KR100573264B1

KR100573264B1 - 작업 처리 장치 및 이 장치에 있어서의 데이터 관리 방법

Info

Publication number: KR100573264B1
Application number: KR1020030065840A
Authority: KR
Inventors: 사타케마사노리; 마스이다카노리; 요코하마다츠히코
Original assignee: 후지제롯쿠스 가부시끼가이샤
Priority date: 2003-03-24
Filing date: 2003-09-23
Publication date: 2006-04-24
Also published as: CN1532706A; US7502944B2; JP2004288049A; US20040193899A1; JP4433684B2; CN100472474C; KR20040086107A

Abstract

본 발명은 작업 데이터의 보안을 높인 작업 처리 장치에 관한 것이다. CPU(10)는 작업 실행에 필요한 작업 데이터를 보존할 때에는, 그 작업 데이터에 암호화를 실시한 후에, 그 일부분(42)을 RAM(14)에 저장하고, 남은 저장 파일(40)을 HDD(16)에 저장한다. 작업이 종료했을 때에는, RAM(14) 내의 해당 작업의 작업 데이터의 일부분(42)을 소거한다. 이 소거에 의해 작업 데이터(42)의 일부분은 완전하게 소멸하므로, 가령 HDD(16)를 빼내어 조사하더라도 완전한 작업 데이터를 알 수는 없다.

데이터, 작업, 보안, 암호화, 소거, 처리.

Description

작업 처리 장치 및 이 장치에 있어서의 데이터 관리 방법{JOB PROCESSING DEVICE AND DATA MANAGEMENT METHOD FOR THE DEVICE}

도 1은 본 발명에 따른 화상 형성 장치의 하드웨어 구성의 주요부를 나타내는 도면.

도 2는 본 발명에 따른 화상 형성 장치에 있어서의 작업(job) 데이터 파일의 기억·판독·소거를 위한 기구를 나타내는 블록도.

도 3은 저장·소거 제어부에 의한 작업 데이터 파일의 저장 처리 순서의 일례를 나타내는 플로차트.

도 4는 HDD 내의 저장 파일의 데이터 구조의 예를 나타내는 도면.

도 5는 저장 파일 내의 분산 관리 정보의 데이터 구조의 예를 나타내는 도면.

도 6은 분산 저장한 작업 데이터 파일의 판독 순서의 일례를 나타내는 플로차트.

도 7은 작업 데이터 파일의 소거 처리 순서의 일례를 나타내는 플로차트.

도 8은 RAM으로의 저장 데이터량의 결정 순서의 예를 나타내는 플로차트.

도 9는 작업 데이터의 저장·소거를 위한 장치의 변형례를 나타내는 도면.

도 10은 변형례에 있어서의 작업 데이터 파일의 소거 처리 순서의 일례를 나 타내는 플로차트.

*도면의 주요 부분에 대한 부호의 설명*

10 : CPU

12 : ROM

14 : RAM

16 : HDD

18 : 조작 패널

20 : 통신 인터페이스

22 : 스캔 엔진

24 : 프린트 엔진

40 : 저장 파일

42 : 저장 파일의 일부분

본 발명은 복사기, 프린터, 팩시밀리, 복합기 등 유저의 요구에 따라서 소정의 작업을 실행하는 작업 처리 장치에 관한 것으로, 특히 작업 처리 장치에 기억되는 데이터의 비밀 유지를 위한 기술에 관한 것이다.

근래의 디지털 복사기나 복합기는 하드 디스크(HDD) 등의 대용량 기억 장치를 탑재하는 것이 많다. 이러한 대용량 기억 장치는, 원고를 복수 부수 복사하는 경우나 양면 인쇄를 행하는 경우에 원고 화상을 일시적으로 보존하거나, 스캔 요구에 따라서 원고 판독부에서 판독한 원고 화상을 유저가 네트워크를 통하여 다운로드할 때까지 보존하는 등의 용도로 이용된다.

근래, 네트워크화나 이것에 수반하는 정보 범죄의 증가를 배경으로 해서 기업의 정보 보안 관리 강화의 기운이 높아지고 있어, ISMS(Information Security Management System) 등의 인증 제도도 개시되고 있다. 하드 디스크를 빼내는(발취) 등에 의한 정보 누설 리스크를 고려하면, 기업의 종합적인 정보 보안 관리에 있어서는, 디지털 복사기나 복합기의 대용량 기억 장치 내에 남은 데이터도 간과할 수 없는 문제이다.

이 문제에 대해, 특허 문헌 1에 개시된 기술에서는, 복사기에 기밀 문서 모드를 설치하고, 이 모드가 설정되어 있을 때에는 화상 데이터의 처리가 완료한 시점에서 하드 디스크상의 그 화상 데이터를 소거하는 것으로 하고 있다.

또한, 특허 문헌 2에 개시된 기술에서는, 하드 디스크에 보존한 화상 데이터를 복사기의 아이들 시간(idle time)에 소거하는 것으로 하고 있다.

또한, 특허 문헌 3에 개시된 기술에서는, 인터럽트 작업(interrupted job)의 화상 데이터를, 인터럽트 작업이 종료하고 인터럽트 전의 처리로 복귀하기 직전에 소거할지, 인터럽트된 작업의 종료 후에 소거할지를, 그 화상 데이터의 데이터량에 따라서 결정하고 있다. 또한, 이 기술에서는, 유저가 복사기를 이용하지 않는 방치 시간이 소정 시간을 초과했을 때에 하드 디스크상의 화상 데이터를 소거하거나, 유저가 복사 중지를 지시했을 때에 그 복사 처리에 관련된 화상 데이터를 하드 디 스크로부터 소거하거나 하고 있다.

또, 하드 디스크상의 화상 데이터의 소거는, 단지 파일 시스템상에서 그 화상 데이터 파일을 삭제하는 것만으로는 하드 디스크상에 실체 데이터가 남기 때문에 불충분하다. 그래서, 종래부터, 하드 디스크상의 실체 데이터까지 소거하는 경우에는 그 실체 데이터 영역에 랜덤한 데이터를 복수회 덮어쓰는 것이 행해지고 있다.

또한, 화상 데이터를 암호화하고 나서 하드 디스크에 저장함으로써, 더욱 보안을 높이는 것도 행해지고 있다.

