JP5020566B2 - 情報処理装置およびファイル操作の制限方法 - Google Patents

Description

本発明は、画像形成装置に代表される情報処理装置おいて電子文書に対する所定の操作を制限する技術に関する。

近年、電子化された文書（以下、電子文書と称す。）が頻繁に利用されている。電子文書は、電子メールに添付することで第三者に簡単に送信できるため、非常に便利である。その一方で、電子文書の頒布の容易さが、情報の漏洩といった新たな問題を引き起こしている。

現在、ＰＤＦ（ポータブル・ドキュメント・フォーマット）ファイルなどの一部のファイルでは、表示、編集および印刷などの操作を制限するための技術が導入されている。このようなファイルでは、正当なユーザだけが印刷などを実行できる。

ところで、画像形成装置では、ホストコンピュータからネットワークを介して送られた印刷ジョブデータがビットマップ展開され、印刷用の画像データが生成される。この画像データは、画像形成装置のハードディスクドライブに一旦記憶されるが、印刷終了後も、引き続き記憶されていることもある。これは、ハードディスクドライブから任意の原稿の画像データを読み出して、再度、印刷するためである。また、当該画像データを他の装置に送信することもできる。このように、印刷頻度の高い電子文書などをハードディスクドライブに確保された文書ボックスに格納する機能を、文書ボックス機能と呼ぶ。文書ボックスは、ファイルシステムにおけるフォルダやディレクトリのようなものである。

文書ボックスには、機密文書の画像データが格納されることもあるので、文書ボックスは所定のユーザのみがアクセスできることが望ましい。特許文献１によれば、文書ボックスにパスワードを設定することで、パスワードを知っているユーザのみが文書ボックス内の画像データにアクセスできるようにしている。
特開平１１−２２７２６７号公報

上述したように、例えばホストコンピュータ上では操作を制限されていた電子文書であっても、印刷操作が実行されると、画像形成装置には、電子文書の画像データが保存されることになる。このようにして生成された印刷用の画像データについては、もとの電子文書のように所定の操作を制限することができない。また、例えば、紙原稿をスキャンして、操作制限が可能な電子文書と、そのような操作制限が適用されない画像形成装置固有の画像フォーマットの両方のデータを生成して保存する場合がある。この場合においても画像形成装置固有の画像フォーマットについては電子文書と同様の操作制限を行なうことができなかった。

仮に、特許文献１に記載の文書ボックスに画像データを保存すれば、パスワードにより画像データへのアクセスを制限できる。しかしながら、当該画像データがさらに電子メールに添付されて画像形成装置から他の装置に送信されてしまうと、もはや、当該画像データを保護することができなくなってしまう。すなわち、特許文献１に記載の技術では、文書ボックスから取り出された画像データを好適に保護することができない。

そこで、本発明は、このような課題および他の課題の少なくとも１つを解決することを目的とする。なお、他の課題については明細書の全体を通して理解できよう。

本発明は、例えば、
情報処理装置と画像形成装置とを含む情報処理システムであって、
前記情報処理装置および前記画像形成装置のそれぞれは、ファイルを特定する識別情報と当該ファイルに対する操作権限を示す情報を対応づけて記憶するサーバと通信可能であり、
前記情報処理装置は、
前記情報処理装置に記憶されている第１のファイルを特定する識別情報を前記サーバへ送信する第１識別情報送信手段と、
前記第１識別情報送信手段が送信した識別情報に対する応答として前記サーバから送信される、当該第１のファイルに対する操作権限を示す情報が印刷権限を有することを示す場合に、前記第１のファイルに基づいて印刷ジョブデータを生成するジョブ生成手段と、
前記第１のファイルの識別情報と前記ジョブ生成手段が生成した前記印刷ジョブデータとを前記画像形成装置へ送信するジョブ送信手段と、
を含み、
前記画像形成装置は、
前記情報処理装置が送信した前記第１のファイルの識別情報と前記印刷ジョブデータとを受信するジョブ受信手段と、
前記印刷ジョブデータを画像データに変換する変換手段と、
前記画像データを前記識別情報とともに記憶する記憶手段と、
前記記憶手段に記憶された画像データに対する印刷要求を受け付けた場合に、前記画像データとともに前記記憶手段に記憶される前記識別情報を前記サーバへ送信する第２識別情報送信手段と、
前記第２識別情報送信手段が送信した識別情報に対する応答として前記サーバから送信される操作権限を示す情報が印刷権限を有することを示す場合に、前記画像データに基づく画像形成を実行するよう制御する制御手段と
を含むことを特徴とする情報処理システムを提供する。

以上説明したように、本発明は、第１のファイルに対する所定の操作が制限されている場合、第１のファイルに関連する第２のファイルについても所定の操作を制限する。よって、第２のファイルについても、第１のファイルと同等の操作制限を実現できるようになる。

以下に本発明の上位概念、中位概念および下位概念の理解に役立つ一実施形態を示す。なお、以下の実施形態に含まれる概念について、そのすべてが特許請求の範囲に記載されているとは限らない。ただし、これは特許発明の技術的範囲から意識的に除外したのではなく、特許発明と均等の関係にあるため特許請求の範囲には記載していない場合があることを理解していただきたい。

図１は、実施形態における情報処理システムの概略構成を示す図である。ディレクトリサーバ１０１は、ファイルに対する操作権限の情報を管理するコンピュータである。操作権限とは、例えば、電子文書を表示する権限、編集する権限および印刷する権限などの総称である。操作権限は、アクセス権と呼ばれることもある。ディレクトリサーバ１０１は、操作権限管理サーバ、アクセス権管理サーバ、またはポリシーサーバなどと呼ばれることもあろう。なお、ディレクトリサーバ１０１としては、例えば、アドビ社のライブサイクル・ポリシーサーバなどを使用してもよい。

ユーザ認証サーバ１０２は、ホストコンピュータを利用するユーザや画像形成装置を利用するユーザを認証するコンピュータである。ホストコンピュータ１０３は、パーソナルコンピュータ（ＰＣ）などの情報処理装置である。画像形成装置１０４は、プリンタ、複写機、複合機などである。なお、画像形成装置も情報処理装置の一種であることはいうまでもない。これらの装置はネットワークを介して接続されている。

図１では、ホストコンピュータと画像形成装置とが１つずつ示されているが、これらは複数あってもよい。また、システム構成によっては、ディレクトリサーバにユーザ認証機能を持たせてもよい。

また、ホストコンピュータ１０３は、文書作成アプリケーションソフトウエアを用いて、電子文書を作成したり、編集したり、電子文書に対する操作権限を設定したりすることができる。電子文書は、文書ファイルや画像ファイルなどである。電子文書としては、例えば、ＰＤＦファイルなどが有名である。ホストコンピュータ１０３は、作成した電子文書から印刷ジョブデータを生成して、画像形成装置１０４へ送信することもある。文書作成アプリケーションソフトウエアとしては、例えば、アドビ社のアクロバット（Ａｃｒｏｂａｔ）などがある。

画像形成装置１０４は、原稿のコピー機能、プリント機能、ファクシミリ機能、スキャン機能、ボックス機能等を具備している。コピー機能とは、原稿を読み取って、原稿の複写物を生成する機能をいう。プリント機能とは、ホストコンピュータ１０３から受信した印刷ジョブデータに基づいて文書を印刷する機能をいう。ファクシミリ機能とは、原稿を読み取って、原稿の画像データを相手方のファクシミリ装置に送信する機能をいう。スキャン機能とは、原稿を読み取って、画像データを生成する機能をいう。ボックス機能とは、画像データなどの電子文書を格納するボックスを作成し、電子文書をボックスへ格納したり、ボックスに格納された電子文書を印刷、送信したり、所定のユーザだけに電子文書へのアクセスを制限する機能をいう。ボックスは、例えば、フォルダやディレクトリなどとして実現できる。ボックス機能は、文書ボックス機能と呼ばれることもある。なお、各機能の名称は便宜上の名称にすぎない。

画像形成装置１０４は、ホストコンピュータ１０３から出力された印刷ジョブデータを自装置が具備する記憶ユニットを介して、自装置が具備するプリンタエンジンで印刷処理を行なうことができる。印刷ジョブデータは、一般に、印刷に必要なデータを意味する。印刷ジョブデータとしては、例えば、ＰＤＬ（ページ記述原語）により記述されたページデータなどがある。

ユーザ認証サーバ１０２は、ユーザ情報（ＩＤおよびパスワードなど）を保持するデータベースを有している。そして、ユーザ認証サーバ１０２は、ホストコンピュータ１０３もしくは画像形成装置１０４においてログインを試みるユーザの正当性を確認する。例えば、ホストコンピュータ１０３においてユーザのログイン要求があれば、ホストコンピュータ１０３はユーザ認証サーバ１０２にユーザ情報を送信し、ユーザの認証を要求する。ユーザ認証サーバ１０２において、当該ユーザ情報の正当性が確認されれば、ユーザはホストコンピュータ１０３にログオンが可能となる。なお、ユーザは、機器を操作する操作者のことである。

