電子機器及びその制御方法
【課題】 装着する際の人的ミスや装着した装置の不具合のために、長期間に亘ってセキュリティ機能が動作しない無防備状態（セキュリティ・ホール）が継続する危険性がある。
【解決手段】 セキュリティ機能の解除を指示した後、そのセキュリティ機能のセキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知するまでの（Ｓ４０６）経過時間、或いは装着された装置の動作が有効であることを確認する（Ｓ４０７）まで経過時間が所定時間を超えたかどうかを判定し（Ｓ４０５）、その経過時間が所定時間を超えたと判定されると、機器本来のセキュリティ機能を再度有効にする（４０８）。
【解決手段】 セキュリティ機能の解除を指示した後、そのセキュリティ機能のセキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知するまでの（Ｓ４０６）経過時間、或いは装着された装置の動作が有効であることを確認する（Ｓ４０７）まで経過時間が所定時間を超えたかどうかを判定し（Ｓ４０５）、その経過時間が所定時間を超えたと判定されると、機器本来のセキュリティ機能を再度有効にする（４０８）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ機能を有する電子機器及びその制御方法に関する。
【背景技術】
【０００２】
セキュリティ機能１を実行中の印刷装置に、セキュリティレベルが上位であるセキュリティ機能２を有する装置を取り付ける場合、セキュリティの干渉を引き起こすため、現在実行中のセキュリティ機能１を停止しなければならないケースが発生する。
【０００３】
例えば、ハードディスク装置が対応するＡＴＡ（Advanced Technology Attachment）規格では、セキュリティコマンド群が定義されている。そして、この規格の下で、ハードディスク装置の標準的な機能としてパスワードによるセキュリティ機能がある。ハードディスク装置のパスワードを用いたセキュリティ機能（パスワード機能）を有効にすると、適正なパスワードをハードディスク装置に対して送信しないと、そのハードディスク装置のデータ領域へのアクセスが許可されない。また、ハードディスク装置へのアクセスが許可されている状態でも、そのハードディスク装置の電源がオフされてオンされると、再びパスワード機能が有効な状態で起動する仕組みとなっている。
【０００４】
また他のセキュリティ機能として、ハードディスク装置へのデータ書き込み時に、そのデータを暗号化する暗号化方法がある。前述のパスワード機能では、データ領域は平文であるため、パスワードが盗まれるか、ハードディスク装置内部のディスクを直接読み取ることによりセキュリティを破られる可能性がある。一方、暗号化方法であると、例えハードディスク装置を盗まれても内部情報を読み取られる心配がない。従って、パスワード方法と暗号化方法とを比較すると、後者の方がよりセキュリティレベルが高いといえる。
【０００５】
ここで、パスワード機能を実行中の印刷装置に対して暗号化装置をオプションとして装着する場合を説明する。前述のようにパスワード機能よりも暗号化方法の方がセキュリティレベルが高いため、暗号化を実施する印刷装置にパスワード機能を実施しても制御方法の煩雑さが増すばかりで意味をなさない。従って、暗号化装置自体が、よりセキュリティレベルが低い、ＡＴＡ規格のセキュリティコマンド群について非対応であるのが一般的である。
【０００６】
上述したように、パスワード機能を実行中の印刷装置に対して、よりセキュリティレベルが高い暗号化装置を装着する際に干渉が発生する。よって、暗号化装置を印刷装置に装着するためには、一旦、印刷装置の電源をオフしなければならない。パスワード機能を有効にしたハードディスク装置は、電源オフからの起動時にパスワード設定コマンドを送信するか、パスワード解除コマンドを送信しなければアクセスすることができない。しかし前述のように、暗号化装置がセキュリティコマンド群に非対応であるため、装着された暗号化装置を介してハードディスク装置にパスワード関連のコマンドを送信して、パスワード機能を解除することができない。従って、パスワード機能を実行中の印刷装置に対して暗号化装置を装着する場合には、まず印刷装置のパスワード機能を無効にした後に暗号化装置を取り付けなければならない。
【０００７】
このパスワード機能の無効化処理は、暗号化装置の取付け時に印刷装置の操作パネルをユーザやサービスマン等が操作することで人的に処理される。この場合、人的ミスや取り付けた暗号化装置の不具合等によりセキュリティ・ホールが生じる可能性がある。例えば、複数の印刷装置に暗号化装置を取り付ける際に、複数の印刷装置のパスワード機能の無効化処理を一度にまとめて行い、その後、暗号化装置を取り付けると、一部の印刷装置への取り付け忘れが発生する可能性がある。また、取り付けた暗号化装置の不具合により、暗号化機能が有効状態にならないまま放置される危険性も考えられる。いずれの場合でも長期間に亘ってセキュリティが無効な状態にさらされる危険性がある。
【０００８】
上記に近い状況下で、セキュリティ・ホールを排除する方法として、内部端末と外部ネットワークとを接続するための情報機器のセキュリティ管理方法が提案されている（例えば、特許文献１参照）。特許文献１では、ネットワーク上の情報機器に対して設定を行う際に、予め予定された時刻に情報機器のセキュリティを解除する。そして、終了予定時刻又は設定終了後に、その情報機器に保持されたセキュリティ管理モジュールによって、再び元のセキュリティが有効な状態に復帰させることが記載されている。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００４−４０１５５号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら特許文献１の方法は、一旦、解除されたセキュリティ状態を、終了予定時刻又は設定終了後に元のセキュリティが有効な状態に復帰する技術であって、元のセキュリティ状態を完全に無効化する場合には適用できない。また、終了予定時刻又は取り付け設定終了以外にも、暗号化装置のようなオプション装置を取り付ける際には、電源のオフ／オン状態、及びその回数が重要となる場合があるが、そのような場合についても特許文献１では対応できないという問題があった。
【００１１】
本発明の目的は、上記従来技術の問題点を解決することにある。
【００１２】
本発明の特徴は、機器本来が有するセキュリティ機能に、よりセキュリティレベルの高いセキュリティ機能を追加する場合における、セキュリティ・ホールの発生を防止することにある。
【課題を解決するための手段】
【００１３】
上記目的を達成するために本発明の一態様に係る電子機器は以下のような構成を備える。即ち、
セキュリティ機能を有する電子機器であって、
前記セキュリティ機能の解除を指示する指示手段と、
前記セキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知する検知手段と、
前記指示手段の指示に応答して前記セキュリティ機能を解除してからの経過時間を計時する計時手段と、
前記検知手段が前記装置の装着を検知するまで、或いは前記装置の動作が有効であることを確認するまでに、前記計時手段により計時された前記経過時間が所定時間を超えたかどうかを判定する判定手段と、
前記判定手段により前記経過時間が前記所定時間を超えたと判定されると、前記セキュリティ機能を再度有効にする有効化処理手段と、を有することを特徴とする。
【発明の効果】
【００１４】
