JP2008236091A - データ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラム - Google Patents

Abstract

【課題】装置内部の暗号鍵が使用不可となっても装置内部の記憶装置に暗号化されて格納されているデータを復旧することができるデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムを提供することを目的とする。
【解決手段】セキュアメモリ１０７に第１暗号鍵を格納し、第２暗号鍵を第１記憶装置１０８に格納し、データを第２記憶装置１１２，１１３に格納している情報処理装置１００のデータ復旧方法であって、第１暗号鍵を用いて第２暗号鍵を復号し、第２暗号鍵を情報処理装置１００の外部にバックアップ鍵としてバックアップし、第１暗号鍵が使用できないとき、バックアップ鍵を情報処理装置１００の内部にリストアし、情報処理装置１００の内部にリストアしたバックアップ鍵を用いて、第２記憶装置１１２，１１３に格納しているデータを復号することにより上記課題を解決する。
【選択図】図６

Description

本発明は、データ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムに係り、特に暗号鍵によって暗号化されたデータを復旧するデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムに関する。

近年では、プリンタ，スキャナ，ファックス，コピー又は複合機（ＭＦＰ）等の画像処理装置においてもセキュリティに関する要求が高くなってきている。画像処理装置は周辺機器の一例である。現在では、複合機等の画像処理装置におけるセキュリティ標準であるＩＥＥＥ Ｐ２６００において、装置内部に保存されるデータを保護するという要求、要件がある。

具体的に、画像処理装置ではアドレス帳や画（画像）情報等のユーザデータ，セキュリティログ等のセキュリティデータを格納しているストレージデバイスの盗難及び解析を防いで、ユーザデータ，セキュリティデータを保護する必要がある。ストレージデバイスに格納しているユーザデータ，セキュリティデータを保護する方法としては、一定強度以上の暗号を施すことが考えられる（例えば特許文献１〜３参照）。

また、ストレージデバイスに格納しているユーザデータ，セキュリティデータを保護する別の方法としては、暗号鍵をＴＰＭ（Trusted Platform Module ）に格納し、暗号鍵の漏洩を防止することが考えられる。

ユーザデータ等を保護するパーソナルコンピュータ（ＰＣ）やワークステーション等では起動ごとにパスワードを入力させる方法が一般的である。一方、複合機等の画像処理装置は複数のユーザ（操作者）が利用し、且つ誰もが電源をＯＮ／ＯＦＦすることが一般的な利用形態である。このような利用形態の画像処理装置では、ユーザデータ等を保護するものであっても、起動ごとにパスワードの入力をユーザへ強制することが難しい。

そこで、従来の画像処理装置には、ユーザデータ等を格納しているストレージデバイスの暗号鍵を自動生成し、その暗号鍵をＴＰＭに格納した別の暗号鍵で暗号化して、コントローラボード上の不揮発性メモリ等の不揮発性デバイスに保存しているものがあった。
特開２００５−１５８０４３号公報 特開２００４−２０１０３８号公報 国際公開第９９／０３８０７８号パンフレット

ユーザデータ等を格納しているストレージデバイスの暗号鍵を自動生成し、その暗号鍵をＴＰＭに格納した別の暗号鍵で暗号化して、コントローラボード上の不揮発性メモリ等の不揮発性デバイスに保存する従来の画像処理装置では、ストレージデバイスが盗難されたとしてもストレージデバイスの解読が困難である。

しかしながら、従来の画像処理装置では何らかの部品不良や部品寿命切れ等によりコントローラボードの交換が必要となった場合、ストレージデバイスに暗号化されて格納されているユーザデータ等を復号できなくなる。

実際、複合機等の家電品ではコントローラボード上の一部の故障部品のみを交換することは稀であり、コントローラボードごと交換することが一般的である。従って、画像処理装置ではコントローラボードの交換が頻繁に起こることが予想される。複合機等の画像処理装置において、コントローラボードの交換毎にユーザデータ等を復号できなくなるのでは都合が悪い。

本発明は、上記の点に鑑みなされたもので、装置内部の暗号鍵が使用不可となっても装置内部の記憶装置に暗号化されて格納されているデータを復旧することができるデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムを提供することを目的とする。

上記課題を解決するため、本発明は、セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納している情報処理装置のデータ復旧方法であって、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記情報処理装置の外部にバックアップ鍵としてバックアップするバックアップステップと、前記第１暗号鍵が使用できないとき、前記バックアップ鍵を前記情報処理装置の内部にリストアするリストアステップと、前記情報処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号ステップとを有することを特徴とする。

また、本発明は、セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納しているプロッタ及びスキャナの少なくとも一方を有する画像処理装置であって、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を装置外部にバックアップ鍵としてバックアップするバックアップ手段と、前記第１暗号鍵が使用できないとき、前記バックアップ鍵を装置内部にリストアするリストア手段と、装置内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段とを有することを特徴とする。

また、本発明は、セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納するように構成されており、前記第２暗号鍵で暗号化されたデータを格納している第２記憶装置，プロッタ及びスキャナの少なくとも一方を有する画像処理装置に含まれるコントローラボードであって、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記画像処理装置の外部にバックアップ鍵としてバックアップするバックアップ手段と、前記第１暗号鍵が使用できないとき、前記バックアップ鍵を前記画像処理装置の内部にリストアするリストア手段と、前記画像処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段とを有することを特徴とする。

また、本発明は、セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納している情報処理装置に、前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記情報処理装置の外部にバックアップ鍵としてバックアップするバックアップ手順と、前記第１暗号鍵が使用できないとき、前記バックアップ鍵を前記情報処理装置の内部にリストアするリストア手順と、前記情報処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手順とを実行させるためのデータ復旧プログラムであることを特徴とする。

なお、本発明の構成要素、表現または構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、データ構造などに適用したものも本発明の態様として有効である。

本発明によれば、装置内部の暗号鍵が使用不可となっても装置内部の記憶装置に暗号化されて格納されているデータを復旧することができるデータ復旧方法、画像処理装置、コントローラボード及びデータ復旧プログラムを提供可能である。

次に、本発明を実施するための最良の形態を、以下の実施例に基づき図面を参照しつつ説明していく。なお、本実施例では情報処理装置及び画像処理装置の一例として複合機を例に説明するが、他の装置又は機器等であってもよい。

図１は本発明による複合機の一例のハードウェア構成図である。複合機１００は、コントローラボード１０１，オペポート１０９，プロッタ１１０，スキャナ１１１，ＮＶＲＡＭ１１２及びＨＤＤ１１３を含む構成である。コントローラボード１０１は、ＣＰＵ１０２，ＲＯＭ１０３，ＲＡＭ１０４，ＬＡＮコントローラ１０５，ＤＣＲ１０６，ＴＰＭ１０７，ＵＳＢフラッシュメモリ１０８，ＯＣＲ５０１を含む構成である。

