(57)【要約】【課題】保存領域の属性により許可されないネットワークインタフェースを入力経路とするデータがその保存領域宛に到来した場合に、そのデータを保存しつつも、そのデータが想定外のネットワークインタフェースを介して出力されることを防ぐ。【解決手段】複合機は、異なるネットワークに接続された複数のネットワークインタフェースを備え、複合機が持つボックス（保存領域）への文書の入力経路として許可されるネットワークインタフェースを記憶している。複合機は、ボックス宛の文書が入力された経路のネットワークインタフェースが入力経路として許可されるものか否かを判定し（Ｓ５４）、許可されない場合には、そのボックスの代わりに、ネットワーク経由での文書の転送が許可されない退避用ボックスにその文書を保存する（Ｓ５８）。そして、送信元、複合機の管理者等に、正常な保存ができなかった旨を通知する（Ｓ６０〜Ｓ６４）。【選択図】図１４
2019169784.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワークインタフェースと、
データを保存する保存領域であって、保存のためのデータの入力経路として許可されるネットワークインタフェースを規定する入力属性と、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する出力属性と、が対応付けられている保存領域と、
前記保存領域への保存対象のデータを受け取ったネットワークインタフェースが、前記保存領域に対応付けられている前記入力属性により前記入力経路として許可されるものと異なる場合に、前記データを転送不可能な状態で保存する制御を行う制御手段と、
を含む情報処理装置。
【請求項２】
前記制御手段は、前記制御として、前記保存領域とは別に用意された特別保存領域に前記データを保存する制御を行い、
前記特別保存領域に保存されたデータは前記複数のネットワークインタフェースのいずれを介する出力も禁止される、請求項１に記載の情報処理装置。
【請求項３】
前記制御手段は、前記制御として、前記データに転送不可属性を付加した上で前記データを前記保存領域の保存する請求項１に記載の情報処理装置。
【請求項４】
前記制御が行われた場合に、予め定められた通知先に対して、前記データの正常な保存が行われなかったことを示す通知を行う通知手段、を更に備える請求項１〜３のいずれか１項に記載の情報処理装置。
【請求項５】
前記制御が行われた場合に、前記データの正常な保存が行われなかったことを示す通知データを前記保存領域に保存する、請求項２に記載の情報処理装置。
【請求項６】
複数のネットワークインタフェースを備えるコンピュータを、
データを保存する保存領域であって、保存のためのデータの入力経路として許可されるネットワークインタフェースを規定する入力属性と、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する出力属性と、が対応付けられている保存領域、
前記保存領域への保存対象のデータを受け取ったネットワークインタフェースが、前記保存領域に対応付けられている前記入力属性により前記入力経路として許可されるものと異なる場合に、前記データを転送不可能な状態で保存する制御を行う制御手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置及びプログラムに関する。
【背景技術】
【０００２】
情報処理装置の中には、複数のネットワークインタフェースを介して異なる複数のネットワークに同時に接続可能なものが存在する。この種の情報処理装置が、機密度の高いデータを扱う第１ネットワークと、そうでない第２ネットワークとの両方に接続される場合もあり得る。例えば、情報処理装置が、デジタル複合機等の高価な機器である場合、第１ネットワークと第２ネットワークとで共用できた方がコスト面で有利である。このような場合、第１ネットワーク上で取り扱われるデータがその情報処理装置内の保存領域にいったん保存されたあと、その保存領域から第２ネットワーク上に漏洩する事態が起こり得る。
【０００３】
特許文献１に開示されたシステムでは、印刷制御装置がいずれかのネットワークを介してジョブを受信すると、該ジョブを受信したネットワークを特定し、特定したネットワークの情報をジョブの属性値として付加し、画像形成装置へ保存する際に、ジョブの属性値として付加されたネットワーク情報を管理テーブルに格納してジョブと共に管理する。そして、端末装置からＨＤＤに保存されているデータの取得要求がなされた場合、管理テーブルを参照して該データにネットワーク情報を付加し、該ネットワーク情報と送信先ネットワーク情報に基づいて送信条件に満足するか判定を行い、満足する場合にデータを送信する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第５５１１３３２号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００５】
例えば、複数のネットワークインタフェースを介して異なる複数のネットワークに同時に接続可能な情報処理装置が、機密度の高いデータを扱う第１ネットワークと、そうでない第２ネットワークとの両方に接続される場合があり得る情報処理装置が、デジタル複合機等の高価な機器である場合、第１ネットワークと第２ネットワークとで共用できた方がコスト面で有利である。このような場合、第１ネットワーク上で取り扱われるデータがその情報処理装置内の保存領域にいったん保存されたあと、その保存領域から第２ネットワーク上に漏洩する事態が起こり得る。このような事態を避けるための方法の一つとして、例えば、第１ネットワークからのデータを保存するための専用の保存領域を情報処理装置内に設け、その保存領域に対して入出力経路に関する属性を設定し、その属性に従ってその保存領域に対するデータの入出力を制御することが考えられる。上述の例では、その保存領域の属性として、その保存領域に対するデータの入力経路とその保存領域内のデータの出力経路として第１ネットワーク用のネットワークインタフェースは許可するが第２ネットワーク用のネットワークインタフェースは許可しない旨を示す属性を設定することが考えられる。この方法では、その保存領域に保存されたデータに対して、第２ネットワーク用のネットワークインタフェースを介して出力する指示があっても、その属性を参照した制御により、その指示は実行されない。
【０００６】
このような方法を用いる場合、保存領域に対して、その保存領域の属性で入力経路として許可されていないネットワークインタフェースを介してデータが入力されることが起こり得る。保存領域の属性により許可されないとしてこのようなデータを単に破棄したのでは、そのデータの内容が確認できなくなる事態や、属性により許可されないデータを受信したことすら分からなくなる事態が起こると予想される。かといって、そのデータを属性に反してその保存領域に保存すると、そのデータは、その属性により出力経路として許可されるネットワークインタフェースを介してネットワーク上に出力可能になる。もし、そのデータが本来保存されるべき保存領域とは異なる第２の保存領域に保存されてしまうと、その第２の保存領域の属性に従い、そのデータが本来許可されないネットワークへと出力されてしまう可能性がある。
【０００７】
本発明は、保存領域の属性により許可されないネットワークインタフェースを入力経路とするデータがその保存領域宛に到来した場合に、そのデータを保存しつつも、そのデータが想定外のネットワークインタフェースを介して出力されることを防ぐことを目的とする。