図２は、実施形態に係る操作権限データベースの一例を示す図である。操作権限データベース（ポリシーデータベースと呼ばれることもある。）は、ディレクトリサーバ１０１が保持している。当該データベースには、例えば、文書ＩＤと、ユーザ名と、操作権限の情報とが対応付けて記憶されている。ここで、文書ＩＤは、電子文書を識別するための識別情報である。ユーザ名は、ユーザのＩＤまたは名称である。操作権限の情報は、電子文書に対する操作についての権限の有無を表している。操作としては、例えば、閲覧（表示）、変更（編集）、削除、コピーおよび印刷などがある。なお、文書ＩＤは、ライセンス情報を識別するためのライセンスＩＤであってもよい。ライセンス情報は、電子文書に対する操作権限を特定するために使用される情報である。なお、電子文書自体には、操作権限の情報が保持されてはない。その代わり、電子文書にはライセンス情報が保持される。ライセンス情報は、電子文書の内部に保持されてもよいし、外部に保持されてもよい。

図３は、実施形態に係るライセンス情報の一例を示す図である。ライセンス情報には、上述の文書ＩＤ、電子文書に関するファイル名、タイトル、作成者名、作成日時および最終更新日時などが含まれている。文書ＩＤは、ライセンス情報と操作権限データベースとで共有されているため、文書ＩＤに基づいて操作権限の情報を取得できる。

図４は、実施形態に係る情報処理装置の例示的なブロック図である。とりわけ、図４は、ディレクトリサーバ１０１、ユーザ認証サーバ１０２およびホストコンピュータ１０３のハードウエア構成を例示している。一般には、これらのコンピュータのハードウエア構成は必ずしも一致しないが、説明の便宜上、共通のハードウエア構成とする。

ＣＰＵ４０１は、コンピュータプログラムに基づいて、コンピュータの各ユニットを統括的に制御する制御ユニットである。ＲＯＭ４０２は、ファームウエアなどの制御プログラムを記憶する不揮発性の記憶ユニットである。ＲＡＭ４０３は、ワークエリアとして機能する揮発性の記憶ユニットである。ハードディスクドライブ（ＨＤＤ）４０４は、大容量の記憶ユニットである。表示装置４０５は、ユーザに対して各種情報を表示するための表示ユニットである。操作部４０６は、ポインティングデバイスやキーボードなどの入力ユニットである。通信インタフェース４０７は、ネットワーク通信カードなどの通信ユニットである。

図５は、実施形態に係る情報処理装置（画像形成装置）の例示的なブロック図である。図５において、ＣＰＵ５０１は、画像形成装置１０４の各ユニットを統括的に制御したり、各種の計算を実行したりする制御ユニットである。ＲＯＭ５０２は、制御プログラムを格納する記憶ユニットである。ＲＡＭ５０３は、ＣＰＵ５０１のワークエリアやバッファとして使われる記憶ユニットである。スキャナ部５０４は、原稿の画像の読み取る装置である。画像メモリ部５０５は、原稿の画像データを蓄積するための記憶装置である。プリンタ部５０６は、画像メモリ部５０５に記憶されている画像データを記録媒体に印刷するプリンタエンジンである。

外部インタフェース５０７は、ネットワークを介して外部の機器と接続するための通信インタフェースである。例えば、外部ＩＦ５０７は、ホストコンピュータ１０３から出力された印刷ジョブデータを受信する。ＣＰＵ５０１は、印刷ジョブデータをビットマップ画像に展開し、画像データを生成する。この画像データは、ＪＰＥＧやＪＢＩＧなどの画像データである。なお、画像データは、ファイルとして生成されてもよい。生成された画像データは画像メモリ部５０５に記憶される。操作パネル５０８は、ユーザへの情報を出力したり、ユーザからの指示を入力したりする入出力装置である。例えば、操作パネル５０８は、タッチパネルセンサ、液晶表示装置や各種キーなどを備えている。

図６は、実施形態に係る画像メモリ部の例示的なブロック図である。画像メモリ部５０５は、ページメモリ６０１、メモリコントローラ６０２、圧縮部６０３、ハードディスクドライブ（ＨＤＤ）６０４で構成されている。メモリコントローラ６０２は、外部ＩＦ５０７またはスキャナ部５０４から送られてきた画像データをページメモリ６０１への書き込む。また、メモリコントローラ６０２は、ページメモリ６０１から画像データを読み出してプリンタ部５０６に出力する。また、メモリコントローラ６０２は、ハードディスクドライブ６０４に確保されたボックスに画像データを書き込んだり、ボックスから画像データを読み出したりする。なお、これらのメモリコントローラ６０２による制御は、ＣＰＵ５０１からの命令に応じて実行される。

図７は、実施形態に係る画像形成装置の操作パネルの一例を示す図である。操作パネル５０８は、コピー機能キー７０１、ボックス機能キー７０２、送信／ＦＡＸ機能キー７０３、拡張機能キー７０４、タッチパネルつき液晶表示部７０５、テンキー７０６、スタートキー７０７、ストップキー７０８などを有する。コピー機能キー７０１が押し下げられると、ＣＰＵ５０１は、コピー処理を実行する。ボックス機能キー７０２が押し下されると、ＣＰＵ５０１は、ボックス機能を呼び出す。なお、上述のボックスには、ジョブごとに電子文書（例：文書ファイルや画像ファイルなど）が保存される。ボックスに保存されている電子文書をジョブ文書と呼ぶ。また、ユーザは、ボックス機能を用いることで、任意のタイミングでジョブ文書を読み出して印刷したり、ジョブ文書を削除したりすることができる。

送信／ＦＡＸ機能キー７０３は、原稿やジョブ文書などのデータをホストコンピュータ１０３や他の装置に送信する際に使用される。拡張機能キー７０４は、印刷ジョブデータやジョブ文書に対して操作を行なう際に使用される。テンキー７０６は、数値の入力を行なう際に使用される。スタートキー７０７は、コピーの開始、スキャンの開始を指示するときに使用される。ストップキー７０８は、操作の停止を指示するために使用される。

図８は、実施形態に係るボックスを説明するための図である。ＨＤＤ６０４は、テンポラリ領域８０１とボックス領域８０２とを含んでいる。テンポラリ領域８０１は、例えば、画像データの出力順序を変えるために使用されたり、１度のスキャンで複数枚のプリントを実行する際に使用されたりもする。また、テンポラリ領域８０１は、画像データや電子文書をボックス領域８０２などに保存する前に一時的に使用されたり、印刷ジョブデータを展開して得られた画像データやスキャナからの画像データを一時的に保存したりするために使用される。なお、各処理が終了した後は、テンポラリ領域８０１に保存されていた画像データは自動的に消去される。

ボックス領域８０２は、さらに小さな複数の記憶領域８０３ａ〜８０３ｄに分割されている。これらの小さな記憶領域をボックスと呼ぶ。ボックス８０３ａ〜８０３ｄは、個人や部署ごとに割り当てられている。操作者は、操作パネル５０８を通じて画像データが保存されるボックスを予め指定する。ＣＰＵ５０１は、印刷ジョブのデータやスキャンジョブのデータを、操作者により指定されたボックスに格納する。

図９は、実施形態に係るボックス機能のユーザインタフェースの一例を示す図である。この例は、ボックス機能キー７０２が押下された後に液晶表示部７０５に表示される基本画面である。この画面は、ユーザに利用するボックスを選択させるための画面である。表示エリア９０２には、ボックス番号を表示したボタン９０１ａ〜９０１ｄ、ボックス名称、および使用容量が表示される。この使用容量は、ボックス領域の全記憶容量に対するそのボックスの使用割合をパーセンテージで表したものである。また、スクロールボタン９０３は、複数のボックスを表示するために、画面を上下にスクロールするためのボタンである。戻るキー９０４は、初期画面に戻るときに押し下される。

図１０は、実施形態に係るボックス機能のユーザインタフェースの一例を示す図である。図９に示した画面で、ひとつのボックスが操作者によって選択されると、ＣＰＵ５０１は、タッチパネルセンサにより選択されたボックスを検知する。さらに、ＣＰＵ５０１は、図１０に示すような画面を液晶表示部７０５に表示する。

１００１は、ボックス内に記憶されているジョブ文書のリストである。各ジョブ文書の保存日時、ジョブ文書の名称などがリスト表示される。何れかのジョブ文書名の表示エリアが押し下げされると、ＣＰＵ５０１は、当該ジョブ文書の行を反転表示させる。例えば、図１０では、ジョブ文書２が選択されている。

スキャンキー１００２が押し下げられると、ＣＰＵ５０１は、原稿のスキャンを実行し、得られた画像データをジョブ文書として、選択されたボックスに追加する。プリントキー１００３が押し下げられると、ＣＰＵ５０１は、反転表示されているジョブ文書の印刷を実行する。設定変更キー１００４が押し下げられると、ＣＰＵ５０１は、選択されたジョブ文書に関する印刷設定を変更する。例えば、印刷する部数やプリント機能に関する追加や変更などである。

消去キー１００５が押し下げられると、ＣＰＵ５０１は、選択されたジョブ文書を消去する。上下スクロールキー１００６は、画面をスクロールさせるために利用される。例えば、複数のジョブ文書がボックスに格納されているため、液晶表示部７０５に一度に表示できないときに利用される。戻るキー１００７は、図９の画面に戻るときに押し下される。