コントローラボード１０１は、複合機１００の全体制御を行うマザーボード（基盤）である。ＣＰＵ１０２は演算処理を行う。ＲＯＭ１０３はプログラムを格納する。ＲＡＭ１０４はプログラムを動作し、又は一時的にデータを格納する。ＬＡＮコントローラ１０５はイーサネット（登録商標）や無線ＬＡＮ等のネットワークと接続する。ＤＣＲ１０６は画情報（ビットマップ）を電子文書に変換する。

ＴＰＭ１０７はコントローラボード１０１に直付けされるチップで実現される。特開２００４−２８２３９１号公報には、ＴＣＰＡ（Trusted Computing Platform Alliance）の仕様に基づいたＰＣにおける、ＴＰＭ（Trusted Platform Module ）を用いた情報の暗号化について記載されている。ＴＰＭ１０７はセキュアメモリの一例である。ＵＳＢフラッシュメモリ１０８は不揮発性メモリの一例である。ＯＣＲ５０１は印刷された文字情報を読み取り、符号化するものである。

オペポート１０９は、ユーザ操作入出力を行う。プロッタ１１０は、紙に画情報を印刷する。スキャナ１１１は、紙から画情報を読み取る。ＮＶＲＡＭ１１２は、不揮発性メモリ及びストレージデバイスの一例である。ＮＶＲＡＭ１１２は、各種パラメータを保持する。ＨＤＤ（ハードディスクドライブ）１１３はアドレス帳や画情報などの大量のデータを保持する。ＨＤＤ１１３はストレージデバイスの一例である。

複合機１００は、ＴＰＭ１０７の内部に暗号鍵Ｂ及びＣを暗号化又は復号するための暗号鍵Ａを保存している。また、複合機１００はＵＳＢフラッシュメモリ１０８に、暗号鍵Ａで暗号化された状態の暗号鍵Ｂ及びＣを保存している。暗号鍵ＢはＮＶＲＡＭ１１２を暗号化又は復号するためのものである。暗号鍵ＣはＨＤＤ１１３を暗号化又は復号するためのものである。

図２は本発明による複合機の一例のソフトウェア構成図である。複合機１００は、ＯＳ１１４，全体制御ソフトウェア（ＣＴＬ）１１５，コピーソフトウェア，プリンタソフトウェア，ファックスソフトウェア，スキャナソフトウェア及びドキュメントボックスソフトウェアから成るアプリケーション制御ソフトウェア１１６を含む構成である。

ＯＳ１１４はソフトウェアを動作させるためのオペレーティングシステムである。ＣＴＬ１１５は各アプリケーション制御ソフトウェア１１６に対して、データの集計、受け渡しを行うソフトウェアである。アプリケーション制御ソフトウェア１１６は複合機１００の各アプリケーションを制御するソフトウェアである。

図１及び図２に示した複合機１００は例えば図３及び図４に示すように起動する。図３は本発明による複合機の起動手順を表したフローチャートである。図４は本発明による複合機の起動手順を表したシーケンス図である。

まず、図３のフローチャートでは、複合機１００の電源がＯＮされると、ステップＳ１に進み、ＣＴＬ１１５がＴＰＭ１０７から暗号鍵Ａを取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。暗号鍵が設定されていれば（Ｓ２においてＹＥＳ）、ＣＴＬ１１５はステップＳ３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得し、その暗号鍵Ｂを用いてＨＤＤ１１３を復号する。ステップＳ８に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵が設定されていなければ（Ｓ２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。ステップＳ６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを読み出す。また、ステップＳ７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを読み出す。ステップＳ８に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

図４のシーケンス図は、ＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されているときの起動手順を表している。まず、図４のシーケンス図では、複合機１００の電源がＯＮされると、ステップＳ１１及びＳ１２において、ＣＴＬ１１５がＴＰＭ１０７から暗号鍵Ａを取得する。ステップＳ１３に進み、ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ１４に進み、ＣＴＬ１１５は復号した暗号鍵Ｂ及びＣをＵＳＢフラッシュメモリ１０８から取得する。ステップＳ１５に進み、ＣＴＬ１１５は暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。ステップＳ１６に進み、ＣＴＬ１１５は暗号鍵Ｃを用いてＨＤＤ１１３を復号する。そして、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

ここでは、本発明の理解を容易とするため、複合機１００のコントローラボード１０１の交換時に生じる問題点について説明する。図５はコントローラボードを交換した複合機の一例のハードウェア構成図である。

図５に示すように、コントローラボード１０１を交換した複合機１００では、ＵＳＢフラッシュメモリ１０８が初期化された状態となっており、暗号鍵Ａで暗号化された状態の暗号鍵Ｂ及びＣが保存されていない。したがって、コントローラボード１０１を交換した複合機１００では、ＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号鍵Ｂ及びＣで暗号化されて格納されているパラメータやデータを復号できないため、ＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号化されて格納されているパラメータやデータを復旧することができないという問題があった。結果として、コントローラボード１０１を交換した複合機１００では、ＮＶＲＡＭ１１２及びＨＤＤ１１３が故障していなくても、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化しなければならなかった。

なお、ＴＰＭ１０７は暗号鍵Ｂ及びＣを暗号化又は復号するための暗号鍵Ａと異なる暗号鍵Ａ'を保存している。ＴＰＭ１０７が保存している暗号鍵Ａ'は例えばコントローラボード１０１毎に異なる。

図６は本発明によるデータ復旧方法を表した概念図である。図６の上段はコントローラボード１０１の交換前の複合機１００を表している。図６の下段はコントローラボード１０１の交換後の複合機１００を表している。

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣを、操作パネル等により外部出力しておく。そして、コントローラボード１０１の交換後、本発明による複合機１００は外部出力しておいた暗号鍵Ｂ及びＣを操作パネル等により内部入力することで、ＵＳＢフラッシュメモリ１０８へ暗号鍵Ｂ及びＣをリストアする。

従って、本発明による複合機１００では、コントローラボード１０１の交換後であってもＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号鍵Ｂ及びＣで暗号化されて格納されているパラメータやデータを復号できる。

図７は本発明による複合機の暗号鍵設定手順を表したフローチャートである。操作パネルやネットワーク経由で鍵変更指示（暗号鍵ｂ，ｃ→暗号鍵Ｂ，Ｃ）を受け取ると、ＣＴＬ１１５はステップＳ２１に進み、ＴＰＭ１０７から暗号鍵Ａを取得する。ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵ｂ及びｃを、暗号鍵Ａを用いて復号する。ＣＴＬ１１５は、復号した暗号鍵ｂ及びｃをＵＳＢフラッシュメモリ１０８から取得する。ＣＴＬ１１５は暗号鍵ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５は暗号鍵ｃを用いてＨＤＤ１１３を復号する。

ステップＳ２２に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣを、操作パネルやネットワーク経由で外部出力しておく。ステップＳ２３に進み、ＣＴＬ１１５は暗号鍵Ｂ及びＣの外部出力が成功した場合（Ｓ２３においてＹＥＳ）、ステップＳ２４に進み、新しい暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３を再び暗号化する。そして、ステップＳ２４からステップＳ２５に進み、ＣＴＬ１１５は操作パネルに操作画面を表示させて暗号鍵の設定を終了する。