本発明によれば、機器本来が有するセキュリティ機能に、よりセキュリティレベルの高いセキュリティ機能を追加する場合におけるセキュリティ・ホールを排除できる。これにより、キュリティ機能を実行中の電子機器に対して、より高いセキュリティレベルのセキュリティ機能を有する装置を安全、且つ確実に装着できるという効果がある。
【図面の簡単な説明】
【００１５】
【図１】本実施形態に係る複合機（ＭＦＰ）の構成を主制御部（メインコントローラ）の構成を中心に示すブロック図。
【図２】本実施形態に係る暗号化装置の内部構成例を説明するブロック図。
【図３】メインコントローラとＨＤＤとの接続形態を示す図で、（Ａ）は暗号化装置が未接続の状態を示し、（Ｂ）は、暗号化装置が接続された状態を示す図。
【図４】本実施形態１に係るＭＦＰのＣＰＵの処理を説明するフローチャート。
【図５】本実施形態２に係るＭＦＰのＣＰＵの処理を説明するフローチャート。
【図６】ＲＯＭに予め設定された条件設定レジスタの例を示す図。
【発明を実施するための形態】
【００１６】
以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る本発明を限定するものでなく、また本実施形態で説明されている特徴の組み合わせの全てが本発明の解決手段に必須のものとは限らない。尚、本実施形態では、本発明の電子機器を、複合機（ＭＦＰ）を例に説明するが、この電子機器は、このようなＭＦＰに限定されるものでなく、印刷装置、通信装置、情報処理装置等にも適用できる。
【００１７】
図１は、本実施形態に係る複合機（ＭＦＰ）の構成を主制御部（メインコントローラ）の構成を中心に示すブロック図である。
【００１８】
ＣＰＵ（中央処理演算器）１０１は、システム制御や演算処理を行う。メモリ制御部１０２は、各種メモリデバイスへの入出力制御やＤＭＡ（ダイレクトメモリアクセス）制御を行う。ＲＯＭ１０３は、フラッシュメモリに代表されるリード専用メモリで、起動プログラム、各種処理及び制御プログラムや制御パラメータを格納している。ＲＡＭ１０４は、ＤＤＲ（Double-Data-Rate）メモリに代表される書き換え専用メモリで、プログラムの作業領域や印刷データの格納領域等の用途に用いられる。
【００１９】
ＬＡＮ−ＩＦ部１０５は、このＭＦＰに接続されるローカルエリアネットワーク１０６とのインターフェイスを制御する。一般的にはＴＣＰ／ＩＰプロトコルを用い、ネットワークケーブルを介して外部ホストコンピュータ１０７などのネットワーク対応機器と接続され、ネットワーク経由で印刷データを受信して印刷を行う。リーダインタフェース部１０８は、スキャナ部１０９との通信制御を行い、スキャナ部１０９によってスキャンして得られた画像データを入力することでコピー機能を実現する。ＦＡＸ−ＩＦ部１１０は、ＦＡＸ装置１１１との通信制御を行い、電話回線に接続されたＦＡＸ装置との間でデータの送受信を行う。画像処理部１１２は、ＬＡＮ−ＩＦ部１０５、リーダインタフェース部１０８、ＦＡＸ−ＩＦ部１１０を介して取り込んだ画像データに対して、各種画像処理を行う。
【００２０】
パネルＩＦ部１１３は、操作パネル１１４との通信制御を行う。ＵＩ（ユーザインターフェイス）として、操作パネル１１４の液晶表示やボタン等を操作することにより、このＭＦＰの各種設定及び状態の確認ができる。
【００２１】
ＨＤＤ−ＩＦ部１１５は、ＡＴＡ規格に準拠したハードディスク装置（ＨＤＤ）（ストレージデバイス）１１７との通信制御を行う。ＨＤＤ１１７は不揮発性の大容量記憶装置で、ファイルの保存や印刷データの一時格納場所として使用される。尚、本実施形態では、ＨＤＤ１１７を用いて説明するが、ＡＴＡ規格に準拠したデバイス、例えばＳＳＤ等であっても構わない。
【００２２】
このシステム構成例では、ＨＤＤ−ＩＦ部１１５とＨＤＤ１１７の間にセキュリティオプションである暗号化装置１１６を装着した例を示す。この暗号化装置１１６は、ＨＤＤ１１７に書き込むデータに対して暗号化処理を行う。
【００２３】
ビデオＩＦ部１１８は、印刷部１１９とのコマンド／ステータスの通信制御や印刷データの転送を行う。印刷部１１９は、ここでは図示しないがプリンタエンジンと給紙系及び排紙系機能を具備し、主にビデオＩＦ部１１８からのコマンド情報に従い、印刷データを基に紙（シート）上に画像を印刷する。システムバス１２０は、制御バス、データバス及び任意ブロック間のローカルバスを便宜的にまとめて表現したものである。
【００２４】
図２は、本実施形態に係る暗号化装置１１６の内部構成例を説明するブロック図である。
【００２５】
ＣＰＵ（中央処理演算器）２０１は、システム制御、暗号化処理、演算処理及びＡＴＡ規格のコマンド処理などを行う。メモリ制御部２０２は、各種メモリデバイスへの入出力制御やＤＭＡ制御を行う。ＲＯＭ２０３には、起動プログラム、各種処理及び制御プログラムや制御パラメータが格納される。ＲＡＭ２０４は、プログラムの作業領域や一時的なデータの格納領域、レジスタ等の用途に用いられる。デバイスインタフェース部２０５は、デバイス側、即ち、メインコントローラのＨＤＤ−ＩＦ１１５をホスト側としてＡＴＡ規格に準拠したコマンドプロトコル処理を行う。ホストインタフェース部２０６は、ホスト側、即ち、ＨＤＤ１１７をデバイス側としてＡＴＡ規格に準拠したコマンドプロトコル処理を行う。暗号／復号化処理部２０７は、メインコントローラからＨＤＤ１１７への書き込みデータに対して暗号化処理を施し、逆にＨＤＤ１１７からの読み出しデータに対して復号化処理を行う。システムバス２０８は、制御バス、データバス及び任意ブロック間のローカルバスを便宜的にまとめて表現したものである。
【００２６】
図１及び図２で説明したシステムの構成例に基づいて、以下、本実施形態を詳しく説明する。
【００２７】
この実施形態では、パスワード機能（セキュリティ機能１）を実行中のＭＦＰに対して、上位レベルの暗号化機能（セキュリティ機能２）を有する暗号化装置１１６を取り付ける。この際、一旦、ＭＦＰで解除されたパスワード機能を、暗号化機能が有効状態になったことを判定した後に、ＭＦＰの機能から完全に無効化する。即ち、暗号化機能が有効である限り、パスワード機能を有効にできないようにする。また、予め設定された幾つかの条件の下で、暗号化機能が有効にならなかったと判定された場合には、再びパスワード機能を有効にすることにより、人的ミス等によるセキュリティ・ホールを排除することを目的としている。
【００２８】
図３（Ａ）は、セキュリティオプションである暗号化装置が未接続の状態を示す図である。この構成では、メインコントローラ３０１にＨＤＤ３０２が直接接続されている。ここで、ＡＴＡ規格に準拠したパスワード機能を有効にすると、ＨＤＤ３０２にアクセスする前に、パスワード設定コマンドをＨＤＤ３０２に対して送信しなければならない。また、一旦アクセスが許可された状態でもＨＤＤ３０２の電源をオフすると、次回の起動時に再びパスワード設定コマンドを送信する必要がある。
【００２９】
一方、図３（Ｂ）は、パスワード機能を有効状態にし、メインコントローラ３０１とＨＤＤ３０２の間にセキュリティオプションである暗号化装置３０３（図１の暗号化装置１１６に対応）を接続した状態を示す図である。当然ながら暗号化装置３０３を装着する際には、一旦、ＭＦＰの電源をオフしなければならない。先に説明したように、ＡＴＡ規格に準拠したパスワード機能と比較して、暗号化機能の方がよりセキュリティレベルが高い。従って、暗号化装置３０３を装着したＭＦＰに対してパスワード機能を有効にすること自体に意味がない。それ故に、暗号化装置３０３は、パスワード機能を有効にするＡＴＡ規格のセキュリティコマンド群に対して非対応であるのが一般的である。
【００３０】