【課題を解決するための手段】
【０００８】
請求項１に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域であって、保存のためのデータの入力経路として許可されるネットワークインタフェースを規定する入力属性と、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する出力属性と、が対応付けられている保存領域と、前記保存領域への保存対象のデータを受け取ったネットワークインタフェースが、前記保存領域に対応付けられている前記入力属性により前記入力経路として許可されるものと異なる場合に、前記データを転送不可能な状態で保存する制御を行う制御手段と、を含む情報処理装置である。
【０００９】
請求項２に係る発明は、前記制御手段は、前記制御として、前記保存領域とは別に用意された特別保存領域に前記データを保存する制御を行い、前記特別保存領域に保存されたデータは前記複数のネットワークインタフェースのいずれを介する出力も禁止される、請求項１に記載の情報処理装置である。
【００１０】
請求項３に係る発明は、前記制御手段は、前記制御として、前記データに転送不可属性を付加した上で前記データを前記保存領域の保存する請求項１に記載の情報処理装置である。
【００１１】
請求項４に係る発明は、前記制御が行われた場合に、予め定められた通知先に対して、前記データの正常な保存が行われなかったことを示す通知を行う通知手段、を更に備える請求項１〜３のいずれか１項に記載の情報処理装置である。
【００１２】
請求項５に係る発明は、前記制御が行われた場合に、前記データの正常な保存が行われなかったことを示す通知データを前記保存領域に保存する、請求項２に記載の情報処理装置である。
【００１３】
請求項６に係る発明は、複数のネットワークインタフェースを備えるコンピュータを、データを保存する保存領域であって、保存のためのデータの入力経路として許可されるネットワークインタフェースを規定する入力属性と、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する出力属性と、が対応付けられている保存領域、前記保存領域への保存対象のデータを受け取ったネットワークインタフェースが、前記保存領域に対応付けられている前記入力属性により前記入力経路として許可されるものと異なる場合に、前記データを転送不可能な状態で保存する制御を行う制御手段、として機能させるためのプログラムである。
【発明の効果】
【００１４】
請求項１又は６に係る発明によれば、保存領域の属性により許可されないネットワークインタフェースを入力経路とするデータがその保存領域宛に到来した場合に、そのデータを保存しつつも、そのデータが想定外のネットワークインタフェースを介して出力されることを防ぐことができる。
【００１５】
請求項２に係る発明によれば、保存領域が複数存在する場合において、保存領域への入力経路として許可されないネットワークインタフェースを介して受け取ったデータを、転送付加属性付きでそれぞれの宛先の保存領域に保存する場合に比べて、転送不可能な状態で保存するデータを管理しやすくすることができる。
【００１６】
請求項３に係る発明によれば、保存領域への入力経路として許可されないネットワークインタフェースを介して受け取ったデータを、宛先の保存領域ではなく特別保存領域に保存する場合に比べて、そのデータの宛先であった保存領域の管理者がそのデータの管理をしやすくすることができる。
【００１７】
請求項４に係る発明によれば、入力経路として許可されないネットワークインタフェースを介して保存領域に入力されたデータがあったことを通知することができる。
【００１８】
請求項５に係る発明によれば、入力経路として許可されないネットワークインタフェースを介して保存領域に入力されたデータを、その保存領域ではなく特別保存領域に保存した場合に、その保存領域の管理者がその事実を知ることができる。
【図面の簡単な説明】
【００１９】
【図１】本発明に係る情報処理装置の一実施形態としての複合機１００が接続されるネットワーク環境の一例を示すである。
【図２】複合機の内部構成を例示する図である。
【図３】ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを例示する図である。
【図４】入出力経路アクセス権限情報のデータ構造の例を示す図である。
【図５】図５の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。
【図６】ローカルのＵＩ（ユーザインタフェース）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。
【図７】リモート（ネットワーク）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。
【図８】入出力経路アクセス権限情報のデータ構造の別の例を示す図である。
【図９】図８の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。
【図１０】未指定時情報の項目を含む入出力経路アクセス権限情報のデータ構造の例を示す図である。
【図１１】通知部を備える実施形態の装置構成を例示する図である。
【図１２】ボックスオーナーの情報を含むボックス入出力情報を例示する図である。
【図１３】ユーザのメールアドレス情報を例示する図である。
【図１４】ボックス宛の文書を受信したときの入出力制御部の処理手順を例示する図である。
【図１５】ボックス宛の文書を受信したときの入出力制御部の処理手順の別の例を示す図である。
【発明を実施するための形態】
【００２０】
＜装置構成＞
図１に、本発明に係る情報処理装置の一実施形態としての複合機１００が接続されるネットワーク環境の一例を示す。
【００２１】
この例では、複合機１００は、３つのネットワークインタフェースを内蔵しており、それらネットワークインタフェースを介してＬＡＮ１、ＬＡＮ２、Wi-Fi（登録商標）という３つの異なるネットワークに接続されている。各ネットワーク上のＰＣ（パーソナルコンピュータ）やモバイル端末等のコンピュータ２００は、各々が接続されているネットワークを経由して、複合機１００とデータのやりとりを行う。なお、複合機とは、プリンタ、スキャナ、コピー機、ファクシミリ等の機能を併せ持つ装置のことである。
【００２２】
図２に、複合機１００の内部構成の一例を示す。複合機１００は、スキャナ１０１、プリンタ１０３、ファクシミリ装置１０５、表示装置１０７、不揮発性記憶装置１０９、主制御部１１０、ネットワークインタフェース１２０−１、１１２−２及び１１２−３（以下区別の必要がないときは「ネットワークインタフェース１２０」と総称）を有する。
【００２３】
スキャナ１０１は、原稿の画像を光学的に読み取ってその画像を表す画像データを生成する。プリンタ１０３は、画像データが表す画像を用紙に印刷する。スキャナ１０１とプリンタ１０３を連係動作させることで、コピー処理が実現される。ファクシミリ装置１０５は、ファクシミリの送受信を行う。表示装置１０７は、複合機１００のＵＩ（ユーザインタフェース）用の画面を表示する装置である。この例では、表示装置１０７はタッチパネル型の装置として構成されており、入力装置も兼ねる（ただしこれはあくまで一例に過ぎない）。不揮発性記憶装置１０９は、電源をオフしても記憶を保持する記憶装置であり、ハードディスクドライブやフラッシュメモリがその一例である。