一方、ＣＴＬ１１５はユーザキャンセル等、何らかの原因で暗号鍵Ｂ及びＣの外部出力が失敗した場合（Ｓ２３においてＮＯ）、ステップＳ２６に進み、操作パネルにエラー画面を表示する。ステップＳ２６からステップＳ２７に進み、ＣＴＬ１１５は操作パネルに暗号鍵の設定失敗画面を表示する。

図８のシーケンス図は、新しい暗号鍵Ｂ及びＣの外部出力が成功したときの暗号鍵設定手順を表している。ステップＳ３１では、ＣＴＬ１１５が、操作パネルやネットワーク経由で鍵変更指示（暗号鍵ｂ，ｃ→暗号鍵Ｂ，Ｃ）を受け取る。ＣＴＬ１１５はステップＳ３２及びＳ３３に進み、ＴＰＭ１０７から暗号鍵Ａを取得する。

ステップＳ３４及びＳ３５に進み、ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵ｂ及びｃを、暗号鍵Ａを用いて復号し、復号した暗号鍵ｂ及びｃをＵＳＢフラッシュメモリ１０８から取得する。ＣＴＬ１１５はステップＳ３６及びＳ３７に進み、暗号鍵ｂ及びｃを用いてＮＶＲＡＭ１１２及びＨＤＤ１１３を復号する。

ステップＳ３８及びＳ３９に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣを外部デバイス１１７に外部出力する。暗号鍵Ｂ及びＣの外部出力が成功したため、ＣＴＬ１１５はステップＳ４０及びＳ４１に進み、暗号鍵Ｂ及びＣを暗号鍵Ａで暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。

そして、ステップＳ４２及びＳ４３に進み、ＣＴＬ１１５は新しい暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３を再び暗号化する。そして、ＣＴＬ１１５はステップＳ４４に進み、新しい暗号鍵Ｂ及びＣの設定が成功したため、操作パネルへ操作画面を表示させて暗号鍵の設定を終了する。

図９は複合機における起動手順を表したフローチャートである。図１０はコントローラボード交換後の複合機における起動手順を表したシーケンス図である。

複合機１００の電源がＯＮされると、ステップＳ５１及びＳ５２に進み、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ又はＡ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。

暗号鍵が設定されていれば（Ｓ５２においてＹＥＳ）、ＣＴＬ１１５はステップＳ５３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ５４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ５５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得してＨＤＤ１１３を復号する。ステップＳ６５に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵が設定されていなければ（Ｓ５２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。例えばコントローラボード１０１の交換後、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。

ステップＳ５６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを平文として読み出す。また、ステップＳ５７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを平文として読み出す。

ステップＳ５８に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からの各種パラメータの読み出し、及びＨＤＤ１１３からのデータの読み出しに読み込みエラーが発生したか否かを判定する。例えばコントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータが暗号化されていれば、平文として読み出すと読み出しエラーが発生する。読み出しエラーが発生しなければ（Ｓ５８においてＮＯ）、ＣＴＬ１１５はステップＳ６５に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

読み出しエラーが発生すれば（Ｓ５８においてＹＥＳ）、ＣＴＬ１１５はステップＳ５９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネルに表示する。

図１１は暗号鍵のリストア又はストレージデバイスの初期化を選択させる画面の一例のイメージ図である。画面１０００には、暗号鍵のリストアを選択するボタン１００１及びストレージデバイスの初期化を選択するボタン１００２が含まれている。ボタン１００１がユーザにより押下されると、ＣＴＬ１１５は図１２に示すような画面１１００を操作パネルに表示する。

図１２は暗号鍵をリストアする為の画面の一例のイメージ図である。図１２の画面１１００には、ＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を入力する為の入力欄が含まれている。ユーザは画面１１００が操作パネルに表示されている間に、手入力や外部デバイス１１７等を利用して外部からＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を入力する。

外部からＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵が入力されると、ＣＴＬ１１５はステップＳ６０及びＳ６１に進み、入力された暗号鍵でＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。

ステップＳ６２に進み、復号エラーが発生しなければ（Ｓ６２においてＮＯ）、ＣＴＬ１１５はステップＳ６３に進み、画面１１００に入力されたＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ６５に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ６２においてＹＥＳ）、ＣＴＬ１１５はステップＳ５９に戻り、再び画面１０００を操作パネルに表示する。画面１０００のボタン１００２がユーザにより押下されると、ＣＴＬ１１５はステップＳ６４に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５はステップＳ６５に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

バックアップしておいた暗号鍵の紛失や暗号鍵をバックアップしていない場合は、ＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号化されて格納されているパラメータやデータを復旧することができない為、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化するかをユーザに選択させるボタン１００２を画面１０００に設けている。

なお、画面１１００ではＮＶＲＡＭ１１２及びＨＤＤ１１３の双方が暗号化されている例を示しているが、どちらか一方が暗号化されるようにしてもよい。この場合、暗号化されていないストレージデバイスは画面１１００に含まれていなくてもよい。また、暗号化されていないストレージデバイスの復号をスキップするようにしてもよい。

図１０のシーケンス図は、コントローラボード交換後の複合機において、新しい暗号鍵をリストアするときの起動手順を表している。複合機１００の電源がＯＮされると、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。

コントローラボード１０１の交換後であるため、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。したがって、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。

ステップＳ７１に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３から各種パラメータ及びデータを平文として読み出す。コントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータは暗号化されているため、平文として読み出すと読み出しエラーが発生する。

読み出しエラーが発生した為、ＣＴＬ１１５はステップＳ７３及びＳ７４に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネル１１８に表示する。ボタン１００１がユーザにより押下されると、ＣＴＬ１１５はステップＳ７５及びＳ７６に進み、暗号鍵Ｂ及びＣがバックアップされている外部デバイス１１７から暗号鍵Ｂ及びＣを読み出す。なお、ＣＴＬ１１５は図１２に示すような画面１１００を操作パネル１１８に表示してＮＶＲＡＭ１１２及びＨＤＤ１１３の暗号鍵を入力させてもよい。

ステップＳ７７及びＳ７８に進み、外部デバイス１１７から読み出した暗号鍵Ｂ及びＣでＮＶＲＡＭ１１２及びＨＤＤ１１３の復号を試みる。復号エラーが発生しない為、ＣＴＬ１１５はステップＳ７９及びＳ８０に進み、外部デバイス１１７から読み出した暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化した後、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５は、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

上記説明では、ＵＳＢフラッシュメモリ１０８に、暗号鍵Ａで暗号化された状態の暗号鍵Ｂ及びＣを保存しているが、例えば図１３のような構成も考えられる。図１３は暗号鍵の格納場所を示した概念図である。図１３では、ＮＶＲＡＭ１１２に、暗号鍵Ｂで暗号化された状態のＨＤＤ１１３の暗号鍵Ｃを保存している。