ここで、図３（Ｂ）のように暗号化装置３０３を装着した後に、ＨＤＤ３０２に対してパスワード解除コマンドを送信して、パスワード機能を無効に設定しようとする。しかし、暗号化装置３０３自体がパスワード解除コマンドに非対応であるために、パスワード機能を無効にすることができないという干渉状態が発生する。
【００３１】
このような干渉状態を解決するためには、暗号化装置３０３を装着する前の図３（Ａ）の状態で、メインコントローラ３０１でパスワード機能を無効化しなければならない。図３（Ａ）におけるパスワード機能の無効化処理は、ここでは図示しないがメインコントローラ３０１のＵＩ（操作パネル等）により、特定の権限を持った管理者もしくはサービスマン等の人手によって、特殊なモードに移行して処理される。しかしながら、パスワード機能の無効化処理は、あくまでも人的に為されるため、ここにセキュリティ・ホールの生じる可能性がある。
【００３２】
次に、セキュリティ・ホールを排除するための本実施形態を説明する。
【００３３】
図４は、本実施形態１に係るＭＦＰのＣＰＵ１０１の処理を説明するフローチャートである。尚、この処理を実行する監視プログラムはＲＯＭ１０３に記憶されており、ＣＰＵ１０１の制御の下に実行される。尚、ここでは、ＭＦＰのパスワード機能が有効状態であることを前提としている。
【００３４】
この処理は、例えばＭＦＰの電源がオンになることにより開始され、まずＳ４０１で、ＲＯＭ１０３に記憶されている、パスワード機能が解除された時点から、その状態の継続が許される解除許容時間を読み出して取得する。
【００３５】
図６は、ＲＯＭ１０３に予め設定された条件設定レジスタの例を示す図である。
【００３６】
ここで設定される条件は、複数あっても構わない。図６では、解除許容時間６０１と、電源のオフ／オンの回数の上限値６０２が設定されている。本実施形態１では、解除許容時間（所定時間）６０１を設定条件とする場合について説明する。電源オフ／オンの回数の上限値６０２を含むケースは、後述の実施形態２で説明する。また、この解除許容時間６０１は、ＭＦＰの電源を一旦オフして暗号化装置１１６を装着し、再びＭＦＰの電源をオンするまでの、暗号化装置１１６の取り付け処理にかかる時間を十分に考慮した時間である。例えば、取り付け作業に平均１０分程度の時間を要する場合には、この解除許容時間の設定値としては、例えば１５〜２０分程度が妥当である。
【００３７】
次にＳ４０２で、オペレータの操作待ちに入る。ここではパスワード機能が有効なＭＦＰに対して、ある時点で暗号化装置１１６を装着するためのオペレータの操作が発生するのを待つ。ここでは図示しないがサービスマン等のオペレータは、まず操作パネル１１４のＵＩから、暗号化装置１１６の装着を指示するための特殊なモードに移行し、Ｓ４０３で、パスワードの解除処理を実施する。次にＳ４０４で、メインコントローラに搭載された監視プログラムによって、Ｓ４０３のパスワード解除処理に応答して、経過時間の計時が開始される。尚、この経過時間の計時は、タイマ等のハードウェアにより行ってもよく、或いはソフトウェアによる計時でも構わない。
【００３８】
また、時間計測の方法は、Ｓ４０３のパスワード解除処理からの絶対経過時間を計測しても良く、或いは電源オフ・オン毎に時間計測を初期化して、再計測を行う相対時間計測のどちらのであってもよく、特にどちらかに限定するものではない。本実施形態では、計時途中で電源がオフされても、その時点までの計時時間を保存し、次回の電源オン時（即ち、起動時）に、前回からの継続時間として時間を計時する絶対時間計測を前提として説明を行う。
【００３９】
次にＳ４０５で、一定時間間隔で、計測時間と解除許容時間６０１とを比較する。この比較の結果、計測時間が解除許容時間６０１を超過していなければＳ４０６に進み、取り付けてあることが想定される暗号化装置１１６の存在確認処理を行う。ここでは図示しないが、暗号化装置１１６が装着されたことを検知できる手段を有している。例えば、メインコントローラ側でポートに接続したプルアップされた信号ライン（通常、ハイレベル）が、暗号化装置１１６側でグランドに接続されていることにより、これらの結合によってその信号ラインがロウレベルに状態が変わることで存在を知る。また或いは、ＡＴＡ規格に準拠した存在確認用の拡張コマンドを定義して通信を行う事で暗号化装置１１６の存在を知る方法などによって実現できる。
【００４０】
Ｓ４０６で、暗号化装置１１６の存在が確認できないときはＳ４０５に戻り、Ｓ４０５とＳ４０６との間をループしている間に、それまでの計測時間の累積と解除許容時間との比較結果により時間が超過する。この場合はＳ４０８に進み、再びパスワード機能の有効化処理を実施する。
【００４１】
このようなＳ４０５〜Ｓ４０６のループに陥った原因としては、例えば、サービスマンがユーザ先で複数のＭＦＰに暗号化装置１１６の取り付け作業を行う場合が考えられる。このような場合、まず対象となるＭＦＰの全てのパスワード機能を無効化した後に、一部のＭＦＰに対して暗号化装置１１６を装着し忘れた場合が想定される。この場合、まだ暗号化装置１１６自体が装着されていないため、再び、タイムアウト（時間超過）が発生しＳ４０８で、パスワード機能が再度有効にされる。こうしてＳ４０９でパスワード機能が有効化された後はＳ４０３に進み、再びオペレータの操作待ちに入る。
【００４２】
一方、Ｓ４０６の暗号化装置１１６の存在確認処理で、その存在が確認された場合はＳ４０７に進み、暗号化装置１１６の暗号化機能（装置の動作）が有効になったかどうかを判定する。ここで、暗号化機能が有効状態であるかどうかは、例えば状態を取得する拡張コマンドを定義して通信を行う事で状態を取得することができる。この判定処理で、暗号化機能が有効になったと判定された場合は、ＭＦＰでパスワード機能が完全に無効化されたことになる。即ち、ここでは図示しないが、この時点でＭＦＰのＵＩ（操作パネル１１４）からパスワード機能を有効化しようとしても、有効化ボタンが操作不能状態（ハイライト状態）となっていることを意味する。よって再び、パスワード機能を有効化するためには、まず暗号化機能を無効化しなければならない。
【００４３】
他方、Ｓ４０７の判定処理において、暗号化機能が有効状態となっていないときはＳ４０５に進み、Ｓ４０５〜Ｓ４０７間をループしている間に、それまでの計測時間の累積と解除許容時間との比較結果で、時間が超過したと判定される。この場合はＳ４０８に進み、再びパスワード機能の有効化処理を実施する。
【００４４】
ここでＳ４０７を含むループに陥った原因として、取り付け完了した暗号化装置１１６の不具合による初期化失敗が想定される。この場合、先に説明したように暗号化装置１１６がＡＴＡ規格のパスワード設定コマンドに非対応であるため、Ｓ４０８のパスワード有効化処理の実行自体が不能となる。よって、この場合は、Ｓ４０９でパスワード機能が有効にならないためＳ４１０に進み、最終的に操作パネル１１４によりオペレータへの警告表示を出すと同時に、予め指定された管理者等に通知する。これにより、セキュリティ・ホールを回避できる。
【００４５】
以上説明したように本実施形態１によれば、パスワード機能を解除するＭＦＰの内部状態として、一時的にパスワード機能の解除処理を実行し（Ｓ４０３）、ＭＦＰとしてはあくまでも仮解除レベルにする。その後、暗号化装置１１６が装着され、その暗号化機能が有効であることを確認（Ｓ４０７）することで、パスワード機能が完全に解除されたレベルに移行する。従って、ＭＦＰの内部状態としては、より低いセキュリティレベルの仮解除レベル状態と完全解除レベル状態の２つを持つことによってセキュリティ・ホールの回避処理を実施している。
【００４６】
［実施形態２］
