(57)【要約】      （修正有）【課題】利用者が認証された当人であるということを確信できない状態で、利用者に不用意に全ての機能を提供することなく必要なセキュリティを保って機能を提供すること。【解決手段】画像処理装置の利用者識別モジュールが、環境認証システムからユーザの識別結果を取得し（S505）、ユーザにより行われる操作入力の特徴量に基づいてユーザを識別し（S506〜S509）、環境認証システムから取得した認証結果識別子及び操作入力の特徴量に基づいてユーザ識別した統合利用者識別子に基づいて、画像処理装置へのアクセス権限を決定し（S510〜S512）、決定されたアクセス権限に従って画像処理装置における機能提供を制御する（S514）。【選択図】図５
2018207295.tif 000002
【特許請求の範囲】
【請求項１】
画像処理装置であって、
前記画像処理装置の設置環境内に設けられた検出装置の検出結果に従ってユーザを識別した識別結果を外部から取得する取得手段と、
ユーザにより行われる操作入力の特徴量に基づいてユーザを識別する識別手段と、
前記取得手段により取得した識別結果である第１識別結果及び前記識別手段による識別結果である第２識別結果に基づいて、前記画像処理装置へのアクセス権限を決定する決定手段と、
前記決定手段で決定されたアクセス権限に従って前記画像処理装置における機能提供を制御する制御手段と、
を有することを特徴とする画像処理装置。
【請求項２】
前記操作入力の情報と、前記第１識別結果と、前記第２識別結果とを併せた情報を操作特徴情報として蓄積する蓄積手段を有し、
前記蓄積手段に蓄積された前記操作特徴情報に含まれる前記第１識別結果と前記第２識別結果の組み合わせに基づいて、前記第１識別結果と前記第２識別結果の所定の相関を算出する算出手段と、を有し、
前記決定手段は、前記相関が所定の値よりも高い場合には、前記相関が所定の値よりも低い場合よりも、相対的に多くの機能が提供されるように前記アクセス権限を決定することを特徴とする請求項１に記載の画像処理装置。
【請求項３】
前記決定手段は、前記第１識別結果と前記第２識別結果の双方を取得できた場合には、前記第１識別結果と前記第２識別結果の一方を取得でき且つ他方を取得できなかった場合よりも、相対的に多くの機能が提供されるように前記アクセス権限を決定することを特徴とする請求項２に記載の画像処理装置。
【請求項４】
前記アクセス権限には、一部の機能の提供が可能な第１権限と、前記第１権限よりも多くの機能の提供が可能な第２権限が存在し、
前記制御手段は、前記アクセス権限として前記第２権限が決定された場合には、前記第１権限が決定された場合よりも相対的に多くの機能を提供するように制御することを特徴とする請求項２又は３に記載の画像処理装置。
【請求項５】
前記機能の提供は、情報の表示を含み、
前記制御手段は、前記アクセス権限として前記第２権限が決定された場合には、前記第１権限が決定された場合よりも相対的に多くの情報を表示するように制御することを特徴とする請求項４に記載の画像処理装置。
【請求項６】
前記識別手段が識別した前記第１識別結果を含む前記操作特徴情報に含まれる前記操作入力の情報に、予め決められている管理者の特徴が含まれているか否かを判別する判別手段を有し、
前記決定手段は、前記判別手段により前記管理者の特徴が含まれていると判別された場合、管理者向けの機能が提供されるように前記アクセス権限を決定することを特徴とする請求項２〜５のいずれか１項に記載の画像処理装置。
【請求項７】
前記画像処理装置を操作しているユーザが交代したか否かを判定する判定手段を有し、
前記判定手段によりユーザが交代したと判定された場合に、前記識別手段はユーザを識別し、前記取得手段は前記第２識別結果を取得することを特徴とする請求項１〜６のいずれか１項に記載の画像処理装置。
【請求項８】
前記判定手段は、前記操作入力の間隔に基づいて、ユーザが交代したか否かを判定することを特徴とする請求項７に記載の画像処理装置。
【請求項９】
前記画像処理装置に対して人物が接近してきたこと又は人物が離れて行ったことを検知する検知手段を有し、
前記判定手段は、前記検知手段による検知の結果に基づいて、ユーザが交代したか否かを判定することを特徴とする請求項７に記載の画像処理装置。
【請求項１０】
画像処理装置の制御方法であって、
ユーザにより行われる操作入力の特徴量に基づいてユーザを識別した第１識別結果を取得する第１取得ステップと、
前記画像処理装置の設置環境内に設けられた検出装置の検出結果に従ってユーザを識別した第２識別結果を外部から取得する第２取得ステップと、
前記第１識別結果及び前記第２識別結果に基づいて、前記画像処理装置へのアクセス権限を決定する決定ステップと、
前記決定ステップで決定されたアクセス権限に従って前記画像処理装置における機能提供を制御する制御ステップと、
を有することを特徴とする画像処理装置の制御方法。
【請求項１１】
コンピュータを、請求項１〜９のいずれか１項に記載の手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、利用者を識別し当該利用者に機能を提供する画像処理装置、画像処理装置の制御方法、及びプログラムに関する。
【背景技術】
【０００２】