このように、本発明による複合機１００は、複数のストレージデバイスの中で最も信頼できるセキュアなストレージデバイスに他のストレージデバイスの暗号鍵を暗号化された状態で保存することもできる。ＮＶＲＡＭ１１２に、暗号鍵Ｂで暗号化された状態のＨＤＤ１１３の暗号鍵Ｃを保存することで、複合機１００は暗号鍵Ｃをバックアップしておく必要がなくなる。

図１３の複合機１００はコントローラボード１０１上のＵＳＢフラッシュメモリ１０８内にもＨＤＤ１１３の暗号鍵Ｃを格納しているが、ＵＳＢフラッシュメモリ１０８内に暗号鍵Ｃを格納していなくても正常時およびコントローラボード１０１の交換時にＨＤＤ１１３を復旧できる。ただし、ＵＳＢフラッシュメモリ１０８内に暗号鍵Ｃを格納しておくことで、複合機１００はコントローラボード１０１に異常が無く、ＮＶＲＡＭ１１２に異常があった場合においてもＨＤＤ１１３を復旧できるというメリットがある。

図１４は暗号鍵の格納場所を示した他の例の概念図である。図１４では、ＨＤＤ１１３の記憶領域が複数のパーティションに分かれており、そのバーティション毎に、それぞれ別の暗号鍵Ｃ１〜Ｃｎで暗号化されている。なお、ＨＤＤ１１３は複数のユーザ毎に暗号鍵Ｃ１〜Ｃｎを分けて、その暗号鍵Ｃ１〜Ｃｎで暗号化されてもよい。複合機１００はＮＶＲＡＭ１１２に、暗号鍵Ｂで暗号化された状態のＨＤＤ１１３の暗号鍵Ｃ１〜Ｃｎを保存している。

図１３のように暗号鍵Ｃを保存している複合機１００は、図１５のフローチャートのように起動する。図１５は、複合機における起動手順を表したフローチャートである。

複合機１００の電源がＯＮされると、ステップＳ８１及びＳ８２に進み、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ又はＡ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。

暗号鍵が設定されていれば（Ｓ８２においてＹＥＳ）、ＣＴＬ１１５はステップＳ８３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ８４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５はステップＳ８５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得してＨＤＤ１１３を復号する。ステップＳ９６に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵が設定されていなければ（Ｓ８２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。例えばコントローラボード１０１の交換後、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。

ステップＳ８６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを平文として読み出す。また、ステップＳ８７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを平文として読み出す。

ステップＳ８８に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からの各種パラメータの読み出し、及びＨＤＤ１１３からのデータの読み出しに読み込みエラーが発生したか否かを判定する。例えばコントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータが暗号化されていれば、平文として読み出すと読み出しエラーが発生する。読み出しエラーが発生しなければ（Ｓ８８においてＮＯ）、ＣＴＬ１１５はステップＳ９６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

読み出しエラーが発生すれば（Ｓ８８においてＹＥＳ）、ＣＴＬ１１５はステップＳ８９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネルに表示する。暗号鍵のリストアが選択されると、ＣＴＬ１１５はステップＳ９０に進み、外部から入力されたＮＶＲＡＭ１１２の暗号鍵でＮＶＲＡＭ１１２の復号を試みる。

ステップＳ９１に進み、復号エラーが発生しなければ（Ｓ９１においてＮＯ）、ＣＴＬ１１５はステップＳ９２に進み、画面１１００に入力されたＮＶＲＡＭ１１２の暗号鍵を新しい暗号鍵として、暗号鍵Ａ'で暗号化したあと、ＵＳＢフラッシュメモリ１０８に保存する。

ステップＳ９３に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からＨＤＤ１１３の暗号鍵Ｃを取り出す。ステップＳ９４に進み、ＣＴＬ１１５は暗号鍵ＣでＨＤＤ１１３の復号を行う。ＣＴＬ１１５は、ＨＤＤ１１３の暗号鍵Ｃを新しい暗号鍵として、暗号鍵Ａ'で暗号化したあと、ＵＳＢフラッシュメモリ１０８に保存する。そして、ＣＴＬ１１５はステップＳ９６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ９１においてＹＥＳ）、ＣＴＬ１１５はステップＳ８９に戻り、再び画面１０００を操作パネルに表示する。ストレージデバイスの初期化が選択されると、ＣＴＬ１１５はステップＳ９５に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。そして、ＣＴＬ１１５はステップＳ９６に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵Ｂ及びＣは、例えば図１６のような構成としてもよい。図１６は暗号鍵の構成を示した概念図である。図１６では、ＮＶＲＡＭ１１２の暗号化に、例えば機種共通の固定鍵と、暗号鍵Ｂとを利用する。

機種共通の固定鍵は製造工程でコントローラボード１０１に格納される。固定鍵を利用すると、暗号鍵Ｂは鍵長が短くなる。例えば鍵長が１２８ｂｉｔの場合、機種共通の固定値を６４ｂｉｔとすることで、暗号鍵Ｂは６４ｂｉｔとなり、リストア時に８バイト（１１文字）を入力すればよい。

図１７は、本発明によるデータ復旧方法を表した概念図である。図１７の上段はコントローラボード１０１の交換前の複合機１００を表している。図１７の下段はコントローラボード１０１の交換後の複合機１００を表している。

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣを、ＳＤカードやＵＳＢメモリ等の外部メディア１１９へ格納しておく。暗号鍵Ｂ及びＣを格納する際、複合機１００はユーザに暗号鍵Ｂ及びＣのリストア用のパスワードを入力してもらい、パスワードを利用して暗号鍵Ｂ及びＣを暗号化する。

コントローラボード１０１の交換後、本発明による複合機１００は外部メディア１１９へ格納しておいた暗号鍵Ｂ及びＣをリストアする際、ユーザによって入力された暗号鍵Ｂ及びＣのリストア用のパスワードを利用して暗号鍵Ｂ及びＣを復号する。図１７の複合機１００は外部メディア１１９に暗号鍵Ｂ及びＣを格納しているが、外部メディア１１９に代えて外部サーバを利用するようにしてもよい。

従って、本発明による複合機１００では、バックアップされた暗号鍵Ｂ及びＣが暗号化されているので、万一盗難にあっても暗号鍵Ｂ及びＣが漏洩しにくくなる。

図１８は、本発明によるデータ復旧方法を表した概念図である。図１８の上段はコントローラボード１０１の交換前の複合機１００を表している。図１８の下段はコントローラボード１０１の交換後の複合機１００を表している。

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣを、外部サーバ１２１へ格納しておく。暗号鍵Ｂ及びＣを格納する際、複合機１００はユーザに暗号鍵Ｂ及びＣのリストア用のパスワードを入力してもらい、パスワードを利用して暗号鍵Ｂ及びＣを暗号化する。また、複合機１００はコントローラボード１０１のシリアル番号を外部サーバ１２１に送信する。

