれらのみに限定する趣旨のものではない。

＜画像形成装置の全体構成＞
図１を用いて画像形成装置１００の全体構成を以下に説明する。画像形成装置１００は、本発明に係るデータ処理装置の一例である。画像形成装置１００は、イーサネット（登録商標）等のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１０１を介してインターネットに接続されている。画像形成装置１００は、画像データの読取処理を行うリーダ部１０２と、画像データの出力処理を行うプリンタ部１０３と、画像データや各種機能の表示などを行う液晶パネルを有する操作部１０４と、これらの各構成要素に接続されて該構成要素を制御する単一の電子部品からなるコントローラ部１０５とを備える。

リーダ部１０２は、原稿用紙を搬送する原稿給紙ユニット（部）１０６と、原稿画像を光学的に読み取って電気信号としての画像データに変換するスキャナ部１０７とを有する。

プリンタ部１０３は、記録用紙を収容する複数段の給紙カセットを備えた給紙ユニット（部）１０８と、画像データに従った画像を記録用紙に転写、定着するマーキングユニット（部）１０９と、画像が形成された記録用紙を外部に排出する排紙ユニット（部）１１０とを有する。

排紙ユニット１１０は、画像形成装置１００の外部に接続されたアクセサリユニット１１１が接続されている構成の場合もあり、その場合は記録用紙をアクセサリユニット１１１へ排出する。アクセサリユニット１１１では、ソート処理やステイプル処理などのフィニッシング処理を施して、記録用紙を排出する。ＦＡＸ機能を備える画像形成装置の場合は、アクセサリユニット１１１にＦＡＸ送信部が設けられる。なお、アクセサリユニット１１１は、画像形成装置１００に別の装置であるものとするが、画像形成装置１００自体が備えていても構わない。

＜コントローラ部の詳細構成＞
図２はコントローラ部１０５の詳細を示すブロック図である。メインコントローラ３２は、ＣＰＵ３３と、バスコントローラ３４と、後述する各種コントローラ回路を含む機能ブロックとを内蔵する。ＣＰＵ３３は、ＤＲＡＭＩ／Ｆ３７を介してＤＲＡＭ３８と接続される。ＣＰＵ３３は、コーデックＩ／Ｆ３９を介してコーデック４０と接続され、また、ネットワークＩ／Ｆ４１を介してネットワークコントローラ４２と接続されている。

ＤＲＡＭ３８は、ＣＰＵ３３が動作するための作業領域や画像データを蓄積するための領域として使用される。コーデック４０は、ＤＲＡＭ３８に蓄積されたラスターイメージデータをＭＨ／ＭＲ／ＭＭＲ／ＪＢＩＧなどの周知の圧縮方式で圧縮し、また圧縮されたデータをラスターイメージに伸長する。コーデック４０にはＳＲＡＭ４３が接続されており、ＳＲＡＭ４３はコーデック４０の一時的な作業領域として使用される。

ネットワークコントローラ４２は、ネットワークコネクタ４４を介してＬＡＮ１０２との間で所定の制御動作を行う。メインコントローラ３２は、スキャナバス４５を介してスキャナＩ／Ｆ４６に接続され、プリンタバス４７を介してプリンタＩ／Ｆ４８に接続される。メインコントローラ３２は、ＰＣＩバス等の汎用高速バス４９を介して拡張ボードを接続するための拡張コネクタ５０及び入出力制御部（Ｉ／Ｏ制御部）５１に接続されている。

Ｉ／Ｏ制御部５１は、リーダ部１０２やプリンタ部１０３との間で制御コマンドを送受信するための調歩同期式のシリアル通信コントローラ５２が２チャンネル装備されている。シリアル通信コントローラ５２は、Ｉ／Ｏバス５３を介してスキャナＩ／Ｆ４６及びプリンタＩ／Ｆ４８に接続されている。

スキャナＩ／Ｆ４６は、第１の調歩同期シリアルＩ／Ｆ５４及び第１のビデオＩ／Ｆ５５を介してスキャナコネクタ５６に接続されている。スキャナコネクタ５６は、リーダ部１０２のスキャナユニット１０７に接続されている。スキャナＩ／Ｆ４６は、スキャナユニット１０７から受信した画像データに対し所望の２値化処理や、主走査方向及び／又は副走査方向の変倍処理を行う。スキャナＩ／Ｆ４６は、スキャナユニット１０７から送られてきたビデオ信号に基づいて制御信号を生成し、生成した制御信号をスキャナバス４５を介してメインコントローラ３２に転送する。