本発明の実施形態２として、先に説明した図６の条件設定レジスタにおいて、電源オフ／オン回数の上限値６０２を含む実施形態２を、図５を用いて説明する。メインコントローラのＲＯＭ１０３には、パスワード機能が解除された時点から、その状態の継続が許される解除許容時間６０１と電源オフ／オンの回数の上限値６０２が予め設定されている。以下、図５のＳ５０２〜Ｓ５０７及びＳ５１０〜Ｓ５１２は、図４のＳ４０２〜Ｓ４０７及びＳ４０８〜Ｓ４１０と同じであるため簡単に説明し、本実施形態２で追加されたＳ５０８、Ｓ５０９の処理を中心に説明する。
【００４７】
尚、ＭＦＰの電源オフ／オン回数を比較条件として追加する理由は、よりセキュリティの強化を図るために暗号化装置１１６の初期化失敗時のリブート処理に対応するためである。図４のフローで説明したように、暗号化装置１１６の存在確認処理において装置の不具合により初期化に失敗した場合には、同時にパスワード機能を有効化することも不可能となる。それ故に、最終的にＳ４１０で、ＵＩによるオペレータへの警告表示を出すと同時に管理者へも通知をすることになる。しかしながら、このときオペレータが離席している場合には、管理者が不具合に対処するまでの間、無防備状態が継続される。その間に悪意のある者からＨＤＤ１１７のデータを盗み取られる可能性がある。
【００４８】
セキュリティ・ホールの回避強化策として、自動的にリブートして暗号化装置１１６の再初期化を試みる方法が考えられる。この処理フローを図４に追加したのが、図５のＳ５０８及びＳ５０９である。
【００４９】
図５は、本実施形態２に係るＭＦＰのＣＰＵ１０１の処理を説明するフローチャートである。尚、この処理を実行する監視プログラムはＲＯＭ１０３に記憶されており、ＣＰＵ１０１の制御の下に実行される。尚、ここでは、ＭＦＰのパスワード機能が有効状態であることを前提としている。
【００５０】
まずＳ５０１で、ＲＯＭ１０３に記憶されている、パスワード機能が解除された時点から、その状態の継続が許される解除許容時間６０１と、電源オフ／オンの回数の上限値６０２とを読み出して取得する。
【００５１】
次にＳ５０２で、パスワード機能が有効なＭＦＰに対して、ある時点で暗号化装置１１６を装着するためのオペレータの操作が発生するのを待つ。そしてその操作により、Ｓ５０３で、パスワード解除処理を実施する。次にＳ５０４で、Ｓ５０３のパスワード解除処理からの時間の経過の計測が開始される。
【００５２】
こうしてＳ５０６で、解除許容時間６０１内に暗号化装置１１６が取り付けられたが、暗号化装置１１６が初期化処理に失敗したときは、Ｓ５０７で、暗号化機能が有効にならい。この場合はＳ５０８に進み、電源オフ／オンの回数の上限値６０２と、前回までのリブート回数Ｎ、即ち、電源オフ／オンの回数Ｎとの比較処理を行う。ここで、回数Ｎが上限値６０２を超過していなければＳ５０９に進み、回数Ｎに１を加算してＳ５０５に進み、リブート処理を試みる。尚、この回数Ｎをカウントするカウンタは、ＲＡＭ１０４に設けられている。一方、Ｓ５０８で回数Ｎが上限値（所定回数）６０２を超過しているとＳ５１０に進み、解除許容時間の超過とは無関係に、Ｓ５１０で、パスワード機能の有効化処理を実施する。そしてＳ５１０，Ｓ５１１の処理を経て、最終的に操作パネル１１４によるオペレータへの警告表示を出すと同時に管理者へも通知を行う。
【００５３】
以上説明したように本実施形態２によれば、パスワード機能を解除するＭＦＰの内部状態として、一時的にパスワード機能の解除処理を実行し（Ｓ５０３）、ＭＦＰとしてはあくまでも仮解除レベルにする。その後、暗号化装置１１６が装着され、その暗号化機能が有効であることを確認（Ｓ５０７）することで、パスワード機能が完全に解除されたレベルに移行する。従って、ＭＦＰの内部状態としては、より低いセキュリティレベルの仮解除レベル状態と完全解除レベル状態の２つを持つことによってセキュリティ・ホールの回避処理を実施している。
【００５４】
また実施形態２では、暗号化装置１１６が装着され他にも拘らず、その暗号化機能が有効にならないとき、自動的に暗号化装置１１６の再初期化を試みるリブート処理を行い、その回数が所定値を超えると自動的に、より低いセキュリティレベルに復帰する。これにより、オペレータが離席していたりして、管理者が不具合に対処するまでの間にセキュリティが解除された状態が継続されるのを防止でき、セキュリティ・ホールを回避できるという効果がある。
【００５５】
（その他の実施例）
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（又はＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。
【技術分野】
【０００１】
本発明は、セキュリティ機能を有する電子機器及びその制御方法に関する。
【背景技術】
【０００２】
セキュリティ機能１を実行中の印刷装置に、セキュリティレベルが上位であるセキュリティ機能２を有する装置を取り付ける場合、セキュリティの干渉を引き起こすため、現在実行中のセキュリティ機能１を停止しなければならないケースが発生する。
【０００３】
例えば、ハードディスク装置が対応するＡＴＡ（Advanced Technology Attachment）規格では、セキュリティコマンド群が定義されている。そして、この規格の下で、ハードディスク装置の標準的な機能としてパスワードによるセキュリティ機能がある。ハードディスク装置のパスワードを用いたセキュリティ機能（パスワード機能）を有効にすると、適正なパスワードをハードディスク装置に対して送信しないと、そのハードディスク装置のデータ領域へのアクセスが許可されない。また、ハードディスク装置へのアクセスが許可されている状態でも、そのハードディスク装置の電源がオフされてオンされると、再びパスワード機能が有効な状態で起動する仕組みとなっている。
【０００４】
また他のセキュリティ機能として、ハードディスク装置へのデータ書き込み時に、そのデータを暗号化する暗号化方法がある。前述のパスワード機能では、データ領域は平文であるため、パスワードが盗まれるか、ハードディスク装置内部のディスクを直接読み取ることによりセキュリティを破られる可能性がある。一方、暗号化方法であると、例えハードディスク装置を盗まれても内部情報を読み取られる心配がない。従って、パスワード方法と暗号化方法とを比較すると、後者の方がよりセキュリティレベルが高いといえる。
【０００５】
ここで、パスワード機能を実行中の印刷装置に対して暗号化装置をオプションとして装着する場合を説明する。前述のようにパスワード機能よりも暗号化方法の方がセキュリティレベルが高いため、暗号化を実施する印刷装置にパスワード機能を実施しても制御方法の煩雑さが増すばかりで意味をなさない。従って、暗号化装置自体が、よりセキュリティレベルが低い、ＡＴＡ規格のセキュリティコマンド群について非対応であるのが一般的である。
【０００６】
上述したように、パスワード機能を実行中の印刷装置に対して、よりセキュリティレベルが高い暗号化装置を装着する際に干渉が発生する。よって、暗号化装置を印刷装置に装着するためには、一旦、印刷装置の電源をオフしなければならない。パスワード機能を有効にしたハードディスク装置は、電源オフからの起動時にパスワード設定コマンドを送信するか、パスワード解除コマンドを送信しなければアクセスすることができない。しかし前述のように、暗号化装置がセキュリティコマンド群に非対応であるため、装着された暗号化装置を介してハードディスク装置にパスワード関連のコマンドを送信して、パスワード機能を解除することができない。従って、パスワード機能を実行中の印刷装置に対して暗号化装置を装着する場合には、まず印刷装置のパスワード機能を無効にした後に暗号化装置を取り付けなければならない。