コントローラボード１０１のシリアル番号は、工場出荷時にコントローラボード１０１上の不揮発性メモリ内に格納されると共に、コントローラボード１０１上に印刷されているものとする。

なお、コントローラボード１０１のシリアル番号は、コントローラボード１０１上に印刷しておく他、ＲＦＩＤタグやＩＣカードチップに格納しておいてもよい。コントローラボード１０１の交換時、コントローラボード１０１が壊れていることが全体である為、コントローラボード１０１のシリアル番号はコントローラボード１０１が壊れていても読み取ることができるようにする。なお、ＩＣカードチップにコントローラボード１０１のシリアル番号を格納しておく場合は改竄も防止できる。

外部サーバ１２１は、図１９のようなサーバテーブルにより、コントローラボード１０１のシリアル番号と、パスワードにより暗号化された暗号鍵Ｂ及びＣとを対応付けて管理する。図１９はサーバテーブルの一例の構成図である。

コントローラボード１０１の交換後、本発明による複合機１００は外部サーバ１２１へ格納しておいた暗号鍵Ｂ及びＣをリストアする際、交換前のコントローラボード１０１に印刷されているシリアル番号及び外部サーバ１２１のアドレスを管理者等によって入力される。

交換前のコントローラボード１０１に印刷されているシリアル番号及び外部サーバ１２１のアドレスを入力されると、複合機１００は管理者等によって入力されたシリアル番号に対応する、暗号化された暗号鍵Ｂ及びＣを取得する。複合機１００は、ユーザによって入力された暗号鍵Ｂ及びＣのリストア用のパスワードを利用して、暗号鍵Ｂ及びＣを復号する。

図１８の複合機１００は、外部サーバ１２１に暗号鍵Ｂ及びＣを格納しているが、外部サーバ１２１に代えて外部メディア１１９を利用するようにしてもよい。外部メディア１１９は図１９のサーバテーブルと同様なテーブルを利用することで、複数の複合機１００の暗号化された暗号鍵Ｂ及びＣを格納できる。

なお、外部サーバ１２１はメーカが用意したメンテナンスサービス用のサーバであってもよい。外部サーバ１２１のアドレスは、製造工程でコントローラボード１０１上の不揮発性メモリに格納しておいてもよい。

従って、本発明による複合機１００では、バックアップされた暗号鍵Ｂ及びＣが、外部サーバ１２１に集約されるので、複数の複合機１００を導入した場合のメンテナンスや暗号鍵Ｂ及びＣの管理が容易となる。

図２０は、複合機における起動手順を表したフローチャートである。複合機１００の電源がＯＮされると、ステップＳ１０１及びＳ１０２に進み、ＣＴＬ１１５はＴＰＭ１０７から暗号鍵Ａ又はＡ'を取得したあと、ＵＳＢフラッシュメモリ１０８に暗号鍵が設定されているか判定する。

暗号鍵が設定されていれば（Ｓ１０２においてＹＥＳ）、ＣＴＬ１１５はステップＳ１０３に進み、ＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵Ｂ及びＣを、暗号鍵Ａを用いて復号する。

ステップＳ１０４に進み、ＣＴＬ１１５は復号した暗号鍵ＢをＵＳＢフラッシュメモリ１０８から取得し、暗号鍵Ｂを用いてＮＶＲＡＭ１１２を復号する。ＣＴＬ１１５はステップＳ１０５に進み、復号した暗号鍵ＣをＵＳＢフラッシュメモリ１０８から取得してＨＤＤ１１３を復号する。ステップＳ１１８に進み、複合機１００はアプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

暗号鍵が設定されていなければ（Ｓ１０２においてＮＯ）、ＣＴＬ１１５はＮＶＲＡＭ１１２及びＨＤＤ１１３が暗号化されていないと判定する。例えばコントローラボード１０１の交換後、ＵＳＢフラッシュメモリ１０８には暗号鍵が設定されていない。

ステップＳ１０６に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２から各種パラメータを平文として読み出す。ステップＳ１０７に進み、ＣＴＬ１１５はＨＤＤ１１３からデータを平文として読み出す。

ステップＳ１０８に進み、ＣＴＬ１１５はＮＶＲＡＭ１１２からの各種パラメータの読み出し、及びＨＤＤ１１３からのデータの読み出しに読み込みエラーが発生したか否かを判定する。例えばコントローラボード１０１の交換後、ＮＶＲＡＭ１１２及びＨＤＤ１１３に格納されているパラメータやデータが暗号化されていれば、平文として読み出すと読み出しエラーが発生する。

読み出しエラーが発生しなければ（Ｓ１０８においてＮＯ）、ＣＴＬ１１５はステップＳ１１８に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

読み出しエラーが発生すれば（Ｓ１０８においてＹＥＳ）、ＣＴＬ１１５はステップＳ１０９に進み、暗号鍵のリストア又はストレージデバイスの初期化を選択させる図１１に示すような画面１０００を操作パネルに表示する。暗号鍵のリストアが選択されると、ＣＴＬ１１５は例えば交換前のコントローラボード１０１に印刷されているシリアル番号及び外部サーバ１２１のアドレスを入力させる画面を操作パネル１１８等に表示し、管理者等にシリアル番号及び外部サーバ１２１のアドレスを入力させる。

ステップＳ１１０に進み、ＣＴＬ１１５は管理者等によって入力されたシリアル番号に対応する、暗号化された暗号鍵Ｂ及びＣを外部サーバ１２１から取得できたか否かを判定する。暗号化された暗号鍵Ｂ及びＣを外部サーバ１２１から取得できれば（Ｓ１１０においてＹＥＳ）、ＣＴＬ１１５はステップＳ１１１に進み、ユーザに、暗号鍵Ｂ及びＣのリストア用のパスワードを入力させる。ＣＴＬ１１５はユーザによって入力された暗号鍵Ｂ及びＣのリストア用のパスワードを利用して、暗号鍵Ｂ及びＣを復号する。

ステップＳ１１２に進み、ＣＴＬ１１５は復号された暗号鍵ＢでＮＶＲＡＭ１１２の復号を試みる。また、ステップＳ１１３に進み、ＣＴＬ１１５は復号された暗号鍵ＣでＨＤＤ１１３の復号を試みる。

ステップＳ１１４に進み、復号エラーが発生しなければ（Ｓ１１４においてＮＯ）、ＣＴＬ１１５はステップＳ１１５に進み、ステップＳ１１１で復号された暗号鍵Ｂ及びＣを新しい暗号鍵として、暗号鍵Ａ'で暗号化したあと、ＵＳＢフラッシュメモリ１０８に保存する。ＣＴＬ１１５はステップＳ１１８に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。