【００２４】
主制御部１１０は、複合機１００の動作を制御する装置であり、データ処理を行うコンピュータと、そのコンピュータが実行する制御プログラムとを含んでいる。主制御部１１０は、表示装置１０７に表示したＵＩ画面に対するユーザの入力を受け取り、この入力に応じてスキャナ１０１、プリンタ１０３、ファクシミリ１０５等を制御することで、ユーザの指示する処理を実現する。また、主制御部１１０は、ネットワークインタフェース１２０−１、１２０−２及び１２０−３を介してネットワークに接続されており、ネットワーク上のコンピュータと指示やデータのやりとりを行う。図１及び図２の例では、ネットワークインタフェース１２０−１はＬＡＮ１に、ネットワークインタフェース１２０−２はＬＡＮ２に、ネットワークインタフェース１２０−３はWi-Fi経由であるネットワークに、それぞれ接続されているとする。以下の説明のために、この例では、少なくともＬＡＮ１とＬＡＮ２は異なるネットワークであるものとする。また、複合機１００がWi-Fi経由で接続されているネットワークは、ＬＡＮ１に接続されているものとする。
【００２５】
複合機１００は、画像データやページ記述言語で記述された印刷データ、各種のアプリケーションで生成されたファイル等の電子文書データ（以下単に「文書」と呼ぶ）を不揮発性記憶装置１０９に保存する機能を有する。
【００２６】
複合機１００には、文書の保存領域を複数設けることが可能である。保存領域の具体的な実現方式に特に限定はない。例えば、個々の保存領域は、主制御部１１０のファイルシステムが管理する１つのフォルダであってもよいし、不揮発性記憶装置１０９に対して設定された１つの論理パーティション又は論理ドライブであってもよい。また、複合機１００に不揮発性記憶装置１０９（物理ドライブ）を複数設け、それら個々の物理ドライブをそれぞれ別々の保存領域として定義してもよい。また、これら例示した種類の保存領域を組み合わせて利用可能としてもよい。以下では、個々の保存領域のことを比喩的に「ボックス」と呼ぶ。個々のボックスにアクセス可能なユーザを制限するために、ボックスに対してパスワードを設定したり、アクセス制御リストによりボックスに対する各ユーザのアクセス権限を規定したりすることも可能である。
【００２７】
主制御部１１０は、このようなボックスに対する文書の入力（保存、蓄積）及び出力（取り出し）を制御する機能を持つ。
【００２８】
ボックスには、スキャナ１０１のスキャンにより生成された文書（画像データ）、ファクシミリ装置１０５が受信した文書、ネットワーク経由で入力された文書などが保存される。また、ボックスに保存された文書は、プリンタ１０３からの印刷出力、ファクシミリ装置１０５による送信、又はネットワーク経由での送信等の態様で出力される。
【００２９】
図に例示した複合機１００は複数の異なるネットワークに接続されているが、これらネットワークごとにセキュリティに関する要件が異なる場合がある。例えば、オフィスにおいて、機密性が高いデータを取り扱う部門とそうでない部門とでネットワークを分けることで、後者の部門のスタッフがネットワーク経由で機密性の高いデータにアクセスできないようにする場合がその一例である。このような場合でも、高価な複合機１００を部門ごとに設置することが困難で、１つの複合機１００を複数部門で共用することがある。このような場合、複合機１００が、セキュリティ要件の厳しい部門（便宜上「第１部門」と呼ぶ）のネットワークと、そうでない部門のネットワークに接続されることになる。前者の部門のセキュリティ要件を満たすには、複合機１００内のボックス（保存領域）として、前者の部門専用のボックスを用意し、このボックスに保存された文書が後者の部門のネットワークに流出しないようにする必要がある。
【００３０】
例えば、第１部門のネットワークと、これと異なる他の部門のネットワークとが、プライベートＩＰアドレスとして同じネットワークアドレスを用いている場合があり得る。このような場合、複合機１００内のボックスへのアクセス制限やボックス内の文書の転送制限をＩＰアドレスで行うことはできない。対策として、例えば、ボックス内の文書を送信する際に、その送信を指示するユーザが、その送信において経由するネットワークインタフェース１２０を指定すれば、そのボックス内の文書が想定外のネットワークに流出することを防げる。しかし、経由するネットワークインタフェース１２０を指定することは一般ユーザにとって難度が高い要求であり、ユーザを迷わせたり、誤った選択を誘発したりする可能性が少なくない。
【００３１】
そこで、本実施形態では、ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを設けている。以下、この仕組みについて説明する。
【００３２】
図３に、この仕組みのために主制御部１１０が有する機能群を示す。ボックス記憶部１１１は、１以上のボックスの情報と、各ボックスに保存される文書の情報とを記憶する。入出力制御部１１３は、ボックス記憶部１１１に対する文書の入力（保存）又は出力（転送、印刷等）の制御を行う。
【００３３】
入出力先判定部１１５は、ボックスに対する操作指示や文書の入力の入力元、及びボックス内の文書の出力先を判定する。ボックスに対する操作指示の入力元としては、ローカルのＵＩ（すなわち表示装置１０７）と、ネットワーク上の装置とがある。ネットワーク上の装置は、複数のネットワークインタフェース１２０のいずれかを介して主制御部１１０と通信するので、入出力先判定部１１５は、到来した操作指示が、ローカルのＵＩ及び複数のネットワークインタフェース１２０のいずれからのものかを判定する。同様に、入出力先判定部１１５は、ボックスに対して文書が入力された場合、その入力元が、ローカルのスキャナ１０１及びファクシミリ装置１０５（ファクシミリ受信）、並びに複数のネットワークインタフェース１２０のいずれからのものかを判定する。入出力先判定部１１５は、ボックス内の文書の出力指示を受けた場合、その出力先が、ローカルのプリンタ１０３及びファクシミリ装置１０５（ファクシミリ送信）、並びに複数のネットワークインタフェース１２０のいずれへのものかを判定する。
【００３４】
ボックス認証部１１７は、ユーザのボックスへのアクセス認証、及び到来した文書のボックスへの入力（保存）のための認証を行う。この認証は、例えば操作または文書入力の対象のボックスに設定されたパスワードを用いて行う。すなわち、ユーザがボックスの操作を開始しようとした場合、パスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、そのユーザからの操作を許可する。また、ボックス宛のファクシミリ受信の場合、受信した文書に付随するパスワードがそのボックスに設定されたパスワードと合致する場合、その文書をそのボックスに蓄積することを許可する。また、ボックスに対してアクセス制御リストが設定されている場合、図示省略したユーザ認証機構が複合機１００は操作を行おうとするユーザに対してユーザ認証を行い、ボックス認証部１１７は、ユーザ認証により特定されたユーザがそのボックスのアクセス制御リストにより許可される権限の範囲内で、そのボックスに対する操作を許可する。例えば、ユーザがそのボックスについて、文書の蓄積及び印刷の権限は認めているが、ファクシミリ及びネットワーク経由での転送の権限を認めていない場合、ユーザからの転送指示は不許可とする。なお、ボックスにパスワードが設定されておらず、アクセス制御リストによるアクセス制御も行われない場合は、ユーザはそのボックスに対してすべての操作が許可される（ただし、別途、その操作に係るボックス内の文書の入出力先に応じた後述する操作制限は受ける）。