従来、画像処理装置の利用者を判定する技術が提案されている。特許文献１には、画像処理装置が設置されている環境内の画像取得機器を通じて連続的に得た画像情報と、個人認識を行うための複数クラスの画像特徴量とを照合して個人認識処理を行う技術が提案されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許５００８２６９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１の技術は、利用者が何者であるかを一定の精度で識別することが可能である。しかし、特定の画像処理装置の利用者を認証しようとした場合に、それだけでは当該利用者が当該画像処理装置の中でどのような権限を持っているかを判定することはできない。このため、当該利用者に向けてカスタマイズされた画面を提供する際、どの程度まで取扱注意情報を開示してよいかを判断するのが難しいという課題があった。即ち、当該画像処理装置から見て当該利用者が認証された当人であるということを確信できない状態にある場合には、当該画像処理装置が保持している取扱注意情報を当該利用者に全面的に開示することはセキュリティ上の課題であった。
また、情報表示に限らず、画像形成装置の機能の提供についても同様の課題があった。即ち、当該画像処理装置から見て当該利用者が認証された当人であるということを確信できない状態にある場合には、当該画像処理装置の機能を全面的に提供することはセキュリティ上の課題であった。
【０００５】
本発明は、上記の課題を解決するためになされたものである。本発明の目的は、利用者に不用意に全ての機能を提供することなく必要なセキュリティを保って機能を提供する仕組みを提供することである。
【課題を解決するための手段】
【０００６】
本発明は、画像処理装置であって、前記画像処理装置の設置環境内に設けられた検出装置の検出結果に従ってユーザを識別した識別結果を外部から取得する取得手段と、ユーザにより行われる操作入力の特徴量に基づいてユーザを識別する識別手段と、前記取得手段により取得した識別結果である第１識別結果及び前記識別手段による識別結果である第２識別結果に基づいて、前記画像処理装置へのアクセス権限を決定する決定手段と、前記決定手段で決定されたアクセス権限に従って前記画像処理装置における機能提供を制御する制御手段と、を有することを特徴とする。
【発明の効果】
【０００７】
本発明によれば、利用者に不用意に全ての機能を提供することなく必要なセキュリティを保って機能を提供することができる。
【図面の簡単な説明】
【０００８】
【図１】本実施例の画像処理装置を含む全体のシステムを説明する図
【図２】本実施例の画像処理装置の内部構成を説明する図
【図３】本実施例の画像処理装置のシステムコントローラのハードウェア構成図
【図４】実施例１の画像処理装置のソフトウェア構成図
【図５】実施例１の画像処理装置における処理を説明するフローチャート
【図６】実施例２の画像処理装置のソフトウェア構成図
【図７】実施例２の画像処理装置における処理を説明するフローチャート
【図８】実施例３の画像処理装置のソフトウェア構成図
【図９】実施例３の画像処理装置における処理を説明するフローチャート
【発明を実施するための形態】
【０００９】
以下、本発明を実施するための形態について図面を用いて説明する。
【実施例１】
【００１０】
図１は、本発明の一実施例を示す画像処理装置が接続されるネットワークを含む全体のシステムを説明する図である。
図１において、画像処理装置104は、例えば、ＭＦＰ（Multifunction Peripheral）等の画像形成装置である。
【００１１】
環境内センサ102は、画像処理装置104が設置されている環境内で活動する人物の情報を検出するための検出装置である。環境内センサ102による検出結果は、後述する環境認証システムにより利用される。環境内センサ102として用いられるのは、例えば、環境内の利用者を撮影可能な監視カメラや、環境内の利用者の位置情報を提供するために設置されているビーコンなどが考えられる。ビーコンとは、例えばＢＬＥ（Bluetooth（登録商標） Low Energy）信号を送信する機器である。このビーコンに、ＢＬＥ信号を受信可能な状態のスマートフォン等を所持した人が接近すると、ビーコンとスマートフォンとの間の距離に相当する値等がビーコン側で取得できる。なお、利用者自身が所持している携帯情報端末（例えばスマートフォン等）や、ウェアラブル端末なども、環境内センサに含めることができる。
【００１２】
環境認証サーバ101は、画像処理装置104の設置環境内で動作する環境認証システムを提供する。環境認証システムとは、画像処理装置104が設置されている環境において環境内センサ102から得られる情報を用いて、該環境内で活動する人物を照合し個人認識を行い、その結果に基づいて当該人物に対して「認識結果識別子」を付与する。環境認証サーバ101の認識結果は、画像処理装置104から取得可能である。なお、環境認証サーバ101は、一般的な情報処理装置、例えばパーソナルコンピュータ（ＰＣ）等で構成可能であり、詳細は省略する。また、環境認証システムも公知の技術であるので詳細は省略する。
【００１３】
情報処理装置105は、例えばＰＣのような情報処理装置である。例えば、利用者は、情報処理装置105において文書を作成し、画像処理装置104に送信して印刷を行うことが可能である。