【０００７】
このパスワード機能の無効化処理は、暗号化装置の取付け時に印刷装置の操作パネルをユーザやサービスマン等が操作することで人的に処理される。この場合、人的ミスや取り付けた暗号化装置の不具合等によりセキュリティ・ホールが生じる可能性がある。例えば、複数の印刷装置に暗号化装置を取り付ける際に、複数の印刷装置のパスワード機能の無効化処理を一度にまとめて行い、その後、暗号化装置を取り付けると、一部の印刷装置への取り付け忘れが発生する可能性がある。また、取り付けた暗号化装置の不具合により、暗号化機能が有効状態にならないまま放置される危険性も考えられる。いずれの場合でも長期間に亘ってセキュリティが無効な状態にさらされる危険性がある。
【０００８】
上記に近い状況下で、セキュリティ・ホールを排除する方法として、内部端末と外部ネットワークとを接続するための情報機器のセキュリティ管理方法が提案されている（例えば、特許文献１参照）。特許文献１では、ネットワーク上の情報機器に対して設定を行う際に、予め予定された時刻に情報機器のセキュリティを解除する。そして、終了予定時刻又は設定終了後に、その情報機器に保持されたセキュリティ管理モジュールによって、再び元のセキュリティが有効な状態に復帰させることが記載されている。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００４−４０１５５号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら特許文献１の方法は、一旦、解除されたセキュリティ状態を、終了予定時刻又は設定終了後に元のセキュリティが有効な状態に復帰する技術であって、元のセキュリティ状態を完全に無効化する場合には適用できない。また、終了予定時刻又は取り付け設定終了以外にも、暗号化装置のようなオプション装置を取り付ける際には、電源のオフ／オン状態、及びその回数が重要となる場合があるが、そのような場合についても特許文献１では対応できないという問題があった。
【００１１】
本発明の目的は、上記従来技術の問題点を解決することにある。
【００１２】
本発明の特徴は、機器本来が有するセキュリティ機能に、よりセキュリティレベルの高いセキュリティ機能を追加する場合における、セキュリティ・ホールの発生を防止することにある。
【課題を解決するための手段】
【００１３】
上記目的を達成するために本発明の一態様に係る電子機器は以下のような構成を備える。即ち、
セキュリティ機能を有する電子機器であって、
前記セキュリティ機能の解除を指示する指示手段と、
前記セキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知する検知手段と、
前記指示手段の指示に応答して前記セキュリティ機能を解除してからの経過時間を計時する計時手段と、
前記検知手段が前記装置の装着を検知するまで、或いは前記装置の動作が有効であることを確認するまでに、前記計時手段により計時された前記経過時間が所定時間を超えたかどうかを判定する判定手段と、
前記判定手段により前記経過時間が前記所定時間を超えたと判定されると、前記セキュリティ機能を再度有効にする有効化処理手段と、を有することを特徴とする。
【発明の効果】
【００１４】
本発明によれば、機器本来が有するセキュリティ機能に、よりセキュリティレベルの高いセキュリティ機能を追加する場合におけるセキュリティ・ホールを排除できる。これにより、キュリティ機能を実行中の電子機器に対して、より高いセキュリティレベルのセキュリティ機能を有する装置を安全、且つ確実に装着できるという効果がある。
【図面の簡単な説明】
【００１５】
【図１】本実施形態に係る複合機（ＭＦＰ）の構成を主制御部（メインコントローラ）の構成を中心に示すブロック図。
【図２】本実施形態に係る暗号化装置の内部構成例を説明するブロック図。
【図３】メインコントローラとＨＤＤとの接続形態を示す図で、（Ａ）は暗号化装置が未接続の状態を示し、（Ｂ）は、暗号化装置が接続された状態を示す図。
【図４】本実施形態１に係るＭＦＰのＣＰＵの処理を説明するフローチャート。
【図５】本実施形態２に係るＭＦＰのＣＰＵの処理を説明するフローチャート。
【図６】ＲＯＭに予め設定された条件設定レジスタの例を示す図。
【発明を実施するための形態】
【００１６】
以下、添付図面を参照して本発明の実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る本発明を限定するものでなく、また本実施形態で説明されている特徴の組み合わせの全てが本発明の解決手段に必須のものとは限らない。尚、本実施形態では、本発明の電子機器を、複合機（ＭＦＰ）を例に説明するが、この電子機器は、このようなＭＦＰに限定されるものでなく、印刷装置、通信装置、情報処理装置等にも適用できる。
【００１７】
図１は、本実施形態に係る複合機（ＭＦＰ）の構成を主制御部（メインコントローラ）の構成を中心に示すブロック図である。
【００１８】
ＣＰＵ（中央処理演算器）１０１は、システム制御や演算処理を行う。メモリ制御部１０２は、各種メモリデバイスへの入出力制御やＤＭＡ（ダイレクトメモリアクセス）制御を行う。ＲＯＭ１０３は、フラッシュメモリに代表されるリード専用メモリで、起動プログラム、各種処理及び制御プログラムや制御パラメータを格納している。ＲＡＭ１０４は、ＤＤＲ（Double-Data-Rate）メモリに代表される書き換え専用メモリで、プログラムの作業領域や印刷データの格納領域等の用途に用いられる。
【００１９】
ＬＡＮ−ＩＦ部１０５は、このＭＦＰに接続されるローカルエリアネットワーク１０６とのインターフェイスを制御する。一般的にはＴＣＰ／ＩＰプロトコルを用い、ネットワークケーブルを介して外部ホストコンピュータ１０７などのネットワーク対応機器と接続され、ネットワーク経由で印刷データを受信して印刷を行う。リーダインタフェース部１０８は、スキャナ部１０９との通信制御を行い、スキャナ部１０９によってスキャンして得られた画像データを入力することでコピー機能を実現する。ＦＡＸ−ＩＦ部１１０は、ＦＡＸ装置１１１との通信制御を行い、電話回線に接続されたＦＡＸ装置との間でデータの送受信を行う。画像処理部１１２は、ＬＡＮ−ＩＦ部１０５、リーダインタフェース部１０８、ＦＡＸ−ＩＦ部１１０を介して取り込んだ画像データに対して、各種画像処理を行う。
【００２０】
パネルＩＦ部１１３は、操作パネル１１４との通信制御を行う。ＵＩ（ユーザインターフェイス）として、操作パネル１１４の液晶表示やボタン等を操作することにより、このＭＦＰの各種設定及び状態の確認ができる。
【００２１】
ＨＤＤ−ＩＦ部１１５は、ＡＴＡ規格に準拠したハードディスク装置（ＨＤＤ）（ストレージデバイス）１１７との通信制御を行う。ＨＤＤ１１７は不揮発性の大容量記憶装置で、ファイルの保存や印刷データの一時格納場所として使用される。尚、本実施形態では、ＨＤＤ１１７を用いて説明するが、ＡＴＡ規格に準拠したデバイス、例えばＳＳＤ等であっても構わない。
【００２２】
このシステム構成例では、ＨＤＤ−ＩＦ部１１５とＨＤＤ１１７の間にセキュリティオプションである暗号化装置１１６を装着した例を示す。この暗号化装置１１６は、ＨＤＤ１１７に書き込むデータに対して暗号化処理を行う。
【００２３】
ビデオＩＦ部１１８は、印刷部１１９とのコマンド／ステータスの通信制御や印刷データの転送を行う。印刷部１１９は、ここでは図示しないがプリンタエンジンと給紙系及び排紙系機能を具備し、主にビデオＩＦ部１１８からのコマンド情報に従い、印刷データを基に紙（シート）上に画像を印刷する。システムバス１２０は、制御バス、データバス及び任意ブロック間のローカルバスを便宜的にまとめて表現したものである。