図１１は、実施形態に係る宛先表の一例を示す図である。宛先表は、送信ボタン１０１０が押し下げられると液晶表示部７０５に表示される。１１０１は、宛先の情報を示している。宛先の情報１１０１には、宛先ごとに、送信方法の種類、宛先の名称、宛先情報などが含まれている。宛先情報は、電子メールアドレス、ファクシミリ電話番号、ネットワークアドレスなどである。

宛先の名称が表示された行が押し下されると、ＣＰＵ５０１は、当該宛先の行を反転表示させる。例えば、図１１ではユーザ１が選択されていることを示している。上下スクロールキー１１０２は、一度に全ての宛先を表示できないときに、画面をスクロールさせるために利用される。１１０３は戻るキーである。決定ボタン１１０４が押し下げられると、ＣＰＵ５０１は、選択されている宛先にジョブ文書を送信する。

図１２Ａは、実施形態に係る文書管理テーブルの一例を示す図である。この管理テーブルは、ボックス内に記憶されている画像データ（文書データ）とライセンス情報との対応関係を管理するために使用される。管理テーブルは、例えば、ハードディスクドライブ６０４に記憶される。

文書管理テーブル１２０１は、ボックス番号１２０２、文書名１２０３、日付１２０４、時間１２０５、文書のファイル名１２０６、ライセンス情報のファイル名１２０７を含む。ボックス番号１２０２は、文書ボックスを一意に表す識別子である。文書名１２０３、日付１２０４、時間１２０５は、それぞれ図１０で表示されている文書名、日付、時間を表している。なお、画像データとライセンス情報は、ボックス領域に保存されているものとする。

ライセンス情報１２０７が空欄の文書に関しては、画像データとライセンス情報との対応が取れていないことを表している。すなわち、ある文書に含まれる画像データについてライセンス情報が存在すれば、当該画像データは、操作権限が設定されたセキュアなデータである。一方、ある文書に含まれる画像データについてライセンス情報が存在しなければ、当該画像データは、誰でも自由に操作できるデータとなる。

図１２Ｂは、実施形態に係る文書管理テーブルの他の一例を示す図である。文書管理テーブル１２１０は、画像形成装置１０４のデバイス固有フォーマットの画像データに関する管理情報のテーブルである。デバイス固有のフォーマットについては後述する。文書管理テーブル１２１０の各項目のうち、ボックス番号１２１２、文書名１２１３、日付１２１４、時間１２１５、文書のファイル名１２１６は、文書管理テーブル１２０１における同一名称の項目と同一である。すなわち、これらは、ボックス番号１２０２、文書名１２０３、日付１２０４、時間１２０５、文書のファイル名１２０６に対応している。パスワード１２１７はボックス内の文書に設定されるパスワードを示す。このパスワードは、ボックス内の文書が暗号化された場合の暗号化及び復号化のための鍵として用いられる。デバイス固有の文書のフォーマットを変換することによって、デバイス固有でない、汎用的なフォーマットが生成されボックスに記憶されている場合がある。このような場合に、関連する汎用フォーマット１２１８には、その汎用フォーマットの文書を特定する情報（ここではファイル名）が設定される。なお、ボックス内に汎用フォーマットの文書が先に存在し、後から当該文書のデバイス固有フォーマット文書が生成される場合もありうる。この場合にも、同様に文書管理テーブル１２１０にその情報が設定される。属性情報１２１９には、デバイス固有フォーマットの画像データに対する操作権限を示す情報として、許可されている操作の種類が記述されている。例えば、文書名６に対しては当該文書に対する操作として文書の参照と文書の印刷が許可されている。属性情報１２１９には、より細かい操作権限情報として、例えば、ユーザごとの操作権限を記述するようにしてもよい。

＜紙原稿をスキャンして暗号化された文書を生成し蓄積する方法＞
図１３は、実施形態に係るファイル操作制限方法の一例を示すフローチャートである。この例では、スキャナを用いて入力した原稿の画像ファイル（画像データ）から汎用の文書ファイル（文書データ）（例：ＰＤＦファイルなど）が生成される。すなわち、文書ファイルは画像ファイルから派生したものである。文書ファイルは暗号化によりファイル操作が制限される。さらに、文書ファイルに関連する画像ファイルについてもファイル操作が制限される。

ＰＤＦファイル（第１のファイル）を生成するのに先立って、ＣＰＵ５０１は、ステップＳ１３０１において、原稿画像から第２のファイルを生成する。なお、第２のファイルは、例えば、デバイス固有のフォーマット（例：ＪＰＥＧやＪＢＩＧやＴＩＦＦなど）の画像データである。具体的に、ＣＰＵ５０１は、操作パネル５０８からのスキャン指示に応じて、スキャナ部５０４を駆動して、紙原稿の画像を読み取る。読み取られた画像は、一旦、デバイス固有のファーマットに従った画像データまたは画像ファイルに変換され、画像メモリ５０５に記憶される。なお、デバイス固有のフォーマットとは、例えば、画像形成装置内での処理に適したデータ形式（例：ＪＰＥＧ、ＪＢＩＧやＴＩＦＦなど、あるいは独自フォーマットでもよい）のことである。原稿の画像ファイルから汎用の文書ファイルとデバイス固有のフォーマットの画像ファイルとを生成することによって、画像ファイルを外部へ送信する場合は、送信宛先でも扱える形式である汎用の文書ファイルを用いてもよい。また、画像ファイルを印刷する場合は、画像形成装置内での処理に適したデバイス固有フォーマットの文書ファイルを用いてもよい。このようにすれば、用途に応じて、最適なフォーマットを使い分けることが可能になろう。

ステップＳ１３０２において、ＣＰＵ５０１は、文書ファイルである第１のファイルに対して所定の操作の制限が要求されているかどうかを判別する。例えば、ＣＰＵ５０１は、当該第１のファイルに対して暗号化の要求があるか否かを判定してもよい。暗号化をすれば、ファイルに対する操作を制限できるからである。なお、暗号化の要求については、例えば、予め操作パネル５０８から入力されているものとする。暗号化の要求が無ければ、ステップＳ１３１０に進み、ＣＰＵ５０１は、操作の制限がない文書ファイルを生成する。

一方、操作の制限の要求があった場合は、ステップＳ１３０３に進み、ＣＰＵ５０１は、操作パネル５０８を通じて、パスワードの入力を操作者に促す。パスワードは、例えば、暗号化の鍵として利用される。さらに、ＣＰＵ５０１は、操作パネル５０８を通じて入力されたパスワードをＲＡＭ５０３に書き込む。

ステップＳ１３０４において、ＣＰＵ５０１は、デバイス固有フォーマットである画像データを変換して汎用フォーマットである文書ファイルを生成する。さらに、ＣＰＵ５０１は、入力されたパスワードを用いて、文書ファイルを暗号化する。これにより、この文書ファイルについては、パスワードを知っているユーザのみが操作できることになる。

ステップＳ１３０５において、ＣＰＵ５０１は、第２のファイルについても所定の操作を制限する。例えば、固有フォーマットの画像ファイルである第２のファイルに対しても、上記パスワードを用いて暗号化を実行する。これにより、暗号化された画像ファイルが生成される。このように、画像ファイルは、所定の操作が制限されている文書ファイルに関連するファイルであるため、画像ファイルについても所定の操作が制限される。

なお、文書ファイルを暗号化するための鍵と、画像ファイルを暗号化するための鍵とは、必ずしも共通である必要はない。また、双方のファイルに対して、共通の暗号化アルゴリズムを適用する必要もない。要するに、関連する一方のファイルについて操作が制限される場合に、関連する他方のファイルについても同様に操作が制限されればよいのである。
例えば、暗号化されたＰＤＦファイルを生成するための鍵は、ユーザに入力させたパスワードを用いる。さらに、このＰＤＦファイルに対して、アドビ社のアクロバットの仕様に準拠した暗号化が適用される。固有フォーマットの画像ファイルに対して暗号化を行なう際は、画像形成装置に予め登録されている少なくとも一つ以上の鍵と、汎用的な暗号化アルゴリズム（例：３ＤＥＳなど）とが使用されてもよい。これらは、単なる一例に過ぎない。

ステップＳ１３０６において、ＣＰＵ５０１は、生成した文書ファイルと、関連する画像ファイルとを関連付けてＨＤＤ６０４に蓄積する。これら関連付けられた複数のファイルを見た目上１つの文書としてグループ化してもよい。

なお、これらのファイルは、上述のボックスに格納されてもよいし、ボックス以外の記憶領域に格納されてもよい。ボックスに格納される場合、ＣＰＵ５０１は、これらのフィルについて文書管理テーブル１２１０を更新する。なお、これらのファイルは暗号化によって所定の操作が制限されているため、ＣＰＵ５０１は、上述のライセンス情報を作成して、作成したライセンス情報もボックスに格納してもよい。