【００３５】
管理情報記憶部１１９は、ボックスへの入出力についての入出力制御部１１３の制御のために用いる管理情報を保持する。保持される管理情報には、ボックスごとに各入出力先からの入出力の許可・不許可を示すボックス入出力情報が含まれる。ボックス入出力情報は、例えば、ボックスごとに、そのボックスに対する操作指示又は文書の入力を許可する入力元、及びそのボックス内の文書の出力を許可する出力先を規定する。この場合、ボックス入出力情報に許可の旨が規定されない入力元からの入力、及び出力先への出力は許可されない。また、ボックス入出力情報は、許可する入力元及び出力先を規定する代わりに、不許可とする入力元及び出力先を規定するものであってもよい。この場合、ボックス入出力情報に不許可の旨が規定されない入力元からの入力、及び出力先への出力は許可される。また、ボックス入出力情報は、入力元と出力先について個別に規定するものに限らず、あるソース（またはネットワークインタフェース１２０）に対して、ボックスへの入力及び出力の両方を一括して許可又は不許可とする旨を規定するものであってもよい。
【００３６】
また、ボックス内の文書の意図せぬ漏洩の防止という観点では、ボックスへの入力（保存）を制限しなくてよい場合も考えられる。そのような場合には、ボックス入出力情報は、許可されるボックスからの出力先（又は不許可とするボックスからの出力先）を規定するものであれば足りる場合がある。ただし、前述したセキュリティ要件が異なる複数のネットワークに複合機１００が接続される例のように、セキュリティ要件が厳しいネットワークからの文書が、セキュリティ要件の緩いネットワークへの出力を許可するボックスに蓄積されると、そのボックスを介して後者のネットワークに漏洩するリスクがある。そこで、このような場合にはボックス入出力情報には、入力元についても規定する。
【００３７】
また、複合機１００のローカルの（すなわちネットワーク経由でない）入出力、すなわちスキャンやファクシミリ等からの文書のボックスへの保存、ボックス内の文書の印刷出力及びファクシミリ送信等は、複合機１００の基本的な機能であり、これらについてはデフォルトで許可としてもよい。以下に示すいくつかの具体例では、ボックスへのローカルの入出力は許可されているとする。この場合、ボックス入出力情報は、各ネットワークインタフェース１２０を経路とする入力及び出力の許可又は不許可を規定するものとなる。
【００３８】
入出力制御部１１３は、管理情報記憶部１１９に保持されたボックス入出力情報等の管理情報を参照して、ボックス記憶部１１１内の個々のボックスへの文書の入力及び出力の制御を行う。
【００３９】
次に、具体例を用いて、入出力制御部１１３の処理を説明する。
【００４０】
図４及び図５には、一つの具体例において用いる、管理情報記憶部１１９に保持される入出力経路アクセス権限情報、及びボックス入出力情報を示す。この例は、複合機１００が、図１に示したＬＡＮ１、ＬＡＮ２、及びWi-Fiという３つのネットワークに（これらに対応する３つのネットワークインタフェース１２０を介して）接続されている場合の例である。
【００４１】
図４に示す入出力経路アクセス権限情報は、ネットワークグループを規定する情報である。この情報は、ネットワークグループＩＤと、これに対応するネットワークインタフェース情報とを含む。ネットワークグループＩＤは、ネットワークグループを一意に識別するためのＩＤである。ネットワークインタフェース情報は、当該ネットワークグループＩＤのネットワークグループを構成するネットワークインタフェースのＩＤのリストである。図４の例では、「グループ１」は「ＬＡＮ１」というネットワークインタフェース１２０（及びその先に繋がるネットワーク）のみから構成され、「グループ５」は「ＬＡＮ１」及び「Wi-Fi」という２つのネットワークインタフェース１２０から構成される。このグループの情報は、図５に例示するボックス入出力情報において、ボックスに対する入出力を許可するグループを表すために用いられる。なお、「グループ４」は、ネットワークインタフェース情報の値が「Ｎｏｎｅ」（すなわち「なし」）となっているが、これはネットワークインタフェース１２０経由のボックスへの入出力を一切許可しない場合に用いられる。また、「グループ５」は、例えば「ＬＡＮ１」と「Wi-Fi」によってそれぞれ接続されるネットワークで同様のセキュリティ要件に従った文書を取り扱う場合に用いられる。このグループをボックスに対応付けた場合、そのボックスで取り扱う（すなわち保存したり出力したりする）文書は、ＬＡＮ１及びWi-Fiで通信するものに限られる。
【００４２】
図５に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスへの入出力を許可するネットワークグループのＩＤを規定する。すなわち、図４及び図５の例では、ボックスに対応付けられたネットワークグループに属するネットワークインタフェース１２０は、そのボックスに対する入力及び出力の両方の経路として許可される。
【００４３】
図５の例では、「ボックス１」という名称のボックス（ボックスＩＤは「００１」）は、グループ１に対応付けられている。したがって、このボックス１については、グループ１に属する「ＬＡＮ１」というＩＤのネットワークインタフェース１２０を経由する入出力は許可されるが、他のネットワークインタフェース１２０を経由する入出力は許可されない。すなわち、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１経由での文書保存は許可
２）ＬＡＮ２又はWi-Fi経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可
【００４４】
なお、この例ではローカルの入出力はデフォルトで許可となっているので、ボックス１へのスキャン及びファクシミリ受信による文書の保存、及びボックス１内の文書の印刷及びファクシミリ送信による出力は許可される。
【００４５】
このように、図４及び図５に示した例は、ボックスごとにいわばそのボックスを利用可能なネットワークを規定するものである。この例では、ボックスのネットワーク経由で利用できる（すなわちボックスを操作できる、ボックスに文書を保存できる、ボックス内の装置を取り出せる、又はその文書の転送先となれる）のは、そのボックスに対応付けられたネットワークグループに属するネットワーク上の装置に限定される。したがって、複数のネットワークで共用される複合機１００内の各ボックスを、ネットワークごとに分離することができる。また、この例では、ローカルから（すなわちスキャナ１０１又はファクシミリ装置１０５から）ボックス内に保存された文書についても、リモートのコンピュータからその文書を取り出したり、リモートのコンピュータにその文書を転送したりする際に、そのボックスについてのボックス入出力情報が適用される。したがって、そのようなローカルからボックスに保存した文書についても、ボックスを介して意図せぬネットワークに漏洩することが防止される。
【００４６】
次に図６及び図７を参照して、入出力制御部１１３が実行する処理手順の一例を説明する。
【００４７】