ネットワーク103は、環境認証サーバ101、環境内センサ102、画像処理装置104、情報処理装置105等の機器を相互に通信可能に接続する。
【００１４】
図２は、画像処理装置104の内部構成を説明するブロック図である。
図２において、システムコントローラ201は、画像処理装置104のシステム全体を制御する。エンジン203は、画像形成を行うためのものである。エンジンコントローラ202は、システムコントローラ201が取り扱う情報をエンジン203から画像として読み込んだり、システムコントローラ201からエンジン203へ画像として出力したりする際にエンジン203を制御する。
【００１５】
図３は、システムコントローラ201の内部のハードウェア構成を模式的に表すブロック図である。
図３において、ＣＰＵ301は、ＲＯＭ302に格納されたプログラムを必要に応じてＲＡＭ303に読み出して実行することにより、画像処理装置104を統括制御する。ＲＯＭ302は、ＣＰＵ301の制御プログラムや各種情報を格納する。ＲＡＭ303は、ＣＰＵ301の作業領域として機能する。
【００１６】
二次記憶部305は、例えばハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）等である。二次記憶部インタフェース（Ｉ／Ｆ）304は、二次記憶部305との接続を制御する。
【００１７】
ＨＩＤ307は、操作パネル等の人間対話デバイス（Human Interface Device）である。人間対話デバイス（ＨＩＤ）Ｉ／Ｆは、ＨＩＤ307とのインタフェースである。
ネットワークＩ／Ｆ308は、ネットワーク103等との接続を制御する。
エンジンコントローラＩ／Ｆ309は、エンジンコントローラ202との接続を制御する。
バス310は、ＣＰＵ301と、ＲＯＭ302、ＲＡＭ303、二次記憶部Ｉ／Ｆ304、ＨＩＤ Ｉ／Ｆ306、ネットワークＩ／Ｆ308、エンジンコントローラＩ／Ｆ309等を接続する。
【００１８】
図４は、実施例１の画像処理装置104のソフトウェア構成を模式的に表す図である。
図４において、操作入力モジュール401、利用者識別モジュール402は、システムコントローラ201上のＣＰＵ301がＲＯＭ302に格納されるプログラムを実行することにより実現されるものである。
【００１９】
操作入力モジュール401は、ＨＩＤ307を通じて利用者が行った操作の情報を受け付けるためのものである。利用者識別モジュール402は、画像処理装置104を現在利用している利用者を識別するためのものである。
【００２０】
以下、利用者識別モジュール402について詳細に説明する。
接続部403は、環境認証サーバ101に接続するためのものである。取得部404は、環境認証サーバ101による環境認証の結果、画像処理装置104を現在利用している利用者に対して付与された認証結果識別子を、画像処理装置104の外部のシステムである環境認証サーバ101で動作する環境認証システムから取得する。上述したように、環境認証システムは、画像処理装置104が設置されている環境内で活動する人物（画像処理装置104を現在利用している利用者）を個人認識して当該人物に対して「認識結果識別子」を付与する。
【００２１】
収集部405は、画像処理装置104を現在利用している利用者が操作入力モジュール401上で行った操作について、その特徴量（例えば操作における個人的な癖等）を含む一連の操作入力の情報を操作記録として収集する。
【００２２】
利用者識別部406は、画像処理装置104を現在利用している利用者が直前まで操作を行っていた利用者と同一人物であるか否かを推定し、別人であると推定される利用者に対しては「仮利用者識別子」を付与する。該付与される仮利用者識別子は、直前まで操作を行っていた利用者の仮利用者識別子とは別の仮利用者識別子となる。
【００２３】
蓄積部407は、操作特徴量（操作特徴情報）を二次記憶部305に蓄積する。ここで操作特徴量とは、収集部405が収集した操作記録と、利用者識別部406が付与した利用者の仮利用者識別子と、取得部404が取得した利用者の認識結果識別子とをあわせたものである。蓄積部407に蓄積される操作特徴量のレコード定義の例を表１に示す。
【００２４】
【表１】
2018207295.tif 000003
【００２５】
項目番号ＡＣ１には、レコード番号を格納する。レコード番号は通し番号として付与された０以上の整数値であり、インデックスとなるため、値は全体の蓄積された操作特徴量データを通じてユニークである。
項目番号ＡＣ２には、利用者識別部406により利用者に付与された仮利用者識別子を格納する。仮利用者識別子は０以上の整数値を取る。
【００２６】
項目番号ＡＣ３には、収集部405により取得収集された操作記録（利用者の操作についての特徴量を含む一連の操作の記録）を格納する。これは例えば、タッチパネル上で利用者がタッチ操作を行った時のタッチした座標とそのタッチの発生時刻のペアの不定長のシーケンスの形をとったりする。これにより利用者がタッチパネルを操作する時の癖などを後から抽出することが可能となる。また、項目番号ＡＣ３には、例えば利用者がどのようなメニューを選択したか、あるいは送信先としてどのような宛先を選択したか、もしくは項目の中から選択する際にどのような項目を選択したか、などの記録を含めることもあり得る。
【００２７】