文書管理テーブル１２１０において、文書名９の文書が図１３のフローチャートの結果生成された文書に対する管理情報に相当する。文書名９のデバイス固有フォーマットは文書名９.jpgであり、汎用フォーマットは文書名９.imgであるそして両者はパスワード「JJKKL」を鍵として暗号化されていることがわかる。

以上説明したように、本実施形態では、スキャンされた原稿画像から関連する複数のファイルが生成される場合に、一方のファイルについて操作が制限されるときは、他方のファイルについても同様に操作が制限されるようにしている。そのため、関連する一連のファイルを好適に漏洩等から保護することができる。

図１３の例では、操作パネル５０８から暗号化のパスワードが入力されていた。しかしながら、操作パネル５０８の一部としてＩＣカードのリーダ装置を追加してもよい。この場合、ＣＰＵ５０１は、リーダ装置に挿入されたＩＣカードから所定の情報を読み出して、鍵を生成してもよい。

＜画像形成装置に蓄積済みの文書に対して操作の制限を行なう方法＞
図１４は、実施形態に係るファイル操作制限方法の他の例を示すフローチャートである。こでは、予め画像形成装置のＨＤＤ６０４などに蓄積されている文書について、操作を制限する例について説明する。

ＣＰＵ５０１は、操作パネル５０８から文書一覧の表示が指示されると、ＨＤＤ６０４に記憶されている文書管理情報に基づいて、文書の一覧を作成し、例えば図１０のような一覧を操作パネル５０８に表示する。文書管理情報によって、ＣＰＵ５０１は、１文書として管理されている１以上のファイルを認識できる。例えば、文書のＩＤ、文書のタイトル、文書を構成する各ファイルのファイル名、および操作制限（例：暗号化）の有無などの情報が文書管理情報によって管理される。なお、文書管理情報は、上述の文書管理テーブル１２０１、１２１０であってもよいし、別のものであってもよい。なお、図１２に示した文書管理テーブル１２０１、１２１０は、一文書を管理できるように構成されていない。よって、文書ＩＤの格納欄と、文書タイトルの格納欄が、文書管理テーブル１２０１に格納されることになろう。

ＣＰＵ５０１は、操作パネル５０８に表示されている一覧から、暗号化の対象となる文書が選択され、暗号化の指示が入力されたことを検出すると、本フローチャートを実行する。

ステップＳ１４０１において、ＣＰＵ５０１は、パスワードの入力を促すためのメッセージを操作パネル５０８に表示する。さらに、ＣＰＵ５０１は、操作パネル５０８を通じて入力されたパスワードをＲＡＭ５０３に書き込む。

ステップＳ１４０２において、ＣＰＵ５０１は、操作パネル５０８において選択された文書に関する固有フォーマットのファイルをＨＤＤ６０４から読み出し、暗号化を実行する。暗号化の際には、入力されたパスワードが使用される。

ステップＳ１４０３において、ＣＰＵ５０１は、文書管理情報に基づいて、関連する他のフォーマットのファイルが存在するかどうかを判定する。関連する全てのファイルについて暗号化を実行すると、ステップＳ１４０５に進み、ＣＰＵ５０１は、暗号化されたファイルについての文書管理情報を更新する。すなわち、ＣＰＵ５０１は、当該ファイルについての暗号化の有無を表す情報を、「暗号化あり」に変更する。

一方、他のファイルが残存していれば、ステップＳ１４０４に進み、ＣＰＵ５０１は、他のファイルについても同様に暗号化を実行する。この暗号化については、暗号化対象の文書に関連する全てのファイルについて暗号化が終了するまで繰り返される。なお、暗号化処理が終了したオリジナルのファイルに関しては、ＨＤＤ６０４から削除されるものとする。その後、ステップＳ１４０５において、ＣＰＵ５０１は、暗号化されたファイルについての文書管理情報を更新する。

以上説明したように本実施形態によれば、予め画像形成装置内に蓄積されている、複数の関連ファイルについても操作を制限することが可能となる。すなわち、一つのファイルについて所定の操作が制限されるときは、他の関連するファイルについても同様に所定の操作が制限されることになる。

＜画像形成装置に蓄積済みの文書に対してポリシーの設定を行なう方法１＞
上述の実施形態では、暗号化によりファイルへの操作を好適に制限するものであった。しかしながら、暗号化だけでは、ファイルに対する複数の異なる操作（例：表示、編集、印刷など）を個別に制限することが難しい。そこで、以下では、ファイルに対する操作権限を示すポリシーを設定することで、当該ファイルへの操作を制限する例を説明する。

図１５は、実施形態に係るファイル操作制限方法の他の例を示すフローチャートである。ＣＰＵ５０１は、操作パネル５０８に表示されている文書の一覧から何れかの文書が選択され（図１０）、ポリシーの設定が指示されたことを検出すると、以下の処理を実行する。ポリシーの設定の指示は、例えば、設定変更キー１００４の押し下げによって実現される。

ステップＳ１５０１において、ＣＰＵ５０１は、ディレクトリサーバ１０１へのログイン情報の入力処理を実行する。例えば、ＣＰＵ５０１は、ログイン情報の入力を操作者に促すための画面を操作パネル５０８に表示する。ディレクトリサーバ１０１は、いわゆるポリシーサーバとして機能する。ポリシーサーバは、文書ＩＤ、ユーザＩＤとの組み合わせごとのポリシー（ファイル操作権限）を管理するサーバである。

ステップＳ１５０２において、ＣＰＵ５０１は、入力されたログイン情報が正当なものか否かを判定する。例えば、ＣＰＵ５０１は、ログイン情報とともに認証要求をディレクトリサーバ１０１に送信する。ディレクトリサーバ１０１から正当を表す応答が返信されれば、ＣＰＵ５０１は、ログイン成功と判定し、ステップＳ１５０３に進む。一方、ＣＰＵ５０１は、ログイン情報が正当でないことを表す情報をディレクトリサーバ１０１から受信すると、ポリシーの設定処理を終了する。なお、ディレクトリサーバ１０１に代えて、上述のユーザ認証サーバ１０２がログイン処理を実行してもよい。以下の認証処理に関しても、ユーザ認証サーバ１０２が実行してもよい。

ステップＳ１５０３において、ＣＰＵ５０１は、「ポリシーの選択処理」、または「ポリシー付きの汎用フォーマット文書をインポートする処理」のうち、どちらの処理を実行するかを、ユーザからの指示に基づいて選択する。ポリシーの選択処理を選択した場合にはステップＳ１５０４へ進む。

ステップＳ１５０４において、ＣＰＵ５０１は、複数のポリシーのうち適用したいポリシーを選択するための画面を操作パネル５０８に表示する。これらのポリシーは、何れもディレクトリサーバ１０１により管理されているものとする。また、選択画面については、ディレクトリサーバ１０１から受信した複数のポリシーに関する情報に基づいて、ＣＰＵ５０１が作成してもよい。

ステップＳ１５０５において、ＣＰＵ５０１は、選択されたポリシーが付与された汎用の文書ファイル（例えばＰＤＦファイルなど）を生成する。例えば、ＣＰＵ５０１は、選択されたポリシーの識別情報などをディレクトリサーバ１０１に送信する。ディレクトリサーバ１０１は、受信した文書ＩＤ、ユーザＩＤ、および選択されたポリシーの識別情報などを対応付けて記憶する。そして、ＣＰＵ５０１はディレクトリサーバ１０１から受信したライセンス情報を汎用の文書ファイルに付加する。これによりポリシーの付与が行われる。これにより、ポリシーが付与された文書ファイルをホストコンピュータ１０３などが操作しようとすると、ホストコンピュータ１０３がディレクトリサーバ１０１から文書ＩＤとユーザのＩＤとの組み合わせに対応する操作権限の情報を取得する。これにより、文書ファイルへの操作を好適に制限できる。

一方、「ポリシー付きの汎用フォーマット文書をインポートする処理」が選択された場合（Ｓ１５０３）、ステップＳ１５０９で、ＣＰＵ５０１は、画像形成装置１０４の外部からポリシー付きの汎用フォーマットの文書ファイルを受信してボックスに格納する。そして、ステップＳ１５１０で、ＣＰＵ５０１は、インポートした汎用フォーマットの文書ファイルからデバイス固有フォーマットの画像データを生成する。そしてステップＳ１５０６へ進む。

ステップＳ１５０６において、ＣＰＵ５０１は、文書管理情報に基づいて、選択された文書を構成する他のフォーマットのファイルが存在するか否かを判定する。他のファイルが存在しない場合、ステップＳ１５０８に進み、ＣＰＵ５０１は、文書管理情報を更新して処理を終了する。他のフォーマットのファイルとは、例えば、ＰＤＦファイル以外の画像ファイル、デバイス固有のフォーマットの画像データなどである。なお、本実施形態において、ＰＤＦファイルに対してはポリシーを付与することが可能であるが、他のフォーマットのファイルに対してはポリシーの設定はできないものとする。