図６は、ユーザがローカルのＵＩ（表示装置１０７）の画面上であるボックスを操作対象として指定した場合に、入出力制御部１１３が行う処理の例を示す。この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ１０）。ボックス認証部１１７は、そのボックスにパスワードが設定されている場合は、パスワード入力画面をＵＩに表示し、ユーザにパスワード入力を求める。これに応じてユーザが入力したパスワードがそのボックスに設定されたパスワードと一致すれば、ボックス認証部１１７は、認証成功とする。また、ボックスへのアクセスをユーザ認証ベースのアクセス制御リストにより制御する方式の場合は、ボックス認証部１１７は、図示しないユーザ認証機構にユーザのログイン認証を行わせ、このログイン認証が成功した場合、そのユーザのユーザＩＤをユーザ認証機構から得る。そして、そのユーザＩＤがそのボックスに対して何らかのアクセス権（例えばボックスへの文書の保存又は取り出し等の権限）を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ１０の認証を成功とし、一切アクセス権を持っていなければ認証を失敗とする。入出力制御部１１３は、ボックス認証部１１７の認証が成功したか否かを判定する（Ｓ１２）
【００４８】
ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。
【００４９】
ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するユーザからの指示が、そのボックス内の文書をネットワーク経由で転送する操作を指示するものであるかどうかを判定する（Ｓ１６）。例えばＦＴＰ(File Transfer Protocol)やＳＭＴＰ（Simple Mail Transfer Protocol）のようなネットワーク転送のプロトコルを用いた転送操作が指示された場合、Ｓ１６の判定結果はＹｅｓとなる。逆に、そのボックス内の文書の印刷出力、ファクシミリ送信、又はそのスキャン結果の文書のボックス内への保存等の、ネットワーク経由の転送以外の操作が指示された場合は、Ｓ１６の判定結果がＮｏとなる。
【００５０】
Ｓ１６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（ｓ１８）。例えば、ユーザが、スキャンした文書をそのボックスに保存する操作を指示した場合、入出力制御部１１３は、スキャナ１０１が生成した文書を受け取ってボックス記憶部１１１内のそのボックスに保存する。
【００５１】
Ｓ１６の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された転送（送信）の転送先への出力経路がどのネットワークインタフェース１２０となるかを入出力先判定部１１５に判定させる。入出力先判定部１１５は、この判定を、例えば、転送先のアドレス（例えばＩＰアドレス）がどのネットワークインタフェース１２０の先にあるネットワークのものかを判定することで行えばよい。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の出力経路として許可されているか否かを判定する（Ｓ２０）。図４及び図５の例の場合、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合Ｓ２０の判定結果はＹｅｓとなり、含まれない場合はＳ２０の判定結果はＮｏとなる。
【００５２】
Ｓ２０の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。
【００５３】
Ｓ２０の判定結果がＹｅｓの場合、入出力制御部１１３は、転送対象に指定された文書を、指定された転送先に転送する（Ｓ２２）。
【００５４】
図７は、ユーザが複合機１００とネットワークを介して接続されたリモートのコンピュータからボックスに対する操作を指示した場合の入出力制御部１１３が行う処理の例を示す。リモートからのボックスの操作には、例えばボックスに対する文書の保存（すなわち当該コンピュータからボックスへのアップロード）、ボックス内の文書の取り出し（ボックスから当該コンピュータへのダウンロード）、ボックスの操作画面の表示等がある。
【００５５】
この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ３０）。リモートからの指示がそのボックス宛の文書保存指示である場合、ボックス認証部１１７は、例えば、そのボックスに設定されているパスワードがその文書保存指示に含まれているか調べ、含まれていれば認証成功、そうで無ければ認証失敗と判定する。また、リモートのユーザからボックスへのアクセス要求を受けた場合は、ボックス認証部１１７は、ボックスのパスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、認証成功とする。また、ボックスへのアクセスをアクセス制御リストにより制御する方式の場合は、図６の場合と同様、ユーザ認証が成功していれば、ボックス認証部１１７は、ログインが成功しているユーザＩＤをユーザ認証機構から得て、そのユーザＩＤがそのボックスに対して何らかのアクセス権を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ１０の認証を成功とする。
【００５６】
ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー情報をリモートの指示元の装置に表示し（Ｓ３４）、処理を終了する。
【００５７】
ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するリモートのユーザからの指示が、そのボックスへの文書の保存（アップロード）指示、又はボックス内の文書の取り出し（ダウンロード）指示であるかどうかを判定する（Ｓ３６）。
【００５８】
Ｓ３６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（Ｓ４０）。例えば、ユーザの指示が、そのボックス内の操作画面の表示を求めるものであれば、その操作画面の情報をそのユーザのコンピュータにネットワーク経由で送信する。
【００５９】
Ｓ３６の判定結果がＹｅｓの場合、入出力制御部１１３は、そのリモートのユーザからの指示を受け取った経路がどのネットワークインタフェース１２０であるかを入出力先判定部１１５に判定させる。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の入力または出力の経路として許可されているか否かを判定する（Ｓ３８）。この判定では、文書保存指示の場合は、判定したネットワークインタフェース１２０が入力経路として許可されているか否かを判定し、文書のとりだし指示の場合は、そのネットワークインタフェース１２０が出力経路として許可されているかを判定する。図４及び図５の例の場合、入出力を区別していないので、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合、Ｓ３８の判定結果はＹｅｓとなり、含まれない場合はＳ４０の判定結果はＮｏとなる。
【００６０】
Ｓ３８の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー情報をリモートのユーザのコンピュータに返し（Ｓ３４）、処理を終了する。指示された操作が文書の保存であった場合、その指示に付随して受信した文書はこのとき破棄される。Ｓ３８の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された操作、例えばボックスへの文書の保存、又はボックス内の文書の取り出しを実行する（Ｓ４０）。