【００２４】
図２は、本実施形態に係る暗号化装置１１６の内部構成例を説明するブロック図である。
【００２５】
ＣＰＵ（中央処理演算器）２０１は、システム制御、暗号化処理、演算処理及びＡＴＡ規格のコマンド処理などを行う。メモリ制御部２０２は、各種メモリデバイスへの入出力制御やＤＭＡ制御を行う。ＲＯＭ２０３には、起動プログラム、各種処理及び制御プログラムや制御パラメータが格納される。ＲＡＭ２０４は、プログラムの作業領域や一時的なデータの格納領域、レジスタ等の用途に用いられる。デバイスインタフェース部２０５は、デバイス側、即ち、メインコントローラのＨＤＤ−ＩＦ１１５をホスト側としてＡＴＡ規格に準拠したコマンドプロトコル処理を行う。ホストインタフェース部２０６は、ホスト側、即ち、ＨＤＤ１１７をデバイス側としてＡＴＡ規格に準拠したコマンドプロトコル処理を行う。暗号／復号化処理部２０７は、メインコントローラからＨＤＤ１１７への書き込みデータに対して暗号化処理を施し、逆にＨＤＤ１１７からの読み出しデータに対して復号化処理を行う。システムバス２０８は、制御バス、データバス及び任意ブロック間のローカルバスを便宜的にまとめて表現したものである。
【００２６】
図１及び図２で説明したシステムの構成例に基づいて、以下、本実施形態を詳しく説明する。
【００２７】
この実施形態では、パスワード機能（セキュリティ機能１）を実行中のＭＦＰに対して、上位レベルの暗号化機能（セキュリティ機能２）を有する暗号化装置１１６を取り付ける。この際、一旦、ＭＦＰで解除されたパスワード機能を、暗号化機能が有効状態になったことを判定した後に、ＭＦＰの機能から完全に無効化する。即ち、暗号化機能が有効である限り、パスワード機能を有効にできないようにする。また、予め設定された幾つかの条件の下で、暗号化機能が有効にならなかったと判定された場合には、再びパスワード機能を有効にすることにより、人的ミス等によるセキュリティ・ホールを排除することを目的としている。
【００２８】
図３（Ａ）は、セキュリティオプションである暗号化装置が未接続の状態を示す図である。この構成では、メインコントローラ３０１にＨＤＤ３０２が直接接続されている。ここで、ＡＴＡ規格に準拠したパスワード機能を有効にすると、ＨＤＤ３０２にアクセスする前に、パスワード設定コマンドをＨＤＤ３０２に対して送信しなければならない。また、一旦アクセスが許可された状態でもＨＤＤ３０２の電源をオフすると、次回の起動時に再びパスワード設定コマンドを送信する必要がある。
【００２９】
一方、図３（Ｂ）は、パスワード機能を有効状態にし、メインコントローラ３０１とＨＤＤ３０２の間にセキュリティオプションである暗号化装置３０３（図１の暗号化装置１１６に対応）を接続した状態を示す図である。当然ながら暗号化装置３０３を装着する際には、一旦、ＭＦＰの電源をオフしなければならない。先に説明したように、ＡＴＡ規格に準拠したパスワード機能と比較して、暗号化機能の方がよりセキュリティレベルが高い。従って、暗号化装置３０３を装着したＭＦＰに対してパスワード機能を有効にすること自体に意味がない。それ故に、暗号化装置３０３は、パスワード機能を有効にするＡＴＡ規格のセキュリティコマンド群に対して非対応であるのが一般的である。
【００３０】
ここで、図３（Ｂ）のように暗号化装置３０３を装着した後に、ＨＤＤ３０２に対してパスワード解除コマンドを送信して、パスワード機能を無効に設定しようとする。しかし、暗号化装置３０３自体がパスワード解除コマンドに非対応であるために、パスワード機能を無効にすることができないという干渉状態が発生する。
【００３１】
このような干渉状態を解決するためには、暗号化装置３０３を装着する前の図３（Ａ）の状態で、メインコントローラ３０１でパスワード機能を無効化しなければならない。図３（Ａ）におけるパスワード機能の無効化処理は、ここでは図示しないがメインコントローラ３０１のＵＩ（操作パネル等）により、特定の権限を持った管理者もしくはサービスマン等の人手によって、特殊なモードに移行して処理される。しかしながら、パスワード機能の無効化処理は、あくまでも人的に為されるため、ここにセキュリティ・ホールの生じる可能性がある。
【００３２】
次に、セキュリティ・ホールを排除するための本実施形態を説明する。
【００３３】
図４は、本実施形態１に係るＭＦＰのＣＰＵ１０１の処理を説明するフローチャートである。尚、この処理を実行する監視プログラムはＲＯＭ１０３に記憶されており、ＣＰＵ１０１の制御の下に実行される。尚、ここでは、ＭＦＰのパスワード機能が有効状態であることを前提としている。
【００３４】
この処理は、例えばＭＦＰの電源がオンになることにより開始され、まずＳ４０１で、ＲＯＭ１０３に記憶されている、パスワード機能が解除された時点から、その状態の継続が許される解除許容時間を読み出して取得する。
【００３５】
図６は、ＲＯＭ１０３に予め設定された条件設定レジスタの例を示す図である。
【００３６】
ここで設定される条件は、複数あっても構わない。図６では、解除許容時間６０１と、電源のオフ／オンの回数の上限値６０２が設定されている。本実施形態１では、解除許容時間（所定時間）６０１を設定条件とする場合について説明する。電源オフ／オンの回数の上限値６０２を含むケースは、後述の実施形態２で説明する。また、この解除許容時間６０１は、ＭＦＰの電源を一旦オフして暗号化装置１１６を装着し、再びＭＦＰの電源をオンするまでの、暗号化装置１１６の取り付け処理にかかる時間を十分に考慮した時間である。例えば、取り付け作業に平均１０分程度の時間を要する場合には、この解除許容時間の設定値としては、例えば１５〜２０分程度が妥当である。
【００３７】
次にＳ４０２で、オペレータの操作待ちに入る。ここではパスワード機能が有効なＭＦＰに対して、ある時点で暗号化装置１１６を装着するためのオペレータの操作が発生するのを待つ。ここでは図示しないがサービスマン等のオペレータは、まず操作パネル１１４のＵＩから、暗号化装置１１６の装着を指示するための特殊なモードに移行し、Ｓ４０３で、パスワードの解除処理を実施する。次にＳ４０４で、メインコントローラに搭載された監視プログラムによって、Ｓ４０３のパスワード解除処理に応答して、経過時間の計時が開始される。尚、この経過時間の計時は、タイマ等のハードウェアにより行ってもよく、或いはソフトウェアによる計時でも構わない。
【００３８】
また、時間計測の方法は、Ｓ４０３のパスワード解除処理からの絶対経過時間を計測しても良く、或いは電源オフ・オン毎に時間計測を初期化して、再計測を行う相対時間計測のどちらのであってもよく、特にどちらかに限定するものではない。本実施形態では、計時途中で電源がオフされても、その時点までの計時時間を保存し、次回の電源オン時（即ち、起動時）に、前回からの継続時間として時間を計時する絶対時間計測を前提として説明を行う。
【００３９】
次にＳ４０５で、一定時間間隔で、計測時間と解除許容時間６０１とを比較する。この比較の結果、計測時間が解除許容時間６０１を超過していなければＳ４０６に進み、取り付けてあることが想定される暗号化装置１１６の存在確認処理を行う。ここでは図示しないが、暗号化装置１１６が装着されたことを検知できる手段を有している。例えば、メインコントローラ側でポートに接続したプルアップされた信号ライン（通常、ハイレベル）が、暗号化装置１１６側でグランドに接続されていることにより、これらの結合によってその信号ラインがロウレベルに状態が変わることで存在を知る。また或いは、ＡＴＡ規格に準拠した存在確認用の拡張コマンドを定義して通信を行う事で暗号化装置１１６の存在を知る方法などによって実現できる。