一方、他のファイルが存在した場合は、ステップＳ１５０７に進み、他のフォーマットのファイルに対して暗号化処理を実行する。なお、暗号化の鍵は、ディレクトリサーバ１０１へログインする際に入力されたログイン情報を利用できる。あるいは、上述したように、ＣＰＵ５０１が、操作パネル５０８を通じて、パスワード等の入力を操作者に要求してもよい。あるいは、予めＨＤＤ６０４等に記憶されている一以上の鍵を、ＣＰＵ５０１が利用してもよい。さらに、上述したようにＩＣカードを利用してもよい。その後、ステップＳ１５０７において、ＣＰＵ５０１は、文書管理テーブルの更新を行なう。

以上説明したように、本実施形態によれば、１文書として管理されている全てのファイルに対してポリシーの付与するか、あるいは暗号化を施すことで、好適にファイルへの操作を制限できるようになる。

＜デバイスに蓄積済みの文書に対してポリシー設定を行なう方法２＞
上述の実施形態では、ＰＤＦファイルなどのポリシーの設定が可能な文書ファイルについてはポリシーを付与し、他の関連ファイルについては暗号化により操作を制限していた。本実施形態では、他の関連ファイルについて保護属性を付与することで、操作を好適に制限する。なお、既に説明した処理については、同一の参照符号を付すことで、説明を簡潔にする。

図１６は、実施形態に係るファイル操作制限方法の他の例を示すフローチャートである。図１５と比較すると、図１６では、ステップＳ１５０７が、ステップＳ１６０７に置き換えられていることを理解できよう。ステップＳ１６０７において、ＣＰＵ５０１は、他のフォーマットのファイルに関する文書管理テーブル１２１０中の属性情報を更新する。例えば、ＣＰＵ５０１は、選択されたポリシーの内容（例：表示の可否、編集の可否、印刷の可否など）を解析し、同内容の属性情報を生成し、ファイルに付与する。さらに、ステップＳ１５０８に進み、ＣＰＵ５０１は、文書ＩＤと、属性情報とを対応付けるよう、文書管理テーブルを更新する。

更新された文書管理テーブルの例を図１２Ｂに基づいて説明する。文書管理テーブル１２１０において、汎用フォーマットの「文書名８.img」に参照、印刷、編集の権限が与えられたポリシーが付与されたとする。この場合、関連するデバイス固有フォーマットである「文書名８.jpg」に対して同じ権限を示す情報が属性情報１２１９に設定される。

以上説明したように、文書ファイルについて所定の操作が制限される場合、ＣＰＵ５０１は、制限の内容を取得して、取得した内容に応じた属性を他の関連ファイルに付与する。例えば、ポリシー付きのＰＤＦファイルが生成される場合、関連する他のファイルについては、ポリシーの内容を反映した属性情報が生成され、他のファイルに付与される。これによって、１文書として管理される複数のファイルについて、操作を好適に制限できるようになる。

なお、画像形成装置１０４は、ファイルの識別情報である文書ＩＤをディレクトリサーバ１０１に送信することで、当該ファイルについて付与されているポリシーの内容を取得できる。この場合、ポリシーデータベースにおけるポリシーの内容を変更すれば、ファイル自体を変更せずに、操作の制限内容を変更できる利点がある。画像形成装置１０４のボックスに格納された汎用フォーマット文書ファイルの操作権限がディレクトリサーバ１０１のポリシーデータベース上で変更された場合、その変更に応じて文書管理テーブル１２１０の属性情報１２１９を更新すればよい。

＜ポリシーが付与されている文書を出力する方法＞
図１７は、実施形態に係るポリシーが付与されている文書を出力する方法の一例を示すシーケンス図である。図中のデバイスは、クライアントとなるデバイスであり、ホストコンピュータ１０３や画像形成装置１０４などである。ここでは、画像形成装置１０４をデバイスとして説明する。

ステップＳ１７０１において、ＣＰＵ５０１は、操作パネル５０８を通じて操作者による画像形成装置１０４へのログインを実行する。このログイン処理は、ＩＣカードを用いた認証処理であってもよい。ステップＳ１７０１において、ＣＰＵ５０１は、操作パネル５０８を通じて、ＨＤＤ６０４に記憶されている文書へのログイン要求を検出する。

ステップＳ１７０３において、ＣＰＵ５０１は、ディレクトリサーバ１０１に対して操作者のログイン情報を送信する。このログイン情報、操作パネル５０８を通じて入力されたものである。なお、シングルサインオンサービスの有効な環境であれば、画像形成装置１０４へのログイン情報をそのままディレクトリサーバ１０１へのログインに適用してもよい。なお、シングルサインオンサービスとは、あるネットワークにおいて認証処理に成功すれば、他のネットワークにおいて認証処理を省略するサービスをいう。

ステップＳ１７０４において、ディレクトリサーバ１０１のＣＰＵ４０１は、受信したログイン情報が正当なものであるかどうかをチェックする。ステップＳ１７０５において、ＣＰＵ４０１は、ログイン処理の結果を画像形成装置１０４に送信する。ログインに失敗した場合、ステップＳ１７３０に進み、画像形成装置１０４のＣＰＵ５０１は、操作パネル５０８にエラーメッセージを表示し、処理を終了する。

一方、ログインに成功すると、ステップＳ１７０６において、ディレクトリサーバ１０１のＣＰＵ４０１は、ログインした操作者が、文書の出力権限を持っているかどうかを検証する。例えば、ＣＰＵ４０１は、画像形成装置１０４から受信した文書ＩＤと、ユーザＩＤとに基づいて、ポリシーデータベースを検索する。ポリシーデータベース（図２）には、文書ＩＤと、ユーザＩＤ（ユーザ名）と、操作権限の情報とが対応づけて記憶されている。ステップＳ１７０７において、ＣＰＵ４０１は、データベースから抽出された操作権限の情報を検証結果通知として、画像形成装置１０４に送信する。

画像形成装置１０４のＣＰＵ５０１は、受信した検証結果通知が「操作不可」を表すものであれば、操作パネル５０８にエラーメッセージを表示して処理を終了する（Ｓ１７３０）。

一方、検証結果がＯＫの場合（操作権限ありの場合）、ステップＳ１７０８において、ディレクトリサーバ１０１のＣＰＵ４０１は、復号化のための鍵を画像形成装置に送信する。復号化の鍵も、予め画像形成装置１０４からディレクトリサーバ１０１に送信され、ポリシーデータベースに登録されているものとする。

ステップＳ１７０９において、画像形成装置１０４のＣＰＵ５０１は、受信した鍵を用いて、ＰＤＦファイルを復号する。文書の送信が指示されている場合、ステップＳ１７１０において、ＣＰＵ５０１は、復号化されたＰＤＦファイルを電子メールに添付して、他のデバイスに送信する。なお、他のファクシミリ装置に文書が送信されてもよい。但し、文書の秘匿性を保ったまま送信をしたい場合、ＣＰＵ５０１は、暗号化されたままのポリシー付きＰＤＦファイルを送信する。

一方、文書の印刷が指示されているときは、ステップＳ１７１１において、ＣＰＵ５０１は、固有フォーマットの画像ファイルを復号化する。なお、ディレクトリサーバ１０１から、「印刷権限あり」の情報をＣＰＵ５０１は受信しているものとする。ステップＳ１７１２において、ＣＰＵ５０１は、復号化した画像ファイルをプリンタ部５０６に送出して、印刷を実行する。なお、この場合、ＰＤＦファイルに対しては復号化の処理を行なう必要はない。

このとき、固有フォーマットのファイルを復号化するための鍵は、暗号化処理に依存する。例えば、ディレクトリサーバ１０１から受信した鍵を用いる場合がある。また、画像形成装置１０４に予め登録されている鍵を用いる場合もある。さらに、ＰＤＦファイル以外を復号化するために、別の鍵を用いる場合もある。さらに、ユーザが設定したパスワードを用いる場合もある。

以上説明したように、本実施形態によれば、一の文書として管理されている複数のファイルについて、それぞれ出力の目的に応じて復号処理と出力処理とが実行される。なお、電子メールなど他の装置にファイルが送信される場合は、暗号化したまま送信することで、ファイルの機密性を保持できる。また、印刷する場合は、ＰＤＦファイルを復号せずに、印刷用の画像ファイルだけを復号することで、効率よく印刷を実行できる。

＜文書の内容をプレビューする方法＞
上述の実施形態では、出力処理の一例として、送信処理と、印刷処理について説明した。以下では、プレビュー処理について説明する。まず、ディレクトリサーバ１０１と連携してプレビューする場合は、図１７の手順をほとんど採用できる。すなわち、ＣＰＵ５０１は、図１７で説明した手順で固有フォーマットのファイルを復号化し、さらにプレビュー用の画像を生成して、操作パネル５０８に表示する。なお、プレビュー処理を行なう場合には、汎用フォーマット文書ファイルを用いずに、関連するデバイス固有フォーマットの画像データからプレビュー用の画像を生成する。

図１８は、実施形態に係る出力処理の一例を示すフローチャートである。この図を用いて、ディレクトリサーバ１０１と連携せずに、暗号化されている文書をプレビューする処理を説明する。