【００６１】
図７の手順では、リモートのコンピュータからボックスへの操作指示を受けると、その指示とそのコンピュータのあるネットワークとの組合せから、その指示に係る操作が許可できるか否かを判定したが、この指示と判定の順序は一例に過ぎない。この代わりに、ユーザがリモートから複合機１００内のボックスにアクセスした際、そのコンピュータからそのボックスに対して文書の入力又は出力が認められるかを入出力制御部１１３が判定し、認められない操作は例えば操作画面上に選択不可状態（すなわちその操作を画面上で選択できない状態）で表示してもよい。
【００６２】
図７の処理によれば、ボックスに対してユーザがリモートのコンピュータからアクセスした場合、ユーザがそのボックスにアクセス権を持っていたとしても、そのコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合には、そのボックスに対する文書の保存又は取り出しを行うことはできない。ただし、この場合でも、文書の保存又は取り出し以外のそのボックスに対するある範囲の操作は許可されるようにしてもよい。また、ボックスにアクセスするコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合に、そのボックスの操作画面の表示すら許可しないようにしてもよい。
【００６３】
次に図８及び図９を参照して、管理情報記憶部１１９に保持されるボックス入出力情報の別の例を説明する。
【００６４】
図８は、この例における入出力経路アクセス権限情報の一例を示す。この入出力経路アクセス権限情報は、図４の例と異なり、入力経路と出力経路とに分けて規定されている。すなわち、図８の入出力アクセス権限情報は、入力許可経路と出力許可経路の組合せを１つのパターンとして、１以上のパターンを規定している、入力許可経路は、そのボックスに対する文書の入力経路として許可される１以上のネットワークインタフェース１２０であり、出力許可経路は、そのボックス内の文書の出力経路として許可される１以上のネットワークインタフェース１２０である。例えば、パターン３は、ボックスへの入力経路として、ＬＡＮ１、ＬＡＮ２及びWi-Fiの３つのネットワークインタフェース１２０を許可するが、出力経路としては１つのネットワークインタフェース１２０も許可しない（「Ｎｏｎｅ」）。これは、当該ボックス内の文書は、ネットワーク経由での出力は一切許可しないことを意味する。
【００６５】
図９に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスに設定された入出力アクセス権限情報のパターンＩＤを規定する。
【００６６】
図９の例では、ボックス１（ボックスＩＤは「００１」）は、パターン１に対応付けられている。したがって、このボックス１については、ＬＡＮ１及びWi-Fiの２つのネットワークインタフェース１２０を経由する文書の入力（保存）と、ＬＡＮ１を経由する文書の出力が許可される。したがって、図１に例示したＬＡＮ１、ＬＡＮ２及びWi-Fiに接続された複合機１００の場合、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１又はWi-Fi経由での文書保存は許可
２）ＬＡＮ２経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可
【００６７】
このボックス１に対応付けられたパターン１は、例えば、ＬＡＮ１及びWi-Fiが接続されるネットワークは同様の機密が要求される文書を扱うものであるが、ＬＡＮ１の方がWi-Fiよりもネットワークとしてのセキュリティが高い場合に有用である。すなわち、ボックス１への文書の入力は当該文書については１回きりの話なのでＬＡＮ１及びWi-Fiの両方からの入力を認めても漏洩リスクは少ないが、文書の出力は、１つの文書について何回も行われるので、Wi-Fiよりも漏洩リスクが少ないと考えられるＬＡＮ１のみを許可することで、漏洩リスクを低減するのである。
【００６８】
また、パターン３が設定されたボックス３の場合、ネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書保存は許可
２）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書の出力（取り出し及び転送）は不許可
【００６９】
なお、図８に例示したパターンはいずれも出力許可経路として指定されるネットワークインタフェース１２０が１つだけであったが、出力許可経路に複数のネットワークインタフェース１２０が設定されていてもよい。
【００７０】
この図８及び図９に例示した入出力経路アクセス権限情報及びボックス入出力情報に基づく入出力制御部１１３の制御の手順は、図６及び図７に示した手順と同様でよい。
【００７１】
次に、未指定時情報を用いたボックス内の文書の出力制御の例を説明する。
【００７２】
ボックスに対して、文書の出力経路として許可されるネットワークインタフェース１２０が複数設定されている場合がある。例えば図４のグループ５が設定されているボックスがあった場合、そのボックスはこのケースに該当する。このようなボックス内の文書をネットワーク経由で転送する場合、出力経路として設定されている複数のネットワークインタフェース１２０のどれ用いてもその転送先に文書が転送できる場合がある。この場合、転送を指示するユーザがその文書の転送の経路とするネットワークインタフェース１２０を明示的に指定しないと、その文書は、それら複数のネットワークインタフェース１２０のうちオペレーティングシステムに選ばれたものを経由して転送されることとなる。しかし、例えば前に例示したＬＡＮ１とWi-Fiの関係のように、文書出力が許可される経路としてボックスに設定されている複数のネットワークインタフェース１２０が、同じネットワークに接続されているものの、転送データの漏洩リスクの点では優劣がある場合がある。この場合、それら複数のネットワークインタフェース１２０からオペレーティングシステムが選択するネットワークインタフェース１２０が、漏洩リスクの点でよりよいものであるとは限らない。
【００７３】
以上、ユーザが文書転送の経路となるネットワークインタフェース１２０を指定しない場合を例にとったが、例えば文書の転送を含む処理フロー（特開２０１３−１３８２８４号公報に示される指示書がその一例）をボックスに適用する場合に、その処理フローには転送先の装置の名前やアドレス等は記述されるが、経由するネットワークインタフェースまでは規定されない場合が多い。したがって、ボックスに対して処理フローを用いる場合も、同様の事態が起こり得る。
【００７４】
このような事態を防止するために、この例では、ボックスに対して未指定時情報を設定可能とする。未指定時情報は、ボックス内の文書をネットワーク経由で転送する際に出力経路のネットワークインタフェース１２０がユーザや処理フロー等により明示的に指定されていない場合に、出力経路として用いるネットワークインタフェース１２０を規定する。
【００７５】