プリンタＩ／Ｆ４８は、第２の調歩同期シリアルＩ／Ｆ５７及び第２のビデオＩ／Ｆ５８を介してプリンタコネクタ５９に接続されている。プリンタコネクタ５９は、プリンタ部１０３のマーキングユニット１０９に接続されている。プリンタＩ／Ｆ４８は、メインコントローラ３２から出力された画像データにスムージング処理を施して該画像データをマーキングユニット１０９に出力する。プリンタＩ／Ｆ４８は、マーキングユニット１０９から送られたビデオ信号に基づいて、生成された制御信号をプリンタバス４７に出力する。プリンタＩ／Ｆ４８は、例えば、ＬＡＮ１０１に接続されたホストコンピュータから受信したＰＤＬ（ページ記述言語）データを解釈し、ラスターイメージデータに展開処理を行う。

バスコントローラ３４は、スキャナＩ／Ｆ４６、プリンタＩ／Ｆ４８、その他の拡張コネクタ５０等に接続された外部機器から入出力されるデータ転送を制御するものであり、バス競合時のアービトレーション（調停）やＤＭＡデータ転送の制御を行う。バスコントローラ３４は、例えば、上述したＤＲＡＭ３８とコーデック４０との間のデータ転送や、スキャナユニット１０７からＤＲＡＭ３８へのデータ転送、ＤＲＡＭ３８からマーキングユニット１０９へのデータ転送等は、バスコントローラ３４によって制御され、ＤＭＡ転送される。

Ｉ／Ｏ制御部５１は、ＬＣＤコントローラ６０及びキー入力Ｉ／Ｆ６１を介して、パネルＩ／Ｆ６２に接続されている。Ｉ／Ｏ制御部５１は、汎用高速バス４９を介して操作部１０４に接続されている。Ｉ／Ｏ制御部５１は、Ｅ−ＩＤＥコネクタ６３を介して、ハードディスクドライブ８、９及びフラッシュメモリ６６に接続されている。フラッシュメモリ６６は、メインコントローラの制御プログラム等の各種データを記憶する記憶領域を有する。

Ｉ／Ｏ制御部５１は、機器内で管理する日付と時刻を更新／保存するリアルタイムクロックモジュール６４に接続されている。尚、リアルタイムクロックモジュール６４は、バックアップ用電池６５に接続され、バックアップ用電池６５により電力が供給される。

＜ユーザデータ一括削除の仕組み＞
ユーザデータを保存することが可能な記憶部は、ＳＲＡＭ４３、ハードディスク８、９及びフラッシュメモリ６６からなる。ＳＲＡＭ４３は、機器の調整値の他、ユーザに関するデータ（例えば、アドレス帳データなど）を保存し、用意された各項目に値が設定される。ユーザデータを一括削除（一括消去）する時には、ユーザに関する項目の値を削除し、機体の調整値は削除しない。ＳＲＡＭ４３に保存される調整値は工場出荷時に設定されるが、ユーザの下で画像形成装置１００が稼働している最中にもサービスマンやユーザによって変更される可能性がある。

ハードディスク８、９及びフラッシュメモリ６６は、本実施形態では、双方が画像形成装置１００に内蔵される構成としたが、少なくとも一方が外付けタイプである場合であっても、ユーザデータの一括削除を同様に行うことができる。ハードディスク８、９及びフラッシュメモリ６６は、図３のようなパーティションに分割して管理されており、パーティション毎に削除処理を行う。ユーザデータ一括削除によってデータ削除処理を行うのは、ログデータ保存領域３０１、ユーザボックス領域３０２、画像データ処理領域３０３、拡張ソフト一時格納領域３０４である。これらの領域３０１〜３０４は、ユーザが画像形成装置１００を使用中にユーザに関するデータが保存される領域である。

ライセンスなどを保存する拡張ソフト格納領域３０５、ＯＳを含むプログラムを保存するプログラム領域３０６に対しては、ユーザデータの一括削除処理を行わない。ユーザの下で画像形成装置１００が稼働している最中にも、ライセンスの追加やプログラムのアップデートが行われた場合には、拡張ソフト格納領域３０５やプログラム領域３０６はサービスマンやユーザによって変更される可能性がある。

＜データ領域使用状況情報の生成方法＞
図４のフローチャートを用いて、データ領域使用状況情報の生成方法について説明する。図４に示すフローチャートは図２に示したフラッシュメモリ６６に格納されたプログラムにしたがって、ＣＰＵ３３によって実行される。この処理の対象となるのは、ＳＲＡＭ４３、ハードディスク８、９及びフラッシュメモリ６６である。