ステップＳ１８０１において、ＣＰＵ５０１は、操作パネル５０８を通じて、プレビューを要求された文書について、操作権限の制限された暗号化文書であるか否かを判定する。例えば、ＣＰＵ５０１は、文書のＩＤに基づいて文書管理テーブルを参照し、操作制限の有無を判定する。暗号化による操作権限の制限が付与されていない通常文書であれば、ステップＳ１８０３に進み、ＣＰＵ５０１は、固有フォーマットファイルからプレビュー用の画像を生成して、操作パネル５０８に表示する。

一方、操作制限のある文書であれば、ステップＳ１８０２に進み、ＣＰＵ５０１は、操作者が閲覧権限を有しているか否かを判定する。例えば、ＣＰＵ５０１は、操作パネルを通じて、認証情報（暗号化時に設定したパスワードなど）の入力を操作者に促す。そして、ＣＰＵ５０１は、入力された認証情報が正当なものであるかどうかを検証する。

正当な認証情報でなかった場合、ＣＰＵ５０１は、操作パネル５０８にエラーメッセージを表示し、プレビュー表示を行なうことなく、処理を終了する。一方、正当な認証情報である場合、ステップＳ１８０３に進む。ＣＰＵ５０１は、入力された認証情報を基に、デバイス固有フォーマットのファイルを復号し、さらに、プレビュー用の画像を生する。さらに、ＣＰＵ５０１は、プレビュー用の画像を操作パネル５０８に表示する。

以上説明したように、本実施形態によれば、ディレクトリサーバ１０１と連携することで好適にプレビュー処理を実行できる。さらに、ディレクトリサーバ１０１と連携しない場合も、画像形成装置１０４が保持している文書管理情報に応じて好適にプレビュー処理を実行できる。

＜セキュア文書が含まれる場合のサムネイルによる文書一覧表示の禁止方法＞
従来のように、ＰＤＦファイルについてはポリシーを付与することで、当該ファイルの機密性を保持できる。しかしながら、画像形成装置内の固有フォーマットのファイルについて機密性を保持することは難しい。例えば、文書の内容について、固有フォーマットのファイルからサムネイル画像を表示する場合、文書が閲覧されてしまうおそれがある。そこで、サムネイル表示などでも、好適に文書の機密性を保持する方法を説明する。

図１９は、実施形態に係るサムネイル表示の一例を示すフローチャートである。本実施形態では、蓄積されている複数の文書の何れかがセキュア文書であれば、一覧を禁止することで、文書の機密性を保持するものである。セキュア文書とは、本実施形態において操作権限の制限された文書を意味する。操作パネル５０８において、一覧表示が指示されると、本フローチャートに係る処理が開始される。

ステップＳ１９０１において、ＣＰＵ５０１は、文書管理情報に基づいて、セキュア文書がＨＤＤ６０４に蓄積されている否かを判定する。ここで、セキュア文書が一つも含まれていない場合、ステップＳ１９０２に進み、ＣＰＵ５０１は、蓄積されている文書についてのサムネイル画像を作成し、文書の一覧表示を実行する。一方、セキュア文書が１つでも含まれていた場合、ステップＳ１９０３に進み、ＣＰＵ５０１は、蓄積されている文書の文書名からなる一覧を作成し、操作パネル５０８に表示する。

本実施形態によれば、いつでもセキュアな文書が含まれている場合は、強制的に文書名による一覧（リスト）を表示することで、文書の機密性を保持することができる。

＜セキュア文書が含まれる場合のサムネイルによる文書一覧の表示方法＞
図１９で説明した方法では、１つでもセキュアな文書が蓄積されていると、全ての文書についてサムネイル表示が制限されてしまう。すなわち、操作の制限されていない一般文書までもサムネイル表示が禁止されてしまう。これでは、融通を欠いてしまうおそれもある。そこで、表示が禁止されている文書についてのみサムネイル表示を禁止する例を説明する。

図２０は、実施形態に係るサムネイル表示の他の例を示すフローチャートである。なお、既に説明した個所には同一の参照符号を付すことで、説明を簡略化する。

セキュア文書が含まれていない場合、ステップＳ２０２０に進み、ＣＰＵ５０１は、サムネイル画像を生成する。ステップＳ２００６において、ＣＰＵ５０１は、サムネイル画像を用いて操作パネル５０８に一覧表示を実行する。

一方、セキュア文書が含まれている場合、ステップＳ２００２に進む。ステップＳ２００２において、ＣＰＵ５０１は、処理対象の文書に対して、操作者が閲覧権限を有しているか否かを判定する。閲覧権限の有無は、例えば、文書管理情報に基づいて判定される。例えば、ＣＰＵ５０１は、認証情報の入力画面を操作パネル５０８に表示する。さらに、ＣＰＵ５０１は、入力された認証情報と、文書管理情報に登録されている認証情報とが一致するか否かを判定する。あるいは、入力された認証情報を復号化の鍵として使用することで、閲覧権限の有無を判定してもよい。もちろん、上述したように、ディレクトリサーバ１０１に問い合わせてもよい。あるいは、シングルサインオンサービスが適用されてもよい。

閲覧権限があれば、ステップＳ２００４に進み、ＣＰＵ５０１は、処理対象文書についてのサムネイル画像を生成する。一方、閲覧権限がない場合、ステップＳ２００３に進み、ＣＰＵ５０１は、そのセキュア文書を一覧表示の対象から除外する。

ステップＳ２００５において、ＣＰＵ５０１は、蓄積されている全ての文書について、サムネイル処理（Ｓ２００２〜Ｓ２００４）が終了したか否かを判定する。終了していなければ、次の文書について処理すべく、ステップＳ２００２に戻る。ステップＳ２００６において、ＣＰＵ５０１は、操作者が閲覧権限を有している文書についてのみ一覧表示を実行する。

以上説明したように、本実施形態によれば、操作者が閲覧権限を有している文書については一覧表示を行なうため、操作者は、閲覧権限を有している文書を視覚的に確認できる。また、閲覧権限のない文書については一覧表示から除外されるため、操作者は、そのような文書の存在すら知ることはできない。そのため、文書の機密性を保持しやすいといえる。

上述の実施形態では、サムネイル画像による一覧表示について説明した。しかしながら本発明はこれに限定されることはない。文書名により一覧表示など、他の形式の一覧表示が採用されてもよい。

なお、予めサムネイル用の画像ファイルを生成しておき、１文書として管理してもよい。この場合、サムネイル画像をその都度生成する処理を省略できて便利であろう。

＜ホストコンピュータからのボックスへのファイルの格納＞
以下では、ホストコンピュータ１０３が、画像形成装置１０４のボックスへ電子文書を格納する処理について説明する。

図２１は、実施形態に係るボックス格納処理の例示的なフローチャートである。図において、枠Ａはホストコンピュータ１０３の処理を示している。また、枠Ｂは、画像形成装置１０４の処理を示している。

ステップＳ２１０１において、ホストコンピュータ１０３のＣＰＵ４０１は、操作部４０６を通じて、電子文書の利用要求を受け付ける。ステップＳ２１０２において、ＣＰＵ４０１は、ディレクトリサーバ１０１へのログイン画面を表示装置４０５に表示する。ＣＰＵ４０１は、操作部４０６を通じて、ユーザ名とパスワードの入力を受け付ける。

ステップＳ２１０３において、ＣＰＵ４０１は、入力された認証情報をユーザ認証サーバ１０２に送信することで、ユーザの正当性の確認を問い合わせる。ステップＳ２１０４において、ＣＰＵ４０１は、ユーザのログインが成功したか否かを判定する。例えば、ユーザ認証サーバ１０２によって、正当性が確認されれば、ログインが成功したと判定される。ログインに成功しなければ、ステップＳ２１０５に進み、ＣＰＵ４０１は、ログインできない旨のエラーメッセージを表示装置４０５に表示する。

一方、ログインに成功すると、ステップＳ２１０６に進み、ＣＰＵ４０１は、文書ファイルに付随するライセンス情報（図３）と、ユーザ名の情報とをディレクトリサーバ１０１に送信する。ディレクトリサーバ１０１のＣＰＵ４０１は、ライセンス情報とユーザ名の情報とを受信すると、ポリシーデータベース（図２）からファイルへの操作権限の情報（制限情報）を読み出し、ホストコンピュータ１０３に送信する。ステップＳ２１０７において、ホストコンピュータ１０３のＣＰＵ４０１は、操作権限の情報を受信する。

ステップＳ２１０８において、ホストコンピュータ１０３のＣＰＵ４０１は、画像形成装置１０４のボックスに対する電子文書の格納要求を操作部４０６から受け付ける。ステップＳ２１０９において、ＣＰＵ４０１は、取得した操作権限の情報から、印刷権限の有無を判定する。

ボックスへの格納処理は、通常の印刷処理と類似した処理である。すなわち、何れの処理でも、印刷ジョブデータ（例：ＰＤＬデータなど）がホストコンピュータ１０３から画像形成装置１０４へと送信されるからである。但し、操作者が、対象となっている電子文書について印刷権限を有していなければ、印刷を実行できないため、ボックスへの格納も実行されない。