図１０に、図４の入出力経路アクセス権限情報に未指定時情報の項目を追加した例を示す。未指定時情報の項目に示されるネットワークインタフェース１２０は、ネットワークインタフェース情報の項目に示される１以上のネットワークインタフェース１２０から選ばれる。図示例では、グループ６が設定されたボックスは、ＬＡＮ１及びWi-Fi経由で文書の保存及び取り出し・転送が許可されるが、ボックス内の文書の転送指示において経由するネットワークインタフェース１２０がユーザ等から指定されない場合、入出力制御部１１３は、その指示に係る転送の際に、未指定時情報に規定されるＬＡＮ１を経路として選択する。
【００７６】
このような制御により、ボックス内の文書の転送において経路とするネットワークインタフェース１２０が明示的に指定されなかった場合に、オペレーティングシステムにより漏洩等の観点で劣っているネットワークインタフェース１２０が経路として選ばれることが防止される。
【００７７】
なお、以上の実施形態及びその変形例において、ボックス内の文書の転送の際に経由するネットワークインタフェース１２０としてユーザが明示的に指定したものが、そのボックスのボックス入出力情報において出力経路として許可されないものである場合には、入出力制御部１１３は、その転送を実施せず、ユーザに対して実行不可の旨を応答する。
【００７８】
図１０は、図４の入出力経路アクセス権限情報に未指定時情報の項目を加えたものであったが、図８の入出力経路アクセス権限情報にも同様に未指定時情報の項目を加えて運用することができる。
＜ボックスへの文書入力時の制御＞
【００７９】
以上に説明した例では、入出力制御部１１３は、ボックスの入力経路として許可されていないネットワークインタフェース１２０を経由してそのボックス宛の文書を受信した場合、その文書はそのボックスに保存されずに破棄した（図７のＳ３４）。
【００８０】
しかし、ボックスの設定上許可されない受信文書をこのように単に破棄したのでは、かえって不便な場合がある。例えば、単に破棄すると、いったいどのような文書を受信したのかを後で確認することができない。また、受信側が、送られてきた文書があったことを知ることすらできない場合もある。また、例えば送信者がその文書をメールプロトコルで（例えばインターネットＦＡＸとして）ボックスに送った場合、その文書が入出力制御部１１３により破棄されてしまうと、メールプロトコル上では文書は送信先に届いているので送信失敗の通知が行われないので、送信者は文書のボックスへの保存されなかったことを知ることができない。かといって、その文書をボックスに設定されたボックス入出力情報に反してその保存領域に保存すると、その文書は、そのボックス入出力情報により出力経路として許可されるネットワークインタフェース１２０を介してネットワーク上に出力可能になり、その文書の漏洩に繋がる可能性がある。
【００８１】
そこで、本実施形態では、入出力制御部１１３は、受信したボックス宛の文書の入力経路のネットワークインタフェース１２０がそのボックスへの入力経路として許可されないものである場合、その文書を転送不可能な態様で複合機１００内に保存する。この場合、文書は、通常通りに利用可能な態様では保存されないので、「保存失敗」として取り扱う。
【００８２】
転送不可能な態様での保存にはいくつかの方式がある。第１の方式は、ネットワーク経由での転送不可の状態に設定された特別な退避用ボックスを用意し、入力経路として許可されないネットワークインタフェース１２０を経由してボックス宛に受信した文書はその退避用ボックスに保存するという方式である。例えば、当該退避用ボックスのボックス入出力情報に、出力経路として許可するネットワークインタフェース１２０を一つも登録しないことで、その退避用ボックスに保存された文書がネットワーク経由で転送されることがなくなる。この方式は、保存失敗となった文書が特定の退避用ボックスに集められるので、次に示す第２の方式よりも、複合機１００の機械管理者にとって管理がしやすい。
【００８３】
第２の方式は、入力された文書に対して、転送不可の属性を付加して、宛先のボックスに保存するという方式である。この方式では、入出力制御部１１３は、ユーザからボックス内の文書の転送又は取り出しが指示された場合、その文書に転送不可属性が付加されているか否かを判定する。そして、転送付加属性が付加されている場合は、ボックス入出力情報により許可されるネットワークインタフェース１２０を経由した転送又は取り出しであっても、その転送又は取り出しを不許可とする。この方式は、保存失敗となった文書がその宛先のボックスに保存されるので、そのボックスの管理者（ボックスオーナー）にとって保存失敗となった文書があることがわかりやすい。また、必要なら、その文書がどのようなものかをボックスの管理者が確認しやすい。
【００８４】
なお、これら第１及び第２の方式以外の方式であっても、同様の転送不可の制御を実現できるものであれば、を用いても構わない。
【００８５】
このような方法で、入力経路として許可されないネットワークインタフェース１２０を経由して受信した文書を転送不可状態で保存することで、その文書を後で確認することが可能となり、その文書が想定外のネットワークへと転送されてしまう可能性もなくなる。
【００８６】
また図１１に示すように、本実施形態の複合機１００の主制御部１１０は、入力経路として許可されないネットワークインタフェース１２０を経由してボックスに文書が入力され、これを転送不可状態で保存した場合に、その事実を知らせる通知を出力する通知部１５０を有する。
【００８７】
通知部１５０が行う通知には、いくつかの態様があり得る。一つは、ネットワーク経由での通知である。これには例えば電子メール又はその他の通信サービスを介した通知がある。この場合、通知先としては、その文書の送信者、その文書の宛先のボックスの管理者、当該複合機１００の機械管理者等がある。それらすべてに通知してもよいし、そのうちの予め選択された者に通知してもよい。
【００８８】
また、別の通知態様として、複合機１００の表示装置１０７に表示するボックスの操作画面又は管理画面等の画面に、そのボックスに対して転送不可状態で保存した文書がある旨を表示してもよい。また、複合機１００がネットワーク経由でリモートのコンピュータに提供するボックスの管理画面（例えばウェブページの形態をとる）等にその旨を表示してもよい。
【００８９】
また更に別の通知態様として、ボックスに対して転送不可状態で保存した文書がある旨を示すレポート文書を複合機１００のプリンタ１０３から印刷出力するという方法もある。このレポートには、例えば、その文書の受信の日時、宛先のボックスの識別名又は識別番号、そのボックス宛に禁止されているネットワークから受信した文書があることを示すメッセージ等の情報が表示される。
【００９０】
また、同様のレポート文書を印刷するのではなく、電子データの形で、転送不可状態で保存した文書の宛先として指定されていたボックスに保存するという通知態様もある。この態様は、禁止されたネットワークインタフェース経由の文書を退避用ボックスに保存する方式に適合している。すなわち、その文書の宛先のボックスの管理者（ボックスオーナー）は退避用ボックス内の文書の一覧を見ることはできないが、自分のボックス内にあるそのレポート文書を見ることで、そのボックス宛に受信したが保存が失敗した文書があり、それが退避用ボックスにあることを知ることができる。
【００９１】
以上に例示した通知態様のうちのいくつかを組み合わせて用いてもよい。例えば、文書の送信元と機械管理者にメールで通知を送ると共に、レポート文書を印刷出力する等の組合せを用いてもよい。複合機１００には、使用する１以上の通知態様を設定できるようにしてもよい。また、以上に例示した通知態様は限定的なものではなく、これら以外の通知態様があってもよい。
【００９２】