項目番号ＡＣ４には、取得部404が取得した利用者の認識結果識別子を格納する。なお、環境認証システムは、利用者を識別できないことも想定可能であり、そのような場合には、ＡＣ４には「−１」を格納することができるものとする。一方、利用者が識別された場合には、ＡＣ４に格納される値は「０」以上の整数値となる。
【００２８】
以下、図４の説明に戻る。
分析統合部408は、蓄積部407に蓄積された操作特徴量を分析する。さらに分析統合部408は、必要に応じて操作特徴量の傾向が同一クラスタに属する（操作特徴量分布の同一性が高い）と判断される操作特徴量を備えた記録の仮利用者識別子を統合し、代表値にて元の仮利用者識別子を置換する。なお、属するクラスタが判別できないと判定された操作特徴量の記録については、仮利用者識別子の統合はなされない。ここで、統合された後の仮利用者識別子を「統合利用者識別子」と呼ぶ。即ち、統合利用者識別子は、利用者の操作入力を特徴量によって識別するための識別子である。なお、統合利用者識別子は、その値域により統合されなかった仮利用者識別子と区別可能であるとする。分析統合部408は、分析および統合を全ての蓄積された操作特徴量の記録に対して実行してもよい。または、分析統合部408は、短い間隔では一定期間内の最近の記録に対してのみ分析および統合を実行しておき、数回に一度のような長い間隔で全記録に対して分析および統合を実行して、全体の精度を上げて行くような動作をしてもよい。
【００２９】
相関算出部409は、蓄積部407に蓄積された操作特徴量に含まれる、分析統合部408により統合された統合利用者識別子と、取得部404により取得された利用者に対して付与された認識結果識別子の相関を算出する。相関の算出にあたっては、例えば以下のような計算を行う。
【００３０】
蓄積された操作特徴量のうち統合利用者識別子の値ａが付与されているものがＮａ個存在しており、そのうち認識結果識別子の値αが付与されているものがＮａα個あった場合、ａとαの組み合わせの出現率Ｒ（ａ，α）は「Ｎａα／Ｎａ」で与えられる。
統合利用者識別子の値がａからｚまで存在する場合に、ａとαという識別子同士の組み合わせに対する特定出現比ＲＡ（ａ，α）は数１式で与えられる。
【００３１】
【数１】
2018207295.tif 000004
【００３２】
認識結果識別子がαからωまで存在する場合、統合利用者識別子ａに対してＲＡ（ａ，α）からＲＡ（ａ，ω）の値を計算し、その値が最大になる認識結果識別子をＫ（ａ）で表すこととする。例えばＲＡ（ａ，α）が最大である場合にはＫ（ａ）＝αということになる。
【００３３】
このとき、統合利用者識別子と認識結果識別子の相関としては、例えば、ＲＡ（ａ，Ｋ（ａ）），・・・，ＲＡ（ｚ，Ｋ（ｚ））の相加平均、又は相乗平均を採用することなどが考えられる。なお、ここで平均を採用するのは主に要素数による影響を排除するためである。
【００３４】
以上のように、統合利用者識別子と認識結果識別子の組み合わせの実績に基づいて求められた統合利用者識別子と認識結果識別子の相関は、環境認証システムによるユーザ認識結果と、操作入力の特徴に基づくユーザ識別結果の組み合わせの信頼性を示す。よって、この相関が或る規定値以上であるということは、環境認証システムによるユーザ認識結果と、操作入力の特徴に基づくユーザ識別結果に対する信頼性が高いということを意味する。
【００３５】
レベル判定部410は、現在利用中の利用者に対して、現在の操作において提供するＨＩＤ307上の情報のセキュリティレベルを決定する。セキュリティレベルの決定は、現在の利用者に割り当てられている統合利用者識別子の値、認識結果識別子の値、および相関算出部409が算出した相関の値に基づいてなされる。セキュリティレベルは、画像処理装置104に対するアクセス権限に対応する。なお、本実施例では、レベルは数値が小さいほどセキュリティが高く、数値が大きいほどセキュリティが低いことを表しているものとする。
表２に、レベル判定部410によるセキュリティレベルの判定について模式的に表す。
【００３６】
【表２】
2018207295.tif 000005
【００３７】
レベル判定部410は、現在利用中の利用者について環境認証システムにより０以上の整数値の認識結果識別子が取得できている場合は以下のように判定する。
この場合、当該利用者に関する統合利用者識別子も付与され、且つ、相関算出部409が算出した相関が規定値以上である場合には「レベル１」と判定する。また、当該利用者に関する統合利用者識別子も付与され、且つ、当該相関が規定値未満であった場合には「レベル３」と判定する。（＊）この場合、利用者識別モジュール402による操作入力の特徴に基づくユーザ識別の精度や環境認証システムの認証精度によっては「レベル２」と判定してもよい。また、統合利用者識別子が付与されておらず統合されていない仮利用者識別子のままであった場合には「レベル３」と判定する。
【００３８】
同様に当該利用者について環境認証システムによる認識結果識別子が「−1」すなわち、識別できなかった場合には以下のように判定する。
この場合、当該利用者に関する統合利用者識別子も付与され、且つ、相関算出部409が算出した相関が規定値以上である場合には「レベル２」と判定する。また、当該利用者に関する統合利用者識別子も付与され、且つ、当該相関が規定値未満であった場合には「レベル３」と判定する。また、統合利用者識別子が付与されておらず統合されていない仮利用者識別子のままであった場合には「レベル４」と判定する。