[특허 문헌 1]

일본 특개평 9-223061호 공보

[특허 문헌 2]

일본 특개평 9-284572호 공보

[특허 문헌 3]

일본 특개 2003-37719호 공보

상기 종래 기술은 모두 하드 디스크로부터의 화상 데이터의 소거 기간 중에는 하드 디스크에 대한 화상 데이터의 판독/기록(read/write)이 불가능하기 때문에, 그 동안에는 다음의 인쇄 처리나 화상 판독 처리를 시작할 수 없다. 예를 들면 컬러이고 페이지수가 많은 원고 등, 데이터량이 많은 원고의 처리를 행한 후에는 그 원고의 화상 데이터를 소거하는데 긴 시간이 걸리기 때문에, 처리 대기가 길 어진다. 특허 문헌 3의 기술에서는, 소거 처리를 행하는 타이밍을 인터럽트 이외의 조건에 따라서 제어함으로써 소거 처리의 영향을 저감하려고 하고 있지만, 일단 소거를 시작하면 소거가 완료될 때까지 다음 처리를 시작할 수 없다는 점은 개선되어 있지 않다. 또한, 특허 문헌 3의 기술에서는, 소거 처리를 실행하는 타이밍이 올 때까지의 동안, 하드 디스크 중에 실체 데이터가 완전한 형태로 남아 있는 경우가 있다는 문제가 있었다.

본 발명은, 제 1 기억 장치와, 상기 제 1 기억 장치보다도 기억한 데이터를 고속으로 소거 가능한 제 2 기억 장치와, 상기 제 1 기억 장치와 상기 제 2 기억 장치에 작업 실행에 이용되는 작업 데이터를 분배해서 저장하는 저장 제어부와, 상기 저장 제어부에 의해 상기 제 2 기억 장치에 분배해서 저장된 작업 데이터를, 소정의 소거 조건이 만족된 경우에 소거하는 소거 제어부를 구비하는 작업 처리 장치를 제공한다.

본 발명의 적합한 실시 형태에서는, 상기 제 2 기억 장치로서 휘발성 메모리를 이용한다.

또한, 다른 적합한 실시 형태에서는, 상기 제 2 기억 장치로서, 상기 작업 처리 장치가 구비한 주기억 장치의 일부의 영역을 이용한다.

또한, 다른 적합한 실시 형태에서는, 상기 저장 제어부는, 상기 작업 데이터를 암호화하고, 그 암호화 결과 데이터를 상기 제 1 기억 장치와 제 2 기억 장치에 분배해서 저장한다.

또한, 다른 적합한 실시 형태에서는, 작업 처리 장치는, 소정의 룰에 따라서 상기 제 1 기억 장치와 상기 제 2 기억 장치에 작업 데이터를 분배해서 저장하는 동시에, 상기 룰을 변경하는 룰 관리부를 더 구비한다.

룰의 변경은, 예를 들면 해당 작업 처리 장치의 상태에 따라서 행할 수 있다. 여기서, 작업 처리 장치의 「상태」에는, 예를 들면 제 2 기억 장치의 빈 용량(사용가능 공간)이나 기록·판독 속도, 작업 처리 장치의 처리 부하, 대기중인 작업의 유무 등이 있다.

또한, 다른 적합한 실시 형태에서는, 작업 처리 장치는, 상기 룰을 상기 작업의 속성에 따라서 변경하는 룰 관리부를 더 구비한다. 여기서, 작업의「속성」에는 작업에 부여된 기밀도나 작업의 대상으로 되는 문서의 종별(種別) 등이 있다.

이하, 본 발명의 실시 형태에 대해서, 도면에 의거하여 설명한다. 이하에서는, 본 발명의 방식을 디지털 복합기 등의 화상 형성 장치에 적용한 경우의 예를 설명한다. 즉, 이하에서는 복사 처리나 스캔 처리를 위한 원고 판독에 의해 생성된 화상 데이터 파일이나, 리모트 호스트로부터 요구된 인쇄 지시나 그것을 전개한 화상 데이터 파일, 수신한 팩시밀리 데이터 등, 화상 형성 장치가 요구되는 각종 작업을 실행하기 위해 수신하거나 생성한 데이터의 보안 보호를 위한 구조를 설명한다.

우선, 도 1을 참조해서, 본 실시 형태의 화상 형성 장치의 하드웨어 구성을 설명한다. 도 1은, 본 실시 형태의 제어의 설명을 위해 필요한 구성 요소를 도시한 것으로서, 그 이외의 구성 요소에 대해서는 도시를 생략하고 있다.

이 화상 형성 장치는, 디지털 복사기나 디지털 복합기 등, 원고를 광학적으로 판독하여 얻은 화상을 디지털 데이터로서 취급하는 타입의 장치이다.

이 장치에 있어서, ROM(12, Read Only Memory)에는, 이 화상 형성 장치의 동작 제어를 위한 제어 프로그램 등의 디지털 정보가 저장되어 있다. CPU(10, 중앙 처리 장치)가 이 ROM(12) 내의 제어 프로그램을 실행함으로써, 화상 형성 장치의 각부의 제어가 실현된다. 후술하는 파일의 저장, 판독 및 소거의 각 순서를 기술한 프로그램도 이 ROM(12)에 저장되어 있다.

RAM(14, Random Access Memory)은 이 화상 형성 장치의 주기억 장치로서, 제어 프로그램의 실행시에 워크 메모리(work memory)로서도 이용된다. RAM(14)은, 예를 들면 프린트 엔진(24)에 공급하는 1 페이지분의 화상 데이터를 축적하는 페이지 버퍼(page buffer)로서 이용할 수도 있다.

HDD(Hard Disk Drive)(16)는 각종 데이터를 보존하기 위한 보조 기억 장치이다. 예를 들면, HDD(16)에는 화상 형성 장치가, 요구되는 각종 작업을 위해서 수신하거나 생성한 작업 데이터가 보존된다. 이러한 작업 데이터로서는, 예를 들면, 복사를 위해서 스캔 엔진(22)에서 판독한 원고 화상 데이터나, 리모트 호스트로부터 의뢰받은 보안 프린트 처리(유저 인증이 성공해야 비로소 인쇄를 행하는 처리)의 인쇄 지시 데이터나, 이 인쇄 지시 데이터를 전개해서 얻어지는 화상 데이터, 스캔 지시에 따라서 스캔 엔진(22)에서 판독한 화상 데이터 등이 있다. 이러한 작업 데이터 파일은, 작업의 종료와 함께 파일 시스템에서 삭제된다. 단, 파일 시스템 상에서 단지 파일을 삭제한 것만으로는 그 파일의 실체 데이터가 HDD 상에 남는 다는 것이 종래부터의 문제로서, 본 실시 형태에서는 그 문제에 대한 새로운 해결을 제공한다.