このような通知により、機械管理者又はボックスオーナーは、許可されないネットワークインタフェース１２０からボックスに入力された文書の存在を知り、対処する。
【００９３】
以上に例示した保存方式と通知態様とは、様々な組合せの仕方で組み合わせて用いてもよい。
【００９４】
以下、具体的な組合せでの例を説明する。
【００９５】
図１２〜図１４を参照して、退避用ボックスを用いる方式と、電子メールでの通知とを組み合わせた場合の処理の例を説明する。
【００９６】
この例では、図１２に示す管理情報記憶部１１９には、例えば図１４に例示するボックス入出力情報が記憶されているとする。この例では、ボックス入出力情報は、図８及び図９に示した例と同様、ボックスＩＤに対応付けて、そのボックスの入力許可経路と出力許可経路を規定すると共に、そのボックスのオーナー（ボックスの管理者）のＩＤを示している。ボックスＩＤ「２５５」のボックスは、退避用ボックスであり、ボックスオーナーには複合機１００の機械管理者が設定されている。なお、入力と出力を個別設定するのではなく、入出力両方経路として許可されるネットワークインタフェース１２０をボックスに設定する図４及び図５に例示した方式でも、以下に説明する手法は適用可能である。
【００９７】
また、この例では、不揮発性記憶装置１０９内には図１３に示すように、複合機１００に登録されたユーザの電子メールアドレスが記憶されている。
【００９８】
この例では、入出力制御部１１３は、文書を受信したときに図１４に示す手順を実行する。すなわち、入出力制御部１１３は、ネットワーク経由でボックス宛の文書を受信すると（Ｓ５０）、管理情報記憶部１１９からそのボックスの入力許可経路の情報を取得する（Ｓ５２）。また、入出力先判定部１１５から、その受信の際の経路となったネットワークインタフェース１２０の情報を取得し、この経路がその入力許可経路に該当するかどうかを判定する（Ｓ５４）。この判定の結果がＹｅｓの場合、入出力制御部１１３は、その文書をそのボックスに保存する（Ｓ５６）。
【００９９】
Ｓ５４の判定の結果がＮｏの場合、入出力制御部１１３は、その文書を退避用ボックスに保存する（Ｓ５８）。そして、通知部１５０にその文書の保存が失敗した旨の通知の送信を指示する。通知部１５０は、その文書の送信元にその通知を電子メールで送信する（Ｓ６０）。例えばその文書が電子メールに添付されて複合機１００に到来した場合や、メールプロトコルを用いたインターネットＦＡＸの形で到来した場合には、送信元の電子メールアドレスが分かるので、そのアドレスに通知を電子メールで送る。なお、メールプロトコル以外でも、送信元からの文書保存指示が、その送信元のアプリケーションが用いる通信アドレスを含むものであれば、その通信アドレス宛にその通知を送ればよい。なお、そのような通信アドレスが得られない場合には、Ｓ６０の通知は行わない。また、通知部１５０は、宛先のボックスのオーナー及び複合機１００の機械管理者のメールアドレスを取得し（Ｓ６２）、それらメールアドレスに対して、それぞれその文書の保存が失敗した旨を示す通知を電子メールで送信する（Ｓ６４）。
【０１００】
ボックス記憶部１１１は、退避用ボックスのために確保した記憶容量のうちの空き容量が予め定めた閾値以下になった場合、通知部１５０に機械管理者への通知を指示する。この指示に応じて通知部１５０は、退避用ボックスの空き容量が残り少ないことを示す警告を、電子メール等の形で機械管理者に通知する。
【０１０１】
図１５を参照して、文書に転送付加属性を付加して宛先のボックスに保存する方式と、レポート文書を印刷する態様での通知とを組み合わせた場合の処理の例を説明する。
【０１０２】
この例では、管理情報記憶部１１９に保持されるボックス入出力情報は、例えば図１４に例示したボックス入出力情報と異なり、退避用ボックスのエントリを含まない。
【０１０３】
この例では、入出力制御部１１３は、図１５に示す手順を実行する。この手順のうちＳ５０、Ｓ５２、Ｓ５４、及びＳ５６は、図１４に示した手順と同様である。
【０１０４】
Ｓ５４の判定結果がＮｏの場合、入出力制御部１１３は、その文書の属性情報のうちの転送可否属性の値を「不可」に設定した上で、その文書を指定された宛先のボックスに保存する（Ｓ７０）。そして、そのボックスに対して転送不可状態で保存した文書がある旨を示すレポート文書を複合機１００のプリンタ１０３から印刷出力する（Ｓ７２）。
図１５の例では、ボックスで許可されている入力経路以外のネットワークインタフェース１２０を経由して入力された文書が、そのボックスに保存されるので、そのボックスの管理者は、そのような文書が存在することを把握できる。また、その文書は、転送不可属性を付加された上で保存されるので、想定外のネットワークに漏洩することはない。
図１４及び図１５に示した例はあくまで例示的なものにすぎない。これらの他にも、上述した保存方式と通知態様との他の組合せを用いた処理があり得る。
【０１０５】
以上に例示した複合機１００の主制御部１１０は、例えば、複合機１００に内蔵されるコンピュータにそれら各装置内の各機能モジュールの機能を表すプログラムを実行させることにより実現してもよい。ここで、コンピュータは、例えば、ハードウエアとして、ＣＰＵ等のプロセッサ、ランダムアクセスメモリ（ＲＡＭ）およびリードオンリメモリ（ＲＯＭ）等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）を制御するＨＤＤコントローラ、各種Ｉ／Ｏ（入出力）インタフェース、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース等が、たとえばバスを介して接続された回路構成を有する。また、そのバスに対し、例えばＩ／Ｏインタフェース経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダライタ、などが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭに読み出されＣＰＵ等のプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。
【符号の説明】
【０１０６】
１００  複合機、１０１  スキャナ、１０３  プリンタ、１０５  ファクシミリ装置、１０７  表示装置、１０９  不揮発性記憶装置、１１０  主制御部、１１１  ボックス記憶部、１１３  入出力制御部、１１５  入出力先判定部、１１７  ボックス認証部、１１９  管理情報記憶部、１２０  ネットワークインタフェース、１５０  通知部、２００  コンピュータ。
【図１】
2019169784.tif 000003
【図２】
2019169784.tif 000004
【図３】
2019169784.tif 000005
【図４】
2019169784.tif 000006
【図５】
2019169784.tif 000007
【図６】
2019169784.tif 000008
【図７】
2019169784.tif 000009
【図８】
2019169784.tif 000010
【図９】
2019169784.tif 000011
【図１０】
2019169784.tif 000012
【図１１】
2019169784.tif 000013
【図１２】
2019169784.tif 000014
【図１３】
2019169784.tif 000015
【図１４】
2019169784.tif 000016
【図１５】
2019169784.tif 000017