なお、復号エラーが発生すれば（Ｓ１１４においてＹＥＳ）、ＣＴＬ１１５はステップＳ１０９に戻り、再び画面１０００を操作パネルに表示する。ストレージデバイスの初期化が選択されると、ＣＴＬ１１５はステップＳ１１７に進み、ＮＶＲＡＭ１１２及びＨＤＤ１１３を初期化する。ＣＴＬ１１５はステップＳ１１８に進み、アプリケーション制御ソフトウェア１１６によって各アプリケーションを起動する。もし、暗号化された暗号鍵Ｂ及びＣを外部サーバ１２１から取得できなければ（Ｓ１１０においてＮＯ）、ＣＴＬ１１５はステップＳ１１６に進み、エラー終了する。

図２１は、本発明によるデータ復旧方法を表した概念図である。図２１の上段はコントローラボード１０１の交換前の複合機１００を表している。図２１の下段はコントローラボード１０１の交換後の複合機１００を表している。

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣを、外部サーバ１２１へ格納しておく。暗号鍵Ｂ及びＣを格納する際、複合機１００はユーザに暗号鍵Ｂ及びＣのリストア用のパスワードを入力してもらい、パスワードを利用して暗号鍵Ｂ及びＣを暗号化する。また、複合機１００はコントローラボード１０１のシリアル番号を外部サーバ１２１に送信する。例えば外部サーバ１２１は、メーカの用意したメンテナンスサービス用のサーバである。

外部サーバ１２１は複合機１００から暗号鍵のリストア要求があると、そのリストア要求を認証する。外部サーバ１２１はリストア要求の認証の為の情報を図２２に示すようなサーバテーブルにより保持している。図２２はサーバテーブルの一例の構成図である。図２２のサーバテーブルは、コントローラボード１０１のシリアル番号と、暗号鍵Ｂ及びＣを暗号化したパスワードと、パスワードにより暗号化された暗号鍵Ｂ及びＣとを対応付けて管理する。

例えば図２１の外部サーバ１２１ではリストア要求の認証に、暗号鍵Ｂ及びＣを暗号化したパスワードを利用している。リストア要求の認証には、暗号鍵Ｂ及びＣを暗号化したパスワードではない独立した認証パスワードを利用するようにしてもよい。リストア要求の認証には、ＴＰＭ１０７内の暗号鍵によるチャレンジ−レスポンス認証や、ハッシュ認証等を利用するようにしてもよい。なお、外部サーバ１２１は、リストア要求の認証が失敗した複合機１００に、暗号化された暗号鍵Ｂ及びＣを渡さない。

リストア要求の認証が成功すると、外部サーバ１２１は、複合機１００から受信したコントローラボード１０１のシリアル番号に対応する、暗号化された暗号鍵Ｂ及びＣを取得する。複合機１００はユーザにより入力された暗号鍵Ｂ及びＣのリストア用のパスワードを利用して、暗号鍵Ｂ及びＣを復号する。

従って、本発明による複合機１００では、リストア時に認証を行うため、総当たり攻撃や辞書攻撃など、暗号鍵解読の為の攻撃を検出できる。

図２３は、本発明によるデータ復旧方法を表した概念図である。図２３はコントローラボード１０１の交換前の複合機１００を表している。図２３では、ＨＤＤ１１３の記憶領域が複数のパーティションに分かれており、そのバーティション毎に、それぞれ別の暗号鍵Ｃ１〜Ｃｎで暗号化されている。ＨＤＤ１１３は複数のユーザ毎に暗号鍵Ｃ１〜Ｃｎを分けて、その暗号鍵Ｃ１〜Ｃｎで暗号化されてもよい。

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂ及びＣ１〜Ｃｎを、異なる複数の外部メディア１１９へ格納しておく。暗号鍵Ｂ及びＣ１〜Ｃｎを格納する際、複合機１００はユーザに暗号鍵Ｂ及びＣ１〜Ｃｎのリストア用のパスワード０〜ｎを入力してもらうことで、パスワードを利用して暗号鍵Ｂ及びＣ１〜Ｃｎを暗号化する。

コントローラボード１０１の交換後、本発明による複合機１００は外部メディア１１９へ格納しておいた暗号鍵Ｂ及びＣ１〜Ｃｎをリストアする際、ユーザによって入力されたリストア用のパスワード０〜ｎを利用して暗号鍵Ｂ及びＣ１〜Ｃｎを復号する。図２３では複数の外部メディア１１９を利用する例を示したが、例えば１つの外部メディア１１９の異なるディレクトリを利用してもよい。

従って、本発明による複合機１００では、ユーザ毎に暗号鍵Ｃ１〜Ｃｎをバックアップすることができるので、管理者であってもユーザの暗号鍵Ｃ１〜Ｃｎを解析できない。

図２４は、本発明によるデータ復旧方法を表した概念図である。図２４はコントローラボード１０１の交換前の複合機１００を表している。図２４では、ＨＤＤ１１３の記憶領域が複数のパーティションに分かれており、そのバーティション毎に、それぞれ別の暗号鍵Ｃ１〜Ｃｎで暗号化されている。ＨＤＤ１１３は複数のユーザ毎に暗号鍵Ｃ１〜Ｃｎを分けて、その暗号鍵Ｃ１〜Ｃｎで暗号化されている。

本発明による複合機１００は、コントローラボード１０１が正常動作している間に、ＵＳＢフラッシュメモリ１０８に保存されている暗号鍵Ｂを１つの外部メディア１１９に格納すると共に、暗号鍵Ｃ１〜Ｃｎを異なる複数のメールサーバ１２２に送信する。暗号鍵Ｂを格納する際、複合機１００はユーザに暗号鍵Ｂのリストア用のパスワード０を入力してもらうことで、パスワード０を利用して暗号鍵Ｂを暗号化する。

また、暗号鍵Ｃ１〜Ｃｎを送信する際、複合機１００はユーザに暗号鍵Ｃ１〜Ｃｎのリストア用のパスワード１〜ｎを入力してもらうことで、パスワード１〜ｎを利用して暗号鍵Ｃ１〜Ｃｎを暗号化する。メールサーバ１２２は、暗号化された暗号鍵Ｃ１〜Ｃｎを各ユーザ宛にメール転送する。

図２５は、ユーザ宛に転送したメールのイメージ図である。なお、暗号化された暗号鍵Ｃ１〜Ｃｎは例えばメールの本文に記載したり、添付ファイルとしてメールに添付したりすることが考えられる。

コントローラボード１０１の交換後、本発明による複合機１００は外部メディア１１９へ格納しておいた暗号鍵Ｂをリストアする際、ユーザによって入力されたリストア用のパスワード０を利用して暗号鍵Ｂを復号する。また、本発明による複合機１００はユーザ宛にメール転送しておいた暗号鍵Ｃ１〜Ｃｎをリストアする際、ユーザからの受信メールから暗号鍵Ｃ１〜Ｃｎを取得し、リストア用のパスワード１〜ｎを利用して暗号鍵Ｃ１〜Ｃｎを復号する。