【００３９】
制御部411は、ＨＩＤ307上の画面において表示する情報の形態を決定し、当該利用者に向けてカスタマイズされたカスタマイズ画面を提示するように制御する。
表３に、セキュリティレベルに基づいて表示される情報の形態について例示する。
【００４０】
【表３】
2018207295.tif 000006
【００４１】
例えば「レベル１」では、制御部411が表示する「議事録3月15日会議室3.doc  33kB」のように表示する情報について、各レベルでどのように表示するかの形態の一例を以下に示す。なお、ここで「議事録3月15日会議室3.doc」はジョブの文書名であり、「33kB」とはジョブサイズである。
【００４２】
同じ情報を「レベル２」では「議○○○○15日○○○3．doc  33kB」のように表示することが考えられる。また「レベル３」では「ギ○○○○○○ヒ○○○○．doc  33kB」のように表示することが考えられる。また「レベル４」では単に「種別：doc」のように表示することが考えられる。
【００４３】
なお、上記例では、レベルに応じてユーザに対して提示する情報を制限する表示制御の例を示したが、情報の表示制限は、機能の提供制限の１つと考えられる。よって、レベルに応じてユーザに提供する機能の一部を制限する提供機能制御を行うようにしてもよい。例えば、相対的に高いレベルには、相対的に低いレベルの場合よりも、相対的に多くの機能が提供されるように機能提供制御を行うようにしてもよい。具体的には、レベル１の場合は、レベル２〜４の場合よりも相対的に多くの機能が提供される。例えば、画像処理装置104の機能（Ａ〜Ｚ）のうちＡ、Ｂ、Ｃの機能が元々「ユーザα」に許可されているものとする。この「ユーザα」が画像処理装置104を操作した際に環境認証システムにより「ユーザα」と認識され、判定部410により「レベル１」と判定された場合、制御部411により、Ａ、Ｂ、Ｃ、Ｄの全ての機能が提供される。しかし、「レベル２」と判定された場合、制御部411により、例えばＣの機能の提供が禁止され、Ａ、Ｂ、Ｄの機能が提供される。また、「レベル３」と判定された場合、制御部411により、例えばＢ、Ｃの機能の提供が禁止され、Ａ、Ｄの機能のみが提供される。また、「レベル４」と判定された場合、制御部411により、例えばＡ、Ｂ、Ｃの機能の提供が禁止され、Ｄの機能のみが提供される。
即ち、統合利用者識別子と認識結果識別子の双方を取得できた場合には、統合利用者識別子と認識結果識別子の一方を取得でき且つ他方を取得できなかった場合よりも、相対的に多くの機能が提供されるようにレベルを決定する。また、相関が規定値よりも高い場合には、相関が規定値よりも低い場合よりも、相対的に多くの機能が提供されるようにレベルを決定する。
なお、上述したレベルに応じた情報の表示制限と、レベルに応じた提供機能の制限を合わせた制御を行ってもよい。
【００４４】
推定保持部412は、当該蓄積された操作特徴量記録から同一の統合利用者識別子が付与されたレコードを参照し、そこで使用されていることの多い共通する設定値や、呼び出される頻度の高い宛先などの情報を抽出する。推定保持部412はそのようにして抽出した記録を二次記憶部305などに保存し、必要があれば呼び出すことができるようにする。
【００４５】
図５は、実施例１において利用者が操作を開始してから画像処理装置104が利用者に対して画面を提示する際の利用者識別モジュール402の処理の流れを中心に説明するフローチャートである。即ち、このフローチャートの処理は、ＣＰＵ301がＲＯＭ302に格納されるプログラムを実行することにより実現されるものである。
【００４６】
画像処理装置104が起動されるとともにＣＰＵ301が利用者識別モジュール402を起動し、利用者識別モジュール402による処理が開始される（S501）。S502において、利用者識別モジュール402は、操作入力モジュール401を通じて利用者による操作が行われるのを待ち受ける。そして、S503において、利用者識別モジュール402は、操作が行われたか否かを判定する。利用者識別モジュール402は、操作が行われていないと判定した場合（S503でNoの場合）、S502に処理を戻し、利用者による操作が行われるのを待ち受ける。
【００４７】
一方、上記S503において、利用者識別モジュール402は、操作が行われたと判定した場合（S503でYesの場合）、S504に処理を進める。
S504において、利用者識別モジュール402は、前回操作が行われてから今回操作が行われるまでに規定の時間が経過しているか否かを判定する。利用者識別モジュール402は、前回操作が行われてから今回操作が行われるまでに規定の時間が経過していないと判定した場合（S504でNoの場合）、S507に処理を進める。
【００４８】
一方、上記S504において、利用者識別モジュール402は、前回操作が行われてから今回操作が行われるまでに規定の時間が経過していると判定した場合（S504でYesの場合）、S505に処理を進める。
【００４９】
S505において、利用者識別モジュール402は、前回操作が行われてから今回操作が行われるまでに規定の時間が経過しているため、前回の操作を行った人物とは別の人物が今回の操作を行っている可能性が高いと判断する。そして、利用者識別モジュール402は、取得部404を用い、今回操作を行っている利用者に関して、接続部403を経由して環境認証サーバ101より認識結果識別子を取得する。