조작 패널(18)은, 이 화상 형성 장치의 유저 인터페이스를 위한 표시나, 유저로부터의 각종 지시의 입력 접수를 위한 유저 인터페이스 수단이다. 조작 패널(18)은, 전형적으로는 복사 시작 버튼 등의 기계적인 조작 버튼이나 액정 터치 패널을 구비한다. 액정 터치 패널은 CPU(10)에서 실행되는 제어 프로그램이 생성한 GUI(Graphical User Interface) 화면을 표시하고, 그 디스플레이에 대한 유저의 터치 위치를 검출해서 제어 프로그램으로 전달한다. 제어 프로그램은 그 터치 위치의 정보로부터 유저의 입력 내용을 해석한다.

통신 인터페이스(20)는, 로컬 에리어 네트워크(local area network, LAN) 등의 네트워크와의 데이터 통신을 위한 제어를 행하는 장치이다. 리모트 호스트로부터의 프린트 지시 등은 이 통신 인터페이스(20)를 통하여 화상 형성 장치 내로 입력된다.

스캔 엔진(22)은 원고를 광학적으로 판독해서 전자적인 화상 데이터를 생성하는 스캐너 기능을 제공하는 장치이다. 자동 원고 이송 장치(ADF, 도시 생략)에 세트된 원고는 ADF의 기능에 의해 1 매씩 스캔 엔진으로 보내져, 광학적으로 판독된다.

프린트 엔진(24)은, CPU(10)의 제어에 의해 공급되는 화상 데이터를 용지에 화상 형성(인쇄)하는 프린터 기능을 제공하는 장치이다.

이러한 화상 형성 장치에 있어서, 본 실시 형태에서는, 보존하는 작업 데이 터 파일의 보안 향상을 위한 방책으로서, 종래 HDD(16)에 저장되어 있던 작업 데이터의 파일을, HDD(16)와 RAM(14)에 분배해서 저장하는 구성을 취한다. 즉, 1 개의 작업 데이터 파일은 HDD(16) 내의 저장 파일(40)과 RAM(14) 내의 저장 파일의 일부분(42)으로 나누어 기억되게 된다. 이 구성에 의하면, 작업 데이터 파일을 소거하는 경우에는, RAM(14) 상의 저장 파일의 일부분(42)을 소거하면 좋다. RAM(14) 내의 데이터의 소거는 고속으로 행할 수 있다. RAM(14) 내의 데이터(42)를 소거한 경우, HDD(16) 내에 남은 저장 파일(40) 만으로는 원래의 작업 데이터 파일을 복원할 수 없기 때문에, 작업 데이터의 비밀을 보호할 수 있다. 특히, 작업 데이터 파일을 암호화하고 나서 HDD(16)와 RAM(14)에 분산 저장하는 구성으로 하면, HDD(16)에 남은 저장 파일(40)은 암호화한 작업 데이터 파일에서 일부를 누락시킨 것이므로, 복호 처리가 매우 곤란하게 되어, 높은 보안을 실현할 수 있다.

도 2는, 이 화상 형성 장치에 있어서의 작업 데이터 파일의 기억·판독·소거를 위한 기구(機構)를 나타내는 기능 블록도이다. 이 기구는 ROM(12) 또는 HDD(16)에 저장된 프로그램을 CPU(10)에서 실행함으로써 실현된다.

이 구성에 있어서, 작업 제어부(100)는, 조작 패널(18)이나 통신 인터페이스(20)로부터 입력되는 작업 요구를 받아들이고, 그들 요구에 대응하는 작업 처리의 실행을 제어한다. 작업의 실행으로서는, 화상 형성 처리나 여러 가지의 화상 처리, 문자 인식 처리, 다른 장치로의 송신 처리 등을 들 수 있다. 실행 중인 작업에 대한 인터럽트 작업의 접수나, 그 인터럽트에 수반하는 작업의 퇴피나 복귀의 제어도, 이 작업 제어부(100)에 의해 행해진다. 또한, 작업 제어부(100)는, 실행하는 작업이 작업 데이터의 일시 보존이 필요한 경우, 그 보존을 저장·소거 처리부(110)에 요구한다. 또한, 작업 데이터의 일시 보존이 필요한 작업에는, 예를 들면 원고를 복수 부수 복사하는 작업이나, 보안 프린트의 작업, 또는 판독한 화상을 HDD(16) 내에 확보된 보안 박스 영역에 일시 보관하는 작업 등이 있다. 복수 부수 복사의 경우는 그 부수 분의 인쇄 출력이 완료한 시점에서 작업이 완료하고, 보안 프린트의 경우는 화상 형성 장치에서의 유저 인증이 성공하여 인쇄 출력이 완료한 시점에서 작업이 완료한다. 또한, 보안 박스에의 스캔 화상의 보존 처리는 리모트 호스트가 그 보안 박스 내의 데이터를 다운로드한 시점에서 작업이 완료한다.

또한, 작업 제어부(100)는, 일단 보존한 작업 데이터를 작업 실행을 위해서 사용할 때가 온 경우에는, 저장·소거 제어부(110)에 대해서 그 작업 데이터의 판독을 요구한다.

저장·소거 제어부(110)는 작업 데이터 파일의 저장 및 판독 처리를 행하는 모듈이다. 작업 제어부(100)로부터 작업 데이터 파일의 저장 요구가 있었던 경우는, 저장·소거 제어부(110)는 그들을 소정의 분배 룰(또는 순서)에 따라서 RAM(14)과 HDD(16)에 분산 저장한다. 또한, 작업 제어부(100)로부터 작업 데이터 파일의 판독 요구가 있었던 경우는, 저장·소거 제어부(110)는 RAM(14)과 HDD(16)에 분산 저장한 데이터를 판독하고, 분배 룰에 의거하여 통합함으로써 원래의 작업 데이터 파일을 복원하여, 제어부(100)에 제공한다.