ホストコンピュータ１０３の操作者が印刷権限を有していなければ、ステップＳ２１１０に進み、ＣＰＵ４０１は、その旨をエラーメッセージとして表示装置４０５に表示する。一方、印刷権限を有していれば、ステップＳ２１１１に進み、ＣＰＵ４０１は、電子文書から印刷ジョブのデータを生成する。ステップＳ２１１２に進み、ＣＰＵ４０１は、印刷ジョブのデータとともに、電子文書に付随していたライセンス情報を画像形成装置１０４に送信する。

ステップＳ２１２０において、画像形成装置１０４のＣＰＵは、受信した印刷ジョブがボックスへの格納ジョブであることを認識すると、印刷ジョブデータを画像データに変換する。例えば、ＣＰＵ４０１は、ＰＤＬデータをビットマップ展開することで画像データのファイル（画像ファイル）を生成する。この画像ファイルは、上述の固有フォーマットが適用されるものとする。さらに、ＣＰＵ５０１は、画像ファイルとライセンス情報との対応を文書管理テーブル１２０１に記録する。また。ＣＰＵ５０１は、画像ファイルとライセンス情報とを文書ボックスに格納する。なお、ステップＳ２１２０において、固有フォーマットのファイルとともにＰＤＦなどの汎用の文書ファイルを生成しても良い。

ステップＳ２１２１において、ＣＰＵ４０１は、画像ファイルに受信したライセンス情報を添付してボックスに格納する。なお、複数のボックスが存在する場合は、ホストコンピュータ１０３から何れかのボックスを指定できるようにしてもよい。なお、デバイス固有フォーマットの画像データとライセンス情報とを関連付けて管理したものが図１２の文書管理テーブル１２０１になる。

以上説明したように、本実施形態によれば、操作の制限されているセキュアな電子文書をホストコンピュータ１０３から画像形成装置１０４のボックスに、好適に格納することができる。もちろん、セキュアな電子文書から派生したジョブ文書（印刷用の画像ファイル）についても、オリジナルの電子文書と同等の操作制限を施すことができる利点もある。

＜ボックスに格納された画像ファイルの印刷処理＞
図２２は、実施形態に係るボックスに保存された画像ファイルを印刷する方法を示す例示的なフローチャートである。なお、この例では、操作者が画像形成装置１０４の操作パネルを通じて印刷を指示するものとする。

ステップＳ２２０１において、ＣＰＵ５０１は、操作パネル５０８を通じて、画像形成装置１０４の利用要求を検出する。ステップＳ２２０２２において、ＣＰＵ５０１は、操作パネル５０８と通じて、ユーザ名とパスワードの入力を受け付ける。ステップＳ２２０３において、ＣＰＵ５０１は、入力されたユーザ名とパスワードとをユーザ認証サーバ１０２に送信する。

ステップＳ２２０３において、ＣＰＵ５０１は、入力された認証情報をユーザ認証サーバ１０２に送信することで、操作者の正当性を問い合わせる。ステップＳ２２０４において、ＣＰＵ４０１は、操作者のログインが成功したか否かを判定する。例えば、ユーザ認証サーバ１０２によって、正当性が確認されれば、ログインが成功したと判定される。ログインに成功しなければ、ステップＳ２２０５に進み、ＣＰＵ５０１は、ログインできない旨のエラーメッセージを操作パネル５０８に表示する。

一方、ログインに成功すると、ステップＳ２２０６に進み、ＣＰＵ５０１は、操作パネル５０８に初期画面を表示する。操作パネル５０８のボックス機能キー７０２が押し下げられると、ＣＰＵ５０１は、ボックス選択画面（図９）を操作パネル５０８に表示する。さらに、何れかのボックスが選択されると、ＣＰＵ５０１は、文書の選択画面（図１０）を操作パネル５０８に表示する。ＣＰＵ５０１は、印刷対象の電子文書（ジョブ文書）の選択を受け付ける。

ステップＳ２２０７において、ＣＰＵ５０１は、ジョブ文書とともに保持されたライセンス情報をディレクトリサーバ１０１に送信する。この際には、操作者のユーザ名なども送信される。ステップＳ２２０８において、ＣＰＵ５０１は、ディレクトリサーバ１０１から操作権限の情報を取得する。

ステップＳ２２０９において、ＣＰＵ５０１は、操作パネル５０８に表示されたプリントキー１００３の押下を検出すると、ステップＳ２２１０に進む。ステップＳ２２１０において、ＣＰＵ５０１は、操作権限の情報のうち、印刷権限の有無を判定する。ログインしている操作者が印刷権限を持たない場合、ステップＳ２２１１に進む。ＣＰＵ５０１は、印刷が許可されていない旨をエラーメッセージとして操作パネル５０８に表示する。一方、印刷が許可されている場合、ステップＳ２２１２に進み、ＣＰＵ５０１は、ジョブ文書をボックスから読み出し、プリンタ部５０６に送出する。これにより所望のジョブ文書が印刷される。

本実施形態によれば、画像形成装置１０４において印刷時に生成されたジョブ文書について、正当権限を有する操作者のみが再利用できる利点がある。もちろん、オリジナルの電子文書について、正当な権限を有しない操作者は、ジョブ文書についても同様に操作することができない。

＜印刷に関するバリエーション＞
上述の実施形態によれば、ボックスに格納されたジョブ文書について、印刷の許可／禁止を好適に制御する例を説明した。しかしながら、スタンプ印刷の実行権限や、ヘッダ・フッタへのユーザ名等の付加といった実行権限を操作権限として追加してもよい。

図２３は、実施形態に係る操作権限データベースの他の例を示す図である。図２のデータベースと比較すると、印刷設定に関する操作権限の情報が追加されていることを理解できよう。

図２４は、実施形態に係るボックスに保存された画像ファイルを印刷する方法を示す他の例示的なフローチャートである。既に説明した個所には、同一の参照符号を付すことで説明を簡潔にする。

なお、ステップＳ２２０８では、印刷設定に関する情報もディレクトリサーバ１０１から取得される。印刷権限がある場合、ステップＳ２２１０からステップＳ２４１２に進む。ＣＰＵ５０１は、ボックスに格納されている印刷対象のジョブ文書を、操作権限に応じて再構成する。ここで、操作権限に従った画像の再構成が行なえない場合は、印刷処理をキャンセルしてもよい。

例えば、ユーザＢが、図３のライセンス情報を保持しているジョブ文書について印刷を要求したとする。ユーザＢは、印刷の実行権限を有しているため、印刷を実行できる。ただし、印刷設定として、コピー不可のスタンプを付加することが操作権限によって義務付けられている。よって、ＣＰＵ５０１は、ジョブ文書の背景にコピー不可を意味する画像を合成する。ステップＳ２２１２において、ＣＰＵ５０１は、再構成されたジョブ文書を印刷する。

本実施形態によれば、操作者の操作権限に応じてジョブ文書を再構成することで、操作権限に応じた画像形成を実現できる。例えば、ジョブ文書の背景にコピー不可などの画像が追加された画像を記録媒体上に形成できる。

＜ボックスに格納されているジョブ文書の送信＞
図２５は、実施形態に係るボックスに格納されているジョブ文書の送信を示す例示的なフローチャートである。操作者が操作パネル５０８のボックス機能キー７０２を押し下げると、ＣＰＵ５０１は、ボックス機能の基本画面（図９）を操作パネル５０８に表示する。続いて、ボックス機能の基本画面からボタン９０１ｂが選択されると、ＣＰＵ５０１は、ジョブ文書のリスト表示画面（図１０）を操作パネル５０８に表示する。

ステップＳ２５０１において、ＣＰＵ５０１は、操作パネル５０８を通じて送信対象の電子文書の選択を受け付ける。ＣＰＵ５０１は、選択された電子文書を反転表示する。送信ボタン１０１０の押し下げを検出すると、ＣＰＵ５０１は、ステップＳ２５０２において、宛先の選択処理を実行する。例えば、ＣＰＵ５０１は、宛先表（図１１）を操作パネル５０８に表示することで、宛先の選択を待つ。ここでは、複数の宛先が選択されてもよい。何れかの宛先が選択された後で、決定ボタン１１０４が押し下げられると、ステップＳ２５０３に進む。

ステップＳ２５０３において、ＣＰＵ５０１は、選択された電子文書を、選択された宛先に送信してよいか否かを判定する。例えば、ＣＰＵ５０１は、選択された電子文書についての操作制限が、選択された宛先においても守れるのであれば、送信可と判定する。一方、守れないのであれば、送信不可と判定する。例えば、汎用フォーマットに付加されたライセンス情報を宛先となる受信側の機器で解釈可能であれば送信可能と判断し、解釈不可能であれば送信不可と判断する。宛先の機器がライセンス情報を解釈可能であるか否かは、例えば、画像形成装置１０４が保持するアドレス帳にそのような情報を保持しておくことによってその判断が可能になる。

操作の制限が守られないと判断した場合、ステップＳ２５０４に進み、ＣＰＵ５０１は、送信処理を中止し、操作パネル５０８に送信しない旨のエラーメッセージを表示する。一方、操作の制限が守られると判断した場合、ステップＳ２５０５に進み、ＣＰＵ５０１は、電子文書を宛先に送信する。また、ＣＰＵ５０１は、送信が成功した旨のメッセージを操作パネル５０８に表示する。