さらに、S506において、利用者識別モジュール402は、利用者識別部406を用い、今回操作を行っている利用者に対して仮利用者識別子を生成し、S507に処理を進める。
【００５０】
S507において、利用者識別モジュール402は、収集部405を用い、操作入力モジュール401を通じて取得された操作の内容から操作の特徴量を取得する。さらに、利用者識別モジュール402は、蓄積部407を用い、該取得した操作の特徴量、上記S505で取得した認識結果識別子、及び上記S506で付与した仮利用者識別子に基づいて、操作特徴量を蓄積部407に蓄積する。なお、上記S504にて前回の操作から規定の時間が経過しておらず、継続して同一人物が操作を行っている可能性が高い場合にも処理はS507へ進んでくる。この場合は、当該利用者に対して既に生成されている仮利用者識別子もしくは、そこから分析統合された結果である統合利用者識別子をそのまま継続して使用するものとする。また、認識結果識別子も同様に、継続して操作している利用者のものをそのまま継続して使用するものとする。
【００５１】
次に、S508において、利用者識別モジュール402は、ここまでに得られた現在の利用者のものと思われる操作特徴量が分析統合するのに充分な分量であるか否かを判定する。なお、分量が充分であるかの基準は実装により変化するが、操作入力モジュール401上で数度にわたりタッチが行われているなどを基準に採用することが考えられる。例えば、利用者識別モジュール402は、所定量の操作が行われている場合に上記充分な分量であると判定する。
【００５２】
上記S508において、利用者識別モジュール402は、まだ充分な分量の操作特徴量が取得されていないと判定した場合（S508でNoの場合）、S507に処理を戻す。
一方、上記S508において、利用者識別モジュール402は、既に充分な分量の操作特徴量が取得されていると判定した場合（S508でYesの場合）、S509に処理を進める。なお、この間、システムコントローラ201は別途、利用者の操作に応じた処理で必要なものを並行して進めているかも知れないが、ここでは省略する。
【００５３】
S509において、利用者識別モジュール402は、分析統合部408を用い、操作特徴量を分析し、可能であれば統合利用者識別子を得られるか試みる。既に統合利用者識別子が得られている場合であっても、ここで分析統合の結果別の統合利用者識別子が得られる可能性はある。
【００５４】
次に、S510において、利用者識別モジュール402は、統合利用者識別子が利用可能かどうかを判定する。ここで統合利用者識別子が利用可能であるとは、直前のS509にて分析統合を実施した結果、新たな統合利用者識別子が得られた場合のほか、その前から既に統合分析により得られていた統合利用者識別子が継続して使用される場合も含む。
【００５５】
上記S510において、利用者識別モジュール402は、統合利用者識別子が利用可能でないと判定した場合（S510でNoの場合）、S512に処理を進める。
一方、上記S510において、利用者識別モジュール402は、統合利用者識別子が利用可能であると判定した場合（S510でYesの場合）、S511に処理を進める。
【００５６】
S511において、利用者識別モジュール402は、相関算出部409を用い、相関を取得する。相関算出部409はここで改めて蓄積部407が蓄積した操作特徴量について相関を算出してもよい。もしくは、既に算出された相関があり、それが充分な精度を持っていると仮定されるものであれば、その値を当面再利用してもよい。相関を再計算するタイミングについては、相関の再計算に使用する情報の範囲や頻度についてさまざまな実装があり得る。
【００５７】
S512において、利用者識別モジュール402は、レベル判定部410を用い、仮利用者識別子もしくは統合利用者識別子の値、認識結果識別子の値、および相関の値に基づいてセキュリティレベルを決定する。
【００５８】
次に、S513において、利用者識別モジュール402は、制御部411を用い、以下の処理を行う。制御部411は、まず推定保持部412を呼び出し、現在の統合利用者識別子に割り当てられた設定値の既定値を取得し、その後、カスタマイズ画面においてそれら既定値を呼び出し易いようにする等の処理を行う（上記設定値の既定値をセットする）。なお、統合利用者識別子も得られず環境認証システムによる認識結果識別子の値も有効ではないようなケースでは、利用者に関する情報がないため、既定値のセットそのものを行わず、全て初期状態の設定値を使用する形で処理を行うものとする。
【００５９】
次に、S514において、利用者識別モジュール402は、制御部411を用い、画面に表示する情報の内容を当該セキュリティレベルに応じた形態でＨＩＤ307に表示するように制御する。
【００６０】
次に、S515において、利用者識別モジュール402は、収集部405を用い、最後に操作が行われてから一定以上の時間が経過したか否かを判定する。利用者識別モジュール402は、最後に操作が行われてから一定以上の時間が経過したと判定した場合（S515でYesの場合）、S516に処理を進める。
【００６１】