암호 처리부(112)는, 저장·소거 제어부(110)에 의해 RAM(14)이나 HDD(16)에 저장하는 데이터를 소정의 암호 알고리즘에 따라서 암호화하거나, RAM(14)이나 HDD(16)로부터 판독한 데이터를 복호한다.

난수 발생부(114)는, 저장·소거 제어부(110)에 의한 RAM(14) 및 HDD(16)로의 분산 저장 처리를 위해서 난수를 발생시키는 모듈이다.

메모리 감시부(116)는, RAM(14)의 빈 용량을 감시하는 모듈이다. 감시에 의해 구한 빈 용량 정보는 저장·소거 제어부(110)가 작업 데이터의 RAM(14)과 HDD(16)로의 분배량을 요구하는데 이용된다.

다음에 도 3을 참조해서, 저장·소거 제어부(110)에 의한 작업 데이터 파일의 저장시의 처리를 설명한다.

작업 제어부(100)로부터 작업 데이터 파일의 저장 요구를 받은 경우, 저장 소거 제어부(110)는 우선 그 파일을 암호 처리부(112)에서 암호화시킨다(S10).

다음에 저장·소거 제어부(110)는, 암호화한 작업 데이터중, RAM(14)에 저장하는 데이터의 사이즈를 계산한다(S12). 이 계산은, 메모리 감시부(116)에서 구한 RAM(14)의 빈 용량과, 난수 발생부(114)에서 발생시킨 난수를 이용하여 저장 사이즈를 계산한다. 기본적인 개념은, RAM(14)의 빈 용량이 많을수록 저장 사이즈를 크게 하는 동시에, 빈 용량과 저장 사이즈의 관계가 일정하게 되지 않도록 난수를 이용해서 조정을 가한다는 것이다. 예를 들면, RAM(14)의 빈 용량의 소정 비율을 저장 사이즈의 기준값으로 결정하고, 난수 발생부(114)에서 발생시킨 정규 분포의 난수에 의해서 그 기준값에 조정을 가함으로써 저장 사이즈를 구하는 등의 처리로 된다. 저장 사이즈의 결정시에 RAM(14)의 빈 용량을 고려함으로써, 저장 처리시의 워크 메모리의 부족을 회피할 수 있다. 또한, 난수에 의해 저장 사이즈를 변화시킴으로써, 분산 저장의 규칙을 이해하기 어렵게 할 수 있어, 보안의 향상을 기대할 수 있다.

RAM(14)으로의 저장 사이즈의 계산이 종료되면, 저장·소거 제어부(110)는 암호화된 작업 데이터(이하, 혼란의 우려가 없는 경우에는 단지「작업 데이터」라고 한다)의 선두부터 그 저장 사이즈 분의 데이터를 RAM(14)에 저장한다(S14). 이 때의 RAM(14)에 있어서의 데이터의 저장 위치(선두 어드레스)는 랜덤하게 결정해도 좋고, 소정의 룰(빈 용량의 선두에 저장하는 등)에 따라서 결정해도 좋다.

RAM(14)으로의 저장 후, 저장·소거 제어부(110)는 HDD(16)로의 저장 사이즈를 계산한다(S16). 이 저장 사이즈의 계산은 RAM(14)으로의 저장 사이즈의 계산과 마찬가지로 행하면 좋다.

HDD로의 저장 사이즈를 계산할 수 있으면, 저장. 소거 제어부(110)는 분산 관리 정보를 작성하여 HDD(16)에 기록하는 동시에(S18), 작업 데이터의 미저장 부분의 선두부터 그 저장 사이즈 분의 데이터를 HDD(16)에 기록한다(S20). 또한, HDD(16) 중에는 화상 형성 장치의 오퍼레이팅 시스템(operating system)에 의해, 해당 작업 데이터를 저장하기 위한 파일 영역이 확보되어 있고, 이 영역에 그들 분산 관리 정보와 작업 데이터를 기록하게 된다.

이상의 스텝 S12∼S20의 처리를, 작업 데이터의 미저장 부분이 없어질 때까지 반복한다(S22). 이것에 의해, 작업 데이터가 RAM(14)과 HDD(16)에 분산 저장되게 된다. 이와 같이, 도 3의 처리에서는, 작업 데이터를 소량씩 RAM(14)과 HDD(16)에 교대로 저장해 간다.

도 3의 처리에 의해, HDD(16) 내에 생성되는 저장 파일(40)의 데이터 구조의 예를 도 4에 나타낸다. 이 도 4에 나타내는 바와 같이, 저장 파일(40)은 분산 관리 정보(410)와 저장 파일의 부분 데이터(450)의 반복에 의해 구성된다. 분산 관리 정보(410)는 RAM(14)에 저장한 데이터로의 액세스를 위한 정보이고, 부분 데이터(450)는 작업 데이터의 일부분이다. 이 부분 데이터(450)는 예를 들면 ASN.1의 BER 인코딩 규칙에 따른 데이터 구조로 기술된다. 이 경우, 부분 데이터(450)는 해당 데이터의 형태를 나타내는 오브젝트형(452)의 정보와, 그 데이터의 사이즈(454)와, 그 데이터 값(456)이 이 순서대로 나열된 것으로 된다. 도 3의 스텝 S12 내지 S20의 처리를 1 회 행할 때마다, 분산 관리 정보(410)와 그 다음의 부분 데이터(450)가 생긴다.

분산 관리 정보(410)의 데이터 구조의 일례를 도 5에 나타낸다. 이 예에서는, 분산 관리 정보(410)는 우선 이 관리 정보 자체의 식별자(412)부터 시작해서, 그 다음에 그 관리 정보 자체의 사이즈(414)가 기술되고, 또 그 다음에 작업 데이터의 분산처의 디바이스(본 실시 형태에서는 RAM(14))에 저장한 데이터로의 액세스를 위한 정보(420)가 기술된다. 정보(420)는 분산처 디바이스의 식별자(422)와, 그 분산처 디바이스에 분배해서 기억한 데이터의 그 디바이스 내에서의 기억 위치(424)와, 그 데이터의 데이터 사이즈(426)를 포함하고 있다. 분산처의 디바이스가 RAM(14)인 경우, 기억 위치(424)로서는, 예를 들면 RAM(14)에 있어서의 해당 데이터의 기억 영역의 선두 어드레스를 이용할 수 있다.