【００４０】
Ｓ４０６で、暗号化装置１１６の存在が確認できないときはＳ４０５に戻り、Ｓ４０５とＳ４０６との間をループしている間に、それまでの計測時間の累積と解除許容時間との比較結果により時間が超過する。この場合はＳ４０８に進み、再びパスワード機能の有効化処理を実施する。
【００４１】
このようなＳ４０５〜Ｓ４０６のループに陥った原因としては、例えば、サービスマンがユーザ先で複数のＭＦＰに暗号化装置１１６の取り付け作業を行う場合が考えられる。このような場合、まず対象となるＭＦＰの全てのパスワード機能を無効化した後に、一部のＭＦＰに対して暗号化装置１１６を装着し忘れた場合が想定される。この場合、まだ暗号化装置１１６自体が装着されていないため、再び、タイムアウト（時間超過）が発生しＳ４０８で、パスワード機能が再度有効にされる。こうしてＳ４０９でパスワード機能が有効化された後はＳ４０３に進み、再びオペレータの操作待ちに入る。
【００４２】
一方、Ｓ４０６の暗号化装置１１６の存在確認処理で、その存在が確認された場合はＳ４０７に進み、暗号化装置１１６の暗号化機能（装置の動作）が有効になったかどうかを判定する。ここで、暗号化機能が有効状態であるかどうかは、例えば状態を取得する拡張コマンドを定義して通信を行う事で状態を取得することができる。この判定処理で、暗号化機能が有効になったと判定された場合は、ＭＦＰでパスワード機能が完全に無効化されたことになる。即ち、ここでは図示しないが、この時点でＭＦＰのＵＩ（操作パネル１１４）からパスワード機能を有効化しようとしても、有効化ボタンが操作不能状態（ハイライト状態）となっていることを意味する。よって再び、パスワード機能を有効化するためには、まず暗号化機能を無効化しなければならない。
【００４３】
他方、Ｓ４０７の判定処理において、暗号化機能が有効状態となっていないときはＳ４０５に進み、Ｓ４０５〜Ｓ４０７間をループしている間に、それまでの計測時間の累積と解除許容時間との比較結果で、時間が超過したと判定される。この場合はＳ４０８に進み、再びパスワード機能の有効化処理を実施する。
【００４４】
ここでＳ４０７を含むループに陥った原因として、取り付け完了した暗号化装置１１６の不具合による初期化失敗が想定される。この場合、先に説明したように暗号化装置１１６がＡＴＡ規格のパスワード設定コマンドに非対応であるため、Ｓ４０８のパスワード有効化処理の実行自体が不能となる。よって、この場合は、Ｓ４０９でパスワード機能が有効にならないためＳ４１０に進み、最終的に操作パネル１１４によりオペレータへの警告表示を出すと同時に、予め指定された管理者等に通知する。これにより、セキュリティ・ホールを回避できる。
【００４５】
以上説明したように本実施形態１によれば、パスワード機能を解除するＭＦＰの内部状態として、一時的にパスワード機能の解除処理を実行し（Ｓ４０３）、ＭＦＰとしてはあくまでも仮解除レベルにする。その後、暗号化装置１１６が装着され、その暗号化機能が有効であることを確認（Ｓ４０７）することで、パスワード機能が完全に解除されたレベルに移行する。従って、ＭＦＰの内部状態としては、より低いセキュリティレベルの仮解除レベル状態と完全解除レベル状態の２つを持つことによってセキュリティ・ホールの回避処理を実施している。
【００４６】
［実施形態２］
本発明の実施形態２として、先に説明した図６の条件設定レジスタにおいて、電源オフ／オン回数の上限値６０２を含む実施形態２を、図５を用いて説明する。メインコントローラのＲＯＭ１０３には、パスワード機能が解除された時点から、その状態の継続が許される解除許容時間６０１と電源オフ／オンの回数の上限値６０２が予め設定されている。以下、図５のＳ５０２〜Ｓ５０７及びＳ５１０〜Ｓ５１２は、図４のＳ４０２〜Ｓ４０７及びＳ４０８〜Ｓ４１０と同じであるため簡単に説明し、本実施形態２で追加されたＳ５０８、Ｓ５０９の処理を中心に説明する。
【００４７】
尚、ＭＦＰの電源オフ／オン回数を比較条件として追加する理由は、よりセキュリティの強化を図るために暗号化装置１１６の初期化失敗時のリブート処理に対応するためである。図４のフローで説明したように、暗号化装置１１６の存在確認処理において装置の不具合により初期化に失敗した場合には、同時にパスワード機能を有効化することも不可能となる。それ故に、最終的にＳ４１０で、ＵＩによるオペレータへの警告表示を出すと同時に管理者へも通知をすることになる。しかしながら、このときオペレータが離席している場合には、管理者が不具合に対処するまでの間、無防備状態が継続される。その間に悪意のある者からＨＤＤ１１７のデータを盗み取られる可能性がある。
【００４８】
セキュリティ・ホールの回避強化策として、自動的にリブートして暗号化装置１１６の再初期化を試みる方法が考えられる。この処理フローを図４に追加したのが、図５のＳ５０８及びＳ５０９である。
【００４９】
図５は、本実施形態２に係るＭＦＰのＣＰＵ１０１の処理を説明するフローチャートである。尚、この処理を実行する監視プログラムはＲＯＭ１０３に記憶されており、ＣＰＵ１０１の制御の下に実行される。尚、ここでは、ＭＦＰのパスワード機能が有効状態であることを前提としている。
【００５０】
まずＳ５０１で、ＲＯＭ１０３に記憶されている、パスワード機能が解除された時点から、その状態の継続が許される解除許容時間６０１と、電源オフ／オンの回数の上限値６０２とを読み出して取得する。
【００５１】
次にＳ５０２で、パスワード機能が有効なＭＦＰに対して、ある時点で暗号化装置１１６を装着するためのオペレータの操作が発生するのを待つ。そしてその操作により、Ｓ５０３で、パスワード解除処理を実施する。次にＳ５０４で、Ｓ５０３のパスワード解除処理からの時間の経過の計測が開始される。
【００５２】
こうしてＳ５０６で、解除許容時間６０１内に暗号化装置１１６が取り付けられたが、暗号化装置１１６が初期化処理に失敗したときは、Ｓ５０７で、暗号化機能が有効にならい。この場合はＳ５０８に進み、電源オフ／オンの回数の上限値６０２と、前回までのリブート回数Ｎ、即ち、電源オフ／オンの回数Ｎとの比較処理を行う。ここで、回数Ｎが上限値６０２を超過していなければＳ５０９に進み、回数Ｎに１を加算してＳ５０５に進み、リブート処理を試みる。尚、この回数Ｎをカウントするカウンタは、ＲＡＭ１０４に設けられている。一方、Ｓ５０８で回数Ｎが上限値（所定回数）６０２を超過しているとＳ５１０に進み、解除許容時間の超過とは無関係に、Ｓ５１０で、パスワード機能の有効化処理を実施する。そしてＳ５１０，Ｓ５１１の処理を経て、最終的に操作パネル１１４によるオペレータへの警告表示を出すと同時に管理者へも通知を行う。
【００５３】
以上説明したように本実施形態２によれば、パスワード機能を解除するＭＦＰの内部状態として、一時的にパスワード機能の解除処理を実行し（Ｓ５０３）、ＭＦＰとしてはあくまでも仮解除レベルにする。その後、暗号化装置１１６が装着され、その暗号化機能が有効であることを確認（Ｓ５０７）することで、パスワード機能が完全に解除されたレベルに移行する。従って、ＭＦＰの内部状態としては、より低いセキュリティレベルの仮解除レベル状態と完全解除レベル状態の２つを持つことによってセキュリティ・ホールの回避処理を実施している。
【００５４】
また実施形態２では、暗号化装置１１６が装着され他にも拘らず、その暗号化機能が有効にならないとき、自動的に暗号化装置１１６の再初期化を試みるリブート処理を行い、その回数が所定値を超えると自動的に、より低いセキュリティレベルに復帰する。これにより、オペレータが離席していたりして、管理者が不具合に対処するまでの間にセキュリティが解除された状態が継続されるのを防止でき、セキュリティ・ホールを回避できるという効果がある。