最初に、ＣＰＵ３３は、Ｓ４０１において、記憶領域のパーティションを選択する。なお、ＳＲＡＭ４３にはパーティションが存在しないため、ＳＲＡＭ４３全体が選択される。

そして、ＣＰＵ３３は、Ｓ４０２において、Ｓ４０１で選択したパーティションからブロック単位でユーザデータの取得を試みる。ブロック単位はパーティションを十分に細分化したサイズであり、サイズの異なる各パーティションに対して適切なブロックサイズをあらかじめ設定しておく。例えば、図５（ａ）で示すように、１ブロック当たりのサイズが４バイトであるものとする。

そして、ＣＰＵ３３は、Ｓ４０３において、Ｓ４０２で着目するブロックからユーザデータを取得したか否かを判定する。取得した場合には、ＣＰＵ３３は、Ｓ４０４において、ユーザデータが着目するブロックに存在することを示す値をデータ領域使用状況情報に追記する。例えば、図５（ｂ）で示すように、「１」をデータ領域使用状況情報としてのテキストデータ５０１に追記する。

一方、ユーザデータを取得していない場合には、ＣＰＵ３３は、Ｓ４０５において、ユーザデータが着目するブロックに存在しないことを示す値をデータ領域使用状況情報に追記する。例えば、図５（ｂ）で示すように、「０」をデータ領域使用状況情報としてのテキストデータ５０１に追記する。

なお、Ｓ４０４、Ｓ４０５の処理は、デフォルト値として「０」が設定されていれば、Ｓ４０５を省略することができるし、「１」が設定されていれば、Ｓ４０４を省略することができる。

このように、データ領域のブロック毎のユーザデータの有無を連続して追記していくことで、データ領域上の位置情報と、ユーザデータの有無とを紐づけたデータ領域使用状況情報とする。

ＣＰＵ３３は、ユーザデータの有無をブロック単位で判定し、データ領域使用状況情報に値を追記したところでＳ４０６に進み、Ｓ４０１で選択したパーティション内に未処理のブロックがあるか否かを判定する。なお、本実施形態では、データ領域に端数が生じる場合には、端数も１つのブロックとして扱うものとする。例えば、４バイトを１ブロックとしている場合に、パーティション内に１０２バイトのデータ領域が存在する場合には、２バイトの端数が生じることとなるが、この２バイト分を１つのブロックとして扱うものとする。しかし、処理スピードを重視するのであれば、端数はブロックとして扱わないことも可能である。

未処理のブロックがある場合には、Ｓ４０７において、ブロックサイズの分だけユーザデータの取得位置を進めてＳ４０２からの処理を行う。ブロックサイズは、図５（ａ）の例では、４バイトである。未処理のブロックがない場合にはＳ４０８に進み、ＣＰＵ３３は、未処理のパーティションがあるか否かを判定する。

未処理のパーティションがある場合には、ＣＰＵ３３は、次のパーティションに処理を移し、Ｓ４０１からの処理を行う。一方、未処理のパーティションがない場合には、ＣＰＵ３３は、データ領域使用状況情報の生成を終了する。

＜データ領域使用状況情報の提示方法＞
図６のフローチャートを用いて、データ領域使用状況情報をユーザデータ一括削除時に取得し、ユーザに対して画像化して提示する方法について説明する。図６に示すフローチャートは図２に示したフラッシュメモリ６６に格納されたプログラムに従って、ＣＰＵ３３によって実行される。

ＣＰＵ３３は、操作部１０４からユーザデータの一括削除の指示を受けると、Ｓ６０１において、ユーザデータの一括削除実行前のデータ領域使用状況情報を生成する。その後、ＣＰＵ３３は、Ｓ６０２において、ユーザデータの一括削除を実行する。一括削除の終了後、ＣＰＵ３３は、Ｓ６０３において、ユーザデータの一括削除実行後のデータ領域使用状況情報を生成する。

そして、ＣＰＵ３３は、Ｓ６０４において、あらかじめプログラム領域３０６（一括削除処理の対象外）に保存しておいた工場出荷時のデータ領域使用状況情報と、Ｓ６０１、Ｓ６０３において生成した一括削除実行前後のデータ領域使用状況情報を画像化する。

データ領域使用状況情報の画像化は、例えば、図５（ｂ）で示したように、データ領域の値の有無を示すテキストデータ５０１（画像データ）を視覚的に分かりやすくなるように色分けをした画像５０２を生成することにより行う。

Ｓ６０５において、工場出荷時、一括削除実行前、一括削除実行後のデータ領域使用状況情報を画像化したものをプリンタ部１０３でレポートプリントとして記録用紙に印刷する。