도 1의 예에서는, 작업 데이터를 HDD(16)와 RAM(14)에 분산시켰다. 그러나, 화상 형성 장치가 HDD(16)와 RAM(14) 이외에도 기억 장치를 구비하고 있는 경우가 있다. 예를 들면, 화상 형성 장치가 HDD를 복수 구비하고 있거나, EEPROM이나 불휘발성 RAM을 구비하고 있는 경우도 있다. 이러한 경우, 작업 데이터를 그들 복수의 기억 장치에 분산 저장할 수 있다. 분산처 디바이스의 식별자(422)는 그들 복수의 기억 장치를 식별하기 위한 것이다. 그리고, 작업 데이터를 HDD(16) 이외에 복수의 기억 장치에 분산 저장한 경우에는, 분산 관리 정보(410)에는 그들 각 기억 장치마다 정보(420)가 기술되게 된다. 이 경우, 분산 관리 정보(410)에 있어서의 정보(420)의 순서가 분산 저장한 작업 데이터의 순서에 대응한다.

다음에 도 6을 참조해서, 분산 저장한 작업 데이터를 판독할 때의 저장·소거 제어부(110)의 처리를 설명한다.

저장·소거 제어부(110)는 작업 제어부(100)로부터 작업 데이터 파일의 판독을 요구받은 경우, 우선 HDD(16) 내의 해당 파일의 선두에 액세스하여(S30), 분산 관리 정보(410)를 판독하고, 그 분산 관리 정보(410)에 표시되는 기억 장치 식별자(422), 기억 위치(424) 및 데이터 사이즈(426)의 정보 에 따라서 RAM(14)에 분산 저장한 데이터를 판독한다(S32). 또한, 분산 저장처의 기억 장치가 복수 존재하는 경우에는, 분산 관리 정보(410) 중의 정보(420)의 순서로, 그들 각 기억 장치로부터 데이터를 판독하여 병합해 간다. 이와 같이 해서 모든 분산 저장처의 기억 장치로부터의 데이터 판독이 종료하면, 그 분산 관리 정보(410)의 직후에 저장된 부분 데이터(450)를 판독하고, 이것을 분산처로부터 판독한 데이터의 뒤에 병 합한다(S34). 이러한 처리를 저장 파일(40)의 말미에 이를 때까지 반복함(S36)에 따라, 작업 데이터의 판독이 완료한다. 또한, 판독한 작업 데이터는 암호화되어 있으므로, 저장·소거 제어부(110)는 이것을 암호 처리부(112)에서 복호시키고 나서, 작업 제어부(100)에 제공한다.

다음에 도 7을 참조해서, HDD(16)와 RAM(14)에 분산 저장한 작업 데이터 파일의 소거 처리를 설명한다.

이 소거 처리는, 작업 데이터 파일에 대해서 소정의 소거 조건이 만족되었을 때에 실행된다. 대표적인 소거 조건으로서는, 해당 작업 데이터 파일을 이용하는 작업의 실행이 완료한 것을 들 수 있다. 또한, 작업 데이터 파일을 이용하는 작업 중지 지시가 유저로부터 입력되는 것도 소거 조건의 일례이다. 또한, 유저가 작업 데이터 파일을 지정하고, 그 파일의 소거를 명시적으로 지시하는 것도 소거 조건의 일례이다.

저장·소거 제어부(110)는, 작업 제어부(100)로부터의 작업 실행 완료 통지나, 조작 패널(12)로부터의 유저의 입력을 감시하고, 그들 소거 조건 중의 어느 것인가가 만족되기를 기다린다(S40, S42, S44). 그리고, 어떠한 소거 조건이 만족된 경우, 그 조건을 만족시킨 작업의 작업 데이터 파일 중 RAM(14)에 저장된 부분(42)을 소거한다(S46). 소거 부분의 특정은, 예를 들면 저장 파일 중의 분산 관리 정보(410)를 판독함으로써 행할 수 있다. RAM(14) 상의 데이터이므로, 고속으로 완전하게 소거할 수 있다. 다음에, HDD(16) 내의 해당 작업 데이터의 저장 파일(40)을 삭제하고, 그 저장 파일의 영역을 해방한다(S48). 이 삭제 처리는 MS-DOS(등록 상표)의 DEL 커맨드(command)나, UNIX(등록 상표)의 rm 커맨드에 의한 파일 삭제와 같이, 파일 시스템 상에서 그 파일의 관리 정보를 삭제하는 처리로 좋다. 이 경우, HDD(16)에는 삭제 후에도(덮어쓰기 전까지는) 저장 파일(40)의 실체 데이터가 남게 되지만, 남은 실체 데이터만으로는 원래의 작업 데이터 파일을 완전하게는 복원할 수 없다. 또한, 본 실시 형태에서는, 작업 데이터 파일을 암호화하고 나서 HDD와 RAM에 분산 저장하고 있으므로, HDD에 남은 실체 데이터만으로는 복호가 매우 곤란하게 된다.

저장 파일의 삭제(S48)가 완료하면, 저장·소거 제어부(110)는 작업 제어부(100)에 대해, 요구받은 데이터 소거 처리가 완료한 사실을 통지한다(S50). 이 통지를 받은 작업 제어부(100)는 다음 작업의 실행을 허가한다. 이것에 의해, 예를 들면 소거의 시점에서 대기중인 작업(새로운 작업이나 다른 작업에 인터럽트된 작업 등)이 있으면, 그 작업의 실행이 시작 또는 재개된다.

이와 같이, 본 실시 형태에 의하면, RAM(14)에 분산 저장한 데이터를 소거함으로써, HDD(16)에 보존한 작업 데이터를 무효(無效)에 가까운 상태로 할 수 있으므로, HDD에 보존한 작업 데이터 전체에 랜덤 데이터를 몇번이나 덮어쓰기하였던 종래 기술에 비해서, 매우 고속으로 데이터 소거를 행할 수 있게 된다. 이 때문에, 인터럽트 작업으로부터의 복귀시나 후속 작업이 대기하고 있는 경우라도, 대기 중인 작업을 거의 기다리게 하지 않고, 데이터 소거를 행할 수 있다. 따라서, 작업 데이터의 소거를 다음 작업의 완료까지 미뤄둘 필요가 없어진다.