従って、本発明による複合機１００では、ユーザ毎に暗号鍵Ｃ１〜Ｃｎをメール転送できるので、ユーザが暗号鍵Ｃ１〜Ｃｎのバックアップを保存できる。

図２６は本発明による複合機の暗号鍵設定手順を表したフローチャートである。ＣＴＬ１１５はステップＳ１２１において、操作パネルやネットワーク経由で鍵変更指示（暗号鍵ｂ，ｃ→暗号鍵Ｂ，Ｃ）を受け取る。ＣＴＬ１１５はステップＳ１２２に進み、ＴＰＭ１０７から暗号鍵Ａを取得する。ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８に保存されている、暗号鍵Ａによって暗号化された状態の暗号鍵ｂ及びｃを、暗号鍵Ａを用いて復号する。ＣＴＬ１１５は、復号した暗号鍵ｂ及びｃをＵＳＢフラッシュメモリ１０８から取得する。ＣＴＬ１１５は暗号鍵ｂを用いてＮＶＲＡＭ１１２を復号する。また、ＣＴＬ１１５は暗号鍵ｃを用いてＨＤＤ１１３を復号する。

ステップＳ１２３に進み、ＣＴＬ１１５は暗号鍵Ｂ，ＣをＢＡＳＥ６４で変換する。ステップＳ１２４に進み、ＣＴＬ１１５は新しい暗号鍵Ｂを、操作パネルやネットワーク経由で外部出力しておく。

ステップＳ１２５に進み、ＣＴＬ１１５は暗号鍵Ｂの外部出力が成功した場合（Ｓ１２５においてＹＥＳ）、ステップＳ１２６に進み、暗号鍵Ｃ１〜Ｃｎを各ユーザ宛にメール転送する。ステップＳ１２７に進み、ＣＴＬ１１５は暗号鍵Ｃ１〜Ｃｎのメール送信が成功した場合（Ｓ１２７においてＹＥＳ）、ステップＳ１２８に進み、新しい暗号鍵Ｂ及び暗号鍵Ｃ１〜ＣｎでＮＶＲＡＭ１１２及びＨＤＤ１１３を再び暗号化する。そして、ステップＳ１２８からステップＳ１２９に進み、ＣＴＬ１１５は操作パネルに操作画面を表示させて暗号鍵の設定を終了する。

一方、ＣＴＬ１１５はユーザキャンセル等、何らかの原因で暗号鍵Ｂの外部出力が失敗した場合（Ｓ１２５においてＮＯ）、ステップＳ１３０に進み、操作パネルにエラー画面を表示する。ステップＳ１３１に進み、ＣＴＬ１１５はエラー状況が回復したか否かを判定する。エラー状況が回復しなければ（Ｓ１３１においてＮＯ）、ＣＴＬ１１５はステップＳ１３２に進み、操作パネルに暗号鍵の設定失敗画面を表示する。なお、エラー状況が回復すれば（Ｓ１３１においてＹＥＳ）、ＣＴＬ１１５はステップＳ１２６に進む。

また、ＣＴＬ１１５は暗号鍵Ｃ１〜Ｃｎのメール送信が失敗した場合（Ｓ１２７においてＮＯ）、ステップＳ１３３に進み、操作パネルにエラー画面を表示する。ステップＳ１３４に進み、ＣＴＬ１１５はエラー状況が回復したか否かを判定する。エラー状況が回復しなければ（Ｓ１３４においてＮＯ）、ＣＴＬ１１５はステップＳ１３５に進み、操作パネルに暗号鍵の設定失敗画面を表示する。なお、エラー状況が回復すれば（Ｓ１３４においてＹＥＳ）、ＣＴＬ１１５はステップＳ１２８に進む。

図２７は複合機における起動手順を表したフローチャートである。ステップＳ１４１ではユーザから復旧メールを受信する。ステップＳ１４２に進み、ＣＴＬ１１５はＵＳＢフラッシュメモリ１０８のチェックを行う。暗号鍵の復旧が必要であれば（Ｓ１４３においてＹＥＳ）、ＣＴＬ１１５はステップＳ１４４に進み、復旧メールから取得した暗号鍵でＨＤＤ１１３を復号する。復号エラーが発生しなければ（Ｓ１４５においてＮＯ）、ＣＴＬ１５は新しい鍵をＵＳＢフラッシュメモリ１０８に保存する。

なお、暗号鍵の復旧が必要でなく（Ｓ１４３においてＮＯ）、又は復号エラーが発生すれば（Ｓ１４５においてＹＥＳ）、ＣＴＬ１１５はステップＳ１４７に進み、エラーメールをユーザに返信する。

従って、本発明による複合機１００では、コントローラボード１０１の交換後であってもＮＶＲＡＭ１１２及びＨＤＤ１１３に暗号鍵Ｂ及びＣ１〜Ｃｎで暗号化されて格納されているパラメータやデータを復号できる。

本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

本発明による複合機の一例のハードウェア構成図である。 本発明による複合機の一例のソフトウェア構成図である。 本発明による複合機の起動手順を表したフローチャートである。 本発明による複合機の起動手順を表したシーケンス図である。 コントローラボードを交換した複合機の一例のハードウェア構成図である。 本発明によるデータ復旧方法を表した概念図である。 本発明による複合機の暗号鍵設定手順を表したフローチャートである。 新しい暗号鍵の外部出力が成功したときの暗号鍵設定手順を表したシーケンス図である。 複合機における起動手順を表したフローチャートである。 コントローラボード交換後の複合機における起動手順を表したシーケンス図である。 暗号鍵のリストア又はストレージデバイスの初期化を選択させる画面の一例のイメージ図である。 暗号鍵をリストアする為の画面の一例のイメージ図である。 暗号鍵の格納場所を示した概念図である。 暗号鍵の格納場所を示した他の例の概念図である。 複合機における起動手順を表したフローチャートである。 暗号鍵の構成を示した概念図である。 本発明によるデータ復旧方法を表した概念図である。 本発明によるデータ復旧方法を表した概念図である。 サーバテーブルの一例の構成図である。 複合機における起動手順を表したフローチャートである。 本発明によるデータ復旧方法を表した概念図である。 サーバテーブルの一例の構成図である。 本発明によるデータ復旧方法を表した概念図である。 本発明によるデータ復旧方法を表した概念図である。 ユーザ宛に転送したメールのイメージ図である。 本発明による複合機の暗号鍵設定手順を表したフローチャートである。 複合機における起動手順を表したフローチャートである。

符号の説明

１００ 複合機
１０１ コントローラボード
１０２ ＣＰＵ
１０３ ＲＯＭ
１０４ ＲＡＭ
１０５ ＬＡＮコントローラ
１０６ ＤＣＲ
１０７ ＴＰＭ
１０８ ＵＳＢフラッシュメモリ
１０９ オペポート
１１０ プロッタ
１１１ スキャナ
１１２ ＮＶＲＡＭ
１１３ ＨＤＤ
１１４ ＯＳ
１１５ 全体制御ソフトウェア（ＣＴＬ）
１１６ アプリケーション制御ソフトウェア１１６
１１７ 外部デバイス
１１８ 操作パネル
１１９ 外部メディア
１２０ メディアＩＯ
１２１ 外部サーバ
１２２ メールサーバ
５０１ ＯＣＲ