図２６は、実施形態に係る送信判定処理の一例を示すフローチャートである。本フローチャートは、図２５のステップＳ２５０３をサブルーチンとして示したものである。

ステップＳ２６０１において、画像形成装置１０４のＣＰＵ５０１は、選択された電子文書がセキュアな文書か否かを判定する。例えば、ＣＰＵ５０１は、文書管理テーブル１２０１において、選択された電子文書についてライセンス情報が対応づけられているか否かを判定する。

電子文書とライセンス情報とが対応づけられていなかった場合、送信処理を中止するためにステップＳ２５０４に進む。一方、電子文書とライセンス情報とが対応づけられていれば、ステップＳ２６０２に進み、ＣＰＵ５０１は、選択された宛先についての宛先情報を取得する。本実施形態において、宛先情報とは、例えば、送信方法の種類、宛先名称、宛先情報（図１１）である。もちろん、本発明は、これらの例示された情報に限定されるわけではない。

ステップＳ２６０３において、ＣＰＵ５０１は、取得した宛先情報のうち、送信方法の種類を参照し、電子文書に付属するライセンス情報が宛先で利用されるか否かを判定する。例えば、送信方法が、電子メール、ＦＴＰ（File Transfer Protocol）、ＳＭＢ（Service Message Block）、ボックス文書送信などであれば、ライセンス情報も宛先で利用されると判定される。よって、ステップＳ２５０５に進む。

一方、ＦＡＸ送信などは、宛先でライセンス情報を利用できない送信方法である。すなわち、このような送信方法では、電子文書が、画像データとして宛先に送信され、記録媒体上に印刷されてしまう。よって、ライセンス情報による操作制限が無効となってしまう。よって、ＣＰＵ５０１は、送信方法がＦＡＸ送信であれば、ライセンス情報が利用されないと判定し、ステップＳ２５０４に進む。

図２７は、実施形態に係る電子文書の送信処理（Ｓ２５０５）の一例を示すフローチャートである。ここでは、説明の便宜上、送信処理（Ｓ２５０５）をサブルーチンとして示す。

ステップＳ２７０１において、ＣＰＵ５０１は、宛先情報に含まれる送信方法の種類を参照し、他の画像形成装置へのボックス文書送信であるか否かを判定する。ボックス文書送信であれば、ステップＳ２７０３に進み、電子文書とライセンス情報とをそのまま送信する。宛先が画像形成装置であれば、ライセンス情報に基づく操作権限の制御が機能するからである。

なお、電子メール送信など、ボックス文書送信以外の送信方法であれば、ステップＳ２７０２進む。ステップＳ２７０２において、ＣＰＵ５０１は、電子文書とライセンス情報とを結合する。その後、ステップＳ２７０３に進み、ＣＰＵ５０１は、ライセンス情報の結合された電子文書を宛先に送信する。

以上説明したように本実施形態によれば、宛先において、電子文書に付与されている操作権限の情報が利用される場合に限り、電子文書の送信を許可している。例えば、ファクシミリ送信など、操作を制限できないような宛先への送信は禁止される。よって、宛先に応じて、電子文書の機密性を好適に保持することができる。

［他の実施形態］
以上、様々な実施形態を詳述したが、本発明は、複数の機器から構成されるシステムに適用してもよいし、また、一つの機器からなる装置に適用してもよい。例えば、スキャナ、プリンタ、ＰＣ、複写機、複合機及びファクシミリ装置の如くである。

本発明は、前述した実施形態の各機能を実現するソフトウェアプログラムを、システム若しくは装置に対して直接または遠隔から供給し、そのシステム等に含まれるコンピュータが該供給されたプログラムコードを読み出して実行することによっても達成される。

従って、本発明の機能・処理をコンピュータで実現するために、該コンピュータにインストールされるプログラムコード自体も本発明を実現するものである。つまり、上記機能・処理を実現するためのコンピュータプログラム自体も本発明の一つである。

その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等、プログラムの形態を問わない。

プログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷなどがある。また、記録媒体としては、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−Ｒ）などもある。

また、プログラムは、クライアントコンピュータのブラウザを用いてインターネットのホームページからダウンロードしてもよい。すなわち、該ホームページから本発明のコンピュータプログラムそのもの、もしくは圧縮され自動インストール機能を含むファイルをハードディスク等の記録媒体にダウンロードしてもよいのである。また、本発明のプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるＷＷＷサーバも、本発明の構成要件となる場合がある。

また、本発明のプログラムを暗号化してＣＤ−ＲＯＭ等の記憶媒体に格納してユーザに配布してもよい。この場合、所定条件をクリアしたユーザにのみ、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせ、その鍵情報で暗号化されたプログラムを復号して実行し、プログラムをコンピュータにインストールしてもよい。

また、コンピュータが、読み出したプログラムを実行することによって、前述した実施形態の機能が実現されてもよい。なお、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが、実際の処理の一部または全部を行ってもよい。もちろん、この場合も、前述した実施形態の機能が実現され得る。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれてもよい。そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ってもよい。このようにして、前述した実施形態の機能が実現されることもある。

図１は、実施形態における情報処理システムの概略構成を示す図である。 図２は、実施形態に係る操作権限データベースの一例を示す図である。 図３は、実施形態に係るライセンス情報の一例を示す図である。 図４は、実施形態に係る情報処理装置の例示的なブロック図である。 図５は、実施形態に係る情報処理装置（画像形成装置）の例示的なブロック図である。 図６は、実施形態に係る画像メモリ部の例示的なブロック図である。 図７は、実施形態に係る画像形成装置の操作パネルの一例を示す図である。 図８は、実施形態に係るボックスを説明するための図である。 図９は、実施形態に係るボックス機能のユーザインタフェースの一例を示す図である。 図１０は、実施形態に係るボックス機能のユーザインタフェースの一例を示す図である。 図１１は、実施形態に係る宛先表の一例を示す図である。 図１２Ａは、実施形態に係る文書管理テーブルの一例を示す図である。 図１２Ｂは、実施形態に係る文書管理テーブルの他の一例を示す図である。 図１３は、実施形態に係るファイル操作制限方法の一例を示すフローチャートである。 図１４は、実施形態に係るファイル操作制限方法の他の例を示すフローチャートである。 図１５は、実施形態に係るファイル操作制限方法の他の例を示すフローチャートである。 図１６は、実施形態に係るファイル操作制限方法の他の例を示すフローチャートである。 図１７は、実施形態に係るポリシーが付与されている文書を出力する方法の一例を示すシーケンス図である。 図１８は、実施形態に係る出力処理の一例を示すフローチャートである。 図１９は、実施形態に係るサムネイル表示の一例を示すフローチャートである。 図２０は、実施形態に係るサムネイル表示の他の例を示すフローチャートである。 図２１は、実施形態に係るボックス格納処理の例示的なフローチャートである。 図２２は、実施形態に係るボックスに保存された画像ファイルを印刷する方法を示す例示的なフローチャートである。 図２３は、実施形態に係る操作権限データベースの他の例を示す図である。 図２４は、実施形態に係るボックスに保存された画像ファイルを印刷する方法を示す他の例示的なフローチャートである。 図２５は、実施形態に係るボックスに格納されているジョブ文書の送信を示す例示的なフローチャートである。 図２６は、実施形態に係る送信判定処理の一例を示すフローチャートである。 図２７は、実施形態に係る電子文書の送信処理（Ｓ２５０５）の一例を示すフローチャートである。

Claims (1)

1. 情報処理装置と画像形成装置とを含む情報処理システムであって、
   前記情報処理装置および前記画像形成装置のそれぞれは、ファイルを特定する識別情報と当該ファイルに対する操作権限を示す情報を対応づけて記憶するサーバと通信可能であり、
   前記情報処理装置は、
   前記情報処理装置に記憶されている第１のファイルを特定する識別情報を前記サーバへ送信する第１識別情報送信手段と、
   前記第１識別情報送信手段が送信した識別情報に対する応答として前記サーバから送信される、当該第１のファイルに対する操作権限を示す情報が印刷権限を有することを示す場合に、前記第１のファイルに基づいて印刷ジョブデータを生成するジョブ生成手段と、
   前記第１のファイルの識別情報と前記ジョブ生成手段が生成した前記印刷ジョブデータとを前記画像形成装置へ送信するジョブ送信手段と、
   を含み、
   前記画像形成装置は、
   前記情報処理装置が送信した前記第１のファイルの識別情報と前記印刷ジョブデータとを受信するジョブ受信手段と、
   前記印刷ジョブデータを画像データに変換する変換手段と、
   前記画像データを前記識別情報とともに記憶する記憶手段と、
   前記記憶手段に記憶された画像データに対する印刷要求を受け付けた場合に、前記画像データとともに前記記憶手段に記憶される前記識別情報を前記サーバへ送信する第２識別情報送信手段と、
   前記第２識別情報送信手段が送信した識別情報に対する応答として前記サーバから送信される操作権限を示す情報が印刷権限を有することを示す場合に、前記画像データに基づく画像形成を実行するよう制御する制御手段と
   を含むことを特徴とする情報処理システム。

Images