또, 본 실시 형태에서는, 작업 데이터의 분산 저장처로서, 휘발성 메모리인 RAM(14)을 이용하고 있으므로, 화상 형성 장치의 전원을 오프(off)로 하면, 분산 저장한 데이터도 사라져 버리므로, 상술한 소거 처리와 마찬가지의 효과가 얻어진다.

또한, 하나의 예로서, 상술한 RAM(14) 내의 데이터 소거 후, 적절한 타이밍에서 HDD(16) 상에 남아 있는 저장 파일의 실체 데이터에 대해, 랜덤 데이터의 반복적인 덮어쓰기에 의한 데이터 소거를 행하는 것도 적합하다. 이 랜덤 데이터 덮어쓰기에 의한 소거 처리는, 예를 들면 화상 형성 장치의 미사용 상태가 소정 시간 계속되었을 때나, 절전 모드로 이행하기 직전, 전원 스위치가 오프(off)되었을 때 등, 작업에 영향이 적을 때 행하는 것이 적합하다. 본 실시 형태에서는, 작업 종료 후부터 랜덤 데이터 덮어쓰기에 의한 데이터 소거를 행할 때까지의 동안에, 상기 각 특허 문헌에 개시된 종래 기술보다도 작업 데이터를 안전하게 유지할 수 있다.

이상에서 설명한 실시 형태에서는, RAM(14)에 분산 저장하는 데이터의 사이즈를 RAM의 빈 용량과 난수에 따라서 결정하였지만, 이것은 어디까지나 일례이다. 이 대신에, RAM(14)으로의 저장 사이즈를 고정값으로 해도 좋고, 빈 용량을 고려하지 않고 완전히 랜덤하게 결정해도 좋다.

또한, RAM의 빈 용량 이외의 상황도 고려해서 저장 사이즈를 결정하는 것도 적합하다. 이 예를 도 8에 나타낸다. 이 예에서는, RAM의 빈 용량(S60) 이외에, 대기 중인 작업의 유무(S62)나, 화상 형성 장치 전체의 처리 부하(S64), 작업 데이터 기밀도(S66) 등의 정보를 취득하고, 이들 정보를 파라미터로 해서 RAM(14)으로 의 저장 사이즈를 결정한다(S68). 이 계산의 기본적인 개념은 다음과 같다.

우선, 대기 중인 작업이 있는 경우나, 화상 처리 장치의 처리 부하가 높은 경우는, HDD(16)로의 랜덤 데이터 덮어쓰기에 의한 데이터 소거가 그만큼 지연되기 때문에, 그 소거까지의 시간의 작업 데이터의 안전성을 높이기 위해서, RAM(14)으로의 분배량을 많게 한다. 이것에 의해, 작업 완료 후의 RAM 내 데이터 소거에 의해서, 보다 많은 데이터가 소멸하게 되므로, 작업 데이터의 복원 가능성을 보다 저감(低減)할 수 있다.

또한, 대기 중인 작업의 유무 정보는 작업 제어부(100)로부터, 화상 처리 장치 전체의 처리 부하는 작업 제어장치(100)나 오퍼레이팅 시스템으로부터 각각 취득할 수 있다.

또, 작업 데이터의 기밀도가 높은 경우에는, 그 데이터가 불필요하게 된 시점에서, 그 데이터 중 가능한 한 많은 부분을 지우는 것이 보안상 유효하다. 따라서, 기밀도가 높은 RAM(14)으로의 데이터 분배량을 많게 한다.

작업 데이터의 기밀도는 작업 속성의 하나로서 유저가 지정하도록 해도 좋고, 작업 내용으로부터 판정해도 좋다. 후자의 예로서는, 예를 들면 보안 프린트 등 비밀을 전제로 한 작업인 경우에는 작업 데이터의 기밀도를 높게 하는 것 등이다. 미리 작업의 종류마다의 기밀도를 화상 형성 장치에 등록해 두면 좋다.

또한, HDD(16) 이외에 작업 데이터를 분배하는 기억 장치가 복수대 있는 경우, 그들 복수의 기억 장치로의 분배량을 그들 기억 장치로의 기록·판독 속도에 따라서 결정하는 것도 적합하다. 각 기억 장치로의 기록· 판독 속도는 작업 데이 터 전체의 저장·판독 속도에 영향을 주므로, 기록·판독이 느린 기억 장치로의 데이터의 분배량은 상대적으로 작게 하는 것이 적합하다. 예를 들면, RAM(14) 이외에 EEPROM에 데이터를 분배하는 경우, EEPROM의 기록·판독 속도는 RAM(14)은 물론이고 HDD(16)와 비교해도 느리기 때문에, EEPROM으로의 분배량을 RAM으로의 분배량보다도 작은 것으로 한다.

또, 작업 데이터의 내용에 따른 분배 제어도 고려된다. 예를 들면, 작업 데이터가 헤더부와 데이터부(본체(body)부)로 구성되는 형식이며, 헤더부에 데이터의 특징이 많이 포함되어 있는 경우에는, 헤더부의 데이터는 RAM(14)에 많이 분배하고, 본체부의 데이터는 HDD(16)에 많이 분배하는 등과 같은 제어 등이 고려된다.

또, 이상에서는, 작업 데이터를 암호 처리부(112)에서 암호화하고 나서 분산 저장했지만, 이러한 암호화를 행하지 않는 경우에도, 본 발명의 분산 저장 방식은 어느 정도의 유효성을 갖는다. 암호화하지 않아도, RAM(14) 내의 데이터 소거에 의해 작업 데이터의 일부는 소멸하므로, 만일 HDD(16)가 분리되는 일이 있더라도 완전한 작업 데이터가 누설되는 일은 없다.

또한, 화상 형성 장치에서 작업 데이터의 암호화를 행하지 않는 경우, 작업 데이터 자체가 암호화되어 있는 경우(예를 들면 호스트로부터의 인쇄 데이터 자체가 암호화되어 있는 경우)와 그렇지 않은 경우에 있어서, RAM(14)과 HDD(16) 사이의 데이터 분배 비율을 변경하는 것도 적합하다. 즉, 작업 데이터가 암호화되어 있는 경우에는, RAM 내의 데이터 소거에 의해 작업 데이터 중의 가능한 한 많은 정보가 지워지도록, RAM으로의 데이터 분배 비율을 높게 하는 것 등이다.