Claims (22)

1. セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納している情報処理装置のデータ復旧方法であって、
   前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記情報処理装置の外部にバックアップ鍵としてバックアップするバックアップステップと、
   前記第１暗号鍵が使用できないとき、前記バックアップ鍵を前記情報処理装置の内部にリストアするリストアステップと、
   前記情報処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号ステップと
   を有することを特徴とするデータ復旧方法。
2. 前記バックアップステップは、操作者から入力されたパスワードによって前記第２暗号鍵を暗号化した後、脱着可能な第３記憶装置に前記バックアップ鍵としてバックアップすることを特徴とする請求項１記載のデータ復旧方法。
3. 前記リストアステップは、前記パスワードによって前記バックアップ鍵を復号し、前記バックアップ鍵を前記情報処理装置の内部にリストアすることを特徴とする請求項２記載のデータ復旧方法。
4. 前記バックアップステップは、操作者から入力されたパスワードによって前記第２暗号鍵を暗号化した後、ネットワーク経由で接続されたサーバに前記バックアップ鍵としてバックアップすることを特徴とする請求項１記載のデータ復旧方法。
5. 前記リストアステップは、前記情報処理装置の識別情報を前記サーバへ送信し、前記識別情報に応じた前記バックアップ鍵を前記サーバから受信し、前記パスワードによって前記バックアップ鍵を復号して、前記バックアップ鍵を前記情報処理装置の内部にリストアすることを特徴とする請求項４記載のデータ復旧方法。
6. 前記バックアップステップは、前記バックアップ鍵をユーザ毎又は前記第２記憶装置の領域毎にバックアップすることを特徴とする請求項１乃至５何れか一項記載のデータ復旧方法。
7. 前記バックアップステップは、前記バックアップ鍵をユーザ毎に転送することを特徴とする請求項６記載のデータ復旧方法。
8. 前記第２暗号鍵が複数あるとき、１つの前記第２暗号鍵を、前記情報処理装置の外部にバックアップ鍵としてバックアップし、１つの前記第２暗号鍵で残りの前記第２暗号鍵を暗号化して前記第２記憶装置に格納しておくことを特徴とする請求項１記載のデータ復旧方法。
9. 前記第２暗号鍵は固定部分と可変部分とで構成され、前記リストアステップは前記第２暗号鍵の固定部分と、操作者から入力された前記第２暗号鍵の可変部分とに基づき、前記バックアップ鍵を生成し、そのバックアップ鍵を前記情報処理装置の内部にリストアすることを特徴とする請求項１記載のデータ復旧方法。
10. 前記セキュアメモリは全体制御を行うコントローラボードに搭載されており、前記第１暗号鍵を読み出し専用不揮発領域に格納していることを特徴とする請求項１記載のデータ復旧方法。
11. セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納しているプロッタ及びスキャナの少なくとも一方を有する画像処理装置であって、
    前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を装置外部にバックアップ鍵としてバックアップするバックアップ手段と、
    前記第１暗号鍵が使用できないとき、前記バックアップ鍵を装置内部にリストアするリストア手段と、
    装置内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段と
    を有することを特徴とする画像処理装置。
12. 前記バックアップ手段は、操作者から入力されたパスワードによって前記第２暗号鍵を暗号化した後、脱着可能な第３記憶装置に前記バックアップ鍵としてバックアップすることを特徴とする請求項１１記載の画像処理装置。
13. 前記リストア手段は、前記パスワードによって前記バックアップ鍵を復号し、前記バックアップ鍵を前記画像処理装置の内部にリストアすることを特徴とする請求項１２記載の画像処理装置。
14. 前記バックアップ手段は、操作者から入力されたパスワードによって前記第２暗号鍵を暗号化した後、ネットワーク経由で接続されたサーバに前記バックアップ鍵としてバックアップすることを特徴とする請求項１１記載の画像処理装置。
15. 前記リストア手段は、自装置の識別情報を前記サーバへ送信し、前記識別情報に応じた前記バックアップ鍵を前記サーバから受信し、前記パスワードによって前記バックアップ鍵を復号して、前記バックアップ鍵を装置内部にリストアすることを特徴とする請求項１４記載の画像処理装置。
16. 前記バックアップ手段は、前記バックアップ鍵をユーザ毎又は前記第２記憶装置の領域毎にバックアップすることを特徴とする請求項１１乃至１５何れか一項記載の画像処理装置。
17. 前記バックアップ手段は、前記バックアップ鍵をユーザ毎に転送することを特徴とする請求項１６記載の画像処理装置。
18. 前記第２暗号鍵が複数あるとき、１つの前記第２暗号鍵を、装置外部にバックアップ鍵としてバックアップし、１つの前記第２暗号鍵で残りの前記第２暗号鍵を暗号化して前記第２記憶装置に格納しておくことを特徴とする請求項１１記載の画像処理装置。
19. 前記第２暗号鍵は固定部分と可変部分とで構成され、前記リストアステップは前記第２暗号鍵の固定部分と、操作者から入力された前記第２暗号鍵の可変部分とに基づき、前記バックアップ鍵を生成し、そのバックアップ鍵を前記画像処理装置の内部にリストアすることを特徴とする請求項１１記載の画像処理装置。
20. 前記セキュアメモリは全体制御を行うコントローラボードに搭載されており、前記第１暗号鍵を読み出し専用不揮発領域に格納していることを特徴とする請求項１１記載の画像処理装置。
21. セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納するように構成されており、前記第２暗号鍵で暗号化されたデータを格納している第２記憶装置，プロッタ及びスキャナの少なくとも一方を有する画像処理装置に含まれるコントローラボードであって、
    前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記画像処理装置の外部にバックアップ鍵としてバックアップするバックアップ手段と、
    前記第１暗号鍵が使用できないとき、前記バックアップ鍵を前記画像処理装置の内部にリストアするリストア手段と、
    前記画像処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手段と
    を有することを特徴とするコントローラボード。
22. セキュアメモリに第１暗号鍵を格納し、前記第１暗号鍵で暗号化された第２暗号鍵を第１記憶装置に格納し、前記第２暗号鍵で暗号化されたデータを第２記憶装置に格納している情報処理装置に、
    前記第１暗号鍵を用いて前記第２暗号鍵を復号し、その第２暗号鍵を前記情報処理装置の外部にバックアップ鍵としてバックアップするバックアップ手順と、
    前記第１暗号鍵が使用できないとき、前記バックアップ鍵を前記情報処理装置の内部にリストアするリストア手順と、
    前記情報処理装置の内部にリストアした前記バックアップ鍵を用いて、前記第２記憶装置に格納しているデータを復号する復号手順と
    を実行させるためのデータ復旧プログラム。

Images