S516において、利用者識別モジュール402は、制御部411を用い、画面上に表示されている情報の内容を保護することや、ハードウェア的に表示画面の劣化を防止するなどの目的で、タイムアウト画面を表示するように制御する。タイムアウト画面は、単に何も表示していない画面であってもよいし、何らかの不定形の図形の動画が表示されているものでもよい。制御部411によりタイムアウト画面を表示した後は、利用者識別モジュール402は、処理をS502に戻す。
【００６２】
一方、上記S515において、利用者識別モジュール402は、最後に操作が行われてからまだ一定以上の時間が経過していないと判定した場合（S515でNoの場合）、S517に処理を進める。
【００６３】
S517において、利用者識別モジュール402は、操作入力モジュール401においてシャットダウン操作が実行されたか否かを判定する。シャットダウン操作とは画像処理装置104全体の処理を停止させ電源を落とすための処理である。利用者識別モジュール402は、シャットダウン操作が行われていないと判定した場合（S517でNoの場合）、S502に処理を戻す。
【００６４】
一方、上記S517において、利用者識別モジュール402は、シャットダウン操作が行われたと判定した場合（S517でYesの場合）、本フローチャートの処理を終了する（S518）。
【００６５】
以上示したように、実施例１によれば、環境認証システムによる認識結果とは独立して画像処理装置104が操作の特徴から利用者を識別することで、利用者が特に認証操作を行わずとも利用者の識別状況に合わせた画面を提供することができるようになる。このようにして提供される画面では、利用者の識別状況に応じて、利用者がよく使う設定値やよく使う情報が呼び出し易くセットされるようになり、利便性が向上する。さらに、利用者の識別状況に応じてセンシティブな情報は伏せて表示することができるようになり、セキュリティを向上させることができる。
【実施例２】
【００６６】
上記実施例１では、操作者の交代を操作時間間隔（前回の操作からの経過時間）に基づいて判定する構成であったが、本実施例２では人感センサを用いて操作者の交代を判定する構成とする。以下、詳細に説明する。なお、実施例１と同一の構成については説明を省略し、異なる構成についてのみ説明する。
【００６７】
図６は、実施例２の画像処理装置104のソフトウェア構成を模式的に表す図であり、図４と同一のものには同一の符号を付してある。
人感センサモジュール601は、人感センサを保持しており、画像処理装置104に対して人物が接近してきたことや、離れて行ったことを検知する機能を備えている。
【００６８】
なお、実施例２の利用者識別部406は、人物が接近してきたことや離れて行ったことのようなイベントが発生した記録があるかどうかを、人感センサモジュール601から取得することができるように構成されている。
【００６９】
図７は、実施例２において利用者が操作を開始してから画像処理装置104が利用者に対して画面を提示する際の利用者識別モジュール402の処理の流れを中心に説明するフローチャートである。即ち、このフローチャートの処理は、ＣＰＵ301がＲＯＭ302に格納されるプログラムを実行することにより実現されるものである。なお、図５と同一のステップには同一のステップ番号を付してある。
【００７０】
実施例２では、S503において、利用者識別モジュール402は、操作が行われたと判定した場合（S503でYesの場合）、S704に処理を進める。
S704において、利用者識別モジュール402は、利用者識別部406を用い、人感センサモジュール601から人物の接近や離れて行ったイベントの発生状況を取得し、人物が離れて行ったイベントが１回以上発生しているか否かを判定する。
【００７１】
利用者識別モジュール402は、人物が離れて行ったイベントが１回以上発生していると判定した場合（S704でYesの場合）、S505に処理を進める。
一方、利用者識別モジュール402は、人物が離れて行ったイベントが１回も発生していないと判定した場合（S704でNoの場合）、S507に処理を進める。
他のステップについては図５と同様であるので説明を省略する。
【００７２】
以上示したように、実施例２では、実施例１のように操作が行われた時間間隔に基づいて利用者識別部406が利用者を識別していた構成の代わりに、人感センサモジュール601からの情報を利用する構成を有する。このため、利用者がそれ以前の操作を行っている人物と同一人物であるか否かの判定をより確実に行うことが可能になる。これにより、人物識別の精度が向上し、より利便性やセキュリティを向上させることが可能となる。
【実施例３】
【００７３】
実施例３では、管理者の操作を判別し、管理者に合わせた機能提供を制御する構成について説明する。なお、実施例１、２と同一の構成については説明を省略し、異なる構成についてのみ説明する。
【００７４】
図８は、実施例３の画像処理装置104のソフトウェア構成を模式的に表す図であり、図６と同一のものには同一の符号を付してある。
管理者判別部801は、蓄積部407が蓄積する操作特徴量の記録の中に当該利用者が操作したメニューとして管理者が主に操作するような項目が含まれているかどうかを判別する。管理者は、一般利用者が通常操作しないような、例えば画像処理装置104全体の設定の既定値を変更する操作や、印刷枚数をカウントするカウンタを画面上で確認する操作などを行うことがある。
【００７５】