또, 작업 데이터를 암호화하지 않고 분산 저장하는 경우의 RAM, HDD 사이에서의 데이터의 분배 방법으로서, 작업 데이터가 태그(tag)가 붙여진 구조화 문서인 경우, 태그 정보(시작 태그, 종료 태그 중의 한쪽이라도 좋고 양쪽이라도 좋다)를 RAM에 우선적으로 분배하는 방법이 고려된다. 이 방법에서는, RAM 내의 데이터 소거에 의해 문서 구조의 정보를 소멸시킬 수 있다. 또한, 작업 데이터가 비지니스 문서인 경우에는 문서내의 숫자 정보를 RAM에 우선적으로 분배하고, 명부(名簿) 데이터인 경우에는 인명 한자에 해당하는 문자를 RAM에 우선적으로 분배하는 것 등과, 작업 데이터의 종류에 따른 특징 부분을 RAM에 분배하는 방식도 적합하다. 문서의 종류는 작업 데이터 파일의 속성 정보 등으로부터 구할 수 있다.

또, 이상의 예에서는, RAM(14)과 HDD(16)에 교대로 작업 데이터를 분배했지만, 이 대신에 그들 양자 사이에서의 분배 순서를 랜덤하게 변경할 수도 있다. 이 경우, 분산 관리 정보(410)에는 각 분산 저장처에 기억한 데이터 순서의 정보를 포함시킨다.

또, 이상의 예에서는, 분산 관리 정보(410)를 HDD(16)에 저장했지만, 이것은 필수가 아니다. 분산 관리 정보(410)와 같은, 각 기억 장치로의 작업 데이터의 분산 상황을 기술한 관리 정보는, RAM(14)이나 그밖에 화상 형성 장치 내의 기억 장치에 기억하도록 해도 좋다.

또, 본 실시 형태의 변형례로서, RAM(14)을 이용하지 않는 장치 구성도 고려된다. 이 예를 도 9에 나타낸다. 도 9에 있어서, 도 2에 나타낸 구성 요소와 동일 또는 유사한 구성 요소에는 동일 부호를 붙이고 설명을 생략한다.

이 예에서는, 저장·소거 제어부(110a)는 작업 데이터를 암호 처리부(112)에서 암호화한 후, 종래와 마찬가지로 HDD(16)에만 저장한다.

이 변형례의 특징은, 작업 데이터의 소거 처리에 있다. 즉, 도 10에 나타내는 바와 같이, 작업 데이터의 소거 조건이 만족된 경우(S40∼S44), 저장·소거 제어부(110a)는 난수 발생부(114)에서 발생시킨 난수를 이용해서, HDD(16) 내의 작업 데이터 중의 소거 개소(個所)를 결정한다(S52). 여기서는 발생시킨 1 내지 복수의 난수를 이용해서, 복수의 소거 개소에 대해서 그 위치나 소거할 데이터 사이즈를 결정한다. 그리고, 저장·소거 제어부(110a)는 그들 결정한 소거 개소에 대해서 랜덤한 데이터를 소정 회수 반복해서 덮어쓴다(S54). 이 덮어쓰기 소거가 완료하면, 저장·소거 제어부(110a)는 해당 작업 데이터의 파일을 파일 시스템 상에서 삭제하고, 작업 제어부(100)에 대해서 데이터 소거 완료 사실을 통지한다(S50). 이것에 의해 다음의 작업이 실행 가능한 상태로 되어, 대기 중인 작업이나 인터럽트 등에 의한 중단 중인 작업이 있으면, 그것을 실행할 수 있다. 또, 이 소거 후, HDD(16) 내에 남은 작업 데이터의 부분에 대해서, 화상 형성 장치의 아이들 시간 등에, 랜덤 데이터의 반복 덮어쓰기에 의한 소거 처리를 실시하면, 더욱 보안을 향상시킬 수 있다.

본 실시 형태에 의하면, HDD(16)에 저장한 작업 데이터 중의 복수의 소거 개소를 소거한 시점에서, HDD(16) 내에 남은 작업 데이터는 완전하지 않은 것으로 되어, 가령 그 남은 데이터가 유출되더라도 비밀 누설의 리스크는 적어진다.

이 예에서는, 암호화한 작업 데이터의 복수의 부분을 소거하므로, 남은 데이 터를 복호하는 것은 매우 곤란하게 된다.

또, 그들 소거 개소의 사이즈의 작업 데이터 전체에 대한 비율을 작게 해 두면, 이 소거 처리에 필요한 시간은 짧아지므로, 대기 중인 작업을 그다지 기다리게 하지 않고 소거 처리를 실행할 수 있다.

이상, 본 발명을 디지털 복합기 등의 화상 형성 장치에 적용한 경우의 실시 형태를 설명하였다. 그러나, 상술한 설명으로부터 명백한 바와 같이, 본 실시 형태에 있어서의 저장 데이터의 비밀 보호 방식은, 처리의 종류나 저장 대상의 데이터 종류에 의존하지 않기 때문에, 화상 형성 장치 이외의 여러 가지 작업 처리 장치에 적용 가능하다.

본 발명의 특정 실시 형태에 대해서 기술하였지만, 본 발명의 사상과 범주를 벗어남이 없이 이러한 특정 실시 형태에 대해 변경이 이루어 질 수 있다는 것은 본 기술 분야에서 통상의 지식을 가진 자라면 충분히 이해할 수 있을 것이다. 따라서, 본 발명의 범주는 이러한 특정 실시 형태에 제한되지 않으며, 첨부된 특허청구범위는 본 발명의 범주 내에서 그와 같은 적용례, 수정례 및 실시 형태를 모두 포함한다.

이상 본 발명에 따르면, 작업 실행에 필요한 작업 데이터에 암호화를 실시하고 나서 그 데이터의 일부를 RAM에 저장하고, 나머지 데이터를 HDD에 저장하므로, 작업을 종료했을 때에는, RAM 내의 작업 데이터의 일부분을 완전하게 소거하므로, HDD를 빼내어 조사하더라도 완전한 작업 데이터를 알 수는 없다는 효과가 있다.