図７にユーザデータ一括削除実行後に出力するレポートプリントの例を示す。印刷されたログデータ領域画像７０１、ユーザボックス領域画像７０２、画像データ処理領域画像７０３及び拡張ソフト一時領域画像７０４は、それぞれ、図３のログデータ領域３０１、ユーザボックス領域３０２、画像データ処理領域３０３及び拡張ソフト一時領域３０４のパーティション領域に対応したデータ領域使用状況情報を画像化したものである。一括削除実行前にはデータ領域が使用されている状態だが、工場出荷時、一括削除実行後にはデータ領域が使用されていない状態になっていることを目視で確認することができる。これらのパーティションは、ユーザデータが保存されるため、ユーザデータ一括削除の対象である。データ領域の値が一括削除処理の実行によって削除され、一括削除実行後のデータ領域が工場出荷時と同等の状態になっていることをユーザ自身が確認可能となる。

拡張ソフト領域画像７０５は、図３の拡張ソフト領域３０５のパーティション領域に対応したデータ領域使用状況情報を画像化したものである。拡張ソフト領域３０５は、ユーザデータが保存されることはないので、ユーザデータ一括削除の対象外であり、図７の例では一括削除実行前後でデータ領域使用状況情報の差分はない。ユーザの下での画像形成装置１００の稼働中に拡張ソフト領域３０５が使用されると、拡張ソフト領域画像７０５の工場出荷時と一括削除実行後では差分が生じる可能性がある。ユーザに対しては、この領域に工場出荷時との差分があってもセキュリティ上問題ない旨を７０７のコメントで表示する。

調整値・設定値格納領域画像７０６は、ＳＲＡＭ４３に対応したデータ領域使用状況情報を画像化したものである。ＳＲＡＭ４３は、ユーザデータを一部保存しているので、ユーザデータ一括削除実行時にユーザに関するデータ項目のみ削除するが、機体の調整値・設定値に関する項目は削除を行わない。機体の調整値・設定値は、ユーザの下での画像形成装置１００の稼働中にも変更されることもあるので、工場出荷時と一括削除実行後でデータ領域使用状況情報に差分が生じる可能性がある。その場合も拡張ソフト領域画像７０５と同様に、この領域に工場出荷時との差分があってもセキュリティ上問題ない旨を７０７のコメントで表示する。

また、図３のプログラム領域３０６のパーティションは、プログラムのアップデートを行うとき以外は、読み出しは可能であるが書き込みが不可の領域となるので、図７のレポートプリントの例では比較対象領域から外している。

以上、図７により、ユーザ自身に、消去されたデータの度合いや用途を目視で確認させることができ、機器内に何かしらのデータが残っているものの、ユーザデータの漏洩のおそれのある領域についてはデータが削除されていることを視覚的に示すことができる。

ここでは、図７のレポートプリントという印刷の形態を取ったが、同様の内容を操作部１０４に表示したり、別の方法でユーザに通知したりしても構わない。

（他の実施形態）
本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）をネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（又はＣＰＵやＭＰＵ等）がプログラムコードを読み出して実行する処理である。この場合、そのプログラム、及び該プログラムを記憶した記憶媒体は本発明を構成することになる。

Claims (6)

1. 画像形成装置であって、
   ユーザデータを記憶する複数のデータ領域を含む記憶部と、
   前記複数のデータ領域に格納されている前記ユーザデータの一括削除を実行する削除手段と、
   前記削除手段による前記ユーザデータの前記一括削除の実行が完了した後に、前記一括削除の実行後における前記複数のデータ領域の、データ領域単位の使用状況を示す画像を生成する生成手段と、
   前記生成手段によって生成された画像を出力する出力手段と、
   を有することを特徴とする画像形成装置。
2. 前記画像は、更に、前記一括削除の実行前における前記複数のデータ領域の、データ領域単位の使用状況を示すことを特徴とする請求項１に記載の画像形成装置。
3. 前記画像は、更に、工場出荷時における前記複数のデータ領域の、データ領域単位の使用状況を示すことを特徴とする請求項１または２に記載の画像形成装置。
4. 前記出力手段は、前記画像を記録用紙に印刷することを特徴とする請求項１から３のいずれか１項に記載の画像形成装置。
5. 複数のデータ領域を含む記憶部を備える画像形成装置の制御方法であって、
   ユーザデータを前記複数のデータ領域に記憶させる記憶工程と、
   前記複数のデータ領域に格納されている前記ユーザデータの一括削除を実行する削除工程と、
   前記ユーザデータの前記一括削除の実行が完了した後に、前記一括削除の実行後における前記複数のデータ領域の、データ領域単位の使用状況を示す画像を生成する生成工程と、
   前記生成工程で生成された画像を出力する出力工程と、
   を有することを特徴とする制御方法。
6. 請求項５に記載の画像形成装置の制御方法における各工程をコンピュータに実行させるためのプログラム。

Images