画像処理装置104の管理者は、ネットワーク103全体が認識している利用者の権限とは独立して設定されることがある。このため、利用者が環境認証システムでは特権を持たない一般利用者であると判定されていても画像処理装置104においては管理者であることがあり得る。
【００７６】
図９は、実施例３において利用者が操作を開始してから画像処理装置104が利用者に対して画面を提示する際の利用者識別モジュール402の処理の流れを中心に説明するフローチャートである。即ち、このフローチャートの処理は、ＣＰＵ301がＲＯＭ302に格納されるプログラムを実行することにより実現されるものである。なお、図７と同一のステップには同一のステップ番号を付してある。
【００７７】
実施例３では、S510において、利用者識別モジュール402は、統合利用者識別子が利用可能であると判定した場合（S510でYesの場合）、S901に処理を進める。
S901において、利用者識別モジュール402は、管理者判別部801を用い、当該統合利用者識別子の付与された操作特徴量記録に管理者作業の記録があるか判別する。利用者識別モジュール402は、当該統合利用者識別子の付与された操作特徴量記録に管理者作業の記録が無いと判定した場合（S901でNoの場合）、S511に処理を進める。
【００７８】
一方、上記S901において、利用者識別モジュール402は、当該統合利用者識別子の付与された操作特徴量記録に管理者作業の記録が有ると判定した場合（S901でYesの場合）、S902に処理を進める。
【００７９】
S902において、利用者識別モジュール402は、制御部411を用い、以下の処理を行う。制御部411は、まず推定保持部412を呼び出し、現在の統合利用者識別子に割り当てられた設定値の既定値を取得し、その後、カスタマイズ画面においてそれら既定値を呼び出し易いようにする等の処理を行う（上記設定値の既定値をセットする）。
【００８０】
次に、S903において、利用者識別モジュール402は、制御部411を用い、管理者向けにカスタマイズされた画面をＨＩＤ307に表示するように制御し、S515に処理を進める。
他のステップについては図７と同様であるので説明を省略する。なお、S704の代わりに図４のS504を用いてもよい。
【００８１】
以上のように、実施例３によれば、画像処理装置104の管理者は、過去に管理者操作を行ったことに基づいて、操作を開始するとともに管理者としての作業を実行しやすく構成された画面を操作することが可能となる。これにより、管理者にとっての利便性がさらに向上する。
【００８２】
以上示したように、各実施例では、環境認証システムでの識別機能と、利用者の操作特徴量を分析し利用者を識別する機能と、これらの相関を用い、機能（画面への情報表示を含む）を利用者向けにカスタマイズする構成を有する。これにより、環境認証システムに接続された画像処理装置にて利用者が認証された当人であるということを確信できない状態で、利用者に不用意に全ての機能を提供することなく必要なセキュリティを保った機能提供を行うことができる。例えば、利用者に向けてカスタマイズされた適切なセキュリティを保った操作画面を利用者に提供することができる。よって、利用者に不用意にセンシティブな情報（取扱注意情報）を全面的に表示することなく、画像処理装置の操作のためのカスタマイズ画面を提供でき、セキュリティを保つことができる。すなわち、利用者が認証された当人であるということを確信できない状態で、利用者に不用意に全ての機能を提供することなく必要なセキュリティを保って機能を提供することができ、画像形成装置の利用におけるセキュリティを向上させることができる。
【００８３】
なお、上述した各種データの構成及びその内容はこれに限定されるものではなく、用途や目的に応じて、様々な構成や内容で構成されていてもよい。
以上、一実施形態について示したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
また、上記各実施例を組み合わせた構成も全て本発明に含まれるものである。
【００８４】
（その他の実施例）
本発明は、上述の実施例の1以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける1つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、1以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
また、本発明は、複数の機器から構成されるシステムに適用しても、1つの機器からなる装置に適用してもよい。
本発明は上記実施例に限定されるものではなく、本発明の趣旨に基づき種々の変形（各実施例の有機的な組合せを含む）が可能であり、それらを本発明の範囲から除外するものではない。即ち、上述した各実施例及びその変形例を組み合わせた構成も全て本発明に含まれるものである。
【図１】
2018207295.tif 000007
【図２】
2018207295.tif 000008
【図３】
2018207295.tif 000009
【図４】
2018207295.tif 000010
【図５】
2018207295.tif 000011
【図６】
2018207295.tif 000012
【図７】
2018207295.tif 000013
【図８】
2018207295.tif 000014
【図９】
2018207295.tif 000015