또한 본 발명에 따르면, 작업 데이터를 휘발성 메모리인 RAM에 분산하였기 때문에, 화상 형성 장치의 전원을 오프(off)로 하면, 이 데이터도 사라져 버리므로, 메모리 내의 작업 데이터를 알 수 없게 된다는 효과도 얻을 수 있다.

또한 본 발명에 따르면, 이상과 같은 암호화를 행하지 않는 경우에도, RAM 내의 데이터를 소거하면 작업 데이터의 일부가 소멸하므로, HDD가 분리되더라도 완전한 작업 데이터가 누설되는 일은 없다는 효과가 있다.

Claims

작업 데이터에 의거하여 작업을 실행하는 작업 처리 장치로서,

제 1 기억 장치와,

상기 제 1 기억 장치보다도 기억한 데이터를 고속으로 소거 가능한 제 2 기억 장치와,

상기 제 1 기억 장치와 상기 제 2 기억 장치에, 작업 실행에 이용되는 작업 데이터를 분배해서 저장하는 저장 제어부와,

상기 저장 제어부에 의해 상기 제 2 기억 장치에 분배해서 저장된 작업 데이터를, 소정의 소거 조건이 만족된 경우에 소거하는 소거 제어부를 구비하는 것을 특징으로 하는 작업 처리 장치.
제 1 항에 있어서,

상기 저장 제어부에 의해 상기 제 1 및 제 2 기억 장치에 분배해서 저장된 작업 데이터를 판독해서 통합하는 작업 데이터 통합부와,

상기 작업 데이터 통합부에 의해 통합된 작업 데이터에 의거하여 작업을 실행하는 작업 처리부를 구비하고,

상기 작업 처리부에 의한 작업의 실행이 완료한 것을, 상기 소거 제어부에 있어서의 상기 소정의 소거 조건으로 하는 것을 특징으로 하는 작업 처리 장치.
제 1 항에 있어서,

상기 제 2 기억 장치는 휘발성 메모리인 것을 특징으로 하는 작업 처리 장치.
제 1 항에 있어서,

상기 제 2 기억 장치는 상기 작업 처리 장치가 구비하는 주기억 장치의 일부의 영역인 것을 특징으로 하는 작업 처리 장치.
제 1 항에 있어서,

상기 저장 제어부는, 상기 작업 데이터를 암호화하고, 그 암호화 결과 데이터를 상기 제 1 기억 장치와 제 2 기억 장치에 분배해서 저장하는 것을 특징으로 하는 작업 처리 장치.
제 1 항에 있어서,

상기 저장 제어부는 소정의 룰에 따라서 상기 제 1 기억 장치와 상기 제 2 기억 장치에 작업 데이터를 분배해서 저장하고,

상기 작업 처리 장치는 상기 소정의 룰을 변경하는 룰 관리부를 더 구비하는 것을 특징으로 하는 작업 처리 장치.
제 6 항에 있어서,

상기 룰 관리부는 상기 작업 처리 장치 자체의 상태에 따라서 상기 소정의 룰을 변경하는 것을 특징으로 하는 작업 처리 장치.
제 6 항에 있어서,

상기 룰 관리부는 상기 작업의 속성에 따라서 상기 소정의 룰을 변경하는 것을 특징으로 하는 작업 처리 장치.
제 1 항에 있어서,

상기 소거 제어부에 의애 상기 제 2 기억 장치에 분배해서 저장된 작업 데이터의 소거 후에, 상기 제 1 기억 장치에 분배해서 저장된 작업 데이터를 소거하는 잔여 데이터 소거 제어부를 구비하는 것을 특징으로 하는 작업 처리 장치.
제 1 항에 있어서,

상기 소거 제어부에 있어서의 상기 소정의 소거 조건은 유저로부터 작업 데이터의 소거 지시를 받는 것인 작업 처리 장치.
제 1 항에 있어서,

상기 소거 제어부에 있어서의 상기 소정의 소거 조건은 유저로부터 작업 실행 중지 지시를 받는 것인 작업 처리 장치.
제 1 항에 있어서,

작업의 실행을 제어하는 작업 제어부로서, 상기 소거 제어부에 의한 데이터 소거 처리가 완료한 시점에서 다른 작업의 실행을 허가하는 작업 제어부를 더 구비하는 것을 특징으로 하는 작업 처리 장치.
제 1 항에 있어서,

상기 저장 제어부는 상기 제 2 기억 장치의 빈 용량에 의거하여 상기 제 2 기억 장치에 분배해서 저장하는 작업 데이터의 사이즈를 결정하는 것을 특징으로 하는 작업 처리 장치.
작업 데이터에 의거하여 작업을 실행하는 작업 처리 장치로서,

작업 실행에 이용되는 작업 데이터를 기억 장치에 저장하는 저장 제어부와,

상기 기억 장치로부터 작업 데이터를 판독하고, 판독한 작업 데이터를 이용해서 상기 작업을 실행하는 작업 처리부와,

상기 저장 제어부에 의해 상기 기억 장치에 저장된 작업 데이터의 일부를, 소정의 소거 조건이 만족된 경우에 소거하는 소거 제어부를 구비하고,

상기 작업 처리부에 의한 작업의 실행이 완료한 것을 상기 소거 제어부에 있어서의 소정의 소거 조건으로 하는 것을 특징으로 하는 작업 처리 장치.
삭제
제 14 항에 있어서,

상기 소거 제어부에 있어서의 상기 소정의 소거 조건은 유저로부터 작업 데이터의 소거 지시를 받는 것인 작업 처리 장치.
제 14 항에 있어서,

상기 소거 제어부에 있어서의 상기 소정의 소거 조건은 유저로부터 작업 실행 중지 지시를 받는 것인 작업 처리 장치.
제 14 항에 있어서,

작업의 실행을 제어하는 작업 제어부로서, 상기 소거 제어부에 의한 데이터 소거 처리가 완료한 시점에서 다른 작업의 실행을 허가하는 작업 제어부를 더 구비하는 것을 특징으로 하는 작업 처리 장치.
작업 실행에 이용되는 작업 데이터를, 제 1 기억 장치와, 이것보다도 데이터 소거가 고속인 제 2 기억 장치에 분배해서 저장하고,

저장된 상기 작업 데이터 중 상기 제 2 기억 장치에 기억한 데이터 부분을 소정의 소거 조건이 만족된 경우에 소거하는 것을 특징으로 하는 작업 처리 장치의 데이터 관리 방법.