【００５５】
（その他の実施例）
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（又はＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。
【特許請求の範囲】
【請求項１】
セキュリティ機能を有する電子機器であって、
前記セキュリティ機能の解除を指示する指示手段と、
前記セキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知する検知手段と、
前記指示手段の指示に応答して前記セキュリティ機能を解除してからの経過時間を計時する計時手段と、
前記検知手段が前記装置の装着を検知するまで、或いは前記装置の動作が有効であることを確認するまでに、前記計時手段により計時された前記経過時間が所定時間を超えたかどうかを判定する判定手段と、
前記判定手段により前記経過時間が前記所定時間を超えたと判定されると、前記セキュリティ機能を再度有効にする有効化処理手段と、
を有することを特徴とする電子機器。
【請求項２】
セキュリティ機能を有する電子機器であって、
前記セキュリティ機能の解除を指示する指示手段と、
前記セキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知する検知手段と、
前記指示手段の指示に応答して前記セキュリティ機能を解除してからの経過時間を計時する計時手段と、
前記電子機器の電源がオフ／オンされた回数を取得する取得手段と、
前記検知手段が前記装置の装着を検知するまで、或いは前記装置の動作が有効であることを確認するまでに、前記計時手段により計時された前記経過時間が所定時間を超えたかどうか、又は前記回数が所定回数を超えたかどうかを判定する判定手段と、
前記判定手段により前記経過時間が前記所定時間を超えた、或いは、前記回数が所定回数を超えたと判定されると、前記セキュリティ機能を有効にする有効化処理手段と、
を有することを特徴とする電子機器。
【請求項３】
前記指示手段による指示は、前記装置の装着が指示されることによりなされることを特徴とする請求項１又は２に記載の電子機器。
【請求項４】
前記有効化処理手段により前記セキュリティ機能を有効にできない場合、ユーザ或いは管理者に通知する通知手段を更に有することを特徴とする請求項１乃至３のいずれか１項に記載の電子機器。
【請求項５】
前記セキュリティ機能はパスワードによるセキュリティ機能であり、前記セキュリティレベルよりも高いセキュリティ機能は暗号化によるセキュリティ機能であることを特徴とする請求項１乃至４のいずれか１項に記載の電子機器。
【請求項６】
セキュリティ機能を有する電子機器を制御する制御方法であって、
指示手段が、前記セキュリティ機能の解除を指示する指示工程と、
検知手段が、前記セキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知する検知工程と、
計時手段が、前記指示工程の指示に応答して前記セキュリティ機能を解除してからの経過時間を計時する計時工程と、
判定手段が、前記検知工程で前記装置の装着を検知するまで、或いは前記装置の動作が有効であることを確認するまでに、前記計時工程で計時された前記経過時間が所定時間を超えたかどうかを判定する判定工程と、
有効化処理手段が、前記判定工程で前記経過時間が前記所定時間を超えたと判定されると、前記セキュリティ機能を再度有効にする有効化処理工程と、
を有することを特徴とする電子機器の制御方法。
【請求項１】
セキュリティ機能を有する電子機器であって、
前記セキュリティ機能の解除を指示する指示手段と、
前記セキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知する検知手段と、
前記指示手段の指示に応答して前記セキュリティ機能を解除してからの経過時間を計時する計時手段と、
前記検知手段が前記装置の装着を検知するまで、或いは前記装置の動作が有効であることを確認するまでに、前記計時手段により計時された前記経過時間が所定時間を超えたかどうかを判定する判定手段と、
前記判定手段により前記経過時間が前記所定時間を超えたと判定されると、前記セキュリティ機能を再度有効にする有効化処理手段と、
を有することを特徴とする電子機器。
【請求項２】
セキュリティ機能を有する電子機器であって、
前記セキュリティ機能の解除を指示する指示手段と、
前記セキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知する検知手段と、
前記指示手段の指示に応答して前記セキュリティ機能を解除してからの経過時間を計時する計時手段と、
前記電子機器の電源がオフ／オンされた回数を取得する取得手段と、
前記検知手段が前記装置の装着を検知するまで、或いは前記装置の動作が有効であることを確認するまでに、前記計時手段により計時された前記経過時間が所定時間を超えたかどうか、又は前記回数が所定回数を超えたかどうかを判定する判定手段と、
前記判定手段により前記経過時間が前記所定時間を超えた、或いは、前記回数が所定回数を超えたと判定されると、前記セキュリティ機能を有効にする有効化処理手段と、
を有することを特徴とする電子機器。
【請求項３】
前記指示手段による指示は、前記装置の装着が指示されることによりなされることを特徴とする請求項１又は２に記載の電子機器。
【請求項４】
前記有効化処理手段により前記セキュリティ機能を有効にできない場合、ユーザ或いは管理者に通知する通知手段を更に有することを特徴とする請求項１乃至３のいずれか１項に記載の電子機器。
【請求項５】
前記セキュリティ機能はパスワードによるセキュリティ機能であり、前記セキュリティレベルよりも高いセキュリティ機能は暗号化によるセキュリティ機能であることを特徴とする請求項１乃至４のいずれか１項に記載の電子機器。
【請求項６】
セキュリティ機能を有する電子機器を制御する制御方法であって、
指示手段が、前記セキュリティ機能の解除を指示する指示工程と、
検知手段が、前記セキュリティレベルよりも高いセキュリティ機能を有する装置の装着を検知する検知工程と、
計時手段が、前記指示工程の指示に応答して前記セキュリティ機能を解除してからの経過時間を計時する計時工程と、
判定手段が、前記検知工程で前記装置の装着を検知するまで、或いは前記装置の動作が有効であることを確認するまでに、前記計時工程で計時された前記経過時間が所定時間を超えたかどうかを判定する判定工程と、
有効化処理手段が、前記判定工程で前記経過時間が前記所定時間を超えたと判定されると、前記セキュリティ機能を再度有効にする有効化処理工程と、
を有することを特徴とする電子機器の制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１２−２５７０６１（Ｐ２０１２−２５７０６１Ａ）
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願番号】特願２０１１−１２８６４３（Ｐ２０１１−１２８６４３）
【出願日】平成２３年６月８日（２０１１．６．８）
【出願人】（０００００１００７）キヤノン株式会社 (59,756)
【Ｆターム（参考）】
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願日】平成２３年６月８日（２０１１．６．８）
【出願人】（０００００１００７）キヤノン株式会社 (59,756)
【Ｆターム（参考）】
[ Back to top ]